説明

VPN装置、VPNネットワーキング方法、プログラム、及び記憶媒体

【課題】複数のVPN装置間でのVPN通信開始時におけるサーバ負荷軽減、および通信遅延、通信障害の発生を最小限に留めることが可能なVPN装置を提供する。
【解決手段】他のVPN装置301との間でVPNを構築して通信を行うVPN装置101であって、ネットワークを介して、VPN装置101の外部アドレス・ポート情報を取得し、上記ネットワークを介して、VPN装置101の外部アドレス・ポート情報をVPN装置301へ送信し、VPN装置301からのVPN装置301の外部アドレス・ポート情報を受信し、VPN装置301の外部アドレス・ポート情報を用いて、VPN装置101とVPN装置301との間でVPN通信が可能な状態であるか否かを判定する。この間にバースト的に発生するパケットの中から優先されるデータ通信を先に開始し、VPN通信が可能な状態であるか否かの判定を行った後に全てのデータ通信を開始する。

【発明の詳細な説明】
【技術分野】
【0001】
本発明は、ネットワーク通信において通信相手の固定された専用通信回線(専用線)の代わりに、多数の加入者で帯域を共用する通信網を利用してネットワーク間などを接続するVPN(Virtual Private Network:仮想プライベートネットワーク)技術におけるVPN装置、VPNネットワーキング方法、及び記憶媒体に関するものである。
【背景技術】
【0002】
仮想プライベートネットワーク(以下、VPNと記載する)は、たとえば、企業内等の2以上の拠点のローカルエリアネットワーク(LAN)相互間などのような、一般に、異なるネットワークセグメントを、広域ネットワーク(WAN)などを介して互いに接続する。そして、通信の秘匿性を担保することで、仮想的に全体が1つのプライベートネットワーク(専用線)であるように構成する。これにより、専用線を利用する場合と同様の通信サービスを可能にする。
【0003】
このようなVPNは、インターネット等のWANや公衆回線網を利用して構築するいわゆるインターネットVPNと、通信事業者閉域網などのインターネット等とは異なる通信網を使用して構築するIP−VPNと、に大別される。特に、インターネットVPNは、昨今のネットワークインフラのブロードバンド化と、インターネットを利用することで安価にVPNを構築可能であるために、利用者が増加している。
【0004】
VPNを構築するにあたり、例えば異なる拠点間で通信を行う場合に、通信経路の途中にインターネット等の共用の通信網が介在するので、通信の漏洩、盗聴、改竄などの危険性がある。そこで、VPN技術においては、通信の秘匿性を担保するために、ネットワークのいずれかの階層において、データを暗号化しカプセリングすることを基本的な技術思想としている。ここで、ある通信プロトコルを他の通信プロトコルのパケットで包んで送ることを「カプセル化(カプセリング)」という。
【0005】
VPN技術で用いられる暗号化プロトコルの具体例としては、IP(Internet Protocol)層で暗号化を施すIPsec(Security Architecture for Internet Protocol)や、TCP(Transmission Control Protocol)層(特にHTTP:Hyper Text Transfer Protocolで使用)で暗号化を施すSSL(Secure Sockets Layer)などが知られている。また、他のVPN技術の例として、SSH、TLS、SoftEther、PPTP、L2TP、L2F、MPLSなどが知られている。ソフトウェアによってVPNを構築するソフトウェアVPNでは、上記のIPsecやSSLを使用したトンネリング技術を使用する。ここで、ある通信プロトコルを、同じまたはより上位の階層のプロトコルのデータとして通信することを「トンネリング」という。VPNを構築する場合は、ネットワークの中継装置または通信を行う端末等(以降、これらを「ピア」とも称する)に設けたVPN装置によって、パケットを暗号化及びカプセル化して仮想トンネルを構築する。これにより、ピア間を結ぶ閉じられた通信経路を確立する。
【0006】
例えば、ネットワーク間を相互接続する技術として、リバーストンネル技術を用いて通信路を構築し、通信路を維持するために通信路維持データを送信し、さらに、通信漏洩等を防止するために電子署名や暗号化を施すものが提案されている(例えば、特許文献1
参照)。
【先行技術文献】
【特許文献】
【0007】
【特許文献1】特開2008−160497号公報
【発明の概要】
【発明が解決しようとする課題】
【0008】
ところで、複数のVPN装置を用いて通信経路(ここでは、一例としてP2P(Peer to Peer)通信経路として説明する)を確立する場合には、いずれかのVPN装置が希望する通信先のVPN装置へ接続要求を送信する。接続要求を受信したVPN装置は、この接続要求に対する接続応答を送信元のVPN装置へ送信する。そして、互いのVPN装置間でP2P通信が可能であるか否かの判定を行う。P2P通信が可能である場合にはP2P通信経路が確立され、以降、通信データの送受信が可能になる。
【0009】
ここで、P2P通信経路を確立するVPN装置が行う通信の通信形式としては、TCP(Transmission Control Protocol)プロトコルによる通信(以下、TCP通信という)及びUDP(User Datagram Protocol)プロトコルによる通信(以下、UDP通信という)がある。TCP通信は、コネクション型の通信形式であり、信頼性が高く、データ通信が保障されているが、リアルタイム性を必要としない通信形態である。一方、UDP通信は、コネクションレス型の通信形式であり、リアルタイム性が高い通信に用いられるが、データ通信が保障されておらず、信頼性の低い通信形態である。
【0010】
また、TCP通信ではTCPパケット(TCPデータ)が送受信され、UDP通信ではUDPパケット(UDPデータ)が送受信される。TCPパケットは、主にデータ通信用のパケット、制御用のパケット等の高い信頼性が必要とされるパケットに用いられ、UDPパケットは、主に画像通信用のパケット、音声通信用のパケット等のリアルタイム性が必要とされるパケットに用いられる。これらのパケットは、同時に送受信されることもある。一般的に通信時のパケット送信において、これらのパケットがバースト的に送受信されると、VPN装置、システムの負荷が一時的に増大し、通信遅延、通信障害などが発生することがある。したがって、このような障害の発生をなるべく回避するために、これらのパケットがバースト的に送信される処理形態では、パケットの種別に応じて送受信すべきデータの優先順位を決定することが好ましい。
【0011】
本発明は、上記事情に鑑みてなされたものであって、複数のVPN装置間でVPN通信が確立する際に発生するバースト的なパケットに対して、通信遅延、通信障害の発生を最小限に留めることが可能なVPN装置、VPNネットワーキング方法、プログラム、及び記憶媒体を提供することを目的とする。
【課題を解決するための手段】
【0012】
本発明のVPN装置は、ネットワーク上で、他のVPN装置との間でVPN(仮想プライベートネットワーク)を構築して通信を行うVPN装置であって、前記ネットワークを介して、当該VPN装置が通信する際に使用するグローバルアドレス情報及びポート情報を取得する外部アドレス・ポート情報取得部と、前記ネットワークを介して、当該VPN装置の前記グローバルアドレス情報及び前記ポート情報を前記他のVPN装置へ送信する外部アドレス・ポート情報送信部と、前記ネットワークを介して、前記他のVPN装置からの前記他のVPN装置のグローバルアドレス情報及びポート情報を受信する外部アドレス・ポート情報受信部と、前記他のVPN装置の前記グローバルアドレス情報及び前記ポート情報を用いて、当該VPN装置と前記他のVPN装置との間でVPN通信が可能な状態であるか否かを判定する通信状態判定部と、通信データを前記他のVPN装置へ送信する通信データ送信部と、前記通信データ送信部により送信される通信データのプロトコル種別を判定するデータ種別判定部と、前記データ種別判定部による判定結果に基づいて、前記通信状態判定部による前記VPN通信が可能な状態であるか否かの判定と前記通信データ送信部による前記通信データの送信開始との順序を決定する処理順序決定部と、を備える。
【0013】
この構成により、複数のVPN装置間でのVPN通信経路確立までの通信遅延、通信障害の発生を最小限に留めることが可能である。
【0014】
また、本発明のVPN装置は、当該VPN装置配下の通信端末からの通信データを受信する通信データ受信部を備え、前記送信データ送信部が、前記通信データ受信部により受信された通信データを送信する。
【0015】
この構成により、VPN装置配下の端末からの送信要求があったときに、送信すべき端末からの通信データの種別に基づいて、その通信データの送信するタイミングを決定することができ、通信開始時のバースト的な通信発生に対するシステムへの負荷を軽減すると共に、通信データの通信遅延、通信障害の発生を最小限に留めることができる。
【0016】
また、本発明のVPN装置は、前記処理順序決定部が、前記データ種別判定部により前記通信データがUDPデータであると判定された場合、前記通信状態判定部によって前記VPN通信が可能な状態であるか否かが判定される前に前記通信データの送信を開始することを決定し、前記データ送信部が、前記通信状態判定部による前記VPN通信が可能な状態であるか否かの判定前に、前記ネットワークを介して、前記他のVPN装置へ通信データの送信を開始する。
【0017】
この構成により、バースト的に通信データが発生したとしても、リアルタイム性が要求されるUDPデータを迅速に送信することができ、VPN通信確立時の通信遅延の発生を最小限に留めることができる。
【0018】
また、本発明のVPN装置は、前記処理順序決定部が、前記データ種別判定部により前記通信データがTCPデータであると判定された場合、前記通信状態判定部によって前記VPN通信が可能な状態であるか否かが判定された後に前記通信データの送信を開始することを決定し、前記データ送信部が、前記通信状態判定部による前記VPN通信が可能な状態であるか否かの判定後に、前記VPN通信が可能な状態であると判定された通信経路を介して、前記他のVPN装置へ通信データの送信を開始する。
【0019】
この構成により、TCP/UDPのパケットによる通信でバースト的に通信データが発生したとしても、リアルタイム性が要求されないTCPデータについては、VPN通信経路が確立されるまでデータ送信を待機させ、リアルタイム性が要求されるUDPデータを優先的に送信させることができ、VPN通信開始時の通信遅延、通信障害の発生を最小限に留めることができる。さらに、TCPデータを待機中に破棄することがあっても、TCPプロトコルの再送制御機能により、TCPデータの欠落を防止することができる。
【0020】
また、本発明のVPNネットワーキング方法は、ネットワーク上で、他のVPN装置との間でVPN(仮想プライベートネットワーク)を構築して通信を行うVPN装置のVPNネットワーキング方法であって、前記ネットワークを介して、当該VPN装置が通信する際に使用するグローバルアドレス情報及びポート情報を取得するステップと、前記ネットワークを介して、当該VPN装置の前記グローバルアドレス情報及び前記ポート情報を前記他のVPN装置へ送信するステップと、前記ネットワークを介して、前記他のVPN装置からの前記他のVPN装置のグローバルアドレス情報及びポート情報を受信するステップと、前記他のVPN装置の前記グローバルアドレス情報及び前記ポート情報を用いて、当該VPN装置と前記他のVPN装置との間でVPN通信が可能な状態であるか否かを判定するステップと、通信データを前記他のVPN装置へ送信するステップと、送信される通信データのプロトコル種別を判定するステップと、前記通信データのプロトコル種別の判定結果に基づいて、前記VPN通信が可能な状態であるか否かの判定と前記通信データの送信開始との順序を決定するステップと、を有する。
【0021】
この方法により、複数のVPN装置間でのVPN通信開始時の通信遅延、通信障害の発生を最小限に留めることが可能である。
【0022】
また、本発明のプログラムは、上記VPNネットワーキング方法の各ステップを実行させるためのプログラムである。
【0023】
このプログラムにより、複数のVPN装置間でのVPN通信開始時の通信遅延、通信障害の発生を最小限に留めることが可能である。
【0024】
また、本発明の記憶媒体は、上記VPNネットワーキング方法の各ステップを実行させるためのプログラムを記録したコンピュータ読み取り可能な記憶媒体である。
【0025】
この記憶媒体により、複数のVPN装置間でのVPN通信開始時の通信遅延、通信障害の発生を最小限に留めることが可能である。
【発明の効果】
【0026】
本発明によれば、複数のVPN装置間で通信を行う場合、VPN通信開始時の通信遅延、通信障害の発生を最小限に留めることが可能である。
【図面の簡単な説明】
【0027】
【図1】本発明の実施形態に係るVPNシステムの構成例を示す図
【図2】本発明の実施形態のVPN装置のハードウェア構成の構成例を示すブロック図
【図3】本発明の実施形態のVPN装置の機能的な構成例を示すブロック図
【図4】本発明の実施形態のVPNシステムにおける通信パケットの種別判定時の処理手順の一例を示すフローチャート
【図5】本発明の実施形態のVPNシステムにおけるTCPパケットを検出した場合のVPN構築時の処理手順を示すシーケンス図
【図6】本発明の実施形態のVPNシステムにおけるUDPパケットを検出した場合のVPN構築時の処理手順を示すシーケンス図
【図7】本発明の実施形態のVPNシステムにおけるUDPパケットを検出した場合のVPN構築時の別の処理手順を示すシーケンス図
【図8】本発明の実施形態のVPN装置におけるTCPパケットを検出した場合のVPN構築時の処理内容を示すフローチャート
【図9】本発明の実施形態のVPN装置におけるUDPパケットを検出した場合のVPN構築時の処理内容を示すフローチャート
【図10】本発明の実施形態のVPN装置におけるUDPパケットを検出した場合のVPN構築時の別の処理内容を示すフローチャート
【図11】本発明の実施形態に係るVPNシステムの変形構成例を示す図
【図12】本発明の実施形態のVPN装置の機能的な変形構成例を示すブロック図
【発明を実施するための形態】
【0028】
以下に、本発明に係るVPN装置、VPNネットワーキング方法、プログラム、及び記憶媒体の一例としての実施形態を説明する。ここでは、広域ネットワーク(WAN、グローバルネットワーク)を介して2つのローカルエリアネットワークの経路(LAN、ローカルネットワーク)を経路接続して仮想プライベートネットワーク(VPN)システムを構築する場合の構成例を示す。LANとしては、有線LANまたは無線LANなどが用いられる。WANとしては、インターネット等が用いられる。
【0029】
図1は本発明の実施形態に係るVPNシステムの構成例を示す図である。本実施形態のVPNシステムは、一つの拠点に設けられたLAN100と、他の拠点に設けられたLAN300とを、インターネット等のWAN200を介して通信経路を接続する。そして、LAN100の配下に接続された端末103とLAN300の配下に接続された端末303との間で、VPNによる秘匿性を担保した通信(「VPN通信」とも称する)を可能にしている。具体的なVPN通信の用途(アプリケーションプログラム等)としては、IP電話(音声通話)、ネットミーティング(動画&音声通信)、ネットワークカメラ(ビデオ伝送)などが想定される。
【0030】
LAN100とWAN200との境界にはルータ102が配設され、WAN200とLAN300との境界にはルータ302が配設されている。また、本実施形態では、VPNの構築を可能にするために、LAN100にはVPN装置101が接続され、LAN300にはVPN装置301が接続されている。そして、VPN装置101には配下の端末103が接続され、VPN装置301には配下の端末303が接続されている。
【0031】
また、WAN200上には、VPN装置101とVPN装置301との間のVPNによる接続(以下、「VPN接続」と称する)を可能にするために、STUNサーバ201と呼制御サーバ202とが接続されている。STUNサーバ201は、STUN(Simple Traversal of User Datagram Protocol (UDP) through Network Address Translators (NATs))プロトコルを実行するために用いられるサーバである。呼制御サーバ202は、VPN装置や端末等のピア間の発呼、着呼のために用いられるサーバである。
【0032】
図1において、破線は外部アドレス(グローバルIPアドレス)とポートの情報を含む外部アドレス・ポート情報の流れを示している。また、一点鎖線は発呼及び着呼の制御に関する呼制御信号の流れを示している。また、実線はピア間で伝送される通信データに関するピア間通信(P2P通信)の流れを示している。さらに、P2P通信のためにVPN接続された通信経路を仮想トンネルとして、図中に表す。
【0033】
各機器がWAN200を介して通信する場合、WAN200上では、伝送するパケットの送信元や送信先を特定するためのアドレス情報として、WANにおいて特定可能なグローバルなアドレス情報が用いられる。一般にはIPネットワークが用いられるため、グローバルIPアドレス及びポート番号が用いられる。しかし、各LAN100、300内の通信においては、送信元や送信先を特定するためのアドレス情報として、LAN内のみで特定可能なローカルなアドレス情報が用いられる。一般にはIPネットワークが用いられるため、ローカルIPアドレス及びポート番号が用いられる。したがって、各LAN100、300とWAN200との間の通信を可能にするために、ローカルなアドレス情報とグローバルなアドレス情報との相互変換を行うNAT(Network Address Translation)機能が各ルータ102、302に搭載されている。なお、IPネットワーク以外の場合には、グローバルIPアドレス以外のグローバルなアドレス情報であってもよい。
【0034】
ただし、LAN100、300の配下の各端末においては、外部からアクセス可能なグローバルIPアドレス情報を自身で持っていない。また、特別な設定を行わない限り、LAN100配下の端末103が他のLAN300配下の端末303と直接通信することはできない。また、各ルータ102、302のNAT機能のため、普通の状態ではWAN200側から各LAN100、300内の各端末にアクセスすることもできない。
【0035】
このような状況であっても、本実施形態では、各拠点のLANにVPN装置101、301を設けることにより、図1において実線で示すP2P通信の経路のように、LAN間をVPN接続して端末103と端末303との間で仮想的な閉じられた通信経路を通じて直接通信することが可能になる。本実施形態のVPN装置の構成、機能、及び動作について以下に順を追って説明する。
【0036】
STUNサーバ201は、STUNプロトコルの実行に関するサービスを行うもので、いわゆるNAT越えの通信を行うために必要な情報を提供するアドレス情報サーバである。STUNは、音声、映像、文章などの双方向リアルタイムIP通信を行うアプリケーションにおいて、NAT通過の方法の1つとして使われる標準化されたクライアントサーバ型のインターネットプロトコルである。STUNサーバ201は、アクセス元からの要求に応じて、外部からアクセス可能な当該アクセス元のグローバルなアドレス情報として、外部ネットワークから見えるグローバルIPアドレスとポートの情報を含む外部アドレス・ポート情報を返信する。外部アドレス・ポート情報としては、IPネットワークにおいてはIPネットワーク層のグローバルIPアドレス及びトランスポート層のポート番号が用いられる。
【0037】
各VPN装置101、301は、STUNサーバ201との間で所定のテスト手順の通信を実行し、STUNサーバ201から自装置のグローバルIPアドレス及びポート番号が含まれる応答パケットを受信する。これにより、各VPN装置101、301は自装置のグローバルIPアドレス及びポート番号を取得することができる。また、自装置の位置するLANとWANとの間にルータが複数存在する場合等であっても、これらのルータ等がUPnP(Universal Plug and Play)の機能を有していない場合であっても、確実にグローバルIPアドレス及びポート番号を取得できるという効果もある。
【0038】
なお、VPN装置101、301がグローバルIPアドレス及びポート番号を取得するための方法に関しては、IETFのRFC 3489(STUN)にて記載された手法を利用することもできる。しかし、STUNによる手法はグローバルIPアドレス及びポート番号を取得するところまでが可能なのであって、本実施形態では、通信に先立って予め各種パラメータの設定作業を行うこともなく、簡易かつ柔軟にVPNを構築することができる。
【0039】
呼制御サーバ202は、特定の相手先を呼び出して通信経路を確立するための通信装置間の呼制御に関するサービスを行う呼管理サーバである。呼制御サーバ202は、登録されたVPN装置または端末の識別情報を保持しており、例えばIP電話の機能を有する通信システムの場合には、接続相手の電話番号に基づいて特定の相手先を呼び出すことも考えられる。また、呼制御サーバ202は、信号やデータを中継する機能を有しており、発信側の装置から送出されたパケットを着信側の装置に転送したり、着信側の装置から送出されたパケットを発信側の装置に転送したりすることも可能である。
【0040】
なお、STUNサーバ201及び呼制御サーバ202は、ここでは別個のサーバによる構成例を示しているが、1つのサーバにこれらのアドレス情報サーバと中継サーバの2つのサーバの機能を搭載して構成してもよいし、WAN上の他のいずれかのサーバに同様の機能を搭載して構成することも可能である。
【0041】
次に、本実施形態のVPN装置の構成及び機能について説明する。なお、VPN装置101とVPN装置301の構成及び機能は同様であり、ここではVPN装置101によって説明する。図2は本実施形態のVPN装置のハードウェア構成の構成例を示すブロック図である。
【0042】
VPN装置101は、中央演算処理装置(CPU)111、フラッシュRAM等による不揮発性メモリ112、SD RAM等によるメモリ113、ネットワークインタフェース114、ネットワークインタフェース115、LAN側ネットワーク制御部116、WAN側ネットワーク制御部117、通信中継部118、表示制御部119、表示部120を有して構成される。
【0043】
CPU111は、所定のプログラムを実行することによりVPN装置101全体の制御を実施する。不揮発性メモリ112は、CPU111が実行するプログラムを保持している。このプログラムの中には、VPN装置101が外部アドレス・ポート情報を取得するための外部アドレス・ポート取得プログラムも含まれている。
【0044】
なお、CPU111が実行するプログラムについては、任意の通信経路を経由してオンラインで外部のサーバから取得することもできるし、例えばメモリカードやCD−ROMのような記録媒体から読み込んで取得することもできる。換言すれば、汎用のコンピュータにVPN装置の機能を実現するプログラムを記録媒体から読み込むことによってVPN装置、およびVPNネットワーキング方法を実現することができる。
なお、CPU111がプログラムを実行する時には、不揮発性メモリ112上のプログラムの一部がメモリ113上に展開され、メモリ113上のプログラムが実行される場合もある。
【0045】
メモリ113は、VPN装置101の運用中のデータ管理や、各種設定情報などを一時的に記憶するためのものである。設定情報としては、自端末の外部アドレス・ポート取得要求の応答に含まれる外部アドレス・ポート情報等、通信に必要なあて先アドレス情報などが含まれる。
【0046】
ネットワークインタフェース114は、VPN装置101と自装置が管理する配下の端末103とを通信可能な状態で接続するためのインタフェースである。ネットワークインタフェース115は、VPN装置101とLAN100とを通信可能な状態で接続するためのインタフェースである。LAN側ネットワーク制御部116は、LAN側のネットワークインタフェース114に関する通信制御を行うものである。WAN側ネットワーク制御部117は、WAN側のネットワークインタフェース115に関する通信制御を行うものである。
【0047】
通信中継部118は、LAN側に接続された配下の端末103から外部のVPN接続先(VPN装置301配下の端末303)へ送出するパケットデータと、反対に、外部のVPN接続先(VPN装置301配下の端末303)から配下の端末103宛に到着したパケットデータをそれぞれ中継する。
【0048】
表示部120は、VPN装置101としての動作状態の表示等を行う表示器により構成され、各種状態をユーザあるいは管理者に通知する。表示部120は、複数の発光ダイオード(LED)や液晶表示器(LCD)等により構成される。表示制御部119は、表示部120の表示制御を行うもので、CPU111からの表示信号に従って表示部120に表示する内容等を制御する。
【0049】
図3は本実施形態のVPN装置の機能的な構成例を示すブロック図である。
【0050】
VPN装置101は、機能構成として、システム制御部130、配下端末管理部131、メモリ部132、データ中継部133、設定用インタフェース部134、通信制御部140を有して構成される。メモリ部132は、外部アドレス・ポート情報記憶部135を有する。通信制御部140は、外部アドレス・ポート取得部141、VPN機能部142、呼制御機能部143、TCP判定部144、処理順序決定部145を有する。VPN機能部142は、暗号処理部146を有する。これらの各機能は、図2に示した各ブロックのハードウェアの動作、またはCPU111が所定のプログラムを実行することにより実現する。
【0051】
なお、VPN装置101のLAN側のネットワークインタフェース114は、配下の端末103と接続され、WAN側のネットワークインタフェース115は、LAN100及びルータ102を経由してWAN200と接続される。
【0052】
システム制御部130は、VPN装置101の全体の制御を行う。配下端末管理部131は、VPN装置101配下の端末103の管理を行う。メモリ部132は、外部アドレス・ポート情報記憶部135において、外部アドレス(WAN200上でのグローバルIPアドレス)とポート(IPネットワークのポート番号)の情報を含む外部アドレス・ポート情報を記憶する。外部アドレス・ポート情報としては、接続元である配下の端末103に割り当てられたグローバルIPアドレス及びポート番号の情報や、接続先の端末303に割り当てられたグローバルIPアドレス及びポート番号の情報などを記憶する。
【0053】
データ中継部133は、接続元の端末103から接続先の端末303に向かって転送されるパケットや、逆に接続先の端末303から接続元の端末103に向かって転送されるパケットをそれぞれ中継(受信/送信)する。すなわち、データ中継部133は、配下端末からの通信データを受信する通信データ受信部、通信データを送信する通信データ送信部の各機能を実現する。設定用インタフェース部134は、ユーザあるいは管理者がVPN装置101に対する設定操作等の各種操作を行うためのユーザインタフェースである。このユーザインタフェースの具体例として、端末上で動作するブラウザによって表示するWebページなどが用いられる。
【0054】
通信制御部140の外部アドレス・ポート取得部141は、VPN装置101の配下の端末103に割り当てられた外部アドレス・ポート情報をSTUNサーバ201から取得する。また、接続先の端末303の外部アドレス・ポート情報を含むパケットを呼制御サーバ202を経由して受信し、接続先の端末303に割り当てられた外部アドレス・ポート情報を取得する。外部アドレス・ポート取得部141が取得した情報は、メモリ部132の外部アドレス・ポート情報記憶部135に保持される。
【0055】
通信制御部140のVPN機能部142は、暗号処理部146において、VPN通信のために必要な暗号処理を行う。すなわち、暗号処理部146は、送信するパケットをカプセリングして暗号化したり、受信したパケットをアンカプセリングして復号化して元のパケットを抽出したりする。なお、VPN通信は、図1に示したようなP2P通信ではなく、WAN200上に設けられるサーバでパケットの中継を行い、クライアント/サーバ方式でVPN通信を行うことも可能である。この場合には、サーバ側で暗号処理を行うようにしてもよい。また、通信制御部140は、P2P通信が可能な状態(P2P通信可能状態)であるか否かを判定する。また、カプセリングされたパケット中には、自装置配下の端末103を特定するための情報や、相手装置配下の端末303を特定するための情報が含まれる。この特定情報に基づいて、VPN装置及びVPN装置配下の端末間でデータ中継部133により通信データが中継される。なお、P2P通信が可能な状態であるか否かの判定は、VPN通信が可能な状態であるか否かを判定することの一例である。
【0056】
通信制御部140の呼制御機能部143は、目的の接続先に接続するための接続要求を呼制御サーバ202に送信したり、接続先からの接続応答を呼制御サーバ202を経由して受信するための処理を実施したりする。
【0057】
通信制御部140のTCP判定部144は、データ中継部133により中継される通信パケット(通信データ)を検出する。そして、データ中継部133により中継すべき通信データの種別を判定する。具体的には、送信する通信パケットがTCPパケット(TCPデータ)であるか、UDPパケット(UDPデータ)であるかを識別する。
【0058】
通信制御部140の処理順序決定部145は、TCP判定部144による判定結果に基づいて、所定の処理を行う優先順位を決定する。具体的には、VPN機能部142によるP2P通信可能状態であるか否かの判定とデータ中継部133による通信データの送信開始との順序を決定する。TCP判定部144により通信パケットがUDPパケットであると判定された場合には、処理順序決定部145は、P2P通信可能状態であるか否かの判定前に通信パケットの送信を開始する。一方、TCP判定部144により通信パケットがTCPパケットであると判定された場合には、処理順序決定部145は、P2P通信可能状態であるか否かの判定後もしくは通信経路確定後、通信パケットの送信を開始する。通信経路確定後に通信パケットの送信を開始することで、呼制御サーバ202への負担を軽減することができる。
【0059】
すなわち、通信制御部140は、自装置の外部アドレス・ポート情報を取得する外部アドレス・ポート情報取得部、自装置の外部アドレス・ポート情報を送信する外部アドレス・ポート情報送信部、相手装置の外部アドレス・ポート情報を受信する外部アドレス・ポート情報受信部の各機能を実現する。また、通信制御部140は、VPN通信の通信経路を確立し、P2P通信が可能なP2P通信可能状態であるか否かを判定する通信状態判定部、通信データの種別を判定するデータ種別判定部、P2P通信可能状態であるか否かの判定と通信データの送信開始との順序を決定する処理順序決定部の各機能を実現する。
【0060】
このようなTCP判定部144、処理順序決定部145を備えることにより、VPN装置101が送信すべき通信パケットの種別に応じて、P2P通信可能状態であるか否かの判定と通信データの送信開始との順序を決定でき、P2P通信可能かの判定処理中にも優先的に通信を開始するパケット(プロトコル)選択でき、バースト的にパケットが発生した場合のパケットの抑制が可能なため、通信パケットを中継するサーバに発生する負荷を軽減すると共に通信開始時の通信遅延、通信障害の発生を最小限に留めることができる。
【0061】
次に、本実施形態のVPN装置101によるVPN構築時の動作について説明する。
図4は本実施形態のVPNシステムにおける通信パケットの種別判定時の手順の一例を示すフローチャートである。
【0062】
まず、VPN装置101は、TCP判定部144により、VPN装置101配下の端末103からの通信パケットの有無を検出する(ステップS101)。当該検出処理は、通信パケットを検出するまで反復される。通信パケットが検出されると、VPN装置101は、TCP判定部144により、検出された通信パケットがTCPパケットであるかUDPパケットであるかを判定する(ステップS102)。TCPパケットである場合には、VPN装置101は、処理順序決定部145により、TCP用フロー、つまり図5、図8に示す処理を行うことを決定する。一方、UDPパケットである場合には、VPN装置101は、処理順序決定部145により、UDP用フロー、つまり図6、7、9、10に示す処理を行うことを決定する。
【0063】
このように、VPN装置101配下の端末103からの通信パケットの種別に基づいて、以降の通信確立処理手順(TCP用フロー又はUDP用フロー)を決定することができる。したがって、リアルタイム性、信頼性の異なるTCPパケット、UDPパケットの長所を活かした通信を行うことが可能となる。
【0064】
次に、TCP用フローについて、シーケンス図(図5)を参照しながら説明する。
図5は本実施形態のVPNシステムにおけるTCPパケットを検出した場合のVPN構築時の処理手順を示すシーケンス図である。この図5では、VPN装置を含むネットワークにおいて、VPN装置101の配下の端末103からWAN200を経由して他のVPN装置301の配下の端末303に接続しようとする場合の処理を示している。
【0065】
まず、図5に示す処理に先立ち、VPN装置101は呼制御サーバ202にログインしてユーザ認証を受けるようにする。VPN装置101がユーザ認証に成功した場合、呼制御サーバ202において、VPN装置101の識別情報(MACアドレス、ユーザID、電話番号など)やネットワーク上の位置情報(グローバルIPアドレス)等の登録、設定が行われる。以降、VPN装置101と呼制御サーバ202との間で通信可能となる。なお、VPN装置101は発呼側であるが、被呼側であるVPN装置301についても同様に、呼制御サーバ202にログインしてユーザ認証を受け、呼制御サーバ202においてVPN装置301の識別情報等の登録、設定が行われる。
【0066】
この状態で、VPN装置101は、VPN通信を行うアプリケーションの起動に伴って外部アドレス・ポート取得部141の機能により、配下の端末103からのVPN接続の接続要求を受けると、STUNサーバ201との間で外部アドレス・ポート取得手順を行う(ステップS201)。このとき、VPN装置101は、自装置に割り当てられた外部アドレス・ポート情報(WAN200側からみたグローバルIPアドレス及びポート番号)を取得するため、STUNサーバ201に対して、外部アドレス・ポート取得要求としてバインディングリクエスト(Binding Request、RFC3489参照;以下同じ)パケットを送出する。一方、STUNサーバ201は、外部アドレス・ポート取得要求に対して応答し、VPN装置101に外部アドレス・ポート情報返信として外部アドレス・ポート情報を含むバインディングレスポンス(Binding Response、RFC3489参照;以下同じ)パケットを返送する。そして、VPN装置101は、外部アドレス・ポート情報返信により得られた外部アドレス・ポート情報を記憶する。
【0067】
続いて、VPN装置101は、呼制御サーバ202に対して、接続先の端末303を配下に持つVPN装置301への通信経路を構築するための接続要求を行う(ステップSS202)。このとき、VPN装置101は、発呼側アドレス情報として、外部アドレス・ポート取得手順(ステップS201)で取得した自装置の外部アドレス・ポート情報(グローバルIPアドレス及びポート番号)を含む接続要求を呼制御サーバ202へ送信する。また、この接続要求には、被呼側(VPN装置301)の識別情報も含まれる。呼制御サーバ202は、この接続要求を中継してVPN接続の接続先となるVPN装置301へ送信する。この接続要求により、呼制御サーバ202は、VPN装置101がVPN装置301へP2P経路構築のためのVPN接続をしたいという要求を接続先に通知する。
【0068】
接続先のVPN装置301は、呼制御サーバ202からの接続要求を受けると、STUNサーバ201との間で外部アドレス・ポート取得手順を行う(ステップS203)。このとき、VPN装置301は、上記VPN装置101と同様、自装置に割り当てられた外部アドレス・ポート情報(WAN200側からみたグローバルIPアドレス及びポート番号)を取得するため、STUNサーバ201に対して、外部アドレス・ポート取得要求としてバインディングリクエストパケットを送出する。一方、STUNサーバ201は、外部アドレス・ポート取得要求に対して応答し、VPN装置301に外部アドレス・ポート情報返信として外部アドレス・ポート情報を含むバインディングレスポンスパケットを返送する。そして、VPN装置301は、外部アドレス・ポート情報返信により得られた外部アドレス・ポート情報を記憶する。
【0069】
続いて、VPN装置301は、呼制御サーバ202に対して、接続要求に対する接続応答を行う(ステップS204)。このとき、VPN装置301は、被呼側アドレス情報として、外部アドレス・ポート取得手順(ステップS203)で取得した自装置の外部アドレス・ポート情報(グローバルIPアドレス及びポート番号)を含む接続応答を呼制御サーバ202へ送信する。また、この接続応答には、発呼側(VPN装置101)の識別情報も含まれる。呼制御サーバ202は、この接続応答を中継してVPN接続の接続要求元となるVPN装置101へ送信する。この接続応答により、呼制御サーバ202は、接続要求に対するVPN装置301からVPN装置101への応答を接続要求元に通知する。
【0070】
この段階で、接続元のVPN装置101と接続先のVPN装置301とは、お互いに相手の外部アドレス・ポート情報を取得している。したがって、VPN装置101及びVPN装置301は、互いに相手の外部アドレス・ポート情報(グローバルIPアドレス及びポート番号)の送信先に設定してWAN200を経由してパケットを送信し、VPN機能部142により、P2P通信可能状態(P2PでのVPN接続が可能な状態)であるか否かを確認する(ステップS205)。例えば、VPN装置101がVPN装置301へパケットを送信し、この送信から所定期間内にVPN装置301からパケットを受信したことを示す応答を受信した場合には、P2P通信可能状態であると判定する。P2P通信可能状態であれば、VPN装置101及びVPN装置301は、P2P通信経路を介して、暗号化したデータ通信(VPN通信)を開始する(ステップS206)。つまり、P2P通信可能状態であるか否かの判定後に、実データ(音声パケットや映像パケット等の通信データ)の送信を開始する。
【0071】
次に、UDP用フローについて、シーケンス図(図6、7)を参照しながら説明する。
図6は本実施形態のVPNシステムにおけるUDPパケットを検出した場合のVPN構築時の処理手順を示すシーケンス図である。この図6では、VPN装置を含むネットワークにおいて、VPN装置101の配下の端末103からWAN200を経由して他のVPN装置301の配下の端末303に接続しようとする場合の処理を示している。
【0072】
まず、図5の処理手順と同様に、VPN装置101及び301は呼制御サーバ202にログインしてユーザ認証を受け、呼制御サーバ202においてVPN装置101及びVPN装置301の識別情報等の登録、設定が行われる。
【0073】
この状態で、VPN装置101は、VPN通信を行うアプリケーションの起動に伴って外部アドレス・ポート取得部141の機能により、配下の端末103からのVPN接続の接続要求を受けると、呼制御サーバ202に対して、接続先の端末303を配下に持つVPN装置301への通信経路を構築するための接続要求を行う(ステップS301)。このとき、VPN装置101は、発呼側及び被呼側の識別情報を含む接続要求を呼制御サーバ202へ送信する。呼制御サーバ202は、この接続要求を中継してVPN接続の接続先となるVPN装置301へ送信する(ステップS302)。この接続要求により、呼制御サーバ202は、VPN装置101がVPN装置301へVPN接続をしたいという要求を接続先に通知する。
【0074】
VPN装置101による接続要求と同時並行で、VPN装置101は、STUNサーバ201との間で外部アドレス・ポート取得手順を行う(ステップS303)。このとき、VPN装置101は、自装置に割り当てられた外部アドレス・ポート情報(WAN200側からみたグローバルIPアドレス及びポート番号)を取得するため、STUNサーバ201に対して、外部アドレス・ポート取得要求としてバインディングリクエストパケットを送出する。一方、STUNサーバ201は、外部アドレス・ポート取得要求に対して応答し、VPN装置101に外部アドレス・ポート情報返信として外部アドレス・ポート情報を含むバインディングレスポンスパケットを返送する。そして、VPN装置101は、外部アドレス・ポート情報返信により得られた外部アドレス・ポート情報を記憶する。
【0075】
接続先のVPN装置301は、呼制御サーバ202からの接続要求を受けると、呼制御サーバ202に対して、接続要求に対する接続応答を行う(ステップS304)。このとき、VPN装置301は、発呼側及び被呼側の識別情報を含む接続応答を呼制御サーバ202へ送信する。呼制御サーバ202は、この接続応答を中継してVPN接続の接続要求元となるVPN装置101へ送信する(ステップS305)。この接続応答により、呼制御サーバ202は、接続要求に対するVPN装置301からVPN装置101への応答を接続要求元に通知する。
【0076】
VPN装置301による接続応答と同時並行で、VPN装置301は、STUNサーバ201との間で外部アドレス・ポート取得手順を行う(ステップS306)。このとき、VPN装置301は、上記VPN装置101と同様、自装置に割り当てられた外部アドレス・ポート情報(WAN200側からみたグローバルIPアドレス及びポート番号)を取得するため、STUNサーバ201に対して、外部アドレス・ポート取得要求としてバインディングリクエストパケットを送出する。一方、STUNサーバ201は、外部アドレス・ポート取得要求に対して応答し、VPN装置301に外部アドレス・ポート情報返信として外部アドレス・ポート情報を含むバインディングレスポンスパケットを返送する。そして、VPN装置301は、外部アドレス・ポート情報返信により得られた外部アドレス・ポート情報を記憶する。
【0077】
VPN装置101がVPN装置301から接続許可を含む接続応答を受信すると、VPN装置101及びVPN装置301は、呼制御サーバ202を介して、互いに実データ(制御データ等の通信データ)の通信を行う(ステップS307)。つまり、実際の通信経路を確立する前に、実データの通信を開始している。
【0078】
続いて、VPN装置101及びVPN装置301は、呼制御サーバ202を介して、STUNサーバ201から取得した自装置の外部アドレス・ポート情報を互いに通知する(ステップS308)。
【0079】
以降、先に説明したステップS205、S206の処理を行う。つまり、VPN装置101及びVPN装置301は、互いに受信した相手の外部アドレス・ポート情報を用いて、VPN装置101及びVPN装置301との間でP2P通信可能状態であるか否かを判定する(ステップS205)。ここでは、互いに相手の外部アドレス・ポート情報(グローバルIPアドレス及びポート番号)を送信先に設定してWAN200を経由してパケットを送信し、通信可能であるか否かを確認する。P2P通信可能状態である場合には、P2Pの通信経路が確立されているため、VPN装置101及びVPN装置301は、P2P通信により、互いに暗号化した実データの通信を開始する(ステップS206)。
【0080】
次に、図7は本実施形態のVPNシステムにおけるUDPパケットを検出した場合のVPN構築時の別の処理手順を示すシーケンス図である。この図7では、VPN装置を含むネットワークにおいて、VPN装置101の配下の端末103からWAN200を経由して他のVPN装置301の配下の端末303に接続しようとする場合の処理を示している。
【0081】
まず、図5の処理手順と同様に、VPN装置101及び301は呼制御サーバ202にログインしてユーザ認証を受け、呼制御サーバ202においてVPN装置101及びVPN装置301の識別情報等の登録、設定が行われる。
【0082】
この状態で、VPN装置101は、VPN通信を行うアプリケーションの起動に伴って外部アドレス・ポート取得部141の機能により、配下の端末103からのVPN接続の接続要求を受けると、VPN装置101は、STUNサーバ201との間で外部アドレス・ポート取得手順を行う(ステップS401)。このとき、VPN装置101は、自装置に割り当てられた外部アドレス・ポート情報を取得するため、STUNサーバ201に対して、外部アドレス・ポート取得要求としてバインディングリクエストパケットを送出する。一方、STUNサーバ201は、外部アドレス・ポート取得要求に対して応答し、VPN装置101に外部アドレス・ポート情報返信として外部アドレス・ポート情報を含むバインディングレスポンスパケットを返送する。そして、VPN装置101は、外部アドレス・ポート情報返信により得られた外部アドレス・ポート情報を記憶する。
【0083】
続いて、呼制御サーバ202に対して、接続先の端末303を配下に持つVPN装置301へのP2Pの通信経路を構築するための接続要求を行う(ステップS402)。このとき、VPN装置101は、発呼側及び被呼側の識別情報を含む接続要求を呼制御サーバ202へ送信する。呼制御サーバ202は、この接続要求を中継してVPN接続の接続先となるVPN装置301へ送信する(ステップS403)。この接続要求により、呼制御サーバ202は、VPN装置101がVPN装置301へP2P経路構築のためのVPN接続をしたいという要求を接続先に通知する。
【0084】
また、VPN装置101は、VPN装置301へ接続要求を送信すると、呼制御サーバ202を介して実データ(制御データ等の通信データ)を送信する。そして、この実データをVPN装置301が受信する(ステップS404及びステップS405)。
【0085】
接続先のVPN装置301は、呼制御サーバ202からの接続要求を受けると、STUNサーバ201との間で外部アドレス・ポート取得手順を行う(ステップS406)。このとき、VPN装置301は、上記VPN装置101と同様、自装置に割り当てられた外部アドレス・ポート情報を取得するため、STUNサーバ201に対して、外部アドレス・ポート取得要求としてバインディングリクエストパケットを送出する。一方、STUNサーバ201は、外部アドレス・ポート取得要求に対して応答し、VPN装置301に外部アドレス・ポート情報返信として外部アドレス・ポート情報を含むバインディングレスポンスパケットを返送する。そして、VPN装置301は、外部アドレス・ポート情報返信により得られた外部アドレス・ポート情報を記憶する。
【0086】
続いて、VPN装置301は、呼制御サーバ202に対して、接続要求に対する接続応答を行う(ステップS407)。このとき、VPN装置301は、発呼側及び被呼側の識別情報を含む接続応答を呼制御サーバ202へ送信する。呼制御サーバ202は、この接続応答を中継してVPN接続の接続要求元となるVPN装置101へ送信する(ステップS408)。この接続応答により、呼制御サーバ202は、接続要求に対するVPN装置301からVPN装置101への応答を接続要求元に通知する。
【0087】
また、VPN装置301は、VPN装置101へ接続許可を含む接続応答を送信すると、VPN装置101との間で呼制御サーバ202を介して実データの通信(送信、受信のいずれも可能)を行う(ステップS409及びステップS410)。VPN装置101及びVPN装置301が互いにデータ通信を開始した後、VPN装置101及びVPN装置301は、呼制御サーバ202を介して、STUNサーバ201から取得した自装置の外部アドレス・ポート情報を互いに通知する(ステップS308)。そして、図5、図6の処理と同様に、P2P接続確認処理(ステップS205)を行い、P2P通信が可能な状態であればP2P通信を開始する(ステップS206)。
【0088】
次に、TCP用フローについて、フローチャート(図8)を説明する。
図8は本実施形態のVPN装置におけるTCPパケットを検出した場合のVPN構築時の処理内容の一例を示すフローチャートである。この図8は、図5のTCPパケットを検出した場合のVPN構築時の処理に関する具体的な処理内容を示したものである。
【0089】
まず、図5の処理手順と同様に、VPN装置101及び301は呼制御サーバ202にログインしてユーザ認証を受け、呼制御サーバ202においてVPN装置101及びVPN装置301の識別情報等の登録、設定が行われる。
【0090】
VPNの構築にあたってVPN接続するために、発呼側のVPN装置101は、まず、待受用の外部アドレス・ポート情報として、自装置のグローバルIPアドレス及びポート番号を含む外部アドレス・ポート情報を取得する処理を行う(ステップS501、ステップS201)。
【0091】
続いて、VPN装置101は、被呼側のVPN装置301に対する接続要求を送信する(ステップS502、ステップS202)。この接続要求は、接続先の端末303を特定するための識別情報などを含むものである。また、接続要求には、ステップS501で取得した自装置の外部アドレス・ポート情報を含めて送信する。この接続要求は、呼制御サーバ202を経由してVPN装置301に伝送される。
【0092】
被呼側のVPN装置301は、VPN装置101からの接続要求を受信する(ステップS503)。接続要求を受信すると、VPN装置301は、この接続要求に含まれている接続元(VPN装置101側)の外部アドレス・ポート情報を取り出し、この情報をメモリに記憶する(ステップS504)。そして、VPN装置301は、待受用の外部アドレス・ポート情報として、ステップS501と同様にして、自装置(VPN装置101からから見ると相手装置)のグローバルIPアドレス及びポート番号を含む外部アドレス・ポート情報を取得する処理を行う(ステップS505、S203)。
【0093】
続いて、VPN装置301は、発呼側のVPN装置101から受信した接続要求に対する接続応答を送信する(ステップS506)。この接続応答には、ステップS505で取得した自装置の外部アドレス・ポート情報を含めて送信する。この接続応答は、呼制御サーバ202を経由してVPN装置101に伝送される。
【0094】
発呼側のVPN装置101は、接続応答を受信したかを判定して接続応答の待受けを行う(ステップS507)。接続応答を受信すると、VPN装置101は、この接続応答に含まれている接続先(VPN装置301側)の外部アドレス・ポート情報を取り出し、この情報をメモリに記憶する(ステップS508)。そして、VPN装置101及びVPN装置301は、互いにP2P通信可能状態であるか否かを確認する(ステップS509)。
【0095】
上記の処理により、P2P通信可能状態である場合にP2P通信開始処理(S206)を実行する時点では、発呼側のVPN装置101は、自装置の外部アドレス・ポート情報と、被呼側のVPN装置301の外部アドレス・ポート情報とを取得している。一方、被呼側のVPN装置301は、自装置の外部アドレス・ポート情報と、発呼側のVPN装置101の外部アドレス・ポート情報とを取得している。
【0096】
P2P通信開始後、発呼側のVPN装置101は、被呼側のVPN装置301が待ち受けているグローバルIPアドレス及びポート番号を宛先として、VPN装置301に向けてP2P通信により実データを送信する(ステップS510)。一方、VPN装置301は、自装置の待受用のグローバルIPアドレス及びポート番号によってデータの待ち受けを行い、発呼側のVPN装置101から送信された実データを受信する(ステップS511)。また、被呼側のVPN装置301は、発呼側のVPN装置101が待ち受けているグローバルIPアドレス及びポート番号を宛先として、VPN装置101に向けてP2P通信により実データを送信する(ステップS512)。一方、VPN装置101は、自装置の待受用のグローバルIPアドレス及びポート番号によってデータの待ち受けを行い、被呼側のVPN装置301から送信された実データを受信する(ステップS513)。
【0097】
次に、UDP用フローについて、フローチャート(図9、図10)を説明する。
図9は図6のシーケンス図に対応するUDPパケットを検出した場合のVPN構築時の処理手順を示すフローチャートである。この図9では、VPN装置を含むネットワークにおいて、VPN装置101の配下の端末103からWAN200を経由して他のVPN装置301の配下の端末303に接続しようとする場合の処理を示している。
【0098】
まず、図5の処理手順と同様に、VPN装置101及び301は呼制御サーバ202にログインしてユーザ認証を受け、呼制御サーバ202においてVPN装置101及びVPN装置301の識別情報等の登録、設定が行われる。
【0099】
VPN装置101は、呼制御サーバ202を介してVPN装置301へ接続要求を送信する(ステップS601)とともに、STUNサーバ201から自装置の外部アドレス・ポート情報を取得する(ステップS602)。VPN装置301は、VPN装置101からの接続要求を受信すると(ステップS603)、STUNサーバ202から自装置の外部アドレス・ポート情報を取得する(ステップS604)とともに、呼制御サーバ202を介してVPN装置101へ接続応答を送信する(ステップS605)。
【0100】
VPN装置101は、VPN装置301からの接続応答を受信したか否かを判定し(ステップS606)、受信していない場合には接続応答を受信するまで待機する。VPN装置101が接続許可を含む接続応答を受信すると、VPN装置101及びVPN装置301は、呼制御サーバ202を介して互いに実データの通信を開始する(ステップS607及びステップS608)。
【0101】
上記のデータ通信を開始した後、VPN装置101は、呼制御サーバ202を介して、STUNサーバ201から取得したVPN装置101の外部アドレス・ポート情報をVPN装置301へ送信する(ステップ609)。そして、VPN装置301は、このVPN装置101の外部アドレス・ポート情報を発呼側アドレス情報として受信する(ステップS610)。同様に、VPN装置301は、呼制御サーバ202を介して、STUNサーバ201から取得したVPN装置301の外部アドレス・ポート情報をVPN装置101へ送信する(ステップ611)。そして、VPN装置101は、このVPN装置301の外部アドレス・ポート情報を被呼側アドレス情報として受信する(ステップS612)。
【0102】
続いて、VPN装置101及びVPN装置301は、互いに受信した相手の外部アドレス・ポート情報を用いて、P2P接続が可能であるか否かを確認する(ステップS613)。ここでは、先に説明したように、P2P通信可能状態であるか否かを確認する。
【0103】
P2P通信可能状態である場合には、VPN装置101及びVPN装置301は、P2P通信を開始する。具体的には、VPN装置101は、VPN装置301の外部アドレス・ポート情報に基づいてVPN装置301へ実データの送信をP2P通信で行う(ステップS614)。そして、VPN装置301は、VPN装置101からの実データを受信する(ステップS615)。同様に、VPN装置301は、VPN装置101の外部アドレス・ポート情報に基づいてVPN装置101へ実データの送信をP2P通信で行う(ステップS616)。そして、VPN装置101は、VPN装置301からの実データを受信する(ステップS617)。
【0104】
次に、図10は図7のシーケンス図に対応するUDPパケットを検出した場合のVPN構築時の別の処理手順を示すフローチャートである。この図10では、VPN装置を含むネットワークにおいて、VPN装置101の配下の端末103からWAN200を経由して他のVPN装置301の配下の端末303に接続しようとする場合の処理を示している。
【0105】
まず、図5の処理手順と同様に、VPN装置101及び301は呼制御サーバ202にログインしてユーザ認証を受け、呼制御サーバ202においてVPN装置101及びVPN装置301の識別情報等の登録、設定が行われる。
【0106】
VPN装置101は、STUNサーバ202から自装置の外部アドレス・ポート情報を取得する(ステップS701)。続いて、VPN装置101は、呼制御サーバ202を介してVPN装置301へ接続要求を送信する(ステップS702)。また、VPN装置101は、接続要求を送信するとともに、呼制御サーバ202を介してVPN装置301への実データの送信を開始する(ステップS703)。
【0107】
VPN装置301は、VPN装置101からの接続要求を受信すると(ステップS704)、呼制御サーバ202を介してVPN装置101からの実データの受信を開始する(ステップS705)。続いて、VPN装置301は、STUNサーバ201から自装置の外部アドレス・ポート情報を取得する(ステップS706)。
【0108】
続いて、VPN装置301は、呼制御サーバ202を介してVPN装置101へ接続応答を送信する(ステップS707)。VPN装置301は、接続許可を含む接続応答を送信すると、呼制御サーバ202を介して、VPN装置101との間で実データの通信を開始する(ステップS708)。
【0109】
VPN装置101は、VPN装置301からの接続応答を受信したか否かを判定し(ステップS709)、受信していない場合には接続応答を受信するまで待機する。VPN装置101は、接続許可を含む接続応答を受信すると、呼制御サーバ202を介して、VPN装置301との間で実データの通信を開始する(ステップS710)。
【0110】
VPN装置101及びVPN装置301が互いにデータ通信を開始した後の処理は、図9のステップS609〜S617の処理と同じである。
【0111】
このようなTCP用フロー、つまり図5、図8の処理手順によれば、TCPパケットに関しては、P2P通信可能状態であるか否かの確認前、つまりP2Pの通信経路を確立する前に、呼制御サーバ202経由でTCPパケットの送受信を行うことはなく、リアルタイム性を必要とするUDPパケットの送受信を優先的に実施させることができる。P2P通信可能状態であるか否かを判定する前に送信すべきTCPパケットが存在していた場合であっても、そのTCPパケットはP2P通信可能状態の判定前においては破棄される。このようにTCPパケットを破棄した場合であっても、TCPプロトコルの再送制御機能により、定期的に破棄したTCPパケットの再送要求が発生する。そして、P2P通信可能状態であるか否かの判定後の再送要求により、判定前には破棄されたTCPパケットと同一内容のパケットをVPN装置301へ自動的に送信することができる。したがって、TCPパケットが欠落することもない。このように、複数のVPN装置101、301間でのTCP通信は通信経路確立後に保障される。
【0112】
また、このようなUDP用フロー、つまり図6、図7、図9、図10の処理手順によれば、P2P通信可能状態であるか否かの確認前、つまりP2Pの通信経路を確立する前に、呼制御サーバ202を介してUDPパケットの通信を行う。そのため、通信パケットがバースト的に発生した場合であっても、リアルタイム性が要求されるUDPパケットについてはTCPパケットよりも優先してP2P通信可能状態であるか否かの判定前に送信を開始することで、呼制御サーバにかかる負荷を軽減することができ、リアルタイム性が高く要求されるデータについてデータ通信の遅延や通信障害が発生することを回避することができる。また、UDPパケットについては、P2P通信可能状態か否かを確認するために要する時間に起因するデータ通信開始の遅延を回避し、データ通信を高速化することができる。特に、図7、図10では接続要求とともにUDPパケットを送信することができるため、データ通信をより高速化することが可能である。このように、複数のVPN装置101、301間での通信経路確立時までの通信パケットを中継するサーバに発生する負荷を軽減すると共に、通信遅延、通信障害の発生を最小限に留めることが可能である。
【0113】
(変形例)
先の説明ではVPN機能を有するVPN装置が独立した装置として配置され、その配下に端末が配置されることを示したが、VPN装置(ここでは、VPN機能を有する端末)のみが配置されるようにしてもよい。ここでは、図1に示したVPNシステム及び図3に示したVPN装置と異なる点についてのみ説明する。
【0114】
図11は本発明の実施形態に係るVPNシステムの変形構成例を示す図である。図1に示したVPNシステムの構成と異なる点は、VPN装置101及びその配下の端末103の代わりに、VPN装置104を備え、同様に、VPN装置301及びその配下の端末303の代わりに、VPN装置304を備える点である。
【0115】
図12は本実施形態のVPN装置104の機能的な構成例(変形構成例)を示すブロック図である。ここでは、図3に示したVPN装置101と異なる点についてのみ説明する。
【0116】
VPN装置104は、機能構成として、配下端末と接続するネットワークインタフェース114、配下端末管理部131、データ中継部133を備えておらず、代わりに、VoIP(Voice Over Internet Protocol)アプリケーション機能部136、音声データ制御部137、データ入出力部138を備える。これらの各機能は、ハードウェアの動作、またはCPU111が所定のプログラムを実行することにより実現する。
【0117】
VoIPアプリケーション機能部136は、VoIPアプリケーション機能を実現させる各種プログラムの実行を行う。音声データ制御部137は、上記各種プログラムの実行により、他の端末との間で送受信されたりデータ入出力部138により入出力されたりする音声データ等の制御を行う。データ入出力部138は、マイク、スピーカ、操作パネル等が有する機能であり、音声データ等の各種データの入出力を行う。また、通信制御部140は、データ中継部133に代わり、通信データを送信/受信する機能を有する。
【0118】
なお、ここでは、VPN装置104がVoIPによる音声通話機能を有する場合を想定したが、先に示した他のVPN通信の用途を想定した端末としてもよい。
【0119】
また、VPN構築時の処理手順については、基本的に図4〜10に示した処理手順と同様であるが、VPN装置104は、VoIPアプリケーション機能部136によるアプリケーション起動により自ら接続要求を行う。また、VPN装置104は、通信制御部140により送信すべき実データの種別を、TCP判定部144により判定する。そして、その判定結果に基づいて、処理順序決定部145により、所定の処理を行う優先順位、つまり、P2P通信可能状態であるか否かの判定と実データの送信開始との順序を決定する。
【0120】
このような本実施形態のVPN装置104、304によれば、VPN装置を独立して設けることなく、複数のVPN装置(ここでは、VPN機能を有する端末)間で通信を行うときの通信遅延の発生を回避することができ、データ通信を高速化することができる。特に、通信パケットがUDPパケットである場合には、リアルタイム性を重視して通信経路確立確認前に呼制御サーバ202を経由して通信開始を行うことができる。また、通信パケットがTCPパケットである場合には、リアルタイム性を重視しないパケットであることが多いため、通信経路確立確認前にはパケットの送信を待機し、通信経路確立後に通信開始を行うことができる。このように、VPN通信開始時にバースト的に送信すべき通信パケットが発生したとしても、通信パケットの特性に応じて通信パケットの送信優先度を決定することができ、それに応じた送信処理を行うことで呼制御サーバや回線負荷を軽減することが出来る。なお、TCPパケットの送信待機中には、実際にはTCPパケットは破棄されるが、TCPプロトコルの再送制御機能により、同一パケットを所定期間後に再送することができることになる。
【0121】
なお、本実施形態では、主に、P2P通信を行う場合について具体的に説明したが、P2P通信以外のVPN通信を想定してもよい。
【産業上の利用可能性】
【0122】
本発明は、複数のVPN装置間での通信開始時におけるサーバ負荷軽減、および通信遅延、通信障害の発生を最小限に留めることが可能なVPN装置、VPNネットワーキング方法、プログラム、記憶媒体等に有用である。
【符号の説明】
【0123】
100、300 LAN
101、301 VPN装置
102、302 ルータ
103、303 端末
104、304 VPN装置(端末)
111 CPU
112 不揮発性メモリ
113 メモリ
114、115 ネットワークインタフェース
116 LAN側ネットワーク制御部
117 WAN側ネットワーク制御部
118 通信中継部
119 表示制御部
120 表示部
130 システム制御部
131 配下端末管理部
132 メモリ部
133 データ中継部
134 設定用インタフェース部
135 外部アドレス・ポート情報記憶部
136 VoIPアプリケーション機能部
137 音声データ制御部
138 データ入出力部
140 通信制御部
141 外部アドレス・ポート取得部
142 VPN機能部
143 呼制御機能部
144 TCP判定部
145 処理順序決定部
146 暗号処理部
200 WAN
201 STUNサーバ
202 呼制御サーバ

【特許請求の範囲】
【請求項1】
ネットワーク上で、他のVPN装置との間で仮想プライベートネットワークを構築して通信を行うVPN装置であって、
前記ネットワークを介して、当該VPN装置が通信する際に使用するグローバルアドレス情報及びポート情報を取得する外部アドレス・ポート情報取得部と、
前記ネットワークを介して、当該VPN装置の前記グローバルアドレス情報及び前記ポート情報を前記他のVPN装置へ送信する外部アドレス・ポート情報送信部と、
前記ネットワークを介して、前記他のVPN装置からの前記他のVPN装置のグローバルアドレス情報及びポート情報を受信する外部アドレス・ポート情報受信部と、
前記他のVPN装置の前記グローバルアドレス情報及び前記ポート情報を用いて、当該VPN装置と前記他のVPN装置との間でVPN通信が可能な状態であるか否かを判定する通信状態判定部と、
通信データを前記他のVPN装置へ送信する通信データ送信部と、
前記通信データ送信部により送信される通信データのプロトコル種別を判定するデータ種別判定部と、
前記データ種別判定部による判定結果に基づいて、前記通信状態判定部による前記VPN通信が可能な状態であるか否かの判定と前記通信データ送信部による前記通信データの送信開始との順序を決定する処理順序決定部と、
を備えるVPN装置。
【請求項2】
請求項1に記載のVPN装置であって、更に、
当該VPN装置配下の通信端末からの通信データを受信する通信データ受信部を備え、
前記送信データ送信部は、前記通信データ受信部により受信された通信データを送信するVPN装置。
【請求項3】
請求項1または2に記載のVPN装置であって、
前記処理順序決定部は、前記データ種別判定部により前記通信データがUDPデータであると判定された場合、前記通信状態判定部によって前記VPN通信が可能な状態であるか否かが判定される前に前記通信データの送信を開始することを決定し、
前記データ送信部は、前記通信状態判定部による前記VPN通信が可能な状態であるか否かの判定前に、前記ネットワークを介して、前記他のVPN装置へ通信データの送信を開始するVPN装置。
【請求項4】
請求項1または2に記載のVPN装置であって、
前記処理順序決定部は、前記データ種別判定部により前記通信データがTCPデータであると判定された場合、前記通信状態判定部によって前記VPN通信が可能な状態であるか否かが判定された後に前記通信データの送信を開始することを決定し、
前記データ送信部は、前記通信状態判定部による前記VPN通信が可能な状態であるか否かの判定後に、前記VPN通信が可能な状態であると判定された通信経路を介して、前記他のVPN装置へ通信データの送信を開始するVPN装置。
【請求項5】
ネットワーク上で、他のVPN装置との間で仮想プライベートネットワークを構築して通信を行うVPN装置のVPNネットワーキング方法であって、
前記ネットワークを介して、当該VPN装置が通信する際に使用するグローバルアドレス情報及びポート情報を取得するステップと、
前記ネットワークを介して、当該VPN装置の前記グローバルアドレス情報及び前記ポート情報を前記他のVPN装置へ送信するステップと、
前記ネットワークを介して、前記他のVPN装置からの前記他のVPN装置のグローバルアドレス情報及びポート情報を受信するステップと、
前記他のVPN装置の前記グローバルアドレス情報及び前記ポート情報を用いて、当該VPN装置と前記他のVPN装置との間でVPN通信が可能な状態であるか否かを判定するステップと、
通信データを前記他のVPN装置へ送信するステップと、
送信される通信データのプロトコル種別を判定するステップと、
前記通信データのプロトコル種別の判定結果に基づいて、前記VPN通信が可能な状態であるか否かの判定と前記通信データの送信開始との順序を決定するステップと、
を有するVPNネットワーキング方法。
【請求項6】
請求項5に記載のVPNネットワーキング方法の各ステップを実行させるためのプログラム。
【請求項7】
請求項5に記載のVPNネットワーキング方法の各ステップを実行させるためのプログラムを記録したコンピュータ読み取り可能な記憶媒体。

【図1】
image rotate

【図2】
image rotate

【図3】
image rotate

【図4】
image rotate

【図5】
image rotate

【図6】
image rotate

【図7】
image rotate

【図8】
image rotate

【図9】
image rotate

【図10】
image rotate

【図11】
image rotate

【図12】
image rotate


【公開番号】特開2011−124770(P2011−124770A)
【公開日】平成23年6月23日(2011.6.23)
【国際特許分類】
【出願番号】特願2009−280560(P2009−280560)
【出願日】平成21年12月10日(2009.12.10)
【出願人】(000005821)パナソニック株式会社 (73,050)
【Fターム(参考)】