(57)【要約】【課題】  ローカルネットワークのアクセスポイント（ＡＰ）とインターネットサービスプロバイダー（ＩＳＰ）ネットワークの間にトンネルを構築する通信システムにおいて、ＡＰからローカルネットワーク内のローカルサーバにアクセスすることを可能にする。【解決手段】  ローカルネットワーク（１）内に通信制御装置（１５）を設け、当該通信制御装置（１５）を通過するパケットの宛先アドレスを監視し、該宛先アドレスが上記ローカルネットワーク（１）内に設けられたローカルサーバ（１６）のアドレスであれば、上記ＩＳＰネットワーク用トンネリングを終端して上記ＡＰと上記ローカスサーバ間のローカルサーバアクセス用トンネリングを行い、上記宛先アドレスが上記ローカルサーバのアドレス以外であれば上記ＩＳＰネットワーク用トンネリングルをそのまま使用するよう制御する。【選択図】  図１
2010287944.tif 000002
【特許請求の範囲】
【請求項１】
ローカルネットワーク内に、パケット監視機能部、トンネル終端／構築機能部およびＤＮＳエージェント機能部、アクセス制御状態管理部からなる通信制御装置を具備することを特徴とする通信システム。
【請求項２】
上記通信制御装置は、パケットの宛先アドレスを監視し、宛先アドレスが指定されるローカルサーバのアドレスであれば、アクセスポイントとインターネットサービスプロバイダーの間で構築されるトンネリングを終端し、ローカルサーバアクセス用トンネリングを行う機能と、宛先アドレスが指定されるアドレス以外であればインターネットサービスプロバイダーネットワーク用トンネリングをそのまま使用することを特徴とする請求項１に記載の通信システム。
【請求項３】
上記ローカルサーバは、外部サーバへのアクセス許可または制限を端末毎に判定し、通信制御装置へ外部アクセス制御メッセージを用いてそのアクセス制御情報を通知し、通信制御装置では、ユーザ端末毎に外部アクセス制御情報を管理することを特徴とする請求項２に記載の通信システム。
【請求項４】
上記通信制御装置は、ＤＮＳメッセージの解析を行い、ユーザ端末が外部アクセス制限状態であれば、全ドメインへのＤＮＳ問合せに対してローカルサーバのアドレスを応答し、外部ネットワークへのアクセスを制限することを特徴とする請求項１に記載の通信システム。
【請求項５】
上記通信制御装置は、ＤＮＳメッセージの解析を行い、ユーザ端末が外部アクセス許可状態であれば、ローカルサーバに対するＤＮＳ問合せに対して、ローカルサーバのアドレスを通知するＤＮＳ代理機能を持ち、その他のドメインに対するＤＮＳ問合せに対しては代理処理を行なわず外部ＤＮＳサーバへ通過させることを特徴とする請求項１に記載の通信システム。
【請求項６】
インターネットサービスプロバイダネットワークとインターネットサービスプロバイダーネットワーク用トンネリングを使用して通信を行うアクセスポイントを備えるローカルネットワーク内に設けられる通信制御装置であって、
当該通信制御装置を通過するパケットの宛先アドレスを監視し、該宛先アドレスが上記ローカルネットワーク内に設けられたローカルサーバのアドレスであれば、上記インターネットサービスプロバイダーネットワーク用トンネリングを終端して上記アクセスポイントと上記ローカスサーバ間のローカルサーバアクセス用トンネリングを行い、上記宛先アドレスが上記ローカルサーバのアドレス以外であれば上記インターネットサービスプロバイダーネットワーク用トンネリングルをそのまま使用するよう制御する
ことを特徴とする通信制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明はローカルネットワークとインターネットサービスプロバイダー（ＩＳＰ）ネットワークの間で通信を行う通信システムおよびこの通信システムで用いられる通信制御装置に関するものである。
【背景技術】
【０００２】
インターネットや通信事業者の持つ公衆回線を用いる従来の通信システムでは、ＩＰアドレス取得のためのレイヤ２経路確保や、セキュリティの問題によって、ローカルネットワークのアクセスポイント（ＡＰ）とインターネットサービスプロバイダー（ＩＳＰ）ネットワークの間に、トンネルを構築する通信方法が用いられている。このトンネリング技術は、拠点同士を仮想的に接続するＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）やＬ２ＴＰ（Ｌａｙｅｒ  ２  Ｔｕｎｎｅｌｉｎｇ  Ｐｒｏｔｏｃｏｌ）などの技術に用いられており、パケットに新たなヘッダを挿入するカプセル化によって実現されている（例えば、特許文献１参照）。
【０００３】
図７に、ローカルネットワークとＩＳＰネットワークの通信例を示す。ローカルネットワーク１にあるユーザ端末５は、同ネットワーク内のアクセスポイント４とＩＳＰネットワーク３のトンネル終端装置７の間で構築されるトンネル６を経由することで、公衆回線２を用いてＩＳＰネットワーク３へ接続する。ＩＳＰネットワークには、ＩＰアドレスを割り当てるＤＨＣＰサーバ９や公衆回線接続装置１２などが配備される。
【０００４】
トンネル内で送信されるパケットのフレームフォーマットを、図８に示す。ここでは、Ｌ２ＴＰを用いたＰＰＰ（Ｐｏｉｎｔ−ｔｏ−Ｐｏｉｎｔ  Ｐｒｏｔｏｃｏｌ）通信を例としている。公衆回線やインターネットへ送信されるデータ１４に対して、Ｌ２ＴＰヘッダとＵＤＰヘッダ、トンネル用のＩＰヘッダを用いてカプセル化し、トンネル内データ１３を構築する。トンネル用のＩＰヘッダは、ローカルネットワークのＡＰとＩＳＰネットワークのトンネル終端装置間のアドレスとなる。この技術を用いることで、クライアントやサーバからは、あたかも専用回線のように見え、通信経路の確保、およびセキュアな通信を実現することができる。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開平１１−１４６０１６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
以上のようなシステムにおいては、例えばローカルネットワーク固有のローカルサーバへのアクセスのように、ＩＳＰネットワークにアクセスする必要がないローカルネットワークに閉じた通信がアクセスポイント４からは不可能であるという課題があった。
【課題を解決するための手段】
【０００７】
この発明は、インターネットサービスプロバイダネットワークとインターネットサービスプロバイダーネットワーク用トンネリングを使用して通信を行うアクセスポイントを備えるローカルネットワーク内に設けられる通信制御装置であって、当該通信制御装置を通過するパケットの宛先アドレスを監視し、該宛先アドレスが上記ローカルネットワーク内に設けられたローカルサーバのアドレスであれば、上記インターネットサービスプロバイダーネットワーク用トンネリングを終端して上記アクセスポイントと上記ローカスサーバ間のローカルサーバアクセス用トンネリングを行う機能と、上記宛先アドレスが上記ローカルサーバのアドレス以外であれば上記インターネットサービスプロバイダーネットワーク用トンネリングルをそのまま使用するよう制御するようにしたものである。
【発明の効果】
【０００８】
本発明によれば、トンネリング技術を用いた通信においても、ローカルサーバとの通信が可能となる。
【図面の簡単な説明】
【０００９】
【図１】実施の形態１のローカルサーバアクセス機能を示すシステム構成図である。
【図２】実施の形態１における通信制御装置の構成例を示す図である。
【図３】実施の形態１における通信制御装置のパケット処理例を示すフローチャートである。
【図４】実施の形態２における通信制御装置の構成例を示す図である。
【図５】実施の形態２における通信制御装置のＤＮＳ処理例を示すフローチャートである。
【図６】実施の形態２における外部アクセス制御メッセージのフレームフォーマット例を示す図である。
【図７】既存トンネリング技術を用いた通信システムの構成を示す図である。
【図８】既存トンネリング技術に用いられるカプセル化フレームフォーマットの例を示す図である。
【発明を実施するための形態】
【００１０】
実施の形態１．
図１は、この発明のローカルサーバアクセス機能を示すシステム構成図である。
【００１１】
図１において、ローカルネットワーク１では、アクセスポイント４とトンネル終端装置７の間に、通信制御装置１５を配置し、アクセスポイント４と通信制御装置１５の間にトンネル１７を、通信制御装置１５とトンネル終端装置７の間にトンネル１９を構築する。ローカルサーバ１６は、通信制御装置１５と接続されており、通信制御装置１５とローカルサーバ１６の間にトンネル１８を構築する。
【００１２】
さらに、通信制御装置１５は、図２に示すように、トンネル終端／構築機能部２２とパケット監視機能部２３とから構成される。
【００１３】
次に動作について説明する。
まず、アクセスポイント４とトンネル終端装置７間に、トンネル１７およびトンネル１９を構築する。ここでは、トンネル１７とトンネル１９を便宜上分割して記載しているが、この２つのトンネルは同一のものである。ユーザ端末５は、上記トンネル１７および１９を使用して、ＩＳＰネットワークとの認証処理やＩＰアドレス取得など、接続の確立などを実施する。
【００１４】
通信制御装置１５は、パケット監視機能部２３においてユーザ端末５から送信されるパケットの宛先アドレスを監視してこの宛先アドレスをトンネル終端／構築機能部２２に通知し、トンネル終端／構築機能部２２は宛先アドレスが指定される宛先アドレス以外であれば、トンネル１７からトンネル１９へパケットを透過させる。一方、指定される宛先アドレスであれば、ローカルサーバ用のトンネル１８への付け替え処理を行う。ここで、指定される宛先アドレスは、ローカルサーバのアドレスであり、通信制御装置のパラメータで指定しても良いし、ＳＮＭＰ（Ｓｉｍｐｌｅ  Ｎｅｔｗｏｒｋ  Ｍａｎａｇｅｍｅｎｔ  Ｐｒｏｔｏｃｏｌ）を用いて遠隔操作で設定しても良いし、その方法によって本発明の効果が限定されるものではない。
【００１５】
また、ＩＳＰネットワーク側から受信されるパケットについても同様で、パケット監視機能部２３においてパケットの宛先アドレスを監視し、この宛先アドレスをトンネル終端／構築機能部２２に通知し、トンネル終端／構築機能部２２は宛先アドレスが指定されるアドレス以外であればトンネル１９からトンネル１７へパケットを透過し、指定されるアドレスであればローカルサーバ用のトンネル１８への付け替え処理を行う。
一方、ローカルサーバから受信されるパケットについては、ユーザ端末宛であればトンネル１７へ付け替えを行い、それ以外の宛先であればトンネル１９へ付け替えを行う。
【００１６】
図３に、通信制御装置の動作を表すフローチャート図を示す。まず、通信制御装置では、受信したパケットの受信ポート判定２４を行う。ユーザ端末側ポートからパケットを受信した場合、宛先アドレス判定２５を行う。宛先アドレスが、指定されるアドレス以外であれば、トンネル１７からトンネル１９へパケットを透過２６し、ＩＳＰネットワーク側へ送信２７する。また、宛先アドレスが、指定アドレスであれば、ＩＳＰネットワーク用のトンネル１７を終端２８し、ローカルサーバ用のトンネル１８を構築２９した後、ローカルサーバ側へ送信３０する。ここで、トンネルの終端は、カプセル化されたパケットのうちトンネル用に用いられるプロトコルを終端する機能である。また、トンネルの構築は、パケットをカプセル化する機能を示している。
【００１７】
また、受信ポート判定２４において、ＩＳＰネットワーク側ポートからパケットを受信した場合、宛先アドレス判定３１を行う。宛先アドレスが、指定されるアドレス以外であれば、トンネル１９からトンネル１７へパケットを透過３２し、ユーザ端末側へ送信３３する。また、宛先アドレスが指定アドレスであれば、ＩＳＰネットワーク用のトンネル１９を終端３４し、ローカルサーバ用のトンネル１８を構築３５した後、ローカルサーバ側へ送信３６する。
【００１８】
さらに、受信ポートの判定２４において、ローカルサーバ側ポートからパケットを受信した場合、宛先アドレス判定３７を行う。宛先アドレスが、ユーザ端末のアドレス、またはそれを含むネットワークアドレスである場合、ローカルサーバ用のトンネル１８を終端３８し、ＩＳＰネットワーク用のトンネル１７を構築３９した後、ユーザ端末側へ送信４０する。一方、宛先アドレスがＩＳＰネットワーク側のアドレスであれば、ローカルサーバ用のトンネル１８を終端４１し、ＩＳＰネットワーク用のトンネル１９を構築４２した後、ＩＳＰネットワーク側へ送信４３する。
【００１９】
本実施の形態では、受信ポートによって通信制御装置の処理を判別しているが、送信元アドレスやネットワークアドレスによって判別しても良い。また、受信トンネルの識別子によって、処理を判別することも可能である。さらに、宛先アドレスによる判別処理においても、送信先を判別できる識別子であれば、同様の処理を行うことが可能である。
【００２０】
さらに、本実施の形態では、図１に示すようにアクセスポイントと独立した装置として通信制御装置を設置するシステム構成例を示したが、アクセスポイントと一体型の装置として動作させることにより、トンネルの終端／構築処理を少なくすることが可能となる。
【００２１】
以上のように、ローカルネットワーク内に通信制御装置を設置し、宛先アドレスによってトンネルを終端／構築することで、トンネリング技術を用いた通信においても、ローカルサーバとの通信が可能となる。これにより、設備や場所に特徴を持つ情報を、ローカルネットワーク内に配信することが可能となる。上記使用例としては、列車内への運行情報や路線沿いの地域情報配信、公共設備内への設備情報やイベント情報などが挙げられる。上記効果に加え、ローカルネットワーク内に閉じた通信となるため、遅延の少ない通信を実現できると共に、公衆網の回線負荷の軽減効果が得られる。この効果は、特に、公衆回線が無線伝送となる携帯電話網やＷｉＭＡＸ網などに有効である。
【００２２】
実施の形態２．
以上の実施の形態１では、ローカルサーバ通信を実現するようにしたものであるが、次にローカルネットワーク利用を促し、外部ネットワークのアクセス制御を行うための実施の形態を示す。
【００２３】
図４は、このような場合の通信制御装置の構成図を示したものである。
図４では、ローカルサーバ通信を実現するパケット監視機能部２３とトンネル終端／構築機能部２２に加えて、ＤＮＳを用いたアクセス制御を行うＤＮＳエージェント機能部２０と、ユーザ端末毎にアクセス制御状態を管理するアクセス制御状態管理部２１から構成する。
【００２４】
次に、通信制御装置によるアクセス制御動作を示す。
本実施の形態では、ユーザ端末から外部サーバへアクセスする際に送信されるＤＮＳメッセージを利用したアクセス制御を行う。ＤＮＳは、ユーザ端末からＤＮＳサーバに対して、ＤＮＳリクエストメッセージを用いたドメイン問合せを行い、ＤＮＳサーバは、問合せのあったドメインに対応するＩＰアドレスを、ＤＮＳレスポンスを用いて通知する動作である。
【００２５】
パケット監視機能部２３は、ユーザ端末から受信されるパケットを監視し、ＤＮＳリクエストメッセージであれば、ＤＮＳエージェント機能部２０へ通知を行う。ＤＮＳエージェント機能部２０は、アクセス制御状態管理部２１へ当該ＭＳのアクセス制御状態を問合せ、外部ネットワークへのアクセス許可状態であれば、ＤＮＳリクエストをそのままＩＳＰネットワークへ送信する。一方、当該ＭＳのアクセス制御状態が、外部ネットワークへのアクセス制限状態であれば、ＤＮＳレスポンスを用いてローカルサーバのＩＰアドレスを通知する。
【００２６】
図５に、アクセス制御のフローチャートを示す。ユーザ端末からＤＮＳリクエスト受信４４した場合、アクセス制御状態の判定４５を行う。外部アクセス制限状態であれば、全てのＤＮＳリクエストに対してローカルサーバＩＰアドレスの通知４６、ユーザ端末へＤＮＳレスポンス送信４７行い、外部アクセスの制限を実施する。一方、アクセス制御状態が外部アクセス許可状態であれば、ＤＮＳリクエストをＤＮＳサーバへそのまま送信４８する。
【００２７】
ローカルサーバでは、ユーザ端末の外部アクセス制限または許可を判定し、通信制御装置へ外部アクセス制御メッセージを用いて通知を行う。ローカルサーバでの上記判定は、ユーザＩＤとパスワードによる認証や、その他認証アルゴリズムを用いても良い。また、タイマー等によってアクセス許可時間を設定し、タイムアウト時に外部アクセス許可状態から外部アクセス制限状態へ移行し、通信制御装置へ外部アクセス制御メッセージを用いた通知を行う方法も考えられる。通信制御装置への外部アクセス制御メッセージは、例えば、図６に示すようなフレーム構成を持ち、ユーザ端末の識別子４９、外部アクセス許可／制限５０を通知可能なメッセージとする。
外部アクセス制御メッセージを受信した通信制御装置は、アクセス制御状態管理部２１において、ユーザ端末毎に外部アクセス制御状態を管理する。
【００２８】
また、外部アクセス許可状態である場合、ＤＮＳエージェント機能部２０は、ローカルサーバへのＤＮＳリクエストを用いた問合せに対して、ローカルサーバのＩＰアドレスを、ＤＮＳレスポンスメッセージを用いて代理応答する。
【００２９】
本実施の形態では、ローカルサーバにおいてユーザ端末の認証を行い、通信制御装置へ通知する構成例を示したが、通信制御装置に認証機能を持たせることも可能である。上記構成では、外部アクセス制御メッセージは不要となる。
【００３０】
以上のように、本実施の形態ではＤＮＳメッセージを用いた外部アクセス制御機能によって、ユーザ端末の外部アクセス許可／制限状態を制御することで、ユーザ端末に対してローカルネットワークの利用を促し、ネットワークのトラヒック負荷を軽減することができる。また、外部ネットワークへのユーザ端末認証を実施することで正規ユーザ端末の識別を行い、セキュアな通信が可能となる。
【産業上の利用可能性】
【００３１】
以上のように、この発明はトンネルを用いたネットワーク間通信に適用可能である。
【符号の説明】
【００３２】
１  ローカルネットワーク、２  公衆回線、３  ＩＳＰネットワーク、４  アクセスポイント、５  ユーザ端末、７  トンネル終端装置、１５  通信制御装置、１６  ローカルサーバ、１７  トンネル、１８  トンネル、１９  トンネル、２０  ＤＮＳエージェント機能部、２２  トンネル終端／構築機能部、２３  パケット機能監視部、４９  ユーザ端末識別子、５０  アクセス許可／制限。
【図１】
2010287944.tif 000003
【図２】
2010287944.tif 000004
【図３】
2010287944.tif 000005
【図４】
2010287944.tif 000006
【図５】
2010287944.tif 000007
【図６】
2010287944.tif 000008
【図７】
2010287944.tif 000009
【図８】
2010287944.tif 000010