(57)【特許請求の範囲】
【請求項１】
通信事業者が運営する広域パケット通信網上に構築され、運用される論理的に独立した仮想プライベートネットワーク間の通信を、パケットフィルタリング機能やアドレス変換機能等を有し、広域パケット通信網のセキュリティ管理システムにより管理される仮想プライベートネットワーク間接続装置を介して行う仮想プライベートネットワーク間通信における接続管理方法において、
仮想プライベートネットワークを管理する管理者が該仮想プライベートネットワークに属するユーザ網を管理するユーザ網管理システムに対して設定した仮想プライベートネットワーク間通信の開設や設定変更のためのパケットフィルタリングやアドレス変換等に関する接続ルールを、該ユーザ網管理システムからセキュリティ管理システムへ送り、
セキュリティ管理システムでは一のユーザ網管理システムから送られた接続ルールを、該接続ルールにおける一の仮想プライベートネットワークの接続相手である他の仮想プライベートネットワークに属するユーザ網を管理する他のユーザ網管理システムから送られた接続ルールと照合し、
一致する接続ルールが存在する場合、該接続ルールを仮想プライベートネットワーク間接続装置への設定情報に変換して配信する
ことを特徴とする仮想プライベートネットワーク間通信における接続管理方法。
【請求項２】
通信事業者が運営する広域パケット通信網上に構築され、運用される論理的に独立した仮想プライベートネットワーク間の通信を、パケットフィルタリング機能やアドレス変換機能等を有し、広域パケット通信網のセキュリティ管理システムにより管理される仮想プライベートネットワーク間接続装置を介して行う仮想プライベートネットワーク間通信における接続管理装置において、
仮想プライベートネットワークに属するユーザ網を管理し、該仮想プライベートネットワークを管理する管理者が設定した仮想プライベートネットワーク間通信の開設や設定変更のためのパケットフィルタリングやアドレス変換等に関する接続ルールをセキュリティ管理システムへ送るユーザ網管理システムと、
一のユーザ網管理システムから送られた接続ルールを、該接続ルールにおける一の仮想プライベートネットワークの接続相手である他の仮想プライベートネットワークに属するユーザ網を管理する他のユーザ網管理システムから送られた接続ルールと照合し、一致する接続ルールが存在する場合、該接続ルールを仮想プライベートネットワーク間接続装置への設定情報に変換して配信するセキュリティ管理システムとを備えた
ことを特徴とする仮想プライベートネットワーク間通信における接続管理装置。
【請求項３】
セキュリティ管理システムは、
ユーザ網管理システムからの接続ルールを受信するユーザ網管理システム通信部と、
接続ルールを管理する接続ルール管理部と、
異なる仮想プライベートネットワークからの接続ルールを照合し、接続の可否を判定する接続ルール判定部と、
接続ルールが一致した場合、仮想プライベートネットワーク間接続装置への設定情報を自動生成して配信する仮想プライベートネットワーク間接続装置制御部とを有する
ことを特徴とする請求項２記載の仮想プライベートネットワーク間通信における接続管理装置。
【請求項４】
セキュリティ管理システムの接続ルール管理部は、
ユーザ網管理システムからのパケットのヘッダ及び接続ルールから該ユーザ網管理システムが管理している仮想プライベートネットワークを識別し、それを基にユーザ網管理システムからの接続ルールを仮想プライベートネットワーク毎に論理的に独立したテーブルとして登録・管理し、仮想プライベートネットワーク間接続装置を仮想プライベートネットワーク管理者に対し、自己が管理する仮想ファイアウォールとしてそのテーブルを操作可能なデータ管理方式を有する
ことを特徴とする請求項３記載の仮想プライベートネットワーク間通信における接続管理装置。
【請求項５】
セキュリティ管理システムのユーザ網管理システム通信部、接続ルール管理部及び接続ルール判定部は、
ユーザ網管理システムから接続ルールを受信した際、そのテーブル中のアドレス情報から接続相手の仮想プライベートネットワークの接続ルールを検索し、登録状況をユーザ網管理システムに送信する機能を有する
ことを特徴とする請求項４記載の仮想プライベートネットワーク間通信における接続管理装置。
【請求項６】
ユーザ網管理システムは、
仮想ファイアウォールに対して仮想プライベートネットワーク管理者が設定した接続ルールをセキュリティ管理システムに送信し、セキュリティ管理システムからの接続相手の仮想プライベートネットワークの接続ルールの登録状況を受信するセキュリティ管理システム制御部と、
仮想プライベートネットワーク管理者に対し接続相手の仮想プライベートネットワークの接続ルールの登録状況を通知する管理者通信部とを有する
ことを特徴とする請求項５記載の仮想プライベートネットワーク間通信における接続管理装置のユーザ網管理システム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、仮想プライベートネットワーク間の通信における接続管理方法及びその装置に関するものである。
【０００２】
【従来の技術】
論理的に独立した仮想プライベートネットワーク（以下、ＶＰＮと称す。）間で安全な通信を行う場合、それぞれのＶＰＮにパケットフィルタリング機能やアドレス変換機能等を有するファイアウォールを設置し、それぞれのＶＰＮの利用規定に即した管理・運用を行う必要がある。
【０００３】
通信事業者が運営する広域パケット通信網上に構築され、運用されるＶＰＮ間の接続を通信事業者がサービスとして実施する場合、経済性の観点から、ＶＰＮ間毎にファイアウォールを配置するのでなく、複数のＶＰＮ間通信のパケットフィルタリングやアドレス変換を集中的に行う仮想プライベートネットワーク間接続装置（ＶＰＮ間接続装置）を用いて管理・運用を行っている。
【０００４】
【発明が解決しようとする課題】
ここで、ＶＰＮ間の通信を開設したり、その設定を変更しようとする場合、従来は、それぞれの仮想プライベートネットワーク管理者（ＶＰＮ管理者）がＶＰＮ間通信の利用規定をオフラインで調整し、その内容を通信事業者側のサービス受付担当にサービスオーダとして提出しなければならず、また、通信事業者側ではサービスオーダの内容について契約に対する妥当性や他のＶＰＮへのセキュリティ侵害の有無に関して審議し、その後、オペレータがＶＰＮ間接続装置のパケットフィルタリングやアドレス変換等に関する設定情報に変換し、ＶＰＮ間接続装置に対して直接設定しなければならなかった。
【０００５】
本発明の目的は、上述の課題を鑑み、従来、通信事業者に依頼して行っていたＶＰＮ間の接続設定をＶＰＮ管理者が、自己のファイアウォールと同様に管理・制御可能とすることにある。
【０００６】
【課題を解決するための手段】
本発明では、前記課題を解決するため、通信事業者が運営する広域パケット通信網上に構築され、運用される論理的に独立した仮想プライベートネットワーク間の通信を、パケットフィルタリング機能やアドレス変換機能等を有し、広域パケット通信網のセキュリティ管理システムにより管理される仮想プライベートネットワーク間接続装置を介して行う仮想プライベートネットワーク間通信における接続管理方法において、仮想プライベートネットワークを管理する管理者が該仮想プライベートネットワークに属するユーザ網を管理するユーザ網管理システムに対して設定した仮想プライベートネットワーク間通信の開設や設定変更のためのパケットフィルタリングやアドレス変換等に関する接続ルールを、該ユーザ網管理システムからセキュリティ管理システムへ送り、セキュリティ管理システムでは一のユーザ網管理システムから送られた接続ルールを、該接続ルールにおける一の仮想プライベートネットワークの接続相手である他の仮想プライベートネットワークに属するユーザ網を管理する他のユーザ網管理システムから送られた接続ルールと照合し、一致する接続ルールが存在する場合、該接続ルールを仮想プライベートネットワーク間接続装置への設定情報に変換して配信するものとする。
【０００７】
また、本発明では、前記課題を解決するため、通信事業者が運営する広域パケット通信網上に構築され、運用される論理的に独立した仮想プライベートネットワーク間の通信を、パケットフィルタリング機能やアドレス変換機能等を有し、広域パケット通信網のセキュリティ管理システムにより管理される仮想プライベートネットワーク間接続装置を介して行う仮想プライベートネットワーク間通信における接続管理装置において、仮想プライベートネットワークに属するユーザ網を管理し、該仮想プライベートネットワークを管理する管理者が設定した仮想プライベートネットワーク間通信の開設や設定変更のためのパケットフィルタリングやアドレス変換等に関する接続ルールをセキュリティ管理システムへ送るユーザ網管理システムと、一のユーザ網管理システムから送られた接続ルールを、該接続ルールにおける一の仮想プライベートネットワークの接続相手である他の仮想プライベートネットワークに属するユーザ網を管理する他のユーザ網管理システムから送られた接続ルールと照合し、一致する接続ルールが存在する場合、該接続ルールを仮想プライベートネットワーク間接続装置への設定情報に変換して配信するセキュリティ管理システムとを備えるものとする。
【０００８】
また、前記接続管理装置において、セキュリティ管理システムは、ユーザ網管理システムからの接続ルールを受信するユーザ網管理システム通信部と、接続ルールを管理する接続ルール管理部と、異なる仮想プライベートネットワークからの接続ルールを照合し、接続の可否を判定する接続ルール判定部と、接続ルールが一致した場合、仮想プライベートネットワーク間接続装置への設定情報を自動生成して配信する仮想プライベートネットワーク間接続装置制御部とを有することを特徴とする。
【０００９】
また、前記接続管理装置において、セキュリティ管理システムの接続ルール管理部は、ユーザ網管理システムからのパケットのヘッダ及び接続ルールから該ユーザ網管理システムが管理している仮想プライベートネットワークを識別し、それを基にユーザ網管理システムからの接続ルールを仮想プライベートネットワーク毎に論理的に独立したテーブルとして登録・管理し、仮想プライベートネットワーク間接続装置を仮想プライベートネットワーク管理者に対し、自己が管理する仮想ファイアウォールとしてそのテーブルを操作可能なデータ管理方式を有することを特徴とする。
【００１０】
また、前記接続管理装置において、セキュリティ管理システムのユーザ網管理システム通信部、接続ルール管理部及び接続ルール判定部は、ユーザ網管理システムから接続ルールを受信した際、そのテーブル中のアドレス情報から接続相手の仮想プライベートネットワークの接続ルールを検索し、登録状況をユーザ網管理システムに送信する機能を有することを特徴とする。
【００１１】
また、前記接続管理装置において、ユーザ網管理システムは、仮想ファイアウォールに対して仮想プライベートネットワーク管理者が設定した接続ルールをセキュリティ管理システムに送信し、セキュリティ管理システムからの接続相手の仮想プライベートネットワークの接続ルールの登録状況を受信するセキュリティ管理システム制御部と、仮想プライベートネットワーク管理者に対し接続相手の仮想プライベートネットワークの接続ルールの登録状況を通知する管理者通信部とを有することを特徴とする。
【００１２】
【発明の実施の形態】
以下、図面を用いて本発明を詳細に説明する。
【００１３】
図１は本発明の実施の形態の一例を示すもので、ここでは装置間の接続関係及び制御手順を含むシステム全体の構成を示している。
【００１４】
図１において、１は通信事業者が運営する広域パケット通信網、２Ａ，２Ｂは広域パケット通信網１上に構築され、運用される仮想プライベートネットワーク、３Ａ−１，３Ａ−２は仮想プライベートネットワーク２Ａに属するユーザ網、３Ｂ−１，３Ｂ−２は仮想プライベートネットワーク２Ｂに属するユーザ網、４は仮想プライベートネットワーク間の通信を実現する仮想プライベートネットワーク（ＶＰＮ）間接続装置、５は仮想プライベートネットワーク間接続装置４を管理するセキュリティ管理システムである。
【００１５】
ユーザ網３Ａ−１は端末装置６Ａ−１，６Ａ−２、パケット交換装置７Ａ及びユーザ網管理システム８Ａを含み、また、ユーザ網３Ｂ−１は端末装置６Ｂ−１，６Ｂ−２、パケット交換装置７Ｂ及びユーザ網管理システム８Ｂを含んでいる（なお、ユーザ網３Ａ−２，３Ｂ−２についても同様であるが、ここでは省略した。）。
【００１６】
端末装置６Ａ−１，６Ａ−２は同じユーザ網内のパケット交換装置７Ａを経由して広域パケット通信網１と接続し、また、端末装置６Ｂ−１，６Ｂ−２は同じユーザ網内のパケット交換装置７Ｂを経由して広域パケット通信網１と接続している。
【００１７】
セキュリティ管理システム５は網管理用ネットワーク９を経由して広域パケット網１に接続している。また、セキュリティ管理システム５はユーザ網管理システム８Ａ，８Ｂとの間に通信経路を備えている。
【００１８】
各仮想プライベートネットワーク２Ａ，２Ｂにはそれぞれ少なくとも一人の管理者が存在し、統一的な運用指針に基づいて仮想プライベートネットワークを管理しており、これらの管理者は端末装置６Ａ−１，６Ａ−２，６Ｂ−１，６Ｂ−２を用いて、自己が管理するユーザ網管理システム８Ａ，８Ｂとの間で双方向の情報をやり取りする。
【００１９】
図２はセキュリティ管理システム５の詳細を示すもので、ユーザ網管理システムからの接続ルールを受信するユーザ網管理システム通信部５１と、接続ルールを管理する接続ルール管理部５２と、異なる仮想プライベートネットワークからの接続ルールを照合し、接続の可否を判定する接続ルール判定部５３と、接続ルールが一致した場合、仮想プライベートネットワーク間接続装置への設定情報を自動生成して配信する仮想プライベートネットワーク間接続装置制御部５４とを有している。
【００２０】
なお、接続ルール管理部５２は、ユーザ網管理システムからのパケットのヘッダ及び接続ルールから該ユーザ網管理システムが管理している仮想プライベートネットワークを識別し、それを基にユーザ網管理システムからの接続ルールを仮想プライベートネットワーク毎に論理的に独立したテーブルとして登録・管理し、仮想プライベートネットワーク間接続装置を仮想プライベートネットワーク管理者に対し、自己が管理する仮想ファイアウォールとしてそのテーブルを操作可能なデータ管理方式を有している。
【００２１】
図３はユーザ網管理システムの詳細を示すもので、仮想プライベートネットワーク管理者から設定される接続ルール等の情報を受け付け、また、仮想プライベートネットワーク管理者に対し接続相手の仮想プライベートネットワークの接続ルールの登録状況を通知する管理者通信部８１と、仮想プライベートネットワーク管理者から設定されたデータを登録するユーザ網データ管理部８２と、ユーザ網内の各装置を制御するユーザ網内装置制御部８３とを有している。また、ユーザ網内装置制御部８３は仮想プライベートネットワーク管理者が設定した接続ルールをセキュリティ管理システムに送信し、セキュリティ管理システムからの接続相手の仮想プライベートネットワークの接続ルールの登録状況を受信するセキュリティ管理システム制御部８４を備えている。
【００２２】
ここで、仮想プライベートネットワーク２Ａ，２Ｂは論理的に独立しており、仮想プライベートネットワーク間接続装置４に両者間の接続設定は行われておらず、両者間の通信は不可能な状態であるとする。
【００２３】
今、仮想プライベートネットワーク２Ａの管理者が、管理下にある端末装置６Ａ−２と、仮想プライベートネットワーク２Ｂ内の端末装置６Ｂ−２との間の通信の開設を希望しているものとする。
【００２４】
この場合、仮想プライベートネットワーク２Ａの管理者は、仮想プライベートネットワーク２Ａ内のある端末装置６Ａ−１からユーザ網管理システム８Ａに対し、端末装置６Ａ−２と端末装置６Ｂ−２との間の通信に関する接続ルールの設定を行う（イ）。
【００２５】
この際、端末装置６Ａ−１からユーザ管理システム８Ａに対して通知されるパケットフィルタリングに関する接続ルールのテーブルの一例を図４に、また、アドレス変換に関する接続ルールのテーブルの一例を図５に示す。
【００２６】
ユーザ網管理システム８Ａは管理者通信部８１でこれを受け付け、ユーザ網データ管理部８２においてデータの登録を行った後、セキュリティ管理システム制御部８４においてセキュリティ管理システム５のアドレス情報を取得し、接続ルールをセキュリティ管理システム５に転送する（ロ）。
【００２７】
セキュリティ管理システム５はユーザ網管理システム通信部（の受信部）５１でこの接続ルールを受け取り、この接続ルールのパケットフィルタリングテーブルの送信元／送信先アドレスとアドレス変換テーブルから、これが仮想プライベートネットワーク２Ａと２Ｂとの通信であることを認識し、接続ルール判定部５３において、接続ルール管理部５２に登録されている、仮想プライベートネットワーク２Ｂの管理者がこれまでに設定した接続ルールのテーブル群を検索する（ハ）。
【００２８】
検索した結果、端末装置６Ａ−２と端末装置６Ｂ−２との通信を許可する接続ルールが存在しない場合は、ユーザ網管理システム８Ａに、接続相手の仮想プライベートネットワークには当該する接続ルールは登録されていない旨がユーザ網管理システム通信部（の送信部）５１から通知され、ユーザ網管理システム８Ａはセキュリティ管理システム制御部８４でこれを受信し、管理者が利用している端末装置６Ａ−１へ管理者通信部８１から転送する。
【００２９】
ユーザ網管理システム８Ａから登録された接続ルールは、実効性のない仮登録の接続ルールのフラグが立てられ、接続ルール管理部５２に登録される。
【００３０】
次に、仮想プライベートネットワーク２Ｂの管理者が、仮想プライベートネットワーク２Ｂ内のある端末装置６Ｂ−１からユーザ網管理システム８Ｂに対し、端末装置６Ａ−２と端末装置６Ｂ−２との間の通信を開設するための接続ルールをユーザ網管理システム８Ｂに対し、設定したとする（ニ）。
【００３１】
ユーザ網管理システム８Ｂは管理者通信部８１でこれを受け付け、ユーザ網データ管理部８２においてデータの登録を行った後、セキュリティ管理システム制御部８４においてセキュリティ管理システム５のアドレス情報を取得し、接続ルールをセキュリティ管理システム５に送信する（ホ）。
【００３２】
セキュリティ管理システム５はユーザ網管理システム通信部（の受信部）５１でこの接続ルールを受け取り、この接続ルールのパケットフィルタリングテーブルの送信元／送信先アドレス及びアドレス変換テーブルから、これが仮想プライベートネットワーク２Ａと２Ｂとの通信であることを認識し、接続ルール判定部５３において、接続ルール管理部５２に登録されている、仮想プライベートネットワーク２Ａの管理者がこれまでに設定した接続ルールのテーブル群を検索する（ヘ）。
【００３３】
接続ルールのパケットフィルタリング情報及びアドレス変換情報から、接続ルール判定部５３において接続ルールが先に仮想プライベートネットワーク２Ａの管理者が登録した接続ルールと一致がみられた場合（ト）、仮想プライベートネットワーク２Ａ及び２Ｂの接続ルールは、ＶＰＮ間接続装置制御部５４に送られる。ＶＰＮ間接続装置制御部５４において、接続ルールは、ＶＰＮ間接続装置４の設定情報に変換され、配信される（チ）。
【００３４】
ＶＰＮ間接続装置４はこれを受信し、パケットフィルタリングテーブル及びアドレス変換テーブルを書き換えることで端末装置６Ａ−２と端末装置６Ｂ−２との間の通信が可能となる（リ）。
【００３５】
ＶＰＮ間接続装置４への設定が確認された後、セキュリティ管理システム５から、ユーザ網管理システム８Ａ，８Ｂに対し、設定完了通知が配信され（ヌ）、ユーザ網管理システム８Ａ，８Ｂはそれぞれ管理者が使用している、端末装置６Ａ−１，６Ｂ−１に対し、これを送信する（ル）。
【００３６】
図６にセキュリティ管理システムにおける処理の流れを、また、図７にユーザ網管理システムにおける処理の流れをそれぞれ示す。
【００３７】
【発明の効果】
以上説明したように、本発明によれば、ＶＰＮ間通信の開設を行う場合や、既に接続している通信の設定を変更する場合、ＶＰＮの管理者がそれぞれ自ＶＰＮから他ＶＰＮへの通信の接続ルールをセキュリティ管理システムに登録することで、通信事業者が管理するＶＰＮ間接続装置に対する制御が可能となる。
【００３８】
これにより従来、通信事業者に依頼して行っていたＶＰＮ間の接続制御をユーザ側で行えるようになり、ＶＰＮを利用している企業網間でのエクストラネット構築運用管理を、ユーザ側で柔軟にかつ迅速に行うことが可能となる。また、通信事業者に対してもＶＰＮ接続装置の設定を自動化できることからオペレータの管理稼動が軽減される。
【図面の簡単な説明】
【図１】本発明の実施の形態の一例を示すシステム全体の構成図
【図２】セキュリティ管理システムの詳細を示す構成図
【図３】ユーザ網管理システムの詳細を示す構成図
【図４】パケットフィルタリングに関する接続ルールのテーブルの一例を示す説明図
【図５】アドレス変換に関する接続ルールのテーブルの一例を示す説明図
【図６】セキュリティ管理システムにおける処理の流れを示すフローチャート
【図７】ユーザ網管理システムにおける処理の流れを示すフローチャート
【符号の説明】
１：広域パケット通信網、２Ａ，２Ｂ：仮想プライベートネットワーク、３Ａ−１，３Ａ−２，３Ｂ−１，３Ｂ−２：ユーザ網、４：仮想プライベートネットワーク間接続装置、５：セキュリティ管理システム、６Ａ−１，６Ａ−２，６Ｂ−１，６Ｂ−２：端末装置、７Ａ，７Ｂ：パケット交換装置、８Ａ，８Ｂ：ユーザ網管理システム、９：網管理用ネットワーク、５１：ユーザ網管理システム通信部、５２：接続ルール管理部、５３：接続ルール判定部、５４：仮想プライベートネットワーク間接続装置制御部、８１：管理者通信部、８２：ユーザ網データ管理部、８３：ユーザ網内装置制御部、８４：セキュリティ管理システム制御部。
【図１】
0003566198.tif 000002
【図２】
0003566198.tif 000003
【図３】
0003566198.tif 000004
【図４】
0003566198.tif 000005
【図５】
0003566198.tif 000006
【図６】
0003566198.tif 000007
【図７】
0003566198.tif 000008