(57)【要約】【課題】仮想ネットワークを運用する方法を提供すること。【解決手段】この方法は、第１仮想化タグ（Ｔ１）に割り当てられたネットワーク・ポートの第１の組（１０１）を備える第１仮想ネットワーク（１０３）と、第２仮想化タグ（Ｔ２）に割り当てられたネットワーク・ポートの第２の組（１０５）を備える第２仮想ネットワーク（１０４）とを設けることであって、第１仮想ネットワーク（１０３）と第２仮想ネットワーク（１０４）が互換アドレス範囲を有し、それらの中でのみデータ・パケットを渡すように適合されること、第１仮想ネットワーク（１０３）内のソース・アドレス（ＳＡ）を有し、第１仮想化タグ（Ｔ１）によって第１仮想ネットワーク（１０３）に割り当てられた第１ポート（Ｐ１）に動作的に接続された第１ネットワーク・ノード（Ｎ１）を設けること、所定の条件を検出するために第１ネットワーク・ノード（Ｎ１）を監視すること、および所定の条件の検出時に、第１ネットワーク・ノード（Ｎ１）から第１仮想ネットワーク（１０３）に割り当てられた第２ポート（Ｐ２）に接続された第２ネットワーク・ノード（Ｎ２）に直接的に第１仮想化タグ（Ｔ１）によってデータ・パケットを渡すことができないように、第１ポート（Ｐ１）に第２仮想化タグ（Ｔ２）を割り当てることによって第２仮想ネットワーク（１０４）に第１ポート（Ｐ１）を再割当てし、第２仮想ネットワーク（１０４）内の第１ネットワーク・ノード（Ｎ１）についてのソース・アドレス（ＳＡ）を保つことを含む。  本発明はさらに、本発明の方法を実施するように適合された仮想ネットワーク、データ・ネットワーク・システム、コンピュータ・プログラム、およびコンピュータ・プログラム製品を運用する別の方法に関する。【選択図】図１
2009519663.tif 000002
【特許請求の範囲】
【請求項１】
仮想ネットワークを運用する方法であって、
第１仮想化タグ（Ｔ１）に割り当てられたネットワーク・ポートの第１の組（１０１）を備える第１仮想ネットワーク（１０３）と、第２仮想化タグ（Ｔ２）に割り当てられたネットワーク・ポートの第２の組（１０５）を備える第２仮想ネットワーク（１０４）とを設けることであって、前記第１仮想ネットワーク（１０３）と前記第２仮想ネットワーク（１０４）が互換アドレス範囲を有し、それらの中でのみデータ・パケットを渡すように適合されること、
前記第１仮想ネットワーク（１０３）内のソース・アドレス（ＳＡ）を有し、前記第１仮想化タグ（Ｔ１）によって前記第１仮想ネットワーク（１０３）に割り当てられた第１ポート（Ｐ１）に動作的に接続された第１ネットワーク・ノード（Ｎ１）を設けること、
所定の条件を検出するために前記第１ネットワーク・ノード（Ｎ１）を監視すること、および
前記所定の条件の検出時に、前記第１ネットワーク・ノード（Ｎ１）から前記第１仮想ネットワーク（１０３）に割り当てられた第２ポート（Ｐ２）に接続された第２ネットワーク・ノード（Ｎ２）に直接的に前記第１仮想化タグ（Ｔ１）によってデータ・パケットを渡すことができないように、前記第１ポート（Ｐ１）に前記第２仮想化タグ（Ｔ２）を割り当てることによって前記第２仮想ネットワーク（１０４）に前記第１ポート（Ｐ１）を再割当てし、前記第２仮想ネットワーク（１０４）内の前記第１ネットワーク・ノード（Ｎ１）についての前記ソース・アドレス（ＳＡ）を保つこと
を含む方法。
【請求項２】
前記所定の条件が、第１状態（３０２）から第２状態（３０３）への状態マシン（３０１）の状態遷移（３０５）によって与えられ、前記状態マシン（３０１）の各状態（３０２、３０３）が、仮想化タグ（Ｔ１、Ｔ２）に対するネットワーク・ポート（Ｐ１、Ｐ２）ごとの割当てに関連付けられる請求項１に記載の方法。
【請求項３】
仮想ネットワークを運用する方法であって、
第１仮想化タグ（Ｔ１）に割り当てられたネットワーク・ポートの第１の組（１０１）を備える第１仮想ネットワーク（１０３）と、第２仮想化タグ（Ｔ２）に割り当てられたネットワーク・ポートの第２の組（１０５）を備える第２仮想ネットワーク（１０４）とを設け、前記第１仮想ネットワーク（１０３）と前記第２仮想ネットワーク（１０４）が互換アドレス範囲を有し、それらの中でのみデータ・パケットを渡すように適合されること、
前記第１仮想化タグ（Ｔ１）によって前記第１仮想ネットワーク（１０３）に割り当てられた第１トランスレータ・ポート（Ｐ４）、および前記第２仮想化タグ（Ｔ２）によって前記第２仮想ネットワーク（１０４）に割り当てられた第２トランスレータ・ポート（Ｐ５）に動作的に接続されたアドレス・トランスレータ（１０６）を設けること、
前記第２仮想ネットワーク（１０４）の送信機ポート（Ｐ１）に接続された送信機ノード（Ｎ１）により、宛先アドレス（ＤＡ）を有するパケット・ヘッダを含むデータ・パケットを送ること、
前記データ・パケットを前記送信機ポート（Ｐ１）によって前記第２仮想化タグ（Ｔ２）でマークすること、
前記パケット・ヘッダの前記宛先アドレス（ＤＡ）を有する宛先ノード（Ｎ２）が前記第２仮想ネットワーク（１０４）内に含まれるかどうかを判定すること、および
前記宛先ノード（Ｎ２）が前記第２仮想ネットワーク（１０４）内に含まれないことを検出した時に、前記第１仮想ネットワーク（１０３）または前記第２仮想ネットワーク（１０４）に含まれる受信機ノード（Ｎ２、Ｎ３）に前記データ・パケットをリダイレクトし、前記第１仮想化タグ（Ｔ１）または前記第２仮想化タグ（Ｔ２）にそれぞれ割り当てられた前記第１トランスレータ・ポート（Ｐ４）または前記第２トランスレータ・ポート（Ｐ５）に前記アドレス・トランスレータ（１０６）を介して前記データ・パケットを送信することによってさらに処理すること
を含む方法。
【請求項４】
前記受信機ノード（Ｎ２）が前記第１仮想ネットワーク（１０３）内に含まれ、
リダイレクトする前記ステップにおいて、前記パケット・ヘッダ内に含まれるソース・アドレス（ＳＡ）が、前記第１仮想ネットワーク（１０３）内の前記アドレス・トランスレータ（１０６）に割り当てられた第１トランスレータ・アドレス（１０７）に変更され、変更後のデータ・パケットが前記第１トランスレータ・ポート（Ｐ４）に送られて、前記受信機ノード（Ｎ２）に送信される請求項３に記載の方法。
【請求項５】
前記受信機ノード（Ｎ３）が前記第２仮想ネットワーク（１０４）内に含まれ、受信機アドレス（ＲＡ）を有し、
リダイレクトする前記ステップにおいて、前記パケット・ヘッダ内に含まれる前記宛先アドレス（ＤＡ）が前記受信機アドレス（ＲＡ）に変更され、変更後のデータ・パケットが前記第２トランスレータ・ポート（Ｐ５）に送られて、受信機ノード（Ｎ３）に送信される請求項３に記載の方法。
【請求項６】
前記受信機ノード（Ｎ２、Ｎ３）が、アプリケーション・プロトコル特有のプロキシ・ノード（２０４）である請求項３に記載の方法。
【請求項７】
対応する仮想化タグ（Ｔ１、Ｔ２）によって仮想ネットワーク（１０３、１０４）にそれぞれ割り当てられるように適合された多数のポートを備える交換機（１００）と、
前記第１仮想化タグ（Ｔ１）によって前記第１仮想ネットワーク（１０３）に割り当てられた前記交換機（１００）の第１トランスレータ・ポート（Ｐ４）、および前記第２仮想化タグ（Ｔ２）によって前記第２仮想ネットワーク（１０４）に割り当てられた前記交換機（１００）の第２トランスレータ・ポート（Ｐ５）に動作的に接続されたアドレス・トランスレータ（１０６）と、
ソース・アドレス（ＳＡ）を有し、前記第１仮想化タグ（Ｔ１）によって前記第１仮想ネットワーク（１０３）に割り当てられた第１ポート（Ｐ１）に動作的に接続された第１ネットワーク・ノード（Ｎ１）とを備えるデータ・ネットワーク・システムであって、
請求項１または２のいずれか一項に記載の方法を実施するように適合されるデータ・ネットワーク・システム。
【請求項８】
前記第１仮想ネットワーク（１０３）に動作的に接続された第２ネットワーク・ノード（Ｎ２）、または前記第２仮想ネットワーク（１０４）に動作的に接続された第３ネットワーク・ノード（Ｎ３）をさらに備え、
請求項３ないし６のいずれか一項に記載の方法を実施するようにさらに適合される請求項７に記載のデータ・ネットワーク・システム。
【請求項９】
請求項１ないし６のいずれか一項に記載の方法のステップすべてを実施するように適合されたプログラム命令を含むコンピュータ・プログラム。
【請求項１０】
請求項１ないし６のいずれか一項に記載の方法のステップのすべてを実施するように少なくとも１つのプロセッサで実行可能であるプログラム命令を具体化するコンピュータ可読媒体を含むコンピュータ・プログラム製品。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、第１仮想化タグに割り当てられたネットワーク・ポートの第１の組を備える第１仮想ネットワークと、第２仮想化タグに割り当てられたネットワーク・ポートの第２の組を備える第２仮想ネットワークとを有し、第１仮想ネットワークと第２仮想ネットワークが互換アドレス範囲を有し、それらの中でのみデータ・パケットを渡すように適合された仮想ネットワークを運用する方法に関する。本発明はさらに、本発明の方法を実施するように適合されたデータ・ネットワーク・システム、コンピュータ・プログラム、およびコンピュータ・プログラム製品に関する。
【背景技術】
【０００２】
仮想ネットワークは、物理ネットワーク、具体的にはローカル・エリア・ネットワーク（ＬＡＮ）の論理セグメントである。例えば、仮想ローカル・エリア・ネットワーク（ＶＬＡＮ）が、とりわけＶＬＡＮ識別タグを含む追加のパケット・ヘッダによって従来型イーサネット（Ｒ）規格ＩＥＥＥ８０２．１を拡張するＩＥＥＥ８０２．１ｑ規格に記載されている。ＩＥＥＥ８０２．１ｑ規格と互換性のある交換機および他の能動ネットワーク構成要素は、パケット・ヘッダに含まれるＶＬＡＮタグに対応するＶＬＡＮタグを有するＶＬＡＮに対して構成されるネットワーク・ポートを介してデータ・パケットを渡すだけである。
【０００３】
例えば、仮想ネットワークを使用して、インターネットなどのインセキュアなオープン・ネットワーク内にセキュアな閉鎖ネットワークを作成することができる。さらに、仮想ネットワークを使用して、データ・パケット間のネットワーク・コリジョン数を低減し、したがってネットワーク性能を改善することができる。
【０００４】
しかし、上記および類似の有益な目的を達成するために、ネットワーク・ノード、例えばネットワークに接続されたコンピュータと、ネットワーク装置、例えば交換機とを適切に構成すべきである。例えば、コンピュータは、仮想ネットワーク内の有効かつ固有のアドレスを必要とする。さらに、例えばメールやウェブ・サーバなどの重要なサービス・ノードの有効なアドレスと共にコンピュータを構成すべきである。とりわけ、交換機、ルータ、および他のネットワーク装置を、適切な仮想ネットワーク・ポート割当てと共に構成する必要がある。そのような構成プロセスは面倒なものであり、誤りが生じやすい。
【０００５】
その結果、実際には、ネットワーク管理者によって構成される仮想ネットワークは非常にわずかである。さらに、ネットワーク・ノードは、ある仮想ネットワークから別の仮想ネットワークにほとんど移動されない。これは、仮想ネットワークによって達成することのできる目的の一部、例えば、誤った振舞いをするネットワーク・ノードを分離すること、または仮想ネットワークを調整して性能要件を変更することとは対照的である。
【発明の開示】
【発明が解決しようとする課題】
【０００６】
したがって、仮想ネットワークおよびデータ・ネットワーク・システムを運用する改良型の方法が求められている。
【課題を解決するための手段】
【０００７】
本発明の一態様によれば、仮想ネットワークを運用する方法が提供される。この方法は、第１仮想化タグに割り当てられたネットワーク・ポートの第１の組を備える第１仮想ネットワークと、第２仮想化タグに割り当てられたネットワーク・ポートの第２の組を備える第２仮想ネットワークとを設けることを含み、第１仮想ネットワークと第２仮想ネットワークが互換アドレス範囲を有し、それらの中でのみパケットを渡すように適合される。この方法は、第１仮想ネットワーク内のソース・アドレスを有し、第１仮想化タグによって第１仮想ネットワークに割り当てられた第１ポートに動作的に接続された第１ネットワーク・ノードを設けるステップと、所定の条件を検出するために第１ネットワーク・ノードを監視するステップと、所定の条件の検出時に、第１ネットワーク・ノードから第１仮想ネットワークに割り当てられた第２ポートに接続された第２ネットワーク・ノードに直接的に第１仮想化タグによってデータ・パケットを渡すことができないように、第１ポートに第２仮想化タグを割り当てることによって第２仮想ネットワークに第１ポートを再割当てし、第２仮想ネットワーク内の第１ネットワーク・ノードについてのソース・アドレスを保つステップとをさらに含む。
【０００８】
所与の第１ポートに第２仮想化タグを割り当てることにより、第１ネットワーク・ノードを第１仮想ネットワークから第２仮想ネットワークに移動することができる。第１仮想ネットワークと第２仮想ネットワークは互換アドレス範囲を有し、第１ネットワーク・ノードのネットワーク・アドレスが第２仮想ネットワーク内で同一に保たれるので、第１仮想ネットワークから第２仮想ネットワークに第１ネットワーク・ノードを移動することは、第１ネットワーク・ノードに対して透過的である。したがって、第１ネットワーク・ノードの構成を変更する必要がない。したがって、ネットワーク・ノードをある仮想ネットワークから別の仮想ネットワークに移動して、例えば第１仮想ネットワークから第１ネットワーク・ノードを分離することができる。
【０００９】
本発明の第１の態様の有利な実施形態によれば、所定の条件は、第１状態から第２状態への状態マシンの状態遷移によって与えられ、状態マシンの各状態が、仮想化タグに対するネットワーク・ポートごとの割当てに関連付けられる。
【００１０】
所定の条件を検出するために状態マシンを使用することにより、仮想ネットワークの多数の構成を作成し、状態マシンの状態と関連付けることができる。例えば、ネットワーク障害またはネットワーク管理者が開始した操作の発生などのイベントを使用して、状態遷移、すなわち仮想ネットワークの新しい構成をトリガすることができる。
【００１１】
本発明の第２の態様によれば、仮想ネットワークを運用する方法が提供される。この方法は、第１仮想化タグに割り当てられたネットワーク・ポートの第１の組を備える第１仮想ネットワークと、第２仮想化タグに割り当てられたネットワーク・ポートの第２の組を備える第２仮想ネットワークとを設け、第１仮想ネットワークと第２仮想ネットワークが互換アドレス範囲を有し、それらの中でのみデータ・パケットを渡すように適合されるステップを含む。この方法は、第１仮想化タグによって第１仮想ネットワークに割り当てられた第１トランスレータ・ポート、および第２仮想化タグによって第２仮想ネットワークに割り当てられた第２トランスレータ・ポートに動作的に接続されたアドレス・トランスレータを設けるステップと、第２仮想ネットワークの送信機ポートに接続された送信機ノードにより、宛先アドレスを有するパケット・ヘッダを含むデータ・パケットを送るステップと、データ・パケットを送信機ポートによって第２仮想化タグでマークするステップと、パケット・ヘッダの宛先アドレスを有する宛先ノードが第２仮想ネットワーク内に含まれるかどうかを判定するステップと、宛先ノードが第２仮想ネットワーク内に含まれないことを検出した時に、第１仮想ネットワークまたは第２仮想ネットワークに含まれる受信機にデータ・パケットをリダイレクトし、第１仮想化タグまたは第２仮想化タグにそれぞれ割り当てられた第１トランスレータ・ポートまたは第２トランスレータ・ポートにアドレス・トランスレータを介してデータ・パケットを送信することによってさらに処理するステップとをさらに含む。
【００１２】
アドレス・トランスレータによって第１および第２仮想ネットワークを各仮想ネットワーク内のネットワーク・ポートと接続することにより、一方の仮想ネットワークから他方の仮想ネットワークにデータ・パケットをルーティングすることができる。したがって、第２ネットワーク内に配置された送信機ノードから、第１仮想ネットワークまたは第２仮想ネットワークに配置された受信機ノードにデータ・パケットをリダイレクトすることが可能である。これにより、とりわけ、送信機ノードが以前に第１仮想ネットワークから第２仮想ネットワークに移動した場合に、トランスレータ・ノードから受信機ノードへの要求に首尾よく応答することが可能となる。
【００１３】
本発明の第２の態様の好ましい実施形態によれば、受信機ノードが第１仮想ネットワーク内に含まれ、リダイレクトするステップにおいて、パケット・ヘッダ内に含まれるソース・アドレスが、第１仮想ネットワーク内のアドレス・トランスレータに割り当てられた第１トランスレータ・アドレスに変更され、変更後のデータ・パケットが第１トランスレータ・ポートに送られて、受信機ノードに送信される。
【００１４】
パケット・ヘッダのソース・アドレスを変更することにより、第１トランスレータ・ポートから送信される関連するデータ・パケットが、第２仮想ネットワーク内の送信機ノードから発信された場合であっても、第１仮想ネットワーク内で依然として有効となる。例えば、ネットワーク・アドレス変換装置を使用することによってそのような挙動を達成することができる。
【００１５】
本発明の第２の態様の別の好ましい実施形態によれば、受信機ノードが第２仮想ネットワーク内に含まれ、受信機アドレスを有し、リダイレクトするステップにおいて、パケット・ヘッダ内に含まれる宛先アドレスが受信機アドレスに変更され、変更後のデータ・パケットが第２トランスレータ・ポートに送られて、受信機ノードに送信される。
【００１６】
宛先アドレスを変更し、第２仮想ネットワーク内の変更後のデータ・パケットを再送信することにより、送信機ノードからの要求を、第２仮想ネットワーク内に含まれる新しい受信機ノードに透過的にリダイレクトすることができる。
【００１７】
本発明の第２の態様の別の好ましい実施形態によれば、受信機ノードは、アプリケーション・プロトコルに特有のプロキシ・ノードである。
【００１８】
アプリケーション特有のプロキシ・ノードを設けることにより、送信機ノードから送信されたデータ・パケット内に含まれる要求を、元の宛先アドレスではなくそのプロキシにリダイレクトすることができる。これにより、例えば、第２仮想ネットワーク内に分離された送信機ノードから送られたデータ・パケットを、第１仮想ネットワーク内で発信されるデータ・パケットとは異なる仕方で処理することが可能となる。
【００１９】
本発明の第３の態様によれば、対応する仮想化タグによって仮想ネットワークにそれぞれ割り当てられる多数のポートを備える交換機と、第１仮想化タグによって第１仮想ネットワークに割り当てられた交換機の第１トランスレータ・ポート、および第２仮想化タグによって第２仮想ネットワークに割り当てられた交換機の第２トランスレータ・ポートに動作的に接続されたアドレス・トランスレータと、ソース・アドレスを有し、第１仮想化タグによって第１仮想ネットワークに割り当てられた第１ポートに動作的に接続された第１ネットワーク・ノードとを備えるデータ・ネットワーク・システムが提供され、データ・ネットワーク・システムが、本発明の第１の態様による方法を実施するように適合される。
【００２０】
第１および第２仮想ネットワークに動作的に接続されたアドレス・トランスレータをデータ・ネットワーク・システムに設けることにより、第１ネットワーク・ノードを再構成する必要なしに、第１ネットワーク・ノードを第１仮想ネットワークから第２仮想ネットワークに移動することができる。
【００２１】
第３の態様の好ましい実施形態によれば、データ・ネットワーク・システムは、第１仮想ネットワークに動作的に接続された第２ネットワーク・ノード、または第２仮想ネットワークに動作的に接続された第３ネットワーク・ノードをさらに備え、それによってデータ・ネットワーク・システムがさらに、本発明の第２の態様による方法を実施するように適合される。
【００２２】
第１仮想ネットワークまたは第２仮想ネットワーク内に第２ネットワーク・ノードまたは第３ネットワーク・ノードを設けることにより、第１ネットワーク・ノードから送信されたデータ・パケットを、第２仮想ネットワーク内の第１ネットワーク・ノードまたは第３ネットワーク・ノード内の第２ネットワーク・ノードにリダイレクトすることができる。
【００２３】
本発明の第４の態様によれば、本発明の第１または第２の態様による方法のステップのすべてを実施するように適合されたプログラム命令を含むコンピュータ・プログラムが提供される。
【００２４】
本発明の第５の態様によれば、本発明の第１または第２の態様による方法のステップのすべてを実施するように少なくとも１つのプロセッサで実行可能なプログラム命令を具体化するコンピュータ可読媒体を含むコンピュータ・プログラム製品が提供される。
【００２５】
本発明による現在のところ好ましいがそれでも例示的な実施形態の以下の詳細な説明を添付の図面と共に参照することにより、本発明およびその実施形態をより完全に理解されよう。
【発明を実施するための最良の形態】
【００２６】
図１に、第１仮想ネットワーク１０３および第２仮想ネットワーク１０４を備える概略的ネットワーク構成を示す。この構成は、交換機１００、ルータ１０９、およびアドレス・トランスレータ１０６を含む。交換機１００は５つのポートＰ１、Ｐ２、Ｐ３、Ｐ４、およびＰ５を備え、この５つのポートを第１仮想化タグＴ１によって第１仮想ネットワーク１０３に割り当てることができ、または第２仮想化タグＴ２によって第２仮想ネットワーク１０４に割り当てることができる。与えられた例では、ネットワーク・ポートの第１の組１０１が、第１仮想化タグＴ１に割り当てられるポートＰ１、Ｐ２、およびＰ４を含む。ネットワーク・ポートＰ３およびＰ５は、ネットワーク・ポートの第２の組１０５に割り当てられる。
【００２７】
始めに説明したネットワーク交換機１００を使用して、第１仮想ネットワーク１０３に割り当てられたネットワーク・ポートＰ１、Ｐ２、またはＰ４のいずれかで受信された各データ・パケットが、第１仮想化タグＴ１でマークされ、ネットワーク・ポートＰ３およびＰ５から受信されたデータ・パケットが、第２仮想化タグＴ２でマークされる。逆に、第１仮想化タグＴ１または第２仮想化タグＴ２でマークされたデータ・パケットは、合致しない仮想化タグに関連するネットワーク・ポートを介して送達されない。
【００２８】
ネットワーク構成は、ネットワーク・ポートＰ１、Ｐ２、およびＰ３に接続され、それぞれソース・アドレスＳＡ、宛先アドレスＤＡ、および受信機アドレスＲＡを有するネットワーク・ノードＮ１、Ｎ２、およびＮ３を備える。与えられた例では、ネットワーク・ノードＮ１、Ｎ２、およびＮ３は、交換機１００に接続されたコンピュータである。一般には、任意のタイプのネットワーク・アプライアンスをネットワーク・ポートＰ１、Ｐ２、およびＰ３に接続することができる。さらに、ルータ１０９が、外部ネットワーク１０８、例えばインターネットに接続される。
【００２９】
ネットワーク・ノードＮ１、Ｎ２、およびＮ３は、ネットワーク・ポートＰ１からＰ５自体によって適用されたネットワーク・タグＴ１またはＴ２を読み取り、設定し、または操作することができないので、例えばネットワーク・ノードＮ３からネットワーク・ノードＮ１またはＮ２に直接的にデータ・パケットを送ることができない。
【００３０】
アドレス・トランスレータ１０６が、交換機１００の第１アドレス・トランスレータ・ポートＰ４に対するルータ１０９によって第１仮想ネットワーク１０３に接続される。さらに、アドレス・トランスレータ１０６が、第２アドレス・トランスレータ・ポートＰ５によって第２仮想ネットワーク１０４に接続される。与えられた例では、アドレス・トランスレータ１０６は外部ネットワーク・アドレス変換ＮＡＴ装置である。しかし実際には、アドレス・トランスレータ１０６は交換機１００の一体部分でよく、その場合、第１および第２トランスレータ・ポート（Ｐ４、Ｐ５）は、物理的接続ではなく、論理ポートであることがある。本願に関する限りは、アドレス・トランスレータが両方の仮想ネットワーク１０３および１０４内でデータ・パケットを送信および受信できることで十分である。
【００３１】
提示された例によれば、ネットワーク・ノードＮ１について所定の条件が検出される。そのような条件は、例えばネットワーク・ノードＮ１のウィルスまたはワーム感染、ネットワーク・ノードＮ１のクラッシュまたは他の部分的もしくは完全な誤作動、侵入防止システム（ＩＰＳ）の活動化、あるいは高いまたは低いネットワーク・トラフィック、もしくはネットワーク構成を再構成することによって応答のある可能性のある異常なアドレスに対する要求などの任意の他の条件でよい。もちろん、例えばネットワーク管理者の要求時に、そのような条件を手動でトリガすることも可能である。
【００３２】
所定の条件の監視は、例えば、ウィルス検出プログラムまたは性能モニタにより、ネットワーク装置のうちの１つまたは複数、例えば交換機１００、ルータ１０９、またはアドレス・トランスレータ１０６により、あるいは図１に図示していないファイアウォールやネットワーク性能モニタなどの外部装置により、ノードＮ１自体で実施することができる。
【００３３】
図２に、第１仮想ネットワーク１０３および第２仮想ネットワーク１０４を備える類似の概略的ネットワーク構成を示す。図１に示される構成と比較して、図２に示される構成は、ネットワーク・ノードＮ１が接続されるネットワーク・ポートＰ１がここでは第２仮想化タグＴ２に割り当てられ、それによってネットワーク・ノードＮ１がここでは第２仮想ネットワーク１０４に属する点で異なる。
【００３４】
第１仮想ネットワーク１０３から仮想第２ネットワーク１０４に第１ネットワーク・ノードＮ１を論理的に移動することにより、所定の条件を監視することによって検出される脅威を回避することができる。この例では、第１仮想ネットワーク１０３は、他のネットワーク・ノードＮ２または外部ネットワーク１０８へのフル・アクセスを有する生成状態仮想ネットワークとみなされ、一方、第２仮想ネットワーク１０４は、他のネットワーク資源へのアクセスが限定された分離ネットワークとみなされる。
【００３５】
例えば、ウィルス感染がネットワーク・ノードＮ１上で検出された場合、ネットワーク・ノードを迅速に第２仮想ネットワークに移動することができ、したがって第１仮想ネットワーク１０３に接続された第２ネットワーク・ノードＮ２の感染が回避される。同様に、ネットワーク・ノードＮ１を外部ネットワーク１０８から分離することができ、ネットワーク・ノードＮ１から外部ネットワーク１０８に潜在的に機密の情報が送信されることが防止される。
【００３６】
図３に、アドレス・トランスレータ１０６の内部構成を示す。アドレス・トランスレータ１０６は、第１仮想ネットワーク１０３に割り当てられた第１トランスレータ・ポートＰ４と共に使用される外部アドレス１０７を有する。アドレス・トランスレータ１０６のすべての他の内部構成要素は、第２仮想化タグＴ２によって第２仮想ネットワーク１０４のアドレスに割り当てられ、このことは、アドレス・トランスレータ１０６のすべての他の内部構成要素がネットワーク・ポートの第２の組１０５のポートに接続されたネットワーク・ノードにとってアクセス可能であることを意味する。
【００３７】
与えられた例では、アドレス・トランスレータは、ＨＴＴＰ、ＳＭＴＰ、ＰＯＰ３、ＩＭＡＰなどの様々なアプリケーション・レベル・プロトコルに割り振られた内部プロキシ２０４を備える。プロキシ２０４は、アプリケーション要求に選択的に応答することができ、またはアプリケーション要求を特定のプロトコルに選択的に転送することができる。さらに、アドレス・トランスレータ１０６は、パッチ・サーバ２０５、ウィルス駆除サーバ２０６、および再接続イニシエータ２０７を備える。
【００３８】
パッチ・サーバ２０５、ウィルス駆除サーバ２０６、および再接続イニシエータ２０７を使用して、第２仮想ネットワーク１０４内に含まれるネットワーク・ノードに特有のサービスを第２仮想ネットワーク１０４に提供することができる。例えば、ウィルスまたは他の悪意のあるプログラムに感染した第１ネットワーク・ノードＮ１を分離するのに第２仮想ネットワーク１０４が使用される場合、再接続イニシエータ２０７が使用されてウィルス駆除済みのネットワーク・ノードＮ１が第１仮想ネットワーク１０３に戻される前に、ウィルス駆除サーバ２０６を使用してウィルスを除去することができ、パッチ・サーバ２０５を使用して、ネットワーク・ノードＮ１上で動作するソフトウェアに対するセキュリティ更新をインストールし、将来の感染を防止することができる。
【００３９】
アドレス・トランスレータ１０６はアドレス・マッピング・モジュール２０８をさらに備え、アドレス・マッピング・モジュール２０８は、第１仮想ネットワーク１０３内のアドレス・トランスレータ１０６の外部アドレス１０７を使用して、第２仮想ネットワーク１０４のネットワーク・ノードのアドレスを第１仮想ネットワーク１０３に送られるデータ・パケットと関連付けることができる。例えば、いわゆるネットワーク・アドレス変換装置（ＮＡＴ）を使用して、第１仮想ネットワーク１０３を第２仮想ネットワーク１０４と接続することができる。従来では、ネットワーク・アドレス変換装置は、単一の外部可視アドレス１０７のみを使用してプライベート・ネットワーク１０４をインターネットなどの外部ネットワーク１０８と接続するのに使用される。
【００４０】
アドレス・トランスレータ１０６は、フィルタリング・モジュール２０２および認証モジュール２０３をさらに備える。フィルタリング・モジュール２０２を使用して、アドレス・マッピング・モジュール２０８によって実施されるアドレス・マッピングを、事前定義されたアプリケーションまたはアドレスの組に制限することができる。例えば、要求前に認証モジュール２０３に提供されたユーザ名およびパスワードを検証することにより、フィルタリングを特定の要求の認証に依存させることもできる。
【００４１】
アドレス・トランスレータ１０６が、いくつかの内部プロキシ２０４と、サーバ２０５、２０６、および２０７と、他のモジュール２０２、２０８、２０３とを備える別々の構成要素として示されているが、アドレス・トランスレータ１０６は、交換機１００、ルータ１０９、またはそれらの組合せの一部でよい。同様に、アドレス・トランスレータ１０６の内部構成要素２０２から２０８を別々のユニットとしてハードウェアまたはソフトウェアで実装することができる。
【００４２】
図４は、単一ネットワーク・ポートＰ１の状態を判定する有限状態マシン３０１の概略的な状態図を示す。最初に、ネットワーク・ポートＰ１は第１仮想ネットワーク１０３に関連する生成状態３０２にある。この状態では、ネットワーク・ポートＰ１に接続されたノードＮ１は、第１仮想ネットワーク１０３または外部ネットワーク１０８内の他のノードＮ２へのフル・アクセスを有する。
【００４３】
ワームまたはウィルス感染が検出されると、ネットワーク・ポートＰ１は、状態遷移３０５により、第２仮想ネットワーク１０４に関連する通知状態３０３に切り替わる。この状態では、ネットワーク・ノードＮ１のユーザまたはネットワーク管理者は、感染についての情報の通知を受けることができる。
【００４４】
次いで、例えばネットワーク・ノードＮ１が第１仮想ネットワーク１０３に対して脅威を与えないことの手動検証および認証の成功後に、ユーザまたは管理者は、状態遷移３０７により、生成状態３０２に関連する第１仮想ネットワーク１０３への再接続を要求することができる。
【００４５】
あるいは、ユーザまたは管理者は、さらなる状態遷移３０６により、第３仮想ネットワークに関連する固定状態３０４への遷移を要求することができる。固定状態３０４では、ウィルス感染を除去するのに使用されるサービス、例えばウィルス駆除サーバ２０６またはパッチ・サーバ２０５へのアクセスをネットワーク・ノードＮ１に許可することができる。パッチをインストールし、ウィルス感染がネットワーク・ノードＮ１から除去されたことを検証した後、第１仮想化タグを再びポートＰ１に割り当てることができ、状態遷移３０８によって第１ノードＮ１を生成状態３０２に関連する第１仮想ネットワーク１０３に戻す。
【００４６】
状態マシン３０１を使用して、所定の条件を監視し、仮想化タグＴ１またはＴ２を交換機１００のポートＰ１からＰ５に割り当てることにより、多数の仮想ネットワーク１０３および１０４を容易に作成、監視、および構成することができる。したがって、相異なる仮想ネットワークのアドレス空間に互換性がある限り、ある仮想ネットワーク１０３から別の仮想ネットワーク１０４にネットワーク・ノードＮ１を自動的に移動することができ、それによって移動は、ネットワーク・ノードＮ１自体に対して透過的となる。
【００４７】
利用可能な状態遷移は状態マシン３０１の状態に依存するので、チェックする所定の条件をコンテキスト感応式に定義することができる。例えば、通知状態３０３に関連する仮想ネットワーク１０４内に既にあるネットワーク・ノードＮ１をもはやウィルスについて監視する必要がない。
【００４８】
状態マシン３０１は、図４の単純な例で示されるように有限である必要はない。特に大規模ネットワークでは、例えば、単一ネットワークに物理的に接続された論理的に無関係のネットワーク資源の自動分離のために、新しい状態、すなわち仮想ネットワークを自動的に定義する目的で自律エージェントを使用することができる。例えば性能最適化、またはネットワーク・セキュリティの改善のために、そのような自動構成を使用することができる。
【００４９】
したがって、状態マシン３０１の状態および状態遷移を使用して、ネットワーク全体の構成を符号化することができる。
【００５０】
図５に、仮想ネットワークを運用する第１の方法の一実施形態の流れ図を示す。第１ステップ４０１では、第１仮想化タグＴ１に割り当てられたネットワーク・ポートの第１の組１０１を備える第１仮想ネットワーク１０３と、第２仮想化タグＴ２に割り当てられたネットワーク・ポートの第２の組１０５を備える第２仮想ネットワーク１０４であって、第１仮想ネットワーク１０３および第２仮想ネットワーク１０４が互換アドレス範囲を有し、それらの中でのみパケットを渡すように適合された第１仮想ネットワーク１０３および第２仮想ネットワーク１０４が設けられる。
【００５１】
第２ステップ４０２では、第１仮想ネットワーク１０３内のソース・アドレスＳＡを有し、第１仮想化タグＴ１によって第１仮想ネットワーク１０３に割り当てられた第１ポートＰ１に動作的に接続された第１ネットワーク・ノードＮ１が設けられる。例えば、通常の動作条件にあるすべてのネットワーク・ノードＮ１、Ｎ２を含むように第１仮想ネットワーク１０３を使用することができる。
【００５２】
ステップ４０３では、ネットワーク・ノードＮ１が所定の条件について監視される。そのような条件は、例えばワームまたはウィルスの検出、第１ノードＮ１からの、または第１ノードＮ１への異常に高いまたは低いネットワーク・トラフィックの検出、あるいは誤った振舞いをするネットワーク・ノードＮ１に関連する類似の徴候でよい。
【００５３】
ステップ４０４でそのような条件が検出されない場合、ステップ４０３でネットワーク・ノードＮ１の監視が続行される。しかし、ステップ４０４でそのような条件が検出された場合、方法はステップ４０５に進む。
【００５４】
ステップ４０５では、ネットワーク・ノードＮ１がそれを介して交換機１００と接続されるネットワーク・ポートＰ１が、第２仮想ネットワーク１０４に関連する第２仮想化タグＴ２に割り当てられる。したがって、ネットワーク・ノードＮ１が第１仮想ネットワーク１０３から第２仮想ネットワーク１０４に移動される。しかし、ネットワーク・ノードＮ１の構成は同一に保たれる。具体的には、第１仮想ネットワーク１０３で使用されたネットワーク・ノードＮ１のネットワーク・アドレスＳＡが、第２仮想ネットワーク１０４でも使用される。
【００５５】
第２仮想ネットワーク１０４が第１仮想ネットワーク１０３に対して互換アドレス構造を有する場合、第１仮想ネットワーク１０３から第２仮想ネットワーク１０４への第１ノードＮ１の交換機が、第１ネットワーク・ノードＮ１に対して透過的である。具体的には、第１仮想ネットワーク１０３で利用可能であった所定のアドレスＤＡに関連する類似のサービスが第２仮想ネットワーク１０４で利用可能である場合、第１ネットワーク・ノードＮ１から送られるデータ・パッケージに含まれるサービス要求は依然として、以前と同様に第２仮想ネットワーク１０４に応答する。
【００５６】
図６は、仮想ネットワークを運用する第２の方法の一実施形態の流れ図である。第１ステップ５０１では、第１仮想ネットワーク１０３および第２仮想ネットワーク１０４が設けられる。このステップは、上述のステップ４０１と同一である。
【００５７】
ステップ５０２では、第１仮想化タグＴ１によって第１仮想ネットワーク１０３に割り当てられた第１トランスレータ・ポートＰ４と、第２仮想化タグＴ２によって第２仮想ネットワーク１０４に割り当てられた第２トランスレータ・ポートＰ５とに動作的に接続されるアドレス・トランスレータ１０６が設けられる。
【００５８】
アドレス・トランスレータ１０６を、交換機１００やルータ１０９などの別のネットワーク装置に一体化された別々のハードウェア・ユニットとして実装することができ、またはソフトウェアとして実装することができる。例えばアドレス・トランスレータ１０６または交換機１００内に含まれるプロセッサで実行可能なプログラムのプログラム命令を具体化するコンピュータ可読媒体を提供することができる。コンピュータ可読媒体は、例えばＣＤ−ＲＯＭ、フラッシュ・メモリ・カード、ハード・ディスク、または任意の他の適切なコンピュータ可読媒体でよい。
【００５９】
ステップ５０３では、第２仮想ネットワーク１０４に割り当てられた送信機ポートＰ１に接続された第１ネットワーク・ノードＮ１が、宛先アドレスＤＡを有するパケット・ヘッダを含むデータ・パケットを送る。例えば、図２に示されるように、送信機ノードＮ１のソース・アドレスＳＡから第２ネットワーク・ノードＮ２の宛先アドレスＤＡにデータ・パケットを送ることができる。
【００６０】
ステップ５０４では、データ・パケットが、送信機ポートＰ１によって第２仮想化タグＴ２でマークされる。
【００６１】
図２に示される例では、第２ネットワーク・ノードＮ２が第１仮想ネットワーク１０３、例えば生成状態仮想ネットワーク内に含まれる。しかし、送信機ノードＮ１は以前に、ウィルス感染が送信機ノードＮ１上で検出された後に、第２仮想ネットワーク１０４、例えば分離ネットワークに移動している。
【００６２】
その場合、送信機ノードＮ１から宛先アドレスＤＡによってアドレス指定されるノードＮ２へのデータ・パケットの直接送信は可能ではない。ネットワーク・ノードＮ１が接続されるポートＰ１が、ネットワーク・ポートの第２の組１０５に属するのに対して、ノードＮ２に接続されたネットワーク・ポートＰ２はネットワーク・ポートの第１の組１０１に属し、ポートの各組１０１および１０５は、同一の組１０１または１０５内に含まれるポート間でデータ・パケットを渡しただけだからである。
【００６３】
ステップ５０５では、パケット・ヘッダの特定の宛先アドレスＤＡを有するネットワーク・ノードＮ２が第２仮想ネットワーク１０４内に含まれるかどうかが判定される。この機能を、例えばアドレス・トランスレータ１０６によって実施することができる。
【００６４】
ステップ５０６で宛先アドレスＤＡが第２仮想ネットワーク１０４に含まれると判定される場合、さらなる処置は行われない。次いで、データ・パケットが、通常通り第２仮想ネットワーク１０４内の宛先アドレスＤＡに転送される。しかし、図２に示されるように宛先アドレスＤＡが第２仮想ネットワーク１０４内に含まれないと判定される場合、ステップ５０７で、アドレス・トランスレータ１０６はデータ・パケットをリダイレクトする。
【００６５】
第１トランスレータ・ポートＰ４または第２トランスレータ・ポートＰ５にデータ・パケットを送信することによってさらに処理するために、第１仮想ネットワーク１０３または第２仮想ネットワーク１０４内にそれぞれ含まれる受信機ノードＮ２またはＮ３にデータ・パケットをリダイレクトすることができる。具体的には、第１仮想化タグＴ１に割り当てられた第１トランスレータ・ポートＰ４を介してデータ・パケットを再送信することにより、データ・パケットを第２仮想ネットワーク１０４から第１仮想ネットワーク１０３に移動することができる。
【００６６】
したがって、送信機ノードＮ１から送信されたデータ・パケットを、異なる仮想ネットワーク内に含まれる受信機ノードＮ２に送達することができる。しかし、所与の宛先アドレスＤＡでの送信機ノードＮ１からネットワーク・ノードＮ２へのデータ・パケットの送達が、例えば送信機ノードＮ１がウィルスに感染しているとみなされるので危険過ぎると考えられる場合、第２仮想ネットワーク１０４内に含まれる別のネットワーク・ノードＮ３にデータ・パケットをリダイレクトすることができる。
【００６７】
このことは、特定のアプリケーション・サービスを求めるすべての要求が固定宛先アドレスＤＡに向けて送られる場合、非常に容易に達成することができる。例えば、第１仮想ネットワーク１０３は、第１の所与の宛先アドレスＤＡでハイパーテキスト転送プロトコル（ＨＴＴＰ）に従って要求を処理するネットワーク・ノードＮ２を備えることができる。
【００６８】
アプリケーション・プロキシ２０４が同一の宛先アドレスＤＡで第２仮想ネットワーク１０４内に含まれる場合、第２仮想ネットワーク１０４内に含まれるノードＮ１から送られたＨＴＴＰ要求がアプリケーション・プロキシ２０４に送信される。次いで、アプリケーション・プロキシ２０４は、受信した要求を第１仮想ネットワーク１０３内に含まれる実際のネットワーク・ノードＮ２に転送するか、それともデータ・パケットを異なる受信機アドレスＲＡにリダイレクトするかを決定することができる。
【００６９】
一般には、第１仮想ネットワーク１０３内の受信機ノードＮ２、第２仮想ネットワーク１０４内の受信機ノードＮ３、外部ネットワーク１０８内の受信機ノード、またはアドレス・トランスレータ１０６の内部受信機と受信機アドレスＲＡを関連付けることができる。アドレス・トランスレータが３つ以上の仮想ネットワークに接続される場合、当然ながら、例えば別のアドレス・トランスレータ１０６またはルータ１０９を介してアドレス・トランスレータに直接的または間接的に接続された任意の仮想ネットワーク内に受信機ノードを含めることができる。
【００７０】
特定の関心を引く実施形態では、データ・パケットが、第２仮想ネットワーク１０４内に含まれる受信機ノードＮ３にリダイレクトされ、例えば送信機ノードＮ１から分離ネットワークとして使用される第２仮想ネットワーク１０４の外部の任意のネットワーク・ノードへのウィルス感染の拡散が回避される。
【００７１】
アドレス・トランスレータ１０６のプロキシ２０４内に含まれ、または第２仮想ネットワーク１０４に接続された特別な受信機ノードＮ３は、所定の結果を送信機ノードＮ１に返すことができる。そのような所定の結果は、例えば、送信機ノードＮ１がウィルスに感染している可能性があることを送信機ノードＮ１のユーザに知らせる警告メッセージを含むことができる。ＳＭＴＰ、ＰＯＰ３、ＩＭＡＰ  Ｅメール・プロトコルなどの他のアプリケーション・プロトコルについて類似の警告を与えることができる。その代わりに、そのような警告メッセージをユーザまたはネットワーク管理者に送ることができる。
【００７２】
あるいは、送信機ノードＮ１からの要求をフィルタリング・モジュール２０２で除外することもできる。データ・パケットの認証に応じて特定のネットワーク・ノードに他のデータ・パケットを転送することができる。例えば、要求される権限をネットワーク管理者が有することを認証モジュール２０３が検証した場合、ネットワーク管理者によって認証されたデータ・パケット内に符号化された要求をウィルス駆除サーバ２０６またはパッチ・サーバ２０５に転送することができる。そのような認証を有さない送信機ノードＮ１のユーザから発信される類似のデータ・パケットをフィルタリング・ユニット２０２で単純に除外することができる。
【００７３】
仮想ネットワークを運用する方法を、ウィルス感染の場合にネットワーク・ノードＮ１を分離することについての例を用いて説明したが、状態マシン３０１によってネットワーク・ノードＮ１からＮ３を多数の仮想ネットワークとして自動的に編成するための類似の方法を使用することができる。そのような自動構成を使用して、例えば性能要件に従ってネットワーク・ノードＮ１からＮ３を編成することができる。
【００７４】
本発明の精神から逸脱することなく、記載の方法の上記および他の修正形態が当業者には明らかとなるであろう。例えば、広域ネットワーク（ＷＡＮ）で同様の有益な効果を達成するために、この方法をマルチプロトコル・ラベル・スイッチング（ＭＰＬＳ）プロトコルに適用することができる。
【００７５】
同様に、図１および図２に示されるネットワーク構成は例示的なものに過ぎず、実際には一般により複雑となる。例えば、多数の交換機１００をいくつかのルータ１０９、アドレス・トランスレータ１０６、または他のネットワーク装置によって接続することができる。さらに、仮想ネットワーク１０３または１０４は、いくつかの物理的に分離された場所、例えば世界的企業の内部ネットワークの異なるローカル・エリア・ネットワークにまたがることができる。
【図面の簡単な説明】
【００７６】
【図１】第１および第２仮想ネットワークを備え、第１ネットワーク・ノードが第１仮想ネットワーク内に含まれる概略的なネットワーク構成を示す図である。
【図２】第１および第２仮想ネットワークを備え、第１ネットワーク・ノードが第２仮想ネットワーク内に含まれる概略的なネットワーク構成を示す図である。
【図３】アドレス・トランスレータの概略的な内部構成を示す図である。
【図４】仮想ネットワーク構成を判定する有限状態マシンの概略的な状態図である。
【図５】仮想ネットワークを運用する第１の方法の一実施形態を示す流れ図である。
【図６】仮想ネットワークを運用する第２の方法の一実施形態を示す流れ図である。
【符号の説明】
【００７７】
１００  交換機
１０１  第１の組
１０３  第１仮想ネットワーク
１０４  第２仮想ネットワーク
１０５  第２の組
１０６  アドレス・トランスレータ
１０７  トランスレータ・アドレス
１０８  外部ネットワーク
１０９  ルータ
２０２  フィルタリング・モジュール
２０３  認証モジュール
２０４  プロキシ
２０５  パッチ・サーバ
２０６  ウィルス駆除サーバ
２０７  再接続イニシエータ
２０８  アドレス・マッピング・モジュール
３０１  状態マシン
３０２  生成状態
３０３  通知状態
３０４  固定状態
３０５から３０８  状態遷移
４０１から４０５  方法ステップ
５０１から５０７  方法ステップ
ＤＡ  宛先アドレス
ＳＡ  ソース・アドレス
ＲＡ  受信機アドレス
Ｎ１からＮ３  ネットワーク・ノード
Ｐ１からＰ５  ネットワーク・ポート
Ｔ１  第１仮想化タグ
Ｔ２  第２仮想化タグ
【図１】
2009519663.tif 000003
【図２】
2009519663.tif 000004
【図３】
2009519663.tif 000005
【図４】
2009519663.tif 000006
【図５】
2009519663.tif 000007
【図６】
2009519663.tif 000008
【国際調査報告】
2009519663.tif 000009
2009519663.tif 000010
2009519663.tif 000011