(57)【要約】本発明は、バーチャルプライベートネットワークの実現方法及びシステムを開示し、ロケータ/ID分離ネットワークに基づいてVPNを実現し、ID識別子と位置識別子とのマッピング関係において対応するVPN属性を増加し、マッピング処理を行う際に、送信元ホストのVPN属性と目的端末ホストとのVPN属性が同様であるのを判断する時に、さらに目的端末ホストの位置識別子を問い合わせ、目的端末ホストの位置識別子によってデータメッセージの転送を実現し、VPN属性が同様ではない時に、到達できない情報をリターンバックし、バーチャルプライベートネットワークを有効的に実現し、VPN端末ホスト通信の便利さと安全性を保証し、ユーザーがバーチャルプライベートネットワークへの需求を満たす。【選択図】図４
2013504959.tif 000002
【特許請求の範囲】
【請求項１】
バーチャルプライベートネットワーク（VPN）の実現方法であって、前記方法はロケータ/ID分離プロトコル（LISP）ネットワークに基づいて実現し、前記VPNネットワークは入力トンネルルーター（ITR）、マッピングサーバー及び出力トンネルルーター（ETR）を備え、該方法は、
前記ITRが送信元ホストから送信するデータメッセージを受信した後、端末ホストVPN属性の記憶ネットワーク構成要素にマッピング要求メッセージを送信し、その中に送信元ホストのVPN属性及び目的端末ホストのID識別子を携えること、
前記端末ホストVPN属性の記憶ネットワーク構成要素は前記マッピング要求メッセージを受信し、前記目的端末ホストのID識別子によって前記目的端末ホストのVPN属性を確定し、
前記端末ホストVPN属性の記憶ネットワーク構成要素は前記送信元ホストと目的端末ホストとのVPN属性が同様であるかどうかを比較し、同様である際に、マッピング問い合わせを行い、マッピング応答メッセージをリターンバックし、その中に目的端末ホストの位置識別子を携え、それではないと、到達できない情報をリターンバックすること、及び
前記ITRは前記マッピング応答メッセージを受信し、前記目的端末ホストの位置識別子に基づいて前記ETRにLISPデータメッセージを転送し、前記ETRが前記LISPデータメッセージを目的端末ホストに転送すること、
その中、前記端末ホストVPN属性の記憶ネットワーク構成要素が前記マッピングサーバー或いはETRであることを含むことを特徴とする。
【請求項２】
前記ITRが前記送信元ホストから送信したデータメッセージを受信した後、前記方法はさらに、前記ITRが先にローカルマッピング関係を問い合わせ、目的端末ホストID識別子を見つけ、且つ送信元ホストのVPN属性と目的端末ホストとのVPN属性が同様である時に、目的端末ホストの位置識別子を取得し、前記目的端末ホストの位置識別子に基づいて前記ETRにデータメッセージを転送し、ローカルマッピング関係において目的端末ホストID識別子を見つけないと、前記端末ホストVPN属性記憶ネットワーク構成要素にマッピング要求メッセージを送信する請求項1に記載の方法。
【請求項３】
前記ETRは、前記LISPデータメッセージを目的端末ホストに転送するステップにおいて、送信元ホストと目的端末ホストとのVPN属性が同様である時に、前記ETRは前記LISPデータメッセージを目的端末ホストに転送する請求項1に記載の方法。
【請求項４】
前記マッピング要求メッセージ及びマッピング応答メッセージは、LISP制御メッセージ経路によって送信され、
前記データメッセージは、LISPデータメッセージ経路によって送信され、且つデータメッセージにVPN属性が含まれる請求項1に記載の方法。
【請求項５】
前記VPN属性は、VPN識別子及び/または送信元ホストがVPN端末ホストであるかどうかの情報を含み、異なるVPN識別子が異なるVPNを代表する請求項1〜4のいずれかに記載の方法。
【請求項６】
バーチャルプライベートネットワークの実現システムであって、前記システムは、入力トンネルルーター(ITR)、マッピングサーバー及び出力トンネルルーター（ETR）を備え、
前記ITRは第1データメッセージ送受信モジュール、メッセージ処理モジュール、第1制御メッセージ送受信モジュール、第1ローカルマッピングテーブル及びマッピング問い合わせモジュールを含み、
前記第1データメッセージ送受信モジュールは、送信元ホストから送信したデータメッセージを受信し、及び前記ETRにLISPデータメッセージを転送するように設置され、
前記メッセージ処理モジュールは、前記第1データメッセージ送受信モジュールと接続し、受信したデータメッセージを解析してマッピング問い合わせモジュールを通知し、マッピング問い合わせモジュールの問い合わせ結果に基づいてマッピング要求メッセージを生成し、その中に送信元ホストのVPN属性及び目的端末ホストのID識別子を携るように設置され、さらに前記第1制御メッセージ送受信モジュールが受信したマッピング応答メッセージが前記ETRに転送するLISPデータメッセージを生成するように設置され、
前記第1制御メッセージ送受信モジュールは、前記メッセージ処理モジュールと接続し、端末ホストVPN属性記憶ネットワーク構成要素に前記マッピング要求メッセージを送信し、及び前記端末ホストVPN属性記憶ネットワーク構成要素が送信したマッピング応答メッセージを受信するように設置され、前記端末ホストVPN属性の記憶ネットワーク構成要素が前記マッピングサーバー或いはETRであり、
前記第1ローカルマッピングテーブルは、VPN属性、ID識別子と位置識別子とのマッピング関係を保存するように設置され、
前記マッピング問い合わせモジュールは、前記メッセージ処理モジュール及び第1ローカルマッピングテーブルと接続し、前記送信元ホストのID識別子によって送信元ホストのVPN属性を問い合わせるように設置され、
前記マッピングサーバーは、第2制御メッセージ送受信モジュール、第2ローカルマッピングテーブル及び第1マッピング処理モジュールを含み、
前記第2制御メッセージ送受信モジュールは、前記ITRが送信したマッピング要求メッセージを受信し、及び前記ITRにマッピング応答メッセージを送信するように設置され、
前記第2ローカルマッピングテーブルは、VPN属性、ID識別子及び位置識別子のマッピング関係を送信するように設置され、
前記第1マッピング処理モジュールは、前記第2制御メッセージ送受信モジュール及び第2ローカルマッピングテーブルと接続し、目的端末ホストID識別子に基づいて前記第2ローカルマッピングテーブルを問い合わせ、目的端末ホストのVPN属性を取得し、及び前記送信元ホストのVPN属性と目的端末ホストとのVPN属性が同様であるかどうかを比較し、比較結果が同様である時に、前記第2ローカルマッピングテーブルを問い合わせ、目的端末ホストの位置識別子を取得するように設置され、さらに、問い合わせ結果に基づいてマッピング応答メッセージを生成するように設置され、
前記ETRは、第2データメッセージ送受信モジュール、第3制御メッセージ送受信モジュール、第3ローカルマッピングテーブル及び第2マッピング処理モジュールを含み、
前記第2データメッセージ送受信モジュールは、前記ITRが送信したLISPデータメッセージを受信するように設置され、
前記第3制御メッセージ送受信モジュールは、前記ITRが送信したマッピング要求メッセージを受信し、及び前記ITRにマッピング応答メッセージを送信するように設置され、
前記第3ローカルマッピングテーブルは、VPN属性、ID識別子と位置識別子とのマッピング関係を記憶するように設置され、
前記第2マッピング処理モジュールは、前記第3制御メッセージ送受信モジュール及び第3ローカルマッピングテーブルと接続し、目的端末ホストID識別子に基づいて前記第3ローカルマッピングテーブルを問い合わせ、目的端末ホストのVPN属性を取得し、及び前記送信元ホストのVPN属性と目的端末ホストとのVPN属性が同様であるかどうかを比較し、比較結果が同様である時に、前記第3ローカルマッピングテーブルを問い合わせ、目的端末ホストの位置識別子を取得するように設置され、さらに、問い合わせ結果に基づいてマッピング応答メッセージを生成するように設置される。
【請求項７】
前記ITRのマッピング問い合わせモジュールは、目的端末ホストのID識別子によって前記第1ローカルマッピングテーブルを問い合わせ、及び前記送信元ホストのVPN属性と目的端末ホストとのVPN属性が同様であるかどうかを比較し、同様である時に、前記第1ローカルマッピングテーブルを問い合わせ、目的端末ホストの位置識別子を取得するように設置され、さらに、前記メッセージ処理モジュールを通知して前記ETRに転送するLISPデータメッセージを生成するように設置され、前記目的端末ホストのマッピング関係を見つけないと、さらに、前記メッセージ処理モジュールを通知して前記マッピング要求メッセージを生成するように設置される請求項6に記載のシステム。
【請求項８】
前記ITRの第1制御メッセージ送受信モジュールは、さらに、前記マッピングサーバーにマッピング維持要求を送信し、その中に維持操作タイプ及び維持しようとするマッピング関係を携えるように設置され、
前記ETRの第3制御メッセージ送受信モジュールは、さらに、前記マッピングサーバーにマッピング維持要求を送信し、その中に維持操作タイプ及び維持しようとするマッピング関係を携えるように設置され、
前記マッピングサーバーの第2制御メッセージ送受信モジュールは、さらに、前記ITR或いはETRが送信したマッピング維持要求を受信するように設置され、
前記マッピングサーバーの第1マッピング処理モジュールは、さらに、前記マッピング維持要求に基づいて第2ローカルマッピングテーブルを維持し、前記維持操作タイプは登録、ログオフ及び修正を含むように設置される請求項6に記載のシステム。
【請求項９】
前記VPN属性は、VPN識別子及び/または送信元ホストがVPN端末ホストであるかどうかの情報を含み、異なるVPN識別子が異なるバーチャルプライベートネットワークを代表する請求項6〜8のいずれかに記載のシステム。
【請求項１０】
バーチャルプライベートネットワークの実現方法であって、前記方法はロケータ/ID分離プロトコル（LISP）ネットワークフレームワークでのバーチャルプライベート（VPN）ネットワーク実現システムに基づいて実現し、前記VPNネットワーク実現システムは、VPN属性、ID識別子及び位置識別子のマッピング関係を保存し、該方法は、
前記VPNネットワーク実現システムは送信元ホストが送信したメッセージを受信するメッセージ受信ステップと、
前記VPNネットワーク実現システムは送信元ホストのVPN属性と目的端末ホストとのVPN属性が同様であるかどうかを比較し、同様である時に、前記マッピング関係を問い合わせ、前記目的端末ホストの位置識別子を取得し、同様ではない時に、到達できない情報を発生するマッピング処理ステップと、
前記VPNネットワーク実現システムは前記目的端末ホストの位置識別子によってメッセージ転送し、或いは到達できない情報によってプロセスを終了するメッセージ処理ステップを含むことを特徴とする。
【請求項１１】
前記メッセージ処理ステップにおいて、前記VPN実現システムは、送信元ホストと目的端末ホストとのVPN属性を比較して同様である時に、さらにメッセージ転送を行い、それではないと、プロセスを終了する請求項10に記載の方法。
【請求項１２】
前記マッピング処理ステップは、LISPネットワークアーキテクチャにおける入力トンネルルーター（ITR）、マッピングサーバー或いは出力トンネルルーター（ETR）によって実現する請求項10に記載の方法。
【請求項１３】
前記VPN属性は、VPN識別子及び/または送信元ホストがVPN端末ホストであるかどうかの情報を含み、異なるVPN識別子が異なるVPNを代表する請求項10〜12のいずれかに記載の方法。
【請求項１４】
バーチャルプライベートネットワークの実現システムであって、該システムは、ロケータ/ID分離アーキテクチャのネットワークに基づいて実現し、
送信元ホストが送信したメッセージを受信し、マッピング処理装置を通知してマッピング処理するように設置されるメッセージ受信装置と、
前記メッセージ受信装置と接続し、バーチャルプライベートネットワーク（VPN）属性、ID識別子及び位置識別子のマッピング関係を保存し、及びマッピング処理し、具体的に、送信元ホストと目的端末ホストとのVPN属性が同様であるかどうかを比較することを含み、同様である時に、保存したマッピング関係を問い合わせ、前記目的端末ホストの位置識別子を取得し、同様ではない時に、到達できない情報を発生するように設置され、さらに、前記マッピング処理結果をメッセージ処理装置に送信するように設置される前記マッピング処理装置と、
前記マッピング処理装置と接続し、前記マッピング処理結果を受信し、及び前記マッピング処理によってメッセージ処理し、具体的に、目的端末ホストの位置識別子によってメッセージ転送し、及び到達できない情報によって通信プロセスを終了することを含むように設置される前記メッセージ処理装置を備える。
【請求項１５】
前記メッセージ処理装置は、さらに、送信元ホストと目的端末ホストとのVPN属性が同様であるかどうかを比較し、同様である時に、さらにメッセージ転送を行い、それではないと、プロセスを終了するように設置される請求項14に記載のシステム。
【請求項１６】
前記マッピング処理装置は、入力トンネルルーター（ITR）、マッピングサーバー或いは出力トンネルルーター（ETR）によって実現し、前記メッセージ受信装置及びメッセージ処理装置は、前記ITRによって実現する請求項14に記載のシステム。
【請求項１７】
前記VPN属性は、VPN識別子及び/または送信元ホストがVPN端末ホストであるかどうかの情報を含み、異なるVPN識別子が異なるVPNを代表する請求項14〜16のいずれかに記載のシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はロケータ/ID分離技術に関し、特にバーチャルプライベートネットワークの実現方法及びシステムに関する。
【背景技術】
【０００２】
次世代の情報ネットワークアーキテクチャに対する研究は、現在最も人気のある課題の１つである。これらの研究課題の基本的な方向は、音声サービスを代表とする電気通信ネットワーク、ビデオサービスを代表とするテレビネットワーク、及び、データサービスを代表とするインターネットのサービス上でのシームレスな統合を目的とし、ネットワークキャリアのIP化を特徴とする。典型的な実例には、例えば音声サービスを提供するVOIP（Voice over Internet Protocol，IP電話）ネットワークとテレビサービスを提供するIPTVネットワーク、IPコアネットワークキャリアの3G移動通信ネットワーク、及び大量の超3Gまたは4Gネットワークの研究項目等がある。
【０００３】
4Gは第4世代移動通信システムの略称である。4Gは音声、データ及びストリーミングメディアサービスにIPキャリアネットワークに基づく解決方法を提供し、ユーザーに「任意の時間、任意の場所、任意のサービス」について、より高速の通信環境を取得させることを目標とする。
【０００４】
NGN（Next Generation Network，次世代ネットワーク）は、電気通信ネットワークに基づく次世代ネットワークであり、統一的なIPパケットの切り替えに基づく伝送層面を指す。統一的な伝送層面において、各種のアプリケーションプログラムの開発は、具体的な伝送技術から独立でき、アプリケーションプログラムのアプリケーション範囲を拡大する。
【０００５】
3Gと4Gは、無線通信分野の次世代ネットワークに対する研究コアであり、オールIPパケットコアネットワークに基づいて無線移動通信の品質を向上することを指し、NGNとNGI（Next-Generation Internet，次世代インターネット）は、それぞれ電気通信ネットワークとインターネット分野の次世代ネットワークへの統合の研究であり、CNGI（China's Next Generation Internet，中国次世代インターネット）は、IPv6に基づく次世代インターネットを構築することを指し、北方交通大学の「一体化信頼できるネットワーク及びユニバーサルサービス制度基礎研究」は、統一的な新しいパケットネットワークを構築できることが望ましい。各種の研究には大きな違いが存在するが、各種の研究に通常に受け取られる観点は、将来ネットワークがパケットに基づく統一キャリアネットワークであることである。従って、次世代ネットワークアーキテクチャの研究は、インターネットを主な基準対象とする。インターネットは、その出現からずっと高速に発展し、現在最も成功した、最も実用的な通信ネットワークになり、そのフレキシブルなスケーラビリティ、効果的なパケット切り替え、端末の強力な機能等の特徴は、非常に、新しい世代ネットワークの設計需要に符合する。インターネットは、新しい世代ネットワーク設計の主な基準サンプルとなる。ところが、インターネットの構造は、最適化には、はるかに及ばず、多くの重大な設計問題が存在している。上述したIPアドレススペースがアプリケーションの需要を満たさない以外には、さらに、主に以下の面に現れる、
インターネットが発明された二十世紀七十年代の人達には、今日のように、世界中に大量の移動端末とマルチホーム端末が存在することを予測することが困難であった。このため、当時のインターネットプロトコルスタックは、主に「固定」方式で接続する端末に対して設計するものである。当時のネットワーク環境で、端末が基本的に１つの位置から他の位置に移動することがなく、送信するアドレスは受信するアドレスであり、経路は可逆である。このため、IDと位置の二重属性を有するIPアドレスは非常によく機能し、IPアドレスのID属性と位置属性との間には、いずれかの衝突が発生することがない。IPアドレスが同時にIDと位置を代表することは、当時のネットワーク需求をちょうど満足する。当時のネットワーク環境からみると、このような設計方法は、簡単且つ有効で、プロトコルスタックの階層構造を簡単化させる。IPアドレスのID属性と位置属性との間に内部矛盾が存在していることも言うまでもない。IPアドレスのID属性は、任意の2つのIPアドレスがいずれも平等であることを要求し、IPアドレスは組織機構に従って割り当てることができる。しかし、連続的に符号化するIPアドレスの間には必然の関係がなく、又は、少なくともトポロジー位置に必然の関係がない。IPアドレスの位置属性は、IPアドレスがネットワークトポロジー（組織機構ではない）に基づいて割り当てることを要求し、同一のサブネット内にあるIPアドレスはいずれも1つの連続的なIPアドレスブロックにあるべきである。このように、ネットワークトポロジーにおけるIPアドレスプレフィックスを重合させることにより、ルーター設備のルーティングテーブルのエントリを減少させ、ルーティングシステムのスケーラビリティを保証できる。
【０００６】
ネットワーク規模と技術の発展に伴い、あるIPアドレスを動的に割り当てる技術、例えば動的ホスト構成プロトコル（DHCP，Dynamic Host Configuration Protocol）が徐々に出現し、これはIPアドレスが唯一に1つの端末を表す仮定を打破し始める。プライベートIPアドレススペースの使用と、ネットワークアドレス転換（NAT，Network  Address Translator）技術の誕生は、情況を悪化させていく。このような場合、同時に、ID属性と位置属性を有するIPアドレスは、役目を果たし続けることができず、IPアドレスの二重属性問題が目立ってきた。技術方面への需求は、顕著な変化が発生する以外、インターネットのユーザー情況も非常に大きな変更があった。インターネットが誕生した後の最初の数年において、インターネットは、基本的にある共同団体にあり且つ互いに信頼する人員に使用され、従来のインターネットプロトコルスタックもこのような仮定に基づいて設計されている。しかし、現在のインターネットユーザーは玉石混交であり、人間たちは互いに信頼し続けることが困難である。このような場合に、セキュリティメカニズムの埋め込みに欠けるインターネットは変更も必要である。
【０００７】
要するに、IPアドレス二重属性の内在矛盾は、次の主要な問題を招致する。
【０００８】
1.ルーティングの拡張可能な問題
インターネットのルーティングシステムのスケーラビリティに対して基本的な仮定「アドレスがトポロジーに従って割り当てられ、或いは、トポロジーがアドレスによって分配され、必ず両者から一方を選択しなければならない」が存在する。IPアドレスのID属性は、IPアドレスが端末の属する組織機構（ネットワークトポロジーではない）に基づいて割り当てられるこを要求し、しかも、このような割り当ては、一定の安定性を保持するが、常に変更することができない。IPアドレスの位置属性は、IPアドレスがネットワークトポロジーに基づいて割り当てられるのを要求し、ルーティングシステムのスケーラビリティを保障する。このように、IPアドレスの2種類の属性は、衝突を発生することがあり、最終的には、インターネットのルーティングシステムの拡張可能な問題を招致する。
【０００９】
2.移動性問題
IPアドレスのID属性は、IPアドレスが端末位置の変更に従って変わらないことを要求し、これによりIDにバインディングする通信が中断しないことを保証でき、更に端末が移動した後、他の端末がそのIDによってそれと通信連絡を確立することも保証できる。IPアドレスの位置属性は、IPアドレスが端末位置の変更に従って変化することを要求し、IPアドレスが新しいネットワークトポロジーにおいて集約される。そうではないと、ネットワークは、必ず移動した後の端末に単独のルーティング情報を保留するため、ルーティングテーブルエントリの急激な増加を招致する。
【００１０】
3.マルチホーム問題
マルチホーミングとは、一般に、端末或いはネットワークが、同時に複数のISP（Internet Service Provider，インターネットサービスプロバイダ）のネットワークを通し、インターネットにアクセスすることを指す。マルチホーミング技術は、ネットワークの信頼性を増加し、複数のISP間のトラフィックをサポートし、総体の利用可能な帯域幅を向上する等のメリットを備える。しかしながら、IPアドレスの二重属性の内在矛盾は、マルチホーム技術を実現させることが困難である。IPアドレスのID属性は、1つのマルチホーム端末がずっと他の端末に対して不変のIDを現し、該マルチホーム端末がいくつかのISPによってインターネットにアクセスことに関わらず、IPアドレスの位置属性は、1つのマルチホーミング端末が異なるISPネットワークにおいて異なるIPアドレス通信を用いることを要求し、このように端末のIPアドレスがISPネットワークのトポロジーにおいて集約できることを保証することができる。
【００１１】
4.安全及び位置プライバシー問題
IPアドレスには、同時に、端末のID情報と位置情報が含まれるため、コレスポンデントノードと悪意のある盗聴者は、ともに、1つの端末のIPアドレスによって、同時に、該端末のID情報とトポロジー位置情報を取得できる。要するに、従来のインターネットの体系構造が確立されて以来、インターネットの技術環境とユーザーグループは、いずれも大きく変化しており、インターネットはそれに従って変革される。IPアドレスの二重属性の問題は、インターネットが発展していくことを妨げる根本原因の1つであり、IPアドレスのID属性と位置属性とを分離し、インターネットが直面する問題を解決するよい考えである。新しいネットワークは、このような考えに基づいて設計され、ID情報と位置情報の分離マッピングのネットワーク構成を提案し、従来のインターネットに存在しているある重大な欠点を解決する。
【００１２】
IDと位置の問題を解決するために、業界では大量の研究と探索が行われ、全てのIDと位置分離案の基本思想は、いずれも、元のバインディングからIPアドレスにおけるIDと位置の二重属性を分離することである。そのうち、ある案は、アプリケーション層のURL（Uniform Resource Locator，ユニフォームリソースロケーター、URLが完全にInternetWebページと他のリソースアドレスを説明するための識別方法）或いはFQDN（Fully Qualified Domain Name，修飾ドメイン名）を用いて端末のID識別子とすること等である。ある案は、新しい名前空間を引き入れるID識別子として、例えばHIP（Host Identity Protocol，ホストアイデンティティプロトコル）は、IPアドレスを位置識別子とするネットワーク層にはホストアイデンティティを増加する。ある案は、IPアドレスを分類し、一部のIPをID識別子とし、一部IPを位置識別子として、例えばLISP（Locator/ID Separation Protocol，ロケータ/ID分離プロトコル）においてEID（endpoint ID，端末ID）を使用してID識別子とし、RLOC（Routing Locator，ルーティングロケータ）を位置識別子とすること等である。これらの案において、特に、LISPの研究が、業界で注目され、IETFでLISP作業グループが成立され、LISP作業グループの章程は、LISP基本プロトコル（draft-farinacci-lisp-12.txt）、LISP+ALT（LISP Alternative Topology，LISP代替トポロジー）のマッピングシステム（draft-fuller-lisp-alt-05.txt）、LISP相互運用性（draft-lewis-lisp-interworking-02.txt）、LISPマッピングサーバー（draft-fuller-lisp-ms-00.txt）、LISPマルチキャスト（draft-farinacci-lisp-multicast-01.txt）方面の作業に熱中する。作業グループは相互運用性を備えるLISP実現と境界マッピングシステムの需求のために定義する作業を激励とサポートし、作業グループはALT或いは他のマッピングシステムの安全配置上の作業にも熱中する。
【００１３】
VPN（virtual private network，バーチャルプライベートネットワーク）は、異なるネットワークのコンポーネントとリソースとの間の相互接続を実現できる。VPNは、Internetネットワーク或いは他の公衆インターネットの基礎施設を用いてユーザーにトンネルを作成でき、プライベートネットワークと同様な安全と機能保障を提供する。
【００１４】
VPNには複数種の実現方式があり、具体的には、ユーザーが管理するVPN解決方案（CPE−VPN）とオペレーターが実施するVPN解決方案（PP−VPN）に分けられる。
【００１５】
ユーザーが管理するVPN解決方案（CPE−VPN方案）は、ユーザーが自分でVPNゲートウェイ設備を設置、管理、及び維持し、公衆IPネットワークがそれぞれの支部機構と会社本部との間に標準VPNトンネルに基づく接続を確立し、トンネルプロトコルは、一般的にレイヤ2トンネルプロトコル（L2TP）、ポイントツーポイントトンネルプロトコル（PPTP）、IPsec（安全IP）、IP in IP（IPの中にIPをパッケージする）及び汎用ルーティングパッケージ（GRE，Generic Routing Encapsulation）等を用いて、各種の暗号化技術とネットワークアドレス転換（NAT）技術を用いてデータ伝送の安全を保障することを特徴とする。
【００１６】
VPNトンネル接続の確立と管理は、完全にユーザー自分によって担当し、プロバイダがネットワークの構成と性能を調整または変更する必要がない。このような方式はつまり、一般的に言われる「自作VPN」方式である。
【００１７】
VPNサポート企業は、Internet等の公衆インターネットによって支部機構または他の会社と接続を確立し、安全的な通信を行う。このようなInternetの乗り越えを確立するVPN接続は、論理的に二つの場所の間に広域ネットワークを用いて確立する接続に相当する。VPN通信が公衆インターネットに基づいて確立するが、ユーザーがVPNを用いる際にプライベートネットワークを用いて通信するように感じるため、バーチャルプライベートネットワークと言われる。VPN技術を用いれば、現在のようにリモートトラフィックがますます増加し、企業のグローバルオペレーションが幅広く分布する場合に、職員が中央リソースをアクセスする必要があって、企業同士の間に必ずタイムリー且つ有効的に通信を行う問題を解決できる。
【００１８】
VPNの基本的な用途は、VPNによってリモートユーザーアクセスを実現し、VPNは安全な方式で公衆インターネットによって企業リソースにリモートアクセスすることをサポートする。例えばVPNユーザーは、まず、ローカルアクセスサービスプロバイダ（ISP）のネットワークアクセスサーバー（BRAS）をダイヤルし、次にVPNソフトウェアを用いて、ローカルISPと確立する接続を利用してリモートユーザーと企業VPNサーバーとの間に1つのInternet或いは他の公衆インターネットを乗り越えるVPNを作成する。
【００１９】
VPNを用いてリモートでローカルエリアネットワークを接続すると、価格が高い長距離プライベート回路を用いる必要がない。支部機構と企業端末のルーターは、各自のローカルのプライベート線路を用いてローカルのISPによってInternetを接続でき、或いは、ダイヤルアクセスISPのブロードバンドがサーバーにアクセスしてinternetを接続する。VPNソフトウェアを用いて、ローカルISPと確立する接続を利用してInternetネットワークが支部機構と企業端ルーターとの間に1つのVPNを作成する。
【００２０】
VPN技術は第2層トンネルプロトコル（L2TP）を採用し、L2TPプロトコルは、IP、IPX（Internetwork Packet Exchange protocol，インターネットパケット切り替えプロトコル）或いはNetBEUI（NetBIOS Extend User Interface，NetBIOSユーザー拡張インタフェースプロトコル）データストリームの暗号化を許可する。次に、ポイントツーポイントデータをサポートして伝達する任意のネットワーク、例えばIP、X.25、フレームリレー或いはATM（Asynchronous Transfer Mode，非同期転送モード）に報告して伝送する。安全なIP（IPSec）トンネルモード、IPSecトンネルモードは、IPペイロードデータの暗号化を許可し、次に、IPヘッダの中にパッケージして企業IPネットワーク或いは公衆IPインターネット、例えばInternetによって伝送する。
【００２１】
オペレーターが実施するVPN解決方案（PP−VPN）は、オペレーターが公衆データ通信ネットワークにVPNゲートウェイ設備を設置し、プライベート回線アクセスユーザー或いはリモートダイヤルアクセスユーザーに用いられることを指す。該ゲートウェイ設備に応じてトンネルパッケージ、バーチャルルーター或いはMPLS（マルチプロトコルラベルの切り替え）等の技術によってVPNを確立でき、且つ、暗号化技術を採用してデータ伝送の安全を保障するようになる。VPN接続の確立は、完全にオペレーターによって担当し、ユーザーに対して透明である。このような方式はつまり一般的に言われる「アウトソーシングVPN」方式である。
【００２２】
ブロードバンドアクセスネットワークの急速な発展と同時に、オペレーターが、高品質なサービスの開拓のために解決しなければならない必要がある1つの問題は、いかにネットワークの構成に対して合理的に階層化を計画し、ユーザーへの位置定め及びサービスコントロールを実現することである。アクセスネットワーク層面に大量にイーサネット(登録商標)技術を採用するため、従来、イーサネット(登録商標)に基づいてネットワーク分割を実現する技術は、主に、バーチャルローカルエリアネットワーク（VLAN，Virtual Local Area Network）技術である。VLANは、ローカルエリアネットワーク内における設備を物理ではなく論理的に一つ一つのネットワークセグメントに分割することにより、バーチャル作業グループを実現する新型技術である。IEEE（IEEE (The Institute of Electrical and Electronics Engineers，国際電気電子技術者協会)は、1999年にVLAN実現方案を標準化するための802.1Qプロトコル標準草案を公布する。従来のイーサネット(登録商標)フレームフォーマットには、4096個のVLANを定義する。VLANは、イーサネット(登録商標)の放送問題と安全性を解決ために提出したものであり、それがイーサネット(登録商標)フレームの元にVLANヘッダを増加し、VLAN IDを用いてユーザーをより小さい作業グループに分割し、異なる作業グループの間のユーザーのレイヤ2交換訪問を制限する。それぞれの作業グループは、1つのバーチャルローカルエリアネットワークである。バーチャルローカルエリアネットワークは放送範囲を制限でき、且つ、バーチャル作業グループを形成でき、ネットワークを動的にコントロールするメリットを有する。VLANがブロードキャストストームを分離したのと同時に、それぞれ異なるVLANの間の通信を分離するため、異なるVLANの間の通信は、ルーティングによって完成する必要がある。
【００２３】
VLANを分割する方法には、主に複数種がある。第1は、ポートによってVLANを分割する方法である。このようなポートによってVLANを分割する方式は、最も一般的に使用される1種の方式である。第2は、MAC（Media Access Control，メディアアクセス制御）アドレスによってVLANを分割する方法である。このようにVLANを分割する方法の最も大きなメリットは、ユーザーの物理位置が移動する際に、すなわち1つのスイッチから他のスイッチに切り替える際に、VLANを改めて配置する必要がなく、欠点が初期化する際に、全てのユーザーがいずれも配置する必要があって、スイッチの実行効率が低下することを招致することである。第3は、ネットワーク層によってVLANを分割する方法である。このようにVLANを分割する方法は、ルーティングではなく各ホストのネットワーク層アドレス或いはプロトコルタイプ（仮にサポートマルチプロトコル）によって分割するため、ユーザーの物理位置が変わっても属するVLANを改めて配置する必要がなく、欠点がフレームヘッダを改めて解析することが効率を低下させることである。第4は、IPマルチキャストによってVLANを分割する方法である。IPマルチキャストは実際にVLANの定義であり、すなわち1つのマルチキャストグループが1つのVLANである。このように分割する方法は、VLANを広域ネットワークに拡大する。このため、このような方法は、より大きなフレキシブル性があって、且つ、容易にルーターによって拡張できる。
【００２４】
VLANは、特定のイーサネット(登録商標)通信環境でのVPN技術としてブロードバンドアクセスには大規模にアプリケーションされ、コアネットワーク或は広域ネットワークにマルチプロトコルラベルに基づいて（MPLS，Multiprotocol Label Switching）MPLSを切り替えるVPNをよく適用する。
【００２５】
MPLS技術の出現は、Internet全体の体系構成を変化させる。MPLS技術を採用してVPNを実現する技術方案は、従来のIPネットワークの欠陥を大いに改善し、フレームリレー或いはATMネットワークと同様な安全性の保証を提供でき、VPNサービスの需求をよく適合する。
【００２６】
MPLS VPNのネットワークモデルは、カスタマーエッジ（CE，Customer Edge）設備がルーター或いはレイヤ2スイッチであり、カスタマー端末に位置し、ネットワークプロバイダへのアクセスを提供する、プロバイダエッジ（PE，Provider Edge）ルーターは、主にノードに関する転送テーブルを維持し、他のPEルーターとVPNルーティング情報を切り替え、MPLSネットワークにおけるラベル切り替え経路（LSP，Label Switched Path）を用いてVPNサービスを転送し、これがMPLSネットワークにおけるラベルエッジルーター（LER，Label Edge Router）である。プロバイダルーター（PR，Provider Router）は、確立したLSPを用いてVPNデータを透明転送し、VPNに関するルーティング情報を維持しなく、これがMPLSネットワークにおけるラベル切り替えルーター（LSR, Label Switching Router）である。
【００２７】
MPLS  VPNのメリットは、以下の通りである。
【００２８】
安全性：
MPLS VPNは、ルーティング分離、アドレス分離及び情報隠蔽等の複数種の手段を採用し、反攻撃とラベル詐欺の手段を提供するため、MPLS VPNは完全にATM/FR VPNと類似する安全保証を提供できる。
【００２９】
拡張性：
MPLS VPNは、強い拡張性を有する。MPLSネットワークには、収納できるVPN数が大きい一方で、ユーザーノード数上にBGP（Border Gateway Protocol，境界ゲートウェイプロトコル）を用いてメンバーの割り当てと管理を行うため、同一のVPNにおけるユーザーノード数が制限されることがなく、容易に拡充し、いずれかのノードがいずれかのほかのノードとの直接通信を実現できる。特に、ユーザーノードの間のフルメッシュ通信を実現する際に1バスずつユーザーノードの間の回路を配置する必要がなく、ユーザー側は1つのポート/1バスの線路アクセスネットワークが必要で、N平方の拡張性問題を避ける。
【００３０】
信頼性：
MPLS VPNサービスは、自然にネットワークの信頼性を保証する大きな帯域幅、マルチノード、マルチルーティング、豊富なネットワーク及び伝送リソースがある。インターネット内部における中継線が中断する際に、MPLS VPNのトラフィックと一般的なインターネットトラフィックはともにIGP（Interior Gateway Protocol，内部ゲートウェイプロトコル）に従って他の回路に迂回し、この過程は完全にIGPの収束により自動的に完成し、ユーザーに対して完全に透明し、広域ネットワークの伝送においてシングル・ポイント障害が存在することがない。
【発明の概要】
【発明が解決しようとする課題】
【００３１】
前記のバーチャルプライベートネットワークVPN技術は、いずれも従来のデータ通信ネットワークに基づいて、従来のネットワークアーキテクチャに基づいて実現し、IPアドレスはIDと位置の二重意味を有し、ロケータ/ID分離プロトコルLISP技術のアーキテクチャで、IPアドレスが位置属性のみを有し、端末ホストの三層ネットワーク地理位置の識別子として、通信伝送の端末ID識別子に用いられる1つの端末ホストのID識別子を増加し、端末ホストの位置識別子は端末ホストがある地理位置とネットワークトポロジーによって決められ、端末ホスト移動の過程に、位置の変化による端末ホストの位置識別子が変わって、端末ホストのID識別子は端末IDが唯一に用いる識別子に属し、端末ホスト移動の過程に変わることがない。同時に、必ず端末ホストID識別子と位置識別子のマッピングを増加しなければならなく、このマッピング関係を完成する機能エンティティが必要とする。
【００３２】
ロケータ/ID分離のネットワークアーキテクチャで、前記のVPN技術の実施に影響を及ぼし、オペレーターが実施するVPN解決方案（PP−VPN）への影響が小さく、位置とID分離は主にVPNのユーザーのIDとアクセス管理に端末ホストのID識別子を用いて認証管理する必要があって、管理システムをアップグレード処理する必要があることに関し、ユーザーが管理するVPN解決方案（CPE−VPN方案）に対して、位置とIDを分離した後端末ホストがIPアドレスを用いて通信することがなく、端末ホストのID識別子EIDを用いて通信する影響が比較的大きいで、VPNソフトウェアをアップグレード処理して端末ホストのID識別子をサポートする必要がある。
【００３３】
本発明が解決しようとする技術問題は、バーチャルプライベートネットワークの実現方法及びシステムを提供し、ロケータ/ID分離ネットワークにおいてバーチャルプライベートネットワークを実現するようにする。
【課題を解決するための手段】
【００３４】
以上の技術問題を解決する本発明は、バーチャルプライベートネットワークの実現方法であって、前記方法は、ロケータ/ID分離プロトコル（LISP）ネットワークに基づいて実現し、前記VPNネットワークは入力トンネルルーター（ITR）、マッピングサーバー及び出力トンネルルーター（ETR）を備え、該方法は、
A：  前記ITRが送信元ホストから送信するデータメッセージを受信した後、端末ホストVPN属性の記憶ネットワーク構成要素にマッピング要求メッセージを送信し、その中に送信元ホストのVPN属性及び目的端末ホストのID識別子を携えること、
B：  前記端末ホストVPN属性の記憶ネットワーク構成要素は、前記マッピング要求メッセージを受信し、前記目的端末ホストのID識別子によって前記目的端末ホストのVPN属性を確定し、
C：  前記端末ホストVPN属性の記憶ネットワーク構成要素は、前記送信元ホストと目的端末ホストとのVPN属性が同様であるかどうかを比較し、同様である際に、マッピング問い合わせを行い、マッピング応答メッセージをリターンバックし、その中に目的端末ホストの位置識別子を携え、それではないと、到達できない情報をリターンバックすること、
D：  前記ITRは、前記マッピング応答メッセージを受信し、前記目的端末ホストの位置識別子に基づいて前記ETRにLISPデータメッセージを転送し、前記ETRが前記LISPデータメッセージを目的端末ホストに転送し、
そのうち、前記端末ホストVPN属性の記憶ネットワーク構成要素が前記マッピングサーバー或いはETRであることを含む。
【００３５】
ステップAの前に、前記ITRが前記送信元ホストから送信したデータメッセージを受信した後、先にローカルマッピング関係を問い合わせ、目的端末ホストID識別子を見つけ、且つ送信元ホストのVPN属性と目的端末ホストとのVPN属性が同様である時に、目的端末ホストの位置識別子を取得し、前記目的端末ホストの位置識別子に基づいて前記ETRにデータメッセージを転送し、それではないと、ステップAを実行することが好ましい。
【００３６】
ステップDにおいて、前記ETR送信元ホストと目的端末ホストVPN属性が同様である時に、前記LISPデータメッセージを目的端末ホストに転送することが好ましい。
【００３７】
ステップA、Cにおいて、前記マッピング要求メッセージ及びマッピング応答メッセージがLISP制御メッセージ経路によって送信され、ステップDにおいて、前記データメッセージがLISPデータメッセージ経路によって送信され、且つデータメッセージにVPN属性が含まれることが好ましい。
【００３８】
前記VPN属性はVPN識別子を含み、異なるVPN識別子が異なるVPNネットワークを代表することが好ましい。
【００３９】
前記VPN属性は、送信元ホストがVPN端末ホストであるかどうかの情報を含むことが好ましい。
【００４０】
以上の技術問題を解決するために、本発明は、さらにバーチャルプライベートネットワークの実現システムであって、前記システムは入力トンネルルーター(ITR)、マッピングサーバー及び出力トンネルルーター（ETR）を備え、
前記ITRは、第1データメッセージ送受信モジュール、メッセージ処理モジュール、第1制御メッセージ送受信モジュール、第1ローカルマッピングテーブル及びマッピング問い合わせモジュールを含み、
前記第1データメッセージ送受信モジュールは、送信元ホストから送信したデータメッセージを受信し、及び前記ETRにLISPデータメッセージを転送するように設置され、
前記メッセージ処理モジュールは前記第1データメッセージ送受信モジュールと接続し、受信したデータメッセージを解析してマッピング問い合わせモジュールを通知し、マッピング問い合わせモジュールの問い合わせ結果に基づいてマッピング要求メッセージを生成し、その中に送信元ホストのVPN属性及び目的端末ホストのID識別子を携るように設置され、さらに前記第1制御メッセージ送受信モジュールが受信したマッピング応答メッセージが前記ETRに転送するLISPデータメッセージを生成するように設置され、
前記第1制御メッセージ送受信モジュールは、前記メッセージ処理モジュールと接続し、端末ホストVPN属性記憶ネットワーク構成要素に前記マッピング要求メッセージを送信し、及び前記端末ホストVPN属性記憶ネットワーク構成要素が送信したマッピング応答メッセージを受信するように設置され、前記端末ホストVPN属性の記憶ネットワーク構成要素が前記マッピングサーバー或いはETRであり、
前記第1ローカルマッピングテーブルは、VPN属性、ID識別子と位置識別子とのマッピング関係を保存するように設置され、
前記マッピング問い合わせモジュールは、前記メッセージ処理モジュール及び第1ローカルマッピングテーブルと接続し、前記送信元ホストのID識別子によって送信元ホストのVPN属性を問い合わせるように設置され、
前記マッピングサーバーは、第2制御メッセージ送受信モジュール、第2ローカルマッピングテーブル及び第1マッピング処理モジュールを含み、
前記第2制御メッセージ送受信モジュールは、前記ITRが送信したマッピング要求メッセージを受信し、及び前記ITRにマッピング応答メッセージを送信するように設置され、
前記第2ローカルマッピングテーブルは、VPN属性、ID識別子及び位置識別子のマッピング関係を送信するように設置され、
前記第1マッピング処理モジュールは、前記第2制御メッセージ送受信モジュール及び第2ローカルマッピングテーブルと接続し、目的端末ホストID識別子に基づいて前記第2ローカルマッピングテーブルを問い合わせ、目的端末ホストのVPN属性を取得し、及び前記送信元ホストのVPN属性と目的端末ホストとのVPN属性が同様であるかどうかを比較し、比較結果が同様である時に、前記第2ローカルマッピングテーブルを問い合わせ、目的端末ホストの位置識別子を取得するように設置され、さらに、問い合わせ結果に基づいてマッピング応答メッセージを生成するように設置され、
前記ETRは、第2データメッセージ送受信モジュール、第3制御メッセージ送受信モジュール、第3ローカルマッピングテーブル及び第2マッピング処理モジュールを含み、
前記第2データメッセージ送受信モジュールは、前記ITRが送信したLISPデータメッセージを受信するように設置され、
前記第3制御メッセージ送受信モジュールは、前記ITRが送信したマッピング要求メッセージを受信し、及び前記ITRにマッピング応答メッセージを送信するように設置され、
前記第3ローカルマッピングテーブルは、VPN属性、ID識別子と位置識別子とのマッピング関係を記憶するように設置され、
前記第2マッピング処理モジュールは、前記第3制御メッセージ送受信モジュール及び第3ローカルマッピングテーブルと接続し、目的端末ホストID識別子に基づいて前記第3ローカルマッピングテーブルを問い合わせ、目的端末ホストのVPN属性を取得し、及び前記送信元ホストのVPN属性と目的端末ホストとのVPN属性が同様であるかどうかを比較し、比較結果が同様である時に、前記第3ローカルマッピングテーブルを問い合わせ、目的端末ホストの位置識別子を取得するように設置され、さらに、問い合わせ結果に基づいてマッピング応答メッセージを生成するように設置される。
【００４１】
前記ITRのマッピング問い合わせモジュールは、目的端末ホストのID識別子によって前記第1ローカルマッピングテーブルを問い合わせ、及び前記送信元ホストのVPN属性と目的端末ホストとのVPN属性が同様であるかどうかを比較し、同様である時に、前記第1ローカルマッピングテーブルを問い合わせ、目的端末ホストの位置識別子を取得するように設置され、さらに、前記メッセージ処理モジュールを通知して前記ETRに転送するLISPデータメッセージを生成するように設置され、前記目的端末ホストのマッピング関係を見つけないと、さらに、前記メッセージ処理モジュールを通知して前記マッピング要求メッセージを生成するように設置されることが好ましい。
【００４２】
前記ITRの第1制御メッセージ送受信モジュールは、さらに、前記マッピングサーバーにマッピング維持要求を送信し、その中に維持操作タイプ及び維持しようとするマッピング関係を携えるように設置され、前記ETRの第3制御メッセージ送受信モジュールはさらに、前記マッピングサーバーにマッピング維持要求を送信し、その中に維持操作タイプ及び維持しようとするマッピング関係を携えるように設置され、前記マッピングサーバーの第2制御メッセージ送受信モジュールはさらに、前記ITR或いはETRが送信したマッピング維持要求を受信するように設置され、前記マッピングサーバーの第1マッピング処理モジュールはさらに、前記マッピング維持要求に基づいて第2ローカルマッピングテーブルを維持し、前記維持操作タイプは、登録、ログオフ及び修正を含むように設置されることが好ましい。
【００４３】
前記マッピング要求メッセージ及びマッピング応答メッセージは、LISP制御メッセージ経路によって送信され、前記データメッセージはLISPデータメッセージ経路によって送信され、且つデータメッセージにVPN属性が含まれることが好ましい。
【００４４】
前記VPN属性は、VPN識別子を含み、異なるVPN識別子が異なるバーチャルプライベートネットワークを代表する。
【００４５】
前記VPN属性は、送信元ホストがVPN端末ホストであるかどうかの情報を含む。
【００４６】
以上の技術問題を解決するために、本発明は、さらにバーチャルプライベートネットワークの実現方法であって、前記方法はロケータ/ID分離プロトコル（LISP）ネットワークフレームワークでのバーチャルプライベート（VPN）ネットワーク実現システムに基づいて実現し、前記VPNネットワーク実現システムはVPN属性、ID識別子及び位置識別子のマッピング関係を保存し、該方法は、
前記VPNネットワーク実現システムが、送信元ホストが送信したメッセージを受信するメッセージ受信ステップと、
前記VPNネットワーク実現システムが、送信元ホストのVPN属性と目的端末ホストとのVPN属性が同様であるかどうかを比較し、同様である時に、前記マッピング関係を問い合わせ、前記目的端末ホストの位置識別子を取得し、同様ではない時に、到達できない情報を発生するマッピング処理ステップと、
前記VPNネットワーク実現システムが、前記目的端末ホストの位置識別子によってメッセージ転送し、或いは到達できない情報によってプロセスを終了するメッセージ処理ステップを含む。
【００４７】
前記メッセージ処理ステップにおいて、前記VPN実現システムは、送信元ホストと目的端末ホストとのVPN属性を比較して同様である時に、さらにメッセージ転送を行い、それではないと、プロセスを終了することが好ましい。
【００４８】
前記マッピング処理ステップは、LISPネットワークアーキテクチャにおける入力トンネルルーター（ITR）、マッピングサーバー或いは出力トンネルルーター（ETR）によって実現することが好ましい。
【００４９】
前記VPN属性はVPN識別子を含み、異なるVPN識別子が異なるVPNネットワークを代表することが好ましい。
【００５０】
前記VPN属性は、送信元ホストがVPN端末ホストであるかどうかの情報を含むことが好ましい。
【００５１】
以上の技術問題を解決するために、本発明は、さらに他のバーチャルプライベートネットワークの実現システムであって、該システムはロケータ/ID分離アーキテクチャのネットワークに基づいて実現し、
送信元ホストが送信したメッセージを受信し、マッピング処理装置を通知してマッピング処理するように設置されるメッセージ受信装置と、
前記メッセージ受信装置と接続し、バーチャルプライベートネットワーク（VPN）属性、ID識別子及び位置識別子のマッピング関係を保存し、及びマッピング処理し、具体的に、送信元ホストと目的端末ホストとのVPN属性が同様であるかどうかを比較することを含み、同様である時に、保存したマッピング関係を問い合わせ、前記目的端末ホストの位置識別子を取得し、同様ではない時に、到達できない情報を発生するように設置され、さらに、前記マッピング処理結果をメッセージ処理装置に送信するように設置される前記マッピング処理装置と、
前記マッピング処理装置と接続し、前記マッピング処理結果を受信し、及び前記マッピング処理によってメッセージ処理し、具体的に、目的端末ホストの位置識別子によってメッセージ転送し、及び到達できない情報によって通信プロセスを終了することを含むように設置される前記メッセージ処理装置を備える。
【００５２】
前記メッセージ処理装置は、さらに、送信元ホストと目的端末ホストとのVPN属性が同様であるかどうかを比較し、同様である時に、さらにメッセージ転送を行い、それではないと、プロセスを終了するように設置されることが好ましい。
【００５３】
前記マッピング処理装置は、入力トンネルルーター（ITR）、マッピングサーバー或いは出力トンネルルーター（ETR）によって実現し、前記メッセージ受信装置及びメッセージ処理装置は前記ITRによって実現することが好ましい。
【００５４】
前記VPN属性は、VPN識別子を含み、異なるVPN識別子が異なるVPNネットワークを代表する。
【００５５】
前記VPN属性は、送信元ホストがVPN端末ホストであるかどうかの情報を含むことが好ましい。
【発明の効果】
【００５６】
本発明のバーチャルプライベートネットワークの実現方法及びシステムは、ロケータ/ID分離ネットワークに基づいてVPNを実現し、ID識別子と位置識別子とのマッピング関係において対応するVPN属性を増加し、マッピング処理を行う際に、送信元ホストのVPN属性と目的端末ホストとのVPN属性が同様であるのを判断する時に、さらに目的端末ホストの位置識別子を問い合わせ、目的端末ホストの位置識別子によってデータメッセージの転送を実現し、VPN属性が同様ではない時に、到達できない情報をリターンバックし、バーチャルプライベートネットワークを有効的に実現し、VPN端末ホスト通信の便利さと安全性を保証し、ユーザーがバーチャルプライベートネットワークへの需求を満たす。
【図面の簡単な説明】
【００５７】
【図１】ロケータ/ID分離のLISPネットワークアーキテクチャの構成模式図である。
【図２】LISP+ALTネットワークアーキテクチャの模式図である。
【図３】本発明の実施例におけるバーチャルプライベートネットワークの実現システムの模式図である。
【図４】本発明の実施例におけるバーチャルプライベートネットワークの実現方法の模式図である。
【発明を実施するための形態】
【００５８】
LISP（Locator/ID Separation Protocol，ロケータ/ID分離プロトコル）プロトコルネットワークアーキテクチャはネットワークに基づくロケータ/ID分離方案（具体的な内容がインターネットエンジニアリングタスクフォースフォーラムIETFのLISP作業グループの技術文書の最新バージョン、draft-farinacci-lisp-11.txtである）、従来のインターネットのIPアドレスをID識別子EID（Endpoint identifier）と位置識別子RLOC（Routing Locator）に分け、方案のメリットは、現在の端末ホストのプロトコルスタックを変更する必要がなく、端末の互換性がよく、ネットワークルーティング規模のスケーラビリティ、トラフィックエンジニアリング及び移動性を解決することを重点とする。LISPのネットワークアーキテクチャ模式図である図1を参照すると、EID識別子の端末ホスト（即ち第1端末ホスト100と第2端末ホスト110）、入力トンネルルーターITR（ingress tunnel router）200及び出力トンネルルーターETR（egress tunnel router）210を含む。そのうち、ITRとETRは、LISP制御メッセージ経路300とLISPデータメッセージ経路400によって接続する。図からみると、この2つの経路が異なり、IDと位置マッピングを処理するメッセージは、LISPプロトコルを用いてLISP制御メッセージ経路300から転送され、LISPがデータメッセージをパッケージしてLISPデータメッセージ経路400から転送される。ITRとETRのLISP制御メッセージ経路300には、さらにマッピング処理を行うためのマッピングサーバーを設置し、図には示さない。
【００５９】
LISP方案は、論理トポロジーを確立することによってID識別子EID（Endpoint identifier）と位置識別子RLOC（Routing Locator）のマッピング管理を実現し、従来のLISPプロトコルを用いて、合計4種類の発展経路を有し、違いがLISP制御メッセージの経路が異なることにあり、そのうち、LISP3 が発展する経路であり、EIDがルーティングできない、マッピング処理を行う必要があって、そのうちLISP+ALT（LISP Alternative Topology、LISP代替トポロジーは、具体的な内容がインターネットエンジニアリングタスクフォースフォーラムIETFのLISP作業グループの技術文書の最新バージョン、draft-fuller-lisp-alt-05.txtを参照する）への研究が比較的多く、LISP+ALTネットワークアーキテクチャ模式が図2を参照し、LISP+ALTは、GREとBGPルーティングプロトコルを用いて従来ネットワークアーキテクチャのオーバレイネットワーク（Overlay Network）を構築し、LISP制御メッセージ経路を構築し、トンネルルーターはこのオーバレイネットワークを用いてID識別子と位置識別子のマッピング関係を問い合わせ、応答し、マッピング関係がローカルキャッシュ（Cache）と分布しているデータベース（the distributed Endpoint Identifier-to-Routing Locator Mapping Database）に存在し、LISPの2種類のアクセス制御ルーターITR、ETR及びマッピングサーバーはともにマッピング関係の処理を完成する。
【００６０】
図2におけるALT rtrは、ALTオーバレイネットワークのルーター（router）を示す。
【００６１】
本発明におけるバーチャルプライベートネットワークの実現方法及びシステムの主要思想は、ロケータ/ID分離ネットワークに基づいてVPNを実現し、ID識別子と位置識別子とのマッピング関係において対応するVPN属性を増加し、マッピング処理を行う際に、送信元ホストのVPN属性と目的端末ホストとのVPN属性が同様であるのを判断する時に、さらに目的端末ホストの位置識別子を問い合わせ、目的端末ホストの位置識別子によってデータメッセージの転送を実現し、VPN属性が同様ではない時に、到達できない情報をリターンバックし、通信が失敗してしまって、VPN端末ホスト通信の便利さと安全性を保証し、ユーザーがバーチャルプライベートネットワークへの需求を満たす。
【００６２】
本発明は、バーチャルプライベートネットワークの実現方法であって、上記方法はロケータ/ID分離プロトコル（LISP）ネットワークに基づいて実現し、該バーチャルプライベートネットワークは入力トンネルルーター（ITR）、マッピングサーバー及び出力トンネルルーター（ETR）を含み、上記ITR、マッピングサーバー及びETRはバーチャルプライベートネットワーク（VPN）属性、ID識別子及び位置識別子のマッピング関係を保存し、該方法は、以下のA〜Dを含む。
【００６３】
A：  上記ITRは、送信元ホストが送信したデータメッセージを受信した後、ローカルマッピング関係によって送信元ホストのVPN属性を確定し、上記マッピングサーバー或いはETRにマッピング要求メッセージを送信し、その中に送信元ホストのVPN属性及び目的端末ホストのID識別子を携えること。
【００６４】
具体的には、本ステップは次のように実現する。入力トンネルルーターITRが、送信元ホストから送信した単層LISPメッセージ（LISPがないヘッダ）を受信し、マッピング要求メッセージを送信し、応答を待ってLISPパッケージを行う。
【００６５】
マッピングサーバー或いはETRは、端末ホストVPN属性の記憶ネットワーク構成要素とも言われ、一般的な場合、ITRが上記マッピングサーバーにマッピング要求メッセージを送信し、ITRがデータメッセージから転送した対応のETRを確定すると、該ETRへマッピング要求メッセージを送信する可能である。
【００６６】
B：  上記マッピングサーバー或いはETRは、上記マッピング要求メッセージを受信し、上記目的端末ホストのID識別子によって上記目的端末ホストのVPN属性を確定すること。
【００６７】
C：  上記マッピングサーバー或いはETRは、上記送信元ホストと目的端末ホストとのVPN属性が同様であるかどうかを比較し、同様である時に、上記ITRにマッピング応答メッセージをリターンバックし、その中に目的端末ホストの位置識別子（RLOC）を携え、それではいないと、到達できない情報をリターンバックし、プロセスを終了すること。
【００６８】
D：  上記ITRは、上記マッピング応答メッセージを受信し、上記目的端末ホストの位置識別子によって上記ETRにLISPデータメッセージを転送し、上記ETRは上記LISPデータメッセージを目的端末ホストに転送すること。
【００６９】
ITRは、マッピング応答メッセージを受信した後、マッピング応答メッセージに隠した或いは完全な、目的端末ホストのマッピング関係によってローカルのマッピング関係を更新でき、このようにITRが送信元ホストから送信した後続のデータメッセージを受信した後、ローカルのマッピング関係によって直接にマッピング処理及びデータメッセージ転送を行うことができ、ITRのマッピング処理とマッピングサーバー及びETRのマッピング処理との過程が同様であり、即ち、ローカルマッピング関係を問い合わせ、目的端末ホストのID識別子を見つけ、且つ送信元ホストのVPN属性と目的端末ホストのVPN属性が同様である時に、目的端末ホストの位置識別子を取得する。
【００７０】
ローカルマッピング関係が目的端末ホストのID識別子を見つけない場合に、ITR、マッピングサーバー及びETRに対して異なる処理方式があって、ITRに対して、ローカルで目的端末ホストのID識別子を見つけないと、マッピングサーバーにマッピング要求メッセージを送信し、マッピングサーバーに対して、ローカルで目的端末ホストのID識別子を見つけないと、ETRにマッピング要求メッセージを転送し、ETRに対して、ローカルで目的端末ホストのID識別子を見つけないと、マッピングサーバーによってITRに到達できない情報をリターンバックする。
【００７１】
データメッセージが転送される際に、ITRは、先にデータメッセージをLISPパッケージし、LISPプロトコルパッケージメッセージの外層メッセージヘッダ（outer header）のソースと目的アドレスはそれぞれITRとETPのIPアドレス、即ちRLOCであり、LISPパッケージされたデータメッセージをデータメッセージ経路によってETRルーターに転送し、ETRがLISPパッケージ解除を行った後、データメッセージをEID端末に送信する。
【００７２】
具体的に実現する際に、1つの端末ホストのEIDは、1つの或いは複数のRLOCをマッピングできる。
【００７３】
以上のようなマッピング要求メッセージ及びマッピング応答メッセージは、LISP制御メッセージ経路によって送信されるが、データメッセージはLISPデータメッセージ経路によって送信される。
【００７４】
異なる実現方式で、VPN属性が異なる意味を有し、以下の複数種の場合が存在する。
【００７５】
1：  ロケータ/ID分離ネットワークに複数のVPNネットワークの端末ホストを含むと、異なるVPNが異なるVPN識別子を設置し、VPN属性が端末ホストのVPN識別子を指す。
【００７６】
2：  ロケータ/ID分離ネットワークにVPNネットワークの端末ホストと非VPNネットワークの端末ホストを含み、VPN属性は端末ホストがVPN端末ホストに属するかどうかを指す。
【００７７】
3：  ロケータ/ID分離ネットワークに複数のVPNネットワークの端末ホストと非VPNネットワークの端末ホストを含み、VPN属性は端末ホストがVPN端末ホストに属するかどうか、及びVPN端末ホストに属する際に、属するVPN識別子を指す。
【００７８】
VPN端末ホストに対して、VPN識別子のみが同様であると、VPNユーザーの間の通信を確立し、それではないと、通信を確立できなく、VPN端末ホストが該VPNを除いた端末ホストと通信を確立できないのを保証し、VPNを除いた端末ホストもVPNネットワークをアクセスできなく、VPNネットワークの安全性を保証する。
【００７９】
マッピング関係が変化する際に、ITR及びETRはLISP制御メッセージ経路によってマッピングサーバーにマッピング維持メッセージを送信し、その中に維持操作タイプ及び維持しようとするマッピング関係を携え、上記マッピングサーバーはマッピング維持要求によってローカルマッピングテーブルを維持し、上記維持操作タイプは登録、ログオフ及び修正を含む。
【００８０】
また、ITRとマッピングサーバーはさらにマッピング応答メッセージに携えるマッピング関係によってローカルマッピング関係を更新できる。本発明が言われたITRとETRは互いに入力トンネルルーターと出力トンネルルーターであることを分る。説明するために、本発明はデータメッセージの伝送方向によって入力トンネルルーターと出力トンネルルーターを定義する。
【実施例】
【００８１】
LISP（Locator/ID Separation Protocol）プロトコルネットワークアーキテクチャでの本発明のバーチャルプライベートネットワークVPNを実施する。
【００８２】
LISPネットワークアーキテクチャでVPNを実現する際に、VPN端末ホストのマッピング関係と非VPN端末ホストのマッピング関係が異なるマッピングテーブルに保存でき、同一のマッピングテーブルに保存でき、どちらの実現方式にも関わらず、マッピング関係はいずれもVPN属性、ID識別子及び位置識別子のマッピング関係を表す。
【００８３】
サブテーブル保存を例として説明する。
【００８４】
まず、バーチャルプライベートネットワークVPNであるID識別子がEIDの端末ホストのためにVPN識別子を設置し、バーチャルプライベートネットワークVPNプライベートのマッピングテーブルを構築し、VPN識別子と該VPNに属するすべてのユーザー端末ホストのID識別子EIDと位置識別子RLOCのマッピング関係を含み、このような場合に、VPN属性がVPN識別子のみによって表すことができる。VPN端末ホストと非VPN端末ホストが共存する場合に、LISPネットワークアーキテクチャで2種類のマッピングテーブルを有し、1つはLISPマッピングテーブルであり、VPN識別子がなく、もう1つはVPN識別子のVPNマッピングテーブルである。LISPマッピングテーブルでは、端末ホストのVPN属性がデフォルトの非VPN端末ホストである。LISPマッピングテーブルとVPNマッピングテーブルとマッピングテーブルを総称する。
【００８５】
それぞれのVPNネットワークに識別する1つのVPN識別子（VPN_ID）があって、このように1つのLISPネットワークアーキテクチャで複数のVPNをサポートでき、多数の企業ネットワークのアプリケーション需要を満たす。
【００８６】
VPNマッピングテーブルにおけるユーザー端末ホストのマッピング関係は、動的に加入或いは削除されることができる。
【００８７】
ITRは、端末ホストLISPメッセージを受信した後、該メッセージのソースEIDはVPNに属すると、ITRが該端末ホストメッセージを受信して処理する際に、該ユーザーが属するVPNのVPNマッピングテーブルのみを問い合わせ、つまり、VPN識別子が必ず同様であると、VPNユーザーの間の通信を確立でき、それではないと、通信を確立できなく、該VPNマッピングテーブルを除いたユーザーと通信を確立できないのを保証し、VPNマッピングテーブルを除いたユーザーはVPNマッピングテーブルを問い合わせることができなく、VPNネットワークをアクセスすることができなく、VPNネットワークの安全性を保証する。同様に出力トンネルルーターとマッピングサーバーは、マッピング処理を行う際に、双方のVPN識別子が同様であるかどうかを比較し、VPNの内部のみに通信を確立するのを保証する。
【００８８】
VPNマッピングテーブルの構築例示：
第1個のバーチャルプライベートネットワークVPNは、ユーザーがEID（a1，。。。，k1）であり、VPN識別子VPN_ID_(1) を割り当て、次のようにVPNマッピングテーブルを構築する。
【表１】
2013504959.tif 000003
【００８９】
第2個のバーチャルプライベートネットワークは、ユーザーがEID（a2，…，k2）であり、VPN識別子VPN_ID_(2)を割り当てる。持っているVPNマッピングテーブルは以下の通りである。
【表２】
2013504959.tif 000004
【００９０】
VPNの間に分離する必要で、相互通信することができないため、VPN識別子VPN_ID_(1)のマッピングテーブルにおけるテーブルエントリとVPN識別子VPN_ID_(2)のマッピングテーブルにおけるテーブルエントリは重なり合うことができない。
【００９１】
VPNマッピングテーブルは、LISPネットワークアーキテクチャの設備における分布情況は以下の通りである。
【００９２】
入力トンネルルーターITRは、ソースEID端末がVPNネットワークにアクセスする入り口であり、VPNに属するソースEIDのためにVPN識別子を設置する。出力トンネルルーターETRは、目的EIDのマッピングデータベースを記憶し、VPNに属する目的EIDのためにVPN識別子を設置する。
【００９３】
以下に、LISPデータメッセージ、LISP制御メッセージ及びLISPメッセージのフォーマットについて説明する。
【００９４】
LISPデータメッセージヘッダフォーマット：
本発明においてLISPデータメッセージヘッダにVPN識別子を携え、具体的な位置がLISPメッセージのNonce一欄の後にあり、LISP  VPNデータメッセージヘッダのフォーマットは以下の通りである。
【表３】
2013504959.tif 000005
【００９５】
その中、IH（inner header）は内層メッセージヘッダを表し、OH（outer header）は外層メッセージヘッダを表し、VPN-IDはVPN識別子を表す。
【００９６】
LISP制御メッセージヘッダフォーマット：
本発明においてLISP制御メッセージヘッダにVPN識別子を携え、具体的な位置はLISPメッセージ的Nonce一欄の後にあり、LISP VPN制御メッセージヘッダフォーマットは以下の通りである。
【表４】
2013504959.tif 000006
【００９７】
LISPメッセージフォーマット：
本発明においてLISPメッセージ（LISP Message）の詳細的なフォーマットは以下の通りである。
【表５】
2013504959.tif 000007
【００９８】
LISPメッセージは、マッピング要求メッセージ（type=1）、マッピング応答メッセージ（type=2）、マッピング登録（type=3）等を含む。
【００９９】
ITRルーターは、EIDからRLOCまでのマッピングを必要とする際に、マッピング要求メッセージを送信する。マッピング要求メッセージにトリガーされ、ETRはマッピング要求を含むEIDにマッチングするRLOCをループバックする。マッピング登録メッセージはマッピングサーバーへEIDからRLOCまでのマッピング関係を登録することに用いられ、例えばETRがマッピングサーバーにEIDマッピング関係を発表する。
【０１００】
メッセージにおいて端末ホストがVPN端末であるかどうかのVPNマークをさらに増加でき、メッセージがVPN端末ホストの通信メッセージである際に、VPNマークが真実（true）であり、同時にメッセージにVPN識別子が存在するのを表し、メッセージがVPN端末ホストの通信メッセージではない際に、VPNマークが偽（false）であり、同時にメッセージにはVPN識別子がないのを表す。
【０１０１】
本発明がLISPネットワークアーキテクチャでVPNを実現することは以下の通りの特徴を有する。
【０１０２】
（一）  バーチャルプライベートネットワークVPNであるID識別子は、EIDの端末ホストのためにVPN属性を設置し、具体的に入力トンネルルーターITR、出力トンネルルーターETRのローカルマッピングデータベース（database）及びマッピングサーバー（Map-server）にはID識別子EIDの端末のためにVPN属性を設置する。
【０１０３】
（二）  LISPプロトコルメッセージにはVPN属性を増加し、データメッセージ（LISP Data Message）と制御メッセージ（LISP Control Plane Packet）を含む。
【０１０４】
ITRがマッピング要求メッセージを送信する際に、LISP VPN制御メッセージヘッダフォーマットを用い、そのうちVPN属性がソースEIDのVPN属性である。
【０１０５】
ETRがマッピングサーバーにマッピング登録メッセージを送信する際に、LISP VPN制御メッセージヘッダフォーマットを用い、そのうちVPN属性はETRが管理するEIDのVPN属性である。
【０１０６】
ITRルーターがLISPメッセージパッケージを行う際に、本発明のLISP VPNデータメッセージヘッダフォーマットを用い、VPN属性を含む。
【０１０７】
（三）  LISPネットワークアーキテクチャですべてのマッピング処理（mapping）装置（ITR、マッピングサーバー及びETRを含む）はマッピング処理を行う際に、ソースEIDと目的EIDのVPN属性同様であるかどうかを比較し、同様である時に、マッピング処理を行い、それではないと、到達できない情報をリターンバックする。
【０１０８】
ETRがマッピング要求メッセージを処理する際に、ソースEIDのVPN属性と目的EIDのVPN属性を比較し、同様である時に、LISPのマッピング処理を行い、マッピング応答メッセージをリターンバックし、それではないと、到達できないメッセージをリターンバックする。
【０１０９】
マッピングサーバーがマッピング処理を行う際に、ソースEIDのVPN属性と目的EIDのVPN属性が同様であると、マッピングメッセージの処理を行う。
【０１１０】
他のLISP VPNのマッピングメッセージの処理はいずれもVPN識別子を比較し、VPN通信の安全を保証する必要がある。マッピングメッセージは以下の12種類がある。
【表６】
2013504959.tif 000008
【０１１１】
ETR出力トンネルルーターは、LISPデータメッセージのパッケージ解除を行う際に、LISP VPNデータメッセージヘッダにおけるVPN属性と目的EIDとのVPN属性が同様であるかどうかを検査し、同様である時に、データ転送を行い、それではないと、捨てる等の異常処理を行う。
【０１１２】
VPN端末ホストに対して、VPN識別子が同様であると、VPN端末ホストの間の通信を確立でき、それではないと、通信を確立できなく、該VPNを除いた端末ホストと通信を確立できないのを保証し、VPNを除いた端末ホストもVPNネットワークをアクセスすることができなく、VPNネットワークの安全性を保証する。
【０１１３】
以上の方法を実現するために、本発明はさらにバーチャルプライベートネットワークの実現システムであって、該システムは入力トンネルルーター(ITR)、マッピングサーバー及び出力トンネルルーター（ETR）を備え、
上記ITRは第1データメッセージ送受信モジュール、メッセージ処理モジュール、第1制御メッセージ送受信モジュール、第1ローカルマッピングテーブル及びマッピング問い合わせモジュールを含み、
第1データメッセージ送受信モジュールは、送信元ホストから送信したデータメッセージを受信し、及び上記ETRにLISPデータメッセージを転送するように設置され、
メッセージ処理モジュールは上記第1データメッセージ送受信モジュールと接続し、受信したデータメッセージを解析してマッピング問い合わせモジュールを通知し、マッピング問い合わせモジュールの問い合わせ結果に基づいてマッピング要求メッセージを生成し、その中に送信元ホストのVPN属性及び目的端末ホストのID識別子を携るように設置され、さらに上記第1制御メッセージ送受信モジュールが受信したマッピング応答メッセージが上記ETRに転送するLISPデータメッセージを生成するように設置され、
第1制御メッセージ送受信モジュールは、上記メッセージ処理モジュールと接続し、端末ホストVPN属性の記憶ネットワーク構成要素（即ち上記マッピングサーバー或いはETR）に上記マッピング要求メッセージを送信し、及び上記端末ホストVPN属性の記憶ネットワーク構成要素が送信したマッピング応答メッセージを受信するように設置され、さらに、上記マッピングサーバーがマッピング維持要求を送信し、その中に維持操作タイプ及び維持しようとするマッピング関係を携えるように設置され、
第1ローカルマッピングテーブルは、VPN属性、ID識別子と位置識別子とのマッピング関係を保存するように設置され、
マッピング問い合わせモジュールは、上記メッセージ処理モジュール及び第1ローカルマッピングテーブルと接続し、上記送信元ホストのID識別子によって送信元ホスト的VPN属性を問い合わせ、及び目的端末ホストのID識別子によって第1ローカルマッピングテーブルを問い合わせるように設置され、さらに、上記送信元ホストのVPN属性と目的端末ホストのVPN属性が同様であるかどうかを比較し、比較結果が同様である時に、さらに上記第1ローカルマッピングテーブルを問い合わせ、目的端末ホストの位置識別子を取得するように設置され、さらに、上記メッセージ処理モジュールを通知して上記ETRに転送するLISPデータメッセージを生成するように設置され、上記目的端末ホストのマッピング関係を問い合わせない際に、さらに、上記メッセージ処理モジュールを通知して上記マッピング要求メッセージを生成するように設置される。
【０１１４】
上記マッピングサーバーは、第2制御メッセージ送受信モジュール、第2ローカルマッピングテーブル及び第1マッピング処理モジュールを含み、
第2制御メッセージ送受信モジュールは、上記ITRが送信したマッピング要求メッセージを受信し、及び上記ITRにマッピング応答メッセージを送信するように設置され、
第2ローカルマッピングテーブルは、VPN属性、ID識別子と位置識別子とのマッピング関係を保存するように設置され、
第1マッピング処理モジュールは、上記第2制御メッセージ送受信モジュール及び第2ローカルマッピングテーブルと接続し、目的端末ホストID識別子によって上記第2ローカルマッピングテーブルを問い合わせ、目的端末ホストのVPN属性を取得し、及び上記送信元ホストのVPN属性と目的端末ホストとのVPN属性が同様であるかどうかを比較し、比較結果が同様である時に、上記第2ローカルマッピングテーブルを問い合わせ、目的端末ホストの位置識別子を取得するように設置され、さらに、問い合わせ結果に基づいてマッピング応答メッセージを生成するように設置され、
上記ETRは、第2データメッセージ送受信モジュール、第3制御メッセージ送受信モジュール、第3ローカルマッピングテーブル及び第2マッピング処理モジュールを含み、
第2データメッセージ送受信モジュールは、上記ITRが送信したLISPデータメッセージを受信するように設置され、
第3制御メッセージ送受信モジュールは、上記ITRが送信したマッピング要求メッセージを受信し、及び上記ITRにマッピング応答メッセージを送信するように設置され、
第3ローカルマッピングテーブルは、VPN属性、ID識別子と位置識別子とのマッピング関係を保存するように設置され、
第2マッピング処理モジュールは、上記第3制御メッセージ送受信モジュール及び第3ローカルマッピングテーブルと接続し、目的端末ホストID識別子によって上記第3ローカルマッピングテーブルを問い合わせ、目的端末ホストのVPN属性を取得し、及び上記送信元ホストのVPN属性と目的端末ホストとのVPN属性が同様であるかどうかを比較し、比較結果が同様である時に、上記第3ローカルマッピングテーブルを問い合わせ、目的端末ホストの位置識別子を取得するように設置され、さらに、問い合わせ結果に基づいてマッピング応答メッセージを生成するように設置される。
【０１１５】
上記マッピング要求メッセージ及びマッピング応答メッセージは、LISP制御メッセージ経路によって送信され、上記データメッセージはLISPデータメッセージ経路によって送信される。
【０１１６】
ETRの第3制御メッセージ送受信モジュールは、さらに、上記マッピングサーバーにマッピング維持要求を送信し、その中に維持操作タイプ及び維持しようとするマッピング関係を携えるように設置され、
マッピングサーバーの第2制御メッセージ送受信モジュールは、さらに、ITR或いはETRが送信したマッピング維持要求を受信するように設置され、
マッピングサーバーの第1マッピング処理モジュールは、さらに、上記マッピング維持要求に基づいて第2ローカルマッピングテーブルを維持し、上記維持操作タイプは登録、ログオフ及び修正を含むように設置される。
【０１１７】
メッセージの処理プロセスによって、本発明のバーチャルプライベートネットワークの実現システム及び方法は以下の内容を概括できる。
【０１１８】
図3に示すように、本発明の実施例におけるバーチャルプライベートネットワークの実現システムはロケータ/ID分離アーキテクチャのネットワークに基づいて実現し、
送信元ホスト送信するメッセージを受信し、マッピング処理装置32を通知してマッピング処理するように設置されるメッセージ受信装置31と、
上記メッセージ受信装置31と接続し、バーチャルプライベートネットワーク（VPN）属性、ID識別子及び位置識別子のマッピング関係を記憶し、マッピング処理を行い、具体的に、送信元ホストと目的端末ホストのVPN属性が同様であるかどうかを比較し、同様である時に、記憶されたマッピング関係を問い合わせ、上記目的端末ホストの位置識別子を取得し、同様ではない時に、到達できない情報を発生することを含むように設置され、さらに、上記マッピング処理結果をメッセージ処理装置33に送信するように設置される上記マッピング処理装置32と、
上記マッピング処理装置32と接続し、上記マッピング処理結果を受信し、及び上記マッピング処理によってメッセージ処理し、具体的に目的端末ホストの位置識別子によってメッセージ転送し、及び到達できない情報によって通信プロセスを終了するように設置される上記メッセージ処理装置33を含む。
【０１１９】
具体的に、上記メッセージ処理装置33は、送信元ホストと目的端末ホストのVPN属性が同様であるかどうかを比較し、同様である時に、さらにメッセージ転送を行い、それではないと、プロセスを終了するように設置されてもよい。
【０１２０】
以上の内容からみると、マッピング処理装置32は入力トンネルルーター（ITR）、マッピングサーバー或いは出力トンネルルーター（ETR）によって実現し、メッセージ受信装置31及びメッセージ処理装置33は上記ITRによって実現する。
【０１２１】
相応的に、本発明の実施例におけるバーチャルプライベートネットワークの実現方法はロケータ/ID分離（LISP）フレームワークでのバーチャルプライベート（VPN）ネットワーク実現システムに基づいて実現し、上記VPNネットワーク実現システムはVPN属性、ID識別子及び位置識別子のマッピング関係を保存し、図4に示すように、該方法は、
ステップ401、上記VPNネットワーク実現システムは送信元ホスト送信するメッセージを受信するメッセージ受信ステップであり、
ステップ402、上記VPNネットワーク実現システムは、送信元ホストのVPN属性と目的端末ホストとのVPN属性が同様であるかどうかを比較し、同様である時に、上記マッピング関係を問い合わせ、上記目的端末ホストの位置識別子を取得し、同様ではない時に、到達できない情報を発生するマッピング処理ステップであり、
ステップ403、上記VPNネットワーク実現システムは上記目的端末ホストの位置識別子によってメッセージ転送し、或いは到達できない情報によってプロセスを終了するメッセージ処理ステップである。
【０１２２】
上記メッセージ処理ステップにおいて、上記メッセージ処理装置は送信元ホストと目的端末ホストとのVPN属性が同様であるのを比較する時に、さらにメッセージ転送し、それではないと、プロセスを終了する。
【０１２３】
本発明が言われたVPN属性は「VPN識別子」或いは「VPN端末ホストであるかどうかの情報」の中の少なくとも1つを含み、異なるVPN識別子が異なるバーチャルプライベートネットワークを代表し、LISPのデータメッセージと制御メッセージにはVPN属性を増加する。
【０１２４】
本発明のバーチャルプライベートネットワークの実現方法及びシステムはロケータ/ID分離のLISPネットワークアーキテクチャに基づいて、ID識別子と位置識別子のマッピング関係において対応のVPN属性を増加し、マッピング処理を行う際に、送信元ホストのVPN属性と目的端末ホストとのVPN属性が同様であるのを判断する時に、さらに目的端末ホストの位置識別子を問い合わせ、目的端末ホストの位置識別子によってデータメッセージの転送を実現して通信を確立し、VPN属性が同様ではない時に、到達できない情報をリターンバックし、バーチャルプライベートネットワークを有効的に実現し、VPN端末ホスト通信の便利さと安全性を保証し、ユーザーがバーチャルプライベートネットワークへの需求を満足する。本発明の実現方法及びシステムはロケータ/ID分離のネットワークアーキテクチャで従来のバーチャルプライベートネットワークVPNを実施する影響を避け、VPNを実施することによる従来設備とソフトウェアへの変更を減少し、特にオペレーターが実施するVPN解決方案（PP−VPN）に対して、本発明はオペレーターが実施するVPN解決方案の1種とされる。
【０１２５】
本分野の普通な当業者にとっては、上記方法における全部或いは一部のステップはプログラムによって関連ハードウェアを指令して完成することができ、上記プログラムはコンピュータの読み取り可能な記憶媒体、例えば、読み取り専用メモリ、ディスク或いはCD等に記憶されることができることが分ることができる。選択的に、上記実施例における全部或いは一部のステップは、1つ或いは複数の集積回路を用いて実現することもできる。相応的に、上記実施例における各モジュール/ユニットはハードウェアの形式で実現でき、ソフトウェア機能モジュールの形式で実現しても良い。本発明はいずれかの特定形式のハードウェアとソフトウェアとの結合に限られない。
【０１２６】
本発明は特定実施例を結びつけ説明するが、当業者にとっては、本発明の精神と範囲を逸脱する場合に、修正や変更を加えることができる。このような修正や変更は本発明の範囲と付加する請求項範囲に含まれる。
【産業上の利用可能性】
【０１２７】
本発明は、バーチャルプライベートネットワークの実現方法及びシステムを提供し、ロケータ/ID分離ネットワークに基づいてVPNを実現し、ID識別子と位置識別子とのマッピング関係において対応するVPN属性を増加し、マッピング処理を行う際に、送信元ホストのVPN属性と目的端末ホストとのVPN属性が同様であるのを判断する時に、さらに目的端末ホストの位置識別子を問い合わせ、目的端末ホストの位置識別子によってデータメッセージの転送を実現し、VPN属性が同様ではない時に、到達できない情報をリターンバックし、バーチャルプライベートネットワークを有効的に実現し、VPN端末ホスト通信の便利さと安全性を保証し、ユーザーがバーチャルプライベートネットワークへの需求を満たす。
【図１】
2013504959.tif 000009
【図２】
2013504959.tif 000010
【図３】
2013504959.tif 000011
【図４】
2013504959.tif 000012
【国際調査報告】
2013504959.tif 000013
2013504959.tif 000014
2013504959.tif 000015
2013504959.tif 000016