特許 6591621 多様なエンドツーエンド隔離をサポートする仮想プライベートネットワークサービス実装システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6591621

(24)【登録日】2019年9月27日

(45)【発行日】2019年10月16日

(54)【発明の名称】多様なエンドツーエンド隔離をサポートする仮想プライベートネットワークサービス実装システム

(51)【国際特許分類】

   H04L 12/70 20130101AFI20191007BHJP

   H04L 12/717 20130101ALI20191007BHJP

【ＦＩ】

   H04L12/70 D

   H04L12/717

【請求項の数】6

【全頁数】12

(21)【出願番号】特願2018-112571(P2018-112571)

(22)【出願日】2018年6月13日

(65)【公開番号】特開2019-33475(P2019-33475A)

(43)【公開日】2019年2月28日

【審査請求日】2018年6月13日

(31)【優先権主張番号】106126451

(32)【優先日】2017年8月4日

(33)【優先権主張国】TW

(73)【特許権者】

【識別番号】501027245

【氏名又は名称】中華電信股▲分▼有限公司

(74)【代理人】

【識別番号】110001195

【氏名又は名称】特許業務法人深見特許事務所

(72)【発明者】

【氏名】朱 ▲ユ▼ 煌

(72)【発明者】

【氏名】徐 浩 然

(72)【発明者】

【氏名】任 安 ▲ニ▼

(72)【発明者】

【氏名】曾 閔 棋

(72)【発明者】

【氏名】劉 景 豊

【審査官】 森田 充功

(56)【参考文献】

【文献】 特表２０１６−５０９４１２（ＪＰ，Ａ）

【文献】 国際公開第２０１６／１３９９１０（ＷＯ，Ａ１）

【文献】 国際公開第２０１５／１００３２９（ＷＯ，Ａ１）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｈ０４Ｌ １２／７０

Ｈ０４Ｌ １２／７１７

(57)【特許請求の範囲】

【請求項1】

多様なエンドツーエンド隔離をサポートする仮想プライベートネットワークサービス実装システムであって、
サーバを備え、
前記サーバは、
ネットワーク機能の仮想化技術に基づいて、トラフィックのプロキシ処理を行うように構成された少なくとも１つの仮想ルータと、
ソフトウェア定義ネットワーク技術に基づいて、前記仮想ルータの動作を動的に割り当てると共に、複数の仮想プライベートネットワークおよび複数のローカルエリアネットワークと、複数の仮想ローカルエリアネットワークタグとの対応関係を確立するように構成されたネットワークコントローラと、
複数の仮想マシンと物理ネットワークとの接続および前記仮想マシン間の相互接続を確立するように機能し、前記仮想ルータは、前記仮想マシンの各々に配置されている、仮想ネットワーク制御モジュールと、
前記仮想ネットワーク制御モジュールの時間管理設定を受信し、複数のユーザ装置の合法なネットワーク接続時間を管理し、不正なインターネット接続時に前記ユーザ装置の送受信トラフィックをブロックするように構成された時間管理モジュールと、
前記仮想ルータのハードウェアおよびネットワークリソースを配置するように構成された仮想化管理プラットフォームとを含み、
前記対応関係は、各々の前記仮想プライベートネットワークおよび各々の前記ローカルエリアネットワークが対応する前記仮想ローカルエリアネットワークタグを有することを意味し、
物理スイッチまたは仮想スイッチを備え、
前記物理スイッチまたは前記仮想スイッチは、前記ネットワークコントローラの前記対応関係に基づきトラフィックの転送を決定し、
前記物理スイッチまたは前記仮想スイッチは、前記対応関係に記載された、異なるトラフィックの宛先インターネットプロトコルアドレスに対応する前記仮想ローカルエリアネットワークタグに従って、異なる前記ローカルエリアネットワークからの異なるトラフィックを対応する前記仮想プライベートネットワークに誘導し、前記トラフィックを前記仮想プライベートネットワークを介して、対応する前記ローカルエリアネットワーク内のユーザ装置に送信し、
前記物理スイッチまたは前記仮想スイッチは、前記時間管理モジュールの設定に従って、トラフィック情報を検査することによって、前記ユーザ装置が時間範囲内でネットワークにアクセスできるか否かを判断し、前記トラフィック検査情報の設定は、前記時間管理設定に基づいている、
多様なエンドツーエンド隔離をサポートする仮想プライベートネットワークサービス実装システム。

【請求項2】

前記物理スイッチまたは前記仮想スイッチは、前記トラフィックの仮想ローカルエリアネットワークタグを検査して、前記トラフィックを対応する前記仮想ルータに誘導する、請求項１に記載の多様なエンドツーエンド隔離をサポートする仮想プライベートネットワークサービス実装システム。

【請求項3】

前記物理スイッチまたは前記仮想スイッチは、前記サーバに配置される、請求項１に記載の多様なエンドツーエンド隔離をサポートする仮想プライベートネットワークサービス実装システム。

【請求項4】

前記サーバには、前記複数の仮想マシンが実装され、
前記仮想ルータは、各仮想マシンに配置される、請求項２に記載の多様なエンドツーエンド隔離をサポートする仮想プライベートネットワークサービス実装システム。

【請求項5】

前記仮想ルータは、複数のユーザ装置から送信された異なるトラフィックの仮想ローカルエリアネットワークタグに従って、異なる種類のトラフィックを隔離し、対応する前記仮想プライベートネットワークに誘導することによって、エンドツーエンド仮想ネットワーク隔離を実現する、請求項１に記載の多様なエンドツーエンド隔離をサポートする仮想プライベートネットワークサービス実装システム。

【請求項6】

前記仮想ルータを用いて物理ルータを置換し、前記仮想ルータが同様のゲートウェイを設定することによって、複数のユーザ装置が前記ゲートウェイのインターネットプロトコルアドレスを変更する必要を無くし、異なる前記仮想ルータを前記サーバ内の異なる前記仮想マシンに配置し、異なるトラフィックに異なるルーティングテーブルを与えることによって、エンドツーエンド隔離の仮想プライベートネットワークサービスを実現する、請求項２に記載の多様なエンドツーエンド隔離をサポートする仮想プライベートネットワークサービス実装システム。

【発明の詳細な説明】

【技術分野】

【0001】

技術分野
本発明は、仮想プライベートネットワークに関し、特に多様なアーキテクチャをサポートできる仮想プライベートネットワークサービス実装システムに関する。

【背景技術】

【0002】

背景技術
仮想プライベートネットワーク（ＶＰＮ：Virtual Private Network）とは、主に、トンネリング技術および暗号化／復号などのセキュリティ技術を用いて、公衆インターネット上に構築された安全なプライベートネットワークである。従来のプライベートネットワークに比べて、仮想プライベートネットワークは、専用回線を使用する必要なく、通信プロトコル技術を利用して安価でインターネット上で専用回線の安全性を得ることができる。また、仮想プライベートネットワークは、従来のプライベートネットワークよりも優れた拡張性および柔軟な応用性を備え、接続ポイントを便利且つ容易に拡張することができ、必要に応じて接続帯域幅を増やすことができ、既存のアーキテクチャを調整することなく既存の接続技術を使用することができるため、設備の投資コストを削減し、管理および維持をより簡単に行うことができるという利点を有する。

【0003】

現行の仮想プライベートネットワークは、インターネットセキュリティプロトコル（ＩＰＳｅｃ：IP security protocol）、マルチプロトコルラベルスイッチング（ＭＰＬＳ：Multiprotocol Label Switching）、汎用ルーティングカプセル化（ＧＲＥ：Generic Routing Encapsulation）、および動的マルチポイント仮想プライベートネットワーク（ＤＭＶＰＮ：Dynamic Multipoint VPN）などの様々な技術を用いて、ポイントツーポイントまたはポイントツーマルチポイントの仮想プライベートネットワーク接続を達成することができる。しかしながら、現行の仮想プライベートネットワークは、主にインターネット上に企業専用のプライベートネットワークを構築することによって、企業内部のネットワーク（イントラネット）、上流業者および下流業者または関係会社間のネットワーク（エクストラネット）、国境なしのリモートアクセスを達成している。

【0004】

２０１７年２月１５日に公開された中国特許ＣＮ１０６４１１７３５は、「ルータ設置方法および装置」を記載している。当該特許に記載のルータ設置方法および装置は、ソフトウェア定義ネットワーク（ＳＤＮ：Software-Defined Networking）に設けられたコントロールに適用される。当該方法は、コントローラを介して、テナントＶＰＮインスタンスのルータターゲット（ＲＴ：Router Target）属性および外部ＶＰＮインスタンスのルーティングポリシーを構成することによって、ゲートウェイ装置に、ルーティングポリシーに従って異なる外部装置のルータにＲＴ属性を設定させ、ルータのＲＴ属性をテナントＶＰＮインスタンスのＲＴ属性とマッチングさせ、マッチングしたルータをテナントＶＰＮインスタンスに追加させることによって、テナントのトラフィックを誘導して外部ネットワークに転送する。当該発明を用いて、ゲートウェイ装置上のルータを動的に更新することができる。

【0005】

しかしながら、現行の仮想プライベートネットワークは、以下の課題、具体的に、第一の課題、すなわち、仮想プライベートネットワークが広域ネットワーク（ＷＡＮ：Wide Area Network）に広く使用されているが、仮想プライベートネットワークをＷＡＮ側から企業内部ローカルエリアネットワーク（ＬＡＮ：Local Area Network）およびデータセンタに拡張する場合に、マルチポイントツーマルチポイントエンドツーエンドネットワーク隔離を実現すること、第二の課題、すなわち、全てのユーザのトラフィックが同一の回路に混合されているため、異なる種類のトラフィックを互いに隔離すること、および第三の課題、すなわち、時間管理に基づいた動的且つフレキシブル実装、アクセスおよび制御メカニズムをまだ解決していない。したがって、実際の応用上、先行技術は、依然として上記の課題を解決しなければならない。

【発明の概要】

【発明が解決しようとする課題】

【0006】

発明の概要
課題
したがって、本発明の目的は、多様なエンドツーエンドネットワーク隔離をサポートする仮想プライベートネットワーク（ＶＰＮ）サービス実装システムを提供することにある。本発明のシステムは、ネットワーク機能の仮想化およびソフトウェア定義ネットワークを利用して、ネットワーク配置をフレキシブルに調整することによって、現行の仮想プライベートネットワークを広域ネットワークから企業内部ローカルエリアネットワークに拡張する。

【0007】

本発明によって提供された高安全性のエンドツーエンドネットワーク隔離サービス実装は、異なる種類のトラフィックに従ってトラフィックを誘導することによって、現行の企業内部ローカルエリアネットワーク内の全てのトラフィックが同一の回線に混在され転送される問題およびルーティングテーブルを共有する場合の安全性問題を解決する。これによって、企業内に１つのシステムがハッキングされると、企業内の他のシステムに影響を及ぼすことを防ぐ。本発明は、時間管理ポリシーおよび不正使用防止に基づいたネットワークアクセス制御メカニズムを提案することによって、企業仮想プライベートネットワークの安全性をさらに強化し、仮想プライベートネットワークの構築、運用および維持のコストを削減する。

【課題を解決するための手段】

【0008】

手段
上記目的を達成するために、本発明の多様なエンドツーエンドネットワーク隔離をサポートするＶＰＮサービス実装システムは、以下のアーキテクチャ、即ち、サーバに設けれた仮想化管理プラットフォーム、仮想ネットワーク制御モジュール、仮想ルータおよびネットワークコントローラと、物理スイッチまたは仮想スイッチとで構成される。仮想ルータは、ネットワーク機能の仮想化技術に基づいて、トラフィックのプロキシ処理を行う。ネットワークコントローラは、ソフトウェア定義ネットワーク技術に基づいて、仮想ルータの動作を動的に割り当てると共に、複数の仮想プライベートネットワークおよび複数のローカルエリアネットワークと、複数の仮想ローカルエリアネットワーク（Ｖｌａｎ）タグとの対応関係を確立する。仮想化管理プラットフォームは、仮想ルータのハードウェアおよびネットワークリソースを配置する。物理スイッチまたは仮想スイッチは、ネットワークコントローラからの命令を受信し、物理スイッチまたは仮想スイッチに入力されたフローエントリ情報に従って、トラフィックの転送を決定する。仮想ルータは、この対応関係に従って、物理スイッチまたは仮想スイッチを介して、異なるローカルエリアネットワークからの異なるトラフィックを対応する仮想プライベートネットワークに誘導する。

【発明の効果】

【0009】

効果
これにより、仮想化管理プラットフォームを介して、異なる種類のトラフィックに応じて複数の仮想ルータを配置し、エンドツーエンド仮想ネットワーク隔離を確立することによって、異なる種類のトラフィックの隔離を達成することができる。さらに、ネットワークコントローラは、物理または仮想スイッチを制御し、トラフィック転送ポリシーを決定すると共に、時間に基づいた動的且つフレキシブル実装管理メカニズムを提供することによって、効率良く且つ安全なネットワークアクセス制御を提供する。最後に、物理スイッチまたは仮想スイッチは、トラフィックパケットを転送し、トラフィックの宛先インターネットプロトコル（ＩＰ）アドレスおよび仮想ローカルエリアネットワークタグに従って、トラフィックを転送するためのルータを決定することによって、エンドツーエンド仮想ネットワークの安全隔離を実現すると共に、仮想プライベートネットワークの構築、運用および維持のコストを削減する。

【図面の簡単な説明】

【0010】

【図1】従来の仮想プライベートネットワークのアーキテクチャを示す図である。

【図2】本発明の一実施形態に従った多様なエンドツーエンド隔離をサポートする仮想プライベートネットワークサービス実装システムを示す図である。

【図3】本発明の一実施形態に従って、混合式エンドツーエンド隔離仮想プライベートネットワークに適用された実装アーキテクチャを示す図である。

【図4】本発明の一実施形態に従って、統一式エンドツーエンド隔離仮想プライベートネットワークに適用された実装アーキテクチャを示す図である。

【図5】本発明の一実施形態に従って、整合式エンドツーエンド隔離仮想プライベートネットワークをサポートする実装アーキテクチャを示す図である。

【図6】本発明の一実施形態に従ったエンドツーエンド仮想プライベートネットワークの隔離を示す概略図である。

【発明を実施するための形態】

【0011】

詳細な説明
本発明は、多様なエンドツーエンドネットワーク隔離をサポートするＶＰＮサービス実装システムである。本発明は、費用対効果を有し、ネットワーク機能の仮想化およびソフトウェア定義ネットワークのフレキシブル実装に基づいてトラフィックを誘導し、マルチアーキテクチャのエンドツーエンドネットワークの安全隔離をサポートすることによって、企業のローカルエリアネットワーク、ワイドエリアネットワークおよびデータセンタ間の仮想プライベートネットワークのエンドツーエンド安全性を向上すると共に、仮想プライベートネットワークの構築、運用および維持のコストを削減する。

【0012】

図１は、従来の仮想プライベートネットワークのアーキテクチャを示している。ローカルエリアネットワーク１８は、ユーザ装置Ａ１４、ユーザ装置Ｂ１５、ユーザ装置Ｃ１６およびユーザ装置Ｄ１７を含む。異なるユーザ装置は、異なる種類のトラフィックを生成する。これらのユーザ装置は、レイヤ２スイッチ１３を介して相互接続される。また、ローカルエリアネットワーク１８内のユーザ装置は、ゲートウェイＺ１２を含む物理ルータ１１を介して、仮想プライベートネットワーク１９を経由して企業の他のサブサイト内のユーザ装置に接続する。すなわち、全てのユーザ装置は、仮想プライベートネットワークを介して企業のリモートサイトに接続される。このアーキテクチャにおいて、異なる種類のトラフィックのシステムが同一のローカルエリアネットワーク内で互いに通信することができ、全てのトラフィックが混合して同一の回路に転送され、同一のルータのルーティングテーブルを共有するため、安全上の問題が存在し得る。企業内の１つのホストまたはシステムがハッキングされた場合、企業ネットワークにエンドツーエンド隔離を行っていないため、他のシステムもハッキングされる可能性があり、企業の重要な情報システムがハッキングされてしまう。

【0013】

図２は、本発明の一実施形態に従った多様なエンドツーエンド隔離をサポートする仮想プライベートネットワークサービス実装システムを示す図である。この仮想プライベートネットワークサービス実装システムは、サーバ２７と、物理または仮想スイッチ２６と、レイヤ２スイッチ１３と、ユーザ装置２８（例えば、携帯電話、デスクトップコンピュータ、ラップトップなど）とを含む。

【0014】

物理サーバ２７は、仮想ルータ２１と、ネットワークコントローラ２２と、時間管理モジュール２３と、仮想ネットワーク制御モジュール２４と、仮想化管理プラットフォーム２５とを含む。サーバ２７は、中央処理装置（ＣＰＵ）、マイクロプロセッサ、デジタル信号プロセッサ（ＤＳＰ）、プログラム可能なコントローラなどを介して、これらの仮想要素、プラットフォームおよびソフトウェアモジュールを実行することができる。

【0015】

仮想ルータ２１は、オープンソースのネットワークオペレーティングシステムであり、物理サーバ（すなわち、サーバ２７）または仮想マシンに実装される。本実施形態では、１台のサーバ２７に複数の仮想マシンを実装することができ、各仮想マシンに仮想ルータ２１を配置することができる。仮想ルータ２１は、主に、汎用ｘ８６プラットフォーム上で、ネットワーク機能仮想化技術に基づいてトラフィックのプロキシ処理を行うことによって、物理ルータのネットワーク機能、例えば、ルーティング機能、ネットワークアドレス変換、ファイアウォールおよび仮想プライベートネットワーク機能を提供することができる。

【0016】

ネットワークコントローラ２２は、様々なオープンソースコントローラまたは商用コントローラをサポートするネットワークコントローラである。本発明の実施形態では、ネットワークコントローラ２２は、物理サーバ（すなわち、サーバ２７）または仮想マシンにインストールすることができる。ネットワークコントローラ２２は、主に複数の通信プロトコルを介してネットワーク上の物理または仮想スイッチ２６を制御すると共に、端末装置（例えば、ユーザ装置２８）およびグループの管理、ネットワークトポロジーの管理、ネットワークアクセスポリシーの管理、トラフィックコンテンツの管理、トラフィック量の統計およびログ管理を行い、ソフトウェア定義ネットワーク技術に基づいて、仮想ルータ２１の動作を動的に割り当てると共に、複数の仮想プライベートネットワークおよび複数のローカルエリアネットワークと複数の仮想ローカルエリアネットワーク（Ｖｌａｎ）タグとの対応関係を確立する。この対応関係は、各々の仮想プライベートネットワークおよび各々のローカルエリアネットワークが対応する仮想ローカルエリアネットワークタグを有することを意味する。

【0017】

仮想ネットワーク制御モジュール２４は、様々な仮想化管理プラットフォーム２５に広く適用することができ、主に仮想マシンと物理ネットワークとの間の接続および仮想マシン間の相互接続を確立するように機能する。時間管理モジュール２３は、仮想ネットワーク制御モジュール２４の時間管理設定を受信し、各ユーザ装置の合法なネットワーク接続時間を管理し、不正なインターネット接続時にユーザ装置２８の送受信トラフィックをブロックする役割を果たす。仮想化管理プラットフォーム２５は、主に汎用ｘ８６サーバ上に提供され、リソースの計算、ネットワークリソースおよびストレージリソースの仮想化およびリソースの割り当てを管理することによって、仮想ルータ２２のハードウェアおよびネットワークリソースを構成するように機能する。

【0018】

物理スイッチまたは仮想スイッチ２６（仮想スイッチ２６は、サーバ２７または他のサーバに配置されてもよく、仮想マシンによって作動されてもよい）は、ネットワークコントローラ２２からの命令を受信し、物理または仮想スイッチ２６に入力されたフローエントリ情報（Flow Entries）に従ってトラフィックの転送を決定する役割を果たす。トラフィックの転送動作は、後続の実施形態で説明される。

【0019】

本発明の実施形態の操作ステップを容易に理解するために、以下の複数の実施例を用いて、本発明の実施形態のトラフィックルーティングアーキテクチャを詳細に説明する。以下、図２の各構成要素およびモジュールをもって説明を行う。本発明の実施形態の各ステップは、実施要件に応じて調整することができ、これに限定されるものではない。

【0020】

図３は、本発明の一実施形態に従って、混合式エンドツーエンド隔離仮想プライベートネットワークに適用された実装アーキテクチャを示す図である。その目的は、物理ルータ１１を保有すると共に、企業内部仮想ネットワークの設計および異なる種類のトラフィックの隔離需要に応じて、異なる仮想ルータ（例えば、仮想ルータＸ３３および仮想ルータＹ３４）をフレキシブルに実装することである。仮想ルータＸ３３および仮想ルータＹ３４は、仮想マシンにインストールすることができ、その機能は主に、ユーザ装置（ユーザ装置Ａ１４、ユーザ装置Ｂ１５、ユーザ装置Ｃ１６およびユーザ装置Ｄ１７）から送信された異なるトラフィックのＶｌａｎタグに従って、異なる種類のトラフィックを隔離して仮想プライベートネットワーク１９に誘導することによって、エンドツーエンド仮想ネットワーク隔離を実現する。上述した仮想ルータＸ３３、仮想ルータＹ３４、ネットワークコントローラ２２、時間管理モジュール２３、仮想ネットワーク制御モジュール２４および仮想化管理プラットフォーム２５は、１つのサーバ２７に配置されている。

【0021】

異なる種類のシステム応用およびトラフィックに応じて、企業内部ネットワークを複数の仮想ローカルエリアネットワーク（すなわち、ローカルエリアネットワークＡ３５、ローカルエリアネットワークＢ３６およびローカルエリアネットワークＣ３７）を分割することによって、異なる種類のトラフィックを互いに隔離することができる。例えば、ユーザ装置Ａ１４は、ローカルエリアネットワークＡ３５に属し、ユーザ装置Ｂ１５およびユーザ装置Ｃ１６は、ローカルエリアネットワークＢ３６に属し、ユーザ装置Ｄ１７は、ローカルエリアネットワークＣ３７に属する。ユーザ装置と仮想プライベートネットワークとの接続は、既存の物理ルータ１１または仮想ルータＸ３３、Ｙ３４を使用するようにフレキシブルに構成することができる。レイヤ２スイッチ１３は、ユーザ装置のトラフィックコンテンツが属するローカルエリアネットワークに従って、異なるＶｌａｎタグを付けて（例えば、ユーザ装置Ａ１４のトラフィックコンテンツの場合、Ｖｌａｎ Ａを付ける。以下同様）、物理または仮想スイッチ２６に送信する。物理または仮想スイッチ２６は、時間管理モジュール２３の設定に従ってトラフィック情報（例えば、送信元ＩＰアドレス（ＩＰ１〜ＩＰ４）および送信元メディアアクセス制御（ＭＡＣ：Media Access Control）アドレス（ＭＡＣ１〜ＭＡＣ４））を検査することによって、対応するユーザ端末が特定の時間範囲内でネットワークにアクセスできるか否かを判断する。ネットワークにアクセスできる場合、物理または仮想スイッチ２６は、トラフィックのＶｌａｎタグに従って、当該トラフィックを対応するゲートウェイＺ１２、ゲートウェイＸ３１およびゲートウェイＹ３２に送信する。ルーティングテーブルに記録されたルーティングメカニズムは、以下の例で説明する。

【0022】

例えば、ユーザ装置Ａ１４から送信されたＶｌａｎ Ａのトラフィックは、レイヤ２スイッチ１３および物理または仮想スイッチ２６を介して、ゲートウェイＺ１２が配置されている物理ルータ１１に誘導され、物理ルータ１１は、トラフィックを物理または仮想スイッチ２６にルーティングする。物理または仮想スイッチ２６は、受信したトラフィックのＶｌａｎタグに従って、Ｖｌａｎ Ｄを用いて、Ｖｌａｎ Ａのトラフィックを仮想プライベートネットワーク１９に送信する。ユーザ装置Ｂ１５およびユーザ装置Ｃ１６から送信されたＶｌａｎ Ｂのトラフィックは、レイヤ２スイッチ１３および物理または仮想スイッチ２６を介して、仮想ゲートウェイＸ３１が配置されている仮想ルータＸ３３に誘導され、仮想ルータＸ３３は、トラフィックを物理または仮想スイッチ２６にルーティングする。物理または仮想スイッチ２６は、受信したトラフィックのＶｌａｎタグに従って、Ｖｌａｎ Ｅを用いて、Ｖｌａｎ Ｂのトラフィックを仮想プライベートネットワーク１９に送信する。同様に、ユーザ装置Ｄ１７から送信されたＶｌａｎ Ｃのトラフィックは、レイヤ２スイッチ１３および物理または仮想スイッチ２６を介して、仮想ゲートウェイＹ３２が配置されている仮想ルータＹ３４に誘導され、仮想ルータＹ３４は、トラフィックを物理または仮想スイッチ２６にルーティングする。物理または仮想スイッチ２６は、受信したトラフィックのＶｌａｎタグに従って、Ｖｌａｎ Ｆを用いて、Ｖｌａｎ Ｃのトラフィックを仮想プライベートネットワーク１９に送信する。

【0023】

同様に、仮想プライベートネットワーク１９からユーザ装置Ａ１４に送信されるトラフィックは、物理または仮想スイッチ２６を介して物理ルータ１１に誘導され、物理ルータ１１は、トラフィックを物理または仮想スイッチ２６にルーティングする。物理または仮想スイッチ２６は、トラフィックの宛先ＩＰアドレスに従って、レイヤ２スイッチ１３を介してトラフィックをユーザ装置Ａ１４に送信する。仮想プライベートネットワーク１９からユーザ装置Ｂ１５またはユーザ装置Ｃ１６に送信されるトラフィックは、物理または仮想スイッチ２６を介して仮想ルータＸ３３に誘導され、仮想ルータＸ３３は、トラフィックを物理または仮想スイッチ２６にルーティングする。物理または仮想スイッチ２６は、トラフィックの宛先ＩＰアドレスに従って、レイヤ２スイッチ１３を介してトラフィックをユーザ装置Ｂ１５またはユーザ装置Ｃ１６に送信する。仮想プライベートネットワーク１９からユーザ装置Ｄ１７に送信されるトラフィックは、仮想ルータＹ３４によってルーティングされる。上述したように、異なるＶｌａｎのトラフィックに異なる物理または仮想ルータおよび異なるルーティングテーブルを使用することによって、ルーティングテーブルの物理隔離およびエンドツーエンド仮想ネットワーク隔離を実現することができる。

【0024】

図４は、本発明の一実施形態に従って、統一式エンドツーエンド隔離仮想プライベートネットワークに適用された実装アーキテクチャを示す図である。図３とは異なり、本実施形態は、仮想ルータＺ４１を用いて、図３の物理ルータ１１を置換したことである。仮想ルータＺ４１は、同様のゲートウェイＺ１２をユーザ装置Ａ１４のゲートウェイとして設定することによって、ユーザ装置Ａ１４がゲートウェイのＩＰアドレスを変更する必要を無くし、物理ルータを仮想ルータにシームレスに変換するアーキテクチャを提供し、物理ルータの購入および保守のコストを効果的に削減することができる。このアーキテクチャは、仮想ルータＺ４１を用いて物理ルータ１１を置換し、物理または仮想スイッチ２６を用いてトラフィックパケットの仮想ローカルエリアネットワークタグを検査することによって、トラフィックのルーティング経路を決定する。例えば、Ｖｌａｎ Ａのトラフィックは、仮想ルータＺ４１に誘導され、Ｖｌａｎ Ｂのトラフィックは、仮想ルータＸ３３に誘導され、Ｖｌａｎ Ｃのトラフィックは、仮想ルータＹ３４に誘導される。なお、１台または複数台のサーバ２７内の異なる仮想マシンに異なる仮想ルータを配置し、異なるトラフィックに異なるルーティングテーブルを与えることによって、エンドツーエンドネットワーク隔離仮想プライベートネットワークサービスを達成することができる。

【0025】

図５に示すように、本発明は、配置モードを簡素化するために、整合式エンドツーエンド隔離仮想プライベートネットワークをサポートする実装アーキテクチャを提供することもできる。図４とは異なり、この実施形態では、物理または仮想スイッチ２６がサーバ２７に収容されている。本発明の実施形態を中小規模のソフトウェア定義ネットワークに適用することによって、エンドツーエンド隔離の仮想プライベートネットワークを提供することができる。従来のアーキテクチャの場合、１つまたは複数の物理または仮想スイッチを追加的に配置する必要がある。これによって、多くのハードウェアリソースが消費され、パケット伝送の遅延時間が長くなる。本発明の実施形態は、物理または仮想スイッチ２６、ネットワークコントローラ２２、および仮想ルータ３３、３４および４１を１台のサーバ２７に配置することによって、ネットワークアーキテクチャを簡素化する。これによって、内部ネットワークの異なるネットワークセグメントを隔離する設計を保有すると共に、ネットワーク要素の導入コストを大幅に削減し、従来の物理または仮想スイッチ２６とサーバ２７との間の帯域幅の消費およびネットワーク待ち時間を低減し、サービス実装の柔軟性および移植性を向上させる。従来のアーキテクチャに比べて、本発明の実施形態に係るシステムは、ハードウェアリソースの使用を著しく低減すると共に、調達資本支出（ＣＡＰＥＸ）および運用保守費用（ＯＰＥＸ）を減らすことができる。ネットワーク構成が変更された場合、本発明は、ネットワークコントローラを介して、フレキシブルに管理および実装を行うことができ、これにより、実装の柔軟性を増やす。

【0026】

図６のエンドツーエンド仮想プライベートネットワークの隔離を示す概略図を参照して、本発明によって提供された３種類のフレキシブルに構築可能なエンドツーエンドネットワーク隔離仮想プライベートネットワークアーキテクチャが企業の異なるサイト（例えば、オフィス１のサイトとオフィス２のサイトまたはデータセンタのエンドツーエンド仮想プライベートネットワーク全体との）間における実際の隔離操作をより理解することができる。企業は、高品質且つ高安全性のＭＰＬＳ ＶＰＮを用いて、２つのサイトを企業の外部ネットワークに接続することができ、安価なインターネットブロードバンドを介して回線に接続することもできる。本発明の実施形態によって提供された単一の物理サーバ上で複数の仮想ルータを実行することによって、異なる仮想プライベートネットワークに各々独立したルーティングテーブルを与えると共に、ネットワークコントローラ２２の迅速且つ柔軟な実装変更機能を使用することによって、元々広域ネットワークＶＰＮに使用される隔離方法を企業内部ローカルエリアネットワークとデータセンタとの間に拡張することができ、完全なエンドツーエンド隔離の分離仮想プライベートネットワークサービス実装システムを実現する。

【0027】

特長および効果
従来の技術に比べて、本発明の実施形態に係る多様なエンドツーエンドネットワーク隔離をサポートするＶＰＮサービス実装システムは、以下の利点を有する。

【0028】

本発明の実施形態に係る多様なエンドツーエンドネットワーク隔離をサポートするＶＰＮサービス実装システムは、費用対効果を有し、エンドツーエンド仮想プライベートネットワーク隔離に基づいたフレキシブル実装サービスシステムであって、企業内部ネットワーク、外部ネットワークおよびデータセンタに異なる種類のトラフィックを提供することによって、エンドツーエンド隔離を実現する。ネットワーク使用管理メカニズムを採用して、企業ネットワークアクセス時間の管理および不正利用のブロックを提供することによって、本発明の実施形態は、異なる需要にフレキシブルに応じて、多様なアーキテクチャを提供し、動的管理およびフレキシブル実装を行うことができるため、ＣＡＰＥＸおよびＯＰＥＸを大幅低減することができる。

【0029】

従来のアーキテクチャに比べて、本発明の実施形態のシステムは、従来のＷＡＮ側から、仮想プライベートネットワークを企業ＬＡＮおよびデータセンタに拡張することができ、仮想プライベートネットワークのエンドツーエンド隔離安全性を向上させる。

【0030】

本発明の実施形態のシステムは、１つのサーバに複数の仮想ルータをフレキシブルに配置することをサポートし、異なる種類のトラフィックに応じて個別のルーティングテーブルを提供することによって、トラフィックの安全隔離を達成する。

【0031】

ネットワーク構成が変更する場合、本発明の実施形態は、ネットワークコントローラを介して、フレキシブルに管理および実装を行うことができ、これにより、本発明のシステムは、従来のアーキテクチャに比べて、実装の移植性および柔軟性を増やす。

【0032】

本発明によって提案された多様なエンドツーエンドネットワーク隔離をサポートするＶＰＮサービス実装システムは、企業ネットワークの応用需要に従って、物理ネットワーク要素の配置およびリソースの使用をフレキシブルに低減すると共に、ＣＡＰＥＸおよびＯＰＥＸを減らすことができる。

【0033】

上記の実施形態を用いて本発明を開示したが、これらの実施形態は、本発明を限定するものではない。当該技術分野における通常の知識を有する者は、本発明の精神および範囲から逸脱することなく、様々な修正および変形を行うことができる。したがって、本発明の保護範囲は、添付の特許範囲によって定義される。

【産業上の利用可能性】

【0034】

産業上の利用性
多様なアーキテクチャをサポートする仮想プライベートネットワークサービス実装システムは、電気通信産業によるユーザの管理に適用することができる。

【符号の説明】

【0035】

１１ 物理ルータ、１２ ゲートウェイＺ、１３ レイヤ２スイッチ、１４ ユーザ装置Ａ、１５ ユーザ装置Ｂ、１６ ユーザ装置Ｃ、１７ ユーザ装置Ｄ、１８ ローカルエリアネットワーク、１９ 仮想プライベートネットワーク、２１ 仮想ルータ、２２ ネットワークコントローラ、２３ 時間管理モジュール、２４ 仮想ネットワーク制御モジュール、２５ 仮想化管理プラットフォーム、２６ 物理または仮想スイッチ、２７ サーバ、２８ ユーザ装置、３１ ゲートウェイＸ、３２ ゲートウェイＹ、３３ 仮想ルータＸ、３４ 仮想ルータＹ、３５ ローカルエリアネットワークＡ、３６ ローカルエリアネットワークＢ、３７ ローカルエリアネットワークＣ、４１ 仮想ルータＺ。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】