虚拟网络连接系统、装置和方法

专利名称：虚拟网络连接系统、装置和方法
技术领域：
本发明涉及虚拟网络连接系统、虚拟网络连接装置和用于虚拟网 络连接的方法。
背景技术：
最近，虚拟专用网络(VPN)服务已得到广泛应用。VPN服务 是经由公共网络诸如因特网在主机或站点和另一个主机或站点之间 进行专用通信(类似于由专用线提供的通信)的服务。当多个站点通 过诸如VPN的虚拟网络连接时，在用于站点中的私有地址之间可能 出现冲突。在此情形下，使用私有地址作为源地址或目的地址的通信 是不可能的。
在JP 2000-228674 A描述的系统中，在站点之间的连接边界处提 供地址转换装置，对通过VPN连接的站点中的每一个主机准备了在 多个站点之间没有重叠的别名地址(alias address)。对于需被传输的 信息包而言，在站点中的主机使用源地址的站点内的私有地址和目的 地址的别名地址。当该地址转换装置将信息包从第一站点传递到第二 站点时，该地址转换装置将信息包的目的地址转换为第二站点的私有 地址，并将源地址转换为源主机的别名地址。
在JP 2003-169070A描述的系统中，通过管理员网络地址转换单 元将多个独立IP地址空间连接到管理员网络。利用识别信息和独立 IP地址空间的地址的组合,该管理员网络地址转换单元将具有用于识 别每一个独立IP地址空间的识别信息的通信数据转换为包括SNMP 地址的管理员网络的地址。
在JP 2002-204252A描述的系统中，每一个私有地址空间具有作 为VLAN的识别信息的VLAN-ID。当需连接私有地址空间和因特网 时，利用由私有地址空间的VLAN-ID和私有地址组成的一对，重叠网络地址转换装置在该私有地址和因特网的全局地址之间进行转换。

发明内容
本发明的一个优点是即使在将虚拟地址分配给虚拟网络的每一 个站点中的信息处理器时，仍可以解析对应于信息处理器名称的虚拟 地址。
根据本发明的第一方面，提供一种.虚拟网络连接系统，具有收 集单元，其从虚拟网络内的每一个站点收集该站点内的信息处理器的 真实地址；分配单元，其将不与所述站点内的其它信息处理器的虚拟 地址重叠的虚拟地址分配给具有在由所述收集单元收集的真实地址 中的重叠的真实地址的每一个信息处理器；第一产生单元，其产生表 示由所述分配单元分配的虚拟地址和所述真实地址之间的对应关系 的第一对应信息；第一提供单元，其根据所述第一对应信息产生用于 虚拟网络连接的设定信息，并将所述设定信息提供给每一个站点的虚 拟网络连接装置；获得单元，其从信息处理器所属的站点获得表示所 述信息处理器的真实地址与所述信息处理器的名称之间的对应关系 的第二对应信息；第二产生单元，用于根据所述第一对应信息和所述 第二对应信息，产生表示所述虚拟地址与所述信息处理器的名称之间 的对应关系的第三对应信息；以及第二提供单元，其将所述第三对应 信息提供给每一个站点的虚拟网络连接装置。
根据本发明的第二方面，所述第二提供单元包括接收单元，其 经由所述虚拟网络从第一信息处理器接收用于请求解析对应于第二 信息处理器的名称的地址的名称解析请求；以及传输单元，其响应于 由所述接收单元所接收的名称解析请求，通过参考所述第三对应信息 来识别对应于所述第二信息处理器的名称的虚拟地址，并将所识别的 虚拟地址传输给所述第一信息处理器。
根据本发明的第三方面，提供一种虚拟网络连接装置，包括第 一存储单元，其存储表示站点内的信息处理器的真实地址与虚拟网络 内的所述信息处理器的虚拟地址之间的对应关系的第一对应信息；地 址转换单元，其通过参照所述第一对应信息，为在所述站点内的信息处理器和所述站点外的信息处理器之间的传输信息执行地址转换；第 二存储单元，其存储表示所述站点内的信息处理器的名称与所述信息 处理器的真实地址之间的对应关系的第二对应信息；产生单元，其根 据所述第一对应信息和所述第二对应信息，产生表示所述站点内的信 息处理器的名称与所述信息处理器的虚拟地址之间的对应关系的第 三对应信息；以及提供单元，其将所述第三对应信息提供给所述虚拟 网络内的其它站点。
根据本发明的第四方面，所述提供单元包括接收单元，其经由 所述虚拟网络从所述站点外的第一信息处理器接收用于请求解析对 应于所述站点内的第二信息处理器的名称的地址的名称解析请求；以 及传输单元，其响应于由所述接收单元所接收的名称解析请求，根据 所述第三对应信息来识别对应于所述第二信息处理器的名称的虚拟 地址，并将所识别的虚拟地址传输给所述第一信息处理器。
根据本发明的第五方面，所述提供单元还包括通知单元，其向 其它站点通知转发设定信息，该转发设定信息包括所述站点的域名和 所述虚拟网络连接装置的全局IP地址；转发设定存储单元，其从其 它站点接收转发设定信息并存储该转发设定信息，该转发设定信息包 括所述其它站点的域名和所述其它站点的虚拟网络连接装置的全局 IP地址；转发单元，当包括在来自所述站点内的第三信息处理器的名 称解析请求中的名称内的域名包括存储在所述转发设定存储单元中 的所述转发设定信息所包括的另一个站点的域名时，所述转发单元将 所述名称解析请求转发给包括在所述转发设定信息中的所述其它站 点的虚拟网络连接装置的全局IP地址；以及响应单元，其响应于由 所述转发单元转发的名称解析请求，将从所述其它站点的虚拟网络连 接装置返回的虚拟地址发送给所述第三信息处理器。
根据本发明的第六方面，提供一种用于虚拟网络连接的方法，包 括收集步骤，用于从虚拟网络内的每一个站点收集该站点内的信息 处理器的真实地址；分配步骤，用于将不与所述站点内的其它信息处 理器的虚拟地址重叠的虚拟地址分配给具有所收集的真实地址中的 重叠的真实地址的信息处理器;第一产生步骤，用于产生表示所分配的虚拟地址和所述真实地址之间的对应关系的第一对应信息；第一提 供步骤，用于根据所述第一对应信息产生用于虚拟网络连接的设定信 息，并将所述设定信息提供给每一个站点的虚拟网络连接装置；获得 步骤，用于从信息处理器所属的站点获得表示所述信息处理器的真实 地址与所述信息处理器的名称之间的对应关系的第二对应信息；第二 产生步骤，用于根据所述第一对应信息和所述第二对应信息，产生表 示所述虚拟地址与所述信息处理器的名称之间的对应关系的第三对 应信息；以及第二提供步骤，用于将所述第三对应信息提供给每一个 站点的虚拟网络连接装置。
根据本发明的第七方面，所述第二提供步骤包括接收步骤，用 于经由所述虚拟网络从第一信息处理器接收用于请求解析对应于第 二信息处理器的名称的地址的名称解析请求；以及传输步骤，用于响 应于所接收的名称解析请求，通过参考所述第三对应信息来识别对应 于所述第二信息处理器的名称的虚拟地址，并将所识别的虚拟地址传 输给所述第一信息处理器。
根据本发明的第八方面，提供一种用于虚拟网络连接的方法，包 括地址转换步骤，用于通过参照第一存储单元，对在站点内的信息 处理器和所述站点外的信息处理器之间的传输信息执行地址转换，所 述第一存储单元存储表示所述站点内的信息处理器的真实地址与虚 拟网络内的所述信息处理器的虚拟地址之间的对应关系的第一对应 信息；获得步骤，用于从存储第二对应信息的第二存储单元获得表示 所述站点内的信息处理器的名称与所述信息处理器的真实地址之间 的对应关系的第二对应信息；产生步骤，用于根据所述第一对应信息
和所述第二对应信息，产生表示所述站点内的信息处理器的名称与所
述信息处理器的虚拟地址之间的对应关系的第三对应信息；以及提供 步骤，用于将所述第三对应信息提供给所述虚拟网络内的其它站点。 根据本发明的第九方面，所述提供步骤包括接收步骤，用于经
由所述虚拟网络从所述站点外的第一信息处理器接收用于请求解析
对应于所述站点内的第二信息处理器的名称的地址的名称解析请求； 以及传输步骤，用于响应于所接收的名称解析请求，根据所述第三对应信息来识别对应于所述第二信息处理器的名称的虚拟地址，并将所 识别的虚拟地址传输给所述第一信息处理器。
根据本发明的第十方面，所述提供步骤还包括通知步骤，用于 向其它站点通知转发设定信息，该转发设定信息包括所述站点的域名 和所述虚拟网络连接装置的全局IP地址；转发设定存储步骤，用于 从其它站点接收转发设定信息并将该转发设定信息存储在转发设定 存储单元中，所述转发设定信息包括所述其它站点的域名和所述其它 站点的虚拟网络连接装置的全局IP地址；转发步骤，用于当包括在 来自所述站点内的第三信息处理器的名称解析请求中的名称内的域 名包括存储在所述转发设定存储单元中的所述转发设定信息所包括 的另一个站点的域名时，将所述名称解析请求转发给包括在所述转发 设定信息中的所述其它站点的虚拟网络连接装置的全局IP地址；以 及响应步骤，用于响应于通过所述转发步骤而转发的名称解析请求， 将从所述其它站点的虚拟网络连接装置返回的虚拟地址发送给所述 第三信息处理器。
根据本发明的第一或第六方面，即使在将虚拟地址分配给虚拟网 络的每一个站点中的信息处理器时，仍可以解析对应于该信息处理器 名称的虚拟地址。
根据本发明的第二、第四、第七或第九方面，当通过该虚拟网络 从站点外请求对站点内的信息处理器进行名称解析时，根据该第三个 对应信息，可以发送对应于该名称解析请求的虚拟地址响应。
根据本发明的第三或第八方面，可以将用于解析对应于该信息处 理器名称的虚拟地址的信息提供给另一个站点。
根据本发明的第五或第十方面，当来自站点内的信息处理器的名 称解析请求与属于虚拟网络的另一个站点内的信息处理器相关时，可 以发送该网络解析请求并通过其它站点的虚拟网络连接装置进行处 理。


参考附图，将详细描述本发明的示例性实施例，其中-图1是显示示例性网络结构的示图2是显示作为主路由器工作的示例性VPN路由器的功能框图； 图3是显示示例性VPN连接设定信息的示图； 图4是显示NAT单元中的示例性转换规则的示图； 图5是显示作为非主路由器的示例性VPN路由器的功能框图； 图6是显示主DNS的区域信息的示例的示图； 图7是显示根据图6的区域信息产生的虚拟端DNS单元的示例 性区域信息的示图8是显示用于作为主路由器的VPN路由器的VPN设定处理的
流程图9是显示用于作为非主路由器的VPN路由器的VPN设定处理 的流程图IO是显示VPN通信的示例性流程的示图； 图11是显示计算机的示例性硬件配置的示图。
具体实施例方式
参考图l，现在将描述示例性实施例的网络结构的例子。在此例 子中，在三个站点A、 B和C的LAN (局域网)之间构建一个VPN (虚拟专用网络)。
在站点A、 B和C分别提供VPN路由器IOOA、 100B和IOOC。 该VPN路由器IOOA、 100B和lOOC连接到因特网300。该VPN路 由器IOOA、 100B和100C还分别连接到站点A、B和C的LAN 200A、 200B和200C。计算机220A和主DNS (域名系统)240A连接到LAN 200A，而计算机220B和主DNS 240B连接到LAN 200B。类似地， 计算机和主DNS连接到LAN200C (图未示)。在所示出的配置中， 在LAN200A和200B中设定同样的私有网络地址10.0.0.0/24。
在此示例性配置中，VPN路由器IOOA、 100B和100C的每一个 具有用于IP (网际协议)路由的路由器功能和VPN连接控制功能。 在所示出的配置中，将全局IP地址l丄O.l、 1.2.0.1和1.3.0.1分别分 配给在因特网300 —端的VPN路由器IOOA、 100B和100C的VPN接口。另外，在所示出的配置中，将私有IP地址10.0.0.2分配给在 LAN 200A —端的VPN路由器100A的接口 ，并将私有IP地址10.0.0.2 分配给在LAN 200B —端的VPN路由器100B的接口。在此，全局 IP地址涉及在因特网上唯一分配给连接到因特网的装置的IP地址。 另一方面，私有IP地址涉及在组织内唯一分配给连接到该组织中的 网络(例如LAN)的装置的IP地址。因为私有IP地址在每一个组织 内进行分配，因此可能存在在不同组织内的装置的私有IP地址具有 相同值的情形。该VPN路由器100A、 100B和100C可以具有不同于 用于VPN的全局IP地址的全局IP地址，并使用不同于通过VPN的 全局IP地址的此全局IP地址进行通信。
计算机220A和220B中的每一个是信息处理器，诸如个人计算 机、工作站或服务器。将LAN 200A中的私有IP地址10.0.0.1分配 给该计算机220A，将LAN 200B中的私有IP地址10.0.0.1分配给该 计算机220B。
该主DNS 240A存储每一个计算机的主机名称和LAN 200A上的 IP地址之间的对应关系。该主DNS 240B存储每一个计算机的主机名 称和该LAN 200B上的IP地址之间的对应关系。该计算机的IP地址 可以是私有IP地址或是全局IP地址。当根据DHCP (动态主机配置 协议)或类似协议将IP地址动态分配给LAN 200A上的计算机或LAN 200B上的计算机时，可以将动态DNS用作主DNS 240A或240B。 虽然图没有显示，但在LAN 200C上提供用于存储每一个计算机的主 机名称和该LAN 200C上的IP地址之间的对应关系的主DNS。
当在三个站点A、B和C之间构建一个VPN时，因为计算机220A 和220B具有重叠的私有IP地址，因此无法实现在这些计算机之间经 由VPN进行通信。考虑到此点，在所示出的配置中，该VPN路由器 IOOA、 100B和100C合成一个系统，从而能够经由该VPN进行通信， 即使在形成VPN部分的站点中存在具有重叠的IP地址的计算机。
更特别地，在此系统中，收集由该VPN路由器100A、 IOOB和 100C保存的路由信息，以检查在站点A、 B和C中是否存在具有重 叠的私有IP地址的计算机。因此，将是虚拟的(或模拟的)(此后称作为"虚拟IP地址")和在这些站点中没有重叠的IP地址分配给具
有重叠IP地址的计算机，从而这些计算机可以参与到该VPN中。
当上述系统自动分配该虚拟IP地址时，参与到该VPN中的计算 机无法经由该VPN进行通信，除非该计算机知道哪个虚拟IP地址被 分配到哪个计算机。因此，在此系统中，被自动分配的虚拟IP地址 在该DNS (域名系统)中反映出，从而可以根据该计算机的主机名 称解析该虚拟IP地址。
在此系统中，例如，该VPN路由器100A可以作为主路由器运 行，从其它VPN路由器100B和100C收集路由信息，并参考所收集 的信息来执行该虚拟IP地址的分配处理。参考图2，现在将描述作为 主路由器运行的VPN路由器100A的功能性结构。
该VPN路由器IOOA具有路由器单元110、VPN连接控制器120、 VPN设定单元130、虚拟端DNS单元140和DNS设定单元150。该 路由器单元IIO执行在网络之间通信的信息包的路由。该路由器单元 IIO涉及用于路由的路由信息112。类似于众所周知的技术中的路由 器的路由器可以用作该路由器单元110，且类似于众所周知技术中的 路由信息的路由信息可以用作该路由信息112。
该VPN连接控制器120是执行经由该VPN通信的处理的功能模 块。该VPN连接控制器120通过例如IPsec (网际协议安全)执行 VPN通信。该IPsec仅仅是示例性的，且该VPN连接控制器120可 以使用其它VPN技术。该VPN连接控制器120通过参考VPN连接 设定信息122执行该VPN通信。该VPN连接设定信息122可以包括 例如该VPN上其它VPN路由器100B和100C的全局IP地址的信息。 该VPN连接设定信息122还可以包括例如指示哪个IP信息包需经由 VPN传送的安全策略的信息。该安全策略可以包括诸如需经由该 VPN通信的IP信息包的源地址和目的地址组合的信息。
图3示出了该VPN连接设定信息122的例子。所示出的例子是 对于包括站点A、 B和C的VPN由该VPN路由器100A保存的VPN 连接设定信息122的例子。从该VPN路由器100A的观点看，在此 配置中的VPN包括站点A和B之间的VPN连接和站点A和C之间的VPN连接。该VPN连接设定信息122包括每一个VPN连接的个 别设定信息。
在该VPN连接设定信息中，由"本地端选择器"和"远端选择 器"组成的一对选择器指示用于通过VPN选择信息包的选择条件。 该"本地端选择器"是关于在从该VPN路由器100A所见的VPN连 接的本地端上的站点内(即，在通过该VPN路由器100A管理的LAN 200A内)的地址的条件。该"本地端选择器"包括出站信息包的条 件和入站信息包的条件。对于该出站信息包而言，本地端选择器是关 于从该LAN发出到因特网的信息包的源IP地址的条件，而对于该入 站信息包而言，本地端选择器是关于从因特网输入到LAN的信息包 的目的IP地址的条件。该"远端选择器"是关于从该VPN路由器100A 所见的VPN连接的另一方的站点中的地址的条件。"本地端对等"是 对于VPN连接通过VPN路由器100A使用的接口的全局IP地址，而 "远端对等"是VPN连接的另一方的VPN路由器100B或100C的 全局IP地址。
例如，图3中连接AB的设定信息示出(1)规则"当自LAN 200A内接收到的信息包的源IP地址的24个高位匹配10.0.0，而目的 IP地址的24个高位匹配30.0.0时，将压縮该信息包，并将所压縮的 信息包从VPN路由器IOOA的地址U.0.1传输到是另一方的VPN路 由器100B的地址1.2.0.1"，以及(2)规则"当从1.2.0.1 (VPN路 由器100B)传输至lJl丄O.l (VPN路由器100A)的信息包的源IP地 址的24个高位匹配20.0.0，而源IP地址的24个高位匹配30.0.0时， 解压该信息包，并将作为解压结果获得的信息包传输给LAN 200A上 的计算机"。
在该VPN连接设定信息122中，该"本地端对等"和"远端对 等"是通过VPN中的VPN路由器确定的固定值，并且例如可以由管 理该VPN路由器100A、 100B和100C的管理员设定。另一方面，该 "本地端选择器"和"远端选择器"可以是虚拟IP地址，并可以在 确定对虚拟IP地址进行分配之后，根据该分配进行自动设定。例如， 以虚拟IP地址表示该本地端选择器20.0.0.0/24。图3所示的该VPN连接设定信息122的项仅仅是示例性的。该 VPN连接设定信息122可以另外包括其它项，诸如源端口号或目的 端口号和需被使用的协议。另外，当该VPN路由器IOOA控制多个 不同的VPN的连接时，对每一个VPN产生并使用如图3所例示的个 别设定信息。
该VPN连接控制器120具有NAT (网络地址转换)单元124。 该NAT单元124涉及转换规则126并在源IP地址和目的IP地址的 真实IP地址(即，原始专用IP地址)和虚拟IP地址之间进行转换。 图4例示了由该VPN路由器100A保存的转换规则126。将图4所示 的转换规则应用到通过该VPN连接设定信息122确定为"通过VPN 的信息包"的信息包。此示例性规则定义(1)对于从该LAN200A 离开因特网的出站信息包而言，将该源IP地址从原始IP地址10.0.0.x 转换成虚拟IP地址20.Q.0.x，以及(2)对于从因特网进入该LAN 200A 的入站信息包而言，将该目的IP地址从虚拟IP地址20.0.0.x转换成 真实地址(私有IP地址)lO.O.O.x。在确定虚拟IP地址的分配之后， 设定该转换规则126。
当该VPN路由器100A控制多个不同的VPN的连接时，对于每 一个VPN产生并使用图4所示的转换规则。
即使当从该LAN 200A到因特网的出站信息包的源IP地址是 lO.O.O.x时，如果该目的IP地址是不同于该VPN连接的另一方的站 点，也不应用该转换规则126。在标准NAT或IP伪装领域中，此种 情形是例如将源IP地址转换为由该路由器保存的全局IP地址，且不 与VPN直接相关。该VPN路由器IOOA、 100B和100C可以具有此 种标准NAT、 NAPT (网络地址端口转换)或IP伪装功能。该NAPT 和IP伪装是其中一个全局IP地址由公司内的多个计算机或连接到因 特网的类似物共享的技术。在诸如RPC 2663 "NAT Terminology and Considerations"中定义该NAPT。
该VPN设定单元130是执行VPN的设定处理的功能模块。该 VPN路由器100A的VPN设定单元130具有路由信息收集单元132、 虚拟地址分配单元134、设定单元136和设定信息提供单元138。该路由信息收集单元132从该VPN的站点的VPN路由器IOOA、 100B 和IOOC收集路由信息112。通过该VPN路由器IOOA保存的路由信 息112可以从该路由器单元110获得。可以根据该VPN连接设定信 息122知道VPN路由器100B和100C的全局IP地址，从而该路由 信息收集单元132可以发送请求给该路由信息的这些IP地址。
该虚拟地址分配单元134通过参考从该VPN的所有VPN路由器 收集的路由信息，检查在站点A、 B和C的计算机中是否存在重叠的 私有IP地址。当发现重叠的私有IP地址时，对于该私有IP地址而 言，该虚拟地址分配单元134分配在VPN内不重叠的虚拟IP地址。 另外，还可以使用以下配置，其中不但将该虚拟IP地址分配给具 有与VPN内另一个计算机重叠的私有IP地址的计算机，而且分配给 具有不重叠的私有IP地址的计算机。
虚拟IP地址的分配可以在上述计算机的单元中执行，或可以在 LAN的单元中执行。更特别地，在此情形下，将在这些站点内不重 叠的虚拟网络地址分配给在该VPN的站点的LAN中具有重叠的私有 网络地址的LAN。为该LAN上的每一个计算机分配属于该虚拟网络 地址的虚拟IP地址。例如，通过保持计算机的原始私有IP地址的主 机部分不变，而以虚拟网络地址代替该网络部分，可以确定计算机的 虚拟IP地址。
在图1的示例性配置中，根据从站点A、B和C收集的路由信息， 可以明白该LAN 200A和200B都具有网络地址10.0.0.0/24 ，而该LAN 200C具有网络地址172.16.0.0/24。因为私有网络地址在该LAN 200A 和200B之间重叠，因此该虚拟地址分配单元134将例如20.0.0.0/24 分配为LAN 200A的虚拟网络地址，而将30.0.0.0/24分配为LAN 200B 的虛拟网络地址。另一方面，因为该LAN 200C不具有与该VPN内 其它LAN重叠的网络地址，因此将原始网络地址用于该LAN 200C。 另外，还可能使用一种配置，其中，将不与该VPN内的其它LAN重 叠的虚拟网络地址分配给该LAN 200C。
在所例示的系统中，作为LAN内计算机的IP地址，在该LAN 内使用私有IP地址，而在该LAN外使用虚拟IP地址。例如，在图1例示的配置中，从站点A的计算机220A传输到站点B的计算机220B 的信息包的源地址在站点A内是10.0.0.1，但当将该信息包发送给因 特网300时，通过该VPN路由器100A以20.0.0.1进行替换。
该虚拟地址分配单元134可以从保存为私有IP地址的范围中分 配虚拟IP地址或虚拟网络地址。然而，在图1的示例性配置中，为 了避免绘图复杂性，将私有IP地址之外的相对简单的地址用作虚拟 IP地址。
通过参考该虚拟地址分配单元134的分配结果，该设定单元136 设定该VPN连接设定信息122和该转换规则124。例如，在图1的 示例性配置中，作为将虚拟网络地址20.0.0.0/24分配给VPN路由器 IOOA所属的站点A (具有私有网络地址10.0.0.0/24)的结果，该设 定单元136将图4例示的规则设定为转换规则126。另外，该设定单 元136在VPN连接设定信息122中将20.0.0.0/24设定为入站信息包 的本地端选择器(对于出站信息包而言，可以设定私有网络地址)。 作为为具有全局IP地址1.2.0.1的VPN路由器1OOB所属的LAN 200B 分配虚拟网络地址30.0.0.0/24的结果，该设定单元136在VPN连接 设定信息122中将连接AB的远端选择器设定为30.0.0.0/24。另外， 因为没有虚拟网络地址分配给站点C，因此可以在VPN连接设定信 息122中为连接AC的远端选择器设定该LAN200C的私有网络地址 172,16.0.0/24。
通过参考该虚拟地址分配单元134的分配结果，该设定信息提供 单元138产生VPN的其它站点内的VPN路由器100B和100C的设 定信息，并将该设定信息提供给该路由器IOOB和IOOC。
某一个VPN路由器的设定信息包括在相同的VPN上的其它VPN 路由器的VPN的全局IP地址和在该路由器所属的LAN上的计算机 的VPN内的IP地址之间的对应关系的信息。当将该VPN的虚拟IP 地址分配给计算机时，该计算机的VPN内的IP地址是虚拟IP地址。 当该计算机的原始私有IP地址在VPN内没有重叠时，可以将该私有 IP地址用作VPN内的地址。在此情形下，该对应关系的信息包括该 私有IP地址。另夕卜，代替该LAN上的个别计算机的VPN内的IP地址，还可能在对应关系的信息中包括该LAN的VPN内的网络地址。 例如，该VPN路由器100B的设定信息包括VPN路由器100A 和100C的每一个的上述对应关系的信息。VPN路由器100A的对应 关系的信息可以包括例如该VPN路由器IOOA的全局IP地址l丄O.l， 和该LAN 200A的虚拟网络地址20.0.0.0/24 (或该LAN 200A内的计 算机和路由器的虚拟IP地址)。因为在VPN内不存在与LAN 200C 的私有网络地址重叠的私有网络地址，因此可以将该LAN200C的私 有网络地址用于该VPN中。当将该私有网络地址也用于该VPN中时， VPN路由器100C的对应关系的信息可以包括LAN 200C的全局IP 地址1.3.0.1和私有网络地址172.16.0.0/24 (或在LAN 200C内的计算 机或类似物的私有IP地址)。
当该VPN路由器100B和100C从是主路由器的VPN路由器 100A接收设定信息时，根据包括在该设定信息中的上述对应关系的 信息，该VPN路由器100B和100C的每一个在VPN连接设定信息 122中设定远端选择器。例如，根据所接收的对应关系的信息，该 VPN路由器100B为与站点A连接的远端选择器设定对应于站点A 的远端对等l丄O.l的虚拟网络地址20.0.0.0/24，并为与站点C连接 的远端选择器设定对应站点C的远端对等1.3.0.1的网络地址 172.16.0.0/24。设定信息的获得由VPN路由器100B和100C的每一 个的信息获得单元164执行，并且根据所接收的设定信息，可以由该 设定单元136a执行对VPN连接设定信息122的设定(参考图5)。
由该设定信息提供单元138提供给该VPN路由器100B的设定 信息还包括在该VPN路由器100B所属的LAN 200B上的计算机的原 始私有IP地址(真实IP地址)和分配给这些计算机的虚拟IP地址 之间的对应关系的信息。另外，还可以使用以下配置，其中代替在 这些计算机的真实IP地址和虚拟IP地址之间的对应关系的信息，在 该设定信息中包括在该LAN200B的私有网络地址(真实网络地址) 和虚拟网络地址之间的对应关系的信息。当该VPN路由器IOOB接 收到该设定信息时，根据所接收到的设定信息，该VPN路由器100B 在VPN连接设定信息122中将与站点A连接的"本地端选择器(入站)"设定为诸如虚拟网络地址30.0.0.0/24。根据所接收到的信息， 该VPN路由器100B可以将NAT单元124内的如下规则设定为VPN 的转换规则126:用于将源地址从私有地址10.0.0.0/24转换为虚拟地 址30.0.0.0/24的出站信息包的规则；以及用于将目的地址从虚拟地址 30.0.0.0/24转换为私有地址10.0.0.0/24的入站信息包的规则。通过该 VPN路由器100B内的信息获得单元164和设定单元136a来执行这 些处理。
当将该原始私有地址用作LAN 200C的VPN的地址时，不分配 虚拟地址，从而提供给该VPN路由器100C的设定信息可能不包括 真实地址和虚拟地址的对应信息。将该VPN路由器100C的VPN连 接设定信息122内的"本地端选择器(入站)"值设定为172.16.0.0/24， 类似于"本地端选择器(出站)"的值，并且可以使该转换规则126 空闲(即，对该VPN不执行地址转换)。
再次参考图2，响应于来自该VPN端的名称解析请求，该VPN 路由器100A的虚拟端DNS单元140以对应该名称(主机名称)的 LAN 200A内的计算机的VPN中的IP地址做出响应。对于此处理而 言，该虚拟端DNS单元140涉及区域信息142。对于该LAN 200A 上的每一个计算机而言，该区域信息142包括在VPN内的主机名称 和IP地址之间的对应关系的信息。在通过该VPN设定单元130分配 虚拟IP地址之后，确定包括在该区域信息142中的VPN内的IP地 址。因此，根据该VPN设定单元130执行的处理，产生或更新该区 域信息142。该产生或更新处理由该DNS设定单元150执行。
虽然图未显示，但该VPN路由器100A可以具有用于响应来自 该LAN200A上的计算机的名称解析请求的LAN端DNS。另夕卜，还 可能使用以下配置，其中代替在该VPN路由器100A内提供LAN 端DNS，将该主DNS240A设定为该LAN端DNS。
该DNS设定单元150具有区域信息获得单元152、区域信息校 正单元154和通知单元156。该VPN路由器100A的区域信息获得单 元152从该LAN 200A上的主DNS 240A获得区域信息。如上所述， 该区域信息包括关于该LAN 200A上的计算机的主机名称和真实IP地址之间的对应关系的信息。该区域信息校正单元154根据该区域信 息获得单元152获得的区域信息和该转换规则126，为VPN产生区 域信息142。例如，因为通过参考该转换规则126，该VPN路由器 100A的区域信息校正单元154可以明白需将该LAN 200A上的私有 地址10.0.0.0/24转换成该VPN内的虚拟地址20.0.0.0/24，因此通过 在从该主DNS 240A获得的区域信息中以20.0.0替换计算机的私有地 址10.0.0.x的24个高位，该区域信息校正单元154产生该区域信息 142。
图6示出了由图1的示例性配置中的主DNS 240A保存的区域信 息的例子。在此示例性配置中，站点A的域名是"foo.com"，该计算 机220A的主机名称是"PC—Al.foo.com"，并且该计算机220A的私 有IP地址是10.0.0.1。通过参考图4所示的区域信息和转换规则，产 生具有如图7所示的内容的区域信息142。在图7的示例性配置中， 在该区域信息142中将属于20.0.0.0/24的虚拟IP地址登记为每一个
计算机的IP地址。
该VPN路由器100A的通知单元156将由站点A的域名和该VPN
路由器100A的VPN的全局IP地址l丄O.l组成的一对作为用于设定 转发名称解析请求的信息通知给该VPN内的其它VPN路由器100B 和IOOC。在接收该通知之后，通过参考所接收到的信息，该VPN路 由器100B和100C为该LAN 200B或200C设定LAN端DNS，从而 将包括站点A的域名的主机名称的名称解析请求转发给该VPN路由 器100A的VPN接口的全局IP地址l丄O.l 。根据此结构，例如，当 将该计算机220A的主机名称的名称解析请求自计算机220B发送时， 该LAN 200B的LAN端DNS将该请求转发给该VPN路由器100A 的VPN的全局IP地址。在接收VPN的全局IP地址上的名称解析请 求之后，该VPN路由器100A指示该虚拟端DNS单元140确定对应 该名称解析请求的IP地址，并将该IP地址返回到该LAN 200B的 LAN端DNS。该LAN端DNS将该IP地址作为对请求的回应发送给 该计算机220B。
接下来，将参考图5描述非主路由器的VPN路由器100B的结构。VPN路由器100C具有类似于该VPN路由器100B的结构。在图 5中，为对应于图2所示的那些元件的元件指定对应的参考数值，并 省略它们重复的描述。
该VPN路由器100B不同于该VPN设定单元130a中的主VPN 路由器IOOA。根据来自该主VPN路由器100A的指示，该VPN设 定单元130a的路由信息收集单元132a收集该VPN路由器100B内的 路由器单元110的路由信息。将所收集的路由信息通过路由信息传输 单元162传输给该VPN路由器100A。信息获得单元164从该主VPN 路由器100A获得VPN连接设定信息的设定信息和该转换规则的设 定信息。根据该设定信息，该设定单元136a设定如上所述的VPN连 接设定信息122和转换规则126。另外，该信息获得单元164从该 VPN内的其它VPN路由器IOOA和100C的通知单元156获得用于设 定转发名称解析请求的信息。通过参考该信息，该设定单元136a在 该LAN端DNS内设定该转发设定。
根据该VPN路由器IOOA、 100B和100C的合作操作，即使在将 虚拟IP地址分配给LAN 200A、 200B和200C上的计算机时，仍可
以根据计算机的主机名称解析出虚拟IP地址。
接下来，参考图8，将描述用于在主VPN路由器100A中进行 VPN设定的处理。例如当管理员指示该VPN路由器100A开始VPN 设定时执行该处理。
在此处理中，首先，该VPN路由器100A的路由信息收集单元 132从该路由器单元110和其它VPN路由器100B和100C收集路由 信息112 (Sl)。因为预先登记例如作为该VPN连接设定信息122的 远端对等信息的其它VPN路由器100B和100C的VPN的全局IP地 址，因此可以通过参考此信息将询问发送给该路由器100B和IOOC。 接下来，根据所收集的路由信息，该虚拟地址分配单元134检测在站 点A、 B和C的LAN或计算机的私有地址中匹配其它地址的私有地 址(S2)，并将不与该VPN内其它地址重叠的虚拟IP地址分配给具 有重叠的私有地址的LAN或计算机(S3)。另外，在此处理中，不管 地址是否重叠，还可以使用以下配置，其中，为该VPN内的所有LAN和计算机分配在该VPN内唯一的虚拟地址。该虚拟地址分配单元134 产生关于虚拟地址需被分配给的LAN或计算机的所分配的虚拟地址 和原始私有地址之间的对应关系的信息(S4)。接着，通过参考该对 应关系的信息，该设定单元136为该VPN路由器IOOA、 100B和100C 的每一个产生设定信息(S5)。如上所述，将在此处理中产生的设定 信息用于设定该VPN连接设定信息122和转换规则126。该设定信 息提供单元138将对应的设定信息传输给该VPN路由器100B和 100C (S6)，并根据该VPN路由器100A本身的设定信息来设定该 VPN连接设定信息122和转换规则126 (S7)。
接下来，该区域信息获得单元152从该主DNS 240A获得区域信 息(S8)，通过参考该区域信息和以上述方式在步骤S7中设定的转换 规则126来产生该区域信息142，并在虚拟端DNS单元140中设定 该区域信息142 (S9)。另外，该通知单元156将用于设定转发名称 解析请求的信息传输给该VPN路由器IOOB和100C (SIO)。
接下来，参考图9，将描述在非主路由器的VPN路由器IOOB中 执行的处理。VPN路由器100C执行的处理类似于该VPN路由器100B 执行的处理。
此处理在该VPN路由器100B从VPN路由器100A接收到用于 路由信息的请求时开始(Sll)。在接收该请求之后，该路由信息收集 单元132a收集该路由器单元110的路由信息，并且该路由信息传输 单元162将该路由信息传输给该VPN路由器100A(S12)。接着，当 该信息获得单元164从该VPN路由器100A接收用于VPN连接设定 的设定信息时(S13)，该设定单元136a根据上述设定信息来设定该 VPN连接设定信息122和该转换规则126 (S14)。该区域信息获得单 元152从该主DNS240B获得区域信息(S15)，并通过参考该区域信 息和以上述方式在步骤S14中设定的转换规则126产生区域信息 142，并在该虚拟端DNS单元140中设定该区域信息142 (S16)。该 通知单元156将用于设定转发名称解析请求的信息传输给VPN路由 器IOOA和100C (S17)。
根据上述处理，启动经由该VPN的通信。接下来，参考图IO，将描述经由VPN的通信流程。在此，将描述一种示例性配置，其中， 在图1所示的示例性网络结构中的计算机220A和220B之间执行经 由VPN的通信。在此示例性配置中，通过询问该LAN 200A中的LAN 端DNS，该计算机220A已获得计算机220B的虚拟IP地址。
在此流程中，首先，该计算机220A发送去往该计算机220B的 IP信息包。该信息包的IP标头内的源地址是该计算机220A的私有 地址10.0.0.1 ，而该信息包的IP标头的目的地址是该计算机220B的 虚拟地址30.0.0.1。该VPN路由器IOOA确定由该信息包的源和目的 组成的一对匹配由该VPN连接设定信息122的本地端选择器(出站) 和远端选择器组成的一对(参照图3)。响应于此确定，根据该转换 规则126，该VPN路由器IOOA将该信息包的源地址替换为虚拟地址 20.0.0.1 (参照图4)。该VPN路由器100A根据VPN方法诸如IPsec 来压缩该信息包，并通过隧道穿过因特网300将所压縮的信息包传输 给该VPN路由器IOOB。在接收所压縮的信息包之后，该VPN路由 器IOOB解压该压縮包，并确定作为解压结果获得的原始信息包的源 和目的匹配由该VPN路由器100B的VPN连接设定信息122的本地 端选择器(入站)和远端选择器组成的一对。响应于此确定，该VPN 路由器100B根据该转换规则126将该信息包的目的地址转换为 10.0.0.1，并将该信息包发送给该LAN 200B。因此，该计算机220B 接收该信息包。以与上述相反的方式处理从该计算机220B到该计算 机220A的返回信息包。
在上述配置中，根据主机名称解析虚拟IP地址，并且通过VPN 路由器IOOA、 100B和100C的合作操作实现经由VPN的通信，而不 需要在每一个站点的计算机内实现特定的协议。
在上述配置中，该VPN路由器IOOA产生用于确定站点A内的 计算机的虚拟地址的区域信息142，并且在接收站点A内的计算机的 名称解析请求之后，该VPN路由器IOOB或IOOC将该请求转发给该 VPN路由器100A。然而，此配置仅仅是示例性的，并且，另外还可 以使用以下配置，其中，该VPN路由器100A产生该区域信息142 并将该区域信息142传输给该VPN路由器100B和IOOC，并且VPN路由器100B和100C的每一个在对应的LAN 200B或200C的LAN 端DNS内设定该区域信息142。在此情形下，该VPN路由器100A 不必具有虚拟端DNS 140。
在上述配置中，该VPN路由器具有路由器单元110、 VPN连接 控制器120和虚拟端DNS单元140的功能。然而，这仅仅是示例性 的，并且可以通过LAN上的分别的硬件装置实现这些功能模块。
另外，虽然在以上描述中，描述了具有3个站点的VPN，但本 领域的技术人员将明白可以将上述配置应用到具有两个或更多站点 的一般VPN。
此外，在上述配置中，将形成VPN部分的VPN路由器中的一个 设定为主路由器，并且该主路由器从其它VPN路由器收集路由信息， 分配虚拟地址并将根据该分配结果产生的设定信息提供给其它VPN 路由器。然而，此配置仅仅是示例性的。另外，还可以使用主管装置 具有主要功能的配置；即，在因特网300上提供该路由信息收集单元 132、该虚拟地址分配单元134和该设定信息提供单元138的功能。在 此情形下，形成VPN部分的每一个VPN路由器可以具有类似于非主 路由器的VPN路由器100B的功能(参照图5)。
通过例如在一般用途的计算机上执行描述功能模块的处理的程 序，可以实现上述示例性实施例的VPN路由器IOOA、 100B和IOOC。
如图11所示，该计算机可以具有作为硬件的电路结构，其中各种硬 件元件经由总线414连接；例如，微处理器诸如CPU400、存储器(主 存储器)诸如随机存取存储器(RAM) 402和只读存储器(ROM) 404、用于控制HDD (硬盘驱动器)406的HDD控制器408、各种 I/O (输入/输出)接口 410和用于控制与网络诸如局域网等连接的网 络接口 412。用于读取和/或写入移动式磁盘记录媒介诸如CD和DVD 的磁盘驱动器416或用于读取和/或写入各种标准的移动式非易失性 记录媒介诸如闪存的存储器读取器/写入器418可以通过诸如该I/O接 口 410连接到该总线414。通过记录媒介诸如CD和DVD或通过通 信单元诸如网络，将描述上述功能模块的处理的程序存储在固定的存 储装置诸如硬盘驱动器中，并安装在该VPN服务器100中。通过将存储在固定存储装置中的程序读入该RAM 402并由微处理器诸如 CPU400执行，可以实现上述功能模块。可以将部分或所有功能模块 构建为硬件电路，诸如专用LSI (大规模集成)和ASIC (特定用途 集成电路)或FPGA (现场可编程门阵列)。
出于例示和描述的目的，已提供对本发明的示例性实施例的以上 描述。这并不打算是详尽的或限制本发明为所披露的精确形式。显然， 对于本领域的技术人员而言，很多修改和变化是显而易见的。选择并 描述这些实施例，为的是最佳解释本发明的原理和其实际应用，从而 使得本领域的其他技术人员理解本发明的各种实施例和适于预期的 特定用途的各种修改。本发明的范围应由随后的权利要求和等同项所 定义。
权利要求
1.一种虚拟网络连接系统，包括收集单元，其从虚拟网络内的每一个站点收集该站点内的信息处理器的真实地址；分配单元，其将不与所述站点内的其它信息处理器的虚拟地址重叠的虚拟地址分配给具有在由所述收集单元收集的真实地址中的重叠的真实地址的每一个信息处理器；第一产生单元，其产生表示由所述分配单元分配的虚拟地址和所述真实地址之间的对应关系的第一对应信息；第一提供单元，其根据所述第一对应信息产生用于虚拟网络连接的设定信息，并将所述设定信息提供给每一个站点的虚拟网络连接装置；获得单元，其从信息处理器所属的站点获得表示所述信息处理器的真实地址与所述信息处理器的名称之间的对应关系的第二对应信息；第二产生单元，用于根据所述第一对应信息和所述第二对应信息，产生表示所述虚拟地址与所述信息处理器的名称之间的对应关系的第三对应信息；以及第二提供单元，其将所述第三对应信息提供给每一个站点的虚拟网络连接装置。
2. 根据权利要求1所述的虚拟网络连接系统，其中， 所述第二提供单元包括-接收单元，其经由所述虚拟网络从第一信息处理器接收用于请求解析对应于第二信息处理器的名称的地址的名称解析请求；以及 传输单元，其响应于由所述接收单元所接收的名称解析请求，通过参考所述第三对应信息来识别对应于所述第二信息处理器的名称 的虚拟地址，并将所识别的虚拟地址传输给所述第一信息处理器。
3. —种虚拟网络连接装置，包括第一存储单元，其存储表示站点内的信息处理器的真实地址与虚 拟网络内的所述信息处理器的虚拟地址之间的对应关系的第一对应 信息；地址转换单元，其通过参照所述第一对应信息，为在所述站点内 的信息处理器和所述站点外的信息处理器之间的传输信息执行地址 转换；第二存储单元，其存储表示所述站点内的信息处理器的名称与所 述信息处理器的真实地址之间的对应关系的第二对应信息；产生单元，其根据所述第一对应信息和所述第二对应信息，产生 表示所述站点内的信息处理器的名称与所述信息处理器的虚拟地址 之间的对应关系的第三对应信息；以及提供单元，其将所述第三对应信息提供给所述虚拟网络内的其它站点。
4. 根据权利要求3所述的虚拟网络连接装置，其中， 所述提供单元包括-接收单元，其经由所述虚拟网络从所述站点外的第一信息处理器 接收用于请求解析对应于所述站点内的第二信息处理器的名称的地 址的名称解析请求；以及传输单元，其响应于由所述接收单元所接收的名称解析请求，根 据所述第三对应信息来识别对应于所述第二信息处理器的名称的虚 拟地址，并将所识别的虚拟地址传输给所述第一信息处理器。
5. 根据权利要求4所述的虚拟网络连接装置，其中， 所述提供单元还包括-通知单元，其向其它站点通知转发设定信息，该转发设定信息包 括所述站点的域名和所述虚拟网络连接装置的全局IP地址；转发设定存储单元，其从其它站点接收转发设定信息并存储该转 发设定信息，该转发设定信息包括所述其它站点的域名和所述其它站点的虚拟网络连接装置的全局IP地址；转发单元，当包括在来自所述站点内的第三信息处理器的名称解 析请求中的名称内的域名包括存储在所述转发设定存储单元中的所 述转发设定信息所包括的另一个站点的域名时，所述转发单元将所述 名称解析请求转发给包括在所述转发设定信息中的所述其它站点的 虚拟网络连接装置的全局IP地址；以及响应单元，其响应于由所述转发单元转发的名称解析请求，将从所述其它站点的虚拟网络连接装置返回的虚拟地址发送给所述第三 信息处理器。
6. —种用于虚拟网络连接的方法，包括收集步骤，用于从虚拟网络内的每一个站点收集该站点内的信息 处理器的真实地址；分配步骤，用于将不与所述站点内的其它信息处理器的虚拟地址 重叠的虚拟地址分配给具有所收集的真实地址中的重叠的真实地址 的信息处理器；第一产生步骤，用于产生表示所分配的虚拟地址和所述真实地址 之间的对应关系的第一对应信息；第一提供步骤，用于根据所述第一对应信息产生用于虚拟网络连 接的设定信息，并将所述设定信息提供给每一个站点的虚拟网络连接 装置；获得步骤，用于从信息处理器所属的站点获得表示所述信息处理 器的真实地址与所述信息处理器的名称之间的对应关系的第二对应 信, I R 'E、,第二产生步骤，用于根据所述第一对应信息和所述第二对应信 息，产生表示所述虚拟地址与所述信息处理器的名称之间的对应关系 的第三对应信息；以及第二提供步骤，用于将所述第三对应信息提供给每一个站点的虚 拟网络连接装置。
7. 根据权利要求6所述的方法，其中， 所述第二提供步骤包括接收步骤，用于经由所述虚拟网络从第一信息处理器接收用于请 求解析对应于第二信息处理器的名称的地址的名称解析请求；以及传输步骤，用于响应于所接收的名称解析请求，通过参考所述第 三对应信息来识别对应于所述第二信息处理器的名称的虚拟地址，并 将所识别的虛拟地址传输给所述第一信息处理器。
8. —种用于虚拟网络连接的方法，包括地址转换步骤，用于通过参照第一存储单元，对在站点内的信息 处理器和所述站点外的信息处理器之间的传输信息执行地址转换，所 述第一存储单元存储表示所述站点内的信息处理器的真实地址与虚 拟网络内的所述信息处理器的虚拟地址之间的对应关系的第一对应 信息；获得步骤，用于从存储第二对应信息的第二存储单元获得表示所 述站点内的信息处理器的名称与所述信息处理器的真实地址之间的 对应关系的第二对应信息；产生步骤，用于根据所述第一对应信息和所述第二对应信息，产 生表示所述站点内的信息处理器的名称与所述信息处理器的虚拟地 址之间的对应关系的第三对应信息；以及提供步骤，用于将所述第三对应信息提供给所述虚拟网络内的其 它站点。
9. 根据权利要求8所述的方法，其中， 所述提供步骤包括-接收步骤，用于经由所述虚拟网络从所述站点外的第一信息处理 器接收用于请求解析对应于所述站点内的第二信息处理器的名称的 地址的名称解析请求；以及传输步骤，用于响应于所接收的名称解析请求，根据所述第三对 应信息来识别对应于所述第二信息处理器的名称的虚拟地址，并将所识别的虚拟地址传输给所述第一信息处理器。
10.根据权利要求9所述的方法，其中，所述提供步骤还包括通知步骤，用于向其它站点通知转发设定信息，该转发设定信息 包括所述站点的域名和所述虚拟网络连接装置的全局IP地址；转发设定存储步骤，用于从其它站点接收转发设定信息并将该转 发设定信息存储在转发设定存储单元中，所述转发设定信息包括所述 其它站点的域名和所述其它站点的虚拟网络连接装置的全局IP地址;转发步骤，用于当包括在来自所述站点内的第三信息处理器的名 称解析请求中的名称内的域名包括存储在所述转发设定存储单元中 的所述转发设定信息所包括的另一个站点的域名时，将所述名称解析 请求转发给包括在所述转发设定信息中的所述其它站点的虚拟网络 连接装置的全局IP地址；以及响应步骤，用于响应于通过所述转发步骤而转发的名称解析请 求，将从所述其它站点的虚拟网络连接装置返回的虚拟地址发送给所 述第三信息处理器。
全文摘要
提供一种虚拟网络连接装置，包括第一存储单元，其存储表示站点内的信息处理器的真实地址和虚拟网络内的信息处理器的虚拟地址之间的对应关系的第一对应信息；地址转换单元，其通过参照该第一对应信息，为在所述站点内的信息处理器和所述站点外的信息处理器之间的传输信息执行地址转换；第二存储单元，其存储表示该站点内信息处理器的名称和该信息处理器的真实地址之间的对应关系的第二对应信息；产生单元，其根据该第一对应信息和该第二对应信息，产生表示该站点内信息处理器的名称和该信息处理器的虚拟地址之间的对应关系的第三对应信息。
文档编号H04L12/56GK101316230SQ200710188750
公开日2008年12月3日 申请日期2007年11月16日 优先权日2007年5月30日
发明者古川泰之 申请人:富士施乐株式会社