[发明专利]用于控制虚拟网络连接的虚拟网络连接装置、系统和方法

说明书

技术领域

本发明涉及用于控制虚拟网络的连接的虚拟网络连接装置、系统 和方法。

背景技术

最近，虚拟专用网络(VPN)服务已得到广泛应用。VPN服务 是经由诸如因特网的公共网络，在主机或站点与另一个主机或站点之 间进行专用通信(类似于由专线提供的通信)的服务。在典型的VPN 中，将VPN上的数据包进行封装并以隧道方式穿过真实的IP网络。

在JP 2001-313663 A中描述的系统提供了虚拟网络界面，其使得 抽象化逻辑网络；确定物理网络界面、虚拟网络界面和逻辑网络之间 的对应性；仅传输并接收与物理网络界面和虚拟网络界面相关的数据 包；并控制在虚拟网络界面和物理网络界面之间传输的数据包。

虽然该网络是虚拟网络，但因为经由真实网络传输所封装的数据 包，因此必须在虚拟网络连接装置中设定作为虚拟网络成员的信息处 理器的真实网络上的地址。然而，可能存在无法预先知道成员地址的 数种情形，例如当在不同于预先登记的网络环境的网络环境中移除是 某一个虚拟网络的成员的信息处理器并尝试连接到该虚拟网络时，或 当不是虚拟网络的成员的信息处理器临时作为虚拟网络的成员参与 时。在此种情形中，虽然管理员可以检查成员的地址并在虚拟网络装 置中设定地址，但此过程仍需要非常大量的工作。

发明内容

本发明的一个优点是提供一种虚拟网络连接装置，当具有无法预 先知道的地址的信息处理器加入到虚拟网络时，该虚拟网络连接装置 可以减少强加在管理员上的负担。

根据本发明的第一方面，提供一种虚拟网络连接装置，包括：形 成指示接收单元，其接收用于形成虚拟网络的形成指示；识别符分配 单元，其响应于由所述形成指示接收单元所接收的形成指示，分配唯 一的虚拟网络识别符和虚拟网络地址的范围，并且在相关信息存储单 元中使所述虚拟网络识别符与所述范围相关联；指定接收单元，其接 收形成所述虚拟网络的一部分的信息处理器的指定；第一登记单元， 其发布指定给所述指定接收单元的第一信息处理器的连接许可信息， 并且在第一存储单元中与由所述识别符分配单元所分配的虚拟网络 识别符相关联的登记所发布的连接许可信息；关联处理器，用于当从 所述第一信息处理器接收到包括所述连接许可信息和所述第一信息 处理器的真实网络地址的连接请求时，通过参考所述第一存储单元来 确定与所述连接许可信息相关联的虚拟网络识别符，向所述第一信息 处理器提供所述范围内的与所确定的虚拟网络识别符相关联的第一 虚拟网络地址，在所述相关信息存储单元中使所述第一虚拟网络地址 与所述第一信息处理器的真实网络地址相关联，以及设置路由规则， 所述路由规则将从所述范围内的第二虚拟网络地址传输到所述第一 虚拟网络地址的虚拟数据包路由到所述第一信息处理器的真实网络 地址；以及传输控制器，用于当接收到从具有所述第二虚拟网络地址 的第二信息处理器到传输到所述第一虚拟网络地址的所述虚拟数据 包，从而所述第一虚拟网络地址和所述第二虚拟网络地址是与所述虚 拟网络识别符相关联的虚拟网络地址时，执行控制，以根据所述路由 规则将所接收到的信息路由到所述第一信息处理器的真实网络地址， 其中，所述虚拟数据包包括封装包和附加到所述封装包的网际协议 (IP)头，所述封装包具有作为所述虚拟数据包的目的地的所述第一 虚拟地址和作为所述虚拟数据包的源的所述第二虚拟网络地址，并且 所述IP头具有作为所述虚拟数据包的所述目的地的所述第一信息处 理器的真实网络地址和作为所述虚拟数据包的所述源的所述虚拟网 络连接装置的真实网络地址。

根据本发明的第二方面，所述虚拟网络连接装置还包括：第二存 储单元，其存储与所述虚拟网络识别符相关联的一个或多个批准方地 址，其中，当从信息处理器接收到包括所述连接许可信息的连接请求 时，所述关联处理器通过参考所述第二存储单元，确定与对应于所述 连接许可信息的所述虚拟网络识别符相关联的批准方地址，向所确定 的批准方地址查询是否批准来自所述信息处理器的连接，并且根据对 所述查询的响应来确定所述信息处理器的地址是否将与所述虚拟网 络识别符相关联。