JP3779914B2

JP3779914B2 - Gateway apparatus and access method using the apparatus

Info

Publication number: JP3779914B2
Application number: JP2001357847A
Authority: JP
Inventors: 東山　　満
Original assignee: Anritsu Corp
Current assignee: Anritsu Corp
Priority date: 2001-11-22
Filing date: 2001-11-22
Publication date: 2006-05-31
Anticipated expiration: 2021-11-22
Also published as: JP2003158538A

Description

【０００１】
【発明の属する技術分野】
本発明は、ＬＡＮ(Local Area Network)やＷＡＮ(Wide Area Network) で構築されるＩＰネットワークにＶＰＮを介して接続され、ＩＰネットワークと、複数のストレイジがグループ分けされて接続されたＳＡＮ(Storage Area Network)との間のデータアクセス制御を行うゲートウェイ装置及び該装置を用いたアクセス方法に関する。
【０００２】
【従来の技術】
従来、２０００年頃までは、インターネットのデータセンタにおけるＬＡＮ（ＷＡＮ）とＳＡＮとが全く独自のネットワークとなっており、それぞれが分離されていた。このため、インターネット経由でのクライアントアクセスは、データセンタのＬＡＮを経由して、サーバのＮＩＣ(Network Interface Card)からサーバにファイルアクセスされる。そして、サーバは、ファイルアクセスを受け付けると、ハードディスクにＳＡＮを介してアクセスを行っていた（図７）。
【０００３】
２０００年後半からはＳＡＮとＬＡＮ（ＷＡＮ）を接続しようという動きが始まった。一つは、場所が離れた複数のＳＡＮをＬＡＮ，ＷＡＮを使って接続する方式（図８）であり、長距離伝送が可能な高速シリアルインタフェースであるファイバ・チャネルを用いたＦＣＩＰ(Fibre Chanel over IP)というプロトコルが開発中である。もう一つは、ストレイジ自体をＬＡＮ，ＷＡＮに接続し、クライアントＰＣ(Personal Computer) から直接ＳＣＳＩｏｖｅｒＩＰでアクセスする方式（図９）のｉＳＣＳＩというプロトコルが開発中である。
【０００４】
また、ｉＳＣＳＩの登場に伴い、図１０に示すように、ＬＡＮ／ＷＡＮからのｉＳＣＳＩアクセスと従来の既設のＳＡＮを接続するためのｉＳＣＳＩゲートウェイ（Storage Routerと呼ぶベンダもいる）が商品化されている。
【０００５】
【発明が解決しようとする課題】
今、図１０に示すようなネットワーク構成において、データセンタ上にあるストレイジ（ハードディスク：ＨＤ）をｉＳＣＳＩによりリモートアクセスでアクセスする場合を考える。このようなネットワーク構成では、従来、自社の敷地内においていたストレイジをデータセンタなどの共有施設に置くことになるため、セキュリティが問題となる。
【０００６】
このセキュリティの問題の対策として、例えばパスワードを用いる方法、特定のストレイジグループへのアクセスを予め指定されたクライアントＰＣのＩＰアドレスの組み合わせにのみ許す方法が考えられている。
【０００７】
ここで、上記ストレイジグループは、ファイバ・チャネルのゾーニング機能によりグループ分けされる。このゾーニング機能は、一つのＳＡＮ構成に異機種ＯＳの混在している環境、多数ノードが構成されている環境において特定のサーバとストレイジのアクセスを制限したい場合に有効な機能である。
【０００８】
ゾーニングは、ＳＡＮをゾーンという単位でグループ化し、仮想的に複数のＳＡＮであるかのように構成するものである。ゾーンの設定は、サーバのファイバ・チャネルインタフェース、ストレイジデバイスのファイバ・チャネルインタフェースのＷＷＮ(World Wide Node) 、またはＦＣ(Fibre Channel) スイッチのポート番号を指定して行われる。図１１はゾーニングの設定例を示している。図１１の例では、６つのＣＰＵサーバと７つのストレージデバイスと１つのテープライブラリがＺＯＮＥ−Ａ，ＺＯＮＥ−Ｂ，ＺＯＮＥ−Ｃ，ＺＯＮＥ−Ｄの４つのゾーンにグループ分けされている。
【０００９】
しかしながら、上述したパスワードを用いた方法では、複数の数字や記号の組み合わせなので、そのセキュリティ度が低いという問題がある。また、特定のストレイジグループへのアクセスを予め指定されたクライアントＰＣのＩＰアドレスの組み合わせにのみ許す方法では、第三者が指定されたＩＰアドレスの組み合わせに設定されたクライアントＰＣから本来の使用者に成り済まして使用できるため、セキュリティ性に欠けるという問題がある。
【００１０】
このように、上述した方法では、ＳＡＮ内のサーバやストレイジに対するアクセスのセキュリティを十分に守ることができないという課題があった。
【００１１】
そこで、本発明は、上記課題に鑑みてなされたものであり、ＬＡＮ／ＷＡＮで構築されるＩＰネットワークとＳＡＮを接続するにあたって、ＳＡＮ内のサーバやストレイジに対するアクセスのセキュリティを向上することができるゲートウェイ装置及び該装置を用いたアクセス方法を提供することを目的としている。
【００１２】
【課題を解決するための手段】
上記目的を達成するため、本発明に係る請求項１の発明は、ＬＡＮやＷＡＮで構築されるＩＰネットワーク２にＶＰＮを介して接続され、前記ＩＰネットワークと、複数のストレイジやサーバがグループ分けされて接続されたＳＡＮ３との間のデータのアクセスを制御するゲートウェイ装置１において、
前記ＶＰＮのカスタマと前記ＳＡＮのストレイジグループとを対応付けるテーブル４を有し、前記ＩＰネットワークからのパケット内のＶＰＮのカスタマが前記テーブルのカスタマと一致したときに、該カスタマに対応するＳＡＮのストレイジグループへのアクセスを許可する機能を備えたことを特徴とする。
【００１３】
請求項２の発明は、請求項１のゲートウェイ装置において、
前記ＶＰＮがＭＰＬＳ−ＶＰＮからなり、前記テーブル４のＩＰネットワークのＶＰＮのカスタマと対応付けされるＳＡＮのストレイジグループがファイバ・チャネルのゾーン名、Ｉｎｆｉｎｉ−Ｂａｎｄのパーティション番号、ＶＩＤの何れかであることを特徴とする。
【００１４】
請求項３の発明は、ＬＡＮやＷＡＮで構築されるＩＰネットワーク２にＶＰＮを介して接続され、前記ＩＰネットワークと、複数のストレイジやサーバがグループ分けされて接続されたＳＡＮ３との間のデータのアクセスを制御するゲートウェイ装置１を用いたアクセス方法において、
前記ＩＰネットワークからのパケット内のＶＰＮのカスタマが、前記ＩＰネットワークのＶＰＮのカスタマとＳＡＮのストレイジグループとを対応付けるテーブル４のカスタマと一致したときに、該カスタマに対応するＳＡＮのストレイジグループへのアクセスを許可することを特徴とする。
【００１５】
請求項４の発明は、請求項３のゲートウェイ装置を用いたアクセス方法において、
前記ＶＰＮがＭＰＬＳ−ＶＰＮからなり、前記テーブル４のＩＰネットワークのＶＰＮのカスタマと対応付けされるＳＡＮのストレイジグループがファイバ・チャネルのゾーン名、Ｉｎｆｉｎｉ−Ｂａｎｄのパーティション番号、ＶＩＤの何れかであることを特徴とする。
【００１６】
【発明の実施の形態】
図１は本発明によるゲートウェイ装置を含むＭＰＬＳ(MultiProtocol Label Switching) −ＶＰＮ技術を利用したネットワーク構成の一例を示す図、図２（ａ）〜（ｃ）はパケットのユーザ識別ラベルと比較照合するためのストレイジマッピングテーブルの一例を示す図、図３はＭＰＬＳフレームフォーマットを示す図、図４はＭＰＬＳ−ＶＰＮの処理手順を示すフローチャート、図５は本発明のゲートウェイ装置を含むＬ２ＴＰ(Layer two Tunneling Protocol)によるＶＰＮ技術を利用したネットワーク構成の一例を示す図、図６（ａ），（ｂ）はＬ２ＴＰフレームフォーマットを示す図である。
【００１７】
本発明に係るゲートウェイ装置は、ＬＡＮやＷＡＮで構築されるＩＰネットワークにＶＰＮを介して接続され、ＩＰネットワークと、複数のＣＰＵサーバやストレイジ（ハードディスク：ＨＤ）がグループ分けされて接続されたＳＡＮとの間のデータのアクセスを制御している。
【００１８】
図１や図５に示すように、本例のゲートウェイ装置１は、ＶＰＮ(Virtual Private Network) 技術を利用してＩＰネットワーク２のクライアントＰＣからＳＡＮ３のストレイジやサーバへのアクセス制御を行うべく、ＬＡＮ／ＷＡＮインタフェースとファイバ・チャネル又はＩｎｆｉｎｉ−Ｂａｎｄのインタフェースを持ち、ＬＡＮ／ＷＡＮで構築されるＩＰネットワーク２（クライアントＰＣ）からのＳＣＳＩコマンドをＳＡＮ側へゲートウェイする機能を有している。
【００１９】
そして、本例のゲートウェイ装置１は、ＶＰＮとＳＡＮ３のグルーピングを結びつけることにより、ＳＡＮ３のストレイジグループ（ストレイジやサーバ）をあたかもプライベート網に存在するかのようにアクセス制御している。
【００２０】
さらに説明すると、本例のゲートウェイ装置１は、ＩＰネットワーク２のＶＰＮのカスタマとＳＡＮ３のストレイジグループとを対応付けるストレイジマッピングテーブル（以下、テーブルと略称する）４を有している。このテーブル４は、アクセスを許可するＳＡＮ３のストレイジグループを示す情報からなる。
【００２１】
ストレイジグループとしては、ストレイジの一覧又はストレイジ一覧への識別番号で実現する方法、ファイバ・チャネルのゾーン名で管理する方法、Ｉｎｆｉｎｉ−Ｂａｎｄのパーティション番号で管理する方法がある。
【００２２】
そこで、上記テーブル４は、図２（ａ）に示すような文字列からなるファイバ・チャネルのゾーン名、図２（ｂ）に示すような数字例からなるＩｎｆｉｎｉ−Ｂａｎｄのパーティション番号、図２（ｃ）に示すような数字列からなるＶＬＡＮ(Virtual Local Area Network)−ＩＤ（ＶＩＤ）の何れかの情報として与えられ、各情報（ファイバ・チャネルのゾーン名、Ｉｎｆｉｎｉ−Ｂａｎｄのパーティション番号、ＶＩＤ）が各ユーザ識別ラベルと対応している。
【００２３】
本例のゲートウェイ装置１は、ＩＰネットワーク２のクライアントＰＣからのパケット内のＶＰＮのカスタマがテーブル４のカスタマと一致したときに、そのカスタマに対応するＳＡＮ３のストレイジグループへのアクセスを許可する機能を有している。これにより、ユーザアクセスに対してユーザを特定し、許可されたストレイジグループにのみアクセスが許される。
【００２４】
なお、図２（ａ）〜（ｃ）に示すテーブル４は、ユーザ識別ラベルとストレージグループが１対１になっている。しかし、ユーザがアクセスを許されるストレージグループは、０個、１個、または複数個の場合がある。例えば１つのユーザが複数のストレージにアクセスする事も可能である。図２（ｄ）は１つのユーザが２つのストレージにアクセスする場合のテーブル４の内容の一例を示している。また、複数のユーザが１つのストレージグループに同時にアクセスすることも可能である。
【００２５】
ところで、ＶＰＮ自体様々な実現方法があるが、本例のゲートウェイ装置１は、図１に示すＭＰＬＳ−ＶＰＮと、図５に示すＬ２ＴＰによるＶＰＮに対応している。
【００２６】
ＭＰＬＳは、カットスルー方式のパケット転送技術であり、ＩＰネットワークのようなコネクションレス型ネットワーク上で、コネクション制御を実現するための仕組みである。このＭＰＬＳでは、ＩＰパケット内にユーザ識別ラベルという識別子を設け、ＭＰＬＳ対応ノードがＩＰネットワーク上で複数の経路を管理している。
【００２７】
図１に示すネットワーク構成において、ＭＰＬＳ−ＶＰＮは、ＭＰＬＳのラベルスタッキングという方式により、ユーザ識別ラベルがパケットに付加されてゲートウェイ装置１に運ばれてくる。このパケットのＭＰＬＳフレームフォーマットは、図３に示すように、Ｌ２(Layer2)ヘッダ、パケット搬送用ラベルとユーザ識別ラベルからなるＭＰＬＳヘッダ、ＩＰヘッダ、ＴＣＰヘッダ、ｉＳＣＳＩデータを有して構成される。
【００２８】
そして、本例のゲートウェイ装置１では、上記ＭＰＬＳフレームフォーマットにおけるユーザ識別ラベルと、自身のテーブル（図２（ａ）〜（ｃ）に示す何れかのテーブル）４の情報とを比較照合し、運ばれてきたパケットのＳＣＳＩをアクセス対象となるストレイジに送出して良いか否かを判断している。
【００２９】
次に、上記ＭＰＬＳ−ＶＰＮを利用したネットワーク構成において、クライアントＰＣからパケットが運ばれてきたときの本例のゲートウェイ装置１の動作について図４を参照しながら説明する。
【００３０】
クライアントＰＣからＭＰＬＳ−ＶＰＮによりパケットが運ばれてくると、そのパケットからユーザ識別ラベルＵを取り出す（ＳＴ１）。次に、ユーザ識別ラベルＵを自身のテーブル（図２（ａ）〜（ｃ）に示す何れかのテーブル）４でサーチする（ＳＴ２）。そして、ユーザ識別ラベルＵがテーブル４にあるか否かを判別する（ＳＴ３）。
【００３１】
ユーザ識別ラベルＵがテーブル４にあれば（ＳＴ３−Ｙｅｓ）、ストレイジグループをゾーン名Ｚに格納する（ＳＴ４）。続いて、元のパケット（ｉＳＣＳＩデータ）からＳＣＳＩコマンドを取り出す（ＳＴ５）。その後、ｉＳＣＳＩにより指定されたゾーンＺ内のストレイジ（ターゲット）にＳＣＳＩコマンドを送信する（ＳＴ６）。
【００３２】
これに対し、ユーザ識別ラベルＵがテーブル４になければ（ＳＴ３−Ｎｏ）、元のパケット（ｉＳＣＳＩデータ）からＳＣＳＩコマンドを取り出す（ＳＴ７）。その後、ｉＳＣＳＩにより指定されたストレイジ（ターゲット）にゾーン指定なしでＳＣＳＩコマンドを送信する（ＳＴ８）。
【００３３】
次に、Ｌ２ＴＰによるＶＰＮ技術を利用した本例のゲートウェイ装置１について説明する。
【００３４】
Ｌ２ＴＰは、データリンク層（ＰＰＰ：Point to Point Protocol)をトンネリングしてサイト間（ＬＡＮ間）接続ＶＰＮを構築するためのコネクション型のトンネリング・プロトコルである。このＬ２ＴＰでは、ＬＡＣ(L2TP Access Concentrator)とＬＮＳ(L2TP Network Sever)との間のＰＰＰセッションをトンネリングする手順を規定している。
【００３５】
図５に示すネットワーク構成において、Ｌ２ＴＰは、図６（ａ）に示すように、ＩＰヘッダ、ＵＤＰヘッダ、Ｌ２ＴＰヘッダ、ＰＰＰ（ＢＣＰ）ヘッダ、ＩＰヘッダ、ＴＣＰヘッダ、ｉＳＣＳＩデータからなるフォーマットが用いられる。また、図６（ａ）におけるｉＳＣＳＩデータは、図６（ｂ）に示すようなフォーマット構成となっている。なお、ｉＳＣＳＩコマンドは、ホスト（クライアントＰＣ）からターゲット（サーバやストレイジ）へ発行するコマンドのフォーマットである。このＬ２ＴＰ環境のフレームは、ＵＤＰ上のデータとして交換が行われる。
【００３６】
Ｌ２ＴＰでは、ユーザー・セッションのデータ通信（ＰＰＰ通信）を開始する前に、Ｌ２ＴＰトンネル（制御コネクション）を確立する。このＬ２ＴＰトンネル確立時には、不正な相手がトンネルの確立要求を出して、不正なトンネルの確立を行わせないように、相手を認証することができる。
【００３７】
Ｌ２ＴＰにおける制御コネクションの確立は、Ｌ２ＴＰメッセージである、（１）ＳＣＣＲＱ(Start-Control-Connection-Request 、コネクション確立要求）、（２）ＳＣＣＲＰ(Start-Control-Connection-Reply 、コネクション確立応答）、（３）ＳＣＣＣＮ(Start-Control-Connection-Connected 、コネクションの接続確立）を交換、すなわち３ウェイ・ハンドシェーク（３つのメッセージを交換して制御コネクションを確立することにより行われる。
【００３８】
上記制御コネクションが確立されると、ユーザー・セッションをその上に乗せることができるようになっている。このユーザー・セッションの確立は、（１）ＩＣＲＱ(Incoming-Call-Request、着呼要求）、（２）ＩＣＲＰ(Incoming-Call-Reply、着呼応答）、（３）ＩＣＣＮ(Incoming-Call-Connected、着呼接続）を交換する、３ウェイ・ハンドシェークで行われる。
【００３９】
そして、上記ユーザー・セッションが確立状態に達すると、ＰＰＰフレームがトンネル上でやり取りされることになる。
【００４０】
なお、Ｌ２ＴＰトンネル中において、特定のセッションを切断する場合には、切断したいセッションのコールＩＤ（呼ＩＤ）を含めたＣＤＮ(Call-Disconnect-Notify 、呼切断通知）を相手に送信する。ＣＤＮの受信側では、指定されたコールＩＤのセッションが使用していたリソースを開放する。また、トンネルそのものを解除する場合には、解除したいトンネルＩＤを含めたＳｔｏｐＣＣＮ(Stop-Control-Connection-Notification 、制御コネクション終了通知）を、トンネルのエンド・ポイントに送信する。
【００４１】
本例のゲートウェイ装置１は、Ｌ２ＴＰによるＶＰＮで最初のＰＰＰ接続時にユーザ名が識別されるので、アクセスを許可するユーザ名とストレイジグループとの対応を示すテーブルを有している。
【００４２】
図示はしないが、テーブルは、ＭＰＬＳ−ＶＰＮと同様に、文字列からなるファイバ・チャネルのゾーン名、数字例からなるＩｎｆｉｎｉ−Ｂａｎｄのパーティション番号、数字列からなるＶＩＤの何れかの情報で与えられ、各情報が各ユーザ名と対応している。
【００４３】
そして、本例のゲートウェイ装置１は、クライアントＰＣからのｉＳＣＳＩアクセス時に識別されるユーザ名を上述したテーブルと比較照合し、アクセスを許可してｉＳＣＳＩコマンドを対象となるストレイジに送るか否かを制御している。
【００４４】
さらに説明すると、図５のネットワーク構成の場合、クライアントＰＣは、ダイヤル回線によりＬＡＣ(L2TP Access Concentrator)にＰＰＰ接続する。ＰＰＰセッションは、ＬＡＣによりＬ２ＴＰフレームにカプセル化され、ゲートウェイ装置（ＬＮＳ）１に送られる。ＬＡＣとＬＮＳとの間には論理的なＬ２ＴＰトンネルセッションが張られており、暗号によりセキュリティがとられている。
【００４５】
ＰＰＰセッションをつなぐ時、ＰＣからＰＡＰ(Password Authentication Protocol)／ＣＨＡＰ(Challenge Handshake Authentication Protocol) によりユーザ名が送られ、ゲートウェイ装置１まで届く。
【００４６】
ゲートウェイ装置１は、ＰＰＰセッションにより届いたユーザ名を上述したテーブルでサーチし、ユーザ名がテーブルにあるか否か判別する。そして、ユーザ名がテーブルにあれば、ｉＳＣＳＩにより指定されたゾーン内のストレイジ（ターゲット）にＳＣＳＩコマンドを送信する。これに対し、ユーザ名がテーブルになければ、ｉＳＣＳＩにより指定されたストレイジ（ターゲット）にゾーン指定なしでＳＣＳＩコマンドを送信する。
【００４７】
このように、本例のゲートウェイ装置及び該装置を用いたアクセス方法では、クライアントＰＣからのパケット内のＶＰＮのカスタマがテーブルのカスタマと一致したときに、そのカスタマに対応するＳＡＮのストレイジグループへのアクセスを許可している。これにより、ユーザアクセスに対してユーザを特定し、許可されたストレイジグループにのみアクセスが許されるので、ストレイジに対するセキュリティを守ることができる。しかも、プライベートアドレスをそのまま使うことができる。さらに、ＭＰＬＳ−ＶＰＮを利用したネットワーク構成に適用した場合には、プライベートアドレスをそのまま使用しても、暗号化・解読などの処理を施すことなく、処理の手間を省いてデータアクセス制御を行うことができる。
【００４８】
【発明の効果】
以上の説明で明らかなように、本発明によれば、ＶＰＮのカスタマとＳＡＮのストレイジグループとを対応付けるテーブルを有し、クライアントからのパケット内のＶＰＮのカスタマがテーブルのカスタマと一致したときに、そのカスタマに対応するＳＡＮのストレイジグループへのアクセスを許可するので、ＬＡＮ／ＷＡＮとＳＡＮを接続するにあたって、ＳＡＮ内のサーバやストレイジに対するアクセスのセキュリティを十分に確保することができる。しかも、プライベートアドレスをそのまま用いることができる。また、ＭＰＬＳ−ＶＰＮを利用したネットワーク構成では、プライベートアドレスをそのまま使用しても、暗号化・解読などの処理を施すことなくデータアクセス制御を行うことができる。
【図面の簡単な説明】
【図１】本発明によるゲートウェイ装置を含むＭＰＬＳ−ＶＰＮ技術を利用したネットワーク構成の一例を示す図
【図２】（ａ）〜（ｄ）パケットのユーザ識別ラベルと比較照合するためのストレイジマッピングテーブルの一例を示す図
【図３】ＭＰＬＳフレームフォーマットを示す図
【図４】ＭＰＬＳ−ＶＰＮの処理手順を示すフローチャート
【図５】本発明のゲートウェイ装置を含むＬ２ＴＰによるＶＰＮ技術を利用したネットワーク構成の一例を示す図
【図６】（ａ），（ｂ）Ｌ２ＴＰフレームフォーマットを示す図
【図７】ＬＡＮ（ＷＡＮ）とＳＡＮとが分離されたネットワーク構成におけるデータアクセスの概要図
【図８】ＦＣＩＰ方式によるＬＡＮ（ＷＡＮ）とＳＡＮの接続構成を示す概要図
【図９】ｉＳＣＳＩ方式によるＬＡＮ（ＷＡＮ）とＳＡＮの接続構成を示す概要図
【図１０】ＬＡＮ（ＷＡＮ）からのｉＳＣＳＩアクセスと既設のＳＡＮを接続するためのネットワーク構成の概要図
【図１１】ゾーニングによりグループ分けされたＳＡＮの一例を示す図
【符号の説明】
１…ゲートウェイ装置、２…ＩＰネットワーク、３…ＳＡＮ、４…テーブル、ＨＤ…ハードディスク（ストレイジ）。[0001]
BACKGROUND OF THE INVENTION
The present invention is connected to an IP network constructed by a LAN (Local Area Network) or a WAN (Wide Area Network) via a VPN, and a SAN (Storage Area) in which an IP network and a plurality of storages are grouped and connected. The present invention relates to a gateway apparatus that performs data access control with respect to a network and an access method using the apparatus.
[0002]
[Prior art]
Conventionally, until around 2000, the LAN (WAN) and the SAN in the Internet data center were completely independent networks, which were separated from each other. For this reason, client access via the Internet is file access from the server NIC (Network Interface Card) to the server via the LAN of the data center. When the server accepts file access, the server accesses the hard disk via the SAN (FIG. 7).
[0003]
In the second half of 2000, a movement to connect SAN and LAN (WAN) began. One is a method of connecting a plurality of remote SANs using LAN and WAN (FIG. 8), and FCIP (Fibre Channel over fiber channel) which is a high-speed serial interface capable of long-distance transmission. A protocol called IP) is under development. The other is a protocol called iSCSI, which is a system (FIG. 9) in which the storage itself is connected to a LAN or WAN, and is accessed directly from a client PC (Personal Computer) using SCSI over IP.
[0004]
In addition, with the advent of iSCSI, as shown in FIG. 10, iSCSI gateways (also known as storage routers) for connecting iSCSI access from LAN / WAN and existing SANs are commercialized. .
[0005]
[Problems to be solved by the invention]
Consider a case where storage (hard disk: HD) on a data center is accessed by iSCSI remote access in a network configuration as shown in FIG. In such a network configuration, since storage in the company's premises has been placed in a shared facility such as a data center, security becomes a problem.
[0006]
As countermeasures for this security problem, for example, a method using a password or a method allowing access to a specific storage group only to a combination of IP addresses of client PCs designated in advance is considered.
[0007]
Here, the storage groups are grouped by a fiber channel zoning function. This zoning function is effective when it is desired to restrict access to a specific server and storage in an environment where heterogeneous OSs are mixed in a single SAN configuration or an environment where a large number of nodes are configured.
[0008]
In zoning, SANs are grouped in units called zones and are configured as if they are virtually a plurality of SANs. The zone is set by specifying the port number of the WWN (World Wide Node) or FC (Fibre Channel) switch of the fiber channel interface of the server, the fiber channel interface of the storage device. FIG. 11 shows a setting example of zoning. In the example of FIG. 11, six CPU servers, seven storage devices, and one tape library are grouped into four zones, ZONE-A, ZONE-B, ZONE-C, and ZONE-D.
[0009]
However, the above-described method using a password has a problem of low security because it is a combination of a plurality of numbers and symbols. In addition, in the method of permitting access to a specific storage group only by a combination of IP addresses of client PCs specified in advance, a third party can change from the client PC set to the combination of IP addresses specified to the original user. There is a problem of lack of security because it can be used after impersonation.
[0010]
As described above, the above-described method has a problem in that access security for servers and storage in the SAN cannot be sufficiently protected.
[0011]
Therefore, the present invention has been made in view of the above problems, and a gateway capable of improving the security of access to servers and storage in the SAN when connecting the SAN to the IP network constructed by LAN / WAN. An object is to provide an apparatus and an access method using the apparatus.
[0012]
[Means for Solving the Problems]
In order to achieve the above object, the invention of claim 1 according to the present invention is connected to an IP network 2 constructed by a LAN or WAN via a VPN, and the IP network and a plurality of storages and servers are grouped. In the gateway device 1 that controls access to data between the connected SANs 3,
A table 4 for associating the VPN customer with the SAN storage group, and when the VPN customer in the packet from the IP network matches the customer of the table, the SAN storage group corresponding to the customer It is characterized by having a function of permitting access to.
[0013]
The invention of claim 2 is the gateway device of claim 1,
The VPN is composed of MPLS-VPN, and the SAN storage group associated with the VPN customer of the IP network in Table 4 is any one of Fiber Channel zone name, Infini-Band partition number, and VID. It is characterized by.
[0014]
The invention of claim 3 is connected to an IP network 2 constructed by a LAN or WAN via a VPN, and data between the IP network and the SAN 3 to which a plurality of storages and servers are connected in groups. In the access method using the gateway device 1 for controlling access,
When a VPN customer in a packet from the IP network matches a customer in Table 4 that associates a VPN customer of the IP network with a SAN storage group, access to the SAN storage group corresponding to the customer It is characterized by permitting.
[0015]
The invention of claim 4 is an access method using the gateway device of claim 3,
The VPN is composed of MPLS-VPN, and the SAN storage group associated with the VPN customer of the IP network in Table 4 is any one of Fiber Channel zone name, Infini-Band partition number, and VID. It is characterized by.
[0016]
DETAILED DESCRIPTION OF THE INVENTION
FIG. 1 is a diagram showing an example of a network configuration using MPLS (MultiProtocol Label Switching) -VPN technology including a gateway device according to the present invention, and FIGS. 2A to 2C are for comparison with a user identification label of a packet. FIG. 3 is a diagram showing an MPLS frame format, FIG. 4 is a flowchart showing an MPLS-VPN processing procedure, and FIG. 5 is an L2TP (Layer two Tunneling Protocol) including the gateway device of the present invention. FIGS. 6A and 6B are diagrams showing an example of a network configuration using the VPN technology according to FIG. 6, and FIGS. 6A and 6B are diagrams showing an L2TP frame format.
[0017]
The gateway device according to the present invention is connected to an IP network constructed by a LAN or a WAN via a VPN, and an IP network and a SAN to which a plurality of CPU servers and storage (hard disk: HD) are connected in groups. Controls access to data between.
[0018]
As shown in FIGS. 1 and 5, the gateway device 1 of this example uses a VPN (Virtual Private Network) technology to perform access control from the client PC of the IP network 2 to the storage and server of the SAN 3. It has a / WAN interface and a fiber channel or Infini-Band interface, and has a function of gatewaying a SCSI command from the IP network 2 (client PC) constructed by LAN / WAN to the SAN side.
[0019]
The gateway device 1 in this example performs access control as if the storage group (storage or server) of the SAN 3 exists in the private network by connecting the grouping of the VPN and the SAN 3.
[0020]
More specifically, the gateway device 1 of this example has a storage mapping table (hereinafter abbreviated as a table) 4 for associating VPN customers of the IP network 2 with storage groups of the SAN 3. The table 4 includes information indicating storage groups of the SAN 3 that are permitted to access.
[0021]
Storage groups include a storage list or a storage list identification number, a fiber channel zone name management method, and an Infini-Band partition number management method.
[0022]
Therefore, the table 4 includes a Fiber Channel zone name composed of a character string as shown in FIG. 2A, an Infini-Band partition number composed of a numerical example as shown in FIG. c) is given as any information of a VLAN (Virtual Local Area Network) -ID (VID) consisting of a numeric string as shown in FIG. 5 and each information (Fibre Channel zone name, Infini-Band partition number, VID) Corresponds to each user identification label.
[0023]
The gateway device 1 of this example has a function of permitting access to the storage group of the SAN 3 corresponding to the customer of the VPN in the packet from the client PC of the IP network 2 when the customer of the table 4 matches. Have. As a result, the user is specified for user access, and access is permitted only to the permitted storage group.
[0024]
In the table 4 shown in FIGS. 2A to 2C, the user identification label and the storage group are in a one-to-one relationship. However, there may be zero, one, or a plurality of storage groups that the user is allowed to access. For example, one user can access a plurality of storages. FIG. 2D shows an example of the contents of the table 4 when one user accesses two storages. It is also possible for a plurality of users to access one storage group at the same time.
[0025]
By the way, there are various implementation methods for the VPN itself, but the gateway device 1 of this example corresponds to the MPLS-VPN shown in FIG. 1 and the VPN using L2TP shown in FIG.
[0026]
MPLS is a cut-through packet transfer technology and is a mechanism for realizing connection control on a connectionless network such as an IP network. In this MPLS, an identifier called a user identification label is provided in an IP packet, and an MPLS-compatible node manages a plurality of routes on the IP network.
[0027]
In the network configuration shown in FIG. 1, the MPLS-VPN is carried to the gateway device 1 with a user identification label added to the packet by a method called MPLS label stacking. As shown in FIG. 3, the MPLS frame format of this packet includes an L2 (Layer 2) header, an MPLS header composed of a packet transport label and a user identification label, an IP header, a TCP header, and iSCSI data.
[0028]
Then, the gateway device 1 of this example compares and collates the user identification label in the MPLS frame format with the information of its own table 4 (any one of the tables shown in FIGS. 2A to 2C). It is determined whether the SCSI of the received packet can be sent to the storage to be accessed.
[0029]
Next, the operation of the gateway apparatus 1 of this example when a packet is carried from a client PC in the network configuration using the MPLS-VPN will be described with reference to FIG.
[0030]
When a packet is carried from the client PC by MPLS-VPN, the user identification label U is extracted from the packet (ST1). Next, the user identification label U is searched in its own table (any one of the tables shown in FIGS. 2A to 2C) 4 (ST2). And it is discriminate | determined whether the user identification label U exists in the table 4 (ST3).
[0031]
If the user identification label U is in the table 4 (ST3-Yes), the storage group is stored in the zone name Z (ST4). Subsequently, a SCSI command is extracted from the original packet (iSCSI data) (ST5). Thereafter, a SCSI command is transmitted to the storage (target) in the zone Z designated by iSCSI (ST6).
[0032]
On the other hand, if the user identification label U is not in the table 4 (ST3-No), the SCSI command is extracted from the original packet (iSCSI data) (ST7). Thereafter, the SCSI command is transmitted to the storage (target) designated by iSCSI without zone designation (ST8).
[0033]
Next, the gateway device 1 of this example using the VPN technology based on L2TP will be described.
[0034]
L2TP is a connection-type tunneling protocol for building a site-to-site (inter-LAN) connection VPN by tunneling a data link layer (PPP: Point to Point Protocol). In this L2TP, a procedure for tunneling a PPP session between an LAC (L2TP Access Concentrator) and an LNS (L2TP Network Sever) is defined.
[0035]
In the network configuration shown in FIG. 5, as shown in FIG. 6A, L2TP uses a format including an IP header, a UDP header, an L2TP header, a PPP (BCP) header, an IP header, a TCP header, and iSCSI data. . The iSCSI data in FIG. 6A has a format configuration as shown in FIG. The iSCSI command is a format of a command issued from the host (client PC) to the target (server or storage). This frame in the L2TP environment is exchanged as data on UDP.
[0036]
In L2TP, an L2TP tunnel (control connection) is established before starting user session data communication (PPP communication). When this L2TP tunnel is established, it is possible to authenticate the other party so that the unauthorized party issues a tunnel establishment request and does not establish the unauthorized tunnel.
[0037]
The establishment of a control connection in L2TP is an L2TP message: (1) SCRQ (Start-Control-Connection-Request, connection establishment request), (2) SCCCRP (Start-Control-Connection-Reply, connection establishment response), ( 3) SCCCN (Start-Control-Connection-Connected) is exchanged, that is, three-way handshake (three messages are exchanged to establish a control connection).
[0038]
Once the control connection is established, a user session can be placed on top of it. The user session is established by (1) ICRQ (Incoming-Call-Request), (2) ICRP (Incoming-Call-Reply), (3) ICCN (Incoming-Call-Connected). , Incoming call connection), and a three-way handshake.
[0039]
When the user session reaches an established state, PPP frames are exchanged over the tunnel.
[0040]
When a specific session is disconnected in the L2TP tunnel, a CDN (Call-Disconnect-Notify) including the call ID (call ID) of the session to be disconnected is transmitted to the other party. The CDN receiving side releases the resources used by the session with the specified call ID. Further, when canceling the tunnel itself, StopCCN (Stop-Control-Connection-Notification) including the tunnel ID to be canceled is transmitted to the end point of the tunnel.
[0041]
The gateway device 1 of this example has a table indicating correspondence between user names permitted to access and storage groups because user names are identified at the time of the first PPP connection by VPN using L2TP.
[0042]
Although not shown in the figure, the table is given by one of information of a fiber channel zone name consisting of a character string, an Infini-Band partition number consisting of a numerical example, and a VID consisting of a numerical string, as in MPLS-VPN. Each information corresponds to each user name.
[0043]
Then, the gateway device 1 of this example compares the user name identified at the time of iSCSI access from the client PC with the above-described table, and controls whether to permit access and send the iSCSI command to the target storage. is doing.
[0044]
More specifically, in the case of the network configuration of FIG. 5, the client PC makes a PPP connection to a LAC (L2TP Access Concentrator) via a dial line. The PPP session is encapsulated in an L2TP frame by the LAC and sent to the gateway device (LNS) 1. A logical L2TP tunnel session is established between the LAC and the LNS, and security is secured by encryption.
[0045]
When connecting a PPP session, the user name is sent from the PC by PAP (Password Authentication Protocol) / CHAP (Challenge Handshake Authentication Protocol) and reaches the gateway device 1.
[0046]
The gateway apparatus 1 searches the above-mentioned table for the user name received by the PPP session, and determines whether the user name is in the table. If the user name is in the table, the SCSI command is transmitted to the storage (target) in the zone designated by iSCSI. On the other hand, if the user name is not in the table, the SCSI command is transmitted to the storage (target) designated by iSCSI without zone designation.
[0047]
As described above, in the gateway apparatus of this example and the access method using the apparatus, when the VPN customer in the packet from the client PC matches the customer of the table, the access to the SAN storage group corresponding to the customer is performed. Allow access. As a result, the user is specified for the user access, and access is permitted only to the permitted storage group, so the security for the storage can be protected. Moreover, private addresses can be used as they are. Furthermore, when applied to a network configuration using MPLS-VPN, even if the private address is used as it is, it is possible to perform data access control without performing processing such as encryption / decryption and the like. Can do.
[0048]
【The invention's effect】
As is apparent from the above description, according to the present invention, there is a table associating VPN customers with SAN storage groups, and when the VPN customer in the packet from the client matches the table customer, Since access to the storage group of the SAN corresponding to the customer is permitted, sufficient security of access to the servers and storage in the SAN can be ensured when connecting the LAN / WAN and the SAN. Moreover, the private address can be used as it is. In a network configuration using MPLS-VPN, data access control can be performed without performing processing such as encryption / decryption even if the private address is used as it is.
[Brief description of the drawings]
FIG. 1 is a diagram showing an example of a network configuration using MPLS-VPN technology including a gateway device according to the present invention. FIG. 2 (a) to (d) A storage mapping table for comparison with a user identification label of a packet. FIG. 3 is a diagram showing an MPLS frame format. FIG. 4 is a flowchart showing MPLS-VPN processing procedures. FIG. 5 is an example of a network configuration using VPN technology based on L2TP including a gateway device of the present invention. [Fig. 6] (a), (b) Diagram showing L2TP frame format. [Fig. 7] Schematic diagram of data access in a network configuration in which LAN (WAN) and SAN are separated. [Fig. FIG. 9 is a schematic diagram showing a connection configuration between a LAN (WAN) and a SAN. Schematic diagram showing the connection configuration of N (WAN) and SAN [FIG. 10] Schematic diagram of the network configuration for connecting iSCSI access from LAN (WAN) and existing SAN [FIG. 11] SAN grouped by zoning Figure showing an example
DESCRIPTION OF SYMBOLS 1 ... Gateway apparatus, 2 ... IP network, 3 ... SAN, 4 ... Table, HD ... Hard disk (storage).

Claims

Connected to an IP network (2) constructed by a LAN or WAN via a VPN, and accesses data between the IP network and the SAN (3) to which a plurality of storages and servers are connected in groups. In the gateway device (1) to be controlled,
A table (4) for associating the VPN customer with the SAN storage group, and when the VPN customer in the packet from the IP network matches the customer of the table, the SAN A gateway device having a function of permitting access to a storage group.

The VPN consists of MPLS-VPN, and the SAN storage group associated with the VPN customer of the IP network in the table (4) is either a Fiber Channel zone name, Infini-Band partition number, or VID. The gateway apparatus according to claim 1, wherein the gateway apparatus is provided.

Connected to an IP network (2) constructed by a LAN or WAN via a VPN, and accesses data between the IP network and the SAN (3) to which a plurality of storages and servers are connected in groups. In the access method using the gateway device (1) to be controlled,
When the VPN customer in the packet from the IP network matches the customer in the table (4) associating the VPN customer of the IP network with the storage group of the SAN, to the storage group of the SAN corresponding to the customer An access method using a gateway device, characterized by permitting access to the network.

The VPN is composed of MPLS-VPN, and the SAN storage group associated with the VPN customer of the IP network in the table (4) is a fiber channel zone name, Infini-Band partition number, or VID. The access method using the gateway device according to claim 3, wherein: