セッション管理方法、通信システムおよび通信装置
【課題】IPSEC-VPNにおいて、クライアント端末側からの通信の発生がなくとも、SAを永続的に確立することができるセッション管理方法、これを実施する通信システムおよび通信装置を提供する。
【解決手段】VPNサーバ１０が、セッションタイムアウト時間を管理するセッションタイムアウト時間管理手段と、前記前記セッションタイムアウト時間を一定周期で監視する監視手段と、前記セッションタイムアウト時間と所定時間とに基づきセッションタイムアウト時間の通知の要否を判定する判定手段と、該判定手段の判定結果、通知要の場合に前記セッションタイムアウト時間を前記ネットワークを介して前記クライアント端末に通知する通知手段と、前記セッションタイムアウト時間通知先のクライアント端末から前記ネットワークを介して応答を受信する応答受信手段と、該応答受信後に前記セッションタイムアウト時間管理手段で管理されている当該セッションタイムアウト時間を初期値に更新する更新手段を有する。
【解決手段】VPNサーバ１０が、セッションタイムアウト時間を管理するセッションタイムアウト時間管理手段と、前記前記セッションタイムアウト時間を一定周期で監視する監視手段と、前記セッションタイムアウト時間と所定時間とに基づきセッションタイムアウト時間の通知の要否を判定する判定手段と、該判定手段の判定結果、通知要の場合に前記セッションタイムアウト時間を前記ネットワークを介して前記クライアント端末に通知する通知手段と、前記セッションタイムアウト時間通知先のクライアント端末から前記ネットワークを介して応答を受信する応答受信手段と、該応答受信後に前記セッションタイムアウト時間管理手段で管理されている当該セッションタイムアウト時間を初期値に更新する更新手段を有する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、IPsec-VPN（IP Security-Virtual Private Network）通信におけるセッション管理方法、これを実施する通信システムおよび通信装置に関する。
【背景技術】
【０００２】
IPsec-VPN通信を行うためには、通信相手との間でSA(Security Association)と呼ばれる論理的なセッションを確立する。SAは、VPN通信を行うクライアント端末毎に確立され、トラフィック情報(selector)と、暗号アルゴリズム、認証アルゴリズム等のトラフィックに適用するセキュリティ情報を含んでいる。したがって、SAを確立した後、VPNサーバは、SAの情報に基づいてVPN通信処理を行う。自動鍵管理プロトコルを使用した場合、対象パケットデータ受信を契機に自動的に通信相手とネゴシエーションを行って鍵を交換し、SAを確立する。
【０００３】
【非特許文献１】RFC2407、“The Internet IP Security Domain of Interpretation for ISAKMP、4.5 IPSEC Security Association Attributes”、発行年月日：1998年11月
【発明の開示】
【発明が解決しようとする課題】
【０００４】
上記従来技術によれば、SAの仕様として、有効期間を持つよう実装しなければならない。また、SAのセッションが確立された後、クライアント端末側からの通信が発生しないかぎり、自動的に鍵を交換し、SAを確立することはない。
【０００５】
一方で、VPNサーバ側から新規のメールや緊急のメッセージ等の情報をクライアント端末側に通知したい場合がある。しかしながら、上述のようにSAの有効期間が切れてしまうとSAが確立しないため、クライアント端末側からの通信が発生しない限り、VPNサーバ側からクライアント端末側に情報を送信したくとも送信できない。
【０００６】
本発明は、上記課題に鑑みてなされたもので、IPSEC-VPNにおいて、クライアント端末側からの通信の発生がなくとも、SAを永続的に確立することができるセッション管理方法、これを実施する通信システムおよび通信装置を提供することにある。
【課題を解決するための手段】
【０００７】
上記課題を解決するために、本発明を適用する通信システムは、複数のクライアント端末と、該クライアント端末とネットワークを介して接続され通信装置から構成される。
【０００８】
前記通信装置は、
セッションタイムアウト時間を管理するセッションタイムアウト時間管理手段と、前記前記セッションタイムアウト時間を一定周期で監視する監視手段と、前記セッションタイムアウト時間と所定時間とに基づきセッションタイムアウト時間の通知の要否を判定する判定手段と、該判定手段の判定結果、通知要の場合に前記セッションタイムアウト時間を前記ネットワークを介して前記クライアント端末に通知する通知手段と、前記セッションタイムアウト時間通知先のクライアント端末から前記ネットワークを介して応答を受信する応答受信手段と、該応答受信後に前記セッションタイムアウト時間管理手段で管理されている当該セッションタイムアウト時間を初期値に更新する更新手段を有することを特徴とする。
【０００９】
前記クライアント端末は、
前記通信装置から前記セッションタイムアウト時間を前記ネットワークを介して受信する受信手段と、該受信手段により受信した前記セッションタイムアウト時間待機した後に、前記通信装置に前記ネットワークを介して応答する応答手段を有することを特徴とする。
【発明の効果】
【００１０】
本発明によれば、IPSEC-VPNにおいて、クライアント端末側からの通信の発生がなくとも、SAを永続的に確立することができるセッション管理方法、これを実施する通信システムおよび通信装置を提供することができる。これにより、クライアント端末側からの通信の発生がなくともSAを永続的に確立することができるので、VPNサーバ側からリアルタイムにクライアント端末側に情報を送信することができる。
【発明を実施するための最良の形態】
【００１１】
以下、本発明の実施の形態について、図面を参照して詳細に説明する。
【００１２】
図１は、本発明を適用する通信システム1全体の構成を示す図である。図示するように通信システム１は、VPNサーバ（通信装置）１０と複数のクライアント端末１２−１、１２−２、・・・とが、ネットワーク１１、ネットワーク１３と接続されてなる構成である。ネットワーク１１は、通常（正常）時に使用されるネットワークであり、ネットワーク１３はネットワーク１１に障害が生じた時などに使用されるネットワークである。VPNサーバ１０は、VPNサーバ１０内の各クライアント端末１２のSAの有効期間（以下、セッションタイムアウト時間と称する）を一定周期で監視し、セッションタイムアウト時間が所定時間になると、そのクライアント端末に対してセッションタイムアウト時間を通知する機能を有する。またVPNサーバ１０は、セッションタイムアウト時間を通知したクライアント端末１２から応答を受信すると、セッションタイムアウト時間を初期値に更新する機能を有する。クライアント端末１２は、VPNサーバ１０からセッションタイムアウト時間の通知を受けると、その通知を受けたセッションタイムアウト時間待機後に、VPNサーバ１０に対して応答する機能を有する。
【００１３】
図２は、VPNサーバ１０のハードウェア構成例を示すブロック図である。図示するようにVPNサーバ１０は、プログラムを実行するCPU等の制御部１００と、プログラムやプログラムの実行時に必要な情報を記憶する記憶部１０１と、ネットワークインタフェース１０２、１０３と、を少なくとも具備する。ネットワークインタフェース１０２とネットワークインタフェース１０３は、それぞれネットワーク１１とネットワーク１３と接続されており、クライアント端末１２と情報の送受信を行う。記憶部１０１には、監視プログラム１０１１と、更新プログラム１０１２と、セッション管理テーブル１０１３と、を少なくとも具備する。監視プログラム１０１１は、セッション管理テーブル１０１３にて管理している各クライアント端末１２のセッションタイムアウト時間を一定周期で監視し、セッションタイムアウト時間が所定時間になると、そのクライアント端末に対してセッションタイム時間を通知する機能を有する。すなわち、セッションタイムアウト時間に達する前（SAの有効期間に達する前）に、当該クライアント端末にセッションタイムアウト時間を通知する。更新プログラム１０１２は、ＶＰＮサーバ１０がセッションタイムアウト時間を通知したクライアント端末１２から応答を受信すると、セッション管理テーブル１０１３に記憶されているセッションタイムアウト時間を初期値に更新する機能を有する。
【００１４】
図３は、セッション管理テーブル１０１３の構成例を示す図である。図示するようにセッション管理テーブル１０１３には、クライアント識別子（例えばホスト名）３００と、通信経路を示す情報（例えばインターネットアドレス（ＩＰアドレス））３０１と、セッションタイムアウト時間を示す情報３０２と、クライアント端末１２との通信方法を示す情報（例えばPING）３０３と、がそれぞれ対応付けられて記憶されている。
【００１５】
図４は、クライアント端末１２のハードウェア構成例を示すブロック図である。図示す
るようにクライアント端末１２は、プログラムを実行するCPU等の制御部４００と、情報
を入力するための入力部（キーボード、マウス等）４０１と、制御部４００による処理結
果を出力するための出力部（ディスプレイ等）４０２と、プログラムやプログラムの実行
時に必要な情報を記憶する記憶部４０３と、ネットワークインタフェース４０４、４０５
と、を少なくとも具備する。ネットワークインタフェース４０４と４０５は、それ
ぞれネットワーク１１とネットワーク１３と接続されており、VPNサーバ１０と
情報の送受信を行う。記憶部４０３には、応答プログラム１０３１と、返信方法
管理テーブル１０３２と、を少なくとも具備する。
【００１６】
図５は、セッション管理テーブル１０３２の構成例を示す図である。図示するように
セッション管理テーブル１０３２には、クライアント識別子５００と、返信経路を示す情
報（例えばIPアドレス）５０１と、当該クライアント端末１２からVPNサーバ１０への
返信方法を示す情報（例えばPING）５０２と、がそれぞれ対応付けられて記憶されてい
る。
【００１７】
図６、図７は、VPNサーバ１０における監視プログラム１０１１の処理を示すフローチ
ャートである。監視プログラム１０１１は、セッション管理テーブル１０１３にて管
理している各クライアント端末１２のセッションタイムアウト時間を一定周期で監視し
、セッションタイムアウト時間が所定時間になると、そのクライアント端末に対してセッ
ションタイム時間を通知する機能を有する。この監視プログラム１０１１は制御部１００
が実行するが、以下では監視プログラム１０１１を主体として各処理を説明する。
【００１８】
先ず、監視プログラム１０１１は、セッション管理テーブル１０１３を参照して各クラ
イアント端末のセッションタイムアウト時間３０２を取得し（ステップS６００）、その
セッションタイムアウト時間が所定時間以下かどうかを判定する（ステップ６０１）。判
定の結果、セッションタイムアウト時間が所定時間以下でなければ、監視プログラム１０
１１は、ステップ６００に戻る。ステップ６０１での判定の結果、セッションタイムアウ
ト時間が所定時間以下であれば、監視プログラム１０１１は、セッション管理テーブル１
０１３を参照して通信経路３０１、通信方法３０３を取得する（ステップ６０２）。次に
、監視プログラム１０１１は、取得した通信経路、返信方法により、セッションタイムア
ウト時間をネットワーク１１を介して当該クライアント端末１２に通知する（ステップ６
０３）。
【００１９】
次に、監視プログラム１０１１は、ネットワーク１１からの通信方法の戻り値に基づい
て、セッションタイムアウト時間の通知が成功したかどうかを判定する（ステップ６０４
）。例えば、通信方法がPINGの場合、そのPINGコマンドの戻り値が“０”の場合は
、セッションタイムアウト時間が通知先のクライアント端末１２に正常に到達した、すな
わち通知成功と判定し、PINGコメンドの戻り値が“０”以外の場合は、障害等により通
信異常が発生した、すなわち通知不成功と判定する。
【００２０】
ステップ６０４での判定の結果、通知成功の場合、監視プログラム１０１１は処理を終
了する。一方、ステップ６０４での判定の結果、通知不成功の場合、監視プログラム１０
１１は、当該クライアント端末１２に対して再度セッションタイムアウト時間の通知（リ
トライ）を行う（ステップ６０５）。
【００２１】
次に、監視プログラム１０１１は、ネットワーク１１からの通信方法の戻り値に基づい
て、セッションタイムアウト時間の通知が成功したかどうかを判定する（ステップ６０６
）。判定の結果、通知成功の場合、監視プログラム１０１１は処理を終了する。一方、ス
テップ６０６での判定の結果、通知不成功の場合、監視プログラム１０１１は、リトライ
回数を１カウントし、そのリトライ回数が規定値に達したかどうかを判定する（ステップ
６０７）。判定の結果、リトライ回数が規定値に達していなければ、監視プログラム１０
１１はセッション管理プログラム１０１３の通信経路３０１を参照し、他の通信経路の有
無を判定する（ステップ６０８）。判定の結果、他の通信経路がなければ、監視プログラ
ム１０１１は処理を終了する。一方、ステップ６０８での判定の結果、他の通信経路があ
れば、監視プログラム１０１１は、その通信経路を用いて該当クライアント端末１２にネ
ットワーク１１を介してセッションタイムアウト時間を通知する（ステップ６０９）。次
に、監視プログラムは、その通知が成功したかどうかを判定する（ステップ６１０）。判
定の結果、通知成功の場合、監視プログラムは処理を終了する。一方、ステップ６１０で
の判定の結果、通知不成功の場合、ステップ６０５に戻る。
【００２２】
尚、図示していないが、VPNサーバ１０において、制御部１００は、タイムアウト残
り時間通知の送信日時、送信先のクライアント端末の情報（ホスト名）、ＩＰアドレス、
送信データ等の稼動履歴の情報や、通信異常が発生した日時、エラーメッセージ等の情報
をログ情報として記憶部１０１に格納する。
【００２３】
また、更新プログラム１０１２は、セッションタイムアウト時間通知先のクライアント
端末１２から応答を受信すると、セッション管理テーブル１０１３にて管理しているセッ
ションタイムアウト時間３０２を初期値に更新する。
【００２４】
図８、図９、図１０は、各クライアント端末１２における応答プログラム１０３１の処
理を示すフローチャートである。先ず、応答プログラム１０３１は、VPNサーバ１０から
ネットワーク１１を介してセッションタイムアウト時間を受信すると（ステップ８００）
、返信方法管理テーブル１０３２を参照して通信経路５０１、返信方法５０２を取得する
（ステップ８０１）。次に、応答プログラム１０３１は、VPNサーバ１０にネットワーク
１１を介して応答を返す（ステップ８０２）。次に、応答プログラム１０３１は、返信方
法の戻り値に基づいて応答が成功したかどうかを判定する（ステップ８０３）。応答成否
の判定は、上述したセッションタイムアウト通知の成否の判定と同様である。判定の結果
、応答成功の場合、応答プログラム１０３１は処理を終了する。一方、ステップ８０３で
の判定の結果、応答不成功の場合、再度VPNサーバ１０に対して応答（リトライ）を返す
（ステップ８０４）。次に、応答プログラム１０３１は、返信方法の戻り値に基づいて応
答が成功したかどうかを判定する（ステップ８０５）。判定の結果、応答成功の場合、応
答プログラム１０３１は、リトライ回数を１カウントし、そのリトライ回数が規定値に達
したかどうかを判定する（ステップ８０６）。判定の結果、リトライ回数が規定値に達し
ていなければ、応答プログラム１０３１は、ステップ８０４に戻る。一方、ステップ８０
６での判定の結果、リトライ回数が規定値に達していれば、応答プログラム１０３１は、
返信方法管理テーブル１０３２の返信経路５０２を参照して他の通信経路の有無を判定す
る（ステップ８０７）。判定の結果、他の通信経路があれば、応答プログラム１０３２は
、その通信経路を用いてVPNサーバ１０にネットワーク１１を介して応答を返す（ステッ
プ８０８）。一方、ステップ８０７での判定の結果、他の通信経路がなければ、応答プロ
グラム１０３１は、例えば、図１１に示すような警告メッセージ画面を出力部４０２に表
示させる（ステップ１０００）。この警告メッセージ画面では、クライアントが入力部４
０１により“返信”を指示する操作を行うことにより、VPNサーバ１０からクライアント
端末１２へのリトライを指示できる。ステップ１０００の処理の後、応答プログラム１０
３１は、返信を示す情報を受信すると、ステップ８０４に戻る。一方、ステップ１００１
において、クライアントが入力部４０１により“閉じる”または“×”を指示する操作を
行うと、応答プログラム１０３１は処理を終了する。
【００２５】
ステップ８０８の処理の後、応答プログラム１０３１は返信方法の戻り値に基づいて、応答が成功したかどうかを判定する（ステップ８０９）。判定の結果、応答成功の場合、応答プログラム１０３１は処理を終了する。一方、ステップ８０９での判定の結果、応答不成功の場合、応答プログラム１０３１は、ステップ８０４に戻る。
【００２６】
尚、図示していないが、各クライアント端末１２において、制御部４００は、セッショ
ンタイムアウト時間通知の受信日時、受信データ等の稼動履歴の情報や、応答成否の情報
等を記憶部４０３に記録する。
【００２７】
以上、本発明による実施形態を説明した。
【００２８】
上記実施形態によれば、IPSEC-VPNにおいて、クライアント端末側からの通信の発生がなくともSAを永続的に確立することができるセッション管理方法、これを実施する通信システムおよび通信装置を提供することができる。これにより、クライアント端末側からの通信が発生しなくとも、SAを永続的に確立することができるので、VPNサーバ側からリアルタイムにクライアント端末側に情報を送信することができる。
【図面の簡単な説明】
【００２９】
【図１】本発明を適用する通信システム１全体の構成例を示す図である。
【図２】VPNサーバ１０のハードウェア構成例を示すブロック図である。
【図３】セッション管理テーブル１０１３の構成例を示す図である。
【図４】クライアント端末１２の構成例を示すブロック図である。
【図５】返信方法管理テーブル１０３２の構成例を示す図である。
【図６】VPNサーバ１０における監視プログラム１０１１の処理を示すフローチャートである。
【図７】同じく、VPNサーバ１０における監視プログラム１０１１の処理を示すフローチャートである。
【図８】クライアント端末１２における応答プログラム１０３１の処理を示すフローチャートである。
【図９】同じく、クライアント端末１２における応答プログラム１０３１の処理を示すフローチャートである。
【図１０】同じく、クライアント端末１２における応答プログラム１０３１の処理を示すフローチャートである。
【図１１】クライアント端末１２の出力部４０２に出力される警告メッセージ画面例を示す図である。
【符号の説明】
【００３０】
１０・・・VPNサーバ、１１・・・ネットワーク、１２・・・クライアント端末、１３・・・ネットワーク、１００・・・制御部、１０１・・・記憶部、１０２・・・ネットワークインタフェース、１０３・・・ネットワークインタフェース、１０１１・・・監視プログラム、１０１２・・・更新プログラム、１０１３・・・セッション管理テーブル、４００・・・制御部、４０１・・・入力部、４０２・・・出力部、４０３・・・記憶部、４０４・・・ネットワークインタフェース、４０５・・・ネットワークインタフェース、１０３１・・・応答プログラム、１０３２・・・返信方法管理テーブル。
【技術分野】
【０００１】
本発明は、IPsec-VPN（IP Security-Virtual Private Network）通信におけるセッション管理方法、これを実施する通信システムおよび通信装置に関する。
【背景技術】
【０００２】
IPsec-VPN通信を行うためには、通信相手との間でSA(Security Association)と呼ばれる論理的なセッションを確立する。SAは、VPN通信を行うクライアント端末毎に確立され、トラフィック情報(selector)と、暗号アルゴリズム、認証アルゴリズム等のトラフィックに適用するセキュリティ情報を含んでいる。したがって、SAを確立した後、VPNサーバは、SAの情報に基づいてVPN通信処理を行う。自動鍵管理プロトコルを使用した場合、対象パケットデータ受信を契機に自動的に通信相手とネゴシエーションを行って鍵を交換し、SAを確立する。
【０００３】
【非特許文献１】RFC2407、“The Internet IP Security Domain of Interpretation for ISAKMP、4.5 IPSEC Security Association Attributes”、発行年月日：1998年11月
【発明の開示】
【発明が解決しようとする課題】
【０００４】
上記従来技術によれば、SAの仕様として、有効期間を持つよう実装しなければならない。また、SAのセッションが確立された後、クライアント端末側からの通信が発生しないかぎり、自動的に鍵を交換し、SAを確立することはない。
【０００５】
一方で、VPNサーバ側から新規のメールや緊急のメッセージ等の情報をクライアント端末側に通知したい場合がある。しかしながら、上述のようにSAの有効期間が切れてしまうとSAが確立しないため、クライアント端末側からの通信が発生しない限り、VPNサーバ側からクライアント端末側に情報を送信したくとも送信できない。
【０００６】
本発明は、上記課題に鑑みてなされたもので、IPSEC-VPNにおいて、クライアント端末側からの通信の発生がなくとも、SAを永続的に確立することができるセッション管理方法、これを実施する通信システムおよび通信装置を提供することにある。
【課題を解決するための手段】
【０００７】
上記課題を解決するために、本発明を適用する通信システムは、複数のクライアント端末と、該クライアント端末とネットワークを介して接続され通信装置から構成される。
【０００８】
前記通信装置は、
セッションタイムアウト時間を管理するセッションタイムアウト時間管理手段と、前記前記セッションタイムアウト時間を一定周期で監視する監視手段と、前記セッションタイムアウト時間と所定時間とに基づきセッションタイムアウト時間の通知の要否を判定する判定手段と、該判定手段の判定結果、通知要の場合に前記セッションタイムアウト時間を前記ネットワークを介して前記クライアント端末に通知する通知手段と、前記セッションタイムアウト時間通知先のクライアント端末から前記ネットワークを介して応答を受信する応答受信手段と、該応答受信後に前記セッションタイムアウト時間管理手段で管理されている当該セッションタイムアウト時間を初期値に更新する更新手段を有することを特徴とする。
【０００９】
前記クライアント端末は、
前記通信装置から前記セッションタイムアウト時間を前記ネットワークを介して受信する受信手段と、該受信手段により受信した前記セッションタイムアウト時間待機した後に、前記通信装置に前記ネットワークを介して応答する応答手段を有することを特徴とする。
【発明の効果】
【００１０】
本発明によれば、IPSEC-VPNにおいて、クライアント端末側からの通信の発生がなくとも、SAを永続的に確立することができるセッション管理方法、これを実施する通信システムおよび通信装置を提供することができる。これにより、クライアント端末側からの通信の発生がなくともSAを永続的に確立することができるので、VPNサーバ側からリアルタイムにクライアント端末側に情報を送信することができる。
【発明を実施するための最良の形態】
【００１１】
以下、本発明の実施の形態について、図面を参照して詳細に説明する。
【００１２】
図１は、本発明を適用する通信システム1全体の構成を示す図である。図示するように通信システム１は、VPNサーバ（通信装置）１０と複数のクライアント端末１２−１、１２−２、・・・とが、ネットワーク１１、ネットワーク１３と接続されてなる構成である。ネットワーク１１は、通常（正常）時に使用されるネットワークであり、ネットワーク１３はネットワーク１１に障害が生じた時などに使用されるネットワークである。VPNサーバ１０は、VPNサーバ１０内の各クライアント端末１２のSAの有効期間（以下、セッションタイムアウト時間と称する）を一定周期で監視し、セッションタイムアウト時間が所定時間になると、そのクライアント端末に対してセッションタイムアウト時間を通知する機能を有する。またVPNサーバ１０は、セッションタイムアウト時間を通知したクライアント端末１２から応答を受信すると、セッションタイムアウト時間を初期値に更新する機能を有する。クライアント端末１２は、VPNサーバ１０からセッションタイムアウト時間の通知を受けると、その通知を受けたセッションタイムアウト時間待機後に、VPNサーバ１０に対して応答する機能を有する。
【００１３】
図２は、VPNサーバ１０のハードウェア構成例を示すブロック図である。図示するようにVPNサーバ１０は、プログラムを実行するCPU等の制御部１００と、プログラムやプログラムの実行時に必要な情報を記憶する記憶部１０１と、ネットワークインタフェース１０２、１０３と、を少なくとも具備する。ネットワークインタフェース１０２とネットワークインタフェース１０３は、それぞれネットワーク１１とネットワーク１３と接続されており、クライアント端末１２と情報の送受信を行う。記憶部１０１には、監視プログラム１０１１と、更新プログラム１０１２と、セッション管理テーブル１０１３と、を少なくとも具備する。監視プログラム１０１１は、セッション管理テーブル１０１３にて管理している各クライアント端末１２のセッションタイムアウト時間を一定周期で監視し、セッションタイムアウト時間が所定時間になると、そのクライアント端末に対してセッションタイム時間を通知する機能を有する。すなわち、セッションタイムアウト時間に達する前（SAの有効期間に達する前）に、当該クライアント端末にセッションタイムアウト時間を通知する。更新プログラム１０１２は、ＶＰＮサーバ１０がセッションタイムアウト時間を通知したクライアント端末１２から応答を受信すると、セッション管理テーブル１０１３に記憶されているセッションタイムアウト時間を初期値に更新する機能を有する。
【００１４】
図３は、セッション管理テーブル１０１３の構成例を示す図である。図示するようにセッション管理テーブル１０１３には、クライアント識別子（例えばホスト名）３００と、通信経路を示す情報（例えばインターネットアドレス（ＩＰアドレス））３０１と、セッションタイムアウト時間を示す情報３０２と、クライアント端末１２との通信方法を示す情報（例えばPING）３０３と、がそれぞれ対応付けられて記憶されている。
【００１５】
図４は、クライアント端末１２のハードウェア構成例を示すブロック図である。図示す
るようにクライアント端末１２は、プログラムを実行するCPU等の制御部４００と、情報
を入力するための入力部（キーボード、マウス等）４０１と、制御部４００による処理結
果を出力するための出力部（ディスプレイ等）４０２と、プログラムやプログラムの実行
時に必要な情報を記憶する記憶部４０３と、ネットワークインタフェース４０４、４０５
と、を少なくとも具備する。ネットワークインタフェース４０４と４０５は、それ
ぞれネットワーク１１とネットワーク１３と接続されており、VPNサーバ１０と
情報の送受信を行う。記憶部４０３には、応答プログラム１０３１と、返信方法
管理テーブル１０３２と、を少なくとも具備する。
【００１６】
図５は、セッション管理テーブル１０３２の構成例を示す図である。図示するように
セッション管理テーブル１０３２には、クライアント識別子５００と、返信経路を示す情
報（例えばIPアドレス）５０１と、当該クライアント端末１２からVPNサーバ１０への
返信方法を示す情報（例えばPING）５０２と、がそれぞれ対応付けられて記憶されてい
る。
【００１７】
図６、図７は、VPNサーバ１０における監視プログラム１０１１の処理を示すフローチ
ャートである。監視プログラム１０１１は、セッション管理テーブル１０１３にて管
理している各クライアント端末１２のセッションタイムアウト時間を一定周期で監視し
、セッションタイムアウト時間が所定時間になると、そのクライアント端末に対してセッ
ションタイム時間を通知する機能を有する。この監視プログラム１０１１は制御部１００
が実行するが、以下では監視プログラム１０１１を主体として各処理を説明する。
【００１８】
先ず、監視プログラム１０１１は、セッション管理テーブル１０１３を参照して各クラ
イアント端末のセッションタイムアウト時間３０２を取得し（ステップS６００）、その
セッションタイムアウト時間が所定時間以下かどうかを判定する（ステップ６０１）。判
定の結果、セッションタイムアウト時間が所定時間以下でなければ、監視プログラム１０
１１は、ステップ６００に戻る。ステップ６０１での判定の結果、セッションタイムアウ
ト時間が所定時間以下であれば、監視プログラム１０１１は、セッション管理テーブル１
０１３を参照して通信経路３０１、通信方法３０３を取得する（ステップ６０２）。次に
、監視プログラム１０１１は、取得した通信経路、返信方法により、セッションタイムア
ウト時間をネットワーク１１を介して当該クライアント端末１２に通知する（ステップ６
０３）。
【００１９】
次に、監視プログラム１０１１は、ネットワーク１１からの通信方法の戻り値に基づい
て、セッションタイムアウト時間の通知が成功したかどうかを判定する（ステップ６０４
）。例えば、通信方法がPINGの場合、そのPINGコマンドの戻り値が“０”の場合は
、セッションタイムアウト時間が通知先のクライアント端末１２に正常に到達した、すな
わち通知成功と判定し、PINGコメンドの戻り値が“０”以外の場合は、障害等により通
信異常が発生した、すなわち通知不成功と判定する。
【００２０】
ステップ６０４での判定の結果、通知成功の場合、監視プログラム１０１１は処理を終
了する。一方、ステップ６０４での判定の結果、通知不成功の場合、監視プログラム１０
１１は、当該クライアント端末１２に対して再度セッションタイムアウト時間の通知（リ
トライ）を行う（ステップ６０５）。
【００２１】
次に、監視プログラム１０１１は、ネットワーク１１からの通信方法の戻り値に基づい
て、セッションタイムアウト時間の通知が成功したかどうかを判定する（ステップ６０６
）。判定の結果、通知成功の場合、監視プログラム１０１１は処理を終了する。一方、ス
テップ６０６での判定の結果、通知不成功の場合、監視プログラム１０１１は、リトライ
回数を１カウントし、そのリトライ回数が規定値に達したかどうかを判定する（ステップ
６０７）。判定の結果、リトライ回数が規定値に達していなければ、監視プログラム１０
１１はセッション管理プログラム１０１３の通信経路３０１を参照し、他の通信経路の有
無を判定する（ステップ６０８）。判定の結果、他の通信経路がなければ、監視プログラ
ム１０１１は処理を終了する。一方、ステップ６０８での判定の結果、他の通信経路があ
れば、監視プログラム１０１１は、その通信経路を用いて該当クライアント端末１２にネ
ットワーク１１を介してセッションタイムアウト時間を通知する（ステップ６０９）。次
に、監視プログラムは、その通知が成功したかどうかを判定する（ステップ６１０）。判
定の結果、通知成功の場合、監視プログラムは処理を終了する。一方、ステップ６１０で
の判定の結果、通知不成功の場合、ステップ６０５に戻る。
【００２２】
尚、図示していないが、VPNサーバ１０において、制御部１００は、タイムアウト残
り時間通知の送信日時、送信先のクライアント端末の情報（ホスト名）、ＩＰアドレス、
送信データ等の稼動履歴の情報や、通信異常が発生した日時、エラーメッセージ等の情報
をログ情報として記憶部１０１に格納する。
【００２３】
また、更新プログラム１０１２は、セッションタイムアウト時間通知先のクライアント
端末１２から応答を受信すると、セッション管理テーブル１０１３にて管理しているセッ
ションタイムアウト時間３０２を初期値に更新する。
【００２４】
図８、図９、図１０は、各クライアント端末１２における応答プログラム１０３１の処
理を示すフローチャートである。先ず、応答プログラム１０３１は、VPNサーバ１０から
ネットワーク１１を介してセッションタイムアウト時間を受信すると（ステップ８００）
、返信方法管理テーブル１０３２を参照して通信経路５０１、返信方法５０２を取得する
（ステップ８０１）。次に、応答プログラム１０３１は、VPNサーバ１０にネットワーク
１１を介して応答を返す（ステップ８０２）。次に、応答プログラム１０３１は、返信方
法の戻り値に基づいて応答が成功したかどうかを判定する（ステップ８０３）。応答成否
の判定は、上述したセッションタイムアウト通知の成否の判定と同様である。判定の結果
、応答成功の場合、応答プログラム１０３１は処理を終了する。一方、ステップ８０３で
の判定の結果、応答不成功の場合、再度VPNサーバ１０に対して応答（リトライ）を返す
（ステップ８０４）。次に、応答プログラム１０３１は、返信方法の戻り値に基づいて応
答が成功したかどうかを判定する（ステップ８０５）。判定の結果、応答成功の場合、応
答プログラム１０３１は、リトライ回数を１カウントし、そのリトライ回数が規定値に達
したかどうかを判定する（ステップ８０６）。判定の結果、リトライ回数が規定値に達し
ていなければ、応答プログラム１０３１は、ステップ８０４に戻る。一方、ステップ８０
６での判定の結果、リトライ回数が規定値に達していれば、応答プログラム１０３１は、
返信方法管理テーブル１０３２の返信経路５０２を参照して他の通信経路の有無を判定す
る（ステップ８０７）。判定の結果、他の通信経路があれば、応答プログラム１０３２は
、その通信経路を用いてVPNサーバ１０にネットワーク１１を介して応答を返す（ステッ
プ８０８）。一方、ステップ８０７での判定の結果、他の通信経路がなければ、応答プロ
グラム１０３１は、例えば、図１１に示すような警告メッセージ画面を出力部４０２に表
示させる（ステップ１０００）。この警告メッセージ画面では、クライアントが入力部４
０１により“返信”を指示する操作を行うことにより、VPNサーバ１０からクライアント
端末１２へのリトライを指示できる。ステップ１０００の処理の後、応答プログラム１０
３１は、返信を示す情報を受信すると、ステップ８０４に戻る。一方、ステップ１００１
において、クライアントが入力部４０１により“閉じる”または“×”を指示する操作を
行うと、応答プログラム１０３１は処理を終了する。
【００２５】
ステップ８０８の処理の後、応答プログラム１０３１は返信方法の戻り値に基づいて、応答が成功したかどうかを判定する（ステップ８０９）。判定の結果、応答成功の場合、応答プログラム１０３１は処理を終了する。一方、ステップ８０９での判定の結果、応答不成功の場合、応答プログラム１０３１は、ステップ８０４に戻る。
【００２６】
尚、図示していないが、各クライアント端末１２において、制御部４００は、セッショ
ンタイムアウト時間通知の受信日時、受信データ等の稼動履歴の情報や、応答成否の情報
等を記憶部４０３に記録する。
【００２７】
以上、本発明による実施形態を説明した。
【００２８】
上記実施形態によれば、IPSEC-VPNにおいて、クライアント端末側からの通信の発生がなくともSAを永続的に確立することができるセッション管理方法、これを実施する通信システムおよび通信装置を提供することができる。これにより、クライアント端末側からの通信が発生しなくとも、SAを永続的に確立することができるので、VPNサーバ側からリアルタイムにクライアント端末側に情報を送信することができる。
【図面の簡単な説明】
【００２９】
【図１】本発明を適用する通信システム１全体の構成例を示す図である。
【図２】VPNサーバ１０のハードウェア構成例を示すブロック図である。
【図３】セッション管理テーブル１０１３の構成例を示す図である。
【図４】クライアント端末１２の構成例を示すブロック図である。
【図５】返信方法管理テーブル１０３２の構成例を示す図である。
【図６】VPNサーバ１０における監視プログラム１０１１の処理を示すフローチャートである。
【図７】同じく、VPNサーバ１０における監視プログラム１０１１の処理を示すフローチャートである。
【図８】クライアント端末１２における応答プログラム１０３１の処理を示すフローチャートである。
【図９】同じく、クライアント端末１２における応答プログラム１０３１の処理を示すフローチャートである。
【図１０】同じく、クライアント端末１２における応答プログラム１０３１の処理を示すフローチャートである。
【図１１】クライアント端末１２の出力部４０２に出力される警告メッセージ画面例を示す図である。
【符号の説明】
【００３０】
１０・・・VPNサーバ、１１・・・ネットワーク、１２・・・クライアント端末、１３・・・ネットワーク、１００・・・制御部、１０１・・・記憶部、１０２・・・ネットワークインタフェース、１０３・・・ネットワークインタフェース、１０１１・・・監視プログラム、１０１２・・・更新プログラム、１０１３・・・セッション管理テーブル、４００・・・制御部、４０１・・・入力部、４０２・・・出力部、４０３・・・記憶部、４０４・・・ネットワークインタフェース、４０５・・・ネットワークインタフェース、１０３１・・・応答プログラム、１０３２・・・返信方法管理テーブル。
【特許請求の範囲】
【請求項１】
複数のクライアント端末と、該クライアント端末とネットワークを介して接続された通信装置からなる通信システムにおけるセッション管理方法であって、
前記通信装置は、
記憶手段に記憶されているセッションタイムアウト時間を一定周期で監視する処理と、前記セッションタイムアウト時間と所定時間とに基づきセッションタイムアウト時間の通知の要否を判定する処理と、該判定結果が通知要の場合に、前記セッションタイムアウト時間を前記ネットワークを介して前記クライアント端末に通知する処理と、前記セッションタイムアウト時間通知先のクライアント端末から前記ネットワークを介して応答を受信する処理と、該応答受信後に前記記憶手段に記憶されている当該セッションタイムアウト時間を初期値に更新する処理を実行し、
前記クライアント端末は、
前記通信装置から前記セッションタイムアウト時間を前記ネットワークを介して受信する処理と、該受信したセッションタイムアウト時間待機した後に、前記通信装置に前記ネットワークを介して応答する処理を実行する
ことを特徴とするセッション管理方法。
【請求項２】
前記通信装置において、
前記セッションタイムアウト時間が前記所定時間以下の場合に、前記セッションタイムアウト時間を前記ネットワークを介して前記クライアント端末に通知する処理を実行することを特徴とする請求項１に記載のセッション管理方法。
【請求項３】
前記通信装置は、前記セッションタイムアウト時間を前記ネットワークを介して前記クライアント端末に通知した後に、前記セッションタイムアウト時間の前記クライアント端末への通知の成否を判定する処理をさらに実行し、
前記クライアント端末は、前記応答後に前記応答の前記通信装置への送信の成否を判定する処理をさらに実行する
ことを特徴とする請求項１または請求項２に記載のセッション管理方法。
【請求項４】
複数のクライアント端末と、該クライアント端末とネットワークを介して接続され通信装置からなる通信システムであって、
前記通信装置は、
セッションタイムアウト時間を管理するセッションタイムアウト時間管理手段と、前記前記セッションタイムアウト時間を一定周期で監視する監視手段と、前記セッションタイムアウト時間と所定時間とに基づきセッションタイムアウト時間の通知の要否を判定する判定手段と、該判定手段の判定結果、通知要の場合に前記セッションタイムアウト時間を前記ネットワークを介して前記クライアント端末に通知する通知手段と、前記セッションタイムアウト時間通知先のクライアント端末から前記ネットワークを介して応答を受信する応答受信手段と、該応答受信後に前記セッションタイムアウト時間管理手段で管理されている当該セッションタイムアウト時間を初期値に更新する更新手段を有し、
前記クライアント端末は、
前記通信装置から前記セッションタイムアウト時間を前記ネットワークを介して受信する受信手段と、該受信手段により受信した前記セッションタイムアウト時間待機した後に、前記通信装置に前記ネットワークを介して応答する応答手段を有する
ことを特徴とする通信システム。
【請求項５】
前記通信装置において、
前記通知手段は、前記判定手段による判定の結果、前記セッションタイムアウト時間が前記所定時間以下の場合に、前記セッションタイムアウト時間を前記ネットワークを介して前記クライアント端末に通知する
ことを特徴とする請求項４に記載の通信システム。
【請求項６】
前記通信装置は、前記セッションタイムアウト時間の前記クライアント端末への通知の成否を判定する手段をさらに有し、
前記クライアント端末は、前記応答の前記通信装置への送信の成否を判定する手段をさらに有する
ことを特徴とする請求項４または請求項５に記載の通信システム。
【請求項７】
複数のクライアント端末とネットワークを介して接続された通信装置であって、
セッションタイムアウト時間を管理するセッションタイムアウト時間管理手段と、
前記前記セッションタイムアウト時間を一定周期で監視する監視手段と、
前記セッションタイムアウト時間と所定時間とに基づきセッションタイムアウト時間の通知の要否を判定する判定手段と、
前記判定手段の判定結果、通知要の場合に前記セッションタイムアウト時間を前記ネットワークを介して前記クライアント端末に通知する通知手段と、
前記セッションタイムアウト時間通知先のクライアント端末から前記ネットワークを介して応答を受信する応答受信手段と、
前記応答受信後に前記セッションタイムアウト時間管理手段で管理されている当該セッションタイムアウト時間を初期値に更新する更新手段を有する
ことを特徴とする通信装置。
【請求項８】
前記通知手段は、前記判定手段による判定の結果、前記セッションタイムアウト時間が前記所定時間以下の場合に、前記セッションタイムアウト時間を前記ネットワークを介して前記クライアント端末に通知することを特徴とする請求項７に記載の通信装置。
【請求項９】
前記セッションタイムアウト時間の前記クライアント端末への通知の成否を判定する手段をさらに有することを特徴とする請求項７または請求項８に記載の通信装置。
【請求項１】
複数のクライアント端末と、該クライアント端末とネットワークを介して接続された通信装置からなる通信システムにおけるセッション管理方法であって、
前記通信装置は、
記憶手段に記憶されているセッションタイムアウト時間を一定周期で監視する処理と、前記セッションタイムアウト時間と所定時間とに基づきセッションタイムアウト時間の通知の要否を判定する処理と、該判定結果が通知要の場合に、前記セッションタイムアウト時間を前記ネットワークを介して前記クライアント端末に通知する処理と、前記セッションタイムアウト時間通知先のクライアント端末から前記ネットワークを介して応答を受信する処理と、該応答受信後に前記記憶手段に記憶されている当該セッションタイムアウト時間を初期値に更新する処理を実行し、
前記クライアント端末は、
前記通信装置から前記セッションタイムアウト時間を前記ネットワークを介して受信する処理と、該受信したセッションタイムアウト時間待機した後に、前記通信装置に前記ネットワークを介して応答する処理を実行する
ことを特徴とするセッション管理方法。
【請求項２】
前記通信装置において、
前記セッションタイムアウト時間が前記所定時間以下の場合に、前記セッションタイムアウト時間を前記ネットワークを介して前記クライアント端末に通知する処理を実行することを特徴とする請求項１に記載のセッション管理方法。
【請求項３】
前記通信装置は、前記セッションタイムアウト時間を前記ネットワークを介して前記クライアント端末に通知した後に、前記セッションタイムアウト時間の前記クライアント端末への通知の成否を判定する処理をさらに実行し、
前記クライアント端末は、前記応答後に前記応答の前記通信装置への送信の成否を判定する処理をさらに実行する
ことを特徴とする請求項１または請求項２に記載のセッション管理方法。
【請求項４】
複数のクライアント端末と、該クライアント端末とネットワークを介して接続され通信装置からなる通信システムであって、
前記通信装置は、
セッションタイムアウト時間を管理するセッションタイムアウト時間管理手段と、前記前記セッションタイムアウト時間を一定周期で監視する監視手段と、前記セッションタイムアウト時間と所定時間とに基づきセッションタイムアウト時間の通知の要否を判定する判定手段と、該判定手段の判定結果、通知要の場合に前記セッションタイムアウト時間を前記ネットワークを介して前記クライアント端末に通知する通知手段と、前記セッションタイムアウト時間通知先のクライアント端末から前記ネットワークを介して応答を受信する応答受信手段と、該応答受信後に前記セッションタイムアウト時間管理手段で管理されている当該セッションタイムアウト時間を初期値に更新する更新手段を有し、
前記クライアント端末は、
前記通信装置から前記セッションタイムアウト時間を前記ネットワークを介して受信する受信手段と、該受信手段により受信した前記セッションタイムアウト時間待機した後に、前記通信装置に前記ネットワークを介して応答する応答手段を有する
ことを特徴とする通信システム。
【請求項５】
前記通信装置において、
前記通知手段は、前記判定手段による判定の結果、前記セッションタイムアウト時間が前記所定時間以下の場合に、前記セッションタイムアウト時間を前記ネットワークを介して前記クライアント端末に通知する
ことを特徴とする請求項４に記載の通信システム。
【請求項６】
前記通信装置は、前記セッションタイムアウト時間の前記クライアント端末への通知の成否を判定する手段をさらに有し、
前記クライアント端末は、前記応答の前記通信装置への送信の成否を判定する手段をさらに有する
ことを特徴とする請求項４または請求項５に記載の通信システム。
【請求項７】
複数のクライアント端末とネットワークを介して接続された通信装置であって、
セッションタイムアウト時間を管理するセッションタイムアウト時間管理手段と、
前記前記セッションタイムアウト時間を一定周期で監視する監視手段と、
前記セッションタイムアウト時間と所定時間とに基づきセッションタイムアウト時間の通知の要否を判定する判定手段と、
前記判定手段の判定結果、通知要の場合に前記セッションタイムアウト時間を前記ネットワークを介して前記クライアント端末に通知する通知手段と、
前記セッションタイムアウト時間通知先のクライアント端末から前記ネットワークを介して応答を受信する応答受信手段と、
前記応答受信後に前記セッションタイムアウト時間管理手段で管理されている当該セッションタイムアウト時間を初期値に更新する更新手段を有する
ことを特徴とする通信装置。
【請求項８】
前記通知手段は、前記判定手段による判定の結果、前記セッションタイムアウト時間が前記所定時間以下の場合に、前記セッションタイムアウト時間を前記ネットワークを介して前記クライアント端末に通知することを特徴とする請求項７に記載の通信装置。
【請求項９】
前記セッションタイムアウト時間の前記クライアント端末への通知の成否を判定する手段をさらに有することを特徴とする請求項７または請求項８に記載の通信装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【公開番号】特開２００９−９８９８５（Ｐ２００９−９８９８５Ａ）
【公開日】平成２１年５月７日（２００９．５．７）
【国際特許分類】
【出願番号】特願２００７−２７０８１７（Ｐ２００７−２７０８１７）
【出願日】平成１９年１０月１８日（２００７．１０．１８）
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
【公開日】平成２１年５月７日（２００９．５．７）
【国際特許分類】
【出願日】平成１９年１０月１８日（２００７．１０．１８）
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
[ Back to top ]