リモートアクセスシステム、方法及びプログラム
【課題】セキュリティを確保しつつ、アクセス端末の収容数が増加しても性能が低下することのないリモートアクセスシステムを提供すること。
【解決手段】リモートアクセスシステムは、リモート端末３０と、リモート端末３０からの接続を収容するアクセスサーバ４０と、リモート端末３０とアクセスサーバ４０とを論理的に接続する第１及び第２の論理回線５１、５２とを備える。リモート端末３０は、フローを分類するフロー検索処理部３１を備える。アクセスサーバ４０は、フローの通過の可否を判定する通過判定処理部４２と、フローを分類するフロー検索処理部４１とを備える。第１の論理回線５１は、アクセスサーバ４０による通過の可否の判定を要するフローに含まれるパケットの転送に用いられる。第２の論理回線５２は、アクセスサーバ４０によって通過の許可がされたフローに含まれるパケットの転送に用いられる。
【解決手段】リモートアクセスシステムは、リモート端末３０と、リモート端末３０からの接続を収容するアクセスサーバ４０と、リモート端末３０とアクセスサーバ４０とを論理的に接続する第１及び第２の論理回線５１、５２とを備える。リモート端末３０は、フローを分類するフロー検索処理部３１を備える。アクセスサーバ４０は、フローの通過の可否を判定する通過判定処理部４２と、フローを分類するフロー検索処理部４１とを備える。第１の論理回線５１は、アクセスサーバ４０による通過の可否の判定を要するフローに含まれるパケットの転送に用いられる。第２の論理回線５２は、アクセスサーバ４０によって通過の許可がされたフローに含まれるパケットの転送に用いられる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、リモートアクセスシステム、方法及びプログラムに関し、特に、公衆回線を利用したＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）接続によってリモート端末から私設網へアクセスする際のアクセス制御を行なうリモートアクセスシステム、方法及びプログラムに関する。
【背景技術】
【０００２】
特許文献１は、従来のファイアウォール処理の一例を示している。かかる従来技術においては、プレ・フィルタリング・モジュールを設けてファイアウォールの負荷を軽減させている。プレ・フィルタリング・モジュールは、ファイアウォールによって以前に可能
となった接続からパケットが受信されるかどうかに従って、パケットに関し制限された一連のアクションを実行する。パケットがそのように可能となった接続から受信されるならば、プレ・フィルタリング・モジュールは、パケット上で随意に１又はそれ以上のアクションを実行して、それらの宛先へパケットを転送する。そうでなければ、パケットは処理のためにファイアウォールへ転送される。１度ファイアウォールが、プレ・フィルタリング・モジュールの接続に対する責任を移す、あるいは接続を「オフロードされる」ならば、接続の間にタイムアウトが生じるまで、もしくはセッションが終了したことを示す特定のセッション制御フィールド値で受信されるまで、ファイアウォールがさらなるパケッ
トを受信しない、つまりパケットは接続が閉じられる。
【０００３】
従来のＶＰＮ接続におけるアクセス制御の一例を説明する。図１０は、従来のリモートアクセスシステムの構成を示すブロック図である。ファイアウォールを設置することによって、リモートからＶＰＮアクセスサーバ４１０を介してＬＡＮ２０にアクセスするトラヒックが特定のサーバ３００へのアクセスすることを制限する。かかるシステム（図１０）は、一般的なＶＰＮアクセス手段と市販のファイアウォール装置とを組み合わせることによって構成することができる。図１０においては、フィルタ装置５００がファイアウォール装置に相当する。フィルタ装置５００は、ファイアウォール機能によってポリシーを参照し、トラヒックの通過の可否を判定する。ここで、フィルタ装置５００の構成は、例えば、特許文献１に示す構成とすることもできる。
【０００４】
【特許文献１】特表２００３−５２５５５７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
以下の分析は、本発明者によってなされたものである。図１０のリモートアクセスシステムの構成における問題点について説明する。図１０を参照すると、ＶＰＮリモート端末４００−１〜４００−Ｎのアクセスが集中する箇所にフィルタ装置５００が設けられている。したがって、フィルタ装置５００がアクセス制御において行うポリシーテーブルの照合処理の負荷が高くなり、アクセス性能が低下するという問題がある。このフィルタ処理における性能を向上させる上で、特許文献１の方法は有効であるものの、フィルタ処理が１箇所に集中する点は改善されていない。したがって、ＶＰＮリモート端末４００−１〜４００−Ｎの数が増加した場合又は多数のアクセストラヒックが集中した場合には、性能がスケーラブルでないという問題がある。そこで、ＶＰＮアクセス数に対してスケーラブルなアクセス制御が望まれる。
【０００６】
一方、フィルタ機能をＶＰＮリモート端末４００−１〜４００−Ｎに配置する構成を採用した場合には、フィルタ処理が一箇所に集中しないため、アクセスサーバ側での処理負荷は軽減される。しかしながら、ＶＰＮリモート端末４００−１〜４００−Ｎがポリシーを勝手に書き換え、管理者によるポリシー設定を無視してトラヒックを送信してくるおそれもあるため、ネットワークセキュリティの観点から望ましくないという問題がある。
【０００７】
そこで、セキュリティを確保しつつ、アクセス端末の収容数が増加しても性能が低下することのないリモートアクセスシステム、方法及びプログラムを提供することが課題となる。特に、ＶＰＮアクセストラヒックに対して、セキュリティを確保しつつ、アクセス端末の収容数が増加しても性能を低下させることなくＬＡＮへのアクセス制御を実現するリモートアクセスシステム、方法及びプログラムを提供することが課題となる。
【課題を解決するための手段】
【０００８】
本発明の第１の視点に係るリモートアクセスシステムは、
リモート端末と、
前記リモート端末からの接続を収容するアクセスサーバと、
前記リモート端末と前記アクセスサーバとを論理的に接続する第１及び第２の論理回線とを備えるリモートアクセスシステムであって、
前記リモート端末は、フローを分類するフロー検索処理部を備え、
前記アクセスサーバは、フローの通過の可否を判定する通過判定処理部と、フローを分類するフロー検索処理部とを備え、
前記第１の論理回線は、前記アクセスサーバによる通過の可否の判定を要するフローに含まれるパケットの転送に用いられ、
前記第２の論理回線は、前記アクセスサーバによって通過の許可がされたフローに含まれるパケットの転送に用いられることを特徴とする。
【０００９】
第１の展開形態のリモートアクセスシステムは、
前記リモート端末における前記フロー検索処理部が、フローを分類し、前記アクセスサーバによる通過の可否の判定を要するフローに含まれるパケットを前記第１の論理回線を介して前記アクセスサーバに送信し、前記アクセスサーバによって通過の許可がされたフローに含まれるパケットを前記第２の論理回線を介して前記アクセスサーバに送信するように構成されることが好ましい。
【００１０】
第２の展開形態のリモートアクセスシステムは、
前記アクセスサーバが、前記第２の論理回線を介して受信したパケットに対して通過の可否を判定することなく通過を許可し、
前記アクセスサーバにおける前記通過判定処理部が、前記第１の論理回線を介して受信したパケットに対して通過の可否を判定し、通過を許可する場合には、該パケットが属するフローの情報を前記アクセスサーバにおける前記フロー検索処理部に登録するように構成されることが好ましい。
【００１１】
第３の展開形態のリモートアクセスシステムは、
前記アクセスサーバにおける前記フロー検索処理部が、前記リモート端末に送信すべきパケットが属するフローを分類し、通過の可否の判定が不要である場合には、該フローに属するパケットを前記第２の論理回線を介して前記リモート端末に送信し、通過の可否の判定が必要である場合には、前記通過判定処理部によって該フローに対する通過の判定を行なった後に前記第１の論理回線を介して前記リモート端末に送信するように構成されることが好ましい。
【００１２】
第４の展開形態のリモートアクセスシステムは、
前記リモート端末における前記フロー検索処理部によって参照されるフロー情報が、前記第２の論理回線を介して受信したパケットが属するフロー情報に基づいて、前記リモート端末に設けたフローテーブルに自動登録されることが好ましい。
【００１３】
第５の展開形態のリモートアクセスシステムは、
前記アクセスサーバにおける前記フロー検索処理部によって参照されるフロー情報が、前記通過判定処理部によって通過が許可された場合に、前記アクセスサーバに設けたフローテーブルに登録されることが好ましい。
【００１４】
本発明の第２の視点に係るリモート端末は、
アクセスサーバによって接続を収容され、該アクセスサーバと第１及び第２の論理回線によって論理的に接続されたリモート端末であって、
前記リモート端末は、フローを分類するフロー検索処理部を備え、前記アクセスサーバによる通過の可否の判定を要するフローに含まれるパケットを前記第１の論理回線を介して前記アクセスサーバに送信し、前記アクセスサーバによって通過の許可がされたフローに含まれるパケットを前記第２の論理回線を介して前記アクセスサーバに送信するように構成されたことを特徴とする。
【００１５】
本発明の第３の視点に係るアクセスサーバは、
リモート端末からの接続を収容し、該リモート端末と第１及び第２の論理回線によって論理的に接続されたアクセスサーバであって、
前記アクセスサーバは、フローの通過の可否を判定する通過判定処理部と、フローを分類するフロー検索処理部とを備え、自身によって通過の可否の判定を要するフローに含まれるパケットを前記第１の論理回線介して前記リモート端末に送信し、自身によって通過の許可がされたフローに含まれるパケットを前記第２の論理回線を介して前記リモート端末に送信するように構成されたことを特徴とする。
【００１６】
本発明の第４の視点に係るリモートアクセス方法は、
リモート端末と該リモート端末からの接続を収容するアクセスサーバとの間のリモートアクセス方法であって、
前記リモート端末によって、フローを分類する工程と、
前記リモート端末によって、前記アクセスサーバによる通過の可否の判定を要するフローに含まれるパケットを第１の論理回線を介して前記アクセスサーバに送信するとともに、前記アクセスサーバによって通過の許可がされたフローに含まれるパケットを第２の論理回線を介して前記アクセスサーバに送信する工程と、
前記アクセスサーバによって、前記第２の論理回線を介して受信したパケットに対して通過の可否を判定することなく通過を許可する工程と、を含むことを特徴とする。
【００１７】
本発明の第５の視点に係るリモートアクセス方法は、
リモート端末からアクセスサーバへのリモートアクセス方法であって、
フローを分類する工程と、
前記アクセスサーバによる通過の可否の判定を要するフローに含まれるパケットを第１の論理回線を介して前記アクセスサーバに送信するとともに、前記アクセスサーバによって通過の許可がされたフローに含まれるパケットを第２の論理回線を介して前記アクセスサーバに送信する工程と、を含むことを特徴とする。
【００１８】
本発明の第６の視点に係るリモートアクセス方法は、
アクセスサーバからリモート端末へのリモートアクセス方法であって、
前記アクセスサーバによって通過の許可がされたフローに含まれるパケットを送信するための専用の論理回線を介して受信したパケットに対して通過の可否を判定することなく通過を許可する工程と、を含むことを特徴とする。
【００１９】
本発明の第７の視点に係るリモートアクセスプログラムは、
リモート端末と該リモート端末からの接続を収容するアクセスサーバとの間のリモートアクセス処理を、該リモート端末及び該アクセスサーバに備えたコンピュータに実行させるリモートアクセスプログラムであって、
フローを分類する処理と、
前記アクセスサーバによる通過の可否の判定を要するフローに含まれるパケットを第１の論理回線を介して前記アクセスサーバに送信するとともに、前記アクセスサーバによって通過の許可がされたフローに含まれるパケットを第２の論理回線を介して前記アクセスサーバに送信する処理と、を前記リモート端末に備えたコンピュータに実行させるとともに、
前記第２の論理回線を介して受信したパケットに対して通過の可否を判定することなく通過を許可する処理を、前記アクセスサーバに備えたコンピュータに実行させることを特徴とする。
【００２０】
本発明の第８の視点に係るリモートアクセスプログラムは、
リモート端末からアクセスサーバへのリモートアクセス処理を、該リモート端末に備えたコンピュータに実行させるリモートアクセスプログラムであって、
フローを分類する処理と、
前記アクセスサーバによる通過の可否の判定を要するフローに含まれるパケットを第１の論理回線を介して前記アクセスサーバに送信するとともに、前記アクセスサーバによって通過の許可がされたフローに含まれるパケットを第２の論理回線を介して前記アクセスサーバに送信する処理と、を前記リモート端末に備えたコンピュータに実行させることを特徴とする。
【００２１】
本発明の第９の視点に係るリモートアクセスプログラムは、
アクセスサーバからリモート端末へのリモートアクセス処理を、該アクセスサーバに備えたコンピュータに実行させるリモートアクセスプログラムであって、
前記アクセスサーバによって通過の許可がされたフローに含まれるパケットを送信するための専用の論理回線を介して受信したパケットに対して通過の可否を判定することなく通過を許可する処理を、前記アクセスサーバに備えたコンピュータに実行させることを特徴とする。
【発明の効果】
【００２２】
本発明によって、セキュリティを確保しつつ、アクセス端末の収容数が増加しても性能が低下することのないリモートアクセスシステム、方法及びプログラムを提供することができる。リモート端末と、該リモート端末から受信したフローをフィルタ処理するアクセスサーバと、を備えるリモートアクセスシステムであって、
前記リモート端末及び前記アクセスサーバは、前記アクセスサーバによって前記端末から受信したフローの通過の許可がされた場合には、前記許可がされたフローのフィルタ処理を負荷分散するように構成されたことを特徴とするリモートアクセスシステム。
【発明を実施するための最良の形態】
【００２３】
（実施形態１）
本発明の第１の実施形態に係るリモートアクセスシステムについて図面を参照して説明する。図１は、本実施形態に係るリモートアクセスシステムの構成を示すブロック図である。
【００２４】
リモートアクセスシステムは、図１を参照すると、リモート端末３０と、リモート端末３０からの接続を収容するアクセスサーバ４０と、リモート端末３０とアクセスサーバ４０とを論理的に接続する第１及び第２の論理回線５１、５２とを備える。リモート端末３０は、フローを分類するフロー検索処理部３１を備える。アクセスサーバ４０は、フローの通過の可否を判定する通過判定処理部４２と、フローを分類するフロー検索処理部４１とを備える。第１の論理回線５１は、アクセスサーバ４０による通過の可否の判定を要するフローに含まれるパケットの転送に用いられる。第２の論理回線５２は、アクセスサーバ４０によって通過の許可がされたフローに含まれるパケットの転送に用いられる。
【００２５】
リモート端末３０におけるフロー検索処理部３１は、フローを分類し、アクセスサーバ４０による通過の可否の判定を要するフローに含まれるパケットを第１の論理回線５１を介してアクセスサーバ４０に送信し、アクセスサーバ４０によって通過の許可がされたフローに含まれるパケットを第２の論理回線５２を介してアクセスサーバ４０に送信することが好ましい。
【００２６】
アクセスサーバ４０は、第２の論理回線５２を介して受信したパケットに対して通過の可否を判定することなく通過を許可し、
通過判定処理部４２は、第１の論理回線５１を介して受信したパケットに対して通過の可否を判定し、通過を許可する場合には、該パケットが属するフローの情報をフロー検索処理部４１に登録することが好ましい。
【００２７】
アクセスサーバ４０におけるフロー検索処理部４１は、リモート端末３０に送信すべきパケットが属するフローを分類し、通過の可否の判定が不要である場合には、該フローに属するパケットを第２の論理回線５２を介してリモート端末３０に送信し、通過の可否の判定が必要である場合には、通過判定処理部４２によって該フローに対する通過の判定を行なった後に第１の論理回線５１を介してリモート端末３０に送信することが好ましい。
【００２８】
リモート端末３０におけるフロー検索処理部３１によって参照されるフロー情報は、第２の論理回線５２を介して受信したパケットが属するフロー情報に基づいて、リモート端末３０に設けたフローテーブルに自動登録されることが好ましい。
【００２９】
アクセスサーバ４０におけるフロー検索処理部４１によって参照されるフロー情報は、通過判定処理部４２によって通過が許可された場合に、アクセスサーバ４０に設けたフローテーブルに登録されることが好ましい。
【００３０】
また、本実施形態に係るリモートアクセスシステムにおける上記の各部の処理を、リモートアクセスプログラムによって、コンピュータに実行させてもよい。かかる場合のリモートシステムの構成図を図１１に示す。すなわち、リモートアクセスプログラムは、図１１を参照すると、リモート端末６０と、リモート端末６０からの接続を収容するアクセスサーバ７０と、リモート端末６０とアクセスサーバ７０とを論理的に接続する第１及び第２の論理回線５１、５２とを備えるリモートアクセスシステムにおけるリモートアクセス処理をリモート端末６０及びアクセスサーバ７０に備えたＣＰＵ６１、７１に実行させるリモートアクセスプログラムである。リモートアクセスプログラムは、リモート端末６０において、フローを分類する処理をリモート端末６０に備えたＣＰＵ６１に実行させる。また、リモートアクセスプログラムは、リモート端末６０において、アクセスサーバ７０による通過の可否の判定を要するフローに含まれるパケットを前記第１の論理回線を介してアクセスサーバ７０に送信するとともに、アクセスサーバ７０によって通過の許可がされたフローに含まれるパケットを第２の論理回線５２を介してアクセスサーバ７０に送信する処理と、をリモート端末６０に備えたＣＰＵ６１に実行させる。さらに、リモートアクセスプログラムは、アクセスサーバ７０において、第２の論理回線５２を介して受信したパケットに対して通過の可否を判定することなく通過を許可する処理を、アクセスサーバ７０に備えたＣＰＵ７１に実行させる。
【００３１】
（実施形態２）
本発明の第２の実施形態にリモートアクセスシステムについて図面を参照して説明する。本実施形態は、ＶＰＮを用いたリモートアクセスに関するものである。図２は、本実施形態のリモートアクセスシステムの構成を示すブロック図である。リモートアクセスシステムは、ＶＰＮリモート端末１００−１〜１００〜ＮとＶＰＮアクセスサーバ２００とを備え、これらは、公衆回線１０を介して相互に接続される。
【００３２】
ＶＰＮアクセスサーバ２００に設けたアクセス制御部は、フローの通過の判定を行なうとともに、一旦通過可と判定したフローについては、ＶＰＮリモート端末１００−ｉ（ｉ＝１〜Ｎ）及びＶＰＮアクセスサーバ２００に設けたフローテーブルにフロー情報を登録する。通過判定済のフローは、通過判定済みであるに応じて、ＶＰＮ１２−ｉを利用して転送することによって、ＶＰＮリモート端末１００−ｉとＶＰＮアクセスサーバ２００とが協調して通過判定処理を行う。
【００３３】
ＶＰＮアクセスサーバ２００において通過判定と判断されたフローは、ＶＰＮリモート端末１００−ｉ内のフローエントリにしたがって、ＶＰＮ１２−ｉを使ってＶＰＮアクセスサーバ２００に転送する。一方、ＶＰＮアクセスサーバ２００は、ＶＰＮ１２−ｉからトラヒックを受信した場合には、通過判定済みであるとして通過判定処理をスキップ（省略）する。一方、ＬＡＮ２０から受信したトラヒックに対しては、ＶＰＮアクセスサーバ２００は、通過判定済みのフローであるか否かを検索し、判定済みのフローであれば、ＶＰＮ１２−ｉを使ってＶＰＮリモート端末１００−ｉに転送し、通過判定済みであることを通知する。以上により、ＶＰＮアクセスサーバ２００内のポリシーテーブルとの比較処理（通過判定処理）の処理回数を削減し、ＶＰＮリモート端末１００−ｉ及びＶＰＮアクセスサーバ２００のそれぞれに設けたフロー検索処理部によって通過判定処理を分散処理することでＶＰＮアクセスサーバ２００の処理負荷を軽減する。
【００３４】
本実施形態によれば、ＶＰＮアクセスサーバ２００の通過判定処理において、ポリシーテーブルの参照による判定処理を最初の数パケットに対してのみ行い、通過判定済みのフローについてはＶＰＮリモート端末１００−１〜１００−Ｎ及びＶＰＮアクセスサーバ２００に設けたフローテーブルを参照して転送されるため、ＶＰＮアクセスサーバ２００におけるポリシーテーブルの検索に要する処理負荷を軽減することができ、アクセス処理が集中した場合であってもアクセス性能の低下を防ぐことができる。
【００３５】
（実施形態３）
次に、本発明の第３の実施形態について図面を参照して詳細に説明する。図２は、本実施形態に係るＶＰＮリモートアクセスシステムの構成を示す。ＶＰＮアクセスサーバ２００は、ＬＡＮ２０と公衆回線１０とに接続される。ＶＰＮアクセスサーバ２００は、公衆回線（インターネット等を含む）１０を介してＶＰＮリモート端末１００−１〜１００−Ｎとの間に、ＶＰＮ１１−１〜１１−ＮとＶＰＮ１２−１〜１２−Ｎとを確立している。ＶＰＮリモート端末１００−１〜１００−Ｎは、このＶＰＮを介して、ＬＡＮ２０に接続されたサーバ３００のサービスを利用することが可能になる。なお、Ｎはリモート端末の個数を表し、本実施形態においてＮは任意の数である。
【００３６】
図３は、本実施形態におけるＶＰＮリモート端末１００とＶＰＮアクセスサーバ２００の構成を示す。ＶＰＮリモート端末１００は、ＶＰＮ終端処理部１１０、アクセス制御部１２０、プロトコル処理部１３０、アプリケーション１４０を備える。ＶＰＮアクセスサーバ２００は、ＶＰＮ終端処理部２１０、アクセス制御部２２０を備える。ＶＰＮリモート端末１００−１とＶＰＮアクセスサーバ２００は、ＶＰＮ１１−１及び１２−１を介して接続されている。また、ＶＰＮアクセスサーバ２００は、他のＶＰＮリモート端末１００−ｉ（ｉ＝２〜Ｎ）とＶＰＮ１１−ｉ及び１２−ｉを介して接続されている。また、ＶＰＮアクセスサーバ２００はＬＡＮ２１によってＬＡＮ２０に接続されている。
【００３７】
図４は、本実施形態のＶＰＮリモート端末１００の構成を示すブロック図である。アクセス制御部１２０は、フロー情報抽出処理部１２１、多重処理部１２３、フロー検索処理部１２４、フローテーブル１２５を備える。アクセス制御部１２０は、ＶＰＮ終端処理部１１０によって終端される２本のＶＰＮ１１、１２と接続される。
【００３８】
フロー情報抽出処理部１２１はＶＰＮ１２からフロー情報を抽出し、フローテーブル１２５に登録する。フロー検索処理部１２４は、フローテーブル１２５を参照し、プロトコル処理部１３０から受信するデータを検索して、ＶＰＮ１１宛又はＶＰＮ１２宛のいずれであるかの判定を行なう。多重処理部１２３はフロー情報抽出処理部１２１からの出力データとＶＰＮ１１からの受信データとを多重してプロトコル処理部１３０へ出力する。
【００３９】
図５に本実施形態におけるＶＰＮアクセスサーバ２００のアクセス制御部２２０の構成を示す。アクセス制御部２２０は、通過判定処理２２１、ポリシーテーブル２２２、多重処理部２２３、フロー検索処理部２２４、フローテーブル２２５を備える。
【００４０】
通過判定処理部２２１は、ＶＰＮ１１からのデータを受信し、ポリシーテーブル２２２に従って、通過の判定を行なう。通過の判定は、パケットヘッダ（ＩＰ、ＴＣＰ、ＵＤＰなど）の情報に基づいて行なう。通過判定の結果、通過するものと判定し、かつリモート端末１００との間で分担してアクセス制御をすると判断したフローについては、フローテーブル２２５にフロー情報を登録する。多重処理部２２３は、通過判定処理２２１の出力とＶＰＮ１２からの受信データを多重してＬＡＮ２１に出力する。フロー検索処理部２２４は、ＬＡＮ２１からの受信データのヘッダに基づいてフロー検索を実施する。フロー検索はフローテーブル２２５を参照して行なわれる。検索の結果、リモート端末１００と分担してアクセス制御をすると判断した場合にはＶＰＮ１２へ受信データを送信し、通過判定処理２２１でパケットを参照する場合又はリモート端末１００と分担を行なわない場合にはＶＰＮ１１へ受信データを送信する。
【００４１】
図６は、フローテーブル１２５、２２５のエントリの一例を示す。リモート端末１００のフローテーブル１２５の内容は、リモート端末１００自身のＩＰアドレスを示す送信元ＩＰアドレス、通信先のＩＰアドレスを示す宛先ＩＰアドレス、レイヤ４のプロトコル種別、レイヤ４の宛先及び送信元ポート番号をキーとして格納しており、対応するアクションとして、ＶＰＮ１２に渡すか又はＶＰＮ１１に渡すかが記載されている。また、有効期限欄には、そのエントリがいつまで有効であるのかを示す時刻情報（時刻変数）が記録されている。
【００４２】
ＶＰＮアクセスサーバ２００のフローテーブル２２５の内容もほぼ同様である。ＬＡＮ側のトラヒックに対して検索するので、宛先ＩＰアドレスはリモート端末１００のＩＰアドレスを示し、送信元ＩＰアドレスはトラヒック送信元であるサーバ３００、レイヤ４の送信元ポート番号はサーバ３００のポート番号、宛先ポート番号はリモート端末１００によって割り当てられたポート番号となる。また、出力アクションにおいてＶＰＮ１２か１１に渡すか否かの情報が格納され、有効期限も記録される。
【００４３】
なお、ＶＰＮリモート端末１００、ＶＰＮアクセスサーバ２００の機能は、ＣＰＵ上で動作するプログラム（ソフトウェア）として実現されてもよく、また、ハードウェア回路として実現されてもよい。
【００４４】
さらに、本説明ではＶＰＮ１１、ＶＰＮ１２のように２本の回線を利用しているが、これらは物理的に異なる回線である必要はなく、論理的に識別できる複数の回線であればよい。たとえばＩＰＳｅｃやＳＳＬ−ＶＰＮにより確立される１本のＶＰＮ上に多重された二種類のＶＬＡＮ（仮想ＬＡＮ）回線や、ＭＰＬＳ（ＭｕｌｔｉＰｒｏｔｏｃｏｌ Ｌａｂｅｌ Ｓｗｉｔｃｈｉｎｇ）回線や、あるいはＩＰヘッダのＴＯＳフィールドと呼ばれる付加情報ビットを用いた識別でもよい。このような、論理的に区分できる回線を利用することでＶＰＮ終端処理１１０、１２０の間に２本の論理回線を確立することができ、本実施形態に係るリモートアクセスシステムにおいては、かかる論理回線を利用するものとする。
【００４５】
ＶＰＮリモート端末１００とＶＰＮアクセスサーバ２００の動作について、図７のシーケンス図を参照して説明する。ここでは、ＶＰＮリモート端末１００内のアプリケーション１４０（図３）が、新たなフローのデータをＶＰＮを介してサーバ３００（図２）に送信する場合を考える。このとき、アプリケーション１４０は、プロトコル処理部１３０を介してアクセス制御部１２０にデータを渡す（Ｓ３０１）。まず、フロー検索処理部１２４は、パケットヘッダ情報に基づいて検索を行なう。フロー検索処理部１２４は、検索の結果、新規のフローであると判定するため、ミスヒットとなる。そこで、フロー検索処理部１２４は、ＶＰＮ終端処理部１１０に対してＶＰＮ１１を選択するよう指示する（Ｓ３０２）。ＶＰＮ終端処理部１１０は、本データに対して、ＶＰＮ終端処理を施した後、ＶＰＮ１１を介してＶＰＮアクセスサーバ２００に送信する（Ｓ３０３）。ＶＰＮ終端処理部１１０は、例えば、オリジナルのＬＡＮパケットに対し、リモート端末１００とサーバ３００との間で利用する付加情報（ヘッダ）を付加し、さらにＩＰＳｅｃやＳＳＬなどの暗号化を施し、公衆回線（インターネット等）で転送可能なＩＰアドレスを付加して送信する。
【００４６】
ＶＰＮアクセスサーバ２００のＶＰＮ終端処理部２１０は、ＶＰＮデータを終端してオリジナルのＬＡＮパケットを抽出し、通過判定処理部２２１に送信する（Ｓ３０４）。次に、通過判定処理部２２１は、パケットを検査して通過させるか否かを判定する。通過判定は、ポリシーテーブル２２２を参照して行われる。通過判定処理部２２１は、パケットの情報（ヘッダ、ペイロード）とポリシーテーブル２２２に登録されている通過条件とを比較することによって判定を行う。通過判定処理部２２１は、例えば、ＩＰアドレスの送信元、宛先アドレスと、プロトコルフィールド（ＴＣＰ、ＵＤＰなど）、レイヤ４のポート番号（ＴＣＰの場合は宛先、送信元ポート番号）によって通過判定を行う。通過判定処理部２２１は、通過と判定した場合には、多重処理部２２３に対してパケットを送信し（Ｓ３０５）、多重処理部２２３は、受信したパケットをＬＡＮに出力する（Ｓ３０７）。さらに、本実施形態の方式によって、リモート端末１００との間でアクセス制御を分担する場合には、フロー識別情報をフローテーブル２２５に登録する（Ｓ３０６）。
【００４７】
次に、逆向きのトラヒックをＬＡＮ２０から受信した場合の動作ついて図面を参照して説明する。ＶＰＮアクセスサーバ２００は、ＬＡＮ２０からパケットを入力すると、フロー検索処理部２２４によってフロー検索を行なう（Ｓ３０８）。ステップＳ３０６においてフローテーブル２２５にフローエントリが登録されている。したがって、フロー検索処理部２２４における検索の結果はヒットとなるため、フロー検索処理部２２４はＶＰＮ１２を選択する（Ｓ３０９）。ＶＰＮ終端処理部２１０は、カプセル化、暗号化を行い、ＶＰＮ１２を介してＶＰＮリモート端末１００にパケットを送信する（Ｓ３１０）。
【００４８】
ＶＰＮリモート端末１００のＶＰＮ終端処理部１１０は、ＶＰＮ１２からデータを受信すると、フロー情報抽出処理部１２１によってパケットヘッダのフロー情報を抽出し、そのフロー情報がフローテーブル１２５に未登録である場合には登録処理を行う（Ｓ３１２）。また、ＶＰＮ終端処理部１１０によってＶＰＮ終端をすることによって取り出されたオリジナルパケットデータは、プロトコル処理部１３０を経由してアプリケーションに渡される（Ｓ３１１）。
【００４９】
次に、この状態において、リモート端末１００からＶＰＮアクセスサーバ２００へ向けて送出された同一フローに属するパケットの処理について説明する。ＶＰＮリモート端末１００は、プロトコル処理部１３０からＬＡＮ２０に向かうパケットを受信すると（Ｓ３１３）、フロー検索処理部１２４によってフロー検索を行なう。ステップＳ３１２において、フローの登録を行なっているため、フロー検索処理部１２４におけるフロー検索はヒットする（Ｓ３１４）。ここで、フロー検索がヒットしたということは、かかるフローはＶＰＮアクセスサーバ２００によって通過を許可されているフローであり、ＶＰＮアクセスサーバ２００によって通過判定処理を行う必要がないフローである、ということを示す。フロー検索処理部１２４は、パケットをＶＰＮ終端処理部１１０に送信する（Ｓ３１４）。このヒットしたパケットについては、ＶＰＮ終端処理部１１０は、ＶＰＮ終端処理によってカプセル化、暗号化を行なった後、ＶＰＮ１２に送信する（Ｓ３１５）。この点において、上記のステップＳ３０３とは異なっている。
【００５０】
ＶＰＮアクセスサーバ２００のＶＰＮ終端処理部２１０は、本パケットのカプセル処理、暗号データの復号処理を行ってオリジナルのパケットを取り出す。さらに、ＶＰＮ終端処理部２１０は、ＶＰＮ１２から受信したデータについては通過判定処理部２２１に送信することなく、直接多重処理部２２３へ送信する（Ｓ３１６）。多重処理部２２３は、受信したパケットをＬＡＮに送信する（Ｓ３１７）。
【００５１】
一方、ＬＡＮ２０からＶＰＮリモート端末１００に向かうデータの処理、すなわち、ステップＳ３１８〜Ｓ３２１の処理は、上記のステップＳ３０８〜Ｓ３１１の処理と同様である。ただし、ＶＰＮリモート端末１００のフロー情報抽出処理部１２１がフローテーブル１２５を確認するときに、すでに登録済みであるため、新たな登録を行なわない点のみが異なる。
【００５２】
以上のように、ＶＰＮアクセスサーバ２００とＶＰＮリモート端末１００とが動作することによって、通過判定に必要なポリシーテーブル２２２はＶＰＮアクセスサーバ２００に置いたまま、通過判定されたパケットについてはフロー検索処理部１２４とフロー検索処理部２２４との間で分担することでアクセス制御を実施することが可能になる。
【００５３】
次に、図８のシーケンス図を参照してエントリの削除動作について説明する。図８のシーケンス図は、図７のシーケンス図の続きとする。すなわち、フローテーブル１２５にはフロー情報がすでに登録されている状態を考える。この状態において、ＶＰＮリモート端末１００のアプリケーション１４０からＬＡＮ２０の方向へ送出されたパケットは、ステップＳ３１３〜Ｓ３１７と同様の処理によってＬＡＮ２０まで転送される（Ｓ３３１〜Ｓ３３５）。一方、逆向きのパケットは、ステップＳ３１８〜Ｓ３２１と同様なシーケンスによりＬＡＮ２０からＶＰＮリモート端末１００まで転送される（Ｓ３３６〜Ｓ３４０）。
【００５４】
ここで、フローテーブルエントリには有効期限が示されており、有効期限に示される時刻が到来するまで一度も参照されなかった場合には、フローテーブル１２５から削除される。一方、一度でも参照された場合には、有効期限を更新する。ＶＰＮアクセスサーバ２００からＶＰＮ１２を介して受信したフローがフローテーブル１２５に登録されているか否かを参照するようにしてもよい。また、ＶＰＮリモート端末１００からＶＰＮアクセスサーバ２００に向けて送信されるトラヒックに対してフロー検索処理部１２４においてヒットした場合に、参照されたものと判定し、有効期限を更新するようにしてもよい。有効期限が過ぎた場合には、フローテーブル１２５から該当フローのエントリは削除される（Ｓ３４１）。
【００５５】
後続の同一フローに属するデータを受信した場合（Ｓ３４２）、フローテーブル１２５にエントリがないため、フロー検索処理部１２４による検索はミスヒットとなる（Ｓ３４３）。この場合には、フロー検索処理部１２４はＶＰＮ１１を選択する。フロー検索処理部１２４は、パケットをＶＰＮ終端処理部１１０に送信する（Ｓ３４４）。ＶＰＮ終端処理部１１０は、パケットのカプセル化、暗号化を行ない、ＶＰＮ１１を利用してＶＰＮアクセスサーバ２００に対して送信する（Ｓ３４４）。
【００５６】
ＶＰＮアクセスサーバ２００のＶＰＮ終端処理部２１０は、ＶＰＮ１１を介して受信したデータについては、通過判定処理部２２１に送信する（Ｓ３４５）。通過判定処理部２２１は、アクセス制御の判定を行う。通過判定処理部２２１は、受信したフローを通過させるものと判定し、かつ、リモート端末１００との間でアクセス制御を分担するものと判定した場合には、フローテーブル２２５に対してフロー情報を登録する（Ｓ３４７）。また、通過判定処理部２２１は、多重処理部２２３を経由して（Ｓ３４６）、パケットをＬＡＮ２０に送信する（Ｓ３４８）。
【００５７】
フロー検索処理部２２５は、ＬＡＮ２０からリモート端末１００のアプリケーション１４０に向かう同一フローのパケットを受信する（Ｓ３４９）。かかるパケットはフローテーブル２２５にヒットするため（Ｓ３４９）、フロー検索処理部２２５は、ＶＰＮ１２を介してＶＰＮリモート端末１００にパケットを送信する（Ｓ３５０、Ｓ３５１）。
【００５８】
ＶＰＮリモート端末１００は、ＶＰＮ１２を介してパケットを受信すると、フロー情報抽出処理部１２１によってフロー情報を取り出し、フローテーブル１２５に登録する（Ｓ３５３）。また、パケットはプロトコル処理部１３０を経由してアプリケーション１４０に転送される（Ｓ３５２）。
【００５９】
以上の動作によって、ＶＰＮリモート端末１００はポリシー情報を明示的に保持することなく、ＶＰＮアクセスサーバ２００からのデータのみに基づいて、アクセス制御を実施することができる。
【実施例】
【００６０】
本発明の実施例に係るリモートアクセスシステムについて図面を参照して説明する。図９は、具体的なポリシーテーブル２２２の例を示す。図９のテーブルを参照しつつ、本実施例に係るリモートアクセスシステムの動作について説明する。
【００６１】
図９のポリシーテーブル２２２においては、３つのエントリが記載されている。ポリシーテーブル２２２は優先度（ｐｒｉｏｒｉｔｙ）の順に参照され、最初に一致したポリシーが適用される。いま、リモート端末が１０．１．１．１００であるとし、この端末からＩＰアドレスが１０．１．３．１であるホストに対してＴＣＰ通信により、宛先ＴＣＰポート番号８０、送信元ポート番号１２３４によってアクセスすることを考える。
【００６２】
図７のシーケンス図を参照して転送処理を説明する。フロー検索処理部１２４におけるフロー検索がミスヒットとなり、パケットは、ＶＰＮ１１を介してＶＰＮアクセスサーバ２００へ送られる。ＶＰＮアクセスサーバ２００の通過判定処理部２２１は、ポリシーテーブル２２２を参照する。このとき、優先度＝１０のエントリに条件がマッチし、アクション（ａｃｔｉｏｎ）に基づいて、「通過」させる（ａｌｌｏｗ）と判定する。
【００６３】
通過判定処理部２２１は、「通過」と判定すると、フローテーブル２２５にエントリを登録する（Ｓ３０６）。図９のフローテーブルに示すように、リモート端末１００のＩＰアドレス１０．１．１．１００、ホスト側のＩＰアドレス１０．１．３．１、Ｌ４プロトコル（ｐｒｏｔｏｃｏｌ）＝ＴＣＰ、ホスト側のＴＣＰポート番号（ｄｐｏｒｔ）８０、送信元ポート番号（ｓｐｏｒｔ）１２３４、というキーで構成されるエントリを作成する。さらに、このキーに対応して、出力としてＶＰＮ１２が選択され、有効期限として、一例として０：１５が格納される。
【００６４】
さらに、ＶＰＮ１２を介して転送されたパケットは、ＶＰＮリモート端末１００にわたされ、フローテーブル１２５に登録される（Ｓ３１２）。後続のパケットが同一のフロー情報（ＩＰＳＡ＝１０．１．１．１００、ＩＰＤＡ＝１０．１．３．１、Ｌ４プロトコル＝ＴＣＰ、宛先ポート＝８０、送信元ポート＝１２３４）を備えたパケットである場合には、フロー検索処理部１２４における検索処理が、フローテーブルにヒットして（Ｓ３１３）、ＶＰＮ１２が選択される。ＶＰＮ１２を介して転送されたパケットは、ＶＰＮ終端処理部２１０を経由した後、通過判定処理２２１を経由することなく多重処理部２２３を介してＬＡＮ２０に送信される。
【００６５】
このように、フローテーブルに登録されたフローについて、ＶＰＮリモート端末１００とＶＰＮアクセスサーバ２００とが連携して処理を行うことによって、負荷の高い通過判定処理をスキップ（省略）することができ、システム全体でのアクセス性能の向上を図ることができる。
【図面の簡単な説明】
【００６６】
【図１】本発明の実施形態に係るリモートアクセスシステムの構成を示すブロック図である。
【図２】本発明の実施形態に係るリモートアクセスシステムの構成を示すブロック図である。
【図３】本発明の実施形態に係るリモートアクセスシステムの構成の詳細を示すブロック図である。
【図４】本発明の実施形態に係るＶＰＮリモート端末の構成を示すブロック図である。
【図５】本発明の実施形態に係るＶＰＮアクセスサーバの構成を示すブロック図である。
【図６】本発明の実施形態に係るＶＰＮリモート端末及びＶＰＮアクセスサーバに備えるフローテーブルのフォーマットを示す図である。
【図７】発明の実施形態に係るリモートアクセスシステムの動作を示すシーケンス図である。
【図８】発明の実施形態に係るリモートアクセスシステムの動作を示すシーケンス図である。
【図９】本発明の実施例におけるポリシーテーブルを示す図である。
【図１０】従来のリモートアクセスシステムの構成を示すブロック図である。
【図１１】本発明の実施形態に係るリモートアクセスシステムの構成を示すブロック図である。
【符号の説明】
【００６７】
１０ 公衆回線
１１、１２、１１−１〜１１−Ｎ、１２−Ｎ ＶＰＮ
２０、２１ ＬＡＮ
３０、６０ リモート端末
３１、４１ フロー検索処理部
４２ 通過判定処理部
４０、７０ アクセスサーバ
５１、５２ 論理回線
６１、７１ ＣＰＵ
１００、１００−１〜１００−Ｎ、４００−１〜４００−Ｎ ＶＰＮリモート端末
１１０、２１０、４１１ ＶＰＮ終端処理部
１２０、２２０ アクセス制御部
１２１ フロー情報抽出処理部
１２３、２２３ 多重処理部
１２４、２２４ フロー検索処理部
１２５、２２５ フローテーブル
１３０ プロトコル処理部
１４０ アプリケーション
２００、２００−１〜２００−Ｎ、４１０ ＶＰＮアクセスサーバ
２２１ 通過判定処理
２２２ ポリシーテーブル
３００ サーバ
５００ フィルタ装置
【技術分野】
【０００１】
本発明は、リモートアクセスシステム、方法及びプログラムに関し、特に、公衆回線を利用したＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）接続によってリモート端末から私設網へアクセスする際のアクセス制御を行なうリモートアクセスシステム、方法及びプログラムに関する。
【背景技術】
【０００２】
特許文献１は、従来のファイアウォール処理の一例を示している。かかる従来技術においては、プレ・フィルタリング・モジュールを設けてファイアウォールの負荷を軽減させている。プレ・フィルタリング・モジュールは、ファイアウォールによって以前に可能
となった接続からパケットが受信されるかどうかに従って、パケットに関し制限された一連のアクションを実行する。パケットがそのように可能となった接続から受信されるならば、プレ・フィルタリング・モジュールは、パケット上で随意に１又はそれ以上のアクションを実行して、それらの宛先へパケットを転送する。そうでなければ、パケットは処理のためにファイアウォールへ転送される。１度ファイアウォールが、プレ・フィルタリング・モジュールの接続に対する責任を移す、あるいは接続を「オフロードされる」ならば、接続の間にタイムアウトが生じるまで、もしくはセッションが終了したことを示す特定のセッション制御フィールド値で受信されるまで、ファイアウォールがさらなるパケッ
トを受信しない、つまりパケットは接続が閉じられる。
【０００３】
従来のＶＰＮ接続におけるアクセス制御の一例を説明する。図１０は、従来のリモートアクセスシステムの構成を示すブロック図である。ファイアウォールを設置することによって、リモートからＶＰＮアクセスサーバ４１０を介してＬＡＮ２０にアクセスするトラヒックが特定のサーバ３００へのアクセスすることを制限する。かかるシステム（図１０）は、一般的なＶＰＮアクセス手段と市販のファイアウォール装置とを組み合わせることによって構成することができる。図１０においては、フィルタ装置５００がファイアウォール装置に相当する。フィルタ装置５００は、ファイアウォール機能によってポリシーを参照し、トラヒックの通過の可否を判定する。ここで、フィルタ装置５００の構成は、例えば、特許文献１に示す構成とすることもできる。
【０００４】
【特許文献１】特表２００３−５２５５５７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
以下の分析は、本発明者によってなされたものである。図１０のリモートアクセスシステムの構成における問題点について説明する。図１０を参照すると、ＶＰＮリモート端末４００−１〜４００−Ｎのアクセスが集中する箇所にフィルタ装置５００が設けられている。したがって、フィルタ装置５００がアクセス制御において行うポリシーテーブルの照合処理の負荷が高くなり、アクセス性能が低下するという問題がある。このフィルタ処理における性能を向上させる上で、特許文献１の方法は有効であるものの、フィルタ処理が１箇所に集中する点は改善されていない。したがって、ＶＰＮリモート端末４００−１〜４００−Ｎの数が増加した場合又は多数のアクセストラヒックが集中した場合には、性能がスケーラブルでないという問題がある。そこで、ＶＰＮアクセス数に対してスケーラブルなアクセス制御が望まれる。
【０００６】
一方、フィルタ機能をＶＰＮリモート端末４００−１〜４００−Ｎに配置する構成を採用した場合には、フィルタ処理が一箇所に集中しないため、アクセスサーバ側での処理負荷は軽減される。しかしながら、ＶＰＮリモート端末４００−１〜４００−Ｎがポリシーを勝手に書き換え、管理者によるポリシー設定を無視してトラヒックを送信してくるおそれもあるため、ネットワークセキュリティの観点から望ましくないという問題がある。
【０００７】
そこで、セキュリティを確保しつつ、アクセス端末の収容数が増加しても性能が低下することのないリモートアクセスシステム、方法及びプログラムを提供することが課題となる。特に、ＶＰＮアクセストラヒックに対して、セキュリティを確保しつつ、アクセス端末の収容数が増加しても性能を低下させることなくＬＡＮへのアクセス制御を実現するリモートアクセスシステム、方法及びプログラムを提供することが課題となる。
【課題を解決するための手段】
【０００８】
本発明の第１の視点に係るリモートアクセスシステムは、
リモート端末と、
前記リモート端末からの接続を収容するアクセスサーバと、
前記リモート端末と前記アクセスサーバとを論理的に接続する第１及び第２の論理回線とを備えるリモートアクセスシステムであって、
前記リモート端末は、フローを分類するフロー検索処理部を備え、
前記アクセスサーバは、フローの通過の可否を判定する通過判定処理部と、フローを分類するフロー検索処理部とを備え、
前記第１の論理回線は、前記アクセスサーバによる通過の可否の判定を要するフローに含まれるパケットの転送に用いられ、
前記第２の論理回線は、前記アクセスサーバによって通過の許可がされたフローに含まれるパケットの転送に用いられることを特徴とする。
【０００９】
第１の展開形態のリモートアクセスシステムは、
前記リモート端末における前記フロー検索処理部が、フローを分類し、前記アクセスサーバによる通過の可否の判定を要するフローに含まれるパケットを前記第１の論理回線を介して前記アクセスサーバに送信し、前記アクセスサーバによって通過の許可がされたフローに含まれるパケットを前記第２の論理回線を介して前記アクセスサーバに送信するように構成されることが好ましい。
【００１０】
第２の展開形態のリモートアクセスシステムは、
前記アクセスサーバが、前記第２の論理回線を介して受信したパケットに対して通過の可否を判定することなく通過を許可し、
前記アクセスサーバにおける前記通過判定処理部が、前記第１の論理回線を介して受信したパケットに対して通過の可否を判定し、通過を許可する場合には、該パケットが属するフローの情報を前記アクセスサーバにおける前記フロー検索処理部に登録するように構成されることが好ましい。
【００１１】
第３の展開形態のリモートアクセスシステムは、
前記アクセスサーバにおける前記フロー検索処理部が、前記リモート端末に送信すべきパケットが属するフローを分類し、通過の可否の判定が不要である場合には、該フローに属するパケットを前記第２の論理回線を介して前記リモート端末に送信し、通過の可否の判定が必要である場合には、前記通過判定処理部によって該フローに対する通過の判定を行なった後に前記第１の論理回線を介して前記リモート端末に送信するように構成されることが好ましい。
【００１２】
第４の展開形態のリモートアクセスシステムは、
前記リモート端末における前記フロー検索処理部によって参照されるフロー情報が、前記第２の論理回線を介して受信したパケットが属するフロー情報に基づいて、前記リモート端末に設けたフローテーブルに自動登録されることが好ましい。
【００１３】
第５の展開形態のリモートアクセスシステムは、
前記アクセスサーバにおける前記フロー検索処理部によって参照されるフロー情報が、前記通過判定処理部によって通過が許可された場合に、前記アクセスサーバに設けたフローテーブルに登録されることが好ましい。
【００１４】
本発明の第２の視点に係るリモート端末は、
アクセスサーバによって接続を収容され、該アクセスサーバと第１及び第２の論理回線によって論理的に接続されたリモート端末であって、
前記リモート端末は、フローを分類するフロー検索処理部を備え、前記アクセスサーバによる通過の可否の判定を要するフローに含まれるパケットを前記第１の論理回線を介して前記アクセスサーバに送信し、前記アクセスサーバによって通過の許可がされたフローに含まれるパケットを前記第２の論理回線を介して前記アクセスサーバに送信するように構成されたことを特徴とする。
【００１５】
本発明の第３の視点に係るアクセスサーバは、
リモート端末からの接続を収容し、該リモート端末と第１及び第２の論理回線によって論理的に接続されたアクセスサーバであって、
前記アクセスサーバは、フローの通過の可否を判定する通過判定処理部と、フローを分類するフロー検索処理部とを備え、自身によって通過の可否の判定を要するフローに含まれるパケットを前記第１の論理回線介して前記リモート端末に送信し、自身によって通過の許可がされたフローに含まれるパケットを前記第２の論理回線を介して前記リモート端末に送信するように構成されたことを特徴とする。
【００１６】
本発明の第４の視点に係るリモートアクセス方法は、
リモート端末と該リモート端末からの接続を収容するアクセスサーバとの間のリモートアクセス方法であって、
前記リモート端末によって、フローを分類する工程と、
前記リモート端末によって、前記アクセスサーバによる通過の可否の判定を要するフローに含まれるパケットを第１の論理回線を介して前記アクセスサーバに送信するとともに、前記アクセスサーバによって通過の許可がされたフローに含まれるパケットを第２の論理回線を介して前記アクセスサーバに送信する工程と、
前記アクセスサーバによって、前記第２の論理回線を介して受信したパケットに対して通過の可否を判定することなく通過を許可する工程と、を含むことを特徴とする。
【００１７】
本発明の第５の視点に係るリモートアクセス方法は、
リモート端末からアクセスサーバへのリモートアクセス方法であって、
フローを分類する工程と、
前記アクセスサーバによる通過の可否の判定を要するフローに含まれるパケットを第１の論理回線を介して前記アクセスサーバに送信するとともに、前記アクセスサーバによって通過の許可がされたフローに含まれるパケットを第２の論理回線を介して前記アクセスサーバに送信する工程と、を含むことを特徴とする。
【００１８】
本発明の第６の視点に係るリモートアクセス方法は、
アクセスサーバからリモート端末へのリモートアクセス方法であって、
前記アクセスサーバによって通過の許可がされたフローに含まれるパケットを送信するための専用の論理回線を介して受信したパケットに対して通過の可否を判定することなく通過を許可する工程と、を含むことを特徴とする。
【００１９】
本発明の第７の視点に係るリモートアクセスプログラムは、
リモート端末と該リモート端末からの接続を収容するアクセスサーバとの間のリモートアクセス処理を、該リモート端末及び該アクセスサーバに備えたコンピュータに実行させるリモートアクセスプログラムであって、
フローを分類する処理と、
前記アクセスサーバによる通過の可否の判定を要するフローに含まれるパケットを第１の論理回線を介して前記アクセスサーバに送信するとともに、前記アクセスサーバによって通過の許可がされたフローに含まれるパケットを第２の論理回線を介して前記アクセスサーバに送信する処理と、を前記リモート端末に備えたコンピュータに実行させるとともに、
前記第２の論理回線を介して受信したパケットに対して通過の可否を判定することなく通過を許可する処理を、前記アクセスサーバに備えたコンピュータに実行させることを特徴とする。
【００２０】
本発明の第８の視点に係るリモートアクセスプログラムは、
リモート端末からアクセスサーバへのリモートアクセス処理を、該リモート端末に備えたコンピュータに実行させるリモートアクセスプログラムであって、
フローを分類する処理と、
前記アクセスサーバによる通過の可否の判定を要するフローに含まれるパケットを第１の論理回線を介して前記アクセスサーバに送信するとともに、前記アクセスサーバによって通過の許可がされたフローに含まれるパケットを第２の論理回線を介して前記アクセスサーバに送信する処理と、を前記リモート端末に備えたコンピュータに実行させることを特徴とする。
【００２１】
本発明の第９の視点に係るリモートアクセスプログラムは、
アクセスサーバからリモート端末へのリモートアクセス処理を、該アクセスサーバに備えたコンピュータに実行させるリモートアクセスプログラムであって、
前記アクセスサーバによって通過の許可がされたフローに含まれるパケットを送信するための専用の論理回線を介して受信したパケットに対して通過の可否を判定することなく通過を許可する処理を、前記アクセスサーバに備えたコンピュータに実行させることを特徴とする。
【発明の効果】
【００２２】
本発明によって、セキュリティを確保しつつ、アクセス端末の収容数が増加しても性能が低下することのないリモートアクセスシステム、方法及びプログラムを提供することができる。リモート端末と、該リモート端末から受信したフローをフィルタ処理するアクセスサーバと、を備えるリモートアクセスシステムであって、
前記リモート端末及び前記アクセスサーバは、前記アクセスサーバによって前記端末から受信したフローの通過の許可がされた場合には、前記許可がされたフローのフィルタ処理を負荷分散するように構成されたことを特徴とするリモートアクセスシステム。
【発明を実施するための最良の形態】
【００２３】
（実施形態１）
本発明の第１の実施形態に係るリモートアクセスシステムについて図面を参照して説明する。図１は、本実施形態に係るリモートアクセスシステムの構成を示すブロック図である。
【００２４】
リモートアクセスシステムは、図１を参照すると、リモート端末３０と、リモート端末３０からの接続を収容するアクセスサーバ４０と、リモート端末３０とアクセスサーバ４０とを論理的に接続する第１及び第２の論理回線５１、５２とを備える。リモート端末３０は、フローを分類するフロー検索処理部３１を備える。アクセスサーバ４０は、フローの通過の可否を判定する通過判定処理部４２と、フローを分類するフロー検索処理部４１とを備える。第１の論理回線５１は、アクセスサーバ４０による通過の可否の判定を要するフローに含まれるパケットの転送に用いられる。第２の論理回線５２は、アクセスサーバ４０によって通過の許可がされたフローに含まれるパケットの転送に用いられる。
【００２５】
リモート端末３０におけるフロー検索処理部３１は、フローを分類し、アクセスサーバ４０による通過の可否の判定を要するフローに含まれるパケットを第１の論理回線５１を介してアクセスサーバ４０に送信し、アクセスサーバ４０によって通過の許可がされたフローに含まれるパケットを第２の論理回線５２を介してアクセスサーバ４０に送信することが好ましい。
【００２６】
アクセスサーバ４０は、第２の論理回線５２を介して受信したパケットに対して通過の可否を判定することなく通過を許可し、
通過判定処理部４２は、第１の論理回線５１を介して受信したパケットに対して通過の可否を判定し、通過を許可する場合には、該パケットが属するフローの情報をフロー検索処理部４１に登録することが好ましい。
【００２７】
アクセスサーバ４０におけるフロー検索処理部４１は、リモート端末３０に送信すべきパケットが属するフローを分類し、通過の可否の判定が不要である場合には、該フローに属するパケットを第２の論理回線５２を介してリモート端末３０に送信し、通過の可否の判定が必要である場合には、通過判定処理部４２によって該フローに対する通過の判定を行なった後に第１の論理回線５１を介してリモート端末３０に送信することが好ましい。
【００２８】
リモート端末３０におけるフロー検索処理部３１によって参照されるフロー情報は、第２の論理回線５２を介して受信したパケットが属するフロー情報に基づいて、リモート端末３０に設けたフローテーブルに自動登録されることが好ましい。
【００２９】
アクセスサーバ４０におけるフロー検索処理部４１によって参照されるフロー情報は、通過判定処理部４２によって通過が許可された場合に、アクセスサーバ４０に設けたフローテーブルに登録されることが好ましい。
【００３０】
また、本実施形態に係るリモートアクセスシステムにおける上記の各部の処理を、リモートアクセスプログラムによって、コンピュータに実行させてもよい。かかる場合のリモートシステムの構成図を図１１に示す。すなわち、リモートアクセスプログラムは、図１１を参照すると、リモート端末６０と、リモート端末６０からの接続を収容するアクセスサーバ７０と、リモート端末６０とアクセスサーバ７０とを論理的に接続する第１及び第２の論理回線５１、５２とを備えるリモートアクセスシステムにおけるリモートアクセス処理をリモート端末６０及びアクセスサーバ７０に備えたＣＰＵ６１、７１に実行させるリモートアクセスプログラムである。リモートアクセスプログラムは、リモート端末６０において、フローを分類する処理をリモート端末６０に備えたＣＰＵ６１に実行させる。また、リモートアクセスプログラムは、リモート端末６０において、アクセスサーバ７０による通過の可否の判定を要するフローに含まれるパケットを前記第１の論理回線を介してアクセスサーバ７０に送信するとともに、アクセスサーバ７０によって通過の許可がされたフローに含まれるパケットを第２の論理回線５２を介してアクセスサーバ７０に送信する処理と、をリモート端末６０に備えたＣＰＵ６１に実行させる。さらに、リモートアクセスプログラムは、アクセスサーバ７０において、第２の論理回線５２を介して受信したパケットに対して通過の可否を判定することなく通過を許可する処理を、アクセスサーバ７０に備えたＣＰＵ７１に実行させる。
【００３１】
（実施形態２）
本発明の第２の実施形態にリモートアクセスシステムについて図面を参照して説明する。本実施形態は、ＶＰＮを用いたリモートアクセスに関するものである。図２は、本実施形態のリモートアクセスシステムの構成を示すブロック図である。リモートアクセスシステムは、ＶＰＮリモート端末１００−１〜１００〜ＮとＶＰＮアクセスサーバ２００とを備え、これらは、公衆回線１０を介して相互に接続される。
【００３２】
ＶＰＮアクセスサーバ２００に設けたアクセス制御部は、フローの通過の判定を行なうとともに、一旦通過可と判定したフローについては、ＶＰＮリモート端末１００−ｉ（ｉ＝１〜Ｎ）及びＶＰＮアクセスサーバ２００に設けたフローテーブルにフロー情報を登録する。通過判定済のフローは、通過判定済みであるに応じて、ＶＰＮ１２−ｉを利用して転送することによって、ＶＰＮリモート端末１００−ｉとＶＰＮアクセスサーバ２００とが協調して通過判定処理を行う。
【００３３】
ＶＰＮアクセスサーバ２００において通過判定と判断されたフローは、ＶＰＮリモート端末１００−ｉ内のフローエントリにしたがって、ＶＰＮ１２−ｉを使ってＶＰＮアクセスサーバ２００に転送する。一方、ＶＰＮアクセスサーバ２００は、ＶＰＮ１２−ｉからトラヒックを受信した場合には、通過判定済みであるとして通過判定処理をスキップ（省略）する。一方、ＬＡＮ２０から受信したトラヒックに対しては、ＶＰＮアクセスサーバ２００は、通過判定済みのフローであるか否かを検索し、判定済みのフローであれば、ＶＰＮ１２−ｉを使ってＶＰＮリモート端末１００−ｉに転送し、通過判定済みであることを通知する。以上により、ＶＰＮアクセスサーバ２００内のポリシーテーブルとの比較処理（通過判定処理）の処理回数を削減し、ＶＰＮリモート端末１００−ｉ及びＶＰＮアクセスサーバ２００のそれぞれに設けたフロー検索処理部によって通過判定処理を分散処理することでＶＰＮアクセスサーバ２００の処理負荷を軽減する。
【００３４】
本実施形態によれば、ＶＰＮアクセスサーバ２００の通過判定処理において、ポリシーテーブルの参照による判定処理を最初の数パケットに対してのみ行い、通過判定済みのフローについてはＶＰＮリモート端末１００−１〜１００−Ｎ及びＶＰＮアクセスサーバ２００に設けたフローテーブルを参照して転送されるため、ＶＰＮアクセスサーバ２００におけるポリシーテーブルの検索に要する処理負荷を軽減することができ、アクセス処理が集中した場合であってもアクセス性能の低下を防ぐことができる。
【００３５】
（実施形態３）
次に、本発明の第３の実施形態について図面を参照して詳細に説明する。図２は、本実施形態に係るＶＰＮリモートアクセスシステムの構成を示す。ＶＰＮアクセスサーバ２００は、ＬＡＮ２０と公衆回線１０とに接続される。ＶＰＮアクセスサーバ２００は、公衆回線（インターネット等を含む）１０を介してＶＰＮリモート端末１００−１〜１００−Ｎとの間に、ＶＰＮ１１−１〜１１−ＮとＶＰＮ１２−１〜１２−Ｎとを確立している。ＶＰＮリモート端末１００−１〜１００−Ｎは、このＶＰＮを介して、ＬＡＮ２０に接続されたサーバ３００のサービスを利用することが可能になる。なお、Ｎはリモート端末の個数を表し、本実施形態においてＮは任意の数である。
【００３６】
図３は、本実施形態におけるＶＰＮリモート端末１００とＶＰＮアクセスサーバ２００の構成を示す。ＶＰＮリモート端末１００は、ＶＰＮ終端処理部１１０、アクセス制御部１２０、プロトコル処理部１３０、アプリケーション１４０を備える。ＶＰＮアクセスサーバ２００は、ＶＰＮ終端処理部２１０、アクセス制御部２２０を備える。ＶＰＮリモート端末１００−１とＶＰＮアクセスサーバ２００は、ＶＰＮ１１−１及び１２−１を介して接続されている。また、ＶＰＮアクセスサーバ２００は、他のＶＰＮリモート端末１００−ｉ（ｉ＝２〜Ｎ）とＶＰＮ１１−ｉ及び１２−ｉを介して接続されている。また、ＶＰＮアクセスサーバ２００はＬＡＮ２１によってＬＡＮ２０に接続されている。
【００３７】
図４は、本実施形態のＶＰＮリモート端末１００の構成を示すブロック図である。アクセス制御部１２０は、フロー情報抽出処理部１２１、多重処理部１２３、フロー検索処理部１２４、フローテーブル１２５を備える。アクセス制御部１２０は、ＶＰＮ終端処理部１１０によって終端される２本のＶＰＮ１１、１２と接続される。
【００３８】
フロー情報抽出処理部１２１はＶＰＮ１２からフロー情報を抽出し、フローテーブル１２５に登録する。フロー検索処理部１２４は、フローテーブル１２５を参照し、プロトコル処理部１３０から受信するデータを検索して、ＶＰＮ１１宛又はＶＰＮ１２宛のいずれであるかの判定を行なう。多重処理部１２３はフロー情報抽出処理部１２１からの出力データとＶＰＮ１１からの受信データとを多重してプロトコル処理部１３０へ出力する。
【００３９】
図５に本実施形態におけるＶＰＮアクセスサーバ２００のアクセス制御部２２０の構成を示す。アクセス制御部２２０は、通過判定処理２２１、ポリシーテーブル２２２、多重処理部２２３、フロー検索処理部２２４、フローテーブル２２５を備える。
【００４０】
通過判定処理部２２１は、ＶＰＮ１１からのデータを受信し、ポリシーテーブル２２２に従って、通過の判定を行なう。通過の判定は、パケットヘッダ（ＩＰ、ＴＣＰ、ＵＤＰなど）の情報に基づいて行なう。通過判定の結果、通過するものと判定し、かつリモート端末１００との間で分担してアクセス制御をすると判断したフローについては、フローテーブル２２５にフロー情報を登録する。多重処理部２２３は、通過判定処理２２１の出力とＶＰＮ１２からの受信データを多重してＬＡＮ２１に出力する。フロー検索処理部２２４は、ＬＡＮ２１からの受信データのヘッダに基づいてフロー検索を実施する。フロー検索はフローテーブル２２５を参照して行なわれる。検索の結果、リモート端末１００と分担してアクセス制御をすると判断した場合にはＶＰＮ１２へ受信データを送信し、通過判定処理２２１でパケットを参照する場合又はリモート端末１００と分担を行なわない場合にはＶＰＮ１１へ受信データを送信する。
【００４１】
図６は、フローテーブル１２５、２２５のエントリの一例を示す。リモート端末１００のフローテーブル１２５の内容は、リモート端末１００自身のＩＰアドレスを示す送信元ＩＰアドレス、通信先のＩＰアドレスを示す宛先ＩＰアドレス、レイヤ４のプロトコル種別、レイヤ４の宛先及び送信元ポート番号をキーとして格納しており、対応するアクションとして、ＶＰＮ１２に渡すか又はＶＰＮ１１に渡すかが記載されている。また、有効期限欄には、そのエントリがいつまで有効であるのかを示す時刻情報（時刻変数）が記録されている。
【００４２】
ＶＰＮアクセスサーバ２００のフローテーブル２２５の内容もほぼ同様である。ＬＡＮ側のトラヒックに対して検索するので、宛先ＩＰアドレスはリモート端末１００のＩＰアドレスを示し、送信元ＩＰアドレスはトラヒック送信元であるサーバ３００、レイヤ４の送信元ポート番号はサーバ３００のポート番号、宛先ポート番号はリモート端末１００によって割り当てられたポート番号となる。また、出力アクションにおいてＶＰＮ１２か１１に渡すか否かの情報が格納され、有効期限も記録される。
【００４３】
なお、ＶＰＮリモート端末１００、ＶＰＮアクセスサーバ２００の機能は、ＣＰＵ上で動作するプログラム（ソフトウェア）として実現されてもよく、また、ハードウェア回路として実現されてもよい。
【００４４】
さらに、本説明ではＶＰＮ１１、ＶＰＮ１２のように２本の回線を利用しているが、これらは物理的に異なる回線である必要はなく、論理的に識別できる複数の回線であればよい。たとえばＩＰＳｅｃやＳＳＬ−ＶＰＮにより確立される１本のＶＰＮ上に多重された二種類のＶＬＡＮ（仮想ＬＡＮ）回線や、ＭＰＬＳ（ＭｕｌｔｉＰｒｏｔｏｃｏｌ Ｌａｂｅｌ Ｓｗｉｔｃｈｉｎｇ）回線や、あるいはＩＰヘッダのＴＯＳフィールドと呼ばれる付加情報ビットを用いた識別でもよい。このような、論理的に区分できる回線を利用することでＶＰＮ終端処理１１０、１２０の間に２本の論理回線を確立することができ、本実施形態に係るリモートアクセスシステムにおいては、かかる論理回線を利用するものとする。
【００４５】
ＶＰＮリモート端末１００とＶＰＮアクセスサーバ２００の動作について、図７のシーケンス図を参照して説明する。ここでは、ＶＰＮリモート端末１００内のアプリケーション１４０（図３）が、新たなフローのデータをＶＰＮを介してサーバ３００（図２）に送信する場合を考える。このとき、アプリケーション１４０は、プロトコル処理部１３０を介してアクセス制御部１２０にデータを渡す（Ｓ３０１）。まず、フロー検索処理部１２４は、パケットヘッダ情報に基づいて検索を行なう。フロー検索処理部１２４は、検索の結果、新規のフローであると判定するため、ミスヒットとなる。そこで、フロー検索処理部１２４は、ＶＰＮ終端処理部１１０に対してＶＰＮ１１を選択するよう指示する（Ｓ３０２）。ＶＰＮ終端処理部１１０は、本データに対して、ＶＰＮ終端処理を施した後、ＶＰＮ１１を介してＶＰＮアクセスサーバ２００に送信する（Ｓ３０３）。ＶＰＮ終端処理部１１０は、例えば、オリジナルのＬＡＮパケットに対し、リモート端末１００とサーバ３００との間で利用する付加情報（ヘッダ）を付加し、さらにＩＰＳｅｃやＳＳＬなどの暗号化を施し、公衆回線（インターネット等）で転送可能なＩＰアドレスを付加して送信する。
【００４６】
ＶＰＮアクセスサーバ２００のＶＰＮ終端処理部２１０は、ＶＰＮデータを終端してオリジナルのＬＡＮパケットを抽出し、通過判定処理部２２１に送信する（Ｓ３０４）。次に、通過判定処理部２２１は、パケットを検査して通過させるか否かを判定する。通過判定は、ポリシーテーブル２２２を参照して行われる。通過判定処理部２２１は、パケットの情報（ヘッダ、ペイロード）とポリシーテーブル２２２に登録されている通過条件とを比較することによって判定を行う。通過判定処理部２２１は、例えば、ＩＰアドレスの送信元、宛先アドレスと、プロトコルフィールド（ＴＣＰ、ＵＤＰなど）、レイヤ４のポート番号（ＴＣＰの場合は宛先、送信元ポート番号）によって通過判定を行う。通過判定処理部２２１は、通過と判定した場合には、多重処理部２２３に対してパケットを送信し（Ｓ３０５）、多重処理部２２３は、受信したパケットをＬＡＮに出力する（Ｓ３０７）。さらに、本実施形態の方式によって、リモート端末１００との間でアクセス制御を分担する場合には、フロー識別情報をフローテーブル２２５に登録する（Ｓ３０６）。
【００４７】
次に、逆向きのトラヒックをＬＡＮ２０から受信した場合の動作ついて図面を参照して説明する。ＶＰＮアクセスサーバ２００は、ＬＡＮ２０からパケットを入力すると、フロー検索処理部２２４によってフロー検索を行なう（Ｓ３０８）。ステップＳ３０６においてフローテーブル２２５にフローエントリが登録されている。したがって、フロー検索処理部２２４における検索の結果はヒットとなるため、フロー検索処理部２２４はＶＰＮ１２を選択する（Ｓ３０９）。ＶＰＮ終端処理部２１０は、カプセル化、暗号化を行い、ＶＰＮ１２を介してＶＰＮリモート端末１００にパケットを送信する（Ｓ３１０）。
【００４８】
ＶＰＮリモート端末１００のＶＰＮ終端処理部１１０は、ＶＰＮ１２からデータを受信すると、フロー情報抽出処理部１２１によってパケットヘッダのフロー情報を抽出し、そのフロー情報がフローテーブル１２５に未登録である場合には登録処理を行う（Ｓ３１２）。また、ＶＰＮ終端処理部１１０によってＶＰＮ終端をすることによって取り出されたオリジナルパケットデータは、プロトコル処理部１３０を経由してアプリケーションに渡される（Ｓ３１１）。
【００４９】
次に、この状態において、リモート端末１００からＶＰＮアクセスサーバ２００へ向けて送出された同一フローに属するパケットの処理について説明する。ＶＰＮリモート端末１００は、プロトコル処理部１３０からＬＡＮ２０に向かうパケットを受信すると（Ｓ３１３）、フロー検索処理部１２４によってフロー検索を行なう。ステップＳ３１２において、フローの登録を行なっているため、フロー検索処理部１２４におけるフロー検索はヒットする（Ｓ３１４）。ここで、フロー検索がヒットしたということは、かかるフローはＶＰＮアクセスサーバ２００によって通過を許可されているフローであり、ＶＰＮアクセスサーバ２００によって通過判定処理を行う必要がないフローである、ということを示す。フロー検索処理部１２４は、パケットをＶＰＮ終端処理部１１０に送信する（Ｓ３１４）。このヒットしたパケットについては、ＶＰＮ終端処理部１１０は、ＶＰＮ終端処理によってカプセル化、暗号化を行なった後、ＶＰＮ１２に送信する（Ｓ３１５）。この点において、上記のステップＳ３０３とは異なっている。
【００５０】
ＶＰＮアクセスサーバ２００のＶＰＮ終端処理部２１０は、本パケットのカプセル処理、暗号データの復号処理を行ってオリジナルのパケットを取り出す。さらに、ＶＰＮ終端処理部２１０は、ＶＰＮ１２から受信したデータについては通過判定処理部２２１に送信することなく、直接多重処理部２２３へ送信する（Ｓ３１６）。多重処理部２２３は、受信したパケットをＬＡＮに送信する（Ｓ３１７）。
【００５１】
一方、ＬＡＮ２０からＶＰＮリモート端末１００に向かうデータの処理、すなわち、ステップＳ３１８〜Ｓ３２１の処理は、上記のステップＳ３０８〜Ｓ３１１の処理と同様である。ただし、ＶＰＮリモート端末１００のフロー情報抽出処理部１２１がフローテーブル１２５を確認するときに、すでに登録済みであるため、新たな登録を行なわない点のみが異なる。
【００５２】
以上のように、ＶＰＮアクセスサーバ２００とＶＰＮリモート端末１００とが動作することによって、通過判定に必要なポリシーテーブル２２２はＶＰＮアクセスサーバ２００に置いたまま、通過判定されたパケットについてはフロー検索処理部１２４とフロー検索処理部２２４との間で分担することでアクセス制御を実施することが可能になる。
【００５３】
次に、図８のシーケンス図を参照してエントリの削除動作について説明する。図８のシーケンス図は、図７のシーケンス図の続きとする。すなわち、フローテーブル１２５にはフロー情報がすでに登録されている状態を考える。この状態において、ＶＰＮリモート端末１００のアプリケーション１４０からＬＡＮ２０の方向へ送出されたパケットは、ステップＳ３１３〜Ｓ３１７と同様の処理によってＬＡＮ２０まで転送される（Ｓ３３１〜Ｓ３３５）。一方、逆向きのパケットは、ステップＳ３１８〜Ｓ３２１と同様なシーケンスによりＬＡＮ２０からＶＰＮリモート端末１００まで転送される（Ｓ３３６〜Ｓ３４０）。
【００５４】
ここで、フローテーブルエントリには有効期限が示されており、有効期限に示される時刻が到来するまで一度も参照されなかった場合には、フローテーブル１２５から削除される。一方、一度でも参照された場合には、有効期限を更新する。ＶＰＮアクセスサーバ２００からＶＰＮ１２を介して受信したフローがフローテーブル１２５に登録されているか否かを参照するようにしてもよい。また、ＶＰＮリモート端末１００からＶＰＮアクセスサーバ２００に向けて送信されるトラヒックに対してフロー検索処理部１２４においてヒットした場合に、参照されたものと判定し、有効期限を更新するようにしてもよい。有効期限が過ぎた場合には、フローテーブル１２５から該当フローのエントリは削除される（Ｓ３４１）。
【００５５】
後続の同一フローに属するデータを受信した場合（Ｓ３４２）、フローテーブル１２５にエントリがないため、フロー検索処理部１２４による検索はミスヒットとなる（Ｓ３４３）。この場合には、フロー検索処理部１２４はＶＰＮ１１を選択する。フロー検索処理部１２４は、パケットをＶＰＮ終端処理部１１０に送信する（Ｓ３４４）。ＶＰＮ終端処理部１１０は、パケットのカプセル化、暗号化を行ない、ＶＰＮ１１を利用してＶＰＮアクセスサーバ２００に対して送信する（Ｓ３４４）。
【００５６】
ＶＰＮアクセスサーバ２００のＶＰＮ終端処理部２１０は、ＶＰＮ１１を介して受信したデータについては、通過判定処理部２２１に送信する（Ｓ３４５）。通過判定処理部２２１は、アクセス制御の判定を行う。通過判定処理部２２１は、受信したフローを通過させるものと判定し、かつ、リモート端末１００との間でアクセス制御を分担するものと判定した場合には、フローテーブル２２５に対してフロー情報を登録する（Ｓ３４７）。また、通過判定処理部２２１は、多重処理部２２３を経由して（Ｓ３４６）、パケットをＬＡＮ２０に送信する（Ｓ３４８）。
【００５７】
フロー検索処理部２２５は、ＬＡＮ２０からリモート端末１００のアプリケーション１４０に向かう同一フローのパケットを受信する（Ｓ３４９）。かかるパケットはフローテーブル２２５にヒットするため（Ｓ３４９）、フロー検索処理部２２５は、ＶＰＮ１２を介してＶＰＮリモート端末１００にパケットを送信する（Ｓ３５０、Ｓ３５１）。
【００５８】
ＶＰＮリモート端末１００は、ＶＰＮ１２を介してパケットを受信すると、フロー情報抽出処理部１２１によってフロー情報を取り出し、フローテーブル１２５に登録する（Ｓ３５３）。また、パケットはプロトコル処理部１３０を経由してアプリケーション１４０に転送される（Ｓ３５２）。
【００５９】
以上の動作によって、ＶＰＮリモート端末１００はポリシー情報を明示的に保持することなく、ＶＰＮアクセスサーバ２００からのデータのみに基づいて、アクセス制御を実施することができる。
【実施例】
【００６０】
本発明の実施例に係るリモートアクセスシステムについて図面を参照して説明する。図９は、具体的なポリシーテーブル２２２の例を示す。図９のテーブルを参照しつつ、本実施例に係るリモートアクセスシステムの動作について説明する。
【００６１】
図９のポリシーテーブル２２２においては、３つのエントリが記載されている。ポリシーテーブル２２２は優先度（ｐｒｉｏｒｉｔｙ）の順に参照され、最初に一致したポリシーが適用される。いま、リモート端末が１０．１．１．１００であるとし、この端末からＩＰアドレスが１０．１．３．１であるホストに対してＴＣＰ通信により、宛先ＴＣＰポート番号８０、送信元ポート番号１２３４によってアクセスすることを考える。
【００６２】
図７のシーケンス図を参照して転送処理を説明する。フロー検索処理部１２４におけるフロー検索がミスヒットとなり、パケットは、ＶＰＮ１１を介してＶＰＮアクセスサーバ２００へ送られる。ＶＰＮアクセスサーバ２００の通過判定処理部２２１は、ポリシーテーブル２２２を参照する。このとき、優先度＝１０のエントリに条件がマッチし、アクション（ａｃｔｉｏｎ）に基づいて、「通過」させる（ａｌｌｏｗ）と判定する。
【００６３】
通過判定処理部２２１は、「通過」と判定すると、フローテーブル２２５にエントリを登録する（Ｓ３０６）。図９のフローテーブルに示すように、リモート端末１００のＩＰアドレス１０．１．１．１００、ホスト側のＩＰアドレス１０．１．３．１、Ｌ４プロトコル（ｐｒｏｔｏｃｏｌ）＝ＴＣＰ、ホスト側のＴＣＰポート番号（ｄｐｏｒｔ）８０、送信元ポート番号（ｓｐｏｒｔ）１２３４、というキーで構成されるエントリを作成する。さらに、このキーに対応して、出力としてＶＰＮ１２が選択され、有効期限として、一例として０：１５が格納される。
【００６４】
さらに、ＶＰＮ１２を介して転送されたパケットは、ＶＰＮリモート端末１００にわたされ、フローテーブル１２５に登録される（Ｓ３１２）。後続のパケットが同一のフロー情報（ＩＰＳＡ＝１０．１．１．１００、ＩＰＤＡ＝１０．１．３．１、Ｌ４プロトコル＝ＴＣＰ、宛先ポート＝８０、送信元ポート＝１２３４）を備えたパケットである場合には、フロー検索処理部１２４における検索処理が、フローテーブルにヒットして（Ｓ３１３）、ＶＰＮ１２が選択される。ＶＰＮ１２を介して転送されたパケットは、ＶＰＮ終端処理部２１０を経由した後、通過判定処理２２１を経由することなく多重処理部２２３を介してＬＡＮ２０に送信される。
【００６５】
このように、フローテーブルに登録されたフローについて、ＶＰＮリモート端末１００とＶＰＮアクセスサーバ２００とが連携して処理を行うことによって、負荷の高い通過判定処理をスキップ（省略）することができ、システム全体でのアクセス性能の向上を図ることができる。
【図面の簡単な説明】
【００６６】
【図１】本発明の実施形態に係るリモートアクセスシステムの構成を示すブロック図である。
【図２】本発明の実施形態に係るリモートアクセスシステムの構成を示すブロック図である。
【図３】本発明の実施形態に係るリモートアクセスシステムの構成の詳細を示すブロック図である。
【図４】本発明の実施形態に係るＶＰＮリモート端末の構成を示すブロック図である。
【図５】本発明の実施形態に係るＶＰＮアクセスサーバの構成を示すブロック図である。
【図６】本発明の実施形態に係るＶＰＮリモート端末及びＶＰＮアクセスサーバに備えるフローテーブルのフォーマットを示す図である。
【図７】発明の実施形態に係るリモートアクセスシステムの動作を示すシーケンス図である。
【図８】発明の実施形態に係るリモートアクセスシステムの動作を示すシーケンス図である。
【図９】本発明の実施例におけるポリシーテーブルを示す図である。
【図１０】従来のリモートアクセスシステムの構成を示すブロック図である。
【図１１】本発明の実施形態に係るリモートアクセスシステムの構成を示すブロック図である。
【符号の説明】
【００６７】
１０ 公衆回線
１１、１２、１１−１〜１１−Ｎ、１２−Ｎ ＶＰＮ
２０、２１ ＬＡＮ
３０、６０ リモート端末
３１、４１ フロー検索処理部
４２ 通過判定処理部
４０、７０ アクセスサーバ
５１、５２ 論理回線
６１、７１ ＣＰＵ
１００、１００−１〜１００−Ｎ、４００−１〜４００−Ｎ ＶＰＮリモート端末
１１０、２１０、４１１ ＶＰＮ終端処理部
１２０、２２０ アクセス制御部
１２１ フロー情報抽出処理部
１２３、２２３ 多重処理部
１２４、２２４ フロー検索処理部
１２５、２２５ フローテーブル
１３０ プロトコル処理部
１４０ アプリケーション
２００、２００−１〜２００−Ｎ、４１０ ＶＰＮアクセスサーバ
２２１ 通過判定処理
２２２ ポリシーテーブル
３００ サーバ
５００ フィルタ装置
【特許請求の範囲】
【請求項１】
リモート端末と、
前記リモート端末からの接続を収容するアクセスサーバと、
前記リモート端末と前記アクセスサーバとを論理的に接続する第１及び第２の論理回線とを備えるリモートアクセスシステムであって、
前記リモート端末は、フローを分類するフロー検索処理部を備え、
前記アクセスサーバは、フローの通過の可否を判定する通過判定処理部と、フローを分類するフロー検索処理部とを備え、
前記第１の論理回線は、前記アクセスサーバによる通過の可否の判定を要するフローに含まれるパケットの転送に用いられ、
前記第２の論理回線は、前記アクセスサーバによって通過の許可がされたフローに含まれるパケットの転送に用いられることを特徴とするリモートアクセスシステム。
【請求項２】
前記リモート端末における前記フロー検索処理部は、フローを分類し、前記アクセスサーバによる通過の可否の判定を要するフローに含まれるパケットを前記第１の論理回線を介して前記アクセスサーバに送信し、前記アクセスサーバによって通過の許可がされたフローに含まれるパケットを前記第２の論理回線を介して前記アクセスサーバに送信するように構成されたことを特徴とする、請求項１に記載のリモートアクセスシステム。
【請求項３】
前記アクセスサーバは、前記第２の論理回線を介して受信したパケットに対して通過の可否を判定することなく通過を許可し、
前記アクセスサーバにおける前記通過判定処理部は、前記第１の論理回線を介して受信したパケットに対して通過の可否を判定し、通過を許可する場合には、該パケットが属するフローの情報を前記アクセスサーバにおける前記フロー検索処理部に登録するように構成されたことを特徴とする、請求項１又は２に記載のリモートアクセスシステム。
【請求項４】
前記アクセスサーバにおける前記フロー検索処理部は、前記リモート端末に送信すべきパケットが属するフローを分類し、通過の可否の判定が不要である場合には、該フローに属するパケットを前記第２の論理回線を介して前記リモート端末に送信し、通過の可否の判定が必要である場合には、前記通過判定処理部によって該フローに対する通過の判定を行なった後に前記第１の論理回線を介して前記リモート端末に送信するように構成されたことを特徴とする、請求項１ないし３のいずれか一に記載のリモートアクセスシステム。
【請求項５】
前記リモート端末における前記フロー検索処理部によって参照されるフロー情報は、前記第２の論理回線を介して受信したパケットが属するフロー情報に基づいて、前記リモート端末に設けたフローテーブルに登録されることを特徴とする、請求項１ないし４のいずれか一に記載のリモートアクセスシステム。
【請求項６】
前記アクセスサーバにおける前記フロー検索処理部によって参照されるフロー情報は、前記通過判定処理部によって通過が許可された場合に、前記アクセスサーバに設けたフローテーブルに登録されることを特徴とする、請求項１ないし５のいずれか一に記載のリモートアクセスシステム。
【請求項７】
アクセスサーバによって接続を収容され、該アクセスサーバと第１及び第２の論理回線によって論理的に接続されたリモート端末であって、
前記リモート端末は、フローを分類するフロー検索処理部を備え、前記アクセスサーバによる通過の可否の判定を要するフローに含まれるパケットを前記第１の論理回線を介して前記アクセスサーバに送信し、前記アクセスサーバによって通過の許可がされたフローに含まれるパケットを前記第２の論理回線を介して前記アクセスサーバに送信するように構成されたことを特徴とするリモート端末。
【請求項８】
リモート端末からの接続を収容し、該リモート端末と第１及び第２の論理回線によって論理的に接続されたアクセスサーバであって、
前記アクセスサーバは、フローの通過の可否を判定する通過判定処理部と、フローを分類するフロー検索処理部とを備え、自身によって通過の可否の判定を要するフローに含まれるパケットを前記第１の論理回線を介して前記リモート端末に送信し、自身によって通過の許可がされたフローに含まれるパケットを前記第２の論理回線を介して前記リモート端末に送信するように構成されたことを特徴とするアクセスサーバ。
【請求項９】
リモート端末と該リモート端末からの接続を収容するアクセスサーバとの間のリモートアクセス方法であって、
前記リモート端末によって、フローを分類する工程と、
前記リモート端末によって、前記アクセスサーバによる通過の可否の判定を要するフローに含まれるパケットを第１の論理回線を介して前記アクセスサーバに送信するとともに、前記アクセスサーバによって通過の許可がされたフローに含まれるパケットを第２の論理回線を介して前記アクセスサーバに送信する工程と、
前記アクセスサーバによって、前記第２の論理回線を介して受信したパケットに対して通過の可否を判定することなく通過を許可する工程と、を含むことを特徴とするリモートアクセス方法。
【請求項１０】
リモート端末からアクセスサーバへのリモートアクセス方法であって、
フローを分類する工程と、
前記アクセスサーバによる通過の可否の判定を要するフローに含まれるパケットを第１の論理回線を介して前記アクセスサーバに送信するとともに、前記アクセスサーバによって通過の許可がされたフローに含まれるパケットを第２の論理回線を介して前記アクセスサーバに送信する工程と、を含むことを特徴とするリモートアクセス方法。
【請求項１１】
アクセスサーバによるリモート端末へのリモートアクセス方法であって、
前記アクセスサーバによって通過の許可がされたフローに含まれるパケットを送信するための専用の論理回線を介して受信したパケットに対して通過の可否を判定することなく通過を許可する工程と、を含むことを特徴とするリモートアクセス方法。
【請求項１２】
リモート端末と該リモート端末からの接続を収容するアクセスサーバとの間のリモートアクセス処理を、該リモート端末及び該アクセスサーバに備えたコンピュータに実行させるリモートアクセスプログラムであって、
フローを分類する処理と、
前記アクセスサーバによる通過の可否の判定を要するフローに含まれるパケットを第１の論理回線を介して前記アクセスサーバに送信するとともに、前記アクセスサーバによって通過の許可がされたフローに含まれるパケットを第２の論理回線を介して前記アクセスサーバに送信する処理と、を前記リモート端末に備えたコンピュータに実行させるとともに、
前記第２の論理回線を介して受信したパケットに対して通過の可否を判定することなく通過を許可する処理を、前記アクセスサーバに備えたコンピュータに実行させることを特徴とするリモートアクセスプログラム。
【請求項１３】
リモート端末からアクセスサーバへのリモートアクセス処理を、該リモート端末に備えたコンピュータに実行させるリモートアクセスプログラムであって、
フローを分類する処理と、
前記アクセスサーバによる通過の可否の判定を要するフローに含まれるパケットを第１の論理回線を介して前記アクセスサーバに送信するとともに、前記アクセスサーバによって通過の許可がされたフローに含まれるパケットを第２の論理回線を介して前記アクセスサーバに送信する処理と、を前記リモート端末に備えたコンピュータに実行させることを特徴とするリモートアクセスプログラム。
【請求項１４】
アクセスサーバからリモート端末へのリモートアクセス処理を、該アクセスサーバに備えたコンピュータに実行させるリモートアクセスプログラムであって、
前記アクセスサーバによって通過の許可がされたフローに含まれるパケットを送信するための専用の論理回線を介して受信したパケットに対して通過の可否を判定することなく通過を許可する処理を、前記アクセスサーバに備えたコンピュータに実行させることを特徴とするリモートアクセスプログラム。
【請求項１】
リモート端末と、
前記リモート端末からの接続を収容するアクセスサーバと、
前記リモート端末と前記アクセスサーバとを論理的に接続する第１及び第２の論理回線とを備えるリモートアクセスシステムであって、
前記リモート端末は、フローを分類するフロー検索処理部を備え、
前記アクセスサーバは、フローの通過の可否を判定する通過判定処理部と、フローを分類するフロー検索処理部とを備え、
前記第１の論理回線は、前記アクセスサーバによる通過の可否の判定を要するフローに含まれるパケットの転送に用いられ、
前記第２の論理回線は、前記アクセスサーバによって通過の許可がされたフローに含まれるパケットの転送に用いられることを特徴とするリモートアクセスシステム。
【請求項２】
前記リモート端末における前記フロー検索処理部は、フローを分類し、前記アクセスサーバによる通過の可否の判定を要するフローに含まれるパケットを前記第１の論理回線を介して前記アクセスサーバに送信し、前記アクセスサーバによって通過の許可がされたフローに含まれるパケットを前記第２の論理回線を介して前記アクセスサーバに送信するように構成されたことを特徴とする、請求項１に記載のリモートアクセスシステム。
【請求項３】
前記アクセスサーバは、前記第２の論理回線を介して受信したパケットに対して通過の可否を判定することなく通過を許可し、
前記アクセスサーバにおける前記通過判定処理部は、前記第１の論理回線を介して受信したパケットに対して通過の可否を判定し、通過を許可する場合には、該パケットが属するフローの情報を前記アクセスサーバにおける前記フロー検索処理部に登録するように構成されたことを特徴とする、請求項１又は２に記載のリモートアクセスシステム。
【請求項４】
前記アクセスサーバにおける前記フロー検索処理部は、前記リモート端末に送信すべきパケットが属するフローを分類し、通過の可否の判定が不要である場合には、該フローに属するパケットを前記第２の論理回線を介して前記リモート端末に送信し、通過の可否の判定が必要である場合には、前記通過判定処理部によって該フローに対する通過の判定を行なった後に前記第１の論理回線を介して前記リモート端末に送信するように構成されたことを特徴とする、請求項１ないし３のいずれか一に記載のリモートアクセスシステム。
【請求項５】
前記リモート端末における前記フロー検索処理部によって参照されるフロー情報は、前記第２の論理回線を介して受信したパケットが属するフロー情報に基づいて、前記リモート端末に設けたフローテーブルに登録されることを特徴とする、請求項１ないし４のいずれか一に記載のリモートアクセスシステム。
【請求項６】
前記アクセスサーバにおける前記フロー検索処理部によって参照されるフロー情報は、前記通過判定処理部によって通過が許可された場合に、前記アクセスサーバに設けたフローテーブルに登録されることを特徴とする、請求項１ないし５のいずれか一に記載のリモートアクセスシステム。
【請求項７】
アクセスサーバによって接続を収容され、該アクセスサーバと第１及び第２の論理回線によって論理的に接続されたリモート端末であって、
前記リモート端末は、フローを分類するフロー検索処理部を備え、前記アクセスサーバによる通過の可否の判定を要するフローに含まれるパケットを前記第１の論理回線を介して前記アクセスサーバに送信し、前記アクセスサーバによって通過の許可がされたフローに含まれるパケットを前記第２の論理回線を介して前記アクセスサーバに送信するように構成されたことを特徴とするリモート端末。
【請求項８】
リモート端末からの接続を収容し、該リモート端末と第１及び第２の論理回線によって論理的に接続されたアクセスサーバであって、
前記アクセスサーバは、フローの通過の可否を判定する通過判定処理部と、フローを分類するフロー検索処理部とを備え、自身によって通過の可否の判定を要するフローに含まれるパケットを前記第１の論理回線を介して前記リモート端末に送信し、自身によって通過の許可がされたフローに含まれるパケットを前記第２の論理回線を介して前記リモート端末に送信するように構成されたことを特徴とするアクセスサーバ。
【請求項９】
リモート端末と該リモート端末からの接続を収容するアクセスサーバとの間のリモートアクセス方法であって、
前記リモート端末によって、フローを分類する工程と、
前記リモート端末によって、前記アクセスサーバによる通過の可否の判定を要するフローに含まれるパケットを第１の論理回線を介して前記アクセスサーバに送信するとともに、前記アクセスサーバによって通過の許可がされたフローに含まれるパケットを第２の論理回線を介して前記アクセスサーバに送信する工程と、
前記アクセスサーバによって、前記第２の論理回線を介して受信したパケットに対して通過の可否を判定することなく通過を許可する工程と、を含むことを特徴とするリモートアクセス方法。
【請求項１０】
リモート端末からアクセスサーバへのリモートアクセス方法であって、
フローを分類する工程と、
前記アクセスサーバによる通過の可否の判定を要するフローに含まれるパケットを第１の論理回線を介して前記アクセスサーバに送信するとともに、前記アクセスサーバによって通過の許可がされたフローに含まれるパケットを第２の論理回線を介して前記アクセスサーバに送信する工程と、を含むことを特徴とするリモートアクセス方法。
【請求項１１】
アクセスサーバによるリモート端末へのリモートアクセス方法であって、
前記アクセスサーバによって通過の許可がされたフローに含まれるパケットを送信するための専用の論理回線を介して受信したパケットに対して通過の可否を判定することなく通過を許可する工程と、を含むことを特徴とするリモートアクセス方法。
【請求項１２】
リモート端末と該リモート端末からの接続を収容するアクセスサーバとの間のリモートアクセス処理を、該リモート端末及び該アクセスサーバに備えたコンピュータに実行させるリモートアクセスプログラムであって、
フローを分類する処理と、
前記アクセスサーバによる通過の可否の判定を要するフローに含まれるパケットを第１の論理回線を介して前記アクセスサーバに送信するとともに、前記アクセスサーバによって通過の許可がされたフローに含まれるパケットを第２の論理回線を介して前記アクセスサーバに送信する処理と、を前記リモート端末に備えたコンピュータに実行させるとともに、
前記第２の論理回線を介して受信したパケットに対して通過の可否を判定することなく通過を許可する処理を、前記アクセスサーバに備えたコンピュータに実行させることを特徴とするリモートアクセスプログラム。
【請求項１３】
リモート端末からアクセスサーバへのリモートアクセス処理を、該リモート端末に備えたコンピュータに実行させるリモートアクセスプログラムであって、
フローを分類する処理と、
前記アクセスサーバによる通過の可否の判定を要するフローに含まれるパケットを第１の論理回線を介して前記アクセスサーバに送信するとともに、前記アクセスサーバによって通過の許可がされたフローに含まれるパケットを第２の論理回線を介して前記アクセスサーバに送信する処理と、を前記リモート端末に備えたコンピュータに実行させることを特徴とするリモートアクセスプログラム。
【請求項１４】
アクセスサーバからリモート端末へのリモートアクセス処理を、該アクセスサーバに備えたコンピュータに実行させるリモートアクセスプログラムであって、
前記アクセスサーバによって通過の許可がされたフローに含まれるパケットを送信するための専用の論理回線を介して受信したパケットに対して通過の可否を判定することなく通過を許可する処理を、前記アクセスサーバに備えたコンピュータに実行させることを特徴とするリモートアクセスプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【公開番号】特開２００９−２０７０９４（Ｐ２００９−２０７０９４Ａ）
【公開日】平成２１年９月１０日（２００９．９．１０）
【国際特許分類】
【出願番号】特願２００８−５０１７３（Ｐ２００８−５０１７３）
【出願日】平成２０年２月２９日（２００８．２．２９）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
【公開日】平成２１年９月１０日（２００９．９．１０）
【国際特許分類】
【出願日】平成２０年２月２９日（２００８．２．２９）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
[ Back to top ]