中継サーバ及び中継通信システム
【課題】オペレータの利用する機器に合わせてＶＰＮを柔軟かつ機動的に構築可能な中継サーバを提供する。
【解決手段】中継サーバ２は、オペレータと当該オペレータによる接続が可能な接続対象機器とを対応付けた接続許可情報に基づいて、ログイン要求を行ったオペレータによる接続が可能な接続対象機器を取得する。取得した接続対象機器の中から例えばクライアント端末４７が選択されると、中継サーバ２は、ログイン要求操作がされた通信装置のアドレスを、中継サーバ２の識別情報と対応付けたアドレスフィルタ情報として記憶するとともに、当該アドレスフィルタ情報をクライアント端末４７に送信する。中継サーバ２は、クライアント端末４７から受信したアドレスフィルタ情報を記憶する。次に、中継サーバ２とクライアント端末４７との間でＶＰＮのためのルーティングセッションが確立され、パケットがアドレスフィルタ情報に基づいてルーティングされる。
【解決手段】中継サーバ２は、オペレータと当該オペレータによる接続が可能な接続対象機器とを対応付けた接続許可情報に基づいて、ログイン要求を行ったオペレータによる接続が可能な接続対象機器を取得する。取得した接続対象機器の中から例えばクライアント端末４７が選択されると、中継サーバ２は、ログイン要求操作がされた通信装置のアドレスを、中継サーバ２の識別情報と対応付けたアドレスフィルタ情報として記憶するとともに、当該アドレスフィルタ情報をクライアント端末４７に送信する。中継サーバ２は、クライアント端末４７から受信したアドレスフィルタ情報を記憶する。次に、中継サーバ２とクライアント端末４７との間でＶＰＮのためのルーティングセッションが確立され、パケットがアドレスフィルタ情報に基づいてルーティングされる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、主として、異なるＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）に接続されている端末間の通信を可能とする中継サーバに関する。
【背景技術】
【０００２】
従来から、仮想プライベートネットワーク（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ，ＶＰＮ）と呼ばれる通信技術が知られている（例えば、特許文献１を参照）。このＶＰＮは、例えば、地域ごとに設けられた複数の支社（拠点）のＬＡＮに接続された端末同士でインターネットを介して通信する用途に用いられている。前記ＶＰＮを利用すれば、遠隔地にある他のＬＡＮを、あたかも直接接続されているネットワークであるかのように使用することができる。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００２−２１７９３８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ところで、この種のシステムにおいては、機器のＩＰアドレス及び識別情報等を用いて、機器間での通信を行うことが一般的である。一方、この種のシステムにおいて作業を行う場合、オペレータの使用する機器は常に同じとは限らず、移動先及び出張先等では、異なる機器を使用することがある。これはＶＰＮの構成機器の変更を意味するため、通常は、ＶＰＮの設定を変更する必要が生じる。しかし、ネットワークの設定の変更等が生じた場合、これらの変更は他の機器に反映させなければならず、処理が繁雑になってしまう。
【０００５】
本発明は以上の事情に鑑みてされたものであり、その主要な目的は、オペレータの利用する機器に合わせてＶＰＮを柔軟かつ機動的に構築可能な中継サーバを提供することにある。
【課題を解決するための手段及び効果】
【０００６】
本発明の解決しようとする課題は以上の如くであり、次にこの課題を解決するための手段とその効果を説明する。
【０００７】
本発明の第１の観点によれば、以下の構成の中継サーバが提供される。即ち、この中継サーバは、自身がパケットを転送可能なアドレスである第１アドレスフィルタ情報と、他の中継サーバ及びクライアント端末を示す接続対象機器がパケットを転送可能なアドレスである第２アドレスフィルタ情報と、を記憶する手段と、ＬＡＮで接続された通信装置を介してログイン操作するオペレータの識別情報を受け付ける手段と、ログインを受け付けたオペレータの識別情報に基づいて、当該オペレータが接続可能な前記接続対象機器のリストを取得する手段と、接続可能な前記接続対象機器のリストの中からオペレータによる前記接続対象機器の選択を受け付ける手段と、オペレータに選択された前記接続対象機器とルーティングセッションを確立する手段と、を備える。中継サーバは、オペレータがログイン操作した前記通信装置のアドレスを第１アドレスフィルタ情報として記憶し、当該通信装置のアドレスを前記接続対象機器へ送信する。中継サーバは、前記接続対象機器から受信したアドレスを第２アドレスフィルタ情報として記憶する。中継サーバは、受信したパケットの送信先が前記第１アドレスフィルタ情報として記憶されている場合には、送信先へパケットを送信する。中継サーバは、受信したパケットの送信先が前記第２アドレスフィルタ情報として記憶されている場合には、前記ルーティングセッションへパケットを送信する。
【０００８】
これにより、オペレータは、中継サーバと選択された接続対象機器との間に確立されたルーティングセッションを利用して通信を行うことができる。また、上記の構成では、オペレータ毎に接続可能な接続対象機器が設定されている。そのため、オペレータがログインに用いる通信装置が変更されても、ログインを行うオペレータが同一であれば、以前と同一の相手とルーティングセッションを確立して通信を行うことができる。また、オペレータ毎に異なるアクセス制御を容易に行うことができる。
【０００９】
本発明の第２の観点によれば、以下の構成の中継サーバが提供される。即ち、この中継サーバは、アドレスフィルタ情報記憶部と、制御部と、を備える。前記アドレスフィルタ情報記憶部は、自身（中継サーバ）がパケットの転送先として指定可能なルーティング対象装置のアドレスを示すアドレスフィルタ情報を自身の識別情報と対応付けて記憶可能であるとともに、自身と接続可能な接続対象の中継サーバ及び当該接続対象の中継サーバに所属するクライアント端末を示す接続対象機器が、パケットの転送先として指定可能なルーティング対象装置のアドレスを示すアドレスフィルタ情報を当該接続対象機器の識別情報と対応付けて記憶可能である。前記制御部は、接続対象機器取得制御部と、ＶＰＮ開始制御部と、アドレスフィルタ情報通信制御部と、ルーティングセッション確立制御部と、ルーティング制御部と、を備える。前記接続対象機器取得制御部は、自身（中継サーバ）又は自身が接続可能な他の中継サーバが記憶する情報であって、自身及び前記接続対象機器を含んで構成される中継通信システムにログイン可能なオペレータの識別情報と、当該オペレータによる接続が可能な前記接続対象機器の識別情報と、を対応付けた情報である接続許可情報に基づいて、ログイン要求を行ったオペレータによる接続が可能な前記接続対象機器を取得する。前記ＶＰＮ開始制御部は、取得した前記接続対象機器のうち選択された前記接続対象機器に対して仮想プライベートネットワークの開始処理を行う。アドレスフィルタ情報通信制御部は、オペレータがログイン要求を行うために操作した通信装置のアドレスを、自身（中継サーバ）の識別情報と対応付けたアドレスフィルタ情報として前記アドレスフィルタ情報記憶部に記憶するとともに当該アドレスフィルタ情報を前記接続対象機器に送信し、前記接続対象機器から受信したアドレスフィルタ情報を、当該接続対象機器の識別情報と対応付けたアドレスフィルタ情報として前記アドレスフィルタ情報記憶部に記憶する。ルーティングセッション確立制御部は、選択された前記接続対象機器に対してルーティングセッションを確立する。ルーティング制御部は、受信したパケットの送信先が、自身（中継サーバ）の識別情報と対応付けられたアドレスフィルタ情報において指定されているときは、当該送信先にパケットを送信し、受信したパケットの送信先が前記接続対象機器の識別情報と対応付けられたアドレスフィルタ情報において指定されているときは、自身（中継サーバ）と当該接続対象機器との間に確立されたルーティングセッションを介して当該接続対象機器にパケットを送信する。
【００１０】
これにより、構築したＶＰＮを利用して、オペレータがログイン要求を行うために操作した通信装置と、接続対象機器がパケットを転送可能なルーティング対象装置と、の間で通信を行うことができる。また、接続許可情報では、オペレータの識別情報と、当該オペレータによる接続が可能な接続対象機器の識別情報と、が対応付けられている。そのため、オペレータがログインに用いる機器が変更されても、ログインを行うオペレータが同一であれば、以前と同一の相手を含むようなＶＰＮをその場で容易に構築して利用することができる。また、オペレータ毎に異なるアクセス制御を容易に行うことができる。
【００１１】
前記の中継サーバにおいては、以下の構成とすることが好ましい。即ち、この中継サーバは、自身（中継サーバ）を含む中継サーバの管理を行う管理機能付き中継サーバの識別情報を記憶する管理先情報記憶部を備える。前記接続許可情報は、前記管理機能付き中継サーバによって記憶される。前記制御部は、オペレータからログイン要求を受け付けたときに、前記管理先情報記憶部の記憶内容に基づいて前記管理機能付き中継サーバにアクセスすることにより、ログイン要求を行ったオペレータによる接続が可能な前記接続対象機器を取得する。
【００１２】
これにより、管理機能付き中継サーバが接続許可情報を集中的に管理する構成となるため、複数の機器によって接続許可情報を共有させる必要がない。従って、当該機器間における接続許可情報の同期制御が不要となり、中継サーバで行われる処理を軽くすることができる。
【００１３】
前記の中継サーバにおいては、以下の構成とすることが好ましい。即ち、この中継サーバは、前記接続許可情報を記憶する接続許可情報記憶部を備える。前記制御部は、オペレータからログイン要求を受け付けたときに、前記接続許可情報記憶部に記憶された前記接続許可情報に基づいて、ログイン要求を行ったオペレータによる接続が可能な前記接続対象機器を取得する。
【００１４】
即ち、上述の構成のように接続許可情報を管理機能付き中継サーバが集中的に管理する場合、オペレータからログイン要求を受け付ける毎に当該中継サーバにアクセスする必要がある。この点、上記の構成では、自身（中継サーバ）の記憶内容を参照するだけで、ログイン要求を行ったオペレータによる接続が可能な前記接続対象機器を取得できる。このため、ＶＰＮを開始するまでの処理を単純にすることができる。
【００１５】
前記の中継サーバにおいては、自身（中継サーバ）又は前記接続対象機器は、複数のオペレータで構成されるオペレータグループを、当該オペレータグループを構成するオペレータの識別情報を用いて記憶し、仮想プライベートネットワークを構築する際にオペレータによる接続が可能な前記接続対象機器の識別情報をオペレータグループ毎に記憶することが好ましい。
【００１６】
これにより、複数のオペレータでチームを作り、当該チームにおいて所定の接続対象機器（及びルーティング対象装置）のメンテナンス等を行っている場合において、接続許可情報記憶部の記憶内容を単純にすることができる。また、このチームを構成するオペレータに変更があった場合においても、当該オペレータの識別情報をオペレータグループから削除又はオペレータグループに追加するだけで良いため、接続許可情報の設定を容易にすることができる。
【００１７】
本発明の第３の観点によれば、以下の構成の中継通信システムが提供される。即ち、この中継通信システムは、中継サーバと、前記中継サーバに所属するクライアント端末と、を備える。前記中継サーバのうち接続元の中継サーバとして機能する前記中継サーバは、アドレスフィルタ情報記憶部と、制御部と、を備える。前記アドレスフィルタ情報記憶部は、自身（中継サーバ）がパケットの転送先として指定可能なルーティング対象装置のアドレスを示すアドレスフィルタ情報を自身の識別情報と対応付けて記憶可能であるとともに、自身と接続可能な接続対象の中継サーバ及び当該接続対象の中継サーバに所属するクライアント端末を示す接続対象機器が、パケットの転送先として指定可能なルーティング対象装置のアドレスを示すアドレスフィルタ情報を当該接続対象機器の識別情報と対応付けて記憶可能である。前記制御部は、接続対象機器取得制御部と、ＶＰＮ開始制御部と、アドレスフィルタ情報通信制御部と、ルーティングセッション確立制御部と、ルーティング制御部と、を備える。前記接続対象機器取得制御部は、オペレータの識別情報と、仮想プライベートネットワークを構築する際にオペレータによる接続が可能な前記接続対象機器の識別情報と、を対応付けた情報である接続許可情報に基づいて、ログイン要求を行ったオペレータによる接続が可能な前記接続対象機器を取得する。前記ＶＰＮ開始制御部は、取得した前記接続対象機器のうち選択された前記接続対象機器に対して仮想プライベートネットワークの開始処理を行う。アドレスフィルタ情報通信制御部は、オペレータがログイン要求を行うために操作した通信装置のアドレスを、自身（中継サーバ）の識別情報と対応付けたアドレスフィルタ情報として前記アドレスフィルタ情報記憶部に記憶するとともに当該アドレスフィルタ情報を前記接続対象機器に送信し、前記接続対象機器から受信したアドレスフィルタ情報を、当該接続対象機器の識別情報と対応付けたアドレスフィルタ情報として前記アドレスフィルタ情報記憶部に記憶する。ルーティングセッション確立制御部は、選択された前記接続対象機器に対してルーティングセッションを確立する。ルーティング制御部は、受信したパケットの送信先が、自身（中継サーバ）の識別情報と対応付けられたアドレスフィルタ情報において指定されているときは、当該送信先にパケットを送信し、受信したパケットの送信先が前記接続対象機器の識別情報と対応付けられたアドレスフィルタ情報において指定されているときは、自身と当該接続対象機器との間に確立されたルーティングセッションを介して当該接続対象機器にパケットを送信する。
【００１８】
これにより、構築したＶＰＮを利用して、オペレータがログイン要求を行うために操作した通信装置と、接続対象機器がパケットを転送可能なルーティング対象装置と、の間で通信を行うことができる。また、接続許可情報では、オペレータの識別情報と、当該オペレータによる接続が可能な接続対象機器の識別情報と、が対応付けられている。そのため、オペレータがログインに用いる機器が変更されても、ログインを行うオペレータが同一であれば、以前と同一の相手を含むようなＶＰＮをその場で容易に構築して利用することができる。また、オペレータ毎に異なるアクセス範囲を設定することが可能となる。
【図面の簡単な説明】
【００１９】
【図１】本発明の一実施形態に係る中継通信システムの全体構成を示す説明図。
【図２】管理機能付きの中継サーバ１の機能ブロック図。
【図３】管理対象の中継サーバ２，３の機能ブロック図。
【図４】中継サーバの通信制御部６３の詳細な構成を示す機能ブロック図。
【図５】オペレータ情報の内容を示す図。
【図６】接続許可情報の内容を示す図。
【図７】中継サーバ２とクライアント端末４７との間で共有されるアドレスフィルタ情報の内容を示す図。
【図８】本発明におけるＶＰＮを開始する処理の流れを示すシーケンス図。
【図９】通信装置２２がファイルサーバ４６にパケットを送信するときの経路を説明する図。
【図１０】ファイルサーバ４６が通信装置２２にパケットを送信するときの経路を説明する図。
【図１１】中継サーバ２の変形例を示す機能ブロック図。
【図１２】オペレータグループ情報の内容を示す図。
【図１３】変形例における接続許可情報の内容を示す図。
【発明を実施するための形態】
【００２０】
次に、図面を参照して本発明の実施の形態を説明する。初めに、図１を参照して、本実施形態の中継通信システム１００の概要について説明する。図１は、本発明の一実施形態に係る中継通信システム１００の全体構成を示す説明図である。
【００２１】
図１に示すように、この中継通信システム１００は、Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ（ＷＡＮ、広域通信網）８０に接続された複数の中継サーバ１，２，３と、中継サーバ１，２，３とＬＡＮ１０，２０，３０，４０，４５を介して接続されるクライアント端末１１，２１，４２，４７と、で構成されている。また、ＬＡＮ１０，２０，３０は、それぞれ物理的に離れた場所に配置されている。なお、本実施形態ではＷＡＮ８０としてインターネットが使用されている。
【００２２】
次に、それぞれのＬＡＮを説明する。図１に示すように、ＬＡＮ１０には、中継サーバ１と、クライアント端末１１と、が接続されている。ＬＡＮ２０には、中継サーバ２と、クライアント端末２１と、通信装置２２，２３と、が接続されている。ＬＡＮ３０には、中継サーバ３と、ファイルサーバ３１が接続されている。また、ＬＡＮ３０には、ルータ３２を介して別のＬＡＮ４０が接続されるとともに、ルータ３３を介して更に別のＬＡＮ４５が接続されている。ＬＡＮ４０には、ファイルサーバ４１と、クライアント端末４２と、が接続されている。ＬＡＮ４５には、ファイルサーバ４６と、クライアント端末４７と、が接続されている。また、各クライアント端末は、当該クライアント端末に接続された中継サーバを介して、他の中継サーバ又は他の中継サーバに接続されたクライアント端末と通信できる。なお、図１には一部だけが図示されているが、ＬＡＮ２０，３０には多数のクライアント端末等が配置されているものとする。
【００２３】
この中継通信システム１００を運用するにあたっては、ＬＡＮ２０が設置されている場所にオペレータを待機させている。ＬＡＮ３０，４０，４５には、当該オペレータがメンテナンス等を行う対象であるファイルサーバ３１，４１，４６が配置されている。また、ＬＡＮ１０が設置されている場所はオペレータによるメンテナンス業務を管理する拠点となっており、中継サーバ１には、オペレータ毎のアクセス権限が（後述の接続許可情報として）予め設定されている。オペレータは、通信装置２２，２３等を用いて、オペレータ自身が有するアクセス権限の範囲内でファイルサーバ３１，４１，４６等にアクセスし、メンテナンスを行う。
【００２４】
このように、この中継通信システム１００では、オペレータからメンテナンス先へ接続を行うことが想定されている。以下の説明では、中継サーバ２のように、接続元となるＬＡＮに接続された中継サーバを接続元の中継サーバと称し、中継サーバ３のように、接続対象となる中継サーバを接続対象の中継サーバと称することがある。また、接続対象の中継サーバと、当該中継サーバに所属するクライアント端末と、をまとめて、接続対象機器と称することがある。
【００２５】
次に、図２及び図３を参照して、中継サーバ１，２，３について説明する。図２は、管理機能付き中継サーバである中継サーバ１の機能ブロック図である。図３は、中継サーバ２，３の機能ブロック図である。
【００２６】
それぞれの中継サーバ１，２，３は、ＬＡＮ１０，２０，３０だけでなくＷＡＮ８０にも接続されているため、同一のＬＡＮに接続されたクライアント端末と通信可能であるだけでなく、他のＬＡＮに配置された中継サーバと通信可能となっている。そのため、中継サーバ１，２，３には、グローバルＩＰアドレスに加えてプライベートＩＰアドレスが付与されている。
【００２７】
また、本実施形態の中継通信システム１００において、当該システムに含まれる中継サーバのうち１つの中継サーバが管理機能付き中継サーバとして動作し、その他の中継サーバが管理対象の中継サーバとして動作するように構成されている。本実施形態では、中継サーバ１が管理機能付き中継サーバとして、残りの中継サーバ２，３が管理対象の中継サーバとして、それぞれ動作するように設定されている。以下では、まず管理機能付きの中継サーバ１を主に説明し、次に管理対象の中継サーバ２，３について説明する。
【００２８】
図２に示すように、管理機能付きの中継サーバ１は、記憶部５０と、制御部６０と、インタフェース部７０と、を備えている。
【００２９】
インタフェース部７０は、プライベートＩＰアドレスを利用して、ＬＡＮ１０内の端末に対して通信を行うことができる。また、インタフェース部７０は、グローバルＩＰアドレスを利用して、ＷＡＮ８０を経由した通信を行うことができる。
【００３０】
制御部６０は、例えば制御及び演算の機能を有するＣＰＵであり、記憶部５０から読み出したプログラムにより各種の処理を実行可能である。この制御部６０は、ＴＣＰ／ＩＰ、ＵＤＰ、ＳＩＰ等のプロトコルに従った様々な通信を制御することができる。図２に示すように、制御部６０は、インタフェースドライバ６１と、ＬＡＮ側ＩＰパケット処理部６２と、通信制御部６３と、ＷＡＮ側ＩＰパケット処理部６４と、を備えている。
【００３１】
インタフェースドライバ６１は、インタフェース部７０を制御するドライバソフトウェアである。ＬＡＮ側ＩＰパケット処理部６２は、ＬＡＮ１０から受信したパケットに適宜の処理を行って通信制御部６３に出力する。ＷＡＮ側ＩＰパケット処理部６４は、ＷＡＮ８０から受信したパケットに適宜の処理を行って通信制御部６３に出力する。
【００３２】
通信制御部６３は、受信したパケットについて、当該パケットが示す情報と記憶部５０に記憶された情報とに基づいて送信先を決定し、決定した送信先へ当該パケットを送信する。また、通信制御部６３は、他の端末から受信した情報に基づいて、記憶部５０の記憶内容を更新することができる。通信制御部６３は、図４に示すように、接続対象機器取得制御部６３１と、ＶＰＮ開始制御部６３２と、アドレスフィルタ情報通信制御部６３３と、ルーティングセッション確立制御部６３４と、ルーティング制御部６３５と、を備える。なお、上記の各制御部が行う制御については後述する。
【００３３】
記憶部５０は、例えばハードディスク又は不揮発性ＲＡＭで構成されており、各種データを保存可能である。記憶部５０は、オペレータ情報記憶部５１と、接続許可情報記憶部５２と、を備えている。以下、図５及び図６を参照して、記憶部５０の記憶内容について説明する。図５は、オペレータ情報の内容を示す図である。図６は、接続許可情報の内容を示す図である。
【００３４】
中継サーバ１が備えるオペレータ情報記憶部５１は、中継通信システム１００にログイン可能なオペレータを特定するための情報及びオペレータの利用状況等を示す情報であるオペレータ情報を記憶している。なお、このオペレータ情報記憶部５１は、管理機能付きの中継サーバ１のみが備える構成となっており、図３に示すように、中継サーバ２，３は、このオペレータ情報記憶部５１を備えていない。以下、オペレータ情報の内容について具体的に説明する。
【００３５】
図５に示すオペレータ情報においては、「オペレータＩＤ」と記述された列において、中継通信システム１００にログイン可能なオペレータＩＤの一覧が記述されている。このオペレータＩＤは、オペレータ毎に設定される固有の文字列で構成されている。また、「パスワード」と記述された列では、同じ行に記述されたオペレータＩＤを使用して中継通信システム１００にログインするために必要なパスワードが記述されている。各オペレータは、自身に設定されたオペレータＩＤ及びパスワードを用いて、中継通信システム１００にログインすることができる。
【００３６】
このオペレータＩＤ及びパスワードを用いて、オペレータが中継通信システム１００にログインするときの流れを簡単に説明する。オペレータは、通信装置２２，２３等を用いて中継サーバ２又はクライアント端末２１にアクセスし、所定のログイン画面においてオペレータＩＤとパスワードを入力することにより、中継通信システム１００へのログイン要求を行うことができる。このログイン要求を受け付けた中継サーバ２又はクライアント端末２１は、この入力内容を中継サーバ１に送信する。この入力内容を受信した中継サーバ１は、オペレータが入力したオペレータＩＤ及びパスワードについて、オペレータ情報記憶部５１が記憶するオペレータ情報と照合するとともに、他の中継サーバを介して当該オペレータＩＤが既にログイン済みか否かを判定する。中継サーバ１は、この結果に基づいてログインの可否を決定する。
【００３７】
図５には、中継サーバ１のオペレータ情報記憶部５１が記憶するオペレータ情報の例が示されている。このオペレータ情報記憶部５１において、「使用機器情報」と記述された列では、同じ行に記述されたオペレータＩＤを使用してオペレータが中継通信システム１００にログイン済みである場合に、当該オペレータが中継通信システム１００へのログインに使用している中継通信システム１００側の機器（具体的には、通信装置２２，２３ではなく、中継サーバ２又はクライアント端末２１を示す。以下使用機器と称する）に関する情報（使用機器情報）が記述されている。
【００３８】
具体的には、オペレータが中継サーバを使用してログインしている場合は、当該中継サーバの識別情報が使用機器情報となる。例えば、図１におけるオペレータ９２が通信装置２２を介して中継サーバ２にログインした場合は、中継サーバ１のオペレータ情報記憶部５１では、図５に示すように、その中継サーバ２の識別情報が、オペレータ９２のオペレータＩＤ（Ｏｐ２）に対応付けた使用機器情報として記述される。
【００３９】
一方、オペレータがクライアント端末を使用してログインしている場合は、当該クライアント端末の識別情報と、当該クライアント端末の所属先である中継サーバの識別情報と、の両方が使用機器情報となる。例えば、図１におけるオペレータ９１が通信装置２３を介してクライアント端末２１にログインした場合は、中継サーバ１のオペレータ情報記憶部５１では、当該クライアント端末２１の識別情報及び中継サーバ２の識別情報が、図５に示すように、オペレータ９１のオペレータＩＤ（Ｏｐ１）に対応付けた使用機器情報として記述される。
【００４０】
なお、オペレータが中継通信システム１００にログインしていない場合は、使用機器情報は空欄となる（図５のＯｐ３及びＯｐ４に対応する使用機器情報を参照）。
【００４１】
オペレータ情報記憶部５１が記憶するオペレータ情報のうち、ログイン可能なオペレータＩＤの一覧と、当該オペレータＩＤ毎に設定されるパスワードと、は各オペレータ及び管理者等によって予め設定されている。一方、使用機器情報は、オペレータがログイン又はログアウトする度に最新の情報に更新される。
【００４２】
接続許可情報記憶部５２は、中継通信システム１００にログイン可能なオペレータのアクセス権限を示す接続許可情報を記憶している。なお、この接続許可情報記憶部５２は、本実施形態では管理機能付きの中継サーバ１のみが備える構成となっており、図３に示すように、中継サーバ２，３は、この接続許可情報記憶部５２を備えていない。以下、接続許可情報の内容について具体的に説明する。
【００４３】
図６に示す接続許可情報においては、「オペレータＩＤ」と記述された列において、中継通信システム１００にログイン可能なオペレータＩＤの一覧が記述されている。また、「接続対象機器の識別情報」と記述された列では、同じ行に記述されたオペレータＩＤを用いて接続することが許可されている前記接続対象機器の識別情報が記述されている。具体的には、オペレータ９２（オペレータＩＤ＝Ｏｐ２）が通信装置２２を操作して中継サーバ２にアクセスし、当該中継サーバ２を使用して中継通信システム１００にログインしたときには、当該オペレータ９２は、この中継サーバ２（使用機器）と、図６の接続許可情報においてオペレータ９２に対応している接続対象機器（具体的にはクライアント端末４２又はクライアント端末４７）と、の接続を利用することができる。この場合、この中継サーバ２（使用機器）を始点とし、中継サーバ３を経由して、クライアント端末４２又はクライアント端末４７を終点とするルーティングセッションが確立されるとともに、このルーティングセッションを利用した仮想プライベートネットワーク（ＶＰＮ）が構築される。
【００４４】
ここで、接続許可情報記憶部５２が記憶する接続許可情報（図６）においては、接続対象機器が、（使用機器の識別情報ではなく）オペレータＩＤと対応付けられている。このため、オペレータ９２がログイン時に使用した機器が異なる場合においても、接続可能な接続対象機器は上記と同じである。例えば、仮にオペレータ９２が通信装置２３を操作してクライアント端末２１にアクセスし、当該クライアント端末２１を使用して中継通信システム１００にログインした場合は、このクライアント端末２１（使用機器）を始点とし、中継サーバ２及び中継サーバ３を経由して、クライアント端末４２又はクライアント端末４７を終点とするルーティングセッションが確立されるとともに、このルーティングセッションを利用したＶＰＮが構築される。
【００４５】
次に、図７等を参照して、中継サーバ２，３の構成について説明する。図７は、アドレスフィルタ情報記憶部の記憶内容を示す図である。なお、中継サーバ３は、中継サーバ２と略同等の構成であるため、代表して中継サーバ２について説明する。
【００４６】
中継サーバ２は、中継サーバ１と同等に構成される制御部６０及びインタフェース部７０を備える。一方、中継サーバ２の記憶部５０は、中継サーバ１の記憶部５０と、その記憶内容の一部が異なっている。具体的には、中継サーバ２は、記憶部５０内において、管理先情報記憶部５３と、アドレスフィルタ情報記憶部５４と、を備えている。
【００４７】
管理先情報記憶部５３は、自身を管理対象とする管理機能付き中継サーバである中継サーバ１の識別情報を記憶している。従って、中継サーバ２は、この管理先情報記憶部５３の記憶内容を参照することにより、管理機能付き中継サーバである中継サーバ１にアクセスすることができる。なお、メンテナンス等の事情で管理機能付き中継サーバが変更された場合は、その旨が他の中継サーバに通知され、管理先情報記憶部５３の記憶内容が更新される。
【００４８】
アドレスフィルタ情報記憶部５４は、オペレータが中継サーバ２にログインした結果として当該中継サーバ２が他の機器とルーティングセッションを形成し、このルーティングセッションを利用したＶＰＮが構築された場合に、どのような送信先を有するパケットであれば中継サーバ２が当該パケットの転送を行うのかを示すアドレスフィルタ情報を記憶している。なお、以下の説明では、他の機器とルーティングセッションを形成してパケットの転送を行う機器をルーティング機器と称することがある。本実施形態では、中継サーバがルーティング機器として機能することも、クライアント端末がルーティング機器として機能することもできるようになっているが、中継サーバ２のアドレスフィルタ情報記憶部５４は、当該中継サーバ２がルーティング機器として機能する場合に使用されるものである。
【００４９】
図７（ａ）には、アドレスフィルタ情報記憶部５４の記憶内容の概要が例示されている。図７（ａ）において、右側の「ルーティング対象装置」の列は、転送が許可されるパケットの送信先の機器を示している。従って、図７（ａ）の例でいうと、中継サーバ２がルーティング機器として機能する場合、当該中継サーバ２が受信したパケットの送信先がファイルサーバ４６又は通信装置２２であれば、中継サーバ２は当該パケットを他の機器へ転送する。この場合の転送先としては、他のルーティング機器である場合と、パケットの送信先そのものである場合と、の２通りが考えられる。一方で、パケットの送信先が上記の機器の何れでもない場合は、当該パケットを転送しない。
【００５０】
従って、この「ルーティング対象装置」の列が、アドレスフィルタ情報に相当する。このアドレスフィルタ情報は、上記のとおり、パケットの転送の可否をその送信先に基づいて判断する（パケットをフィルタリングする）ために用いられる。
【００５１】
図７（ａ）の左側の「ルーティング機器」の列は、右側の列で示されるパケットの送信先に対して、パケットを直接的に送信可能なルーティング機器を示している。ここで、「直接的に送信可能」とは、ルーティング機器が、他のルーティング機器を経由させずに、その送信先にパケットを送信可能であることをいう。
【００５２】
図７（ａ）の表に示すように、アドレスフィルタ情報記憶部５４において、アドレスフィルタ情報は、当該アドレスフィルタ情報が示す送信先に対してパケットを直接的に送信可能なルーティング機器（自身を含む）に対応付けられた形で記憶される。従って、図７（ａ）の表は、転送を許可するパケットをフィルタリングする際に参照されるだけでなく、パケットの転送経路を決定する（パケットをルーティングする）目的でも用いられる。以下の説明では、図７（ａ）のように、ＶＰＮを構築する際に使用される自身及びそれ以外のルーティング機器と、それぞれに対応付けたアドレスフィルタ情報と、を含む情報を、パケット転送制御情報と呼ぶことがある。
【００５３】
即ち、図７（ａ）の例に照らせば、中継サーバ２が受信したパケットの送信先が通信装置２２である場合は、中継サーバ２は他のルーティング機器を介さず当該パケットを通信装置２２に送信することができる。従って、中継サーバ２は、受信したパケットを通信装置２２に転送する。このように、自身と対応付けられたアドレスフィルタ情報（即ち、自身がパケットを転送可能なアドレス）を、以下では第１アドレスフィルタ情報と称することがある。
【００５４】
一方で、中継サーバ２が受信したパケットの送信先がファイルサーバ４６である場合は、図７（ａ）によると、当該パケットをファイルサーバ４６に届けるためには、他のルーティング機器であるクライアント端末４７を経由させなければならないことが分かる。従って、中継サーバ２は先ずパケットを、中継サーバ３を介して、クライアント端末４７に転送する。このパケットを受信したクライアント端末４７は、ルーティング機器として機能し、当該パケットを更にファイルサーバ４６へ転送する。このように、他のルーティング機器と対応付けられたアドレスフィルタ情報（即ち、他のルーティング機器がパケットを転送可能なアドレス）を、以下では第２アドレスフィルタ情報と称することがある。このように、中継サーバ２は、第１アドレスフィルタ情報と第２アドレスフィルタ情報とを記憶する手段（アドレスフィルタ情報記憶部５４）を備えている。
【００５５】
図７（ｂ）にはアドレスフィルタ情報記憶部５４の具体的な記憶内容が示されるが、この実質的な意味は図７（ａ）と同様である。この図７（ｂ）に示すように、アドレスフィルタ情報記憶部５４は、ＶＰＮで用いられるそれぞれのルーティング機器の識別情報と、当該ルーティング機器がパケットを直接的に送信可能なルーティング対象装置のＩＰアドレス及び名称と、を対応付けて記憶している。
【００５６】
図７（ｂ）の右側の列の「ルーティング対象装置の名称」としては、例えば、機器の種類（処理装置、通信装置、ファイルサーバ等）及び配置される場所等を考慮する等して、ユーザが任意の名称を設定することができる。この設定されたルーティング装置の名称は、中継サーバ２に接続される通信装置２２等に表示させることができる。また、中継サーバ２は、装置の名称を表示するだけでなく、当該装置を使用機器として中継通信システム１００にログインしているオペレータのオペレータＩＤ等を中継サーバ１に問い合わせることで取得し、これを通信装置２２等に表示するように構成することもできる。以上の構成により、パケット転送先のルーティング対象装置等を分かり易く管理することができる。
【００５７】
中継サーバ２は、以上のように構成される。なお、クライアント端末１１，２１，４２，４７の構成については詳細な説明を省略するが、中継サーバ２と実質的に同様に構成された記憶部５０及び制御部６０を備えている。特に、クライアント端末は、中継サーバ２，３が備えるアドレスフィルタ情報記憶部５４と同様の内容を記憶可能なアドレスフィルタ情報記憶部を備えている。
【００５８】
次に、それぞれのルーティング機器（中継サーバ及びクライアント端末）において、図７に示すような前記パケット転送制御情報を作成する処理について説明する。パケット転送制御情報は、上述のとおり、ＶＰＮの実現のためにルーティング機器が行うパケット転送制御のルールを定めるものである。一方、本実施形態の中継通信システム１００では、構成機器が互いに異なるＶＰＮを複数構築することができる。このような中継通信システム１００を実現するために、中継サーバ及びクライアント端末が備えるアドレスフィルタ情報記憶部は、パケット転送制御情報をＶＰＮ毎に記憶できるようになっている。即ち、新しいＶＰＮが構築される毎に、新しいパケット転送制御情報が作成されて、これがルーティング機器のアドレスフィルタ情報記憶部に記憶されることになる。
【００５９】
ＶＰＮのための前記ルーティングセッションは、オペレータがログインした使用機器と、ＶＰＮの作成を指示するときにオペレータが指定した接続対象機器と、の間で形成される。即ち、ＶＰＮを作成するにあたっては、ルーティング機器として機能する前記使用機器及び接続対象機器のそれぞれにおいて、図７に示すようなパケット転送制御情報を作成してアドレスフィルタ情報記憶部に記憶することになる。
【００６０】
このため、ＶＰＮの構築時には、ルーティング機器として機能することになった中継サーバ又はクライアント端末は、自身に対応付けられたアドレスフィルタ情報を相手側のルーティング機器に送信できるようになっている。このアドレスフィルタ情報の交換により、それぞれのルーティング機器は、自身に対応付けられたアドレスフィルタ情報と他のルーティング機器に対応付けられたアドレスフィルタ情報を合成して、図７に示すようなパケット転送制御情報を作成し、自身が備えるアドレスフィルタ情報記憶部に記憶する。
【００６１】
このとき、自身に対応付けられたアドレスフィルタ情報としては、自身（ルーティング機器）が使用機器であるか接続対象機器であるかに応じて、異なるものが採用される。即ち、ルーティング機器として機能する可能性がある中継サーバ及びクライアント端末は、アドレスフィルタ情報記憶部に、自身がパケットを直接的に送信可能な装置を示すように予め設定されたアドレスフィルタ情報（以下、既定アドレスフィルタ情報と呼ぶことがある）を少なくとも記憶している。そして、中継サーバ又はクライアント端末は、自身が接続対象機器として指定されることによりルーティング機器として機能する場合、ＶＰＮの構築時に、前記既定アドレスフィルタ情報を、自身に対応付けられたアドレスフィルタ情報とする。
【００６２】
一方、自身が使用機器になった結果（自身をオペレータがログインに使用した結果）、ルーティング機器として機能することになった場合、中継サーバ又はクライアント端末は、ＶＰＮの構築時に、前記既定アドレスフィルタ情報ではなく、自身へのログインのためにオペレータによって直接操作された機器のアドレスを、自身に対応付けられたアドレスフィルタ情報とする。
【００６３】
次に、主に図８を参照して、オペレータ９２が中継通信システム１００にログインしてＶＰＮを構築するときの具体的な流れを説明する。図８は、本発明におけるＶＰＮを開始する処理の流れを示すシーケンス図である。
【００６４】
オペレータ９２は、上述のように、通信装置２２に適宜の操作を行って中継サーバ２にアクセスし、当該中継サーバ２を使用機器としたログイン要求を行う。このログイン要求では、オペレータＩＤとパスワードの入力が求められる。そして、オペレータ９２が、自身に対応するオペレータＩＤ（Ｏｐ２）及びパスワード（ｄｅｆ）を入力して、入力内容を確定させることにより、中継サーバ２はログイン要求を受け付ける（シーケンス番号１）。このように、中継サーバ２は、ログイン操作するオペレータの識別情報を受け付ける手段を備えている。そして、中継サーバ２は、入力されたオペレータＩＤ、パスワード、及び使用機器情報（具体的には中継サーバ２の識別情報）とともに、ログイン要求を中継サーバ１に対して送信する（シーケンス番号２）。
【００６５】
このログイン要求等を受信した中継サーバ１は、図５に示すオペレータ情報に基づいて、オペレータＩＤとパスワードの認証を行う（シーケンス番号３）。また、中継サーバ１は、同一のオペレータＩＤでの多重ログインを防止するために、入力されたオペレータＩＤを使用したログインが他に行われているか否かを判定する（シーケンス番号４）。そして、オペレータの認証に成功し、かつ多重ログインが行われていない場合、中継サーバ１はログインを許可し、オペレータ情報記憶部５１のオペレータ情報を更新する（シーケンス番号５）。つまり、Ｏｐ２と対応する使用機器情報として、中継サーバ２の識別情報を記憶する。
【００６６】
そして、中継サーバ１は、接続許可情報記憶部５２が記憶する接続許可情報を参照し、ログインを許可したオペレータ９２による接続が可能な接続対象機器のリストを読み出す（シーケンス番号６）。今回の例では、図６に示す接続許可情報において、オペレータ９２にはクライアント端末４２，４７が対応付けられている。従って、中継サーバ１は、クライアント端末４２，４７の識別情報を、ログインを許可する旨とともに、中継サーバ２に対して送信する（シーケンス番号７）。
【００６７】
中継サーバ２の接続対象機器取得制御部６３１は、この通知に基づいて、オペレータ９２による接続可能な接続対象機器（即ち、クライアント端末４２，４７）を取得することができる。つまり、中継サーバ２は、オペレータが接続可能な接続対象機器のリストを取得する手段を備えている。また、中継サーバ２は、オペレータ９２による接続が可能な接続対象機器を、ログインが許可された旨とともに、通信装置２２に表示する（シーケンス番号８）。そして、オペレータ９２が、クライアント端末４２，４７のうち、ルーティング機器（接続対象機器）として機能させる対象としてクライアント端末４７を選択したものとする。中継サーバ２はオペレータの選択を受け付ける手段を備えており、オペレータの選択を受け付けると（シーケンス番号９）、オペレータ９２がログイン要求時に直接操作した通信装置２２のＩＰアドレスを、中継サーバ２の識別情報と対応付けて、第１アドレスフィルタ情報としてアドレスフィルタ情報記憶部５４に記憶する（シーケンス番号１０）。具体的には、図７の表における下段の情報がアドレスフィルタ情報記憶部５４に記憶される。次に、中継サーバ２のＶＰＮ開始制御部６３２によって、ＶＰＮの開始コマンドが中継サーバ３を介してクライアント端末４７に送信されるとともに、アドレスフィルタ情報通信制御部６３３によって、自身の識別情報と対応付けて記憶したアドレスフィルタ情報（第１アドレスフィルタ情報）が中継サーバ３を介してクライアント端末４７に送信される（シーケンス番号１１）。
【００６８】
この開始コマンドを受信したクライアント端末４７は、受信したアドレスフィルタ情報をアドレスフィルタ情報記憶部に記憶する（シーケンス番号１２）。ここで、上述のように、クライアント端末４７のアドレスフィルタ情報記憶部には、自身（クライアント端末４７）の識別情報と対応付けた形で、ファイルサーバ４６を指定するアドレスフィルタ情報が予め（前記既定アドレスフィルタ情報として）記憶されている。従って、クライアント端末４７のアドレスフィルタ情報記憶部には、図７に示すように、２つのアドレスフィルタ情報からなるパケット転送制御情報が記憶されることとなる。クライアント端末４７は、信号を受信した旨とともに、自身に対応付けられたアドレスフィルタ情報（図７の表の上段の情報）を、中継サーバ３を介して中継サーバ２に対して送信する（シーケンス番号１３）。
【００６９】
中継サーバ２は、クライアント端末４７からの応答を受けて、受信したアドレスフィルタ情報を第２アドレスフィルタ情報としてアドレスフィルタ情報記憶部５４に記憶する（シーケンス番号１４）。これにより、中継サーバ２のアドレスフィルタ情報記憶部５４にも、図７に示すように、２つのアドレスフィルタ情報からなるパケット転送制御情報が記憶されることとなる。以上のようにして、中継サーバ２とクライアント端末４７との間で、アドレスフィルタ情報の交換が完了する。アドレスフィルタ情報の交換後においては、中継サーバ２のアドレスフィルタ情報記憶部５４及びクライアント端末４７のアドレスフィルタ情報記憶部は、ともに図７に示す内容を記憶している。
【００７０】
中継サーバ２はルーティングセッションを確立する手段（ルーティングセッション確立制御部６３４）を備えており、クライアント端末４７とルーティングセッションを確立するための通信制御を、中継サーバ３を介して当該クライアント端末４７に行う（シーケンス番号１５）。これにより、中継サーバ２を始点として、中継サーバ３を経由して、クライアント端末４７を終点とするルーティングセッションが確立される。
【００７１】
なお、上記では、使用機器としての中継サーバ２と、接続対象機器としてのクライアント端末４７と、の間にルーティングセッションを確立する処理を説明したが、上記以外の組み合わせでルーティングセッションを確立することも勿論可能である。例えば、オペレータ９１が通信装置２３からクライアント端末２１にアクセスし、当該クライアント端末２１を使用機器として中継通信システム１００にログインした場合について考える。図６に示すように、オペレータ９１は中継サーバ３との接続が許可されている。従って、この場合では、クライアント端末２１を始点として、中継サーバ２を経由して、中継サーバ３を終点とするルーティングセッションを確立させることができる。このときのルーティング機器（クライアント端末２１及び中継サーバ３）のアドレスフィルタ情報記憶部には、クライアント端末２１の識別情報に対応付けた形で、通信装置２３のアドレスがアドレスフィルタ情報として記憶される。
【００７２】
次に、確立したルーティングセッションを利用して中継サーバ２のルーティング制御部６３５が行うルーティング制御について説明する。図９は、通信装置２２がファイルサーバ４６にパケットを送信するときの経路を説明する図である。図１０は、ファイルサーバ４６が通信装置２２にパケットを送信するときの経路を説明する図である。
【００７３】
初めに、図９に示す第１パケット（ｐａｃｋｅｔ０１）を中継サーバ２が受信した場合の処理について説明する。この第１パケットは通信装置２２が送信したものであり、送信先アドレスとしてファイルサーバ４６のＩＰアドレス（１９２．１６８．４５．１００）が指定されている。
【００７４】
中継サーバ２は、この第１パケットを受信すると、アドレスフィルタ情報記憶部５４の記憶内容（図７）を第１パケットの送信先アドレスと比較する。そして、第１パケットに記された送信先に対してパケットを直接的に送信可能なルーティング機器を調べる。図７に示すように、第１パケットの送信先アドレス（１９２．１６８．４５．１００）は、クライアント端末４７に対応付けられたアドレスフィルタ情報（第２アドレスフィルタ情報）として記憶されている。従って、中継サーバ２は第１パケットの転送を許可し、中継サーバ２とクライアント端末４７との間に確立されたルーティングセッションを介して、クライアント端末４７を最終的な送信先として、第１パケットを中継サーバ３に送信する。
【００７５】
この第１パケットを受信したクライアント端末４７も中継サーバ２と同様に、アドレスフィルタ情報記憶部の記憶内容（図７）を、第１パケットの送信先アドレスと比較する。この結果、クライアント端末４７は、第１パケットに記された送信先（１９２．１６８．４５．１００）が第１アドレスフィルタ情報として記憶されていることから、自身がパケットを直接的に送信可能なことを検出する。従って、クライアント端末４７は第１パケットの転送を許可し、当該第１パケットをファイルサーバ４６に対して送信する。
【００７６】
次に、図１０に示す第２パケット（ｐａｃｋｅｔ０２）をクライアント端末４７が受信した場合の処理について説明する。この第２パケットはファイルサーバ４６が送信したものであり、送信先アドレスとして通信装置２２のＩＰアドレス（２００．１．２０．１００）が指定されている。
【００７７】
クライアント端末４７は、この第２パケットを受信した後に、上記と同様に処理を行い、第２パケットの送信先アドレス（２００．１．２０．１００）が、中継サーバ２に対応付けられたアドレスフィルタ情報によって指定されていることを検出する。従って、クライアント端末４７は第２パケットの転送を許可し、クライアント端末４７と中継サーバ２との間に確立されたルーティングセッションを介して、中継サーバ２を最終的な送信先として、第２パケットを中継サーバ３に送信する。
【００７８】
この第２パケットを受信した中継サーバ２も、上記同様に処理を行い、第２パケットの送信先アドレス（２００．１．２０．１００）が、自身（中継サーバ２）に対応付けられたアドレスフィルタ情報によって指定されていることを検出する。従って、中継サーバ２は第２パケットの転送を許可し、当該第２パケットを通信装置２２に対して送信する。
【００７９】
このように、本実施形態では、アプリケーション層のルーティングセッションで、ルーティング対象のデータを流すように構成されている。従って、以上で説明したルーティングは、通常のＩＰルーティングとは異なっている。
【００８０】
アプリケーション層でルーティングを行うことにより、ＷＡＮを意識することなく、遠隔地のＬＡＮ同士がプライベートＩＰアドレスを利用して相互に通信することができる。また、上述のように、ルーティング機器は、パケットの転送先として指定可能なルーティング対象装置の名称を表示可能となっている。そのため、ユーザは、ＶＰＮを用いてどの機器にパケットを送信可能であるかを容易に認識することができる。
【００８１】
以上に示したように、本実施形態の中継サーバ２は、自身がパケットを転送可能なアドレスである第１アドレスフィルタ情報と、他の接続対象機器であるクライアント端末４７がパケットを転送可能なアドレスである第２アドレスフィルタ情報と、を記憶する手段（アドレスフィルタ情報記憶部５４）を備えている。また、中継サーバ２は、ＬＡＮ２０で接続された通信装置２２を介してログイン操作するオペレータ９２の識別情報を受け付ける手段と、ログインを受け付けたオペレータ９２の識別情報（Ｏｐ２）に基づいて、当該オペレータ９２が接続可能な接続対象機器のリストを取得する手段と、接続可能な前記接続対象機器のリストの中からオペレータ９２による接続対象機器（クライアント端末４７）の選択を受け付ける手段と、オペレータ９２に選択されたクライアント端末４７とルーティングセッションを確立する手段（ルーティングセッション確立制御部６３４）と、を備える。中継サーバ２は、オペレータ９２がログイン操作した通信装置２２のアドレスを第１アドレスフィルタ情報として記憶し、当該通信装置２２のアドレスをクライアント端末４７へ送信する。中継サーバ２は、クライアント端末４７から受信したファイルサーバ４６のアドレスを第２アドレスフィルタ情報として記憶する。中継サーバ２は、受信したパケットの送信先が第１アドレスフィルタ情報として記憶されている場合には、送信先へパケットを送信する。中継サーバ２は、受信したパケットの送信先が前記第２アドレスフィルタ情報として記憶されている場合には、前記ルーティングセッションへパケットを送信する。
【００８２】
これにより、オペレータ９２は、中継サーバ２と、選択されたクライアント端末４７と、の間に確立されたルーティングセッションを利用して通信を行うことができる。また、上記の構成では、オペレータ毎に接続可能な接続対象機器が設定されている。そのため、オペレータ９２がログインに用いる通信装置が変更されても、以前と同一の相手とルーティングセッションを確立して通信を行うことができる。また、オペレータ毎に異なるアクセス制御を容易に行うことができる。
【００８３】
また、本実施形態の中継サーバ２は、アドレスフィルタ情報記憶部５４と、制御部６０と、を備える。アドレスフィルタ情報記憶部５４は、中継サーバ２がパケットの転送先として指定可能なルーティング対象装置のアドレスを示すアドレスフィルタ情報を中継サーバ２の識別情報と対応付けて記憶可能であるとともに、中継サーバ２と接続可能な接続対象機器がパケットの転送先として指定可能なルーティング対象装置のアドレスを示すアドレスフィルタ情報を当該接続対象機器の識別情報と対応付けて記憶可能である。中継サーバ２が接続可能な管理機能付きの中継サーバ１においては、中継通信システム１００にログイン可能なオペレータの識別情報と、当該オペレータによる接続が可能な前記接続対象機器の識別情報と、が対応付けられた接続許可情報を記憶している。制御部６０は、接続対象機器取得制御部６３１と、ＶＰＮ開始制御部６３２と、アドレスフィルタ情報通信制御部６３３と、ルーティングセッション確立制御部６３４と、ルーティング制御部６３５と、を備える。接続対象機器取得制御部６３１は、管理機能付きの中継サーバ１が記憶する接続許可情報に基づいて、ログイン要求を行ったオペレータ９２が接続可能な接続対象機器（クライアント端末４２，４７）を取得する。ＶＰＮ開始制御部６３２は、中継サーバ２の制御部６０は、読み出した接続対象機器のうち選択されたクライアント端末４７に対して仮想プライベートネットワークの開始処理を行う。アドレスフィルタ情報通信制御部６３３は、オペレータ９２がログイン要求を行うために操作した通信装置２２のアドレスを、自身（中継サーバ２）の識別情報と対応付けたアドレスフィルタ情報としてアドレスフィルタ情報記憶部５４に記憶するとともに当該アドレスフィルタ情報をクライアント端末４７に送信し、クライアント端末４７から受信したアドレスフィルタ情報を、当該クライアント端末４７の識別情報と対応付けたアドレスフィルタ情報としてアドレスフィルタ情報記憶部５４に記憶する。ルーティングセッション確立制御部６３４は、クライアント端末４７に対してルーティングセッションを確立する。ルーティング制御部６３５は、受信したパケットの送信先が、中継サーバ２の識別情報と対応付けられたアドレスフィルタ情報において指定されているとき（例えば送信先が通信装置２２であるとき）は、当該送信先にパケットを送信し、受信したパケットの送信先がクライアント端末４７の識別情報と対応付けられたアドレスフィルタ情報において指定されているとき（例えば送信先がファイルサーバ４６であるとき）は、中継サーバ２とクライアント端末４７との間に確立されたルーティングセッションを介して当該クライアント端末４７にパケットを送信する。
【００８４】
これにより、構築したＶＰＮを利用して、オペレータ９２がログイン要求を行うために操作した通信装置２２と、クライアント端末４７がパケットを転送可能なファイルサーバ４６と、の間で通信を行うことができる。また、接続許可情報では、オペレータの識別情報と、接続対象機器の識別情報と、が対応付けられている。そのため、例えばオペレータ９２は、通信装置２２を操作して中継サーバ２にログインする場合は、中継サーバ２及びクライアント端末４７をルーティング機器とし、当該通信装置２２とファイルサーバ４６との間でＶＰＮを構築することができる。そして、ログアウトしたオペレータ９２が、今度は通信装置２３を操作してクライアント端末２１にログインする場合は、クライアント端末２１及びクライアント端末４７をルーティング機器とし、通信装置２３とファイルサーバ４６との間でＶＰＮを構築することができる。このように、ログインに用いる機器が変更されても、ログインを行うオペレータが同一であれば、以前と同一の相手を含むようなＶＰＮをその場で容易に構築して利用することができる。また、オペレータ毎に異なるアクセス制御を容易に行うことができる。
【００８５】
また、本実施形態の中継サーバ２は、管理機能付き中継サーバである中継サーバ１の識別情報を記憶する管理先情報記憶部５３を備える。接続許可情報は、中継サーバ１によって記憶される。中継サーバ２の制御部６０は、オペレータ９２からログイン要求を受け付けたときに、管理先情報記憶部５３の記憶内容に基づいて中継サーバ１にアクセスすることにより、ログイン要求を行ったオペレータ９２が接続可能な接続対象機器（クライアント端末４２，４７）を取得する。
【００８６】
これにより、中継サーバ１が接続許可情報を集中的に管理する構成となるため、複数の機器によって接続許可情報を共有させる必要がない。従って、当該機器間における接続許可情報の同期制御が不要となり、中継サーバで行われる処理を軽くすることができる。
【００８７】
次に、上記実施形態の変形例について、図１１から図１３までを参照して説明する。図１１は、中継サーバ２の変形例を示す機能ブロック図である。図１２は、オペレータグループ情報の内容を示す図である。図１３は、変形例における接続許可情報の内容を示す図である。なお、以下の変形例の説明において、上記実施形態と同一又は類似の構成については、同一の符号を付して説明を省略する場合がある。
【００８８】
図１１に示すように、本変形例の中継サーバ２は、オペレータ情報記憶部５１と、接続許可情報記憶部５２１と、アドレスフィルタ情報記憶部５４と、オペレータグループ情報記憶部５５と、を備える。
【００８９】
このように、本変形例では、上記実施形態で中継サーバ１が備えていたオペレータ情報記憶部５１及び接続許可情報記憶部５２を、中継サーバ２が備える構成となっている。そのため、本変形例の中継サーバ２は、管理機能付き中継サーバとして機能するとともに、接続元の中継サーバとして機能する。従って、本変形例では、接続元の中継サーバとしての中継サーバ２と、接続対象の中継サーバとしての中継サーバ３（上記実施形態と同じ構成）において、上記実施形態と同様の中継通信システム１００が実現できる。
【００９０】
また、本変形例では、１又は複数のオペレータで構成されるオペレータグループが作成されており、このオペレータグループに関する情報が中継サーバ２のオペレータグループ情報記憶部５５に記憶されている。オペレータグループ情報記憶部５５は、複数のオペレータで構成されるオペレータグループを、図１２に示すように、グループの名称と、当該オペレータグループを構成する（オペレータグループに所属する）オペレータのオペレータＩＤと、を用いて記憶している。
【００９１】
そして、本変形例の接続許可情報記憶部５２１は、図１３に示すように、上記オペレータグループの名称と、接続対象機器の識別情報と、を対応付けて記憶している。従って、図１３の例では、グループ１に所属するオペレータ（オペレータＩＤがＯｐ１，Ｏｐ２，Ｏｐ３であるオペレータ）がクライアント端末２１を使用機器としてログインした場合は、当該クライアント端末２１と、中継サーバ３と、の接続を利用することができる。なお、オペレータのログイン処理及びＶＰＮの構築処理については、上記実施形態と同様であるため説明を省略する。
【００９２】
以上に示したように、本変形例の中継サーバ２は、接続許可情報を記憶する接続許可情報記憶部５２１を備える。制御部６０は、オペレータからログイン要求を受け付けたときに、接続許可情報記憶部５２１の記憶内容に基づいて、ログイン要求を行ったオペレータが接続可能な接続対象機器を取得する。
【００９３】
これにより、中継サーバ２は、自身の記憶内容を参照するだけで、ログイン要求を行ったオペレータが接続可能な接続対象機器を取得できる。このため、ＶＰＮを開始するまでの処理を単純にすることができる。
【００９４】
また、本変形例の中継サーバ２は、複数のオペレータで構成されるオペレータグループを、当該オペレータグループを構成するオペレータの識別情報を用いて記憶するオペレータグループ情報記憶部５５を備える。接続許可情報記憶部５２１は、仮想プライベートネットワークを構築する際にオペレータによる接続が可能な接続対象機器の識別情報をオペレータグループ毎に記憶する。
【００９５】
これにより、複数のオペレータでチームを作り、当該チームにおいて所定の接続対象機器（及びルーティング対象装置）のメンテナンス等を行っている場合において、接続許可情報記憶部５２１の記憶内容を単純にすることができる。そのため、この構成は、中継通信システム１００においてメンテナンスを行うオペレータが多い場合に特に好適である。また、このチームを構成するオペレータに変更があった場合においても、当該オペレータの識別情報をオペレータグループから削除又はオペレータグループに追加するだけで良いため、接続許可情報の設定を容易にすることができる。
【００９６】
以上に本発明の好適な実施の形態を説明したが、上記の構成は例えば以下のように変更することができる。
【００９７】
上記のオペレータ情報、オペレータグループ情報、利用状況情報等は、適宜の形式（例えばＸＭＬ形式）で格納することができる。
【００９８】
上記実施形態の構成に代えて、各中継サーバ間での通信に用いられる外部サーバをインターネット上に設置し、ＳＩＰ（Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｉｏｎ Ｐｒｏｔｏｃｏｌ）サーバとしての機能を発揮させて通信を行う構成にしても良い。
【符号の説明】
【００９９】
１，２，３ 中継サーバ
１１，２１，４２，４７ クライアント端末
１０，２０，３０，４０，４５ ＬＡＮ
５０ 記憶部
５１ オペレータ情報記憶部
５２ 接続許可情報記憶部
５３ 管理先情報記憶部
５４ アドレスフィルタ情報記憶部
６０ 制御部
１００ 中継通信システム
【技術分野】
【０００１】
本発明は、主として、異なるＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）に接続されている端末間の通信を可能とする中継サーバに関する。
【背景技術】
【０００２】
従来から、仮想プライベートネットワーク（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ，ＶＰＮ）と呼ばれる通信技術が知られている（例えば、特許文献１を参照）。このＶＰＮは、例えば、地域ごとに設けられた複数の支社（拠点）のＬＡＮに接続された端末同士でインターネットを介して通信する用途に用いられている。前記ＶＰＮを利用すれば、遠隔地にある他のＬＡＮを、あたかも直接接続されているネットワークであるかのように使用することができる。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００２−２１７９３８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ところで、この種のシステムにおいては、機器のＩＰアドレス及び識別情報等を用いて、機器間での通信を行うことが一般的である。一方、この種のシステムにおいて作業を行う場合、オペレータの使用する機器は常に同じとは限らず、移動先及び出張先等では、異なる機器を使用することがある。これはＶＰＮの構成機器の変更を意味するため、通常は、ＶＰＮの設定を変更する必要が生じる。しかし、ネットワークの設定の変更等が生じた場合、これらの変更は他の機器に反映させなければならず、処理が繁雑になってしまう。
【０００５】
本発明は以上の事情に鑑みてされたものであり、その主要な目的は、オペレータの利用する機器に合わせてＶＰＮを柔軟かつ機動的に構築可能な中継サーバを提供することにある。
【課題を解決するための手段及び効果】
【０００６】
本発明の解決しようとする課題は以上の如くであり、次にこの課題を解決するための手段とその効果を説明する。
【０００７】
本発明の第１の観点によれば、以下の構成の中継サーバが提供される。即ち、この中継サーバは、自身がパケットを転送可能なアドレスである第１アドレスフィルタ情報と、他の中継サーバ及びクライアント端末を示す接続対象機器がパケットを転送可能なアドレスである第２アドレスフィルタ情報と、を記憶する手段と、ＬＡＮで接続された通信装置を介してログイン操作するオペレータの識別情報を受け付ける手段と、ログインを受け付けたオペレータの識別情報に基づいて、当該オペレータが接続可能な前記接続対象機器のリストを取得する手段と、接続可能な前記接続対象機器のリストの中からオペレータによる前記接続対象機器の選択を受け付ける手段と、オペレータに選択された前記接続対象機器とルーティングセッションを確立する手段と、を備える。中継サーバは、オペレータがログイン操作した前記通信装置のアドレスを第１アドレスフィルタ情報として記憶し、当該通信装置のアドレスを前記接続対象機器へ送信する。中継サーバは、前記接続対象機器から受信したアドレスを第２アドレスフィルタ情報として記憶する。中継サーバは、受信したパケットの送信先が前記第１アドレスフィルタ情報として記憶されている場合には、送信先へパケットを送信する。中継サーバは、受信したパケットの送信先が前記第２アドレスフィルタ情報として記憶されている場合には、前記ルーティングセッションへパケットを送信する。
【０００８】
これにより、オペレータは、中継サーバと選択された接続対象機器との間に確立されたルーティングセッションを利用して通信を行うことができる。また、上記の構成では、オペレータ毎に接続可能な接続対象機器が設定されている。そのため、オペレータがログインに用いる通信装置が変更されても、ログインを行うオペレータが同一であれば、以前と同一の相手とルーティングセッションを確立して通信を行うことができる。また、オペレータ毎に異なるアクセス制御を容易に行うことができる。
【０００９】
本発明の第２の観点によれば、以下の構成の中継サーバが提供される。即ち、この中継サーバは、アドレスフィルタ情報記憶部と、制御部と、を備える。前記アドレスフィルタ情報記憶部は、自身（中継サーバ）がパケットの転送先として指定可能なルーティング対象装置のアドレスを示すアドレスフィルタ情報を自身の識別情報と対応付けて記憶可能であるとともに、自身と接続可能な接続対象の中継サーバ及び当該接続対象の中継サーバに所属するクライアント端末を示す接続対象機器が、パケットの転送先として指定可能なルーティング対象装置のアドレスを示すアドレスフィルタ情報を当該接続対象機器の識別情報と対応付けて記憶可能である。前記制御部は、接続対象機器取得制御部と、ＶＰＮ開始制御部と、アドレスフィルタ情報通信制御部と、ルーティングセッション確立制御部と、ルーティング制御部と、を備える。前記接続対象機器取得制御部は、自身（中継サーバ）又は自身が接続可能な他の中継サーバが記憶する情報であって、自身及び前記接続対象機器を含んで構成される中継通信システムにログイン可能なオペレータの識別情報と、当該オペレータによる接続が可能な前記接続対象機器の識別情報と、を対応付けた情報である接続許可情報に基づいて、ログイン要求を行ったオペレータによる接続が可能な前記接続対象機器を取得する。前記ＶＰＮ開始制御部は、取得した前記接続対象機器のうち選択された前記接続対象機器に対して仮想プライベートネットワークの開始処理を行う。アドレスフィルタ情報通信制御部は、オペレータがログイン要求を行うために操作した通信装置のアドレスを、自身（中継サーバ）の識別情報と対応付けたアドレスフィルタ情報として前記アドレスフィルタ情報記憶部に記憶するとともに当該アドレスフィルタ情報を前記接続対象機器に送信し、前記接続対象機器から受信したアドレスフィルタ情報を、当該接続対象機器の識別情報と対応付けたアドレスフィルタ情報として前記アドレスフィルタ情報記憶部に記憶する。ルーティングセッション確立制御部は、選択された前記接続対象機器に対してルーティングセッションを確立する。ルーティング制御部は、受信したパケットの送信先が、自身（中継サーバ）の識別情報と対応付けられたアドレスフィルタ情報において指定されているときは、当該送信先にパケットを送信し、受信したパケットの送信先が前記接続対象機器の識別情報と対応付けられたアドレスフィルタ情報において指定されているときは、自身（中継サーバ）と当該接続対象機器との間に確立されたルーティングセッションを介して当該接続対象機器にパケットを送信する。
【００１０】
これにより、構築したＶＰＮを利用して、オペレータがログイン要求を行うために操作した通信装置と、接続対象機器がパケットを転送可能なルーティング対象装置と、の間で通信を行うことができる。また、接続許可情報では、オペレータの識別情報と、当該オペレータによる接続が可能な接続対象機器の識別情報と、が対応付けられている。そのため、オペレータがログインに用いる機器が変更されても、ログインを行うオペレータが同一であれば、以前と同一の相手を含むようなＶＰＮをその場で容易に構築して利用することができる。また、オペレータ毎に異なるアクセス制御を容易に行うことができる。
【００１１】
前記の中継サーバにおいては、以下の構成とすることが好ましい。即ち、この中継サーバは、自身（中継サーバ）を含む中継サーバの管理を行う管理機能付き中継サーバの識別情報を記憶する管理先情報記憶部を備える。前記接続許可情報は、前記管理機能付き中継サーバによって記憶される。前記制御部は、オペレータからログイン要求を受け付けたときに、前記管理先情報記憶部の記憶内容に基づいて前記管理機能付き中継サーバにアクセスすることにより、ログイン要求を行ったオペレータによる接続が可能な前記接続対象機器を取得する。
【００１２】
これにより、管理機能付き中継サーバが接続許可情報を集中的に管理する構成となるため、複数の機器によって接続許可情報を共有させる必要がない。従って、当該機器間における接続許可情報の同期制御が不要となり、中継サーバで行われる処理を軽くすることができる。
【００１３】
前記の中継サーバにおいては、以下の構成とすることが好ましい。即ち、この中継サーバは、前記接続許可情報を記憶する接続許可情報記憶部を備える。前記制御部は、オペレータからログイン要求を受け付けたときに、前記接続許可情報記憶部に記憶された前記接続許可情報に基づいて、ログイン要求を行ったオペレータによる接続が可能な前記接続対象機器を取得する。
【００１４】
即ち、上述の構成のように接続許可情報を管理機能付き中継サーバが集中的に管理する場合、オペレータからログイン要求を受け付ける毎に当該中継サーバにアクセスする必要がある。この点、上記の構成では、自身（中継サーバ）の記憶内容を参照するだけで、ログイン要求を行ったオペレータによる接続が可能な前記接続対象機器を取得できる。このため、ＶＰＮを開始するまでの処理を単純にすることができる。
【００１５】
前記の中継サーバにおいては、自身（中継サーバ）又は前記接続対象機器は、複数のオペレータで構成されるオペレータグループを、当該オペレータグループを構成するオペレータの識別情報を用いて記憶し、仮想プライベートネットワークを構築する際にオペレータによる接続が可能な前記接続対象機器の識別情報をオペレータグループ毎に記憶することが好ましい。
【００１６】
これにより、複数のオペレータでチームを作り、当該チームにおいて所定の接続対象機器（及びルーティング対象装置）のメンテナンス等を行っている場合において、接続許可情報記憶部の記憶内容を単純にすることができる。また、このチームを構成するオペレータに変更があった場合においても、当該オペレータの識別情報をオペレータグループから削除又はオペレータグループに追加するだけで良いため、接続許可情報の設定を容易にすることができる。
【００１７】
本発明の第３の観点によれば、以下の構成の中継通信システムが提供される。即ち、この中継通信システムは、中継サーバと、前記中継サーバに所属するクライアント端末と、を備える。前記中継サーバのうち接続元の中継サーバとして機能する前記中継サーバは、アドレスフィルタ情報記憶部と、制御部と、を備える。前記アドレスフィルタ情報記憶部は、自身（中継サーバ）がパケットの転送先として指定可能なルーティング対象装置のアドレスを示すアドレスフィルタ情報を自身の識別情報と対応付けて記憶可能であるとともに、自身と接続可能な接続対象の中継サーバ及び当該接続対象の中継サーバに所属するクライアント端末を示す接続対象機器が、パケットの転送先として指定可能なルーティング対象装置のアドレスを示すアドレスフィルタ情報を当該接続対象機器の識別情報と対応付けて記憶可能である。前記制御部は、接続対象機器取得制御部と、ＶＰＮ開始制御部と、アドレスフィルタ情報通信制御部と、ルーティングセッション確立制御部と、ルーティング制御部と、を備える。前記接続対象機器取得制御部は、オペレータの識別情報と、仮想プライベートネットワークを構築する際にオペレータによる接続が可能な前記接続対象機器の識別情報と、を対応付けた情報である接続許可情報に基づいて、ログイン要求を行ったオペレータによる接続が可能な前記接続対象機器を取得する。前記ＶＰＮ開始制御部は、取得した前記接続対象機器のうち選択された前記接続対象機器に対して仮想プライベートネットワークの開始処理を行う。アドレスフィルタ情報通信制御部は、オペレータがログイン要求を行うために操作した通信装置のアドレスを、自身（中継サーバ）の識別情報と対応付けたアドレスフィルタ情報として前記アドレスフィルタ情報記憶部に記憶するとともに当該アドレスフィルタ情報を前記接続対象機器に送信し、前記接続対象機器から受信したアドレスフィルタ情報を、当該接続対象機器の識別情報と対応付けたアドレスフィルタ情報として前記アドレスフィルタ情報記憶部に記憶する。ルーティングセッション確立制御部は、選択された前記接続対象機器に対してルーティングセッションを確立する。ルーティング制御部は、受信したパケットの送信先が、自身（中継サーバ）の識別情報と対応付けられたアドレスフィルタ情報において指定されているときは、当該送信先にパケットを送信し、受信したパケットの送信先が前記接続対象機器の識別情報と対応付けられたアドレスフィルタ情報において指定されているときは、自身と当該接続対象機器との間に確立されたルーティングセッションを介して当該接続対象機器にパケットを送信する。
【００１８】
これにより、構築したＶＰＮを利用して、オペレータがログイン要求を行うために操作した通信装置と、接続対象機器がパケットを転送可能なルーティング対象装置と、の間で通信を行うことができる。また、接続許可情報では、オペレータの識別情報と、当該オペレータによる接続が可能な接続対象機器の識別情報と、が対応付けられている。そのため、オペレータがログインに用いる機器が変更されても、ログインを行うオペレータが同一であれば、以前と同一の相手を含むようなＶＰＮをその場で容易に構築して利用することができる。また、オペレータ毎に異なるアクセス範囲を設定することが可能となる。
【図面の簡単な説明】
【００１９】
【図１】本発明の一実施形態に係る中継通信システムの全体構成を示す説明図。
【図２】管理機能付きの中継サーバ１の機能ブロック図。
【図３】管理対象の中継サーバ２，３の機能ブロック図。
【図４】中継サーバの通信制御部６３の詳細な構成を示す機能ブロック図。
【図５】オペレータ情報の内容を示す図。
【図６】接続許可情報の内容を示す図。
【図７】中継サーバ２とクライアント端末４７との間で共有されるアドレスフィルタ情報の内容を示す図。
【図８】本発明におけるＶＰＮを開始する処理の流れを示すシーケンス図。
【図９】通信装置２２がファイルサーバ４６にパケットを送信するときの経路を説明する図。
【図１０】ファイルサーバ４６が通信装置２２にパケットを送信するときの経路を説明する図。
【図１１】中継サーバ２の変形例を示す機能ブロック図。
【図１２】オペレータグループ情報の内容を示す図。
【図１３】変形例における接続許可情報の内容を示す図。
【発明を実施するための形態】
【００２０】
次に、図面を参照して本発明の実施の形態を説明する。初めに、図１を参照して、本実施形態の中継通信システム１００の概要について説明する。図１は、本発明の一実施形態に係る中継通信システム１００の全体構成を示す説明図である。
【００２１】
図１に示すように、この中継通信システム１００は、Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ（ＷＡＮ、広域通信網）８０に接続された複数の中継サーバ１，２，３と、中継サーバ１，２，３とＬＡＮ１０，２０，３０，４０，４５を介して接続されるクライアント端末１１，２１，４２，４７と、で構成されている。また、ＬＡＮ１０，２０，３０は、それぞれ物理的に離れた場所に配置されている。なお、本実施形態ではＷＡＮ８０としてインターネットが使用されている。
【００２２】
次に、それぞれのＬＡＮを説明する。図１に示すように、ＬＡＮ１０には、中継サーバ１と、クライアント端末１１と、が接続されている。ＬＡＮ２０には、中継サーバ２と、クライアント端末２１と、通信装置２２，２３と、が接続されている。ＬＡＮ３０には、中継サーバ３と、ファイルサーバ３１が接続されている。また、ＬＡＮ３０には、ルータ３２を介して別のＬＡＮ４０が接続されるとともに、ルータ３３を介して更に別のＬＡＮ４５が接続されている。ＬＡＮ４０には、ファイルサーバ４１と、クライアント端末４２と、が接続されている。ＬＡＮ４５には、ファイルサーバ４６と、クライアント端末４７と、が接続されている。また、各クライアント端末は、当該クライアント端末に接続された中継サーバを介して、他の中継サーバ又は他の中継サーバに接続されたクライアント端末と通信できる。なお、図１には一部だけが図示されているが、ＬＡＮ２０，３０には多数のクライアント端末等が配置されているものとする。
【００２３】
この中継通信システム１００を運用するにあたっては、ＬＡＮ２０が設置されている場所にオペレータを待機させている。ＬＡＮ３０，４０，４５には、当該オペレータがメンテナンス等を行う対象であるファイルサーバ３１，４１，４６が配置されている。また、ＬＡＮ１０が設置されている場所はオペレータによるメンテナンス業務を管理する拠点となっており、中継サーバ１には、オペレータ毎のアクセス権限が（後述の接続許可情報として）予め設定されている。オペレータは、通信装置２２，２３等を用いて、オペレータ自身が有するアクセス権限の範囲内でファイルサーバ３１，４１，４６等にアクセスし、メンテナンスを行う。
【００２４】
このように、この中継通信システム１００では、オペレータからメンテナンス先へ接続を行うことが想定されている。以下の説明では、中継サーバ２のように、接続元となるＬＡＮに接続された中継サーバを接続元の中継サーバと称し、中継サーバ３のように、接続対象となる中継サーバを接続対象の中継サーバと称することがある。また、接続対象の中継サーバと、当該中継サーバに所属するクライアント端末と、をまとめて、接続対象機器と称することがある。
【００２５】
次に、図２及び図３を参照して、中継サーバ１，２，３について説明する。図２は、管理機能付き中継サーバである中継サーバ１の機能ブロック図である。図３は、中継サーバ２，３の機能ブロック図である。
【００２６】
それぞれの中継サーバ１，２，３は、ＬＡＮ１０，２０，３０だけでなくＷＡＮ８０にも接続されているため、同一のＬＡＮに接続されたクライアント端末と通信可能であるだけでなく、他のＬＡＮに配置された中継サーバと通信可能となっている。そのため、中継サーバ１，２，３には、グローバルＩＰアドレスに加えてプライベートＩＰアドレスが付与されている。
【００２７】
また、本実施形態の中継通信システム１００において、当該システムに含まれる中継サーバのうち１つの中継サーバが管理機能付き中継サーバとして動作し、その他の中継サーバが管理対象の中継サーバとして動作するように構成されている。本実施形態では、中継サーバ１が管理機能付き中継サーバとして、残りの中継サーバ２，３が管理対象の中継サーバとして、それぞれ動作するように設定されている。以下では、まず管理機能付きの中継サーバ１を主に説明し、次に管理対象の中継サーバ２，３について説明する。
【００２８】
図２に示すように、管理機能付きの中継サーバ１は、記憶部５０と、制御部６０と、インタフェース部７０と、を備えている。
【００２９】
インタフェース部７０は、プライベートＩＰアドレスを利用して、ＬＡＮ１０内の端末に対して通信を行うことができる。また、インタフェース部７０は、グローバルＩＰアドレスを利用して、ＷＡＮ８０を経由した通信を行うことができる。
【００３０】
制御部６０は、例えば制御及び演算の機能を有するＣＰＵであり、記憶部５０から読み出したプログラムにより各種の処理を実行可能である。この制御部６０は、ＴＣＰ／ＩＰ、ＵＤＰ、ＳＩＰ等のプロトコルに従った様々な通信を制御することができる。図２に示すように、制御部６０は、インタフェースドライバ６１と、ＬＡＮ側ＩＰパケット処理部６２と、通信制御部６３と、ＷＡＮ側ＩＰパケット処理部６４と、を備えている。
【００３１】
インタフェースドライバ６１は、インタフェース部７０を制御するドライバソフトウェアである。ＬＡＮ側ＩＰパケット処理部６２は、ＬＡＮ１０から受信したパケットに適宜の処理を行って通信制御部６３に出力する。ＷＡＮ側ＩＰパケット処理部６４は、ＷＡＮ８０から受信したパケットに適宜の処理を行って通信制御部６３に出力する。
【００３２】
通信制御部６３は、受信したパケットについて、当該パケットが示す情報と記憶部５０に記憶された情報とに基づいて送信先を決定し、決定した送信先へ当該パケットを送信する。また、通信制御部６３は、他の端末から受信した情報に基づいて、記憶部５０の記憶内容を更新することができる。通信制御部６３は、図４に示すように、接続対象機器取得制御部６３１と、ＶＰＮ開始制御部６３２と、アドレスフィルタ情報通信制御部６３３と、ルーティングセッション確立制御部６３４と、ルーティング制御部６３５と、を備える。なお、上記の各制御部が行う制御については後述する。
【００３３】
記憶部５０は、例えばハードディスク又は不揮発性ＲＡＭで構成されており、各種データを保存可能である。記憶部５０は、オペレータ情報記憶部５１と、接続許可情報記憶部５２と、を備えている。以下、図５及び図６を参照して、記憶部５０の記憶内容について説明する。図５は、オペレータ情報の内容を示す図である。図６は、接続許可情報の内容を示す図である。
【００３４】
中継サーバ１が備えるオペレータ情報記憶部５１は、中継通信システム１００にログイン可能なオペレータを特定するための情報及びオペレータの利用状況等を示す情報であるオペレータ情報を記憶している。なお、このオペレータ情報記憶部５１は、管理機能付きの中継サーバ１のみが備える構成となっており、図３に示すように、中継サーバ２，３は、このオペレータ情報記憶部５１を備えていない。以下、オペレータ情報の内容について具体的に説明する。
【００３５】
図５に示すオペレータ情報においては、「オペレータＩＤ」と記述された列において、中継通信システム１００にログイン可能なオペレータＩＤの一覧が記述されている。このオペレータＩＤは、オペレータ毎に設定される固有の文字列で構成されている。また、「パスワード」と記述された列では、同じ行に記述されたオペレータＩＤを使用して中継通信システム１００にログインするために必要なパスワードが記述されている。各オペレータは、自身に設定されたオペレータＩＤ及びパスワードを用いて、中継通信システム１００にログインすることができる。
【００３６】
このオペレータＩＤ及びパスワードを用いて、オペレータが中継通信システム１００にログインするときの流れを簡単に説明する。オペレータは、通信装置２２，２３等を用いて中継サーバ２又はクライアント端末２１にアクセスし、所定のログイン画面においてオペレータＩＤとパスワードを入力することにより、中継通信システム１００へのログイン要求を行うことができる。このログイン要求を受け付けた中継サーバ２又はクライアント端末２１は、この入力内容を中継サーバ１に送信する。この入力内容を受信した中継サーバ１は、オペレータが入力したオペレータＩＤ及びパスワードについて、オペレータ情報記憶部５１が記憶するオペレータ情報と照合するとともに、他の中継サーバを介して当該オペレータＩＤが既にログイン済みか否かを判定する。中継サーバ１は、この結果に基づいてログインの可否を決定する。
【００３７】
図５には、中継サーバ１のオペレータ情報記憶部５１が記憶するオペレータ情報の例が示されている。このオペレータ情報記憶部５１において、「使用機器情報」と記述された列では、同じ行に記述されたオペレータＩＤを使用してオペレータが中継通信システム１００にログイン済みである場合に、当該オペレータが中継通信システム１００へのログインに使用している中継通信システム１００側の機器（具体的には、通信装置２２，２３ではなく、中継サーバ２又はクライアント端末２１を示す。以下使用機器と称する）に関する情報（使用機器情報）が記述されている。
【００３８】
具体的には、オペレータが中継サーバを使用してログインしている場合は、当該中継サーバの識別情報が使用機器情報となる。例えば、図１におけるオペレータ９２が通信装置２２を介して中継サーバ２にログインした場合は、中継サーバ１のオペレータ情報記憶部５１では、図５に示すように、その中継サーバ２の識別情報が、オペレータ９２のオペレータＩＤ（Ｏｐ２）に対応付けた使用機器情報として記述される。
【００３９】
一方、オペレータがクライアント端末を使用してログインしている場合は、当該クライアント端末の識別情報と、当該クライアント端末の所属先である中継サーバの識別情報と、の両方が使用機器情報となる。例えば、図１におけるオペレータ９１が通信装置２３を介してクライアント端末２１にログインした場合は、中継サーバ１のオペレータ情報記憶部５１では、当該クライアント端末２１の識別情報及び中継サーバ２の識別情報が、図５に示すように、オペレータ９１のオペレータＩＤ（Ｏｐ１）に対応付けた使用機器情報として記述される。
【００４０】
なお、オペレータが中継通信システム１００にログインしていない場合は、使用機器情報は空欄となる（図５のＯｐ３及びＯｐ４に対応する使用機器情報を参照）。
【００４１】
オペレータ情報記憶部５１が記憶するオペレータ情報のうち、ログイン可能なオペレータＩＤの一覧と、当該オペレータＩＤ毎に設定されるパスワードと、は各オペレータ及び管理者等によって予め設定されている。一方、使用機器情報は、オペレータがログイン又はログアウトする度に最新の情報に更新される。
【００４２】
接続許可情報記憶部５２は、中継通信システム１００にログイン可能なオペレータのアクセス権限を示す接続許可情報を記憶している。なお、この接続許可情報記憶部５２は、本実施形態では管理機能付きの中継サーバ１のみが備える構成となっており、図３に示すように、中継サーバ２，３は、この接続許可情報記憶部５２を備えていない。以下、接続許可情報の内容について具体的に説明する。
【００４３】
図６に示す接続許可情報においては、「オペレータＩＤ」と記述された列において、中継通信システム１００にログイン可能なオペレータＩＤの一覧が記述されている。また、「接続対象機器の識別情報」と記述された列では、同じ行に記述されたオペレータＩＤを用いて接続することが許可されている前記接続対象機器の識別情報が記述されている。具体的には、オペレータ９２（オペレータＩＤ＝Ｏｐ２）が通信装置２２を操作して中継サーバ２にアクセスし、当該中継サーバ２を使用して中継通信システム１００にログインしたときには、当該オペレータ９２は、この中継サーバ２（使用機器）と、図６の接続許可情報においてオペレータ９２に対応している接続対象機器（具体的にはクライアント端末４２又はクライアント端末４７）と、の接続を利用することができる。この場合、この中継サーバ２（使用機器）を始点とし、中継サーバ３を経由して、クライアント端末４２又はクライアント端末４７を終点とするルーティングセッションが確立されるとともに、このルーティングセッションを利用した仮想プライベートネットワーク（ＶＰＮ）が構築される。
【００４４】
ここで、接続許可情報記憶部５２が記憶する接続許可情報（図６）においては、接続対象機器が、（使用機器の識別情報ではなく）オペレータＩＤと対応付けられている。このため、オペレータ９２がログイン時に使用した機器が異なる場合においても、接続可能な接続対象機器は上記と同じである。例えば、仮にオペレータ９２が通信装置２３を操作してクライアント端末２１にアクセスし、当該クライアント端末２１を使用して中継通信システム１００にログインした場合は、このクライアント端末２１（使用機器）を始点とし、中継サーバ２及び中継サーバ３を経由して、クライアント端末４２又はクライアント端末４７を終点とするルーティングセッションが確立されるとともに、このルーティングセッションを利用したＶＰＮが構築される。
【００４５】
次に、図７等を参照して、中継サーバ２，３の構成について説明する。図７は、アドレスフィルタ情報記憶部の記憶内容を示す図である。なお、中継サーバ３は、中継サーバ２と略同等の構成であるため、代表して中継サーバ２について説明する。
【００４６】
中継サーバ２は、中継サーバ１と同等に構成される制御部６０及びインタフェース部７０を備える。一方、中継サーバ２の記憶部５０は、中継サーバ１の記憶部５０と、その記憶内容の一部が異なっている。具体的には、中継サーバ２は、記憶部５０内において、管理先情報記憶部５３と、アドレスフィルタ情報記憶部５４と、を備えている。
【００４７】
管理先情報記憶部５３は、自身を管理対象とする管理機能付き中継サーバである中継サーバ１の識別情報を記憶している。従って、中継サーバ２は、この管理先情報記憶部５３の記憶内容を参照することにより、管理機能付き中継サーバである中継サーバ１にアクセスすることができる。なお、メンテナンス等の事情で管理機能付き中継サーバが変更された場合は、その旨が他の中継サーバに通知され、管理先情報記憶部５３の記憶内容が更新される。
【００４８】
アドレスフィルタ情報記憶部５４は、オペレータが中継サーバ２にログインした結果として当該中継サーバ２が他の機器とルーティングセッションを形成し、このルーティングセッションを利用したＶＰＮが構築された場合に、どのような送信先を有するパケットであれば中継サーバ２が当該パケットの転送を行うのかを示すアドレスフィルタ情報を記憶している。なお、以下の説明では、他の機器とルーティングセッションを形成してパケットの転送を行う機器をルーティング機器と称することがある。本実施形態では、中継サーバがルーティング機器として機能することも、クライアント端末がルーティング機器として機能することもできるようになっているが、中継サーバ２のアドレスフィルタ情報記憶部５４は、当該中継サーバ２がルーティング機器として機能する場合に使用されるものである。
【００４９】
図７（ａ）には、アドレスフィルタ情報記憶部５４の記憶内容の概要が例示されている。図７（ａ）において、右側の「ルーティング対象装置」の列は、転送が許可されるパケットの送信先の機器を示している。従って、図７（ａ）の例でいうと、中継サーバ２がルーティング機器として機能する場合、当該中継サーバ２が受信したパケットの送信先がファイルサーバ４６又は通信装置２２であれば、中継サーバ２は当該パケットを他の機器へ転送する。この場合の転送先としては、他のルーティング機器である場合と、パケットの送信先そのものである場合と、の２通りが考えられる。一方で、パケットの送信先が上記の機器の何れでもない場合は、当該パケットを転送しない。
【００５０】
従って、この「ルーティング対象装置」の列が、アドレスフィルタ情報に相当する。このアドレスフィルタ情報は、上記のとおり、パケットの転送の可否をその送信先に基づいて判断する（パケットをフィルタリングする）ために用いられる。
【００５１】
図７（ａ）の左側の「ルーティング機器」の列は、右側の列で示されるパケットの送信先に対して、パケットを直接的に送信可能なルーティング機器を示している。ここで、「直接的に送信可能」とは、ルーティング機器が、他のルーティング機器を経由させずに、その送信先にパケットを送信可能であることをいう。
【００５２】
図７（ａ）の表に示すように、アドレスフィルタ情報記憶部５４において、アドレスフィルタ情報は、当該アドレスフィルタ情報が示す送信先に対してパケットを直接的に送信可能なルーティング機器（自身を含む）に対応付けられた形で記憶される。従って、図７（ａ）の表は、転送を許可するパケットをフィルタリングする際に参照されるだけでなく、パケットの転送経路を決定する（パケットをルーティングする）目的でも用いられる。以下の説明では、図７（ａ）のように、ＶＰＮを構築する際に使用される自身及びそれ以外のルーティング機器と、それぞれに対応付けたアドレスフィルタ情報と、を含む情報を、パケット転送制御情報と呼ぶことがある。
【００５３】
即ち、図７（ａ）の例に照らせば、中継サーバ２が受信したパケットの送信先が通信装置２２である場合は、中継サーバ２は他のルーティング機器を介さず当該パケットを通信装置２２に送信することができる。従って、中継サーバ２は、受信したパケットを通信装置２２に転送する。このように、自身と対応付けられたアドレスフィルタ情報（即ち、自身がパケットを転送可能なアドレス）を、以下では第１アドレスフィルタ情報と称することがある。
【００５４】
一方で、中継サーバ２が受信したパケットの送信先がファイルサーバ４６である場合は、図７（ａ）によると、当該パケットをファイルサーバ４６に届けるためには、他のルーティング機器であるクライアント端末４７を経由させなければならないことが分かる。従って、中継サーバ２は先ずパケットを、中継サーバ３を介して、クライアント端末４７に転送する。このパケットを受信したクライアント端末４７は、ルーティング機器として機能し、当該パケットを更にファイルサーバ４６へ転送する。このように、他のルーティング機器と対応付けられたアドレスフィルタ情報（即ち、他のルーティング機器がパケットを転送可能なアドレス）を、以下では第２アドレスフィルタ情報と称することがある。このように、中継サーバ２は、第１アドレスフィルタ情報と第２アドレスフィルタ情報とを記憶する手段（アドレスフィルタ情報記憶部５４）を備えている。
【００５５】
図７（ｂ）にはアドレスフィルタ情報記憶部５４の具体的な記憶内容が示されるが、この実質的な意味は図７（ａ）と同様である。この図７（ｂ）に示すように、アドレスフィルタ情報記憶部５４は、ＶＰＮで用いられるそれぞれのルーティング機器の識別情報と、当該ルーティング機器がパケットを直接的に送信可能なルーティング対象装置のＩＰアドレス及び名称と、を対応付けて記憶している。
【００５６】
図７（ｂ）の右側の列の「ルーティング対象装置の名称」としては、例えば、機器の種類（処理装置、通信装置、ファイルサーバ等）及び配置される場所等を考慮する等して、ユーザが任意の名称を設定することができる。この設定されたルーティング装置の名称は、中継サーバ２に接続される通信装置２２等に表示させることができる。また、中継サーバ２は、装置の名称を表示するだけでなく、当該装置を使用機器として中継通信システム１００にログインしているオペレータのオペレータＩＤ等を中継サーバ１に問い合わせることで取得し、これを通信装置２２等に表示するように構成することもできる。以上の構成により、パケット転送先のルーティング対象装置等を分かり易く管理することができる。
【００５７】
中継サーバ２は、以上のように構成される。なお、クライアント端末１１，２１，４２，４７の構成については詳細な説明を省略するが、中継サーバ２と実質的に同様に構成された記憶部５０及び制御部６０を備えている。特に、クライアント端末は、中継サーバ２，３が備えるアドレスフィルタ情報記憶部５４と同様の内容を記憶可能なアドレスフィルタ情報記憶部を備えている。
【００５８】
次に、それぞれのルーティング機器（中継サーバ及びクライアント端末）において、図７に示すような前記パケット転送制御情報を作成する処理について説明する。パケット転送制御情報は、上述のとおり、ＶＰＮの実現のためにルーティング機器が行うパケット転送制御のルールを定めるものである。一方、本実施形態の中継通信システム１００では、構成機器が互いに異なるＶＰＮを複数構築することができる。このような中継通信システム１００を実現するために、中継サーバ及びクライアント端末が備えるアドレスフィルタ情報記憶部は、パケット転送制御情報をＶＰＮ毎に記憶できるようになっている。即ち、新しいＶＰＮが構築される毎に、新しいパケット転送制御情報が作成されて、これがルーティング機器のアドレスフィルタ情報記憶部に記憶されることになる。
【００５９】
ＶＰＮのための前記ルーティングセッションは、オペレータがログインした使用機器と、ＶＰＮの作成を指示するときにオペレータが指定した接続対象機器と、の間で形成される。即ち、ＶＰＮを作成するにあたっては、ルーティング機器として機能する前記使用機器及び接続対象機器のそれぞれにおいて、図７に示すようなパケット転送制御情報を作成してアドレスフィルタ情報記憶部に記憶することになる。
【００６０】
このため、ＶＰＮの構築時には、ルーティング機器として機能することになった中継サーバ又はクライアント端末は、自身に対応付けられたアドレスフィルタ情報を相手側のルーティング機器に送信できるようになっている。このアドレスフィルタ情報の交換により、それぞれのルーティング機器は、自身に対応付けられたアドレスフィルタ情報と他のルーティング機器に対応付けられたアドレスフィルタ情報を合成して、図７に示すようなパケット転送制御情報を作成し、自身が備えるアドレスフィルタ情報記憶部に記憶する。
【００６１】
このとき、自身に対応付けられたアドレスフィルタ情報としては、自身（ルーティング機器）が使用機器であるか接続対象機器であるかに応じて、異なるものが採用される。即ち、ルーティング機器として機能する可能性がある中継サーバ及びクライアント端末は、アドレスフィルタ情報記憶部に、自身がパケットを直接的に送信可能な装置を示すように予め設定されたアドレスフィルタ情報（以下、既定アドレスフィルタ情報と呼ぶことがある）を少なくとも記憶している。そして、中継サーバ又はクライアント端末は、自身が接続対象機器として指定されることによりルーティング機器として機能する場合、ＶＰＮの構築時に、前記既定アドレスフィルタ情報を、自身に対応付けられたアドレスフィルタ情報とする。
【００６２】
一方、自身が使用機器になった結果（自身をオペレータがログインに使用した結果）、ルーティング機器として機能することになった場合、中継サーバ又はクライアント端末は、ＶＰＮの構築時に、前記既定アドレスフィルタ情報ではなく、自身へのログインのためにオペレータによって直接操作された機器のアドレスを、自身に対応付けられたアドレスフィルタ情報とする。
【００６３】
次に、主に図８を参照して、オペレータ９２が中継通信システム１００にログインしてＶＰＮを構築するときの具体的な流れを説明する。図８は、本発明におけるＶＰＮを開始する処理の流れを示すシーケンス図である。
【００６４】
オペレータ９２は、上述のように、通信装置２２に適宜の操作を行って中継サーバ２にアクセスし、当該中継サーバ２を使用機器としたログイン要求を行う。このログイン要求では、オペレータＩＤとパスワードの入力が求められる。そして、オペレータ９２が、自身に対応するオペレータＩＤ（Ｏｐ２）及びパスワード（ｄｅｆ）を入力して、入力内容を確定させることにより、中継サーバ２はログイン要求を受け付ける（シーケンス番号１）。このように、中継サーバ２は、ログイン操作するオペレータの識別情報を受け付ける手段を備えている。そして、中継サーバ２は、入力されたオペレータＩＤ、パスワード、及び使用機器情報（具体的には中継サーバ２の識別情報）とともに、ログイン要求を中継サーバ１に対して送信する（シーケンス番号２）。
【００６５】
このログイン要求等を受信した中継サーバ１は、図５に示すオペレータ情報に基づいて、オペレータＩＤとパスワードの認証を行う（シーケンス番号３）。また、中継サーバ１は、同一のオペレータＩＤでの多重ログインを防止するために、入力されたオペレータＩＤを使用したログインが他に行われているか否かを判定する（シーケンス番号４）。そして、オペレータの認証に成功し、かつ多重ログインが行われていない場合、中継サーバ１はログインを許可し、オペレータ情報記憶部５１のオペレータ情報を更新する（シーケンス番号５）。つまり、Ｏｐ２と対応する使用機器情報として、中継サーバ２の識別情報を記憶する。
【００６６】
そして、中継サーバ１は、接続許可情報記憶部５２が記憶する接続許可情報を参照し、ログインを許可したオペレータ９２による接続が可能な接続対象機器のリストを読み出す（シーケンス番号６）。今回の例では、図６に示す接続許可情報において、オペレータ９２にはクライアント端末４２，４７が対応付けられている。従って、中継サーバ１は、クライアント端末４２，４７の識別情報を、ログインを許可する旨とともに、中継サーバ２に対して送信する（シーケンス番号７）。
【００６７】
中継サーバ２の接続対象機器取得制御部６３１は、この通知に基づいて、オペレータ９２による接続可能な接続対象機器（即ち、クライアント端末４２，４７）を取得することができる。つまり、中継サーバ２は、オペレータが接続可能な接続対象機器のリストを取得する手段を備えている。また、中継サーバ２は、オペレータ９２による接続が可能な接続対象機器を、ログインが許可された旨とともに、通信装置２２に表示する（シーケンス番号８）。そして、オペレータ９２が、クライアント端末４２，４７のうち、ルーティング機器（接続対象機器）として機能させる対象としてクライアント端末４７を選択したものとする。中継サーバ２はオペレータの選択を受け付ける手段を備えており、オペレータの選択を受け付けると（シーケンス番号９）、オペレータ９２がログイン要求時に直接操作した通信装置２２のＩＰアドレスを、中継サーバ２の識別情報と対応付けて、第１アドレスフィルタ情報としてアドレスフィルタ情報記憶部５４に記憶する（シーケンス番号１０）。具体的には、図７の表における下段の情報がアドレスフィルタ情報記憶部５４に記憶される。次に、中継サーバ２のＶＰＮ開始制御部６３２によって、ＶＰＮの開始コマンドが中継サーバ３を介してクライアント端末４７に送信されるとともに、アドレスフィルタ情報通信制御部６３３によって、自身の識別情報と対応付けて記憶したアドレスフィルタ情報（第１アドレスフィルタ情報）が中継サーバ３を介してクライアント端末４７に送信される（シーケンス番号１１）。
【００６８】
この開始コマンドを受信したクライアント端末４７は、受信したアドレスフィルタ情報をアドレスフィルタ情報記憶部に記憶する（シーケンス番号１２）。ここで、上述のように、クライアント端末４７のアドレスフィルタ情報記憶部には、自身（クライアント端末４７）の識別情報と対応付けた形で、ファイルサーバ４６を指定するアドレスフィルタ情報が予め（前記既定アドレスフィルタ情報として）記憶されている。従って、クライアント端末４７のアドレスフィルタ情報記憶部には、図７に示すように、２つのアドレスフィルタ情報からなるパケット転送制御情報が記憶されることとなる。クライアント端末４７は、信号を受信した旨とともに、自身に対応付けられたアドレスフィルタ情報（図７の表の上段の情報）を、中継サーバ３を介して中継サーバ２に対して送信する（シーケンス番号１３）。
【００６９】
中継サーバ２は、クライアント端末４７からの応答を受けて、受信したアドレスフィルタ情報を第２アドレスフィルタ情報としてアドレスフィルタ情報記憶部５４に記憶する（シーケンス番号１４）。これにより、中継サーバ２のアドレスフィルタ情報記憶部５４にも、図７に示すように、２つのアドレスフィルタ情報からなるパケット転送制御情報が記憶されることとなる。以上のようにして、中継サーバ２とクライアント端末４７との間で、アドレスフィルタ情報の交換が完了する。アドレスフィルタ情報の交換後においては、中継サーバ２のアドレスフィルタ情報記憶部５４及びクライアント端末４７のアドレスフィルタ情報記憶部は、ともに図７に示す内容を記憶している。
【００７０】
中継サーバ２はルーティングセッションを確立する手段（ルーティングセッション確立制御部６３４）を備えており、クライアント端末４７とルーティングセッションを確立するための通信制御を、中継サーバ３を介して当該クライアント端末４７に行う（シーケンス番号１５）。これにより、中継サーバ２を始点として、中継サーバ３を経由して、クライアント端末４７を終点とするルーティングセッションが確立される。
【００７１】
なお、上記では、使用機器としての中継サーバ２と、接続対象機器としてのクライアント端末４７と、の間にルーティングセッションを確立する処理を説明したが、上記以外の組み合わせでルーティングセッションを確立することも勿論可能である。例えば、オペレータ９１が通信装置２３からクライアント端末２１にアクセスし、当該クライアント端末２１を使用機器として中継通信システム１００にログインした場合について考える。図６に示すように、オペレータ９１は中継サーバ３との接続が許可されている。従って、この場合では、クライアント端末２１を始点として、中継サーバ２を経由して、中継サーバ３を終点とするルーティングセッションを確立させることができる。このときのルーティング機器（クライアント端末２１及び中継サーバ３）のアドレスフィルタ情報記憶部には、クライアント端末２１の識別情報に対応付けた形で、通信装置２３のアドレスがアドレスフィルタ情報として記憶される。
【００７２】
次に、確立したルーティングセッションを利用して中継サーバ２のルーティング制御部６３５が行うルーティング制御について説明する。図９は、通信装置２２がファイルサーバ４６にパケットを送信するときの経路を説明する図である。図１０は、ファイルサーバ４６が通信装置２２にパケットを送信するときの経路を説明する図である。
【００７３】
初めに、図９に示す第１パケット（ｐａｃｋｅｔ０１）を中継サーバ２が受信した場合の処理について説明する。この第１パケットは通信装置２２が送信したものであり、送信先アドレスとしてファイルサーバ４６のＩＰアドレス（１９２．１６８．４５．１００）が指定されている。
【００７４】
中継サーバ２は、この第１パケットを受信すると、アドレスフィルタ情報記憶部５４の記憶内容（図７）を第１パケットの送信先アドレスと比較する。そして、第１パケットに記された送信先に対してパケットを直接的に送信可能なルーティング機器を調べる。図７に示すように、第１パケットの送信先アドレス（１９２．１６８．４５．１００）は、クライアント端末４７に対応付けられたアドレスフィルタ情報（第２アドレスフィルタ情報）として記憶されている。従って、中継サーバ２は第１パケットの転送を許可し、中継サーバ２とクライアント端末４７との間に確立されたルーティングセッションを介して、クライアント端末４７を最終的な送信先として、第１パケットを中継サーバ３に送信する。
【００７５】
この第１パケットを受信したクライアント端末４７も中継サーバ２と同様に、アドレスフィルタ情報記憶部の記憶内容（図７）を、第１パケットの送信先アドレスと比較する。この結果、クライアント端末４７は、第１パケットに記された送信先（１９２．１６８．４５．１００）が第１アドレスフィルタ情報として記憶されていることから、自身がパケットを直接的に送信可能なことを検出する。従って、クライアント端末４７は第１パケットの転送を許可し、当該第１パケットをファイルサーバ４６に対して送信する。
【００７６】
次に、図１０に示す第２パケット（ｐａｃｋｅｔ０２）をクライアント端末４７が受信した場合の処理について説明する。この第２パケットはファイルサーバ４６が送信したものであり、送信先アドレスとして通信装置２２のＩＰアドレス（２００．１．２０．１００）が指定されている。
【００７７】
クライアント端末４７は、この第２パケットを受信した後に、上記と同様に処理を行い、第２パケットの送信先アドレス（２００．１．２０．１００）が、中継サーバ２に対応付けられたアドレスフィルタ情報によって指定されていることを検出する。従って、クライアント端末４７は第２パケットの転送を許可し、クライアント端末４７と中継サーバ２との間に確立されたルーティングセッションを介して、中継サーバ２を最終的な送信先として、第２パケットを中継サーバ３に送信する。
【００７８】
この第２パケットを受信した中継サーバ２も、上記同様に処理を行い、第２パケットの送信先アドレス（２００．１．２０．１００）が、自身（中継サーバ２）に対応付けられたアドレスフィルタ情報によって指定されていることを検出する。従って、中継サーバ２は第２パケットの転送を許可し、当該第２パケットを通信装置２２に対して送信する。
【００７９】
このように、本実施形態では、アプリケーション層のルーティングセッションで、ルーティング対象のデータを流すように構成されている。従って、以上で説明したルーティングは、通常のＩＰルーティングとは異なっている。
【００８０】
アプリケーション層でルーティングを行うことにより、ＷＡＮを意識することなく、遠隔地のＬＡＮ同士がプライベートＩＰアドレスを利用して相互に通信することができる。また、上述のように、ルーティング機器は、パケットの転送先として指定可能なルーティング対象装置の名称を表示可能となっている。そのため、ユーザは、ＶＰＮを用いてどの機器にパケットを送信可能であるかを容易に認識することができる。
【００８１】
以上に示したように、本実施形態の中継サーバ２は、自身がパケットを転送可能なアドレスである第１アドレスフィルタ情報と、他の接続対象機器であるクライアント端末４７がパケットを転送可能なアドレスである第２アドレスフィルタ情報と、を記憶する手段（アドレスフィルタ情報記憶部５４）を備えている。また、中継サーバ２は、ＬＡＮ２０で接続された通信装置２２を介してログイン操作するオペレータ９２の識別情報を受け付ける手段と、ログインを受け付けたオペレータ９２の識別情報（Ｏｐ２）に基づいて、当該オペレータ９２が接続可能な接続対象機器のリストを取得する手段と、接続可能な前記接続対象機器のリストの中からオペレータ９２による接続対象機器（クライアント端末４７）の選択を受け付ける手段と、オペレータ９２に選択されたクライアント端末４７とルーティングセッションを確立する手段（ルーティングセッション確立制御部６３４）と、を備える。中継サーバ２は、オペレータ９２がログイン操作した通信装置２２のアドレスを第１アドレスフィルタ情報として記憶し、当該通信装置２２のアドレスをクライアント端末４７へ送信する。中継サーバ２は、クライアント端末４７から受信したファイルサーバ４６のアドレスを第２アドレスフィルタ情報として記憶する。中継サーバ２は、受信したパケットの送信先が第１アドレスフィルタ情報として記憶されている場合には、送信先へパケットを送信する。中継サーバ２は、受信したパケットの送信先が前記第２アドレスフィルタ情報として記憶されている場合には、前記ルーティングセッションへパケットを送信する。
【００８２】
これにより、オペレータ９２は、中継サーバ２と、選択されたクライアント端末４７と、の間に確立されたルーティングセッションを利用して通信を行うことができる。また、上記の構成では、オペレータ毎に接続可能な接続対象機器が設定されている。そのため、オペレータ９２がログインに用いる通信装置が変更されても、以前と同一の相手とルーティングセッションを確立して通信を行うことができる。また、オペレータ毎に異なるアクセス制御を容易に行うことができる。
【００８３】
また、本実施形態の中継サーバ２は、アドレスフィルタ情報記憶部５４と、制御部６０と、を備える。アドレスフィルタ情報記憶部５４は、中継サーバ２がパケットの転送先として指定可能なルーティング対象装置のアドレスを示すアドレスフィルタ情報を中継サーバ２の識別情報と対応付けて記憶可能であるとともに、中継サーバ２と接続可能な接続対象機器がパケットの転送先として指定可能なルーティング対象装置のアドレスを示すアドレスフィルタ情報を当該接続対象機器の識別情報と対応付けて記憶可能である。中継サーバ２が接続可能な管理機能付きの中継サーバ１においては、中継通信システム１００にログイン可能なオペレータの識別情報と、当該オペレータによる接続が可能な前記接続対象機器の識別情報と、が対応付けられた接続許可情報を記憶している。制御部６０は、接続対象機器取得制御部６３１と、ＶＰＮ開始制御部６３２と、アドレスフィルタ情報通信制御部６３３と、ルーティングセッション確立制御部６３４と、ルーティング制御部６３５と、を備える。接続対象機器取得制御部６３１は、管理機能付きの中継サーバ１が記憶する接続許可情報に基づいて、ログイン要求を行ったオペレータ９２が接続可能な接続対象機器（クライアント端末４２，４７）を取得する。ＶＰＮ開始制御部６３２は、中継サーバ２の制御部６０は、読み出した接続対象機器のうち選択されたクライアント端末４７に対して仮想プライベートネットワークの開始処理を行う。アドレスフィルタ情報通信制御部６３３は、オペレータ９２がログイン要求を行うために操作した通信装置２２のアドレスを、自身（中継サーバ２）の識別情報と対応付けたアドレスフィルタ情報としてアドレスフィルタ情報記憶部５４に記憶するとともに当該アドレスフィルタ情報をクライアント端末４７に送信し、クライアント端末４７から受信したアドレスフィルタ情報を、当該クライアント端末４７の識別情報と対応付けたアドレスフィルタ情報としてアドレスフィルタ情報記憶部５４に記憶する。ルーティングセッション確立制御部６３４は、クライアント端末４７に対してルーティングセッションを確立する。ルーティング制御部６３５は、受信したパケットの送信先が、中継サーバ２の識別情報と対応付けられたアドレスフィルタ情報において指定されているとき（例えば送信先が通信装置２２であるとき）は、当該送信先にパケットを送信し、受信したパケットの送信先がクライアント端末４７の識別情報と対応付けられたアドレスフィルタ情報において指定されているとき（例えば送信先がファイルサーバ４６であるとき）は、中継サーバ２とクライアント端末４７との間に確立されたルーティングセッションを介して当該クライアント端末４７にパケットを送信する。
【００８４】
これにより、構築したＶＰＮを利用して、オペレータ９２がログイン要求を行うために操作した通信装置２２と、クライアント端末４７がパケットを転送可能なファイルサーバ４６と、の間で通信を行うことができる。また、接続許可情報では、オペレータの識別情報と、接続対象機器の識別情報と、が対応付けられている。そのため、例えばオペレータ９２は、通信装置２２を操作して中継サーバ２にログインする場合は、中継サーバ２及びクライアント端末４７をルーティング機器とし、当該通信装置２２とファイルサーバ４６との間でＶＰＮを構築することができる。そして、ログアウトしたオペレータ９２が、今度は通信装置２３を操作してクライアント端末２１にログインする場合は、クライアント端末２１及びクライアント端末４７をルーティング機器とし、通信装置２３とファイルサーバ４６との間でＶＰＮを構築することができる。このように、ログインに用いる機器が変更されても、ログインを行うオペレータが同一であれば、以前と同一の相手を含むようなＶＰＮをその場で容易に構築して利用することができる。また、オペレータ毎に異なるアクセス制御を容易に行うことができる。
【００８５】
また、本実施形態の中継サーバ２は、管理機能付き中継サーバである中継サーバ１の識別情報を記憶する管理先情報記憶部５３を備える。接続許可情報は、中継サーバ１によって記憶される。中継サーバ２の制御部６０は、オペレータ９２からログイン要求を受け付けたときに、管理先情報記憶部５３の記憶内容に基づいて中継サーバ１にアクセスすることにより、ログイン要求を行ったオペレータ９２が接続可能な接続対象機器（クライアント端末４２，４７）を取得する。
【００８６】
これにより、中継サーバ１が接続許可情報を集中的に管理する構成となるため、複数の機器によって接続許可情報を共有させる必要がない。従って、当該機器間における接続許可情報の同期制御が不要となり、中継サーバで行われる処理を軽くすることができる。
【００８７】
次に、上記実施形態の変形例について、図１１から図１３までを参照して説明する。図１１は、中継サーバ２の変形例を示す機能ブロック図である。図１２は、オペレータグループ情報の内容を示す図である。図１３は、変形例における接続許可情報の内容を示す図である。なお、以下の変形例の説明において、上記実施形態と同一又は類似の構成については、同一の符号を付して説明を省略する場合がある。
【００８８】
図１１に示すように、本変形例の中継サーバ２は、オペレータ情報記憶部５１と、接続許可情報記憶部５２１と、アドレスフィルタ情報記憶部５４と、オペレータグループ情報記憶部５５と、を備える。
【００８９】
このように、本変形例では、上記実施形態で中継サーバ１が備えていたオペレータ情報記憶部５１及び接続許可情報記憶部５２を、中継サーバ２が備える構成となっている。そのため、本変形例の中継サーバ２は、管理機能付き中継サーバとして機能するとともに、接続元の中継サーバとして機能する。従って、本変形例では、接続元の中継サーバとしての中継サーバ２と、接続対象の中継サーバとしての中継サーバ３（上記実施形態と同じ構成）において、上記実施形態と同様の中継通信システム１００が実現できる。
【００９０】
また、本変形例では、１又は複数のオペレータで構成されるオペレータグループが作成されており、このオペレータグループに関する情報が中継サーバ２のオペレータグループ情報記憶部５５に記憶されている。オペレータグループ情報記憶部５５は、複数のオペレータで構成されるオペレータグループを、図１２に示すように、グループの名称と、当該オペレータグループを構成する（オペレータグループに所属する）オペレータのオペレータＩＤと、を用いて記憶している。
【００９１】
そして、本変形例の接続許可情報記憶部５２１は、図１３に示すように、上記オペレータグループの名称と、接続対象機器の識別情報と、を対応付けて記憶している。従って、図１３の例では、グループ１に所属するオペレータ（オペレータＩＤがＯｐ１，Ｏｐ２，Ｏｐ３であるオペレータ）がクライアント端末２１を使用機器としてログインした場合は、当該クライアント端末２１と、中継サーバ３と、の接続を利用することができる。なお、オペレータのログイン処理及びＶＰＮの構築処理については、上記実施形態と同様であるため説明を省略する。
【００９２】
以上に示したように、本変形例の中継サーバ２は、接続許可情報を記憶する接続許可情報記憶部５２１を備える。制御部６０は、オペレータからログイン要求を受け付けたときに、接続許可情報記憶部５２１の記憶内容に基づいて、ログイン要求を行ったオペレータが接続可能な接続対象機器を取得する。
【００９３】
これにより、中継サーバ２は、自身の記憶内容を参照するだけで、ログイン要求を行ったオペレータが接続可能な接続対象機器を取得できる。このため、ＶＰＮを開始するまでの処理を単純にすることができる。
【００９４】
また、本変形例の中継サーバ２は、複数のオペレータで構成されるオペレータグループを、当該オペレータグループを構成するオペレータの識別情報を用いて記憶するオペレータグループ情報記憶部５５を備える。接続許可情報記憶部５２１は、仮想プライベートネットワークを構築する際にオペレータによる接続が可能な接続対象機器の識別情報をオペレータグループ毎に記憶する。
【００９５】
これにより、複数のオペレータでチームを作り、当該チームにおいて所定の接続対象機器（及びルーティング対象装置）のメンテナンス等を行っている場合において、接続許可情報記憶部５２１の記憶内容を単純にすることができる。そのため、この構成は、中継通信システム１００においてメンテナンスを行うオペレータが多い場合に特に好適である。また、このチームを構成するオペレータに変更があった場合においても、当該オペレータの識別情報をオペレータグループから削除又はオペレータグループに追加するだけで良いため、接続許可情報の設定を容易にすることができる。
【００９６】
以上に本発明の好適な実施の形態を説明したが、上記の構成は例えば以下のように変更することができる。
【００９７】
上記のオペレータ情報、オペレータグループ情報、利用状況情報等は、適宜の形式（例えばＸＭＬ形式）で格納することができる。
【００９８】
上記実施形態の構成に代えて、各中継サーバ間での通信に用いられる外部サーバをインターネット上に設置し、ＳＩＰ（Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｉｏｎ Ｐｒｏｔｏｃｏｌ）サーバとしての機能を発揮させて通信を行う構成にしても良い。
【符号の説明】
【００９９】
１，２，３ 中継サーバ
１１，２１，４２，４７ クライアント端末
１０，２０，３０，４０，４５ ＬＡＮ
５０ 記憶部
５１ オペレータ情報記憶部
５２ 接続許可情報記憶部
５３ 管理先情報記憶部
５４ アドレスフィルタ情報記憶部
６０ 制御部
１００ 中継通信システム
【特許請求の範囲】
【請求項１】
自身がパケットを転送可能なアドレスである第１アドレスフィルタ情報と、他の中継サーバ及びクライアント端末を示す接続対象機器がパケットを転送可能なアドレスである第２アドレスフィルタ情報と、を記憶する手段と、
ＬＡＮで接続された通信装置を介してログイン操作するオペレータの識別情報を受け付ける手段と、
ログインを受け付けたオペレータの識別情報に基づいて、当該オペレータが接続可能な前記接続対象機器のリストを取得する手段と、
接続可能な前記接続対象機器のリストの中からオペレータによる前記接続対象機器の選択を受け付ける手段と、
オペレータに選択された前記接続対象機器とルーティングセッションを確立する手段と、
を備え、
オペレータがログイン操作した前記通信装置のアドレスを第１アドレスフィルタ情報として記憶し、当該通信装置のアドレスを前記接続対象機器へ送信し、
前記接続対象機器から受信したアドレスを第２アドレスフィルタ情報として記憶し、
受信したパケットの送信先が前記第１アドレスフィルタ情報として記憶されている場合には、送信先へパケットを送信し、
受信したパケットの送信先が前記第２アドレスフィルタ情報として記憶されている場合には、前記ルーティングセッションへパケットを送信することを特徴とする中継サーバ。
【請求項２】
自身がパケットの転送先として指定可能なルーティング対象装置のアドレスを示すアドレスフィルタ情報を自身の識別情報と対応付けて記憶可能であるとともに、自身と接続可能な接続対象の中継サーバ及び当該接続対象の中継サーバに所属するクライアント端末を示す接続対象機器が、パケットの転送先として指定可能なルーティング対象装置のアドレスを示すアドレスフィルタ情報を当該接続対象機器の識別情報と対応付けて記憶可能であるアドレスフィルタ情報記憶部と、
制御部と、
を備え、
前記制御部は、
自身又は自身が接続可能な他の中継サーバが記憶する情報であって、自身及び前記接続対象機器を含んで構成される中継通信システムにログイン可能なオペレータの識別情報と、当該オペレータによる接続が可能な前記接続対象機器の識別情報と、を対応付けた情報である接続許可情報に基づいて、ログイン要求を行ったオペレータによる接続が可能な前記接続対象機器を取得する接続対象機器取得制御部と、
取得した前記接続対象機器のうち選択された前記接続対象機器に対して仮想プライベートネットワークの開始処理を行うＶＰＮ開始制御部と、
オペレータがログイン要求を行うために操作した通信装置のアドレスを、自身の識別情報と対応付けたアドレスフィルタ情報として前記アドレスフィルタ情報記憶部に記憶するとともに当該アドレスフィルタ情報を前記接続対象機器に送信し、前記接続対象機器から受信したアドレスフィルタ情報を、当該接続対象機器の識別情報と対応付けたアドレスフィルタ情報として前記アドレスフィルタ情報記憶部に記憶するアドレスフィルタ情報通信制御部と、
選択された前記接続対象機器に対してルーティングセッションを確立するルーティングセッション確立制御部と、
受信したパケットの送信先が、自身の識別情報と対応付けられたアドレスフィルタ情報において指定されているときは、当該送信先にパケットを送信し、受信したパケットの送信先が前記接続対象機器の識別情報と対応付けられたアドレスフィルタ情報において指定されているときは、自身と当該接続対象機器との間に確立されたルーティングセッションを介して当該接続対象機器にパケットを送信する制御と、を行うルーティング制御部と、
を備えることを特徴とする中継サーバ。
【請求項３】
請求項２に記載の中継サーバであって、
自身を含む中継サーバの管理を行う管理機能付き中継サーバの識別情報を記憶する管理先情報記憶部を備え、
前記接続許可情報は、前記管理機能付き中継サーバによって記憶され、
前記制御部は、オペレータからログイン要求を受け付けたときに、前記管理先情報記憶部の記憶内容に基づいて前記管理機能付き中継サーバにアクセスすることにより、ログイン要求を行ったオペレータによる接続が可能な前記接続対象機器を取得することを特徴とする中継サーバ。
【請求項４】
請求項２に記載の中継サーバであって、
前記接続許可情報を記憶する接続許可情報記憶部を備え、
前記制御部は、オペレータからログイン要求を受け付けたときに、前記接続許可情報記憶部に記憶された前記接続許可情報に基づいて、ログイン要求を行ったオペレータによる接続が可能な前記接続対象機器を取得することを特徴とする中継サーバ。
【請求項５】
請求項１から４までの何れか一項に記載の中継サーバであって、
自身又は前記接続対象機器は、複数のオペレータで構成されるオペレータグループを、当該オペレータグループを構成するオペレータの識別情報を用いて記憶し、オペレータによる接続が可能な前記接続対象機器の識別情報をオペレータグループ毎に記憶することを特徴とする中継サーバ。
【請求項６】
中継サーバと、
前記中継サーバに所属するクライアント端末と、
を備える中継通信システムであって、
前記中継サーバのうち接続元の中継サーバとして機能する前記中継サーバは、
自身がパケットの転送先として指定可能なルーティング対象装置のアドレスを示すアドレスフィルタ情報を自身の識別情報と対応付けて記憶可能であるとともに、自身と接続可能な接続対象の中継サーバ及び当該接続対象の中継サーバに所属するクライアント端末を示す接続対象機器が、パケットの転送先として指定可能なルーティング対象装置のアドレスを示すアドレスフィルタ情報を当該接続対象機器の識別情報と対応付けて記憶可能であるアドレスフィルタ情報記憶部と、
制御部と、
を備え、
前記制御部は、
オペレータの識別情報と、オペレータによる接続が可能な前記接続対象機器の識別情報と、を対応付けた情報である接続許可情報に基づいて、ログイン要求を行ったオペレータによる接続が可能な前記接続対象機器を取得する接続対象機器取得制御部と、
取得した前記接続対象機器のうち選択された前記接続対象機器に対して仮想プライベートネットワークの開始処理を行うＶＰＮ開始制御部と、
オペレータがログイン要求を行うために操作した通信装置のアドレスを、自身の識別情報と対応付けたアドレスフィルタ情報として前記アドレスフィルタ情報記憶部に記憶するとともに当該アドレスフィルタ情報を前記接続対象機器に送信し、前記接続対象機器から受信したアドレスフィルタ情報を、当該接続対象機器の識別情報と対応付けたアドレスフィルタ情報として前記アドレスフィルタ情報記憶部に記憶するアドレスフィルタ情報通信制御部と、
選択された前記接続対象機器に対してルーティングセッションを確立するルーティングセッション確立制御部と、
受信したパケットの送信先が、自身の識別情報と対応付けられたアドレスフィルタ情報において指定されているときは、当該送信先にパケットを送信し、受信したパケットの送信先が前記接続対象機器の識別情報と対応付けられたアドレスフィルタ情報において指定されているときは、自身と当該接続対象機器との間に確立されたルーティングセッションを介して当該接続対象機器にパケットを送信するルーティング制御部と、
を備えることを特徴とする中継通信システム。
【請求項１】
自身がパケットを転送可能なアドレスである第１アドレスフィルタ情報と、他の中継サーバ及びクライアント端末を示す接続対象機器がパケットを転送可能なアドレスである第２アドレスフィルタ情報と、を記憶する手段と、
ＬＡＮで接続された通信装置を介してログイン操作するオペレータの識別情報を受け付ける手段と、
ログインを受け付けたオペレータの識別情報に基づいて、当該オペレータが接続可能な前記接続対象機器のリストを取得する手段と、
接続可能な前記接続対象機器のリストの中からオペレータによる前記接続対象機器の選択を受け付ける手段と、
オペレータに選択された前記接続対象機器とルーティングセッションを確立する手段と、
を備え、
オペレータがログイン操作した前記通信装置のアドレスを第１アドレスフィルタ情報として記憶し、当該通信装置のアドレスを前記接続対象機器へ送信し、
前記接続対象機器から受信したアドレスを第２アドレスフィルタ情報として記憶し、
受信したパケットの送信先が前記第１アドレスフィルタ情報として記憶されている場合には、送信先へパケットを送信し、
受信したパケットの送信先が前記第２アドレスフィルタ情報として記憶されている場合には、前記ルーティングセッションへパケットを送信することを特徴とする中継サーバ。
【請求項２】
自身がパケットの転送先として指定可能なルーティング対象装置のアドレスを示すアドレスフィルタ情報を自身の識別情報と対応付けて記憶可能であるとともに、自身と接続可能な接続対象の中継サーバ及び当該接続対象の中継サーバに所属するクライアント端末を示す接続対象機器が、パケットの転送先として指定可能なルーティング対象装置のアドレスを示すアドレスフィルタ情報を当該接続対象機器の識別情報と対応付けて記憶可能であるアドレスフィルタ情報記憶部と、
制御部と、
を備え、
前記制御部は、
自身又は自身が接続可能な他の中継サーバが記憶する情報であって、自身及び前記接続対象機器を含んで構成される中継通信システムにログイン可能なオペレータの識別情報と、当該オペレータによる接続が可能な前記接続対象機器の識別情報と、を対応付けた情報である接続許可情報に基づいて、ログイン要求を行ったオペレータによる接続が可能な前記接続対象機器を取得する接続対象機器取得制御部と、
取得した前記接続対象機器のうち選択された前記接続対象機器に対して仮想プライベートネットワークの開始処理を行うＶＰＮ開始制御部と、
オペレータがログイン要求を行うために操作した通信装置のアドレスを、自身の識別情報と対応付けたアドレスフィルタ情報として前記アドレスフィルタ情報記憶部に記憶するとともに当該アドレスフィルタ情報を前記接続対象機器に送信し、前記接続対象機器から受信したアドレスフィルタ情報を、当該接続対象機器の識別情報と対応付けたアドレスフィルタ情報として前記アドレスフィルタ情報記憶部に記憶するアドレスフィルタ情報通信制御部と、
選択された前記接続対象機器に対してルーティングセッションを確立するルーティングセッション確立制御部と、
受信したパケットの送信先が、自身の識別情報と対応付けられたアドレスフィルタ情報において指定されているときは、当該送信先にパケットを送信し、受信したパケットの送信先が前記接続対象機器の識別情報と対応付けられたアドレスフィルタ情報において指定されているときは、自身と当該接続対象機器との間に確立されたルーティングセッションを介して当該接続対象機器にパケットを送信する制御と、を行うルーティング制御部と、
を備えることを特徴とする中継サーバ。
【請求項３】
請求項２に記載の中継サーバであって、
自身を含む中継サーバの管理を行う管理機能付き中継サーバの識別情報を記憶する管理先情報記憶部を備え、
前記接続許可情報は、前記管理機能付き中継サーバによって記憶され、
前記制御部は、オペレータからログイン要求を受け付けたときに、前記管理先情報記憶部の記憶内容に基づいて前記管理機能付き中継サーバにアクセスすることにより、ログイン要求を行ったオペレータによる接続が可能な前記接続対象機器を取得することを特徴とする中継サーバ。
【請求項４】
請求項２に記載の中継サーバであって、
前記接続許可情報を記憶する接続許可情報記憶部を備え、
前記制御部は、オペレータからログイン要求を受け付けたときに、前記接続許可情報記憶部に記憶された前記接続許可情報に基づいて、ログイン要求を行ったオペレータによる接続が可能な前記接続対象機器を取得することを特徴とする中継サーバ。
【請求項５】
請求項１から４までの何れか一項に記載の中継サーバであって、
自身又は前記接続対象機器は、複数のオペレータで構成されるオペレータグループを、当該オペレータグループを構成するオペレータの識別情報を用いて記憶し、オペレータによる接続が可能な前記接続対象機器の識別情報をオペレータグループ毎に記憶することを特徴とする中継サーバ。
【請求項６】
中継サーバと、
前記中継サーバに所属するクライアント端末と、
を備える中継通信システムであって、
前記中継サーバのうち接続元の中継サーバとして機能する前記中継サーバは、
自身がパケットの転送先として指定可能なルーティング対象装置のアドレスを示すアドレスフィルタ情報を自身の識別情報と対応付けて記憶可能であるとともに、自身と接続可能な接続対象の中継サーバ及び当該接続対象の中継サーバに所属するクライアント端末を示す接続対象機器が、パケットの転送先として指定可能なルーティング対象装置のアドレスを示すアドレスフィルタ情報を当該接続対象機器の識別情報と対応付けて記憶可能であるアドレスフィルタ情報記憶部と、
制御部と、
を備え、
前記制御部は、
オペレータの識別情報と、オペレータによる接続が可能な前記接続対象機器の識別情報と、を対応付けた情報である接続許可情報に基づいて、ログイン要求を行ったオペレータによる接続が可能な前記接続対象機器を取得する接続対象機器取得制御部と、
取得した前記接続対象機器のうち選択された前記接続対象機器に対して仮想プライベートネットワークの開始処理を行うＶＰＮ開始制御部と、
オペレータがログイン要求を行うために操作した通信装置のアドレスを、自身の識別情報と対応付けたアドレスフィルタ情報として前記アドレスフィルタ情報記憶部に記憶するとともに当該アドレスフィルタ情報を前記接続対象機器に送信し、前記接続対象機器から受信したアドレスフィルタ情報を、当該接続対象機器の識別情報と対応付けたアドレスフィルタ情報として前記アドレスフィルタ情報記憶部に記憶するアドレスフィルタ情報通信制御部と、
選択された前記接続対象機器に対してルーティングセッションを確立するルーティングセッション確立制御部と、
受信したパケットの送信先が、自身の識別情報と対応付けられたアドレスフィルタ情報において指定されているときは、当該送信先にパケットを送信し、受信したパケットの送信先が前記接続対象機器の識別情報と対応付けられたアドレスフィルタ情報において指定されているときは、自身と当該接続対象機器との間に確立されたルーティングセッションを介して当該接続対象機器にパケットを送信するルーティング制御部と、
を備えることを特徴とする中継通信システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【公開番号】特開２０１２−２２７８３４（Ｐ２０１２−２２７８３４Ａ）
【公開日】平成２４年１１月１５日（２０１２．１１．１５）
【国際特許分類】
【出願番号】特願２０１１−９５３２３（Ｐ２０１１−９５３２３）
【出願日】平成２３年４月２１日（２０１１．４．２１）
【出願人】（０００００６２９７）村田機械株式会社 (4,916)
【Ｆターム（参考）】
【公開日】平成２４年１１月１５日（２０１２．１１．１５）
【国際特許分類】
【出願日】平成２３年４月２１日（２０１１．４．２１）
【出願人】（０００００６２９７）村田機械株式会社 (4,916)
【Ｆターム（参考）】
[ Back to top ]