中継サーバ及び中継通信システム
【課題】オペレータの利用する機器に合わせてＶＰＮを柔軟かつ機動的に構築可能な中継サーバを提供する。
【解決手段】オペレータはオペレータグループに所属しており、このオペレータグループは所定の中継サーバに対応付けられている。また、その中継サーバにおいては、オペレータが所定の機器に対応付けられている。オペレータが通信装置２２から中継サーバ２にログインすると、そのオペレータのオペレータグループに対応する中継サーバの範囲で、オペレータは接続したい中継サーバを選択できる。中継サーバ２は、選択された中継サーバ３との間でルーティングセッションを形成する。選択された中継サーバ３は、指定機器（クライアント端末４７）との間でルーティングセッションを形成する。ＶＰＮのためのパケットの転送は、上記したルーティングセッションを利用して行われる。
【解決手段】オペレータはオペレータグループに所属しており、このオペレータグループは所定の中継サーバに対応付けられている。また、その中継サーバにおいては、オペレータが所定の機器に対応付けられている。オペレータが通信装置２２から中継サーバ２にログインすると、そのオペレータのオペレータグループに対応する中継サーバの範囲で、オペレータは接続したい中継サーバを選択できる。中継サーバ２は、選択された中継サーバ３との間でルーティングセッションを形成する。選択された中継サーバ３は、指定機器（クライアント端末４７）との間でルーティングセッションを形成する。ＶＰＮのためのパケットの転送は、上記したルーティングセッションを利用して行われる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、主として、異なるＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）に接続されている端末間の通信を可能とする中継サーバに関する。
【背景技術】
【０００２】
従来から、仮想プライベートネットワーク（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ，ＶＰＮ）と呼ばれる通信技術が知られている（例えば、特許文献１を参照）。このＶＰＮは、例えば、地域ごとに設けられた複数の支社（拠点）のＬＡＮに接続された端末同士でインターネットを介して通信する用途に用いられている。前記ＶＰＮを利用すれば、遠隔地にある他のＬＡＮを、あたかも直接接続されているネットワークであるかのように使用することができる。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００２−２１７９３８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ところで、この種のシステムにおいては、機器のＩＰアドレス及び識別情報等を用いて、機器間での通信を行うことが一般的である。一方、この種のシステムにおいて作業を行う場合、オペレータの使用する機器は常に同じとは限らず、移動先及び出張先等では、異なる機器を使用することがある。これはＶＰＮの構成機器の変更を意味するため、通常は、ＶＰＮの設定を変更する必要が生じる。しかし、ネットワークの設定の変更等が生じた場合、これらの変更は他の機器に反映させなければならず、処理が複雑になってしまう。特に、大規模なネットワークにおいて多数のオペレータが作業を行う場合、アクセス制御の設定が煩雑になり易く、この点で改善の余地が残されていた。
【０００５】
本発明は以上の事情に鑑みてされたものであり、その主要な目的は、オペレータの利用する機器に合わせてＶＰＮを柔軟かつ機動的に構築可能な中継サーバを提供することにある。
【課題を解決するための手段及び効果】
【０００６】
本発明の解決しようとする課題は以上の如くであり、次にこの課題を解決するための手段とその効果を説明する。
【０００７】
本発明の第１の観点によれば、以下の構成の中継サーバが提供される。即ち、この中継サーバは、自身がパケットを転送可能なアドレスである第１アドレスフィルタ情報と、他の中継サーバ及びクライアント端末である接続対象機器がパケットを転送可能なアドレスである第２アドレスフィルタ情報と、を記憶する手段と、ＬＡＮで接続された通信装置を介してログイン操作するオペレータの識別情報を受け付ける手段と、ログインを受け付けたオペレータの識別情報に基づいて、当該オペレータが所属するオペレータグループが接続可能な他の中継サーバのリストを取得する手段と、取得した他の中継サーバのリストの中からオペレータによる中継サーバの選択を受け付ける手段と、オペレータに選択された中継サーバである選択中継サーバとルーティングセッションを確立する手段と、を備える。中継サーバは、オペレータがログイン操作した前記通信装置のアドレスを前記第１アドレスフィルタ情報として記憶し、前記第１アドレスフィルタ情報を前記選択中継サーバへ送信する。中継サーバは、前記選択中継サーバから、前記第２アドレスフィルタ情報を受信して記憶する。中継サーバは、ルーティングセッションから受信したパケットの送信先アドレスが前記第１アドレスフィルタ情報に含まれている場合には、送信先へパケットを送信する。中継サーバは、通信装置から受信したパケットの送信先アドレスが前記第２アドレスフィルタ情報に含まれている場合には、前記ルーティングセッションへパケットを送信する。
【０００８】
これにより、オペレータは、中継サーバと、オペレータに選択された中継サーバと、の間に確立されたルーティングセッションを利用して、他の機器との間で通信を行うことができる。また、上記の構成では、ルーティングセッションの相手としてオペレータが選択可能な中継サーバは、当該オペレータが所属するオペレータグループ毎に設定されるとともに、選択可能な中継サーバの中からオペレータによって実際に選択された選択中継サーバにおいて、当該オペレータが接続可能な機器が指定される。そのため、オペレータがログインに用いる通信装置が変更されても、ログインを行うオペレータが同一であれば、以前と同一の機器と通信を行うことができる。また、オペレータグループレベルでのアクセス制御の設定を中継サーバ自身で行い、それぞれのオペレータレベルでのアクセス制御の設定を選択中継サーバで行うことで、複雑なアクセス制御を合理的に実現することができる。
【０００９】
本発明の第２の観点によれば、以下の構成の中継サーバが提供される。即ち、この中継サーバは、パケット転送制御情報記憶部と、制御部と、を備える。前記パケット転送制御情報記憶部は、自身（中継サーバ）がパケットを転送可能な機器のアドレスを定めるアドレスフィルタ情報を自身の識別情報と対応付けて記憶可能であるとともに、自身と接続可能な接続対象側の中継サーバ及び当該接続対象側の中継サーバに所属するクライアント端末である接続対象側の機器がパケットを転送可能な機器のアドレスを定めるアドレスフィルタ情報を当該接続対象側の機器の識別情報と対応付けて記憶可能である。前記制御部は、自身（中継サーバ）又は自身が接続可能な他の中継サーバが記憶する情報であって、自身を含んで構成される中継通信システムにログイン可能なオペレータを含むオペレータグループの情報と、当該オペレータグループに所属するオペレータによる接続が可能な中継サーバとして指定された指定中継サーバと、を対応付けた情報であるグループ接続制御情報に基づき、ログイン要求を行ったオペレータであるログイン要求オペレータによる接続が可能な前記指定中継サーバを取得する。前記制御部は、取得した前記指定中継サーバのうち前記ログイン要求オペレータにより選択された中継サーバである選択中継サーバと、自身（中継サーバ）と、の間でルーティングセッションを確立する。前記制御部は、前記選択中継サーバが記憶する情報であって、前記オペレータグループに所属するオペレータの識別情報と、当該選択中継サーバに所属するクライアント端末のうち当該オペレータによる接続が可能な機器として指定された指定機器の識別情報と、を対応付けたオペレータ接続制御情報に基づき、当該選択中継サーバと、前記指定機器と、の間でルーティングセッションを確立させる。前記制御部は、オペレータがログイン要求を行うために操作した通信装置のアドレスを、自身（中継サーバ）の識別情報と対応付けたアドレスフィルタ情報として前記パケット転送制御情報記憶部に記憶するとともに、当該アドレスフィルタ情報を前記指定機器へ送信する。前記制御部は、前記指定機器から受信したアドレスフィルタ情報を、当該指定機器の識別情報と対応付けたアドレスフィルタ情報として前記パケット転送制御情報記憶部に記憶する。前記制御部は、自身（中継サーバ）と、前記指定機器と、の間を接続するように構成された１又は複数のルーティングセッションを利用した仮想プライベートネットワークを開始する。前記制御部は、受信したパケットの送信先が、前記パケット転送制御情報記憶部の記憶内容において、自身（中継サーバ）の識別情報と対応付けられたアドレスフィルタ情報によって指定されているときは、当該送信先にパケットを送信し、受信したパケットの送信先が前記指定機器の識別情報と対応付けられたアドレスフィルタ情報によって指定されているときは、自身（中継サーバ）と前記指定機器との間を接続するように構成された１又は複数のルーティングセッションを介して当該指定機器にパケットを送信する。
【００１０】
これにより、オペレータは、構築したＶＰＮを利用して、当該オペレータがログイン要求を行うために操作した通信装置と、指定機器がパケットを転送可能な装置と、の間で通信を行うことができる。また、グループ接続制御情報及びオペレータ接続制御情報では、接続が可能な指定中継サーバ又は指定機器が、（オペレータがログインのために操作したり使用したりした機器ではなく）オペレータグループ又はオペレータに対応付けられている。また、自身（中継サーバ）においては、自身に対応付けられたアドレスフィルタ情報を、オペレータが中継通信システムにログインするにあたって操作した通信装置のアドレスを用いてその場で作成し、これがパケットの転送のために用いられる。そのため、オペレータがログインのために操作する機器が変更されても、ログインを行うオペレータが同一であれば、以前と同一の相手を含むようなＶＰＮを容易に構築して利用することができる。更に、上記の構成では、中継サーバレベルでのアクセス制御はオペレータグループを単位として行う一方、機器レベルでのアクセス制御は、接続対象側の中継サーバ（指定中継サーバ）がそれぞれ記憶するオペレータ接続制御情報に基づき、個別のオペレータを単位として行うようになっている。従って、オペレータのアクセス制御について、設定の簡潔さとキメ細かいアクセス制御を両立させることができる。更に、指定中継サーバが記憶するオペレータ接続制御情報においては、自身が指定中継サーバになっているオペレータグループに所属するオペレータについて（のみ）、指定機器を記憶する。このように、機器レベルでの細かいアクセス制御を定めるオペレータ接続制御情報が、それぞれの指定中継サーバで分担する形で、かつ互いに独立して記憶されるため、個々の指定中継サーバにおける記憶内容の肥大化を防止できるとともに、記憶内容の同期制御も省略することができる。
【００１１】
前記の中継サーバにおいては、以下のように構成することが好ましい。即ち、前記選択中継サーバが当該指定機器と通信できない場合には、前記制御部は、当該選択中継サーバが自身（中継サーバ）に通知するエラーに基づいて、接続に失敗した旨を、前記ログイン要求オペレータが操作する通信装置に表示させる。
【００１２】
これにより、ログインしたオペレータは、ＶＰＮによる通信を開始できない異常を適切に把握することができる。
【００１３】
前記の中継サーバにおいては、以下の構成とすることが好ましい。即ち、前記オペレータ接続制御情報においては、前記オペレータグループに所属するオペレータの識別情報と、前記指定機器の識別情報と、スケジュール情報と、が対応付けられている。前記制御部は、前記オペレータ接続制御情報に基づき、前記選択中継サーバと、前記ログイン要求オペレータ及び現在時間に対応する前記指定機器と、の間を接続するように構成された１又は複数のルーティングセッションを利用した仮想プライベートネットワークを開始する。
【００１４】
これにより、接続時間帯を考慮したよりキメ細かいアクセス制御を行うことができる。
【００１５】
前記の中継サーバにおいては、以下の構成とすることが好ましい。即ち、この中継サーバは、自身を管理対象とする管理側の中継サーバの識別情報を記憶する管理先情報記憶部を備える。前記グループ接続制御情報は、前記管理側の中継サーバによって記憶される。前記制御部は、オペレータからログイン要求を受け付けたときに、前記管理先情報記憶部の記憶内容に基づいて前記管理側の中継サーバにアクセスすることにより、ログイン要求を行ったオペレータによる接続が可能な前記指定中継サーバを取得する。
【００１６】
これにより、管理側の中継サーバがグループ接続制御情報を集中的に管理する構成となるため、複数の機器によってグループ接続制御情報を共有させる必要がない。従って、当該機器間におけるグループ接続制御情報の同期制御が不要となり、中継サーバで行われる処理の負荷を軽減することができる。
【００１７】
ただし、前記の中継サーバにおいては、以下のように構成することもできる。即ち、この中継サーバは、前記グループ接続制御情報を記憶するグループ接続制御情報記憶部を備える。前記制御部は、オペレータからログイン要求を受け付けたときに、前記グループ接続制御情報記憶部に記憶された前記グループ接続制御情報に基づいて、ログイン要求を行ったオペレータによる接続が可能な前記指定中継サーバを取得する。
【００１８】
即ち、上述の構成のようにグループ接続制御情報を管理側の中継サーバが集中的に管理する場合、指定中継サーバのリストが必要になる度に当該管理側の中継サーバにアクセスする必要がある。この点、上記の構成では、自身（中継サーバ）の記憶内容を参照するだけで、ログイン要求を行ったオペレータによる接続が可能な指定中継サーバを取得できる。このため、ＶＰＮを開始するまでの処理を単純にすることができる。
【００１９】
本発明の第３の観点によれば、以下の構成の中継通信システムが提供される。即ち、この中継通信システムは、複数の中継サーバと、前記中継サーバに所属するクライアント端末と、を備える。前記中継サーバのうち接続側の中継サーバとして機能する前記中継サーバは、パケット転送制御情報記憶部と、制御部と、を備える。前記パケット転送制御情報記憶部は、自身（中継サーバ）がパケットを転送可能な機器のアドレスを定めるアドレスフィルタ情報を自身の識別情報と対応付けて記憶可能であるとともに、自身と接続可能な接続対象側の中継サーバ及び当該接続対象側の中継サーバに所属するクライアント端末である接続対象側の機器がパケットを転送可能な機器のアドレスを定めるアドレスフィルタ情報を当該接続対象側の機器の識別情報と対応付けて記憶可能である。前記制御部は、自身（中継サーバ）又は自身が接続可能な他の中継サーバが記憶する情報であって、自身を含んで構成される中継通信システムにログイン可能なオペレータを含むオペレータグループの情報と、当該オペレータグループに所属するオペレータによる接続が可能な中継サーバとして指定された指定中継サーバと、を対応付けた情報であるグループ接続制御情報に基づき、ログイン要求を行ったオペレータであるログイン要求オペレータによる接続が可能な前記指定中継サーバを取得する。前記制御部は、取得した前記指定中継サーバのうち前記ログイン要求オペレータにより選択された中継サーバである選択中継サーバと、自身（中継サーバ）と、の間でルーティングセッションを確立する。前記制御部は、前記選択中継サーバが記憶する情報であって、前記オペレータグループに所属するオペレータの識別情報と、当該選択中継サーバに所属するクライアント端末のうち当該オペレータによる接続が可能な機器として指定された指定機器の識別情報と、を対応付けたオペレータ接続制御情報に基づき、当該選択中継サーバと、前記指定機器と、の間でルーティングセッションを確立させる。前記制御部は、オペレータがログイン要求を行うために操作した通信装置のアドレスを、自身（中継サーバ）の識別情報と対応付けたアドレスフィルタ情報として前記パケット転送制御情報記憶部に記憶するとともに、当該アドレスフィルタ情報を前記指定機器へ送信する。前記制御部は、前記指定機器から受信したアドレスフィルタ情報を、当該指定機器の識別情報と対応付けたアドレスフィルタ情報として前記パケット転送制御情報記憶部に記憶する。前記制御部は、自身（中継サーバ）と、前記指定機器と、の間を接続するように構成された１又は複数のルーティングセッションを利用した仮想プライベートネットワークを開始する。前記制御部は、受信したパケットの送信先が、前記パケット転送制御情報記憶部の記憶内容において、自身（中継サーバ）の識別情報と対応付けられたアドレスフィルタ情報によって指定されているときは、当該送信先にパケットを送信し、受信したパケットの送信先が前記指定機器の識別情報と対応付けられたアドレスフィルタ情報によって指定されているときは、自身（中継サーバ）と前記指定機器との間を接続するように構成された１又は複数のルーティングセッションを介して当該指定機器にパケットを送信する。
【００２０】
これにより、オペレータは、構築したＶＰＮを利用して、当該オペレータがログイン要求を行うために操作した通信装置と、指定機器がパケットを転送可能な装置と、の間で通信を行うことができる。また、グループ接続制御情報及びオペレータ接続制御情報では、接続が可能な指定中継サーバ又は指定機器が、（オペレータがログインのために操作したり使用したりした機器ではなく）オペレータグループ又はオペレータに対応付けられている。また、自身（中継サーバ）においては、自身に対応付けられたアドレスフィルタ情報を、オペレータが中継通信システムにログインするにあたって操作した通信装置のアドレスを用いてその場で作成し、これがパケットの転送のために用いられる。そのため、オペレータがログインのために操作する機器が変更されても、ログインを行うオペレータが同一であれば、以前と同一の相手を含むようなＶＰＮを容易に構築して利用することができる。更に、上記の構成では、中継サーバレベルでのアクセス制御はオペレータグループを単位として行う一方、機器レベルでのアクセス制御は、接続対象側の中継サーバ（指定中継サーバ）がそれぞれ記憶するオペレータ接続制御情報に基づき、個別のオペレータを単位として行うようになっている。従って、オペレータのアクセス制御について、設定の簡潔さとキメ細かいアクセス制御を両立させることができる。更に、指定中継サーバが記憶するオペレータ接続制御情報においては、自身が指定中継サーバになっているオペレータグループに所属するオペレータについて（のみ）、指定機器を記憶する。このように、機器レベルでの細かいアクセス制御を定めるオペレータ接続制御情報は、それぞれの指定中継サーバで分担する形で、かつ互いに独立して記憶されるため、個々の指定中継サーバにおける記憶内容の肥大化を防止できるとともに、記憶内容の同期制御も省略することができる。
【図面の簡単な説明】
【００２１】
【図１】本発明の一実施形態に係る中継通信システムの全体構成を示す説明図。
【図２】管理側の中継サーバ１の機能ブロック図。
【図３】オペレータ情報の内容を示す図。
【図４】グループ接続制御情報の内容を示す図。
【図５】接続側の中継サーバ２の機能ブロック図。
【図６】管理先情報の内容を示す図。
【図７】ルーティングセッション情報の内容を示す図。
【図８】パケット転送制御情報の内容を示す図。
【図９】接続対象側の中継サーバ３，４の機能ブロック図。
【図１０】アドレスフィルタ情報の内容を示す図。
【図１１】オペレータ接続制御情報の内容を示す図。
【図１２】接続側のクライアント端末２１の機能ブロック図。
【図１３】接続対象側のクライアント端末４２，４７の機能ブロック図。
【図１４】オペレータ１が中継サーバ２を使用してログインする場合を示す説明図。
【図１５】図１４の場合においてＶＰＮを開始する処理を示すシーケンス図。
【図１６】図１４の場合において中継サーバ２で作成されるアドレスフィルタ情報を示す図。
【図１７】図１４の場合に中継サーバ２，３で記憶されるパケット転送制御情報の内容を示す図。
【図１８】図１４の場合において、通信装置２２がファイルサーバ３１にパケットを送信するときの経路を説明する図。
【図１９】図１４の場合において、ファイルサーバ３１が通信装置２２にパケットを送信するときの経路を説明する図。
【図２０】オペレータ２が中継サーバ２を使用してログインする場合を示す説明図。
【図２１】図２０の場合においてＶＰＮを開始する処理の前半を示すシーケンス図。
【図２２】図２０の場合においてＶＰＮを開始する処理の後半を示すシーケンス図。
【図２３】図２０の場合において中継サーバ２で作成されるアドレスフィルタ情報を示す図。
【図２４】クライアント端末４７が記憶するアドレスフィルタ情報の内容を示す図。
【図２５】図２０の場合に中継サーバ２，３で記憶されるパケット転送制御情報の内容を示す図。
【図２６】図２０の場合において、通信装置２２がファイルサーバ４６にパケットを送信するときの経路を説明する図。
【図２７】図２０の場合において、ファイルサーバ４６が通信装置２２にパケットを送信するときの経路を説明する図。
【図２８】オペレータ接続制御情報の変形例を示す図。
【発明を実施するための形態】
【００２２】
次に、図面を参照して本発明の実施の形態を説明する。初めに、図１を参照して、本実施形態の中継通信システム１００の概要について説明する。図１は、本発明の一実施形態に係る中継通信システム１００の全体構成を示す説明図である。
【００２３】
図１に示すように、この中継通信システム１００は、Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ（ＷＡＮ、広域通信網）８０に接続された複数の中継サーバ１，２，３，４と、中継サーバ１，２，３，４とＬＡＮ１０，２０，３０，４０，４５，４８を介して接続されるクライアント端末１１，２１，４２，４７，・・・と、で構成されている。ＬＡＮ１０，２０，３０，４８は、それぞれ物理的に離れた場所に配置されている。また、本実施形態ではＷＡＮ８０としてインターネットが使用されている。
【００２４】
次に、それぞれのＬＡＮを説明する。図１に示すように、ＬＡＮ１０には、中継サーバ１と、クライアント端末１１と、が接続されている。ＬＡＮ２０には、中継サーバ２と、クライアント端末２１と、通信装置２２，２３と、が接続されている。ＬＡＮ３０には、中継サーバ３と、ファイルサーバ３１と、が接続されている。ＬＡＮ４８には、中継サーバ４が接続されている。
【００２５】
ＬＡＮ３０には、ルータ３２を介して別のＬＡＮ４０が接続されるとともに、ルータ３３を介して更に別のＬＡＮ４５が接続されている。ＬＡＮ４０には、ファイルサーバ４１と、クライアント端末４２と、が接続されている。ＬＡＮ４５には、ファイルサーバ４６と、クライアント端末４７と、が接続されている。
【００２６】
なお、図１には一部だけが図示されているが、ＬＡＮ２０，３０には多数のクライアント端末等が配置されているものとする。また、中継サーバ４に接続されるＬＡＮ４８においても、図示しない多数のクライアント端末等が配置されている。
【００２７】
この中継通信システム１００を運用するにあたっては、ＬＡＮ２０が設置されている場所にオペレータを待機させている。ＬＡＮ３０，４０，４５には、当該オペレータがメンテナンス等を行う対象であるファイルサーバ３１，４１，４６が配置されている。また、ＬＡＮ４８にも、図示しないメンテナンス対象機器が配置されている。
【００２８】
また、ＬＡＮ１０が設置されている場所はオペレータによるメンテナンス業務を管理する拠点となっており、中継サーバ１には、中継サーバ単位でのオペレータのアクセス権限を定める情報が（後述のグループ接続制御情報として）予め設定されている。オペレータは、通信装置２２，２３等を用いて、オペレータ自身が有するアクセス権限の範囲内でファイルサーバ３１，４１，４６等にアクセスし、リモートメンテナンスを行う。
【００２９】
このように、本実施形態の中継通信システム１００は、ＬＡＮ２０側からＬＡＮ３０，４０，４５，４８側へ接続して各種の作業を行うためのものであって、逆方向の接続は想定されていない。このことから、以下の説明では、ＬＡＮ２０を「接続側」と、ＬＡＮ３０，４０，４５，４８を「接続対象側」と、それぞれ称することがある。また、中継通信システム１００の各種管理作業はＬＡＮ１０に接続される機器で行われることから、以下の説明では、このＬＡＮ１０を「管理側」と称することがある。
【００３０】
また、接続側のＬＡＮ２０に接続された中継サーバ（中継サーバ２）を接続側の中継サーバと称し、接続対象側のＬＡＮ３０，４８に接続された中継サーバ（中継サーバ３，４）を接続対象側の中継サーバと称することがある。更に、接続側の中継サーバと、当該中継サーバに所属するクライアント端末と、をまとめて、接続側の機器と称することがある。また、接続対象側の中継サーバと、当該中継サーバに所属するクライアント端末と、をまとめて、接続対象側の機器と称することがある。
【００３１】
次に、図２から図１１までを参照して、中継サーバ１〜４について説明する。図２は、管理側の中継サーバ１の機能ブロック図である。図５は、接続側の中継サーバ２の機能ブロック図である。図９は、接続対象側の中継サーバ３，４の機能ブロック図である。また、図４、図６から図８まで、図１０、図１１には、それぞれの中継サーバが記憶する情報の例が示されている。
【００３２】
図１に示すように、それぞれの中継サーバ１〜４はＬＡＮ１０，２０，３０，４８だけでなくＷＡＮ８０にも接続されている。また、各中継サーバ１〜４にはプライベートＩＰアドレスに加えてグローバルＩＰアドレスが付与されている。従って、各中継サーバ１〜４は、自身と同一のＬＡＮに接続されたクライアント端末と通信可能であるだけでなく、他のＬＡＮに配置された中継サーバと通信可能となっている。
【００３３】
また、本実施形態の中継通信システム１００において、当該システムに含まれる中継サーバのうち１つの中継サーバが管理側の中継サーバとして動作し、その他の中継サーバが接続側と接続対象側とに分かれて動作するように構成されている。具体的には、本実施形態では、中継サーバ１が管理側の中継サーバとして、中継サーバ２が接続側の中継サーバとして、中継サーバ３，４が接続対象側の中継サーバとして、それぞれ動作するように予め設定されている。以下では、管理側の中継サーバ１、接続側の中継サーバ２、接続対象側の中継サーバ３，４の順で説明する。
【００３４】
管理側の中継サーバ１は、図２に示すように、記憶部５０と、制御部６０と、インタフェース部７０と、を備えている。
【００３５】
インタフェース部７０は、プライベートＩＰアドレスを利用して、ＬＡＮ１０内の端末に対して通信を行うことができる。また、インタフェース部７０は、グローバルＩＰアドレスを利用して、ＷＡＮ８０を経由した通信を行うことができる。
【００３６】
制御部６０は、例えば制御及び演算の機能を有するＣＰＵであり、記憶部５０から読み出したプログラムにより各種の処理を実行可能である。この制御部６０は、ＴＣＰ／ＩＰ、ＵＤＰ、ＳＩＰ等のプロトコルに従った様々な通信を制御することができる。図２に示すように、制御部６０は、インタフェースドライバ６１と、ＬＡＮ側ＩＰパケット処理部６２と、通信制御部６３と、ＷＡＮ側ＩＰパケット処理部６４と、を備えている。
【００３７】
インタフェースドライバ６１は、インタフェース部７０を制御するドライバソフトウェアである。ＬＡＮ側ＩＰパケット処理部６２は、ＬＡＮ１０から受信したパケットに適宜の処理を行って通信制御部６３に出力する。ＷＡＮ側ＩＰパケット処理部６４は、ＷＡＮ８０から受信したパケットに適宜の処理を行って通信制御部６３に出力する。
【００３８】
通信制御部６３は、受信したパケットについて、当該パケットが示す情報と記憶部５０に記憶された情報とに基づいて送信先を決定し、決定した送信先へ当該パケットを送信する（パケット転送制御）。また、通信制御部６３は、他の機器から受信した情報に基づいて、記憶部５０の記憶内容を更新することができる。
【００３９】
記憶部５０は、例えばハードディスク又は不揮発性ＲＡＭで構成されており、各種の情報を保存可能である。記憶部５０は、オペレータ情報記憶部５２と、グループ接続制御情報記憶部５３と、を備えている。以下、図３及び図４を参照して、記憶部５０の記憶内容について説明する。図３は、オペレータ情報の内容を示す図である。図４は、グループ接続制御情報の内容を示す図である。
【００４０】
オペレータ情報記憶部５２は、中継通信システム１００にログイン可能なオペレータの識別情報と、オペレータの現在の利用状況等を示す情報と、を含むオペレータ情報を記憶している。
【００４１】
図３に示すように、オペレータ情報においては、「オペレータＩＤ」の列において、中継通信システム１００にログイン可能なオペレータＩＤが記述されている。このオペレータＩＤは、オペレータ毎に設定される固有の文字列で構成されている。また、「パスワード」の列では、同じ行に記述されたオペレータＩＤを使用して中継通信システム１００にログインするために必要なパスワードが記述されている。各オペレータは、自身に設定されたオペレータＩＤ及びパスワードを用いて、中継通信システム１００にログインすることができる。
【００４２】
「使用機器情報」の列では、同じ行に記述されたオペレータＩＤを使用してオペレータが中継通信システム１００にログイン済みである場合に、当該オペレータが中継通信システム１００へのログインに使用している中継通信システム１００側の機器（具体的には、通信装置２２，２３ではなく、中継サーバ２又はクライアント端末２１を示す。以下、使用機器と称する）に関する情報である使用機器情報が記述されている。なお、オペレータがログインしていない場合は、「使用機器情報」は空欄となる。従って、図３の例からは、オペレータＩＤがＯｐ１，Ｏｐ２であるオペレータは中継通信システム１００にログインしており、オペレータＩＤがＯｐ３，Ｏｐ４であるオペレータは中継通信システム１００にログインしていないことが分かる。
【００４３】
以下、オペレータが中継通信システム１００にログインするときの流れを簡単に説明する。例えば、接続側にいるオペレータ２が中継通信システム１００へのログインを希望する場合、当該オペレータ２は適当な通信装置（例えば、通信装置２２）を操作して中継サーバ２にアクセスし、所定のログイン画面においてオペレータＩＤ（Ｏｐ２）とパスワードを入力することで、中継通信システム１００へのログイン要求を行うことができる。このログイン要求を受け付けた接続側の中継サーバ２は、この入力内容を管理側の中継サーバ１に送信する。入力内容を受信した管理側の中継サーバ１は、オペレータが入力したオペレータＩＤ及びパスワードについて、オペレータ情報記憶部５２が記憶するオペレータ情報（図３）と照合することで認証を行い、ログインの可否を決定する。ログインの可否は、オペレータが操作する通信装置２２に表示される。
【００４４】
ログインが許可された場合、管理側の中継サーバ１において、オペレータ情報記憶部５２が記憶するオペレータ情報（図３）のうち「使用機器情報」の欄が更新される。今回の例では、オペレータ２が通信装置２２を操作することにより中継サーバ２を使用してログインしたので、当該中継サーバ２の識別情報が、当該オペレータ２のオペレータＩＤ（Ｏｐ２）に対応する使用機器情報に記述される。
【００４５】
なお、上記ではオペレータが中継サーバ２を使用してログインする例を示したが、オペレータはクライアント端末を使用してログインすることもできる。この場合、上記の使用機器情報は、当該クライアント端末の識別情報と、当該クライアント端末の所属先である中継サーバの識別情報と、の両方となる。例えば、オペレータ１が通信装置２３を操作してクライアント端末２１にアクセスし、上記と同様にオペレータＩＤ及びパスワードを入力することでも、中継通信システム１００にログインすることができる。ログインに成功した場合は、図３に示すように、オペレータ情報においてオペレータＩＤがＯｐ１である行の使用機器情報には、オペレータ１がログインに使用した当該クライアント端末２１の識別情報及び中継サーバ２の識別情報が記述される。
【００４６】
オペレータ情報記憶部５２が記憶するオペレータ情報（図３）のうち、ログイン可能なオペレータＩＤの一覧と、当該オペレータＩＤ毎に設定されるパスワードと、は各オペレータ及び管理者等によって予め設定されている。一方、使用機器情報は、オペレータがログイン又はログアウトする度に最新の情報に更新される。
【００４７】
グループ接続制御情報記憶部５３は、中継通信システム１００を利用可能な１又は複数のオペレータから構成されるオペレータグループを定義するとともに、オペレータにより接続可能な接続対象側の中継サーバを前記オペレータグループ毎に定めるグループ接続制御情報を記憶している。
【００４８】
図４に示すグループ接続制御情報においては、「オペレータグループＩＤ」の列において、予め登録されたオペレータグループの識別情報が記述されている。「オペレータＩＤ」の列には、当該オペレータグループを構成するオペレータを示すオペレータＩＤの一覧が記述されている。更に、「指定中継サーバＩＤ」の列には、そのオペレータグループに所属するオペレータにより接続可能な接続対象側の中継サーバの識別情報が記述されている。なお、以下の説明では、前記グループ接続制御情報において、オペレータによる接続が可能な中継サーバとして指定された中継サーバを、「指定中継サーバ」と呼ぶことがある。
【００４９】
ここで、オペレータ２（オペレータＩＤがＯｐ２であるオペレータ）が通信装置２２を操作して中継サーバ２にアクセスし、当該中継サーバ２を使用して中継通信システム１００にログインした場合を考える。図４のグループ接続制御情報を参照すると、オペレータＩＤがＯｐ２であるオペレータは、オペレータグループＩＤがＷｏｒｋＧｒｏｕｐ１であるオペレータグループに所属するとともに、オペレータグループＩＤがＷｏｒｋＧｒｏｕｐ２であるオペレータグループにも所属している。
【００５０】
また、図４のグループ接続制御情報から、オペレータグループＩＤがＷｏｒｋＧｒｏｕｐ１であるオペレータグループに所属するオペレータは、接続対象側の中継サーバ３に接続することができ、オペレータグループＩＤがＷｏｒｋＧｒｏｕｐ２であるオペレータグループに所属するオペレータは、接続対象側の中継サーバ４に接続できることが分かる。従って、管理側の中継サーバ１は、オペレータ２が接続可能な中継サーバの識別情報（中継サーバ３及び中継サーバ４の識別情報）を、中継サーバ２に送信する。中継サーバ２は、受信した中継サーバの識別情報に基づき、オペレータ２が接続可能な中継サーバのリストを作成して、通信装置２２のディスプレイに表示させる。
【００５１】
オペレータは通信装置２２を操作して、上記の中継サーバのリストから、接続を希望する中継サーバを選択する。ここでは、ユーザが中継サーバ３を選択したとする。なお、以下の説明では、上記のように、図４のグループ接続制御情報において、中継通信システム１００にログインしたオペレータが属するオペレータグループに対応する前記指定中継サーバのうち、当該オペレータが選択した中継サーバを、「選択中継サーバ」と呼ぶことがある。
【００５２】
以上の操作により、オペレータ２は、この中継サーバ２（前記使用機器）と、指定中継サーバのうち当該オペレータ２が選択した中継サーバ３（選択中継サーバ）と、の接続を利用することができる。言い換えれば、オペレータ２は、中継サーバ２（使用機器）と中継サーバ３（選択中継サーバ）との間で、パケットの転送のためのセッションであるルーティングセッションを形成させるとともに、このルーティングセッションを利用して仮想プライベートネットワーク（ＶＰＮ）を構築することができる。このＶＰＮでは、中継サーバ２から送信されるパケットは、中継サーバ３を経由して、目的の機器（例えば、ファイルサーバ３１）に到達することになる。
【００５３】
また、詳細は後述するが、選択中継サーバ（例えば、中継サーバ３）の設定内容によっては、オペレータ２は更に、この中継サーバ３と、当該中継サーバ３に所属する所定のクライアント端末（例えば、クライアント端末４７）と、の接続を利用することもできるようになっている。この場合、オペレータ２は、中継サーバ２（使用機器）と中継サーバ３（選択中継サーバ）の間、及び、中継サーバ３（選択中継サーバ）とクライアント端末４７（選択中継サーバに所属するクライアント端末）の間にそれぞれルーティングセッションを形成させるとともに、この２つのルーティングセッションを利用してＶＰＮを構築することができる。このＶＰＮでは、中継サーバ２から送信されるパケットは、中継サーバ３及びクライアント端末４７を経由して、目的の機器（例えば、ファイルサーバ４６）に到達することになる。
【００５４】
次に、接続側の中継サーバ２について図５を参照して説明する。この接続側の中継サーバ２は、記憶部５０と、制御部６０と、インタフェース部７０と、を備える。制御部６０及びインタフェース部７０の構成は、管理側の中継サーバ１の構成と同様である。一方、接続側の中継サーバ２における記憶部５０の記憶内容は、管理側の中継サーバ１の場合と一部異なっている。
【００５５】
以下、具体的に説明する。接続側の中継サーバ２の記憶部５０は、管理先情報記憶部５４と、ルーティングセッション情報記憶部５５と、パケット転送制御情報記憶部５６と、を備えている。
【００５６】
管理先情報記憶部５４は、自身（中継サーバ２）を管理対象とする中継サーバの識別情報を管理先情報として記憶している。本実施形態では図６に示すように、中継サーバ１の識別情報が管理先情報として記述されている。これは、接続側の中継サーバ２が管理側の中継サーバ１によって管理されることを意味する。
【００５７】
中継サーバ２は、この管理先情報記憶部５４の記憶内容を参照することにより、例えばオペレータのログインの可否を問い合わせたり、オペレータに対応する指定中継サーバの識別情報を取得したりするために、管理側の中継サーバ１にアクセスすることができる。なお、メンテナンス等の理由で管理側の中継サーバが変更された場合は、その旨が管理対象の機器（中継サーバ及びクライアント端末）に通知され、管理先情報記憶部５４の記憶内容が更新されることになる。
【００５８】
ルーティングセッション情報記憶部５５は、中継サーバ２が自身と他の機器との間でパケットの転送のための前記ルーティングセッションを形成する場合に、自身の識別情報と、当該ルーティングセッションの相手となる機器の識別情報と、を対応付けたルーティングセッション情報を記憶している。なお、以下の説明では、他の機器とルーティングセッションを形成してパケットの転送を行う機器をルーティング機器と称することがある。
【００５９】
図７には、中継サーバ２と中継サーバ３とでルーティングセッションを形成する場合のルーティングセッション情報記憶部５５の記憶内容が示されている。このルーティングセッション情報において、自身、及びルーティングセッションの相手の機器は、ルーティングセッション確立処理において通信制御を最初に行う側（始点）と、その通信制御を受ける側（終点）と、に分けて記述されている。
【００６０】
ここで、接続側の機器と接続対象側の機器とでルーティングセッションを確立する場合、必ず接続側の機器が通信制御を最初に行うようになっている。一方、接続対象側の中継サーバとそれに所属するクライアント端末とでルーティングセッションを確立する場合、必ず中継サーバが通信制御を最初に行うようになっている。このように通信制御の始点となるべき機器が統一的なルールによって定められているので、通信制御の衝突を防止することができる。
【００６１】
パケット転送制御情報記憶部５６は、オペレータが中継サーバ２にログインした結果として当該中継サーバ２が他の機器との間でルーティングセッションを形成し（即ち、中継サーバ２が前記ルーティング機器として機能し）、このルーティングセッションを利用したＶＰＮが構築された場合に、どのような送信先を有するパケットであれば中継サーバ２が当該パケットの転送を行うのかを示すパケット転送制御情報を記憶している。
【００６２】
なお、本実施形態では、中継サーバがルーティング機器として機能することも、クライアント端末がルーティング機器として機能することもできるようになっているが、中継サーバ２のパケット転送制御情報記憶部５６は、当該中継サーバ２がルーティング機器として機能する場合に使用されるものである。
【００６３】
図８には、パケット転送制御情報記憶部５６の記憶内容の概要が例示されている。図８において、右側の「アドレスフィルタ情報」の列は、転送が許可されるパケットの送信先を示している。パケット転送制御情報は、図８に示すように、複数のアドレスフィルタ情報を組み合わせて構成される。
【００６４】
本実施形態では、アドレスフィルタ情報は、機器（パケットのルーティング対象）のアドレスを示すアドレスフィルタと、それに付与された名称と、を対応付けた情報となっている。図８の例では、アドレスフィルタは１つの機器を示すように記述されているが、例えばネットマスクを用いる等して、ネットワーク全体を示すようなアドレスフィルタとすることもできる。アドレスフィルタに対応付ける名称としては、アドレスが示す機器（あるいはネットワーク）の名称、あるいは当該機器を利用しているオペレータの名称等、分かり易い適宜の名称を付与することができる。
【００６５】
図８の例に照らして説明すると、中継サーバ２がルーティング機器として機能する場合、当該中継サーバ２が受信したパケットの送信先が、ファイルサーバ３１又はオペレータ２（厳密にいえば、オペレータ２が操作する通信装置２２）であれば、中継サーバ２は当該パケットを他の機器へ転送する。この場合の転送先としては、ルーティングセッションを形成した相手である他のルーティング機器である場合と、パケットの送信先そのものである場合と、の２通りが考えられる。一方で、パケットの送信先が上記の機器の何れでもない場合は、当該パケットを転送しない。
【００６６】
このように、前記パケット転送制御情報、及びそれを構成するアドレスフィルタ情報は、パケットの転送の可否をその送信先に基づいて判断する（パケットをフィルタリングする）ために用いられる。
【００６７】
図８の左側の「ルーティング機器ＩＤ」の列は、右側の列で示されるパケットの送信先（アドレスフィルタ情報）に対して、パケットを直接的に送信可能なルーティング機器を示している。ここで、「直接的に送信可能」とは、ルーティング機器が、他のルーティング機器を経由させずに、その送信先にパケットを送信可能であることをいう。
【００６８】
図８の表に示すように、パケット転送制御情報記憶部５６において、アドレスフィルタ情報は、当該アドレスフィルタ情報が示す送信先に対してパケットを直接的に送信可能なルーティング機器（自身を含む）に対応付けられた形で記憶される。従って、図８のパケット転送制御情報は、転送を許可するパケットをフィルタリングする際に参照されるだけでなく、パケットの転送経路を決定する（パケットをルーティングする）目的でも用いられる。
【００６９】
即ち、図８の例に照らせば、中継サーバ２が受信したパケットの送信先が、オペレータ２が使用している通信装置２２である場合は、中継サーバ２は他のルーティング機器を介さず当該パケットを通信装置２２に送信することができる。従って、中継サーバ２は、受信したパケットを通信装置２２に転送する。
【００７０】
一方で、中継サーバ２が受信したパケットの送信先がファイルサーバ３１である場合は、図８によると、当該パケットをファイルサーバ３１に届けるためには、他のルーティング機器である中継サーバ３を経由させなければならないことが分かる。従って、中継サーバ２は先ずパケットを中継サーバ３に転送する。このパケットを受信した中継サーバ３は、ルーティング機器として機能し、当該パケットを更にファイルサーバ３１へ転送する。
【００７１】
次に、接続対象側の中継サーバ３，４について図９を参照して説明する。なお、中継サーバ３，４の構成は互いに同一であるため、以下では代表して中継サーバ３について説明する。
【００７２】
この中継サーバ３は、記憶部５０と、制御部６０と、インタフェース部７０と、を備える。制御部６０及びインタフェース部７０の構成は、接続側の中継サーバ２の構成と同様である。一方、接続対象側の中継サーバ３における記憶部５０の記憶内容は、接続側の中継サーバ２の場合と一部異なっている。
【００７３】
以下、具体的に説明する。接続側の中継サーバ３の記憶部５０は、ルーティングセッション情報記憶部５５と、パケット転送制御情報記憶部５６と、アドレスフィルタ情報記憶部５７と、オペレータ接続制御情報記憶部５８と、を備えている。
【００７４】
ルーティングセッション情報記憶部５５、及びパケット転送制御情報記憶部５６は、接続側の中継サーバ２の構成と同様であるので、説明を省略する。
【００７５】
アドレスフィルタ情報記憶部５７は、自身が前記ルーティング機器として機能する場合に、自身がパケットを直接的に送信可能な機器を示すアドレスフィルタ情報を記憶する。
【００７６】
図１０には、中継サーバ３のアドレスフィルタ情報記憶部５７が記憶するアドレスフィルタ情報の例が示されている。この例では、中継サーバ３がパケットを直接的に送信可能な機器がファイルサーバ３１であることが記述されている。前述のとおり、アドレスフィルタ情報は、機器のアドレスを示すアドレスフィルタと、このアドレスフィルタに対応する名称と、を含んでいる。
【００７７】
中継サーバ３のアドレスフィルタ情報記憶部５７が記憶するアドレスフィルタ情報は、当該中継サーバ３が、接続側のルーティング機器（中継サーバ２又はクライアント端末２１）とルーティングセッションを形成するときに、その接続側（相手側）のルーティング機器に送信される。送信されたアドレスフィルタ情報は、接続側のルーティング機器が上述のパケット転送制御情報を作成するのに用いられる。
【００７８】
このアドレスフィルタ情報記憶部５７の記憶内容（アドレスフィルタ情報）は、中継サーバ３に対して適宜の操作を行うことで、事前に設定しておくことができる。即ち、中継サーバ３と同一のＬＡＮ３０に接続されている機器を選択した上で、そのアドレス及び適当な名称をアドレスフィルタ情報としてアドレスフィルタ情報記憶部５７に設定しておくことで、当該機器は、接続側の機器からのリモートメンテナンスを受けることができるようになる。
【００７９】
オペレータ接続制御情報記憶部５８は、管理側の中継サーバ１のグループ接続制御情報記憶部５３が記憶するグループ接続制御情報（図２及び図４を参照）において、あるオペレータグループに対応する指定中継サーバが自身となっている場合に、そのオペレータグループに所属するオペレータが接続可能な接続対象側の機器をオペレータ毎に指定するオペレータ接続制御情報を記憶している。
【００８０】
図１１に示すオペレータ接続制御情報においては、「オペレータＩＤ」の列において、オペレータの識別情報が記述されている。更に、「指定機器ＩＤ」の列には、そのオペレータにより接続可能な接続対象側の機器の識別情報が記述されている。
【００８１】
以下の説明では、このようにオペレータが接続可能な機器として指定された接続対象側の機器を、指定機器と称することがある。この指定機器は、接続対象側の中継サーバである場合と、その中継サーバに所属するクライアント端末である場合と、の２通りが考えられる。
【００８２】
図１１では、中継サーバ３のオペレータ接続制御情報記憶部５８が記憶するオペレータ接続制御情報の例が示されている。この例で、「オペレータＩＤ」の列には、オペレータの識別情報としてＯｐ１，Ｏｐ２，Ｏｐ３が記述されている。これらのオペレータは、図４のグループ接続制御情報において中継サーバ３を指定するオペレータグループ（オペレータグループＩＤがＷｏｒｋＧｒｏｕｐ１であるオペレータグループ）に所属している。
【００８３】
なお、オペレータグループＩＤがＷｏｒｋＧｒｏｕｐ２であるオペレータグループにおいては、グループ接続制御情報において中継サーバ３ではなく中継サーバ４が指定されている（図４を参照）。従って、オペレータグループＩＤがＷｏｒｋＧｒｏｕｐ２であるオペレータグループに所属するオペレータ（例えば、オペレータＩＤがＯｐ４であるオペレータ）は、中継サーバ３のオペレータ接続制御情報記憶部５８においては記憶されず、中継サーバ４が備えるオペレータ接続制御情報記憶部５８に記憶されることになる。このように、各中継サーバ３，４のオペレータ接続制御情報記憶部５８は、自身が指定中継サーバとなっているオペレータグループに所属しているオペレータのみに関するオペレータ接続制御情報を記憶する。従って、オペレータ接続制御情報を、中継サーバ３，４で内容を分担する形で独立的に記憶することができるので、各中継サーバ３，４における記憶内容の肥大化を防止することができるとともに、記憶内容の同期制御も省略することができる。
【００８４】
「指定機器ＩＤ」の列には、それぞれのオペレータの識別情報に対応して、指定機器の識別情報が指定されている。図１１の例によれば、オペレータＩＤがＯｐ１であるオペレータは中継サーバ３を利用でき、オペレータＩＤがＯｐ２であるオペレータはクライアント端末４７を利用でき、オペレータＩＤがＯｐ３であるオペレータは中継サーバ３とクライアント端末４２を利用することができる。
【００８５】
このグループ接続制御情報において、オペレータに対応付けられた指定機器が中継サーバ３以外の機器（例えばクライアント端末４７）である場合は、当該オペレータは、中継サーバ３と当該指定機器との間に形成されたルーティングセッションを利用することができる。
【００８６】
ここで、前述の例と同じく、オペレータ２（オペレータＩＤがＯｐ２であるオペレータ）が通信装置２２を操作して中継サーバ２にアクセスし、当該中継サーバ２を使用して中継通信システム１００にログインした場合を考える。管理側の中継サーバ１のグループ接続制御情報記憶部５３が記憶するグループ接続制御情報（図４）を参照すると、オペレータＩＤがＯｐ２であるオペレータが所属するオペレータグループに対しては、中継サーバ３が指定されている（中継サーバ３が指定中継サーバになっている）。従って、オペレータ２は、中継サーバ２と中継サーバ３との間に形成されたルーティングセッションを利用することができる。
【００８７】
また、指定中継サーバである中継サーバ３のオペレータ接続制御情報記憶部５８が記憶するオペレータ接続制御情報（図１１）を参照すると、オペレータＩＤがＯｐ２であるオペレータは、クライアント端末４７に接続することができる。従って、オペレータ２は、中継サーバ３とクライアント端末４７との間に形成されたルーティングセッションを利用することができる。
【００８８】
結果として、オペレータ２は、中継サーバ２とクライアント端末４７の間を２つのルーティングセッションによって接続し、これらのルーティングセッションを利用してＶＰＮを構築することができる。
【００８９】
このように、本実施形態の中継通信システム１００では、管理側の中継サーバ１が記憶するグループ接続制御情報と、指定中継サーバである接続対象側の中継サーバ３が記憶するオペレータ接続制御情報と、を組み合わせて、それぞれのオペレータが接続対象側の機器のうちどれをルーティング機器としてＶＰＮを構築できるかを定めている。
【００９０】
ここで、管理側の中継サーバ１が記憶するグループ接続制御情報記憶部５３においては、接続が許可される中継サーバ（指定中継サーバ）が、（接続側の中継サーバやクライアント端末の識別情報ではなく）オペレータグループＩＤと対応付けられている。また、指定中継サーバである接続対象側の中継サーバ３が記憶するオペレータ接続制御情報記憶部５８においては、接続が許可される機器（指定機器）が、（接続側の中継サーバやクライアント端末の識別情報ではなく）オペレータＩＤと対応付けられている。
【００９１】
このため、オペレータ２がログイン時に使用した機器が異なる場合においても、接続可能な機器は上記と同じである。例えば、仮にオペレータ２が通信装置２３を操作してクライアント端末２１にアクセスし、当該クライアント端末２１を使用して中継通信システム１００にログインしたときは、当該オペレータ２は、このクライアント端末２１と中継サーバ３との間に形成されたルーティングセッションと、中継サーバ３とクライアント端末４７との間に形成されたルーティングセッションと、を利用してＶＰＮを構築することができる。
【００９２】
次に、クライアント端末２１，４２，４７について、図１２及び図１３を参照して説明する。図１２は、接続側のクライアント端末２１の機能ブロック図である。図１３は、接続対象側のクライアント端末４２，４７の機能ブロック図である。
【００９３】
図１２及び図１３に示すように、クライアント端末２１，４２，４７は、記憶部５０と、制御部６０と、インタフェース部７０と、を備えている。制御部６０及びインタフェース部７０は中継サーバ１〜４とほぼ同様に構成されているが、クライアント端末２１，４２，４７はＷＡＮ８０に接続されないため、中継サーバ１〜４に備えられていたＷＡＮ側ＩＰパケット処理部６４がクライアント端末２１，４２，４７では省略されている。
【００９４】
クライアント端末２１，４２，４７のうち、ＬＡＮ２０に接続されるクライアント端末（接続側のクライアント端末）２１においては、記憶部５０は、図１２に示すように、所属中継サーバ情報記憶部５９と、ルーティングセッション情報記憶部５５と、パケット転送制御情報記憶部５６と、を備えている。
【００９５】
一方、ＬＡＮ４０又はＬＡＮ４５に接続されるクライアント端末（接続対象側のクライアント端末）４２，４７においては、記憶部５０は、図１３に示すように、所属中継サーバ情報記憶部５９と、ルーティングセッション情報記憶部５５と、パケット転送制御情報記憶部５６と、アドレスフィルタ情報記憶部５７と、を備えている。
【００９６】
所属中継サーバ情報記憶部５９は、自機が所属する中継サーバの識別情報を記憶する。従って、例えばクライアント端末２１においては中継サーバ２の識別情報が、クライアント端末４２，４７においては中継サーバ３の識別情報が、所属中継サーバ情報記憶部５９に記憶されることになる。
【００９７】
また、ルーティングセッション情報記憶部５５、パケット転送制御情報記憶部５６、及びアドレスフィルタ情報記憶部５７は、中継サーバ１〜４の部分で説明した構成と同様であるので、説明を省略する。
【００９８】
次に、それぞれのルーティング機器（中継サーバ及びクライアント端末）において、図８に示すような前記パケット転送制御情報を作成する処理について説明する。
【００９９】
パケット転送制御情報は、上述のとおり、ＶＰＮの実現のためにルーティング機器が行うパケット転送制御のルールを定めるものである。一方、本実施形態の中継通信システム１００では、構成機器が互いに異なるＶＰＮを複数構築することができる。このような中継通信システム１００を実現するために、中継サーバ及びクライアント端末が備えるパケット転送制御情報記憶部５６は、パケット転送制御情報をＶＰＮ毎に記憶できるようになっている。即ち、新しいＶＰＮが構築される毎に、新しいパケット転送制御情報が作成されて、これがルーティング機器のパケット転送制御情報記憶部５６に記憶されることになる。
【０１００】
ＶＰＮのための１又は複数の前記ルーティングセッションは、オペレータが中継通信システム１００へのログインに使用した使用機器と、そのオペレータに対応する指定機器と、の間を繋ぐように形成される。即ち、ＶＰＮを作成するにあたっては、ルーティング機器として機能する前記使用機器及び指定機器のそれぞれにおいて、図８に示すようなパケット転送制御情報を作成してパケット転送制御情報記憶部５６に記憶することになる。
【０１０１】
このため、ＶＰＮの構築時には、ルーティング機器として機能することになった中継サーバ又はクライアント端末は、自身に対応付けられたアドレスフィルタ情報を相手側のルーティング機器に送信できるようになっている。このアドレスフィルタ情報の交換により、それぞれのルーティング機器は、自身に対応付けられたアドレスフィルタ情報と他のルーティング機器に対応付けられたアドレスフィルタ情報を合成して、図８に示すようなパケット転送制御情報を作成し、自身が備えるパケット転送制御情報記憶部５６に記憶する。
【０１０２】
このとき、自身に対応付けられたアドレスフィルタ情報としては、自身（ルーティング機器）が使用機器であるか指定機器であるか（言い換えれば、接続側か接続対象側か）に応じて、異なるものが採用される。即ち、接続対象側に配置され、ルーティング機器として機能する可能性がある中継サーバ３及びクライアント端末４２，４７は、図９及び図１３に示すアドレスフィルタ情報記憶部５７に、自身がパケットを直接的に送信可能な装置を示すように予め設定されたアドレスフィルタ情報（以下、事前設定アドレスフィルタ情報と呼ぶことがある）を記憶している。例えば、中継サーバ３が備えるアドレスフィルタ情報記憶部５７は、図１０に示す事前設定アドレスフィルタ情報を記憶している。そして、中継サーバ３又はクライアント端末４２，４７は、自身が指定機器（ルーティング機器）として機能する場合、ＶＰＮの構築時に、前記事前設定アドレスフィルタ情報を、自身に対応付けられたアドレスフィルタ情報とする。
【０１０３】
一方、接続側に配置される中継サーバ２及びクライアント端末２１は、図５及び図１２に示すように、前記事前設定アドレスフィルタ情報を記憶するアドレスフィルタ情報記憶部を備えていない。この理由は、接続対象側ではメンテナンスを受ける可能性がある機器は殆ど変化しないのに対し、接続側でオペレータがメンテナンス作業のために操作する通信装置は状況に応じて頻繁に変化するので、そのアドレスを事前に設定するのは現実的でないからである。
【０１０４】
従って、接続側の中継サーバ２又はクライアント端末２１は、オペレータがログインのために操作した通信装置がＶＰＮによる通信を行うことができるように、自身に対応するアドレスフィルタ情報をその場で作成するようになっている。即ち、接続側の中継サーバ２又はクライアント端末２１をオペレータがログインに使用した結果、ルーティング機器として機能することになった場合、中継サーバ２又はクライアント端末２１は、ＶＰＮの構築時に、自身へのログインのためにオペレータによって直接操作された機器のアドレスを示すように、自身に対応付けられたアドレスフィルタ情報を作成する。なお、このとき作成されるアドレスフィルタ情報において、当該アドレスフィルタにはオペレータの名前が付与される。これにより、接続先を分かり易く管理することができる。
【０１０５】
次に、オペレータが中継通信システム１００にログインしてＶＰＮを構築するときの具体的な流れを説明する。最初に、オペレータ１が中継サーバ２を使用してシステムにログインする例を、図１４及び図１５を参照して説明する。図１４は、オペレータ１がログインしてＶＰＮを開始する場合を示すネットワーク図である。図１５は、オペレータ１がログインしてＶＰＮを開始する場合の処理を示すシーケンス図である。
【０１０６】
図１４に示すように、接続側のＬＡＮ２０において、オペレータ１が通信装置２２に適宜の操作を行って中継サーバ２にアクセスし、当該中継サーバ２を使用機器としたログイン要求を行った場合を考える。このログイン要求では、オペレータＩＤとパスワードの入力が求められる。そして、オペレータ１が、自身に対応するオペレータＩＤ（Ｏｐ１）及びパスワード（ａｂｃ）を入力して、入力内容を確定させることにより、接続側の中継サーバ２はログイン要求を受け付ける（図１５のシーケンス番号１）。そして、中継サーバ２は、入力されたオペレータＩＤ、パスワード、及び使用機器情報（具体的には、中継サーバ２の識別情報）とともに、ログイン要求を管理側の中継サーバ１に対して送信する（シーケンス番号２）。
【０１０７】
このログイン要求等を受信した管理側の中継サーバ１は、オペレータ情報記憶部５２が記憶するオペレータ情報（図３）に基づいて、オペレータＩＤとパスワードの認証を行う（シーケンス番号３）。また、中継サーバ１は、同一のオペレータＩＤでの多重ログインを防止するために、入力されたオペレータＩＤを使用したログインが他に行われているか否かを判定する（シーケンス番号４）。そして、オペレータの認証に成功し、かつ多重ログインが行われていない場合、管理側の中継サーバ１はログインを許可し、オペレータ情報記憶部５２のオペレータ情報（図３）を更新する（シーケンス番号５）。つまり、オペレータ情報記憶部５２に、オペレータ１の識別情報（Ｏｐ１）と対応する使用機器情報として中継サーバ２の識別情報を記憶させる。
【０１０８】
そして、管理側の中継サーバ１は、グループ接続制御情報記憶部５３が記憶するグループ接続制御情報を参照し、ログインを許可したオペレータ１による接続が可能な中継サーバのリストを読み出す（シーケンス番号６）。今回の例では、図４に示すグループ接続制御情報において、オペレータ１が所属するオペレータグループには、中継サーバ３が対応付けられている。従って、管理側の中継サーバ１は、指定中継サーバである中継サーバ３の識別情報を、ログインを許可する旨とともに、中継サーバ２に対して送信する（シーケンス番号７）。
【０１０９】
中継サーバ２は、この通知を受けて、中継サーバ１から受信した指定中継サーバの一覧（即ち、中継サーバ３だけからなるリスト）を作成し、ログインが許可された旨とともに、通信装置２２に表示させる（シーケンス番号８）。オペレータは、この指定中継サーバの一覧から、接続を希望する中継サーバを選択するように求められる。この例では選択できる中継サーバは１つしかないので、オペレータ１は通信装置２２を操作し、接続したい中継サーバとして中継サーバ３を選択する。中継サーバ２は、オペレータ１による中継サーバ３の選択を受け付けると（シーケンス番号９）、オペレータ１がログイン要求時に直接操作した通信装置２２を、自身に対応するアドレスフィルタ情報とする（シーケンス番号１０）。
【０１１０】
図１６には、シーケンス番号１０で作成されたアドレスフィルタ情報が示されている。このアドレスフィルタ情報には、通信装置２２のアドレスを示すアドレスフィルタが記述されるとともに、それに対応する名称としてオペレータ１の名称が記述されている。次に、中継サーバ２は、選択された中継サーバ３（選択中継サーバ）に対して、オペレータ１のオペレータＩＤと、自身に対応するアドレスフィルタ情報（図１６の情報）と、を送るとともに、ＶＰＮの開始コマンドを送信する（シーケンス番号１１）。
【０１１１】
この開始コマンドを受信した中継サーバ３は、オペレータ接続制御情報記憶部５８が記憶するオペレータ接続制御情報を参照し、受信したオペレータ１のオペレータＩＤに対応する指定機器を読み出す（シーケンス番号１２）。図１１のオペレータ接続制御情報によれば、オペレータ１に対応する指定機器は中継サーバ３自身である。従って、中継サーバ３は、自身のアドレスフィルタ情報記憶部５７が記憶するアドレスフィルタ情報（図１０）を読み出して、これを自身に対応するアドレスフィルタ情報とする（シーケンス番号１３）。そして、中継サーバ３は、自身のアドレスフィルタ情報（図１０）と、シーケンス番号１１で受信した中継サーバ２のアドレスフィルタ情報（図１６）と、を合成して、パケット転送制御情報を作成し、パケット転送制御情報記憶部５６に記憶する（シーケンス番号１４）。
【０１１２】
この結果、中継サーバ３のパケット転送制御情報記憶部５６には、図１７に示すように、２つのアドレスフィルタ情報からなるパケット転送制御情報が記憶されることになる。中継サーバ３は、ＶＰＮの開始コマンドを受け付けた旨とともに、自身に対応付けられたアドレスフィルタ情報（図１０）を中継サーバ２に対して送信する（シーケンス番号１５）。
【０１１３】
中継サーバ２は、中継サーバ３からの応答を受けると、シーケンス番号１０で作成した自身に対応するアドレスフィルタ情報（図１６）と、中継サーバ３から受信したアドレスフィルタ情報（図１０）と、を合成して、パケット転送制御情報を作成し、パケット転送制御情報記憶部５６に記憶する（シーケンス番号１６）。これにより、中継サーバ２のパケット転送制御情報記憶部５６にも、図１７に示すように、２つのアドレスフィルタ情報からなるパケット転送制御情報が記憶されることになる。
【０１１４】
以上のようにして、中継サーバ２と中継サーバ３との間で、アドレスフィルタ情報の交換が完了する。アドレスフィルタ情報の交換後においては、中継サーバ２のパケット転送制御情報記憶部５６及び中継サーバ３のパケット転送制御情報記憶部５６は、ともに図１７に示す内容を記憶している。
【０１１５】
次に、中継サーバ２は、中継サーバ３に対して、ルーティングセッションを確立するための通信制御を行う（シーケンス番号１７）。これにより、中継サーバ２と中継サーバ３との間にルーティングセッションが確立され、オペレータ１が操作する通信装置２２と、ファイルサーバ３１と、の間でＶＰＮによる通信を行うことができる。
【０１１６】
次に、確立したルーティングセッションを用いてパケットのルーティングを行う処理について説明する。図１８は、通信装置２２がファイルサーバ３１にパケットを送信するときの経路を説明する図である。図１９は、ファイルサーバ３１が通信装置２２にパケットを送信するときの経路を説明する図である。
【０１１７】
初めに、図１８に示す第１パケット（ｐａｃｋｅｔ０１）を中継サーバ２が受信した場合の処理について説明する。この第１パケットは通信装置２２が送信したものであり、送信先アドレスとしてファイルサーバ３１のＩＰアドレス（１９２．１６８．３０．１０）が指定されている。
【０１１８】
中継サーバ２は、この第１パケットを受信すると、パケット転送制御情報記憶部５６に記憶するパケット転送制御情報（図１７）を第１パケットの送信先アドレスと比較する。そして、第１パケットに記された送信先に対してパケットを直接的に送信可能なルーティング機器を調べる。図１７に示すように、第１パケットの送信先アドレス（１９２．１６８．３０．１０）は、中継サーバ３に対応付けられたアドレスフィルタ情報によって指定されている。従って、中継サーバ２は第１パケットの転送を許可し、中継サーバ２と中継サーバ３との間に確立されたルーティングセッションを介して第１パケットを当該中継サーバ３に送信する。
【０１１９】
この第１パケットを受信した中継サーバ３も中継サーバ２と同様に、パケット転送制御情報記憶部５６に記憶するパケット転送制御情報（図１７）を、第１パケットの送信先アドレスと比較する。この結果、中継サーバ３は、第１パケットに記された送信先（１９２．１６８．３０．１０）に対して、自身がパケットを直接的に送信可能なことを検出する。従って、中継サーバ３は第１パケットの転送を許可し、当該第１パケットをファイルサーバ３１に対して送信する。
【０１２０】
次に、図１９に示す第２パケット（ｐａｃｋｅｔ０２）を中継サーバ３が受信した場合の処理について説明する。この第２パケットはファイルサーバ３１が送信したものであり、送信先アドレスとして通信装置２２のＩＰアドレス（２００．１．２０．１００）が指定されている。
【０１２１】
中継サーバ３は、この第２パケットを受信した後に、上記と同様に処理を行い、第２パケットの送信先アドレス（２００．１．２０．１００）が、中継サーバ２に対応付けられたアドレスフィルタ情報によって指定されていることを検出する。従って、中継サーバ３は第２パケットの転送を許可し、中継サーバ３と中継サーバ２との間に確立されたルーティングセッションを介して第２パケットを当該中継サーバ２に送信する。
【０１２２】
この第２パケットを受信した中継サーバ２も、上記と同様に処理を行い、第２パケットの送信先アドレス（２００．１．２０．１００）が、自身（中継サーバ２）に対応付けられたアドレスフィルタ情報によって指定されていることを検出する。従って、中継サーバ２は第２パケットの転送を許可し、当該第２パケットを通信装置２２に対して送信する。
【０１２３】
このように、本実施形態では、アプリケーション層のルーティングセッションで、ルーティング対象のデータを流すように構成されている。従って、以上で説明したルーティングは、通常のＩＰルーティングとは異なっている。このようにアプリケーション層でルーティングを行うことにより、ＷＡＮを意識することなく、遠隔地のＬＡＮ同士がプライベートＩＰアドレスを利用して相互に通信することができる。
【０１２４】
次に、オペレータ２が中継サーバ２を使用してシステムにログインする例を、図２０から図２２までを参照して説明する。図２０は、オペレータ２がログインしてＶＰＮを開始する場合を示すネットワーク図である。図２１及び図２２は、オペレータ２がログインしてＶＰＮを開始する場合の処理を示すシーケンス図である。
【０１２５】
図２０に示すように、接続側のＬＡＮ２０において、オペレータ２が通信装置２２に適宜の操作を行って中継サーバ２にアクセスし、当該中継サーバ２を使用機器としたログイン要求を行った場合を考える。接続側の中継サーバ２はログイン要求を受け付け（図２１のシーケンス番号２１）、ログイン要求を管理側の中継サーバ１に対して送信する（シーケンス番号２２）。管理側の中継サーバ１は、オペレータを認証し、多重ログインをチェックした後、ログインを許可すべき場合はオペレータ情報を更新する（シーケンス番号２３〜２５）。
【０１２６】
そして、管理側の中継サーバ１は、グループ接続制御情報記憶部５３が記憶するグループ接続制御情報を参照し、ログインを許可したオペレータ２による接続が可能な中継サーバの識別番号を読み出す（シーケンス番号２６）。図４に示すグループ接続制御情報において、オペレータ２は２つのオペレータグループに所属しており、一方のオペレータグループには中継サーバ３が、他方のオペレータグループには中継サーバ４が、それぞれ対応付けられている。従って、管理側の中継サーバ１は、指定中継サーバである中継サーバ３及び中継サーバ４の識別情報を、ログインを許可する旨とともに、中継サーバ２に対して送信する（シーケンス番号２７）。
【０１２７】
中継サーバ２は、この通知を受けて、中継サーバ１から受信した指定中継サーバの一覧（即ち、中継サーバ３及び中継サーバ４からなるリスト）を作成し、ログインが許可された旨とともに、通信装置２２に表示させる（シーケンス番号２８）。これに対して、オペレータ２は通信装置２２を操作し、上記のリストから、接続したい中継サーバとして中継サーバ３を選択したとする。中継サーバ２は、オペレータ２による中継サーバ３の選択を受け付けると（シーケンス番号２９）、オペレータ２がログイン要求時に直接操作した通信装置２２を、自身に対応するアドレスフィルタ情報とする（シーケンス番号３０）。
【０１２８】
図２３には、シーケンス番号３０で作成されたアドレスフィルタ情報が示されている。このアドレスフィルタ情報には、通信装置２２のアドレスを示すアドレスフィルタが記述されるとともに、それに対応する名称としてオペレータ２の名称が記述されている。次に、中継サーバ２は、選択された中継サーバ３（選択中継サーバ）に対して、オペレータ２のオペレータＩＤと、自身に対応するアドレスフィルタ情報（図２３）と、を送るとともに、ＶＰＮの開始コマンドを送信する（シーケンス番号３１）。
【０１２９】
この開始コマンドを受信した中継サーバ３は、オペレータ接続制御情報記憶部５８が記憶するオペレータ接続制御情報を参照し、受信したオペレータ２のオペレータＩＤに対応する指定機器を読み出す（シーケンス番号３２）。図１１のオペレータ接続制御情報によれば、オペレータ２に対応する指定機器はクライアント端末４７である。
【０１３０】
従って、中継サーバ３は、シーケンス番号３１で受信した中継サーバ２のアドレスフィルタ情報（図２３）を、パケット転送制御情報記憶部５６に記憶する（シーケンス番号３３）。その上で、中継サーバ３は、指定機器であるクライアント端末４７に、中継サーバ２から受信したアドレスフィルタ情報（図２３）を送信するとともに、ＶＰＮの開始コマンドを送信する（図２２のシーケンス番号３４）。
【０１３１】
この開始コマンドを受信したクライアント端末４７は、自身のアドレスフィルタ情報記憶部５７が記憶するアドレスフィルタ情報を読み出して、これを自身に対応するアドレスフィルタ情報とする（シーケンス番号３５）。なお、クライアント端末４７のアドレスフィルタ情報記憶部５７が記憶するアドレスフィルタ情報（事前設定アドレスフィルタ情報）は図２４に示されており、ここでは、ファイルサーバ４６を示すアドレスフィルタが記述されている。そして、クライアント端末４７は、自身のアドレスフィルタ情報（図２４）と、シーケンス番号３４で受信した中継サーバ２のアドレスフィルタ情報（図２３）と、を合成して、パケット転送制御情報を作成し、パケット転送制御情報記憶部５６に記憶する（シーケンス番号３６）。
【０１３２】
この結果、クライアント端末４７のパケット転送制御情報記憶部５６には、図２５に示すように、２つのアドレスフィルタ情報からなるパケット転送制御情報が記憶されることになる。その後、クライアント端末４７は、ＶＰＮの開始コマンドを受け付けた旨とともに、自身に対応付けられたアドレスフィルタ情報（図２４）を中継サーバ３に対して送信する（シーケンス番号３７）。
【０１３３】
中継サーバ３は、クライアント端末４７からの応答を受けると、当該クライアント端末４７のアドレスフィルタ情報（図２４）を、パケット転送制御情報記憶部５６に記憶する（シーケンス番号３８）。なお、この処理とシーケンス番号３３の処理の結果、中継サーバ３のパケット転送制御情報記憶部５６にも、クライアント端末４７のパケット転送制御情報記憶部５６と同一の内容（図２５に示す内容）が記憶されることになる。その後、中継サーバ３は、ＶＰＮの開始コマンドを受け付けた旨とともに、クライアント端末４７から受信したアドレスフィルタ情報（図２４）を中継サーバ２に転送する（シーケンス番号３９）。
【０１３４】
中継サーバ２は、中継サーバ３からの応答を受けると、シーケンス番号３０で作成した自身に対応するアドレスフィルタ情報（図２３）と、シーケンス番号３９で受信したクライアント端末４７のアドレスフィルタ情報（図２４）と、を合成して、パケット転送制御情報を作成し、パケット転送制御情報記憶部５６に記憶する（シーケンス番号４０）。これにより、中継サーバ２のパケット転送制御情報記憶部５６にも、クライアント端末４７のパケット転送制御情報記憶部５６と同一の内容（図２５に示す内容）が記憶されることになる。
【０１３５】
以上のようにして、中継サーバ３を媒介しつつ、中継サーバ２とクライアント端末４７との間でアドレスフィルタ情報の交換が完了する。アドレスフィルタ情報の交換後においては、中継サーバ２、中継サーバ３、及びクライアント端末４７のパケット転送制御情報記憶部５６は、何れも図２５に示す内容を記憶している。
【０１３６】
次に、中継サーバ２は、中継サーバ３に対して、ルーティングセッションを確立するための通信制御を行う（シーケンス番号４１）。更に、中継サーバ３は、クライアント端末４７に対して、ルーティングセッションを確立するための通信制御を行う（シーケンス番号４２）。これにより、中継サーバ２と中継サーバ３との間、及び中継サーバ３とクライアント端末４７の間に、それぞれルーティングセッションが確立され、オペレータ２が操作する通信装置２２と、ファイルサーバ４６と、の間でＶＰＮによる通信を行うことができる。
【０１３７】
なお、図２２に示すシーケンス番号３４の処理で中継サーバ３がクライアント端末４７にＶＰＮ開始コマンドを送信したにもかかわらず、例えば通信障害等の理由で、クライアント端末４７からの応答が返ってこない場合も考えられる。この場合、中継サーバ３は、エラーを中継サーバ２に通知し、中継サーバ２は、接続に失敗した旨を、オペレータ２が操作する通信装置２２に表示させるようになっている。これにより、オペレータ２はＶＰＮを開始できない異常を適切に把握することができる。
【０１３８】
次に、確立したルーティングセッションを用いてパケットのルーティングを行う処理について説明する。図２６は、通信装置２２がファイルサーバ４６にパケットを送信するときの経路を説明する図である。図２７は、ファイルサーバ４６が通信装置２２にパケットを送信するときの経路を説明する図である。
【０１３９】
初めに、図２６に示す第３パケット（ｐａｃｋｅｔ０３）を中継サーバ２が受信した場合の処理について説明する。この第３パケットは通信装置２２が送信したものであり、送信先アドレスとしてファイルサーバ４６のＩＰアドレス（１９２．１６８．４５．１００）が指定されている。
【０１４０】
中継サーバ２は、この第３パケットを受信すると、パケット転送制御情報記憶部５６に記憶するパケット転送制御情報（図２５）を第３パケットの送信先アドレスと比較する。そして、第３パケットに記された送信先に対してパケットを直接的に送信可能なルーティング機器を調べる。図２５に示すように、第３パケットの送信先アドレス（１９２．１６８．４５．１００）は、クライアント端末４７に対応付けられたアドレスフィルタ情報によって指定されている。従って、中継サーバ２は第３パケットの転送を許可する。中継サーバ２とクライアント端末４７とを直接接続するルーティングセッションは存在しないが、クライアント端末４７が中継サーバ３に所属していることは中継サーバ２側で把握できるので、中継サーバ２は、中継サーバ２と中継サーバ３との間に確立されたルーティングセッションを介して第３パケットを当該中継サーバ３に送信する。
【０１４１】
この第３パケットを受信した中継サーバ３も中継サーバ２と同様に、パケット転送制御情報記憶部５６に記憶するパケット転送制御情報（図２５）を、第３パケットの送信先アドレスと比較する。この結果、中継サーバ３は、第３パケットに記された送信先（１９２．１６８．４５．１００）に対して、クライアント端末４７がパケットを直接的に送信可能なことを検出する。従って、中継サーバ３は第３パケットの転送を許可し、中継サーバ３とクライアント端末４７との間に確立されたルーティングセッションを介して第３パケットを当該クライアント端末４７に送信する。
【０１４２】
この第３パケットを受信したクライアント端末４７も中継サーバ３と同様に、パケット転送制御情報記憶部５６に記憶するパケット転送制御情報（図２５）を、第３パケットの送信先アドレスと比較する。この結果、クライアント端末４７は、第３パケットに記された送信先（１９２．１６８．４５．１００）に対して、自身がパケットを直接的に送信可能なことを検出する。従って、クライアント端末４７は第３パケットの転送を許可し、第３パケットをファイルサーバ４６に送信する。
【０１４３】
次に、図２７に示す第４パケット（ｐａｃｋｅｔ０４）をクライアント端末４７が受信した場合の処理について説明する。この第４パケットはファイルサーバ４６が送信したものであり、送信先アドレスとして通信装置２２のＩＰアドレス（２００．１．２０．１００）が指定されている。
【０１４４】
クライアント端末４７は、この第４パケットを受信すると、上記と同様に処理を行い、第４パケットの送信先アドレス（２００．１．２０．１００）が、中継サーバ２に対応付けられたアドレスフィルタ情報によって指定されていることを検出する。従って、クライアント端末４７は第４パケットの転送を許可する。クライアント端末４７と中継サーバ２とを直接接続するルーティングセッションは存在しないので、クライアント端末４７は、自身と、自身が所属している中継サーバ３と、の間で確立されたルーティングセッションを介して、第４パケットを中継サーバ３に送信する。
【０１４５】
中継サーバ３は、この第４パケットを受信した後に、上記と同様に処理を行い、第４パケットの送信先アドレス（２００．１．２０．１００）が、中継サーバ２に対応付けられたアドレスフィルタ情報によって指定されていることを検出する。従って、中継サーバ３は第４パケットの転送を許可し、中継サーバ３と中継サーバ２との間に確立されたルーティングセッションを介して第４パケットを当該中継サーバ２に送信する。
【０１４６】
この第４パケットを受信した中継サーバ２も、上記と同様に処理を行い、第４パケットの送信先アドレス（２００．１．２０．１００）が、自身（中継サーバ２）に対応付けられたアドレスフィルタ情報によって指定されていることを検出する。従って、中継サーバ２は第４パケットの転送を許可し、当該第４パケットを通信装置２２に対して送信する。
【０１４７】
なお、図１４及び図２０では、オペレータ１，２が中継サーバ２を使用してログインする場合で説明したが、オペレータ１，２は、中継サーバ２の代わりにクライアント端末２１を使用してログインしても良い。この場合は、図１５、図２１、図２２のシーケンス図で中継サーバ２が行う処理を、クライアント端末２１が代わって行うことになる。この結果、オペレータ１がクライアント端末２１を使用してログインする場合、図１８の例に照らしていえば、クライアント端末２１が送信するパケットは、中継サーバ２、及び中継サーバ３を経由して、ファイルサーバ３１に到達する。また、オペレータ２がクライアント端末２１を使用してログインする場合、図２７の例に照らしていえば、クライアント端末２１が送信するパケットは、中継サーバ２、中継サーバ３、及びクライアント端末４７を経由して、ファイルサーバ４６に到達する。
【０１４８】
また、オペレータがクライアント端末２１を使用してログインする場合、当該オペレータの認証に関しては以下のような処理が行われる。即ち、クライアント端末２１はオペレータのログイン要求を受け付けると、当該ログイン要求を、自身が所属している中継サーバ２に送信する。ここで、クライアント端末２１が所属している中継サーバは、当該クライアント端末２１が備える所属中継サーバ情報記憶部５９の記憶内容から取得することができる。そして、中継サーバ２は、自身を管理する中継サーバ１（管理先情報記憶部５４に識別情報が記憶されている中継サーバ１）に対してログイン要求を転送し、中継サーバ１において前記と同様にオペレータＩＤ及びパスワードの認証が行われる。
【０１４９】
以上に説明したように、本実施形態の中継サーバ２（図５）は、自身がパケットを転送可能なアドレスである第１アドレスフィルタ情報と、他の接続対象機器である中継サーバ３又はクライアント端末４７がパケットを転送可能なアドレスである第２アドレスフィルタ情報と、を記憶する手段（パケット転送制御情報記憶部５６）を備える。また、中継サーバ２は、ＬＡＮ２０で接続された通信装置２２を介してログイン操作するオペレータの識別情報（例えばＯｐ１）を受け付ける手段と、ログインを受け付けたオペレータの識別情報に基づいて、当該オペレータが所属するオペレータグループ（ＩＤがＷｏｒｋＧｒｏｕｐ１であるオペレータグループ）が接続可能な中継サーバのリスト（中継サーバ３だけのリスト）を取得する手段と、取得した他の中継サーバのリストの中からオペレータによる中継サーバの選択（中継サーバ３の選択）を受け付ける手段と、オペレータにより選択された中継サーバ３とルーティングセッションを確立する手段と、を備える。中継サーバ２は、オペレータがログイン操作した通信装置２２のアドレスを第１アドレスフィルタ情報として記憶し、前記第１アドレスフィルタ情報を中継サーバ３へ送信する。また、中継サーバ２は、オペレータによって選択された中継サーバ３から前記第２アドレスフィルタ情報を受信して記憶する。中継サーバ２は、ルーティングセッションから受信したパケットの送信先アドレスが前記第１アドレスフィルタ情報に含まれている場合には、送信先へパケットを送信する。中継サーバ２は、通信装置から受信したパケットの送信先アドレスが前記第２アドレスフィルタ情報に含まれている場合には、前記ルーティングセッションへパケットを送信する。
【０１５０】
これにより、オペレータは、中継サーバ２と、当該オペレータに選択された中継サーバ３と、の間に確立されたルーティングセッションを利用して、他の機器（例えば、ファイルサーバ３１）との間で通信を行うことができる。また、上記の構成では、ルーティングセッションの相手としてオペレータが選択可能な中継サーバ３は、当該オペレータが所属するオペレータグループ毎に設定されるとともに、選択可能な中継サーバの中からオペレータによって実際に選択された選択中継サーバ３において、当該オペレータが接続可能な機器が指定される。そのため、オペレータがログインに用いる通信装置２２が変更されても、ログインを行うオペレータが同一であれば、以前と同一の機器と通信を行うことができる。また、オペレータグループレベルでのアクセス制御の設定を中継サーバ２自身で行い、それぞれのオペレータレベルでのアクセス制御の設定を選択中継サーバ３で行うことで、複雑なアクセス制御を合理的かつ容易に実現することができる。
【０１５１】
また、本実施形態の中継サーバ２は、パケット転送制御情報記憶部５６と、制御部６０と、を備える。パケット転送制御情報記憶部５６は、自身がパケットを転送可能な機器のアドレスを定めるアドレスフィルタ情報を自身の識別情報と対応付けるとともに、自身と接続可能な接続対象側の中継サーバ及び当該接続対象側の中継サーバに所属するクライアント端末である接続対象側の機器がパケットを転送可能な機器のアドレスを定めるアドレスフィルタ情報を当該接続対象側の機器の識別情報と対応付けたパケット転送制御情報（図２５）を記憶可能である。中継サーバ２の制御部６０は、管理側の中継サーバ１が記憶する情報であって、中継通信システム１００にログイン可能なオペレータを含むオペレータグループの情報と、当該オペレータグループに所属するオペレータによる接続が可能な中継サーバとして指定された指定中継サーバと、を対応付けた情報であるグループ接続制御情報（図４）に基づき、ログイン要求を行ったオペレータ２（ログイン要求オペレータ）による接続が可能な前記指定中継サーバ（中継サーバ３）を取得する。中継サーバ２の制御部６０は、取得した前記指定中継サーバのうちオペレータ２により選択された中継サーバ３（選択中継サーバ）と、自身である中継サーバ２と、の間でルーティングセッションを確立する（シーケンス番号４１）。中継サーバ２の制御部６０は、中継サーバ３が記憶する情報であって、前記オペレータグループに所属するオペレータの識別情報と、当該中継サーバ３に所属するクライアント端末のうち当該オペレータによる接続が可能な機器として指定された指定機器の識別情報と、を対応付けたオペレータ接続制御情報（図１１）に基づき、当該中継サーバ３と、クライアント端末４７と、の間でルーティングセッションを確立させる（シーケンス番号４２）。中継サーバ２の制御部６０は、オペレータ２がログイン要求を行うために操作した通信装置２２のアドレスを、自身の識別情報と対応付けたアドレスフィルタ情報としてパケット転送制御情報記憶部５６に記憶するとともに、当該アドレスフィルタ情報を前記指定機器へ送信する（図２１のシーケンス番号３０，３１，４０）。中継サーバ２の制御部６０は、中継サーバ２と、クライアント端末４７と、の間を接続するように構成された１又は複数のルーティングセッションを利用したＶＰＮを開始する。中継サーバ２の制御部６０は、受信したパケットの送信先が、中継サーバ２の識別情報と対応付けられたアドレスフィルタ情報において指定されているときは、当該送信先にパケットを送信し（図２７）、受信したパケットの送信先がクライアント端末４７の識別情報と対応付けられたアドレスフィルタ情報において指定されているときは、中継サーバ２とクライアント端末４７との間を接続するように構成された１又は複数のルーティングセッションを介して当該クライアント端末４７にパケットを送信する（図２６）。
【０１５２】
これにより、構築したＶＰＮを利用して、オペレータ２がログイン要求を行うために操作した通信装置２２と、クライアント端末４７がパケットを転送可能なファイルサーバ４６と、の間で通信を行うことができる。また、グループ接続制御情報及びオペレータ接続制御情報では、接続が可能な指定中継サーバ又は指定機器が、オペレータグループ又はオペレータに対応付けられている。また、接続側の中継サーバ２においては、自身に対応付けられたアドレスフィルタ情報を、オペレータが中継通信システム１００にログインするにあたって操作した通信装置のアドレスを用いてその場で作成し、これがパケットの転送のために用いられる。そのため、例えばオペレータ２は、通信装置２２を操作して中継サーバ２にログインする場合は、中継サーバ２、中継サーバ３及びクライアント端末４７をルーティング機器とし、当該通信装置２２とファイルサーバ４６との間でＶＰＮを構築することができる。そして、ログアウトしたオペレータ２が、今度は通信装置２３を操作して中継サーバ２にログインする場合は、中継サーバ２、中継サーバ３及びクライアント端末４７をルーティング機器とし、通信装置２３とファイルサーバ４６との間でＶＰＮを構築することができる。このように、オペレータがログインのために操作する機器が変更されても、ログインを行うオペレータが同一であれば、以前と同一の相手を含むようなＶＰＮを容易に構築して利用することができる。更に、本実施形態では、中継サーバレベル（ＬＡＮレベル）でのアクセス制御はオペレータグループを単位として行う一方、機器レベルでのアクセス制御は、接続対象側の中継サーバ３，４（指定中継サーバ）がそれぞれ記憶するオペレータ接続制御情報に基づき、個別のオペレータを単位として行うようになっている。従って、オペレータのアクセス制御について、管理の容易さ（設定事項の整理のし易さ）とキメ細かいアクセス制御を両立させることができる。更に、中継サーバ３，４のオペレータ接続制御情報記憶部５８においては、自身が指定中継サーバになっているオペレータグループに所属するオペレータ（のみ）について、指定機器を記憶する。このように、機器レベルでの細かいアクセス制御を定めるオペレータ接続制御情報が、それぞれの中継サーバ３，４で分担する形で、かつ互いに独立して記憶されるため、個々の中継サーバ３，４における記憶内容の肥大化を防止できるとともに、記憶内容の同期制御も省略することができる。
【０１５３】
また、本実施形態において、前記中継サーバ３がクライアント端末４７と通信できない場合（図２２のシーケンス番号３７に示す応答が返って来ない場合）には、接続側の中継サーバ２における制御部６０は、当該中継サーバ３が自身に通知するエラーに基づいて、接続に失敗した旨を、オペレータ２が操作する通信装置２２に表示させる。
【０１５４】
これにより、オペレータ２は、ＶＰＮによる通信を開始できない異常を適切に把握することができる。
【０１５５】
また、本実施形態の中継サーバ２は、管理側の中継サーバ１の識別情報を記憶する管理先情報記憶部５４を備える。前記グループ接続制御情報は、管理側の中継サーバ１が備えるグループ接続制御情報記憶部５３によって記憶される。中継サーバ２の制御部６０は、オペレータ２からログイン要求を受け付けたときに、管理先情報記憶部５４の記憶内容に基づいて中継サーバ１にアクセスすることにより（図２１のシーケンス番号２２）、ログイン要求を行ったオペレータ２が接続可能な指定中継サーバ（中継サーバ３，４）を取得する。
【０１５６】
これにより、中継サーバ１がグループ接続制御情報を集中的に管理する構成となるため、複数の機器によってグループ接続制御情報を共有させる必要がない。従って、当該機器間におけるグループ接続制御情報の同期制御が不要となり、中継サーバで行われる処理の負荷を軽減することができる。
【０１５７】
ただし、上記実施形態において、管理側の中継サーバ１の代わりに、グループ接続制御情報を中継サーバ２及びクライアント端末２１が記憶し、互いにその内容を同期するように変更しても良い。この場合、中継サーバ２の制御部６０は、オペレータからログイン要求を受け付けたときに、自身が備えるグループ接続制御情報記憶部の記憶内容に基づいて、ログイン要求を行ったオペレータが接続可能な中継サーバを取得することになる。
【０１５８】
この構成では、中継サーバ２は、自身の記憶内容を参照するだけで、ログイン要求を行ったオペレータが接続可能な中継サーバを取得できる。このため、ＶＰＮを開始するまでの処理を単純にすることができる。
【０１５９】
次に、中継サーバ３，４のオペレータ接続制御情報記憶部５８に関する変形例を説明する。図２８は、オペレータ接続制御情報の変形例を示す図である。
【０１６０】
図２８には、当該変形例において、中継サーバ３のオペレータ接続制御情報記憶部５８が記憶するオペレータ接続制御情報が示されている。この変形例に係るオペレータ接続制御情報では、上述の実施形態（図１１）の場合と異なり、指定機器の識別情報が、オペレータＩＤに加えて時間帯の情報（スケジュール情報）に対応付けられた形で記述されている。この例では、オペレータ２は、中継サーバ３とクライアント端末４７との接続を終日利用できる一方、中継サーバ３とクライアント端末４２との接続は、午前０時から午前６時までの間だけ利用できる。
【０１６１】
このようにオペレータ接続制御情報を構成することにより、接続時間帯の観点からのアクセス制御を実現することができる。なお、スケジュール情報は、時刻にとどまらず、例えば日付（年月日）、曜日等を用いて記述しても良いことは勿論である。
【０１６２】
以上に示すように、本変形例においては、中継サーバ３が記憶するオペレータ接続制御情報において、前記オペレータグループに所属するオペレータの識別情報と、前記指定機器の識別情報と、時間帯の情報と、が対応付けられている。中継サーバ２の制御部６０は、オペレータ接続制御情報に基づき、中継サーバ３と、ログインを要求するオペレータ及び現在時間に対応する指定機器と、の間を接続するように構成された１又は複数のルーティングセッションを利用したＶＰＮを開始する。
【０１６３】
これにより、接続時間帯を考慮したよりキメ細かいアクセス制御を行うことができる。
【０１６４】
以上に本発明の好適な実施の形態を説明したが、上記の構成は例えば以下のように変更することができる。
【０１６５】
上記のオペレータ情報、グループ接続制御情報、オペレータ接続制御情報等は、適宜の形式（例えばＸＭＬ形式）で格納することができる。
【０１６６】
上記実施形態の構成に代えて、各中継サーバ間での通信に用いられる外部サーバをインターネット上に設置し、ＳＩＰ（Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｉｏｎ Ｐｒｏｔｏｃｏｌ）サーバとしての機能を発揮させて通信を行う構成にしても良い。
【符号の説明】
【０１６７】
１，２，３，４ 中継サーバ
１１，２１，４２，４７ クライアント端末
１０，２０，３０，４０，４５，４８ ＬＡＮ
５０ 記憶部
５３ グループ接続制御情報記憶部
５６ パケット転送制御情報記憶部
５８ オペレータ接続制御情報記憶部
６０ 制御部
１００ 中継通信システム
【技術分野】
【０００１】
本発明は、主として、異なるＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）に接続されている端末間の通信を可能とする中継サーバに関する。
【背景技術】
【０００２】
従来から、仮想プライベートネットワーク（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ，ＶＰＮ）と呼ばれる通信技術が知られている（例えば、特許文献１を参照）。このＶＰＮは、例えば、地域ごとに設けられた複数の支社（拠点）のＬＡＮに接続された端末同士でインターネットを介して通信する用途に用いられている。前記ＶＰＮを利用すれば、遠隔地にある他のＬＡＮを、あたかも直接接続されているネットワークであるかのように使用することができる。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００２−２１７９３８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ところで、この種のシステムにおいては、機器のＩＰアドレス及び識別情報等を用いて、機器間での通信を行うことが一般的である。一方、この種のシステムにおいて作業を行う場合、オペレータの使用する機器は常に同じとは限らず、移動先及び出張先等では、異なる機器を使用することがある。これはＶＰＮの構成機器の変更を意味するため、通常は、ＶＰＮの設定を変更する必要が生じる。しかし、ネットワークの設定の変更等が生じた場合、これらの変更は他の機器に反映させなければならず、処理が複雑になってしまう。特に、大規模なネットワークにおいて多数のオペレータが作業を行う場合、アクセス制御の設定が煩雑になり易く、この点で改善の余地が残されていた。
【０００５】
本発明は以上の事情に鑑みてされたものであり、その主要な目的は、オペレータの利用する機器に合わせてＶＰＮを柔軟かつ機動的に構築可能な中継サーバを提供することにある。
【課題を解決するための手段及び効果】
【０００６】
本発明の解決しようとする課題は以上の如くであり、次にこの課題を解決するための手段とその効果を説明する。
【０００７】
本発明の第１の観点によれば、以下の構成の中継サーバが提供される。即ち、この中継サーバは、自身がパケットを転送可能なアドレスである第１アドレスフィルタ情報と、他の中継サーバ及びクライアント端末である接続対象機器がパケットを転送可能なアドレスである第２アドレスフィルタ情報と、を記憶する手段と、ＬＡＮで接続された通信装置を介してログイン操作するオペレータの識別情報を受け付ける手段と、ログインを受け付けたオペレータの識別情報に基づいて、当該オペレータが所属するオペレータグループが接続可能な他の中継サーバのリストを取得する手段と、取得した他の中継サーバのリストの中からオペレータによる中継サーバの選択を受け付ける手段と、オペレータに選択された中継サーバである選択中継サーバとルーティングセッションを確立する手段と、を備える。中継サーバは、オペレータがログイン操作した前記通信装置のアドレスを前記第１アドレスフィルタ情報として記憶し、前記第１アドレスフィルタ情報を前記選択中継サーバへ送信する。中継サーバは、前記選択中継サーバから、前記第２アドレスフィルタ情報を受信して記憶する。中継サーバは、ルーティングセッションから受信したパケットの送信先アドレスが前記第１アドレスフィルタ情報に含まれている場合には、送信先へパケットを送信する。中継サーバは、通信装置から受信したパケットの送信先アドレスが前記第２アドレスフィルタ情報に含まれている場合には、前記ルーティングセッションへパケットを送信する。
【０００８】
これにより、オペレータは、中継サーバと、オペレータに選択された中継サーバと、の間に確立されたルーティングセッションを利用して、他の機器との間で通信を行うことができる。また、上記の構成では、ルーティングセッションの相手としてオペレータが選択可能な中継サーバは、当該オペレータが所属するオペレータグループ毎に設定されるとともに、選択可能な中継サーバの中からオペレータによって実際に選択された選択中継サーバにおいて、当該オペレータが接続可能な機器が指定される。そのため、オペレータがログインに用いる通信装置が変更されても、ログインを行うオペレータが同一であれば、以前と同一の機器と通信を行うことができる。また、オペレータグループレベルでのアクセス制御の設定を中継サーバ自身で行い、それぞれのオペレータレベルでのアクセス制御の設定を選択中継サーバで行うことで、複雑なアクセス制御を合理的に実現することができる。
【０００９】
本発明の第２の観点によれば、以下の構成の中継サーバが提供される。即ち、この中継サーバは、パケット転送制御情報記憶部と、制御部と、を備える。前記パケット転送制御情報記憶部は、自身（中継サーバ）がパケットを転送可能な機器のアドレスを定めるアドレスフィルタ情報を自身の識別情報と対応付けて記憶可能であるとともに、自身と接続可能な接続対象側の中継サーバ及び当該接続対象側の中継サーバに所属するクライアント端末である接続対象側の機器がパケットを転送可能な機器のアドレスを定めるアドレスフィルタ情報を当該接続対象側の機器の識別情報と対応付けて記憶可能である。前記制御部は、自身（中継サーバ）又は自身が接続可能な他の中継サーバが記憶する情報であって、自身を含んで構成される中継通信システムにログイン可能なオペレータを含むオペレータグループの情報と、当該オペレータグループに所属するオペレータによる接続が可能な中継サーバとして指定された指定中継サーバと、を対応付けた情報であるグループ接続制御情報に基づき、ログイン要求を行ったオペレータであるログイン要求オペレータによる接続が可能な前記指定中継サーバを取得する。前記制御部は、取得した前記指定中継サーバのうち前記ログイン要求オペレータにより選択された中継サーバである選択中継サーバと、自身（中継サーバ）と、の間でルーティングセッションを確立する。前記制御部は、前記選択中継サーバが記憶する情報であって、前記オペレータグループに所属するオペレータの識別情報と、当該選択中継サーバに所属するクライアント端末のうち当該オペレータによる接続が可能な機器として指定された指定機器の識別情報と、を対応付けたオペレータ接続制御情報に基づき、当該選択中継サーバと、前記指定機器と、の間でルーティングセッションを確立させる。前記制御部は、オペレータがログイン要求を行うために操作した通信装置のアドレスを、自身（中継サーバ）の識別情報と対応付けたアドレスフィルタ情報として前記パケット転送制御情報記憶部に記憶するとともに、当該アドレスフィルタ情報を前記指定機器へ送信する。前記制御部は、前記指定機器から受信したアドレスフィルタ情報を、当該指定機器の識別情報と対応付けたアドレスフィルタ情報として前記パケット転送制御情報記憶部に記憶する。前記制御部は、自身（中継サーバ）と、前記指定機器と、の間を接続するように構成された１又は複数のルーティングセッションを利用した仮想プライベートネットワークを開始する。前記制御部は、受信したパケットの送信先が、前記パケット転送制御情報記憶部の記憶内容において、自身（中継サーバ）の識別情報と対応付けられたアドレスフィルタ情報によって指定されているときは、当該送信先にパケットを送信し、受信したパケットの送信先が前記指定機器の識別情報と対応付けられたアドレスフィルタ情報によって指定されているときは、自身（中継サーバ）と前記指定機器との間を接続するように構成された１又は複数のルーティングセッションを介して当該指定機器にパケットを送信する。
【００１０】
これにより、オペレータは、構築したＶＰＮを利用して、当該オペレータがログイン要求を行うために操作した通信装置と、指定機器がパケットを転送可能な装置と、の間で通信を行うことができる。また、グループ接続制御情報及びオペレータ接続制御情報では、接続が可能な指定中継サーバ又は指定機器が、（オペレータがログインのために操作したり使用したりした機器ではなく）オペレータグループ又はオペレータに対応付けられている。また、自身（中継サーバ）においては、自身に対応付けられたアドレスフィルタ情報を、オペレータが中継通信システムにログインするにあたって操作した通信装置のアドレスを用いてその場で作成し、これがパケットの転送のために用いられる。そのため、オペレータがログインのために操作する機器が変更されても、ログインを行うオペレータが同一であれば、以前と同一の相手を含むようなＶＰＮを容易に構築して利用することができる。更に、上記の構成では、中継サーバレベルでのアクセス制御はオペレータグループを単位として行う一方、機器レベルでのアクセス制御は、接続対象側の中継サーバ（指定中継サーバ）がそれぞれ記憶するオペレータ接続制御情報に基づき、個別のオペレータを単位として行うようになっている。従って、オペレータのアクセス制御について、設定の簡潔さとキメ細かいアクセス制御を両立させることができる。更に、指定中継サーバが記憶するオペレータ接続制御情報においては、自身が指定中継サーバになっているオペレータグループに所属するオペレータについて（のみ）、指定機器を記憶する。このように、機器レベルでの細かいアクセス制御を定めるオペレータ接続制御情報が、それぞれの指定中継サーバで分担する形で、かつ互いに独立して記憶されるため、個々の指定中継サーバにおける記憶内容の肥大化を防止できるとともに、記憶内容の同期制御も省略することができる。
【００１１】
前記の中継サーバにおいては、以下のように構成することが好ましい。即ち、前記選択中継サーバが当該指定機器と通信できない場合には、前記制御部は、当該選択中継サーバが自身（中継サーバ）に通知するエラーに基づいて、接続に失敗した旨を、前記ログイン要求オペレータが操作する通信装置に表示させる。
【００１２】
これにより、ログインしたオペレータは、ＶＰＮによる通信を開始できない異常を適切に把握することができる。
【００１３】
前記の中継サーバにおいては、以下の構成とすることが好ましい。即ち、前記オペレータ接続制御情報においては、前記オペレータグループに所属するオペレータの識別情報と、前記指定機器の識別情報と、スケジュール情報と、が対応付けられている。前記制御部は、前記オペレータ接続制御情報に基づき、前記選択中継サーバと、前記ログイン要求オペレータ及び現在時間に対応する前記指定機器と、の間を接続するように構成された１又は複数のルーティングセッションを利用した仮想プライベートネットワークを開始する。
【００１４】
これにより、接続時間帯を考慮したよりキメ細かいアクセス制御を行うことができる。
【００１５】
前記の中継サーバにおいては、以下の構成とすることが好ましい。即ち、この中継サーバは、自身を管理対象とする管理側の中継サーバの識別情報を記憶する管理先情報記憶部を備える。前記グループ接続制御情報は、前記管理側の中継サーバによって記憶される。前記制御部は、オペレータからログイン要求を受け付けたときに、前記管理先情報記憶部の記憶内容に基づいて前記管理側の中継サーバにアクセスすることにより、ログイン要求を行ったオペレータによる接続が可能な前記指定中継サーバを取得する。
【００１６】
これにより、管理側の中継サーバがグループ接続制御情報を集中的に管理する構成となるため、複数の機器によってグループ接続制御情報を共有させる必要がない。従って、当該機器間におけるグループ接続制御情報の同期制御が不要となり、中継サーバで行われる処理の負荷を軽減することができる。
【００１７】
ただし、前記の中継サーバにおいては、以下のように構成することもできる。即ち、この中継サーバは、前記グループ接続制御情報を記憶するグループ接続制御情報記憶部を備える。前記制御部は、オペレータからログイン要求を受け付けたときに、前記グループ接続制御情報記憶部に記憶された前記グループ接続制御情報に基づいて、ログイン要求を行ったオペレータによる接続が可能な前記指定中継サーバを取得する。
【００１８】
即ち、上述の構成のようにグループ接続制御情報を管理側の中継サーバが集中的に管理する場合、指定中継サーバのリストが必要になる度に当該管理側の中継サーバにアクセスする必要がある。この点、上記の構成では、自身（中継サーバ）の記憶内容を参照するだけで、ログイン要求を行ったオペレータによる接続が可能な指定中継サーバを取得できる。このため、ＶＰＮを開始するまでの処理を単純にすることができる。
【００１９】
本発明の第３の観点によれば、以下の構成の中継通信システムが提供される。即ち、この中継通信システムは、複数の中継サーバと、前記中継サーバに所属するクライアント端末と、を備える。前記中継サーバのうち接続側の中継サーバとして機能する前記中継サーバは、パケット転送制御情報記憶部と、制御部と、を備える。前記パケット転送制御情報記憶部は、自身（中継サーバ）がパケットを転送可能な機器のアドレスを定めるアドレスフィルタ情報を自身の識別情報と対応付けて記憶可能であるとともに、自身と接続可能な接続対象側の中継サーバ及び当該接続対象側の中継サーバに所属するクライアント端末である接続対象側の機器がパケットを転送可能な機器のアドレスを定めるアドレスフィルタ情報を当該接続対象側の機器の識別情報と対応付けて記憶可能である。前記制御部は、自身（中継サーバ）又は自身が接続可能な他の中継サーバが記憶する情報であって、自身を含んで構成される中継通信システムにログイン可能なオペレータを含むオペレータグループの情報と、当該オペレータグループに所属するオペレータによる接続が可能な中継サーバとして指定された指定中継サーバと、を対応付けた情報であるグループ接続制御情報に基づき、ログイン要求を行ったオペレータであるログイン要求オペレータによる接続が可能な前記指定中継サーバを取得する。前記制御部は、取得した前記指定中継サーバのうち前記ログイン要求オペレータにより選択された中継サーバである選択中継サーバと、自身（中継サーバ）と、の間でルーティングセッションを確立する。前記制御部は、前記選択中継サーバが記憶する情報であって、前記オペレータグループに所属するオペレータの識別情報と、当該選択中継サーバに所属するクライアント端末のうち当該オペレータによる接続が可能な機器として指定された指定機器の識別情報と、を対応付けたオペレータ接続制御情報に基づき、当該選択中継サーバと、前記指定機器と、の間でルーティングセッションを確立させる。前記制御部は、オペレータがログイン要求を行うために操作した通信装置のアドレスを、自身（中継サーバ）の識別情報と対応付けたアドレスフィルタ情報として前記パケット転送制御情報記憶部に記憶するとともに、当該アドレスフィルタ情報を前記指定機器へ送信する。前記制御部は、前記指定機器から受信したアドレスフィルタ情報を、当該指定機器の識別情報と対応付けたアドレスフィルタ情報として前記パケット転送制御情報記憶部に記憶する。前記制御部は、自身（中継サーバ）と、前記指定機器と、の間を接続するように構成された１又は複数のルーティングセッションを利用した仮想プライベートネットワークを開始する。前記制御部は、受信したパケットの送信先が、前記パケット転送制御情報記憶部の記憶内容において、自身（中継サーバ）の識別情報と対応付けられたアドレスフィルタ情報によって指定されているときは、当該送信先にパケットを送信し、受信したパケットの送信先が前記指定機器の識別情報と対応付けられたアドレスフィルタ情報によって指定されているときは、自身（中継サーバ）と前記指定機器との間を接続するように構成された１又は複数のルーティングセッションを介して当該指定機器にパケットを送信する。
【００２０】
これにより、オペレータは、構築したＶＰＮを利用して、当該オペレータがログイン要求を行うために操作した通信装置と、指定機器がパケットを転送可能な装置と、の間で通信を行うことができる。また、グループ接続制御情報及びオペレータ接続制御情報では、接続が可能な指定中継サーバ又は指定機器が、（オペレータがログインのために操作したり使用したりした機器ではなく）オペレータグループ又はオペレータに対応付けられている。また、自身（中継サーバ）においては、自身に対応付けられたアドレスフィルタ情報を、オペレータが中継通信システムにログインするにあたって操作した通信装置のアドレスを用いてその場で作成し、これがパケットの転送のために用いられる。そのため、オペレータがログインのために操作する機器が変更されても、ログインを行うオペレータが同一であれば、以前と同一の相手を含むようなＶＰＮを容易に構築して利用することができる。更に、上記の構成では、中継サーバレベルでのアクセス制御はオペレータグループを単位として行う一方、機器レベルでのアクセス制御は、接続対象側の中継サーバ（指定中継サーバ）がそれぞれ記憶するオペレータ接続制御情報に基づき、個別のオペレータを単位として行うようになっている。従って、オペレータのアクセス制御について、設定の簡潔さとキメ細かいアクセス制御を両立させることができる。更に、指定中継サーバが記憶するオペレータ接続制御情報においては、自身が指定中継サーバになっているオペレータグループに所属するオペレータについて（のみ）、指定機器を記憶する。このように、機器レベルでの細かいアクセス制御を定めるオペレータ接続制御情報は、それぞれの指定中継サーバで分担する形で、かつ互いに独立して記憶されるため、個々の指定中継サーバにおける記憶内容の肥大化を防止できるとともに、記憶内容の同期制御も省略することができる。
【図面の簡単な説明】
【００２１】
【図１】本発明の一実施形態に係る中継通信システムの全体構成を示す説明図。
【図２】管理側の中継サーバ１の機能ブロック図。
【図３】オペレータ情報の内容を示す図。
【図４】グループ接続制御情報の内容を示す図。
【図５】接続側の中継サーバ２の機能ブロック図。
【図６】管理先情報の内容を示す図。
【図７】ルーティングセッション情報の内容を示す図。
【図８】パケット転送制御情報の内容を示す図。
【図９】接続対象側の中継サーバ３，４の機能ブロック図。
【図１０】アドレスフィルタ情報の内容を示す図。
【図１１】オペレータ接続制御情報の内容を示す図。
【図１２】接続側のクライアント端末２１の機能ブロック図。
【図１３】接続対象側のクライアント端末４２，４７の機能ブロック図。
【図１４】オペレータ１が中継サーバ２を使用してログインする場合を示す説明図。
【図１５】図１４の場合においてＶＰＮを開始する処理を示すシーケンス図。
【図１６】図１４の場合において中継サーバ２で作成されるアドレスフィルタ情報を示す図。
【図１７】図１４の場合に中継サーバ２，３で記憶されるパケット転送制御情報の内容を示す図。
【図１８】図１４の場合において、通信装置２２がファイルサーバ３１にパケットを送信するときの経路を説明する図。
【図１９】図１４の場合において、ファイルサーバ３１が通信装置２２にパケットを送信するときの経路を説明する図。
【図２０】オペレータ２が中継サーバ２を使用してログインする場合を示す説明図。
【図２１】図２０の場合においてＶＰＮを開始する処理の前半を示すシーケンス図。
【図２２】図２０の場合においてＶＰＮを開始する処理の後半を示すシーケンス図。
【図２３】図２０の場合において中継サーバ２で作成されるアドレスフィルタ情報を示す図。
【図２４】クライアント端末４７が記憶するアドレスフィルタ情報の内容を示す図。
【図２５】図２０の場合に中継サーバ２，３で記憶されるパケット転送制御情報の内容を示す図。
【図２６】図２０の場合において、通信装置２２がファイルサーバ４６にパケットを送信するときの経路を説明する図。
【図２７】図２０の場合において、ファイルサーバ４６が通信装置２２にパケットを送信するときの経路を説明する図。
【図２８】オペレータ接続制御情報の変形例を示す図。
【発明を実施するための形態】
【００２２】
次に、図面を参照して本発明の実施の形態を説明する。初めに、図１を参照して、本実施形態の中継通信システム１００の概要について説明する。図１は、本発明の一実施形態に係る中継通信システム１００の全体構成を示す説明図である。
【００２３】
図１に示すように、この中継通信システム１００は、Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ（ＷＡＮ、広域通信網）８０に接続された複数の中継サーバ１，２，３，４と、中継サーバ１，２，３，４とＬＡＮ１０，２０，３０，４０，４５，４８を介して接続されるクライアント端末１１，２１，４２，４７，・・・と、で構成されている。ＬＡＮ１０，２０，３０，４８は、それぞれ物理的に離れた場所に配置されている。また、本実施形態ではＷＡＮ８０としてインターネットが使用されている。
【００２４】
次に、それぞれのＬＡＮを説明する。図１に示すように、ＬＡＮ１０には、中継サーバ１と、クライアント端末１１と、が接続されている。ＬＡＮ２０には、中継サーバ２と、クライアント端末２１と、通信装置２２，２３と、が接続されている。ＬＡＮ３０には、中継サーバ３と、ファイルサーバ３１と、が接続されている。ＬＡＮ４８には、中継サーバ４が接続されている。
【００２５】
ＬＡＮ３０には、ルータ３２を介して別のＬＡＮ４０が接続されるとともに、ルータ３３を介して更に別のＬＡＮ４５が接続されている。ＬＡＮ４０には、ファイルサーバ４１と、クライアント端末４２と、が接続されている。ＬＡＮ４５には、ファイルサーバ４６と、クライアント端末４７と、が接続されている。
【００２６】
なお、図１には一部だけが図示されているが、ＬＡＮ２０，３０には多数のクライアント端末等が配置されているものとする。また、中継サーバ４に接続されるＬＡＮ４８においても、図示しない多数のクライアント端末等が配置されている。
【００２７】
この中継通信システム１００を運用するにあたっては、ＬＡＮ２０が設置されている場所にオペレータを待機させている。ＬＡＮ３０，４０，４５には、当該オペレータがメンテナンス等を行う対象であるファイルサーバ３１，４１，４６が配置されている。また、ＬＡＮ４８にも、図示しないメンテナンス対象機器が配置されている。
【００２８】
また、ＬＡＮ１０が設置されている場所はオペレータによるメンテナンス業務を管理する拠点となっており、中継サーバ１には、中継サーバ単位でのオペレータのアクセス権限を定める情報が（後述のグループ接続制御情報として）予め設定されている。オペレータは、通信装置２２，２３等を用いて、オペレータ自身が有するアクセス権限の範囲内でファイルサーバ３１，４１，４６等にアクセスし、リモートメンテナンスを行う。
【００２９】
このように、本実施形態の中継通信システム１００は、ＬＡＮ２０側からＬＡＮ３０，４０，４５，４８側へ接続して各種の作業を行うためのものであって、逆方向の接続は想定されていない。このことから、以下の説明では、ＬＡＮ２０を「接続側」と、ＬＡＮ３０，４０，４５，４８を「接続対象側」と、それぞれ称することがある。また、中継通信システム１００の各種管理作業はＬＡＮ１０に接続される機器で行われることから、以下の説明では、このＬＡＮ１０を「管理側」と称することがある。
【００３０】
また、接続側のＬＡＮ２０に接続された中継サーバ（中継サーバ２）を接続側の中継サーバと称し、接続対象側のＬＡＮ３０，４８に接続された中継サーバ（中継サーバ３，４）を接続対象側の中継サーバと称することがある。更に、接続側の中継サーバと、当該中継サーバに所属するクライアント端末と、をまとめて、接続側の機器と称することがある。また、接続対象側の中継サーバと、当該中継サーバに所属するクライアント端末と、をまとめて、接続対象側の機器と称することがある。
【００３１】
次に、図２から図１１までを参照して、中継サーバ１〜４について説明する。図２は、管理側の中継サーバ１の機能ブロック図である。図５は、接続側の中継サーバ２の機能ブロック図である。図９は、接続対象側の中継サーバ３，４の機能ブロック図である。また、図４、図６から図８まで、図１０、図１１には、それぞれの中継サーバが記憶する情報の例が示されている。
【００３２】
図１に示すように、それぞれの中継サーバ１〜４はＬＡＮ１０，２０，３０，４８だけでなくＷＡＮ８０にも接続されている。また、各中継サーバ１〜４にはプライベートＩＰアドレスに加えてグローバルＩＰアドレスが付与されている。従って、各中継サーバ１〜４は、自身と同一のＬＡＮに接続されたクライアント端末と通信可能であるだけでなく、他のＬＡＮに配置された中継サーバと通信可能となっている。
【００３３】
また、本実施形態の中継通信システム１００において、当該システムに含まれる中継サーバのうち１つの中継サーバが管理側の中継サーバとして動作し、その他の中継サーバが接続側と接続対象側とに分かれて動作するように構成されている。具体的には、本実施形態では、中継サーバ１が管理側の中継サーバとして、中継サーバ２が接続側の中継サーバとして、中継サーバ３，４が接続対象側の中継サーバとして、それぞれ動作するように予め設定されている。以下では、管理側の中継サーバ１、接続側の中継サーバ２、接続対象側の中継サーバ３，４の順で説明する。
【００３４】
管理側の中継サーバ１は、図２に示すように、記憶部５０と、制御部６０と、インタフェース部７０と、を備えている。
【００３５】
インタフェース部７０は、プライベートＩＰアドレスを利用して、ＬＡＮ１０内の端末に対して通信を行うことができる。また、インタフェース部７０は、グローバルＩＰアドレスを利用して、ＷＡＮ８０を経由した通信を行うことができる。
【００３６】
制御部６０は、例えば制御及び演算の機能を有するＣＰＵであり、記憶部５０から読み出したプログラムにより各種の処理を実行可能である。この制御部６０は、ＴＣＰ／ＩＰ、ＵＤＰ、ＳＩＰ等のプロトコルに従った様々な通信を制御することができる。図２に示すように、制御部６０は、インタフェースドライバ６１と、ＬＡＮ側ＩＰパケット処理部６２と、通信制御部６３と、ＷＡＮ側ＩＰパケット処理部６４と、を備えている。
【００３７】
インタフェースドライバ６１は、インタフェース部７０を制御するドライバソフトウェアである。ＬＡＮ側ＩＰパケット処理部６２は、ＬＡＮ１０から受信したパケットに適宜の処理を行って通信制御部６３に出力する。ＷＡＮ側ＩＰパケット処理部６４は、ＷＡＮ８０から受信したパケットに適宜の処理を行って通信制御部６３に出力する。
【００３８】
通信制御部６３は、受信したパケットについて、当該パケットが示す情報と記憶部５０に記憶された情報とに基づいて送信先を決定し、決定した送信先へ当該パケットを送信する（パケット転送制御）。また、通信制御部６３は、他の機器から受信した情報に基づいて、記憶部５０の記憶内容を更新することができる。
【００３９】
記憶部５０は、例えばハードディスク又は不揮発性ＲＡＭで構成されており、各種の情報を保存可能である。記憶部５０は、オペレータ情報記憶部５２と、グループ接続制御情報記憶部５３と、を備えている。以下、図３及び図４を参照して、記憶部５０の記憶内容について説明する。図３は、オペレータ情報の内容を示す図である。図４は、グループ接続制御情報の内容を示す図である。
【００４０】
オペレータ情報記憶部５２は、中継通信システム１００にログイン可能なオペレータの識別情報と、オペレータの現在の利用状況等を示す情報と、を含むオペレータ情報を記憶している。
【００４１】
図３に示すように、オペレータ情報においては、「オペレータＩＤ」の列において、中継通信システム１００にログイン可能なオペレータＩＤが記述されている。このオペレータＩＤは、オペレータ毎に設定される固有の文字列で構成されている。また、「パスワード」の列では、同じ行に記述されたオペレータＩＤを使用して中継通信システム１００にログインするために必要なパスワードが記述されている。各オペレータは、自身に設定されたオペレータＩＤ及びパスワードを用いて、中継通信システム１００にログインすることができる。
【００４２】
「使用機器情報」の列では、同じ行に記述されたオペレータＩＤを使用してオペレータが中継通信システム１００にログイン済みである場合に、当該オペレータが中継通信システム１００へのログインに使用している中継通信システム１００側の機器（具体的には、通信装置２２，２３ではなく、中継サーバ２又はクライアント端末２１を示す。以下、使用機器と称する）に関する情報である使用機器情報が記述されている。なお、オペレータがログインしていない場合は、「使用機器情報」は空欄となる。従って、図３の例からは、オペレータＩＤがＯｐ１，Ｏｐ２であるオペレータは中継通信システム１００にログインしており、オペレータＩＤがＯｐ３，Ｏｐ４であるオペレータは中継通信システム１００にログインしていないことが分かる。
【００４３】
以下、オペレータが中継通信システム１００にログインするときの流れを簡単に説明する。例えば、接続側にいるオペレータ２が中継通信システム１００へのログインを希望する場合、当該オペレータ２は適当な通信装置（例えば、通信装置２２）を操作して中継サーバ２にアクセスし、所定のログイン画面においてオペレータＩＤ（Ｏｐ２）とパスワードを入力することで、中継通信システム１００へのログイン要求を行うことができる。このログイン要求を受け付けた接続側の中継サーバ２は、この入力内容を管理側の中継サーバ１に送信する。入力内容を受信した管理側の中継サーバ１は、オペレータが入力したオペレータＩＤ及びパスワードについて、オペレータ情報記憶部５２が記憶するオペレータ情報（図３）と照合することで認証を行い、ログインの可否を決定する。ログインの可否は、オペレータが操作する通信装置２２に表示される。
【００４４】
ログインが許可された場合、管理側の中継サーバ１において、オペレータ情報記憶部５２が記憶するオペレータ情報（図３）のうち「使用機器情報」の欄が更新される。今回の例では、オペレータ２が通信装置２２を操作することにより中継サーバ２を使用してログインしたので、当該中継サーバ２の識別情報が、当該オペレータ２のオペレータＩＤ（Ｏｐ２）に対応する使用機器情報に記述される。
【００４５】
なお、上記ではオペレータが中継サーバ２を使用してログインする例を示したが、オペレータはクライアント端末を使用してログインすることもできる。この場合、上記の使用機器情報は、当該クライアント端末の識別情報と、当該クライアント端末の所属先である中継サーバの識別情報と、の両方となる。例えば、オペレータ１が通信装置２３を操作してクライアント端末２１にアクセスし、上記と同様にオペレータＩＤ及びパスワードを入力することでも、中継通信システム１００にログインすることができる。ログインに成功した場合は、図３に示すように、オペレータ情報においてオペレータＩＤがＯｐ１である行の使用機器情報には、オペレータ１がログインに使用した当該クライアント端末２１の識別情報及び中継サーバ２の識別情報が記述される。
【００４６】
オペレータ情報記憶部５２が記憶するオペレータ情報（図３）のうち、ログイン可能なオペレータＩＤの一覧と、当該オペレータＩＤ毎に設定されるパスワードと、は各オペレータ及び管理者等によって予め設定されている。一方、使用機器情報は、オペレータがログイン又はログアウトする度に最新の情報に更新される。
【００４７】
グループ接続制御情報記憶部５３は、中継通信システム１００を利用可能な１又は複数のオペレータから構成されるオペレータグループを定義するとともに、オペレータにより接続可能な接続対象側の中継サーバを前記オペレータグループ毎に定めるグループ接続制御情報を記憶している。
【００４８】
図４に示すグループ接続制御情報においては、「オペレータグループＩＤ」の列において、予め登録されたオペレータグループの識別情報が記述されている。「オペレータＩＤ」の列には、当該オペレータグループを構成するオペレータを示すオペレータＩＤの一覧が記述されている。更に、「指定中継サーバＩＤ」の列には、そのオペレータグループに所属するオペレータにより接続可能な接続対象側の中継サーバの識別情報が記述されている。なお、以下の説明では、前記グループ接続制御情報において、オペレータによる接続が可能な中継サーバとして指定された中継サーバを、「指定中継サーバ」と呼ぶことがある。
【００４９】
ここで、オペレータ２（オペレータＩＤがＯｐ２であるオペレータ）が通信装置２２を操作して中継サーバ２にアクセスし、当該中継サーバ２を使用して中継通信システム１００にログインした場合を考える。図４のグループ接続制御情報を参照すると、オペレータＩＤがＯｐ２であるオペレータは、オペレータグループＩＤがＷｏｒｋＧｒｏｕｐ１であるオペレータグループに所属するとともに、オペレータグループＩＤがＷｏｒｋＧｒｏｕｐ２であるオペレータグループにも所属している。
【００５０】
また、図４のグループ接続制御情報から、オペレータグループＩＤがＷｏｒｋＧｒｏｕｐ１であるオペレータグループに所属するオペレータは、接続対象側の中継サーバ３に接続することができ、オペレータグループＩＤがＷｏｒｋＧｒｏｕｐ２であるオペレータグループに所属するオペレータは、接続対象側の中継サーバ４に接続できることが分かる。従って、管理側の中継サーバ１は、オペレータ２が接続可能な中継サーバの識別情報（中継サーバ３及び中継サーバ４の識別情報）を、中継サーバ２に送信する。中継サーバ２は、受信した中継サーバの識別情報に基づき、オペレータ２が接続可能な中継サーバのリストを作成して、通信装置２２のディスプレイに表示させる。
【００５１】
オペレータは通信装置２２を操作して、上記の中継サーバのリストから、接続を希望する中継サーバを選択する。ここでは、ユーザが中継サーバ３を選択したとする。なお、以下の説明では、上記のように、図４のグループ接続制御情報において、中継通信システム１００にログインしたオペレータが属するオペレータグループに対応する前記指定中継サーバのうち、当該オペレータが選択した中継サーバを、「選択中継サーバ」と呼ぶことがある。
【００５２】
以上の操作により、オペレータ２は、この中継サーバ２（前記使用機器）と、指定中継サーバのうち当該オペレータ２が選択した中継サーバ３（選択中継サーバ）と、の接続を利用することができる。言い換えれば、オペレータ２は、中継サーバ２（使用機器）と中継サーバ３（選択中継サーバ）との間で、パケットの転送のためのセッションであるルーティングセッションを形成させるとともに、このルーティングセッションを利用して仮想プライベートネットワーク（ＶＰＮ）を構築することができる。このＶＰＮでは、中継サーバ２から送信されるパケットは、中継サーバ３を経由して、目的の機器（例えば、ファイルサーバ３１）に到達することになる。
【００５３】
また、詳細は後述するが、選択中継サーバ（例えば、中継サーバ３）の設定内容によっては、オペレータ２は更に、この中継サーバ３と、当該中継サーバ３に所属する所定のクライアント端末（例えば、クライアント端末４７）と、の接続を利用することもできるようになっている。この場合、オペレータ２は、中継サーバ２（使用機器）と中継サーバ３（選択中継サーバ）の間、及び、中継サーバ３（選択中継サーバ）とクライアント端末４７（選択中継サーバに所属するクライアント端末）の間にそれぞれルーティングセッションを形成させるとともに、この２つのルーティングセッションを利用してＶＰＮを構築することができる。このＶＰＮでは、中継サーバ２から送信されるパケットは、中継サーバ３及びクライアント端末４７を経由して、目的の機器（例えば、ファイルサーバ４６）に到達することになる。
【００５４】
次に、接続側の中継サーバ２について図５を参照して説明する。この接続側の中継サーバ２は、記憶部５０と、制御部６０と、インタフェース部７０と、を備える。制御部６０及びインタフェース部７０の構成は、管理側の中継サーバ１の構成と同様である。一方、接続側の中継サーバ２における記憶部５０の記憶内容は、管理側の中継サーバ１の場合と一部異なっている。
【００５５】
以下、具体的に説明する。接続側の中継サーバ２の記憶部５０は、管理先情報記憶部５４と、ルーティングセッション情報記憶部５５と、パケット転送制御情報記憶部５６と、を備えている。
【００５６】
管理先情報記憶部５４は、自身（中継サーバ２）を管理対象とする中継サーバの識別情報を管理先情報として記憶している。本実施形態では図６に示すように、中継サーバ１の識別情報が管理先情報として記述されている。これは、接続側の中継サーバ２が管理側の中継サーバ１によって管理されることを意味する。
【００５７】
中継サーバ２は、この管理先情報記憶部５４の記憶内容を参照することにより、例えばオペレータのログインの可否を問い合わせたり、オペレータに対応する指定中継サーバの識別情報を取得したりするために、管理側の中継サーバ１にアクセスすることができる。なお、メンテナンス等の理由で管理側の中継サーバが変更された場合は、その旨が管理対象の機器（中継サーバ及びクライアント端末）に通知され、管理先情報記憶部５４の記憶内容が更新されることになる。
【００５８】
ルーティングセッション情報記憶部５５は、中継サーバ２が自身と他の機器との間でパケットの転送のための前記ルーティングセッションを形成する場合に、自身の識別情報と、当該ルーティングセッションの相手となる機器の識別情報と、を対応付けたルーティングセッション情報を記憶している。なお、以下の説明では、他の機器とルーティングセッションを形成してパケットの転送を行う機器をルーティング機器と称することがある。
【００５９】
図７には、中継サーバ２と中継サーバ３とでルーティングセッションを形成する場合のルーティングセッション情報記憶部５５の記憶内容が示されている。このルーティングセッション情報において、自身、及びルーティングセッションの相手の機器は、ルーティングセッション確立処理において通信制御を最初に行う側（始点）と、その通信制御を受ける側（終点）と、に分けて記述されている。
【００６０】
ここで、接続側の機器と接続対象側の機器とでルーティングセッションを確立する場合、必ず接続側の機器が通信制御を最初に行うようになっている。一方、接続対象側の中継サーバとそれに所属するクライアント端末とでルーティングセッションを確立する場合、必ず中継サーバが通信制御を最初に行うようになっている。このように通信制御の始点となるべき機器が統一的なルールによって定められているので、通信制御の衝突を防止することができる。
【００６１】
パケット転送制御情報記憶部５６は、オペレータが中継サーバ２にログインした結果として当該中継サーバ２が他の機器との間でルーティングセッションを形成し（即ち、中継サーバ２が前記ルーティング機器として機能し）、このルーティングセッションを利用したＶＰＮが構築された場合に、どのような送信先を有するパケットであれば中継サーバ２が当該パケットの転送を行うのかを示すパケット転送制御情報を記憶している。
【００６２】
なお、本実施形態では、中継サーバがルーティング機器として機能することも、クライアント端末がルーティング機器として機能することもできるようになっているが、中継サーバ２のパケット転送制御情報記憶部５６は、当該中継サーバ２がルーティング機器として機能する場合に使用されるものである。
【００６３】
図８には、パケット転送制御情報記憶部５６の記憶内容の概要が例示されている。図８において、右側の「アドレスフィルタ情報」の列は、転送が許可されるパケットの送信先を示している。パケット転送制御情報は、図８に示すように、複数のアドレスフィルタ情報を組み合わせて構成される。
【００６４】
本実施形態では、アドレスフィルタ情報は、機器（パケットのルーティング対象）のアドレスを示すアドレスフィルタと、それに付与された名称と、を対応付けた情報となっている。図８の例では、アドレスフィルタは１つの機器を示すように記述されているが、例えばネットマスクを用いる等して、ネットワーク全体を示すようなアドレスフィルタとすることもできる。アドレスフィルタに対応付ける名称としては、アドレスが示す機器（あるいはネットワーク）の名称、あるいは当該機器を利用しているオペレータの名称等、分かり易い適宜の名称を付与することができる。
【００６５】
図８の例に照らして説明すると、中継サーバ２がルーティング機器として機能する場合、当該中継サーバ２が受信したパケットの送信先が、ファイルサーバ３１又はオペレータ２（厳密にいえば、オペレータ２が操作する通信装置２２）であれば、中継サーバ２は当該パケットを他の機器へ転送する。この場合の転送先としては、ルーティングセッションを形成した相手である他のルーティング機器である場合と、パケットの送信先そのものである場合と、の２通りが考えられる。一方で、パケットの送信先が上記の機器の何れでもない場合は、当該パケットを転送しない。
【００６６】
このように、前記パケット転送制御情報、及びそれを構成するアドレスフィルタ情報は、パケットの転送の可否をその送信先に基づいて判断する（パケットをフィルタリングする）ために用いられる。
【００６７】
図８の左側の「ルーティング機器ＩＤ」の列は、右側の列で示されるパケットの送信先（アドレスフィルタ情報）に対して、パケットを直接的に送信可能なルーティング機器を示している。ここで、「直接的に送信可能」とは、ルーティング機器が、他のルーティング機器を経由させずに、その送信先にパケットを送信可能であることをいう。
【００６８】
図８の表に示すように、パケット転送制御情報記憶部５６において、アドレスフィルタ情報は、当該アドレスフィルタ情報が示す送信先に対してパケットを直接的に送信可能なルーティング機器（自身を含む）に対応付けられた形で記憶される。従って、図８のパケット転送制御情報は、転送を許可するパケットをフィルタリングする際に参照されるだけでなく、パケットの転送経路を決定する（パケットをルーティングする）目的でも用いられる。
【００６９】
即ち、図８の例に照らせば、中継サーバ２が受信したパケットの送信先が、オペレータ２が使用している通信装置２２である場合は、中継サーバ２は他のルーティング機器を介さず当該パケットを通信装置２２に送信することができる。従って、中継サーバ２は、受信したパケットを通信装置２２に転送する。
【００７０】
一方で、中継サーバ２が受信したパケットの送信先がファイルサーバ３１である場合は、図８によると、当該パケットをファイルサーバ３１に届けるためには、他のルーティング機器である中継サーバ３を経由させなければならないことが分かる。従って、中継サーバ２は先ずパケットを中継サーバ３に転送する。このパケットを受信した中継サーバ３は、ルーティング機器として機能し、当該パケットを更にファイルサーバ３１へ転送する。
【００７１】
次に、接続対象側の中継サーバ３，４について図９を参照して説明する。なお、中継サーバ３，４の構成は互いに同一であるため、以下では代表して中継サーバ３について説明する。
【００７２】
この中継サーバ３は、記憶部５０と、制御部６０と、インタフェース部７０と、を備える。制御部６０及びインタフェース部７０の構成は、接続側の中継サーバ２の構成と同様である。一方、接続対象側の中継サーバ３における記憶部５０の記憶内容は、接続側の中継サーバ２の場合と一部異なっている。
【００７３】
以下、具体的に説明する。接続側の中継サーバ３の記憶部５０は、ルーティングセッション情報記憶部５５と、パケット転送制御情報記憶部５６と、アドレスフィルタ情報記憶部５７と、オペレータ接続制御情報記憶部５８と、を備えている。
【００７４】
ルーティングセッション情報記憶部５５、及びパケット転送制御情報記憶部５６は、接続側の中継サーバ２の構成と同様であるので、説明を省略する。
【００７５】
アドレスフィルタ情報記憶部５７は、自身が前記ルーティング機器として機能する場合に、自身がパケットを直接的に送信可能な機器を示すアドレスフィルタ情報を記憶する。
【００７６】
図１０には、中継サーバ３のアドレスフィルタ情報記憶部５７が記憶するアドレスフィルタ情報の例が示されている。この例では、中継サーバ３がパケットを直接的に送信可能な機器がファイルサーバ３１であることが記述されている。前述のとおり、アドレスフィルタ情報は、機器のアドレスを示すアドレスフィルタと、このアドレスフィルタに対応する名称と、を含んでいる。
【００７７】
中継サーバ３のアドレスフィルタ情報記憶部５７が記憶するアドレスフィルタ情報は、当該中継サーバ３が、接続側のルーティング機器（中継サーバ２又はクライアント端末２１）とルーティングセッションを形成するときに、その接続側（相手側）のルーティング機器に送信される。送信されたアドレスフィルタ情報は、接続側のルーティング機器が上述のパケット転送制御情報を作成するのに用いられる。
【００７８】
このアドレスフィルタ情報記憶部５７の記憶内容（アドレスフィルタ情報）は、中継サーバ３に対して適宜の操作を行うことで、事前に設定しておくことができる。即ち、中継サーバ３と同一のＬＡＮ３０に接続されている機器を選択した上で、そのアドレス及び適当な名称をアドレスフィルタ情報としてアドレスフィルタ情報記憶部５７に設定しておくことで、当該機器は、接続側の機器からのリモートメンテナンスを受けることができるようになる。
【００７９】
オペレータ接続制御情報記憶部５８は、管理側の中継サーバ１のグループ接続制御情報記憶部５３が記憶するグループ接続制御情報（図２及び図４を参照）において、あるオペレータグループに対応する指定中継サーバが自身となっている場合に、そのオペレータグループに所属するオペレータが接続可能な接続対象側の機器をオペレータ毎に指定するオペレータ接続制御情報を記憶している。
【００８０】
図１１に示すオペレータ接続制御情報においては、「オペレータＩＤ」の列において、オペレータの識別情報が記述されている。更に、「指定機器ＩＤ」の列には、そのオペレータにより接続可能な接続対象側の機器の識別情報が記述されている。
【００８１】
以下の説明では、このようにオペレータが接続可能な機器として指定された接続対象側の機器を、指定機器と称することがある。この指定機器は、接続対象側の中継サーバである場合と、その中継サーバに所属するクライアント端末である場合と、の２通りが考えられる。
【００８２】
図１１では、中継サーバ３のオペレータ接続制御情報記憶部５８が記憶するオペレータ接続制御情報の例が示されている。この例で、「オペレータＩＤ」の列には、オペレータの識別情報としてＯｐ１，Ｏｐ２，Ｏｐ３が記述されている。これらのオペレータは、図４のグループ接続制御情報において中継サーバ３を指定するオペレータグループ（オペレータグループＩＤがＷｏｒｋＧｒｏｕｐ１であるオペレータグループ）に所属している。
【００８３】
なお、オペレータグループＩＤがＷｏｒｋＧｒｏｕｐ２であるオペレータグループにおいては、グループ接続制御情報において中継サーバ３ではなく中継サーバ４が指定されている（図４を参照）。従って、オペレータグループＩＤがＷｏｒｋＧｒｏｕｐ２であるオペレータグループに所属するオペレータ（例えば、オペレータＩＤがＯｐ４であるオペレータ）は、中継サーバ３のオペレータ接続制御情報記憶部５８においては記憶されず、中継サーバ４が備えるオペレータ接続制御情報記憶部５８に記憶されることになる。このように、各中継サーバ３，４のオペレータ接続制御情報記憶部５８は、自身が指定中継サーバとなっているオペレータグループに所属しているオペレータのみに関するオペレータ接続制御情報を記憶する。従って、オペレータ接続制御情報を、中継サーバ３，４で内容を分担する形で独立的に記憶することができるので、各中継サーバ３，４における記憶内容の肥大化を防止することができるとともに、記憶内容の同期制御も省略することができる。
【００８４】
「指定機器ＩＤ」の列には、それぞれのオペレータの識別情報に対応して、指定機器の識別情報が指定されている。図１１の例によれば、オペレータＩＤがＯｐ１であるオペレータは中継サーバ３を利用でき、オペレータＩＤがＯｐ２であるオペレータはクライアント端末４７を利用でき、オペレータＩＤがＯｐ３であるオペレータは中継サーバ３とクライアント端末４２を利用することができる。
【００８５】
このグループ接続制御情報において、オペレータに対応付けられた指定機器が中継サーバ３以外の機器（例えばクライアント端末４７）である場合は、当該オペレータは、中継サーバ３と当該指定機器との間に形成されたルーティングセッションを利用することができる。
【００８６】
ここで、前述の例と同じく、オペレータ２（オペレータＩＤがＯｐ２であるオペレータ）が通信装置２２を操作して中継サーバ２にアクセスし、当該中継サーバ２を使用して中継通信システム１００にログインした場合を考える。管理側の中継サーバ１のグループ接続制御情報記憶部５３が記憶するグループ接続制御情報（図４）を参照すると、オペレータＩＤがＯｐ２であるオペレータが所属するオペレータグループに対しては、中継サーバ３が指定されている（中継サーバ３が指定中継サーバになっている）。従って、オペレータ２は、中継サーバ２と中継サーバ３との間に形成されたルーティングセッションを利用することができる。
【００８７】
また、指定中継サーバである中継サーバ３のオペレータ接続制御情報記憶部５８が記憶するオペレータ接続制御情報（図１１）を参照すると、オペレータＩＤがＯｐ２であるオペレータは、クライアント端末４７に接続することができる。従って、オペレータ２は、中継サーバ３とクライアント端末４７との間に形成されたルーティングセッションを利用することができる。
【００８８】
結果として、オペレータ２は、中継サーバ２とクライアント端末４７の間を２つのルーティングセッションによって接続し、これらのルーティングセッションを利用してＶＰＮを構築することができる。
【００８９】
このように、本実施形態の中継通信システム１００では、管理側の中継サーバ１が記憶するグループ接続制御情報と、指定中継サーバである接続対象側の中継サーバ３が記憶するオペレータ接続制御情報と、を組み合わせて、それぞれのオペレータが接続対象側の機器のうちどれをルーティング機器としてＶＰＮを構築できるかを定めている。
【００９０】
ここで、管理側の中継サーバ１が記憶するグループ接続制御情報記憶部５３においては、接続が許可される中継サーバ（指定中継サーバ）が、（接続側の中継サーバやクライアント端末の識別情報ではなく）オペレータグループＩＤと対応付けられている。また、指定中継サーバである接続対象側の中継サーバ３が記憶するオペレータ接続制御情報記憶部５８においては、接続が許可される機器（指定機器）が、（接続側の中継サーバやクライアント端末の識別情報ではなく）オペレータＩＤと対応付けられている。
【００９１】
このため、オペレータ２がログイン時に使用した機器が異なる場合においても、接続可能な機器は上記と同じである。例えば、仮にオペレータ２が通信装置２３を操作してクライアント端末２１にアクセスし、当該クライアント端末２１を使用して中継通信システム１００にログインしたときは、当該オペレータ２は、このクライアント端末２１と中継サーバ３との間に形成されたルーティングセッションと、中継サーバ３とクライアント端末４７との間に形成されたルーティングセッションと、を利用してＶＰＮを構築することができる。
【００９２】
次に、クライアント端末２１，４２，４７について、図１２及び図１３を参照して説明する。図１２は、接続側のクライアント端末２１の機能ブロック図である。図１３は、接続対象側のクライアント端末４２，４７の機能ブロック図である。
【００９３】
図１２及び図１３に示すように、クライアント端末２１，４２，４７は、記憶部５０と、制御部６０と、インタフェース部７０と、を備えている。制御部６０及びインタフェース部７０は中継サーバ１〜４とほぼ同様に構成されているが、クライアント端末２１，４２，４７はＷＡＮ８０に接続されないため、中継サーバ１〜４に備えられていたＷＡＮ側ＩＰパケット処理部６４がクライアント端末２１，４２，４７では省略されている。
【００９４】
クライアント端末２１，４２，４７のうち、ＬＡＮ２０に接続されるクライアント端末（接続側のクライアント端末）２１においては、記憶部５０は、図１２に示すように、所属中継サーバ情報記憶部５９と、ルーティングセッション情報記憶部５５と、パケット転送制御情報記憶部５６と、を備えている。
【００９５】
一方、ＬＡＮ４０又はＬＡＮ４５に接続されるクライアント端末（接続対象側のクライアント端末）４２，４７においては、記憶部５０は、図１３に示すように、所属中継サーバ情報記憶部５９と、ルーティングセッション情報記憶部５５と、パケット転送制御情報記憶部５６と、アドレスフィルタ情報記憶部５７と、を備えている。
【００９６】
所属中継サーバ情報記憶部５９は、自機が所属する中継サーバの識別情報を記憶する。従って、例えばクライアント端末２１においては中継サーバ２の識別情報が、クライアント端末４２，４７においては中継サーバ３の識別情報が、所属中継サーバ情報記憶部５９に記憶されることになる。
【００９７】
また、ルーティングセッション情報記憶部５５、パケット転送制御情報記憶部５６、及びアドレスフィルタ情報記憶部５７は、中継サーバ１〜４の部分で説明した構成と同様であるので、説明を省略する。
【００９８】
次に、それぞれのルーティング機器（中継サーバ及びクライアント端末）において、図８に示すような前記パケット転送制御情報を作成する処理について説明する。
【００９９】
パケット転送制御情報は、上述のとおり、ＶＰＮの実現のためにルーティング機器が行うパケット転送制御のルールを定めるものである。一方、本実施形態の中継通信システム１００では、構成機器が互いに異なるＶＰＮを複数構築することができる。このような中継通信システム１００を実現するために、中継サーバ及びクライアント端末が備えるパケット転送制御情報記憶部５６は、パケット転送制御情報をＶＰＮ毎に記憶できるようになっている。即ち、新しいＶＰＮが構築される毎に、新しいパケット転送制御情報が作成されて、これがルーティング機器のパケット転送制御情報記憶部５６に記憶されることになる。
【０１００】
ＶＰＮのための１又は複数の前記ルーティングセッションは、オペレータが中継通信システム１００へのログインに使用した使用機器と、そのオペレータに対応する指定機器と、の間を繋ぐように形成される。即ち、ＶＰＮを作成するにあたっては、ルーティング機器として機能する前記使用機器及び指定機器のそれぞれにおいて、図８に示すようなパケット転送制御情報を作成してパケット転送制御情報記憶部５６に記憶することになる。
【０１０１】
このため、ＶＰＮの構築時には、ルーティング機器として機能することになった中継サーバ又はクライアント端末は、自身に対応付けられたアドレスフィルタ情報を相手側のルーティング機器に送信できるようになっている。このアドレスフィルタ情報の交換により、それぞれのルーティング機器は、自身に対応付けられたアドレスフィルタ情報と他のルーティング機器に対応付けられたアドレスフィルタ情報を合成して、図８に示すようなパケット転送制御情報を作成し、自身が備えるパケット転送制御情報記憶部５６に記憶する。
【０１０２】
このとき、自身に対応付けられたアドレスフィルタ情報としては、自身（ルーティング機器）が使用機器であるか指定機器であるか（言い換えれば、接続側か接続対象側か）に応じて、異なるものが採用される。即ち、接続対象側に配置され、ルーティング機器として機能する可能性がある中継サーバ３及びクライアント端末４２，４７は、図９及び図１３に示すアドレスフィルタ情報記憶部５７に、自身がパケットを直接的に送信可能な装置を示すように予め設定されたアドレスフィルタ情報（以下、事前設定アドレスフィルタ情報と呼ぶことがある）を記憶している。例えば、中継サーバ３が備えるアドレスフィルタ情報記憶部５７は、図１０に示す事前設定アドレスフィルタ情報を記憶している。そして、中継サーバ３又はクライアント端末４２，４７は、自身が指定機器（ルーティング機器）として機能する場合、ＶＰＮの構築時に、前記事前設定アドレスフィルタ情報を、自身に対応付けられたアドレスフィルタ情報とする。
【０１０３】
一方、接続側に配置される中継サーバ２及びクライアント端末２１は、図５及び図１２に示すように、前記事前設定アドレスフィルタ情報を記憶するアドレスフィルタ情報記憶部を備えていない。この理由は、接続対象側ではメンテナンスを受ける可能性がある機器は殆ど変化しないのに対し、接続側でオペレータがメンテナンス作業のために操作する通信装置は状況に応じて頻繁に変化するので、そのアドレスを事前に設定するのは現実的でないからである。
【０１０４】
従って、接続側の中継サーバ２又はクライアント端末２１は、オペレータがログインのために操作した通信装置がＶＰＮによる通信を行うことができるように、自身に対応するアドレスフィルタ情報をその場で作成するようになっている。即ち、接続側の中継サーバ２又はクライアント端末２１をオペレータがログインに使用した結果、ルーティング機器として機能することになった場合、中継サーバ２又はクライアント端末２１は、ＶＰＮの構築時に、自身へのログインのためにオペレータによって直接操作された機器のアドレスを示すように、自身に対応付けられたアドレスフィルタ情報を作成する。なお、このとき作成されるアドレスフィルタ情報において、当該アドレスフィルタにはオペレータの名前が付与される。これにより、接続先を分かり易く管理することができる。
【０１０５】
次に、オペレータが中継通信システム１００にログインしてＶＰＮを構築するときの具体的な流れを説明する。最初に、オペレータ１が中継サーバ２を使用してシステムにログインする例を、図１４及び図１５を参照して説明する。図１４は、オペレータ１がログインしてＶＰＮを開始する場合を示すネットワーク図である。図１５は、オペレータ１がログインしてＶＰＮを開始する場合の処理を示すシーケンス図である。
【０１０６】
図１４に示すように、接続側のＬＡＮ２０において、オペレータ１が通信装置２２に適宜の操作を行って中継サーバ２にアクセスし、当該中継サーバ２を使用機器としたログイン要求を行った場合を考える。このログイン要求では、オペレータＩＤとパスワードの入力が求められる。そして、オペレータ１が、自身に対応するオペレータＩＤ（Ｏｐ１）及びパスワード（ａｂｃ）を入力して、入力内容を確定させることにより、接続側の中継サーバ２はログイン要求を受け付ける（図１５のシーケンス番号１）。そして、中継サーバ２は、入力されたオペレータＩＤ、パスワード、及び使用機器情報（具体的には、中継サーバ２の識別情報）とともに、ログイン要求を管理側の中継サーバ１に対して送信する（シーケンス番号２）。
【０１０７】
このログイン要求等を受信した管理側の中継サーバ１は、オペレータ情報記憶部５２が記憶するオペレータ情報（図３）に基づいて、オペレータＩＤとパスワードの認証を行う（シーケンス番号３）。また、中継サーバ１は、同一のオペレータＩＤでの多重ログインを防止するために、入力されたオペレータＩＤを使用したログインが他に行われているか否かを判定する（シーケンス番号４）。そして、オペレータの認証に成功し、かつ多重ログインが行われていない場合、管理側の中継サーバ１はログインを許可し、オペレータ情報記憶部５２のオペレータ情報（図３）を更新する（シーケンス番号５）。つまり、オペレータ情報記憶部５２に、オペレータ１の識別情報（Ｏｐ１）と対応する使用機器情報として中継サーバ２の識別情報を記憶させる。
【０１０８】
そして、管理側の中継サーバ１は、グループ接続制御情報記憶部５３が記憶するグループ接続制御情報を参照し、ログインを許可したオペレータ１による接続が可能な中継サーバのリストを読み出す（シーケンス番号６）。今回の例では、図４に示すグループ接続制御情報において、オペレータ１が所属するオペレータグループには、中継サーバ３が対応付けられている。従って、管理側の中継サーバ１は、指定中継サーバである中継サーバ３の識別情報を、ログインを許可する旨とともに、中継サーバ２に対して送信する（シーケンス番号７）。
【０１０９】
中継サーバ２は、この通知を受けて、中継サーバ１から受信した指定中継サーバの一覧（即ち、中継サーバ３だけからなるリスト）を作成し、ログインが許可された旨とともに、通信装置２２に表示させる（シーケンス番号８）。オペレータは、この指定中継サーバの一覧から、接続を希望する中継サーバを選択するように求められる。この例では選択できる中継サーバは１つしかないので、オペレータ１は通信装置２２を操作し、接続したい中継サーバとして中継サーバ３を選択する。中継サーバ２は、オペレータ１による中継サーバ３の選択を受け付けると（シーケンス番号９）、オペレータ１がログイン要求時に直接操作した通信装置２２を、自身に対応するアドレスフィルタ情報とする（シーケンス番号１０）。
【０１１０】
図１６には、シーケンス番号１０で作成されたアドレスフィルタ情報が示されている。このアドレスフィルタ情報には、通信装置２２のアドレスを示すアドレスフィルタが記述されるとともに、それに対応する名称としてオペレータ１の名称が記述されている。次に、中継サーバ２は、選択された中継サーバ３（選択中継サーバ）に対して、オペレータ１のオペレータＩＤと、自身に対応するアドレスフィルタ情報（図１６の情報）と、を送るとともに、ＶＰＮの開始コマンドを送信する（シーケンス番号１１）。
【０１１１】
この開始コマンドを受信した中継サーバ３は、オペレータ接続制御情報記憶部５８が記憶するオペレータ接続制御情報を参照し、受信したオペレータ１のオペレータＩＤに対応する指定機器を読み出す（シーケンス番号１２）。図１１のオペレータ接続制御情報によれば、オペレータ１に対応する指定機器は中継サーバ３自身である。従って、中継サーバ３は、自身のアドレスフィルタ情報記憶部５７が記憶するアドレスフィルタ情報（図１０）を読み出して、これを自身に対応するアドレスフィルタ情報とする（シーケンス番号１３）。そして、中継サーバ３は、自身のアドレスフィルタ情報（図１０）と、シーケンス番号１１で受信した中継サーバ２のアドレスフィルタ情報（図１６）と、を合成して、パケット転送制御情報を作成し、パケット転送制御情報記憶部５６に記憶する（シーケンス番号１４）。
【０１１２】
この結果、中継サーバ３のパケット転送制御情報記憶部５６には、図１７に示すように、２つのアドレスフィルタ情報からなるパケット転送制御情報が記憶されることになる。中継サーバ３は、ＶＰＮの開始コマンドを受け付けた旨とともに、自身に対応付けられたアドレスフィルタ情報（図１０）を中継サーバ２に対して送信する（シーケンス番号１５）。
【０１１３】
中継サーバ２は、中継サーバ３からの応答を受けると、シーケンス番号１０で作成した自身に対応するアドレスフィルタ情報（図１６）と、中継サーバ３から受信したアドレスフィルタ情報（図１０）と、を合成して、パケット転送制御情報を作成し、パケット転送制御情報記憶部５６に記憶する（シーケンス番号１６）。これにより、中継サーバ２のパケット転送制御情報記憶部５６にも、図１７に示すように、２つのアドレスフィルタ情報からなるパケット転送制御情報が記憶されることになる。
【０１１４】
以上のようにして、中継サーバ２と中継サーバ３との間で、アドレスフィルタ情報の交換が完了する。アドレスフィルタ情報の交換後においては、中継サーバ２のパケット転送制御情報記憶部５６及び中継サーバ３のパケット転送制御情報記憶部５６は、ともに図１７に示す内容を記憶している。
【０１１５】
次に、中継サーバ２は、中継サーバ３に対して、ルーティングセッションを確立するための通信制御を行う（シーケンス番号１７）。これにより、中継サーバ２と中継サーバ３との間にルーティングセッションが確立され、オペレータ１が操作する通信装置２２と、ファイルサーバ３１と、の間でＶＰＮによる通信を行うことができる。
【０１１６】
次に、確立したルーティングセッションを用いてパケットのルーティングを行う処理について説明する。図１８は、通信装置２２がファイルサーバ３１にパケットを送信するときの経路を説明する図である。図１９は、ファイルサーバ３１が通信装置２２にパケットを送信するときの経路を説明する図である。
【０１１７】
初めに、図１８に示す第１パケット（ｐａｃｋｅｔ０１）を中継サーバ２が受信した場合の処理について説明する。この第１パケットは通信装置２２が送信したものであり、送信先アドレスとしてファイルサーバ３１のＩＰアドレス（１９２．１６８．３０．１０）が指定されている。
【０１１８】
中継サーバ２は、この第１パケットを受信すると、パケット転送制御情報記憶部５６に記憶するパケット転送制御情報（図１７）を第１パケットの送信先アドレスと比較する。そして、第１パケットに記された送信先に対してパケットを直接的に送信可能なルーティング機器を調べる。図１７に示すように、第１パケットの送信先アドレス（１９２．１６８．３０．１０）は、中継サーバ３に対応付けられたアドレスフィルタ情報によって指定されている。従って、中継サーバ２は第１パケットの転送を許可し、中継サーバ２と中継サーバ３との間に確立されたルーティングセッションを介して第１パケットを当該中継サーバ３に送信する。
【０１１９】
この第１パケットを受信した中継サーバ３も中継サーバ２と同様に、パケット転送制御情報記憶部５６に記憶するパケット転送制御情報（図１７）を、第１パケットの送信先アドレスと比較する。この結果、中継サーバ３は、第１パケットに記された送信先（１９２．１６８．３０．１０）に対して、自身がパケットを直接的に送信可能なことを検出する。従って、中継サーバ３は第１パケットの転送を許可し、当該第１パケットをファイルサーバ３１に対して送信する。
【０１２０】
次に、図１９に示す第２パケット（ｐａｃｋｅｔ０２）を中継サーバ３が受信した場合の処理について説明する。この第２パケットはファイルサーバ３１が送信したものであり、送信先アドレスとして通信装置２２のＩＰアドレス（２００．１．２０．１００）が指定されている。
【０１２１】
中継サーバ３は、この第２パケットを受信した後に、上記と同様に処理を行い、第２パケットの送信先アドレス（２００．１．２０．１００）が、中継サーバ２に対応付けられたアドレスフィルタ情報によって指定されていることを検出する。従って、中継サーバ３は第２パケットの転送を許可し、中継サーバ３と中継サーバ２との間に確立されたルーティングセッションを介して第２パケットを当該中継サーバ２に送信する。
【０１２２】
この第２パケットを受信した中継サーバ２も、上記と同様に処理を行い、第２パケットの送信先アドレス（２００．１．２０．１００）が、自身（中継サーバ２）に対応付けられたアドレスフィルタ情報によって指定されていることを検出する。従って、中継サーバ２は第２パケットの転送を許可し、当該第２パケットを通信装置２２に対して送信する。
【０１２３】
このように、本実施形態では、アプリケーション層のルーティングセッションで、ルーティング対象のデータを流すように構成されている。従って、以上で説明したルーティングは、通常のＩＰルーティングとは異なっている。このようにアプリケーション層でルーティングを行うことにより、ＷＡＮを意識することなく、遠隔地のＬＡＮ同士がプライベートＩＰアドレスを利用して相互に通信することができる。
【０１２４】
次に、オペレータ２が中継サーバ２を使用してシステムにログインする例を、図２０から図２２までを参照して説明する。図２０は、オペレータ２がログインしてＶＰＮを開始する場合を示すネットワーク図である。図２１及び図２２は、オペレータ２がログインしてＶＰＮを開始する場合の処理を示すシーケンス図である。
【０１２５】
図２０に示すように、接続側のＬＡＮ２０において、オペレータ２が通信装置２２に適宜の操作を行って中継サーバ２にアクセスし、当該中継サーバ２を使用機器としたログイン要求を行った場合を考える。接続側の中継サーバ２はログイン要求を受け付け（図２１のシーケンス番号２１）、ログイン要求を管理側の中継サーバ１に対して送信する（シーケンス番号２２）。管理側の中継サーバ１は、オペレータを認証し、多重ログインをチェックした後、ログインを許可すべき場合はオペレータ情報を更新する（シーケンス番号２３〜２５）。
【０１２６】
そして、管理側の中継サーバ１は、グループ接続制御情報記憶部５３が記憶するグループ接続制御情報を参照し、ログインを許可したオペレータ２による接続が可能な中継サーバの識別番号を読み出す（シーケンス番号２６）。図４に示すグループ接続制御情報において、オペレータ２は２つのオペレータグループに所属しており、一方のオペレータグループには中継サーバ３が、他方のオペレータグループには中継サーバ４が、それぞれ対応付けられている。従って、管理側の中継サーバ１は、指定中継サーバである中継サーバ３及び中継サーバ４の識別情報を、ログインを許可する旨とともに、中継サーバ２に対して送信する（シーケンス番号２７）。
【０１２７】
中継サーバ２は、この通知を受けて、中継サーバ１から受信した指定中継サーバの一覧（即ち、中継サーバ３及び中継サーバ４からなるリスト）を作成し、ログインが許可された旨とともに、通信装置２２に表示させる（シーケンス番号２８）。これに対して、オペレータ２は通信装置２２を操作し、上記のリストから、接続したい中継サーバとして中継サーバ３を選択したとする。中継サーバ２は、オペレータ２による中継サーバ３の選択を受け付けると（シーケンス番号２９）、オペレータ２がログイン要求時に直接操作した通信装置２２を、自身に対応するアドレスフィルタ情報とする（シーケンス番号３０）。
【０１２８】
図２３には、シーケンス番号３０で作成されたアドレスフィルタ情報が示されている。このアドレスフィルタ情報には、通信装置２２のアドレスを示すアドレスフィルタが記述されるとともに、それに対応する名称としてオペレータ２の名称が記述されている。次に、中継サーバ２は、選択された中継サーバ３（選択中継サーバ）に対して、オペレータ２のオペレータＩＤと、自身に対応するアドレスフィルタ情報（図２３）と、を送るとともに、ＶＰＮの開始コマンドを送信する（シーケンス番号３１）。
【０１２９】
この開始コマンドを受信した中継サーバ３は、オペレータ接続制御情報記憶部５８が記憶するオペレータ接続制御情報を参照し、受信したオペレータ２のオペレータＩＤに対応する指定機器を読み出す（シーケンス番号３２）。図１１のオペレータ接続制御情報によれば、オペレータ２に対応する指定機器はクライアント端末４７である。
【０１３０】
従って、中継サーバ３は、シーケンス番号３１で受信した中継サーバ２のアドレスフィルタ情報（図２３）を、パケット転送制御情報記憶部５６に記憶する（シーケンス番号３３）。その上で、中継サーバ３は、指定機器であるクライアント端末４７に、中継サーバ２から受信したアドレスフィルタ情報（図２３）を送信するとともに、ＶＰＮの開始コマンドを送信する（図２２のシーケンス番号３４）。
【０１３１】
この開始コマンドを受信したクライアント端末４７は、自身のアドレスフィルタ情報記憶部５７が記憶するアドレスフィルタ情報を読み出して、これを自身に対応するアドレスフィルタ情報とする（シーケンス番号３５）。なお、クライアント端末４７のアドレスフィルタ情報記憶部５７が記憶するアドレスフィルタ情報（事前設定アドレスフィルタ情報）は図２４に示されており、ここでは、ファイルサーバ４６を示すアドレスフィルタが記述されている。そして、クライアント端末４７は、自身のアドレスフィルタ情報（図２４）と、シーケンス番号３４で受信した中継サーバ２のアドレスフィルタ情報（図２３）と、を合成して、パケット転送制御情報を作成し、パケット転送制御情報記憶部５６に記憶する（シーケンス番号３６）。
【０１３２】
この結果、クライアント端末４７のパケット転送制御情報記憶部５６には、図２５に示すように、２つのアドレスフィルタ情報からなるパケット転送制御情報が記憶されることになる。その後、クライアント端末４７は、ＶＰＮの開始コマンドを受け付けた旨とともに、自身に対応付けられたアドレスフィルタ情報（図２４）を中継サーバ３に対して送信する（シーケンス番号３７）。
【０１３３】
中継サーバ３は、クライアント端末４７からの応答を受けると、当該クライアント端末４７のアドレスフィルタ情報（図２４）を、パケット転送制御情報記憶部５６に記憶する（シーケンス番号３８）。なお、この処理とシーケンス番号３３の処理の結果、中継サーバ３のパケット転送制御情報記憶部５６にも、クライアント端末４７のパケット転送制御情報記憶部５６と同一の内容（図２５に示す内容）が記憶されることになる。その後、中継サーバ３は、ＶＰＮの開始コマンドを受け付けた旨とともに、クライアント端末４７から受信したアドレスフィルタ情報（図２４）を中継サーバ２に転送する（シーケンス番号３９）。
【０１３４】
中継サーバ２は、中継サーバ３からの応答を受けると、シーケンス番号３０で作成した自身に対応するアドレスフィルタ情報（図２３）と、シーケンス番号３９で受信したクライアント端末４７のアドレスフィルタ情報（図２４）と、を合成して、パケット転送制御情報を作成し、パケット転送制御情報記憶部５６に記憶する（シーケンス番号４０）。これにより、中継サーバ２のパケット転送制御情報記憶部５６にも、クライアント端末４７のパケット転送制御情報記憶部５６と同一の内容（図２５に示す内容）が記憶されることになる。
【０１３５】
以上のようにして、中継サーバ３を媒介しつつ、中継サーバ２とクライアント端末４７との間でアドレスフィルタ情報の交換が完了する。アドレスフィルタ情報の交換後においては、中継サーバ２、中継サーバ３、及びクライアント端末４７のパケット転送制御情報記憶部５６は、何れも図２５に示す内容を記憶している。
【０１３６】
次に、中継サーバ２は、中継サーバ３に対して、ルーティングセッションを確立するための通信制御を行う（シーケンス番号４１）。更に、中継サーバ３は、クライアント端末４７に対して、ルーティングセッションを確立するための通信制御を行う（シーケンス番号４２）。これにより、中継サーバ２と中継サーバ３との間、及び中継サーバ３とクライアント端末４７の間に、それぞれルーティングセッションが確立され、オペレータ２が操作する通信装置２２と、ファイルサーバ４６と、の間でＶＰＮによる通信を行うことができる。
【０１３７】
なお、図２２に示すシーケンス番号３４の処理で中継サーバ３がクライアント端末４７にＶＰＮ開始コマンドを送信したにもかかわらず、例えば通信障害等の理由で、クライアント端末４７からの応答が返ってこない場合も考えられる。この場合、中継サーバ３は、エラーを中継サーバ２に通知し、中継サーバ２は、接続に失敗した旨を、オペレータ２が操作する通信装置２２に表示させるようになっている。これにより、オペレータ２はＶＰＮを開始できない異常を適切に把握することができる。
【０１３８】
次に、確立したルーティングセッションを用いてパケットのルーティングを行う処理について説明する。図２６は、通信装置２２がファイルサーバ４６にパケットを送信するときの経路を説明する図である。図２７は、ファイルサーバ４６が通信装置２２にパケットを送信するときの経路を説明する図である。
【０１３９】
初めに、図２６に示す第３パケット（ｐａｃｋｅｔ０３）を中継サーバ２が受信した場合の処理について説明する。この第３パケットは通信装置２２が送信したものであり、送信先アドレスとしてファイルサーバ４６のＩＰアドレス（１９２．１６８．４５．１００）が指定されている。
【０１４０】
中継サーバ２は、この第３パケットを受信すると、パケット転送制御情報記憶部５６に記憶するパケット転送制御情報（図２５）を第３パケットの送信先アドレスと比較する。そして、第３パケットに記された送信先に対してパケットを直接的に送信可能なルーティング機器を調べる。図２５に示すように、第３パケットの送信先アドレス（１９２．１６８．４５．１００）は、クライアント端末４７に対応付けられたアドレスフィルタ情報によって指定されている。従って、中継サーバ２は第３パケットの転送を許可する。中継サーバ２とクライアント端末４７とを直接接続するルーティングセッションは存在しないが、クライアント端末４７が中継サーバ３に所属していることは中継サーバ２側で把握できるので、中継サーバ２は、中継サーバ２と中継サーバ３との間に確立されたルーティングセッションを介して第３パケットを当該中継サーバ３に送信する。
【０１４１】
この第３パケットを受信した中継サーバ３も中継サーバ２と同様に、パケット転送制御情報記憶部５６に記憶するパケット転送制御情報（図２５）を、第３パケットの送信先アドレスと比較する。この結果、中継サーバ３は、第３パケットに記された送信先（１９２．１６８．４５．１００）に対して、クライアント端末４７がパケットを直接的に送信可能なことを検出する。従って、中継サーバ３は第３パケットの転送を許可し、中継サーバ３とクライアント端末４７との間に確立されたルーティングセッションを介して第３パケットを当該クライアント端末４７に送信する。
【０１４２】
この第３パケットを受信したクライアント端末４７も中継サーバ３と同様に、パケット転送制御情報記憶部５６に記憶するパケット転送制御情報（図２５）を、第３パケットの送信先アドレスと比較する。この結果、クライアント端末４７は、第３パケットに記された送信先（１９２．１６８．４５．１００）に対して、自身がパケットを直接的に送信可能なことを検出する。従って、クライアント端末４７は第３パケットの転送を許可し、第３パケットをファイルサーバ４６に送信する。
【０１４３】
次に、図２７に示す第４パケット（ｐａｃｋｅｔ０４）をクライアント端末４７が受信した場合の処理について説明する。この第４パケットはファイルサーバ４６が送信したものであり、送信先アドレスとして通信装置２２のＩＰアドレス（２００．１．２０．１００）が指定されている。
【０１４４】
クライアント端末４７は、この第４パケットを受信すると、上記と同様に処理を行い、第４パケットの送信先アドレス（２００．１．２０．１００）が、中継サーバ２に対応付けられたアドレスフィルタ情報によって指定されていることを検出する。従って、クライアント端末４７は第４パケットの転送を許可する。クライアント端末４７と中継サーバ２とを直接接続するルーティングセッションは存在しないので、クライアント端末４７は、自身と、自身が所属している中継サーバ３と、の間で確立されたルーティングセッションを介して、第４パケットを中継サーバ３に送信する。
【０１４５】
中継サーバ３は、この第４パケットを受信した後に、上記と同様に処理を行い、第４パケットの送信先アドレス（２００．１．２０．１００）が、中継サーバ２に対応付けられたアドレスフィルタ情報によって指定されていることを検出する。従って、中継サーバ３は第４パケットの転送を許可し、中継サーバ３と中継サーバ２との間に確立されたルーティングセッションを介して第４パケットを当該中継サーバ２に送信する。
【０１４６】
この第４パケットを受信した中継サーバ２も、上記と同様に処理を行い、第４パケットの送信先アドレス（２００．１．２０．１００）が、自身（中継サーバ２）に対応付けられたアドレスフィルタ情報によって指定されていることを検出する。従って、中継サーバ２は第４パケットの転送を許可し、当該第４パケットを通信装置２２に対して送信する。
【０１４７】
なお、図１４及び図２０では、オペレータ１，２が中継サーバ２を使用してログインする場合で説明したが、オペレータ１，２は、中継サーバ２の代わりにクライアント端末２１を使用してログインしても良い。この場合は、図１５、図２１、図２２のシーケンス図で中継サーバ２が行う処理を、クライアント端末２１が代わって行うことになる。この結果、オペレータ１がクライアント端末２１を使用してログインする場合、図１８の例に照らしていえば、クライアント端末２１が送信するパケットは、中継サーバ２、及び中継サーバ３を経由して、ファイルサーバ３１に到達する。また、オペレータ２がクライアント端末２１を使用してログインする場合、図２７の例に照らしていえば、クライアント端末２１が送信するパケットは、中継サーバ２、中継サーバ３、及びクライアント端末４７を経由して、ファイルサーバ４６に到達する。
【０１４８】
また、オペレータがクライアント端末２１を使用してログインする場合、当該オペレータの認証に関しては以下のような処理が行われる。即ち、クライアント端末２１はオペレータのログイン要求を受け付けると、当該ログイン要求を、自身が所属している中継サーバ２に送信する。ここで、クライアント端末２１が所属している中継サーバは、当該クライアント端末２１が備える所属中継サーバ情報記憶部５９の記憶内容から取得することができる。そして、中継サーバ２は、自身を管理する中継サーバ１（管理先情報記憶部５４に識別情報が記憶されている中継サーバ１）に対してログイン要求を転送し、中継サーバ１において前記と同様にオペレータＩＤ及びパスワードの認証が行われる。
【０１４９】
以上に説明したように、本実施形態の中継サーバ２（図５）は、自身がパケットを転送可能なアドレスである第１アドレスフィルタ情報と、他の接続対象機器である中継サーバ３又はクライアント端末４７がパケットを転送可能なアドレスである第２アドレスフィルタ情報と、を記憶する手段（パケット転送制御情報記憶部５６）を備える。また、中継サーバ２は、ＬＡＮ２０で接続された通信装置２２を介してログイン操作するオペレータの識別情報（例えばＯｐ１）を受け付ける手段と、ログインを受け付けたオペレータの識別情報に基づいて、当該オペレータが所属するオペレータグループ（ＩＤがＷｏｒｋＧｒｏｕｐ１であるオペレータグループ）が接続可能な中継サーバのリスト（中継サーバ３だけのリスト）を取得する手段と、取得した他の中継サーバのリストの中からオペレータによる中継サーバの選択（中継サーバ３の選択）を受け付ける手段と、オペレータにより選択された中継サーバ３とルーティングセッションを確立する手段と、を備える。中継サーバ２は、オペレータがログイン操作した通信装置２２のアドレスを第１アドレスフィルタ情報として記憶し、前記第１アドレスフィルタ情報を中継サーバ３へ送信する。また、中継サーバ２は、オペレータによって選択された中継サーバ３から前記第２アドレスフィルタ情報を受信して記憶する。中継サーバ２は、ルーティングセッションから受信したパケットの送信先アドレスが前記第１アドレスフィルタ情報に含まれている場合には、送信先へパケットを送信する。中継サーバ２は、通信装置から受信したパケットの送信先アドレスが前記第２アドレスフィルタ情報に含まれている場合には、前記ルーティングセッションへパケットを送信する。
【０１５０】
これにより、オペレータは、中継サーバ２と、当該オペレータに選択された中継サーバ３と、の間に確立されたルーティングセッションを利用して、他の機器（例えば、ファイルサーバ３１）との間で通信を行うことができる。また、上記の構成では、ルーティングセッションの相手としてオペレータが選択可能な中継サーバ３は、当該オペレータが所属するオペレータグループ毎に設定されるとともに、選択可能な中継サーバの中からオペレータによって実際に選択された選択中継サーバ３において、当該オペレータが接続可能な機器が指定される。そのため、オペレータがログインに用いる通信装置２２が変更されても、ログインを行うオペレータが同一であれば、以前と同一の機器と通信を行うことができる。また、オペレータグループレベルでのアクセス制御の設定を中継サーバ２自身で行い、それぞれのオペレータレベルでのアクセス制御の設定を選択中継サーバ３で行うことで、複雑なアクセス制御を合理的かつ容易に実現することができる。
【０１５１】
また、本実施形態の中継サーバ２は、パケット転送制御情報記憶部５６と、制御部６０と、を備える。パケット転送制御情報記憶部５６は、自身がパケットを転送可能な機器のアドレスを定めるアドレスフィルタ情報を自身の識別情報と対応付けるとともに、自身と接続可能な接続対象側の中継サーバ及び当該接続対象側の中継サーバに所属するクライアント端末である接続対象側の機器がパケットを転送可能な機器のアドレスを定めるアドレスフィルタ情報を当該接続対象側の機器の識別情報と対応付けたパケット転送制御情報（図２５）を記憶可能である。中継サーバ２の制御部６０は、管理側の中継サーバ１が記憶する情報であって、中継通信システム１００にログイン可能なオペレータを含むオペレータグループの情報と、当該オペレータグループに所属するオペレータによる接続が可能な中継サーバとして指定された指定中継サーバと、を対応付けた情報であるグループ接続制御情報（図４）に基づき、ログイン要求を行ったオペレータ２（ログイン要求オペレータ）による接続が可能な前記指定中継サーバ（中継サーバ３）を取得する。中継サーバ２の制御部６０は、取得した前記指定中継サーバのうちオペレータ２により選択された中継サーバ３（選択中継サーバ）と、自身である中継サーバ２と、の間でルーティングセッションを確立する（シーケンス番号４１）。中継サーバ２の制御部６０は、中継サーバ３が記憶する情報であって、前記オペレータグループに所属するオペレータの識別情報と、当該中継サーバ３に所属するクライアント端末のうち当該オペレータによる接続が可能な機器として指定された指定機器の識別情報と、を対応付けたオペレータ接続制御情報（図１１）に基づき、当該中継サーバ３と、クライアント端末４７と、の間でルーティングセッションを確立させる（シーケンス番号４２）。中継サーバ２の制御部６０は、オペレータ２がログイン要求を行うために操作した通信装置２２のアドレスを、自身の識別情報と対応付けたアドレスフィルタ情報としてパケット転送制御情報記憶部５６に記憶するとともに、当該アドレスフィルタ情報を前記指定機器へ送信する（図２１のシーケンス番号３０，３１，４０）。中継サーバ２の制御部６０は、中継サーバ２と、クライアント端末４７と、の間を接続するように構成された１又は複数のルーティングセッションを利用したＶＰＮを開始する。中継サーバ２の制御部６０は、受信したパケットの送信先が、中継サーバ２の識別情報と対応付けられたアドレスフィルタ情報において指定されているときは、当該送信先にパケットを送信し（図２７）、受信したパケットの送信先がクライアント端末４７の識別情報と対応付けられたアドレスフィルタ情報において指定されているときは、中継サーバ２とクライアント端末４７との間を接続するように構成された１又は複数のルーティングセッションを介して当該クライアント端末４７にパケットを送信する（図２６）。
【０１５２】
これにより、構築したＶＰＮを利用して、オペレータ２がログイン要求を行うために操作した通信装置２２と、クライアント端末４７がパケットを転送可能なファイルサーバ４６と、の間で通信を行うことができる。また、グループ接続制御情報及びオペレータ接続制御情報では、接続が可能な指定中継サーバ又は指定機器が、オペレータグループ又はオペレータに対応付けられている。また、接続側の中継サーバ２においては、自身に対応付けられたアドレスフィルタ情報を、オペレータが中継通信システム１００にログインするにあたって操作した通信装置のアドレスを用いてその場で作成し、これがパケットの転送のために用いられる。そのため、例えばオペレータ２は、通信装置２２を操作して中継サーバ２にログインする場合は、中継サーバ２、中継サーバ３及びクライアント端末４７をルーティング機器とし、当該通信装置２２とファイルサーバ４６との間でＶＰＮを構築することができる。そして、ログアウトしたオペレータ２が、今度は通信装置２３を操作して中継サーバ２にログインする場合は、中継サーバ２、中継サーバ３及びクライアント端末４７をルーティング機器とし、通信装置２３とファイルサーバ４６との間でＶＰＮを構築することができる。このように、オペレータがログインのために操作する機器が変更されても、ログインを行うオペレータが同一であれば、以前と同一の相手を含むようなＶＰＮを容易に構築して利用することができる。更に、本実施形態では、中継サーバレベル（ＬＡＮレベル）でのアクセス制御はオペレータグループを単位として行う一方、機器レベルでのアクセス制御は、接続対象側の中継サーバ３，４（指定中継サーバ）がそれぞれ記憶するオペレータ接続制御情報に基づき、個別のオペレータを単位として行うようになっている。従って、オペレータのアクセス制御について、管理の容易さ（設定事項の整理のし易さ）とキメ細かいアクセス制御を両立させることができる。更に、中継サーバ３，４のオペレータ接続制御情報記憶部５８においては、自身が指定中継サーバになっているオペレータグループに所属するオペレータ（のみ）について、指定機器を記憶する。このように、機器レベルでの細かいアクセス制御を定めるオペレータ接続制御情報が、それぞれの中継サーバ３，４で分担する形で、かつ互いに独立して記憶されるため、個々の中継サーバ３，４における記憶内容の肥大化を防止できるとともに、記憶内容の同期制御も省略することができる。
【０１５３】
また、本実施形態において、前記中継サーバ３がクライアント端末４７と通信できない場合（図２２のシーケンス番号３７に示す応答が返って来ない場合）には、接続側の中継サーバ２における制御部６０は、当該中継サーバ３が自身に通知するエラーに基づいて、接続に失敗した旨を、オペレータ２が操作する通信装置２２に表示させる。
【０１５４】
これにより、オペレータ２は、ＶＰＮによる通信を開始できない異常を適切に把握することができる。
【０１５５】
また、本実施形態の中継サーバ２は、管理側の中継サーバ１の識別情報を記憶する管理先情報記憶部５４を備える。前記グループ接続制御情報は、管理側の中継サーバ１が備えるグループ接続制御情報記憶部５３によって記憶される。中継サーバ２の制御部６０は、オペレータ２からログイン要求を受け付けたときに、管理先情報記憶部５４の記憶内容に基づいて中継サーバ１にアクセスすることにより（図２１のシーケンス番号２２）、ログイン要求を行ったオペレータ２が接続可能な指定中継サーバ（中継サーバ３，４）を取得する。
【０１５６】
これにより、中継サーバ１がグループ接続制御情報を集中的に管理する構成となるため、複数の機器によってグループ接続制御情報を共有させる必要がない。従って、当該機器間におけるグループ接続制御情報の同期制御が不要となり、中継サーバで行われる処理の負荷を軽減することができる。
【０１５７】
ただし、上記実施形態において、管理側の中継サーバ１の代わりに、グループ接続制御情報を中継サーバ２及びクライアント端末２１が記憶し、互いにその内容を同期するように変更しても良い。この場合、中継サーバ２の制御部６０は、オペレータからログイン要求を受け付けたときに、自身が備えるグループ接続制御情報記憶部の記憶内容に基づいて、ログイン要求を行ったオペレータが接続可能な中継サーバを取得することになる。
【０１５８】
この構成では、中継サーバ２は、自身の記憶内容を参照するだけで、ログイン要求を行ったオペレータが接続可能な中継サーバを取得できる。このため、ＶＰＮを開始するまでの処理を単純にすることができる。
【０１５９】
次に、中継サーバ３，４のオペレータ接続制御情報記憶部５８に関する変形例を説明する。図２８は、オペレータ接続制御情報の変形例を示す図である。
【０１６０】
図２８には、当該変形例において、中継サーバ３のオペレータ接続制御情報記憶部５８が記憶するオペレータ接続制御情報が示されている。この変形例に係るオペレータ接続制御情報では、上述の実施形態（図１１）の場合と異なり、指定機器の識別情報が、オペレータＩＤに加えて時間帯の情報（スケジュール情報）に対応付けられた形で記述されている。この例では、オペレータ２は、中継サーバ３とクライアント端末４７との接続を終日利用できる一方、中継サーバ３とクライアント端末４２との接続は、午前０時から午前６時までの間だけ利用できる。
【０１６１】
このようにオペレータ接続制御情報を構成することにより、接続時間帯の観点からのアクセス制御を実現することができる。なお、スケジュール情報は、時刻にとどまらず、例えば日付（年月日）、曜日等を用いて記述しても良いことは勿論である。
【０１６２】
以上に示すように、本変形例においては、中継サーバ３が記憶するオペレータ接続制御情報において、前記オペレータグループに所属するオペレータの識別情報と、前記指定機器の識別情報と、時間帯の情報と、が対応付けられている。中継サーバ２の制御部６０は、オペレータ接続制御情報に基づき、中継サーバ３と、ログインを要求するオペレータ及び現在時間に対応する指定機器と、の間を接続するように構成された１又は複数のルーティングセッションを利用したＶＰＮを開始する。
【０１６３】
これにより、接続時間帯を考慮したよりキメ細かいアクセス制御を行うことができる。
【０１６４】
以上に本発明の好適な実施の形態を説明したが、上記の構成は例えば以下のように変更することができる。
【０１６５】
上記のオペレータ情報、グループ接続制御情報、オペレータ接続制御情報等は、適宜の形式（例えばＸＭＬ形式）で格納することができる。
【０１６６】
上記実施形態の構成に代えて、各中継サーバ間での通信に用いられる外部サーバをインターネット上に設置し、ＳＩＰ（Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｉｏｎ Ｐｒｏｔｏｃｏｌ）サーバとしての機能を発揮させて通信を行う構成にしても良い。
【符号の説明】
【０１６７】
１，２，３，４ 中継サーバ
１１，２１，４２，４７ クライアント端末
１０，２０，３０，４０，４５，４８ ＬＡＮ
５０ 記憶部
５３ グループ接続制御情報記憶部
５６ パケット転送制御情報記憶部
５８ オペレータ接続制御情報記憶部
６０ 制御部
１００ 中継通信システム
【特許請求の範囲】
【請求項１】
自身がパケットを転送可能なアドレスである第１アドレスフィルタ情報と、他の中継サーバ及びクライアント端末である接続対象機器がパケットを転送可能なアドレスである第２アドレスフィルタ情報と、を記憶する手段と、
ＬＡＮで接続された通信装置を介してログイン操作するオペレータの識別情報を受け付ける手段と、
ログインを受け付けたオペレータの識別情報に基づいて、当該オペレータが所属するオペレータグループが接続可能な他の中継サーバのリストを取得する手段と、
取得した他の中継サーバのリストの中からオペレータによる中継サーバの選択を受け付ける手段と、
オペレータに選択された中継サーバである選択中継サーバとルーティングセッションを確立する手段と、
を備え、
オペレータがログイン操作した前記通信装置のアドレスを前記第１アドレスフィルタ情報として記憶し、前記第１アドレスフィルタ情報を前記選択中継サーバへ送信し、
前記選択中継サーバから、前記第２アドレスフィルタ情報を受信して記憶し、
ルーティングセッションから受信したパケットの送信先アドレスが前記第１アドレスフィルタ情報に含まれている場合には、送信先へパケットを送信し、
通信装置から受信したパケットの送信先アドレスが前記第２アドレスフィルタ情報に含まれている場合には、前記ルーティングセッションへパケットを送信することを特徴とする中継サーバ。
【請求項２】
自身がパケットを転送可能な機器のアドレスを定めるアドレスフィルタ情報を自身の識別情報と対応付けて記憶可能であるとともに、自身と接続可能な接続対象側の中継サーバ及び当該接続対象側の中継サーバに所属するクライアント端末である接続対象側の機器がパケットを転送可能な機器のアドレスを定めるアドレスフィルタ情報を当該接続対象側の機器の識別情報と対応付けて記憶可能であるパケット転送制御情報記憶部と、
制御部と、
を備え、
前記制御部は、
自身又は自身が接続可能な他の中継サーバが記憶する情報であって、自身を含んで構成される中継通信システムにログイン可能なオペレータを含むオペレータグループの情報と、当該オペレータグループに所属するオペレータによる接続が可能な中継サーバとして指定された指定中継サーバと、を対応付けた情報であるグループ接続制御情報に基づき、ログイン要求を行ったオペレータであるログイン要求オペレータによる接続が可能な前記指定中継サーバを取得する制御と、
取得した前記指定中継サーバのうち前記ログイン要求オペレータにより選択された中継サーバである選択中継サーバと、自身と、の間でルーティングセッションを確立する制御と、
前記選択中継サーバが記憶する情報であって、前記オペレータグループに所属するオペレータの識別情報と、当該選択中継サーバに所属するクライアント端末のうち当該オペレータによる接続が可能な機器として指定された指定機器の識別情報と、を対応付けたオペレータ接続制御情報に基づき、当該選択中継サーバと、前記指定機器と、の間でルーティングセッションを確立させる制御と、
オペレータがログイン要求を行うために操作した通信装置のアドレスを、自身の識別情報と対応付けたアドレスフィルタ情報として前記パケット転送制御情報記憶部に記憶するとともに、当該アドレスフィルタ情報を前記指定機器へ送信する制御と、
前記指定機器から受信したアドレスフィルタ情報を、当該指定機器の識別情報と対応付けたアドレスフィルタ情報として前記パケット転送制御情報記憶部に記憶する制御と、
自身と、前記指定機器と、の間を接続するように構成された１又は複数のルーティングセッションを利用した仮想プライベートネットワークを開始する制御と、
受信したパケットの送信先が、前記パケット転送制御情報記憶部の記憶内容において、自身の識別情報と対応付けられたアドレスフィルタ情報によって指定されているときは、当該送信先にパケットを送信し、受信したパケットの送信先が前記指定機器の識別情報と対応付けられたアドレスフィルタ情報によって指定されているときは、自身と前記指定機器との間を接続するように構成された１又は複数のルーティングセッションを介して当該指定機器にパケットを送信する制御と、
を行うことを特徴とする中継サーバ。
【請求項３】
請求項２に記載の中継サーバであって、
前記選択中継サーバが当該指定機器と通信できない場合には、前記制御部は、当該選択中継サーバが自身に通知するエラーに基づいて、接続に失敗した旨を、前記ログイン要求オペレータが操作する通信装置に表示させることを特徴とする中継サーバ。
【請求項４】
請求項２又は３に記載の中継サーバであって、
前記オペレータ接続制御情報においては、前記オペレータグループに所属するオペレータの識別情報と、前記指定機器の識別情報と、スケジュール情報と、が対応付けられており、
前記制御部は、前記オペレータ接続制御情報に基づき、前記選択中継サーバと、前記ログイン要求オペレータ及び現在時間に対応する前記指定機器と、の間を接続するように構成された１又は複数のルーティングセッションを利用した仮想プライベートネットワークを開始することを特徴とする中継サーバ。
【請求項５】
請求項２から４までの何れか一項に記載の中継サーバであって、
自身を管理対象とする管理側の中継サーバの識別情報を記憶する管理先情報記憶部を備え、
前記グループ接続制御情報は、前記管理側の中継サーバによって記憶され、
前記制御部は、オペレータからログイン要求を受け付けたときに、前記管理先情報記憶部の記憶内容に基づいて前記管理側の中継サーバにアクセスすることにより、ログイン要求を行ったオペレータによる接続が可能な前記指定中継サーバを取得することを特徴とする中継サーバ。
【請求項６】
請求項２から４までの何れか一項に記載の中継サーバであって、
前記グループ接続制御情報を記憶するグループ接続制御情報記憶部を備え、
前記制御部は、オペレータからログイン要求を受け付けたときに、前記グループ接続制御情報記憶部に記憶された前記グループ接続制御情報に基づいて、ログイン要求を行ったオペレータによる接続が可能な前記指定中継サーバを取得することを特徴とする中継サーバ。
【請求項７】
複数の中継サーバと、
前記中継サーバに所属するクライアント端末と、
を備える中継通信システムであって、
前記中継サーバのうち接続側の中継サーバとして機能する前記中継サーバは、
自身がパケットを転送可能な機器のアドレスを定めるアドレスフィルタ情報を自身の識別情報と対応付けて記憶可能であるとともに、自身と接続可能な接続対象の中継サーバ及び当該接続対象の中継サーバに所属するクライアント端末である接続対象機器がパケットを転送可能な機器のアドレスを定めるアドレスフィルタ情報を当該接続対象機器の識別情報と対応付けて記憶可能であるパケット転送制御情報記憶部と、
制御部と、
を備え、
前記制御部は、
自身又は自身が接続可能な他の中継サーバが記憶する情報であって、自身を含んで構成される中継通信システムにログイン可能なオペレータの識別情報と、当該オペレータが所属するオペレータグループの情報と、当該オペレータグループに所属するオペレータによる接続が可能な中継サーバとして指定された指定中継サーバと、を対応付けた情報であるグループ接続制御情報に基づき、ログイン要求を行ったオペレータであるログイン要求オペレータによる接続が可能な前記指定中継サーバを取得する制御と、
取得した前記指定中継サーバのうち前記ログイン要求オペレータにより選択された中継サーバである選択中継サーバと、自身と、の間でルーティングセッションを確立する制御と、
前記選択中継サーバが記憶する情報であって、前記オペレータグループに所属するオペレータの識別情報と、当該選択中継サーバに所属するクライアント端末のうち当該オペレータによる接続が可能な機器として指定された指定機器の識別情報と、を対応付けたオペレータ接続制御情報に基づき、当該選択中継サーバと、前記指定機器と、の間でルーティングセッションを確立させる制御と、
オペレータがログイン要求を行うために操作した通信装置のアドレスを、自身の識別情報と対応付けたアドレスフィルタ情報として前記パケット転送制御情報記憶部に記憶するとともに、当該アドレスフィルタ情報を前記指定機器へ送信する制御と、
前記指定機器から受信したアドレスフィルタ情報を、当該指定機器の識別情報と対応付けたアドレスフィルタ情報として前記パケット転送制御情報記憶部に記憶する制御と、
自身と、前記指定機器と、の間を接続するように構成された１又は複数のルーティングセッションを利用した仮想プライベートネットワークを開始する制御と、
受信したパケットの送信先が、前記パケット転送制御情報記憶部の記憶内容において、自身の識別情報と対応付けられたアドレスフィルタ情報によって指定されているときは、当該送信先にパケットを送信し、受信したパケットの送信先が前記指定機器の識別情報と対応付けられたアドレスフィルタ情報によって指定されているときは、自身と前記指定機器との間を接続するように構成された１又は複数のルーティングセッションを介して当該指定機器にパケットを送信する制御と、
を行うことを特徴とする中継通信システム。
【請求項１】
自身がパケットを転送可能なアドレスである第１アドレスフィルタ情報と、他の中継サーバ及びクライアント端末である接続対象機器がパケットを転送可能なアドレスである第２アドレスフィルタ情報と、を記憶する手段と、
ＬＡＮで接続された通信装置を介してログイン操作するオペレータの識別情報を受け付ける手段と、
ログインを受け付けたオペレータの識別情報に基づいて、当該オペレータが所属するオペレータグループが接続可能な他の中継サーバのリストを取得する手段と、
取得した他の中継サーバのリストの中からオペレータによる中継サーバの選択を受け付ける手段と、
オペレータに選択された中継サーバである選択中継サーバとルーティングセッションを確立する手段と、
を備え、
オペレータがログイン操作した前記通信装置のアドレスを前記第１アドレスフィルタ情報として記憶し、前記第１アドレスフィルタ情報を前記選択中継サーバへ送信し、
前記選択中継サーバから、前記第２アドレスフィルタ情報を受信して記憶し、
ルーティングセッションから受信したパケットの送信先アドレスが前記第１アドレスフィルタ情報に含まれている場合には、送信先へパケットを送信し、
通信装置から受信したパケットの送信先アドレスが前記第２アドレスフィルタ情報に含まれている場合には、前記ルーティングセッションへパケットを送信することを特徴とする中継サーバ。
【請求項２】
自身がパケットを転送可能な機器のアドレスを定めるアドレスフィルタ情報を自身の識別情報と対応付けて記憶可能であるとともに、自身と接続可能な接続対象側の中継サーバ及び当該接続対象側の中継サーバに所属するクライアント端末である接続対象側の機器がパケットを転送可能な機器のアドレスを定めるアドレスフィルタ情報を当該接続対象側の機器の識別情報と対応付けて記憶可能であるパケット転送制御情報記憶部と、
制御部と、
を備え、
前記制御部は、
自身又は自身が接続可能な他の中継サーバが記憶する情報であって、自身を含んで構成される中継通信システムにログイン可能なオペレータを含むオペレータグループの情報と、当該オペレータグループに所属するオペレータによる接続が可能な中継サーバとして指定された指定中継サーバと、を対応付けた情報であるグループ接続制御情報に基づき、ログイン要求を行ったオペレータであるログイン要求オペレータによる接続が可能な前記指定中継サーバを取得する制御と、
取得した前記指定中継サーバのうち前記ログイン要求オペレータにより選択された中継サーバである選択中継サーバと、自身と、の間でルーティングセッションを確立する制御と、
前記選択中継サーバが記憶する情報であって、前記オペレータグループに所属するオペレータの識別情報と、当該選択中継サーバに所属するクライアント端末のうち当該オペレータによる接続が可能な機器として指定された指定機器の識別情報と、を対応付けたオペレータ接続制御情報に基づき、当該選択中継サーバと、前記指定機器と、の間でルーティングセッションを確立させる制御と、
オペレータがログイン要求を行うために操作した通信装置のアドレスを、自身の識別情報と対応付けたアドレスフィルタ情報として前記パケット転送制御情報記憶部に記憶するとともに、当該アドレスフィルタ情報を前記指定機器へ送信する制御と、
前記指定機器から受信したアドレスフィルタ情報を、当該指定機器の識別情報と対応付けたアドレスフィルタ情報として前記パケット転送制御情報記憶部に記憶する制御と、
自身と、前記指定機器と、の間を接続するように構成された１又は複数のルーティングセッションを利用した仮想プライベートネットワークを開始する制御と、
受信したパケットの送信先が、前記パケット転送制御情報記憶部の記憶内容において、自身の識別情報と対応付けられたアドレスフィルタ情報によって指定されているときは、当該送信先にパケットを送信し、受信したパケットの送信先が前記指定機器の識別情報と対応付けられたアドレスフィルタ情報によって指定されているときは、自身と前記指定機器との間を接続するように構成された１又は複数のルーティングセッションを介して当該指定機器にパケットを送信する制御と、
を行うことを特徴とする中継サーバ。
【請求項３】
請求項２に記載の中継サーバであって、
前記選択中継サーバが当該指定機器と通信できない場合には、前記制御部は、当該選択中継サーバが自身に通知するエラーに基づいて、接続に失敗した旨を、前記ログイン要求オペレータが操作する通信装置に表示させることを特徴とする中継サーバ。
【請求項４】
請求項２又は３に記載の中継サーバであって、
前記オペレータ接続制御情報においては、前記オペレータグループに所属するオペレータの識別情報と、前記指定機器の識別情報と、スケジュール情報と、が対応付けられており、
前記制御部は、前記オペレータ接続制御情報に基づき、前記選択中継サーバと、前記ログイン要求オペレータ及び現在時間に対応する前記指定機器と、の間を接続するように構成された１又は複数のルーティングセッションを利用した仮想プライベートネットワークを開始することを特徴とする中継サーバ。
【請求項５】
請求項２から４までの何れか一項に記載の中継サーバであって、
自身を管理対象とする管理側の中継サーバの識別情報を記憶する管理先情報記憶部を備え、
前記グループ接続制御情報は、前記管理側の中継サーバによって記憶され、
前記制御部は、オペレータからログイン要求を受け付けたときに、前記管理先情報記憶部の記憶内容に基づいて前記管理側の中継サーバにアクセスすることにより、ログイン要求を行ったオペレータによる接続が可能な前記指定中継サーバを取得することを特徴とする中継サーバ。
【請求項６】
請求項２から４までの何れか一項に記載の中継サーバであって、
前記グループ接続制御情報を記憶するグループ接続制御情報記憶部を備え、
前記制御部は、オペレータからログイン要求を受け付けたときに、前記グループ接続制御情報記憶部に記憶された前記グループ接続制御情報に基づいて、ログイン要求を行ったオペレータによる接続が可能な前記指定中継サーバを取得することを特徴とする中継サーバ。
【請求項７】
複数の中継サーバと、
前記中継サーバに所属するクライアント端末と、
を備える中継通信システムであって、
前記中継サーバのうち接続側の中継サーバとして機能する前記中継サーバは、
自身がパケットを転送可能な機器のアドレスを定めるアドレスフィルタ情報を自身の識別情報と対応付けて記憶可能であるとともに、自身と接続可能な接続対象の中継サーバ及び当該接続対象の中継サーバに所属するクライアント端末である接続対象機器がパケットを転送可能な機器のアドレスを定めるアドレスフィルタ情報を当該接続対象機器の識別情報と対応付けて記憶可能であるパケット転送制御情報記憶部と、
制御部と、
を備え、
前記制御部は、
自身又は自身が接続可能な他の中継サーバが記憶する情報であって、自身を含んで構成される中継通信システムにログイン可能なオペレータの識別情報と、当該オペレータが所属するオペレータグループの情報と、当該オペレータグループに所属するオペレータによる接続が可能な中継サーバとして指定された指定中継サーバと、を対応付けた情報であるグループ接続制御情報に基づき、ログイン要求を行ったオペレータであるログイン要求オペレータによる接続が可能な前記指定中継サーバを取得する制御と、
取得した前記指定中継サーバのうち前記ログイン要求オペレータにより選択された中継サーバである選択中継サーバと、自身と、の間でルーティングセッションを確立する制御と、
前記選択中継サーバが記憶する情報であって、前記オペレータグループに所属するオペレータの識別情報と、当該選択中継サーバに所属するクライアント端末のうち当該オペレータによる接続が可能な機器として指定された指定機器の識別情報と、を対応付けたオペレータ接続制御情報に基づき、当該選択中継サーバと、前記指定機器と、の間でルーティングセッションを確立させる制御と、
オペレータがログイン要求を行うために操作した通信装置のアドレスを、自身の識別情報と対応付けたアドレスフィルタ情報として前記パケット転送制御情報記憶部に記憶するとともに、当該アドレスフィルタ情報を前記指定機器へ送信する制御と、
前記指定機器から受信したアドレスフィルタ情報を、当該指定機器の識別情報と対応付けたアドレスフィルタ情報として前記パケット転送制御情報記憶部に記憶する制御と、
自身と、前記指定機器と、の間を接続するように構成された１又は複数のルーティングセッションを利用した仮想プライベートネットワークを開始する制御と、
受信したパケットの送信先が、前記パケット転送制御情報記憶部の記憶内容において、自身の識別情報と対応付けられたアドレスフィルタ情報によって指定されているときは、当該送信先にパケットを送信し、受信したパケットの送信先が前記指定機器の識別情報と対応付けられたアドレスフィルタ情報によって指定されているときは、自身と前記指定機器との間を接続するように構成された１又は複数のルーティングセッションを介して当該指定機器にパケットを送信する制御と、
を行うことを特徴とする中継通信システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【図２８】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【図２８】
【公開番号】特開２０１２−２４８９４１（Ｐ２０１２−２４８９４１Ａ）
【公開日】平成２４年１２月１３日（２０１２．１２．１３）
【国際特許分類】
【出願番号】特願２０１１−１１６９６６（Ｐ２０１１−１１６９６６）
【出願日】平成２３年５月２５日（２０１１．５．２５）
【出願人】（０００００６２９７）村田機械株式会社 (4,916)
【Ｆターム（参考）】
【公開日】平成２４年１２月１３日（２０１２．１２．１３）
【国際特許分類】
【出願日】平成２３年５月２５日（２０１１．５．２５）
【出願人】（０００００６２９７）村田機械株式会社 (4,916)
【Ｆターム（参考）】
[ Back to top ]