通信装置、通信方法、及びプログラム
【課題】通信相手ノードを遠隔サイトのノードからの要求に応じて遠隔起動し、その際にアドレス解決のための情報を含むネットワーク情報を該通信相手ノードに割り当てる。
【解決手段】 第１の通信装置と第２の通信装置との間の仮想私設網（ＶＰＮ）通信を制御する通信装置において、第１の通信装置のノードＩＤに対し、第２の通信装置のＩＤ、該第２の通信装置のＭＡＣアドレス及び該第２の通信装置のネットワーク情報を関連付けるＶＰＮ利用者データベースと、ＶＰＮ接続要求を受信し、ＶＰＮ利用者データベースを参照して第２の通信装置のＭＡＣアドレスを求め、該第２の通信装置のＭＡＣアドレスを含んだ遠隔起動依頼を生成するＶＰＮ処理部と、遠隔起動依頼に含まれるＭＡＣアドレスにより特定される第２の通信装置を遠隔起動する遠隔起動部と、起動された第２の通信装置から情報取得要求を受信し、該情報取得要求に応じてネットワーク情報を配布するネットワーク情報配布部と、を具備する。
【解決手段】 第１の通信装置と第２の通信装置との間の仮想私設網（ＶＰＮ）通信を制御する通信装置において、第１の通信装置のノードＩＤに対し、第２の通信装置のＩＤ、該第２の通信装置のＭＡＣアドレス及び該第２の通信装置のネットワーク情報を関連付けるＶＰＮ利用者データベースと、ＶＰＮ接続要求を受信し、ＶＰＮ利用者データベースを参照して第２の通信装置のＭＡＣアドレスを求め、該第２の通信装置のＭＡＣアドレスを含んだ遠隔起動依頼を生成するＶＰＮ処理部と、遠隔起動依頼に含まれるＭＡＣアドレスにより特定される第２の通信装置を遠隔起動する遠隔起動部と、起動された第２の通信装置から情報取得要求を受信し、該情報取得要求に応じてネットワーク情報を配布するネットワーク情報配布部と、を具備する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は仮想私設通信網（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ、以下「ＶＰＮ」という。）に係り、特に、遠隔サイトのクライアントノードからの要求に応じてネットワーク内の通信相手ノードを遠隔起動し、該通信相手ノードにネットワーク情報を付与する通信装置、通信方法、及びプログラムに関する。
【背景技術】
【０００２】
ネットワークに接続されたノードを遠隔から起動する仕組みとして、Ｗａｋｅ ｏｎ ＬＡＮ（ＷｏＬ）が利用されている。ＷｏＬによれば、ＶＰＮを用いてアクセスされるノードの電源を常時、ＯＮにしておく必要がない。しかし、ＷｏＬは同一ＬＡＮ内での利用を前提としており、インターネットなどの広域ネットワークを越えて利用することはできない。これに対し、下記特許文献１及び下記特許文献２には、インターネットを越えてノードを遠隔から起動する方法について記載されている。
【特許文献１】特開２００３−３１９０８３号公報
【特許文献２】特開２００５−５１４７３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
多くのネットワークでは動的ホスト構成プロトコル（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ；ＤＨＣＰ）を使った動的なアドレスの割当て及び管理が行われており、実際にアクセスする際に、ネットワーク内の個々のノードが持つアドレスが不定となる。これは、遠隔サイトのクライアントノードからネットワーク内の通信相手ノードを遠隔起動してＶＰＮ通信を行う場合に問題となる。アドレス不定が問題となる場合、遠隔サイトのノードに対する通信相手のノードのＩＰアドレスを不変（固定ＩＰ）にするか、通信相手ノードのアドレスを解決する手段をＶＰＮシステム、アクセス元ＶＰＮクライアント、該通信相手ノード自体のいずれかが備えていなければならない。
【０００４】
また、アドレス不定の問題が生じる場合には、該通信相手ノードが行う通信が、ローカルエリアネットワーク内で行われる通常の通信であるか、それともＶＰＮを用いた特定の通信であるかをＩＰアドレスなどのネットワーク層アドレスを用いて区別することも困難である。
【０００５】
本発明は、遠隔サイトのノードに対する通信相手ノードを該遠隔サイトのノードからの要求に応じて遠隔起動し、その際にアドレス解決のための情報を含むネットワーク情報を該通信相手ノードに割り当てる通信装置、通信方法、及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
本発明の一観点に係る通信装置は、第１の通信装置と第２の通信装置との間の仮想私設網（ＶＰＮ）通信を制御する通信装置において、前記第１の通信装置のノードＩＤに対し、前記第２の通信装置のＩＤ、該第２の通信装置のＭＡＣアドレス及び該第２の通信装置のネットワーク情報を関連付けるＶＰＮ利用者データベースと、前記第１の通信装置のノードＩＤ及び前記第２の通信装置のノードＩＤを含んだＶＰＮ接続要求を受信し、該第１の通信装置のノードＩＤ及び第２の通信装置のノードＩＤにより前記ＶＰＮ利用者データベースを参照して前記第２の通信装置のＭＡＣアドレスを求め、該第２の通信装置のＭＡＣアドレスを含んだ遠隔起動依頼を生成するＶＰＮ処理部と、前記遠隔起動依頼に含まれるＭＡＣアドレスにより特定される前記第２の通信装置を遠隔起動する遠隔起動部と、前記遠隔起動部により起動された前記第２の通信装置から情報取得要求を受信し、該情報取得要求に応じて前記ネットワーク情報を該第２の通信装置に対して配布するネットワーク情報配布部と、を具備する。
【発明の効果】
【０００７】
本発明によれば、遠隔サイトのノードに対する通信相手ノードを該遠隔サイトのノードからの要求に応じて遠隔起動し、その際にアドレス解決のための情報を含むネットワーク情報を該通信相手ノードに割り当てる通信装置、通信方法、及びプログラムを提供できる。
【発明を実施するための最良の形態】
【０００８】
以下に説明する実施形態はＶＰＮの接続管理、通信相手ノードの起動、通信相手ノードに対する、アドレスを含むネットワーク情報の配布、及び通信相手ノードの通信管理等を行うＶＰＮ終端装置に本発明を適用したものである。
【０００９】
（第１の実施形態）
図１は本発明の第１の実施形態に係るシステムの全体構成図である。図１において、１０１はインターネットなどの広域ネットワーク、１０２はＶＰＮを用いて遠隔サイトへの接続を行うＶＰＮクライアント、１０３はＶＰＮ接続を終端するとともにアドレスなどのネットワーク関連情報の配布機能及び通信を制限する機能を有するＶＰＮ終端装置、１０４はＶＰＮを経由して接続される通信相手ノード、１０５はＶＰＮ接続要求を仲介し、管理するＶＰＮ管理サーバである。なお、ＶＰＮ終端装置１０３はネットワーク上のノードを遠隔から起動するための機構を持ち、通信相手ノード１０４はＶＰＮ終端装置１０３が送信する起動要求に基づいて自身を起動する機構を備える。さらにＶＰＮ終端装置１０３はルータであり、該サイトと広域ネットワークとを接続する機能を備える。
【００１０】
図２はＶＰＮ終端装置の内部構成を示すブロック図である。ＶＰＮ終端装置１０３はインターネットなどの広域ネットワーク１０１との接続のための物理的なＷＡＮインターフェイス２０１、遠隔サイトのＶＰＮクライアントとのＶＰＮ接続のための論理的なＶＰＮインターフェイス２０２〜２０３、ＬＡＮとの接続のための物理的なＬＡＮインターフェイス２０４〜２０５、論理的なＶＰＮインターフェイスと物理的なＬＡＮインターフェイスとの間で透過的にパケットを転送するためのＩ／Ｆブリッジ部２０６を有する。
【００１１】
また、ＶＰＮ終端装置１０３は、上記の各インターフェイスに到来するパケットに対してその通過の許可及び不許可の制御を行うパケットフィルタ部２０７、パケットフィルタ部２０７に適用されるポリシが記述されたパケットフィルタ管理表２０８、パケットのフォワーディングを行うフォワーディング部２０９、フォワーディング部２０９が参照する転送データベース（ＤＢ）２１０、ＶＰＮ関連処理を実行するＶＰＮ処理部２１１、確立したＶＰＮに関する情報を記録するＶＰＮ状態管理表２１２、ＬＡＮに接続するノードに対してアドレスなどのネットワーク情報を割り当てるネットワーク情報配布部２１３、ネットワーク情報配布部２１３が管理している各種情報を保存するためのネットワーク情報管理表２１４、ＬＡＮに接続するノードを遠隔から起動する命令を送信する遠隔起動部２１５を有する。
【００１２】
なお、アクセス先のＬＡＮと通信相手ノードとの間でネットワーク層データグラムを交換するレイヤ３ＶＰＮを構築する場合には、ブリッジ部２０６を設けなくても良い。本発明の実施形態では、通信制限をパケットフィルタにより行うものと仮定しているためパケットフィルタ部２０７を備えているが、パケットフィルタとは異なる別の方法により通信制限を行っても良い。
【００１３】
図３はＶＰＮ管理サーバの内部構成を示すブロック図である。ＶＰＮ管理サーバ１０５は、インターネットなどの広域ネットワーク１０１と接続するためのインターフェイス３０１〜３０２、ＶＰＮクライアント１０２とＶＰＮ終端装置１０３との間でＶＰＮ関連のメッセージを中継するＶＰＮ中継部３０３、ＶＰＮ管理サーバ１０５が中継を行うことによって確立されたＶＰＮ接続の状態を記述するＶＰＮ状態管理表３０４、ＶＰＮ管理サーバ１０５を介してＶＰＮを利用可能なＶＰＮクライアント、ＶＰＮ終端装置、及び通信相手ノードに関する情報を記憶するＶＰＮ利用者データベース３０５、ＶＰＮ管理サーバ１０５を介してＶＰＮ接続を受け付けるＶＰＮ終端装置１０３のネットワーク情報を記憶するＶＰＮ終端装置データベース３０６を有する。
【００１４】
第１の実施形態に係るシステムにおいて、ＶＰＮを確立して通信を行うためには、はじめにＶＰＮ管理サーバ１０５が管理するＶＰＮ利用者データベース３０５を準備する必要がある。
【００１５】
図４にＶＰＮ利用者データベース３０５の詳細を示す。ＶＰＮ利用者データベース３０５は、利用者ノードＩＤ、ＶＰＮ終端装置ＩＤ、通信相手ノードＩＤ、通信相手ノードＭＡＣアドレス、通信相手ノードネットワーク情報の４つの情報から構成される。
【００１６】
利用者ノードＩＤはＶＰＮ利用者（ＶＰＮクライアント）を特定する識別子である。ＶＰＮ終端装置ＩＤは、利用者ノードＩＤで特定されるＶＰＮクライアントが使用するＶＰＮを終端するノード（ＶＰＮ終端装置）の識別子である。
【００１７】
通信相手ノードＭＡＣアドレスは、ＶＰＮ終端装置により終端されるＶＰＮを使ってＶＰＮクライアントが通信する相手のノード（通信相手ノード）のＭＡＣアドレスである。通信相手ノードＩＤはＶＰＮクライアントがＶＰＮを介して通信を行う通信相手ノードの識別子である。
【００１８】
通信相手ノードネットワーク情報は、通信相手ノードに対して、その起動時に付与されるＩＰアドレス、デフォルトゲートウェイ、ＤＮＳサーバ、ドメイン名などのアドレス解決のための情報を含むネットワーク情報のことである。
【００１９】
なお、通信相手ノードネットワーク情報に格納される情報は、前述の内容のみに限定されるものではなく、ＶＰＮ終端装置１０３内のネットワーク情報配布部２１３が配布可能な他の情報を含んでも良い。
【００２０】
ＶＰＮ利用者データベース３０５は、ネットワーク管理者によって事前に設定されるか、ＶＰＮ利用者が自らＷｅｂブラウザなどを使って設定するか、もしくは登録プロトコルによって自動的に設定されてもよく、種々の方法が用いられる。
【００２１】
図５にＶＰＮ終端装置データベースを示す。ＶＰＮ終端装置データベース３０６はＶＰＮ終端装置ＩＤ、アドレス１〜アドレスＮからなるエントリを有する。
【００２２】
ＶＰＮ終端装置ＩＤには、図４に示したＶＰＮ利用者データベース３０５に含まれているＶＰＮ終端装置ＩＤのうち、ある時点で利用可能なＶＰＮ終端装置のＩＤが記述される。つまり、ＶＰＮ利用者データベース３０５に登録されていても現時点ではオフライン状態であるならば、そのＶＰＮ終端装置のＩＤはＶＰＮ終端装置データベース３０６には存在しない。
【００２３】
アドレス１〜アドレスＮにはＶＰＮ終端装置ＩＤによって特定されるＶＰＮ終端装置が使用しているネットワーク層アドレスが記述される。ネットワーク層アドレスには、例えばＩＰｖ４アドレスやＩＰｖ６アドレスがある。
【００２４】
ＶＰＮ終端装置データベース３０６は、ＶＰＮ管理サーバ１０５とＶＰＮ終端装置１０３との間で利用可能な種々の情報確認プロトコルを使って構築される。例えば、ダイナミックＤＮＳによる登録、ＨＴＴＰを使った特定Ｗｅｂページへのアクセス、ＳＩＰを使ったプレゼンス情報の登録といった手段が利用可能である。この他にも、ＶＰＮ終端装置１０３からＶＰＮ管理サーバ１０５に対して自己の識別情報とネットワークアドレス情報を送信可能なプロトコルを利用できる。
【００２５】
なお、前述のように利用可能なノードのみを登録することによってＶＰＮ終端装置データベース３０６を構成することもできるが、利用可否というエントリをＶＰＮ利用者データベース３０５に追加して利用可／不可を区別するようにしても良い。いずれにせよ、利用可能なＶＰＮ終端装置１０３の情報を管理できる形式であれば良い。
【００２６】
ＶＰＮ状態管理表３０４には、図４に示したＶＰＮ利用者データベース３０５のエントリに対し「状態」、「確立時刻」、「有効期限」の３つのエントリを追加したものが登録される。「状態」には、接続処理中と接続中の２つの状態のいずれかが記述され、「確立時刻」にはＶＰＮ接続が確立もしくは更新された時刻が記述され、「有効期限」にはＶＰＮ接続の有効期限が記述される。これらのエントリは、ＶＰＮクライアント１０２もしくはＶＰＮ終端装置１０３からの確立要求、更新要求、あるいは切断要求をＶＰＮ中継部３０３が処理した際に更新される。図４のＶＰＮ利用者データベース３０５において通信相手ノードＭＡＣアドレスの欄に複数のエントリが登録されているとき、ＶＰＮ状態管理表３０４には、この複数のエントリのうち実際に使用されているエントリに対応する情報のみが記述される。
【００２７】
図６は第１の実施形態に係るシステムの動作シーケンスを示す図である。この動作シーケンスの概略を述べると、遠隔のＶＰＮクライアント１０２からのＶＰＮ確立要求によりＶＰＮ終端装置１０３がＶＰＮクライアント１０２に対する通信相手ノード１０４を起動し、同ＶＰＮ終端装置１０３がこの起動した通信相手ノード１０４に対してネットワーク情報の配布及び通信管理設定を行う、というものである。以下、動作シーケンスの詳細を説明する。
【００２８】
先ずＶＰＮクライアント１０２がＶＰＮ接続要求をＶＰＮ管理サーバ１０５に向けて送信する。このＶＰＮ接続要求はＶＰＮクライアント１０２のＩＤ（利用者ノードＩＤ）、ＶＰＮ終端装置ＩＤ、及び通信相手ノードＩＤを含んでいる。
【００２９】
ＶＰＮ管理サーバ１０５がＶＰＮ接続要求を受信すると、ＶＰＮ中継部３０３はその要求内容を検査する。この検査は次のステップを含む。
【００３０】
（１）要求送信元を示す利用者ノードＩＤがＶＰＮ利用者データベース３０５に登録されていること
（２）要求に含まれるＶＰＮ終端装置ＩＤが、要求送信元を示す利用者ノードＩＤとＶＰＮ利用者データベース３０５において関連付けられていること
（３）要求に含まれるＶＰＮ終端装置ＩＤがＶＰＮ終端装置データベース３０６に存在すること（利用可能とされていること）。
【００３１】
（４）要求に含まれるＶＰＮ終端装置ＩＤに対応するアドレスがＶＰＮ終端装置データベース３０６において１つ以上格納されていること
（５）要求に含まれる通信相手ノードＩＤが、ＶＰＮ利用者データベース３０５における利用者ノードＩＤ及びＶＰＮ終端装置ＩＤの２つの情報で特定されるエントリに含まれていること
（６）通信相手ノードＩＤに対応する通信相手ノードＭＡＣアドレスが、ＶＰＮ利用者データベース３０５に登録されていること
（７）通信相手ノードＩＤに対応する通信相手ノードネットワーク情報が、ＶＰＮ利用者データベース３０５に登録されていること
以上の検査ステップを経て必要な情報がすべて存在することが確認されたら、当該ＶＰＮ接続要求内の各エントリを抽出する。続いて、ＶＰＮ管理サーバ１０５のＶＰＮ中継部３０３は抽出したエントリに基づいてＶＰＮ状態管理表３０４を書き換えるとともに、ＶＰＮ接続要求をＶＰＮ利用者データベース３０５で特定されるＶＰＮ終端装置１０３に対して送信する。これによりＶＰＮクライアント１０２からＶＰＮ終端装置１０３へのＶＰＮ接続要求はＶＰＮ管理サーバ１０５により中継される。なお、中継されるＶＰＮ接続要求は、ＶＰＮクライアント１０２から送信されたＶＰＮ接続要求に加え、通信相手ノードＭＡＣアドレス及び通信相手ノードネットワーク情報を含んでいる。通信相手ノードＭＡＣアドレス及び通信相手ノードネットワーク情報は、ＶＰＮ接続要求から抽出したエントリ（利用者ノードＩＤ、ＶＰＮ終端装置ＩＤ、通信相手ノードＩＤ）によりＶＰＮ利用者データベース３０５を検索して取得されるものである。
【００３２】
なお、１つのＶＰＮ接続要求にすべての情報を格納することとせずに、ＶＰＮクライアント１０２からのＶＰＮ接続要求のみを含むＶＰＮ接続要求と、それに続くネットワーク情報通知とからなる構成としてもよい。また、これらの一連の要求と応答は適切な暗号・認証手法などを用いて保護することが好ましい。
【００３３】
次に、ＶＰＮ管理サーバ１０５から中継されたＶＰＮ接続要求を受信したＶＰＮ終端装置１０３は、このＶＰＮ接続要求から通信相手ノードＭＡＣアドレス、及び通信相手ノードネットワーク情報を抽出する。
【００３４】
続いて、抽出した通信相手ノードＭＡＣアドレスを持つノードがネットワーク上に存在し動作しているかどうかを確認する。これは、レイヤ２レベルのアドレス解決を行うパケットを送信することで行い、例えばＩＰｖ４のＡＲＰやＩＰｖ６のＮｅｉｇｈｂｏｒ Ｄｉｓｃｏｖｅｒｙが利用できる。
【００３５】
上記確認手順によって、ＶＰＮ接続要求で指定されたＭＡＣアドレスを持つノードが既に起動していた場合には、該ノードに割り当てられているネットワーク情報の有無を確認する。これはＶＰＮ終端装置１０３内のネットワーク情報管理表２１４に、該ノードについて、前記受信したＶＰＮ接続要求に含まれているネットワーク情報と同一の情報が存在するか否かを確認することによって行う。この結果、既に同じ情報が配布されていることが判明した場合には、起動／配布処理を省略し、後述するパケットフィルタの変更処理を行う。もし、違う情報が配布されている場合には利用するネットワークプロトコルによって対応を変える必要がある。これについては第４の変形例として後述する。
【００３６】
確認手順によってＶＰＮ接続要求で指定されたＭＡＣアドレスを持つノードが起動していないことが確認できた場合（すなわちＡＲＰやＮｅｉｇｈｂｏｒ Ｄｉｓｃｏｖｅｒｙに対して応答がなかった場合）には、ネットワーク情報管理表２１４に前記ＶＰＮ接続要求で受信したネットワーク情報を記述する。続いて、該ＭＡＣアドレスを持つノードすなわち通信相手ノード１０４を起動し、この通信相手ノード１０４に対してネットワーク情報を付与するステップを実行する。
【００３７】
通信相手ノードの起動からネットワーク情報の付与までの一連の処理の手順は以下の通りである。
【００３８】
ＶＰＮ終端装置１０３内のネットワーク情報管理表２１４は、受信したＶＰＮ確立要求から抽出された情報によって適切に設定される必要がある。図７にネットワーク情報管理表の設定時における値の変化を示す。一連の処理を行う前に、ＶＰＮ終端装置１０３のネットワーク情報管理表２１４が図７の上段の状態であったと仮定する。このとき、新規にＶＰＮ確立要求を受信し、その中からネットワーク情報を抽出すると、この抽出されたネットワーク情報は図７中段に示すように同表２１４に追加される。
【００３９】
ネットワーク情報管理表２１４に適切に情報が追加されたら、ＶＰＮ終端装置１０３の遠隔起動部２１５は、通信相手ノード１０４を遠隔起動する。具体的には、ＶＰＮ終端装置１０３の内部では、ＶＰＮ処理部２１１から遠隔起動部２１５に対して、起動すべきノードのＭＡＣアドレスを伴った起動依頼が通知される。遠隔起動部２１５は、このＶＰＮ処理部２１１からの依頼に基づいて、指定されたＭＡＣアドレスを持つノードを起動する処理を行う。これには広く用いられているＷａｋｅ ｏｎ ＬＡＮ（ＷｏＬ）などの仕組みを利用しても良いし、個々の機器や通信メディアに特化した別の方法を利用しても良い。ここで述べるＶＰＮ終端装置１０３ならびにＶＰＮ管理サーバ１０５は、これら複数の起動方法に対応するものとして実施することも可能である。その場合、通信相手ノード１０４とその起動方法との対応を管理しなければならない。この管理は、ＶＰＮ管理サーバ１０５がＶＰＮ利用者データベース３０５内に起動方法の種別を示す情報を記憶し、ネットワーク情報とともにＶＰＮ終端装置１０３に通知する方法や、通信相手ノードＩＤと起動方法との対応関係をＶＰＮ終端装置１０３が独立して管理する方法などが考えられる。
【００４０】
遠隔起動部２１５によって遠隔起動処理が行われた結果、ＶＰＮ接続要求に含まれていた通信相手ノード１０４の起動処理が開始されたと仮定する。一般に、動的にネットワーク情報を取得するように設定されているノードは、起動処理の途中でアドレスを含めた各種ネットワーク情報を動的に取得する（静的に取得するように設定されている場合には、本発明で解決すべき問題自体が起こりえないため、ここでは除外する）。このとき、通信相手ノード１０４がネットワーク情報の取得に利用するプロトコルは、前述のＶＰＮ終端装置１０３のネットワーク情報配布部２１３が対応可能なプロトコル（例えばＤＨＣＰ）でなければならない。通信相手ノード１０４の起動方法を通信相手ノード１０４ごとに特定する場合と同様に、起動すべきノードとネットワーク情報の配布に使用するプロトコルとの対応関係は、通信相手ノード１０４ごとに変更してもよい。その場合、ＶＰＮ管理サーバ１０５から通知しても良いし、ＶＰＮ終端装置１０３が独立して管理しても良い。独立して管理する場合には、通信相手ノードＩＤと配布方法の対応を管理することになる。
【００４１】
通信相手ノード１０４からの情報取得要求は、ＶＰＮ終端装置１０３が受信し、同装置のネットワーク情報配布部２１３において処理される。ネットワーク情報配布部２１３はネットワーク情報管理表２１４を参照し、該情報取得要求の送信元ＭＡＣアドレスが表中に記録されているか否かを確認する。もし、表中に記録されていれば、そのエントリを取得する。表中に記録されていない場合には、該要求はこのＶＰＮ終端装置１０３が管理すべき情報ではないものと判断して無視する。ネットワーク情報配布部２１３は、ネットワーク情報管理表２１４中に記録されたエントリを取得すると、図７の下段に示すように該エントリに対して配布時刻と有効時刻を記入する。配布時刻とは、情報を該当ノードに配布した時刻であり、ここでは現在時刻が記入される。有効時刻とはネットワーク情報配布部２１３及びＶＰＮ管理サーバ１０５のポリシに基づく、配布された情報の有効期限を示す時刻である。後述するように、ＶＰＮ終端装置１０３は、有効時刻までに有効期限の延長要求（ＶＰＮ接続延長（更新）に伴うネットワーク情報の再取得要求）がなかった場合には、対応するＶＰＮ接続を切断する。
【００４２】
ネットワーク情報配布部２１３は、通信相手ノード１０４から受信した情報取得要求に対する応答として、配布すべき情報を含む情報取得応答を送り返す。情報取得応答を受信した通信相手ノード１０４は、応答内から適切に情報を取り出してネットワークインターフェイスなどを適切に設定する。ここまでの処理が完了すると、ＶＰＮ終端装置１０３はノードの接続状況を確認する処理を行う。これには前述の存在確認と同様にＡＲＰやＮｅｉｇｈｂｏｒ Ｄｉｓｃｏｖｅｒｙを用いて行うものとする。
【００４３】
通信相手ノード１０４の存在及び設定が確認できたら、ＶＰＮ管理サーバ１０５に対してＶＰＮ確立応答を返す。このＶＰＮ確立応答には、通信相手ノード１０４に実際に配布したネットワーク情報が含まれる。ＶＰＮ確立応答を受信したＶＰＮ管理サーバ１０５は、自身が管理するＶＰＮ状態管理表３０４から対応するエントリを検索し、このエントリがＶＰＮ接続確立の処理中のエントリであることを確認する。ＶＰＮ確立応答が確立処理中の接続要求に対する応答であることが確認できたならば、ＶＰＮ接続要求を送信したＶＰＮクライアント１０２に対してＶＰＮ確立応答を送信する。ＶＰＮ終端装置１０３からＶＰＮクライアント１０２に対するＶＰＮ確立応答は通信相手ノード１０４のアドレス情報を含んでおり、ＶＰＮ管理サーバ１０５によって中継されることになる。なお、ＶＰＮ管理サーバ１０５は、ＶＰＮ終端装置１０３から受信したＶＰＮ確立応答が確立処理中の接続に対する応答であると判断できなかった場合には、その応答を破棄する。
【００４４】
ＶＰＮ確立応答を受信したＶＰＮクライアント１０２は、同応答に含まれるＶＰＮ通信相手ノード１０４のアドレスを利用して通信相手ノード１０４にアクセスすることが可能となる。
【００４５】
以上説明したように遠隔のＶＰＮクライアント１０２からのＶＰＮ確立要求により、ＶＰＮ管理サーバ１０５が指定したネットワーク設定によって通信相手ノード１０４が起動し、ネットワーク情報が設定されるのであるが、この一連のノード起動処理に並行して、パケットフィルタに関する処理も併せて行われる。この処理によって、通信相手ノード１０４とＶＰＮクライアント１０２のみが通信できる状態を作り出す。この処理は次のように行われる。
【００４６】
ＶＰＮ処理部２１１が受信したＶＰＮ確立要求から抽出されたネットワーク情報は、ネットワーク情報管理表２１４に記録されるとともに、ＶＰＮ処理部２１１自身も利用する。ＶＰＮ処理部２１１はパケットフィルタ部２０７の能力に併せて、ＶＰＮ管理サーバ１０５から通知された情報などを用いてパケットフィルタルールを生成する。ここで生成するルールは、システムごとのポリシに基づいて決定される。このポリシの例として「通信相手ノードとＶＰＮクライアントのみがＶＰＮ通信を可能にする」というものがある。ルールを適用する対象としては様々なものが考えられるが、ここでは一例としてデータリンク層及びネットワーク層で適用する例を挙げる。
【００４７】
図８はデータリンク層に適用するパケットフィルタルールの一例を示している。この例は第１乃至第４のルールを有する。第１のルールは、ＬＡＮインターフェイスから入力されてＶＰＮインターフェイスに送信されるデータリンクフレームのうち、送信元をＭＡＣ２、受信先をＲＣ＿ＭＡＣ１とするフレームのみを許可するというものである。第２のルールではＶＰＮインターフェイスから入力されてＬＡＮインターフェイスに送信されるデータリンクフレームのうち、送信元をＲＣ＿ＭＡＣ１、受信先をＭＡＣ２とするフレームのみを許可する。続く第３及び第４のルールでは、上記以外のデータリンクフレームの通過を禁止する。本ルールはデータリンク層フレームが通信相手ノードとＶＰＮクライアントの間で転送されるレイヤ２ＶＰＮの場合に適用される。
【００４８】
図９は同じくデータリンク層に適用するパケットフィルタルールの一例であって、レイヤ３ＶＰＮに適用する場合のものである。このルールでは出力Ｉ／Ｆの指定がなく、ＶＰＮ終端装置のＭＡＣアドレス（Ｌ＿ＭＡＣ１）を利用する。
【００４９】
図１０はネットワーク層に適用するパケットフィルタルールの一例である。この例では、第１乃至第６のルールを有する。第１のルールは、ＬＡＮインターフェイスから入力されてＶＰＮインターフェイスに送信されるデータグラムのうち、送信元をＩＰ２、受信先をＲＣ＿ＩＰ１とするデータグラムのみを許可するというものである。第２のルールではＶＰＮインターフェイスから入力されてＬＡＮインターフェイスに送信されるデータグラムのうち、送信元をＲＣ＿ＩＰ１、受信先をＩＰ２とするデータグラムのみを許可する。続く第３乃至第６のルールではそれ以外のデータグラムの通過を禁止する。
【００５０】
また、以上のパケットフィルタルールはあくまで一例であって、本発明の実施形態に係るシステムがすべてこのルールを設定する訳ではない。作成したパケットフィルタルールはパケットフィルタ管理表２０８に格納しておく。
【００５１】
以上でＶＰＮ接続要求からノードの起動、パケットフィルタの設定による通信制限の設定までの処理は完了する。引き続き、ＶＰＮ接続後の動作について述べる。
【００５２】
図１１に示すように、ＶＰＮ終端装置１０３は、定期的にＶＰＮ接続の更新要求が行われていること、ならびに、定期的に通信相手ノード１０４がネットワーク情報の有効期限を更新していることを確認する。有効期限の更新は、それぞれのプロトコルで定められた方法に従って行われる。仮にＤＨＣＰを用いる場合には、ＤＨＣＰの有効期限とその更新手続を使って実現される。
【００５３】
同様に、ＶＰＮクライアント１０２は確立済みＶＰＮ接続に対する接続の延長を定期的に要求する。これは図１２に示すように、新規の接続要求時と同様に、ＶＰＮクライアント１０２からＶＰＮ接続更新要求をＶＰＮ管理サーバ１０５に対して送信することで行う。接続更新要求時の処理の手順は、ＬＡＮ側で通信相手ノード１０４を起動しないこと、及びパケットフィルタなど設定済みの情報を変更しないことを除き、新規のＶＰＮ確立要求時の処理と同様である。
【００５４】
ＶＰＮ接続の更新手続が行われなかった場合、図１３に示すようにＶＰＮ終端装置１０３は、対応するＶＰＮ接続を切断する。また、パケットフィルタ管理表２０８で管理している情報に基づいてパケットフィルタの設定を変更し、該当するＶＰＮクライアント１０２及び通信相手ノード１０４が互いに通信できないようにする。同時に、ＶＰＮの切断をＶＰＮ管理サーバ１０５経由でＶＰＮクライアント１０２に通知する。
【００５５】
また図１４に示すように、ＶＰＮクライアント１０２は、任意のタイミングでＶＰＮ切断要求を送ることが可能である。ＶＰＮ切断要求はＶＰＮ確立要求と同様にＶＰＮ管理サーバ１０５を経由してＶＰＮ終端装置１０３に送られる。ＶＰＮ切断要求を受信したＶＰＮ終端装置１０３は、切断要求に対応するＶＰＮ接続の有無を確認し、確立済みのＶＰＮがあれば、それを切断する。続いて、ネットワーク情報管理表２１４から該当するエントリを削除し、ネットワーク情報配布部２１３が更新要求に応答しないようにする。併せて、パケットフィルタ管理表２０８で管理しているパケットフィルタ情報に基づいてパケットフィルタを変更し、該当するＶＰＮクライアント１０２及び通信相手ノード１０４が互いに通信できないようにする。
【００５６】
以上説明した本発明の第１の実施形態によれば、遠隔サイトのＶＰＮクライアント１０２に対する通信相手ノード１０４を該ＶＰＮクライアント１０２からの要求に応じて遠隔起動し、その際にアドレス解決を含むネットワーク情報を通信相手ノード１０４に割り当てることができる。
【００５７】
続いて、第１の実施形態に基づいて実現可能な幾つかの変形例について述べる。
【００５８】
第１の変形例は、ＶＰＮ接続要求で要求された通信相手ノード１０４の最初の起動チェックにおいて、既に通信相手ノード１０４が起動していた場合の処理に関する。前述の処理手順では、通信相手ノード１０４が既に起動していたらネットワーク情報を確認し、同じ情報が割り当てられていたら処理を継続している。第１の変形例では、図１５に示すように、通信相手ノード１０４が既に起動していた場合に、ＶＰＮ終端装置１０３が処理を中断してＶＰＮ接続拒否を示す応答をＶＰＮ管理サーバ１０５に返答する。このＶＰＮ接続拒否応答を受信したＶＰＮ管理サーバ１０５は、自身が管理しているＶＰＮ状態管理表３０４を検索し、確立処理中の接続に対する接続拒否応答であることを確認する。これが確認できた場合には、ＶＰＮ管理サーバ１０５は要求送信元であるＶＰＮクライアント１０２に対して、接続拒否応答を送信（中継）する。
【００５９】
第２の変形例は、ＶＰＮ管理サーバ１０５から通知されたネットワーク情報を別のノードが使っていることがＶＰＮ終端装置１０３において検出できた場合である。この検出は、通信相手ノード１０４が起動しているか否かに依らない。この場合、ＶＰＮ終端装置１０３はＶＰＮ管理サーバ１０５に対してＶＰＮ接続拒否を示す応答を返す。このＶＰＮ接続拒否応答を受信したＶＰＮ管理サーバ１０５は第１の変形例と同様にＶＰＮ状態管理表３０４を修正して、ＶＰＮクライアント１０２に対して接続拒否応答を送信（中継）する。
【００６０】
ただし、前述の２つの手順においてＶＰＮ管理サーバ１０５は別の動作を取ることも可能である。例えば図１６に示すように、対応するネットワーク情報が複数、ＶＰＮ状態管理表２１２に登録されている場合を考える。この場合、ＶＰＮ管理サーバ１０５は複数の候補から利用可能なものを選択して、再度、ＶＰＮ終端装置１０３に接続要求を再送し、確立を試みることができる。なお、複数のエントリを記述する代わりに、ＶＰＮ利用者データベース３０５に記載するネットワーク情報に一定の自由度を持たせた記述を採用し、ＶＰＮ管理サーバ１０５はその一部を任意に選択して送信するようにしても良い（例えば、利用可能なＩＰアドレスの範囲を記述しておき、ＶＰＮ管理サーバ１０５が範囲内の一つのアドレスを通知するといった方法が考えられる）。この間、当初の接続要求を送信したＶＰＮクライアント１０２には、接続中などの一時的な応答を送信しておいても良いし、送信しなくても良い。一連のシーケンスを記述したものを図１７に示す。以上を第３の変形例とする。
【００６１】
第４の変形例は、通信相手ノード１０４は起動しているものの、ＶＰＮ接続要求と同じ情報が割り当てられていない場合（ＶＰＮ接続要求で通知された情報とは異なる情報で動作している場合）である。この状態であることを検出したＶＰＮ終端装置１０３は、通信相手ノード１０４が複数のネットワーク情報を管理できる場合に限り、ＶＰＮ接続要求で通知された情報を追加で割り当てることができる。例えばＩＰｖ６を使うネットワークにおいて、Ｒｏｕｔｅｒ Ａｄｖｅｒｔｉｓｅｍｅｎｔを特定のノードに向けて送信したり、ＤＨＣＰサーバからノード特定してプレフィックスを配布したりすることによって、特定のノードにのみ別のアドレスを配布する、といった方法が利用できる。
【００６２】
（第２の実施形態）
図１８は第２の実施形態に係るシステムの全体図である。この図１８に示す構成は、図１に示した第１の実施形態のシステム構成からＶＰＮ管理サーバ１０５を除いたものに相当する。図１９は第２の実施形態において用いられるＶＰＮ終端装置の内部構成を示す図である。第２の実施形態に係るＶＰＮ終端装置２１７は、図２に示した第１の実施形態に係るＶＰＮ終端装置１０３の内部構成に対しＶＰＮ利用者データベース２１６を追加したものに相当する。図２０は第２の実施形態に係るＶＰＮ利用者データベース２１６の構成を示す図であって、図４に示したＶＰＮ利用者データベース３０５の構成からＶＰＮ終端装置ＩＤが削除されている。
【００６３】
第２の実施形態における動作シーケンスを図２１に示す。基本的には第１の実施形態と同じであるが、ＶＰＮ管理サーバによる中継処理が削除されている点で第１の実施形態とは異なる。第２の実施形態では、インターネット上に公開されたＶＰＮ管理サーバが存在しないため、ＶＰＮ終端装置２１７のアドレス情報を何らかの手法により入手できるようにしておく必要がある。これには静的アドレス割当てや、ダイナミックＤＮＳを利用するなどの方法が考えられる。図２１のシーケンスに含まれない各シーケンス（ノードが起動済みであった場合の処理、接続の更新処理など）は、ＶＰＮ管理サーバが配布する情報を変えて再送を試みる形態（第１の実施形態乃至第３の変形例）を除き、第１の実施形態と同じである。
【００６４】
以下、第２の実施形態に係るシステムの動作シーケンスを、図２２及び図２３に示すＶＰＮ終端装置２１７内部についての動作シーケンスならびに図２４及び図２５に示すフローチャートに沿って説明する。
【００６５】
先ずＶＰＮクライアント１０２がＶＰＮ接続要求をＶＰＮ終端装置２１７に向けて送信する。このＶＰＮ接続要求はＶＰＮクライアント１０２のＩＤ（利用者ノードＩＤ）及び通信相手ノードＩＤを含んでいる。ＶＰＮ終端装置２１７のＶＰＮ処理部２１１はＶＰＮ接続要求を受信する（図２４のＳ１７０１）。
【００６６】
ＶＰＮ処理部２１１はその要求内容を検査する。この検査は次のステップを含む（図２４のＳ１７０２）。
【００６７】
（１）要求送信元を示す利用者ノードＩＤがＶＰＮ利用者データベース２１６に登録されていること
（２）通信相手ノードＩＤに対応する通信相手ノードＭＡＣアドレスが、ＶＰＮ利用者データベース２１６に登録されていること
（３）通信相手ノードＩＤに対応する通信相手ノードネットワーク情報が、ＶＰＮ利用者データベース２１６に登録されていること
以上の検査ステップを経て必要な情報がすべて存在することが確認されたら、当該ＶＰＮ接続要求内の各エントリを抽出する。
【００６８】
次に、ＶＰＮ終端装置２１７のＶＰＮ処理部２１１は、ＶＰＮ接続要求に記載された通信相手ノードＩＤに対応する通信相手ノードＭＡＣアドレス及び通信相手ノードネットワーク情報をＶＰＮ利用者データベース２１６から抽出する（図２４のＳ１７０３）。
【００６９】
続いて、抽出した通信相手ノードＭＡＣアドレスを持つノードがネットワーク上に存在し動作しているかどうかを確認する（図２４のＳ１７０４）。このため、ＶＰＮ処理部２１１は遠隔起動部２１５に通信相手ノードの存在確認依頼を送信する。遠隔起動部２１５は存在確認依頼を受信すると、レイヤ２レベルのアドレス解決を行うパケット（確認パケット）を送信する。これには、例えばＩＰｖ４のＡＲＰやＩＰｖ６のＮｅｉｇｈｂｏｒ Ｄｉｓｃｏｖｅｒｙが利用できる。
【００７０】
上記確認手順によって、該当するＭＡＣアドレスを持つノードが既に起動していた場合（図２４のＳ１７０５＝ＮＯ）には、遠隔起動部２１５は通信相手ノード存在確認応答をＶＰＮ処理部２１１に通知する。これに応じてＶＰＮ処理部２１１はＶＰＮクライアント１０２に対しＶＰＮ確立応答（エラー）を返す。一方、確認手順によってＶＰＮ接続要求で指定されたＭＡＣアドレスを持つノードが起動していないことが確認できた場合（すなわちＡＲＰやＮｅｉｇｈｂｏｒ Ｄｉｓｃｏｖｅｒｙに対して応答がなかった場合；図２４のＳ１７０５＝ＹＥＳ）には、遠隔起動部２１５は通信相手ノード非存在確認応答をＶＰＮ処理部２１１に通知する。これに応じてＶＰＮ処理部２１１は、ネットワーク情報管理表２１４を上記抽出したネットワーク情報で修正する（図２４のＳ１７０６）。さらに、パケットフィルタの設定変更処理を行う（図２４のＳ１７０７）。
【００７１】
続いて、上記抽出した通信相手ノードＭＡＣアドレスを持つノード、すなわち通信相手ノード１０４を起動する（図２４のＳ１７０８）。通信相手ノード１０４の起動からネットワーク情報の付与までの一連の処理の手順は以下の通りである。
【００７２】
遠隔起動部２１５は、通信相手ノード１０４を遠隔起動する。具体的には、ＶＰＮ終端装置２１７の内部では、ＶＰＮ処理部２１１から遠隔起動部２１５に対して、起動すべきノードのＭＡＣアドレスを伴った遠隔起動依頼が通知される。遠隔起動部２１５は、このＶＰＮ処理部２１１からの遠隔起動依頼に基づいて、指定されたＭＡＣアドレスを持つノードを起動する処理を行い、遠隔起動開始通知をＶＰＮ処理部２１１に送信する（図２４のＳ１７０９）。遠隔起動の方法としては、第１の実施形態において挙げたＷａｋｅ ｏｎ ＬＡＮ（ＷｏＬ）などの仕組みを利用しても良いし、個々の機器や通信メディアに特化した別の方法を利用しても良い。ＶＰＮ終端装置は、通信相手ノードごとに起動処理方法を変更可能な装置として実施することも可能である。その場合、起動方法は、通信相手ノードＩＤと起動方法を特定する識別子とを関連付けてＶＰＮ終端装置が管理したり、ＶＰＮ接続要求に起動方法を特定する識別子を含めて該ＶＰＮクライアントが送信することによって特定したりする方法が用いられる。遠隔起動部２１５によって遠隔起動処理が行われた結果、ＶＰＮ接続要求に含まれていた通信相手ノード１０４の起動処理が開始されたと仮定する。一般に、動的にネットワーク情報を取得するように設定されているノードは、起動処理の途中でアドレスを含めた各種ネットワーク情報を動的に取得する（静的に取得するように設定されている場合には、本発明で解決すべき問題自体が起こりえないため、ここでは除外する）。このとき、通信相手ノード１０４がネットワーク情報の取得に利用するプロトコルは、前述のＶＰＮ終端装置２１７のネットワーク情報配布部２１３が対応可能なプロトコル（例えばＤＨＣＰ）でなければならない。通信相手ノード１０４の起動方法を特定する場合と同様に、起動すべきノードとネットワーク情報の配布に使用するプロトコルとの対応関係はＶＰＮ終端装置２１７が管理しても良いし、ＶＰＮクライアントが指定しても良い。この場合には、通信相手ノードＩＤと配布方法の対応を管理することになる。
【００７３】
遠隔起動開始通知を受信したＶＰＮ処理部２１１は配布処理開始依頼をネットワーク情報配布部２１３に送信する。配布処理開始依頼に応じて、ネットワーク情報配布部２１３は通信相手ノード１０４からのネットワーク情報取得要求の受信待ち状態に遷移する（図２４のＳ１７１０）。なお、遠隔起動開始通知は遠隔起動部２１５からＶＰＮ処理部２１１に通知される。
【００７４】
通信相手ノード１０４からのネットワーク情報取得要求を受信すると、ネットワーク情報配布部２１３はネットワーク情報取得要求受信通知をＶＰＮ処理部２１１に送信したのち、ネットワーク情報管理表２１４を参照し、該情報取得要求の送信元ＭＡＣアドレスが表中に記録されているか否かを確認する。もし、表中に記録されていれば、そのエントリを取得する。表中に記録されていない場合には、該要求はこのＶＰＮ終端装置２１７が管理すべき情報ではないものと判断して無視する。ネットワーク情報取得要求受信通知を受信したＶＰＮ処理部２１１は、遠隔起動処理停止依頼を遠隔起動部２１５に通知する（図２４のＳ１７１１）。この通知を受けて、遠隔起動部２１５は上述した遠隔起動処理を停止する（図２４のＳ１７１２）。ネットワーク情報配布部２１３は、ネットワーク情報管理表２１４中に記録されたエントリを取得すると、該エントリに対して配布時刻と有効時刻を記入することによりネットワーク情報管理表２１４を更新する（図２４のＳ１７１３）。配布時刻とは、情報を該当ノードに配布した時刻であり、ここでは現在時刻が記入される。有効時刻とはネットワーク情報配布部２１３のポリシに基づく、配布された情報の有効期限を示す時刻である。ＶＰＮ終端装置２１７は、有効時刻までに有効期限の延長要求（ＶＰＮ接続延長（更新）に伴うネットワーク情報の再取得要求）がなかった場合には、対応するＶＰＮ接続を切断する。
【００７５】
なお、ネットワーク情報配布部２１３は、一定時間にわたり通信相手ノード１０４からネットワーク情報取得要求を受信しなかった場合には、ネットワーク情報管理表２１４及びパケットフィルタ設定を復元したのち、ＶＰＮクライアント１０２に対しＶＰＮ確立応答（エラー）を返す。
【００７６】
以上のように通信相手ノード１０４からネットワーク情報取得要求を受信し、さらにネットワーク情報管理表２１４から該当するエントリを取得したネットワーク情報配布部２１３は、この通信相手ノード１０４からのネットワーク情報取得要求に対する応答として、配布すべき情報として上記取得したエントリを含むネットワーク情報取得応答を通信相手ノード１０４に送信し（図２４のＳ１７１４）、ネットワーク情報配布完了をＶＰＮ処理部２１１に通知する（図２４のＳ１７１５）。
【００７７】
ネットワーク情報取得応答を受信した通信相手ノード１０４は、この応答の中から必要な情報を取り出し、ネットワークインターフェイスなどを適切に設定する。
【００７８】
続いて、ＶＰＮ終端装置２１７のＶＰＮ処理部２１１は、起動・設定確認依頼を遠隔起動部２１５に通知する。この通知に応じて、遠隔起動部２１５はノードの接続状況を確認する処理を行う（図２５のＳ１７１６）。これには前述の存在確認と同様にＡＲＰやＮｅｉｇｈｂｏｒ Ｄｉｓｃｏｖｅｒｙを用いて行うものとする。
【００７９】
通信相手ノード１０４の接続状況を確認できたら、遠隔起動部２１５は起動・設定確認応答をＶＰＮ処理部２１１に通知する。この通知に応じて、ＶＰＮ処理部２１１は、ＶＰＮクライアント１０２に対してＶＰＮ確立応答を返す（図２５のＳ１７１７）。このＶＰＮ確立応答には、通信相手ノード１０４に実際に配布したネットワーク情報が含まれる。ＶＰＮ確立応答を受信したＶＰＮクライアント１０２は、同応答に含まれるＶＰＮ通信相手ノード１０４のアドレスを利用して通信相手ノード１０４にアクセスすることが可能となる。
【００８０】
なお、通信相手ノード１０４の接続状況の確認がとれない、すなわち通信相手ノード１０４においてネットワーク情報が正しく設定できなかった場合には、ネットワーク情報管理表２１４及びパケットフィルタ設定を復元したのち、ＶＰＮクライアント１０２に対しＶＰＮ確立応答（エラー）を返す。
【００８１】
（第３の実施形態）
続いて、第３の実施形態について述べる。これまではＶＰＮ終端装置がルータであり、ＬＡＮ上で唯一の情報配布元である場合について述べてきたが、第３の実施形態はＬＡＮ上に別のルータ（ネットワーク情報の配布元）が存在する構成である。図２６は、このような第３の実施形態に係るシステムの全体構成を示している。図２６に示す構成は、第１の実施形態におけるＶＰＮ終端装置１０３がルータ装置１０７とＶＰＮ終端装置１０６とに置き換わっている点で第１の実施形態のものとは異なる。
【００８２】
なお、第３の実施形態は前述したＶＰＮ管理サーバがある場合とない場合のいずれに対しても適用可能であるが、ここでは図２６に示すようにＶＰＮ管理サーバ１０５が存在する場合について述べる。
【００８３】
第３の実施形態では、はじめにルータ装置１０７に対してＶＰＮ終端装置１０６へのサイト外部からのアクセスを許可する設定を行う必要がある。この設定は管理者による手動設定による方法やＵＰｎＰなどのプロトコルを使う方法が考えられる。
【００８４】
ルータ装置１０７への設定が完了し、ＶＰＮ終端装置１０６へのサイト外部からのアクセスが可能になり、前述の第１の実施形態で述べたＶＰＮ管理サーバ１０５が持つＶＰＮ終端装置データベース３０６の事前設定も完了したと仮定する。この状態になると、第３の実施形態に係るＶＰＮ終端装置１０６は、ＶＰＮ管理サーバ１０５を経由してＶＰＮクライアント１０２からのＶＰＮ接続要求を受け付けることができるようになる。
【００８５】
図２７は第３の実施形態に係るＶＰＮ終端装置の内部構成を示す図である。この図２７に示すように、第３の実施形態のＶＰＮ終端装置は図２に示した第１の実施形態における構成からＷＡＮインターフェイスを省いたものである。また、ＶＰＮ管理サーバを用いない場合には、第２の実施形態の場合と同様に、図２７の構成にＶＰＮ利用者データベースが追加される。
【００８６】
第３の実施形態の動作シーケンスを図２８に示す。この図２８の前半部の処理は第１の実施形態と同じである。すなわち、ＶＰＮクライアント１０２がＶＰＮ管理サーバ１０５にＶＰＮ接続要求を送信し、ＶＰＮ管理サーバ１０５が前記接続要求を中継し、ＶＰＮ終端装置１０６がＶＰＮ管理サーバ１０５から中継されたＶＰＮ接続要求を受信する。ＶＰＮ終端装置１０６はＶＰＮ接続要求に含まれるネットワーク情報を抽出し、この抽出された情報に基づいて、通信相手ノード１０４を起動するとともにネットワーク情報を提供し、ネットワーク情報管理表２１４を更新する、という一連の処理手順を実行する。
【００８７】
第３の実施形態ではネットワーク情報の配布形態が第１の実施形態の場合とは異なる。第３の実施形態では複数のネットワーク情報配布装置が存在することから、第３の実施形態で適用するネットワーク情報配布部は、ネットワーク情報の配布先を明示的に指定できるものでなければならない。これには、例えばＩＰｖ６のルータアドバタイズメントを通信相手ノードにユニキャストして各種情報を配布する方法が考えられる。ＩＰｖ４の場合には、ＤＨＣＰに送受信ペアを明示的に特定する改良を加えた形でメッセージ交換を行ったり、認証情報を伴ったメッセージ交換を利用したり（認証付きＤＨＣＰを用いる場合にＤＨＣＰサーバ側に必要な秘密情報は、ネットワーク情報の一部としてＶＰＮ管理サーバ１０５から通知するようにしても良いし、ＶＰＮ終端装置１０６が管理していてもよい）、その他の専用プロトコルを用いる方法などが考えられる。また遠隔起動依頼の内部に情報取得先のアドレスを埋め込み、事前に通知しておく方法も考えられる（図２８のシーケンスはこの方法で記述している）。
【００８８】
通信相手ノード１０４が行う通信がＶＰＮを経由しているものか否かを明確に区別するための方法も必要である。本発明に依らない通常の方法の場合、あらかじめ接続しているルータ装置１０７がデフォルトルータとして機能している。このため、ＶＰＮを経由した通信を本装置が単純に捉えることはできない。第３の実施形態に係るＶＰＮ終端装置１０６は以下の２つの方法のうち、いずれかの方法を使ってＶＰＮを経由した通信を特定し、制御する。
【００８９】
第１の方法は、ＵＰｎＰを使ってルータ装置１０７にＶＰＮ通信を特定する情報を通知し、パケットフィルタなどの特別な処理を適用することである。これによって第１の実施形態でＶＰＮ終端装置１０３が適用していたルールと同等のルールをルータ装置１０７に適用することができる。例えば、本装置が割り当てたＩＰアドレスを持つ通信相手ノード１０４と本装置を利用しているＶＰＮクライアント１０２が利用するＩＰアドレスを用いてなされる通信を除く、すべてのＶＰＮ通信を遮断する、といったルールをルータ装置１０７のパケットフィルタに設定することで、ＶＰＮ通信を特定のノードに限定して許可することが可能となる。もしくは、ルータ装置１０７の転送状態を変更してＶＰＮ終端装置１０６に再転送させることが可能となる。例えば、本装置が割り当てたＩＰアドレスを使用する通信相手ノード１０４が送信したパケットがルータ装置１０７を通過しようとする際、該パケットを本ＶＰＮ終端装置１０３に転送する、という転送ルールをルータ装置１０７に加えることで、本ＶＰＮ終端装置が両ノード間でのＶＰＮを経由しない通信に対するゲートウェイとして動作することができる。
【００９０】
第２の方法は、ネットワーク情報を配布する際に、ＶＰＮ管理サーバ１０５が配布する情報の内容に依らず、デフォルトルータはＶＰＮ終端装置１０６（ネットワーク層及びデータリンク層のアドレスとも）であると通知する方法である。これにより、通信相手ノード１０４がサブネット外のノードと通信する場合には、そのパケットは必ずＶＰＮ終端装置１０６を通過することになる。
【００９１】
以上の２つの方法は、同時に利用することも可能である。そして、この方法により、ＶＰＮを経由する通信と経由しない通信を区別し、通信を管理可能となる。図２８のシーケンスは、デフォルトルータはＶＰＮ終端装置１０６であるとしてネットワーク情報を配布し、ＶＰＮ終端装置１０６にてパケットフィルタを適用しつつ、ルータ装置１０７についてもパケットフィルタを適用する場合を記述している。また、ノードが起動済みであった場合の処理やＶＰＮ継続（接続更新）処理については、第１の実施形態と同様に行うものとする。
【００９２】
以上説明した第３の実施形態によれば、ＬＡＮ上に別のルータ（ネットワーク情報の配布元）が存在する場合であっても、上述した第１又は第２の実施形態と同様の作用効果を得ることができる。
【００９３】
［目的のノードが起動していない場合の処理］
上述したすべての実施形態において、遠隔起動部２１５が通信相手ノード１０４に対して遠隔起動要求を送信すると、ＶＰＮ処理部２１１を通してネットワーク情報配布部２１３にその旨を通知する。これによりネットワーク情報配布部２１３は、該通信相手ノード１０４からのネットワーク情報取得要求を一定時間待ち受ける処理を開始する。遠隔起動部２１５は起動要求送出を通知した後、ＶＰＮ処理部２１１から停止要求がくるまで定期的に遠隔起動要求を送信し続ける。
【００９４】
ネットワーク情報配布部２１３は、該通信相手ノード１０４からネットワーク情報取得要求を受信するとＶＰＮ処理部２１１を通して遠隔起動部２１５に遠隔起動要求の停止を通知する。もし、ネットワーク情報配布部２１３が一定時間待機してもネットワーク情報取得要求を受信できなかった場合には、ＶＰＮ処理部２１１に対してその旨を通知するとともに、遠隔起動部２１５に遠隔起動要求の停止を通知する。
【００９５】
［ノード起動時の認証機構］
ＬＡＮにおいて特定のノードのみを確実に起動するための方法として、本発明の実施形態に係るＶＰＮ終端装置が備えていてもよい通信相手ノードの認証機構について述べる。通信相手ノードの認証機構は上述したすべての実施形態において適用可能である。ここで、第２の実施形態に通信相手ノードの認証機構を適用した場合を例に挙げて説明する。
【００９６】
通信相手ノードの認証機構を備えたＶＰＮ終端装置の構成は図１９に示したものと基本的に同様であるが、図２０に示したＶＰＮ利用者データベース２１６の構成が次のように変更される。第２の実施形態に係るＶＰＮ利用者データベースを図２９のように変更される。この図２９では、これまでのＶＰＮ利用者データベースに比べて、通信相手ノード認証情報のエントリが追加されている。
【００９７】
通信相手ノードの認証機構を使ったネットワーク全体での動作シーケンスを図３０、図３１、図３２に沿って説明する。図３１及び図３２に示す処理フローは図２４及び図２５に示した第２の実施形態のものとほぼ同じであるが、以下の点が異なる。
【００９８】
ステップＳ２６０８において、通信相手ノード１０４に対応する認証情報（チャレンジ）を計算する（ただし、ＶＰＮ利用者データベース２１６において対応するエントリに認証情報が格納されている場合にのみ計算を行う。以降のステップは、チャレンジを計算した場合にのみ実行される）。
【００９９】
ステップＳ２６０９において通信相手ノード１０４を起動する際に、起動依頼とともに認証情報（チャレンジ）を通知する。
【０１００】
ステップＳ２６１０において通信相手ノード１０４は起動依頼から認証情報（チャレンジ）を抽出し、保存する。
【０１０１】
ステップＳ２６１２において通信相手ノード１０４が起動した後に、ステップＳ２６１０において保存した認証情報と通信相手ノード１０４自身が保有している認証情報に基づいて別の認証情報（レスポンス）を計算する。
【０１０２】
ステップＳ２６１３において、通信相手ノード１０４がネットワーク情報を要求する際に、ステップＳ２６１２において計算した認証情報（レスポンス）を該要求に添付する。
【０１０３】
ステップＳ２６１４において、ステップＳ２６１３において通信相手ノード１０４から受信した認証情報（レスポンス）を確認し、起動要求を行ったノードと同一であることを確認する。
【０１０４】
ＶＰＮ終端装置２１７は起動要求を出す際に認証情報を付加し、対象となるノードが起動後に対応する認証情報を返すことを期待している。この認証情報のやり取りにより、起動を要求したノードとネットワーク情報を要求したノードが同一であることを確認する。
【０１０５】
一連の手順によって使用される認証情報は、アルゴリズム的に計算される情報を除き、事前にＶＰＮ終端装置２１７と通信相手ノード１０４との間で共有されているものとする。共有方法は、利用者による手動設定などが考えられる。
【０１０６】
認証情報（チャレンジ）の計算はＶＰＮ処理部２１１で行い、その計算結果は遠隔起動部２１５に渡される。遠隔起動部２１５は渡された認証情報（チャレンジ）を追加して送信する。
【０１０７】
ネットワーク情報取得要求の受信、及び受信したネットワーク情報取得要求からの認証情報の抽出はネットワーク情報配布部２１３が行う。ネットワーク情報取得要求から抽出された認証情報（レスポンス）はＶＰＮ処理部２１１に渡される。ＶＰＮ処理部２１１は、認証情報（レスポンス）と認証情報（チャレンジ）とを比較する。これにより通信相手ノード１０４を認証できたならば、ネットワーク情報配布部２１３は、通信相手ノード１０４に対しネットワーク情報を割り当ててネットワーク情報取得応答を返す。通信相手ノード１０４を認証できない場合、ネットワーク情報配布部２１３は、通信相手ノード１０４からのネットワーク情報取得要求に対してエラーを返す。
【０１０８】
図３３は上記と同様の手順により認証を行った結果、ネットワーク情報を要求したノードを認証できない場合（ステップＳ２７１４）を示している。この場合、ＶＰＮ終端装置２１７は通信相手ノード１０４に対して、ネットワーク情報の提供を拒否する通知を行う（ステップＳ２７１５）。また、事前に設定していたネットワーク情報管理表２１４とパケットフィルタを元に戻し（ステップＳ２７１６，Ｓ２７１７）、ＶＰＮ接続を要求したＶＰＮクライアント１０２に対しても、接続に失敗した旨を通知する（ステップＳ２７１８）。
【０１０９】
同通知を受けた後の通信相手ノード１０４の動作は不定であるが、自ら電源を切り起動前の待機状態に遷移してもよいし、してもよいし（ステップＳ２７１９）、再度、異なるネットワーク情報の要求を行ってもよい。
【０１１０】
通信相手ノードの認証機構の拡張は、ここで説明した第２の実施形態以外の実施形態に対しても適用可能である。ただし、ＶＰＮ管理サーバを利用する実施形態に適用する場合には、認証情報（チャレンジ）の計算と認証情報（レスポンス）の確認をＶＰＮ管理サーバが行う。例えば、図６に示した第１の実施形態における動作シーケンスは図３４のように変更される。
【０１１１】
ＶＰＮ管理サーバ１０５からのＶＰＮ確立要求には認証情報（チャレンジ）が付加されており、ＶＰＮ処理部２１１がこの認証情報（チャレンジ）を抽出する。抽出された認証情報（チャレンジ）は遠隔起動部２１５に渡され、これを遠隔起動部２１５が遠隔起動依頼に追加して起動対象ノードに送信する。
【０１１２】
ネットワーク情報取得要求の受信、及び受信したネットワーク情報取得要求からの認証情報の抽出はネットワーク情報配布部２１３が行う。抽出された認証情報（レスポンス）はＶＰＮ処理部２１１に渡される。ＶＰＮ処理部２１１は、この認証情報（レスポンス）をＶＰＮ管理サーバ１０５に転送し、認証情報（チャレンジ）との比較を依頼する。ＶＰＮ管理サーバ１０５は、認証情報（チャレンジ）と認証情報（レスポンス）とを比較する。比較結果はＶＰＮ管理サーバ１０５からＶＰＮ終端装置１０３に送られる。これにより通信相手ノード１０４を認証できたならば、ネットワーク情報配布部２１３は、通信相手ノード１０４に対しネットワーク情報を割り当ててネットワーク情報取得応答を返す。通信相手ノード１０４を認証できない場合、ネットワーク情報配布部２１３は、通信相手ノード１０４からのネットワーク情報取得要求に対してエラーを返す。
【０１１３】
［複数のネットワーク情報提供ノードがＬＡＮ上に存在していた場合］
先ず、起動後にネットワーク情報を要求するネットワーク情報通知サーバ（第２の実施形態に係るＶＰＮ終端装置２１７や、ＤＨＣＰサーバなどに相当する）のアドレスを遠隔起動依頼に含めて起動要求を行う方法について述べる。なお、ここでは第２の実施形態のＶＰＮ終端装置２１７を対象にして説明するが、すべての実施形態において適用可能である。
【０１１４】
複数のネットワーク情報提供ノードがＬＡＮ上に存在するシステムにおける動作シーケンスを図３５に示す。この動作シーケンスは図２１に示した第２の実施形態に係る動作シーケンスとほぼ同じであるが、以下の点が異なる。
【０１１５】
すなわち、図３５のステップＳ２９０８において、ＶＰＮ終端装置２１７のアドレスをネットワーク情報通知サーバのアドレスであるとして通信相手ノード１０４に通知する。ステップＳ２９０９において、通信相手ノード１０４が起動要求とともに通知されたネットワーク情報通知サーバのアドレスを保存する。そして、ステップＳ２９１１において通信相手ノード１０４がＶＰＮ終端装置２１７に対し、そのアドレスを指定して直接的にネットワーク情報取得を要求する点で図２１に示した第２の実施形態における動作シーケンスとは異なる。
【０１１６】
上記ステップＳ２９０８において送信されるアドレス付き遠隔起動要求メッセージの例を図３６に示す。図３６ではＷｏＬを利用するものと仮定してＭａｇｉｃ Ｐａｃｋｅｔ形式を示したが、そのフォーマットは各起動方法に依存する。その他の付加情報とは、図３５のシーケンスにおけるステップＳ２９１１などを適切に実施するために、クライアント（通信相手ノード１０４）に通知しておく必要がある各種情報である（例えば通常であればＤＨＣＰＯＦＦＥＲで送信すべき情報をここに含めてしまうことを想定している）。
【０１１７】
図３７は、図３５の動作シーケンスをＤＨＣＰを適用することにより具体化したものを示している。図３７では、遠隔起動要求に対し、本来はＤＨＣＰＯＦＦＥＲメッセージで通知されるべき各情報を付加おくことによって、通常のＤＨＣＰサーバ選択処理が発生しないようにしている。また、通信相手ノード１０４も通知されたメッセージに含まれていた情報を使って、ＤＨＣＰＲＥＱＵＥＳＴの状態から動作を開始している。
【０１１８】
さらに別の方法として、別のネットワーク情報通知サーバが送信した情報を無効化するメッセージをＶＰＮ終端装置２１７から強制的に送出することによって、意図しない情報の利用を無効化（妨害）する方法が考えられる。第２の実施形態に係る動作シーケンスにこの方法を適用したもの、すなわちネットワーク情報取得要求を妨害することによるネットワーク情報通知サーバの選択のシーケンスを図３８に示す。
【０１１９】
図３８ステップＳ３２０４では、一般的に行われるようにネットワーク情報取得要求がネットワーク上にブロードキャストされ、それに応答する形で意図しないネットワーク情報通知サーバから応答が返される（ステップＳ３２０５）。このため、ＶＰＮ終端装置２１７がステップＳ３２０５で通知された情報を無効化するメッセージを送信する（ステップＳ３２０６）。その後、正規のネットワーク情報取得応答を送信することによって、通信相手ノード１０４にネットワーク情報を通知する。
【０１２０】
図３９はＤＨＣＰを例に図３８を具体化したものである。また、図４０はＲｏｕｔｅｒＡｄｖｅｒｔｉｓｅｍｅｎｔ（ＲＡ）を使用して具体化した例を示している。
【０１２１】
さらに別の方法として、ＬＡＮ上のネットワーク情報通知サーバ同士が連携して、常に適切なネットワーク情報を通知するという方法も考えられる。第２の実施形態に係る動作シーケンスにこの方法を適用したものを図４１に示す。
【０１２２】
（１）はじめの「ネットワーク情報管理表修正」と「パケットフィルタ設定変更」の間に、連携するネットワーク情報通知サーバの有無を確認する。もし、あれば該サーバに「ネットワーク情報管理表」の変更内容を通知する。この処理をすべての連携サーバに対して繰り返す
（２）上記（１）の変更に伴いエラーが発生した場合に「ネットワーク管理表復元」に関連する操作を同様に通知する処理を行う。
【０１２３】
（３）「ネットワーク情報取得要求受信待ち」の状態で「同期メッセージ」を受信したかどうかの判断を行う
（４）上記（３）で「同期メッセージ」を受信していれば、ループを抜ける（以降の処理はループ後の「ネットワーク情報取得応答」を行わないこと、ネットワーク管理表を同期メッセージに含まれていた内容で更新することが異なる）
（５）「ネットワーク情報取得要求受信待ち」の状態でネットワーク情報取得要求を受信した場合には、普通にループを抜けた後「ネットワーク管理表修正」と「ネットワーク情報取得応答」の間で「同期メッセージ」を連携して動作するネットワーク情報通知サーバに送信する処理を行う。
【０１２４】
ＶＰＮ終端装置２１７がＶＰＮ接続要求を受信すると、同要求によって起動するノードにアサインすべきネットワーク情報を決定する（ステップＳ３５０２）。続いて、同ネットワーク情報をＬＡＮ上の他のネットワーク情報通知サーバに通知する（ステップＳ３５０３）。これにより、ＬＡＮ上の他のネットワーク情報通知サーバも同じ情報を共有した状態になる。
【０１２５】
同シーケンスではネットワーク情報取得要求がＬＡＮ上にブロードキャストされ、結果として他のネットワーク情報通知サーバが受信した場合を示している。この場合、要求を受信したサーバはＶＰＮ終端装置２１７と同じ情報を持っていることから、適切にネットワーク情報を割り当てることができる（ステップＳ３５０７）。割り当てるべき情報が確定したら、その旨をＶＰＮ終端装置２１７に通知して（ステップＳ３５０８）、ネットワーク情報管理表２１４の内容を同期する。同期が完了したら要求元である通信相手ノード１０４に情報を通知する（ステップＳ３５０９）。
【０１２６】
図４２は、図４１の手順をＲｏｕｔｅｒＡｄｖｅｒｔｉｓｅｍｅｎｔを例に具体化したものである。この場合、ステップＳ３６０３において通信相手ノード１０４に割り当てるプレフィックスをＬＡＮ上の他のルータに通知する。通信相手ノード１０４が起動した後、ＲｏｕｔｅｒＳｏｌｉｃｉｔａｔｉｏｎ（ＲＳ）が送信されるとＬＡＮ上の各ルータはＲｏｕｔｅｒＡｄｖｅｒｔｉｓｅｍｅｎｔ（ＲＡ）で応答する。同図ではＶＰＮ終端装置２１７以外の別のルータがＲＡで応答している（ステップＳ３６０９）。この際、ＲＡに含まれるＲｏｕｔｅｒＬｉｆｅｔｉｍｅを０にして通知することで、同ルータがデフォルトルータとして採用されないように通知することができる。同様に、ステップＳ３６１０においてＶＰＮ終端装置２１７がＲＡを送信し、プレフィックスを伝えている。このとき、ＶＰＮ終端装置２１７は対応するプレフィックスのデフォルトルータとして振る舞うため、適切なＲｏｕｔｅｒＬｉｆｅｔｉｍｅを設定している。
【０１２７】
図４１の手順はＤＨＣＰを利用する場合も同様に適用することができる。このような方法はＤＨＣＰサーバの耐障害性を向上する手法として一般的に使用されている。ただし、本実施形態では割り当てるアドレスなどサーバ間で共有される情報はＶＰＮ接続をきっかけとして変更される点が異なる。
【０１２８】
［対象とするノードが事前に起動していた場合の処理］
上述した各実施形態において、ＶＰＮ接続から要求された通信相手ノードが既に起動している場合、ＶＰＮ終端装置２１７の対応方法は大きく３つに分けることができる。
【０１２９】
第１の方法は、接続を受け付け、（プロトコル的に実現可能であれば）強制的に複数のネットワーク情報を割り当てるというものである（例えば図４３で述べたものであり、第１の実施の形態においては第４の変化形として述べた。）。
【０１３０】
第２の方法は、接続を受け付け、割当て済みネットワーク情報を共有するというものである（例えば図４４を参照）。
【０１３１】
第３の方法は、常に接続を拒否するというものである（例えば図４５を参照）。
【０１３２】
また、後述するようにポリシ制御部とポリシデータベースを設け、通信相手ノードＩＤやＶＰＮ利用者ＩＤなどの情報を考慮しながら、対応を判断する方法を採ることも可能である。
【０１３３】
［ポリシ制御部及びポリシデータベースの追加に関して］
第２の実施形態について、管理者の設定に基づく種々の条件判断に基づいてＶＰＮ終端装置２１７の動作を変えるように拡張することができる。この拡張を行うため、図１９に示した第２の実施形態に係るＶＰＮ終端装置２１７の構成に対し、図４６に示すようにポリシ制御部とポリシデータベースを追加する。
【０１３４】
図４６に示されるＶＰＮ終端装置は、インターネットなどの広域ネットワークとの接続のための物理的なＷＡＮインターフェイス３７０１、遠隔サイトのＶＰＮクライアントとのＶＰＮ接続のための論理的なＶＰＮインターフェイス３７０２〜３７０３、ＬＡＮとの接続のための物理的なＬＡＮインターフェイス３７０４〜３７０５、論理的なＶＰＮインターフェイスと物理的なＬＡＮインターフェイスとの間で透過的にパケットを転送するためのＩ／Ｆブリッジ部３７０６を備える。
【０１３５】
各インターフェイスを通過するパケットに対して、許可／不許可といった制御を行うパケットフィルタ部３７０７、パケットフィルタ部３７０７が適用するポリシを管理しておくパケットフィルタ管理表３７０８、パケットのフォワーディングを行うフォワーディング部３７０９、フォワーディング部３７０９が参照するフォワーディングテーブル３７１０、ＶＰＮ関連処理を実行するＶＰＮ処理部３７１１、確立したＶＰＮに関する情報を記憶しておくＶＰＮ状態管理表３７１２、ＬＡＮに接続するノードに対してアドレスなどのネットワーク情報を割り当てるネットワーク情報配布部３７１３、ネットワーク情報配布部３７１３が管理している各種情報を保存しておくネットワーク情報管理表３７１４、ＬＡＮに接続するノードを遠隔から起動する命令を送信する遠隔起動部３７１５、本装置を介してＶＰＮが利用できるＶＰＮクライアント１０２及び通信相手ノード１０４に関する情報が記述されたＶＰＮ利用者データベース３７１６、様々な条件下でＶＰＮ確立の可否を判断するポリシ制御部３７１７、ポリシ制御部３７１７が判断の基準として利用するポリシデータベース３７１８である。
【０１３６】
図４７は、ポリシデータベース３７１８の一例を示す図である。ポリシ番号３８０１は各ポリシを識別するためのＩＤであり、単なる識別以上の意味は持たない。条件３８０２は判断の基準となる条件であり、図４７では自然言語で記述されているが実際には適切な論理式へと変換されて格納される。また、同条件で使用可能な識別子は本装置内の各管理表やＶＰＮ利用者データベース、ネットワークインターフェイス名、ネットワーク情報（アドレスなど）が利用可能である。可・不可３８０３は条件３８０２に適合する事象に対して、ＶＰＮ接続もしくはＶＰＮ接続経由でのノード利用を許可するか否かを示すものである。
【０１３７】
例えば同図に示される０番のポリシでは、ＶＰＮ終端装置２１７（図２１参照）が複数のＶＰＮ接続を受け付け、かつそれら複数のＶＰＮ接続を経由したノードＸに対する複数のアクセスを許可していることを示す。また１番のポリシでは、ネットワーク情報の複数割当ては許可されていないため、複数のＶＰＮ経由のアクセスに対して最初の接続時に割り当てたネットワーク情報を残りの接続でも共有することを示している。同様に、２番のポリシではノードＹに対しては複数のＶＰＮ経由のアクセスを禁止していることを示しており、３番のポリシはノードＺは本装置以外の方法で起動された場合であってもＶＰＮ経由のアクセスを禁止することを示している。
【０１３８】
なお、図４７に示したポリシデータベースはあくまで一例であり、発生しうる条件を列挙して対応表を作っても良い。そのような例を図４８に示す。
【０１３９】
追加されたポリシ制御部及びポリシデータベースを使った動作シーケンスの例を示す。
【０１４０】
図４９はＶＰＮ終端装置が存在確認を行った場合に当該通信相手ノードから応答があった場合の処理に対して、ポリシデータベースに定義されたポリシを用いてポリシ制御部より判断を行い、ＶＰＮ確立処理を行うという状況を示している。
【０１４１】
ステップＳ４００２で行った通信相手ノード存在確認において応答があった場合（ステップＳ４００３）、同ノードは起動していることを示す。その時、もしＶＰＮ終端装置２１７自身が当該ノードを起動させていた場合、通常と同様にネットワーク情報管理表を検索すると、対応するネットワーク情報を取得することができる（Ｓ４００４）。もし、ＶＰＮ終端装置２１７が起動していなかった場合（すなわち利用者が手動で起動させた場合など）は対応する情報が得られない場合がある。
【０１４２】
いずれの場合も、ノード起動・ＶＰＮ確立処理はポリシ制御部３７１７を呼出し、現状況化でＶＰＮ接続を許可するか否かの判断を行う。ポリシ制御部３７１７は、現在の状況（利用者データベース３７１６、ネットワーク情報管理表３７１４、ＶＰＮ状態管理表３７１２）及びポリシデータベース３７１８を利用し、対応するＶＰＮ接続ならびに通信相手ノード１０４が利用可能かどうかを判断する。
【０１４３】
例えば、図４７のポリシデータベースを持つＶＰＮ終端装置において、通信相手ノードＸを利用するＶＰＮ接続要求を受け付けていると仮定し、さらに図４９におけるステップＳ４００４において対応する情報が見つかった場合（すなわち、かつてＶＰＮ終端装置自身が当該ノードを起動させていた場合）を考える。
【０１４４】
この場合、図４７に示したポリシデータベースの０番と１番のポリシが該当し、通信相手ノードＸは複数のＶＰＮ接続経由のアクセスを受け付ける。割り当てられるネットワーク情報は常に１つということがわかる（このような処理はポリシ制御部３７１７が行う）。この結果、図４９では当該通信相手ノードＸが持つネットワーク情報がかつて割り当てた情報（この場合はアドレスのみ）と等しいことを調べ（ステップＳ４００６）、同応答に含まれるアドレスをＶＰＮ確立応答とともにＶＰＮクライアントに返している（Ｓ４００８）。なお、ステップＳ４００７とＳ４００８は省略してもよい。
【０１４５】
同様に、通信相手ノードＺが既に起動している状態でＶＰＮ接続要求を受け付けた場合のシーケンスを図５０に示す。この場合、図４７ポリシ番号３のポリシにより接続が拒否されるため、エラー応答を返している。
【０１４６】
同様に、図５１は既に起動しているノードに対するＶＰＮ接続要求を受け付け、かつ対応するポリシが「複数のＶＰＮ経由のアクセスを許可する」「複数のネットワーク情報の割当てを許可する」というものであった場合のシーケンスを示す。また、図５２はポリシ制御に基づくＶＰＮ確立要求処理におけるＶＰＮ終端装置内部のシーケンス（配布の前処理まで）を示し、図５３は、同シーケンスに対応するＶＰＮ終端装置内部の動作フローを示している。
【０１４７】
この場合、ポリシ制御部３７１７の判断に基づき、新たなネットワーク情報が必要と判明したため、ステップＳ４２０６で該ノードに割当て可能な新しいネットワーク情報を取得し（ステップＳ４２０６）、続くステップＳ４２０７でネットワーク情報管理表に登録した後、ステップＳ４２０８で割当てを行っている。さらに、その情報をステップＳ４２１２で返している。
【０１４８】
なお、一連の動作において、ポリシ制御部で決定された判断に基づいてＶＰＮ処理部は種々の動作を行う。前述の３つのシーケンスでは、ネットワーク情報の追加取得があったが、その他にも「割当て済の情報を破棄（更新の禁止）」「割当て済の情報を無効化（即時無効化）」「ＶＰＮ接続の中断」などの処理が考えられる。いずれも図４６に示した構成内で実現可能な動作を行う。
【０１４９】
［複数のノードを同時に扱う場合の処理］
これまでに述べたすべての実施形態は、１つのＶＰＮ接続要求で１つの通信相手ノードと１つのＶＰＮクライアントを通信可能な状態にする方法について述べてきた。ここでは複数のノードに対して同時に扱う方法について述べる。
【０１５０】
複数のノードを一度に扱えるようにするため、「グループ」という概念を定義する。グループは一つのグループＩＤと１つ以上のメンバーを示すＩＤで構成される。また、グループはＶＰＮ利用者データベースと同じノードにより管理される。すなわち、ＶＰＮ管理サーバが存在する場合にはＶＰＮ管理サーバにより管理し、存在しない場合にはＶＰＮ終端装置により管理する。
【０１５１】
図５４はグループに対応した第２の実施形態におけるＶＰＮ終端装置を示す図である。同図は図１９の構成にグループデータベース４７１７が追加されたものである。他の構成要素については図１９に示したものとほぼ同様である。
【０１５２】
グループデータベースの一例を図５５に示す。この図に示すように、グループデータベース４７１７の一つのエントリはグループＩＤ、メンバーＩＤ、同グループに割り当てるネットワーク情報で構成される。このグループデータベース４７１７に登録されているグループＩＤは、ＶＰＮ利用者データベース４７１６あるいはポリシデータベース３７１８（図４６参照）において使用することができる。
【０１５３】
例えば、ＶＰＮ利用者データベースの通信相手ノードＩＤとして、図５５におけるグループＩＤであるＧＩＤ＿２が指定されていたと仮定する。この場合、遠隔起動部３７１５は２つのノードＤＩＤ＿２とＤＩＤ＿４に対して遠隔起動依頼を送信する。また、ネットワーク情報配布部３７１３は両ノードに対してネットワーク情報を配布する。さらにＶＰＮクライアントに返すＶＰＮ確立応答は、グループメンバーの各ネットワーク情報を含んだ形で返される。
【０１５４】
もし、グループのメンバー内の一部のノードが所望の動作をしなかった場合（例えば、遠隔起動依頼を送信する前に既に起動していた等）には、その動作からの回復処理を実施しても良いし、エラーをＶＰＮクライアントに返しても良い。またこれらの判断をポリシ制御部とポリシデータベースを導入して柔軟に定義できるようにしても良い。
【０１５５】
以上説明した本発明の実施形態によれば、ＶＰＮを利用して遠隔アクセスを実現する際に通信相手ノードを常に起動しておく必要がなくなるため、以下の点が改善される。
【０１５６】
・システム全体として低消費電力を実現することができる。
【０１５７】
・通信相手ノードの不正使用を防止でき、セキュリティを向上できる。
【０１５８】
・ＶＰＮ終端装置が通信を管理することからＶＰＮを介した通信と通常のＬＡＮ内の通信とを明確に区別することができる。これもセキュリティの向上につながる。
【０１５９】
・ＶＰＮを利用する遠隔ノードに特別な設定が不要であることから、利便性を向上できる。
【０１６０】
なお、本発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。
【図面の簡単な説明】
【０１６１】
【図１】本発明の第１の実施形態に係るシステムの全体構成図
【図２】ＶＰＮ終端装置の内部構成を示すブロック図
【図３】ＶＰＮ管理サーバの内部構成を示すブロック図
【図４】ＶＰＮ利用者データベースの詳細を示す図
【図５】ＶＰＮ終端装置データベースを示す図
【図６】本発明の第１の実施形態に係るシステムの動作シーケンスを示す図
【図７】ネットワーク情報管理表の設定時における値の変化を示す図
【図８】データリンク層に適用するパケットフィルタルールの一例を示す図
【図９】データリンク層に適用するパケットフィルタルールの一例であって、レイヤ３ＶＰＮに適用する場合のものを示す図
【図１０】ネットワーク層に適用するパケットフィルタルールの一例を示す図
【図１１】ネットワーク情報の有効期限更新を説明するための図
【図１２】ＶＰＮ接続延長を説明するための図
【図１３】ネットワーク情報の有効期限切れに伴う切断を説明するための図
【図１４】ＶＰＮクライアントからの明示的な切断を説明するための図
【図１５】アクセス先ノードが起動していた場合の処理を説明するための図
【図１６】複数のネットワーク管理情報が格納されたＶＰＮ状態管理表を示す図
【図１７】ＶＰＮ管理サーバにおけるネットワーク情報の再検索及び再接続を説明するための図
【図１８】本発明の第２の実施形態に係るシステムの全体図
【図１９】第２の実施形態において用いられるＶＰＮ終端装置の内部構成を示す図
【図２０】第２の実施形態に係るＶＰＮ利用者データベースの構成を示す図
【図２１】第２の実施形態における動作シーケンスを示す図
【図２２】ＶＰＮ終端装置内部についての動作シーケンスを示す図
【図２３】ＶＰＮ終端装置内部についての動作シーケンスを示す図
【図２４】ＶＰＮ終端装置内部についての動作を示すフローチャート
【図２５】ＶＰＮ終端装置内部についての動作を示すフローチャート
【図２６】本発明の第３の実施形態に係るシステムの全体構成を示す図
【図２７】本発明の第３の実施形態に係るＶＰＮ終端装置の内部構成を示す図
【図２８】第３の実施形態における動作シーケンスを示す図
【図２９】通信相手ノード認証を行う場合のＶＰＮ利用者データベース
【図３０】通信相手ノードの認証機構を使ったネットワーク全体での動作シーケンスを示す図
【図３１】通信相手ノードの認証機構を使ったネットワーク全体での動作を示すフローチャート
【図３２】通信相手ノードの認証機構を使ったネットワーク全体での動作を示すフローチャート
【図３３】ネットワーク情報を要求したノードを認証できない場合の動作シーケンスを示す図
【図３４】認証情報（チャレンジ）の計算と認証情報（レスポンス）の確認をＶＰＮ管理サーバが行う場合を示す図
【図３５】複数のネットワーク情報提供ノードがＬＡＮ上に存在するシステムにおける動作シーケンスを示す図
【図３６】アドレス付き遠隔起動依頼の例を示す図
【図３７】図３５の動作シーケンスをＤＨＣＰを適用することにより具体化した例を示す図
【図３８】ネットワーク情報取得要求を妨害することによるネットワーク情報通知サーバの選択のシーケンスを示す図
【図３９】ＤＨＣＰにより図３８を具体化した例を示す図
【図４０】ＲｏｕｔｅｒＡｄｖｅｒｔｉｓｅｍｅｎｔ（ＲＡ）により図３８を具体化した例を示す図
【図４１】ネットワーク情報通知サーバ間の連携を示す図
【図４２】ＲｏｕｔｅｒＡｄｖｅｒｔｉｓｅｍｅｎｔにより図４１を具体化した例を示す図
【図４３】対象とするノードが事前に起動していた場合の処理であって、強制的に複数のネットワーク情報を割り当てる場合を示す図
【図４４】対象とするノードが事前に起動していた場合の処理であって、割当て済みネットワーク情報を共有する場合を示す図
【図４５】対象とするノードが事前に起動していた場合の処理であって、常に接続を拒否する場合を示す図
【図４６】ポリシ制御部とポリシデータベースが追加されたＶＰＮ終端装置の内部構成を示すブロック図
【図４７】ポリシデータベースの一例を示す図
【図４８】ポリシデータベースの別の例を示す図
【図４９】ポリシ制御部に基づくＶＰＮ確立要求のシーケンスを示す図
【図５０】通信相手ノードが既に起動している状態でＶＰＮ接続要求を受け付けた場合のシーケンスを示す図
【図５１】ポリシ制御部に基づくＶＰＮ確立要求のシーケンスを示す図
【図５２】ポリシ制御に基づくＶＰＮ確立要求処理におけるＶＰＮ終端装置内部のシーケンスを示す図
【図５３】図５２のシーケンスに対応するＶＰＮ終端装置内部の動作を示すフローチャート
【図５４】グループに対応した第２の実施形態におけるＶＰＮ終端装置を示す図
【図５５】グループデータベースの一例を示す図
【符号の説明】
【０１６２】
１０１…広域ネットワーク（インターネット）；１０２…ＶＰＮクライアント；１０３…ＶＰＮ終端装置；１０４…通信相手ノード；１０５…ＶＰＮ管理サーバ
【技術分野】
【０００１】
本発明は仮想私設通信網（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ、以下「ＶＰＮ」という。）に係り、特に、遠隔サイトのクライアントノードからの要求に応じてネットワーク内の通信相手ノードを遠隔起動し、該通信相手ノードにネットワーク情報を付与する通信装置、通信方法、及びプログラムに関する。
【背景技術】
【０００２】
ネットワークに接続されたノードを遠隔から起動する仕組みとして、Ｗａｋｅ ｏｎ ＬＡＮ（ＷｏＬ）が利用されている。ＷｏＬによれば、ＶＰＮを用いてアクセスされるノードの電源を常時、ＯＮにしておく必要がない。しかし、ＷｏＬは同一ＬＡＮ内での利用を前提としており、インターネットなどの広域ネットワークを越えて利用することはできない。これに対し、下記特許文献１及び下記特許文献２には、インターネットを越えてノードを遠隔から起動する方法について記載されている。
【特許文献１】特開２００３−３１９０８３号公報
【特許文献２】特開２００５−５１４７３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
多くのネットワークでは動的ホスト構成プロトコル（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ；ＤＨＣＰ）を使った動的なアドレスの割当て及び管理が行われており、実際にアクセスする際に、ネットワーク内の個々のノードが持つアドレスが不定となる。これは、遠隔サイトのクライアントノードからネットワーク内の通信相手ノードを遠隔起動してＶＰＮ通信を行う場合に問題となる。アドレス不定が問題となる場合、遠隔サイトのノードに対する通信相手のノードのＩＰアドレスを不変（固定ＩＰ）にするか、通信相手ノードのアドレスを解決する手段をＶＰＮシステム、アクセス元ＶＰＮクライアント、該通信相手ノード自体のいずれかが備えていなければならない。
【０００４】
また、アドレス不定の問題が生じる場合には、該通信相手ノードが行う通信が、ローカルエリアネットワーク内で行われる通常の通信であるか、それともＶＰＮを用いた特定の通信であるかをＩＰアドレスなどのネットワーク層アドレスを用いて区別することも困難である。
【０００５】
本発明は、遠隔サイトのノードに対する通信相手ノードを該遠隔サイトのノードからの要求に応じて遠隔起動し、その際にアドレス解決のための情報を含むネットワーク情報を該通信相手ノードに割り当てる通信装置、通信方法、及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
本発明の一観点に係る通信装置は、第１の通信装置と第２の通信装置との間の仮想私設網（ＶＰＮ）通信を制御する通信装置において、前記第１の通信装置のノードＩＤに対し、前記第２の通信装置のＩＤ、該第２の通信装置のＭＡＣアドレス及び該第２の通信装置のネットワーク情報を関連付けるＶＰＮ利用者データベースと、前記第１の通信装置のノードＩＤ及び前記第２の通信装置のノードＩＤを含んだＶＰＮ接続要求を受信し、該第１の通信装置のノードＩＤ及び第２の通信装置のノードＩＤにより前記ＶＰＮ利用者データベースを参照して前記第２の通信装置のＭＡＣアドレスを求め、該第２の通信装置のＭＡＣアドレスを含んだ遠隔起動依頼を生成するＶＰＮ処理部と、前記遠隔起動依頼に含まれるＭＡＣアドレスにより特定される前記第２の通信装置を遠隔起動する遠隔起動部と、前記遠隔起動部により起動された前記第２の通信装置から情報取得要求を受信し、該情報取得要求に応じて前記ネットワーク情報を該第２の通信装置に対して配布するネットワーク情報配布部と、を具備する。
【発明の効果】
【０００７】
本発明によれば、遠隔サイトのノードに対する通信相手ノードを該遠隔サイトのノードからの要求に応じて遠隔起動し、その際にアドレス解決のための情報を含むネットワーク情報を該通信相手ノードに割り当てる通信装置、通信方法、及びプログラムを提供できる。
【発明を実施するための最良の形態】
【０００８】
以下に説明する実施形態はＶＰＮの接続管理、通信相手ノードの起動、通信相手ノードに対する、アドレスを含むネットワーク情報の配布、及び通信相手ノードの通信管理等を行うＶＰＮ終端装置に本発明を適用したものである。
【０００９】
（第１の実施形態）
図１は本発明の第１の実施形態に係るシステムの全体構成図である。図１において、１０１はインターネットなどの広域ネットワーク、１０２はＶＰＮを用いて遠隔サイトへの接続を行うＶＰＮクライアント、１０３はＶＰＮ接続を終端するとともにアドレスなどのネットワーク関連情報の配布機能及び通信を制限する機能を有するＶＰＮ終端装置、１０４はＶＰＮを経由して接続される通信相手ノード、１０５はＶＰＮ接続要求を仲介し、管理するＶＰＮ管理サーバである。なお、ＶＰＮ終端装置１０３はネットワーク上のノードを遠隔から起動するための機構を持ち、通信相手ノード１０４はＶＰＮ終端装置１０３が送信する起動要求に基づいて自身を起動する機構を備える。さらにＶＰＮ終端装置１０３はルータであり、該サイトと広域ネットワークとを接続する機能を備える。
【００１０】
図２はＶＰＮ終端装置の内部構成を示すブロック図である。ＶＰＮ終端装置１０３はインターネットなどの広域ネットワーク１０１との接続のための物理的なＷＡＮインターフェイス２０１、遠隔サイトのＶＰＮクライアントとのＶＰＮ接続のための論理的なＶＰＮインターフェイス２０２〜２０３、ＬＡＮとの接続のための物理的なＬＡＮインターフェイス２０４〜２０５、論理的なＶＰＮインターフェイスと物理的なＬＡＮインターフェイスとの間で透過的にパケットを転送するためのＩ／Ｆブリッジ部２０６を有する。
【００１１】
また、ＶＰＮ終端装置１０３は、上記の各インターフェイスに到来するパケットに対してその通過の許可及び不許可の制御を行うパケットフィルタ部２０７、パケットフィルタ部２０７に適用されるポリシが記述されたパケットフィルタ管理表２０８、パケットのフォワーディングを行うフォワーディング部２０９、フォワーディング部２０９が参照する転送データベース（ＤＢ）２１０、ＶＰＮ関連処理を実行するＶＰＮ処理部２１１、確立したＶＰＮに関する情報を記録するＶＰＮ状態管理表２１２、ＬＡＮに接続するノードに対してアドレスなどのネットワーク情報を割り当てるネットワーク情報配布部２１３、ネットワーク情報配布部２１３が管理している各種情報を保存するためのネットワーク情報管理表２１４、ＬＡＮに接続するノードを遠隔から起動する命令を送信する遠隔起動部２１５を有する。
【００１２】
なお、アクセス先のＬＡＮと通信相手ノードとの間でネットワーク層データグラムを交換するレイヤ３ＶＰＮを構築する場合には、ブリッジ部２０６を設けなくても良い。本発明の実施形態では、通信制限をパケットフィルタにより行うものと仮定しているためパケットフィルタ部２０７を備えているが、パケットフィルタとは異なる別の方法により通信制限を行っても良い。
【００１３】
図３はＶＰＮ管理サーバの内部構成を示すブロック図である。ＶＰＮ管理サーバ１０５は、インターネットなどの広域ネットワーク１０１と接続するためのインターフェイス３０１〜３０２、ＶＰＮクライアント１０２とＶＰＮ終端装置１０３との間でＶＰＮ関連のメッセージを中継するＶＰＮ中継部３０３、ＶＰＮ管理サーバ１０５が中継を行うことによって確立されたＶＰＮ接続の状態を記述するＶＰＮ状態管理表３０４、ＶＰＮ管理サーバ１０５を介してＶＰＮを利用可能なＶＰＮクライアント、ＶＰＮ終端装置、及び通信相手ノードに関する情報を記憶するＶＰＮ利用者データベース３０５、ＶＰＮ管理サーバ１０５を介してＶＰＮ接続を受け付けるＶＰＮ終端装置１０３のネットワーク情報を記憶するＶＰＮ終端装置データベース３０６を有する。
【００１４】
第１の実施形態に係るシステムにおいて、ＶＰＮを確立して通信を行うためには、はじめにＶＰＮ管理サーバ１０５が管理するＶＰＮ利用者データベース３０５を準備する必要がある。
【００１５】
図４にＶＰＮ利用者データベース３０５の詳細を示す。ＶＰＮ利用者データベース３０５は、利用者ノードＩＤ、ＶＰＮ終端装置ＩＤ、通信相手ノードＩＤ、通信相手ノードＭＡＣアドレス、通信相手ノードネットワーク情報の４つの情報から構成される。
【００１６】
利用者ノードＩＤはＶＰＮ利用者（ＶＰＮクライアント）を特定する識別子である。ＶＰＮ終端装置ＩＤは、利用者ノードＩＤで特定されるＶＰＮクライアントが使用するＶＰＮを終端するノード（ＶＰＮ終端装置）の識別子である。
【００１７】
通信相手ノードＭＡＣアドレスは、ＶＰＮ終端装置により終端されるＶＰＮを使ってＶＰＮクライアントが通信する相手のノード（通信相手ノード）のＭＡＣアドレスである。通信相手ノードＩＤはＶＰＮクライアントがＶＰＮを介して通信を行う通信相手ノードの識別子である。
【００１８】
通信相手ノードネットワーク情報は、通信相手ノードに対して、その起動時に付与されるＩＰアドレス、デフォルトゲートウェイ、ＤＮＳサーバ、ドメイン名などのアドレス解決のための情報を含むネットワーク情報のことである。
【００１９】
なお、通信相手ノードネットワーク情報に格納される情報は、前述の内容のみに限定されるものではなく、ＶＰＮ終端装置１０３内のネットワーク情報配布部２１３が配布可能な他の情報を含んでも良い。
【００２０】
ＶＰＮ利用者データベース３０５は、ネットワーク管理者によって事前に設定されるか、ＶＰＮ利用者が自らＷｅｂブラウザなどを使って設定するか、もしくは登録プロトコルによって自動的に設定されてもよく、種々の方法が用いられる。
【００２１】
図５にＶＰＮ終端装置データベースを示す。ＶＰＮ終端装置データベース３０６はＶＰＮ終端装置ＩＤ、アドレス１〜アドレスＮからなるエントリを有する。
【００２２】
ＶＰＮ終端装置ＩＤには、図４に示したＶＰＮ利用者データベース３０５に含まれているＶＰＮ終端装置ＩＤのうち、ある時点で利用可能なＶＰＮ終端装置のＩＤが記述される。つまり、ＶＰＮ利用者データベース３０５に登録されていても現時点ではオフライン状態であるならば、そのＶＰＮ終端装置のＩＤはＶＰＮ終端装置データベース３０６には存在しない。
【００２３】
アドレス１〜アドレスＮにはＶＰＮ終端装置ＩＤによって特定されるＶＰＮ終端装置が使用しているネットワーク層アドレスが記述される。ネットワーク層アドレスには、例えばＩＰｖ４アドレスやＩＰｖ６アドレスがある。
【００２４】
ＶＰＮ終端装置データベース３０６は、ＶＰＮ管理サーバ１０５とＶＰＮ終端装置１０３との間で利用可能な種々の情報確認プロトコルを使って構築される。例えば、ダイナミックＤＮＳによる登録、ＨＴＴＰを使った特定Ｗｅｂページへのアクセス、ＳＩＰを使ったプレゼンス情報の登録といった手段が利用可能である。この他にも、ＶＰＮ終端装置１０３からＶＰＮ管理サーバ１０５に対して自己の識別情報とネットワークアドレス情報を送信可能なプロトコルを利用できる。
【００２５】
なお、前述のように利用可能なノードのみを登録することによってＶＰＮ終端装置データベース３０６を構成することもできるが、利用可否というエントリをＶＰＮ利用者データベース３０５に追加して利用可／不可を区別するようにしても良い。いずれにせよ、利用可能なＶＰＮ終端装置１０３の情報を管理できる形式であれば良い。
【００２６】
ＶＰＮ状態管理表３０４には、図４に示したＶＰＮ利用者データベース３０５のエントリに対し「状態」、「確立時刻」、「有効期限」の３つのエントリを追加したものが登録される。「状態」には、接続処理中と接続中の２つの状態のいずれかが記述され、「確立時刻」にはＶＰＮ接続が確立もしくは更新された時刻が記述され、「有効期限」にはＶＰＮ接続の有効期限が記述される。これらのエントリは、ＶＰＮクライアント１０２もしくはＶＰＮ終端装置１０３からの確立要求、更新要求、あるいは切断要求をＶＰＮ中継部３０３が処理した際に更新される。図４のＶＰＮ利用者データベース３０５において通信相手ノードＭＡＣアドレスの欄に複数のエントリが登録されているとき、ＶＰＮ状態管理表３０４には、この複数のエントリのうち実際に使用されているエントリに対応する情報のみが記述される。
【００２７】
図６は第１の実施形態に係るシステムの動作シーケンスを示す図である。この動作シーケンスの概略を述べると、遠隔のＶＰＮクライアント１０２からのＶＰＮ確立要求によりＶＰＮ終端装置１０３がＶＰＮクライアント１０２に対する通信相手ノード１０４を起動し、同ＶＰＮ終端装置１０３がこの起動した通信相手ノード１０４に対してネットワーク情報の配布及び通信管理設定を行う、というものである。以下、動作シーケンスの詳細を説明する。
【００２８】
先ずＶＰＮクライアント１０２がＶＰＮ接続要求をＶＰＮ管理サーバ１０５に向けて送信する。このＶＰＮ接続要求はＶＰＮクライアント１０２のＩＤ（利用者ノードＩＤ）、ＶＰＮ終端装置ＩＤ、及び通信相手ノードＩＤを含んでいる。
【００２９】
ＶＰＮ管理サーバ１０５がＶＰＮ接続要求を受信すると、ＶＰＮ中継部３０３はその要求内容を検査する。この検査は次のステップを含む。
【００３０】
（１）要求送信元を示す利用者ノードＩＤがＶＰＮ利用者データベース３０５に登録されていること
（２）要求に含まれるＶＰＮ終端装置ＩＤが、要求送信元を示す利用者ノードＩＤとＶＰＮ利用者データベース３０５において関連付けられていること
（３）要求に含まれるＶＰＮ終端装置ＩＤがＶＰＮ終端装置データベース３０６に存在すること（利用可能とされていること）。
【００３１】
（４）要求に含まれるＶＰＮ終端装置ＩＤに対応するアドレスがＶＰＮ終端装置データベース３０６において１つ以上格納されていること
（５）要求に含まれる通信相手ノードＩＤが、ＶＰＮ利用者データベース３０５における利用者ノードＩＤ及びＶＰＮ終端装置ＩＤの２つの情報で特定されるエントリに含まれていること
（６）通信相手ノードＩＤに対応する通信相手ノードＭＡＣアドレスが、ＶＰＮ利用者データベース３０５に登録されていること
（７）通信相手ノードＩＤに対応する通信相手ノードネットワーク情報が、ＶＰＮ利用者データベース３０５に登録されていること
以上の検査ステップを経て必要な情報がすべて存在することが確認されたら、当該ＶＰＮ接続要求内の各エントリを抽出する。続いて、ＶＰＮ管理サーバ１０５のＶＰＮ中継部３０３は抽出したエントリに基づいてＶＰＮ状態管理表３０４を書き換えるとともに、ＶＰＮ接続要求をＶＰＮ利用者データベース３０５で特定されるＶＰＮ終端装置１０３に対して送信する。これによりＶＰＮクライアント１０２からＶＰＮ終端装置１０３へのＶＰＮ接続要求はＶＰＮ管理サーバ１０５により中継される。なお、中継されるＶＰＮ接続要求は、ＶＰＮクライアント１０２から送信されたＶＰＮ接続要求に加え、通信相手ノードＭＡＣアドレス及び通信相手ノードネットワーク情報を含んでいる。通信相手ノードＭＡＣアドレス及び通信相手ノードネットワーク情報は、ＶＰＮ接続要求から抽出したエントリ（利用者ノードＩＤ、ＶＰＮ終端装置ＩＤ、通信相手ノードＩＤ）によりＶＰＮ利用者データベース３０５を検索して取得されるものである。
【００３２】
なお、１つのＶＰＮ接続要求にすべての情報を格納することとせずに、ＶＰＮクライアント１０２からのＶＰＮ接続要求のみを含むＶＰＮ接続要求と、それに続くネットワーク情報通知とからなる構成としてもよい。また、これらの一連の要求と応答は適切な暗号・認証手法などを用いて保護することが好ましい。
【００３３】
次に、ＶＰＮ管理サーバ１０５から中継されたＶＰＮ接続要求を受信したＶＰＮ終端装置１０３は、このＶＰＮ接続要求から通信相手ノードＭＡＣアドレス、及び通信相手ノードネットワーク情報を抽出する。
【００３４】
続いて、抽出した通信相手ノードＭＡＣアドレスを持つノードがネットワーク上に存在し動作しているかどうかを確認する。これは、レイヤ２レベルのアドレス解決を行うパケットを送信することで行い、例えばＩＰｖ４のＡＲＰやＩＰｖ６のＮｅｉｇｈｂｏｒ Ｄｉｓｃｏｖｅｒｙが利用できる。
【００３５】
上記確認手順によって、ＶＰＮ接続要求で指定されたＭＡＣアドレスを持つノードが既に起動していた場合には、該ノードに割り当てられているネットワーク情報の有無を確認する。これはＶＰＮ終端装置１０３内のネットワーク情報管理表２１４に、該ノードについて、前記受信したＶＰＮ接続要求に含まれているネットワーク情報と同一の情報が存在するか否かを確認することによって行う。この結果、既に同じ情報が配布されていることが判明した場合には、起動／配布処理を省略し、後述するパケットフィルタの変更処理を行う。もし、違う情報が配布されている場合には利用するネットワークプロトコルによって対応を変える必要がある。これについては第４の変形例として後述する。
【００３６】
確認手順によってＶＰＮ接続要求で指定されたＭＡＣアドレスを持つノードが起動していないことが確認できた場合（すなわちＡＲＰやＮｅｉｇｈｂｏｒ Ｄｉｓｃｏｖｅｒｙに対して応答がなかった場合）には、ネットワーク情報管理表２１４に前記ＶＰＮ接続要求で受信したネットワーク情報を記述する。続いて、該ＭＡＣアドレスを持つノードすなわち通信相手ノード１０４を起動し、この通信相手ノード１０４に対してネットワーク情報を付与するステップを実行する。
【００３７】
通信相手ノードの起動からネットワーク情報の付与までの一連の処理の手順は以下の通りである。
【００３８】
ＶＰＮ終端装置１０３内のネットワーク情報管理表２１４は、受信したＶＰＮ確立要求から抽出された情報によって適切に設定される必要がある。図７にネットワーク情報管理表の設定時における値の変化を示す。一連の処理を行う前に、ＶＰＮ終端装置１０３のネットワーク情報管理表２１４が図７の上段の状態であったと仮定する。このとき、新規にＶＰＮ確立要求を受信し、その中からネットワーク情報を抽出すると、この抽出されたネットワーク情報は図７中段に示すように同表２１４に追加される。
【００３９】
ネットワーク情報管理表２１４に適切に情報が追加されたら、ＶＰＮ終端装置１０３の遠隔起動部２１５は、通信相手ノード１０４を遠隔起動する。具体的には、ＶＰＮ終端装置１０３の内部では、ＶＰＮ処理部２１１から遠隔起動部２１５に対して、起動すべきノードのＭＡＣアドレスを伴った起動依頼が通知される。遠隔起動部２１５は、このＶＰＮ処理部２１１からの依頼に基づいて、指定されたＭＡＣアドレスを持つノードを起動する処理を行う。これには広く用いられているＷａｋｅ ｏｎ ＬＡＮ（ＷｏＬ）などの仕組みを利用しても良いし、個々の機器や通信メディアに特化した別の方法を利用しても良い。ここで述べるＶＰＮ終端装置１０３ならびにＶＰＮ管理サーバ１０５は、これら複数の起動方法に対応するものとして実施することも可能である。その場合、通信相手ノード１０４とその起動方法との対応を管理しなければならない。この管理は、ＶＰＮ管理サーバ１０５がＶＰＮ利用者データベース３０５内に起動方法の種別を示す情報を記憶し、ネットワーク情報とともにＶＰＮ終端装置１０３に通知する方法や、通信相手ノードＩＤと起動方法との対応関係をＶＰＮ終端装置１０３が独立して管理する方法などが考えられる。
【００４０】
遠隔起動部２１５によって遠隔起動処理が行われた結果、ＶＰＮ接続要求に含まれていた通信相手ノード１０４の起動処理が開始されたと仮定する。一般に、動的にネットワーク情報を取得するように設定されているノードは、起動処理の途中でアドレスを含めた各種ネットワーク情報を動的に取得する（静的に取得するように設定されている場合には、本発明で解決すべき問題自体が起こりえないため、ここでは除外する）。このとき、通信相手ノード１０４がネットワーク情報の取得に利用するプロトコルは、前述のＶＰＮ終端装置１０３のネットワーク情報配布部２１３が対応可能なプロトコル（例えばＤＨＣＰ）でなければならない。通信相手ノード１０４の起動方法を通信相手ノード１０４ごとに特定する場合と同様に、起動すべきノードとネットワーク情報の配布に使用するプロトコルとの対応関係は、通信相手ノード１０４ごとに変更してもよい。その場合、ＶＰＮ管理サーバ１０５から通知しても良いし、ＶＰＮ終端装置１０３が独立して管理しても良い。独立して管理する場合には、通信相手ノードＩＤと配布方法の対応を管理することになる。
【００４１】
通信相手ノード１０４からの情報取得要求は、ＶＰＮ終端装置１０３が受信し、同装置のネットワーク情報配布部２１３において処理される。ネットワーク情報配布部２１３はネットワーク情報管理表２１４を参照し、該情報取得要求の送信元ＭＡＣアドレスが表中に記録されているか否かを確認する。もし、表中に記録されていれば、そのエントリを取得する。表中に記録されていない場合には、該要求はこのＶＰＮ終端装置１０３が管理すべき情報ではないものと判断して無視する。ネットワーク情報配布部２１３は、ネットワーク情報管理表２１４中に記録されたエントリを取得すると、図７の下段に示すように該エントリに対して配布時刻と有効時刻を記入する。配布時刻とは、情報を該当ノードに配布した時刻であり、ここでは現在時刻が記入される。有効時刻とはネットワーク情報配布部２１３及びＶＰＮ管理サーバ１０５のポリシに基づく、配布された情報の有効期限を示す時刻である。後述するように、ＶＰＮ終端装置１０３は、有効時刻までに有効期限の延長要求（ＶＰＮ接続延長（更新）に伴うネットワーク情報の再取得要求）がなかった場合には、対応するＶＰＮ接続を切断する。
【００４２】
ネットワーク情報配布部２１３は、通信相手ノード１０４から受信した情報取得要求に対する応答として、配布すべき情報を含む情報取得応答を送り返す。情報取得応答を受信した通信相手ノード１０４は、応答内から適切に情報を取り出してネットワークインターフェイスなどを適切に設定する。ここまでの処理が完了すると、ＶＰＮ終端装置１０３はノードの接続状況を確認する処理を行う。これには前述の存在確認と同様にＡＲＰやＮｅｉｇｈｂｏｒ Ｄｉｓｃｏｖｅｒｙを用いて行うものとする。
【００４３】
通信相手ノード１０４の存在及び設定が確認できたら、ＶＰＮ管理サーバ１０５に対してＶＰＮ確立応答を返す。このＶＰＮ確立応答には、通信相手ノード１０４に実際に配布したネットワーク情報が含まれる。ＶＰＮ確立応答を受信したＶＰＮ管理サーバ１０５は、自身が管理するＶＰＮ状態管理表３０４から対応するエントリを検索し、このエントリがＶＰＮ接続確立の処理中のエントリであることを確認する。ＶＰＮ確立応答が確立処理中の接続要求に対する応答であることが確認できたならば、ＶＰＮ接続要求を送信したＶＰＮクライアント１０２に対してＶＰＮ確立応答を送信する。ＶＰＮ終端装置１０３からＶＰＮクライアント１０２に対するＶＰＮ確立応答は通信相手ノード１０４のアドレス情報を含んでおり、ＶＰＮ管理サーバ１０５によって中継されることになる。なお、ＶＰＮ管理サーバ１０５は、ＶＰＮ終端装置１０３から受信したＶＰＮ確立応答が確立処理中の接続に対する応答であると判断できなかった場合には、その応答を破棄する。
【００４４】
ＶＰＮ確立応答を受信したＶＰＮクライアント１０２は、同応答に含まれるＶＰＮ通信相手ノード１０４のアドレスを利用して通信相手ノード１０４にアクセスすることが可能となる。
【００４５】
以上説明したように遠隔のＶＰＮクライアント１０２からのＶＰＮ確立要求により、ＶＰＮ管理サーバ１０５が指定したネットワーク設定によって通信相手ノード１０４が起動し、ネットワーク情報が設定されるのであるが、この一連のノード起動処理に並行して、パケットフィルタに関する処理も併せて行われる。この処理によって、通信相手ノード１０４とＶＰＮクライアント１０２のみが通信できる状態を作り出す。この処理は次のように行われる。
【００４６】
ＶＰＮ処理部２１１が受信したＶＰＮ確立要求から抽出されたネットワーク情報は、ネットワーク情報管理表２１４に記録されるとともに、ＶＰＮ処理部２１１自身も利用する。ＶＰＮ処理部２１１はパケットフィルタ部２０７の能力に併せて、ＶＰＮ管理サーバ１０５から通知された情報などを用いてパケットフィルタルールを生成する。ここで生成するルールは、システムごとのポリシに基づいて決定される。このポリシの例として「通信相手ノードとＶＰＮクライアントのみがＶＰＮ通信を可能にする」というものがある。ルールを適用する対象としては様々なものが考えられるが、ここでは一例としてデータリンク層及びネットワーク層で適用する例を挙げる。
【００４７】
図８はデータリンク層に適用するパケットフィルタルールの一例を示している。この例は第１乃至第４のルールを有する。第１のルールは、ＬＡＮインターフェイスから入力されてＶＰＮインターフェイスに送信されるデータリンクフレームのうち、送信元をＭＡＣ２、受信先をＲＣ＿ＭＡＣ１とするフレームのみを許可するというものである。第２のルールではＶＰＮインターフェイスから入力されてＬＡＮインターフェイスに送信されるデータリンクフレームのうち、送信元をＲＣ＿ＭＡＣ１、受信先をＭＡＣ２とするフレームのみを許可する。続く第３及び第４のルールでは、上記以外のデータリンクフレームの通過を禁止する。本ルールはデータリンク層フレームが通信相手ノードとＶＰＮクライアントの間で転送されるレイヤ２ＶＰＮの場合に適用される。
【００４８】
図９は同じくデータリンク層に適用するパケットフィルタルールの一例であって、レイヤ３ＶＰＮに適用する場合のものである。このルールでは出力Ｉ／Ｆの指定がなく、ＶＰＮ終端装置のＭＡＣアドレス（Ｌ＿ＭＡＣ１）を利用する。
【００４９】
図１０はネットワーク層に適用するパケットフィルタルールの一例である。この例では、第１乃至第６のルールを有する。第１のルールは、ＬＡＮインターフェイスから入力されてＶＰＮインターフェイスに送信されるデータグラムのうち、送信元をＩＰ２、受信先をＲＣ＿ＩＰ１とするデータグラムのみを許可するというものである。第２のルールではＶＰＮインターフェイスから入力されてＬＡＮインターフェイスに送信されるデータグラムのうち、送信元をＲＣ＿ＩＰ１、受信先をＩＰ２とするデータグラムのみを許可する。続く第３乃至第６のルールではそれ以外のデータグラムの通過を禁止する。
【００５０】
また、以上のパケットフィルタルールはあくまで一例であって、本発明の実施形態に係るシステムがすべてこのルールを設定する訳ではない。作成したパケットフィルタルールはパケットフィルタ管理表２０８に格納しておく。
【００５１】
以上でＶＰＮ接続要求からノードの起動、パケットフィルタの設定による通信制限の設定までの処理は完了する。引き続き、ＶＰＮ接続後の動作について述べる。
【００５２】
図１１に示すように、ＶＰＮ終端装置１０３は、定期的にＶＰＮ接続の更新要求が行われていること、ならびに、定期的に通信相手ノード１０４がネットワーク情報の有効期限を更新していることを確認する。有効期限の更新は、それぞれのプロトコルで定められた方法に従って行われる。仮にＤＨＣＰを用いる場合には、ＤＨＣＰの有効期限とその更新手続を使って実現される。
【００５３】
同様に、ＶＰＮクライアント１０２は確立済みＶＰＮ接続に対する接続の延長を定期的に要求する。これは図１２に示すように、新規の接続要求時と同様に、ＶＰＮクライアント１０２からＶＰＮ接続更新要求をＶＰＮ管理サーバ１０５に対して送信することで行う。接続更新要求時の処理の手順は、ＬＡＮ側で通信相手ノード１０４を起動しないこと、及びパケットフィルタなど設定済みの情報を変更しないことを除き、新規のＶＰＮ確立要求時の処理と同様である。
【００５４】
ＶＰＮ接続の更新手続が行われなかった場合、図１３に示すようにＶＰＮ終端装置１０３は、対応するＶＰＮ接続を切断する。また、パケットフィルタ管理表２０８で管理している情報に基づいてパケットフィルタの設定を変更し、該当するＶＰＮクライアント１０２及び通信相手ノード１０４が互いに通信できないようにする。同時に、ＶＰＮの切断をＶＰＮ管理サーバ１０５経由でＶＰＮクライアント１０２に通知する。
【００５５】
また図１４に示すように、ＶＰＮクライアント１０２は、任意のタイミングでＶＰＮ切断要求を送ることが可能である。ＶＰＮ切断要求はＶＰＮ確立要求と同様にＶＰＮ管理サーバ１０５を経由してＶＰＮ終端装置１０３に送られる。ＶＰＮ切断要求を受信したＶＰＮ終端装置１０３は、切断要求に対応するＶＰＮ接続の有無を確認し、確立済みのＶＰＮがあれば、それを切断する。続いて、ネットワーク情報管理表２１４から該当するエントリを削除し、ネットワーク情報配布部２１３が更新要求に応答しないようにする。併せて、パケットフィルタ管理表２０８で管理しているパケットフィルタ情報に基づいてパケットフィルタを変更し、該当するＶＰＮクライアント１０２及び通信相手ノード１０４が互いに通信できないようにする。
【００５６】
以上説明した本発明の第１の実施形態によれば、遠隔サイトのＶＰＮクライアント１０２に対する通信相手ノード１０４を該ＶＰＮクライアント１０２からの要求に応じて遠隔起動し、その際にアドレス解決を含むネットワーク情報を通信相手ノード１０４に割り当てることができる。
【００５７】
続いて、第１の実施形態に基づいて実現可能な幾つかの変形例について述べる。
【００５８】
第１の変形例は、ＶＰＮ接続要求で要求された通信相手ノード１０４の最初の起動チェックにおいて、既に通信相手ノード１０４が起動していた場合の処理に関する。前述の処理手順では、通信相手ノード１０４が既に起動していたらネットワーク情報を確認し、同じ情報が割り当てられていたら処理を継続している。第１の変形例では、図１５に示すように、通信相手ノード１０４が既に起動していた場合に、ＶＰＮ終端装置１０３が処理を中断してＶＰＮ接続拒否を示す応答をＶＰＮ管理サーバ１０５に返答する。このＶＰＮ接続拒否応答を受信したＶＰＮ管理サーバ１０５は、自身が管理しているＶＰＮ状態管理表３０４を検索し、確立処理中の接続に対する接続拒否応答であることを確認する。これが確認できた場合には、ＶＰＮ管理サーバ１０５は要求送信元であるＶＰＮクライアント１０２に対して、接続拒否応答を送信（中継）する。
【００５９】
第２の変形例は、ＶＰＮ管理サーバ１０５から通知されたネットワーク情報を別のノードが使っていることがＶＰＮ終端装置１０３において検出できた場合である。この検出は、通信相手ノード１０４が起動しているか否かに依らない。この場合、ＶＰＮ終端装置１０３はＶＰＮ管理サーバ１０５に対してＶＰＮ接続拒否を示す応答を返す。このＶＰＮ接続拒否応答を受信したＶＰＮ管理サーバ１０５は第１の変形例と同様にＶＰＮ状態管理表３０４を修正して、ＶＰＮクライアント１０２に対して接続拒否応答を送信（中継）する。
【００６０】
ただし、前述の２つの手順においてＶＰＮ管理サーバ１０５は別の動作を取ることも可能である。例えば図１６に示すように、対応するネットワーク情報が複数、ＶＰＮ状態管理表２１２に登録されている場合を考える。この場合、ＶＰＮ管理サーバ１０５は複数の候補から利用可能なものを選択して、再度、ＶＰＮ終端装置１０３に接続要求を再送し、確立を試みることができる。なお、複数のエントリを記述する代わりに、ＶＰＮ利用者データベース３０５に記載するネットワーク情報に一定の自由度を持たせた記述を採用し、ＶＰＮ管理サーバ１０５はその一部を任意に選択して送信するようにしても良い（例えば、利用可能なＩＰアドレスの範囲を記述しておき、ＶＰＮ管理サーバ１０５が範囲内の一つのアドレスを通知するといった方法が考えられる）。この間、当初の接続要求を送信したＶＰＮクライアント１０２には、接続中などの一時的な応答を送信しておいても良いし、送信しなくても良い。一連のシーケンスを記述したものを図１７に示す。以上を第３の変形例とする。
【００６１】
第４の変形例は、通信相手ノード１０４は起動しているものの、ＶＰＮ接続要求と同じ情報が割り当てられていない場合（ＶＰＮ接続要求で通知された情報とは異なる情報で動作している場合）である。この状態であることを検出したＶＰＮ終端装置１０３は、通信相手ノード１０４が複数のネットワーク情報を管理できる場合に限り、ＶＰＮ接続要求で通知された情報を追加で割り当てることができる。例えばＩＰｖ６を使うネットワークにおいて、Ｒｏｕｔｅｒ Ａｄｖｅｒｔｉｓｅｍｅｎｔを特定のノードに向けて送信したり、ＤＨＣＰサーバからノード特定してプレフィックスを配布したりすることによって、特定のノードにのみ別のアドレスを配布する、といった方法が利用できる。
【００６２】
（第２の実施形態）
図１８は第２の実施形態に係るシステムの全体図である。この図１８に示す構成は、図１に示した第１の実施形態のシステム構成からＶＰＮ管理サーバ１０５を除いたものに相当する。図１９は第２の実施形態において用いられるＶＰＮ終端装置の内部構成を示す図である。第２の実施形態に係るＶＰＮ終端装置２１７は、図２に示した第１の実施形態に係るＶＰＮ終端装置１０３の内部構成に対しＶＰＮ利用者データベース２１６を追加したものに相当する。図２０は第２の実施形態に係るＶＰＮ利用者データベース２１６の構成を示す図であって、図４に示したＶＰＮ利用者データベース３０５の構成からＶＰＮ終端装置ＩＤが削除されている。
【００６３】
第２の実施形態における動作シーケンスを図２１に示す。基本的には第１の実施形態と同じであるが、ＶＰＮ管理サーバによる中継処理が削除されている点で第１の実施形態とは異なる。第２の実施形態では、インターネット上に公開されたＶＰＮ管理サーバが存在しないため、ＶＰＮ終端装置２１７のアドレス情報を何らかの手法により入手できるようにしておく必要がある。これには静的アドレス割当てや、ダイナミックＤＮＳを利用するなどの方法が考えられる。図２１のシーケンスに含まれない各シーケンス（ノードが起動済みであった場合の処理、接続の更新処理など）は、ＶＰＮ管理サーバが配布する情報を変えて再送を試みる形態（第１の実施形態乃至第３の変形例）を除き、第１の実施形態と同じである。
【００６４】
以下、第２の実施形態に係るシステムの動作シーケンスを、図２２及び図２３に示すＶＰＮ終端装置２１７内部についての動作シーケンスならびに図２４及び図２５に示すフローチャートに沿って説明する。
【００６５】
先ずＶＰＮクライアント１０２がＶＰＮ接続要求をＶＰＮ終端装置２１７に向けて送信する。このＶＰＮ接続要求はＶＰＮクライアント１０２のＩＤ（利用者ノードＩＤ）及び通信相手ノードＩＤを含んでいる。ＶＰＮ終端装置２１７のＶＰＮ処理部２１１はＶＰＮ接続要求を受信する（図２４のＳ１７０１）。
【００６６】
ＶＰＮ処理部２１１はその要求内容を検査する。この検査は次のステップを含む（図２４のＳ１７０２）。
【００６７】
（１）要求送信元を示す利用者ノードＩＤがＶＰＮ利用者データベース２１６に登録されていること
（２）通信相手ノードＩＤに対応する通信相手ノードＭＡＣアドレスが、ＶＰＮ利用者データベース２１６に登録されていること
（３）通信相手ノードＩＤに対応する通信相手ノードネットワーク情報が、ＶＰＮ利用者データベース２１６に登録されていること
以上の検査ステップを経て必要な情報がすべて存在することが確認されたら、当該ＶＰＮ接続要求内の各エントリを抽出する。
【００６８】
次に、ＶＰＮ終端装置２１７のＶＰＮ処理部２１１は、ＶＰＮ接続要求に記載された通信相手ノードＩＤに対応する通信相手ノードＭＡＣアドレス及び通信相手ノードネットワーク情報をＶＰＮ利用者データベース２１６から抽出する（図２４のＳ１７０３）。
【００６９】
続いて、抽出した通信相手ノードＭＡＣアドレスを持つノードがネットワーク上に存在し動作しているかどうかを確認する（図２４のＳ１７０４）。このため、ＶＰＮ処理部２１１は遠隔起動部２１５に通信相手ノードの存在確認依頼を送信する。遠隔起動部２１５は存在確認依頼を受信すると、レイヤ２レベルのアドレス解決を行うパケット（確認パケット）を送信する。これには、例えばＩＰｖ４のＡＲＰやＩＰｖ６のＮｅｉｇｈｂｏｒ Ｄｉｓｃｏｖｅｒｙが利用できる。
【００７０】
上記確認手順によって、該当するＭＡＣアドレスを持つノードが既に起動していた場合（図２４のＳ１７０５＝ＮＯ）には、遠隔起動部２１５は通信相手ノード存在確認応答をＶＰＮ処理部２１１に通知する。これに応じてＶＰＮ処理部２１１はＶＰＮクライアント１０２に対しＶＰＮ確立応答（エラー）を返す。一方、確認手順によってＶＰＮ接続要求で指定されたＭＡＣアドレスを持つノードが起動していないことが確認できた場合（すなわちＡＲＰやＮｅｉｇｈｂｏｒ Ｄｉｓｃｏｖｅｒｙに対して応答がなかった場合；図２４のＳ１７０５＝ＹＥＳ）には、遠隔起動部２１５は通信相手ノード非存在確認応答をＶＰＮ処理部２１１に通知する。これに応じてＶＰＮ処理部２１１は、ネットワーク情報管理表２１４を上記抽出したネットワーク情報で修正する（図２４のＳ１７０６）。さらに、パケットフィルタの設定変更処理を行う（図２４のＳ１７０７）。
【００７１】
続いて、上記抽出した通信相手ノードＭＡＣアドレスを持つノード、すなわち通信相手ノード１０４を起動する（図２４のＳ１７０８）。通信相手ノード１０４の起動からネットワーク情報の付与までの一連の処理の手順は以下の通りである。
【００７２】
遠隔起動部２１５は、通信相手ノード１０４を遠隔起動する。具体的には、ＶＰＮ終端装置２１７の内部では、ＶＰＮ処理部２１１から遠隔起動部２１５に対して、起動すべきノードのＭＡＣアドレスを伴った遠隔起動依頼が通知される。遠隔起動部２１５は、このＶＰＮ処理部２１１からの遠隔起動依頼に基づいて、指定されたＭＡＣアドレスを持つノードを起動する処理を行い、遠隔起動開始通知をＶＰＮ処理部２１１に送信する（図２４のＳ１７０９）。遠隔起動の方法としては、第１の実施形態において挙げたＷａｋｅ ｏｎ ＬＡＮ（ＷｏＬ）などの仕組みを利用しても良いし、個々の機器や通信メディアに特化した別の方法を利用しても良い。ＶＰＮ終端装置は、通信相手ノードごとに起動処理方法を変更可能な装置として実施することも可能である。その場合、起動方法は、通信相手ノードＩＤと起動方法を特定する識別子とを関連付けてＶＰＮ終端装置が管理したり、ＶＰＮ接続要求に起動方法を特定する識別子を含めて該ＶＰＮクライアントが送信することによって特定したりする方法が用いられる。遠隔起動部２１５によって遠隔起動処理が行われた結果、ＶＰＮ接続要求に含まれていた通信相手ノード１０４の起動処理が開始されたと仮定する。一般に、動的にネットワーク情報を取得するように設定されているノードは、起動処理の途中でアドレスを含めた各種ネットワーク情報を動的に取得する（静的に取得するように設定されている場合には、本発明で解決すべき問題自体が起こりえないため、ここでは除外する）。このとき、通信相手ノード１０４がネットワーク情報の取得に利用するプロトコルは、前述のＶＰＮ終端装置２１７のネットワーク情報配布部２１３が対応可能なプロトコル（例えばＤＨＣＰ）でなければならない。通信相手ノード１０４の起動方法を特定する場合と同様に、起動すべきノードとネットワーク情報の配布に使用するプロトコルとの対応関係はＶＰＮ終端装置２１７が管理しても良いし、ＶＰＮクライアントが指定しても良い。この場合には、通信相手ノードＩＤと配布方法の対応を管理することになる。
【００７３】
遠隔起動開始通知を受信したＶＰＮ処理部２１１は配布処理開始依頼をネットワーク情報配布部２１３に送信する。配布処理開始依頼に応じて、ネットワーク情報配布部２１３は通信相手ノード１０４からのネットワーク情報取得要求の受信待ち状態に遷移する（図２４のＳ１７１０）。なお、遠隔起動開始通知は遠隔起動部２１５からＶＰＮ処理部２１１に通知される。
【００７４】
通信相手ノード１０４からのネットワーク情報取得要求を受信すると、ネットワーク情報配布部２１３はネットワーク情報取得要求受信通知をＶＰＮ処理部２１１に送信したのち、ネットワーク情報管理表２１４を参照し、該情報取得要求の送信元ＭＡＣアドレスが表中に記録されているか否かを確認する。もし、表中に記録されていれば、そのエントリを取得する。表中に記録されていない場合には、該要求はこのＶＰＮ終端装置２１７が管理すべき情報ではないものと判断して無視する。ネットワーク情報取得要求受信通知を受信したＶＰＮ処理部２１１は、遠隔起動処理停止依頼を遠隔起動部２１５に通知する（図２４のＳ１７１１）。この通知を受けて、遠隔起動部２１５は上述した遠隔起動処理を停止する（図２４のＳ１７１２）。ネットワーク情報配布部２１３は、ネットワーク情報管理表２１４中に記録されたエントリを取得すると、該エントリに対して配布時刻と有効時刻を記入することによりネットワーク情報管理表２１４を更新する（図２４のＳ１７１３）。配布時刻とは、情報を該当ノードに配布した時刻であり、ここでは現在時刻が記入される。有効時刻とはネットワーク情報配布部２１３のポリシに基づく、配布された情報の有効期限を示す時刻である。ＶＰＮ終端装置２１７は、有効時刻までに有効期限の延長要求（ＶＰＮ接続延長（更新）に伴うネットワーク情報の再取得要求）がなかった場合には、対応するＶＰＮ接続を切断する。
【００７５】
なお、ネットワーク情報配布部２１３は、一定時間にわたり通信相手ノード１０４からネットワーク情報取得要求を受信しなかった場合には、ネットワーク情報管理表２１４及びパケットフィルタ設定を復元したのち、ＶＰＮクライアント１０２に対しＶＰＮ確立応答（エラー）を返す。
【００７６】
以上のように通信相手ノード１０４からネットワーク情報取得要求を受信し、さらにネットワーク情報管理表２１４から該当するエントリを取得したネットワーク情報配布部２１３は、この通信相手ノード１０４からのネットワーク情報取得要求に対する応答として、配布すべき情報として上記取得したエントリを含むネットワーク情報取得応答を通信相手ノード１０４に送信し（図２４のＳ１７１４）、ネットワーク情報配布完了をＶＰＮ処理部２１１に通知する（図２４のＳ１７１５）。
【００７７】
ネットワーク情報取得応答を受信した通信相手ノード１０４は、この応答の中から必要な情報を取り出し、ネットワークインターフェイスなどを適切に設定する。
【００７８】
続いて、ＶＰＮ終端装置２１７のＶＰＮ処理部２１１は、起動・設定確認依頼を遠隔起動部２１５に通知する。この通知に応じて、遠隔起動部２１５はノードの接続状況を確認する処理を行う（図２５のＳ１７１６）。これには前述の存在確認と同様にＡＲＰやＮｅｉｇｈｂｏｒ Ｄｉｓｃｏｖｅｒｙを用いて行うものとする。
【００７９】
通信相手ノード１０４の接続状況を確認できたら、遠隔起動部２１５は起動・設定確認応答をＶＰＮ処理部２１１に通知する。この通知に応じて、ＶＰＮ処理部２１１は、ＶＰＮクライアント１０２に対してＶＰＮ確立応答を返す（図２５のＳ１７１７）。このＶＰＮ確立応答には、通信相手ノード１０４に実際に配布したネットワーク情報が含まれる。ＶＰＮ確立応答を受信したＶＰＮクライアント１０２は、同応答に含まれるＶＰＮ通信相手ノード１０４のアドレスを利用して通信相手ノード１０４にアクセスすることが可能となる。
【００８０】
なお、通信相手ノード１０４の接続状況の確認がとれない、すなわち通信相手ノード１０４においてネットワーク情報が正しく設定できなかった場合には、ネットワーク情報管理表２１４及びパケットフィルタ設定を復元したのち、ＶＰＮクライアント１０２に対しＶＰＮ確立応答（エラー）を返す。
【００８１】
（第３の実施形態）
続いて、第３の実施形態について述べる。これまではＶＰＮ終端装置がルータであり、ＬＡＮ上で唯一の情報配布元である場合について述べてきたが、第３の実施形態はＬＡＮ上に別のルータ（ネットワーク情報の配布元）が存在する構成である。図２６は、このような第３の実施形態に係るシステムの全体構成を示している。図２６に示す構成は、第１の実施形態におけるＶＰＮ終端装置１０３がルータ装置１０７とＶＰＮ終端装置１０６とに置き換わっている点で第１の実施形態のものとは異なる。
【００８２】
なお、第３の実施形態は前述したＶＰＮ管理サーバがある場合とない場合のいずれに対しても適用可能であるが、ここでは図２６に示すようにＶＰＮ管理サーバ１０５が存在する場合について述べる。
【００８３】
第３の実施形態では、はじめにルータ装置１０７に対してＶＰＮ終端装置１０６へのサイト外部からのアクセスを許可する設定を行う必要がある。この設定は管理者による手動設定による方法やＵＰｎＰなどのプロトコルを使う方法が考えられる。
【００８４】
ルータ装置１０７への設定が完了し、ＶＰＮ終端装置１０６へのサイト外部からのアクセスが可能になり、前述の第１の実施形態で述べたＶＰＮ管理サーバ１０５が持つＶＰＮ終端装置データベース３０６の事前設定も完了したと仮定する。この状態になると、第３の実施形態に係るＶＰＮ終端装置１０６は、ＶＰＮ管理サーバ１０５を経由してＶＰＮクライアント１０２からのＶＰＮ接続要求を受け付けることができるようになる。
【００８５】
図２７は第３の実施形態に係るＶＰＮ終端装置の内部構成を示す図である。この図２７に示すように、第３の実施形態のＶＰＮ終端装置は図２に示した第１の実施形態における構成からＷＡＮインターフェイスを省いたものである。また、ＶＰＮ管理サーバを用いない場合には、第２の実施形態の場合と同様に、図２７の構成にＶＰＮ利用者データベースが追加される。
【００８６】
第３の実施形態の動作シーケンスを図２８に示す。この図２８の前半部の処理は第１の実施形態と同じである。すなわち、ＶＰＮクライアント１０２がＶＰＮ管理サーバ１０５にＶＰＮ接続要求を送信し、ＶＰＮ管理サーバ１０５が前記接続要求を中継し、ＶＰＮ終端装置１０６がＶＰＮ管理サーバ１０５から中継されたＶＰＮ接続要求を受信する。ＶＰＮ終端装置１０６はＶＰＮ接続要求に含まれるネットワーク情報を抽出し、この抽出された情報に基づいて、通信相手ノード１０４を起動するとともにネットワーク情報を提供し、ネットワーク情報管理表２１４を更新する、という一連の処理手順を実行する。
【００８７】
第３の実施形態ではネットワーク情報の配布形態が第１の実施形態の場合とは異なる。第３の実施形態では複数のネットワーク情報配布装置が存在することから、第３の実施形態で適用するネットワーク情報配布部は、ネットワーク情報の配布先を明示的に指定できるものでなければならない。これには、例えばＩＰｖ６のルータアドバタイズメントを通信相手ノードにユニキャストして各種情報を配布する方法が考えられる。ＩＰｖ４の場合には、ＤＨＣＰに送受信ペアを明示的に特定する改良を加えた形でメッセージ交換を行ったり、認証情報を伴ったメッセージ交換を利用したり（認証付きＤＨＣＰを用いる場合にＤＨＣＰサーバ側に必要な秘密情報は、ネットワーク情報の一部としてＶＰＮ管理サーバ１０５から通知するようにしても良いし、ＶＰＮ終端装置１０６が管理していてもよい）、その他の専用プロトコルを用いる方法などが考えられる。また遠隔起動依頼の内部に情報取得先のアドレスを埋め込み、事前に通知しておく方法も考えられる（図２８のシーケンスはこの方法で記述している）。
【００８８】
通信相手ノード１０４が行う通信がＶＰＮを経由しているものか否かを明確に区別するための方法も必要である。本発明に依らない通常の方法の場合、あらかじめ接続しているルータ装置１０７がデフォルトルータとして機能している。このため、ＶＰＮを経由した通信を本装置が単純に捉えることはできない。第３の実施形態に係るＶＰＮ終端装置１０６は以下の２つの方法のうち、いずれかの方法を使ってＶＰＮを経由した通信を特定し、制御する。
【００８９】
第１の方法は、ＵＰｎＰを使ってルータ装置１０７にＶＰＮ通信を特定する情報を通知し、パケットフィルタなどの特別な処理を適用することである。これによって第１の実施形態でＶＰＮ終端装置１０３が適用していたルールと同等のルールをルータ装置１０７に適用することができる。例えば、本装置が割り当てたＩＰアドレスを持つ通信相手ノード１０４と本装置を利用しているＶＰＮクライアント１０２が利用するＩＰアドレスを用いてなされる通信を除く、すべてのＶＰＮ通信を遮断する、といったルールをルータ装置１０７のパケットフィルタに設定することで、ＶＰＮ通信を特定のノードに限定して許可することが可能となる。もしくは、ルータ装置１０７の転送状態を変更してＶＰＮ終端装置１０６に再転送させることが可能となる。例えば、本装置が割り当てたＩＰアドレスを使用する通信相手ノード１０４が送信したパケットがルータ装置１０７を通過しようとする際、該パケットを本ＶＰＮ終端装置１０３に転送する、という転送ルールをルータ装置１０７に加えることで、本ＶＰＮ終端装置が両ノード間でのＶＰＮを経由しない通信に対するゲートウェイとして動作することができる。
【００９０】
第２の方法は、ネットワーク情報を配布する際に、ＶＰＮ管理サーバ１０５が配布する情報の内容に依らず、デフォルトルータはＶＰＮ終端装置１０６（ネットワーク層及びデータリンク層のアドレスとも）であると通知する方法である。これにより、通信相手ノード１０４がサブネット外のノードと通信する場合には、そのパケットは必ずＶＰＮ終端装置１０６を通過することになる。
【００９１】
以上の２つの方法は、同時に利用することも可能である。そして、この方法により、ＶＰＮを経由する通信と経由しない通信を区別し、通信を管理可能となる。図２８のシーケンスは、デフォルトルータはＶＰＮ終端装置１０６であるとしてネットワーク情報を配布し、ＶＰＮ終端装置１０６にてパケットフィルタを適用しつつ、ルータ装置１０７についてもパケットフィルタを適用する場合を記述している。また、ノードが起動済みであった場合の処理やＶＰＮ継続（接続更新）処理については、第１の実施形態と同様に行うものとする。
【００９２】
以上説明した第３の実施形態によれば、ＬＡＮ上に別のルータ（ネットワーク情報の配布元）が存在する場合であっても、上述した第１又は第２の実施形態と同様の作用効果を得ることができる。
【００９３】
［目的のノードが起動していない場合の処理］
上述したすべての実施形態において、遠隔起動部２１５が通信相手ノード１０４に対して遠隔起動要求を送信すると、ＶＰＮ処理部２１１を通してネットワーク情報配布部２１３にその旨を通知する。これによりネットワーク情報配布部２１３は、該通信相手ノード１０４からのネットワーク情報取得要求を一定時間待ち受ける処理を開始する。遠隔起動部２１５は起動要求送出を通知した後、ＶＰＮ処理部２１１から停止要求がくるまで定期的に遠隔起動要求を送信し続ける。
【００９４】
ネットワーク情報配布部２１３は、該通信相手ノード１０４からネットワーク情報取得要求を受信するとＶＰＮ処理部２１１を通して遠隔起動部２１５に遠隔起動要求の停止を通知する。もし、ネットワーク情報配布部２１３が一定時間待機してもネットワーク情報取得要求を受信できなかった場合には、ＶＰＮ処理部２１１に対してその旨を通知するとともに、遠隔起動部２１５に遠隔起動要求の停止を通知する。
【００９５】
［ノード起動時の認証機構］
ＬＡＮにおいて特定のノードのみを確実に起動するための方法として、本発明の実施形態に係るＶＰＮ終端装置が備えていてもよい通信相手ノードの認証機構について述べる。通信相手ノードの認証機構は上述したすべての実施形態において適用可能である。ここで、第２の実施形態に通信相手ノードの認証機構を適用した場合を例に挙げて説明する。
【００９６】
通信相手ノードの認証機構を備えたＶＰＮ終端装置の構成は図１９に示したものと基本的に同様であるが、図２０に示したＶＰＮ利用者データベース２１６の構成が次のように変更される。第２の実施形態に係るＶＰＮ利用者データベースを図２９のように変更される。この図２９では、これまでのＶＰＮ利用者データベースに比べて、通信相手ノード認証情報のエントリが追加されている。
【００９７】
通信相手ノードの認証機構を使ったネットワーク全体での動作シーケンスを図３０、図３１、図３２に沿って説明する。図３１及び図３２に示す処理フローは図２４及び図２５に示した第２の実施形態のものとほぼ同じであるが、以下の点が異なる。
【００９８】
ステップＳ２６０８において、通信相手ノード１０４に対応する認証情報（チャレンジ）を計算する（ただし、ＶＰＮ利用者データベース２１６において対応するエントリに認証情報が格納されている場合にのみ計算を行う。以降のステップは、チャレンジを計算した場合にのみ実行される）。
【００９９】
ステップＳ２６０９において通信相手ノード１０４を起動する際に、起動依頼とともに認証情報（チャレンジ）を通知する。
【０１００】
ステップＳ２６１０において通信相手ノード１０４は起動依頼から認証情報（チャレンジ）を抽出し、保存する。
【０１０１】
ステップＳ２６１２において通信相手ノード１０４が起動した後に、ステップＳ２６１０において保存した認証情報と通信相手ノード１０４自身が保有している認証情報に基づいて別の認証情報（レスポンス）を計算する。
【０１０２】
ステップＳ２６１３において、通信相手ノード１０４がネットワーク情報を要求する際に、ステップＳ２６１２において計算した認証情報（レスポンス）を該要求に添付する。
【０１０３】
ステップＳ２６１４において、ステップＳ２６１３において通信相手ノード１０４から受信した認証情報（レスポンス）を確認し、起動要求を行ったノードと同一であることを確認する。
【０１０４】
ＶＰＮ終端装置２１７は起動要求を出す際に認証情報を付加し、対象となるノードが起動後に対応する認証情報を返すことを期待している。この認証情報のやり取りにより、起動を要求したノードとネットワーク情報を要求したノードが同一であることを確認する。
【０１０５】
一連の手順によって使用される認証情報は、アルゴリズム的に計算される情報を除き、事前にＶＰＮ終端装置２１７と通信相手ノード１０４との間で共有されているものとする。共有方法は、利用者による手動設定などが考えられる。
【０１０６】
認証情報（チャレンジ）の計算はＶＰＮ処理部２１１で行い、その計算結果は遠隔起動部２１５に渡される。遠隔起動部２１５は渡された認証情報（チャレンジ）を追加して送信する。
【０１０７】
ネットワーク情報取得要求の受信、及び受信したネットワーク情報取得要求からの認証情報の抽出はネットワーク情報配布部２１３が行う。ネットワーク情報取得要求から抽出された認証情報（レスポンス）はＶＰＮ処理部２１１に渡される。ＶＰＮ処理部２１１は、認証情報（レスポンス）と認証情報（チャレンジ）とを比較する。これにより通信相手ノード１０４を認証できたならば、ネットワーク情報配布部２１３は、通信相手ノード１０４に対しネットワーク情報を割り当ててネットワーク情報取得応答を返す。通信相手ノード１０４を認証できない場合、ネットワーク情報配布部２１３は、通信相手ノード１０４からのネットワーク情報取得要求に対してエラーを返す。
【０１０８】
図３３は上記と同様の手順により認証を行った結果、ネットワーク情報を要求したノードを認証できない場合（ステップＳ２７１４）を示している。この場合、ＶＰＮ終端装置２１７は通信相手ノード１０４に対して、ネットワーク情報の提供を拒否する通知を行う（ステップＳ２７１５）。また、事前に設定していたネットワーク情報管理表２１４とパケットフィルタを元に戻し（ステップＳ２７１６，Ｓ２７１７）、ＶＰＮ接続を要求したＶＰＮクライアント１０２に対しても、接続に失敗した旨を通知する（ステップＳ２７１８）。
【０１０９】
同通知を受けた後の通信相手ノード１０４の動作は不定であるが、自ら電源を切り起動前の待機状態に遷移してもよいし、してもよいし（ステップＳ２７１９）、再度、異なるネットワーク情報の要求を行ってもよい。
【０１１０】
通信相手ノードの認証機構の拡張は、ここで説明した第２の実施形態以外の実施形態に対しても適用可能である。ただし、ＶＰＮ管理サーバを利用する実施形態に適用する場合には、認証情報（チャレンジ）の計算と認証情報（レスポンス）の確認をＶＰＮ管理サーバが行う。例えば、図６に示した第１の実施形態における動作シーケンスは図３４のように変更される。
【０１１１】
ＶＰＮ管理サーバ１０５からのＶＰＮ確立要求には認証情報（チャレンジ）が付加されており、ＶＰＮ処理部２１１がこの認証情報（チャレンジ）を抽出する。抽出された認証情報（チャレンジ）は遠隔起動部２１５に渡され、これを遠隔起動部２１５が遠隔起動依頼に追加して起動対象ノードに送信する。
【０１１２】
ネットワーク情報取得要求の受信、及び受信したネットワーク情報取得要求からの認証情報の抽出はネットワーク情報配布部２１３が行う。抽出された認証情報（レスポンス）はＶＰＮ処理部２１１に渡される。ＶＰＮ処理部２１１は、この認証情報（レスポンス）をＶＰＮ管理サーバ１０５に転送し、認証情報（チャレンジ）との比較を依頼する。ＶＰＮ管理サーバ１０５は、認証情報（チャレンジ）と認証情報（レスポンス）とを比較する。比較結果はＶＰＮ管理サーバ１０５からＶＰＮ終端装置１０３に送られる。これにより通信相手ノード１０４を認証できたならば、ネットワーク情報配布部２１３は、通信相手ノード１０４に対しネットワーク情報を割り当ててネットワーク情報取得応答を返す。通信相手ノード１０４を認証できない場合、ネットワーク情報配布部２１３は、通信相手ノード１０４からのネットワーク情報取得要求に対してエラーを返す。
【０１１３】
［複数のネットワーク情報提供ノードがＬＡＮ上に存在していた場合］
先ず、起動後にネットワーク情報を要求するネットワーク情報通知サーバ（第２の実施形態に係るＶＰＮ終端装置２１７や、ＤＨＣＰサーバなどに相当する）のアドレスを遠隔起動依頼に含めて起動要求を行う方法について述べる。なお、ここでは第２の実施形態のＶＰＮ終端装置２１７を対象にして説明するが、すべての実施形態において適用可能である。
【０１１４】
複数のネットワーク情報提供ノードがＬＡＮ上に存在するシステムにおける動作シーケンスを図３５に示す。この動作シーケンスは図２１に示した第２の実施形態に係る動作シーケンスとほぼ同じであるが、以下の点が異なる。
【０１１５】
すなわち、図３５のステップＳ２９０８において、ＶＰＮ終端装置２１７のアドレスをネットワーク情報通知サーバのアドレスであるとして通信相手ノード１０４に通知する。ステップＳ２９０９において、通信相手ノード１０４が起動要求とともに通知されたネットワーク情報通知サーバのアドレスを保存する。そして、ステップＳ２９１１において通信相手ノード１０４がＶＰＮ終端装置２１７に対し、そのアドレスを指定して直接的にネットワーク情報取得を要求する点で図２１に示した第２の実施形態における動作シーケンスとは異なる。
【０１１６】
上記ステップＳ２９０８において送信されるアドレス付き遠隔起動要求メッセージの例を図３６に示す。図３６ではＷｏＬを利用するものと仮定してＭａｇｉｃ Ｐａｃｋｅｔ形式を示したが、そのフォーマットは各起動方法に依存する。その他の付加情報とは、図３５のシーケンスにおけるステップＳ２９１１などを適切に実施するために、クライアント（通信相手ノード１０４）に通知しておく必要がある各種情報である（例えば通常であればＤＨＣＰＯＦＦＥＲで送信すべき情報をここに含めてしまうことを想定している）。
【０１１７】
図３７は、図３５の動作シーケンスをＤＨＣＰを適用することにより具体化したものを示している。図３７では、遠隔起動要求に対し、本来はＤＨＣＰＯＦＦＥＲメッセージで通知されるべき各情報を付加おくことによって、通常のＤＨＣＰサーバ選択処理が発生しないようにしている。また、通信相手ノード１０４も通知されたメッセージに含まれていた情報を使って、ＤＨＣＰＲＥＱＵＥＳＴの状態から動作を開始している。
【０１１８】
さらに別の方法として、別のネットワーク情報通知サーバが送信した情報を無効化するメッセージをＶＰＮ終端装置２１７から強制的に送出することによって、意図しない情報の利用を無効化（妨害）する方法が考えられる。第２の実施形態に係る動作シーケンスにこの方法を適用したもの、すなわちネットワーク情報取得要求を妨害することによるネットワーク情報通知サーバの選択のシーケンスを図３８に示す。
【０１１９】
図３８ステップＳ３２０４では、一般的に行われるようにネットワーク情報取得要求がネットワーク上にブロードキャストされ、それに応答する形で意図しないネットワーク情報通知サーバから応答が返される（ステップＳ３２０５）。このため、ＶＰＮ終端装置２１７がステップＳ３２０５で通知された情報を無効化するメッセージを送信する（ステップＳ３２０６）。その後、正規のネットワーク情報取得応答を送信することによって、通信相手ノード１０４にネットワーク情報を通知する。
【０１２０】
図３９はＤＨＣＰを例に図３８を具体化したものである。また、図４０はＲｏｕｔｅｒＡｄｖｅｒｔｉｓｅｍｅｎｔ（ＲＡ）を使用して具体化した例を示している。
【０１２１】
さらに別の方法として、ＬＡＮ上のネットワーク情報通知サーバ同士が連携して、常に適切なネットワーク情報を通知するという方法も考えられる。第２の実施形態に係る動作シーケンスにこの方法を適用したものを図４１に示す。
【０１２２】
（１）はじめの「ネットワーク情報管理表修正」と「パケットフィルタ設定変更」の間に、連携するネットワーク情報通知サーバの有無を確認する。もし、あれば該サーバに「ネットワーク情報管理表」の変更内容を通知する。この処理をすべての連携サーバに対して繰り返す
（２）上記（１）の変更に伴いエラーが発生した場合に「ネットワーク管理表復元」に関連する操作を同様に通知する処理を行う。
【０１２３】
（３）「ネットワーク情報取得要求受信待ち」の状態で「同期メッセージ」を受信したかどうかの判断を行う
（４）上記（３）で「同期メッセージ」を受信していれば、ループを抜ける（以降の処理はループ後の「ネットワーク情報取得応答」を行わないこと、ネットワーク管理表を同期メッセージに含まれていた内容で更新することが異なる）
（５）「ネットワーク情報取得要求受信待ち」の状態でネットワーク情報取得要求を受信した場合には、普通にループを抜けた後「ネットワーク管理表修正」と「ネットワーク情報取得応答」の間で「同期メッセージ」を連携して動作するネットワーク情報通知サーバに送信する処理を行う。
【０１２４】
ＶＰＮ終端装置２１７がＶＰＮ接続要求を受信すると、同要求によって起動するノードにアサインすべきネットワーク情報を決定する（ステップＳ３５０２）。続いて、同ネットワーク情報をＬＡＮ上の他のネットワーク情報通知サーバに通知する（ステップＳ３５０３）。これにより、ＬＡＮ上の他のネットワーク情報通知サーバも同じ情報を共有した状態になる。
【０１２５】
同シーケンスではネットワーク情報取得要求がＬＡＮ上にブロードキャストされ、結果として他のネットワーク情報通知サーバが受信した場合を示している。この場合、要求を受信したサーバはＶＰＮ終端装置２１７と同じ情報を持っていることから、適切にネットワーク情報を割り当てることができる（ステップＳ３５０７）。割り当てるべき情報が確定したら、その旨をＶＰＮ終端装置２１７に通知して（ステップＳ３５０８）、ネットワーク情報管理表２１４の内容を同期する。同期が完了したら要求元である通信相手ノード１０４に情報を通知する（ステップＳ３５０９）。
【０１２６】
図４２は、図４１の手順をＲｏｕｔｅｒＡｄｖｅｒｔｉｓｅｍｅｎｔを例に具体化したものである。この場合、ステップＳ３６０３において通信相手ノード１０４に割り当てるプレフィックスをＬＡＮ上の他のルータに通知する。通信相手ノード１０４が起動した後、ＲｏｕｔｅｒＳｏｌｉｃｉｔａｔｉｏｎ（ＲＳ）が送信されるとＬＡＮ上の各ルータはＲｏｕｔｅｒＡｄｖｅｒｔｉｓｅｍｅｎｔ（ＲＡ）で応答する。同図ではＶＰＮ終端装置２１７以外の別のルータがＲＡで応答している（ステップＳ３６０９）。この際、ＲＡに含まれるＲｏｕｔｅｒＬｉｆｅｔｉｍｅを０にして通知することで、同ルータがデフォルトルータとして採用されないように通知することができる。同様に、ステップＳ３６１０においてＶＰＮ終端装置２１７がＲＡを送信し、プレフィックスを伝えている。このとき、ＶＰＮ終端装置２１７は対応するプレフィックスのデフォルトルータとして振る舞うため、適切なＲｏｕｔｅｒＬｉｆｅｔｉｍｅを設定している。
【０１２７】
図４１の手順はＤＨＣＰを利用する場合も同様に適用することができる。このような方法はＤＨＣＰサーバの耐障害性を向上する手法として一般的に使用されている。ただし、本実施形態では割り当てるアドレスなどサーバ間で共有される情報はＶＰＮ接続をきっかけとして変更される点が異なる。
【０１２８】
［対象とするノードが事前に起動していた場合の処理］
上述した各実施形態において、ＶＰＮ接続から要求された通信相手ノードが既に起動している場合、ＶＰＮ終端装置２１７の対応方法は大きく３つに分けることができる。
【０１２９】
第１の方法は、接続を受け付け、（プロトコル的に実現可能であれば）強制的に複数のネットワーク情報を割り当てるというものである（例えば図４３で述べたものであり、第１の実施の形態においては第４の変化形として述べた。）。
【０１３０】
第２の方法は、接続を受け付け、割当て済みネットワーク情報を共有するというものである（例えば図４４を参照）。
【０１３１】
第３の方法は、常に接続を拒否するというものである（例えば図４５を参照）。
【０１３２】
また、後述するようにポリシ制御部とポリシデータベースを設け、通信相手ノードＩＤやＶＰＮ利用者ＩＤなどの情報を考慮しながら、対応を判断する方法を採ることも可能である。
【０１３３】
［ポリシ制御部及びポリシデータベースの追加に関して］
第２の実施形態について、管理者の設定に基づく種々の条件判断に基づいてＶＰＮ終端装置２１７の動作を変えるように拡張することができる。この拡張を行うため、図１９に示した第２の実施形態に係るＶＰＮ終端装置２１７の構成に対し、図４６に示すようにポリシ制御部とポリシデータベースを追加する。
【０１３４】
図４６に示されるＶＰＮ終端装置は、インターネットなどの広域ネットワークとの接続のための物理的なＷＡＮインターフェイス３７０１、遠隔サイトのＶＰＮクライアントとのＶＰＮ接続のための論理的なＶＰＮインターフェイス３７０２〜３７０３、ＬＡＮとの接続のための物理的なＬＡＮインターフェイス３７０４〜３７０５、論理的なＶＰＮインターフェイスと物理的なＬＡＮインターフェイスとの間で透過的にパケットを転送するためのＩ／Ｆブリッジ部３７０６を備える。
【０１３５】
各インターフェイスを通過するパケットに対して、許可／不許可といった制御を行うパケットフィルタ部３７０７、パケットフィルタ部３７０７が適用するポリシを管理しておくパケットフィルタ管理表３７０８、パケットのフォワーディングを行うフォワーディング部３７０９、フォワーディング部３７０９が参照するフォワーディングテーブル３７１０、ＶＰＮ関連処理を実行するＶＰＮ処理部３７１１、確立したＶＰＮに関する情報を記憶しておくＶＰＮ状態管理表３７１２、ＬＡＮに接続するノードに対してアドレスなどのネットワーク情報を割り当てるネットワーク情報配布部３７１３、ネットワーク情報配布部３７１３が管理している各種情報を保存しておくネットワーク情報管理表３７１４、ＬＡＮに接続するノードを遠隔から起動する命令を送信する遠隔起動部３７１５、本装置を介してＶＰＮが利用できるＶＰＮクライアント１０２及び通信相手ノード１０４に関する情報が記述されたＶＰＮ利用者データベース３７１６、様々な条件下でＶＰＮ確立の可否を判断するポリシ制御部３７１７、ポリシ制御部３７１７が判断の基準として利用するポリシデータベース３７１８である。
【０１３６】
図４７は、ポリシデータベース３７１８の一例を示す図である。ポリシ番号３８０１は各ポリシを識別するためのＩＤであり、単なる識別以上の意味は持たない。条件３８０２は判断の基準となる条件であり、図４７では自然言語で記述されているが実際には適切な論理式へと変換されて格納される。また、同条件で使用可能な識別子は本装置内の各管理表やＶＰＮ利用者データベース、ネットワークインターフェイス名、ネットワーク情報（アドレスなど）が利用可能である。可・不可３８０３は条件３８０２に適合する事象に対して、ＶＰＮ接続もしくはＶＰＮ接続経由でのノード利用を許可するか否かを示すものである。
【０１３７】
例えば同図に示される０番のポリシでは、ＶＰＮ終端装置２１７（図２１参照）が複数のＶＰＮ接続を受け付け、かつそれら複数のＶＰＮ接続を経由したノードＸに対する複数のアクセスを許可していることを示す。また１番のポリシでは、ネットワーク情報の複数割当ては許可されていないため、複数のＶＰＮ経由のアクセスに対して最初の接続時に割り当てたネットワーク情報を残りの接続でも共有することを示している。同様に、２番のポリシではノードＹに対しては複数のＶＰＮ経由のアクセスを禁止していることを示しており、３番のポリシはノードＺは本装置以外の方法で起動された場合であってもＶＰＮ経由のアクセスを禁止することを示している。
【０１３８】
なお、図４７に示したポリシデータベースはあくまで一例であり、発生しうる条件を列挙して対応表を作っても良い。そのような例を図４８に示す。
【０１３９】
追加されたポリシ制御部及びポリシデータベースを使った動作シーケンスの例を示す。
【０１４０】
図４９はＶＰＮ終端装置が存在確認を行った場合に当該通信相手ノードから応答があった場合の処理に対して、ポリシデータベースに定義されたポリシを用いてポリシ制御部より判断を行い、ＶＰＮ確立処理を行うという状況を示している。
【０１４１】
ステップＳ４００２で行った通信相手ノード存在確認において応答があった場合（ステップＳ４００３）、同ノードは起動していることを示す。その時、もしＶＰＮ終端装置２１７自身が当該ノードを起動させていた場合、通常と同様にネットワーク情報管理表を検索すると、対応するネットワーク情報を取得することができる（Ｓ４００４）。もし、ＶＰＮ終端装置２１７が起動していなかった場合（すなわち利用者が手動で起動させた場合など）は対応する情報が得られない場合がある。
【０１４２】
いずれの場合も、ノード起動・ＶＰＮ確立処理はポリシ制御部３７１７を呼出し、現状況化でＶＰＮ接続を許可するか否かの判断を行う。ポリシ制御部３７１７は、現在の状況（利用者データベース３７１６、ネットワーク情報管理表３７１４、ＶＰＮ状態管理表３７１２）及びポリシデータベース３７１８を利用し、対応するＶＰＮ接続ならびに通信相手ノード１０４が利用可能かどうかを判断する。
【０１４３】
例えば、図４７のポリシデータベースを持つＶＰＮ終端装置において、通信相手ノードＸを利用するＶＰＮ接続要求を受け付けていると仮定し、さらに図４９におけるステップＳ４００４において対応する情報が見つかった場合（すなわち、かつてＶＰＮ終端装置自身が当該ノードを起動させていた場合）を考える。
【０１４４】
この場合、図４７に示したポリシデータベースの０番と１番のポリシが該当し、通信相手ノードＸは複数のＶＰＮ接続経由のアクセスを受け付ける。割り当てられるネットワーク情報は常に１つということがわかる（このような処理はポリシ制御部３７１７が行う）。この結果、図４９では当該通信相手ノードＸが持つネットワーク情報がかつて割り当てた情報（この場合はアドレスのみ）と等しいことを調べ（ステップＳ４００６）、同応答に含まれるアドレスをＶＰＮ確立応答とともにＶＰＮクライアントに返している（Ｓ４００８）。なお、ステップＳ４００７とＳ４００８は省略してもよい。
【０１４５】
同様に、通信相手ノードＺが既に起動している状態でＶＰＮ接続要求を受け付けた場合のシーケンスを図５０に示す。この場合、図４７ポリシ番号３のポリシにより接続が拒否されるため、エラー応答を返している。
【０１４６】
同様に、図５１は既に起動しているノードに対するＶＰＮ接続要求を受け付け、かつ対応するポリシが「複数のＶＰＮ経由のアクセスを許可する」「複数のネットワーク情報の割当てを許可する」というものであった場合のシーケンスを示す。また、図５２はポリシ制御に基づくＶＰＮ確立要求処理におけるＶＰＮ終端装置内部のシーケンス（配布の前処理まで）を示し、図５３は、同シーケンスに対応するＶＰＮ終端装置内部の動作フローを示している。
【０１４７】
この場合、ポリシ制御部３７１７の判断に基づき、新たなネットワーク情報が必要と判明したため、ステップＳ４２０６で該ノードに割当て可能な新しいネットワーク情報を取得し（ステップＳ４２０６）、続くステップＳ４２０７でネットワーク情報管理表に登録した後、ステップＳ４２０８で割当てを行っている。さらに、その情報をステップＳ４２１２で返している。
【０１４８】
なお、一連の動作において、ポリシ制御部で決定された判断に基づいてＶＰＮ処理部は種々の動作を行う。前述の３つのシーケンスでは、ネットワーク情報の追加取得があったが、その他にも「割当て済の情報を破棄（更新の禁止）」「割当て済の情報を無効化（即時無効化）」「ＶＰＮ接続の中断」などの処理が考えられる。いずれも図４６に示した構成内で実現可能な動作を行う。
【０１４９】
［複数のノードを同時に扱う場合の処理］
これまでに述べたすべての実施形態は、１つのＶＰＮ接続要求で１つの通信相手ノードと１つのＶＰＮクライアントを通信可能な状態にする方法について述べてきた。ここでは複数のノードに対して同時に扱う方法について述べる。
【０１５０】
複数のノードを一度に扱えるようにするため、「グループ」という概念を定義する。グループは一つのグループＩＤと１つ以上のメンバーを示すＩＤで構成される。また、グループはＶＰＮ利用者データベースと同じノードにより管理される。すなわち、ＶＰＮ管理サーバが存在する場合にはＶＰＮ管理サーバにより管理し、存在しない場合にはＶＰＮ終端装置により管理する。
【０１５１】
図５４はグループに対応した第２の実施形態におけるＶＰＮ終端装置を示す図である。同図は図１９の構成にグループデータベース４７１７が追加されたものである。他の構成要素については図１９に示したものとほぼ同様である。
【０１５２】
グループデータベースの一例を図５５に示す。この図に示すように、グループデータベース４７１７の一つのエントリはグループＩＤ、メンバーＩＤ、同グループに割り当てるネットワーク情報で構成される。このグループデータベース４７１７に登録されているグループＩＤは、ＶＰＮ利用者データベース４７１６あるいはポリシデータベース３７１８（図４６参照）において使用することができる。
【０１５３】
例えば、ＶＰＮ利用者データベースの通信相手ノードＩＤとして、図５５におけるグループＩＤであるＧＩＤ＿２が指定されていたと仮定する。この場合、遠隔起動部３７１５は２つのノードＤＩＤ＿２とＤＩＤ＿４に対して遠隔起動依頼を送信する。また、ネットワーク情報配布部３７１３は両ノードに対してネットワーク情報を配布する。さらにＶＰＮクライアントに返すＶＰＮ確立応答は、グループメンバーの各ネットワーク情報を含んだ形で返される。
【０１５４】
もし、グループのメンバー内の一部のノードが所望の動作をしなかった場合（例えば、遠隔起動依頼を送信する前に既に起動していた等）には、その動作からの回復処理を実施しても良いし、エラーをＶＰＮクライアントに返しても良い。またこれらの判断をポリシ制御部とポリシデータベースを導入して柔軟に定義できるようにしても良い。
【０１５５】
以上説明した本発明の実施形態によれば、ＶＰＮを利用して遠隔アクセスを実現する際に通信相手ノードを常に起動しておく必要がなくなるため、以下の点が改善される。
【０１５６】
・システム全体として低消費電力を実現することができる。
【０１５７】
・通信相手ノードの不正使用を防止でき、セキュリティを向上できる。
【０１５８】
・ＶＰＮ終端装置が通信を管理することからＶＰＮを介した通信と通常のＬＡＮ内の通信とを明確に区別することができる。これもセキュリティの向上につながる。
【０１５９】
・ＶＰＮを利用する遠隔ノードに特別な設定が不要であることから、利便性を向上できる。
【０１６０】
なお、本発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。
【図面の簡単な説明】
【０１６１】
【図１】本発明の第１の実施形態に係るシステムの全体構成図
【図２】ＶＰＮ終端装置の内部構成を示すブロック図
【図３】ＶＰＮ管理サーバの内部構成を示すブロック図
【図４】ＶＰＮ利用者データベースの詳細を示す図
【図５】ＶＰＮ終端装置データベースを示す図
【図６】本発明の第１の実施形態に係るシステムの動作シーケンスを示す図
【図７】ネットワーク情報管理表の設定時における値の変化を示す図
【図８】データリンク層に適用するパケットフィルタルールの一例を示す図
【図９】データリンク層に適用するパケットフィルタルールの一例であって、レイヤ３ＶＰＮに適用する場合のものを示す図
【図１０】ネットワーク層に適用するパケットフィルタルールの一例を示す図
【図１１】ネットワーク情報の有効期限更新を説明するための図
【図１２】ＶＰＮ接続延長を説明するための図
【図１３】ネットワーク情報の有効期限切れに伴う切断を説明するための図
【図１４】ＶＰＮクライアントからの明示的な切断を説明するための図
【図１５】アクセス先ノードが起動していた場合の処理を説明するための図
【図１６】複数のネットワーク管理情報が格納されたＶＰＮ状態管理表を示す図
【図１７】ＶＰＮ管理サーバにおけるネットワーク情報の再検索及び再接続を説明するための図
【図１８】本発明の第２の実施形態に係るシステムの全体図
【図１９】第２の実施形態において用いられるＶＰＮ終端装置の内部構成を示す図
【図２０】第２の実施形態に係るＶＰＮ利用者データベースの構成を示す図
【図２１】第２の実施形態における動作シーケンスを示す図
【図２２】ＶＰＮ終端装置内部についての動作シーケンスを示す図
【図２３】ＶＰＮ終端装置内部についての動作シーケンスを示す図
【図２４】ＶＰＮ終端装置内部についての動作を示すフローチャート
【図２５】ＶＰＮ終端装置内部についての動作を示すフローチャート
【図２６】本発明の第３の実施形態に係るシステムの全体構成を示す図
【図２７】本発明の第３の実施形態に係るＶＰＮ終端装置の内部構成を示す図
【図２８】第３の実施形態における動作シーケンスを示す図
【図２９】通信相手ノード認証を行う場合のＶＰＮ利用者データベース
【図３０】通信相手ノードの認証機構を使ったネットワーク全体での動作シーケンスを示す図
【図３１】通信相手ノードの認証機構を使ったネットワーク全体での動作を示すフローチャート
【図３２】通信相手ノードの認証機構を使ったネットワーク全体での動作を示すフローチャート
【図３３】ネットワーク情報を要求したノードを認証できない場合の動作シーケンスを示す図
【図３４】認証情報（チャレンジ）の計算と認証情報（レスポンス）の確認をＶＰＮ管理サーバが行う場合を示す図
【図３５】複数のネットワーク情報提供ノードがＬＡＮ上に存在するシステムにおける動作シーケンスを示す図
【図３６】アドレス付き遠隔起動依頼の例を示す図
【図３７】図３５の動作シーケンスをＤＨＣＰを適用することにより具体化した例を示す図
【図３８】ネットワーク情報取得要求を妨害することによるネットワーク情報通知サーバの選択のシーケンスを示す図
【図３９】ＤＨＣＰにより図３８を具体化した例を示す図
【図４０】ＲｏｕｔｅｒＡｄｖｅｒｔｉｓｅｍｅｎｔ（ＲＡ）により図３８を具体化した例を示す図
【図４１】ネットワーク情報通知サーバ間の連携を示す図
【図４２】ＲｏｕｔｅｒＡｄｖｅｒｔｉｓｅｍｅｎｔにより図４１を具体化した例を示す図
【図４３】対象とするノードが事前に起動していた場合の処理であって、強制的に複数のネットワーク情報を割り当てる場合を示す図
【図４４】対象とするノードが事前に起動していた場合の処理であって、割当て済みネットワーク情報を共有する場合を示す図
【図４５】対象とするノードが事前に起動していた場合の処理であって、常に接続を拒否する場合を示す図
【図４６】ポリシ制御部とポリシデータベースが追加されたＶＰＮ終端装置の内部構成を示すブロック図
【図４７】ポリシデータベースの一例を示す図
【図４８】ポリシデータベースの別の例を示す図
【図４９】ポリシ制御部に基づくＶＰＮ確立要求のシーケンスを示す図
【図５０】通信相手ノードが既に起動している状態でＶＰＮ接続要求を受け付けた場合のシーケンスを示す図
【図５１】ポリシ制御部に基づくＶＰＮ確立要求のシーケンスを示す図
【図５２】ポリシ制御に基づくＶＰＮ確立要求処理におけるＶＰＮ終端装置内部のシーケンスを示す図
【図５３】図５２のシーケンスに対応するＶＰＮ終端装置内部の動作を示すフローチャート
【図５４】グループに対応した第２の実施形態におけるＶＰＮ終端装置を示す図
【図５５】グループデータベースの一例を示す図
【符号の説明】
【０１６２】
１０１…広域ネットワーク（インターネット）；１０２…ＶＰＮクライアント；１０３…ＶＰＮ終端装置；１０４…通信相手ノード；１０５…ＶＰＮ管理サーバ
【特許請求の範囲】
【請求項１】
第１の通信装置と第２の通信装置との間の仮想私設網（ＶＰＮ）通信を制御する通信装置において、
前記第１の通信装置のノードＩＤに対し、前記第２の通信装置のＩＤ、該第２の通信装置のＭＡＣアドレス及び該第２の通信装置のネットワーク情報を関連付けるＶＰＮ利用者データベースと、
前記第１の通信装置のノードＩＤ及び前記第２の通信装置のノードＩＤを含んだＶＰＮ接続要求を受信し、該第１の通信装置のノードＩＤ及び第２の通信装置のノードＩＤにより前記ＶＰＮ利用者データベースを参照して前記第２の通信装置のＭＡＣアドレスを求め、該第２の通信装置のＭＡＣアドレスを含んだ遠隔起動依頼を生成するＶＰＮ処理部と、
前記遠隔起動依頼に含まれるＭＡＣアドレスにより特定される前記第２の通信装置を遠隔起動する遠隔起動部と、
前記遠隔起動部により起動された前記第２の通信装置から情報取得要求を受信し、該情報取得要求に応じて前記ネットワーク情報を該第２の通信装置に対して配布するネットワーク情報配布部と、を具備する通信装置。
【請求項２】
前記ネットワーク情報は、前記第２の通信装置の起動時に、該第２の通信装置が備えるネットワークインターフェイスに対して設定すべきＩＰアドレス、デフォルトゲートウェイ、ＤＮＳサーバ、ドメイン名を含む請求項１記載の通信装置。
【請求項３】
前記通信装置が具備する各部分に対する動作や状態と、前記動作や状態が前記第１もしくは前記第２の通信装置又は該装置との通信を所望する第３の通信装置によって引き起こされた場合にＶＰＮ接続もしくはＶＰＮ接続経由でのノード利用を許可するか否かを定めるポリシからなるポリシデータベースと、
前記ポリシデータベースに基づいて、現在の通信状況下でＶＰＮ接続もしくはＶＰＮ接続経由でのノード利用を許可するか否かを判断するポリシ制御部とを具備する請求項１又は２記載の通信装置。
【請求項４】
複数の前記第２の通信装置をメンバーとするグループに対して、遠隔起動を含むＶＰＮ通信制御を一括して行うことを特徴とする請求項１記載の通信装置。
【請求項５】
前記ＶＰＮ処理部は、
前記第１の通信装置と前記第２の通信装置の間であらかじめ共有された情報に基づく第１の認証情報を計算するとともに該第１の認証情報を前記遠隔起動部に渡し、
前記遠隔起動部は、
前記第２の通信装置に対し、前記第１の認証情報が付加された遠隔起動依頼を送信し、
前記ネットワーク情報配布部は、
前記第２の通信装置が、前記第１の認証情報に応じて生成した第２の認証情報が付加されたネットワーク情報取得要求を受信するとともに、該ネットワーク情報取得要求から該第２の認証情報を抽出し、
前記ＶＰＮ処理部は、
前記第１の認証情報と前記第２の認証情報とが正当であるか否かを判定し、該判定結果を前記ネットワーク情報配布部に通知し、
前記ネットワーク情報配布部は、
前記判定結果に応じて、前記ネットワーク情報を配布するか否かを決定する請求項１記載の通信装置。
【請求項６】
前記ネットワーク情報配布部から前記第２の通信装置に対して配布したネットワーク情報により特定される通信であって、かつ前記第１の通信装置と前記第２の通信装置との間で行われる通信のパケットのみが転送されるよう、パケット転送を制御するためのパケットフィルタ部をさらに具備する請求項１記載の通信装置。
【請求項７】
前記ＶＰＮ利用者データベースにより管理され、前記第２の通信装置に対して割り当てるネットワーク情報が、複数の異なるネットワーク情報の集合からなり、
前記ネットワーク情報配布部は、前記ネットワーク情報の集合から一つの要素を選択して前記第２の通信装置に配布する請求項１記載の通信装置。
【請求項８】
前記ネットワーク情報集合から選択され、前記第２の通信装置に配布された要素が使用できない旨を検出した場合に、前記ネットワーク情報集合の別の要素を再配布することを特徴とする請求項７記載の通信装置。
【請求項９】
前記第２の通信装置へのネットワーク情報の配布が完了した際に、前記ＶＰＮ処理部は、該第２の通信装置に対して配布したネットワーク情報を含んだＶＰＮ接続応答を前記第１の通信装置に送信する請求項１記載の通信装置。
【請求項１０】
第１の通信装置と第２の通信装置との間の仮想私設網（ＶＰＮ）通信を制御する通信方法において、
前記第１の通信装置のノードＩＤに対し、前記第２の通信装置のＩＤ、該第２の通信装置のＭＡＣアドレス及び該第２の通信装置のネットワーク情報を関連付けるＶＰＮ利用者データベースを準備するステップと、
前記第１の通信装置のノードＩＤ及び前記第２の通信装置のノードＩＤを含んだＶＰＮ接続要求を受信し、該第１の通信装置のノードＩＤ及び第２の通信装置のノードＩＤにより前記ＶＰＮ利用者データベースを参照して前記第２の通信装置のＭＡＣアドレスを求め、該第２の通信装置のＭＡＣアドレスを含んだ遠隔起動依頼を生成するステップと、
前記遠隔起動依頼に含まれるＭＡＣアドレスにより特定される前記第２の通信装置を遠隔起動するステップと、
前記遠隔起動により起動された前記第２の通信装置から情報取得要求を受信し、該情報取得要求に応じて前記ネットワーク情報を該第２の通信装置に対して配布するステップと、を具備する通信方法。
【請求項１１】
第１の通信装置と第２の通信装置との間の仮想私設網（ＶＰＮ）通信を制御する通信プログラムであって、
前記第１の通信装置のノードＩＤに対し、前記第２の通信装置のＩＤ、該第２の通信装置のＭＡＣアドレス及び該第２の通信装置のネットワーク情報を関連付けるＶＰＮ利用者データベースを記憶する手順と、
前記第１の通信装置のノードＩＤ及び前記第２の通信装置のノードＩＤを含んだＶＰＮ接続要求を受信し、該第１の通信装置のノードＩＤ及び第２の通信装置のノードＩＤにより前記ＶＰＮ利用者データベースを参照して前記第２の通信装置のＭＡＣアドレスを求め、該第２の通信装置のＭＡＣアドレスを含んだ遠隔起動依頼を生成する手順と、
前記遠隔起動依頼に含まれるＭＡＣアドレスにより特定される前記第２の通信装置を遠隔起動する手順と、
前記遠隔起動により起動された前記第２の通信装置から情報取得要求を受信し、該情報取得要求に応じて前記ネットワーク情報を該第２の通信装置に対して配布する手順と、をコンピュータに実行させるための通信プログラム。
【請求項１】
第１の通信装置と第２の通信装置との間の仮想私設網（ＶＰＮ）通信を制御する通信装置において、
前記第１の通信装置のノードＩＤに対し、前記第２の通信装置のＩＤ、該第２の通信装置のＭＡＣアドレス及び該第２の通信装置のネットワーク情報を関連付けるＶＰＮ利用者データベースと、
前記第１の通信装置のノードＩＤ及び前記第２の通信装置のノードＩＤを含んだＶＰＮ接続要求を受信し、該第１の通信装置のノードＩＤ及び第２の通信装置のノードＩＤにより前記ＶＰＮ利用者データベースを参照して前記第２の通信装置のＭＡＣアドレスを求め、該第２の通信装置のＭＡＣアドレスを含んだ遠隔起動依頼を生成するＶＰＮ処理部と、
前記遠隔起動依頼に含まれるＭＡＣアドレスにより特定される前記第２の通信装置を遠隔起動する遠隔起動部と、
前記遠隔起動部により起動された前記第２の通信装置から情報取得要求を受信し、該情報取得要求に応じて前記ネットワーク情報を該第２の通信装置に対して配布するネットワーク情報配布部と、を具備する通信装置。
【請求項２】
前記ネットワーク情報は、前記第２の通信装置の起動時に、該第２の通信装置が備えるネットワークインターフェイスに対して設定すべきＩＰアドレス、デフォルトゲートウェイ、ＤＮＳサーバ、ドメイン名を含む請求項１記載の通信装置。
【請求項３】
前記通信装置が具備する各部分に対する動作や状態と、前記動作や状態が前記第１もしくは前記第２の通信装置又は該装置との通信を所望する第３の通信装置によって引き起こされた場合にＶＰＮ接続もしくはＶＰＮ接続経由でのノード利用を許可するか否かを定めるポリシからなるポリシデータベースと、
前記ポリシデータベースに基づいて、現在の通信状況下でＶＰＮ接続もしくはＶＰＮ接続経由でのノード利用を許可するか否かを判断するポリシ制御部とを具備する請求項１又は２記載の通信装置。
【請求項４】
複数の前記第２の通信装置をメンバーとするグループに対して、遠隔起動を含むＶＰＮ通信制御を一括して行うことを特徴とする請求項１記載の通信装置。
【請求項５】
前記ＶＰＮ処理部は、
前記第１の通信装置と前記第２の通信装置の間であらかじめ共有された情報に基づく第１の認証情報を計算するとともに該第１の認証情報を前記遠隔起動部に渡し、
前記遠隔起動部は、
前記第２の通信装置に対し、前記第１の認証情報が付加された遠隔起動依頼を送信し、
前記ネットワーク情報配布部は、
前記第２の通信装置が、前記第１の認証情報に応じて生成した第２の認証情報が付加されたネットワーク情報取得要求を受信するとともに、該ネットワーク情報取得要求から該第２の認証情報を抽出し、
前記ＶＰＮ処理部は、
前記第１の認証情報と前記第２の認証情報とが正当であるか否かを判定し、該判定結果を前記ネットワーク情報配布部に通知し、
前記ネットワーク情報配布部は、
前記判定結果に応じて、前記ネットワーク情報を配布するか否かを決定する請求項１記載の通信装置。
【請求項６】
前記ネットワーク情報配布部から前記第２の通信装置に対して配布したネットワーク情報により特定される通信であって、かつ前記第１の通信装置と前記第２の通信装置との間で行われる通信のパケットのみが転送されるよう、パケット転送を制御するためのパケットフィルタ部をさらに具備する請求項１記載の通信装置。
【請求項７】
前記ＶＰＮ利用者データベースにより管理され、前記第２の通信装置に対して割り当てるネットワーク情報が、複数の異なるネットワーク情報の集合からなり、
前記ネットワーク情報配布部は、前記ネットワーク情報の集合から一つの要素を選択して前記第２の通信装置に配布する請求項１記載の通信装置。
【請求項８】
前記ネットワーク情報集合から選択され、前記第２の通信装置に配布された要素が使用できない旨を検出した場合に、前記ネットワーク情報集合の別の要素を再配布することを特徴とする請求項７記載の通信装置。
【請求項９】
前記第２の通信装置へのネットワーク情報の配布が完了した際に、前記ＶＰＮ処理部は、該第２の通信装置に対して配布したネットワーク情報を含んだＶＰＮ接続応答を前記第１の通信装置に送信する請求項１記載の通信装置。
【請求項１０】
第１の通信装置と第２の通信装置との間の仮想私設網（ＶＰＮ）通信を制御する通信方法において、
前記第１の通信装置のノードＩＤに対し、前記第２の通信装置のＩＤ、該第２の通信装置のＭＡＣアドレス及び該第２の通信装置のネットワーク情報を関連付けるＶＰＮ利用者データベースを準備するステップと、
前記第１の通信装置のノードＩＤ及び前記第２の通信装置のノードＩＤを含んだＶＰＮ接続要求を受信し、該第１の通信装置のノードＩＤ及び第２の通信装置のノードＩＤにより前記ＶＰＮ利用者データベースを参照して前記第２の通信装置のＭＡＣアドレスを求め、該第２の通信装置のＭＡＣアドレスを含んだ遠隔起動依頼を生成するステップと、
前記遠隔起動依頼に含まれるＭＡＣアドレスにより特定される前記第２の通信装置を遠隔起動するステップと、
前記遠隔起動により起動された前記第２の通信装置から情報取得要求を受信し、該情報取得要求に応じて前記ネットワーク情報を該第２の通信装置に対して配布するステップと、を具備する通信方法。
【請求項１１】
第１の通信装置と第２の通信装置との間の仮想私設網（ＶＰＮ）通信を制御する通信プログラムであって、
前記第１の通信装置のノードＩＤに対し、前記第２の通信装置のＩＤ、該第２の通信装置のＭＡＣアドレス及び該第２の通信装置のネットワーク情報を関連付けるＶＰＮ利用者データベースを記憶する手順と、
前記第１の通信装置のノードＩＤ及び前記第２の通信装置のノードＩＤを含んだＶＰＮ接続要求を受信し、該第１の通信装置のノードＩＤ及び第２の通信装置のノードＩＤにより前記ＶＰＮ利用者データベースを参照して前記第２の通信装置のＭＡＣアドレスを求め、該第２の通信装置のＭＡＣアドレスを含んだ遠隔起動依頼を生成する手順と、
前記遠隔起動依頼に含まれるＭＡＣアドレスにより特定される前記第２の通信装置を遠隔起動する手順と、
前記遠隔起動により起動された前記第２の通信装置から情報取得要求を受信し、該情報取得要求に応じて前記ネットワーク情報を該第２の通信装置に対して配布する手順と、をコンピュータに実行させるための通信プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【図２８】
【図２９】
【図３０】
【図３１】
【図３２】
【図３３】
【図３４】
【図３５】
【図３６】
【図３７】
【図３８】
【図３９】
【図４０】
【図４１】
【図４２】
【図４３】
【図４４】
【図４５】
【図４６】
【図４７】
【図４８】
【図４９】
【図５０】
【図５１】
【図５２】
【図５３】
【図５４】
【図５５】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【図２８】
【図２９】
【図３０】
【図３１】
【図３２】
【図３３】
【図３４】
【図３５】
【図３６】
【図３７】
【図３８】
【図３９】
【図４０】
【図４１】
【図４２】
【図４３】
【図４４】
【図４５】
【図４６】
【図４７】
【図４８】
【図４９】
【図５０】
【図５１】
【図５２】
【図５３】
【図５４】
【図５５】
【公開番号】特開２００７−３１８４８６（Ｐ２００７−３１８４８６Ａ）
【公開日】平成１９年１２月６日（２００７．１２．６）
【国際特許分類】
【出願番号】特願２００６−１４６４９５（Ｐ２００６−１４６４９５）
【出願日】平成１８年５月２６日（２００６．５．２６）
【出願人】（０００００３０７８）株式会社東芝 (54,554)
【Ｆターム（参考）】
【公開日】平成１９年１２月６日（２００７．１２．６）
【国際特許分類】
【出願日】平成１８年５月２６日（２００６．５．２６）
【出願人】（０００００３０７８）株式会社東芝 (54,554)
【Ｆターム（参考）】
[ Back to top ]