ＶＰＮ制御装置、ＶＰＮ接続装置、ＶＰＮ設定方法、及びプログラム
【課題】端末装置に対するVPNの設定を手間をかけずに迅速に行う技術を提供する。
【解決手段】 VPN接続装置と通信ネットワークを介して接続されるVPN制御装置において、VPN接続装置のVPN接続先と、VPNプロトコル名と、VPN構築のために用いられるパラメータ情報とを含むVPN設定情報を、当該VPN接続装置を識別する装置識別情報と対応付けて格納するVPN設定情報格納手段と、前記VPN設定情報格納手段に格納されたVPN設定情報を、当該VPN設定情報に対応する装置識別情報で識別されるVPN接続装置に送信するVPN設定情報提供手段と、を備える。
【解決手段】 VPN接続装置と通信ネットワークを介して接続されるVPN制御装置において、VPN接続装置のVPN接続先と、VPNプロトコル名と、VPN構築のために用いられるパラメータ情報とを含むVPN設定情報を、当該VPN接続装置を識別する装置識別情報と対応付けて格納するVPN設定情報格納手段と、前記VPN設定情報格納手段に格納されたVPN設定情報を、当該VPN設定情報に対応する装置識別情報で識別されるVPN接続装置に送信するVPN設定情報提供手段と、を備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、端末装置間でVPN(Virtual Private Network)を構築する技術に関するものであり、特に、所望のVPNプロトコルに基づくVPNを作業者の手間をかけずに構築する技術に関するものである。
【背景技術】
【０００２】
インターネットが社会のインフラとなった現在では、通信機能を持つ組み込み機器等の端末装置がセンサーや機器制御等の用途で利用され始めている。このような端末装置を利用して、センタサーバがセンサー情報を収集したり、遠隔地の機器の制御を行うことが可能になっている。
【０００３】
上記のような端末装置と、端末装置を管理するセンタサーバとの間の通信はセキュアな通信であることが必要であり、そのためにインターネット上で仮想的に閉域網を実現するIP-VPN（以下、単にVPNと記述する）の技術を適用することができる。
【０００４】
端末装置を設置してセンタサーバとの間にVPNを構築するためには、端末装置に対して特定のVPNプロトコルに対応したVPN通信を可能とするための設定をすることになる。なお、本願に関連する従来技術として特許文献１に記載された技術がある。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開2002-111732号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
さて、VPNを実現するためのVPNプロトコルとしては、IPsec(Security Architecture for Internet Protocol)、TLS(Transport Layer Security)、 L2TP（Layer 2 Tunneling Protocol）など様々なプロトコルがあるが、VPNを利用するネットワーク環境や利用されるアプリケーションによって使用に適したプロトコルが異なる。例えば、LAN上に設置され、センタサーバ以外の装置とも通信を行う端末装置に関しては、センタサーバとの間にLayer 2 トンネルを形成するVPN方式を使用することはできない。また、例えばIPsecパケットを透過させない装置の配下にある端末装置においてはIPsecを使用することはできない。
【０００７】
センサー情報や機器制御の管理装置として使用されるセンタサーバには多くの端末装置がVPNにより接続されるが、各々の端末装置に対してその端末装置に対応したVPNの設定を行う必要がある。
【０００８】
しかし、VPN設定の設定項目は多岐にわたり、端末装置に対してVPN設定を行うことは煩雑な作業となる。また、様々な場所に設置された数多くの端末装置に対して、接続先変更といった設定変更を行う際にも、その作業の手間は膨大なものとなる。特に、センサーや機器制御のために利用される端末装置は、入力機能に乏しいのが一般的であり、VPN設定にかかる手間は普通のコンピュータ端末に比べて非常に大きい。
【０００９】
また、従来は、端末装置において使用されるVPNプロトコルを動的に設定・変更する技術がなかったため、各端末装置に対してVPNプロトコルを設定・変更する際には、運用者が当該端末装置に適合したVPNプロトコルを把握し、そのVPNプロトコルに対応したVPN設定を行わなければならず、この点でも手間が大きかった。
【００１０】
本発明は上記の点に鑑みてなされたものであり、端末装置に対するVPNの設定を手間をかけずに行うことを可能とする技術を提供することを目的とする。
【課題を解決するための手段】
【００１１】
上記の課題を解決するために、本発明は、VPN接続装置と通信ネットワークを介して接続されるVPN制御装置であって、VPN接続装置のVPN接続先と、VPNプロトコル名と、VPN構築のために用いられるパラメータ情報とを含むVPN設定情報を、当該VPN接続装置を識別する装置識別情報と対応付けて格納するVPN設定情報格納手段と、前記VPN設定情報格納手段に格納されたVPN設定情報を、当該VPN設定情報に対応する装置識別情報で識別されるVPN接続装置に送信するVPN設定情報提供手段と、を備えたことを特徴とするVPN制御装置として構成される。
【００１２】
前記VPN設定情報提供手段は、VPN接続装置から装置識別情報を含むVPN設定情報要求を受信し、当該装置識別情報に対応するVPN設定情報を前記VPN設定情報格納手段から取得し、当該取得したVPN設定情報を前記VPN接続装置に送信することとしてもよい。
【００１３】
また、前記VPN設定情報提供手段は、VPN接続装置から装置識別情報を含む登録要求を受信し、当該装置識別情報を記憶手段に格納し、前記登録要求に含まれる装置識別情報に対応するVPN設定情報が前記VPN設定情報格納手段に格納された場合に、当該VPN設定情報を当該装置識別情報で識別される前記VPN接続装置に送信することとしてもよい。
また、本発明は、VPN設定情報を送信するVPN制御装置と通信ネットワークを介して接続されるVPN接続装置であって、VPN構築用プログラムを格納する格納手段と、前記VPN制御装置から、VPN接続先と、VPNプロトコル名と、VPN構築のために用いられるパラメータ情報とを含むVPN設定情報を受信するVPN設定情報取得手段と、前記VPN設定情報に含まれる前記VPNプロトコル名に対応するVPN構築用プログラムを起動し、前記VPN接続先と前記パラメータ情報とを用いてVPN構築のための設定を行う設定手段とを備えたことを特徴とするVPN接続装置として構成することもできる。
【００１４】
前記VPN設定情報取得手段は、前記VPN接続装置の装置識別情報を含む要求情報を前記VPN制御装置に送信した後に、当該VPN制御装置から前記VPN設定情報を受信することとしてもよい。
【発明の効果】
【００１５】
本発明によれば、端末装置に対するVPNの設定を手間をかけずに迅速に行うことが可能となる。
【図面の簡単な説明】
【００１６】
【図１】第１の実施の形態におけるシステム構成図である。
【図２】端末装置１の機能構成図である。
【図３】端末装置１の他の例の構成図である。
【図４】VPN制御装置３の機能構成図である。
【図５】VPN設定情報格納部３３に格納される情報の例を示す図である。
【図６】第１の実施の形態におけるシステムの動作例１を説明するための図である。
【図７】第１の実施の形態におけるシステムの動作例２を説明するための図である。
【図８】第２の実施の形態におけるシステム構成図である。
【図９】第２の実施の形態におけるシステムの動作例を説明するための図である。
【図１０】VPN設定情報格納部３３に格納される情報の例を示す図である。
【図１１】第３の実施の形態におけるシステム構成図である。
【図１２】VPN制御装置３の他の例の機能構成図である。
【図１３】VPN設定情報の編集を説明するための図である。
【発明を実施するための形態】
【００１７】
以下、図面を参照して本発明の実施の形態について説明する。
【００１８】
＜第１の実施の形態＞
（システム構成）
図１に本実施の形態に係るシステムの全体構成図を示す。図１に示すように、本実施の形態に係るシステムは、複数の端末装置１と、センタサーバ４が接続されたVPN集約装置２と、VPN制御装置３とがインターネット５に接続されて構成されている。
【００１９】
図１に示すシステムにおいて、VPN制御装置３が実行する制御処理に基づき、複数の端末装置１の各々とVPN集約装置２との間にVPNが構築され、当該VPNを介して端末装置１とセンタサーバ４との間でデータ通信が行われる。データ通信としては、例えば、センタサーバ４から各端末装置１に対して制御情報が送信され、各端末装置１からセンタサーバ４に対して制御情報に基づく処理結果等が送られるといった内容のデータ通信が行われる。
【００２０】
図２に、端末装置１の機能構成図を示す。図２に示すように、端末装置１は、アプリケーション部１１と、VPN接続制御部１２とを有する。
【００２１】
アプリケーション部１１は、例えば、端末装置１をセンサーとして機能させるための各種処理を行うアプリケーションにより実現される機能部であるが、特定のものに限定されるわけではない。
【００２２】
VPN接続制御部１２は、VPN設定部１３、データ格納部１６、VPN処理部１５を有する。VPN設定部１３は、対VPN制御装置通信部１４を含み、対VPN制御装置通信部１４の機能によりVPN制御装置３と通信を行って、VPN制御装置３に要求を送信し、VPN制御装置３からVPN構築に必要な情報であるVPN設定情報を取得し、取得したVPN設定情報に基づきVPN設定を行う機能部である。対VPN制御装置通信部１４には、VPN制御装置３のアドレス情報が予め設定してある。
【００２３】
VPN設定情報には、VPNの接続先（例えば、IPアドレス、ホスト名等）、VPNプロトコル名（TLS、TCP、IP、IPsec、UDP、L2TP、等）、VPNプロトコル名に対応するVPNを構築するために端末装置側で必要となる設定パラメータ値を含む。設定パラメータ値は、例えば、IPsecの場合であれば、SAやSPD設定に必要なパラメータ値等である。
【００２４】
また、「VPN設定情報に基づきVPN設定を行う」とは、VPNプロトコル名に対応するVPN用のプログラムを端末装置１が起動するとともに、VPNの接続先情報や設定パラメータ値をデータ格納部１６に格納したり、設定パラメータ値を有効にするために所定のコマンドを実行したりすることである。
【００２５】
データ格納部１６には、VPNプロトコル名に対応付けて各VPN用のプログラムが格納されるとともに、VPN設定情報に含まれていたVPNの接続先情報や設定パラメータ値が格納される。
【００２６】
VPN処理部１５は、起動されたVPN用プログラムに対応する機能部であり、VPNの接続先情報及び設定パラメータ値をデータ格納部１６から読み出して、VPN集約装置２との間にVPNを構築する処理を行うとともに、アプリケーション部１１が送受信するデータをカプセリング／デカプセリングする等のVPN通信実現のための処理を行う機能部である。
【００２７】
端末装置１は、例えば、アプリケーション部１１に対応するアプリケーションがインストールされ、記憶装置にVPN用各種プログラムが格納されたコンピュータ（CPU、メモリ等を含む構成）に、VPN設定部１３に対応するプログラムを実行させることにより実現できる。
【００２８】
なお、図２では、端末装置１内にアプリケーション部１１とVPN接続制御部１２とを備える構成を示しているが、これは一例に過ぎない。図３に示す構成のように、アプリケーション部１１に対応する情報処理装置１７と、VPN接続制御部１２に対応するVPN接続装置１８とを別々の装置として構成し、ネットワーク等で接続してもよい。この場合でも、VPN接続装置１８内の機能構成は、図２に示すVPN接続制御部１２内の構成と同様である。また、VPN接続装置１８も、端末装置１と同様にして、記憶装置にVPN用各種プログラムが格納されたコンピュータ（CPU、メモリ等を含む構成）に、VPN設定部１３に対応するプログラムを実行させることにより実現できる。なお、端末装置１もVPN接続装置と呼んでもよい。上記プログラムは、メモリ等の記録媒体に記録しておき、当該記録媒体からコンピュータにインストールすることができる。
【００２９】
図４に、VPN制御装置３の機能構成図を示す。図４に示すように、VPN制御装置３は、対端末装置通信部３１、VPN設定情報処理部３２、及びVPN設定情報格納部３３を備える。対端末装置通信部３１は、端末装置１から要求を受信し、当該要求をVPN設定情報処理部３２に送信し、VPN設定情報処理部３２から渡されるVPN設定情報を端末装置１に返す機能部である。
【００３０】
VPN設定情報処理部３２は、対端末装置通信部３１から受け取る要求に基づき、端末装置１に送信するべきVPN設定情報をVPN設定情報格納部３３から取得し、それを対端末装置通信部３１に渡す機能を備える。また、VPN設定情報処理部３２は、装置外部から情報の入力を受ける機能を備え、VPN設定情報の入力を受けた場合にそれをVPN設定情報格納部３３に格納（登録）する機能を備える。
【００３１】
VPN設定情報格納部３３は、VPN設定情報を格納する機能部であり、例えば図５に示すように、端末識別情報（名前、アドレス情報等の端末を識別できる情報）とVPN設定情報とが対応付けて格納される。これらのVPN設定情報は、運用者等により予め各端末装置毎に決定され、VPN設定情報格納部３３に格納されるものである。
【００３２】
VPN制御装置３は、コンピュータに、上述した各機能部に対応する機能を備えたプログラムを実行させることにより実現できる。当該プログラムは、メモリ等の記録媒体に記録しておく、当該記録媒体からコンピュータにインストールすることができる。
【００３３】
また、対端末装置通信部３１と、VPN設定情報処理部３２及びVPN設定情報格納部３３とは、ネットワークに接続された別々の装置であってもよい。
【００３４】
（システムの動作例１）
以下、上記のシステム構成に対応するシステムの動作例１について図６のシーケンスチャートを参照して説明する。なお、動作例１において、VPN集約装置２には、各端末装置１との間でVPNを構築するための設定が既になされているものとする。つまり、VPN集約装置２は、システムに存在する任意の端末装置１からVPN接続開始要求を受けてその要求に対応した処理を行って、要求を送信した端末装置１とに間にVPNを構築するように設定がされている。この点は動作例２の場合も同様である。
【００３５】
また、システムには複数の端末装置１が存在するが、各端末装置では同様の処理でVPN構築がなされるので、以下では１つの端末装置１とVPN集約装置２との間でVPN構築がなされる場合を説明する。
【００３６】
図６に示すように、まず、端末装置１のVPN設定部１３が、端末識別情報を含むVPN設定情報要求をVPN制御装置３の対端末装置通信部３１に送信する（ステップ１）。ここでは、例えば、端末装置１の電源が投入されたときにVPN設定部１３が起動され、端末装置１がインターネット５に接続されたときに、VPN設定部１３が外部からの操作指示なしに自動的にVPN設定情報要求を送信する。これにより、端末装置１が入力機能に乏しい装置である場合でも、簡易にVPN設定を行うことができる。
【００３７】
VPN設定情報要求を受信した対端末装置通信部３１は、当該VPN設定情報要求をVPN設定情報処理部３２に送信する（ステップ２）。そして、VPN設定情報処理部３２は、受信したVPN設定情報要求に含まれる端末識別情報を用いてVPN設定情報格納部３３を検索し、当該端末識別情報に対応するVPN設定情報を取得する（ステップ３、４）。
【００３８】
VPN設定情報処理部３２は、取得したVPN設定情報を端末識別情報とともに対端末装置通信部３１に送信し（ステップ５）、対端末装置通信部３１は、当該端末識別情報に対応する端末装置１のVPN設定部１３にVPN設定情報を送信する（ステップ６）。
【００３９】
VPN設定情報を受信したVPN設定部１３は、VPN設定情報に基づきVPN設定を行う（ステップ７）。そして、このVPN設定により生成されたVPN処理部１５により、端末装置１とVPN集約装置２との間にVPNが構築される（ステップ８）。このVPNは、VPN設定情報に含まれるVPNプロトコル名のプロトコルにより実現されたVPNである。
【００４０】
（システムの動作例２）
次に、システムの動作例２について説明する。本動作例２についてのシステム構成は図１〜図５に示す構成と同様であるが、一部の機能部における機能が動作例１の場合と異なる。異なる機能は具体的には下記のとおりである。
本例において、VPN設定部１３は、対VPN制御装置通信部１４により、VPN制御装置３の対端末装置通信部３１に対して登録要求（端末装置１の端末識別情報を含む）を送信する機能と、VPN制御装置３からVPN接続に必要な情報であるVPN設定情報を受信し、受信したVPN設定情報に基づきVPN設定を行う機能を有する。なお、例えば、端末識別情報として端末装置１の名前を使用する場合において、登録要求に端末装置１の端末識別情報とアドレス情報とを含めてもよい。
【００４１】
また、VPN制御装置３の対端末装置通信機能部３１は、端末装置１から受信する登録要求に含まれる端末識別情報と、端末装置のアドレス情報とを対応付けて記憶手段（VPN制御装置３のメモリ等）に格納し、そのアドレス情報を用いて当該端末識別情報に対応する端末装置１に情報を送信する機能を含む。なお、端末識別情報がアドレス情報である場合、この機能は必須ではないが、以下では、端末識別情報はアドレス情報と異なる名前等であるものとする。
【００４２】
また、VPN制御装置３の対端末装置通信機能部３１は、端末装置１から受信した登録要求をVPN設定情報処理部３２に送信する機能、及びVPN設定情報処理部３２から渡されるVPN設定情報を端末装置１に送信する機能を有する。
【００４３】
VPN設定情報処理部３２は、対端末装置通信機能部３１から受信する登録要求に含まれる端末識別情報をVPN設定情報格納部３３に格納する機能を有する。また、VPN設定情報処理部３２は、外部から情報の入力を受ける機能を備え、端末識別情報とVPN設定情報とを有するVPN設定指示情報の入力を受けた場合に、当該指示情報をVPN設定情報格納部３３に格納するとともに、当該端末識別情報が既にVPN設定情報格納部３３に格納（登録）された端末識別情報である場合に、当該VPN設定情報を端末識別情報とともに対端末装置通信部３１に渡す機能を有する。
【００４４】
なお、端末装置１及びVPN制御装置３は、動作例１に対応する機能のみ、又は、動作例２に対応する機能のみを備えてもよいし、動作例１と動作例２の両方の機能を備えてもよい。
【００４５】
次に、図７に示すシーケンスチャートを参照して動作例２を説明する。
【００４６】
図７に示すように、端末装置１のVPN設定部１３が、端末識別情報を含む登録要求をVPN制御装置３の対端末装置通信部３１に送信する（ステップ１１）。ここでは、例えば、端末装置３の電源が投入されたときにVPN設定部１３が起動され、端末装置１がインターネット５に接続されたときに、VPN設定部１３が外部からの操作指示なしに自動的に登録要求を送信する。
【００４７】
登録要求を受信した対端末装置通信部３１は、登録要求に含まれる端末識別情報と、送信元を示すアドレス情報を記憶手段に格納するとともに、登録要求をVPN設定情報処理部３２に送信する（ステップ１２）。
【００４８】
そして、VPN設定情報処理部３２は、受信した登録要求に含まれる端末識別情報をVPN設定情報格納部３３に格納する（ステップ１３）。その後、VPN設定情報処理部３２が、端末識別情報と、対応するVPN設定情報とを含む指示情報の入力を受けた場合に（ステップ１４）、当該指示情報をVPN設定情報格納部３３に格納するとともに（ステップ１５）、指示情報に含まれる端末識別情報が、既に登録されているか否かをチェックし（ステップ１６、１７）、登録されていれば、ステップ１８以降の処理を行う。この時点で登録がされていなければ、登録がされた時点でステップ１８以降の処理が行われる。指示情報に複数の端末装置１の情報が含まれている場合（図５に示すような情報の場合）、個々の端末識別情報に対応する端末装置毎に以下の処理が行われることになる。
【００４９】
ステップ１８において、VPN設定情報処理部３２は、端末識別情報と、対応するVPN設定情報とを対端末装置通信部３１に送信する。そして、対端末装置通信部３１は、登録されているアドレス情報を利用して、端末識別情報に対応する端末装置１のVPN設定部１３にVPN設定情報を送信する（ステップ１９）。
【００５０】
VPN設定情報を受信したVPN設定部１３は、VPN設定情報に基づきVPN設定を行う（ステップ２０）。そして、このVPN設定により生成されたVPN処理部１５により、端末装置１とVPN集約装置２との間にVPNが構築される（ステップ２１）。このVPNは、VPN設定情報に含まれるVPNプロトコル名のプロトコルにより実現されているVPNである。なお、端末装置１においてVPN設定が完了した後、完了応答がVPN制御装置３に返されることとしてもよい。
【００５１】
＜第２の実施の形態＞
図８に、第２の実施の形態に係るシステムの構成例を示す。第２の実施の形態のシステムは、第１の実施の形態で説明した端末装置１が複数台インターネット５に接続されるとともに、第１の実施の形態で説明したVPN制御装置３がインターネットに接続される構成を有する。もちろん、端末装置１は、図２に示した構成でもよいし、図３に示した構成でもよい。
【００５２】
この構成において、例えば、端末装置１(A)と端末装置１(B)との間にVPNを構築する動作例を図９のシーケンスチャートを参照して説明する。以下の例は、第１の実施の形態の動作例１に対応するものである。
【００５３】
また、VPN制御装置３のVPN設定情報格納部３３に、図１０に示すテーブル情報が格納されているものとする。ここで例えば、VPN設定情報Aは、端末装置１(A)においてVPN設定を行ってVPN接続開始要求を端末装置１(B)に送信することによりVPN構築を行うための情報であり、VPN設定情報Bは、端末装置１(B)においてVPN設定を行って、VPN接続開始要求を端末装置１(A)から受信することによりVPN構築を行うための情報である。
【００５４】
図９において、まず、端末装置１（A)のVPN設定部１３が、端末識別情報を含むVPN設定情報要求をVPN制御装置３に送信する（ステップ３１）。そして、VPN制御装置３では、図６に示したステップ２〜５の処理が行われ、端末装置１(A)のVPN設定部１３に対してVPN設定情報Aが送信され、端末装置１(A)においてVPN設定がなされる（ステップ３２、３３）。
【００５５】
同様に、端末装置１（B)のVPN設定部１３が、端末識別情報を含むVPN設定情報要求をVPN制御装置３に送信する（ステップ３３）。そして、VPN制御装置３では、図６に示したステップ２〜５の処理が行われ、端末装置１(B)のVPN設定部１３に対してVPN設定情報Bが送信され、VPN設定がなされる（ステップ３４、３５）。
【００５６】
その後、端末装置１(A)から端末装置１(B)に送信されるVPN接続開始要求に基づきVPN構築処理が開始され、VPNが構築される（ステップ３６）。
【００５７】
以上、動作例１に対応する動作を説明したが、上記の動作では、各端末装置において図６に示したシーケンスによりVPN設定がなされている。図８において各端末装置が動作例２の動作をする場合にも、同様にして各端末装置において図７で示したシーケンスによりVPN設定がなされ、端末装置間でVPN構築がなされる。
【００５８】
＜第３の実施の形態＞
図１１に第３の実施の形態に係るシステム構成図を示す。図１１に示すように、本システムにおいて、複数の端末装置１と、複数のVPN集約装置２及びセンタサーバ４の組とがインターネット５に接続されるとともに、VPN制御装置３がインターネット５に接続されている。各端末装置１、各VPN集約装置２及びセンタサーバ４の組は、第１の実施の形態で説明したものと同じである。つまり各VPN集約装置２には、どの端末装置１ともVPN構築できるように設定がなされている。
【００５９】
図１２に、本実施の形態に係るVPN制御装置３の機能構成図を示す。本実施の形態に係るVPN制御装置３は、VPN設定情報編集部３４を有する点のみが第１の実施の形態で説明したVPN制御装置３と異なる。
【００６０】
VPN設定情報編集部３４は、例えば、複数存在するセンタサーバ４の負荷ができるだけ均等になるように、VPN集約装置２に接続される端末装置１を決定し、その決定に応じたVPN接続ができるようにVPN設定情報を編集する機能部である。
【００６１】
本実施の形態では、例えば、各センタサーバ４の負荷情報、及び各端末装置１の送受信データ量を、インターネット５上に備えられたネットワーク監視装置が定期的に取得し、取得した情報をVPN制御装置３のVPN設定情報編集部３４に送信する。
【００６２】
VPN設定情報編集部３４は、例えば、他のセンタサーバよりも所定の量以上の大きな負荷のセンタサーバ（図１１のＶＰＮ集約装置２（L）に接続されているものとする）がある場合に、そのセンタサーバ４に接続される端末装置１の中で、最も送受信データ量の大きな端末装置（端末装置１（M）とする）の接続先を、最も負荷の小さなセンタサーバ（VPN集約装置２（S）に接続されているとする）に変えることを決定する。つまり、負荷が最大のセンタサーバと負荷が最小のセンタサーバの間の負荷の差が、所定の量より小さくなるようにする。なお、上記の接続先は、VPN設定情報格納部３３に格納された情報における接続先である。
【００６３】
そして、VPN設定情報編集部３４は、VPN設定情報格納部３３に格納されているVPN設定情報において、図１３（ａ）、（ｂ）に示す編集を行う。ここで、VPN設定情報Lは、ＶＰＮ集約装置２（L）との間でVPN構築するための設定情報であり、VPN設定情報Sは、ＶＰＮ集約装置２（S）との間でVPN構築するための設定情報である。このような処理を、負荷が最大のセンタサーバと負荷が最小のセンタサーバの間の負荷の差が、所定の量より小さくなるまで行う。
【００６４】
その後、例えば、VPN設定情報編集部３４は、上記の編集において接続先が変更された端末装置の識別情報を出力し、運用者が、接続先が変更された端末装置１を把握し、その端末装置１に対して電源のOFF／ON等を行ってVPNの接続先変更を行う（動作例１）。
【００６５】
また、VPN設定情報編集部３４が、接続先が変更された端末装置の識別情報をVPN設定情報処理部３２に通知し、通知を受けたVPN設定情報処理部３２が、変更に係る端末識別情報とVPN設定情報とをVPN設定情報格納部３３から読み出し、接続先変更命令とともに対端末装置通信部３１に送り、対端末装置通信部３１が、該当の端末装置１に接続先変更命令とVPN設定情報とを送信してもよい（動作例２）。これにより、該当の端末装置１においてVPN接続先の変更（切断、接続）がなされる。
【００６６】
なお、上記の例は負荷の均等化処理の一例に過ぎず、様々な負荷分散処理を適用可能である。このように、本発明に係る技術を用いることにより、多数の端末装置１と複数のセンタサーバ４をVPN接続する構成において、センタサーバ間の負荷分散を容易に実現できる。
【００６７】
（実施の形態の効果について）
以上説明したとおり、本発明に係る実施の形態で示した技術では、VPN制御装置３と端末装置１との間で、要求情報等の制御信号をやり取りすることにより複数種類のVPNプロトコルを一括して制御することが可能になっており、その結果、端末装置に対するVPN設定の手間を削減できる。なお、VPNプロトコルを一括して制御することから、上記制御信号はメタシグナリングと呼ぶことができる。
【００６８】
また、本発明に係る実施の形態で示した技術では、複数のVPNプロトコル候補の中から、端末装置のネットワーク環境条件に応じたVPNプロトコルを選択し、遠隔から設定・変更することが可能となる。また、本技術では、VPNプロトコル自体を変更することで柔軟性を上げるのではなく、既存のVPNプロトコルから選択することにより、柔軟なVPN設定が可能になっている。
【００６９】
また、上記のメタシグナリングを用いてVPN設定を行うので、オンデマンドにVPN設定を行うことができる。
【００７０】
本発明は、上記の実施の形態に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。
【符号の説明】
【００７１】
１ 端末装置
２ VPN集約装置
３ VPN制御装置
４ センタサーバ
５ インターネット
１１ アプリケーション部
１２ VPN接続制御部
１３ VPN設定部
１４ 対VPN制御装置通信部
１５ VPN処理部
１６ データ格納部
１７ 情報処理装置
１８ VPN接続装置
３１ 対端末装置通信部
３２ VPN設定情報処理部
３３ VPN設定情報格納部
３４ VPN設定情報編集部
【技術分野】
【０００１】
本発明は、端末装置間でVPN(Virtual Private Network)を構築する技術に関するものであり、特に、所望のVPNプロトコルに基づくVPNを作業者の手間をかけずに構築する技術に関するものである。
【背景技術】
【０００２】
インターネットが社会のインフラとなった現在では、通信機能を持つ組み込み機器等の端末装置がセンサーや機器制御等の用途で利用され始めている。このような端末装置を利用して、センタサーバがセンサー情報を収集したり、遠隔地の機器の制御を行うことが可能になっている。
【０００３】
上記のような端末装置と、端末装置を管理するセンタサーバとの間の通信はセキュアな通信であることが必要であり、そのためにインターネット上で仮想的に閉域網を実現するIP-VPN（以下、単にVPNと記述する）の技術を適用することができる。
【０００４】
端末装置を設置してセンタサーバとの間にVPNを構築するためには、端末装置に対して特定のVPNプロトコルに対応したVPN通信を可能とするための設定をすることになる。なお、本願に関連する従来技術として特許文献１に記載された技術がある。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開2002-111732号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
さて、VPNを実現するためのVPNプロトコルとしては、IPsec(Security Architecture for Internet Protocol)、TLS(Transport Layer Security)、 L2TP（Layer 2 Tunneling Protocol）など様々なプロトコルがあるが、VPNを利用するネットワーク環境や利用されるアプリケーションによって使用に適したプロトコルが異なる。例えば、LAN上に設置され、センタサーバ以外の装置とも通信を行う端末装置に関しては、センタサーバとの間にLayer 2 トンネルを形成するVPN方式を使用することはできない。また、例えばIPsecパケットを透過させない装置の配下にある端末装置においてはIPsecを使用することはできない。
【０００７】
センサー情報や機器制御の管理装置として使用されるセンタサーバには多くの端末装置がVPNにより接続されるが、各々の端末装置に対してその端末装置に対応したVPNの設定を行う必要がある。
【０００８】
しかし、VPN設定の設定項目は多岐にわたり、端末装置に対してVPN設定を行うことは煩雑な作業となる。また、様々な場所に設置された数多くの端末装置に対して、接続先変更といった設定変更を行う際にも、その作業の手間は膨大なものとなる。特に、センサーや機器制御のために利用される端末装置は、入力機能に乏しいのが一般的であり、VPN設定にかかる手間は普通のコンピュータ端末に比べて非常に大きい。
【０００９】
また、従来は、端末装置において使用されるVPNプロトコルを動的に設定・変更する技術がなかったため、各端末装置に対してVPNプロトコルを設定・変更する際には、運用者が当該端末装置に適合したVPNプロトコルを把握し、そのVPNプロトコルに対応したVPN設定を行わなければならず、この点でも手間が大きかった。
【００１０】
本発明は上記の点に鑑みてなされたものであり、端末装置に対するVPNの設定を手間をかけずに行うことを可能とする技術を提供することを目的とする。
【課題を解決するための手段】
【００１１】
上記の課題を解決するために、本発明は、VPN接続装置と通信ネットワークを介して接続されるVPN制御装置であって、VPN接続装置のVPN接続先と、VPNプロトコル名と、VPN構築のために用いられるパラメータ情報とを含むVPN設定情報を、当該VPN接続装置を識別する装置識別情報と対応付けて格納するVPN設定情報格納手段と、前記VPN設定情報格納手段に格納されたVPN設定情報を、当該VPN設定情報に対応する装置識別情報で識別されるVPN接続装置に送信するVPN設定情報提供手段と、を備えたことを特徴とするVPN制御装置として構成される。
【００１２】
前記VPN設定情報提供手段は、VPN接続装置から装置識別情報を含むVPN設定情報要求を受信し、当該装置識別情報に対応するVPN設定情報を前記VPN設定情報格納手段から取得し、当該取得したVPN設定情報を前記VPN接続装置に送信することとしてもよい。
【００１３】
また、前記VPN設定情報提供手段は、VPN接続装置から装置識別情報を含む登録要求を受信し、当該装置識別情報を記憶手段に格納し、前記登録要求に含まれる装置識別情報に対応するVPN設定情報が前記VPN設定情報格納手段に格納された場合に、当該VPN設定情報を当該装置識別情報で識別される前記VPN接続装置に送信することとしてもよい。
また、本発明は、VPN設定情報を送信するVPN制御装置と通信ネットワークを介して接続されるVPN接続装置であって、VPN構築用プログラムを格納する格納手段と、前記VPN制御装置から、VPN接続先と、VPNプロトコル名と、VPN構築のために用いられるパラメータ情報とを含むVPN設定情報を受信するVPN設定情報取得手段と、前記VPN設定情報に含まれる前記VPNプロトコル名に対応するVPN構築用プログラムを起動し、前記VPN接続先と前記パラメータ情報とを用いてVPN構築のための設定を行う設定手段とを備えたことを特徴とするVPN接続装置として構成することもできる。
【００１４】
前記VPN設定情報取得手段は、前記VPN接続装置の装置識別情報を含む要求情報を前記VPN制御装置に送信した後に、当該VPN制御装置から前記VPN設定情報を受信することとしてもよい。
【発明の効果】
【００１５】
本発明によれば、端末装置に対するVPNの設定を手間をかけずに迅速に行うことが可能となる。
【図面の簡単な説明】
【００１６】
【図１】第１の実施の形態におけるシステム構成図である。
【図２】端末装置１の機能構成図である。
【図３】端末装置１の他の例の構成図である。
【図４】VPN制御装置３の機能構成図である。
【図５】VPN設定情報格納部３３に格納される情報の例を示す図である。
【図６】第１の実施の形態におけるシステムの動作例１を説明するための図である。
【図７】第１の実施の形態におけるシステムの動作例２を説明するための図である。
【図８】第２の実施の形態におけるシステム構成図である。
【図９】第２の実施の形態におけるシステムの動作例を説明するための図である。
【図１０】VPN設定情報格納部３３に格納される情報の例を示す図である。
【図１１】第３の実施の形態におけるシステム構成図である。
【図１２】VPN制御装置３の他の例の機能構成図である。
【図１３】VPN設定情報の編集を説明するための図である。
【発明を実施するための形態】
【００１７】
以下、図面を参照して本発明の実施の形態について説明する。
【００１８】
＜第１の実施の形態＞
（システム構成）
図１に本実施の形態に係るシステムの全体構成図を示す。図１に示すように、本実施の形態に係るシステムは、複数の端末装置１と、センタサーバ４が接続されたVPN集約装置２と、VPN制御装置３とがインターネット５に接続されて構成されている。
【００１９】
図１に示すシステムにおいて、VPN制御装置３が実行する制御処理に基づき、複数の端末装置１の各々とVPN集約装置２との間にVPNが構築され、当該VPNを介して端末装置１とセンタサーバ４との間でデータ通信が行われる。データ通信としては、例えば、センタサーバ４から各端末装置１に対して制御情報が送信され、各端末装置１からセンタサーバ４に対して制御情報に基づく処理結果等が送られるといった内容のデータ通信が行われる。
【００２０】
図２に、端末装置１の機能構成図を示す。図２に示すように、端末装置１は、アプリケーション部１１と、VPN接続制御部１２とを有する。
【００２１】
アプリケーション部１１は、例えば、端末装置１をセンサーとして機能させるための各種処理を行うアプリケーションにより実現される機能部であるが、特定のものに限定されるわけではない。
【００２２】
VPN接続制御部１２は、VPN設定部１３、データ格納部１６、VPN処理部１５を有する。VPN設定部１３は、対VPN制御装置通信部１４を含み、対VPN制御装置通信部１４の機能によりVPN制御装置３と通信を行って、VPN制御装置３に要求を送信し、VPN制御装置３からVPN構築に必要な情報であるVPN設定情報を取得し、取得したVPN設定情報に基づきVPN設定を行う機能部である。対VPN制御装置通信部１４には、VPN制御装置３のアドレス情報が予め設定してある。
【００２３】
VPN設定情報には、VPNの接続先（例えば、IPアドレス、ホスト名等）、VPNプロトコル名（TLS、TCP、IP、IPsec、UDP、L2TP、等）、VPNプロトコル名に対応するVPNを構築するために端末装置側で必要となる設定パラメータ値を含む。設定パラメータ値は、例えば、IPsecの場合であれば、SAやSPD設定に必要なパラメータ値等である。
【００２４】
また、「VPN設定情報に基づきVPN設定を行う」とは、VPNプロトコル名に対応するVPN用のプログラムを端末装置１が起動するとともに、VPNの接続先情報や設定パラメータ値をデータ格納部１６に格納したり、設定パラメータ値を有効にするために所定のコマンドを実行したりすることである。
【００２５】
データ格納部１６には、VPNプロトコル名に対応付けて各VPN用のプログラムが格納されるとともに、VPN設定情報に含まれていたVPNの接続先情報や設定パラメータ値が格納される。
【００２６】
VPN処理部１５は、起動されたVPN用プログラムに対応する機能部であり、VPNの接続先情報及び設定パラメータ値をデータ格納部１６から読み出して、VPN集約装置２との間にVPNを構築する処理を行うとともに、アプリケーション部１１が送受信するデータをカプセリング／デカプセリングする等のVPN通信実現のための処理を行う機能部である。
【００２７】
端末装置１は、例えば、アプリケーション部１１に対応するアプリケーションがインストールされ、記憶装置にVPN用各種プログラムが格納されたコンピュータ（CPU、メモリ等を含む構成）に、VPN設定部１３に対応するプログラムを実行させることにより実現できる。
【００２８】
なお、図２では、端末装置１内にアプリケーション部１１とVPN接続制御部１２とを備える構成を示しているが、これは一例に過ぎない。図３に示す構成のように、アプリケーション部１１に対応する情報処理装置１７と、VPN接続制御部１２に対応するVPN接続装置１８とを別々の装置として構成し、ネットワーク等で接続してもよい。この場合でも、VPN接続装置１８内の機能構成は、図２に示すVPN接続制御部１２内の構成と同様である。また、VPN接続装置１８も、端末装置１と同様にして、記憶装置にVPN用各種プログラムが格納されたコンピュータ（CPU、メモリ等を含む構成）に、VPN設定部１３に対応するプログラムを実行させることにより実現できる。なお、端末装置１もVPN接続装置と呼んでもよい。上記プログラムは、メモリ等の記録媒体に記録しておき、当該記録媒体からコンピュータにインストールすることができる。
【００２９】
図４に、VPN制御装置３の機能構成図を示す。図４に示すように、VPN制御装置３は、対端末装置通信部３１、VPN設定情報処理部３２、及びVPN設定情報格納部３３を備える。対端末装置通信部３１は、端末装置１から要求を受信し、当該要求をVPN設定情報処理部３２に送信し、VPN設定情報処理部３２から渡されるVPN設定情報を端末装置１に返す機能部である。
【００３０】
VPN設定情報処理部３２は、対端末装置通信部３１から受け取る要求に基づき、端末装置１に送信するべきVPN設定情報をVPN設定情報格納部３３から取得し、それを対端末装置通信部３１に渡す機能を備える。また、VPN設定情報処理部３２は、装置外部から情報の入力を受ける機能を備え、VPN設定情報の入力を受けた場合にそれをVPN設定情報格納部３３に格納（登録）する機能を備える。
【００３１】
VPN設定情報格納部３３は、VPN設定情報を格納する機能部であり、例えば図５に示すように、端末識別情報（名前、アドレス情報等の端末を識別できる情報）とVPN設定情報とが対応付けて格納される。これらのVPN設定情報は、運用者等により予め各端末装置毎に決定され、VPN設定情報格納部３３に格納されるものである。
【００３２】
VPN制御装置３は、コンピュータに、上述した各機能部に対応する機能を備えたプログラムを実行させることにより実現できる。当該プログラムは、メモリ等の記録媒体に記録しておく、当該記録媒体からコンピュータにインストールすることができる。
【００３３】
また、対端末装置通信部３１と、VPN設定情報処理部３２及びVPN設定情報格納部３３とは、ネットワークに接続された別々の装置であってもよい。
【００３４】
（システムの動作例１）
以下、上記のシステム構成に対応するシステムの動作例１について図６のシーケンスチャートを参照して説明する。なお、動作例１において、VPN集約装置２には、各端末装置１との間でVPNを構築するための設定が既になされているものとする。つまり、VPN集約装置２は、システムに存在する任意の端末装置１からVPN接続開始要求を受けてその要求に対応した処理を行って、要求を送信した端末装置１とに間にVPNを構築するように設定がされている。この点は動作例２の場合も同様である。
【００３５】
また、システムには複数の端末装置１が存在するが、各端末装置では同様の処理でVPN構築がなされるので、以下では１つの端末装置１とVPN集約装置２との間でVPN構築がなされる場合を説明する。
【００３６】
図６に示すように、まず、端末装置１のVPN設定部１３が、端末識別情報を含むVPN設定情報要求をVPN制御装置３の対端末装置通信部３１に送信する（ステップ１）。ここでは、例えば、端末装置１の電源が投入されたときにVPN設定部１３が起動され、端末装置１がインターネット５に接続されたときに、VPN設定部１３が外部からの操作指示なしに自動的にVPN設定情報要求を送信する。これにより、端末装置１が入力機能に乏しい装置である場合でも、簡易にVPN設定を行うことができる。
【００３７】
VPN設定情報要求を受信した対端末装置通信部３１は、当該VPN設定情報要求をVPN設定情報処理部３２に送信する（ステップ２）。そして、VPN設定情報処理部３２は、受信したVPN設定情報要求に含まれる端末識別情報を用いてVPN設定情報格納部３３を検索し、当該端末識別情報に対応するVPN設定情報を取得する（ステップ３、４）。
【００３８】
VPN設定情報処理部３２は、取得したVPN設定情報を端末識別情報とともに対端末装置通信部３１に送信し（ステップ５）、対端末装置通信部３１は、当該端末識別情報に対応する端末装置１のVPN設定部１３にVPN設定情報を送信する（ステップ６）。
【００３９】
VPN設定情報を受信したVPN設定部１３は、VPN設定情報に基づきVPN設定を行う（ステップ７）。そして、このVPN設定により生成されたVPN処理部１５により、端末装置１とVPN集約装置２との間にVPNが構築される（ステップ８）。このVPNは、VPN設定情報に含まれるVPNプロトコル名のプロトコルにより実現されたVPNである。
【００４０】
（システムの動作例２）
次に、システムの動作例２について説明する。本動作例２についてのシステム構成は図１〜図５に示す構成と同様であるが、一部の機能部における機能が動作例１の場合と異なる。異なる機能は具体的には下記のとおりである。
本例において、VPN設定部１３は、対VPN制御装置通信部１４により、VPN制御装置３の対端末装置通信部３１に対して登録要求（端末装置１の端末識別情報を含む）を送信する機能と、VPN制御装置３からVPN接続に必要な情報であるVPN設定情報を受信し、受信したVPN設定情報に基づきVPN設定を行う機能を有する。なお、例えば、端末識別情報として端末装置１の名前を使用する場合において、登録要求に端末装置１の端末識別情報とアドレス情報とを含めてもよい。
【００４１】
また、VPN制御装置３の対端末装置通信機能部３１は、端末装置１から受信する登録要求に含まれる端末識別情報と、端末装置のアドレス情報とを対応付けて記憶手段（VPN制御装置３のメモリ等）に格納し、そのアドレス情報を用いて当該端末識別情報に対応する端末装置１に情報を送信する機能を含む。なお、端末識別情報がアドレス情報である場合、この機能は必須ではないが、以下では、端末識別情報はアドレス情報と異なる名前等であるものとする。
【００４２】
また、VPN制御装置３の対端末装置通信機能部３１は、端末装置１から受信した登録要求をVPN設定情報処理部３２に送信する機能、及びVPN設定情報処理部３２から渡されるVPN設定情報を端末装置１に送信する機能を有する。
【００４３】
VPN設定情報処理部３２は、対端末装置通信機能部３１から受信する登録要求に含まれる端末識別情報をVPN設定情報格納部３３に格納する機能を有する。また、VPN設定情報処理部３２は、外部から情報の入力を受ける機能を備え、端末識別情報とVPN設定情報とを有するVPN設定指示情報の入力を受けた場合に、当該指示情報をVPN設定情報格納部３３に格納するとともに、当該端末識別情報が既にVPN設定情報格納部３３に格納（登録）された端末識別情報である場合に、当該VPN設定情報を端末識別情報とともに対端末装置通信部３１に渡す機能を有する。
【００４４】
なお、端末装置１及びVPN制御装置３は、動作例１に対応する機能のみ、又は、動作例２に対応する機能のみを備えてもよいし、動作例１と動作例２の両方の機能を備えてもよい。
【００４５】
次に、図７に示すシーケンスチャートを参照して動作例２を説明する。
【００４６】
図７に示すように、端末装置１のVPN設定部１３が、端末識別情報を含む登録要求をVPN制御装置３の対端末装置通信部３１に送信する（ステップ１１）。ここでは、例えば、端末装置３の電源が投入されたときにVPN設定部１３が起動され、端末装置１がインターネット５に接続されたときに、VPN設定部１３が外部からの操作指示なしに自動的に登録要求を送信する。
【００４７】
登録要求を受信した対端末装置通信部３１は、登録要求に含まれる端末識別情報と、送信元を示すアドレス情報を記憶手段に格納するとともに、登録要求をVPN設定情報処理部３２に送信する（ステップ１２）。
【００４８】
そして、VPN設定情報処理部３２は、受信した登録要求に含まれる端末識別情報をVPN設定情報格納部３３に格納する（ステップ１３）。その後、VPN設定情報処理部３２が、端末識別情報と、対応するVPN設定情報とを含む指示情報の入力を受けた場合に（ステップ１４）、当該指示情報をVPN設定情報格納部３３に格納するとともに（ステップ１５）、指示情報に含まれる端末識別情報が、既に登録されているか否かをチェックし（ステップ１６、１７）、登録されていれば、ステップ１８以降の処理を行う。この時点で登録がされていなければ、登録がされた時点でステップ１８以降の処理が行われる。指示情報に複数の端末装置１の情報が含まれている場合（図５に示すような情報の場合）、個々の端末識別情報に対応する端末装置毎に以下の処理が行われることになる。
【００４９】
ステップ１８において、VPN設定情報処理部３２は、端末識別情報と、対応するVPN設定情報とを対端末装置通信部３１に送信する。そして、対端末装置通信部３１は、登録されているアドレス情報を利用して、端末識別情報に対応する端末装置１のVPN設定部１３にVPN設定情報を送信する（ステップ１９）。
【００５０】
VPN設定情報を受信したVPN設定部１３は、VPN設定情報に基づきVPN設定を行う（ステップ２０）。そして、このVPN設定により生成されたVPN処理部１５により、端末装置１とVPN集約装置２との間にVPNが構築される（ステップ２１）。このVPNは、VPN設定情報に含まれるVPNプロトコル名のプロトコルにより実現されているVPNである。なお、端末装置１においてVPN設定が完了した後、完了応答がVPN制御装置３に返されることとしてもよい。
【００５１】
＜第２の実施の形態＞
図８に、第２の実施の形態に係るシステムの構成例を示す。第２の実施の形態のシステムは、第１の実施の形態で説明した端末装置１が複数台インターネット５に接続されるとともに、第１の実施の形態で説明したVPN制御装置３がインターネットに接続される構成を有する。もちろん、端末装置１は、図２に示した構成でもよいし、図３に示した構成でもよい。
【００５２】
この構成において、例えば、端末装置１(A)と端末装置１(B)との間にVPNを構築する動作例を図９のシーケンスチャートを参照して説明する。以下の例は、第１の実施の形態の動作例１に対応するものである。
【００５３】
また、VPN制御装置３のVPN設定情報格納部３３に、図１０に示すテーブル情報が格納されているものとする。ここで例えば、VPN設定情報Aは、端末装置１(A)においてVPN設定を行ってVPN接続開始要求を端末装置１(B)に送信することによりVPN構築を行うための情報であり、VPN設定情報Bは、端末装置１(B)においてVPN設定を行って、VPN接続開始要求を端末装置１(A)から受信することによりVPN構築を行うための情報である。
【００５４】
図９において、まず、端末装置１（A)のVPN設定部１３が、端末識別情報を含むVPN設定情報要求をVPN制御装置３に送信する（ステップ３１）。そして、VPN制御装置３では、図６に示したステップ２〜５の処理が行われ、端末装置１(A)のVPN設定部１３に対してVPN設定情報Aが送信され、端末装置１(A)においてVPN設定がなされる（ステップ３２、３３）。
【００５５】
同様に、端末装置１（B)のVPN設定部１３が、端末識別情報を含むVPN設定情報要求をVPN制御装置３に送信する（ステップ３３）。そして、VPN制御装置３では、図６に示したステップ２〜５の処理が行われ、端末装置１(B)のVPN設定部１３に対してVPN設定情報Bが送信され、VPN設定がなされる（ステップ３４、３５）。
【００５６】
その後、端末装置１(A)から端末装置１(B)に送信されるVPN接続開始要求に基づきVPN構築処理が開始され、VPNが構築される（ステップ３６）。
【００５７】
以上、動作例１に対応する動作を説明したが、上記の動作では、各端末装置において図６に示したシーケンスによりVPN設定がなされている。図８において各端末装置が動作例２の動作をする場合にも、同様にして各端末装置において図７で示したシーケンスによりVPN設定がなされ、端末装置間でVPN構築がなされる。
【００５８】
＜第３の実施の形態＞
図１１に第３の実施の形態に係るシステム構成図を示す。図１１に示すように、本システムにおいて、複数の端末装置１と、複数のVPN集約装置２及びセンタサーバ４の組とがインターネット５に接続されるとともに、VPN制御装置３がインターネット５に接続されている。各端末装置１、各VPN集約装置２及びセンタサーバ４の組は、第１の実施の形態で説明したものと同じである。つまり各VPN集約装置２には、どの端末装置１ともVPN構築できるように設定がなされている。
【００５９】
図１２に、本実施の形態に係るVPN制御装置３の機能構成図を示す。本実施の形態に係るVPN制御装置３は、VPN設定情報編集部３４を有する点のみが第１の実施の形態で説明したVPN制御装置３と異なる。
【００６０】
VPN設定情報編集部３４は、例えば、複数存在するセンタサーバ４の負荷ができるだけ均等になるように、VPN集約装置２に接続される端末装置１を決定し、その決定に応じたVPN接続ができるようにVPN設定情報を編集する機能部である。
【００６１】
本実施の形態では、例えば、各センタサーバ４の負荷情報、及び各端末装置１の送受信データ量を、インターネット５上に備えられたネットワーク監視装置が定期的に取得し、取得した情報をVPN制御装置３のVPN設定情報編集部３４に送信する。
【００６２】
VPN設定情報編集部３４は、例えば、他のセンタサーバよりも所定の量以上の大きな負荷のセンタサーバ（図１１のＶＰＮ集約装置２（L）に接続されているものとする）がある場合に、そのセンタサーバ４に接続される端末装置１の中で、最も送受信データ量の大きな端末装置（端末装置１（M）とする）の接続先を、最も負荷の小さなセンタサーバ（VPN集約装置２（S）に接続されているとする）に変えることを決定する。つまり、負荷が最大のセンタサーバと負荷が最小のセンタサーバの間の負荷の差が、所定の量より小さくなるようにする。なお、上記の接続先は、VPN設定情報格納部３３に格納された情報における接続先である。
【００６３】
そして、VPN設定情報編集部３４は、VPN設定情報格納部３３に格納されているVPN設定情報において、図１３（ａ）、（ｂ）に示す編集を行う。ここで、VPN設定情報Lは、ＶＰＮ集約装置２（L）との間でVPN構築するための設定情報であり、VPN設定情報Sは、ＶＰＮ集約装置２（S）との間でVPN構築するための設定情報である。このような処理を、負荷が最大のセンタサーバと負荷が最小のセンタサーバの間の負荷の差が、所定の量より小さくなるまで行う。
【００６４】
その後、例えば、VPN設定情報編集部３４は、上記の編集において接続先が変更された端末装置の識別情報を出力し、運用者が、接続先が変更された端末装置１を把握し、その端末装置１に対して電源のOFF／ON等を行ってVPNの接続先変更を行う（動作例１）。
【００６５】
また、VPN設定情報編集部３４が、接続先が変更された端末装置の識別情報をVPN設定情報処理部３２に通知し、通知を受けたVPN設定情報処理部３２が、変更に係る端末識別情報とVPN設定情報とをVPN設定情報格納部３３から読み出し、接続先変更命令とともに対端末装置通信部３１に送り、対端末装置通信部３１が、該当の端末装置１に接続先変更命令とVPN設定情報とを送信してもよい（動作例２）。これにより、該当の端末装置１においてVPN接続先の変更（切断、接続）がなされる。
【００６６】
なお、上記の例は負荷の均等化処理の一例に過ぎず、様々な負荷分散処理を適用可能である。このように、本発明に係る技術を用いることにより、多数の端末装置１と複数のセンタサーバ４をVPN接続する構成において、センタサーバ間の負荷分散を容易に実現できる。
【００６７】
（実施の形態の効果について）
以上説明したとおり、本発明に係る実施の形態で示した技術では、VPN制御装置３と端末装置１との間で、要求情報等の制御信号をやり取りすることにより複数種類のVPNプロトコルを一括して制御することが可能になっており、その結果、端末装置に対するVPN設定の手間を削減できる。なお、VPNプロトコルを一括して制御することから、上記制御信号はメタシグナリングと呼ぶことができる。
【００６８】
また、本発明に係る実施の形態で示した技術では、複数のVPNプロトコル候補の中から、端末装置のネットワーク環境条件に応じたVPNプロトコルを選択し、遠隔から設定・変更することが可能となる。また、本技術では、VPNプロトコル自体を変更することで柔軟性を上げるのではなく、既存のVPNプロトコルから選択することにより、柔軟なVPN設定が可能になっている。
【００６９】
また、上記のメタシグナリングを用いてVPN設定を行うので、オンデマンドにVPN設定を行うことができる。
【００７０】
本発明は、上記の実施の形態に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。
【符号の説明】
【００７１】
１ 端末装置
２ VPN集約装置
３ VPN制御装置
４ センタサーバ
５ インターネット
１１ アプリケーション部
１２ VPN接続制御部
１３ VPN設定部
１４ 対VPN制御装置通信部
１５ VPN処理部
１６ データ格納部
１７ 情報処理装置
１８ VPN接続装置
３１ 対端末装置通信部
３２ VPN設定情報処理部
３３ VPN設定情報格納部
３４ VPN設定情報編集部
【特許請求の範囲】
【請求項１】
VPN接続装置と通信ネットワークを介して接続されるVPN制御装置であって、
VPN接続装置のVPN接続先と、VPNプロトコル名と、VPN構築のために用いられるパラメータ情報とを含むVPN設定情報を、当該VPN接続装置を識別する装置識別情報と対応付けて格納するVPN設定情報格納手段と、
前記VPN設定情報格納手段に格納されたVPN設定情報を、当該VPN設定情報に対応する装置識別情報で識別されるVPN接続装置に送信するVPN設定情報提供手段と、
を備えたことを特徴とするVPN制御装置。
【請求項２】
前記VPN設定情報提供手段は、VPN接続装置から装置識別情報を含むVPN設定情報要求を受信し、当該装置識別情報に対応するVPN設定情報を前記VPN設定情報格納手段から取得し、当該取得したVPN設定情報を前記VPN接続装置に送信することを特徴とする請求項１に記載のVPN制御装置。
【請求項３】
前記VPN設定情報提供手段は、
VPN接続装置から装置識別情報を含む登録要求を受信し、当該装置識別情報を記憶手段に格納し、
前記登録要求に含まれる装置識別情報に対応するVPN設定情報が前記VPN設定情報格納手段に格納された場合に、当該VPN設定情報を当該装置識別情報で識別される前記VPN接続装置に送信することを特徴とする請求項１又は２に記載のVPN制御装置。
【請求項４】
VPN設定情報を送信するVPN制御装置と通信ネットワークを介して接続されるVPN接続装置であって、
VPN構築用プログラムを格納する格納手段と、
前記VPN制御装置から、VPN接続先と、VPNプロトコル名と、VPN構築のために用いられるパラメータ情報とを含むVPN設定情報を受信するVPN設定情報取得手段と、
前記VPN設定情報に含まれる前記VPNプロトコル名に対応するVPN構築用プログラムを起動し、前記VPN接続先と前記パラメータ情報とを用いてVPN構築のための設定を行う設定手段と
を備えたことを特徴とするVPN接続装置。
【請求項５】
前記VPN設定情報取得手段は、前記VPN接続装置の装置識別情報を含む要求情報を前記VPN制御装置に送信した後に、当該VPN制御装置から前記VPN設定情報を受信することを特徴とする請求項４に記載のVPN接続装置。
【請求項６】
通信ネットワークを介して接続されたVPN接続装置とVPN制御装置とが実行するVPN設定方法であって、
前記VPN制御装置は、VPN接続装置のVPN接続先と、VPNプロトコル名と、VPN構築のために用いられるパラメータ情報とを含むVPN設定情報を、当該VPN接続装置を識別する装置識別情報と対応付けて格納するVPN設定情報格納手段を備え、前記VPN接続装置は、VPN構築用プログラムを格納する格納手段を備え、前記VPN設定方法は、
前記VPN制御装置が、前記VPN設定情報格納手段に格納されたVPN設定情報を、当該VPN設定情報に対応する装置識別情報で識別されるVPN接続装置に送信するVPN設定情報提供ステップと、
前記VPN接続装置が、前記VPN制御装置から前記VPN設定情報を受信するVPN設定情報取得ステップと、
前記VPN接続装置が、前記VPN設定情報に含まれる前記VPNプロトコル名に対応するVPN構築用プログラムを起動し、前記VPN接続先と前記パラメータ情報とを用いてVPN構築のための設定を行う設定ステップと
を備えたことを特徴とするVPN設定方法。
【請求項７】
VPN接続装置と通信ネットワークを介して接続されるコンピュータをVPN制御装置として機能させるためのプログラムであって、
前記コンピュータは、VPN接続装置のVPN接続先と、VPNプロトコル名と、VPN構築のために用いられるパラメータ情報とを含むVPN設定情報を、当該VPN接続装置を識別する装置識別情報と対応付けて格納するVPN設定情報格納手段を備え、前記プログラムは、前記コンピュータを、
前記VPN設定情報格納手段に格納されたVPN設定情報を、当該VPN設定情報に対応する装置識別情報で識別されるVPN接続装置に送信するVPN設定情報提供手段として機能させることを特徴とするプログラム。
【請求項８】
VPN設定情報を送信するVPN制御装置と通信ネットワークを介して接続されるコンピュータをVPN接続装置として機能させるためのプログラムであって、前記コンピュータは、VPN構築用プログラムを格納する格納手段を備え、前記プログラムは、前記コンピュータを、
前記VPN制御装置から、VPN接続先と、VPNプロトコル名と、VPN構築のために用いられるパラメータ情報とを含むVPN設定情報を受信するVPN設定情報取得手段、
前記VPN設定情報に含まれる前記VPNプロトコル名に対応するVPN構築用プログラムを起動し、前記VPN接続先と前記パラメータ情報とを用いてVPN構築のための設定を行う設定手段、
として機能させることを特徴とするプログラム。
【請求項１】
VPN接続装置と通信ネットワークを介して接続されるVPN制御装置であって、
VPN接続装置のVPN接続先と、VPNプロトコル名と、VPN構築のために用いられるパラメータ情報とを含むVPN設定情報を、当該VPN接続装置を識別する装置識別情報と対応付けて格納するVPN設定情報格納手段と、
前記VPN設定情報格納手段に格納されたVPN設定情報を、当該VPN設定情報に対応する装置識別情報で識別されるVPN接続装置に送信するVPN設定情報提供手段と、
を備えたことを特徴とするVPN制御装置。
【請求項２】
前記VPN設定情報提供手段は、VPN接続装置から装置識別情報を含むVPN設定情報要求を受信し、当該装置識別情報に対応するVPN設定情報を前記VPN設定情報格納手段から取得し、当該取得したVPN設定情報を前記VPN接続装置に送信することを特徴とする請求項１に記載のVPN制御装置。
【請求項３】
前記VPN設定情報提供手段は、
VPN接続装置から装置識別情報を含む登録要求を受信し、当該装置識別情報を記憶手段に格納し、
前記登録要求に含まれる装置識別情報に対応するVPN設定情報が前記VPN設定情報格納手段に格納された場合に、当該VPN設定情報を当該装置識別情報で識別される前記VPN接続装置に送信することを特徴とする請求項１又は２に記載のVPN制御装置。
【請求項４】
VPN設定情報を送信するVPN制御装置と通信ネットワークを介して接続されるVPN接続装置であって、
VPN構築用プログラムを格納する格納手段と、
前記VPN制御装置から、VPN接続先と、VPNプロトコル名と、VPN構築のために用いられるパラメータ情報とを含むVPN設定情報を受信するVPN設定情報取得手段と、
前記VPN設定情報に含まれる前記VPNプロトコル名に対応するVPN構築用プログラムを起動し、前記VPN接続先と前記パラメータ情報とを用いてVPN構築のための設定を行う設定手段と
を備えたことを特徴とするVPN接続装置。
【請求項５】
前記VPN設定情報取得手段は、前記VPN接続装置の装置識別情報を含む要求情報を前記VPN制御装置に送信した後に、当該VPN制御装置から前記VPN設定情報を受信することを特徴とする請求項４に記載のVPN接続装置。
【請求項６】
通信ネットワークを介して接続されたVPN接続装置とVPN制御装置とが実行するVPN設定方法であって、
前記VPN制御装置は、VPN接続装置のVPN接続先と、VPNプロトコル名と、VPN構築のために用いられるパラメータ情報とを含むVPN設定情報を、当該VPN接続装置を識別する装置識別情報と対応付けて格納するVPN設定情報格納手段を備え、前記VPN接続装置は、VPN構築用プログラムを格納する格納手段を備え、前記VPN設定方法は、
前記VPN制御装置が、前記VPN設定情報格納手段に格納されたVPN設定情報を、当該VPN設定情報に対応する装置識別情報で識別されるVPN接続装置に送信するVPN設定情報提供ステップと、
前記VPN接続装置が、前記VPN制御装置から前記VPN設定情報を受信するVPN設定情報取得ステップと、
前記VPN接続装置が、前記VPN設定情報に含まれる前記VPNプロトコル名に対応するVPN構築用プログラムを起動し、前記VPN接続先と前記パラメータ情報とを用いてVPN構築のための設定を行う設定ステップと
を備えたことを特徴とするVPN設定方法。
【請求項７】
VPN接続装置と通信ネットワークを介して接続されるコンピュータをVPN制御装置として機能させるためのプログラムであって、
前記コンピュータは、VPN接続装置のVPN接続先と、VPNプロトコル名と、VPN構築のために用いられるパラメータ情報とを含むVPN設定情報を、当該VPN接続装置を識別する装置識別情報と対応付けて格納するVPN設定情報格納手段を備え、前記プログラムは、前記コンピュータを、
前記VPN設定情報格納手段に格納されたVPN設定情報を、当該VPN設定情報に対応する装置識別情報で識別されるVPN接続装置に送信するVPN設定情報提供手段として機能させることを特徴とするプログラム。
【請求項８】
VPN設定情報を送信するVPN制御装置と通信ネットワークを介して接続されるコンピュータをVPN接続装置として機能させるためのプログラムであって、前記コンピュータは、VPN構築用プログラムを格納する格納手段を備え、前記プログラムは、前記コンピュータを、
前記VPN制御装置から、VPN接続先と、VPNプロトコル名と、VPN構築のために用いられるパラメータ情報とを含むVPN設定情報を受信するVPN設定情報取得手段、
前記VPN設定情報に含まれる前記VPNプロトコル名に対応するVPN構築用プログラムを起動し、前記VPN接続先と前記パラメータ情報とを用いてVPN構築のための設定を行う設定手段、
として機能させることを特徴とするプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【公開番号】特開２０１０−２０００３２（Ｐ２０１０−２０００３２Ａ）
【公開日】平成２２年９月９日（２０１０．９．９）
【国際特許分類】
【出願番号】特願２００９−４３１４０（Ｐ２００９−４３１４０）
【出願日】平成２１年２月２５日（２００９．２．２５）
【出願人】（３９９０３５７６６）エヌ・ティ・ティ・コミュニケーションズ株式会社 (321)
【Ｆターム（参考）】
【公開日】平成２２年９月９日（２０１０．９．９）
【国際特許分類】
【出願日】平成２１年２月２５日（２００９．２．２５）
【出願人】（３９９０３５７６６）エヌ・ティ・ティ・コミュニケーションズ株式会社 (321)
【Ｆターム（参考）】
[ Back to top ]