ＶＰＮ接続装置、パケット制御方法、及びプログラム
【課題】既存のネットワーク構成を変更することなく簡易にVPNを構築する。
【解決手段】対向VPN接続装置との間にVPNを設定する機能を有するVPN接続装置において、網接続手段と、ホスト装置接続手段と、前記対向VPN接続装置側で前記VPNを利用する対向ホスト装置のアドレスと、前記VPN接続装置に前記ホスト装置接続手段により接続され、前記VPNを利用するホスト装置のアドレスとを含むVPN転送条件情報を格納する記憶手段と、前記VPN接続装置に前記ホスト装置接続手段を介して接続されたホスト装置からパケットを受信し、当該パケットの宛先アドレスと送信元アドレスの組が前記記憶手段に格納されたVPN転送条件情報に含まれるかどうかを判定する判定手段と、
前記判定手段により含まれると判定された場合に、前記パケットを前記VPNを利用して前記対向VPN接続装置側に前記網接続手段を介して送信するパケット制御手段と、を備える。
【解決手段】対向VPN接続装置との間にVPNを設定する機能を有するVPN接続装置において、網接続手段と、ホスト装置接続手段と、前記対向VPN接続装置側で前記VPNを利用する対向ホスト装置のアドレスと、前記VPN接続装置に前記ホスト装置接続手段により接続され、前記VPNを利用するホスト装置のアドレスとを含むVPN転送条件情報を格納する記憶手段と、前記VPN接続装置に前記ホスト装置接続手段を介して接続されたホスト装置からパケットを受信し、当該パケットの宛先アドレスと送信元アドレスの組が前記記憶手段に格納されたVPN転送条件情報に含まれるかどうかを判定する判定手段と、
前記判定手段により含まれると判定された場合に、前記パケットを前記VPNを利用して前記対向VPN接続装置側に前記網接続手段を介して送信するパケット制御手段と、を備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、VPN（Virtual Private Network）技術に関するものであり、特に、既存のネットワークを変更することなく、VPNを簡易かつ柔軟に導入することを可能とする技術に関するものである。
【背景技術】
【０００２】
近年、企業内ネットワークの拠点間接続等に、専用線に代えてVPNが用いられるケースが増えている。VPNは、トンネリング技術を利用して、インターネット等の公衆回線をあたかも専用回線のように利用して拠点間の接続を可能とする技術である。
【０００３】
VPNの導入形態としては種々のものがあるが、VPNを構築しようとする企業等が、通信事業者にVPN構築に係る申し込みを行い、通信事業者が、機器の設置、ネットワークの設定等を行うのが一般的である。
【０００４】
なお、VPNに関する従来技術として例えば特許文献１に記載された技術がある。
【特許文献１】特開２００４−０６４１８２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
上述したような一般的なVPN構築においては、企業における既存のネットワーク機器の一部をVPN専用の機器に変更したり、既存のネットワーク構成を変更する必要がある。また、新たなVPNの構築が完了するまでにある程度の期間がかかる。
【０００６】
従って、例えば、ある期間だけ特定の拠点間をVPNで接続したいという要望があっても、既存ネットワークの設定変更等の手間やコストを考慮すると、そのような要望に応えることは困難であった。また、ある拠点内での特定のメンバーと、他の拠点内の特定のメンバーのみをVPNに参加させるといった柔軟な接続形態をとることも従来技術では困難であった。
【０００７】
本発明は上記の点に鑑みてなされたものであり、既存のネットワークの構成を変更することなく容易にVPNを構築でき、VPNに参加するホスト装置を柔軟に設定可能な技術を提供することを目的とする。
【課題を解決するための手段】
【０００８】
上記の課題を解決するために、本発明は、対向VPN接続装置との間にVPNを設定する機能を有するVPN接続装置であって、通信ネットワークに接続するための網接続手段と、前記VPNを利用するホスト装置を接続するためのホスト装置接続手段と、前記対向VPN接続装置側で前記VPNを利用する対向ホスト装置のアドレスと、前記VPN接続装置に前記ホスト装置接続手段により接続され、前記VPNを利用するホスト装置のアドレスとを含むVPN転送条件情報を格納する記憶手段と、前記VPN接続装置に前記ホスト装置接続手段を介して接続されたホスト装置からパケットを受信し、当該パケットの宛先アドレスと送信元アドレスの組が前記記憶手段に格納されたVPN転送条件情報に含まれるかどうかを判定する判定手段と、前記判定手段により含まれると判定された場合に、前記パケットを前記VPNを利用して前記対向VPN接続装置側に前記網接続手段を介して送信するパケット制御手段と、を備えたことを特徴とするVPN接続装置として構成される。
【０００９】
また、本発明は、対向VPN接続装置との間にVPNを設定する機能を有するVPN接続装置であって、通信ネットワークに接続するための網接続手段と、前記対向VPN接続装置側で前記VPNを利用する対向ホスト装置の仮想アドレスとして、前記通信ネットワークに配置されたアドレス配布手段を利用してアドレスを取得し、前記VPN接続装置に設定するアドレス取得手段と、前記仮想アドレスと、前記VPN接続装置に前記網接続手段を介して接続され、前記VPNを利用するホスト装置のアドレスとを含むVPN転送条件情報を格納する記憶手段と、前記VPN接続装置に前記網接続手段を介して接続されたホスト装置から、宛先アドレスとして前記仮想アドレスを有するパケットを受信し、当該パケットの宛先アドレスと送信元アドレスの組が前記記憶手段に格納されたVPN転送条件情報に含まれるかどうかを判定する判定手段と、前記判定手段により含まれると判定された場合に、前記パケットを前記VPNを利用して前記対向VPN接続装置側に前記網接続手段を介して送信するパケット制御手段と、を備えたことを特徴とするVPN接続装置として構成することもできる。
【発明の効果】
【００１０】
本発明によれば、VPN接続装置を既存のネットワークに設置することにより、既存ネットワークの構成を変更することなしに容易にVPNを構築できるようになる。また、ホスト装置から送出されるパケットのアドレス等を参照し、VPN転送条件情報に基づきパケットをVPNに送出するかどうかを判定するように構成したため、VPN転送条件情報を適宜設定することによりVPNに参加するホスト装置を柔軟に設定できる。
【発明を実施するための最良の形態】
【００１１】
以下、図面を参照して本発明の実施の形態について説明する。以下では、２つの方式を第１の実施の形態及び第２の実施の形態として説明する。
【００１２】
＜第１の実施の形態＞
（システム構成）
図１に第１の実施の形態に係るシステムの構成図を示す。図１に示すように、第１の実施の形態に係るシステムは、プライベートネットワーク１００とプライベートネットワーク２００とがインターネット３００を介して接続されるとともに、通信制御サーバ３１０がインターネット３００に接続されている。
【００１３】
プライベートネットワーク１００は、インターネット３００にルータ１１０を介して接続され、プライベートネットワーク２００は、インターネット３００にルータ２１０を介して接続されている。
【００１４】
プライベートネットワーク１００では、ホスト装置１３０、ホスト装置１２０、及びVPN装置１４０が備えられる。ホスト装置１３０とVPN装置１４０はLANに接続され、ホスト装置１２０はVPN装置１４０に接続される。このように、既存ネットワーク（LAN)とVPNに参加するホスト装置の間にVPN装置１４０を挟み込む形で設置することにより、VPN装置１４０は、その配下に接続されるホスト装置から送出されるパケットを常時監視可能になっている。
【００１５】
同様に、プライベートネットワーク２００では、ホスト装置２３０、ホスト装置２２０、及びVPN装置２４０が備えられる。ホスト装置２３０とVPN装置２４０はLANに接続され、ホスト装置２２０はVPN装置２４０に接続される。
【００１６】
なお、図１に示すシステムでは、２つの拠点が示され、VPN装置配下に１つのホスト装置が示されているが、これらは代表として示されているだけであり、実際にはより多くの拠点及びホスト装置が接続され得る。
【００１７】
図１に示すシステムにおいて、通信制御サーバ３１０は、VPN装置１４０とVPN装置２４０との間にセキュアな通信路であるVPNを構築するための制御を行う装置である。本実施の形態では、通信制御サーバ３１０はSIPサーバであり、VPN装置間での通信制御サーバ３１０を介したSIPによるメッセージ交換により名前解決や鍵交換を行って、VPN装置間でVPNを確立している。このような方式によるセキュアな通信路の確立方法自体は既存技術である。
【００１８】
図２に、VPN装置１４０の機能構成図を示す。VPN装置２４０はVPN装置１４０と同じ構成であるので、VPN装置１４０のみについて説明する。
【００１９】
図２に示すように、VPN装置１４０は、PVN（プライベートネットワーク）側インターフェース部１４６、制御部１４８、VPN配下端末側インターフェース部１４７、Web設定インターフェース部１４４、データベース１４５を有する。制御部１４８は、パケット取得制御部１４１、通信制御部１４２、NAT制御部１４３を有する。
【００２０】
PVN（プライベートネットワーク）側インターフェース部１４６は、プライベートネットワーク１００を構成するLANとの間でデータの送受信を行うための機能部である。VPN配下端末側インターフェース部１４７は、VPN装置１４０を利用したVPN通信を可能とするためにVPN装置１４０に接続されるホスト装置（端末）との間でパケットの送受信を行うための機能部である。
【００２１】
Web設定インターフェース部１４４は、VPN装置１４０に接続される端末に対してWeb画面を提供し、そのWeb画面から種々の設定情報を入力するための機能部である。データベース１４５は、設定情報を格納するための記憶部である。
【００２２】
制御部１４８における通信制御部１４２は、通信制御サーバ３１０を介して対向側のＶＰＮ装置２４０との間でSIPに基づくメッセージ送受信を行うことにより、VPN装置１４０とVPN装置２４０間でVPNを設定する機能を有する。また、通信制御部１４２は、パケット取得制御部１４１からパケットを受け取り、VPNを用いて相手側にパケットを送信する機能、及び、VPNを介して受信したパケットをパケット取得制御部１４１に渡す機能も有する。更に、通信制御部１４２は、パケットをVPNを介して送信するかどうかの判定を行うVPN転送条件の情報を生成し、データベース１４５に格納する機能も有する。
【００２３】
NAT制御部１４３は、ルータ１１０がNAT機能を備える場合に、SIP通信等のパケット通信を正常に行うためにNAT越えのための制御を行う機能部である。NAT越えの技術自体は既存技術を用いることができる。
【００２４】
パケット取得制御部１４１は、VPN装置１４０の配下のホスト装置から受信したパケットに含まれる情報が、データベース１４５に格納されているVPN転送条件に合致するかどうかを調べ、合致する場合に、該当のVPNを用いてパケットを送信することを決定する機能を有する。また、パケット取得制御部１４１は、VPNから受信したパケットに含まれる情報が、データベース１４５に格納されている情報に合致するかどうかを調べることにより、当該パケットを宛先のホスト装置に転送するかどうかを決定する機能も有する。
【００２５】
VPN装置１４０は、例えば、CPUやメモリ等の記憶装置等を有し、通信プログラム、Web用プログラム、データベース用プログラム等の一般的なプログラムを備えたコンピュータに、制御部１４８の機能に対応するプログラムを実行させることにより実現可能である。当該プログラムは、メモリ等の記録媒体に格納しておき、当該記録媒体から上記コンピュータにインストールすることが可能である。
【００２６】
（システムの動作）
以下、図１、図２に示したシステムにおける動作例を図３、４に示したシーケンスチャートを参照して説明する。以下の例では、プライベートネットワーク１００におけるホスト装置１２０とプライベートネットワーク２００におけるホスト装置２２０間で、VPNを介した通信が行われる。
【００２７】
まず、VPN装置１４０の通信制御部１４２が、通信制御サーバ３１０に対して登録要求メッセージを送信する（ステップ１１）。この登録要求メッセージには、VPN装置１４０の識別情報と、VPN装置１４０に対応するＩＰアドレスが含まれ、通信制御サーバ３１０において、当該識別情報とＩＰアドレスが対応付けて格納されることにより登録が行われる。登録が行われた後、応答メッセージが返される（ステップ１２）。VPN装置２４０においても同様の登録処理が行われる（ステップ１３、１４）。
【００２８】
続いて、プライベートネットワーク１００側のホスト装置１２０のユーザが、ホスト装置１２０からWeb設定I／F部１４４にアクセスすることにより、VPN構築に必要な情報の入力を行う（ステップ１５、１６）。
【００２９】
本実施形態では、VPN装置１４０の接続相手はVPN装置２４０であり、VPN装置１４０の配下でVPN装置１４０とVPN装置２４０との間のVPNを使用した通信を行うのはホスト装置１２０であることから、ここでは、VPN装置１４０の識別情報（VPN-Aとする）及びVPN装置２４０の識別情報（VPN-Bとする）と、ホスト装置１２０のIPアドレス（アドレスAとする）が入力され、これらがデータベース１４５に格納される。なお、本例では、ホスト装置１２０からVPN装置１４０に対する情報設定を行っているが、情報設定は任意の端末から行ってよい。
【００３０】
プライベートネットワーク１００側と同様にして、プライベートネットワーク２００の側では、VPN装置２４０の識別情報（VPN-B）及びVPN装置１４０の識別情報（VPN-A）と、ホスト装置２２０のIPアドレス（アドレスB）がデータベース２４５に格納される（ステップ１７、１８）。
【００３１】
続いて、本例では、ホスト装置１２０からWeb設定I/F部１４４に対してVPN装置１４０とVPN装置２４０間でVPNを設定する旨の指示を行う（ステップ１９）。この指示には、それぞれの識別情報（VPN-A、VPN-B）が含まれる。
【００３２】
通信制御部１４２は、Web設定I/F部１４４から指示を受けとり（ステップ２０）、接続要求メッセージを通信制御サーバ３１０に送信する（ステップ２１）。本実施の形態において、接続要求メッセージはINVITEメッセージであり、INVITEメッセージには、宛先の識別情報としてVPN-Bが含まれ、送信元の識別情報としてVPN-Aが含まれている。
【００３３】
接続要求メッセージを受信した通信制御サーバ３１０では、VPN-Bに基づき登録情報からVPN装置２４０のIPアドレスを取得し、そのIPアドレス宛に接続要求メッセージを転送する（ステップ２２）。接続要求メッセージを受信した通信制御部２４２は、接続要求に係るVPN接続（VPN装置１４０との接続）を行うことが設定されているかどうかをデータベース２４５を参照して確認する（ステップ２３）。ここでは、ステップ１７、１８において設定が行われているので、通信制御部２４２は、応答メッセージを通信制御サーバ３１０を介してVPN装置１４０に返す（ステップ２４〜２６）。
【００３４】
このような処理により、VPN装置１４０とVPN装置２４０との間でセキュアな通信路であるVPNが確立される（ステップ２７）。
【００３５】
その後、通信制御部１４２は、ステップ１６で保存した情報から、VPN装置１４０の識別情報（VPN-A、対向VPN装置にとってVPNの識別情報でもある)と、その配下のホスト装置１２０のIPアドレス（アドレスA）とを読み出し（ステップ２８）、それらをVPNを利用してVPN装置２４０に送信する（ステップ２９）。同様に、VPN装置２４０の通信制御部２４２は、ステップ１８で保存した情報から、自身の識別情報（VPN-B)と、その配下のホスト装置２２０のIPアドレス（アドレスB）とを読み出し、それらをVPNを利用してVPN装置１４０に送信する（ステップ３０、３１）。
【００３６】
対向のVPN装置２４０から上記情報を受け取った通信制御部１４２は、既に保存してある情報とあわせて、受け取った情報をテーブルとしてデータベース１４５に格納する（ステップ３２）。当該テーブルの例を図５に示す。
【００３７】
図５に示すテーブルには、自分（VPN装置１４０）に対してVPN接続される相手のVPN装置２４０の識別情報（VPN-B）、自分（VPN装置１４０）に接続されており、かつ、VPN装置１４０とVPN装置２４０との間のVPNを利用するホスト装置として指定されたホスト装置のアドレス（アドレスA）、及び、VPN装置２４０とVPN装置１４０との間のVPNを利用するホスト装置として相手側で指定されたホスト装置のアドレス（アドレスB)が格納される。同様にして、VPN装置２４０側のデータベース２４５には、図６に示すテーブルが格納される（図３のステップ３３）。なお、図５には、VPN-Cで識別される対向VPN装置に係る設定も示されている。この設定では、ホスト装置１２０は、VPN-Cで識別される対向VPN装置配下のアドレスCのホスト装置ともVPN通信可能である。
【００３８】
上記の例では、VPN転送条件として、IPアドレスを用いているが、IPアドレスの他にMACアドレスを用いてもよい。また、アドレスに加えて、プロトコルを条件として用いてもよい。第２の実施の形態でも同様である。
【００３９】
次に、ホスト装置１２０からパケットを送信する場合の例１、例２について図４を参照して説明する。
【００４０】
例１は、ホスト装置１２０から送出されるパケットのヘッダに設定される宛先アドレスが、プライベートネットワーク１００、２００外のグローバルなアドレスである場合の例である。
【００４１】
この場合、ホスト装置１２０から送出されたパケットは、VPN装置１４０が受信し、VPN装置１４０においてパケット取得制御部１４１により取得される（ステップ４１）。パケット取得制御部１４１は、パケットのヘッダからパケットの送信元アドレス及び宛先アドレスを取得する。そして、パケット取得制御部１４１は、図５に示したテーブルを参照し、上記送信元アドレス及び宛先アドレスの組がテーブルに存在するかどうかをチェックするための検索を行う（ステップ４２、４３）。例１では、宛先アドレスはテーブルに設定されていないので、検索に失敗する。検索に失敗した場合、パケット取得制御部１４１は、VPNを用いることなくパケットをPVN側インターフェース部１４６を介して送出する。すると、パケットは、VPNを介さずに、通常のルーティングに従って、宛先に届けられる（ステップ４４）。
【００４２】
例２は、ホスト装置１２０から送出されるパケットのヘッダに設定される宛先アドレスが、ホスト装置２２０のアドレス（アドレスB)である場合の例である。
【００４３】
ホスト装置１２０から送出されたパケットは、VPN装置１４０が受信し、VPN装置１４０においてパケット取得制御部１４１により取得される（ステップ５１）。パケット取得制御部１４１は、パケットのヘッダからパケットの送信元アドレス及び宛先アドレスを取得する。そして、パケット取得制御部１４１は、図５に示したテーブルを参照し、上記送信元アドレス及び宛先アドレスの組に基づき検索を行う（ステップ５２、５３）。例２では、上記送信元アドレス及び宛先アドレスの組であるアドレスAとアドレスBの組がテーブルに設定されているので、検索に成功する。
【００４４】
そして、パケット取得制御部１４１は、アドレスAとアドレスBの組に対応する接続先のVPN装置の識別情報（VPN-B）を取得し（ステップ５３）、ホスト装置１２０から受信したパケットを送出すべきVPNは、VPN-Bに対して設定されたVPNであると判定する。そして、パケット取得制御部１４１は、VPN-Bとパケットを通信制御部１４２に渡し（ステップ５４）、通信制御部１４２は、パケットを当該VPNを用いて送信する（ステップ５５）。なお、パケットの宛先がアドレスCであったならば、図５のテーブルより、VPN-Cに対して設定されたVPNを利用してパケットが送信されることになる。
【００４５】
通信制御部１４２から送信されたパケットは、VPN装置２４０の通信制御部２４０により受信され、通信制御部２４０は受信したパケットをパケット取得制御部２４１に渡す（ステップ５６）。パケット取得制御部２４１は、パケットのヘッダからパケットの送信元アドレス及び宛先アドレスを取得し、図６に示したテーブルを参照し、上記送信元アドレス及び宛先アドレスの組に基づき検索を行う（ステップ５７、５８）。ここでは、検索に成功し、パケット取得制御部２４１は、パケットを宛先であるホスト装置２２０に送信する（ステップ５９）。もし、ここで検索に失敗した場合には、例えば、ホスト装置２２０に送信することなく、パケットを廃棄する。なお、パケットの受信側では、上記のようなテーブルを参照したチェックを行わずにパケットを宛先に送信してもよい。
【００４６】
＜第２の実施の形態＞
次に、本発明の第２の実施の形態について説明する。
【００４７】
（システム構成）
図７に第２の実施の形態に係るシステムの構成図を示す。図７に示すように、第２の実施の形態に係るシステムは、プライベートネットワーク１００とプライベートネットワーク２００とがインターネット３００を介して接続されるとともに、通信制御サーバ３１０がインターネット３００に接続されている。
【００４８】
プライベートネットワーク１００は、インターネット３００にルータ１１０を介して接続され、プライベートネットワーク２００は、インターネット３００にルータ２１０を介して接続されている。
【００４９】
プライベートネットワーク１００では、ホスト装置１３０、ホスト装置１２０、及びVPN装置１４０が備えられる。ホスト装置１２０、ホスト装置１３０、及びVPN装置１５０はそれぞれLANに接続される。このように、本実施の形態では、第１の実施の形態と異なり、VPN装置１５０の配下にホスト装置は接続されず、各ホスト装置とVPN装置１４０が同等にLANに接続される。
【００５０】
プライベートネットワーク２００でも同様に、ホスト装置２２０、ホスト装置２３０、及びVPN装置２５０はそれぞれLANに接続される。
【００５１】
図７に示す通信制御サーバ３１０は、第１の実施の形態で説明した通信制御サーバ３１０と同じものである。
【００５２】
図８に、第２の実施の形態におけるVPN装置１５０の機能構成図を示す。VPN装置１５０はVPN装置２５０と同じ構成であるので、VPN装置１５０のみについて説明する。
【００５３】
図８に示すように、VPN装置１５０は、制御部１５７、インターフェース部１５６、Web設定インターフェース部１５４、データベース１５５を有する。制御部１５７は、パケット取得制御部１５１、通信制御部１５２、NAT制御部１５３を有する。
【００５４】
インターフェース部１５６は、第１の実施の形態におけるPVN側インターフェース部１４６と同様のものであり、プライベートネットワークを構成するLANとの間でデータの送受信を行うための機能部である。また、Web設定インターフェース部１５４、通信制御部１５２、NAT制御部１５３は、それぞれ第１の実施の形態におけるWeb設定インターフェース部１４４、通信制御部１４２、NAT制御部１４３と同様の機能を有するものである。データベース１５５は、第１の実施の形態におけるデータベース１４５と同様に、各種設定情報を格納する格納部であるが、格納する情報の内容は異なる。また、通信制御部１５２が生成するVPN転送条件情報は、通信制御部１４２が生成するVPN転送条件情報と異なる。
【００５５】
パケット取得制御部１５１は、ルータ１１０等に備えられているIPアドレス配布手段（DHCPサーバ機能等)に対して要求を行うことにより、IPアドレスを取得し、取得したIPアドレスをVPN装置１５０に設定する機能、及び、設定したIPアドレス宛（つまり自分自身に）送られてきたパケットを取得し、当該パケットに含まれる情報が、データベース１５５に格納されているVPN転送条件に合致するかどうかを調べ、合致する場合に、該当のVPNを用いてパケットを送信することを決定する機能を有する。また、パケット取得制御部１５１は、VPNを介して受信したパケットに含まれる情報が、データベース１５５に格納されている情報に合致するかどうかを調べることにより、当該パケットを宛先のホスト装置に転送するかどうかを決定する機能も有する。
【００５６】
VPN装置１５０は、例えば、CPUやメモリ等の記憶装置等を有し、通信プログラム、Web用プログラム、データベース用プログラム等の一般的なプログラムを備えたコンピュータに、制御部１５７の機能に対応するプログラムを実行させることにより実現可能である。
【００５７】
（システムの動作）
以下、図７、図８に示したシステムにおける動作例を図９、１０に示したシーケンスチャートを参照して説明する。以下の例では、プライベートネットワーク１００におけるホスト装置１２０とプライベートネットワーク２００におけるホスト装置２２０間で、VPNを介した通信が行われるものとする。また、第１の実施の形態と同様に、ホスト装置１２０のIPアドレスをアドレスA、ホスト装置２２０のIPアドレスをアドレスB、VPN装置１５０の識別情報をVPN-A、VPN装置２５０の識別情報をVPN-Bとする。
【００５８】
まず、VPN装置１５０におけるパケット取得制御部１５１が、他のホスト装置と同様にして、アドレス配布手段を利用してIPアドレスを取得し、VPN装置１５０に設定する（ステップ６１、６２）。VPN装置２５０の側でも同様にIPアドレスが取得され、設定される（ステップ６３、６４）。
【００５９】
次に、第１の実施の形態におけるステップ１１、１２の処理と同様に、VPN装置１５０の通信制御部１５２が、通信制御サーバ３１０に対して登録要求メッセージを送信し、応答メッセージを受信する（ステップ６５、６６）。VPN装置２５０においても同様の登録処理が行われる（ステップ６７、６８）。
【００６０】
続いて、第１の実施の形態におけるステップ１５、１６の処理と同様に、プライベートネットワーク１００側のホスト装置１２０のユーザが、ホスト装置１２０からWeb設定I／F部１５４にアクセスすることにより、VPN構築に必要な情報の入力を行う（ステップ６９、７０）。VPN装置２５０側でも同様である（ステップ７１、７２）。ここで各データベースに格納される情報は第１の実施の形態と同じである。つまり、VPN装置１５０側のデータベース１５５には、VPN-A、VPN-B、アドレスAが格納され、VPN装置２５０側のデータベース２５５には、VPN-A、VPN-B、アドレスBが格納される。
【００６１】
続いて、第１の実施の形態と同様の手順で、VPNが確立される（ステップ７３）。
【００６２】
その後、第１の実施の形態と同様にして、通信制御部１５２は、ステップ７０で保存した情報から、VPN装置１５０の識別情報（VPN-A)と、VPNを利用するものとして指定されたホスト装置１２０のIPアドレス（アドレスA）とを読み出し（ステップ７４）、それらをVPNを利用してVPN装置２５０に送信する（ステップ７５）。同様に、VPN装置２５０の通信制御部２５２は、ステップ７２で保存した情報から、自身の識別情報（VPN-B)と、ホスト装置２２０のIPアドレス（アドレスB）とを読み出し、それらをVPNを利用してVPN装置１５０に送信する（ステップ７６、７７）。
【００６３】
対向のVPN装置２５０から上記情報を受け取った通信制御部１５２は、既に保存してある情報とあわせて受け取った情報をテーブルとしてデータベース１４５に格納する（ステップ７８）。VPN装置２５０側でも同様である（ステップ７９）。
【００６４】
この時点では、VPN装置１５０、VPN装置２５０の各データベースに格納される情報は、図５、、図６に示したものと同様である。
【００６５】
次に、VPN装置１５０のパケット取得制御部１５１は、テーブル（図５に示したものと同様）を参照することにより、VPN接続先においてVPNを利用してVPN装置１５０側と通信を行うホスト装置の数を決定する（ステップ８０）。本例ではその数は１（ホスト装置１２０のみ）とする。そして、その数の分だけのIPアドレスをルータ１１０のアドレス配布手段に要求し、その数分のIPアドレスを取得し、VPN装置１５０に設定する（ステップ８１、８２）。すなわち、この時点で、VPN装置１５０は、プライベートネットワーク１００において上記IPアドレスを宛先として送出されたパケットを、自分宛のパケットとして取得できる状態にある。
【００６６】
そして、パケット取得制御部１５１は、取得したIPアドレスを、VPN装置２５０側のホスト装置に割り当てる。つまり、テーブルにおけるVPN装置２５０側のホスト装置のIPアドレスに対応付けて格納する（ステップ８３）。このIPアドレスは、実際にはVPN装置１５０に割り当てられ、仮想的にVPN装置２５０側のホスト装置に割り当てられるものであるから、仮想アドレスと称してよい。
【００６７】
本例では、VPN装置２５０側のホスト装置は１つ（ホスト装置２２０）なので、取得したIPアドレスは、そのホスト装置２２０に割り当てられられる。その結果、データベース１５５に格納されるテーブルとして、図１１に示すテーブルが得られる。
【００６８】
VPN装置２５０側でも同様の処理が行われ（ステップ８４〜８７）、データベース２５５には、図１２に示すテーブルが格納される。
【００６９】
ここで、プライベートネットワーク１００内の各ホスト装置あるいは各ホスト装置のユーザは、プライベートネットワーク２００側の各ホスト装置のIPアドレスは把握しているものとする。しかし、ステップ８０〜８３の処理により、どのような仮想アドレスが、VPN接続先のホスト装置のIPアドレスに対応付けられたかはわからない。そこで、ステップ８８、８９において、VPN装置１５０は、プライベートネットワーク１００内に、VPN接続先（VPN装置２５０側）のホスト装置のIPアドレスと、当該IPアドレスに対応付けられた仮想アドレスとを広告する。これらの情報は、プライベートネットワーク１００内における全てのホスト装置が受信し、各ホスト装置及びそのユーザは、VPNを介してVPN接続先のホスト装置宛のパケットを送信する場合には、VPN接続先のホスト装置の実際のIPアドレスに対応付けられた上記の仮想アドレス宛にパケットを送信すればよいことを把握する。
【００７０】
以上の処理と同様の処理がVPN装置２５０の側でも行われる（ステップ９０、９１）。
【００７１】
次に、ホスト装置１２０からパケットを送信する場合の例について図１０を参照して説明する。
【００７２】
この例は、ホスト装置１２０から送出されるパケットのヘッダに設定される宛先アドレスが、対向のホスト装置２２０のアドレス（アドレスB)に対応付けられたアドレスXである場合の例である。
【００７３】
ホスト装置１３０から送出されたパケットは、アドレスXを有するVPN装置１５０が受信し、VPN装置１５０においてパケット取得制御部１５１により取得される（ステップ１０１）。パケット取得制御部１５１は、パケットのヘッダからパケットの送信元アドレス及び宛先アドレスを取得する。そして、パケット取得制御部１５１は、図１１に示したテーブルを参照し、上記送信元アドレス及び宛先アドレスの組に基づき検索を行う（ステップ１０２、１０３）。この例では、上記送信元アドレス及び宛先アドレスの組であるアドレスAとアドレスXの組がテーブルに設定されているので、検索に成功する。
【００７４】
そして、パケット取得制御部１５１は、パケットのヘッダにおるアドレスXをアドレスBに置き換える。また、パケット取得制御部１５１は、アドレスAとアドレスB（アドレスX)の組に対応する接続先のVPN装置２５０の識別情報（VPN-B）を取得し、ホスト装置１２０から受信したパケットを送出すべきVPNは、VPN-Bに対して設定されたVPNであると決定する。そして、パケット取得制御部１５１は、VPN-Bとパケットを通信制御部１５２に渡し、通信制御部１５２は、パケットを当該VPNを用いて送信する（ステップ１０４、１０５）。
【００７５】
なお、上記の例では、パケットのヘッダにおるアドレスXをアドレスBに置き換える処理をVPN装置１５０側で行っているが、アドレスBに対応するアドレスXを事前にVPN装置２５０側に送信しておくことにより、VPN装置２５０側でアドレスXをアドレスBに置き換えてもよい。
【００７６】
通信制御部１５２から送信されたパケットは、VPN装置２５０の通信制御部２５２により受信され、通信制御部２５２は受信したパケットをパケット取得制御部２５１に渡す（ステップ１０６）。パケット取得制御部２５１は、パケットのヘッダからパケットの送信元アドレス及び宛先アドレスを取得し、図１２に示したテーブルを参照し、上記送信元アドレス及び宛先アドレスの組に基づき検索を行う（ステップ１０７、１０８）。ここでは、検索に成功し、パケット取得制御部２５１は、パケットを宛先であるホスト装置２２０に送信する（ステップ１０９）。
以上説明したように、本発明に基づく技術を適用することにより、VPN装置を既存のネットワークに設置するだけで容易にVPNを構築できるようになる。また、ホスト装置から送出されるパケットのアドレス等を参照し、VPN転送条件情報に基づきパケットをVPNに送出するかどうかを判定するように構成したため、VPN転送条件情報を適宜設定することによりVPNに参加するホスト装置を柔軟に設定できる。
【００７７】
このような特徴を有するので、本発明に基づく技術を適用したVPN装置を用いることにより、短期間で店舗や拠点の入れ替えが発生する百貨店やコンビになどの業界や、流動的な現場移動が発生する建築業界等でもVPNが利用可能になる。
【００７８】
本発明は、上記の実施の形態に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。
【図面の簡単な説明】
【００７９】
【図１】第１の実施の形態に係るシステムの構成図である。
【図２】VPN装置１４０の機能構成図である。
【図３】第１の実施の形態に係るシステムの動作を説明するためのシーケンスチャートである。
【図４】第１の実施の形態に係るシステムの動作を説明するためのシーケンスチャートである。
【図５】データベース１４５に格納されるテーブルを示す図である。
【図６】データベース２４５に格納されるテーブルを示す図である。
【図７】第２の実施の形態に係るシステムの構成図である。
【図８】VPN装置１５０の機能構成図である。
【図９】第２の実施の形態に係るシステムの動作を説明するためのシーケンスチャートである。
【図１０】第２の実施の形態に係るシステムの動作を説明するためのシーケンスチャートである。
【図１１】データベース１５５に格納されるテーブルを示す図である。
【図１２】データベース１５５に格納されるテーブルを示す図である。
【符号の説明】
【００８０】
１００ プライベートネットワーク
２００ プライベートネットワーク
３００ インターネット
１１０、２１０ ルータ
３１０ 通信制御サーバ
１２０、１３０、２２０、２３０ ホスト装置
１４０、１５０ VPN装置ホスト
１４６ PVN（プライベートネットワーク）側インターフェース部
１４７ VPN配下端末側インターフェース部
１４８、１５７ 制御部
１４２、１５２ 通信制御部
１４３、１５３ NAT制御部
１４４、１５４ Web設定インターフェース部
１４５、１５５ データベース
１４１、１５１ パケット取得制御部
１５４ Web設定インターフェース部
１５６ インターフェース部
【技術分野】
【０００１】
本発明は、VPN（Virtual Private Network）技術に関するものであり、特に、既存のネットワークを変更することなく、VPNを簡易かつ柔軟に導入することを可能とする技術に関するものである。
【背景技術】
【０００２】
近年、企業内ネットワークの拠点間接続等に、専用線に代えてVPNが用いられるケースが増えている。VPNは、トンネリング技術を利用して、インターネット等の公衆回線をあたかも専用回線のように利用して拠点間の接続を可能とする技術である。
【０００３】
VPNの導入形態としては種々のものがあるが、VPNを構築しようとする企業等が、通信事業者にVPN構築に係る申し込みを行い、通信事業者が、機器の設置、ネットワークの設定等を行うのが一般的である。
【０００４】
なお、VPNに関する従来技術として例えば特許文献１に記載された技術がある。
【特許文献１】特開２００４−０６４１８２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
上述したような一般的なVPN構築においては、企業における既存のネットワーク機器の一部をVPN専用の機器に変更したり、既存のネットワーク構成を変更する必要がある。また、新たなVPNの構築が完了するまでにある程度の期間がかかる。
【０００６】
従って、例えば、ある期間だけ特定の拠点間をVPNで接続したいという要望があっても、既存ネットワークの設定変更等の手間やコストを考慮すると、そのような要望に応えることは困難であった。また、ある拠点内での特定のメンバーと、他の拠点内の特定のメンバーのみをVPNに参加させるといった柔軟な接続形態をとることも従来技術では困難であった。
【０００７】
本発明は上記の点に鑑みてなされたものであり、既存のネットワークの構成を変更することなく容易にVPNを構築でき、VPNに参加するホスト装置を柔軟に設定可能な技術を提供することを目的とする。
【課題を解決するための手段】
【０００８】
上記の課題を解決するために、本発明は、対向VPN接続装置との間にVPNを設定する機能を有するVPN接続装置であって、通信ネットワークに接続するための網接続手段と、前記VPNを利用するホスト装置を接続するためのホスト装置接続手段と、前記対向VPN接続装置側で前記VPNを利用する対向ホスト装置のアドレスと、前記VPN接続装置に前記ホスト装置接続手段により接続され、前記VPNを利用するホスト装置のアドレスとを含むVPN転送条件情報を格納する記憶手段と、前記VPN接続装置に前記ホスト装置接続手段を介して接続されたホスト装置からパケットを受信し、当該パケットの宛先アドレスと送信元アドレスの組が前記記憶手段に格納されたVPN転送条件情報に含まれるかどうかを判定する判定手段と、前記判定手段により含まれると判定された場合に、前記パケットを前記VPNを利用して前記対向VPN接続装置側に前記網接続手段を介して送信するパケット制御手段と、を備えたことを特徴とするVPN接続装置として構成される。
【０００９】
また、本発明は、対向VPN接続装置との間にVPNを設定する機能を有するVPN接続装置であって、通信ネットワークに接続するための網接続手段と、前記対向VPN接続装置側で前記VPNを利用する対向ホスト装置の仮想アドレスとして、前記通信ネットワークに配置されたアドレス配布手段を利用してアドレスを取得し、前記VPN接続装置に設定するアドレス取得手段と、前記仮想アドレスと、前記VPN接続装置に前記網接続手段を介して接続され、前記VPNを利用するホスト装置のアドレスとを含むVPN転送条件情報を格納する記憶手段と、前記VPN接続装置に前記網接続手段を介して接続されたホスト装置から、宛先アドレスとして前記仮想アドレスを有するパケットを受信し、当該パケットの宛先アドレスと送信元アドレスの組が前記記憶手段に格納されたVPN転送条件情報に含まれるかどうかを判定する判定手段と、前記判定手段により含まれると判定された場合に、前記パケットを前記VPNを利用して前記対向VPN接続装置側に前記網接続手段を介して送信するパケット制御手段と、を備えたことを特徴とするVPN接続装置として構成することもできる。
【発明の効果】
【００１０】
本発明によれば、VPN接続装置を既存のネットワークに設置することにより、既存ネットワークの構成を変更することなしに容易にVPNを構築できるようになる。また、ホスト装置から送出されるパケットのアドレス等を参照し、VPN転送条件情報に基づきパケットをVPNに送出するかどうかを判定するように構成したため、VPN転送条件情報を適宜設定することによりVPNに参加するホスト装置を柔軟に設定できる。
【発明を実施するための最良の形態】
【００１１】
以下、図面を参照して本発明の実施の形態について説明する。以下では、２つの方式を第１の実施の形態及び第２の実施の形態として説明する。
【００１２】
＜第１の実施の形態＞
（システム構成）
図１に第１の実施の形態に係るシステムの構成図を示す。図１に示すように、第１の実施の形態に係るシステムは、プライベートネットワーク１００とプライベートネットワーク２００とがインターネット３００を介して接続されるとともに、通信制御サーバ３１０がインターネット３００に接続されている。
【００１３】
プライベートネットワーク１００は、インターネット３００にルータ１１０を介して接続され、プライベートネットワーク２００は、インターネット３００にルータ２１０を介して接続されている。
【００１４】
プライベートネットワーク１００では、ホスト装置１３０、ホスト装置１２０、及びVPN装置１４０が備えられる。ホスト装置１３０とVPN装置１４０はLANに接続され、ホスト装置１２０はVPN装置１４０に接続される。このように、既存ネットワーク（LAN)とVPNに参加するホスト装置の間にVPN装置１４０を挟み込む形で設置することにより、VPN装置１４０は、その配下に接続されるホスト装置から送出されるパケットを常時監視可能になっている。
【００１５】
同様に、プライベートネットワーク２００では、ホスト装置２３０、ホスト装置２２０、及びVPN装置２４０が備えられる。ホスト装置２３０とVPN装置２４０はLANに接続され、ホスト装置２２０はVPN装置２４０に接続される。
【００１６】
なお、図１に示すシステムでは、２つの拠点が示され、VPN装置配下に１つのホスト装置が示されているが、これらは代表として示されているだけであり、実際にはより多くの拠点及びホスト装置が接続され得る。
【００１７】
図１に示すシステムにおいて、通信制御サーバ３１０は、VPN装置１４０とVPN装置２４０との間にセキュアな通信路であるVPNを構築するための制御を行う装置である。本実施の形態では、通信制御サーバ３１０はSIPサーバであり、VPN装置間での通信制御サーバ３１０を介したSIPによるメッセージ交換により名前解決や鍵交換を行って、VPN装置間でVPNを確立している。このような方式によるセキュアな通信路の確立方法自体は既存技術である。
【００１８】
図２に、VPN装置１４０の機能構成図を示す。VPN装置２４０はVPN装置１４０と同じ構成であるので、VPN装置１４０のみについて説明する。
【００１９】
図２に示すように、VPN装置１４０は、PVN（プライベートネットワーク）側インターフェース部１４６、制御部１４８、VPN配下端末側インターフェース部１４７、Web設定インターフェース部１４４、データベース１４５を有する。制御部１４８は、パケット取得制御部１４１、通信制御部１４２、NAT制御部１４３を有する。
【００２０】
PVN（プライベートネットワーク）側インターフェース部１４６は、プライベートネットワーク１００を構成するLANとの間でデータの送受信を行うための機能部である。VPN配下端末側インターフェース部１４７は、VPN装置１４０を利用したVPN通信を可能とするためにVPN装置１４０に接続されるホスト装置（端末）との間でパケットの送受信を行うための機能部である。
【００２１】
Web設定インターフェース部１４４は、VPN装置１４０に接続される端末に対してWeb画面を提供し、そのWeb画面から種々の設定情報を入力するための機能部である。データベース１４５は、設定情報を格納するための記憶部である。
【００２２】
制御部１４８における通信制御部１４２は、通信制御サーバ３１０を介して対向側のＶＰＮ装置２４０との間でSIPに基づくメッセージ送受信を行うことにより、VPN装置１４０とVPN装置２４０間でVPNを設定する機能を有する。また、通信制御部１４２は、パケット取得制御部１４１からパケットを受け取り、VPNを用いて相手側にパケットを送信する機能、及び、VPNを介して受信したパケットをパケット取得制御部１４１に渡す機能も有する。更に、通信制御部１４２は、パケットをVPNを介して送信するかどうかの判定を行うVPN転送条件の情報を生成し、データベース１４５に格納する機能も有する。
【００２３】
NAT制御部１４３は、ルータ１１０がNAT機能を備える場合に、SIP通信等のパケット通信を正常に行うためにNAT越えのための制御を行う機能部である。NAT越えの技術自体は既存技術を用いることができる。
【００２４】
パケット取得制御部１４１は、VPN装置１４０の配下のホスト装置から受信したパケットに含まれる情報が、データベース１４５に格納されているVPN転送条件に合致するかどうかを調べ、合致する場合に、該当のVPNを用いてパケットを送信することを決定する機能を有する。また、パケット取得制御部１４１は、VPNから受信したパケットに含まれる情報が、データベース１４５に格納されている情報に合致するかどうかを調べることにより、当該パケットを宛先のホスト装置に転送するかどうかを決定する機能も有する。
【００２５】
VPN装置１４０は、例えば、CPUやメモリ等の記憶装置等を有し、通信プログラム、Web用プログラム、データベース用プログラム等の一般的なプログラムを備えたコンピュータに、制御部１４８の機能に対応するプログラムを実行させることにより実現可能である。当該プログラムは、メモリ等の記録媒体に格納しておき、当該記録媒体から上記コンピュータにインストールすることが可能である。
【００２６】
（システムの動作）
以下、図１、図２に示したシステムにおける動作例を図３、４に示したシーケンスチャートを参照して説明する。以下の例では、プライベートネットワーク１００におけるホスト装置１２０とプライベートネットワーク２００におけるホスト装置２２０間で、VPNを介した通信が行われる。
【００２７】
まず、VPN装置１４０の通信制御部１４２が、通信制御サーバ３１０に対して登録要求メッセージを送信する（ステップ１１）。この登録要求メッセージには、VPN装置１４０の識別情報と、VPN装置１４０に対応するＩＰアドレスが含まれ、通信制御サーバ３１０において、当該識別情報とＩＰアドレスが対応付けて格納されることにより登録が行われる。登録が行われた後、応答メッセージが返される（ステップ１２）。VPN装置２４０においても同様の登録処理が行われる（ステップ１３、１４）。
【００２８】
続いて、プライベートネットワーク１００側のホスト装置１２０のユーザが、ホスト装置１２０からWeb設定I／F部１４４にアクセスすることにより、VPN構築に必要な情報の入力を行う（ステップ１５、１６）。
【００２９】
本実施形態では、VPN装置１４０の接続相手はVPN装置２４０であり、VPN装置１４０の配下でVPN装置１４０とVPN装置２４０との間のVPNを使用した通信を行うのはホスト装置１２０であることから、ここでは、VPN装置１４０の識別情報（VPN-Aとする）及びVPN装置２４０の識別情報（VPN-Bとする）と、ホスト装置１２０のIPアドレス（アドレスAとする）が入力され、これらがデータベース１４５に格納される。なお、本例では、ホスト装置１２０からVPN装置１４０に対する情報設定を行っているが、情報設定は任意の端末から行ってよい。
【００３０】
プライベートネットワーク１００側と同様にして、プライベートネットワーク２００の側では、VPN装置２４０の識別情報（VPN-B）及びVPN装置１４０の識別情報（VPN-A）と、ホスト装置２２０のIPアドレス（アドレスB）がデータベース２４５に格納される（ステップ１７、１８）。
【００３１】
続いて、本例では、ホスト装置１２０からWeb設定I/F部１４４に対してVPN装置１４０とVPN装置２４０間でVPNを設定する旨の指示を行う（ステップ１９）。この指示には、それぞれの識別情報（VPN-A、VPN-B）が含まれる。
【００３２】
通信制御部１４２は、Web設定I/F部１４４から指示を受けとり（ステップ２０）、接続要求メッセージを通信制御サーバ３１０に送信する（ステップ２１）。本実施の形態において、接続要求メッセージはINVITEメッセージであり、INVITEメッセージには、宛先の識別情報としてVPN-Bが含まれ、送信元の識別情報としてVPN-Aが含まれている。
【００３３】
接続要求メッセージを受信した通信制御サーバ３１０では、VPN-Bに基づき登録情報からVPN装置２４０のIPアドレスを取得し、そのIPアドレス宛に接続要求メッセージを転送する（ステップ２２）。接続要求メッセージを受信した通信制御部２４２は、接続要求に係るVPN接続（VPN装置１４０との接続）を行うことが設定されているかどうかをデータベース２４５を参照して確認する（ステップ２３）。ここでは、ステップ１７、１８において設定が行われているので、通信制御部２４２は、応答メッセージを通信制御サーバ３１０を介してVPN装置１４０に返す（ステップ２４〜２６）。
【００３４】
このような処理により、VPN装置１４０とVPN装置２４０との間でセキュアな通信路であるVPNが確立される（ステップ２７）。
【００３５】
その後、通信制御部１４２は、ステップ１６で保存した情報から、VPN装置１４０の識別情報（VPN-A、対向VPN装置にとってVPNの識別情報でもある)と、その配下のホスト装置１２０のIPアドレス（アドレスA）とを読み出し（ステップ２８）、それらをVPNを利用してVPN装置２４０に送信する（ステップ２９）。同様に、VPN装置２４０の通信制御部２４２は、ステップ１８で保存した情報から、自身の識別情報（VPN-B)と、その配下のホスト装置２２０のIPアドレス（アドレスB）とを読み出し、それらをVPNを利用してVPN装置１４０に送信する（ステップ３０、３１）。
【００３６】
対向のVPN装置２４０から上記情報を受け取った通信制御部１４２は、既に保存してある情報とあわせて、受け取った情報をテーブルとしてデータベース１４５に格納する（ステップ３２）。当該テーブルの例を図５に示す。
【００３７】
図５に示すテーブルには、自分（VPN装置１４０）に対してVPN接続される相手のVPN装置２４０の識別情報（VPN-B）、自分（VPN装置１４０）に接続されており、かつ、VPN装置１４０とVPN装置２４０との間のVPNを利用するホスト装置として指定されたホスト装置のアドレス（アドレスA）、及び、VPN装置２４０とVPN装置１４０との間のVPNを利用するホスト装置として相手側で指定されたホスト装置のアドレス（アドレスB)が格納される。同様にして、VPN装置２４０側のデータベース２４５には、図６に示すテーブルが格納される（図３のステップ３３）。なお、図５には、VPN-Cで識別される対向VPN装置に係る設定も示されている。この設定では、ホスト装置１２０は、VPN-Cで識別される対向VPN装置配下のアドレスCのホスト装置ともVPN通信可能である。
【００３８】
上記の例では、VPN転送条件として、IPアドレスを用いているが、IPアドレスの他にMACアドレスを用いてもよい。また、アドレスに加えて、プロトコルを条件として用いてもよい。第２の実施の形態でも同様である。
【００３９】
次に、ホスト装置１２０からパケットを送信する場合の例１、例２について図４を参照して説明する。
【００４０】
例１は、ホスト装置１２０から送出されるパケットのヘッダに設定される宛先アドレスが、プライベートネットワーク１００、２００外のグローバルなアドレスである場合の例である。
【００４１】
この場合、ホスト装置１２０から送出されたパケットは、VPN装置１４０が受信し、VPN装置１４０においてパケット取得制御部１４１により取得される（ステップ４１）。パケット取得制御部１４１は、パケットのヘッダからパケットの送信元アドレス及び宛先アドレスを取得する。そして、パケット取得制御部１４１は、図５に示したテーブルを参照し、上記送信元アドレス及び宛先アドレスの組がテーブルに存在するかどうかをチェックするための検索を行う（ステップ４２、４３）。例１では、宛先アドレスはテーブルに設定されていないので、検索に失敗する。検索に失敗した場合、パケット取得制御部１４１は、VPNを用いることなくパケットをPVN側インターフェース部１４６を介して送出する。すると、パケットは、VPNを介さずに、通常のルーティングに従って、宛先に届けられる（ステップ４４）。
【００４２】
例２は、ホスト装置１２０から送出されるパケットのヘッダに設定される宛先アドレスが、ホスト装置２２０のアドレス（アドレスB)である場合の例である。
【００４３】
ホスト装置１２０から送出されたパケットは、VPN装置１４０が受信し、VPN装置１４０においてパケット取得制御部１４１により取得される（ステップ５１）。パケット取得制御部１４１は、パケットのヘッダからパケットの送信元アドレス及び宛先アドレスを取得する。そして、パケット取得制御部１４１は、図５に示したテーブルを参照し、上記送信元アドレス及び宛先アドレスの組に基づき検索を行う（ステップ５２、５３）。例２では、上記送信元アドレス及び宛先アドレスの組であるアドレスAとアドレスBの組がテーブルに設定されているので、検索に成功する。
【００４４】
そして、パケット取得制御部１４１は、アドレスAとアドレスBの組に対応する接続先のVPN装置の識別情報（VPN-B）を取得し（ステップ５３）、ホスト装置１２０から受信したパケットを送出すべきVPNは、VPN-Bに対して設定されたVPNであると判定する。そして、パケット取得制御部１４１は、VPN-Bとパケットを通信制御部１４２に渡し（ステップ５４）、通信制御部１４２は、パケットを当該VPNを用いて送信する（ステップ５５）。なお、パケットの宛先がアドレスCであったならば、図５のテーブルより、VPN-Cに対して設定されたVPNを利用してパケットが送信されることになる。
【００４５】
通信制御部１４２から送信されたパケットは、VPN装置２４０の通信制御部２４０により受信され、通信制御部２４０は受信したパケットをパケット取得制御部２４１に渡す（ステップ５６）。パケット取得制御部２４１は、パケットのヘッダからパケットの送信元アドレス及び宛先アドレスを取得し、図６に示したテーブルを参照し、上記送信元アドレス及び宛先アドレスの組に基づき検索を行う（ステップ５７、５８）。ここでは、検索に成功し、パケット取得制御部２４１は、パケットを宛先であるホスト装置２２０に送信する（ステップ５９）。もし、ここで検索に失敗した場合には、例えば、ホスト装置２２０に送信することなく、パケットを廃棄する。なお、パケットの受信側では、上記のようなテーブルを参照したチェックを行わずにパケットを宛先に送信してもよい。
【００４６】
＜第２の実施の形態＞
次に、本発明の第２の実施の形態について説明する。
【００４７】
（システム構成）
図７に第２の実施の形態に係るシステムの構成図を示す。図７に示すように、第２の実施の形態に係るシステムは、プライベートネットワーク１００とプライベートネットワーク２００とがインターネット３００を介して接続されるとともに、通信制御サーバ３１０がインターネット３００に接続されている。
【００４８】
プライベートネットワーク１００は、インターネット３００にルータ１１０を介して接続され、プライベートネットワーク２００は、インターネット３００にルータ２１０を介して接続されている。
【００４９】
プライベートネットワーク１００では、ホスト装置１３０、ホスト装置１２０、及びVPN装置１４０が備えられる。ホスト装置１２０、ホスト装置１３０、及びVPN装置１５０はそれぞれLANに接続される。このように、本実施の形態では、第１の実施の形態と異なり、VPN装置１５０の配下にホスト装置は接続されず、各ホスト装置とVPN装置１４０が同等にLANに接続される。
【００５０】
プライベートネットワーク２００でも同様に、ホスト装置２２０、ホスト装置２３０、及びVPN装置２５０はそれぞれLANに接続される。
【００５１】
図７に示す通信制御サーバ３１０は、第１の実施の形態で説明した通信制御サーバ３１０と同じものである。
【００５２】
図８に、第２の実施の形態におけるVPN装置１５０の機能構成図を示す。VPN装置１５０はVPN装置２５０と同じ構成であるので、VPN装置１５０のみについて説明する。
【００５３】
図８に示すように、VPN装置１５０は、制御部１５７、インターフェース部１５６、Web設定インターフェース部１５４、データベース１５５を有する。制御部１５７は、パケット取得制御部１５１、通信制御部１５２、NAT制御部１５３を有する。
【００５４】
インターフェース部１５６は、第１の実施の形態におけるPVN側インターフェース部１４６と同様のものであり、プライベートネットワークを構成するLANとの間でデータの送受信を行うための機能部である。また、Web設定インターフェース部１５４、通信制御部１５２、NAT制御部１５３は、それぞれ第１の実施の形態におけるWeb設定インターフェース部１４４、通信制御部１４２、NAT制御部１４３と同様の機能を有するものである。データベース１５５は、第１の実施の形態におけるデータベース１４５と同様に、各種設定情報を格納する格納部であるが、格納する情報の内容は異なる。また、通信制御部１５２が生成するVPN転送条件情報は、通信制御部１４２が生成するVPN転送条件情報と異なる。
【００５５】
パケット取得制御部１５１は、ルータ１１０等に備えられているIPアドレス配布手段（DHCPサーバ機能等)に対して要求を行うことにより、IPアドレスを取得し、取得したIPアドレスをVPN装置１５０に設定する機能、及び、設定したIPアドレス宛（つまり自分自身に）送られてきたパケットを取得し、当該パケットに含まれる情報が、データベース１５５に格納されているVPN転送条件に合致するかどうかを調べ、合致する場合に、該当のVPNを用いてパケットを送信することを決定する機能を有する。また、パケット取得制御部１５１は、VPNを介して受信したパケットに含まれる情報が、データベース１５５に格納されている情報に合致するかどうかを調べることにより、当該パケットを宛先のホスト装置に転送するかどうかを決定する機能も有する。
【００５６】
VPN装置１５０は、例えば、CPUやメモリ等の記憶装置等を有し、通信プログラム、Web用プログラム、データベース用プログラム等の一般的なプログラムを備えたコンピュータに、制御部１５７の機能に対応するプログラムを実行させることにより実現可能である。
【００５７】
（システムの動作）
以下、図７、図８に示したシステムにおける動作例を図９、１０に示したシーケンスチャートを参照して説明する。以下の例では、プライベートネットワーク１００におけるホスト装置１２０とプライベートネットワーク２００におけるホスト装置２２０間で、VPNを介した通信が行われるものとする。また、第１の実施の形態と同様に、ホスト装置１２０のIPアドレスをアドレスA、ホスト装置２２０のIPアドレスをアドレスB、VPN装置１５０の識別情報をVPN-A、VPN装置２５０の識別情報をVPN-Bとする。
【００５８】
まず、VPN装置１５０におけるパケット取得制御部１５１が、他のホスト装置と同様にして、アドレス配布手段を利用してIPアドレスを取得し、VPN装置１５０に設定する（ステップ６１、６２）。VPN装置２５０の側でも同様にIPアドレスが取得され、設定される（ステップ６３、６４）。
【００５９】
次に、第１の実施の形態におけるステップ１１、１２の処理と同様に、VPN装置１５０の通信制御部１５２が、通信制御サーバ３１０に対して登録要求メッセージを送信し、応答メッセージを受信する（ステップ６５、６６）。VPN装置２５０においても同様の登録処理が行われる（ステップ６７、６８）。
【００６０】
続いて、第１の実施の形態におけるステップ１５、１６の処理と同様に、プライベートネットワーク１００側のホスト装置１２０のユーザが、ホスト装置１２０からWeb設定I／F部１５４にアクセスすることにより、VPN構築に必要な情報の入力を行う（ステップ６９、７０）。VPN装置２５０側でも同様である（ステップ７１、７２）。ここで各データベースに格納される情報は第１の実施の形態と同じである。つまり、VPN装置１５０側のデータベース１５５には、VPN-A、VPN-B、アドレスAが格納され、VPN装置２５０側のデータベース２５５には、VPN-A、VPN-B、アドレスBが格納される。
【００６１】
続いて、第１の実施の形態と同様の手順で、VPNが確立される（ステップ７３）。
【００６２】
その後、第１の実施の形態と同様にして、通信制御部１５２は、ステップ７０で保存した情報から、VPN装置１５０の識別情報（VPN-A)と、VPNを利用するものとして指定されたホスト装置１２０のIPアドレス（アドレスA）とを読み出し（ステップ７４）、それらをVPNを利用してVPN装置２５０に送信する（ステップ７５）。同様に、VPN装置２５０の通信制御部２５２は、ステップ７２で保存した情報から、自身の識別情報（VPN-B)と、ホスト装置２２０のIPアドレス（アドレスB）とを読み出し、それらをVPNを利用してVPN装置１５０に送信する（ステップ７６、７７）。
【００６３】
対向のVPN装置２５０から上記情報を受け取った通信制御部１５２は、既に保存してある情報とあわせて受け取った情報をテーブルとしてデータベース１４５に格納する（ステップ７８）。VPN装置２５０側でも同様である（ステップ７９）。
【００６４】
この時点では、VPN装置１５０、VPN装置２５０の各データベースに格納される情報は、図５、、図６に示したものと同様である。
【００６５】
次に、VPN装置１５０のパケット取得制御部１５１は、テーブル（図５に示したものと同様）を参照することにより、VPN接続先においてVPNを利用してVPN装置１５０側と通信を行うホスト装置の数を決定する（ステップ８０）。本例ではその数は１（ホスト装置１２０のみ）とする。そして、その数の分だけのIPアドレスをルータ１１０のアドレス配布手段に要求し、その数分のIPアドレスを取得し、VPN装置１５０に設定する（ステップ８１、８２）。すなわち、この時点で、VPN装置１５０は、プライベートネットワーク１００において上記IPアドレスを宛先として送出されたパケットを、自分宛のパケットとして取得できる状態にある。
【００６６】
そして、パケット取得制御部１５１は、取得したIPアドレスを、VPN装置２５０側のホスト装置に割り当てる。つまり、テーブルにおけるVPN装置２５０側のホスト装置のIPアドレスに対応付けて格納する（ステップ８３）。このIPアドレスは、実際にはVPN装置１５０に割り当てられ、仮想的にVPN装置２５０側のホスト装置に割り当てられるものであるから、仮想アドレスと称してよい。
【００６７】
本例では、VPN装置２５０側のホスト装置は１つ（ホスト装置２２０）なので、取得したIPアドレスは、そのホスト装置２２０に割り当てられられる。その結果、データベース１５５に格納されるテーブルとして、図１１に示すテーブルが得られる。
【００６８】
VPN装置２５０側でも同様の処理が行われ（ステップ８４〜８７）、データベース２５５には、図１２に示すテーブルが格納される。
【００６９】
ここで、プライベートネットワーク１００内の各ホスト装置あるいは各ホスト装置のユーザは、プライベートネットワーク２００側の各ホスト装置のIPアドレスは把握しているものとする。しかし、ステップ８０〜８３の処理により、どのような仮想アドレスが、VPN接続先のホスト装置のIPアドレスに対応付けられたかはわからない。そこで、ステップ８８、８９において、VPN装置１５０は、プライベートネットワーク１００内に、VPN接続先（VPN装置２５０側）のホスト装置のIPアドレスと、当該IPアドレスに対応付けられた仮想アドレスとを広告する。これらの情報は、プライベートネットワーク１００内における全てのホスト装置が受信し、各ホスト装置及びそのユーザは、VPNを介してVPN接続先のホスト装置宛のパケットを送信する場合には、VPN接続先のホスト装置の実際のIPアドレスに対応付けられた上記の仮想アドレス宛にパケットを送信すればよいことを把握する。
【００７０】
以上の処理と同様の処理がVPN装置２５０の側でも行われる（ステップ９０、９１）。
【００７１】
次に、ホスト装置１２０からパケットを送信する場合の例について図１０を参照して説明する。
【００７２】
この例は、ホスト装置１２０から送出されるパケットのヘッダに設定される宛先アドレスが、対向のホスト装置２２０のアドレス（アドレスB)に対応付けられたアドレスXである場合の例である。
【００７３】
ホスト装置１３０から送出されたパケットは、アドレスXを有するVPN装置１５０が受信し、VPN装置１５０においてパケット取得制御部１５１により取得される（ステップ１０１）。パケット取得制御部１５１は、パケットのヘッダからパケットの送信元アドレス及び宛先アドレスを取得する。そして、パケット取得制御部１５１は、図１１に示したテーブルを参照し、上記送信元アドレス及び宛先アドレスの組に基づき検索を行う（ステップ１０２、１０３）。この例では、上記送信元アドレス及び宛先アドレスの組であるアドレスAとアドレスXの組がテーブルに設定されているので、検索に成功する。
【００７４】
そして、パケット取得制御部１５１は、パケットのヘッダにおるアドレスXをアドレスBに置き換える。また、パケット取得制御部１５１は、アドレスAとアドレスB（アドレスX)の組に対応する接続先のVPN装置２５０の識別情報（VPN-B）を取得し、ホスト装置１２０から受信したパケットを送出すべきVPNは、VPN-Bに対して設定されたVPNであると決定する。そして、パケット取得制御部１５１は、VPN-Bとパケットを通信制御部１５２に渡し、通信制御部１５２は、パケットを当該VPNを用いて送信する（ステップ１０４、１０５）。
【００７５】
なお、上記の例では、パケットのヘッダにおるアドレスXをアドレスBに置き換える処理をVPN装置１５０側で行っているが、アドレスBに対応するアドレスXを事前にVPN装置２５０側に送信しておくことにより、VPN装置２５０側でアドレスXをアドレスBに置き換えてもよい。
【００７６】
通信制御部１５２から送信されたパケットは、VPN装置２５０の通信制御部２５２により受信され、通信制御部２５２は受信したパケットをパケット取得制御部２５１に渡す（ステップ１０６）。パケット取得制御部２５１は、パケットのヘッダからパケットの送信元アドレス及び宛先アドレスを取得し、図１２に示したテーブルを参照し、上記送信元アドレス及び宛先アドレスの組に基づき検索を行う（ステップ１０７、１０８）。ここでは、検索に成功し、パケット取得制御部２５１は、パケットを宛先であるホスト装置２２０に送信する（ステップ１０９）。
以上説明したように、本発明に基づく技術を適用することにより、VPN装置を既存のネットワークに設置するだけで容易にVPNを構築できるようになる。また、ホスト装置から送出されるパケットのアドレス等を参照し、VPN転送条件情報に基づきパケットをVPNに送出するかどうかを判定するように構成したため、VPN転送条件情報を適宜設定することによりVPNに参加するホスト装置を柔軟に設定できる。
【００７７】
このような特徴を有するので、本発明に基づく技術を適用したVPN装置を用いることにより、短期間で店舗や拠点の入れ替えが発生する百貨店やコンビになどの業界や、流動的な現場移動が発生する建築業界等でもVPNが利用可能になる。
【００７８】
本発明は、上記の実施の形態に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。
【図面の簡単な説明】
【００７９】
【図１】第１の実施の形態に係るシステムの構成図である。
【図２】VPN装置１４０の機能構成図である。
【図３】第１の実施の形態に係るシステムの動作を説明するためのシーケンスチャートである。
【図４】第１の実施の形態に係るシステムの動作を説明するためのシーケンスチャートである。
【図５】データベース１４５に格納されるテーブルを示す図である。
【図６】データベース２４５に格納されるテーブルを示す図である。
【図７】第２の実施の形態に係るシステムの構成図である。
【図８】VPN装置１５０の機能構成図である。
【図９】第２の実施の形態に係るシステムの動作を説明するためのシーケンスチャートである。
【図１０】第２の実施の形態に係るシステムの動作を説明するためのシーケンスチャートである。
【図１１】データベース１５５に格納されるテーブルを示す図である。
【図１２】データベース１５５に格納されるテーブルを示す図である。
【符号の説明】
【００８０】
１００ プライベートネットワーク
２００ プライベートネットワーク
３００ インターネット
１１０、２１０ ルータ
３１０ 通信制御サーバ
１２０、１３０、２２０、２３０ ホスト装置
１４０、１５０ VPN装置ホスト
１４６ PVN（プライベートネットワーク）側インターフェース部
１４７ VPN配下端末側インターフェース部
１４８、１５７ 制御部
１４２、１５２ 通信制御部
１４３、１５３ NAT制御部
１４４、１５４ Web設定インターフェース部
１４５、１５５ データベース
１４１、１５１ パケット取得制御部
１５４ Web設定インターフェース部
１５６ インターフェース部
【特許請求の範囲】
【請求項１】
対向VPN接続装置との間にVPNを設定する機能を有するVPN接続装置であって、
通信ネットワークに接続するための網接続手段と、
前記VPNを利用するホスト装置を接続するためのホスト装置接続手段と、
前記対向VPN接続装置側で前記VPNを利用する対向ホスト装置のアドレスと、前記VPN接続装置に前記ホスト装置接続手段により接続され、前記VPNを利用するホスト装置のアドレスとを含むVPN転送条件情報を格納する記憶手段と、
前記VPN接続装置に前記ホスト装置接続手段を介して接続されたホスト装置からパケットを受信し、当該パケットの宛先アドレスと送信元アドレスの組が前記記憶手段に格納されたVPN転送条件情報に含まれるかどうかを判定する判定手段と、
前記判定手段により含まれると判定された場合に、前記パケットを前記VPNを利用して前記対向VPN接続装置側に前記網接続手段を介して送信するパケット制御手段と、
を備えたことを特徴とするVPN接続装置。
【請求項２】
前記VPN転送条件情報は、前記対向ホスト装置のアドレスと前記ホスト装置のアドレスとに加えて、VPNの識別情報を有し、前記パケット制御手段は、前記パケットの宛先アドレスと送信元アドレスの組に対応付けられた識別情報で識別されるVPNを利用して前記パケットを送信することを特徴とする請求項１に記載のVPN接続装置。
【請求項３】
前記VPNの識別情報と前記ホスト装置のアドレスとを含む情報を前記VPNを介して前記対向VPN接続装置に送信し、前記VPNの識別情報と前記対向ホスト装置のアドレスとを含む情報を前記VPNを介して前記対向VPN接続装置から受信し、当該対向VPN接続装置から受信した情報を用いて前記VPN転送条件情報を生成する手段を備えたことを特徴とする請求項１又は２に記載のVPN接続装置。
【請求項４】
対向VPN接続装置との間にVPNを設定する機能を有するVPN接続装置であって、
通信ネットワークに接続するための網接続手段と、
前記対向VPN接続装置側で前記VPNを利用する対向ホスト装置の仮想アドレスとして、前記通信ネットワークに配置されたアドレス配布手段を利用してアドレスを取得し、前記VPN接続装置に設定するアドレス取得手段と、
前記仮想アドレスと、前記VPN接続装置に前記網接続手段を介して接続され、前記VPNを利用するホスト装置のアドレスとを含むVPN転送条件情報を格納する記憶手段と、
前記VPN接続装置に前記網接続手段を介して接続されたホスト装置から、宛先アドレスとして前記仮想アドレスを有するパケットを受信し、当該パケットの宛先アドレスと送信元アドレスの組が前記記憶手段に格納されたVPN転送条件情報に含まれるかどうかを判定する判定手段と、
前記判定手段により含まれると判定された場合に、前記パケットを前記VPNを利用して前記対向VPN接続装置側に前記網接続手段を介して送信するパケット制御手段と、
を備えたことを特徴とするVPN接続装置。
【請求項５】
前記VPN転送条件情報は、前記対向ホスト装置の仮想アドレスと前記ホスト装置のアドレスとに加えて、VPNの識別情報を有し、前記パケット制御手段は、前記パケットの宛先アドレスと送信元アドレスの組に対応付けられた識別情報で識別されるVPNを利用して前記パケットを送信することを特徴とする請求項４に記載のVPN接続装置。
【請求項６】
前記VPNの識別情報と前記ホスト装置のアドレスとを含む情報を前記VPNを介して前記対向VPN接続装置に送信し、前記VPNの識別情報と前記対向ホスト装置のアドレスとを含む情報を前記VPNを介して前記対向VPN接続装置から受信し、当該対向VPN接続装置から受信した情報と、前記アドレス取得手段により取得したアドレスとを用いて前記VPN転送条件情報を生成する手段を備えたことを特徴とする請求項４又は５に記載のVPN接続装置。
【請求項７】
対向VPN接続装置との間にVPNを設定する機能を有するVPN接続装置が実行するパケット制御方法であって、
前記VPN接続装置は、通信ネットワークに接続するための網接続手段と、前記VPNを利用するホスト装置を接続するためのホスト装置接続手段と、
前記対向VPN接続装置側で前記VPNを利用する対向ホスト装置のアドレスと、前記VPN接続装置に前記ホスト装置接続手段により接続され、前記VPNを利用するホスト装置のアドレスとを含むVPN転送条件情報を格納する記憶手段と、を備え、前記パケット制御方法は、
前記VPN接続装置に前記ホスト装置接続手段を介して接続されたホスト装置からパケットを受信し、当該パケットの宛先アドレスと送信元アドレスの組が前記記憶手段に格納されたVPN転送条件情報に含まれるかどうかを判定する判定ステップと、
前記判定手段により含まれると判定された場合に、前記パケットを前記VPNを利用して前記対向VPN接続装置側に前記網接続手段を介して送信するパケット制御ステップと、
を備えたことを特徴とするパケット制御方法。
【請求項８】
対向VPN接続装置との間にVPNを設定する機能を有するVPN接続装置が実行するパケット制御方法であって、
前記VPN接続装置は、通信ネットワークに接続するための網接続手段と、
前記対向VPN接続装置側で前記VPNを利用する対向ホスト装置の仮想アドレスとして、前記通信ネットワークに配置されたアドレス配布手段を利用してアドレスを取得し、前記VPN接続装置に設定するアドレス取得手段と、
前記仮想アドレスと、前記VPN接続装置に前記網接続手段を介して接続され、前記VPNを利用するホスト装置のアドレスとを含むVPN転送条件情報を格納する記憶手段と、を備え、前記パケット制御方法は、
前記VPN接続装置に前記網接続手段を介して接続されたホスト装置から、宛先アドレスとして前記仮想アドレスを有するパケットを受信し、当該パケットの当該宛先アドレスと送信元アドレスの組が前記記憶手段に格納されたVPN転送条件情報に含まれるかどうかを判定する判定ステップと、
前記判定手段により含まれると判定された場合に、前記パケットを前記VPNを利用して前記対向VPN接続装置側に前記網接続手段を介して送信するパケット制御ステップと、
を備えたことを特徴とするパケット制御方法。
【請求項９】
コンピュータを、対向VPN接続装置との間にVPNを設定する機能を有するVPN接続装置として機能させるプログラムであって、
前記コンピュータは、通信ネットワークに接続するための網接続手段と、前記VPNを利用するホスト装置を接続するためのホスト装置接続手段と、
前記対向VPN接続装置側で前記VPNを利用する対向ホスト装置のアドレスと、前記VPN接続装置に前記ホスト装置接続手段により接続され、前記VPNを利用するホスト装置のアドレスとを含むVPN転送条件情報を格納する記憶手段と、を備え、前記プログラムは、前記コンピュータを、
前記VPN接続装置に前記ホスト装置接続手段を介して接続されたホスト装置からパケットを受信し、当該パケットの宛先アドレスと送信元アドレスの組が前記記憶手段に格納されたVPN転送条件情報に含まれるかどうかを判定する判定手段、
前記判定手段により含まれると判定された場合に、前記パケットを前記VPNを利用して前記対向VPN接続装置側に前記網接続手段を介して送信するパケット制御手段、
として機能させるためのプログラム。
【請求項１０】
コンピュータを、対向VPN接続装置との間にVPNを設定する機能を有するVPN接続装置として機能させるためのプログラムであって、
前記コンピュータは、通信ネットワークに接続するための網接続手段と、
前記対向VPN接続装置側で前記VPNを利用する対向ホスト装置の仮想アドレスとして、前記通信ネットワークに配置されたアドレス配布手段を利用してアドレスを取得し、前記VPN接続装置に設定するアドレス取得手段と、
前記仮想アドレスと、前記VPN接続装置に前記網接続手段を介して接続され、前記VPNを利用するホスト装置のアドレスとを含むVPN転送条件情報を格納する記憶手段と、を備え、前記プログラムは、前記コンピュータを、
前記VPN接続装置に前記網接続手段を介して接続されたホスト装置から、宛先アドレスとして前記仮想アドレスを有するパケットを受信し、当該パケットの当該宛先アドレスと送信元アドレスの組が前記記憶手段に格納されたVPN転送条件情報に含まれるかどうかを判定する判定手段、
前記判定手段により含まれると判定された場合に、前記パケットを前記VPNを利用して前記対向VPN接続装置側に前記網接続手段を介して送信するパケット制御手段、
として機能させるためのプログラム。
【請求項１】
対向VPN接続装置との間にVPNを設定する機能を有するVPN接続装置であって、
通信ネットワークに接続するための網接続手段と、
前記VPNを利用するホスト装置を接続するためのホスト装置接続手段と、
前記対向VPN接続装置側で前記VPNを利用する対向ホスト装置のアドレスと、前記VPN接続装置に前記ホスト装置接続手段により接続され、前記VPNを利用するホスト装置のアドレスとを含むVPN転送条件情報を格納する記憶手段と、
前記VPN接続装置に前記ホスト装置接続手段を介して接続されたホスト装置からパケットを受信し、当該パケットの宛先アドレスと送信元アドレスの組が前記記憶手段に格納されたVPN転送条件情報に含まれるかどうかを判定する判定手段と、
前記判定手段により含まれると判定された場合に、前記パケットを前記VPNを利用して前記対向VPN接続装置側に前記網接続手段を介して送信するパケット制御手段と、
を備えたことを特徴とするVPN接続装置。
【請求項２】
前記VPN転送条件情報は、前記対向ホスト装置のアドレスと前記ホスト装置のアドレスとに加えて、VPNの識別情報を有し、前記パケット制御手段は、前記パケットの宛先アドレスと送信元アドレスの組に対応付けられた識別情報で識別されるVPNを利用して前記パケットを送信することを特徴とする請求項１に記載のVPN接続装置。
【請求項３】
前記VPNの識別情報と前記ホスト装置のアドレスとを含む情報を前記VPNを介して前記対向VPN接続装置に送信し、前記VPNの識別情報と前記対向ホスト装置のアドレスとを含む情報を前記VPNを介して前記対向VPN接続装置から受信し、当該対向VPN接続装置から受信した情報を用いて前記VPN転送条件情報を生成する手段を備えたことを特徴とする請求項１又は２に記載のVPN接続装置。
【請求項４】
対向VPN接続装置との間にVPNを設定する機能を有するVPN接続装置であって、
通信ネットワークに接続するための網接続手段と、
前記対向VPN接続装置側で前記VPNを利用する対向ホスト装置の仮想アドレスとして、前記通信ネットワークに配置されたアドレス配布手段を利用してアドレスを取得し、前記VPN接続装置に設定するアドレス取得手段と、
前記仮想アドレスと、前記VPN接続装置に前記網接続手段を介して接続され、前記VPNを利用するホスト装置のアドレスとを含むVPN転送条件情報を格納する記憶手段と、
前記VPN接続装置に前記網接続手段を介して接続されたホスト装置から、宛先アドレスとして前記仮想アドレスを有するパケットを受信し、当該パケットの宛先アドレスと送信元アドレスの組が前記記憶手段に格納されたVPN転送条件情報に含まれるかどうかを判定する判定手段と、
前記判定手段により含まれると判定された場合に、前記パケットを前記VPNを利用して前記対向VPN接続装置側に前記網接続手段を介して送信するパケット制御手段と、
を備えたことを特徴とするVPN接続装置。
【請求項５】
前記VPN転送条件情報は、前記対向ホスト装置の仮想アドレスと前記ホスト装置のアドレスとに加えて、VPNの識別情報を有し、前記パケット制御手段は、前記パケットの宛先アドレスと送信元アドレスの組に対応付けられた識別情報で識別されるVPNを利用して前記パケットを送信することを特徴とする請求項４に記載のVPN接続装置。
【請求項６】
前記VPNの識別情報と前記ホスト装置のアドレスとを含む情報を前記VPNを介して前記対向VPN接続装置に送信し、前記VPNの識別情報と前記対向ホスト装置のアドレスとを含む情報を前記VPNを介して前記対向VPN接続装置から受信し、当該対向VPN接続装置から受信した情報と、前記アドレス取得手段により取得したアドレスとを用いて前記VPN転送条件情報を生成する手段を備えたことを特徴とする請求項４又は５に記載のVPN接続装置。
【請求項７】
対向VPN接続装置との間にVPNを設定する機能を有するVPN接続装置が実行するパケット制御方法であって、
前記VPN接続装置は、通信ネットワークに接続するための網接続手段と、前記VPNを利用するホスト装置を接続するためのホスト装置接続手段と、
前記対向VPN接続装置側で前記VPNを利用する対向ホスト装置のアドレスと、前記VPN接続装置に前記ホスト装置接続手段により接続され、前記VPNを利用するホスト装置のアドレスとを含むVPN転送条件情報を格納する記憶手段と、を備え、前記パケット制御方法は、
前記VPN接続装置に前記ホスト装置接続手段を介して接続されたホスト装置からパケットを受信し、当該パケットの宛先アドレスと送信元アドレスの組が前記記憶手段に格納されたVPN転送条件情報に含まれるかどうかを判定する判定ステップと、
前記判定手段により含まれると判定された場合に、前記パケットを前記VPNを利用して前記対向VPN接続装置側に前記網接続手段を介して送信するパケット制御ステップと、
を備えたことを特徴とするパケット制御方法。
【請求項８】
対向VPN接続装置との間にVPNを設定する機能を有するVPN接続装置が実行するパケット制御方法であって、
前記VPN接続装置は、通信ネットワークに接続するための網接続手段と、
前記対向VPN接続装置側で前記VPNを利用する対向ホスト装置の仮想アドレスとして、前記通信ネットワークに配置されたアドレス配布手段を利用してアドレスを取得し、前記VPN接続装置に設定するアドレス取得手段と、
前記仮想アドレスと、前記VPN接続装置に前記網接続手段を介して接続され、前記VPNを利用するホスト装置のアドレスとを含むVPN転送条件情報を格納する記憶手段と、を備え、前記パケット制御方法は、
前記VPN接続装置に前記網接続手段を介して接続されたホスト装置から、宛先アドレスとして前記仮想アドレスを有するパケットを受信し、当該パケットの当該宛先アドレスと送信元アドレスの組が前記記憶手段に格納されたVPN転送条件情報に含まれるかどうかを判定する判定ステップと、
前記判定手段により含まれると判定された場合に、前記パケットを前記VPNを利用して前記対向VPN接続装置側に前記網接続手段を介して送信するパケット制御ステップと、
を備えたことを特徴とするパケット制御方法。
【請求項９】
コンピュータを、対向VPN接続装置との間にVPNを設定する機能を有するVPN接続装置として機能させるプログラムであって、
前記コンピュータは、通信ネットワークに接続するための網接続手段と、前記VPNを利用するホスト装置を接続するためのホスト装置接続手段と、
前記対向VPN接続装置側で前記VPNを利用する対向ホスト装置のアドレスと、前記VPN接続装置に前記ホスト装置接続手段により接続され、前記VPNを利用するホスト装置のアドレスとを含むVPN転送条件情報を格納する記憶手段と、を備え、前記プログラムは、前記コンピュータを、
前記VPN接続装置に前記ホスト装置接続手段を介して接続されたホスト装置からパケットを受信し、当該パケットの宛先アドレスと送信元アドレスの組が前記記憶手段に格納されたVPN転送条件情報に含まれるかどうかを判定する判定手段、
前記判定手段により含まれると判定された場合に、前記パケットを前記VPNを利用して前記対向VPN接続装置側に前記網接続手段を介して送信するパケット制御手段、
として機能させるためのプログラム。
【請求項１０】
コンピュータを、対向VPN接続装置との間にVPNを設定する機能を有するVPN接続装置として機能させるためのプログラムであって、
前記コンピュータは、通信ネットワークに接続するための網接続手段と、
前記対向VPN接続装置側で前記VPNを利用する対向ホスト装置の仮想アドレスとして、前記通信ネットワークに配置されたアドレス配布手段を利用してアドレスを取得し、前記VPN接続装置に設定するアドレス取得手段と、
前記仮想アドレスと、前記VPN接続装置に前記網接続手段を介して接続され、前記VPNを利用するホスト装置のアドレスとを含むVPN転送条件情報を格納する記憶手段と、を備え、前記プログラムは、前記コンピュータを、
前記VPN接続装置に前記網接続手段を介して接続されたホスト装置から、宛先アドレスとして前記仮想アドレスを有するパケットを受信し、当該パケットの当該宛先アドレスと送信元アドレスの組が前記記憶手段に格納されたVPN転送条件情報に含まれるかどうかを判定する判定手段、
前記判定手段により含まれると判定された場合に、前記パケットを前記VPNを利用して前記対向VPN接続装置側に前記網接続手段を介して送信するパケット制御手段、
として機能させるためのプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【公開番号】特開２０１０−１５７８５６（Ｐ２０１０−１５７８５６Ａ）
【公開日】平成２２年７月１５日（２０１０．７．１５）
【国際特許分類】
【出願番号】特願２００８−３３４３８６（Ｐ２００８−３３４３８６）
【出願日】平成２０年１２月２６日（２００８．１２．２６）
【出願人】（３９９０３５７６６）エヌ・ティ・ティ・コミュニケーションズ株式会社 (321)
【Ｆターム（参考）】
【公開日】平成２２年７月１５日（２０１０．７．１５）
【国際特許分類】
【出願日】平成２０年１２月２６日（２００８．１２．２６）
【出願人】（３９９０３５７６６）エヌ・ティ・ティ・コミュニケーションズ株式会社 (321)
【Ｆターム（参考）】
[ Back to top ]