WO2010119710A1 - Ｖｐｎ装置及びｖｐｎネットワーキング方法 - Google Patents

Abstract

　クロスコールが発生する状況を解消することのできるＶＰＮ装置を提供する。　通信端末１０３の識別情報である第１の識別情報と、通信端末３０３の識別情報である第２の識別情報と、を取得する識別情報取得部と、第１の識別情報及び第２の識別情報に基づいて、通信端末１０３と通信端末３０３とのセッション起動時の優先度を判定する優先度判定部と、この優先度に基づいて、通信端末３０３へ送信すべき呼制御に関するメッセージの種別を指定するメッセージ種別生成部、指定された種別のメッセージを通信端末３０３へ送信する送信部と、を備える。

Description

ＶＰＮ装置及びＶＰＮネットワーキング方法

　本発明は、ＶＰＮ装置及びＶＰＮネットワーキング方法に関し、特に、ネットワークの異なる端末同士の間でＶＰＮ（Virtual Private Network：仮想プライベートネットワーク）を構築しピアツーピア（Peer to Peer、以下、Ｐ２Ｐと略称する）通信を行う技術に関する。

　仮想プライベートネットワーク（以下、ＶＰＮと記載する）は、たとえば、企業内等の２以上の拠点のローカルエリアネットワーク（ＬＡＮ）相互間などのように、一般に、異なるネットワークセグメントを、広域ネットワーク（ＷＡＮ）などを介して互いに接続する。そして、通信の秘匿性を担保することで、仮想的に全体が１つのプライベートネットワークであるように構成する。これにより、専用線を利用する場合と同様の通信サービスを可能にする。

　ＶＰＮを構築する場合は、ネットワークの中継装置または通信を行う端末等（以降、これらを「ピア」とも称する）に設けたＶＰＮ装置によって、パケットを暗号化及びカプセル化して仮想トンネルを構築する。これにより、ピア間を結ぶ閉じられた仮想的な直接通信（以下、Ｐ２Ｐ（Peer to Peer）通信ともいう）回線を確立する。

　Ｐ２Ｐ通信を行うためのシステムとしては、ピア間のセッション確立を補助するためのサーバ（以下、インデックスサーバと称する）が存在するハイブリッドＰ２Ｐシステムや、ハイブリッドＰ２Ｐシステムの中でインデックスサーバを設けずにピアの中の特定のいくつかがインデックスサーバの役割を果たすスーパーノードＰ２Ｐシステムなどがある。

　これらのシステムでは、インデックスサーバの技術のうち、通信相手を探すための手段として呼制御サーバを利用する方法がある。呼制御サーバでは、ＳＩＰ（Session Initiation Protocol）に規定された呼制御確立技術を用いて通信装置間のセッションを確立する制御を行う。ＳＩＰによる呼制御確立を行う際には、発呼側の通信装置からＩＮＶＩＴＥメッセージ（発呼メッセージ）を着呼側の通信装置に送信し、これに対し着呼側の通信装置がＩＮＶＩＴＥメッセージ受信後にＯＫメッセージ（着呼メッセージ）を発呼側の通信装置に送信し、さらに発呼側の通信装置がＯＫメッセージ受信後にＡＣＫメッセージ（着呼応答メッセージ）を着呼側の通信装置に送信することによって、セッションを確立することが一般的に行われている。この呼制御処理の手順は、スリーウェイハンドシェイク（3 Way Hand Shake：以下、３ＷＨＳと称する）と称する。このようにしてセッションを確立した後、Ｐ２Ｐ通信を行ってファイル送受信をすることが行われる。

　このような３ＷＨＳの一例として、ＩＮＶＩＴＥメッセージを送信した後に他の呼制御処理を並行して行い、早期に通信を開始する技術が知られている（たとえば、特許文献１参照）。

日本国特開２００６－３４５４０７号公報

　しかしながら、Ｐ２Ｐ通信において各ピアはセッション確立を行うために互いに発呼メッセージを同時（多少のタイムラグも含む）に送信する可能性がある。この場合、双方のピアは発呼メッセージを送信したにも関わらず共に発呼メッセージを受信するために、各ピアはイレギュラーな処理と判断することになる。例えば、電話アプリケーションの場合には、互いのピアが同時に発呼メッセージを送信し、互いの相手側ピアが同時に受信するため、相互に通話状態と判断され、待機状態となる。この状態はクロスコールと称され、何らかのイレギュラー解除処理を行わない限り発呼処理を継続するので、その場合にはセッションはいつまでも確立されないことになる。

　本発明は上記事情を鑑みてなされたものであって、クロスコールが発生する状況を解消することのできるＶＰＮ装置及びＶＰＮネットワーキング方法を提供することを目的とする。

　本発明は、第１のネットワーク上に設けられ、第１のネットワークに設けられた第１の端末と第１のネットワークと接続された第２のネットワークに設けられた第２の端末との間でＰ２Ｐ通信を行うＶＰＮ装置であって、第１の端末と第２の端末のうちどちらが発呼の優先度が高いか判定する優先度判定部と、優先度判定部によって第１の端末が第２の端末より優先度が高いと判定されると、第２のネットワークへ発呼メッセージを送信することにより第２の端末へ発呼し、優先度判定部によって第２の端末が第１の端末より優先度が高いと判定されると、第２のネットワークへ発呼要求メッセージを送信することにより第２の端末へ発呼を要求する送信部と、を備えたことを特徴とするＶＰＮ装置。

　本発明によれば、第１の端末と第２の端末のうちどちらが発呼の優先度が高いか判定し、判定結果に応じて発呼メッセージ又は発呼要求メッセージを送信するので、第１の端末と第２の端末とで互いに発呼メッセージを送信することなく、クロスコールが発生する状況を解消することのできるＶＰＮ装置を提供できる。

　本発明によれば、クロスコールが発生する状況を解消することができる。

本実施形態１に係るＶＰＮシステムの構成例を示す図 本実施形態１のＶＰＮ装置のハードウェア構成の構成例を示すブロック図 本実施形態１のＶＰＮ装置の機能的な構成例を示すブロック図 本実施形態１のＶＰＮシステムにおけるＶＰＮ構築時の処理手順を示すシーケンス図 本実施形態１のＶＰＮ装置におけるＶＰＮ構築時の処理内容を示すフローチャート 本実施形態１における外部アドレス情報取得処理の処理内容を示すフローチャート 本実施形態１における外部アドレス・ポート取得要求に関する処理手順を示すシーケンス図 本実施形態１における外部アドレス・ポート取得要求と外部アドレス・ポート情報返信のそれぞれのパケット構造を示す図 本実施形態１におけるＶＰＮ通信におけるパケット構造を示す図 本実施形態１におけるＵＤＰホールパンチングの動作に関する状態遷移を示す図 本発明の実施形態２のＶＰＮシステムにおけるＶＰＮ構築時の処理手順を示すシーケンス図 本発明の実施形態２のＶＰＮシステムにおけるＶＰＮ構築時の別の処理手順を示すシーケンス図 本発明の実施形態２のＶＰＮ装置におけるＶＰＮ構築時の処理内容を示すフローチャート 本発明の実施形態２のＶＰＮ装置におけるＶＰＮ構築時の別の処理内容を示すフローチャート 本発明の実施形態２係るＶＰＮシステムの変形構成例を示す図 本発明の実施形態２のＶＰＮ装置の機能的な変形構成例を示すブロック図 本発明の実施形態３に係るＶＰＮシステムの構成例を示す図 本発明の実施形態３における同一ＬＡＮに接続されたＶＰＮ装置同士で行われる通信（ローカルＰ２Ｐ通信）の一例を示す図 本発明の実施形態３における同一ＬＡＮ内に多段にルータが配設された環境の一例を示す図 本発明の実施形態３のＶＰＮ装置のハードウェア構成の構成例を示すブロック図 本発明の実施形態３のＶＰＮ装置の機能的な構成例を示すブロック図 本発明の実施形態３のＶＰＮ装置の通信経路情報記憶部により記憶される通信経路情報の一例を示す図 本発明の実施形態３のＶＰＮシステムにおけるＶＰＮ構築時の処理手順の一例を示すシーケンス図 本発明の実施形態３のＶＰＮ装置におけるＶＰＮ構築時の処理内容の一例を示すフローチャート 本発明の実施形態３のＶＰＮ装置におけるＶＰＮ構築時の処理内容の一例を示すフローチャート 本発明の実施形態４における通信システムの構成の一例を示す図 本発明の実施形態４におけるＶＰＮ装置のハードウェア構成の一例を示す図 本発明の実施形態４におけるＶＰＮ装置の機能構成の一例を示す図 本発明の実施形態４における優先度の高い通信端末から優先度の低い通信端末へ発呼する場合の通信シーケンスの一例を示す図 本発明の実施形態４における優先度の低い通信端末から優先度の高い通信端末へ発呼する場合の通信シーケンスの一例を示す図 本発明の実施形態４における優先度の高い通信端末と優先度の低い通信端末とが同時に発呼する場合の通信シーケンスの一例を示す図 本発明の実施形態４におけるＶＰＮ装置が配下の通信端末と通信先の通信端末との通信を中継する際の動作の一例を示すフローチャート 本発明の実施形態５における通信システムの構成の一例を示す図 本発明の実施形態５におけるＶＰＮ装置のハードウェア構成の一例を示す図 本発明の実施形態５におけるＶＰＮ装置の機能構成の一例を示す図 本発明の実施形態５における通信端末がセッション起動時の動作の一例を示すフローチャート

　以下に、本発明に係るＶＰＮ装置、ＶＰＮネットワーキング方法、及び記憶媒体の実施形態を説明する。

　（実施形態１）
　実施形態１では、広域ネットワーク（ＷＡＮ、グローバルネットワーク）を介して２つのローカルエリアネットワークの経路を（ＬＡＮ、ローカルネットワーク）経路接続して仮想プライベートネットワーク（ＶＰＮ）システムを構築する場合の構成例を示す。ＬＡＮとしては、有線ＬＡＮまたは無線ＬＡＮなどが用いられる。ＷＡＮとしては、インターネット等が用いられる。

　図１は本発明の実施形態１に係るＶＰＮシステムの構成例を示す図である。本実施形態１のＶＰＮシステムは、一つの拠点に設けられたＬＡＮ１００と、他の拠点に設けられたＬＡＮ３００とを、インターネット等のＷＡＮ２００を介して通信経路を接続する。そして、ＬＡＮ１００の配下に接続された端末１０３とＬＡＮ３００の配下に接続された端末３０３との間で、ＶＰＮによる秘匿性を担保した通信（以下、「ＶＰＮ通信」と称する）を可能にしている。具体的なＶＰＮ通信の用途（アプリケーションプログラム等）としては、ＩＰ電話（音声通話）、ネットミーティング（動画＆音声通信）、ネットワークカメラ（ビデオ伝送）などが想定される。

　ＬＡＮ１００とＷＡＮ２００との境界にはルータ１０２が配設され、ＷＡＮ２００とＬＡＮ３００との境界にはルータ３０２が配設されている。また、本実施形態１では、ＶＰＮの構築を可能にするために、ＬＡＮ１００にはＶＰＮ装置１０１が接続され、ＬＡＮ３００にはＶＰＮ装置３０１が接続されている。そして、ＶＰＮ装置１０１には配下の端末１０３が接続され、ＶＰＮ装置３０１には配下の端末３０３が接続されている。なお、ＶＰＮ装置１０１、３０１は、ここでは中継装置等において構成される独立した装置の構成例を示しているが、ＬＡＮ内の他の通信機器や端末等においてＶＰＮ機能を有する装置として構成することも可能である。

　また、ＷＡＮ２００上には、ＶＰＮ装置１０１とＶＰＮ装置３０１との間のＶＰＮによる接続（以下、「ＶＰＮ接続」と称する）を可能にするために、ＳＴＵＮサーバ２０１と呼制御サーバ２０２とが接続されている。ＳＴＵＮサーバ２０１は、ＳＴＵＮ（Simple Traversal of User Datagram Protocol (UDP) through Network Address Translators (NATs)）プロトコルを実行するために用いられるサーバである。呼制御サーバ２０２は、ＶＰＮ装置や端末等のピア間の発呼、着呼のために用いられるサーバである。

　図１において、破線は外部アドレスとポートの情報を含む外部アドレス・ポート情報の流れを示している。また、一点鎖線は発呼及び着呼の制御に関する呼制御信号の流れを示している。また、実線はピア間で伝送される通信データに関するピア間通信の流れを示している。さらに、ピア間通信のためにＶＰＮ接続された通信経路を仮想トンネルとして、図中に表す。

　各機器がＷＡＮ２００を介して通信する場合、ＷＡＮ２００上では、伝送するパケットの送信元や送信先を特定するためのアドレス情報として、ＷＡＮにおいて特定可能なグローバルなアドレス情報が用いられる。一般にはＩＰネットワークが用いられるため、グローバルＩＰアドレス及びポート番号が用いられる。しかし、各ＬＡＮ１００、３００内の通信においては、送信元や送信先を特定するためのアドレス情報として、ＬＡＮ内のみで特定可能なローカルなアドレス情報が用いられる。一般にはＩＰネットワークが用いられるため、ローカルＩＰアドレス及びポート番号が用いられる。したがって、各ＬＡＮ１００、３００とＷＡＮ２００との間の通信を可能にするために、ローカルなアドレス情報とグローバルなアドレス情報との相互変換を行うＮＡＴ（Network Address Translation）機能が各ルータ１０２、３０２に搭載されている。

　ただし、ＬＡＮ１００、３００の配下の各端末においては、外部からアクセス可能なグローバルなアドレス情報を自身で持っていない。また、特別な設定を行わない限り、ＬＡＮ１００配下の端末１０３が他のＬＡＮ３００配下の端末３０３と直接通信することはできない。また、各ルータ１０２、３０２のＮＡＴ機能のため、普通の状態ではＷＡＮ２００側から各ＬＡＮ１００、３００内の各端末にアクセスすることもできない。

　このような状況であっても、本実施形態では、各拠点のＬＡＮにＶＰＮ装置１０１、３０１を設けることにより、図１において実線で示すピア間通信の経路のように、ＬＡＮ間をＶＰＮ接続して端末１０３と端末３０３との間で仮想的な閉じられた通信経路を通じて直接通信することが可能になる。本実施形態のＶＰＮ装置の構成、機能、及び動作について以下に順を追って説明する。

　ＳＴＵＮサーバ２０１は、ＳＴＵＮプロトコルの実行に関するサービスを行うもので、いわゆるＮＡＴ越えの通信を行うために必要な情報を提供するアドレス情報サーバである。ＳＴＵＮは、音声、映像、文章などの双方向リアルタイムＩＰ通信を行うアプリケーションにおいて、ＮＡＴ通過の方法の１つとして使われる標準化されたクライアントサーバ型のインターネットプロトコルである。ＳＴＵＮサーバ２０１は、アクセス元からの要求に応じて、外部からアクセス可能な当該アクセス元のグローバルなアドレス情報として、外部ネットワークから見える外部アドレスとポートの情報を含む外部アドレス・ポート情報を返信する。外部アドレス・ポート情報としては、ＩＰネットワークにおいてはグローバルＩＰアドレス及びポート番号が用いられる。

　各ＶＰＮ装置１０１、３０１は、ＳＴＵＮサーバ２０１との間で所定のテスト手順の通信を実行し、ＳＴＵＮサーバ２０１からそれぞれ端末１０３、３０３のグローバルＩＰアドレス及びポート番号が含まれる応答パケットを受信する。これにより、各ＶＰＮ装置１０１、３０１はそれぞれ端末１０３、３０３のグローバルＩＰアドレス及びポート番号を取得することができる。また、自装置の位置するＬＡＮとＷＡＮとの間にルータが複数存在する場合等であっても、これらのルータ等がＵＰｎＰ（Universal Plug and Play）の機能を有していない場合であっても、確実にグローバルＩＰアドレス及びポート番号を取得できるという効果もある。

　なお、ＶＰＮ装置１０１、３０１がグローバルＩＰアドレス及びポート番号を取得するための方法に関しては、ＩＥＴＦのＲＦＣ ３４８９（STUN - Simple Traversal of User Datagram Protocol (UDP) Through Network Address Translators (NATs)）にて記載された手法を利用することもできる。しかし、ＳＴＵＮによる手法はグローバルＩＰアドレス及びポート番号を取得するところまでが可能なのであって、通信に先立って予め各種パラメータの設定作業を行うこともなく、簡易かつ柔軟にＶＰＮを構築する技術は本発明の特徴である。

　呼制御サーバ２０２は、特定の相手先を呼び出して通信経路を確立するための通信装置間の呼制御に関するサービスを行う中継サーバである。呼制御サーバ２０２は、登録された各ユーザまたは端末の識別情報を保持しており、例えばＩＰ電話の機能を有する通信システムの場合には、接続相手の電話番号に基づいて特定の相手先を呼び出すことができる。また、呼制御サーバ２０２は、信号やデータを中継する機能を有しており、発信側の装置から送出されたパケットを着信側の装置に転送したり、着信側の装置から送出されたパケットを発信側の装置に転送したりすることも可能である。

　なお、ＳＴＵＮサーバ２０１及び呼制御サーバ２０２は、ここでは別個のサーバによる構成例を示しているが、１つのサーバにこれらのアドレス情報サーバと中継サーバの２つのサーバの機能を搭載して構成してもよいし、ＷＡＮ上の他のいずれかのサーバに同様の機能を搭載して構成することも可能である。

　次に、本実施形態１のＶＰＮ装置の構成及び機能について説明する。なお、ＶＰＮ装置１０１とＶＰＮ装置３０１の構成及び機能は同様であり、ここではＶＰＮ装置１０１によって説明する。図２は本実施形態１のＶＰＮ装置のハードウェア構成の構成例を示すブロック図である。

　ＶＰＮ装置１０１は、マイクロコンピュータ（ＣＰＵ）１１１、フラッシュＲＡＭ等による不揮発性メモリ１１２、ＳＤ ＲＡＭ等によるメモリ１１３、ネットワークインタフェース１１４、ネットワークインタフェース１１５、ＬＡＮ側ネットワーク制御部１１６、ＷＡＮ側ネットワーク制御部１１７、通信中継部１１８、表示制御部１１９、表示部１２０を有して構成される。

　マイクロコンピュータ１１１は、所定のプログラムを実行することによりＶＰＮ装置１０１全体の制御を実施する。不揮発性メモリ１１２は、マイクロコンピュータ１１１が実行するプログラムを保持している。このプログラムの中には、ＶＰＮ装置１０１が外部アドレス・ポート情報を取得するための外部アドレス・ポート取得プログラムも含まれている。

　なお、マイクロコンピュータ１１１が実行するプログラムについては、任意の通信経路を経由してオンラインで外部のサーバから取得することもできるし、例えばメモリカードやＣＤ－ＲＯＭのような記録媒体から読み込んで取得することもできる。換言すれば、汎用のコンピュータ（マイクロコンピュータ１１１）にＶＰＮ装置の機能を実現するプログラムを記録媒体から読み込むことによってＶＰＮ装置、およびＶＰＮネットワーキング方法を実現することができる。
　なお、マイクロコンピュータ１１１がプログラムを実行する時には、不揮発性メモリ１１２上のプログラムの一部がメモリ１１３上に展開され、メモリ１１３上のプログラムが実行される場合もある。

　メモリ１１３は、ＶＰＮ装置１０１の運用中のデータ管理や、各種設定情報などを一時的に記憶するためのものである。設定情報としては、端末の外部アドレス・ポート取得要求の応答に含まれる外部アドレス・ポート情報等、通信に必要なあて先アドレス情報などが含まれる。

　ネットワークインタフェース１１４は、ＶＰＮ装置１０１と自装置が管理する配下の端末１０３とを通信可能な状態で接続するためのインタフェースである。ネットワークインタフェース１１５は、ＶＰＮ装置１０１とＬＡＮ１００とを通信可能な状態で接続するためのインタフェースである。ＬＡＮ側ネットワーク制御部１１６は、ＬＡＮ側のネットワークインタフェース１１４に関する通信制御を行うものである。ＷＡＮ側ネットワーク制御部１１７は、ＷＡＮ側のネットワークインタフェース１１５に関する通信制御を行うものである。

　通信中継部１１８は、ＬＡＮ側に接続された配下の端末１０３から外部のＶＰＮ接続先（ＶＰＮ装置３０１配下の端末３０３）へ送出するパケットデータと、反対に、外部のＶＰＮ接続先（ＶＰＮ装置３０１配下の端末３０３）から配下の端末１０３宛に到着したパケットデータをそれぞれ中継する。

　表示部１２０は、ＶＰＮ装置１０１としての動作状態の表示等を行う表示器により構成され、各種状態をユーザあるいは管理者に通知する。表示部１２０は、複数の発光ダイオード（ＬＥＤ）や液晶表示器（ＬＣＤ）等により構成される。表示制御部１１９は、表示部１２０の表示制御を行うもので、マイクロコンピュータ１１１からの表示信号に従って表示部１２０に表示する内容等を制御する。

　図３は本実施形態１のＶＰＮ装置の機能的な構成例を示すブロック図である。

　ＶＰＮ装置１０１は、機能構成として、システム制御部１３０、配下端末管理部１３１、メモリ部１３２、データ中継部１３３、設定用インタフェース部１３４、通信制御部１４０を有して構成される。メモリ部１３２は、外部アドレス・ポート情報記憶部１３５を有する。通信制御部１４０は、外部アドレス・ポート取得部１４１、ＶＰＮ機能部１４２、呼制御機能部１４３を有する。ＶＰＮ機能部１４２は、暗号処理部１４５を有する。これらの各機能は、図２に示した各ブロックのハードウェアの動作、またはマイクロコンピュータ１１１が所定のプログラムを実行することにより実現する。

　なお、ＶＰＮ装置１０１のＬＡＮ側のネットワークインタフェース１１４は、配下の端末１０３と接続され、ＷＡＮ側のネットワークインタフェース１１５は、ＬＡＮ１００及びルータ１０２を経由してＷＡＮ２００と接続される。

　システム制御部１３０は、ＶＰＮ装置１０１の全体の制御を行う。配下端末管理部１３１は、ＶＰＮ装置１０１配下の端末１０３の管理を行う。メモリ部１３２は、外部アドレス・ポート情報記憶部１３５において、外部アドレス（ＷＡＮ２００上でのグローバルＩＰアドレス）とポート（ＩＰネットワークのポート番号）の情報を含む外部アドレス・ポート情報を記憶する。外部アドレス・ポート情報としては、接続元である配下の端末１０３に割り当てられたグローバルＩＰアドレス及びポート番号の情報や、接続先の端末３０３に割り当てられたグローバルＩＰアドレス及びポート番号の情報などを記憶する。

　データ中継部１３３は、接続元の端末１０３から接続先の端末３０３に向かって転送されるパケットや、逆に接続先の端末３０３から接続元の端末１０３に向かって転送されるパケットをそれぞれ中継する。設定用インタフェース部１３４は、ユーザあるいは管理者がＶＰＮ装置１０１に対する設定操作等の各種操作を行うためのユーザインタフェースである。このユーザインタフェースの具体例として、端末上で動作するブラウザによって表示するＷｅｂページなどが用いられる。

　通信制御部１４０の外部アドレス・ポート取得部１４１は、ＶＰＮ装置１０１の配下の端末１０３に割り当てられた外部アドレス・ポート情報をＳＴＵＮサーバ２０１から取得する。また、接続先の端末３０３の外部アドレス・ポート情報を含むパケットを呼制御サーバ２０２を経由して受信し、接続先の端末３０３に割り当てられた外部アドレス・ポート情報を取得する。この外部アドレス・ポート情報取得動作の詳細については後で説明する。外部アドレス・ポート取得部１４１が取得した情報は、メモリ部１３２の外部アドレス・ポート情報記憶部１３５に保持される。

　通信制御部１４０のＶＰＮ機能部１４２は、暗号処理部１４５において、ＶＰＮ通信のために必要な暗号処理を行う。すなわち、暗号処理部１４５は、送信するパケットをカプセリングして暗号化したり、受信したパケットをアンカプセリングして復号化して元のパケットを抽出する。この暗号処理動作については後で説明する。なお、ＶＰＮ通信は、図１に示したようなピア間通信ではなく、ＷＡＮ２００上に設けられるサーバでパケットの中継を行い、クライアント／サーバ方式でＶＰＮ通信を行うことも可能である。この場合には、サーバ側で暗号処理を行うようにしてもよい。

　呼制御機能部１４３は、目的の接続先に接続するための接続要求を呼制御サーバ２０２に送信したり、接続先からの接続応答を呼制御サーバ２０２を経由して受信するための処理を実施する。

　すなわち、通信制御部１４０は、自装置の外部アドレス・ポート情報を取得する外部アドレス・ポート取得部、自装置の外部アドレス・ポート情報を送信する自装置アドレス情報送信部、相手装置の外部アドレス・ポート情報を受信する相手装置アドレス情報受信部、通信データを暗号化する暗号処理部、通信データを送信するデータ送信部の各機能を実現する。また、通信制御部１４０は、ＶＰＮ通信の通信経路を維持する通信経路維持部の機能も有している。

　次に、本実施形態のＶＰＮ装置１０１によるＶＰＮ構築時の動作について説明する。図４は本実施形態１のＶＰＮシステムにおけるＶＰＮ構築時の処理手順を示すシーケンス図である。この図４では、ＶＰＮ装置を含むネットワークにおいて、ＶＰＮ装置１０１の配下の端末１０３からＷＡＮ２００を経由して他のＶＰＮ装置３０１の配下の端末３０３に接続しようとする場合の処理を示している。

　まず、図４に示す処理に先立ち、端末１０３は呼制御サーバ２０２にログインしてユーザ認証を受けるようにする。端末１０３がユーザ認証に成功した場合、呼制御サーバ２０２において、端末１０３の識別情報（ＭＡＣアドレス、ユーザＩＤ、電話番号など）やネットワーク上の位置情報（グローバルＩＰアドレス）等の登録、設定が行われる。以降、端末１０３と呼制御サーバ２０２との間で通信可能となる。

　この状態で、ＶＰＮ装置１０１は、ＶＰＮ通信を行うアプリケーションの起動に伴って外部アドレス・ポート取得部１４１の機能により、配下の端末１０３からのＶＰＮ接続の接続要求を受けると、ＳＴＵＮサーバ２０１との間で外部アドレス・ポート取得手順を行う（ＰＲ１）。このとき、ＶＰＮ装置１０１は、端末１０３に割り当てられた外部アドレス・ポート情報（ＷＡＮ２００側からみたグローバルＩＰアドレス及びポート番号）を取得するため、ＳＴＵＮサーバ２０１に対して、外部アドレス・ポート取得要求としてバインディングリクエスト（Binding Request 接続要求、RFC3489参照；以下同じ）パケットを送出する。一方、ＳＴＵＮサーバ２０１は、外部アドレス・ポート取得要求に対して応答し、ＶＰＮ装置１０１に外部アドレス・ポート情報返信として外部アドレス・ポート情報を含むバインディングレスポンス（Binding Response 接続応答、RFC3489参照；以下同じ）パケットを返送する。そして、ＶＰＮ装置１０１は、外部アドレス・ポート情報返信により得られた外部アドレス・ポート情報を記憶する。

　次に、ＶＰＮ装置１０１は、呼制御サーバ２０２に対して、接続先の端末３０３を配下に持つＶＰＮ装置３０１へのＰ２Ｐ（Peer to Peer）の通信経路を構築するための接続要求を行う（ＰＲ２）。このとき、ＶＰＮ装置１０１は、発呼側アドレス情報として、外部アドレス・ポート取得手順ＰＲ１で取得した端末１０３の外部アドレス・ポート情報（グローバルＩＰアドレス及びポート番号）を含む接続要求を呼制御サーバ２０２へ送信する。呼制御サーバ２０２は、この接続要求を中継してＶＰＮ接続の接続先となるＶＰＮ装置３０１へ送信する。この接続要求により、呼制御サーバ２０２は、ＶＰＮ装置１０１がＶＰＮ装置３０１へＰ２Ｐ経路構築のためのＶＰＮ接続をしたいという要求を接続先に通知する。

　接続先のＶＰＮ装置３０１は、呼制御サーバ２０２からの接続要求を受けると、ＳＴＵＮサーバ２０１との間で外部アドレス・ポート取得手順を行う（ＰＲ３）。このとき、ＶＰＮ装置３０１は、上記ＶＰＮ装置１０１と同様、端末３０３に割り当てられた外部アドレス・ポート情報（ＷＡＮ２００側からみたグローバルＩＰアドレス及びポート番号）を取得するため、ＳＴＵＮサーバ２０１に対して、外部アドレス・ポート取得要求としてバインディングリクエストパケットを送出する。一方、ＳＴＵＮサーバ２０１は、外部アドレス・ポート取得要求に対して応答し、ＶＰＮ装置３０１に外部アドレス・ポート情報返信として外部アドレス・ポート情報を含むバインディングレスポンスパケットを返送する。そして、ＶＰＮ装置３０１は、外部アドレス・ポート情報返信により得られた外部アドレス・ポート情報を記憶する。

　次に、ＶＰＮ装置３０１は、呼制御サーバ２０２に対して、接続要求に対する接続応答を行う（ＰＲ４）。このとき、ＶＰＮ装置３０１は、被呼側アドレス情報として、外部アドレス・ポート取得手順ＰＲ３で取得した端末３０３の外部アドレス・ポート情報（グローバルＩＰアドレス及びポート番号）を含む接続応答を呼制御サーバ２０２へ送信する。呼制御サーバ２０２は、この接続応答を中継してＶＰＮ接続の接続要求元となるＶＰＮ装置１０１へ送信する。この接続応答により、呼制御サーバ２０２は、接続要求に対するＶＰＮ装置３０１からＶＰＮ装置１０１への応答を接続要求元に通知する。

　この段階で、接続元のＶＰＮ装置１０１と接続先のＶＰＮ装置３０１とは、共に端末１０３，３０３の外部アドレス・ポート情報を取得している。したがって、ＶＰＮ装置１０１及びＶＰＮ装置３０１は、互いに相手のＶＰＮ装置の配下の端末３０３、１０３の外部アドレス・ポート情報（グローバルＩＰアドレス及びポート番号）を送信先に設定してＷＡＮ２００を経由してパケットを送信し、通信可能であること（ＶＰＮ接続）を確認し、暗号化したデータ通信（ＶＰＮ通信）を開始する（ＰＲ５）。

　図５は本実施形態１のＶＰＮ装置におけるＶＰＮ構築時の処理内容を示すフローチャートである。この図５は、図４のＶＰＮ構築時の処理に関する具体的な処理内容を示したものである。図５において、ステップＳ１１～Ｓ１６は接続元（発呼側）のＶＰＮ装置１０１が行う処理の内容を示し、ステップＳ２１～Ｓ２６は接続先（被呼側）のＶＰＮ装置３０１が行う処理の内容を示している。

　ＶＰＮの構築にあたってＶＰＮ接続するために、発呼側のＶＰＮ装置１０１は、まず、待受用の外部アドレス及びポートの情報として、端末１０３のグローバルＩＰアドレス及びポート番号を含む外部アドレス・ポート情報を取得する処理を行う（ＰＲ１、ステップＳ１１）。この外部アドレス情報取得処理の詳細は、図６を用いてさらに詳細に説明する。

　次に、ＶＰＮ装置１０１は、被呼側のＶＰＮ装置３０１に対する接続要求を送信する（ＰＲ２、ステップＳ１２）。この接続要求は、接続先の端末３０３を特定するための識別情報などを含むものである。また、接続要求には、ステップＳ１１で取得した端末１０３の外部アドレス・ポート情報を含めて送信する。この接続要求は、呼制御サーバ２０２を経由してＶＰＮ装置３０１に伝送される。

　被呼側のＶＰＮ装置３０１は、ＶＰＮ装置１０１からの接続要求を受信する（ステップＳ２１）。接続要求を受信すると、ＶＰＮ装置３０１は、この接続要求に含まれている接続元の端末１０３の外部アドレス・ポート情報を取り出し、この情報をメモリに記憶する（ステップＳ２２）。そして、ＶＰＮ装置３０１は、待受用の外部アドレス及びポートの情報として、ステップＳ１１と同様にして、端末３０３のグローバルＩＰアドレス及びポート番号を含む外部アドレス・ポート情報を取得する処理を行う（ステップＳ２３）。

　次に、ＶＰＮ装置３０１は、発呼側のＶＰＮ装置１０１から受信した接続要求に対する接続応答を送信する（ステップＳ２４）。この接続応答には、ステップＳ２３で取得した端末３０３の外部アドレス・ポート情報を含めて送信する。この接続応答は、呼制御サーバ２０２を経由してＶＰＮ装置１０１に伝送される。

　発呼側のＶＰＮ装置１０１は、接続応答を受信したかを判定して接続応答の待受けを行う（ステップＳ１３）。接続応答を受信すると、ＶＰＮ装置１０１は、この接続応答に含まれている接続先の端末３０３の外部アドレス・ポート情報を取り出し、この情報をメモリに記憶する（ステップＳ１４）。

　上記の処理により、データ通信開始処理ＰＲ５を実行する時点では、発呼側のＶＰＮ装置１０１と被呼側のＶＰＮ装置３０１は、共に端末１０３，３０３の外部アドレス・ポート情報と、発呼側のＶＰＮ装置１０１の外部アドレス・ポート情報とを取得している。

　データ通信開始後、発呼側のＶＰＮ装置１０１は、被呼側のＶＰＮ装置３０１が待ち受けている端末３０３のグローバルＩＰアドレス及びポート番号を宛先として、ＶＰＮ装置３０１に向けてＷＡＮ２００上にデータを送信する（ステップＳ１５）。一方、ＶＰＮ装置３０１は、端末３０３のグローバルＩＰアドレス及びポート番号によってデータの待ち受けを行い、発呼側のＶＰＮ装置１０１から送信されたデータを受信する（ステップＳ２５）。また、被呼側のＶＰＮ装置３０１は、発呼側のＶＰＮ装置１０１が待ち受けている端末１０３のグローバルＩＰアドレス及びポート番号を宛先として、ＶＰＮ装置１０１に向けてＷＡＮ２００上にデータを送信する（ステップＳ２６）。一方、ＶＰＮ装置１０１は、端末１０３のグローバルＩＰアドレス及びポート番号によってデータの待ち受けを行い、被呼側のＶＰＮ装置３０１から送信されたデータを受信する（ステップＳ１６）。なお、待ち受けから受信に至る本発明の特徴は、「ホールパンチング」として以後に詳細に説明する。

　ＶＰＮ装置１０１及びＶＰＮ装置３０１の双方でデータの送受信に成功すると、ＶＰＮ装置１０１とＶＰＮ装置３０１との間でＶＰＮ接続されたことが認識される。以降は、サーバを経由することなくＰ２Ｐで直接通信可能であり、ＶＰＮ装置１０１配下の端末１０３とＶＰＮ装置３０１配下の端末３０３との間で暗号化したＶＰＮ通信を行う。

　ＶＰＮ通信を終了する際は、ＶＰＮ装置１０１及びＶＰＮ装置３０１は当該ＶＰＮ通信に用いていたポートを閉じるようにする。これにより、該当するポートに対して外部からのアクセスが不能になるので、セキュリティホールを塞ぐことができる。ここで、各ポートはアプリケーションに対応しており、ＶＰＮ接続時にアプリケーションごとに割り当てたポート番号を指定して通信を行う。

　たとえば、端末１０３側でアプリケーションを終了した場合などは、端末１０３からＶＰＮ装置１０１へ一定時間パケットが送られて来ないから、ＶＰＮ装置１０１は端末１０３の通信が終了したものと判断してルータ１０２との通信を停止する。その結果、ＶＰＮ通信は終了すると共にルータ１０２のポートは閉じられる。こうして、必要なときに通信相手の端末との間でＶＰＮ通信を行い、通信を終了するとＶＰＮ通信を終了しセキュリティホールを塞ぐことができる。

　次に、上記ステップＳ１１で示した外部アドレス情報取得処理について説明する。図６は外部アドレス情報取得処理の処理内容を示すフローチャート、図７は外部アドレス・ポート取得要求に関する処理手順を示すシーケンス図である。また、図８は外部アドレス・ポート取得要求と外部アドレス・ポート情報返信のそれぞれのパケット構造を示す図である。図６では、外部アドレス情報取得処理におけるＶＰＮ装置とＳＴＵＮサーバの各々の動作を示している。

　ＶＰＮ装置１０１は、外部アドレス・ポート取得要求として、バインディングリクエストパケットをＳＴＵＮサーバ２０１に送信する（ステップＳ３１）。バインディングリクエストパケットは、図８の上側に示すように、この要求の識別ＩＤ（トランザクションＩＤ）が含まれる領域Ｄ１１と、データ長の情報（データLength）が含まれる領域Ｄ１２と、このパケットが「バインディングリクエスト」であることを示す符号（0x0001）が含まれる領域Ｄ１３とを有している。また、図８には示されていないが、実際のパケットのヘッダには、送信元や送信先を示すグローバルＩＰアドレス及びポート番号の情報が含まれている。

　ＳＴＵＮサーバ２０１は、待ち受け状態で外部アドレス・ポート取得要求を待機している（ステップＳ４１）。ここで、バインディングリクエストパケットを受信すると、ＳＴＵＮサーバ２０１は、ＷＡＮ側から見た端末１０３の外部アドレス・ポート情報（グローバルＩＰアドレス及びポート番号）を取得する（ステップＳ４２）。

　そして、ＳＴＵＮサーバ２０１は、外部アドレス・ポート取得要求のバインディングリクエストパケットに対する外部アドレス・ポート情報返信として、バインディングレスポンスパケットをＶＰＮ装置１０１に向けて送信する（ステップＳ４３）。バインディングレスポンスパケットは、図８の下側に示すように、このパケットが「バインディングレスポンス」であることを示す符号（0x0101）が含まれる領域Ｄ２１と、データ長の情報（データLength）が含まれる領域Ｄ２２と、この応答の識別ＩＤが含まれる領域Ｄ２３と、属性情報（MAPPED-ADDRESS）が含まれる領域Ｄ２４とを有している。属性情報の領域Ｄ２４には、識別子の領域Ｄ２４ａと、属性データ長の領域Ｄ２４ｂと、外部アドレス・ポート情報の領域Ｄ２４ｃとが含まれている。ＳＴＵＮサーバ２０１は、この外部アドレス・ポート情報の領域Ｄ２４ｃにおいて、ステップＳ４２で取得した端末１０３に割り当てられている外部アドレス（グローバルＩＰアドレス）とポート（ポート番号）の情報を装填して返信する。

　ＶＰＮ装置１０１は、外部アドレス・ポート取得要求の送信後、待ち受け状態で外部アドレス・ポート情報返信を待機する（ステップＳ３２）。ここで、バインディングレスポンスパケットを受信すると、ＶＰＮ装置１０１は、このバインディングレスポンスパケットに含まれる外部アドレス・ポート情報（グローバルＩＰアドレス及びポート番号）を取り出し、メモリに保存する（ステップＳ３３）。

　ここで、ＶＰＮ接続後のＶＰＮ通信において伝送されるパケットについて説明する。図９はＶＰＮ通信におけるパケット構造を示す図である。この図９では、発呼側の端末１０３からＶＰＮ装置１０１、ＷＡＮ２００、ＶＰＮ装置３０１を通って被呼側の端末３０３までパケットを伝送する場合の、パケットのカプセリング及びアンカプセリングについて示している。

　ＶＰＮ接続において、ＶＰＮ装置１０１、３０１内のＶＰＮ機能部１４２は、ＶＰＮ装置１０１とＶＰＮ装置３０１との間にＶＰＮのトンネルセッションを形成する。これにより、Ｐ２Ｐ接続によって送信元の端末１０３と送信先の端末３０３との間で通信の秘匿性を担保して安全にパケットを伝送できるようにする。このトンネルセッションの経路では、ＶＰＮ機能部１４２の暗号処理部１４５によりカプセリングされ暗号化されたパケットが伝送される。

　図９の最上段には、送信元の端末１０３（端末Ａ）上のＶＰＮ通信用のアプリケーションが通信相手の端末３０３（端末Ｄ）に送信するＩＰパケットによるパケットＰ１が示されている。このパケットＰ１には、送信元の端末Ａ及び送信先の端末ＤのＩＰアドレス情報Ｐ１ａと、端末Ａから端末Ｄへ送信する際のポート情報Ｐ１ｂと、伝送対象の実際のデータ部分Ｐ１ｃとが含まれている。

　ＶＰＮ装置１０１は、配下の端末１０３（端末Ａ）から送信されたパケットＰ１を受け取って中継する際に、ＶＰＮ機能部１４２において暗号化及びカプセリングを行い、パケットＰ２を生成して転送する。カプセル化されたパケットＰ２の中には、上記端末Ａから通信相手の端末Ｄへ送るパケットＰ１の他に、送信元のＶＰＮ装置１０１及び送信先のＶＰＮ装置３０１のＩＰアドレス情報Ｐ２ａと、ＶＰＮ装置１０１からＶＰＮ装置３０１への送信に用いるポート情報Ｐ２ｂとが含まれている。この際、ＶＰＮ装置１０１はパケットＰ２をＵＤＰ（User Datagram Protocol）でカプセリングしてＶＰＮ装置３０１へ送信する。

　カプセル化されたパケットＰ２は、ＶＰＮ装置１０１から送出され、ＬＡＮ１００、ルータ１０２、ＷＡＮ２００、ルータ３０２、ＬＡＮ３００を経由してＶＰＮ装置３０１まで到達する。

　ＶＰＮ装置３０１が受け取るパケットＰ３は、ＶＰＮ装置１０１から送信されたパケットＰ２と同じものである。すなわち、カプセル化されたパケットＰ３の中には、ＶＰＮ装置１０１及びＶＰＮ装置３０１のＩＰアドレス情報Ｐ２ａと、ＶＰＮ装置１０１からＶＰＮ装置３０１への送信に用いるポート情報Ｐ２ｂと、端末Ａから通信相手の端末Ｄへ送るパケットＰ１とが含まれている。ＶＰＮ装置３０１は、パケットＰ３を受け取って中継する際に、カプセル化されたパケットＰ３から配下の端末３０３が受け取るべきパケットＰ１をアンカプセリングして取り出し、端末３０３に転送する。端末３０３（端末Ｄ）では、送信元の端末１０３（端末Ａ）から送信されたパケットＰ１と同じ内容のパケットＰ４を受け取ることができる。

　次に、ＬＡＮ１００、３００間のＵＤＰホールパンチングについて説明する。図１０はＵＤＰホールパンチングの動作に関する状態遷移を示す図である。

　ＷＡＮを介して複数のＬＡＮを接続するネットワークでは、通常、図１に示したようなＶＰＮシステムの構成のように、ＬＡＮ１００とＷＡＮ２００との境界、及びＷＡＮ２００とＬＡＮ３００との境界にそれぞれルータ１０２、３０２が設けられる。よって、通常の状態では、ＬＡＮ１００内の端末１０３とＬＡＮ３００内の端末３０３との間で直接パケットを伝送することはできない。ＵＤＰの場合、各ルータ１０２、３０２は、外部のＷＡＮ２００側からＬＡＮ１００、３００内部に向かう方向のパケットを遮断するためである。

　したがって、図１０の上段において、（１）のようにＬＡＮ１００からＷＡＮ２００へ出る方向のパケットは通るが、（２）のようにＷＡＮ２００からＬＡＮ３００へ入る方向のパケットは通らない。つまり、図１０の上段に示すように、ＬＡＮ１００側からルータ１０２、ＷＡＮ２００、ルータ３０２を介してＬＡＮ３００に向かってパケットを送信すると、このパケットはルータ３０２によって遮断され、ＬＡＮ３００内への侵入が阻止される。

　ただし、図１０の中段の（３）に示すように、一旦ＬＡＮ３００からＷＡＮ２００方向へパケットを送出する動作を行うと、その直後はルータ３０２における該当する送信元－送信先間のアドレス及びポートには一時的に穴が空いた状態になる。この場合、図１０の下段の（４）に示すように、外部のＷＡＮ２００側からＬＡＮ３００内へパケットが通過する。つまり、ＬＡＮ３００内からＬＡＮ１００へのパケット送出によって一時的に穴の空いているルータ３０２のポートを利用して、送信先のＬＡＮ１００側からのパケットをルータ１０２、ＷＡＮ２００を介して、ルータ３０２のＬＡＮ３００側に通すことができる。逆方向も同様である。

　このルータの機能を利用して、通信相手からのパケットを受け取るために、ＶＰＮ装置１０１、３０１は、事前に上記（３）のような自身のＬＡＮ側から通信相手へパケットを送出する動作を行えばよい。しかし、パケット送出によって外部に穴が空いた使用ポートは、所定時間が経過すると自動的に閉じられる。このため、ＷＡＮ側からＬＡＮ内への通信が可能なポートを維持するためには、上記（３）の動作を、例えば１０秒間程度の間隔で周期的に、あるいは断続的に行う必要がある。このようなＬＡＮからＷＡＮ方向へ事前にパケットを送出する動作、あるいはポート維持のために断続的にパケットを送出する動作は、ホールパンチングと呼ばれる。

　このホールパンチングに使用するポート情報は、ＶＰＮ装置１０１、３０１が前述の外部アドレス・ポート情報の取得処理によってＳＴＵＮサーバ２０１から受け取ることができる。自装置の外部アドレス・ポート情報を通信相手のＶＰＮ装置に通知してお互いに保持することで、通信相手に直接パケットを送信してホールパンチングを行い、通信相手からのパケットを受信することが可能になる。

　ＶＰＮ装置１０１、３０１は、ＶＰＮ接続を確立した後、伝送するデータが存在しない場合であっても、端末１０３，３０３側のアプリケーション終了をＶＰＮ装置１０１、３０１が判断するまでは、通信可能な状態を維持するために、上記ホールパンチング動作を繰り返す。例えば、１０秒程度の周期で通信相手と何らかのＵＤＰパケットの送受信を所定間隔で繰り返してＶＰＮ用の通信経路のポートを維持する。

　ＶＰＮ通信を終了する場合は、端末１０３，３０３側のアプリケーションが終了したことを、各ＶＰＮ装置１０１、３０１が判断（通信終了判断と略称する）してＵＤＰパケットの送受信を停止し、ホールパンチング動作を終了する。これにより、使用ポートが閉じられ、ＷＡＮ側からＬＡＮ側への不正な侵入が防止される。したがって、ＶＰＮ通信時以外はポートを遮断し、ＶＰＮ通信時はポートを開放することができ、セキュリティ性の高い通信が可能になる。

　なお、同時に複数のセッション／ポートを使用した通信の場合、例えばシグナリングと音声パケットとを並行して伝送するようなアプリケーションが通信を行う場合には、次のような処理を行う構成としても良い。すなわち、音声パケットのように伝送の遅延が小さいことが要求されるパケットのみを本実施形態によるＰ２Ｐの通信経路で伝送し、遅延が大きくても問題が生じにくいシグナリング用のパケットについては、ＷＡＮ上のサーバでデータを中継して伝送するような構成も可能である。

　上述した本実施形態１は、ソフトウェアによってＶＰＮを構築するソフトウェアＶＰＮに適用可能なものである。ソフトウェアＶＰＮは、ＶＰＮ機能をコンピュータや情報家電といった機器の内部に自由に組み込むことが可能で、ネットワークセグメント間の接続に限らず、より細かな単位での接続が可能となっている。すなわち、ソフトウェアＶＰＮは、ネットワークに接続された機器が持つ様々な通信アプリケーションと協調して動作することにより、場所単位ではなく、アプリケーション単位での接続を行うことができるものである。ソフトウェアＶＰＮでは、ＩＰｓｅｃやＳＳＬを使用したトンネリング技術を使用し、自装置と相手装置との間でＰ２Ｐの通信経路を確立して暗号化通信を行うことが可能である。

　例えば、ＬＡＮとＷＡＮとがＮＡＴルータを介して接続されている場合、ダイナミックに使用するＵＤＰポートでの開放の許可の有無、使用するポートの範囲などによる制限がある。このため、従来のＶＰＮ装置では、これらの条件を満たすような事前設定がＶＰＮ装置の設置時に必要不可欠であった。これに対し、本実施形態１では、ＳＴＵＮサーバによって自装置の外部アドレス・ポート情報を取得し、呼制御サーバを経由して相手装置と外部アドレス・ポート情報を交換することで、相手装置の外部アドレス・ポート情報を用いて互いに暗号化通信を行うことが可能になる。このため、事前に各種パラメータの設定作業を行う必要がなく、簡易かつ柔軟にＶＰＮを構築可能である。

　このように本実施形態１によれば、拠点毎のＶＰＮ装置において、従来のように所定の識別番号等を付与したり、適正なポートの使用や暗号の暗号化、復号化を行えるように装置の設置前に予め設定作業を行ったり、する必要がなくなる。また、常時、ＶＰＮ通信を行う拠点のＶＰＮ装置間でＶＰＮセッションを有効に起動しておく必要もない。したがって、例えばある企業のオフィスから別の企業のオフィスへ一時的にＶＰＮで接続しようとする場合であっても、事前に設定作業を行うことなく、必要なときに必要な期間だけ容易にＶＰＮ通信が可能である。

　また、本実施形態１では、必要に応じて相手装置との間でＶＰＮ接続を行って暗号化通信を開始し、通信終了時には使用ポートを閉じて通信経路を遮断することができる。これにより、通信のために開放したポートへの不正アクセスを防止でき、セキュリティホールを生じさせることがない。したがって、一時的なＶＰＮの利用が容易に実現可能であり、この際の安全性を高めることができる。ＶＰＮ通信においては、ＩＰｓｅｃやＳＳＬを使用してトンネリング及びカプセリングを行い、ＵＤＰでカプセリングして相手装置との間で伝送することで、ＷＡＮ上での情報の漏洩、盗聴、改竄などを防止でき、秘匿性を担保した通信が可能である。また、ＬＡＮ間のＶＰＮ接続によるＰ２Ｐの通信が可能であるので、中継サーバを設けたクライアント／サーバシステムの構成は必須ではなく、中継サーバの処理負荷の増加や中継時の遅延などを回避できる。

　なお、本発明は、本発明の趣旨ならびに範囲を逸脱することなく、明細書の記載、並びに周知の技術に基づいて、当業者が様々な変更、応用することも本発明の予定するところであり、保護を求める範囲に含まれる。たとえば、本発明はＷＡＮ２００上におけるＳＴＵＮサーバ２０１や呼制御サーバ２０２の存在が必須であるものと限定的に解釈されるものではない。自装置の外部アドレス・ポート情報を取得可能な手段・情報源はＳＴＵＮサーバ２０１に代替可能であり、たとえば、ハイブリッドＰ２Ｐや、ピュアＰ２Ｐや、ＤＨＴなどの技術が対応可能となる。また、ノードを順にたどって通信相手と通信経路を構築する技術は呼制御サーバ２０２に代替可能であり、たとえば、ＳＭＴＰやＤＮＳの技術が対応可能となる。

　さらにまた、ＶＰＮ装置１０１，３０１が通信するパケットはＵＤＰに限られると限定的に解釈されるものでもない。あるいは、ＶＰＮ装置１０１、３０１は必ずしもその配下に端末１０３，３０３を有する必要はなく、端末１０３，３０３に本発明のＶＰＮ装置のプログラムを読み込むことによって、端末自身がＶＰＮ装置と一体化して機能することも、本発明が保護を求める範囲に含まれる。

　（実施形態２）
　実施形態２では、ＶＰＮシステムの構成例を示す図とＶＰＮ装置のハードウェア構成の構成例を示すブロック図とＶＰＮ装置の機能的な構成例を示すブロック図は、それぞれ実施形態１で使用した図１－図３と同じである。

　次に、本実施形態２のＶＰＮ装置１０１によるＶＰＮ構築時の動作について説明する。図１１は本実施形態２のＶＰＮシステムにおけるＶＰＮ構築時の処理手順を示すシーケンス図である。この図１１では、ＶＰＮ装置を含むネットワークにおいて、ＶＰＮ装置１０１の配下の端末１０３からＷＡＮ２００を経由して他のＶＰＮ装置３０１の配下の端末３０３に接続しようとする場合の処理を示している。

　まず、図１１に示す処理に先立ち、ＶＰＮ装置１０１は呼制御サーバ２０２にログインしてユーザ認証を受けるようにする。ＶＰＮ装置１０１がユーザ認証に成功した場合、呼制御サーバ２０２において、ＶＰＮ装置１０１の識別情報（ＭＡＣアドレス、ユーザＩＤ、電話番号など）やネットワーク上の位置情報（グローバルＩＰアドレス）等の登録、設定が行われる。以降、ＶＰＮ装置１０１と呼制御サーバ２０２との間で通信可能となる。なお、ＶＰＮ装置１０１は発呼側であるが、被呼側であるＶＰＮ装置３０１についても同様に、呼制御サーバ２０２にログインしてユーザ認証を受け、呼制御サーバ２０２においてＶＰＮ装置３０１の識別情報等の登録、設定が行われる。

　この状態で、ＶＰＮ装置１０１は、ＶＰＮ通信を行うアプリケーションの起動に伴って外部アドレス・ポート取得部１４１の機能により、配下の端末１０３からのＶＰＮ接続の接続要求を受けると、呼制御サーバ２０２に対して、接続先の端末３０３を配下に持つＶＰＮ装置３０１へのＰ２Ｐ（Peer to Peer）の通信経路を構築するための接続要求を行う（ステップＳ１０１）。このとき、ＶＰＮ装置１０１は、発呼側及び被呼側の識別情報を含む接続要求を呼制御サーバ２０２へ送信する。呼制御サーバ２０２は、この接続要求を中継してＶＰＮ接続の接続先となるＶＰＮ装置３０１へ送信する（ステップＳ１０２）。この接続要求により、呼制御サーバ２０２は、ＶＰＮ装置１０１がＶＰＮ装置３０１へＰ２Ｐ経路構築のためのＶＰＮ接続をしたいという要求を接続先に通知する。

　ＶＰＮ装置１０１による接続要求と同時並行で、ＶＰＮ装置１０１は、ＳＴＵＮサーバ２０１との間で外部アドレス・ポート取得手順を行う（ステップＳ１０３）。このとき、ＶＰＮ装置１０１は、自装置に割り当てられた外部アドレス・ポート情報（ＷＡＮ２００側からみたグローバルＩＰアドレス及びポート番号）を取得するため、ＳＴＵＮサーバ２０１に対して、外部アドレス・ポート取得要求としてバインディングリクエスト（Binding Request 接続要求、RFC3489参照；以下同じ）パケットを送出する。一方、ＳＴＵＮサーバ２０１は、外部アドレス・ポート取得要求に対して応答し、ＶＰＮ装置１０１に外部アドレス・ポート情報返信として外部アドレス・ポート情報を含むバインディングレスポンス（Binding Response 接続応答、RFC3489参照；以下同じ）パケットを返送する。そして、ＶＰＮ装置１０１は、外部アドレス・ポート情報返信により得られた外部アドレス・ポート情報を記憶する。

　接続先のＶＰＮ装置３０１は、呼制御サーバ２０２からの接続要求を受けると、呼制御サーバ２０２に対して、接続要求に対する接続応答を行う（ステップＳ１０４）。このとき、ＶＰＮ装置３０１は、発呼側及び被呼側の識別情報を含む接続応答を呼制御サーバ２０２へ送信する。呼制御サーバ２０２は、この接続応答を中継してＶＰＮ接続の接続要求元となるＶＰＮ装置１０１へ送信する（ステップＳ１０５）。この接続応答により、呼制御サーバ２０２は、接続要求に対するＶＰＮ装置３０１からＶＰＮ装置１０１への応答を接続要求元に通知する。

　ＶＰＮ装置３０１による接続応答と同時並行で、ＶＰＮ装置３０１は、ＳＴＵＮサーバ２０１との間で外部アドレス・ポート取得手順を行う（ステップＳ１０６）。このとき、ＶＰＮ装置３０１は、上記ＶＰＮ装置１０１と同様、自装置に割り当てられた外部アドレス・ポート情報（ＷＡＮ２００側からみたグローバルＩＰアドレス及びポート番号）を取得するため、ＳＴＵＮサーバ２０１に対して、外部アドレス・ポート取得要求としてバインディングリクエストパケットを送出する。一方、ＳＴＵＮサーバ２０１は、外部アドレス・ポート取得要求に対して応答し、ＶＰＮ装置３０１に外部アドレス・ポート情報返信として外部アドレス・ポート情報を含むバインディングレスポンスパケットを返送する。そして、ＶＰＮ装置３０１は、外部アドレス・ポート情報返信により得られた外部アドレス・ポート情報を記憶する。

　ＶＰＮ装置１０１がＶＰＮ装置３０１から接続許可を含む接続応答を受信すると、ＶＰＮ装置１０１及びＶＰＮ装置３０１は、呼制御サーバ２０２を介して、互いに実データ（音声パケットや映像パケット等）の通信を行う（ステップＳ１０７）。つまり、Ｐ２Ｐの通信経路を確立する前に、実データの通信を開始している。

　次に、ＶＰＮ装置１０１及びＶＰＮ装置３０１は、呼制御サーバ２０２を介して、ＳＴＵＮサーバ２０１から取得した自装置の外部アドレス・ポート情報を互いに通知する（ステップＳ１０８）。そして、ＶＰＮ装置１０１及びＶＰＮ装置３０１は、互いに受信した相手の外部アドレス・ポート情報を用いて、ＶＰＮ装置１０１及びＶＰＮ装置３０１との間でＰ２Ｐ通信が可能な状態（Ｐ２Ｐ通信可能状態）であるか否かを判定する（ステップＳ１０９）。ここでは、互いに相手の外部アドレス・ポート情報（グローバルＩＰアドレス及びポート番号）を送信先に設定してＷＡＮ２００を経由してパケットを送信し、通信可能であるか否か（ＶＰＮ接続が可能か否か）を確認する。例えば、ＶＰＮ装置１０１がＶＰＮ装置３０１へパケットを送信し、この送信から所定期間内にＶＰＮ装置３０１からパケットを受信したことを示す応答を受信した場合には、Ｐ２Ｐ通信可能状態であると判定する。

　Ｐ２Ｐ通信可能状態である場合には、Ｐ２Ｐの通信経路が確立されているため、ＶＰＮ装置１０１及びＶＰＮ装置３０１は、Ｐ２Ｐ通信により、互いに暗号化した実データの通信を開始する（ステップＳ１１０）。

　次に、図１２は本実施形態２のＶＰＮシステムにおけるＶＰＮ構築時の別の処理手順を示すシーケンス図である。この図１２では、ＶＰＮ装置を含むネットワークにおいて、ＶＰＮ装置１０１の配下の端末１０３からＷＡＮ２００を経由して他のＶＰＮ装置３０１の配下の端末３０３に接続しようとする場合の処理を示している。

　まず、図１１の処理手順と同様に、ＶＰＮ装置１０１及び３０１は呼制御サーバ２０２にログインしてユーザ認証を受け、呼制御サーバ２０２において端末１０３及び端末３０３の識別情報等の登録、設定が行われる。

　この状態で、ＶＰＮ装置１０１は、ＶＰＮ通信を行うアプリケーションの起動に伴って外部アドレス・ポート取得部１４１の機能により、配下の端末１０３からのＶＰＮ接続の接続要求を受けると、ＶＰＮ装置１０１は、ＳＴＵＮサーバ２０１との間で外部アドレス・ポート取得手順を行う（ステップＳ２０１）。このとき、ＶＰＮ装置１０１は、自装置に割り当てられた外部アドレス・ポート情報を取得するため、ＳＴＵＮサーバ２０１に対して、外部アドレス・ポート取得要求としてバインディングリクエストパケットを送出する。一方、ＳＴＵＮサーバ２０１は、外部アドレス・ポート取得要求に対して応答し、ＶＰＮ装置１０１に外部アドレス・ポート情報返信として外部アドレス・ポート情報を含むバインディングレスポンスパケットを返送する。そして、ＶＰＮ装置１０１は、外部アドレス・ポート情報返信により得られた外部アドレス・ポート情報を記憶する。

　次に、呼制御サーバ２０２に対して、接続先の端末３０３を配下に持つＶＰＮ装置３０１へのＰ２Ｐの通信経路を構築するための接続要求を行う（ステップＳ２０２）。このとき、ＶＰＮ装置１０１は、発呼側及び被呼側の識別情報を含む接続要求を呼制御サーバ２０２へ送信する。呼制御サーバ２０２は、この接続要求を中継してＶＰＮ接続の接続先となるＶＰＮ装置３０１へ送信する（ステップＳ２０３）。この接続要求により、呼制御サーバ２０２は、ＶＰＮ装置１０１がＶＰＮ装置３０１へＰ２Ｐ経路構築のためのＶＰＮ接続をしたいという要求を接続先に通知する。

　また、ＶＰＮ装置１０１は、ＶＰＮ装置３０１へ接続要求を送信すると、呼制御サーバ２０２を介して実データを送信する。そして、この実データをＶＰＮ装置３０１が受信する（ステップＳ２０４及びステップＳ２０５）。

　接続先のＶＰＮ装置３０１は、呼制御サーバ２０２からの接続要求を受けると、ＳＴＵＮサーバ２０１との間で外部アドレス・ポート取得手順を行う（ステップＳ２０６）。このとき、ＶＰＮ装置３０１は、上記ＶＰＮ装置１０１と同様、自装置に割り当てられた外部アドレス・ポート情報を取得するため、ＳＴＵＮサーバ２０１に対して、外部アドレス・ポート取得要求としてバインディングリクエストパケットを送出する。一方、ＳＴＵＮサーバ２０１は、外部アドレス・ポート取得要求に対して応答し、ＶＰＮ装置３０１に外部アドレス・ポート情報返信として外部アドレス・ポート情報を含むバインディングレスポンスパケットを返送する。そして、ＶＰＮ装置３０１は、外部アドレス・ポート情報返信により得られた外部アドレス・ポート情報を記憶する。

　次に、ＶＰＮ装置３０１は、呼制御サーバ２０２に対して、接続要求に対する接続応答を行う（ステップＳ２０７）。このとき、ＶＰＮ装置３０１は、発呼側及び被呼側の識別情報を含む接続応答を呼制御サーバ２０２へ送信する。呼制御サーバ２０２は、この接続応答を中継してＶＰＮ接続の接続要求元となるＶＰＮ装置１０１へ送信する（ステップＳ２０８）。この接続応答により、呼制御サーバ２０２は、接続要求に対するＶＰＮ装置３０１からＶＰＮ装置１０１への応答を接続要求元に通知する。

　また、ＶＰＮ装置３０１は、ＶＰＮ装置１０１へ接続許可を含む接続応答を送信すると、ＶＰＮ装置１０１との間で呼制御サーバ２０２を介して実データの通信（送信、受信のいずれも可能）を行う（ステップＳ２０９及びステップＳ２１０）。ＶＰＮ装置１０１及びＶＰＮ装置３０１が互いにデータ通信を開始した後の処理は、図１１のステップＳ１０８～１１０の処理と同じである。

　このような図１１及び図１２の処理手順によれば、Ｐ２Ｐの通信経路を確立する前に呼制御サーバ２０２を介して実データの通信を行うため、Ｐ２Ｐ通信可能状態か否かを確認するために要する時間に起因するデータ通信の遅延を回避し、データ通信を高速化することができる。特に、図１２では接続要求とともに実データを送信することができるため、データ通信をより高速化することが可能である。

　次に、図１３は図１１のシーケンス図に対応するＶＰＮ構築時の処理手順を示すフローチャートである。この図１３では、ＶＰＮ装置を含むネットワークにおいて、ＶＰＮ装置１０１の配下の端末１０３からＷＡＮ２００を経由して他のＶＰＮ装置３０１の配下の端末３０３に接続しようとする場合の処理を示している。

　まず、図１１の処理手順と同様に、ＶＰＮ装置１０１及び３０１は呼制御サーバ２０２にログインしてユーザ認証を受け、呼制御サーバ２０２において端末１０３及び端末３０３の識別情報等の登録、設定が行われる。

　ＶＰＮ装置１０１は、呼制御サーバ２０２を介してＶＰＮ装置３０１へ接続要求を送信する（ステップＳ３０１）とともに、ＳＴＵＮサーバ２０１から自装置の外部アドレス・ポート情報を取得する（ステップＳ３０２）。ＶＰＮ装置３０１は、ＶＰＮ装置１０１からの接続要求を受信すると（ステップＳ３０３）、ＳＴＵＮサーバ２０１から自装置の外部アドレス・ポート情報を取得する（ステップＳ３０４）とともに、呼制御サーバ２０２を介してＶＰＮ装置１０１へ接続応答を送信する（ステップＳ３０５）。

　ＶＰＮ装置１０１は、ＶＰＮ装置３０１からの接続応答を受信したか否かを判定し（ステップＳ３０６）、受信していない場合には接続応答を受信するまで待機する。ＶＰＮ装置１０１が接続許可を含む接続応答を受信すると、ＶＰＮ装置１０１及びＶＰＮ装置３０１は、呼制御サーバ２０２を介して互いにデータ通信（実データの通信）を開始する（ステップＳ３０７及びステップＳ３０８）。

　上記のデータ通信を開始した後、ＶＰＮ装置１０１は、呼制御サーバ２０２を介して、ＳＴＵＮサーバ２０１から取得したＶＰＮ装置１０１の外部アドレス・ポート情報をＶＰＮ装置３０１へ送信する（ステップ３０９）。そして、ＶＰＮ装置３０１は、このＶＰＮ装置１０１の外部アドレス・ポート情報を発呼側アドレス情報として受信する（ステップＳ３１０）。同様に、ＶＰＮ装置３０１は、呼制御サーバ２０２を介して、ＳＴＵＮサーバ２０１から取得したＶＰＮ装置３０１の外部アドレス・ポート情報をＶＰＮ装置１０１へ送信する（ステップ３１１）。そして、ＶＰＮ装置１０１は、このＶＰＮ装置３０１の外部アドレス・ポート情報を被呼側アドレス情報として受信する（ステップＳ３１２）。

　次に、ＶＰＮ装置１０１及びＶＰＮ装置３０１は、互いに受信した相手の外部アドレス・ポート情報を用いて、Ｐ２Ｐ接続が可能であるか否かを確認する（ステップＳ３１３）。ここでは、先に説明したように、Ｐ２Ｐ通信可能状態であるか否かを確認する。

　Ｐ２Ｐ通信可能状態である場合には、ＶＰＮ装置１０１及びＶＰＮ装置３０１は、Ｐ２Ｐ通信を開始する。具体的には、ＶＰＮ装置１０１は、ＶＰＮ装置３０１の外部アドレス・ポート情報に基づいてＶＰＮ装置３０１へデータ送信（実データの送信）をＰ２Ｐ通信で行う（ステップＳ３１４）。そして、ＶＰＮ装置３０１は、ＶＰＮ装置１０１からのデータを受信する（ステップＳ３１５）。同様に、ＶＰＮ装置３０１は、ＶＰＮ装置１０１の外部アドレス・ポート情報に基づいてＶＰＮ装置１０１へデータ送信（実データの送信）をＰ２Ｐ通信で行う（ステップＳ３１６）。そして、ＶＰＮ装置１０１は、ＶＰＮ装置３０１からのデータを受信する（ステップＳ３１７）。

　次に、図１４は図１２のシーケンス図に対応するＶＰＮ構築時の別の処理手順を示すフローチャートである。この図１４では、ＶＰＮ装置を含むネットワークにおいて、ＶＰＮ装置１０１の配下の端末１０３からＷＡＮ２００を経由して他のＶＰＮ装置３０１の配下の端末３０３に接続しようとする場合の処理を示している。

　まず、図１２の処理手順と同様に、ＶＰＮ装置１０１及び３０１は呼制御サーバ２０２にログインしてユーザ認証を受け、呼制御サーバ２０２において端末１０３及び端末３０３の識別情報等の登録、設定が行われる。

　ＶＰＮ装置１０１は、ＳＴＵＮサーバ２０１から自装置の外部アドレス・ポート情報を取得する（ステップＳ４０１）。続いて、ＶＰＮ装置１０１は、呼制御サーバ２０２を介してＶＰＮ装置３０１へ接続要求を送信する（ステップＳ４０２）。また、ＶＰＮ装置１０１は、接続要求を送信するとともに、呼制御サーバ２０２を介してＶＰＮ装置３０１へのデータ送信（実データの送信）を開始する（ステップＳ４０３）。

　ＶＰＮ装置３０１は、ＶＰＮ装置１０１からの接続要求を受信すると（ステップＳ４０４）、呼制御サーバ２０２を介してＶＰＮ装置１０１からのデータ受信（実データの受信）を開始する（ステップＳ４０５）。続いて、ＶＰＮ装置３０１は、ＳＴＵＮサーバ２０２から自装置の外部アドレス・ポート情報を取得する（ステップＳ４０６）。

　続いて、ＶＰＮ装置３０１は、呼制御サーバ２０２を介してＶＰＮ装置１０１へ接続応答を送信する（ステップＳ４０７）。ＶＰＮ装置３０１は、接続許可を含む接続応答を送信すると、呼制御サーバ２０２を介して、ＶＰＮ装置１０１との間でデータ通信（実データの通信）を開始する（ステップＳ４１０）。

　ＶＰＮ装置１０１は、ＶＰＮ装置３０１からの接続応答を受信したか否かを判定し（ステップＳ４０８）、受信していない場合には接続応答を受信するまで待機する。ＶＰＮ装置１０１は、接続許可を含む接続応答を受信すると、呼制御サーバ２０２を介して、ＶＰＮ装置３０１との間でデータ通信（実データの通信）を開始する（ステップＳ４０９）。

　ＶＰＮ装置１０１及びＶＰＮ装置３０１が互いにデータ通信を開始した後の処理は、図１３のステップＳ３０９～３１７の処理と同じである。

　このような本実施形態１２のＶＰＮ装置１０１、３０１によれば、所定時間を要するＰ２Ｐ通信可能状態であるか否かの確認前に実データの少なくとも一部を送信開始することができるため、複数のＶＰＮ装置間でＰ２Ｐ通信を行うときの通信遅延の発生を回避することができ、データ通信を高速化することができる。

（実施形態２の変形例）
　先の説明ではＶＰＮ機能を有するＶＰＮ装置が独立した装置として配置され、その配下に端末が配置されることを示したが、ＶＰＮ装置（ここでは、ＶＰＮ機能を有する端末）のみが配置されるようにしてもよい。ここでは、図１に示したＶＰＮシステム及び図３に示したＶＰＮ装置と異なる点についてのみ説明する。

　図１５は本発明の実施形態２に係るＶＰＮシステムの変形構成例を示す図である。図１に示したＶＰＮシステムの構成と異なる点は、ＶＰＮ装置１０１及びその配下の端末１０３の代わりに、ＶＰＮ装置１０４を備え、同様に、ＶＰＮ装置３０１及びその配下の端末３０３の代わりに、ＶＰＮ装置３０４を備える点である。

　図１６は本実施形態のＶＰＮ装置１０４の機能的な構成例（変形構成例）を示すブロック図である。ここでは、図３に示したＶＰＮ装置１０１と異なる点についてのみ説明する。

　ＶＰＮ装置１０４は、機能構成として、配下端末と接続するネットワークインタフェース１１４、配下端末管理部１３１、データ中継部１３３を備えておらず、代わりに、ＶｏＩＰ（Voice Over Internet Protocol）アプリケーション機能部１３６、音声データ制御部１３７、データ入出力部１３８を備える。これらの各機能は、ハードウェアの動作、またはマイクロコンピュータ１１１が所定のプログラムを実行することにより実現する。

　ＶｏＩＰアプリケーション機能部１３６は、ＶｏＩＰアプリケーション機能を実現させる各種プログラムの実行を行う。音声データ制御部１３７は、上記各種プログラムの実行により、他の端末との間で送受信されたりデータ入出力部１３８により入出力されたりする音声データ等の制御を行う。データ入出力部１３８は、マイク、スピーカ、操作パネル等が有する機能であり、音声データ等の各種データの入出力を行う。

　なお、ここでは、ＶＰＮ装置１０４がＶｏＩＰによる音声通話機能を有する場合を想定したが、先に示した他のＶＰＮ通信の用途を想定した端末としてもよい。

　また、ＶＰＮ構築時の処理手順については、基本的に図１１～１４に示した処理手順と同様であるが、ＶＰＮ装置１０４は、ＶｏＩＰアプリケーション機能部１３６によるアプリケーション起動により自ら接続要求を行う。

　このような本実施形態のＶＰＮ装置１０４、３０４によれば、ＶＰＮ装置を独立して設けることなく、複数のＶＰＮ装置（ここでは、ＶＰＮ機能を有する端末）間でＰ２Ｐ通信を行うときの通信遅延の発生を回避することができ、データ通信を高速化することができる。

　（実施形態３）
　図１７は本発明の実施形態３に係るＶＰＮシステムの構成例を示す図である。本実施形態のＶＰＮシステムは、一つの拠点に設けられたローカルエリアネットワーク（ＬＡＮ、ローカルネットワーク）１００と、他の拠点に設けられたＬＡＮ３００とを、インターネット等の広域ネットワーク（ＷＡＮ、グローバルネットワーク）２００を介して通信経路を接続する。ＬＡＮとしては、有線ＬＡＮまたは無線ＬＡＮなどが用いられる。ＷＡＮとしては、インターネット等が用いられる。そして、ＬＡＮ１００の配下に接続された端末１０３、端末１０５、ＬＡＮ３００の配下に接続された端末３０３の間で、仮想プライベートネットワーク（ＶＰＮ）による秘匿性を担保した通信（以下、「ＶＰＮ通信」と称する）を可能にしている。具体的なＶＰＮ通信の用途（アプリケーションプログラム等）としては、ＩＰ電話（音声通話）、ネットミーティング（動画＆音声通信）、ネットワークカメラ（ビデオ伝送）などが想定される。

　ＬＡＮ１００とＷＡＮ２００との境界にはルータ１０２が配設され、ＷＡＮ２００とＬＡＮ３００との境界にはルータ３０２が配設されている。また、本実施形態では、ＶＰＮの構築を可能にするために、ＬＡＮ１００にはＶＰＮ装置１１０１及びＶＰＮ装置１１０４が接続され、ＬＡＮ３００にはＶＰＮ装置１３０１が接続されている。そして、ＶＰＮ装置１１０１には配下の端末１０３が接続され、ＶＰＮ装置１１０４には配下の端末１０５が接続され、ＶＰＮ装置１３０１には配下の端末３０３が接続されている。なお、各ＬＡＮ配下に接続されるＶＰＮ装置、端末の数はこれに限られず、例えばＬＡＮ３００配下に複数のＶＰＮ装置、端末が接続されてもよい。

　ＷＡＮ２００上には、ＶＰＮ装置１１０１又は１１０４とＶＰＮ装置３０１との間のＶＰＮによる接続（以下、「ＶＰＮ接続」と称する）を可能にするために、ＳＴＵＮサーバ（Stun Server:ＳＳ）２０１、呼制御サーバ（Negotiation Server：ＮＳ）２０２が接続されている。また、データ通信中継サーバ（Relay Server ：ＲＳ）２０３、特性情報サーバ（Addressing Server：ＡＳ）２０４もＷＡＮ２００に接続されている。

　ＳＴＵＮサーバ２０１は、ＳＴＵＮ（Simple Traversal of User Datagram Protocol (UDP) through Network Address Translators (NATs)）プロトコルを実行するために用いられるサーバである。呼制御サーバ２０２は、ＶＰＮ装置や端末等のピア間の発呼、着呼のために用いられるサーバである。データ通信中継サーバ２０３は、ＶＰＮ装置間のデータ通信を中継する機能を有する。特性情報サーバ２０４は、各端末の特性を記憶しており、ＶＰＮ装置からの取得要求に応じて、例えば取得要求を行ったＶＰＮ装置配下の端末の特性などの特性情報（Configuration file）を送信する。

　各機器がＷＡＮ２００を介して通信する場合、ＷＡＮ２００上では、伝送するパケットの送信元や送信先を特定するためのアドレス情報として、ＷＡＮにおいて特定可能なグローバルな（外部）アドレス情報が用いられる。一般にはＩＰネットワークが用いられるため、グローバルＩＰアドレス及びポート番号が用いられる。しかし、各ＬＡＮ１００、３００内の通信においては、送信元や送信先を特定するためのアドレス情報として、ＬＡＮ内のみで特定可能なローカルな（内部）アドレス情報が用いられる。一般にはＩＰネットワークが用いられるため、ローカルＩＰアドレス及びポート番号が用いられる。したがって、各ＬＡＮ１００、３００とＷＡＮ２００との間の通信を可能にするために、ローカルなアドレス情報とグローバルなアドレス情報との相互変換を行うＮＡＴ（Network Address Translation）機能が各ルータ１０２、３０２に搭載されている。すなわち、アドレス変換機能とは、ＩＰネットワーク層のＩＰアドレスと、トランスポート層のポートとを含めた、いわゆるＮＡＰＴ（Network Address Port Translation）に相当する相互変換を行う。以下本発明の説明において、ＮＡＴ機能とは狭義のＮＡＰＴ機能を含めた広義のＮＡＴ機能を指すものとする。

　ただし、ＬＡＮ１００、３００の配下の各端末においては、外部からアクセス可能なグローバルなアドレス情報を自身で持っていない。また、特別な設定を行わない限り、ＬＡＮ１００配下の端末１０３又は１０５が他のＬＡＮ３００配下の端末３０３と直接通信を行うことはできない。また、各ルータ１０２、３０２のＮＡＴ機能のため、普通の状態ではＷＡＮ２００側から各ＬＡＮ１００、３００内の各端末にアクセスすることもできない。

　このような状況であっても、本実施形態では、各拠点のＬＡＮにＶＰＮ装置１１０１、１１０４、１３０１を設けることにより、図１７において示すネットワークを介したＰ２Ｐ通信の経路のように、ＬＡＮ間をＶＰＮ接続して端末１０３又は１０５と端末３０３との間で仮想的な閉じられた通信経路を通じて直接通信することが可能になる。本実施形態のＶＰＮ装置の構成、機能、及び動作について以下に順を追って説明する。

　ＳＴＵＮサーバ２０１は、ＳＴＵＮプロトコルの実行に関するサービスを行うもので、いわゆるＮＡＴ越えの通信を行うために必要な情報を提供するアドレス情報サーバである。ＳＴＵＮは、音声、映像、文章などの双方向リアルタイムＩＰ通信を行うアプリケーションにおいて、ＮＡＴ通過の方法の１つとして使われる標準化されたクライアントサーバ型のインターネットプロトコルである。ＳＴＵＮサーバ２０１は、アクセス元からの要求に応じて、外部からアクセス可能な当該アクセス元のグローバルなアドレス情報として、外部ネットワークから見える外部アドレスとポートの情報を含む外部アドレス・ポート情報を返信する。外部アドレス・ポート情報としては、ＩＰネットワークにおいてはグローバルＩＰアドレス及びポート番号が用いられる。

　各ＶＰＮ装置１１０１、１１０４、１３０１は、ＳＴＵＮサーバ２０１との間で所定のテスト手順の通信を実行し、ＳＴＵＮサーバ２０１からそれぞれ端末１０３、１０５、３０３のグローバルＩＰアドレス及びポート番号が含まれる応答パケットを受信する。これにより、各ＶＰＮ装置１１０１、１１０４、１３０１はそれぞれ端末１０３、１０５、３０３のグローバルＩＰアドレス及びポート番号を取得することができる。また、自装置の位置するＬＡＮとＷＡＮとの間にルータが複数存在する場合等であっても、これらのルータ等がＵＰｎＰ（Universal Plug and Play）の機能を有していない場合であっても、確実にグローバルＩＰアドレス及びポート番号を取得できるという効果もある。

　なお、ＶＰＮ装置１１０１、１１０４、１３０１がグローバルＩＰアドレス及びポート番号を取得するための方法に関しては、ＩＥＴＦのＲＦＣ ３４８９（STUN - Simple Traversal of User Datagram Protocol (UDP) Through Network Address Translators (NATs)）にて記載された手法を利用することもできる。しかし、ＳＴＵＮによる手法はグローバルＩＰアドレス及びポート番号を取得するところまでが可能なのであって、本実施形態では、通信に先立って予め各種パラメータの設定作業を行うこともなく、簡易かつ柔軟にＶＰＮを構築することができる。

　呼制御サーバ２０２は、特定の相手先を呼び出して通信経路を確立するための通信装置間の呼制御に関するサービスを行う中継サーバである。呼制御サーバ２０２は、登録されたＶＰＮ装置または端末の識別情報を保持しており、例えばＩＰ電話の機能を有する通信システムの場合には、接続相手の電話番号に基づいて特定の相手先を呼び出すことも考えられる。また、呼制御サーバ２０２は、信号やデータを中継する機能を有しており、発信側の装置から送出されたパケットを着信側の装置に転送したり、着信側の装置から送出されたパケットを発信側の装置に転送したりすることも可能である。また、呼制御サーバ２０２は、各端末がデータ通信中継サーバ２０３へアクセス可能となるように、データ通信中継サーバ２０３のグローバルＩＰアドレス及びポート番号の情報を通知することもできる。

　なお、ＳＴＵＮサーバ２０１及び呼制御サーバ２０２は、ここでは別個のサーバによる構成例を示しているが、１つのサーバで構成してもよいし、ＷＡＮ上の他のいずれかのサーバに同様の機能を搭載して構成することも可能である。

　データ通信中継サーバ２０３は、ＶＰＮ装置間のデータ通信を中継する機能を有している。データ通信中継サーバ２０３はＷＡＮ２００上に複数配置されてもよく、同時に複数のデータ通信の中継を行うことができる。

　特性情報サーバ２０４は、ＶＰＮ装置からの取得要求に応じて、特性情報（Configuration file）を送信する。特性情報としては、例えば各端末の設定情報や動作情報が含まれる。また、各端末がデータ通信中継サーバ２０３へアクセス可能となるように、データ通信中継サーバ２０３のグローバルＩＰアドレス情報及びポート番号の情報が含まれてもよい。

　次に、複数のＶＰＮ装置間で通信を行うときの通信経路について説明する。本実施形態では、以下の４つの通信経路（第１～第４の通信経路）を想定している。図１７では、太実線又は太破線により、第１～第４の通信経路を示している。

　まず、第１の通信経路は、呼制御サーバ２０２を介した通信経路である。呼制御サーバ２０２は、ＶＰＮ装置間で通信を確立するための処理を行うため、第１の通信経路は、例えば、通信開始から所定期間、初期段階の通信経路として利用される。

　また、第２の通信経路は、データ通信中継サーバ２０３を介した通信経路である。第２の通信経路は、例えば、通信開始から所定期間経過後から利用される。これにより、データ通信中継サーバ２０３は呼制御サーバ２０２よりも処理負荷が軽いため、呼制御サーバ２０２を介した通信よりも高速にＶＰＮ装置間の通信を中継することができる。

　また、第３の通信経路は、ＷＡＮ２００を介して２つのＬＡＮ１００、３００の経路を経路接続してＶＰＮシステムを構築し、ネットワークを介して直接通信を行う通信経路（以下、ネットワークを介したＰ２Ｐ通信経路ともいう）である。第３の通信経路は、例えば、異なるＬＡＮ１００、３００に接続される端末１０３と端末３０３との間で通信を行う場合であって、Ｐ２Ｐ通信が可能なときに利用される。

　また、第４の通信経路は、同一のＬＡＮ１００に接続された端末同士で通信を行うときに、外部ネットワークを介さずに直接通信を行う通信経路（以下、ローカルＰ２Ｐ通信経路ともいう）である。第４の通信経路は、例えば、同一のＬＡＮ１００に接続されるＶＰＮ装置１１０１の配下の端末１０３とＶＰＮ装置１１０４の配下の端末１０５との間で通信を行うときに利用される。

　図１８は、同一ＬＡＮに接続されたＶＰＮ装置同士で行われる通信（ローカルＰ２Ｐ通信）の一例を示す図である。ここでは、ＶＰＮ装置１１０１とＶＰＮ装置１１０４との間で通信を行うことを想定している。

　初期段階では、ＶＰＮ装置１１０１及びＶＰＮ装置１１０４は、互いに同一ＬＡＮ１００内に配置されていることを認識していない。そのため、ＶＰＮ装置１１０１及びＶＰＮ装置１１０４は、外部アドレス・ポート情報を用いて、ＷＡＮ２００へパケットを送信しようとする。ここで、ルータ１０２は、ＶＰＮ装置１１０１及びＶＰＮ装置１１０４からの通信データを参照し、送信先のアドレス（例えばグローバルＩＰアドレス）がルータ１０２配下の端末であることを認識した場合には、外部ネットワーク（ここではＷＡＮ２００）に通信データを送出せずに、送信先であるＶＰＮ装置１１０４及びＶＰＮ装置１１０１へ送る。この動作をヘアピニング動作とも呼ぶ。

　また、ＶＰＮ装置１１０１及びＶＰＮ装置１１０４が、相手装置が同一ＬＡＮ１００内に存在することを認識した場合には、相手装置のプライベートＩＰアドレス及びポート番号の情報を用いて、ルータ１０２を介さずに、ＶＰＮ装置１１０１及びＶＰＮ装置１１０４の間で直接通信してもよい。このようにルータ１０２を介さずに直接通信を行うことで、中継回数が一回減少し、ネットワーク負荷が軽減し、高速化が実現できる。また、ルータ１０２の機種によっては、ヘアピニング動作を行うことができない機種もあるが、ルータ１０２の機種によらずローカルＰ２Ｐ通信が可能となる。

　さらに、図１９は、同一ＬＡＮ内に多段にルータが配設された環境の一例を示す図である。図１９に示す例では、ＬＡＮ＿ＡにＬＡＮ＿Ｂが含まれる構成となっている。ＬＡＮ＿ＡにはルータＡが接続されており、ＬＡＮ＿ＢにはルータＢが接続されている。ルータＢの配下には、ＶＰＮ装置Ａ及びＶＰＮ装置Ｂが配置されている。また、ＬＡＮ＿Ｂのエリア外であってルータＡの配下には、ＶＰＮ装置Ｃが配置されている。ここでは、ＶＰＮ装置ＡとＶＰＮ装置Ｃとの間で通信を行うことを想定している。

　初期段階では、ＶＰＮ装置Ａ及びＶＰＮ装置Ｃは、互いに同一ＬＡＮ＿Ａ内に配置されていることを認識していない。そのため、ＶＰＮ装置Ａ及びＶＰＮ装置Ｃは、外部アドレス・ポート情報を用いて、ＷＡＮ２００へパケットを送信しようとする。ここで、ＶＰＮ装置Ａは送信先のアドレス（例えばグローバルＩＰアドレス）がルータＡ配下の端末であることを認識した場合には、外部ネットワーク（ここではＷＡＮ２００）に通信データを送出せずに、送信先であるＶＰＮ装置ＣのローカルＩＰアドレスへ送る。ＶＰＮ装置Ｃは、受け取ったデータの送信元へ送り返すことで、このように、ルータが多段に接続されている環境であっても、同一ＬＡＮ内において直接Ｐ２Ｐ動作を行うことが可能である。

　次に、本実施形態のＶＰＮ装置の構成及び機能について説明する。なお、ＶＰＮ装置１１０１、１１０４、１３０１の構成及び機能は同様であり、ここではＶＰＮ装置１１０１によって説明する。図２０は本実施形態のＶＰＮ装置のハードウェア構成の構成例を示すブロック図である。

　ＶＰＮ装置１１０１は、マイクロコンピュータ（ＣＰＵ）１１１１、フラッシュＲＡＭ等による不揮発性メモリ１１１２、ＳＤ ＲＡＭ等によるメモリ１１１３、ネットワークインタフェース１１１４、ネットワークインタフェース１１１５、ＬＡＮ側ネットワーク制御部１１１６、ＷＡＮ側ネットワーク制御部１１１７、通信中継部１１１８、表示制御部１１１９、表示部１１２０を有して構成される。

　マイクロコンピュータ１１１１は、所定のプログラムを実行することによりＶＰＮ装置１０１全体の制御を実施する。不揮発性メモリ１１１２は、マイクロコンピュータ１１１１が実行するプログラムを保持している。このプログラムの中には、ＶＰＮ装置１０１が外部アドレス・ポート情報やプライベートＩＰアドレスの情報を取得するためのアドレス・ポート取得プログラムも含まれている。

　なお、マイクロコンピュータ１１１１が実行するプログラムについては、任意の通信経路を経由してオンラインで外部のサーバから取得することもできるし、例えばメモリカードやＣＤ－ＲＯＭのような記録媒体から読み込んで取得することもできる。換言すれば、汎用のコンピュータ（マイクロコンピュータ１１１１）にＶＰＮ装置の機能を実現するプログラムを記録媒体から読み込むことによってＶＰＮ装置、およびＶＰＮネットワーキング方法を実現することができる。

　なお、マイクロコンピュータ１１１１がプログラムを実行する時には、不揮発性メモリ１１１２上のプログラムの一部がメモリ１１１３上に展開され、メモリ１１１３上のプログラムが実行される場合もある。

　メモリ１１１３は、ＶＰＮ装置１１０１の運用中のデータ管理や、各種設定情報などを一時的に記憶するためのものである。設定情報としては、端末の外部アドレス・ポート取得要求の応答に含まれる外部アドレス・ポート情報等、通信に必要なあて先アドレス情報などが含まれる。また、自端末のプライベートＩＰアドレスの情報が含まれてもよい。

　ネットワークインタフェース１１１４は、ＶＰＮ装置１１０１と自装置が管理する配下の端末１０３とを通信可能な状態で接続するためのインタフェースである。ネットワークインタフェース１１１５は、ＶＰＮ装置１１０１とＬＡＮ１００とを通信可能な状態で接続するためのインタフェースである。ＬＡＮ側ネットワーク制御部１１１６は、ＬＡＮ側のネットワークインタフェース１１１４に関する通信制御を行うものである。ＷＡＮ側ネットワーク制御部１１１７は、ＷＡＮ側のネットワークインタフェース１１１５に関する通信制御を行うものである。

　通信中継部１１１８は、ＬＡＮ側に接続された配下の端末１０３から外部のＶＰＮ接続先（ＶＰＮ装置１３０１配下の端末３０３）や同一ＬＡＮ内のＶＰＮ接続先（ＶＰＮ装置１１０４配下の端末１０５）へ送出するパケットデータと、反対に、外部のＶＰＮ接続先（ＶＰＮ装置１３０１配下の端末３０３）や同一ＬＡＮ内のＶＰＮ接続先（ＶＰＮ装置１１０４配下の端末１０５）から配下の端末１０３宛に到着したパケットデータをそれぞれ中継する。

　表示部１１２０は、ＶＰＮ装置１１０１としての動作状態の表示等を行う表示器により構成され、各種状態をユーザあるいは管理者に通知する。表示部１１２０は、複数の発光ダイオード（ＬＥＤ）や液晶表示器（ＬＣＤ）等により構成される。表示制御部１１１９は、表示部１１２０の表示制御を行うもので、マイクロコンピュータ１１１１からの表示信号に従って表示部１１２０に表示する内容等を制御する。

　図２１は本実施形態のＶＰＮ装置の機能的な構成例を示すブロック図である。

　ＶＰＮ装置１１０１は、機能構成として、システム制御部１１３０、配下端末管理部１１３１、メモリ部１１３２、データ中継部１１３３、設定用インタフェース部１１３４、通信制御部１１４０を有して構成される。メモリ部１１３２は、外部アドレス・ポート情報記憶部１１３５、通信経路情報記憶部１１３６を有する。通信制御部１１４０は、外部アドレス・ポート取得部１１４１、ＶＰＮ機能部１１４２、呼制御機能部１１４３を有する。ＶＰＮ機能部１１４２は、暗号処理部１１４５を有する。これらの各機能は、図２０に示した各ブロックのハードウェアの動作、またはマイクロコンピュータ１１１１が所定のプログラムを実行することにより実現する。

　なお、ＶＰＮ装置１１０１のＬＡＮ側のネットワークインタフェース１１１４は、配下の端末１０３と接続され、ＷＡＮ側のネットワークインタフェース１１１５は、ＬＡＮ１００及びルータ１０２を経由してＷＡＮ２００と接続される。

　システム制御部１１３０は、ＶＰＮ装置１１０１の全体の制御を行う。配下端末管理部１１３１は、ＶＰＮ装置１１０１配下の端末１０３の管理を行う。メモリ部１１３２は、外部アドレス・ポート情報記憶部１１３５において、外部アドレス（ＷＡＮ２００上でのグローバルＩＰアドレス）とポート（ＩＰネットワークのポート番号）の情報を含む外部アドレス・ポート情報やプライベートＩＰアドレスの情報を記憶する。外部アドレス・ポート情報及びプライベートＩＰアドレスの情報としては、接続元である配下の端末１０３に割り当てられたグローバルＩＰアドレス及びポート番号やプライベートＩＰアドレスの情報、接続先の端末３０３又は１０５に割り当てられたグローバルＩＰアドレス及びポート番号の情報、接続先の端末１０５に割り当てられたプライベートＩＰアドレスの情報などを記憶する。

　また、メモリ部１１３２は、通信経路情報記憶部１１３６において、ＶＰＮ装置１１０１とＶＰＮ装置１３０１又は１１０４とを通信可能に接続する複数の通信経路（例えば第１～第４の通信経路）の情報と、各通信経路の評価情報と、を含む情報を記憶する。図２２は、通信経路情報記憶部１１３６が記憶する情報（通信経路情報）の一例を示す図である。通信経路情報記憶部１１３６は、通信経路情報として、通信経路毎に、優先度、経路種別、接続速度、通信速度、接続コスト、接続安定度、などの情報を有する。このうち、優先度、接続速度、通信速度、接続コスト、接続安定度などが評価情報の一例である。なお、図６に示す例では、最適、適、不適、最不適の４段階の指標が記憶されているが、これに限られず、具体的な数値を記憶していてもよい。例えば、ビットレート、ボーレート、エラーレート、再送頻度、通信を中継する中継器の数、通信料金、などを記憶していてもよい。また、ユーザの指示により、操作部等を介して通信経路情報を必要があるときに任意に設定できるようにしてもよい。

　データ中継部１１３３は、接続元の端末１０３から接続先の端末３０３又は１０５に向かって転送されるパケットや、逆に接続先の端末３０３又は１０５から接続元の端末１０３に向かって転送されるパケットをそれぞれ中継する。設定用インタフェース部１１３４は、ユーザあるいは管理者がＶＰＮ装置１１０１に対する設定操作等の各種操作を行うためのユーザインタフェースである。このユーザインタフェースの具体例として、端末上で動作するブラウザによって表示するＷｅｂページなどが用いられる。

　通信制御部１１４０の外部アドレス・ポート取得部１１４１は、ＶＰＮ装置１１０１の配下の端末１０３に割り当てられた外部アドレス・ポート情報をＳＴＵＮサーバ２０１から取得する。また、接続先の端末３０３又は１０５の外部アドレス・ポート情報を含むパケットを呼制御サーバ２０２を経由して受信し、接続先の端末３０３又は１０５に割り当てられた外部アドレス・ポート情報を取得する。また、接続先の端末１０５のプライベートＩＰアドレスの情報を含むパケットを例えば呼制御サーバ２０２を介して取得する。外部アドレス・ポート取得部１１４１が取得した情報は、メモリ部１１３２の外部アドレス・ポート情報記憶部１１３５に保持される。

　通信制御部１１４０のＶＰＮ機能部１１４２は、暗号処理部１１４５において、ＶＰＮ通信のために必要な暗号処理を行う。すなわち、暗号処理部１１４５は、送信するパケットをカプセリングして暗号化したり、受信したパケットをアンカプセリングして復号化して元のパケットを抽出したりする。なお、ＶＰＮ装置１１０１は、先に説明した第３～第４の通信経路によるＰ２Ｐ通信だけでなく、呼制御サーバ２０２又はデータ通信中継サーバ２０３でパケットの中継を行う第１～第２の通信経路によるクライアント／サーバ方式の通信を行うことも可能である。後者の場合には、サーバ側で暗号処理を行うようにしてもよい。

　呼制御機能部１１４３は、目的の接続先に接続するための接続要求を呼制御サーバ２０２に送信したり、接続先からの接続応答を呼制御サーバ２０２を経由して受信したりするための処理を実施する。また、呼制御機能部１１４３は、第１～第４の通信経路のいずれかにより、ＶＰＮ装置１１０１とＶＰＮ装置１３０１又は１１０４とが接続可能な状態か否かを判定する。また、呼制御機能部１１４３は、接続可能な状態と判定した通信経路に関して、通信経路情報記憶部１１３６に記憶された通信経路情報の評価情報を参照し、使用すべき特定の通信経路を設定する。例えば、第１～第４の全ての通信経路が接続可能な状態にある場合には、第４の通信経路であるローカルＰ２Ｐ通信経路を使用すべき通信経路に設定する。また、ネットワークを介したＰ２Ｐ通信やローカルＰ２Ｐ通信による接続が不可能な状態である場合には、第２の通信経路であるデータ通信中継サーバ２０３を介した通信経路を使用すべき通信経路に設定する。

　次に、本実施形態のＶＰＮ装置１１０１によるＶＰＮ構築時の動作について説明する。図２３は本実施形態のＶＰＮシステムにおけるＶＰＮ構築時の処理手順を示すシーケンス図である。この図２３では、ＶＰＮ装置を含むネットワークにおいて、ＶＰＮ装置１１０１の配下の端末１０３と他のＶＰＮ装置１３０１の配下の端末３０３又は他のＶＰＮ装置１１０４の配下の端末１０５に接続しようとする場合の処理を示している。ここでは、一例として、通信経路情報記憶部１１３６に記憶された通信経路情報に含まれる優先度の低い順に通信経路を確立する手順について説明するが、通信経路を確立する順序はこれに限られない。

　まず、図２３に示す処理に先立ち、ＶＰＮ装置１１０１は呼制御サーバ２０２にログインしてユーザ認証を受けるようにする。ＶＰＮ装置１１０１がユーザ認証に成功した場合、呼制御サーバ２０２において、ＶＰＮ装置１１０１の識別情報（ＭＡＣアドレス、ユーザＩＤ、電話番号など）やネットワーク上の位置情報（グローバルＩＰアドレス）等の登録、設定が行われる。以降、ＶＰＮ装置１１０１と呼制御サーバ２０２との間で通信可能となる。なお、ＶＰＮ装置１１０１は発呼側であるが、被呼側であるＶＰＮ装置１３０１又は１１０４についても同様に、呼制御サーバ２０２にログインしてユーザ認証を受け、呼制御サーバ２０２においてＶＰＮ装置１３０１又は１１０４の識別情報等の登録、設定が行われる。

　この状態で、ＶＰＮ装置１１０１は、ＶＰＮ通信を行うアプリケーションの起動に伴って外部アドレス・ポート取得部１１４１の機能により、配下の端末１０３からのＶＰＮ接続の接続要求を受けると、呼制御サーバ２０２に対して、接続先の端末３０３を配下に持つＶＰＮ装置１３０１又は接続先の端末１０５を配下に持つＶＰＮ装置１１０４へのネットワークを介したＰ２Ｐ通信経路を構築するための接続要求を行う（ステップＳ１１０１）。このとき、ＶＰＮ装置１１０１は、発呼側及び被呼側の識別情報を含む接続要求を呼制御サーバ２０２へ送信する。呼制御サーバ２０２は、この接続要求を中継してＶＰＮ接続の接続先となるＶＰＮ装置１３０１又は１１０４へ送信する（ステップＳ１１０２）。この接続要求により、呼制御サーバ２０２は、ＶＰＮ装置１１０１がＶＰＮ装置１３０１又は１１０４へネットワークを介したＰ２Ｐ経路構築のためのＶＰＮ接続をしたいという要求を接続先に通知する。

　ＶＰＮ装置１１０１による接続要求と同時並行で、ＶＰＮ装置１１０１は、ＳＴＵＮサーバ２０１との間で外部アドレス・ポート取得手順を行う（ステップＳ１０３）。このとき、ＶＰＮ装置１１０１は、端末１０３に割り当てられた外部アドレス・ポート情報（ＷＡＮ２００側からみたグローバルＩＰアドレス及びポート番号）を取得するため、ＳＴＵＮサーバ２０１に対して、外部アドレス・ポート取得要求としてバインディングリクエスト（Binding Request 接続要求、RFC3489参照；以下同じ）パケットを送出する。一方、ＳＴＵＮサーバ２０１は、外部アドレス・ポート取得要求に対して応答し、ＶＰＮ装置１１０１に外部アドレス・ポート情報返信として外部アドレス・ポート情報を含むバインディングレスポンス（Binding Response 接続応答、RFC3489参照；以下同じ）パケットを返送する。そして、ＶＰＮ装置１１０１は、外部アドレス・ポート情報返信により得られた外部アドレス・ポート情報を記憶する。

　接続先のＶＰＮ装置１３０１又は１１０４は、呼制御サーバ２０２からの接続要求を受けると、呼制御サーバ２０２に対して、接続要求に対する接続応答を行う（ステップＳ１１０４）。このとき、ＶＰＮ装置１３０１又は１１０４は、発呼側及び被呼側の識別情報を含む接続応答を呼制御サーバ２０２へ送信する。呼制御サーバ２０２は、この接続応答を中継してＶＰＮ接続の接続要求元となるＶＰＮ装置１１０１へ送信する（ステップＳ１１０５）。この接続応答により、呼制御サーバ２０２は、接続要求に対するＶＰＮ装置１３０１又は１１０４からＶＰＮ装置１１０１への応答を接続要求元に通知する。

　ＶＰＮ装置１３０１又は１１０４による接続応答と同時並行で、ＶＰＮ装置１３０１又は１１０４は、ＳＴＵＮサーバ２０１との間で外部アドレス・ポート取得手順を行う（ステップＳ１１０６）。このとき、ＶＰＮ装置１３０１又は１１０４は、上記ＶＰＮ装置１１０１と同様、端末３０３又は１０５に割り当てられた外部アドレス・ポート情報（ＷＡＮ２００側からみたグローバルＩＰアドレス及びポート番号）を取得するため、ＳＴＵＮサーバ２０１に対して、外部アドレス・ポート取得要求としてバインディングリクエストパケットを送出する。一方、ＳＴＵＮサーバ２０１は、外部アドレス・ポート取得要求に対して応答し、ＶＰＮ装置１３０１又は１１０４に外部アドレス・ポート情報返信として外部アドレス・ポート情報を含むバインディングレスポンスパケットを返送する。そして、ＶＰＮ装置１３０１又は１１０４は、外部アドレス・ポート情報返信により得られた外部アドレス・ポート情報を記憶する。

　ＶＰＮ装置１１０１がＶＰＮ装置１３０１又は１１０４から接続許可を含む接続応答を受信すると、ＶＰＮ装置１１０１及びＶＰＮ装置１３０１又は１１０４は、呼制御サーバ２０２を介して、互いに実データ（音声パケットや映像パケット等）の通信を行う（ステップＳ１１０７）。つまり、ネットワークを介したＰ２Ｐ通信経路を確立する前に、実データの通信を開始している。

　次に、ＶＰＮ装置１１０１及びＶＰＮ装置１３０１又は１１０４は、呼制御サーバ２０２を介して、ＳＴＵＮサーバ２０１から取得した端末１０３及び端末３０３又は１０５の外部アドレス・ポート情報を互いに通知する（ステップＳ１１０８）。

　次に、ＶＰＮ装置１１０１及びＶＰＮ装置１３０１又は１１０４は、呼制御サーバ２０２を介した実データの通信から、データ通信中継サーバ２０３を介した実データの通信に切り替える（ステップＳ１１０９）。データ通信中継サーバ２０３のグローバルＩＰアドレス及びポート番号の情報は、特性情報サーバ２０４からデータ通信中継サーバ２０３の各種情報（グローバルＩＰアドレス及びポート番号の情報を含む）を含む特性情報を取得することにより把握してもよい。また、呼制御サーバ２０２が、実データの通信をデータ通信中継サーバ２０３へ切り替える都度、データ通信中継サーバ２０３のポート番号の情報をＶＰＮ装置１１０１及びＶＰＮ装置１３０１又は１１０４へ通知するようにしてもよい。

　呼制御サーバ２０２からデータ通信中継サーバ２０３への切り替えと同時並行で、ＶＰＮ装置１１０１及びＶＰＮ装置１３０１又は１１０４は、互いに受信した端末１０３及び端末３０３又は１０５の外部アドレス・ポート情報を用いて、端末１０３及び端末３０３又は１０５との間で、ネットワークを介したＰ２Ｐ通信が可能な状態であるか否かを判定する（ステップＳ１１１０）。ここでは、互いに相手の外部アドレス・ポート情報（グローバルＩＰアドレス及びポート番号）を送信先に設定してＷＡＮ２００を経由してパケットを送信し、通信可能であるか否かを確認する。例えば、ＶＰＮ装置１１０１がＶＰＮ装置１３０１又は１１０４へパケットを送信し、この送信から所定期間内にＶＰＮ装置１３０１又は１１０４からパケットを受信したことを示す応答を受信した場合には、ネットワークを介したＰ２Ｐ通信が可能な状態であると判定する。

　例えば、ネットワークを介したＰ２Ｐ通信が可能か否かは、ルータ１０２及びルータ３０２が有するＮＡＴ機能の種別によって決定される。ＮＡＴ機能の種別としては、ＦＣ（Full Cone NAT）、ＡＲ（Address-Restricted cone NAT）、ＰＲ（Port-Restricted cone NAT）、ＳＹＮ（Symmetric NAT）の４種類がある。このうち、ルータ１０２及びルータ３０２の組み合わせが、両者ともＳＹＮの場合、もしくは、一方がＰＲかつ他方がＳＹＮの場合には、ネットワークを介したＰ２Ｐ通信が不可能となる。これらの組み合わせ以外であれば、端末１０３及び端末３０３又は１０５の間でネットワークを介したＰ２Ｐ通信が可能である。

　ネットワークを介したＰ２Ｐ通信が可能な状態である場合には、ネットワークを介したＰ２Ｐ通信経路が確立されているため、ＶＰＮ装置１０１及びＶＰＮ装置３０１又は１０４は、ネットワークを介したＰ２Ｐ通信により、互いに暗号化した実データの通信を開始する（ステップＳ１１１１）。

　さらに、ＶＰＮ装置１１０１及びＶＰＮ装置１３０１又は１１０４は、ローカルＰ２Ｐ通信が可能な状態であるか否かを判定する（ステップＳ１１１２）。

　このとき、まず、ＶＰＮ装置１０１は、接続先の端末３０３又は１０５の外部アドレス・ポート情報を参照し、端末３０３又は１０５のグローバルＩＰアドレスが端末１０３と同一であるか否かを判定する。グローバルＩＰアドレスが同一である場合には、端末１０３の接続先が同一ＬＡＮ内の接続先、つまりＶＰＮ装置１１０４の配下の端末１０５であると認識する。

　そして、端末１０５のプライベートＩＰアドレス及びポート番号の情報を用いて、ＶＰＮ装置１１０１がＶＰＮ装置１１０４へパケットを送信し、この送信から所定期間内にＶＰＮ装置１１０４からパケットを受信したことを示す応答を受信した場合には、ローカルＰ２Ｐ通信が可能な状態であると判定する。なお、ポート番号の情報については、外部アドレス・ポート情報を互いに通知した際に取得済みである。プライベートＩＰアドレスの情報については、ステップＳ１１０８において外部アドレス・ポート情報を互いに通知する際に併せて互いに通知してもよいし、いずれかの通信経路による通信（ステップＳ１１０７、１１０９、１１１１における通信）を行っているときに、実データとともに互いに通知してもよい。つまり、ローカルＰ２Ｐ通信を開始する前に、互いにプライベートＩＰアドレスの情報を通知しておく。

　ローカルＰ２Ｐ通信が可能な場合には、端末１０３及び端末１０５は、ネットワークを介したＰ２Ｐ通信からローカルＰ２Ｐ通信に切り替え、ローカルＰ２Ｐ通信を開始する（ステップＳ１１１３）。ローカルＰ２Ｐ通信を行うときには、端末１０３及び端末１０５のプライベートＩＰアドレス及びポート番号の情報を用いる。

　次に、図２４及び図２５は、図２３のシーケンス図に対応するＶＰＮ構築時の処理手順を示すフローチャートである。この図２４及び図２５では、ＶＰＮ装置を含むネットワークにおいて、ＶＰＮ装置１１０１の配下の端末１０３から他のＶＰＮ装置１３０１の配下の端末３０３又は他のＶＰＮ装置１１０４の配下の端末１０５に接続しようとする場合の処理を示している。

　まず、図２３の処理手順と同様に、ＶＰＮ装置１１０１及びＶＰＮ装置１３０１又は１１０４は呼制御サーバ２０２にログインしてユーザ認証を受け、呼制御サーバ２０２においてＶＰＮ装置１１０１及びＶＰＮ装置１３０１又は１１０４の識別情報等の登録、設定が行われる。

　ＶＰＮ装置１１０１は、呼制御サーバ２０２を介してＶＰＮ装置１３０１又は１１０４へ接続要求を送信する（ステップＳ１３０１）とともに、ＳＴＵＮサーバ２０１から端末１０３の外部アドレス・ポート情報を取得する（ステップＳ１３０２）。ＶＰＮ装置１３０１又は１１０４は、ＶＰＮ装置１１０１からの接続要求を受信すると（ステップＳ１３０３）、ＳＴＵＮサーバ２０１から端末３０３又は１０５の外部アドレス・ポート情報を取得する（ステップＳ１３０４）とともに、呼制御サーバ２０２を介してＶＰＮ装置１１０１へ接続応答を送信する（ステップＳ１３０５）。

　ＶＰＮ装置１１０１は、ＶＰＮ装置１３０１又は１１０４からの接続応答を受信したか否かを判定し（ステップＳ１３０６）、受信していない場合には接続応答を受信するまで待機する。ＶＰＮ装置１１０１が接続許可を含む接続応答を受信すると、ＶＰＮ装置１１０１及びＶＰＮ装置１３０１又は１１０４は、呼制御サーバ２０２を介して互いにデータ通信（実データの通信）を開始する（ステップＳ１３０７及びステップＳ１３０８）。

　呼制御サーバ２０２を介したデータ通信の開始後、ＶＰＮ装置１１０１及びＶＰＮ装置１３０１又は１１０４は、データ通信中継サーバ２０３への接続手順を実行する（ステップＳ１３０９及びＳ１３１０）。ここでは、呼制御サーバ２０２又は特性情報サーバ２０４からデータ通信中継サーバ２０３のグローバルＩＰアドレス及びポート番号の情報を取得する。そして、ＶＰＮ装置１１０１及びＶＰＮ装置１３０１又は１１０４は、取得したデータ通信中継サーバ２０３のグローバルＩＰアドレス及びポート番号を中継先に設定し、中継サーバ２０３を介して互いにデータ通信を開始する（ステップＳ１３１１及びＳ１３１２）。つまり、実データの通信が呼制御サーバ２０２経由からデータ通信中継サーバ２０３経由に切り替えられる。切り替え後は、呼制御サーバ２０２を介したデータ通信を終了する。

　データ通信中継サーバ２０３を介したデータ通信の開始後、ＶＰＮ装置１１０１及びＶＰＮ装置１３０１又は１１０４は、互いに受信した相手の外部アドレス・ポート情報を用いて、ネットワークを介したＰ２Ｐ通信の接続確認を行う（ステップＳ１３１３及びＳ１３１４）。ここでは、ネットワークを介したＰ２Ｐ通信が可能か否かの判定を行う。ネットワークを介したＰ２Ｐ通信が可能である場合には、端末１０３及び端末３０３又は１０５は、互いにネットワークを介したＰ２Ｐ通信を開始する（ステップＳ１３１５及びＳ１３１６）。

　続いて、データ通信中継サーバ２０３を介したデータ通信もしくはネットワークを介したＰ２Ｐ通信中に、ＶＰＮ装置１０１及びＶＰＮ装置３０１又は１０４は、通信相手のグローバルＩＰアドレスがそれぞれ端末１０３及び端末３０３又は１０５のグローバルＩＰアドレスと同一であるか否かを判定する（ステップＳ１３１７及びＳ１３１８）。互いのグローバルＩＰアドレスが異なる場合には、異なるＬＡＮ１００、３００にＶＰＮ装置１０１、３０１が配設されていることを示している。この場合には、端末１０３及び端末３０３は、現状の通信経路を利用したデータ通信（つまりデータ通信中継サーバ２０３を介した通信もしくはネットワークを介したＰ２Ｐ通信）を継続する（ステップＳ１３１９）。

　一方、互いのグローバルＩＰアドレスが一致する場合には、同一のＬＡＮ１００内のＶＰＮ装置１０１、１０４の配下の端末１０３及び１０５の間の通信であることを示している。この場合には、ＶＰＮ装置１１０１及びＶＰＮ装置１１０４は、例えば呼制御サーバ２０２を経由してプライベートＩＰアドレスの情報を互いに相手側へ通知し、互いに受信した相手のＶＰＮ装置の配下の端末１０３及び１０５のプライベートＩＰアドレス及びポート番号の情報を用いて、ローカルＰ２Ｐ通信経路の接続確認を行う（ステップＳ１３２０及びＳ１３２１）。ローカルＰ２Ｐ通信経路の接続が不可能である場合には、ＶＰＮ装置１１０１及びＶＰＮ装置１１０４は、現状の通信経路を利用したデータ通信（つまりデータ通信中継サーバ２０３を介した通信もしくはネットワークを介したＰ２Ｐ通信）を継続する（ステップＳ１３２２）。一方、ローカル２Ｐ通信経路の接続が可能である場合には、端末１０３及び端末１０５は、互いにローカルＰ２Ｐ通信を開始する（ステップＳ１３２３及びＳ１３２４）。

　このような図２３及び図２４の処理手順によれば、通信経路情報記憶部１１３６に記憶された通信経路情報に示す優先度の高い通信経路を優先して設定することができる。したがって、通信を行うとするＶＰＮ装置の置かれた環境において、最適な通信経路を設定することができる。

（実施形態４）
　図２６は本発明の実施形態４における通信システムの構成の一例を示す図である。図２６に示した構成例においては、一方の拠点に設けられたローカルエリアネットワーク（以下、ＬＡＮとも称する）１００の配下に接続された端末１０３と、他方の拠点に設けられたローカルエリアネットワーク３００の配下に接続された端末３０３とをインターネット等の広域エリアネットワーク（グローバルエリアネットワーク）（以下、ＷＡＮとも称する）２００を介して安全な状態で通信可能にする場合を想定している。なお、具体的なＶＰＮ通信の用途（アプリケーションプログラムの区分等）としては、ＩＰ電話（通話）や、ネットミーティングや、ネットワークカメラなどが想定される。また、ＬＡＮ１００及び３００は、例えば、ある支店の内部に或いはある事務所の１部署にイーサネット（登録商標）で構築されたネットワークである。

　図２６に示すように、ＬＡＮ１００とＷＡＮ２００との間にはルータ１０２が設置され、ＷＡＮ２００とローカルエリアネットワーク３００との間にはルータ３０２が設置されている。また、仮想プライベートネットワーク（ＶＰＮ）の接続を可能にするために、ＬＡＮ１００と端末１０３との間にＶＰＮ装置２１０１を設置してあり、ローカルエリアネットワーク３００と端末３０３との間にＶＰＮ装置２３０１を設置してある。なお、ＶＰＮ装置２１０１及び２３０１は、通信の中継装置（ルータ）としての機能も有する。

　端末１０３や端末３０３がＷＡＮ２００を介して通信する場合、ＷＡＮ２００上では、伝送するパケットの送信元や送信先を特定するためのアドレス情報としてグローバルＩＰアドレスが用いられる。しかし、各ＬＡＮ１００及び３００上の通信においては、送信元や送信先を特定するためのアドレス情報としてローカルＩＰアドレスが用いられる。従って、各ＬＡＮ１００、３００とＷＡＮ２００との間の通信を可能にするために、ローカルなアドレス情報とグローバルなアドレス情報との相互変換を行うＮＡＴ（Network Address Translation）機能が各ルータ１０２及び３０２に搭載されている。ルータ１０２及び３０２のＮＡＴ機能により、端末１０３及び端末３０３同士は、グローバルＩＰアドレス及びローカルＩＰアドレスを特別に意識することなく、通信を行うことが可能である。

　但し、特別な制御を実施しない限り、ＬＡＮ１００及び３００の配下の端末１０３及び３０３はその端末自身に割り当てられたグローバルなアドレス情報を知ることはできない。また、例えばＬＡＮ１００に属する端末１０３が他のＬＡＮ３００に属している端末３０３と直接接続することはできない。接続相手にアクセスするためのアドレス情報が分からないからである。また、各ルータ１０２及び３０２のＮＡＴ機能のため、普通の状態ではＷＡＮ２００側から各ＬＡＮ１００及び３００側にアクセスすることもできない。

　このような状況であっても、各拠点のＬＡＮに中継装置としてのＶＰＮ装置２１０１及び２３０１を接続することにより、端末１０３と端末３０３との間で直接通信（Ｐ２Ｐ通信）することが可能になる。また、このような通信を可能にするために、ＷＡＮ２００上にはＳＴＵＮサーバ２０１及び呼制御サーバ２０２を接続してある。なお、ＳＴＵＮサーバ２０１及び呼制御サーバ２０２を同様の機能を果たす他の装置で置き換えることも可能である。

　ＳＴＵＮサーバ２０１は、ＳＴＵＮ（Simple Traversal of UDP through NATs［RFC3489］）プロトコルを実行するために必要なサーバである。ＳＴＵＮは、音声、映像、文章などの双方向リアルタイムＩＰ通信を行うアプリケーションにおいて、ＮＡＴ通過の方法の１つとして使われる標準化されたクライアントサーバ型のインターネットプロトコルである。

　ＶＰＮ装置２１０１及び２３０１は、ＳＴＵＮサーバ２０１との間で所定のテスト手順の通信を実行し、ＳＴＵＮサーバ２０１からＶＰＮ装置１０１及び３０１の配下の端末１０３、３０３のグローバルアドレスが搭載された応答パケットを受信する。これにより、ＶＰＮ装置２１０１及び２３０１は配下の端末１０３、３０３のグローバルアドレスを取得することができる。また、ＶＰＮ装置２１０１及び２３０１の位置するＬＡＮとＷＡＮの間にルータ１０２及び３０２が複数存在する場合であっても、ルータ１０２及び３０２がＵＰｎＰ（Universal Plug and Play）の機能を有していない場合であっても、確実にグローバルアドレスを取得できる。

　なお、ＶＰＮ装置２１０１及び２３０１がグローバルＩＰアドレスを取得するための方法に関しては、ＩＥＴＦのＲＦＣ ３４８９（STUN - Simple Traversal of User Datagram Protocol (UDP) Through Network Address Translators (NATs)）にて記載された手法を利用することもできる。

　呼制御サーバ２０２は、通信のために特定の相手先を呼び出すための制御を行うサーバである。例えば通信システムがＩＰ電話の機能を有する場合には、接続相手先の電話番号に基づいて特定の相手先を呼び出すことができる。また、呼制御サーバ２０２は信号やデータを中継する機能を有しており（前述の３ＷＨＳ参照）、端末１０３から送出されたパケットをＷＡＮ２００を介して端末３０３に転送したり、端末３０３から送出されたパケットをＷＡＮ２００を介して端末１０３に転送したりすることもできる。

　次に、ＶＰＮ装置２１０１及び２３０１について説明する。
　ＶＰＮ装置２１０１及び２３０１の構成及び動作は同一である。ここでは、ＶＰＮ装置２１０１を用いて説明する。図２７は、ＶＰＮ装置２１０１のハードウェア構成の一例を示す図であり、図２８は、ＶＰＮ装置２１０１の機能構成の一例を示す図である。

　ハードウェア構成としては、図２７に示すように、ＶＰＮ装置２１０１は、マイクロコンピュータ（ＣＰＵ）２１１１、不揮発性メモリ（フラッシュＲＡＭ）２１１２、メモリ（ＳＤＲＡＭ）２１１３、ネットワークインタフェース（Ｉ／Ｆ）２１１４及び２１１５、ネットワーク制御部２１１６及び２１１７、通信中継部２１１８、表示制御部２１１９、表示器２１２０を備える。

　ＣＰＵ２１１１は、所定のプログラムを実行することによりＶＰＮ装置２１０１全体の制御を実施する。

　不揮発性メモリ２１１２は、マイクロコンピュータ２１１１が実行するプログラムや、運用データ、呼制御を行うための管理情報、制御プログラムを保持している。このプログラムの中には、後に詳述するクロスコールを判定するためのプログラムも含まれている。なお、ＣＰＵ２１１１が実行するプログラムについては、任意の通信経路を経由してオンラインで外部のサーバから取得することもできるし、例えばＣＤ－ＲＯＭのような記録媒体から読み込んで取得することもできる。また、ＣＰＵ２１１１がプログラムを実行する時には、不揮発性メモリ２１１２上のプログラムの一部がメモリ２１１３上に展開され、メモリ２１１３上のプログラムが実行される場合もある。

　メモリ２１１３は、ＶＰＮ装置２１０１に関する識別情報（本発明の識別情報であって、詳細は後述する）を記憶する。

　ネットワークインタフェース２１１４は、ＶＰＮ装置２１０１と配下の端末１０３とを通信可能な状態で接続するために利用される。ネットワークインタフェース２１１５は、ＶＰＮ装置２１０１とローカルネットワーク１００とを通信可能な状態で接続するために利用される。

　ネットワーク制御部２１１６は、ネットワークインタフェース２１１４に関する通信制御を行う。ネットワーク制御部２１１７はネットワークインタフェース２１１５に関する通信制御を行う。

　通信中継部２１１８は、ＬＡＮ側に接続された配下の端末１０３から外部のＶＰＮ装置２３０１配下の端末３０３へのパケットデータを中継する。また、外部のＶＰＮ装置２３０１配下の端末３０３からＶＰＮ装置２１０１配下の端末１０３宛に到着したパケットデータを中継する。

　表示器２１２０は、ＶＰＮ装置２１０１として必要な各種状態をユーザあるいは管理者に知らせるための表示部であり、発光ダイオード（ＬＥＤ）や液晶表示器（ＬＣＤ）で構成されている。

　表示制御部２１１９は、表示器２１２０に表示する内容を制御する。

　また、機能構成としては、図２８に示すように、ＶＰＮ装置２１０１は、システム部２１３０、呼制御部２１４０、通信部２１５０、設定用インタフェース（Ｉ／Ｆ）２１６１、配下端末管理部２１６２を備える。また、システム部２１３０は、システム制御部２１３１、識別情報管理部２１３２、識別情報記憶部２１３３を備える。また、呼制御部２１４０は、メッセージ解析部２１４１、優先度判定部２１４２、メッセージ生成部２１４３を備える。また、通信部２１５０は、受信部２１５１及び２１５４、送信部２１５２及び２１５５、データ通信制御部２１５３を備える。これらの各機能は、図２７に示した各ブロックのハードウェアの動作、又はマイクロコンピュータ２１１１が所定のプログラムを実行することにより実現する。

　システム制御部２１３１は、ＶＰＮ装置２１０１の全体の制御を統括する。

　識別情報管理部２１３２は、識別情報記憶部２１３３に記憶される識別情報を管理する。また、メッセージ解析部２１４１により認識された送信元の端末１０３及び送信先の端末３０３の識別情報を識別情報記憶部２１３３から取得することができる。

　識別情報記憶部２１３３は、端末１０３や端末３０３の識別情報を記憶する。当該識別情報は、識別情報記憶部２１３３にあらかじめ記憶しておく他に、呼制御サーバ２０２や他のサーバから取得してもよいし、あらかじめ記憶しておいてもよい。また、受信部２１５１または受信部２１５４によりメッセージを受信した際にメッセージに含まれる場合にはこの識別情報を用いてもよい。この識別情報により、セッション起動時の優先度が決定される。

　なお、本実施形態４では、識別情報として、例えば端末１０３や端末３０３のＭＡＣアドレス、ＩＰアドレス、ＩＤ情報、電話番号を用いる。このような数字やアルファベットで表記される識別情報を用いる場合には、順序演算や加減算を行い、優先度判定を行うことが容易になる。

　メッセージ解析部２１４１は、受信部２１５１により受信した端末１０３からの発呼情報を解析し、送信元としての端末１０３及び送信先としての端末３０３を認識する。発呼情報には、送信元及び送信先の端末を特定するための特定情報が含まれる。また、メッセージ解析部２１４１は、受信部２１５４により受信された呼制御に関するメッセージを解析する。

　なお、端末１０３、３０３の各々は、図２６のシステム構成を認識していないから、発信をする旨のトリガをＶＰＮ装置２１０１、２３０１へ送信する。このトリガを発呼情報と総称する。このとき各々の端末１０３、３０３を特定する情報を特定情報と総称する。ＶＰＮ装置２１０１、２３０１はシステム構成を認識するため、発呼情報から発呼メッセージを生成し、特定情報から識別情報に変換する。また、端末１０３、３０３の各々はＶＰＮ装置を介して受信するから着呼情報はない。

　また、メッセージ解析部２１４１は、メッセージ解析の結果、送信部２１５５により発呼メッセージを送信した後に受信部２１５４により発呼要求メッセージを受信したと判断した場合、受信した発呼要求メッセージを無効と判定し、この発呼要求メッセージを無視することとする。

　優先度判定部２１４２は、メッセージ解析結果及び識別情報管理部２１３２から取得する端末１０３及び端末３０３の識別情報に応じて、端末１０３と端末３０３とでいずれが優先度が高いかを判定する。例えば、受信部２１５１により端末１０３からの発呼情報を受信した場合には、優先度判定部２１４２は、端末１０３の識別情報と端末３０３の識別情報とを、発呼情報から、識別情報記憶部２１３３から、もしくは外部サーバから取得する。そして、取得した双方の識別情報を比較し、優先度を判定する。

　優先度は、例えば識別情報の大小により決定することができ、例えばＭＡＣアドレスやその他の識別ＩＤの数値が大きい方を高いものとすることができる。また、システムで管理する特有の優先順をあらかじめ決定しておいてもよく、例えば、ＶＩＰ顧客の優先順・社員の役職順・ネットワークの優先順などに基づいて、優先度を決定してもよい。また、アルゴリズムの処理に有利になるように、優先度を決定してもよい。

　また、メッセージ解析部２１４１により発呼メッセージまたは発呼要求メッセージを受信したと判断した場合には、受信された端末３０３からのメッセージをメッセージ解析部２１４１が解析し、抽出した識別情報に応じて、送信元としての端末３０３と送信先としての端末１０３との間の優先度を優先度判定部２１４２が判定し、メッセージの種別（発呼メッセージか発呼要求メッセージか）の適否を判定する。例えば、端末１０３、３０３の間で、発呼メッセージを受信部２１５４により受信した場合には、端末３０３の方が優先度が高く、発呼要求メッセージを受信部２１５４により受信した場合には、端末１０３の方が優先度が高いと、優先度判定部２１４２が判定したことを意味する。

　メッセージ生成部２１４３は、優先度判定部２１４２による判定結果に応じて、呼制御に関するメッセージの種別を指定し、このメッセージとして発呼メッセージもしくは発呼要求メッセージを生成する。具体的には、端末３０３が端末１０３よりも優先度が高い場合には、発呼要求メッセージを生成し、端末３０３が端末１０３よりも優先度が低い場合には、発呼メッセージを生成する。また、受信部２１５４により着呼（発呼応答）メッセージを受信した場合には、メッセージ生成部２１４３は、着呼応答メッセージを生成する。

　受信部２１５１は、端末１０３から呼制御に関するメッセージや音声等の実データを受信する。

　送信部２１５２は、端末１０３へ呼制御に関するメッセージや音声等の実データを送信する。

　受信部２１５１は端末１０３から、受信部２１５４は端末３０３から、それぞれ受信し、発呼メッセージ、発呼要求メッセージ、着呼メッセージ、着呼応答メッセージ等の呼制御に関するメッセージや、実データ等を受信する。なお、受信部２１５１、２１５４により受信するメッセージに関して、発呼メッセージはＩＮＶＩＴＥメッセージに相当し、着呼メッセージはＡＣＫメッセージに相当し、着呼応答メッセージはＯＫメッセージに相当する。

　送信部２１５２は端末１０３へ、送信部２１５５は端末３０３へ、それぞれ送信し、発呼メッセージ、発呼要求メッセージ、着呼メッセージ、着呼応答メッセージ等の呼制御に関するメッセージや、実データ等を送信する。

　データ通信制御部２１５３は、受信部２１５１と送信部２１５５との間で実データを中継し、受信部２１５４と送信部２１５２との間で実データを中継する。

　設定用Ｉ／Ｆ部２１６１は、管理者あるいはユーザがＶＰＮ装置２１０１に対する操作を行うためのユーザインタフェースであり、例えばＷｅｂページなどが用いられる。

　配下端末管理部２１６２は、ＶＰＮ装置２１０１配下の端末１０３の管理を行う。

　次に、端末１０３と端末３０３とがセッション起動時に行うデータの送受信について説明する。図２９～図３１では、端末１０３の優先度が端末３０３の優先度よりも高い場合を想定している。セッション起動を行い、正常に処理されると、セッションが確立される。

　図２９は端末１０３から端末３０３へ発呼する場合の通信シーケンスの一例を示す図である。

　まず、端末１０３が、端末３０３へデータを送るための発呼情報を端末１０３を管理するＶＰＮ装置２１０１へ送信する（ステップＳ２１０１）。ＶＰＮ装置２１０１は、端末１０３からの発呼情報を受信すると、端末１０３が高い優先度であるから、発呼メッセージを端末３０３を管理するＶＰＮ装置２３０１へ送信する（ステップＳ２１０２）。

　ＶＰＮ装置２３０１は、ＶＰＮ装置２１０１からの発呼メッセージを受信すると、これに対する着呼メッセージをＶＰＮ装置２１０１へ送信する（ステップＳ２１０３）。ＶＰＮ装置２１０１は、ＶＰＮ装置２３０１からの着呼メッセージを受信すると、これに対する着呼応答メッセージをＶＰＮ装置２３０１へ送信する（ステップＳ２１０４）。
　ＶＰＮ装置２３０１がＶＰＮ装置２１０１からの着呼応答メッセージを受信すると、ＶＰＮ装置２１０１及び配下の端末１０３とＶＰＮ装置２３０１及び配下の端末３０３とのセッションが確立される（ステップＳ２１０５）。セッション確立後、端末１０３から送信されたデータが、ＶＰＮ装置２１０１及び２３０１を介して、端末３０３へ送信される（ステップＳ２１０６）。

　また、図３０は端末３０３から端末１０３へ発呼する場合の通信シーケンスの一例を示す図である。

　まず、端末３０３が、端末１０３へデータを送るための発呼情報を端末３０３を管理するＶＰＮ装置２３０１へ送信する（ステップＳ２２０１）。ＶＰＮ装置２３０１は、端末３０３からの発呼情報を受信すると、端末３０３が低い優先度であるから、発呼要求メッセージを端末１０３を管理するＶＰＮ装置２１０１へ送信する（ステップＳ２２０２）。

　ＶＰＮ装置２１０１は、ＶＰＮ装置２３０１からの発呼要求メッセージを受信すると、これに対する発呼メッセージをＶＰＮ装置２３０１へ送信する（ステップＳ２２０３）。ＶＰＮ装置２３０１は、ＶＰＮ装置２１０１からの発呼メッセージを受信すると、これに対する着呼メッセージをＶＰＮ装置２１０１へ送信する（ステップＳ２２０４）。ＶＰＮ装置２１０１は、ＶＰＮ装置２３０１からの着呼メッセージを受信すると、これに対する着呼応答メッセージをＶＰＮ装置２３０１へ送信する（ステップＳ２２０５）。

　ＶＰＮ装置２３０１がＶＰＮ装置２１０１からの着呼応答メッセージを受信すると、ＶＰＮ装置２１０１及び配下の端末１０３とＶＰＮ装置２３０１及び配下の端末３０３とのセッションが確立される（ステップＳ２２０６）。セッション確立後、端末３０３から送信されたデータが、ＶＰＮ装置２３０１及び２１０１を介して、端末１０３へ送信される（ステップＳ２２０７）。

　また、図３１は端末１０３から端末３０３への発呼と端末３０３から端末１０３への発呼が同時に発生した場合の通信シーケンスの一例を示す図である。

　まず、端末１０３が端末３０３へデータを送るための発呼情報を端末１０３を管理するＶＰＮ装置２３０１へ送信し（ステップＳ２３０１）、端末３０３が端末１０３へデータを送るための発呼情報を端末３０３を管理するＶＰＮ装置２３０１へ送信する（ステップＳ２３０２）。

　ＶＰＮ装置２１０１は、端末１０３からの発呼情報を受信すると、発呼メッセージをＶＰＮ装置２３０１へ送信する（ステップＳ２３０３）。ＶＰＮ装置２３０１は、端末３０３からの発呼情報を受信すると、発呼要求メッセージをＶＰＮ装置２１０１へ送信する（ステップＳ２３０４）。

　ＶＰＮ装置２３０１は、ＶＰＮ装置２１０１からの発呼メッセージを受信すると、これに対する着呼メッセージをＶＰＮ装置２１０１へ送信する（ステップＳ２３０５）。一方、ＶＰＮ装置２１０１は、発呼メッセージを送信した後に、着呼メッセージを受信する前にＶＰＮ装置２３０１からの発呼要求メッセージを受信すると、このメッセージを無視する（ステップＳ２３０６）。つまり、受信した発呼要求メッセージを破棄し、これに対する発呼メッセージの送信を中止する。

　ＶＰＮ装置２１０１は、ＶＰＮ装置２３０１からの着呼メッセージを受信すると、これに対する着呼応答メッセージをＶＰＮ装置２３０１へ送信する（ステップＳ２３０７）。ＶＰＮ装置２３０１がＶＰＮ装置２１０１からの着呼応答メッセージを受信すると、ＶＰＮ装置２１０１及び配下の端末１０３とＶＰＮ装置２３０１及び配下の端末３０３とのセッションが確立される（ステップＳ２３０８）。

　セッション確立後、端末１０３が着呼情報を確認して端末３０３からの着呼に対する応答を許可した場合には、端末３０３から送信されたデータが、ＶＰＮ装置２３０１及び２１０１を介して、端末１０３へ送信される（ステップＳ２３０９）。また、セッション確立後、端末１０３から送信されたデータが、ＶＰＮ装置２１０１及び２３０１を介して、端末３０３へ送信される（ステップＳ２３１０）。

　次に、ＶＰＮ装置が端末間の通信を中継する際の動作について説明する。
　図３２は、ＶＰＮ装置２１０１が配下の端末１０３と通信先の端末３０３との通信を中継する際の動作の一例を示すフローチャートである。なお、ＶＰＮ装置２３０１についても、同様の動作を行う。

　まず、受信部２１５１が、配下の端末１０３からの発呼情報を受信すると（ステップＳ２４０１）、メッセージ解析部２１４１が、受信した発呼情報から、端末１０３の特定する特定情報及び端末３０３を特定する特定情報を抽出する。そして、優先度判定部２１４２は、これらの特定情報に対応する、端末１０３の識別情報としての識別番号及び端末３０３の識別情報としての識別番号を、識別情報記憶部２１３３や外部サーバ等から取得する（ステップＳ２４０２）。また、特定情報が識別情報そのものであってもよい。

　続いて、優先度判定部２１４２が、取得した端末１０３及び３０３の識別番号に基づいて、端末１０３及び端末３０３の優先度を判定する（ステップＳ２４０３）。例えば、端末１０３の識別ＩＤが「１２３４」、端末３０３の識別ＩＤが「５６７８」の場合には、端末１０３の優先度が低く、端末３０３の優先度が高いと判定することができる。

　端末１０３の優先度が端末３０３の優先度よりも高い場合、メッセージ生成部２１４３が発呼メッセージを生成し、生成した発呼メッセージを送信部２１５５が送信する（ステップＳ２４０４）。

　続いて、受信部２１５４は、送信部２１５５により送信された発呼メッセージに対する端末３０３からの着呼メッセージを受信するまで待機する（ステップＳ２４０５）。受信部２１５４が着呼メッセージを受信すると、メッセージ生成部２１４３が着呼応答メッセージを生成し、生成した着呼応答メッセージを送信部２１５５が送信する（ステップＳ２４０６）。

　一方、ステップＳ２４０３において端末１０３の優先度が端末３０３の優先度よりも低い場合、メッセージ生成部２１４３が発呼要求メッセージを生成し、生成した発呼要求メッセージを送信部２１５５が送信する（ステップＳ２４０７）。

　続いて、受信部２１５４は、送信部２１５５により送信された発呼要求メッセージに対する端末３０３からの発呼メッセージを受信するまで待機する（ステップＳ２４０８）。受信部２１５４が発呼メッセージを受信すると、メッセージ生成部２１４３が着呼メッセージを生成し、生成した着呼メッセージを送信部２１５５が送信する（ステップＳ２４０９）。

　続いて、受信部２１５４は、送信部２１５５により送信された着呼メッセージに対する端末３０３からの着呼応答メッセージを受信するまで待機する（ステップＳ２４１０）。受信部２１５４が着呼応答メッセージを受信すると、端末１０３及び３０３の間でセッションが確立され、両端末間での通信が可能な状態となる（ステップＳ２４１１）。

　このような本実施形態の通信システムによれば、セッション起動時の権限に優先関係を導入することによって、クロスコールの発生を防止することができる。具体的には、優先度の高い端末にのみ発呼権限が与えられ、優先度の低い端末には発呼を要求する権限のみが与えられる。そして、優先度の高い端末からデータを送信する際には発呼メッセージを送信し、優先度の低い端末からデータを送信する際には発呼要求メッセージを送信することで、クロスコールが発生することによる誤動作を防止することができる。また、複数の端末間で同時にデータの送信を行おうとした場合には、優先度の高い端末が優先度の低い端末からの発呼要求メッセージを無視することで、通信を希望している端末同士で相互に通信中（例えば話し中）であるという状態を回避することができ、セッションの確立をスムーズに行うことができる。さらに、ＶＰＮ装置２１０１及び２３０１がクロスコール防止のための処理を行うため、実際の送信元及び送信先となる端末１０３及び３０３自体の負荷が増大することはない。

　なお、本実施形態では、通常はセキュリティ強化のためにＶＰＮ通信を行うことが多いため、ＶＰＮ装置として説明したが、ＶＰＮ通信を行うことは必須ではない。つまり、ＶＰＮ装置２１０１及び２３０１を単純な中継装置で代用可能である。なお、システム内の装置全てがグローバルアドレスを割り当てられている場合など、ＮＡＴ（Network Address Translation）を越える必要がない場合には、ＳＴＵＮサーバ２０１を省略することが可能である。

　（実施形態５）
　図３３は本発明の実施形態５における通信システムの構成の一例を示す図である。ここでは、図３３に示す通信システムにおいて、図２６に示した通信システムと同一の構成については、同一の符号を付し、説明を省略または簡略化する。

　本実施形態の通信システムと実施形態４の通信システムとの相違点は、ローカルエリアネットワーク１００及び３００配下の部分である。具体的には、図２６に示したＶＰＮ装置２１０１及び端末１０３とＶＰＮ装置２３０１及び端末３０３が、図３３に示す例では端末２１０４及び２３０４のみとなっている。この端末２１０４及び２３０４は、ＶＰＮ装置２１０１及び端末１０３とＶＰＮ装置２３０１及び端末３０３との双方を機能を有して構成される。つまり、端末２１０４は、端末２１０４自身により管理される。この端末２１０４及び２３０４がＰ２Ｐ通信のピアとして機能する。

　次に、端末２１０４及び２３０４について説明する。
　端末２１０４及び２３０４の構成及び動作は同一である。ここでは、端末２１０４を用いて説明する。図３４は、端末２１０４のハードウェア構成の一例を示す図であり、図３５は、端末２１０４の機能構成の一例を示す図である。図３４において、図２７に示したハードウェア構成と同一の構成については、同一の符号を付し、説明を省略または簡略化する。また、図３５において、図２８に示した機能構成と同一の構成については、同一の符号を付し、説明を省略または簡略化する。

　ハードウェア構成としては、図３４に示すように、端末２１０４は、ＣＰＵ２１１１、不揮発性ＲＡＭ（フラッシュＲＡＭ）２１１２、メモリ（ＳＤＲＡＭ）２１１３、ネットワークインタフェース（Ｉ／Ｆ）２１１５、ネットワーク制御部２１１７、表示制御部２１１９、表示器２１２０、入出力制御部２１２１、キーパッド２１２２、マイク（Ｍｉｃ）２１２３、スピーカ２１２４を備える。つまり、本実施形態の端末２１０４では、実施形態４のＶＰＮ装置２１０１と比較して、配下の端末への中継を行うための構成がなく、データ入出力を行うための構成が追加されている。

　入出力制御部２１２１は、入出力デバイスとしてのキーパッド２１２２、マイク２１２３、スピーカ２１２４の入出力制御を行う。キーパッド２１２２は、データ入力を行うための入力デバイスである。マイク２１２３は、音声データを入力するための入力デバイスである。スピーカ２１２４は、音声データを出力するための出力デバイスである。

　また、機能構成としては、図３５に示すように、システム部２１３０、呼制御部２１４０、通信部２１５０を備える。システム部２１３０は、システム制御部２１３１、識別情報管理部２１３２、識別情報記憶部２１３３、データ入出力部２１３４を備える。呼制御部２１４０は、メッセージ解析部２１４１、優先度判定部２１４２、メッセージ生成部２１４３を備える。通信部２１５０は、データ通信制御部２１５３、受信部２１５４、送信部２１５５を備える。なお、端末１０４は、前述の理由から、受信部２１５１、送信部２１５２、設定用Ｉ／Ｆ部２１６１、配下端末管理部２１６２については備えていない。

　データ入出力部２１３４は、入力デバイスによるデータ入力に基づいて発呼情報を生成し、メッセージ解析部２１４１へ送る。

　次に、端末２１０４と端末２３０４とがセッション起動時のデータの送受信について説明する。

　基本的には、図２９～図３１に示したようなＶＰＮ装置２１０１及び２３０１の動作と同様の動作を行う。本実施形態５において、端末２１０４、２３０４は、端末から発呼情報を受信してセッション起動を行うのではなく、端末２１０４及び端末２３０４自身の入力デバイスの入力に基づいて発呼情報を生成し、セッション起動を行うことを特徴とする。また、着呼情報により着呼を許可するか否かについても、配下の端末ではなく端末２１０４及び２３０４自身により行う。

　次に、端末２１０４がセッション起動を行う際の動作について説明する。
　図３６は、端末２１０４がセッション起動を行う際の動作の一例を示すフローチャートである。なお、端末２３０４についても、同様の動作を行う。

　まず、データ入出力部２１３４による入力に基づいてデータ通信制御部２１５３が発呼情報を生成すると、メッセージ解析部２１４１が、生成した発呼情報から、端末２３０４を特定する特定情報を抽出する。そして、優先度判定部２１４２は、これらの特定情報に対応する端末２３０４の識別情報としての識別番号を、識別情報記憶部２１３３、外部サーバ、発呼メッセージ、発呼要求メッセージ等から取得する（ステップＳ２５０１）。また、特定情報が識別情報そのものであってもよい。また、端末２１０４自身の識別情報としての識別番号を識別情報記憶部２１３３、外部サーバ、発呼メッセージ、発呼要求メッセージ等から取得する。

　ステップＳ２５０１の後は、図３２に示したステップＳ２４０３～Ｓ２４１１と同様の処理を行う。図３６中のステップ番号は、図３２と同じ番号を表示して説明の重複を省略する。ただし、優先度の比較対象となるのは、自己の通信端末である端末２１０４と通信先の通信端末である端末２３０４である。

　このような本実施形態の通信システムによれば、Ｐ２Ｐ通信において相手先を指定したときに、セッション起動の優先関係が確定するため、クロスコールが発生することを防止できる。したがって、クロスコールが発生したときのために特別に解除手段を講じておく必要がなくなる。また、ユーザは、クロスコールの発生に特別な注意を払う必要がなくなる。また、クロスコールが発生しないため、Ｐ２Ｐ通信開始が速やかに行われ、快適なＰ２Ｐ通信環境を提供することができる。さらに、クロスコールを防止するために特別に中継装置を設けることがないため、通信システムの構成が複雑化することを防止できる。

（実施形態６）
　実施形態４及び５では、クロスコールが発生する前にあらかじめ優先度を判定しておき、クロスコールが発生することを防止することを説明したが、本実施形態６の通信システムでは、クロスコールが発生したことを検出し、検出後に優先制御を行うことを特徴とする。本実施形態６では、上記特徴の処理を行う主体として、実施形態４に示したＶＰＮ装置、実施形態５に示した端末のいずれも適用可能であるが、ここでは「通信装置」として説明を行う。

　本実施形態６の通信システムの構成、通信装置のハードウェア構成、通信装置の機能構成は、実施形態４又は５において示した構成と同様であるが、メッセージ解析部２１４１の動作が異なる。

　メッセージ解析部２１４１は、実施形態４又は５において説明した動作の他に、呼制御に関するメッセージのシーケンスが３ＷＨＳに従って進行しているか否かを監視する。例えば、メッセージ解析部２１４１が、送信部２１５５により発呼メッセージを送信して着呼メッセージを待機しているときに、通信先の通信装置から発呼メッセージを受信した場合、クロスコールが発生したと判断する。

　互いに通信中の通信装置同士は、先の実施形態４及び５で説明したように、通信相手の識別情報を認識している。したがって、メッセージ解析部２１４１が、メッセージの内容を解析し、通信相手の識別情報を取得することで、発呼メッセージを既に送信した通信相手から発呼メッセージを受信したか否か、つまりクロスコールが発生したか否かを判定することができる。

　メッセージ解析部２１４１によりクロスコールが発生したと判断すると、その際に、優先度判定部２１４２が、自己の通信装置の識別情報と通信相手の通信装置の識別情報とに基づいて、優先度を判定する。そして、優先度が高い通信装置は、受信した発呼メッセージを無効と判断して無視し、図３１に示したステップＳ２３０６以降の処理を行うようにする。一方、優先度が低い通信装置は、受信した発呼メッセージを有効と判断し、図３１に示したステップＳ２３０５以降の処理を行うようにする。

　なお、以上の実施形態４ないし６の説明において、優先度判定部２１４２の判定処理は、特定の１判定処理を行うものとして説明をした。しかしながら、本発明は、この内容に限定されるものではない。例えば、優先度判定部２１４２は、複数の判定処理をとり得るものとし、時間帯・日付・曜日・ＬＡＮ１００、ＷＡＮ２００の種別などに応じて、いずれか１の判定処理に変更可能な様に応用することも可能である。それによって、例えば平日用、休日用など、様々な用途に適応する通信端末、通信方法を提供することができる。

　このような本実施形態４ないし６の通信システムによれば、クロスコールが発生した後にメッセージのシーケンスを回復させることができ、クロスコールによりセッション確立が不可能となる状態を回避することができる。また、セッション起動毎にクロスコールを防止するための処理を行うものではないため、低処理負荷でこの通信システムを実現することができる。さらに、必要時のみ優先関係の判断を行うため、Ｐ２Ｐ通信開始に要する時間を短縮することができる。

　本発明を詳細にまた特定の実施態様を参照して説明したが、本発明の精神と範囲を逸脱することなく様々な変更や修正を加えることができることは当業者にとって明らかである。
　本出願は、2009年4月16日出願の日本特許出願No.2009-099965、2009年4月20日出願の日本特許出願No.2009-102108、2009年6月8日出願の日本特許出願No.2009-137423、及び2009年6月8日出願の日本特許出願No.2009-137424、に基づくものであり、その内容はここに参照として取り込まれる。

　本発明は、クロスコールが発生する状況を解消することのできるＶＰＮ装置等に有用である。

１００、３００　ＬＡＮ（ローカルエリアネットワーク）
１０１、１０４、３０１、３０４、１１０１、１１０４、１３０１、２１０１、２３０１　ＶＰＮ装置
１０２、３０２　ルータ
１０３、１０５、３０３、２１０４、２３０４　端末
１１１、１１１１、２１１１　ＣＰＵ
１１２、１１１２、２１１２　不揮発性メモリ（ＦｌａｓｈＲＡＭ）
１１３、１１１３、２１１３　メモリ（ＳＤＲＡＭ）
１１４、１１５、１１１４、１１１５、２１１４、２１１５　ネットワークインタフェース（ネットワークＩ／Ｆ）
１１６、１１１６、２１１６　ＬＡＮ側ネットワーク制御部
１１７、１１１７、２１１７　ＷＡＮ側ネットワーク制御部
１１８、１１１８、２１１８　通信中継部
１１９、１１１９、２１１９　表示制御部
１２０、１１２０　表示部
１３０、１１３０　システム制御部
１３１、１１３１、２１６２　配下端末管理部
１３２、１１３２　メモリ部
１３３、１１３３　データ中継部
１３４、１１３４、２１６１　設定用インタフェース部（設定用Ｉ／Ｆ部）
１３５、１１３５　外部アドレス・ポート情報記憶部
１１３６　通信経路情報記憶部
１３６　ＶｏＩＰアプリケーション機能部
１３７　音声データ制御部
１３８　データ入出力部
１４０、１１４０　通信制御部
１４１、１１４１　外部アドレス・ポート取得部
１４２、１１４２　ＶＰＮ機能部
１４３、１１４３　呼制御機能部
１４５、１１４５　暗号処理部
２００　ＷＡＮ（グローバルネットワーク）
２０１　ＳＴＵＮサーバ
２０２　呼制御サーバ
２０３　データ通信中継サーバ
２０４　特性情報サーバ
２１２０　表示器（ＬＥＤ／ＬＣＤ）
２１２１　入出力制御部
２１２２　キーパッド
２１２３　Ｍｉｃ（マイク）
２１２４　スピーカ
２１３０　システム部
２１３１　システム制御部
２１３２　識別情報管理部
２１３３　識別情報記憶部
２１３４　データ入出力部
２１４０　呼制御部
２１４１　メッセージ解析部
２１４２　優先度判定部
２１４３　メッセージ生成部
２１５０　通信部
２１５１、２１５４　受信部
２１５２、２１５５　送信部
２１５３　データ通信制御部

Claims (20)

1. 　第１のネットワーク上に設けられ、前記第１のネットワークに設けられた第１の端末と前記第１のネットワークと接続された第２のネットワークに設けられた第２の端末との間でＰ２Ｐ通信を行うＶＰＮ装置であって、
   　前記第１の端末と前記第２の端末のうちどちらが発呼の優先度が高いか判定する優先度判定部と、
   　前記優先度判定部によって前記第１の端末が前記第２の端末より優先度が高いと判定されると、前記第２のネットワークへ発呼メッセージを送信することにより前記第２の端末へ発呼し、前記優先度判定部によって前記第２の端末が前記第１の端末より優先度が高いと判定されると、前記第２のネットワークへ発呼要求メッセージを送信することにより前記第２の端末へ発呼を要求する送信部と、
   　を備えたことを特徴とするＶＰＮ装置。
2. 　前記送信部によって送信された前記発呼メッセージに対する着呼メッセージを前記第２のネットワークから受信する受信部を備え、
   　前記送信部は、前記送信部が前記第２のネットワークへ前記発呼メッセージを送信した後、前記受信部が前記着呼メッセージを前記第２のネットワークから受信する前に、前記第２のネットワークから発呼要求メッセージを受信しても、前記第２のネットワークへ発呼メッセージを再び送信しないことを特徴とする請求項１記載のＶＰＮ装置。
3. 　前記優先度判定部は、前記第１の端末と前記第２の端末の識別情報から、前記第１の端末と前記第２の端末のうちどちらが発呼の優先度が高いか判定することを特徴とする請求項１記載のＶＰＮ装置。
4. 　前記識別情報はＭＡＣアドレスであることを特徴とする請求項３記載のＶＰＮ装置。
5. 　前記識別情報はＩＰアドレスであることを特徴とする請求項３記載のＶＰＮ装置。
6. 　前記識別情報はＩＤ情報であることを特徴とする請求項３記載のＶＰＮ装置。
7. 　前記識別情報は電話番号であることを特徴とする請求項３記載のＶＰＮ装置。
8. 　前記第２のネットワークからアクセス可能な前記第１の端末の外部アドレス・ポート情報を取得する外部アドレス・ポート情報取得部と、
   　前記外部アドレス・ポート取得部によって取得された前記第１の端末の外部アドレス・ポート情報を前記第２のネットワークへ送信する外部アドレス・ポート情報送信部と、
   　前記第１のネットワークからアクセス可能な前記第２の端末の外部アドレス・ポート情報を、前記第２のネットワークから受信する外部アドレス・ポート情報受信部と、
   　前記外部アドレス・ポート情報受信部によって受信された前記第２の端末の外部アドレス・ポート情報を用いて、前記第１の端末と前記第２の端末との間でＰ２Ｐ通信を可能にするネットワークＰ２Ｐ通信部と、
   　を備えることを特徴とする請求項１記載のＶＰＮ装置。
9. 　前記第１のネットワークと前記第２のネットワークとは第３のネットワークを介して接続されたことを特徴とする請求項８記載のＶＰＮ装置。
10. 　前記ネットワークＰ２Ｐ通信部によって前記第１の端末と前記第２の端末との間でＰ２Ｐ通信を可能にする前に、前記第３のネットワーク上に設けられた中継サーバを介して、前記第１の端末と前記第２の端末との間で中継サーバ経由通信を可能にする中継サーバ経由通信部を備えたことを特徴とする請求項９記載のＶＰＮ装置。
11. 　前記外部アドレス・ポート情報送信部は前記第１の端末の外部アドレス・ポート情報を前記中継サーバを介して前記第２のネットワークへ送信することを特徴とする請求項１０記載のＶＰＮ装置。
12. 　前記１のネットワークと前記第２のネットワークはローカルネットワークであり、前記第３のネットワークはグローバルネットワークであることを特徴とする請求項９記載のＶＰＮ装置。
13. 　前記第１の端末の外部アドレス・ポート情報は前記第１の端末のグローバルＩＰアドレス及びポート番号を含むことを特徴とする請求項１２記載のＶＰＮ装置。
14. 　前記外部アドレス・ポート情報取得部は、前記第３のネットワーク上に設けられたアドレス情報サーバから前記第１の端末の外部アドレス・ポート情報を取得することを特徴とする請求項９記載のＶＰＮ装置。
15. 　前記第２のネットワークが前記第１のネットワークと同一か否か判定する判定部と、
    　前記判定部によって前記第２のネットワークが前記第１のネットワークと同一と判定された場合に、前記第１のネットワーク内でアクセス可能な前記第１の端末の内部アドレス・ポート情報を用いて、前記第１の端末と前記第２の端末との間で前記第３のネットワークを介さないＰ２Ｐ通信を可能にするローカルＰ２Ｐ通信部と、
    　を備えたことを特徴とする請求項９記載のＶＰＮ装置。
16. 　第１のネットワーク上に設けられ、前記第１のネットワークに設けられた第１の端末と前記第１のネットワークと接続された第２のネットワークに設けられた第２の端末との間でＰ２Ｐ通信を行うＶＰＮ装置のＶＰＮネットワーキング方法であって、
    　前記第１の端末と前記第２の端末のうちどちらが発呼の優先度が高いか判定するステップと、
    　前記第１の端末が前記第２の端末より優先度が高いと判定されると、前記第２のネットワークへ発呼メッセージを送信することにより前記第２の端末へ発呼するステップと、
    前記第２の端末が前記第１の端末より優先度が高いと判定されると、前記第２のネットワークへ発呼要求メッセージを送信することにより前記第２の端末へ発呼を要求するステップと、
    　を有することを特徴とするＶＰＮネットワーキング方法。
17. 　前記送信された発呼メッセージに対する着呼メッセージを前記第２のネットワークから受信するステップを有し、
    　前記第２のネットワークへ前記発呼メッセージを送信した後、前記着呼メッセージを前記第２のネットワークから受信する前に、前記第２のネットワークから発呼要求メッセージを受信しても、前記第２のネットワークへ発呼メッセージを再び送信しないことを特徴とする請求項１６記載のＶＰＮネットワーキング方法。
18. 　前記第２のネットワークからアクセス可能な前記第１の端末の外部アドレス・ポート情報を取得するステップと、
    　前記取得された前記第１の端末の外部アドレス・ポート情報を前記第２のネットワークへ送信するステップと、
    　前記第１のネットワークからアクセス可能な前記第２の端末の外部アドレス・ポート情報を、前記第２のネットワークから受信するステップと、
    　前記受信された前記第２の端末の外部アドレス・ポート情報を用いて、前記第１の端末と前記第２の端末との間でＰ２Ｐ通信を可能にするステップと、
    　を有することを特徴とする請求項１６記載のＶＰＮネットワーキング方法。
19. 　前記１のネットワークと前記第２のネットワークとは第３のネットワークを介して接続され、
    　前記第１の端末と前記第２の端末との間でＰ２Ｐ通信が可能にされる前に、前記第３のネットワーク上に設けられた中継サーバを介して、前記第１の端末と前記第２の端末との間で中継サーバ経由通信を可能にするステップを有することを特徴とする請求項１８記載のＶＰＮネットワーキング方法。
20. 　前記第２のネットワークが前記第１のネットワークと同一か否か判定するステップと、
    　前記第２のネットワークが前記第１のネットワークと同一と判定された場合に、前記第１のネットワーク内でアクセス可能な前記第１の端末の内部アドレス・ポート情報を用いて、前記第１の端末と前記第２の端末との間で前記第３のネットワークを介さないＰ２Ｐ通信を可能にするステップと、
    　を有することを特徴とする請求項１８記載のＶＰＮネットワーキング方法。
     

Images