CN103139078A - 中继服务器以及中继通信系统 - Google Patents

Abstract

本发明的中继服务器存储自机可传送包的地址即第1路由对象地址、和位于其他的LAN内的其他的中继服务器可传送包的第2路由对象地址。中继服务器存储初始通信设定和当前通信设定。中继服务器仅将初始通信设定中被设为许可的第1路由对象地址向其他的中继服务器发送，并且从其他的中继服务器接收第2路由对象地址，与其他的中继服务器建立路由会话。中继服务器将初始通信设定作为当前通信设定进行注册。中继服务器基于自机与其他的中继服务器的地址过滤器信息来进行包的路由控制。

Description

中继服务器以及中继通信系统

技术领域

本发明主要涉及使与不同的LAN（Local Area Network）连接的设备间的通信成为可能的中继服务器。

背景技术

以往，已知有在物理上分离的场所设置的LAN彼此间进行通信的被称作虚拟专用网络（Virtual Private Network，VPN）的通信技术。在日本特开2010－268312号公报所示的例中，在物理上分离的位置设置的多个LAN的各自上连接有中继服务器以及通信终端等。通信终端能够利用该VPN向与其他的LAN连接的通信终端发送包。具体来说，通信终端发送的包最初向同一LAN内的中继服务器发送。该中继服务器经由互联网向与目的地通信终端同一LAN内的中继服务器发送（传送）包。并且，接收到该包的中继服务器向目的地通信终端发送（传送）包。

通过利用该VPN，能够将位于远隔地的其他的LAN如同被直接连接的网络一般地使用。

但是，在像日本特开2010－268312号公报那样利用VPN进行通信的情况下，一般构成为，预先对进行通信的设备进行注册，在VPN的构築后，被注册的全部的设备彼此间能够互相通信。

但是，从安全上的观点出发，存在不优选将一部分设备彼此间的通信常时许可的情况。例如，考虑在进行维护服务的企业A和接受维护服务的企业B之间构筑VPN的例。在企业B中设置有企业B拥有的维护对象的设备和企业A设置的监视用设备。监视用设备为了监视在维护对象的设备中是否发生了不良情况而设置。该情况下，在企业A设置的设备需要与监视用设备能够常时通信。另一方面，在企业A设置的设备，从安全上的观点出发，不优选连在不需要的情况下都可进行与维护对象设备的通信。

因此，在以往的构成中，需要在构筑了VPN后进行设定，以使从设置于企业A的设备不能访问到维护对象设备。但是，每次构筑VPN需要进行设定，对用户来说成为大的负担。并且，考虑用户遗忘设定的可能性，该情况下产生安全性薄弱的部分。

发明内容

本发明是鉴于以上的事情而做出的，其主要目的是提供一种中继服务器，其可构筑一种在已注册的设备彼此间进行中继通信的情况下、能够在仅所选择的设备彼此间可通信的状态下开始中继通信的中继通信系统。

本发明要解决的课题如上所述，接下来说明用于解决该课题的手段和其效果。

根据本发明的第一观点，提供以下的构成的中继服务器。即，该中继服务器具备地址过滤器信息存储部、通信设定信息存储部、控制部。上述地址过滤器信息存储部存储位于第1LAN内、（中继服务器）可传送包的第1路由对象装置的地址即第1路由对象地址，和位于第2LAN内的第2中继服务器可传送包的第2路由对象装置的地址即第2路由对象地址。上述通信设定信息存储部存储表示以上述第1路由对象地址为目的地的中继通信的许可或禁止的初始设定的初始通信设定、和表示当前的设定的当前通信设定。上述控制部提取上述初始通信设定中被设为许可的第1路由对象地址、将提取出的第1路由对象地址向上述第2中继服务器发送、并且从上述第2中继服务器接收上述第2路由对象地址、与上述第2中继服务器建立路由会话。上述控制部将上述初始通信设定的内容作为上述当前通信设定来进行注册。上述控制部在从上述第1路由对象装置接收到以上述第2路由对象装置为目的地的包时，将该包经由上述路由会话向上述第2中继服务器传送。上述控制部在从上述路由会话接收到以第1路由对象地址为目的地的包时，将该包向目的地的上述第1路由对象装置传送。

由此，在开始通信的阶段中，初始通信设定中被设为禁止了的第1路由对象地址不向其他的中继服务器发送，因此不进行以该地址为目的地的通信。从而，在根据安全性上的观点等而不优选常时许可向某第1路由对象装置的访问的情况下，能够通过将初始通信设定预先设为禁止，从而在禁止了向该第1路由对象装置的访问的状态下开始经由路由会话的通信。从而，通信开始后用户不需要手动地变更设定，因此能够减轻用户的麻烦。并且，不会发生用户忘记设定等的人为的失误，因此能够提高安全性。

在上述的中继服务器中，优选的是，在上述路由会话建立后上述当前通信设定被切换了时，将切换后的内容向上述第2中继服务器发送。

由此，能够将通信的许可或禁止已被切换这一意思向第2中继服务器通知，因此能够进行反映了变更内容的中继通信。

在上述的中继服务器中，优选的是，上述通信设定信息存储部能够按照每个中继服务器存储不同的上述初始通信设定。

由此，利用某中继服务器的用户能够基于与其他的中继服务器的用户的关系等，来按每个中继服务器进行不同的初始通信设定。从而，能够实现可灵活应对各种状况的中继通信系统。

在上述的中继服务器中，优选的是，将包含多个中继服务器而构成的、使所属于同一群的中继服务器彼此间建立路由会话而相互进行通信的群，称为通信群时，上述通信设定信息存储部能够按照每个上述通信群而存储不同的上述初始通信设定。

由此，利用中继通信系统的用户能够考虑与所属于同一通信群的对方的关系等来按每个通信群进行不同的初始通信设定。从而，能够实现可灵活应对各种状况的中继通信系统。

在上述的中继服务器中，优选的是，上述控制部即使在路由会话建立后上述当前通信设定被进行了变更的情况下，也在路由会话再建立时将上述当前通信设定返回到上述初始通信设定。

由此，能够防止对通常不受理访问的设定的第1路由对象地址而非有意地做出许可的设定，因此能够提高安全性。

根据本发明的第二观点，提供以下的构成的中继通信系统。即，该中继通信系统包含第1中继服务器以及第2中继服务器而构成。位于第1LAN内的第1中继服务器具备地址过滤器信息存储部、通信设定信息存储部、控制部。上述地址过滤器信息存储部存储第1路由对象地址和第2路由对象地址，第1路由对象地址是位于第1LAN内的该第1中继服务器可传送包的第1路由对象装置的地址，第2路由对象地址是位于第2LAN内的第2中继服务器可传送包的第2路由对象装置的地址。上述通信设定信息存储部存储表示以上述第1路由对象地址为目的地的中继通信的许可或禁止的初始设定的初始通信设定和表示当前的设定的当前通信设定。上述第1中继服务器的上述控制部提取上述初始通信设定中被许可了的第1路由对象地址、将提取出的第1路由对象地址向上述第2中继服务器发送、并且从上述第2中继服务器接收上述第2路由对象地址、与上述第2中继服务器建立路由会话。上述控制部将上述初始通信设定的内容作为上述当前通信设定进行注册。上述控制部在从上述第1路由对象装置接收到以上述第2路由对象装置为目的地的包时，将该包经由上述路由会话向上述第2中继服务器传送。上述控制部在从上述路由会话接收到以第1路由对象地址为目的地的包时，将该包向目的地的上述第1路由对象装置传送。

由此，在开始通信的阶段，初始通信设定中被设为禁止的第1路由对象地址不被向其他的中继服务器发送，因此不进行以该地址为目的地的通信。从而，在根据安全性上的观点等而不优选常时许可向某第1路由对象装置的访问的情况下，能够通过将初始通信设定预先设为禁止，从而在禁止了向该第1路由对象装置的访问的状态下开始经由路由会话的通信。从而，通信开始后用户不需要手动地变更设定，因此能够减轻用户的麻烦。并且，不会发生用户忘记设定等的人为的失误，因此能够提高安全性。

附图说明

图1是表示有关本发明的一实施方式的中继通信系统的整体构成的说明图。

图2是中继服务器的功能框图。

图3是表示中继群（group）信息的内容的图。

图4是表示中继服务器信息的内容的图。

图5是表示客户终端信息的内容的图。

图6是表示VPN群信息的内容的图。

图7是表示事先被注册到各个中继服务器中的地址过滤器信息以及通信设定信息的内容的图。

图8是表示VPN构築后、中继服务器1存储的地址过滤器信息以及通信设定信息的内容的图。

图9是表示VPN构築后、中继服务器3存储的地址过滤器信息以及通信设定信息的内容的图。

图10是表示事先在中继服务器进行的设定的流程图。

图11是表示作成VPN群的处理的流程图。

图12是表示构筑VPN的处理的流程图。

图13是表示构筑VPN的处理的流程图。

图14是表示构筑VPN的处理的流程图。

图15是表示路由控制的说明图。

图16是表示当前通信设定的许可／禁止被切换了时的处理的流程图。

图17是表示有关变形例的地址过滤器信息以及通信设定信息的内容的图。

具体实施方式

接着，参照附图说明本发明的实施方式。首先，参照图1对本实施方式的中继通信系统100的概要进行说明。图1是表示有关本实施方式的中继通信系统100的整体构成的说明图。

如图1所示，该中继通信系统100由与广域网（WAN，广域通信网）80连接的多个LAN10、20、30构成。各个LAN10、20、30是在被限定的场所所构築的比较小规模的网络。并且，LAN10、20、30分别配置在物理上分离的场所。另外，本实施方式中作为WAN80使用了互联网。

下面，具体说明各个LAN。如图1所示，在LAN（第2LAN）10上连接着中继服务器（第2中继服务器）1、作为第2路由对象装置的操作PC11、12、客户终端13。在LAN20上连接着中继服务器2、操作PC21、客户终端22。在LAN（第1LAN）30上连接着中继服务器（第1中继服务器）3、作为第1路由对象装置的对象终端31、32、33、客户终端34。

各个中继服务器1、2、3不仅与LAN10、20、30还与WAN80连接，因此，不仅能够和与同一LAN连接的设备通信，还能够和与配置于其他的LAN的中继服务器通信。操作PC11、12、21例如是操作者（operator）操作用的个人计算机。对象终端31、32、33是个人计算机或文件服务器等，例如假设操作者操作操作PC11等，向对象终端31等要求规定的数据，以及，更新对象终端31的存储内容。客户终端13、22、34例如由个人计算机构成，各自经由自身所属的中继服务器1、2、3可相互通信。

接着，参照图2对中继服务器1、2、3的详细构成进行说明。图2是中继服务器3的功能框图。另外，中继服务器3是与中继服务器1、2大致相同的构成，因此，下面主要对中继服务器3进行说明。

如图2所示，中继服务器3具备存储部50、控制部60、接口部70。

接口部70对LAN10内的终端执行通信。并且，接口部70对WAN80执行通信。接口部70对从LAN30或WAN80接受到的包进行适当的处理而向控制部60输出。

控制部60是具有例如控制以及运算的功能的CPU，能够通过从存储部50读出的程序执行各种的处理。该控制部60能够控制基于TCP／IP、UDP、SIP等协议的各种通信。具体来说，控制部60对于接收到的包，基于该包表示的信息和存储于存储部50的信息来决定目的地，向决定了的目的地发送该包。并且，控制部60能够基于从其他的终端接收到的信息，更新存储部50的存储内容。

存储部50由例如硬盘或非易失性RAM构成，能够保存各种数据。存储部50具备中继群信息存储部51、中继服务器信息存储部52、客户终端信息存储部53、VPN群信息存储部54、地址过滤器信息存储部55、通信设定信息存储部56。下面，参照图3到图9对存储部50的存储内容进行说明。图3到图9是主要表示中继服务器1、2、3的存储部50的存储内容的图。

中继群信息存储部51存储有表示中继群和构成该中继群的中继服务器的中继群信息。

如图3所示，在中继群信息中记述有group标签、以该group标签作为主要素的子要素的site标签。group标签中记述有与中继群有关的群信息511。作为该群信息511，记述有中继群的识别信息（“id”）、最终更新时刻（“lastmod”）、中继群的名称（“name”）。site标签中记述有与构成中继群的中继服务器有关的群构成信息512。该群构成信息512中记述有该中继服务器的识别信息（“id”）。并且，中继群可进行追加作成，该情况下，向新的中继群赋予与其他的中继群不同的唯一（独特）的识别信息。由此，可进行仅在特定的中继群内进行数据的交换等的设定。

另外，该中继群信息在构成该中继群的中继服务器1、2、3之间共有。并且，在某个中继服务器中进行了变更中继群的处理的情况下，对其他的中继服务器发送该意思而更新中继群信息。这样，中继群信息被动态地共有。

中继服务器信息存储部52存储有表示进行中继通信的中继服务器以及所属于该中继服务器的客户终端的概要的中继服务器信息。

在图4所示的中继服务器信息中，记述有按照每个中继服务器记述的site标签、和以上述site标签作为主要素的子要素的node标签。site标签中记述有与中继服务器1有关的服务器信息521。作为该服务器信息521记述有中继服务器的识别信息（“id”）、中继服务器的名称（“name”）、启动信息（“stat”）。另外，在“stat”的内容为“active”的情况下，表示中继服务器在中继通信系统100中进行了登录，在stat为空栏时表示注销中。作为site标签的子要素的node标签中记述有表示所属于中继服务器的客户终端的所属信息522。作为所属信息522，记述有所属的中继群的名称（“group”）、客户终端的识别信息（“id”）、客户终端的名称（“name”）、所属目的地的中继服务器的识别信息（“site”）。在客户终端未在中继通信系统100中登录时，“site”成为空栏。

另外，由中继群进行的通信基于上述的中继群信息以及中继服务器信息而按照以下的方式进行。例如在从客户终端13向客户终端22发送包的情况下，最初，客户终端13向自身所连接的中继服务器即中继服务器1发送包。另外，可进行包的交换的中继服务器能够基于上述的中继群信息而进行把握，所属于中继服务器的客户终端的识别信息以及连接与否能够基于上述的中继服务器信息而进行把握。中继服务器1基于这些信息，向客户终端22所连接的中继服务器即中继服务器2传送包。并且，接收到该包的中继服务器2向客户终端22传送包。这样，客户终端13、22彼此间能够进行中继通信。

关于该中继服务器信息也与中继群信息相同，在构成该中继群的中继服务器1、2、3之间共有信息。并且，在某中继服务器中进行了变更中继服务器信息的处理的情况下，对其他的中继服务器发送该意思而更新中继服务器信息。这样，中继服务器信息被动态地共有。

客户终端信息存储部53存储有与客户终端有关的详细的信息即客户终端信息。另外，中继服务器1、2、3只存储有与所属于自身的客户终端有关的客户终端信息。由于客户终端34所属于中继服务器3，因此在中继服务器3具备的客户终端信息存储部53中只存储有关于客户终端34的客户终端信息。

中继服务器3的客户终端信息存储部53存储的客户终端信息如图5（c）所示。相同地，中继服务器1存储的客户终端信息在图5（a）中表示，中继服务器2存储的客户终端信息在图5（b）中表示。

图5所示的客户终端信息中记述有node标签。该node标签中记述有客户终端的专用IP地址（“addr”）、所属的中继群的名称（“group”）、识别信息（“id”）、名称（“name”）、用于登录到中继服务器的密码（“pass”）、端口信息（“port”）。

VPN群信息存储部54存储有与VPN群（通信群）有关的信息即VPN群信息，VPN群由构成中继群的中继服务器以及从客户终端起作为路由点被选择的设备（以下，成为路由设备）构成。通过使所属于同一VPN群的路由设备彼此间建立路由会话，能够开始利用了VPN的通信。

在图6所示的VPN群信息中，记述有vnet标签。该vnet标签中记述有VPN群基本信息541、路由点信息542、路由会话信息543。VPN群基本信息541中记述有VPN群所属的中继群的名称（“group”）、VPN群的识别信息（“id”）、最终更新时刻（“lastmod”）、VPN群的名称（“name”）。路由点信息542中记述有在VPN群间进行通信时进行路由的路由设备的识别信息。在图6的例中，作为路由设备，记述有中继服务器1、中继服务器3。路由会话信息543中记述有在VPN群中相互连接的路由设备。路由会话信息543中，路由设备在用于在VPN群中构筑VPN而开始通信的路由会话建立处理中，被划分确定为最初进行通信控制一侧（“sp（start point）”）和接收该通信控制一侧“ep（endpoint）”。另外，在以下的说明中，将最初进行路由会话建立用的通信控制一侧的路由设备称为“起点”，将接收该通信控制一侧的路由设备称为“终点”。

根据图6所示的VPN群信息可知，VPN群（VPN－GROUP1）由中继服务器1和中继服务器3构成。并且可知，在该VPN群的开始时，进行用于从中继服务器3向中继服务器1建立路由会话的通信控制。

该VPN群信息也与中继服务器信息以及中继群信息相同，在所属于相同的VPN群的中继服务器1、3之间共有。并且，在某中继服务器中进行了变更VPN群信息的处理的情况下，对所属于相同的VPN群的其他的中继服务器，发送该意思而更新VPN群信息。这样，VPN群信息被动态共有。另外，对于作成该VPN群的处理在后面叙述。

地址过滤器信息存储部55存储进行利用了VPN包的路由控制时所使用的信息即地址过滤器信息。地址过滤器信息存储部55存储表示VPN的构築前中继服务器3自身可直接发送包的装置（路由对象装置）的信息（中继服务器3的地址过滤器信息）（参照图7（c））。另外，地址过滤器信息中包含路由对象装置的地址（路由对象地址）、路由对象装置的名称。

图7（c）所示的例中，记述有中继服务器3可直接发送包的设备是对象终端31、32、33。另外，图7（a）中示出了事先注册在中继服务器1中的地址过滤器信息，图7（b）中示出了事先注册在中继服务器2中的地址过滤器信息。

通信设定信息存储部56存储由初始通信设定和当前通信设定构成的通信设定信息。通信设定信息存储部56如图7（c）所示，将初始通信设定和当前通信设定与路由对象地址建立对应地存储。初始通信设定是指，表示将上述路由对象地址作为目的地的中继通信的许可／禁止的初始设定的信息。当前通信设定是指，表示将利用了VPN的通信开始后的上述路由对象地址作为目的地的中继通信的许可／禁止的当前的设定的信息。因此，开始利用了VPN的通信前，如图7（c）所示，当前通信设定未被注册。

图7（c）所示的例中，记述有对象终端31以及对象终端32的初始通信设定为“许可”，对象终端33的初始通信设定为“禁止”。因此，在中继服务器3与中继服务器1建立了路由会话的情况下，只要不变更当前通信设定，就不能从LAN10侧向对象终端33进行访问。

下面，对使用地址过滤器信息以及初始通信设定而进行的处理进行说明。如上述那样，中继服务器3的地址过滤器信息存储部55在构筑VPN前仅存储图7（c）所示的地址过滤器信息。之后，中继服务器3在与例如中继服务器1建立路由会话时，仅将事先注册于自身的地址过滤器信息（图7（c））中、通过初始通信设定而被“许可”的路由对象地址向中继服务器1发送，并且也从中继服务器1接收地址过滤器信息（图7（a））。之后，中继服务器3将中继服务器1的地址过滤器信息与该中继服务器1的识别信息建立对应而存储于地址过滤器信息存储部55。

由此，中继服务器3中成为存储有图9（a）所示的内容。并且，中继服务器1中成为存储有图8（a）所示的内容。另外，由于中继服务器3不将对象终端33的地址向中继服务器1发送，因此如图8（a）所示，中继服务器1中未注册对象终端33。因此，不能进行从LAN10侧向对象终端33的访问。另外，下面，有时将中继服务器3的地址过滤器信息中所包含的路由对象地址称为第1路由对象地址，将中继服务器1的地址过滤器信息中所包含的路由对象地址称为第2路由对象地址。

接着，对用于进行利用了VPN的通信的准备进行说明。首先，参照图10对中继服务器中事先进行的设定进行说明，接着，参照图11对作成VPN群时的流程进行说明。图10是表示事先在中继服务器3中进行的设定的流程图。图11是表示作成VPN群的处理的流程图。下面，以中继服务器3举例，说明对中继服务器3进行的设定以及中继服务器3执行的处理，但中继服务器1、2中也进行相同的设定，并且设为中继服务器1、2中也可执行相同的处理。

作为在中继服务器3中事先进行的设定，有该中继服务器3的地址过滤器信息的注册（S101）。该注册通过利用中继通信系统100的用户以规定的方法输入作为路由对象装置而指定的设备等的地址（第1路由对象地址）和名称来进行。这里，设为用户输入了对象终端31、32、33的地址以及名称。这里被注册的地址过滤器信息存储在地址过滤器信息存储部55中。

接着，用户进行上述初始通信设定的注册（S102）。用户对于路由对象装置中、通常不容许来自其他的LAN的访问的终端，进行“禁止”的注册，对于其以外的终端进行“许可”的注册。本实施方式中设为，在对象终端33中注册了“禁止”，在对象终端31、32中注册了“许可”。这里被注册的初始通信设定存储在通信设定信息存储部56中。

接着，对作成VPN群时的流程进行说明。用户能够最初通过操作客户终端13、22、34等来显示VPN群的设定画面。这里，对使用客户终端34来设定的情况进行说明。显示于客户终端34的设定画面中，显示该客户终端34所属的多个中继群。用户从该多个中继群中，选择想要构筑VPN群的中继群（S201）。

当选择中继群时，在客户终端34的画面中显示属于所选择的中继群且作为路由点可发挥功能的中继服务器以及客户终端的识别信息的一览（S202）。之后，用户选择在构筑的VPN群作为路由点发挥功能的中继服务器以及客户终端（S203）。在本次说明中设为用户选择了中继服务器1、中继服务器3。

之后，基于所选择的中继服务器的识别信息，来作成路由点的识别信息以及上述路由会话信息（S204）。之后，通过在这些信息中附加VPN群的识别信息等，作成图6所示的VPN群信息。客户终端34将该VPN群信息向所属于相同的VPN群的中继服务器1、3发送（S205）。之后，中继服务器1、3将接收到的VPN群信息存储在VPN群信息存储部54中。通过以上，VPN群的构筑处理结束。

接着，参照图12～14对在构築了的VPN群中开始通信之前的流程进行说明。图12～图14是表示开始利用了VPN的通信之前所进行的处理的流程图。

用户能够通过操作客户终端13或操作PC11等使构筑了的VPN群显示于画面上。并且，能够通过从所显示的VPN群中选择适当的VPN群（S301），来进行用于构筑VPN的处理。在本次说明中，说明中继服务器3进行上述作成的VPN群（由中继服务器1、3构成的VPN群）的开始处理的例子。

中继服务器3首先读出与自身建立对应了的地址过滤器信息（S302）。之后，从构成地址过滤器信息的第1路由对象地址的列表中选择一个，读出与该路由对象地址对应的初始通信设定（S303）。接着，中继服务器不按照读出的初始通信设定的内容地受理例外地（临时地）进行与其不同的设定的情况下的指示（S304）。例如由于需要维护作业等的事情，希望不采用初始通信设定而通过不同的设定（仅限本次的设定）来进行通信的情况下，用户通过在中继服务器3中进行规定的操作，能够进行从通信初始设定变更作为当前通信设定而注册的内容的指示。接着，中继服务器3优先考虑S304中受理的指示，同时将读出的初始通信设定的内容作为当前通信设定进行注册（S305）。具体来说，在S304中存在变更的指示的情况下，按照该指示，将许可／禁止作为当前通信设定进行注册，在S304中不存在指示的情况下，将初始通信设定的内容作为当前通信设定进行注册。接着，中继服务器3对于第1路由对象地址的列表中所记述的其他的第1路由对象地址也进行S304以及S305的处理。按照上述那样，对于对象终端31、32、33，读出初始通信设定，作为当前通信设定进行注册。另外，中继服务器3也可以构成为，不进行变更初始通信设定的内容而进行注册的指示的受理（S304），原样使用通信设定信息存储部56存储的初始通信设定而进行S305的处理。

接着，中继服务器3进行属于选择的VPN群的路由点的读出（图13的S307）。由此，基于图6所示的VPN群信息的内容，读出中继服务器1。中继服务器3基于中继服务器信息，首先判断中继服务器1是否处于登录中（“stat”是active或是空栏）（S308）。由于根据图4所示的中继服务器信息，中继服务器1处于登录中，因此中继服务器3向中继服务器1发送VPN群的识别信息及VPN群的开始命令（S309）。

中继服务器3如果接受相对于该开始命令的来自中继服务器1的应答（S310），则将中继服务器1作为构筑VPN的准备已结束的路由点进行注册（S311）。

接着，中继服务器3进行是否有所属于相同的VPN群的其他的设备的判断（S312）。由于当前作成中的VPN群仅由中继服务器1和中继服务器3构成，因此不存在其他的设备。另外，假设在存在其他的设备的情况下，中继服务器3下次将该设备作为对象而进行S308～S311的处理。

接着，中继服务器3从VPN群信息存储部54的存储内容中提取路由会话信息（图14的S313）。之后，中继服务器3参照提取出的路由会话信息，来判断是否记述有自身为起点的路由会话（S314）。在图6的路由会话信息中，在中继服务器1和中继服务器3之间应该建立的路由会话中，记述有自身（中继服务器3）为起点。

因此，中继服务器3对中继服务器1进行规定的通信控制而建立路由会话（S315）。另外，在进行该通信控制时，如上所述，交换地址过滤器信息。具体来说，中继服务器3仅提取当前通信设定中被设为“许可”的路由对象地址，将提取出的路由对象地址向中继服务器1发送（S316）。并且，中继服务器3从中继服务器1将路由对象地址从该中继服务器1接收而存储于地址过滤器信息存储部55（S317）。另外，这里中继服务器3接收的路由对象地址在图7（a）中为，当前通信设定被设为“许可”的路由对象地址。因此，中继服务器3将操作PC11、12的两方的路由对象地址从中继服务器1接收。

这里，当前通信设定的内容只要不是S304中说明的例外的设定的指示，就与初始通信设定的内容一致（参照S305）。因此，能够设为，S316中提取的地址（当前通信设定为“许可”的路由对象地址）实质上是初始通信设定为“许可”的路由对象地址。

如上所述，中继服务器3的地址过滤器信息存储部55中存储图9（a）所示的内容。并且，中继服务器1的地址过滤器信息存储部55中存储图8（a）所示的内容。

这样，在本实施方式中构筑VPN时，由于各个路由设备与其他的路由设备交换（取得）地址过滤器信息，因此能够使用最新的地址过滤器信息来构筑VPN。因此，即使在VPN开始前的阶段、在一部分的路由设备中变更了地址过滤器信息的情况下，也能够在使该变更反映到全部的路由设备的状态下构筑VPN而开始通信，能够防止包的路由中的矛盾的发生，能够提高可靠性。

接着，中继服务器3再次进行S314的处理。由于当前作成中的VPN群是仅由中继服务器1和中继服务器3构成的，因此在VPN群信息中未记述有其他的路由会话。因此，中继服务器3开始包的路由控制（S318）。另外，假设在存在其他的路由会话的情况下，中继服务器3再次进行S315～S317的处理。

并且，虽然在图14的流程图中未记载，但在S310中没有自身为连接的起点的路由会话的情况（自身为路由的终点的情况）下，也接收来自作为起点的路由设备的通信控制而进行路由会话的建立处理以及地址过滤器信息的交换。

另外，只要各个路由设备在路由会话信息中未记述有自身为起点这一意思，就不进行路由会话建立用的最初的通信控制，因此能够防止通信控制的冲突、以简单的控制来建立设备间的路由会话。

接着，参照图15等，说明使用建立了的路由会话来进行包的路由的处理。图15是表示路由控制的说明图。

首先，说明对象终端31向操作PC11发送包时的流程。如图15（a）所示，对象终端31指定操作PC11的地址（200．1．40．10）作为目的地地址，指定自身的地址（192．168．0．10）作为发送源地址。接收到该包的中继服务器3比较包的目的地地址和存储的地址过滤器信息（图9（a））。之后，获知目的地地址与中继服务器1建立了对应，经由路由会话将包向中继服务器1传送。

接收到该包的中继服务器1比较接收到的包的目的地地址和存储的地址过滤器信息（图8（a））。之后，获知目的地地址与自身（中继服务器1）建立了对应，将包向操作PC11发送。

接着，对从操作PC11向对象终端31发送包时的流程进行说明。如该图15（b）所示，操作PC11指定对象终端31的地址（192．168．0．10）作为目的地地址，指定自身的地址（200．1．40．10）作为发送源地址来发送包。接收到该包的的中继服务器1比较接收到的包的目的地地址和存储的地址过滤器信息（图8（a））。之后，获知目的地地址与中继服务器3建立了对应，经由路由会话将包向中继服务器3传送。

接收到该包的中继服务器3比较接收到的包的目的地地址与存储的地址过滤器信息（图9（a））。之后，获知目的地地址与自身（中继服务器3）建立了对应，将包向对象终端31发送。

利用了地址过滤器信息的路由控制如上所述地进行。因此，假设在从操作PC11向对象终端33发送了包的情况下，也由于中继服务器1在地址过滤器信息中未记述有对象终端33的地址而废弃该包。也就是说，本实施方式中，能够在禁止了从操作PC11、12向对象终端33的访问的状态下开始利用了VPN的通信。

接着，参照图16说明通信开始后、切换当前通信设定时中继服务器3进行的处理。图16是表示当前通信设定的许可／禁止被切换时的处理的流程图。

下面，对将对象终端33的当前通信设定从“禁止”向“许可”切换时进行说明。中继服务器3在VPN的构築后监视当前通信设定的切换指示的有无（S401）。中继服务器3在由用户指示了对象终端33的当前通信设定的切换的情况下，基于指示内容来切换当前通信设定（S402，参照图9（b））。因此，中继服务器3存储的当前通信设定如图9（b）所示被更新（参照点划线部分）。另外，中继服务器3在由用户进行了指示的情况下，将对象终端33的当前通信设定从“许可”向“禁止”切换。

接着，中继服务器3将更新后的地址过滤器信息向构成VPN群的其他的路由设备（本说明中为中继服务器1）发送（S403）。此时，中继服务器3可以仅关于地址过滤器信息的变更部分向中继服务器1发送，也可以将地址过滤器信息的整体向中继服务器1发送。

中继服务器1接受来自中继服务器3的通知，将与中继服务器3建立对应而存储了的地址过滤器信息更新。从而，中继服务器1存储的地址过滤器信息如图8（b）所示被更新（参照点划线部分）。由此，操作PC11、12成为能够向对象终端33访问的状态。

并且，中继服务器3不仅对当前通信设定的切换指示的有无、还对VPN的结束指示的有无进行监视（S404）。之后，在由用户指示了VPN的结束的情况下，中继服务器3进行将结束VPN这一情况向其他的路由设备（本说明中为中继服务器1）发送等，而结束VPN。

如上所述，本实施方式中，每当构筑VPN，中继服务器3只要在S304中不每次指示例外的设定，就在S305中将初始通信设定的内容作为当前通信设定进行注册。从而，即使在VPN的结束前、对象终端33的当前通信设定成为“许可”，再构筑了VPN时，对象终端33的当前通信设定也作为原则而强制返回初始通信设定的“禁止”。由此，能够防止就相对于对象终端33的通信，非有意地设为“许可”的设定，因此能够提高安全性。

如上所示，本实施方式的中继服务器3具备地址过滤器信息存储部55、通信设定信息存储部56、控制部60。地址过滤器信息存储部55存储位于LAN30内、作为中继服务器3可传送包的地址的第1路由对象地址；以及位于LAN10内的中继服务器1可传送包的第2路由对象地址。通信设定信息存储部56存储表示中继通信的许可／禁止的初始设定的初始通信设定；以及表示当前的设定的当前通信设定。控制部60提取初始通信设定中被设为许可的第1路由对象地址，将提取到的第1路由对象地址向中继服务器1发送，并且从中继服务器1接收第2路由对象地址，与中继服务器1建立路由会话。控制部60将初始通信设定的内容作为当前通信设定进行注册。控制部60在从第1路由对象装置接收到以第2路由对象装置为目的地的包时，将该包经由路由会话向中继服务器1传送。控制部60在从路由会话接收到以第1路由对象地址为目的地的包时，将该包向目的地的第1路由对象装置传送。

由此，通过预先设对象终端33的初始通信设定为“禁止”，能够在将向对象终端33的访问设为禁止的状态下，开始利用了VPN的通信。从而，（除了例外地应许可向对象终端33的访问的情况以外）在通信开始后，用户不需要手动变更设定，因此能够减轻用户的麻烦。并且，不会发生用户忘记设定等的人为的失误，因此能够提高安全性。

并且，本实施方式的中继服务器3在路由会话的建立后切换了当前通信设定时，将切换后的内容向中继服务器1发送。

由此，能够将已切换通信的许可／禁止这一情况向中继服务器1通知，因此能够进行反映了变更内容的中继通信。

并且，在本实施方式的中继服务器3中，控制部60即使在路由会话的建立后变更了当前通信设定的情况下，也在路由会话的再建立时将当前通信设定返回初始通信设定。

由此，关于与通常不受理访问的设定的对象终端33之间的通信，能够防止非有意地设为“许可”的设定，因此能够提高安全性。

接着，参照图17对上述实施方式的变形例进行说明。图17是表示有关变形例的地址过滤器信息以及通信设定信息的内容的图。

本变形例中构成为，采用上述实施方式的构成的同时使可设定的事项充实。具体来说，本变形例中能够按照VPN的构筑对象的每个中继服务器来设定初始通信设定。

该设定能够基于例如中继服务器的设置目的地来决定。例如，中继服务器3的设置目的地的企业与中继服务器1的设置目的地的企业不同，另一方面，中继服务器3的设置目的地的企业与中继服务器2的设置目的地的企业相同。该情况下，若从中继服务器1常时受理向对象终端33的通信，则从安全性上的观点来看，存在产生问题的可能性。另一方面，即使从中继服务器2常时受理向对象终端33的通信，也多数安全性上不存在问题。该情况下，如图17所示，通过将对象终端33的向中继服务器1的初始通信设定设为“禁止”、将向中继服务器2的初始通信设定设为“许可”，能够构筑与上述对应的VPN。

并且也可以设为，不仅是按照每个中继服务器来切换初始通信设定的构成，而是能够例如按照每个VPN群来切换初始通信设定的构成。例如，可以考虑在由同一企业彼此所构成的VPN群中将初始通信设定设为“许可”、在由多个企业构成的VPN群中将初始通信设定设为“禁止”等的设定方法。具体来说，属于VPN－群1的中继服务器设置于多个企业，另一方面，属于VPN－群2的中继服务器设置于一个企业。在VPN－群1中，若常时受理向对象终端33的通信，则从安全性上的观点来看，存在产生问题的可能性。另一方面，在VPN－群2中，即使常时受理向对象终端33的通信，也多数安全性上不存在问题。该情况下，如图17（b）所示，通过在VPN－群1中将对象终端33的初始通信设定设为“禁止”、在VPN－群2中将对象终端33的初始通信设定设为“许可”，能够构筑与上述对应的VPN。

上面说明了本发明的优选的实施的形态以及变形例，但上述的构成例如可以如以下那样进行变更。

上述实施方式中，每当注册一个路由对象地址时，进行不按照读出的初始通信设定的内容的特别的指示的受理（S304）。但是，也可以取代其而按以下方式进行，最初，对于路由对象地址的全部将初始通信设定原样复制为当前通信设定，之后，对于全部的路由对象地址将当前通信设定的内容以例如列表形式表示后，将上述的特别的指示一并受理。

上述实施方式中，在开始通信的阶段，中继服务器将初始通信设定的内容复制到当前通信设定后（S303～S306），基于当前通信设定的内容来决定是否将路由对象地址发送到其他的中继服务器（S316）。但是也可以取代其而构成为，中继服务器基于初始通信设定的内容来决定是否将路由对象地址发送到其他的中继服务器，之后，将初始通信设定的内容注册为当前通信设定。但是，当然该情况下也应该考虑S304中用户进行了特别的指示的情况。

上述中构成为，与路由会话的建立大致同时地进行地址过滤器信息的交换。与此相对地，可以构成为，与VPN群的开始命令的发送（S309）一起发送地址过滤器信息，与应答（S310）一起接收地址过滤器信息。

上述中操作PC11等的个别的设备成为了路由对象装置，但例如也可以将LAN10整体（200．1．40．0／24）设定为中继服务器1的路由对象装置。

上述中是仅将中继服务器作为路由点而发挥功能的构成，但也可以是将客户终端作为路由点而发挥功能的构成。并且，VPN群内的路由点的数量不限于2个，也可以是3个以上。并且，1个路由设备可以所属于多个VPN群。

保存上述的中继群信息、中继服务器信息、客户终端信息、VPN群信息、地址过滤器信息等的形式不限于XML形式，能够以适当的形式保存各信息。

可以代替上述实施方式的构成而构成为，将各中继服务器间的通信所使用的外部服务器设置于互联网上，使其发挥作为SIP（SessionInitiaion Protocol，会话发起协议）服务器的功能来进行通信。

Claims (7)

1.一种中继服务器，其特征在于，具备：

地址过滤器信息存储部，存储第1路由对象地址和第2路由对象地址，第1路由对象地址是位于第1LAN内、可传送包的第1路由对象装置的地址，第2路由对象地址是位于第2LAN内的第2中继服务器可传送包的第2路由对象装置的地址；

通信设定信息存储部，存储表示以上述第1路由对象地址为目的地的中继通信的许可或禁止的初始设定的初始通信设定、和表示当前的设定的当前通信设定；以及

控制部，

上述控制部进行如下控制：

提取上述初始通信设定中被设为许可的第1路由对象地址、将提取出的第1路由对象地址向上述第2中继服务器发送、并且从上述第2中继服务器接收上述第2路由对象地址、与上述第2中继服务器建立路由会话的控制；

将上述初始通信设定的内容作为上述当前通信设定进行注册的控制；

在从上述第1路由对象装置接收到以上述第2路由对象装置为目的地的包时，将该包经由上述路由会话向上述第2中继服务器传送的控制；以及

在从上述路由会话接收到以第1路由对象地址为目的地的包时，将该包向目的地的上述第1路由对象装置传送的控制。

2.如权利要求1所述的中继服务器，其特征在于，

在上述路由会话建立后上述当前通信设定被切换了时，将切换后的内容向上述第2中继服务器发送。

3.如权利要求1所述的中继服务器，其特征在于，

上述通信设定信息存储部能够按照每个中继服务器存储不同的上述初始通信设定。

4.如权利要求1所述的中继服务器，其特征在于，

将包含多个中继服务器而构成的、使所属于同一群的中继服务器彼此间建立路由会话而相互进行通信的群称为通信群时，

上述通信设定信息存储部能够按照每个上述通信群存储不同的上述初始通信设定。

5.如权利要求1所述的中继服务器，其特征在于，

上述控制部即使在路由会话建立后上述当前通信设定被变更了的情况下，也在路由会话再建立时将上述当前通信设定返回到上述初始通信设定。

6.一种中继服务器，其特征在于，具备：

地址过滤器信息存储部，存储第1路由对象地址和第2路由对象地址，第1路由对象地址是位于第1LAN内、可传送包的第1路由对象装置的地址，第2路由对象地址是位于第2LAN内的第2中继服务器可传送包的第2路由对象装置的地址；

通信设定信息存储部，存储表示以上述第1路由对象地址为目的地的中继通信的许可或禁止的初始设定的初始通信设定；以及

控制部，

上述控制部进行如下控制：

提取上述初始通信设定中被设为许可的第1路由对象地址、将提取出的第1路由对象地址向上述第2中继服务器发送、并且从上述第2中继服务器接收上述第2路由对象地址、与上述第2中继服务器建立路由会话的控制；

在从上述第1路由对象装置接收到以上述第2路由对象装置为目的地的包时，将该包经由上述路由会话向上述第2中继服务器传送的控制；以及

在从上述路由会话接收到以第1路由对象地址为目的地的包时，将该包向目的地的上述第1路由对象装置传送的控制。

7.一种中继通信系统，包含第1中继服务器以及第2中继服务器而构成，其特征在于，

位于第1LAN内的第1中继服务器具备：

地址过滤器信息存储部，存储第1路由对象地址和第2路由对象地址，第1路由对象地址是位于第1LAN内的该第1中继服务器可传送包的第1路由对象装置的地址，第2路由对象地址是位于第2LAN内的第2中继服务器可传送包的第2路由对象装置的地址；

通信设定信息存储部，存储表示以上述第1路由对象地址为目的地的中继通信的许可或禁止的初始设定的初始通信设定和表示当前的设定的当前通信设定；以及

控制部，

上述第1中继服务器的上述控制部进行如下控制：

提取上述初始通信设定中被设为许可的第1路由对象地址、将提取出的第1路由对象地址向上述第2中继服务器发送、并且从上述第2中继服务器接收上述第2路由对象地址、与上述第2中继服务器建立路由会话的控制；

将上述初始通信设定的内容作为上述当前通信设定进行注册的控制；

在从上述第1路由对象装置接收到以上述第2路由对象装置为目的地的包时，将该包经由上述路由会话向上述第2中继服务器传送的控制；以及

在从上述路由会话接收到以第1路由对象地址为目的地的包时，将该包向目的地的上述第1路由对象装置传送的控制。

Images