JP2002237814A - 仮想私設網 - Google Patents

Abstract

(57)【要約】 【課題】 複数のデータ通信インフラにアクセス可能で
新たに取得した送信元ＩＰアドレスを用いたＩＰカプセ
ル暗号化通信機能を持った端末を用いて両通信端点間で
暗号化通信を実現し、いつどこからでもデータベースに
アクセスできるようにする。 【解決手段】 アクセスしたいデータベース１２０が私
設網に設置されている場合、公衆網と、公衆網と私設網
を接続する契約プロバイダ３００と、データベース１２
０が設置されている私設網と、公衆網にアクセスするＩ
Ｐカプセル暗号化機能を持つユーザ端末１０とを使用す
る。ユーザ端末１０は、外出先で公衆網２００経由で契
約プロバイダ３００に接続し、契約プロバイダよりＩＰ
アドレスを取得し、契約プロバイダ３００が、端末要求
に基き、私設網１００にアクセスし、私設網１００が端
末１０のアクセスを認証し、端末１０が通信を暗号化
し、公衆網２００及び契約プロバイダ３００経由でＩＰ
カプセル化通信を行う。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、仮想私設網（ＶＰ
Ｎ；バーチャルプライベートネットワーク）に関し、特
に、電子メールアクセスなどのように、インターネット
などを介してユーザが外部からデータベースへアクセス
する仮想私設網に関し、運用者が異なる複数のネットワ
ークのどれからアクセスしても、両端点間で秘密を維持
してアクセスでき、また一元的に情報を管理でき、その
結果ユーザは常に最新のデータベースにいつでも、どこ
からでもアクセスできる仮想私設網（ＶＰＮ）に関す
る。

【０００２】

【従来の技術】モバイルユーザなど、任意の地点からネ
ットワークアクセスするユーザは、一般に、公衆網を利
用し、サービス事業者すなわち契約プロバイダが提供す
るネットワークにアクセスしている。これらのモバイル
ユーザは公衆網を利用したアクセス手段以外に、自社内
ＬＡＮ等の私設網にアクセスし業務データベースを使用
している。それぞれのネットワーク環境はそれぞれが独
立して運用されているため、任意のネットワークから一
つのデータベースに容易に且つ秘匿性を維持してアクセ
スすることができない。たとえば、電子メールにおいて
は、ユーザはモバイル環境に適合するよう契約プロバイ
ダの自分のアカウント宛て事前に転送などの処置を施
し、利用している。自社内ファイルサーバにあるファイ
ルを外出先で使用する場合、移動時に使用するパーソナ
ルコンピュータ（ＰＣ）に事前にコピーしておくか、メ
ールに添付し前記アカウント宛て事前に送付しておく
か、あらかじめＦＴＰ（インターネットのファイル転送
プロトコル）サイトに所要ファイルを張りつけ、外出先
でＳＯＣＫＳ接続（代理接続又はプロキシ接続）しダウ
ンロードするかしている。しかし、秘匿や保安上の問題
でアップロードには相当な制限があった。

【０００３】更に、契約プロバイダが提供するＩＰカプ
セル通信によるＶＰＮサービスでは、契約プロバイダの
アクセスポイントと契約プロバイダ内のＶＰＮアクセス
サーバ間ではカプセル通信が行われている。しかし、端
末と契約プロバイダのアクセスポイント間は、一般に公
衆網を経由しており、カプセル化が行われておらず、公
衆網上でデータベースのＩＰアドレスやホームＩＰアド
レスは暗号化されず、秘匿及び保安上問題があった。

【０００４】又、データベースにアクセスできるＩＰア
ドレスを契約プロバイダが管理することになり、データ
ベースが契約プロバイダの管理外に設置されている場合
などは、管理するＩＰアドレス数の制限などから、アク
セス数を制限せざるを得ない。又、アクセスできる契約
プロバイダが特定されるため、ユーザにとって不便であ
った。

【０００５】又、契約プロバイダ内のＶＰＮアクセスサ
ーバとデータベースのアクセスを管理するアクセスサー
バ間もＩＰカプセル通信は行われておらず、この間を専
用線等で物理的に外部から遮断する必要がある。

【０００６】一方、通信オペレータが提供するＶＰＮサ
ービスでは、通信端末に固有のアドレスを設定した上
で、ターゲットとするネットワークのアクセス可否を決
定する識別子を通信網内で予め割り当てておいて、この
識別子と端末アドレス等でターゲットのネットワークへ
のアクセスの認証を行うものがある。この場合、通信網
においてターゲットネットワークへのアクセス認証が行
われるため、この通信網以外の通信網ではアクセスでき
ず、この通信網に依存し又この通信網でしか機能しない
端末が必要となり、ユーザの自由度が低い。又、通信網
上での暗号化は通信オペレータに依存することとなる一
方で、その通信網とターゲットネットワーク間の通信は
通常のＩＰ通信となり、契約プロバイダが提供するリモ
ートＶＰＮサービスと同様に、この部分の秘匿性に問題
がある。更に、ターゲットネットワークにアクセスでき
るＩＰアドレスあるいはこれと関連付けできる端末アド
レスを予め端末に設定したり識別子を予め割り当ててお
くため、通信オペレータがこれらアドレスをターゲット
ネットワークの運用者から払い出しを受け管理しなけれ
ばならない。その結果、アドレス数の制限からアクセス
者数を制限せざるを得なくなる。

【０００７】

【発明が解決しようとする課題】従来のメール転送等の
ファイル転送技術では転送元から転送先への一方向の転
送に過ぎず、事前の操作ゆえそれ以降の変更が反映され
ておらず、従って一つのデータベースでの一元管理とは
なっていない。

【０００８】また、公衆網を経由してＶＰＮサービスを
受ける場合、従来の方法では、両端点間でデータベース
のＩＰアドレス及びデータベースにアクセスできるＩＰ
アドレスを含めたＩＰパケット信号が暗号化されておら
ず秘匿性に問題がある。更に、通信網上でデータ部分の
秘匿性をある程度保つためには契約プロバイダ或いは通
信網事業者による通信網上で特殊な制御手順が必要とな
るため、ユーザがその場その場で自由に契約プロバイダ
や通信網を選択することはできない。更に、暗号化方式
や暗号キーは契約プロバイダあるいは通信網事業者が採
用するものに限られるため、データベース管理者が暗号
化方式や暗号キーを独自に設定することもできない。

【０００９】そこで、本発明は、モバイルユーザが、公
衆網等を使って外出先にある契約プロバイダのアクセス
ポイントを利用して、公衆網や契約プロバイダが提供す
る通信網に特別な秘匿システムを用いなくても、秘匿
性、安全性を保ったまま、社内などに置かれている、ユ
ーザがアクセスしたいデータベースにアクセスできる、
複数のデータ通信インフラに比較的高速にアクセス可能
なＩＰカプセル通信及び暗号化の機能を持った端末をも
とにしたＶＰＮサービスを提供することを目的としてい
る。

【００１０】

【課題を解決するための手段】上記の課題を解決するた
めの本発明の仮想私設網は、相互に接続されている複数
の独立したネットワークと、前記ネットワークにアクセ
スでき、新たに取得した送信元ＩＰアドレスを用いたＩ
Ｐカプセル通信及び暗号化機能を持つ端末と、前記ネッ
トワークのいずれかに接続されたデータベースと、前記
データベースへのアクセスを管理制御しＩＰカプセル通
信及び暗号化機能を持つアクセスサーバとを備え、前記
端末がいずれのネットワークからでも前記データベース
にＩＰカプセル暗号化通信により秘匿性を保ったままア
クセスするようにしている。

【００１１】具体的には、本発明の仮想私設網（ＶＰ
Ｎ）は、複数の相互に接続された独立したネットワーク
が私設網と公衆網により構成され、アクセスしたいデー
タベースが私設網に設置されている場合であって、公衆
網と、公衆網と当該私設網を接続する契約プロバイダ
と、データベースが設置されている私設網と、公衆網に
アクセスするＩＰカプセル暗号通信機能を持つユーザ端
末とを有する。

【００１２】また、本発明のＶＰＮは、複数の相互に接
続された独立したネットワークが私設網と公衆網により
構成され、私設網に設置されているアクセスしたいデー
タベースと同一内容のものが公衆網に接続している契約
プロバイダ側にも準備されている場合であって、公衆網
と、データベースが設置されている契約プロバイダと、
データベースが設置されている私設網と、公衆網にアク
セスするＩＰカプセル暗号通信機能を持つユーザ端末と
を有する。

【００１３】また、本発明のＶＰＮは、公衆網に接続し
ている契約プロバイダがデータベースが設置されている
私設網の通信、管理など運用の委託を受けて運用または
サービスの提供を行っている場合であって、公衆網と、
データベースの運用管理を行う契約プロバイダと、公衆
網にアクセスするＩＰカプセル暗号通信機能を持つユー
ザ端末とを有する。

【００１４】又、本発明のＶＰＮは、ユーザ端末が家庭
内ＬＡＮ等を含むアクセスしたいデータベースが設置さ
れていない私設網に接続し、インターネット網経由アク
セスしたいデータベースが設置されているターゲットネ
ットワークに接続する場合であって、私設網と、アクセ
スしたいデータベースが設置されているターゲットネッ
トワークと、ＩＰカプセル暗号通信機能を持つユーザ端
末と私設網とターゲットネットワークを結ぶインターネ
ット網を有する。

【００１５】又、本発明のＶＰＮに使用されるユーザ端
末は、複数のネットワークに接続されることを前提とし
ているため、接続の優先順位の設定をする手段を有して
もよい。その優先順位は、（１）有線ＬＡＮ接続、
（２）無線ＬＡＮ接続、（３）公衆網接続の順位であ
る。さらに公衆網に接続する場合においては、ユーザ端
末に設定する位置情報たとえば、ユーザ端末の位置での
電話番号のエリアコード、あるいは公衆網側のサービス
として位置情報が得られる場合においては、その情報を
基にして、あらかじめユーザ端末に設定しておいた位置
情報ともっとも安くアクセスできるアクセスポイントの
ダイアル番号あるいはアドレスを関連つけたテーブルを
基に、もっとも安くアクセスできるアクセスポイントに
接続する手段を有してもよい。

【００１６】

【発明の実施の形態】以下、図面を参照して本発明の実
施の形態について説明する。

【００１７】［第１の実施形態］図１は、第１の実施形
態の仮想私設網（ＶＰＮ）のブロック図である。このＶ
ＰＮは、私設網１００と、公衆網２００と、私設網１０
０と公衆網２００の接続の仲立を行う契約プロバイダ３
００と、私設網１００に直接アクセスできる環境でも使
用でき、外出先では公衆網２００に接続するユーザ端末
１０と、を含んでいる。

【００１８】ユーザ端末１０はラップトップコンピュー
タ等の可搬性ある情報処理装置と、公衆網２００とイン
ターフェイスできるネットワークカード１１から構成さ
れている。ユーザ端末１０は公衆網２００にアクセスす
る機能及び、ＩＰカプセル暗号通信機能を備えている。

【００１９】ユーザ端末１０は私設網１００に直接アク
セスできる環境では私設網１００に優先的にアクセス
し、私設網１００に直接アクセスできない環境では公衆
網２００にアクセスする機能を有する。この機能は実装
されるネットワークカード１１の機能制限あるいは実装
の有無を基にした判断機能をユーザ端末１０に組込むこ
とによって、あるいはネットワーク接続における接続の
優先順位付けの機能をユーザ端末１０に組込むことによ
っておこなわれる。その優先順位は、最優先を有線ＬＡ
Ｎ接続とし、次に無線ＬＡＮ接続、最下位として公衆移
動通信、公衆回線などの公衆網接続とする。

【００２０】私設網１００は、アクセスしようとするデ
ータベース１２０と、データベース１２０を管理運用す
るワークステーション・サーバ等の情報処理装置、ユー
ザ端末へのアクセス装置、及び外部との接続の管理、制
御及び、必要なら外部とＩＰカプセル暗号化通信を行う
機能を備えるアクセスサーバ１３０を含んでいる。又私
設網１００は、契約プロバイダ３００とインターネット
通信する機能を備えている。

【００２１】公衆網２００は携帯電話や無線ＬＡＮなど
の無線通信を含む通信網であって、契約プロバイダ３０
０とユーザ端末１０間のインターネット通信を提供する
機能を備える。

【００２２】契約プロバイダ３００はユーザ端末１０の
ユーザなどの加入者により使用され、ワークステーショ
ン・サーバ等の情報処理装置によって構成される。この
契約プロバイダ３００は、公衆網２００経由でユーザ端
末１０と通信する機能、私設網１００とインターネット
通信する機能、及びユーザ端末１０と私設網１００との
間のインターネット通信の中継をする機能を備える。

【００２３】図２は、第１の実施形態の仮想私設網（Ｖ
ＰＮ）の動作を説明するためのシーケンス図である。こ
のシーケンス図には、ユーザ端末１０を用いて外部から
データベース１２０にアクセスできるように事前に必要
なＩＤ等を設定する手順が示されている。

【００２４】まず、ステップＳ１において、ユーザ端末
１０はあらかじめ設定された接続優先順位に従って私設
網１００に接続を試みる。通常、接続には有線ＬＡＮ接
続か無線ＬＡＮ接続が用いられているためこれらの優先
順位を高く設定しておけば、ユーザ端末１０は私設網１
００に直接接続できる環境下にある場合、このどちらか
で私設網１００に直接接続されることが優先的に行われ
る。ユーザ端末１０は、私設網１００の管理者の許可を
得て、ユーザ端末１０が外部からアクセスする際の認証
のためのパラメータの設定を要求する。ユーザ端末が規
定にあった端末であればステップ２に移行し、規定にあ
った端末でなければ動作を中断する。

【００２５】図３に示すように、アクセスサーバ１３０
に関するパラメータは、例えば、ユーザＩＤ、ユーザパ
スワード、ユーザの接続開始ＩＤ、ホームＩＰアドレ
ス、初期の暗号キー等である。又、ユーザ端末１０又は
ネットワークカード１１に関するパラメータは、例え
ば、ユーザの接続開始ＩＤ、ホームＩＰアドレス、初期
の暗号キー等である。

【００２６】次に、ステップＳ２において、アクセスサ
ーバ１３０のためにユーザＩＤ及びユーザパスワードを
生成する。ユーザＩＤ及びユーザパスワードをユーザ及
びアクセスサーバ１３０に送る。

【００２７】次に、ステップＳ３において、アクセスサ
ーバ１３０、ユーザ端末１０又はネットワークカード１
１がユーザを初期認識するためのユーザの接続開始ＩＤ
を生成する。

【００２８】次に、ステップＳ４において、事前にデー
タベース１２０にアクセスできるホームＩＰアドレスが
設定できる場合、アクセスサーバ１３０、ユーザ端末１
０又はネットワークカード１１のために、そのＩＰアド
レスをパラメータとして生成する。

【００２９】次に、ステップＳ５において、アクセスサ
ーバ１３０、ユーザ端末１０又はネットワークカード１
１のために、暗号キーを生成する。

【００３０】次に、ステップＳ６において、アクセスサ
ーバ１３０はユーザデータテーブルを作成する。

【００３１】尚、図２において、ステップＳ３、Ｓ４、
Ｓ５はネットワークカード１１に対して実行されている
が、ユーザ端末１０に対して実行してもよい。又、ネッ
トワークカード１１をユーザ端末１０に設定時に実装で
きない場合は、ユーザ端末１０に対してステップＳ３か
らＳ５を実行して、その後に、ネットワークカード１１
にパラメータをオフライン設定してもよい。

【００３２】図４は、ユーザ端末が私設網に直接アクセ
スできない場合のＶＰＮの動作を説明するためのシーケ
ンス図である。

【００３３】先ず、ステップＡ１において、ユーザはユ
ーザ端末１０を使用して公衆網２００を介してプロバイ
ダ３００にアクセスする。ユーザ端末１０が公衆網２０
０に接続する際、あらかじめユーザ端末１０に接続の優
先順位を設定しておけば、公衆網２００が有線ＬＡＮ接
続、無線ＬＡＮ接続、移動通信網接続など複数を具備し
ている場合においても、ユーザ端末は優先順位に従い接
続を試みるため、ユーザが望まない接続をユーザが廃棄
することによってユーザがもっとも望む接続を高速接続
順に選択できるようになる。

【００３４】また、あらかじめユーザ端末１０の位置と
そこからもっとも安くアクセスできるプロバイダ３００
のアクセスポイントのダイアル番号あるいはアクセスポ
イントのアドレスを関連つけたテーブルをユーザ端末１
０に設定しておけば、接続の際、これを用いることによ
って、もっとも安くアクセスできるアクセスポイントに
接続する手段を有することになる。たとえば、ユーザ端
末の位置情報として電話のエリアコードを用いれば、そ
れをユーザ端末１０に入力するだけでもっとも安くアク
セスできるアクセスポイントに接続することができる。
公衆網２００から位置情報が得られる場合においては、
これを位置情報として利用することによりもっとも安く
アクセスできるアクセスポイントに自動的に接続する手
段を有することになる。

【００３５】次に、ステップＡ２において、契約プロバ
イダ３００はユーザ端末１０の通常の認証を行なった
後、契約プロバイダ３００が管理するリモートＩＰアド
レスＰＰＰをユーザ端末１０のネットワークカード１１
に送る。ユーザ端末１０はこのリモートＩＰアドレスＰ
ＰＰをネットワークアドレスとして使用する。

【００３６】次に、ステップＡ３において、ユーザ端末
１０は契約プロバイダ３００経由で私設網１００のアク
セスサーバ１３０に対し認証要求を行う。そのために、
ユーザ端末１０は、ユーザの接続開始ＩＤをデータとす
るパケットを、アクセスサーバ１３０に送付する。

【００３７】以下、図５を参照して上記認証要求後の認
証手順について説明する。

【００３８】まず、ステップＡ３１において、アクセス
サーバ１３０は、乱数を生成し、公衆網２００を介して
ユーザ端末１０に送る。

【００３９】次に、ステップＡ３２において、ユーザ端
末１０は、送られてきた乱数とユーザパスワードで演算
を行う。

【００４０】次に、ステップＡ３３において、その演算
結果にユーザＩＤを付加し、それを暗号キーで暗号化し
て、公衆網２００を介してアクセスサーバ１３０に送
る。

【００４１】一方、ステップＡ３４において、アクセス
サーバ１３０は、接続開始ＩＤを手がかりにパラメータ
設定時に作成したユーザデータテーブルからユーザパス
ワードを読み出し、そのユーザパスワードと上述した乱
数とでユーザ端末１０と同じ演算を行う。

【００４２】次に、ステップＡ３５において、ユーザ端
末１０から送られてきた演算結果及びユーザＩＤを復号
化したものを、アクセスサーバ１３０による演算結果及
びユーザデータテーブル中のユーザＩＤと比較する。

【００４３】次に、ステップＡ３６において、比較の結
果、両者が合致した場合には、認証成功として、リモー
トＩＰアドレスからユーザデータテーブルを参照する参
照テーブルを作成する。一方、演算結果又はユーザＩＤ
のいずれかが不一致の場合は、認証失敗として、呼を切
断する。

【００４４】尚、接続開始ＩＤ及び暗号キーは、定期的
又はユーザ端末認証の度に更新してもよい。

【００４５】再び図４を参照して、認証手続終了後の処
理について説明する。

【００４６】図５に示した認証手続後のステップＡ４に
おいて、アクセスサーバ１３０は認証を行った後、ユー
ザ端末１０が私設網１００内でデータベース１２０にア
クセスできるよう、私設網１００の内部で使用され、デ
ータベース１２０にアクセスできるＩＰアドレス（ＩＰ
１）を、ユーザ端末１０の内部ＩＰアドレスとして暗号
キーで暗号化した上で、ユーザ端末１０に送る。ユーザ
端末１０は、これを復号化して内部ＩＰアドレスとして
設定する。

【００４７】尚、事前にユーザ端末１０の内部ＩＰアド
レスが、私設網１００の内部で使われデータベース１２
０にアクセスできるＩＰアドレスにステップＳ４あるい
は手動等で設定されている場合には、ステップＡ４を省
略することができるため、秘匿性はさらに向上する。

【００４８】次に、ステップＡ５において、この内部Ｉ
Ｐアドレスに基づいて、私設網１００とユーザ端末１０
間でＩＰカプセル化によるＩＰ通信を行う。

【００４９】以下、図６を参照して、ＩＰカプセル通信
について説明する。

【００５０】まず、ユーザ端末１０のユーザソフトウエ
アでは内部ＩＰアドレス即ちホームＩＰアドレスＩＰ１
からデータベース１２０のＩＰアドレスＩＰ２宛てのＩ
Ｐパケットデータを作成する。そして、ユーザ端末１０
或いはこれに実装されているネットワークカード１１
は、これを暗号化する。そして、更に、ネットワークＩ
ＰアドレスすなわちリモートＩＰアドレスＰＰＰからア
クセスサーバ１３０のＩＰアドレスＩＰ０に宛てるヘッ
ダを付加することによってＩＰパケットデータをカプセ
ル化する。

【００５１】このカプセル化ＩＰパケットは、契約プロ
バイダ３００を経由し、宛先ＩＰ０であるアクセスサー
バ１３０に届けられる。

【００５２】アクセスサーバ１３０では、認証後作成し
た参照テーブルを参照して、リモートＩＰアドレスＰＰ
Ｐに基づいてユーザデータテーブル中の暗号キーを取り
出し、カプセルを外した後、復号化する。これによっ
て、このパケットがＩＰ１からＩＰ２に宛てられたパケ
ットデータであることが確認される。そこで、アクセス
サーバ１３０は、社内網を介して、復号化したパケット
をデータベース１２０に転送する。

【００５３】一方、復号化したＩＰアドレスが設定され
たアドレスと異なる場合、或いは、復号化したデータに
含まれるチェックサム値やパリティチェック値が正規の
値で無い場合には、なりすまし又は改竄があったものと
してパケットを廃棄し、必要なら強制終了する。

【００５４】データベース１２０からユーザ端末１０へ
の通信は前記と逆の動作で可能である。すなわち、デー
タベース１２０はＩＰ２からＩＰ１へのＩＰパケットを
作成し私設網１００に流す。

【００５５】アクセスサーバ１３０はＩＰ１が現在私設
網１００の外にあることを認識している故、ＩＰパケッ
トをピックアップし暗号化した後ＩＰ０からＰＰＰ宛て
のＩＰヘッダでカプセル化し契約プロバイダ３００に送
付する。

【００５６】契約プロバイダ３００はＩＰアドレスがＰ
ＰＰであるユーザ端末１０のネットワークカード１１に
送付する。ユーザ端末１０またはネットワークカード１
１はカプセルをはずし復号化したのちユーザソフトウエ
アに渡す。

【００５７】以上、図６を参照して、ＩＰカプセル通信
について説明した。

【００５８】再び、図４を参照して、ステップＡ５のＩ
Ｐカプセル通信に続く、通信終了ステップとなるステッ
プＡ６について説明する。

【００５９】図４のステップＡ６においては、ユーザ端
末１０或いはアクセスサーバ１３０から切断要求が出さ
れると、アクセスサーバ１３０は通信ログを更新し、参
照テーブルを消去し、通信を終了する。

【００６０】以上のように、第１の実施形態において
は、ユーザがどこにいても私設網に設置されたデータベ
ースに安全にアクセスできるようになり、データベース
を一元的に管理、運用できる。ユーザに取っても、アク
セスするデータベースがいつも最新のものに更新されて
いるという利点もある。また、私設網１００とユーザ端
末１０の両端点間でＩＰカプセル化が行われ、私設網１
００の内部ＩＰアドレスを含むカプセル内が暗号化され
ており、公衆網や一般のインターネットプロバイダ経由
でも、秘匿性は確保されている。さらに、両端点間の通
信パケットは、公衆網、契約プロバイダにとっては一般
のＩＰパッケトとして扱えるため、公衆網、契約プロバ
イダ内ではこの通信の為の特殊な装置やソフトウエアを
必要としない。

【００６１】［第２の実施形態］図７は、本発明の第２
の実施の形態のＶＰＮのブロック図である。私設網１０
０に設置されているデータベース１２０と同じ情報のデ
ータベース３２０が契約プロバイダ３００内に設置され
ている。公衆網２００に接続するユーザ端末１０は、こ
のデータベース３２０にアクセスする点で第１の実施形
態と異なる。私設網１００内にあるデータベース１２０
と、データベース３２０の間では定期的、あるいは必要
に応じて情報の同期を取っておく。

【００６２】契約プロバイダ３００内には第１の実施の
形態で私設網１００内にあったアクセスサーバ１３０と
同様の機能を持つアクセスサーバ３３０が設置されデー
タベース３２０への外部からのアクセス管理と制御を行
う。これら以外は、第１の実施の形態と同じである。

【００６３】図８は、第２の実施形態のＶＰＮの動作を
説明するためのシーケンス図である。ユーザ端末１０を
用いて外部からデータベース３２０にアクセスできるよ
う、事前に必要なＩＤ等を設定するステップにおいて
は、ユーザデータテーブルがアクセスサーバ３３０に追
加作成される点でのみ第１の実施形態と異なる。それ以
外の初期設定は第１の実施形態と同じである。

【００６４】まず、ステップＢ１において、ユーザがユ
ーザ端末１０を用いて公衆網２００経由で契約プロバイ
ダ３００にアクセスする。

【００６５】次に、ステップＢ２において、契約プロバ
イダ３００はＩＰアドレスＰＰＰをユーザ端末１０に送
る。

【００６６】このように、ステップＢ１、Ｂ２は第１の
実施形態と同じである。

【００６７】次に、ステップＢ３において、ユーザ端末
１０は、アクセスサーバ３３０に対して認証要求を行
う。認証プロセスの詳細は、第１の実施形態と同じであ
る。

【００６８】次に、ステップＢ４において、アクセスサ
ーバ３３０が認証を行った後、必要に応じ、ホームＩＰ
アドレスＩＰ１をユーザ端末１０の内部ＩＰアドレスと
して暗号キーで暗号化した上で、ユーザ端末１０に送
る。ユーザ端末１０はそれを復号化して、自己の内部Ｉ
Ｐアドレスとして設定する。但し、例えば、アクセスサ
ーバ３３０が管理するＩＰアドレスをユーザ端末１０に
事前に払い出し、接続前に固定的に設定される方式を採
用していれば、ステップＢ４を省略することができて、
秘匿性は更に向上する。

【００６９】次に、ステップＢ５において、アクセスサ
ーバ３３０とユーザ端末１０との間でＩＰカプセル暗号
化通信が行われる。

【００７０】次に、ステップＢ６において、私設網１０
０のデータベース１２０から契約プロバイダ３００のデ
ータベース３２０に、最新のデータあるいはファイルが
ダウンロードされる。このダウンロードは、ユーザがそ
れを使用する直前までに行われるか、ユーザの要求によ
って行われる。

【００７１】又、ステップＢ７において、データベース
３２０からデータベース１２０に、ユーザが変更、追
加、削除等を行ったデータあるいはファイルがアップロ
ードされる。このアップロードは、ユーザのアクセスが
終了した時点か、又はユーザの要求によって行われる。

【００７２】次に、ステップＢ８において、第１の実施
形態と同様に通信が終了する。

【００７３】［第３の実施形態］図９は、本発明の第３
の実施の形態のＶＰＮのブロック図である。この実施形
態においては、契約プロバイダ３００は、私設網１００
の通信、管理等の運用の委託を受けている。従って、デ
ータベース３２０及びこれへのアクセスを行うアクセス
サーバ３３０が契約プロバイダ３００内に設置されてい
る。

【００７４】ユーザ端末１０には公衆網２００に接続す
るネットワークカード１１が実装されている点、及びユ
ーザ端末１０はデータベース３２０にアクセスする点
は、第２の実施形態と同じである。但し、第３の実施形
態のＶＰＮはデータベースを一つしか持たない点で第２
の実施形態と異なる。

【００７５】図１０は、第３の実施形態のＶＰＮの動作
を説明するためのシーケンス図である。契約プロバイダ
へのアクセス（ステップＣ１）、ＩＰアドレスＰＰＰの
設定（ステップＣ２）、接続開始ＩＤでの認証要求（ス
テップＣ３）、及び内部ＩＰアドレスＩＰ１の設定（ス
テップＣ４）は、それぞれ第２の実施形態のステップＢ
１、Ｂ２、Ｂ３、Ｂ４と同じである。但し、事前にＩＰ
１が割付設定される方式を採用していれば、ステップＣ
４を省略することができて、秘匿性は更に向上する。

【００７６】又、ＩＰカプセル通信（ステップＣ５）、
及び通信の終了（ステップＣ６）は、それぞれ第２の実
施形態のステップＡ５、Ａ６と同じである。

【００７７】［第４の実施形態］図１１は、第４の実施
形態のＶＰＮのブロック図である。第４の実施形態にお
いて、ユーザ端末１０は、支店内のＬＡＮ等の私設網４
００に接続し、インターネット通信網６００経由でター
ゲットネットワーク５００上のデータベース５２０にア
クセスする。このように、ユーザが最初に私設網にアク
セスする点において、ユーザが最初に公衆網にアクセス
する第１から第３の実施形態とは異なる。

【００７８】第４の実施形態のＶＰＮは、ネットワーク
カード１１が実装されたユーザ端末１０と、ユーザ端末
１０が接続する私設網４００と、私設網４００のゲート
ウエイ４１０経由で接続されるインターネット通信網６
００と、ターゲットネットワーク５００内でインターネ
ット通信網６００からのアクセスを管理するアクセスサ
ーバ５３０と、ユーザがアクセスしようとするデータベ
ース５２０とを含んでいる。

【００７９】ユーザ端末１０は、ラップトップコンピュ
ータ等の情報処理装置と、私設網４００とのインターフ
ェイスとなるネットワークカード１１とを含む。このユ
ーザ端末１０は、私設網４００と通信する機能と、ＩＰ
カプセル暗号化通信機能とを備えている。又、ユーザ端
末１０はデータベース５２０に直接アクセスすることも
できる。

【００８０】インターネット通信網６００は私設網４０
０のゲートウエイ４１０とターゲットネットワーク５０
０のアクセスサーバ５３０と通信する機能を有する。

【００８１】ターゲットネットワーク５００は、データ
ベース５２０と、データベース５２０を管理運用するワ
ークステーション・サーバ等の情報処理装置と、ユーザ
端末へのアクセス装置と、外部との接続管理・制御機能
や外部とのＩＰカプセル化通信機能を持つアクセスサー
バ５３０とを含む。

【００８２】図１２は、第４の実施形態のＶＰＮの動作
を説明するためのシーケンス図である。ユーザ端末１０
を用いて外部からデータベース５２０にアクセスできる
ように事前に必要なＩＤ等を設定するステップは、第１
の実施形態の初期設定とほぼ同じである。第４の実施形
態においては必要なＩＤ等は事前にターゲットネットワ
ーク５００内で設定され、ユーザデータテーブルがアク
セスサーバ５３０内に作成される。

【００８３】まず、ステップＤ１において、予め私設網
にアクセス権が付与されているユーザがユーザ端末１０
を使用して私設網４００にアクセスを行う。

【００８４】次に、ステップＤ２において、私設網４０
０は、図示しないＤＨＣＰ（dynamic host configurati
on protocol）サーバ等によって管理しているＩＰアド
レスＩＰ３を、私設網内のネットワークアドレスとして
割り付ける。ただし、小規模ＬＡＮ等において、私設網
内ネットワークアドレスが事前にユーザ端末に割り付け
られている場合には、このステップＤ２の実行は不要で
ある。

【００８５】次に、ステップＤ３において、ユーザ端末
１０は、私設網４００のゲートウエイ４１０及びインタ
ーネット通信網６００とを経由してアクセスサーバ５３
０にアクセス認証要求を行う。一般に、ゲートウエイ４
１０は、ＮＡＴ（ネットワークアドレス変換機能）等に
よってＩＰ３を、インターネット通信網６００内で有効
なグローバルアドレスＰＰＰに変換する。しかし、ＩＰ
３がインターネット通信網６００内で有効なアドレスな
ら、そのような変換が行われなくても動作に支障はな
い。従って、接続開始ＩＤをデータとするアクセス認証
要求ＩＰパケットの送信元アドレスはＰＰＰ又はＩＰ３
となっている。この送信元アドレスをリモートＩＰアド
レスとして認証が行われるのは第１の実施形態と同じで
ある。

【００８６】次に、ステップＤ４において、ターゲット
ネットワーク５００内で使用されるホームＩＰアドレス
ＩＰ１が設定される。このＩＰ１はユーザ端末１０がタ
ーゲットネットワーク５００内での内部ＩＰアドレスと
しても使用される。従って、未だ内部ＩＰアドレスが設
定されていない場合には、ホームＩＰアドレスを暗号化
してユーザ端末に送付し、ユーザ端末はこれを復号化し
て内部ＩＰアドレスとして設定する。

【００８７】このようにして、ステップＤ５において、
ＩＰカプセル化によるＩＰ暗号化通信が行われる。内部
ＩＰアドレスが設定されている限り、ゲートウエイ４１
０でＩＰ３とＰＰＰの相互変換が行われてもＩＰカプセ
ル暗号化通信は可能である。

【００８８】図１３は、ＩＰパケットのアドレスについ
て説明するためのシーケンス図である。ユーザ端末１０
のユーザソフトウエアでは、発送元をＩＰ１（ターゲッ
トネットワーク５００内でのホームアドレス）、宛先を
ＩＰ２（データベース５２０のＩＰアドレス）とするＩ
Ｐパケットデータを作成する。

【００８９】そして、ユーザ端末１０或いはこれに実装
されているネットワークカード１１は、このＩＰパケッ
トを暗号化した上で、発送元をＩＰ３（私設網内のネッ
トワークアドレス）とするとともに、宛先をＩＰ０（ア
クセスサーバ５３０のＩＰアドレス）とするヘッダを付
加してカプセル化し、ゲートウエイ４１０に送る。

【００９０】そして、ゲートウエイ４１０はＩＰ３を必
要ならＰＰＰ（インターネット網で使用するグローバル
アドレスであり、アクセスサーバ５３０がリモートＩＰ
アドレスとして設定時作成したユーザパラメータを参照
する参照テーブルを引出す手がかりに使用する）に変換
し、ＩＰパケットをインターネット網６００経由でアク
セスサーバ５３０に送る。

【００９１】アクセスサーバ５３０では、認証後作成し
た参照テーブル即ち設定パラメータの確定値の表によっ
て、リモートアドレスＰＰＰ又はＩＰ３を持つユーザの
暗号キーを取り出し、カプセルを外し、復号化する。こ
れによって、ターゲットネットワーク５００外のＩＰ１
からＩＰ２を持つデータベース５２０へのパケットであ
ることを確認し、データベース５２０に転送する。一
方、復号化したアドレスが正規の値でない場合、或い
は、復号化したデータに含まれるチェックサム値やパリ
ティチェック値が正規の値でない場合には、なりすまし
又は改竄があったものとしてパケットを廃棄し、必要な
ら処理を強制終了する。

【００９２】第３者が私設網４００或いはインターネッ
ト網６００において盗聴を試みたとしても、アドレスを
含めて全データが暗号化されているから、データの秘匿
性は保たれる。本発明においては、暗号キーはユーザ端
末１０及びアクセスサーバ５３０のみが所有している。

【００９３】データベース５２０からユーザ端末１０へ
のＩＰカプセル暗号化通信は、以上の手順を逆向きに行
えばよい。

【００９４】最後に、ステップＤ６において、ユーザ端
末或いはアクセスサーバ５３０から切断要求が出される
と、アクセスサーバは通信ログを更新しリモートＩＰア
ドレスＰＰＰ又はＩＰ３に基づいてユーザテーブルを参
照する参照テーブルを消去し通信を終了する。

【００９５】以上、本発明の実施の形態について説明し
たが、ユーザ端末としては、無線アクセス手段を持つ端
末を用いることができ、その無線アクセス手段として
は、例えば、ＰＨＳ（personal handyphone system）、
ＧＰＲＳ（general packet radio service）、ＥＤＧＥ
（enhanced data rates for ＧＳＭ evolution）、ＨＤ
Ｒ（high data rate）、ＷＣＤＭＡ（wide band code d
ivision multiple access）、２．４ＧＨｚ帯無線ＬＡ
Ｎや５ＧＨｚ帯無線ＬＡＮ等の無線ＬＡＮ、又はパーソ
ナルコンピュータや携帯電話などのモバイル機器を無線
で接続するための標準無線通信技術であるＢｌｕｅｔｏ
ｏｔｈが挙げられ、また無線アクセス手段は、将来の移
動通信技術を用いた高速無線アクセス手段であってもよ
い。

【００９６】又、ユーザ端末は、公衆網へ接続を行う場
合、位置情報に基づき最も安いアクセスポイントに接続
する手段を有してもよい。又、位置情報は基地局から送
られてくる情報に基づいて判断されてもよい。

【００９７】

【発明の効果】以上説明した本発明によれば、ＶＰＮサ
ービスにおいて、両端点間で秘匿性がきわめて高い通信
を提供することができる。その理由は両端点間でＩＰカ
プセル化されており、カプセル内にある両者のＩＰアド
レスを含め独自の暗号で暗号化することが容易に行える
からである。

【００９８】また本発明によれば、ＶＰＮサービスにお
いて、データベースを一元管理でき、その結果、ユーザ
はいつでも最新のデータベースにアクセスすることがで
きる。その理由はすべてのユーザがどこにいても同一の
データベースにアクセスするようにしたためである。

【００９９】また本発明によれば、ＶＰＮサービスにお
いて、公衆網、契約プロバイダなど現在のインターネッ
ト通信網がそのまま利用できる。その理由はＩＰカプセ
ル化通信が両端点間で行われているからである。

【図面の簡単な説明】

【図１】本発明の第１の実施の形態の仮想私設網（ＶＰ
Ｎ）のブロック図である。

【図２】本発明の第１の実施の形態の動作を説明するた
めのシーケンス図である。

【図３】アクセスサーバ及びユーザ端末の設定パラメー
タの一例の表である。

【図４】ユーザ端末が私設網に直接アクセスできない場
合のＶＰＮの動作を説明するためのシーケンス図であ
る。

【図５】認証手順について説明するためのシーケンス図
である。

【図６】ＩＰカプセル通信について説明するためのシー
ケンス図である。

【図７】本発明の第２の実施の形態のＶＰＮのブロック
図である。

【図８】本発明の第２の実施の形態のＶＰＮの動作を説
明するためのシーケンス図である。

【図９】本発明の第３の実施の形態のＶＰＮのブロック
図である。

【図１０】本発明の第３の実施の形態のＶＰＮの動作を
説明するためのシーケンス図である。

【図１１】本発明の第４の実施の形態のＶＰＮのブロッ
ク図である。

【図１２】本発明の第４の実施の形態のＶＰＮの動作を
説明するためのシーケンス図である。

【図１３】ＩＰパケットのアドレスについて説明するた
めのシーケンス図である。

【符号の説明】

１０ ユーザ端末 １００ 私設網 １２０ データベース １３０ アクセスサーバ ２００ 公衆網 ３００ 契約プロバイダ ３２０ データベース ３３０ アクセスサーバ ４００ 私設網 ４１０ ゲートウエイ ５００ ターゲットネットワーク ５２０ データベース ５３０ アクセスサーバ ６００ インターネット通信網

Claims (17)

【特許請求の範囲】
1. 【請求項１】 相互に接続されている複数の独立したネ
   ットワークと、 前記ネットワークにアクセスでき、新たに取得した送信
   元ＩＰアドレスを用いたＩＰカプセル通信及び暗号化機
   能を持つ端末と、 前記ネットワークのいずれかに接続されたデータベース
   と、 前記データベースへのアクセスを管理制御しＩＰカプセ
   ル通信及び暗号化機能を持つアクセスサーバとを備え、 前記端末がいずれのネットワークからでも前記データベ
   ースにＩＰカプセル暗号化通信により秘匿性を保ったま
   まアクセスする仮想私設網。
2. 【請求項２】 前記端末から前記ネットワークへのアク
   セスが無線アクセス手段により行われることを特徴とす
   る請求項１記載の仮想私設網。
3. 【請求項３】 前記端末は無線アクセス手段を含み、前
   記無線アクセス手段は、ＰＨＳ、ＧＰＲＳ、ＥＤＧＥ、
   ＨＤＲ、ＷＣＤＭＡ、無線ＬＡＮ、又はＢｌｕｅｔｏｏ
   ｔｈを用いた無線アクセス手段であることを特徴とする
   請求項１記載の仮想私設網。
4. 【請求項４】 前記端末又は前記アクセスサーバは、前
   記端末と前記データベース間の通信を暗号化することを
   特徴とする請求項１記載の仮設私設網。
5. 【請求項５】 前記端末は、それぞれのネットワークに
   適合する通信インターフェイスを持つネットワークカー
   ドを具備することを特徴とする請求項１記載の仮想私設
   網。
6. 【請求項６】 前記ネットワークカードがＩＰカプセル
   通信機能を持つことを特徴とする請求項５記載の仮想私
   設網。
7. 【請求項７】 前記端末は、前記データベースを所有す
   る前記ネットワークに直接アクセスするインターフェイ
   スの使用を優先する制御手段を有することを特徴とする
   請求項１記載の仮想私設網。
8. 【請求項８】 前記複数の独立したネットワークが私設
   網と公衆網により構成され、前記データベースが前記私
   設網に設置されており、 前記端末が前記公衆網へ接続されて、前記データベース
   へアクセスする場合に、前記端末のアクセス認証の上、
   前記端末と前記私設網のアクセスサーバ間が接続され、 前記アクセスサーバは前記端末のアクセス認証が行われ
   た後、ＩＰカプセル通信により前記データベースにアク
   セスさせることを特徴とする請求項１記載の仮想私設
   網。
9. 【請求項９】 前記端末は、前記公衆網へ接続を行う場
   合、前記端末の位置情報に基づき最も安いアクセスポイ
   ントに接続する手段を有することを特徴とする請求項８
   記載の仮想私設網。
10. 【請求項１０】 前記位置情報は、基地局から送られて
    くる情報に基づいて判断されることを特徴とする請求項
    ９記載の仮想私設網。
11. 【請求項１１】 前記複数の独立したネットワークが私
    設網と公衆網により構成され、前記データベースが前記
    私設網に設置され、前記データベースと同じ情報のデー
    タベースを前記公衆網の通信運用事業者または、接続さ
    れるサービス事業者が持ち、 前記端末が前記公衆網へ接続し、前記通信運用事業者ま
    たは接続されるサービス事業者が持つ前記データベース
    へアクセスを要求する場合に、前記通信運用事業者また
    は前記サービス事業者が持つ前記データベースにアクセ
    ス認証の上、ＩＰカプセル通信によりアクセスさせると
    ともに、前記通信運用事業者または前記サービス事業者
    が持つ前記データベースと前記私設網のデータベースと
    の間で情報の同期が取られることを特徴とする請求項１
    記載の仮想私設網。
12. 【請求項１２】 前記端末は、前記公衆網へ接続を行う
    場合、前記端末の位置情報に基づき最も安いアクセスポ
    イントに接続する手段を有することを特徴とする請求項
    １１記載の仮想私設網。
13. 【請求項１３】 前記位置情報が、基地局から送られて
    くる情報に基づいて判断されることを特徴とする請求項
    １２記載の仮想私設網。
14. 【請求項１４】 前記複数の独立したネットワークが私
    設網と公衆網により構成され、前記データベースが前記
    私設網に設置され、前記公衆網の通信運用事業者また
    は、接続されるサービス事業者が前記私設網のデータ通
    信、管理の運用又は、私設網サービスあるいはデータベ
    ースサービスの提供を行っており、 前記端末が前記公衆網へ接続し、前記データベースへア
    クセスを要求する場合に、 前記端末を前記データベースにアクセス認証の上、ＩＰ
    カプセル通信によりアクセスさせることを特徴とする請
    求項１記載の仮想私設網。
15. 【請求項１５】 前記端末は、前記公衆網へ接続を行う
    場合、前記端末の位置情報に基づき最も安いアクセスポ
    イントに接続する手段を有することを特徴とする請求項
    １４記載の仮想私設網。
16. 【請求項１６】 前記位置情報が、基地局から送られて
    くる情報に基づいて判断されることを特徴とする請求項
    １５記載の仮想私設網。
17. 【請求項１７】 前記端末が前記データベースにアクセ
    スするために前記データベースを持たない私設網を経由
    してアクセスする場合に、 アクセスしたいデータベースが設置されているターゲッ
    トネットワークのアクセスサーバは前記端末のアクセス
    認証の上、前記データベースにＩＰカプセル通信により
    アクセスさせることを特徴とする請求項１記載の仮想私
    設網。