JP2003101569A - Ｖｐｎ管理装置 - Google Patents

Abstract

(57)【要約】 【課題】 異なるサイトにメンバが分散されたプロジェ
クトの共同作業を支援するためのＶＰＮサービスの構築
を容易にするとともに、プロジェクトメンバの異動に伴
うＶＰＮの構成変更を簡便にかつ迅速になし得ること。 【解決手段】 プロジェクト管理テーブル３１の登録プ
ロジェクト情報およびＶＰＮ装置管理テーブル３２の登
録ＶＰＮ構築情報に基づいてトンネル定義を作成して、
トンネル定義テーブル３３に登録するとともに、プロジ
ェクト管理テーブル３１の変更に応じて作成されたトン
ネル定義テーブル３３の登録内容が変更される。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、各サイトに含まれ
る複数のホストに関するＶＰＮ通信を各サイト毎に制御
する複数のＶＰＮ装置を管理するＶＰＮ管理装置に関す
るものである。

【０００２】

【従来の技術】Ipsec（IP security protocol）に基づ
くＶＰＮ（仮想私設ネットワーク；Virtual Private Ne
twork）は、プロジェクトメンバ間の通信においてトン
ネルモードにより通信データを暗号化し、プロジェクト
メンバ以外のユーザが通信データを解読できないように
することでプロジェクトメンバだけの仮想的な専用線
（トンネル）を提供する。トンネルとは、トンネルモー
ドを用いて確立した２点間の通信路のことである。

【０００３】図１は複数拠点に分散したプロジェクトメ
ンバのためのＶＰＮを示したものである。図１の１０，
１１，１２はプロジェクトメンバが分散して距離の離れ
たサイト、１１０〜１１５はプロジェクトメンバが利用
するホスト、１２０，１２１，１２２は各サイトに含ま
れる複数のホストに関するＶＰＮ通信を制御するＶＰＮ
装置、１３０，１３１，１３２はＶＰＮをそれぞれ表し
ている。サイト１０，１１，１２間はインターネットな
どの外部ネットワークで接続されており、ＶＰＮを利用
せずそのまま外部ネットワークを利用すると外部ネット
ワークの他のユーザにサイト１０，１１，１２間の通信
データを盗聴される恐れがある。

【０００４】そこで、サイト間の通信データをＶＰＮ装
置１２０，１２１，１２２を用いて暗号化することでＶ
ＰＮ（仮想専用線）を提供する。ＶＰＮ装置１２０〜１
２２は各サイト１０〜１２の出入口に存在し、当該ホス
トが他サイトのホストと通信する際、通信データを暗号
化し外部ネットワークにデータを出力する。このデータ
を相手サイトのＶＰＮ装置が受け取ると、ＶＰＮ装置は
この受信データを複号した後、宛先のホストに平文（暗
号化していないデータ）のデータを送付する。このよう
なＶＰＮを構築するためには、ＶＰＮ装置１２０〜１２
２間に対して暗号通信のためのトンネル定義を設定しな
ければいけない。

【０００５】このような複数のＶＰＮ装置を管理するＶ
ＰＮ管理装置において、従来は、多数の運用ポリシーの
管理を必要とし、その管理のためネットワークの高度な
技術やベンダ固有の設定情報の習得を必要とした。これ
らの設定情報から第三者が網の運用ポリシーを理解する
のは困難である。

【０００６】ファイアウォールの運用ポリシーを管理す
る技術として、特開２０００−２５３０６６号公報（フ
ァイアウォールを管理するための方法および装置）が提
案されている。この従来技術はイントラネットのトポロ
ジーとファイアウォールの運用規則の関係を表わすエン
ティティ関係モデルと、運用規則のインスタンスを定義
するモデル定義言語から、ファイアウォールに設定する
コンフィグレーションファイルの生成を実現している。
この技術によれば、運用規則とトポロジーを独立に管理
することができ、トポロジーが変更しても運用規則を書
き換えることなく、ポリシーの再利用が可能となる。

【０００７】また、同様に、特開２０００−２４４４９
５号公報（ネットワーク管理システム）には、独立性を
保って定義した運用規則と網トポロジーからファイアウ
ォールやルータの設定情報を生成する発明が開示されて
いる。

【０００８】

【発明が解決しようとする課題】前者の従来技術には、
主にイントラネット内の運用ポリシーの管理に関する技
術が示され、また生成される設定情報もフィルタリング
の優先度に関するものを対象としており、ＶＰＮ管理装
置の管理の対象となる複数のＶＰＮ装置の管理に関する
ことについての開示はない。後者の従来技術も同様であ
り、セキュリティポリシーを装置固有の設定情報のシン
タクスおよびセマテクスから分離することによりポリシ
ー定義情報の共有および再利用を可能とすることは示さ
れているが、ＶＰＮ管理装置の管理の対象となるＶＰＮ
装置の管理に関することについての開示はない。

【０００９】ところで、従来のＶＰＮ管理装置では、３
つ以上のサイト間でＶＰＮを構築する場合、端末毎にも
しくはあるアドレス範囲の端末群に１つずつトンネル定
義を行っている。このような端末毎にトンネル定義を行
う従来の手法では、ＶＰＮを利用するプロジェクトのメ
ンバ数が大規模であったり、ＶＰＮを利用するプロジェ
クトが多数になったりすると、個々のプロジェクトのメ
ンバの増減、各メンバの別サイトへの移動などに応じて
ＶＰＮを運用保守するのは困難となる。従来のＶＰＮ管
理装置の場合、管理者はプロジェクトメンバの異動情報
を元にＶＰＮの見直しを行なわなければならない。

【００１０】すなわち、従来のＶＰＮ管理装置では、ト
ンネルを端末毎しか管理しておらず、プロジェクトごと
にＶＰＮを運用保守したり、プロジェクトメンバがどの
端末を利用しているか、プロジェクトメンバが異動した
場合どのトンネルを削除、増加すべきかなどを知る手段
はなかった。今後、インターネットの普及により、イン
ターネットを用いたＶＰＮの利用が増えてくることが予
想され、トンネル定義を必要に応じて迅速かつ確実に追
加、変更、削除する要求が増えてくる。

【００１１】この発明は上記に鑑みてなされたもので、
異なるサイトにメンバが分散されたプロジェクトの共同
作業を支援するためのＶＰＮサービスの構築を容易にす
るとともに、プロジェクトメンバの異動に伴うＶＰＮの
構成変更を簡便にかつ迅速になし得るＶＰＮ管理装置を
得ることを目的としている。

【００１２】

【課題を解決するための手段】上記目的を達成するため
この発明にかかるＶＰＮ管理装置は、各サイトに含まれ
る複数のホストに関するＶＰＮ通信を各サイト毎に制御
する複数のＶＰＮ装置を管理するＶＰＮ管理装置におい
て、各サイトのプロジェクトメンバ情報、ホストアドレ
ス情報および各プロジェクトメンバについての異動情報
を含むプロジェクト情報が登録されるプロジェクト管理
テーブルと、各ＶＰＮ装置のＶＰＮ構築情報が登録され
るＶＰＮ装置管理テーブルと、各ホスト間の通信路毎の
トンネル定義が登録されるトンネル定義テーブルと、前
記プロジェクト管理テーブルの登録プロジェクト情報お
よびＶＰＮ装置管理テーブルの登録ＶＰＮ構築情報に基
づいて前記トンネル定義を作成して、前記トンネル定義
テーブルに登録するトンネル定義作成手段と、前記プロ
ジェクト管理テーブルの変更に応じて前記作成されたト
ンネル定義テーブルの登録内容を変更するトンネル定義
変更手段とを備えることを特徴とする。

【００１３】この発明によれば、プロジェクト管理テー
ブルの登録プロジェクト情報およびＶＰＮ装置管理テー
ブルの登録ＶＰＮ構築情報に基づいて前記トンネル定義
を作成して、前記トンネル定義テーブルに登録するとと
もに、プロジェクト管理テーブルの変更に応じて作成さ
れたトンネル定義テーブルの登録内容が変更される。

【００１４】つぎの発明にかかるＶＰＮ管理装置は、上
記の発明において、前記トンネル定義変更手段は、前記
プロジェクト管理テーブルの異動情報の変更に応じて前
記トンネル定義テーブルに対しトンネル定義を削除ある
いは追加することを特徴とする。

【００１５】この発明によれば、トンネル定義変更手段
は、プロジェクト管理テーブルの異動情報の変更に応じ
て前記トンネル定義テーブルのトンネル定義を削除ある
いは追加する。

【００１６】つぎの発明にかかるＶＰＮ管理装置は、上
記の発明において、前記プロジェクト管理テーブルおよ
びＶＰＮ管理テーブルの記憶内容に基づいて、ホスト、
ＶＰＮ装置、サイトについてのトポロジーをグラフィカ
ルに表示、編集するとともに、該グラフィカルに表示し
た結果を前記プロジェクト管理テーブルおよびＶＰＮ装
置管理テーブルの登録内容に反映させるトポロジー表示
編集部をさらに備えることを特徴とする。

【００１７】この発明によれば、トポロジー表示編集部
は、プロジェクト管理テーブルおよびＶＰＮ管理テーブ
ルの記憶内容に基づいて、ホスト、ＶＰＮ装置、サイト
についてのトポロジーをグラフィカルに表示、編集する
とともに、該グラフィカルに表示した結果を前記プロジ
ェクト管理テーブルおよびＶＰＮ装置管理テーブルの登
録内容に反映させる。

【００１８】つぎの発明にかかるＶＰＮ管理装置は、上
記の発明において、前記生成あるいは変更されたトンネ
ル定義を各サイトのＶＰＮ装置に配信するトンネル定義
配信部をさらに備えることを特徴とする。

【００１９】この発明によれば、トンネル定義配信部に
よって生成あるいは変更されたトンネル定義を各サイト
のＶＰＮ装置に配信可能としている。

【００２０】つぎの発明にかかるＶＰＮ管理装置は、上
記の発明において、前記トンネル定義に含まれる認証方
式に関する詳細定義を個々に編集するトンネル定義編集
部をさらに備えることを特徴とする。

【００２１】この発明によれば、トンネル定義編集部に
よってトンネル定義に含まれる認証方式に関する詳細定
義を個々に編集可能としている。

【００２２】つぎの発明にかかるＶＰＮ管理装置は、各
サイトに含まれる複数のホストに関するＶＰＮ通信を各
サイト毎に制御する複数のＶＰＮ装置と該ＶＰＮ装置と
前記ホスト間に介在されるファイアウォールを管理する
ＶＰＮ管理装置において、各サイトのプロジェクトメン
バ情報、ホストアドレス情報および各プロジェクトメン
バについての異動情報を含むプロジェクト情報が登録さ
れるプロジェクト管理テーブルと、各ＶＰＮ装置のＶＰ
Ｎ構築情報および当該ＶＰＮ装置に接続されるファイア
ウォールの識別情報が登録されるＶＰＮ装置・ファイア
ウォール管理テーブルと、各ホスト間の通信路毎のトン
ネル定義が登録されるトンネル定義テーブルと、各ホス
ト間の通信路毎のフィルタリング定義が登録されるフィ
ルタリング定義テーブルと、前記プロジェクト管理テー
ブルの登録プロジェクト情報およびＶＰＮ装置・ファイ
アウォール管理テーブルの登録ＶＰＮ構築情報に基づい
て前記トンネル定義を作成して、前記トンネル定義テー
ブルに登録するトンネル定義作成手段と、前記プロジェ
クト管理テーブルの変更に応じて前記作成されたトンネ
ル定義テーブルの登録内容を変更するトンネル定義変更
手段と、前記プロジェクト管理テーブルの登録プロジェ
クト情報およびＶＰＮ装置・ファイアウォール管理テー
ブルのファイアウォール識別情報に基づいて前記フィル
タリング定義を作成して、前記フィルタリング定義テー
ブルに登録するフィルタリング定義作成手段と、前記プ
ロジェクト管理テーブルの変更に応じて前記作成された
フィルタリング定義テーブルの登録内容を変更するフィ
ルタリング定義変更手段とを備えることを特徴とする。

【００２３】この発明によれば、プロジェクト管理テー
ブルの登録プロジェクト情報およびＶＰＮ装置・ファイ
アウォール管理テーブルの登録ＶＰＮ構築情報に基づい
てトンネル定義が作成されて、トンネル定義テーブルに
登録されるとともに、プロジェクト管理テーブルの変更
に応じて作成されたトンネル定義テーブルの登録内容が
変更される。また、プロジェクト管理テーブルの登録プ
ロジェクト情報およびＶＰＮ装置・ファイアウォール管
理テーブルのファイアウォール識別情報に基づいてフィ
ルタリング定義が作成されて、フィルタリング定義テー
ブルに登録されるとともに、プロジェクト管理テーブル
の変更に応じて作成されたフィルタリング定義テーブル
の登録内容が変更される。

【００２４】つぎの発明にかかるＶＰＮ管理装置は、上
記の発明において、前記フィルタリング定義変更手段
は、前記プロジェクト管理テーブルの異動情報の変更に
応じて前記フィルタリング定義テーブルのフィルタリン
グ定義を削除あるいは追加することを特徴とする。

【００２５】この発明によれば、フィルタリング定義変
更手段は、プロジェクト管理テーブルの異動情報の変更
に応じて前記フィルタリング定義テーブルのフィルタリ
ング定義を削除あるいは追加するようにしている。

【００２６】つぎの発明にかかるＶＰＮ管理装置は、上
記の発明において、前記生成あるいは変更されたフィル
タリング定義を各サイトのファイアウォールに配信する
フィルタリング定義配信部をさらに備えることを特徴と
する。

【００２７】この発明によれば、フィルタリング定義配
信部によって生成あるいは変更されたフィルタリング定
義を各サイトのファイアウォールに配信可能としてい
る。

【００２８】つぎの発明にかかるＶＰＮ管理装置は、上
記の発明において、前記フィルタリング定義に含まれる
プロトコル種別に関する詳細定義を個々に編集するフィ
ルタリング定義編集部をさらに備えることを特徴とす
る。

【００２９】この発明によれば、フィルタリング定義編
集部によってフィルタリング定義に含まれるプロトコル
種別に関する詳細定義を個々に編集可能としている。

【００３０】

【発明の実施の形態】以下に添付図面を参照して、この
発明にかかるＶＰＮ管理装置の好適な実施の形態を詳細
に説明する。

【００３１】実施の形態１.この発明の実施の形態１を
図２〜図１２を参照して説明する。図２は、プロジェク
トメンバの異動時にプロジェクトが利用する各サイトの
ホスト間でＶＰＮを管理するＶＰＮ管理装置の構成を示
している。このＶＰＮ管理装置は、図１に示したような
ＶＰＮシステムにおいて、各サイトの出入口に配される
ＶＰＮ装置を動作管理するものである。

【００３２】このＶＰＮ管理装置は、プロジェクト管理
テーブル３１、ＶＰＮ装置管理テーブル３２、トンネル
定義テーブル３３、トンネルマトリクステーブル３４、
トンネルマトリクス生成部３５、トンネル定義削除部３
６、トンネル定義追加部３７を備えている。

【００３３】プロジェクト管理テーブル３１には、図３
に示すように、プロジェクト名毎に、サイト名、ユーザ
名、ホストアドレスに関する情報を含むプロジェクト情
報が登録される。すなわち、プロジェクト管理テーブル
３１は、プロジェクト毎にどのサイトにどんなプロジェ
クトメンバが配置され、プロジェクトメンバがどのホス
トアドレスを利用しているかを示す情報が蓄積されたデ
ータベースである。図３において、プロジェクト名とし
ては例えば“XXX開発PJ”、“YYY企画PJ”などの一意な
プロジェクトの名前を登録し、サイト名としては例えば
“東京本社”、“名古屋支社”、“大阪支社”など会社
の一意な拠点名を登録し、ユーザ名としては“田中”、
“鈴木”、“中田”などのプロジェクトメンバの一意な
名前を登録し、そしてホストアドレスGa1，Ga2，…，Gc
2としてはホスト毎に一意なＩＰグルーバルアドレスを
それぞれ登録する。なお、プロジェクト管理テーブル３
１には、図４に示すように、各プロジェクトメンバの異
動情報を示す異動情報欄が設けられており、この異動情
報欄の設定内容を参照して、後述するトンネル定義テー
ブルの更新が行われる。

【００３４】ＶＰＮ装置管理テーブル３２は、各サイト
間をＶＰＮで接続するＶＰＮ装置を管理するテーブルで
あって、図５に示すように、サイト毎のＶＰＮ装置につ
いてのＶＰＮ構築情報が蓄積されている。図５におい
て、サイト名としては図４に示したプロジェクト管理テ
ーブルのサイト名と同じくプロジェクトの拠点の名前を
登録し、ＶＰＮ装置名としては各サイト間でＶＰＮを提
供するＶＰＮ装置の名前を登録し、ＶＰＮ外側アドレス
としてはＶＰＮ装置間で互いに暗号通信するためのＶＰ
Ｎ装置が持つグローバルアドレスを登録し、暗号種別と
しては暗号強度の種別として例えばＤＥＳ（Data Encry
ption Standard）,３ＤＥＳ（Triple-DES）などの暗号
方式またはその種別コードをそれぞれ登録する。

【００３５】トンネル定義テーブル３３は、図６に示す
ように、各サイトのＶＰＮ装置に登録するトンネル定義
を蓄積するデータベースであり、トンネルマトリクス生
成部３５によって作成される。トンネル定義テーブルで
は、サイト名およびＶＰＮ装置名によってトンネル定義
を配信する対象となる各ＶＰＮ装置を特定し、各ＶＰＮ
装置毎に所要の複数のトンネル定義を設定登録する。１
つのトンネル定義は、発信ホストアドレス（ＩＰグルー
バルアドレス）、宛先ホストアドレス（ＩＰグルーバル
アドレス）、宛先ＶＰＮ装置アドレス（ＶＰＮ外側アド
レス）および暗号種別を含んでいる。発信ホストアドレ
スおよび宛先ホストアドレスはＶＰＮを利用して通信す
る２つのホストのアドレスの対で定義され、暗号種別は
トンネルを通過する通信データの暗号方式を示してい
る。この図６に示すトンネル定義テーブル３３は、図１
に示したＶＰＮシステムのように、３つのサイトにホス
トを配置し、各サイト間でＶＰＮを構築するためのトン
ネル定義の集合である。例えば、サイト名Ａのサイトの
ＶＰＮ装置ＧＷ−Ａが担当する１つのトンネル定義に
は、発信ホストアドレスがＧａ１で、宛先ホストアドレ
スがＧｂ１で、宛先ＶＰＮ装置アドレスがＧＢで、暗号
種別がＤＥＳであることが設定されている。

【００３６】トンネルマトリクステーブル３４は、トン
ネルマトリクス生成部３５、トンネル定義削除部３６お
よびトンネル定義追加部３７によるトンネル定義テーブ
ル３３の生成、削除、追加の際に中間的に生成されるワ
ークテーブルである。

【００３７】トンネルマトリクス生成部３５は、あるプ
ロジェクトに対してＶＰＮ構築する際に必要となるトン
ネル定義の集合を生成して、トンネル定義テーブル３３
を作成する。図８のフローチャートを参照してトンネル
マトリクス生成部３５の処理の流れを説明する。

【００３８】トンネルマトリクス生成部３５は、プロジ
ェクト管理テーブル３１、ＶＰＮ装置管理テーブル３２
の登録データを用いてトンネルマトリクステーブル３４
を作成し、作成したトンネルマトリクステーブル３４を
用いてトンネル定義テーブル３３を作成する。

【００３９】マトリクス生成開始時に、プロジェクト管
理テーブル３１およびＶＰＮ装置管理テーブル３２に、
それぞれ例えば図３、図５のような内容が定義されてい
るとする。まず、トンネルマトリクス生成部３５は、図
３のプロジェクト管理テーブル３１からＶＰＮを構築す
るプロジェクトのサイト毎のホストアドレスを取り出
し、トンネルマトリクステーブル３４の縦軸にサイト名
とホストアドレスを列挙する。トンネルマトリクステー
ブル３４の横軸にも、縦軸と同様に、同じサイト名とホ
ストアドレスを列挙する（ステップＳ２００、図７参
照）。

【００４０】つぎに、トンネルマトリクス生成部３５
は、図５のＶＰＮ装置管理テーブル３２から、各サイト
のＶＰＮ装置に付与されたＶＰＮ外付アドレスを取り出
し、取り出したＶＰＮ外付アドレスをトンネルマトリク
ステーブル３４の横軸および縦軸のサイト名に付記する
（ステップＳ２１０、図７参照）。

【００４１】つぎに、トンネルマトリクス生成部３５
は、図７のように作成したトンネルマトリクステーブル
３４の中で横軸と縦軸が同じサイトにあたるホストアド
レスのマトリクス枠をトンネル定義生成対象外とするた
めの印を付ける（ステップＳ２２０）。図７では、網掛
けを付した箇所がこれに対応する。

【００４２】つぎに、トンネルマトリクス生成部３５
は、図７のトンネルマトリクステーブル３４に対し、ト
ンネル定義生成対象外としたマトリクス枠を除く全ての
マトリクス枠に、夫々、各マトリクス枠に対応する、縦
軸ホストアドレス，横軸ホストアドレス，横軸ＶＰＮ外
付アドレスを書き込む（ステップＳ２３０）。

【００４３】最後に、トンネルマトリクス生成部３５
は、トンネルマトリクステーブル３４の各マトリクス枠
に記載されたすべての（縦軸ホストアドレス，横軸ホス
トアドレス，横軸ＶＰＮ外付アドレス）をトンネル定義
テーブル３３の発信ホストアドレス、宛先ホストアドレ
ス、宛先ＶＰＮ装置アドレスの欄に、サイト名およびＶ
ＰＮ装置名と共に書き出す。さらに、ＶＰＮ装置管理テ
ーブル３２を参照して各ＶＰＮ装置の暗号方式の種別コ
ードを暗号種別の欄に設定することで、トンネル定義テ
ーブル３３を作成する（ステップＳ２４０）。この結
果、例えば図６に示すような、トンネル定義テーブル３
３が生成される。

【００４４】次にトンネル定義削除部３６について説明
する。トンネル定義削除部３６はプロジェクト管理テー
ブル３１の変更内容から削除すべきトンネル定義を生成
し、トンネル定義テーブル３３から対象となるトンネル
定義を削除する機能を有している。図９のフローチャー
トを参照してトンネル定義削除部３６の処理の流れを説
明する。

【００４５】プロジェクト管理テーブル３１には、トン
ネル定義削除処理の開始前に、図４に示すように、異動
情報を定義しておく。すなわち、図４に示すように、ど
のサイトのどのユーザをプロジェクトから追加、もしく
は削除するかを示す異動情報を異動情報欄に定義する。
異動情報欄に追加もしくは削除と記すことにより、各サ
イトのユーザが異動によりプロジェクトからいなくなっ
たり、新たに参加したことが判る。

【００４６】図９のステップＳ３００〜ステップＳ３３
０においては、トンネルマトリクス生成部３５によって
図８のステップＳ２００〜ステップＳ２３０と同様の処
理が実行されることで、この時点で図７に示したよう
な、トンネルマトリクステーブル３４が作成される。

【００４７】トンネル定義削除部３６は、プロジェクト
管理テーブル３１の異動情報欄が削除となっているサイ
トおよびホストアドレスを取り出し、前記作成されたト
ンネルマトリクステーブル３４に対し、図１０に示すよ
うに、前記取り出したサイトおよびホストアドレスの縦
軸および横軸のホストアドレスの欄に印を付ける。この
場合の印は、網掛け＋左下がり斜線である。そして、印
が付けられた縦軸および横軸のホストアドレスの行およ
び列方向の全てのマトリクス欄に同様の印を付ける（ス
テップＳ３４０）。但し、自ホストアドレス同士の通信
は無視すべきであるので、ステップＳ３２０で網掛けが
付されたマトリクス欄には、今回の印（網掛け＋左下が
り斜線）を付さない。このようにして、削除されたホス
トアドレスについての既に登録設定されていたトンネル
定義が抽出される。

【００４８】つぎに、トンネル定義削除部３６は、ステ
ップＳ３４０で新たに印を付けたマトリクス枠の（縦軸
ホストアドレス，横軸ホストアドレス，横軸ＶＰＮ外付
アドレス）をサイト毎に取り出す（ステップＳ３５
０）。そして、該取り出した（縦軸ホストアドレス、横
軸ホストアドレス、横軸ＶＰＮ外付アドレス）をトンネ
ル定義テーブル３３から検索して削除する（ステップＳ
３６０）。

【００４９】このようにして、プロジェクト管理テーブ
ル３１の異動情報欄に削除として登録されているプロジ
ェクトメンバをサイト毎にトンネル定義から削除する。

【００５０】次にトンネル定義追加部３７について説明
する。トンネル定義追加部３７はプロジェクト管理テー
ブル３１の変更内容から追加すべきトンネル定義を生成
し、トンネル定義テーブル３３に対象となるトンネル定
義を追加する機能を有する。図１１のフローチャートを
参照してトンネル定義追加部３７の処理の流れを説明す
る。

【００５１】このトンネル定義追加部３７での処理は、
基本的にはトンネル定義削除部３６と同じであり、違い
はトンネル定義を削除ではなく追加することだけであ
る。プロジェクト管理テーブル３１には、トンネル定義
追加処理の開始前に、図４に示すように、異動情報を定
義しておく。図１１のステップＳ４００〜ステップＳ４
３０においては、トンネルマトリクス生成部３５によっ
て、図８のステップＳ２００〜ステップＳ２３０と同様
の処理が実行されることで、この時点で図７に示したよ
うな、トンネルマトリクステーブル３４が作成される。

【００５２】トンネル定義追加部３７は、作成されたト
ンネルマトリクステーブル３４に対し、プロジェクト管
理テーブル３１の異動情報欄が追加となっているサイト
およびホストアドレスを取り出し、図１２に示すよう
に、該取り出したサイトおよびホストアドレスの縦軸お
よび横軸のホストアドレスの欄に、所定の印を付ける。
この場合の印は、網掛け＋右下がり斜線である。そし
て、印が付けられた縦軸および横軸のホストアドレスの
行および列方向の全てのマトリクス欄に同様の印を付け
る（ステップＳ４４０）。但し、前記同様、ステップＳ
４２０で網掛けが付されたマトリクス欄には、今回の印
（網掛け＋右下がり斜線）を付さない。このようにし
て、追加されたホストアドレスについての既に登録設定
されていたトンネル定義が抽出される。

【００５３】つぎに、トンネル定義追加部３７は、ステ
ップＳ４４０で新たに印を付けたマトリクス枠の（縦軸
ホストアドレス，横軸ホストアドレス，横軸ＶＰＮ外付
アドレス）をサイト毎に取り出す（ステップＳ４５
０）。そして、該取り出した（縦軸ホストアドレス、横
軸ホストアドレス、横軸ＶＰＮ外付アドレス）をトンネ
ル定義テーブル３３に追加する（ステップＳ４６０）。

【００５４】このようにして、プロジェクト管理テーブ
ル３１の異動情報欄に追加として登録されているプロジ
ェクトメンバをサイト毎にトンネル定義に追加する。

【００５５】このように実施の形態１によれば、プロジ
ェクト管理テーブル３１に異動情報を登録するだけで、
これに対応してトンネル定義テーブル３３を自動的に更
新することができるので、ＶＰＮの管理者は、プロジェ
クト管理テーブル３１におけるプロジェクトメンバの異
動情報を更新するだけで異動後のＶＰＮのトンネル定義
の変更内容を知ることができる。手作業でトンネル定義
の変更をおこなう場合、定義に時間を要するだけでな
く、定義誤りがたびたび発生していた。プロジェクトメ
ンバが大規模になっても、ＶＰＮ管理者はプロジェクト
管理テーブル３１だけを修正すればよく、誤りなく迅速
にＶＰＮの変更をおこなうことができる。また、ＶＰＮ
を利用するプロジェクト数が膨大になっても、プロジェ
クト毎にプロジェクト管理テーブル３１を用意すれば、
手間が変わらずＶＰＮを変更できる。

【００５６】なお、実施の形態１では、プロジェクト管
理テーブル３１に異動情報が変更された場合について示
したが、プロジェクト管理テーブル３１のホストアドレ
スが変更された場合、ＶＰＮ装置管理テーブル３２のＶ
ＰＮ外側アドレスが変更された場合でも、この変更が自
動的にトンネル定義テーブル３３に反映されることにな
る。

【００５７】実施の形態２.次に、図１３および図１４
を用いてこの発明の実施の形態２について説明する。図
１３に示すＶＰＮ管理装置では、図２に示す実施の形態
１のＶＰＮ管理装置に、トポロジー表示編集部４０を追
加している。

【００５８】トポロジー表示編集部４０は、プロジェク
ト管理テーブル３１およびＶＰＮ装置管理テーブル３２
の記憶内容に基づいて、図１４に示すように、ホスト、
ＶＰＮ装置、サイトなどを表すグラフィック要素に、対
応するユーザ名、ホストアドレス、サイト名、ＶＰＮ装
置名、ＶＰＮ外側アドレスなどの文字情報を付加した、
ＶＰＮシステムのトポロジーをグラフィカルに表示する
ようにしており、これによりＶＰＮ管理者はプロジェク
トメンバの異動によりＶＰＮの構成にどのような変化が
あるかなどを容易に把握することができる。

【００５９】また、トポロジー表示編集部４０は、グラ
フィカルに表示されたホスト、ＶＰＮ装置をグラフィッ
ク上で他のサイトに移動させたり、削除、追加すること
で、トポロジー表示編集部４０でのグラフィック上での
編集結果を、逆に、プロジェクト管理テーブル３１やＶ
ＰＮ装置管理テーブル３２に登録することができる。し
たがって、ＶＰＮ管理者はＶＰＮの変更を迅速に定義す
ることができる。

【００６０】実施の形態３.次に、図１５を用いてこの
発明の実施の形態３について説明する。図１５に示すＶ
ＰＮ管理装置では、図２に示す実施の形態１のＶＰＮ管
理装置に、トンネル定義配信部４５を追加している。

【００６１】トンネル定義配信部４５は、トンネル定義
テーブル３３からトンネル定義を取り出し、各ＶＰＮ装
置に対してトンネル定義を配信する機能を有している。
トンネル定義を自動で配信することで、ＶＰＮ管理者は
ＶＰＮ装置毎のトンネル定義をまとめる手間がなくな
り、プロジェクトメンバのためのＶＰＮ構築のためのＶ
ＰＮ装置の設定を一括しておこなうことができ、設定の
もれをなくすことが可能となる。

【００６２】実施の形態４.次に、図１６を用いてこの
発明の実施の形態４について説明する。図１６に示すＶ
ＰＮ管理装置では、図２に示す実施の形態１のＶＰＮ管
理装置に、トンネル定義編集部５０を追加している。

【００６３】トンネル定義編集部５０は、トンネル定義
テーブル３３を表示し、編集する機能を有しており、こ
のトンネル定義編集部５０によってトンネル定義に含ま
れる認証方式に関する詳細定義の修正を可能とする。

【００６４】図６に示したように、トンネル定義にはト
ンネルポリシーとして暗号種別を定義することができ
る。この暗号種別はＶＰＮ装置間の暗号通信の強弱を指
定するＶＰＮ装置のパラメータであり、トンネル定義毎
に異なるパラメータ、すなわち異なる暗号方式を設定す
ることができる。

【００６５】実施の形態１では、図６に示すように、暗
号種別を例えばＤＥＳに固定していた。しかし、プロジ
ェクト毎に暗号強度を強くしたり弱くしたり、また同じ
ホスト間の暗号通信でも通信の方向によって暗号強度を
変えたりすることがある。実際のトンネル定義には、暗
号強度以外にも認証方式に関する詳細な定義をおこなう
必要があり、トンネル定義編集部５０により、これらの
詳細パラメータを修正することを可能にすることによ
り、よりきめ細かいＶＰＮの構築を提供することができ
る。従来のＶＰＮ管理装置では、いきなりこのような詳
細なトンネル定義をおこなう必要があったため、かえっ
て定義設定を困難にしていた。この実施の形態４におい
ては、最初に実施の形態１の手法を用いてＶＰＮ構築に
必要なトンネル定義の骨格を作成し、その後トンネル定
義編集部５０を用いて、１つのトンネル定義毎の暗号方
式の設定あるいは認証方式に関する詳細な定義を行うよ
うにして、ＶＰＮのトンネル定義設定を簡単かつ効率的
に行えるようにしている。

【００６６】実施の形態５.次に、図１７〜図２７を用
いてこの発明の実施の形態５について説明する。この実
施の形態５においては、ＶＰＮ管理装置によって、ＶＰ
Ｎのトンネル定義およびファイアウォールのフィルタリ
ング定義の作成、削除、追加を行う。

【００６７】図１７は、ファイアウォール１５０が組み
込まれたサイト１０を含むＶＰＮシステムを示してい
る。図１７において、他の構成要素については、図１と
同様であり、１０,１１,１２がサイト、１１０〜１１５
がホスト、１２０〜１２２がＶＰＮ装置、１３０〜１３
２がＶＰＮをそれぞれ表している。

【００６８】このＶＰＮシステムでは、ＶＰＮ装置１２
０で暗号を解かれた結果の通信データに対してファイア
ウォール１５０でフィルタリングが行われる。そのた
め、ＶＰＮ装置１２０からホスト１１０〜１１２にデー
タを送信するためには、ファイアウォール１５０にホス
ト１１０〜１１２宛の通信を通過させるフィルタリング
設定をおこなう必要がある。

【００６９】図１８はファイアウォールに設定するフィ
ルタリング定義を生成、更新する機能を追加したＶＰＮ
管理装置の機能構成を示すものである。この実施の形態
５のＶＰＮ管理装置においても、プロジェクト管理テー
ブル３１に設定されるプロジェクトメンバの異動情報に
基づいてファイアウォールのフィルタリング定義を生成
する。

【００７０】図１８において、プロジェクト管理テーブ
ル３１、トンネル定義テーブル３３、トンネルマトリク
ステーブル３４、トンネルマトリクス生成部３５、トン
ネル定義削除部３６、トンネル定義追加部３７ついて
は、先の図２に示した各構成要素と同じ機能を有するの
で同一符号を付しており、重複する説明は省略する。こ
のＶＰＮ管理装置は、他に、ＶＰＮ装置・ファイアウォ
ール管理テーブル（以下ＶＰＮ／ＦＷ管理テーブルと略
す）６０と、フィルタリング定義テーブル６１、フィル
タリングマトリクステーブル６２、フィルタリングマト
リクス生成部６３、フィルタリング定義削除部６４、フ
ィルタリング定義追加部６５を備えている。

【００７１】ＶＰＮ／ＦＷ管理テーブル６０は、図１９
に示すように、図５に示したＶＰＮ装置管理テーブルに
対し、当該ＶＰＮ装置に接続されるファイアウォール名
の欄（ファイアウォール識別情報）を追加したものであ
る。この追加したファイアウォール名の欄には、各サイ
トのＶＰＮ装置の内側に設置されるファイアウォールの
名前を登録する。

【００７２】図２０はファイアウォールでの基本的なフ
ィルタリング定義の一例を示すものである。フィルタリ
ング定義は、発信元ホストアドレス、宛先ホストアドレ
ス、http，ftpなどのプロトコル種別、通過規則を含ん
でいる。

【００７３】フィルタリング定義では、通信データのヘ
ッダ情報中の発信ホストアドレスと宛先ホストアドレ
ス、およびプロトコル種別を見て、その通信データを通
過するか廃棄するかを定義する。通信データのヘッダ情
報に合致するフィルタリング定義がない場合、その通信
データは廃棄される。そのため、ファイアウォールに通
信データを通過させるためには、ファイアウォールにフ
ィルタリング定義を設定登録する必要がある。

【００７４】フィルタリング定義テーブル６１は、図２
１に示すように、各サイトのファイアウォールに登録す
るフィルタリング定義を蓄積するデータベースであり、
フィルタリングマトリクス生成部６３によって作成され
る。フィルタリング定義テーブル６１では、サイト名お
よびファイアウォール名によってフィルタリング定義を
設定する各ファイアウォールを特定し、各ファイアウォ
ール毎に所要の複数のフィルタリング定義を設定登録す
る。１つのフィルタリング定義は、発信ホストアドレス
（ＩＰグルーバルアドレス）、宛先ホストアドレス（Ｉ
Ｐグルーバルアドレス）、プロトコル種別および通過規
則を含んでいる。発信ホストアドレスおよび宛先ホスト
アドレスはファイアウォールを利用して通信する２つの
ホストのアドレスの対で定義されている。プロトコル種
別および通過規則によって通過させるプロトコルを規定
している。

【００７５】フィルタリングマトリクステーブル６２
は、フィルタリングマトリクス生成部６３、フィルタリ
ング定義削除部６４およびフィルタリング定義追加部６
５によるフィルタリング定義テーブル６１の生成、削
除、追加の際に中間的に生成されるワークテーブルであ
る。

【００７６】次にフィルタリングマトリクス生成部６３
について説明する。フィルタリングマトリクス生成部６
３は、あるプロジェクトに対してＶＰＮおよびファイア
ウォール構築する際に必要となるフィルタリング定義の
集合を生成し、フィルタリング定義テーブル６１を作成
する。すなわち、フィルタリングマトリクス生成部６３
は、プロジェクト管理テーブル３１およびＶＰＮ／ＦＷ
管理テーブル６０の登録データを用いてフィルタリング
マトリクステーブル６２を作成し、作成したフィルタリ
ングマトリクステーブル６２を用いてフィルタリング定
義テーブル６１を作成する。図２２のフローチャートを
参照してフィルタリングマトリクス生成部６３の処理の
流れを説明する。

【００７７】マトリクス生成開始時に、プロジェクト管
理テーブル３１およびＶＰＮ／ＦＷ管理テーブル６０
に、それぞれ例えば図３、図１９のような内容が定義さ
れているとする。まず、フィルタリングマトリクス生成
部６３は、図３のプロジェクト管理テーブル３１からＶ
ＰＮを構築するプロジェクトのサイト毎のホストアドレ
スを取り出し、フィルタリングマトリクステーブル６２
の縦軸にサイト名とホストアドレスを列挙する。フィル
タリングマトリクステーブル６２の横軸にも、縦軸と同
様に、同じサイト名とホストアドレスを列挙する（ステ
ップＳ５００、図２３参照）。

【００７８】つぎに、フィルタリングマトリクス生成部
６３は、図１９のＶＰＮ／ＦＷ管理テーブル６０から、
各サイトのファイアウォール名を取り出し、取り出した
ファイアウォール名をフィルタリングマトリクステーブ
ル６２の横軸および縦軸のサイト名に付記する（ステッ
プＳ５１０、図２３参照）。

【００７９】つぎに、フィルタリングマトリクス生成部
６３は、図２３のように作成したフィルタリングマトリ
クステーブル６２の中で横軸と縦軸が同じサイトにあた
るホストアドレスのマトリクス枠および縦軸横軸ともに
ファイアウォールが設置されていないサイトをトンネル
定義生成対象外とするための印を付ける（ステップＳ５
２０）。図２３では、網掛けを付した箇所がこれに対応
する。

【００８０】つぎに、フィルタリングマトリクス生成部
６３は、図２３のフィルタリングマトリクステーブル６
２に対し、フィルタリング定義生成対象外としたマトリ
クス枠を除く全てのマトリクス枠に、夫々、各マトリク
ス枠に対応する、縦軸ホストアドレス，横軸ホストアド
レスを書き込む（ステップＳ５３０）。

【００８１】最後に、フィルタリングマトリクス生成部
６３は、フィルタリングマトリクステーブル６２の各マ
トリクス枠に記載されたすべての（縦軸ホストアドレ
ス，横軸ホストアドレス）をフィルタリング定義テーブ
ル６１の発信ホストアドレス、宛先ホストアドレスの欄
に、サイト名およびファイアウォール名と共に書き出
す。さらに、ＶＰＮ／ＦＷ管理テーブル６０を参照して
各ファイアウォールのプロトコル種別および通過規則を
対応する各欄に設定することで、フィルタリング定義テ
ーブル６１を作成する（ステップＳ５４０）。この結
果、例えば図２１に示すような、フィルタリング定義テ
ーブル６１が生成される。

【００８２】次にフィルタリング定義削除部６４につい
て説明する。フィルタリング定義削除部６４は、プロジ
ェクト管理テーブル３１の変更内容から削除すべきフィ
ルタリング定義を生成し、フィルタリング定義テーブル
６１から対象となるフィルタリング定義を削除する機能
を有する。図２４のフローチャートを参照してフィルタ
リング定義削除部６４の処理の流れを説明する。

【００８３】プロジェクト管理テーブル３１には、フィ
ルタリング定義削除処理の開始前に、図４に示したよう
に、異動情報を定義しておく。

【００８４】図２４のステップＳ６００〜ステップＳ６
３０においては、フィルタリングマトリクス生成部６３
によって図２２のステップＳ５００〜ステップＳ５３０
と同様の処理が実行されることで、この時点で図２５に
示すような、フィルタリングマトリクステーブル６２が
作成される。ただし、この時点では、図２５に示す斜線
網掛けによる印は付されていない。

【００８５】フィルタリング定義削除部６４は、プロジ
ェクト管理テーブル３１の異動情報欄が削除となってい
るサイトおよびホストアドレスを取り出し、前記作成さ
れたフィルタリングマトリクステーブル６２に対し、図
２５に示すように、前記取り出したサイトおよびホスト
アドレスの縦軸および横軸のホストアドレスの欄に、印
を付ける。この場合の印は、網掛け＋左下がり斜線であ
る。そして、印が付けられた縦軸および横軸のホストア
ドレスの行および列方向の全てのマトリクス欄に同様の
印を付ける（ステップＳ６４０）。但し、自ホストアド
レス同士の通信は無視すべきであるので、ステップＳ６
２０で網掛けが付されたマトリクス欄には、今回の印
（網掛け＋左下がり斜線）を付さない。このようにし
て、削除されたホストアドレスについての既に登録設定
されていたフィルタリング定義が抽出される。

【００８６】つぎに、フィルタリング定義削除部６４
は、ステップＳ６４０で新たに印を付けたマトリクス枠
の（縦軸ホストアドレス，横軸ホストアドレス）をサイ
ト毎に取り出す（ステップＳ６５０）。そして、該取り
出した（縦軸ホストアドレス、横軸ホストアドレス）を
フィルタリング定義テーブル６１から検索して削除する
（ステップＳ６６０）。

【００８７】このようにして、プロジェクト管理テーブ
ル３１の異動情報欄に削除登録されているプロジェクト
メンバをサイト毎にフィルタリング定義から削除する。

【００８８】次にフィルタリング定義追加部６５につい
て説明する。フィルタリング定義追加部６５はプロジェ
クト管理テーブル３１の変更内容から追加すべきフィル
タリング定義を生成し、フィルタリング定義テーブル６
１に対象となるフィルタリング定義を追加する機能を有
する。図２６のフローチャートを参照してフィルタリン
グ定義追加部６５の処理の流れを説明する。

【００８９】このフィルタリング定義追加部６５での処
理は、基本的にはフィルタリング定義削除部６４と同じ
であり、違いはフィルタリング定義を削除ではなく追加
することだけである。プロジェクト管理テーブル３１に
は、フィルタリング定義追加処理の開始前に、図４に示
したように、異動情報を定義しておく。図２６のステッ
プＳ７００〜ステップＳ７３０においては、フィルタリ
ングマトリクス生成部６３によって、図２２のステップ
Ｓ５００〜ステップＳ５３０と同様の処理が実行される
ことで、この時点で図２７に示したような、フィルタリ
ングマトリクステーブル６２が作成される。ただし、こ
の時点では、図２７に示す斜線網掛けによる印は付され
ていない。

【００９０】フィルタリング定義追加部６５は、プロジ
ェクト管理テーブル３１の異動情報欄が追加となってい
るサイトおよびホストアドレスを取り出し、作成された
フィルタリングマトリクステーブル６２に対し、図２７
に示すように、前記取り出したサイトおよびホストアド
レスの縦軸および横軸のホストアドレスの欄に、所定の
印を付ける。この場合の印は、網掛け＋右下がり斜線で
ある。そして、印が付けられた縦軸および横軸のホスト
アドレスの行および列方向の全てのマトリクス欄に同様
の印を付ける（ステップＳ７４０）。但し、前記同様、
ステップＳ７２０で網掛けが付されたマトリクス欄に
は、今回の印（網掛け＋右下がり斜線）を付さない。こ
のようにして、追加されたホストアドレスについての既
に登録設定されていたフィルタリング定義が抽出され
る。

【００９１】つぎに、フィルタリング定義追加部６５
は、ステップＳ７４０で新たに印を付けたマトリクス枠
の（縦軸ホストアドレス，横軸ホストアドレス）をサイ
ト毎に取り出す（ステップＳ７５０）。そして、該取り
出した（縦軸ホストアドレス、横軸ホストアドレス）を
フィルタリング定義テーブル６１に追加する（ステップ
Ｓ７６０）。

【００９２】このようにして、プロジェクト管理テーブ
ル３１の異動情報欄に追加として登録されているプロジ
ェクトメンバをサイト毎にフィルタリング定義に追加す
る。

【００９３】このようにこの実施の形態５によれば、プ
ロジェクト管理テーブル３１に異動情報を登録するだけ
で、これに対応してＶＰＮのトンネル定義テーブル３３
のみならずファイアウォールのフィルタリング定義テー
ブル６１を自動的に更新することができるので、ＶＰＮ
の管理者は、プロジェクト管理テーブル３１におけるプ
ロジェクトメンバの異動情報を更新するだけで異動後の
ＶＰＮのトンネル定義の変更内容およびフィルタリング
定義の変更内容を知ることができる。手作業でフィルタ
リング定義の変更をおこなう場合、定義に時間を要する
だけでなく、定義誤りがたびたび発生していた。プロジ
ェクトメンバが大規模になっても、ＶＰＮ管理者はプロ
ジェクト管理テーブルだけを修正すればよく、誤りなく
迅速にＶＰＮおよびファイアウォールの変更をおこなう
ことができる。また、ＶＰＮを利用するプロジェクト数
が膨大になっても、プロジェクト毎にプロジェクト管理
テーブルを用意すれば、手間が変わらずＶＰＮおよびフ
ァイアウォールを変更できる。

【００９４】実施の形態６.次に、図２８を用いてこの
発明の実施の形態６について説明する。図２８に示すＶ
ＰＮ管理装置では、図１８に示した実施の形態５のＶＰ
Ｎ管理装置にフィルタリング定義配信部７０を追加して
いる。

【００９５】フィルタリング定義配信部７０は、フィル
タリング定義テーブル６１からフィルタリング定義を取
り出し、各サイトのファイアウォールに対してフィルタ
リング定義を自動的に配信する。フィルタリング定義を
自動で配信することで、ＶＰＮ管理者はファイアウォー
ル毎のフィルタリング定義をまとめる手間がなくなり、
プロジェクトメンバのためのＶＰＮ構築のためのファイ
アウォールの設定を一括しておこなうことができ、設定
のもれをなくすことが可能となる。

【００９６】実施の形態７.次に、図２９を用いてこの
発明の実施の形態７について説明する。図２９に示す実
施の形態７のＶＰＮ管理装置では、図１８に示す実施の
形態５のＶＰＮ管理装置に、フィルタリング定義編集部
８０を追加している。

【００９７】フィルタリング定義編集部８０は、フィル
タリング定義テーブル６１を表示し編集する機能を有し
ており、このフィルタリング定義編集部８０によってフ
ィルタリング定義に含まれるプロトコル種別に関する詳
細定義の修正を可能とする。

【００９８】図２１に示したように、フィルタリング定
義には、ファイアウォールの通過ポリシーとしてプロト
コル種別を定義することができる。このプロトコル種別
はファイアウォールを通過する通信データの種類を制限
することができ、フィルタリング定義毎に異なるパラメ
ータ、異なるプロトコル種別を設定することができる。

【００９９】実施の形態５では、図２１に示すように、
プロトコル種別をhttpとftpに固定していた。しかし、
プロジェクト毎に利用するプロトコルを制限したり、ま
たホスト間の通信でも通信の方向によって利用するプロ
トコルを変えたりすることがある。フィルタリング定義
編集部８０により、これらのパラメータを修正すること
を可能にすることにより、プロジェクトに対してよりき
め細かいＶＰＮおよびファイアウォール構築を提供する
ことができる。従来のＶＰＮ管理装置では、いきなりこ
のような利用プロトコルの定義をおこなう必要があった
ため、かえって定義設定を困難にしていた。この実施の
形態７においては、最初に実施の形態５の手法を用いて
ＶＰＮ構築に必要なファイアウォール定義の骨格を作成
し、その後フィルタリング定義編集部８０を用いて、１
つのフィルタリング定義毎のプロトコル種別に関する詳
細な定義設定を行うことで、ＶＰＮのファイアウォール
設定を簡単かつ効率的に行えるようにしている。

【０１００】

【発明の効果】以上説明したように、この発明によれ
ば、プロジェクト管理テーブルに異動情報を登録するだ
けで、これに対応してトンネル定義テーブルを自動的に
更新することができるので、ＶＰＮの管理者は、プロジ
ェクト管理テーブルを更新するだけで変更後のＶＰＮの
トンネル定義の変更内容を知ることができる。したがっ
て、プロジェクトメンバが大規模になっても、ＶＰＮ管
理者はプロジェクト管理テーブルだけを修正すればよ
く、誤りなく迅速にＶＰＮの変更をおこなうことができ
る。また、ＶＰＮを利用するプロジェクト数が膨大にな
っても、プロジェクト毎にプロジェクト管理テーブルを
用意すれば、手間が変わらずＶＰＮを変更できる。

【０１０１】つぎの発明によれば、プロジェクト管理テ
ーブルの異動情報の変更に応じてトンネル定義テーブル
のトンネル定義を削除あるいは追加するようにしている
ので、プロジェクト管理テーブルにおけるプロジェクト
メンバの異動情報を更新するだけで異動後のＶＰＮのト
ンネル定義の変更内容を知ることができる。

【０１０２】つぎの発明によれば、プロジェクト管理テ
ーブルおよびＶＰＮ管理テーブルの記憶内容に基づい
て、ホスト、ＶＰＮ装置、サイトについてのトポロジー
をグラフィカルに表示、編集するとともに、該グラフィ
カルに表示した結果を前記プロジェクト管理テーブルお
よびＶＰＮ装置管理テーブルの登録内容に反映させるよ
うにしたので、ＶＰＮ管理者は、プロジェクトメンバの
異動によりＶＰＮの構成にどのような変化があるかなど
を容易に把握することができるとともに、ＶＰＮの変更
を迅速に定義することができる。

【０１０３】つぎの発明によれば、生成あるいは変更さ
れたトンネル定義を各サイトのＶＰＮ装置に配信可能と
しているので、ＶＰＮ管理者はＶＰＮ装置毎のトンネル
定義をまとめる手間がなくなり、プロジェクトメンバの
ためのＶＰＮ構築のためのＶＰＮ装置の設定を一括して
おこなうことができ、設定のもれをなくすことが可能と
なる。

【０１０４】つぎの発明によれば、トンネル定義に含ま
れる認証方式に関する詳細定義を個々に編集可能として
いるので、各トンネル定義毎の暗号方式の設定あるいは
認証方式に関する詳細な定義設定が可能となる。

【０１０５】つぎの発明によれば、プロジェクト管理テ
ーブルに異動情報を登録するだけで、これに対応してＶ
ＰＮのトンネル定義テーブルのみならずファイアウォー
ルのフィルタリング定義テーブルを自動的に更新するこ
とができるので、ＶＰＮの管理者は、プロジェクト管理
テーブルを更新するだけでＶＰＮのトンネル定義の変更
内容およびフィルタリング定義の変更内容を知ることが
できる。したがって、プロジェクトメンバが大規模にな
っても、ＶＰＮ管理者はプロジェクト管理テーブルだけ
を修正すればよく、誤りなく迅速にＶＰＮおよびファイ
アウォールの変更をおこなうことができる。また、ＶＰ
Ｎを利用するプロジェクト数が膨大になっても、プロジ
ェクト毎にプロジェクト管理テーブルを用意すれば、手
間が変わらずＶＰＮおよびファイアウォールを変更でき
る。

【０１０６】つぎの発明によれば、プロジェクト管理テ
ーブルの異動情報の変更に応じてフィルタリング定義テ
ーブルのフィルタリング定義を削除あるいは追加するよ
うにしているので、プロジェクト管理テーブルにおける
プロジェクトメンバの異動情報を更新するだけで異動後
のファイアウォールのフィルタリング定義の変更内容を
知ることができる。

【０１０７】つぎの発明によれば、生成あるいは変更さ
れたフィルタリング定義を各サイトのファイアウォール
に配信可能としているので、ＶＰＮ管理者はファイアウ
ォール毎のフィルタリング定義をまとめる手間がなくな
り、プロジェクトメンバのためのＶＰＮ構築のためのフ
ァイアウォールの設定を一括しておこなうことができ、
設定のもれをなくすことが可能となる。

【０１０８】つぎの発明によれば、フィルタリング定義
に含まれるプロトコル種別に関する詳細定義を個々に編
集可能としているので、各フィルタリング定義毎に異な
るプロトコル種別の通過設定が可能となる。

【図面の簡単な説明】

【図１】 ＶＰＮシステム構成を示す図である。

【図２】 この発明にかかるＶＰＮ管理装置の実施の形
態１の構成を示すブロック図である。

【図３】 プロジェクト管理テーブルの記憶内容を例示
する図である。

【図４】 異動情報欄に設定がなされた変更後のプロジ
ェクト管理テーブルの記憶内容を例示する図である。

【図５】 ＶＰＮ装置管理テーブルの記憶内容を例示す
る図である。

【図６】 トンネル定義テーブルの記憶内容を例示する
図である。

【図７】 トンネルマトリクステーブルの記憶内容を例
示する図である。

【図８】 トンネル定義テーブル作成の処理手順を示す
フローチャートである。

【図９】 トンネル定義の削除の処理手順を示すフロー
チャートである。

【図１０】 トンネル定義の削除処理の際のトンネルマ
トリクステーブルの記憶内容を例示する図である。

【図１１】 トンネル定義の追加の処理手順を示すフロ
ーチャートである。

【図１２】 トンネル定義の追加処理の際のトンネルマ
トリクステーブルの記憶内容を例示する図である。

【図１３】 この発明にかかるＶＰＮ管理装置の実施の
形態２の構成を示すブロック図である。

【図１４】 実施の形態２のＶＰＮ管理装置のトポロジ
ー表示編集部によってグラフィカルに表示されるＶＰＮ
システムのトポロジーを示す図である。

【図１５】 この発明にかかるＶＰＮ管理装置の実施の
形態３の構成を示すブロック図である。

【図１６】 この発明にかかるＶＰＮ管理装置の実施の
形態４の構成を示すブロック図である。

【図１７】 実施の形態５のＶＰＮ管理装置が適用され
るＶＰＮシステムを例示する図である。

【図１８】 この発明にかかるＶＰＮ管理装置の実施の
形態５の構成を示すブロック図である。

【図１９】 ＶＰＮ装置・ファイアウォール管理テーブ
ルの記憶内容を例示する図である。

【図２０】 フィルタリング定義を説明するための図で
ある。

【図２１】 フィルタリング定義テーブルの記憶内容を
例示する図である。

【図２２】 フィルタリング定義テーブル作成の処理手
順を示すフローチャートである。

【図２３】 フィルタリングマトリクステーブルの記憶
内容を例示する図である。

【図２４】 フィルタリング定義の削除の処理手順を示
すフローチャートである。

【図２５】 フィルタリング定義の削除処理の際のフィ
ルタリングマトリクステーブルの記憶内容を例示する図
である。

【図２６】 フィルタリング定義の追加の処理手順を示
すフローチャートである。

【図２７】 フィルタリング定義の追加処理の際のフィ
ルタリングマトリクステーブルの記憶内容を例示する図
である。

【図２８】 この発明にかかるＶＰＮ管理装置の実施の
形態６の構成を示すブロック図である。

【図２９】 この発明にかかるＶＰＮ管理装置の実施の
形態７の構成を示すブロック図である。

【符号の説明】

１０，１１，１２ サイト、３１ プロジェクト管理フ
ァイル、３２ ＶＰＮ装置管理テーブル、３３ トンネ
ル定義テーブル、３４ トンネルマトリクステーブル、
３５ トンネルマトリクス生成部、３６ トンネル定義
削除部、３７トンネル定義追加部、４０ トポロジー表
示編集部、４５ トンネル定義配信部、５０ トンネル
定義編集部、６０ ＶＰＮ装置・ファイアウォール管理
テーブル、６１ フィルタリング定義テーブル、６２
フィルタリングマトリクステーブル、６３ フィルタリ
ングマトリクス生成部、６４ フィルタリング定義削除
部、６５ フィルタリング定義追加部、７０ フィルタ
リング定義配信部、８０フィルタリング定義編集部、１
１０〜１１５ ホスト、１２０〜１２２ ＶＰＮ装置、
１３０〜１３２ ＶＰＮ、１５０ ファイアウォール。

Claims (9)

【特許請求の範囲】
1. 【請求項１】 各サイトに含まれる複数のホストに関す
   るＶＰＮ通信を各サイト毎に制御する複数のＶＰＮ装置
   を管理するＶＰＮ管理装置において、 各サイトのプロジェクトメンバ情報、ホストアドレス情
   報および各プロジェクトメンバについての異動情報を含
   むプロジェクト情報が登録されるプロジェクト管理テー
   ブルと、 各ＶＰＮ装置のＶＰＮ構築情報が登録されるＶＰＮ装置
   管理テーブルと、 各ホスト間の通信路毎のトンネル定義が登録されるトン
   ネル定義テーブルと、 前記プロジェクト管理テーブルの登録プロジェクト情報
   およびＶＰＮ装置管理テーブルの登録ＶＰＮ構築情報に
   基づいて前記トンネル定義を作成して、前記トンネル定
   義テーブルに登録するトンネル定義作成手段と、 前記プロジェクト管理テーブルの変更に応じて前記作成
   されたトンネル定義テーブルの登録内容を変更するトン
   ネル定義変更手段と、 を備えることを特徴とするＶＰＮ管理装置。
2. 【請求項２】 前記トンネル定義変更手段は、前記プロ
   ジェクト管理テーブルの異動情報の変更に応じて前記ト
   ンネル定義テーブルのトンネル定義を削除あるいは追加
   することを特徴とする請求項１に記載のＶＰＮ管理装
   置。
3. 【請求項３】 前記プロジェクト管理テーブルおよびＶ
   ＰＮ管理テーブルの記憶内容に基づいて、ホスト、ＶＰ
   Ｎ装置、サイトについてのトポロジーをグラフィカルに
   表示、編集するとともに、該グラフィカルに表示した結
   果を前記プロジェクト管理テーブルおよびＶＰＮ装置管
   理テーブルの登録内容に反映させるトポロジー表示編集
   部をさらに備えることを特徴とする請求項１または２に
   記載のＶＰＮ管理装置。
4. 【請求項４】 前記生成あるいは変更されたトンネル定
   義を各サイトのＶＰＮ装置に配信するトンネル定義配信
   部をさらに備えることを特徴とする請求項１〜３の何れ
   か一つに記載のＶＰＮ管理装置。
5. 【請求項５】 前記トンネル定義に含まれる認証方式に
   関する詳細定義を個々に編集するトンネル定義編集部を
   さらに備えることを特徴とする請求項１〜４の何れか一
   つに記載のＶＰＮ管理装置。
6. 【請求項６】 各サイトに含まれる複数のホストに関す
   るＶＰＮ通信を各サイト毎に制御する複数のＶＰＮ装置
   と該ＶＰＮ装置と前記ホスト間に介在されるファイアウ
   ォールを管理するＶＰＮ管理装置において、 各サイトのプロジェクトメンバ情報、ホストアドレス情
   報および各プロジェクトメンバについての異動情報を含
   むプロジェクト情報が登録されるプロジェクト管理テー
   ブルと、 各ＶＰＮ装置のＶＰＮ構築情報および当該ＶＰＮ装置に
   接続されるファイアウォールの識別情報が登録されるＶ
   ＰＮ装置・ファイアウォール管理テーブルと、 各ホスト間の通信路毎のトンネル定義が登録されるトン
   ネル定義テーブルと、 各ホスト間の通信路毎のフィルタリング定義が登録され
   るフィルタリング定義テーブルと、 前記プロジェクト管理テーブルの登録プロジェクト情報
   およびＶＰＮ装置・ファイアウォール管理テーブルの登
   録ＶＰＮ構築情報に基づいて前記トンネル定義を作成し
   て、前記トンネル定義テーブルに登録するトンネル定義
   作成手段と、 前記プロジェクト管理テーブルの変更に応じて前記作成
   されたトンネル定義テーブルの登録内容を変更するトン
   ネル定義変更手段と、 前記プロジェクト管理テーブルの登録プロジェクト情報
   およびＶＰＮ装置・ファイアウォール管理テーブルのフ
   ァイアウォール識別情報に基づいて前記フィルタリング
   定義を作成して、前記フィルタリング定義テーブルに登
   録するフィルタリング定義作成手段と、 前記プロジェクト管理テーブルの変更に応じて前記作成
   されたフィルタリング定義テーブルの登録内容を変更す
   るフィルタリング定義変更手段と、 を備えることを特徴とするＶＰＮ管理装置。
7. 【請求項７】 前記フィルタリング定義変更手段は、前
   記プロジェクト管理テーブルの異動情報の変更に応じて
   前記フィルタリング定義テーブルのフィルタリング定義
   を削除あるいは追加することを特徴とする請求項６に記
   載のＶＰＮ管理装置。
8. 【請求項８】 前記生成あるいは変更されたフィルタリ
   ング定義を各サイトのファイアウォールに配信するフィ
   ルタリング定義配信部をさらに備えることを特徴とする
   請求項６または７に記載のＶＰＮ管理装置。
9. 【請求項９】 前記フィルタリング定義に含まれるプロ
   トコル種別に関する詳細定義を個々に編集するフィルタ
   リング定義編集部をさらに備えることを特徴とする請求
   項６〜８の何れか一つに記載のＶＰＮ管理装置。