JP2005012485A

JP2005012485A - Internet vpn configuration system, control server and vpn configuration method for use therein

Info

Publication number: JP2005012485A
Application number: JP2003174170A
Authority: JP
Inventors: Koichi Matsumoto; 浩一松本; Teiichiro Ogushi; 貞一郎大串; Yasuhiro Miyao; 泰寛宮尾
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2003-06-19
Filing date: 2003-06-19
Publication date: 2005-01-13

Abstract

<P>PROBLEM TO BE SOLVED: To provide an Internet VPN configuration system capable of configuring Internet VPN easily without requiring the subscriber's own technical knowledge in which a service provider can reduce dispatch and personal education of maintenance personnel. <P>SOLUTION: A router 12 with VPN termination function configures a passage being encrypted and encapsulated by IPSec between the router and a VPN unit 3 through the Internet 100 thus establishing a control VPN 112. When the router 12 with VPN termination function requests authentication for a control server 1, the control server 1 authenticates the router 12 with VPN termination function by an individual identifier. If authentication is successful, the router 12 with VPN termination function informs a dynamic global IP address assigned from ISP#B to the control server 1. The control server 1 stores the informed global IP address as data associated with base information and individual identifier. <P>COPYRIGHT: (C)2005,JPO&NCIPI

Description

【０００１】
【発明の属する技術分野】
本発明はインタネットＶＰＮ構築システム及びそれに用いるサービス提供方法に関し、特にインタネットを用いて構築されるインタネットＶＰＮ（ＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ：仮想私設網）に関する。
【０００２】
【従来の技術】
従来、この種のインタネットＶＰＮにおいては、ＶＰＮ機能を持つファイアウォールマシンやルータを拠点間で利用することで実現している。ここで、ＶＰＮ機能は、プライベートアドレスを使うＩＰ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ）パケットを暗号化してグローバルアドレスを使うＩＰパケットにカプセル化する機能と、事前登録しておいたグローバルアドレスを持つＩＰパケット以外はフィルタリングして通さない機能とを備えている。
【０００３】
上記のインタネットＶＰＮでは、接続されている端末に故障が発生した時に当該端末のメンテナンスを行う場合、その端末における故障検出にともなって、所定の共有認証情報に基づいて端末の認証を行った後、その端末の故障に係る故障コード及びグローバルＩＰアドレスを保守サーバに送信する方法が提案されている（例えば、特許文献１参照）。
【０００４】
この場合、保守サーバからコマンド制御されるＶＰＮゲートウェイに、ＩＰｓｅｃ（ＩＰｓｅｃｕｒｉｔｙｐｒｏｔｏｃｏｌ）の認証鍵の設定及びＩＰｓｅｃのイニシエータ設定を書込むことで、保守サーバは端末との間に設定されるＶＰＮトンネルを通して端末のサーバ部及びルータ部に対してリモートメンテナンスを行う。
【０００５】
【特許文献１】
特開２００１−１９７０５８号公報（第１１〜１４頁、図１）
【０００６】
【発明が解決しようとする課題】
上述した従来のインタネットＶＰＮサービスでは、インタネットＶＰＮを構築するため、ユーザ拠点にＶＰＮ終端機能付きルータを設置し、ユーザまたはサービス事業者の保守要員が設定を行う必要があるため、人件費等の保守費用のコスト増大、また設定を行うための技術的知識を有することが必要とされている。
【０００７】
また、従来のインタネットＶＰＮサービスでは、動的ＩＰアドレスが利用可能であるが、必ず固定ＩＰアドレス接続拠点が必要となるため、動的ＩＰアドレスが全てのユーザ拠点において利用可能になるとは限らないという問題がある。
【０００８】
さらに、従来のインタネットＶＰＮサービスでは、拠点の増設や撤去が発生した場合、他の拠点のＶＰＮ終端機能付きルータの設定変更が必要になるという問題もある。その際、他の拠点のＶＰＮ終端機能付きルータの設定変更は、上記と同様に、保守要員によって行われる。
【０００９】
さらにまた、従来のインタネットＶＰＮサービスでは、ある拠点内のＩＰアドレスやサブネットマスクの変更が発生した場合、他の拠点のＶＰＮ終端機能付きルータの設定変更が必要になるという問題がある。この場合も、他の拠点のＶＰＮ終端機能付きルータの設定変更は、上記と同様に、保守要員によって行われる。
【００１０】
そこで、本発明の目的は上記の問題点を解消し、サービス提供者が保守要員の派遣や要員教育を削減することができ、加入者自身の技術的知識を必要とせず、容易にインタネットＶＰＮを構築することができるインタネットＶＰＮ構築システム及びそれに用いるサービス提供方法を提供することにある。
【００１１】
【課題を解決するための手段】
本発明によるインタネットＶＰＮ構築システムは、複数のユーザ拠点間に設置されたＶＰＮ（ＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ）終端機能付きルータ各々からの要求に応じて当該ＶＰＮ終端機能付きルータとの間にＩＰＳｅｃ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌＳｅｃｕｒｉｔｙｐｒｏｔｏｃｏｌ）による暗号化及びカプセル化される経路としての制御用ＶＰＮを設定するＶＰＮ装置と、
前記制御用ＶＰＮを経由した前記ＶＰＮ終端機能付きルータからの認証要求の受信時に当該ＶＰＮ終端機能付きルータの認証を行う手段と、前記認証の成功時に前記ＶＰＮ終端機能付きルータから通知される動的ＩＰアドレスに基づいた前記ＩＰＳｅｃの設定情報を前記ＶＰＮ終端機能付きルータに送信する手段とを含む制御サーバとを備えている。
【００１２】
本発明による制御サーバは、ＶＰＮ（ＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ）装置で設定されかつ複数のユーザ拠点間に設置されたＶＰＮ終端機能付きルータ各々からの要求に応じて当該ＶＰＮ終端機能付きルータとの間にＩＰＳｅｃ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌＳｅｃｕｒｉｔｙｐｒｏｔｏｃｏｌ）による暗号化及びカプセル化される経路としての制御用ＶＰＮをを経由した前記ＶＰＮ終端機能付きルータからの認証要求の受信時に当該ＶＰＮ終端機能付きルータの認証を行う手段と、
前記認証の成功時に前記ＶＰＮ終端機能付きルータから通知される動的ＩＰアドレスに基づいた前記ＩＰＳｅｃの設定情報を前記ＶＰＮ終端機能付きルータに送信する手段とを備えている。
【００１３】
本発明によるサービス提供方法は、複数のユーザ拠点間に設置されたＶＰＮ（ＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ）終端機能付きルータ各々からの要求に応じて当該ＶＰＮ終端機能付きルータとの間にＩＰＳｅｃ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌＳｅｃｕｒｉｔｙｐｒｏｔｏｃｏｌ）による暗号化及びカプセル化される経路としての制御用ＶＰＮをＶＰＮ装置と前記ＶＰＮ終端機能付きルータとの間に設定し、
前記制御用ＶＰＮを経由した前記ＶＰＮ終端機能付きルータからの認証要求の受信時に当該ＶＰＮ終端機能付きルータの認証を行い、その認証の成功時に前記ＶＰＮ終端機能付きルータから通知される動的ＩＰアドレスを基づいた前記ＩＰＳｅｃの設定情報を制御サーバから前記ＶＰＮ終端機能付きルータに送信している。
【００１４】
すなわち、本発明のインタネットＶＰＮ（ＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ：仮想私設網）構築システムは、インタネットを利用した遠隔制御によって人手を介さずに自動的にインタネットＶＰＮの構築を行うシステムと、そのサービス提供におけるビジネスモデルとを提供するものである。
【００１５】
より具体的に説明すると、本発明のインタネットＶＰＮ構築システムでは、サービス提供者がサービス事業者内に制御サーバとＨＭＩ（Ｈｕｍａｎ−ＭａｃｈｉｎｅＩｎｔｅｒｆａｃｅ）端末とＶＰＮ装置とを設置して運用している。ここで、ＶＰＮ装置はインタネットに通信回線で接続されている。
【００１６】
インタネットＶＰＮサービスを受けるエンドユーザは、ユーザ拠点ＡにＶＰＮ終端機能付きルータを設置し、もう一つの拠点Ｂに他のＶＰＮ終端機能付きルータを設置している。ユーザ拠点ＡのＶＰＮ終端機能付きルータはＩＳＰ（ＩｎｔｅｒｎｅｔＳｅｒｖｉｃｅＰｒｏｖｉｄｅｒ：インタネット接続サービス事業者）＃Ｘを経由し、通信回線でインタネットに接続されている。また、ユーザ拠点ＢのＶＰＮ終端機能付きルータはＩＳＰ＃Ｙを経由し、通信回線でインタネットに接続されている。
【００１７】
上記の制御サーバ及びＶＰＮ装置は固定のグローバルＩＰ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ）アドレスが割当てられており、ユーザ拠点Ａ及びユーザ拠点Ｂ各々のＶＰＮ終端機能付きルータには、制御サーバとＶＰＮ装置とのホスト名またはグローバルＩＰアドレスが記録されている。
【００１８】
上述した構成において、サービス事業者はサービスを開始する前にＨＭＩ端末からユーザ情報、拠点情報、ユーザ拠点Ａ及びユーザ拠点Ｂ各々のＶＰＮ終端機能付きルータの個別識別子を制御サーバに入力する。
【００１９】
ユーザ拠点ＡのＶＰＮ終端機能付きルータは電源投入を契機にインタネットへの接続を行うために、ユーザが設定する設定情報（ユーザ名、パスワード、ＩＰアドレスまたはホスト名等）を基にＩＳＰ＃Ｘにアクセスし、ＩＳＰ＃ＸのＩＰアドレス割当てサーバに対し、ＩＰアドレス要求を行う。
【００２０】
ＩＰアドレス割当てサーバは要求されたユーザ拠点ＡのＶＰＮ終端機能付きルータに対し、プールされている任意のグローバルＩＰアドレスを割当てる。ユーザ拠点ＡのＶＰＮ終端機能付きルータは割当てられたグローバルＩＰアドレスと、を使用してインタネットに接続可能となる。
【００２１】
次に、ユーザ拠点ＡのＶＰＮ終端機能付きルータはＶＰＮ装置のホスト名からグローバルＩＰアドレスを探索するか、または直接グローバルＩＰアドレスを指定することで、ＶＰＮ装置に対するＩＰＳｅｃ（ＩＰＳｅｃｕｒｉｔｙｐｒｏｔｏｃｏｌ）による暗号化及びカプセル化される経路としての制御用ＶＰＮの設定を自装置に行う。これによって、ユーザ拠点ＡのＶＰＮ終端機能付きルータはインタネットを経由したＶＰＮ装置との間でＩＰＳｅｃによる暗号化及びカプセル化される経路の構築し、制御用ＶＰＮを確立する。
【００２２】
制御用ＶＰＮの確立以降、ユーザ拠点ＡのＶＰＮ終端機能付きルータは制御サーバに対し、制御用ＶＰＮを経由した通信を行い、制御サーバに対して認証要求を行う。この認証要求にはＶＰＮ終端機能付きルータ個体に記録されている個別識別子を送信する。
【００２３】
制御サーバは個別識別子によってユーザ拠点ＡのＶＰＮ終端機能付きルータの認証を行う。認証に成功した場合、ユーザ拠点ＡのＶＰＮ終端機能付きルータはＩＳＰから割当てられた動的なグローバルＩＰアドレスを制御サーバに通知する。制御サーバは通知されたグローバルＩＰアドレスをユーザ情報、拠点情報、個別識別子と関係付けたデータとして保存する。
【００２４】
ユーザ拠点ＢのＶＰＮ終端機能付きルータも、上述したユーザ拠点ＡのＶＰＮ終端機能付きルータと同様な処理を行い、制御サーバにグローバルＩＰアドレスが保存される。
【００２５】
次に、ユーザ拠点ＡのＶＰＮ終端機能付きルータは設定情報要求を制御サーバに対して送信する。制御サーバは設定情報要求を受信すると、ユーザ拠点ＡのＶＰＮ終端機能付きルータに対し、該当ユーザの拠点間を結ぶユーザＶＰＮを構築するためのＩＰＳｅｃの設定情報を送信する。ユーザ拠点ＡのＶＰＮ終端機能付きルータは制御サーバからの設定情報を受信すると、設定情報を自装置に設定する。
【００２６】
ユーザ拠点ＢのＶＰＮ終端機能付きルータも、上述したユーザ拠点ＡのＶＰＮ終端機能付きルータと同様に、ユーザＶＰＮの設定情報を自装置に設定するので、ユーザＶＰＮが構築される。
【００２７】
【発明の実施の形態】
次に、本発明の実施例について図面を参照して説明する。図１は本発明の一実施例によるインタネットＶＰＮ（ＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ：仮想私設網）構築システムの構成を示すブロック図である。この図１を参照して本発明の一実施例によるインタネットＶＰＮ構築システムについて説明する。
【００２８】
サービス提供者はサービス事業者Ａ内に制御サーバ１と、ＨＭＩ（Ｈｕｍａｎ−ＭａｃｈｉｎｅＩｎｔｅｒｆａｃｅ）端末２と、ＶＰＮ装置３とを設置して運用している。ＶＰＮ装置３はインタネット１００に通信回線１０１で接続されている。
【００２９】
インタネットＶＰＮサービスを受けるエンドユーザは、ユーザ拠点ＤにＶＰＮ終端機能付きルータ４２を設置し、もう一つのユーザ拠点ＥにＶＰＮ終端機能付きルータ５２を設置している。ユーザ拠点ＡのＶＰＮ終端機能付きルータ４２はＩＳＰ＃Ｂを経由して通信回線１１１でインタネット１００に接続されている。また、ユーザ拠点ＥのＶＰＮ終端機能付きルータ５２はＩＳＰ＃Ｃを経由して通信回線１２１でインタネット１００に接続されている。
【００３０】
制御サーバ１とＶＰＮ装置３とには固定のグローバルＩＰ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ）アドレスが割当てられており、ＶＰＮ終端機能付きルータ４２，５２には制御サーバ１及びＶＰＮ装置３各々のホスト名またはグローバルＩＰアドレスが記録されている。
【００３１】
本実施例において、サービス事業者Ａはサービスを開始する前にＨＭＩ端末２からユーザ情報、拠点情報、ＶＰＮ終端機能付きルータ４２，５２の個別識別子を制御サーバ１に入力する。ユーザ拠点ＤのＶＰＮ終端機能付きルータ４２は電源投入を契機にインタネット１００への接続を行うために、ユーザからの設定情報（ユーザ名、パスワード、ＩＰアドレスまたはホスト名等）に基づいてＩＳＰ＃Ｂにアクセスし、ＩＳＰ＃ＢのＩＰアドレス割当てサーバ４１に対してＩＰアドレス要求を行う。
【００３２】
ＩＰアドレス割当てサーバ４１は要求されたＶＰＮ終端機能付きルータ４２に対し、プールされている任意のグローバルＩＰアドレスを割当てる。ＶＰＮ終端機能付きルータ４２は割当てられたグローバルＩＰアドレスを使用してインタネット１００に接続可能となる。
【００３３】
次に、ＶＰＮ終端機能付きルータ４２はＶＰＮ装置３のホスト名からグローバルＩＰアドレスを探索するか、または直接グローバルＩＰアドレスを指定することで、ＶＰＮ装置３に対するＩＰＳｅｃ（ＩＰＳｅｃｕｒｉｔｙｐｒｏｔｏｃｏｌ）による暗号化及びカプセル化される経路としての制御用ＶＰＮ１１２の設定をＶＰＮ終端機能付きルータ４２自身に行う。
【００３４】
これによって、ＶＰＮ終端機能付きルータ４２はインタネット１００を経由したＶＰＮ装置３との間でＩＰＳｅｃによる暗号化及びカプセル化される経路の構築し、制御用ＶＰＮ１１２を確立する。
【００３５】
制御用ＶＰＮ１１２の確立以降、ＶＰＮ終端機能付きルータ４２は制御サーバ１に対し、制御用ＶＰＮ１１２を経由した通信を行い、制御サーバ１に対して認証要求を行う。この認証要求にはＶＰＮ終端機能付きルータ４２の個体に記録されている個別識別子を送信する。
【００３６】
制御サーバ１は個別識別子によって、ＶＰＮ終端機能付きルータ４２の認証を行う。認証に成功した場合、ＶＰＮ終端機能付きルータ４２はＩＳＰ＃Ｂから割当てられた動的なグローバルＩＰアドレスを制御サーバ１に通知する。制御サーバ１は通知されたグローバルＩＰアドレスをユーザ情報、拠点情報、個別識別子と関係付けたデータとして保存する。
【００３７】
ユーザ拠点ＥのＶＰＮ終端機能付きルータ５２も、上述したＶＰＮ終端機能付きルータ４２と同様な処理を行うので、制御サーバ１にはＶＰＮ終端機能付きルータ５２に割当てられたグローバルＩＰアドレスが保存される。
【００３８】
次に、ＶＰＮ終端機能付きルータ４２は設定情報要求を制御サーバ１に対して送信する。制御サーバ１は設定情報要求を受信すると、ＶＰＮ終端機能付きルータ４２に対し、該当ユーザの拠点間を結ぶユーザＶＰＮ１１３を構築するためのＩＰＳｅｃの設定情報を送信する。ここで、制御サーバ１にはＩＰＳｅｃの設定情報が予めテンプレートとして登録されており、ＩＰＳｅｃの設定情報を送信する際にはグローバルＩＰアドレス部分のみを置換することとなる。
【００３９】
ＶＰＮ終端機能付きルータ４２は制御サーバ１からの設定情報を受信すると、設定情報を自装置に設定する。同様に、ＶＰＮ終端機能付きルータ５２も、ユーザＶＰＮ１１３の設定情報を自装置に設定するので、ユーザＶＰＮ１１３が構築される。
【００４０】
図２は図１の制御サーバ１の構成を示すブロック図である。図２において、制御サーバ１は通信手段１１と、メッセージ認識手段１２と、認証手段１３と、個体情報保存手段１４と、設定情報作成手段１５と、設定情報配信手段１６と、データベース１７とから構成されている。
【００４１】
通信手段１１はＶＰＮ装置３及びインタネット１００を経由してＶＰＮ終端機能付きルータ４２，５２との間の通信を行う。メッセージ認識手段１２はＶＰＮ終端機能付きルータ４２，５２からのメッセージを認識し、その認識結果を認証手段１３と個体情報保存手段１４と設定情報配信手段１６とにそれぞれ通知する。
【００４２】
認証手段１３はＶＰＮ終端機能付きルータ４２，５２からの個別識別子とデータベース１７に保存された個別識別子とを比較し、ＶＰＮ終端機能付きルータ４２，５２の認証を行う。この認証結果はメッセージ認識手段１２と通信手段１１とを経由してＶＰＮ終端機能付きルータ４２，５２に通知される。
【００４３】
認証に成功すると、ＶＰＮ終端機能付きルータ４２，５２はＩＳＰ＃Ｂ，＃Ｃから割当てられた動的なグローバルＩＰアドレスをそれぞれ制御サーバ１に通知する。制御サーバ１では個体情報保存手段１４がＶＰＮ終端機能付きルータ４２，５２から通知されてきたグローバルＩＰアドレスをユーザ情報、拠点情報、個別識別子と関係付けたデータとしてデータベース１７に保存する。
【００４４】
設定情報作成手段１５は予めテンプレートとしてデータベース１７に登録されたＩＰＳｅｃの設定情報のグローバルＩＰアドレス部分のみを、ＶＰＮ終端機能付きルータ４２，５２から通知されてきたグローバルＩＰアドレスで置換することで、ＩＰＳｅｃの設定情報を作成し、ＩＰＳｅｃの設定情報をデータベース１７に保存する。
【００４５】
設定情報配信手段１６は通信手段１１及びメッセージ認識手段１２を経由してＶＰＮ終端機能付きルータ４２，５２からの設定情報要求を受取ると、データベース１７に保存されているＩＰＳｅｃの設定情報を読出してＶＰＮ終端機能付きルータ４２，５２各々に配信する。
【００４６】
図３は本発明の一実施例によるインタネットＶＰＮ構築システムの動作を示すシーケンスチャートであり、図４は本発明の一実施例によるインタネットＶＰＮ構築システムに用いるデータの構成を示す図である。これら図１〜図４を参照して本発明の一実施例によるインタネットＶＰＮ構築システムの動作について説明する。
【００４７】
サービス事業者Ａはサービスを開始する前に、ＨＭＩ端末２からユーザ情報、拠点情報、ＶＰＮ終端機能付きルータ４２，５２の個別識別子を制御サーバ１に入力する（図３ステップＳ２１）。制御サーバ１は入力された情報を基にＶＰＮ終端機能付きルータ４２，５２との制御ＶＰＮを構築するためのＩＰＳｅｃの設定をＶＰＮ装置３に設定する（図３ステップＳ１１）。
【００４８】
ユーザ拠点ＤのＶＰＮ終端機能付きルータ４２は電源投入を契機に、インタネット１００への接続を開始するため、ＩＳＰ＃Ｂにアクセスし、ＩＳＰ＃ＢのＩＰアドレス割当てサーバ４１に対してＩＰアドレス要求を行う（図３ステップＳ５１〜Ｓ５３）。
【００４９】
ＩＰアドレス割当てサーバ４１は要求されたＶＰＮ終端機能付きルータ４２に対し、プールされている任意のグローバルＩＰアドレスを割当てる（図３ステップＳ４１）。ＶＰＮ終端機能付きルータ４２は割当てられたグローバルＩＰアドレスを使用してインタネット１００に接続可能となる。
【００５０】
次に、ＶＰＮ終端機能付きルータ４２は自装置に記録されているＶＰＮ装置３のホスト名からグローバルＩＰアドレスを探索するか、または直接グローバルＩＰアドレスを指定することで、ＶＰＮ装置３に対する制御用ＶＰＮ１１２の設定を自装置に行い、インタネット１００を経由してＶＰＮ装置３にＩＰＳｅｃによるパケットを暗号化及びカプセル化する経路の確立要求を行う（図３ステップＳ５４）。
【００５１】
これによって、本実施例では、ＶＰＮ終端機能付きルータ４２とＶＰＮ装置３との間において、制御用ＶＰＮ１１２としてＩＰＳｅｃによる暗号化及びカプセル化による経路が確立され、第三者による盗聴や改ざんを防ぐことが可能となる（図３ステップＳ３１，Ｓ５５）。
【００５２】
制御用ＶＰＮ１１２の確立以降、ＶＰＮ終端機能付きルータ４２と制御サーバ１との間は、制御用ＶＰＮ１１２を経由した通信を行う。ＶＰＮ終端機能付きルータ４２は第三者によるなりすましやデータの改ざんがされていないことを保証するために、制御サーバ１に対して認証要求を行う（図３ステップＳ５６）。この認証要求としては、ＶＰＮ終端機能付きルータ４２の個体に記録されている個別識別子を送信する。
【００５３】
制御サーバ１は個別識別子によって、ＶＰＮ終端機能付きルータ４２の認証判定を行う（図３ステップＳ１２，Ｓ１３）。認証が成功した場合、ＶＰＮ終端機能付きルータ４２はＩＳＰ＃Ｂから割当てられた動的なグローバルＩＰアドレスを制御サーバ１に通知する（図３ステップＳ５７）。
【００５４】
制御サーバ１は、図４に示すデータ構成のように、通知されたグローバルＩＰアドレスをユーザ情報、拠点情報、個別識別子とを関係付けたデータとして保存する（図３ステップＳ１４，Ｓ１５）。
【００５５】
この保存されてデータは、図４に示すように、インタネットＶＰＮサービスの利用者名またはＩＤを示すユーザ情報と、ＶＰＮ終端機能付きルータ４２，５２各々が設置される拠点名またはＩＤを示す拠点情報と、ＶＰＮ終端機能付きルータ４２，５２各々の識別子を示す個別識別子と、ＶＰＮ終端機能付きルータ４２，５２各々から通知されるグローバルＩＰアドレスとからなる。
【００５６】
ＶＰＮ終端機能付きルータ５２も、上述したＶＰＮ終端機能付きルータ４２と同様な処理を行い、制御サーバ１にグローバルＩＰアドレスが保存される。制御サーバ１は記録されたデータから、ＶＰＮ終端機能付きルータ４２，５２間をＩＰＳｅｃによって暗号化及びカプセル化される経路であるユーザＶＰＮ１１３で接続するための設定情報を生成する。
【００５７】
次に、ＶＰＮ終端機能付きルータ４２，５２間のユーザＶＰＮ１１３を構築するために、ＶＰＮ終端機能付きルータ４２は設定情報要求を制御サーバ１に対して送信する（図３ステップＳ５８）。
【００５８】
制御サーバ１は設定情報要求を受信すると、ＶＰＮ終端機能付きルータ４２に対し、該当ユーザの拠点間を結ぶユーザＶＰＮ１１３を構築するための設定情報を送信する（図３ステップＳ１６）。
【００５９】
ＶＰＮ終端機能付きルータ４２は制御サーバ１からの設定情報を受信すると、その設定情報を自装置に設定する（図３ステップＳ５９）。ＶＰＮ終端機能付きルータ５２も、上述したＶＰＮ終端機能付きルータ４２と同様な処理を行い、ユーザＶＰＮ１１３の設定情報を自装置に設定し、ユーザＶＰＮ１１３が構築される（図３ステップＳ６１，Ｓ１７，Ｓ６２）。
【００６０】
また、制御サーバ１は各拠点Ｄ，ＥのＶＰＮ終端機能付きルータ４２，５２に対し、定期的に任意のメッセージの送受信を行い、ＶＰＮ終端機能付きルータ４２，５２の起動状態を監視する。
【００６１】
図５及び図６は図１の制御サーバ１の動作を示すフローチャートである。これら図１と図５と図６とを参照して制御サーバ１の動作について説明する。図５には制御サーバ１がユーザＶＰＮ１１３を構築するまでの処理を示しており、図６には制御サーバ１がユーザＶＰＮ１１３を構築した後の処理を示している。
【００６２】
制御サーバ１は、複数拠点Ｄ，Ｅにある複数のＶＰＮ終端機能付きルータ４２，５２が非同期で電源投入停止（起動停止）されるため、認証要求検出（図５ステップａ１）、認証処理（図５ステップａ２）、情報通知検出（図５ステップａ３）の各処理によって、各拠点Ｄ，ＥのＶＰＮ終端機能付きルータ４２，５２の起動状態を判定し、起動状態のＶＰＮ終端機能付きルータのみを接続するユーザＶＰＮの構築を行う（図５ステップａ４〜ａ６）。
【００６３】
制御サーバ１はユーザＶＰＮ１１３を構築後（図５のステップａ１〜ａ６の処理を行った以降）、各拠点Ｄ，ＥのＶＰＮ終端機能付きルータ４２，５２と定期的に任意のメッセージの送受信を行い、各拠点Ｄ，ＥとＶＰＮ装置３との間の制御用ＶＰＮの通信状態を含め、ＶＰＮ終端機能付きルータ４２，５２の起動状態確認を常時行う（図６ステップｂ１，ｂ２）。
【００６４】
制御サーバ１は起動状態確認において、制御ＶＰＮの通信異常を含む、あるＶＰＮ終端機能付きルータが起動状態でないことを検出した場合（図６ステップｂ３）、該当時点で残りの起動状態であるＶＰＮ終端機能付きルータ４２，５２のみを接続するユーザＶＰＮの再構築を行うため、ユーザＶＰＮの設定情報を更新し（図６ステップｂ４，ｂ５）、送信した設定情報を起動状態にあるＶＰＮ終端機能付きルータ４２，５２に送信する（図６ステップｂ６）。
【００６５】
ユーザ拠点Ｄ，Ｅに設置されているＶＰＮ終端機能付きルータ４２，５２は、受信した設定情報を自装置に設定し、異常が検出された拠点を除いたユーザＶＰＮに更新される。
【００６６】
このように、本実施例では、ユーザ拠点Ｄ，Ｅに設置するＶＰＮ終端機能付きルータ４２，５２に対し、人手を介した初期設定が不要であるため、サービス提供者が保守要員の派遣や要員教育を削減することができる。
【００６７】
また、本実施例では、ユーザ拠点Ｄ，Ｅに設置するＶＰＮ終端機能付きルータ４２，５２に対して人手を介した簡単な初期設定が必要であるが、ＶＰＮ終端機能付きルータ４２，５２に対する全ての設定を行う必要はないので、加入者自身が技術的知識を必要とせず、容易にインタネットＶＰＮを構築することができる。
【００６８】
さらに、本実施例では、ＩＳＰ＃Ｂ，＃Ｃから動的に割当てられるグローバルＩＰアドレスを制御サーバ１へ自動的に通知し、制御サーバ１で一括管理するため、固定ＩＰ接続サービスだけでなく、動的ＩＰアドレスのインタネット接続サービスを利用することができる。
【００６９】
さらにまた、本実施例では、ＩＳＰ＃Ｂ，＃Ｃから動的に割当てられるグローバルＩＰアドレスを割当てられる度に制御サーバ１で一括管理するため、モバイル機器においても、インタネットＶＰＮサービスを利用することができ、複数のＶＰＮ終端機能付きルータ４２，５２同士を直接インタネットＶＰＮで接続することができる。
【００７０】
本実施例では、制御サーバ１がサブネットアドレス変更情報を一元管理し、そのサブネットアドレス変更情報を各拠点Ｄ，ＥのＶＰＮ終端機能付きルータ４２，５２に設定するため、ネットワークトポロジを動的に変更することができる。
【００７１】
図７は本発明の他の実施例によるインタネットＶＰＮ構築システムの構成を示すブロック図である。図７において、本発明の他の実施例では、サービス事業者ＡがダイナミックＤＮＳ（ＤｏｍａｉｎＮａｍｅＳｙｓｔｅｍ）サーバ６を設置・運用し、かつＩＳＰ＃Ｆ、ＩＰアドレス割当てサーバ７を経由してＶＰＮ装置３がインタネット１００に接続される構成とした以外は上記の図１に示す本発明の一実施例と同様の構成となっており、同一構成要素には同一符号を付してある。また、同一構成要素の動作は本発明の一実施例と同様である。
【００７２】
これによって、本発明の他の実施例では、ＶＰＮ装置３のＩＰアドレスが動的なＩＰアドレスによるインタネット接続を利用する点が本発明の一実施例と異なっている。
【００７３】
ＶＰＮ装置３はインタネット１００に接続するため、ＩＳＰ＃ＦのＩＰアドレス割当てサーバ７に対してＩＰアドレス要求を行う。ＩＰアドレス割当てサーバ７はプールされているグローバルＩＰアドレスの中から、任意のグローバルＩＰアドレスをＶＰＮ装置３に割当てる。
【００７４】
ＶＰＮ装置３は割当てられたグローバルＩＰアドレスによって、インタネット１００に接続する。ＶＰＮ装置３は割当てられたＩＰアドレスを、ダイナミックＤＮＳサーバ６に登録する。
【００７５】
次に、ＶＰＮ終端機能付きルータ１２，２２は、図１に示す処理に基づいて、ダイナミックＤＮＳサーバ６からＶＰＮ装置３のグローバルＩＰアドレスを探索し、ＶＰＮ装置３に対して制御用ＶＰＮを構築する。本実施例では、ＶＰＮ装置３の接続においてダイナミックＤＮＳを利用することで、サービス事業者Ａにおいても動的なＩＰアドレスによるインタネット接続を利用することができる。
【００７６】
図８は本発明の別の実施例によるインタネットＶＰＮ構築システムの構成を示すブロック図である。図８において、本発明の別の実施例では、サービス事業者ＡにＶＰＮ機能を有するルータ（Ｒｏｕｔｅｒ）８を設置した以外は上記の図１に示す本発明の一実施例と同様の構成となっており、同一構成要素には同一符号を付してある。また、同一構成要素の動作は本発明の一実施例と同様である。
【００７７】
本実施例ではサービス事業者ＡにおいてユーザＶＰＮ１１３，１２３がルータ８を経由して接続される点が上述した本発明の一実施例とは異なる。また、ルータ８は固定のグローバルＩＰアドレスによってインタネット接続されている。
【００７８】
図９は本発明の別の実施例によるインタネットＶＰＮ構築システムの動作を示すシーケンスチャートである。これら図８及び図９を参照して本発明の別の実施例によるインタネットＶＰＮ構築システムの動作について説明する。
【００７９】
ＶＰＮ終端機能付きルータ４２，５２の制御サーバ１での認証処理、通知処理は、上記の本発明の一実施例と同様である（図９ステップＳ８１，Ｓ７１，Ｓ７２，Ｓ９１，Ｓ７３，Ｓ７４）。制御サーバ１は通知処理を受け、各拠点Ｄ，ＥのＶＰＮ終端機能付きルータ４２，５２のＩＰアドレスをデータとして記録する。
【００８０】
次に、制御サーバ１はルータ８に対して、ＶＰＮ終端機能付きルータ４２，５２のグローバルＩＰアドレスを指定したルーティング情報を設定する（図９ステップＳ７５）。ＶＰＮ終端機能付きルータ４２からの設定情報要求に対しては（図９ステップＳ８２）、ＶＰＮ終端機能付きルータ４２からルータ８へのＩＰＳｅｃによるユーザＶＰＮ１１３の設定情報をＶＰＮ終端機能付きルータ４２に送信し（図９ステップＳ７６）、ユーザＶＰＮ１１３を構築する。
【００８１】
同様に、ＶＰＮ終端機能付きルータ５２からの設定情報要求に対しては（図９ステップＳ９２）、ＶＰＮ終端機能付きルータ５２からルータ８へのＩＰＳｅｃによるユーザＶＰＮ１２３の設定情報をＶＰＮ終端機能付きルータ５２に送信し（図９ステップＳ７７）、ユーザＶＰＮ１２３を構築する。このように、ＶＰＮ終端機能付きルータ４２はユーザＶＰＮ１１３、ルータ８、ユーザＶＰＮ１２３を経由してＶＰＮ終端機能付きルータ５２に接続される。
【００８２】
本実施例では、ユーザＶＰＮがサービス事業者Ａのルータ８を経由するため、ＶＰＮ終端機能付きルータ４２，５２同士を接続する場合に大規模構成ではメッシュ接続となり、ＶＰＮ終端機能付きルータ４２，５２の性能劣化問題が解決されるという新しい効果がある。
【００８３】
本実施例で示されるＶＰＮ機能を有するルータ８は、サービス事業者Ａの拠点Ｄ，Ｅ内に設置・運用されているが、これは一実施例であり、ＶＰＮ機能を有するルータ８はユーザ拠点Ｄ，Ｅで設置・運用されても、上記と同様の動作及び効果がある。
【００８４】
図１０は本発明のさらに別の実施例によるインタネットＶＰＮ構築システムの構成を示すブロック図であり、図１１は本発明のさらに別の実施例によるインタネットＶＰＮ構築システムに用いてるデータの構成を示す図である。図１０において、本発明のさらに別の実施例では、サービス事業者Ａ内にプライベートＩＰアドレスプール９を設け、各拠点Ｄ，ＥのＶＰＮ終端機能付きルータ４２，５２内にＤＨＣＰ（ＤｙｎａｍｉｃＨｏｓｔＣｏｎｆｉｇｕｒａｔｉｏｎＰｒｏｔｏｃｏｌ）サーバ機能４２ａ，５２ａを設け、拠点Ｄ，Ｅ内にコンピュータ４３１〜４３ｎ，５３１〜５３ｎを設けた以外は図１に示す本発明の一実施例と同様の構成となっており、同一構成要素には同一符号を付してある。また、同一構成要素の動作は本発明の一実施例と同様である。
【００８５】
図１０において、サービス事業者Ａの制御サーバ１はＨＭＩ端末２から入力された拠点のコンピュータ数を基に、プライベートＩＰアドレスプール９から要求数のＩＰアドレスを割振り、ユーザ情報、拠点情報に関連付けて記録する（図１０参照）。
【００８６】
この記録されたデータは、図１０に示すように、インタネットＶＰＮサービスの利用者名またはＩＤを示すユーザ情報と、ＶＰＮ終端機能付きルータ４２，５２各々が設置される拠点名またはＩＤを示す拠点情報と、ＶＰＮ終端機能付きルータ４２，５２各々が設置される拠点のＬＡＮで使用されるＩＰアドレスの数を示す拠点内ＩＰ数と、ＶＰＮ終端機能付きルータ４２，５２各々の識別子を示す個別識別子と、ＶＰＮ終端機能付きルータ４２，５２各々から通知されるグローバルＩＰアドレスと、ＶＰＮ終端機能付きルータ４２，５２各々が設置される拠点のＬＡＮに割当てるＩＰアドレスを示すプライベートＩＰアドレスプールとからなる。
【００８７】
制御サーバ１は各拠点Ｄ，Ｅに割当てたプライベートＩＰアドレスプールを各拠点Ｄ，ＥのＶＰＮ終端機能付きルータ４２，５２に対して通知する。ＶＰＮ終端機能付きルータ４２はその通知を受けると、通知されたプライベートＩＰアドレス領域のＩＰアドレスを拠点内のコンピュータ４３１〜４３ｎにＤＨＣＰサーバ機能４２ａを経由して払い出す。
【００８８】
また、制御サーバ１は上記のプライベートＩＰアドレス領域に加え、プライベートＩＰアドレスによるユーザＶＰＮ間のルーティングテーブル設定情報をＶＰＮ終端機能付きルータ４２，５２に送信する。ＶＰＮ終端機能付きルータ４２，５２は受信したルーティングテーブル設定情報を自装置に設定する。
【００８９】
本実施例では、制御用ＶＰＮを介して、ユーザ拠点内のプライベートＩＰアドレスの払い出し及び管理とルーティングテーブルの更新を行うことで、ユーザ拠点Ｄ，ＥはＩＰアドレスの管理が不要となり、コンピュータ４３１〜４３ｎ，５３１〜５３ｎ等を含めネットワークに対する設定が不要となる。また、プライベートＩＰアドレスを一括管理することで、拠点Ｄ，Ｅ間でプライベートＩＰアドレスの重複等の問題が解決される。
【００９０】
【発明の効果】
以上説明したように本発明は、上記のような構成及び動作とすることで、サービス提供者が保守要員の派遣や要員教育を削減することができ、加入者自身の技術的知識を必要とせず、容易にインタネットＶＰＮを構築することができるという効果が得られる。
【図面の簡単な説明】
【図１】本発明の一実施例によるインタネットＶＰＮ構築システムの構成を示すブロック図である。
【図２】図１の制御サーバの構成を示すブロック図である。
【図３】本発明の一実施例によるインタネットＶＰＮ構築システムの動作を示すシーケンスチャートである。
【図４】本発明の一実施例によるインタネットＶＰＮ構築システムに用いるデータの構成を示す図である。
【図５】図１の制御サーバの動作を示すフローチャートである。
【図６】図１の制御サーバの動作を示すフローチャートである。
【図７】本発明の他の実施例によるインタネットＶＰＮ構築システムの構成を示すブロック図である。
【図８】本発明の別の実施例によるインタネットＶＰＮ構築システムの構成を示すブロック図である。
【図９】本発明の別の実施例によるインタネットＶＰＮ構築システムの動作を示すシーケンスチャートである。
【図１０】本発明のさらに別の実施例によるインタネットＶＰＮ構築システムの構成を示すブロック図である。
【図１１】本発明のさらに別の実施例によるインタネットＶＰＮ構築システムに用いてるデータの構成を示す図である。
【符号の説明】
１制御サーバ
２ＨＭＩ端末
３ＶＰＮ装置
６ダイナミックＤＮＳサーバ
７，４１，５１ＩＰアドレス割当てサーバ
８ルータ
９プライベートＩＰアドレスプール
１１通信手段
１２メッセージ認識手段
１３認証手段
１４個体情報保存手段
１５設定情報作成手段
１６設定情報配信手段
１７データベース
４２，５２ＶＰＮ終端機能付きルータ
４２ａ，５２ａＤＨＣＰサーバ機能
Ａサービス事業者
Ｂ，Ｃ，ＦＩＳＰ
Ｄ，Ｅユーザ拠点
１００インタネット
１０１，１１１，１２１通信回線
１１２，１２２制御用ＶＰＮ
１１３，１２３ユーザＶＰＮ
４３１〜４３ｎ，
５３１〜５３ｎコンピュータ[0001]
BACKGROUND OF THE INVENTION
The present invention relates to an Internet VPN construction system and a service providing method used therefor, and more particularly to an Internet VPN (Virtual Private Network) constructed using the Internet.
[0002]
[Prior art]
Conventionally, this type of Internet VPN is realized by using a firewall machine or router having a VPN function between bases. Here, the VPN function encrypts IP (Internet Protocol) packets that use private addresses and encapsulates them into IP packets that use global addresses, and filters other than IP packets that have pre-registered global addresses. It has a function that does not pass through.
[0003]
In the above-described Internet VPN, when maintenance is performed on a connected terminal when a failure occurs, the terminal is authenticated based on predetermined shared authentication information along with the failure detection at the terminal, A method for transmitting a failure code and a global IP address relating to the failure of the terminal to a maintenance server has been proposed (see, for example, Patent Document 1).
[0004]
In this case, the maintenance server writes the setting of the authentication key of IPsec (IP security protocol) and the initiator setting of IPsec to the VPN gateway that is command-controlled by the maintenance server, so that the maintenance server passes through the VPN tunnel set up with the terminal. Remote maintenance is performed on the server unit and router unit of the terminal.
[0005]
[Patent Document 1]
Japanese Patent Laid-Open No. 2001-197058 (pages 11-14, FIG. 1)
[0006]
[Problems to be solved by the invention]
In the above-described conventional Internet VPN service, in order to construct an Internet VPN, a router with a VPN termination function needs to be installed at the user base, and maintenance by personnel of the user or service provider must be performed. There is a need to increase the cost of the cost and to have technical knowledge to set up.
[0007]
In addition, in the conventional Internet VPN service, a dynamic IP address can be used, but since a fixed IP address connection base is always required, a dynamic IP address is not always available at all user bases. There's a problem.
[0008]
In addition, the conventional Internet VPN service has a problem in that when a base is added or removed, it is necessary to change the setting of a router with a VPN termination function at another base. At that time, the setting change of the router with the VPN termination function at another base is performed by maintenance personnel in the same manner as described above.
[0009]
Furthermore, in the conventional Internet VPN service, when an IP address or subnet mask in a certain base is changed, it is necessary to change the setting of a router with a VPN termination function in another base. Also in this case, the setting change of the router with the VPN termination function at another base is performed by maintenance personnel in the same manner as described above.
[0010]
Therefore, the object of the present invention is to solve the above-mentioned problems, the service provider can reduce the dispatch of maintenance personnel and personnel training, and does not require the subscriber's own technical knowledge, and can easily install the Internet VPN. An object of the present invention is to provide an Internet VPN construction system that can be constructed and a service providing method used therefor.
[0011]
[Means for Solving the Problems]
The Internet VPN construction system according to the present invention has an IPSec (Internet Protocol Security) between a router with a VPN termination function according to a request from each router with a VPN (Virtual Private Network) termination function installed between a plurality of user bases. a VPN device for setting a control VPN as a route to be encrypted and encapsulated by protocol),
Means for authenticating the router with VPN termination function upon receipt of an authentication request from the router with VPN termination function via the control VPN, and dynamic notification notified from the router with VPN termination function upon successful authentication And a control server including means for transmitting the IPSec setting information based on the IP address to the router with the VPN termination function.
[0012]
The control server according to the present invention has an IPSec connection with a router with a VPN termination function according to a request from each of the routers with a VPN termination function set up in a VPN (Virtual Private Network) device and installed between a plurality of user bases. Means for authenticating the router with the VPN termination function upon reception of an authentication request from the router with the VPN termination function via the control VPN as a path to be encrypted and encapsulated by (Internet Protocol Security protocol);
Means for transmitting the IPSec setting information based on the dynamic IP address notified from the router with VPN termination function to the router with VPN termination function when the authentication is successful.
[0013]
The service providing method according to the present invention provides an IPSec (Internet Protocol Security protocol) between a router with a VPN termination function in response to a request from each router with a VPN (Virtual Private Network) termination function installed between a plurality of user bases. ) Is set between the VPN device and the router with the VPN termination function as a path to be encrypted and encapsulated by
A dynamic IP address notified from the router with the VPN termination function when the authentication request is received from the router with the VPN termination function via the control VPN and the router with the VPN termination function is authenticated. The IPSec setting information based on the above is transmitted from the control server to the router with the VPN termination function.
[0014]
In other words, the Internet VPN (Virtual Private Network) construction system of the present invention is a system that automatically constructs an Internet VPN by remote control using the Internet without human intervention, and a business model for providing the service And provide.
[0015]
More specifically, in the Internet VPN construction system of the present invention, a service provider installs and operates a control server, an HMI (Human-Machine Interface) terminal, and a VPN device in the service provider. Here, the VPN apparatus is connected to the Internet through a communication line.
[0016]
An end user who receives the Internet VPN service has a router with a VPN termination function installed at a user site A and another router with a VPN termination function installed at another site B. The router with the VPN termination function at the user site A is connected to the Internet through a communication line via an ISP (Internet Service Provider) #X. Further, the router with the VPN termination function at the user site B is connected to the Internet via a communication line via ISP # Y.
[0017]
A fixed global IP (Internet Protocol) address is assigned to the control server and the VPN device, and the host name of the control server and the VPN device or the global name is assigned to each router with a VPN termination function at each of the user base A and the user base B. An IP address is recorded.
[0018]
In the configuration described above, the service provider inputs user information, base information, and individual identifiers of routers with VPN termination functions of the user base A and the user base B from the HMI terminal to the control server before starting the service.
[0019]
The router with the VPN termination function at the user base A is connected to the Internet when the power is turned on, and the ISP # X is set based on the setting information (user name, password, IP address or host name, etc.) set by the user. Access and make an IP address request to the IP address assignment server of ISP # X.
[0020]
The IP address allocation server allocates an arbitrary pooled global IP address to the router with the VPN termination function of the requested user site A. The router with the VPN termination function at the user site A can be connected to the Internet using the assigned global IP address.
[0021]
Next, the router with the VPN termination function at the user base A searches for the global IP address from the host name of the VPN device or directly designates the global IP address, thereby encrypting the VPN device with IPSec (IP Security protocol). And the setting of the control VPN as a path to be encapsulated is performed in the own apparatus. As a result, the router with the VPN termination function at the user base A establishes a path for encryption and encapsulation by IPSec with the VPN apparatus via the Internet, and establishes a control VPN.
[0022]
After the establishment of the control VPN, the router with the VPN termination function at the user site A communicates with the control server via the control VPN and issues an authentication request to the control server. In this authentication request, the individual identifier recorded in the individual router with the VPN termination function is transmitted.
[0023]
The control server authenticates the router with the VPN termination function at the user base A by the individual identifier. When the authentication is successful, the router with the VPN termination function at the user site A notifies the control server of the dynamic global IP address assigned by the ISP. The control server stores the notified global IP address as data associated with user information, site information, and individual identifiers.
[0024]
The router with the VPN termination function at the user site B performs the same process as the above router with the VPN termination function at the user site A, and the global IP address is stored in the control server.
[0025]
Next, the router with the VPN termination function at the user site A transmits a setting information request to the control server. Upon receiving the setting information request, the control server transmits IPSec setting information for constructing the user VPN connecting the bases of the corresponding user to the router with the VPN termination function of the user base A. When the router with the VPN termination function at the user site A receives the setting information from the control server, it sets the setting information in its own device.
[0026]
Since the router with the VPN termination function at the user base B also sets the user VPN setting information in its own device in the same manner as the router with the VPN termination function at the user base A described above, the user VPN is constructed.
[0027]
DETAILED DESCRIPTION OF THE INVENTION
Next, embodiments of the present invention will be described with reference to the drawings. FIG. 1 is a block diagram showing a configuration of an Internet VPN (Virtual Private Network) construction system according to an embodiment of the present invention. An Internet VPN construction system according to an embodiment of the present invention will be described with reference to FIG.
[0028]
A service provider installs and operates a control server 1, a HMI (Human-Machine Interface) terminal 2, and a VPN device 3 in the service provider A. The VPN apparatus 3 is connected to the Internet 100 via a communication line 101.
[0029]
An end user who receives the Internet VPN service has a router 42 with a VPN termination function installed at a user site D, and a router 52 with a VPN termination function installed at another user site E. The router 42 with the VPN termination function at the user site A is connected to the Internet 100 via the communication line 111 via ISP # B. The router 52 with a VPN termination function at the user site E is connected to the Internet 100 via a communication line 121 via ISP # C.
[0030]
A fixed global IP (Internet Protocol) address is assigned to the control server 1 and the VPN apparatus 3, and the host names or global IP addresses of the control server 1 and the VPN apparatus 3 are assigned to the routers 42 and 52 with a VPN termination function, respectively. It is recorded.
[0031]
In this embodiment, the service provider A inputs user information, base information, and individual identifiers of the routers 42 and 52 with VPN termination function from the HMI terminal 2 to the control server 1 before starting the service. The router 42 with the VPN termination function at the user site D is connected to the Internet 100 when the power is turned on. Based on the setting information (user name, password, IP address or host name, etc.) from the user, ISP # B To make an IP address request to the IP address assignment server 41 of ISP # B.
[0032]
The IP address assignment server 41 assigns an arbitrary pooled global IP address to the requested router 42 with a VPN termination function. The router with VPN termination function 42 can connect to the Internet 100 using the assigned global IP address.
[0033]
Next, the router 42 with the VPN termination function searches for the global IP address from the host name of the VPN apparatus 3 or directly designates the global IP address, thereby encrypting the VPN apparatus 3 by IPSec (IP Security protocol) and The control VPN 112 as the encapsulated path is set in the router with VPN termination function 42 itself.
[0034]
As a result, the router 42 with the VPN termination function establishes a path that is encrypted and encapsulated by IPSec with the VPN apparatus 3 via the Internet 100 and establishes the control VPN 112.
[0035]
After the establishment of the control VPN 112, the router with a VPN termination function 42 performs communication via the control VPN 112 to the control server 1 and makes an authentication request to the control server 1. In this authentication request, the individual identifier recorded in the individual router 42 with the VPN termination function is transmitted.
[0036]
The control server 1 authenticates the router 42 with the VPN termination function using the individual identifier. When the authentication is successful, the router 42 with the VPN termination function notifies the control server 1 of the dynamic global IP address assigned by ISP # B. The control server 1 stores the notified global IP address as data associated with user information, site information, and individual identifiers.
[0037]
Since the router 52 with the VPN termination function at the user site E also performs the same processing as the router 42 with the VPN termination function described above, the global IP address assigned to the router 52 with the VPN termination function is stored in the control server 1. .
[0038]
Next, the router 42 with the VPN termination function transmits a setting information request to the control server 1. Upon receiving the setting information request, the control server 1 transmits IPSec setting information for constructing the user VPN 113 connecting the bases of the corresponding user to the router 42 with the VPN termination function. Here, IPSec setting information is registered in the control server 1 as a template in advance, and only the global IP address portion is replaced when the IPSec setting information is transmitted.
[0039]
When the router 42 with the VPN termination function receives the setting information from the control server 1, it sets the setting information in its own device. Similarly, since the router 52 with a VPN termination function also sets the setting information of the user VPN 113 in its own device, the user VPN 113 is constructed.
[0040]
FIG. 2 is a block diagram showing the configuration of the control server 1 of FIG. In FIG. 2, the control server 1 includes a communication unit 11, a message recognition unit 12, an authentication unit 13, an individual information storage unit 14, a setting information creation unit 15, a setting information distribution unit 16, and a database 17. Has been.
[0041]
The communication unit 11 communicates with the routers 42 and 52 with a VPN termination function via the VPN device 3 and the Internet 100. The message recognition unit 12 recognizes the message from the routers 42 and 52 with the VPN termination function, and notifies the recognition unit 13, the individual information storage unit 14, and the setting information distribution unit 16.
[0042]
The authentication means 13 compares the individual identifier from the routers 42 and 52 with the VPN termination function and the individual identifier stored in the database 17 and authenticates the routers 42 and 52 with the VPN termination function. The authentication result is notified to the routers 42 and 52 with the VPN termination function via the message recognition unit 12 and the communication unit 11.
[0043]
If the authentication is successful, the routers 42 and 52 with the VPN termination function notify the control server 1 of the dynamic global IP addresses assigned by the ISPs #B and #C, respectively. In the control server 1, the individual information storage unit 14 stores the global IP address notified from the routers 42 and 52 with the VPN termination function in the database 17 as data associated with user information, base information, and individual identifiers.
[0044]
The setting information creating means 15 replaces only the global IP address portion of the IPSec setting information registered in the database 17 as a template in advance with the global IP address notified from the routers 42 and 52 with the VPN termination function. And the IPSec setting information is stored in the database 17.
[0045]
When the setting information distribution unit 16 receives the setting information request from the routers 42 and 52 with the VPN termination function via the communication unit 11 and the message recognition unit 12, the setting information distribution unit 16 reads the IPSec setting information stored in the database 17 and reads the VPN. This is distributed to each of the routers 42 and 52 with termination function.
[0046]
FIG. 3 is a sequence chart showing the operation of the Internet VPN construction system according to one embodiment of the present invention, and FIG. 4 is a diagram showing the configuration of data used in the Internet VPN construction system according to one embodiment of the present invention. The operation of the Internet VPN construction system according to an embodiment of the present invention will be described with reference to FIGS.
[0047]
Before starting the service, the service provider A inputs user information, base information, and individual identifiers of the routers 42 and 52 with the VPN termination function from the HMI terminal 2 to the control server 1 (step S21 in FIG. 3). Based on the input information, the control server 1 sets IPSec in the VPN apparatus 3 for constructing a control VPN with the routers 42 and 52 with VPN termination function (step S11 in FIG. 3).
[0048]
When the power is turned on, the router 42 with the VPN termination function at the user site D accesses ISP #B to start connection to the Internet 100 and makes an IP address request to the IP address allocation server 41 of ISP #B. Performed (steps S51 to S53 in FIG. 3).
[0049]
The IP address assignment server 41 assigns an arbitrary pooled global IP address to the requested router 42 with VPN termination function (step S41 in FIG. 3). The router with VPN termination function 42 can connect to the Internet 100 using the assigned global IP address.
[0050]
Next, the router 42 with the VPN termination function searches for the global IP address from the host name of the VPN device 3 recorded in the own device or directly designates the global IP address, thereby controlling the VPN 112 for the VPN device 3. And makes a request for establishing a route for encrypting and encapsulating the packet by IPSec to the VPN apparatus 3 via the Internet 100 (step S54 in FIG. 3).
[0051]
As a result, in this embodiment, a path for encryption and encapsulation by IPSec is established as the control VPN 112 between the router 42 with the VPN termination function and the VPN apparatus 3 to prevent eavesdropping and tampering by a third party. (Steps S31 and S55 in FIG. 3).
[0052]
After the establishment of the control VPN 112, communication via the control VPN 112 is performed between the router with VPN termination function 42 and the control server 1. The router 42 with the VPN termination function makes an authentication request to the control server 1 in order to ensure that the data is not spoofed or tampered with by a third party (step S56 in FIG. 3). As this authentication request, the individual identifier recorded in the individual router 42 with the VPN termination function is transmitted.
[0053]
The control server 1 performs authentication determination of the router 42 with the VPN termination function using the individual identifier (steps S12 and S13 in FIG. 3). When the authentication is successful, the router 42 with the VPN termination function notifies the control server 1 of the dynamic global IP address assigned by ISP # B (step S57 in FIG. 3).
[0054]
The control server 1 stores the notified global IP address as data in which user information, base information, and individual identifiers are associated with each other as in the data configuration shown in FIG. 4 (steps S14 and S15 in FIG. 3).
[0055]
As shown in FIG. 4, the stored data includes user information indicating the user name or ID of the Internet VPN service, and base information indicating the base name or ID where the routers 42 and 52 with VPN termination functions are installed. And an individual identifier indicating the identifier of each of the routers 42 and 52 with the VPN termination function, and a global IP address notified from each of the routers 42 and 52 with the VPN termination function.
[0056]
The router with VPN termination function 52 also performs the same processing as the router with VPN termination function 42 described above, and the global IP address is stored in the control server 1. From the recorded data, the control server 1 generates setting information for connecting the routers 42 and 52 with the VPN termination function by the user VPN 113 which is a path encrypted and encapsulated by IPSec.
[0057]
Next, in order to construct the user VPN 113 between the routers 42 and 52 with the VPN termination function, the router 42 with the VPN termination function transmits a setting information request to the control server 1 (step S58 in FIG. 3).
[0058]
When receiving the setting information request, the control server 1 transmits setting information for constructing the user VPN 113 connecting the bases of the corresponding user to the router 42 with the VPN termination function (step S16 in FIG. 3).
[0059]
When receiving the setting information from the control server 1, the router with VPN termination function 42 sets the setting information in its own device (step S59 in FIG. 3). The router 52 with the VPN termination function also performs the same processing as the router 42 with the VPN termination function described above, sets the setting information of the user VPN 113 in its own device, and the user VPN 113 is constructed (steps S61, S17, and S62 in FIG. 3). ).
[0060]
Further, the control server 1 periodically sends and receives arbitrary messages to and from the routers 42 and 52 with VPN termination function at each site D and E, and monitors the activation status of the routers 42 and 52 with VPN termination function.
[0061]
5 and 6 are flowcharts showing the operation of the control server 1 of FIG. The operation of the control server 1 will be described with reference to FIG. 1, FIG. 5, and FIG. FIG. 5 shows processing until the control server 1 constructs the user VPN 113, and FIG. 6 shows processing after the control server 1 constructs the user VPN 113.
[0062]
The control server 1 detects the authentication request (step a1 in FIG. 5) and the authentication process (FIG. 5) because the plurality of routers with VPN termination function 42 and 52 at the plurality of bases D and E are asynchronously turned on (stopped). 5 steps a2) and information notification detection (step a3 in FIG. 5), the activation status of the routers 42 and 52 with the VPN termination function at each site D and E is determined, and only the router with the VPN termination function in the activated state is determined. The user VPN to be connected is constructed (steps a4 to a6 in FIG. 5).
[0063]
After building the user VPN 113 (after performing the processing of steps a1 to a6 in FIG. 5), the control server 1 periodically sends and receives arbitrary messages to and from the routers 42 and 52 with VPN termination function at each site D and E. The activation status of the routers 42 and 52 with the VPN termination function is always checked including the communication state of the control VPN between the bases D and E and the VPN apparatus 3 (steps b1 and b2 in FIG. 6).
[0064]
When the control server 1 detects in the activation state that a router with a VPN termination function including the control VPN communication abnormality is not in the activation state (step b3 in FIG. 6), the VPN termination which is the remaining activation state at the corresponding time In order to reconstruct the user VPN that connects only the function-equipped routers 42 and 52, the setting information of the user VPN is updated (steps b4 and b5 in FIG. 6), and the transmitted setting information is in the activated state with the VPN termination function router 42 and 52 (step b6 in FIG. 6).
[0065]
The routers 42 and 52 with VPN termination function installed at the user bases D and E set the received setting information in their own devices, and are updated to the user VPN excluding the base where the abnormality is detected.
[0066]
As described above, in the present embodiment, the router 42, 52 with VPN termination function installed at the user bases D, E does not require initial setting through manual operation, so that the service provider dispatches maintenance personnel and personnel. Education can be reduced.
[0067]
Further, in this embodiment, simple initial settings are required for the routers 42 and 52 with VPN termination function installed at the user bases D and E, but all of the routers 42 and 52 with VPN termination function are required. Therefore, the subscriber does not need technical knowledge and can easily construct an Internet VPN.
[0068]
Furthermore, in the present embodiment, the control server 1 is automatically notified of global IP addresses dynamically assigned from ISPs #B and #C, and is collectively managed by the control server 1, so that not only the fixed IP connection service, A dynamic IP address internet connection service can be used.
[0069]
Furthermore, in this embodiment, the global IP address dynamically allocated from ISP #B and #C is collectively managed by the control server 1 every time it is allocated, so that the Internet VPN service can be used even in the mobile device. In addition, a plurality of routers with VPN termination function 42 and 52 can be directly connected to each other via the Internet VPN.
[0070]
In this embodiment, the control server 1 centrally manages the subnet address change information and sets the subnet address change information in the routers 42 and 52 with VPN termination function at the respective bases D and E, so that the network topology is dynamically changed. can do.
[0071]
FIG. 7 is a block diagram showing the configuration of an Internet VPN construction system according to another embodiment of the present invention. In FIG. 7, in another embodiment of the present invention, the service provider A installs and operates a dynamic DNS (Domain Name System) server 6, and the VPN apparatus 3 via the ISP #F and the IP address assignment server 7. 1 is the same as that of the embodiment of the present invention shown in FIG. 1 except that it is connected to the Internet 100, and the same components are denoted by the same reference numerals. The operation of the same component is the same as that of the embodiment of the present invention.
[0072]
Accordingly, in another embodiment of the present invention, the IP address of the VPN apparatus 3 is different from that of the embodiment of the present invention in that the Internet connection using a dynamic IP address is used.
[0073]
The VPN apparatus 3 makes an IP address request to the IP address assignment server 7 of ISP # F in order to connect to the Internet 100. The IP address assignment server 7 assigns an arbitrary global IP address to the VPN apparatus 3 from the pooled global IP addresses.
[0074]
The VPN apparatus 3 connects to the Internet 100 by the assigned global IP address. The VPN device 3 registers the assigned IP address in the dynamic DNS server 6.
[0075]
Next, the routers 12 and 22 with the VPN termination function search the global IP address of the VPN device 3 from the dynamic DNS server 6 based on the processing shown in FIG. 1 and construct a control VPN for the VPN device 3. . In the present embodiment, by using the dynamic DNS for the connection of the VPN apparatus 3, the service provider A can also use the Internet connection by the dynamic IP address.
[0076]
FIG. 8 is a block diagram showing the configuration of an Internet VPN construction system according to another embodiment of the present invention. 8, in another embodiment of the present invention, the configuration is the same as that of the embodiment of the present invention shown in FIG. 1 except that the service provider A is provided with a router 8 having a VPN function. The same components are denoted by the same reference numerals. The operation of the same component is the same as that of the embodiment of the present invention.
[0077]
This embodiment is different from the above-described embodiment of the present invention in that the user VPNs 113 and 123 are connected via the router 8 in the service provider A. The router 8 is connected to the Internet by a fixed global IP address.
[0078]
FIG. 9 is a sequence chart showing the operation of the Internet VPN construction system according to another embodiment of the present invention. The operation of the Internet VPN construction system according to another embodiment of the present invention will be described with reference to FIGS.
[0079]
The authentication process and the notification process in the control server 1 of the routers 42 and 52 with the VPN termination function are the same as in the above-described embodiment of the present invention (steps S81, S71, S72, S91, S73, and S74 in FIG. 9). The control server 1 receives the notification process, and records the IP addresses of the routers 42 and 52 with VPN termination functions of the bases D and E as data.
[0080]
Next, the control server 1 sets the routing information specifying the global IP addresses of the routers 42 and 52 with the VPN termination function for the router 8 (step S75 in FIG. 9). In response to the setting information request from the router with VPN termination function (step S82 in FIG. 9), the setting information of the user VPN 113 by IPSec from the router with VPN termination function to the router 8 is transmitted to the router with VPN termination function. (Step S76 in FIG. 9), the user VPN 113 is constructed.
[0081]
Similarly, in response to the setting information request from the router 52 with VPN termination function (step S92 in FIG. 9), the setting information of the user VPN 123 by IPSec from the router 52 with VPN termination function to the router 8 is sent to the router 52 with VPN termination function. (Step S77 in FIG. 9) to construct the user VPN 123. As described above, the router 42 with a VPN termination function is connected to the router 52 with a VPN termination function via the user VPN 113, the router 8, and the user VPN 123.
[0082]
In this embodiment, since the user VPN passes through the router 8 of the service provider A, when connecting the routers 42 and 52 with the VPN termination function, mesh connection is made in a large-scale configuration, and the routers 42 and 52 with the VPN termination function are connected. There is a new effect that solves the problem of performance degradation.
[0083]
The router 8 having the VPN function shown in this embodiment is installed and operated in the bases D and E of the service provider A, but this is one embodiment, and the router 8 having the VPN function is a user base. Even when installed and operated at D and E, the same operations and effects as described above are obtained.
[0084]
FIG. 10 is a block diagram showing the configuration of an Internet VPN construction system according to still another embodiment of the present invention, and FIG. 11 is a diagram showing the configuration of data used in the Internet VPN construction system according to still another embodiment of the present invention. It is. In FIG. 10, in yet another embodiment of the present invention, a private IP address pool 9 is provided in the service provider A, and DHCP (Dynamic Host Configuration Protocol) is provided in the routers 42 and 52 with VPN termination function at the respective bases D and E. 1) Except that the server functions 42a and 52a are provided, and the computers 431 to 43n and 531 to 53n are provided in the bases D and E, the configuration is the same as that of the embodiment of the present invention shown in FIG. Are denoted by the same reference numerals. The operation of the same component is the same as that of the embodiment of the present invention.
[0085]
In FIG. 10, the control server 1 of the service provider A allocates the requested number of IP addresses from the private IP address pool 9 based on the number of base computers input from the HMI terminal 2 and associates them with user information and base information. Record (see FIG. 10).
[0086]
As shown in FIG. 10, the recorded data includes user information indicating the user name or ID of the Internet VPN service, and base information indicating the base name or ID where the routers 42 and 52 with VPN termination functions are installed. A base IP number indicating the number of IP addresses used in the LAN at the base where each of the routers 42 and 52 with VPN termination function is installed, and an individual identifier indicating an identifier of each of the routers 42 and 52 with VPN termination function The global IP address notified from each of the routers 42 and 52 with VPN termination function, and the private IP address pool indicating the IP address assigned to the LAN of the base where each of the routers 42 and 52 with VPN termination function is installed.
[0087]
The control server 1 notifies the private IP address pools assigned to the bases D and E to the routers 42 and 52 with VPN termination function of the bases D and E. Upon receiving the notification, the router 42 with the VPN termination function pays out the notified IP address in the private IP address area to the computers 431 to 43n in the base via the DHCP server function 42a.
[0088]
In addition to the private IP address area, the control server 1 transmits routing table setting information between the user VPNs based on the private IP address to the routers 42 and 52 with the VPN termination function. The routers 42 and 52 with the VPN termination function set the received routing table setting information in its own device.
[0089]
In this embodiment, by issuing and managing private IP addresses in the user base and updating the routing table via the control VPN, the user bases D and E do not need to manage IP addresses, and the computers 431 to 431 43n, 531 to 53n, etc. need not be set for the network. Further, by collectively managing private IP addresses, problems such as duplication of private IP addresses between the bases D and E are solved.
[0090]
【The invention's effect】
As described above, the present invention is configured and operated as described above, so that the service provider can reduce the dispatch of maintenance personnel and personnel training, without requiring technical knowledge of the subscriber himself / herself. As a result, it is possible to easily construct an Internet VPN.
[Brief description of the drawings]
FIG. 1 is a block diagram showing a configuration of an Internet VPN construction system according to an embodiment of the present invention.
FIG. 2 is a block diagram showing a configuration of a control server in FIG. 1;
FIG. 3 is a sequence chart showing the operation of the Internet VPN construction system according to an embodiment of the present invention.
FIG. 4 is a diagram showing a data structure used in an Internet VPN construction system according to an embodiment of the present invention.
FIG. 5 is a flowchart showing the operation of the control server in FIG. 1;
6 is a flowchart showing the operation of the control server of FIG.
FIG. 7 is a block diagram showing a configuration of an Internet VPN construction system according to another embodiment of the present invention.
FIG. 8 is a block diagram showing a configuration of an Internet VPN construction system according to another embodiment of the present invention.
FIG. 9 is a sequence chart showing an operation of an Internet VPN construction system according to another embodiment of the present invention.
FIG. 10 is a block diagram showing a configuration of an Internet VPN construction system according to still another embodiment of the present invention.
FIG. 11 is a diagram showing a data structure used in an Internet VPN construction system according to still another embodiment of the present invention.
[Explanation of symbols]
1 Control server
2 HMI terminal
3 VPN equipment
6 Dynamic DNS server
7, 41, 51 IP address assignment server
8 routers
9 Private IP address pool
11 Communication means
12 Message recognition means
13 Authentication means
14 Individual information storage means
15 Setting information creation means
16 Setting information distribution means
17 Database
42,52 Router with VPN termination function
42a, 52a DHCP server function
A service provider
B, C, F ISP
D, E User base
100 Internet
101, 111, 121 Communication line
112,122 VPN for control
113,123 User VPN
431-43n,
531-53n Computer

Claims

In response to a request from each router with a VPN (Virtual Private Network) termination function installed between a plurality of user bases, it is encrypted and encapsulated with the router with the VPN termination function by the IPSec (Internet Protocol Security protocol). A VPN device for setting a control VPN as a route to be
Means for authenticating the router with VPN termination function upon receipt of an authentication request from the router with VPN termination function via the control VPN, and dynamic notification notified from the router with VPN termination function upon successful authentication And a control server including means for transmitting the IPSec setting information based on the IP address to the router with the VPN termination function.

The control server transmits IPSec setting information for establishing a user VPN connecting the routers with the VPN termination function based on the dynamic IP address notified from the router with the VPN termination function when the authentication is successful. ,
2. The Internet VPN construction system according to claim 1, wherein the router with the VPN termination function constructs the user VPN by setting the setting information from the control server in its own device.

3. The Internet VPN construction system according to claim 1, wherein a fixed IP address is assigned to each of the VPN apparatus and the control server.

An IP address allocation server provided between the Internet connected to the VPN device and the router with VPN termination function and allocating the dynamic IP address to each of the routers with VPN termination function. The Internet VPN construction system according to any one of claims 1 to 3.

5. The Internet VPN construction system according to claim 3, wherein each of the routers with a VPN termination function records either the host name or the fixed IP address of each of the control server and the VPN device.

6. The Internet VPN construction system according to claim 1, further comprising a terminal for inputting user information, base information, and an individual identifier of the router with a VPN termination function to the control server.

An IP address allocation server that is provided between the Internet and the VPN device and allocates a dynamic IP address to the VPN device, and a dynamic IP address of the VPN device in response to a request from the router with a VPN termination function 7. The Internet VPN construction system according to claim 1, further comprising a dynamic DNS (Domain Name System) server to be returned.

Including a router connected to the Internet by a fixed IP address and having a VPN function, and connecting the router with the VPN termination function by constructing a user VPN that connects the router with the VPN termination function and the router. The Internet VPN construction system according to any one of claims 1 to 7, characterized in that

In accordance with a request from each router with a VPN termination function set up in a VPN (Virtual Private Network) device and installed between a plurality of user bases, the router with the VPN termination function is configured by IPSec (Internet Protocol Security protocol). Means for authenticating the router with VPN termination function upon receipt of an authentication request from the router with VPN termination function via the control VPN as a path to be encrypted and encapsulated;
And a means for transmitting the IPSec setting information based on the dynamic IP address notified from the router with a VPN termination function to the router with a VPN termination function when the authentication is successful.

Based on the dynamic IP address notified from the router with the VPN termination function when the authentication is successful, the IPSec setting information for constructing the user VPN connecting the routers with the VPN termination function is transmitted, and the VPN termination function is transmitted. The control server according to claim 9, wherein the user VPN is constructed by setting the IPSec setting information in an attached router.

The control server according to claim 9 or 10, wherein a fixed IP address is assigned to each own terminal together with the VPN device.

The control server according to any one of claims 9 to 11, wherein user information, base information, and an individual identifier of the router with a VPN termination function are input from a terminal.

The routers with the VPN termination function are connected by controlling to construct a user VPN that is connected to the Internet by a fixed IP address and connects between the router having the VPN function and the router with the VPN termination function, The control server according to any one of claims 9 to 12.

In response to a request from each router with a VPN (Virtual Private Network) termination function installed between a plurality of user bases, encryption and encapsulation are performed between the routers with the VPN termination function by IPSec (Internet Protocol Security protocol). Set the VPN for control as a route between the VPN device and the router with VPN termination function,
A dynamic IP address notified from the router with the VPN termination function when the authentication request is received from the router with the VPN termination function via the control VPN and the router with the VPN termination function is authenticated. A method for constructing a VPN, comprising: transmitting the IPSec setting information based on the protocol from the control server to the router with a VPN termination function.

Based on the dynamic IP address notified from the router with the VPN termination function when the authentication is successful, IPSec setting information for constructing a user VPN connecting the routers with the VPN termination function is sent from the control server to the VPN termination. To the router with the function,
The VPN construction method, wherein the router with a VPN termination function constructs the user VPN by setting the setting information from the control server in its own device.

16. The VPN construction method according to claim 15, wherein a fixed IP address is assigned to each of the VPN apparatus and the control server.

16. An IP address allocation server for allocating the dynamic IP address to each of the routers with a VPN termination function is provided between the Internet connected to the VPN device and the router with a VPN termination function. The VPN construction method according to claim 16.

The VPN construction method according to claim 16 or 17, wherein each of the routers with a VPN termination function records either the host name or the fixed IP address of each of the control server and the VPN device.

The VPN construction method according to any one of claims 15 to 18, wherein user information, base information, and an individual identifier of the router with a VPN termination function are input to the control server from the outside.

An IP address assignment server for assigning a dynamic IP address to the VPN device is provided between the Internet and the VPN device, and the dynamic IP address of the VPN device is returned in response to a request from the router with a VPN termination function. 20. The VPN construction method according to any one of claims 15, 17, and 19, wherein a dynamic DNS (Domain Name System) server is provided.

A router having a VPN function is connected to the Internet by a fixed IP address, and a user VPN that connects the router with the VPN termination function and the router is constructed to connect the routers with the VPN termination function. The VPN construction method according to any one of claims 15 to 20.