JP2005286802A - 通信制御方法及びプログラム、並びに通信制御システム及び通信制御関連装置 - Google Patents

Abstract

【課題】
セキュアな通信を適切に行う。
【解決手段】
ＶＰＮサーバがＶＰＮ接続を行う特定のＶＰＮクライアント装置と通信を行い且つ特定のサーバへのアクセスを制御するアプリケーション・ゲートウェイ・サーバにより実行される通信制御方法であって、特定のサーバへのアクセスが許可されるべきＶＰＮクライアント装置のＩＰアドレスを受信し、記憶装置に格納するステップと、ＶＰＮサーバと特定のＶＰＮクライアント装置との間でＶＰＮ接続が確立している状態において、ＶＰＮ接続とは異なる通信手段による、特定のサーバへのアクセス要求データを受信した場合、アクセス要求データの送信元のＩＰアドレスと記憶装置に格納されているＩＰアドレスとに基づき、ＶＰＮ接続とは異なる通信手段による特定のサーバへのアクセスを許可するか判定する判定ステップとを含む。
【選択図】図１

Description

本発明は、セキュアな通信を可能にするための通信制御技術に関するものである。

近年、インターネットを介した通信において、トンネリング（例えばＶＰＮ（Virtual Private Network：仮想私設通信網）技術によってセキュアな通信を実現させるケースが増えている。ＶＰＮは一般的に専用線の代用として利用されることが多く、接続認証、カプセル化及び暗号化といった技術によってインターネットを経由する通信データの秘密性及び完全性を保持する。

図１３に、一般的なＶＰＮ接続システム構成図を示す。例えばインターネットであるネットワーク１には、１又は複数のＶＰＮサーバ５と、例えばパーソナル・コンピュータである１又は複数のユーザ端末３と、１又は複数のゲートウェイ７とが無線又は有線により接続されている。ＶＰＮサーバ５は、例えば企業内ネットワークである社内ＬＡＮ２１に接続しており、社内ＬＡＮ２１には、１又は複数の認証サーバ２３と１又は複数のメール・サーバ２５と１又は複数のウェブ（Ｗｅｂ）サーバ２７と１又は複数のアプリケーション・サーバ２９と図示しない他のサーバとが接続されている。

また、ゲートウェイ７は、例えば拠点内ネットワークである拠点ＬＡＮ９に接続しており、拠点ＬＡＮ９には、例えばパーソナル・コンピュータである１又は複数のユーザ端末１１及び１３が接続されている。また、ゲートウェイ７には、ＶＰＮクライアント７１とアドレス変換部７３とが含まれている。ＶＰＮクライアント７１は、ＶＰＮサーバ５とのＶＰＮ接続を確立する。アドレス変換部７３は、例えばＮＡＴ（Network Address Translation）であり、ユーザ端末１１やユーザ端末１３のＩＰアドレス(ローカルアドレス)と、インターネット上のアドレス(グローバルアドレス)とを透過的に相互変換する。これにより、ユーザ端末１１やユーザ端末１３は、ネットワーク１を介した通信が可能となっている。また、ユーザ端末３にはＶＰＮクライアント３３が含まれており、ＶＰＮサーバ５とのＶＰＮ接続が可能となっている。なお、ＶＰＮサーバ５、ＶＰＮクライアント３３及びＶＰＮクライアント７１は、例えばＰＰＴＰ（Point-to-Point Tunneling Protocol）やＬ２ＴＰ（Layer 2 Tunneling Protocol）、ＩＰＳｅｃ（Security Architecture for Internet Protocol）等の通信方式によりＶＰＮ接続を実現する。

このように、従来の一般的なＶＰＮ接続システムでは、ユーザ端末３、ユーザ端末１１又はユーザ端末１３から、社内ＬＡＮ２１に接続されたいずれかのサーバにアクセスする際には、ＶＰＮサーバ５を必ず経由するようになっている。すなわち、社内ＬＡＮ２１に接続されたどのサーバと通信する場合であっても、ＶＰＮ接続を行うことによるカプセル化や暗号化が行われる。
ケー・ラーイ（K. Lahey）、"ＲＦＣ２９２３（Request for Comments:2923），パスＭＴＵ探索におけるＴＣＰ問題（TCP Problems with Path MTU Discovery）"、［online］、平成１２年９月、インターネット・エンジニアリング・タスク・フォース（Internet Engineering Task Force）、［平成１５年１２月１６日検索］、インターネット＜ＵＲＬ：http://www.faqs.org/rfcs/rfc2923.html＞

しかしながら、上で述べたような技術によると、カプセル化や暗号化に伴う処理の負荷が比較的高く、回線速度に対して十分なスループットが得られないことが多い。また、カプセル化や暗号化によって通信データのサイズが大きくなると、最大転送サイズ（MTU：Maximum Transmission Unit）の制限と最大転送サイズを検出するアルゴリズム（Path MTU Discovery Protocol）における通信障害（非特許文献１参照）の問題を引き起こす可能性が高くなる。

また、ＴＣＰの通信においてはパケットの到達性が保証されているため、タイムアウトが発生した場合には再送が行われるが、利用するトンネリング技術とシステム構成の組み合わせによっては、ＴＣＰによる再送と、カプセル化を行うプロトコルによる再送とが多重に発生し、必要以上に再送パケットが発生してしまうこともある。

一方、インターネットを介して利用されるアプリケーション・プログラムの一部は、ＨＴＴＰＳ（Hypertext Transfer Protocol Security）やＳＳＨ（Secure SHell）などのようにＳＳＬ（Secure Socket Layer）を使い、アプリケーション・プログラム毎に暗号化しているケースも多く、ＶＰＮ通信のための暗号化を全ての通信に対して行うのは非効率である。

そのため、本発明の目的は、セキュアな通信を適切に行うための通信制御技術を提供することである。

本発明の第１の態様に係る通信制御方法は、ＶＰＮサーバがＶＰＮ接続を行う特定のＶＰＮクライアント装置と通信を行い且つ特定のサーバへのアクセスを制御するアプリケーション・ゲートウェイ・サーバにより実行される通信制御方法であって、特定のサーバへのアクセスが許可されるべきＶＰＮクライアント装置のＩＰアドレスを受信し、記憶装置に格納する許可ＩＰアドレス受信ステップと、ＶＰＮサーバと特定のＶＰＮクライアント装置との間でＶＰＮ接続が確立している状態において、ＶＰＮ接続とは異なる通信手段による、特定のサーバへのアクセス要求データを受信した場合、アクセス要求データの送信元のＩＰアドレスと記憶装置に格納されているＩＰアドレスとに基づき、ＶＰＮ接続とは異なる通信手段による特定のサーバへのアクセスを許可するか判定する判定ステップとを含む。

これにより、特定のサーバへのアクセスを許可されたＶＰＮクライアント装置は、ＶＰＮ接続とは異なる通信手段で特定のサーバとの通信を行うことができるようになる。例えば、特定のサーバがＳＳＬを用いた通信を行っている場合、ＳＳＬとＶＰＮにより２重の暗号化がなされて通信データのサイズが大きくなってしまうのを回避することができる。また、特定のサーバへのアクセス許可は、ＶＰＮサーバとＶＰＮクライアント装置との間でＶＰＮ接続が確立している状態においてなされるため、ＶＰＮ接続がなされていないアクセス要求元からのアクセスを不許可にする等、適切なアクセス制限が可能となる。

また、上記許可ＩＰアドレス受信ステップにおいて、ＶＰＮサーバとの間のＶＰＮ接続について所定の認証処理サーバによって認証されたＶＰＮクライアント装置のＩＰアドレスを、所定の認証処理サーバから受信し、記憶装置に格納するようにしてもよい。これにより、ＶＰＮ接続における認証がなされたＶＰＮクライアント装置について、特定のサーバへのアクセスが許可されるようになる。

本発明の第２の態様に係る通信制御方法は、ＶＰＮサーバがＶＰＮ接続を行う特定のＶＰＮクライアント装置と通信を行い且つ特定のサーバへのアクセスを制御するアプリケーション・ゲートウェイ・サーバにより実行される通信制御方法であって、ＶＰＮサーバと特定のＶＰＮクライアント装置との間でＶＰＮ接続が確立している状態において、ＶＰＮ接続とは異なる通信手段による、特定のサーバへのアクセス要求データを受信した場合、当該アクセス要求データの送信元のＩＰアドレスを所定の認証サーバに送信するステップと、アクセス要求データの送信元のＩＰアドレスが特定のサーバへのアクセスを許可されるべきＶＰＮクライアント装置のＩＰアドレスであるか否かの判定結果を所定の認証サーバから受信し、記憶装置に格納するステップとを含む。

これにより、特定のサーバへのアクセスを許可されたＶＰＮクライアント装置は、ＶＰＮ接続とは異なる通信手段で特定のサーバとの通信を行うことができるようになる。また、アプリケーション・ゲートウェイ・サーバは、特定のサーバへのアクセス要求データを受信した場合に当該アクセス要求データの送信元のＩＰアドレスを認証サーバに送信し、認証サーバから認証結果を受信するため、特定のサーバへのアクセスが許可されるべきＶＰＮクライアント装置のＩＰアドレスを予め保持しておく必要がない。

また、本発明の第１の態様において、上記許可ＩＰアドレス受信ステップにおいてアプリケーション・ゲートウェイ・サーバへの接続要求データをＶＰＮを介して受信した所定のアクセス管理サーバから、当該接続要求データの送信元のＩＰアドレスを受信した場合、特定のサーバへのアクセスが許可されるべきＶＰＮクライアント装置のＩＰアドレスとして記憶装置に格納するようにしてもよい。このように、例えば専用のアクセス管理サーバを設け、当該アクセス管理サーバから受信したＩＰアドレスに基づき、特定のサーバへのアクセスの許可又は不許可を判定することも可能である。この場合、接続要求データの送信元が既にＶＰＮ接続を認証されており且つＶＰＮを介してアクセス管理サーバに接続要求データを送信していることから、アプリケーション・ゲートウェイ・サーバにおいて接続要求データの送信元がＶＰＮクライアントであるかを改めてチェックする必要はない。

また、本発明の第１の態様において、上記許可ＩＰアドレス受信ステップにおいてアプリケーション・ゲートウェイ・サーバへの接続要求データをＶＰＮ接続とは異なる通信手段により受信し且つ当該接続要求データの送信元の認証を行った所定の認証サーバから、当該接続要求データの送信元のＩＰアドレスを受信した場合、特定のサーバへのアクセスが許可されるべきＶＰＮクライアント装置のＩＰアドレスとして記憶装置に格納するようにしてもよい。このように、認証サーバがＶＰＮ接続とは異なる通信手段により接続要求データを受信し且つ認証した接続要求データの送信元のＩＰアドレスに基づき、特定のサーバへのアクセスの許可又は不許可を判定するようにしてもよい。この場合、接続要求データの送信元がＶＰＮクライアントであるか否かのチェックは認証サーバによりなされるため、アプリケーション・ゲートウェイ・サーバにおいてチェックする必要はない。

また、本発明の第１の態様において、上記判定ステップにおいてアクセス要求データの送信元についてＶＰＮ接続とは異なる通信手段による特定のサーバへのアクセスを許可すると判定された場合、アプリケーション・ゲートウェイ・サーバにおいて中継可能なサーバ・サービスに関するデータ、アプリケーション・ゲートウェイ・サーバのＩＰアドレス及びアプリケーション・ゲートウェイ・サーバにおける処理方法に関するデータのうち少なくともいずれかを、アクセス要求データの送信元に送信するステップをさらに含むようにしてもよい。これにより、アプリケーション・ゲートウェイ・サーバに対して適切な中継処理を行わせるためのデータが、アクセス要求データの送信元に送信される。

また、本発明の第１及び第２の態様において、ＶＰＮ接続の切断要求及びＶＰＮ接続の状態が切断状態であることのいずれかを検知した場合、ＶＰＮ接続が切断状態となる当該ＶＰＮクライアント装置について、特定のサーバへのアクセスを不許可に設定するステップをさらに含むようにしてもよい。このように、ＶＰＮ接続が切断された場合には、当該ＶＰＮクライアント装置についてはＶＰＮ接続とは異なる通信手段による接続もできないようにすることにより、セキュアな通信が実現できる。なお、ＶＰＮ接続の状態は、ＶＰＮサーバが切断要求を検知した際にアプリケーション・ゲートウェイ・サーバに対して通知する方法、ＶＰＮのコネクション・ステータスが切断状態になった場合に、ＶＰＮサーバがアプリケーション・ゲートウェイ・サーバに対して通知する方法、及びアプリケーション・ゲートウェイ・サーバがＶＰＮサーバに対して状態確認を行う方法の少なくともいずれかの方法を用いて把握する。

本発明の第３の態様に係る通信制御方法は、ＶＰＮサーバがＶＰＮ接続を行う特定のＶＰＮクライアント装置についての認証を行う認証サーバにより実行される通信制御方法であって、特定のＶＰＮクライアント装置と通信を行い且つ特定のサーバへのアクセスを制御するアプリケーション・ゲートウェイ・サーバにおいて中継可能なサーバ・サービスに関するデータ、アプリケーション・ゲートウェイ・サーバのＩＰアドレス及びアプリケーション・ゲートウェイ・サーバにおける処理方法に関するデータのうち少なくともいずれかを受信した場合、ゲートウェイ関連データとして記憶装置に格納するステップと、ＶＰＮ接続を要求する特定のＶＰＮクライアント装置の認証がなされた場合、記憶装置に格納されているゲートウェイ関連データをＶＰＮ接続とは異なる通信手段により特定のＶＰＮクライアント装置に送信するステップとを含む。

このように、ＶＰＮ接続を要求する特定のＶＰＮクライアント装置の認証がなされた場合、ＶＰＮ接続とは異なる通信手段により、認証サーバから当該特定のＶＰＮクライアント装置に対してゲートウェイ関連データを送信するようにしてもよい。なお、認証サーバがゲートウェイ関連データを取得するために、アプリケーション・ゲートウェイ・サーバに問い合わせを行う場合もある。

また、本発明の第３の態様において、ゲートウェイ関連データの要求を受信した場合、ゲートウェイ関連データの要求元の認証可否を判定する認証ステップと、認証ステップにおいて、ゲートウェイ関連データの要求元が認証された場合、記憶装置に格納されているゲートウェイ関連データをＶＰＮ接続とは異なる通信手段によりゲートウェイ関連データの要求元に送信するステップとをさらに含むようにしてもよい。このように、ゲートウェイ関連データの要求があった場合に、要求元を認証し、ゲートウェイ関連データを送信するようにしてもよい。

本発明の第４の態様に係る通信制御方法は、ユーザ端末と接続し且つＶＰＮサーバとＶＰＮ接続可能なＶＰＮクライアント装置により実行される通信制御方法であって、所定の認証サーバ、ＶＰＮサーバ及びアプリケーション・ゲートウェイ・サーバのいずれかから、アプリケーション・ゲートウェイ・サーバにおいて中継可能なサーバ・サービスに関するデータ、アプリケーション・ゲートウェイ・サーバのＩＰアドレス、アプリケーション・ゲートウェイ・サーバにおける処理方法に関するデータ及び中継不可能な宛先ＩＰアドレスを受信した場合、ゲートウェイ関連データとして記憶装置に格納するステップと、ＶＰＮサーバとの間でＶＰＮ接続が確立している状態において、ユーザ端末から、特定のサーバへのアクセス要求データを受信した場合、ゲートウェイ関連データを用いて、ＶＰＮサーバを経由する通信経路とアプリケーション・ゲートウェイ・サーバを経由する通信経路とその他の通信経路とのうち、いずれかの通信経路を設定する経路設定ステップと、通信経路がアプリケーション・ゲートウェイ・サーバを経由する通信経路に設定された場合、ゲートウェイ関連データを用いて、アプリケーション・ゲートウェイ・サーバが中継可能な態様の特定のサーバへのアクセス要求データをアプリケーション・ゲートウェイ・サーバに送信するステップとを含む。

これにより、ＶＰＮクライアント装置は、適切な経路選択が可能となり且つアプリケーション・ゲートウェイ・サーバに対して適切な中継処理を行わせることができるようになる。具体的には、アクセスするサーバに応じて適切なポート番号やプロトコルを選択し、例えばターゲット・ホストの指定が必要な場合にはターゲット・ホストのデータも付加して特定のサーバへのアクセスを要求することができるようになる。

また、上記経路設定ステップにおいて、特定のサーバへのアクセス要求データの宛先ＩＰアドレスが所定のＩＰアドレスに合致する場合については経路設定の処理対象から除外するようにしてもよい。これにより、例えばネットワーク管理者等が、ユーザにアクセスさせたくないサーバについて、アクセスできないように設定することができる。

なお、本発明に係る方法をコンピュータに実行させるためのプログラムを作成することも可能であって、当該プログラムは、例えばフレキシブル・ディスク、ＣＤ−ＲＯＭ、光磁気ディスク、半導体メモリ、ハードディスク等の記憶媒体又は記憶装置に格納される。また、ネットワークを介してデジタル信号として配信される場合もある。なお、処理途中のデータについては、コンピュータのメモリ等の記憶装置に一時保管される。

本発明によれば、セキュアな通信を適切に行うことが可能となる。

［実施の形態１］
本発明の第１の実施の形態に係るシステム構成図を図１に示す。なお、図１３で示したシステムの構成要素と同様の構成要素については、同じ番号を付しており、以下、冗長な説明を省略する場合がある。

例えばインターネットであるネットワーク１には、１又は複数のＶＰＮサーバ５と、１又は複数のアプリケーション・ゲートウェイ３０と、１又は複数のゲートウェイ７とが無線又は有線により接続されている。ＶＰＮサーバ５は社内ＬＡＮ２１に接続しており、社内ＬＡＮ２１には、１又は複数の認証サーバ２３と１又は複数のメール・サーバ２５と１又は複数のＷｅｂサーバ２７と１又は複数のアプリケーション・サーバ２９と図示しない他のサーバとが接続されている。認証サーバ２３にはＩＰアドレス格納部２３０が接続されている。ＩＰアドレス格納部２３０には、例えばＶＰＮ接続の確立について認証されたゲートウェイ７のＩＰアドレスが格納される。

アプリケーション・ゲートウェイ３０には、中継処理部３１とアクセス制御部３２とが含まれている。中継処理部３１は、通信データに含まれる宛先アドレスやターゲット・ホスト等の付加データに基づき、サーバ接続の中継処理を行う。アクセス制御部３２は、サーバ接続要求元に対してサーバへのアクセスの許可又は不許可の判定を行う。例えばサーバ接続要求元のＩＰアドレスに基づきアクセスを許可するか否か判定する。不許可と判定された場合には、中継処理を行わないようにする。

ゲートウェイ７は拠点ＬＡＮ９に接続しており、拠点ＬＡＮ９には、１又は複数のユーザ端末１１及び１３が接続されている。また、ゲートウェイ７には、ＶＰＮクライアント７１と通信制御部７２とアドレス変換部７３とが含まれている。ＶＰＮクライアント７１は、ＶＰＮサーバ５とのＶＰＮ接続を確立する。通信制御部７２は、ユーザ端末１１又は１３から特定のサーバへのアクセス要求を受信すると、宛先のＩＰアドレスに応じて、ＶＰＮサーバ５を経由する通信経路とアプリケーション・ゲートウェイ３０を経由する通信経路とその他の通信経路とのうち、いずれかの通信経路を設定する。また、通信経路がアプリケーション・ゲートウェイ３０を経由する通信経路に設定された場合、アプリケーション・ゲートウェイ３０が中継可能な態様でアクセス要求データを送信する。具体的には、アクセスするサーバに応じて適切なポート番号やプロトコルを選択し、例えばターゲット・ホストの指定が必要な場合にはターゲット・ホストのデータも付加する。アドレス変換部７３は、例えば周知のＮＡＰＴ（Network Address Port Translation）であり、ユーザ端末１１やユーザ端末１３のＩＰアドレス(ローカルアドレス)と、インターネット上のアドレス(グローバルアドレス)とを透過的に相互変換する。ＮＡＰＴは、ＴＣＰやＵＤＰのポート番号を動的に変換するため、一つのグローバルアドレスで複数のユーザ端末からの同時接続を実現することが可能である。これにより、ユーザ端末１１やユーザ端末１３は、ネットワーク１を介した通信が可能となっている。

なお、ＶＰＮサーバ５及びＶＰＮクライアント７１は、例えばＰＰＴＰやＬ２ＴＰ、ＩＰＳｅｃ等の通信方式によりＶＰＮ接続を実現する。また、Ｗｅｂサーバ２７は、ＳＳＬを利用した通信を行う。ユーザ端末１１及びユーザ端末１３はＳＳＬ対応のＷｅｂブラウザを有しており、ユーザ端末１１又は１３とＷｅｂサーバ２７との間では、ＶＰＮを介さなくとも、セキュアな通信が可能である。

図２及び図３に、図１に示したシステムの処理フローを示す。以下、各ステップに従い説明する。まず、例えば管理者用の端末であるユーザ端末１１は、管理者等のユーザからの操作に従い、ＶＰＮ接続要求をゲートウェイ７に送信する（図２：ステップＳ１）。ゲートウェイ７のＶＰＮクライアント７１は、ＶＰＮ接続要求をユーザ端末１１から受信し、ワーク・メモリ領域等の記憶装置に格納する（ステップＳ３）。そして、ＶＰＮクライアント７１は、ＶＰＮ接続を確立するための認証データをＶＰＮサーバ５に送信する（ステップＳ５）。認証データは、例えばユーザから受け付けたパスワードである。

ＶＰＮサーバ５は、認証データをゲートウェイ７から受信し、ワーク・メモリ領域等の記憶装置に格納する（ステップＳ７）。そして、ＶＰＮサーバ５は、認証サーバ２３と協働して、ＶＰＮ接続の要求元であるゲートウェイ７の認証処理を行う（ステップＳ９）。認証がなされると、認証サーバ２３は、ゲートウェイ７のＩＰアドレスを許可ＩＰアドレスとしてアプリケーション・ゲートウェイ３０に送信する（ステップＳ１１）。アプリケーション・ゲートウェイ３０は、許可ＩＰアドレスを認証サーバ２３から受信し、ワーク・メモリ領域等に生成された例えば許可ＩＰアドレステーブルに格納する（ステップＳ１３）。許可ＩＰアドレスとは、アプリケーション・ゲートウェイ３０のアクセス制御部３２がアクセス制御を行う際に用いるＩＰアドレスであり、例えば許可ＩＰアドレスを有するゲートウェイ７からＷｅｂサーバ２７へのアクセス要求があった場合には、アクセスを許可するという判定がなされる。なお、ステップＳ９における認証処理後、ＶＰＮサーバ５からアプリケーション・ゲートウェイ３０に許可ＩＰアドレスが送信されるような場合もある。

ＶＰＮサーバ５は、ステップＳ９における認証がなされると、予め保持しているアプリケーション・ゲートウェイ関連データと、ＶＰＮ接続応答とをゲートウェイ７に送信する（ステップＳ１５）。ゲートウェイ７のＶＰＮクライアント７１は、アプリケーション・ゲートウェイ関連データとＶＰＮ接続応答とをＶＰＮサーバ５から受信し、ワーク・メモリ領域等における例えばアプリケーション・ゲートウェイ関連データ格納部に格納する（ステップＳ１７）。アプリケーション・ゲートウェイ関連データには、アプリケーション・ゲートウェイ３０において中継可能なサーバ・サービスに関するデータ、アプリケーション・ゲートウェイ３０のＩＰアドレス、アプリケーション・ゲートウェイ３０における処理方法に関するデータ及び中継不可能な宛先ＩＰアドレス等が含まれている。アプリケーション・ゲートウェイ３０における処理方法に関するデータとは、例えばターゲット・ホストの指定を別途必要とする通信プロトコルを用いる場合には、ターゲット・ホストのデータも付加した態様でのアクセス要求データを受け付けるということを示すデータである。識別子が用いられる場合もある。

なお、ＶＰＮサーバ５がアプリケーション・ゲートウェイ関連データを予め保持していない場合もある。このような場合には、ＶＰＮサーバ５はアプリケーション・ゲートウェイ関連データの要求をアプリケーション・ゲートウェイ３０に対して送信し、アプリケーション・ゲートウェイ３０から受信したアプリケーション・ゲートウェイ関連データをゲートウェイ７に送信する。また、アプリケーション・ゲートウェイ関連データをＶＰＮ接続応答に併せて送信しない場合もある。このような場合には、例えばゲートウェイ７のＶＰＮクライアント７１は、ＶＰＮサーバ５に対してアプリケーション・ゲートウェイ関連データを要求し、要求に応じてＶＰＮサーバ５から送信されたデータを受信する。

そして、ゲートウェイ７のＶＰＮクライアント７１は、ＶＰＮ接続完了通知データを生成し、ユーザ端末１１に送信する（ステップＳ１９）。ユーザ端末１１は、ＶＰＮ接続完了通知データをゲートウェイ７から受信し、表示装置に表示する（ステップＳ２１）。

また、ＶＰＮサーバ５は、ＶＰＮの接続状態を示すデータをアプリケーション・ゲートウェイ３０に送信する（ステップＳ２３）。アプリケーション・ゲートウェイ３０のアクセス制御部３２は、ＶＰＮの接続状態を示すデータをＶＰＮサーバ５から受信し、ワーク・メモリ領域等の記憶装置に格納する（ステップＳ２５）。ＶＰＮの接続状態を示すデータは、例えば接続状態が変化した際にＶＰＮサーバ５からアプリケーション・ゲートウェイ３０に送信される。なお、アプリケーション・ゲートウェイ３０からＶＰＮサーバ５に対して定期的にＶＰＮの接続状態を示すデータの要求を送信する場合もある。また、ＶＰＮサーバ５からのデータ受信がない状態が所定期間以上続いた場合に、アプリケーション・ゲートウェイ３０からＶＰＮサーバ５に対してデータ要求を送信する場合もある。

このようにしてＶＰＮ接続が確立され、アプリケーション・ゲートウェイ３０に許可ＩＰアドレス及びＶＰＮの接続状態が保持される。

そして、例えばユーザ端末１３は、一般ユーザ等からの操作に従い、例えばＷｅｂサーバ２７へのアクセス要求をゲートウェイ７に送信する（図３：ステップＳ３１）。ゲートウェイ７の通信制御部７２は、Ｗｅｂサーバ２７へのアクセス要求をユーザ端末１３から受信し、ワーク・メモリ領域等の記憶装置に格納する（ステップＳ３３）。そして、ゲートウェイ７のアドレス変換部７３は、ローカルアドレスからグローバルアドレスへのアドレス変換を行う（ステップＳ３５）。そして、ゲートウェイ７の通信制御部７２は、アプリケーション・ゲートウェイ関連データに基づき、当該アクセス要求の通信ルートを判定する（ステップＳ３７）。具体的には、ＶＰＮ（ＶＰＮサーバ５）経由の通信ルート、アプリケーション・ゲートウェイ３０経由の通信ルート及びその他のルートのうち、いずれかのルートを選択する。本実施の形態においては、Ｗｅｂサーバ２７宛てのデータについてはアプリケーション・ゲートウェイ３０経由の通信ルートが選択される。

図４−１及び図４−２に、通信ルート設定の概要図を示す。まず、図４−１には、図１３に示した従来の一般的なＶＰＮ接続システムにおけるゲートウェイ７での通信ルート設定の概要が示されている。

ＶＰＮルート４１６及びデフォルト・ルート（Default Route）４１９は、イーサネット（Ethernet）（登録商標）・ルート４１４に含まれている。イーサネット・ルート４１４は、例えばＴＣＰ／ＩＰによる通信ルートを表しており、インターネットを介す通信ルートは、全てこのイーサネット・ルート４１４に含まれている。ＶＰＮルート４１６は、ＶＰＮ接続による通信ルートを表しており、このＶＰＮルート４１６を通るデータはカプセル化及び暗号化された後、インターネットに送信される。カプセル化により、宛先ＩＰアドレスがＶＰＮサーバ５のＩＰアドレスに一旦変換される。デフォルト・ルート４１９は、データを加工せずにインターネットに送信するルートを示している。通信ルート４１８は、例えば拠点ＬＡＮ９を経由してゲートウェイ７に到達したデータがまず始めに通るルートを示している。

データは図の左から右に向かって進んでいくものとする。まず、例えばユーザ端末１３から送信されたサーバ宛データは、通信ルート４１８を通り、アドレス変換部処理範囲４１０に入る。ここで、データ送信元であるユーザ端末１３のＩＰアドレスがローカルアドレスからグローバルアドレスに変換される。そしてサーバ宛データはさらに右に進み、ＶＰＮクライアント処理範囲４１２に入る。ここで、サーバ宛データは、まずデフォルト・ルート４１９を通り、ＶＰＮ接続が確立している場合には、デフォルト・ルート４１９の途中から切り替わっているＶＰＮルート４１６を通り、ＶＰＮ接続が確立していない場合には、そのままデフォルト・ルート４１９を通る。なお、ＶＰＮ接続が確立している場合においても、ＩＰアドレスが所定の範囲外であるサーバ（例えば社内ＬＡＮ２１に接続されていないサーバ）宛のデータについては、デフォルト・ルート４１９をそのまま通るような設定がなされている場合もある。一方、例えば社内ＬＡＮ２１に接続されているサーバ宛のデータについては、全てＶＰＮルート４１６を通るようになっている。すなわち、例えばＨＴＴＰＳによりカプセル化や暗号化された通信データに対しても２重にカプセル化や暗号化がなされるようになっている。

図４−２には、図１に示したような本実施の形態におけるゲートウェイ７での通信ルート設定の概要が示されている。ＶＰＮルート４１６、デフォルト・ルート４１９及びＨＴＴＰＳルート４２０は、イーサネット・ルート４１４に含まれている。なお、図４−１と同様の構成要素については同じ番号を付しており、以下、冗長な説明を省略する。

例えばユーザ端末１３から送信されたサーバ宛データは、通信ルート４１８を通り、ＶＰＮクライアント処理範囲４１２に入る。ここで、サーバ宛データは、例えば宛先のサーバが用いる通信プロトコルに対応付けられたポート番号によって、ＶＰＮルート４１６、デフォルト・ルート４１９及びＨＴＴＰＳルート４２０のいずれかを通るように振り分けられる。この処理は、ゲートウェイ７の通信制御部７２によって実施される。例えば、ＨＴＴＰＳ（ポート番号４４３）を用いた通信を行うサーバ（例えばＷｅｂサーバ２７）宛のデータは、ＨＴＴＰＳルート４２０を通りアプリケーション・ゲートウェイ３０が中継可能な態様でインターネットに送信される。なお、ＨＴＴＰＳルート４２０を通るデータはカプセル化され、宛先ＩＰアドレスがアプリケーション・ゲートウェイ３０のＩＰアドレスに一旦変換される。また、ＰＯＰ３（ポート番号１１０）やＳＭＴＰ（ポート番号２５）を用いたサーバ（例えばメール・サーバ２５）宛のデータは、ＶＰＮルート４１６を通りインターネットに送信される。また、ＩＰアドレスが所定の範囲外であるサーバ（例えば社内ＬＡＮ２１に接続されていないサーバ）宛のデータについては、デフォルト・ルート４１９を通り、そのままインターネットに送信される。このように、２重のカプセル化や暗号化がなされないようになっている。

図３の説明に戻り、ゲートウェイ７の通信制御部７２は、Ｗｅｂサーバ２７へのアクセス要求をアプリケーション・ゲートウェイ３０に送信する（図３：ステップＳ３９）。アプリケーション・ゲートウェイ関連データに基づき、ターゲット・ホスト等の付加データが必要な場合には併せて送信する。アプリケーション・ゲートウェイ３０のアクセス制御部３２は、Ｗｅｂサーバ２７へのアクセス要求をゲートウェイ７から受信し、ワーク・メモリ領域等の記憶装置に格納する（ステップＳ４１）。そして、アクセス制御部３２は、ゲートウェイ７のＩＰアドレスが、ステップＳ１３（図２）において受信した許可ＩＰアドレスと合致しているか確認する（ステップＳ４３）。アクセス制御部３２はステップＳ２５（図２）においてワーク・メモリ領域等の記憶装置に格納されたＶＰＮ接続の状態も併せて確認し、ＶＰＮ接続が確立されている状態において、許可ＩＰアドレスを有するゲートウェイ７からのアクセス要求である場合には「アクセスを許可する」と判定する。

なお、ＶＰＮ接続が確立されていない場合や、ＩＰアドレスが合致しない場合には、「アクセスを許可しない」と判定する。「アクセスを許可しない」と判定された場合、アプリケーション・ゲートウェイ３０は処理を終了するが、例えば接続拒否通知をゲートウェイ７を経由してユーザ端末１３に送信するような場合もある。以下、「アクセスを許可する」と判定されたものとして説明を続ける。

そして、アプリケーション・ゲートウェイ３０の中継処理部３１は、アクセス要求データをＷｅｂサーバ２７に送信する（ステップＳ４５）。この際、中継処理部３１は、アクセス要求の宛先ＩＰアドレスをアプリケーション・ゲートウェイ３０のＩＰアドレスからＷｅｂサーバ２７のＩＰアドレスへと変換して送信する。Ｗｅｂサーバ２７は、アクセス要求データをアプリケーション・ゲートウェイ３０から受信し、ワーク・メモリ領域等の記憶装置に格納する（ステップＳ４７）。Ｗｅｂサーバ２７は、通信プロトコルに例えばＨＴＴＰＳを用いており、ＨＴＴＰＳによる通信を確立するためのアクセス応答データを生成し、アプリケーション・ゲートウェイ３０に送信する（ステップＳ４９）。

アプリケーション・ゲートウェイ３０の中継処理部３１は、アクセス応答データをＷｅｂサーバ２７から受信し、ゲートウェイ７に転送する（ステップＳ５１）。ゲートウェイ７の通信制御部７２は、アクセス応答データをアプリケーション・ゲートウェイ３０から受信し、ワーク・メモリ領域等の記憶装置に格納する（ステップＳ５３）。そして、ゲートウェイ７のアドレス変換部７３は、アクセス応答データの宛先アドレスをグローバルアドレスからローカルアドレスに変換する（ステップＳ５５）。そして、通信制御部７２は、アクセス応答データをユーザ端末１３に送信する（ステップＳ５７）。ユーザ端末１３はアクセス応答データを受信し、ワーク・メモリ領域等の記憶装置に格納する（ステップＳ５９）。以降、ユーザ端末１３及びＷｅｂサーバ２７は、ＨＴＴＰＳに従ったデータ通信を行う。

このようにして、アプリケーション・ゲートウェイ３０経由でのサーバ・アクセスが行われる。これにより、カプセル化や暗号化が２重に行われないようにすることができ、通信データのサイズを不必要に大きくしてしまうことがなくなる。

［実施の形態２］
本発明の第２の実施の形態に係る処理フローを図５及び図６に示す。なお、システム構成は第１の実施の形態と同様であり、以下、図１に示した構成要素を用いて説明する。まず、図５に示す処理フローは、図２に示した処理フローのステップＳ１１及びステップＳ１３の処理をステップＳ８１の処理に変更したものであり、他の処理については同様であるため説明を省略する。ステップＳ８１の処理は、ステップＳ７９の認証処理がなされた後に認証サーバ２３によって実行される。図２の処理フローでは、許可ＩＰアドレスがアプリケーション・ゲートウェイ３０に送信され、アプリケーション・ゲートウェイ３０が許可ＩＰアドレスを保持していたが、本実施の形態においては、認証サーバ２３は、許可ＩＰアドレスをＩＰアドレス格納部２３０に格納する（図５：ステップＳ８１）。

このようにしてＶＰＮ接続が確立され、ＩＰアドレス格納部２３０に許可ＩＰアドレスが格納される。また、アプリケーション・ゲートウェイ３０にＶＰＮの接続状態が保持される。

図６に示す処理フローは、図３に示した処理フローのステップＳ４３の処理をステップＳ１１３の処理に変更したものであり、他の処理については同様であるため説明を省略する。ステップＳ１１３の許可ＩＰアドレス確認処理は、アプリケーション・ゲートウェイ３０のアクセス制御部３２がＷｅｂサーバ２７へのアクセス要求をゲートウェイ７から受信した（ステップＳ１１１）後、アプリケーション・ゲートウェイ３０のアクセス制御部３２と認証サーバ２３とによって実行される。具体的には、まず、アプリケーション・ゲートウェイ３０のアクセス制御部３２が、アクセス要求元であるゲートウェイ７のＩＰアドレスを認証サーバ２３に送信する。認証サーバ２３は、受信したＩＰアドレスが、ＩＰアドレス格納部２３０に格納されている許可ＩＰアドレスと合致するか照合し、照合結果をアプリケーション・ゲートウェイ３０に送信する。アプリケーション・ゲートウェイ３０のアクセス制御部３２は、照合結果を受信すると、ＶＰＮ接続の状態を確認し、受信した照合結果とＶＰＮ接続状態とに基づき、ＶＰＮ接続が確立されている状態において、許可ＩＰアドレスを有するゲートウェイ７からのアクセス要求である場合には「アクセスを許可する」と判定する。

このようにして、アプリケーション・ゲートウェイ３０経由でのサーバ・アクセスが行われる。本実施の形態においては、アプリケーション・ゲートウェイ３０が許可ＩＰアドレスを保持しておく必要がない代わりに、認証サーバ２３への問い合わせが行われる。

［実施の形態３］
本発明の第３の実施の形態に係るシステム構成図を図７に示す。図７に示すシステム構成は、図１に示したシステム構成からＩＰアドレス格納部２３０を除外し、新たにアクセス管理サーバ２２を加えたものである。その他、図１で示したシステムの構成要素と同様の構成要素については同じ番号を付しており、以下、冗長な説明を省略する。アクセス管理サーバ２２は１又は複数存在し、社内ＬＡＮ２１に無線又は有線により接続している。アクセス管理サーバ２２の処理内容については、以下の処理フローの説明において述べる。

図８に、図７に示したシステムの処理フローを示す。図８に示す処理フローは、図５に示した処理フローからステップＳ８１の処理を除外し、新たにステップＳ１６３乃至ステップＳ１７１の処理を追加したものである。他の処理については同様であるため説明を省略する。ステップＳ１６３乃至ステップＳ１７１の処理は、ゲートウェイ７とＶＰＮサーバ５との間でＶＰＮ接続が確立した後に実行される。

まず、ゲートウェイ７の通信制御部７２は、アプリケーション・ゲートウェイ接続要求をＶＰＮサーバ５に送信する（ステップＳ１６３）。ＶＰＮサーバ５は、アプリケーション・ゲートウェイ接続要求をゲートウェイ７から受信し、アクセス管理サーバ２２に転送する（ステップＳ１６５）。アクセス管理サーバ２２は、アプリケーション・ゲートウェイ接続要求をＶＰＮサーバ５から受信し、ワーク・メモリ領域等の記憶装置に格納する（ステップＳ１６７）。そして、アクセス管理サーバ２２は、ゲートウェイ７のＩＰアドレスを許可ＩＰアドレスとしてアプリケーション・ゲートウェイ３０に送信する（ステップＳ１６９）。アプリケーション・ゲートウェイ３０は、許可ＩＰアドレスをアクセス管理サーバ２２から受信し、ワーク・メモリ領域等に生成された例えば許可ＩＰアドレステーブルに格納する（ステップＳ１７１）。

このようにして、ＶＰＮ接続が確立された後、ゲートウェイ７からの要求により、アクセス管理サーバ２２からアプリケーション・ゲートウェイ３０に許可ＩＰアドレスが送信されることにより、許可ＩＰアドレスがアプリケーション・ゲートウェイ３０に保持される。なお、アクセス管理サーバ２２は、許可ＩＰアドレスをアプリケーション・ゲートウェイ３０が受信したことを確認すると、許可ＩＰアドレス設定応答をＶＰＮサーバ５経由でゲートウェイ７に送信するような場合もある。また、この許可ＩＰアドレス設定応答の送信に併せて、ＶＰＮサーバ５がアプリケーション・ゲートウェイ関連データをゲートウェイ７に送信する場合もある。

そして、ユーザ端末からの要求に従い、アプリケーション・ゲートウェイ３０経由でのサーバ・アクセス処理が行われるが、第１の実施の形態における処理（図３の処理フロー）と同様であるため、説明を省略する。

［実施の形態４］
本発明の第４の実施の形態に係るシステム構成図を図９に示す。図９に示すシステム構成は、図１に示したシステム構成からＩＰアドレス格納部２３０を除外し、認証サーバ２３の設置場所を変更したものである。その他、図１で示したシステムの構成要素と同様の構成要素については同じ番号を付しており、以下、冗長な説明を省略する。本実施の形態においては、認証サーバ２３は、社内ＬＡＮ２１に無線又は有線により接続しており且つネットワーク１に無線又は有線により接続している。本実施の形態における認証サーバ２３の処理内容については、以下の処理フローの説明において述べる。

図１０に、図９に示したシステムの処理フローを示す。図１０に示す処理フローは、図８に示した処理フローにおけるステップＳ１６３乃至ステップＳ１７１の処理をステップＳ２０３乃至ステップＳ２１３の処理に変更したものである。他の処理については同様であるため説明を省略する。ステップＳ２０３乃至ステップＳ２１３の処理は、ゲートウェイ７とＶＰＮサーバ５との間でＶＰＮ接続が確立した後に実行される。

まず、ゲートウェイ７の通信制御部７２は、アプリケーション・ゲートウェイ接続要求を認証サーバ２３に送信する（ステップＳ２０３）。認証サーバ２３は、アプリケーション・ゲートウェイ接続要求をゲートウェイ７から受信し、ワーク・メモリ領域等の記憶装置に格納する（ステップＳ２０５）。そして、認証サーバ２３は、ゲートウェイ７のＩＰアドレスを許可ＩＰアドレスとしてアプリケーション・ゲートウェイ３０に送信する（ステップＳ２０７）。

なおこの際、認証サーバ２３は、ゲートウェイ７の認証処理を行う。認証されなかった場合、許可ＩＰアドレスの送信処理は行われない。上で述べた第３の実施の形態においては、アクセス管理サーバ２２がＶＰＮ（ＶＰＮサーバ５）を介してアプリケーション・ゲートウェイ接続要求を受信するため、ＶＰＮ接続について既に認証されているゲートウェイ７の再認証処理は不要であった。一方、本実施の形態においては、認証サーバ２３がインターネット（ネットワーク１）から直接、アプリケーション・ゲートウェイ接続要求を受信するため、改めてデータ送信元（ここではゲートウェイ７）の認証処理を行うようにしている。

そして、アプリケーション・ゲートウェイ３０は、許可ＩＰアドレスを認証サーバ２３から受信し、ワーク・メモリ領域等に生成された例えば許可ＩＰアドレステーブルに格納する（ステップＳ２０９）。また、認証サーバ２３は、例えば許可ＩＰアドレスをアプリケーション・ゲートウェイ３０が受信したことを確認すると、許可ＩＰアドレス設定応答をゲートウェイ７に送信する（ステップＳ２１１）。ゲートウェイ７の通信制御部７２は、許可ＩＰアドレス設定応答を認証サーバ２３から受信し、ワーク・メモリ領域等の記憶装置に格納する（ステップＳ２１３）。

このようにして、ＶＰＮ接続が確立された後、ゲートウェイ７からの要求により、認証サーバ２３からアプリケーション・ゲートウェイ３０に許可ＩＰアドレスが送信されることにより、許可ＩＰアドレスがアプリケーション・ゲートウェイ３０に保持される。

そして、ユーザ端末からの要求に従い、アプリケーション・ゲートウェイ３０経由でのサーバ・アクセス処理が行われるが、第１の実施の形態における処理（図３の処理フロー）と同様であるため、説明を省略する。

［実施の形態５］
本発明の第５の実施の形態に係る処理フローを図１１に示す。なお、システム構成は第４の実施の形態と同様であり、以下、図９に示した構成要素を用いて説明する。まず、図１１に示す処理フローは、図１０に示した処理フローのステップＳ１９１及びステップＳ１９３の処理をステップＳ２３１及びステップＳ２３３の処理に変更し且つステップＳ２１１及びステップＳ２１３（図１０）の処理をステップＳ２５１及びステップＳ２５３の処理に変更したものであり、他の処理については同様であるため説明を省略する。

まず、ステップＳ２３１の処理において、ＶＰＮサーバ５は、ＶＰＮ接続応答をゲートウェイ７に送信する。ステップＳ１９１（図１０）では、アプリケーション・ゲートウェイ関連データも併せて送信するようにしていたが、ここではアプリケーション・ゲートウェイ関連データは送信しない。そして、ゲートウェイ７のＶＰＮクライアント７１は、ＶＰＮ接続応答データをＶＰＮサーバ５から受信し、ワーク・メモリ領域等の記憶装置に格納する（ステップＳ２３３）。

そしてステップＳ２３５乃至ステップＳ２４９の処理が行われ、ステップＳ２５１の処理において、認証サーバ２３は、アプリケーション・ゲートウェイ関連データと許可ＩＰアドレス設定応答とを、ゲートウェイ７に送信する。すなわち、ステップＳ２３１において、ＶＰＮサーバ５がアプリケーション・ゲートウェイ関連データをゲートウェイ７に送信していないため、この時点で認証サーバ２３が送信する。なお、認証サーバ２３がアプリケーション・ゲートウェイ関連データを予め保持していない場合もある。このような場合には、認証サーバ２３はアプリケーション・ゲートウェイ関連データの要求をアプリケーション・ゲートウェイ３０に対して送信し、アプリケーション・ゲートウェイ３０から受信したアプリケーション・ゲートウェイ関連データをゲートウェイ７に送信する。

そして、ゲートウェイ７の通信制御部７２は、アプリケーション・ゲートウェイ関連データと許可ＩＰアドレス設定応答とを認証サーバ２３から受信し、ワーク・メモリ領域等における例えばアプリケーション・ゲートウェイ関連データ格納部に格納する（ステップＳ２５３）。

このようにして、ゲートウェイ７にアプリケーション・ゲートウェイ関連データが保持される。そして、ユーザ端末からの要求に従い、アプリケーション・ゲートウェイ３０経由でのサーバ・アクセス処理が行われるが、第１の実施の形態における処理（図３の処理フロー）と同様であるため、説明を省略する。

以上のようにして、セキュアな通信において、２重にカプセル化や暗号化を行わないような適切な経路制御が行われる。

また、認証サーバ２３、メール・サーバ２５、Ｗｅｂサーバ２７、アプリケーション・サーバ２９、アクセス管理サーバ２２（図７）、ＶＰＮサーバ５、アプリケーション・ゲートウェイ３０、ゲートウェイ７、ユーザ端末１１及びユーザ端末１３は、図１２に示すようなコンピュータ装置であって、メモリ２０１とＣＰＵ２０３とハードディスク・ドライブ（ＨＤＤ）２０５と表示装置２０９に接続される表示制御部２０７とリムーバブル・ディスク２１１用のドライブ装置２１３と入力装置２１５とネットワークに接続するための通信制御部２１７とがバス２１９で接続されている。オペレーティング・システム（ＯＳ：Operating System）及び本実施の形態における処理を実現するためのプログラムを含むアプリケーション・プログラムは、ＨＤＤ２０５に格納されており、ＣＰＵ２０３により実行される際にはＨＤＤ２０５からメモリ２０１に読み出される。必要に応じてＣＰＵ２０３は、表示制御部２０７、通信制御部２１７、ドライブ装置２１３を制御して、必要な動作を行わせる。また、処理途中のデータについては、メモリ２０１に格納され、必要があればＨＤＤ２０５に格納される。本発明の実施の形態における処理を実現するためのプログラムは例えばリムーバブル・ディスク２１１に格納されて頒布されドライブ装置２１３から、又はネットワーク及び通信制御部２１７を介して受信し、ＨＤＤ２０５にインストールされる。このようなコンピュータ装置は、ＣＰＵ２０３、メモリ２０１などのハードウエアとＯＳ及び必要なアプリケーション・プログラムとが有機的に協働することにより、上で説明したような各種機能を実現する。なお、ゲートウェイ７は、メモリ及びプロセッサを有するルータ等の専用の装置である場合もある。

以上本発明の実施の形態について説明したが、本発明はこれに限定されるものではない。例えば、図１、図７及び図９に示したアプリケーション・ゲートウェイ３０の機能ブロック構成及びゲートウェイ７の機能ブロック構成は一例であって、実際のプログラム・モジュール構成とは異なる場合がある。また、各サーバが複数のコンピュータによって構成されていてもよいし、１つのサーバが複数のサーバ機能を有するような場合もある。また、図４−１及び図４−２に示した通信ルート設定の概要図は一例であって、適用する通信プロトコルは図中に示したものに限られない。また、図２、図３、図５、図６、図８、図１０及び図１１に示した処理フローも一例であって、同様の処理結果が得られる範囲において処理の順序を入れ替えてもよいし、必要に応じてステップを追加又は削除してもよい。また、図１２に示したコンピュータの機能ブロック図も一例であって、実際のハードウェア構成とは異なる場合もある。

本発明の第１及び第２の実施の形態におけるシステム構成図である。 本発明の第１の実施の形態における前半の処理フローを示す図である。 本発明の第１、第３、第４及び第５の実施の形態における後半の処理フローを示す図である。 通信ルート設定の概要図（その１）である。 通信ルート設定の概要図（その２）である。 本発明の第２の実施の形態における前半の処理フローを示す図である。 本発明の第２の実施の形態における後半の処理フローを示す図である。 本発明の第３の実施の形態におけるシステム構成図である。 本発明の第３の実施の形態における前半の処理フローを示す図である。 本発明の第４及び第５の実施の形態におけるシステム構成図である。 本発明の第４の実施の形態における前半の処理フローを示す図である。 本発明の第５の実施の形態における前半の処理フローを示す図である。 本発明の実施の形態におけるコンピュータの機能ブロックの概要を示す図である。 一般的なＶＰＮ接続システムの構成図である。

符号の説明

１ ネットワーク ５ ＶＰＮサーバ
７ ゲートウェイ ９ 拠点ＬＡＮ
３，１１，１３ ユーザ端末 ２１ 社内ＬＡＮ
２２ アクセス管理サーバ ２３ 認証サーバ
２５ メール・サーバ ２７ Ｗｅｂサーバ
２９ アプリケーション・サーバ
３０ アプリケーション・ゲートウェイ
３１ 中継処理部 ３２ アクセス制御部
３３，７１ ＶＰＮクライアント ７２ 通信制御部
７３ アドレス変換部 ２３０ ＩＰアドレス格納部

Claims (16)

1. ＶＰＮサーバがＶＰＮ接続を行う特定のＶＰＮクライアント装置と通信を行い且つ特定のサーバへのアクセスを制御するアプリケーション・ゲートウェイ・サーバにより実行される通信制御方法であって、
   前記特定のサーバへのアクセスが許可されるべきＶＰＮクライアント装置のＩＰアドレスを受信し、記憶装置に格納する許可ＩＰアドレス受信ステップと、
   前記ＶＰＮサーバと前記特定のＶＰＮクライアント装置との間で前記ＶＰＮ接続が確立している状態において、前記ＶＰＮ接続とは異なる通信手段による、前記特定のサーバへのアクセス要求データを受信した場合、前記アクセス要求データの送信元のＩＰアドレスと前記記憶装置に格納されているＩＰアドレスとに基づき、前記ＶＰＮ接続とは異なる通信手段による前記特定のサーバへのアクセスを許可するか判定する判定ステップと、
   を含み、アプリケーション・ゲートウェイ・サーバにより実行される通信制御方法。
2. 前記許可ＩＰアドレス受信ステップにおいて、
   前記ＶＰＮサーバとの間の前記ＶＰＮ接続について所定の認証処理サーバによって認証されたＶＰＮクライアント装置のＩＰアドレスを、前記所定の認証処理サーバから受信し、前記記憶装置に格納することを特徴とする
   請求項１記載の通信制御方法。
3. ＶＰＮサーバがＶＰＮ接続を行う特定のＶＰＮクライアント装置と通信を行い且つ特定のサーバへのアクセスを制御するアプリケーション・ゲートウェイ・サーバにより実行される通信制御方法であって、
   前記ＶＰＮサーバと前記特定のＶＰＮクライアント装置との間で前記ＶＰＮ接続が確立している状態において、前記ＶＰＮ接続とは異なる通信手段による、前記特定のサーバへのアクセス要求データを受信した場合、当該アクセス要求データの送信元のＩＰアドレスを所定の認証サーバに送信するステップと、
   前記アクセス要求データの送信元のＩＰアドレスが前記特定のサーバへのアクセスを許可されるべきＶＰＮクライアント装置のＩＰアドレスであるか否かの判定結果を前記所定の認証サーバから受信し、記憶装置に格納するステップと、
   を含み、アプリケーション・ゲートウェイ・サーバにより実行される通信制御方法。
4. 前記許可ＩＰアドレス受信ステップにおいて、
   前記アプリケーション・ゲートウェイ・サーバへの接続要求データを前記ＶＰＮを介して受信した所定のアクセス管理サーバから、当該接続要求データの送信元のＩＰアドレスを受信した場合、前記特定のサーバへのアクセスが許可されるべきＶＰＮクライアント装置のＩＰアドレスとして前記記憶装置に格納することを特徴とする
   請求項１記載の通信制御方法。
5. 前記許可ＩＰアドレス受信ステップにおいて、
   前記アプリケーション・ゲートウェイ・サーバへの接続要求データを前記ＶＰＮ接続とは異なる通信手段により受信し且つ当該接続要求データの送信元の認証を行った所定の認証サーバから、当該接続要求データの送信元のＩＰアドレスを受信した場合、前記特定のサーバへのアクセスが許可されるべきＶＰＮクライアント装置のＩＰアドレスとして前記記憶装置に格納することを特徴とする
   請求項１記載の通信制御方法。
6. 前記判定ステップにおいて、前記アクセス要求データの送信元について前記ＶＰＮ接続とは異なる通信手段による前記特定のサーバへのアクセスを許可すると判定された場合、前記アプリケーション・ゲートウェイ・サーバにおいて中継可能なサーバ・サービスに関するデータ、前記アプリケーション・ゲートウェイ・サーバのＩＰアドレス及び前記アプリケーション・ゲートウェイ・サーバにおける処理方法に関するデータのうち少なくともいずれかを、前記アクセス要求データの送信元に送信するステップ
   をさらに含む請求項５記載の通信制御方法。
7. 前記ＶＰＮ接続の切断要求及び前記ＶＰＮ接続の状態が切断状態であることのいずれかを検知した場合、ＶＰＮ接続が切断状態となる当該ＶＰＮクライアント装置について、前記特定のサーバへのアクセスを不許可に設定するステップをさらに含む請求項１乃至６のいずれか１つに記載の通信制御方法。
8. ＶＰＮサーバがＶＰＮ接続を行う特定のＶＰＮクライアント装置についての認証を行う認証サーバにより実行される通信制御方法であって、
   前記特定のＶＰＮクライアント装置と通信を行い且つ特定のサーバへのアクセスを制御するアプリケーション・ゲートウェイ・サーバにおいて中継可能なサーバ・サービスに関するデータ、前記アプリケーション・ゲートウェイ・サーバのＩＰアドレス及び前記アプリケーション・ゲートウェイ・サーバにおける処理方法に関するデータのうち少なくともいずれかを受信した場合、ゲートウェイ関連データとして記憶装置に格納するステップと、
   前記ＶＰＮ接続を要求する前記特定のＶＰＮクライアント装置の認証がなされた場合、前記記憶装置に格納されている前記ゲートウェイ関連データを前記ＶＰＮ接続とは異なる通信手段により前記特定のＶＰＮクライアント装置に送信するステップと、
   を含み、認証サーバにより実行される通信制御方法。
9. 前記ゲートウェイ関連データの要求を受信した場合、前記ゲートウェイ関連データの要求元の認証可否を判定する認証ステップと、
   前記認証ステップにおいて、前記ゲートウェイ関連データの要求元が認証された場合、前記記憶装置に格納されている前記ゲートウェイ関連データを前記ＶＰＮ接続とは異なる通信手段により前記ゲートウェイ関連データの要求元に送信するステップと、
   をさらに含む請求項８記載の通信制御方法。
10. ユーザ端末と接続し且つＶＰＮサーバとＶＰＮ接続可能なＶＰＮクライアント装置により実行される通信制御方法であって、
    所定の認証サーバ、前記ＶＰＮサーバ及びアプリケーション・ゲートウェイ・サーバのいずれかから、前記アプリケーション・ゲートウェイ・サーバにおいて中継可能なサーバ・サービスに関するデータ、前記アプリケーション・ゲートウェイ・サーバのＩＰアドレス、前記アプリケーション・ゲートウェイ・サーバにおける処理方法に関するデータ及び中継不可能な宛先ＩＰアドレスを受信した場合、ゲートウェイ関連データとして記憶装置に格納するステップと、
    前記ＶＰＮサーバとの間で前記ＶＰＮ接続が確立している状態において、前記ユーザ端末から、特定のサーバへのアクセス要求データを受信した場合、前記ゲートウェイ関連データを用いて、前記ＶＰＮサーバを経由する通信経路と前記アプリケーション・ゲートウェイ・サーバを経由する通信経路とその他の通信経路とのうち、いずれかの通信経路を設定する経路設定ステップと、
    前記通信経路が前記アプリケーション・ゲートウェイ・サーバを経由する通信経路に設定された場合、前記ゲートウェイ関連データを用いて、前記アプリケーション・ゲートウェイ・サーバが中継可能な態様の前記特定のサーバへのアクセス要求データを前記アプリケーション・ゲートウェイ・サーバに送信するステップと、
    を含み、ＶＰＮクライアント装置により実行される通信制御方法。
11. 前記経路設定ステップにおいて、前記特定のサーバへのアクセス要求データの宛先ＩＰアドレスが所定のＩＰアドレスに合致する場合については経路設定の処理対象から除外することを特徴とする請求項１０記載の通信制御方法。
12. 請求項１乃至１１のいずれか１つに記載の通信制御方法をコンピュータに実行させるためのプログラム。
13. ＶＰＮ接続手段を有するＶＰＮサーバと、
    前記ＶＰＮサーバとＶＰＮ接続するＶＰＮクライアント装置と、
    前記ＶＰＮクライアント装置との通信が可能であり且つ特定のサーバへのアクセスを制御するアプリケーション・ゲートウェイ・サーバと、
    前記ＶＰＮサーバを経由することなく前記ＶＰＮクライアント装置と通信が可能となっており、前記ＶＰＮサーバと前記ＶＰＮクライアント装置との間でＶＰＮ接続が確立している状態において、前記特定のサーバへのアクセスを要求する特定のＶＰＮクライアント装置からの認証要求を受け付け且つ前記特定のＶＰＮクライアント装置を認証した場合、認証された前記特定のＶＰＮクライアント装置のＩＰアドレスを前記アプリケーション・ゲートウェイ・サーバに送信する認証サーバと、
    を有する通信制御システム。
14. ＶＰＮサーバがＶＰＮ接続を行う特定のＶＰＮクライアント装置からの、特定のサーバに対するアクセスを制御するためのアプリケーション・ゲートウェイ・サーバであって、
    前記特定のサーバへのアクセスが許可されるべきＶＰＮクライアント装置のＩＰアドレスを受信し、記憶装置に格納する手段と、
    前記ＶＰＮサーバと前記特定のＶＰＮクライアント装置との間で前記ＶＰＮ接続が確立している状態において、前記ＶＰＮ接続とは異なる通信手段による、前記特定のサーバへのアクセス要求データを受信した場合、前記アクセス要求データの送信元のＩＰアドレスと前記記憶装置に格納されているＩＰアドレスとに基づき、前記ＶＰＮ接続とは異なる通信手段による前記特定のサーバへのアクセスを許可するか判定する手段と、
    を有するアプリケーション・ゲートウェイ・サーバ。
15. ユーザ端末と接続し且つＶＰＮサーバとの通信においてＶＰＮ接続を実現するためのＶＰＮクライアント装置であって、
    所定の認証サーバ、前記ＶＰＮサーバ及びアプリケーション・ゲートウェイ・サーバのいずれかから、前記アプリケーション・ゲートウェイ・サーバにおいて中継可能なサーバ・サービスに関するデータ、前記アプリケーション・ゲートウェイ・サーバのＩＰアドレス、前記アプリケーション・ゲートウェイ・サーバにおける処理方法に関するデータ及び中継不可能な宛先ＩＰアドレスを受信した場合、ゲートウェイ関連データとして記憶装置に格納する手段と、
    前記ＶＰＮサーバとの間で前記ＶＰＮ接続が確立している状態において、前記ユーザ端末から、特定のサーバへのアクセス要求データを受信した場合、前記ゲートウェイ関連データを用いて、前記ＶＰＮサーバを経由する通信経路と前記アプリケーション・ゲートウェイ・サーバを経由する通信経路とその他の通信経路とのうち、いずれかの通信経路を設定する手段と、
    前記通信経路が前記アプリケーション・ゲートウェイ・サーバを経由する通信経路に設定された場合、前記ゲートウェイ関連データを用いて、前記アプリケーション・ゲートウェイ・サーバが中継可能な態様の前記特定のサーバへのアクセス要求データを前記アプリケーション・ゲートウェイ・サーバに送信する手段と、
    を有するＶＰＮクライアント装置。
16. ＶＰＮクライアント装置との通信においてＶＰＮ接続を実現するためのＶＰＮサーバであって、
    前記ＶＰＮクライアント装置と通信を行い且つ特定のサーバへのアクセスを制御するアプリケーション・ゲートウェイ・サーバから、前記アプリケーション・ゲートウェイ・サーバにおいて中継可能なサーバ・サービスに関するデータ、前記アプリケーション・ゲートウェイ・サーバのＩＰアドレス及び前記アプリケーション・ゲートウェイ・サーバにおける処理方法に関するデータの少なくともいずれかを受信した場合、ゲートウェイ関連データとして記憶装置に格納する手段と、
    前記ＶＰＮクライアント装置との間でＶＰＮ接続を確立する場合、ＶＰＮ接続応答と前記ゲートウェイ関連データとを前記ＶＰＮクライアント装置に送信する手段と、
    を有するＶＰＮサーバ。

Images