JP2006020089A

JP2006020089A - 端末装置、ｖｐｎ接続制御方法、及び、プログラム

Info

Publication number: JP2006020089A
Application number: JP2004196054A
Authority: JP
Inventors: Seiji Mita; 聖二三田; Naohisa Fukuda; 尚久福田; Mitsuteru Okazaki; 光輝岡崎
Original assignee: Japan Communications Inc
Current assignee: Japan Communications Inc
Priority date: 2004-07-01
Filing date: 2004-07-01
Publication date: 2006-01-19

Abstract

【課題】
接続されたネットワーク環境に応じて、自動的にＶＰＮ接続の要否を判定し、切り替えることのできる端末装置、ＶＰＮ接続制御方法、及び、プログラムを提供する。
【解決手段】
ＩＰアドレスを動的に付与するＤＨＣＰサーバに対してＩＰアドレスを要求して自動設定するよう設定された端末装置において、所定のローカルエリアネットワークに接続するためのＶＰＮ設定手段と、前記ＤＨＣＰサーバより付与されたＩＰアドレスと、サブネットマスクからネットワークアドレスを求めるネットワークアドレス取得部と、前記ネットワークアドレスが予め定めるアドレスであるか否かに応じて、ＶＰＮ接続を構成するか否かを決定し前記ＶＰＮ設定手段を起動する制御部と、を備える。
【選択図】
図２

Description

本発明は、端末装置、ＶＰＮ接続制御方法、及び、プログラムに関し、特に、接続されたネットワーク環境に応じて、自動的にＶＰＮ接続を切り替える技術に関する。

企業内のローカルエリアネットワーク（ＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ；以下、ＬＡＮという）に、インターネットを介して、情報の改ざんや盗聴を受けることなく、やり取りするために、ＶＰＮ（ＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ；仮想専用網）が用いられている。例えば、特開２００２−４４０７６号公報には、ネットワーク接続サービス事業者と、ネットワークアドレス、ＵＲＬ（ＵｎｉｆｏｒｍＲｅｓｏｕｒｃｅＬｏｃａｔｏｒ）、ドメイン名等を関連付けた接続先制御情報を用意しておき、接続先のネットワークアドレス、ＵＲＬ、ドメイン等に応じて、ネットワーク接続サービス事業者、即ち、ＲＡＳ（リモートアクセスサーバ）を自動的に切り替える技術が紹介されている。同公報によれば、ＶＰＮを利用したいネットワークアドレス、ＵＲＬ、ドメイン名等と、ＶＰＮを利用した接続サービスを提供する事業者を関連付けておけば、接続先を間違えて、重要な情報を秘匿性の低い経路で流してしまうといった事態を防止できるとされている。

特開２００２−４４０７６号公報

ところで、端末装置が移動して、セキュリティ環境が異なるネットワークへの接続が行われるような環境では、上記ＶＰＮ接続とＶＰＮを用いない通常接続とを使い分けるべき状況が生じている。例えば、企業の従業員が、貸与されたポータブルコンピュータ等を、自宅に持ち帰り、インターネットを介して当該企業のＬＡＮに接続する場合には、ＶＰＮを通信手段に組み入れてネットワーク接続を行う必要があるが、そのポータブルコンピュータ等を、十分なセキュリティ対策が施された社内ＬＡＮに直接接続して利用する場合には、ＶＰＮの組み入れは不要である。このような使い分けを実現するには、自宅での運用時にはＶＰＮ接続とし、社内でのＬＡＮ接続時にはＶＰＮ接続を外すといった通信設定の煩雑な変更操作を余儀なくされてしまう。

また、上述のように、外部から、情報資産を保持するＬＡＮへの接続を認めるとしても、経路上での盗聴や改ざん、好ましくないソフトウェアの組み込み等を防ぎネットワーク全体のセキュリティを確保していく上では、ＶＰＮ接続が保証されるような仕組みの提案が望まれている。

本発明は、上記した事情に鑑みてなされたものであって、接続されたネットワーク環境に応じて、自動的にＶＰＮ接続の要否を判定し、切り替えることのできる端末装置、ＶＰＮ接続制御方法、及び、プログラムを提供することを目的とする。

前記課題を解決するための手段を提供する本発明の第１の視点によれば、ＩＰアドレスを動的に付与するＤＨＣＰ（ＤｙｎａｍｉｃＨｏｓｔＣｏｎｆｉｇｕｒａｔｉｏｎＰｒｏｔｏｃｏｌ）サーバに対してＩＰアドレスと、サブネットマスクとを要求して自動設定するよう設定された端末装置であって、所定のローカルエリアネットワークに接続するためのＶＰＮクライアント・プログラムと、ネットワークアドレス取得部と、前記ネットワークアドレスからネットワーク環境を自動判定して、ＶＰＮ接続の要否を含めた接続環境を構成する端末装置が提供される。より具体的には、前記端末装置は、ネットワークアドレス取得部によって、前記ＤＨＣＰサーバより付与されたＩＰアドレスと、サブネットマスクからネットワークアドレスを求め、このネットワークアドレスが予め定めるアドレスであるか否かに応じて、ＶＰＮ接続を構成するか否かを決定し前記ＶＰＮクライアント・プログラムの起動を制御する制御部と、を備える。

また、本発明の第２の視点によれば、ＤＨＣＰサーバを用いてＩＰアドレスを自動設定するよう設定された端末装置におけるＶＰＮ接続制御方法が提供される。より具体的には、このＶＰＮ接続制御方法は、前記端末装置が、ＤＨＣＰサーバから付与されたＩＰアドレスとサブネットマスクからネットワークアドレスを求めるステップ、前記端末装置が、前記ネットワークアドレスが予め定めるアドレスに一致するか否かを判定するステップ、前記ネットワークアドレスが予め定めるアドレスに一致する場合に、前記端末装置が、前記ＶＰＮクライアント・プログラムを起動しＶＰＮ接続を構成するステップと、を含んで構成される。

また、本発明の第３の視点によれば、所望のコンピュータにインストールして、上記端末装置を構成するためのプログラムが提供される。

本発明によれば、端末装置のユーザを煩わせることなく、接続されたネットワーク環境に応じ、自動的にＶＰＮ接続の要否を判定し、切り替えることが可能となる。また、予め端末装置に登録する特定のネットワークからの接続である限りにおいて、ＶＰＮ接続を行うことも保証される。

続いて、本発明のその好ましい実施の形態について図面を参照して詳細に説明する。図１は、本発明の一実施の形態に係る端末装置と、接続するネットワークによって変動するＩＰアドレスの関係を説明するための図である。図１を参照すると、端末装置１と、移動体通信事業者網のＤＨＣＰサーバ２と、端末装置１の所有者の自宅等の家庭内ＬＡＮのＤＨＣＰサーバ３と、端末装置１の所有者の勤務先等の企業内ＬＡＮのＤＨＣＰサーバ４と、公衆無線ＬＡＮのアクセスポイント装置５とが示されている。図１のＩＰは、ＩＰアドレスであり、ＳＮは、サブネットマスクである。

端末装置１は、ノート型、タブレット型を典型とする可搬型の情報処理装置である。端末装置１は、ＰＨＳ、有線ＬＡＮ、無線ＬＡＮによる通信機能のうち少なくとも１つを有している。これらの通信機能は、当該通信用のカード型アダプタ等をカードスロット等に装着することによって、具備されるものであっても良い。

また、端末装置１は、図示しないその記憶装置に、ホームネットワークアドレスとして、企業内の安全なネットワークから接続していることを示す複数のネットワークアドレスを記憶することが可能となっている。これらの記憶されたホームネットワークアドレスは、後述するＶＰＮ接続を行うべきか否かの判定の際に参照される。ここでは、ホームネットワークアドレスとして、３２ビット構成のＩＰｖ４（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌｖｅｒｓｉｏｎ４）で、１９２．１６８．２．６４が定義済みであるものとして説明する。

移動体通信事業者網のＤＨＣＰサーバ２は、ＰＨＳ（ＰｅｒｓｏｎａｌＨａｎｄｙＰｈｏｎｅＳｙｓｔｅｍ）通信事業者のデータ通信ネットワーク上に配されたＤＨＣＰサーバである。移動体通信事業者網のＤＨＣＰサーバ２は、ＰＨＳ機能を介した端末装置１からのＤＨＣＰ存在確認パケット（ＤＨＣＰＤＩＳＣＯＶＥＲ）に応答する機能、ＩＰアドレス要求パケット（ＤＨＣＰＲＥＱＵＥＳＴ）に応じて、ＩＰアドレスデータベース（スコープ）を参照してＩＰアドレスとサブネットマスクを決定して通知する機能とを備えている。

端末装置１の所有者の自宅等の家庭内ＬＡＮのＤＨＣＰサーバ３、端末装置１の所有者の企業内ＬＡＮのＤＨＣＰサーバ４、公衆無線ＬＡＮのアクセスポイント装置５も、上記した移動体通信事業者網のＤＨＣＰサーバ２と同様の機能を有している。

続いて、本実施の形態の動作について図面を参照して説明する。図２は、端末装置１から所定の接続先にＶＰＮ接続する際に実行される動作を表した図である。図２を参照すると、まず、端末装置１は、現在所属するネットワークのＤＨＣＰサーバから通知されたＩＰアドレスとサブネットマスクの論理積によりネットワークアドレスを得る（ステップＳ００１）。例えば、３２ビット構成のＩＰｖ４において、ＩＰアドレス：１９２．１６８．２．６６、サブネットマスク：２５５．２５５．２５５．１９２が与えられたならば、ネットワークアドレスは、１９２．１６８．２．６４と演算される。

続いて、端末装置１は、演算されたネットワークアドレスと、記憶装置に定義されたホームネットワークアドレスとを比較・照合する（ステップＳ００２）。

ここで、演算されたネットワークアドレスが、記憶装置に定義されたホームネットワークアドレスのいずれかと同一である場合、端末装置１は、現在接続しているネットワークが、企業内の安全なネットワークであり、ＶＰＮ接続に必要なＶＰＮクライアント・プログラムを組み入れずに、ＴＣＰ／ＩＰプロトコルにＶＰＮを加えないプロトコルスタックを構成する（ステップＳ００４；非ＶＰＮ構成）。例えば、上記ステップＳ００１において、ネットワークアドレスとして、１９２．１６８．２．６４が得られた場合、１９２．１６８．２．６４はホームネットワークアドレスとして、定義済みであるため、非ＶＰＮ構成が採られる。

一方、ステップＳ００１にて演算されたネットワークアドレスが、記憶装置に定義されたホームネットワークアドレスのいずれとも一致しない場合、端末装置１は、現在接続しているネットワークが、企業内の安全なネットワークではなく、ＶＰＮ接続に必要なＶＰＮクライアント・プログラムを組み入れ、ＴＣＰ／ＩＰプロトコルにＶＰＮを加えないプロトコルスタックを構成する（ステップＳ００５；ＶＰＮ構成）。

このようにして、ＤＨＣＰサーバから得られる情報からネットワークアドレスを求めて、これに基いて、接続中のネットワークを自動的に判別し、ＶＰＮ接続の要否を判断することができる。例えば、特定の企業内ＬＡＮにアクセスする場合には、原則的にＶＰＮ接続を要求するところ、同一の企業内のＬＡＮやその他の認められたＬＡＮからアクセスする場合には、定義済のホームネットワークアドレスと同一のネットワークアドレスが必ず得られるようにしておけば、ＶＰＮを外す構成を得ることができる。

また、ＶＰＮの接続の選択によってもたらされる従来の端末装置ユーザの負担は解消される。従って、従来の方式をそのまま適用した場合に危惧された接続設定の直し忘れに伴う、非ＶＰＮ接続による重要データの送受信、システムに負担をかけるだけの無用のＶＰＮ接続の継続等がなされることを防止することができる。

また、上記した実施の形態では、ホームネットワークアドレスとして、ＶＰＮ接続を行わないネットワークアドレスを登録しておくこととして説明したが、本発明の原理に照らせば、ＶＰＮ接続を行うべきネットワークアドレスを登録しておき、演算されたネットワークアドレスと同一の場合に、ＶＰＮ接続を行うようにしてもよい。

また、上記した実施の形態では特に言及していないが、よりセキュアな運用を行う観点からすれば、接続先となるＬＡＮとの間にＶＰＮを構成可能な場合にのみ、特定のＬＡＮへのアクセスができるようにし、他の経路からのアクセスを認めないような通信制御を行うものとしてもよい。このようにすれば、非ＶＰＮ接続を適用する状況をごく限られた場合に限定することができる。従って、企業等が、社員等に対して端末装置を貸与し、自宅等から企業内のネットワークへの接続を認めるような運用を行う場合においても、ＶＰＮを介さない接続が行われて、盗聴、改ざんが行われたり、好ましくないソフトウェアが組み込まれる等の事態を防止することができる。また、企業内ＬＡＮやこれと同等の安全が保証されるＬＡＮ間でのみＶＰＮが自動的に外されるため、システムへの負担や処理速度の面で悪影響が出ることも抑止される。

また、上記した実施の形態では、３２ビット構成のＩＰｖ４の例をあげて説明したが、ＩＰｖ６（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌｖｅｒｓｉｏｎ６）においても、同様に適用可能であることは勿論である。

端末装置と、接続先毎に変動するＩＰアドレス等の関係を説明するための図である。本発明の一実施の形態の動作を説明するためのフローチャートである。

符号の説明

１端末装置
２、３、４ＤＨＣＰサーバ
５無線ＬＡＮアクセスポイント装置

Claims

ＩＰアドレスを動的に付与するＤＨＣＰ（ＤｙｎａｍｉｃＨｏｓｔＣｏｎｆｉｇｕｒａｔｉｏｎＰｒｏｔｏｃｏｌ）サーバに対してＩＰアドレスと、サブネットマスクとを要求して自動設定するよう設定された端末装置であって、
所定のローカルエリアネットワークに接続するためのＶＰＮ（ＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ）クライアント・プログラムと、
前記ＤＨＣＰサーバより付与されたＩＰアドレスと、サブネットマスクからネットワークアドレスを求めるネットワークアドレス取得部と、
前記ネットワークアドレスが予め定めるアドレスであるか否かに応じて、ＶＰＮ接続を構成するか否かを決定し前記ＶＰＮクライアント・プログラムの起動を制御する制御部と、を備えること、
を特徴とする端末装置。
請求項１に記載の端末装置において、更に、
前記所定のローカルエリアネットワークとの間にＶＰＮ（ＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ）を構成可能な場合に、前記所定のローカルエリアネットワークに限ってアクセスを許可し、他のネットワークへのアクセスを禁止する通信制御部を備えること、
を特徴とする端末装置。
所定のローカルエリアネットワークに接続するためのＶＰＮ（ＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ）クライアント・プログラムを備えると共に、ＩＰアドレスを動的に付与するＤＨＣＰ（ＤｙｎａｍｉｃＨｏｓｔＣｏｎｆｉｇｕｒａｔｉｏｎＰｒｏｔｏｃｏｌ）サーバに対してＩＰアドレスと、サブネットマスクとを要求して自動設定するよう設定された端末装置におけるＶＰＮ接続制御方法であって、
前記端末装置が、ＤＨＣＰサーバから付与されたＩＰアドレスとサブネットマスクからネットワークアドレスを求めるステップと、
前記端末装置が、前記ネットワークアドレスが予め定めるアドレスに一致する否かを判定するステップと、
前記端末装置が、前記ネットワークアドレスが予め定めるアドレスに一致する場合に、前記ＶＰＮクライアント・プログラムを起動しＶＰＮ接続を構成するステップと、を含むこと、
を特徴とするＶＰＮ接続制御方法。
所定のローカルエリアネットワークに接続するためのＶＰＮ（ＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ）クライアント・プログラムを備えると共に、ＩＰアドレスを動的に付与するＤＨＣＰ（ＤｙｎａｍｉｃＨｏｓｔＣｏｎｆｉｇｕｒａｔｉｏｎＰｒｏｔｏｃｏｌ）サーバに対してＩＰアドレスと、サブネットマスクとを要求して自動設定するよう設定された端末装置におけるＶＰＮ接続制御方法であって、
前記端末装置が、ＤＨＣＰサーバから付与されたＩＰアドレスとサブネットマスクからネットワークアドレスを求めるステップと、
前記端末装置が、前記ネットワークアドレスが予め定めるアドレスに一致するか否かを判定するステップと、
前記端末装置が、前記ネットワークアドレスが予め定めるアドレスに一致しない場合に、前記ＶＰＮクライアント・プログラムを起動しＶＰＮ接続を構成するステップと、を含むこと、
を特徴とするＶＰＮ接続制御方法。
請求項３又は４に記載のＶＰＮ接続制御方法において、
前記端末装置は、所定のローカルエリアネットワークとの間にＶＰＮを構成可能な場合に限り、前記所定のローカルエリアネットワークに限ってアクセスできるよう制限されていること、
を特徴とする通信制御方法。
所定のローカルエリアネットワークに接続するためのＶＰＮ（ＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ）クライアント・プログラムを備えると共に、ＩＰアドレスを動的に付与するＤＨＣＰ（ＤｙｎａｍｉｃＨｏｓｔＣｏｎｆｉｇｕｒａｔｉｏｎＰｒｏｔｏｃｏｌ）サーバに対してＩＰアドレスとサブネットマスクとを要求して自動設定するよう設定された端末装置を構成するコンピュータにおいて、前記所定のローカルエリアネットワークへの接続処理に先立って実行させるプログラムであって、
ＤＨＣＰサーバから付与されたＩＰアドレスとサブネットマスクからネットワークアドレスを求める処理と、
前記ネットワークアドレスが予め定めるアドレスに一致するか否かを判定する処理と、
前記判定結果に応じて、前記ＶＰＮクライアント・プログラムを起動するか否かを決定し、前記決定結果に基いて前記所定のローカルエリアネットワークへの接続準備を行う処理と、の前記各処理を前記コンピュータに実行させるプログラム。
請求項６に記載のプログラムにおいて、
前記所定のローカルエリアネットワークとの間にＶＰＮ（ＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ）を構成可能な場合に限り、前記所定のローカルエリアネットワークに限ってアクセスできるよう制限すること、
を特徴とするプログラム。