JP2006262131A - 通信制御システム及び方法 - Google Patents

Abstract

【課題】異なる接続先に同時に接続でき、且つ必要に応じて接続先を追加、削除、変更することを可能とする通信制御システム及び方法を提供する。
【解決手段】本発明は、ＶＰＮクライアント端末１が複数のアプリケーションに対応付けられた複数の仮想インタフェース１２を実装した物理インタフェース１３を介してリモートアクセスする場合において接続先のネットワークの変更を制御する通信制御システムであって、上記ＶＰＮクライアント端末１より接続先の変更要求がなされた場合、当該端末１のユーザのポリシに基づいて上記仮想インタフェース１２の更新の可否を判断し、仮想インタフェース１２の更新を認める場合には、更新後のアドレスの情報を取得し、当該アドレスの情報を上記端末１に通知するセンタ側ＶＰＮ終端装置２を有する。
【選択図】 図１

Description

本発明は、例えばリモートアクセス時にＶＰＮ(Virtual Private Network)接続先のネットワークを変更するために所謂仮想インタフェースをマネジメントする通信制御システム及び方法に関する。

従来、ＩＰｓｅｃ(Internet Protocol security)、ＳＳＬ(Secure Socket Layer)、ＰＰＴＰ(Point-to-Point Tunneling Protocol)、Ｌ２ＴＰ(Layer2 Tunneling Protocol)等といった所謂トンネリングプロトコルを利用したネットワークの接続方式としてのＶＰＮ接続を行った場合において、接続先のネットワークを変更するときに、接続先のルーチングテーブルを変更する技術が開発されている。即ち、この技術では、アクセス先のＶＬＡＮ側のルータのＡＣＬ(Access Control List)を動的に変更することにより、リモートアクセスユーザの接続先ネットワークを制御することとしている。このほか、ＩＰパケットのヘッダの中に含まれるフィールドの一つであるのＴＯＳ(Type Of Service)フィールドに所定の命令を包含させ接続先のネットワークを変更する技術もある。

しかしながら、上記従来技術では、接続先のネットワークとＶＰＮクライアント端末とが１対１で対応しているため、用途に応じて（例えば、セキュリティレベルの高い情報を取り扱うための接続先のネットワークの切り換え等）ネットワークを使い分けることができず、その都度、接続先のネットワークを変更する必要がある。

本発明の目的とするところは、異なる接続先に同時に接続でき、且つ必要に応じて接続先を追加、削除、変更等することを可能とすることにある。

上記目的を達成するために、本発明の第１の態様では、クライアント端末が複数のアプリケーションに対応付けられた複数の仮想インタフェースを実装した物理インタフェースを介してリモートアクセスする場合において接続先のネットワークの変更を制御する通信制御システムであって、上記クライアント端末より接続先の変更要求がなされた場合、当該クライアント端末のユーザのポリシに基づいて上記仮想インタフェースの更新の可否を判断し、仮想インタフェースの更新を認める場合には、更新後のアドレスの情報を取得し、当該アドレスの情報を上記クライアント端末に通知する終端装置、を有することを特徴とする通信制御システムが提供される。

本発明の第２の態様では、クライアント端末が複数のアプリケーションに対応付けられた複数の仮想インタフェースを実装した物理インタフェースを介してリモートアクセスする場合において接続先のネットワークの変更を制御する通信制御システムであって、所定の場合にトリガを発生するトリガ装置と、上記トリガ装置より接続先の変更に係るトリガを受けた場合に、当該クライアント端末のユーザのポリシに基づいて仮想インタフェースの更新の可否を判断し、更新を認める場合には更新後のアドレスの情報を取得し、当該アドレスの情報を上記クライアント端末に通知する終端装置と、を有することを特徴とする通信制御システムが提供される。

本発明の第３の態様では、クライアント端末が複数のアプリケーションに対応付けられた複数の仮想インタフェースを実装した物理インタフェースを介してリモートアクセスする場合において接続先のネットワークの変更を制御する通信制御システムであって、クライアント端末のユーザのポリシを管理するグループスケジューラと、グループ許可テーブルとクライアント管理テーブルとを保持し、上記クライアント端末のネットワークへの接続を制御する終端装置と、を具備し、上記クライアント端末より接続先の変更の要求がなされた場合には、上記終端装置が上記グループ許可テーブルを参照して上記仮想インタフェースの変更或いは追加の可否を判断し、上記グループスケジューラが当該クライアント端末のユーザのポリシに基づき上記仮想インタフェースの変更或いは追加の可否を判断し、終端装置は、これら判断結果に基づいて上記仮想インタフェースの変更或いは追加を認める場合には、仮想インタフェース設定情報を取得し、当該情報に基づいて上記クライアント管理テーブルを更新し、当該仮想インタフェース設定情報を上記クライアント端末に通知する、ことを特徴とする通信制御システムが提供される。

本発明の第４の態様では、クライアント端末が複数のアプリケーションに対応付けられた複数の仮想インタフェースを実装した物理インタフェースを介してリモートアクセスする場合において接続先のネットワークの変更を制御する通信制御システムであって、所定の場合にトリガを発生するトリガ装置と、クライアント端末のユーザのポリシを管理するグループスケジューラと、グループ許可テーブルとクライアント管理テーブルとを保持し、上記クライアント端末のネットワークへの接続を制御する終端装置と、を具備し、上記トリガ装置より接続先の変更に係るトリガを受けた場合に、上記終端装置が上記グループ許可テーブルを参照して上記仮想インタフェースの変更或いは追加の可否を判断し、上記グループスケジューラが当該クライアント端末のユーザのポリシに基づき上記仮想インタフェースの変更或いは追加の可否を判断し、終端装置は、これら判断結果に基づいて上記仮想インタフェースの変更或いは追加を認める場合には、仮想インタフェース設定情報を取得し、当該情報に基づいて上記クライアント管理テーブルを更新し、当該仮想インタフェース設定情報を上記クライアント端末に通知する、ことを特徴とする通信制御システムが提供される。

本発明の第５の態様では、上記第１乃至第４の態様において、上記クライアント端末は、少なくともアプリケーションＩＤと接続先グループを対応付けて管理するアプリケーション許可テーブルを保持し、アプリケーションの起動時には上記アプリケーション許可テーブルにより当該アプリケーションの仮想インタフェースへの対応付けの可否を判断する、ことを更に特徴とする通信制御システムが提供される。

本発明の第６の態様では、上記第１乃至第４の態様において、上記クライアント端末は、アプリケーションの起動時には、電子証明書の情報に基づいて当該アプリケーションの仮想インタフェースへの対応付けの可否を判断する、ことを更に特徴とする通信制御システムが提供される。

本発明の第７の態様では、クライアント端末が複数のアプリケーションに対応付けられた複数の仮想インタフェースを実装した物理インタフェースを介してリモートアクセスする場合において接続先のネットワークの変更を制御する通信制御方法であって、終端装置が、接続先の変更要求を受理した場合、当該クライアント端末のユーザのポリシに基づいて上記仮想インタフェースの更新の可否を判断し、仮想インタフェースの更新を認める場合には、更新後のアドレスの情報を取得し、当該アドレスの情報を上記クライアント端末に通知する、ことを特徴とする通信制御方法が提供される。

本発明によれば、異なる接続先に同時に接続でき、且つ必要に応じて接続先を追加、削除、変更等することを可能とする通信制御システム及び方法を提供することができる。

以下、図面を参照して、本発明の実施の形態について説明する。

先ず、図１には本発明の第１乃至第４の実施の形態に係る通信制御システムに共通する基本構成図を示し説明する。図１に示されるように、ＶＰＮクライアント端末１は、センタ側ＶＰＮ終端装置２を介してリモートアクセス先のＬ３デバイス３に接続され、当該Ｌ３デバイス３を介して各グループ１９に接続される。ＶＰＮクライアント端末１は仮想インタフェース１２を搭載した物理インタフェース１３を有する。ここでは、両者を分離して図示しているが、実際にはグループ１９のＩＤを仮想的インタフェース１２に対応付けることで、アプリケーション１１ａ，１１ｂ，１１ｃ…と仮想インタフェース１２との紐付けを行っている。

センタ側ＶＰＮ終端装置２は、それぞれＶＰＮクライアント端末１との通信のための物理インタフェース１５、Ｌ３デバイス３との通信のための物理インタフェース１６を有している。Ｌ３デバイス３は、このセンタ側ＶＰＮ終端装置２との通信のための物理インタフェース１７とグループ１９の各々に対応する仮想インタフェース１８とを有している。

この他、本システムは、接続ポリシの管理を行うグループスケジューラ４、どのようなタイミングでネットワークを切り換えるかを制御する（例えば検疫システム等）トリガシステム５、後述する各種テーブルを管理するコントローラ６を有する。

この通信制御システムでは、複数の仮想インタフェース１２を１つの物理インタフェース１３に搭載しており、当該仮想インタフェース１２を通してアプリケーション（例えばブラウザやメーラー等）１１ａ，１１ｂ，１１ｃ…（以下、符号１１で総称する）が用途に応じて仮想インタフェース１２を使い分ける。つまり、アプリケーション１１ａ，１１ｂ，１１ｃ…と仮想インタフェース１２とを紐付けている。

より具体的には、グループ１９（狭義にはVLANを指す）のＩＤを仮想的インタフェース１２に対応付けることで、アプリケーション１１ａ，１１ｂ，１１ｃ…と仮想インタフェース１２との紐付けを行う。これを実現するために、本システムでは、アプリケーション１１ａ，１１ｂ，１１ｃ…の認証、アプリケーション１１ａ，１１ｂ，１１ｃ…のグループの割り当て、仮想インタフェース１２の管理（追加、削除、変更）を行う。

ここで、センタ側ＶＰＮ終端装置２は、図２に示されるＶＰＮクライアント管理テーブルと、図３に示されるグループ許可テーブルと、を保持している。

即ち、ＶＰＮクライアント管理テーブルでは、ＶＰＮクライアントユーザ名とグループＩＤ、ＶＰＮ用ＩＰアドレス、実ＩＰアドレス等が対応付けられて記憶されている。このＶＰＮクライアント管理テーブルは随時更新される。その一方、グループ許可テーブルでは、ユーザＩＤと接続可能グループリスト、デフォルトグループが対応付けられて記憶されている。このグループ許可テーブルは、事前に登録されており、センタ側ＶＰＮ終端装置２で保持もしくは初回認証時にＶＰＮクライアント端末１に当該クライアントに関連する部分が配信される。

グループスケジューラ４は、図４に示されるテーブルを保持している。

即ち、このテーブルでは、ユーザＩＤと時間制約、曜日制約等の制約条件が対応付けられて記憶されている。このテーブルはグループスケジューラ４上で随時更新されるが、その更新の頻度は上記ＶＰＮクライアント管理テーブルの更新に比して少ない。このテーブルでは、ユーザ毎の設定のみならず、グループ毎の設定をも管理することができる。

ＶＰＮクライアント端末１は、図５に示されるような仮想インタフェーステーブルを保持している。即ち、この仮想インタフェーステーブルでは、グループＩＤとＶＰＮ用ＩＰアドレス、接続中アプリケーションの種別(特定)情報が対応付けられている。この仮想インタフェーステーブルは、ＶＰＮクライアント端末１上で起動されるアプリケーションの状況等に応じて随時更新されるようになっている。尚、接続中のアプリケーションが存在する場合には、仮想インタフェース１２の上書きは禁止される。ただし、仮想インタフェースの削除要求を受信した場合は、アプリケーションの存在に関わらず仮想インタフェースの削除が実行される。

コントローラ６は、図６に示されるアプリケーション許可テーブルを保持している。

即ち、このアプリケーション許可テーブルでは、ユーザ名とアプリケーションＩＤ、接続先グループが対応付けられて記憶されている。このテーブルは事前に登録されるものであり、当該テーブルに登録されているアプリケーション１１のみが認証され、認証されたアプリケーション１１は接続先グループの仮想インタフェースにバインドされる。

以上の構成において、ＶＰＮクライアント端末１が接続先グループ１９と通信するために設ける仮想インタフェース１２について接続先を変更する方法は２通りである。

（１）仮想インタフェース１２を上書きする方法
（２）仮想インタフェース１２を新たに追加する方法
（３）仮想インタフェース１２を削除する方法
さらに、仮想インタフェース１２を利用するアプリケーション１１を仮想インタフェース１２へ割り当てる方法は２通りである。

（４）アプリケーション許可テーブル(図６)を用いる方法
（５）電子証明書を用いる方法
以下、上記各場合（１）〜（５）を第１乃至第４の実施の形態として説明する。

(第１の実施の形態)
本発明の第１の実施の形態に係る通信制御システムでは、接続先ネットワークの変更を実現するために、仮想インタフェース１２を上書きする。ここで、「仮想インタフェース１２の上書き」とは、仮想インタフェース１２に割り当てるＩＰアドレスを再度割り当て直すことをいう。具体的には、アドレス変更のタイプと検疫システムの有無により以下の４つのパターンに分類される。即ち、「Ｐｕｓｈ型（サーバ側から変更）」について、検疫システム無しのパターン１と検疫システム有のパターン２、「Ｐｕｌｌ型（クライアント側から変更）」について、検疫システム無しのパターン３と検疫システム有のパターン４、の４つである。そして、「検疫システム無」とはＩＰアドレス変更のトリガを特定しないことを意味し、「検疫システム有」とはトリガを検疫システムに限定することを意味する。アドレス変更について、「Ｐｕｓｈ型」とはＶＰＮクライアント端末１のＩＰアドレスをセンタ側ＶＰＮ終端装置２が強制変更することを意味し、「Ｐｕｌｌ型」とはＶＰＮクライアント端末１がＩＰアドレス変更を要求することを意味する。

以下、図７のフローチャートを参照して、本発明の第１の実施の形態に係る通信制御システムによるＶＰＮクライアント端末１の初回接続時の処理を説明する。

ＶＰＮクライアント端末１とセンタ側ＶＰＶ終端装置２との間でＶＰＮ接続が開始されると（ステップＳ１）、センタ側ＶＰＮ終端装置２はグループスケジューラ４にポリシの問い合わせを行う（ステップＳ２）。グループスケジューラ４には、接続するＶＰＮクライアント端末１（ユーザ）のポリシが図４に示したようなテーブルで登録されているので、当該テーブルの制約条件に基づいてＶＰＮクライアント端末１による接続の可否を判定し当該判定結果（ＯＫ／ＮＧ）をセンタ側ＶＰＮ終端装置２に送信する（ステップＳ４）。

センタ側ＶＰＮ終端装置２は、この判定結果がＮＧ（制約に合致）の場合には、ＶＰＮクライアント端末１に対してＶＰＮ接続を拒否する旨を通知する（ステップＳ５）。

一方、この判定結果がＯＫ（制約に該当せず）の場合には、センタ側ＶＰＮ終端装置２は図３に示したグループ許可テーブルを参照し、ユーザＩＤに対応するデフォルトグループの情報を取得し、例えばＤＨＣＰサーバより当該デフォルトグループのネットワーク設定情報を取得する(ステップＳ７)。ここで、「グループ」とは、接続先のネットワークの一つ一つを意味しており、狭義にはＶＬＡＮが該当する。「デフォルトグループ」とは、最初にＶＰＮ接続された時点で接続されるグループをいう。

続いて、センタ側ＶＰＮ終端装置２は、コントローラ６よりアプリケーション許可テーブル或いは電子証明書を取得し（ステップＳ８）、これら情報に基づいて図２に示したＶＰＮクライアント管理テーブルを更新し（ステップＳ９）、更にルーチングテーブルを更新して（ステップＳ１０）、例えばＯＳＰＦ等のプロトコルによりルーチング情報をＬ３デバイス３に通知すると共に（ステップＳ１１）、仮想インタフェース設定情報（例えばＩＰアドレス、サブネットマスク等）をＶＰＮクライアント端末１に通知し（ステップＳ１２）、ＶＰＮ接続を完了する（ステップＳ１３）。尚、電子証明書にはユーザ毎のアプリケーション許可テーブルが情報として含められている。

次に図８のフローチャートを参照して、本発明の第１の実施の形態に係る通信制御システムにおいてＶＰＮクライアント端末１からの働きかけにより接続先のネットワークを変更する場合（Ｐｕｌｌ型）の動作を説明する。

センタ側ＶＰＮ終端装置２がＶＰＮクライアント端末１を特定のグループに接続済みの状況において（ステップＳ２１）、ＶＰＮクライアント端末１が仮想インタフェーステーブル（図５）を参照し、どのグループに現在接続されているかを把握した上で変更先を特定し（ステップＳ２２）、センタ側ＶＰＮ終端装置２に対して接続先の変更要求を行うと（ステップＳ２３）、センタ側ＶＰＮ終端装置２は、この要求を受け、グループ許可テーブル(図３)を参照し、変更する資格があるか否かを判定し、資格が無い場合には、その旨（ＮＧ）をＶＰＮクライアント端末１に通知する。

一方、資格がある場合には、グループスケジューラ４に対してポリシの問い合わせを行う（ステップＳ２５）。グループスケジューラ３には、接続するＶＰＮクライアント端末１（ユーザ）のポリシが図４に示したテーブルで登録されているので、当該テーブルの制約条件に基づいてＶＰＮクライアント端末１による接続の可否を判定し、当該判定結果（ＯＫ／ＮＧ）をセンタ側ＶＰＮ終端装置２に送信する（ステップＳ２６，Ｓ２７）。

センタ側ＶＰＮ終端装置２は、この判定結果をＶＰＮクライアント端末１に対して通知する（ステップＳ２８）。ＶＰＮクライアント端末１は、変更が許可された場合、センタ側ＶＰＮ終端装置２に対して仮想インタフェース設定情報を要求する（ステップＳ２９）。センタ側ＶＰＮ終端装置２は、この要求を受けると、ＤＨＣＰサーバより仮想インタフェース設定情報を取得する（ステップＳ３０）。センタ側ＶＰＮ終端装置２は、この情報に基づいて図２に示したＶＰＮクライアント管理テーブルを更新し（ステップＳ３１）、更にルーチングテーブルを更新し（ステップＳ３２）、例えばＯＳＰＦ等のプロトコルによりルーチング情報をＬ３デバイス３に通知すると共に（ステップＳ３３）、仮想インタフェース設定情報（例えばＩＰアドレス、サブネットマスク等）をＶＰＮクライアント端末１に通知する（ステップＳ３４）。以上で変更の処理を終了する。

次に図９のフローチャートを参照して、本発明の第１の実施の形態に係る通信制御システムにおいてトリガシステム５からの働きかけにより接続先のネットワークを強制変更する場合（Ｐｕｓｈ型）の動作を説明する。

例えば検疫システムとしてのトリガシステム５が、ウィルス感染の疑いを検知したような場合には、グループ変更トリガをコントローラ６に送信する（ステップＳ４０）。

このようなトリガが入ると、コントローラ６は、グループ変更要求をセンタ側ＶＰＮ終端装置２に送信する（ステップＳ４１）。センタ側ＶＰＮ終端装置２は、この要求を受けると、ＶＰＮクライアント管理テーブル(図２)を参照し、変更先の仮想インタフェースを所有している場合には、上書きの必要がないものと判断し、その旨をグループスケジューラ４、更にはトリガシステム５に通知する（ステップＳ４３）。

一方、変更先の仮想インタフェースを所有していない場合には、グループ許可テーブル（図３）を参照し、接続可能なグループリストを参照する（ステップＳ４４）。そして、変更先として定めることができないグループである場合には、仮想インタフェース１２を変更できない旨（ＮＧ）をコントローラ６に通知する（ステップＳ４５）。

これに対して、変更先として定めることができるグループである場合には、センタ側ＶＰＮ終端装置２はＶＰＮクライアント端末１に対してアプリケーションの接続状況の確認を要求する（ステップＳ４６）。アプリケーションが接続中である場合には仮想インタフェースの接続先を変更すると不具合が生じる可能性があるからである。

ＶＰＮクライアント端末１は、この要求を受けると、仮想インタフェーステーブル（図５）を参照して、接続中のアプリケーションの存在、状況を確認し（ステップＳ４７）、その確認結果に基づいて、変更先としてよいか否か（ＯＫ／ＮＧ）をセンタ側ＶＰＮ終端装置２に通知する（ステップＳ４８）。センタ側ＶＰＮ終端装置２は、この結果がＮＧである場合、コントローラ６に変更できない旨を通知する（ステップＳ４９）。

一方、結果がＯＫ、つまり変更可能である場合には、センタ側ＶＰＮ終端装置２は、グループスケジューラ４に対してポリシの問い合わせを行う（ステップＳ５０）。

このグループスケジューラ４には、接続するＶＰＮクライアント端末１（ユーザ）のポリシが図４に示したテーブルで登録されているので、当該テーブルの制約条件に基づいてＶＰＮクライアント端末１による接続の可否を判定し、当該判定結果（ＯＫ／ＮＧ）をセンタ側ＶＰＮ終端装置２に送信する（ステップＳ５１，Ｓ５２）。

センタ側ＶＰＮ終端装置２は、変更が許可された場合、ＤＨＣＰサーバより仮想インタフェース設定情報を取得し（ステップＳ５３）、この仮想インタフェース設定情報に基づいて図２に示したＶＰＮクライアント管理テーブルを更新し（ステップＳ５４）、ルーチングテーブルを更新し（ステップＳ５５）、例えばＯＳＰＦ等のプロトコルによりルーチング情報をＬ３デバイス３に通知すると共に（ステップＳ５６）、仮想インタフェース設定情報（例えばＩＰアドレス、サブネットマスク等）をＶＰＮクライアント端末１に通知する（ステップＳ５７）。以上で変更の処理を終了する。

(第２の実施の形態)
本発明の第２の実施の形態に係る通信制御システムでは、接続先ネットワークの変更を実現するために、仮想インタフェース１２を追加する。ここで、「仮想インタフェース１２を追加する」とは、新たに仮想インタフェース１２を作成し、ＩＰアドレスを割り当てることを意味する。この場合も第１の実施の形態と同様、４パターンに分類される。

本発明の第２の実施の形態に係る通信制御システムによるＶＰＮクライアント端末１の初回接続時の処理は第１の実施の形態と同様である。

次に図１０のフローチャートを参照して、本発明の第２の実施の形態に係る通信制御システムにおいてＶＰＮクライアント端末１からの働きかけにより接続先のネットワークを追加する場合（Ｐｕｌｌ型）の動作を説明する。

前提として、ＶＰＮクライアント端末１はＶＰＮ接続中である（ステップＳ８０）。そのような状況下、例えばアプリケーション１１が起動された場合等に、仮想インタフェースの追加のためのトリガが発生すると（ステップＳ８１）、ＶＰＮクライアント端末１はセンタ側ＶＰＮ終端装置２に仮想インタフェースの追加要求を行う（ステップＳ８２）。

センタ側ＶＰＮ終端装置２は、この要求を受けると、グループスケジューラ４に対してポリシの問い合わせを行う（ステップＳ８３）。グループスケジューラ３には、接続するＶＰＮクライアント端末１（ユーザ）のポリシが図４に示したテーブルで登録されているので、当該テーブルの制約条件に基づいてＶＰＮクライアント端末１による接続の可否を判定し、当該判定結果（ＯＫ／ＮＧ）をセンタ側ＶＰＮ終端装置２に送信する（ステップＳ８４，Ｓ８５）。センタ側ＶＰＮ終端装置２は、この判定結果がＮＧ（制約に合致）である場合には仮想インタフェースの追加ができない旨をＶＰＮクライアント端末１に対して通知する（ステップＳ８６）。一方、判定結果がＯＫ（制約に該当せず）である場合には、センタ側ＶＰＮ終端装置２は、ＤＨＣＰサーバより仮想インタフェース設定情報を取得し（ステップＳ８７）、ＶＰＮクライアント端末１に当該仮想インタフェース設定情報を通知する（ステップＳ８８）。ＶＰＮクライアント端末１は、この仮想インタフェース設定情報に基づいて仮想インタフェーステーブル（図５）を更新する（ステップＳ９２）。

次いで、センタ側ＶＰＮ終端装置２は、図２に示したＶＰＮクライアント管理テーブルを更新し（ステップＳ８９）、更にルーチングテーブルを更新し（ステップＳ９０）、例えばＯＳＰＦ等のプロトコルによりルーチング情報をＬ３デバイス３に通知する（ステップＳ９１）。以上で仮想インタフェースの追加処理（Ｐｕｌｌ型）を終了する。

次に図１１のフローチャートを参照して、本発明の第２の実施の形態に係る通信制御システムにおいてサーバ側からの働きかけにより接続先のネットワークを強制追加する場合（Ｐｕｓｈ型）の動作を説明する。

前提として、ＶＰＮクライアント端末１はＶＰＮ接続中である（ステップＳ１００）。そのような状況下で、例えば検疫システムとしてのトリガシステム５が、ウィルス感染の疑いを検知したような場合には、仮想インタフェース追加トリガをコントローラ６に送信する（ステップＳ１０１，Ｓ１０２）。このようなトリガが入ることにより、コントローラ６は、仮想インタフェース追加要求をセンタ側ＶＰＮ終端装置２に送信する（ステップＳ１０３）。センタ側ＶＰＮ終端装置２は、この要求を受けると、ＶＰＮクライアント管理テーブル(図２)を参照し（ステップＳ１０４）、追加先の仮想インタフェースを所有している場合には、追加の必要がないものと判断し、その旨をグループスケジューラ４、更にはトリガシステム５に通知する（ステップＳ１０５）。

一方、変更先の仮想インタフェースを所有していない場合には、グループ許可テーブル（図３）を参照し、接続可能なグループリストを参照する（ステップＳ１０６）。

そして、制約条件より追加先として定めることができないグループである場合には、仮想インタフェースを追加できない旨（ＮＧ）をコントローラ６に通知する（ステップＳ１０７）。これに対して、追加先として定めることができるグループである場合には、センタ側ＶＰＮ終端装置２は、グループスケジューラ４に対してポリシの問い合わせを行う（ステップＳ１０８）。グループスケジューラ３には、接続するＶＰＮクライアント端末１（ユーザ）のポリシが図４に示したテーブルで登録されているので、当該テーブルの制約条件に基づいてＶＰＮクライアント端末１による接続の可否を判定し当該判定結果（ＯＫ／ＮＧ）をセンタ側ＶＰＮ終端装置２に送信する（ステップＳ１０９，Ｓ１１０）。

センタ側ＶＰＮ終端装置２は、判定結果がＯＫ（制約に該当せず）である場合には、ＤＨＣＰサーバより仮想インタフェース追加設定情報を取得し（ステップＳ１１１）、ＶＰＮクライアント端末１に対して当該仮想インタフェース追加設定情報を通知する（ステップＳ１１２）。ＶＰＮクライアント端末１は、この仮想インタフェース追加設定情報に基づいて仮想インタフェーステーブル（図５）を更新する（ステップＳ１１６）。

次いで、センタ側ＶＰＮ終端装置２は、図２に示したＶＰＮクライアント管理テーブルを更新し（ステップＳ１１３）、ルーチングテーブルを更新し（ステップＳ１１４）、例えばＯＳＰＦ等のプロトコルによりルーチング情報をＬ３デバイス３に通知する（ステップＳ１１５）。以上で仮想インタフェースの追加処理（Ｐｕｓｈ型）を終了する。

次に、図１２のフローチャートを参照して、本発明の第２の実施の形態に係る通信制御システムにおいてクライアント側からの働きかけにより仮想インタフェースを削除する場合の動作を説明する。

前提として、ＶＰＮクライアント端末１はＶＰＮ接続中である（ステップＳ１２０）。そのような状況下、ＶＰＮクライアント端末１により仮想インタフェースの削除要求がなされると（ステップＳ１２１）、センタ側ＶＰＮ終端装置２は、図２に示したＶＰＮクライアント管理テーブルを更新し（ステップＳ１２２）、仮想インタフェースが削除済みである旨をＶＰＮクライアント端末１に通知する（ステップＳ１２３）。これ以後、ＶＰＮクライアント端末１により当該仮想インタフェースのＩＰアドレスが開放され（ステップＳ１２４）、仮想インタフェーステーブル(図５)が更新される（ステップＳ１２７）。さらに、センタ側ＶＰＮ終端装置２がルーチングテーブルを更新し（ステップＳ１２５）、例えばＯＳＰＦ等のプロトコルによりルーチング情報をＬ３デバイス３に通知する（ステップＳ１２６）。

次に、図１３のフローチャートを参照して、本発明の第２の実施の形態に係る通信制御システムにおいてサーバ側からの働きかけにより仮想インタフェースを削除する場合の動作を説明する。

前提として、ＶＰＮクライアント端末１はＶＰＮ接続中である（ステップＳ１５０）。そのような状況下で、例えば検疫システムとしてのトリガシステム５が、ユーザを特定のグループから隔離させたい場合等には、仮想インタフェース削除トリガをコントローラ６に送信する（ステップＳ１５１，Ｓ１５２）。このようなトリガが入ることにより、コントローラ６は、仮想インタフェース削除要求をセンタ側ＶＰＮ終端装置２に送信する（ステップＳ１５３）。センタ側ＶＰＮ終端装置２は、この削除要求を受けると、ＶＰＮクライアント管理テーブル(図２)を参照し（ステップＳ１５４）、削除すべき仮想インタフェースを所有している場合にはその旨（ＯＫ）をコントローラ６に通知し（ステップＳ１５５）、所有していない場合にはその旨（ＮＧ）をトリガシステム５に通知する（ステップＳ１５６）。

続いて、センタ側ＶＰＮ終端装置２は、仮想インタフェースが削除命令をＶＰＮクライアント端末１に通知する（ステップＳ１５７）。これ以後、ＶＰＮクライアント端末１により当該仮想インタフェースのＩＰアドレスが開放され（ステップＳ１５８、仮想インタフェーステーブル(図５)が更新される（ステップＳ１６１）。さらに、センタ側ＶＰＮ終端装置２がルーチングテーブルを更新し（ステップＳ１５９）、例えばＯＳＰＦ等のプロトコルによりルーチング情報をＬ３デバイス３に通知する（ステップＳ１６０）。

(第３の実施の形態)
本発明の第３の実施の形態に係る通信制御システムでは、接続先ネットワークの変更を実現するために、アプリケーション許可テーブル(図６)を用いる。ここで、「アプリケーション許可テーブルを用いる場合」とは、アプリケーション起動時にどの仮想インタフェースに紐つけるかを判断するためのデータとして、ＶＰＮ接続時にコントローラ６から配信されるアプリケーション許可テーブル(図６)を利用することを意味する。

以下、図１４のフローチャートを参照して、本発明の第３の実施の形態に係る通信制御システムによるアプリケーション認証時の処理を詳細に説明する。

前提として、ＶＰＮクライアント端末１はＶＰＮ接続中である（ステップＳ２０１）。そのような状況下、ＶＰＮクライアント端末１においてアプリケーションが起動されるとアプリケーションＩＤが取得され（ステップＳ２０３）、当該アプリケーションＩＤにより特定されるアプリケーション１１の接続の可否をアプリケーション許可テーブル（図６）を参照して判断する（ステップＳ２０４）。その結果、当該アプリケーション１１の接続が許可されていない場合には、当該アプリケーション１１の利用を不可とするか（ステップＳ２０５）、デフォルトの仮想インタフェース１２に接続する（ステップＳ２０６）。

一方、当該アプリケーション１１の接続が許可されている場合には、対応する仮想インタフェース１２の有無を確認し（ステップＳ２０７）、該当する仮想インタフェース１２が存在する場合には当該仮想インタフェースにバインドし（ステップＳ２０９）、該当する仮想インタフェース１２が存在しない場合には、第１及び第２の実施の形態で前述した仮想インタフェース１２の追加処理に入る（ステップＳ２０８）。

(第４の実施の形態)
本発明の第４の実施の形態に係る通信制御システムでは、接続先ネットワークの変更を実現するために、電子証明書を用いる。ここで、「電子証明書を用いる場合」とは、アプリケーション起動時に、どの仮想インタフェース１２に紐付けるかを判断するためのデータとしてＶＰＮ接続時にコントローラ６から配信されるアプリケーション許可電子証明書を利用することを意味する。このアプリ許可電子証明書のフォーマットは、例えばＲＦ３８２０ Ｘ５０９ Proxy Certificateに準ずる。この証明書のプロキシポリシ(Proxy Policy)に含める内容は、アプリケーション許可テーブル(図６)を参照し、発行者はコントローラ６とし、有効期限はグループスケジューラ４を参照して決定する。

先ず、図１５のフローチャートを参照して、本発明の第４の実施の形態に係る通信制御システムによる電子証明書の発行に関する処理を説明する。

ＶＰＮクライアント端末１がセンタ側ＶＰＮ終端装置２とＶＰＮ接続すると（ステップＳ２１０）、当該センタ側ＶＰＮ終端装置２はコントローラ（ここでは、証明書発行局として機能する）６に対して証明書発行要求（発行対象者の情報としてユーザＩＤを含む）を行う（ステップＳ２１１）。コントローラ６は、この要求を受けると、グループスケジューラ４に対してユーザポリシを問い合わせ（有効期限の確定）（ステップＳ２１２）、アプリケーション許可テーブル(図６)を参照してユーザ権限（ポリシ）を作成し（ステップＳ２１３）、当該ポリシの内容を包含した電子証明書を生成し（ステップＳ２１４）、当該電子証明書をＶＰＮクライアント端末１に送信する（ステップＳ２１５）。

次に図１６のフローチャートを参照して、本発明の第４の実施の形態に係る通信制御システムによる電子証明書の利用に関する処理を説明する。

ＶＰＮクライアント端末１においてアプリケーション１１が起動されると（ステップＳ２２０）、アプリケーションＩＤを取得し（ステップＳ２２１）、電子証明書（プロキシ証明書）自体の有効性の検証を行う（ステップＳ２２２）。これは、ユーザポリシ、ユーザ権限に変更があった場合には、証明書が失効している為、その確認を行うものである。ついで、ＶＰＮクライアント端末１は、アプリケーション１１の認証を実行する（ステップＳ２２３）。このとき、電子証明書内のプロキシポリシを参照し、使用していいかの認証を行うことになる。ついで、仮想インタフェースの有無を確認し（ステップＳ２２４）、該当する仮想インタフェースが存在しない場合には、当該アプリケーションの利用を不可とするか（ステップＳ２２５）、デフォルトの仮想インタフェースに接続する（ステップＳ２２６）。該当する仮想インタフェースが存在する場合には当該仮想インタフェースにバインドし（ステップＳ２２８）、或いは仮層インタフェースの追加処理に入る（ステップＳ２２７）。

次に図１７のフローチャートを参照して、本発明の第４の実施の形態に係る通信制御システムによる証明書失効に関する処理を説明する。

先ず、ＶＰＮ接続が切断された場合には（ステップＳ２３０）、ＶＰＮ切断通知（ユーザＩＤを含む）をコントローラ６に対して行う（ステップＳ２３１）。コントローラ６は、この通知を受信するとＣＲＬ（失効通知）の生成を行い（ステップＳ２３２）、証明書検証サーバに対してＣＲＬの発行を行う（ステップＳ２３３）。一方、ユーザ権限に変更が生じた場合には（ステップＳ２３４）、コントローラ６は、同様にＣＲＬ（失効通知）の生成を行い（ステップＳ２３５）、ＤＶＣＳに対してＣＲＬの発行を行う（ステップＳ２３６）。

次に図１８のフローチャートを参照して、本発明の第４の実施の形態に係る通信制御システムによる証明書再発行に関する処理を説明する。

ＶＰＮクライアント端末１においてアプリケーション１１が起動されると（ステップＳ２４０）、アプリケーションＩＤを取得し（ステップＳ２４１）、電子証明書（プロキシ証明書）自体の有効性の検証を行う（ステップＳ２４２）。これは、ユーザポリシ、ユーザ権限に変更があった場合には、証明書が失効している為、その確認を行うものである。そして、失効している場合には（ステップＳ２４４）、ＶＰＮクライアント端末１はコントローラ（ここでは、証明書発行局として機能する）６に対して証明書発行要求（発行対象者の情報としてユーザＩＤを含む）を行う（ステップＳ２４４）。

コントローラ６は、この要求を受けると、グループスケジューラ４に対してユーザポリシを問い合わせ（有効期限の確定）（ステップＳ２４５）、アプリケーション許可テーブル(図６)を参照してユーザ権限（ポリシ）を作成し（ステップＳ２４６）、当該ポリシの内容を包含した電子証明書を生成し（ステップＳ２４７）、当該電子証明書をＶＰＮクライアント端末１に送信する（ステップＳ２４８）。

以上説明したように、本発明の第１乃至第４の実施の形態によれば、異なる接続先に同時に接続でき、且つ必要に応じて接続先を追加、削除、変更等することを可能とする通信制御システム及び方法を提供することができる。

以上、本発明の実施の形態について説明したが、本発明はこれに限定される事なくその趣旨を逸脱しない範囲で種々の改良・変更が可能であることは勿論である。

本発明の第１乃至第４の実施の形態に係る通信制御システムに共通する基本構成図である。 ＶＰＮクライアント管理テーブルの一例を示す図である。 グループ許可テーブルの一例を示す図である。 グループスケジューラの保持するテーブルの一例を示す図である。 仮想インタフェーステーブルの一例を示す図である。 アプリケーション許可テーブルの一例を示す図である。 本発明の第１の実施の形態に係る通信制御システムによるＶＰＮクライアント端末１の初回接続時の処理を説明するフローチャートである。 本発明の第１の実施の形態に係る通信制御システムにおいてＶＰＮクライアント端末１からの働きかけにより接続先のネットワークを変更する場合（Ｐｕｌｌ型）の動作を説明するフローチャートである。 本発明の第１の実施の形態に係る通信制御システムにおいてトリガシステム５からの働きかけにより接続先のネットワークを強制変更する場合（Ｐｕｓｈ型）の動作を説明するフローチャートである。 本発明の第２の実施の形態に係る通信制御システムにおいてＶＰＮクライアント端末１からの働きかけにより接続先のネットワークを追加する場合（Ｐｕｌｌ型）の動作を説明するフローチャートである。 本発明の第２の実施の形態に係る通信制御システムにおいてサーバ側からの働きかけにより接続先のネットワークを強制追加する場合（Ｐｕｓｈ型）の動作を説明するフローチャートである。 本発明の第２の実施の形態に係る通信制御システムによる仮想インタフェースの削除時の動作を説明するフローチャートである。 本発明の第２の実施の形態に係る通信制御システムにおいてサーバ側からの働きかけにより仮想インタフェースを削除する場合の動作を説明するフローチャートである。 本発明の第３の実施の形態に係る通信制御システムによるアプリケーション認証時の処理を詳細に説明するフローチャートである。 本発明の第４の実施の形態に係る通信制御システムによる電子証明書の発行に関する処理を説明するフローチャートである。 本発明の第４の実施の形態に係る通信制御システムによる電子証明書の利用に関する処理を説明するフローチャートである。 本発明の第４の実施の形態に係る通信制御システムによる証明書失効に関する処理を説明するフローチャートである。 本発明の第４の実施の形態に係る通信制御システムによる証明書再発行に関する処理を説明するフローチャートである。

符号の説明

１・・・ＶＰＮクライアント、２・・・センタ側ＶＰＮ終端装置、３・・・Ｌ３デバイス、４・・・グループスケジューラ、５・・・トリガシステム、６・・・コントローラ、１１・・・アプリケーション、１２，１８・・・仮想インタフェース、１４・・・ＶＰＮ、１３，１５〜１７・・・物理インタフェース、１９・・・ＶＰＮグループ。

Claims (7)

1. クライアント端末が複数のアプリケーションに対応付けられた複数の仮想インタフェースを実装した物理インタフェースを介してリモートアクセスする場合において接続先のネットワークの変更を制御する通信制御システムであって、
   上記クライアント端末より接続先の変更要求がなされた場合、当該クライアント端末のユーザのポリシに基づいて上記仮想インタフェースの更新の可否を判断し、仮想インタフェースの更新を認める場合には、更新後のアドレスの情報を取得し、当該アドレスの情報を上記クライアント端末に通知する終端装置、
   を有することを特徴とする通信制御システム。
2. クライアント端末が複数のアプリケーションに対応付けられた複数の仮想インタフェースを実装した物理インタフェースを介してリモートアクセスする場合において接続先のネットワークの変更を制御する通信制御システムであって、
   所定の場合にトリガを発生するトリガ装置と、
   上記トリガ装置より接続先の変更に係るトリガを受けた場合に、当該クライアント端末のユーザのポリシに基づいて仮想インタフェースの更新の可否を判断し、更新を認める場合には更新後のアドレスの情報を取得し、当該アドレスの情報を上記クライアント端末に通知する終端装置と、
   を有することを特徴とする通信制御システム。
3. クライアント端末が複数のアプリケーションに対応付けられた複数の仮想インタフェースを実装した物理インタフェースを介してリモートアクセスする場合において接続先のネットワークの変更を制御する通信制御システムであって、
   クライアント端末のユーザのポリシを管理するグループスケジューラと、
   グループ許可テーブルとクライアント管理テーブルとを保持し、上記クライアント端末のネットワークへの接続を制御する終端装置と、を具備し、
   上記クライアント端末より接続先の変更の要求がなされた場合には、上記終端装置が上記グループ許可テーブルを参照して上記仮想インタフェースの変更或いは追加の可否を判断し、上記グループスケジューラが当該クライアント端末のユーザのポリシに基づき上記仮想インタフェースの変更或いは追加の可否を判断し、終端装置は、これら判断結果に基づいて上記仮想インタフェースの変更或いは追加を認める場合には、仮想インタフェース設定情報を取得し、当該情報に基づいて上記クライアント管理テーブルを更新し、当該仮想インタフェース設定情報を上記クライアント端末に通知する、
   ことを特徴とする通信制御システム。
4. クライアント端末が複数のアプリケーションに対応付けられた複数の仮想インタフェースを実装した物理インタフェースを介してリモートアクセスする場合において接続先のネットワークの変更を制御する通信制御システムであって、
   所定の場合にトリガを発生するトリガ装置と、
   クライアント端末のユーザのポリシを管理するグループスケジューラと、
   グループ許可テーブルとクライアント管理テーブルとを保持し、上記クライアント端末のネットワークへの接続を制御する終端装置と、を具備し、
   上記トリガ装置より接続先の変更に係るトリガを受けた場合に、上記終端装置が上記グループ許可テーブルを参照して上記仮想インタフェースの変更或いは追加の可否を判断し、上記グループスケジューラが当該クライアント端末のユーザのポリシに基づき上記仮想インタフェースの変更或いは追加の可否を判断し、終端装置は、これら判断結果に基づいて上記仮想インタフェースの変更或いは追加を認める場合には、仮想インタフェース設定情報を取得し、当該情報に基づいて上記クライアント管理テーブルを更新し、当該仮想インタフェース設定情報を上記クライアント端末に通知する、
   ことを特徴とする通信制御システム。
5. 上記クライアント端末は、少なくともアプリケーションＩＤと接続先グループを対応付けて管理するアプリケーション許可テーブルを保持し、アプリケーションの起動時には上記アプリケーション許可テーブルにより当該アプリケーションの仮想インタフェースへの対応付けの可否を判断する、ことを更に特徴とする請求項１乃至４のいずれかに記載の通信制御システム。
6. 上記クライアント端末は、アプリケーションの起動時には、電子証明書の情報に基づいて当該アプリケーションの仮想インタフェースへの対応付けの可否を判断する、ことを更に特徴とする請求項１乃至４のいずれかに記載の通信制御システム。
7. クライアント端末が複数のアプリケーションに対応付けられた複数の仮想インタフェースを実装した物理インタフェースを介してリモートアクセスする場合において接続先のネットワークの変更を制御する通信制御方法であって、
   終端装置が、接続先の変更要求を受理した場合、当該クライアント端末のユーザのポリシに基づいて上記仮想インタフェースの更新の可否を判断し、仮想インタフェースの更新を認める場合には、更新後のアドレスの情報を取得し、当該アドレスの情報を上記クライアント端末に通知する、
   ことを特徴とする通信制御方法。

Images