JP2008098937A

JP2008098937A - 仮想ネットワーク通信システムおよび通信端末

Info

Publication number: JP2008098937A
Application number: JP2006278003A
Authority: JP
Inventors: Tetsuya Aoyama; 哲也青山
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2006-10-11
Filing date: 2006-10-11
Publication date: 2008-04-24

Abstract

【課題】アクセスネットワークへ専用の装置を設置することなく、リモートアクセスを受け入れるネットワークの管理者側のポリシー情報を考慮し、通信端末が複数の仮想ネットワークに同時に加入して特定のアプリケーションやセションといった目的別に仮想ネットワークを使い分けることができる仮想ネットワーク通信システムを提供すること。
【解決手段】アクセスネットワーク１００接続時に、通信端末１１０が仮想ネットワークへの接続条件となるポリシー情報をポリシーサーバ３１０，４１０から取得し、取得したポリシー情報を当該ポリシーサーバが管理する仮想ネットワークに対応付けて管理しておき、データ通信要求時に、ポリシーサーバ３１０，４１０から取得したポリシー情報の中からデータ通信要求に含まれる送信先情報の接続条件を満たすポリシー情報を抽出し、抽出したポリシー情報に対応付けられている仮想ネットワークを用いてデータ通信を行う。
【選択図】図１

Description

本発明は、少なくとも１台の通信端末が接続するアクセスネットワークと、仮想ネットワーク毎に存在し当該仮想ネットワークを管理するポリシーサーバと前記通信端末の通信相手端末とが接続する少なくとも１つのプライベートネットワークと、前記アクセスネットワークと前記プライベートネットワークとを接続するネットワークとを有する仮想ネットワーク通信システムに関するものである。

物理ネットワークにオーバレイする形で仮想ネットワークを構成する技術として、Virtual Local Area Network（VLAN）やVirtual Private Network（VPN）がある。ＶＬＡＮは、企業内ネットワークなどのＥｔｈｅｒｎｅｔ（登録商標）環境内において、物理的な接続形態とは独立にＩＥＥＥ８０２．１Ｑにて規格化されたタグをＥｔｈｅｒｎｅｔ（登録商標）フレームに追加することで通信端末の仮想的なグループを構築する技術である。ＶＬＡＮでは、ＶＬＡＮに対応したスイッチがフレーム内のＶＬＡＮタグの値をもとに転送先ポートを決定する。しかしながら、ＶＬＡＮの場合、適用先はＥｔｈｅｒｎｅｔ（登録商標）フレームが届く範囲、すなわち同一サブネット内に限定されるため、ルータを介する広域のネットワークに展開することはできないという問題があった。

また、インターネットを用いたＶＰＮ（インターネットＶＰＮ）は、インターネットなどの共通ネットワーク上に仮想的に専用のプライベートネットワークを構築する技術である。インターネットＶＰＮは、通信相手との間に仮想的なトンネルを作ることによって、インターネットからは直接接続できないネットワーク内の通信端末との接続を可能にする技術である。インターネットＶＰＮは複数の通信端末が存在する拠点（ＬＡＮ）同士を接続するＬＡＮ間接続と、外部の通信端末からＬＡＮに接続するリモートアクセスの２つの形態を有している。たとえば、外出先から会社などのＬＡＮへ接続するリモートアクセスの形態を利用する場合を考える。一般的に、リモートアクセスの場合、通信端末が一度リモートアクセスサーバに接続すると、接続してから切断するまでの間、すべてのパケットがＶＰＮによって作られたトンネルを通ってＶＰＮサーバ経由となって送受信される。そのため、特定のアプリケーションやセションごとに、ＶＰＮを利用する・しないや、複数ＶＰＮ間の選択をすることができないという問題があった。

このような問題を改善するための従来技術として、たとえば、特許文献１がある。特許文献１には、複数のリモートアクセスを実現するために、装置内に仮想のデータリンク（ＶＤＬ）や物理データリンクを関連付けてグループ化したリソーススペース（ＲＳ）を定義してＩＰ（Internet Protocol）アドレスやポート番号をＲＳに割り付けることで、独立した複数の仮想ネットワークを実現する技術が開示されている。

特開２００２−８４３０２号公報

上記特許文献１に記載の従来技術では、装置内に仮想のデータリンク（ＶＤＬ）や物理データリンクを関連付けてグループ化したリソーススペース（ＲＳ）を定義してＩＰ（Internet Protocol）アドレスやポート番号をＲＳに割り付けるようにしているため、１台の通信端末が複数の仮想ネットワークを同時に利用することを可能にしている。しかしながら、上記特許文献１に記載の従来技術では、仮想ネットワーク振り分けのためのルールの設定、更新方法に関する技術、すなわち複数の仮想ネットワーク間の選択ルールの制御方法に関する技術は開示されていない。

複数の仮想ネットワーク間の選択ルールは、リモートアクセスを受け入れる側、すなわち各仮想ネットワークを管理する側によって管理することが可能であり、またこのルールは通信端末において通信要求発生時に利用できることが望ましい。特に、公衆網などの不特定多数の通信端末が接続するネットワークでは、アクセスネットワークへの専用装置の設置が困難であり、通信端末ごとの選択ルールの管理が重要技術となる。

本発明は、上記に鑑みてなされたものであって、アクセスネットワークに専用の装置を設置することなく、リモートアクセスを受け入れるネットワークの管理者側のポリシー情報を考慮し、通信端末が複数の仮想ネットワークに同時に加入して特定のアプリケーションやセションといった目的別に仮想ネットワークを使い分けることができる仮想ネットワーク通信システムを提供することを目的とする。

上述した課題を解決し、目的を達成するために、本発明は、少なくとも１台の通信端末が接続するアクセスネットワークと、仮想ネットワーク毎に存在し当該仮想ネットワークを管理するポリシーサーバと前記通信端末の通信相手端末とが接続する少なくとも１つのプライベートネットワークと、前記アクセスネットワークと前記プライベートネットワークとを接続するネットワークとを有する仮想ネットワーク通信システムにおいて、前記ポリシーサーバは、前記通信端末に対応付けて当該通信端末のポリシー情報が登録されるデータベース部と、前記通信端末からのポリシー情報要求メッセージを受信すると、該ポリシー情報要求メッセージを送信した通信端末のポリシー情報を前記データベース部から抽出し、抽出したポリシー情報および自身を識別するためのサーバ識別子を含むポリシー情報要求応答メッセージを前記通信端末に送信する制御部と、を備え、前記通信端末は、前記仮想ネットワークに対応付けてポリシー情報が登録されるポリシー情報テーブルと、前記アクセスネットワーク接続時に、仮想ネットワークへの接続条件となるポリシー情報を要求する前記ポリシー情報要求メッセージを前記ポリシーサーバに送信し、前記ポリシーサーバから前記ポリシー情報要求応答メッセージを受信すると、前記ポリシー情報要求応答メッセージに含まれるサーバ識別子が示すポリシーサーバが管理する仮想ネットワークに対応付けて前記ポリシー情報要求応答メッセージに含まれるポリシー情報を前記ポリシー情報テーブルに登録するポリシー管理部と、データ通信要求を受けると、前記ポリシー情報テーブルに登録されているポリシー情報の中から、前記データ通信要求に含まれる送信先情報の接続条件を満たすポリシー情報を抽出し、抽出したポリシー情報に対応付けられている仮想ネットワークを選択し、選択した仮想ネットワークを用いて通信相手端末とデータ通信を行う仮想ネットワーク選択部と、を備えることを特徴とする。

この発明によれば、アクセスネットワーク接続時に、通信端末が仮想ネットワークへの接続条件となるポリシー情報を要求してポリシーサーバからポリシー情報を取得し、取得したポリシー情報を当該ポリシーサーバが管理する仮想ネットワークに対応付けて管理しておき、データ通信要求時に、ポリシーサーバから取得したポリシー情報の中からデータ通信要求に含まれる送信先情報の接続条件を満たすポリシー情報を抽出し、抽出したポリシー情報に対応付けられている仮想ネットワークを用いてデータ通信を行うようにしているため、アクセスネットワークに専用の装置を設置することなく、リモートアクセスを受け入れるネットワークの管理者側のポリシー情報を考慮し、通信端末が複数の仮想ネットワークに同時に加入して特定のアプリケーションやセションといった目的別に仮想ネットワークを使い分けることができる仮想ネットワーク通信システムを得ることができるという効果を奏する。

以下に、本発明にかかる仮想ネットワークの制御方法の実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態によりこの発明が限定されるものではない。

実施の形態１．
図１〜図６を参照してこの発明の実施の形態１を説明する。図１は、この発明における仮想ネットワーク通信システムの実施の形態１の構成の一例を示す図である。図１において、通信システムは、アクセスネットワーク１００と、インターネット２００と、プライベートネットワーク３００，４００とを備えている。アクセスネットワーク１００は、携帯電話網やＦＴＴＨ（Fiber To The Home）などによってインターネット２００と接続するネットワークである。プライベートネットワーク３００，４００は、たとえば、企業内ネットワークなどのプライベートネットワークであり、インターネット２００と接続する。インターネット２００は、アクセスネットワーク１００とプライベートネットワーク３００，４００とを接続するネットワークである。

プライベートネットワーク３００は、プライベートネットワーク３００のポリシー情報を管理するポリシーサーバ３１０と、プライベートネットワーク３００内でサーバやクライアントして動作する機能を有する通信端末３２０，３３０を備えている。

プライベートネットワーク４００は、プライベートネットワーク４００のポリシー情報を管理するポリシーサーバ４１０と、プライベートネットワーク４００内でサーバやクライアントして動作する機能を有する通信端末４２０，４３０を備えている。

ポリシーサーバ３１０，４１０は、同じ機能を備えている。図２に示したポリシーサーバ３１０の構成を示すブロック図を参照して、ポリシーサーバの機能を説明する。図２において、ポリシーサーバ３１０は、プライベートネットワーク３００を介してインターネット２００と接続するためのインタフェース機能を有する物理通信インタフェース部３１１と、通信端末からポリシーサーバ３１０が接続するプライベートネットワーク３００への接続に関するポリシー情報が登録されるデータベース部３１２と、データベース部３１２を管理するとともに、ポリシー情報要求メッセージに応じてデータベース部３１２に登録されたポリシー情報に基づいてポリシー情報要求応答メッセージを生成する制御部３１３とを備えている。

図３は、図２に示したデータベース部３１２の登録項目の一例を示す図である。図３においては、データベース部３１２の登録項目として、端末ＩＤ３１２１と、あて先情報３１２２と、有効時間３１２３を挙げている。端末ＩＤ３１２１には、通信端末を識別するための端末識別子（端末ＩＤ）が登録される。あて先情報３１２２には、端末ＩＤ３１２１に登録された端末ＩＤが示す通信端末に対するあて先ＩＰ（Internet Protocol）アドレスやあて先ポート番号、アプリケーションの識別が可能なアプリケーションヘッダなどのレイヤ３〜レイヤ７におけるあて先情報が登録される、有効時間３１２３には、端末ＩＤ３１２１に登録された端末ＩＤが示す通信端末に対するプライベートネットワーク３００へのポリシー情報有効時間が登録される。すなわち、図３においては、あて先情報３１２２および有効時間３１２３の登録内容が、端末ＩＤ３１２１に登録された端末ＩＤが示す通信端末のポリシー情報である。

図１に戻って、通信端末１１０は、アクセスネットワーク１００およびインターネット２００を介してプライベートネットワーク３００，４００にリモートアクセスし、ポリシーサーバ３１０，４１０からポリシー情報を取得し、取得したポリシー情報に基づいて仮想ネットワークを選択する。そして、通信端末１１０は、選択した仮想ネットワークを用いて通信端末３２０，３３０，４２０，４３０とデータ通信を行う。

図４は、図１に示した通信端末１１０の本発明に関わる機能構成を示すブロック図である。図４において、通信端末１１０は、物理通信インタフェース部１１１、仮想通信インタフェース部１１２，１１３、仮想ネットワーク選択部１１４、ポリシー管理部１１５、およびポリシー情報テーブル１１６を備えている。

物理通信インタフェース部１１１は、アクセスネットワーク１００を介してインターネット２００と接続するためのインタフェース機能を有する。仮想通信インタフェース部１１２，１１３は、それぞれ予め定められた仮想ネットワークに対応付けられており、仮想ネットワークと接続する際のインタフェース機能を有する。

ポリシー情報テーブル１１６には、自端末が接続可能な仮想ネットワークに関するポリシー情報が登録される。図５は、図４に示したポリシー情報テーブル１１６の登録項目の一例を示す図である。図５においては、ポリシー情報テーブル１１６の登録項目として、登録番号１１６１、あて先情報１１６２、有効時間１１６３、および仮想インタフェース識別子１１６４を挙げている。登録番号１１６１には、ポリシー情報テーブル１１６への登録番号が登録される。あて先情報１１６２には、あて先ＩＰアドレスやあて先ポート番号、アプリケーションの識別が可能なアプリケーションヘッダなどのレイヤ３〜レイヤ７におけるあて先情報が登録される。有効時間１１６３には、プライベートネットワーク３００へのポリシー情報有効時間が登録される。仮想インタフェース識別子１１６４には、予め定められた仮想インタフェースを識別するための仮想インタフェース識別子が登録される。

図４に戻って、ポリシー管理部１１５は、アクセスネットワーク１００に接続する際に、ポリシーサーバ３１０，４１０からポリシー情報を取得してポリシー情報テーブル１１６を生成するとともに、生成したポリシー情報テーブル１１６を管理する。

仮想ネットワーク選択部１１４は、ユーザが入力手段（図示せず）を用いて入力したデータ通信要求とポリシー情報テーブル１１６とに基づいて、データ通信を行う際に使用する仮想ネットワークを選択し、選択した仮想ネットワークに対応する仮想通信インタフェース部１１２，１１３を選択する。

つぎに、図６のシーケンス図、および図１〜図５を参照して、この発明における仮想ネットワーク通信システムの動作について説明する。なお、通信端末１１０のポリシー管理部１１５には、ポリシーサーバ３１０，４１０が属するプライベートネットワーク３００，４００に設定されている仮想ネットワークを識別するための仮想ネットワーク識別子と、ポリシーサーバ３１０，４１０を識別するための識別子（サーバ識別子）との対応付けが予め設定されているものとする。

アクセスネットワーク１００に接続すると、通信端末１１０のポリシー管理部１１５は、ポリシーサーバ３１０，４１０に対してプライベートネットワーク３００，４００への接続条件を示すポリシー情報を要求するポリシー情報要求メッセージを生成する。通信端末１１０のポリシー管理部１１５は、ポリシー情報要求メッセージ内に、自端末に予め付与されている端末ＩＤを含めておく。通信端末１１０のポリシー管理部１１５は、生成したポリシー情報要求メッセージを通信端末１１０の物理通信インタフェース部１１１に出力する。通信端末１１０の物理通信インタフェース部１１１は、ポリシー情報要求メッセージをアクセスネットワーク１００に送信する（ステップＳ１００ａ，Ｓ１００ｂ）。アクセスネットワーク１００に送信されたポリシー情報要求メッセージは、インターネット２００を介してプライベートネットワーク３００，４００に到達する。

ポリシーサーバ３１０，４１０の物理通信インタフェース部３１１は、プライベートネットワーク３００，４００に到達したポリシー情報要求メッセージを受信してポリシーサーバ３１０，４１０の制御部３１３に出力する。ポリシーサーバ３１０，４１０の制御部３１３は、ポリシー情報の要求元、すなわちポリシー情報要求メッセージの送信元の通信端末１１０に関するポリシー情報をポリシーサーバ３１０，４１０のデータベース部３１２から抽出する（ステップＳ１０１ａ，Ｓ１０１ｂ）。

具体的には、ポリシーサーバ３１０，４１０の制御部３１３は、受信したポリシー情報要求メッセージに含まれる端末ＩＤを抽出し、抽出した端末ＩＤを検索キーとして、ポリシーサーバ３１０，４１０のデータベース部３１２の端末ＩＤ３１２１を検索して、検索キーと一致する端末ＩＤを抽出する。ポリシーサーバ３１０，４１０の制御部３１３は、抽出した端末ＩＤに対応付けてあて先情報３１２２に登録されているあて先情報および有効時間３１２３に登録されている有効時間を抽出する。たとえば、図３においては、ポリシー要求メッセージに含まれる端末ＩＤが「＃ａ」の場合には、あて先情報「＃ＩＰ０１、＃ＵＤＰ０１、＜？ｘｍｌ＞＜ｄｅｓｃｒｉｐｔｉｏｎ＞...」と有効時間「１０」の組と、あて先情報「＃ＩＰ０２、＃ＵＤＰ０２、ＤＮＳＲｅｑｕｅｓｔ（ｅｘａｍｐｌｅ．ｃｏｍ）と有効時間「１００」の組とを抽出し、ポリシー要求メッセージに含まれる端末ＩＤが「＃ｂ」の場合には、あて先情報「＃ＩＰ０１、＃ＵＤＰ０１、＜？ｘｍｌ＞＜ｄｅｓｃｒｉｐｔｉｏｎ＞...」と有効時間「２０」の組をポリシー情報として抽出する。

ポリシーサーバ３１０，４１０の制御部３１３は、抽出したポリシー情報（この場合は、あて先情報と有効時間との組）と予め付与されている自身を識別するための識別子（サーバ識別子）とを含む通信端末１１０宛のポリシー情報要求応答メッセージを生成する。ポリシーサーバ３１０，４１０の制御部３１３は、生成したポリシー情報要求応答メッセージをポリシーサーバ３１０，４１０の物理通信インタフェース部３１１に出力する。ポリシーサーバ３１０，４１０の物理通信インタフェース部３１１は、ポリシー情報要求応答メッセージをプライベートネットワーク３００，４００に送信する（ステップＳ１０２ａ，Ｓ１０２ｂ）。なお、ポリシー情報要求応答メッセージを送信する際に、ＩＰＳｅｃなどの既存の暗号化手段を用いてポリシー情報を暗号化してセキュリティーを向上するようにしてもよい。ポリシー情報要求応答メッセージは、インターネット２００を介してアクセスネットワーク１００に到達する。

通信端末１１０の物理通信インタフェース部１１１は、アクセスネットワーク１００に到達したポリシー情報要求応答メッセージを受信して、通信端末１１０のポリシー管理部１１５に出力する。通信端末１１０のポリシー管理部１１５は、ポリシー情報要求応答メッセージに基づいて、ポリシー情報テーブル１１６を生成する（ステップＳ１０３）。

具体的には、通信端末１１０のポリシー管理部１１５は、ポリシー情報要求応答メッセージに含まれるサーバ識別子とポリシー情報（あて先情報と有効時間との組）を抽出する。通信端末１１０のポリシー管理部１１５は、あて先情報と有効時間との１組に対して管理番号を付与する。通信端末１１０のポリシー管理部１１５は、付与した管理番号を通信端末１１０のポリシー情報テーブル１１６（図５参照）の登録番号１１６１に登録し、抽出したあて先情報をあて先情報１１６２に登録し、抽出した有効時間を有効時間１１６３に登録する。また、通信端末１１０のポリシー管理部１１５は、抽出したサーバ識別子が示すポリシーサーバ３１０，４１０が属するプライベートネットワーク３００，４００に予め設定されている仮想インタフェースを示す仮想インタフェース識別子を通信端末１１０のポリシー情報テーブル１１６の仮想インタフェース識別子１１６４に登録する。

ここまでのステップＳ１００〜Ｓ１０３までの動作、すなわち通信端末１１０がポリシーサーバ３１０，４１０からポリシー情報を取得する動作は、たとえば、普段、会社のプライベートネットワーク３００，４００を利用する社員（ユーザ）が、通信端末１１０を持って出張した際に外出先のアクセスネットワーク１００を利用して、プライベートネットワーク３００，４００への接続条件を取得する行為に相当する。

続いて、ユーザが入力手段を用いて入力したデータ通信要求を受けると（ステップＳ１０４，Ｙｅｓ）、通信端末１１０の仮想ネットワーク選択部１１４は、データ通信要求に含まれる通信相手（データの送信先）を示す送信先情報およびポリシー情報テーブル１１６に基づいて仮想インタフェースを選択する（ステップＳ１０５）。

具体的には、通信端末１１０の仮想ネットワーク選択部１１４は、データ通信要求から送信先情報を抽出する。ここで、送信先情報とは、レイヤ３〜レイヤ７のヘッダに相当する情報である。通信端末１１０の仮想ネットワーク選択部１１４は、データ通信要求から、あて先ＩＰアドレス、あて先ポート番号、およびアプリケーション情報を送信先情報として抽出し、抽出した送信先情報を検索キーとして通信端末１１０のポリシー情報テーブル１１６のあて先情報１１６２を検索して、検索キーと一致するあて先情報を抽出する。

たとえば、データ通信要求に含まれる送信先情報のあて先ＩＰアドレスが「＃ＩＰ０１」、あて先ポート番号が「＃ＵＰＤ０１」、アプリケーション情報がＨＴＴＰ（Hyper Text Transfer Protocol）を示すヘッダ「＜？ｘｍｌ＞＜ｄｅｓｃｎｉｐｔｉｏｎ＞...」であった場合には、通信端末１１０の仮想ネットワーク選択部１１４は、通信端末１１０のポリシー情報テーブル１１６の登録番号「＃０１」に対応付けられたあて先情報１１６２を抽出する（図５参照）。データ通信要求に含まれる送信先情報のあて先ＩＰアドレスが「＃ＩＰ０２」、あて先ポート番号が「＃ＵＤＰ０２」、アプリケーション情報が「ＤＮＳＲｅｑｕｅｓｔ（ｅｘａｍｐｌｅ．ｃｏｍ）」であった場合には、通信端末１１０の仮想ネットワーク選択部１１４は、通信端末１１０のポリシー情報テーブル１１６の登録番号「＃０２」に対応付けられたあて先情報１１６２を抽出する。

通信端末１１０の仮想ネットワーク選択部１１４は、抽出したあて先情報１１６２に対応付けられている仮想インタフェース識別子１１６４を抽出し、抽出した仮想インタフェース識別子１１６４に登録されている仮想インタフェース識別子が示す仮想インタフェースを選択する。すなわち、通信端末１１０の仮想ネットワーク選択部１１４は、抽出した仮想ネットワーク識別子が「＃ＶＩＦ０１」の場合には仮想ネットワーク識別子「＃ＶＩＦ０１」が示す仮想ネットワークを選択し、抽出した仮想ネットワーク識別子が「＃ＶＩＦ０２」の場合には仮想ネットワーク識別子「＃ＶＩＦ０２」が示す仮想ネットワークを選択する。

なお、通信端末１１０のポリシー情報テーブル１１６のあて先情報１１６２に、送信先情報と一致するものが存在しない場合、通信端末１１０の仮想ネットワーク選択部１１４は、仮想ネットワークを選択することなく、ディフォルトの通信インタフェースを選択する。具体的には、データ通信要求に含まれている送信先情報があて先ＩＰアドレス「#ＩＰ０２」、あて先ポート番号「＃ＵＤＰ０３」、アプリケーション情報がＨＴＴＰを示すヘッダの場合、図５に示した通信端末１１０のポリシー情報テーブル１１６のあて先情報１１６２に一致するものは存在しない。よって、通信端末１１０の仮想ネットワーク選択部１１４は、仮想ネットワークを選択することなく、ディフォルトの通信インタフェースを選択する。

通信端末１１０の仮想ネットワーク選択部１１４は、選択した仮想インタフェースに対応する仮想通信インタフェース部１１２，１１３を用いてデータ通信を開始する（ステップＳ１０６）。たとえば、仮想インタフェース識別子「＃ＶＩＦ０１」が示す仮想ネットワークがプライベートネットワーク３００に設定されており、かつ通信端末１１０の仮想通信インタフェース部１１２が仮想インタフェース識別子「＃ＶＩＦ０１」が示す仮想ネットワークに対応付けられている場合には、通信端末１１０の仮想ネットワーク選択部１１４は、通信端末１１０の仮想通信インタフェース部１１２を選択する。そして、通信端末１１０の仮想通信インタフェース部１１２、物理通信インタフェース部１１１を用いて、アクセスネットワーク１００、インターネット２００、プライベートネットワーク３００を介して通信端末３２０，３３０とのデータ通信を開始する。

また、仮想インタフェース識別子「＃ＶＩＦ０２」が示す仮想ネットワークがプライベートネットワーク４００に設定されており、かつ通信端末１１０の仮想通信インタフェース部１１３が仮想インタフェース識別子「＃ＶＩＦ０２」が示す仮想ネットワークに対応付けられている場合には、通信端末１１０の仮想ネットワーク選択部１１４は、通信端末１１０の仮想通信インタフェース部１１３を選択する。そして、通信端末１１０の仮想通信インタフェース部１１２、物理通信インタフェース部１１１を用いて、アクセスネットワーク１００、インターネット２００、プライベートネットワーク４００を介して通信端末４２０，４３０とのデータ通信を開始する。

さらに、ディフォルトの通信インタフェースを選択した場合、通信端末の仮想ネットワーク選択部１１４は、通信端末１１０の仮想通信インタフェース部１１２，１１３を選択することなく、通信端末１１０の物理通信インタフェース部１１１を選択する。そして、物理通信インタフェース部１１１を用いて、アクセスネットワーク１００、インターネット２００、通信相手が接続されているプライベートネットワークを介して通信相手となる通信端末とのデータ通信を開始する。なお、データ通信を行う際にＩＰＳｅｃなどの既存の暗号化手段を用いて通信経路を暗号化してセキュリティーを向上するようにしてもよい。

このように、この実施の形態１においては、アクセスネットワーク１００接続時に、通信端末１１０が仮想ネットワークへの接続条件となるポリシー情報を要求してポリシーサーバ３１０，４１０からポリシー情報を取得し、取得したポリシー情報を当該ポリシーサーバが管理する仮想ネットワークに対応付けて管理しておき、データ通信要求時に、ポリシーサーバ３１０，４１０から取得したポリシー情報の中からデータ通信要求に含まれる送信先情報の接続条件を満たすポリシー情報を抽出し、抽出したポリシー情報に対応付けられている仮想ネットワークを用いてデータ通信を行うようにしているため、アクセスネットワーク１００に専用の装置を設置することなく、リモートアクセスを受け入れるプライベートネットワーク３００，４００の管理者側のポリシー情報を考慮し、通信端末１１０が複数の仮想ネットワークに同時に加入して特定のアプリケーションやセションといった目的別に仮想ネットワークを使い分けることができる。

すなわち、通信端末１１０においてＶＰＮを利用する際に、プライベートネットワーク３００，４００の管理者がポリシーサーバ３１０，４１０に設定したポリシー情報にしたがって、１つのアクセスネットワーク１００を用いて１つのＶＰＮに接続した通信端末１１０が同一のアクセス回線を用いてインターネットまたは別のＶＰＮとの通信を同時に行うことができる。

通信端末１１０は、各プライベートネットワーク３００，４００の管理者がポリシーサーバ３１０，４１０に設定したポリシー情報にしたがって複数の仮想ネットワークを選択ようにしているため、プライベートネットワーク３００，４００への不適切なパケットの流入を抑えることができる。

さらに、ポリシー情報には単純なＩＰアドレスのみによるパケットフィルタリングではなく、アプリケーションヘッダまでを含ませるようにしているため、複数仮想ネットワーク間の選択誤りをなくし、選択の精度を向上させることができる。

実施の形態２．
図７および図８を用いてこの発明の実施の形態２を説明する。この実施の形態２の仮想ネットワークアクセス通信システムは、先の図１に示した実施の形態１の通信システムのポリシーサーバ３１０，４１０の代わりに、ポリシーサーバ３１０ａ，４１０ａを備えている。

ポリシーサーバ３１０ａ，４１０ａは、同じ機能を備えている。図７に示したポリシーサーバ３１０ａの構成を示すブロック図を参照して、ポリシーサーバの機能を説明する。図７に示したポリシーサーバ３１０ａは、先の図２に示した実施の形態１のポリシーサーバ３１０に開示レベル判断部３１４が追加されている。先の図２に示した実施の形態１のポリシーサーバ３１０と同じ機能を持つ構成部分には同一符号を付し、重複する説明は省略する。

図８は、図７に示したデータベース部３１２の登録項目の一例を示す図である。図８に示したデータベース部３１２の登録項目は、先の図３に示した実施の形態１のポリシーサーバ３１０のデータベース部３１２の登録項目に、開示レベル３１２４が追加されている。開示レベル３１２４には、予め定められた開示レベルが登録される。ここで、開示レベルとは、通信端末１１０の状態、たとえば、通信端末１１０の位置や通信環境などの状態に応じてポリシー情報（あて先情報３１２２および有効時間３１２３に登録されているあて先情報および有効時間）を開示するレベルを示す指数である。

開示レベル判断部３１４は、通信端末１１０からのポリシー情報要求メッセージに含まれる端末情報およびデータベース部３１２に基づいてポリシー情報の開示可能なレベルを判定する。

つぎに、図７および図８を参照して、この実施の形態２の通信システムの動作を説明する。なお、この実施の形態２の通信システムの動作は、先の図６のシーケンス図を参照して説明した実施の形態１の通信システムの動作とほぼ同じであり、相違点は、通信端末１１０とポリシーサーバ３１０，４１０との間のメッセージのやり取りのみであるので、ここでは相違点のみを説明する。

アクセスネットワーク１００に接続すると、通信端末１１０のポリシー管理部１１５は、ポリシーサーバ３１０，４１０に対してプライベートネットワーク３００，４００への接続条件を示すポリシー情報を要求するポリシー情報要求メッセージを生成する。通信端末１１０のポリシー管理部１１５は、ポリシー情報要求メッセージ内に、自端末に予め付与されている端末ＩＤおよび自身の状態情報を含めておく。ここで、状態情報とは、通信端末１１０の位置や環境を示す情報で、たとえばＧＰＳ（Global Positioning System）などによる位置情報や、騒音センサーなどによる環境情報、通信端末１１０が接続しているアクセスネットワーク１００を識別可能なリモートホスト情報などである。通信端末１１０は、図示していないＧＰＳ機能および騒音センサーによって位置情報や環境情報を測定し、通信端末１１０のポリシー管理部１１５は、それらの測定結果をポリシー情報要求メッセージに含めておく。なお、状態情報は、位置情報、環境情報、およびリモートホスト情報に限るものではない。

通信端末１１０のポリシー管理部１１５は、生成したポリシー情報要求メッセージを通信端末１１０の物理通信インタフェース部１１１に出力する。通信端末１１０の物理通信インタフェース部１１１は、ポリシー情報要求メッセージをアクセスネットワーク１００に送信する。アクセスネットワーク１００に送信されたポリシー情報要求メッセージは、インターネット２００を介してプライベートネットワーク３００，４００に到達する。

ポリシーサーバ３１０，４１０の物理通信インタフェース部３１１は、プライベートネットワーク３００，４００に到達したポリシー情報要求メッセージを受信してポリシーサーバ３１０，４１０の制御部３１３に出力する。ポリシーサーバ３１０，４１０の制御部３１３は、ポリシー情報の要求元、すなわちポリシー情報要求メッセージの送信元である通信端末１１０に関するポリシー情報および開示レベルをポリシーサーバ３１０，４１０のデータベース部３１２から抽出する。ポリシーサーバ３１０，４１０の制御部３１３は、抽出した開示レベルと、ポリシー情報要求メッセージに含まれる状態情報とをポリシーサーバ３１０，４１０の開示レベル判断部３１４に出力する。

ポリシーサーバ３１０，４１０の開示レベル判断部３１４は、開示レベルおよび状態情報に基づいて開示可能なレベルを判定する。たとえば、状態情報の位置情報が電車の線路上であってかつ騒音レベルが高く、アクセスネットワーク１００が携帯電話網であった場合は、周囲に人が多いことが予想され、プライベートネットワーク３００，４００に存在する情報を通信端末１１０に表示することは好ましくない。よって、ポリシーサーバ３１０，４１０の開示レベル判断部３１４は、位置情報によって通信端末１１０の現在位置がどのような場所であるのか、騒音レベルが予め定められた閾値以下であるか否か、通信端末１１０が接続しているアクセスネットワーク１００がどのような通信網であるのかを、ポイントとしてカウントし、カウントしたポイントと開示レベルとを比較する。ポリシーサーバ３１０，４１０の開示レベル判断部３１４は、比較の結果、ポイントが開示レベル以下の場合には情報を開示すると判定し、ポイントが開示レベルより大きい場合には情報を開示しないと判定する。ポリシーサーバ３１０，４１０の開示レベル判断部３１４は、判定結果をポリシーサーバ３１０，４１０の制御部３１３に出力する。

ポリシーサーバ３１０，４１０の制御部３１３は、ポリシーサーバ３１０，４１０の開示レベル判断部３１４の判定結果が情報を開示することを示すポリシー情報（あて先情報および有効時間の組）と、自身に付与されているサーバ識別子とを含む通信端末１１０宛のポリシー情報要求応答メッセージを生成する。すなわち、ポリシーサーバ３１０，４１０の制御部３１３は、抽出したポリシー情報すべてをポリシー情報要求応答メッセージに含めるのではなく、抽出したポリシー情報の中から、ポリシーサーバ３１０，４１０の開示レベル判断部３１４が情報を開示しないと判定したポリシー情報を削除してポリシー情報要求応答メッセージを生成する。

ポリシーサーバ３１０，４１０の制御部３１３は、生成したポリシー情報要求応答メッセージをポリシーサーバ３１０，４１０の物理通信インタフェース部３１１に出力する。ポリシーサーバ３１０，４１０の物理通信インタフェース部３１１は、ポリシー情報要求応答メッセージをプライベートネットワーク３００，４００に送信する。なお、ポリシー情報要求応答メッセージを送信する際に、ＩＰＳｅｃなどの既存の暗号化手段を用いてポリシー情報を暗号化してセキュリティーを向上するようにしてもよい。ポリシー情報要求応答メッセージは、インターネット２００を介してアクセスネットワーク１００に到達する。

通信端末１１０の物理通信インタフェース部１１１は、アクセスネットワーク１００に到達したポリシー情報要求応答メッセージを受信して、通信端末１１０のポリシー管理部１１５に出力する。通信端末１１０のポリシー管理部１１５は、ポリシー情報要求応答メッセージに基づいて、ポリシー情報テーブル１１６を生成する。

通信端末１１０は、ポリシー情報テーブル１１６を生成した後は、先の図２のシーケンス図のステップＳ１０４〜Ｓ１０６の仮想インタフェース選択動作にしたがって仮想通信インタフェースを選択してデータ通信を行う。

このように、この実施の形態２においては、通信端末１１０が自身の状態を示す状態情報（自身の位置情報、自身の騒音レベルを示す環境情報、自身が接続しているアクセスネットワーク１００を識別するリモートホスト情報など）をポリシーサーバ３１０ａ，４１０ａに通知し、ポリシーサーバ３１０ａ，４１０ａは、状態情報を数値化し、数値化した値とポリシー情報を開示するか否かを判定する指数となる開示レベルとを比較し、数値化した値が開示レベル以下の場合のみ当該ポリシー情報を通信端末１１０に通知するようにしているため、通信端末１１０が置かれている状態に応じて通知するポリシー情報を変更することができ、セキュリティーを向上することができる。

実施の形態３．
図９〜図１２を用いてこの発明の実施の形態３を説明する。図９は、この発明における仮想ネットワーク通信システムの実施の形態３の構成の一例を示す図である。図９に示したこの実施の形態３の通信システムは、先の図１に示した実施の形態１の通信システムのプライベートネットワーク３００にホームサーバ３４０が追加されている。先の図１に示した実施の形態１の通信システムと同じ機能を持つ構成部分には同一符号を付し、重複する説明は省略する。

図１０は、図９に示したホームサーバ３４０の構成を示すブロック図である。図１０において、ホームサーバ３４０は、プライベートネットワーク３００を介してインターネット２００と接続するためのインタフェース機能を有する物理通信インタフェース部３４１と、通信端末１１０が接続可能なポリシーサーバのリスト（サーバリスト）が登録されるデータベース部３４２と、ポリシー情報の開示レベルを判断する開示レベル判断部３４３と、データベース部３４２を管理するとともに、ポリシーサーバリスト要求メッセージに応じてデータベース部３４２に登録されたサーバリストに基づいてポリシーサーバリスト要求応答メッセージを生成する制御部３４４とを備えている。

図１１は、図１０に示したデータベース部３４２のサーバリストの登録項目の一例を示す図である。図１０においては、サーバリストの登録項目として、端末ＩＤ３４２１と、ポリシーサーバ３４２２と、開示レベル３４２３とを挙げている。端末ＩＤ３４２１には、通信端末を識別するための端末ＩＤが登録される。ポリシーサーバ３４２２には、端末ＩＤ３４２１に登録された端末ＩＤが示す通信端末が接続可能なポリシーサーバのアドレスが登録される。開示レベル３４２３には、ポリシーサーバ３４２２に登録されたアドレスが示すポリシーサーバの開示レベルが登録される。

つぎに、図１２のシーケンス図を参照して、この実施の形態３の通信システムの動作を説明する。なお、この実施の形態３の通信システムの動作は、先の実施の形態１の通信システムの動作とほぼ同じであり、相違点は、通信端末１１０とホームサーバ３４０と間のメッセージのやり取りの動作のみであるので、ここでは相違点のみを説明する。

アクセスネットワーク１００に接続すると、通信端末１１０のポリシー管理部１１５は、予め設定されたホームサーバ３４０に対して、ポリシーサーバのリストを要求するポリシーサーバリスト要求メッセージを生成する。通信端末１１０のポリシー管理部１１５は、ポリシー情報要求メッセージ内に、自端末に予め付与されている端末ＩＤおよび自身の状態情報を含めておく。ここで、状態情報とは、通信端末１１０の位置や環境を示す情報で、たとえばＧＰＳ（Global Positioning System）などによる位置情報や、騒音センサーなどによる環境情報、通信端末１１０が接続しているアクセスネットワーク１００を識別可能なリモートホスト情報などである。通信端末１１０は、図示していないＧＰＳ機能および騒音センサーによって位置情報や環境情報を測定し、通信端末１１０のポリシー管理部１１５は、それらの測定結果をポリシーサーバリスト要求メッセージに含めておく。なお、状態情報は、位置情報、環境情報、およびリモートホスト情報に限るものではない。

通信端末１１０のポリシー管理部１１５は、生成したポリシーサーバリスト要求メッセージを通信端末１１０の物理通信インタフェース部１１１に出力する。通信端末１１０の物理通信インタフェース部１１１は、ポリシーサーバリスト要求メッセージをアクセスネットワーク１００に送信する。アクセスネットワーク１００に送信されたポリシーサーバリスト要求メッセージは、インターネット２００を介してプライベートネットワーク３００に到達する。

ホームサーバ３４０の物理通信インタフェース部３４１は、プライベートネットワーク３００に到達したポリシーサーバリスト要求メッセージを受信してホームサーバ３４０制御部３４４に出力する。ホームサーバ３４０の制御部３４４は、ポリシーサーバリストの要求元、すなわちポリシーサーバリスト要求メッセージの送信元である通信端末１１０に関するポリシーサーバおよび開示レベルをホームサーバ３４０のデータベース部３４２から抽出する（ステップＳ２０１）。

具体的には、ホームサーバ３４０の制御部３４４は、受信したポリシーサーバリスト要求メッセージに含まれる端末ＩＤを抽出し、抽出した端末ＩＤを検索キーとして、ホームサーバ３４０のデータベース部３４２の端末ＩＤ３４２１を検索して、検索キーと一致する端末ＩＤを抽出する。ホームサーバ３４０の制御部３４４は、抽出した端末ＩＤに対応付けてポリシーサーバ３４２２に登録されているアドレス、および抽出した端末ＩＤに対応付けて開示レベル３４２３に登録されている開示レベルを抽出する。たとえば、図１１においては、ポリシーサーバリスト要求メッセージに含まれる端末ＩＤが「＃ａ」の場合、アドレス「＃ＩＰ１０＠ＮＥＴ１」と開示レベル「１」の組と、アドレス「＃ＩＰ２０＠ＮＥＴ２」と開示レベル「２」の組とを抽出する。

ホームサーバ３４０の制御部３４４は、抽出した開示レベルと、ポリシーサーバリスト要求メッセージに含まれる状態情報とをホームサーバ３４０の開示レベル判断部３４３に出力する。

ホームサーバ３４０の開示レベル判断部３４３は、開示レベルおよび状態情報に基づいて開示可能なレベルを判定する（ステップＳ２０２）。具体的には、ホームサーバ３４０の開示レベル判断部３４３は、位置情報によって通信端末１１０の現在位置がどのような場所であるのか、騒音レベルが予め定められた閾値以下であるか否か、通信端末１１０が接続しているアクセスネットワーク１００がどのような通信網であるのかを、ポイントとしてカウントし、カウントしたポイントと開示レベルとを比較する。ホームサーバ３４０の開示レベル判断部３４３は、比較の結果、ポイントが開示レベル以下の場合には情報を開示すると判定し、ポイントが開示レベルより大きい場合には情報を開示しないと判定する。ホームサーバ３４０の開示レベル判断部３４３は、判定結果をホームサーバ３４０の制御部３４４に出力する。

ホームサーバ３４０の制御部３４４は、ホームサーバ３４０の開示レベル判断部３４３の判定結果が情報を開示することを示すアドレスのすべて（ポリシーサーバ情報）を含む通信端末１１０宛のポリシーサーバリスト要求応答メッセージを生成する。すなわち、ホームサーバ３４０の制御部３４４は、抽出したポリシーサーバのアドレスすべてをポリシーサーバリスト要求応答メッセージに含めるのではなく、抽出したアドレスの中から、開示レベル判断部３４４が情報を開示しないと判定したポリシー情報を削除してポリシーサーバリスト要求応答メッセージを生成する。

ホームサーバ３４０の制御部３４４は、生成したポリシーサーバリスト要求応答メッセージをホームサーバ３４０の物理通信インタフェース部３４１に出力する。ホームサーバ３４０の物理通信インタフェース部３４１は、ポリシーサーバリスト要求応答メッセージをプライベートネットワーク３００に送信する（ステップＳ２０３）。なお、ポリシー情報要求応答メッセージを送信する際に、ＩＰＳｅｃなどの既存の暗号化手段を用いてポリシー情報を暗号化してセキュリティーを向上するようにしてもよい。ポリシー情報要求応答メッセージは、インターネット２００を介してアクセスネットワーク１００に到達する。

通信端末１１０の物理通信インタフェース部１１１は、アクセスネットワーク１００に到達したポリシーサーバリスト要求応答メッセージを受信して、通信端末１１０のポリシー管理部１１５に出力する。通信端末１１０のポリシー管理部１１５は、ポリシーサーバリスト要求応答メッセージに含まれるポリシーサーバ情報に基づいてポリシー情報を取得する（ステップＳ２０４）。具体的には、通信端末１１０のポリシー管理部１１５は、ポリシーサーバリスト要求応答メッセージに含まれるポリシーサーバ情報を抽出し、ポリシーサーバ情報に含まれるすべてのアドレスのポリシーサーバに対して、先の実施の形態１または、実施の形態２で説明したようにポリシー情報を要求するポリシー情報要求メッセージを生成して送信し、ポリシーサーバからのポリシー情報要求応答メッセージに含まれるポリシー情報に基づいてポリシー情報テーブル１１６を生成する。

このように、この実施の形態３においては、ホームサーバ３４０が通信端末１１０が接続可能な仮想ネットワークを管理するポリシーサーバ３１０，４１０のアドレスを管理し、通信端末１１０は、アクセスネットワーク１００接続時に、ホームサーバ３４０からポリシーサーバ３１０，４１０のアドレスを取得し、取得したアドレスのポリシーサーバ３１０，４１０からポリシー情報を取得するようにしているため、通信端末１１０がポリシーサーバ３１０，４１０のアドレスを管理することなく、リモートアクセスを受け入れるプライベートネットワーク３００，４００の管理者側のポリシー情報を考慮し、通信端末１１０が複数の仮想ネットワークに同時に加入して特定のアプリケーションやセションといった目的別に仮想ネットワークを使い分けることができる。

なお、この実施の形態３においては、プライベートネットワーク３００にホームサーバ３４０を備えるようにしたが、ホームサーバ３４０は、他のプライベートネットワーク４００に備えてもよいし、通信端末１１０がアクセスネットワーク１００を利用して接続可能なネットワークに備えるようにしてもよい。

実施の形態４．
図１３および図１４を用いてこの発明の実施の形態４を説明する。この実施の形態４では、複数の通信端末を同一ユーザ、または異なるユーザが利用することを設定しており、現在使用している通信端末（ハンドオーバ元通信端末）から、現在使用している通信端末とは異なる通信端末（ハンドオーバ先通信端末）にデバイスハンドオーバする場合について説明する。デバイスハンドオーバとは、現在使用している通信端末で利用していたアプリケーションなどのセション情報をハンドオーバ元通信端末からハンドオーバ先通信端末に移動することによって、通信端末が切り替わったにもかかわらず同一のアプリケーションの継続利用を可能とする技術である。

図１３は、この発明における仮想ネットワーク通信システムの実施の形態４の構成の一例を示す図である。図１３に示した通信システムは、先の図１に示した実施の形態１の通信システムのアクセスネットワーク１００に、通信端末１２０が追加されている。先の図１に示した実施の形態１の通信システムと同じ機能を持つ構成部分には同一符号を付し、重複する説明は省略する。

図１４は、図１３に示した通信端末１２０の本発明に関わる機能構成を示すブロック図である。図１３において、通信端末１２０は、物理通信インタフェース部１２１、仮想通信インタフェース部１２２，１２３、仮想ネットワーク選択部１２４、ポリシー管理部１２５、およびポリシー情報テーブル１２６を備えている。物理通信インタフェース部１２１、仮想通信インタフェース部１２２，１２３、仮想ネットワーク選択部１２４、ポリシー管理部１２５、およびポリシー情報テーブル１２６は、先の図４に示した通信端末１１０の、物理通信インタフェース部１１１、仮想通信インタフェース部１１２，１１３、仮想ネットワーク選択部１１４、ポリシー管理部１１５、およびポリシー情報テーブル１１６と同じ機能を備えている。

つぎに、ハンドオーバ元通信端末である通信端末１１０からハンドオーバ先通信端末である通信端末１２０にデバイスハンドオーバする場合を例に挙げて、この実施の形態４の通信システムの動作を説明する。通信端末１１０は、先の実施の形態１または実施の形態２で説明したように、ポリシー情報要求メッセージによってポリシー情報を取得してポリシー情報テーブル１１６を生成しており、仮想ネットワークを用いたデータ通信が可能な状態となっているものとする。

通信端末１１０は、通信端末１２０にデバイスハンドオーバすることを決定すると、その旨を通信端末１２０に通知する。デバイスハンドオーバする旨を通知されると、通信端末１２０のポリシー管理部１２５は、ポリシー情報の転送を要求するポリシー情報転送要求メッセージを物理通信インタフェース部１２１を介して通信端末１１０に送信する。

通信端末１１０のポリシー管理部１１５は、物理通信インタフェース部１１１を介してポリシー情報転送要求メッセージを受信すると、ポリシー情報テーブル１１６に登録されているすべての情報を含むポリシー情報転送要求応答メッセージを生成する。ポリシー管理部１１５は、生成したポリシー情報転送要求応答メッセージを物理通信インタフェース部１１１を介して通信端末１２０に送信する。

通信端末１２０のポリシー管理部１２５は、物理通信インタフェース部１２１を介してポリシー情報転送要求応答メッセージを受信すると、ポリシー情報転送要求応答メッセージに含まれる情報をポリシー情報テーブル１２６に登録する。ポリシー情報転送要求応答メッセージに含まれる情報をポリシー情報テーブル１２６に登録した後は、通信端末１２０は、先の図６のシーケンス図のステップＳ１０４〜Ｓ１０６の仮想インタフェース選択動作にしたがって、仮想通信インタフェースを選択してデータ通信を行なう。

このように、この実施の形態４においては、ハンドオーバ先の通信端末１２０は、ハンドオーバ元の通信端末１１０からポリシー情報を取得するようにしているため、デバイスハンドオーバが行われた場合でも、ハンドオーバ先の通信端末１２０は、新たにポリシーサーバ３１０，４１０からポリシー情報を取得することなく、ハンドオーバ元の通信端末１１０が使用していた仮想ネットワークを継続して利用することができる。

なお、この実施の形態４においては、プライベートネットワーク３００，４００にポリシーサーバ３１０，４１０を備えた構成としたが、先の実施の形態２のポリシーサーバ３１０ａ、４１０ａを備えた構成であっても、先の実施の形態３のホームサーバ３４０を備えた構成であってもかまわない。

また、実施の形態１〜４において、通信端末１１０，１２０の物理通信インタフェース１１１，１２１とアクセスネットワーク１００の接続形態は、有線であっても無線であってもよく、有線および無線の物理通信インタフェースを備えるようにしてもよい。

以上のように、本発明にかかる仮想ネットワーク通信システムは、複数の仮想ネットワークを使用する場合に有用であり、特に、リモートアクセスを受け入れるプライベートネットワークの管理者側のポリシー情報を考慮し、通信端末が複数の仮想ネットワークに同時に加入して特定のアプリケーションやセションといった目的別に仮想ネットワークを使い分けるシステムに適している。

この発明における仮想ネットワーク通信システムの実施の形態１の構成の一例を示す図である。図１に示したポリシーサーバの構成を示すブロック図である。図２に示したデータベース部の登録項目の一例を示す図である。図１に示した通信端末のこの発明に関わる機能構成を示すブロック図である。図４に示したポリシー情報テーブルの登録項目の一例を示す図である。この発明における仮想ネットワーク通信システムの実施の形態１の動作を説明するためのシーケンス図である。この実施の形態２のポリシーサーバの構成を示すブロック図である。図７に示したデータベース部の登録項目の一例を示す図である。この発明における仮想ネットワーク通信システムの実施の形態３の構成の一例を示す図である。図９に示したホームサーバの構成を示すブロック図である。図１０に示したデータベース部のサーバリストの登録項目の一例を示す図である。この発明における仮想ネットワーク通信システムの実施の形態３の動作を説明するためのシーケンス図である。この発明における仮想ネットワーク通信システムの実施の形態４の構成の一例を示す図である。図１３に示した通信端末のこの発明に関わる機能構成を示すブロック図である。

符号の説明

１００アクセスネットワーク
１１０，１２０，３２０，３３０，４２０，４３０通信端末
１１１，１２１，３１１物理通信インタフェース部
１１２，１１３，１２２，１２３仮想通信インタフェース部
１１４，１２４仮想ネットワーク選択部
１１５，１２５ポリシー管理部
１１６，１２６ポリシー情報テーブル
２００インターネット
３００，４００プライベートネットワーク
３１０，３１０ａ，４１０，４１０ａポリシーサーバ
３１２，３４２データベース部
３１３，３４４制御部
３１４，３４３開示レベル判断部

Claims

少なくとも１台の通信端末が接続するアクセスネットワークと、仮想ネットワーク毎に存在し当該仮想ネットワークを管理するポリシーサーバと前記通信端末の通信相手端末とが接続する少なくとも１つのプライベートネットワークと、前記アクセスネットワークと前記プライベートネットワークとを接続するネットワークとを有する仮想ネットワーク通信システムにおいて、
前記ポリシーサーバは、
前記通信端末に対応付けて当該通信端末のポリシー情報が登録されるデータベース部と、
前記通信端末からのポリシー情報要求メッセージを受信すると、該ポリシー情報要求メッセージを送信した通信端末のポリシー情報を前記データベース部から抽出し、抽出したポリシー情報および自身を識別するためのサーバ識別子を含むポリシー情報要求応答メッセージを前記通信端末に送信する制御部と、
を備え、
前記通信端末は、
前記仮想ネットワークに対応付けてポリシー情報が登録されるポリシー情報テーブルと、
前記アクセスネットワーク接続時に、仮想ネットワークへの接続条件となるポリシー情報を要求する前記ポリシー情報要求メッセージを前記ポリシーサーバに送信し、前記ポリシーサーバから前記ポリシー情報要求応答メッセージを受信すると、前記ポリシー情報要求応答メッセージに含まれるサーバ識別子が示すポリシーサーバが管理する仮想ネットワークに対応付けて前記ポリシー情報要求応答メッセージに含まれるポリシー情報を前記ポリシー情報テーブルに登録するポリシー管理部と、
データ通信要求を受けると、前記ポリシー情報テーブルに登録されているポリシー情報の中から、前記データ通信要求に含まれる送信先情報の接続条件を満たすポリシー情報を抽出し、抽出したポリシー情報に対応付けられている仮想ネットワークを選択し、選択した仮想ネットワークを用いて通信相手端末とデータ通信を行う仮想ネットワーク選択部と、
を備えることを特徴とする仮想ネットワーク通信システム。
前記仮想ネットワーク選択部は、
前記送信先情報の接続条件を満たすポリシー情報を抽出できなかった場合には、仮想ネットワークを用いることなく、実ネットワークを用いてデータ通信を行うこと、
を特徴とする請求項１に記載の仮想ネットワーク通信システム。
前記ポリシー情報を、通信相手端末のあて先ＩＰアドレス、あて先ポート番号、およびアプリケーションを識別可能なあて先アプリケーションヘッダ情報を含むあて先情報と、ポリシー情報を有効とする時間を示す有効時間とすること、
を特徴とする請求項１または２に記載の仮想ネットワーク通信システム。
前記通信端末のポリシー管理部は、
自身の状態を示す状態情報を含めたポリシー情報要求メッセージを前記ポリシーサーバに送信し、
前記ポリシーサーバは、
前記ポリシー情報要求メッセージに含まれる状態情報に基づいて、前記制御部が抽出したポリシー情報毎に前記通信端末に送信するか否かを判定する開示レベル判断部、
をさらに備え、
前記ポリシーサーバのデータベース部は、
前記ポリシー情報に加えて当該ポリシー情報を開示するか否かを判定する指数となる開示レベルが登録され、
前記開示レベル判断部は、
前記ポリシー情報要求メッセージに含まれる状態情報に基づいて当該通信端末の状態を数値化し、数値化した値が前記制御部が抽出したポリシー情報に対応付けられた開示レベル以下の場合には当該ポリシー情報を送信すると判断し、数値化した値が前記制御部が抽出したポリシー情報に対応付けられた開示レベルより大きい場合には当該ポリシー情報を送信しないと判断し、
前記制御部は、
前記開示レベル判断部によって送信すると判断されたポリシー情報のみをポリシー情報要求応答メッセージに含ませること、
を特徴とする請求項１〜３の何れか一つに記載の仮想ネットワーク通信システム。
前記状態情報を、前記通信端末の位置情報、前記通信端末周辺の騒音レベルを示す環境情報、前記通信端末が接続しているアクセスネットワークを識別するリモートホスト情報の少なくとも１つとすること、
を特徴とする請求項４に記載の仮想ネットワーク通信システム。
前記通信端末に対応付けて当該通信端末が接続可能なポリシーサーバのアドレスが登録されたサーバリストを管理するデータベース部と、
前記通信端末からポリシーサーバリスト要求メッセージを受信すると、該ポリシーサーバリスト要求メッセージを送信した通信端末に対応付けられたアドレスをサーバリストから抽出し、抽出したアドレスを含むポリシーサーバリスト要求応答メッセージを前記通信端末に送信する制御部、
とを有するホームサーバ、
をさらに備え、
前記通信端末のポリシー管理部は、
前記アクセスネットワーク接続時に、自身が接続可能な仮想ネットワークを管理するポリシーサーバのリストを要求する前記ポリシーサーバリスト要求メッセージを前記ホームサーバに送信し、前記ホームサーバから前記ポリシーサーバリスト要求応答メッセージを受信すると、該ポリシーサーバリスト要求応答メッセージに含まれるアドレスが示すポリシーサーバに対して前記ポリシー情報要求メッセージを送信すること、
を特徴とする請求項１〜５の何れか１つに記載の仮想ネットワーク通信システム。
前記アクセスネットワークに複数の通信端末が存在しており、かつ前記通信端末が複数の通信端末間にてセション情報の転送するデバイスハンドオーバ機能を有する場合、
デバイスハンドオーバのハンドオーバ先となる通信端末のポリシー管理部は、
ポリシー情報の転送を要求するポリシー情報転送要求メッセージをハンドオーバ元となる通信端末に送信し、ハンドオーバ元となる通信端末からポリシー情報転送要求応答メッセージを受信すると、受信したポリシー情報転送要求応答メッセージに含まれる情報を自身のポリシー情報テーブルに登録し、
デバイスハンドオーバのハンドオーバ元となる通信端末のポリシー管理部は、
前記ポリシー情報転送要求メッセージを受信すると、自身のポリシー情報テーブルに登録されている情報を含めたポリシー情報転送要求応答メッセージを前記ポリシー情報転送要求メッセージを送信した通信端末に送信すること、
を特徴とする請求項１〜６の何れか一つに記載の仮想ネットワーク通信システム。
仮想ネットワークに存在してポリシー情報を管理するポリシーサーバと通信相手端末とが接続する少なくとも１つのプライベートネットワークと、該プライベートネットワークとアクセスネットワークとを接続するネットワークとを有する仮想ネットワーク通信システムに適用され、前記アクセスネットワークに接続して前記通信相手端末とデータ通信を行う通信端末であって、
前記仮想ネットワークに対応付けてポリシー情報が登録されるポリシー情報テーブルと、
前記アクセスネットワーク接続時に、仮想ネットワークへの接続条件となるポリシー情報を要求するポリシー情報要求メッセージを前記ポリシーサーバに送信して前記ポリシーサーバから自身が接続可能な仮想ネットワークのポリシー情報を取得し、取得したポリシー情報を前記仮想ネットワークに対応付けて前記ポリシー情報テーブルに登録するポリシー管理部と、
データ通信要求を受けると、前記ポリシー情報テーブルに登録されているポリシー情報の中から、前記データ通信要求に含まれる送信先情報の接続条件を満たすポリシー情報を抽出し、抽出したポリシー情報に対応付けられている仮想ネットワークを選択し、選択した仮想ネットワークを用いて通信相手端末とデータ通信を行う仮想ネットワーク選択部と、
を備えることを特徴とする通信端末。