JP2009033215A

JP2009033215A - Ｖｐｎユーザ管理方法、ｖｐｎサービスネットワークシステム、ｖｐｎ接続サーバ、ｖｐｎ転送装置およびプログラム

Info

Publication number: JP2009033215A
Application number: JP2007191816A
Authority: JP
Inventors: Kunio Namito; 邦夫波戸; Takeshi Yagi; 毅八木; Junichi Murayama; 純一村山; Makoto Imase; 真今瀬; Hiroyuki Osaki; 博之大崎
Original assignee: Nippon Telegraph and Telephone Corp; Osaka University NUC
Current assignee: Nippon Telegraph and Telephone Corp; Osaka University NUC
Priority date: 2007-07-24
Filing date: 2007-07-24
Publication date: 2009-02-12
Anticipated expiration: 2027-07-24
Also published as: JP4946692B2

Abstract

【課題】情報の受信者にとって信頼性が高い送信者の識別情報の付与と情報の送信者にとって柔軟な送信者の識別情報の付与とを両立させる。
【解決手段】送信側のＶＰＮ接続サーバ１１１は、ユーザ端末１０１のユーザを識別するユーザ識別手順と、識別したユーザをＶＰＮ１６１に接続可能か否かを判定する接続可否判定手順と、ＶＰＮ１６１への接続が可能と判定された場合に、ユーザ端末１０１から受信したパケットに、ユーザ識別子およびユーザ名のうち少なくとも１つと、ＶＰＮ１６１を示すＶＰＮ識別子と、自装置のＶＰＮ接続サーバを示すＶＰＮ端末識別子とを付与する識別子付与手順と、ＶＰＮサービスを提供するＷＡＮの境界に設置されたＶＰＮ転送装置１２１にパケットを送信する送信手順とを実行する。
【選択図】図１

Description

本発明は、ＶＰＮ（Virtual Private Network ）サービスに加入するユーザを管理するＶＰＮユーザ管理方法、ＶＰＮサービスネットワークシステム、ＶＰＮ接続サーバ、ＶＰＮ転送装置およびプログラムに関するものである。

ＶＰＮサービスを提供するＷＡＮ（Wide Area Network ）において、ある特定のＶＰＮに接続可能か否かを識別するためには物理回線の識別子、またはＶＬＡＮ（Virtual Local Area Network）やＡＴＭ（Asynchronous Transfer Mode）などの回線多重化技術やＩＰｓｅｃ（IP Security Protocol）などの暗号化技術によって生成された論理回線の識別子が用いられる。

ＶＰＮサービスに加入するユーザのユーザ端末から送信されたパケットは、物理回線または論理回線を経由してＶＰＮサービスを提供するＷＡＮに転送される。そして、これらの物理回線又は論理回線がＷＡＮとの境界においてＶＰＮに接続可能な場合のみ、それぞれの回線が持つ識別子がＶＰＮ内に転送される。物理回線の識別子や論理回線の識別子は、ＶＰＮサービスの管理者のみが設定可能な値である。

一方、ユーザ識別子として、ＩＰ（Internet Protocol ）アドレスまたはメールアドレスが存在する。ユーザ端末から送信されるパケットまたはメッセージには、送信元ユーザを示す送信元ＩＰアドレスまたは送信元メールアドレスを付与可能である。パケットまたはメッセージの受信者は、パケットまたはメッセージに付与された送信元ＩＰアドレスまたは送信元メールアドレスにより、情報の送信元ユーザを識別することが可能である。送信元ＩＰアドレスや送信元メールアドレスは、ユーザが設定可能である（例えば、非特許文献１参照）。

白神彰則他，「条件付ＵＲＩによる認証方式の検討」，社団法人電子情報通信学会，信学技報，NS2004-268，IN2004-268，2005

ＶＰＮサービスを提供するＷＡＮにおいては、物理回線の識別子や論理回線の識別子を用いてＷＡＮの境界において送信元のユーザを識別することが可能であるが、情報を受信するユーザまで、物理回線の識別子や論理回線の識別子が伝達されないという問題点があった。
また、物理回線の識別子や論理回線の識別子は情報を送信するユーザには変更不可能なため、同一の物理回線または論理回線から複数のユーザが情報を送信した場合には、ユーザ毎に識別子を使い分けることができず、複数のユーザに同一の識別子が割り当てられる可能性があるため、受信側の装置で送信元のユーザを識別できないという問題点があった。

また、パケットに付与する送信元ＩＰアドレス、またはメッセージに付与する送信元メールアドレスは、情報を送信するユーザが自由に設定可能なため、他のユーザのＩＰアドレスまたはメールアドレスの詐称が容易であり、情報を受信したユーザはパケットに付与された送信元ＩＰアドレス、またはメッセージに付与された送信元メールアドレスが示す送信元ユーザの正当性を信頼できないという問題点があった。
以上のように、従来技術では、情報の受信者にとって信頼性が高い送信者の識別情報の付与と情報の送信者にとって柔軟な送信者の識別情報の付与とを両立できないという問題点があった。

本発明は、上記課題を解決するためになされたもので、情報の受信者にとって信頼性が高い送信者の識別情報の付与と情報の送信者にとって柔軟な送信者の識別情報の付与とを両立させることができるＶＰＮユーザ管理方法、ＶＰＮサービスネットワークシステム、ＶＰＮ接続サーバ、ＶＰＮ転送装置およびプログラムを提供することを目的とする。

本発明は、ＶＰＮサービスを提供するＷＡＮの境界に設置され、このＷＡＮが提供するＶＰＮとの間でパケットを送受信するＶＰＮ転送装置と、ＶＰＮサービスに加入するユーザが使用するユーザ端末と前記ＶＰＮ転送装置との間でパケットを中継するＶＰＮ接続サーバとを含むＶＰＮサービスネットワークシステムにおけるＶＰＮユーザ管理方法であって、送信側のＶＰＮ接続サーバが、このＶＰＮ接続サーバに接続したユーザ端末のユーザを識別する第１のユーザ識別手順と、ユーザごとに接続可能なＶＰＮが予め登録されたユーザ管理テーブルを参照し、前記識別したユーザをＶＰＮに接続可能か否かを判定する第１の接続可否判定手順と、前記ＶＰＮへの接続が可能と判定された場合に、前記識別したユーザのユーザ端末から受信したパケットに、ユーザ識別子およびユーザ名のうち少なくとも１つと、接続可能と判定されたＶＰＮを示すＶＰＮ識別子と、自装置のＶＰＮ接続サーバを示すＶＰＮ端末識別子とを付与する識別子付与手順と、この識別子付与手順で識別子が付与されたパケットを自装置のＶＰＮ接続サーバに接続されたＶＰＮ転送装置に送信する第１の送信手順とを、実行するようにしたものである。

また、本発明のＶＰＮユーザ管理方法の１構成例は、前記ＶＰＮ接続サーバから送信されたパケットを受信したＶＰＮ転送装置が、受信したパケットに付与されたＶＰＮ端末識別子またはＶＰＮ識別子からこのパケットが属するＶＰＮを識別する転送先ＶＰＮ識別手順と、ＶＰＮ接続サーバが接続可能なＶＰＮとこのＶＰＮ接続サーバのＶＰＮ端末識別子とが対応付けて予め登録されたＶＰＮ接続テーブルを参照し、前記送信側のＶＰＮ接続サーバを前記転送先ＶＰＮ識別手順で識別したＶＰＮに接続可能か否かを判定する第２の接続可否判定手順と、前記ＶＰＮ接続テーブルを参照し、前記受信したパケットに付与されたＶＰＮ端末識別子と前記ＶＰＮにおいて前記送信側のＶＰＮ接続サーバを識別するためのＶＰＮ端末識別子とが一致するか否かを判定するＶＰＮ端末識別子一致判定手順と、前記第２の接続可否判定手順で前記送信側のＶＰＮ接続サーバをＶＰＮに接続可能と判定され、かつ前記ＶＰＮ端末識別子一致判定手順でＶＰＮ端末識別子が一致すると判定された場合に、前記受信したパケットを前記転送先ＶＰＮ識別手順で識別したＶＰＮに転送する転送手順とを、実行するようにしたものである。

また、本発明のＶＰＮユーザ管理方法の１構成例は、前記ＶＰＮ転送装置から送信されたパケットを受信した受信側のＶＰＮ接続サーバが、前記受信したパケットに付与されたユーザ識別子またはユーザ名に基づき、このパケットの送信元のユーザを識別する第２のユーザ識別手順と、前記受信したパケットに付与されたＶＰＮ端末識別子に基づき、このパケットを送信した送信側のＶＰＮ接続サーバを識別するＶＰＮ接続サーバ識別手順と、前記受信したパケットに付与されたＶＰＮ端末識別子またはＶＰＮ識別子に基づき、このパケットを伝送したＶＰＮを識別する伝送ＶＰＮ識別手順と、前記受信したパケットを受信側のユーザ端末に送信する第２の送信手順と、前記第２のユーザ識別手順で識別した送信元のユーザ、前記ＶＰＮ接続サーバ識別手順で識別した送信側のＶＰＮ接続サーバ、前記伝送ＶＰＮ識別手順で識別したＶＰＮのうち少なくとも１つを、前記受信側のユーザ端末に通知する通知手順とを、実行するようにしたものである。

また、本発明は、ＶＰＮ転送装置とＶＰＮ接続サーバとを含むＶＰＮサービスネットワークシステムであって、前記ＶＰＮ接続サーバは、このＶＰＮ接続サーバに接続したユーザ端末のユーザを識別する第１のユーザ識別手段と、ユーザごとに接続可能なＶＰＮが予め登録されたユーザ管理テーブルと、ＶＰＮ接続サーバが接続可能なＶＰＮとこのＶＰＮ接続サーバのＶＰＮ端末識別子とが対応付けて予め登録された第１のＶＰＮ接続テーブルと、前記ユーザ管理テーブルを参照し、前記識別したユーザをＶＰＮに接続可能か否かを判定する第１の接続可否判定手段と、前記ＶＰＮへの接続が可能と判定された場合に、前記識別したユーザのユーザ端末から受信したパケットに、ユーザ識別子およびユーザ名のうち少なくとも１つと、接続可能と判定されたＶＰＮを示すＶＰＮ識別子と、自装置のＶＰＮ接続サーバを示すＶＰＮ端末識別子とを付与する識別子付与手段と、この識別子付与手段で識別子が付与されたパケットを自装置のＶＰＮ接続サーバに接続されたＶＰＮ転送装置に送信する第１の送信手段と、前記ＶＰＮ転送装置からパケットを受信したときに、このパケットに付与されたユーザ識別子またはユーザ名に基づき、このパケットの送信元のユーザを識別する第２のユーザ識別手段と、前記ＶＰＮ転送装置から受信したパケットに付与されたＶＰＮ端末識別子に基づき、このパケットを送信した送信側のＶＰＮ接続サーバを識別するＶＰＮ接続サーバ識別手段と、前記ＶＰＮ転送装置から受信したパケットに付与されたＶＰＮ端末識別子またはＶＰＮ識別子に基づき、このパケットを伝送したＶＰＮを識別する伝送ＶＰＮ識別手段と、前記ＶＰＮ転送装置から受信したパケットを受信側のユーザ端末に送信する第２の送信手段と、前記第２のユーザ識別手段で識別した送信元のユーザ、前記ＶＰＮ接続サーバ識別手段で識別した送信側のＶＰＮ接続サーバ、前記伝送ＶＰＮ識別手段で識別したＶＰＮのうち少なくとも１つを、前記受信側のユーザ端末に通知する通知手段とを備えることを特徴とするものである。

また、本発明のＶＰＮサービスネットワークシステムの１構成例において、前記ＶＰＮ転送装置は、送信側の前記ＶＰＮ接続サーバから受信したパケットに付与されたＶＰＮ端末識別子またはＶＰＮ識別子からこのパケットが属するＶＰＮを識別する転送先ＶＰＮ識別手段と、ＶＰＮ接続サーバが接続可能なＶＰＮとこのＶＰＮ接続サーバのＶＰＮ端末識別子とが対応付けて予め登録された第２のＶＰＮ接続テーブルと、前記第２のＶＰＮ接続テーブルを参照し、前記送信側のＶＰＮ接続サーバを前記転送先ＶＰＮ識別手段で識別したＶＰＮに接続可能か否かを判定する第２の接続可否判定手段と、前記第２のＶＰＮ接続テーブルを参照し、前記ＶＰＮ接続サーバから受信したパケットに付与されたＶＰＮ端末識別子と前記ＶＰＮにおいて前記送信側のＶＰＮ接続サーバを識別するためのＶＰＮ端末識別子とが一致するか否かを判定するＶＰＮ端末識別子一致判定手段と、前記第２の接続可否判定手段で前記送信側のＶＰＮ接続サーバをＶＰＮに接続可能と判定され、かつ前記ＶＰＮ端末識別子一致判定手段でＶＰＮ端末識別子が一致すると判定された場合に、前記受信したパケットを前記転送先ＶＰＮ識別手段で識別したＶＰＮに転送する転送手段とを備えることを特徴とするものである。

また、本発明のＶＰＮ接続サーバは、自装置に接続したユーザ端末のユーザを識別する第１のユーザ識別手段と、ユーザごとに接続可能なＶＰＮが予め登録されたユーザ管理テーブルと、ＶＰＮ接続サーバが接続可能なＶＰＮとこのＶＰＮ接続サーバのＶＰＮ端末識別子とが対応付けて予め登録されたＶＰＮ接続テーブルと、前記ユーザ管理テーブルを参照し、前記識別したユーザをＶＰＮに接続可能か否かを判定する接続可否判定手段と、前記ＶＰＮへの接続が可能と判定された場合に、前記識別したユーザのユーザ端末から受信したパケットに、ユーザ識別子およびユーザ名のうち少なくとも１つと、接続可能と判定されたＶＰＮを示すＶＰＮ識別子と、自装置のＶＰＮ接続サーバを示すＶＰＮ端末識別子とを付与する識別子付与手段と、この識別子付与手段で識別子が付与されたパケットを自装置に接続されたＶＰＮ転送装置に送信する第１の送信手段とを備えることを特徴とするものである。

また、本発明のＶＰＮ接続サーバの１構成例は、さらに、前記ＶＰＮ転送装置からパケットを受信したときに、このパケットに付与されたユーザ識別子またはユーザ名に基づき、このパケットの送信元のユーザを識別する第２のユーザ識別手段と、前記ＶＰＮ転送装置から受信したパケットに付与されたＶＰＮ端末識別子に基づき、このパケットを送信した送信側のＶＰＮ接続サーバを識別するＶＰＮ接続サーバ識別手段と、前記ＶＰＮ転送装置から受信したパケットに付与されたＶＰＮ端末識別子またはＶＰＮ識別子に基づき、このパケットを伝送したＶＰＮを識別する伝送ＶＰＮ識別手段と、前記ＶＰＮ転送装置から受信したパケットを受信側のユーザ端末に送信する第２の送信手段と、前記第２のユーザ識別手段で識別した送信元のユーザ、前記ＶＰＮ接続サーバ識別手段で識別した送信側のＶＰＮ接続サーバ、前記伝送ＶＰＮ識別手段で識別したＶＰＮのうち少なくとも１つを、前記受信側のユーザ端末に通知する通知手段とを備えることを特徴とするものである。

また、本発明のＶＰＮ転送装置は、ＶＰＮサービスに加入するユーザが使用するユーザ端末とＶＰＮ転送装置との間でパケットを中継するＶＰＮ接続サーバから受信したパケットに付与されたＶＰＮ端末識別子またはＶＰＮ識別子からこのパケットが属するＶＰＮを識別する転送先ＶＰＮ識別手段と、ＶＰＮ接続サーバが接続可能なＶＰＮとこのＶＰＮ接続サーバのＶＰＮ端末識別子とが対応付けて予め登録されたＶＰＮ接続テーブルと、前記ＶＰＮ接続テーブルを参照し、送信側の前記ＶＰＮ接続サーバを前記転送先ＶＰＮ識別手段で識別したＶＰＮに接続可能か否かを判定する接続可否判定手段と、前記ＶＰＮ接続テーブルを参照し、前記ＶＰＮ接続サーバから受信したパケットに付与されたＶＰＮ端末識別子と前記ＶＰＮにおいて前記送信側のＶＰＮ接続サーバを識別するためのＶＰＮ端末識別子とが一致するか否かを判定するＶＰＮ端末識別子一致判定手段と、前記接続可否判定手段で前記送信側のＶＰＮ接続サーバをＶＰＮに接続可能と判定され、かつ前記ＶＰＮ端末識別子一致判定手段でＶＰＮ端末識別子が一致すると判定された場合に、前記受信したパケットを前記転送先ＶＰＮ識別手段で識別したＶＰＮに転送する転送手段とを備えることを特徴とするものである。

また、本発明は、ＶＰＮ接続サーバとしてコンピュータを動作させるＶＰＮ接続サーバプログラムであって、送信側のＶＰＮ接続サーバとして動作する場合に、第１のユーザ識別手順と、接続可否判定手順と、識別子付与手順と、第１の送信手順とを、コンピュータに実行させ、前記ＶＰＮ転送装置から送信されたパケットを受信した受信側のＶＰＮ接続サーバとして動作する場合に、第２のユーザ識別手順と、ＶＰＮ接続サーバ識別手順と、伝送ＶＰＮ識別手順と、第２の送信手順と、通知手順とを、コンピュータに実行させることを特徴とするものである。

また、本発明は、ＶＰＮ転送装置としてコンピュータを動作させるＶＰＮ転送装置プログラムであって、転送先ＶＰＮ識別手順と、接続可否判定手順と、ＶＰＮ端末識別子一致判定手順と、転送手順とを、コンピュータに実行させることを特徴とするものである。

本発明によれば、送信側のＶＰＮ接続サーバにおいて、ユーザ端末のユーザを識別し、このユーザをＶＰＮに接続可能か否かを判定し、ＶＰＮへの接続が可能と判定した場合に、ユーザ端末から受信したパケットに、ユーザ識別子およびユーザ名のうち少なくとも１つと、接続可能と判定したＶＰＮを示すＶＰＮ識別子と、自装置のＶＰＮ接続サーバを示すＶＰＮ端末識別子とを付与するようにしたので、このパケットを受信したＶＰＮ転送装置では、受信したパケットに付与されたＶＰＮ端末識別子またはＶＰＮ識別子からパケットが属するＶＰＮを識別し、送信側のＶＰＮ接続サーバをＶＰＮに接続可能か否かを判定し、受信したパケットに付与されたＶＰＮ端末識別子とＶＰＮにおいて送信側のＶＰＮ接続サーバを識別するためのＶＰＮ端末識別子とが一致するか否かを判定し、送信側のＶＰＮ接続サーバをＶＰＮに接続できない場合や、ＶＰＮ端末識別子が一致しない場合には、パケットを廃棄することができる。また、受信側のＶＰＮ接続サーバでは、ＶＰＮ転送装置からパケットを受信した場合、このパケットに付与されたＶＰＮ端末識別子が詐称されている可能性がないため、このパケットを送信した送信側のＶＰＮ接続サーバを正しく識別できると同時に、このパケットに付与されたユーザ識別子またはユーザ名に基づき、当該パケットを送信したユーザを識別することができる。ユーザ識別子とユーザ名はＶＰＮ接続サーバの管理者が管理するものであり、ＶＰＮ識別子、ＶＰＮ端末識別子はＶＰＮサービスを提供するＷＡＮの管理者が管理するものである。したがって、本発明では、情報の受信者にとって信頼性が高い送信者の識別情報の付与と情報の送信者にとって柔軟な送信者の識別情報の付与とを両立させることができる。

以下、本発明の実施の形態について図面を参照して説明する。図１は本発明の実施の形態に係るＶＰＮサービスネットワークシステムの構成を示すブロック図である。
本実施の形態のＶＰＮサービスネットワークシステムは、ユーザ端末１０１〜１０８と、ＶＰＮ接続サーバ１１１〜１１４と、ＶＰＮ転送装置１２１，１２２と、物理回線１４１，１４２，１４５と、ＶＰＮ管理サーバ１５１と、ＷＡＮ１７１と、ＬＡＮ（Local Area Network）１８１〜１８４とから構成される。

後述のように、ＶＰＮ転送装置１２１は、ＶＰＮ転送機能部１３１，１３２を有し、ＶＰＮ転送装置１２２は、ＶＰＮ転送機能部１３３，１３４を有する。物理回線１４５内には、論理回線１４３，１４４が設定されている。
ＷＡＮ１７１は、ブリッジによるネットワーク、ＭＰＬＳ（Multiprotocol Label Switching）ネットワーク、ＩＰネットワーク等のＶＰＮサービスが提供可能なデータネットワークであれば良く、またこれらの例に限定されるものではない。

ＶＰＮ接続サーバ１１１は、ＬＡＮ１８１を介してユーザ端末１０１，１０２と接続され、物理回線１４１を介してＶＰＮ転送装置１２１内のＶＰＮ転送機能部１３１と接続される。
ＶＰＮ接続サーバ１１２は、ＬＡＮ１８２を介してユーザ端末１０３，１０４と接続され、物理回線１４２を介してＶＰＮ転送装置１２１内のＶＰＮ転送機能部１３２と接続される。

ＶＰＮ接続サーバ１１３は、ＬＡＮ１８３を介してユーザ端末１０５，１０６と接続され、物理回線１４５内の論理回線１４３を介してＶＰＮ転送装置１２２内のＶＰＮ転送機能部１３３と接続される。
ＶＰＮ接続サーバ１１４は、ＬＡＮ１８４を介してユーザ端末１０７，１０８と接続され、物理回線１４５内の論理回線１４４を介してＶＰＮ転送装置１２２内のＶＰＮ転送機能部１３４と接続される。

論理回線１４３，１４４は、ＩＰｓｅｃ、ＳＳＬ（Secure Sockets Layer）、ＶＬＡＮ、ＩＰｉｎＩＰ、ＧＲＥ（Generic Routing Encapsulation）、ＭＰＬＳ、ＡＴＭ等、論理的に多重可能な回線であればよく、またこれらの例に限定されるものではない。

ＶＰＮ転送装置１２１，１２２は、ＷＡＮ１７１と接続され、ＷＡＮ１７１が提供するＶＰＮ１６１〜１６３と論理的に接続される。
ＶＰＮ転送装置１２１内のＶＰＮ転送機能部１３１はＶＰＮ１６１，１６２と論理的に接続され、ＶＰＮ転送装置１２１内のＶＰＮ転送機能部１３２はＶＰＮ１６２，１６３と論理的に接続される。ＶＰＮ転送装置１２２内のＶＰＮ転送機能部１３３はＶＰＮ１６１，１６２と論理的に接続され、ＶＰＮ転送装置１２２内のＶＰＮ転送機能部１３４はＶＰＮ１６２，１６３と論理的に接続される。ＶＰＮ管理サーバ１５１は、ＷＡＮ１７１と接続される。

本実施の形態におけるＶＰＮ接続サーバ１１１の構成例を図２に示す。ＶＰＮ接続サーバ１１１は、パケット送受信機能部２０１と、ユーザ識別機能部２０２と、ＶＰＮ接続機能部２０３と、識別子付与機能部２０４と、識別判定機能部２０５と、ＶＰＮ接続テーブル２０６と、ユーザ管理テーブル２０７とを有する。

ユーザ識別機能部２０２は第１のユーザ識別手段を構成し、ＶＰＮ接続機能部２０３は接続可否判定手段を構成し、識別子付与機能部２０４は識別子付与手段を構成し、識別判定機能部２０５は第２のユーザ識別手段とＶＰＮ接続サーバ識別手段と伝送ＶＰＮ識別手段とを構成し、パケット送受信機能部２０１は第１の送信手段と第２の送信手段と通知手段とを構成している。

パケット送受信機能部２０１は、ＬＡＮを介してユーザ端末と接続され、物理回線または論理回線を介してＶＰＮ転送装置と接続され、ユーザ端末またはＶＰＮ転送装置との間でパケットを送受信する。

ユーザ識別機能部２０２は、ＶＰＮ接続サーバ１１１に接続したユーザ端末を利用するユーザを識別する。ユーザの識別方法は、パスワードによる識別方法、証明書による識別方法や、ＩＰｓｅｃ、ＳＳＬ、ＶＬＡＮ、ＩＰｉｎＩＰ、ＧＲＥ、ＭＰＬＳ、ＡＴＭ等の論理回線による識別方法など、ユーザを識別可能な方法であればよい。また、ユーザの識別方法はこれらの例に限定されるものではない。

ＶＰＮ接続機能部２０３は、ユーザ端末を利用してＶＰＮ接続サーバ１１１にアクセスしたユーザをＶＰＮに接続することが可能かどうか判断し、接続可能である場合のみそのユーザ端末からのパケットの転送を許可する。

識別子付与機能部２０４は、ＶＰＮ接続サーバ１１１と接続されたＶＰＮ転送装置１２１へ送信するパケットに対して、ユーザ識別子、ユーザ名、ＶＰＮ識別子、ＶＰＮ端末識別子のいずれか１つを付与するか、これらの任意の組み合わせを付与するか、あるいはこれらの全てを付与する。

ユーザ識別子、ユーザ名、ＶＰＮ識別子およびＶＰＮ端末識別子の付与方法としては、パケット内へ書き込む方法や、パケットにヘッダー情報を追加する方法等がある。ユーザ識別子、ユーザ名、ＶＰＮ識別子、ＶＰＮ端末識別子は、パケットを送受信する装置において識別可能であればよい。また、付与方法はこれらの例に限定されるものではない。

識別判定機能部２０５は、ＶＰＮ接続サーバ１１１と接続されたＶＰＮ転送装置１２１から受信したパケットに付与されたユーザ識別子、ユーザ名、ＶＰＮ識別子、ＶＰＮ端末識別子を識別し、これらのユーザ識別子、ユーザ名、ＶＰＮ識別子、ＶＰＮ端末識別子をパケットの送信元を示す情報としてユーザに通知可能な状態で保持する。

ＶＰＮ接続テーブル２０６は、ＶＰＮ接続サーバ１１１が接続可能なＶＰＮのＶＰＮ識別子と、このＶＰＮにおいて当該ＶＰＮ接続サーバ１１１を示すＶＰＮ端末識別子との組を１つ以上保持する。

ユーザ管理テーブル２０７は、ＶＰＮ接続サーバ１１１にアクセス可能なユーザのユーザ識別子と、ユーザ名と、このユーザがアクセス可能なＶＰＮのＶＰＮ識別子との組を１つ以上保持する。
なお、図２の例では、ＶＰＮ接続サーバ１１１の構成のみを示しているが、他のＶＰＮ接続サーバ１１２〜１１４の構成もＶＰＮ接続サーバ１１１と同様である。

本実施の形態におけるＶＰＮ転送装置１２１の構成例を図３に示す。ＶＰＮ転送装置１２１は、パケット送受信機能部３０１と、ＶＰＮ転送機能部３０２（図１のＶＰＮ転送機能部１３１〜１３４）と、ＶＰＮ転送機能選択テーブル３０５とを有する。

パケット送受信機能部３０１は、ＷＡＮ１７１を介してＶＰＮ管理サーバ１５１および他のＶＰＮ転送装置１２２と接続され、物理回線または論理回線を介してＶＰＮ接続サーバ１１１，１１２と接続され、ＶＰＮ管理サーバ１５１、他のＶＰＮ転送装置１２２またはＶＰＮ接続サーバ１１１，１１２との間でパケットを送受信する。

ＶＰＮ転送機能部３０２は、ＶＰＮ転送装置１２１と接続されたＶＰＮ接続サーバ１１１，１１２毎に対応して設けられる。各ＶＰＮ転送機能部３０２は、それぞれＶＰＮ接続テーブル３０３と、識別判定廃棄機能部３０４とを有する。
識別判定廃棄機能部３０４は、転送先ＶＰＮ識別手段と接続可否判定手段とＶＰＮ端末識別子一致判定手段とを構成し、パケット送受信機能部３０１は転送手段を構成している。

ＶＰＮ接続テーブル３０３は、ＶＰＮ転送機能部に対応するＶＰＮ接続サーバが接続可能なＶＰＮのＶＰＮ識別子と、このＶＰＮにおいて当該ＶＰＮ接続サーバを示すＶＰＮ端末識別子との組を１つ以上保持する。
識別判定廃棄機能部３０４は、ＶＰＮ転送機能部に対応するＶＰＮ接続サーバから受信したパケットに付与されたＶＰＮ端末識別子、ＶＰＮ識別子を識別し、ＶＰＮ接続サーバが利用可能なＶＰＮ端末識別子、およびＶＰＮかを判定し、利用不可能な場合は受信したパケットを廃棄する。

ＶＰＮ転送機能選択テーブル３０５は、ＶＰＮ転送装置１２１と接続されたＶＰＮ接続サーバ１１１，１１２から受信したパケットの経路（物理回線または論理回線）に基づいて送信元のＶＰＮ接続サーバを特定し、受信したパケットを送信元のＶＰＮ接続サーバに対応するＶＰＮ転送機能部３０２ヘ転送する。
なお、図３の例では、ＶＰＮ転送装置１２１の構成のみを示しているが、他のＶＰＮ転送装置１２２の構成もＶＰＮ転送装置１２１と同様である。

本実施の形態におけるＶＰＮ管理サーバ１５１の構成例を図４に示す。ＶＰＮ管理サーバ１５１は、パケット送受信機能部４０１と、ＶＰＮ接続サーバ設定機能部４０２と、ＶＰＮ転送装置設定機能部４０３とを有する。

パケット送受信機能部４０１は、ＷＡＮ１７１を介してＶＰＮ転送装置１２１，１２２と接続し、ＶＰＮ転送装置１２１，１２２との間でパケットを送受信する。
ＶＰＮ接続サーバ設定機能部４０２は、ＷＡＮ１７１及びＶＰＮ転送装置１２１，１２２を介してＶＰＮ接続サーバ１１１〜１１４の設定を行う。
ＶＰＮ転送装置設定機能部４０３は、ＷＡＮ１７１を介してＶＰＮ転送装置１２１，１２２の設定を行う。

次に、本実施の形態のＶＰＮユーザ管理方法を図１に示したＶＰＮサービスネットワークシステムによって説明する。
まず、ＶＰＮ管理サーバ１５１のＶＰＮ接続サーバ設定機能部４０２は、ＶＰＮ接続サーバ１１１〜１１４の各ＶＰＮ接続テーブル２０６に対して、ＶＰＮ接続サーバ１１１〜１１４に接続可能なＶＰＮ毎に、ＶＰＮ接続サーバを示すＶＰＮ端末識別子をあらかじめ誤定する。図５にＶＰＮ接続テーブル２０６の例を示す。ＶＰＮ接続テーブル２０６は、自装置のＶＰＮ接続サーバが接続可能なＶＰＮのＶＰＮ識別子と、このＶＰＮにおいて当該ＶＰＮ接続サーバを示すＶＰＮ端末識別子とを対応付けたものである。

ＶＰＮ管理サーバ１５１のＶＰＮ転送装置設定機能部４０３は、ＶＰＮ転送装置１２１，１２２の各ＶＰＮ転送機能選択テーブル３０５をあらかじめ設定する。図６にＶＰＮ転送機能選択テーブル３０５の例を示す。ＶＰＮ転送機能選択テーブル３０５は、物理回線または論理回線の識別子と、ＶＰＮ転送機能部（ＶＰＮ接続サーバ）とを対応付けたものである。

また、ＶＰＮ転送装置設定機能部４０３は、ＶＰＮ転送装置１２１，１２２の各ＶＰＮ接続テーブル３０３をあらかじめ設定する。図７にＶＰＮ接続テーブル３０３の例を示す。ＶＰＮ接続テーブル３０３は、このテーブル３０３を含むＶＰＮ転送機能部に対応するＶＰＮ接続サーバが接続可能なＶＰＮのＶＰＮ識別子と、このＶＰＮにおいて当該ＶＰＮ接続サーバを示すＶＰＮ端末識別子とを対応付けたものである。

なお、ＶＰＮ接続テーブル２０６、ＶＰＮ転送機能選択テーブル３０５およびＶＰＮ接続テーブル３０３の設定は、ＶＰＮサービスを管理する、ＷＡＮ１７１の管理者がＶＰＮ管理サーバ１５１を通じて行う。また、ＶＰＮ接続テーブル２０６の設定は、ＶＰＮ接続サーバ１１１〜１１４の管理者が行ってもよい。

次に、ＶＰＮ接続サーバ１１１〜１１４の管理者は、ＶＰＮ接続サーバ１１１〜１１４の各ユーザ管理テーブル２０７をあらかじめ設定する。図８にユーザ管理テーブル２０７の例を示す。ユーザ管理テーブル２０７は、自装置のＶＰＮ接続サーバにアクセス可能なユーザのユーザ識別子と、ユーザ名と、自装置が接続可能なＶＰＮのうちユーザがアクセス可能なＶＰＮのＶＰＮ識別子とを対応付けたものである。

パケットの送信時に、ユーザはユーザ端末１０１からＶＰＮ接続サーバ１１１に対してユーザの識別を要求する。
図９はＶＰＮ接続サーバ１１１の動作を示すフローチャートである。ＶＰＮ接続サーバ１１１のユーザ識別機能部２０２は、ＶＰＮ接続サーバ１１１に接続したユーザ端末１０１のユーザを識別する（図９ステップＳ１）。

次に、ユーザは、ユーザ端末１０１からＶＰＮ接続サーバ１１１に対してＶＰＮ１６１への接続を要求する。
ＶＰＮ接続サーバ１１１のＶＰＮ接続機能部２０３は、ユーザ管理テーブル２０７を参照し、ユーザ端末１０１を利用してＶＰＮ接続サーバ１１１にアクセスしたユーザを、要求されたＶＰＮ１６１に接続可能か否かを判定する（ステップＳ２）。

ＶＰＮ接続機能部２０３は、ユーザ管理テーブル２０７に当該ユーザの識別子とＶＰＮ１６１の識別子とが対応付けて登録されている場合、ユーザが利用するユーザ端末１０１をＶＰＮ１６１に接続可能と判定し、当該ユーザの識別子とＶＰＮ１６１の識別子とが対応付けて登録されていない場合、ユーザ端末１０１をＶＰＮ１６１に接続することはできないと判定する。

ＶＰＮ接続機能部２０３は、ステップＳ１で識別したユーザが利用するユーザ端末１０１をＶＰＮ１６１に接続できないと判定した場合、このユーザ端末１０１から送信された、ＶＰＮ１６１に属するパケットを破棄して、ＶＰＮ１６１への接続を拒否する（ステップＳ３）。

以下、ユーザが利用するユーザ端末１０１をＶＰＮ１６１に接続可能と判定された場合の動作を説明する。
ユーザは、ＶＰＮ接続サーバ１１１に対して、ＶＰＮ１６１を経由したＶＰＮ接続サーバ１１３へのパケット送信を要求する。ここで、パケットの宛先は、ＶＰＮ接続サーバ１１３ではなく、特定のユーザ、特定のユーザ端末、ＶＰＮ１６１に属する全ユーザ、ＶＰＮ１６１に属する全ユーザ端末、ＶＰＮ１６１に属する全ＶＰＮ接続サーバ、またはそれらの組み合わせであってもよい。

ＶＰＮ接続サーバ１１１の識別子付与機能部２０４は、ユーザ端末１０１からパケットを受信すると、ＶＰＮ接続テーブル２０６およびユーザ管理テーブル２０７を参照し、ステップＳ１で識別したユーザの識別子とユーザ名とＶＰＮ１６１の識別子とをユーザ管理テーブル２０７から取得すると共に、ＶＰＮ１６１におけるＶＰＮ接続サーバ１１１のＶＰＮ端末識別子をＶＰＮ接続テーブル２０６から取得し、ユーザ端末１０１から送信されＶＰＮ１６１を経由して宛先に向かうパケットに対して、ユーザ識別子とユーザ名とＶＰＮ１６１のＶＰＮ識別子とＶＰＮ接続サーバ１１１のＶＰＮ端末識別子とを付与する（ステップＳ４）。パケットに対しては、ユーザ識別子、ユーザ名、ＶＰＮ識別子、ＶＰＮ端末識別子の全てを付与する必要はなく、これらのうちいずれか１つを付与してもよいし、これらの任意の組み合わせを付与してもよい。

次に、ＶＰＮ接続サーバ１１１のパケット送受信機能部２０１は、識別子付与機能部２０４が処理したパケットを物理回線１４１を介してＶＰＮ転送装置１２１に送信する（ステップＳ５）。

図１０はＶＰＮ転送装置１２１の動作を示すフローチャートである。ＶＰＮ転送装置１２１のパケット送受信機能部３０１は、ＶＰＮ接続サーバ１１１からパケットを受信すると（図１０ステップＳ１０においてＹＥＳ）、ＶＰＮ転送機能選択テープル３０５を参照し、パケットを受信した物理回線１４１に対応するＶＰＮ転送機能部３０２（図１のＶＰＮ転送機能部１３１）を確認して、このＶＰＮ転送機能部３０２に受信したパケットを転送する（ステップＳ１１）。

パケットを受信したＶＰＮ転送機能部３０２の識別判定廃棄機能部３０４は、受信したパケットに付与されたＶＰＮ端末識別子またはＶＰＮ識別子から受信パケットが属するＶＰＮ１６１を識別し、同じＶＰＮ転送機能部３０２内のＶＰＮ接続テーブル３０３を参照して、このＶＰＮ転送機能部３０２に対応する送信側のＶＰＮ接続サーバ１１１をＶＰＮ１６１に接続可能か否かを判定する（ステップＳ１２）。ＶＰＮ端末識別子からＶＰＮを識別する場合には、ＶＰＮ接続テーブル３０３を参照して、ＶＰＮ端末識別子に対応するＶＰＮ識別子を確認すればよい。

識別判定廃棄機能部３０４は、同じＶＰＮ転送機能部３０２内のＶＰＮ接続テーブル３０３にＶＰＮ１６１の識別子が登録されている場合、ＶＰＮ接続サーバ１１１をＶＰＮ１６１に接続可能と判定し、ＶＰＮ接続テーブル３０３にＶＰＮ１６１の識別子が登録されていない場合、ＶＰＮ接続サーバ１１１をＶＰＮ１６１に接続することはできないと判定する。識別判定廃棄機能部３０４は、ＶＰＮ接続サーバ１１１をＶＰＮ１６１に接続できないと判定した場合、受信したパケットを廃棄する（ステップＳ１３）。

ＶＰＮ接続サーバ１１１をＶＰＮ１６１に接続可能と判定した場合、識別判定廃棄機能部３０４は、同じＶＰＮ転送機能部３０２内のＶＰＮ接続テーブル３０３を参照して、受信パケットに付与されたＶＰＮ端末識別子とＶＰＮ１６１においてＶＰＮ接続サーバ１１１を識別するためのＶＰＮ端末識別子とが一致するか否かを判定する（ステップＳ１４）。

識別判定廃棄機能部３０４は、ＶＰＮ接続テーブル３０３にＶＰＮ１６１の識別子と対応付けて登録されているＶＰＮ端末識別子と、受信パケットに付与されたＶＰＮ端末識別子とが同一である場合、ＶＰＮ端末識別子が一致すると判定する。識別判定廃棄機能部３０４は、受信パケットに付与されたＶＰＮ端末識別子とＶＰＮ１６１においてＶＰＮ接続サーバ１１１を識別するためのＶＰＮ端末識別子とが一致しないと判定した場合、受信したパケットを廃棄する（ステップＳ１３）。

以下、ＶＰＮ接続サーバ１１１をＶＰＮ１６１に接続可能と判定され、かつ受信パケットに付与されたＶＰＮ端末識別子とＶＰＮ１６１においてＶＰＮ接続サーバ１１１を識別するためのＶＰＮ端末識別子とが一致すると判定された場合の動作を説明する。
この場合、ＶＰＮ転送機能部３０２の識別判定廃棄機能部３０４は、受信したパケットをＶＰＮ転送装置１２１のパケット送受信機能部３０１に転送する。パケット送受信機能部３０１は、このパケットをＷＡＮ１７１内のＶＰＮ１６１を介してＶＰＮ転送装置１２２に送信する（ステップＳ１５）。

図１１はＶＰＮ転送装置１２２の動作を示すフローチャートである。ＶＰＮ転送装置１２２のパケット送受信機能部３０１は、ＶＰＮ１６１からパケットを受信すると（図１１ステップＳ２０においてＹＥＳ）、受信したパケットをＶＰＮ１６１と論理的に接続されたＶＰＮ転送機能部３０２（図１のＶＰＮ転送機能部１３３）に転送する（ステップＳ２１）。

パケットを受信したＶＰＮ転送機能部３０２は、ＶＰＮ転送機能選択テープル３０５を参照し、自身のＶＰＮ転送機能部３０２に対応する論理回線１４３を確認して、受信したパケットを論理回線１４３を介してＶＰＮ接続サーバ１１３に送信する（ステップＳ２２）。

図１２はＶＰＮ接続サーバ１１３の動作を示すフローチャートである。ＶＰＮ接続サーバ１１３のパケット送受信機能部２０１は、論理回線１４３からパケットを受信すると（図１２ステップＳ３０においてＹＥＳ）、このパケットを識別判定機能部２０５に転送する（ステップＳ３１）。

識別判定機能部２０５は、受信したパケットに付与されたユーザ識別子に基づき、このパケットの送信元のユーザを識別する（ステップＳ３２）。そして、識別判定機能部２０５は、このパケットをパケット送受信機能部２０１に転送し、識別した送信元のユーザの情報を宛先のユーザ端末に通知可能な状態で保持する。

また、識別判定機能部２０５は、受信したパケットに付与されたユーザ名に基づき、このパケットの送信元のユーザを識別するようにしてもよい（ステップＳ３２）。
また、識別判定機能部２０５は、受信したパケットに付与されたＶＰＮ端末識別子に基づき、このパケットを送信した送信側のＶＰＮ接続サーバ１１１を識別するようにしてもよい（ステップＳ３２）。識別判定機能部２０５は、識別したＶＰＮ接続サーバ１１１の情報を宛先のユーザ端末に通知可能な状態で保持する。

さらに、識別判定機能部２０５は、受信したパケットに付与されたＶＰＮ端末識別子またはＶＰＮ識別子に基づき、このパケットを伝送したＶＰＮ１６１を識別するようにしてもよい（ステップＳ３２）。ＶＰＮ端末識別子からＶＰＮを識別する場合には、ＶＰＮ接続テーブル２０６を参照して、ＶＰＮ端末識別子に対応するＶＰＮ識別子を確認すればよい。識別判定機能部２０５は、識別したＶＰＮ１６１の情報を宛先のユーザ端末に通知可能な状態で保持する。

パケット送受信機能部２０１は、識別判定機能部２０５から受信したパケットを宛先のユーザ端末１０５に送信する（ステップＳ３３）。
ユーザ端末１０５は、ＶＰＮ接続サーバ１１３から送信されたパケットをＬＡＮ１８３を介して受信する。

このとき、ＶＰＮ接続サーバ１１３のパケット送受信機能部２０１は、識別判定機能部２０５で識別した送信元のユーザ、送信側のＶＰＮ接続サーバ１１１およびＶＰＮ１６１を示す情報をユーザ端末１０５に通知することが可能であり、ユーザ端末１０５では、これらの情報をパケットと共に受信することが可能である。

情報を通知する方法としては、ユーザ識別子、ユーザ名、ＶＰＮ識別子、ＶＰＮ端末識別子をパケット内へ書き込む方法、ユーザ識別子、ユーザ名、ＶＰＮ識別子、ＶＰＮ端末識別子を含むヘッダー情報をパケットに追加する方法、ＩＰｓｅｃ、ＳＳＬ、ＶＬＡＮ、ＩＰｉｎＩＰ、ＧＲＥ、ＭＰＬＳ、ＡＴＭ等の論理回線による方法、ユーザ端末からアクセス可能なＷｅｂページに表示する方法など、受信するユーザ端末において識別可能な方法であればよく、またこれらの例に限定されるものではない。また、送信元のユーザ、送信側のＶＰＮ接続サーバ１１１およびＶＰＮ１６１を示す情報のいずれか１つを通知してもよいし、これらの任意の組み合わせを通知してもよいし、これらの全てを通知してもよい。

以上のように、本実施の形態では、送信側のＶＰＮ接続サーバにおいて、ユーザ端末から受信したパケットに、ユーザ識別子、ユーザ名、接続可能と判定したＶＰＮを示すＶＰＮ識別子、送信側のＶＰＮ接続サーバを示すＶＰＮ端末識別子を付与するようにしたので、情報の受信者にとって信頼性が高い送信者の識別情報の付与と情報の送信者にとって柔軟な送信者の識別情報の付与とを両立させることができる。

以上、本発明者によってなされた発明を、前記実施の形態に基づき具体的に説明したが、本発明は、前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲において主々変更可能であることは勿論である。

なお、前記実施の形態におけるユーザ端末１０１〜１０８、ＶＰＮ接続サーバ１１１〜１１４、ＶＰＮ転送装置１２１，１２２、ＶＰＮ管理サーバ１５１の各々は、それぞれＣＰＵ、記憶装置及びインタフェースを備えたコンピュータとこれらのハードウェア資源を制御するプログラムによって実現することができる。
これらのコンピュータを動作させるためのプログラムは、フレキシブルディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、メモリカードなどの記録媒体に記録された状態で提供される。それぞれのコンピュータのＣＰＵは、読み込んだプログラムを記憶装置に書き込み、このプログラムに従って前記実施の形態で説明した処理を実行する。

本発明は、ＶＰＮサービスネットワークシステムにおいてＶＰＮサービスに加入するユーザを管理する技術に適用することができる。

本発明の実施の形態に係るＶＰＮサービスネットワークシステムの構成を示すブロック図である。図１のＶＰＮサービスネットワークシステムにおけるＶＰＮ接続サーバの構成例を示すブロック図である。図１のＶＰＮサービスネットワークシステムにおけるＶＰＮ転送装置の構成例を示すブロック図である。図１のＶＰＮサービスネットワークシステムにおけるＶＰＮ管理サーバの構成例を示すブロック図である。図１のＶＰＮサービスネットワークシステムにおけるＶＰＮ接続サーバのＶＰＮ接続テーブルの例を示す図である。図１のＶＰＮサービスネットワークシステムにおけるＶＰＮ転送装置のＶＰＮ転送機能選択テーブルの例を示す図である。図１のＶＰＮサービスネットワークシステムにおけるＶＰＮ転送装置のＶＰＮ接続テーブルの例を示す図である。図１のＶＰＮサービスネットワークシステムにおけるＶＰＮ接続サーバのユーザ管理テーブルの例を示す図である。図１のＶＰＮサービスネットワークシステムにおける送信側のＶＰＮ接続サーバの動作を示すフローチャートである。図１のＶＰＮサービスネットワークシステムにおける送信側のＶＰＮ転送装置の動作を示すフローチャートである。図１のＶＰＮサービスネットワークシステムにおける受信側のＶＰＮ転送装置の動作を示すフローチャートである。図１のＶＰＮサービスネットワークシステムにおける受信側のＶＰＮ接続サーバの動作を示すフローチャートである。

符号の説明

１０１〜１０８…ユーザ端末、１１１〜１１４…ＶＰＮ接続サーバ、１２１，１２２…ＶＰＮ転送装置、１３１〜１３４…ＶＰＮ転送機能部、１４１，１４２，１４５…物理回線、１４３，１４４…論理回線、１５１…ＶＰＮ管理サーバ、１６１〜１６３…ＶＰＮ、１７１…ＷＡＮ、１８１〜１８４…ＬＡＮ、２０１…パケット送受信機能部、２０２…ユーザ識別機能部、２０３…ＶＰＮ接続機能部、２０４…識別子付与機能部、２０５…識別判定機能部、２０６…ＶＰＮ接続テーブル、２０７…ユーザ管理テーブル、３０１…パケット送受信機能部、３０２…ＶＰＮ転送機能部、３０３…ＶＰＮ接続テーブル、３０４…識別判定廃棄機能部、３０５…ＶＰＮ転送機能選択テーブル、４０１…パケット送受信機能部、４０２…ＶＰＮ接続サーバ設定機能部、４０３…ＶＰＮ転送装置設定機能部。

Claims

ＶＰＮサービスを提供するＷＡＮの境界に設置され、このＷＡＮが提供するＶＰＮとの間でパケットを送受信するＶＰＮ転送装置と、ＶＰＮサービスに加入するユーザが使用するユーザ端末と前記ＶＰＮ転送装置との間でパケットを中継するＶＰＮ接続サーバとを含むＶＰＮサービスネットワークシステムにおけるＶＰＮユーザ管理方法であって、
送信側のＶＰＮ接続サーバが、
このＶＰＮ接続サーバに接続したユーザ端末のユーザを識別する第１のユーザ識別手順と、
ユーザごとに接続可能なＶＰＮが予め登録されたユーザ管理テーブルを参照し、前記識別したユーザをＶＰＮに接続可能か否かを判定する第１の接続可否判定手順と、
前記ＶＰＮへの接続が可能と判定された場合に、前記識別したユーザのユーザ端末から受信したパケットに、ユーザ識別子およびユーザ名のうち少なくとも１つと、接続可能と判定されたＶＰＮを示すＶＰＮ識別子と、自装置のＶＰＮ接続サーバを示すＶＰＮ端末識別子とを付与する識別子付与手順と、
この識別子付与手順で識別子が付与されたパケットを自装置のＶＰＮ接続サーバに接続されたＶＰＮ転送装置に送信する第１の送信手順とを、実行することを特徴とするＶＰＮユーザ管理方法。
請求項１記載のＶＰＮユーザ管理方法において、
前記ＶＰＮ接続サーバから送信されたパケットを受信したＶＰＮ転送装置が、
受信したパケットに付与されたＶＰＮ端末識別子またはＶＰＮ識別子からこのパケットが属するＶＰＮを識別する転送先ＶＰＮ識別手順と、
ＶＰＮ接続サーバが接続可能なＶＰＮとこのＶＰＮ接続サーバのＶＰＮ端末識別子とが対応付けて予め登録されたＶＰＮ接続テーブルを参照し、前記送信側のＶＰＮ接続サーバを前記転送先ＶＰＮ識別手順で識別したＶＰＮに接続可能か否かを判定する第２の接続可否判定手順と、
前記ＶＰＮ接続テーブルを参照し、前記受信したパケットに付与されたＶＰＮ端末識別子と前記ＶＰＮにおいて前記送信側のＶＰＮ接続サーバを識別するためのＶＰＮ端末識別子とが一致するか否かを判定するＶＰＮ端末識別子一致判定手順と、
前記第２の接続可否判定手順で前記送信側のＶＰＮ接続サーバをＶＰＮに接続可能と判定され、かつ前記ＶＰＮ端末識別子一致判定手順でＶＰＮ端末識別子が一致すると判定された場合に、前記受信したパケットを前記転送先ＶＰＮ識別手順で識別したＶＰＮに転送する転送手順とを、実行することを特徴とするＶＰＮユーザ管理方法。
請求項１記載のＶＰＮユーザ管理方法において、
前記ＶＰＮ転送装置から送信されたパケットを受信した受信側のＶＰＮ接続サーバが、
前記受信したパケットに付与されたユーザ識別子またはユーザ名に基づき、このパケットの送信元のユーザを識別する第２のユーザ識別手順と、
前記受信したパケットに付与されたＶＰＮ端末識別子に基づき、このパケットを送信した送信側のＶＰＮ接続サーバを識別するＶＰＮ接続サーバ識別手順と、
前記受信したパケットに付与されたＶＰＮ端末識別子またはＶＰＮ識別子に基づき、このパケットを伝送したＶＰＮを識別する伝送ＶＰＮ識別手順と、
前記受信したパケットを受信側のユーザ端末に送信する第２の送信手順と、
前記第２のユーザ識別手順で識別した送信元のユーザ、前記ＶＰＮ接続サーバ識別手順で識別した送信側のＶＰＮ接続サーバ、前記伝送ＶＰＮ識別手順で識別したＶＰＮのうち少なくとも１つを、前記受信側のユーザ端末に通知する通知手順とを、実行することを特徴とするＶＰＮユーザ管理方法。
ＶＰＮサービスを提供するＷＡＮの境界に設置され、このＷＡＮが提供するＶＰＮとの間でパケットを送受信するＶＰＮ転送装置と、ＶＰＮサービスに加入するユーザが使用するユーザ端末と前記ＶＰＮ転送装置との間でパケットを中継するＶＰＮ接続サーバとを含むＶＰＮサービスネットワークシステムであって、
前記ＶＰＮ接続サーバは、
このＶＰＮ接続サーバに接続したユーザ端末のユーザを識別する第１のユーザ識別手段と、
ユーザごとに接続可能なＶＰＮが予め登録されたユーザ管理テーブルと、
ＶＰＮ接続サーバが接続可能なＶＰＮとこのＶＰＮ接続サーバのＶＰＮ端末識別子とが対応付けて予め登録された第１のＶＰＮ接続テーブルと、
前記ユーザ管理テーブルを参照し、前記識別したユーザをＶＰＮに接続可能か否かを判定する第１の接続可否判定手段と、
前記ＶＰＮへの接続が可能と判定された場合に、前記識別したユーザのユーザ端末から受信したパケットに、ユーザ識別子およびユーザ名のうち少なくとも１つと、接続可能と判定されたＶＰＮを示すＶＰＮ識別子と、自装置のＶＰＮ接続サーバを示すＶＰＮ端末識別子とを付与する識別子付与手段と、
この識別子付与手段で識別子が付与されたパケットを自装置のＶＰＮ接続サーバに接続されたＶＰＮ転送装置に送信する第１の送信手段と、
前記ＶＰＮ転送装置からパケットを受信したときに、このパケットに付与されたユーザ識別子またはユーザ名に基づき、このパケットの送信元のユーザを識別する第２のユーザ識別手段と、
前記ＶＰＮ転送装置から受信したパケットに付与されたＶＰＮ端末識別子に基づき、このパケットを送信した送信側のＶＰＮ接続サーバを識別するＶＰＮ接続サーバ識別手段と、
前記ＶＰＮ転送装置から受信したパケットに付与されたＶＰＮ端末識別子またはＶＰＮ識別子に基づき、このパケットを伝送したＶＰＮを識別する伝送ＶＰＮ識別手段と、
前記ＶＰＮ転送装置から受信したパケットを受信側のユーザ端末に送信する第２の送信手段と、
前記第２のユーザ識別手段で識別した送信元のユーザ、前記ＶＰＮ接続サーバ識別手段で識別した送信側のＶＰＮ接続サーバ、前記伝送ＶＰＮ識別手段で識別したＶＰＮのうち少なくとも１つを、前記受信側のユーザ端末に通知する通知手段とを備えることを特徴とするＶＰＮサービスネットワークシステム。
請求項４記載のＶＰＮサービスネットワークシステムにおいて、
前記ＶＰＮ転送装置は、
送信側の前記ＶＰＮ接続サーバから受信したパケットに付与されたＶＰＮ端末識別子またはＶＰＮ識別子からこのパケットが属するＶＰＮを識別する転送先ＶＰＮ識別手段と、
ＶＰＮ接続サーバが接続可能なＶＰＮとこのＶＰＮ接続サーバのＶＰＮ端末識別子とが対応付けて予め登録された第２のＶＰＮ接続テーブルと、
前記第２のＶＰＮ接続テーブルを参照し、前記送信側のＶＰＮ接続サーバを前記転送先ＶＰＮ識別手段で識別したＶＰＮに接続可能か否かを判定する第２の接続可否判定手段と、
前記第２のＶＰＮ接続テーブルを参照し、前記ＶＰＮ接続サーバから受信したパケットに付与されたＶＰＮ端末識別子と前記ＶＰＮにおいて前記送信側のＶＰＮ接続サーバを識別するためのＶＰＮ端末識別子とが一致するか否かを判定するＶＰＮ端末識別子一致判定手段と、
前記第２の接続可否判定手段で前記送信側のＶＰＮ接続サーバをＶＰＮに接続可能と判定され、かつ前記ＶＰＮ端末識別子一致判定手段でＶＰＮ端末識別子が一致すると判定された場合に、前記受信したパケットを前記転送先ＶＰＮ識別手段で識別したＶＰＮに転送する転送手段とを備えることを特徴とするＶＰＮサービスネットワークシステム。
ＶＰＮサービスに加入するユーザが使用するユーザ端末とＶＰＮサービスを提供するＷＡＮの境界に設置されたＶＰＮ転送装置との間でパケットを中継するＶＰＮ接続サーバであって、
自装置に接続したユーザ端末のユーザを識別する第１のユーザ識別手段と、
ユーザごとに接続可能なＶＰＮが予め登録されたユーザ管理テーブルと、
ＶＰＮ接続サーバが接続可能なＶＰＮとこのＶＰＮ接続サーバのＶＰＮ端末識別子とが対応付けて予め登録されたＶＰＮ接続テーブルと、
前記ユーザ管理テーブルを参照し、前記識別したユーザをＶＰＮに接続可能か否かを判定する接続可否判定手段と、
前記ＶＰＮへの接続が可能と判定された場合に、前記識別したユーザのユーザ端末から受信したパケットに、ユーザ識別子およびユーザ名のうち少なくとも１つと、接続可能と判定されたＶＰＮを示すＶＰＮ識別子と、自装置のＶＰＮ接続サーバを示すＶＰＮ端末識別子とを付与する識別子付与手段と、
この識別子付与手段で識別子が付与されたパケットを自装置に接続されたＶＰＮ転送装置に送信する第１の送信手段とを備えることを特徴とするＶＰＮ接続サーバ。
請求項６記載のＶＰＮ接続サーバにおいて、
さらに、前記ＶＰＮ転送装置からパケットを受信したときに、このパケットに付与されたユーザ識別子またはユーザ名に基づき、このパケットの送信元のユーザを識別する第２のユーザ識別手段と、
前記ＶＰＮ転送装置から受信したパケットに付与されたＶＰＮ端末識別子に基づき、このパケットを送信した送信側のＶＰＮ接続サーバを識別するＶＰＮ接続サーバ識別手段と、
前記ＶＰＮ転送装置から受信したパケットに付与されたＶＰＮ端末識別子またはＶＰＮ識別子に基づき、このパケットを伝送したＶＰＮを識別する伝送ＶＰＮ識別手段と、
前記ＶＰＮ転送装置から受信したパケットを受信側のユーザ端末に送信する第２の送信手段と、
前記第２のユーザ識別手段で識別した送信元のユーザ、前記ＶＰＮ接続サーバ識別手段で識別した送信側のＶＰＮ接続サーバ、前記伝送ＶＰＮ識別手段で識別したＶＰＮのうち少なくとも１つを、前記受信側のユーザ端末に通知する通知手段とを備えることを特徴とするＶＰＮ接続サーバ。
ＶＰＮサービスを提供するＷＡＮの境界に設置され、このＷＡＮが提供するＶＰＮとの間でパケットを送受信するＶＰＮ転送装置であって、
ＶＰＮサービスに加入するユーザが使用するユーザ端末とＶＰＮ転送装置との間でパケットを中継するＶＰＮ接続サーバから受信したパケットに付与されたＶＰＮ端末識別子またはＶＰＮ識別子からこのパケットが属するＶＰＮを識別する転送先ＶＰＮ識別手段と、
ＶＰＮ接続サーバが接続可能なＶＰＮとこのＶＰＮ接続サーバのＶＰＮ端末識別子とが対応付けて予め登録されたＶＰＮ接続テーブルと、
前記ＶＰＮ接続テーブルを参照し、送信側の前記ＶＰＮ接続サーバを前記転送先ＶＰＮ識別手段で識別したＶＰＮに接続可能か否かを判定する接続可否判定手段と、
前記ＶＰＮ接続テーブルを参照し、前記ＶＰＮ接続サーバから受信したパケットに付与されたＶＰＮ端末識別子と前記ＶＰＮにおいて前記送信側のＶＰＮ接続サーバを識別するためのＶＰＮ端末識別子とが一致するか否かを判定するＶＰＮ端末識別子一致判定手段と、
前記接続可否判定手段で前記送信側のＶＰＮ接続サーバをＶＰＮに接続可能と判定され、かつ前記ＶＰＮ端末識別子一致判定手段でＶＰＮ端末識別子が一致すると判定された場合に、前記受信したパケットを前記転送先ＶＰＮ識別手段で識別したＶＰＮに転送する転送手段とを備えることを特徴とするＶＰＮ転送装置。
ＶＰＮサービスに加入するユーザが使用するユーザ端末とＶＰＮサービスを提供するＷＡＮの境界に設置されたＶＰＮ転送装置との間でパケットを中継するＶＰＮ接続サーバとしてコンピュータを動作させるＶＰＮ接続サーバプログラムであって、
送信側のＶＰＮ接続サーバとして動作する場合に、
このＶＰＮ接続サーバに接続したユーザ端末のユーザを識別する第１のユーザ識別手順と、
ユーザごとに接続可能なＶＰＮが予め登録されたユーザ管理テーブルを参照し、前記識別したユーザをＶＰＮに接続可能か否かを判定する接続可否判定手順と、
前記ＶＰＮへの接続が可能と判定された場合に、前記識別したユーザのユーザ端末から受信したパケットに、ユーザ識別子およびユーザ名のうち少なくとも１つと、接続可能と判定されたＶＰＮを示すＶＰＮ識別子と、自装置のＶＰＮ接続サーバを示すＶＰＮ端末識別子とを付与する識別子付与手順と、
この識別子付与手順で識別子が付与されたパケットを自装置のＶＰＮ接続サーバに接続されたＶＰＮ転送装置に送信する第１の送信手順とを、コンピュータに実行させ、
前記ＶＰＮ転送装置から送信されたパケットを受信した受信側のＶＰＮ接続サーバとして動作する場合に、
前記ＶＰＮ転送装置から受信したパケットに付与されたユーザ識別子またはユーザ名に基づき、このパケットの送信元のユーザを識別する第２のユーザ識別手順と、
前記ＶＰＮ転送装置から受信したパケットに付与されたＶＰＮ端末識別子に基づき、このパケットを送信した送信側のＶＰＮ接続サーバを識別するＶＰＮ接続サーバ識別手順と、
前記ＶＰＮ転送装置から受信したパケットに付与されたＶＰＮ端末識別子またはＶＰＮ識別子に基づき、このパケットを伝送したＶＰＮを識別する伝送ＶＰＮ識別手順と、
前記ＶＰＮ転送装置から受信したパケットを受信側のユーザ端末に送信する第２の送信手順と、
前記第２のユーザ識別手順で識別した送信元のユーザ、前記ＶＰＮ接続サーバ識別手順で識別した送信側のＶＰＮ接続サーバ、前記伝送ＶＰＮ識別手順で識別したＶＰＮのうち少なくとも１つを、前記受信側のユーザ端末に通知する通知手順とを、コンピュータに実行させることを特徴とするＶＰＮ接続サーバプログラム。
ＶＰＮサービスを提供するＷＡＮの境界に設置され、このＷＡＮが提供するＶＰＮとの間でパケットを送受信するＶＰＮ転送装置としてコンピュータを動作させるＶＰＮ転送装置プログラムであって、
ＶＰＮサービスに加入するユーザが使用するユーザ端末とＶＰＮ転送装置との間でパケットを中継するＶＰＮ接続サーバから受信したパケットに付与されたＶＰＮ端末識別子またはＶＰＮ識別子からこのパケットが属するＶＰＮを識別する転送先ＶＰＮ識別手順と、
ＶＰＮ接続サーバが接続可能なＶＰＮとこのＶＰＮ接続サーバのＶＰＮ端末識別子とが対応付けて予め登録されたＶＰＮ接続テーブルを参照し、送信側の前記ＶＰＮ接続サーバを前記転送先ＶＰＮ識別手順で識別したＶＰＮに接続可能か否かを判定する接続可否判定手順と、
前記ＶＰＮ接続テーブルを参照し、前記受信したパケットに付与されたＶＰＮ端末識別子と前記ＶＰＮにおいて前記送信側のＶＰＮ接続サーバを識別するためのＶＰＮ端末識別子とが一致するか否かを判定するＶＰＮ端末識別子一致判定手順と、
前記接続可否判定手順で前記送信側のＶＰＮ接続サーバをＶＰＮに接続可能と判定され、かつ前記ＶＰＮ端末識別子一致判定手順でＶＰＮ端末識別子が一致すると判定された場合に、前記受信したパケットを前記転送先ＶＰＮ識別手順で識別したＶＰＮに転送する転送手順とを、コンピュータに実行させることを特徴とするＶＰＮ転送装置プログラム。