JP2010028295A - Ｖｐｎサーバ、通信制御方法、および、プログラム - Google Patents

Abstract

【課題】ブロードキャストデータのトラヒック量を測定することなく、ＶＰＮでの通信性能の劣化を少なくできるＶＰＮサーバ、通信制御方法、および、プログラムを提供する。
【解決手段】ＶＰＮサーバは、ＬＡＮと接続し、また、通信端末との間にＶＰＮを設定して通信端末とＬＡＮとを接続する接続手段と、前記接続手段が、前記ＬＡＮから、ブロードキャストパケットを受信した場合、当該ブロードキャストパケットのうち、予め設定された特定パケットを破棄して、当該特定パケットを前記ＶＰＮに送信することを禁止する制御手段と、を含む。
【選択図】図１

Description

本発明は、ＶＰＮ（Virtual Private Network）サーバ、通信制御方法、および、プログラムに関する

公衆回線上に構築される仮想の専用回線は、一般にＶＰＮと呼ばれる。ＶＰＮは、例えば、屋外の移動端末が、社内のＬＡＮ（Local Area Network）上に存在するＩＴ（Information Technology）リソースに安全にアクセスするために使用されている。

多くの移動端末は、電気通信事業者の提供するモバイル通信カードを用いて、モバイル回線（移動通信用の回線）で通信する。ＶＰＮサーバは、例えば、モバイル回線を介して接続された移動端末との間にＶＰＮを設定して、移動端末を社内のＬＡＮに接続する。

なお、モバイル通信カードの通信帯域は、通常のＬＡＮの通信帯域よりも狭い場合が多い。

また、特許文献１には、ブロードキャストデータをフィルタリングするトラヒック調節装置が記載されている。

このトラヒック調節装置は、ＡＴＭ（Asynchronous Transfer Mode）網とＬＡＮ網とを相互接続するＡＴＭ−ＬＡＮ間接続機器のＬＡＮ網側受信部に実装される。このトラヒック調節装置は、ＬＡＮ網からＡＴＭ網へ送信されるブロードキャストデータのトラヒックを測定し、その測定結果に応じて、ブロードキャストデータをフィルタリングする。
特開平１０−６５７０６号公報

移動端末がＶＰＮを介して社内のＬＡＮと接続されている状況で、ＬＡＮ側の機器が、ブロードキャストパケットを送信すると、そのブロードキャストパケットは、ＶＰＮが構築されたモバイル回線を介して、移動端末に流れてくる。

このため、ＶＰＮが構築されたモバイル回線では、ＬＡＮからのブロードキャストパケットが、移動端末のユニキャスト通信を圧迫してしまい、大きな遅延やパケットロストが発生するという課題があった。

また、特許文献１に記載のトラヒック調節装置は、ブロードキャストデータのトラヒックを測定し、その測定結果に応じて、ブロードキャストデータをフィルタリングする。

このため、このトラヒック調節装置は、ブロードキャストデータのトラヒック量に関係なくブロードキャストデータをフィルタリングするシステムで使用されるとき、ブロードキャストデータのトラヒック量を測定するという無駄な処理を行ってしまうという課題を有していた。

本発明の目的は、上述した課題を解決可能なＶＰＮサーバ、通信制御方法、および、プログラムを提供することである。

本発明のＶＰＮサーバは、ＬＡＮと接続し、また、通信端末との間にＶＰＮを設定して前記通信端末と前記ＬＡＮとを接続する接続手段と、前記接続手段が、前記ＬＡＮから、ブロードキャストパケットを受信した場合、当該ブロードキャストパケットのうち、予め設定された特定パケットを破棄して、当該特定パケットを前記ＶＰＮに送信することを禁止する制御手段と、を含む。

本発明の通信制御方法は、ＶＰＮサーバが行う通信制御方法であって、ＬＡＮと接続し、また、通信端末との間にＶＰＮを設定して前記通信端末と前記ＬＡＮとを接続する接続ステップと、前記ＬＡＮから、ブロードキャストパケットを受信した場合、当該ブロードキャストパケットのうち、予め設定された特定パケットを破棄して、当該特定パケットを前記ＶＰＮに送信することを禁止する制御ステップと、を含む。

本発明のプログラムは、コンピュータに、ＬＡＮと接続し、また、通信端末との間にＶＰＮを設定して前記通信端末と前記ＬＡＮとを接続する接続手順と、前記ＬＡＮから、ブロードキャストパケットを受信した場合、当該ブロードキャストパケットのうち、予め設定された特定パケットを破棄して、当該特定パケットを前記ＶＰＮに送信することを禁止する制御手順と、を実行させる。

本発明によれば、ブロードキャストデータのトラヒック量を測定することなく、ＶＰＮでの通信性能の劣化を少なくすることが可能になる。

以下、本発明の実施形態を、図面を参照して説明する。

（第１の実施形態）
図１は、本発明の第１の実施形態であるＶＰＮサーバを含むＶＰＮシステムを示したブロック図である。

図１において、ＶＰＮシステムは、ＶＰＮサーバ１１０と、ＤＨＣＰ（Dynamic Host Configuration Protocol）サーバ１２０と、ファイルサーバ１３０と、スイッチ１４０と、ファイアウォール１５０と、移動端末２１０と、基地局２２０と、を含む。

ＶＰＮサーバ１１０と、ＤＨＣＰサーバ１２０と、ファイルサーバ１３０と、スイッチ１４０と、ファイアウォール１５０とは、例えば、特定の会社内にあり、社内のＬＡＮ（以下「社内ＬＡＮ」と称する）によって接続されている。なお、ＬＡＮは、社内ＬＡＮに限らない。

移動端末２１０と、基地局２２０とは、その特定の会社の外にある。移動端末２１０は、移動通信用の公衆回線を介して、基地局２２０と接続する。

社内の機器は、社外の機器と、インターネット３１０を介して接続される。

図２は、ＶＰＮサーバ１１０を示したブロック図である。

図２において、ＶＰＮサーバ１１０は、ＮＩＣ（Network Interface Card）１１１と、ルーティング処理部１１３と、ＳＳＬ（Secure Socket Lay）処理部１１４と、ユーザ認証部１１５と、仮想ＮＩＣ１１６と、を含む。ルーティング処理部１１３は、ブロードキャストフィルタ部１１２を含む。仮想ＮＩＣ１１６は、クライアントソフトによって提供される。

ＮＩＣ１１１と、ユーザ認証部１１５と、仮想ＮＩＣ１１６とは、接続部１１０ａに含まれる。ブロードキャストフィルタ部１１２と、ルーティング処理部１１３と、ＳＳＬ処理部１１４とは、制御部１１０ｂに含まれる。

接続部１１０ａは、一般的に接続手段と呼ぶことができる。

接続部１１０ａは、社内ＬＡＮに接続される。また、接続部１１０ａは、移動端末２１０との間にＶＰＮを設定して移動端末２１０と社内ＬＡＮとを接続する。このため、例えば、基地局２２０が提供する公衆回線（移動通信用のモバイル回線）上に、ＶＰＮが設定される。

接続部１１０ａは、移動端末２１０から基地局２２０等を介してユーザ情報などを受け付けると、基地局２２０等を介して移動端末２１０と接続する。

移動端末２１０からのユーザ情報が、予め接続部１１０ａに登録されていると、接続部１１０ａは、ＶＰＮサーバ１１０と移動端末２１０の間に、ＶＰＮトンネルを張る。つまり、接続部１１０ａは、ＶＰＮを介して移動端末２１０と接続する。

なお、複数の移動端末２１０が存在する場合、接続部１１０ａは、複数の移動端末２１０のそれぞれとの間にＶＰＮを別々に設定して、複数の移動端末２１０と社内ＬＡＮとを接続する。

制御部１１０ｂは、一般的に制御手段と呼ぶことができる。

制御部１１０ｂは、接続部１１０ａが、社内ＬＡＮから、ブロードキャストパケットを受信した場合、そのブロードキャストパケットのうち、予め設定された特定パケットを破棄して、その特定パケットをＶＰＮに送信することを禁止する。

なお、特定パケットしては、例えば、ＡＲＰ（Address Resolution Protocol）パケットでなくＤＨＣＰパケットでもない通信用パケットが用いられる。

本実施形態では、制御部１１０ｂは、接続部１１０ａが社内ＬＡＮから受信したブロードキャストパケットが、通信用パケットである場合、通信用パケットを破棄して、通信用パケットをＶＰＮに送信することを禁止する。

なお、接続部１１０ａが社内ＬＡＮから受信したブロードキャストパケットが、ＡＲＰパケットまたはＤＨＣＰパケットである場合、制御部１１０ｂは、ＡＲＰパケットまたはＤＨＣＰパケットをＶＰＮに送信する。

また、制御部１１０ｂは、接続部１１０ａが、複数のＶＰＮのいずれかから、ブロードキャストパケットを受信した場合、そのブロードキャストパケットを、複数のＶＰＮのうち、そのブロードキャストパケットが送信されてきたＶＰＮ以外のＶＰＮと、社内ＬＡＮと、に送信する。

なお、ＶＰＮサーバ１１０は、コンピュータにより実現可能である。この場合、ＶＰＮサーバ１１０は、例えば、ディスクに記録されたプログラム（アプリケーション）に従って動作する。ディスクは、一般的に、コンピュータ（ＶＰＮサーバ１１０）にて読み取り可能な記録媒体と呼ぶことができる。

ＶＰＮサーバ１１０は、プログラムをディスク（記録媒体）から読み取り実行することによって、接続部１１０ａおよび制御部１１０ｂとして機能する。

ＮＩＣ１１１は、Ethernet（イーサネット）フレーム（パケット）を受信する。

ルーティング処理部１１３は、ＮＩＣ１１１が受信したパケットの送信先を割り振る。

ルーティング処理部１１３が社内ＬＡＮからのパケットをＶＰＮトンネルへ送信するとき、ＳＳＬ処理部１１４は、そのパケットを暗号化する。また、ルーティング処理部１１３がＶＰＮトンネルからのパケットを社内ＬＡＮへ流すとき、ＳＳＬ処理部１１４は、そのパケットを復号する。

ユーザ認証部１１５は、ＶＰＮのユーザ情報などを有している。ユーザ認証部１１５は、ＶＰＮクライアント（例えば、移動端末２１０）が接続してきたときに、ＶＰＮクライアントからのユーザ情報に基づいて、認証処理を行う。

図３は、移動端末２１０を示したブロック図である。なお、移動端末２１０は、一般的に通信端末と呼ぶことができる。

図３において、移動端末２１０は、モバイル回線カード２１１と、ルーティング処理部２１２と、ＳＳＬ処理部２１３と、ＧＵＩ（Graphical User Interface）２１４と、を含む。

モバイル回線カード２１１は、電気通信事業者から提供され、基地局２２０に対してダイヤルアップすることにより、インターネット３１０に接続する。ルーティング処理部２１２は、パケットの行き先を割り振る。ＳＳＬ処理部２１３は、パケットの暗号化、復号を行う。ＧＵＩ２１４は、ユーザからユーザ情報などを受け付ける。

次に、動作を説明する。

まず、ＶＰＮトンネルの作成動作について説明する。

移動端末２１０は、ＧＵＩ２１４が受け付けたユーザ情報などをＶＰＮサーバ１１０に送信して、ＶＰＮサーバ１１０と接続する。

ＶＰＮサーバ１１０では、ユーザ認証部１１５が、移動端末２１０からのユーザ情報に基づいて、移動端末２１０の認証処理を行う。

ユーザ認証部１１５が移動端末２１０を認証すると、ＶＰＮサーバ１１０と移動端末２１０間にＶＰＮトンネルが張られ、ＶＰＮサーバ１１０と移動端末２１０は、安全な通信を行うことができる。

移動端末２１０がＶＰＮサーバ１１０と接続すると、移動端末２１０は、社内ＬＡＮに参加することが可能になり、ＤＨＣＰサーバ１２０は、移動端末２１０に、社内ＬＡＮ用のＩＰ（Internet Protocol）アドレスを割り当てる。

これにより、移動端末２１０が、社外のネットワークに接続されており、プロバイダ装置２３０から提供されるＩＰアドレスを使用している場合でも、クライアントソフトによって提供される仮想ＮＩＣ１１６に、社内ＬＡＮ用のＩＰアドレスが付与される。

移動端末２１０が仮想ＮＩＣ１１６を用いた通信を行うことによって、移動端末２１０があたかも社内ＬＡＮに接続しているかのような環境が実現できる。

これにより、移動端末２１０のユーザは、社外にいても、移動端末２１０を用いることによって、安全に、社内リソースであるファイルサーバ１３０にアクセスすることができる。

次に、パケットの振り分け動作、具体的には、ＶＰＮサーバ１１０が有するブロードキャストフィルタ部１１２の動作を説明する。

ブロードキャストフィルタ部１１２は、社内ＬＡＮ側で発生するブロードキャストパケットをフィルタリングして、社内ＬＡＮ側で発生するブロードキャストパケットをＶＰＮトンネルに流さないようにする。

しかし、ブロードキャストパケットのうち、ＡＲＰパケットとＤＨＣＰパケットは、例外である。以下、この点について、説明する。

ＡＲＰパケットは、社内ＬＡＮ側の機器がＶＰＮ接続中の端末に対して通信を行おうとするとき、社内ＬＡＮ側の機器が端末を発見できず通信を行えなくなってしまうことを防ぐために使用される。よって、ブロードキャストフィルタ部１１２は、社内ＬＡＮ側の機器がＶＰＮ接続中の移動端末２１０を発見できず通信を行えなくなってしまうことを防止するために、ＡＲＰパケットをＶＰＮトンネルに流す。

また、クライアント端末がＤＨＣＰサーバ１２０からアドレスを払い出されるまでの通信シーケンスは、ブロードキャストで行われる。このため、ＤＨＣＰパケットが流れないと、ＶＰＮ接続中の端末にＩＰアドレスを割り当てることができなくなってしまう。よって、ブロードキャストフィルタ部１１２は、ＶＰＮ接続中の端末（例えば、移動端末２１０）にＩＰアドレスを割り当てるために、ＤＨＣＰパケットをＶＰＮトンネルに流す。

ブロードキャストフィルタ部１１２は、受信されたパケットが、マルチキャストであるか、ユニキャストであるかを、そのパケットの宛先ＭＡＣ（Media Access Control）アドレスのＩ／Ｇビットに基づいて判断する。

Ｉ／Ｇビットは、ＭＡＣアドレスの先頭ビットのことである。Ｉ／Ｇビット＝０は、ユニキャストを表し、Ｉ／Ｇビット＝１は、マルチキャストを表す。ユニキャストとは、１対１の通信であり、マルチキャストとは、１対多の通信のことである。なお、ブロードキャストは、マルチキャストに含まれる。

図４は、ブロードキャストフィルタ部１１２の動作、具体的には、社内ＬＡＮからパケットが入力されたときの動作を説明するためのフローチャートである。

ブロードキャストフィルタ部１１２は、社内ＬＡＮからパケットを受信すると、そのパケット（以下「受信パケット」と称する）の送信先ＭＡＣアドレスのＩ／Ｇビットが１になっていて（ステップＳ１でyes)、EtherTypeがＡＲＰまたは送信先ポート番号がＤＨＣＰの場合（ステップＳ２でyes)、その受信パケットすなわちブロードキャストパケットを、ＶＰＮトンネルへ送信する（ステップＳ４）。

受信パケットの送信先ＭＡＣアドレスのＩ／Ｇビットが１になっていて、かつ、受信パケットのEtherTypeがＡＲＰ以外で受信パケットがＤＨＣＰパケットでもないとき（ステップＳ２でno）、ブロードキャストフィルタ部１１２は、その受信パケットをＶＰＮトンネルへは送信せず、その受信パケットを破棄する（ステップＳ５）。

受信パケットの送信先ＭＡＣアドレスのＩ／Ｇビットが０のときは（ステップＳ１でno）、ブロードキャストフィルタ部１１２は、宛先ＭＡＣアドレスへ、その受信パケットを送信する（ステップＳ３）。

なお、EtherTypeとは、Ethernetフレームの上位層を識別するためのフィールドのことである。

図５は、ブロードキャストフィルタ部１１２の動作、具体的には、ＶＰＮトンネルからパケットが入力されたときの動作を説明するためのフローチャートである。

ブロードキャストフィルタ部１１２は、ＶＰＮトンネルからパケットを受信すると、そのパケットの宛先ＭＡＣアドレスのＩ／Ｇビットが１であれば（ステップＳ１１でyes）、そのパケットを、社内ＬＡＮと、複数のＶＰＮトンネルのうちそのパケットが送信されてきたＶＰＮトンネル以外のＶＰＮトンネルに送信する（ステップＳ１２）。

受信されたパケットの宛先ＭＡＣアドレスのＩ／Ｇビットが０であれば（ステップＳ１１でno）、ブロードキャストフィルタ部１１２は、宛先ＭＡＣアドレスへ、その受信パケットを送信する（ステップＳ３）。

次に、効果を説明する。

制御部１１０ｂは、社内ＬＡＮからブロードキャストパケットを受信した場合、ブロードキャストパケットのトラヒック量を測定することなく、そのブロードキャストパケットのうち、予め設定された特定パケットを破棄して、その特定パケットがＶＰＮに流れることを禁止する。

このため、社内ＬＡＮで発生するブロードキャストパケットのうち予め設定された特定パケットが、社内ＬＡＮより通信帯域の狭いモバイル通信カード２１１を有する移動端末２１０に送信されない。よって、社内ＬＡＮで発生するブロードキャストパケットによって圧迫されていた通信が、改善される。

したがって、移動端末２１０からＶＰＮ接続先へのアクセスを高速化することが可能になる。また、特許文献１に記載のブロードキャストデータのトラヒック量を測定するという不要な処理を省略することができる。

本実施形態では、制御部１１０ｂは、接続部１１０ａが社内ＬＡＮから受信したブロードキャストパケットが、ＡＲＰでなくＤＨＣＰパケットでもない通信用パケットである場合、通信用パケットを破棄して、通信用パケットをＶＰＮに送信することを禁止し、接続部１１０ａが社内ＬＡＮから受信したブロードキャストパケットが、ＡＲＰパケットまたはＤＨＣＰパケットである場合、ＡＲＰパケットまたはＤＨＣＰパケットをＶＰＮに送信する。

この場合、社内ＬＡＮからのブロードキャストパケットのうち、通信に必要なブロードキャストパケットは、破棄されずに、ＶＰＮへ送信される。よって、ブロードキャストパケットのフィルタリングを適切に行うことが可能となる。

本実施形態では、接続部１１０ａが複数のＶＰＮと接続されている状況で、接続部１１０ａが、複数のＶＰＮのいずれかから、ブロードキャストパケットを受信した場合、制御部１１０ｂは、そのブロードキャストパケットを、複数のＶＰＮのうち、そのブロードキャストパケットが送信されてきたＶＰＮ以外のＶＰＮと、社内ＬＡＮと、に送信する。

この場合、ＶＰＮからのブロードキャストパケットについては、通常のブロードキャスト処理を行うことができる。

なお、接続部１１０ａが、第１の移動端末との間に第１のＶＰＮを設定し、さらに、第２の移動端末との間に第２のＶＰＮを設定して、第１の移動端末と第２の移動端末とを社内ＬＡＮに接続している状況で、接続部１１０ａが、第１のＶＰＮから、第２の移動端末宛のパケットを受信した場合、制御部１１０ｂは、そのパケットを破棄して、そのパケットを第２のＶＰＮに送信することを禁止してもよい。

この場合、第１のＶＰＮに接続されている移動端末から、第２のＶＰＮに接続されている移動端末への通信を禁止することができる。すなわち、単なる移動端末間の通信において、ＬＡＮと接続するＶＰＮサーバを経由して通信することを防止できる。

（第２の実施形態）
次に、本発明の第２の実施形態を説明する。

移動端末２１０からの通信は社内ＬＡＮよりも帯域が狭いため、第２の実施形態では、第１の実施形態よりも、さらに移動端末２１０への送信パケットを制限し、通信品質の向上を図る。

図６は、本発明の第２の実施形態のＶＰＮサーバ１１０Ａを示したブロック図である。なお、図６において、図２に示したものと同一構成のものには同一符号を付してある。

なお、ＶＰＮサーバ１１０Ａの構成は、第１の実施形態のＶＰＮサーバ１１０のうち、ブロードキャストフィルタ部１１２の代わりに、ブロードキャストフィルタ部１１２Ａが用いられている点が異なる。

このため、第２の実施形態では、ＶＰＮサーバ１１０Ａ内の制御部１１０ｂＡは、ブロードキャストフィルタ部１１２Ａと、ルーティング処理部１１３と、ＳＳＬ処理部１１４とを有することになる。

以下、ＶＰＮサーバ１１０Ａについて、第１の実施形態と異なる点、つまり、制御部１１０ｂＡとブロードキャストフィルタ部１１２Ａを中心に説明する。

制御部１１０ｂＡは、一般的に制御手段と呼ぶことができる。

制御部１１０ｂＡは、接続部１１０ａが、社内ＬＡＮから、ブロードキャストパケットを受信した場合、そのブロードキャストパケットのトラヒック量を測定することなく、そのブロードキャストパケットのうち、予め設定された特定パケットを破棄して、その特定パケットがＶＰＮに流れることを禁止する。

本実施形態では、制御部１１０ｂＡは、接続部１１０ａが社内ＬＡＮから受信したブロードキャストパケットが、ＡＲＰでなくＤＨＣＰパケットでもない通信用パケットである場合、通信用パケットを破棄して、通信用パケットがＶＰＮに流れることを禁止する。

なお、接続部１１０ａが社内ＬＡＮから受信したブロードキャストパケットが、ＡＲＰパケットまたはＤＨＣＰパケットである場合、制御部１１０ｂＡは、ＡＲＰパケットまたはＤＨＣＰパケットをＶＰＮに送信する。

また、制御部１１０ｂＡは、接続部１１０ａが、複数のＶＰＮのいずれかから、ブロードキャストパケットを受信した場合、そのブロードキャストパケットを、複数のＶＰＮには送信せずに、社内ＬＡＮに送信する。

また、接続部１１０ａが、第１の移動端末との間に第１のＶＰＮを設定し、さらに、第２の移動端末との間に第２のＶＰＮを設定して、第１の移動端末と第２の移動端末とを社内ＬＡＮに接続している状況で、接続部１１０ａが、第１のＶＰＮから、第２の移動端末宛のパケットを受信した場合、制御部１１０ｂＡは、そのパケットを破棄して、そのパケットを第２のＶＰＮに送信することを禁止する。

なお、ＶＰＮサーバ１１０Ａは、コンピュータにより実現可能である。この場合、ＶＰＮサーバ１１０Ａは、例えば、ディスクに記録されたプログラム（アプリケーション）に従って動作する。

ＶＰＮサーバ１１０Ａは、プログラムをディスク（記録媒体）から読み取り実行することによって、接続部１１０ａおよび制御部１１０ｂＡとして機能する。

次に、ブロードキャストフィルタ部１１２Ａの動作を説明する。

ブロードキャストフィルタ部１１２Ａの動作のうち、社内ＬＡＮからのパケットを受信したときの動作は、ブロードキャストフィルタ部１１２の動作と同じである（図４参照）。

図７は、ブロードキャストフィルタ部１１２Ａの動作、具体的には、ＶＰＮトンネルからパケットが入力されたときの動作を説明するためのフローチャートである。

ブロードキャストフィルタ部１１２Ａは、ＶＰＮトンネルからパケットを受信すると、そのパケットの宛先ＭＡＣアドレスのＩ／Ｇビットが１であれば（ステップＳ１０１でyes）、そのパケットを、ＶＰＮトンネルへは送信せず、社内ＬＡＮへのみ送信する（ステップＳ１０２）。

そのパケットの宛先ＭＡＣアドレスのＩ／Ｇビットが０であれば（ステップＳ１０１でno）、そのパケットの宛先がＶＰＮトンネルの場合（ステップＳ１０３でyes）、ブロードキャストフィルタ部１１２Ａは、そのパケットを破棄し（ステップＳ１０４）、そうでない場合は（ステップＳ１０３でno）、そのパケットを、そのパケットの宛先へ送信する（ステップＳ１０５）。

ここで、第２の実施形態と第１の実施形態とを比較する。

第１の実施形態では、ＶＰＮ接続している移動端末数が多いとき、ＶＰＮ接続中の移動端末には、他のＶＰＮ接続中の移動端末からのブロードキャストパケットも送信され、そのブロードキャストパケットによって移動端末の帯域が圧迫されることになる。

また、ＶＰＮ接続中の移動端末同士でのユニキャスト通信には、例えばＩＰ電話などが考えられるが、モバイルインタフェースは、もともと帯域が狭いため、ＶＰＮ接続中の移動端末同士でのユニキャスト通信は適さない。

第２の実施形態では、制御部１１０ｂＡが、これらの必要性の低いパケットもフィルタリングすることによって、第１の実施形態よりも、さらにＶＰＮ通信に最適化した環境が構成される。

なお、上記各実施形態によれば、例えば、社内ＬＡＮに設置してあるＶＰＮサーバが、不要なブロードキャストパケットをフィルタリングし、不要なブロードキャストパケットをＶＰＮトンネル内に流さないようにすることにより、帯域の狭い通信環境でも通信性能の劣化の少ないＶＰＮシステムを提供することが可能になる。

以上説明した各実施形態において、図示した構成は単なる一例であって、本発明はその構成に限定されるものではない。

本発明の第１の実施形態であるＶＰＮサーバを含むＶＰＮシステムを示したブロック図である。 ＶＰＮサーバ１１０を示したブロック図である。 移動端末２１０を示したブロック図である。 ブロードキャストフィルタ部１１２の動作を説明するためのフローチャートである。 ブロードキャストフィルタ部１１２の動作を説明するためのフローチャートである。 本発明の第２の実施形態のＶＰＮサーバ１１０Ａを示したブロック図である。 ブロードキャストフィルタ部１１２Ａの動作を説明するためのフローチャートである。

符号の説明

１１０、１１０Ａ ＶＰＮサーバ
１１０ａ 接続部
１１０ｂ、１１０ｂＡ 制御部
１１１ ＮＩＣ
１１２、１１２Ａ ブロードキャストフィルタ部
１１３ ルーティング部
１１４ ＳＳＬ処理部
１１５ ユーザ認証部
１２０ ＤＨＣＰサーバ
１３０ ファイルサーバ
１４０ スイッチ
１５０ ファイアウォール
２１０ 移動端末
２１１ モバイル通信カード
２１２ ルーティング処理部
２１３ ＳＳＬ処理部
２１４ ＧＵＩ
２２０ 基地局
２３０ プロバイダ装置
３１０ インターネット

Claims (12)

1. ＬＡＮと接続し、また、通信端末との間にＶＰＮを設定して前記通信端末と前記ＬＡＮとを接続する接続手段と、
   前記接続手段が、前記ＬＡＮから、ブロードキャストパケットを受信した場合、当該ブロードキャストパケットのうち、予め設定された特定パケットを破棄して、当該特定パケットを前記ＶＰＮに送信することを禁止する制御手段と、を含むＶＰＮサーバ。
2. 請求項１に記載のＶＰＮサーバにおいて、
   前記特定パケットは、ＡＲＰパケットでなくＤＨＣＰパケットでもない通信用パケットであり、
   前記制御手段は、前記接続手段が前記ＬＡＮから受信したブロードキャストパケットが、ＡＲＰパケットまたはＤＨＣＰパケットである場合、当該ＡＲＰパケットまたはＤＨＣＰパケットを前記ＶＰＮに送信し、前記接続手段が前記ＬＡＮから受信したブロードキャストパケットが、前記通信用パケットである場合、当該通信用パケットを破棄して、当該通信用パケットを前記ＶＰＮに送信することを禁止する、ＶＰＮサーバ。
3. 請求項１または２に記載のＶＰＮサーバにおいて、
   前記接続手段は、複数の前記通信端末のそれぞれとの間に前記ＶＰＮを別々に設定して前記複数の通信端末と前記ＬＡＮとを接続し、
   前記制御手段は、前記接続手段が、複数の前記ＶＰＮのいずれかから、ブロードキャストパケットを受信した場合、当該ブロードキャストパケットを、前記複数のＶＰＮのうち当該ブロードキャストパケットが送信されてきたＶＰＮ以外のＶＰＮと、前記ＬＡＮと、に送信する、ＶＰＮサーバ。
4. 請求項１または２に記載のＶＰＮサーバにおいて、
   前記接続手段は、複数の前記通信端末のそれぞれとの間に前記ＶＰＮを別々に設定して前記複数の通信端末と前記ＬＡＮとを接続し、
   前記制御手段は、前記接続手段が、複数の前記ＶＰＮのいずれかから、ブロードキャストパケットを受信した場合、当該ブロードキャストパケットを、前記複数のＶＰＮのいずれにも送信せずに、前記ＬＡＮに送信する、ＶＰＮサーバ。
5. 請求項１から４のいずれか１項に記載のＶＰＮサーバにおいて、
   前記接続手段は、第１の通信端末との間に第１のＶＰＮを設定し、さらに、第２の通信端末との間に第２のＶＰＮを設定して、前記第１の通信端末と前記第２の通信端末とを前記ＬＡＮに接続し、
   前記制御手段は、前記接続手段が、前記第１のＶＰＮから、前記第２の通信端末宛のパケットを受信した場合、当該パケットを破棄して、当該パケットを前記第２のＶＰＮに送信することを禁止する、ＶＰＮサーバ。
6. ＶＰＮサーバが行う通信制御方法であって、
   ＬＡＮと接続し、また、通信端末との間にＶＰＮを設定して前記通信端末と前記ＬＡＮとを接続する接続ステップと、
   前記ＬＡＮから、ブロードキャストパケットを受信した場合、当該ブロードキャストパケットのうち、予め設定された特定パケットを破棄して、当該特定パケットを前記ＶＰＮに送信することを禁止する制御ステップと、を含む通信制御方法。
7. 請求項６に記載の通信制御方法において、
   前記特定パケットは、ＡＲＰパケットでなくＤＨＣＰパケットでもない通信用パケットであり、
   前記制御ステップでは、前記ＬＡＮから受信したブロードキャストパケットが、ＡＲＰパケットまたはＤＨＣＰパケットである場合、当該ＡＲＰパケットまたはＤＨＣＰパケットを前記ＶＰＮに送信し、前記ＬＡＮから受信したブロードキャストパケットが、前記通信用パケットである場合、当該通信用パケットを破棄して、当該通信用パケットを前記ＶＰＮに送信することを禁止する、通信制御方法。
8. 請求項６または７に記載の通信制御方法において、
   前記接続ステップでは、複数の前記通信端末のそれぞれとの間に前記ＶＰＮを別々に設定して前記複数の通信端末と前記ＬＡＮとを接続し、
   前記制御ステップでは、複数の前記ＶＰＮのいずれかから、ブロードキャストパケットを受信した場合、当該ブロードキャストパケットを、前記複数のＶＰＮのうち当該ブロードキャストパケットが送信されてきたＶＰＮ以外のＶＰＮと、前記ＬＡＮと、に送信する、通信制御方法。
9. 請求項６または７に記載の通信制御方法において、
   前記接続ステップでは、複数の前記通信端末のそれぞれとの間に前記ＶＰＮを別々に設定して前記複数の通信端末と前記ＬＡＮとを接続し、
   前記制御ステップでは、複数の前記ＶＰＮのいずれかから、ブロードキャストパケットを受信した場合、当該ブロードキャストパケットを、前記複数のＶＰＮのいずれにも送信せずに、前記ＬＡＮに送信する、通信制御方法。
10. 請求項６から９のいずれか１項に記載の通信制御方法において、
    前記接続ステップでは、第１の通信端末との間に第１のＶＰＮを設定し、さらに、第２の通信端末との間に第２のＶＰＮを設定して、前記第１の通信端末と前記第２の通信端末とを前記ＬＡＮに接続し、
    前記制御ステップでは、前記第１のＶＰＮから、前記第２の通信端末宛のパケットを受信した場合、当該パケットを破棄して、当該パケットを前記第２のＶＰＮに送信することを禁止する、通信制御方法。
11. コンピュータに、
    ＬＡＮと接続し、また、通信端末との間にＶＰＮを設定して前記通信端末と前記ＬＡＮとを接続する接続手順と、
    前記ＬＡＮから、ブロードキャストパケットを受信した場合、当該ブロードキャストパケットのうち、予め設定された特定パケットを破棄して、当該特定パケットを前記ＶＰＮに送信することを禁止する制御手順と、を実行させるためのプログラム。
12. 請求項１１に記載のプログラムにおいて、
    前記特定パケットは、ＡＲＰパケットでなくＤＨＣＰパケットでもない通信用パケットであり、
    前記制御手順では、前記ＬＡＮから受信したブロードキャストパケットが、ＡＲＰパケットまたはＤＨＣＰパケットである場合、当該ＡＲＰパケットまたはＤＨＣＰパケットを前記ＶＰＮに送信し、前記ＬＡＮから受信したブロードキャストパケットが、前記通信用パケットである場合、当該通信用パケットを破棄して、当該通信用パケットを前記ＶＰＮに送信することを禁止する、プログラム。

Images