JP2011024065A - 暗号化通信システム及びゲートウェイ装置 - Google Patents

Abstract

【課題】３ＧＰＰシステムを介する企業網へのリモートＶＰＮアクセスサービスを実現する。
【解決手段】３ＧＰＰシステムにリモートアクセスの終端部となるＧＷ（ＰＤＧ）２０５を設置する。端末−ＧＷ２０５間のＩＰＳｅｃトンネル開設後にＶＰＮクライアント６０１−企業網ＧＷ間のＩＰＳｅｃトンネルを開設し、端末からのデータを端末−ＧＷ間、ＶＰＮクライアント−企業網ＧＷ間の２つのトンネルを介して、企業網へ転送する。また、ＧＷ２０５が、リモートＶＰＮアクセスをした端末から受信したメッセージの宛先ＩＰアドレスから、宛先のネットワークがグローバルアドレスを使用しているか調べ、グローバルアドレスが必要な場合、端末から受信したメッセージの送信元ＩＰアドレスを、端末が割り当てられた企業網内で使用されるプライベートアドレスからグローバルアドレスに変換して転送する。
【選択図】図１４

Description

本発明は、暗号化通信システム及びゲートウェイ装置に係り、特に、ＩＰアドレス変換機能を備えた、３ＧＰＰシステムを介する企業網へのリモートＶＰＮアクセスサービスを提供する暗号化通信システム及びゲートウェイ装置に関する。

ＩＰＳｅｃ（Ｓｅｃｕｒｉｔｙ Ａｒｃｈｉｔｅｃｔｕｒｅ ｆｏｒ ｔｈｅ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）を使用したＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）技術によって、外出先の社員が自社の企業網にインターネットを介してセキュアに接続するリモートＶＰＮアクセスが広く普及している。
リモートＶＰＮアクセスシステムの概要について、図１を用いて説明する。図１において、端末１０１はインターネット１０２を介して企業網１０４と接続する。端末１０１は、通信リンク１０６にて企業網１０４の対向サーバ１０５と通信するが、通信リンク１０６は、インターネット１０２を通るため、セキュアにする必要がある。端末１０１は、企業網１０４においてインターネット１０２とのエッジに設置されたＶＰＮゲートウェイ装置１０３に対して、ＩＰＳｅｃトンネル１０７を設定する。ＩＰＳｅｃトンネル１０７中の通信リンクを使用することにより、セキュアな通信路として通信リンク１０６を確保する。上記のようなリモートＶＰＮアクセスシステムは、例えば、特許文献１に開示されている。
一方、携帯電話網の標準化機関である３ＧＰＰ（３ｒｄ Ｇｅｎｅｒａｔｉｏｎ Ｐａｒｔｎｅｒｓｈｉｐ Ｐｒｏｊｅｃｔ）は、３ＧＰＰ網にＷＬＡＮ（Ｗｉｒｅｌｅｓｓ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）を介したインターネットアクセスを収容するための仕様を非特許文献１に規定している。図２を用いて、３ＧＰＰ網を介したインターネットアクセス方法を説明する。図２において、端末１０１は、ＷＬＡＮ網２０１を介して３ＧＰＰ網２０２と接続する。３ＧＰＰ網２０２は端末１０１に対してインターネット１０２に接続するサービスを提供している。ここで、端末１０１は、インターネット１０２に接続された対向サーバ１０５との通信を行なうために端末１０１と対向サーバ１０５間で通信リンク２０６を接続する。

３ＧＰＰ網２０２は、加入者の認証を行うサーバであるＡＡＡ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ａｕｔｈｏｒｉｚａｔｉｏｎ Ａｃｃｏｕｎｔｉｎｇ）２０３と、ＷＬＡＮ網でユーザーデータの伝送を行うＷＡＧ（Ｗｉｒｅｌｅｓｓ ＬＡＮ Ａｃｃｅｓｓ Ｇａｔｅｗａｙ）２０４と、パケットレベルのゲートウェイであるＰＤＧ（Ｐａｃｋｅｔ Ｄａｔａ Ｇａｔｅｗａｙ）２０５を有する。ＷＬＡＮ網２０１は、セキュアでないネットワークであり、通信リンク２０６のセキュリティを確保するために、端末１０１とＰＤＧ２０５間でＩＰＳｅｃトンネル２０７を設定する。

特開２００１−１６０８２８号公報

３ＧＰＰ ＴＳ２３．２３４、 ３ＧＰＰ ｓｙｓｔｅｍ ｔｏ Ｗｉｒｅｌｅｓｓ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ （ＷＬＡＮ） Ｉｎｔｅｒｗｏｒｋｉｎｇ−Ｓｙｓｔｅｍ Ｄｅｓｃｒｉｐｔｉｏｎ

３ＧＰＰ網を介したインターネット接続サービスを利用して、インターネットに接続された企業網に対して、端末がリモートＶＰＮアクセスを利用するケース１を考える。本ケース１では、端末１０１は、３ＧＰＰ網２０２内のＰＤＧ２０５へのＩＰＳｅｃトンネルと企業網１０４にあるＶＰＮゲートウェイ１０３へのＩＰＳｅｃトンネルの２重のＩＰＳｅｃトンネルを設定する。端末１０１において、二重にＩＰＳｅｃ処理をすることは、端末のＣＰＵ資源等を多く消費することになり、処理能力が低い端末では性能上及び消費電力上の課題となる。
上述した課題を図３と図４を用いてより詳細に説明する。まず、図３を用いて、端末１０１が、３ＧＰＰ網２０２が提供するインターネットへの接続サービスを利用して、インターネット１０２に接続された企業網１０４にある対向サーバ１０５に接続するケースを説明する。端末１０１は対向サーバ１０５が所属する企業網１０４に対しＩＰＳｅｃを用いたリモートＶＰＮで接続されているものとする。端末１０１と対向サーバ１０５間で動作するアプリケーションは、通信リンク２０６で通信する。ここで、インターネットを介した端末１０１からのアクセスのセキュリティを確保するため、端末１０１とＶＰＮゲートウェイ１０３間でＩＰＳｅｃトンネル３０１を設定し、通信リンク２０６での通信時にＩＰＳｅｃトンネル３０１を使用する。一方、３ＧＰＰ網２０２では、ＷＬＡＮ網２０１を介した通信のセキュリティを確保するために端末１０１とＰＤＧ２０５間でＩＰＳｅｃトンネル２０７を確立する。ここで、ＩＰＳｅｃトンネル２０７とＩＰＳｅｃトンネル３０１は、双方とも端末１０１で終端される。

図４を参照して、図３のネットワークのプロトコルスタックを説明する。図４において、端末１０１のプロトコルスタック４０１は、下位層から順にＬ１／Ｌ２プロトコル、Ｔｒａｎｓｐｏｒｔ ＩＰプロトコル、ＩＰＳｅｃ Ｔｕｎｎｅｌプロトコル、Ｒｅｍｏｔｅ ＩＰプロトコル、ＩＰＳｅｃ Ｔｕｎｎｅｌプロトコル、ＩＰプロトコルである。ＷＡＧ２０４のプロトコルスタック４０２は、下位層から順にＬ１／Ｌ２プロトコル、Ｔｒａｎｓｐｏｒｔ ＩＰプロトコルである。
ＰＤＧ２０５のプロトコルスタック４０３は、下位層から順にＷＡＧ側のＬ１／Ｌ２プロトコル、Ｔｒａｎｓｐｏｒｔ ＩＰプロトコル、ＩＰＳｅｃ Ｔｕｎｎｅｌプロトコル、Ｒｅｍｏｔｅ ＩＰプロトコル、ＶＰＮゲートウェイ１０３側のＬ１／Ｌ２プロトコル、Ｒｅｍｏｔｅ ＩＰプロトコルである。ＶＰＮゲートウェイ１０３のプロトコルスタック４０４は、下位層から順にＰＤＧ２０５側のＬ１／Ｌ２プロトコル、Ｔｒａｎｓｐｏｒｔ ＩＰプロトコル、ＩＰＳｅｃ Ｔｕｎｎｅｌプロトコル、Ｒｅｍｏｔｅ ＩＰプロトコル、対向サーバ１０５側のＬ１／Ｌ２プロトコル、ＩＰプロトコルである。対向サーバ１０５のプロトコルスタック４０５は、下位層から順にＬ１／Ｌ２プロトコル、ＩＰプロトコルである。
端末１０１と対向サーバ１０５の間のＩＰパケットは、端末１０１とＶＰＮゲートウェイ１０３で終端するＩＰＳｅｃトンネルを下位層に持つ。さらに、このＩＰＳｅｃトンネルは、端末１０１とＰＤＧ２０５間において両者で終端するＩＰＳｅｃトンネルを下位層に持つ。
端末１０１のプロトコルスタック４０１を見ると、端末１０１と対向サーバ１０５の間のＩＰパケットについて、２重にＩＰＳｅｃが処理されており、端末１０１のソフトウェアは、２重にＩＰＳｅｃを処理する必要があることがわかる。すなわち、端末１０１ではＩＰＳｅｃ処理にＣＰＵの処理能力を著しく消費する。
本発明の第一の目的は、端末の２重の暗号化処理を回避することである。

次に、３ＧＰＰ網を介したインターネット接続サービスを利用して、インターネットに接続された企業網に対して、リモートＶＰＮアクセスを利用する端末が企業網への接続後、接続を維持したままインターネットを利用するケース２を考える。本ケースでは、端末は企業網のＶＰＮゲートウェイとの接続時に、ＶＰＮゲートウェイから企業網内でのみ使用されるプライベートアドレスを払い出してもらう。端末は払い出されたプライベートアドレスを使用して企業網内のサーバと接続できるが、端末はプライベートアドレスを使用しているため、インターネット上の別のサーバにアクセスすることはできないという課題がある。
上述した課題を図５にて詳細に説明する。
端末１０１は企業網１０４のＶＰＮゲートウェイ１０３との接続時に、ＶＰＮゲートウェイ１０３から企業網内でのみ使用されるプライベートアドレスを払い出してもらう。端末１０１は払い出されたプライベートアドレスを使用して企業網１０４内の対向サーバ１０５と接続できる。ここで、インターネット上のＷＷＷサーバ５０１にアクセスすることを考える。インターネット上ではグローバルアドレスが必要であるが、ＶＰＮゲートウェイ１０３との接続を維持したままでは、端末１０１はプライベートアドレスしか使用できないため、端末１０１はＷＷＷサーバ５０１にアクセスすることができない。端末がグローバルアドレスを取得するためには、一旦ＶＰＮゲートウェイ１０３との接続を切断する必要があり、シームレスに切り替えることができない。また、企業網内のサーバを利用しながらインターネットを同時に利用することができず、端末１０１の利用者は大きな不便を強いられる。他方、インターネットを利用している端末１０１が企業網１０４内のサーバと接続する場合、端末１０１はＶＰＮゲートウェイ１０３と接続し、企業網内でのみ使用されるプライベートアドレスを払いだしてもらう必要がある。この場合もインターネットとの接続を維持したまま、企業網内のサーバを利用することはできない。
本発明の第二の目的は、端末が企業網との接続を維持したまま、インターネット上のサーバをシームレスに利用できるようにすることである。

最後に、端末が移動しながらインターネット上のサーバにアクセスするケース３を考える。本ケースでは、端末は各区域のそれぞれのＷＬＡＮ網に設置されるＰＤＧを介して、インターネット上のサーバにアクセスするが、例えばＷＷＷサーバのように、端末は直接アクセスせず、Ｐｒｏｘｙサーバ経由で間接的にアクセスするようなサーバも多い。そのようなケースでは、ＰＤＧの後段にＰｒｏｘｙサーバを設置し、Ｐｒｏｘｙサーバ経由でＷＷＷサーバにアクセスする形態となる。ここで、端末がＰｒｏｘｙサーバ経由でＷＷＷサーバにアクセスする場合、移動先の区域では別のＷＬＡＮ網にアクセスするため、各区域に少なくとも一つＰｒｏｘｙサーバが必要になる。また、Ｐｒｏｘｙサーバ以外の別の装置を経由させる場合においても同様に、ＰＤＧの後段に別の装置を少なくとも１台ずつ設置する必要がある。この区域は例えば県単位といった粒度で設定されることが多く、装置を増やすたびに各県単位に分散配置することは、分散拠点での運用の煩雑さや複数の装置を用意するコストを考えると、サービス事業者の負担が大きい。
本発明の第三の目的は、インターネット上のサーバに端末がアクセスする際に経由する装置をサービス事業者が追加する際、通信条件によって必要な通信のみ集約型の装置に転送することができるようにすることである。

上述のように、本発明の目的のひとつは、端末の２重の暗号化処理を回避することである。また、本発明の目的のひとつは、端末が企業網との接続を維持したまま、インターネット上のサーバをシームレスに利用できるようにすることである。また、本発明の目的のひとつは、インターネット上のサーバに端末がアクセスする際に経由する装置をサービス事業者が追加する際、通信条件によって必要な通信のみ集約型の装置に転送することができるようにすることである。

上述した課題を解決するため、本発明は、３ＧＰＰ網のＰＤＧの後段に、ＶＰＮクライアントを配置した通信システムを導入する。
本通信システムは、端末と、端末が認証を行うためのＡＡＡと、端末とＷＬＡＮ網を介して暗号化通信により接続されるＰＤＧと、ＰＤＧの要求によって暗号化のためのトンネル設定を行うＶＰＮクライアントと、ＶＰＮクライアントと企業網を介して暗号化通信により接続される対向サーバと、ＰＤＧとインターネットを介して非暗号化通信により接続されるサーバを有するシステムである。
本通信システムにおいて、ＰＤＧは、端末から初めてアクセスされたとき、端末の通信をブロックし認証を要求する通信ブロック処理部と、ＡＡＡから端末の認証成功を通知された後、ＰＤＧ−ＶＰＮクライアント間で端末を識別するために端末に対するＶＬＡＮを登録するＶＬＡＮ設定部と、端末からの要求に応じて端末−ＰＤＧ間にＷＬＡＮ網の第１トンネルを設定するトンネル設定部と、ＷＬＡＮ網の第１トンネル設定後に企業網の第２トンネルの設定要求を送信するトンネル設定送信部と、端末から第１トンネルを介してメッセージを受信するメッセージ受信部と、端末から第１トンネルを介して受信したメッセージを第２トンネルを介して対向サーバに転送するメッセージ転送部を備えており、上述した課題のうち、端末の二重暗号化処理による性能・消費電力上の課題を解決できる。

また、本通信システムにおいて、ＰＤＧは、メッセージの送信元ＩＰアドレスを企業網もしくはグローバルＩＰアドレスに変換するための情報を格納するＩＰアドレス変換テーブルと、メッセージの宛先ＩＰアドレスおよびメッセージの送信元ＩＰアドレスに基づいて、ＩＰアドレス変換テーブルを検索し、検索結果に基づいてメッセージの送信元アドレスを企業網もしくはグローバルＩＰアドレスに変換するアドレス変換部と、送信元ＩＰアドレスを企業網のＩＰアドレスに変換したメッセージは企業網の第２トンネルを介して企業網へ、送信元アドレスをインターネット網のＩＰアドレスに変換したメッセージはインターネットへ、各々転送するメッセージ転送部とを備えており、上述した課題のうち、端末が企業網との接続を維持したまま、インターネット上のサーバをシームレスに利用できない課題を解決できる。
より具体的には、本通信システムにおいて、アドレス変換部は、前記宛先ＩＰアドレスが対向サーバのときに前記送信元ＩＰアドレスを第２網内でのみ使用されるプライベートＩＰアドレスに変換し、前記宛先ＩＰアドレスが前記サーバの宛先のときに前記送信元ＩＰアドレスをプライベートＩＰアドレスからグローバルＩＰアドレスに変換する。
さらに、本通信システムにおいて、ＰＤＧは、端末から受信したメッセージの送信元ＩＰアドレス、宛先ポート番号等の通信条件によって、受信メッセージの転送先をインターネットにするか、Ｐｒｏｘｙサーバ等の通信装置とするかを判断するための転送先判断部を備えており、通信条件によって必要な通信のみ集中配備された通信装置に転送できるようになる。

本発明の第１の解決手段によると、
第１網の第１トンネルを介して暗号化通信により端末と通信し、第２網を介して第１サーバと通信するゲートウェイ装置と、
第２トンネルを少なくとも第２網上に設定し、前記ゲートウェイ装置と第３網の第２サーバとで該第２トンネルを介して暗号化通信するためのＶＰＮクライアント装置と
を備え、
前記ゲートウェイ装置は、
任意のＩＰアドレスで通信する前記端末から前記第１トンネルを介してメッセージを受信するメッセージ受信部と、
前記端末に割り当てる第２網のＩＰアドレス及び第３網のＩＰアドレスをひとつ又は複数格納するアドレス記憶部と、
受信されたメッセージの宛先に応じて、前記アドレス記憶部の前記第２網のＩＰアドレス又は前記第３網のＩＰアドレスをひとつ選択し、前記メッセージの送信元アドレスを選択された前記第２網のＩＰアドレス又は前記第３網のＩＰアドレスに変換するアドレス変換部と、
アドレス変換されたメッセージを、宛先に従い、前記第１サーバに転送する又は前記ＶＰＮクライアント装置を介して前記第２サーバに転送するメッセージ転送部と
を有する暗号化通信システムが提供される。

本発明の第２の解決手段によると、
第１網を介して暗号化通信により端末と通信するゲートウェイ装置と、第２網を介して前記ゲートウェイ装置と通信する第１サーバと、少なくとも第２網での暗号化通信を介して前記ゲートウェイ装置と通信する第３網の第２サーバとを備えたシステムにおける前記ゲートウェイ装置であって、
任意のＩＰアドレスで通信する前記端末から前記第１トンネルを介してメッセージを受信するメッセージ受信部と、
前記端末に割り当てる第２網のＩＰアドレス及び第３網のＩＰアドレスをひとつ又は複数格納するアドレス記憶部と、
受信されたメッセージの宛先に応じて、前記アドレス記憶部の前記第２網のＩＰアドレス又は前記第３網のＩＰアドレスをひとつ選択し、前記メッセージの送信元アドレスを選択された前記第２網のＩＰアドレス又は前記第３網のＩＰアドレスに変換するアドレス変換部と、
アドレス変換されたメッセージを宛先アドレスに従い転送するメッセージ転送部と
を備えた前記ゲートウェイ装置が提供される。

本発明によると、３ＧＰＰ網が提供するＷＬＡＮ網を介したインターネットアクセスを利用する端末が企業網のリモートＶＰＮを利用する際に、ＩＰＳｅｃの２重処理による性能への影響を回避できる。また、本発明によると、３ＧＰＰ網を介したインターネット接続サービスを利用する端末が、企業網のリモートＶＰＮを利用する際に、企業網との接続を維持したまま、インターネット上のサービスをシームレスに利用できる。さらに、本発明によると、端末に経由させたい通信装置を追加するにあたり、区域ごとに通信装置を設置する必要をなくし、集中配備することを可能にする。

リモートＶＰＮアクセスを説明するブロック図である。 ３ＧＰＰを利用したインターネットアクセスを説明するブロック図である。 ３ＧＰＰを利用したリモートＶＰＮアクセスを説明するブロック図である。 ３ＧＰＰを利用したリモートＶＰＮアクセスのプロトコルスタックを説明する図である。 ３ＧＰＰを利用したリモートＶＰＮアクセスにおいて、外部サーバとの接続を説明するブロック図である。 本発明を用いたリモートＶＰＮアクセスにおいて、対向サーバとの通信を説明するブロック図である。 本発明を用いたリモートＶＰＮアクセス時のプロトコルスタックを説明する図である。 端末、ＷＬＡＮ ＡＰ（アクセスポイント）、ＡＡＡ、ＷＬＡＮ網のＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）、ＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｅｒｖｅｒ）、ＰＤＧ、３ＧＰＰ網のＤＨＣＰ、ＶＰＮクライアント、ＶＰＮゲートウェイ、対向サーバ間のシーケンス図である。 ＰＤＧ内の端末情報テーブルである。 端末からのデータ受信時にＰＤＧで行われるＩＰアドレス変換および転送のフローチャートである。 企業網内で使用されるＩＰアドレスが一覧となったＩＰアドレステーブルである。 ＰＤＧが使用できるグローバルアドレスが一覧となったＩＰアドレステーブルである。 対向サーバからのデータ受信時のＰＤＧで行われるＩＰアドレス変換および転送のフローチャートである。 ３ＧＰＰ網のインターネット接続サービスを利用した複数の企業網へのリモートアクセスを説明する図である。 ＰＤＧの機能ブロックの構成図である。 端末によるインターネット上のＷＷＷサーバへのＰｒｏｘｙサーバ経由でのアクセスを説明する図である。 端末が経由する装置を集約設置可能にする通信システムを説明する図である。 ＰＤＧが持つ転送先判定テーブルである。 ＰＤＧの機能ブロックの構成図である。

以下、本実施の形態について、図面を参照しながら詳細に説明する。なお、実質同一部位には同じ参照番号を振り、説明は繰り返さない。
図６を参照して、本実施の形態を用いた場合の３ＧＰＰ網のインターネット接続サービスを利用した企業網へのリモートアクセスを説明する。図６において、ネットワークは、ＷＬＡＮ網（第１網）２０１、３ＧＰＰ網２０２、インターネット（第２網）１０２、企業網（第３網）１０４を含む。３ＧＰＰ網２０２は、ＷＡＧ２０４、ＰＤＧ（ゲートウェイ装置）２０５、ＡＡＡ（認証装置）２０３、ＶＰＮクライアント６０１、ＤＨＣＰ５０５、ＤＮＳ５０６が含まれる。企業網１０４は、ＶＰＮゲートウェイ１０３と、対向サーバ１０５が含まれる。ＷＬＡＮ網２０１は、ＷＬＡＮ ＡＰ（ＷＬＡＮ Ａｃｃｅｓｓ Ｐｏｉｎｔ）を介して端末１０１と３ＧＰＰ網２０２を接続する。インターネット１０２は、３ＧＰＰ網２０２と企業網１０４を接続する。
端末１０１と対向サーバ１０５間の通信リンク２０６にて、両者のアプリケーションはＩＰで通信する。ＶＰＮクライアント６０１は、端末１０１の代理としてＶＰＮゲートウェイ１０３とのＩＰＳｅｃを終端する。これによって、ＶＰＮクライアント６０１は、ＶＰＮゲートウェイ１０３とのＩＰＳｅｃトンネル（第２トンネル）６０２を設定してインターネット１０２でのセキュリティを確保する。また、端末１０１はＷＬＡＮ網２０１でのセキュリティを確保するために、端末１０１−ＰＤＧ２０５間でＩＰＳｅｃトンネル（第１トンネル）２０７を設定する。なお、ＶＰＮクライアント６０１の機能は、ＰＤＧ２０５に含めてもよい。

図７を参照して、端末１０１と対向サーバ１０５間のＩＰパケットを転送するためのプロトコルスタックを説明する。図６において、端末１０１のプロトコルスタック７０２は、下位層から順にＬ１／Ｌ２プロトコル、Ｔｒａｎｓｐｏｒｔ ＩＰプロトコル、ＩＰＳｅｃ Ｔｕｎｎｅｌプロトコル、Ｒｅｍｏｔｅ ＩＰプロトコルを含む。ＷＡＧ２０４のプロトコルスタック４０２は、下位層から順にＬ１／Ｌ２プロトコル、Ｔｒａｎｓｐｏｒｔ ＩＰプロトコルを含む。ＰＤＧ２０５のプロトコルスタック４０２は、下位層から順にＷＡＧ４０２側のＬ１／Ｌ２プロトコル、Ｔｒａｎｓｐｏｒｔ ＩＰプロトコル、ＩＰＳｅｃ Ｔｕｎｎｅｌプロトコル、Ｒｅｍｏｔｅ ＩＰプロトコル、ＶＰＮクライアント６０１側のＬ１／Ｌ２プロトコル、ＩＰプロトコルを含む。ＶＰＮクライアント６０１のプロトコルスタック７０３は、下位層から順にＰＤＧ２０５側のＬ１／Ｌ２プロトコル、ＩＰプロトコル、ＶＰＮゲートウェイ１０３側のＬ１／Ｌ２プロトコル、Ｔｒａｎｓｐｏｒｔ ＩＰプロトコル、ＩＰＳｅｃ Ｔｕｎｎｅｌプロトコル、ＩＰプロトコルを含む。ＶＰＮゲートウェイ１０３のプロトコルスタック７０４は、下位層から順にＶＰＮクライアント６０１側のＬ１／Ｌ２プロトコル、Ｔｒａｎｓｐｏｒｔ ＩＰプロトコル、ＩＰＳｅｃ Ｔｕｎｎｅｌプロトコル、ＩＰプロトコル、対向サーバ１０５側のＬ１／Ｌ２プロトコル、ＩＰプロトコルを含む。対向サーバ１０５のプロトコルスタック４０５は、下位層から順にＬ１／Ｌ２プロトコル、ＩＰプロトコルを含む。
図７において、端末１０１とＰＤＧ２０５は、ＩＰＳｅｃ（図６のＩＰＳｅｃトンネル２０７に対応）を終端する。また、ＶＰＮクライアント６０１とＶＰＮゲートウェイ１０３も、ＩＰＳｅｃ（図６のＩＰＳｅｃトンネル６０２に対応）を終端する。端末１０１のプロトコルスタック７０２は、ＩＰＳｅｃ Ｔｕｎｎｅｌが一つである。
図１５にＰＤＧ２０５の構成図を示す。図１５においてＰＤＧ２０５の各機能部を説明する。なお、後述する図８の処理の対応する符号を示す。

通信ブロック処理部１５０１は、ＰＤＧ２０５が端末１０１から初めてアクセスされたとき、ＰＤＧ２０５が端末１０１の通信をブロック（図８：８１２）し、認証を要求する（８１３）。また、通信ブロック処理部１５０１は、ＶＰＮクライアント６０１からのトンネル設定完了が通知（８２３）された後、通信ブロックを解除する（８２４）。
ＶＬＡＮ設定部１５０２は、ＡＡＡ２０３から端末１０１の認証成功を通知（８１５）された後、ＰＤＧ２０５−ＶＰＮクライアント６０１間でユーザを識別するために端末１０１に対するＶＬＡＮを登録し、ＷＬＡＮ２０１網のトンネルと企業網１０４のトンネルの対応付けを行う（８１７）。トンネル設定送信部１５０３は、端末１０１とＰＤＧ ２０５のトンネル設定後にＶＰＮクライアント６０１へＶＰＮクライアント６０１−ＶＰＮゲートウェイ１０３間のトンネル設定要求を送信する（８２１）。メッセージ受信部１５０４は端末１０１からＷＬＡＮ網のトンネルを介してパケットデータを受信する。ＩＰアドレス変換テーブル（アドレス記憶部）として、パケットの送信元ＩＰアドレスを企業網１０４内で使用されるＩＰアドレスに変換するための情報を格納する企業網用ＩＰアドレステーブル１１０１と、グローバルアドレスに変換するための情報を格納するグローバルＩＰアドレステーブル１２０１とを保持している。また、端末情報テーブル（端末情報記憶部）９０１を保持している。アドレス変換部１５０５は受信したパケットの宛先ＩＰアドレスおよび受信したパケットの送信元ＩＰアドレスに基づいて、上述のＩＰアドレステーブルを検索し、検索結果に基づいて受信したパケットの送信元アドレスを企業網１０４内で使用されるＩＰアドレスもしくは、グローバルアドレスに変換する（８２７）。メッセージ転送部１５０６は企業網１０４内で使用されるＩＰアドレスに変換したパケットはＶＰＮクライアント６０１へ、グローバルアドレスに変換したパケットは、インターネット１０２に転送する。

図９にて、ＰＤＧ２０５が保持している端末情報テーブル９０１を説明する。
端末情報変換テーブル９０１は、端末識別子９０２と、端末認証情報９０３と、ＶＰＮユーザ認証情報９０４と、ＶＬＡＮ（ＶＬＡＮ ＩＤ）９０５とが対応して記憶される。図示の例では端末情報テーブル９０１の最初のレコードは、端末識別子９０２として、ｕｓｅｒ１＠ｏｐｅｒａｔｏｒ１を保持している。端末認証情報９０３として、０ｘ１２３４５６７８９ａｂｃｄｅｆを保持している。ＶＰＮユーザ認証情報９０４として、０ｘｅｆ１２３４５６７８９ａｂｃｄを保持している。ＶＬＡＮ９０５として、ｃｏｒｐｏｒａｔｅ１を保持している。
ユーザ（又は端末）を識別する情報が端末識別子９０２である。端末識別子９０２は、ユーザを一意に識別するＩＤである。端末認証情報９０３は、３ＧＰＰ網２０２の端末に設定されている認証情報であり、端末認証情報９０３は、端末の登録時にあらかじめ設定される。ＶＰＮ認証情報９０４は、企業網のリモートアクセスに利用される認証情報である。ここで、ＶＰＮ認証情報９０４とは、例えば、ＩＰＳｅｃの鍵交換プロトコルであるＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ）に用いる認証情報（事前共有鍵）である。ＶＬＡＮ ９０５は、ＰＤＧ２０５とＶＰＮクライアント６０１の間でユーザを識別するために用いる。ＶＬＡＮ９０５は、端末認証の成功時にＰＤＧ２０５により動的に選択され、ＰＤＧ２０５内で保持され、ＶＰＮクライアント６０１に通知される。なお、これらの各情報はＡＡＡ２０３に予め設定され、認証成功時にＰＤＧ２０５に転送するようにしてもよいし、予めＰＤＧ２０５に設定されてもよい。
図１１は、企業網用ＩＰアドレステーブルの説明図である。企業網用ＩＰアドレステーブル１１０１は、例えば、企業網用ＩＰアドレス１１０２に対応して、使用状態１１０３と、端末のＩＰアドレス１１０４とを含む。
図１２は、グローバルＩＰアドレステーブルの説明図である。グローバルＩＰアドレステーブル１２０１は、例えば、グローバルＩＰアドレス１２０２に対応して、使用状態１２０３と、端末のＩＰアドレス１２０４とを含む。

（動作）
図８を参照して、端末、ＷＬＡＮ ＡＰ、ＡＡＡ、ＷＬＡＮ網のＤＨＣＰ、ＷＬＡＮ網のＤＮＳ、ＰＤＧ、３ＧＰＰ網のＤＨＣＰ、ＶＰＮクライアント、ＶＰＮゲートウェイ、対向サーバ間の動作を説明する。
図８において、端末１０１が対向サーバ１０５に対して通信を開始する処理を説明する。端末１０１は、一連のＷＬＡＮ ａｓｓｏｃｉａｔｉｏｎ プロシージャ（８０１〜８０８）をＷＬＡＮ ＡＰ５０２との間で実行し、ＷＬＡＮ網の認証が終了後、ＷＬＡＮ ＡＰ５０２との接続を確立する。ここで、ＷＬＡＮ ａｓｓｏｃｉａｔｉｏｎプロシージャはＩＥＥＥ８０２．１１で規定された新規接続の処理手順である。次に、端末１０１はＷＬＡＮ網２０１内のＤＨＣＰ５０３からＴｒａｎｓｐｏｒｔ ＩＰアドレスを取得する（８０９）。Ｔｒａｎｓｐｏｒｔ ＩＰアドレスはＷＬＡＮ網内でのみ有効なプライベートアドレスである。次にＷＬＡＮ網２０１内のＤＮＳ５０４からＰＤＧ２０５のアドレスを取得する（８１０）。ＰＤＧ２０５のアドレスが取得できたので、端末１０１はＰＤＧ２０５へアクセスする（８１１）。ＰＤＧ２０５は、この通信をブロックする（８１２）。ＰＤＧ２０５は、端末１０１に対して認証を要求する（８１３）。
端末１０１は、ＡＡＡサーバ２０３との間で３ＧＰＰ網の端末認証を行う（８１４）。なお、３ＧＰＰ網においては、端末の認証は、ＥＡＰ（Ｅｘｔｅｎｓｉｂｌｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）−ＳＩＭ（Ｓｕｂｓｃｒｉｂｅｒ ＩＤｅｎｔｉｔｙ Ｍｏｄｕｌｅ）またはＥＡＰ−ＡＫＡ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ Ｋｅｙ Ａｇｒｅｅｍｅｎｔ）を用いることができる。ここでは認証が正常に終了し、ＡＡＡ２０３はＰＤＧ２０５と端末１０１に対して認証の成功を通知する（８１５、８１６）。なお、ＰＤＧ２０５への認証成功の通知（８１５）は、端末１０１が企業網１０４のリモートアクセスを利用するための各種情報９０２〜９０４を含んでおり、ＰＤＧ２０５は端末１０１の各種情報をＰＤＧ２０５内の端末情報テーブル９０１（図９）に保存するものとする。

ＡＡＡ２０３から認証成功が通知（８１５）された後、ＰＤＧ２０５は、端末１０１に対するＶＬＡＮのＩＤをＶＬＡＮ ＩＤのプールから選択し、ＶＬＡＮを登録する（８１７）。なお、ＶＬＡＮを登録する際に、端末情報テーブル９０１のＶＬＡＮ９０５にＶＬＡＮ ＩＤを保存するものとする。ＶＬＡＮの設定をするＰＤＧ２０５は、ＶＰＮクライアント６０１に対し、端末１０１に対するＶＬＡＮとして選択したＶＬＡＮの登録を要求し（８１８）、ＶＰＮクライアント６０１は、通知されたＶＬＡＮを登録する（８１９）。端末１０１はＰＤＧ２０５のトンネル設定部１５０７とトンネル設定のための通信を行い、端末１０１とＰＤＧ２０５間で、認証情報を用いてＩＰＳｅｃトンネルを設定する（８２０）。その後、ＰＤＧ２０５は、ＶＰＮクライアント６０１に対してトンネル設定を要求する（８２１）。なお、トンネル設定の要求（８２１）には端末１０１のＶＰＮ認証情報９０４を含んでおり、ＶＰＮクライアント６０１は、端末１０１のＶＰＮ認証情報９０４をＶＰＮクライアント６０１内に一時的に保存するものとする。ＶＰＮクライアント６０１は、端末１０１のＶＰＮ認証情報９０４を用いてＶＰＮゲートウェイ１０３との間にＩＰＳｅｃトンネルを設定する（８１９）。ＶＰＮクライアント６０１とＶＰＮゲートウェイ１０３との間のＩＰＳｅｃトンネルが設定できると、ＶＰＮクライアント６０１は、トンネル設定完了をＰＤＧ２０５に応答する（８２３）。
ＰＤＧ２０５は、端末−ＰＤＧ間およびＶＰＮクライアント−ＶＰＮゲートウェイ間のＩＰＳｅｃトンネルが設定され、両者のＩＰＳｅｃトンネルの対応関係を示すＶＬＡＮの設定が終了すると、通信ブロックを解除する（８２４）。通信ブロックの解除、端末１０１と対向サーバ１０５の間で通信リンクが確立し通信が開始される。その後、端末１０１は３ＧＰＰ網のＤＨＣＰ５０５からＲｅｍｏｔｅ ＩＰアドレスを取得し（８２５）、対向サーバ１０５とのデータ通信を開始する（８２６）。なお、Ｒｅｍｏｔｅ ＩＰアドレスは企業網用のＩＰアドレスである。ＰＤＧ２０５は、端末１０１−対向サーバ１０５間のデータ通信に際して、ＩＰアドレス変換と転送（８２７）を行う。

図１０にて、ＰＤＧ２０５が行うＩＰアドレス変換と転送（８２７）について説明する。ＰＤＧ２０５は（以下の各ステップについても同様）、端末１０１からパケットデータ（メッセージと称することもある）を受信（１００２）時、受信パケットの宛先ＩＰアドレスが企業網１０４内で使用されるＩＰアドレスであるか判定する（１００３）。なお、企業網１０４内で使用されるＩＰアドレスが一覧となった企業網用ＩＰアドレステーブル１１０１をＰＤＧ２０５はあらかじめ保持しており、受信パケットの宛先ＩＰアドレスに基づき企業網用ＩＰアドレステーブル１１０１を参照して該当するＩＰアドレスがあれば企業網１０４内で使用されるＩＰアドレスであると判定する。受信パケットの宛先ＩＰアドレスが企業網１０４内で使用されるＩＰアドレスの場合（１００３、Ｙｅｓ）、受信パケットの送信元ＩＰアドレスが企業網１０４内で使用されるＩＰアドレスであるか判定（１００４）する。受信パケットの送信元ＩＰアドレスが企業網１０４内で使用されるＩＰアドレスでない場合（１００４、Ｎｏ）、処理１００５に移る。端末１０１がグローバルＩＰアドレスを用いて、企業網の対向サーバ１０５にパケットデータを送信する場合に想到する。処理１００５では、企業網用ＩＰアドレステーブル１１０１から使用状態１１０３が空きの行（エントリ）を選択し、使用状態１１０３に端末１０１の端末識別子９０２を書き込み、端末１０１のＩＰアドレス１１０４に端末１０１のＩＰアドレスを書き込む（１００５）。なお、端末１０１のＩＰアドレスは、受信パケットの送信元ＩＰアドレスを用いることができる。その後、受信パケットの送信元ＩＰアドレスを選択したエントリの企業網用ＩＰアドレス１１０２に変換（１００６）し、その後、受信パケットをＶＰＮクライアント６０１に転送する（１００７）。なお、受信パケットの送信元ＩＰアドレスが企業網１０４内で使用されるＩＰアドレスの場合（１００４、Ｙｅｓ）、受信パケットをＶＰＮクライアント６０１に転送する（１００７）。これは、端末１０１が企業網のプライベートＩＰアドレスを用いて対向サーバ１０５にパケットデータを送信する場合に相当する。

一方、受信パケットの宛先ＩＰアドレスが企業網１０４内で使用されるＩＰアドレスでない場合（１００３、Ｎｏ）、受信パケットの送信元ＩＰアドレスがグローバルアドレスであるか判定する（１００９）。グローバルアドレスでない場合（１００９、Ｎｏ）、処理１０１０に移る。端末１０１が、例えば企業網などのプライベートＩＰアドレスを用いてｗｗｗサーバ５０１にパケットデータを送信する場合に相当する。処理１０１０では、ＰＤＧ２０５があらかじめ保持しているグローバルＩＰアドレステーブル１２０１から使用状態１２０３が空きのエントリを選択し、使用状態１２０３に端末１０１の端末識別子９０２を書き込み、端末１０１のＩＰアドレス１２０４に端末１０１のＩＰアドレスを書き込む（１０１０）。その後、受信パケットの送信元ＩＰアドレスを選択したエントリのグローバルＩＰアドレス１１０２に変換（１０１１）し、その後、受信パケットをインターネット１０２に転送する（１０１２）。また、受信パケットの送信元ＩＰアドレスがグローバルアドレスの場合（１００９、Ｙｅｓ）、受信パケットをインターネット１０２に転送する（１０１２）。これは、端末１０１がグローバルＩＰアドレスを用いてｗｗｗサーバ５０１にパケットデータを送信する場合に相当する。
なお、企業網１０４内で使用されるＩＰアドレスが一覧となった企業網用ＩＰアドレステーブル１１０１と、ＰＤＧ２０５があらかじめ保持しているグローバルＩＰアドレステーブル１２０１に書き込まれた使用状態は、端末１０１がＰＤＧ２０５との通信を切断する際に、ＰＤＧ２０５が「空き」に戻す。

図１３にて、対向サーバからのデータ受信時のＰＤＧで行われるＩＰアドレス変換および転送について説明する。
ＰＤＧ２０５が、対向サーバ１０５やｗｗｗサーバ５０１などの対向の装置からパケットデータを受信時（１３０２）、受信パケットデータの宛先ＩＰアドレスと一致するＩＰアドレス１２０２がないかグローバルＩＰアドレステーブル１２０１を検索する（１３０３）。一致する要素がある場合、使用状態が空きか判定し（１３０４）、空きの場合、受信パケットの宛先が特定できないため、受信パケットを破棄する（１３０８）。一方、使用状態１２０３が空きでなければ記載されている端末識別子９０２からどの端末宛かを判定することができる。使用状態が空きでない場合、宛先の端末が特定できたので、受信パケットの宛先ＩＰアドレスを一致する要素がある行（エントリ）の端末のＩＰアドレス１２０４に変換（１３０５）し、受信パケットをＶＰＮクライアント６０１に転送する（１００７）。
受信パケットデータの宛先ＩＰアドレスと一致するＩＰアドレス１２０２がグローバルＩＰアドレステーブル１２０１に見つからない場合、企業網用ＩＰアドレステーブル１１０１を検索する（１３０９）。宛先アドレスと一致するＩＰアドレス１１０２が見つからない場合（１３０９、Ｎｏ）、受信パケットを破棄する（１３０８）。なお、この場合、アドレス変換の必要がないとして、受信パケットを宛先アドレスに従い転送してもよい。一致するＩＰアドレス１１０２が見つかった場合（１３０９、Ｙｅｓ）、使用状態が空きか判定し（１３１０）、空きの場合、受信パケットの宛先が特定できないため、受信パケットを破棄する（１３０８）。使用状態が空きでない場合、宛先の端末が特定できたので、受信パケットの宛先ＩＰアドレスを一致する要素がある行（エントリ）の端末のＩＰアドレス１１０４に変換（１３１１）し、受信パケットをＶＰＮクライアント６０１に転送する（１００７）。

企業網１０４のネットワーク管理者は、ＶＰＮゲートウェイ１０３によるリモートユーザ管理の仕組みを導入済みであり、新しいＷＬＡＮ網からの３ＧＰＰを用いたリモートＶＰＮアクセスに対しても、既存のアクセス方法と同様のインタフェースでリモートＶＰＮ接続を利用できることを望むと思われる。上述した実施の形態に依れば、従来のリモートＶＰＮ接続とのインタフェースと役割分担を同一にして、新しく導入するＷＬＡＮアクセスサービスについてもリモートＶＰＮ接続を提供することが可能になる。
図１４を参照して、３ＧＰＰ網のインターネット接続サービスを利用した複数の企業網へのリモートアクセスを説明する。
図１４において、ネットワークは、ＷＬＡＮ網２０１、３ＧＰＰ網２０２、インターネット１０２、企業網１４０６、企業網１４１２を含む。３ＧＰＰ網２０２は、ＷＡＧ２０４、ＰＤＧ２０５、ＡＡＡ２０３、ＶＰＮクライアント６０１、ＤＨＣＰ５０５、ＤＮＳ５０６を含む。企業網１４０６は、ＶＰＮゲートウェイ１４０５と、対向サーバ１４０７を含む。企業網１４１２は、ＶＰＮゲートウェイ１４１１と、対向サーバ１４１３を含む。ＷＬＡＮ網２０１は、端末１４０１または端末１４０２と３ＧＰＰ網２０２を接続する。インターネット１０２は、３ＧＰＰ網２０２と企業網１４０６または企業網１４１２を接続する。

端末１４０１は、企業網１４０６に所属する端末である。端末１４０２は、企業網１４１２に所属する端末である。端末１４０１は、対向サーバ１４０７に接続する。端末１４０２は、対向サーバ１４１３に接続する。
通信リンク１４０８は、端末１４０１と対向サーバ１４０７間、通信リンク１４１５は端末１４０２と対向サーバ１４１３間の通信リンクである。ＩＰＳｅｃトンネル１４０９は、端末１４０１とＰＤＧ２０５間のＩＰＳｅｃトンネルとして、端末１４０１の通信がアクティブな状態の時に動的に設定されるＩＰＳｅｃトンネルである。同様に、ＩＰＳｅｃトンネル１４１４は、端末１４０２とＰＤＧ２０５間のＩＰＳｅｃトンネルとして、端末１４０２の通信がアクティブな状態の時に動的に設定されるＩＰＳｅｃトンネルである。
一方、ＩＰＳｅｃトンネル１４１０は、ＶＰＮクライアント６０１−ＶＰＮゲートウェイ１４０５間のＩＰＳｅｃトンネルであり、ＩＰＳｅｃトンネル１４１０に対応する端末１４０１−ＰＤＧ２０５間のＩＰＳｅｃトンネルがアクティブな状態の時に動的に設定されるＩＰＳｅｃトンネルである。同様に、ＩＰＳｅｃトンネル１４１６は、ＶＰＮクライアント６０１−ＶＰＮゲートウェイ１４１１間のＩＰＳｅｃトンネルであり、ＩＰＳｅｃトンネル１４１６に対応する端末９０２−ＰＤＧ２０５間のＩＰＳｅｃトンネルがアクティブな状態の時に動的に設定されるＩＰＳｅｃトンネルである。
ＰＤＧ２０５とＶＰＮクライアント６０１は、端末１４０１、１４０２からのフローを識別するためにＶＬＡＮを用いている。端末とのＩＰＳｅｃトンネルを設定する際に、ＰＤＧ２０５は、端末がどのＶＬＡＮ（ＶＬＡＮ ＩＤ）を用いるかを決定する。
端末とＰＤＧ間およびＶＰＮクライアントとＶＰＮゲートウェイ間のＩＰＳｅｃトンネルに用いる認証情報は、ＡＡＡサーバに設定されており、端末がどのＶＬＡＮ ＩＤを使用するかはＡＡＡサーバに登録することができる。ＡＡＡサーバが保持する情報は、図９の端末情報テーブル９０１と同じ内容である。

次に、図１６を参照して、端末によるインターネット上のＷＷＷサーバへのＰｒｏｘｙサーバ経由でのアクセスを説明する。
図１６において、ネットワークは、同一区域１６２１内（例えば同一県内）に存在するＷＬＡＮ網１６０２および３ＧＰＰ網１６０３と、インターネット１６０４を含む。ＷＬＡＮ網１６０２は、ＷＬＡＮ ＡＰ１６０５を含む。３ＧＰＰ網１６０３は、ＷＡＧ１６０７、ＰＤＧ１６０８、Ｐｒｏｘｙサーバ１６１９を含む。ＷＬＡＮ網１６０２は、端末１６０１と３ＧＰＰ網１６０３を接続する。ＷＷＷサーバ１６０９をインターネット１６０４上に存在するＷＷＷサーバである。また、ＷＬＡＮ網１６１２および３ＧＰＰ網１６１３は、ＷＬＡＮ網１６０２と別の区域１６２２内（例えば別の県内）に存在しており、ＷＬＡＮ網１６１２は、ＷＬＡＮ ＡＰ１６１４を含む。３ＧＰＰ網１６１３は、ＷＡＧ１６１５、ＰＤＧ１６１６、Ｐｒｏｘｙサーバ１６２０を含む。ＷＬＡＮ網１６１２は、端末１６０１と３ＧＰＰ網１６１３を接続する。Ｐｒｏｘｙサーバは、例えば、ＮＡＴ等のＩＰアドレス変換、後段処理、代理処理などの予め定められた処理を行うことができる。
端末１６０１がある区域１６２１内で通信リンク１６１１によってＰｒｏｘｙサーバ１６１９経由でＷＷＷサーバ１６０９にアクセスした後、別の区域１６２２に移動した場合、移動先の区域では別のＷＬＡＮ網１６１２を介してアクセスする。このため、別の区域１６２２内にも少なくとも一つのＰｒｏｘｙサーバ１６２０が必要になる。また、Ｐｒｏｘｙサーバ１６２０以外の別の装置を経由させる場合においても、同様に各区域のＰＤＧ１６０８、１６１６の後段に別の装置を少なくとも１台ずつ設置する必要がある。ここで、区域は県単位といった粒度で設定されることが多く、各県単位に装置を分散配置することは、分散拠点での運用の煩雑さや複数の装置を用意するコストを考えると、サービス事業者の負担が大きい。

図１７を参照して、本実施の形態を用いた場合の端末によるインターネット上のＷＷＷサーバへのＰｒｏｘｙサーバ経由でのアクセスを説明する。
図１７において、Ｐｒｏｘｙサーバ（通信装置）１７０２は、区域１６２１および区域１６２２とは別の区域１７０１内に存在し、区域１６２１および区域１６２２内には、Ｐｒｏｘｙサーバは存在しない。ＰＤＧ１７０７およびＰＤＧ１７０８は、端末１６０１からパケットデータを受信すると、受信パケットの宛先アドレスが企業網内のアドレスか、インターネット上のサーバのアドレスかを判定する。企業網内のアドレスの場合は、前述した通りＶＰＮクライアントに受信パケットを転送する。インターネット上のサーバのアドレスである場合、転送先判定テーブル１８０１を参照し、受信パケットの送信元ＩＰアドレス１８０２と受信パケットの宛先ポート番号１８０３が該当する経由先装置１８０４を検索し、経由先装置１８０４に受信パケットを転送する。図１８は、転送先判定テーブルの構成図である。転送先判定テーブル１８０１は、例えば、送信元ＩＰアドレス１８０２と、宛先ポート番号１８０３と、経由先装置１８０４とが対応して予め記憶される。例えば、図１７において、端末１６０１がＷＷＷサーバ１６０８に宛先ポート番号８０番でアクセスした場合、ＰＤＧ１７０７およびＰＤＧ１７０８は、転送先判定テーブル１８０１から経由先装置１８０４としてＰｒｏｘｙサーバ１７０２を検索し、端末１６０１からの受信パケットをＰｒｏｘｙサーバ１７０２に転送する。また、ＰＤＧ１７０７およびＰＤＧ１７０８は受信パケットから転送先判定テーブル１８０１を検索した結果、経由先装置１８０４として「経由しない」を選択した場合は、受信パケットの宛先ＩＰアドレス宛にそのままインターネット１６０４に転送する（例えば、通信リンク１７０６のケース）。
本実施の形態においてＰＤＧは図１９の通り、転送先判定テーブル１８０１を検索し、経由先１８０４を選択するための転送先判断部１９０１をさらに備えており、この転送先判断機能を持つことにより、区域ごとに通信装置を設置することなく、集約設置することを可能にする。

本発明は、例えば、３ＧＰＰシステムを介する企業網へのリモートＶＰＮアクセスサービスを提供する通信システム等に利用可能である。

１０１…端末
１０２…インターネット
１０３…ＶＰＮゲートウェイ
１０４…企業網
１０５…対向サーバ
２０１…ＷＬＡＮ網
２０２…３ＧＰＰ網
２０３…ＡＡＡサーバ
２０４…ＷＡＧ
２０５…ＰＤＧ
５０１…インターネット上のＷＷＷサーバ
５０２…ＷＬＡＮ ＡＰ
５０３…ＷＬＡＮ網のＤＮＳ
５０４…ＷＬＡＮ網のＤＨＣＰ
５０５…３ＧＰＰ網のＤＨＣＰ
５０６…３ＧＰＰ網のＤＮＳ
６０１…ＶＰＮクライアント
９０１…ＰＤＧ２０５内の端末情報テーブル
１１０１…企業網１０４内で使用されるＩＰアドレスが一覧となったＩＰアドレステーブル
１２０１…ＰＤＧ２０５が使用可能なグローバルアドレスのテーブル
１４０１…端末
１４０２…端末
１４０３…ＷＬＡＮ ＡＰ
１４０４…ＷＬＡＮ ＡＰ
１４０５…ＶＰＮゲートウェイ
１４０６…企業網
１４０７…対向サーバ
１４１１…ＶＰＮゲートウェイ
１４１２…企業網
１４１３…対向サーバ
１５０１…ＰＤＧ２０５の通信ブロック処理部
１５０２…ＰＤＧ２０５のＶＬＡＮ処理部
１５０３…ＰＤＧ２０５のトンネル設定送信部
１５０４…ＰＤＧ２０５のメッセージ受信部
１５０５…ＰＤＧ２０５のアドレス変換部
１５０６…ＰＤＧ２０５のメッセージ転送部
１５０７…ＰＤＧ２０５のトンネル設定部
１６０１…端末
１６０２…ＷＬＡＮ網
１６０３…３ＧＰＰ網
１６０４…インターネット
１６０５…ＷＬＡＮ ＡＰ
１６０７…ＷＡＧ
１６０８…ＰＤＧ
１６０９…インターネット上のＷＷＷサーバ
１６１２…ＷＬＡＮ網
１６１３…３ＧＰＰ網
１６１４…ＷＬＡＮ ＡＰ
１６１５…ＷＡＧ
１６１６…ＰＤＧ
１６１９…Ｐｒｏｘｙサーバ
１６２０…Ｐｒｏｘｙサーバ
１７０１…３ＧＰＰ網
１７０２…Ｐｒｏｘｙサーバ
１７０５…対向サーバ
１７０７…ＰＤＧ
１７０８…ＰＤＧ
１８０１…転送先判定テーブル
１９０１…転送先判断部

Claims (13)

1. 第１網の第１トンネルを介して暗号化通信により端末と通信し、第２網を介して第１サーバと通信するゲートウェイ装置と、
   第２トンネルを少なくとも第２網上に設定し、前記ゲートウェイ装置と第３網の第２サーバとで該第２トンネルを介して暗号化通信するためのＶＰＮクライアント装置と
   を備え、
   前記ゲートウェイ装置は、
   任意のＩＰアドレスで通信する前記端末から前記第１トンネルを介してメッセージを受信するメッセージ受信部と、
   前記端末に割り当てる第２網のＩＰアドレス及び第３網のＩＰアドレスをひとつ又は複数格納するアドレス記憶部と、
   受信されたメッセージの宛先に応じて、前記アドレス記憶部の前記第２網のＩＰアドレス又は前記第３網のＩＰアドレスをひとつ選択し、前記メッセージの送信元アドレスを選択された前記第２網のＩＰアドレス又は前記第３網のＩＰアドレスに変換するアドレス変換部と、
   アドレス変換されたメッセージを、宛先に従い、前記第１サーバに転送する又は前記ＶＰＮクライアント装置を介して前記第２サーバに転送するメッセージ転送部と
   を有する暗号化通信システム。
2. 前記第２網のＩＰアドレスはグローバルＩＰアドレスであり、
   前記メッセージ受信部が、プライベートＩＰアドレスを用いる前記端末から宛先ＩＰアドレスが第２網の前記第１サーバのＩＰアドレスである前記メッセージを受信すると、前記アドレス変換部は、前記アドレス記憶部から前記第２網のグローバルＩＰアドレスをひとつ選択し、該メッセージの送信元ＩＰアドレスをプライベートＩＰアドレスから選択されたグローバルＩＰアドレスに変換する請求項１に記載の暗号化通信システム。
3. 前記第３網のＩＰアドレスは第３網内で使用されるプライベートＩＰアドレスであり、
   前記メッセージ受信部が、グローバルＩＰアドレスを用いる前記端末から宛先ＩＰアドレスが第３網の前記第２サーバのＩＰアドレスである前記メッセージを受信すると、前記アドレス変換部は、前記アドレス記憶部から前記第３網のプライベートＩＰアドレスをひとつ選択し、該メッセージの送信元ＩＰアドレスをグローバルＩＰアドレスから選択されたプライベートＩＰアドレスに変換する請求項１に記載の暗号化通信システム。
4. 前記端末と前記第２サーバが、前記第１トンネル、前記ゲートウェイ装置、前記ＶＰＮクライアント装置及び前記第２トンネルを介してセキュアに通信する請求項１に記載の暗号化通信システム。
5. 前記ゲートウェイ装置は、
   前記ゲートウェイ装置と前記ＶＰＮクライアント装置間で前記端末を識別するために前記端末に対するＶＬＡＮを登録するＶＬＡＮ設定部
   をさらに有する請求項４に記載の暗号化通信システム。
6. 前記第１トンネルと前記第２トンネルが、前記ＶＬＡＮにより関連づけられる請求項５に記載の暗号化通信システム。
7. 前記ゲートウェイ装置は、
   前記端末との間に第１網での第１トンネルを設定するトンネル設定部と、
   第２網での第２トンネルの設定要求を、前記ＶＰＮクライアント装置に送信するトンネル設定送信部と
   をさらに有する請求項１に記載の暗号化通信システム。
8. 前記ゲートウェイ装置は、
   前記端末の認証情報が予め記憶される端末情報記憶部をさらに有し、
   前記ＶＰＮクライアント装置への前記設定要求は、前記端末の認証情報を含み、
   前記前記ＶＰＮクライアント装置は、該端末の認証情報を用いて、前記第２サーバとの暗号化通信のための前記第２トンネルを設定する請求項７に記載の暗号化通信システム。
9. 前記端末の認証を行う認証装置
   をさらに備え、
   前記ゲートウェイ装置は、前記認証装置から前記端末の認証情報を取得し、前記端末情報記憶部に記憶する請求項８に記載の暗号化通信システム。
10. 前記第２網のＩＰアドレスはグローバルＩＰアドレスであり、前記第３網のＩＰアドレスは第３網内で使用されるプライベートＩＰアドレスであり、
    前記アドレス変換部は、
    選択されたプライベートＩＰアドレスに対応して、受信されたメッセージの送信元アドレスに従い前記端末のグローバルＩＰアドレスを前記アドレス記憶部に記憶し、又は、
    選択されたグローバルＩＰアドレスに対応して、受信されたメッセージの送信元アドレスに従い前記端末のプライベートＩＰアドレスを前記アドレス記憶部に記憶する請求項１に記載の暗号化通信システム。
11. 前記アドレス変換部は、
    前記選択されたプライベートＩＰアドレス又はグローバルＩＰアドレスを宛先アドレスとするメッセージを前記第１サーバ又は前記第２サーバから受信し、該メッセージの宛先アドレスに基づき前記アドレス記憶部を参照し、該宛先アドレスに対応する前記端末のグローバルＩＰアドレス又はプライベートＩＰアドレスを取得し、受信したメッセージの宛先アドレスを取得されたグローバルＩＰアドレス又はプライベートＩＰアドレスに変換し、
    前記メッセージ転送部は、アドレス変換された該メッセージを前記端末に転送する請求項１０に記載の暗号化通信システム。
12. 前記端末からのメッセージに予め定められた処理を加えて前記第１サーバに転送するための通信装置
    をさらに備え、
    前記ゲートウェイ装置は、
    宛先ポート番号及び送信元ＩＰアドレスに対応して、メッセージの経由先装置情報が予め記憶された転送先判定テーブルと、
    前記端末から受信する前記第１サーバ宛てのメッセージに含まれる宛先ポート番号及び送信元ＩＰアドレスに基づいて前記転送先判定テーブルを参照し、対応する経由先装置情報に従い、該メッセージの転送先を判断する転送先判断部
    を有し、
    前記メッセージ転送部は、前記転送先判断部の判断に従い、該メッセージを前記通信装置又は前記第１サーバに転送する請求項１に記載の暗号化通信システム。
13. 第１網を介して暗号化通信により端末と通信するゲートウェイ装置と、第２網を介して前記ゲートウェイ装置と通信する第１サーバと、少なくとも第２網での暗号化通信を介して前記ゲートウェイ装置と通信する第３網の第２サーバとを備えたシステムにおける前記ゲートウェイ装置であって、
    任意のＩＰアドレスで通信する前記端末から前記第１トンネルを介してメッセージを受信するメッセージ受信部と、
    前記端末に割り当てる第２網のＩＰアドレス及び第３網のＩＰアドレスをひとつ又は複数格納するアドレス記憶部と、
    受信されたメッセージの宛先に応じて、前記アドレス記憶部の前記第２網のＩＰアドレス又は前記第３網のＩＰアドレスをひとつ選択し、前記メッセージの送信元アドレスを選択された前記第２網のＩＰアドレス又は前記第３網のＩＰアドレスに変換するアドレス変換部と、
    アドレス変換されたメッセージを宛先アドレスに従い転送するメッセージ転送部と
    を備えた前記ゲートウェイ装置。

Images