JP2012019455A - Ｖｐｎ装置、ｖｐｎネットワーキング方法、ｖｐｎプログラム、及び記憶媒体 - Google Patents

Abstract

【課題】単一の経路リソースで高セキュリティにＶＰＮ通信経路を確立することが可能なＶＰＮ装置を提供する。
【解決手段】本ＶＰＮ装置は、ネットワーク上で、ＶＰＮアダプタ１０１との間でＶＰＮを構築してＶＰＮ通信を行うＶＰＮ装置３０１であって、ＶＰＮを構築するための第１認証処理を行い、第１認証処理の後に、ＶＰＮにおける音声通信確立手順で用いられるデータ及び音声データ以外の通信を禁止するフィルタ処理を行い、第１認証処理の後に、フィルタ処理中のＶＰＮを介して通信される音声データを用いて第２認証処理を行い、第２認証処理の後に、フィルタ処理を停止する。
【選択図】図５

Description

本発明は、ネットワーク通信において通信相手の固定された専用通信回線（専用線）の代わりに、多数の加入者で帯域を共用する通信網を利用してネットワーク間などを接続するＶＰＮ（Virtual Private Network：仮想プライベートネットワーク）技術におけるＶＰＮ装置、ＶＰＮネットワーキング方法、ＶＰＮプログラム、及び記憶媒体に関するものである。

仮想プライベートネットワーク（以下、ＶＰＮと記載する）は、たとえば、企業内等の２以上の拠点のローカルエリアネットワーク（ＬＡＮ）相互間などのような、一般に、異なるネットワークセグメントを、広域ネットワーク（ＷＡＮ）などを介して互いに接続する。そして、通信の秘匿性を担保することで、仮想的に全体が１つのプライベートネットワーク（専用線）であるように構成する。これにより、専用線を利用する場合と同様の通信サービスを可能にする。

このようなＶＰＮは、インターネット等のＷＡＮや公衆回線網を利用して構築するいわゆるインターネットＶＰＮと、通信事業者閉域網などのインターネット等とは異なる通信網を使用して構築するＩＰ−ＶＰＮと、に大別される。特に、インターネットＶＰＮは、昨今のネットワークインフラのブロードバンド化と、インターネットを利用することで安価にＶＰＮを構築可能であるために、利用者が増加している。

ＶＰＮを構築するにあたり、例えば異なる拠点間で通信を行う場合に、通信経路の途中にインターネット等の共用の通信網が介在するので、通信の漏洩、盗聴、改竄などの危険性がある。そこで、ＶＰＮ技術においては、通信の秘匿性を担保するために、ネットワークのいずれかの階層において、データを暗号化しカプセリングすることを基本的な技術思想としている。ここで、ある通信プロトコルを他の通信プロトコルのパケットで包んで送ることを「カプセル化（カプセリング）」という。

ＶＰＮ技術で用いられる暗号化プロトコルの具体例としては、ＩＰ（Internet Protocol）層で暗号化を施すＩＰｓｅｃ（Security Architecture for Internet Protocol）や、ＴＣＰ（Transmission Control Protocol）層（特にＨＴＴＰ：Hyper Text Transfer Protocolで使用）で暗号化を施すＳＳＬ（Secure Sockets Layer）などが知られている。また、他のＶＰＮ技術の例として、ＳＳＨ、ＴＬＳ、ＳｏｆｔＥｔｈｅｒ、ＰＰＴＰ、Ｌ２ＴＰ、Ｌ２Ｆ、ＭＰＬＳなどが知られている。ソフトウェアによってＶＰＮを構築するソフトウェアＶＰＮでは、上記のＩＰｓｅｃやＳＳＬを使用したトンネリング技術を使用する。ここで、ある通信プロトコルを、同じまたはより上位の階層のプロトコルのデータとして通信することを「トンネリング」という。ＶＰＮを構築する場合は、ネットワークの中継装置または通信を行う端末等（以降、これらを「ピア」とも称する）に設けたＶＰＮ装置によって、パケットを暗号化及びカプセル化して仮想トンネルを構築する。これにより、ピア間を結ぶ閉じられた通信経路を確立する。

また、一般的に、複数の通信装置で構成される通信システムにおいて、セキュリティを向上させるためには、通信装置や通信者を識別するための認証処理を行う必要がある。

ネット取引やインターネットバンキングのセキュリティを強化するための技術として、ＩＤやパスワードによる認証（通常認証）に、ワンタイムパスワードや生体認証による追加認証を加えて行うシステムが知られている。また、ワンタイムパスワードや生体認証による追加認証には特別な装置の導入を必要とするが、追加認証のために特別な装置の導入を必要としないシステムとして、電話をかけることによって追加認証を行うシステムも知られている（例えば、特許文献１参照）。このシステムでは、利用者が端末からネットワークを介して投入したＩＤと利用者が電話をすることにより携帯電話から送られる発呼者番号とが、システム内のデータベースに登録されていれば、所定の認証処理に成功し、その利用者にサービスを提供することができる。

また、ＩＰ電話を用いたセキュリティを強化するための技術として、ＩＰ電話ユーザ向けのオンデマンドＬＡＮ間接続方式が知られている（例えば、非特許文献１参照）。この接続方式では、（１）電話機による通話の確立、（２）ＳＩＰによるＶＰＮ接続の確立、（３）アプリケーションの起動、の順に処理が実行される。この接続方式によれば、ＩＰ電話網で用いられているＳＩＰによって確立したセッション上でＶＰＮ通信を行うことにより、ネットワークによるセッションの管理や通信の制御を、柔軟かつ安全に行うことが可能である。

特開２００１−３５０７２４号公報

水野伸太郎、外４名、「ＩＰ電話ユーザ向けオンデマンドＬＡＮ間接続方式」、ＮＴＴ技術ジャーナル、２００７年１２月、Ｐ．７９−８２

しかしながら、特許文献１の技術では、通常認証及び追加認証を行うためには、無線網と公衆電話網などの２つの経路リソースが必要であった。

また、非特許文献１の技術では、（１）電話機による通話の確立とは独立の呼として（２）ＳＩＰによるＶＰＮ接続の確立を行う。したがって、特許文献１と同様に、ＶＰＮ通信のセキュリティを強化するために２つの経路リソースが必要であった。

さらに、従来のＶＰＮ装置は、企業内など限定的なネットワーク内で使用されることが主であったが、ＶＰＮ装置が小型化されることで、今後は外部ネットワークに持ち出して使用されることが想定される。ＶＰＮ装置が持ち出して使用される場合には、紛失や盗難に備えて、一層セキュリティを向上させる必要がある。

本発明は、上記事情に鑑みてなされたものであって、単一の経路リソースで高セキュリティにＶＰＮ通信経路を確立することが可能なＶＰＮ装置、ＶＰＮネットワーキング方法、ＶＰＮプログラム、及び記憶媒体を提供することを目的とする。

本発明のＶＰＮ装置は、ネットワーク上で、他のＶＰＮ装置との間でＶＰＮを構築してＶＰＮ通信を行うＶＰＮ装置であって、前記ＶＰＮを構築するための第１認証処理を行う認証処理部と、前記第１認証処理の後に、前記ＶＰＮにおける音声通信確立手順で用いられるデータ及び音声データ以外の通信を禁止するフィルタ処理を行うフィルタ制御部と、を備え、前記認証処理部は、前記第１認証処理の後に、前記フィルタ処理中の前記ＶＰＮを介して通信される音声データを用いて第２認証処理を行い、前記フィルタ制御部は、前記第２認証処理の後に、前記フィルタ処理を停止する。

この構成により、単一の経路リソースで高セキュリティにＶＰＮ通信経路を段階的に確立することが可能である。

また、本発明のＶＰＮ装置は、前記フィルタ制御部が、前記ＶＰＮにおける音声データ及び所定のアプリケーションで通信されるデータ以外の通信を禁止するフィルタ処理を行う。

この構成により、単一の経路リソースで高セキュリティに、かつ、ＶＰＮにおいて全データの通過を許可する前に必要なアプリケーションの実行が可能な状態で、ＶＰＮ通信経路を確立することが可能である。

また、本発明のＶＰＮ装置は、前記フィルタ制御部が、前記第１認証処理の完了前に、他のＶＰＮ装置からの接続要求が受信された場合、前記ＶＰＮを構築するとともに前記フィルタ処理を行う。

この構成により、ＶＰＮを構築するとともに特定のデータ以外の通過を禁止するフィルタ処理を行うことで、高セキュリティにＶＰＮ通信経路を確立することが可能である。

また、本発明のＶＰＮ装置は、前記フィルタ制御部が、前記フィルタ処理中に、前記フィルタ処理を停止するか否かを指示するオペレータ端末から接続許可データが受信された場合、前記フィルタ処理を停止する。

この構成により、仮に携帯型のＶＰＮ装置（ＶＰＮアダプタ）を紛失してしまった場合であっても、オペレータ端末から接続許可がされない限りフィルタ処理が停止されないので、高セキュリティにＶＰＮ通信経路を確立することが可能である。

また、本発明のＶＰＮ装置は、前記認証処理部が、ＳＳＬプロトコルのデータを用いて前記第１認証処理を行う。

この構成により、ＳＳＬプロトコルの接続要求、接続応答等のデータを用いて、ＶＰＮ通信経路を構築することができる。

また、本発明のＶＰＮ装置は、前記認証処理部が、ＳＩＰプロトコルのデータ及びＲＴＰプロトコルのデータを用いて前記第２認証処理を行う。

この構成により、ＳＩＰプロトコルのＩＮＶＩＴＥメッセージ、２００ＯＫメッセージ等のデータ、通話等で用いられるＲＴＰのデータを用いて、ＶＰＮ通信経路におけるフィルタ処理を停止することができ、フィルタ処理の停止後には、全てのデータを安全に通信することができる。

また、本発明のＶＰＮネットワーキング方法は、ネットワーク上で、他のＶＰＮ装置との間でＶＰＮを構築してＶＰＮ通信を行うためのＶＰＮネットワーキング方法であって、前記ＶＰＮを構築するための第１認証処理を行うステップと、前記第１認証処理の後に、前記ＶＰＮにおける音声通信確立手順で用いられるデータ及び音声データ以外の通信を禁止するフィルタ処理を行うステップと、前記第１認証処理の後に、前記フィルタ処理中の前記ＶＰＮを介して通信される音声データを用いて第２認証処理を行うステップと、前記第２認証処理の後に、前記フィルタ処理を停止するステップと、を有する。

また、本発明のＶＰＮプログラムは、上記ＶＰＮネットワーキング方法の各ステップを実行させるためのプログラムである。

また、本発明の記憶媒体は、上記ＶＰＮネットワーキング方法の各ステップを実行させるためのＶＰＮプログラムを記録したコンピュータ読み取り可能な記憶媒体である。

このような方法、プログラム、記憶媒体により、単一の経路リソースで高セキュリティにＶＰＮ通信経路を段階的に確立することが可能である。

本発明によれば、単一の経路リソースで高セキュリティにＶＰＮ通信経路を確立することが可能である。

本発明の実施形態に係るＶＰＮシステムの構成例を示す図 本発明の実施形態のＶＰＮアダプタ及びＶＰＮ装置のハードウェア構成の構成例を示すブロック図 本発明の実施形態のＶＰＮアダプタの機能的な構成例を示すブロック図 本発明の実施形態のＶＰＮ装置の機能的な構成例を示すブロック図 本発明の実施形態のＶＰＮシステムにおける段階的なＶＰＮ通信経路の確立シーケンスの第１例を示すシーケンス図 本発明の実施形態のＶＰＮシステムにおける段階的なＶＰＮ通信経路の確立シーケンスの第２例を示すシーケンス図 本発明の実施形態のＶＰＮアダプタのＶＰＮ通信経路の構築時の動作の一例を示すフローチャート 本発明の実施形態のＶＰＮ装置のＶＰＮ通信経路の構築時の動作の一例を示すフローチャート 本発明の実施形態のＶＰＮトンネルの一例のイメージ図であり、（ａ）はフィルタがＯＮのとき、（ｂ）はフィルタがＯＦＦのとき、を示す図 本発明の実施形態に係るＶＰＮシステムの構成の変形例を示す図

以下に、本発明の実施形態に係るＶＰＮ装置、ＶＰＮネットワーキング方法、ＶＰＮプログラム、及び記憶媒体について、図面を参照しながら説明する。

ここでは、広域ネットワーク（ＷＡＮ、グローバルネットワーク）を介して２つのローカルエリアネットワークの経路（ＬＡＮ、ローカルネットワーク）を経路接続して仮想プライベートネットワーク（ＶＰＮ）システムを構築する場合の構成例を示す。ＬＡＮとしては、有線ＬＡＮまたは無線ＬＡＮなどが用いられる。ＷＡＮとしては、インターネット等が用いられる。

図１は本発明の実施形態に係るＶＰＮシステムの構成例を示す図である。本実施形態のＶＰＮシステムは、一つの拠点に設けられたＬＡＮ１００と、他の拠点に設けられたＬＡＮ３００とを、インターネット等のＷＡＮ２００を介して通信経路を接続する。そして、ＬＡＮ１００の配下に接続された端末１０３とＬＡＮ３００の配下に接続された端末３０３との間で、ＶＰＮによる秘匿性を担保した通信（「ＶＰＮ通信」とも称する）を可能にしている。具体的なＶＰＮ通信の用途（アプリケーションプログラム等）としては、ＩＰ電話（音声通話）、ネットミーティング（動画＆音声通信）、ネットワークカメラ（ビデオ伝送）、などが想定される。

ＬＡＮ１００とＷＡＮ２００との境界にはルータ１０２が配設され、ＷＡＮ２００とＬＡＮ３００との境界にはルータ３０２が配設されている。また、本実施形態では、ＶＰＮの構築を可能にするために、ＬＡＮ１００にはＶＰＮアダプタ１０１が接続され、ＬＡＮ３００にはＶＰＮ装置３０１が接続されている。そして、ＶＰＮアダプタ１０１には配下の端末１０３が接続され、ＶＰＮ装置３０１には配下の端末３０３及びオペレータ端末３０４が接続されている。

ＶＰＮアダプタ１０１は、例えば小型で持ち運びが可能な装置であり、様々なＬＡＮに接続される。ＶＰＮ装置３０１は、例えば所定のＬＡＮに接続されて固定的に配置され、持ち運びは想定されていない。なお、本発明のＶＰＮ装置には、ＶＰＮアダプタ１０１及びＶＰＮ装置３０１の双方が含まれる。オペレータ端末３０４は、オペレータによって操作され、後述するフィルタ処理を停止するか否かを指示するものである。

また、ＷＡＮ２００上には、ＶＰＮアダプタ１０１とＶＰＮ装置３０１との間のＶＰＮによる接続（以下、「ＶＰＮ接続」と称する）を可能にするために、ＳＴＵＮサーバ２０１と呼制御サーバ２０２とが接続されている。ＳＴＵＮサーバ２０１は、ＳＴＵＮ（Simple Traversal of User Datagram Protocol (UDP) through Network Address Translators (NATs)）プロトコルを実行するために用いられるサーバである。呼制御サーバ２０２は、ＶＰＮアダプタ、ＶＰＮ装置や端末等のピア間の発呼、被呼のために用いられるサーバである。

図１において、破線は外部アドレス（グローバルＩＰアドレス）とポートの情報を含む外部アドレス・ポート情報の流れを示している。また、一点鎖線は発呼及び被呼の制御に関する呼制御信号の流れを示している。また、実線はピア間で伝送される通信データに関するピア間通信（Ｐ２Ｐ通信）の流れを示している。さらに、Ｐ２Ｐ通信のためにＶＰＮ接続された通信経路を仮想トンネルとして、図１中に表す。なお、ここではＶＰＮ接続された通信経路として、ピア間で直接通信を行う場合を示しているが、呼制御サーバ２０２や別途設けられる中継サーバを介してＶＰＮ接続を行ってもよい。

各機器がＷＡＮ２００を介して通信する場合、ＷＡＮ２００上では、伝送するパケットの送信元や送信先を特定するためのアドレス情報として、ＷＡＮにおいて特定可能なグローバルなアドレス情報が用いられる。一般にはＩＰネットワークが用いられるため、グローバルＩＰアドレス及びポート番号が用いられる。しかし、各ＬＡＮ１００、３００内の通信においては、送信元や送信先を特定するためのアドレス情報として、ＬＡＮ内のみで特定可能なローカルなアドレス情報が用いられる。一般にはＩＰネットワークが用いられるため、ローカルＩＰアドレス及びポート番号が用いられる。したがって、各ＬＡＮ１００、３００とＷＡＮ２００との間の通信を可能にするために、ローカルなアドレス情報とグローバルなアドレス情報との相互変換を行うＮＡＴ（Network Address Translation）機能が各ルータ１０２、３０２に搭載されている。なお、ＩＰネットワーク以外の場合には、グローバルＩＰアドレス以外のグローバルなアドレス情報であってもよい。

ただし、ＬＡＮ１００、３００の配下の各端末においては、外部からアクセス可能なグローバルＩＰアドレス情報を自身で持っていない。また、特別な設定を行わない限り、ＬＡＮ１００配下の端末１０３が他のＬＡＮ３００配下の端末３０３と直接通信することはできない。また、各ルータ１０２、３０２のＮＡＴ機能のため、普通の状態ではＷＡＮ２００側から各ＬＡＮ１００、３００内の各端末にアクセスすることもできない。

このような状況であっても、本実施形態では、各拠点のＬＡＮにＶＰＮアダプタ１０１及びＶＰＮ装置３０１を設けることにより、図１において実線で示すＰ２Ｐ通信の経路のように、ＬＡＮ間をＶＰＮ接続して端末１０３と端末３０３との間で仮想的な閉じられた通信経路を通じて直接通信することが可能になる。本実施形態のＶＰＮアダプタ及びＶＰＮ装置の構成、機能、及び動作について以下に順を追って説明する。

ＳＴＵＮサーバ２０１は、ＳＴＵＮプロトコルの実行に関するサービスを行うもので、いわゆるＮＡＴ越えの通信を行うために必要な情報を提供するアドレス情報サーバである。ＳＴＵＮは、音声、映像、文章などの双方向リアルタイムＩＰ通信を行うアプリケーションにおいて、ＮＡＴ通過の方法の１つとして使われる標準化されたクライアントサーバ型のインターネットプロトコルである。ＳＴＵＮサーバ２０１は、アクセス元からの要求に応じて、外部からアクセス可能な当該アクセス元のグローバルなアドレス情報として、外部ネットワークから見えるグローバルＩＰアドレス、ポートの情報の少なくとも一方を含む外部アドレス・ポート情報を返信する。外部アドレス・ポート情報としては、ＩＰネットワークにおいてはＩＰネットワーク層のグローバルＩＰアドレス及びトランスポート層のポート番号が用いられる。

ＶＰＮアダプタ１０１及びＶＰＮ装置３０１は、ＳＴＵＮサーバ２０１との間で所定のテスト手順の通信を実行し、ＳＴＵＮサーバ２０１から自装置のグローバルＩＰアドレス及びポート番号が含まれる応答パケットを受信する。これにより、ＶＰＮアダプタ１０１及びＶＰＮ装置３０１は、自装置のグローバルＩＰアドレス及びポート番号を取得することができる。また、自装置の位置するＬＡＮとＷＡＮとの間にルータが複数存在する場合等であっても、これらのルータ等がＵＰｎＰ（Universal Plug and Play）の機能を有していない場合であっても、確実にグローバルＩＰアドレス及びポート番号を取得できるという効果もある。

呼制御サーバ２０２は、特定の相手先を呼び出して通信経路を確立するための通信装置間の呼制御に関するサービスを行う呼管理サーバである。呼制御サーバ２０２は、登録されたＶＰＮアダプタ、ＶＰＮ装置または端末の識別情報を保持しており、例えばＩＰ電話の機能を有する通信システムの場合には、接続相手の電話番号に基づいて特定の相手先を呼び出すことも考えられる。また、呼制御サーバ２０２は、信号やデータを中継する機能を有しており、発呼側の装置から送出されたパケットを被呼側の装置に転送したり、被呼側の装置から送出されたパケットを発呼側の装置に転送したりすることも可能である。

なお、ＳＴＵＮサーバ２０１及び呼制御サーバ２０２は、ここでは別個のサーバによる構成例を示しているが、１つのサーバにこれらのアドレス情報サーバと中継サーバの２つのサーバの機能を搭載して構成してもよいし、ＷＡＮ上の他のいずれかのサーバに同様の機能を搭載して構成することも可能である。

次に、本実施形態のＶＰＮアダプタ１０１及びＶＰＮ装置３０１の構成について説明する。なお、ＶＰＮアダプタ１０１とＶＰＮ装置３０１の構成は同様であり、ここではＶＰＮアダプタ１０１によって説明する。図２は本実施形態のＶＰＮアダプタ及びＶＰＮ装置のハードウェア構成の構成例を示すブロック図である。

ＶＰＮアダプタ１０１は、中央演算処理装置（ＣＰＵ）１１１、フラッシュＲＡＭ等による不揮発性メモリ１１２、ＳＤ ＲＡＭ等によるメモリ１１３、ネットワークインタフェース１１４、ネットワークインタフェース１１５、ＬＡＮ側ネットワーク制御部１１６、ＷＡＮ側ネットワーク制御部１１７、通信中継部１１８、表示制御部１１９、表示部１２０を有して構成される。

ＣＰＵ１１１は、所定のプログラムを実行することによりＶＰＮアダプタ１０１全体の制御を実施する。不揮発性メモリ１１２は、ＣＰＵ１１１が実行するプログラムを保持している。このプログラムの中には、ＶＰＮアダプタ１０１がＶＰＮ通信経路（ＶＰＮトンネル）を段階的に確立するためのＶＰＮプログラムも含まれている。

なお、ＣＰＵ１１１が実行するプログラムについては、任意の通信経路を経由してオンラインで外部のサーバから取得することもできるし、例えばメモリカードやＣＤ−ＲＯＭのような記録媒体から読み込んで取得することもできる。換言すれば、汎用のコンピュータにＶＰＮアダプタ１０１の機能を実現するプログラムを記録媒体から読み込むことによってＶＰＮアダプタ１０１の機能、およびＶＰＮネットワーキング方法を実現することができる。
なお、ＣＰＵ１１１がプログラムを実行する時には、不揮発性メモリ１１２上のプログラムの一部がメモリ１１３上に展開され、メモリ１１３上のプログラムが実行される場合もある。

メモリ１１３は、ＶＰＮアダプタ１０１の運用中のデータ管理や、各種設定情報などを一時的に記憶するためのものである。設定情報としては、自端末の外部アドレス・ポート取得要求の応答に含まれる外部アドレス・ポート情報等、通信に必要なあて先アドレス情報などが含まれる。

ネットワークインタフェース１１４は、ＶＰＮアダプタ１０１と自装置が管理する配下の端末１０３とを通信可能な状態で接続するためのインタフェースである。ネットワークインタフェース１１５は、ＶＰＮアダプタ１０１とＬＡＮ１００とを通信可能な状態で接続するためのインタフェースである。ＬＡＮ側ネットワーク制御部１１６は、ＬＡＮ側のネットワークインタフェース１１４に関する通信制御を行うものである。ＷＡＮ側ネットワーク制御部１１７は、ＷＡＮ側のネットワークインタフェース１１５に関する通信制御を行うものである。

通信中継部１１８は、ＶＰＮアダプタ１０１配下の端末１０３から外部のＶＰＮ接続先（ＶＰＮ装置３０１配下の端末３０３）へ送出するパケットデータと、反対に、外部のＶＰＮ接続先（ＶＰＮ装置３０１配下の端末３０３）からＶＰＮアダプタ１０１配下の端末１０３宛に到着したパケットデータをそれぞれ中継する。

表示部１２０は、ＶＰＮアダプタ１０１としての動作状態の表示等を行う表示器により構成され、各種状態をユーザあるいは管理者に通知する。表示部１２０は、複数の発光ダイオード（ＬＥＤ）や液晶表示器（ＬＣＤ）等により構成される。表示制御部１１９は、表示部１２０の表示制御を行うもので、ＣＰＵ１１１からの表示信号に従って表示部１２０に表示する内容等を制御する。

次に、ＶＰＮアダプタ１０１及びＶＰＮ装置３０１の機能的な構成について説明する。
図３は本実施形態のＶＰＮアダプタ１０１の機能的な構成例を示すブロック図である。

ＶＰＮアダプタ１０１は、機能構成として、システム制御部１３０、配下端末管理部１３１、メモリ部１３２、データ中継部１３３、設定用インタフェース部（設定用Ｉ／Ｆ部）１３４、通信制御部１４０を有して構成される。メモリ部１３２は、情報記憶部１３５を有する。データ中継部１３３は、判定部１３６を有する。通信制御部１４０は、外部アドレス・ポート取得部１４１、ＶＰＮ機能部１４２、呼制御機能部１４３を有する。これらの各機能は、図２に示した各ブロックのハードウェアの動作、またはＣＰＵ１１１が所定のプログラムを実行することにより実現する。

なお、ＶＰＮアダプタ１０１のＬＡＮ側のネットワークインタフェース１１４は、配下の端末１０３と接続され、ＷＡＮ側のネットワークインタフェース１１５は、ＬＡＮ１００及びルータ１０２を経由してＷＡＮ２００と接続される。

システム制御部１３０は、ＶＰＮアダプタ１０１の全体の制御を行う。配下端末管理部１３１は、ＶＰＮアダプタ１０１配下の端末１０３の管理を行う。メモリ部１３２は、例えば、外部アドレス（ＷＡＮ２００上でのグローバルＩＰアドレス）とポート（ＩＰネットワークのポート番号）の情報を含む外部アドレス・ポート情報を記憶する。外部アドレス・ポート情報としては、接続元である配下の端末１０３に割り当てられたグローバルＩＰアドレス及びポート番号の情報や、接続先の端末３０３に割り当てられたグローバルＩＰアドレス及びポート番号の情報などを記憶する。

データ中継部１３３は、接続元の端末１０３から接続先の端末３０３に向かって転送されるパケットや、逆に接続先の端末３０３から接続元の端末１０３に向かって転送されるパケットをそれぞれ中継（受信／送信）する。すなわち、データ中継部１３３は、配下端末又はＶＰＮ装置３０１からの通信データを受信したり、配下端末又はＶＰＮ装置３０１へ通信データを送信したりする。設定用インタフェース部１３４は、ユーザあるいは管理者がＶＰＮアダプタ１０１に対する設定操作等の各種操作を行うためのユーザインタフェースである。このユーザインタフェースの具体例として、端末上で動作するブラウザによって表示するＷｅｂページなどが用いられる。

データ中継部１３３の判定部１３６は、各種判定を行う。例えば、受信メッセージの有無、ＶＰＮ通信経路が確立された状態であるか否か、ＶＰＮ通信を終了するか否か、などを判定する。また、送受信される各種のデータから、音声データ、映像データ、その他のパケットを抽出し、抽出されたパケットの種別を判定する。

通信制御部１４０の外部アドレス・ポート取得部１４１は、ＶＰＮアダプタ１０１の配下の端末１０３に割り当てられた外部アドレス・ポート情報をＳＴＵＮサーバ２０１から取得する。また、接続先の端末３０３の外部アドレス・ポート情報を含むパケットを呼制御サーバ２０２を経由して受信し、接続先の端末３０３に割り当てられた外部アドレス・ポート情報を取得する。外部アドレス・ポート取得部１４１が取得した情報は、メモリ部１３２の情報記憶部１３５に保持される。

通信制御部１４０のＶＰＮ機能部１４２は、ＶＰＮ通信のために必要な暗号処理を行う。すなわち、ＶＰＮ機能部１４２は、送信するパケットをカプセリングして暗号化したり、受信したパケットをアンカプセリングして復号化して元のパケットを抽出したりする。なお、ＶＰＮ通信は、図１に示したようなＰ２Ｐ通信ではなく、ＷＡＮ２００上に設けられる図示しない中継サーバでパケットの中継を行い、クライアント／サーバ方式でＶＰＮ通信を行うことも可能である。この場合には、サーバ側で暗号処理を行うようにしてもよい。また、カプセリングされたパケット中には、発呼側の端末１０３を特定するための情報や、被呼側の端末３０３を特定するための情報が含まれる。この特定情報に基づいて、データ中継部１３３により通信データが中継される。

通信制御部１４０の呼制御機能部１４３は、目的の接続先に接続するための接続要求を呼制御サーバ２０２に送信したり、接続先からの接続応答を呼制御サーバ２０２を経由して受信するための処理を実施したりするなど、呼制御に関する処理を行う。

図４は本実施形態のＶＰＮ装置３０１の機能的な構成例を示すブロック図である。

ＶＰＮ装置３０１は、機能構成として、システム制御部３３０、配下端末管理部３３１、メモリ部３３２、データ中継部３３３、設定用インタフェース部（設定用Ｉ／Ｆ部）３３４、通信制御部３４０を有して構成される。メモリ部３３２は、情報記憶部３３５を有する。データ中継部１３３は、判定部３３６、オペレータ操作情報受信部３３７を有する。通信制御部３４０は、外部アドレス・ポート取得部３４１、ＶＰＮ機能部３４２、呼制御機能部３４３を有する。ＶＰＮ機能部３４２は、フィルタ制御部３４４を有する。これらの各機能は、図２に示したＶＰＮアダプタ１０１と同様の各ブロックのハードウェアの動作、またはＣＰＵが所定のプログラムを実行することにより実現する。

なお、ＶＰＮ装置３０１のＬＡＮ側のネットワークインタフェースは、配下の端末３０３と接続され、ＷＡＮ側のネットワークインタフェースは、ＬＡＮ３００及びルータ３０２を経由してＷＡＮ２００と接続される。

システム制御部３３０は、ＶＰＮ装置３０１の全体の制御を行う。配下端末管理部３３１は、ＶＰＮ装置３０１配下の端末３０３及びオペレータ端末３０４の管理を行う。メモリ部３３２は、例えば、外部アドレス（ＷＡＮ２００上でのグローバルＩＰアドレス）とポート（ＩＰネットワークのポート番号）の情報を含む外部アドレス・ポート情報を記憶する。外部アドレス・ポート情報としては、接続元である配下の端末３０３に割り当てられたグローバルＩＰアドレス及びポート番号の情報や、接続先の端末１０３に割り当てられたグローバルＩＰアドレス及びポート番号の情報などを記憶する。

データ中継部３３３は、接続元の端末３０３から接続先の端末１０３に向かって転送されるパケットや、逆に接続先の端末１０３から接続元の端末３０３に向かって転送されるパケットをそれぞれ中継（受信／送信）する。すなわち、データ中継部３３３は、配下端末又はＶＰＮアダプタ１０１からの通信データを受信したり、配下端末又はＶＰＮアダプタ１０１へ通信データを送信したりする。設定用インタフェース部３３４は、ユーザあるいは管理者がＶＰＮ装置３０１に対する設定操作等の各種操作を行うためのユーザインタフェースである。このユーザインタフェースの具体例として、端末上で動作するブラウザによって表示するＷｅｂページなどが用いられる。

データ中継部３３３の判定部３３６は、各種判定を行う。例えば、受信メッセージの有無、受信メッセージが接続要求であるか否か、ＶＰＮ通信経路が確立された状態であるか否か、ＶＰＮ通信を終了するか否か、などを判定する。また、送受信される各種のデータから、音声データ、映像データ、その他のデータを抽出し、抽出されたデータの種別を判定する。

データ中継部３３３のオペレータ操作情報受信部３３７は、オペレータ端末３０４からの、オペレータ端末３０４への操作入力に基づくオペレータ操作情報を受信する。オペレータ操作情報には、例えば、フィルタ制御部３４４によるフィルタ処理を解除するための接続許可メッセージを含まれる。

通信制御部３４０の外部アドレス・ポート取得部３４１は、ＶＰＮ装置３０１の配下の端末３０３に割り当てられた外部アドレス・ポート情報をＳＴＵＮサーバ２０１から取得する。また、接続先の端末１０３の外部アドレス・ポート情報を含むパケットを呼制御サーバ２０２を経由して受信し、接続先の端末１０３に割り当てられた外部アドレス・ポート情報を取得する。外部アドレス・ポート取得部３４１が取得した情報は、メモリ部３３２の情報記憶部３３５に保持される。

通信制御部３４０のＶＰＮ機能部３４２は、ＶＰＮ通信のために必要な暗号処理を行う。すなわち、ＶＰＮ機能部３４２は、送信するパケットをカプセリングして暗号化したり、受信したパケットをアンカプセリングして復号化して元のパケットを抽出したりする。なお、ＶＰＮ通信は、図１に示したようなＰ２Ｐ通信ではなく、ＷＡＮ２００上に設けられる図示しない中継サーバでパケットの中継を行い、クライアント／サーバ方式でＶＰＮ通信を行うことも可能である。この場合には、サーバ側で暗号処理を行うようにしてもよい。また、カプセリングされたパケット中には、端末３０３を特定するための情報や、端末１０３を特定するための情報が含まれる。この特定情報に基づいて、データ中継部３３３により通信データが中継される。また、ＶＰＮ機能部３４２は、フィルタ処理が行われているＶＰＮ通信経路を介して通信される音声データを用いて第２認証処理を行う認証処理部としての機能を有する。

ＶＰＮ機能部３４２のフィルタ制御部３４４は、ＶＰＮ通信経路において、音声通信確立手順で用いられるデータ（例えば、ＳＩＰプロトコルで用いられるデータ）及び音声データ（例えば、ＲＴＰプロトコルで用いられるデータ）以外の通信を禁止する音声外データ通信禁止状態とすべく、フィルタ処理を行う。これにより、音声通信確立手順で用いられるデータ及び音声データ以外の映像データ等がＶＰＮ通信経路を通過することを禁止することができ、セキュリティが向上する。また、音声外データ通信禁止状態を解除すべく、フィルタ処理を停止する。これにより、全てのデータについてＶＰＮ通信経路（ＶＰＮトンネル）を介して通信を行うことができる。なお、フィルタ処理の実施の有無に応じたＶＰＮ通信経路の様子については、後述する図９に示す。

通信制御部３４０の呼制御機能部３４３は、目的の接続先に接続するための接続要求を呼制御サーバ２０２から受信したり、接続先への接続応答を呼制御サーバ２０２を経由して送信するための処理を実施したりするなど、呼制御に関する処理を行う。つまり、呼制御機能部３４３は、ＶＰＮ通信経路を構築するための第１認証処理を行う認証処理部としての機能を有する。

次に、本実施形態のＶＰＮシステムにおけるＶＰＮ構築時のシーケンスについて説明する。

図５は、本実施形態のＶＰＮシステムにおけるＶＰＮ構築時のシーケンスの第１例を示すシーケンス図である。この図５では、図１に示したＶＰＮシステムにおいて、ＶＰＮアダプタ１０１の配下の端末１０３からＷＡＮ２００を経由してＶＰＮ装置３０１の配下の端末３０３に接続しようとする場合の処理を示している。また、ＶＰＮアダプタ１０１を社外へ持ち出し、ＶＰＮ装置３０１は社内に配置されている場合の処理を想定している。

まず、図５に示す処理に先立ち、ＶＰＮアダプタ１０１は呼制御サーバ２０２にログインしてユーザ認証を受けるようにする。ＶＰＮアダプタ１０１がユーザ認証に成功した場合、呼制御サーバ２０２において、ＶＰＮアダプタ１０１の識別情報（ＭＡＣアドレス、ユーザＩＤ、電話番号など）やネットワーク上の位置情報（グローバルＩＰアドレス）等の登録、設定が行われる。以降、ＶＰＮアダプタ１０１と呼制御サーバ２０２との間で通信可能となる。なお、ＶＰＮアダプタ１０１は発呼側であるが、被呼側であるＶＰＮ装置３０１についても同様に、呼制御サーバ２０２にログインしてユーザ認証を受け、呼制御サーバ２０２においてＶＰＮ装置３０１の識別情報等の登録、設定が行われる。

まず、ＶＰＮアダプタ１０１は、配下の端末１０３からオペレータ端末３０４の音声通話の要求（ＳＩＰプロトコルのＩＮＶＩＴＥメッセージ）を受けると（ステップＳ１０１）、呼制御サーバ２０２に対して、接続先のオペレータ端末３０４を配下に持つＶＰＮ装置３０１へのＶＰＮ通信経路を構築するための接続要求を行う（ステップＳ１０２）。この接続要求は、ＳＳＬプロトコルによる接続要求であり、発呼側（ＶＰＮアダプタ１０１）の識別情報、被呼側（ＶＰＮ装置３０１）の識別情報も含まれる。呼制御サーバ２０２は、この接続要求を中継してＶＰＮ接続の接続先となるＶＰＮ装置３０１へ送信する（ステップＳ１０３）。この接続要求により、呼制御サーバ２０２は、ＶＰＮアダプタ１０１がＶＰＮ装置３０１へＶＰＮ通信経路構築のためのＶＰＮ接続をしたいという要求を接続先となる被呼側に通知する。

また、図示はしないが、ＶＰＮアダプタ１０１は、外部アドレス・ポート取得部１４１の機能により、ＳＴＵＮサーバ２０１との間で外部アドレス・ポート取得手順を行う。このとき、ＶＰＮアダプタ１０１は、自装置に割り当てられた外部アドレス・ポート情報（ＷＡＮ２００側からみたグローバルＩＰアドレス及びポート番号）を取得するため、ＳＴＵＮサーバ２０１に対して、外部アドレス・ポート取得要求としてバインディングリクエスト（Binding Request、RFC3489参照；以下同じ）パケットを送出する。一方、ＳＴＵＮサーバ２０１は、外部アドレス・ポート取得要求に対して応答し、ＶＰＮアダプタ１０１に外部アドレス・ポート情報返信として外部アドレス・ポート情報を含むバインディングレスポンス（Binding Response、RFC3489参照；以下同じ）パケットを返送する。そして、ＶＰＮアダプタ１０１は、外部アドレス・ポート情報返信により得られた外部アドレス・ポート情報を記憶する。なお、外部アドレス・ポート情報の取得については、本出願人による別出願に係るＶＰＮ関連の技術（特願２００９−１０２１０８「ＶＰＮ装置」）にも示されている。

被呼側のＶＰＮ装置３０１は、呼制御サーバ２０２からの接続要求を受けると、呼制御サーバ２０２に対して、接続要求に対する接続応答を行う（ステップＳ１０４）。この接続応答は、ＳＳＬプロトコルによる接続応答であり、発呼側（ＶＰＮアダプタ１０１）の識別情報、被呼側（ＶＰＮ装置３０１）の識別情報も含まれる。呼制御サーバ２０２は、この接続応答を中継してＶＰＮ接続の接続要求元となるＶＰＮアダプタ１０１へ送信する（ステップＳ１０５）。この接続応答により、呼制御サーバ２０２は、接続要求に対するＶＰＮ装置３０１からＶＰＮアダプタ１０１への応答を接続要求元となる発呼側に通知する。

また、図示はしないが、ＶＰＮ装置３０１は、ＳＴＵＮサーバ２０１との間で外部アドレス・ポート取得手順を行う。このとき、ＶＰＮ装置３０１は、発呼側のＶＰＮアダプタ１０１と同様、自装置に割り当てられた外部アドレス・ポート情報（ＷＡＮ２００側からみたグローバルＩＰアドレス及びポート番号）を取得するため、ＳＴＵＮサーバ２０１に対して、外部アドレス・ポート取得要求としてバインディングリクエストパケットを送出する。一方、ＳＴＵＮサーバ２０１は、外部アドレス・ポート取得要求に対して応答し、ＶＰＮ装置３０１に外部アドレス・ポート情報返信として外部アドレス・ポート情報を含むバインディングレスポンスパケットを返送する。そして、ＶＰＮ装置３０１は、外部アドレス・ポート情報返信により得られた外部アドレス・ポート情報を記憶する。なお、外部アドレス・ポート情報の取得については、本出願人による別出願に係るＶＰＮ関連の技術（特願２００９−１０２１０８「ＶＰＮ装置」）にも示されている。

続いて、ＶＰＮアダプタ１０１は、呼制御サーバ２０２を介して、ＳＴＵＮサーバ２０１から取得したＶＰＮアダプタ１０１の外部アドレス・ポート情報をＶＰＮ装置３０１へ送信する。そして、ＶＰＮ装置３０１は、このＶＰＮアダプタ１０１の外部アドレス・ポート情報を発呼側アドレス・ポート情報として受信し、記憶する。同様に、ＶＰＮ装置３０１は、呼制御サーバ２０２を介して、ＳＴＵＮサーバ２０１から取得したＶＰＮ装置３０１の外部アドレス・ポート情報をＶＰＮアダプタ１０１へ送信する。そして、ＶＰＮアダプタ１０１は、このＶＰＮ装置３０１の外部アドレス・ポート情報を被呼側アドレス・ポート情報として受信し、記憶する。この段階で、発呼側のＶＰＮアダプタ１０１と被呼側のＶＰＮ装置３０１とは、お互いに相手の外部アドレス・ポート情報を取得している。

ＶＰＮアダプタ１０１がＶＰＮ装置３０１からの接続応答を受信すると、ＶＰＮ通信経路の確立が可能であると判断し、ＶＰＮアダプタ１０１及びＶＰＮ装置３０１は、ＶＰＮアダプタ１０１とＶＰＮ装置３０１との間でＶＰＮ通信経路を確立する（ステップＳ１０６）。

このようなＶＰＮ通信経路を構築するための第１認証処理が終了した時点では、ＶＰＮ通信経路は構築されるが、全てのデータをこのＶＰＮ通信経路を介して送受信可能な状態とはならない。すなわち、ＶＰＮ装置３０１は、ステップＳ１０２〜Ｓ１０５の第１認証処理が終了すると、フィルタ制御部３４４により、ＶＰＮ通信経路において、音声通信確立手順で用いられるデータ及び音声データ以外の通信を禁止する音声外データ通信禁止状態とすべく、フィルタ処理を行う。これにより、音声通信確立手順で用いられるデータ及び音声データ以外の通信を行うことが不可能な状態となる。この状態を図５では、「フィルタＯＮ」と示している。

音声通信確立手順で用いられるデータ及び音声データ以外のデータ通信を禁止するフィルタ処理がされたＶＰＮ通信経路の確立後、ＶＰＮアダプタ１０１は、呼制御サーバ２０２を介して、接続先のオペレータ端末３０４を管理するＶＰＮ装置３０１へ、端末１０３からのＳＩＰプロトコルのＩＮＶＩＴＥメッセージを送信する（ステップＳ１０７〜Ｓ１０８）。ＶＰＮ装置３０１は、ＶＰＮアダプタ１０１からのＩＮＶＩＴＥメッセージを中継し、接続先のオペレータ端末３０４へ送信する（ステップＳ１０９）。なお、ＳＩＰプロトコルの各種メッセージは音声通信確立手順で用いられるデータの一例であるので、フィルタ処理がされたＶＰＮ通信経路を通過することが可能である。

ＶＰＮアダプタ１０１からのＩＮＶＩＴＥメッセージを受信したオペレータ端末３０４は、接続元の端末１０３との間で音声通話を行う場合には、ＶＰＮ装置３０１及びＶＰＮ通信経路を介して、端末１０３を管理するＶＰＮアダプタ１０１へ、呼制御サーバ２０２を介して、ＳＩＰプロトコルの２００ＯＫメッセージを返答する（ステップＳ１１０〜Ｓ１１１）。ＶＰＮアダプタ１０１は、オペレータ端末３０４からの２００ＯＫメッセージを中継し、接続元の端末１０３へ送信する（ステップＳ１１２）。

オペレータ端末３０４からの２００ＯＫメッセージを受信した端末１０３は、オペレータ端末３０４との間で通話すべく、ＶＰＮアダプタ１０１、ＶＰＮ通信経路、及びＶＰＮ装置３０１を介して、ＲＴＰプロトコルを用いた音声データの送受信を行う（ステップＳ１１３〜Ｓ１１５）。同様に、オペレータ端末３０４は、接続元の１０３との間で通話すべく、ＶＰＮ装置３０１、ＶＰＮ通信経路、及びＶＰＮアダプタ１０１を介して、ＲＴＰプロトコルを用いた音声データの送受信を行う（ステップＳ１１６〜Ｓ１１８）。

この音声通話は、確立されているＶＰＮ通信経路のフィルタ処理を解除してもよいか否かを判断するための処理である。オペレータ端末３０４を操作するオペレータは、接続元の端末１０３の所有者と通話を行い、端末１０３のＭＡＣアドレスや電話番号など、端末１０３を特定することが可能な識別情報を取得する。オペレータが取得した端末１０３の識別情報がオペレータ端末３０４等に記憶された端末１０３の識別情報と一致している場合には、オペレータの指示により、オペレータ端末３０４はフィルタ処理を解除するための接続許可メッセージを含むオペレータ操作情報をＶＰＮ装置３０１へ送信する（ステップＳ１１９）。ＶＰＮ装置３０１は、フィルタ処理を解除するための接続許可メッセージを含むオペレータ操作情報を受信すると、確立されたＶＰＮ通信経路において音声通信確立手順で用いられるデータ及び音声データ以外のデータ通信を禁止するフィルタ処理を解除する。この状態を図５では、「フィルタＯＦＦ」と示している。このようなステップＳ１０７〜Ｓ１１９のＶＰＮ通信経路におけるフィルタ処理を解除するための第２認証処理が終了すると、ＶＰＮ通信経路におけるフィルタ処理が解除され、全てのデータＶＰＮ通信経路を経由して送受信できるようになる。第２認証処理は、ＶＰＮ通信経路を介して送受信される音声データを用いて行われる。

なお、オペレータによる操作の代わりに、発呼者番号等の識別情報をホワイトリストに登録し、このホワイトリストを用いるようにすれば、オペレータ端末３０４を操作するオペレータが不在のときであっても、ＶＰＮ通信経路におけるフィルタ処理を解除することができる。

このように、通信制限のないＶＰＮ通信経路が確立された後、接続元の端末１０３は、ＶＰＮアダプタ１０１、ＶＰＮ通信経路、及びＶＰＮ装置３０１を介して、接続先の端末３０３に対してデータ要求を行う（ステップＳ１２０〜Ｓ１２２）。端末１０３からのデータ要求を受信した端末３０３は、ＶＰＮ装置３０１、ＶＰＮ通信経路、ＶＰＮアダプタ１０１を介して、端末１０３へデータ要求に対する応答データを送信する（ステップＳ１２３〜Ｓ１２５）。

このような図５に示したＶＰＮ構築によれば、段階的にデータ通信を許可するＶＰＮ通信経路を構築することができる。すなわち、まずは第１認証処理によりフィルタ処理がされたＶＰＮ通信経路を構築し、続いて第２認証処理によりフィルタ処理が解除されたＶＰＮ通信経路とすることができる。つまり、第１認証処理後には最小限のデータ通信（第２認証処理に必要な音声データによる通信）を許可し、第２認証処理後に全てのデータの通信を許可することで、単一の通信経路のみを使用するという最小限の経路リソースで、高セキュリティのＶＰＮ通信経路を確立することができる。

図６は、本実施形態のＶＰＮシステムにおけるＶＰＮ構築時のシーケンスの第２例を示すシーケンス図である。この図６では、図１に示したＶＰＮシステムにおいて、ＶＰＮアダプタ１０１の配下の端末１０３からＷＡＮ２００を経由してＶＰＮ装置３０１の配下の端末３０３に接続しようとする場合の処理を示している。また、ＶＰＮアダプタ１０１を社外へ持ち出し、ＶＰＮ装置３０１は社内に配置されている場合の処理を想定している。

なお、ログイン処理、外部アドレス・ポート情報の取得のための処理は、図５で示した処理と同様であるので、説明を省略する。

まず、ＶＰＮアダプタ１０１は、配下の端末１０３から端末３０３へのデータ要求を受けると（ステップＳ２０１）、呼制御サーバ２０２に対して、接続先の端末３０３を配下に持つＶＰＮ装置３０１へのＶＰＮ通信経路を構築するための接続要求を行う（ステップＳ２０２）。この接続要求には、発呼側（ＶＰＮアダプタ１０１）の識別情報、被呼側（ＶＰＮ装置３０１）の識別情報も含まれる。呼制御サーバ２０２は、この接続要求を中継してＶＰＮ接続の接続先となるＶＰＮ装置３０１へ送信する（ステップＳ２０３）。この接続要求により、呼制御サーバ２０２は、ＶＰＮアダプタ１０１がＶＰＮ装置３０１へＶＰＮ通信経路構築のためのＶＰＮ接続をしたいという要求を接続先となる被呼側に通知する。

被呼側のＶＰＮ装置３０１は、呼制御サーバ２０２からの接続要求を受けると、呼制御サーバ２０２に対して、接続要求に対する接続応答を行う（ステップＳ２０４）。この接続応答には、発呼側（ＶＰＮアダプタ１０１）の識別情報、被呼側（ＶＰＮ装置３０１）の識別情報も含まれる。呼制御サーバ２０２は、この接続応答を中継してＶＰＮ接続の接続要求元となるＶＰＮアダプタ１０１へ送信する（ステップＳ２０５）。この接続応答により、呼制御サーバ２０２は、接続要求に対するＶＰＮ装置３０１からＶＰＮアダプタ１０１への応答を接続要求元となる発呼側に通知する。

続いて、ＶＰＮアダプタ１０１がＶＰＮ装置３０１からの接続応答を受信すると、ＶＰＮ通信経路の確立が可能であることと判断し、ＶＰＮアダプタ１０１及びＶＰＮ装置３０１は、ＶＰＮアダプタ１０１とＶＰＮ装置３０１との間でＶＰＮ通信経路を確立する（ステップＳ２０６）。

このようなＶＰＮ通信経路を構築するための第１認証処理が終了した時点では、ＶＰＮ通信経路は構築されるが、全てのデータをこのＶＰＮ通信経路を介して送受信可能な状態とはならない。すなわち、ＶＰＮ装置３０１は、ステップＳ２０２〜Ｓ２０５の第１認証処理が終了すると、ＶＰＮ通信経路において、音声通信確立手順で用いられるデータ及び音声データ以外の通信を禁止する音声外データ通信禁止状態とすべく、フィルタ処理を行う。これにより、音声通信確立手順で用いられるデータ及び音声データ以外の通信を行うことが不可能な状態となる。この状態を図６では、「フィルタＯＮ」と示している。

音声通信確立手順で用いられるデータ及び音声データ以外のデータ通信を禁止するフィルタ処理がされたＶＰＮ通信経路の確立後、ＶＰＮアダプタ１０１は、呼制御サーバ２０２を介して、接続先の端末３０３を管理するＶＰＮ装置３０１へ、端末１０３からのデータ要求を送信する（ステップＳ２０７）。しかしながら、フィルタ処理されたＶＰＮ通信経路では、音声通信確立手順で用いられるデータ及び音声データ以外のデータ通信は通過することができないので、ＶＰＮ通信経路を介したデータ要求はＶＰＮ装置３０１へは到達しない。

そこで、端末１０３は、接続先の端末３０３への音声通話の要求を行うべく、ＶＰＮアダプタ１０１へＳＩＰプロトコルのＩＮＶＩＴＥメッセージを送信する（ステップＳ２０８）。ＶＰＮアダプタ１０１は、端末１０３からのＩＮＶＩＴＥメッセージを受信すると、呼制御サーバ２０２を介して、接続先の端末３０３を管理するＶＰＮ装置３０１へ、このＩＮＶＩＴＥメッセージを送信する（ステップＳ２０９〜Ｓ２１０）。ＶＰＮ装置３０１は、ＶＰＮアダプタ１０１からのＩＮＶＩＴＥメッセージを中継し、接続先の端末３０３と同一のＬＡＮ内に属するオペレータ端末３０４へ送信する（ステップＳ２１１）。なお、ＳＩＰプロトコルの各種メッセージは音声データの１つであるので、フィルタ処理がされたＶＰＮ通信経路を通過することが可能である。

ＶＰＮアダプタ１０１からのＩＮＶＩＴＥメッセージを受信したオペレータ端末３０４は、接続元の端末１０３との間で音声通話を行う場合には、ＶＰＮ装置３０１及びＶＰＮ通信経路を介して、端末１０３を管理するＶＰＮアダプタ１０１へ、呼制御サーバ２０２を介して、ＳＩＰプロトコルの２００ＯＫメッセージを返答する（ステップＳ２１２〜Ｓ２１３）。ＶＰＮアダプタ１０１は、オペレータ端末３０４からの２００ＯＫメッセージを中継し、接続元の端末１０３へ送信する（ステップＳ２１４）。

オペレータ端末３０４からの２００ＯＫメッセージを受信した端末１０３は、オペレータ端末３０４との間で通話すべく、ＶＰＮアダプタ１０１、ＶＰＮ通信経路、及びＶＰＮ装置３０１を介して、ＲＴＰプロトコルを用いた音声データの送受信を行う（ステップＳ２１５〜Ｓ２１７）。同様に、オペレータ端末３０４は、接続元の１０３との間で通話すべく、ＶＰＮ装置３０１、ＶＰＮ通信経路、及びＶＰＮアダプタ１０１を介して、ＲＴＰプロトコルを用いた音声データの送受信を行う（ステップＳ２１８〜Ｓ２２０）。

この音声通話は、図５で示した処理と同様に、確立されているＶＰＮ通信経路のフィルタ処理を解除してもよいか否かを判断するための処理である。ＶＰＮ通信経路におけるフィルタ解除の処理も、図５の処理と同様に、ＶＰＮ装置３０１が、オペレータ操作情報をオペレータ端末３０４から受信し（ステップＳ２２１）、このオペレータ操作情報に基づいて行う。ここでは詳細な説明を省略する。

このように、通信制限のないＶＰＮ通信経路が確立された後、接続元の端末１０３は、ＶＰＮアダプタ１０１、ＶＰＮ通信経路、及びＶＰＮ装置３０１を介して、接続先の端末３０３に対して再度データ要求を行う（ステップＳ２２２〜Ｓ２２４）。端末１０３からのデータ要求を受信した端末３０３は、ＶＰＮ装置３０１、ＶＰＮ通信経路、ＶＰＮアダプタ１０１を介して、端末１０３へデータ要求に対する応答データを送信する（ステップＳ２２５〜Ｓ２２７）。

このような図６に示したＶＰＮ構築によれば、段階的にデータ通信を許可するＶＰＮ通信経路を構築することができる。すなわち、まずは第１認証処理によりフィルタ処理がされたＶＰＮ通信経路を構築し、続いて第２認証処理によりフィルタ処理が解除されたＶＰＮ通信経路とすることができる。つまり、第１認証処理後には最小限のデータ通信（第２認証処理に必要な音声データによる通信）を許可し、第２認証処理後に全てのデータの通信を許可することで、単一の通信経路のみを使用するという最小限の経路リソースで、高セキュリティのＶＰＮ通信経路を確立することができる。

次に、ＶＰＮアダプタ１０１のＶＰＮ構築時の動作について説明する。
図７は、ＶＰＮアダプタ１０１のＶＰＮ構築時の動作の一例を示すフローチャートである。

まず、ＶＰＮアダプタ１０１のデータ中継部１３３の判定部１３６は、何らかのメッセージを受信したか否かを判定する（ステップＳ３０１）。

何らかのメッセージを受信した場合には、判定部１３６は、ＶＰＮ通信経路が確立済みであるか否かを判定する（ステップＳ３０２）。例えば、図５のステップＳ１０２〜Ｓ１０５の一連のＶＰＮ通信経路の確立に必要なデータの送受信を行ったか否かに基づいて判断する。ＶＰＮ通信経路を確立済みである場合には、データ中継部１３３は、メッセージを中継する（ステップＳ３０３）。例えば、接続先の端末３０３からのデータについては、接続元の端末１０３へ送信する。また、接続元の端末１０３からのデータについては、ＶＰＮ通信経路を介して、接続先の端末３０３を管理するＶＰＮ装置３０１へ送信する。このメッセージの中継の後、再度メッセージを受信すべくステップＳ３０１に戻る。

一方、ＶＰＮ通信経路が確立されていない場合には、呼制御機能部１４３は、ＶＰＮ装置３０１へ接続要求の送信等を行い、ＶＰＮ通信経路を確立する（ステップＳ３０４）。ステップＳ３０４においてＶＰＮ通信経路を確立すると、ステップＳ３０３の処理に進む。

また、ステップＳ３０１においてメッセージを受信しなかった場合には、判定部１３６は、ＶＰＮ通信を終了するか否かを判定する（ステップＳ３０５）。例えば、所定期間にわたってＶＰＮ通信を継続するための所定のデータの送受信が行われなかった場合には、ＶＰＮ通信を終了すると判定する。ＶＰＮ通信を終了する場合には図７の処理を終了し、ＶＰＮ通信を終了せず、メッセージを引き続き待機する場合にはステップＳ３０１に戻る。

次に、ＶＰＮ装置３０１のＶＰＮ構築時の動作について説明する。
図８は、ＶＰＮ装置３０１のＶＰＮ構築時の動作の一例を示すフローチャートである。

まず、ＶＰＮ装置３０１のデータ中継部３３３の判定部３３６は、何らかのメッセージを受信したか否かを判定する（ステップＳ４０１）。メッセージを受信しなかった場合には、判定部３３６は、ＶＰＮ通信を終了するか否かを判定する（ステップＳ４０２）。例えば、所定期間にわたってＶＰＮ通信を継続するための所定のデータの送受信が行われなかった場合には、ＶＰＮ通信を終了すると判定する。ＶＰＮ通信を終了する場合には図８の処理を終了し、ＶＰＮ通信を終了せず、メッセージを引き続き待機する場合にはステップＳ４０１に戻る。

一方、何らかのメッセージを受信した場合には、判定部３３６は、ＶＰＮ通信経路が確立済みであるか否かを判定する（ステップＳ４０３）。例えば、図５のステップＳ１０２〜Ｓ１０５の一連のＶＰＮ通信経路の確立に必要なデータの送受信を行ったか否かに基づいて判断する。

ＶＰＮ通信経路が確立されていない場合には、判定部３３６は、受信したメッセージが接続要求であるか否かを判定する（ステップＳ４０４）。受信メッセージが接続要求である場合には、呼制御機能部３４２は、この接続要求に応答して、ＶＰＮ通信経路を確立する（ステップＳ４０５）。ただし、ＶＰＮ通信経路の確立当初においては、ＶＰＮ機能部３４２のフィルタ制御部３４４は、音声通信確立手順で用いられるデータ及び音声データ以外のデータの通過を禁止するフィルタ処理を行う（フィルタをＯＮにする）（ステップＳ４０６）。ＶＰＮ通信経路におけるフィルタ処理を行った後、再度メッセージを受信すべくステップＳ４０１に戻る。一方、受信メッセージが接続要求でない場合には、そのメッセージを破棄する（ステップＳ４０７）。

一方、ＶＰＮ通信経路が確立済みである場合には、フィルタ制御部３４４は、ＶＰＮ通信経路におけるフィルタ処理が解除されているか、つまりフィルタがＯＦＦであるか否かを判定する（ステップＳ４０８）。フィルタがＯＦＦである場合には、全てのデータをＶＰＮ通信経路を介して送受信ができる状態である。この場合、データ中継部３３３は、受信したメッセージを中継する（ステップＳ４０９）。例えば、接続先の端末３０３からのデータについては、接続元の端末１０３を管理するＶＰＮアダプタ１０１へＶＰＮ通信経路を介して送信する。また、接続元の端末１０３からのデータについては、接続先の端末３０へ送信する。そして、再度メッセージを受信すべくステップＳ４０１に戻る。

一方、フィルタがＯＦＦでない場合、つまりＶＰＮ通信経路におけるフィルタ処理が行われている場合（フィルタがＯＮの場合）、判定部３３６は、受信メッセージが音声データ（ＳＩＰプロトコルのメッセージ、ＲＴＰプロトコルのメッセージ等）であるか否かを判定する（ステップＳ４１０）。受信メッセージが音声データである場合には、ステップＳ４０９に進む。

一方、受信メッセージが音声データでない場合には、判定部３３６は、受信メッセージがオペレータ端末３０４からの接続許可メッセージであるか否かを判定する（ステップＳ４１１）。受信メッセージが接続許可メッセージである場合には、フィルタ制御部３４４は、ＶＰＮ通信経路におけるフィルタ処理を解除する、つまりフィルタをＯＦＦにする（ステップＳ４１２）。一方、受信メッセージが接続許可メッセージでない場合には、ＶＰＮ機能部３４３は、受信メッセージを破棄する（ステップＳ４１３）。

このようなＶＰＮ装置３０１のＶＰＮ通信経路の構築時の動作によれば、ＶＰＮアダプタ１０１が携帯されて様々なＬＡＮに接続された場合であっても、ＶＰＮアダプタ１０１を用いたＶＰＮ通信経路の構築を安全性高く実現することが可能である。

次に、ＶＰＮ通信経路（ＶＰＮトンネル）について説明する。
図９はＶＰＮ通信経路のイメージ図である。

第１認証処理が行われてフィルタ処理が行われたＶＰＮ通信経路を構築した場合には、ＶＰＮアダプタ１０１及びＶＰＮ装置３０１は、図９（Ａ）に示す通信を行う。つまり、フィルタがＯＮとされた状態では、ＶＰＮアダプタ１０１とＶＰＮ装置３０１との間で送受信される音声データについては、制限なくＶＰＮ通信経路を通過する。一方、ＶＰＮアダプタ１０１からＶＰＮ装置３０１へ送信される音声以外のデータについては、ＶＰＮ通信経路を通過することができない。これにより、高セキュリティを確保しつつ、必要な認証処理（第２認証処理）を行うことが可能である。

さらに第２認証処理が行われてフィルタ処理が解除されたＶＰＮ通信経路を構築した場合には、ＶＰＮアダプタ１０１及びＶＰＮ装置３０１は、図９（Ｂ）に示す通信を行う。つまり、フィルタがＯＦＦとされた状態では、ＶＰＮアダプタ１０１とＶＰＮ装置３０１との間で送受信される音声データ及び音声以外のデータのいずれについても、制限なくＶＰＮ通信経路を通過することができる。このように、段階的にＶＰＮ通信経路を通過することができるデータを調整することができるので、単一の経路リソースで、高セキュリティを確保しつつＶＰＮ通信経路を構築することが可能である。

このような本実施形態のＶＰＮシステムによれば、単一の経路リソースで高セキュリティにＶＰＮ通信経路を確立することが可能である。本実施形態では、ＶＰＮ通信経路を構築するための第１認証処理を行うことで、ＶＰＮアダプタ１０１が正当なアダプタであるかを接続先が判断することができる。また、第１認証処理後の音声通信確立手順で用いられるデータ及び音声データ以外のデータの通信を行うための第２認証処理を行うことで、接続元の端末１０３の所有者が正当なユーザであるかを判断することができる。このように、ＶＰＮ通信経路の使用を段階的に許可することで、ＶＰＮ通信経路の構築時に安全性の高い通信を行うことができる。また、第２認証処理を行うためのデータの送受信は、限定的にデータを通過させるＶＰＮ通信経路を用いて行われるので、必要最低限のリソースで高セキュリティを確保した状態で通信を行うことができる。さらに、仮にＶＰＮアダプタ１０１を紛失してしまった場合であっても、事前にオペレータ端末３０４へその旨通知し、オペレータ端末３０４が有するＶＰＮアダプタ１０１に係る識別情報を削除しておくことで、安全性を保つことができる。

なお、ＶＰＮアダプタ１０１の構成及び機能をＶＰＮ装置３０１と同様にしても、先に説明した本実施形態のＶＰＮシステムを実現することができる。

また、本実施形態では、フィルタ処理として、音声通信確立手順で用いられるデータ及び音声データ以外のデータの通過を禁止することを主に説明したが、これに限られるものではない。例えば、音声データ及び特定のデータ（ＨＴＴＰプロトコルのデータやメールに関するデータなど所定のアプリケーションで使用されるデータ）のみを通過させるフィルタ処理とすることも考えられる。これにより、ＶＰＮ通信経路において全データの通過を許可する前に、必要なアプリケーションを実行することが可能である。また、特定の端末（所定のアドレスを有する端末）と通信される音声データを含むデータのみを通過させるフィルタ処理、とすることも考えられる。

（変形例）
先の説明ではＶＰＮ機能を有するＶＰＮ装置が独立した装置として配置され、その配下に端末が配置されることを示したが、図１０に示すように、ＶＰＮアダプタ１０５（ＶＰＮアダプタの機能を有する端末）及びＶＰＮ装置３０５（ＶＰＮ装置の機能を有する端末）のみが配置されるようにしてもよい。

本発明は、単一の経路リソースで高セキュリティにＶＰＮ通信経路を確立することが可能なＶＰＮ装置、ＶＰＮネットワーキング方法、ＶＰＮプログラム、及び記憶媒体に有用である。

１００、３００ ＬＡＮ
１０１ ＶＰＮアダプタ
３０１ ＶＰＮ装置
１０２、３０２ ルータ
１０３、３０３ 端末
３０４ オペレータ端末
１０５、３０５ ＶＰＮ装置（端末）
１１１ マイクロコンピュータ（ＣＰＵ）
１１２ 不揮発性メモリ
１１３ メモリ
１１４、１１５ ネットワークインタフェース
１１６ ＬＡＮ側ネットワーク制御部
１１７ ＷＡＮ側ネットワーク制御部
１１８ 通信中継部
１１９ 表示制御部
１２０ 表示部
１３０ システム制御部
１３１ 配下端末管理部
１３２ メモリ部
１３３ データ中継部
１３４ 設定用インタフェース部
１３５ 情報記憶部
１３６ 判定部
１４０ 通信制御部
１４１ 外部アドレス・ポート取得部
１４２ ＶＰＮ機能部
１４３ 呼制御機能部
２００ ＷＡＮ
２０１ ＳＴＵＮサーバ
２０２ 呼制御サーバ
３３０ システム制御部
３３１ 配下端末管理部
３３２ メモリ部
３３３ データ中継部
３３４ 設定用インタフェース部
３３５ 情報記憶部
３３６ 判定部
３３７ オペレータ操作情報受信部
３４０ 通信制御部
３４１ 外部アドレス・ポート取得部
３４２ ＶＰＮ機能部
３４３ 呼制御機能部
３４４ フィルタ制御部

Claims (9)

1. ネットワーク上で、他のＶＰＮ装置との間でＶＰＮを構築してＶＰＮ通信を行うＶＰＮ装置であって、
   前記ＶＰＮを構築するための第１認証処理を行う認証処理部と、
   前記第１認証処理の後に、前記ＶＰＮにおける音声通信確立手順で用いられるデータ及び音声データ以外の通信を禁止するフィルタ処理を行うフィルタ制御部と、
   を備え、
   前記認証処理部は、前記第１認証処理の後に、前記フィルタ処理中の前記ＶＰＮを介して通信される音声データを用いて第２認証処理を行い、
   前記フィルタ制御部は、前記第２認証処理の後に、前記フィルタ処理を停止するＶＰＮ装置。
2. 請求項１に記載のＶＰＮ装置であって、
   前記フィルタ制御部は、前記ＶＰＮにおける音声データ及び所定のアプリケーションで通信されるデータ以外の通信を禁止するフィルタ処理を行うＶＰＮ装置。
3. 請求項１または２に記載のＶＰＮ装置であって、
   前記フィルタ制御部は、前記第１認証処理の完了前に、他のＶＰＮ装置からの接続要求が受信された場合、前記ＶＰＮを構築するとともに前記フィルタ処理を行うＶＰＮ装置。
4. 請求項１または２に記載のＶＰＮ装置であって、
   前記フィルタ制御部は、前記フィルタ処理中に、前記フィルタ処理を停止するか否かを指示するオペレータ端末から接続許可データが受信された場合、前記フィルタ処理を停止するＶＰＮ装置。
5. 請求項１ないし４のいずれか１項に記載のＶＰＮ装置であって、
   前記認証処理部は、ＳＳＬプロトコルのデータを用いて前記第１認証処理を行うＶＰＮ装置。
6. 請求項１ないし４のいずれか１項に記載のＶＰＮ装置であって、
   前記認証処理部は、ＳＩＰプロトコルのデータ及びＲＴＰプロトコルのデータを用いて前記第２認証処理を行うＶＰＮ装置。
7. ネットワーク上で、他のＶＰＮ装置との間でＶＰＮを構築してＶＰＮ通信を行うためのＶＰＮネットワーキング方法であって、
   前記ＶＰＮを構築するための第１認証処理を行うステップと、
   前記第１認証処理の後に、前記ＶＰＮにおける音声通信確立手順で用いられるデータ及び音声データ以外の通信を禁止するフィルタ処理を行うステップと、
   前記第１認証処理の後に、前記フィルタ処理中の前記ＶＰＮを介して通信される音声データを用いて第２認証処理を行うステップと、
   前記第２認証処理の後に、前記フィルタ処理を停止するステップと、
   を有するＶＰＮネットワーキング方法。
8. 請求項７に記載のＶＰＮネットワーキング方法の各ステップを実行させるためのＶＰＮプログラム。
9. 請求項７に記載のＶＰＮネットワーキング方法の各ステップを実行させるためのＶＰＮプログラムを記録したコンピュータ読み取り可能な記憶媒体。

Images