JP2014171083A - ネットワークシステム、通信端末、方法、プログラムおよび記録媒体 - Google Patents

Abstract

【課題】簡易に、かつ、高いセキュリティレベルを確保しながら、通信端末を外部ネットワークに接続させる。
【解決手段】ネットワークシステムは、外部ネットワークに接続されており、ＶＰＮサーバとして動作し得るネットワーク装置と、外部ネットワークを介してネットワーク装置と通信可能な通信端末と、を備える。通信端末は、部ネットワークに接続するための接続部と、接続部により通信端末が外部ネットワークに接続されると、仮想プライベートネットワークを、通信端末とネットワーク装置との間に確立する処理を実行するＶＰＮクライアント機能部と、仮想プライベートネットワークおよびネットワーク装置を介して、ネットワーク装置とは異なる外部ネットワークに接続されている他の装置と通信を行う通信実行部と、を有する。
【選択図】図１

Description

本発明は、ネットワークシステムに関する。

携帯電話端末やパーソナルコンピュータ等の通信端末は、駅やホテル等の公共施設に設けられた公衆無線ＬＡＮ（Local Area Network）や公衆有線ＬＡＮ等を介して、インターネットに接続されることがある。しかしながら、公衆無線ＬＡＮや公衆有線ＬＡＮ等におけるセキュリティレベルが低い場合には、通信端末により送受信されるデータは、第三者に盗聴されるおそれがある。例えば、公衆無線ＬＡＮにおける暗号化方式が脆弱なＷＥＰ（Wired Equivalent Privacy）である場合や、暗号化をまったく行わない場合には、第三者によって無線電波が傍受され、データが盗聴されるおそれがある。そこで、公衆無線ＬＡＮを介した通信経路において、通信端末を終端部とするＶＰＮ（Virtual Private Network）を形成することにより、セキュリティレベルを向上させる方法が提案されている（特許文献１、２）。

特開２００４−２７４４４８号公報 特開２００６−３３４４３号公報

特許文献１に記載された方法では、利用者は、予めインターネットに接続されたＶＰＮサーバと端末との間にＶＰＮ（ＶＰＮトンネル）を確立し、通信端末は、ＶＰＮを介してインターネットに接続された情報提供サーバと通信を行う。このため、ユーザは、通信端末及びＶＰＮサーバにおいて、それぞれ事前にＶＰＮを確立するための複雑な設定作業を行わねばならないという問題があった。同様に、特許文献２に記載された方法では、利用者は、予めパーソナルコンピュータとインターネットに接続されたセキュアアクセスポイントとの間にＶＰＮを確立し、パーソナルコンピュータは、かかるＶＰＮを介してインターネットに接続された通信相手（サーバ等）と通信を行う。したがって、特許文献２に記載された方法によると、特許文献１に記載された方法と同様の問題が発生する。このため、簡易に、かつ、高いセキュリティレベルを確保しながら、通信端末をインターネット等の外部ネットワークに接続させることが可能な技術が望まれていた。その他、通信端末や、通信端末を含むネットワークシステムの小型化や、低コスト化や、省資源化、製造の容易化、使い勝手の向上等が望まれていた。

本発明は、上述の課題の少なくとも一部を解決するためになされたものであり、以下の形態として実現することが可能である。

（１）本発明の第１の形態によれば、ネットワークシステムが提供される。このネットワークシステムは、外部ネットワークに接続されており、仮想プライベートネットワーク（ＶＰＮ）サーバとして動作し得るネットワーク装置と、前記外部ネットワークを介して前記ネットワーク装置と通信可能な通信端末と、を備え、前記通信端末は、前記外部ネットワークに接続するための接続部と、前記接続部により前記通信端末が前記外部ネットワークに接続されると、仮想プライベートネットワークを、前記通信端末と前記ネットワーク装置との間に確立する処理を実行するＶＰＮクライアント機能部と、前記仮想プライベートネットワークおよび前記ネットワーク装置を介して、前記ネットワーク装置とは異なる前記外部ネットワークに接続されている他の装置と通信を行う通信実行部と、を有する。この形態のネットワークシステムによれば、通信端末のＶＰＮクライアント機能部は、通信端末が外部ネットワークに接続されると、通信端末とネットワーク装置との間にＶＰＮを確立するので、ＶＰＮを確立するためのユーザの作業を省略できる。加えて、通信端末の通信実行部は、ＶＰＮおよびネットワーク装置を介して、ネットワーク装置とは異なる外部ネットワークに接続されている他の装置と通信を行うので、通信端末が外部ネットワークに接続する際に暗号化が行われない又は暗号化方式が脆弱な（セキュリティレベルの低い）方式であっても、高いセキュリティレベルを確保しつつ通信端末と他の装置との通信を実現することができる。以上から、本形態のネットワークシステムによれば、簡易に、かつ、高いセキュリティレベルを確保しながら、通信端末を外部ネットワークに接続させることができる。

（２）上記形態のネットワークシステムにおいて、前記ネットワーク装置は、さらに前記通信端末との間で、無線通信を実行する無線通信部と、前記無線通信が実行可能になると、前記仮想プライベートネットワークの確立のために用いられるＶＰＮ設定情報を、前記通信端末に送信するＶＰＮ設定情報送信部と、を有し、前記通信端末は、さらに、前記ＶＰＮ設定情報を受信するＶＰＮ設定情報受信部を有してもよい。この形態のネットワークシステムによれば、ネットワーク装置と通信端末との間で無線通信が実行可能になると、ネットワーク装置から通信端末にＶＰＮ設定情報が送信されるので、通信端末においてＶＰＮ設定情報を設定する作業を省略できる。

（３）上記形態のネットワークシステムにおいて、前記ネットワーク装置は、前記通信端末が前記仮想プライベートネットワークを介した通信を許可された装置であるか否かの認証を実行し、前記ＶＰＮ設定情報は、前記認証において用いられる端末認証情報を含み、前記ネットワーク装置は、さらに、前記無線通信が実行可能になると前記端末認証情報を生成する端末認証情報生成部を有してもよい。この形態のネットワークシステムによれば、ネットワーク装置と通信端末との間で無線通信が実行可能になると、端末認証情報が生成されるので、ユーザによる端末認証情報を設定する作業を省略できる。

（４）上記形態のネットワークシステムにおいて、前記接続部は、公衆無線ＬＡＮと、公衆有線ＬＡＮと、公衆無線回線とのうち、いずれかを介して前記通信端末を前記外部ネットワークに接続してもよい。この形態のネットワークシステムによれば、公衆無線ＬＡＮと、公衆有線ＬＡＮと、公衆無線回線とのうちのいずれかにおいて、暗号化が行われない又は暗号化方式が脆弱な方式であっても、高いセキュリティレベルを確保しながら、通信端末を外部ネットワークに接続させることができる。

（５）上記形態のネットワークシステムにおいて、前記接続部は、公衆無線ＬＡＮを介して前記通信端末を前記外部ネットワークに接続し、前記通信端末は、さらに、前記公衆無線ＬＡＮに用いられている無線ＬＡＮアクセスポイントにおける暗号化方式に関する所定の条件が満たされたか否かを判定する判定部を有し、前記ＶＰＮクライアント機能部は、前記接続部により前記通信端末が前記外部ネットワークに接続され、かつ、前記判定部により前記所定の条件が満たされたと判定された場合に、前記仮想プライベートネットワークを確立する処理を実行してもよい。この形態のネットワークシステムによれば、無線ＬＡＮアクセスポイントにおける暗号化方式に関する所定の条件が満たされない場合には、ＶＰＮを確立する処理を省略することができる。したがって、常にＶＰＮを確立する処理を実行する構成に比べて、通信端末と、外部ネットワークに接続された他の装置との間で通信を実行する際に、ＶＰＮの確立のための処理時間を短縮できると共に、ＶＰＮを介した通信に要する専用の処理（カプセル化や暗号化や復号など）を省略できる。このため、かかる通信におけるレイテンシーの増大およびスループットの低減を抑制できる。

（６）上記形態のネットワークシステムにおいて、前記所定の条件は、前記無線ＬＡＮアクセスポイントにおける暗号化方式が所定の暗号化方式である、との条件と、前記無線ＬＡＮアクセスポイントにおいて暗号化を行わない、との条件と、前記無線ＬＡＮアクセスポイントが所定の事業者の無線ＬＡＮアクセスポイントである、との条件と、のうち、いずれかを含んでもよい。この形態のネットワークシステムによれば、所定の暗号化方式が脆弱な暗号化方式であり、所定の事業者が脆弱な暗号化方式を採用する又は暗号化を行わない事業者であっても、ＶＰＮを利用して通信端末と外部ネットワークに接続されている他の装置との間の通信を実現できる。このため、高セキュリティレベルを確保した通信を実現できる。加えて、公衆無線ＬＡＮにおけるセキュリティレベルが高い場合には、ＶＰＮを確立する処理を省略することができる。したがって、通信端末と、外部ネットワークに接続されている他の装置との間の通信におけるレイテンシーの増大およびスループットの低減を抑制できる。

（７）上記形態のネットワークシステムにおいて、前記所定の暗号化方式は、ＷＥＰ（Ｗｉｒｅｄ Ｅｑｕｉｖａｌｅｎｔ Ｐｒｉｖａｃｙ）であり、前記所定の事業者は、前記公衆無線ＬＡＮにおける暗号化方式として、ＷＥＰを採用する事業者であってもよい。この形態のネットワークシステムによれば、無線ＬＡＮアクセスポイント（公衆無線ＬＡＮ）が、脆弱なＷＥＰを暗号化方式として採用する場合に、ＶＰＮを利用して通信端末と外部ネットワークに接続されている他の装置との間の通信を実現するので、高セキュリティレベルを確保した通信を実現できる。

（８）本発明の第２の形態によれば、通信端末が提供される。この通信端末は、外部ネットワークを介して、仮想プライベートネットワーク（ＶＰＮ）サーバとして動作し得るネットワーク装置と通信可能な通信端末であって、前記外部ネットワークに接続するための接続部と、前記接続部により前記通信端末が前記外部ネットワークに接続されると、仮想プライベートネットワークを、前記通信端末と前記ネットワーク装置との間に確立する処理を実行するＶＰＮクライアント機能部と、前記仮想プライベートネットワークおよび前記ネットワーク装置を介して、前記ネットワーク装置とは異なる前記外部ネットワークに接続されている他の装置と通信を行う通信実行部と、を備える。この形態の通信端末によれば、ＶＰＮクライアント機能部は、通信端末が外部ネットワークに接続されると、通信端末とネットワーク装置との間にＶＰＮを確立するので、ＶＰＮを確立するためのユーザの作業を省略できる。加えて、通信実行部は、ＶＰＮおよびネットワーク装置を介して、ネットワーク装置とは異なる外部ネットワークに接続されている他の装置と通信を行うので、通信端末が外部ネットワークに接続する際に暗号化が行われない又は暗号化方式が脆弱な（セキュリティレベルの低い）方式であっても、高いセキュリティレベルを確保しつつ、通信端末と他の装置との通信を実現することができる。以上から、本形態の通信端末によれば、簡易に、かつ、高いセキュリティレベルを確保しながら、通信端末を外部ネットワークに接続することができる。

上述した本発明の各形態の有する複数の構成要素はすべてが必須のものではなく、上述の課題の一部又は全部を解決するため、あるいは、本明細書に記載された効果の一部又は全部を達成するために、適宜、前記複数の構成要素の一部の構成要素について、その変更、削除、新たな他の構成要素との差し替え、限定内容の一部削除を行うことが可能である。また、上述の課題の一部又は全部を解決するため、あるいは、本明細書に記載された効果の一部又は全部を達成するために、上述した本発明の一形態に含まれる技術的特徴の一部又は全部を上述した本発明の他の形態に含まれる技術的特徴の一部又は全部と組み合わせて、本発明の独立した一形態とすることも可能である。

例えば、本発明の一形態は、ネットワーク装置と、通信端末との２つの要素の内の一つ以上の要素を備えたシステムとして実現可能である。すなわち、このシステムは、ネットワーク装置を有していても、有していなくても良い。また、システムは、通信端末を有していても、有していなくても良い。通信端末は、接続部を有していても、有していなくても良い。また、通信端末は、ＶＰＮクライアント機能部を有していても、有していなくても良い。また、通信端末は、通信実行部を有していても、有していなくても良い。接続部は、例えば、外部ネットワークに接続するための接続部として構成されてもよい。ＶＰＮクライアント機能部は、例えば、接続部により通信端末が外部ネットワークに接続されると、仮想プライベートネットワークを、通信端末とネットワーク装置との間に確立する処理を実行するＶＰＮクライアント機能部として構成されてもよい。通信実行部は、例えば、仮想プライベートネットワークおよびネットワーク装置を介して、ネットワーク装置とは異なる外部ネットワークに接続されている他の装置と通信を行う通信実行部として構成されてもよい。こうした装置は、例えば、ネットワークシステムとして実現できるが、ネットワークシステム以外の他のシステムとしても実現可能である。このような形態によれば、システムの小型化や、低コスト化、省資源化、省電力化、製造の容易化、使い勝手の向上等の種々の課題の少なくとも１つを解決することができる。前述したネットワークシステムの各形態の技術的特徴の一部又は全部は、いずれもこのシステムに適用することが可能である。

また、例えば、本発明の他の形態は、接続部と、ＶＰＮクライアント機能部と、通信実行部と、の３つの要素の内の一つ以上の要素を備えた装置として実現可能である。すなわち、この装置は、接続部を有していても、有していなくても良い。また、装置は、ＶＰＮクライアント機能部を有していても、有していなくても良い。また、装置は、通信実行部を有していても、有していなくても良い。接続部は、例えば、外部ネットワークに接続するための接続部として構成されてもよい。ＶＰＮクライアント機能部は、例えば、接続部により通信端末が外部ネットワークに接続されると、仮想プライベートネットワークを、通信端末とネットワーク装置との間に確立する処理を実行するＶＰＮクライアント機能部として構成されてもよい。通信実行部は、仮想プライベートネットワークおよびネットワーク装置を介して、ネットワーク装置とは異なる外部ネットワークに接続されている他の装置と通信を行う通信実行部として構成されてもよい。こうした装置は、例えば、通信端末として実現できるが、通信端末以外の他の装置としても実現可能である。このような形態によれば、装置の小型化や、低コスト化、省資源化、省電力化、製造の容易化、使い勝手の向上等の種々の課題の少なくとも１つを解決することができる。前述した通信端末の各形態の技術的特徴の一部又は全部は、いずれもこの装置に適用することが可能である。

本発明は、種々の形態で実現することも可能である。例えば、外部ネットワークに接続されている装置と通信を行う方法や、通信端末を制御する方法や、これらの方法を実現するコンピュータプログラム、そのコンピュータプログラムを記録した一時的でない記録媒体等の形態で実現することができる。

本発明の一実施形態としてのネットワークシステムの概略構成を示す説明図である。 図１に示す通信端末１００の詳細構成を示すブロック図である。 図１に示すネットワーク装置２００の詳細構成を示すブロック図である。 第１実施形態におけるＶＰＮ設定情報設定処理の手順を示すフローチャートである。 第１実施形態におけるＤＤＮＳ情報登録処理の詳細手順を示すフローチャートである。 第１実施形態における通信処理の手順を示すフローチャートである。 第２実施形態の通信処理の手順を示すフローチャートである。 第３実施形態における通信端末１００ａの詳細構成を示すブロック図である。 第３実施形態における通信処理の手順を示すフローチャートである。 第４実施形態におけるネットワークシステムの構成を示す説明図である。

Ａ．第１実施形態：
Ａ１．システム構成：
図１は、本発明の一実施形態としてのネットワークシステムの概略構成を示す説明図である。ネットワークシステム５００は、通信端末１００と、ネットワーク装置２００と、ＤＤＮＳ（Dynamic Domain Name Service）サーバ３００とを備えている。ネットワークシステム５００は、通信端末１００を、自宅ＨＭおよびホットスポットＨＳからそれぞれインターネットＩＮＴに接続されている装置（例えば、サーバＳＶ１）と通信させることができる。

通信端末１００は、携帯可能な可搬型の端末であり、ユーザによって、自宅ＨＭおよびホットスポットＨＳに自在に配置され得る。本実施形態では、通信端末１００は携帯電話装置であるものとして説明する。ネットワーク装置２００は、自宅ＨＭに配置されている。

ＤＤＮＳサーバ３００は、ＩＥＴＦ（Internet Engineering Task Force）によってＲＦＣ２１３６として規格化されたダイナミックＤＮＳを実行するサーバであり、インターネットＩＮＴに接続されている。ＤＤＮＳサーバ３００の構成は公知のＤＤＮＳサーバの構成と同じであるので、説明を省略する。

自宅ＨＭには、ネットワーク装置２００が配置されている。ネットワーク装置２００は、図示しないモデム等を介してインターネットＩＮＴに接続されている。ホットスポットＨＳには、無線ＬＡＮアクセスポイントａ１とルータ装置ｒ１とが配置されている。無線ＬＡＮアクセスポイントａ１は、公衆無線ＬＡＮ４００を構成し、通信端末１００と無線接続されている。また、無線ＬＡＮアクセスポイントａ１は、ルータ装置ｒ１と接続されている。ルータ装置ｒ１は、インターネットＩＮＴに接続されている。ホットスポットＨＳでは、通信端末１００等の無線ＬＡＮクライアントは、公衆無線ＬＡＮ４００（無線ＬＡＮアクセスポイントａ１）と、ルータ装置ｒ１とを介して、インターネットＩＮＴに接続されている装置（例えば、サーバＳＶ１）と通信することができる。なお、無線ＬＡＮアクセスポイントａ１およびルータ装置ｒ１は、ホットスポットＨＳに用いられる公知の無線ＬＡＮアクセスポイントおよびルータ装置と同じであるので、説明を省略する。

ネットワークシステム５００では、ホットスポットＨＳにおいて、通信端末１００がサーバＳＶ１と通信する際に、仮想プライベートネットワーク（以下、「ＶＰＮ」（Virtual Private Network）と呼ぶ）９００を確立し、ＶＰＮ９００を介して通信を実行することにより、高いセキュリティレベルを確保する。図１に示すように、ＶＰＮ９００は、通信端末１００とネットワーク装置２００との間に形成される。

図２は、図１に示す通信端末１００の詳細構成を示すブロック図である。通信端末１００は、表示部３０と、無線ＬＡＮ通信制御部４２と、移動体通信制御部４４と、音声入出力部５２と、操作部５４と、撮像部５６と、ＣＰＵ（Central Processing Unit）１０と、メモリ２０と、を備えている。これらの各機能部（表示部３０、無線ＬＡＮ通信制御部４２、移動体通信制御部４４、音声入出力部５２、操作部５４、撮像部５６、ＣＰＵ１０およびメモリ２０）は、いずれも内部バス６０に接続されており、互いに通信可能に構成されている。なお、通信端末１００は、図示しないバッテリーを搭載しており、各機能部は、バッテリーから供給される電力により動作する。

表示部３０は、タッチパネル式のディスプレイにより構成されており、メモリ２０に格納されている画像や各種メニュー画面等を表示し、また、タッチペンや指等の接触状態に関する情報を出力する。

無線ＬＡＮ通信制御部４２は、変調器やアンプ、アンテナを含み、例えばＩＥＥＥ８０２．１１ａ／ｂ／ｇ／ｎに準拠した無線ＬＡＮのクライアントとして、無線ＬＡＮのアクセスポイントと無線通信を行う。

移動体通信制御部４４は、変調器やアンプ、アンテナを含み、例えば３Ｇ／ＨＳＰＡ（High Speed Packet Access）や、ＬＴＥ（Long Term Evolution）や、Ｗｉｍａｘ（Worldwide Interoperability for Microwave Access）などの規格に準拠した無線データ通信を実行する移動体通信端末として、公衆無線回線（移動体通信網）の基地局と無線通信を行う。

音声入出力部５２は、マイク及びスピーカを備え、音声の入力及び出力を行う。操作部５４は、各種メニューを選択するための操作ボタン、音量を調整するための操作ボタン、番号や文字列を入力するためのボタン、シャッターボタンなどを備えている。撮像部５６は、ＣＣＤ（Charge Coupled Device）等の撮像素子や光学レンズを備え、被写体を撮影して画像データを取得する。

ＣＰＵ１０は、メモリ２０に記憶されている制御プログラムを実行することにより、接続部１０ａ、ＶＰＮクライアント機能部１０ｂ、通信実行部１０ｃ、表示制御部１０ｄ、通話制御部１０ｅ、ＶＰＮ設定情報受信部１０ｆとして、機能する。

接続部１０ａは、無線ＬＡＮ通信制御部４２を制御して無線ＬＡＮアクセスポイントとの間で通信を実行する。接続部１０ａは、ＶＰＮ９００を介して通信を行う場合には、ＶＰＮクライアント機能部１０ｂから暗号化後のデータを受け取り、かかるデータを、無線ＬＡＮ通信制御部４２を介して無線電波として出力する。また、接続部１０ａは、無線ＬＡＮ通信制御部４２を介して受信した通信データを、ＶＰＮクライアント機能部１０ｂに渡す。

ＶＰＮクライアント機能部１０ｂは、ＶＰＮを実現するための所定のプロトコルを実行し、対向するＶＰＮサーバとの間でＶＰＮを確立するための処理や、ＶＰＮ確立後における通信データのカプセル化処理、暗号化及び復号処理を実行する。本実施形態では、ＶＰＮを実現するための所定のプロトコルとして、ＩＥＴＦによって規格化されたＩＰＳｅｃ（Security Architecture for Internet Protocol）を用いる。ＶＰＮクライアント機能部１０ｂは、通信実行部１０ｃから通信データ（パケット）を受け取ると、ＶＰＮ用のヘッダを付加して暗号化して接続部１０ａに渡す。また、ＶＰＮクライアント機能部１０ｂは、接続部１０ａから通信データ（パケット）を受け取ると、復号処理を実行すると共に、ＶＰＮ用のヘッダを取り除き通信実行部１０ｃに渡す。

通信実行部１０ｃは、通信相手との間において、所定の通信プロトコルを実行することによりアプリケーションデータの送受信を行う。具体的には、通信実行部１０ｃは、アプリケーションから受け取ったデータを、通信相手を宛先とするパケットとして組み立ててＶＰＮクライアント機能部１０ｂに渡す。また、ＶＰＮクライアント機能部１０ｂから受け取ったデータを解釈して、アプリケーションに渡す。本実施形態では、所定の通信プロトコルとしては、ＴＣＰ／ＩＰ（Transmission Control Protocol / Internet Protocol）を用いる。

表示制御部１０ｄは、表示部３０に画像や各種メニュー画面を表示させると共に、表示部３０から出力される接触状態に関する情報を受信して、画像と接触位置とに基づき選択されたメニューを特定する。通話制御部１０ｅは、移動体通信網を介した呼制御を行う。ＶＰＮ設定情報受信部１０ｆは、通信端末１００から出力されるＶＰＮ設定情報を受信する。

ＶＰＮ設定情報とは、ＶＰＮを介した通信を実現するために必要な各種の情報を意味し、ＶＰＮ接続情報と、端末認証情報とからなる。ＶＰＮ接続情報は、ＶＰＮ９００を確立するために用いられる情報であって、複数のＶＰＮクライアントにおいて共通的に用いられる情報である。具体的には、ＶＰＮ接続情報には、ＶＰＮサーバとしてのサーバ名称、ＶＰＮの種類、ＶＰＮ用のポート番号、ＶＰＮにおける暗号化方式およびＶＰＮにおける認証方式等の各種情報が含まれる。なお、本実施形態において、サーバ名称として、ＦＱＤＮ（Fully Qualified Domain Name）を用いる。ＶＰＮの種類、ＶＰＮ用のポート番号、ＶＰＮにおける暗号化方式および認証方式については、予めユーザ（管理者）によって設定されている。端末認証情報は、ＶＰＮ９００を介した通信が許可されている装置であるか否かの認証に用いられる情報であり、各ＶＰＮクライアントごとに設定される。具体的には、端末認証情報として、ユーザ名およびパスワードや、クライアント証明書など、認証方式に応じた認証用の情報が含まれる。

メモリ２０は、フラッシュメモリやＲＯＭ（Read Only Memory）等の記憶装置により構成される。メモリ２０には、上述した制御プログラムに加えて、ＶＰＮ設定情報格納部２０ａが記憶されている。ＶＰＮ設定情報格納部２０ａには、後述するＶＰＮ設定情報設定処理により、ＶＰＮ設定情報が格納される。

図３は、図１に示すネットワーク装置２００の詳細構成を示すブロック図である。ネットワーク装置２００は、いわゆる無線ルータ装置であり、ルータ装置として機能すると共に無線ＬＡＮアクセスポイント装置としても機能する。ネットワーク装置２００は、有線ＬＡＮ通信制御部２３０と、無線ＬＡＮ通信制御部２４０と、ＣＰＵ２１０と、メモリ２２０とを備えている。これらの各機能部（有線ＬＡＮ通信制御部２３０、無線ＬＡＮ通信制御部２４０、ＣＰＵ２１０、メモリ２２０）は、いずれも内部バス２６０に接続されており、互いに通信可能に構成されている。

有線ＬＡＮ通信制御部２３０は、図示しないモデムと接続するためのインターフェイスとして、有線ＬＡＮインターフェイスを備えている。有線ＬＡＮインターフェイスとしては、例えば、ＩＥＥＥ（Institute of Electrical and Electronics Engineers）８０２．３において規格化された各種インターフェイスを採用することができる。

無線ＬＡＮ通信制御部２４０は、変調器やアンプ、アンテナを含み、例えばＩＥＥＥ８０２．１１ａ／ｂ／ｇ／ｎに準拠した無線ＬＡＮのアクセスポイントとして、無線ＬＡＮクライアント（例えば、通信端末１００）と無線通信を行う。

ＣＰＵ２１０は、メモリ２２０に記憶されている制御プログラムを実行することにより、パケット中継部２１０ａ、ＶＰＮサーバ機能部２１０ｂ、端末認証情報生成部２１０ｃ、ＶＰＮ設定情報送信部２１０ｄ、通信実行部２１０ｅとして、機能する。

パケット中継部２１０ａは、有線ＬＡＮ通信制御部２３０または無線ＬＡＮ通信制御部２４０から受信したフレームを、ＯＳＩ（Open Systems Interconnection）参照モデルにおけるレイヤ２または３において中継する。また、パケット中継部２１０ａは、ＶＰＮサーバ機能部２１０ｂから受け取ったパケットの宛先に応じて、宛先の書き換えやフレームへの変換を行って、有線ＬＡＮ通信制御部２３０または無線ＬＡＮ通信制御部２４０に出力する。

ＶＰＮサーバ機能部２１０ｂは、ＶＰＮを実現するための所定のプロトコル（ＩＰＳｅｃ）を実行し、対向するＶＰＮサーバとの間でＶＰＮ（ＶＰＮトンネル）を確立するための処理や、ＶＰＮ確立後における通信データのカプセル化処理や暗号化及び復号処理を実行する。ＶＰＮサーバ機能部２１０ｂは、通信実行部２１０ｅから通信データ（パケット）を受け取ると、ＶＰＮ用のヘッダを付加して暗号化して接続部１０ａに渡す。また、ＶＰＮサーバ機能部２１０ｂは、パケット中継部２１０ａから通信データ（パケット）を受け取ると、復号処理を実行すると共に、ＶＰＮ用のヘッダを取り除き通信実行部２１０ｅに渡す。

端末認証情報生成部２１０ｃは、後述するＶＰＮ設定情報設定処理において、端末認証情報を生成する。ＶＰＮ設定情報送信部２１０ｄは、後述するＶＰＮ設定情報設定処理において、ＶＰＮ設定情報を通信端末１００に送信する。通信実行部２１０ｅは、図２に示す通信端末１００の通話制御部１０ｅと同様の構成であるので、説明を省略する。

メモリ２２０は、フラッシュメモリやＲＯＭ等の記憶装置により構成される。メモリ２２０には、上述した制御プログラムに加えて、経路選択テーブル格納部２２１と、ＶＰＮ設定情報格納部２２２とが記憶されている。経路選択テーブル格納部２２１は、パケット中継部２１０ａにおいてパケットまたはフレームの中継経路を選択する際に参照される各種テーブル（ＭＡＣ（Media Access Control）テーブルや、ルーティングテーブル）が記憶されている。

ＶＰＮ設定情報格納部２２２には、ＶＰＮ設定情報（ＶＰＮ接続情報および端末認証情報）が記憶されている。なお、初期状態においては、ＶＰＮ接続情報はＶＰＮ設定情報格納部２２２に格納されていない。ＶＰＮ設定情報格納部２２２において、端末認証情報は、各端末の識別情報と対応付けて格納されている。本実施形態では、各端末の識別情報として、各端末のＭＡＣ（Media Access Control）アドレスが用いられる。

以上の構成を有するネットワークシステム５００において、通信端末１００が自宅ＨＭにおいてサーバＳＶ１と通信する場合、通信端末１００は、自宅ＨＭに設置されているネットワーク装置２００を介してインターネットＩＮＴに接続する。したがって、この場合、第三者によって通信データが盗聴される可能性は低い。これに対して、通信端末１００がホットスポットＨＳにおいてサーバＳＶ１と通信する場合、公衆無線ＬＡＮ４００におけるセキュリティレベルが低い場合（例えば、公衆無線ＬＡＮ４００において暗号化を行わない場合や、暗号化方式が脆弱なＷＥＰ（Wired Equivalent Privacy）である場合）、公衆無線ＬＡＮ４００において通信データが盗聴されるおそれがある。そこで、ネットワークシステム５００では、後述するＶＰＮ設定情報設定処理および通信処理を実行することにより、簡易に、かつ、高いセキュリティレベルを確保しつつ、通信端末１００を、インターネットＩＮＴに接続させて、サーバＳＶ１と通信させることができる。

Ａ２．ＶＰＮ設定情報設定処理：
図４は、第１実施形態におけるＶＰＮ設定情報設定処理の手順を示すフローチャートである。通信端末１００が自宅ＨＭに配置され、通信端末１００（無線ＬＡＮクライアント）とネットワーク装置２００（無線ＬＡＮアクセスポイント）との間で無線接続が確立されると、ネットワーク装置２００において、ＶＰＮ設定情報設定処理が実行される。

ネットワーク装置２００のＶＰＮサーバ機能部２１０ｂは、ＶＰＮ設定情報格納部２２２に格納されているＶＰＮ設定情報を参照して、無線接続された無線ＬＡＮクライアント（通信端末１００）について、既に端末認証情報が設定済みであるか否かを判定する（ステップＳ１０５）。上述したように、ＶＰＮ設定情報格納部２２２には、各ＶＰＮクライアントのＭＡＣアドレスと端末認証情報とが対応付けて記憶されているため、ＶＰＮサーバ機能部２１０ｂは、通信端末１００のＭＡＣアドレスおよび端末認証情報がＶＰＮ設定情報格納部２２２に既に格納されている場合には、通信端末１００について端末認証情報が設定済みであると判定できる。

無線接続された無線ＬＡＮクライアントについて、既に端末認証情報が設定済みであると判定されると（ステップＳ１０５：ＹＥＳ）、ＶＰＮ設定情報設定処理は終了する。これに対して、無線接続された無線ＬＡＮクライアントについて、端末認証情報が設定されていないと判定されると（ステップＳ１０５：ＮＯ）、ＶＰＮサーバ機能部２１０ｂは、ＶＰＮ設定情報格納部２２２を参照して、ＶＰＮ接続情報は生成済みであるか否かを判定する（ステップＳ１１０）。

例えば、ネットワーク装置２００にいずれかの無線ＬＡＮクライアントが初めて無線接続した場合には、ＶＰＮ接続情報は生成されていない。この場合、前述のステップＳ１１０において、ＶＰＮ接続情報は生成済みではないと判定される。このように、ＶＰＮ接続情報は生成済みではないと判定されると（ステップＳ１１０：ＮＯ）、ＶＰＮサーバ機能部２１０ｂは、ＤＤＮＳ情報登録処理を実行する（ステップＳ１１５）。ＤＤＮＳ情報登録処理とは、ＶＰＮサーバのサーバ名称と、かかるサーバ名称に対応するグローバルＩＰアドレスとを、ＤＤＮＳサーバ３００に登録する処理を意味する。ＶＰＮサーバは、ネットワーク装置２００では、ＶＰＮサーバ機能部２１０ｂにより実現される。

図５は、第１実施形態におけるＤＤＮＳ情報登録処理の詳細手順を示すフローチャートである。ＶＰＮサーバ機能部２１０ｂは、ＶＰＮ設定情報格納部２２２を参照して、ＶＰＮサーバのサーバ名称が設定済みであるか否かを判定する（ステップＳ２０５）。ＶＰＮサーバのサーバ名称は、ユーザ（管理者）が手動でＶＰＮ設定情報格納部２２２に格納することができ、この場合、ＶＰＮ接続情報のうちサーバ名称のみは設定済みである（生成済みである）と判定される。前述のステップＳ２０５において、サーバ名称が設定済みでないと判定されると（ステップＳ２０５：ＮＯ）、ＶＰＮサーバ機能部２１０ｂは、サーバ名称を生成する（ステップＳ２１０）。サーバ名称の生成方法としては、例えば、ネットワーク装置２００の有線ＬＡＮ通信制御部２３０のＭＡＣアドレスや、無線ＬＡＮ通信制御部２４０のＭＡＣアドレスをベースとして生成する方法を採用できる。また、例えば、数字や文字から成るランダムな文字列を自動的に生成し、かかる文字列をサーバ名称として用いることもできる。

前述のステップＳ２１０が実行された後、または、前述のステップＳ２０５においてサーバ名称が設定済みであると判定されると（ステップＳ２０５：ＹＥＳ）、ＶＰＮサーバ機能部２１０ｂは、ＶＰＮサーバのサーバ名称と、ＶＰＮサーバ用のグローバルＩＰアドレスとを、インターネットＩＮＴを介してＤＤＮＳサーバ３００に通知して（ステップＳ２１５）、ＤＤＮＳ情報登録処理は終了する。なお、ＤＤＮＳサーバ３００のＩＰアドレスについては、予めユーザによりネットワーク装置２００に設定されている。

ＤＤＮＳサーバ３００では、ネットワーク装置２００から通知されたサーバ名称（ＦＱＤＮ）とグローバルＩＰアドレスとを、ＤＮＳデータベースに追加する。これにより、ＤＤＮＳサーバ３００は、ＶＰＮサーバのサーバ名称に基づき、ＶＰＮサーバに割り当てられたグローバルＩＰアドレスを特定することができる。

図４に示すように、ＤＤＮＳ情報登録処理（ステップＳ１１５）が完了すると、ＶＰＮサーバ機能部２１０ｂは、ＶＰＮ接続情報の生成および登録（ＶＰＮ設定情報格納部２２２への格納））を行う（ステップＳ１２０）。具体的には、ステップＳ１１５においてＤＤＮＳサーバに登録されたサーバ名称や、予めユーザによって設定されたＶＰＮの種類、ＶＰＮ用のポート番号、ＶＰＮにおける暗号化方式および認証方式等の各種情報を集めて、ＶＰＮ接続情報として、ＶＰＮ設定情報格納部２２２に格納する（ステップＳ１２０）。

上述のステップＳ１２０が実行された後、または、前述のステップＳ１１０において、ＶＰＮ接続情報は生成済みであると判定された場合（ステップＳ１１０：ＹＥＳ）、ＶＰＮサーバ機能部２１０ｂは、端末認証情報の生成および登録（ＶＰＮ設定情報格納部２２２への格納））を行う（ステップＳ１２５）。ユーザ名およびパスワードを生成する方法としては、例えば、サーバ名称の生成方法と同様に、通信端末１００の無線ＬＡＮ通信制御部４２のＭＡＣアドレスをベースとして生成する方法や、ランダムな文字列を自動的に生成する方法を採用することができる。また、例えば、予めユーザ（管理者）によって設定された値を用いてもよい。

ＶＰＮサーバ機能部２１０ｂは、通信実行部２１０ｅ、パケット中継部２１０ａおよび無線ＬＡＮ通信制御部２４０を介して、無線ＬＡＮクライアント（通信端末１００）に、ＶＰＮ接続情報および端末認証情報を送信して（ステップＳ１３０）、ＶＰＮ設定情報設定処理は終了する。通信端末１００のＶＰＮ設定情報受信部１０ｆは、無線ＬＡＮ通信制御部４２および通信実行部１０ｃを介して、ネットワーク装置２００から送信されたＶＰＮ接続情報および端末認証情報（すなわち、ＶＰＮ設定情報）を、ＶＰＮ設定情報格納部２０ａに格納する。

以上のＶＰＮ設定情報設定処理が実行され、通信端末１００のＶＰＮ設定情報格納部２０ａにＶＰＮ設定情報が格納された後において、通信端末１００では、アプリケーションによりインターネットＩＮＴに接続されている装置（例えば、サーバＳＶ１）との通信要求が発生すると、後述する通信処理が実行される。

Ａ３．通信処理：
図６は、第１実施形態における通信処理の手順を示すフローチャートである。通信端末１００の接続部１０ａは、ネットワーク装置２００以外の他の無線ＬＡＮアクセスポイントを検出したか否かを判定し（ステップＳ３０５）、他の無線ＬＡＮアクセスポイントを検出しない場合には前述のステップＳ３０５を再度実行する。他の無線ＬＡＮアクセスポイントの検出は、無線ＬＡＮアクセスポイントから出力されるビーコンの受信し、かつ、ビーコンに含まれるＥＳＳＩＤ（Extended Service Set Identifier）がネットワーク装置２００のＥＳＳＩＤと異なることを特定することにより検出できる。

前述のステップＳ３０５において、ネットワーク装置２００以外の他の無線ＬＡＮアクセスポイントを検出した場合には（ステップＳ３０５：ＹＥＳ）、接続部１０ａは、検出した無線ＬＡＮアクセスポイントとの間における無線接続の確立処理を実行し（ステップＳ３１０）、無線接続の確立が完了したか否かを判定する（ステップＳ３１５）。例えば、ユーザが通信端末１００を自宅ＨＭからホットスポットＨＳに移動させた場合、通信端末１００の接続部１０ａは、ネットワーク装置２００以外の他の無線ＬＡＮアクセスポイント（無線ＬＡＮアクセスポイントａ１）を検出することになる。この場合、接続部１０ａは、無線ＬＡＮアクセスポイントａ１との間の無線接続を確立する。

前述のステップＳ３１５において、無線接続の確立が完了しないと判定された場合（ステップＳ３１５：ＮＯ）、接続部１０ａは、前述のステップＳ３１０を継続して実行する。

これに対して、前述のステップＳ３１５において、無線接続の確立が完了したと判定された場合（ステップＳ３１５：ＹＥＳ）、ＶＰＮクライアント機能部１０ｂは、ＶＰＮ設定情報格納部２０ａに格納されているＶＰＮ設定情報を参照してＶＰＮサーバのサーバ名称を特定し、かかるサーバ名称に基づきＤＤＮＳサーバ３００を利用したＶＰＮサーバのアドレス解決を実行する（ステップＳ３２０）。上述したように、ＤＤＮＳサーバ３００には、ＶＰＮサーバのサーバ名称（ＦＱＤＮ）と、ＶＰＮサーバのグローバルＩＰアドレスとが対応付けて記憶されている。したがって、ＶＰＮクライアント機能部１０ｂは、ＶＰＮサーバのサーバ名称を指定して問い合わせることにより、ＤＤＮＳサーバ３００からＶＰＮサーバのグローバルＩＰアドレスを取得することができる。

ＶＰＮクライアント機能部１０ｂは、ステップＳ３２０において取得したＶＰＮサーバのグローバルＩＰアドレスを利用して、ＶＰＮサーバ（ネットワーク装置２００のＶＰＮサーバ機能部２１０ｂ）との間で接続を行い、暗号化通信を行うための情報を交換する（ステップＳ３２５）。この処理は、例えば、ＩＫＥ（Internet Key Exchange）のフェーズ１の処理に相当する。

ＶＰＮクライアント機能部１０ｂは、ＶＰＮサーバとの間で、端末認証処理を実行する（ステップＳ３３０）。具体的には、ＶＰＮクライアント機能部１０ｂは、ＶＰＮ設定情報を参照して、設定されている認証方式に応じた認証情報（ユーザ名およびパスワードや、クライアント証明書）をＶＰＮサーバに送信する。

ＶＰＮクライアント機能部１０ｂは、ネットワーク装置２００のＶＰＮサーバ機能部２１０ｂとの間において、ＶＰＮ９００を確立する（ステップＳ３３５）。上述したステップＳ３３０およびＳ３３５は、ＩＫＥのフェーズ２の処理に相当する。

前述のステップＳ３３５が実行され、ＶＰＮが確立すると、通信実行部１０ｃは、ＶＰＮ９００を利用して、通信相手（サーバＳＶ１）と通信を実行する（ステップＳ３４０）。図１に示すように、ＶＰＮ９００は、通信端末１００（ＶＰＮクライアント機能部１０ｂ）と、ネットワーク装置２００（ＶＰＮサーバ機能部２１０ｂ）との間に形成される。したがって、通信端末１００から送信されたデータは、ＶＰＮ９００を通ってネットワーク装置２００のＶＰＮサーバ機能部２１０ｂにおいて受信される。その後、ネットワーク装置２００のパケット中継部２１０ａにおいて、中継経路として、有線ＬＡＮ通信制御部２３０から出力される経路が決定され、通信端末１００から出力された送信データは、有線ＬＡＮ通信制御部２３０および図示しないモデムおよびアクセスネットワークを介してインターネットＩＮＴに出力され、サーバＳＶ１に届く。

ここで、ＶＰＮ（ＩＰＳｅｃ）において用いられる暗号化方式は、例えば、公開鍵暗号化方式であり、高いセキュリティレベルを確保可能な方式である。したがって、公衆無線ＬＡＮ４００において暗号化を行わない場合や、公衆無線ＬＡＮ４００における暗号化方式が脆弱なＷＥＰであったとしても、通信端末１００とサーバＳＶ１との間の通信において、高セキュリティレベルを確保することができる。

以上説明した第１実施形態のネットワークシステム５００では、通信処理を実行することにより、通信端末１００とネットワーク装置２００との間にＶＰＮ９００を確立し、かかるＶＰＮ９００を介して、通信端末１００とサーバＳＶ１との間の通信を実現する。したがって、公衆無線ＬＡＮ４００において暗号化を行わない場合や、公衆無線ＬＡＮ４００における暗号化方式が比較的脆弱な方式であっても、通信端末１００とサーバＳＶ１との間の通信において、高いセキュリティレベルを確保することができる。加えて、ネットワークシステム５００では、通信端末１００が自宅ＨＭに配置されて通信端末１００とネットワーク装置２００との間で無線接続が確立されると、ＶＰＮ設定情報設定処理が実行され、通信端末１００およびネットワーク装置２００にそれぞれＶＰＮ設定情報が自動的に設定される。したがって、ユーザは、通信端末１００およびネットワーク装置２００に、それぞれＶＰＮ設定情報を手作業で設定することを要しない。このように、ネットワークシステム５００によると、簡易に、かつ、高いセキュリティレベルを確保しながら、通信端末１００を、インターネットＩＮＴに接続させることができる。

Ｂ．第２実施形態：
図７は、第２実施形態の通信処理の手順を示すフローチャートである。第２実施形態のネットワークシステム５００は、通信処理において、ステップＳ３１７およびＳ３４５を追加して実行する点において、第１実施形態のネットワークシステム５００と異なり、通信処理の他の手順、ＶＰＮ設定情報設定処理の各手順およびシステム構成は、第１実施形態のネットワークシステム５００と同じである。

第２実施形態のネットワークシステムでは、無線ＬＡＮアクセスポイントａ１（公衆無線ＬＡＮ４００）において暗号化処理が実行され、かかる暗号化処理において採用される方式がＷＥＰ以外の方式の場合には、ＶＰＮ９００を利用しないで通信を行う。

具体的には、図７に示すように、ステップＳ３１５において、無線接続の確立が完了したと判定されると（ステップＳ３１５：ＹＥＳ）、ＶＰＮクライアント機能部１０ｂは、接続部１０ａを制御して、無線ＬＡＮアクセスポイントにおける暗号化方式が無し（暗号化を行わない）またはＷＥＰであるか否かを判定する（ステップＳ３１７）。無線ＬＡＮアクセスポイントにおける暗号化の有無および暗号化方式は、ステップＳ３０５において受信するビーコンに含まれる情報により特定できる。

前述のステップＳ３１７において、無線ＬＡＮアクセスポイントにおける暗号化方式が無しまたはＷＥＰであると判定された場合（ステップＳ３１７：ＹＥＳ）、上述したステップＳ３２０からステップＳ３４０までの各処理が実行される。したがって、例えば、通信端末１００がホットスポットＨＳにおいてサーバＳＶ１と通信する場合、上述した第１実施形態と同様に、通信端末１００は、ＶＰＮ９００、ネットワーク装置２００、インターネットＩＮＴを介してサーバＳＶ１と通信を行う。

これに対して、ステップＳ３１７において、無線ＬＡＮアクセスポイントにおける暗号化方式がＷＥＰ以外の方式であると判定された場合（ステップＳ３１７：ＮＯ）、通信実行部１０ｃは、ＶＰＮ９００を利用しないで、通信相手（例えば、サーバＳＶ１）と通信を実行する（ステップＳ３４５）。ステップＳ３４５では、例えば、通信端末１００がホットスポットＨＳにおいてサーバＳＶ１と通信する場合、通信端末１００は、ＶＰＮ９００を介さずに、ホットスポットＨＳ（無線ＬＡＮアクセスポイントａ１およびルータ装置ｒ１）と、インターネットＩＮＴとを介してサーバＳＶ１と通信を行う。

以上の構成を有する第２実施形態のネットワークシステム５００は、第１実施形態のネットワークシステム５００と同様の効果を有する。加えて、公衆無線ＬＡＮに用いられる無線ＬＡＮアクセスポイントにおいて、ＷＥＰを除く他の暗号化方式により暗号化が実行される場合には、ＶＰＮ９００の確立およびＶＰＮ９００を介した通信は行われないので、ＶＰＮ９００の確立のための処理や、ソフトウェアによって実現される暗号化処理および復号処理を省略できる。このため、かかる通信におけるレイテンシーの増大やスループットの低減を抑制できる。

Ｃ．第３実施形態：
図８は、第３実施形態における通信端末１００ａの詳細構成を示すブロック図である。図９は、第３実施形態における通信処理の手順を示すフローチャートである。第３実施形態のネットワークシステムは、通信端末１００ａのメモリ２０が事業者リスト格納部２０ｂを備えている点と、通信処理において、ステップＳ３１８およびＳ３４５を追加して実行する点において、第１実施形態のネットワークシステム５００と異なり、通信端末１００ａにおける他の構成、ネットワーク装置２００の構成、通信処理の他の手順およびＶＰＮ設定情報設定処理の各手順は、第１実施形態のネットワークシステム５００と同じである。

第３実施形態のネットワークシステムでは、無線ＬＡＮアクセスポイントａ１（公衆無線ＬＡＮ４００）が所定の事業者により提供されている場合には、ＶＰＮ９００を利用して通信を行い、他の事業者により提供されている場合いは、ＶＰＮ９００を利用しないで通信を行う。所定の事業者とは、公衆無線ＬＡＮにおいて暗号化を行わない事業者または公衆無線ＬＡＮにおける暗号化方式がＷＥＰである事業者を意味する。

図８に示す事業者リスト格納部２０ｂには、予め事業者リストが格納されている。本実施例において、事業者リストには、公衆無線ＬＡＮにおいて暗号化を行わない事業者または公衆無線ＬＡＮにおける暗号化方式がＷＥＰである事業者が提供する無線ＬＡＮアクセスポイントのＥＳＳＩＤの一覧が設定されている。この一覧は、予めユーザ（管理者）によって、事業者リスト格納部２０ｂに格納されている。

図９に示すように、ステップＳ３１５において、無線接続の確立が完了したと判定されると（ステップＳ３１５：ＹＥＳ）、ＶＰＮクライアント機能部１０ｂは、事業者リスト格納部２０ｂを参照して、ステップＳ３０５で取得したＥＳＳＩＤに基づき、検出された無線ＬＡＮアクセスポイントが所定の事業者により提供された無線ＬＡＮアクセスポイントであるか否かを判定する（ステップＳ３１８）。

検出された無線ＬＡＮアクセスポイントが所定の事業者により提供された無線ＬＡＮアクセスポイントであると判定された場合（ステップＳ３１８：ＹＥＳ）、上述したステップＳ３２０からステップＳ３４０までの各処理が実行される。したがって、例えば、通信端末１００がホットスポットＨＳにおいてサーバＳＶ１と通信する場合、上述した第１実施形態と同様に、通信端末１００は、ＶＰＮ９００、ネットワーク装置２００、インターネットＩＮＴを介してサーバＳＶ１と通信を行う。

これに対して、ステップＳ３１８において、検出された無線ＬＡＮアクセスポイントが所定の事業者により提供された無線ＬＡＮアクセスポイントではないと判定された場合（ステップＳ３１８：ＮＯ）、通信実行部１０ｃは、ＶＰＮ９００を利用しないで、通信相手（例えば、サーバＳＶ１）と通信を実行する（ステップＳ３４５）。このステップＳ３４５は、図７に示す第２実施形態の通信処理におけるステップＳ３４５と同じであるため、説明を省略する。

以上の構成を有する第２実施形態のネットワークシステム５００は、第１実施形態のネットワークシステム５００と同様の効果を有する。加えて、検出された無線ＬＡＮアクセスポイントが所定の事業者により提供された無線ＬＡＮアクセスポイントではない場合、つまり、公衆無線ＬＡＮ４００（無線ＬＡＮアクセスポイントａ１）において、ＷＥＰを除く他の暗号化方式により暗号化が実行される場合には、ＶＰＮ９００の確立およびＶＰＮ９００を介した通信は行われないので、かかる通信におけるレイテンシーの増大やスループットの低減を抑制できる。

Ｄ．第４実施形態：
図１０は、第４実施形態におけるネットワークシステムの構成を示す説明図である。ネットワークシステム５００ａは、通信端末１００ｂと、ネットワーク装置２００ａとを備えている。通信端末１００ｂは、接続部１１１と、ＶＰＮクライアント機能部１１２と、通信実行部１１３とを備えている。接続部１１１と、ＶＰＮクライアント機能部１１２と、通信実行部１１３とは、通信端末１００ｂが備えるメモリに記憶されている制御プログラムを、通信端末１００ｂが備えるＣＰＵが実行することにより実現される。

ネットワーク装置２００ａは、外部ネットワーク８００に接続されており、ＶＰＮサーバとして動作し得る。外部ネットワーク８００とは、上述した第１〜３実施形態におけるインターネットＩＮＴや、広域イーサネット（「イーサネット」は登録商標）や、専用線や、ＬＡＮなど、通信端末１００ｂと他の装置８０１とを接続し得る任意のネットワークを意味する。通信端末１００ｂは、ネットワーク装置２００ａと通信可能である。

接続部１１１は、通信端末１００ｂを外部ネットワーク８００に接続するために用いられる。ＶＰＮクライアント機能部１１２は、接続部１１１により通信端末１００ｂが外部ネットワーク８００に接続されると、ＶＰＮ９００ａを、通信端末１００ｂとネットワーク装置２００ａとの間に確立する処理を実行する。通信実行部１１３は、ＶＰＮ９００ａおよびネットワーク装置２００ａを介して、ネットワーク装置２００ａとは異なる外部ネットワーク８００に接続されている他の装置８０１と通信を行う。なお、装置８０１を、上述した第１〜３実施形態におけるサーバＳＶ１と同様に、サーバにより構成してもよい。また、例えば、装置８０１を、通信端末１００ｂと同様な通信端末により構成してもよい。

上述した第４実施形態のネットワークシステム５００ａによれば、通信端末１００ｂのＶＰＮクライアント機能部１１２は、通信端末１００ｂが外部ネットワーク８００に接続されると、通信端末１００ｂとネットワーク装置２００ａとの間にＶＰＮ９００ａを確立するので、ＶＰＮ９００ａを確立するためのユーザの作業を省略できる。加えて、通信端末１００ｂの通信実行部１１３は、ＶＰＮ９００ａおよびネットワーク装置２００ａを介して、ネットワーク装置２００ａとは異なる外部ネットワーク８００に接続されている他の装置８０１と通信を行うので、通信端末１００ｂが外部ネットワーク８００に接続する際に暗号化が行われない又は暗号化方式が脆弱な（セキュリティレベルの低い）方式であっても、高いセキュリティレベルを確保しつつ通信端末１００ｂと他の装置８０１との通信を実現することができる。以上から、本形態のネットワークシステム５００ａによれば、簡易に、かつ、高いセキュリティレベルを確保しながら、通信端末１００ｂを外部ネットワーク８００に接続させることができる。

Ｅ．変形例：
Ｅ１．変形例１：
各実施形態では、ＶＰＮ設定情報設定処理において、無線ＬＡＮクライアントのＭＡＣアドレスに基づき、端末認証情報が設定済みであるか否かを判定していたが、本発明はこれに限定されるものではない。ネットワーク装置２００が、ＶＰＮ設定情報が設定済みであるか否かを問い合わせるパケットをブロードキャストし、各無線ＬＡＮクライアントから受信する回答に基づき、端末認証情報が設定済みであるか否かを判定する構成としてもよい。この構成では、各無線ＬＡＮクライアントは、ＶＰＮ設定情報が設定済みであるか否かを問い合わせるパケットを受信すると、自らにＶＰＮ設定情報が設定済みであるか否かを判定し、その判定結果をネットワーク装置２００にユニキャストする。また、この構成では、ＶＰＮ設定情報が設定済みでないとの回答が得られた場合に、図４に示すステップＳ１１０を実行し、ＶＰＮ設定情報が設定済みでないとの回答が得られない場合には、ＶＰＮ設定情報設定処理は終了する。また、図４に示すステップＳ１３０において、ＶＰＮ設定情報が設定済みでないとの回答を送信した無線ＬＡＮクライアントに対して、ＶＰＮ設定情報（ＶＰＮ接続情報および端末認証情報）をユニキャストする。

Ｅ２．変形例２：
各実施形態では、ＶＰＮ設定情報設定処理の一工程として、サーバ名称およびグローバルＩＰアドレスをＤＤＮＳサーバ３００に通知していたが、本発明はこれに限定されるものではない。ＶＰＮ設定情報設定処理（ＤＤＮＳ情報登録処理）の一工程として、サーバ名称およびグローバルＩＰアドレスをＤＤＮＳサーバ３００に通知することに加えて、定期的にサーバ名称およびグローバルＩＰアドレスをＤＤＮＳサーバ３００に通知する構成を採用してもよい。グローバルＩＰアドレスの変更が生じ得る場合、このような構成を採用することで、ＤＤＮＳサーバ３００における名前解決処理が正しく行われるようにできる。

また、各実施形態では、ＤＤＮＳサーバ３００を利用して、ＶＰＮサーバのサーバ名称のアドレス解決を実現していたが、ＤＤＮＳサーバ３００を省略すると共に、ＶＰＮサーバのサーバ名称のアドレス解決を省略してもよい。具体的には、ＶＰＮサーバのグローバルＩＰアドレスを固定的に割り当て、かかるＩＰアドレスを、ＶＰＮ設定情報設定処理において通信端末１００に通知する構成を採用することができる。この構成では、ＤＤＮＳサーバ３００を省略できるので、ネットワークシステムの構築コストを低減できる。

Ｅ３．変形例３：
ネットワーク装置２００から通信端末１００へのＶＰＮ設定情報の送信、および通信端末１００におけるＶＰＮ設定情報の受信は、ネットワーク装置２００と通信端末１００との間に形成された無線ＬＡＮを介して実行されていたが、本発明はこれに限定されるものではない。例えば、通信端末１００が有線ＬＡＮ通信制御部を備え、有線ＬＡＮを介して通信端末１００とネットワーク装置２００との間でＶＰＮ設定情報の送受信を行う構成を採用してもよい。また、例えば、通信端末１００およびネットワーク装置２００が、それぞれＵＳＢ（Universal Serial Bus）等の接続インターフェイスを備え、かかる接続インターフェイスにより互いに接続され、ＶＰＮ設定情報の送受信を行う構成を採用してもよい。

また、本発明は、通信端末１００とネットワーク装置２００との間でＶＰＮ設定情報を直接やりとりする構成に限定されるものではない。例えば、ネットワーク装置２００に接続されたパーソナルコンピュータの画面にＶＰＮ設定情報を示すコード（例えば、ＱＲコード（登録商標））を表示し、かかるコードを通信端末１００の撮像部５６で撮像することにより、通信端末１００においてＶＰＮ設定情報を取得する構成を採用してもよい。

Ｅ４．変形例４：
各実施形態では、ＶＰＮ設定情報設定処理の開始契機は、通信端末１００とネットワーク装置２００との間における無線接続の確立であったが、本発明は、これに限定されるものではない。例えば、ネットワーク装置２００にかかる契機を与えるためのスイッチ（例えば、押しボタン）を用意し、ユーザがかかるスイッチをオンすることをＶＰＮ設定情報設定処理の開始契機としてもよい。また、例えば、通信端末１００およびネットワーク装置２００がＮＦＣ（Near Field Communication）をサポートし、通信端末１００がネットワーク装置２００に接触または近接したことを、ＶＰＮ設定情報設定処理の開始契機としてもよい。

Ｅ５．変形例５：
各実施例では、ＶＰＮ接続情報のうち、ＶＰＮの種類、ＶＰＮ用のポート番号、ＶＰＮにおける暗号化方式および認証方式については、予めユーザ（管理者）によって設定されていたが、ユーザによる設定に代えて、工場出荷前に予めデフォルト値を設定しておいてもよい。また、かかるデフォルト値をユーザが変更可能としてもよい。なお、ユーザに対して現在の設定値でよいか否かを問い合わせるユーザインターフェイスを、通信端末１００またはネットワーク装置２００に用意してもよい。

Ｅ６．変形例６：
第２実施形態では、無線ＬＡＮアクセスポイントａ１（公衆無線ＬＡＮ４００）において暗号化処理が実行され、かかる暗号化処理において採用される方式がＷＥＰ以外の方式の場合には、ＶＰＮ９００を利用しないで通信が行われていた。また、第３実施形態では、無線ＬＡＮアクセスポイントａ１（公衆無線ＬＡＮ４００）が所定の事業者により提供されていない場合には、ＶＰＮ９００を利用しないで通信が行われていた。このようにＶＰＮ９００を利用しないで通信を行う条件は、第２実施形態および第３実施形態における条件に限定されるものではない。例えば、通信端末１００におけるバッテリーの残容量が所定値以下の場合に、ＶＰＮ９００を利用しないで通信を行う構成を採用してもよい。ＶＰＮ９００を利用して通信を行う場合、多くのソフトウェア処理を実行するために多くの電力を消費する。したがって、バッテリーの残容量が所定値以下の場合に、ＶＰＮ９００を利用しないで通信を行うことで、通信時間の短縮を抑制できる。

また、例えば、通信端末１００に、ＶＰＮ９００を利用しないで通信を行うことを明示するためのスイッチを設け、ユーザがかかるスイッチをオンした場合に、ＶＰＮ９００を利用しないで通信を行う構成を採用してもよい。ＶＰＮ９００を利用して通信を行う場合、多くのソフトウェア処理を実行するために通信におけるスループットの低下やレイテンシーの増加が発生し得る。したがって、上記のようなスイッチを設けることで、ユーザは、通信におけるセキュリティレベルの向上よりも、通信におけるスループットの低下の抑制やレイテンシーの増加の抑制を望む場合に、ＶＰＮ９００を利用しないで通信を行うことを選択することができる。なお、上述のスイッチとしては、例えば、押しボタンや、表示部３０に表示されるＧＵＩ（Graphical User Interface）として構成することができる。

Ｅ７．変形例７：
各実施形態では、通信端末１００として、携帯電話装置を採用したが、携帯電話装置に代えて、ノート型のパーソナルコンピュータや可搬型のルータ装置など、任意の可搬型の通信端末を採用してもよい。

Ｅ８．変形例８：
第１ないし第３実施形態では、自宅ＨＭ以外の場所において通信端末１００，１００ａがインターネットＩＮＴに接続する際に、無線ＬＡＮ４００を介してインターネットＩＮＴに接続されていたが、本発明は、これに限定されるものではない。例えば、公衆無線ＬＡＮ４００に代えて、公衆有線ＬＡＮや公衆無線回線を介してインターネットＩＮＴに接続される構成を採用してもよい。このような構成においても、簡易に、かつ、高いセキュリティレベルを確保しながら、通信端末１００を、インターネットＩＮＴに接続させることができる。なお、公衆無線回線としては、例えば、３Ｇ／ＨＳＰＡや、ＬＴＥや、Ｗｉｍａｘなどの規格に準拠した無線データ通信を実行する任意の回線を採用できる。

Ｅ９．変形例９：
第１ないし第３実施形態では、ネットワーク装置２００、ＤＤＮＳサーバ３００、サーバＳＶ１およびルータ装置ｒ１が接続されるネットワークは、インターネットＩＮＴであったが、インターネットＩＮＴに代えて、広域イーサネット（「イーサネット」は登録商標）や、専用線や、ＬＡＮなど、任意のネットワークを採用してもよい。

本発明は、上述の実施形態や実施例、変形例に限られるものではなく、その趣旨を逸脱しない範囲において種々の構成で実現することができる。例えば、発明の概要の欄に記載した各形態中の技術的特徴に対応する実施形態、変形例中の技術的特徴は、上述の課題の一部又は全部を解決するために、あるいは、上述の効果の一部又は全部を達成するために、適宜、差し替えや、組み合わせを行うことが可能である。また、その技術的特徴が本明細書中に必須なものとして説明されていなければ、適宜、削除することが可能である。

５００，５００ａ…ネットワークシステム
１０…ＣＰＵ
１０ａ…接続部
１０ｂ…ＶＰＮクライアント機能部
１０ｃ…通信実行部
１０ｄ…表示制御部
１０ｅ…通話制御部
１０ｆ…ＶＰＮ設定情報受信部
２０…メモリ
２０ａ…ＶＰＮ設定情報格納部
２０ｂ…事業者リスト格納部
３０…表示部
４２…無線ＬＡＮ通信制御部
４４…移動体通信制御部
５２…音声入出力部
５４…操作部
５６…撮像部
６０…内部バス
１００，１００ａ，１００ｂ…通信端末
１１１…接続部
１１２…ＶＰＮクライアント機能部
１１３…通信実行部
２００，２００ａ…ネットワーク装置
２１０…ＣＰＵ
２１０ａ…パケット中継部
２１０ｂ…ＶＰＮサーバ機能部
２１０ｃ…端末認証情報生成部
２１０ｄ…ＶＰＮ設定情報送信部
２１０ｅ…通信実行部
２２０…メモリ
２２１…経路選択テーブル格納部
２２２…ＶＰＮ設定情報格納部
２３０…有線ＬＡＮ通信制御部
２４０…無線ＬＡＮ通信制御部
２６０…内部バス
３００…ＤＤＮＳサーバ
４００…公衆無線ＬＡＮ
４００ａ…アクセスネットワーク
８００…外部ネットワーク
８０１…装置
９００，９００ａ…ＶＰＮ
ａ１…無線ＬＡＮアクセスポイント
ｒ１…ルータ装置
ＨＭ…自宅
ＨＳ…ホットスポット
ＳＶ１…サーバ
ＩＮＴ…インターネット

Ａ．第１実施形態：
Ａ１．システム構成：
図１は、本発明の一実施形態としてのネットワークシステムの概略構成を示す説明図である。ネットワークシステム５００は、通信端末１００と、ネットワーク装置２００と、ＤＤＮＳ（Dynamic Domain Name Service）サーバ３００とを備えている。ネットワークシステム５００は、通信端末１００を、自宅ＨＭおよびホットスポットＨＳ（「ホットスポット」は登録商標）からそれぞれインターネットＩＮＴに接続されている装置（例えば、サーバＳＶ１）と通信させることができる。

ＶＰＮサーバ機能部２１０ｂは、ＶＰＮを実現するための所定のプロトコル（ＩＰＳｅｃ）を実行し、対向するＶＰＮサーバとの間でＶＰＮ（ＶＰＮトンネル）を確立するための処理や、ＶＰＮ確立後における通信データのカプセル化処理や暗号化及び復号処理を実行する。ＶＰＮサーバ機能部２１０ｂは、通信実行部２１０ｅから通信データ（パケット）を受け取ると、ＶＰＮ用のヘッダを付加して暗号化してパケット中継部２１０ａに渡す。また、ＶＰＮサーバ機能部２１０ｂは、パケット中継部２１０ａから通信データ（パケット）を受け取ると、復号処理を実行すると共に、ＶＰＮ用のヘッダを取り除き通信実行部２１０ｅに渡す。

上述のステップＳ１２０が実行された後、または、前述のステップＳ１１０において、ＶＰＮ接続情報は生成済みであると判定された場合（ステップＳ１１０：ＹＥＳ）、端末認証情報生成部２１０ｃは、端末認証情報の生成および登録（ＶＰＮ設定情報格納部２２２への格納）を行う（ステップＳ１２５）。ユーザ名およびパスワードを生成する方法としては、例えば、サーバ名称の生成方法と同様に、通信端末１００の無線ＬＡＮ通信制御部４２のＭＡＣアドレスをベースとして生成する方法や、ランダムな文字列を自動的に生成する方法を採用することができる。また、例えば、予めユーザ（管理者）によって設定された値を用いてもよい。

ＶＰＮ設定情報送信部２１０ｄは、通信実行部２１０ｅ、パケット中継部２１０ａおよび無線ＬＡＮ通信制御部２４０を介して、無線ＬＡＮクライアント（通信端末１００）に、ＶＰＮ接続情報および端末認証情報を送信して（ステップＳ１３０）、ＶＰＮ設定情報設定処理は終了する。通信端末１００のＶＰＮ設定情報受信部１０ｆは、無線ＬＡＮ通信制御部４２および通信実行部１０ｃを介して、ネットワーク装置２００から送信されたＶＰＮ接続情報および端末認証情報（すなわち、ＶＰＮ設定情報）を、ＶＰＮ設定情報格納部２０ａに格納する。

図９に示すように、ステップＳ３１５において、無線接続の確立が完了したと判定されると（ステップＳ３１５：ＹＥＳ）、ＶＰＮクライアント機能部１０ｂは、事業者リスト格納部２０ｂに格納されている事業者リストを参照して、ステップＳ３０５で取得したＥＳＳＩＤに基づき、検出された無線ＬＡＮアクセスポイントが所定の事業者により提供された無線ＬＡＮアクセスポイントであるか否かを判定する（ステップＳ３１８）。

以上の構成を有する第３実施形態のネットワークシステム５００は、第１実施形態のネットワークシステム５００と同様の効果を有する。加えて、検出された無線ＬＡＮアクセスポイントが所定の事業者により提供された無線ＬＡＮアクセスポイントではない場合、つまり、公衆無線ＬＡＮ４００（無線ＬＡＮアクセスポイントａ１）において、ＷＥＰを除く他の暗号化方式により暗号化が実行される場合には、ＶＰＮ９００の確立およびＶＰＮ９００を介した通信は行われないので、かかる通信におけるレイテンシーの増大やスループットの低減を抑制できる。

Claims (11)

1. ネットワークシステムであって、
   外部ネットワークに接続されており、仮想プライベートネットワーク（ＶＰＮ）サーバとして動作し得るネットワーク装置と、
   前記外部ネットワークを介して前記ネットワーク装置と通信可能な通信端末と、
   を備え、
   前記通信端末は、
   前記外部ネットワークに接続するための接続部と、
   前記接続部により前記通信端末が前記外部ネットワークに接続されると、仮想プライベートネットワークを、前記通信端末と前記ネットワーク装置との間に確立する処理を実行するＶＰＮクライアント機能部と、
   前記仮想プライベートネットワークおよび前記ネットワーク装置を介して、前記ネットワーク装置とは異なる前記外部ネットワークに接続されている他の装置と通信を行う通信実行部と、
   を有する、ネットワークシステム。
2. 請求項１に記載のネットワークシステムにおいて、
   前記ネットワーク装置は、さらに
   前記通信端末との間で、無線通信を実行する無線通信部と、
   前記無線通信が実行可能になると、前記仮想プライベートネットワークの確立のために用いられるＶＰＮ設定情報を、前記通信端末に送信するＶＰＮ設定情報送信部と、
   を有し、
   前記通信端末は、さらに、前記ＶＰＮ設定情報を受信するＶＰＮ設定情報受信部を有する、ネットワークシステム。
3. 請求項２に記載のネットワークシステムにおいて、
   前記ネットワーク装置は、前記通信端末が前記仮想プライベートネットワークを介した通信を許可された装置であるか否かの認証を実行し、
   前記ＶＰＮ設定情報は、前記認証において用いられる端末認証情報を含み、
   前記ネットワーク装置は、さらに、前記無線通信が実行可能になると前記端末認証情報を生成する端末認証情報生成部を有する、ネットワークシステム。
4. 請求項１から請求項３までのいずれか一項に記載のネットワークシステムにおいて、
   前記接続部は、公衆無線ＬＡＮと、公衆有線ＬＡＮと、公衆無線回線とのうち、いずれかを介して前記通信端末を前記外部ネットワークに接続する、ネットワークシステム。
5. 請求項４に記載のネットワークシステムにおいて、
   前記接続部は、公衆無線ＬＡＮを介して前記通信端末を前記外部ネットワークに接続し、
   前記通信端末は、さらに、前記公衆無線ＬＡＮに用いられている無線ＬＡＮアクセスポイントにおける暗号化方式に関する所定の条件が満たされたか否かを判定する判定部を有し、
   前記ＶＰＮクライアント機能部は、前記接続部により前記通信端末が前記外部ネットワークに接続され、かつ、前記判定部により前記所定の条件が満たされたと判定された場合に、前記仮想プライベートネットワークを確立する処理を実行する、ネットワークシステム。
6. 請求項５に記載のネットワークシステムにおいて、
   前記所定の条件は、
   前記無線ＬＡＮアクセスポイントにおける暗号化方式が所定の暗号化方式である、との条件と、
   前記無線ＬＡＮアクセスポイントにおいて暗号化を行わない、との条件と、
   前記無線ＬＡＮアクセスポイントが所定の事業者の無線ＬＡＮアクセスポイントである、との条件と、
   のうち、いずれかを含む、ネットワークシステム。
7. 請求項６に記載のネットワークシステムにおいて、
   前記所定の暗号化方式は、ＷＥＰ（Ｗｉｒｅｄ Ｅｑｕｉｖａｌｅｎｔ Ｐｒｉｖａｃｙ）であり、
   前記所定の事業者は、前記無線ＬＡＮアクセスポイントにおける暗号化方式として、ＷＥＰを採用する事業者である、ネットワークシステム。
8. 外部ネットワークを介して、仮想プライベートネットワーク（ＶＰＮ）サーバとして動作し得るネットワーク装置と通信可能な通信端末であって、
   前記外部ネットワークに接続するための接続部と、
   前記接続部により前記通信端末が前記外部ネットワークに接続されると、仮想プライベートネットワークを、前記通信端末と前記ネットワーク装置との間に確立する処理を実行するＶＰＮクライアント機能部と、
   前記仮想プライベートネットワークおよび前記ネットワーク装置を介して、前記ネットワーク装置とは異なる前記外部ネットワークに接続されている他の装置と通信を行う通信実行部と、
   を備える、通信端末。
9. 外部ネットワークに接続されており、仮想プライベートネットワーク（ＶＰＮ）サーバとして動作し得るネットワーク装置と、前記外部ネットワークを介して前記ネットワーク装置と通信可能な通信端末と、を有するネットワークシステムにおいて、前記通信端末が、前記ネットワーク装置とは異なる前記外部ネットワークに接続されている他の装置と通信を行う方法であって、
   （ａ）前記通信端末において、前記外部ネットワークに接続する工程と、
   （ｂ）前記通信端末において、前記通信端末が前記外部ネットワークに接続されると、仮想プライベートネットワークを、前記通信端末と前記ネットワーク装置との間に確立する処理を実行する工程と、
   （ｃ）前記通信端末において、前記仮想プライベートネットワークおよび前記ネットワーク装置を介して、前記他の装置と通信を行う工程と、
   を備える、方法。
10. 外部ネットワークを介して、仮想プライベートネットワーク（ＶＰＮ）サーバとして動作し得るネットワーク装置と通信可能な通信端末において、前記ネットワーク装置とは異なる前記外部ネットワークに接続されている他の装置と通信を行うためのプログラムであって、
    前記通信端末において、前記外部ネットワークに接続する機能と、
    前記通信端末において、前記通信端末が前記外部ネットワークに接続されると、仮想プライベートネットワークを、前記通信端末と前記ネットワーク装置との間に確立する処理を実行する機能と、
    前記通信端末において、前記仮想プライベートネットワークおよび前記ネットワーク装置を介して、前記他の装置と通信を行う機能と、
    を、前記通信端末が有するコンピュータに実現させるためのプログラム。
11. 請求項１０に記載のプログラムを記録したコンピュータ読み取り可能な記録媒体。

Images