JP2015119273A - セッション確立方法 - Google Patents

Abstract

【課題】複数の拠点毎に設置される通信機器間で、安全かつ簡単な操作で一時的なセッションを確立させることが可能なセッション確立方法を提供する。【解決手段】第１及び第２のＬＡＮと、第１及び第２のＶＰＮ装置と、第１及び第２の通信装置とを具備する通信システムで用いられるセッション確立方法において、共有認証情報を利用して第１及び第２のＶＰＮ装置を認証した上で、第１及び第２のＶＰＮ装置間でＶＰＮを確立し、第２の通信装置が、第２のＶＰＮ装置のＬＡＮ側ＩＰアドレスかつ待受けポート番号宛てのセッション確立パケットを送信し、第２のＶＰＮ装置が、セッション確立パケットを第１のＶＰＮ装置の第１のＶＰＮＩＰアドレスかつ待受けポート番号へ転送し、第１のＶＰＮ装置が、セッション確立パケットを第１の通信装置のＬＡＮ側ＩＰアドレスかつ待受けポート番号へ転送することで、第１及び第２の通信装置間のセッションを確立させる。【選択図】図２

Description

本発明は、複数の拠点における通信装置間で、ＩＰプロトコルを用いてＴＣＰ（Transmission Control Protocol）又はＵＤＰ（User Datagram Protocol）を使って通信を行うセッション確立方法に関する。

別の会社、例えば、会社Ａ及び会社Ｂ間で電話会議又はＴＶ会議による打ち合わせが開催される際、以下のような環境は一般的である。すなわち、それぞれの拠点のＬＡＮ（Local Area Network）がＮＡＰＴ（Network Address Port Translation）機能が搭載されているブロードバンドルータ及び／又はＨＧＷ（Home Gate Way）経由でインターネット等のＩＰネットワークに接続され、拠点間のＨＧＷのＷＡＮ（Wide Area Network）側のアドレスには互いにＩＰリーチャブルなグローバルＩＰアドレスが付与されており、両拠点のＬＡＮ側のアドレスには、例えば、１９２．１６８．１．０／２４のような、プライベートＩＰアドレスが付与されている。なお、以下では、会社ＡのＨＧＷをＨＧＷ１と称し、会社ＢのＨＧＷをＨＧＷ２と称する。また、会社ＡのＬＡＮをＬＡＮ１と称し、会社ＢのＬＡＮをＬＡＮ２と称する。

こういった環境において、会社Ａ側のパソコンＰＣ−Ａ上で画面共有ソフト（ＲｅａｌＶＮＣ等、利用ポートはＴＣＰ：５９００）をサーバとして起動し、会社Ｂ側のパソコンＰＣ−Ｂ上のＶＮＣクライアントから接続することで、音声や映像での打ち合わせと同時に、会社Ａの資料を投影しているパソコンＰＣ−Ａの画面をパソコンＰＣ−Ｂと共有し、会議を円滑に実施したいというニーズが多々ある。

これを実現するために、従来は以下の方法を取る必要があった。

第１の方法は、パソコンＰＣ−Ｂの操作者が、会社Ａのグローバルアドレスを何らかの方法で取得し、会社Ａの担当者はＨＧＷ１のグローバルアドレス、かつ、ＴＣＰ：５９００への通信をポートフォワーディング又はＤＭＺを使ってパソコンＰＣ−Ａへ転送するように設定する方法である。

第２の方法は、パソコンＰＣ−ＢにＬＡＮ１のサブネットに属するＩＰアドレスを付与する方法である。例えば、ＨＧＷ１にL2TPoverIPSECのＶＰＮ（Virtual Private Network）機能が搭載されている場合、ＨＧＷ１の操作者は、ＶＰＮ接続のためのアカウント及びパスワード等の設定情報をＨＧＷ１に設定し、その設定情報及び会社Ａのグローバルアドレスを何らかの方法でパソコンＰＣ−Ｂの操作者へ伝える。パソコンＰＣ−Ｂの操作者は、ＨＧＷ１のグローバルアドレスにアクセスしてＶＰＮを構築する。これにより、パソコンＰＣ−Ｂは、パソコンＰＣ−Ａと同一セグメントのマシンとなり、パソコンＰＣ−Ａへ接続することが可能となる。

「特集：ブロードバンド・ルータ徹底攻略ガイド」、アイティメディア株式会社、http://www.atmarkit.co.jp/fpc/special/bbrouter_desc/portforward_dmz.html。

「L2TP/IPsec」[設定例３：ＮＡＴトラバーサルを利用したＬ２ＴＰクライアントの接続を受け付ける場合]、Yamaha Corporation、http://www.rtpro.yamaha.co.jp/RT/docs/l2tp_ipsec/index.html。

しかしながら、第１の方法は、ポートに穴を開けることになるため、会社Ｂ以外の第三者もパソコンＰＣ−ＡのＴＣＰ：５９００にアクセスすることが可能となりセキュリティが低下する。このため、アプリケーション側でのパスワード認証等により、セキュリティを担保しなければならないという問題がある。また、各種設定が煩雑という問題がある。

また、第２の方法は、会社Ｂの人間が会社Ａのネットワークに接続してしまうので、パソコンＰＣ−Ａ以外の全てのＬＡＮ１上の機器が見えてしまうという問題がある。信頼のおける会社なら良いかもしれないが、会社Ｂの人間に、会社Ａの例えば、ファイルサーバ等のＬＡＮ機器を見せるということはセキュリティ的な問題がある。また、第１の方法と同様に、各種設定及びパスワード通知作業が煩雑という問題がある。また、パソコンＰＣ−ＢがＶＰＮのクライアント機能を使えない場合には対応できないという問題がある。

この発明は上記事情に着目してなされたもので、その目的とするところは、複数の拠点毎に設置される、公開してアクセスされる特定の通信機器間で、安全かつ簡単な操作で一時的なセッションを確立させることが可能なセッション確立方法を提供することにある。

本発明は、上記目的を達成するために、以下のような手段を講じている。

本発明の第１の態様は、第１のＬＡＮ（Local Area Network）、並びに、前記第１のＬＡＮに収容される第１のＶＰＮ（Virtual Private Network）装置及び第１の通信装置が設けられる第１の拠点と、第２のＬＡＮ、並びに、前記第２のＬＡＮに収容される第２のＶＰＮ装置及び第２の通信装置が設けられる第２の拠点とにおいて、前記第１の通信装置と前記第２の通信装置との間で用いられるセッション確立方法であって、前記第１及び第２のＬＡＮは、ＮＡＰＴ（Network Address Port Translation）機能を有するゲートウェイ経由でＩＰネットワークへ接続する場合、前記第１及び第２のＶＰＮ装置が、１つ又は２つのポートを利用する通信により、共有認証情報を用いた認証を行った上で、前記第１及び第２のＶＰＮ装置間でＩＰ通信可能となるＶＰＮを確立し、前記ＶＰＮの確立処理において、前記第１のＶＰＮ装置に対して前記ＶＰＮで用いられる第１のＶＰＮＩＰアドレスを割り当て、前記第２のＶＰＮ装置に対して前記ＶＰＮで用いられる第２のＶＰＮＩＰアドレスを割り当て、前記第２の通信装置が、前記第２のＶＰＮ装置のＬＡＮ側ＩＰアドレス、かつ、前記第１の通信装置において公開アクセスを許容する待受けポート番号宛てのセッション確立パケットを送信し、前記第２のＶＰＮ装置が、前記セッション確立パケットを、前記第１のＶＰＮ装置の前記第１のＶＰＮＩＰアドレスかつ前記待受けポート番号へ転送し、前記第１のＶＰＮ装置が、前記セッション確立パケットを、前記第１の通信装置のＬＡＮ側ＩＰアドレスかつ前記待受けポート番号へ転送することで、前記第１及び第２の通信装置間のセッションを確立させる。
第１の態様によれば、第１及び第２のＶＰＮ装置間で確立されたＶＰＮを、第１及び第２の通信装置間におけるセッションのみで使用することが可能となる。

また、第２の態様では、前記第１の通信装置は、前記第１のＶＰＮ装置に対して通信接続し、前記第１のＶＰＮ装置は、前記待受けポート番号が入力された場合、前記入力された待受けポート番号と、前記通信接続の接続元のＩＰアドレスとを、前記第１のＶＰＮＩＰアドレスかつ前記入力された待受けポート宛てに送信されたパケットの転送先として設定する。
第２の態様によれば、第１のＶＰＮ装置は、第１のＶＰＮ装置のＷＥＢインタフェースを利用して転送先を簡易に設定することが可能となる。

また、第３の態様では、前記第１のＶＰＮ装置で設定される共有認識情報を、前記第２のＶＰＮ装置で設定する許可が入力された場合にのみ、前記第１及び第２のＶＰＮ装置間で共有する。
第３の態様によれば、強固かつ、簡易な認証が可能となる。

また、第４の態様では、前記第１のＶＰＮ装置の機能は、前記第１のＬＡＮと前記ＩＰネットワークとのインタフェースとなる第１のＨＧＷ（Home Gate Way）が有し、前記第２のＶＰＮ装置の機能は、前記第２のＬＡＮと前記ＩＰネットワークとのインタフェースとなる第２のＨＧＷが有する。
第４の態様によれば、ＶＰＮ装置の機能がＨＧＷに含まれている場合であっても、確立されたＶＰＮを、第１及び第２の通信装置間におけるセッションのみで使用することが可能となる。

また、第５の態様では、第１のＬＡＮ（Local Area Network）、並びに、前記第１のＬＡＮに収容される第１のＶＰＮ（Virtual Private Network）装置及び第１の通信装置が設けられる第１の拠点と、第２のＬＡＮ、並びに、前記第２のＬＡＮに収容される第２のＶＰＮ装置及び第２の通信装置が設けられる第２の拠点とにおいて、前記第１の通信装置と前記第２の通信装置との間で用いられるセッション確立方法であって、前記第１及び第２のＬＡＮは、ＮＧＮ（Next Generation Network）へ接続する場合、前記第１及び第２のＶＰＮ装置が、ＳＩＰ（Session Initiation Protocol）を用い、前記第１及び第２のＶＰＮ装置間で音声、映像及びデータを通信可能なセッションを確立し、前記第１及び第２のＶＰＮ装置が、前記セッションを利用し、前記第１及び第２のＶＰＮ装置間でＩＰ通信可能となるＶＰＮを確立し、前記ＶＰＮの確立処理において、前記第１のＶＰＮ装置に対して前記ＶＰＮで用いられる第１のＶＰＮＩＰアドレスを割り当て、前記第２のＶＰＮ装置に対して前記ＶＰＮで用いられる第２のＶＰＮＩＰアドレスを割り当て、前記第２の通信装置が、前記第２のＶＰＮ装置のＬＡＮ側ＩＰアドレス、かつ、前記第１の通信装置において公開アクセスを許容する待受けポート番号宛てのセッション確立パケットを送信し、前記第２のＶＰＮ装置が、前記セッション確立パケットを、前記第１のＶＰＮ装置の前記第１のＶＰＮＩＰアドレスかつ前記待受けポート番号へ転送し、前記第１のＶＰＮ装置が、前記セッション確立パケットを、前記第１の通信装置のＬＡＮ側ＩＰアドレスかつ前記待受けポート番号へ転送することで、前記第１及び第２の通信装置間のセッションを確立させる。
第５の態様によれば、ＳＩＰセッションを利用して第１及び第２のＶＰＮ装置間でＶＰＮを確立させ、確立させたＶＰＮを第１及び第２の通信装置間のセッションのみに使用することが可能となる。

また、第６の態様では、前記第１の通信装置は、前記第１のＶＰＮ装置に対して通信接続し、前記第１のＶＰＮ装置は、前記待受けポート番号が入力された場合、前記入力された待受けポート番号と、前記通信接続の接続元のＩＰアドレスとを、前記第１のＶＰＮＩＰアドレスかつ前記入力された待受けポート宛てに送信されたパケットの転送先として保持する。
第６の態様によれば、第１のＶＰＮ装置は、第１のＶＰＮ装置のＷＥＢインタフェースを利用して転送先を簡易に保持することが可能となる。

また、第７の態様では、前記第２のＶＰＮ装置がＶＰＮの確立相手として承認する旨が入力された場合、前記第１の通信装置は、前記第１のＶＰＮ装置に対して通信接続し、前記第１のＶＰＮ装置は、前記待受けポート番号が入力された場合、前記入力された待受けポート番号と、前記通信接続の接続元のＩＰアドレスとを、前記第１のＶＰＮＩＰアドレスかつ前記入力された待受けポート宛てに送信されたパケットの転送先として保持する。
第７の態様によれば、第１のＶＰＮ装置は、第１のＶＰＮ装置のＷＥＢインタフェースを利用して転送先を簡易に保持することが可能となると共に、ＶＰＮの確立において、強固かつ、簡易な認証が可能となる。
また、第８の態様では、前記ＶＰＮが確立されると、前記第１のＶＰＮ装置が、前記保持する転送先を設定し、前記第１のＶＰＮ装置が、前記設定された受付けポート番号を、前記第２のＶＰＮ装置へ通知し、前記第２のＶＰＮ装置が、前記通知を受信すると、前記第２のＶＰＮ装置のＬＡＮ側ＩＰアドレス、かつ、前記通知された待受けポート番号宛てに送信されるパケットの転送先として、前記第１のＶＰＮＩＰアドレスかつ前記通知された待受けポート番号を設定する。
第８の態様によれば、第２のＶＰＮ装置が受付けポート番号を認識していない場合、第１のＶＰＮ装置は、受付けポート番号を第２のＶＰＮ装置へ通知することが可能となる。

すなわち、この発明によれば、複数の拠点毎に設置される、公開してアクセスされる特定の通信機器間で、安全かつ簡単な操作で一時的なセッションを確立させることができる。

第１の実施形態に係わる通信システムのシステム構成を示す図である。 図１に示す通信システムで用いられるシーケンスを示す図である。 図１に示す通信装置のモニタにおける表示画面を示す図である。 第２の実施形態に係わる通信システムのシステム構成を示す図である。 図４に示す通信システムで用いられるシーケンスを示す図である。 図４に示す通信装置のモニタにおける表示画面を示す図である。 第３の実施形態に係わる通信システムのシステム構成を示す図である。 図７に示す通信システムで用いられるシーケンスを示す図である。 図７に示す通信システムで用いられるその他のシーケンスを示す図である。

以下、図面を参照してこの発明に係わる実施形態を説明する。

（第１の実施形態）
図１は、第１の実施形態に係わる通信システムのシステム構成を示す図である。図１に示す通信システムは、会社Ａと会社Ｂとがインターネットを介して接続して成る。会社Ａにおいて、ＶＰＮ装置１２は、ＨＧＷ１１の配下にある。会社Ｂにおいて、ＶＰＮ装置２２は、ＨＧＷ２１の配下にある。

続いて、会社Ａ，Ｂのネットワーク構成を説明する。なお、文中に記載するＩＰアドレス及びポート番号は、断りのない限り、任意の値でよい。

会社ＡのＬＡＮ１４は、任意のプライベートアドレス、例えば、１９２．１６８．１．０／２４で構築され、ＮＡＰＴ（Network Address Port Translation）機能が搭載されるＨＧＷ１１を経由してインターネットと接続する。ＨＧＷ１１は、ＩＰアドレス１９２．１６８．１．１を有し、ＷＡＮ側にはグローバルアドレスａ．ａ．ａ．ａを有する。

ＶＰＮ装置１２は、ＩＰアドレス１９２．１６８．１．１００としてＬＡＮ１４に接続されており、特定のＴＣＰ又はＵＤＰパケットの転送機能であるポートフォワーディング機能を有する。なお、ＩＰアドレスの値は、ＬＡＮ１４内でユニークな値なら固定ＩＰでもＤＨＣＰ（Dynamic Host Configuration Protocol）等による可変ＩＰのいずれでもよい。

通信装置１３は、ＩＰアドレス１９２．１６８．１．１０１のパソコン上で、例えば、オープンソースソフトウェアであるＲｅａｌＶＮＣ等の画面共有ソフトがサーバとして起動しているものとする。サーバにおける待受けポート番号は、ＴＣＰ：５９００とする。なお、ＩＰアドレスの値は、ＬＡＮ１４内でユニークな値なら固定ＩＰでもよいし、ＤＨＣＰ等による可変ＩＰでもよい。また、第１の実施形態では、通信装置１３はパソコンとし、その上で画面共有ソフトが起動している場合を例に説明するが、これに限定されない。例えば、通信装置１３は、ＴＣＰ又はＵＤＰで通信を行う際のサーバ側の機能が搭載されていれば画面共有ソフトに限らない。また、パソコン上で起動されるアプリではなく、専用装置であってもよい。

会社ＢのＬＡＮ２４は、任意のプライベートアドレス、例えば、１９２．１６８．１．０／２４で構築され、ＮＡＰＴ機能が搭載されるＨＧＷ２１を経由してインターネットと接続する。ＨＧＷ２１は、ＩＰアドレス１９２．１６８．１．１を有し、ＷＡＮ側にはグローバルアドレスｂ．ｂ．ｂ．ｂを有する。なお、ここでは便宜上、会社Ａと同一のアドレス体系で記載するが、同一でなくても構わない。

ＶＰＮ装置２２は、ＩＰアドレス１９２．１６８．１．１００としてＬＡＮ２４に接続されており、特定のＴＣＰ又はＵＤＰパケットの転送機能であるポートフォワーディング機能を有する。なお、ＩＰアドレスの値は、ＬＡＮ２４内でユニークな値なら固定ＩＰでもＤＨＣＰ等による可変ＩＰのいずれでもよい。また、ここでは便宜上、会社Ａと同一のアドレスとしているが、同一でなくても構わない。

通信装置２３は、ＩＰアドレス１９２．１６８．１．１０１のパソコン上で、例えば、オープンソースソフトウェアであるＲｅａｌＶＮＣ等の画面共有ソフトがクライアントとして起動しているものとする。なお、ＩＰアドレスの値は、ＬＡＮ２４内でユニークな値なら固定ＩＰでもよいし、ＤＨＣＰ等による可変ＩＰでもよい。また、ここでは、便宜上、会社Ａと同一のアドレスとしているが、同一でなくても構わない。また、第１の実施形態では、通信装置２３はパソコンとし、その上で画面共有ソフトが起動している場合を例に説明するが、これに限定されない。例えば、通信装置２３は、通信装置１３とＴＣＰ又はＵＤＰで通信するためのクライアント側の機能が搭載されていれば画面共有ソフトに限らない。また、パソコン上で起動されるアプリではなく、専用装置であってもよい。さらに、ＶＰＮ装置２２が通信装置２３の機能を有していても構わない。

以上のように構成される通信システムにおいては、ＬＡＮ１４の配下の機器と、ＬＡＮ２４の配下の機器とは直接ＩＰ通信をすることができない。
次に、上記状況下において、会社Ｂの通信装置２３と会社Ａの通信装置１３とを接続する方法を詳細に説明する。図２は、会社Ｂの担当者ｂが、会社Ａの担当者ａへ、通信装置２３から通信装置１３へ通信したい旨を連絡することでＶＰＮを確立させ、確立させたＶＰＮを利用して通信装置１３の、例えば、資料等が表示されている表示画面を、通信装置２３に表示させる際の動作を示すシーケンス図である。なお、図２では、会社Ａと会社Ｂとが電話会議又はＴＶ会議を行っているか、又は、行おうとしている状況を想定する。

まず、シーケンスＳ２１〜シーケンスＳ２７において、ＶＰＮ装置１２とＶＰＮ装置２２との間でＶＰＮを構築する手順を説明する。

会社Ａの担当者ａは、会社Ｂの担当者ｂから通信装置接続依頼を電話機にて受けると、ＶＰＮ装置２２により、インターネット側からのＨＧＷ１１のＷＡＮ側ＩＰアドレスへのアクセスでＶＰＮ装置１２へ接続するための事前設定を行う（シーケンスＳ２１）。このとき、担当者ａは、ＶＰＮ装置１２への接続をＨＧＷ１１のインターネット側から許容するため、ＨＧＷ１１のＷＡＮ側からのアクセスのためのポートフォワーディング設定として、ＶＰＮ装置２２からＨＧＷ１１のＷＡＮ側ＵＤＰ５００番ポートへのアクセスを、ＶＰＮ装置１２のＵＤＰ５００番ポートへ転送するように、ＨＧＷ１１を設定する。また、担当者ａは、ＶＰＮ装置２２からＨＧＷ１１のＷＡＮ側ＵＤＰ４５００番ポートへのアクセスを、ＶＰＮ装置１２のＵＤＰ４５００番ポートへ転送するように、ＨＧＷ１１を設定する。なお、ＵＤＰ５００番ポート及びＵＤＰ４５００番ポートは、L2TPoverIPsecを利用することを想定した際の標準的なポートである。また、担当者ａは、セキュリティを高めるため、ＨＧＷ１１のＷＡＮ側のＵＤＰ５００番ポート及びＵＤＰ４５００番ポートへのアクセスを、ＨＧＷ２１のＷＡＮ側アドレスであるソースＩＰアドレスｂ．ｂ．ｂ．ｂを会社Ｂの担当者ｂからヒアリングし、ＨＧＷ１１に対してｂ．ｂ．ｂ．ｂからのアクセスのみ許可するように設定しても構わない。

続いて、担当者ａは、シーケンスＳ２２〜シーケンスＳ２５において、ＶＰＮ（図２における説明ではL2TPoverIPSEC）を確立するために必要な情報である、ＨＧＷ１１のグローバルＩＰアドレス又はＦＱＤＮ（Fully Qualified Domain Name）、ＰＰＰユーザ名（以下、ユーザ名と称する。）、ＰＰＰパスワード（以下、パスワードと称する。）及びＩＰｓｅｃ事前共有鍵（以下、共有認証情報と称する。）を、担当者ｂへ伝える。なお、ここでは、ユーザ名はＶＰＮ装置において固定値「user」として組み込まれ、パスワードと事前共有鍵とは同一のものであるとする。このため、担当者ａが担当者ｂへ通知するものは、実質的には、グローバルＩＰアドレス又はＦＱＤＮ、及び、共有認証情報となる。

具体的には、まず、担当者ａは、グローバルＩＰアドレス又はＦＱＤＮを取得する（シーケンスＳ２２）。グローバルＩＰアドレス又はＦＱＤＮの取得方法は、例えば以下である。

ＨＧＷ１１のＷＡＮ側のＩＰアドレスが動的に変わる場合（ただし、固定の場合を含む。）、担当者ａは、ＨＧＷ１１のＷＡＮ側のアドレスをＨＧＷ１１の設定及び／又は環境変数確認サーバを利用して取得する。また、担当者ａは、ＨＧＷ１１のＷＡＮ側のアドレスをＤＤＮＳ（Dynamic Domain Name System）として登録し、そのＦＱＤＮを取得する。また、ＨＧＷ１１のＷＡＮ側のＩＰアドレスが固定的な場合、担当者ａは、ＨＧＷ１１のＷＡＮ側に付与されるアドレスをインターネットプロバイダ等からもらったＩＰアドレスリストを参照して取得する。本説明では、担当者ａは、以上の方法により、ＨＧＷ１１のグローバルＩＰアドレス「ａ．ａ．ａ．ａ」を取得するものとする。

担当者ａは、ＶＰＮ装置１２に対して担当者ｂからアクセスするための共有認証情報「ｐａｓｓ１２３４」を設定する（シーケンスＳ２３）。このとき、共有認証情報は、セキュリティを考慮し、ワンタイムパスワードのように毎回変えることが望ましい。

続いて、担当者ａは、担当者ｂがＶＰＮ接続の相手として信用できるユーザであるかを「相手との会話内容」を用いて確認する（シーケンスＳ２４）。もちろん、「相手との会話内容」による確認には、「相手の声」及び「（テレビ電話の場合は）相手の顔」等の事前に担当者ａが入手可能なユーザ固有情報による確認も含まれる。

担当者ａは、シーケンスＳ２２で取得したグローバルＩＰアドレス「ａ．ａ．ａ．ａ」、及び、シーケンスＳ２３で設定した共有認証情報「ｐａｓｓ１２３４」を、電話による口頭連絡により担当者ｂへ伝える（シーケンスＳ２５）。なお、グローバルＩＰアドレス及び共有認証情報を伝える方法は、電話による口頭連絡の他に、担当者ｂが確認できていれば、メール等であっても構わない。また、ＨＧＷ１１のグローバルアドレスをＤＤＮＳとして登録し、そのＦＱＤＮを取得する場合には、担当者ａは、担当者ｂへＦＱＤＮを事前に通知するようにしても良い。また、ＨＧＷ１１のグローバルＩＰアドレスが固定的な場合には、担当者ａは、担当者ｂへグローバルＩＰアドレスを事前に通知するようにしても良い。

担当者ｂは、ＶＰＮ装置２２に対し、シーケンスＳ２５で取得したグローバルＩＰアドレス「ａ．ａ．ａ．ａ」及び共有認証情報「ｐａｓｓ１２３４」を設定し（シーケンスＳ２６）、ＶＰＮ装置２２に対してＶＰＮの開設を要求する（シーケンスＳ２７）。この時点で、ＶＰＮ装置１２とＶＰＮ装置２２間では、L2TPoverIPSECを開設するために、ＵＤＰ４５００番ポート及びＵＤＰ５００番ポートでの通信は直接行えるようになっている。

具体的には、図に示さないL2TPoverIPSECの接続手順に従い、ＶＰＮ装置２２からＶＰＮ装置１２のＵＤＰ５００番ポートへＶＰＮの開設要求を送信する。ＶＰＮ装置１２は、要求に応じてＶＰＮ装置２２の認証を行う。その後、ＶＰＮ装置１２は、必要に応じてＩＰＳＥＣのトンネルを通じてＬ２ＴＰセッションでＰＰＰユーザ認証を行う。

これを受けて、ＶＰＮ装置１２はＰＰＰパスワード兼ＩＰｓｅｃ事前共有鍵の認証を行い、認証が成功した場合、ＶＰＮの開設要求に応じたＶＰＮが確立される。このとき、実データはＵＤＰ４５００番ポートでやり取りされる。

また、ＶＰＮの確立においては、ＶＰＮ装置２２とＶＰＮ装置１２との間のみでＩＰ通信を実行可能とする固有なＩＰアドレス、すなわち、ＶＰＮＩＰアドレスを払い出す。その際、ＶＰＮＩＰアドレスは、ＬＡＮ１４，２４それぞれのプライベートアドレスとは異なるアドレス空間のものを用いる。ここでは、ＬＡＮ１４，２４ともに、１９２．１６８．１．０／２４のアドレス空間なので、それ以外のもの、例えば１０．０．０．０／２４のアドレス空間を用い、ＶＰＮ装置１２にＶＰＮＩＰアドレス「１０．０．０．１」を割り付け、ＶＰＮ装置２２にＶＰＮＩＰアドレス「１０．０．０．２」を割り付けるようなネゴシエーションをＶＰＮ確立処理におけるネゴシエーションで行うようにする。これにより、ＬＡＮ１４とＬＡＮ２４との間はＩＰリーチャブルではなく、ＶＰＮ装置１２とＶＰＮ装置２２との間だけがＩＰリーチャブルとなるＶＰＮが構築される。

次に、ＶＰＮ装置１２とＶＰＮ装置２２に搭載されているパケット転送機能の設定内容及び設定方法の例を、シーケンスＳ２８〜シーケンスＳ２１１にて説明する。以下の説明では画面共有ソフト「ＲｅａｌＶＮＣ（待受けポート番号ＴＣＰ：５９００）に関して、通信装置２３から通信装置１３へ要求されたセッションを確立させる場合について記載する。

担当者ａは、ＶＰＮ装置１２のＶＰＮＩＰアドレス「１０．０．０．１」、かつ、ＴＣＰ：５９００宛てのパケットを、通信装置１３のＩＰアドレス「１９２．１６８．１．１０１」かつＴＣＰ：５９００へ転送するように、ＶＰＮ装置１２に対して設定する（シーケンスＳ２８）。設定方法としては、ＶＰＮ装置１２に対して手動で設定する方法もあるが、ＶＰＮ装置１２のＷＥＢインタフェースを利用して簡易に実施する設定方法もある。以下に、その設定方法を説明する。

まず、ＶＰＮ装置１２からマルチキャストアドレスに対して、ＶＰＮ装置１２のプライベートＩＰアドレス及びポート番号を含む情報を、ＳＳＤＰ（Simple Service Discovery Protocol）（https://tools.ietf.org/html/draft-cai-ssdp-v1-03）を用いて送信する。例えば、通信装置１３のＯＳがＷｉｎｄｏｗｓ７ ＯＳ（登録商標）である場合、通信装置１３は、ＳＳＤＰを用いて送信された情報を受信すると、情報を発信したホストの機器名等をモニタに表示する。通信装置１３を操作する担当者ａがその表示をダブルクリックすることにより、通信装置１３からＶＰＮ装置１２のプライベートＩＰアドレス及びｈｔｔｐサーバポート番号への接続が行われ、例えば、図３に示すＶＰＮ装置１２の設定画面がモニタに表示される。設定画面における初期表示では、ＶＰＮ装置１２のプライベートＩＰアドレスが「My IP address」として表示され、パケットを転送したい通信装置１３のＴＣＰ又はＵＤＰのポート番号を入力するための入力ダイアログが「転送先ポート番号」として表示される。また、「転送先ＩＰアドレス」には、デフォルト値としてアクセスした通信装置１３のプライベートＩＰアドレスが入力済みとなっているが、適宜修正可能である。

続いて、担当者ａは、図３に示すブラウザ画面における「転送先ポート番号」にＴＣＰ：５９００を入力し、設定を押下する。すると、ＶＰＮ装置１２は、ブラウザアクセスのソースＩＰアドレス情報と、入力されたＴＣＰ：５９００とに基づき、ＶＰＮ装置１２のＶＰＮＩＰアドレス「１０．０．０．２」、かつ、ＴＣＰ：５９００宛てのパケットを、通信装置１３のプライベートＩＰアドレス「１９２．１６８．１．１０１」かつＴＣＰ：５９００へ転送する設定を行う。

なお、パケットの転送設定方法は、具体的には公知の技術であるポートフォワーディング（ｉｐｔａｂｌｅｓを使ったｓｎａｔ及びｄｎａｔで実現）を使う方法、及び、オープンソースのＳＴＯＮＥ（http://www.gcd.org/sengoku/docs/NikkeiLinux00-08/relay.ja.html）を使う方法があるが手段は問わない。もしＳＴＯＮＥを使う場合、転送先及び転送元は、「% stone 192.168.1.101:5900 10.0.0.2:5900 &」のような設定となる。

ＶＰＮ装置１２は、転送先の設定が完了すると、ＶＰＮ装置１２に設定されたポート番号であるＴＣＰ：５９００をＶＰＮ装置２２へ通知する（シーケンスＳ２９）。なお、ＶＰＮ装置２２へポート番号を通知する方法は、ＩＰ通信であれば手段は問わないものとする。ＶＰＮ装置１２は、シーケンスＳ２９に示す通知が完了すると、図３に示すブラウザ画面に、転送設定が完了したことを表示する（シーケンスＳ２１０）。

ＶＰＮ装置２２は、シーケンスＳ２９に示す通知を受けると、通信装置２３が送出するＶＰＮ装置２２のＬＡＮ側ＩＰアドレス「１９２．１６８．１．１００」かつＴＣＰ：５９００宛てのパケットを、ＶＰＮ装置１２のＶＰＮＩＰアドレス「１０．０．０．２」かつＴＣＰ：５９００へ転送するように、自装置を設定する（シーケンスＳ２１１）。パケットの転送設定方法は、具体的には公知の技術であるポートフォワーディング（ｉｐｔａｂｌｅｓを使ったｓｎａｔ及びｄｎａｔで実現）を使う方法、及び、オープンソースのＳＴＯＮＥを使う方法があるが手段は問わない。もしＳＴＯＮＥを使う場合、転送先及び転送元は、「% stone 10.0.0.2:5900 192.168.1.100:5900 &」のような設定となる。これにより、通信装置２３が送出するＶＰＮ装置２２のＬＡＮ側ＩＰアドレスかつＴＣＰ：５９００宛てのパケットをＶＰＮ装置２２が受けた場合、ＶＰＮ装置２２は、受信したパケットを、ＶＰＮ装置１２のＶＰＮＩＰアドレス、かつ、ＴＣＰ：５９００宛てへ転送するようになる。

担当者ａは、図３に示すブラウザ画面を参照し、担当者ｂへ口頭で通信装置１３，２３の接続準備が完了した旨を報告する（シーケンスＳ２１２）。担当者ｂはシーケンスＳ２１２の報告を受けると、通信装置２３からＶＰＮ装置２２のＬＡＮ側ＩＰアドレス「１９２．１６８．１．１００」、かつ、ＴＣＰ：５９００へセッション確立パケットを送出する（シーケンスＳ２１３）。なお、ＶＰＮ装置２２のＬＡＮ側のＩＰアドレスは、上述と同様に、ＶＰＮ装置２２からのマルチキャストアドレスに対して、ＶＰＮ装置２２のプライベートＩＰアドレス及びポート番号を含む情報を、ＳＳＤＰを用いて送信することで取得されても良いし、別の方法により取得しても良い。

ＶＰＮ装置２２は、セッション確立パケットをＶＰＮ装置１２のＶＰＮＩＰアドレス「１０．０．０．２」、かつ、ＴＣＰ：５９００へ転送する（シーケンスＳ２１４）。ＶＰＮ装置１２は、セッション確立パケットを通信装置１３のＩＰアドレス「１９２．１６８．１．１０１」、かつ、ＴＣＰ：５９００へ送出する（シーケンスＳ２１５）。これにより、通信装置２３と通信装置１３との間で、ＲｅａｌＶＮＣによる画面転送セッションが確立する。

以上のように、第１の実施形態では、ＶＰＮ装置１２，２２は、共有認証情報を利用して認証した後、ＶＰＮ装置１２，２２間でＶＰＮを確立させる。このとき、ＶＰＮ装置１２に対しては、ＶＰＮＩＰアドレス「１０．０．０．２」が設定され、ＶＰＮ装置２２に対しては、ＶＰＮＩＰアドレス「１０．０．０．１」が設定される。通信装置２３は、通信装置１３，２３の接続準備が完了すると、ＶＰＮ装置２２のＬＡＮ側ＩＰアドレス「１９２．１６８．１．１００」、かつ、ＴＣＰ：５９００宛てのセッション確立パケットを送信する。ＶＰＮ装置２２は、通信装置２３から送信されたセッション確立パケットを、ＶＰＮ装置１２のＶＰＮＩＰアドレス「１０．０．０．２」、かつ、ＴＣＰ：５９００へ転送する。ＶＰＮ装置１２は、ＶＰＮ装置２２から送信されたセッション確立パケットを、通信装置１３のＬＡＮ側ＩＰアドレス「１９２．１６８．１．１０１」、かつ、ＴＣＰ：５９００へ転送する。これにより、通信システムは、担当者ｂが、担当者ａへ、通信装置２３から通信装置１３に接続したい旨を連絡することでＶＰＮを確立させ、確立させたＶＰＮを利用して通信装置１３の、例えば、資料等が表示されている表示画面を、通信装置２３に表示させることが可能となる。

したがって、第１の実施形態に係る通信システムによれば、複数の拠点毎に設置される、公開してアクセスされる特定の通信機器間で、安全かつ簡単な操作で一時的なセッションを確立させることができる。

また、第１の実施形態では、ＶＰＮ装置１２は、ＶＰＮ装置１２のプライベートＩＰアドレス及びポート番号を含む情報を、ＳＳＤＰを用いてからマルチキャストアドレスへ送信する。通信装置１３は、ブラウザによりＶＰＮ装置１２へアクセスし、情報を発信したホストの機器名等をモニタに表示する。通信装置１３は、ブラウザ画面に対して入力されるＴＣＰ：５９００をＶＰＮ装置１２へ出力する。ＶＰＮ装置１２は、通信装置１３から出力されるＴＣＰ：５９００と、ブラウザアクセスのソースＩＰアドレスとしての通信装置１３のプライベートＩＰアドレス「１９２．１６８．１．１０１」とから、ＶＰＮ装置１２へ送信されるパケットを通信装置１３のプライベートＩＰアドレス「１９２．１６８．１．１０１」かつＴＣＰ：５９００へ転送するように、自装置を設定する。これにより、ＶＰＮ装置１２は、ＶＰＮ装置１２のＷＥＢインタフェースを利用して転送先を簡易に設定することが可能となる。

また、第１の実施形態では、ＶＰＮ装置１２とＶＰＮ装置２２との間でＶＰＮを確立する際に必要となる共有認証情報を、担当者ａと担当者ｂとが、ＶＰＮ装置１２及びＶＰＮ装置２２とそれぞれ併設される音声電話器又はＴＶ電話機能を搭載する電話器を用い、発信側の電話番号、相手との会話内容、又は、相手から受信した映像等により相手の正当性を判断した上で共有するようにしている。これにより、強固かつ、簡易な認証が可能となる。

なお、第１の実施形態では、会社Ａの通信装置１３の情報のみを会社Ｂの通信装置２３に公開する場合を例に説明したが、これに限定されない。例えば、会社Ａにおける通信装置１３以外の機器の情報も、上記シーケンスＳ２８〜シーケンスＳ２１５を実施すれば、会社Ｂの通信装置２３に公開することが可能である。

また、第１の実施形態では、会社Ａの通信装置１３の情報を会社Ｂの通信装置２３に公開する場合を例に説明したが、これに限定されない。例えば、通信装置２３の情報を通信装置１３に公開することも可能である。このとき、シーケンスＳ２８〜シーケンスＳ２１５をシーケンスが左右逆になるように取れば一つのＶＰＮトンネルを用いて、通信装置２３の情報を通信装置１３に公開することが可能である。
また、第１の実施形態では、会社ＡのＶＰＮ装置１２及び会社ＢのＶＰＮ装置２２で使用されるＶＰＮ種別は、L2TPoverIPSECである場合を例に説明したが、これに限定されない。例えば、ＶＰＮ種別としてＬ２ＴＰを用いても構わない。このとき、ＶＰＮ装置１２及びＶＰＮ装置２２では、Ｌ２ＴＰを開設するためのＵＤＰ：１７０１のみが直接通信可能となっていれば良い。第１の実施形態において重要なのは、ＶＰＮ装置１２，２２間で全てのＩＰ通信が可能でなくても、そこで利用する１つ又は２つのポート間で通信可能であれば、それを利用してＶＰＮを確立し、確立したＶＰＮを介し、ＶＰＮ装置１２，２２間で全てのＩＰ通信が可能となることである。

（第２の実施形態）
図４は、第２の実施形態に係わる通信システムのシステム構成を示す図である。図２に示す通信システムは、会社Ａと会社Ｂとがインターネットを介して接続して成る。

まず、会社Ａ，Ｂのネットワーク構成を説明する。なお、文中に記載するＩＰアドレス及びポート番号は、断りのない限り、任意の値でよい。

会社ＡのＬＡＮ１４は、任意のプライベートアドレス、例えば、１９２．１６８．１．０／２４で構築され、ＮＡＰＴ機能が搭載されるＨＧＷ１５を経由してインターネットと接続する。

ＨＧＷ１５は、ＩＰアドレス１９２．１６８．１．１を有し、ＷＡＮ側にはグローバルアドレスａ．ａ．ａ．ａを有する。ＨＧＷ１５は、特定のＴＣＰ又はＵＤＰパケットの転送機能であるポートフォワーディング機能を有するＶＰＮ装置の機能を備える。なお、ＩＰアドレスの値は、ＬＡＮ１４内でユニークな値なら固定ＩＰでもＤＨＣＰ等による可変ＩＰのいずれでもよい。

通信装置１６は、ＩＰアドレス１９２．１６８．１．１０１のパソコン上で、例えば、オープンソースソフトウェアであるＲｅａｌＶＮＣ等の画面共有ソフトがサーバとして起動しているものとする。サーバにおける待受けポート番号は、ＴＣＰ：５９００とする。なお、ＩＰアドレスの値は、ＬＡＮ１４内でユニークな値なら固定ＩＰでもよいし、ＤＨＣＰ等による可変ＩＰでもよい。また、第２の実施形態では、通信装置１６はパソコンとし、その上で画面共有ソフトが起動している場合を例に説明するが、これに限定されない。例えば、通信装置１６は、ＴＣＰ又はＵＤＰで通信を行う際のサーバ側の機能が搭載されていれば画面共有ソフトに限らない。また、パソコン上で起動されるアプリではなく、専用装置であってもよい。

会社ＢのＬＡＮ２４は、任意のプライベートアドレス、例えば、１９２．１６８．１．０／２４で構築され、ＮＡＰＴ機能が搭載されるＨＧＷ２５を経由してインターネットと接続する。

ＨＧＷ２５は、ＩＰアドレス１９２．１６８．１．１を有し、ＷＡＮ側にはグローバルアドレスｂ．ｂ．ｂ．ｂを有する。ＨＧＷ２５は、特定のＴＣＰ又はＵＤＰパケットの転送機能であるポートフォワーディング機能を有するＶＰＮ装置の機能を備える。なお、ＩＰアドレスの値は、ＬＡＮ２４内でユニークな値なら固定ＩＰでもＤＨＣＰ等による可変ＩＰのいずれでもよい。
また、ここでは便宜上、会社Ａと同一のアドレスとしているが、同一でなくても構わない。

通信装置２６は、ＩＰアドレス１９２．１６８．１．１０１のパソコン上で、例えば、オープンソースソフトウェアであるＲｅａｌＶＮＣ等の画面共有ソフトがクライアントとして起動しているものとする。なお、ＩＰアドレスの値は、ＬＡＮ２４内でユニークな値なら固定ＩＰでもよいし、ＤＨＣＰ等による可変ＩＰでもよい。また、ここでは、便宜上、会社Ａと同一のアドレスとしているが、同一でなくても構わない。また、第２の実施形態では、通信装置２６はパソコンとし、その上で画面共有ソフトが起動している場合を例に説明するが、これに限定されない。例えば、通信装置２６は、通信装置１６とＴＣＰ又はＵＤＰで通信するためのクライアント側の機能が搭載されていれば画面共有ソフトに限らない。また、パソコン上で起動されるアプリではなく、専用装置であってもよい。

以上のように構成される通信システムにおいては、ＬＡＮ１４の配下の機器と、ＬＡＮ２４の配下の機器とは直接ＩＰ通信をすることができない。
次に、上記状況下において、会社Ｂの通信装置２６から会社Ａの通信装置１６に接続する方法を詳細に説明する。図５は、会社Ｂの担当者ｂが、会社Ａの担当者ａへ、通信装置２６から通信装置１６に接続したい旨を連絡することでＶＰＮを確立させ、確立させたＶＰＮを利用して通信装置１６の、例えば、資料等が表示されている表示画面を、通信装置２６に表示させる際の動作を示すシーケンス図である。なお、図５では、会社Ａと会社Ｂとが電話会議又はＴＶ会議を行っているか、又は、行おうとしている状況を想定する。

まず、シーケンスＳ５１〜シーケンスＳ５６において、ＨＧＷ１５とＨＧＷ２５との間でＶＰＮを構築する手順を説明する。

会社Ａの担当者ａは、会社Ｂの担当者ｂから通信装置接続依頼を電話機にて受けると、ＶＰＮ（図５における説明ではL2TPoverIPSEC）を確立するために必要な情報である、ＨＧＷ１５のグローバルＩＰアドレス又はＦＱＤＮ、ＰＰＰユーザ名（以下、ユーザ名と称する。）、ＰＰＰパスワード（以下、パスワードと称する。）及びＩＰｓｅｃ事前共有鍵（以下、共有認証情報と称する。）を、担当者ｂへ伝える。なお、ここでは、ユーザ名はＨＧＷにおいて固定値「user」として組み込まれ、パスワードと事前共有鍵とは同一のものであるとする。このため、担当者ａが担当者ｂへ通知するものは、実質的には、グローバルＩＰアドレス又はＦＱＤＮ、及び、共有認証情報となる。

具体的には、まず、担当者ａは、グローバルＩＰアドレス又はＦＱＤＮを取得する（シーケンスＳ５１）。グローバルＩＰアドレス又はＦＱＤＮの取得方法は、例えば以下である。

ＨＧＷ１５のＷＡＮ側のＩＰアドレスが動的に変わる場合（ただし、固定の場合を含む。）、担当者ａは、ＨＧＷ１５のＷＡＮ側のアドレスをＨＧＷ１５の設定及び／又は環境変数確認サーバを利用して取得する。また、担当者ａは、ＨＧＷ１５のＷＡＮ側のアドレスをＤＤＮＳとして登録し、そのＦＱＤＮを取得する。また、ＨＧＷ１５のＷＡＮ側のＩＰアドレスが固定的な場合、担当者ａは、ＨＧＷ１５のＷＡＮ側に付与されるアドレスをインターネットプロバイダ等からもらったＩＰアドレスリストを参照して取得する。本説明では、担当者ａは、以上の方法により、ＨＧＷ１５のグローバルＩＰアドレス「ａ．ａ．ａ．ａ」を取得するものとする。

担当者ａは、ＨＧＷ１５に対して担当者ｂからアクセスするための共有認証情報「ｐａｓｓ１２３４」を設定する（シーケンスＳ５２）。このとき、共有認証情報は、セキュリティを考慮し、ワンタイムパスワードのように毎回変えることが望ましい。

続いて、担当者ａは、担当者ｂがＶＰＮ接続の相手として信用できるユーザであるかを「相手との会話内容」を用いて確認する（シーケンスＳ５３）。もちろん、「相手との会話内容」による確認には、「相手の声」及び「（テレビ電話の場合は）相手の顔」等の事前に担当者ａが入手可能なユーザ固有情報による確認も含まれる。

担当者ａは、シーケンスＳ５１で取得したグローバルＩＰアドレス「ａ．ａ．ａ．ａ」、及び、シーケンスＳ５２で設定した共有認証情報「ｐａｓｓ１２３４」を、電話による口頭連絡により担当者ｂへ伝える（シーケンスＳ５４）。なお、グローバルＩＰアドレス及び共有認証情報を伝える方法は、電話による口頭連絡の他に、担当者ｂが確認できていれば、メール等であっても構わない。また、ＨＧＷ１１のグローバルアドレスをＤＤＮＳとして登録し、そのＦＱＤＮを取得する場合には、担当者ａは、担当者ｂへＦＱＤＮを事前に通知するようにしても良い。また、ＨＧＷ１１のグローバルＩＰアドレスが固定的な場合には、担当者ａは、担当者ｂへグローバルＩＰアドレスを事前に通知するようにしても良い。

担当者ｂは、ＨＧＷ２５に対し、シーケンスＳ５４で取得したグローバルＩＰアドレス「ａ．ａ．ａ．ａ」及び共有認証情報「ｐａｓｓ１２３４」を設定し（シーケンスＳ５５）、ＨＧＷ２５に対してＶＰＮの開設を要求する（シーケンスＳ５６）。この時点で、ＨＧＷ１５とＨＧＷ２５間では、L2TPoverIPSECを開設するために、ＵＤＰ４５００番ポート及びＵＤＰ５００番ポートでの通信は直接行えるようになっている。

具体的には、図に示さないL2TPoverIPSECの接続手順に従い、ＨＧＷ２５からＨＧＷ１５のＵＤＰ５００番ポートへＶＰＮの開設要求を送信する。ＨＧＷ１５は、開設要求についてのレスポンスをＮＡＰＴにより受信することにより、ＨＧＷ２５の認証を行う。その後、ＨＧＷ１５は、必要に応じてＩＰＳＥＣのトンネルを通じてＬ２ＴＰセッションでＰＰＰユーザ認証を行う。

これを受けて、ＨＧＷ１５はＰＰＰパスワード兼ＩＰｓｅｃ事前共有鍵の認証を行い、認証が成功した場合、ＶＰＮの開設要求に応じたＶＰＮが確立される。このとき、実データはＵＤＰ４５００番ポートでやり取りされる。

また、ＶＰＮの確立においては、ＨＧＷ１５とＨＧＷ２５との間のみでＩＰ通信を実行可能とする固有なＩＰアドレス、すなわち、ＶＰＮＩＰアドレスを払い出す。その際、ＶＰＮＩＰアドレスは、ＬＡＮ１４，２４それぞれのプライベートアドレスとは異なるアドレス空間のものを用いる。ここでは、ＬＡＮ１４，２４ともに、１９２．１６８．１．０／２４のアドレス空間なので、それ以外のもの、例えば１０．０．０．０／２４のアドレス空間を用い、ＨＧＷ１５にＶＰＮＩＰアドレス「１０．０．０．１」を割り付け、ＨＧＷ２５にＶＰＮＩＰアドレス「１０．０．０．２」を割り付けるようなネゴシエーションをＶＰＮ確立処理におけるネゴシエーションで行うようにする。これにより、ＬＡＮ１４とＬＡＮ２４との間ＩＰリーチャブルではなく、ＨＧＷ１５とＨＧＷ２５との間だけがＩＰリーチャブルとなるＶＰＮが構築される。

次に、ＨＧＷ１５とＨＧＷ２５に搭載されているパケット転送機能の設定内容及び設定方法の例を、シーケンスＳ５７〜シーケンスＳ５１０にて説明する。以下の説明では画面共有ソフト「ＲｅａｌＶＮＣ（待受けポート番号ＴＣＰ：５９００）に関して、通信装置２６から通信装置１６へ要求されたセッションを確立させる場合について記載する。

担当者ａは、ＨＧＷ１５のＶＰＮＩＰアドレス「１０．０．０．１」、かつ、ＴＣＰ：５９００宛てのパケットを、通信装置１６のＩＰアドレス「１９２．１６８．１．１０１」かつＴＣＰ：５９００へ転送するように、ＨＧＷ１５に対して設定する（シーケンスＳ５７）。設定方法としては、ＨＧＷ１５に対して手動で設定する方法もあるが、ＨＧＷ１５のＷＥＢインタフェースを利用して簡易に実施する設定方法もある。以下に、その設定方法を説明する。

まず、ＨＧＷ１５からマルチキャストアドレスに対して、ＨＧＷ１５のプライベートＩＰアドレス及びポート番号を含む情報を、ＳＳＤＰを用いて送信する。例えば、通信装置１６のＯＳがＷｉｎｄｏｗｓ７ ＯＳ（登録商標）である場合、通信装置１６は、ＳＳＤＰを用いて送信された情報を受信すると、情報を発信したホストの機器名等をモニタに表示する。通信装置１６を操作する担当者ａがその表示をダブルクリックすることにより、通信装置１６からＨＧＷ１５のプライベートＩＰアドレス及びｈｔｔｐサーバポート番号への接続が行われ、例えば、図６に示すＨＧＷ１５の設定画面がモニタに表示される。設定画面における初期表示では、ＨＧＷ１５のプライベートＩＰアドレスが「My IP address」として表示され、パケットを転送したい通信装置１６のＴＣＰ又はＵＤＰのポート番号を入力するための入力ダイアログが「転送先ポート番号」として表示される。また、「転送先ＩＰアドレス」には、デフォルト値としてアクセスした通信装置１６のプライベートＩＰアドレスが入力済みとなっているが、適宜修正可能である。

続いて、担当者ａは、図６に示すブラウザ画面における「転送先ポート番号」にＴＣＰ：５９００を入力し、設定を押下する。すると、ＨＧＷ１５は、ブラウザアクセスのソースＩＰアドレス情報と、入力されたＴＣＰ：５９００とに基づき、ＨＧＷ１５のＶＰＮＩＰアドレス「１０．０．０．２」、かつ、ＴＣＰ：５９００宛てのパケットを、通信装置１６のプライベートＩＰアドレスかつＴＣＰ：５９００へ転送する設定を行う。

なお、パケットの転送設定方法は、具体的には公知の技術であるポートフォワーディング（ｉｐｔａｂｌｅｓを使ったｓｎａｔ及びｄｎａｔで実現）を使う方法、及び、オープンソースのＳＴＯＮＥ（http://www.gcd.org/sengoku/docs/NikkeiLinux00-08/relay.ja.html）を使う方法があるが手段は問わない。もしＳＴＯＮＥを使う場合、転送先及び転送元は、「% stone 192.168.1.1:5900 10.0.0.2:5900 &」のような設定となる。

ＨＧＷ１５は、ＨＧＷ１５に設定されたポート番号であるＴＣＰ：５９００をＨＧＷ２５へ通知する（シーケンスＳ５８）。なお、ＨＧＷ２５へポート番号を通知する方法は、ＩＰ通信であれば手段は問わないものとする。ＨＧＷ２５は、シーケンスＳ５８に示す通知が完了すると、図６に示すブラウザ画面に、転送設定が完了したことを表示する（シーケンスＳ５９）。

ＨＧＷ２５は、シーケンスＳ５８に示す通知を受けると、通信装置２６が送出するＨＧＷ２５のＬＡＮ側ＩＰアドレス「１９２．１６８．１．１」かつＴＣＰ：５９００宛てのパケットを、ＨＧＷ１５のＶＰＮＩＰアドレス「１０．０．０．２」かつＴＣＰ：５９００へ転送するように、自装置を設定する（シーケンスＳ５１０）。パケットの転送設定方法は、具体的には公知の技術であるポートフォワーディング（ｉｐｔａｂｌｅｓを使ったｓｎａｔ及びｄｎａｔで実現）を使う方法、及び、オープンソースのＳＴＯＮＥを使う方法があるが手段は問わない。もしＳＴＯＮＥを使う場合、転送先及び転送元は、「% stone 10.0.0.2:5900 192.168.1.1:5900 &」のような設定となる。これにより、通信装置２６が送出するＧＤＷ２５のＬＡＮ側ＩＰアドレスかつＴＣＰ：５９００宛てのパケットをＧＤＷ２５が受けた場合、ＧＤＷ２５は、受信したパケットを、ＧＤＷ１５のＶＰＮＩＰアドレス、かつ、ＴＣＰ：５９００宛てへ転送するようになる。

担当者ａは、図６に示すブラウザ画面を参照し、担当者ｂへ口頭で通信装置１６，２６の接続準備が完了した旨を報告する（シーケンスＳ５１１）。担当者ｂはシーケンスＳ５１１の報告を受けると、通信装置２６からＨＧＷ２５のＬＡＮ側ＩＰアドレス「１９２．１６８．１．１」、かつ、ＴＣＰ：５９００へセッション確立パケットを送出する（シーケンスＳ５１２）。なお、ＨＧＷ２５のＬＡＮ側のＩＰアドレスは、上述と同様に、ＨＧＷ２５からのマルチキャストアドレスに対して、ＨＧＷ２５のプライベートＩＰアドレス及びポート番号を含む情報を、ＳＳＤＰを用いて送信することで取得されても良いし、別の方法により取得しても良い。

ＨＧＷ２５は、セッション確立パケットをＨＧＷ１５のＶＰＮＩＰアドレス「１０．０．０．２」、かつ、ＴＣＰ：５９００へ転送する（シーケンスＳ５１３）。ＨＧＷ１５は、セッション確立パケットを通信装置１６のＩＰアドレス「１９２．１６８．１．１０１」、かつ、ＴＣＰ：５９００へ送出する（シーケンスＳ５１４）。これにより、通信装置２６と通信装置１６との間で、ＲｅａｌＶＮＣによる画面転送セッションが確立する。

以上のように、第２の実施形態では、ＨＧＷ１５，２５は、ＶＰＮ装置の機能を備える。ＨＧＷ１５，２５は、共有認証情報を利用して認証した後、ＨＧＷ１５，２５間でＶＰＮを確立させる。このとき、ＨＧＷ１５に対しては、ＶＰＮＩＰアドレス「１０．０．０．２」が設定され、ＨＧＷ２５に対しては、ＶＰＮＩＰアドレス「１０．０．０．１」が設定される。通信装置２６は、通信装置１６，２６の接続準備が完了すると、ＨＧＷ２５のＬＡＮ側ＩＰアドレス「１９２．１６８．１．１」、かつ、ＴＣＰ：５９００宛てのセッション確立パケットを送信する。ＨＧＷ２５は、通信装置２６から送信されたセッション確立パケットを、ＨＧＷ１５のＶＰＮＩＰアドレス「１０．０．０．２」、かつ、ＴＣＰ：５９００へ転送する。ＨＧＷ１５は、ＨＧＷ２５から送信されたセッション確立パケットを、通信装置１６のＬＡＮ側ＩＰアドレス「１９２．１６８．１．１０１」、かつ、ＴＣＰ：５９００へ転送する。これにより、通信システムは、担当者ｂが、担当者ａへ、通信装置２６から通信装置１６に接続したい旨を連絡することでＶＰＮを確立させ、確立させたＶＰＮを利用して通信装置１６の、例えば、資料等が表示されている表示画面を、通信装置２６に表示させることが可能となる。

したがって、第２の実施形態に係る通信システムによれば、複数の拠点毎に設置される、公開してアクセスされる特定の通信機器間で、安全かつ簡単な操作で一時的なセッションを確立させることができる。

また、第２の実施形態では、ＨＧＷ１５は、ＨＧＷ１５のプライベートＩＰアドレス及びポート番号を含む情報を、ＳＳＤＰを用いてからマルチキャストアドレスへ送信する。通信装置１６は、ブラウザによりＨＧＷ１５へアクセスし、情報を発信したホストの機器名等をモニタに表示する。通信装置１６は、ブラウザ画面に対して入力されるＴＣＰ：５９００をＨＧＷ１５へ出力する。ＨＧＷ１５は、通信装置１６から出力されるＴＣＰ：５９００と、ブラウザアクセスのソースＩＰアドレスとしての通信装置１６のプライベートＩＰアドレス「１９２．１６８．１．１０１」とから、ＨＧＷ１５へ送信されるパケットを通信装置１６のプライベートＩＰアドレス「１９２．１６８．１．１０１」かつＴＣＰ：５９００へ転送するように、自装置を設定する。これにより、ＨＧＷ１５は、ＨＧＷ１５のＷＥＢインタフェースを利用して転送先を簡易に設定することが可能となる。

また、第２の実施形態では、ＨＧＷ１５とＨＧＷ２５との間でＶＰＮを確立する際に必要となる共有認証情報を、担当者ａと担当者ｂとが、会社Ａ及び会社Ｂにそれぞれ設けられる音声電話器又はＴＶ電話機能を搭載する電話器を用い、発信側の電話番号、相手との会話内容、又は、相手から受信した映像等により相手の正当性を判断した上で共有するようにしている。これにより、強固かつ、簡易な認証が可能となる。

なお、第２の実施形態では、会社Ａの通信装置１６の情報のみを会社Ｂの通信装置２６に公開する場合を例に説明したが、これに限定されない。例えば、会社Ａにおける通信装置１３以外の機器の情報も、上記シーケンスＳ５７〜シーケンスＳ５１４を実施すれば、会社Ｂの通信装置２６に公開することが可能である。

また、第２の実施形態では、会社Ａの通信装置１６の情報を会社Ｂの通信装置２６に公開する場合を例に説明したが、これに限定されない。例えば、通信装置２６の情報を通信装置１６に公開することも可能である。このとき、シーケンスＳ５７〜シーケンスＳ５１４をシーケンスが左右逆になるように取れば一つのＶＰＮトンネルを用いて、通信装置２６の情報を通信装置１６に公開することが可能である。
また、第２の実施形態では、会社ＡのＨＧＷ１５及び会社ＢのＨＧＷ２５で使用されるＶＰＮ種別は、L2TPoverIPSECである場合を例に説明したが、これに限定されない。例えば、ＶＰＮ種別としてＬ２ＴＰを用いても構わない。このとき、ＨＧＷ１５及びＨＧＷ２５では、Ｌ２ＴＰを開設するためのＵＤＰ：１７０１のみが直接通信可能となっていれば良い。第２の実施形態において重要なのは、ＨＧＷ１５，２５間で全てのＩＰ通信が可能でなくても、そこで利用する１つ又は２つのポート間で通信可能であれば、それを利用してＶＰＮを確立し、確立したＶＰＮを介し、ＨＧＷ１５，２５間で全てのＩＰ通信が可能となることである。

（第３の実施形態）
ＮＴＴ東日本及びＮＴＴ西日本では、フレッツ光ネクスト又はフレッツ光ライト（以下、ＮＧＮ（Next Generation Network）と称する。）の契約者で、ひかり電話に加入しているユーザに、帯域確保型データ通信サービス「データコネクト」を提供している。データコネクトは、「ＮＧＮのひかり電話」の標準機能として提供される。データコネクトは、「ＮＧＮのひかり電話」の加入者のＨＧＷ配下のデータコネクト対応端末同士で、電話番号を用いたＳＩＰ（Session Initiation Protocol）による１回の発着信で、ＳＩＰを用いた１つの電話セッションを構築する。この電話セッションでは、電話セッションを張った相手との間で音声電話及びＴＶ電話だけでなく、データ通信を同時に実施することが可能である。すなわち、データコネクトは、電話をしている相手が信用できれば、その相手との間でデータ通信を行うパスも信用できるものと扱われることになる。

そこで、第３の実施形態では、ＮＧＮのひかり電話を利用し、ＨＧＷの配下に位置するＶＰＮ装置が、データコネクトのセッションを張る場合について説明する。

図７は、第３の実施形態に係わる通信システムのシステム構成を示す図である。図７に示す通信システムにおいて、会社Ａ及び会社Ｂは、ＮＧＮの光電話サービス委に加入している。会社Ａにおいて、ＶＰＮ装置１８は、ＨＧＷ１７の配下にある。会社Ｂにおいて、ＶＰＮ装置２８は、ＨＧＷ２７の配下にある。

続いて、会社Ａ，Ｂのネットワーク構成を説明する。なお、文中に記載するＩＰアドレス及びポート番号は、断りのない限り、任意の値でよい。

会社ＡのＬＡＮ１４は、任意のプライベートアドレス、例えば、１９２．１６８．１．０／２４で構築され、ＨＧＷ１７を経由してＮＧＮと接続する。ＨＧＷ１７は、プライベートＩＰアドレス１９２．１６８．１．１を有する。

ＶＰＮ装置１８は、ＩＰアドレス１９２．１６８．１．１００としてＬＡＮ１４に接続されており、特定のＴＣＰ又はＵＤＰパケットの転送機能であるポートフォワーディング機能を有する。なお、ＩＰアドレスの値は、ＬＡＮ１４内でユニークな値なら固定ＩＰでもＤＨＣＰ等による可変ＩＰのいずれでもよい。また、ＶＰＮ装置１８は、ひかり電話を利用することが可能であり、通信種別として音声、映像及びデータ通信に対応する。

通信装置１９は、ＩＰアドレス１９２．１６８．１．１０１のパソコン上で、例えば、オープンソースソフトウェアであるＲｅａｌＶＮＣ等の画面共有ソフトがサーバとして起動しているものとする。サーバにおける待受けポート番号は、ＴＣＰ：５９００とする。なお、ＩＰアドレスの値は、ＬＡＮ１４内でユニークな値なら固定ＩＰでもよいし、ＤＨＣＰ等による可変ＩＰでもよい。また、第３の実施形態では、通信装置１９はパソコンとし、その上で画面共有ソフトが起動している場合を例に説明するが、これに限定されない。例えば、通信装置１９は、ＴＣＰ又はＵＤＰで通信を行う際のサーバ側の機能が搭載されていれば画面共有ソフトに限らない。また、パソコン上で起動されるアプリではなく、専用装置であってもよい。

会社ＢのＬＡＮ２４は、任意のプライベートアドレス、例えば、１９２．１６８．１．０／２４で構築され、ＨＧＷ２７を経由してＮＧＮと接続する。ＨＧＷ２７は、ＩＰアドレス１９２．１６８．１．１を有する。なお、ここでは便宜上、会社Ａと同一のアドレス体系で記載するが、同一でなくても構わない。

ＶＰＮ装置２８は、ＩＰアドレス１９２．１６８．１．１００としてＬＡＮ２４に接続されており、特定のＴＣＰ又はＵＤＰパケットの転送機能であるポートフォワーディング機能を有する。なお、ＩＰアドレスの値は、ＬＡＮ２４内でユニークな値なら固定ＩＰでもＤＨＣＰ等による可変ＩＰのいずれでもよい。また、ここでは便宜上、会社Ａと同一のアドレスとしているが、同一でなくても構わない。また、ＶＰＮ装置２８は、ひかり電話を利用することが可能であり、音声、映像及びデータの通信セッションに対応している。ＶＰＮ装置２８は、電話番号を用いてＶＰＮ装置１８と通信をすることが可能である。

通信装置２９は、ＩＰアドレス１９２．１６８．１．１０１のパソコン上で、例えば、オープンソースソフトウェアであるＲｅａｌＶＮＣ等の画面共有ソフトがクライアントとして起動しているものとする。なお、ＩＰアドレスの値は、ＬＡＮ２４内でユニークな値なら固定ＩＰでもよいし、ＤＨＣＰ等による可変ＩＰでもよい。また、ここでは、便宜上、会社Ａと同一のアドレスとしているが、同一でなくても構わない。また、第３の実施形態では、通信装置２９はパソコンとし、その上で画面共有ソフトが起動している場合を例に説明するが、これに限定されない。例えば、通信装置２９は、通信装置１９とＴＣＰ又はＵＤＰで通信するためのクライアント側の機能が搭載されていれば画面共有ソフトに限らない。また、パソコン上で起動されるアプリではなく、専用装置であってもよい。さらに、ＶＰＮ装置２８が通信装置２９の機能を有していても構わない。

次に、以上のように構成される通信システムにおいて、会社Ｂの通信装置２９と会社Ａの通信装置１９とを接続する方法を詳細に説明する。図８は、会社Ｂの担当者ｂと、会社Ａの担当者ａとがＴＶ電話を行い、その最中に通信装置２９と通信装置１９とを接続させる際の動作を示すシーケンス図である。

まず、シーケンスＳ８１及びシーケンスＳ８２により、ＶＰＮ装置１８とＶＰＮ装置２８との間で、ＴＶ電話及びデータ通信を利用するためのＳＩＰセッションを確立する。

具体的には、ＶＰＮ装置２８から、ＶＰＮ装置１８の電話番号に対して発信する（シーケンスＳ８１）。その際、ＶＰＮ装置２８は、音声（ｍ＝ａｕｄｉｏ）、映像（ｍ＝ｖｉｄｅｏ）、及び、データ通信（ｍ＝ａｐｌｉｃａｔｉｏｎ）をメディアストリームとするモードで着番号で発信し、自分の電話番号（発番号）、並びに、ＵＤＰによる通信を行う際の自分側の待受けＩＰアドレス及びポート番号「ｄ．ｄ．ｄ．ｄ：ＵＤＰ：ｙｙｙｙ」をＮＧＮのＳＩＰ仕様に従って通知する。

担当者ａは、ＶＰＮ装置１８により、着信に応答する操作を行う（シーケンスＳ８２）。ＶＰＮ装置１８は、応答する際、ＶＰＮ装置２８の発番号、並びに、ＶＰＮ装置２８の待受けＩＰアドレス及びポート番号「ｄ’．ｄ’．ｄ’．ｄ’：ＵＤＰ：ｙ’ｙ’ｙ’ｙ’」を保持する。ＮＧＮ網においては、ｍ＝ａｐｐｌｉｃａｔｉｏｎでネゴシエーションされるＵＤＰによるＩＰアドレス及びポート番号は相手から透過ではない場合があるので、ここでは「’」をつけて区別している。ただし、以下の記載では説明の便宜上「ｄ．ｄ．ｄ．ｄ」と「ｄ’．ｄ’．ｄ’．ｄ’」、及び、「ｙｙｙｙ」と「ｙ’ｙ’ｙ’ｙ’」は同じものとし、両方とも「ｄ．ｄ．ｄ．ｄ」及び「ｙｙｙｙ」と記載する。次に、ＶＰＮ装置１８は、ＵＤＰによる通信を行う際の自分側の待受けＩＰアドレス及びポート番号「ｃ．ｃ．ｃ．ｃ：ＵＤＰ：ｘｘｘｘ」をＶＰＮ装置２８へ通知する。ＶＰＮ装置２８は、ＶＰＮ装置１８の待受けＩＰアドレス及びポート番号「ｃ’．ｃ’．ｃ’．ｃ’：ＵＤＰ：ｘ’ｘ’ｘ’ｘ’」を保持する。以下では、「ｄ．ｄ．ｄ．ｄ」及び「ｙｙｙｙ」と同様、「ｃ．ｃ．ｃ．ｃ」と「ｃ’．ｃ’．ｃ’．ｃ’」、及び、「ｘｘｘｘ」と「ｘ’ｘ’ｘ’ｘ’」は同じものとして記載する。

ＳＩＰセッションが確立されると、ＶＰＮ装置１８と、ＶＰＮ装置２８との双方で、ＶＰＮサーバ及びＶＰＮクライアントとして動作するための設定を行う。その手順について、シーケンスＳ８３−１、シーケンスＳ８４−１、シーケンスＳ８３−３及びシーケンスＳ８４−２で説明する。なお、ＶＰＮのクライアント側となり、ＶＰＮ確立処理を開始するのは、相手のＬＡＮに通信装置を公開する設定を行う側である。ＴＶ電話が接続された段階において、どちらのＶＰＮ装置がＶＰＮ確立要求を出すか未定なので、双方のＶＰＮ装置でＶＰＮサーバを起動するようにしている。

具体的には、ＶＰＮ装置２８は、シーケンスＳ８１で発信した自装置の電話番号「０１２３４５６７８９」を、ＶＰＮパスワード（共有認証情報）として設定する（シーケンスＳ８３−１）。また、ＶＰＮ装置１８は、シーケンスＳ８１で着信した発番号「０１２３４５６７８９」を、共有認証情報として設定する（シーケンスＳ８３−２）。本説明では、発信者の電話番号をＶＰＮパスワードとしているが、もちろん、システムの特定の固定値としても構わないし、着信者の電話番号としても構わない。その理由は、ＳＩＰに紐づいた同一呼内でＴＶ電話セッションとＶＰＮセッションとを行う場合は、シーケンスＳ８４−１，８４−２で示すＳＩＰネゴシエーションの電話番号での認証、及び、シーケンスＳ８５で示す会話での認証により、相手を認証できるため、パスワード等の共有情報の認証はあくまでオプション的な役割にすぎないからである。

続いて、ＶＰＮ装置１８及びＶＰＮ装置２８は、ＶＰＮサーバを起動する（シーケンスＳ８４−１，Ｓ８４−２）。ここで、ＶＰＮサーバの起動は無条件ではない。ＶＰＮ装置１８，２８は、ＶＰＮ接続を許容する電話番号を、装置内の図示しない記憶領域に保持している。ＶＰＮ装置１８は、シーケンスＳ８１で取得された発番号である「０１２３４５６７８９」が記憶領域に保持されている場合、ＶＰＮサーバを立ち上げる。ＶＰＮ装置２８は、シーケンスＳ８１で入力される着番号が記憶領域に保持されている場合、ＶＰＮサーバを立ち上げる。これは、セキュリティのために電話番号による認証を行うためである。

なお、本説明では、ＶＰＮは、Ｌ２ＴＰを利用して確立されることとする。理由は、ＮＧＮは閉域網であるため、盗聴される心配がなく、暗号化は不要、かつ、処理が軽いからである。Ｌ２ＴＰにおいて、サーバを立ち上げる際に必要な情報は、「ＶＰＮ接続先ＩＰアドレス」及び「ＵＤＰポート番号」、「ＰＰＰユーザ名」、並びに、「ＰＰＰパスワード」である。

ＶＰＮ装置１８は、シーケンスＳ８１において、「ＶＰＮ接続先ＩＰアドレス」を「ｄ．ｄ．ｄ．ｄ」として取得済みであり、「ＵＤＰポート番号」を「ｙｙｙｙ」として取得済みである。また、ＶＰＮ装置２８は、シーケンスＳ８２において、「ＶＰＮ接続先ＩＰアドレス」を「ｃ．ｃ．ｃ．ｃ」として取得済みであり、「ＵＤＰポート番号」を「ｘｘｘｘ」として取得済みである。また、ＰＰＰユーザ名は、ＶＰＮ装置１８，２８において固定値「user」として組み込まれている。また、ＶＰＮ装置２８，１８は、シーケンスＳ８３−１，８３−２でそれぞれ示すように、「ＰＰＰパスワード」を「０１２３４５６７８９」として取得済みである。

ＶＰＮ装置１８は、上記をパラメータとして、ＵＤＰの標準ポート番号：１７０１ではなく、ＵＤＰポート番号：ｘｘｘｘを用いて、Ｌ２ＴＰのＶＰＮサーバを立ち上げる。また、ＶＰＮ装置２８は、上記をパラメータとして、ＵＤＰの標準ポート番号：１７０１ではなく、ＵＤＰポート番号：ｙｙｙｙを用いて、Ｌ２ＴＰのＶＰＮサーバを立ち上げる。

次に、ＴＶ会議の中で資料を共有する必要が発生し、担当者ｂから担当者ａへ、通信装置１９と通信装置２９との接続による資料の共有を口頭で依頼した後に、ＶＰＮ装置１８及びＶＰＮ装置２８間でＶＰＮを構築する処理をシーケンスＳ８５〜シーケンスＳ８８で説明する。

まず、担当者ｂは、通信装置１９と通信装置２９との接続を担当者ａへ口頭で依頼する（シーケンスＳ８５）。通信装置１９と通信装置２９との接続依頼を受けた担当者ａは、通話相手が会社Ｂに所属しており、資料を開示してよい正当なユーザ（本例では担当者ｂ）かどうかを「相手との会話内容」を参照して確認する（シーケンスＳ８６）。もちろん、「相手との会話内容」による確認には、「相手の声」及び「（テレビ電話の場合は）相手の顔」等の事前に担当者ａが入手可能なユーザ固有情報による確認も含まれる。

担当者ａは、ＶＰＮ装置１８に、ＶＰＮが確立された際に仮想的に付与されるＶＰＮＩＰアドレス、かつ、ＴＣＰ：５９００宛てのパケットを通信装置１９へ転送する情報を保持させる（シーケンスＳ８７）。ただし、本設定が有効になるのは後述するシーケンスＳ８９以降である。ＶＰＮ装置１８のＷＥＢインタフェースを用い、転送先を簡易に保持する方法を以下に説明する。

まず、ＶＰＮ装置１８からマルチキャストアドレスに対して、ＶＰＮ装置１８のプライベートＩＰアドレス及びポート番号を含む情報を、ＳＳＤＰを用いて送信する。例えば、通信装置１９がＷｉｎｄｏｗｓ７ ＯＳ（登録商標）である場合、通信装置１９は、ＳＳＤＰを用いて送信された情報を受信すると、情報を発信したホストの機器名等をモニタに表示する。通信装置１９を操作する担当者ａがその表示をダブルクリックすることにより、通信装置１９からＶＰＮ装置１８のプライベートＩＰアドレス及びｈｔｔｐサーバポート番号への接続が行われ、例えば、図３に示すＶＰＮ装置１８の設定画面がモニタに表示される。設定画面における初期表示では、ＶＰＮ装置１８のプライベートＩＰアドレスが「My IP address」として表示され、パケットを転送したい通信装置１９のＴＣＰ又はＵＤＰのポート番号を入力するための入力ダイアログが「転送先ポート番号」として表示される。また、「転送先ＩＰアドレス」には、デフォルト値としてアクセスした通信装置１９のプライベートＩＰアドレスが入力済みとなっているが、適宜修正可能である。

担当者ａは、図３に示すブラウザ画面における「転送先ポート番号」にＴＣＰ：５９００を入力し、設定を押下する。すると、ＶＰＮ装置１８は、ブラウザアクセスのソースＩＰアドレス情報と、入力されたＴＣＰ：５９００とに基づき、ＶＰＮ装置１８のＶＰＮＩＰアドレス、かつ、ＴＣＰ：５９００宛てのパケットを、通信装置１９のプライベートＩＰアドレス「１９２．１６８．１．１０１」かつＴＣＰ：５９００へ転送する情報を保持する。

続いて、ＶＰＮ装置１８は、接続ＩＰアドレス「ｄ．ｄ．ｄ．ｄ」、接続ＵＤＰポート番号「ｙｙｙｙ」、ＰＰＰユーザ名「ｕｓｅｒ」、及び、共有認証情報「０１２３４５６７８９」をパラメータとして、ＶＰＮ装置２８に対してＶＰＮ確立処理を開始する（シーケンスＳ８８）。ＶＰＮ確立処理の中では、共有認証情報の認証、並びに、自ＶＰＮＩＰアドレス及び相手ＶＰＮＩＰアドレスについてのネゴシエーション等を行い、Ｌ２ＴＰによるＶＰＮを確立する。

上記ＶＰＮＩＰアドレスのネゴシエーションについて補足する。ＶＰＮ装置１８，２８に設定されるＶＰＮＩＰアドレスは、ＬＡＮ１４，２４のプライベートアドレスと異なるアドレス空間のものである。本例では、ＬＡＮ１４，２４ともに、１９２．１６８．１．０／２４のアドレス空間なので、それ以外のもの、例えば１０．０．０．０／２４のアドレス空間を用い、ＶＰＮ装置１２にＶＰＮＩＰアドレス「１０．０．０．１」を割り付け、ＶＰＮ装置２２にＶＰＮＩＰアドレス「１０．０．０．２」を割り付けるようなネゴシエーションをＶＰＮ確立処理中のネゴシエーションで行うようにする。これにより、ＬＡＮ１４とＬＡＮ２４との間はＩＰリーチャブルではなく、ＶＰＮ装置１２とＶＰＮ装置２２との間だけがＩＰリーチャブルとなるＶＰＮが確立される。

次に、確立されたＶＰＮを利用し、ＬＡＮ２４内から通信装置１９へトンネルを確立する処理をシーケンスＳ８９〜シーケンスＳ８１３で説明する。

シーケンスＳ８８に示すＶＰＮ確立処理によりＶＰＮが確立されると、ＶＰＮ装置１８は、シーケンスＳ８７で保持した情報を設定する（シーケンスＳ８９）。すなわち、ＶＰＮ装置１８は、ＶＰＮ装置１８のＶＰＮＩＰアドレス「１０．０．０．２」、かつ、ＴＣＰ：５９００宛てのパケットを、通信装置１９のプライベートＩＰアドレス「１９２．１６８．１．１０１」かつＴＣＰ：５９００へ転送するように設定する。パケットの転送設定方法は、具体的には公知の技術であるポートフォワーディング（ｉｐｔａｂｌｅｓを使ったｓｎａｔ及びｄｎａｔで実現）を使う方法、及び、オープンソースのＳＴＯＮＥを使う方法があるが手段は問わない。もしＳＴＯＮＥを使う場合、転送先及び転送元は、「% stone 192.168.1.101:5900 10.0.0.2:5900 &」のような設定となる。

転送先についての情報を設定すると、ＶＰＮ装置１８は、ポート番号であるＴＣＰ：５９００を、ＶＰＮ装置１８のＶＰＮＩＰアドレス「１０．０．０．２」から、ＶＰＮ装置２８のＶＰＮＩＰアドレス「１０．０．０．１」へＩＰ通信で通知する（シーケンスＳ８１０）。なお、通知方法については、ＩＰ通信であれば手段を問わない。また、本説明では、ポート番号を通知するコマンドを、転送ポート通知コマンドと称し、転送ポート通知コマンドには、引数としてＴＣＰ：５９００が付与されるものとする。

ＶＰＮ装置２８は、転送ポート通知コマンドを受信すると、通信装置２９が送出するＶＰＮ装置２８のＬＡＮ側ＩＰアドレス「１９２．１６８．１．１００」かつＴＣＰ：５９００宛てのパケットを、ＶＰＮ装置１８のＶＰＮＩＰアドレス「１０．０．０．２」かつＴＣＰ：５９００へ転送するように、自装置を設定する（シーケンスＳ８１１）。パケットの転送設定方法は、具体的には公知の技術であるポートフォワーディング（ｉｐｔａｂｌｅｓを使ったｓｎａｔ及びｄｎａｔで実現）を使う方法、及び、オープンソースのＳＴＯＮＥを使う方法があるが手段は問わない。もしＳＴＯＮＥを使う場合、転送先及び転送元は、「% stone 10.0.0.2:5900 192.168.1.100:5900 &」のような設定となる。

ＶＰＮ装置２８は、転送先の設定が完了すると、設定が完了した旨を、ＶＰＮ装置２８のＶＰＮＩＰアドレス「１０．０．０．１」から、ＶＰＮ装置１８のＶＰＮＩＰアドレス「１０．０．０．２」へＩＰ通信で通知する（シーケンスＳ８１２）。設定の完了を通知する方法は、ＩＰ通信であれば手段を問わない。また、本説明では、設定完了の通知を、転送ポート設定完了レスポンスと称し、転送ポート設定完了レスポンスには、引数として設定が完了した旨を示すパラメータ（例えば、ＯＫ）等が付与される。

シーケンスＳ８９〜シーケンスＳ８１２により、通信装置２９から通信装置１９へアクセスできる状態となる。ＶＰＮ装置２８は、転送ポート設定完了レスポンスを送信すると、自装置に接続されるモニタに、トンネルの確立が完了したことを、例えば、「トンネルを確立しました」として表示する（シーケンスＳ８１３−１）。また、ＶＰＮ装置１８は、転送ポート設定完了レスポンスを受信すると、自装置に接続されるモニタ、及び、図３に示すブラウザ画面に、トンネルの確立が完了したことを、例えば、「トンネルを確立しました」として表示する（シーケンスＳ８１３−２）。また、必要に応じて、担当者ａは担当者ｂに、通信装置１９，２９間の接続の準備が完了した旨を口頭で報告する。

次に、通信装置１９と通信装置２９との間でセッションを確立する処理をシーケンスＳ８１４〜シーケンスＳ８１６で説明する。

担当者ｂは、セッションの準備が完了すると、通信装置２９からＶＰＮ装置２８のＬＡＮ側ＩＰアドレス「１９２．１６８．１．１００」、かつ、ＴＣＰ：５９００へセッション確立パケットを送出する（シーケンスＳ８１４）。なお、ＶＰＮ装置２８のＬＡＮ側のＩＰアドレスは、ＶＰＮ装置２８からのマルチキャストアドレスに対して、ＶＰＮ装置２８のプライベートＩＰアドレス及びポート番号を含む情報を、ＳＳＤＰを用いて送信することで取得されても良いし、別の方法により取得しても良い。

ＶＰＮ装置２８は、セッション確立パケットをＶＰＮ装置１８のＶＰＮＩＰアドレス「１０．０．０．２」、かつ、ＴＣＰ：５９００へ転送する（シーケンスＳ８１５）。ＶＰＮ装置１８は、セッション確立パケットを通信装置１９のＩＰアドレス「１９２．１６８．１．１０１」、かつ、ＴＣＰ：５９００へ送出する（シーケンスＳ８１６）。これにより、通信装置２９と通信装置１９との間で、ＲｅａｌＶＮＣによる画面転送セッションが確立する。

ＴＶ会議が終了すると、担当者ａ及び担当者ｂは、電話を切断する（シーケンスＳ８１７）。電話が切断されると、ＶＰＮはデータコネクトのデータ通信に紐づいているので、ＶＰＮも同時に切断される。

以上のように、第３の実施形態では、ＶＰＮ装置１８，２８は、電話番号を用い、ＳＩＰによる電話セッションを確立する。ＶＰＮ装置１８，２８は、確立されている電話セッションを利用してデータ通信を行うことでＶＰＮを確立させる。このとき、ＶＰＮ装置１８に対しては、ＶＰＮＩＰアドレス「１０．０．０．２」が設定され、ＶＰＮ装置２８に対しては、ＶＰＮＩＰアドレス「１０．０．０．１」が設定される。通信装置２９は、通信装置１９，２９の接続準備が完了すると、ＶＰＮ装置２８のＬＡＮ側ＩＰアドレス「１９２．１６８．１．１００」、かつ、ＴＣＰ：５９００宛てのセッション確立パケットを送信する。ＶＰＮ装置２８は、通信装置２９から送信されたセッション確立パケットを、ＶＰＮ装置１８のＶＰＮＩＰアドレス「１０．０．０．２」、かつ、ＴＣＰ：５９００へ転送する。ＶＰＮ装置１８は、ＶＰＮ装置２８から送信されたセッション確立パケットを、通信装置１９のＬＡＮ側ＩＰアドレス「１９２．１６８．１．１０１」、かつ、ＴＣＰ：５９００へ転送するようにしている。これにより、通信システムは、ＳＩＰセッションを利用することでＶＰＮ装置１８，２８の間でＶＰＮを確立させ、確立させたＶＰＮを利用して通信装置１９の、例えば、資料等が表示されている表示画面を、通信装置２９に表示させることが可能となる。

したがって、第３の実施形態に係る通信システムによれば、複数の拠点毎に設置される、公開してアクセスされる特定の通信機器間で、安全かつ簡単な操作で一時的なセッションを確立させることができる。

また、第３の実施形態では、ＶＰＮ装置１８は、ＶＰＮ装置１８のプライベートＩＰアドレス及びポート番号を含む情報を、ＳＳＤＰを用いてからマルチキャストアドレスへ送信する。通信装置１９は、ブラウザによりＶＰＮ装置１８へアクセスし、情報を発信したホストの機器名等をモニタに表示する。通信装置１９は、ブラウザ画面に対して入力されるＴＣＰ：５９００をＶＰＮ装置１８へ出力する。ＶＰＮ装置１８は、通信装置１９から出力されるＴＣＰ：５９００と、ブラウザアクセスのソースＩＰアドレスとしての通信装置１９のプライベートＩＰアドレス「１９２．１６８．１．１０１」とから、ＶＰＮ装置１８へ送信されるパケットを通信装置１９のプライベートＩＰアドレス「１９２．１６８．１．１０１」かつＴＣＰ：５９００へ転送するように、自装置を設定する。これにより、ＶＰＮ装置１８は、ＶＰＮ装置１８のＷＥＢインタフェースを利用して転送先を簡易に保持することが可能となる。

また、第３の実施形態では、担当者ａが、相手との会話内容、又は、相手から受信した映像等により担当者ｂ及び会社Ｂの正当性を確認した後、ＶＰＮ装置１８に転送情報を保持させる。そして、ＶＰＮ装置１８は、転送情報を保持した後、ＶＰＮ装置２８に対してＶＰＮ確立処理を開始させるようにしている。これにより、強固かつ、簡易な認証が可能となる。

なお、第３の実施形態では、会社Ａの通信装置１９の情報のみを会社Ｂの通信装置２９に公開する場合を例に説明したが、これに限定されない。例えば、会社Ａにおける通信装置１９以外の機器の情報も、上記シーケンスＳ８９〜シーケンスＳ８１６を実施すれば、会社Ｂの通信装置２９に公開することが可能である。

また、第３の実施形態では、会社Ａの通信装置１９の情報を会社Ｂの通信装置２９に公開する場合を例に説明したが、これに限定されない。例えば、通信装置２９の情報を通信装置１９に公開することも可能である。このとき、ＶＰＮ装置２８側がクライアントとして接続され、シーケンスＳ８５〜シーケンスＳ８１６をシーケンスが左右逆になるように取ればよい。すなわち、通話の着信側の通信装置の情報を公開することも、発信側の通信装置の情報を公開することのどちらも可能である。

また、第３の実施形態では、図８に示すシーケンスに従ってＲｅａｌＶＮＣのセッションを通信装置１９及び通信装置２９間で確立する場合を例に説明したが、これに限定されない。例えば、図９に示すシーケンスに従い、ＲｅａｌＶＮＣセッションを確立するようにしても構わない。図９は、会社Ｂの担当者ｂと、会社Ａの担当者ａとがＴＶ電話を行い、その最中に通信装置２９と通信装置１９とを接続させる際の動作を示すシーケンス図である。

まず、シーケンスＳ９１及びシーケンスＳ９２により、ＶＰＮ装置１８とＶＰＮ装置２８との間で、ＴＶ電話を利用するためのＳＩＰセッションを確立する。

具体的には、ＶＰＮ装置２８から、ＶＰＮ装置１８の電話番号に対して発信する（シーケンスＳ９１）。その際、ＶＰＮ装置２８は、音声（ｍ＝ａｕｄｉｏ）及び映像（ｍ＝ｖｉｄｅｏ）をメディアストリームとするモードで発信し、自分の電話番号（発番号）をＮＧＮのＳＩＰ仕様に従って通知する。

担当者ａは、ＶＰＮ装置１８により、着信に応答する操作を行う（シーケンスＳ９２）。ＶＰＮ装置１８は、応答する際、ＶＰＮ装置２８の発番号を保持する。

次に、ＴＶ会議の中で資料を共有する必要が発生し、担当者ｂから担当者ａへ、通信装置１９と通信装置２９との接続による資料の共有を口頭で依頼した後に、ＶＰＮ装置１８及びＶＰＮ装置２８間でＶＰＮを構築する処理をシーケンスＳ９３〜シーケンスＳ９１０で説明する。

まず、担当者ｂは、通信装置１９と通信装置２９との接続を担当者ａへ口頭で依頼する（シーケンスＳ９３）。通信装置１９と通信装置２９との接続依頼を受けた担当者ａは、通話相手が会社Ｂに所属しており、資料を開示してよい正当なユーザ（本例では担当者ｂ）かどうかを「相手との会話内容」を参照して確認する（シーケンスＳ９４）。もちろん、「相手との会話内容」による確認には、「相手の声」及び「（テレビ電話の場合は）相手の顔」等の事前に担当者ａが入手可能なユーザ固有情報による確認も含まれる。

担当者ａは、ＶＰＮ装置１８に、ＶＰＮが確立された際に仮想的に付与されるＶＰＮＩＰアドレス、かつ、ＴＣＰ：５９００宛てのパケットを通信装置１９へ転送する情報を保持させる（シーケンスＳ９５）。ただし、本設定が有効になるのは後述するシーケンスＳ８９以降である。なお、ＶＰＮ装置１８のＷＥＢインタフェースを用い、転送先を保持する方法は上述した通りである。
続いて、ＶＰＮ装置１８，２８は、確立されているＳＩＰセッションにデータコネクトセッションを利用するためのメディアセッションを追加するためのメディアセッション追加処理を、シーケンスＳ９６及びシーケンスＳ９７で示すように、ＳＩＰを利用して実行する。

具体的には、ＶＰＮ装置１８は、ＶＰＮ装置１８，２８間で確立されているＴＶ電話セッションに、データ通信（ｍ＝ａｐｌｉｃａｔｉｏｎ）をメディアストリームとして追加するように、ＶＰＮ装置２８へ、ＳＩＰで規定されるＵＰＤＡＴＥ及びＲｅｉｎｖｉｔｅ等のメディア変更コマンドを送信する（シーケンスＳ９６）。このとき、ＶＰＮ装置１８は、ＵＤＰによる通信を行う際の自装置の待受けＩＰアドレス及びポート番号「ｃ．ｃ．ｃ．ｃ：ＵＤＰ：ｘｘｘｘ」を、ＮＧＮのＳＩＰ仕様に従って通知する。

ＶＰＮ装置２８は、ＶＰＮ装置１８からのメディア変更コマンドに対して応答する（シーケンスＳ９７）。その際、ＶＰＮ装置２８は、自動的に応答してもよい。また、ＶＰＮ装置２８は、ＶＰＮ装置２８に接続されるモニタにメディアを変更する旨を表示させ、表示内容に対して承諾する内容の操作に従って応答してもよい。ＶＰＮ装置２８は、応答する際、ＵＤＰによる通信を行う際のＶＰＮ装置１８の待受けＩＰアドレス及びポート番号「ｃ’．ｃ’．ｃ’．ｃ’：ＵＤＰ：ｘ’ｘ’ｘ’ｘ’」を保持する。ＶＰＮ装置２８は、ここで応答する際に、ＵＤＰによる通信を行う際の自分側の待受けＩＰアドレス及びポート番号「ｄ．ｄ．ｄ．ｄ：ＵＤＰ：ｙｙｙｙ」を通知する。ＶＰＮ装置１８は、ＶＰＮ装置２８の受付けＩＰアドレス及びポート番号「ｄ’．ｄ’．ｄ’．ｄ’：ＵＤＰ：ｙ’ｙ’ｙ’ｙ’」を受け取り保持する。

ＳＩＰセッションにメディアセッションが追加されると、ＶＰＮ装置２８は、シーケンスＳ９８及びシーケンスＳ９９により、ＶＰＮサーバを起動させる。なお、ＶＰＮのクライアント側となり、ＶＰＮ確立処理を開始するのは、相手のＬＡＮに通信装置を公開する設定を行う側である。そのため、ＶＰＮ装置１８側が、ＶＰＮの確立要求側となる。よって、要求を受けるＶＰＮ装置２８側でのみＶＰＮサーバを起動させる必要がある。

具体的には、ＶＰＮ装置２８は、シーケンスＳ９１で発信した自装置の電話番号「０１２３４５６７８９」を、ＶＰＮパスワード（共有認証情報）として設定する（シーケンスＳ９８）。

続いて、ＶＰＮ装置２８は、ＶＰＮサーバを起動する（シーケンスＳ９９）。ここで、ＶＰＮサーバの起動は無条件ではない。ＶＰＮ装置２８は、ＶＰＮ接続を許容する電話番号を、装置内の図示しない記憶領域に保持している。ＶＰＮ装置２８は、シーケンスＳ９１で入力される着番号が記憶領域に保持されている場合、ＶＰＮサーバを立ち上げる。

サーバを立ち上げる際に必要な情報は、「ＶＰＮ接続先ＩＰアドレス」及び「ＵＤＰポート番号」、「ＰＰＰユーザ名」、並びに、「ＰＰＰパスワード」である。ＶＰＮ装置２８は、シーケンスＳ９６において、「ＶＰＮ接続先ＩＰアドレス」を「ｃ．ｃ．ｃ．ｃ」として取得済みであり、「ＵＤＰポート番号」を「ｘｘｘｘ」として取得済みである。また、ＰＰＰユーザ名は、ＶＰＮ装置２８において固定値「user」として組み込まれている。また、ＶＰＮ装置２８は、シーケンスＳ９８でそれぞれ示すように、「ＰＰＰパスワード」を「０１２３４５６７８９」として取得済みである。ＶＰＮ装置２８は、上記をパラメータとして、ＵＤＰの標準ポート番号：１７０１ではなく、ＵＤＰポート番号：ｙｙｙｙを用いて、Ｌ２ＴＰのＶＰＮサーバを立ち上げる。

ＶＰＮ装置１８は、ＶＰＮ装置２８でＶＰＮサーバが起動されると、ＶＰＮ接続先ＩＰアドレス「ｄ．ｄ．ｄ．ｄ」及びＵＤＰポート番号「ｙｙｙｙ」、ＰＰＰユーザ名「ｕｓｅｒ」、並びに、共有認証情報「０１２３４５６７８９」をパラメータとして、ＶＰＮ装置２８に対してＶＰＮ確立処理を開始する（シーケンスＳ９１０）。ＶＰＮ確立処理の中では、共有認証情報の認証、並びに、自ＶＰＮＩＰアドレス及び相手ＶＰＮＩＰアドレスについてのネゴシエーション等を行い、Ｌ２ＴＰによるＶＰＮを確立する。

なお、確立されたＶＰＮを利用してＬＡＮ２４内から通信装置１９へトンネルを確立する処理は、図８におけるシーケンスＳ８９〜シーケンスＳ８１３と同様である。また、通信装置１９と通信装置２９との間でＲｅａｌＶＮＣセッションを確立する処理は、図８におけるシーケンスＳ８１４〜シーケンスＳ８１６と同様である。

また、ＴＶ会議が終了すると、担当者ａ及び担当者ｂは、電話を切断する（シーケンスＳ８１７）。電話が切断されると、ＶＰＮはデータコネクトのデータ通信に紐づいているので、ＶＰＮも同時に切断される。

なお、この発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態に亘る構成要素を適宜組み合せてもよい。

また、本発明の通信システムは、コンピュータとプログラムによっても実現でき、プログラムを記録媒体に記録することも、ネットワークを通して提供することも可能である。

１１…ＨＧＷ、１２…ＶＰＮ装置、１３…通信装置、１４…ＬＡＮ、１５…ＨＧＷ、１６…通信装置、１７…ＨＧＷ、１８…ＶＰＮ装置、１９…通信装置、２１…ＨＧＷ、２２…ＶＰＮ装置、２３…通信装置、２４…ＬＡＮ、２５…ＨＧＷ、２６…通信装置、２７…ＨＧＷ、２８…ＶＰＮ装置、２９…通信装置

Claims (8)

1. 第１のＬＡＮ（Local Area Network）、並びに、前記第１のＬＡＮに収容される第１のＶＰＮ（Virtual Private Network）装置及び第１の通信装置が設けられる第１の拠点と、第２のＬＡＮ、並びに、前記第２のＬＡＮに収容される第２のＶＰＮ装置及び第２の通信装置が設けられる第２の拠点とにおいて、前記第１の通信装置と前記第２の通信装置との間で用いられるセッション確立方法であって、
   
   前記第１及び第２のＬＡＮは、ＮＡＰＴ（Network Address Port Translation）機能を有するゲートウェイ経由でＩＰネットワークへ接続する場合、
   前記第１及び第２のＶＰＮ装置が、１つ又は２つのポートを利用する通信により、共有認証情報を用いた認証を行った上で、前記第１及び第２のＶＰＮ装置間でＩＰ通信可能となるＶＰＮを確立し、
   前記ＶＰＮの確立処理において、前記第１のＶＰＮ装置に対して前記ＶＰＮで用いられる第１のＶＰＮＩＰアドレスを割り当て、前記第２のＶＰＮ装置に対して前記ＶＰＮで用いられる第２のＶＰＮＩＰアドレスを割り当て、
   前記第２の通信装置が、前記第２のＶＰＮ装置のＬＡＮ側ＩＰアドレス、かつ、前記第１の通信装置において公開アクセスを許容する待受けポート番号宛てのセッション確立パケットを送信し、
   前記第２のＶＰＮ装置が、前記セッション確立パケットを、前記第１のＶＰＮ装置の前記第１のＶＰＮＩＰアドレスかつ前記待受けポート番号へ転送し、
   前記第１のＶＰＮ装置が、前記セッション確立パケットを、前記第１の通信装置のＬＡＮ側ＩＰアドレスかつ前記待受けポート番号へ転送することで、前記第１及び第２の通信装置間のセッションを確立させるセッション確立方法。
2. 前記第１の通信装置は、前記第１のＶＰＮ装置に対して通信接続し、
   前記第１のＶＰＮ装置は、前記待受けポート番号が入力された場合、前記入力された待受けポート番号と、前記通信接続の接続元のＩＰアドレスとを、前記第１のＶＰＮＩＰアドレスかつ前記入力された待受けポート宛てに送信されるパケットの転送先として設定する請求項１記載のセッション確立方法。
3. 前記第１のＶＰＮ装置で設定される共有認識情報を、前記第２のＶＰＮ装置で設定する許可が入力された場合にのみ、前記第１及び第２のＶＰＮ装置間で共有する請求項１記載のセッション確立方法。
4. 前記第１のＶＰＮ装置の機能は、前記第１のＬＡＮと前記ＩＰネットワークとのインタフェースとなる第１のＨＧＷ（Home Gate Way）が有し、
   前記第２のＶＰＮ装置の機能は、前記第２のＬＡＮと前記ＩＰネットワークとのインタフェースとなる第２のＨＧＷが有する請求項１記載のセッション確立方法。
5. 第１のＬＡＮ（Local Area Network）、並びに、前記第１のＬＡＮに収容される第１のＶＰＮ（Virtual Private Network）装置及び第１の通信装置が設けられる第１の拠点と、第２のＬＡＮ、並びに、前記第２のＬＡＮに収容される第２のＶＰＮ装置及び第２の通信装置が設けられる第２の拠点とにおいて、前記第１の通信装置と前記第２の通信装置との間で用いられるセッション確立方法であって、
   前記第１及び第２のＬＡＮは、ＮＧＮ（Next Generation Network）へ接続する場合、
   前記第１及び第２のＶＰＮ装置が、ＳＩＰ（Session Initiation Protocol）を用い、前記第１及び第２のＶＰＮ装置間で音声、映像及びデータを通信可能なセッションを確立し、
   前記第１及び第２のＶＰＮ装置が、前記セッションを利用し、前記第１及び第２のＶＰＮ装置間でＩＰ通信可能となるＶＰＮを確立し、
   前記ＶＰＮの確立処理において、前記第１のＶＰＮ装置に対して前記ＶＰＮで用いられる第１のＶＰＮＩＰアドレスを割り当て、前記第２のＶＰＮ装置に対して前記ＶＰＮで用いられる第２のＶＰＮＩＰアドレスを割り当て、
   前記第２の通信装置が、前記第２のＶＰＮ装置のＬＡＮ側ＩＰアドレス、かつ、前記第１の通信装置において公開アクセスを許容する待受けポート番号宛てのセッション確立パケットを送信し、
   前記第２のＶＰＮ装置が、前記セッション確立パケットを、前記第１のＶＰＮ装置の前記第１のＶＰＮＩＰアドレスかつ前記待受けポート番号へ転送し、
   前記第１のＶＰＮ装置が、前記セッション確立パケットを、前記第１の通信装置のＬＡＮ側ＩＰアドレスかつ前記待受けポート番号へ転送することで、前記第１及び第２の通信装置間のセッションを確立させるセッション確立方法。
6. 前記第１の通信装置は、前記第１のＶＰＮ装置に対して通信接続し、
   前記第１のＶＰＮ装置は、前記待受けポート番号が入力された場合、前記入力された待受けポート番号と、前記通信接続の接続元のＩＰアドレスとを、前記第１のＶＰＮＩＰアドレスかつ前記入力された待受けポート宛てに送信されたパケットの転送先として保持する請求項５記載のセッション確立方法。
7. 前記第２のＶＰＮ装置がＶＰＮの確立相手として承認する旨が入力された場合、前記第１の通信装置は、前記第１のＶＰＮ装置に対して通信接続し、
   前記第１のＶＰＮ装置は、前記待受けポート番号が入力された場合、前記入力された待受けポート番号と、前記通信接続の接続元のＩＰアドレスとを、前記第１のＶＰＮＩＰアドレスかつ前記入力された待受けポート宛てに送信されたパケットの転送先として保持する請求項５記載のセッション確立方法。
8. 前記ＶＰＮが確立されると、前記第１のＶＰＮ装置が、前記保持する転送先を設定し、
   前記第１のＶＰＮ装置が、前記設定された受付けポート番号を、前記第２のＶＰＮ装置へ通知し、
   前記第２のＶＰＮ装置が、前記通知を受信すると、前記第２のＶＰＮ装置のＬＡＮ側ＩＰアドレス、かつ、前記通知された待受けポート番号宛てに送信されるパケットの転送先として、前記第１のＶＰＮＩＰアドレスかつ前記通知された待受けポート番号を設定する請求項６又は７記載のセッション確立方法。

Images