JP4251008B2 - ネットワーク間接続装置の自動設定システム及びそれに用いる自動設定方法 - Google Patents
ネットワーク間接続装置の自動設定システム及びそれに用いる自動設定方法 Download PDFInfo
- Publication number
- JP4251008B2 JP4251008B2 JP2003124609A JP2003124609A JP4251008B2 JP 4251008 B2 JP4251008 B2 JP 4251008B2 JP 2003124609 A JP2003124609 A JP 2003124609A JP 2003124609 A JP2003124609 A JP 2003124609A JP 4251008 B2 JP4251008 B2 JP 4251008B2
- Authority
- JP
- Japan
- Prior art keywords
- setting
- network
- inter
- connection device
- network connection
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
- Small-Scale Networks (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明はネットワーク間接続装置の自動設定システム及びそれに用いる自動設定方法に関し、特にファイアウォール越しに行う拠点間の直接通信、ＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｒｔｗｏｒｋ）環境構築のためのＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）間接続装置の自動設定システムに関する。
【０００２】
【従来の技術】
従来、インタネットを介してＬＡＮ間接続を行うＬＡＮ間接続装置の自動設定システムとしては、図１１に示す処理動作を行うシステムが知られている。
【０００３】
このシステムでは、マネージャがネットワークディスカバリし、その部分のネットワーク領域を含んだネットワークマップが表示画面に表示される（図１１ステップＳ１６１）。ユーザは画面上に表示されたネットワークマップを見ながら、構築したい通信ネットワークの範囲を指定する。この場合の範囲指定は、少なくとも２以上の通信端末器を指定することによってなされるが、必要に応じて、サブネット間の通信路を指定してもよい（図１１ステップＳ１６２）。
【０００４】
かくして、通信端末器を選択して、構築したい通信ネットワークの設定範囲が指定されると、予め作成されているセキュリティポリシ情報記憶テーブルが画面上に表示されるので、そのテーブルから設定しようとする通信条件を選択する。このような通信条件は、暗号ＶＰＮ通信を行うために暗号アルゴリズムや認証アルゴリズムの種別を選択して設定されるが、後述するように、暗号なしの設定がなされる場合もある（図１１ステップＳ１６３）。
【０００５】
ステップＳ１６２，Ｓ１６３の処理によって、セキュリティポリシを設定するネットワーク上の設定範囲と、セキュリティ情報記憶テーブルによって通信条件とが選択されると、マネージャはネットワークマップを利用して指定されたネットワーク上の通信パスのトポロジを検索し（図１１ステップＳ１６４）、それぞれの通信パスを構成するネットワーク機器に対して、設定すべきセキュリティポリシを作成する（図１１ステップＳ１６５，Ｓ１６６）。
【０００６】
続いて、マネージャは設定された通信条件によって、通信パスを構成するネットワーク機器間で通信されるパケットデータに対して、暗号の復号化処理が二重、三重に重複していないかどうかを判断し（図１１ステップＳ１６７）、そのような重複が生じている場合には、それら復号化処理の重複を解除し（図１１ステップＳ１６８）、最後に作成されたセキュリティポリシを検索されたネットワーク機器に対して自動的に設定する（図１１ステップＳ１６９）（例えば、特許文献１参照）。尚、ＩＰｓｅｃプロトコル通信を用いて、パケットデータが通信される場合には、重複復号を防ぐために、予め暗号化処理を行わないようにしてもよい。
【０００７】
また、従来、ネットワーク間をルータ（中継装置）を介して接続するシステムとしては、システムに接続されたルータやＬＡＮの増減変更、あるいは障害に際して、可能な限り低いトラフィックによってルーティング情報を動的に変更するために、公衆網に対してネットワーク管理とルーティング管理とを集中的に行うルーティングマネージャを設ける方法がある（例えば、特許文献２参照）。
【０００８】
上記のシステムでは、ルーティングマネージャが公衆網を介して相互に接続できる全てのＬＡＮについて、その中継点であるルータを示すルーティング対象リストを備えている。ネットワークの障害等によるルータの追加、削除、中継経路の切換え、ＬＡＮの追加、削除等の通知は、すべてそのルーティングマネージャに対して行われる。
【０００９】
ルーティングマネージャはそれらの通知を受けると、ルーティング対象リストの更新を行い、各ルータに対してルーティング情報を更新するための必要最小限の情報を通知する。すなわち、ルーティングマネージャは各ルータ（ゲートウェイ）のルーティングテーブルの各エントリ（行）毎の追加・削除を遠隔設定しているにすぎない。
【００１０】
また、上記の方法で扱うデータはルーティングテーブルの各エントリ１種類のみである。さらに、ルーティングプロトコル［ＲＩＰ（Ｒｏｕｔｉｎｇ Ｉｎｆｏｒｍａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）やＯＳＰＦ（Ｏｐｅｎ Ｓｈｏｒｔｅｓｔ Ｐａｔｈ Ｆｉｒｓｔ）等］が動作している環境下においては、上記の方法はあえて使用する必要はない。
【００１１】
【特許文献１】
特開２０００−３２４１０４号公報（第５，６頁、図１）
【特許文献２】
特開平６−１３２９５９号公報（第５〜７頁、図１）
【００１２】
【発明が解決しようとする課題】
しかしながら、上述した従来のＬＡＮ間接続装置の自動設定システムでは、ファイアウォールが設置された場合、ルーティング情報変更後にルータ間で通信できないという課題がある。
【００１３】
従来のシステムの動作に着目すると、ルーティングマネージャはルーティング情報を配布し、ルータがその情報に基づいて転送処理を行うのみで、その情報との連携動作を行わない。
【００１４】
また、上記の連携動作を行わない場合に問題になるのは、ファイアウォールが設置された場合に限らず、閉鎖性を考慮したＶＰＮを構築する際にも、ＶＰＮの構築に必要なＶＰＭサーバの存在や、ファイアウォール、トンネルホストと連携してＶＰＮサーバに適切な設定をする操作が必要となる。どちらの場合においても、設定情報はファイアウォール、トンネルホスト、ＶＰＮサーバ間で互いに矛盾なく設定する必要がある。
【００１５】
一方、従来のＬＡＮ間接続装置の自動設定システムでは、新規の拠点ＬＡＮを追加した箇所についてＶＰＮを構築することができないという課題がある。従来のシステムの動作に着目すると、まずネットワーク上に存在する端末を自動探索し、検出されたネットワーク上の既存の端末群の中からセキュリティポリシの設定範囲を指定する操作を行ったうえで、通信条件を決定すると、ＶＰＮを自動構築している。
【００１６】
上記の動作をふまえると、新規に拠点ＬＡＮを追加させようとする時には、新規の拠点ＬＡＮがネットワーク上に存在しないため、自動検索を行っても検出されず、ネットワーク上に存在する端末として認識されない。つまり、新規の拠点ＬＡＮ間接続装置を他拠点のＬＡＮ間接続装置が認識できないということである。
【００１７】
また、従来の方法では、通信端末器同士の通信を行う際に、経路上の通信機器を設定するもので、ネットワークセグメント等のような規模の大きな変更を即座に反映するには煩雑な操作を繰り返す必要がある。
【００１８】
そこで、本発明の目的は上記の問題点を解消し、新規の拠点ＬＡＮを追加してもファイアウォール越しにＶＰＮ構築の自動設定を行うことができるネットワーク間接続装置の自動設定システム及びそれに用いる自動設定方法を提供することにある。
【００１９】
【課題を解決するための手段】
本発明によるネットワーク間接続装置の自動設定システムは、複数のネットワーク間接続装置と少なくとも１つの設定装置とを配置し、１つの設定装置に少なくとも２つのネットワーク間接続装置がインタネットを介して接続されるネットワーク間接続装置の自動設定システムであって、
前記ネットワーク間接続装置各々に、
前記インタネットを介したアクセスを制限するためのファイアウォールと、他のネットワーク間接続装置へデータを転送する手段を含むトンネルホストと、自装置配下のネットワークの利用者のアカウントデータを保持するＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｒｔｗｏｒｋ）サーバと、前記設定装置との認証のための接続手段と前記ファイアウォールの設定手段と前記トンネルホスト及び前記ＶＰＮサーバにルーティングデータを与える手段とを含む設定クライアントとを有し、
前記設定装置に、
前記インタネットを介したアクセスを制限するためのファイアウォールと、前記設定クライアントを認証する手段と前記ファイアウォールの設定手段とを含みかつ前記設定クライアントへ配布する前記ファイアウォールの設定情報を格納したポリシデータ及び各拠点の前記ネットワーク間接続装置が保持する拠点内ネットワーク設定情報を統合した拠点内ネットワーク設定統合データを保持する設定サーバとを有し、
前記ネットワーク間接続装置が新規に追加された時に、当該ネットワーク間接続装置の前記設定クライアントが前記設定装置へ前記拠点内ネットワーク設定情報を通知し、
前記設定サーバが当該拠点内ネットワーク設定情報を拠点内ネットワーク設定統合データに統合して保存し、前記ポリシデータと前記拠点内ネットワーク設定統合データとを前記ネットワーク間接続装置へ送信して当該ネットワーク間接続装置の拠点内ネットワーク設定情報及び前記ポリシデータを設定し、
前記設定装置によって前記ネットワーク間接続装置各々の拠点内ネットワーク設定情報及び前記ポリシデータを設定している。
【００２０】
本発明によるネットワーク間接続装置の自動設定方法は、複数のネットワーク間接続装置と少なくとも１つの設定装置とを配置し、１つの設定装置に少なくとも２つのネットワーク間接続装置がインタネットを介して接続されるネットワーク間接続装置の自動設定方法であって、
前記ネットワーク間接続装置各々の設定クライアントが、前記設定装置との認証のための接続を行い、前記インタネットを介したアクセスを制限するためのファイアウォールの設定を行い、他のネットワーク間接続装置へデータを転送する手段を含むトンネルホスト及び前記ネットワーク間接続装置配下のネットワークの利用者のアカウントデータを保持するＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｒｔｗｏｒｋ）サーバにルーティングデータを与え、
前記設定装置の設定サーバが、前記設定クライアントを認証し、前記インタネットを介したアクセスを制限するためのファイアウォールの設定を行い、前記設定クライアントへ配布する前記ファイアウォールの設定情報を格納したポリシデータ及び各拠点の前記ネットワーク間接続装置が保持する拠点内ネットワーク設定情報を統合した拠点内ネットワーク設定統合データを保持し、
前記ネットワーク間接続装置が新規に追加された時に、当該ネットワーク間接続装置の前記設定クライアントが前記設定装置へ前記拠点内ネットワーク設定情報を通知し、
前記設定サーバが当該拠点内ネットワーク設定情報を拠点内ネットワーク設定統合データに統合して保存し、前記ポリシデータと前記拠点内ネットワーク設定統合データとを前記ネットワーク間接続装置へ送信して当該ネットワーク間接続装置の拠点内ネットワーク設定情報及び前記ポリシデータを設定し、
前記設定装置によって前記ネットワーク間接続装置各々の拠点内ネットワーク設定情報及び前記ポリシデータを設定している。
【００２１】
すなわち、本発明の第１のＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）間接続装置の自動設定システムは、上記課題を解決するために、複数のＬＡＮ間接続装置と少なくとも１つの設定装置とが配置され、１つの設定装置には少なくとも２つのＬＡＮ間接続装置がインタネットを介して接続され、ＬＡＮ間接続装置に、インタネットを介したアクセスを制限するためのファイアウォールと、他拠点に配置されたＬＡＮ間接続装置へデータを転送する手段を持つトンネルホストと、ＬＡＮ間接続装置配下のＬＡＮ利用者のアカウントデータを保持するＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｒｔｗｏｒｋ）サーバと、設定装置との認証のための接続手段とファイアウォールの設定手段とトンネルホスト及びＶＰＮサーバにルーティングデータを与える手段とを持つ設定クライアントとを備えている。
【００２２】
上記の設定装置においては、インタネットを介したアクセスを制限するためにファイアウォールと、ＬＡＮ間接続装置の設定クライアントを認証する手段と、ファイアウォールの設定手段と、ＬＡＮ間接続装置の設定クライアントへ配布するファイアウォールの設定情報を格納したポリシデータ及び各拠点のＬＡＮ間接続装置が保持する拠点内ネットワーク設定情報を統合した拠点内ネットワーク設定統合データを保持する設定サーバとを備え、この設定装置によってＬＡＮ間接続装置の拠点内ネットワーク設定情報とポリシデータとを自動設定している。
【００２３】
本発明の第２のＬＡＮ間接続装置の自動設定システムでは、ＬＡＮ間接続装置が複数のＬＡＮ間接続装置同士のネットワークに新たに参加する際に、ＬＡＮ間接続装置の設定クライアントが設定装置へ認証のための接続要求を通知している。設定装置の設定サーバは設定クライアントとの認証が成立して認証成立応答を通知すると、ＬＡＮ間接続装置が拠点内ネットワーク設定情報を設定装置へ送信する。
【００２４】
設定装置の設定サーバは受信した各ＬＡＮ間接続装置の拠点内ネットワーク設定情報を拠点内ネットワーク設定統合データに統合して保存し、ポリシデータと拠点内ネットワーク設定統合データとをＬＡＮ間接続装置へ送信する。ＬＡＮ間接続装置はポリシデータ及び拠点内ネットワーク設定統合データから必要な設定項目を抽出して設定項目の設定を行う。
【００２５】
本発明の第３のＬＡＮ間接続装置の自動設定システムでは、ＬＡＮ間接続装置が運用中において、常に設定装置と接続し、設定装置の設定サーバが保持するポリシデータまたは拠点内ネットワーク設定情報に変更が生じた場合、ポリシデータまたは拠点内ネットワーク設定情報をＬＡＮ間接続装置へ直ちに送信している。
【００２６】
本発明の第４のＬＡＮ間接続装置の自動設定システムでは、ＬＡＮ間接続装置が運用中において、常に設定装置と接続し、ＬＡＮ間接続装置の設定クライアントが、設定装置の設定サーバへポリシデータ及び拠点内ネットワーク設定統合データの送信を一定の周期で要求する。設定装置の設定サーバはポリシデータ及び拠点内ネットワーク設定統合データをＬＡＮ間接続装置へ送信し、ＬＡＮ間接続装置の設定クライアントはポリシデータ及び拠点内ネットワーク設定統合データの変更の有無を確認する。
【００２７】
本発明の第５のＬＡＮ間接続装置の自動設定システムでは、設定装置の設定サーバが保持するポリシデータが変更されると、ＬＡＮ間接続装置の設定クライアントがポリシデータから必要な設定項目を抽出し、その抽出結果にて設定項目の設定を行っている。
【００２８】
本発明の第６のＬＡＮ間接続装置の自動設定システムでは、設定装置の設定サーバが保持する拠点内ネットワーク設定統合データが変更されると、ＬＡＮ間接続装置の設定クライアントが拠点内ネットワーク設定統合データから必要な設定項目を抽出し、その抽出結果にて設定項目の設定を行っている。
【００２９】
本発明の第７のＬＡＮ間接続装置の自動設定システムでは、ＬＡＮ間接続装置が運用中において、常に設定装置と接続し、ＬＡＮ間接続装置の設定クライアントが保持する拠点内ネットワーク設定情報に変更が生じた場合、ＬＡＮ間接続装置の設定クライアントが拠点内ネットワーク設定情報を設定装置へ直ちに送信している。
【００３０】
本発明の第８のＬＡＮ間接続装置の自動設定システムでは、ＬＡＮ間接続装置が運用中において、常に設定装置と接続し、設定置の設定サーバがＬＡＮ間接続装置の設定クライアントへ拠点内ネットワーク設定統合データの送信要求を通知し、ＬＡＮ間接続装置の設定クライアントが拠点内ネットワーク設定統合データを設定装置へ送信し、設定装置の設定サーバが拠点内ネットワーク設定統合データの変更の有無を確認している。
【００３１】
本発明の第９のＬＡＮ間接続装置の自動設定システムでは、ＬＡＮ間接続装置が保持する拠点内ネットワーク設定情報が変更されると、設定装置が拠点内ネットワーク設定情報をネットワーク設定統合データへ反映している。
【００３２】
本発明の第１０のＬＡＮ間接続装置の自動設定システムでは、ＬＡＮ間接続装置が運用中において、常に設定装置との接続を監視し、接続が切断された場合に設定装置との再接続を行っている。
【００３３】
上記のように、本発明のＬＡＮ間接続装置の自動設定システムでは、セキュリティポリシを安全にＬＡＮ間接続装置が取得し、ファイアウォール、ＬＡＮ間接続装置の設定を自動で行うので、新規の拠点ＬＡＮを追加しても、ファイアウォール越しのＶＰＮ構築の自動設定を行うことが可能となる。
【００３４】
また、本発明のＬＡＮ間接続装置の自動設定システムでは、ネットワークセグメントのような規模の大きな設定であっても、設定要員が煩雑な作業を行う必要がなくなり、ユーザが安全性を欠くことなく、サービスを受けることが可能となる。
【００３５】
【発明の実施の形態】
次に、本発明の実施例について図面を参照して説明する。図１は本発明の一実施例によるＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）間接続装置の自動設定システムの構成を示すブロック図である。図１において、本発明の一実施例によるＬＡＮ間接続装置の自動設定システムでは、第１のＬＡＮ間接続装置１と第２のＬＡＮ間接続装置２とがインタネット１００を介して設定装置３に接続されている。
【００３６】
第１のＬＡＮ間接続装置１は設定クライアント１１と、ファイアウォール１２と、トンネルホスト１３と、ＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｒｔｗｏｒｋ）サーバ１４とから構成されている。図示していないが、第２のＬＡＮ間接続装置２は第１のＬＡＮ間接続装置１と同様の構成となっている。
【００３７】
設定クライアント１１は、図示していないが、設定装置３との認証のための手段と、ファイアウォール１２の設定手段と、トンネルホスト１３及びＶＰＮサーバ１４にルーティングデータを与える手段とを持つ。設定クライアント１１はＶＰＮ構築に必要なトンネルホストＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス、ＶＰＮサーバＩＰアドレス、ルーティングデータが格納されているＬＡＮ間接続装置の拠点内ネットワーク設定情報ファイル１１１と、ファイアウォール１２を設定する際に必要となる情報が格納されているポリシファイル１１２とを備えている。
【００３８】
トンネルホスト１３は他拠点のＬＡＮ間接続装置へパケットを転送する手段を持つ。ＶＰＮサーバ１４は第１のＬＡＮ間接続装置１配下のＬＡＮのアカウントデータを保持する。
【００３９】
設定装置３は各拠点のＬＡＮ間接続装置の設定クライアント１１との認証を行う設定サーバ３１と、ファイアウォール３２とを備えている。設定サーバ３１は各拠点のＬＡＮ間接続装置の拠点内ネットワーク設定情報ファイル１１１を統合した拠点内ネットワーク設定情報統合ファイル３１１と、各拠点に共通なポリシファイル３１２とを備えている。
【００４０】
尚、第１のＬＡＮ間接続装置１及び第２のＬＡＮ間接続装置２と設定装置３との認証やファイル交換には、送信側と受信側とでそれぞれ２つの鍵を持つ公開鍵暗号方式を用いるものとする。公開鍵は誰にでも公開され、公開鍵で暗号化されたデータは秘密鍵でのみ復号することができる関係にあるため、各拠点のＬＡＮ間接続装置に予め組込まれたＬＡＮ間接続装置の秘密鍵、設定装置３の公開鍵と、設定装置３に予め組み込まれたＬＡＮ間接続装置の公開鍵、設定装置３の秘密鍵を利用して通信を行う。
【００４１】
また、各拠点のＬＡＮ間接続装置と設定装置３にプリセットで構築したＶＰＮや１回のセッションだけに有効なパスワードを用いるワンタイムパスワードシステムを利用することも可能である。
【００４２】
図２は本発明の一実施例におけるＬＡＮ間接続装置のファイアウォール、ＶＰＮ サーバ、トンネルホストの自動設定方法を示すフローチャートである。これら図１及び図２を参照して設定装置３を利用した各拠点のＬＡＮ間接続装置の拠点内ネットワーク設定情報、ファイアウォール１２、ＶＰＮサーバ１４、トンネルホスト１３の初期設定方法について説明する。
【００４３】
第１のＬＡＮ間接続装置１は電源が投入されると（図２ステップＳ１）、装置のＩＰアドレスを始めとするネットワーク設定情報、設定サーバＩＰアドレス及び拠点内ネットワーク設定情報ファイル１１１を読込んで設定する（図２ステップＳ２）。続いて、第１のＬＡＮ間接続装置１は設定クライアント１１を起動し（図２ステップＳ３）、設定装置３へＶＰＮ接続要求を行う（図２ステップＳ４）。
【００４４】
設定装置３の設定サーバ３１は第１のＬＡＮ間接続装置１からのＶＰＮ接続要求の処理を行い、認証が完了すると、設定クライアント１１とのＶＰＮ接続を確立する（図２ステップＳ１１）。ＶＰＮ接続が確立すると、第１のＬＡＮ間接続装置１は拠点内ネットワーク設定情報ファイル１１１を設定装置３に送信する（図２ステップＳ５）。
【００４５】
設定サーバ３１は第１のＬＡＮ間接続装置１から送信された拠点内ネットワーク設定情報ファイル１１１を受信すると、拠点内ネットワーク設定情報統合ファイル３１１に拠点内ネットワーク設定情報ファイル１１１の内容を追加する（図２ステップＳ１２）。追加後、設定サーバ３１は保持する拠点内ネットワーク設定情報統合ファイル３１１及びポリシファイル３１２を、各拠点のＬＡＮ間接続装置（図１では第１のＬＡＮ間接続装置１及び第２のＬＡＮ間接続装置２）に送信する（図２ステップＳ１３）。
【００４６】
第１のＬＡＮ間接続装置１は受信した拠点内ネットワーク設定情報統合ファイル３１１、ポリシファイル３１２から必要な設定項目を抽出し（図２ステップＳ６）、設定項目の設定を行い（図２ステップＳ７）、他拠点と接続する（図２ステップＳ８）。
【００４７】
上記の説明では、第１のＬＡＮ間接続装置１の処理について説明したが、第２のＬＡＮ間接続装置２も第１のＬＡＮ間接続装置１と同様な処理を行う。処理が完了すると、他拠点のＬＡＮ間接続装置、図１では第２のＬＡＮ間接続装置２との接続が確立され、後述する自動確認方法のフローへ処理が移る。
【００４８】
図３は本発明の一実施例におけるＬＡＮ間接続装置のファイアウォール１２、ＶＰＮサーバ１４、トンネルホスト１３の設定の自動確認方法を示すフローチャートである。これら図１及び図３を参照して本発明の一実施例によるＬＡＮ間接続装置の拠点内ネットワーク設定情報の自動確認方法について説明する。
【００４９】
例えば、全拠点に新サービスを導入する際、新たなパスを設けるために、どのポート番号でどのプロトコルをトンネリング可能にするかを選択する場合がある。以下に説明する方法ではこれら一連の設定を全拠点に対して自動で行うことができる。
【００５０】
この時、第１のＬＡＮ間接続装置１及び第２のＬＡＮ間接続装置２と設定装置３との間が通信可能な状態であるとする。設定装置３の設定サーバ３１は保持する拠点内ネットワーク設定情報統合ファイル３１１またはポリシファイル３１２が変更されると（図３ステップＳ３１）、設定サーバ３１は第１のＬＡＮ間接続装置１へ拠点内ネットワーク設定情報統合ファイル３１１またはポリシファイル３１２を送信する（図２ステップＳ３２）。
【００５１】
第１のＬＡＮ間接続装置１は受信した拠点内ネットワーク設定情報統合ファイル３１１またはポリシファイル３１１から設定項目を抽出し（図３ステップＳ２１）、設定変更項目の設定を行い（図３ステップＳ２２）、他拠点と接続する（図３ステップＳ２３）。尚、上記の説明では第１のＬＡＮ間接続装置１について述べたが、第２のＬＡＮ間接続装置２でも上記と同様の処理が行われる。
【００５２】
図４は本発明の一実施例におけるＬＡＮ間接続装置のファイアウォール、ＶＰＮサーバ、トンネルホスト設定の定期的な送信要求による自動確認方法を示すフローチャートである。これら図１及び図４を参照して拠点内ネットワーク設定情報、ポリシ情報の自動確認方法に関して、第１のＬＡＮ間接続装置１からの定期的なファイル送信要求を用いた別の実現方法について説明する。以下の説明では、第１のＬＡＮ間接続装置１、第２のＬＡＮ間接続装置２と設定装置３との間が通信可能な状態であるものとする。
【００５３】
第１のＬＡＮ間接続装置１は設定装置３に対してポリシファイル３１２、拠点内ネットワーク設定情報統合ファイル３１１の送信要求を定期的に行う（図４ステップＳ４１）。
【００５４】
設定装置３は第１のＬＡＮ間接続装置１から送信要求を受信すると、ポリシファイル３１２、拠点内ネットワーク設定情報統合ファイル３１１各々の内容を第１のＬＡＮ間接続装置１に送信する（図４ステップＳ５１）。
【００５５】
第１のＬＡＮ間接続装置１は設定装置３から受信したファイルの変更の有無を確認し（図４ステップＳ４２）、ファイルの変更がなければステップＳ４１の処理に戻る。また、第１のＬＡＮ間接続装置１は変更がある場合、設定装置３から受信した拠点内ネットワーク設定情報統合ファイル３１１の内容から設定項目を抽出し（図４ステップＳ４３）、設定変更項目の設定を行う（図４ステップＳ４４）。この後、第１のＬＡＮ間接続装置１は他拠点の接続を行う（図４ステップＳ４５）。尚、上記の説明では第１のＬＡＮ間接続装置１について述べたが、第２のＬＡＮ間接続装置２でも上記と同様の処理が行われる。
【００５６】
図５は本発明の一実施例におけるＬＡＮ間接続装置の拠点内ネットワーク設定情報の自動変更方法を示すフローチャートである。これら図１及び図５を参照して本発明の一実施例による拠点内ネットワーク設定情報の自動変更方法について説明する。
【００５７】
例えば、既に拠点間ネットワークに参加しているある拠点配下のサブネットを変更する時には、そのサブネットを変更したことを他拠点にも反映させて各設定を行い直す必要がある。この時の再設定に必要な一連の設定は以下の処理によって自動で行うことが可能となる。この時、第１のＬＡＮ間接続装置１及び第２のＬＡＮ間接続装置２と設定装置３との間が通信可能な状態であるものとする。
【００５８】
第１のＬＡＮ間接続装置１では設定クライアント１１が保持する拠点内ネットワーク設定情報ファイル１１１が変更されると（図５ステップＳ６１）、拠点内ネットワーク設定情報ファイル１１１を設定装置３へ直ちに送信する（Ｐｕｓｈ型）（図５ステップＳ６２）。
【００５９】
設定装置３の設定サーバ３１は受信した拠点内ネットワーク設定情報ファイル１１１を拠点内ネットワーク設定情報統合ファイル３１１へ反映し（図５ステップＳ７１）、拠点内ネットワーク設定情報統合ファイル３１１を第１のＬＡＮ間接続装置１へ送信する（図５ステップＳ７２）。
【００６０】
第１のＬＡＮ間接続装置１は受信した拠点内ネットワーク設定情報統合ファイル３１１から設定項目を抽出し（図５ステップＳ６３）、設定変更項目の設定を行い（図５ステップＳ６４）、他拠点の接続を行う（図５ステップＳ６５）。尚、上記の説明では第１のＬＡＮ間接続装置１について述べたが、第２のＬＡＮ間接続装置２でも上記と同様の処理が行われる。
【００６１】
図６は本発明の一実施例におけるＬＡＮ間接続装置の拠点内ネットワーク設定情報の定期的な送信要求による自動変更方法を示すフローチャートである。これら図１及び図６を参照して、拠点内ネットワーク設定情報の自動変更方法に関して、設定装置３からの定期的なファイル送信要求を用いた別の実現方法について説明する。以下の説明では、第１のＬＡＮ間接続装置１、第２のＬＡＮ間接続装置２と設定装置３との間が通信可能な状態であるものとする。
【００６２】
設定装置３は第１のＬＡＮ間接続装置１へ拠点内ネットワーク設定情報ファイルを定期的に送信要求する（図６ステップＳ９１）。第１のＬＡＮ間接続装置１は設定装置３からの送信要求を受信すると、拠点内ネットワーク設定情報ファイル１１１の内容を設定装置３へ送信する（図６ステップＳ８１）。
【００６３】
設定装置３は第１のＬＡＮ間接続装置１から受信した拠点内ネットワーク設定情報ファイル１１１の内容の変更の有無を確認し（図６ステップＳ９２）、ファイルに変更がなければステップＳ９１の処理へ戻る。設定装置３の設定サーバ３１はファイルに変更があれば、受信した拠点内ネットワーク設定情報フィアル１１１の内容を拠点内ネットワーク設定情報統合ファイル３１１へ反映し（図６ステップＳ９３）、拠点内ネットワーク設定情報統合ファイル３１１の内容を第１のＬＡＮ間接続装置１へ送信する（図６ステップＳ９４）。
【００６４】
第１のＬＡＮ間接続装置１は設定装置３から受信した拠点内ネットワーク設定情報統合ファイル３１１の内容から設定項目を抽出し（図６ステップ８２）、設定変更項目の設定を行う（図６ステップＳ８３）。この後、第１のＬＡＮ間接続装置１は他拠点の接続を行う（図６ステップＳ８４）。尚、上記の説明では第１のＬＡＮ間接続装置１について述べたが、第２のＬＡＮ間接続装置２でも上記と同様の処理が行われる。
【００６５】
図７は本発明の一実施例におけるＬＡＮ間接続装置のポリシの自動変更方法を示すフローチャートである。これら図１及び図７を参照して本発明の一実施例によるポリシの自動変更方法について説明する。
【００６６】
例えば、新たなサービスを全拠点に導入し、それに伴って許可するポート番号やプロトコルのルールの変更を要する場合がある。このような事例に以下のポリシの自動変更方法があてはまる。この時、第１のＬＡＮ間接続装置１及び第２のＬＡＮ間接続装置２と設定装置３との間が通信可能な状態であるものとする。
【００６７】
設定装置３では設定サーバ３１が保持するポリシファイル３１２が変更されると（図７ステップＳ１１１）、ポリシファイル３１２を第１のＬＡＮ間接続装置１へ送信する（図７ステップＳ１１２）。
【００６８】
第１のＬＡＮ間接続装置１は受信したポリシファイル３１２から設定項目を抽出し（図７ステップＳ１０１）、設定変更項目の設定を行い（図７ステップＳ１０２）、他拠点の接続を行う（図７ステップＳ１０３）。尚、上記の説明では第１のＬＡＮ間接続装置１について述べたが、第２のＬＡＮ間接続装置２でも上記と同様の処理が行われる。
【００６９】
図８は本発明の他の実施例によるＬＡＮ間接続装置の自動設定システムの構成を示すブロック図である。図８において、本発明の他の実施例によるＬＡＮ間接続装置の自動設定システムは設定クライアント１１内に固有ポリシファイル１１３を設けた以外は図１に示す本発明の一実施例によるＬＡＮ間接続装置の自動設定システムと同様の構成となっており、同一構成要素には同一符号を付してある。また、同一構成要素の動作は上述した本発明の一実施例と同様である。
【００７０】
図９は本発明の他の実施例におけるＬＡＮ間接続装置のポリシの自動変更方法を示すフローチャートである。これら図８及び図９を参照して本発明の他の実施例によるポリシの自動変更方法について説明する。
【００７１】
本発明の一実施例では全拠点でポリシが共通としているが、拠点によってはユーザの利用ニーズによって共通のポリシとは別に拠点固有のポリシを持たせる場合がある。そして、拠点固有のポリシのルール数が増加していくうちに、拠点固有のポリシのうち全拠点に共通する、例えば送信先ポートや送出元ポートの項目が現れることがある。この共通項目を共通ポリシとして扱い直すのが本発明の他の実施例である。この時、第１のＬＡＮ間接続装置１及び第２のＬＡＮ間接続装置２と設定装置３との間が通信可能な状態であるものとする。
【００７２】
第１のＬＡＮ間接続装置１の設定クライアント１１には固有ポリシファイル１１３を保持させる。ポリシファイル１１２が各拠点に共通なデータを格納したものであるのに対して、固有ポリシファイル１１３は拠点固有のポリシデータを格納したものである。
【００７３】
第１のＬＡＮ間接続装置１では設定クライアント１１が保持する固有ポリシファイル１１３が変更されると（図９ステップＳ１２１）、設定装置３へ固有ポリシファイル１１３を送信する（図９ステップＳ１２２）。
【００７４】
設定装置３の設定サーバ３１は各拠点から受信した固有ポリシファイル１１３に共通項目があるかどうかを調査する（図９ステップＳ１３１）。設定サーバ３１は共通項目がある場合のみ、各拠点の固有ポリシファイル１１３から共通項目を抽出し（図９ステップＳ１３２）、抽出した共通項目を共通ポリシファイル３１２へ追加して更新を行う（図９ステップＳ１３３）。
【００７５】
更新処理完了後、設定サーバ３１は第１のＬＡＮ間接続装置１へポリシファイル３１２を送信する（図９ステップＳ１３４）。尚、上記の説明では第１のＬＡＮ間接続装置１について述べたが、第２のＬＡＮ間接続装置２でも上記と同様の処理が行われる。また、第１のＬＡＮ間接続装置１が設定装置３へ固有ポリシファイル１１３を送信し、定期的に設定装置３が変更の有無を確認する方法も可能である。
【００７６】
図１０は本発明の別の実施例におけるＬＡＮ間接続装置と設定装置間の接続が断した場合の自動再接続方法を示すフローチャートである。上述した本発明の一実施例及び他の実施例では第１のＬＡＮ間接続装置１と設定装置３との間の接続が断となった場合、自動的に再接続を行う。本発明の別の実施例ではこの再接続方法を示す。これら図１及び図１０を参照して本発明の別の実施例による再接続方法について説明する。
【００７７】
第１のＬＡＮ間接続装置１は設定装置３へヘルシチェック要求を定期的に送信し（図１０ステップＳ１４１）、設定装置３からのヘルシチェック応答なしを確認する（図１０ステップＳ１４２）。第１のＬＡＮ間接続装置１は設定装置３からの応答があれば、ステップＳ１４１の処理へ戻り、応答がなければ、設定装置３へＶＰＮ接続要求を行う（図１０ステップＳ１４３）。
【００７８】
設定装置３の設定サーバ３１は第１のＬＡＮ間接続装置１からのＶＰＮ接続要求を受信すると、ＶＰＮ接続処理を行い、認証が完了すると、設定クライアント１１とのＶＰＮ接続を確立する（図１０ステップＳ１５１）。
【００７９】
第１のＬＡＮ間接続装置１はＶＰＮ接続が確立すると、拠点内ネットワーク設定情報ファイル１１１の内容を設定装置３へ送信する（図１０ステップＳ１４４）。設定サーバ３１は第１のＬＡＮ間接続装置１から送信された拠点内ネットワーク設定情報ファイル１１１の内容を受信すると、拠点内ネットワーク設定情報統合ファイル３１１に拠点内ネットワーク設定情報ファイル１１１の内容を追加する（図１０ステップＳ１５２）。
【００８０】
設定サーバ３１はファイルを追加した後、拠点内ネットワーク設定情報統合ファイル３１１、ポリシファイル３１２各々の内容を各拠点のＬＡＮ間接続装置（図１では第１のＬＡＮ間接続装置１、第２のＬＡＮ間接続装置２）へ送信する（図１０ステップＳ１５３）。
【００８１】
第１のＬＡＮ間接続装置１は受信した拠点内ネットワーク設定情報統合ファイル３１１、ポリシファイル３１２の内容から必要な設定項目を抽出し（図１０ステップＳ１４５）、設定項目の設定を行う（図１０ステップＳ１４６）。その後、第１のＬＡＮ間接続装置１は他拠点の接続を行い（図１０ステップＳ１４７）、接続確立後、ステップＳ１４１の処理へ戻る。尚、上記の説明では第１のＬＡＮ間接続装置１について述べたが、第２のＬＡＮ間接続装置２でも上記と同様の処理が行われる。
【００８２】
尚、上述した各実施例とも第１のＬＡＮ間接続装置１及び第２のＬＡＮ間接続装置２と設定装置３との間が通信可能な状態であるものとしているが、各ファイルに変更が生じた時点で接続を確立する方法も可能である。
【００８３】
このように、本発明では、セキュリティポリシを第１のＬＡＮ間接続装置１及び第２のＬＡＮ間接続装置２が安全に取得し、ファイアウォール１２、ＬＡＮ間接続装置の設定を自動で行うので、新規の拠点ＬＡＮを追加しても、ファイアウォール１２越しのＶＰＮ構築の自動設定を行うことができる。
【００８４】
また、本発明では、ネットワークセグメントのような規模の大きな設定であっても、設定要員が煩雑な作業を行う必要がなくなり、ユーザは安全性を欠くことなく、サービスを受けることができる。
【００８５】
上述した特許文献１，２に記載の技術では、ルータ（ゲートウェイ）が受信データを基にルーティング情報を転送している。この転送に際しては二次データを生成することはない。すなわち、上記の技術では、ルーティングテーブル（Ｒｏｕｔｉｎｇ Ｔａｂｌｅ）の各エントリ（Ｅｎｔｒｙ）（行）毎の追加・削除を遠隔設定しているにすぎない。
【００８６】
また、上記の技術で扱うデータはルーティングテーブルの各エントリ１種類のみである。さらに、上記の技術は、ルーティングプロトコル［ＲＩＰ（Ｒｏｕｔｉｎｇ Ｉｎｆｏｒｍａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）やＯＳＰＦ（Ｏｐｅｎ Ｓｈｏｒｔｅｓｔ Ｐａｔｈ Ｆｉｒｓｔ）等］が動作している環境下においてはあえて使用する必要がない。
【００８７】
これに対し、本発明では、ゲートウェイが受信データからルールデータ（ポリシデータ等）を生成し、そのルールデータを基にファイアウォールを設定している。また、本発明では、受信データからルーティングテーブルの設定項目を生成し、設定項目を基にＶＰＮサーバを設定している。
【００８８】
さらに、本発明では、受信データからルーティングテーブルの設定項目を生成し、その設定項目を基にトンネルホストの設定を行っている。ここで、受信データによって提供される情報の項目は、各拠点毎のフロアネットのアドレス（ネットワークアドレス）、トンネルホストのアドレス（またはトンネル用に割当てられた疑似インタフェース）、ＶＰＮサーバのＩＰアドレスと各拠点の接続ルール（ポリシ）である。
【００８９】
接続ルールとしては、例えば、▲１▼拠点間の通信はトンネルホスト同士を接続する、▲２▼トンネルホスト間の通信にはＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）のｐｏｒｔ８０００番を使用する、▲３▼各拠点間にＶＰＮ機能を提供する、という規定がある。
【００９０】
上記の▲１▼，▲２▼の拠点間のトンネルの設定に関しては、例えば、ある拠点のトンネルホストで、他拠点のフロアネットアドレスと、その拠点のトンネルホストのＩＰアドレスから他拠点のフロアネットアドレス向けのルーティングテーブルを設定することが考えられる。
【００９１】
また、他拠点のトンネルホスト向けの接続にはＴＣＰの８０００番の使用を設定することが考えられる。これと並行して、ファイアウォールでは自拠点のトンネルホストと他地区のトンネルホストとの間の通信について、ＴＣＰのｐｏｒｔ８０００番に関して接続を通すことを設定すること等が考えられる。
【００９２】
一方、上記の▲３▼のＶＰＮのルーティングの設定に関しては、ＶＰＮサーバで、他拠点に向けたフロアネットアドレスを自拠点のトンネルホストへルーティングするようにルーティングテーブルを設定することが考えられる。
【００９３】
本発明に直接関係しないが、端末の設定に関しては、端末で他拠点と接続する場合、端末のルーティングの設定を接続したい拠点のフロアネットアドレス向けのルーティングをトンネルホストに接続する設定とすることが考えられる。
【００９４】
また、端末でＶＰＮの提供を受ける場合には、端末のルーティングの設定をＶＰＮで入りたい拠点のフロアネットアドレスのエントリを削除し、ＶＰＮで入りたい拠点のＶＰＮサーバのアドレス向けのルーティングをトンネルホストに接続する設定とすることも考えられる。
【００９５】
以上のように、本発明では、他拠点のアドレスの情報及び接続のポリシから、各々必要な設定情報（ルーティングテーブルに限らない）を２次データとして生成し、矛盾がないように連携して設定を行っている。
【００９６】
本発明では、次の手順によって接続を行っている。つまり、（１）設定クライアントは設定サーバより受信した設定情報ファイルから設定に必要になるファイアウォールのルールデータ、トンネルホスト、ＶＰＮサーバ用のルーティングテーブルの設定項目を生成する。
【００９７】
（２）設定クライアントが生成した各エントリをトンネルホストとＶＰＮサーバに配布、他拠点向けアドレスはＶＰＮサーバからトンネルホストに送信する。トンネルホストは他拠点のトンネルホスト（またはトンネル用に割当てられた疑似インタフェース）に送信する。
【００９８】
（３）配布された各エントリより、ＶＰＮサーバはルーティングテーブルを設定することで、他拠点宛のパケットを受信した時に自拠点のトンネルホストへルーティングする準備が整う。
【００９９】
（４）配布された各エントリより、トンネルホストはルーティングテーブルを設定することで、ＶＰＮクライアントまたはＶＰＮサーバを経由してＶＰＮクライアント以外の端末から受信したパケットの宛先に応じて宛先トンネルホスト（トンネル用に割当てた擬似インタフェース）に送信する準備が整う。
【０１００】
（５）設定クライアントがＦｉｒｅＷａｌｌに穴を開け，開けた穴をトンネルホストとＶＰＮサーバとに通知、つまりファイアウォールがトンネルホスト間の通信を通すことになるので、トンネルホストの他拠点への転送機能が有効になる。これによって、他拠点とＶＰＮ接続が可能となる。
【０１０１】
次に、ルーティング情報の連携処理について考えると、上記の特許文献１，２に記載の技術では、特に連携処理はなく、直ちにルーティング情報の転送処理が可能となっている。
【０１０２】
また、上述した通り、特許文献１，２に記載の技術では、ルーティングプロトコルが動作していない環境で、ルーティングを行えるようにすることを目的としているのに対し、本発明では、ルーティングプロトコルが動作しているネットワーク内に、拠点間を接続しかつ外部から隔絶されたネットワークを提供することを目的としている。
【０１０３】
しかしながら、インタネットを介してＬＡＮ間を接続するＬＡＮ間接続装置の設定においては、ファイアウォールが設置された場合、ルーティング情報変更後にルータ間で通信することができないという課題がある。
【０１０４】
上記の特許文献１，２に記載の技術によるシステムの動作に着目すると、ルーティングマネージャがルーティング情報を配布し、その情報に基づいてルータが転送処理を行い、ルーティング情報の連携動作を行っていない。これをふまえて、ルータとインタネットとの間にファイアウォールが設置される場合を考えると、ファイアウォールはネットワークをセグメントに分けてしてしまうので、各セグメント間で通信を行う際、ファイアウォールと連携してトンネルを開けるという、ルータが保持しない機能を提供するトンネルホストの存在が必要であり、当然、接続手順においてもトンネルホストがファイアウォールと連携してトンネルを開けるという操作が加わる。
【０１０５】
また、連携動作の考慮がないと問題になるのは、ファイアウォールが設置された場合に限らず、閉鎖性を考慮したネットワーク（ＶＰＮ）を構築する際にも同様に考えられ、ＶＰＮの構築に必要なＶＰＮサーバの存在やファイアウォール、トンネルホストと連携してＶＰＮサーバに適切な設定をする操作が必要となる。どちらの場合においても、設定情報はファイアウォール、トンネルホスト、ＶＰＮサーバ間で互いに矛盾なく設定する必要がある。
【０１０６】
このため、設定サーバから受信するデータは、ファイアウォール、トンネルホスト、ＶＰＮサーバ各々に関しての詳細な文字列になった設定データを基に設定を行うのではなく、設定サーバから必要最小限の文字列になったデータを受信し、受信したデータからファイアウォール、トンネルホスト、ＶＰＮサーバの設定に必要になる設定情報を二次データとして生成し、その二次データを設定ファイルとして使用する。
【０１０７】
このように、本発明では共通の情報から生成したデータを設定ファイルとして用いることで、ファイアウォール、トンネルホスト、ＶＰＮサーバが互いに矛盾のない設定を行うことが可能となる。
【０１０８】
【発明の効果】
以上説明したように本発明は、上記のような構成及び動作とすることで、新規の拠点ＬＡＮを追加してもファイアウォール越しにＶＰＮ構築の自動設定を行うことができるという効果が得られる。
【図面の簡単な説明】
【図１】本発明の一実施例によるＬＡＮ間接続装置の自動設定システムの構成を示すブロック図である。
【図２】本発明の一実施例におけるＬＡＮ間接続装置のファイアウォール、ＶＰＮ サーバ、トンネルホストの自動設定方法を示すフローチャートである。
【図３】本発明の一実施例におけるＬＡＮ間接続装置のファイアウォール、ＶＰＮサーバ、トンネルホストの設定の自動確認方法を示すフローチャートである。
【図４】本発明の一実施例におけるＬＡＮ間接続装置のファイアウォール、ＶＰＮサーバ、トンネルホスト設定の定期的な送信要求による自動確認方法を示すフローチャートである。
【図５】本発明の一実施例におけるＬＡＮ間接続装置の拠点内ネットワーク設定情報の自動変更方法を示すフローチャートである。
【図６】本発明の一実施例におけるＬＡＮ間接続装置の拠点内ネットワーク設定情報の定期的な送信要求による自動変更方法を示すフローチャートである。
【図７】本発明の一実施例におけるＬＡＮ間接続装置のポリシの自動変更方法を示すフローチャートである。
【図８】本発明の他の実施例によるＬＡＮ間接続装置の自動設定システムの構成を示すブロック図である。
【図９】本発明の他の実施例におけるＬＡＮ間接続装置のポリシの自動変更方法を示すフローチャートである。
【図１０】本発明の別の実施例におけるＬＡＮ間接続装置と設定装置間の接続が断した場合の自動再接続方法を示すフローチャートである。
【図１１】従来のＬＡＮ間接続装置の自動設定システムの基本動作を示すフローチャートである。
【符号の説明】
１ 第１のＬＡＮ間接続装置
２ 第２のＬＡＮ間接続装置
３ 設定装置
１１ 設定クライアント
１２，３２ ファイアウォール
１３ トンネルホスト
１４ ＶＰＮサーバ
３１ 設定サーバ
３２ ファイアウォール
１００ インタネット
１１１ 拠点内ネットワーク設定情報ファイル
１１２，３１２ ポリシファイル
１１３ 固有ポリシファイル
３１１ 拠点内ネットワーク設定情報統合ファイル
【発明の属する技術分野】
本発明はネットワーク間接続装置の自動設定システム及びそれに用いる自動設定方法に関し、特にファイアウォール越しに行う拠点間の直接通信、ＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｒｔｗｏｒｋ）環境構築のためのＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）間接続装置の自動設定システムに関する。
【０００２】
【従来の技術】
従来、インタネットを介してＬＡＮ間接続を行うＬＡＮ間接続装置の自動設定システムとしては、図１１に示す処理動作を行うシステムが知られている。
【０００３】
このシステムでは、マネージャがネットワークディスカバリし、その部分のネットワーク領域を含んだネットワークマップが表示画面に表示される（図１１ステップＳ１６１）。ユーザは画面上に表示されたネットワークマップを見ながら、構築したい通信ネットワークの範囲を指定する。この場合の範囲指定は、少なくとも２以上の通信端末器を指定することによってなされるが、必要に応じて、サブネット間の通信路を指定してもよい（図１１ステップＳ１６２）。
【０００４】
かくして、通信端末器を選択して、構築したい通信ネットワークの設定範囲が指定されると、予め作成されているセキュリティポリシ情報記憶テーブルが画面上に表示されるので、そのテーブルから設定しようとする通信条件を選択する。このような通信条件は、暗号ＶＰＮ通信を行うために暗号アルゴリズムや認証アルゴリズムの種別を選択して設定されるが、後述するように、暗号なしの設定がなされる場合もある（図１１ステップＳ１６３）。
【０００５】
ステップＳ１６２，Ｓ１６３の処理によって、セキュリティポリシを設定するネットワーク上の設定範囲と、セキュリティ情報記憶テーブルによって通信条件とが選択されると、マネージャはネットワークマップを利用して指定されたネットワーク上の通信パスのトポロジを検索し（図１１ステップＳ１６４）、それぞれの通信パスを構成するネットワーク機器に対して、設定すべきセキュリティポリシを作成する（図１１ステップＳ１６５，Ｓ１６６）。
【０００６】
続いて、マネージャは設定された通信条件によって、通信パスを構成するネットワーク機器間で通信されるパケットデータに対して、暗号の復号化処理が二重、三重に重複していないかどうかを判断し（図１１ステップＳ１６７）、そのような重複が生じている場合には、それら復号化処理の重複を解除し（図１１ステップＳ１６８）、最後に作成されたセキュリティポリシを検索されたネットワーク機器に対して自動的に設定する（図１１ステップＳ１６９）（例えば、特許文献１参照）。尚、ＩＰｓｅｃプロトコル通信を用いて、パケットデータが通信される場合には、重複復号を防ぐために、予め暗号化処理を行わないようにしてもよい。
【０００７】
また、従来、ネットワーク間をルータ（中継装置）を介して接続するシステムとしては、システムに接続されたルータやＬＡＮの増減変更、あるいは障害に際して、可能な限り低いトラフィックによってルーティング情報を動的に変更するために、公衆網に対してネットワーク管理とルーティング管理とを集中的に行うルーティングマネージャを設ける方法がある（例えば、特許文献２参照）。
【０００８】
上記のシステムでは、ルーティングマネージャが公衆網を介して相互に接続できる全てのＬＡＮについて、その中継点であるルータを示すルーティング対象リストを備えている。ネットワークの障害等によるルータの追加、削除、中継経路の切換え、ＬＡＮの追加、削除等の通知は、すべてそのルーティングマネージャに対して行われる。
【０００９】
ルーティングマネージャはそれらの通知を受けると、ルーティング対象リストの更新を行い、各ルータに対してルーティング情報を更新するための必要最小限の情報を通知する。すなわち、ルーティングマネージャは各ルータ（ゲートウェイ）のルーティングテーブルの各エントリ（行）毎の追加・削除を遠隔設定しているにすぎない。
【００１０】
また、上記の方法で扱うデータはルーティングテーブルの各エントリ１種類のみである。さらに、ルーティングプロトコル［ＲＩＰ（Ｒｏｕｔｉｎｇ Ｉｎｆｏｒｍａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）やＯＳＰＦ（Ｏｐｅｎ Ｓｈｏｒｔｅｓｔ Ｐａｔｈ Ｆｉｒｓｔ）等］が動作している環境下においては、上記の方法はあえて使用する必要はない。
【００１１】
【特許文献１】
特開２０００−３２４１０４号公報（第５，６頁、図１）
【特許文献２】
特開平６−１３２９５９号公報（第５〜７頁、図１）
【００１２】
【発明が解決しようとする課題】
しかしながら、上述した従来のＬＡＮ間接続装置の自動設定システムでは、ファイアウォールが設置された場合、ルーティング情報変更後にルータ間で通信できないという課題がある。
【００１３】
従来のシステムの動作に着目すると、ルーティングマネージャはルーティング情報を配布し、ルータがその情報に基づいて転送処理を行うのみで、その情報との連携動作を行わない。
【００１４】
また、上記の連携動作を行わない場合に問題になるのは、ファイアウォールが設置された場合に限らず、閉鎖性を考慮したＶＰＮを構築する際にも、ＶＰＮの構築に必要なＶＰＭサーバの存在や、ファイアウォール、トンネルホストと連携してＶＰＮサーバに適切な設定をする操作が必要となる。どちらの場合においても、設定情報はファイアウォール、トンネルホスト、ＶＰＮサーバ間で互いに矛盾なく設定する必要がある。
【００１５】
一方、従来のＬＡＮ間接続装置の自動設定システムでは、新規の拠点ＬＡＮを追加した箇所についてＶＰＮを構築することができないという課題がある。従来のシステムの動作に着目すると、まずネットワーク上に存在する端末を自動探索し、検出されたネットワーク上の既存の端末群の中からセキュリティポリシの設定範囲を指定する操作を行ったうえで、通信条件を決定すると、ＶＰＮを自動構築している。
【００１６】
上記の動作をふまえると、新規に拠点ＬＡＮを追加させようとする時には、新規の拠点ＬＡＮがネットワーク上に存在しないため、自動検索を行っても検出されず、ネットワーク上に存在する端末として認識されない。つまり、新規の拠点ＬＡＮ間接続装置を他拠点のＬＡＮ間接続装置が認識できないということである。
【００１７】
また、従来の方法では、通信端末器同士の通信を行う際に、経路上の通信機器を設定するもので、ネットワークセグメント等のような規模の大きな変更を即座に反映するには煩雑な操作を繰り返す必要がある。
【００１８】
そこで、本発明の目的は上記の問題点を解消し、新規の拠点ＬＡＮを追加してもファイアウォール越しにＶＰＮ構築の自動設定を行うことができるネットワーク間接続装置の自動設定システム及びそれに用いる自動設定方法を提供することにある。
【００１９】
【課題を解決するための手段】
本発明によるネットワーク間接続装置の自動設定システムは、複数のネットワーク間接続装置と少なくとも１つの設定装置とを配置し、１つの設定装置に少なくとも２つのネットワーク間接続装置がインタネットを介して接続されるネットワーク間接続装置の自動設定システムであって、
前記ネットワーク間接続装置各々に、
前記インタネットを介したアクセスを制限するためのファイアウォールと、他のネットワーク間接続装置へデータを転送する手段を含むトンネルホストと、自装置配下のネットワークの利用者のアカウントデータを保持するＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｒｔｗｏｒｋ）サーバと、前記設定装置との認証のための接続手段と前記ファイアウォールの設定手段と前記トンネルホスト及び前記ＶＰＮサーバにルーティングデータを与える手段とを含む設定クライアントとを有し、
前記設定装置に、
前記インタネットを介したアクセスを制限するためのファイアウォールと、前記設定クライアントを認証する手段と前記ファイアウォールの設定手段とを含みかつ前記設定クライアントへ配布する前記ファイアウォールの設定情報を格納したポリシデータ及び各拠点の前記ネットワーク間接続装置が保持する拠点内ネットワーク設定情報を統合した拠点内ネットワーク設定統合データを保持する設定サーバとを有し、
前記ネットワーク間接続装置が新規に追加された時に、当該ネットワーク間接続装置の前記設定クライアントが前記設定装置へ前記拠点内ネットワーク設定情報を通知し、
前記設定サーバが当該拠点内ネットワーク設定情報を拠点内ネットワーク設定統合データに統合して保存し、前記ポリシデータと前記拠点内ネットワーク設定統合データとを前記ネットワーク間接続装置へ送信して当該ネットワーク間接続装置の拠点内ネットワーク設定情報及び前記ポリシデータを設定し、
前記設定装置によって前記ネットワーク間接続装置各々の拠点内ネットワーク設定情報及び前記ポリシデータを設定している。
【００２０】
本発明によるネットワーク間接続装置の自動設定方法は、複数のネットワーク間接続装置と少なくとも１つの設定装置とを配置し、１つの設定装置に少なくとも２つのネットワーク間接続装置がインタネットを介して接続されるネットワーク間接続装置の自動設定方法であって、
前記ネットワーク間接続装置各々の設定クライアントが、前記設定装置との認証のための接続を行い、前記インタネットを介したアクセスを制限するためのファイアウォールの設定を行い、他のネットワーク間接続装置へデータを転送する手段を含むトンネルホスト及び前記ネットワーク間接続装置配下のネットワークの利用者のアカウントデータを保持するＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｒｔｗｏｒｋ）サーバにルーティングデータを与え、
前記設定装置の設定サーバが、前記設定クライアントを認証し、前記インタネットを介したアクセスを制限するためのファイアウォールの設定を行い、前記設定クライアントへ配布する前記ファイアウォールの設定情報を格納したポリシデータ及び各拠点の前記ネットワーク間接続装置が保持する拠点内ネットワーク設定情報を統合した拠点内ネットワーク設定統合データを保持し、
前記ネットワーク間接続装置が新規に追加された時に、当該ネットワーク間接続装置の前記設定クライアントが前記設定装置へ前記拠点内ネットワーク設定情報を通知し、
前記設定サーバが当該拠点内ネットワーク設定情報を拠点内ネットワーク設定統合データに統合して保存し、前記ポリシデータと前記拠点内ネットワーク設定統合データとを前記ネットワーク間接続装置へ送信して当該ネットワーク間接続装置の拠点内ネットワーク設定情報及び前記ポリシデータを設定し、
前記設定装置によって前記ネットワーク間接続装置各々の拠点内ネットワーク設定情報及び前記ポリシデータを設定している。
【００２１】
すなわち、本発明の第１のＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）間接続装置の自動設定システムは、上記課題を解決するために、複数のＬＡＮ間接続装置と少なくとも１つの設定装置とが配置され、１つの設定装置には少なくとも２つのＬＡＮ間接続装置がインタネットを介して接続され、ＬＡＮ間接続装置に、インタネットを介したアクセスを制限するためのファイアウォールと、他拠点に配置されたＬＡＮ間接続装置へデータを転送する手段を持つトンネルホストと、ＬＡＮ間接続装置配下のＬＡＮ利用者のアカウントデータを保持するＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｒｔｗｏｒｋ）サーバと、設定装置との認証のための接続手段とファイアウォールの設定手段とトンネルホスト及びＶＰＮサーバにルーティングデータを与える手段とを持つ設定クライアントとを備えている。
【００２２】
上記の設定装置においては、インタネットを介したアクセスを制限するためにファイアウォールと、ＬＡＮ間接続装置の設定クライアントを認証する手段と、ファイアウォールの設定手段と、ＬＡＮ間接続装置の設定クライアントへ配布するファイアウォールの設定情報を格納したポリシデータ及び各拠点のＬＡＮ間接続装置が保持する拠点内ネットワーク設定情報を統合した拠点内ネットワーク設定統合データを保持する設定サーバとを備え、この設定装置によってＬＡＮ間接続装置の拠点内ネットワーク設定情報とポリシデータとを自動設定している。
【００２３】
本発明の第２のＬＡＮ間接続装置の自動設定システムでは、ＬＡＮ間接続装置が複数のＬＡＮ間接続装置同士のネットワークに新たに参加する際に、ＬＡＮ間接続装置の設定クライアントが設定装置へ認証のための接続要求を通知している。設定装置の設定サーバは設定クライアントとの認証が成立して認証成立応答を通知すると、ＬＡＮ間接続装置が拠点内ネットワーク設定情報を設定装置へ送信する。
【００２４】
設定装置の設定サーバは受信した各ＬＡＮ間接続装置の拠点内ネットワーク設定情報を拠点内ネットワーク設定統合データに統合して保存し、ポリシデータと拠点内ネットワーク設定統合データとをＬＡＮ間接続装置へ送信する。ＬＡＮ間接続装置はポリシデータ及び拠点内ネットワーク設定統合データから必要な設定項目を抽出して設定項目の設定を行う。
【００２５】
本発明の第３のＬＡＮ間接続装置の自動設定システムでは、ＬＡＮ間接続装置が運用中において、常に設定装置と接続し、設定装置の設定サーバが保持するポリシデータまたは拠点内ネットワーク設定情報に変更が生じた場合、ポリシデータまたは拠点内ネットワーク設定情報をＬＡＮ間接続装置へ直ちに送信している。
【００２６】
本発明の第４のＬＡＮ間接続装置の自動設定システムでは、ＬＡＮ間接続装置が運用中において、常に設定装置と接続し、ＬＡＮ間接続装置の設定クライアントが、設定装置の設定サーバへポリシデータ及び拠点内ネットワーク設定統合データの送信を一定の周期で要求する。設定装置の設定サーバはポリシデータ及び拠点内ネットワーク設定統合データをＬＡＮ間接続装置へ送信し、ＬＡＮ間接続装置の設定クライアントはポリシデータ及び拠点内ネットワーク設定統合データの変更の有無を確認する。
【００２７】
本発明の第５のＬＡＮ間接続装置の自動設定システムでは、設定装置の設定サーバが保持するポリシデータが変更されると、ＬＡＮ間接続装置の設定クライアントがポリシデータから必要な設定項目を抽出し、その抽出結果にて設定項目の設定を行っている。
【００２８】
本発明の第６のＬＡＮ間接続装置の自動設定システムでは、設定装置の設定サーバが保持する拠点内ネットワーク設定統合データが変更されると、ＬＡＮ間接続装置の設定クライアントが拠点内ネットワーク設定統合データから必要な設定項目を抽出し、その抽出結果にて設定項目の設定を行っている。
【００２９】
本発明の第７のＬＡＮ間接続装置の自動設定システムでは、ＬＡＮ間接続装置が運用中において、常に設定装置と接続し、ＬＡＮ間接続装置の設定クライアントが保持する拠点内ネットワーク設定情報に変更が生じた場合、ＬＡＮ間接続装置の設定クライアントが拠点内ネットワーク設定情報を設定装置へ直ちに送信している。
【００３０】
本発明の第８のＬＡＮ間接続装置の自動設定システムでは、ＬＡＮ間接続装置が運用中において、常に設定装置と接続し、設定置の設定サーバがＬＡＮ間接続装置の設定クライアントへ拠点内ネットワーク設定統合データの送信要求を通知し、ＬＡＮ間接続装置の設定クライアントが拠点内ネットワーク設定統合データを設定装置へ送信し、設定装置の設定サーバが拠点内ネットワーク設定統合データの変更の有無を確認している。
【００３１】
本発明の第９のＬＡＮ間接続装置の自動設定システムでは、ＬＡＮ間接続装置が保持する拠点内ネットワーク設定情報が変更されると、設定装置が拠点内ネットワーク設定情報をネットワーク設定統合データへ反映している。
【００３２】
本発明の第１０のＬＡＮ間接続装置の自動設定システムでは、ＬＡＮ間接続装置が運用中において、常に設定装置との接続を監視し、接続が切断された場合に設定装置との再接続を行っている。
【００３３】
上記のように、本発明のＬＡＮ間接続装置の自動設定システムでは、セキュリティポリシを安全にＬＡＮ間接続装置が取得し、ファイアウォール、ＬＡＮ間接続装置の設定を自動で行うので、新規の拠点ＬＡＮを追加しても、ファイアウォール越しのＶＰＮ構築の自動設定を行うことが可能となる。
【００３４】
また、本発明のＬＡＮ間接続装置の自動設定システムでは、ネットワークセグメントのような規模の大きな設定であっても、設定要員が煩雑な作業を行う必要がなくなり、ユーザが安全性を欠くことなく、サービスを受けることが可能となる。
【００３５】
【発明の実施の形態】
次に、本発明の実施例について図面を参照して説明する。図１は本発明の一実施例によるＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）間接続装置の自動設定システムの構成を示すブロック図である。図１において、本発明の一実施例によるＬＡＮ間接続装置の自動設定システムでは、第１のＬＡＮ間接続装置１と第２のＬＡＮ間接続装置２とがインタネット１００を介して設定装置３に接続されている。
【００３６】
第１のＬＡＮ間接続装置１は設定クライアント１１と、ファイアウォール１２と、トンネルホスト１３と、ＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｒｔｗｏｒｋ）サーバ１４とから構成されている。図示していないが、第２のＬＡＮ間接続装置２は第１のＬＡＮ間接続装置１と同様の構成となっている。
【００３７】
設定クライアント１１は、図示していないが、設定装置３との認証のための手段と、ファイアウォール１２の設定手段と、トンネルホスト１３及びＶＰＮサーバ１４にルーティングデータを与える手段とを持つ。設定クライアント１１はＶＰＮ構築に必要なトンネルホストＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス、ＶＰＮサーバＩＰアドレス、ルーティングデータが格納されているＬＡＮ間接続装置の拠点内ネットワーク設定情報ファイル１１１と、ファイアウォール１２を設定する際に必要となる情報が格納されているポリシファイル１１２とを備えている。
【００３８】
トンネルホスト１３は他拠点のＬＡＮ間接続装置へパケットを転送する手段を持つ。ＶＰＮサーバ１４は第１のＬＡＮ間接続装置１配下のＬＡＮのアカウントデータを保持する。
【００３９】
設定装置３は各拠点のＬＡＮ間接続装置の設定クライアント１１との認証を行う設定サーバ３１と、ファイアウォール３２とを備えている。設定サーバ３１は各拠点のＬＡＮ間接続装置の拠点内ネットワーク設定情報ファイル１１１を統合した拠点内ネットワーク設定情報統合ファイル３１１と、各拠点に共通なポリシファイル３１２とを備えている。
【００４０】
尚、第１のＬＡＮ間接続装置１及び第２のＬＡＮ間接続装置２と設定装置３との認証やファイル交換には、送信側と受信側とでそれぞれ２つの鍵を持つ公開鍵暗号方式を用いるものとする。公開鍵は誰にでも公開され、公開鍵で暗号化されたデータは秘密鍵でのみ復号することができる関係にあるため、各拠点のＬＡＮ間接続装置に予め組込まれたＬＡＮ間接続装置の秘密鍵、設定装置３の公開鍵と、設定装置３に予め組み込まれたＬＡＮ間接続装置の公開鍵、設定装置３の秘密鍵を利用して通信を行う。
【００４１】
また、各拠点のＬＡＮ間接続装置と設定装置３にプリセットで構築したＶＰＮや１回のセッションだけに有効なパスワードを用いるワンタイムパスワードシステムを利用することも可能である。
【００４２】
図２は本発明の一実施例におけるＬＡＮ間接続装置のファイアウォール、ＶＰＮ サーバ、トンネルホストの自動設定方法を示すフローチャートである。これら図１及び図２を参照して設定装置３を利用した各拠点のＬＡＮ間接続装置の拠点内ネットワーク設定情報、ファイアウォール１２、ＶＰＮサーバ１４、トンネルホスト１３の初期設定方法について説明する。
【００４３】
第１のＬＡＮ間接続装置１は電源が投入されると（図２ステップＳ１）、装置のＩＰアドレスを始めとするネットワーク設定情報、設定サーバＩＰアドレス及び拠点内ネットワーク設定情報ファイル１１１を読込んで設定する（図２ステップＳ２）。続いて、第１のＬＡＮ間接続装置１は設定クライアント１１を起動し（図２ステップＳ３）、設定装置３へＶＰＮ接続要求を行う（図２ステップＳ４）。
【００４４】
設定装置３の設定サーバ３１は第１のＬＡＮ間接続装置１からのＶＰＮ接続要求の処理を行い、認証が完了すると、設定クライアント１１とのＶＰＮ接続を確立する（図２ステップＳ１１）。ＶＰＮ接続が確立すると、第１のＬＡＮ間接続装置１は拠点内ネットワーク設定情報ファイル１１１を設定装置３に送信する（図２ステップＳ５）。
【００４５】
設定サーバ３１は第１のＬＡＮ間接続装置１から送信された拠点内ネットワーク設定情報ファイル１１１を受信すると、拠点内ネットワーク設定情報統合ファイル３１１に拠点内ネットワーク設定情報ファイル１１１の内容を追加する（図２ステップＳ１２）。追加後、設定サーバ３１は保持する拠点内ネットワーク設定情報統合ファイル３１１及びポリシファイル３１２を、各拠点のＬＡＮ間接続装置（図１では第１のＬＡＮ間接続装置１及び第２のＬＡＮ間接続装置２）に送信する（図２ステップＳ１３）。
【００４６】
第１のＬＡＮ間接続装置１は受信した拠点内ネットワーク設定情報統合ファイル３１１、ポリシファイル３１２から必要な設定項目を抽出し（図２ステップＳ６）、設定項目の設定を行い（図２ステップＳ７）、他拠点と接続する（図２ステップＳ８）。
【００４７】
上記の説明では、第１のＬＡＮ間接続装置１の処理について説明したが、第２のＬＡＮ間接続装置２も第１のＬＡＮ間接続装置１と同様な処理を行う。処理が完了すると、他拠点のＬＡＮ間接続装置、図１では第２のＬＡＮ間接続装置２との接続が確立され、後述する自動確認方法のフローへ処理が移る。
【００４８】
図３は本発明の一実施例におけるＬＡＮ間接続装置のファイアウォール１２、ＶＰＮサーバ１４、トンネルホスト１３の設定の自動確認方法を示すフローチャートである。これら図１及び図３を参照して本発明の一実施例によるＬＡＮ間接続装置の拠点内ネットワーク設定情報の自動確認方法について説明する。
【００４９】
例えば、全拠点に新サービスを導入する際、新たなパスを設けるために、どのポート番号でどのプロトコルをトンネリング可能にするかを選択する場合がある。以下に説明する方法ではこれら一連の設定を全拠点に対して自動で行うことができる。
【００５０】
この時、第１のＬＡＮ間接続装置１及び第２のＬＡＮ間接続装置２と設定装置３との間が通信可能な状態であるとする。設定装置３の設定サーバ３１は保持する拠点内ネットワーク設定情報統合ファイル３１１またはポリシファイル３１２が変更されると（図３ステップＳ３１）、設定サーバ３１は第１のＬＡＮ間接続装置１へ拠点内ネットワーク設定情報統合ファイル３１１またはポリシファイル３１２を送信する（図２ステップＳ３２）。
【００５１】
第１のＬＡＮ間接続装置１は受信した拠点内ネットワーク設定情報統合ファイル３１１またはポリシファイル３１１から設定項目を抽出し（図３ステップＳ２１）、設定変更項目の設定を行い（図３ステップＳ２２）、他拠点と接続する（図３ステップＳ２３）。尚、上記の説明では第１のＬＡＮ間接続装置１について述べたが、第２のＬＡＮ間接続装置２でも上記と同様の処理が行われる。
【００５２】
図４は本発明の一実施例におけるＬＡＮ間接続装置のファイアウォール、ＶＰＮサーバ、トンネルホスト設定の定期的な送信要求による自動確認方法を示すフローチャートである。これら図１及び図４を参照して拠点内ネットワーク設定情報、ポリシ情報の自動確認方法に関して、第１のＬＡＮ間接続装置１からの定期的なファイル送信要求を用いた別の実現方法について説明する。以下の説明では、第１のＬＡＮ間接続装置１、第２のＬＡＮ間接続装置２と設定装置３との間が通信可能な状態であるものとする。
【００５３】
第１のＬＡＮ間接続装置１は設定装置３に対してポリシファイル３１２、拠点内ネットワーク設定情報統合ファイル３１１の送信要求を定期的に行う（図４ステップＳ４１）。
【００５４】
設定装置３は第１のＬＡＮ間接続装置１から送信要求を受信すると、ポリシファイル３１２、拠点内ネットワーク設定情報統合ファイル３１１各々の内容を第１のＬＡＮ間接続装置１に送信する（図４ステップＳ５１）。
【００５５】
第１のＬＡＮ間接続装置１は設定装置３から受信したファイルの変更の有無を確認し（図４ステップＳ４２）、ファイルの変更がなければステップＳ４１の処理に戻る。また、第１のＬＡＮ間接続装置１は変更がある場合、設定装置３から受信した拠点内ネットワーク設定情報統合ファイル３１１の内容から設定項目を抽出し（図４ステップＳ４３）、設定変更項目の設定を行う（図４ステップＳ４４）。この後、第１のＬＡＮ間接続装置１は他拠点の接続を行う（図４ステップＳ４５）。尚、上記の説明では第１のＬＡＮ間接続装置１について述べたが、第２のＬＡＮ間接続装置２でも上記と同様の処理が行われる。
【００５６】
図５は本発明の一実施例におけるＬＡＮ間接続装置の拠点内ネットワーク設定情報の自動変更方法を示すフローチャートである。これら図１及び図５を参照して本発明の一実施例による拠点内ネットワーク設定情報の自動変更方法について説明する。
【００５７】
例えば、既に拠点間ネットワークに参加しているある拠点配下のサブネットを変更する時には、そのサブネットを変更したことを他拠点にも反映させて各設定を行い直す必要がある。この時の再設定に必要な一連の設定は以下の処理によって自動で行うことが可能となる。この時、第１のＬＡＮ間接続装置１及び第２のＬＡＮ間接続装置２と設定装置３との間が通信可能な状態であるものとする。
【００５８】
第１のＬＡＮ間接続装置１では設定クライアント１１が保持する拠点内ネットワーク設定情報ファイル１１１が変更されると（図５ステップＳ６１）、拠点内ネットワーク設定情報ファイル１１１を設定装置３へ直ちに送信する（Ｐｕｓｈ型）（図５ステップＳ６２）。
【００５９】
設定装置３の設定サーバ３１は受信した拠点内ネットワーク設定情報ファイル１１１を拠点内ネットワーク設定情報統合ファイル３１１へ反映し（図５ステップＳ７１）、拠点内ネットワーク設定情報統合ファイル３１１を第１のＬＡＮ間接続装置１へ送信する（図５ステップＳ７２）。
【００６０】
第１のＬＡＮ間接続装置１は受信した拠点内ネットワーク設定情報統合ファイル３１１から設定項目を抽出し（図５ステップＳ６３）、設定変更項目の設定を行い（図５ステップＳ６４）、他拠点の接続を行う（図５ステップＳ６５）。尚、上記の説明では第１のＬＡＮ間接続装置１について述べたが、第２のＬＡＮ間接続装置２でも上記と同様の処理が行われる。
【００６１】
図６は本発明の一実施例におけるＬＡＮ間接続装置の拠点内ネットワーク設定情報の定期的な送信要求による自動変更方法を示すフローチャートである。これら図１及び図６を参照して、拠点内ネットワーク設定情報の自動変更方法に関して、設定装置３からの定期的なファイル送信要求を用いた別の実現方法について説明する。以下の説明では、第１のＬＡＮ間接続装置１、第２のＬＡＮ間接続装置２と設定装置３との間が通信可能な状態であるものとする。
【００６２】
設定装置３は第１のＬＡＮ間接続装置１へ拠点内ネットワーク設定情報ファイルを定期的に送信要求する（図６ステップＳ９１）。第１のＬＡＮ間接続装置１は設定装置３からの送信要求を受信すると、拠点内ネットワーク設定情報ファイル１１１の内容を設定装置３へ送信する（図６ステップＳ８１）。
【００６３】
設定装置３は第１のＬＡＮ間接続装置１から受信した拠点内ネットワーク設定情報ファイル１１１の内容の変更の有無を確認し（図６ステップＳ９２）、ファイルに変更がなければステップＳ９１の処理へ戻る。設定装置３の設定サーバ３１はファイルに変更があれば、受信した拠点内ネットワーク設定情報フィアル１１１の内容を拠点内ネットワーク設定情報統合ファイル３１１へ反映し（図６ステップＳ９３）、拠点内ネットワーク設定情報統合ファイル３１１の内容を第１のＬＡＮ間接続装置１へ送信する（図６ステップＳ９４）。
【００６４】
第１のＬＡＮ間接続装置１は設定装置３から受信した拠点内ネットワーク設定情報統合ファイル３１１の内容から設定項目を抽出し（図６ステップ８２）、設定変更項目の設定を行う（図６ステップＳ８３）。この後、第１のＬＡＮ間接続装置１は他拠点の接続を行う（図６ステップＳ８４）。尚、上記の説明では第１のＬＡＮ間接続装置１について述べたが、第２のＬＡＮ間接続装置２でも上記と同様の処理が行われる。
【００６５】
図７は本発明の一実施例におけるＬＡＮ間接続装置のポリシの自動変更方法を示すフローチャートである。これら図１及び図７を参照して本発明の一実施例によるポリシの自動変更方法について説明する。
【００６６】
例えば、新たなサービスを全拠点に導入し、それに伴って許可するポート番号やプロトコルのルールの変更を要する場合がある。このような事例に以下のポリシの自動変更方法があてはまる。この時、第１のＬＡＮ間接続装置１及び第２のＬＡＮ間接続装置２と設定装置３との間が通信可能な状態であるものとする。
【００６７】
設定装置３では設定サーバ３１が保持するポリシファイル３１２が変更されると（図７ステップＳ１１１）、ポリシファイル３１２を第１のＬＡＮ間接続装置１へ送信する（図７ステップＳ１１２）。
【００６８】
第１のＬＡＮ間接続装置１は受信したポリシファイル３１２から設定項目を抽出し（図７ステップＳ１０１）、設定変更項目の設定を行い（図７ステップＳ１０２）、他拠点の接続を行う（図７ステップＳ１０３）。尚、上記の説明では第１のＬＡＮ間接続装置１について述べたが、第２のＬＡＮ間接続装置２でも上記と同様の処理が行われる。
【００６９】
図８は本発明の他の実施例によるＬＡＮ間接続装置の自動設定システムの構成を示すブロック図である。図８において、本発明の他の実施例によるＬＡＮ間接続装置の自動設定システムは設定クライアント１１内に固有ポリシファイル１１３を設けた以外は図１に示す本発明の一実施例によるＬＡＮ間接続装置の自動設定システムと同様の構成となっており、同一構成要素には同一符号を付してある。また、同一構成要素の動作は上述した本発明の一実施例と同様である。
【００７０】
図９は本発明の他の実施例におけるＬＡＮ間接続装置のポリシの自動変更方法を示すフローチャートである。これら図８及び図９を参照して本発明の他の実施例によるポリシの自動変更方法について説明する。
【００７１】
本発明の一実施例では全拠点でポリシが共通としているが、拠点によってはユーザの利用ニーズによって共通のポリシとは別に拠点固有のポリシを持たせる場合がある。そして、拠点固有のポリシのルール数が増加していくうちに、拠点固有のポリシのうち全拠点に共通する、例えば送信先ポートや送出元ポートの項目が現れることがある。この共通項目を共通ポリシとして扱い直すのが本発明の他の実施例である。この時、第１のＬＡＮ間接続装置１及び第２のＬＡＮ間接続装置２と設定装置３との間が通信可能な状態であるものとする。
【００７２】
第１のＬＡＮ間接続装置１の設定クライアント１１には固有ポリシファイル１１３を保持させる。ポリシファイル１１２が各拠点に共通なデータを格納したものであるのに対して、固有ポリシファイル１１３は拠点固有のポリシデータを格納したものである。
【００７３】
第１のＬＡＮ間接続装置１では設定クライアント１１が保持する固有ポリシファイル１１３が変更されると（図９ステップＳ１２１）、設定装置３へ固有ポリシファイル１１３を送信する（図９ステップＳ１２２）。
【００７４】
設定装置３の設定サーバ３１は各拠点から受信した固有ポリシファイル１１３に共通項目があるかどうかを調査する（図９ステップＳ１３１）。設定サーバ３１は共通項目がある場合のみ、各拠点の固有ポリシファイル１１３から共通項目を抽出し（図９ステップＳ１３２）、抽出した共通項目を共通ポリシファイル３１２へ追加して更新を行う（図９ステップＳ１３３）。
【００７５】
更新処理完了後、設定サーバ３１は第１のＬＡＮ間接続装置１へポリシファイル３１２を送信する（図９ステップＳ１３４）。尚、上記の説明では第１のＬＡＮ間接続装置１について述べたが、第２のＬＡＮ間接続装置２でも上記と同様の処理が行われる。また、第１のＬＡＮ間接続装置１が設定装置３へ固有ポリシファイル１１３を送信し、定期的に設定装置３が変更の有無を確認する方法も可能である。
【００７６】
図１０は本発明の別の実施例におけるＬＡＮ間接続装置と設定装置間の接続が断した場合の自動再接続方法を示すフローチャートである。上述した本発明の一実施例及び他の実施例では第１のＬＡＮ間接続装置１と設定装置３との間の接続が断となった場合、自動的に再接続を行う。本発明の別の実施例ではこの再接続方法を示す。これら図１及び図１０を参照して本発明の別の実施例による再接続方法について説明する。
【００７７】
第１のＬＡＮ間接続装置１は設定装置３へヘルシチェック要求を定期的に送信し（図１０ステップＳ１４１）、設定装置３からのヘルシチェック応答なしを確認する（図１０ステップＳ１４２）。第１のＬＡＮ間接続装置１は設定装置３からの応答があれば、ステップＳ１４１の処理へ戻り、応答がなければ、設定装置３へＶＰＮ接続要求を行う（図１０ステップＳ１４３）。
【００７８】
設定装置３の設定サーバ３１は第１のＬＡＮ間接続装置１からのＶＰＮ接続要求を受信すると、ＶＰＮ接続処理を行い、認証が完了すると、設定クライアント１１とのＶＰＮ接続を確立する（図１０ステップＳ１５１）。
【００７９】
第１のＬＡＮ間接続装置１はＶＰＮ接続が確立すると、拠点内ネットワーク設定情報ファイル１１１の内容を設定装置３へ送信する（図１０ステップＳ１４４）。設定サーバ３１は第１のＬＡＮ間接続装置１から送信された拠点内ネットワーク設定情報ファイル１１１の内容を受信すると、拠点内ネットワーク設定情報統合ファイル３１１に拠点内ネットワーク設定情報ファイル１１１の内容を追加する（図１０ステップＳ１５２）。
【００８０】
設定サーバ３１はファイルを追加した後、拠点内ネットワーク設定情報統合ファイル３１１、ポリシファイル３１２各々の内容を各拠点のＬＡＮ間接続装置（図１では第１のＬＡＮ間接続装置１、第２のＬＡＮ間接続装置２）へ送信する（図１０ステップＳ１５３）。
【００８１】
第１のＬＡＮ間接続装置１は受信した拠点内ネットワーク設定情報統合ファイル３１１、ポリシファイル３１２の内容から必要な設定項目を抽出し（図１０ステップＳ１４５）、設定項目の設定を行う（図１０ステップＳ１４６）。その後、第１のＬＡＮ間接続装置１は他拠点の接続を行い（図１０ステップＳ１４７）、接続確立後、ステップＳ１４１の処理へ戻る。尚、上記の説明では第１のＬＡＮ間接続装置１について述べたが、第２のＬＡＮ間接続装置２でも上記と同様の処理が行われる。
【００８２】
尚、上述した各実施例とも第１のＬＡＮ間接続装置１及び第２のＬＡＮ間接続装置２と設定装置３との間が通信可能な状態であるものとしているが、各ファイルに変更が生じた時点で接続を確立する方法も可能である。
【００８３】
このように、本発明では、セキュリティポリシを第１のＬＡＮ間接続装置１及び第２のＬＡＮ間接続装置２が安全に取得し、ファイアウォール１２、ＬＡＮ間接続装置の設定を自動で行うので、新規の拠点ＬＡＮを追加しても、ファイアウォール１２越しのＶＰＮ構築の自動設定を行うことができる。
【００８４】
また、本発明では、ネットワークセグメントのような規模の大きな設定であっても、設定要員が煩雑な作業を行う必要がなくなり、ユーザは安全性を欠くことなく、サービスを受けることができる。
【００８５】
上述した特許文献１，２に記載の技術では、ルータ（ゲートウェイ）が受信データを基にルーティング情報を転送している。この転送に際しては二次データを生成することはない。すなわち、上記の技術では、ルーティングテーブル（Ｒｏｕｔｉｎｇ Ｔａｂｌｅ）の各エントリ（Ｅｎｔｒｙ）（行）毎の追加・削除を遠隔設定しているにすぎない。
【００８６】
また、上記の技術で扱うデータはルーティングテーブルの各エントリ１種類のみである。さらに、上記の技術は、ルーティングプロトコル［ＲＩＰ（Ｒｏｕｔｉｎｇ Ｉｎｆｏｒｍａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）やＯＳＰＦ（Ｏｐｅｎ Ｓｈｏｒｔｅｓｔ Ｐａｔｈ Ｆｉｒｓｔ）等］が動作している環境下においてはあえて使用する必要がない。
【００８７】
これに対し、本発明では、ゲートウェイが受信データからルールデータ（ポリシデータ等）を生成し、そのルールデータを基にファイアウォールを設定している。また、本発明では、受信データからルーティングテーブルの設定項目を生成し、設定項目を基にＶＰＮサーバを設定している。
【００８８】
さらに、本発明では、受信データからルーティングテーブルの設定項目を生成し、その設定項目を基にトンネルホストの設定を行っている。ここで、受信データによって提供される情報の項目は、各拠点毎のフロアネットのアドレス（ネットワークアドレス）、トンネルホストのアドレス（またはトンネル用に割当てられた疑似インタフェース）、ＶＰＮサーバのＩＰアドレスと各拠点の接続ルール（ポリシ）である。
【００８９】
接続ルールとしては、例えば、▲１▼拠点間の通信はトンネルホスト同士を接続する、▲２▼トンネルホスト間の通信にはＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）のｐｏｒｔ８０００番を使用する、▲３▼各拠点間にＶＰＮ機能を提供する、という規定がある。
【００９０】
上記の▲１▼，▲２▼の拠点間のトンネルの設定に関しては、例えば、ある拠点のトンネルホストで、他拠点のフロアネットアドレスと、その拠点のトンネルホストのＩＰアドレスから他拠点のフロアネットアドレス向けのルーティングテーブルを設定することが考えられる。
【００９１】
また、他拠点のトンネルホスト向けの接続にはＴＣＰの８０００番の使用を設定することが考えられる。これと並行して、ファイアウォールでは自拠点のトンネルホストと他地区のトンネルホストとの間の通信について、ＴＣＰのｐｏｒｔ８０００番に関して接続を通すことを設定すること等が考えられる。
【００９２】
一方、上記の▲３▼のＶＰＮのルーティングの設定に関しては、ＶＰＮサーバで、他拠点に向けたフロアネットアドレスを自拠点のトンネルホストへルーティングするようにルーティングテーブルを設定することが考えられる。
【００９３】
本発明に直接関係しないが、端末の設定に関しては、端末で他拠点と接続する場合、端末のルーティングの設定を接続したい拠点のフロアネットアドレス向けのルーティングをトンネルホストに接続する設定とすることが考えられる。
【００９４】
また、端末でＶＰＮの提供を受ける場合には、端末のルーティングの設定をＶＰＮで入りたい拠点のフロアネットアドレスのエントリを削除し、ＶＰＮで入りたい拠点のＶＰＮサーバのアドレス向けのルーティングをトンネルホストに接続する設定とすることも考えられる。
【００９５】
以上のように、本発明では、他拠点のアドレスの情報及び接続のポリシから、各々必要な設定情報（ルーティングテーブルに限らない）を２次データとして生成し、矛盾がないように連携して設定を行っている。
【００９６】
本発明では、次の手順によって接続を行っている。つまり、（１）設定クライアントは設定サーバより受信した設定情報ファイルから設定に必要になるファイアウォールのルールデータ、トンネルホスト、ＶＰＮサーバ用のルーティングテーブルの設定項目を生成する。
【００９７】
（２）設定クライアントが生成した各エントリをトンネルホストとＶＰＮサーバに配布、他拠点向けアドレスはＶＰＮサーバからトンネルホストに送信する。トンネルホストは他拠点のトンネルホスト（またはトンネル用に割当てられた疑似インタフェース）に送信する。
【００９８】
（３）配布された各エントリより、ＶＰＮサーバはルーティングテーブルを設定することで、他拠点宛のパケットを受信した時に自拠点のトンネルホストへルーティングする準備が整う。
【００９９】
（４）配布された各エントリより、トンネルホストはルーティングテーブルを設定することで、ＶＰＮクライアントまたはＶＰＮサーバを経由してＶＰＮクライアント以外の端末から受信したパケットの宛先に応じて宛先トンネルホスト（トンネル用に割当てた擬似インタフェース）に送信する準備が整う。
【０１００】
（５）設定クライアントがＦｉｒｅＷａｌｌに穴を開け，開けた穴をトンネルホストとＶＰＮサーバとに通知、つまりファイアウォールがトンネルホスト間の通信を通すことになるので、トンネルホストの他拠点への転送機能が有効になる。これによって、他拠点とＶＰＮ接続が可能となる。
【０１０１】
次に、ルーティング情報の連携処理について考えると、上記の特許文献１，２に記載の技術では、特に連携処理はなく、直ちにルーティング情報の転送処理が可能となっている。
【０１０２】
また、上述した通り、特許文献１，２に記載の技術では、ルーティングプロトコルが動作していない環境で、ルーティングを行えるようにすることを目的としているのに対し、本発明では、ルーティングプロトコルが動作しているネットワーク内に、拠点間を接続しかつ外部から隔絶されたネットワークを提供することを目的としている。
【０１０３】
しかしながら、インタネットを介してＬＡＮ間を接続するＬＡＮ間接続装置の設定においては、ファイアウォールが設置された場合、ルーティング情報変更後にルータ間で通信することができないという課題がある。
【０１０４】
上記の特許文献１，２に記載の技術によるシステムの動作に着目すると、ルーティングマネージャがルーティング情報を配布し、その情報に基づいてルータが転送処理を行い、ルーティング情報の連携動作を行っていない。これをふまえて、ルータとインタネットとの間にファイアウォールが設置される場合を考えると、ファイアウォールはネットワークをセグメントに分けてしてしまうので、各セグメント間で通信を行う際、ファイアウォールと連携してトンネルを開けるという、ルータが保持しない機能を提供するトンネルホストの存在が必要であり、当然、接続手順においてもトンネルホストがファイアウォールと連携してトンネルを開けるという操作が加わる。
【０１０５】
また、連携動作の考慮がないと問題になるのは、ファイアウォールが設置された場合に限らず、閉鎖性を考慮したネットワーク（ＶＰＮ）を構築する際にも同様に考えられ、ＶＰＮの構築に必要なＶＰＮサーバの存在やファイアウォール、トンネルホストと連携してＶＰＮサーバに適切な設定をする操作が必要となる。どちらの場合においても、設定情報はファイアウォール、トンネルホスト、ＶＰＮサーバ間で互いに矛盾なく設定する必要がある。
【０１０６】
このため、設定サーバから受信するデータは、ファイアウォール、トンネルホスト、ＶＰＮサーバ各々に関しての詳細な文字列になった設定データを基に設定を行うのではなく、設定サーバから必要最小限の文字列になったデータを受信し、受信したデータからファイアウォール、トンネルホスト、ＶＰＮサーバの設定に必要になる設定情報を二次データとして生成し、その二次データを設定ファイルとして使用する。
【０１０７】
このように、本発明では共通の情報から生成したデータを設定ファイルとして用いることで、ファイアウォール、トンネルホスト、ＶＰＮサーバが互いに矛盾のない設定を行うことが可能となる。
【０１０８】
【発明の効果】
以上説明したように本発明は、上記のような構成及び動作とすることで、新規の拠点ＬＡＮを追加してもファイアウォール越しにＶＰＮ構築の自動設定を行うことができるという効果が得られる。
【図面の簡単な説明】
【図１】本発明の一実施例によるＬＡＮ間接続装置の自動設定システムの構成を示すブロック図である。
【図２】本発明の一実施例におけるＬＡＮ間接続装置のファイアウォール、ＶＰＮ サーバ、トンネルホストの自動設定方法を示すフローチャートである。
【図３】本発明の一実施例におけるＬＡＮ間接続装置のファイアウォール、ＶＰＮサーバ、トンネルホストの設定の自動確認方法を示すフローチャートである。
【図４】本発明の一実施例におけるＬＡＮ間接続装置のファイアウォール、ＶＰＮサーバ、トンネルホスト設定の定期的な送信要求による自動確認方法を示すフローチャートである。
【図５】本発明の一実施例におけるＬＡＮ間接続装置の拠点内ネットワーク設定情報の自動変更方法を示すフローチャートである。
【図６】本発明の一実施例におけるＬＡＮ間接続装置の拠点内ネットワーク設定情報の定期的な送信要求による自動変更方法を示すフローチャートである。
【図７】本発明の一実施例におけるＬＡＮ間接続装置のポリシの自動変更方法を示すフローチャートである。
【図８】本発明の他の実施例によるＬＡＮ間接続装置の自動設定システムの構成を示すブロック図である。
【図９】本発明の他の実施例におけるＬＡＮ間接続装置のポリシの自動変更方法を示すフローチャートである。
【図１０】本発明の別の実施例におけるＬＡＮ間接続装置と設定装置間の接続が断した場合の自動再接続方法を示すフローチャートである。
【図１１】従来のＬＡＮ間接続装置の自動設定システムの基本動作を示すフローチャートである。
【符号の説明】
１ 第１のＬＡＮ間接続装置
２ 第２のＬＡＮ間接続装置
３ 設定装置
１１ 設定クライアント
１２，３２ ファイアウォール
１３ トンネルホスト
１４ ＶＰＮサーバ
３１ 設定サーバ
３２ ファイアウォール
１００ インタネット
１１１ 拠点内ネットワーク設定情報ファイル
１１２，３１２ ポリシファイル
１１３ 固有ポリシファイル
３１１ 拠点内ネットワーク設定情報統合ファイル
Claims (18)
- 複数のネットワーク間接続装置と少なくとも１つの設定装置とを配置し、１つの設定装置に少なくとも２つのネットワーク間接続装置がインタネットを介して接続されるネットワーク間接続装置の自動設定システムであって、
前記ネットワーク間接続装置各々に、
前記インタネットを介したアクセスを制限するためのファイアウォールと、他のネットワーク間接続装置へデータを転送する手段を含むトンネルホストと、自装置配下のネットワークの利用者のアカウントデータを保持するＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｒｔｗｏｒｋ）サーバと、前記設定装置との認証のための接続手段と前記ファイアウォールの設定手段と前記トンネルホスト及び前記ＶＰＮサーバにルーティングデータを与える手段とを含む設定クライアントとを有し、
前記設定装置に、
前記インタネットを介したアクセスを制限するためのファイアウォールと、前記設定クライアントを認証する手段と前記ファイアウォールの設定手段とを含みかつ前記設定クライアントへ配布する前記ファイアウォールの設定情報を格納したポリシデータ及び各拠点の前記ネットワーク間接続装置が保持する拠点内ネットワーク設定情報を統合した拠点内ネットワーク設定統合データを保持する設定サーバとを有し、
前記ネットワーク間接続装置が新規に追加された時に、当該ネットワーク間接続装置の前記設定クライアントが前記設定装置へ前記拠点内ネットワーク設定情報を通知し、
前記設定サーバが当該拠点内ネットワーク設定情報を拠点内ネットワーク設定統合データに統合して保存し、前記ポリシデータと前記拠点内ネットワーク設定統合データとを前記ネットワーク間接続装置へ送信して当該ネットワーク間接続装置の拠点内ネットワーク設定情報及び前記ポリシデータを設定し、
前記設定装置によって前記ネットワーク間接続装置各々の拠点内ネットワーク設定情報及び前記ポリシデータを設定することを特徴とするネットワーク間接続装置の自動設定システム。 - 前記ネットワーク間接続装置が運用中に前記設定装置と常に接続し、
前記設定サーバが保持する前記ポリシデータ及び前記拠点内ネットワーク設定情報のいずれかに変更が生じた時に前記ポリシデータ及び前記拠点内ネットワーク設定情報のいずれかを前記ネットワーク間接続装置へ直ちに送信することを特徴とする請求項１記載のネットワーク間接続装置の自動設定システム。 - 前記ネットワーク間接続装置が運用中に前記設定装置と常に接続し、前記設定クライアントが前記設定サーバへ前記ポリシデータ及び前記拠点内ネットワーク設定統合データの送信を一定の周期で要求し、
前記設定サーバが前記ポリシデータ及び前記拠点内ネットワーク設定統合データを前記ネットワーク間接続装置へ送信し、
前記設定クライアントが前記ポリシデータ及び前記拠点内ネットワーク設定統合データの変更の有無を確認することを特徴とする請求項１記載のネットワーク間接続装置の自動設定システム。 - 前記設定サーバが保持する前記ポリシデータが変更された時に、前記設定クライアントが前記ポリシデータから必要な設定項目を抽出して設定項目の設定を行うことを特徴とする請求項２または請求項３記載のネットワーク間接続装置の自動設定システム。
- 前記設定サーバが保持する前記拠点内ネットワーク設定統合データが変更された時に、前記設定クライアントが前記拠点内ネットワーク設定統合データから必要な設定項目を抽出して設定項目の設定を行うことを特徴とする請求項２または請求項３記載のネットワーク間接続装置の自動設定システム。
- 前記ネットワーク間接続装置が運用中に前記設定装置と常に接続し、前記設定クライアントが保持する前記拠点内ネットワーク設定情報に変更が生じた時に前記設定クライアントが前記拠点内ネットワーク設定情報を前記設定装置へ直ちに送信することを特徴とする請求項１記載のネットワーク間接続装置の自動設定システム。
- 前記ネットワーク間接続装置が運用中に前記設定装置と常に接続し、前記設定サーバが前記設定クライアントへ前記拠点内ネットワーク設定情報の送信を一定の周期で要求し、前記設定クライアントからの前記拠点内ネットワーク設定情報の変更の有無を確認することを特徴とする請求項１記載のネットワーク間接続装置の自動設定システム。
- 前記ネットワーク間接続装置が保持する前記拠点内ネットワーク設定情報が変更された時に、前記設定装置が前記拠点内ネットワーク設定情報を前記ネットワーク設定統合データへ反映することを特徴とする請求項６または請求項７記載のネットワーク間接続装置の自動設定システム。
- 前記ネットワーク間接続装置が運用中に前記設定装置との接続を常に監視し、当該接続が切断された時に前記設定装置との再接続を行うことを特徴とする請求項１から請求項８のいずれか記載のネットワーク間接続装置の自動設定システム。
- 複数のネットワーク間接続装置と少なくとも１つの設定装置とを配置し、１つの設定装置に少なくとも２つのネットワーク間接続装置がインタネットを介して接続されるネットワーク間接続装置の自動設定方法であって、
前記ネットワーク間接続装置各々の設定クライアントが、前記設定装置との認証のための接続を行い、前記インタネットを介したアクセスを制限するためのファイアウォールの設定を行い、他のネットワーク間接続装置へデータを転送する手段を含むトンネルホスト及び前記ネットワーク間接続装置配下のネットワークの利用者のアカウントデータを保持するＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｒｔｗｏｒｋ）サーバにルーティングデータを与え、
前記設定装置の設定サーバが、前記設定クライアントを認証し、前記インタネットを介したアクセスを制限するためのファイアウォールの設定を行い、前記設定クライアントへ配布する前記ファイアウォールの設定情報を格納したポリシデータ及び各拠点の前記ネットワーク間接続装置が保持する拠点内ネットワーク設定情報を統合した拠点内ネットワーク設定統合データを保持し、
前記ネットワーク間接続装置が新規に追加された時に、当該ネットワーク間接続装置の前記設定クライアントが前記設定装置へ前記拠点内ネットワーク設定情報を通知し、
前記設定サーバが当該拠点内ネットワーク設定情報を拠点内ネットワーク設定統合データに統合して保存し、前記ポリシデータと前記拠点内ネットワーク設定統合データとを前記ネットワーク間接続装置へ送信して当該ネットワーク間接続装置の拠点内ネットワーク設定情報及び前記ポリシデータを設定し、
前記設定装置によって前記ネットワーク間接続装置各々の拠点内ネットワーク設定情報及び前記ポリシデータを設定することを特徴とするネットワーク間接続装置の自動設定方法。 - 前記ネットワーク間接続装置が運用中に前記設定装置と常に接続し、
前記設定サーバが保持する前記ポリシデータ及び前記拠点内ネットワーク設定情報のいずれかに変更が生じた時に前記ポリシデータ及び前記拠点内ネットワーク設定情報のいずれかを前記ネットワーク間接続装置へ直ちに送信することを特徴とする請求項１０記載のネットワーク間接続装置の自動設定方法。 - 前記ネットワーク間接続装置が運用中に前記設定装置と常に接続し、前記設定クライアントが前記設定サーバへ前記ポリシデータ及び前記拠点内ネットワーク設定統合データの送信を一定の周期で要求し、
前記設定サーバが前記ポリシデータ及び前記拠点内ネットワーク設定統合データを前記ネットワーク間接続装置へ送信し、
前記設定クライアントが前記ポリシデータ及び前記拠点内ネットワーク設定統合データの変更の有無を確認することを特徴とする請求項１０記載のネットワーク間接続装置の自動設定方法。 - 前記設定サーバが保持する前記ポリシデータが変更された時に、前記設定クライアントが前記ポリシデータから必要な設定項目を抽出して設定項目の設定を行うことを特徴とする請求項１１または請求項１２記載のネットワーク間接続装置の自動設定方法。
- 前記設定サーバが保持する前記拠点内ネットワーク設定統合データが変更された時に、前記設定クライアントが前記拠点内ネットワーク設定統合データから必要な設定項目を抽出して設定項目の設定を行うことを特徴とする請求項１１または請求項１２記載のネットワーク間接続装置の自動設定方法。
- 前記ネットワーク間接続装置が運用中に前記設定装置と常に接続し、前記設定クライアントが保持する前記拠点内ネットワーク設定情報に変更が生じた時に前記設定クライアントが前記拠点内ネットワーク設定情報を前記設定装置へ直ちに送信することを特徴とする請求項１０記載のネットワーク間接続装置の自動設定方法。
- 前記ネットワーク間接続装置が運用中に前記設定装置と常に接続し、前記設定サーバが前記設定クライアントへ前記拠点内ネットワーク設定情報の送信を一定の周期で要求し、前記設定クライアントからの前記拠点内ネットワーク設定情報の変更の有無を確認することを特徴とする請求項１０記載のネットワーク間接続装置の自動設定方法。
- 前記ネットワーク間接続装置が保持する前記拠点内ネットワーク設定情報が変更された時に、前記設定装置が前記拠点内ネットワーク設定情報を前記ネットワーク設定統合データへ反映することを特徴とする請求項１５または請求項１６記載のネットワーク間接続装置の自動設定方法。
- 前記ネットワーク間接続装置が運用中に前記設定装置との接続を常に監視し、当該接続が切断された時に前記設定装置との再接続を行うことを特徴とする請求項１０から請求項１７のいずれか記載のネットワーク間接続装置の自動設定方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003124609A JP4251008B2 (ja) | 2003-04-30 | 2003-04-30 | ネットワーク間接続装置の自動設定システム及びそれに用いる自動設定方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003124609A JP4251008B2 (ja) | 2003-04-30 | 2003-04-30 | ネットワーク間接続装置の自動設定システム及びそれに用いる自動設定方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2004328688A JP2004328688A (ja) | 2004-11-18 |
| JP4251008B2 true JP4251008B2 (ja) | 2009-04-08 |
Family
ID=33502095
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003124609A Expired - Fee Related JP4251008B2 (ja) | 2003-04-30 | 2003-04-30 | ネットワーク間接続装置の自動設定システム及びそれに用いる自動設定方法 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP4251008B2 (ja) |
Families Citing this family (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP4648100B2 (ja) * | 2005-06-08 | 2011-03-09 | 大日本印刷株式会社 | Ｐｋｉの環境設定方法、クライアントサーバシステムおよびコンピュータプログラム |
| JP4692570B2 (ja) * | 2008-04-28 | 2011-06-01 | ヤマハ株式会社 | 通信システム |
| EP2311235A2 (en) * | 2009-01-09 | 2011-04-20 | NEC Europe Ltd. | Method for access control within a network comprising a pep and a pdp |
| WO2014006795A1 (ja) * | 2012-07-03 | 2014-01-09 | 日本電気株式会社 | 相互接続管理装置、相互接続設定方法、及びプログラムが格納された非一時的なコンピュータ可読媒体 |
-
2003
- 2003-04-30 JP JP2003124609A patent/JP4251008B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2004328688A (ja) | 2004-11-18 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US7000121B2 (en) | Computer systems, in particular virtual private networks | |
| JP3492865B2 (ja) | 移動計算機装置及びパケット暗号化認証方法 | |
| US8327437B2 (en) | Securing network traffic by distributing policies in a hierarchy over secure tunnels | |
| CN101305541B (zh) | 维持安全网络连接的技术 | |
| US7120792B1 (en) | System and method for secure communication of routing messages | |
| JP4902878B2 (ja) | リンク管理システム | |
| US20060233144A1 (en) | Mobility support apparatus for mobile terminal | |
| JP5763849B2 (ja) | プロパティの遠隔制御で使用されるデータ転送ネットワークを実現するためのデバイス構成および方法 | |
| JP2001326693A (ja) | 通信装置及び通信制御方法並びに制御プログラム記録媒体 | |
| JPH10285216A (ja) | セキュリティ保護通信トンネリングの方法及び装置 | |
| JP2003069609A (ja) | 仮想私設網サービスを提供するシステム | |
| JP2015046892A (ja) | 建物の遠隔制御を実施するための方法およびデバイス装置 | |
| EP2805467B1 (en) | Managing address validation states in switches snooping ipv6 | |
| EP2827551B1 (en) | Communication method, communication apparatus and communication program | |
| US7539191B1 (en) | System and method for securing route processors against attack | |
| US20190215191A1 (en) | Deployment Of Virtual Extensible Local Area Network | |
| JP5687388B2 (ja) | 建物の遠隔制御を実施するためのデバイス構成 | |
| JP3996922B2 (ja) | 異なる通信プロトコルが併存するネットワークにおけるネットワーク接続手段の一元管理システム及び方法 | |
| JP2005167646A (ja) | 接続制御システム、接続制御装置、及び接続管理装置 | |
| EP1503537A1 (en) | Centralized encryption management system | |
| JP4251008B2 (ja) | ネットワーク間接続装置の自動設定システム及びそれに用いる自動設定方法 | |
| JP4495049B2 (ja) | パケット通信サービスシステム、パケット通信サービス方法、エッジ側ゲートウェイ装置、およびセンタ側ゲートウェイ装置 | |
| EP2600568B1 (en) | Relay server and relay communication system | |
| JP2012165269A (ja) | 中継サーバ及び中継通信システム | |
| EP2883338A1 (en) | Method and apparatus for using rendezvous server to make connections to fire alarm panels |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20060213 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20071109 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20071120 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20080121 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20080708 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20081224 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20090106 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120130 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130130 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130130 Year of fee payment: 4 |
|
| LAPS | Cancellation because of no payment of annual fees |