JP4341073B2

JP4341073B2 - 仮想閉域網システム、サーバ、ユーザ端末、アクセス方法、プログラム及び記録媒体

Info

Publication number: JP4341073B2
Application number: JP2005126242A
Authority: JP
Inventors: 雅純清水
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2005-04-25
Filing date: 2005-04-25
Publication date: 2009-10-07
Anticipated expiration: 2025-04-25
Also published as: JP2006304158A

Description

本発明は、仮想閉域網システム、サーバ、ユーザ端末、アクセス方法、プログラム及び記録媒体に関し、特に、単一の物理的なネットワーク上で複数の仮想閉域網を実現可能とする仮想閉域網システムにおいて、仮想閉域網毎の属性を保持し、その属性に基づいて仮想閉域網に対するアクセスコントロールを行う場合に好適に適用することができる。

仮想閉域網（ＶＰＮ：Virtual Private Network）は、単一の物理的なネットワーク例えば公衆ネットワークをあたかも専用網のように利用することができるサービス網のことであり、最近は、音声のみならず、画像や文字なども含めて、例えば、インターネット上で仮想的な専用網を形成した特定のユーザ端末間での通信のみを許可する閉域接続サービスが提供されるようになってきている。このような仮想閉域網のアクセスコントロール方法においては、それぞれの仮想閉域網を形成するユーザ端末のＩＰアドレスやユーザ名をあらかじめ登録しておき、ユーザ端末から送信されるパケットの送受信アドレスやユーザ名が登録済みか否かを確認することにより、あらかじめ設定されているユーザ端末間同士の閉域通信を実現する。

すなわち、従来の仮想閉域網技術では、ＩＰアドレスやユーザ名といった静的情報のみに基づいてアクセスコントロールを行い、仮想閉域網への接続の許可・不許可の判断をしている。

一方、近年、マルチメディア時代を反映して、多様な端末の開発が盛んであり、種々の異なる性能、特性を有する端末が登場してきている。これらの多様なユーザ端末を混在させて収容する仮想閉域網を構築する場合に当たっては次のような問題が生じてきている。すなわち、要求される処理能力やネットワーク帯域、セキュリティレベルなどがそれぞれで異なる多様なユーザ端末が混在して収容される仮想閉域網においては、該仮想閉域網に閉域接続している各ユーザ端末に対して期待される一定レベルのサービスを継続的に提供していくことが困難な状況に陥ってきている。

例えば、従来技術の仮想閉域網の構成について図６を参照して説明する。ここに、図６は、従来技術における仮想閉域網構成を示すブロック構成図であり、特許文献１に示す特表２００２−５０４２８５号公報「仮想専用網を実現する装置」に示された構成を模式化して示したものである。図６に示すように、従来の仮想閉域網システムは、仮想閉域網サーバ２０００、ユーザ端末２１００、管理者端末２２００、認証装置２３００から構成されている。仮想閉域網サーバ２０００は、仮想閉域網管理部２０１０と、仮想閉域網処理部２０２０とを含む。更に、仮想閉域網管理部２０１０は、仮想閉域網アクセス制御部２０１１と仮想閉域網データベース２０１２とを含む。

図６に示す従来の仮想閉域網システムの各部それぞれは、概略、次のように動作する。仮想閉域網サーバ２０００は、閉域接続を要求したユーザ端末２１００に対して仮想閉域網サービスを提供する。ユーザ端末２１００は、ユーザが仮想閉域網サーバ２０００に対して閉域接続を要求することにより、閉域接続サービスを享受する端末である。管理者端末２２００は、閉域接続サービスを提供する管理者が仮想閉域網を構築・構成変更・削除する際に利用する端末である。認証装置２３００は、ユーザが仮想閉域網サーバ２０００に対して閉域接続を要求した際に、要求された閉域接続を許可するか否かを判別し、ユーザの認証を行う装置である。

仮想閉域網サーバ２０００内の仮想閉域網処理部２０２０は、閉域接続を許容したユーザ端末２１００だけが通信可能な仮想閉域網を構築するための機能を有する。また、仮想閉域網データベース２０１２は、複数の仮想閉域網とその仮想閉域網それぞれに接続することができるユーザのユーザ名や該ユーザが利用するユーザ端末２１００のＩＰアドレスを登録している認証テーブルを格納する。仮想閉域網アクセス制御部２０１１は、閉域接続を要求してきたユーザのユーザ名やユーザ端末２１００のＩＰアドレスが、仮想閉域網データベース２０１２の仮想閉域網に登録されているか否かを確認する。接続要求元のユーザのユーザ名やＩＰアドレスが示すユーザ端末２１００が登録されている仮想閉域網が、仮想閉域網データベース２０１２に存在していれば、仮想閉域網処理部２０２０に対して、当該仮想閉域網に対する閉域接続処理の実行を依頼し、接続要求元のユーザ端末２１００に閉域接続サービスを提供する。

特表２００２−５０４２８５号公報（第１２−１４頁、図６）

前述のように、従来の仮想閉域網構築技術では、ＩＰアドレスやユーザ名といった静的な情報のみに基づいて、閉域接続の許可・不許可を判断するアクセスコントロールを行っているため、要求される処理能力やネットワーク帯域、セキュリティレベルなどが異なる多様な端末が混在するような仮想閉域網においては、該仮想閉域網に閉域接続している各ユーザに対して期待される一定レベルのサービスを提供することが困難な状況にあった。

そこで、本発明の目的は、ユーザ端末がネットワークに対して閉域接続の要求をしてきた際に、当該ユーザ端末の性能や種類やデバイス接続状態といったハードウェア情報や、最終更新日時や版数やあらかじめ定めた特定アプリケーションの有無や該特定アプリケーションの実行中の有無といったソフトウェア情報などを含む端末情報（すなわち、端末の属性を示す情報）を取得し、その端末情報とあらかじめ設定された仮想閉域網のポリシー（属性）とが適合する仮想閉域網を選択して、ユーザ端末の当該仮想閉域網に対する閉域接続を許可することにより最適の品質の閉域接続サービスを提供することを可能とすることにある。

更に言えば、本発明の目的は、ユーザ端末上に存在するエージェントによって、閉域接続の要求時における当該ユーザ端末の状態（属性）を常に取得し、仮想閉域網としてあらかじめ設定された属性と、前記エージェントによって取得したユーザ端末の状態（属性）とを比較した結果に基づいて、閉域接続サービスのアクセスコントロールを行うことにより、動的に変化するユーザ端末の状態に応じて接続できる仮想閉域網(ＶＰＮ：Virtual Private Network)即ちＣＵＧ（Closed User Group）を動的に変更させることを可能にし、もって、従来のアクセスコントロールの欠点を解決することにある。

前述の課題を解決するために、本発明による仮想閉域網システム、サーバ、ユーザ端末、アクセス方法、プログラム及び記録媒体は、次のような特徴的な構成を採用している。

（１）ネットワーク上の複数の仮想閉域網を管理する仮想閉域網サーバの制御により、該ネットワークに接続するユーザ端末に対して閉域接続サービスを提供する仮想閉域網システムであって、
各前記ユーザ端末は、当該ユーザ端末自身の属性を示す端末情報を収集し、前記仮想閉域網サーバに閉域接続を要求する際に該仮想閉域網サーバに該端末情報を送信するエージェントを有し、
前記端末情報は、当該ユーザ端末のハードウェア情報および／またはソフトウェア情報であって、前記ユーザ端末の使用態様に応じて変化し得る情報を含み、
前記仮想閉域網サーバは、各仮想閉域網の属性を格納する仮想閉域網属性データベースを有し、前記ユーザ端末が閉域接続を要求してきたときに、該ユーザ端末から受信した前記端末情報に適合する属性の仮想閉域網を前記仮想閉域網属性データベースで検索することにより、該端末情報で示された該ユーザ端末の要求に適合する属性の仮想閉域網を動的に選択して、接続要求元のユーザ端末を閉域接続する仮想閉域網システム。
（２）ユーザ端末の前記端末情報は、当該ユーザ端末のハードウェア情報として、端末性能、端末種類、デバイス接続状態のうち、１乃至複数の情報を少なくとも含む上記（１）の仮想閉域網システム。
（３）ユーザ端末の前記端末情報は、当該ユーザ端末のソフトウェア情報として、端末ソフトウェアの最終更新日時、端末ソフトウェアの版数、あらかじめ定めた特定アプリケーションの有無、該特定アプリケーションの実行中の有無に関する情報のうち、１乃至複数の情報を少なくとも含む上記（１）の仮想閉域網システム。
（４）前記仮想閉域網サーバが、各仮想閉域網それぞれに参加可能なユーザのユーザ名および／またはユーザ端末アドレスをあらかじめ登録する認証登録データベースを更に有し、ユーザ端末から閉域接続の要求を受け取った際に、接続要求元のユーザのユーザ名および／またはユーザ端末アドレスを用いて前記認証登録データベースを参照して、仮想閉域網への参加可能との認証が得られ、かつ、接続要求元のユーザ端末から取得した前記端末情報に適合する属性を有する仮想閉域網が存在している場合に、該仮想閉域網を選択して、接続要求元のユーザ端末を閉域接続する上記（１）乃至（３）のいずれかの仮想閉域網システム。
（５）ネットワークに接続したユーザ端末から閉域接続の要求を受け取って、仮想閉域網への接続制御を行う仮想閉域網サーバであって、
各前記仮想閉域網の属性を格納する仮想閉域網属性データベースを有し、
各前記ユーザ端末自信のハードウェア情報および／またはソフトウェア情報であって、該ユーザ端末の使用態様に応じて変化し得る情報を含み、該ユーザ端末の属性を示す情報である端末情報を、該ユーザ端末からの閉域接続の要求の際に該ユーザ端末から受信したとき、該端末情報に適合する属性の仮想閉域網を前記仮想閉域網属性データベースで検索することにより、該端末情報で示された該ユーザ端末の要求に適合する属性の仮想閉域網を動的に選択して、接続要求元のユーザ端末を閉域接続する仮想閉域網サーバ。
（６）ユーザ端末から取得する前記端末情報の前記ハードウェア情報としては、端末性能、端末種類、デバイス接続状態のうち、１乃至複数の情報を少なくとも含み、前記端末情報の前記ソフトウェア情報としては、端末ソフトウェアの最終更新日時、端末ソフトウェアの版数、あらかじめ定めた特定アプリケーションの有無、該特定アプリケーションの実行中の有無に関する情報のうち、１乃至複数の情報を少なくとも含む上記（５）の仮想閉域網サーバ。
（７）各仮想閉域網それぞれに参加可能なユーザのユーザ名および／またはユーザ端末アドレスをあらかじめ登録する認証登録データベースを更に有し、ユーザ端末から閉域接続の要求を受け取った際に、接続要求元のユーザのユーザ名および／またはユーザ端末アドレスを用いて前記認証登録データベースを参照して仮想閉域網への参加可能との認証が得られ、かつ、接続要求元のユーザ端末から取得した前記端末情報に適合する属性を有する仮想閉域網が存在している場合に、該仮想閉域網を選択して、接続要求元のユーザ端末を閉域接続する上記（５）又は（６）の仮想閉域網サーバ。
（８）複数の仮想閉域網を管理する仮想閉域網サーバに対して閉域接続を要求するユーザ端末であって、自信のハードウェア情報および／またはソフトウェア情報であって、使用態様に応じて変化し得る情報を含み、該自信の属性を示す情報である端末情報を収集して、前記閉域接続を要求する際に、前記仮想閉域網サーバに該端末情報を送信するエージェントを有するユーザ端末。
（９）前記端末情報の前記ハードウェア情報としては、端末性能、端末種類、デバイス接続状態のうち、１乃至複数の情報を少なくとも含み、前記ソフトウェア情報として、端末ソフトウェアの最終更新日時、端末ソフトウェアの版数、あらかじめ定めた特定アプリケーションの有無、該特定アプリケーションの実行中の有無に関する情報のうち、１乃至複数の情報を少なくとも含む上記（８）のユーザ端末。
（１０）ネットワーク上の複数の仮想閉域網を管理する仮想閉域網サーバの制御により、該ネットワークに接続するユーザ端末に対して閉域接続サービスを提供する仮想閉域網アクセス方法であって、
各前記ユーザ端末がエージェントを有し、該エージェントにより、当該ユーザ端末自身の属性を示す端末情報を収集し、前記仮想閉域網サーバに閉域接続を要求する際に該仮想閉域網サーバに該端末情報を送信し、
前記端末情報は、当該ユーザ端末のハードウェア情報および／またはソフトウェア情報であって、前記ユーザ端末の使用態様に応じて変化し得る情報を含み、
前記仮想閉域網サーバに、各仮想閉域網の属性を格納する仮想閉域網属性データベースを設けておき、前記ユーザ端末が閉域接続を該仮想閉域網サーバに要求してきたときに、該ユーザ端末から受信した前記端末情報に適合する属性の仮想閉域網を該仮想閉域網属性データベースで検索することにより、該端末情報で示された該ユーザ端末の要求に適合する属性の仮想閉域網を動的に選択して、接続要求元のユーザ端末を閉域接続する仮想閉域網アクセス方法。
（１１）ユーザ端末の前記端末情報は、当該ユーザ端末のハードウェア情報として、端末性能、端末種類、デバイス接続状態のうち、１乃至複数の情報を少なくとも含む上記（１０）の仮想閉域網アクセス方法。
（１２）ユーザ端末の前記端末情報は、当該ユーザ端末のソフトウェア情報として、端末ソフトウェアの最終更新日時、端末ソフトウェアの版数、あらかじめ定めた特定アプリケーションの有無、該特定アプリケーションの実行中の有無に関する情報のうち、１乃至複数の情報を少なくとも含む上記（１０）の仮想閉域網アクセス方法。
（１３）前記仮想閉域網サーバが、各仮想閉域網それぞれに参加可能なユーザのユーザ名および／またはユーザ端末アドレスをあらかじめ登録し、接続要求元のユーザのユーザ名および／またはユーザ端末アドレスに合致するユーザ名および／またはユーザ端末アドレスがあらかじめ登録されている仮想閉域網が存在し、かつ、接続要求元の当該ユーザが利用するユーザ端末の端末情報に適合する属性を有する仮想閉域網が存在している場合に、該仮想閉域網を選択して、接続要求元のユーザ端末を閉域接続する上記（１０）乃至（１２）のいずれかの仮想閉域網アクセス方法。
（１４）上記（１０）乃至（１３）のいずれかの仮想閉域網アクセス方法をコンピュータにより実行可能なプログラムとして前記仮想閉域網サーバ上および／または前記ユーザ端末上のコンピュータに搭載する仮想閉域網プログラム。
（１５）上記（１４）の仮想閉域網プログラムをコンピュータにより読み取り可能な記録媒体に記録しているプログラム記録媒体。

本発明による仮想閉域網システム、サーバ、ユーザ端末、アクセス方法、プログラム及び記録媒体によれば、以下のような効果を得ることができる。

第１の効果は、単一の物理ネットワーク上に、ポリシーの異なる仮想閉域網を複数構築することが可能であり、もって、多様なユーザ端末それぞれの状態（端末属性）に適合するいずれかの仮想閉域網を選択して、最適な閉域通信サービスを提供することが可能となる。

第２の効果は、ユーザ端末が接続することができる仮想閉域網が、閉域接続要求時の当該ユーザ端末のハードウェア状態やソフトウェア状態などの端末情報の変化に応じて最も適合する仮想閉域網に動的に切り替わることが可能であり、もって、端末情報の変化に応じて最適な品質の閉域通信サービスを動的に提供することが可能となる。

以下、本発明による仮想閉域網システム、仮想閉域網サーバ、ユーザ端末、仮想閉域網アクセス方法、仮想閉域網プログラム及びプログラム記録媒体の好適実施形態例について添付図を参照して説明する。なお、以下の実施例の説明においては、本発明による仮想閉域網システムの具体的な構成の一例について、図面を参照しながら詳細に説明し、しかる後、本発明による仮想閉域網アクセス方法の具体的な処理方法の一例について、フローチャートを参照しながら詳細に説明する。かかる説明により、該仮想閉域網システムを構成する本発明による仮想閉域網サーバやユーザ端末の具体的な実施例、前記仮想閉域網アクセス方法をコンピュータにより実行可能なプログラムとして実現する仮想閉域網プログラムの実施例や、該仮想閉域網プログラムをコンピュータにより読み取り可能な記録媒体に記録したプログラム記録媒体の実施例についても、容易に想到することができるので、これらの発明に関する具体的な実施例についての説明を割愛する。

（実施例の構成）
本発明による仮想閉域網システムの一実施例の構成について図１を参照して詳細に説明する。ここに、図１は、本発明による仮想閉域網システムの一実施例の構成について説明するブロック構成図である。図１に示す本実施例における仮想閉域網システムは、図６に前述した従来技術の場合と同様に、仮想閉域網サーバ１０００、ユーザ端末１１００、管理者端末１２００、認証装置１３００とを少なくとも含んで構成されている。

仮想閉域網サーバ１０００は、図６に前述した従来技術の場合と同様に、仮想閉域網管理部１０１０と仮想閉域網処理部１０２０とを少なくとも含む。ここで、仮想閉域網処理部１０２０は、図６に前述した従来技術の仮想閉域網処理部２０２０と同様であるが、仮想閉域網管理部１０１０は、図６に前述した従来技術の仮想閉域網管理部２０１０とは異なり、仮想閉域網アクセス制御部１０１１と仮想閉域網データベース１０１２の他に、更に仮想閉域網属性データベース１０１３とを少なくとも含む。ユーザ端末１１００は、図６に前述した従来技術のユーザ端末２１００と異なり、エージェント１１１０を少なくとも含んで構成されている。

すなわち、図１に示す本実施例における仮想閉域網システムでは、図６に示した従来技術と比較して、仮想閉域網サーバ１０００における仮想閉域網属性データベース１０１３と、ユーザ端末１１００におけるエージェント１１１０とが新しく追加されて構成され、更に、仮想閉域網アクセス制御部１０１１の機能が図６の仮想閉域網アクセス制御部２０１１よりも拡張されている。

図１に示す本発明による仮想閉域網システムの各部それぞれは、概略、次のように動作する。本発明の本実施例において新たに設置した仮想閉域網属性データベース１０１３は、各仮想閉域網の属性が格納される。ここで、仮想閉域網の属性とは、当該仮想閉域網が構築されている閉域接続用のポリシーを示すものであり、仮想閉域網として提供可能な処理能力やネットワーク帯域、セキュリティレベルなどの構成要素を示すものであり、閉域接続の要求元のユーザ端末２１００の端末状態に応じた最適の閉域接続サービスを提供する仮想閉域網を選択可能とするための情報である。

また、本発明の本実施例において新たにユーザ端末１１００上に搭載したエージェント１１１０は、当該ユーザ端末１１００の性能や種類やデバイス接続状態といったハードウェア情報、および／または、搭載ソフトウェアの最終更新日時や版数や、あらかじめ定めた特定アプリケーションの有無や、該特定アプリケーションが実行中か否かといったソフトウェア情報などを含む端末情報を取得し、取得した該端末情報を仮想閉域網サーバ１０００の仮想閉域網アクセス制御部１０１１に対して送信するものである。

また、本発明の本実施例において機能拡張した仮想閉域網アクセス制御部１０１１は、ユーザ端末１１００に対して閉域接続サービスが提供される各仮想閉域網を管理する管理者により、利用される管理者端末１２００からあらかじめ入力されてくる前述のような仮想閉域網の属性（ポリシー）を、仮想閉域網属性データベース１０１３にあらかじめ登録する。

更に、仮想閉域網アクセス制御部１０１１は、ユーザ端末１１００からの閉域接続要求を受け付けた際に、接続要求元のユーザ端末１１００のエージェント１１１０から送信されてきた端末情報と、仮想閉域網属性データベース１０１１にあらかじめ格納されている各仮想閉域網の属性とを比較し、接続要求元のユーザ端末１１００の端末情報と適合する属性（ポリシー）を有する仮想閉域網を選択し、当該ユーザ端末１１００が選択した仮想閉域網に閉域接続できるように、仮想閉域網処理部１０２０に対して、当該仮想閉域網に対する接続処理の実行を依頼し、接続要求元のユーザ端末１１００に最適の品質の閉域接続サービスを提供する。

（実施例の動作の説明）
図１及び図２乃至図５を参照して、本発明の実施例の動作について詳細に説明する。ここで、図２は、本発明による仮想閉域網システムの動作の一例を説明するフローチャートであり、図３は、本発明による仮想閉域網システムにおける複数の仮想閉域網と各種のユーザ端末との接続可能な構成の一例を示す模式図である。また、図４は、図３に示す各仮想閉域網に参加可能なユーザのユーザ名および／またはユーザ端末のＩＰアドレスを有するユーザの認証関係を例示する認証テーブルであり、図５は、図３に示す各仮想閉域網に接続可能なユーザ端末の種類を仮想閉域網の属性として登録している一例を示す属性登録テーブルである。

ここで、図２に示すフローチャートの説明においては、単一の物理的なネットワーク上に、例えば、図３に示すように、それぞれの接続ポリシーが異なる３つの仮想閉域網即ち仮想閉域網Ａ１１１、Ｂ１１２、Ｃ１１３が存在し、当該ネットワーク上の仮想閉域網Ａ１１１、Ｂ１１２、Ｃ１１３のいずれかに閉域接続を要求するユーザとして、５人のユーザ即ちユーザｄ１２１、ｅ１２２、ｆ１２３、ｇ１２４、ｈ１２５が存在しているものとする。

この場合、まず、管理者端末１２００は、あらかじめ、認証装置１３００により各ユーザの認証をユーザ名やユーザ端末１１００のＩＰアドレスを用いて行い、図３の実線や破線に示す対応関係を登録するように、図４の認証テーブルのごとく、３種類の仮想閉域網Ａ１１１、Ｂ１１２、Ｃ１１３のテーブルを作成して、仮想閉域網Ａ１１１、Ｂ１１２、Ｃ１１３それぞれに参加可能なユーザｄ１２１（ユーザ端末１１００としてＰＣを利用）、ｅ１２２（ユーザ端末１１００としてＰＤＡを利用）、ｆ１２３（ユーザ端末１１００としてＰＣを利用）、ｇ１２４（ユーザ端末１１００として携帯電話を利用）、ｈ１２５（ユーザ端末１１００として携帯電話を利用）の認証関係を設定する。

すなわち、図３の模式図や図４の認証テーブルに示す例では、仮想閉域網Ａ１１１に参加可能なユーザは、ユーザｄ１２１、ｅ１２２、ｇ１２４であり、仮想閉域網Ｂ１１２に参加可能なユーザは、ユーザｅ１２２、ｈ１２５であり、仮想閉域網Ｃ１１３に参加可能なユーザは、ユーザ端末ｆ１２３、ｇ１２４、ｈ１２５である。

各仮想閉域網への参加の可否を認証する図４の認証テーブルは、認証登録データベースすなわち仮想閉域網データベース１０１２に登録される。この際、図５の属性登録テーブルに示すように、作成した各仮想閉域網それぞれが最適な品質の接続サービスを提供可能な接続ポリシーすなわち各仮想閉域網の属性の一つとして、それぞれの仮想閉域網に閉域接続されるユーザ端末１１００の種類を示す情報があらかじめ設定されており、仮想閉域網属性データベース１０１３に登録される。

次に、図２のフローチャートを用いて、本発明による仮想閉域網システムにおける仮想閉域網アクセス方法の一例について説明する。まず、ユーザ端末１１００は、閉域接続の要求時に、認証装置１３００によりユーザ認証が行われ、仮想閉域網サーバ１０００に接続される（ステップＳ１）。次に、閉域接続要求元のユーザ端末１１００に搭載されたエージェント１１１０は、当該ユーザ端末１１００自身の端末情報（ハードウェア情報やソフトウェア情報）を取得し、仮想閉域網サーバ１０００の仮想閉域網アクセス制御部１０１１に対して送信する（ステップＳ２）。

ここで、本実施例では、図５の属性登録テーブルに示すように、それぞれの接続ポリシーに基づく閉域接続サービスを提供する各仮想閉域網に接続許可される各ユーザ端末１１００は、ＰＣや携帯端末やＰＤＡのようにそれぞれ異なる種類の端末からなっており、ユーザの利用目的に応じた多種多様なユーザ端末１１００が混在して、物理的には一つのネットワークに接続され、該ネットワークを介して仮想閉域網サーバ１０００に対して閉域接続を要求してくる。ここで、図５に示すように、各ユーザ端末１１００の端末種類に対して、それぞれに最適な品質の閉域接続サービスが提供可能な仮想閉域網の属性（ポリシー）として、ユーザ端末がＰＣの場合は、仮想閉域網Ａ１１１が、ユーザ端末が携帯端末の場合は、仮想閉域網Ｂ１１２が、ユーザ端末がＰＤＡの場合は、仮想閉域網Ｃ１１３が、それぞれ適合するものとして選択される。

仮想閉域網サーバ１０００の仮想閉域網アクセス制御部１０１１は、仮想閉域網データベース１０１２を参照して、図４に示す認証テーブルに基づいて、各仮想閉域網へのユーザ端末１１００の接続権限の有無を調べて、接続の認証が得られる仮想閉域網を抽出し、更に、仮想閉域網属性データベース１０１３に登録されている図５の属性登録テーブルに示すような、各仮想閉域網の属性と、ユーザ端末１１００のエージェント１１１０から送られてきた端末情報とを比較する（ステップＳ３）。これにより、仮想閉域網アクセス制御部１０１１は、ユーザ端末１１００の端末情報に適合する属性を有する仮想閉域網が仮想閉域網属性データベース１０１３に登録されているか否かを調べる（ステップＳ４）。

ユーザ端末１１００の端末情報が適合する属性を有する仮想閉域網が存在する場合には（ステップＳ４のＹＥＳ）、仮想閉域網アクセス制御部１０１１は、ユーザ端末１１００を当該仮想閉域網に接続する許可を行う（ステップＳ５）。

例えば、図３に示すユーザｅ１２２が閉域接続要求をした場合であれば、ステップＳ３では、まず、図４の認証テーブルを参照して、仮想閉域網Ａ１１１か仮想閉域網Ｂ１１２かのいずれかに接続が可能なユーザであることが認証される。また、当該ユーザｅ１２２が利用するユーザ端末１１００の端末情報として、端末の種類がＰＤＡであることが、ステップＳ２において当該ユーザ端末１１００のエージェント１１１０により通知されてきているので、次に、図５の属性登録テーブルを参照して、端末の種類がＰＤＡであるユーザ端末１１００に対して最適の品質の閉域接続サービスを提供する仮想閉域網として、仮想閉域網Ａ１１１ではなく、仮想閉域網Ｂ１１２が選択される。したがって、ステップＳ５においては、接続要求元の当該ユーザｅ１２２が利用するユーザ端末１１００は、選択された仮想閉域網Ｂ１１２に対して閉域接続され、最適の品質の閉域接続サービスを享受することができる。

ここで、ユーザ端末の属性に関係なく、ＩＰアドレスやユーザ名に対応する仮想閉域網への接続許可を行ってしまう従来技術では、各ユーザが如何なる種類のユーザ端末を用いても、ユーザに静的に付与されているＩＰアドレスやユーザ名によって、図３の点線で結ばれているような仮想閉域網への接続でも許可してしまう。しかし、各ユーザが閉域接続に使用しようとするユーザ端末の端末情報（属性）を用いて接続すべき仮想閉域網を選択する本実施例では、閉域接続に用いるユーザ端末の状態（ハードウェアの状態やソフトウェアの状態）に応じて最適な品質の閉域接続サービスを提供可能な仮想閉域網が選択され、図３の実線で結ばれたような仮想閉域網に対しての閉域接続を許可することになる。

すなわち、ユーザ端末１１００としてＰＣ端末を使用するユーザｄ１２１は仮想閉域網Ａ１１１に、ユーザ端末１１００としてＰＤＡを使用するユーザｅ１２２は仮想閉域網Ｂ１１２に、ユーザ端末１１００として携帯電話を使用するユーザｇ１２４は仮想閉域網Ｃ１１３に、ユーザ端末１１００として携帯電話を使用するユーザｈ１２５も仮想閉域網Ｃ１１３に閉域接続される。一方、ユーザ端末１１００としてＰＣを使用するユーザｆ１２３のごとく、もし、ユーザ端末１１００の端末情報と適合する属性を有する仮想閉域網が、参加可能な仮想閉域網の中に存在しないような場合には、当該ユーザの閉域接続要求を拒否する。

（効果の説明）
次に、前述した本発明の実施例の効果について説明する。本発明の実施例では、ユーザが利用しているユーザ端末の端末情報に適合する属性を有する仮想閉域網に接続しているため、各ユーザに対して、ユーザ端末の性能や端末状況に適した最適の閉域接続サービスを提供することが可能である。

すなわち、第１の効果は、単一の物理ネットワーク上に、ポリシーの異なる仮想閉域網を複数構築することを可能としており、もって、多様なユーザ端末それぞれの状況に適合するいずれかの仮想閉域網を選択して、最適な品質の閉域通信サービスを提供することが可能となる。

第２の効果は、閉域接続を要求するユーザ端末が接続される仮想閉域網が、当該ユーザ端末のハードウェア状態やソフトウェア状態などの端末情報の変化に応じて最も適合する仮想閉域網に動的に切り替わることが可能であり、もって、端末情報の変化に応じて最適な品質の閉域通信サービスを動的に提供することが可能となる。

以上に説明したように、本発明によれば、単一のポリシーのみによってアクセスコントロールが行われていた仮想閉域網のネットワークを、異なるポリシーが設定された複数の仮想閉域網で構成するネットワークとして運用することが可能となる。したがって、本発明による仮想閉域網システムは、サービスプロバイダや企業ネットワークなどにおいて好適に適用することができ、ユーザ端末が要求する性能やセキュリティレベルなどによって、接続する仮想閉域網を動的に切り替えるような利用が可能である。

以上、本発明の好適実施例の構成を説明した。しかし、斯かる実施例は、本発明の単なる例示に過ぎず、何ら本発明を限定するものではないことに留意されたい。本発明の要旨を逸脱することなく、特定用途に応じて種々の変形変更が可能であること、当業者には容易に理解できよう。

本発明による仮想閉域網システムの一実施例の構成について説明するブロック構成図である。本発明による仮想閉域網システムの動作の一例を説明するフローチャートである。本発明による仮想閉域網システムにおける複数の仮想閉域網と各種のユーザ端末との接続可能な構成の一例を示す模式図である。図３に示す各仮想閉域網に参加可能なユーザのユーザ名および／またはユーザ端末のＩＰアドレスを有するユーザの認証関係を例示する認証テーブルである。図３に示す各仮想閉域網に接続可能なユーザ端末の種類を仮想閉域網の属性として登録している一例を示す属性登録テーブルである。従来技術における仮想閉域網構成を示すブロック構成図である。

符号の説明

１０００仮想閉域網サーバ
１０１０仮想閉域網管理部
１０１１仮想閉域網アクセス制御部
１０１２仮想閉域網データベース
１０１３仮想閉域網属性データベース
１０２０仮想閉域網処理部
１１００ユーザ端末
１１１仮想閉域網Ａ
１１１０エージェント
１１２仮想閉域網Ｂ
１１３仮想閉域網Ｃ
１２００管理者端末
１２１ユーザｄ
１２２ユーザｅ
１２３ユーザｆ
１２４ユーザｇ
１２５ユーザｈ
１３００認証装置
２０００仮想閉域網サーバ
２０１０仮想閉域網管理部
２０１１仮想閉域網アクセス制御部
２０１２仮想閉域網データベース
２０２０仮想閉域網処理部
２１００ユーザ端末
２２００管理者端末
２３００認証装置

Claims

ネットワーク上の複数の仮想閉域網を管理する仮想閉域網サーバの制御により、該ネットワークに接続するユーザ端末に対して閉域接続サービスを提供する仮想閉域網システムであって、
各前記ユーザ端末は、当該ユーザ端末自身の属性を示す端末情報を収集し、前記仮想閉域網サーバに閉域接続を要求する際に該仮想閉域網サーバに該端末情報を送信するエージェントを有し、
前記端末情報は、当該ユーザ端末のハードウェア情報および／またはソフトウェア情報であって、前記ユーザ端末の使用態様に応じて変化し得る情報を含み、
前記仮想閉域網サーバは、各仮想閉域網の属性を格納する仮想閉域網属性データベースを有し、前記ユーザ端末が閉域接続を要求してきたときに、該ユーザ端末から受信した前記端末情報に適合する属性の仮想閉域網を前記仮想閉域網属性データベースで検索することにより、該端末情報で示された該ユーザ端末の要求に適合する属性の仮想閉域網を動的に選択して、接続要求元のユーザ端末を閉域接続することを特徴とする記載の仮想閉域網システム。
ユーザ端末の前記端末情報は、当該ユーザ端末のハードウェア情報として、端末性能、端末種類、デバイス接続状態のうち、１乃至複数の情報を少なくとも含むことを特徴とする請求項１に記載の仮想閉域網システム。
ユーザ端末の前記端末情報は、当該ユーザ端末のソフトウェア情報として、端末ソフトウェアの最終更新日時、端末ソフトウェアの版数、あらかじめ定めた特定アプリケーションの有無、該特定アプリケーションの実行中の有無に関する情報のうち、１乃至複数の情報を少なくとも含むことを特徴とする請求項１に記載の仮想閉域網システム。
前記仮想閉域網サーバが、各仮想閉域網それぞれに参加可能なユーザのユーザ名および／またはユーザ端末アドレスをあらかじめ登録する認証登録データベースを更に有し、ユーザ端末から閉域接続の要求を受け取った際に、接続要求元のユーザのユーザ名および／またはユーザ端末アドレスを用いて前記認証登録データベースを参照して、仮想閉域網への参加可能との認証が得られ、かつ、接続要求元のユーザ端末から取得した前記端末情報に適合する属性を有する仮想閉域網が存在している場合に、該仮想閉域網を選択して、接続要求元のユーザ端末を閉域接続することを特徴とする請求項１乃至３のいずれかに記載の仮想閉域網システム。
ネットワークに接続したユーザ端末から閉域接続の要求を受け取って、仮想閉域網への接続制御を行う仮想閉域網サーバであって、
各前記仮想閉域網の属性を格納する仮想閉域網属性データベースを有し、
各前記ユーザ端末自信のハードウェア情報および／またはソフトウェア情報であって、該ユーザ端末の使用態様に応じて変化し得る情報を含み、該ユーザ端末の属性を示す情報である端末情報を、該ユーザ端末からの閉域接続の要求の際に該ユーザ端末から受信したとき、該端末情報に適合する属性の仮想閉域網を前記仮想閉域網属性データベースで検索することにより、該端末情報で示された該ユーザ端末の要求に適合する属性の仮想閉域網を動的に選択して、接続要求元のユーザ端末を閉域接続する
ことを特徴とする仮想閉域網サーバ。
ユーザ端末から取得する前記端末情報の前記ハードウェア情報としては、端末性能、端末種類、デバイス接続状態のうち、１乃至複数の情報を少なくとも含み、前記端末情報の前記ソフトウェア情報としては、端末ソフトウェアの最終更新日時、端末ソフトウェアの版数、あらかじめ定めた特定アプリケーションの有無、該特定アプリケーションの実行中の有無に関する情報のうち、１乃至複数の情報を少なくとも含むことを特徴とする請求項５に記載の仮想閉域網サーバ。
各仮想閉域網それぞれに参加可能なユーザのユーザ名および／またはユーザ端末アドレスをあらかじめ登録する認証登録データベースを更に有し、ユーザ端末から閉域接続の要求を受け取った際に、接続要求元のユーザのユーザ名および／またはユーザ端末アドレスを用いて前記認証登録データベースを参照して仮想閉域網への参加可能との認証が得られ、かつ、接続要求元のユーザ端末から取得した前記端末情報に適合する属性を有する仮想閉域網が存在している場合に、該仮想閉域網を選択して、接続要求元のユーザ端末を閉域接続することを特徴とする請求項５又は６に記載の仮想閉域網サーバ。
請求項５に記載の複数の仮想閉域網を管理する仮想閉域網サーバに対して閉域接続を要求するユーザ端末であって、自信のハードウェア情報および／またはソフトウェア情報であって、使用態様に応じて変化し得る情報を含み、該自信の属性を示す情報である端末情報を収集して、前記閉域接続を要求する際に、前記仮想閉域網サーバに該端末情報を送信するエージェントを有することを特徴とするユーザ端末。
前記端末情報の前記ハードウェア情報としては、端末性能、端末種類、デバイス接続状態のうち、１乃至複数の情報を少なくとも含み、前記ソフトウェア情報として、端末ソフトウェアの最終更新日時、端末ソフトウェアの版数、あらかじめ定めた特定アプリケーションの有無、該特定アプリケーションの実行中の有無に関する情報のうち、１乃至複数の情報を少なくとも含むことを特徴とする請求項８に記載のユーザ端末。
ネットワーク上の複数の仮想閉域網を管理する仮想閉域網サーバの制御により、該ネットワークに接続するユーザ端末に対して閉域接続サービスを提供する仮想閉域網アクセス方法であって、
各前記ユーザ端末がエージェントを有し、該エージェントにより、当該ユーザ端末自身の属性を示す端末情報を収集し、前記仮想閉域網サーバに閉域接続を要求する際に該仮想閉域網サーバに該端末情報を送信し、
前記端末情報は、当該ユーザ端末のハードウェア情報および／またはソフトウェア情報であって、前記ユーザ端末の使用態様に応じて変化し得る情報を含み、
前記仮想閉域網サーバに、各仮想閉域網の属性を格納する仮想閉域網属性データベースを設けておき、前記ユーザ端末が閉域接続を該仮想閉域網サーバに要求してきたときに、該ユーザ端末から受信した前記端末情報に適合する属性の仮想閉域網を該仮想閉域網属性データベースで検索することにより、該端末情報で示された該ユーザ端末の要求に適合する属性の仮想閉域網を動的に選択して、接続要求元のユーザ端末を閉域接続する
ことを特徴とする仮想閉域網アクセス方法。
ユーザ端末の前記端末情報は、当該ユーザ端末のハードウェア情報として、端末性能、端末種類、デバイス接続状態のうち、１乃至複数の情報を少なくとも含むことを特徴とする請求項１０に記載の仮想閉域網アクセス方法。
ユーザ端末の前記端末情報は、当該ユーザ端末のソフトウェア情報として、端末ソフトウェアの最終更新日時、端末ソフトウェアの版数、あらかじめ定めた特定アプリケーションの有無、該特定アプリケーションの実行中の有無に関する情報のうち、１乃至複数の情報を少なくとも含むことを特徴とする請求項１０に記載の仮想閉域網アクセス方法。
前記仮想閉域網サーバが、各仮想閉域網それぞれに参加可能なユーザのユーザ名および／またはユーザ端末アドレスをあらかじめ登録し、接続要求元のユーザのユーザ名および／またはユーザ端末アドレスに合致するユーザ名および／またはユーザ端末アドレスがあらかじめ登録されている仮想閉域網が存在し、かつ、接続要求元の当該ユーザが利用するユーザ端末の端末情報に適合する属性を有する仮想閉域網が存在している場合に、該仮想閉域網を選択して、接続要求元のユーザ端末を閉域接続することを特徴とする請求項１０乃至１２のいずれかに記載の仮想閉域網アクセス方法。
請求項１０乃至１３のいずれかに記載の仮想閉域網アクセス方法をコンピュータにより実行可能なプログラムとして前記仮想閉域網サーバ上および／または前記ユーザ端末上のコンピュータに搭載することを特徴とする仮想閉域網プログラム。
請求項１４に記載の仮想閉域網プログラムをコンピュータにより読み取り可能な記録媒体に記録していることを特徴とするプログラム記録媒体。