JP4549180B2 - Ｖｐｎネットワーク中継装置 - Google Patents

Description

本発明は、通信元拠点の配下のネットワークに接続された端末および通信先拠点の配下のネットワークに接続された端末の間でＶＰＮ通信を行う際にＶＰＮ通信パスを生成するために用いる拠点情報を管理する拠点情報管理装置を備えるＶＰＮネットワークシステムの、通信元拠点および通信先拠点に設置されるＶＰＮネットワーク中継装置に関するものである。

ＶＰＮ通信を行うＶＰＮネットワークシステムの従来技術（以下、従来例１という）としては、ユーザが使用する端末搭載のアクセス手段が最寄りの送受信機器（ＶＰＮネットワーク中継装置）を認識して認証に必要な個人識別情報を送信し、送受信機器はアクセス手段からの情報にアクセス手段の搭載位置情報を付加してＶＰＮ網内設置の網制御器に発信し、網制御器は予め登録されている個人識別情報と前記アクセス手段からの個人識別情報とを照合し、ＶＰＮ網へのアクセス許容情報、許容通信相手情報を前記アクセス手段に返送し、前記アクセス手段は受信したアクセス許容情報、許容通信相手情報に基づき許可された通信相手とのＶＰＮ通信を開始するもの（例えば特許文献１参照）がある。この従来例１のＶＰＮネットワークシステムでは、ＶＰＮ通信を行う際に必要な情報の全てが網制御器を経由してやり取りされるように構成されており、前記網制御器は、ＶＰＮ通信パスを生成するために用いる拠点情報を管理する拠点情報管理装置に相当する機能を有している。

また、ＶＰＮ通信を行うＶＰＮネットワークシステムの他の従来技術（以下、従来例２という）としては、例えば非特許文献１に記載されたものがある。

特開２００１−２５１３４５号公報 "GeoStream Si-Rシリーズ「機能説明書、第二章 機能概要、2.13 IPsec機能」(登録日２００４年１１月７日)"、Si-Rシリーズ)ネットワー製品）章単位での参照）機能説明書より、富士通ネットワーク製品マニュアルページへのリンク先：< http://telecom.fujitsu.com/jp/products/manual/sir/ > (平成１６年１１月３０日検索)

上記従来例１、従来例２のＶＰＮネットワークシステムを含む従来のＶＰＮネットワークシステムでは、スター型の通信形態が多く使用されているため、拠点間の通信量が増加するにつれてセンタに設置する装置（上記従来例１の場合、網制御器）の負荷が増大してしまい、センタに設置する装置として高価な機器が必要になってしまうという問題がある。また、現在のＶＰＮネットワークシステムでは、ＶＰＮを行う際には事前に通信元拠点および通信先拠点の双方が互いに相手の拠点情報を取得済みであることが前提になっており、通信元拠点および通信先拠点間に事前に通信パスを設定（生成）しておく必要があるため、拠点毎に通信先拠点数に応じて多数の通信パスを事前設定してなければならないことから、全通信先拠点に対する通信パスの全てを実現し得る収容力を有する大規模かつ高価なＶＰＮネットワーク中継装置を用いる必要がある。

本発明は、必要に応じてＶＰＮ通信パスを設定する動的なＶＰＮ通信パス生成方法を採用したＶＰＮネットワークシステムを構築するのに適した、小規模かつ安価なＶＰＮネットワーク中継装置を提供することを目的とする。

上記目的を達成するため、請求項１に記載の第１発明は、通信元拠点の配下のネットワークに接続された端末および通信先拠点の配下のネットワークに接続された端末の間でＶＰＮ通信を行う際にＶＰＮ通信パスを生成するために用いる拠点情報を管理する拠点情報管理装置を備えるＶＰＮネットワークシステムの、通信元拠点および通信先拠点に設置されるＶＰＮネットワーク中継装置であって、
通信元拠点の拠点情報を拠点情報管理装置に登録する通信元拠点情報登録手段と、前記ＶＰＮネットワークシステムに設けられた複数の拠点の中から通信先拠点の配下のネットワークに接続された端末を通信先として選択して、該通信先拠点を特定する通信先選択手段と、該通信先選択手段により選択された端末が含まれる当該特定した通信先拠点の登録済みの拠点情報を前記拠点情報管理装置から取得する通信先拠点情報取得手段とを備え、前記拠点情報管理装置から取得した通信先拠点の拠点情報に基づいてＶＰＮ通信パスを生成するようにしたことを特徴とする。

請求項２に記載の第２発明は、前記通信元拠点情報登録手段は、前記拠点情報管理装置に対し登録する前記通信元拠点の拠点情報に、通信元拠点のＩＰアドレスおよび通信元拠点配下のネットワークアドレスを挿入することを特徴とする。

請求項３に記載の第３発明は、前記通信元拠点情報登録手段は、前記ＶＰＮネットワークシステムが複数の拠点情報管理装置を備えるとともに前記通信元拠点の配下のネットワークが複数の端末を備える場合、拠点情報を登録する拠点情報管理装置を端末毎に選択することを特徴とする。

請求項４に記載の第４発明は、前記通信先選択手段は、前記通信元拠点の配下のネットワークのトラフィックの監視中に、前記通信元拠点の配下のネットワークに接続された端末からのトラフィックが前記通信先拠点に関する情報を含んでいた場合に、前記通信先拠点情報取得手段を作動させて、前記通信先拠点の登録済みの拠点情報を前記拠点情報管理装置から取得することを特徴とする。

請求項５に記載の第５発明は、通信先拠点に対してＶＰＮ通信パス接続要求を発行する機能および受信したＶＰＮ通信パス接続要求と自拠点の通信元拠点情報とを交換する機能を有する通信情報交換手段を備えることを特徴とする。

請求項６に記載の第６発明は、前記通信情報交換手段は、通信先拠点に対して送信するメッセージ中に通信元拠点のＩＰアドレスおよび通信元拠点配下のネットワークアドレスを挿入することを特徴とする。

請求項７に記載の第７発明は、当該ＶＰＮネットワーク中継装置の処理能力を超えたか否かによりＶＰＮ通信パスの生成の可否を決定する通信可否決定手段を備えることを特徴とする。

請求項８に記載の第８発明は、前記通信可否決定手段は、ＶＰＮ通信パスの上限数を超えたか否かによりＶＰＮ通信パスの生成の可否を決定することを特徴とする。

請求項９に記載の第９発明は、前記通信可否決定手段は、取得した通信先拠点の拠点情報に基づいて認証を行い、認証が成功したか否かによりＶＰＮ通信パスの生成の可否を決定することを特徴とする。

請求項１０に記載の第１０発明は、前記通信可否決定手段による認証によってＶＰＮ通信パスの生成が許可された場合に、ＶＰＮ通信パスを生成するＶＰＮ通信手段を備えることを特徴とする。

請求項１１に記載の第１１発明は、ＶＰＮ通信パスの通信利用状況の監視中に、前記ＶＰＮ通信パスが一定時間以上利用されなかった場合に当該通信先拠点に対して切断要求を送信する機能および通信先拠点からの切断要求を受信する機能を有する切断処理手段を備えることを特徴とする。

請求項１２に記載の第１２発明は、前記切断処理手段は、通信元拠点の配下のネットワークに接続された端末が当該ＶＰＮ通信を終了したときにＶＰＮ通信パスを切断することを特徴とする。

請求項１３に記載の第１３発明は、前記拠点情報管理装置に登録済みの複数の通信先拠点の拠点情報の各々に優先順位を設定する優先順位設定手段を備えることを特徴とする。

請求項１４に記載の第１４発明は、前記切断処理手段は、生成中のＶＰＮ通信パス数が上限数を超えたとき、前記優先順位設定手段によって設定された優先順位の低い方から順にＶＰＮ通信パスを切断することを特徴とする。

請求項１５に記載の第１５発明は、前記通信元拠点情報登録手段は、通信先拠点との間でＶＰＮ通信を行うときに、前記通信元の拠点情報を前記拠点情報管理装置に登録することを特徴とする。

第１発明によれば、通信元拠点の配下のネットワークに接続された端末および通信先拠点の配下のネットワークに接続された端末の間でＶＰＮ通信を行う際にＶＰＮ通信パスを生成するために用いる拠点情報を管理する拠点情報管理装置を備えるＶＰＮネットワークシステムの、通信元拠点および通信先拠点に設置されるＶＰＮネットワーク中継装置は、通信元拠点の拠点情報を拠点情報管理装置に登録する通信元拠点情報登録手段と、通信先拠点を選択する通信先選択手段と、該通信先選択手段により選択された通信先拠点の登録済みの拠点情報を前記拠点情報管理装置から取得する通信先拠点情報取得手段とを備えており、前記拠点情報管理装置から取得した通信先拠点の拠点情報に基づいてＶＰＮ通信パスを生成するように構成されているから、このＶＰＮネットワーク中継装置を通信元拠点および通信先拠点に設置して構築したＶＰＮネットワークシステムでは、通信元拠点の配下のネットワークに接続された端末が通信先拠点の配下のネットワークに接続された端末に対してＶＰＮ通信を行う際に、通信先選択手段によって選択された通信先拠点の登録済みの拠点情報を通信先拠点情報取得手段によってＶＰＮネットワークシステム上に設けられた拠点情報管理装置から取得して、その通信先拠点の登録済みの拠点情報に基づいてＶＰＮ通信パスを動的に生成することができる。その際、全通信先拠点に対する通信パスの全てを実現し得る収容力を有する大規模かつ高価なＶＰＮネットワーク中継装置である必要はないので、必要に応じてＶＰＮ通信パスを設定する動的なＶＰＮ通信パス生成方法を採用したＶＰＮネットワークシステムを構築するのに適した、小規模で安価なＶＰＮネットワーク中継装置を提供することができる。

第２発明によれば、前記通信元拠点情報登録手段は、前記通信元拠点情報登録手段は、前記拠点情報管理装置に対し登録する前記通信元拠点の拠点情報に、通信元拠点のＩＰアドレスおよび通信元拠点配下のネットワークアドレスを挿入するから、通信元拠点の配下のネットワークに接続された端末が通信先拠点の配下のネットワークに接続された端末に対してＶＰＮ通信を行う際に、前記拠点情報管理装置から取得した通信先拠点の登録済みの拠点情報に含まれている通信元拠点のＩＰアドレスおよび通信元拠点配下のネットワークアドレスを用いて、ＶＰＮ通信パスを動的に生成できるようになる。

第３発明によれば、前記通信元拠点情報登録手段は、前記ＶＰＮネットワークシステムが複数の拠点情報管理装置を備えるとともに前記通信元拠点の配下のネットワークが複数の端末を備える場合、拠点情報を登録する拠点情報管理装置を端末毎に選択するから、例えば端末毎に異なる拠点情報管理装置に拠点情報を登録することにより、端末毎に異なる通信先拠点を選択できるようになる。

第４発明によれば、前記通信先選択手段は、前記通信元拠点の配下のネットワークのトラフィックの監視中に、前記通信元拠点の配下のネットワークに接続された端末からのトラフィックが前記通信先拠点に関する情報を含んでいた場合に、前記通信先拠点情報取得手段を作動させて、前記通信先拠点の登録済みの拠点情報を前記拠点情報管理装置から取得するから、前記通信元拠点の配下のネットワークに接続された端末からのトラフィックが前記通信先拠点に関する情報を含んでいた場合にのみ、前記通信先拠点情報取得手段による前記拠点情報管理装置からの前記通信先拠点の登録済みの拠点情報の取得を行えばよいので、ＶＰＮネットワーク中継装置の処理能力を軽減することができる。

第５発明によれば、前記ＶＰＮネットワーク中継装置は、通信先拠点に対してＶＰＮ通信パス接続要求を発行する機能および受信したＶＰＮ通信パス接続要求と自拠点の通信元拠点情報とを交換する機能を有する通信情報交換手段を備えるから、通信元拠点の配下のネットワークに接続された端末が通信先拠点の配下のネットワークに接続された端末に対してＶＰＮ通信を行う際には、通信先拠点では受信したＶＰＮ通信パス接続要求と自拠点の通信元拠点情報とが交換されるので、通信元拠点は、通信先拠点の登録済みの拠点情報を取得して、ＶＰＮ通信パスを動的に生成できるようになる。

第６発明によれば、前記通信情報交換手段は、通信先拠点に対して送信するメッセージ（例えば後述するＩＮＶＩＴＥメッセージ）中に通信元拠点のＩＰアドレスおよび通信元拠点配下のネットワークアドレスを挿入するから、通信元拠点の配下のネットワークに接続された端末が通信先拠点の配下のネットワークに接続された端末に対してＶＰＮ通信を行う際に、通信先拠点に対して送信されるメッセージに含まれている通信元拠点のＩＰアドレスおよび通信元拠点配下のネットワークアドレスを用いて、ＶＰＮ通信パスを動的に生成できるようになる。

第７発明によれば、前記ＶＰＮネットワーク中継装置は、当該ＶＰＮネットワーク中継装置の処理能力を超えたか否かによりＶＰＮ通信パスの生成の可否を決定する通信可否決定手段を備えるから、当該ＶＰＮネットワーク中継装置の処理能力を超えるようなＶＰＮ通信パスの生成要求は拒否されることになるので、前記ＶＰＮネットワーク中継装置に要求される処理能力を一定レベルに維持することができる。

第８発明によれば、前記通信可否決定手段は、ＶＰＮ通信パスの上限数を超えたか否かによりＶＰＮ通信パスの生成の可否を決定するから、ＶＰＮ通信パスの上限数を超えるようなＶＰＮ通信パスの生成要求は拒否されることになるので、前記ＶＰＮネットワーク中継装置に要求される処理能力を一定レベルに維持することができる。

第９発明によれば、前記通信可否決定手段は、取得した通信先拠点の拠点情報に基づいて認証を行い、認証が成功したか否かによりＶＰＮ通信パスの生成の可否を決定するから、所定の認証条件が成立する認証ＯＫの場合に限り、ＶＰＮ通信パスが生成されることになるので、所望の通り、セキュリティを確保することができる。

第１０発明によれば、前記ＶＰＮネットワーク中継装置は、前記通信可否決定手段による認証によってＶＰＮ通信パスの生成が許可された場合に、ＶＰＮ通信パスを生成するＶＰＮ通信手段を備えるから、認証ＯＫの場合に限り、前記ＶＰＮ通信手段によってＶＰＮ通信パスが生成されることになるので、所望の通り、セキュリティを確保することができる。

第１１発明によれば、前記ＶＰＮネットワーク中継装置は、ＶＰＮ通信パスの通信利用状況の監視中に、前記ＶＰＮ通信パスが一定時間以上利用されなかった場合に当該通信先拠点に対して切断要求を送信する機能および通信先拠点からの切断要求を受信する機能を有する切断処理手段を備えるから、一旦生成したＶＰＮ通信パスであっても当該ＶＰＮ通信パスが一定時間以上利用されなかった場合には、当該通信先拠点に対して当該ＶＰＮ通信パスの切断要求が送信されるので、その切断要求を受信した通信先拠点において当該ＶＰＮ通信パスを動的に切断することによりＶＰＮ通信におけるトラフィックを削減できるようになる。

第１２発明によれば、前記切断処理手段は、通信元拠点の配下のネットワークに接続された端末が当該ＶＰＮ通信を終了したときにＶＰＮ通信パスを切断するから、不要になったＶＰＮ通信パスを切断することによりＶＰＮ通信におけるトラフィックを削減できるようになる。

第１３発明によれば、前記ＶＰＮネットワーク中継装置は、前記拠点情報管理装置に登録済みの複数の通信先拠点の拠点情報の各々に優先順位を設定する優先順位設定手段を備えるから、ＶＰＮ通信中に当該通信元拠点にとって重要度の高い通信先拠点を重視する優先制御を行い得るようになる。

第１４発明によれば、前記切断処理手段は、生成中のＶＰＮ通信パス数が上限数を超えたとき、前記優先順位設定手段によって設定された優先順位の低い方から順にＶＰＮ通信パスを切断するから、ＶＰＮ通信中に当該通信元拠点にとって重要度の高い通信先拠点を重視する優先制御を行い得るようになる。

第１５発明によれば、前記通信元拠点情報登録手段は、通信先拠点との間でＶＰＮ通信を行うときに、前記通信元の拠点情報を前記拠点情報管理装置に登録するから、ＶＰＮ通信パスを動的に生成できるようになる。

以下、本発明を実施するための最良の形態を図面に基づき詳細に説明する。

［第１実施形態］
図１は本発明の第１実施形態のＶＰＮネットワーク中継装置の構成を示すブロック図であり、図２は第１実施形態のＶＰＮネットワーク中継装置を通信元拠点および通信先拠点に用いて構成したＶＰＮネットワークシステムの全体構成を例示する図である。なお、第１実施形態のＶＰＮネットワークシステムは、通信元拠点のＶＰＮネットワーク中継装置と拠点情報管理装置との間の通信ならびに拠点情報管理装置と通信先拠点のＶＰＮネットワーク中継装置との間の通信にＳＩＰ（Session Initiation Protocol：ＲＦＣ３２６１）プロトコルを使用するように構成されている。

まず、先に、本実施形態のＶＰＮネットワークシステムの全体構成について説明する。本実施形態のＶＰＮネットワークシステムには、図２に例示するように、複数の拠点である拠点Ａ、拠点Ｂ、拠点Ｃ、拠点Ｄが設けられており、拠点Ａ、拠点Ｂ、拠点Ｃ、拠点Ｄにはそれぞれ、本実施形態のＶＰＮネットワーク中継装置１０（１０Ａ、１０Ｂ、１０Ｃ、１０Ｄ）と、前記各拠点の配下（プライベート側）のネットワーク１１Ａ、１１Ｂ、１１Ｃ、１１Ｄと、ネットワーク１１Ａ、１１Ｂ、１１Ｃ、１１Ｄのそれぞれに接続される少なくとも１つの端末１２（図示例の場合、端末１２Ａ、１２Ｂ、１２Ｃ、１２Ｄ）とが設けられており、これら端末１２Ａ、１２Ｂ、１２Ｃ、１２Ｄには、自拠点のＶＰＮネットワーク中継装置１０のＩＰアドレスを事前に記憶させておくものとする。以下においては、拠点Ａの配下のネットワーク１１Ａに接続された端末１２Ａおよび拠点Ｄの配下のネットワーク１２Ｄに接続された端末１２Ｄの間でＶＰＮ通信を行う場合を例に挙げて説明を展開するため、拠点Ａを通信元拠点、通信元拠点Ａと呼び、拠点Ｄを通信先拠点、通信先拠点Ｄと呼ぶことにする。なお、上記ＶＰＮネットワークシステムに本実施形態のＶＰＮネットワーク中継装置１０と従来のＶＰＮネットワーク中継装置とを混在させることは可能であるが、以下に説明する本実施形態のＶＰＮ通信の全ての機能を実現するためには、少なくとも通信元拠点および通信先拠点に本実施形態のＶＰＮネットワーク中継装置１０が設置されている必要がある。

本実施形態のＶＰＮネットワークシステムには、さらに、図２に例示するように、上記複数の拠点である拠点Ａ、拠点Ｂ、拠点Ｃ、拠点Ｄをインターネット網１３を介してネットワーク接続するために、インターネット網１３に接続される経路制御装置１４と、経路制御装置１４に接続される少なくとも１つの拠点情報管理装置１５（図示例の場合、３つの拠点情報管理装置１５−１、１５−２、１５−３）とが設けられている。
上記経路制御装置１４は、本実施形態のＶＰＮネットワークシステムにおいてＶＰＮ通信を行う際に、各拠点の端末が拠点情報等の授受に使用する拠点情報管理装置１５を切り換えるものである。
上記拠点情報管理装置１５（１５−１、１５−２、１５−３）は、本実施形態のＶＰＮネットワークシステムにおいてＶＰＮ通信を行う際にＶＰＮ通信パスを生成するために用いる拠点情報を管理するものであり、図示例のように３つ設けた場合には、それぞれの拠点情報管理装置の負荷を分散させるためである。
なお、上記経路制御装置１４および拠点情報管理装置１５（１５−１、１５−２、１５−３）は、例えば本実施形態のＶＰＮネットワーク中継装置１０Ａ、１０Ｂ、１０Ｃ、１０Ｄをそれぞれ設置する拠点Ａ、拠点Ｂ、拠点Ｃ、拠点Ｄが所定の会社組織の支店に対応する場合、前記所定の会社組織の本店（または本店とは別に設けられている情報管理センタ）に設置するものとする。

次に、本実施形態のＶＰＮネットワーク中継装置について説明する。本実施形態のＶＰＮネットワーク中継装置１０Ａ、１０Ｂ、１０Ｃ、１０Ｄは、図１に例示するように、通信元拠点情報登録手段２１と、通信先選択手段２２と、通信先拠点情報取得手段２３と、通信情報交換手段２４と、通信可否決定手段２５と、ＶＰＮ通信手段２６と、切断処理手段２７と、優先順位設定手段２８と、ネットワークインターフェース２９とを具備して成る。

上記通信元拠点情報登録手段２１は、例えば通信元拠点のユーザによる所定の情報登録操作に応じて、自拠点である通信元拠点の拠点情報を拠点情報管理装置１５に登録する拠点情報登録機能を有するものである。前記通信元拠点の拠点情報には、通信元拠点ＡのＩＰアドレスおよび通信元拠点Ａの配下のネットワーク１１Ａにおけるネットワークアドレスが含まれる他、認証のために用いる鍵情報等の各種情報が含まれている
なお、上記通信元拠点情報登録手段２１は、通信先拠点との間でＶＰＮ通信を行うときまでに自拠点である通信元拠点の拠点情報を拠点情報管理装置１５に登録すればよいので、自拠点である通信元拠点の拠点情報がＶＰＮ通信開始時に未登録であっても、ＶＰＮ通信を行うことが可能である。

上記通信先選択手段２２は、例えば通信元拠点のユーザによる所定の通信先選択操作に応じて、ＶＰＮネットワークシステムに設けられた複数の拠点の中から所望の拠点の配下のネットワークに接続された端末（例えば通信先拠点Ｄの配下のネットワーク１１Ｄに接続された端末１２Ｄ）を通信先として選択する通信先選択機能を有するものである。
なお、上記通信先選択手段２２はさらに、通信元拠点の配下のネットワークのトラフィックを監視するトラフィック監視機能と、トラフィックの監視中に通信元拠点の配下のネットワークに接続された端末からのトラフィックが通信先拠点に関する情報を含んでいた場合に、後述する通信先拠点情報取得手段２３を作動させる通信先拠点情報取得手段作動機能とを有している。

上記通信先拠点情報取得手段２３は、上記通信先選択手段２２により選択された通信先拠点の登録済みの拠点情報を拠点情報管理装置１５から取得する拠点情報取得機能を有するものである。なお、上記通信先拠点情報取得手段２３は、通信先拠点の登録済みの拠点情報を予め取得しておく必要はなく、必要になった時点で通信先拠点の登録済みの拠点情報を取得する動作を行えばよい。

上記通信情報交換手段２４は、通信先拠点に対してＶＰＮ通信パス接続要求を発行するＶＰＮ通信パス接続要求発行機能と、受信したＶＰＮ通信パス接続要求と自拠点の通信元拠点情報とを交換する交換機能とを有するものである。なお、上記通信情報交換手段２４は、ＶＰＮ通信パス接続要求発行時に通信先拠点に対して送信するメッセージ（例えば後述するＩＮＶＩＴＥメッセージ）中に、通信元拠点のＩＰアドレスおよび通信元拠点配下のネットワークアドレスを挿入するものとする。

上記通信可否決定手段２５は、当該ＶＰＮネットワーク中継装置１０の処理能力を超えたか否かによりＶＰＮ通信パスの生成の可否を決定するＶＰＮ通信パス生成可否決定機能を有しており、このＶＰＮ通信パス生成可否決定機能は、原則的には、当該ＶＰＮネットワーク中継装置１０におけるＶＰＮ通信パスの上限数を超えるまではＶＰＮ通信パスの生成を許可し、上限数を超えたらＶＰＮ通信パスの生成を拒否することにより実現するものとする。なお、ＶＰＮネットワーク中継装置１０におけるＶＰＮ通信パスの上限数は、例えば数百〜数千とする。
上記通信可否決定手段２５は、拠点情報管理装置１５から取得した通信先拠点の登録済みの拠点情報には、認証のために用いる鍵情報等の各種情報が含まれているので、取得した通信先拠点の登録済みの拠点情報に基づいて認証を行い、認証がＯＫの場合にはＶＰＮ通信パスの生成を許可し、認証がＮＧの場合にはＶＰＮ通信パスの生成を拒否するものとする。その際の認証条件としては、「通信元拠点および通信先拠点の鍵情報が一致すること」の他、「ＩＮＶＩＴＥメッセージに含まれるネットワーク情報が、接続済みまたは接続処理中の拠点と同一の情報を１つでも含んでいないこと」および「ＶＰＮ接続用インターフェースが確保できる状況にあること」の全てが成立した場合に、認証ＯＫとするようにすればよい。

上記ＶＰＮ通信手段２６は、上記通信可否決定手段２５による認証によってＶＰＮ通信パスの生成が許可された場合に、ＶＰＮ通信パスを生成するＶＰＮ通信パス生成機能を有するものである。

上記切断処理手段２７は、ＶＰＮ通信パスの通信利用状況を監視するＶＰＮ通信パス監視機能と、ＶＰＮ通信パスの通信利用状況の監視中に前記ＶＰＮ通信パスが一定時間以上利用されなかった場合に当該通信先拠点に対して切断要求を送信する切断要求送信機能と、通信先拠点からの切断要求を受信する機能と、通信元拠点の配下のネットワークに接続された端末が当該ＶＰＮ通信を終了したときにＶＰＮ通信パスを切断するＶＰＮ通信パス切断機能とを有するものである。なお、上記切断処理手段２７のＶＰＮ通信パス切断機能は、例えば、生成中のＶＰＮ通信パス数が上限数を超えたときに、後述する優先順位設定手段２８によって設定された優先順位の低い方から順にＶＰＮ通信パスを切断することにより実現するものとする。

上記優先順位設定手段２８は、例えば通信元拠点のユーザによる所定の優先順位設定操作に応じて、拠点情報管理装置１５に登録済みの複数の通信先拠点の拠点情報の各々に優先順位を設定する優先順位設定機能を有するものである。なお、設定された優先順位情報は、例えば当該ＶＰＮネットワーク中継装置１０内の図示しない記憶手段に記憶するものとする。

上記ネットワークインターフェース２９は、ＶＰＮネットワーク中継装置１０に設けられた通信元拠点情報登録手段２１、通信先選択手段２２、通信先拠点情報取得手段２３、通信情報交換手段２４、通信可否決定手段２５、ＶＰＮ通信手段２６、切断処理手段２７および優先順位設定手段２８が、インターネット網１３を介して、通信先拠点Ｄの配下のネットワーク１１Ｄに接続された端末１２Ｄや拠点情報管理装置１５にアクセスする際の入出力制御を行うものである。

次に、本実施形態のＶＰＮネットワーク中継装置を拠点Ａ、拠点Ｂ、拠点Ｃ、拠点Ｄに設置して構成したＶＰＮネットワークシステムにおける各種動作を図３〜図７に基づいて説明する。

［通信元拠点情報登録動作］
例えば通信元拠点Ａの配下のネットワーク１１Ａに接続された端末１２Ａから通信先拠点Ｄの配下のネットワーク１２Ｄに接続された端末１２ＤにＶＰＮ通信を行うために、通信元拠点のユーザにより所定の通信先選択操作を行う際に、前記ユーザにより所定の情報登録操作が行われた場合には、図３に示すように、通信元拠点Ａに設置されたＶＰＮネットワーク中継装置１０Ａは、経路制御装置１４によって決定（選択）された拠点情報管理装置１５（図示例では拠点情報管理装置１５−１）に対してＲＥＧＩＳＴＥＲメッセージ（ＶＰＮ通信方式、通信元拠点のネットワークアドレス、ドメイン名を含むＳＩＰ ＵＲＩ（Session Initiation Protocol Uniform Resource Identifier ：ＲＦＣ３２６）と、拠点情報管理装置１５−１との通信に利用する通信元拠点のＩＰアドレスおよび通信元拠点のポート番号とを含んでいる）を送信し、拠点情報管理装置１５−１より正常応答（ＲＥＳＰＯＮＳＥ ＣＯＤＥ：２００）を受信することにより、通信元拠点の拠点情報を登録する。

［通信先拠点情報取得動作］
例えば通信元拠点Ａの配下のネットワーク１１Ａに接続された端末１２Ａから通信先拠点Ｄの配下のネットワーク１２Ｄに接続された端末１２ＤにＶＰＮ通信を行うために、通信元拠点のユーザにより所定の通信先選択操作が行われた場合には、図４に示すように、通信元拠点Ａに設置されたＶＰＮネットワーク中継装置１０Ａは、経路制御装置１４によって決定（選択）された拠点情報管理装置１５−１に対して端末１２ＤとＶＰＮ通信するための情報を含む通信先拠点情報要求を送信する。このとき、拠点情報管理装置１５−１により認証ＯＫと判断された場合には、拠点情報管理装置１５−１から通信先拠点Ｄの拠点情報が返送されるので、ＶＰＮネットワーク中継装置１０Ａはその通信先拠点Ｄの拠点情報を取得する。

［ＶＰＮ通信パスの確立動作］
上記のようにして拠点情報管理装置１５−１により認証ＯＫと判断されて、ＶＰＮネットワーク中継装置１０Ａが通信先拠点Ｄの拠点情報を取得した後、図５に示すように、ＶＰＮネットワーク中継装置１０Ａは、通信先拠点Ｄに対して、拠点情報管理装置１５−１を経由して、接続要求であるＩＮＶＩＴＥメッセージ（上記ＲＥＧＩＳＴＥＲメッセージにおけるＳＩＰ ＵＲＩと同様の情報を含む通信先ＳＩＰ ＵＲＩと、自拠点のＳＩＰ ＵＲＩと、ＶＰＮ通信パスを接続するためのＶＰＮ接続アドレスと、自拠点のネットワークアドレスとを含んでいる）を送信する。このＩＮＶＩＴＥメッセージを受信した通信先拠点Ｄに設置されたＶＰＮネットワーク中継装置１０Ｄは、通信可否決定手段２５によりＶＰＮ通信パスの生成が許可された場合に接続応答である正常応答（Ｒｅｓｐｏｎｓｅ ｃｏｄｅ：２００）を返送する。なお、ＶＰＮネットワーク中継装置１０Ａが通信先拠点Ｄの拠点情報を事前に取得済みである場合には、ＶＰＮネットワーク中継装置１０Ａは、通信先拠点Ｄに対して、拠点情報管理装置１５−１を経由せず直接、接続要求であるＩＮＶＩＴＥメッセージを送信するものとする。
上記正常応答を受信したＶＰＮネットワーク中継装置１０Ａは、ＶＰＮネットワーク中継装置１０Ｄに応答メッセージであるＡＣＫメッセージ（図示せず）を返送し、このＡＣＫメッセージを受信したＶＰＮネットワーク中継装置１０ＤのＶＰＮ通信手段２６がＶＰＮ通信パスを生成するためのネゴシエーションを開始することにより、図６に示すようにＶＰＮ通信パスが確立し、以後、通信元拠点Ａの配下のネットワーク１１Ａに接続された端末１２Ａおよび通信先拠点Ｄの配下のネットワーク１２Ｄに接続された端末１２Ｄの間でＶＰＮ通信を行うことになる。

［ＶＰＮ通信パスの切断動作］
ＶＰＮ通信パスが一定時間以上利用されなかったとき、または、通信元拠点Ａの配下のネットワーク１１Ａに接続された端末１２Ａが当該ＶＰＮ通信を終了したときには、図７に示すように、ＶＰＮネットワーク中継装置１０Ａの切断処理手段２７は、拠点情報管理装置１５−１を経由して、通信先拠点ＤのＶＰＮネットワーク中継装置１０Ｄに切断要求を送信し、この切断要求を受信したＶＰＮネットワーク中継装置１０Ｄの切断処理手段２７は、当該ＶＰＮ通信パスを切断する。

以上説明したように、本実施形態のＶＰＮネットワーク中継装置１０を通信元拠点および通信先拠点に設置して構築したＶＰＮネットワークシステムによれば、通信元拠点Ａの配下のネットワーク１１Ａに接続された端末１２Ａから通信先拠点Ｄの配下のネットワーク１２Ｄに接続された端末１２ＤにＶＰＮ通信を行う際に、通信先拠点Ｄの登録済みの拠点情報を拠点情報管理装置１５−１から取得して、その通信先拠点の登録済みの拠点情報に基づいてＶＰＮ通信パスを動的に生成することができる。
したがって、本実施形態のＶＰＮネットワーク中継装置は、全通信先拠点に対する通信パスの全てを実現し得る収容力を有する大規模かつ高価なＶＰＮネットワーク中継装置である必要はなく、かつ、必要な時にのみＶＰＮ通信パスを生成し得る能力があればよいので、小規模で安価なＶＰＮネットワーク中継装置となるとともに、必要に応じてＶＰＮ通信パスを設定する動的なＶＰＮ通信パス生成方法を採用したＶＰＮネットワークシステムを構築するのに適したＶＰＮネットワーク中継装置となるとともに、センタの負荷集中を防止し得るＶＰＮネットワーク中継装置となる。
また、本実施形態のＶＰＮネットワーク中継装置は、小規模なＶＰＮネットワークシステムから大規模なＶＰＮネットワークシステムまで同様に負荷分散型のＶＰＮネットワークシステムを構築できるので、スケーラビリティに優れている。
さらに、本実施形態のＶＰＮネットワーク中継装置は、ある拠点で定義変更が生じた場合に、他の各拠点では定義変更をせずに運用ができるため、運用性および保守性に優れている。

［第２実施形態］
図８は本発明の第２実施形態のＶＰＮネットワーク中継装置を通信元拠点および通信先拠点に用いて構成したＶＰＮネットワークシステムの全体構成を例示する図である。本実施形態のＶＰＮネットワーク中継装置は、自拠点の配下のネットワークに接続された端末が複数である場合に対応するように、通信元拠点情報登録手段２１の機能を拡張したものであり、その他の部分は上記第１実施形態と同様に構成する。

図８に示すように本実施形態のＶＰＮネットワーク中継装置１０を拠点Ａ、拠点Ｂ、拠点Ｃ、拠点Ｄに設置して構成したＶＰＮネットワークシステムにおいては、通信元拠点Ａの配下のネットワーク１１Ａには、複数の端末である端末１２Ａ−１、１２Ａ−２が接続されている。本実施形態の通信元拠点情報登録手段２１は、拠点情報を登録する拠点情報管理装置を端末毎に選択する拠点情報管理装置選択機能を有しているため、例えば図８に示すように端末１２Ａ−１の拠点情報を拠点情報管理装置１５−１に登録し、端末１２Ａ−２の拠点情報を拠点情報管理装置１５−３に登録した場合には、端末毎に異なる通信先拠点を選択できるようになる。

本発明の第１実施形態のＶＰＮネットワーク中継装置の構成を示すブロック図である。 第１実施形態のＶＰＮネットワーク中継装置を通信元拠点および通信先拠点に用いて構成したＶＰＮネットワークシステムの全体構成を例示する図である。 第１実施形態のＶＰＮネットワークシステムにおける通信元拠点情報登録動作を説明するための図である。 第１実施形態のＶＰＮネットワークシステムにおける通信先拠点情報取得動作を説明するための図である。 第１実施形態のＶＰＮネットワークシステムにおけるＶＰＮ通信パスの確立動作を説明するための図である。 第１実施形態のＶＰＮネットワークシステムにおけるＶＰＮ通信パスの確立動作を説明するための図である。 第１実施形態のＶＰＮネットワークシステムにおけるＶＰＮ通信パスの切断動作を説明するための図である。 本発明の第２実施形態のＶＰＮネットワーク中継装置を通信元拠点および通信先拠点に用いて構成したＶＰＮネットワークシステムの全体構成を例示する図である。

符号の説明

１０、１０Ａ、１０Ｂ、１０Ｃ、１０Ｄ ＶＰＮネットワーク中継装置
１１Ａ、１１Ｂ、１１Ｃ、１１Ｄ ネットワーク
１２、１２Ａ、１２Ｂ、１２Ｃ、１２Ｄ 端末
１３ インターネット網
１４ 経路制御装置
１５、１５−１、１５−２、１５−３ 拠点情報管理装置
２１ 通信元拠点情報登録手段
２２ 通信先選択手段
２３ 通信先拠点情報取得手段
２４ 通信情報交換手段
２５ 通信可否決定手段
２６ ＶＰＮ通信手段
２７ 切断処理手段
２８ 優先順位設定手段
２９ ネットワークインターフェース

Claims (15)

1. 通信元拠点の配下のネットワークに接続された端末および通信先拠点の配下のネットワークに接続された端末の間でＶＰＮ通信を行う際にＶＰＮ通信パスを生成するために用いる拠点情報を管理する拠点情報管理装置を備えるＶＰＮネットワークシステムの、通信元拠点および通信先拠点に設置されるＶＰＮネットワーク中継装置であって、
   通信元拠点の拠点情報を拠点情報管理装置に登録する通信元拠点情報登録手段と、前記ＶＰＮネットワークシステムに設けられた複数の拠点の中から通信先拠点の配下のネットワークに接続された端末を通信先として選択して、該通信先拠点を特定する通信先選択手段と、該通信先選択手段により選択された端末が含まれる当該特定した通信先拠点の登録済みの拠点情報を前記拠点情報管理装置から取得する通信先拠点情報取得手段とを備え、前記拠点情報管理装置から取得した通信先拠点の拠点情報に基づいてＶＰＮ通信パスを生成するようにしたことを特徴とするＶＰＮネットワーク中継装置。
2. 前記通信元拠点情報登録手段は、前記拠点情報管理装置に対し登録する前記通信元拠点の拠点情報に、通信元拠点のＩＰアドレスおよび通信元拠点配下のネットワークアドレスを挿入することを特徴とする請求項１記載のＶＰＮネットワーク中継装置。
3. 前記通信元拠点情報登録手段は、前記ＶＰＮネットワークシステムが複数の拠点情報管理装置を備えるとともに前記通信元拠点の配下のネットワークが複数の端末を備える場合、拠点情報を登録する拠点情報管理装置を端末毎に選択することを特徴とする請求項１または２記載のＶＰＮネットワーク中継装置。
4. 前記通信先選択手段は、前記通信元拠点の配下のネットワークのトラフィックの監視中に、前記通信元拠点の配下のネットワークに接続された端末からのトラフィックが前記通信先拠点に関する情報を含んでいた場合に、前記通信先拠点情報取得手段を作動させて、前記通信先拠点の登録済みの拠点情報を前記拠点情報管理装置から取得することを特徴とする請求項１〜３の何れか１項記載のＶＰＮネットワーク中継装置。
5. 通信先拠点に対してＶＰＮ通信パス接続要求を発行する機能および受信したＶＰＮ通信パス接続要求と自拠点の通信元拠点情報とを交換する機能を有する通信情報交換手段を備えることを特徴とする請求項１〜４の何れか１項記載のＶＰＮネットワーク中継装置。
6. 前記通信情報交換手段は、通信先拠点に対して送信するメッセージ中に通信元拠点のＩＰアドレスおよび通信元拠点配下のネットワークアドレスを挿入することを特徴とする請求項１〜５の何れか１項記載のＶＰＮネットワーク中継装置。
7. 当該ＶＰＮネットワーク中継装置の処理能力を超えたか否かによりＶＰＮ通信パスの生成の可否を決定する通信可否決定手段を備えることを特徴とする請求項１〜６の何れか１項記載のＶＰＮネットワーク中継装置。
8. 前記通信可否決定手段は、ＶＰＮ通信パスの上限数を超えたか否かによりＶＰＮ通信パスの生成の可否を決定することを特徴とする請求項７記載のＶＰＮネットワーク中継装置。
9. 前記通信可否決定手段は、取得した通信先拠点の拠点情報に基づいて認証を行い、認証が成功したか否かによりＶＰＮ通信パスの生成の可否を決定することを特徴とする請求項７または８記載のＶＰＮネットワーク中継装置。
10. 前記通信可否決定手段による認証によってＶＰＮ通信パスの生成が許可された場合に、ＶＰＮ通信パスを生成するＶＰＮ通信手段を備えることを特徴とする請求項９記載のＶＰＮネットワーク中継装置。
11. ＶＰＮ通信パスの通信利用状況の監視中に、前記ＶＰＮ通信パスが一定時間以上利用されなかった場合に当該通信先拠点に対して切断要求を送信する機能および通信先拠点からの切断要求を受信する機能を有する切断処理手段を備えることを特徴とする請求項１０記載のＶＰＮネットワーク中継装置。
12. 前記切断処理手段は、通信元拠点の配下のネットワークに接続された端末が当該ＶＰＮ通信を終了したときにＶＰＮ通信パスを切断することを特徴とする請求項１１記載のＶＰＮネットワーク中継装置。
13. 前記拠点情報管理装置に登録済みの複数の通信先拠点の拠点情報の各々に優先順位を設定する優先順位設定手段を備えることを特徴とする請求項１〜１１の何れか１項記載のＶＰＮネットワーク中継装置。
14. 前記切断処理手段は、生成中のＶＰＮ通信パス数が上限数を超えたとき、前記優先順位設定手段によって設定された優先順位の低い方から順にＶＰＮ通信パスを切断することを特徴とする請求項１３記載のＶＰＮネットワーク中継装置。
15. 前記通信元拠点情報登録手段は、通信先拠点との間でＶＰＮ通信を行うときに、前記通信元の拠点情報を前記拠点情報管理装置に登録することを特徴とする請求項１〜１４の何れか１項記載のＶＰＮネットワーク中継装置。

Images