JP4649465B2 - 仮想網構築プログラム、仮想網構築装置、および仮想網構築方法 - Google Patents

Description

この発明は、広域に拠点やセンタが分散した企業網において、クライアント・サーバ間をセキュアに接続する情報ネットワークに関する仮想網構築プログラム、仮想網構築装置、および仮想網構築方法に関する。ここで「セキュア」とは、第三者の盗聴が困難であったり、盗聴できたとしてもデータ解読が困難であることを言う。

下記特許文献１には、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）サービスネットワークにアクセス認証情報管理装置を備え、ユーザ認証されるとＩＰサービスネットワークのｐｒｅｆｉｘとＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）の識別子とを対応付けし、複数のＩＰサービスネットワークに接続するシステムが開示されている。

下記特許文献２には、移動体網において、移動してきたユーザが到着した時に使えるように、網サービスおよび資源を事前準備し、ユーザが到着した時にハンドオーバして接続する技術が開示されている。

下記特許文献３には、ＳＧＳＮ（注：携帯網とＩＰ網のゲートウェイ）が端末から受信したトンネリング識別子を判定し、動的制御であれば、端末間のパス設定を行い、予め設定された（サービス起動時のプロビジョニング）トンネリング区間を使用して接続する技術が開示されている。

特開２００４−３１２４８２号公報 特表２０００−５０２５２１号公報 特開２００４−２１５１１７号公報

しかしながら、上記特許文献１の従来技術では、中継ゲートウェイまでのＶＬＡＮをＩＰ網（キャリア網に相当）に割付けるが、ＩＰ網箇所ではＩＰ−ＶＰＮのようなセキュアパスに割当てているわけではなく、単純に生のデータを網に渡してルーティングさせるのみである。したがって、つまりセキュアな区間は中継ゲートウェイまでであり、エンド・ツー・エンドでセキュアではない。

また、クライアントの中での複数サービスに対するプロセスのセキュリティ分離、つまり各プロセスをサービス毎に独立な経路に括りつけることは行っておらず、異なるサービスの経路間でデータが混在してしまい、セキュアではない。したがって、上記特許文献１の従来技術では、セキュリティ上問題がある。さらに、ＩＰｖ６網が必須条件（ＩＰｖ６の固有機能を利用）であり、現在広く使われているＩＰｖ４では実現できず、汎用性が低いという問題がある。

また、上記特許文献２および特許文献３の従来技術では、クライアントの中での複数サービスに対するプロセスのセキュリティ分離、つまり各プロセスをサービス毎に独立な経路に括りつけることは行っておらず、異なるサービスの経路間でデータが混在してしまい、セキュアではない。また、経路管理やユーザ認証によるサービス選択が提供できず、サービス毎のエンド・ツー・エンドのセキュリティを確保することができないという問題がある。

また、企業ネットワークでは拠点と業務センタとの間をＷＡＮにより接続することで企業ネットワークが構築されている。この企業ネットワークにおけるＩＰｓｅｃ−ＶＰＮによる拠点間接続は、ＷＡＮ部分のみをＩＰｓｅｃで対地毎（拠点−拠点、拠点−業務センタ、業務センタ−業務センタ）に暗号化する。ＩＰ単位の制御であり、同一地点間のデータはすべて一括して扱われる。

このＩＰｓｅｃ−ＶＰＮによる拠点間接続では、セキュアな区間がＷＡＮ部のみであり、セキュリティ上問題がある。また、拠点で情報漏洩の危険性が高いが、ＩＰｓｅｃ−ＶＰＮによる拠点間接続では、拠点部分において何も対処していないか、ＷＡＮ部ＶＰＮと独立な静的なＶＬＡＮでクライアントをグルーピングするのみである。すなわち、扱う粒度がＩＰ単位のため、サービス毎に処理を分けることができない。クライアントでは、複数の業務サービス（業務センタ）に１つのインターフェース（プロセス）で同時アクセスできるため、クライアントにおいて不用意に業務サービス間でデータを中継してしまう危険性がある。

また、ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）−ＶＰＮによるエンド間接続により、クライアント・サーバ間をＳＳＬでＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）コネクション毎に暗号化する方法もある。ＴＣＰコネクション単位の制御であり、個々のＴＣＰコネクションが別々に扱われる。

しかしながら、ＳＳＬ−ＶＰＮによるエンド間接続では、ＴＣＰコネクション毎の制御であるためエンドシステムの処理が重くなり、大規模なシステムに適用することができないという問題がある。したがって、アプリケーション毎に対応モジュールを開発する必要があり、設備コストの増大を招くこととなる。

この発明は、上述した従来技術による問題点を解消するため、サービス毎のエンド・ツー・エンドのセキュリティ、クライアントでのサービス間のセキュリティ、および大規模システムに対するスケーラビリティ（拡張性）を実現することができる仮想網構築プログラム、仮想網構築装置、および仮想網構築方法を提供することを目的とする。

上述した課題を解決し、目的を達成するため、第１の仮想網構築プログラム、仮想網構築装置、および仮想網構築方法は、特定のサービスを提供するためにセンタ内に構築された第１の仮想網および当該第１の仮想網に連結された仮想プライベート網を介して前記センタ内の前記特定のサービスを提供するサーバと通信可能な拠点内のルータと、前記拠点内において前記ルータと通信可能なクライアントとにおいて、前記クライアントからの認証要求に基づいて、前記クライアントを認証し、前記認証要求と認証されたクライアントからのサービス要求とを受け付け、前記サービス要求が受け付けられた場合、前記拠点内のルータの中から前記クライアントに関するネットワークアドレスに関連付けされたルータに関するＩＰアドレスを抽出し、抽出されたＩＰアドレスにより特定される前記拠点内の特定のルータと前記クライアントとの間に構築する第２の仮想網に関する固有の識別情報を設定し、設定された前記第２の仮想網に関する固有の識別情報に前記特定のサービスの識別情報を関連付けた前記第２の仮想網の構築要求を生成し、生成された前記第２の仮想網の構築要求を、前記クライアントおよび前記特定のルータに送信することを要件とする。

この仮想網構築プログラム、仮想網構築装置、および仮想網構築方法によれば、構築要求を受け付けたクライアントおよび特定のルータにより、拠点内部でサービスごとの仮想網（第２の仮想網）を構築することができる。

また、上記仮想網構築プログラム、仮想網構築装置、および仮想網構築方法において、認証されたクライアントに提供可能なサービスを起動するソフトを前記クライアントに送信し、前記クライアントにより前記提供可能なサービスの中から前記特定のサービスが起動された場合、前記拠点内のルータの中から前記クライアントに関するネットワークアドレスに関連付けされたルータに関するＩＰアドレスを抽出することとしてもよい。

また、認証されたクライアントに提供可能なサービスの識別情報を前記クライアントに送信し、前記クライアントにより前記提供可能なサービスの中から前記特定のサービスが起動された場合、前記拠点内のルータの中から前記クライアントに関するネットワークアドレスに関連付けされたルータに関するＩＰアドレスを抽出することとしてもよい。

この仮想網構築プログラム、仮想網構築装置、および仮想網構築方法によれば、特定のサービスにアクセスしようとするクライアントのユーザの認証を行い、当該ユーザに対して認可されたサービスリストのみを配布し、当該サービスリストの中から選ばれた特定のサービスに基づくアクセス制御をクライアントが行うことで、特定のサービスに対するアクセスを、仮想ネットワークの入口で制限することができる。

また、上記仮想網構築プログラム、仮想網構築装置、および仮想網構築方法において、前記クライアントが実行する前記特定のサービスに関するプロセスと前記仮想プライベート網との連結指示を生成し、前記第２の仮想網の構築要求とともに、前記連結指示を前記クライアントおよび前記特定のルータに送信することとしてもよい。

この仮想網構築プログラム、仮想網構築装置、および仮想網構築方法によれば、第１の仮想網、仮想プライベート網、および第２の仮想網が連結されたサーバとクライアント間のエンド・ツー・エンドの仮想ネットワークを構築することができる。

また、第２の仮想網構築プログラム、仮想網構築装置、および仮想網構築方法は、特定のサービスを提供するためにセンタ内に構築された第１の仮想網および当該第１の仮想網に連結された仮想プライベート網を介して前記センタ内の前記特定のサービスを提供するサーバと通信可能な拠点内のルータに対して通信可能なクライアントにおいて、前記特定のサービスに関するプロセスの起動を検出し、前記拠点内のルータの中から選ばれた特定のルータと前記クライアントとの間に構築する第２の仮想網に関する固有の識別情報に前記特定のサービスの識別情報を関連付けた前記第２の仮想網の構築要求を受け付け、受け付けられた構築要求に基づいて、起動が検出された前記特定のサービスに関するプロセスのインターフェースを作成し、インターフェースが作成された前記特定のサービスに関するプロセスと前記第２の仮想網に関する固有の識別情報とを関連付け、関連付け結果に基づいて、前記特定のサービスに関するプロセスと前記特定のルータとの通信をおこなうことを要件とする。

この仮想網構築プログラム、仮想網構築装置、および仮想網構築方法によれば、構築要求を受け付けた特定のルータとともに、拠点内部でサービスごとの仮想網（第２の仮想網）を構築することができる。

また、第３の仮想網構築プログラム、仮想網構築装置、および仮想網構築方法は、特定のサービスを提供するためにセンタ内に構築された第１の仮想網および当該第１の仮想網に連結された仮想プライベート網を介して前記センタ内の前記特定のサービスを提供するサーバと拠点内のクライアントとの通信の中継をおこなうルータにおいて、前記ルータと前記クライアントとの間に構築する第２の仮想網に関する固有の識別情報に前記特定のサービスの識別情報を関連付けた前記第２の仮想網の構築要求を受け付け、前記第２の仮想網の構築要求が受け付けられた場合、前記ルータと前記第２の仮想網とを連結するための第１のインターフェースを作成し、作成された第１のインターフェースの識別情報と前記仮想プライベート網と前記ルータとを連結する第２のインターフェースの識別情報とを関連付けることを要件とする。

この仮想網構築プログラム、仮想網構築装置、および仮想網構築方法によれば、第１のインターフェースで受信されたパケットの宛先を第２のインターフェースに設定することができ、第２のインターフェースで受信されたパケットの宛先を第１のインターフェースに設定することができる。

また、上記仮想網構築プログラム、仮想網構築装置、および仮想網構築方法において、前記第１のインターフェースに受信されたパケットに、前記第２のインターフェースの識別情報を宛先として設定することにより、前記パケットを前記第２のインターフェースに引き渡す中継処理を実行することとしてもよい。

この仮想網構築プログラム、仮想網構築装置、および仮想網構築方法によれば、第２の仮想網から仮想プライベート網にパケットを転送することができる。

また、上記仮想網構築プログラム、仮想網構築装置、および仮想網構築方法において、前記中継処理と非中継処理のうち前記中継処理を特定するフラグを、前記第１のインターフェースおよび前記中継処理と前記非中継処理との分岐ポイントに設定し、前記第１のインターフェースに受信されたパケットに前記フラグを付与し、前記分岐ポイントに設定されたフラグと前記パケットに付与されたフラグが一致するか否かを判定し、その判定結果に基づいて、前記中継処理を実行することとしてもよい。

この仮想網構築プログラム、仮想網構築装置、および仮想網構築方法によれば、前記中継処理と前記非中継処理とを区別することができるため、第２の仮想網から仮想プライベート網へのパケット転送を動的に設定することができる。

また、上記仮想網構築プログラム、仮想網構築装置、および仮想網構築方法において、前記第２のインターフェースに受信されたパケットに、前記第１のインターフェースの識別情報を宛先として設定することにより、前記パケットを前記第１のインターフェースに引き渡す中継処理を実行することとしてもよい。

この仮想網構築プログラム、仮想網構築装置、および仮想網構築方法によれば、仮想プライベート網から第２の仮想網にパケットを転送することができる。

また、上記仮想網構築プログラム、仮想網構築装置、および仮想網構築方法において、前記中継処理と非中継処理のうち前記中継処理を特定するフラグを、前記第２のインターフェースおよび前記中継処理と前記非中継処理との分岐ポイントに設定し、前記第２のインターフェースに受信されたパケットに前記フラグを付与し、前記分岐ポイントに設定されたフラグと前記パケットに付与されたフラグが一致するか否かを判定し、その判定結果に基づいて、前記中継処理を実行することとしてもよい。

この仮想網構築プログラム、仮想網構築装置、および仮想網構築方法によれば、前記中継処理と前記非中継処理とを区別することができるため、仮想プライベート網から第２の仮想網へのパケット転送を動的に設定することができる。

この仮想網構築プログラム、仮想網構築装置、および仮想網構築方法によれば、サービス毎のエンド・ツー・エンドのセキュリティ、クライアントでのサービス間のセキュリティ、および大規模システムに対するスケーラビリティ（拡張性）を実現することができるという効果を奏する。

以下に添付図面を参照して、この仮想網構築プログラム、仮想網構築装置、および仮想網構築方法の好適な実施の形態を詳細に説明する。なお、本実施の形態にかかる仮想網構築装置は、パス制御サーバ、クライアント、拠点ルータ、またはセンタルータにより実現することができる。

図１は、本実施の形態にかかる企業ネットワークを示す説明図である。図１において、企業ネットワーク１００は、運用管理センタ１０１と業務センタ１０２と拠点１０３とがＷＡＮ１０４（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）とに接続されて相互に通信可能に構成されている。ＷＡＮ１０４は、通信キャリアが提供する広域ＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ；仮想プライベート網）サービス（たとえば、ＩＰｓｅｃ（ＩＰ Ｓｅｃｕｒｉｔｙ；セキュアな暗号化通信に欠かせないセキュリティプロトコル）−ＶＰＮなど）で構成されている。

運用管理センタ１０１は、当該企業のシステム部門が運用し、企業網全体（拠点１０３〜ＷＡＮ１０４〜業務センタ１０２）の運用管理を実施する。そのため、運用管理センタ１０１として、ＷＡＮ１０４上にパス制御サーバ１１１が配置されている。パス制御サーバ１１１には、パス制御ソフト１１２がインストールされており、クライアント１３１とユーザ認証やサービス認可を実行し、ＶＬＡＮ構築やＶＰＮとの連結指示を発行する。

業務センタ１０２は、業務サービス（たとえば、受発注システム、従業員検索システムなどの業務システム）を提供する。そのため、業務センタ１０２には、ＷＡＮ１０４と接続するセンタルータ１２１と業務サービスを提供するアプリサーバ１２２がスイッチハブ１２３を介して接続されている。アプリサーバ１２２には、提供する業務に関する業務アプリ１２４がインストールされている。業務センタ１０２は複数でもよい。この場合、スイッチハブ１２３にそれぞれ接続されることとなる。

拠点１０３は、ユーザ（たとえば、従業員）が業務サービスにアクセスするための、入出力操作を行うクライアント１３１を収容する。拠点１０３とは、たとえば、企業ネットワーク１００において業務をおこなう箇所（店舗、本店、支店など）であり、ユーザが使用するクライアント１３１がスイッチハブ１３２を介して拠点ルータ１３３と接続されている。

また、クライアント１３１にはクライアント制御ソフト１３４がインストールされている。クライアントプロセス１３５は、アプリサーバ１２２からの業務サービスの提供を受ける。クライアント１３１は複数でもよい。この場合、スイッチハブ１３２にそれぞれ接続されることとなる。拠点ルータ１３３には、拠点制御ソフト１３６がインストールされている。

図１では、業務サービスに対するＷＡＮ部ＶＰＮ１４０（たとえば、ＩＰｓｅｃ−ＶＰＮ）および業務センタ部ＶＬＡＮ１５０（たとえば、Ｐｏｒｔ−ＶＬＡＮ）を管理者が事前に設定しておき、かつこれらと業務アプリ１２４を連結し、他からのアクセスは受け付けないようにダイレクトに中継する。

ここで、ＷＡＮ部ＶＰＮ１４０＋業務センタ部ＶＬＡＮ１５０＋業務アプリ１２４で、１つの提供する業務サービスに相当する。通常、システム上では複数のサービスが提供されており、実際にはこれらを利用するための口が各拠点１０３に複数提供されていることになる。ただし初期状態では、クライアント１３１はパス制御サーバ１１１とのみ通信可能で、サービスの口へのアクセスはできないように拠点ルータ１３３の経路を設定する。すなわち、図２で説明する認証を経ないと業務サービスへのアクセスはできないこととなる。

図２は、企業ネットワーク１００におけるエンド・ツー・エンド仮想ネットワークの構築処理を示す説明図である。図２において、拠点ルータ１３３とセンタルータ１２１との間には、ＷＡＮ部ＶＰＮ１４０としてＩＰｓｅｃ−ＶＰＮが事前に静的に設定されているものとする。また、センタルータ１２１とアプリサーバ１２２との間には、業務センタ部ＶＬＡＮ１５０としてＰｏｒｔ−ＶＬＡＮが事前に静的に設定されているものとする。Ｐｏｒｔ−ＶＬＡＮ（ポートＶＬＡＮ）とは、スイッチハブ１２３のポート単位で物理的な回線によりグループを構成する仮想網である。

（１）まず、サービスを利用しようとするクライアント１３１は、クライアント制御ソフト１３４により、認証要求をパス制御サーバ１１１に送信する。（２）パス制御サーバ１１１では、受信した認証要求により認証すると、ランチャーソフトをクライアント１３１に送信する。ランチャーソフトとは、当該ユーザが利用可能なサービスのみをメニューから起動することができる起動ソフトウェアである。

（３）クライアント１３１では、ランチャーソフトを起動して利用可能なサービスを選択すると、対応するパス構築要求がパス制御サーバ１１１に送信される。（４）パス制御サーバ１１１では、パス構築要求を受信すると、クライアント１３１に対して拠点ルータ１３３との連結指示を発行するとともに、（５）拠点ルータ１３３に対してクライアント１３１との連結指示を発行する。これにより、クライアント１３１と拠点ルータ１３３間の拠点内ＶＬＡＮ１６０として、Ｔａｇ−ＶＬＡＮを動的に構築することができる。Ｔａｇ−ＶＬＡＮ（タグＶＬＡＮ）とは、通信させるデータにグループの識別ができるタグを付与して、所属するＶＬＡＮをデータごとに識別させる仮想網である。

すなわち、（４）および（５）では、パス制御サーバ１１１が、サービスアクセスの口に該当する拠点ルータ１３３を決定し、クライアント１３１および拠点ルータ１３３に対して、拠点１０３内でのタグＶＬＡＮ作成、クライアントプロセス１３５（以下、ＣＬプロセスと表記）およびＷＡＮ部ＶＰＮ１４０との連結を指示することで、エンド・ツー・エンド仮想ネットワーク１７０を構築する。これにより、ＣＬプロセスから業務アプリ１２４に至る経路が作成され、ＣＬプロセスはエンド・ツー・エンド仮想ネットワーク１７０を利用して業務アプリ１２４の提供する業務サービスを受けることができる。

なお、上記例では、ランチャーソフトをパス制御サーバ１１１で作成してクライアント１３１に送信することとしているが、ランチャーソフトをクライアント１３１にインストールしておき、提供可能なサービスに関する情報（たとえばサービスＩＤのリスト）のみをパス制御サーバ１１１からクライアント１３１に送信し、クライアント１３１では受信したサービスＩＤにより特定される業務サービスを起動できる構成としてもよい。

また、１つのクライアント１３１から複数の業務サービスを利用する場合、それぞれの業務サービスに対応するＣＬプロセスがクライアント１３１内に個別に生成され、業務サービス毎のエンド・ツー・エンド仮想ネットワーク１７０に括り付けられる。これにより、各業務サービスに対応するＣＬプロセス間および仮想ネットワーク間はアイソレート（セキュリティ分離）され、直接のデータのやりとりが禁止される。

図３は、複数の業務サービスを利用する場合のアイソレートされたエンド・ツー・エンド仮想ネットワーク１７０を示す説明図である。図３においては、業務アプリ１２４別に符号の末尾にアルファベットを付している。たとえば、業務センタ１０２Ａは、業務アプリ１２４Ａを実行するアプリサーバ１２２Ａを有する業務センタ１０２である。同様に、ユーザ別に符号のハイフンのあとに数字を付与している。

たとえば、クライアント１３１−２は、ユーザ３０２が使用するクライアント１３１である。また、ＣＬプロセス１３５−１Ａは、ユーザ３０１が使用するクライアント１３１−１で立ち上がり、アプリサーバ１２２Ａから業務サービスの提供を受けるＣＬプロセス１３５である。

すなわち、エンド・ツー・エンド仮想ネットワーク１７０Ａは、業務サービスＡを提供する仮想ネットワークであり、クライアント１３１−１のみが業務サービスＡの提供を受けることができ、クライアント１３１−２は受けることができない。一方、エンド・ツー・エンド仮想ネットワーク１７０Ｂは、業務サービスＢを提供する仮想ネットワークであり、クライアント１３１−１，１３１−２が業務サービスＢの提供を受けることができる。図４は、図１に示した各構成に付与されているネットワークアドレスを示す説明図である。

図５は、パス制御サーバ１１１の機能的構成を示すブロック図である。図５において、パス制御サーバ１１１は、管理コマンド受付部５０１と、ユーザコマンド受付部５０２と、認証・認可部５０３と、パス設定処理部５０４と、制御コマンド／レスポンス発行部５０５と、から構成されている。これら各機能は、パス制御サーバ１１１の記憶部に記憶された当該機能に関するプログラム（パス制御ソフト１１２）をＣＰＵに実行させることにより、または、入出力Ｉ／Ｆにより、当該機能を実現することができる。

また、各機能からの出力データは上記記憶部に保持される。また、図５中矢印で示した接続先の機能は、接続元の機能からの出力データを記憶部から読み込んで、当該機能に関するプログラムをＣＰＵに実行させるものとする。

まず、管理コマンド受付部５０１は、管理者の操作入力により入力された管理コマンドを受け付ける機能を有する。たとえば、管理者からＶＰＮ設定要求が受け付けられると、制御コマンド／レスポンス発行部５０５に当該ＶＰＮ設定要求を渡す。

ユーザコマンド受付部５０２は、クライアント１３１から送信されてくる各種ユーザコマンドを受け付ける機能を有する。たとえば、クライアント１３１からの認証要求やパス構築要求といったユーザコマンドを受け付け、認証・認可部５０３あるいはパス設定処理部５０４に当該要求を渡す。

認証・認可部５０３は、ユーザの認証機能とランチャーソフトのダウンロード許可機能とを有する。たとえば、認証要求が渡されると、ユーザ情報テーブル５１０を参照して、クライアント１３１（またはそのユーザ）を認証する。そして、認証されると、ランチャーソフトを設定（作成しても呼び出してもよい）して、制御コマンド／レスポンス発行部５０５に渡す。

パス設定処理部５０４は、適用するＶＬＡＮ−ＩＤを設定する機能を有する。たとえば、拠点ルータ情報テーブル５２０と拠点ＶＬＡＮ−ＩＤ情報テーブル５３０を参照して、要求されている業務サービスに対する拠点ルータ１３３を割り出し、適用するＶＬＡＮ−ＩＤを決定する。

制御コマンド／レスポンス発行部５０５は、制御コマンドやレスポンスを発行する機能を有する。たとえば、クライアント１３１やルータに対しては、ＶＬＡＮ構築依頼といった制御コマンドを発行して送信し、クライアント１３１に対しては、認証要求のレスポンスとしてランチャーソフトを送信する。

ユーザ情報テーブル５１０は、ユーザＩＤに対するパスワードとサービスリストを管理するテーブルである。拠点ルータ情報テーブル５２０は、当該クライアント１３１が収容される拠点１０３（ネットワークアドレスとアドレスマスクで識別）に対する拠点ルータ１３３のＩＰ（拠点ルータＩＰ）を管理するテーブルである。拠点ＶＬＡＮ−ＩＤ情報テーブル５３０は、当該拠点１０３において、ＶＬＡＮ−ＩＤを一意に割当てるための情報（たとえば、割当済ＶＬＡＮ−ＩＤ）を管理するテーブルである。

図６は、図５に示したユーザ情報テーブル５１０の記憶内容を示す説明図である。図６において、ユーザ情報テーブル５１０には、エントリごとに、項番、ユーザＩＤ、パスワード、サービスリストが保持されている。項番は、エントリを特定する一意の番号である。ユーザＩＤはユーザ固有の識別情報である。パスワードは認証するための文字列である。サービスリストは、認可する業務サービスのサービスＩＤのリストである。サービスＩＤの組み合わせで示されており、各サービスＩＤは個々の業務サービスに対応する。

たとえば、サービスＩＤ＝１０００は業務サービスＡ（業務アプリ１２４Ａ）に、サービスＩＤ＝２０００は業務サービスＢ（業務アプリ１２４Ｂ）に、サービスＩＤ＝３０００は業務サービスＣに対応する。したがって、たとえば、項番１のユーザ（ユーザＩＤ：ｓａｔｏ）は、そのサービスリストが“１０００＋２０００”であるため、業務サービスＡおよび業務サービスＢを受けることができる。

図７は、図５に示した拠点ルータ情報テーブル５２０の記憶内容を示す説明図である。図７において、拠点ルータ情報テーブル５２０には、エントリごとに、項番、ネットワークアドレス、アドレスマスク、拠点ルータＩＰが保持されている。項番は、エントリを特定する一意の番号である。ネットワークアドレスは、当該拠点ルータ１３３が収容するネットワークアドレスである。アドレスマスクは、ネットワークアドレスに対するマスク値である。拠点ルータＩＰは、拠点１０３に配置された拠点ルータ１３３のＩＰアドレスである。

図８は、図５に示した拠点ＶＬＡＮ−ＩＤ情報テーブル５３０の記憶内容を示す説明図である。図８において、拠点ＶＬＡＮ−ＩＤ情報テーブル５３０には、エントリごとに、項番、拠点ルータＩＰ、クライアントＩＰ、ＶＬＡＮ−ＩＤ、サービスＩＤが保持されている。項番は、エントリを特定する一意の番号である。クライアントＩＰは、クライアント１３１のＩＰアドレスである。ＶＬＡＮ−ＩＤは、拠点内ＶＬＡＮ１６０に割り当てるＶＬＡＮタグ値である。

図９は、クライアント１３１、拠点ルータ１３３およびパス制御サーバ１１１間の動作シーケンス図である。括弧数字は、図２に示した括弧数字に対応する。この動作シーケンスに先立ち、システムの初期設定として、ＷＡＮ部ＶＰＮ１４０および業務センタ部ＶＬＡＮ１５０を設定しておき、業務アプリ１２４と対応付けておく。本初期設定は、管理者が拠点ルータ１３３およびセンタルータ１２１に対して、既存のルータに組込まれている設定機能（ＶＰＮ設定、ＶＬＡＮ設定、ルーティング機能、フィルタ機能など）を使って実行する。

なお、センタルータ１２１におけるＷＡＮ部ＶＰＮ１４０と業務センタ部ＶＰＮ１５０の対応付けに関しては、ルータの既存機能ではなく、後述するルータ制御機能１６０１とスイッチング機能１６０２の追加によっても可能である。この場合、高速な処理が可能となる。

図９において、業務サービスを利用しようとするクライアント１３１は、パス制御サーバ１１１へ認証要求（ユーザＩＤとパスワードを含む）を送信する（ステップＳ９０１）。これを受けてパス制御サーバ１１１では、認証要求中のユーザＩＤとパスワードからユーザ認証／サービス認可処理を実行し（ステップＳ９０２）、当該ユーザに対して許可されているサービスリストをランチャーソフトとしてクライアント１３１へ返す（ステップＳ９０３）。

クライアント１３１では、このランチャーソフトを起動し（ステップＳ９０４）、選択可能なメニューの中から所望の業務サービスを選択すると、当該業務サービスに対するパス構築要求（クライアントＩＰおよびサービスＩＤを含む）をパス制御サーバ１１１に送信する（ステップＳ９０５）。

パス制御サーバ１１１では、パス構築要求に含まれているクライアントＩＰから該当する拠点ルータ１３３を決定し（ステップＳ９０６）、クライアント１３１および拠点ルータ１３３へ拠点１０３内タグＶＬＡＮ作成、ＣＬプロセス１３５およびＷＡＮ部ＶＰＮ１４０との連結を指示することで（ステップＳ９０７，Ｓ９０８）、クライアント１３１および拠点ルータ１３３でＶＬＡＮ設定括付け処理を実行する（ステップＳ９０９，Ｓ９１０）。これにより、エンド・ツー・エンド仮想ネットワーク１７０が構築される。この後、ＣＬプロセスは、エンド・ツー・エンド仮想ネットワーク１７０を使って業務アプリ１２４が提供するサービスを受けることができる。

図１０は、図９に示したユーザ認証／サービス認可処理（ステップＳ９０２）の詳細な処理手順を示すフローチャートである。図１０において、まず、認証要求が受信されるのを待ち受け（ステップＳ１００１：Ｎｏ）、認証要求が受信されると（ステップＳ１００１：Ｙｅｓ）、認証要求に含まれているパスワードと一致するパスワードがユーザ情報テーブル５１０にあるか否かを判断する（ステップＳ１００２）。

一致するパスワードがない場合（ステップＳ１００２：Ｎｏ）、認証要求を送信してきたクライアント１３１に対してＮＧ情報を送信する（ステップＳ１００３）。一方、一致するパスワードがある場合（ステップＳ１００２：Ｙｅｓ）、そのサービスリストで特定される業務サービスが選択可能なランチャーソフトを作成して、認証要求を送信してきたクライアント１３１に対して送信する（ステップＳ１００４）。

図１１は、図９に示したＶＬＡＮ箇所決定処理（ステップＳ９０６）の詳細な処理手順を示すフローチャートである。図１１において、まず、パス構築要求が受信されたか否かを判断し（ステップＳ１１０１）、所定時間内にパス構築要求が受信されなかった場合（ステップＳ１１０１：Ｎｏ）、ＮＧ情報を送信する（ステップＳ１１０８）。一方、所定時間内にパス構築要求が受信されると（ステップＳ１１０１：Ｙｅｓ）、該当するネットワークアドレスが拠点ルータ情報テーブル５２０にあるか否かを判断する（ステップＳ１１０２）。

該当するネットワークアドレスがある場合（ステップＳ１１０２：Ｙｅｓ）、そのネットワークアドレスに関連付けされた拠点ルータＩＰを拠点ルータ情報テーブル５２０から抽出する（ステップＳ１１０３）。一方、該当するネットワークアドレスがない場合（ステップＳ１１０２：Ｎｏ）、ＮＧ情報を送信する（ステップＳ１１０８）。

たとえば、パス制御サーバ１１１がクライアント１３１からパス構築要求（クライアントＩＰ＝１９２．１６８．１．１，サービスＩＤ＝１０００）を受け付けたとする。パス制御サーバ１１１は、該当する拠点ルータ１３３を検索するため、パス構築要求からクライアントＩＰである“１９２．１６８．１．１”を抽出する。

そして、拠点ルータ情報テーブル５２０から、抽出したクライアントＩＰと拠点ルータ情報テーブル５２０中の各エントリのアドレスマスクとのＡＮＤの値（ネットワークアドレス）を算出する。この例では、クライアントＩＰ“１９２．１６８．１．１”とアドレスマスク“２５５．２５５．２５５．０”とのＡＮＤの値、すなわち、ネットワークアドレスが“１９２．１６８．１．０”となる。したがって、拠点ルータ情報テーブル５２０中、項番１のエントリが抽出される。本エントリより、拠点ルータＩＰとして“１９２．１６８．１０．１０”が抽出される。

つぎに、抽出拠点ルータＩＰに関連付けされたＶＬＡＮ−ＩＤ以外のＶＬＡＮ−ＩＤを、新規に割り当てるＶＬＡＮ−ＩＤに決定する（ステップＳ１１０４）。具体的には、拠点ＶＬＡＮ−ＩＤ情報テーブル５３０の中から、拠点ルータＩＰの項目が抽出拠点ルータＩＰに一致するエントリをすべて抽出する。上記の例では、抽出拠点ルータＩＰ“１９２．１６８．１０．１０”に一致する項番１と項番２のエントリが抽出される。これらのエントリのＶＬＡＮ−ＩＤは“１００”と“１０１”であるから、新規に割り当てるＶＬＡＮ−ＩＤとしてこれら以外の値、例えば、“１０２”を決定する。

そして、パス構築要求に対応する新規のエントリとして、（拠点ルータＩＰ＝１９２．１６８．１０．１０，クライアントＩＰ＝１９２．１６８．１．１，ＶＬＡＮ−ＩＤ＝１０２，サービスＩＤ＝１０００）を、拠点ルータ情報テーブル５２０に登録する（ステップＳ１１０５）。

図１２は、新規エントリの登録後の拠点ルータ情報テーブル５２０の記憶内容を示す説明図である。このあと、パス制御サーバ１１１は、パス構築要求を送信してきたクライアント１３１と抽出拠点ルータＩＰで特定される拠点ルータ１３３に対するＶＬＡＮ構築依頼を生成する（ステップＳ１１０６）。上記の例では、ＶＬＡＮ−ＩＤ＝１０２，サービスＩＤ＝１０００を含むＶＬＡＮ構築依頼を生成する。

そして、生成されたＶＬＡＮ構築依頼をクライアント１３１および拠点ルータ１３３に送信する（ステップＳ１１０７）。上記の例では、パス構築要求を送信してきたクライアント１３１は、クライアントＩＰ“１９２．１６８．１．１”で特定されるクライアント１３１であり、拠点ルータ１３３は、抽出拠点ルータＩＰ“１９２．１６８．１０．１０”で特定される拠点ルータ１３３である。したがって、当該クライアント１３１および拠点ルータ１３３に対してＶＬＡＮ構築依頼を送信する。

つぎに、クライアント１３１について説明する。図１３は、クライアント１３１の機能を示す説明図であり、図１４は、クライアント１３１の管理情報テーブルの説明図である。図１３において、クライアント１３１は、クライアント制御機能１３０１（以下、ＣＬ制御機能１３０１）およびマッピング処理機能１３０２を有する。ＣＬ制御機能１３０１はパス制御サーバ１１１とのインターフェースおよびクライアント１３１内のプロセス管理を実行する機能であり、マッピング処理機能１３０２はＣＬプロセス１３５とＶＬＡＮとの対応付けの管理を実行する機能である。

これら各機能は、クライアント１３１の記憶部に記憶された当該機能に関するプログラム（ＣＬ制御ソフト１３４）をＣＰＵに実行させることにより、または、入出力Ｉ／Ｆにより、当該機能を実現することができる。

図１３において、符号１２００Ａは業務サービスＡに関する業務クライアントアプリ（以下、「業務ＣＬアプリ」）であり、符号１２００Ｂは業務サービスＢに関する業務ＣＬアプリである。各業務ＣＬアプリ１２００Ａ，１２００Ｂ内の黒丸はＣＬプロセス１３５（スレッド、イベント、フローでもよい）を示す。

図１３に示したクライアント１３１の基本動作（１）〜（５）は以下のとおりである。
（１）ユーザ認証・サービス認可の中継。
（２）起動された業務ＣＬアプリ（Ｗｅｂブラウザでもよい）の識別。この識別は、ＣＬプロセス１３５／スレッド／イベント／フローなどを監視することで実現する。一般に、１つの業務に対する業務ＣＬアプリは、複数のＣＬプロセス１３５やスレッドから構成されたり、複数のＴＣＰコネクションから成る。本機能はこれらを１つの業務として識別する。

（３）パス制御サーバ１１１へのパス構築要求。これにより、パス制御サーバ１１１は、エンド・ツー・エンド仮想ネットワーク１７０を作成する。

（４）ＶＬＡＮインターフェースの作成。図１３では、業務ＣＬアプリ１３００Ａについては、ＶＬＡＮインターフェース１３１０Ａを作成し、業務ＣＬアプリ１３００Ｂについては、ＶＬＡＮインターフェース１３１０Ｂを作成する。

（５）業務ＣＬアプリとＶＬＡＮとのマッピングの設定。上記（２）で識別した業務情報と対応ポリシに基づく対応付け（当該のサービスＩＤに対し、どのプロセスＩＤをどのＶＬＡＮ−ＩＤに対応付けるか）を決定し、図１４に示した管理情報テーブル１４００に書き込む。マッピング処理機能１３０２において、管理情報テーブル１４００に基づくマッピング（括り付け）を実行する。実際に通信を行う場合には、対応付けされたサービスＩＤ、プロセスＩＤおよびＶＬＡＮ−ＩＤを参照することで、パケットの宛先を特定することができ、拠点内仮想ＶＬＡＮを利用した通信をおこなうことができる。

すなわち、クライアント１３１において、パス制御サーバ１１１とのユーザ認証・サービス認可の後、サービスリストから選択して起動した業務ＣＬアプリを識別し、パス制御サーバ１１１の指示により、業務サービスに対応した仮想ネットワークの入口となるＶＬＡＮインターフェースを作成し、識別業務と対応ポリシに基づいて業務ＣＬアプリとＶＬＡＮ間のクローズドな括り付けを行う。

本マッピング処理機能１３０２は、クライアント１３１側ソフトが業務ＣＬアプリであるクライアント／サーバシステム、ＷｅｂブラウザであるＷｅｂシステムの双方に適用可能である。このＣＬ制御機能１３０１およびマッピング処理機能１３０２により、業務ＣＬアプリ（またはＷｅｂブラウザ）ごとのセキュリティ分離が実現され、データの混在防止が可能になる。

図１５はクライアント１３１のＧＵＩ画面例である。業務ＣＬアプリを起動すると、認証入力画面１５０１が表示され、ユーザは、入力欄にユーザＩＤおよびパスワードを入力することができる。そして、ログインボタンをクリックすると、認証要求がパス制御サーバ１１１に送信される。

パス制御サーバ１１１により認証・許可されるとクライアント１３１にはランチャーソフトが送信される。ランチャーソフトを起動すると、業務メニュー画面１５０２が表示される。この業務メニュー画面１５０２では、業務Ａおよび業務Ｂが選択可能で、業務Ｃは選択不可能となっている。業務を選択すると、エンド・ツー、エンド仮想ネットワーク１７０が構築される。そして、エンド・ツー・エンド仮想ネットワーク１７０によりアプリサーバ１２２からデータを受け取って、業務処理画面１５０３が表示されることとなる。

つぎに、拠点ルータ１３３について説明する。図１６は、拠点ルータ１３３の機能を示す説明図であり、図１７は、拠点ルータ１３３の管理情報テーブルの記憶内容を示す説明図である。図１６において、拠点ルータ１３３は、ルータ制御機能１６０１およびスイッチング機能１６０２を有する。ルータ制御機能１６０１は、パス制御サーバ１１１とのインターフェースおよびＶＬＡＮ・ＶＰＮ管理を実行する機能であり、スイッチング機能１６０２はＶＰＮとＶＬＡＮとのダイレクトな対応付けの管理を実行する機能である。これら各機能は、クライアント１３１の記憶部に記憶された当該機能に関するプログラム（拠点ルータ制御ソフト１３６）をＣＰＵに実行させることにより、または、入出力Ｉ／Ｆにより、当該機能を実現することができる。

拠点ルータ１３３においては、パス制御サーバ１１１からの指示により、業務ＣＬアプリに対応した拠点内ＶＬＡＮ１６０を作成の上、そのＶＬＡＮインターフェース１６００とＩＰｓｅｃインターフェース１６１０に内部フラグおよび内部タグを付与・削除し、この内部フラグおよび内部タグと制御ポリシに基づいて、拠点１０３内ＶＬＡＮと事前設定したＷＡＮ部ＶＰＮ１４０との間のクローズドな括り付けを行う。

ここで内部フラグとは、スイッチング機能１６０２による処理を実行するか通常のＩＰ処理を実行するかを振り分けるビット情報（たとえば、“１”ならスイッチング機能１６０２による処理、“０”なら通常のＩＰ処理）であり、図１６中の分岐ポイントＰ１，Ｐ２で判定される。また内部タグは、ＶＬＡＮまたはＩＰｓｅｃを拠点ルータ１３３内で一意に識別するための識別子である。図１６に示した拠点ルータ１３３の基本動作（１）〜（３）は以下のとおりである。

（１）パス制御サーバ１１１からのＶＬＡＮ構築依頼の受付。
（２）ＶＬＡＮインターフェースの作成。これにより、内部フラグ、タグの付与をおこなう。ＶＬＡＮインターフェースを消去する場合は内部フラグやタグを消去する。これにより、ＶＬＡＮインターフェースが存在する間、仮想ネットワークを動的に設定することができる。なお、ＩＰｓｅｃインターフェース１６１０は事前設定により作成済みである。

（３）ＶＬＡＮとＩＰｓｅｃとのマッピングの設定（管理情報テーブル１７００に対するポリシ設定）。各ＶＬＡＮインターフェース１６００で付与・削除された内部フラグ、タグに基づくマッピング制御を実行する。そして、対応付け（該当のサービスＩＤに対し、どのＩＰｓｅｃ−ＩＤをどのＶＬＡＮ−ＩＤに対応付けるか）を決定し、図１７に示した管理情報テーブル１７００のエントリに書き込む。（１ＶＰＮに複数ＶＬＡＮの対応付けも可能である。

ここで、拠点ルータ１３３の動作について図１７に示した拠点ルータ１３３の管理情報テーブル１７００を用いて、具体的に説明する。ＩＰｓｅｃ−ＶＰＮが事前に設定されており、パス制御サーバ１１１からＶＬＡＮ構築依頼を受けた時、ＶＬＡＮを動的に構築してＩＰｓｅｃ−ＶＰＮに括り付ける設定動作、および設定された経路を使ってパケットが中継処理される動作を説明する。

事前に、管理者が管理コンソールなどから拠点ルータ１３３およびセンタルータ１２１にＩＰｓｅｃ設定コマンド（既存のルータ機能として標準的に具備されるもの）を発行し、拠点ルータ１３３とセンタルータ１２１の間にＩＰｓｅｃを設定する。ここで、サービスＩＤ＝１０００の業務サービスに対し、当該業務サービスを提供するアプリサーバ１２２を収容するセンタルータ１２１との間にＩＰｓｅｃを設定することとし、このＩＰｓｅｃに対する識別子としてＩＰＳＥＣ−ＩＤ（ＩＰｓｅｃの決定する値）として“５”を得たものとする。

このＩＰＳＥＣ−ＩＤ（＝５）を、スイッチング機能１６０２にポリシとして保持される拠点ルータ１３３の管理情報テーブル１７００に、エントリとしてサービスＩＤとあわせて追加しておく。すなわち、図１７の（Ａ）に示したＶＬＡＮ構築依頼受付前の管理情報テーブル１７００において、サービスＩＤ＝１０００の業務サービスについてのＩＰＳＥＣ−ＩＤは“５”と書き込まれる（図中、網掛け表示）。

この状態では拠点１０３内ＶＬＡＮとの括り付けはないため、項番１のエントリのＶＬＡＮ−ＩＤの項はφ（ｄｏｎ‘ｔ ｃａｒｅ）となっている。つまり、本ＩＰｓｅｃは特別な制限なくどのパケットも扱うことができる。この時、このＩＰｓｅｃインターフェース１６１０に対し、追加情報１６２０としてフラグ値“０”（通常のＩＰ処理；デフォルト値）とスイッチタグＩＤであるｓｗ＿ｔａｇ値“５”を対応付けておく。

つぎに、パス制御サーバ１１１から（１）ＶＬＡＮ構築依頼（ＶＬＡＮタグ値＝１０２，サービスＩＤ＝１０００）を受け付けたとする。拠点ルータ１３３のルータ制御機能１６０１で本ＶＬＡＮ構築依頼を解釈し、（２）ＶＬＡＮ作成と（３）ＩＰｓｅｃとの括り付け設定を行う。具体的には、拠点ルータ１３３のＶＬＡＮ設定コマンド（既存のルータ機能として標準的に具備されるもの）をクライアント１３１側のＩＦに発行し、ＶＬＡＮ−ＩＤ（ＶＬＡＮタグ値）が“１０２”であるＶＬＡＮを作成する。

つぎに、図１７（Ａ）の管理情報テーブル１７００から、サービスＩＤ＝１０００のエントリを検索すると、項番１のエントリがマッチする。本エントリのＶＬＡＮ−ＩＤがφなので、これをクライアント１３１側のＩＦに発行したＶＬＡＮ−ＩＤの値“１０２”に書き替えて、当該エントリを更新する。

図１７（Ｂ）は、更新後の管理情報テーブル１７００を示している。さらに、２つのインターフェース（ＶＬＡＮインターフェース１６００とＩＰｓｅｃインターフェース１６１０）に関係付けられた追加情報１６２０のフラグ値をデフォルトの“０”から“１”（スイッチング機能１６０２による処理）にセットする。以上の操作により、ＶＬＡＮとＩＰｓｅｃの括り付けが設定される。

このように設定された経路に対し、クライアント１３１より当該ＶＬＡＮを経由して受信したパケットを中継処理する際の動作について説明する。パケット到着時、ＶＬＡＮのインターフェースであるＶＬＡＮインターフェース１６００でパケット受信を検知する。

ここでＶＬＡＮインターフェース１６００は上述した動作でフラグ値が“１”（上位のスイッチング機能１６０２による処理）に設定されているため、本パケット自体に対して、ＶＬＡＮインターフェース１６００で保持されている追加情報１６２０をポインタの形で付与する。ここで、付与される値は、フラグ値＝１，ｓｗ＿ｔａｇ＝１０２（ＶＬＡＮ−ＩＤ）である。

図１６に示した分岐ポイントＰ１では、パケットに付与されたフラグ値を判定し、“１”であることからＩＰ処理へは渡さずにスイッチング機能１６０２に直接渡す（図１６中、点線矢印Ｌ１で表記）。

スイッチング機能１６０２では、図１７（Ｂ）の管理情報テーブルを検索し、そのＶＬＡＮ−ＩＤが当該パケットからポインタされるスイッチタグＩＤ（ｓｗ＿ｔａｇ＝１０２）に一致する項番１のエントリがマッチする。このエントリのＩＰＳＥＣ−ＩＤが“５”であることから、本パケットを該当するインターフェースであるＩＰｓｅｃインターフェース１６１０から送出することを決定する。そして、パケットは、ＩＰｓｅｃインターフェース１６１０に向けて、フラグ値およびスイッチタグＩＤの追加情報１６２０をポインタとして付したまま渡される。

図１６の分岐ポイントＰ２では、パケットに付与されたフラグ値を判定し、“１”であることからＩＰ処理へは渡さずに宛先インターフェースであるＩＰｓｅｃインターフェース１６１０に直接渡す（図１６中、点線矢印Ｌ２で表記）。本パケットを受けたＩＰｓｅｃインターフェース１６１０は、パケットをＩＰｓｅｃインターフェース１６１０からＷＡＮ部ＶＰＮ１４０を経由してセンタルータ１２１に送出する。

このように、上述した拠点ルータ１３３では、制御レイヤの異なる仮想リンク間でのクローズドなマッピング処理が可能になる。このマッピング処理は、内部フラグによる振分けにより、通常パケット処理と共存が可能である。本機能は、ルータの既存機能（ルーティング機能およびフィルタ機能）で行った場合に比べて、高速な処理が可能であり、また設定も簡易化される。すなわち、本機能では仮想リンクの識別子を指定すればよいのに対し、既存機能では拠点１０３や業務センタ１０２のＩＰアドレスを逐一詳細に設定する必要がある。

なお、図１６および図１７では、拠点ルータ１３３について説明したが、センタルータ１２１の動作についても同様である。すなわち、センタルータ１２１は基本的に拠点ルータ１３３と左右対称な動作を実行するものであり、クライアント１３１からアプリサーバ１２２への方向に対し、入側がＷＡＮ１０４（ＩＰＳＥＣを設定）、出側がＬＡＮ側（ＶＬＡＮを設定）となる。

センタルータ１２１では、原則として事前にＷＡＮ部ＶＰＮ１４０と業務センタ部ＶＬＡＮ１５０を設定し、括り付けまで行っておく。したがって、拠点ルータ１３３について説明したＩＰＳＥＣ事前設定およびＶＬＡＮ動的設定を、管理者がすべて管理コンソールなどから事前設定で行っておく。設定順序は、拠点ルータ１３３と同様である。なお、ＷＡＮ部ＶＰＮ１４０および業務センタ部ＶＬＡＮ１５０は必ずしも事前設定である必要はなく、クライアント１３１からのリクエストを受けたパス制御サーバ１１１から、動的に設定するように構成することも可能である。

また、パケットが到着した時の動作は、拠点ルータ１３３の場合と同様である。センタルータ１２１においては、拠点ルータ１３３で示したＶＬＡＮ側からＩＰＳＥＣ側への中継処理が、業務センタ部ＶＬＡＮ１５０からＷＡＮ部ＶＰＮ１４０への中継（アプリサーバ１２２からクライアント１３１への方向）に相当するが、逆方向であるＷＡＮ部ＶＰＮ１４０から業務センタ部ＶＬＡＮ１５０への中継（クライアント１３１からアプリサーバ１２２への方向）についても動作は同様である。

このように、上述した実施の形態では、拠点１０３内で、各ユーザがサービス毎にアイソレート（セキュリティ分離）されたＶＬＡＮをダイナミック（動的）に設定することで、セキュアな状態で業務サービス（ＷＡＮ部ＶＰＮ１４０＋業務センタ部ＶＬＡＮ１５０＋業務アプリ１２４）にエンド・ツー・エンドのアクセスすることが可能となる。

また、クライアント１３１で、ＣＬプロセス１３５を対応する仮想ネットワークに括り付けることにより、複数の業務サービスに対して相互のデータの混在を防止してアクセスすることができる。また、ＷＡＮ部ＶＰＮ１４０およびセンタ部ＶＬＡＮをサービス単位で事前設定し、ネットワークでトラフィックを集約して扱うことができる。さらに、業務サービスへのアクセス権限のないユーザのリクエストを拠点ルータ１３３ではじき、ＷＡＮ１０４やパス制御サーバ１１１のリソースを使わせないことも可能となる。

以上のことから、従来は、拠点１０３内は通常何もしないため、拠点１０３内のセキュリティが低かったが、上述した実施の形態では、業務サービス毎のエンド・ツー・エンドのセキュリティを提供することができる。また、従来は、クライアント１３１内ではデータは混在しており、サービス間のセキュリティが低かったが、本実施の形態により、クライアント１３１でのサービス間のセキュリティを提供することができる。

さらに、従来は、ＳＳＬ−ＶＰＮではＴＣＰコネクション毎でエンドの処理が重いため拡張性が低いが、上述した実施の形態では、トラフィック集約およびネットワークでのアクセス制限による大規模システムに対するスケーラビリティを提供することができる。

なお、本実施の形態で説明した仮想網構築方法は、予め用意されたプログラムをパーソナル・コンピュータやワークステーション等のコンピュータで実行することにより実現することができる。このプログラムは、ハードディスク、フレキシブルディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ等のコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行される。またこのプログラムは、インターネット等のネットワークを介して配布することが可能な媒体であってもよい。

また、本実施の形態で説明した仮想網構築装置（パス制御サーバ１１１、クライアント１３１、拠点ルータ１３３、またはセンタルータ１２１）は、スタンダードセルやストラクチャードＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）などの特定用途向けＩＣ（以下、単に「ＡＳＩＣ」と称す。）やＦＰＧＡなどのＰＬＤ（Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｄｅｖｉｃｅ）によっても実現することができる。具体的には、たとえば、上述した仮想網構築装置の機能をＨＤＬ記述によって機能定義し、そのＨＤＬ記述を論理合成してＡＳＩＣやＰＬＤに与えることにより、仮想網構築装置を製造することができる。

上述した実施の形態に関し、さらに以下の付記を開示する。

（付記１）特定のサービスを提供するためにセンタ内に構築された第１の仮想網および当該第１の仮想網に連結された仮想プライベート網を介して前記センタ内の前記特定のサービスを提供するサーバと通信可能な拠点内のルータと、前記拠点内において前記ルータと通信可能なクライアントと、にアクセス可能なコンピュータを、
前記クライアントからの認証要求に基づいて、前記クライアントを認証する認証手段、
前記認証要求と前記認証手段によって認証されたクライアントからのサービス要求とを受け付ける受付手段、
前記受付手段によって前記サービス要求が受け付けられた場合、前記拠点内のルータの中から前記クライアントに関するネットワークアドレスに関連付けされたルータに関するＩＰアドレスを抽出する抽出手段、
前記抽出手段によって抽出されたＩＰアドレスにより特定される前記拠点内の特定のルータと前記クライアントとの間に構築する第２の仮想網に関する固有の識別情報を設定する設定手段、
前記設定手段によって設定された前記第２の仮想網に関する固有の識別情報に前記特定のサービスの識別情報を関連付けた前記第２の仮想網の構築要求を生成する生成手段、
前記生成手段によって生成された前記第２の仮想網の構築要求を、前記クライアントおよび前記特定のルータに送信する送信手段、
として機能させることを特徴とする仮想網構築プログラム。

（付記２）前記送信手段は、
前記認証手段によって認証されたクライアントに提供可能なサービスを起動するソフトを前記クライアントに送信し、
前記抽出手段は、
前記クライアントにより前記提供可能なサービスの中から前記特定のサービスが起動された場合、前記拠点内のルータの中から前記クライアントに関するネットワークアドレスに関連付けされたルータに関するＩＰアドレスを抽出することを特徴とする付記１に記載の仮想網構築プログラム。

（付記３）前記送信手段は、
前記認証手段によって認証されたクライアントに提供可能なサービスの識別情報を前記クライアントに送信し、
前記抽出手段は、
前記クライアントにより前記提供可能なサービスの中から前記特定のサービスが起動された場合、前記拠点内のルータの中から前記クライアントに関するネットワークアドレスに関連付けされたルータに関するＩＰアドレスを抽出することを特徴とする付記１に記載の仮想網構築プログラム。

（付記４）前記生成手段は、
前記クライアントが実行する前記特定のサービスに関するプロセスと前記仮想プライベート網との連結指示を生成し、
前記送信手段は、
前記第２の仮想網の構築要求とともに、前記連結指示を前記クライアントおよび前記特定のルータに送信することを特徴とする付記１〜３のいずれか一つに記載の仮想網構築プログラム。

（付記５）特定のサービスを提供するためにセンタ内に構築された第１の仮想網および当該第１の仮想網に連結された仮想プライベート網を介して前記センタ内の前記特定のサービスを提供するサーバと通信可能な拠点内のルータに対して通信可能なクライアントを制御するコンピュータを、
前記特定のサービスに関するプロセスの起動を検出する検出手段、
前記拠点内のルータの中から選ばれた特定のルータと前記クライアントとの間に構築する第２の仮想網に関する固有の識別情報に前記特定のサービスの識別情報を関連付けた前記第２の仮想網の構築要求を受け付ける受付手段、
前記受付手段によって受け付けられた構築要求に基づいて、前記検出手段によって起動が検出された前記特定のサービスに関するプロセスのインターフェースを作成する作成手段、
前記作成手段によってインターフェースが作成された前記特定のサービスに関するプロセスと前記第２の仮想網に関する固有の識別情報とを関連付ける関連付け手段、
前記関連付け手段による関連付け結果に基づいて、前記特定のサービスに関するプロセスと前記特定のルータとの通信をおこなう通信手段、
として機能させることを特徴とする仮想網構築プログラム。

（付記６）特定のサービスを提供するためにセンタ内に構築された第１の仮想網および当該第１の仮想網に連結された仮想プライベート網を介して前記センタ内の前記特定のサービスを提供するサーバと拠点内のクライアントとの通信の中継をおこなうルータを制御するコンピュータを、
前記ルータと前記クライアントとの間に構築する第２の仮想網に関する固有の識別情報に前記特定のサービスの識別情報を関連付けた前記第２の仮想網の構築要求を受け付ける受付手段、
前記受付手段によって前記第２の仮想網の構築要求が受け付けられた場合、前記ルータと前記第２の仮想網とを連結するための第１のインターフェースを作成する作成手段、
前記作成手段によって作成された第１のインターフェースの識別情報と前記仮想プライベート網と前記ルータとを連結する第２のインターフェースの識別情報とを関連付ける関連付け手段、
として機能させることを特徴とする仮想網構築プログラム。

（付記７）前記コンピュータを、
前記第１のインターフェースに受信されたパケットに、前記第２のインターフェースの識別情報を宛先として設定することにより、前記パケットを前記第２のインターフェースに引き渡す中継処理を実行する中継手段として機能させることを特徴とする付記６に記載の仮想網構築プログラム。

（付記８）前記コンピュータを、
前記中継処理と非中継処理のうち前記中継処理を特定するフラグを、前記第１のインターフェースおよび前記中継処理と前記非中継処理との分岐ポイントに設定する設定手段、
前記第１のインターフェースに受信されたパケットに前記フラグを付与する付与手段、
前記分岐ポイントに設定されたフラグと前記パケットに付与されたフラグが一致するか否かを判定する判定手段として機能させ、
前記中継手段は、
前記判定手段によって判定された判定結果に基づいて、前記中継処理を実行することを特徴とする付記７に記載の仮想網構築プログラム。

（付記９）前記コンピュータを、
前記第２のインターフェースに受信されたパケットに、前記第１のインターフェースの識別情報を宛先として設定することにより、前記パケットを前記第１のインターフェースに引き渡す中継手段として機能させることを特徴とする付記６に記載の仮想網構築プログラム。

（付記１０）前記コンピュータを、
前記中継処理と非中継処理のうち前記中継処理を特定するフラグを、前記第２のインターフェースおよび前記中継処理と前記非中継処理との分岐ポイントに設定する設定手段、
前記第２のインターフェースに受信されたパケットに前記フラグを付与する付与手段、
前記分岐ポイントに設定されたフラグと前記パケットに付与されたフラグが一致するか否かを判定する判定手段として機能させ、
前記中継手段は、
前記判定手段によって判定された判定結果に基づいて、前記中継処理を実行することを特徴とする付記９に記載の仮想網構築プログラム。

（付記１１）特定のサービスを提供するためにセンタ内に構築された第１の仮想網および当該第１の仮想網に連結された仮想プライベート網を介して前記センタ内の前記特定のサービスを提供するサーバと通信可能な拠点内のルータと、前記拠点内において前記ルータと通信可能なクライアントと、にアクセス可能な仮想網構築装置であって、
前記クライアントからの認証要求に基づいて、前記クライアントを認証する認証手段と、
前記認証要求と前記認証手段によって認証されたクライアントからのサービス要求とを受け付ける受付手段と、
前記受付手段によって前記サービス要求が受け付けられた場合、前記拠点内のルータの中から前記クライアントに関するネットワークアドレスに関連付けされたルータに関するＩＰアドレスを抽出する抽出手段と、
前記抽出手段によって抽出されたＩＰアドレスにより特定される前記拠点内の特定のルータと前記クライアントとの間に構築する第２の仮想網に関する固有の識別情報を設定する設定手段と、
前記設定手段によって設定された前記第２の仮想網に関する固有の識別情報に前記特定のサービスの識別情報を関連付けた前記第２の仮想網の構築要求を生成する生成手段と、
前記生成手段によって生成された前記第２の仮想網の構築要求を、前記クライアントおよび前記特定のルータに送信する送信手段と、
を備えることを特徴とする仮想網構築装置。

（付記１２）特定のサービスを提供するためにセンタ内に構築された第１の仮想網および当該第１の仮想網に連結された仮想プライベート網を介して前記センタ内の前記特定のサービスを提供するサーバと通信可能な拠点内のルータに対して通信可能な仮想網構築装置であって、
前記特定のサービスに関するプロセスの起動を検出する検出手段と、
前記拠点内のルータの中から選ばれた特定のルータと前記クライアントとの間に構築する第２の仮想網に関する固有の識別情報に前記特定のサービスの識別情報を関連付けた前記第２の仮想網の構築要求を受け付ける受付手段と、
前記受付手段によって受け付けられた構築要求に基づいて、前記検出手段によって起動が検出された前記特定のサービスに関するプロセスのインターフェースを作成する作成手段と、
前記作成手段によってインターフェースが作成された前記特定のサービスに関するプロセスと前記第２の仮想網に関する固有の識別情報とを関連付ける関連付け手段と、
前記関連付け手段による関連付け結果に基づいて、前記特定のサービスに関するプロセスと前記特定のルータとの通信をおこなう通信手段と、
を備えることを特徴とする仮想網構築装置。

（付記１３）特定のサービスを提供するためにセンタ内に構築された第１の仮想網および当該第１の仮想網に連結された仮想プライベート網を介して前記センタ内の前記特定のサービスを提供するサーバと拠点内のクライアントとの通信の中継をおこなう仮想網構築装置であって、
前記ルータと前記クライアントとの間に構築する第２の仮想網に関する固有の識別情報に前記特定のサービスの識別情報を関連付けた前記第２の仮想網の構築要求を受け付ける受付手段と、
前記受付手段によって前記第２の仮想網の構築要求が受け付けられた場合、前記ルータと前記第２の仮想網と連結するための第１のインターフェースを作成する作成手段と、
前記作成手段によって作成された第１のインターフェースの識別情報と前記仮想プライベート網と前記ルータとを連結する第２のインターフェースの識別情報とを関連付ける関連付け手段と、
を備えることを特徴とする仮想網構築装置。

（付記１４）特定のサービスを提供するためにセンタ内に構築された第１の仮想網および当該第１の仮想網に連結された仮想プライベート網を介して前記センタ内の前記特定のサービスを提供するサーバと通信可能な拠点内のルータと、前記拠点内において前記ルータと通信可能なクライアントと、にアクセス可能な仮想網構築方法であって、
前記クライアントからの認証要求に基づいて、前記クライアントを認証する認証工程と、
前記認証要求と前記認証工程によって認証されたクライアントからのサービス要求とを受け付ける受付工程と、
前記受付工程によって前記サービス要求が受け付けられた場合、前記拠点内のルータの中から前記クライアントに関するネットワークアドレスに関連付けされたルータに関するＩＰアドレスを抽出する抽出工程と、
前記抽出工程によって抽出されたＩＰアドレスにより特定される前記拠点内の特定のルータと前記クライアントとの間に構築する第２の仮想網に関する固有の識別情報を設定する設定工程と、
前記設定工程によって設定された前記第２の仮想網に関する固有の識別情報に前記特定のサービスの識別情報を関連付けた前記第２の仮想網の構築要求を生成する生成工程と、
前記生成工程によって生成された前記第２の仮想網の構築要求を、前記クライアントおよび前記特定のルータに送信する送信工程と、
を含んだことを特徴とする仮想網構築方法。

（付記１５）特定のサービスを提供するためにセンタ内に構築された第１の仮想網および当該第１の仮想網に連結された仮想プライベート網を介して前記センタ内の前記特定のサービスを提供するサーバと通信可能な拠点内のルータに対して通信可能な仮想網構築方法であって、
前記特定のサービスに関するプロセスの起動を検出する検出工程と、
前記拠点内のルータの中から選ばれた特定のルータと前記クライアントとの間に構築する第２の仮想網に関する固有の識別情報に前記特定のサービスの識別情報を関連付けた前記第２の仮想網の構築要求を受け付ける受付工程と、
前記受付工程によって受け付けられた構築要求に基づいて、前記検出工程によって起動が検出された前記特定のサービスに関するプロセスのインターフェースを作成する作成工程と、
前記作成工程によってインターフェースが作成された前記特定のサービスに関するプロセスと前記第２の仮想網に関する固有の識別情報とを関連付ける関連付け工程と、
前記関連付け工程による関連付け結果に基づいて、前記特定のサービスに関するプロセスと前記特定のルータとの通信をおこなう通信工程と、
を含んだことを特徴とする仮想網構築方法。

（付記１６）特定のサービスを提供するためにセンタ内に構築された第１の仮想網および当該第１の仮想網に連結された仮想プライベート網を介して前記センタ内の前記特定のサービスを提供するサーバと拠点内のクライアントとの通信の中継をおこなう仮想網構築方法であって、
前記ルータと前記クライアントとの間に構築する第２の仮想網に関する固有の識別情報に前記特定のサービスの識別情報を関連付けた前記第２の仮想網の構築要求を受け付ける受付工程と、
前記受付工程によって前記第２の仮想網の構築要求が受け付けられた場合、前記ルータと前記第２の仮想網と連結するための第１のインターフェースを作成する作成工程と、
前記作成工程によって作成された第１のインターフェースの識別情報と前記仮想プライベート網と前記ルータとを連結する第２のインターフェースの識別情報とを関連付ける関連付け工程と、
を含んだことを特徴とする仮想網構築方法。

本実施の形態にかかる企業ネットワークを示す説明図である。 企業ネットワークにおけるエンド・ツー・エンド仮想ネットワークの構築処理を示す説明図である。 複数の業務サービスを利用する場合のアイソレートされたエンド・ツー・エンド仮想ネットワークを示す説明図である。 図１に示した各構成に付与されているネットワークアドレスを示す説明図である。 パス制御サーバの機能的構成を示すブロック図である。 図５に示したユーザ情報テーブルの記憶内容を示す説明図である。 図５に示した拠点ルータ情報テーブルの記憶内容を示す説明図である。 図５に示した拠点ＶＬＡＮ−ＩＤ情報テーブルの記憶内容を示す説明図である。 クライアント、拠点ルータおよびパス制御サーバ間の動作シーケンス図である。 図９に示したユーザ認証／サービス認可処理（ステップＳ９０２）の詳細な処理手順を示すフローチャートである。 図９に示したＶＬＡＮ箇所決定処理（ステップＳ９０６）の詳細な処理手順を示すフローチャートである。 新規エントリの登録後の拠点ルータ情報テーブルの記憶内容を示す説明図である クライアントの機能を示す説明図である。 クライアントの管理情報テーブルの説明図である。 クライアントのＧＵＩ画面例である。 拠点ルータの機能を示す説明図である。 拠点ルータの管理情報テーブルの記憶内容を示す説明図である。

符号の説明

１００ 企業ネットワーク
１０１ 運用管理センタ
１０２ 業務センタ
１０３ 拠点
１１１ パス制御サーバ
１２１ センタルータ
１２２ アプリサーバ
１３１ クライアント
１３３ 拠点ルータ
１３５ クライアントプロセス
１４０ ＷＡＮ部ＶＰＮ
１５０ 業務センタ部ＶＬＡＮ
１６０ 拠点内ＶＬＡＮ
１７０ エンド・ツー・エンド仮想ネットワーク
５１０ ユーザ情報テーブル
５２０ 拠点ルータ情報テーブル
５３０ 拠点ＶＬＡＮ−ＩＤ情報テーブル
１３０１ クライアント制御機能
１３０２ マッピング処理機能
１４００ クライアントの管理情報テーブル
１６０１ ルータ制御機能
１６０２ スイッチング機能
１６２０ 追加情報
１７００ 拠点ルータの管理情報テーブル

Claims (8)

1. 特定のサービスを提供するためにセンタ内に構築された第１の仮想網および当該第１の仮想網に連結された仮想プライベート網を介して前記センタ内の前記特定のサービスを提供するサーバと通信可能な拠点内のルータと、前記拠点内において前記ルータと通信可能なクライアントと、にアクセス可能なコンピュータを、
   前記クライアントからの認証要求に基づいて、前記クライアントを認証する認証手段、
   前記認証要求と前記認証手段によって認証されたクライアントからのサービス要求とを受け付ける受付手段、
   前記受付手段によって前記サービス要求が受け付けられた場合、前記拠点内のルータの中から前記クライアントに関するネットワークアドレスに関連付けされたルータに関するＩＰアドレスを抽出する抽出手段、
   前記抽出手段によって抽出されたＩＰアドレスにより特定される前記拠点内の特定のルータと前記クライアントとの間に構築する第２の仮想網に関する固有の識別情報を設定する設定手段、
   前記設定手段によって設定された前記第２の仮想網に関する固有の識別情報に前記特定のサービスの識別情報を関連付けた前記第２の仮想網の構築要求を生成する生成手段、
   前記生成手段によって生成された前記第２の仮想網の構築要求を、前記クライアントおよび前記特定のルータに送信する送信手段、
   として機能させることを特徴とする仮想網構築プログラム。
2. 特定のサービスを提供するためにセンタ内に構築された第１の仮想網および当該第１の仮想網に連結された仮想プライベート網を介して前記センタ内の前記特定のサービスを提供するサーバと通信可能な拠点内のルータに対して通信可能なクライアントを制御するコンピュータを、
   前記特定のサービスに関するプロセスの起動を検出する検出手段、
   前記拠点内のルータの中から選ばれた特定のルータと前記クライアントとの間に構築する第２の仮想網に関する固有の識別情報に前記特定のサービスの識別情報を関連付けた前記第２の仮想網の構築要求を受け付ける受付手段、
   前記受付手段によって受け付けられた構築要求に基づいて、前記検出手段によって起動が検出された前記特定のサービスに関するプロセスのインターフェースを作成する作成手段、
   前記作成手段によってインターフェースが作成された前記特定のサービスに関するプロセスと前記第２の仮想網に関する固有の識別情報とを関連付ける関連付け手段、
   前記関連付け手段による関連付け結果に基づいて、前記特定のサービスに関するプロセスと前記特定のルータとの通信をおこなう通信手段、
   として機能させることを特徴とする仮想網構築プログラム。
3. 特定のサービスを提供するためにセンタ内に構築された第１の仮想網および当該第１の仮想網に連結された仮想プライベート網を介して前記センタ内の前記特定のサービスを提供するサーバと拠点内のクライアントとの通信の中継をおこなうルータを制御するコンピュータを、
   前記ルータと前記クライアントとの間に構築する第２の仮想網に関する固有の識別情報に前記特定のサービスの識別情報を関連付けた前記第２の仮想網の構築要求を受け付ける受付手段、
   前記受付手段によって前記第２の仮想網の構築要求が受け付けられた場合、前記ルータと前記第２の仮想網とを連結するための第１のインターフェースを作成する作成手段、
   前記作成手段によって作成された第１のインターフェースの識別情報と前記仮想プライベート網と前記ルータとを連結する第２のインターフェースの識別情報とを関連付ける関連付け手段、
   として機能させることを特徴とする仮想網構築プログラム。
4. 特定のサービスを提供するためにセンタ内に構築された第１の仮想網および当該第１の仮想網に連結された仮想プライベート網を介して前記センタ内の前記特定のサービスを提供するサーバと通信可能な拠点内のルータと、前記拠点内において前記ルータと通信可能なクライアントと、にアクセス可能な仮想網構築装置であって、
   前記クライアントからの認証要求に基づいて、前記クライアントを認証する認証手段と、
   前記認証要求と前記認証手段によって認証されたクライアントからのサービス要求とを受け付ける受付手段と、
   前記受付手段によって前記サービス要求が受け付けられた場合、前記拠点内のルータの中から前記クライアントに関するネットワークアドレスに関連付けされたルータに関するＩＰアドレスを抽出する抽出手段と、
   前記抽出手段によって抽出されたＩＰアドレスにより特定される前記拠点内の特定のルータと前記クライアントとの間に構築する第２の仮想網に関する固有の識別情報を設定する設定手段と、
   前記設定手段によって設定された前記第２の仮想網に関する固有の識別情報に前記特定のサービスの識別情報を関連付けた前記第２の仮想網の構築要求を生成する生成手段と、
   前記生成手段によって生成された前記第２の仮想網の構築要求を、前記クライアントおよび前記特定のルータに送信する送信手段と、
   を備えることを特徴とする仮想網構築装置。
5. 特定のサービスを提供するためにセンタ内に構築された第１の仮想網および当該第１の仮想網に連結された仮想プライベート網を介して前記センタ内の前記特定のサービスを提供するサーバと通信可能な拠点内のルータに対して通信可能な仮想網構築装置であって、
   前記特定のサービスに関するプロセスの起動を検出する検出手段と、
   前記拠点内のルータの中から選ばれた特定のルータと前記クライアントとの間に構築する第２の仮想網に関する固有の識別情報に前記特定のサービスの識別情報を関連付けた前記第２の仮想網の構築要求を受け付ける受付手段と、
   前記受付手段によって受け付けられた構築要求に基づいて、前記検出手段によって起動が検出された前記特定のサービスに関するプロセスのインターフェースを作成する作成手段と、
   前記作成手段によってインターフェースが作成された前記特定のサービスに関するプロセスと前記第２の仮想網に関する固有の識別情報とを関連付ける関連付け手段と、
   前記関連付け手段による関連付け結果に基づいて、前記特定のサービスに関するプロセスと前記特定のルータとの通信をおこなう通信手段と、
   を備えることを特徴とする仮想網構築装置。
6. 特定のサービスを提供するためにセンタ内に構築された第１の仮想網および当該第１の仮想網に連結された仮想プライベート網を介して前記センタ内の前記特定のサービスを提供するサーバと拠点内のクライアントとの通信の中継をおこなう仮想網構築装置であって、
   前記ルータと前記クライアントとの間に構築する第２の仮想網に関する固有の識別情報に前記特定のサービスの識別情報を関連付けた前記第２の仮想網の構築要求を受け付ける受付手段と、
   前記受付手段によって前記第２の仮想網の構築要求が受け付けられた場合、前記ルータと前記第２の仮想網と連結するための第１のインターフェースを作成する作成手段と、
   前記作成手段によって作成された第１のインターフェースの識別情報と前記仮想プライベート網と前記ルータとを連結する第２のインターフェースの識別情報とを関連付ける関連付け手段と、
   を備えることを特徴とする仮想網構築装置。
7. 特定のサービスを提供するためにセンタ内に構築された第１の仮想網および当該第１の仮想網に連結された仮想プライベート網を介して前記センタ内の前記特定のサービスを提供するサーバと通信可能な拠点内のルータと、前記拠点内において前記ルータと通信可能なクライアントと、にアクセス可能な仮想網構築方法であって、
   前記クライアントからの認証要求に基づいて、前記クライアントを認証する認証工程と、
   前記認証要求と前記認証工程によって認証されたクライアントからのサービス要求とを受け付ける受付工程と、
   前記受付工程によって前記サービス要求が受け付けられた場合、前記拠点内のルータの中から前記クライアントに関するネットワークアドレスに関連付けされたルータに関するＩＰアドレスを抽出する抽出工程と、
   前記抽出工程によって抽出されたＩＰアドレスにより特定される前記拠点内の特定のルータと前記クライアントとの間に構築する第２の仮想網に関する固有の識別情報を設定する設定工程と、
   前記設定工程によって設定された前記第２の仮想網に関する固有の識別情報に前記特定のサービスの識別情報を関連付けた前記第２の仮想網の構築要求を生成する生成工程と、
   前記生成工程によって生成された前記第２の仮想網の構築要求を、前記クライアントおよび前記特定のルータに送信する送信工程と、
   を含んだことを特徴とする仮想網構築方法。
8. 特定のサービスを提供するためにセンタ内に構築された第１の仮想網および当該第１の仮想網に連結された仮想プライベート網を介して前記センタ内の前記特定のサービスを提供するサーバと通信可能な拠点内のルータに対して通信可能な仮想網構築方法であって、
   前記特定のサービスに関するプロセスの起動を検出する検出工程と、
   前記拠点内のルータの中から選ばれた特定のルータと前記クライアントとの間に構築する第２の仮想網に関する固有の識別情報に前記特定のサービスの識別情報を関連付けた前記第２の仮想網の構築要求を受け付ける受付工程と、
   前記受付工程によって受け付けられた構築要求に基づいて、前記検出工程によって起動が検出された前記特定のサービスに関するプロセスのインターフェースを作成する作成工程と、
   前記作成工程によってインターフェースが作成された前記特定のサービスに関するプロセスと前記第２の仮想網に関する固有の識別情報とを関連付ける関連付け工程と、
   前記関連付け工程による関連付け結果に基づいて、前記特定のサービスに関するプロセスと前記特定のルータとの通信をおこなう通信工程と、
   を含んだことを特徴とする仮想網構築方法。

Images