JP4721082B1 - Ｖｐｎ接続システム - Google Patents

Abstract

【課題】仮想サーバ等に対しＶＰＮ接続設定を自動的に行うことにより、通信の安全性・信頼性と、ユーザの利便性とを向上させることができるＶＰＮ接続システムを提供すること。
【解決手段】
仮想サーバ１１に対して通信可能に接続されるＶＰＮ制御システム３０であって、仮想サーバ１１の起動制御を行うサーバ起動処理部４１ａと、仮想サーバ１１とＶＰＮ接続を行うＶＰＮサーバ７０とを備え、サーバ起動処理部４１ａは、仮想サーバ１１の起動制御を行う際に、当該仮想サーバ１１がＶＰＮサーバ７０とＶＰＮ接続を行うために当該仮想サーバ１１に設定すべき接続設定情報を生成し、当該生成した接続設定情報を当該仮想サーバ１１に送信することにより、当該送信された接続設定情報に基づく設定を当該仮想サーバ１１に行わせる。
【選択図】図１

Description

本発明は、例えば複数のサーバにより構成されるサーバ群に対し、ＶＰＮ（仮想プライベートネットワーク）接続を自動的に行うＶＰＮ接続システムに関する。

近年、ネットワークを介して各種のサービス（アプリケーション等）を利用することができるクラウド・コンピューティングが急速に普及している。このクラウド・コンピューティングにおいて、ユーザは、自ら費用と時間をかけてサーバを構築することなくサービスを利用することができ、自己のニーズに応じてサービスの種類や量を容易に変更することができる。

このようなクラウド・コンピューティングの普及に伴い、多くの事業者がクラウド・コンピューティング用のサーバを有料で提供し始めており、ユーザはその中から自己のニーズや予算等に合致したサーバを選択して、サービスを利用することができる（例えば特許文献１の段落００２３及び図１）。あるいは、ユーザによっては、自社内にクラウド・コンピューティング用のサーバを設けてサービスを利用している。

しかしながら、クラウドを利用する場合には通信の安全性・信頼性の問題が生じ得る。特に、インターネット上で提供されるクラウド（いわゆるパブリッククラウド）を利用する場合には、ユーザ側のネットワーク（例えばユーザ端末や社内サーバによる社内ネットワーク）とクラウドとの間の通信の安全性・信頼性を確保することが非常に重要である。

このような通信の安全性・信頼性を確保するため、インターネットＶＰＮ（仮想プライベートネットワーク）を利用して、パブリッククラウド上でいわば仮想的なプライベートクラウドを提供するサービスも行われている（例えば、Ａｍａｚｏｎが提供しているＡｍａｚｏｎ ＶＰＣのサービス）。通常のパブリッククラウドでは、クラウド内の各仮想サーバにプライベートＩＰアドレスとパブリックＩＰアドレスが割り当てられ、クラウド内の仮想サーバ間の通信はプライベートＩＰアドレスにより行われ、当該クラウド外の端末装置やサーバ等との通信はパブリックＩＰアドレスにより行われる。

これに対し、インターネットＶＰＮを利用した場合には、クラウド外部からのアクセス（パブリックＩＰアドレスによるアクセス）を社内ネットワーク（内のユーザ端末や社内サーバ）からのみに限定し、それ以外の端末装置やサーバからのアクセスを遮断する。また、上述のＡｍａｚｏｎ ＶＰＣでは、各仮想サーバにプライベートＩＰアドレスのみを割り当て、クラウドと社内ネットワークとの通信はプライベートＩＰアドレスを利用したＶＰＮ接続により行い、それ以外からのクラウドへのアクセスを遮断する。このようにして、パブリッククラウドを利用する場合においても、通信の安全性・信頼性を確保することができる。

特開２０１０−０５０９８８号公報

しかしながら、従来のＶＰＮ接続では、１）ＶＰＮ接続を設定する際の作業性、２）ＶＰＮ接続が確立されるまでの通信の安全性・信頼性、３）複数のクラウドを利用する際の利便性に関して、それぞれ以下のような問題があった。

まず、ＶＰＮ接続を設定する際の作業性に関して説明すると、クラウド側の各サーバや社内ネットワークのユーザ端末や社内サーバ、ファイアウォール等のネットワーク機器に対して、ユーザが手動でＶＰＮ接続のための様々な情報を設定する必要があり、ユーザにとって負担となっていた。特に、クラウド内の各仮想サーバに付与されるＩＰアドレスは、これら仮想サーバが起動される毎に動的に付与されるため、このＩＰアドレスを用いてＶＰＮ接続の設定をユーザが手動で行うことは極めて困難であった。

次いで、ＶＰＮ接続が確立されるまでの通信の安全性・信頼性に関して説明すると、仮想サーバの起動後ユーザによるＶＰＮ接続の設定が完了するまでは、ユーザ（社内ネットワーク）とクラウドとの間で通常のインターネット通信が行われることとなり、通信の安全性・信頼性を確保することができなかった。特に、上述のようにＶＰＮ接続の設定をユーザが手動で行う場合には、この設定に時間がかかるほど通信の危険性が増大していた。

さらに、複数のクラウドを利用する際の利便性に関して説明すると、クラウド毎にＶＰＮ接続の設定方法が異なりうるため、各々の設定方法を一人のユーザが把握して設定を行うことは極めて困難であった。また、クラウド上で利用するサービスとしては、顧客情報管理システムのように外部からアクセスされたくない社内システムや、ＥＣサイトのように一般公開され外部からアクセスされる社外向けサービスなど様々なものが想定されるが、ＶＰＮに関する仕様がクラウド毎に異なるために、ユーザがサービスの特徴に応じてどのクラウドを利用すべきか等を考慮しなければならず、ユーザがサーバの場所や特性を意識することなく柔軟に利用することができるというクラウドの利便性を十分に享受できないという問題があった。

本発明は、上記に鑑みてなされたものであって、仮想サーバ等に対しＶＰＮ接続設定を自動的に行うことにより、通信の安全性・信頼性と、ユーザの利便性とを向上させることができるＶＰＮ接続システムを提供することを目的とする。

上述した課題を解決し、目的を達成するために、請求項１に記載のＶＰＮ接続システムは、サーバの起動制御を行うサーバ起動手段と、サーバとＶＰＮ接続を行うＶＰＮ接続手段と、サーバのサーバ名とＶＰＮ接続用のＩＰアドレスとを関連付けて格納するＩＰアドレス管理手段とを備え、サーバ起動手段は、サーバの起動制御を行う際に、ＶＰＮ接続を行うためにサーバに設定すべき接続設定情報であってＶＰＮ接続手段のアドレス情報を含んだ接続設定情報を生成して当該サーバに送信することにより、当該送信された接続設定情報に基づく設定を当該サーバに行わせる。
これにより、サーバの起動時にＶＰＮ接続の設定が自動的に行われるので、ユーザのＶＰＮ接続設定の負担が軽減される。また、サーバの起動直後に、仮想サーバ側のみでＶＰＮ接続設定が行われるため、通信の安全性が早急に確保される。
また、ＩＰアドレス管理手段へのサーバ名及びＩＰアドレスの格納が自動的に行われるので、ＩＰアドレス管理手段によるアドレス解決を行うことが可能となり、その後のサーバへのＶＰＮ接続によるアクセスが可能になる。

また、請求項２に記載のＶＰＮ接続システムは、送信先となるサーバのＩＰアドレスの種別を特定するためのＩＰ選択テーブルを格納するＩＰ選択テーブル格納手段を備え、ＩＰ選択テーブルは、ＶＰＮ接続が行われたサーバを送信先とした場合のＩＰアドレスの種別が、ＶＰＮ接続用のＩＰアドレスであることを特定するための情報を格納し、このサーバを送信先とした通信を行う際、ＶＰＮ接続用のＩＰアドレスをＩＰアドレス管理手段から取得する。
これにより、ＶＰＮ接続設定後において、サーバ間のデータ送受信等が必要な場合に、送信先としてＶＰＮ接続用のＩＰアドレスが自動的に設定される。

また、請求項３に記載のＶＰＮ接続システムは、サーバ起動手段は、サーバの起動制御を行う際に、サーバが接続設定情報に基づくＶＰＮ接続の設定を行うことができないと判定した場合には、暗号通信用の所定プロトコルにより当該サーバにアクセスしてＶＰＮ接続の設定を行う。
これにより、クラウド・コンピューティング等、仕様の異なる複数のサーバを利用する場合にも、自動的に適切なＶＰＮ接続設定が行われる。

本発明のＶＰＮ接続システムによれば、サーバとの通信においてＶＰＮ接続設定が自動的になされるため、安全で信頼性の高い通信を行うことができる。

本発明のＶＰＮ接続システムを含んだネットワークシステムを機能概念的に示すブロック図である。 ＩＰ選択テーブルの構成例を示す図である。 サーバ起動処理のフローチャートである。 接続設定情報を使用したＶＰＮ接続設定処理のフローチャートである。 接続設定情報を使用しないＶＰＮ接続設定処理のフローチャートである。

以下に添付図面を参照して、この発明に係るＶＰＮ接続システムの実施の形態を詳細に説明する。ただし、当該実施の形態によって本発明が限定されるものではない。

（構成）
図１は、本実施の形態に係るＶＰＮ接続システム３０を含んだネットワークシステムを機能概念的に示すブロック図である。このネットワークシステム１は、サーバ群１０ａ〜１０ｄ、社内ネットワーク２０、及び通信ネットワーク１００を備えており、通信ネットワーク１００を介して、サーバ群１０ａ〜１０ｄに含まれる各サーバと社内ネットワーク２０とを相互に通信可能に接続して構成されている。また、社内ネットワーク２０は、例えばＬＡＮ等のイントラネットにより構築された社内環境であり、本実施の形態では、サーバ群１０ｄ、ＶＰＮ接続システム３０、端末装置８０を含んでいる。

（構成−サーバ群）
サーバ群１０ａ〜１０ｄは、端末装置８０に対して各種サービス（アプリケーション）を提供するサーバ群である。このようなサービス提供の形態としては、代表的にはクラウド・コンピューティング・サービス（以下、単に「クラウド」と称する）があるが、これに限定されず、従来のオンデマンド・コンピューティング、ユーティリティ・コンピューティング、あるいはユビキタス・コンピューティング等のサービスを含む。
このサーバ群１０ａ〜１０ｄは、それぞれ、同一又は異なるクラウド事業者が提供するクラウドサーバ（１又は複数の物理サーバで構成）であり、ユーザはこのクラウドサーバ上に仮想サーバ１１を構成して各種サービス（アプリケーション）を利用する。以下では、単に「サーバ」という場合には、仮想サーバを意味するものとする。

サーバ群１０ａ〜１０ｃは、通信ネットワーク１００を介して提供されるいわゆるパブリッククラウドの例である。一方、サーバ群１０ｄは、社内ネットワーク２０内にクラウドサーバを設置して提供されるいわゆるプライベートクラウドの例である。図１には、従来の一般的なパブリッククラウドとして提供されるサーバ群１０ａ、プライベートＩＰアドレスを用いてＶＰＮ（仮想プライベートネットワーク）接続を行い、通信ネットワーク１００（インターネット）上で仮想的なプライベートクラウドを実現するサーバ群１０ｂ（例えば、Ａｍａｚｏｎが提供しているＡｍａｚｏｎ ＶＰＣ）、社内ネットワーク２０との間ではＶＰＮ接続による通信を行うが、社内ネットワーク２０外の端末やサーバ等からは通信ネットワーク１００（インターネット）を介した通常の通信を行うサーバ群１０ｃ、従来の一般的なプライベートクラウドとして提供されるサーバ群１０ｄを例示している。

サーバ群１０ａ〜１０ｄの各仮想サーバ１１上では、ユーザが利用する複数のサービス（アプリケーション）がインストールされる他、以下のものを備える。
すなわち、サーバ群１０ｃには社内ネットワーク２０とのＶＰＮ接続を行うためのＶＰＮ接続クライアント１２を備える。このＶＰＮ接続クライアント１２としては、公知のＶＰＮ接続用のソフトウェア（例えばＯｐｅｎＶＰＮ）におけるクライアントソフトウェアを用いることができる。
また、サーバ群１０ｂには、社内ネットワーク２０（の専用ファイアウォール９１）との間のみの通信を許容し、社内ネットワーク２０外の端末装置やサーバ等からのアクセスを遮断する専用ファイアウォール１３を備える。

（構成−ＶＰＮ接続システム）
ＶＰＮ接続システム３０は、起動される仮想サーバ１１に対しＶＰＮ接続が必要か（あるいは可能か）を判断し、必要な場合にＶＰＮ接続の設定を行うシステムである。このＶＰＮ接続システム３０は、主制御サーバ４０、ＤＮＳサーバ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍサーバ）６０、ＶＰＮサーバ７０、専用ファイアウォール９１を備える。

（構成−ＶＰＮ接続システム−主制御サーバ）
主制御サーバ４０は、ＶＰＮ接続システム３０の中心的な機能を提供するサーバであり、制御部４１及び記憶部４２から構成されている。なお、特記する場合を除き、主制御サーバ４０は通常のＷｅｂサーバと同様に構成することができるので、その説明は省略する（以下の各サーバの説明においても同様）。

制御部４１は、端末装置８０からのユーザの操作等により、サーバ群１０ａ〜１０ｄ上で仮想サーバ１１や各仮想サーバ上のサービスの起動・停止等の処理を行う手段（プログラム）である。この制御部４１は、少なくとも、機能概念的に、サーバ起動処理部（サーバ起動手段）４１ａ及びサーバ停止処理部４１ｂを備えて構成されている。

記憶部４２は、制御部４１の各処理部に必要な情報等を格納する手段であり、少なくとも、機能概念的に、ＩＰ選択テーブル４２ａを備える。

ＩＰ選択テーブル４２ａは、送信元となる仮想サーバ１１と送信先となる仮想サーバ１１の組み合わせに応じて選択されるべきＩＰアドレスの種別であって、送信先となるサーバ１１のＩＰアドレスの種別を特定するためのテーブルである。以降、まずＩＰアドレスの種別について説明し、次にＩＰ選択テーブル４２ａの構成について説明する。
各仮想サーバ１１へのＩＰアドレス割当の仕様は、提供されるクラウドにより異なりうる。例えば、図１に示したクラウドの例（サーバ群１０ａ〜１０ｄ）では、各サーバ群に図示しているようなＩＰアドレスの割当を行っている。すなわち、サーバ群１０ａ（一般的なパブリッククラウド）及びサーバ群１０ｄ（一般的なプライベートクラウド）においては、Ｐｕｂｌｉｃ＿ＩＰ（当該クラウド外からアクセスするためのパブリックＩＰアドレス）及びＰｒｉｖａｔｅ＿ＩＰ（当該クラウド内での通信にのみ有効なプライベートＩＰアドレス）が割り当てられる。また、サーバ群１０ｂ（仮想的なプライベートクラウド）においては、Ｐｒｉｖａｔｅ＿ＩＰのみが割り当てられる。また、サーバ群１０ｃ（ＶＰＮ使用のパブリッククラウド）においては、Ｐｕｂｌｉｃ＿ＩＰ及びＰｒｉｖａｔｅ＿ＩＰとは別に、さらにＶＰＮ通信を行うためのＩＰアドレスであるＶＰＮ＿ＩＰが割り当てられる。
また、本実施の形態では、ＶＰＮ接続システム３０の各サーバ（主制御サーバ４０、ＤＮＳサーバ６０、ＶＰＮサーバ７０）には、図１に示すようにそれぞれ固定ＩＰアドレスを割り当てているが（図１には主制御サーバ４０の固定ＩＰのみを示す）、各々のサーバにおいて稼動中（起動から停止までの間）にＩＰアドレスが変動しない方法であれば、他の割当方法であってもよい。
図２は、ＩＰ選択テーブル４２ａの構成をマトリクス形式で示した例である。図２に示すように、ＩＰ選択テーブル４２ａには、「送信元」と「送信先」の組み合わせに対応した「送信先ＩＰ種別」が格納されている。クラウドのＩＰアドレス割当の仕様がサーバ群１０ａ〜１０ｄのいずれかと同じであれば、図２に示したテーブルで対応可能であり、また、サーバ群１０ａ〜１０ｄとは異なるＩＰアドレス割当の仕様を有するクラウドがあれば、ＩＰ選択テーブル４２ａに新たに追加すればよい。なお、図２において「主制御サーバ等」とは、主制御サーバ４０、ＤＮＳサーバ６０、ＶＰＮサーバ７０を含む。図２に示すように、例えば、主制御サーバ４０等からサーバ群１０ｃの仮想サーバ１１に対して通信を行うために選択されるべきＩＰの種別は、ＶＰＮ＿ＩＰである。

ここで、ＩＰ選択テーブル４２ａによって特定されるＩＰアドレスの種別は、通信を行うために必須の種別であり、他の種別を選択する余地がない（他の種別では通信を行うことができない）ものである。ただし、同一のクラウド（サーバ群）内ではＰｕｂｌｉｃ＿ＩＰでも通信可能なクラウドもあるが、通常はＰｒｉｖａｔｅ＿ＩＰを利用するほうが効率がよく、かつ、通信料金も安価になるため、Ｐｒｉｖａｔｅ＿ＩＰが必ず送信先として選択されるようにＩＰ選択テーブル４２ａに格納している。このＩＰ選択テーブル４２ａは、当該システムの管理者によって登録される。ＩＰ選択テーブル４２ａは図１のようにデータテーブルとして記憶部４２に記憶してもよいし、各処理部のプログラムロジックによって実装してもよい。

（構成−ＶＰＮ接続システム−ＤＮＳサーバ）
ＤＮＳサーバ６０は、各仮想サーバ１１の名前解決を行う公知のＤＮＳサーバ（ＩＰアドレス管理手段）であり、各仮想サーバ１１のサーバ名（ホスト名）とＩＰアドレスとを関連付けたＤＮＳレコード６１を格納している。

（構成−ＶＰＮ接続システム−ＶＰＮサーバ）
ＶＰＮサーバ７０は、社内ネットワーク２０（主制御サーバ４０や端末装置８０等）とサーバ群１１ｃの仮想サーバ１１との間でＶＰＮ（仮想プライベートネットワーク）接続を行うためのサーバ（ＶＰＮ接続手段）である。このＶＰＮ接続には、公知のＶＰＮ接続用のソフトウェア（例えばＯｐｅｎＶＰＮ）を使用することができる。

（構成−ＶＰＮ接続システム−専用ファイアウォール）
専用ファイアウォール９１は、社内ネットワーク２０とサーバ群１０ｂ（の専用ファイアウォール１３）との間のみの通信を許容し、社内ネットワーク２０外のサーバや端末装置からのアクセスを遮断するファイアウォールである。

（構成−端末装置）
端末装置８０は、ユーザが利用するパソコン等の端末であり、ユーザはこの端末装置８０を操作してサーバ群１０ａ〜１０ｄ上に仮想サーバ１１及び各種サービスを構築し、サービスを利用する。

（構成−通信ネットワーク）
通信ネットワーク１００としては、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）であって、代表的にはインターネットであるが、専用通信線やＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）を含んでもよい。

（処理）
次に、図１のネットワークシステムにおいて行われる本実施の形態の各種の処理（制御部４１の各処理部が行う処理）について説明する。ただし、以下の説明においては、特記するタイミングを除いて任意のタイミングにて各処理が行われ、特記する主体を除いて制御部４１にて処理が行われるものとする。また、「ステップ」を「Ｓ」と略記する。

（処理−サーバ起動処理（サーバ起動処理部４１ａ））
まず、仮想サーバ１１の起動処理について説明し、さらに当該起動処理中に行われるＶＰＮ接続設定処理について説明する。図３は、サーバ起動処理のフローチャートである。また、図４及び図５は、ＶＰＮ接続設定処理のフローチャートである。

仮想サーバ１１の起動は、例えば、ユーザが端末装置８０を操作して仮想サーバ１１を起動したいクラウド等を指定すると、当該指定されたクラウドを一意に識別するクラウド名等を含んだサーバ起動要求が主制御サーバ４０に送信されることにより行われる。

上述のサーバ起動要求を受信した主制御サーバ４０のサーバ起動処理部４１ａは、まず、起動要求された仮想サーバ１１が、本実施の形態のＶＰＮ接続システム３０によるＶＰＮ接続を行うべき仮想サーバ１１であるかを判断する（Ｓ３０１）。ここで、本実施の形態においては、ＶＰＮ接続を行うべき仮想サーバであるかを、例えば、どのクラウド（サーバ群）の仮想サーバであるかにより判断する。この判断は、例えば、サーバ起動要求に含まれるクラウド名等により可能である。すなわち、各クラウド名とＶＰＮ接続の要否とをあらかじめ主制御サーバ４０等に記憶させておき、この情報を参照することで、ＶＰＮ接続を行うべき仮想サーバであるかを判定することができる。サーバ群（クラウド）は、例えば、図１に各サーバ群として例示しているように、サーバ群１０ａ（一般的なパブリッククラウド）、サーバ群１０ｂ（仮想的なプライベートクラウド）、サーバ群１０ｃ（ＶＰＮ使用のパブリッククラウドであり、本件のＶＰＮ接続設定処理が必要なクラウド）、及びサーバ群１０ｄ（一般的なプライベートクラウド）を挙げることができる。

図３のＳ３０１において、起動要求された仮想サーバがＶＰＮ接続を行うべき仮想サーバではない（本実施の形態においては、サーバ群１０ｃ以外のサーバ群の仮想サーバである）と判断した場合（Ｓ３０１、Ｎｏ）には、サーバ起動処理部４１ａは、ＶＰＮ接続設定処理（図４または図５の各処理）を行わず、図３のＳ３０２以降の処理を行なう。
すなわち、まず、サーバ起動処理部４１ａは、対象のクラウドサーバ（サーバ群）に対しサーバ起動命令を送信する（Ｓ３０２）。この起動命令に基づき、クラウドサーバは仮想サーバ１１を起動する（Ｓ３０３）。その後、クラウドサーバは、起動時に仮想サーバ１１に動的に付与したＩＰアドレスやホスト名等を、主制御サーバ４０に送信する（Ｓ３０４）。なお、本実施の形態では、例えば主制御サーバ４０側より定期的にクラウド側から情報取得を行うことにより、これらのＩＰアドレスやホスト名を取得するものとする。サーバ起動処理部４１ａは、クラウドサーバから送信されたＩＰアドレスとホスト名とを相互に対応付けたＤＮＳレコード６１を、ＤＮＳサーバ６０に登録する（Ｓ３０５）。本実施の形態では、例えば、クラウド（サーバ群）の種類に応じて、次のＩＰアドレスをＤＮＳサーバ６０に登録する。すなわち、サーバ群１０ａ（一般的なパブリッククラウド）及びサーバ群１０ｄ（一般的なプライベートクラウド）の仮想サーバ１１である場合にはパブリックＩＰアドレスを、サーバ群１０ｂ（仮想的なプライベートクラウド）の仮想サーバ１１である場合にはプライベートＩＰアドレスを登録する。これにて、サーバ起動処理を終了する。

なお、サーバ群１０ｂ（仮想的なプライベートクラウド）は、クラウド側が提供するＶＰＮ接続サービスとしてクラウド側でＶＰＮ接続を行うものであるため、本実施の形態のＶＰＮ接続システム３０によるＶＰＮ接続は不要である。ただし、社内ネットワーク２０以外からのクラウドへのアクセスを遮断するために、社内ネットワーク２０側の専用ファイアウォール９１およびサーバ群１０ｂ側の専用ファイアウォール１３等の各ネットワーク機器を設定する必要がある。この設定は、社内ネットワーク２０から当該クラウド（サーバ群１０ｂ）を利用するために一度行えばよいため、ユーザあるいはＶＰＮ接続システム３０のシステム管理者等により行うものとする。

一方、図３のＳ３０１にて、起動要求された仮想サーバがＶＰＮ接続を行うべき仮想サーバ（本実施の形態においては、サーバ群１０ｃの仮想サーバ）であると判断した場合（Ｓ３０１、Ｙｅｓ）には、サーバ起動処理部４１ａは、ＶＰＮ接続を行うにあたり、当該仮想サーバ１１（クラウドサーバ）が、サーバ起動処理部４１ａから送信された接続設定情報を用いて自らＶＰＮ接続の設定を行うことができる仮想サーバ１１（クラウドサーバ）であるか否かを判断する（Ｓ３０６）。接続設定情報が使用可能であるかは、通常はクラウドの仕様を確認することで事前に分かるため、例えば、クラウド毎の仕様（接続設定情報の使用可否）をあらかじめ主制御サーバ４０等に記憶しておき、サーバ起動時にそれを参照して判断することができる。

当該仮想サーバが、サーバ起動処理部４１ａから送信された接続設定情報を用いて自らＶＰＮ接続の設定を行うことができる場合（Ｓ３０６、Ｙｅｓ）、サーバ起動処理部４１ａは、図４に示すＶＰＮ接続設定処理を行う。すなわち、サーバ起動処理部４１ａは、まず、接続設定情報を生成する（Ｓ４０１）。接続設定情報は、仮想サーバ１１（のＶＰＮ接続クライアント１２）がＶＰＮサーバ７０との間におけるＶＰＮ接続を設定するための情報であり、この接続設定情報を仮想サーバ１１に送信することにより、当該送信された接続設定情報に基づくＶＰＮ接続の設定を仮想サーバ１１に行わせる。具体的には、接続設定情報は、ＶＰＮサーバ７０のＩＰアドレスと通信ポート番号、ＶＰＮ接続用のユーザＩＤとパスワード、及びファイル展開パスワードを含んで構成される。このうち、ＶＰＮサーバ７０のＩＰアドレスと通信ポート番号、及びＶＰＮ接続用のユーザＩＤとパスワードは、ＶＰＮサーバ７０を設定した際に特定されており、主制御サーバ４０の記憶部４２に管理者により予め記憶されている。また、ファイル展開パスワードとは、ＶＰＮ接続を行うために必要なクライアント証明書ファイル及びクライアント用設定ファイルを展開するためのパスワードであり、主制御サーバ４０の記憶部４２に管理者により予め記憶されている。そして、サーバ起動処理部４１ａは、記憶部４２からこれらの情報を取得して接続設定情報を生成する。なお、クライアント証明書ファイル及びクライアント用設定ファイルは、仮想サーバ１１の起動時に公知の方法で生成及び送信され、暗号化ファイルとして仮想サーバ１１内に保管される。また、これらのクライアント証明書ファイル、クライアント用設定ファイルについても、接続設定情報に含めて仮想サーバ１１に渡してもよい。この接続設定情報の具体的な形式は任意であるが、例えば、任意の文字列を仮想サーバ１１に渡すことができるＵＳＥＲＤＡＴＡとして生成される。

次いで、サーバ起動処理部４１ａは、生成した接続設定情報を含むサーバ起動命令を、クラウドサーバに送信する（Ｓ４０２）。この起動命令に基づき、クラウドサーバは、ＶＰＮ接続クライアント１２をインストールした仮想サーバ１１を起動し、当該起動した仮想サーバ１１に、起動処理部４１ａから送信された接続設定情報を渡す（Ｓ４０３）。なお、クラウドサーバが仮想サーバ１１に接続設定情報を渡す方法は、クラウド毎に異なる公知の方法により行われる。次いで、ＶＰＮ接続クライアント１２は渡された接続設定情報を参照し、当該仮想サーバ１１からＶＰＮサーバ７０に接続するための設定を行う（Ｓ４０４）。具体的には、ＶＰＮ接続の接続先の設定（ＶＰＮサーバ７０のＩＰアドレスと通信ポート番号の設定）、ＶＰＮ接続用のユーザＩＤとパスワードの当該仮想サーバ１１への保存、ファイル展開パスワードを用いたクライアント証明書ファイル及びクライアント用設定ファイルの展開、及び、当該展開されたクライアント証明書ファイル及びクライアント用設定ファイルの当該仮想サーバ１１への保存を行う。

次いで、仮想サーバ１１のＶＰＮ接続クライアント１２は、上記設定した接続設定情報に基づいて、ＶＰＮサーバ７０に接続する（Ｓ４０５）。すると、ＶＰＮサーバ７０は、仮想サーバ１１に割り当てるＶＰＮ接続用のＩＰアドレス（ＶＰＮ＿ＩＰアドレス）を公知の方法で決定し、当該決定したＶＰＮ＿ＩＰアドレスを仮想サーバ１１に送信する。なお、本実施の形態では、仮想サーバ１１毎にＶＰＮ接続を確立するため、ＶＰＮ＿ＩＰアドレスについても仮想サーバ１１毎に割り当てられる。その後、ＶＰＮ接続クライアント１２は、当該割り当てられたＶＰＮ＿ＩＰアドレスと当該仮想サーバ１１のサーバ名（ホスト名）とをＤＮＳサーバ７０に登録する（Ｓ４０６）。このＤＮＳサーバ７０への登録は、所定方法（例えば、ダイナミックＤＮＳ)により行われるもので、仮想サーバ１１の起動時に、仮想サーバ１１におけるＤＮＳ設定を、ＤＮＳサーバ７０を利用するように設定しておくことで行われる。これにてＶＰＮ接続が完了し、以降は、ＶＰＮ接続を介して、社内ネットワーク２０と仮想サーバ１１の通信が行われる。

あるいは、図３のサーバ起動処理において、当該仮想サーバ１１が、接続設定情報によるＶＰＮ接続設定を行うことができない場合には（Ｓ３０６、Ｎｏ）、サーバ起動処理部４１ａは、図５に示すＶＰＮ接続設定処理を行う。この図５に示すように、まず、サーバ起動処理部４１ａは、仮想サーバ１１を起動するための起動命令をクラウドサーバに送信する（Ｓ５０１）。クラウドサーバは、この起動命令に基づいてＶＰＮ接続クライアント１２をインストールした仮想サーバ１１を起動する（Ｓ５０２）。

その後、サーバ起動処理部４１ａは、暗号通信用の所定プロトコル（例えば、ＳＳＨ（Ｓｅｃｕｒｅ Ｓｈｅｌｌ））により当該仮想サーバ１１にアクセスして、ＶＰＮ接続の設定を行う（Ｓ５０３）。具体的には、ＶＰＮ接続の接続先の設定（ＶＰＮサーバ７０のＩＰアドレスと通信ポート番号の設定）を行い、ＶＰＮ接続用のユーザＩＤとパスワードを当該仮想サーバ１１に保存し、クライアント証明書ファイル及びクライアント用設定ファイルを展開して当該仮想サーバ１１に保存する。

次いで、仮想サーバ１１のＶＰＮ接続クライアント１２は、サーバ起動処理部４１ａにより設定された情報に基づいて、ＶＰＮサーバ７０に接続する（Ｓ５０４）。すると、ＶＰＮサーバ７０は、仮想サーバ１１に割り当てるＶＰＮ＿ＩＰアドレスを公知の方法で決定し、当該決定したＶＰＮ＿ＩＰアドレスを仮想サーバ１１に送信する。ここで、上述の図４に示したＶＰＮ接続設定処理と同様、ＶＰＮ接続は仮想サーバ１１毎に確立するため、ＶＰＮ＿ＩＰアドレスについても仮想サーバ１１毎に割り当てられる。その後、ＶＰＮ接続クライアント１２は、ＶＰＮサーバ７０から割り当てられたＶＰＮ＿ＩＰアドレスと、当該仮想サーバ１１のサーバ名（ホスト名）とを、ＤＮＳサーバ７０に登録する（Ｓ５０５）。これにてＶＰＮ接続の設定が終了し、サーバ起動処理（図３）も終了する。以降は、ＶＰＮ接続を介して、社内ネットワーク２０と仮想サーバ１１の通信が行われる。なお、この図５に示すＶＰＮ接続設定はインターネット通信を行うことになるので、図４のＶＰＮ接続設定に比べて若干セキュリティレベルが低下するが、上記のように暗号通信用の所定プロトコルを使用したインターネット通信を行うことで、セキュリティレベルの低下を最低限に留めることができる。

上述のようにＶＰＮ接続設定を行った後は、仮想サーバ１１と社内ネットワーク２０内の各サーバ及び端末装置８０とは、ＶＰＮサーバ７０を経由したＶＰＮ接続により通信を行う。例えば、主制御サーバ４０からサーバ群１０ｃの仮想サーバ１１へ通信を行う際には、当該仮想サーバ１１のＶＰＮ＿ＩＰアドレスをＤＮＳサーバ７０から取得し、当該取得したＶＰＮ＿ＩＰアドレスを用いて通信を行う。また、社内ネットワーク２０外のサーバ等からサーバ群１０ｃの仮想サーバ１１へ通信を行う場合には、従来どおり、パブリックＩＰアドレスを用いて通信を行う。

このように、仮想サーバ１１の起動後における、当該仮想サーバ１１と、社内ネットワーク内の各サーバや他の仮想サーバ１１との間の通信においては、相手先（送信先）のＩＰアドレスを指定する必要がある。その際、ＩＰ選択テーブル４２ａを参照して送信先のＩＰ種別を特定し、当該特定したＩＰ種別に対応するＩＰアドレスをＤＮＳサーバ７０あるいはクラウドサーバから取得することにより、各クラウド（サーバ群）等に応じた送信先のＩＰアドレスを取得することができる。図２を参照すると、例えば、送信元がサーバ群１０ｂの仮想サーバ１１であり、送信先がサーバ群１０ｃの仮想サーバ１１である場合には、送信先ＩＰ種別はＶＰＮ＿ＩＰであるため、当該送信先の仮想サーバ１１のＶＰＮ＿ＩＰアドレスをＤＮＳサーバ７０から取得し、当該ＶＰＮ＿ＩＰアドレスを使用した通信を行うことができる。なお、ＶＰＮ＿ＩＰアドレスについては、必ずＤＮＳサーバ７０から取得するようにするとよい。なぜなら、クラウドサーバから直接取得するためには、通常のインターネット接続によりクラウドサーバに問合せなければならず、ＶＰＮ接続による通信の安全を享受できないからである。

（処理−サーバ停止処理（サーバ停止処理部４１ｂ））
次に、仮想サーバの停止処理について説明する。仮想サーバ１１の停止は、起動と同じく、例えば、ユーザが端末装置８０を操作して停止したい仮想サーバ１１を指定すると、当該指定された仮想サーバ１１を一意に識別するサーバ名等を含んだサーバ停止要求が主制御サーバ４０に送信されることにより行われる。これを受けて、主制御サーバ４０のサーバ停止処理部４１ｂは、該当の仮想サーバ１１が存在するクラウドサーバに、サーバ名等を含んだサーバ停止命令を送信する。クラウドサーバは、対応する仮想サーバ１１を停止する。なお、一般的なクラウドサーバにおいては、ここで仮想サーバ１１の実体（仮想サーバ１１を構成するための情報や、サービス（アプリケーション）の設定ファイル・データ等）は削除されることになる。また、当該仮想サーバ１１に割り当てられていた各ＩＰアドレス（パブリックＩＰアドレス、プライベートＩＰアドレス、ＶＰＮ＿ＩＰアドレス）も破棄される。最後に、サーバ停止処理部４１ｂは、ＤＮＳサーバ７０から当該仮想サーバ１１のＤＮＳレコードを削除する。これにて、仮想サーバ１１の停止処理が終了する。

〔変形例〕
以上、本発明に係る実施の形態について説明したが、本発明の具体的な構成及び手段は、特許請求の範囲に記載した各発明の技術的思想の範囲内において、任意に改変及び改良することができる。

例えば、上述した各電気的構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各部の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散・統合して構成できる。
具体的には、上述の実施の形態では、ＶＰＮ接続システム３０を社内ネットワーク２０内に構成する場合について説明したが、ＶＰＮ接続システム３０のＶＰＮサーバ７０以外の各サーバについては、社内ネットワーク２０外に構成してもよい（なお、ＶＰＮサーバ７０は端末装置８０と同じ場所に設置する必要がある）。すなわち、ＶＰＮ接続システム３０を、例えば当該システムを提供する事業者のサーバ等に構成してもよい。ただしこの場合、端末装置８０とＶＰＮ接続システム３０との通信は、ＶＰＮや専用線等の設置により、安全に行うように構成することが望ましい。
また、上述の実施の形態では、図３に示したサーバ起動処理において、まず、本実施の形態のＶＰＮ接続を行う仮想サーバ１１であるかを判断し、そのような仮想サーバである場合に、さらに接続設定情報を使用した仮想サーバ１１側での接続設定が可能であるかを判断しているが、これらを一度の判断処理で場合分けできるようにしてもよい。この場合、例えば、どの処理フローを実行すべき仮想サーバ１１であるかを特定するための特定情報をクラウドと関連付けて主制御サーバ４０等にあらかじめ含めておき、サーバ起動処理の際に当該特定情報を参照して判断するように構成する。また、ひとつのクラウド（サーバ群）に対し複数の特定情報を含めることにより、同一クラウド上で複数のタイプの仮想サーバ１１（例えば本実施の形態ＶＰＮ接続を行う仮想サーバ１１と、ＶＰＮ接続を行わない仮想サーバ１１）を起動できるようにしてもよい。この場合、例えば、ユーザがサーバ起動要求においてクラウド名と共に当該仮想サーバのタイプ種別を選択し、選択されたタイプに応じた仮想サーバ１１を起動するようにしてもよい。

１ ネットワークシステム
１０ａ〜１０ｄ サーバ群
１１ 仮想サーバ
２０ 社内ネットワーク
３０ ＶＰＮ接続システム
４０ 主制御サーバ
６０ ＤＮＳサーバ
７０ ＶＰＮサーバ
８０ 端末装置
１００ 通信ネットワーク

Claims (3)

1. サーバに対してネットワークを介して通信可能に接続されるＶＰＮ制御システムであって、
   前記サーバの起動制御を行うサーバ起動手段と、
   前記サーバとＶＰＮ接続を行うＶＰＮ接続手段と、
   前記サーバのサーバ名と、前記サーバのＶＰＮ接続用のＩＰアドレスとを関連付けて格納するＩＰアドレス管理手段とを備え、
   前記サーバ起動手段は、前記サーバの起動制御を行う際に、当該サーバが前記ＶＰＮ接続手段とＶＰＮ接続を行うために当該サーバに設定すべき接続設定情報であって、前記サーバが前記ＶＰＮ接続手段にアクセスするための当該ＶＰＮ接続手段のアドレス情報を含んだ接続設定情報を生成し、当該生成した接続設定情報を当該サーバに送信することにより、当該送信された接続設定情報に基づく設定を当該サーバに行わせ、
   前記ＶＰＮ接続手段は、前記アドレス情報に基づく前記サーバからのアクセスを受けた場合に、当該サーバのＶＰＮ接続用のＩＰアドレスを決定して当該サーバに送信することにより、当該サーバに前記ＩＰアドレス管理手段への前記サーバ名及び前記ＩＰアドレスの格納を行わせる、
   ＶＰＮ接続システム。
2. 前記サーバ間の通信において送信元となる前記サーバと送信先となる前記サーバの組み合わせに応じて選択されるべき前記ＩＰアドレスの種別であって、送信先となる前記サーバの前記ＩＰアドレスの種別を特定するためのＩＰ選択テーブルを格納するＩＰ選択テーブル格納手段を備え、
   前記ＩＰ選択テーブル格納手段の前記ＩＰ選択テーブルは、前記接続設定情報に基づく前記ＶＰＮ接続手段とのＶＰＮ接続が行われたサーバを送信先とした場合の前記ＩＰアドレスの種別が、ＶＰＮ接続用のＩＰアドレスであることを特定するための情報を格納し、
   前記接続設定情報に基づく前記ＶＰＮ接続手段とのＶＰＮ接続が行われたサーバを送信先とした通信を行う際、前記ＩＰアドレスの種別が前記ＶＰＮ接続用のＩＰアドレスであることを前記ＩＰ選択テーブルを参照して特定し、当該特定したＶＰＮ接続用のＩＰアドレスを前記ＩＰアドレス管理手段から取得する、
   請求項１に記載のＶＰＮ接続システム。
3. 前記サーバ起動手段は、前記サーバの起動制御を行う際に、当該サーバが前記接続設定情報に基づくＶＰＮ接続の設定を行うことができるか否かを判定し、前記接続設定情報に基づくＶＰＮ接続の設定を行うことができないと判定した場合には、前記接続設定情報の生成及び送信を行うことなく、暗号通信用の所定プロトコルにより当該サーバにアクセスして前記ＶＰＮ接続の設定を行う、
   請求項１又は２に記載のＶＰＮ接続システム。

Images