JP4757284B2

JP4757284B2 - 接続装置

Info

Publication number: JP4757284B2
Application number: JP2008153763A
Authority: JP
Inventors: 勝之竹内; 一彦柳舘
Original assignee: ニフティ株式会社
Priority date: 2008-06-12
Filing date: 2008-06-12
Publication date: 2011-08-24
Anticipated expiration: 2023-02-28
Also published as: JP2008289171A

Description

本発明は、仮想私設網（ＶＰＮ：Virtual Private Network）を構成するための接続装置に関する。

ＶＰＮにおけるアドレス重複の問題は従来から議論されていた。一般的には、管理者がＶＰＮにおける各拠点のネットワークをアドレスの重複を生じないように設計し、各機器にＩＰアドレスを静的に設定するということによりＩＰアドレスの重複を避けていた。また、特開２０００−２２８６７４号公報では、ＶＰＮ接続の際などに生じるアドレスの重複問題に対してアドレス付け替えという方式があることを示しているが大きな手間がかかるため現実的ではないとしている。
特開２０００−２２８６７４号公報

このようにＶＰＮにおけるアドレス重複の問題は従来から議論されてきたが、管理者の負担を軽減するような形の解決策はあまり示されていない。

従って、本発明の目的は、ＶＰＮにおけるアドレス重複を回避し且つ管理者の負担を軽減するような技術を提供することである。

本発明の第１の態様に係る、主接続装置と接続して仮想私設網を構成するための接続装置は、主接続装置に接続して、当該接続装置のＩＰアドレス及び当該接続装置の配下の装置において使用可能なＩＰアドレスの割り当てを主接続装置から受けるアドレス取得手段と、当該接続装置の配下の装置に既にＩＰアドレスを割り当て済みの場合、当該配下の装置からＩＰアドレスのリース期間の延長要求を受信してもリース期間の延長を許可せず、主接続装置から割り当てを受けた使用可能なＩＰアドレスから新たなＩＰアドレスを前記配下の装置に割り当てる手段とを有する。

これによりリース期間が切れた又は切れる端末装置から順次ＩＰアドレスが切り替わることになるため、アドレスの重複は生じない。また、自動的に切り替えが行われるので、管理者は特別の知識がなくともよく、さらに手間をかけずにＶＰＮの構築を行うことができるようになる。なお、初期的なリース期間を短くすればより早期にアドレスの切り替えが行われるようになる。

また、本発明の第１の態様において、当該接続装置の配下の装置に既にＩＰアドレスを割り当て済みであって且つアドレス取得手段が主接続装置から当該接続装置の配下の装置において使用可能なＩＰアドレスの割り当てを受けている場合には、主接続装置から割り当てを受けた使用可能なＩＰアドレス以外のＩＰアドレスを送信元とする、仮想私設網への通信をブロックする手段をさらに有するようにしてもよい。これにより、アドレスの切り替え完了前に不適切なデータが別拠点に送信されるのを防止することができる。

さらに、本発明の第１の態様において、主接続装置のＩＰアドレスと当該接続装置の認証情報とを用いて主接続装置に接続する手段をさらに有するようにしてもよい。

本発明の第２の態様に係る、下位接続装置（例えば第１の態様に係る接続装置）と接続して仮想私設網を構成するための接続装置は、下位接続装置からの接続要求に応じて認証処理を実施する手段と、認証処理に成功した場合、下位接続装置のＩＰアドレス及び当該下位接続装置の配下の装置において使用可能なＩＰアドレスを割り当て、記憶装置に格納する手段と、記憶装置に格納された下位接続装置のＩＰアドレス及び当該下位接続装置の配下の装置において使用可能なＩＰアドレスのデータを、当該下位接続装置に送信する手段とを有する。

また、本発明の第３の態様に係る、下位接続装置（例えば第１の態様に係る接続装置）と接続して仮想私設網を構成するための接続装置は、接続可能な下位接続装置に対応して当該下位接続装置のＩＰアドレス及び当該下位接続装置の配下の装置にて使用可能なＩＰアドレスを記憶する記憶手段と、下位接続装置からの接続要求に応じて認証処理を実施する手段と、認証処理に成功した場合、記憶手段に格納された下位接続装置のＩＰアドレス及び前記下位接続装置の配下の装置において使用可能なＩＰアドレスのデータを、下位接続装置に送信する手段とを有する。

本発明の第４の態様に係る、主接続装置と接続して仮想私設網を構成するための接続装置は、接続装置及び当該接続装置の配下の装置で構成される拠点内ネットワークにおいて使用可能なＩＰアドレスである拠点内アドレスを当該配下の装置に割り当てる手段と、主接続装置に接続して、仮想私設網において接続装置及び配下の装置の使用可能なＩＰアドレスを含む仮想私設網アドレス群の割り当てを主接続装置から受けるアドレス取得手段と、アドレス取得手段が仮想私設網アドレス群の割り当てを受けた際に、配下の装置に既に拠点内アドレスを割り当て済みの場合、当該配下の装置から拠点内アドレスのリース期間の延長要求を受信してもリース期間の延長を許可せず、主接続装置から割り当てを受けた仮想私設網アドレス群から新たなＩＰアドレスを配下の装置に割り当てる手段とを有する。

また、本発明の第４の態様において、配下の装置に既に拠点内アドレスを割り当て済みであって且つアドレス取得手段が主接続装置から仮想私設網アドレス群の割り当てを受けている場合には、仮想私設網アドレス群に含まれるＩＰアドレス以外のＩＰアドレスを送信元とする、仮想私設網への通信をブロックする手段をさらに有するようにしてもよい。

さらに、本発明の第４の態様において、主接続装置のＩＰアドレスと当該接続装置の認証情報とを用いて主接続装置に接続する手段をさらに有するようにしてもよい。

また、上で述べた接続装置として動作させるプログラムを作成することも可能であって、当該プログラムは、例えばフレキシブル・ディスク、ＣＤ−ＲＯＭ、光磁気ディスク、半導体メモリ、ハードディスク等の記憶媒体又は記憶装置に格納される。なお、ネットワークを介してデジタル信号として配布される場合もある。また、処理途中のデータについては、コンピュータのメモリに一時保管される。

ＶＰＮにおけるアドレス重複を回避し且つ管理者の負担を軽減することができるようになる。

本発明の一実施の形態に係るシステム概要図を図１に示す。インターネット１には、拠点Ａと拠点Ｂと拠点Ｃとが接続してＶＰＮを構築するものとする。ＶＰＮを構築するため暗号化などを行うが、本発明の要旨には直接関係しないので、ここでは説明を省略する。本実施の形態では、拠点Ａにおいてインターネット１に接続する装置をＶＰＮ主接続装置５とし、拠点Ｂにおいてインターネット１に接続する装置をＶＰＮ接続装置３ａとし、拠点Ｃにおいてインターネット１に接続する装置をＶＰＮ接続装置３ｂとする。

ＶＰＮ主接続装置５は、接続する下位のＶＰＮ接続装置３ａ及び３ｂなどを管理するアドレス管理部５２と、接続する下位のＶＰＮ接続装置３ａ及び３ｂなどの認証処理を実施する認証処理部５１と、拠点Ａ内においてＶＰＮ主接続装置５に接続する端末３０５及び３０６などにＩＰアドレスを割り当てるＤＨＣＰサーバ部５３とを有している。アドレス管理部５２は、例えば図２に示すようなテーブルを管理する。図２に示したテーブルの例では、拠点名の列２０１と、ユーザＩＤの列２０２と、パスワードの列２０３と、ＶＰＮ装置ＩＰアドレスの列２０４と、ネットワークアドレスの列２０５と、サブネットマスクの列２０６とが設けられている。このように各拠点につき認証情報であるユーザＩＤ及びパスワードが管理されており認証処理部５１が認証処理の際に用いる。また、各拠点につき、ＶＰＮ装置（ＶＰＮ主接続装置５及びＶＰＮ接続装置３ａ及び３ｂなど）のＩＰアドレスと、配下の端末に使用可能なＩＰアドレス群を表すネットワークアドレス及びサブネットマスクとが登録される。このテーブルは静的に設定されるようにしても良いが、ＶＰＮ接続装置のＶＰＮ装置ＩＰアドレス、ネットワークアドレス及びサブネットマスクの列の値については、所定のルールに従って動的に割り当てるようにしても良い。ＤＨＣＰサーバ部５３は、図２に示したテーブルにおいて自装置に割り当てられた、配下の端末装置３０５及び３０６などに使用可能なＩＰアドレス群から端末装置３０５及び３０６などの要求に応じてＩＰアドレスを割り当てる処理を実施する。

ＶＰＮ接続装置３ａは、ＶＰＮ主接続装置５に接続するための処理を行うリモートＶＰＮ接続部３１ａと、当該ＶＰＮ接続装置３ａの配下の端末装置３０１及び３０２などの要求に応じて、ＶＰＮ主接続装置５から割り当てられ且つ配下の端末装置に使用可能なＩＰアドレス群からＩＰアドレスを割り当てる処理を実施するＤＨＣＰサーバ部３２ａと、当該ＶＰＮ接続装置３ａの配下の端末装置３０１及び３０２などからＶＰＮへのアクセスを管理するアクセス管理部３３ａと、当該ＶＰＮ接続装置３ａに関連するアドレス情報を管理するアドレス管理部３４ａとを有する。処理の詳細については処理フローを基に説明する。

ＶＰＮ接続装置３ｂは、ＶＰＮ接続装置３ａと同じ構成を有するものであって、符号がａからｂに置き換えられており、配下の端末装置が端末装置３０３及び３０４などである点が異なる。

次に図３乃至図６を用いて図１に示したシステムの処理について説明する。なお、ＶＰＮ接続装置については拠点Ｂに存在するＶＰＮ接続装置３ａを用いて説明する。また、端末装置も端末装置３０１を用いて説明する。なお、処理内容については拠点Ｃについても同様である。

最初に、管理者は拠点ＡのＶＰＮ主接続装置５のアドレス管理部５２に対して、各拠点について、少なくともユーザＩＤ及びパスワード、場合によってはＶＰＮ装置ＩＰアドレス、ネットワークアドレス及びサブネットマスクについても登録する（ステップＳ１）。アドレス管理部５２は例えば図２のようなテーブルを記憶領域に保持する。なお、少なくともＶＰＮ主接続装置５自身のＩＰアドレス、ネットワークアドレス及びサブネットマスクについては登録する。また、管理者は、拠点ＢのＶＰＮ接続装置３ａのリモートＶＰＮ接続部３１ａに対して、自装置のユーザＩＤ及びパスワードと、接続先となるＶＰＮ主接続装置５のＩＰアドレスの設定を行う（ステップＳ３）。なお、本実施の形態では、ＶＰＮ接続装置３ａを起動すると、ＶＰＮ主接続装置５に接続する前、端末装置３０１がＶＰＮ接続装置３ａに接続しようとするものとする。

従って、端末装置３０１は、DHCP_DISCOVERメッセージを拠点Ｂ内のネットワークにブロードキャストする（ステップＳ５）。ＶＰＮ接続装置３ａのＤＨＣＰサーバ部３２ａは、DHCP_DISCOVERを受信すると、その時点で割り当て可能なＩＰアドレス群のうち未使用のＩＰアドレスなどを含むDHCP_OFFERメッセージを、送信元の端末装置３０１に送信する（又はブロードキャストする）（ステップＳ７）。端末装置３０１は、ＶＰＮ接続装置３ａからDHCP_OFFERメッセージを受信すると、提示されたＩＰアドレスなどのデータを保持し、当該ＩＰアドレスなどの割り当てを要求するDHCP_REQUESTメッセージを、ＶＰＮ接続装置３ａに送信する（ステップＳ９）。ＶＰＮ接続装置３ａのＤＨＣＰサーバ部３２ａは、端末装置３０１からDHCP_REQUESTメッセージを受信すると、ＤＨＣＰテーブルに端末装置３０１へのＩＰアドレスなどの割り当てを登録する（ステップＳ１１）。そして、DHCP_ACKメッセージを端末装置３０１に送信する（ステップＳ１３）。端末装置３０１は、ＶＰＮ接続装置３ａからDHCP_ACKメッセージを受信すると、ＩＰアドレスの割り当てが完了するので拠点Ｂ内のネットワークにおいて通信を行うことができるようになる。

このような処理を行うことにより、ＶＰＮ接続装置３ａ内部の記憶装置には、図４（ａ）のようなデータが保持されるようになる。図４（ａ）の例では、テーブル４０１に、ＶＰＮ接続装置３ａ自身の初期的なＩＰアドレス（192.168.1.1）とサブネットマスク（255.255.255.0）と、テーブル４０２に、配下の端末装置に割り当てるためのＩＰアドレス範囲（192.168.1.2から192.168.1.254）と、割り当てたＩＰアドレスのリース期間（３０秒）とが登録されている。この部分については、例えばＶＰＮ接続装置３ａの初期的な設定に基づくものである。従って、端末装置３０１や３０２が、ＩＰアドレスの割り当てを求めてくると、上で説明したような処理を行って、割り当てたＩＰアドレスとＭＡＣアドレスとの対をテーブル４０３に登録する。例えばＩＰアドレス192.168.1.2は、ＭＡＣアドレス00:90:99:7d:4c:xxという端末装置に割り当てられたことが分かる。なお、テーブル４０２に示したように、リース期間は例えば３０秒といったように、通常より短い時間を設定しておき、ＶＰＮ主接続装置５からＩＰアドレス群の割り当てを受けた場合に速やかにＩＰアドレスの切り替えが完了するようにしている。

そして任意のタイミングで、ＶＰＮ接続装置３ａのリモートＶＰＮ接続部３１ａは、インターネット１を介して、認証情報（ユーザＩＤ及びパスワード）を含むＶＰＮ接続要求をＶＰＮ主接続装置５に送信する（ステップＳ１５）。ＶＰＮ主接続装置５の認証処理部５１は、ＶＰＮ接続要求を受信すると（ステップＳ１７）、当該接続要求に含まれる認証情報を用いて認証処理を実施する（ステップＳ１９）。具体的には、受信した認証情報に含まれるユーザＩＤで図２に示したテーブルを検索し、当該ユーザＩＤに対応するパスワードを抽出する。そして、受信した認証情報に含まれるパスワードと抽出されたパスワードとを比較して一致するかを判断する。一致すれば認証は成功となる。一致しなければ認証は失敗で、以降の処理は行われない。

認証に成功すると、アドレス管理部５２は、図２に示したテーブルから予め当該ユーザＩＤに対応して割り当てられているＶＰＮ接続装置３ａ用のＩＰアドレスなどを読み出すか、新たにＩＰアドレスなどを所定のルールに従って割り当てる（ステップＳ２１）。新たに割り当てた場合には、図２のテーブルに登録する。そして、アドレス管理部５２は、ＶＰＮ接続装置３ａに割り当てられたＩＰアドレスなどをＶＰＮ接続装置３ａに通知する（ステップＳ２３）。ＶＰＮ接続装置３ａのアドレス管理部３４ａは、ＶＰＮ主接続装置５からＩＰアドレスなどの通知を受信し（ステップＳ２５）、受信したＩＰアドレスを自ＩＰアドレスとして記憶装置に設定登録する（ステップＳ２７）。例えば図４（ｂ）のテーブル４１１に示すように、元々初期的に設定していたＶＰＮ接続装置３ａ自身のＩＰアドレス（192.168.1.1）に加えて、新たに通知されたＩＰアドレス（192.168.11.1）が追加登録される。このように追加で登録することにより、ＶＰＮにおいては新たに通知されたＩＰアドレスの機器として動作し、拠点内のネットワークに対しては初期的に設定されたＩＰアドレスの機器として動作することができるようになる。なお、ここではサブネットマスクについても追加登録されている。

また、ＶＰＮ主接続装置５のアドレス管理部５２は、図２に示したテーブルから予め当該ユーザＩＤに対応して割り当てられているネットワークアドレス（使用可能なＩＰアドレス群）を読み出すか、新たに当該ＶＰＮ接続装置３ａに割り当てたＩＰアドレスなどを基にしてネットワークアドレスを割り当てる（ステップＳ２９）。新たに割り当てた場合には、図２に示したテーブルに登録する。そして、ＶＰＮ接続装置３ａに当該ネットワークアドレスなどのデータを送信する（ステップＳ３１）。ＶＰＮ接続装置３ａのアドレス管理部３４ａは、ＶＰＮ主接続装置５からネットワークアドレスなどを受信すると（ステップＳ３３）、図４（ｂ）のテーブル４１２に登録することにより、ＤＨＣＰテーブルを更新する（ステップＳ３５）。例えばＶＰＮ主接続装置５からＩＰアドレス群（192.168.11.2から192.168.11.254）を表すネットワークアドレスのデータを受信した場合、図４（ｂ）のテーブル４１２に示すように、配下の端末装置に割り当てるためのＩＰアドレスとして、192.168.11.2と192.168.11.254とが登録される。また、本実施の形態では、アドレス管理部３４ａは、ＩＰアドレスのリース期間も延長する。図４（ｂ）のテーブル４１２に示すように、３０秒を例えば３時間に延長している。これによりＩＰアドレスの切り替え後は、通常のリース期間延長などの処理を行う。

このように配下の端末装置に使用可能なＩＰアドレス群の割り当てをＶＰＮ主接続装置５から受信すると、以降、ＶＰＮ接続装置３ａは、配下の端末装置に既に割り当てている古いＩＰアドレスのリース期間の延長を順次不許可にして、使用可能なＩＰアドレスとしてＶＰＮ主接続装置５から割り当てを受けたもののうち１つのＩＰアドレスを割り当てることにより、ＩＰアドレスの切り替えを行う。

図５を用いて、ＩＰアドレスの切り替え処理の処理フローの第１の例を説明する。ＶＰＮ主接続装置５から使用可能なＩＰアドレス群として通知されたＩＰアドレスのいずれかがまだ割り当てられていない端末装置３０１（ここでは端末Ａ）は、割り当てられたＩＰアドレスのリース期間が切れる前に、リース期間の延長を求めるDHCP_REQUESTメッセージをＶＰＮ接続装置３ａに送信する（ステップＳ４１）。ＶＰＮ接続装置３ａのＤＨＣＰサーバ部３２ａは、端末装置３０１からDHCP_REQUESTメッセージを受信すると、DHCP_REQUESTメッセージの送信元ＩＰアドレスが配下の端末装置に割り当てるためのＩＰアドレス群（図４（ｂ）テーブル４１２）の範囲に含まれているか判断し、含まれていない場合にはＩＰアドレスの切り替えを行わなければならないため、DHCP_NAKメッセージを返信する（ステップＳ４３）。端末装置３０１は、ＩＰアドレスを新たに割り当ててもらわなければならないので、割り当てを求めるためのDHCP_REQUESTメッセージをＶＰＮ接続装置３ａに送信する（ステップＳ４５）。ＶＰＮ接続装置３ａのＤＨＣＰサーバ部３２ａは、ＩＰアドレスの割り当てを求めるDHCP_REQUESTメッセージを受信すると、割り当て可能なＩＰアドレスから１つのＩＰアドレスを抽出し、端末装置３０１に対して割り当てる（ステップＳ４７）。そして、ＤＨＣＰテーブル（ここでは図４（ｂ）のテーブル４１３）を更新する。図４（ｂ）のテーブル４１３においては、第一行目にＭＡＣアドレス00:90:99:7d:4c:xxに対応して、テーブル４１２において割り当て用ＩＰアドレスとして指定されている新たなＩＰアドレス群から192.168.11.2が割り当てられている。これは図４（ａ）のテーブル４０３における第一行目についてのＩＰアドレスが192.168.1.2から切り替えられたことを表している。なお、他の端末装置のＩＰアドレスはまだ切り替えられていない。

そして、ＶＰＮ接続装置３ａは、DHCP_ACKメッセージを端末装置３０１に送信する（ステップＳ４８）。端末装置３０１は、ＶＰＮ接続装置３ａからDHCP_ACKメッセージを受信し、新たなＩＰアドレスにてＶＰＮを介して通信を行うことができるようになる。

この段階では、全てのＩＰアドレスの切り替えが終わっていないので、例えば端末装置３０２（端末Ｂ）が、他拠点のＩＰアドレス宛に何らかのデータを送信しようとすると（ステップＳ４９）、ＶＰＮ接続装置３ａのアクセス管理部３３ａは、このアクセスをブロックする（ステップＳ５１）。このようにアドレス切り替え前の端末装置から他拠点へのアクセスをブロックしないとアドレス切り替え中別の機器に対してデータを送信するような事態が生じてしまうからである。なお、初期的なリース期間を短くしておけば、アドレスの切り替えは速やかに完了するはずであり、ブロックするアクセスの数を減らすことができ、通信に支障をきたす期間は短くまたそのようなケースも少なくなる。

図６を用いて、ＩＰアドレスの切り替え処理の処理フローの第２の例を説明する。ＶＰＮ主接続装置５から使用可能なＩＰアドレス群として通知されたＩＰアドレスのいずれかがまだ割り当てられていない端末装置３０１（ここでは端末Ａ）は、割り当てられたＩＰアドレスのリース期間が切れる前に、リース期間の延長を求めるDHCP_REQUESTメッセージをＶＰＮ接続装置３ａに送信する（ステップＳ６１）。ＶＰＮ接続装置３ａのＤＨＣＰサーバ部３２ａは、端末装置３０１からDHCP_REQUESTメッセージを受信すると、DHCP_REQUESTメッセージの送信元ＩＰアドレスが配下の端末装置に割り当てるためのＩＰアドレス群（図４（ｂ）テーブル４１２）の範囲に含まれているか判断し、含まれていない場合には応答しない。応答がないと端末装置３０１はステップＳ６１を繰り返すが、応答を得ることができないので、リース期間を経過する。

そうすると、端末装置３０１は、最初からＩＰアドレスを取得すべく、DHCP_DISCOVERメッセージを拠点Ｂ内のネットワークにブロードキャストする（ステップＳ６３）。ＶＰＮ接続装置３ａのＤＨＣＰサーバ部３２ａは、DHCP_DISCOVERを受信すると、その時点で割り当て可能なＩＰアドレス群のうち未使用のＩＰアドレスなどを含むDHCP_OFFERメッセージを、送信元の端末装置３０１に送信する（ステップＳ６５）。端末装置３０１は、ＶＰＮ接続装置３ａからDHCP_OFFERメッセージを受信すると、提示されたＩＰアドレスなどのデータを保持し、当該ＩＰアドレスなどの割り当てを要求するDHCP_REQUESTメッセージを、ＶＰＮ接続装置３ａに送信する（又はブロードキャストする）（ステップＳ６７）。ＶＰＮ接続装置３ａのＤＨＣＰサーバ部３２ａは、端末装置３０１からDHCP_REQUESTメッセージを受信すると、ＤＨＣＰテーブルに端末装置３０１へのＩＰアドレスなどの割り当てを登録する（ステップＳ６８）。図４（ｂ）のテーブル４１３においては、第一行目にＭＡＣアドレス00:90:99:7d:4c:xxに対応して、テーブル４１２において割り当て用ＩＰアドレスとして指定されている新たなＩＰアドレス群から192.168.11.2が割り当てられている。そして、DHCP_ACKメッセージを端末装置３０１に送信する（ステップＳ６９）。端末装置３０１は、ＶＰＮ接続装置３ａからDHCP_ACKメッセージを受信すると、ＶＰＮを介して通信を行うことができるようになる。

この段階では、全てのＩＰアドレスの切り替えが終わっていないので、例えば端末装置３０２（端末Ｂ）が、他拠点のＩＰアドレス宛に何らかのデータを送信しようとすると（ステップＳ７１）、ＶＰＮ接続装置３ａのアクセス管理部３３ａは、このアクセスをブロックする（ステップＳ７３）。このようにアドレス切り替え前の端末装置から他拠点へのアクセスをブロックしないとアドレス切り替え中別の機器に対してデータを送信するような事態が生じてしまうからである。なお、初期的なリース期間を短くしておけば、アドレスの切り替えは速やかに完了するはずであり、ブロックするアクセスの数を減らすことができ、通信に支障をきたす期間は短くまたそのようなケースも少なくなる。

このような処理を繰り返すことにより、ＶＰＮ主接続装置５から配下の端末装置に使用可能なＩＰアドレスの割り当てを受ける前にＩＰアドレスを独自に割り当てた全ての端末装置に、ＶＰＮ主接続装置５から指定されたＩＰアドレスが割り当てられると、テーブル４２１（図４（ｃ））のように初期的に使用していたＶＰＮ端末装置３ａのＩＰアドレス（192.168.1.1)及びサブネットマスク（255.255.255.0）のデータは不要になるため破棄してもよい。なお、テーブル４２２については変更はない。テーブル４２３については、全てのＭＡＣアドレスに対応してテーブル４２２において規定されている割り当て用ＩＰアドレス内のＩＰアドレスが割り当てられていることが示されている。

以上のような動作を行うＶＰＮ接続装置及びＶＰＮ主接続装置を用いることにより、管理者が複数の拠点に渡ってＩＰアドレスの静的な設定を行う必要がなく、さらにＶＰＮ接続装置及びＶＰＮ主接続装置を接続するだけで自動的にＩＰアドレスの重複なくＩＰアドレスを設定することができるため、非常に便利である。

以上説明した本発明の一実施の形態は、一実施の形態に過ぎず、本発明は本実施の形態に限定されるものではない。ＶＰＮ主接続装置５及びＶＰＮ接続装置３ａ又は３ｂについては、１台のＶＰＮ接続装置においてモード切替にて動作を切り替えるようにしても良い。また、図１に示した機能ブロック図は一例であって、他の機能分けに従っても良い。

また、ＤＨＣＰメッセージのやりとりの説明については一部説明を省略している部分もあり、本発明の実施の形態を理解する上で必要な事項のみを説明している。

さらに、ステップＳ２３及びＳ３１は分けて行う例を示したが、同時に通知するようにしても良い。

本発明の一実施の形態に係るシステム概要図である。ＶＰＮ主接続装置において管理するテーブルのデータ例である。ＶＰＮ主接続装置及びＶＰＮ接続装置における処理を説明するフロー図である。（ａ）乃至（ｃ）は、ＶＰＮ接続装置において管理するテーブルのデータの遷移例を示す図である。ＶＰＮ接続装置におけるＩＰアドレス切り替えのフロー（第１の例）を示す図である。ＶＰＮ接続装置におけるＩＰアドレス切り替えのフロー（第２の例）を示す図である。

符号の説明

１インターネット３ａ，３ｂＶＰＮ接続装置
５ＶＰＮ主接続装置
３１ａ，３１ｂリモートＶＰＮ接続部
３２ａ，３２ｂＤＨＣＰサーバ部
３３ａ，３３ｂアクセス管理部
３４ａ，３４ｂアドレス管理部
５１認証処理部５２アドレス管理部５３ＤＨＣＰサーバ部

Claims

主接続装置と接続して仮想私設網を構成するための接続装置であって、
前記接続装置及び当該接続装置の配下の装置で構成される拠点内ネットワークにおいて使用可能なＩＰアドレスである拠点内アドレスを当該配下の装置に割り当てる手段と、
前記主接続装置に接続して、前記仮想私設網において前記接続装置及び前記配下の装置の使用可能なＩＰアドレスを含む仮想私設網アドレス群の割り当てを前記主接続装置から受けるアドレス取得手段と、
前記アドレス取得手段が前記仮想私設網アドレス群の割り当てを受けた際に、前記配下の装置に既に前記拠点内アドレスを割り当て済みの場合、当該配下の装置から拠点内アドレスのリース期間の延長要求を受信してもリース期間の延長を許可せず、前記主接続装置から割り当てを受けた前記仮想私設網アドレス群から新たなＩＰアドレスを前記配下の装置に割り当てる手段と、
を有する接続装置。
前記配下の装置に既に前記拠点内アドレスを割り当て済みであって且つ前記アドレス取得手段が前記主接続装置から前記仮想私設網アドレス群の割り当てを受けている場合には、前記仮想私設網アドレス群に含まれるＩＰアドレス以外のＩＰアドレスを送信元とする、前記仮想私設網への通信をブロックする手段
をさらに有する請求項１記載の接続装置。
前記主接続装置のＩＰアドレスと当該接続装置の認証情報とを用いて前記主接続装置に接続する手段をさらに有する請求項１又は２記載の接続装置。
主接続装置と接続して仮想私設網を構成するための接続装置により実行されるプログラムであって、
前記接続装置及び当該接続装置の配下の装置で構成される拠点内ネットワークにおいて使用可能なＩＰアドレスである拠点内アドレスを当該配下の装置に割り当てるステップと、
前記主接続装置に接続して、前記仮想私設網において前記接続装置及び前記配下の装置の使用可能なＩＰアドレスを含む仮想私設網アドレス群の割り当てを前記主接続装置から受けるステップと、
前記仮想私設網アドレス群の割り当てを受けた際に、前記配下の装置に既に拠点内アドレスを割り当て済みの場合、当該配下の装置から拠点内アドレスのリース期間の延長要求を受信してもリース期間の延長を許可せず、前記主接続装置から割り当てを受けた前記仮想私設網アドレス群から新たなＩＰアドレスを前記配下の装置に割り当てるステップと、
を前記接続装置に実行させるためのプログラム。
主接続装置と接続して仮想私設網を構成するための接続装置により実行されるネットワーク接続制御方法であって、
前記接続装置及び当該接続装置の配下の装置で構成される拠点内ネットワークにおいて使用可能なＩＰアドレスである拠点内アドレスを当該配下の装置に割り当てるステップと、
前記主接続装置に接続して、前記仮想私設網において前記接続装置及び前記配下の装置の使用可能なＩＰアドレスを含む仮想私設網アドレス群の割り当てを前記主接続装置から受けるステップと、
前記仮想私設網アドレス群の割り当てを受けた際に、前記配下の装置に既に拠点内アドレスを割り当て済みの場合、当該配下の装置から拠点内アドレスのリース期間の延長要求を受信してもリース期間の延長を許可せず、前記主接続装置から割り当てを受けた前記仮想私設網アドレス群から新たなＩＰアドレスを前記配下の装置に割り当てるステップと、
を含むネットワーク接続制御方法。