JP4775154B2 - COMMUNICATION SYSTEM, TERMINAL DEVICE, PROGRAM, AND COMMUNICATION METHOD - Google Patents

COMMUNICATION SYSTEM, TERMINAL DEVICE, PROGRAM, AND COMMUNICATION METHOD Download PDF

Info

Publication number
JP4775154B2
JP4775154B2 JP2006201815A JP2006201815A JP4775154B2 JP 4775154 B2 JP4775154 B2 JP 4775154B2 JP 2006201815 A JP2006201815 A JP 2006201815A JP 2006201815 A JP2006201815 A JP 2006201815A JP 4775154 B2 JP4775154 B2 JP 4775154B2
Authority
JP
Japan
Prior art keywords
server
network
vpn server
vpn
terminal device
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
JP2006201815A
Other languages
Japanese (ja)
Other versions
JP2008028899A (en
Inventor
知広 猪鹿倉
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NEC Corp
Original Assignee
NEC Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NEC Corp filed Critical NEC Corp
Priority to JP2006201815A priority Critical patent/JP4775154B2/en
Publication of JP2008028899A publication Critical patent/JP2008028899A/en
Application granted granted Critical
Publication of JP4775154B2 publication Critical patent/JP4775154B2/en
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Landscapes

  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Description

本発明は、通信システム、端末装置、プログラム、及び、通信方法に関し、更に詳しくは、端末装置とサーバ装置とを含む通信システム、並びに、そのような通信システムにおける端末装置、プログラム、及び、通信方法に関する。 The present invention relates to a communication system, terminal device, program, and relates to a communication method and, more particularly, a communication system including the terminal apparatus and the server apparatus, and the terminal apparatus, the program in such a communication system and, It relates to a communication method.

ＶＰＮ（Virtual Private Network）とは、複数のＬＡＮを他の通信路を用いて接続し、仮想的に１つのＬＡＮとして動作させる技術である。例えば、あるＬＡＮに属する機器を外部に持ち出し、その機器をＬＡＮ中の他の機器と接続させる場合を考える。この場合、まず、その機器を、ＬＡＮ中に設置したＶＰＮサーバに接続する。その後、ＶＰＮサーバとの間に張った通信路を用いて、ＬＡＮ内の機器と、ＶＰＮサーバに接続した機器との間で通信を行う。   VPN (Virtual Private Network) is a technique for connecting a plurality of LANs using other communication paths to virtually operate as one LAN. For example, consider a case where a device belonging to a certain LAN is taken outside and the device is connected to another device in the LAN. In this case, the device is first connected to a VPN server installed in the LAN. Thereafter, communication is performed between a device in the LAN and a device connected to the VPN server using a communication path established between the VPN server and the VPN server.

ＶＰＮ技術に関し、外部に持ち出した機器を外部ネットワークに接続した際に、自動的に所属するＬＡＮへとＶＰＮを接続するシステムとして、ＶＰＮ自動接続システムがある。従来のＶＰＮ自動接続システムの一例が、特許文献１に記載されている。特許文献１では、機器をネットワークに接続したときに、その接続したネットワークのアドレス体系を検知し、検知したアドレス体系が、自身が属するＬＡＮアドレス体系と異なるときには、外部に持ち出されたと判断して、所属ＬＡＮに、自動的にＶＰＮ接続する。   Regarding VPN technology, there is a VPN automatic connection system as a system for automatically connecting a VPN to a LAN to which the device belongs when a device taken outside is connected to an external network. An example of a conventional VPN automatic connection system is described in Patent Document 1. In Patent Document 1, when a device is connected to a network, the address system of the connected network is detected, and when the detected address system is different from the LAN address system to which the device belongs, it is determined that it has been taken outside. VPN connection is automatically made to the affiliated LAN.

ところで、ＶＰＮ接続で所属ＬＡＮと接続している機器は、所属ＬＡＮ以外の通信路を通じて所属ＬＡＮに接続しているため、所属ＬＡＮ内の機器と直接に通信できることに加えて、そのＶＰＮを接続するために使用している通信路を通じて、所属ＬＡＮ以外の外部の機器と、直接に通信することが可能である。このような状態では、ＶＰＮに接続している機器から、所属ＬＡＮ中に保存されている情報が外部に漏れる危険性がある。そこで、特許文献１では、ＶＰＮ接続中は、アプリケーションに対してＶＰＮ以外の通信路の使用を禁じることで、情報の漏洩を防ぐ仕組みを用いている。
特開２００６−２００８９号公報 By the way, since the device connected to the affiliated LAN by VPN connection is connected to the affiliated LAN through a communication path other than the affiliated LAN, in addition to being able to communicate directly with the device in the affiliated LAN, the VPN is connected. Therefore, it is possible to communicate directly with an external device other than the belonging LAN through the communication path used for this purpose. In such a state, there is a risk that information stored in the belonging LAN leaks out from the device connected to the VPN. Therefore, Patent Document 1 uses a mechanism that prevents information leakage by prohibiting the use of communication paths other than VPN for applications during VPN connection.
JP 2006-20089 A

ここで、特許文献１を含めた従来技術では、接続したＬＡＮが、所属ＬＡＮであるか否かを、ネットワークアドレスを用いて判断している。しかしながら、ネットワークのアドレスは、ネットワーク管理者であれば容易に変更することが可能であり、所属ＬＡＮと同じネットワークアドレスを設定することも容易である。このため、端末が接続したネットワークが、あたかも所属ＬＡＮであるかのように詐称されたときには、端末は、そのネットワークに接続された任意の機器との間で通信可能であるから、端末から、所属ＬＡＮ以外の機器に情報が漏洩するおそれがあるという問題がある。   Here, in the prior art including Patent Document 1, it is determined by using a network address whether or not the connected LAN is a belonging LAN. However, the network address can be easily changed by a network administrator, and it is easy to set the same network address as the belonging LAN. For this reason, when the network to which the terminal is connected is misrepresented as if it belongs to the affiliated LAN, the terminal can communicate with any device connected to the network. There is a problem that information may be leaked to devices other than the LAN.

また、従来技術では、端末が接続したネットワークが所属ネットワークであるか否かを、ネットワークアドレスのみで判断するため、判定すべきネットワークが複数ある場合で、ネットワークアドレスが等しいネットワークが存在する場合には、接続したネットワークがどこであるかを判定することが困難である。更に、新たなネットワークを構築した場合にはその情報を、全ての端末に設定する必要があり、設定が手間であるという問題もある。   Also, in the prior art, whether or not the network to which the terminal is connected is an affiliated network is determined only by the network address, so when there are multiple networks to be determined and there are networks with the same network address It is difficult to determine where the connected network is. Furthermore, when a new network is constructed, it is necessary to set the information in all terminals, and there is a problem that setting is troublesome.

本発明は、上記従来技術の問題点を解消し、端末を外部に持ち出した場合でも、その端末から所属ネットワーク中の情報が外部に漏洩する事態を防止できる通信システム及び方法、並びに、そのような通信システムで用いられる端末装置、及び、プログラムを提供することを目的とする。 The present invention solves the above-mentioned problems of the prior art, and even when the terminal is taken outside, the communication system and method capable of preventing the information in the network to which the terminal belongs from leaking to the outside, and such a terminal apparatus used in a communication system,及 beauty, and to provide a program.

また、本発明は、接続したネットワークに応じた通信フィルタリングが実行できる通信システム及び方法、並びに、そのような通信システムで用いられる端末装置を提供することを目的とする。 Further, the present invention relates to a communication system and method COMMUNICATION filtering in accordance with the connected network can perform, as well, and to provide a terminal equipment used in such communication systems.

上記目的を達成するために、本発明の通信システムは、端末装置と、該端末装置に対してＶＰＮ（Virtual Private Network）機能を提供するＶＰＮサーバとを用いた通信システムであって、前記端末装置が接続したネットワーク上に発見したＶＰＮサーバとの間で認証を行い、前記発見したＶＰＮサーバが、正規のＶＰＮサーバであるか否かを判断するサーバ認証手段と、前記サーバ認証手段によって正規のＶＰＮサーバであると判断されると、前記端末装置に対して、前記接続したネットワークとの間の通信を全て許可し、前記サーバ認証手段によって正規のＶＰＮサーバでないと判断されると、前記端末装置に対して、前記接続したネットワークとの間の全ての通信を禁止するファイアウォール手段とを備えることを特徴とする。 In order to achieve the above object, a communication system of the present invention is a communication system using a terminal device and a VPN server that provides a VPN (Virtual Private Network) function to the terminal device. There authenticate with the VPN server was found on the connected network, the VPN server was the discovery, the server authentication unit that determines whether the normal VPN server, regular VPN by the server authentication unit If it is determined that the server is a server, the terminal device is allowed to communicate with the connected network. If the server authentication unit determines that the terminal device is not a regular VPN server, the terminal device On the other hand, a firewall means for prohibiting all communication with the connected network is provided.

本発明の通信システムでは、端末装置が接続したネットワークを、サーバ認証部が、接続したネットワーク上に発見したＶＰＮサーバが正規のＶＰＮサーバであると判断するか否かによって判断し、正規のＶＰＮサーバであると判断すると、接続したネットワークが端末装置が接続すべきネットワークであると判断して、ファイアウォール手段により、接続したネットワークとの間の通信を許可する。このようにすることで、端末装置が接続したネットワークが、接続すべきネットワークであると確認されたときに、端末装置に対して、接続したネットワーク中の他の機器との間の通信を許可することができ、端末装置から、接続すべきネットワーク外に情報が漏洩する事態を防止できる。   In the communication system of the present invention, the network to which the terminal device is connected is determined based on whether or not the server authentication unit determines that the VPN server found on the connected network is a normal VPN server. If it is determined that the network is connected, it is determined that the connected network is a network to which the terminal device is to be connected, and communication with the connected network is permitted by the firewall unit. In this way, when it is confirmed that the network to which the terminal device is connected is the network to be connected, the terminal device is allowed to communicate with other devices in the connected network. It is possible to prevent a situation in which information leaks from the terminal device outside the network to be connected.

本発明の通信システムでは、前記サーバ認証手段は、前記発見したＶＰＮサーバに対して認証を要求し、該認証要求に対する前記ＶＰＮサーバからの認証応答を受信すると、該受信した認証応答に基づいて、前記発見したＶＰＮサーバが正規のＶＰＮサーバであるか否かを判断する構成を採用できる。この場合、前記認証応答には、所定の情報を、正規のＶＰＮサーバのみが知り得る情報を用いて暗号化した情報が含まれており、前記ＶＰＮサーバ認証手段は、前記認証応答に含まれる暗号化された情報を、正規のＶＰＮサーバのみが知り得る情報を用いて正しく解くことができるときには、前記発見したＶＰＮサーバが正規のＶＰＮサーバであると判断する構成を採用できる。正規のＶＰＮサーバのみが知り得る情報としては、ＶＰＮサーバが接続する内部側のネットワークのネットワークＩＤや、システムに共通のＩＤなどを用いることができる。また、所定の情報には、例えば、端末装置側で発生させたランダムな数値を用いることができる。 In the communication system of the present invention, the server authentication means requests the discovered VPN server for authentication, receives an authentication response from the VPN server in response to the authentication request, and based on the received authentication response, A configuration for determining whether or not the discovered VPN server is a regular VPN server can be employed. In this case, the authentication response includes information obtained by encrypting predetermined information using information that only a legitimate VPN server can know, and the VPN server authentication means includes an encryption response included in the authentication response. When the converted information can be correctly solved using information that only a legitimate VPN server can know, a configuration can be adopted in which the discovered VPN server is determined to be a legitimate VPN server. As information that only the legitimate VPN server can know, the network ID of the internal network to which the VPN server is connected, the ID common to the system, and the like can be used. Further, for example, a random numerical value generated on the terminal device side can be used as the predetermined information.

本発明の通信システムでは、前記ＶＰＮサーバは、外部ネットワークと内部ネットワークとに接続されており、前記外部ネットワークに接続された端末装置に対して、前記内部ネットワークに接続された機器との間の通信を可能にするＶＰＮ機能を提供する構成を採用することができる。   In the communication system of the present invention, the VPN server is connected to an external network and an internal network, and communication between a terminal device connected to the external network and a device connected to the internal network is performed. It is possible to employ a configuration that provides a VPN function that enables the above.

本発明の通信システムは、前記端末装置が接続したネットワーク上に存在するＶＰＮサーバを探索するサーバ探索手段を更に備え、前記サーバ認証手段は、前記サーバ探索手段が発見したＶＰＮサーバが正規のＶＰＮサーバであるか否かを判断し、前記ファイアウォール手段は、前記サーバ認証手段によって、前記発見されたＶＰＮサーバが正規のＶＰＮサーバであると判断される前には、ＶＰＮサーバの探索に用いられる通信のみを許可する一方で、前記ＶＰＮサーバの探索に用いられる通信とは異なる通信を全て禁止する構成を採用できる。この場合、前記サーバ探索手段は、前記接続したネットワークにサーバ探索のためのメッセージを送信し、該サーバ探索メッセージに対する探索応答メッセージを受信すると、前記探索応答メッセージの送信元のＶＰＮサーバを、前記接続したネットワーク上に存在するＶＰＮサーバとして発見する構成を採用できる。このようにすることで、端末装置は、接続したネットワーク上に存在するＶＰＮサーバを見つけ出すことができる。 The communication system of the present invention further comprises server search means for searching for a VPN server existing on the network to which the terminal device is connected, and the server authentication means is a VPN server in which the VPN server discovered by the server search means is a regular VPN server. The firewall means determines only the communication used for searching for the VPN server before the server authentication means determines that the discovered VPN server is a legitimate VPN server. On the other hand, it is possible to adopt a configuration that prohibits all communication different from the communication used for searching the VPN server . In this case, the server search means transmits a server search message to the connected network and receives a search response message for the server search message. It is possible to adopt a configuration for discovering as a VPN server existing on the network. By doing in this way, the terminal device can find the VPN server which exists on the connected network.

本発明の通信システムでは、前記ＶＰＮサーバが、前記内部ネットワークを介して前記サーバ探索メッセージを受信すると、該サーバ探索メッセージの送信元の端末装置に、前記探索応答メッセージを送信する探索応答部を備える構成を採用できる。   In the communication system according to the present invention, when the VPN server receives the server search message via the internal network, the VPN server includes a search response unit that transmits the search response message to a terminal device that is a transmission source of the server search message. Configuration can be adopted.

本発明の通信システムでは、前記サーバ探索手段が、前記接続したネットワーク上にＶＰＮサーバを発見できないと判断すると、前記接続したネットワークとは異なるネットワーク上に存在するＶＰＮサーバとの間で仮想通信路を生成し、該生成した仮想通信路を用いて、当該ＶＰＮサーバが接続する内部ネットワークに接続するＶＰＮ接続部を更に備える構成を採用できる。端末装置が接続したネットワーク上にＶＰＮサーバが存在しない場合には、接続したネットワークは接続すべきネットワークとは異なるネットワークであることを意味している。この場合には、ＶＰＮサーバに接続し、ＶＰＮサーバの内部ネットワークである、端末装置が接続すべきネットワークに接続することで、端末装置は、接続すべきネットワーク中の他の機器との間で通信を行うことができる。 In the communication system according to the present invention, when the server search means determines that a VPN server cannot be found on the connected network, a virtual communication path is established between the server and a VPN server existing on a different network from the connected network. It is possible to adopt a configuration that further includes a VPN connection unit that generates and uses the generated virtual communication path to connect to the internal network to which the VPN server is connected. When there is no VPN server on the network to which the terminal device is connected, it means that the connected network is a network different from the network to be connected. In this case, the terminal device communicates with other devices in the network to be connected by connecting to the VPN server and connecting to the network to which the terminal device is connected, which is the internal network of the VPN server. It can be performed.

本発明の通信システムでは、前記ＶＰＮ接続部は、前記サーバ認証手段が正規のＶＰＮサーバではないと判断すると、前記接続したネットワークとは異なるネットワーク上に存在するＶＰＮサーバにアクセスして、該ＶＰＮサーバとの間で仮想通信路を生成し、該生成した仮想通信路を用いて、当該ＶＰＮサーバが接続する前記内部ネットワークに接続する構成を採用できる。接続したネットワーク上のＶＰＮサーバが正規のＶＰＮサーバでないということは、端末装置は、接続すべきネットワークとは異なるネットワークに接続していることを意味する。この場合には、ＶＰＮサーバに接続し、ＶＰＮサーバの内部ネットワークである、端末装置が接続すべきネットワークに接続することで、端末装置は、接続すべきネットワーク中の他の機器との間で通信を行うことができる。   In the communication system of the present invention, when the VPN connection unit determines that the server authentication unit is not a regular VPN server, the VPN connection unit accesses a VPN server existing on a network different from the connected network, and the VPN server It is possible to adopt a configuration in which a virtual communication path is generated between the server and the internal network to which the VPN server is connected using the generated virtual communication path. That the VPN server on the connected network is not a regular VPN server means that the terminal device is connected to a network different from the network to be connected. In this case, the terminal device communicates with other devices in the network to be connected by connecting to the VPN server and connecting to the network to which the terminal device is connected, which is the internal network of the VPN server. It can be performed.

本発明の通信システムでは、前記ＶＰＮ接続部は、前記サーバ認証手段が正規のＶＰＮサーバであると判断すると、該正規のＶＰＮサーバが前記端末装置に対してあらかじめ設定された所属ネットワーク上に存在するＶＰＮサーバであるか否かを判断し、前記所属ネットワーク上に存在するＶＰＮサーバではないと判断すると、前記接続したネットワーク上に存在するＶＰＮサーバとの間で仮想通信路を生成すると共に、前記所属ネットワーク上のＶＰＮサーバにアクセスして、該所属ネットワーク上のＶＰＮサーバと、前記接続したネットワークに存在するＶＰＮサーバとの間で仮想通信路を生成し、前記生成した双方の仮想通信路を用いて、前記所属ネットワークに接続する構成を採用できる。接続したネットワーク上のＶＰＮサーバが、正規のＶＰＮサーバではあるが、所属ネットワークのＶＰＮサーバでない場合には、接続したネットワーク上のＶＰＮサーバを介して、所属ネットワーク上のＶＰＮサーバに接続し、所属ネットワークに接続する。このようにすることで、端末装置は、所属ネットワーク中の他の機器との間で通信を行うことができる。   In the communication system according to the present invention, when the VPN connection unit determines that the server authentication unit is a regular VPN server, the regular VPN server exists on an affiliated network set in advance for the terminal device. If it is determined whether it is a VPN server, and if it is not a VPN server existing on the affiliated network, a virtual communication path is generated with the VPN server existing on the connected network, and the affiliated network A VPN server on the network is accessed, a virtual communication path is generated between the VPN server on the affiliated network and the VPN server existing on the connected network, and both the generated virtual communication paths are used. A configuration of connecting to the affiliated network can be employed. If the VPN server on the connected network is a regular VPN server but not the VPN server of the affiliated network, the VPN server on the affiliated network is connected to the VPN server on the affiliated network via the VPN server on the connected network. Connect to. In this way, the terminal device can communicate with other devices in the belonging network.

本発明の通信システムでは、前記ファイアウォール手段は、前記端末装置に対して、前記ＶＰＮサーバとの間で生成された仮想通信路を用いた通信のみを許可し、その他の通信を禁止する構成を採用できる。この場合、接続したネットワークに対する通信が禁止されることで、端末装置から、ＶＰＮサーバを介して接続したネットワーク中の情報が漏洩する事態を防止できる。   In the communication system according to the present invention, the firewall means adopts a configuration in which only the communication using the virtual communication path generated with the VPN server is allowed to the terminal device, and other communication is prohibited. it can. In this case, by prohibiting communication with the connected network, it is possible to prevent the terminal device from leaking information in the network connected via the VPN server.

本発明の通信システムでは、ファイアウォール手段は、前記サーバ認証手段が正規のＶＰＮサーバではないと判断すると、前記端末装置に対して、全ての通信を禁止する構成を採用できる。接続したネットワーク上にＶＰＮサーバが存在するが、そのＶＰＮサーバが正規のＶＰＮサーバでないということは、接続したネットワークは、端末装置が接続すべきネットワークであると詐称されていると考えられる。この場合、ファイアウォール手段により、全ての通信を禁止することで、接続したネットワークに端末装置内の情報が漏洩する事態を防止することができる。   In the communication system of the present invention, the firewall unit may adopt a configuration that prohibits all communication to the terminal device when the server authentication unit determines that the server is not a regular VPN server. Although a VPN server exists on the connected network, but the VPN server is not a regular VPN server, it is considered that the connected network is spoofed as a network to which the terminal device should be connected. In this case, by prohibiting all communication by the firewall means, it is possible to prevent a situation in which information in the terminal device leaks to the connected network.

本発明の端末装置は、端末装置に対してＶＰＮ（Virtual Private Network）機能を提供するＶＰＮサーバを含む通信システムで使用される端末装置であって、前記端末装置が接続したネットワーク上に発見したＶＰＮサーバとの間で認証を行い、前記発見したＶＰＮサーバが、正規のＶＰＮサーバか否かを判断するサーバ認証手段と、前記サーバ認証手段によって正規のＶＰＮサーバであると判断されると、前記端末装置に対して、前記接続したネットワークとの間の通信を全て許可し、前記サーバ認証手段によって正規のＶＰＮサーバでないと判断されると、前記端末装置に対して、前記接続したネットワークとの間の全ての通信を禁止するファイアウォール手段とを備えることを特徴とする。 The terminal device of the present invention is a terminal device used in a communication system including a VPN server that provides a VPN (Virtual Private Network) function to the terminal device, and is a VPN discovered on the network to which the terminal device is connected. authenticate with the server, VPN server that has the found, the server authentication means for determining whether legitimate VPN server, if it is determined that an authorized VPN server by the server authentication unit, said terminal When the device authenticates all communication with the connected network and the server authentication means determines that the device is not a legitimate VPN server, the device communicates with the connected network. And firewall means for prohibiting all communications .

本発明の端末装置では、接続したネットワークを、サーバ認証部が、接続したネットワーク上に発見したＶＰＮサーバが正規のＶＰＮサーバであると判断するか否かによって判断し、正規のＶＰＮサーバであると判断すると、接続したネットワークが端末装置が接続すべきネットワークであると判断して、ファイアウォール手段により、接続したネットワークとの間の通信を許可する。このようにすることで、端末装置が接続したネットワークが、接続すべきネットワークであると確認されたときに、接続したネットワーク中の他の機器との間の通信を開始することができ、端末装置から、接続すべきネットワーク外に情報が漏洩する事態を防止できる。   In the terminal device of the present invention, the connected network is determined based on whether or not the server authentication unit determines that the VPN server found on the connected network is a regular VPN server, and is a regular VPN server. If it judges, it will judge that the connected network is a network which a terminal device should connect, and communication with the connected network is permitted by a firewall means. By doing in this way, when it is confirmed that the network to which the terminal device is connected is the network to be connected, communication with other devices in the connected network can be started. Therefore, it is possible to prevent information from leaking outside the network to be connected.

本発明の端末装置では、前記サーバ認証手段は、前記接続したネットワーク上に発見したＶＰＮサーバに対して認証を要求し、該認証要求に対する前記ＶＰＮサーバからの認証応答を受信すると、該受信した認証応答に基づいて、前記発見したＶＰＮサーバが正規のＶＰＮサーバであるか否かを判断する構成を採用できる。この場合、前記認証応答には、所定の情報を、正規のＶＰＮサーバのみが知り得る情報を用いて暗号化した情報が含まれており、前記ＶＰＮサーバ認証手段は、前記認証応答に含まれる暗号化された情報を、正規のＶＰＮサーバのみが知り得る情報を用いて正しく解くことができるときには、前記発見したＶＰＮサーバが正規のＶＰＮサーバであると判断する構成を採用できる。正規のＶＰＮサーバのみが知り得る情報としては、ＶＰＮサーバが接続する内部側のネットワークのネットワークＩＤや、システムに共通のＩＤなどを用いることができる。また、所定の情報には、例えば、端末装置側で発生させたランダムな数値を用いることができる。 In the terminal device according to the present invention, when the server authentication means requests the VPN server found on the connected network to authenticate and receives an authentication response from the VPN server in response to the authentication request, the received authentication Based on the response, it is possible to adopt a configuration for determining whether or not the discovered VPN server is a regular VPN server. In this case, the authentication response includes information obtained by encrypting predetermined information using information that only a legitimate VPN server can know, and the VPN server authentication means includes an encryption response included in the authentication response. When the converted information can be correctly solved using information that only a legitimate VPN server can know, a configuration can be adopted in which the discovered VPN server is determined to be a legitimate VPN server. As information that only the legitimate VPN server can know, the network ID of the internal network to which the VPN server is connected, the ID common to the system, and the like can be used. Further, for example, a random numerical value generated on the terminal device side can be used as the predetermined information.

本発明の端末装置は、前記端末装置が接続したネットワーク上に存在するＶＰＮサーバを探索するサーバ探索手段を更に備え、前記サーバ認証手段は、前記サーバ探索手段が発見したＶＰＮサーバが正規のＶＰＮサーバであるか否かを判断し、前記ファイアウォール手段は、前記サーバ認証手段によって、前記発見されたＶＰＮサーバが正規のＶＰＮサーバであると判断される前には、ＶＰＮサーバの探索に用いられる通信のみを許可する一方で、前記ＶＰＮサーバの探索に用いられる通信とは異なる通信を全て禁止する構成を採用できる。 The terminal device according to the present invention further includes server search means for searching for a VPN server existing on a network to which the terminal device is connected, and the server authentication means is configured such that the VPN server discovered by the server search means is a regular VPN server. The firewall means determines only the communication used for searching for the VPN server before the server authentication means determines that the discovered VPN server is a legitimate VPN server. On the other hand, it is possible to adopt a configuration that prohibits all communication different from the communication used for searching the VPN server .

本発明の端末装置は、前記サーバ探索手段が、前記接続したネットワーク上にＶＰＮサーバが存在しないと判断すると、前記接続したネットワークとは異なるネットワーク上に存在するＶＰＮサーバとの間で仮想通信路を生成し、該生成した仮想通信路を用いて、前記ＶＰＮサーバとの間でＶＰＮ通信を行うＶＰＮ接続部を更に備える構成を採用できる。端末装置が接続したネットワーク上にＶＰＮサーバが存在しない場合には、接続したネットワークは接続すべきネットワークとは異なるネットワークであることを意味している。この場合には、ＶＰＮサーバに接続し、ＶＰＮサーバの内部側のネットワークである、端末装置が接続すべきネットワークに接続することで、端末装置は、接続すべきネットワーク中の他の機器との間で通信を行うことができる。 When the server search means determines that there is no VPN server on the connected network, the terminal device of the present invention establishes a virtual communication path with a VPN server existing on a network different from the connected network. It is possible to employ a configuration that further includes a VPN connection unit that generates and performs VPN communication with the VPN server using the generated virtual communication path. When there is no VPN server on the network to which the terminal device is connected, it means that the connected network is a network different from the network to be connected. In this case, by connecting to the VPN server and connecting to the network to which the terminal device is to be connected, which is the internal network of the VPN server, the terminal device is connected to other devices in the network to be connected. Can communicate.

本発明の端末装置では、前記ＶＰＮ接続部は、前記サーバ認証手段が正規のＶＰＮサーバであると判断すると、該正規のＶＰＮサーバが前記端末装置に対してあらかじめ設定された所属ネットワーク上に存在するＶＰＮサーバであるか否かを判断し、前記所属ネットワーク上に存在するＶＰＮサーバではないと判断すると、前記接続したネットワーク上に存在するＶＰＮサーバとの間で仮想通信路を生成すると共に、前記所属ネットワーク上のＶＰＮサーバにアクセスして、該所属ネットワーク上のＶＰＮサーバと、前記接続したネットワークに存在するＶＰＮサーバとの間で仮想通信路を生成し、前記生成した双方の仮想通信路を用いて、前記所属ネットワークに接続する構成を採用できる。接続したネットワーク上のＶＰＮサーバが、正規のＶＰＮサーバではあるが、所属ネットワークのＶＰＮサーバでない場合には、接続したネットワーク上のＶＰＮサーバを介して、所属ネットワーク上のＶＰＮサーバに接続し、所属ネットワークに接続する。このようにすることで、端末装置は、所属ネットワーク中の他の機器との間で通信を行うことができる。   In the terminal device according to the present invention, when the VPN connection unit determines that the server authentication means is a regular VPN server, the regular VPN server exists on a network to which the terminal device is set in advance. If it is determined whether it is a VPN server, and if it is not a VPN server existing on the affiliated network, a virtual communication path is generated with the VPN server existing on the connected network, and the affiliated network A VPN server on the network is accessed, a virtual communication path is generated between the VPN server on the affiliated network and the VPN server existing on the connected network, and both the generated virtual communication paths are used. A configuration of connecting to the affiliated network can be employed. If the VPN server on the connected network is a regular VPN server but not the VPN server of the affiliated network, the VPN server on the affiliated network is connected to the VPN server on the affiliated network via the VPN server on the connected network. Connect to. In this way, the terminal device can communicate with other devices in the belonging network.

本発明の端末装置では、前記ファイアウォール手段は、前記端末装置に対して、前記生成された仮想通信路を用いた通信のみを許可し、その他の通信を禁止する構成を採用できる。この場合、接続したネットワークに対する通信が禁止されることで、端末装置から、ＶＰＮサーバを介して接続したネットワーク中の情報が漏洩する事態を防止できる。   In the terminal device according to the present invention, the firewall unit may adopt a configuration in which only the communication using the generated virtual communication path is permitted to the terminal device and other communication is prohibited. In this case, by prohibiting communication with the connected network, it is possible to prevent the terminal device from leaking information in the network connected via the VPN server.

本発明の端末装置では、ファイアウォール手段は、前記サーバ認証手段が正規のＶＰＮサーバではないと判断すると、前記端末装置に対して、全ての通信を禁止する構成を採用できる。接続したネットワーク上にＶＰＮサーバが存在するが、そのＶＰＮサーバが正規のＶＰＮサーバでないということは、接続したネットワークは、端末装置が接続すべきネットワークであると詐称されていると考えられる。この場合、ファイアウォール手段により、全ての通信を禁止することで、接続したネットワークに端末装置内の情報が漏洩する事態を防止することができる。   In the terminal device of the present invention, the firewall unit may adopt a configuration that prohibits all communication to the terminal device when the server authentication unit determines that it is not a regular VPN server. Although a VPN server exists on the connected network, but the VPN server is not a regular VPN server, it is considered that the connected network is spoofed as a network to which the terminal device should be connected. In this case, by prohibiting all communication by the firewall means, it is possible to prevent a situation in which information in the terminal device leaks to the connected network.

本発明のＶＰＮサーバは、外部ネットワークと内部ネットワークとに接続され、前記外部ネットワークに接続された端末装置に対して、前記内部ネットワークに接続された機器との間の通信を可能にするＶＰＮ（Virtual Private Network）機能を提供するＶＰＮサーバであって、前記内部ネットワークを介して、端末装置によって送信された認証要求を受信すると、該受信した認証要求の端末装置に、前記認証要求に対する認証応答を送信する認証応答部を備えることを特徴とする。   The VPN server of the present invention is connected to an external network and an internal network, and allows a terminal device connected to the external network to communicate with a device connected to the internal network. A VPN server providing a private network function, and upon receiving an authentication request transmitted by a terminal device via the internal network, transmits an authentication response to the authentication request to the terminal device of the received authentication request An authentication response unit is provided.

本発明のＶＰＮサーバは、内部ネットワーク側に接続された端末装置からの認証要求に対して認証応答を送信し、端末装置に対して、端末装置が接続した内部ネットワークが、正規のＶＰＮサーバが接続されたネットワークであることを保証する。このようにすることで、端末装置側は、接続したネットワークが、正規のＶＰＮサーバが存在するネットワーク、つまりは接続すべきネットワークであることを確認でき、その後、接続したネットワークとの通信を開始することで、接続すべきネットワークであることが確認されたネットワーク中の他の機器との間で通信を行うことができる。   The VPN server of the present invention transmits an authentication response to the authentication request from the terminal device connected to the internal network side, and the internal network to which the terminal device is connected is connected to the terminal device by the regular VPN server. To ensure that the network is secure. In this way, the terminal device side can confirm that the connected network is a network in which a regular VPN server exists, that is, a network to be connected, and then starts communication with the connected network. Thus, communication can be performed with other devices in the network that have been confirmed to be connected.

本発明のＶＰＮサーバでは、前記認証応答部は、正規のＶＰＮサーバのみが知り得る情報を用いて暗号化した情報を、前記認証応答に含めて送信する構成を採用できる。この場合、端末装置側は、認証応答に含まれる暗号化された情報を、正規のＶＰＮサーバのみが知り得る情報を用いて解くことができるか否かによって、ＶＰＮサーバが正規のＶＰＮサーバであるか否かを判段できる。   In the VPN server of the present invention, the authentication response unit can employ a configuration in which information encrypted using information that only a legitimate VPN server can know is included in the authentication response and transmitted. In this case, the VPN server is a regular VPN server depending on whether or not the encrypted information included in the authentication response can be solved using information that only the regular VPN server can know. It can be determined whether or not.

本発明のＶＰＮサーバは、前記内部ネットワークを介して、端末装置によって送信されたサーバ探索のためのメッセージを受信すると、該サーバ探索メッセージの送信元の端末装置に、前記サーバ探索メッセージに対する応答である探索応答メッセージを送信する探索応答部を更に備える構成を採用できる。この場合、端末装置側は、探索応答部からの応答を受信することで、接続したネットワーク上に存在するＶＰＮサーバを見つけ出すことができる。   When the VPN server of the present invention receives a server search message transmitted by the terminal device via the internal network, the VPN server sends a response to the server search message to the terminal device that is the transmission source of the server search message. A configuration further including a search response unit that transmits a search response message can be employed. In this case, the terminal device side can find a VPN server existing on the connected network by receiving a response from the search response unit.

本発明の通信方法は、サーバ装置と、ファイアウォール手段を有する端末装置とを用いた通信方法であって、前記端末装置が、接続したネットワークに発見したサーバ装置に対して、認証を要求するステップと、前記サーバ装置が、前記認証の要求に対する応答を返信するステップと、前記端末装置が、前記サーバ装置からの応答に基づいて、前記応答を返信したサーバ装置が正規のサーバ装置であるか否かを判断するステップと、前記端末装置が、前記応答を返信したサーバ装置が正規のサーバ装置であると判断すると、前記ファイアウォール手段に対して、前記端末装置と該端末装置が接続したネットワークとの間の全ての通信を許可するように指示するステップと、前記端末装置が、前記応答を返信したサーバ装置が正規のサーバ装置でないと判断すると、前記ファイアウォール手段に対して、前記端末装置と該端末装置が接続したネットワークとの間の全ての通信を禁止するように指示するステップと、を有することを特徴とする。 The communication method of the present invention is a communication method using a server device and a terminal device having firewall means, wherein the terminal device requests authentication from a server device found in a connected network; The server device returns a response to the authentication request, and the terminal device returns the response based on the response from the server device, whether or not the server device is a legitimate server device. And when the terminal device determines that the server device that has returned the response is a legitimate server device, the firewall device is connected between the terminal device and the network to which the terminal device is connected. all the steps of instructing to allow communication, the terminal apparatus, server apparatus legitimate server device that returned the response of If it is determined that it does not, to the firewall device, and having the steps of: instructing to prohibit all communications between the network to which the terminal device and the terminal device is connected.

本発明の通信システムでは、端末装置とネットワーク上に発見したサーバ装置との間で認証を行い、その認証の結果、発見したサーバ装置が正規のサーバ装置であると判断されるか否かによって、端末装置が接続したネットワークを判断する。正規のサーバ装置であると判断されたときには、接続したネットワークが、端末装置が接続すべきネットワークであると判断して、ファイアウォール手段により、接続したネットワークとの間の通信を許可する。このようにすることで、端末装置が接続したネットワークが、接続すべきネットワークであると確認されたときに、端末装置に対して、接続したネットワーク中の他の機器との間の通信を許可することができ、端末装置から、接続すべきネットワーク外に情報が漏洩する事態を防止できる。   In the communication system of the present invention, authentication is performed between the terminal device and the server device found on the network, and as a result of the authentication, whether or not the found server device is determined to be a legitimate server device, The network to which the terminal device is connected is determined. When it is determined that the server is a legitimate server device, it is determined that the connected network is a network to which the terminal device is to be connected, and communication with the connected network is permitted by the firewall unit. In this way, when it is confirmed that the network to which the terminal device is connected is the network to be connected, the terminal device is allowed to communicate with other devices in the connected network. It is possible to prevent a situation in which information leaks from the terminal device outside the network to be connected.

本発明の通信方法では、前記サーバ装置が、外部ネットワークと内部ネットワークとに接続され、前記外部ネットワークに接続された端末装置に対して、前記内部ネットワークに接続された機器との間の通信を可能にするＶＰＮ（Virtual Private Network）機能を提供するＶＰＮサーバである構成を採用できる。   In the communication method of the present invention, the server device is connected to an external network and an internal network, and a terminal device connected to the external network can communicate with a device connected to the internal network. It is possible to adopt a configuration that is a VPN server that provides a VPN (Virtual Private Network) function.

本発明の通信方法は、前記認証を要求するステップに先立って、前記端末装置が、接続したネットワーク中に存在するサーバ装置を探索するステップをさらに有し、前記認証を要求するステップは、前記サーバ装置を探索するステップで発見されたサーバ装置に対して、認証を要求するステップであり、前記正規のサーバ装置であるか否かを判断するステップにおいて、前記発見されたＶＰＮサーバが正規のＶＰＮサーバであると判断される前には、前記ファイアウォール手段に対して、ＶＰＮサーバの探索に用いられる通信をのみ許可するよう指示する一方で、前記ＶＰＮサーバの探索に用いられる通信とは異なる通信を全て禁止するよう指示するステップをさらに有する構成を採用できる。この場合、端末装置は、接続したネットワーク上に存在するＶＰＮサーバを見つけ出すことができる。 Communication method of the present invention, prior to the step of requesting the authentication, the step of the terminal apparatus further have a step of searching for a server device present in the connected network, requesting the authentication, the server In the step of requesting authentication for the server device discovered in the step of searching for a device, and in the step of determining whether or not it is the regular server device, the discovered VPN server is a regular VPN server Before determining that the firewall server is instructed to permit only the communication used for the search for the VPN server, while all the communication different from the communication used for the search for the VPN server is performed. It can be adopted a configuration in which further have a step of instructing to prohibit. In this case, the terminal device can find a VPN server existing on the connected network.

本発明の通信方法は、接続したネットワーク中に前記サーバ装置が発見されないとき、前記端末装置が、前記接続したネットワークとは異なるネットワーク上に存在するサーバ装置との間で仮想通信路を生成し、該生成した仮想通信路を用いて、当該サーバ装置が接続している前記内部ネットワークに接続するステップと、前記端末装置が、前記ファイアウォール手段に対して、前記生成した仮想通信路による通信のみを許可するように指示するステップとを有する構成を採用できる。端末装置が接続したネットワーク上にＶＰＮサーバが存在しない場合には、接続したネットワークは接続すべきネットワークとは異なるネットワークであることを意味している。この場合には、端末装置から、接続したネットワーク外のＶＰＮサーバに接続し、ＶＰＮサーバの内部ネットワークである、端末装置が接続すべきネットワークに接続することで、端末装置と、接続すべきネットワーク中の他の機器との間の通信を可能とすることができる。また、その際、ファイアウォール手段によって、仮想通信路に対する通信のみを許可し、接続したネットワークに対するその他の通信を禁止することで、端末装置から、ＶＰＮサーバを介して接続したネットワーク中の情報が漏洩する事態を防止できる。   In the communication method of the present invention, when the server device is not found in the connected network, the terminal device generates a virtual communication path with a server device existing on a network different from the connected network, The step of connecting to the internal network to which the server device is connected using the generated virtual communication path, and the terminal device only allows the firewall means to communicate via the generated virtual communication path. And a step of instructing to do so can be adopted. When there is no VPN server on the network to which the terminal device is connected, it means that the connected network is a network different from the network to be connected. In this case, the terminal device is connected to a VPN server outside the connected network, and is connected to the network to which the terminal device is connected, which is the internal network of the VPN server. Communication with other devices can be made possible. Further, at that time, by permitting only communication with the virtual communication path and prohibiting other communication with the connected network by the firewall means, information in the network connected through the VPN server is leaked from the terminal device. The situation can be prevented.

本発明の通信方法は、前記端末装置が、前記発見したサーバ装置が正規のサーバ装置でないと判断すると、前記ファイアウォール手段に対して、前記端末装置と該端末装置が接続したネットワークとの間の全ての通信を禁止するように指示するステップを有する構成を採用できる。接続したネットワーク上にＶＰＮサーバが存在するが、そのＶＰＮサーバが正規のＶＰＮサーバでないということは、接続したネットワークは、端末装置が接続すべきネットワークであると詐称されていると考えられる。この場合、ファイアウォール手段により、全ての通信を禁止することで、接続したネットワークに端末装置内の情報が漏洩する事態を防止することができる。   In the communication method according to the present invention, when the terminal device determines that the discovered server device is not a legitimate server device, all communication between the terminal device and the network to which the terminal device is connected is performed with respect to the firewall unit. It is possible to employ a configuration having a step of instructing to prohibit the communication. Although a VPN server exists on the connected network, but the VPN server is not a regular VPN server, it is considered that the connected network is spoofed as a network to which the terminal device should be connected. In this case, by prohibiting all communication by the firewall means, it is possible to prevent a situation in which information in the terminal device leaks to the connected network.

本発明の通信方法は、前記端末装置が、前記発見したサーバ装置が正規のサーバ装置でないと判断すると、前記接続したネットワークとは異なるネットワーク上に存在するサーバ装置にアクセスし、該サーバ装置との間で仮想通信路を生成し、該生成した仮想通信路を用いて、当該サーバ装置の前記内部ネットワークに接続するステップと、前記端末装置が、前記ファイアウォール手段に対して、前記生成した仮想通信路による通信のみを許可するように指示するステップとを有する構成を採用できる。接続したネットワーク上のＶＰＮサーバが正規のＶＰＮサーバでないということは、端末装置は、接続すべきネットワークとは異なるネットワークに接続していることを意味する。この場合には、端末装置が接続したネットワーク外のＶＰＮサーバに接続し、ＶＰＮサーバの内部ネットワークである、端末装置が接続すべきネットワークに接続することで、端末装置は、接続すべきネットワーク中の他の機器との間で通信を行うことができる。また、その際、ファイアウォール手段によって、仮想通信路に対する通信のみを許可し、接続したネットワークに対するその他の通信を禁止することで、端末装置から、ＶＰＮサーバを介して接続したネットワーク中の情報が漏洩する事態を防止できる。   When the terminal device determines that the discovered server device is not a legitimate server device, the communication method of the present invention accesses a server device that exists on a network different from the connected network, and communicates with the server device. A virtual communication path between the server device using the generated virtual communication path and connecting to the internal network of the server device, and the terminal device to the firewall means the virtual communication path generated And a step of instructing to permit only communication according to the above. That the VPN server on the connected network is not a regular VPN server means that the terminal device is connected to a network different from the network to be connected. In this case, the terminal device is connected to the VPN server outside the network to which the terminal device is connected, and is connected to the network to which the terminal device is to be connected, which is the internal network of the VPN server. Communication with other devices can be performed. Further, at that time, by permitting only communication with the virtual communication path and prohibiting other communication with the connected network by the firewall means, information in the network connected through the VPN server is leaked from the terminal device. The situation can be prevented.

本発明の通信方法は、前記端末装置が、前記発見したサーバ装置が正規のサーバ装置であり、かつ、該サーバ装置が端末装置に対してあらかじめ設定された所属ネットワークに接続されたサーバ装置ではないと判断すると、前記接続したネットワークに存在するサーバ装置との間で仮想通信路を生成するステップと、前記端末装置が、前記所属ネットワークに存在するサーバ装置にアクセスし、該所属ネットワークのサーバ装置と、前記接続したネットワークに存在するサーバ装置との間で仮想通信路を生成するステップと、前記端末装置が、前記生成した仮想通信路を用いて、前記所属ネットワークに接続するステップと、前記端末装置が、前記ファイアウォール手段に対して、前記生成した仮想通信路による通信のみを許可するように指示するステップとを有する構成を採用できる。接続したネットワーク上のＶＰＮサーバが、正規のＶＰＮサーバではあるが、所属ネットワークのＶＰＮサーバでない場合には、接続したネットワーク上のＶＰＮサーバを介して、所属ネットワーク上のＶＰＮサーバに接続し、所属ネットワークに接続する。このようにすることで、端末装置は、所属ネットワーク中の他の機器との間で通信を行うことができる。また、その際、ファイアウォール手段によって、仮想通信路に対する通信のみを許可し、接続したネットワークに対するその他の通信を禁止することで、端末装置から、ＶＰＮサーバを介して接続したネットワーク中の情報が漏洩する事態を防止できる。   In the communication method of the present invention, the terminal device is not a server device in which the discovered server device is a legitimate server device, and the server device is connected to an affiliated network set in advance for the terminal device. Determining a virtual communication path with a server device existing in the connected network, the terminal device accesses a server device existing in the affiliated network, and a server device of the affiliated network A step of generating a virtual communication path with a server device existing in the connected network, a step of connecting the terminal device to the belonging network using the generated virtual communication path, and the terminal device However, it is instructed to allow only the communication through the generated virtual communication path to the firewall means. A structure and a step of can be employed. If the VPN server on the connected network is a regular VPN server but not the VPN server of the affiliated network, the VPN server on the affiliated network is connected to the VPN server on the affiliated network via the VPN server on the connected network. Connect to. In this way, the terminal device can communicate with other devices in the belonging network. Further, at that time, by permitting only communication with the virtual communication path and prohibiting other communication with the connected network by the firewall means, information in the network connected through the VPN server is leaked from the terminal device. The situation can be prevented.

本発明の第１の視点のプログラムは、端末装置に対してＶＰＮ（Virtual Private Network）機能を提供するＶＰＮサーバを含む通信システムで使用されるプログラムであって、前記端末装置に、前記端末装置が接続したネットワーク上に発見されたＶＰＮサーバが正規のＶＰＮサーバか否かを判断する処理と、前記ＶＰＮサーバが正規のＶＰＮサーバであると判断すると、前記端末装置に対して、前記接続したネットワークとの間の通信を全て許可する処理と、前記ＶＰＮサーバが正規のＶＰＮサーバでないと判断すると、前記端末装置に対して、前記接続したネットワークとの間の全ての通信を禁止する処理とを実行させることを特徴とする。 A program according to a first aspect of the present invention is a program used in a communication system including a VPN server that provides a VPN (Virtual Private Network) function to a terminal device, and the terminal device includes: a process of V PN server found on the connected network is determined whether normal VPN server, if the VPN server is determined to be normal VPN server, to the terminal device, and the connection network A process for permitting all communication with the network, and a process for prohibiting all communication with the connected network for the terminal device when it is determined that the VPN server is not a regular VPN server. It is characterized by making it.

本発明の第１の視点のプログラムでは、前記ＶＰＮサーバの認証処理が、前記接続したネットワーク上に存在するＶＰＮサーバに対して認証を要求する処理と、前記認証要求に対する前記ＶＰＮサーバからの認証応答を受信し、該受信した認証応答に基づいて、前記ＶＰＮサーバが正規のＶＰＮサーバであるか否かを判断する処理とを含む構成を採用できる。   In the program according to the first aspect of the present invention, the authentication process of the VPN server includes a process of requesting authentication to a VPN server existing on the connected network, and an authentication response from the VPN server in response to the authentication request. And a process of determining whether or not the VPN server is a regular VPN server based on the received authentication response.

本発明の第１の視点のプログラムでは、前記ＶＰＮサーバの認証処理に先立って、前記端末装置に、前記端末装置が接続したネットワーク上に存在するＶＰＮサーバを探索する処理をさらに実行させ、前記正規のＶＰＮサーバか否かを判断する処理は、前記ＶＰＮサーバを探索する処理で発見されたＶＰＮサーバが正規のＶＰＮサーバか否かを判断する処理であり、前記正規のＶＰＮサーバか否かを判断する処理において、前記発見されたＶＰＮサーバが正規のＶＰＮサーバであると判断される前には、前記端末装置に対して、ＶＰＮサーバの探索に用いられる通信のみを許可する一方で、前記ＶＰＮサーバの探索に用いられる通信とは異なる通信を全て禁止する処理をさらに実行させる構成を採用できる。 In a first aspect of the program of the present invention, the prior to the authentication process of the VPN server and the terminal device, further execute a process of the terminal apparatus searches for a VPN server on the network connected, the normal The process of determining whether or not the VPN server is a normal VPN server is a process of determining whether or not the VPN server discovered in the process of searching for the VPN server is a regular VPN server. In this process, before it is determined that the discovered VPN server is a legitimate VPN server, only the communication used for searching the VPN server is permitted to the terminal device, while the VPN server It is possible to adopt a configuration in which a process for prohibiting all communications different from the communications used for the search is further executed .

本発明の第１の視点のプログラムは、前記ＶＰＮサーバを探索する処理で、前記接続したネットワーク上にＶＰＮサーバが発見できないと判断すると、前記端末装置に、前記接続したネットワーク外に存在するＶＰＮサーバとの間で仮想通信路を生成し、該生成した仮想通信路を用いて、前記ＶＰＮサーバとの間でＶＰＮ通信を行う処理を更に実行させる構成を採用できる。   When the program of the first aspect of the present invention determines that a VPN server cannot be found on the connected network in the process of searching for the VPN server, the VPN server existing outside the connected network is connected to the terminal device. It is possible to adopt a configuration in which a virtual communication path is generated between and a VPN communication is further executed using the generated virtual communication path.

本発明の第１の視点のプログラムは、前記ＶＰＮサーバの認証処理で、正規のＶＰＮサーバであると判断した場合には、前記端末装置に、前記正規のＶＰＮサーバが前記端末装置に対してあらかじめ設定された所属ネットワーク上に存在するＶＰＮサーバであるか否かを判断する処理と、前記所属ネットワーク上に存在するＶＰＮサーバではないと判断したときには、前記接続したネットワーク上に存在するＶＰＮサーバとの間で仮想通信路を生成すると共に、前記所属ネットワーク上のＶＰＮサーバにアクセスして、該所属ネットワーク上のＶＰＮサーバと、前記接続したネットワークに存在するＶＰＮサーバとの間で仮想通信路を生成し、前記生成した双方の仮想通信路を用いて、前記所属ネットワークに接続する処理を更に実行させる構成を採用できる。   The program according to the first aspect of the present invention, when the authentication process of the VPN server determines that the program is a legitimate VPN server, the legitimate VPN server sends the terminal apparatus to the terminal apparatus in advance. When it is determined that it is a VPN server existing on the set affiliated network, and when it is not a VPN server existing on the affiliated network, a VPN server existing on the connected network A virtual communication path between the VPN server on the affiliated network and the VPN server existing on the connected network is generated by accessing the VPN server on the affiliated network. And further executing a process of connecting to the affiliated network using both of the generated virtual communication paths. It can be adopted formed.

本発明の第１の視点のプログラムでは、前記仮想通信路の生成後、前記コンピュータに、前記端末装置に対して、前記生成された仮想通信路を用いた通信のみを許可し、その他の通信を禁止する処理を実行させる構成を採用できる。   In the program according to the first aspect of the present invention, after the virtual communication path is generated, the computer is allowed only communication using the generated virtual communication path to the terminal device, and other communication is performed. It is possible to adopt a configuration for executing a prohibited process.

本発明の第１の視点のプログラムでは、前記ＶＰＮサーバの認証処理で、正規のＶＰＮサーバではないと判断した場合には、前記端末装置に、該端末装置と、前記接続したネットワークとの間の全ての通信を禁止する処理を実行させる構成を採用できる。   In the program according to the first aspect of the present invention, when the authentication process of the VPN server determines that the VPN server is not a legitimate VPN server, the terminal device is connected between the terminal device and the connected network. A configuration for executing processing for prohibiting all communications can be employed.

本発明の第２の視点のプログラムは、外部ネットワークと内部ネットワークとに接続され、前記外部ネットワークに接続された端末装置に対して、前記内部ネットワークに接続された機器との間の通信を可能にするＶＰＮ（Virtual Private Network）機能を提供するＶＰＮサーバを含む通信システムで用いられるプログラムであって、前記ＶＰＮサーバに、前記内部ネットワークを介して、端末装置によって送信されたサーバ探索のためのメッセージを受信すると、該サーバ探索メッセージの送信元の端末装置に、前記サーバ探索メッセージに対する応答である探索応答メッセージを送信する処理と、前記内部ネットワークを介して、端末装置によって送信された認証要求を受信すると、該受信した認証要求の端末装置に、前記認証要求に対する認証応答を送信する処理を実行させることを特徴とする。   The program according to the second aspect of the present invention is connected to an external network and an internal network, and enables a terminal device connected to the external network to communicate with a device connected to the internal network. A program used in a communication system including a VPN server that provides a VPN (Virtual Private Network) function, wherein a message for server search sent by a terminal device via the internal network is sent to the VPN server. When receiving, when receiving the processing request for transmitting the search response message as a response to the server search message to the terminal device that is the transmission source of the server search message, and the authentication request transmitted by the terminal device via the internal network , The authentication request is received by the terminal device of the received authentication request. Characterized in that to execute the process of transmitting the response.

本発明の第２の視点のプログラムは、前記認証応答を送信する処理では、所定の情報を、正規のＶＰＮサーバのみが知り得る情報を用いて暗号化し、該暗号化した情報を認証応答に含める構成を採用できる。   In the program of the second aspect of the present invention, in the process of transmitting the authentication response, the predetermined information is encrypted using information that only a legitimate VPN server can know, and the encrypted information is included in the authentication response. Configuration can be adopted.

本発明の通信システム、端末装置、プログラム、及び、通信方法では、ＶＰＮサーバ（サーバ装置）が正規のサーバであると判断されるか否かによって、端末装置が接続したネットワークを判断し、正規のサーバであると判断されたときには、接続したネットワークが、端末装置が接続すべきネットワークであると判断して、ファイアウォール手段により、接続したネットワークとの間の通信を許可する。このようにすることで、端末装置が接続したネットワークが、接続すべきネットワークであると確認されたときに、端末装置に対して、接続したネットワーク中の他の機器との間の通信を許可することができ、端末装置から、接続すべきネットワーク外に情報が漏洩する事態を防止できる。   In the communication system, the terminal device, the program, and the communication method of the present invention, the network to which the terminal device is connected is determined based on whether or not the VPN server (server device) is determined to be a regular server. When it is determined that it is a server, it is determined that the connected network is a network to which the terminal device is to be connected, and communication with the connected network is permitted by the firewall means. In this way, when it is confirmed that the network to which the terminal device is connected is the network to be connected, the terminal device is allowed to communicate with other devices in the connected network. It is possible to prevent a situation in which information leaks from the terminal device outside the network to be connected.

本発明のＶＰＮサーバ、及び、プログラムは、内部ネットワーク側に接続された端末装置からの認証要求に対して認証応答を送信し、端末装置に対して、端末装置が接続した内部ネットワークが、正規のＶＰＮサーバが接続されたネットワークであることを保証する。このようにすることで、端末装置側は、接続したネットワークが、正規のＶＰＮサーバが存在するネットワーク、つまりは接続すべきネットワークであることを確認でき、その後、接続したネットワークとの通信を開始することで、接続すべきネットワークであることが確認されたネットワーク中の他の機器との間で通信を行うことができる。   The VPN server and the program of the present invention transmit an authentication response to an authentication request from a terminal device connected to the internal network side, and the internal network to which the terminal device is connected is authorized to the terminal device. Ensure that the VPN server is connected to the network. In this way, the terminal device side can confirm that the connected network is a network in which a regular VPN server exists, that is, a network to be connected, and then starts communication with the connected network. Thus, communication can be performed with other devices in the network that have been confirmed to be connected.

以下、図面を参照し、本発明の実施の形態を詳細に説明する。図１は、本発明の第１実施形態のＶＰＮ自動接続システムの構成を示している。ＶＰＮ自動接続システム１０は、ＶＰＮ通信を実現するＶＰＮサーバ１００と、移動端末２００とを有する。ＶＰＮサーバ１００は、例えば、ワークステーションやパーソナルコンピュータ等のコンピュータシステムとして構成され、移動端末２００は、例えばノート型ＰＣや携帯型端末装置として構成される。ＶＰＮサーバ１００は、システムの管理対象となる内部ネットワーク４００と、外部ネットワーク４０１とに接続されている。内部ネットワークとは、ある組織、例えば会社などによって管理され、外部と隔離されたネットワークである。外部ネットワークは、例えばインターネットである。内部ネットワーク４００には、ＶＰＮサーバ１００以外にもプリンタ、ＤＨＣＰサーバ、その他各種サーバ、ＰＣなどの内部機器３００が接続されている。   Hereinafter, embodiments of the present invention will be described in detail with reference to the drawings. FIG. 1 shows the configuration of a VPN automatic connection system according to the first embodiment of the present invention. The VPN automatic connection system 10 includes a VPN server 100 that realizes VPN communication and a mobile terminal 200. The VPN server 100 is configured as a computer system such as a workstation or a personal computer, and the mobile terminal 200 is configured as a notebook PC or a portable terminal device, for example. The VPN server 100 is connected to an internal network 400 to be managed by the system and an external network 401. An internal network is a network managed by a certain organization, for example, a company, and isolated from the outside. The external network is, for example, the Internet. In addition to the VPN server 100, an internal device 300 such as a printer, a DHCP server, other various servers, and a PC is connected to the internal network 400.

移動端末２００は、ＶＰＮサーバ探索部２０１、ＶＰＮサーバ認証部２０２、ＶＰＮ接続部２０３、ファイアウォール機能２０４、通信部２０５、及び、通信隠蔽部２０６を有する。また、アプリケーション２０７を動作させる機能を有する。ファイアウォール機能２０４は、通信の可否を、宛先のアドレスやポート番号によって制限する機能を持つ。通信部２０５は、ネットワークに接続し、ネットワークに接続された他の機器、例えばＶＰＮサーバ１００や内部機器３００と実際に通信する機能を有する。通信隠蔽部２０６は、アプリケーション２０７が通信機能を使うためのインタフェースを提供する機能を持つ。例えば、ＰＣを例にとると、通信部２０５は、イーサカード等に対応し、通信隠蔽部２０６は、ＯＳの通信機能に対応する。アプリケーション２０７は、移動端末２００上の機能を利用して動作するアプリケーションであり、通信隠蔽部２０６を通じて、ネットワークに接続された機器と通信する。   The mobile terminal 200 includes a VPN server search unit 201, a VPN server authentication unit 202, a VPN connection unit 203, a firewall function 204, a communication unit 205, and a communication concealment unit 206. Further, it has a function of operating the application 207. The firewall function 204 has a function of restricting whether communication is possible by a destination address or a port number. The communication unit 205 has a function of connecting to a network and actually communicating with other devices connected to the network, such as the VPN server 100 and the internal device 300. The communication hiding unit 206 has a function of providing an interface for the application 207 to use a communication function. For example, taking a PC as an example, the communication unit 205 corresponds to an Ethernet card or the like, and the communication concealment unit 206 corresponds to a communication function of the OS. The application 207 is an application that operates using a function on the mobile terminal 200, and communicates with a device connected to the network through the communication concealment unit 206.

ＶＰＮサーバ探索部２０１は、移動端末２００が接続するネットワーク（ＬＡＮ）に、ＶＰＮサーバ１００が接続されているか否かを探索する。ＶＰＮサーバ探索部２０１は、例えば、ＬＡＮ中にサーバ探索のメッセージを送信し、このメッセージに対するＶＰＮサーバ１００からの応答の有無により、ＶＰＮサーバ１００がＬＡＮ中に存在するか否かを判定する。ＶＰＮサーバ認証部２０２は、ＶＰＮサーバ探索部２０１によって発見されたＶＰＮサーバ１００に対して、認証要求のメッセージを送信する。ＶＰＮサーバ認証部２０２は、送信したメッセージに対する応答を受け取ると、その内容をチェックして、応答が正規のＶＰＮサーバからなされたことや、応答に含まれるＶＰＮサーバ情報が正規のものであることを確認する。   The VPN server searching unit 201 searches for whether the VPN server 100 is connected to the network (LAN) to which the mobile terminal 200 is connected. For example, the VPN server searching unit 201 transmits a server search message in the LAN, and determines whether the VPN server 100 exists in the LAN based on the presence / absence of a response from the VPN server 100 to the message. The VPN server authentication unit 202 transmits an authentication request message to the VPN server 100 discovered by the VPN server search unit 201. When the VPN server authenticating unit 202 receives a response to the transmitted message, the VPN server authenticating unit 202 checks the content of the message and confirms that the response is made from a normal VPN server and that the VPN server information included in the response is normal. Check.

ＶＰＮ接続部２０３は、移動端末２００が外部に持ち出されて外部ネットワーク４０１に接続されているときに、ＶＰＮサーバ１００を介して、内部ネットワーク４００に接続する機能を持つ。具体的には、ＶＰＮ接続部２０３は、ＶＰＮサーバ１００と接続して、移動端末２００と内部ネットワーク４００との通信を中継するトンネルを生成し、通信隠蔽部２０６に生成したトンネルを登録することで、アプリケーション２０７が、通常の通信部２０５の代わりとして利用できるようにする。   The VPN connection unit 203 has a function of connecting to the internal network 400 via the VPN server 100 when the mobile terminal 200 is taken out and connected to the external network 401. Specifically, the VPN connection unit 203 connects to the VPN server 100, generates a tunnel that relays communication between the mobile terminal 200 and the internal network 400, and registers the generated tunnel in the communication concealment unit 206. The application 207 can be used in place of the normal communication unit 205.

ＶＰＮサーバ１００は、認証応答部１０１、通信中継部１０２、探索応答部１０３、外部接続部１０４、及び、内部接続部１０５を有する。探索応答部１０３は、移動端末２００のＶＰＮサーバ探索部２０１が発行するサーバ探索のメッセージを受信すると、ＶＰＮサーバであることを示す情報を含む応答メッセージを移動端末２００に送信する機能を持つ。認証応答部１０１は、移動端末２００に対して、ＶＰＮサーバ１００の素性を保障する機能を提供する。具体的には、認証応答部１０１は、移動端末２００のＶＰＮサーバ認証部２０２から認証要求のメッセージを受信すると、ＶＰＮサーバ１００以外が作成できない形式で暗号化された、あらかじめＶＰＮサーバ１００に対して設定されたＶＰＮサーバ情報を含む応答メッセージを、ＶＰＮサーバ認証部２０２に返信する。通信中継部１０２は、外部接続部１０４と内部接続部１０５との中継を行い、外部ネットワーク４０１に接続された移動端末２００と、内部ネットワーク４００に接続された移動端末２００又は内部機器３００との通信を中継する機能を持つ。   The VPN server 100 includes an authentication response unit 101, a communication relay unit 102, a search response unit 103, an external connection unit 104, and an internal connection unit 105. When the search response unit 103 receives a server search message issued by the VPN server search unit 201 of the mobile terminal 200, the search response unit 103 has a function of transmitting a response message including information indicating that it is a VPN server to the mobile terminal 200. The authentication response unit 101 provides the mobile terminal 200 with a function that ensures the identity of the VPN server 100. Specifically, when the authentication response unit 101 receives an authentication request message from the VPN server authentication unit 202 of the mobile terminal 200, the authentication response unit 101 preliminarily encrypts the VPN server 100 encrypted in a format that cannot be created by the VPN server 100. A response message including the set VPN server information is returned to the VPN server authentication unit 202. The communication relay unit 102 relays between the external connection unit 104 and the internal connection unit 105, and communicates between the mobile terminal 200 connected to the external network 401 and the mobile terminal 200 or the internal device 300 connected to the internal network 400. It has a function to relay.

図２は、ＶＰＮ自動接続システムの動作手順を示している。移動端末２００は、通信部２０５の状態を調査し、ネットワークに接続されているか否かをチェックする（ステップＡ０１）。ネットワークに接続されていないときには、引き続き、通信部２０５の状態の調査を行う。ネットワークに接続されているときには、ネットワークからＤＨＣＰ等によりＩＰアドレスを取得するなどして、ネットワークとの間で通信を行うための準備を行う。ファイアウォール機能２０４は、ネットワーク接続後、ＶＰＮサーバ探索のための通信以外の通信を禁止する（ステップＡ０２）。   FIG. 2 shows an operation procedure of the VPN automatic connection system. The mobile terminal 200 checks the state of the communication unit 205 and checks whether it is connected to the network (step A01). When not connected to the network, the state of the communication unit 205 is continuously investigated. When connected to the network, preparation for communication with the network is performed by acquiring an IP address from the network by DHCP or the like. The firewall function 204 prohibits communication other than the communication for searching for the VPN server after connecting to the network (step A02).

ＶＰＮサーバ探索部２０１は、ＶＰＮサーバ探索用のメッセージを、通信部２０５を通じてネットワークに向けて送信し、ＶＰＮサーバ１００からの応答メッセージの到着を待つ（ステップＡ０３）。ＶＰＮサーバ１００が同一ネットワーク内に存在する場合、そのＶＰＮサーバの探索応答部１０３は、応答メッセージを返信する。ＶＰＮサーバ探索部２０１は、ＶＰＮサーバ１００からの応答メッセージの有無により、同一ネットワーク内にＶＰＮサーバ１００が存在するか否かを判断する（ステップＡ０４）。ステップＡ０４では、ＶＰＮサーバ探索部２０１は、ＶＰＮサーバ１００からの応答メッセージを受信すると、同一ネットワーク内にＶＰＮサーバ１００が設置されていると判断する。また、所定時間内に、ＶＰＮサーバ１００からの応答メッセージを受信できない場合には、同一ネットワーク内にＶＰＮサーバ１００が設置されていないと判断する。   The VPN server search unit 201 transmits a VPN server search message to the network through the communication unit 205, and waits for a response message from the VPN server 100 (step A03). When the VPN server 100 exists in the same network, the search response unit 103 of the VPN server returns a response message. The VPN server searching unit 201 determines whether the VPN server 100 exists in the same network based on the presence / absence of a response message from the VPN server 100 (step A04). In step A04, when receiving the response message from the VPN server 100, the VPN server searching unit 201 determines that the VPN server 100 is installed in the same network. If a response message from the VPN server 100 cannot be received within a predetermined time, it is determined that the VPN server 100 is not installed in the same network.

ステップＡ０４で、同一ネットワーク内にＶＰＮサーバ１００が存在すると判断された場合、ＶＰＮサーバ認証部２０２は、応答メッセージを送信したＶＰＮサーバ１００に対して、認証メッセージを送信する（ステップＡ０５）。ＶＰＮサーバ１００の認証応答部１０１は、移動端末２００からの認証メッセージを受信すると、受信したメッセージと、ＶＰＮサーバ自身が持つキーに基づいて、自身の情報を暗号化し、その暗号化された情報を含む認証応答メッセージを、ＶＰＮサーバ認証部２０２に向けて送信する。ＶＰＮサーバ認証部２０２は、認証応答メッセージを受信すると、受信した認証応答メッセージに含まれる暗号化された情報の復号化し、認証応答メッセージを送信したＶＰＮサーバ１００が、正規のＶＰＮサーバであるか否かを判断する（ステップＡ０６）。   If it is determined in step A04 that the VPN server 100 exists in the same network, the VPN server authentication unit 202 transmits an authentication message to the VPN server 100 that has transmitted the response message (step A05). When the authentication response unit 101 of the VPN server 100 receives the authentication message from the mobile terminal 200, the authentication response unit 101 encrypts its own information based on the received message and the key of the VPN server itself, and stores the encrypted information. An authentication response message is transmitted to the VPN server authenticating unit 202. When receiving the authentication response message, the VPN server authenticating unit 202 decrypts the encrypted information included in the received authentication response message, and determines whether the VPN server 100 that has transmitted the authentication response message is a regular VPN server. Is determined (step A06).

ステップＡ０６では、暗号化された情報が正しく復号化でき、かつ、その内容が暗号化方法と正しく合っていれば、認証応答メッセージを送信したＶＰＮサーバ１００が、正規のＶＰＮサーバであると判断する。ＶＰＮサーバ認証部２０２は、正規のＶＰＮサーバであると判断すると、メッセージの内容を参照して、ＶＰＮサーバ１００の設置場所が、あらかじめ移動端末２００に対して設定された所属ネットワークと一致するか否かを判断する（ステップＡ０７）。ステップＡ０６で正規のＶＰＮサーバであると判断され、かつ、ステップＡ０７で、ＶＰＮサーバ１００の設置場所が、所属ネットワークと一致すると判断された場合には、ファイアウォール機能２０４は、全ての通信を許可する（ステップＡ０８）。ステップＡ０６で正規のＶＰＮサーバでないと判断され、或いは、ステップＡ０７で所属ネットワークと一致しないと判断された場合には、ファイアウォール機能２０４は、全ての通信を禁止する（ステップＡ１４）。   In step A06, if the encrypted information can be correctly decrypted and the content correctly matches the encryption method, it is determined that the VPN server 100 that has transmitted the authentication response message is a legitimate VPN server. . If the VPN server authenticating unit 202 determines that the VPN server is a legitimate VPN server, it refers to the content of the message and determines whether the installation location of the VPN server 100 matches the affiliated network set for the mobile terminal 200 in advance. Is determined (step A07). If it is determined in step A06 that the VPN server is a legitimate VPN server and it is determined in step A07 that the installation location of the VPN server 100 matches the network to which it belongs, the firewall function 204 permits all communications. (Step A08). If it is determined in step A06 that it is not a regular VPN server, or if it is determined in step A07 that the network does not match, the firewall function 204 prohibits all communications (step A14).

ステップＡ０４で、接続したネットワーク内にＶＰＮサーバ１００が存在しないと判断された場合には、あらかじめ設定された、所属ネットワーク内のＶＰＮサーバ１００に対して遠隔での接続を試みる。この処理では、まず、ファイアウォール機能２０４により、所属ネットワークに接続されたＶＰＮサーバ１００の外部接続部１０４に対するＶＰＮ接続部２０３の通信のみを許可し、それ以外の通信を禁止する（ステップＡ０９）。次いで、ＶＰＮ接続部２０３により、インターネット等の公衆網（図１における外部ネットワーク４０１）を通じて、ＶＰＮサーバ１００への通信を試みる（ステップＡ１０）。所属ネットワークに接続されているＶＰＮサーバ１００へ接続するための情報、例えばインターネットであればＩＰアドレス等の情報は、あらかじめ移動端末２００に設定されているものとする。   If it is determined in step A04 that the VPN server 100 does not exist in the connected network, a remote connection is attempted to the VPN server 100 in the affiliated network set in advance. In this process, first, the firewall function 204 permits only the VPN connection unit 203 to communicate with the external connection unit 104 of the VPN server 100 connected to the affiliated network, and prohibits other communication (step A09). Next, the VPN connection unit 203 attempts to communicate with the VPN server 100 through a public network such as the Internet (external network 401 in FIG. 1) (step A10). It is assumed that information for connecting to the VPN server 100 connected to the affiliated network, for example, information such as an IP address in the case of the Internet, is set in the mobile terminal 200 in advance.

移動端末２００は、所属ネットワークのＶＰＮサーバ１００に接続できたか否かを判断する（ステップＡ１１）。接続できた場合には、認証等を行って、認証に成功すると、ＶＰＮ接続部２０３と、ＶＰＮサーバ１００の通信中継部１０２との間に、仮想通信路（中継トンネル通信路）を生成し、通信隠蔽部２０６から利用可能な状態とする（ステップＡ１２）。その後、ファイアウォール機能２０４は、仮想通信路による通信のみを通信可能とする（ステップＡ１３）。アプリケーション２０７は、仮想通信路を通じて、所属ネットワーク（図１における内部ネットワーク４００）に接続された他の移動端末２００や内部機器３００と通信を行う。ステップＡ１１で、所属ネットワークのＶＰＮサーバ１００に接続できないと判断された場合には、ステップＡ１４へ移行して、ファイアウォール機能２０４により、全ての通信を禁止する。   The mobile terminal 200 determines whether or not it can connect to the VPN server 100 of the network to which it belongs (step A11). If the connection is successful, authentication is performed, and if the authentication is successful, a virtual communication path (relay tunnel communication path) is generated between the VPN connection unit 203 and the communication relay unit 102 of the VPN server 100, The communication concealment unit 206 can be used (step A12). Thereafter, the firewall function 204 enables communication only through the virtual communication path (step A13). The application 207 communicates with other mobile terminals 200 and internal devices 300 connected to the affiliated network (internal network 400 in FIG. 1) through a virtual communication path. If it is determined in step A11 that connection to the VPN server 100 of the affiliated network cannot be established, the process proceeds to step A14, where all communications are prohibited by the firewall function 204.

本実施形態では、移動端末２００は、ＶＰＮサーバ１００との間で認証を行うことにより、接続したネットワークが、所属ネットワークと一致するか否かを判定し、接続したネットワークが所属ネットワーク（内部ネットワーク４００）と判定されたときには、ファイアウォール機能２０４により、アプリケーション２０７によるネットワークに対する通信を許可する。接続したネットワークが所属ネットワークでないときには、外部ネットワーク４０１を通じて所属ネットワーク上に設置されたＶＰＮサーバ１００へ接続し、仮想通信路を用いて所属ネットワークに接続することを試みる。この接続に成功した場合には、ファイアウォール機能２０４によって、仮想通信路に対する通信のみを許可し、接続に失敗したときには、ファイアウォール機能２０４により、全ての通信を禁止する。このように、ファイアウォール機能２０４により、接続したネットワークに応じた通信フィルタリングを実行することで、移動端末２００に対して、所属ネットワーク内に機器に対する通信のみが許可される状態を実現することができ、所属ネットワーク外の機器と通信することで情報漏洩が起こる事態を防ぐことができる。   In the present embodiment, the mobile terminal 200 performs authentication with the VPN server 100 to determine whether the connected network matches the belonging network, and the connected network is the belonging network (internal network 400). ), The firewall function 204 permits the application 207 to communicate with the network. When the connected network is not an affiliated network, it connects to the VPN server 100 installed on the affiliated network through the external network 401 and tries to connect to the affiliated network using a virtual communication path. When this connection is successful, only communication with the virtual communication path is permitted by the firewall function 204, and when communication fails, all communication is prohibited by the firewall function 204. As described above, by executing communication filtering according to the connected network by the firewall function 204, it is possible to realize a state in which only communication with the device in the affiliated network is permitted for the mobile terminal 200, Information leakage can be prevented by communicating with devices outside the network.

また、本実施形態では、移動端末２００が接続したネットワーク内にＶＰＮサーバ１００が存在した場合には、暗号化技術を用いて、そのＶＰＮサーバ１００が正規のものであり、かつ、その設置場所が所属ネットワークであることを確認し、接続したネットワークが、所属ネットワークであることを確認した後に、アプリケーション２０７に対して通信を許可する。このようにすることで、所属ネットワーク以外のネットワークを、所属ネットワークと詐称することを防ぐことができ、情報漏洩を防止できる。   Further, in the present embodiment, when the VPN server 100 exists in the network to which the mobile terminal 200 is connected, the VPN server 100 is legitimate and the installation location is determined using an encryption technique. After confirming that the network is an affiliated network and confirming that the connected network is an affiliated network, the application 207 is permitted to communicate. By doing so, it is possible to prevent a network other than the affiliated network from being misrepresented as an affiliated network, and information leakage can be prevented.

以下、実施例を用いて説明する。図３は、第１実施例のＶＰＮ自動接続システムの構成を示している。ノートＰＣ５１０、ＶＰＮサーバ５３０、サーバ５４０、及び、プリンタ５５０は、スイッチ５６０に接続されている。スイッチ５６０は、図１における内部ネットワーク４００に相当するネットワークＡを実現する。ノートＰＣ５１０は、図１における移動端末２００に相当し、ＶＰＮサーバ５３０は、図１におけるＶＰＮサーバ１００に相当する。また、サーバ５４０及びプリンタ５５０は、それぞれ図１における内部機器３００に相当する。   Hereinafter, description will be made using examples. FIG. 3 shows the configuration of the VPN automatic connection system of the first embodiment. The notebook PC 510, VPN server 530, server 540, and printer 550 are connected to the switch 560. The switch 560 implements a network A corresponding to the internal network 400 in FIG. The notebook PC 510 corresponds to the mobile terminal 200 in FIG. 1, and the VPN server 530 corresponds to the VPN server 100 in FIG. The server 540 and the printer 550 correspond to the internal device 300 in FIG.

ＶＰＮサーバ５３０上では、ＶＰＮサーバ用ソフトウェア５３１が動作している。ＶＰＮサーバ用ソフトウェア５３１は、図１の認証応答部１０１、通信中継部１０２、及び、探索応答部１０３に相当する認証応答機能、探索応答機能、及び、通信中継機能を実現する。ＶＰＮサーバ５３０は、２つのイーサ端子を有し、そのうちの一方（図１の内部接続部１０５に相当）は内部ネットワークであるネットワークＡに接続され、他方（外部接続部１０４に相当）は外部ネットワークであるインターネット５７０に接続される。ＶＰＮサーバ用ソフトウェア５３１は、内部ネットワークに接続されたイーサ端子側に、探索応答機能を提供するためのポートを開いている。   On the VPN server 530, VPN server software 531 is operating. The VPN server software 531 implements an authentication response function, a search response function, and a communication relay function corresponding to the authentication response unit 101, the communication relay unit 102, and the search response unit 103 in FIG. The VPN server 530 has two Ethernet terminals, one of which (corresponding to the internal connection unit 105 in FIG. 1) is connected to the network A, which is an internal network, and the other (corresponding to the external connection unit 104) is an external network. Is connected to the Internet 570. The VPN server software 531 opens a port for providing a search response function on the Ether terminal side connected to the internal network.

ノートＰＣは、移動端末として、システム中に複数存在する。ノートＰＣ５１０は、内部ネットワークであるネットワークＡに接続されたノートＰＣである。ノートＰＣ５２０は、外部に持ち出されてインターネット５７０に直接に接続されたノートＰＣである。ノートＰＣ５１０、５２０は、ＶＰＮクライアント用ソフトウェア５１１、５２１と、アプリケーションＡ５１２、５２２と、アプリケーションＢ５１３、５２３とを有する。ノートＰＣ５１０、５２０は、自身に割り振られるＩＰアドレスとして、固定的なアドレスを持つのではなく、接続したネットワークに設置されたＤＨＣＰサーバから自動的に取得する。   A plurality of notebook PCs exist in the system as mobile terminals. The notebook PC 510 is a notebook PC connected to the network A that is an internal network. The notebook PC 520 is a notebook PC that is taken outside and directly connected to the Internet 570. The notebook PCs 510 and 520 include VPN client software 511 and 521, applications A 512 and 522, and applications B 513 and 523. The notebook PCs 510 and 520 do not have a fixed address as an IP address assigned to them, but automatically obtain them from a DHCP server installed in the connected network.

ＶＰＮクライアント用ソフトウェア５１１、５２１は、図１のＶＰＮサーバ探索部２０１、ＶＰＮサーバ認証部２０２、ＶＰＮ接続部２０３、及び、ファイアウォール機能２０４に相当するＶＰＮサーバ探索機能、ＶＰＮサーバ認証機能、ＶＰＮ接続機能、及び、ファイアウォール機能を持つ。ＶＰＮクライアント用ソフトウェア５１１、５２１のファイアウォール機能は、ネットワーク初期化時では、ＤＨＣＰ通信のみを許可する。ＤＨＣＰによるＩＰアドレスの取得後は、ＤＨＣＰ通信も禁止状態とし、ＶＰＮサーバ探索機能が用いる通信のみを許可する。   The VPN client software 511, 521 includes a VPN server search function, VPN server authentication function, VPN connection function corresponding to the VPN server search unit 201, VPN server authentication unit 202, VPN connection unit 203, and firewall function 204 of FIG. And has a firewall function. The firewall function of the VPN client software 511, 521 permits only DHCP communication at the time of network initialization. After acquiring the IP address by DHCP, DHCP communication is also prohibited, and only communication used by the VPN server search function is permitted.

ＶＰＮクライアント用ソフトウェア５１１、５２１は、ネットワークが利用できる状態となると、ブロードキャストを用いて、ネットワークに接続された全ての機器に対して、ＶＰＮサーバ探索メッセージを送信する。ネットワーク内のＶＰＮサーバ５３０以外の機器は、ＶＰＮサーバ探索メッセージを受信しても、このメッセージを無視し、特に何もしない。ＶＰＮサーバ５３０は、内部ネットワーク側からＶＰＮサーバ探索メッセージを受信すると、ＶＰＮサーバ用ソフトウェア５３１の探索応答機能により、受信したメッセージの発行元に対して、探索応答メッセージを送信する。   When the network becomes available, the VPN client software 511 and 521 transmits a VPN server search message to all devices connected to the network using broadcast. Even if a device other than the VPN server 530 in the network receives the VPN server search message, it ignores this message and does nothing in particular. When the VPN server 530 receives the VPN server search message from the internal network side, the VPN server 530 transmits the search response message to the issuer of the received message by the search response function of the VPN server software 531.

ノートＰＣ５１０は、ネットワークＡに接続されているため、送信したＶＰＮサーバ探索メッセージに対するＶＰＮサーバ５３０の探索応答メッセージを受信する。ノートＰＣ５１０のＶＰＮクライアント用ソフトウェア５１１は、探索応答メッセージを受信すると、ＶＰＮサーバ認証機能により、応答メッセージの発行元に対して、認証用メッセージを送信する。この認証用メッセージは、ランダムに生成した数値を含む。ＶＰＮサーバ用ソフトウェア５３１は、認証用メッセージを受信すると、受信した認証用メッセージに含まれる数値を、自身が所属するネットワークが持つ固有のＩＤを用いて暗号化し、その暗号化した情報を、認証応答メッセージとしてＶＰＮクライアント用ソフトウェア５１１に通知する。   Since the notebook PC 510 is connected to the network A, it receives a search response message from the VPN server 530 in response to the transmitted VPN server search message. Upon receiving the search response message, the VPN client software 511 of the notebook PC 510 transmits an authentication message to the response message issuer by the VPN server authentication function. This authentication message includes a randomly generated numerical value. When the VPN server software 531 receives the authentication message, the VPN server software 531 encrypts the numerical value included in the received authentication message using the unique ID of the network to which the VPN server software 531 belongs, and converts the encrypted information into an authentication response. The VPN client software 511 is notified as a message.

ＶＰＮクライアント用ソフトウェア５１１は、認証応答メッセージに含まれる暗号化された情報を、自身が所属するネットワークが持つ固有ＩＤを用いて復号化する。復号化した数値が、認証用メッセージとして送信した数値と一致すれば、認証応答メッセージを送信したＶＰＮサーバ５３０が、正規、かつ、ノートＰＣが所属するネットワークに接続されたものであると判断できる。このことは、ノートＰＣが接続したネットワークが、ノートＰＣが所属するネットワーク、すなわち内部ネットワークであるということを意味している。この場合には、ＶＰＮ接続の必要はなく、ＶＰＮクライアント用ソフトウェア５１１のファイアウォール機能は、全ての通信を許可する。これにより、ノートＰＣ５１０上で動作するアプリケーションＡ５１２及びアプリケーションＢ５１３は、ネットワーク接続された他の機器、図３ではサーバ５４０及びプリンタ５５０との間で通信を行うことができる。   The VPN client software 511 decrypts the encrypted information included in the authentication response message using the unique ID of the network to which the VPN client software 511 belongs. If the decrypted numerical value matches the numerical value transmitted as the authentication message, it can be determined that the VPN server 530 that transmitted the authentication response message is genuine and connected to the network to which the notebook PC belongs. This means that the network to which the notebook PC is connected is the network to which the notebook PC belongs, that is, the internal network. In this case, there is no need for VPN connection, and the firewall function of the VPN client software 511 permits all communications. As a result, the application A 512 and the application B 513 operating on the notebook PC 510 can communicate with other devices connected to the network, that is, the server 540 and the printer 550 in FIG.

一方、インターネット５７０に接続されたノートＰＣ５２０は、ＶＰＮサーバ５３０が探索要求メッセージを受信できないため、それに対する探索応答メッセージを受信しない。探索応答メッセージが受信できない場合には、ノートＰＣは、ＶＰＮサーバが存在しない、所属ネットワーク外の外部ネットワークに接続しているので、所属ネットワークのＶＰＮサーバにアクセスし、そのＶＰＮサーバを経由して、所属ネットワークに接続する必要がある。ノートＰＣ５２０のＶＰＮクライアント用ソフトウェア５２１は、あらかじめ設定されたアドレス等の情報を用いて、所属ネットワークのＶＰＮサーバ５３０に対して直接に接続することを試みる。具体的には、あらかじめ設定されたＶＰＮサーバ５３０のアドレス「252.32.10.100」に対して、ＮＡＴサーバを通じて、ＶＰＮクライアント用ソフトウェア５２１のＶＰＮ接続機能が通信を行う。   On the other hand, since the VPN server 530 cannot receive the search request message, the notebook PC 520 connected to the Internet 570 does not receive the search response message. If the search response message cannot be received, the notebook PC is connected to an external network outside the affiliated network where the VPN server does not exist, so the VPN server of the affiliated network is accessed, and via the VPN server, You need to connect to your network. The VPN client software 521 of the notebook PC 520 attempts to connect directly to the VPN server 530 of the affiliated network using information such as a preset address. Specifically, the VPN connection function of the VPN client software 521 communicates with the address “252.32.10.100” of the VPN server 530 set in advance through the NAT server.

ＶＰＮクライアント用ソフトウェア５２１は、ＶＰＮサーバ５３０からの応答があったときには、上記と同様の方式で、ＶＰＮサーバの認証を行う。すなわち、ランダムの数値を送り、それに対する応答を所属ネットワークの固有ＩＤで暗号化を解き、送った数値と一致することを確認する。ＶＰＮクライアント用ソフトウェア５２１は、一致することを確認した後に、ＶＰＮ接続機能により、ＶＰＮサーバ５３０との間に、仮想通信路を作成する。ＶＰＮ接続機能は、作成した仮想通信路を、ＯＳに対して、ネットワークの通信用デバイスとして登録する。   When there is a response from the VPN server 530, the VPN client software 521 authenticates the VPN server in the same manner as described above. That is, a random numerical value is sent, and the response to that is decrypted with the unique ID of the belonging network, and it is confirmed that it matches the sent numerical value. After confirming that they match, the VPN client software 521 creates a virtual communication path with the VPN server 530 by the VPN connection function. The VPN connection function registers the created virtual communication path as a network communication device with respect to the OS.

仮想通信路が作成・登録されると、ファイアウォールは、この仮想通信路のみの通信を許可する。これにより、ノートＰＣ５２０上で動作するアプリケーションＡ５２２及びアプリケーションＢ５２３は、仮想通信路を用いた通信のみが可能となり、ＮＡＴを通じてインターネット５７０に存在するサーバにアクセスすることや、インターネット５７０に接続された他のＬＡＮ中に接続されている機器との間でデータのやり取りをすることができなくなる。このようにすることで、インターネット５７０に接続したノートＰＣ５２０が、所属ネットワーク外の機器と通信することで情報漏洩が起こることを防止できる。   When the virtual communication path is created / registered, the firewall permits communication only on the virtual communication path. As a result, the application A 522 and the application B 523 that operate on the notebook PC 520 can only communicate using the virtual communication path, access a server existing on the Internet 570 through the NAT, and other devices connected to the Internet 570. Data cannot be exchanged with devices connected in the LAN. In this way, it is possible to prevent information leakage from occurring when the notebook PC 520 connected to the Internet 570 communicates with a device outside the affiliated network.

ＶＰＮサーバの認証の結果、正規のＶＰＮサーバでないと判断された場合、又は、ＶＰＮサーバが所属するＬＡＮがノートＰＣが所属するＬＡＮとは異なると判断された場合には、ＶＰＮクライアント用ソフトウェア５２１のファイアウォール機能により、全ての通信を禁止する。この場合には、ノートＰＣ５２０で動作するアプリケーションＡ５２２及びアプリケーションＢ５２３が、外部と通信することができなくなることで、情報の漏洩を防止できる。   As a result of authentication of the VPN server, when it is determined that the VPN server is not a regular VPN server, or when it is determined that the LAN to which the VPN server belongs is different from the LAN to which the notebook PC belongs, the VPN client software 521 All communication is prohibited by the firewall function. In this case, the application A 522 and the application B 523 that operate on the notebook PC 520 cannot communicate with the outside, thereby preventing information leakage.

図４は、本発明の第２実施形態のＶＰＮ自動接続システムの構成を示している。本実施形態のＶＰＮ自動接続システム１０ａは、複数のＶＰＮサーバ１００を備える。各ＶＰＮサーバ１００は、それぞれの内部ネットワーク４００、４０２に接続されている。本実施形態では、移動端末２００が、所属するネットワークとは異なるネットワークに接続されたＶＰＮサーバ１００を介して、所属するネットワークに接続されたＶＰＮサーバ１００との間で通信を行い、所属ネットワーク内の内部機器３００との間の通信を実現する。   FIG. 4 shows the configuration of a VPN automatic connection system according to the second embodiment of the present invention. The VPN automatic connection system 10a of this embodiment includes a plurality of VPN servers 100. Each VPN server 100 is connected to the respective internal networks 400 and 402. In this embodiment, the mobile terminal 200 communicates with the VPN server 100 connected to the affiliated network via the VPN server 100 connected to a network different from the affiliated network. Communication with the internal device 300 is realized.

本実施形態では、ＶＰＮサーバの認証応答部１０１は、認証要求メッセージに含まれる情報を、システムに共通の暗号キーで暗号化し、認証応答メッセージに含める。また、認証応答メッセージに、ＶＰＮサーバ１００の設置場所を特定するための情報を含める。ＶＰＮサーバ認証部２０２は、認証応答部１０１から受信した認証応答メッセージの暗号化された情報を、システムに共通の暗号キーを用いて解き、正しく解けるか否かによって、正規のＶＰＮサーバであるか否かを判断する。また、ＶＰＮサーバ認証部２０２は、移動端末２００が所属するネットワークを特定するための情報を記憶しており、その情報と、認証応答メッセージに含まれるＶＰＮサーバ１００の設置場所とを比較することで、ＶＰＮサーバ１００が接続するネットワークが、移動端末２００が所属するネットワークと一致するか否かを判断する。   In this embodiment, the authentication response unit 101 of the VPN server encrypts information included in the authentication request message with an encryption key common to the system and includes the information in the authentication response message. In addition, information for specifying the installation location of the VPN server 100 is included in the authentication response message. Whether the VPN server authenticating unit 202 is a legitimate VPN server depending on whether or not the encrypted information of the authentication response message received from the authentication responding unit 101 is solved using a common encryption key in the system and correctly Judge whether or not. The VPN server authentication unit 202 stores information for specifying the network to which the mobile terminal 200 belongs, and compares the information with the installation location of the VPN server 100 included in the authentication response message. Then, it is determined whether or not the network to which the VPN server 100 is connected matches the network to which the mobile terminal 200 belongs.

例えば、ＶＰＮサーバ認証部２０２は、認証応答メッセージに含まれる暗号化された情報を、システムに共通の暗号キーを用いて解くことができたときには、その認証応答メッセージを送信したＶＰＮサーバ１００は、正規のＶＰＮサーバであると判断する。正しく解くことができなかったときには、正規のＶＰＮサーバではないと判断する。また、正規のＶＰＮサーバと判断したときには、認証応答メッセージに含まれるＶＰＮサーバの設置場所を特定する情報と、移動端末２００が所属するネットワークを特定する情報とを比較し、両者が一致する場合には、ＶＰＮサーバは、正規、かつ、所属ネットワークのＶＰＮサーバであると判断する。ＶＰＮサーバの設置場所を特定する情報と、移動端末２００が所属するネットワークを特定する情報とが一致しないときには、正規ではあるが、所属ネットワークのＶＰＮサーバではないと判断する。   For example, when the VPN server authentication unit 202 can resolve the encrypted information included in the authentication response message using the encryption key common to the system, the VPN server 100 that has transmitted the authentication response message Judged to be a regular VPN server. If it cannot be solved correctly, it is determined that it is not a regular VPN server. Also, when it is determined that the VPN server is a legitimate VPN server, the information specifying the location of the VPN server included in the authentication response message is compared with the information specifying the network to which the mobile terminal 200 belongs. Determines that the VPN server is a legitimate and belonging network VPN server. When the information specifying the location of the VPN server and the information specifying the network to which the mobile terminal 200 belongs do not match, it is determined that the VPN server is not a VPN server of the belonging network.

図５は、本実施形態のＶＰＮ自動接続システム１０ａの動作手順を示す。ネットワーク接続から、ＶＰＮサーバ探索までの手順は、図２に示すステップＡ０１からＡ０４までの手順と同じである（ステップＢ０１〜Ｂ０４）。また、ステップＢ０４でＶＰＮサーバを発見できたと判断した後の動作は、図２のステップＡ０９からステップＡ１３の動作手順と同じである（ステップＢ０９〜Ｂ１３）。ステップＢ０４で、ＶＰＮサーバ１００が発見できたと判断した場合には、図２のステップＡ０５及びＡ０６と同様に、発見したＶＰＮサーバ１００に対して認証要求メッセージを発行し、その認証要求メッセージに対するＶＰＮサーバ１００の応答メッセージを受信し、応答メッセージを送信したＶＰＮサーバ１００が正規のＶＰＮサーバであるか否かを判断する（ステップＢ０５、Ｂ０６）。   FIG. 5 shows an operation procedure of the VPN automatic connection system 10a of this embodiment. The procedure from network connection to VPN server search is the same as the procedure from steps A01 to A04 shown in FIG. 2 (steps B01 to B04). The operation after determining that the VPN server has been found in step B04 is the same as the operation procedure from step A09 to step A13 in FIG. 2 (steps B09 to B13). If it is determined in step B04 that the VPN server 100 has been found, an authentication request message is issued to the discovered VPN server 100 and the VPN server for the authentication request message is issued, as in steps A05 and A06 in FIG. 100 response messages are received, and it is determined whether or not the VPN server 100 that transmitted the response message is a legitimate VPN server (steps B05 and B06).

本実施形態では、ＶＰＮサーバ１００の認証応答部１０１は、移動端末２００から認証要求メッセージに含まれる情報を、システムに共通の暗号キーを用いて暗号化し、暗号化された情報と、ＶＰＮサーバ１００が接続されたネットワークを特定するための情報とを含む認証応答メッセージを、移動端末２００に送信する。移動端末２００のＶＰＮサーバ認証部２０２は、ステップＢ０６で、受信した応答メッセージを、システムに共通の暗号キーを用いて復号化し、認証要求メッセージとして送信した情報が正しく復号できたか否かを判断する。正しく復号できなかったときには、正規のＶＰＮサーバでないと判断して、ファイアウォール機能２０４により、全ての通信を禁止する（ステップＢ１４）。   In this embodiment, the authentication response unit 101 of the VPN server 100 encrypts information included in the authentication request message from the mobile terminal 200 using an encryption key common to the system, and the encrypted information and the VPN server 100. An authentication response message including information for specifying the network to which is connected is transmitted to the mobile terminal 200. In step B06, the VPN server authenticating unit 202 of the mobile terminal 200 decrypts the received response message using an encryption key common to the system, and determines whether or not the information transmitted as the authentication request message has been correctly decrypted. . If the decryption fails, it is determined that the VPN server is not a legitimate VPN server, and all communications are prohibited by the firewall function 204 (step B14).

ステップＢ０６で正規のＶＰＮサーバと判断したときには、ＶＰＮサーバ認証部２０２は、認証応答メッセージに含まれるＶＰＮサーバが接続されたネットワークを特定するための情報を参照して、接続したネットワークが、所属ネットワークであるか否かを判断する（ステップＢ０７）。接続したネットワークが、所属ネットワークであると判断された場合には、ファイアウォール機能２０４は、全ての通信を許可し（ステップＢ０８）、移動端末２００内のアプリケーション２０７に対して、ネットワークに接続された内部機器３００との間の通信を許可する。   When it is determined in step B06 that the VPN server is a legitimate VPN server, the VPN server authenticating unit 202 refers to the information for specifying the network to which the VPN server is connected included in the authentication response message, and the connected network is the network to which the affiliated network belongs. It is determined whether or not (step B07). If it is determined that the connected network is a belonging network, the firewall function 204 permits all communication (step B08), and the application 207 in the mobile terminal 200 is connected to the network. Communication with the device 300 is permitted.

ステップＢ０７で、ＶＰＮサーバ１００が、移動端末２００が所属するネットワークに設置されたものではないと判断された場合には、まず、ファイアウォール機能２０４により、ＶＰＮ接続部２０３による、移動端末２００が接続したネットワーク上に存在するＶＰＮサーバ１００の内部接続部１０５に対する通信のみを許可し、その他の通信を禁止する（ステップＢ１５）。次いで、ＶＰＮ接続部２０３は、接続したネットワーク上に存在するＶＰＮサーバ１００に接続し、正しく接続できたか否かを判断する（ステップＢ１６、Ｂ１７）。接続に成功した場合には、ＶＰＮ接続部２０３と、ＶＰＮサーバ１００の通信中継部１０２との間に、仮想通信路を生成し（ステップＢ１８）、この仮想通信路を、通信隠蔽部２０６から利用可能な状態にする。接続に失敗した場合には、ステップＢ１４に移行して、ファイアウォール機能２０４により、全ての通信を禁止する。   If it is determined in step B07 that the VPN server 100 is not installed in the network to which the mobile terminal 200 belongs, first, the mobile terminal 200 is connected by the VPN connection unit 203 by the firewall function 204. Only communication with the internal connection unit 105 of the VPN server 100 existing on the network is permitted, and other communication is prohibited (step B15). Next, the VPN connection unit 203 connects to the VPN server 100 existing on the connected network and determines whether or not the connection has been made correctly (steps B16 and B17). If the connection is successful, a virtual communication path is generated between the VPN connection unit 203 and the communication relay unit 102 of the VPN server 100 (step B18), and this virtual communication path is used from the communication concealment unit 206. Make it possible. If the connection fails, the process proceeds to step B14 and all communication is prohibited by the firewall function 204.

移動端末２００は、接続したネットワーク上のＶＰＮサーバ１００との間に仮想通信路を生成すると、接続したネットワーク上のＶＰＮサーバ１００に対して、通信中継部１０２と、所属ネットワーク上のＶＰＮサーバ１００の通信中継部１０２との間に、仮想通信路を生成するように指示する（ステップＢ１９）。接続ネットワーク上のＶＰＮサーバ１００と、所属ネットワーク上のＶＰＮサーバ１００との間に、仮想通信路が生成されると、ファイアウォール機能２０４は、接続ネットワーク上のＶＰＮサーバとの間で生成された仮想通信路に対する通信のみを許可する（ステップＢ２０）。これにより、移動端末２００で動作するアプリケーションは、接続したネットワーク上のＶＰＮサーバ１００と、所属ネットワーク上のＶＰＮサーバ１００とを介して、所属ネットワーク内の内部機器３００との間で通信を行うことができる。   When the mobile terminal 200 generates a virtual communication path with the VPN server 100 on the connected network, the mobile terminal 200 communicates with the VPN server 100 on the connected network by the communication relay unit 102 and the VPN server 100 on the affiliated network. An instruction to generate a virtual communication path is given to the communication relay unit 102 (step B19). When a virtual communication path is generated between the VPN server 100 on the connection network and the VPN server 100 on the affiliated network, the firewall function 204 generates the virtual communication generated with the VPN server on the connection network. Only communication with the road is permitted (step B20). Thereby, an application operating on the mobile terminal 200 can communicate with the internal device 300 in the affiliated network via the VPN server 100 on the connected network and the VPN server 100 on the affiliated network. it can.

本実施形態では、ＶＰＮサーバ１００の設置場所の判断、つまりは、移動端末２００が接続したネットワークがどのネットワークであるかの判断を、ＶＰＮサーバ１００の認証を通じて行う。このようにすることで、移動端末２００が接続するネットワークが複数ある場合でも、複数のネットワークを正しく識別することができ、接続したネットワークに応じて、ファイアウォール機能２０４を適切に設定することで、所属ネットワーク内の機器との通信のみを許可することができ、情報の漏洩を防止できる。その他の効果は、第１実施形態と同様である。   In this embodiment, the determination of the installation location of the VPN server 100, that is, the determination of which network the mobile terminal 200 is connected to is performed through authentication of the VPN server 100. In this way, even when there are a plurality of networks to which the mobile terminal 200 is connected, it is possible to correctly identify the plurality of networks. By appropriately setting the firewall function 204 according to the connected networks, Only communication with devices in the network can be permitted, and information leakage can be prevented. Other effects are the same as those of the first embodiment.

以下、実施例を用いて説明する。図６は、第２実施例のＶＰＮ自動接続システムの構成を示している。本実施形態では、ＶＰＮサーバを介してインターネット５７０に接続された２つの独立したネットワークが存在する。すなわち、ノートＰＣ５１０、ＶＰＮサーバ５３０、サーバ５４０、及び、プリンタ５５０がスイッチ５６０によって接続されたネットワークＡと、ノートＰＣ５２０、ＶＰＮサーバ６３０、サーバ６４０、及び、プリンタ６５０がスイッチ６６０によって接続されたネットワークＢとが存在する。   Hereinafter, description will be made using examples. FIG. 6 shows the configuration of the VPN automatic connection system of the second embodiment. In the present embodiment, there are two independent networks connected to the Internet 570 via a VPN server. That is, the network A in which the notebook PC 510, the VPN server 530, the server 540, and the printer 550 are connected by the switch 560, and the network B in which the notebook PC 520, the VPN server 630, the server 640, and the printer 650 are connected by the switch 660. And exist.

ノートＰＣは、図４の移動端末２００に相当し、何れかのネットワーク、又は、インターネット５７０に、直接に、或いは、ＮＡＴ等を介して接続される。ノートＰＣは、ＶＰＮサーバを有するネットワークのうちの何れかを所属ネットワークとする。本実施例では、ノートＰＣ５１０及び５２０の所属ネットワークは、共にネットワークＡであるとする。ノートＰＣ５１０及び５２０は、所属ネットワークであるネットワークＡに固有のネットワークＩＤ「ｉｄａ」を、所属ネットワーク情報として持っている。   The notebook PC corresponds to the mobile terminal 200 in FIG. 4 and is connected to any network or the Internet 570 directly or via NAT or the like. The notebook PC uses any one of the networks having the VPN server as a belonging network. In this embodiment, it is assumed that the networks to which the notebook PCs 510 and 520 belong are both the network A. The notebook PCs 510 and 520 have a network ID “ida” unique to the network A, which is the belonging network, as belonging network information.

ノートＰＣ５１０がネットワークＡに接続した場合を考える。この場合の動作は、第１実施例において、ノートＰＣ５１０が所属ネットワークであるネットワークＡに接続した場合の動作と同様である。すなわち、ノートＰＣ５１０のＶＰＮクライアント用ソフトウェア５１１は、接続したネットワークに向けて、ＶＰＮサーバ探索メッセージを送信し、その探索メッセージに対する探索メッセージを受信し、接続したネットワークＡ上に存在するＶＰＮサーバ５３０を発見する。その後、ノートＰＣ５１０は、ランダムに生成した数値を含む認証要求メッセージを、発見したＶＰＮサーバ５３０に向けて送信する。   Consider a case where the notebook PC 510 is connected to the network A. The operation in this case is the same as that in the first embodiment when the notebook PC 510 is connected to the network A, which is the network to which it belongs. In other words, the VPN client software 511 of the notebook PC 510 sends a VPN server search message to the connected network, receives the search message for the search message, and discovers the VPN server 530 existing on the connected network A. To do. Thereafter, the notebook PC 510 transmits an authentication request message including a randomly generated numerical value to the discovered VPN server 530.

ＶＰＮサーバ５３０は、認証要求メッセージに含まれる数値と、自身の設置場所を示すＩＤ「ｉｄａ」とを含む情報を、システムに共通の暗号キーを用いて暗号化し、暗号化した情報を認証応答メッセージに含めて、ノートＰＣ５１０に送信する。ノートＰＣ５１０は、システムに共通の暗号キーを用いて認証応答メッセージの暗号化を解き、認証応答メッセージに含まれる数値と、認証要求メッセージに含めた数値と一致することを確認して、ＶＰＮサーバ５３０が正規のＶＰＮサーバであることを確認する。   The VPN server 530 encrypts information including a numerical value included in the authentication request message and an ID “ida” indicating its installation location using an encryption key common to the system, and the encrypted information is an authentication response message. And transmitted to the notebook PC 510. The notebook PC 510 decrypts the authentication response message using an encryption key common to the system, confirms that the numerical value included in the authentication response message matches the numerical value included in the authentication request message, and the VPN server 530. Is a legitimate VPN server.

ノートＰＣ５１０は、正規のＶＰＮサーバであることを確認すると、認証応答メッセージに含まれるＶＰＮサーバ５３０の設置場所ＩＤを参照し、ＶＰＮサーバ５３０が接続されたネットワークが、自身の所属ネットワークと一致するか否かを判断する。認証応答メッセージに含まれるＶＰＮサーバ５３０の設置場所ＩＤは「ｉｄａ」であり、これは、ノートＰＣ５１０の所属ネットワークのＩＤ「ｉｄａ」と一致するので、ノートＰＣ５１０は、ＶＰＮサーバ５３０が、所属ネットワーク上に存在するＶＰＮサーバであると判断する。   When the notebook PC 510 confirms that it is a legitimate VPN server, it refers to the location ID of the VPN server 530 included in the authentication response message, and whether the network to which the VPN server 530 is connected matches the network to which it belongs. Judge whether or not. The location ID of the VPN server 530 included in the authentication response message is “ida”, which matches the ID “ida” of the network to which the notebook PC 510 belongs, so that the notebook PC 510 has the VPN server 530 on the network to which it belongs. It is determined that it is a VPN server existing in.

ノートＰＣ５１０が接続したネットワーク上に存在するＶＰＮサーバ５３０が、正規のＶＰＮサーバであり、かつ、ＶＰＮサーバ５３０が接続するネットワークが所属ネットワークであるということは、ノートＰＣ５１０が接続したネットワークは、自身の所属ネットワークであるということを意味している。ネットワークＡ内では、通信を禁止する必要はないので、ファイアウォールは、全ての通信を許可する。よって、ノートＰＣ５１０で動作する各アプリケーション５１２、５１３は、プリンタ５３０やサーバ５５０といったネットワークＡ内の内部機器との間で通信が可能となる。ノートＰＣ５１０が、ＶＰＮサーバを持たないネットワークに接続した際の動作については、第１実施例において、ノートＰＣ５２０がインターネット５７０に直接に接続した際の動作と同様である。   The VPN server 530 existing on the network to which the notebook PC 510 is connected is a regular VPN server, and the network to which the VPN server 530 is connected is a network to which the notebook PC 510 is connected. It means that it is an affiliated network. Since there is no need to prohibit communication within the network A, the firewall permits all communication. Therefore, the applications 512 and 513 operating on the notebook PC 510 can communicate with internal devices in the network A such as the printer 530 and the server 550. The operation when the notebook PC 510 is connected to the network without the VPN server is the same as the operation when the notebook PC 520 is directly connected to the Internet 570 in the first embodiment.

所属ネットワークをネットワークＡとするノートＰＣ５２０が、ネットワークＢに接続した場合を考える。この場合、ネットワーク接続後、ＶＰＮサーバ６３０が、接続ネットワーク上に存在するＶＰＮサーバとして発見される。このＶＰＮサーバ６３０に対して認証要求メッセージを送信すると、ＶＰＮサーバ６３０は、認証要求メッセージに含まれる数値と、自身の設置場所を示すＩＤ「ｉｄｂ」とを含む情報を、システムに共通の暗号キーを用い暗号化し、暗号化した情報を認証応答メッセージに含めて、ノートＰＣ５２０に送信する。   Consider a case where a notebook PC 520 whose network is the network A is connected to the network B. In this case, after the network connection, the VPN server 630 is discovered as a VPN server existing on the connection network. When the authentication request message is transmitted to the VPN server 630, the VPN server 630 uses the encryption key common to the system as the information including the numerical value included in the authentication request message and the ID “idb” indicating its installation location. The encrypted information is included in the authentication response message and transmitted to the notebook PC 520.

ノートＰＣ５２０は、まず、システムに共通の暗号キーを用いて認証応答メッセージの暗号化を解き、認証応答メッセージに含まれる数値と、認証要求メッセージに含めた数値と一致することを確認して、ＶＰＮサーバ６３０が正規のＶＰＮサーバであることを確認する。次いで、認証応答メッセージに含まれるＶＰＮサーバ６３０の設置場所ＩＤを参照すると、設置場所ＩＤは「ｉｄｂ」であり、これは、ノートＰＣ５２０の所属ネットワークのＩＤ「ｉｄａ」と一致しないので、ノートＰＣ５２０は、ＶＰＮサーバ６３０は、所属ネットワーク以外のネットワーク上に存在するＶＰＮサーバであると判断する。   The notebook PC 520 first decrypts the authentication response message using a common encryption key for the system, and confirms that the numerical value included in the authentication response message matches the numerical value included in the authentication request message. Confirm that the server 630 is a legitimate VPN server. Next, referring to the installation location ID of the VPN server 630 included in the authentication response message, the installation location ID is “idb”, which does not match the ID “ida” of the network to which the notebook PC 520 belongs. The VPN server 630 determines that it is a VPN server that exists on a network other than the network to which it belongs.

ノートＰＣ５２０は、ＶＰＮサーバ６３０が正規のＶＰＮサーバであるが、その設置場所が自身の所属ネットワークと一致しないときには、ネットワークＢ上のＶＰＮサーバ６３０を経由して、ネットワークＡに対するＶＰＮ接続を行う。この処理では、ノートＰＣ５２０は、まず、発見したネットワークＢ上のＶＰＮサーバ６３０に対してＶＰＮ接続要求を発行し、ＶＰＮサーバ６３０との間で、仮想通信路を作成する。その後、ＶＰＮサーバ６３０に対して、所属ネットワーク、つまり、ネットワークＡ上のＶＰＮサーバ５３０への接続要求を行う。ＶＰＮサーバ６３０は、この要求に従って、ネットワークＡ上のＶＰＮサーバ５３０との間で、仮想通信路を生成する。   The notebook PC 520 makes a VPN connection to the network A via the VPN server 630 on the network B when the VPN server 630 is a regular VPN server but the installation location does not match the network to which the notebook PC 520 belongs. In this process, the notebook PC 520 first issues a VPN connection request to the discovered VPN server 630 on the network B, and creates a virtual communication path with the VPN server 630. Thereafter, the VPN server 630 is requested to connect to the belonging server, that is, the VPN server 530 on the network A. The VPN server 630 generates a virtual communication path with the VPN server 530 on the network A according to this request.

ノートＰＣ５２０とＶＰＮサーバ６３０との間に仮想通信路が生成され、ＶＰＮサーバ６３０と、ネットワークＡ上のＶＰＮサーバ５３０との間に仮想通信路が生成されると、ノートＰＣ５２０のＶＰＮクライアント用ソフトウェア５２１は、ノートＰＣ５２０からネットワークＢ上のＶＰＮサーバ６３０への通信のみを許可するように、ファイアウォールを設定する。各アプリケーション５２２、５２３が発行する通信パケットは、ネットワークＢ上のＶＰＮサーバ６３０、ネットワークＡ上のＶＰＮサーバ５３０を通じて、ネットワークＡ内のサーバ５４０やプリンタ５５０等の内部機器へと送られる。このとき、ノートＰＣ５２０では、ＶＰＮサーバ６３０との間の仮想通信路に対する通信のみが許可されるので、ネットワークＢに設置されたサーバ６４０やプリンタ６５０など、ＶＰＮサーバ６３０以外の機器への通信は、禁止される。   When a virtual communication path is generated between the notebook PC 520 and the VPN server 630 and a virtual communication path is generated between the VPN server 630 and the VPN server 530 on the network A, the VPN client software 521 of the notebook PC 520 is generated. Configures the firewall to allow only communication from the notebook PC 520 to the VPN server 630 on the network B. Communication packets issued by the applications 522 and 523 are sent to internal devices such as the server 540 and the printer 550 in the network A through the VPN server 630 on the network B and the VPN server 530 on the network A. At this time, since the notebook PC 520 is allowed to communicate only with the virtual communication path with the VPN server 630, communication with devices other than the VPN server 630, such as the server 640 and the printer 650 installed in the network B, It is forbidden.

以上、本発明をその好適な実施形態に基づいて説明したが、本発明の通信システム、端末装置、ＶＰＮサーバ、プログラム、及び、通信方法は、上記実施形態にのみ限定されるものではなく、上記実施形態の構成から種々の修正及び変更を施したものも、本発明の範囲に含まれる。   As mentioned above, although this invention was demonstrated based on the suitable embodiment, the communication system of this invention, a terminal device, a VPN server, a program, and a communication method are not limited only to the said embodiment, The above-mentioned What changed and changed variously from the structure of embodiment is also contained in the scope of the present invention.

本発明は、企業や団体において、外部に持ち出すノートＰＣ等の端末からネットワークを通じて情報を漏洩することを防ぐ情報漏洩防止システムといった用途に適用できる。また、移動端末を家庭に持ち出したり、協力会社に持ち込んだりした場合にも、社内にいるときと同じ環境で作業するための環境ポータビリティシステムといった用途にも適用できる。   INDUSTRIAL APPLICABILITY The present invention can be applied to uses such as an information leakage prevention system that prevents leakage of information through a network from a terminal such as a notebook PC taken outside in a company or organization. Moreover, even when the mobile terminal is taken out to the home or brought into a partner company, it can be applied to an environment portability system for working in the same environment as in the office.

本発明の第１実施形態のＶＰＮ自動接続システムの構成を示すブロック図。The block diagram which shows the structure of the VPN automatic connection system of 1st Embodiment of this invention. ＶＰＮ自動接続システムの動作手順を示すフローチャート。The flowchart which shows the operation | movement procedure of a VPN automatic connection system. 第１実施例のＶＰＮ自動接続システムの構成を示すブロック図。The block diagram which shows the structure of the VPN automatic connection system of 1st Example. 本発明の第２実施形態のＶＰＮ自動接続システムの構成を示すブロック図。The block diagram which shows the structure of the VPN automatic connection system of 2nd Embodiment of this invention. 第２実施形態のＶＰＮ自動接続システムの動作手順を示すフローチャート。The flowchart which shows the operation | movement procedure of the VPN automatic connection system of 2nd Embodiment. 第２実施例のＶＰＮ自動接続システムの構成を示すブロック図。The block diagram which shows the structure of the VPN automatic connection system of 2nd Example.

符号の説明Explanation of symbols

１０：ＶＰＮ自動接続システム
１００：ＶＰＮサーバ
１０１：認証応答部
１０２：通信中継部
１０３：探索応答部
１０４：外部接続部
１０５：内部接続部
２００：移動端末
２０１：ＶＰＮサーバ探索部
２０２：ＶＰＮサーバ認証部
２０３：ＶＰＮ接続部
２０４：ファイアウォール機能
２０５：通信部
２０６：通信隠蔽部
２０７：アプリケーション
３００：内部機器
４００、４０２：内部ネットワーク
４０１：外部ネットワーク 10: VPN automatic connection system 100: VPN server 101: authentication response unit 102: communication relay unit 103: search response unit 104: external connection unit 105: internal connection unit 200: mobile terminal 201: VPN server search unit 202: VPN server authentication Unit 203: VPN connection unit 204: firewall function 205: communication unit 206: communication concealment unit 207: application 300: internal device 400, 402: internal network 401: external network

Claims (30)

端末装置と、該端末装置に対してＶＰＮ（Virtual Private Network）機能を提供するＶＰＮサーバとを用いた通信システムであって、
前記端末装置が接続したネットワーク上に発見したＶＰＮサーバとの間で認証を行い、前記発見したＶＰＮサーバが、正規のＶＰＮサーバであるか否かを判断するサーバ認証手段と、
前記サーバ認証手段によって正規のＶＰＮサーバであると判断されると、前記端末装置に対して、前記接続したネットワークとの間の通信を全て許可し、前記サーバ認証手段によって正規のＶＰＮサーバでないと判断されると、前記端末装置に対して、前記接続したネットワークとの間の全ての通信を禁止するファイアウォール手段とを備えることを特徴とする通信システム。 A communication system using a terminal device and a VPN server that provides a VPN (Virtual Private Network) function to the terminal device,
Server authentication means for performing authentication with a VPN server discovered on the network to which the terminal device is connected, and determining whether the discovered VPN server is a legitimate VPN server;
If the server authentication unit determines that the server is a legitimate VPN server, the terminal device is allowed to communicate with the connected network, and the server authentication unit determines that the server is not a legitimate VPN server. And a firewall means for prohibiting all communication between the terminal device and the connected network . 前記端末装置が接続したネットワーク上に存在するＶＰＮサーバを探索するサーバ探索手段を更に備え、
前記サーバ認証手段は、前記サーバ探索手段が発見したＶＰＮサーバが正規のＶＰＮサーバであるか否かを判断し、
前記ファイアウォール手段は、前記サーバ認証手段によって、前記発見されたＶＰＮサーバが正規のＶＰＮサーバであると判断される前には、ＶＰＮサーバの探索に用いられる通信のみを許可する一方で、前記ＶＰＮサーバの探索に用いられる通信とは異なる通信を全て禁止することを特徴とする請求項１に記載の通信システム。 Server search means for searching for a VPN server existing on the network to which the terminal device is connected ;
The server authentication means determines whether the VPN server discovered by the server search means is a regular VPN server,
The firewall means permits only communication used for searching for a VPN server before the server authentication means determines that the discovered VPN server is a legitimate VPN server, while the VPN server 2. The communication system according to claim 1 , wherein communication different from communication used for searching is prohibited . 前記サーバ認証手段は、前記発見したＶＰＮサーバに対して認証を要求し、該認証要求に対する前記ＶＰＮサーバからの認証応答を受信すると、該受信した認証応答に基づいて、前記発見したＶＰＮサーバが正規のＶＰＮサーバであるか否かを判断する、請求項１又は２に記載の通信システム。 The server authentication means requests the discovered VPN server for authentication and receives an authentication response from the VPN server in response to the authentication request. Based on the received authentication response, the discovered VPN server communication system of the node 100 determines whether the VPN server, according to claim 1 or 2. 前記認証応答には、所定の情報を、正規のＶＰＮサーバのみが知り得る情報を用いて暗号化した情報が含まれており、前記ＶＰＮサーバ認証手段は、前記認証応答に含まれる暗号化された情報を、正規のＶＰＮサーバのみが知り得る情報を用いて正しく解くことができるときには、前記発見したＶＰＮサーバが正規のＶＰＮサーバであると判断する、請求項３に記載の通信システム。 The authentication response includes information obtained by encrypting predetermined information using information that only a legitimate VPN server can know, and the VPN server authentication means includes an encrypted response included in the authentication response. The communication system according to claim 3 , wherein when the information can be correctly solved by using information that only a legitimate VPN server can know, the discovered VPN server is judged to be a legitimate VPN server. 前記ＶＰＮサーバは、外部ネットワークと内部ネットワークとに接続されており、前記外部ネットワークに接続された端末装置に対して、前記内部ネットワークに接続された機器との間の通信を可能にするＶＰＮ機能を提供する、請求項１〜４の何れか一に記載の通信システム。 The VPN server is connected to an external network and an internal network, and has a VPN function that enables a terminal device connected to the external network to communicate with a device connected to the internal network. provided, the communication system according to any one of claims 1-4. 前記サーバ探索手段は、前記接続したネットワークにサーバ探索のためのメッセージを送信し、該サーバ探索メッセージに対する探索応答メッセージを受信すると、前記探索応答メッセージの送信元のＶＰＮサーバを、前記接続したネットワーク上に存在するＶＰＮサーバとして発見する、請求項２に記載の通信システム。 When the server search means transmits a server search message to the connected network and receives a search response message for the server search message, the server search means sends the search response message VPN server on the connected network. The communication system according to claim 2 , wherein the communication system is discovered as a VPN server existing in the network. 前記ＶＰＮサーバが、前記内部ネットワークを介して前記サーバ探索メッセージを受信すると、該サーバ探索メッセージの送信元の端末装置に、前記探索応答メッセージを送信する探索応答部を備えている、請求項６に記載の通信システム。   When the VPN server receives the server search message via the internal network, the VPN server includes a search response unit that transmits the search response message to a terminal device that is a transmission source of the server search message. The communication system described. 前記サーバ探索手段が、前記接続したネットワーク上にＶＰＮサーバを発見できないと判断すると、前記接続したネットワークとは異なるネットワーク上に存在するＶＰＮサーバとの間で仮想通信路を生成し、該生成した仮想通信路を用いて、当該ＶＰＮサーバが接続する内部ネットワークに接続するＶＰＮ接続部を更に備える、請求項２、６、及び７の何れか一に記載の通信システム。 If the server search means determines that a VPN server cannot be found on the connected network, a virtual communication path is generated with a VPN server existing on a network different from the connected network, and the generated virtual The communication system according to any one of claims 2, 6, and 7 , further comprising a VPN connection unit connected to an internal network to which the VPN server is connected using a communication path. 前記ＶＰＮ接続部は、前記サーバ認証手段が正規のＶＰＮサーバではないと判断すると、前記接続したネットワークとは異なるネットワーク上に存在するＶＰＮサーバにアクセスして、該ＶＰＮサーバとの間で仮想通信路を生成し、該生成した仮想通信路を用いて、当該ＶＰＮサーバが接続する前記内部ネットワークに接続する、請求項８に記載の通信システム。   When the VPN connection unit determines that the server authentication unit is not a regular VPN server, the VPN connection unit accesses a VPN server existing on a network different from the connected network, and establishes a virtual communication path with the VPN server. The communication system according to claim 8, wherein the communication network is connected to the internal network to which the VPN server is connected using the generated virtual communication path. 前記ＶＰＮ接続部は、前記サーバ認証手段が正規のＶＰＮサーバであると判断すると、該正規のＶＰＮサーバが前記端末装置に対してあらかじめ設定された所属ネットワーク上に存在するＶＰＮサーバであるか否かを判断し、前記所属ネットワーク上に存在するＶＰＮサーバではないと判断すると、前記接続したネットワーク上に存在するＶＰＮサーバとの間で仮想通信路を生成すると共に、前記所属ネットワーク上のＶＰＮサーバにアクセスして、該所属ネットワーク上のＶＰＮサーバと、前記接続したネットワークに存在するＶＰＮサーバとの間で仮想通信路を生成し、前記生成した双方の仮想通信路を用いて、前記所属ネットワークに接続する、請求項８に記載の通信システム。   If the VPN connection unit determines that the server authentication means is a regular VPN server, whether or not the regular VPN server is a VPN server existing on a network to which the terminal device is set in advance. If it is not a VPN server existing on the affiliated network, a virtual communication path is generated with the VPN server existing on the connected network, and the VPN server on the affiliated network is accessed. Then, a virtual communication path is generated between the VPN server on the affiliated network and the VPN server existing on the connected network, and the both created virtual communication paths are used to connect to the affiliated network. The communication system according to claim 8. 前記ファイアウォール手段は、前記端末装置に対して、前記ＶＰＮサーバとの間で生成された仮想通信路を用いた通信のみを許可し、その他の通信を禁止する、請求項８〜１０の何れか一に記載の通信システム。   The said firewall means permits only communication using the virtual communication path generated between the VPN server and the terminal device, and prohibits other communications. The communication system according to 1. 端末装置に対してＶＰＮ（Virtual Private Network）機能を提供するＶＰＮサーバを含む通信システムで使用される端末装置であって、
前記端末装置が接続したネットワーク上に発見したＶＰＮサーバとの間で認証を行い、前記発見したＶＰＮサーバが、正規のＶＰＮサーバか否かを判断するサーバ認証手段と、
前記サーバ認証手段によって正規のＶＰＮサーバであると判断されると、前記端末装置に対して、前記接続したネットワークとの間の通信を全て許可し、前記サーバ認証手段によって正規のＶＰＮサーバでないと判断されると、前記端末装置に対して、前記接続したネットワークとの間の全ての通信を禁止するファイアウォール手段とを備えることを特徴とする端末装置。 A terminal device used in a communication system including a VPN server that provides a VPN (Virtual Private Network) function to a terminal device,
Server authentication means for performing authentication with a VPN server discovered on the network to which the terminal device is connected, and determining whether the discovered VPN server is a legitimate VPN server;
If the server authentication unit determines that the server is a legitimate VPN server, the terminal device is allowed to communicate with the connected network, and the server authentication unit determines that the server is not a legitimate VPN server. Then, the terminal device comprises firewall means for prohibiting all communication between the terminal device and the connected network . 前記端末装置が接続したネットワーク上に存在するＶＰＮサーバを探索するサーバ探索手段を更に備え、
前記サーバ認証手段は、前記サーバ探索手段が発見したＶＰＮサーバが正規のＶＰＮサーバであるか否かを判断し、
前記ファイアウォール手段は、前記サーバ認証手段によって、前記発見されたＶＰＮサーバが正規のＶＰＮサーバであると判断される前には、ＶＰＮサーバの探索に用いられる通信のみを許可する一方で、前記ＶＰＮサーバの探索に用いられる通信とは異なる通信を全て禁止することを特徴とする請求項１２に記載の端末装置。 Server search means for searching for a VPN server existing on the network to which the terminal device is connected ;
The server authentication means determines whether the VPN server discovered by the server search means is a regular VPN server,
The firewall means permits only communication used for searching for a VPN server before the server authentication means determines that the discovered VPN server is a legitimate VPN server, while the VPN server The terminal device according to claim 12 , wherein all communication different from the communication used for searching for the terminal is prohibited . 前記サーバ認証手段は、前記接続したネットワーク上に発見したＶＰＮサーバに対して認証を要求し、該認証要求に対する前記ＶＰＮサーバからの認証応答を受信すると、該受信した認証応答に基づいて、前記発見したＶＰＮサーバが正規のＶＰＮサーバであるか否かを判断する、請求項１２又は１３に記載の端末装置。 The server authentication means requests the VPN server found on the connected network to be authenticated, and receives an authentication response from the VPN server in response to the authentication request. Based on the received authentication response, the server authentication means The terminal device according to claim 12 or 13, wherein the determined VPN server determines whether or not it is a regular VPN server. 前記認証応答には、所定の情報を、正規のＶＰＮサーバのみが知り得る情報を用いて暗号化した情報が含まれており、前記ＶＰＮサーバ認証手段は、前記認証応答に含まれる暗号化された情報を、正規のＶＰＮサーバのみが知り得る情報を用いて正しく解くことができるときには、前記発見したＶＰＮサーバが正規のＶＰＮサーバであると判断する、請求項１４に記載の端末装置。 The authentication response includes information obtained by encrypting predetermined information using information that only a legitimate VPN server can know, and the VPN server authentication means includes an encrypted response included in the authentication response. The terminal device according to claim 14, wherein when the information can be correctly solved using information that only a legitimate VPN server knows, the discovered VPN server is determined to be a legitimate VPN server. 前記サーバ探索手段が、前記接続したネットワーク上にＶＰＮサーバが存在しないと判断すると、前記接続したネットワークとは異なるネットワーク上に存在するＶＰＮサーバとの間で仮想通信路を生成し、該生成した仮想通信路を用いて、前記ＶＰＮサーバとの間でＶＰＮ通信を行うＶＰＮ接続部を更に備える、請求項１３に記載の端末装置。 When the server search means determines that there is no VPN server on the connected network, it generates a virtual communication path with a VPN server that exists on a different network from the connected network, and the generated virtual The terminal device according to claim 13 , further comprising a VPN connection unit that performs VPN communication with the VPN server using a communication path. 前記ＶＰＮ接続部は、前記サーバ認証手段が正規のＶＰＮサーバであると判断すると、該正規のＶＰＮサーバが前記端末装置に対してあらかじめ設定された所属ネットワーク上に存在するＶＰＮサーバであるか否かを判断し、前記所属ネットワーク上に存在するＶＰＮサーバではないと判断すると、前記接続したネットワーク上に存在するＶＰＮサーバとの間で仮想通信路を生成すると共に、前記所属ネットワーク上のＶＰＮサーバにアクセスして、該所属ネットワーク上のＶＰＮサーバと、前記接続したネットワークに存在するＶＰＮサーバとの間で仮想通信路を生成し、前記生成した双方の仮想通信路を用いて、前記所属ネットワークに接続する、請求項１６に記載の端末装置。 If the VPN connection unit determines that the server authentication means is a regular VPN server, whether or not the regular VPN server is a VPN server existing on a network to which the terminal device is set in advance. If it is not a VPN server existing on the affiliated network, a virtual communication path is generated with the VPN server existing on the connected network, and the VPN server on the affiliated network is accessed. Then, a virtual communication path is generated between the VPN server on the affiliated network and the VPN server existing on the connected network, and the both created virtual communication paths are used to connect to the affiliated network. The terminal device according to claim 16 . 前記ファイアウォール手段は、前記端末装置に対して、前記生成された仮想通信路を用いた通信のみを許可し、その他の通信を禁止する、請求項１６又は１７に記載の端末装置。 The terminal device according to claim 16 or 17 , wherein the firewall means permits the terminal device only to communicate using the generated virtual communication path and prohibits other communication. サーバ装置と、ファイアウォール手段を有する端末装置とを用いた通信方法であって、
前記端末装置が、接続したネットワークに発見したサーバ装置に対して、認証を要求するステップと、
前記サーバ装置が、前記認証の要求に対する応答を返信するステップと、
前記端末装置が、前記サーバ装置からの応答に基づいて、前記応答を返信したサーバ装置が正規のサーバ装置であるか否かを判断するステップと、
前記端末装置が、前記応答を返信したサーバ装置が正規のサーバ装置であると判断すると、前記ファイアウォール手段に対して、前記端末装置と該端末装置が接続したネットワークとの間の全ての通信を許可するように指示するステップと、
前記端末装置が、前記応答を返信したサーバ装置が正規のサーバ装置でないと判断すると、前記ファイアウォール手段に対して、前記端末装置と該端末装置が接続したネットワークとの間の全ての通信を禁止するように指示するステップと、を有することを特徴とする通信方法。 A communication method using a server device and a terminal device having firewall means,
The terminal device requesting authentication to a server device discovered in a connected network;
The server device returning a response to the authentication request;
A step of determining whether or not the server device that has returned the response is a legitimate server device based on a response from the server device;
When the terminal device determines that the server device that has returned the response is a legitimate server device, the firewall means permits all communication between the terminal device and the network to which the terminal device is connected. the method comprising the steps of: instructed to,
If the terminal device determines that the server device that has returned the response is not a legitimate server device, the firewall means prohibits all communication between the terminal device and the network to which the terminal device is connected. And a step of instructing the communication method. 前記認証を要求するステップに先立って、前記端末装置が、接続したネットワーク中に存在するサーバ装置を探索するステップをさらに有し、
前記認証を要求するステップは、前記サーバ装置を探索するステップで発見されたサーバ装置に対して、認証を要求するステップであり、
前記正規のサーバ装置であるか否かを判断するステップにおいて、前記発見されたＶＰＮサーバが正規のＶＰＮサーバであると判断される前には、前記ファイアウォール手段に対して、ＶＰＮサーバの探索に用いられる通信のみを許可するよう指示する一方で、前記ＶＰＮサーバの探索に用いられる通信とは異なる通信を全て禁止するよう指示するステップをさらに有する、
ことを特徴とする請求項１９に記載の通信方法。 Prior to requesting the authentication, the terminal device further have a step of searching for a server device present in the connected network,
The step of requesting authentication is a step of requesting authentication for the server device discovered in the step of searching for the server device,
In the step of determining whether or not the server is a legitimate server device, before determining that the discovered VPN server is a legitimate VPN server, the firewall means is used to search for a VPN server. while instructing to allow communication only for further have a step of instructing to prohibit all different communication from the communication used for the search of the VPN server,
The communication method according to claim 19 . 前記サーバ装置が、外部ネットワークと内部ネットワークとに接続され、前記外部ネットワークに接続された端末装置に対して、前記内部ネットワークに接続された機器との間の通信を可能にするＶＰＮ（Virtual Private Network）機能を提供するＶＰＮサーバである、請求項１９又は２０に記載の通信方法。 The server device is connected to an external network and an internal network, and a VPN (Virtual Private Network) that enables a terminal device connected to the external network to communicate with a device connected to the internal network. The communication method according to claim 19 or 20 , which is a VPN server that provides a function. 接続したネットワーク中に前記サーバ装置が発見されないとき、前記端末装置が、前記接続したネットワークとは異なるネットワーク上に存在するサーバ装置との間で仮想通信路を生成し、該生成した仮想通信路を用いて、当該サーバ装置が接続している前記内部ネットワークに接続するステップと、
前記端末装置が、前記ファイアウォール手段に対して、前記生成した仮想通信路による通信のみを許可するように指示するステップとを有する、請求項２１に記載の通信方法。 When the server device is not found in the connected network, the terminal device generates a virtual communication path with a server device that exists on a network different from the connected network, and the generated virtual communication path is Using to connect to the internal network to which the server device is connected;
The communication method according to claim 21 , further comprising: a step of instructing the firewall unit to permit only communication through the generated virtual communication path to the firewall unit. 前記端末装置が、前記発見したサーバ装置が正規のサーバ装置でないと判断すると、前記接続したネットワークとは異なるネットワーク上に存在するサーバ装置にアクセスし、該サーバ装置との間で仮想通信路を生成し、該生成した仮想通信路を用いて、当該サーバ装置の前記内部ネットワークに接続するステップと、
前記端末装置が、前記ファイアウォール手段に対して、前記生成した仮想通信路による通信のみを許可するように指示するステップとを有する、請求項２０に記載の通信方法。 If the terminal device determines that the discovered server device is not a legitimate server device, the terminal device accesses a server device that exists on a network different from the connected network and generates a virtual communication path with the server device. Connecting to the internal network of the server device using the generated virtual communication path;
21. The communication method according to claim 20 , further comprising: a step of instructing the firewall unit to permit only communication using the generated virtual communication path. 前記端末装置が、前記発見したサーバ装置が正規のサーバ装置であり、かつ、該サーバ装置が端末装置に対してあらかじめ設定された所属ネットワークに接続されたサーバ装置ではないと判断すると、前記接続したネットワークに存在するサーバ装置との間で仮想通信路を生成するステップと、
前記端末装置が、前記所属ネットワークに存在するサーバ装置にアクセスし、該所属ネットワークのサーバ装置と、前記接続したネットワークに存在するサーバ装置との間で仮想通信路を生成するステップと、
前記端末装置が、前記生成した仮想通信路を用いて、前記所属ネットワークに接続するステップと、
前記端末装置が、前記ファイアウォール手段に対して、前記生成した仮想通信路による通信のみを許可するように指示するステップと、を有する、請求項２０に記載の通信方法。 If the terminal device determines that the discovered server device is a legitimate server device and that the server device is not a server device connected to a network to which the terminal device is set in advance, the connection is established. Creating a virtual communication path with a server device existing in the network;
The terminal device accessing a server device existing in the affiliated network, and generating a virtual communication path between the server device of the affiliated network and the server device existing in the connected network;
The terminal device uses the generated virtual communication path to connect to the belonging network,
The communication method according to claim 20 , further comprising: a step of instructing the firewall unit to permit only communication using the generated virtual communication path. 端末装置に対してＶＰＮ（Virtual Private Network）機能を提供するＶＰＮサーバを含む通信システムで使用されるプログラムであって、前記端末装置に、
前記端末装置が接続したネットワーク上に発見されたＶＰＮサーバが正規のＶＰＮサーバか否かを判断する処理と、
前記ＶＰＮサーバが正規のＶＰＮサーバであると判断すると、前記端末装置に対して、前記接続したネットワークとの間の通信を全て許可する処理と、
前記ＶＰＮサーバが正規のＶＰＮサーバでないと判断すると、前記端末装置に対して、前記接続したネットワークとの間の全ての通信を禁止する処理とを実行させることを特徴とするプログラム。 A program used in a communication system including a VPN server that provides a VPN (Virtual Private Network) function to a terminal device, the terminal device including:
A process of V PN server found on network to which the terminal device is connected to determine whether normal VPN server,
When it is determined that the VPN server is a regular VPN server, the terminal device is allowed to allow all communication with the connected network ;
When determining that the VPN server is not a regular VPN server, the program causes the terminal device to execute a process for prohibiting all communication with the connected network . 前記ＶＰＮサーバの認証処理に先立って、前記端末装置に、前記端末装置が接続したネットワーク上に存在するＶＰＮサーバを探索する処理をさらに実行させ、
前記正規のＶＰＮサーバか否かを判断する処理は、前記ＶＰＮサーバを探索する処理で発見されたＶＰＮサーバが正規のＶＰＮサーバか否かを判断する処理であり、
前記正規のＶＰＮサーバか否かを判断する処理において、前記発見されたＶＰＮサーバが正規のＶＰＮサーバであると判断される前には、前記端末装置に対して、ＶＰＮサーバの探索に用いられる通信のみを許可する一方で、前記ＶＰＮサーバの探索に用いられる通信とは異なる通信を全て禁止する処理をさらに実行させる、
ことを特徴とする請求項２５に記載のプログラム。 Prior to the authentication process of the VPN server, the terminal device further executes a process of searching for a VPN server existing on the network to which the terminal device is connected ,
The process of determining whether or not the regular VPN server is a process of determining whether or not the VPN server discovered in the process of searching for the VPN server is a regular VPN server,
Before determining that the discovered VPN server is a legitimate VPN server in the process of judging whether or not it is a legitimate VPN server, communication used for searching the VPN server to the terminal device. while allowing only Ru is further executes a process of prohibiting all different communication from the communication used for the search of the VPN server,
26. The program according to claim 25 . 前記ＶＰＮサーバの認証処理が、
前記接続したネットワーク上に存在するＶＰＮサーバに対して認証を要求する処理と、
前記認証要求に対する前記ＶＰＮサーバからの認証応答を受信し、該受信した認証応答に基づいて、前記ＶＰＮサーバが正規のＶＰＮサーバであるか否かを判断する処理とを含む、請求項２５又は２６に記載のプログラム。 The authentication process of the VPN server is
Processing for requesting authentication from a VPN server existing on the connected network;
Receiving an authentication response from the VPN server for the authentication request based on the authentication response thus received, the VPN server and a process of determining whether a legitimate VPN server, according to claim 25 or 26 The program described in. 前記ＶＰＮサーバを探索する処理で、前記接続したネットワーク上にＶＰＮサーバが発見できないと判断すると、前記端末装置に、前記接続したネットワーク外に存在するＶＰＮサーバとの間で仮想通信路を生成し、該生成した仮想通信路を用いて、前記ＶＰＮサーバとの間でＶＰＮ通信を行う処理を更に実行させる、請求項２６に記載のプログラム。 If it is determined in the process of searching for the VPN server that a VPN server cannot be found on the connected network, a virtual communication path is generated between the terminal device and a VPN server existing outside the connected network, 27. The program according to claim 26 , further executing a process of performing VPN communication with the VPN server using the generated virtual communication path. 前記ＶＰＮサーバの認証処理で、正規のＶＰＮサーバであると判断した場合には、前記端末装置に、
前記正規のＶＰＮサーバが前記端末装置に対してあらかじめ設定された所属ネットワーク上に存在するＶＰＮサーバであるか否かを判断する処理と、
前記所属ネットワーク上に存在するＶＰＮサーバではないと判断したときには、前記接続したネットワーク上に存在するＶＰＮサーバとの間で仮想通信路を生成すると共に、前記所属ネットワーク上のＶＰＮサーバにアクセスして、該所属ネットワーク上のＶＰＮサーバと、前記接続したネットワークに存在するＶＰＮサーバとの間で仮想通信路を生成し、前記生成した双方の仮想通信路を用いて、前記所属ネットワークに接続する処理を更に実行させる、請求項２５〜２７の何れか一に記載のプログラム。 In the authentication process of the VPN server, if it is determined that the VPN server is a regular VPN server,
A process for determining whether or not the regular VPN server is a VPN server existing on a network belonging to the terminal device set in advance;
When it is determined that it is not a VPN server existing on the affiliated network, a virtual communication path is generated with the VPN server existing on the connected network, and the VPN server on the affiliated network is accessed, A process of generating a virtual communication path between a VPN server on the affiliated network and a VPN server existing on the connected network, and connecting to the affiliated network using both of the created virtual communication paths; The program according to any one of claims 25 to 27, which is executed. 前記仮想通信路の生成後、前記コンピュータに、前記端末装置に対して、前記生成された仮想通信路を用いた通信のみを許可し、その他の通信を禁止する処理を実行させる、請求項２８又は２９に記載のプログラム。 After generation of the virtual communication path, the computer, to the terminal device, and only allow communication using a virtual channel the generated, to execute a process of prohibiting the other communication, claim 28 or 29. The program according to 29 .
JP2006201815A 2006-07-25 2006-07-25 COMMUNICATION SYSTEM, TERMINAL DEVICE, PROGRAM, AND COMMUNICATION METHOD Expired - Fee Related JP4775154B2 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2006201815A JP4775154B2 (en) 2006-07-25 2006-07-25 COMMUNICATION SYSTEM, TERMINAL DEVICE, PROGRAM, AND COMMUNICATION METHOD

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2006201815A JP4775154B2 (en) 2006-07-25 2006-07-25 COMMUNICATION SYSTEM, TERMINAL DEVICE, PROGRAM, AND COMMUNICATION METHOD

Publications (2)

Publication Number Publication Date
JP2008028899A JP2008028899A (en) 2008-02-07
JP4775154B2 true JP4775154B2 (en) 2011-09-21

Family

ID=39119058

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2006201815A Expired - Fee Related JP4775154B2 (en) 2006-07-25 2006-07-25 COMMUNICATION SYSTEM, TERMINAL DEVICE, PROGRAM, AND COMMUNICATION METHOD

Country Status (1)

Country Link
JP (1) JP4775154B2 (en)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107426184A (en) * 2017-06-22 2017-12-01 国网浙江海盐县供电公司 Power system Mobile solution information safety system and its transmission method
US9986041B2 (en) 2015-07-21 2018-05-29 Amadeus S.A.S. Communications management system with a separate peripherals server
CN110677313A (en) * 2019-08-25 2020-01-10 北京亚鸿世纪科技发展有限公司 Method for discovering VPN software background server

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5478546B2 (en) * 2011-04-12 2014-04-23 日本電信電話株式会社 Access control system and access control method

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3587000B2 (en) * 1996-11-01 2004-11-10 ヤマハ株式会社 Unauthorized copy protection system, monitoring node and sending / receiving node
JP4025734B2 (en) * 2004-02-13 2007-12-26 エヌ・ティ・ティ・コミュニケーションズ株式会社 Session management apparatus, method, and program for establishing encrypted communication channel between terminals
US7213263B2 (en) * 2000-11-13 2007-05-01 Smith Micro Software, Inc. System and method for secure network mobility
JP2002271309A (en) * 2001-03-07 2002-09-20 Sharp Corp Key-information managing method, and device managing equipment
JP4627963B2 (en) * 2002-10-18 2011-02-09 トヨタ自動車株式会社 In-vehicle information communication terminal, information communication system, and information communication method
JP2004274448A (en) * 2003-03-10 2004-09-30 Sustainable Community Center Japan Public network access system
US7665132B2 (en) * 2003-07-04 2010-02-16 Nippon Telegraph And Telephone Corporation Remote access VPN mediation method and mediation device
US20080037557A1 (en) * 2004-10-19 2008-02-14 Nec Corporation Vpn Getaway Device and Hosting System

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9986041B2 (en) 2015-07-21 2018-05-29 Amadeus S.A.S. Communications management system with a separate peripherals server
US9986040B2 (en) 2015-07-21 2018-05-29 Amadeus S.A.S. Communications management system with a separate peripherals server
US10455027B2 (en) 2015-07-21 2019-10-22 Amadeus S.A.S. Communications management system with a separate peripherals server
US10972550B2 (en) 2015-07-21 2021-04-06 Amadeus Sas Communications management system with a separate peripherals server
US11496578B2 (en) 2015-07-21 2022-11-08 Amadeus S.A.S. Communications management system with a separate peripherals server
CN107426184A (en) * 2017-06-22 2017-12-01 国网浙江海盐县供电公司 Power system Mobile solution information safety system and its transmission method
CN110677313A (en) * 2019-08-25 2020-01-10 北京亚鸿世纪科技发展有限公司 Method for discovering VPN software background server

Also Published As

Publication number Publication date
JP2008028899A (en) 2008-02-07

Similar Documents

Publication Publication Date Title
US11165604B2 (en) Method and system used by terminal to connect to virtual private network, and related device
US9654453B2 (en) Symmetric key distribution framework for the Internet
US8429403B2 (en) Systems and methods for provisioning network devices
US8166534B2 (en) Incorporating network connection security levels into firewall rules
US20100122338A1 (en) Network system, dhcp server device, and dhcp client device
US11751052B2 (en) Credential information processing method and apparatus for network connection, and application (APP)
JP4879643B2 (en) Network access control system, terminal, address assignment device, terminal system authentication device, network access control method, and computer program
JP4492248B2 (en) Network system, internal server, terminal device, program, and packet relay method
CN103095861A (en) Determining whether a device is inside a network
JP2015536061A (en) Method and apparatus for registering a client with a server
TW201739284A (en) System and method for network-level smart home security
JP4775154B2 (en) COMMUNICATION SYSTEM, TERMINAL DEVICE, PROGRAM, AND COMMUNICATION METHOD
US20160105407A1 (en) Information processing apparatus, terminal, information processing system, and information processing method
JP4720576B2 (en) Network security management system, encrypted communication remote monitoring method and communication terminal.
JP2006109152A (en) Connection requesting device, response device, connection management device and communication system for performing communication on network
US11888898B2 (en) Network configuration security using encrypted transport
KR101584986B1 (en) A method for network access authentication
Baugher et al. Home-network threats and access controls
JP2018011191A (en) Apparatus list creation system and apparatus list creation method
JP2008227626A (en) Communication system and communication method of network camera
JP2006197094A (en) Communication system
US11825306B2 (en) Peer-to-peer secure communication system, apparatus, and method
JP2005242547A (en) Remote service execution method, remote client, and remote service server
CN117319080A (en) Mobile terminal for isolating secret communication and communication method
JP2006279579A (en) Access control system, terminal and gateway unit used for it

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20080310

RD01 Notification of change of attorney

Free format text: JAPANESE INTERMEDIATE CODE: A7421

Effective date: 20100223

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20100921

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20101005

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20101206

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20110125

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20110531

A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20110613

R150 Certificate of patent or registration of utility model

Ref document number: 4775154

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

Free format text: JAPANESE INTERMEDIATE CODE: R150

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20140708

Year of fee payment: 3

LAPS Cancellation because of no payment of annual fees