JP5058191B2

JP5058191B2 - Ｖｐｎ制御装置、ｖｐｎ接続装置、ｖｐｎ設定方法、及びプログラム

Info

Publication number: JP5058191B2
Application number: JP2009043140A
Authority: JP
Inventors: 由香上水流; 浩昭波多; 弘幸市川
Original assignee: NTT Communications Corp
Current assignee: NTT Communications Corp
Priority date: 2009-02-25
Filing date: 2009-02-25
Publication date: 2012-10-24
Anticipated expiration: 2029-02-25
Also published as: JP2010200032A

Description

本発明は、端末装置間でVPN(Virtual Private Network)を構築する技術に関するものであり、特に、所望のVPNプロトコルに基づくVPNを作業者の手間をかけずに構築する技術に関するものである。

インターネットが社会のインフラとなった現在では、通信機能を持つ組み込み機器等の端末装置がセンサーや機器制御等の用途で利用され始めている。このような端末装置を利用して、センタサーバがセンサー情報を収集したり、遠隔地の機器の制御を行うことが可能になっている。

上記のような端末装置と、端末装置を管理するセンタサーバとの間の通信はセキュアな通信であることが必要であり、そのためにインターネット上で仮想的に閉域網を実現するIP-VPN（以下、単にVPNと記述する）の技術を適用することができる。

端末装置を設置してセンタサーバとの間にVPNを構築するためには、端末装置に対して特定のVPNプロトコルに対応したVPN通信を可能とするための設定をすることになる。なお、本願に関連する従来技術として特許文献１に記載された技術がある。

特開2002-111732号公報

さて、VPNを実現するためのVPNプロトコルとしては、IPsec(Security Architecture for Internet Protocol)、TLS(Transport Layer Security)、 L2TP（Layer 2 Tunneling Protocol）など様々なプロトコルがあるが、VPNを利用するネットワーク環境や利用されるアプリケーションによって使用に適したプロトコルが異なる。例えば、LAN上に設置され、センタサーバ以外の装置とも通信を行う端末装置に関しては、センタサーバとの間にLayer 2 トンネルを形成するVPN方式を使用することはできない。また、例えばIPsecパケットを透過させない装置の配下にある端末装置においてはIPsecを使用することはできない。

センサー情報や機器制御の管理装置として使用されるセンタサーバには多くの端末装置がVPNにより接続されるが、各々の端末装置に対してその端末装置に対応したVPNの設定を行う必要がある。

しかし、VPN設定の設定項目は多岐にわたり、端末装置に対してVPN設定を行うことは煩雑な作業となる。また、様々な場所に設置された数多くの端末装置に対して、接続先変更といった設定変更を行う際にも、その作業の手間は膨大なものとなる。特に、センサーや機器制御のために利用される端末装置は、入力機能に乏しいのが一般的であり、VPN設定にかかる手間は普通のコンピュータ端末に比べて非常に大きい。

また、従来は、端末装置において使用されるVPNプロトコルを動的に設定・変更する技術がなかったため、各端末装置に対してVPNプロトコルを設定・変更する際には、運用者が当該端末装置に適合したVPNプロトコルを把握し、そのVPNプロトコルに対応したVPN設定を行わなければならず、この点でも手間が大きかった。

本発明は上記の点に鑑みてなされたものであり、端末装置に対するVPNの設定を手間をかけずに行うことを可能とする技術を提供することを目的とする。

上記の課題を解決するために、本発明は、VPN接続装置と通信ネットワークを介して接続されるVPN制御装置であって、VPN接続装置のVPN接続先と、VPNプロトコル名と、VPN構築のために用いられるパラメータ情報とを含むVPN設定情報を、当該VPN接続装置を識別する装置識別情報と対応付けて格納するVPN設定情報格納手段と、前記VPN設定情報格納手段に格納されたVPN設定情報を、当該VPN設定情報に対応する装置識別情報で識別されるVPN接続装置に送信するVPN設定情報提供手段と、を備え、前記VPN設定情報提供手段は、VPN接続装置から装置識別情報を含む登録要求を受信し、当該装置識別情報を記憶手段に格納する手段と、装置識別情報とVPN設定情報とを有するVPN設定指示情報の入力を受け、当該VPN設定指示情報を前記VPN設定情報格納手段に格納する指示情報入力手段と、前記指示情報入力手段により、前記登録要求に含まれる装置識別情報に対応するVPN設定情報が前記VPN設定情報格納手段に格納された場合に、当該VPN設定情報を前記装置識別情報で識別されるVPN接続装置に送信する手段と、を備えることを特徴とするVPN制御装置として構成される。

前記VPN設定情報提供手段は、VPN接続装置から装置識別情報を含むVPN設定情報要求を受信し、当該装置識別情報に対応するVPN設定情報を前記VPN設定情報格納手段から取得し、当該取得したVPN設定情報を前記VPN接続装置に送信することとしてもよい。
また、前記VPN設定情報格納手段に格納された特定のVPN接続先に対応するVPN設定情報が、別のVPN接続先に対応するVPN設定情報に変更された場合に、前記VPN設定情報提供手段は、変更されたVPN設定情報を、接続先変更命令とともに当該VPN設定情報に対応する装置識別情報で識別されるVPN接続装置に送信することとしてもよい。
また、前記VPN制御装置は、各VPN接続先の装置の負荷情報、及び各VPN接続装置の送受信データ量を通信ネットワーク上のネットワーク監視装置から受信し、当該負荷情報及び当該送受信データ量に基づいて、複数のVPN接続先の装置間での負荷が分散するように、前記VPN設定情報格納手段に格納されたVPN設定情報の変更を行うVPN設定情報編集手段を更に備えてもよい。

また、本発明は、前記VPN設定情報を送信するVPN制御装置と通信ネットワークを介して接続されるVPN接続装置であって、VPN構築用プログラムを格納する格納手段と、前記VPN制御装置から、VPN接続先と、VPNプロトコル名と、VPN構築のために用いられるパラメータ情報とを含むVPN設定情報を受信するVPN設定情報取得手段と、前記VPN設定情報に含まれる前記VPNプロトコル名に対応するVPN構築用プログラムを起動し、前記VPN接続先と前記パラメータ情報とを用いてVPN構築のための設定を行う設定手段とを備えたことを特徴とするVPN接続装置として構成することもできる。

前記VPN設定情報取得手段は、前記VPN接続装置の装置識別情報を含む要求情報を前記VPN制御装置に送信した後に、当該VPN制御装置から前記VPN設定情報を受信することとしてもよい。

本発明によれば、端末装置に対するVPNの設定を手間をかけずに迅速に行うことが可能となる。

第１の実施の形態におけるシステム構成図である。端末装置１の機能構成図である。端末装置１の他の例の構成図である。 VPN制御装置３の機能構成図である。 VPN設定情報格納部３３に格納される情報の例を示す図である。第１の実施の形態におけるシステムの動作例１を説明するための図である。第１の実施の形態におけるシステムの動作例２を説明するための図である。第２の実施の形態におけるシステム構成図である。第２の実施の形態におけるシステムの動作例を説明するための図である。 VPN設定情報格納部３３に格納される情報の例を示す図である。第３の実施の形態におけるシステム構成図である。 VPN制御装置３の他の例の機能構成図である。 VPN設定情報の編集を説明するための図である。

以下、図面を参照して本発明の実施の形態について説明する。

＜第１の実施の形態＞
（システム構成）
図１に本実施の形態に係るシステムの全体構成図を示す。図１に示すように、本実施の形態に係るシステムは、複数の端末装置１と、センタサーバ４が接続されたVPN集約装置２と、VPN制御装置３とがインターネット５に接続されて構成されている。

図１に示すシステムにおいて、VPN制御装置３が実行する制御処理に基づき、複数の端末装置１の各々とVPN集約装置２との間にVPNが構築され、当該VPNを介して端末装置１とセンタサーバ４との間でデータ通信が行われる。データ通信としては、例えば、センタサーバ４から各端末装置１に対して制御情報が送信され、各端末装置１からセンタサーバ４に対して制御情報に基づく処理結果等が送られるといった内容のデータ通信が行われる。

図２に、端末装置１の機能構成図を示す。図２に示すように、端末装置１は、アプリケーション部１１と、VPN接続制御部１２とを有する。

アプリケーション部１１は、例えば、端末装置１をセンサーとして機能させるための各種処理を行うアプリケーションにより実現される機能部であるが、特定のものに限定されるわけではない。

VPN接続制御部１２は、VPN設定部１３、データ格納部１６、VPN処理部１５を有する。VPN設定部１３は、対VPN制御装置通信部１４を含み、対VPN制御装置通信部１４の機能によりVPN制御装置３と通信を行って、VPN制御装置３に要求を送信し、VPN制御装置３からVPN構築に必要な情報であるVPN設定情報を取得し、取得したVPN設定情報に基づきVPN設定を行う機能部である。対VPN制御装置通信部１４には、VPN制御装置３のアドレス情報が予め設定してある。

VPN設定情報には、VPNの接続先（例えば、IPアドレス、ホスト名等）、VPNプロトコル名（TLS、TCP、IP、IPsec、UDP、L2TP、等）、VPNプロトコル名に対応するVPNを構築するために端末装置側で必要となる設定パラメータ値を含む。設定パラメータ値は、例えば、IPsecの場合であれば、SAやSPD設定に必要なパラメータ値等である。

また、「VPN設定情報に基づきVPN設定を行う」とは、VPNプロトコル名に対応するVPN用のプログラムを端末装置１が起動するとともに、VPNの接続先情報や設定パラメータ値をデータ格納部１６に格納したり、設定パラメータ値を有効にするために所定のコマンドを実行したりすることである。

データ格納部１６には、VPNプロトコル名に対応付けて各VPN用のプログラムが格納されるとともに、VPN設定情報に含まれていたVPNの接続先情報や設定パラメータ値が格納される。

VPN処理部１５は、起動されたVPN用プログラムに対応する機能部であり、VPNの接続先情報及び設定パラメータ値をデータ格納部１６から読み出して、VPN集約装置２との間にVPNを構築する処理を行うとともに、アプリケーション部１１が送受信するデータをカプセリング／デカプセリングする等のVPN通信実現のための処理を行う機能部である。

端末装置１は、例えば、アプリケーション部１１に対応するアプリケーションがインストールされ、記憶装置にVPN用各種プログラムが格納されたコンピュータ（CPU、メモリ等を含む構成）に、VPN設定部１３に対応するプログラムを実行させることにより実現できる。

なお、図２では、端末装置１内にアプリケーション部１１とVPN接続制御部１２とを備える構成を示しているが、これは一例に過ぎない。図３に示す構成のように、アプリケーション部１１に対応する情報処理装置１７と、VPN接続制御部１２に対応するVPN接続装置１８とを別々の装置として構成し、ネットワーク等で接続してもよい。この場合でも、VPN接続装置１８内の機能構成は、図２に示すVPN接続制御部１２内の構成と同様である。また、VPN接続装置１８も、端末装置１と同様にして、記憶装置にVPN用各種プログラムが格納されたコンピュータ（CPU、メモリ等を含む構成）に、VPN設定部１３に対応するプログラムを実行させることにより実現できる。なお、端末装置１もVPN接続装置と呼んでもよい。上記プログラムは、メモリ等の記録媒体に記録しておき、当該記録媒体からコンピュータにインストールすることができる。

図４に、VPN制御装置３の機能構成図を示す。図４に示すように、VPN制御装置３は、対端末装置通信部３１、VPN設定情報処理部３２、及びVPN設定情報格納部３３を備える。対端末装置通信部３１は、端末装置１から要求を受信し、当該要求をVPN設定情報処理部３２に送信し、VPN設定情報処理部３２から渡されるVPN設定情報を端末装置１に返す機能部である。

VPN設定情報処理部３２は、対端末装置通信部３１から受け取る要求に基づき、端末装置１に送信するべきVPN設定情報をVPN設定情報格納部３３から取得し、それを対端末装置通信部３１に渡す機能を備える。また、VPN設定情報処理部３２は、装置外部から情報の入力を受ける機能を備え、VPN設定情報の入力を受けた場合にそれをVPN設定情報格納部３３に格納（登録）する機能を備える。

VPN設定情報格納部３３は、VPN設定情報を格納する機能部であり、例えば図５に示すように、端末識別情報（名前、アドレス情報等の端末を識別できる情報）とVPN設定情報とが対応付けて格納される。これらのVPN設定情報は、運用者等により予め各端末装置毎に決定され、VPN設定情報格納部３３に格納されるものである。

VPN制御装置３は、コンピュータに、上述した各機能部に対応する機能を備えたプログラムを実行させることにより実現できる。当該プログラムは、メモリ等の記録媒体に記録しておく、当該記録媒体からコンピュータにインストールすることができる。

また、対端末装置通信部３１と、VPN設定情報処理部３２及びVPN設定情報格納部３３とは、ネットワークに接続された別々の装置であってもよい。

（システムの動作例１）
以下、上記のシステム構成に対応するシステムの動作例１について図６のシーケンスチャートを参照して説明する。なお、動作例１において、VPN集約装置２には、各端末装置１との間でVPNを構築するための設定が既になされているものとする。つまり、VPN集約装置２は、システムに存在する任意の端末装置１からVPN接続開始要求を受けてその要求に対応した処理を行って、要求を送信した端末装置１とに間にVPNを構築するように設定がされている。この点は動作例２の場合も同様である。

また、システムには複数の端末装置１が存在するが、各端末装置では同様の処理でVPN構築がなされるので、以下では１つの端末装置１とVPN集約装置２との間でVPN構築がなされる場合を説明する。

図６に示すように、まず、端末装置１のVPN設定部１３が、端末識別情報を含むVPN設定情報要求をVPN制御装置３の対端末装置通信部３１に送信する（ステップ１）。ここでは、例えば、端末装置１の電源が投入されたときにVPN設定部１３が起動され、端末装置１がインターネット５に接続されたときに、VPN設定部１３が外部からの操作指示なしに自動的にVPN設定情報要求を送信する。これにより、端末装置１が入力機能に乏しい装置である場合でも、簡易にVPN設定を行うことができる。

VPN設定情報要求を受信した対端末装置通信部３１は、当該VPN設定情報要求をVPN設定情報処理部３２に送信する（ステップ２）。そして、VPN設定情報処理部３２は、受信したVPN設定情報要求に含まれる端末識別情報を用いてVPN設定情報格納部３３を検索し、当該端末識別情報に対応するVPN設定情報を取得する（ステップ３、４）。

VPN設定情報処理部３２は、取得したVPN設定情報を端末識別情報とともに対端末装置通信部３１に送信し（ステップ５）、対端末装置通信部３１は、当該端末識別情報に対応する端末装置１のVPN設定部１３にVPN設定情報を送信する（ステップ６）。

VPN設定情報を受信したVPN設定部１３は、VPN設定情報に基づきVPN設定を行う（ステップ７）。そして、このVPN設定により生成されたVPN処理部１５により、端末装置１とVPN集約装置２との間にVPNが構築される（ステップ８）。このVPNは、VPN設定情報に含まれるVPNプロトコル名のプロトコルにより実現されたVPNである。

（システムの動作例２）
次に、システムの動作例２について説明する。本動作例２についてのシステム構成は図１〜図５に示す構成と同様であるが、一部の機能部における機能が動作例１の場合と異なる。異なる機能は具体的には下記のとおりである。
本例において、VPN設定部１３は、対VPN制御装置通信部１４により、VPN制御装置３の対端末装置通信部３１に対して登録要求（端末装置１の端末識別情報を含む）を送信する機能と、VPN制御装置３からVPN接続に必要な情報であるVPN設定情報を受信し、受信したVPN設定情報に基づきVPN設定を行う機能を有する。なお、例えば、端末識別情報として端末装置１の名前を使用する場合において、登録要求に端末装置１の端末識別情報とアドレス情報とを含めてもよい。

また、VPN制御装置３の対端末装置通信機能部３１は、端末装置１から受信する登録要求に含まれる端末識別情報と、端末装置のアドレス情報とを対応付けて記憶手段（VPN制御装置３のメモリ等）に格納し、そのアドレス情報を用いて当該端末識別情報に対応する端末装置１に情報を送信する機能を含む。なお、端末識別情報がアドレス情報である場合、この機能は必須ではないが、以下では、端末識別情報はアドレス情報と異なる名前等であるものとする。

また、VPN制御装置３の対端末装置通信機能部３１は、端末装置１から受信した登録要求をVPN設定情報処理部３２に送信する機能、及びVPN設定情報処理部３２から渡されるVPN設定情報を端末装置１に送信する機能を有する。

VPN設定情報処理部３２は、対端末装置通信機能部３１から受信する登録要求に含まれる端末識別情報をVPN設定情報格納部３３に格納する機能を有する。また、VPN設定情報処理部３２は、外部から情報の入力を受ける機能を備え、端末識別情報とVPN設定情報とを有するVPN設定指示情報の入力を受けた場合に、当該指示情報をVPN設定情報格納部３３に格納するとともに、当該端末識別情報が既にVPN設定情報格納部３３に格納（登録）された端末識別情報である場合に、当該VPN設定情報を端末識別情報とともに対端末装置通信部３１に渡す機能を有する。

なお、端末装置１及びVPN制御装置３は、動作例１に対応する機能のみ、又は、動作例２に対応する機能のみを備えてもよいし、動作例１と動作例２の両方の機能を備えてもよい。

次に、図７に示すシーケンスチャートを参照して動作例２を説明する。

図７に示すように、端末装置１のVPN設定部１３が、端末識別情報を含む登録要求をVPN制御装置３の対端末装置通信部３１に送信する（ステップ１１）。ここでは、例えば、端末装置３の電源が投入されたときにVPN設定部１３が起動され、端末装置１がインターネット５に接続されたときに、VPN設定部１３が外部からの操作指示なしに自動的に登録要求を送信する。

登録要求を受信した対端末装置通信部３１は、登録要求に含まれる端末識別情報と、送信元を示すアドレス情報を記憶手段に格納するとともに、登録要求をVPN設定情報処理部３２に送信する（ステップ１２）。

そして、VPN設定情報処理部３２は、受信した登録要求に含まれる端末識別情報をVPN設定情報格納部３３に格納する（ステップ１３）。その後、VPN設定情報処理部３２が、端末識別情報と、対応するVPN設定情報とを含む指示情報の入力を受けた場合に（ステップ１４）、当該指示情報をVPN設定情報格納部３３に格納するとともに（ステップ１５）、指示情報に含まれる端末識別情報が、既に登録されているか否かをチェックし（ステップ１６、１７）、登録されていれば、ステップ１８以降の処理を行う。この時点で登録がされていなければ、登録がされた時点でステップ１８以降の処理が行われる。指示情報に複数の端末装置１の情報が含まれている場合（図５に示すような情報の場合）、個々の端末識別情報に対応する端末装置毎に以下の処理が行われることになる。

ステップ１８において、VPN設定情報処理部３２は、端末識別情報と、対応するVPN設定情報とを対端末装置通信部３１に送信する。そして、対端末装置通信部３１は、登録されているアドレス情報を利用して、端末識別情報に対応する端末装置１のVPN設定部１３にVPN設定情報を送信する（ステップ１９）。

VPN設定情報を受信したVPN設定部１３は、VPN設定情報に基づきVPN設定を行う（ステップ２０）。そして、このVPN設定により生成されたVPN処理部１５により、端末装置１とVPN集約装置２との間にVPNが構築される（ステップ２１）。このVPNは、VPN設定情報に含まれるVPNプロトコル名のプロトコルにより実現されているVPNである。なお、端末装置１においてVPN設定が完了した後、完了応答がVPN制御装置３に返されることとしてもよい。

＜第２の実施の形態＞
図８に、第２の実施の形態に係るシステムの構成例を示す。第２の実施の形態のシステムは、第１の実施の形態で説明した端末装置１が複数台インターネット５に接続されるとともに、第１の実施の形態で説明したVPN制御装置３がインターネットに接続される構成を有する。もちろん、端末装置１は、図２に示した構成でもよいし、図３に示した構成でもよい。

この構成において、例えば、端末装置１(A)と端末装置１(B)との間にVPNを構築する動作例を図９のシーケンスチャートを参照して説明する。以下の例は、第１の実施の形態の動作例１に対応するものである。

また、VPN制御装置３のVPN設定情報格納部３３に、図１０に示すテーブル情報が格納されているものとする。ここで例えば、VPN設定情報Aは、端末装置１(A)においてVPN設定を行ってVPN接続開始要求を端末装置１(B)に送信することによりVPN構築を行うための情報であり、VPN設定情報Bは、端末装置１(B)においてVPN設定を行って、VPN接続開始要求を端末装置１(A)から受信することによりVPN構築を行うための情報である。

図９において、まず、端末装置１（A)のVPN設定部１３が、端末識別情報を含むVPN設定情報要求をVPN制御装置３に送信する（ステップ３１）。そして、VPN制御装置３では、図６に示したステップ２〜５の処理が行われ、端末装置１(A)のVPN設定部１３に対してVPN設定情報Aが送信され、端末装置１(A)においてVPN設定がなされる（ステップ３２、３３）。

同様に、端末装置１（B)のVPN設定部１３が、端末識別情報を含むVPN設定情報要求をVPN制御装置３に送信する（ステップ３３）。そして、VPN制御装置３では、図６に示したステップ２〜５の処理が行われ、端末装置１(B)のVPN設定部１３に対してVPN設定情報Bが送信され、VPN設定がなされる（ステップ３４、３５）。

その後、端末装置１(A)から端末装置１(B)に送信されるVPN接続開始要求に基づきVPN構築処理が開始され、VPNが構築される（ステップ３６）。

以上、動作例１に対応する動作を説明したが、上記の動作では、各端末装置において図６に示したシーケンスによりVPN設定がなされている。図８において各端末装置が動作例２の動作をする場合にも、同様にして各端末装置において図７で示したシーケンスによりVPN設定がなされ、端末装置間でVPN構築がなされる。

＜第３の実施の形態＞
図１１に第３の実施の形態に係るシステム構成図を示す。図１１に示すように、本システムにおいて、複数の端末装置１と、複数のVPN集約装置２及びセンタサーバ４の組とがインターネット５に接続されるとともに、VPN制御装置３がインターネット５に接続されている。各端末装置１、各VPN集約装置２及びセンタサーバ４の組は、第１の実施の形態で説明したものと同じである。つまり各VPN集約装置２には、どの端末装置１ともVPN構築できるように設定がなされている。

図１２に、本実施の形態に係るVPN制御装置３の機能構成図を示す。本実施の形態に係るVPN制御装置３は、VPN設定情報編集部３４を有する点のみが第１の実施の形態で説明したVPN制御装置３と異なる。

VPN設定情報編集部３４は、例えば、複数存在するセンタサーバ４の負荷ができるだけ均等になるように、VPN集約装置２に接続される端末装置１を決定し、その決定に応じたVPN接続ができるようにVPN設定情報を編集する機能部である。

本実施の形態では、例えば、各センタサーバ４の負荷情報、及び各端末装置１の送受信データ量を、インターネット５上に備えられたネットワーク監視装置が定期的に取得し、取得した情報をVPN制御装置３のVPN設定情報編集部３４に送信する。

VPN設定情報編集部３４は、例えば、他のセンタサーバよりも所定の量以上の大きな負荷のセンタサーバ（図１１のＶＰＮ集約装置２（L）に接続されているものとする）がある場合に、そのセンタサーバ４に接続される端末装置１の中で、最も送受信データ量の大きな端末装置（端末装置１（M）とする）の接続先を、最も負荷の小さなセンタサーバ（VPN集約装置２（S）に接続されているとする）に変えることを決定する。つまり、負荷が最大のセンタサーバと負荷が最小のセンタサーバの間の負荷の差が、所定の量より小さくなるようにする。なお、上記の接続先は、VPN設定情報格納部３３に格納された情報における接続先である。

そして、VPN設定情報編集部３４は、VPN設定情報格納部３３に格納されているVPN設定情報において、図１３（ａ）、（ｂ）に示す編集を行う。ここで、VPN設定情報Lは、ＶＰＮ集約装置２（L）との間でVPN構築するための設定情報であり、VPN設定情報Sは、ＶＰＮ集約装置２（S）との間でVPN構築するための設定情報である。このような処理を、負荷が最大のセンタサーバと負荷が最小のセンタサーバの間の負荷の差が、所定の量より小さくなるまで行う。

その後、例えば、VPN設定情報編集部３４は、上記の編集において接続先が変更された端末装置の識別情報を出力し、運用者が、接続先が変更された端末装置１を把握し、その端末装置１に対して電源のOFF／ON等を行ってVPNの接続先変更を行う（動作例１）。

また、VPN設定情報編集部３４が、接続先が変更された端末装置の識別情報をVPN設定情報処理部３２に通知し、通知を受けたVPN設定情報処理部３２が、変更に係る端末識別情報とVPN設定情報とをVPN設定情報格納部３３から読み出し、接続先変更命令とともに対端末装置通信部３１に送り、対端末装置通信部３１が、該当の端末装置１に接続先変更命令とVPN設定情報とを送信してもよい（動作例２）。これにより、該当の端末装置１においてVPN接続先の変更（切断、接続）がなされる。

なお、上記の例は負荷の均等化処理の一例に過ぎず、様々な負荷分散処理を適用可能である。このように、本発明に係る技術を用いることにより、多数の端末装置１と複数のセンタサーバ４をVPN接続する構成において、センタサーバ間の負荷分散を容易に実現できる。

（実施の形態の効果について）
以上説明したとおり、本発明に係る実施の形態で示した技術では、VPN制御装置３と端末装置１との間で、要求情報等の制御信号をやり取りすることにより複数種類のVPNプロトコルを一括して制御することが可能になっており、その結果、端末装置に対するVPN設定の手間を削減できる。なお、VPNプロトコルを一括して制御することから、上記制御信号はメタシグナリングと呼ぶことができる。

また、本発明に係る実施の形態で示した技術では、複数のVPNプロトコル候補の中から、端末装置のネットワーク環境条件に応じたVPNプロトコルを選択し、遠隔から設定・変更することが可能となる。また、本技術では、VPNプロトコル自体を変更することで柔軟性を上げるのではなく、既存のVPNプロトコルから選択することにより、柔軟なVPN設定が可能になっている。

また、上記のメタシグナリングを用いてVPN設定を行うので、オンデマンドにVPN設定を行うことができる。

本発明は、上記の実施の形態に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。

１端末装置
２ VPN集約装置
３ VPN制御装置
４センタサーバ
５インターネット
１１アプリケーション部
１２ VPN接続制御部
１３ VPN設定部
１４対VPN制御装置通信部
１５ VPN処理部
１６データ格納部
１７情報処理装置
１８ VPN接続装置
３１対端末装置通信部
３２ VPN設定情報処理部
３３ VPN設定情報格納部
３４ VPN設定情報編集部

Claims

VPN接続装置と通信ネットワークを介して接続されるVPN制御装置であって、
VPN接続装置のVPN接続先と、VPNプロトコル名と、VPN構築のために用いられるパラメータ情報とを含むVPN設定情報を、当該VPN接続装置を識別する装置識別情報と対応付けて格納するVPN設定情報格納手段と、
前記VPN設定情報格納手段に格納されたVPN設定情報を、当該VPN設定情報に対応する装置識別情報で識別されるVPN接続装置に送信するVPN設定情報提供手段と、を備え、
前記VPN設定情報提供手段は、
VPN接続装置から装置識別情報を含む登録要求を受信し、当該装置識別情報を記憶手段に格納する手段と、
装置識別情報とVPN設定情報とを有するVPN設定指示情報の入力を受け、当該VPN設定指示情報を前記VPN設定情報格納手段に格納する指示情報入力手段と、
前記指示情報入力手段により、前記登録要求に含まれる装置識別情報に対応するVPN設定情報が前記VPN設定情報格納手段に格納された場合に、当該VPN設定情報を前記装置識別情報で識別されるVPN接続装置に送信する手段と、を備える
ことを特徴とするVPN制御装置。
前記VPN設定情報提供手段は、VPN接続装置から装置識別情報を含むVPN設定情報要求を受信し、当該装置識別情報に対応するVPN設定情報を前記VPN設定情報格納手段から取得し、当該取得したVPN設定情報を前記VPN接続装置に送信することを特徴とする請求項１に記載のVPN制御装置。
前記VPN設定情報格納手段に格納された特定のVPN接続先に対応するVPN設定情報が、別のVPN接続先に対応するVPN設定情報に変更された場合に、前記VPN設定情報提供手段は、変更されたVPN設定情報を、接続先変更命令とともに当該VPN設定情報に対応する装置識別情報で識別されるVPN接続装置に送信する
ことを特徴とする請求項１又は２に記載のVPN制御装置。
各VPN接続先の装置の負荷情報、及び各VPN接続装置の送受信データ量を通信ネットワーク上のネットワーク監視装置から受信し、当該負荷情報及び当該送受信データ量に基づいて、複数のVPN接続先の装置間での負荷が分散するように、前記VPN設定情報格納手段に格納されたVPN設定情報の変更を行うVPN設定情報編集手段
を更に備えたことを特徴とする請求項３に記載のVPN制御装置。
請求項１ないし４のうちいずれか１項に記載されたVPN制御装置と通信ネットワークを介して接続されるVPN接続装置であって、
VPN構築用プログラムを格納する格納手段と、
前記VPN制御装置から、VPN接続先と、VPNプロトコル名と、VPN構築のために用いられるパラメータ情報とを含むVPN設定情報を受信するVPN設定情報取得手段と、
前記VPN設定情報に含まれる前記VPNプロトコル名に対応するVPN構築用プログラムを起動し、前記VPN接続先と前記パラメータ情報とを用いてVPN構築のための設定を行う設定手段と
を備えたことを特徴とするVPN接続装置。
前記VPN設定情報取得手段は、前記VPN接続装置の装置識別情報を含む要求情報を前記VPN制御装置に送信した後に、当該VPN制御装置から前記VPN設定情報を受信することを特徴とする請求項５に記載のVPN接続装置。
通信ネットワークを介して接続されたVPN接続装置とVPN制御装置とが実行するVPN設定方法であって、
前記VPN制御装置は、VPN接続装置のVPN接続先と、VPNプロトコル名と、VPN構築のために用いられるパラメータ情報とを含むVPN設定情報を、当該VPN接続装置を識別する装置識別情報と対応付けて格納するVPN設定情報格納手段を備え、前記VPN接続装置は、VPN構築用プログラムを格納する格納手段を備え、前記VPN設定方法は、
前記VPN制御装置が、前記VPN接続装置から装置識別情報を含む登録要求を受信し、当該装置識別情報を記憶手段に格納する登録ステップと、
前記VPN制御装置が、装置識別情報とVPN設定情報とを有するVPN設定指示情報の入力を受け、当該VPN設定指示情報を前記VPN設定情報格納手段に格納する指示情報入力ステップと、
前記指示情報入力ステップにより、前記登録要求に含まれる装置識別情報に対応するVPN設定情報が前記VPN設定情報格納手段に格納された場合に、前記VPN制御装置が、当該VPN設定情報を、当該VPN設定情報に対応する装置識別情報で識別されるVPN接続装置に送信するVPN設定情報提供ステップと、
前記VPN接続装置が、前記VPN制御装置から前記VPN設定情報を受信するVPN設定情報取得ステップと、
前記VPN接続装置が、前記VPN設定情報に含まれる前記VPNプロトコル名に対応するVPN構築用プログラムを起動し、前記VPN接続先と前記パラメータ情報とを用いてVPN構築のための設定を行う設定ステップと
を備えたことを特徴とするVPN設定方法。
前記VPN設定情報格納手段に格納された特定のVPN接続先に対応するVPN設定情報が、別のVPN接続先に対応するVPN設定情報に変更された場合に、前記VPN制御装置が、変更されたVPN設定情報を、接続先変更命令とともに当該VPN設定情報に対応する装置識別情報で識別されるVPN接続装置に送信するステップと、
前記VPN接続装置が、前記接続先変更命令とともに前記VPN設定情報を受信し、当該VPN設定情報に基づいて、VPN接続先の変更を行うステップと
を備えたことを特徴とする請求項７に記載のVPN設定方法。
前記VPN制御装置が、各VPN接続先の装置の負荷情報、及び各VPN接続装置の送受信データ量を通信ネットワーク上のネットワーク監視装置から受信し、当該負荷情報及び当該送受信データ量に基づいて、複数のVPN接続先の装置間での負荷が分散するように、前記VPN設定情報格納手段に格納されたVPN設定情報の変更を行うVPN設定情報編集ステップ
を更に備えたことを特徴とする請求項８に記載のVPN設定方法。
VPN接続装置と通信ネットワークを介して接続されるコンピュータをVPN制御装置として機能させるためのプログラムであって、
前記コンピュータは、VPN接続装置のVPN接続先と、VPNプロトコル名と、VPN構築のために用いられるパラメータ情報とを含むVPN設定情報を、当該VPN接続装置を識別する装置識別情報と対応付けて格納するVPN設定情報格納手段を備え、前記プログラムは、前記コンピュータを、
前記VPN設定情報格納手段に格納されたVPN設定情報を、当該VPN設定情報に対応する装置識別情報で識別されるVPN接続装置に送信するVPN設定情報提供手段として機能させ、
前記VPN設定情報提供手段は、
VPN接続装置から装置識別情報を含む登録要求を受信し、当該装置識別情報を記憶手段に格納する手段と、
装置識別情報とVPN設定情報とを有するVPN設定指示情報の入力を受け、当該VPN設定指示情報を前記VPN設定情報格納手段に格納する指示情報入力手段と、
前記指示情報入力手段により、前記登録要求に含まれる装置識別情報に対応するVPN設定情報が前記VPN設定情報格納手段に格納された場合に、当該VPN設定情報を当該装置識別情報で識別される前記VPN接続装置に送信する手段と、を備える
ことを特徴とするプログラム。
前記VPN設定情報格納手段に格納された特定のVPN接続先に対応するVPN設定情報が、別のVPN接続先に対応するVPN設定情報に変更された場合に、前記VPN設定情報提供手段は、変更されたVPN設定情報を、接続先変更命令とともに当該VPN設定情報に対応する装置識別情報で識別されるVPN接続装置に送信する
ことを特徴とする請求項１０に記載のプログラム。
前記プログラムは、前記コンピュータを更に、各VPN接続先の装置の負荷情報、及び各VPN接続装置の送受信データ量を通信ネットワーク上のネットワーク監視装置から受信し、当該負荷情報及び当該送受信データ量に基づいて、複数のVPN接続先の装置間での負荷が分散するように、前記VPN設定情報格納手段に格納されたVPN設定情報の変更を行うVPN設定情報編集手段として機能させる
ことを特徴とする請求項１１に記載のプログラム。
請求項１ないし４のうちいずれか１項に記載されたVPN制御装置と通信ネットワークを介して接続されるコンピュータをVPN接続装置として機能させるためのプログラムであって、前記コンピュータは、VPN構築用プログラムを格納する格納手段を備え、前記プログラムは、前記コンピュータを、
前記VPN制御装置から、VPN接続先と、VPNプロトコル名と、VPN構築のために用いられるパラメータ情報とを含むVPN設定情報を受信するVPN設定情報取得手段、
前記VPN設定情報に含まれる前記VPNプロトコル名に対応するVPN構築用プログラムを起動し、前記VPN接続先と前記パラメータ情報とを用いてVPN構築のための設定を行う設定手段、
として機能させることを特徴とするプログラム。