JP5415388B2 - 仮想通信路接続システム、制御方法、制御プログラム、第１の端末及び第２の端末 - Google Patents

Description

本発明は、仮想通信路接続システム、制御方法及び制御プログラムに関する。

従来、高速なネットワークやネットワーク対応の情報家電が普及し、個人でもセキュアな通信を利用したデータのやり取りが行われている。例えば、家庭内ＬＡＮ（Local Area Network）間をＶＰＮ（Virtual Private Network）接続してセキュアな通信路を確立し、確立したＶＰＮ接続上でデータのやり取りが行われる。

一般的なＶＰＮ接続には、専用のソフトウエアをコンピュータ等にインストールして設定するなど専門的な知識が必要である。したがって、ＩＴリテラシーの高くない一般ユーザが、家庭内ＬＡＮや自身のパーソナルコンピュータに対して、ＶＰＮ接続を確立することは難しい。

ここで、ＩＴリテラシーの高くない一般ユーザであっても簡単にＶＰＮ接続を確立する手法として、例えば、ＳＩＰ（Session Initiation Protocol）を用いて電話感覚でＶＰＮを接続する手法がある。

具体的には、ユーザＡは、ＳＩＰが利用可能な電話機であるＳＩＰフォン等にＶＰＮ接続先となるユーザＢ宅の電話番号を入力して発信する。そして、相手先であるユーザＢ宅のＳＩＰフォンが応答すると、ユーザＡ宅のＳＩＰフォンは、応答したユーザＢ宅のＳＩＰフォンとの間でＳＩＰ通信を接続するとともに、ＶＰＮ接続を確立する。この結果、ユーザＡ宅の家庭内ＬＡＮとユーザＢ宅の家庭内ＬＡＮとがＶＰＮ接続される。このように、ユーザは、使い慣れた電話機の操作だけで、簡単にＶＰＮ接続を確立することができる。

例えば、企業の社員が外部から企業内のサーバ等に接続する社内システムを例にして説明する。社内システムは、複数のデータセンタを配下とするＶＰＮサーバ装置と、予めＳＩＰフォン機能とＶＰＮソフトウエア等がインストールされ、社員が社外で利用する社員端末とを有する。また、ＶＰＮサーバ装置は、ＶＰＮ接続を許可する電話番号を記憶する。

このような状態において、社員は、社員端末に接続先のＶＰＮサーバ装置の電話番号を入力してＶＰＮサーバ装置に発信する。これを受信したＶＰＮサーバ装置は、発信元である社員端末の電話番号がＶＰＮ接続の許可されている電話番号であるか否かを判定する。そして、ＶＰＮサーバ装置は、接続を許可した場合には、発信元の社員端末にＶＰＮ接続に必要となるＶＰＮ接続情報を送信し、発信元の社員端末と接続要求先のデータセンタとの間にＶＰＮ接続を確立する。

「広帯域でセキュアな家庭ＬＡＮ間接続を実現するＶＰＮ接続方式」、ＢＳ−５−６、電子情報通信学会ソサイエティ大会２００７

しかしながら、従来の技術では、大量のＶＰＮ接続要求を受信した場合に、それぞれの接続要求を処理できないという問題があった。

例えば、ＶＰＮサーバ装置は、大量のクライアント端末からＶＰＮ接続要求を短時間に受信した場合に、それぞれの要求に対して、「電話番号等による認証処理」を実行し、「ＶＰＮ接続情報の送信処理」を実行し、「ＶＰＮ接続の確立処理」を実行する。このため、ＶＰＮサーバ装置の処理負荷が大きくなり、上記処理を実行できなかったり遅延したりする。この結果、ＶＰＮ接続要求が受信されない端末、要求は受信されたがＶＰＮ接続が確立しない端末などが発生する。

本発明は、上記に鑑みてなされたものであって、大量のＶＰＮ接続要求を受信した場合でも、それぞれの接続要求を迅速に処理することが可能である仮想通信路接続システム、制御方法及び制御プログラムを提供することを目的とする。

開示する仮想通信路接続システムは、一つの態様において、第１の端末と複数ある第２の端末とを有し、当該第２の端末が当該第１の端末を介してクライアント端末との間で仮想通信路を確立する。前記第１の端末は、前記クライアント端末との間で仮想通信路を確立するための情報である確立用情報を含むＳＩＰ接続要求を受信すると、受信した当該ＳＩＰ接続要求に含まれる当該確立用情報を前記複数ある第２の端末各々に送信する確立用情報送信部を有する。前記第２の端末は、前記確立用情報送信部により送信された前記確立用情報を受信すると所定の応答を前記第１の端末に送信する応答送信部を有する。前記第１の端末は、前記応答送信部により送信された前記所定の応答を受信する応答受信部を有する。また、前記第１の端末は、前記応答受信部により最初に受信された前記所定の応答を前記クライアント端末に送信することで、当該最初に受信された前記所定の応答の送信元となる前記第２の端末と当該クライアント端末とが仮想通信路を確立するように制御する確立制御部を有する。

開示する仮想通信路接続システムの一つの態様によれば、大量のＶＰＮ接続要求を受信した場合でも、それぞれの接続要求を迅速に処理することが可能であるという効果を奏する。

図１は、実施例１におけるＳＩＰ−ＤＵシステムの全体像について示す図である。 図２は、実施例１に係るＳＩＰ−ＤＵシステムにおけるＶＰＮ接続処理の流れの一例を示すシーケンス図である。 図３は、実施例１における接続制御装置の構成の一例を示すブロック図である。 図４は、実施例１におけるＶＰＮ−ＧＷ情報ＤＢに記憶された情報の一例を示す図である。 図５は、実施例１におけるＶＰＮ−ＧＷの構成の一例を示すブロック図である。 図６は、実施例１におけるリソースＤＢに記憶された情報の一例を示す図である。 図７は、実施例１における接続状況ＤＢに記憶された情報の一例を示す図である。 図８は、実施例１におけるＶＰＮ−ＧＷを接続制御装置に登録する処理の流れの一例を示すシーケンス図である。 図９は、実施例１における接続制御装置による処理の流れの一例を示すフローチャートである。 図１０は、実施例１におけるＶＰＮ−ＧＷによる処理の流れの一例を示すフローチャートである。 図１１は、実施例１におけるＳＩＰ−ＤＵシステムにおけるＶＰＮ接続切断時における処理の流れの一例を示すシーケンス図である。 図１２は、実施例１におけるＳＩＰ−ＤＵシステムによる効果の一例を示す図である。 図１３は、開示の技術に係る仮想通信路接続プログラムによる情報処理がコンピュータを用いて具体的に実現されることを示す図である。

以下に、開示する仮想通信路接続システム、制御方法及び制御プログラムの実施例について、図面に基づいて詳細に説明する。なお、本実施例により開示する発明が限定されるものではない。各実施例は、処理内容を矛盾させない範囲で適宜組み合わせることが可能である。

［全体像］
図１を用いて、実施例１に係る仮想通信路接続システムの全体像を示す。仮想通信路接続システムは、「ＳＩＰ−ＤＵ（ダイヤルアップ）システム」とも記載する。図１は、実施例１におけるＳＩＰ−ＤＵシステムの全体像について示す図である。

図１において、１００は、ＳＩＰ−ＤＵシステムを示す。２００は、接続制御装置を示す。３００ａ〜３００ｎは、クライアント端末との間で仮想通信路接続を確立するＶＰＮ−ＧＷ（ゲートウェイ）装置を示す。なお、以下では、仮想通信路接続の一例として、ＶＰＮ（Virtual Private Network）接続を用いて説明する。４００ａ〜４００ｎは、クライアント端末を示す。５０１は、ＳＩＰ（Session Initiation Protocol）網を示し、５０２は、ＶＬＡＮ（Virtual Local Area Network）によって構成される企業内ネットワークを示す。なお、接続制御装置２００は「第１の端末」とも称し、ＶＰＮ−ＧＷ３００は「第２の端末」とも称する。

クライアント端末４００は、ＳＩＰによって電話接続が可能となるＳＩＰフォン機能を有する。また、例えば、クライアント端末４００は、ＷｅｂブラウザによるＷｅｂアクセスが可能なブラウザ機能を有し、文書作成や表計算などの文書作成機能を有する。クライアント端末４００は、例えば、一般的なコンピュータが該当する。なお、図１に示す例では、クライアント端末４００がｎ個ある場合を例に示したが、本発明はこれに限定されるものではなく、任意の数であって良い。

ＳＩＰ−ＤＵシステム１００は、ＳＩＰ網５０１を介して複数のクライアント端末４００と通信可能に接続され、ＶＬＡＮ５０２を介して企業内ネットワークやサーバ装置、データベースなどに接続される。ＳＩＰ−ＤＵシステム１００は、接続制御装置２００と複数のＶＰＮ−ＧＷ３００とを有する。なお、図１に示す例では、接続制御装置２００が１つあり、ＶＰＮ−ＧＷ３００がｎ個ある場合を例に示したが、本発明はこれに限定されるものではなく、接続制御装置２００やＶＰＮ−ＧＷ３００の数は任意の数であって良い。

ＳＩＰ−ＤＵシステム１００は、詳細については後述するように、クライアント端末４００との間でＶＰＮ接続を確立するための情報である確立用情報を含むＳＩＰ接続要求を受信すると、ＶＰＮ−ＧＷ３００が、接続制御装置２００を介してクライアント端末４００との間でＶＰＮ接続を確立する。そして、ＶＰＮ−ＧＷ３００は、ＶＬＡＮに接続される装置とクライアント端末４００との間の通信を制御する。

［ＶＰＮ接続処理の全体像］
図２を用いて、ＳＩＰ−ＤＵシステム１００におけるＶＰＮ接続処理の全体像について示す。図２は、実施例１に係るＳＩＰ−ＤＵシステムにおけるＶＰＮ接続処理の流れの一例を示すシーケンス図である。図２に示す例では、説明の便宜上、ＶＰＮ−ＧＷ３００が２つある場合を用いて説明する。

図２に示すように、クライアント端末４００は、クライアント端末４００との間でＶＰＮ接続を確立するための情報である確立用情報を含むＳＩＰ接続要求をＳＩＰ−ＤＵシステム１００に送信する（ステップＳ１０１）。例えば、クライアント端末４００は、ユーザからＶＰＮ接続を要求する操作を示すダイアル番号の入力やコマンドなど所定の操作を受け付けると、自クライアント端末４００のＩＰアドレスとポート番号とを付加したＳＩＰ接続要求を送信する。図２の「ＶＰＮ接続情報Ａ」は、クライアント端末４００のＩＰアドレスとポート番号とを含む。確立用情報は、「ＶＰＮ接続情報」とも記載する。なお、ＳＩＰ接続要求を「ＩＮＶＩＴＥ」とも記載する。

そして、ＳＩＰ−ＤＵシステム１００では、接続制御装置２００が、ＳＩＰ接続要求を受信すると、受信したＳＩＰ接続要求に含まれる確立用情報を複数あるＶＰＮ−ＧＷ３００各々に送信する（ステップＳ１０２、Ｓ１０３）。例えば、接続制御装置２００は、ＳＩＰ接続要求に含まれたＶＰＮ接続情報ＡをＶＰＮ−ＧＷ３００ａとＶＰＮ−ＧＷ３００ｂとに送信する。

そして、ＶＰＮ−ＧＷ３００ａやＶＰＮ−ＧＷ３００ｂは、確立用情報を受信すると、確立用情報の送信元となるクライアント端末４００とＶＰＮ接続を確立することを許可するか否かを判定し、許可すると判定した場合に所定の応答を接続制御装置２００に送信する（ステップＳ１０４、Ｓ１０５）。図２に示す例では、ＶＰＮ−ＧＷ３００ａとＶＰＮ−ＧＷ３００ｂとが共に、所定の応答を送信する場合を例に示した。図２の「ＶＰＮ接続情報Ｂ」は、例えば、ＶＰＮ−ＧＷ３００ａのＩＰアドレスとポート番号とを含み、図２の「ＶＰＮ接続情報Ｃ」は、例えば、ＶＰＮ−ＧＷ３００ｂのＩＰアドレスとポート番号とを含む。

例えば、ＶＰＮ−ＧＷ３００ａやＶＰＮ−ＧＷ３００ｂは、自装置のリソース状況などに基づいてＶＰＮ接続を許可するか否かを判定する。そして、ＶＰＮ−ＧＷ３００ａやＶＰＮ−ＧＷ３００ｂは、許可すると判定した場合に、自ＶＰＮ−ＧＷ３００のＩＰアドレスとポート番号とを接続制御装置２００に送信する。

そして、接続制御装置２００は、ＶＰＮ−ＧＷ３００により送信された所定の応答を受信すると、最初に受信した所定の応答をクライアント端末４００に送信する（ステップＳ１０６）。また、例えば、接続制御装置２００は、最初に受信した所定の応答の送信元となるＶＰＮ−ＧＷ３００以外のＶＰＮ−ＧＷ３００に対して、キャンセルする旨を送信する（ステップＳ１０７）。例えば、図２に示す例では、接続制御装置２００は、最初にＶＰＮ−ＧＷ３００ａからＩＰアドレスとポート番号とを含むＶＰＮ接続情報Ｂを受信しており、ＶＰＮ−ＧＷ３００ａから受信したＶＰＮ接続情報Ｂをクライアント端末４００に送信し、キャンセルをＶＰＮ−ＧＷ３００ｂに送信する。なお、図２に示す例では、ＶＰＮ−ＧＷ３００ｂが、キャンセルを受信した後に了解したことを示す応答を接続制御装置２００に送信する（ステップＳ１０８）場合を例に示した。

そして、クライアント端末４００とＶＰＮ−ＧＷ３００ａとは、ＩＫＥ（Internet Key Exchange）認証などを実施してＶＰＮに必要な共通鍵を交換し（ステップＳ１０９）、クライアント端末４００とＶＰＮ−ＧＷ３００ａとが、ＶＰＮトンネルを確立する（ステップＳ１０１０）。つまり、ＶＰＮ−ＧＷ３００ｂは、クライアント端末４００のＩＰアドレスとポート番号を用いてＶＰＮ接続を確立し、共通鍵を用いたＩＰｓｅｃ（Security Architecture for Internet Protocol）等でパケット通信を実施する。

すなわち、接続制御装置２００は、ＶＰＮ−ＧＷ３００により送信された所定の応答を受信すると、最初に受信した所定の応答をクライアント端末４００に送信することで、最初に受信した所定の応答の送信元となるＶＰＮ−ＧＷ３００とクライアント端末４００とがＶＰＮ接続を確立するように制御する。

ここで、ＶＰＮ−ＧＷ３００が確立用情報を受信した後に所定の応答を送信するまでの時間は、ＶＰＮ−ＧＷ３００の処理負荷状況が小さければ大きい場合と比較して早くなり、処理負荷状況が大きければ小さい場合と比較して遅くなる。このため、実施例１に係るＳＩＰ−ＤＵシステム１００では、接続制御装置２００が、最初に受信した所定の応答の送信元となるＶＰＮ−ＧＷ３００とクライアント端末４００とがＶＰＮ接続を確立するように制御することで、処理負荷が低いＶＰＮ−ＧＷ３００にＶＰＮ接続を確立させることができ、ＶＰＮ−ＧＷ３００が実施するＶＰＮ接続を負荷分散することが可能である。また、この結果、大量のＶＰＮ接続要求を受信した場合でも、実施例１に係るＳＩＰ−ＤＵシステム１００では、それぞれの接続要求を迅速に処理することが可能である。

［接続制御装置の構成］
図３を用いて、実施例１における接続制御装置２００の構成の一例を示す。図３は、実施例１における接続制御装置の構成の一例を示すブロック図である。図２に示すように、接続制御装置２００は、外部Ｉ／Ｆ部２０１と、内部Ｉ／Ｆ部２０２と、記憶部２１０と、制御部２２０とを有する。

外部Ｉ／Ｆ部２０１は、制御部２２０と接続される。外部Ｉ／Ｆ部２０１は、少なくとも１つのポートを有するインタフェースであり、ＳＩＰ網５０１を介して接続されるクライアント端末４００との間の通信を制御する。例えば、外部Ｉ／Ｆ部２０１は、クライアント端末４００からＳＩＰ接続要求を受信する。また、例えば、外部Ｉ／Ｆ部２０１は、制御部２２０により制御されることで、ＶＰＮ−ＧＷ３００から受信した確立用情報をクライアント端末４００に送信する。

内部Ｉ／Ｆ部２０２は、制御部２２０と接続される。内部Ｉ／Ｆ部２０２は、少なくとも１つのポートを有するインタフェースであり、イーサネット（登録商標）網等を介して接続される複数のＶＰＮ−ＧＷ３００との間の通信を制御する。例えば、内部Ｉ／Ｆ部２０２は、制御部２２０により制御されることで、複数あるＶＰＮ−ＧＷ３００各々に対して、クライアント端末４００から送信されたＶＰＮ接続情報を送信する。また、例えば、内部Ｉ／Ｆ部２０２は、ＶＰＮ−ＧＷ３００から、ＶＰＮ接続情報を受信する。

記憶部２１０は、制御部２２０と接続される。記憶部２１０は、制御部２２０による各種処理に必要なデータを格納する半導体メモリ素子又はハードディスク、光ディスクなどの記憶装置である。図３に示す例では、記憶部２１０は、ＶＰＮ−ＧＷ情報ＤＢ２１１を有する。

図４に示すように、ＶＰＮ−ＧＷ情報ＤＢ２１１は、内部Ｉ／Ｆ部２０２に接続された複数あるＶＰＮ−ＧＷ３００についての情報を記憶する。図４は、実施例１におけるＶＰＮ−ＧＷ情報ＤＢに記憶された情報の一例を示す図である。図４に示す例では、ＶＰＮ−ＧＷ情報ＤＢ２１１は、内部Ｉ／Ｆ部２０２に接続されたＶＰＮ−ＧＷ３００の識別子を示す「ＳＩＰ−ＵＲＩ」と、ＶＰＮ−ＧＷ３００のネットワークにおける位置を識別する「ＩＰアドレス」とを対応付けて記憶する。

図４に示す例では、ＶＰＮ−ＧＷ情報ＤＢ２１１は、ＳＩＰ−ＵＲＩ「１１１１」とＩＰアドレス「ＩＰ１」との対応付けを記憶し、ＳＩＰ−ＵＲＩ「２２２２」とＩＰアドレス「ＩＰ２」との対応付けを記憶する。つまり、例えば、ＶＰＮ−ＧＷ情報ＤＢ２１１は、ＳＩＰ−ＵＲＩ「１１１１」で識別されてＩＰアドレス「ＩＰ１」であるＶＰＮ−ＧＷ３００が、接続制御装置２００と接続されていることを記憶する。

制御部２２０は、ＯＳ（Operating System）などの制御プログラム、各種の処理手順などを規定したプログラム及び所要データを格納するための内部メモリを有し、例えば、集積回路やＣＰＵ（Central Process Unit）、ＭＰＵ（Micro Process Unit）などの電子回路が該当する。図３に示す例では、制御部２２０は、登録処理部２２１と、要求受信部２２２と、要求送信部２２３と、応答処理部２２４とを有する。制御部２２０について説明する際には、説明の便宜上、外部Ｉ／Ｆ部２０１や内部Ｉ／Ｆ部２０２には言及しないが、制御部２２０は、外部Ｉ／Ｆ部２０１や内部Ｉ／Ｆ部２０２を介してクライアント端末４００やＶＰＮ−ＧＷ３００と情報を送受信する。

登録処理部２２１は、接続制御装置２００と接続されたＶＰＮ−ＧＷ３００についての情報をＶＰＮ−ＧＷ情報ＤＢ２１１に登録する。例えば、登録処理部２２１は、接続制御装置２００と接続されたＶＰＮ−ＧＷ３００から登録要求を受信すると、登録要求の送信元となるＶＰＮ−ＧＷ３００のＳＩＰ−ＵＲＩとＩＰアドレスとを対応付けてＶＰＮ−ＧＷ情報ＤＢ２１１に登録する。登録処理部２２１が登録するＳＩＰ−ＵＲＩとＩＰアドレスとは、例えば、ＶＰＮ−ＧＷ３００から受信する登録要求に含まれる。

要求受信部２２２は、クライアント端末４００との間でＶＰＮ接続を確立するための情報である確立用情報を含むＳＩＰ接続要求を受信する。例えば、要求受信部２２２は、クライアント端末４００のポート番号とＩＰアドレスとを含むＳＩＰ接続要求をクライアント端末４００から受信する。

また、要求受信部２２２は、クライアント端末４００からＶＰＮ接続を切断する旨の指示であるＶＰＮ切断要求を外部Ｉ／Ｆ部２０１を介して受信する。例えば、要求受信部２２２は、クライアント端末４００のポート番号とＩＰアドレスとを含むＶＰＮ切断要求をクライアント端末４００から受信する。ＶＰＮ切断要求は、「ＳＩＰ ＢＹＥ」とも称する。

要求送信部２２３は、要求受信部２２２がＳＩＰ接続要求を受信すると、受信したＳＩＰ接続要求に含まれる確立用情報を複数あるＶＰＮ−ＧＷ３００各々に送信する。例えば、要求送信部２２３は、ＳＩＰ接続要求を受信すると、ＶＰＮ−ＧＷ情報ＤＢ２１１からＩＰアドレスを取得し、取得したＩＰアドレス各々に対して、受信したＳＩＰ接続要求に含まれる確立用情報を送信する。なお、この際、要求送信部２２３は、受信したＳＩＰ接続要求そのものをＶＰＮ−ＧＷ３００各々に送信しても良い。なお、要求受信部２２２と要求送信部２２３とは、「確立用情報送信部」とも称する。

また、要求送信部２２３は、要求受信部２２２がＶＰＮ切断要求を受信すると、要求受信部２２２がＳＩＰ接続要求を受信した際と同様に、ＶＰＮ切断要求を複数あるＶＰＮ−ＧＷ３００各々に送信する。すなわち、要求送信部２２３は、ＶＰＮ切断要求の送信元となるクライアント端末４００とＶＰＮ接続を確立しているＶＰＮ−ＧＷ３００か否かに関係なく、ＶＰＮ切断要求を一斉に送信する。

応答処理部２２４は、確立用情報に対してＶＰＮ−ＧＷ３００により送信された所定の応答を受信する。例えば、応答処理部２２４は、所定の応答として、ポート番号とＩＰアドレスとを含む確立用情報を受信する。例えば、ＶＰＮ−ＧＷ３００ａとＶＰＮ−ＧＷ３００ｂとがクライアント端末４００とＶＰＮ接続を確立することが可能であり、確立用情報を接続制御装置２００に送信した場合を用いて説明する。この場合、応答処理部２２４は、ＶＰＮ−ＧＷ３００ａのポート番号とＩＰアドレスとを含む確立用情報をＶＰＮ−ＧＷ３００ａから受信し、ＶＰＮ−ＧＷ３００ｂのポート番号とＩＰアドレスとを含む確立用情報をＶＰＮ−ＧＷ３００ｂから受信する。

応答処理部２２４は、最初に受信した所定の応答をクライアント端末４００に送信することで、最初に受信した所定の応答の送信元となるＶＰＮ−ＧＷ３００とクライアント端末４００とがＶＰＮ接続を確立するように制御する。応答処理部２２４は、「応答受信部」「確立制御部」とも称する。

例えば、ＶＰＮ−ＧＷ３００ａからの確立用情報を受信した後に、ＶＰＮ−ＧＷ３００ｂからの確立用情報を受信した場合を用いて説明する。この場合、応答処理部２２４は、ＶＰＮ−ＧＷ３００ａから受信した確立用情報をクライアント端末４００に送信する一方、ＶＰＮ−ＧＷ３００ｂから受信した確立用情報をクライアント端末４００に送信しない。

また、例えば、応答処理部２２４は、最初に受信した所定の応答の送信元となるＶＰＮ−ＧＷ３００以外のＶＰＮ−ＧＷ３００に対して、キャンセルする旨を送信する。例えば、応答処理部２２４は、ＶＰＮ−ＧＷ３００ｂにキャンセルを送信する。

また、応答処理部２２４は、クライアント端末４００から受信したＶＰＮ切断要求をＶＰＮ−ＧＷ３００に送信した後にＶＰＮ−ＧＷ３００から切断許可応答を受信すると、受信した切断許可応答をＶＰＮ切断要求の送信元となるクライアント端末４００に送信する。

［ＶＰＮ−ＧＷの構成］
図５を用いて、実施例１におけるＶＰＮ−ＧＷ３００の構成の一例を示す。図５は、実施例１におけるＶＰＮ−ＧＷの構成の一例を示すブロック図である。図５に示すように、ＶＰＮ−ＧＷ３００は、通信Ｉ／Ｆ部３０１と、内部Ｉ／Ｆ部３０２と、記憶部３１０と、制御部３２０とを有する。

通信Ｉ／Ｆ部３０１は、制御部３２０と接続される。通信Ｉ／Ｆ部３０１は、少なくとも１つのポートを有するインタフェースであり、イーサネット（登録商標）網等を介して接続される接続制御装置２００との間の通信を制御する。例えば、通信Ｉ／Ｆ部３０１は、接続制御装置２００からクライアント端末のポート番号やＩＰアドレスである確立用情報を受信する。

内部Ｉ／Ｆ部３０２は、制御部３２０と接続される。内部Ｉ／Ｆ部３０２は、少なくとも１つのポートを有するインタフェースであり、ＶＬＡＮに接続されるサーバ装置や他のクライアント端末４００との間の通信を制御する。例えば、内部Ｉ／Ｆ部３０２は、ＶＰＮ接続されたクライアント端末４００と、ＶＰＮ−ＧＷ３００に接続されるＶＬＡＮに属するサーバ装置等の間で、共通鍵を用いたＩＰｓｅｃ等でパケット通信を実施する。

記憶部３１０は、制御部３２０と接続される。記憶部３１０は、制御部３２０による各種処理に必要なデータ及びプログラムを格納する。記憶部３１０は、例えば、半導体メモリ素子又はハードディスク、光ディスクなどの記憶装置が該当する。図５に示す例では、記憶部３１０は、リソースＤＢ３１１と、接続状況ＤＢ３１２とを有する。

図６に示すように、リソースＤＢ３１１は、ＶＰＮ−ＧＷ３００のリソース状況を記憶する。図６は、実施例１におけるリソースＤＢに記憶された情報の一例を示す図である。図６に示す例では、リソースＤＢ３１１は、ＣＰＵ使用率、ネットワーク使用率、メモリ使用率、ＣＰＵ使用率閾値、ネットワーク使用率閾値、メモリ使用率閾値などを記憶する。リソースＤＢ３１１に記憶された情報は、後述する処理負荷識別部３２２によって格納される。

「ＣＰＵ使用率」は、ＶＰＮ−ＧＷ３００に搭載されたＣＰＵの使用状況を示す。「ネットワーク使用率」は、ＶＰＮ−ＧＷ３００が他の装置との間で通信しているネットワークの状況を示す。「メモリ使用率」は、ＶＰＮ−ＧＷ３００に搭載されたＣＰＵ等によって使用されているメモリの状況を示す。「ＣＰＵ使用率閾値」は、ＣＰＵの処理負荷の限度を示す。「ネットワーク使用率閾値」は、ＶＰＮ−ＧＷ３００が他の装置との間で通信しているネットワーク帯域等の限度を示す。「メモリ使用率閾値」は、ＶＰＮ−ＧＷ３００が搭載するメモリの使用限度を示す。

図６に示す例では、リソースＤＢ３１１は、ＣＰＵ使用率「３０％」を記憶し、ネットワーク使用率「６０％」を記憶し、メモリ使用率「４０％」を記憶し、ＣＰＵ使用率閾値「８０％」を記憶し、ネットワーク使用率閾値「７０％」を記憶し、メモリ使用率閾値「７０％」を記憶する。すなわち、リソースＤＢ３１１は、ＶＰＮ−ＧＷ３００に搭載されたＣＰＵが３０％使用されていることを記憶し、ＶＰＮ−ＧＷ３００が他の装置との間で通信しているネットワークの６０％が使用されていることを記憶し、ＶＰＮ−ＧＷ３００に搭載されたＣＰＵ等によって使用されているメモリが４０％使用されていることを記憶する。また、リソースＤＢ３１１は、ＣＰＵの使用率の限度が８０％であることを記憶し、ネットワーク使用率の限度が７０％であることを記憶し、メモリの使用率の限度が７０％であることを記憶する。

図７に示すように、接続状況ＤＢ３１２は、ＶＰＮ−ＧＷ３００が接続しているＶＰＮ接続状況を記憶する。図７は、実施例１における接続状況ＤＢに記憶された情報の一例を示す図である。図７に示す例では、接続状況ＤＢ３１２は、接続可能台数「２」と現在の接続数「２」とを記憶する。「接続可能台数」は、ＶＰＮ−ＧＷ３００が接続可能な最大数を示し、管理者等によって予め設定される。「現在の接続数」は、例えば、処理負荷識別部３２２によって格納される。図７に示す例では、接続状況ＤＢ３１２は、ＶＰＮ−ＧＷ３００が接続可能な台数の最大数は２台であり、現在２台の装置と接続されていることを記憶する。

制御部３２０は、通信Ｉ／Ｆ部３０１と内部Ｉ／Ｆ部３０２と記憶部３１０と接続される。制御部３２０は、ＯＳなどの制御プログラム、各種の処理手順などを規定したプログラム及び所要データを格納するための内部メモリを有する集積回路又はＣＰＵやＭＰＵなどの電子回路である。図５に示す例では、制御部３２０は、登録要求送信部３２１と、処理負荷識別部３２２と、情報受信部３２３と、接続応答部３２４と、ＶＰＮ確立部３２５と、ＶＰＮ切断部３２６とを有する。制御部３２０について説明する際には、説明の便宜上、通信Ｉ／Ｆ部３０１や内部Ｉ／Ｆ部３０２には言及しないが、制御部３２０は、通信Ｉ／Ｆ部３０１や内部Ｉ／Ｆ部３０２を介して接続制御装置２００などと情報を送受信する。

登録要求送信部３２１は、接続制御装置２００に登録要求を送信する。例えば、登録要求送信部３２１は、自ＶＰＮ−ＧＷ３００を識別するＳＩＰ−ＵＲＩとＩＰアドレスとを含む登録要求を定期的に送信する。

処理負荷識別部３２２は、自装置における処理負荷状況を識別する。例えば、処理負荷識別部３２２は、ＶＰＮ−ＧＷ３００のリソース状況を定期的に収集し、リソースＤＢ３１１に格納する。例えば、処理負荷識別部３２２は、ＣＰＵ使用率とネットワーク使用率とメモリ使用率とをリアルタイム若しくは定期的に収集し、リソースＤＢ３１１に格納する。また、処理負荷識別部３２２は、ＶＰＮ接続されている装置数をリアルタイム若しくは定期的に収集し、接続状況ＤＢ３１２に格納する。なお、処理負荷識別部３２２は、ＶＰＮ−ＧＷ３００が搭載するＯＳ等によって予め用意されたコマンドを用いることで、処理負荷状況を識別しても良い。

情報受信部３２３は、接続制御装置２００から確立用情報を受信する。例えば、情報受信部３２３は、クライアント端末４００のポート番号とＩＰアドレスとを受信する。

接続応答部３２４は、情報受信部３２３が確立用情報を受信すると、確立用情報の送信元となるクライアント端末４００とＶＰＮ接続を確立することを許可するか否かを判定する。例えば、接続応答部３２４は、接続状況ＤＢ３１２を参照し、「現在の接続数」が「接続可能台数」より少ない場合に、接続を許可すると判定する。また、接続応答部３２４は、接続状況ＤＢ３１２を参照し、「現在の接続数」と「接続可能台数」とが一致する場合には、接続を許可しないと判定する。また、例えば、接続応答部３２４は、リソースＤＢ３１１を参照し、「ＣＰＵ使用率」、「ネットワーク使用率」、「メモリ使用率」のいずれかが「閾値」を超える場合には、接続を許可しないと判定する。なお、接続応答部３２４は、上述した接続状況とリソース状況との両方が条件を満たす場合に、接続を許可するようにしても良い。

接続応答部３２４は、ＶＰＮ接続を許可すると判定すると、所定の応答を接続制御装置２００に送信する。例えば、接続応答部３２４は、自ＶＰＮ−ＧＷ３００のＩＰアドレスとポート番号とを含む確立用情報を接続制御装置２００に送信する。また、接続応答部３２４は、ＶＰＮ接続を許可しないと判定すると、接続を拒否することを示すエラー応答を接続制御装置２００に送信する。接続応答部３２４は、「応答送信部」とも称する。

ここで、接続応答部３２４は、処理負荷識別部３２２により識別された処理負荷状況が高い場合に低い場合と比較して所定の応答を遅く送信し、処理負荷状況が低い場合に高い場合と比較して所定の応答を早く送信する。

例えば、接続応答部３２４は、リソースＤＢ３１１を参照し、ＣＰＵ使用率やネットワーク使用率、メモリ使用率が低ければ低いほど、確立用情報を早く送信し、ＣＰＵ使用率やネットワーク使用率、メモリ使用率が高ければ高いほど、確立用情報を遅く送信する。また、例えば、接続応答部３２４は、接続状況ＤＢ３１２を参照し、現在の接続数が少なければ少ないほど早く確立用情報を送信し、現在の接続数が多ければ多いほど遅く確立用情報を送信する。また、例えば、接続応答部３２４は、接続可能台数に対して現在の接続数が占める割合が小さければ小さいほど早く確立用情報を送信し、接続可能台数に対して現在の接続数が占める割合が大きければ大きいほど遅く確立用情報を送信する。

ＶＰＮ確立部３２５は、接続制御装置２００から受信した確立用情報を用いて、ＳＩＰ接続要求の送信元となるクライアント端末４００とＶＰＮ接続を確立する。例えば、ＶＰＮ確立部３２５は、ＳＩＰ接続要求の送信元となるクライアント端末４００とＩＫＥネゴシエーション（ＩＫＥ認証）を実施し、ＶＰＮに必要な共通鍵を交換する。そして、ＶＰＮ確立部３２５は、情報受信部３２３によって受信された確立用情報に含まれるクライアント端末４００のＩＰアドレスとポート番号を用いてＶＰＮ接続を確立し、共通鍵を用いたＩＰｓｅｃ等でパケット通信を実施する。また、ＶＰＮ確立部３２５は、ＶＰＮ接続を確立すると、接続状況ＤＢ３１２を更新する。

ここで、ＶＰＮ確立部３２５がＶＰＮ接続を確立するのは、接続応答部３２４が確立用情報を送信した上で、接続制御装置２００が、キャンセルすることなく接続応答部３２４により送信された確立用情報をクライアント端末４００に送信した場合になる。つまり、接続応答部３２４が、他のＶＰＮ−ＧＷ３００の接続応答部３２４よりも早く確立用情報を送信した場合となる。

ＶＰＮ切断部３２６は、接続制御装置２００からＶＰＮ切断要求を受信すると、ＶＰＮを切断するとともに、ＶＰＮを切断したことを示す応答を接続制御装置２００に送信する。また、ＶＰＮ切断部３２６は、ＶＰＮ接続を切断すると、接続状況ＤＢ３１２を更新する。

［登録処理］
図８を用いて、実施例１におけるＶＰＮ−ＧＷ３００を接続制御装置２００に登録する処理の流れの一例を示す。図８は、実施例１におけるＶＰＮ−ＧＷを接続制御装置に登録する処理の流れの一例を示すシーケンス図である。図８では、記載の便宜上、クライアント端末４００を併せて示した。図８に示す例では、ＶＰＮ−ＧＷ３００ａが登録要求を送信し、その後、ＶＰＮ−ＧＷ３００ｂが登録要求を送信する場合を用いて説明するが、本発明はこれに限定されるものではない。

ＶＰＮ−ＧＷ３００ａは、登録要求を接続制御装置２００に送信する（ステップＳ２０１）。なお、登録要求は、「ＲＥＧＩＳＴＥＲ」とも記載する。例えば、ＶＰＮ−ＧＷ３００ａの登録要求送信部３２１が、ＶＰＮ−ＧＷ３００ａのＳＩＰ−ＵＲＩとＩＰアドレスとを含む登録要求を送信する。

その後、接続制御装置２００は、受信した登録要求をＶＰＮ−ＧＷ情報ＤＢ２１１に登録する（ステップＳ２０２）。例えば、接続制御装置２００は、ＶＰＮ−ＧＷ３００ａのＳＩＰ−ＵＲＩとＩＰアドレスとを登録する。また、その後、接続制御装置２００は、登録した旨を示す応答をＶＰＮ−ＧＷ３００ａに送信する（ステップＳ２０３）。

また、同様に、ＶＰＮ−ＧＷ３００ｂは、ＶＰＮ−ＧＷ３００ｂのＳＩＰ−ＵＲＩとＩＰアドレスとを含む登録要求を送信し（ステップＳ２０４）、接続制御装置２００が、ＶＰＮ−ＧＷ３００ｂのＳＩＰ−ＵＲＩとＩＰアドレスとをＶＰＮ−ＧＷ情報ＤＢ２１１に登録する（ステップＳ２０５）。また、その後、接続制御装置２００は、登録した旨を示す応答をＶＰＮ−ＧＷ３００ｂに送信する（ステップＳ２０６）。

［接続制御装置による処理］
図９を用いて、実施例１における接続制御装置２００による処理の流れの一例を示す。図９は、実施例１における接続制御装置による処理の流れの一例を示すフローチャートである。図９では、説明の便宜上、ＶＰＮ−ＧＷ３００についての情報がＶＰＮ−ＧＷ情報ＤＢ２１１に既に登録されているものとして説明する。また、図９に示す例では、接続制御装置２００が、クライアント端末４００からＳＩＰ接続要求を受信し、受信したＳＩＰ接続要求をＶＰＮ−ＧＷ３００ａ〜ＶＰＮ−ＧＷ３００ｎ各々に対して送信し、その後、ＶＰＮ−ＧＷ３００ａからの確立用情報を最初に受信した場合を用いて説明する。

図９に示すように、接続制御装置２００は、要求受信部がＳＩＰ接続要求を受信すると（ステップＳ３０１肯定）、要求送信部２２３は、ＶＰＮ−ＧＷ情報ＤＢ２１１に登録されたＶＰＮ−ＧＷ３００各々にＳＩＰ接続要求を送信する（ステップＳ３０２）。なお、接続制御装置２００は、ＳＩＰ接続要求に含まれる確立用情報を選択的に送信しても良い。

その後、応答処理部２２４は、ＶＰＮ−ＧＷ３００ａから確立用情報を最初に受信すると（ステップＳ３０３）、ＶＰＮ−ＧＷ３００ａからの確立用情報をクライアント端末４００に送信する（ステップＳ３０４）。また、応答処理部２２４は、ＶＰＮ−ＧＷ３００ａ以外のＶＰＮ−ＧＷ３００に対してキャンセルする旨を送信する（ステップＳ３０５）。

［ＶＰＮ−ＧＷによる処理］
図１０を用いて、実施例１におけるＶＰＮ−ＧＷ３００による処理の流れの一例を示す。図１０は、実施例１におけるＶＰＮ−ＧＷによる処理の流れの一例を示すフローチャートである。

図１０に示すように、ＶＰＮ−ＧＷ３００では、情報受信部３２３がＳＩＰ接続要求を受信すると（ステップＳ４０１肯定）、接続応答部３２４は、ＳＩＰ接続要求の送信元となるクライアント端末４００とＶＰＮ接続を確立することを許可するか否かを判定する（ステップＳ４０２）。例えば、接続応答部３２４は、接続状況ＤＢ３１２を参照し、「現在の接続数」が「接続可能台数」より少ない場合に、接続を許可すると判定する。また、接続応答部３２４は、接続状況ＤＢ３１２を参照し、「現在の接続数」と「接続可能台数」と一致する場合に、接続を拒否すると判定する。

ここで、接続応答部３２４は、許可すると判定すると（ステップＳ４０３肯定）、接続を許可する旨の所定の応答を接続制御装置２００に送信する（ステップＳ４０４）。例えば、接続応答部３２４は、自ＶＰＮ−ＧＷ３００のＩＰアドレスとポート番号とを含む確立用情報を接続制御装置２００に送信する。

そして、ＶＰＮ確立部３２５は、クライアント端末４００とＩＫＥ通信を開始してＶＰＮ接続を確立する（ステップＳ４０５）。つまり、ＶＰＮ確立部３２５は、接続制御装置２００から受信したＳＩＰ接続要求に含まれる確立用情報を用いて、ＳＩＰ接続要求の送信元となるクライアント端末４００とＩＫＥネゴシエーション（ＩＫＥ認証）を実施し、ＶＰＮに必要な共通鍵を交換する。そして、ＶＰＮ確立部３２５は、情報受信部３２３によって取得されたクライアント端末４００のＩＰアドレスとポート番号を用いてＶＰＮ接続を確立し、共通鍵を用いたＩＰｓｅｃ等でパケット通信を実施する。

なお、ここで、接続制御装置２００は、複数あるＶＰＮ−ＧＷ３００各々にＳＩＰ接続要求を送信しており、接続応答部３２４が所定の応答を送信したとしても、自ＶＰＮ−ＧＷ３００がＶＰＮ接続を確立するとは限らない。自ＶＰＮ−ＧＷ３００がＶＰＮ接続を確立するのは、自ＶＰＮ−ＧＷ３００が送信した所定の応答が接続制御装置２００にとって最初の応答であり、自ＶＰＮ−ＧＷ３００が送信した所定の応答をクライアント端末４００に送信された場合となる。

図１０の説明に戻る。接続応答部３２４は、許可しないと判定すると（ステップＳ４０３否定）、接続を拒否することを示すエラー応答を接続制御装置２００に送信する（ステップＳ４０６）。

［ＶＰＮ接続切断時における処理］
図１１を用いて、実施例１におけるＳＩＰ−ＤＵシステム１００におけるＶＰＮ接続切断時における処理の流れの一例を示す。図１１は、実施例１におけるＳＩＰ−ＤＵシステムにおけるＶＰＮ接続切断時における処理の流れの一例を示すシーケンス図である。図１１では、説明の便宜上、ＶＰＮ−ＧＷ３００ａとＶＰＮ−ＧＷ３００ｂとを用いて説明する。また、図１１では、ＶＰＮ−ＧＷ３００ａとクライアント端末４００とがＶＰＮ接続を確立している場合を用いて説明する。

図１１に示すように、クライアント端末４００とＶＰＮ−ＧＷ３００ａとの間におけるＩＫＥが切断されると（ステップＳ５０１）、クライアント端末４００は、ＶＰＮ接続を切断する旨の指示であるＶＰＮ切断要求を接続制御装置２００に送信する（ステップＳ５０２）。なお、ＶＰＮ切断要求を「ＢＹＥ」とも記載する。

そして、接続制御装置２００は、ＶＰＮ切断要求を受信すると、接続制御装置２００と接続されたＶＰＮ−ＧＷ３００各々にＶＰＮ切断要求を送信する（ステップＳ５０３、Ｓ５０４）。すなわち、要求送信部２２３は、ＶＰＮ切断要求の送信元となるクライアント端末４００とＶＰＮ接続を確立しているＶＰＮ−ＧＷ３００か否かに関係なく、ＶＰＮ切断要求を一斉に送信する。

その後、ＶＰＮ切断要求の送信元となるクライアント端末４００とＶＰＮ接続を確立していないＶＰＮ−ＧＷ３００ｂは、接続が存在しない旨の応答を接続制御装置２００に送信する（ステップＳ５０５）。また、ＶＰＮ切断要求の送信元となるクライアント端末４００とＶＰＮ接続を確立しているＶＰＮ−ＧＷ３００ａは、ＶＰＮ接続を切断し（ステップＳ５０６）、切断した旨の応答を接続制御装置２００に送信する（ステップＳ５０７）。

そして、接続制御装置２００は、ＶＰＮ−ＧＷ３００ａから受信した切断した旨の応答をクライアント端末４００に送信する（ステップＳ５０８）。

［実施例１の効果］
上述したように、実施例１に係るＳＩＰ−ＤＵシステム１００によれば、接続制御装置２００は、ＳＩＰ接続要求を受信すると、ＳＩＰ接続要求に含まれる確立用情報を複数あるＶＰＮ−ＧＷ３００各々に送信する。そして、ＶＰＮ−ＧＷ３００は、確立用情報を受信すると、所定の応答を接続制御装置２００に送信する。そして、接続制御装置２００は、ＶＰＮ−ＧＷ３００により送信された所定の応答を受信し、最初に受信した所定の応答をクライアント端末４００に送信することで、最初に受信された所定の応答の送信元となるＶＰＮ−ＧＷ３００とクライアント端末４００とがＶＰＮ接続を確立するように制御する。この結果、実施例１によれば、大量のＶＰＮ接続要求を受信した場合でも、処理負荷が低いＶＰＮ−ＧＷ３００にＶＰＮ接続を確立させることができ、接続要求各々を迅速に処理することが可能である。

すなわち、ＶＰＮ−ＧＷ３００が確立用情報を受信した後に応答を返すまでの速度は、ＶＰＮ−ＧＷ３００の処理負荷状況に応じて変化する。このため、接続制御装置２００は、最初に受信した応答の送信元となるＶＰＮ−ＧＷ３００にＶＰＮ接続を確立させることで、他のＶＰＮ−ＧＷ３００と比較して処理負荷状況が軽いと考えられるＶＰＮ−ＧＷ３００にＶＰＮ接続を実行させることができ、接続要求各々を迅速に処理することが可能である。

また、この際、接続制御装置２００は、ＶＰＮ−ＧＷ３００各々の処理負荷状況を把握する必要がなく、ＶＰＮ−ＧＷ３００各々に確立用情報を送信し、最初に受信した応答をクライアント端末４００に送信すれば良い。接続制御装置２００に対して処理負荷をかけることなく実現することが可能である。

図１２は、実施例１におけるＳＩＰ−ＤＵシステムによる効果の一例を示す図である。図１２において、６０１〜６０３は、データセンタを示し、６０４及び６０５は、クライアント端末を示し、６０７は、ＳＩＰ−ＤＵシステムを示す。図１２に示すように、クライアント端末６０４や６０５は、データセンタ６０１〜６０３を利用する場合には、ＳＩＰ−ＤＵシステム１００にＳＩＰダイヤルアップし、ＶＰＮ接続を確立した上で、データセンタとデータの送受信を行う。

図１２に示すように、ＳＩＰ−ＤＵシステムは、複数あるクライアント端末からのアクセスを一手に処理することになり、処理負荷がかかっていた。特に、ＳＩＰ−ＤＵシステム１００には、ＳＩＰを用いた処理をする処理部と、ＶＰＮ接続を確立する処理をする処理部とでは、ＶＰＮ接続を確立する処理をする処理部に大きな処理がかかる。この結果、大量の接続を処理できなくなることも考えられる。

そこで、実施例１におけるＳＩＰ−ＤＵシステム１００では、ＳＩＰを用いた処理をする処理部を接続制御装置２００に受け持たせ、ＶＰＮ接続を確立する処理をする処理部をＶＰＮ−ＧＷ３００に受け持たせた。また、その上で、接続制御装置２００が、最初に応答を返したＶＰＮ−ＧＷ３００にＶＰＮ接続を確立させるようにすることで、他のＶＰＮ−ＧＷ３００と比較して処理負荷状況が軽いと考えられるＶＰＮ−ＧＷ３００にＶＰＮ接続を実行させることができ、接続要求各々を迅速に処理することが可能である。

また、実施例１によれば、ＶＰＮ−ＧＷ３００は、自装置における処理負荷状況を識別する。また、ＶＰＮ−ＧＷ３００は、確立用情報を受信すると、処理負荷状況が高い場合に低い場合と比較して前記所定の応答を遅く送信し、処理負荷状況が低い場合に高い場合と比較して所定の応答を早く送信する。この結果、接続制御装置２００が最初に受信した応答の送信元となるＶＰＮ−ＧＷ３００にＶＰＮ接続を確立させることで、他のＶＰＮ−ＧＷ３００と比較して処理負荷状況が軽いＶＰＮ−ＧＷ３００に確実にＶＰＮ接続を実行させることができ、接続要求を迅速に処理することが可能である。

また、すべてのＶＰＮ−ＧＷ３００について処理負荷状況が大きかったとしても、ＶＰＮ−ＧＷ３００がクライアント端末４００とＶＰＮ接続が可能な状況にあれば、いずれは、ＶＰＮ−ＧＷ３００が確立用情報を送信することになり、いずれかのＶＰＮ−ＧＷ３００に確実にＶＰＮ接続を確立させることが可能である。

また、実施例１によれば、ＶＰＮ−ＧＷ３００は、確立用情報を受信すると、確立用情報の送信元となるクライアント端末４００とＶＰＮ接続を確立することを許可するか否かを判定し、許可すると判定した場合に所定の応答を接続制御装置に送信する。この結果、接続制御装置２００は、ＶＰＮ接続を確立可能なＶＰＮ−ＧＷ３００からの応答をクライアント端末４００から送信することになり、ＶＰＮ接続を確立することが可能なＶＰＮ−ＧＷ３００に直接クライアント端末４００とのＶＰＮ接続を確立させることが可能である。

さて、これまで本発明の実施例について説明したが、本発明は上述した実施例以外にも、その他の実施例にて実施されても良い。そこで、以下では、その他の実施例を示す。

［ＶＰＮ−ＧＷ情報ＤＢからの削除］
例えば、ＶＰＮ−ＧＷ３００は、自ＶＰＮ−ＧＷ３００のＳＩＰ−ＵＲＩとＩＰアドレスを接続制御装置２００から削除する場合に、削除する旨の削除要求を接続制御装置２００に送信しても良い。また、例えば、接続制御装置２００は、ＶＰＮ−ＧＷ情報ＤＢ２１１に登録された後一定期間経過した情報を削除することで、一定期間登録要求が送信されなかったＶＰＮ−ＧＷ３００の情報を削除しても良い。

［ＩＫＥ認証］
例えば、上述した実施例１で説明したＩＫＥネゴシエーション時に、ＩＫＥ認証による証明書を交換するようにしても良い。こうすることで、正当な機関から証明された正当なクライアント端末４００か否かを判定することができる。

［ＶＰＮ−ＧＷ］
また、例えば、上述した実施例では、ＶＰＮ−ＧＷ３００が、処理負荷状況を考慮し、処理負荷状況が低ければ高い場合と比較して早く応答を送信し、処理負荷状況が高ければ低い場合と比較して遅く応答を送信する場合について示した。ただし、本発明はこれに限定されるものではなく、処理負荷状況を考慮することなく、応答を送信しても良い。例え、処理負荷状況を考慮することなく応答を返したとしても、ＶＰＮ−ＧＷ３００の処理負荷状況が高ければ、処理負荷状況が低い場合と比較して、相対的に、種々の処理を実行するのに時間をより要することになる。この結果、処理負荷状況を考慮することなく応答を返したとしても、結果として、処理負荷状況が高ければ低い場合と比較して応答を遅く返すことになるからである。

［システム構成］
また、本実施例において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。例えば、ＶＰＮ−ＧＷ３００の情報を接続制御装置２００に登録する処理を手動にて実行しても良い。この他、上述文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる（例えば、図１〜図１１）。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。接続制御装置２００とＶＰＮ−ＧＷ３００とを１つの筐体に収めても良い。
［プログラム］
図１３は、仮想通信路接続プログラムによる情報処理がコンピュータを用いて具体的に実現されることを示す図である。図１３に例示するように、コンピュータ３０００は、例えば、メモリ３０１０と、ＣＰＵ（Central Processing Unit）３０２０と、ハードディスクドライブインタフェース３０３０と、ディスクドライブインタフェース３０４０と、シリアルポートインタフェース３０５０と、ビデオアダプタ３０６０と、ネットワークインタフェース３０７０とを有する。コンピュータ３０００の各部はバス３１００によって接続される。

メモリ３０１０は、図１３に例示するように、ＲＯＭ３０１１及びＲＡＭ３０１２を含む。ＲＯＭ３０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース３０３０は、図１３に例示するように、ハードディスクドライブ３０８０に接続される。ディスクドライブインタフェース３０４０は、図１３に例示するように、ディスクドライブ３０９０に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ３０９０に挿入される。シリアルポートインタフェース３０５０は、図１３に例示するように、例えばマウス３０５１、キーボード３０５２に接続される。ビデオアダプタ３０６０は、図１３に例示するように、例えばディスプレイ３０６１に接続される。

ここで、図１３に例示するように、ハードディスクドライブ３０８０は、例えば、ＯＳ３０８１、アプリケーションプログラム３０８２、プログラムモジュール３０８３、プログラムデータ３０８４を記憶する。すなわち、開示の技術に係る更新プログラムは、コンピュータによって実行される指令が記述されたプログラムモジュール３０８３として、例えばハードディスクドライブ３０８０に記憶される。具体的には、上記実施例で説明した制御部２２０や制御部３２０の各部と同様の情報処理を実行する手順各々が記述されたプログラムモジュールが、ハードディスクドライブ３０８０に記憶される。

また、上記実施例で説明した記憶部２１０や記憶部３１０に記憶されるデータのように、更新プログラムによる情報処理に用いられるデータは、プログラムデータ３０８４として、例えばハードディスクドライブ３０８０に記憶される。そして、ＣＰＵ３０２０が、ハードディスクドライブ３０８０に記憶されたプログラムモジュール３０８３やプログラムデータ３０８４を必要に応じてＲＡＭ３０１２に読み出し、各種の手順を実行する。

なお、仮想通信路接続プログラムに係るプログラムモジュール３０８３やプログラムデータ３０８４は、ハードディスクドライブ３０８０に記憶される場合に限られない。例えば、プログラムモジュール３０８３やプログラムデータ３０８４は、着脱可能な記憶媒体に記憶されても良い。この場合、ＣＰＵ３０２０は、ディスクドライブなどの着脱可能な記憶媒体を介してデータを読み出す。また、同様に、更新プログラムに係るプログラムモジュール３０８３やプログラムデータ３０８４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶されても良い。この場合、ＣＰＵ３０２０は、ネットワークインタフェースを介して他のコンピュータにアクセスすることで各種データを読み出す。

［その他］
なお、本実施例で説明した仮想通信路接続プログラムは、インターネットなどのネットワークを介して配布することができる。また、仮想通信路接続プログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。

１００ ＳＩＰ−ＤＵシステム
２００ 接続制御装置
２０１ 外部Ｉ／Ｆ部
２０２ 内部Ｉ／Ｆ部
２１０ 記憶部
２１１ ＶＰＮ−ＧＷ情報ＤＢ
２２０ 制御部
２２１ 登録処理部
２２２ 要求受信部
２２３ 要求送信部
２２４ 応答処理部
３００ ＶＰＮ−ＧＷ
３０１ 通信Ｉ／Ｆ部
３０２ 内部Ｉ／Ｆ部
３１０ 記憶部
３２０ 制御部
３２１ 登録要求送信部
３２２ 処理負荷識別部
３２３ 情報受信部
３２４ 接続応答部
３２５ ＶＰＮ確立部
３２６ ＶＰＮ切断部
４００ クライアント端末

Claims (8)

1. 第１の端末と複数ある第２の端末とを有し、当該第２の端末がクライアント端末との間で仮想通信路を確立する仮想通信路接続システムであって、
   前記第１の端末は、
   前記クライアント端末との間で仮想通信路を確立するための情報である確立用情報を含むＳＩＰ接続要求を受信すると、受信した当該ＳＩＰ接続要求に含まれる当該確立用情報を前記複数ある第２の端末各々に送信する確立用情報送信部を有し、
   前記第２の端末は、
   自装置における処理負荷状況を識別する処理負荷識別部と、
   前記確立用情報送信部により送信された前記確立用情報を受信すると、前記確立用情報を受信すると、前記処理負荷識別部により識別された処理負荷状況が高い場合に低い場合と比較して所定の応答を遅く送信し、当該処理負荷状況が低い場合に高い場合と比較して前記所定の応答を早く前記第１の端末に送信する応答送信部とを有し、
   前記第１の端末は、
   前記応答送信部により送信された前記所定の応答を受信する応答受信部と、
   前記応答受信部により最初に受信された前記所定の応答を前記クライアント端末に送信することで、当該最初に受信された前記所定の応答の送信元となる前記第２の端末と当該クライアント端末とが仮想通信路を確立するように制御する確立制御部とを有し、
   前記第２の端末は、
   前記応答送信部により送信された前記所定の応答が前記第１の端末により最初に受信された場合に、前記第１の端末を介することなく、前記クライアント端末と認証を行って共通鍵を交換し、当該クライアント端末と仮想通信路を確立する確立部を有することを特徴とする仮想通信路接続システム。
2. 前記第２の端末の前記応答送信部は、前記確立用情報送信部により送信された前記確立用情報を受信すると、当該確立用情報の送信元となる前記クライアント端末と前記仮想通信路を確立することを許可するか否かを判定し、許可すると判定した場合に所定の応答を前記第１の端末に送信することを特徴とする請求項１に記載の仮想通信路接続システム。
3. 第１の端末と複数ある第２の端末とを有し、当該第２の端末がクライアント端末との間で仮想通信路を確立する仮想通信路接続システムの制御方法であって、
   前記第１の端末が、
   前記クライアント端末との間で仮想通信路を確立するための情報である確立用情報を含むＳＩＰ接続要求を受信すると、受信した当該ＳＩＰ接続要求に含まれる当該確立用情報を前記複数ある第２の端末各々に送信する確立用情報送信工程を含み、
   前記第２の端末が、
   自装置における処理負荷状況を識別する処理負荷識別工程と、
   前記確立用情報送信工程により送信された前記確立用情報を受信すると、前記確立用情報を受信すると、前記処理負荷識別工程により識別された処理負荷状況が高い場合に低い場合と比較して所定の応答を遅く送信し、当該処理負荷状況が低い場合に高い場合と比較して前記所定の応答を早く前記第１の端末に送信する応答送信工程とを含み、
   前記第１の端末が、
   前記応答送信工程により送信された前記所定の応答を受信する応答受信工程と、
   前記応答受信工程により最初に受信された前記所定の応答を前記クライアント端末に送信することで、当該最初に受信された前記所定の応答の送信元となる前記第２の端末と当該クライアント端末とが仮想通信路を確立するように制御する確立制御工程とを含み、
   前記第２の端末が、
   前記応答送信工程により送信された前記所定の応答が前記第１の端末により最初に受信された場合に、前記第１の端末を介することなく、前記クライアント端末と認証を行って共通鍵を交換し、当該クライアント端末と仮想通信路を確立する確立工程を含んだことを特徴とする制御方法。
4. 前記応答送信工程は、前記確立用情報送信工程により送信された前記確立用情報を受信すると、当該確立用情報の送信元となる前記クライアント端末と前記仮想通信路を確立することを許可するか否かを判定し、許可すると判定した場合に所定の応答を前記第１の端末に送信することを特徴とする請求項３に記載の制御方法。
5. 第１の端末と複数ある第２の端末とを有し、当該第２の端末がクライアント端末との間で仮想通信路を確立する仮想通信路接続システムの制御方法をコンピュータに実行させる制御プログラムであって、
   前記第１の端末としてのコンピュータに、
   前記クライアント端末との間で仮想通信路を確立するための情報である確立用情報を含むＳＩＰ接続要求を受信すると、受信した当該ＳＩＰ接続要求に含まれる当該確立用情報を前記複数ある第２の端末各々に送信する確立用情報送信手順を実行させ、
   前記第２の端末としてのコンピュータに、
   自装置における処理負荷状況を識別する処理負荷識別手順と、
   前記確立用情報送信手順により送信された前記確立用情報を受信すると、前記確立用情報を受信すると、前記処理負荷識別手順により識別された処理負荷状況が高い場合に低い場合と比較して所定の応答を遅く送信し、当該処理負荷状況が低い場合に高い場合と比較して前記所定の応答を早く前記第１の端末に送信する応答送信手順とを実行させ、
   前記第１の端末としてのコンピュータに、
   前記応答送信手順により送信された前記所定の応答を受信する応答受信手順と、
   前記応答受信手順により最初に受信された前記所定の応答を前記クライアント端末に送信することで、当該最初に受信された前記所定の応答の送信元となる前記第２の端末と当該クライアント端末とが仮想通信路を確立するように制御する確立制御手順とを実行させ、
   前記第２の端末としてのコンピュータに、
   前記応答送信手順により送信された前記所定の応答が前記第１の端末により最初に受信された場合に、前記第１の端末を介することなく、前記クライアント端末と認証を行って共通鍵を交換し、当該クライアント端末と仮想通信路を確立する確立手順を実行させることを特徴とする制御プログラム。
6. 前記応答送信手順は、前記確立用情報送信手順により送信された前記確立用情報を受信すると、当該確立用情報の送信元となる前記クライアント端末と前記仮想通信路を確立することを許可するか否かを判定し、許可すると判定した場合に所定の応答を前記第１の端末に送信することを特徴とする請求項５に記載の制御プログラム。
7. 第１の端末と複数ある第２の端末とを有し、当該第２の端末がクライアント端末との間で仮想通信路を確立する仮想通信路接続システムにおける当該第１の端末であって、
   クライアント端末との間で仮想通信路を確立するための情報である確立用情報を含むＳＩＰ接続要求を受信すると、受信した当該ＳＩＰ接続要求に含まれる当該確立用情報を、前記複数ある第２の端末各々に送信する確立用情報送信部と、
   前記第２の端末により送信された前記所定の応答を受信する応答受信部と、
   前記応答受信部により最初に受信された前記所定の応答を前記クライアント端末に送信することで、当該最初に受信された前記所定の応答の送信元となる前記第２の端末と当該クライアント端末とが仮想通信路を確立するように制御する確立制御部と
   を有することを特徴とする第１の端末。
8. 第１の端末と複数ある第２の端末とを有し、当該第２の端末がクライアント端末との間で仮想通信路を確立する仮想通信路接続システムにおける当該第２の端末であって、
   自装置における処理負荷状況を識別する処理負荷識別部と、
   前記第１の端末が最初に受信した所定の応答の送信元となる前記第２の端末と前記クライアント端末とが、仮想通信路を確立するように制御する前記第１の端末から、前記クライアント端末との間で仮想通信路を確立するための情報である確立用情報を受信すると、前記処理負荷識別部により識別された処理負荷状況が高い場合に低い場合と比較して前記所定の応答を遅く当該第１の端末に送信し、当該処理負荷状況が低い場合に高い場合と比較して前記所定の応答を早く当該第１の端末に送信する応答送信部と、
   前記応答送信部により送信された前記所定の応答が前記第１の端末により最初に受信された場合に、前記第１の端末を介することなく、前記クライアント端末と認証を行って共通鍵を交換し、当該クライアント端末と仮想通信路を確立する確立部と、
   を有することを特徴とする第２の端末。

Images