JP5901851B2 - 中継装置及び通信方式選択方法及びプログラム - Google Patents

Description

本発明は、内部ネットワーク内の通信装置が外部ネットワークと通信する際の通信方式を複数の通信方式の中から選択する方法に関する。

ＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）によって拠点間を接続する場合は、拠点間でＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスが衝突しないようなネットワーク設計を行う必要がある。
しかしながら、それぞれが独立したプライベートＩＰアドレスで運用中の複数の拠点をＶＰＮで接続する場合などは、拠点間でＩＰアドレスの衝突が発生する可能性がある。
このような不都合を避けるために、ＶＰＮ上でユニークとなる仮想ＩＰアドレスを管理し、拠点のＶＰＮ ＧＷ（ＧａｔｅＷａｙ）装置（以下、ＶＰＮ ＧＷという）や中継センターにおいてＮＡＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ）（非特許文献１）によるアドレス変換を行う方法がある。

ＮＡＴによるアドレス変換を行うＶＰＮ ＧＷの動作を説明する。
例えばある拠点１の端末１（ＩＰアドレス：１９２．１６８．１．２）から拠点２の端末２（ＩＰアドレス：１９２．１６８．１．３）にアクセスする場合を想定する。
拠点１と拠点２のネットワークアドレス（１９２．１６８．１．０／２４）が同じであるため、拠点１の端末１と拠点２の端末２がアドレス変換なしに通信した場合にはアドレスが衝突し、正しくルーティングされない。

そこで、拠点１のＶＰＮ ＧＷ１と拠点２のＶＰＮ ＧＷ２が、それぞれ、他拠点の端末を仮想ＩＰアドレスにより指定する。
例えば、拠点２のＶＰＮ ＧＷ２は端末１の仮想ＩＰアドレスを１０．１０．１０．２と指定し、拠点１のＶＰＮ ＧＷ１は端末２の仮想ＩＰアドレスを１０．１０．２０．３と指定する。
そして、端末１が送信先のアドレスとして端末２の仮想ＩＰアドレスを指定してパケットを送信し、ＶＰＮ ＧＷ１とＶＰＮ ＧＷ２が、次のように仮想ＩＰアドレスと実ＩＰアドレスとの間のアドレス変換を行うことで、プライベートＩＰアドレスの衝突を回避することができる。
１）端末１ → ＶＰＮ ＧＷ１：
送信元：端末１の拠点１内のＩＰアドレス（１９２．１６８．１．２）
送信先：端末２の仮想ＩＰアドレス（１０．１０．２０．３）
２）ＶＰＮ ＧＷ１ → ＶＰＮ ＧＷ２：
送信元：端末１の仮想ＩＰアドレス（１０．１０．１０．２）
送信先：端末２の仮想ＩＰアドレス（１０．１０．２０．３）
３）ＶＰＮ ＧＷ２ → 端末２：
送信元：端末１の仮想ＩＰアドレス（１０．１０．１０．２）
送信先：端末２の拠点２内のＩＰアドレス（１９２．１６８．１．３）

ＲＦＣ２６６３：ＩＰ Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｏｒ （ＮＡＴ） Ｔｅｒｍｉｎｏｌｏｇｙ ａｎｄ Ｃｏｎｓｉｄｅｒａｔｉｏｎｓ

上記のＮＡＴ方式では、ＶＰＮ ＧＷとＶＰＮに接続される端末が同じネットワークセグメントにある場合であれば、端末は、仮想ＩＰアドレスが記述された通信パケットをＶＰＮ ＧＷにルーティングすることができる。
例えば上記の例にてＶＰＮ ＧＷ１のＩＰアドレスが１９２．１６８．１．１００の場合には、端末にてＶＰＮ ＧＷをデフォルトゲートウェイに指定することにより、仮想ＩＰアドレスが指定されたパケットをＶＰＮ ＧＷにルーティングすることができる。
一方、ＶＰＮ ＧＷと端末のネットワークセグメントが異なる場合、例えば、端末１のＩＰアドレスが１９２．１６８．２．２である場合には、ＶＰＮ ＧＷをデフォルトゲートウェイに指定できない。
このため、仮想ＩＰアドレスが記述されたパケットがＶＰＮ ＧＷにルーティングされないという課題がある。
そのため、拠点内に複数のネットワークセグメントがある場合には、既存のルータの設定変更を行う必要があり、ＶＰＮの導入の手間が著しく増加する。

この課題に対して、拠点内の端末からＶＰＮ ＧＷに対してトンネリング接続し、トンネル内に仮想ＩＰアドレスが記述されたパケットを流すという方法がある。
トンネリングのプロトコルとしては例えばＲＦＣ２６３７：ＰＰＴＰ（Ｐｏｉｎｔ−ｔｏ−Ｐｏｉｎｔ Ｔｕｎｎｅｌｉｎｇ Ｐｒｏｔｏｃｏｌ）がある。

拠点内でトンネリング方式による接続を行う場合の端末及びＶＰＮ ＧＷの動作を説明する。
例えば上述の拠点１の端末１のＩＰアドレスが１９２．１６８．２．２の場合、端末１からＶＰＮ ＧＷ１（ＩＰアドレス１９２．１６８．１．１００）にトンネリング接続を行う。
端末１から拠点２の端末２にアクセスを行う場合には、端末１は、端末２の仮想ＩＰアドレスをトンネル処理（カプセル化処理）したパケットをＶＰＮ ＧＷ１に送信すればよい。

上述のＮＡＴ方式のみを使用した通信方法では、適用対象が、ＶＰＮ ＧＷと同一のネットワークセグメントにある端末のみに限られるという課題がある。
トンネリング方式のみを使用した通信方法では、トンネリング接続機能を持たない端末（シーケンサ等の非ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）機器など）をＶＰＮ接続できないという課題がある。
ＮＡＴ方式とトンネリング方式の両方を使用した通信方法では、拠点内の端末をＶＰＮ ＧＷに登録する際に、その端末とＶＰＮ ＧＷのネットワーク内の関係に応じて、どのような中継方式でＶＰＮ接続するかをユーザが選択し、選択した接続方式を設定する必要がある。
そのため、ＶＰＮ ＧＷの設置に高度なネットワークの知識が必要となり、ＶＰＮ ＧＷの設置を円滑に進められないという課題がある。

本発明は上記のような課題を解決することを主な目的とする。
より具体的には、本発明は、ユーザに負担をかけることなく、複数の通信方式の中から適切な通信方式を選択する構成を得ることを主な目的とする。

本発明に係る中継装置は、
複数のネットワークセグメントに分割されている内部ネットワークのいずれかのネットワークセグメントに属し、
前記内部ネットワークと前記内部ネットワーク外の外部ネットワークとの間の通信を、複数の通信方式の中から選択された通信方式に対応させて中継する中継装置であって、
前記内部ネットワークに属するいずれかの通信装置から、当該通信装置の通信アドレス及び前記内部ネットワークに属する他の通信装置の通信アドレスのいずれかを、通信方式の選択対象である選択対象通信装置の通信アドレスとして、通知するアドレス通知情報を受信するアドレス通知情報受信部と、
前記選択対象通信装置の通信アドレスと前記中継装置の通信アドレスとに基づき、前記選択対象通信装置が前記中継装置と同じネットワークセグメントに属しているか否かを判定するセグメント判定部と、
前記セグメント判定部による判定結果に基づき、前記選択対象通信装置と前記外部ネットワークとの間の通信方式を前記複数の通信方式の中から選択する通信方式選択部とを有することを特徴とする。

本発明に係る中継装置は、選択対象通信装置が中継装置と同じサブネットワークに属しているか否かを判定し、判定結果に基づき選択対象通信装置と外部ネットワークとの間の通信方式を選択している。
このため、本発明によれば、ユーザに負担をかけることなく、適切な通信方式を選択することができる。

実施の形態１に係るＶＰＮシステムの構成例を示す図。 実施の形態１に係るＶＰＮ ＧＷの構成例を示す図。 実施の形態１に係るＶＰＮサーバの構成例を示す図。 実施の形態１に係るＮＡＴ方式、トンネリング方式及びＮＡＰＴ方式の設定例を示す図。 実施の形態１に係る端末登録画面の例を示す図。 実施の形態１に係る設定結果情報の例を示す図。 実施の形態１に係るＶＰＮ ＧＷの動作例を示すフローチャート図。 実施の形態１に係るＶＰＮ ＧＷのハードウェア構成例を示す図。

実施の形態１．
以下では、本発明に係るＶＰＮシステムの実施の形態について説明する。
以下に説明する実施の形態は、本発明の一例を示すものであって、具体的構成を限定するものではない。

図１は、本実施の形態に係るＶＰＮシステムの構成例を示す。

図１において、拠点１と拠点２の間で外部ネットワーク及び管理サーバ３を介してＶＰＮ接続が行われる。
拠点１内のネットワーク、拠点２内のネットワークを、それぞれ内部ネットワークともいう。
拠点１のルータ２１と拠点２のルータ２２と管理サーバ３のＶＰＮサーバ４１は外部ネットワークに接続される。
外部ネットワークは有線あるいは無線によるインターネットを用いることができる。
なお、図１では省略されているが、外部ネットワークと内部ネットワークとの接続部分にはファイアウォールやプロキシーサーバが配置されていてもよい。
また、複数台のルータをカスケード接続してもよい。

拠点１のプライベートネットワーク（内部ネットワーク）は、ネットワークセグメント１（１９２．１６８．１．０／２４）及びネットワークセグメント２（１９２．１６８．２．０／２４）に分割される。
そして、ネットワークセグメント１とネットワークセグメント２が、ルータ２１を介して外部ネットワークに接続される。
ネットワークセグメント１には、ＶＰＮ ＧＷ１１と端末３１が接続され、ネットワークセグメント２には、端末３２及び端末３３が接続されている。
拠点２のプライベートネットワークは、ネットワークセグメント３（１９２．１６８．１．０／２４）がルータ２２を介して外部ネットワークに接続されている。
ネットワークセグメント３にはＶＰＮ ＧＷ１２と端末３４が接続されている。
ＶＰＮ ＧＷ１１及びＶＰＮ ＧＷ１２は、仮想ネットワーク管理装置である。
ＶＰＮ ＧＷ１１及びＶＰＮ ＧＷ１２は、ＶＰＮサーバ４１との間でＶＰＮ接続を行う。
端末３１〜３４は、例えば、ＰＣ、サーバ、タブレット、スマートフォン等のユーザインタフェースを含むコンピューティングデバイスである。
また、端末３１〜３４は、シーケンサ、生産装置、電力計測機器等を含むネットワーク接続機器であってもよい。
ＶＰＮ ＧＷ１１及びＶＰＮ ＧＷ１２は、拠点内の端末と外部ネットワークとの間の通信方式を複数の通信方式の中から選択する。
また、ＶＰＮ ＧＷ１１及びＶＰＮ ＧＷ１２は、拠点内の端末と外部ネットワークとの間の通信を、選択した通信方式に対応させて中継する。
なお、ＶＰＮ ＧＷ１１及びＶＰＮ ＧＷ１２は、中継装置の例に相当する。
また、端末３１〜３４は、通信装置の例に相当する。

拠点１のネットワークセグメント１と拠点２のネットワークセグメント３は同じネットワークアドレス１９２．１６８．１．０／２４が使用されている。
このため、ＶＰＮにより２拠点を実ＩＰアドレスを用いて接続すると、ＩＰアドレスが重複して通信を行うことができない場合がある。
例えば、端末３１と端末３４はＩＰアドレスが重複する。
そのため、ＶＰＮ ＧＷ〜ＶＰＮサーバ〜ＶＰＮ ＧＷの間のＶＰＮ上では、端末がユニークに識別可能な仮想ＩＰアドレスを使用する。
以下では仮想ＩＰアドレスの管理、払い出しはＶＰＮサーバ４１で集中管理する場合の例を説明する。
しかしながら、各ＶＰＮ ＧＷが仮想ＩＰアドレスの管理及び払い出しを行う構成であってもよい。
本実施の形態では、以下の仮想ＩＰアドレスを想定する。
拠点１のネットワークアドレスを１０．１０．１０．０／２４と想定する。
拠点２のネットワークアドレスを１０．１０．２０．０／２４と想定する。
端末３１の仮想ＩＰアドレスを１０．１０．１０．２と想定する。
端末３２の仮想ＩＰアドレスを１０．１０．１０．３と想定する。
端末３３の仮想ＩＰアドレスを１０．１０．１０．４と想定する。
端末３４の仮想ＩＰアドレスを１０．１０．２０．２と想定する。

ＶＰＮ ＧＷ１１は、拠点１内の登録された端末から拠点２に対応する仮想ＩＰアドレスを有する通信パケットを受信する。
そして、ＶＰＮ ＧＷ１１は、ＶＰＮサーバ４１との間のＶＰＮトンネルを通じてその通信パケットをＶＰＮサーバ４１に転送する。
ＶＰＮサーバ４１は、その通信パケットの仮想ＩＰアドレスにより、拠点２にルーティングを行う。
そして、ＶＰＮサーバ４１は、ＶＰＮサーバ４１とＶＰＮ ＧＷ１２との間のＶＰＮトンネルを通じてその通信パケットをＶＰＮ ＧＷ１２に送信する。
ＶＰＮ ＧＷ１２は、受信した通信パケットを対応する拠点２内の端末に送信する。
以上述べたように、拠点間にてプライベートＩＰアドレスが重複する場合であっても拠点間の通信が可能となる。
また、管理サーバ３は、本実施の形態においてはＶＰＮの通信データを中継するが、拠点間の接続管理のみを管理サーバで行い、管理サーバ３を経由せずに拠点１と拠点２の間でピアツーピア通信が行われる構成としてもよい。

次に、図２及び図３を参照して、ＶＰＮ ＧＷ１１及びＶＰＮサーバ４１のより詳細な説明を行う。
なお、ＶＰＮ ＧＷ１２はＶＰＮ ＧＷ１１と同様の構成であるため説明を省略する。

図２に示すように、ＶＰＮ ＧＷ１１は、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）インタフェース部１１０を介して拠点内のプライベートネットワークに接続される。
また、ＶＰＮ ＧＷ１１は、ＶＰＮ接続クライアント部１２０、アドレス・ポート変換部１３０、トンネリング接続部１４０、アドレス判定部１５０、接続方式設定部１６０、接続設定サーバ部１７０を備える。

図３に示すように、ＶＰＮサーバ４１は、ＶＰＮ接続管理部４１０、ＶＰＮ接続サーバ部４２０、仮想ＩＰアドレス割当部４３０を備える。

ＶＰＮ ＧＷ１１において、ＬＡＮインタフェース部１１０は、前述の通り、有線ＬＡＮに対応したインタフェースであってもよいし、無線ＬＡＮに対応したインタフェースであってもよい。
ＶＰＮ ＧＷ１１が有線ＬＡＮに接続されている場合は、ＬＡＮインタフェース部１１０として、例えば、イーサネット（登録商標）のインタフェースを用いることができる。
また、図２では、１つのＬＡＮインタフェース部を図示しているが、ＶＰＮ ＧＷ１１に２つ以上のＬＡＮインタフェースを持たせることも可能である。
例えば、ＶＰＮに接続するためのＬＡＮインタフェースと、拠点内の端末と接続するためのＬＡＮインタフェースとを持たせるという構成を取ることもできる。

ＶＰＮ接続クライアント部１２０は、ＶＰＮ接続サーバ部４２０との間でＶＰＮトンネルを確立する。
ＶＰＮトンネルの確立は、周知のＶＰＮソフトウェアやハードウェアを利用して実現することができる。
本実施の形態においては、ＯｐｅｎＶＰＮにてＶＰＮトンネルを確立する例にて説明を行う。
ＶＰＮ接続に先立って、ＶＰＮ ＧＷ１１の管理者は、ＶＰＮサーバ４１のＶＰＮ接続管理部４１０にアクセスし、ＶＰＮ ＧＷ１１及び拠点内のＶＰＮ接続端末の情報を登録する。

ＶＰＮ接続管理部４１０は、例えばＷｅｂアプリケーション等により実装される。
ＶＰＮ ＧＷ１１の管理者が、拠点内の端末からＷｅｂブラウザあるいは専用クライアントアプリケーションを用いてＶＰＮ接続管理部４１０にアクセスし、ＶＰＮ ＧＷの識別子、ＶＰＮに接続される拠点内の端末のＩＰアドレスをＶＰＮ接続管理部４１０に登録する。
登録されたＶＰＮ ＧＷ用の仮想ＩＰアドレス、登録された端末用の仮想ＩＰアドレスが仮想ＩＰアドレス割当部４３０により割り当てられる。
そして、仮想ＩＰアドレス割当部４３０により割り当てられた仮想ＩＰアドレスが、ＶＰＮ接続サーバ部４２０に保存される。
仮想ＩＰアドレスの割当方法は、同じＶＰＮに接続されるＶＰＮ ＧＷや端末がユニークに識別できればいかなる方法でもよい。
例えば前述のように、ＶＰＮ ＧＷごとに、ＶＰＮ ＧＷの配下の端末に利用可能な仮想ＩＰアドレスの範囲を予め割り当てておく方法などが利用できる。

ＶＰＮ ＧＷ１１のアドレス・ポート変換部１３０は、ＬＡＮインタフェース部１１０がＬＡＮから受信した通信パケット及びＶＰＮ接続クライアント部１２０がＶＰＮから受信した通信パケットのＩＰアドレス及びポート番号の変換を行う。
後述する接続方式設定部１６０は、図６に示す設定結果情報を保持している。
設定結果情報は、実ＩＰアドレスと仮想ＩＰアドレスと接続方式（ＮＡＴ方式、トンネリング方式、ＮＡＰＴ方式）とが対応付けられている情報である。
アドレス・ポート変換部１３０は、設定結果情報を参照して、ＩＰアドレス及びポート番号の変換を行う。
なお、設定結果情報の詳細は、後述する。

アドレス・ポート変換部１３０によるＩＰアドレス及びポート番号の変換は、次の規則に基づいて行われる。

（１）ＮＡＴ方式（ＶＰＮから受信したパケット）
ＶＰＮ接続クライアント部１２０が受信した通信パケットの送信先ＩＰアドレスが設定結果情報においてＮＡＴ方式と対応付けて登録されている仮想ＩＰアドレスに合致する場合に、アドレス・ポート変換部１３０は、仮想ＩＰアドレスである送信先ＩＰアドレスを、対応する実ＩＰアドレスに変換する。
そして、アドレス・ポート変換部１３０は、アドレス変換後の通信パケットをＬＡＮインタフェース部１１０に送信する。
（２）ＮＡＴ方式（拠点内の端末から受信したパケット）
ＬＡＮインタフェース部１１０が受信した通信パケットの送信元ＩＰアドレスが設定結果情報においてＮＡＴ方式と対応付けて登録されている実ＩＰアドレスに合致し、送信先ＩＰアドレスが設定結果情報においてＮＡＴ方式と対応付けて登録されている仮想ＩＰアドレスに合致する場合に、アドレス・ポート変換部１３０は、実ＩＰアドレスである送信元ＩＰアドレスを、対応する仮想ＩＰアドレスに変換する。
そして、アドレス・ポート変換部１３０は、アドレス変換後の通信パケットをＶＰＮ接続クライアント部１２０に送信する。

（３）ＮＡＰＴ方式（ＶＰＮから受信したパケット）
ＶＰＮ接続クライアント部１２０が受信した通信パケットの送信先ＩＰアドレスが設定結果情報においてＮＡＰＴ方式と対応付けて登録されている仮想ＩＰアドレスに合致する場合に、アドレス・ポート変換部１３０は、仮想ＩＰアドレスである送信先ＩＰアドレスを、対応する実ＩＰアドレスに変換する。
さらに、アドレス・ポート変換部１３０は、送信元ＩＰアドレス及び送信元ポート番号及びＶＰＮ ＧＷ１１にて新たに取得したポート番号を関連付けて変換テーブルに登録する。
また、アドレス・ポート変換部１３０は、送信元ＩＰアドレスをＶＰＮ ＧＷ１１の拠点内ＩＰアドレスに変換し、送信元ポート番号を新たに取得したポート番号に変換する。
そして、アドレス・ポート変換部１３０は、アドレス及びポート番号を変換した後の通信パケットをＬＡＮインタフェース部１１０に送信する。

（４）ＮＡＰＴ方式（拠点内の端末から受信したパケット）
ＬＡＮインタフェース部１１０が受信した通信パケットの送信元ＩＰアドレスが設定結果情報においてＮＡＰＴ方式と対応付けて登録されている実ＩＰアドレスに合致する場合に、アドレス・ポート変換部１３０は、実ＩＰアドレスである送信元ＩＰアドレスを、対応する仮想ＩＰアドレスに変換する。
また、アドレス・ポート変換部１３０は、送信先ポート番号を元に（３）の変換テーブルを検索し、合致するレコードの送信元ＩＰアドレスと送信元ポート番号をそれぞれ送信先ＩＰアドレスと送信先ポート番号にセットする。
そして、アドレス・ポート変換部１３０は、アドレス及びポート番号を変換した後の通信パケットをＶＰＮ接続クライアント部１２０に送信する。

図４は、アドレス・ポート変換部１３０がＩＰアドレス及びポート番号を変換するための設定例を示す。
図４は、Ｌｉｎｕｘ（登録商標） ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）に搭載されているｉｐｔａｂｌｅｓを用いた場合の設定例を示す。

図４の例では、拠点１の端末３１を宛先とする通信パケットに記述されているアドレス及び拠点１の端末３１からの通信パケットに記述されているアドレスはＮＡＴ方式により変換される。
具体的には、図４の５行目及び１７行目に、上記（１）ＮＡＴ方式（ＶＰＮから受信したパケット）の変換の設定が記述されている。
図４の設定例で定義されている仮想ＩＰアドレスは１０．１０．１０．２であり、実ＩＰアドレスは１９２．１６８．１．２である。
また、７行目及び２０行目に、上記（２）ＮＡＴ方式（拠点内の端末から受信したパケット）の変換の設定が記述されている。
送信先ＩＰアドレスとして定義されている仮想ＩＰアドレスは、拠点２の仮想ＩＰアドレス範囲である１０．１０．２０．０／２４である。

また、図４の例では、拠点１の端末３３を宛先とする通信パケットに記述されているアドレスとポート番号及び拠点１の端末３３からの通信パケットに記述されているアドレスとポート番号はＮＡＰＴ方式により変換される。
具体的には、６行目、９行目、１０行目、１１行目及び１８行目に、上記（３）ＮＡＰＴ方式（ＶＰＮから受信したパケット）の変換の設定が記述されている。
ここでは送信先ＩＰアドレスがＮＡＰＴ方式と対応付けて登録されている仮想ＩＰアドレスに合致するかどうかの判定として２段階のステップを踏んでいる。
まず、送信先ＩＰアドレスが、６行目に定義されている仮想ＩＰアドレスに合致する場合に、送信先ＩＰアドレスを、６行目に記載の実ＩＰアドレスに変換する。
そして、９、１０行目にて、変換後の実ＩＰアドレスがＮＡＰＴ方式を利用しないＩＰアドレス（ここではセグメント１のアドレス及び端末３２の仮想ＩＰアドレス１０．１０．１０．３）に合致する場合には、現在対象としている送信先ＩＰアドレスが含まれた通信パケットにはＮＡＰＴ方式を利用しないと判定する。
それ以外、すなわち、変換後の実ＩＰアドレスがＮＡＰＴ方式を利用するＩＰアドレスに合致する場合には、１１行目に進んで送信元ＩＰアドレス・ポートの変換を行う。
１１行目では、送信元ＩＰアドレスが拠点１と異なる拠点の仮想ＩＰアドレス（ここでは拠点２の仮想ＩＰアドレス範囲１０．１０．２０．０／２４）であり、送信先ＩＰアドレスがＬＡＮインタフェース部１１０に転送されるべきアドレスである場合に、ＮＡＰＴ方式による送信元ＩＰアドレス・ポート変換を行う。変換前の送信元ＩＰアドレス、ポート番号および変換後のポート番号の関連付けはｉｐｔａｂｌｅｓにて管理される。
６行目に記載の仮想ＩＰアドレスは１０．１０．１０．４であり、実ＩＰアドレスは１９２．１６８．２．３である。

また、８行目、１１行目及び２１行目にて、上記（４）ＮＡＰＴ方式（拠点内の端末から受信したパケット）の変換の設定を行う。
まず、１１行目にて上記（３）の逆変換を実行する。すなわち、送信先ＩＰアドレス、ポート番号が、上記（３）の変換後の送信元ＩＰアドレス、ポート番号に合致する場合に、送信先ＩＰアドレス、ポート番号を（３）の変換前の送信元ＩＰアドレス、ポート番号に変換する。８行目、２１行目には、送信元ＩＰアドレスの変換の設定が記述されている。送信元ＩＰアドレスが実ＩＰアドレス１９２．１６８．２．３であり、送信先ＩＰアドレスが拠点２の仮想ＩＰアドレス範囲である１０．１０．２０．０／２４の場合に、送信元ＩＰアドレスを仮想ＩＰアドレス１０．１０．１０．４に変換する。
なお、１０行目、１９行目、２２行目は、端末３２がトンネリング方式を使用する場合の設定例を示している。
つまり、１０行目、１９行目、２２行目は、アドレス変換を行わずにトンネリング接続部１４０とＶＰＮ接続クライアント部１２０の間の通信パケットの転送のみを行う設定を示す。
また、図４でｅｔｈ０はＬＡＮインタフェース部１１０のインタフェース名を示す。
また、ｔｕｎ０はＶＰＮ接続クライアント部１２０のインタフェース名を示す。
図４の設定は一例であり、同等のことを別の設定により実現可能であることは当業者には明らかである。
図４の設定には、接続方式設定部１６０により生成された設定結果情報に示されるアドレス及び接続方式が反映されている。

トンネリング接続部１４０は、拠点内の端末からのトンネリング接続要求を受け付けて拠点内の端末とトンネリング接続部１４０との間にトンネリング接続を確立する。
トンネリング接続部１４０は、トンネルを介して受信したパケットをＶＰＮ接続クライアント部１２０に送信する。
また、トンネリング接続部１４０は、ＶＰＮ接続クライアント部１２０が受信したパケットの送信先ＩＰアドレスが設定結果情報においてトンネリング方式と対応付けて登録されている仮想ＩＰアドレスに合致する場合に、その仮想ＩＰアドレスに関連するトンネルに対してパケットを送信する。

トンネリング接続部１４０としてはＰＰＴＰ（Ｐｏｉｎｔ−ｔｏ−Ｐｏｉｎｔ Ｔｕｎｎｅｌｉｎｇ Ｐｒｏｔｏｃｏｌ）サーバ等が利用可能である。
ＰＰＴＰサーバは、Ｌｉｎｕｘ（登録商標） ＯＳ上で動作するｐｐｔｐｄソフトウェアで実現が可能である。
なお、このトンネリング接続は拠点内の通信を行うものであるため、データの暗号化を行う必要は無い。
暗号化を行わないことによりＶＰＮ ＧＷの処理量を削減することができる。
端末３２からＰＰＴＰサーバへの接続には、Ｗｉｎｄｏｗｓ（登録商標） ＯＳの場合、ＯＳに標準で付属するインターネット接続（ＶＰＮ）の機能を使用することができる。

接続設定サーバ部１７０は、例えばＷｅｂアプリケーション等により実装される。
接続設定サーバ部１７０は、ＶＰＮに接続される拠点内の端末のＩＰアドレスの登録及び接続方式の設定を行う。
ユーザが拠点内の端末においてＷｅｂブラウザあるいは専用クライアントアプリケーションを操作して、ＩＰアドレスの登録をＶＰＮ接続管理部４１０又は接続設定サーバ部１７０に要求し、ＶＰＮ接続管理部４１０又は接続設定サーバ部１７０がＩＰアドレスの登録及び接続方式の設定を行う。
ＶＰＮ接続管理部４１０と接続設定サーバ部１７０との間のＩＰアドレスの登録の同期方法は例えば以下の２つがある。
１つ目は、ＶＰＮ接続管理部４１０が登録した複数のＩＰアドレスをＶＰＮ ＧＷに配信し、接続設定サーバ部１７０が複数のＩＰアドレスを登録する。
２つ目は、接続設定サーバ部１７０が登録した複数のＩＰアドレスをＶＰＮ接続管理部４１０にアップロードし、ＶＰＮ接続管理部４１０が複数のＩＰアドレスを登録する。
また、接続設定サーバ部１７０は、拠点内の端末からのアクセスにより、新しくＶＰＮに接続される端末の登録の指示を受け付ける。
接続設定サーバ部１７０は、例えば、登録作業を実行する端末（以下、登録実行端末ともいう）に対して、ＩＰアドレスの入力のための画面情報（Ｗｅｂ画面）を送信する。
そして、ユーザが、登録実行端末に表示されたＷｅｂ画面上のＩＰアドレスの入力用のテキスト入力欄に登録対象の端末（選択対象通信装置）のＩＰアドレスを入力する。
または、ユーザは、登録実行端末に表示されたＷｅｂ画面上の登録対象候補のＩＰアドレスの一覧からチェックボックス等により登録対象の端末（選択対象通信装置）のＩＰアドレスを選択する。
ユーザは、登録実行端末（ユーザが現在操作している端末）と同じネットワークセグメントに属する、登録実行端末以外の端末のＩＰアドレスを登録対象にすることができる。
そして、ユーザがＷｅｂ画面上の登録ボタンを押下することで、登録対象のＩＰアドレスの情報が端末からＶＰＮ ＧＷ１１に送信される。
また、接続設定サーバ部１７０は、登録実行端末のＩＰアドレスを取得する。
接続設定サーバ部１７０がＷｅｂアプリケーションの場合、接続設定サーバ部１７０は、ＲＦＣ３８７５（Ｔｈｅ Ｃｏｍｍｏｎ Ｇａｔｅｗａｙ Ｉｎｔｅｒｆａｃｅ （ＣＧＩ） Ｖｅｒｓｉｏｎ １．１）にて定められているＲＥＭＯＴＥ＿ＡＤＤＲにより、ブラウザを実行した端末のＩＰアドレスを知ることができる。
また、例えば、接続設定サーバ部１７０がＪａｖａ（登録商標）によるサーブレットであれば、接続設定サーバ部１７０は、ｇｅｔＲｅｍｏｔｅＡｄｄｒ（）なるＡＰＩを使用することにより、ブラウザを実行した端末のＩＰアドレスを知ることができる。
その他の実行環境が用いられている場合にも、接続設定サーバ部１７０は、同等の機能により、ブラウザを実行した端末のＩＰアドレスを知ることができる。
なお、接続設定サーバ部１７０は、アドレス通知情報受信部及び画面情報送信部の例に相当する。

図５は、接続設定サーバ部１７０が登録実行端末に対して送信する端末登録画面（Ｗｅｂ画面）の一例を示す。
端末登録画面５００には、ラジオボタン５０１、テキストボックス５０２、ラジオボタン５０３、テキストボックス５０４、登録ボタン５０５が含まれる。
ラジオボタン５０１は、登録実行端末（図５の例では端末３１）を選択するためのラジオボタンである。
テキストボックス５０２は、登録実行端末のＩＰアドレスが表示されるテキストボックスである。
ユーザがラジオボタン５０１を選択した際に、接続設定サーバ部１７０が上記の方法にて取得した、登録実行端末のＩＰアドレスがテキストボックス５０２に自動で表示される。
なお、この方法に代えて、ユーザが、テキストボックス５０２に登録実行端末のＩＰアドレスを入力するようにしてもよい。
ラジオボタン５０３は、登録実行端末とは異なる他の端末を選択するためのラジオボタンである。
テキストボックス５０４は、他の端末のＩＰアドレスを入力するためのテキストボックスである。
登録ボタン５０５は、ＩＰアドレスの登録を実行するためのボタンである。
ユーザは端末に表示された図５の画面にて、登録対象の端末が、ユーザが利用中の端末（登録実行端末）であるか別の端末であるのかを選択する。
そして、登録対象の端末が別の端末であれば、別の端末のＩＰアドレスをテキストボックス５０４に入力する。
登録実行端末のＩＰアドレス又は別の端末のＩＰアドレスがテキストボックスに表示された状態で、ユーザが登録ボタン５０５を押すと、テキストボックス内のＩＰアドレス（登録対象のＩＰアドレス）を通知する情報が接続設定サーバ部１７０に送信される。
なお、図５の画面を表示する前に、ユーザのログイン画面を表示する等のセキュリティ対策が可能であることは当業者には明らかである。

アドレス判定部１５０は、ユーザからの情報（ラジオボタンの選択結果、テキストボックスに記述されている実ＩＰアドレス）を接続設定サーバ部１７０から入力する。
また、アドレス判定部１５０は、ＬＡＮインタフェース部１１０に設定されたＶＰＮ ＧＷ１１のＩＰアドレス及びネットマスクを接続設定サーバ部１７０から入力する。
これらの入力情報に基づき、アドレス判定部１５０は、以下の３タイプの中から１つのタイプを選択する。
（タイプ１）
登録対象のＩＰアドレスがＶＰＮ ＧＷ１１と同じネットワークセグメントに含まれるアドレスの場合
例）端末３１（ＩＰアドレス１９２．１６８．１．２）にて、端末３１自身のＩＰアドレスの登録を行う場合は、端末３１のＩＰアドレスは、ＶＰＮ ＧＷ１１と同じネットワークセグメントに含まれる。
（タイプ２）
登録実行端末のＩＰアドレスが登録対象のＩＰアドレスであり、かつ、登録対象のＩＰアドレスがＶＰＮ ＧＷ１１と同じネットワークセグメントに含まれない場合
例）端末３２（ＩＰアドレス１９２．１６８．２．２）にて、端末３２自身の登録を行う場合は、端末３２のＩＰアドレスは、ＶＰＮ ＧＷ１１と同じネットワークセグメントに含まれない。
（タイプ３）
登録実行端末のＩＰアドレスが登録対象のＩＰアドレスではなく、かつ、登録対象のＩＰアドレスがＶＰＮ ＧＷ１１と同じネットワークセグメントに含まれない場合
例）端末３１（ＩＰアドレス１９２．１６８．１．２）にて、端末３３（ＩＰアドレス１９２．１６８．２．３）の登録を行う場合は、端末３３のＩＰアドレスは、ＶＰＮ ＧＷ１１と同じネットワークセグメントに含まれない。
なお、アドレス判定部１５０は、登録対象のＩＰアドレスがＶＰＮ ＧＷ１１と同じネットワークセグメントに含まれるか否かを判定し（タイプ１の判定）、登録対象のＩＰアドレスがＶＰＮ ＧＷ１１と同じネットワークセグメントに含まれない場合に、登録実行端末のＩＰアドレス＝登録対象のＩＰアドレスであるか否かを判定する（タイプ２、タイプ３の判定）。
アドレス判定部１５０は、セグメント判定部の例に相当する。

接続方式設定部１６０は、アドレス判定部１５０による判定結果に基づき、登録対象の端末の接続方式（通信方式）を以下のように選択する。
そして、接続方式設定部１６０は、アドレス・ポート変換部１３０あるいはトンネリング接続部１４０に対して、接続方式や登録対象端末のＩＰアドレス等の情報の設定を行う。
（タイプ１）
アドレス・ポート変換部１３０によるＮＡＴ方式による接続
（タイプ２）
トンネリング接続部１４０によるトンネリング方式による接続
（タイプ３）
アドレス・ポート変換部１３０によるＮＡＰＴ方式による接続
また、接続方式設定部１６０は、選択の結果を接続設定サーバ部１７０に返してもよい。
この場合は、接続設定サーバ部１７０が、ユーザに対し、接続設定サーバ部１７０により選択された接続方式を了承するか否かの確認を促す画面を提示するようにしてもよい。
また、接続設定サーバ部１７０が、追加で必要となる情報（トンネリング接続のパスワード等のパラメータ）をユーザに入力させる画面を提示するようにしてもよい。
さらには、接続設定サーバ部１７０が、ユーザに対して登録対象端末の設定方法を表示する画面を提示するようにしてもよい。
例えば、接続設定サーバ部１７０は、ＮＡＴ方式が選択された場合は登録対象端末のルーティング設定を変更するために、ｒｏｕｔｅコマンドの実行方法を示す。
あるいは、接続設定サーバ部１７０は、デフォルトゲートウェイの変更方法を示す。
また、トンネリング方式が選択された場合にも、接続設定サーバ部１７０は、登録対象端末のトンネリング接続の作成方法をＯＳごとに示す。
さらには、接続設定サーバ部１７０は、これらの方法を示すのみではなく、登録対象端末でこれらの設定を行うプログラムを、ダウンロード可能としてもよい。例えば、ＮＡＴ方式が選択された場合に、登録対象端末のルーティング設定を行うために、ｒｏｕｔｅコマンドと入力パラメータ（ルーティング設定内容）を合わせた内容の実行可能プログラムをダウンロードしてユーザが実行可能とすることで、面倒なコマンドおよびパラメータ入力の手間を省くことができる。同様に、トンネリング方式が選択された場合に、登録対象端末のトンネリング接続を自動作成するプログラムを設定内容（接続先ＩＰアドレスや接続パラメータ等）を含めて接続設定サーバ部１７０が作成し、ユーザにダウンロード、実行させることで、面倒なトンネリング接続作成の手間を省くことができる。

アドレス判定部１５０によりタイプ１と判定された場合は、登録対象端末がＶＰＮ ＧＷ１１と同じネットワークセグメントに属しているので、登録対象端末はＶＰＮ ＧＷ１１をデフォルトゲートウェイに指定することができる。
このため、接続方式設定部１６０は、アドレス判定部１５０の判定結果がタイプ１である場合は、ＮＡＴ方式を選択する。
また、アドレス判定部１５０によりタイプ２と判定された場合は、登録対象端末と登録実行端末が同じである。
本実施の形態では、登録実行端末はＰＣ機器であることを想定している。
このため、アドレス判定部１５０によりタイプ２と判定された場合は、登録対象端末（＝登録実行端末）がＰＣ機器であるため、登録対象端末において通信パケットのカプセル化処理が可能であり、接続方式設定部１６０は、トンネリング方式を選択する。
また、アドレス判定部１５０によりタイプ３と判定された場合は、登録対象端末と登録実行端末が同じではない。
本実施の形態では、ＰＣ機器である登録実行端末が、シーケンサ等の非ＰＣ機器の登録作業を代行することを想定している。
このため、アドレス判定部１５０によりタイプ３と判定された場合は、登録対象端末が非ＰＣ機器であるため、登録対象端末において通信パケットのカプセル化処理ができず、接続方式設定部１６０は、ＮＡＰＴ方式を選択する。

接続方式設定部１６０は、さらに、設定結果情報をデータベースとして保存するようにしてもよい。
図６に設定結果情報のテーブルの例を示す。
図６において、番号はテーブルのレコードの連番である。
図６に示すように、設定結果情報では、拠点内の実ＩＰアドレスと対応する仮想ＩＰアドレス、及び接続方式が関連付けて記録される。
データベースはＲＤＢＭＳ（Ｒｅｌａｔｉｏｎａｌ ＤａｔａＢａｓｅ Ｍａｎａｇｅｍｅｎｔ Ｓｙｓｔｅｍ）やファイルなどにより保存することができる。
また、レコードの項目として、端末名や登録日、登録抹消日、ステータス（有効／無効）、ネットマスク、ゲートウェイ、その他の属性項目を設定結果情報に含むようにしてもよい。
なお、接続方式設定部１６０は、通信方式選択部の例に相当する。

次に動作について説明する。
図７は、本実施の形態に係るＶＰＮ ＧＷ１１のＶＰＮ接続端末登録設定動作を示すフローチャートである。

ユーザが、ある端末をＶＰＮ接続のためにＶＰＮ ＧＷ１１に登録する場合、拠点内の端末（登録実行端末）においてＷｅｂブラウザやクライアントアプリケーションを用いて、ＶＰＮ ＧＷ１１の接続設定サーバ部１７０に接続する（Ｓ１０１）。
その際、接続設定サーバ部１７０は、登録実行端末の実ＩＰアドレスを取得する（Ｓ１０２）。
また、接続設定サーバ部１７０は、取得した実ＩＰアドレスの表示を含む端末登録画面（図５）を登録実行端末に出力する（Ｓ１０３）。

ユーザはラジオボタン５０１又はラジオボタン５０３により登録対象の端末を選択する。
ラジオボタン５０１を選択した場合は、ユーザは、登録ボタン５０５を押下する。
登録実行端末とは別の端末を登録する場合には、ユーザは、その登録対象端末（別の端末）の実ＩＰアドレスをテキストボックス５０４に入力して、登録ボタン５０５を押下する（Ｓ１０４）。

接続設定サーバ部１７０が、ユーザからの情報（ラジオボタンの選択結果、テキストボックスに記述されている実ＩＰアドレス）を受信し、ユーザからの情報と、ＶＰＮ ＧＷ１１のＩＰアドレス及びネットマスクの情報をアドレス判定部１５０に出力する。
アドレス判定部１５０は、ユーザからの情報と、ＶＰＮ ＧＷ１１のＩＰアドレス及びネットマスクの情報から、登録のタイプを判定する（Ｓ１０５）。
アドレス判定部１５０の判定結果がタイプ１である場合には、接続方式設定部１６０は、ＮＡＴ方式による接続を選択し、ＮＡＴ方式による接続の設定を行う（Ｓ１０６）（図４の５、７、１７、２０行目の記述を生成する）。
アドレス判定部１５０の判定結果がタイプ２である場合には、接続方式設定部１６０は、トンネリング方式による接続を選択し、トンネリング方式による接続の設定を行う（Ｓ１０７）（図４の１９、２２行目の記述を生成する）。
アドレス判定部１５０の判定結果がタイプ３である場合には、接続方式設定部１６０は、ＮＡＰＴ方式による接続を選択し、ＮＡＰＴ方式による接続の設定を行う（Ｓ１０８）（図４の６、８〜１１、１８、２１行目の記述を生成する）。
そして、接続方式設定部１６０は、設定結果情報をデータベースに保存する（Ｓ１０９）。
最後に、接続設定サーバ部１７０が登録実行端末に登録完了画面を出力して（Ｓ１１０）、登録が完了する。

以上述べたように、本実施の形態に係るＶＰＮ ＧＷは、登録実行端末による登録実行アクセス時に取得したＩＰアドレスと、ユーザ入力による登録対象端末のＩＰアドレスと、ＶＰＮ ＧＷのＩＰアドレス及びネットマスクの情報を用いて登録のタイプを判定する。
そして、本実施の形態に係るＶＰＮ ＧＷは、タイプごとに適した接続方式を自動的に設定できる。
このため、複数のセグメントがあるようなネットワークであっても、ユーザがネットワークの構成を意識することなく、簡易にＶＰＮ接続設定ができる。

以上、本実施の形態では、複数の拠点をＶＰＮを介して接続するために拠点内に置かれる仮想ネットワーク管理装置を説明した。
より具体的には、
仮想ネットワークに接続される端末を登録する際に登録を実行する登録実行端末から接続され、仮想ネットワークに接続される登録対象端末の接続設定を入力する接続設定サーバ部と、
登録実行端末と登録対象端末と仮想ネットワーク管理装置自身のＩＰアドレス情報からネットワーク接続状況を判定するアドレス判定部と、
登録対象端末をＶＰＮに接続する第一の仮想ネットワーク接続部と、
第二の仮想ネットワーク接続部と、
アドレス判定部の判定結果から登録対象端末の接続方式として第一の仮想ネットワーク接続部または第二の仮想ネットワーク接続部を選択し、選択した選択方式を設定する接続方式設定部を備える仮想ネットワーク管理装置を説明した。

また、本実施の形態では、前記第一の仮想ネットワーク接続部が、拠点内とＶＰＮの間の通信パケットのＩＰアドレスとポート番号を変換するアドレス・ポート変換部であることを説明した。
さらに、前記アドレス・ポート変換部が、第一のアドレス・ポート変換方式として、
拠点内の端末から別の拠点の端末への通信パケットに対して、送信元ＩＰアドレスを対応するＶＰＮ上の仮想ＩＰアドレスに変換し、
別の拠点の端末から拠点内の端末への通信パケットに対して、送信先ＩＰアドレスをＶＰＮ上の仮想ＩＰアドレスから対応する拠点内ＩＰアドレスに変換することを説明した。

また、本実施の形態では、前記アドレス・ポート変換部が、第二のアドレス・ポート変換方式として、第一のアドレス・ポート変換方式に加えて、
別の拠点の端末から拠点内の端末への通信パケットに対して、送信元ＩＰアドレスと送信元ポート番号の新たな送信元ポート番号の組を記憶して、送信元ＩＰアドレスを仮想ネットワーク管理装置のＩＰアドレスに変換し、送信元ポート番号を新たな送信元ポート番号に変換し、
拠点内の端末から別の拠点の端末への通信パケットに対して、送信先ＩＰアドレスと送信先ポート番号を記憶した送信元ＩＰアドレスと送信元ポート番号に変換することを説明した。

また、本実施の形態では、前記接続方式設定部が、
登録対象端末のＩＰアドレスが仮想ネットワーク管理装置と同じネットワークセグメントに含まれるアドレスの場合に、アドレス・ポート変換部による第一のアドレス・ポート変換方式を用いる設定を行い、
登録実行端末のＩＰアドレス＝登録対象端末のＩＰアドレスであり、かつ、登録対象端末のＩＰアドレスが仮想ネットワーク管理装置と同じネットワークセグメントに含まれないアドレスの場合に、トンネリング接続部を用いる設定を行い、
登録実行端末のＩＰアドレス≠登録対象端末のＩＰアドレスであり、かつ、登録対象端末のＩＰアドレスが仮想ネットワーク管理装置と同じネットワークセグメントに含まれないアドレスの場合に、アドレス・ポート変換部により第二のアドレス・ポート変換方式を用いる設定を行うことを説明した。

また、本実施の形態では、前記第二の仮想ネットワーク接続部が、仮想ネットワーク管理装置と拠点内の端末との間のトンネリング接続を行うトンネリング接続部であることを説明した。
そして、前記トンネリング接続部が、
ＰＰＴＰによるトンネリング接続を受け付け、
拠点内の端末に対して、拠点間のＶＰＮ上の対応する仮想ＩＰアドレスを払い出すことを説明した。

また、本実施の形態では、前記接続設定サーバ部が、
登録対象端末として、登録実行端末から取得したＩＰアドレスを表示し、登録実行端末のＩＰアドレスをユーザに選択させるか、または、
登録対象端末として、登録実行端末とは別の端末をユーザに選択させ、別の端末のＩＰアドレスをユーザに入力させる登録画面を出力することを説明した。

なお、以上では、中継装置の例としてＶＰＮ ＧＷを説明したが、本願に係る中継装置は、ＶＰＮ ＧＷに限定されない。
複数のネットワークセグメントに分割されている内部ネットワークのいずれかのネットワークセグメントに属し、内部ネットワークと外部ネットワークとの間の通信を中継する中継装置であれば、本願発明を適用することができる。

最後に、本実施の形態に示したＶＰＮ ＧＷ１１、１２のハードウェア構成例を図８を参照して説明する。
ＶＰＮ ＧＷ１１、１２はコンピュータであり、ＶＰＮ ＧＷ１１、１２の各要素をプログラムで実現することができる。
ＶＰＮ ＧＷ１１、１２のハードウェア構成としては、バスに、演算装置９０１、外部記憶装置９０２、主記憶装置９０３、通信装置９０４、入出力装置９０５が接続されている。

演算装置９０１は、プログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。
外部記憶装置９０２は、例えばＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）やフラッシュメモリ、ハードディスク装置である。
主記憶装置９０３は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。
通信装置９０４は、ＬＡＮインタフェース部１１０の物理層に対応する。
入出力装置９０５は、例えば入力キー、ディスプレイ装置等である。

プログラムは、通常は外部記憶装置９０２に記憶されており、主記憶装置９０３にロードされた状態で、順次演算装置９０１に読み込まれ、実行される。
プログラムは、図２に示す「〜部」として説明している機能を実現するプログラムである。
更に、外部記憶装置９０２にはオペレーティングシステム（ＯＳ）も記憶されており、ＯＳの少なくとも一部が主記憶装置９０３にロードされ、演算装置９０１はＯＳを実行しながら、図２に示す「〜部」の機能を実現するプログラムを実行する。
また、本実施の形態の説明において、「〜の判断」、「〜の判定」、「〜の抽出」、「〜の検知」、「〜の設定」、「〜の登録」、「〜の選択」、「〜の生成」、「〜の入力」、「〜の出力」等として説明している処理の結果を示す情報やデータや信号値や変数値が主記憶装置９０３にファイルとして記憶されている。
また、暗号鍵・復号鍵や乱数値やパラメータが、主記憶装置９０３にファイルとして記憶されてもよい。

なお、図８の構成は、あくまでもＶＰＮ ＧＷ１１、１２のハードウェア構成の一例を示すものであり、ＶＰＮ ＧＷ１１、１２のハードウェア構成は図８に記載の構成に限らず、他の構成であってもよい。
また、本実施の形態に示した端末、ルータ及びＶＰＮサーバも、図８のハードウェア構成をしていてもよいし、他のハードウェア構成であってもよい。

また、本実施の形態に示す手順により、本発明に係る通信方式選択方法を実現可能である。

１ 拠点、２ 拠点、３ 管理サーバ、１１ ＶＰＮ ＧＷ、１２ ＶＰＮ ＧＷ、２１ ルータ、２２ ルータ、３１ 端末、３２ 端末、３３ 端末、３４ 端末、４１ ＶＰＮサーバ、１１０ ＬＡＮインタフェース部、１２０ ＶＰＮ接続クライアント部、１３０ アドレス・ポート変換部、１４０ トンネリング接続部、１５０ アドレス判定部、１６０ 接続方式設定部、１７０ 接続設定サーバ部、４１０ ＶＰＮ接続管理部、４２０ ＶＰＮ接続サーバ部、４３０ 仮想ＩＰアドレス割当部。

Claims (9)

1. 複数のネットワークセグメントに分割されている内部ネットワークのいずれかのネットワークセグメントに属し、
   前記内部ネットワークと前記内部ネットワーク外の外部ネットワークとの間の通信を、複数の通信方式の中から選択された通信方式に対応させて中継する中継装置であって、
   前記内部ネットワークに属するいずれかの通信装置から、当該通信装置の通信アドレス及び前記内部ネットワークに属する他の通信装置の通信アドレスのいずれかを、通信方式の選択対象である選択対象通信装置の通信アドレスとして、通知するアドレス通知情報を受信するアドレス通知情報受信部と、
   前記選択対象通信装置の通信アドレスと前記中継装置の通信アドレスとに基づき、前記選択対象通信装置が前記中継装置と同じネットワークセグメントに属しているか否かを判定するセグメント判定部と、
   前記セグメント判定部による判定結果に基づき、前記選択対象通信装置と前記外部ネットワークとの間の通信方式を前記複数の通信方式の中から選択する通信方式選択部とを有することを特徴とする中継装置。
2. 前記セグメント判定部は、
   前記選択対象通信装置が前記中継装置と同じネットワークセグメントに属していないと判定した場合に、前記選択対象通信装置が前記アドレス通知情報の送信元の通信装置であるか否かを判定することを特徴とする請求項１に記載の中継装置。
3. 前記通信方式選択部は、
   前記セグメント判定部により、前記選択対象通信装置が前記中継装置と同じネットワークセグメントに属していると判定された場合に、
   前記選択対象通信装置と前記外部ネットワークとの間の通信方式として、前記中継装置が、通信パケットに記述されたＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスの変換を行う通信方式を選択することを特徴とする請求項１又は２に記載の中継装置。
4. 前記通信方式選択部は、
   前記セグメント判定部により、前記選択対象通信装置が前記アドレス通知情報の送信元の通信装置であると判定された場合に、
   前記選択対象通信装置と前記外部ネットワークとの間の通信方式として、前記選択対象通信装置が、通信パケットのカプセル化処理を行う通信方式を選択することを特徴とする請求項２に記載の中継装置。
5. 前記通信方式選択部は、
   前記セグメント判定部により、前記選択対象通信装置が前記アドレス通知情報の送信元の通信装置以外の通信装置であると判定された場合に、
   前記選択対象通信装置と前記外部ネットワークとの間の通信方式として、前記中継装置が、通信パケットに記述されたＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスの変換及びポート番号の変換を行う通信方式を選択することを特徴とする請求項２に記載の中継装置。
6. 前記中継装置は、更に、
   前記内部ネットワーク内の通信装置に、前記選択対象通信装置の通信アドレスの指定のための画面情報を送信する画面情報送信部を有し、
   前記アドレス通知情報受信部は、
   前記画面情報に対して指定された前記選択対象通信装置の通信アドレスを通知するアドレス通知情報を受信することを特徴とする請求項１〜５のいずれかに記載の中継装置。
7. 前記中継装置は、
   前記内部ネットワーク内の通信装置と、前記外部ネットワークに接続されている通信装置との間でＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）を設定し、前記ＶＰＮを用いて前記内部ネットワーク内の通信装置と前記外部ネットワークに接続されている通信装置との間の通信を中継するＶＰＮゲートウェイ装置であることを特徴とする請求項１〜６のいずれかに記載の中継装置。
8. 複数のネットワークセグメントに分割されている内部ネットワークのいずれかのネットワークセグメントに属し、
   前記内部ネットワークと前記内部ネットワーク外の外部ネットワークとの間の通信を、複数の通信方式の中から選択された通信方式に対応させて中継するコンピュータが行う通信方式選択方法であって、
   前記コンピュータが、前記内部ネットワークに属するいずれかの通信装置から、当該通信装置の通信アドレス及び前記内部ネットワークに属する他の通信装置の通信アドレスのいずれかを、通信方式の選択対象である選択対象通信装置の通信アドレスとして、通知するアドレス通知情報を受信し、
   前記コンピュータが、前記選択対象通信装置の通信アドレスと前記コンピュータの通信アドレスとに基づき、前記選択対象通信装置が前記コンピュータと同じネットワークセグメントに属しているか否かを判定し、
   判定結果に基づき、前記コンピュータが、前記選択対象通信装置と前記外部ネットワークとの間の通信方式を前記複数の通信方式の中から選択することを特徴とする通信方式選択方法。
9. 複数のネットワークセグメントに分割されている内部ネットワークのいずれかのネットワークセグメントに属し、
   前記内部ネットワークと前記内部ネットワーク外の外部ネットワークとの間の通信を、複数の通信方式の中から選択された通信方式に対応させて中継するコンピュータに、
   前記内部ネットワークに属するいずれかの通信装置から、当該通信装置の通信アドレス及び前記内部ネットワークに属する他の通信装置の通信アドレスのいずれかを、通信方式の選択対象である選択対象通信装置の通信アドレスとして、通知するアドレス通知情報を受信するアドレス通知情報受信処理と、
   前記選択対象通信装置の通信アドレスと前記コンピュータの通信アドレスとに基づき、前記選択対象通信装置が前記コンピュータと同じネットワークセグメントに属しているか否かを判定するセグメント判定処理と、
   前記セグメント判定処理による判定結果に基づき、前記選択対象通信装置と前記外部ネットワークとの間の通信方式を前記複数の通信方式の中から選択する通信方式選択処理とを実行させることを特徴とするプログラム。

Images