JP6214445B2 - Ｖｐｎ通信端末、ｖｐｎ通信制御方法及びプログラム - Google Patents

Description

本発明は、ＶＰＮ（Virtual Private Network）サーバとＶＰＮ通信するＶＰＮ通信端末に搭載する通信技術に関する。

ＶＰＮ通信技術は、出張先等のネットワークからＶＰＮサーバ経由で企業内に構築されたネットワークを利用する目的で使用される。出張先等のネットワークはインターネット上のネットワークに接続することが多く、ＶＰＮセッションを確立する前は、インターネット上のネットワークに端末内の機密情報が漏洩するリスクがある。

従来のパーソナルファイアウォールシステム（以下「パーソナルファイアウォール」という）では、アプリケーションプログラム（以下「アプリケーション」という）からＶＰＮサーバへの通信のみを許可することで、インターネット上のネットワークに端末内の機密情報が漏洩するのを防止している。しかし、ＶＰＮ内のネットワークを利用するためには、ＶＰＮサーバへの通信の他に、ＶＰＮ内への通信も識別して許可する必要がある。アプリケーションからＶＰＮ内への通信の識別は、ＶＰＮのネットワークインターフェースへの通信で識別することが可能である。

特開２０１３−０３８７１６号公報

しかし、ＶＰＮのネットワークインターフェースは、ＶＰＮ製品毎に各社が独自に開発している。このため、各製品共通でＶＰＮのネットワークインターフェースを識別する情報が存在しない。また、ＶＰＮのネットワークインターフェースは、ＶＰＮクライアントがＶＰＮセッションの確立後に動的に生成する。そのため、ＶＰＮのネットワークインターフェースを識別するには、ＶＰＮ製品毎にＶＰＮのネットワークインターフェースの固有識別情報を事前に調査してパーソナルファイアウォールに登録する必要がある。

そこで、本発明は、ＶＰＮのネットワークインターフェースの固有識別情報をパーソナルファイアウォールに登録しなくても、アプリケーションからＶＰＮサーバへの通信のみを許可しつつ、アプリケーションからＶＰＮ内への通信を許可することができる通信機能を提供する。

このために、本発明は、ＶＰＮ通信端末内のパーソナルファイアウォールシステムに、ＯＳ（Operating System）への仮想ネットワークＩ／Ｆの生成を監視する機能と、アプリケーションから物理ネットワークＩ／Ｆへの通信はＶＰＮサーバへの通信のみを許可する機能と、アプリケーションから仮想ネットワークＩ／Ｆへの通信を全て許可する機能と、仮想ネットワークＩ／Ｆから物理ネットワークＩ／Ｆへの通信はＶＰＮサーバへの通信のみを許可する機能とを搭載する。

本発明によれば、Ｉ／Ｆの固有識別情報の事前調査及び当該情報のパーソナルファイアウォールへの登録無しに、ＶＰＮ通信端末からＶＰＮ内への通信を可能にできる。なお、仮想ネットワークＩ／Ｆへの通信を許可しても、ＶＰＮ通信端末から外部への通信は、必ず物理ネットワークＩ／Ｆを経由するため、情報漏洩のリスクのおそれはない。

ＶＰＮ通信システムの全体構成例を示す図。 パーソナルファイアウォールの初期状態を説明する図。 ＶＰＮクライアントの起動直後の動作を説明する図。 アプリケーションからＶＰＮへの通信が発生した場合の動作を説明する図。 Ｉ／Ｆ監視スレッドの処理手順を説明する図。 通信監視スレッドの処理手順を説明する図。

以下、図面に基づいて、本発明の実施の形態を説明する。なお、本発明の実施の態様は、後述する実施例に限定されるものではなく、その技術思想の範囲において、種々の変形が可能である。

［システム構成］
図１に、ＶＰＮ通信システムの全体構成例を示す。図１では、図面の簡略化のため、ＶＰＮ通信端末１００を１台のみ表しているが、実際には運用システムの規模に応じた台数のＶＰＮ通信端末１００が必要となる。ＶＰＮ通信端末１００には、例えばスマートフォン、タブレット端末、ノート型のパーソナルコンピュータを想定する。後述するように、ＶＰＮ通信端末１００は、インターネット１０８及びＶＰＮサーバ１０９を経由してＶＰＮ １１０にアクセスする。

ＶＰＮ通信端末１００は、物理的には、通信機能を有するコンピュータとして構成される。すなわち、ＶＰＮ通信端末１００は、ＣＰＵ、ＲＡＭ、ＲＯＭ、主記憶装置（例えばハードディスク装置、ＲＡＭ等）、表示デバイス、入力デバイス（例えばタッチパネル）、通信デバイスによって構成される。なお、通信デバイスには、例えば有線ＬＡＮ装置、無線ＬＡＮ装置（Wi-Fi（商標）を含む）、３Ｇ（第３世代移動通信システム）無線装置が使用される。

図１は、主に、ＶＰＮ通信端末１００のソフトウェア上の機能構成を表しており、アプリケーション１０１、ＶＰＮクライアント１０２、パーソナルファイアウォール１０３は、オペレーションシステム（ＯＳ）１０４上で動作するソフトウェアの一機能として実現される。このうち、パーソナルファイアウォール１０３は、外部への通信を制御するために導入されたソフトウェアである。パーソナルファイアウォール１０３には、Ｉ／Ｆ監視機能と仮想Ｉ／Ｆ判定機能が実装されている。これらの機能を用いた具体的な通信制御については後述する。

ＶＰＮクライアント１０２は、その起動によってＶＰＮセッションを確立すると、ＶＰＮのＩ／Ｆである仮想的なＩ／Ｆ １０６をオペレーションシステム（ＯＳ）１０４上に生成する。オペレーションシステム（ＯＳ）１０４は、物理的なＩ／Ｆ １０５を通じ、物理ネットワークアダプタ１０７と通信する。ここでの物理ネットワークアダプタ１０７が、前述の通信デバイスである。

［ＶＰＮ通信の手順］
図２に、パーソナルファイアウォール１０３の初期状態（端末の起動直後の状態）を示す。初期状態では、オペレーションシステム（ＯＳ）１０４が、物理ネットワークアダプタ１０７から物理的なＩ／Ｆ １０５を構成する。パーソナルファイアウォール１０３は、アプリケーション１０１から物理的なＩ／Ｆ １０５への通信を、ＶＰＮサーバ１０９への通信のみ許可し、ＶＰＮサーバ１０９以外のインターネット１０８上のネットワークへの通信を遮断する。

図３に、ＶＰＮクライアント１０２の起動直後に実行される動作内容を示す。ＶＰＮクライアント１０２は、操作画面上に表示されたアイコンのクリック操作等を通じて起動される。起動後、ＶＰＮクライアント１０２は、ＶＰＮ １１０を利用するためにＶＰＮセッションを確立する。ＶＰＮセッションが確立されると、ＶＰＮクライアント１０２は、ＶＰＮのＩ／Ｆである仮想的なＩ／Ｆ １０６をオペレーションシステム（ＯＳ）１０４上に生成する。この仮想的なＩ／Ｆ １０６の生成は、パーソナルファイアウォール１０３によって検出される。Ｉ／Ｆの生成を検出したパーソナルファイアウォール１０３は、オペレーションシステム（ＯＳ）１０４からＩ／Ｆの情報を取得し、Ｉ／Ｆを仮想なＩ／Ｆ １０６として識別する。この後、パーソナルファイアウォール１０３は、アプリケーション１０１から仮想的なＩ／Ｆ １０６への通信を全て許可する。

図４に、アプリケーション１０１からＶＰＮ １１０内への通信が発生した場合の動作を示す。アプリケーション１０１からＶＰＮ １１０内への通信は、仮想的なＩ／Ｆ １０６への通信として開始される。このとき、パーソナルファイアウォール１０３は、通信先が仮想的なＩ／Ｆ １０６であるので通信を許可する。仮想的なＩ／Ｆ １０６は、物理的なＩ／Ｆ １０５を宛先とするヘッダを付加し、アプリケーション１０１からの通信をカプセル化する。すなわち、仮想的なＩ／Ｆ １０６は、受信した通信を物理的なＩ／Ｆ １０５に転送する。ここで、仮想的なＩ／Ｆ １０６から物理的なＩ／Ｆ １０５に転送されるカプセル化された通信もパーソナルファイアウォール１０３の制御対象となる。本実施例におけるパーソナルファイアウォール１０３は、仮想的なＩ／Ｆ １０６からＶＰＮサーバ１０９への通信を許可する。このため、仮想的なＩ／Ｆ １０６で転送された通信も、パーソナルファイアウォール１０３を通過して物理的なＩ／Ｆ １０５に送信され、ＶＰＮサーバ１０９を通じてＶＰＮ １１０内への通信が実現される。

［パーソナルファイアウォールの機能］
図５及び図６に、パーソナルファイアウォール１０３で実行されるＩ／Ｆ監視スレッドと通信監視スレッドの処理動作を示す。当該処理動作を通じ、ＶＰＮのネットワークインターフェースの固有識別情報を登録することなく、アプリケーション１０１からＶＰＮサーバ１０９への通信のみが許可され、アプリケーション１０１からＶＰＮ １１０内への通信が可能となる。なお、Ｉ／Ｆ監視スレッドとＩ／Ｆを監視するスレッドは、パーソナルファイアウォール１０３の起動に伴って実行される。

まず、Ｉ／Ｆを監視するＩ／Ｆ監視スレッド（図５）について説明する。当該スレッドは、オペレーションシステム（ＯＳ）１０４のＩ／Ｆを常時監視し、Ｉ／Ｆを検出すると（ステップ５０１）、オペレーションシステム（ＯＳ）１０４からＩ／Ｆの情報を取得する（ステップ５０２）。この後、Ｉ／Ｆ監視スレッドは、新たなＩ／Ｆの生成を監視する（ステップ５０３）。新たなＩ／Ｆの生成が検出されると、ステップ５０１以降の処理が再度実行される。

次に、通信を監視する通信監視スレッド（図６）について説明する。当該スレッドは、通信を検出すると（ステップ６０１）、検出された通信がアプリケーション１０１から仮想的なＩ／Ｆ １０６への通信か否かを判定する（ステップ６０２）。ここで、通信監視スレッドは、Ｉ／Ｆ監視スレッド（図５）で取得したＩ／Ｆの情報に基づいて、ステップ６０２の判定処理を実行する。Ｉ／Ｆへの通信が仮想的なＩ／Ｆ １０６への通信である場合、通信監視スレッドは、通信を許可する（ステップ６０３）。

これに対し、Ｉ／Ｆへの通信が物理的なＩ／Ｆ １０５への通信であった場合、通信監視スレッドは、ＶＰＮサーバへの通信か否かを判定する（ステップ６０４）。ここでの判定にも、Ｉ／Ｆ監視スレッド（図５）で取得したＩ／Ｆの情報が使用される。検出された通信がＶＰＮサーバへの通信であった場合、通信監視スレッドは通信を許可する（ステップ６０３）。ここでの通信には、アプリケーション１０１から物理的なＩ／Ｆ １０５を経由したＶＰＮサーバ１０９への直接的な通信だけでなく、仮想的なＩ／Ｆ １０６においてカプセル化された後の通信も含まれる。なお、検出された通信が、ＶＰＮサーバ１０９以外へのネットワークへの通信である場合、通信監視スレッドは、検出された通信を遮断する（ステップ６０５）。

［実施例による効果］
本実施例の場合、前述した機能を有するＶＰＮクライアント１０２とパーソナルファイアウォール１０３をＶＰＮ通信端末１００にインストールするだけで、Ｉ／Ｆの固有識別情報の事前調査及び当該情報のパーソナルファイアウォール１０３への登録無しに、ＶＰＮ通信端末１００からＶＰＮ １１０内への通信を可能にすることができる。なお、仮想的なＩ／Ｆ １０６への通信を許可しても、ＶＰＮ通信端末１００から外部への通信は、必ず物理なＩ／Ｆ １０５を経由するため、情報漏洩のリスクのおそれはない。

［他の実施例］
本発明は、上述した実施例の構成に限定されるものでなく様々な変形例を含んでいる。例えば実施例で説明した機能以外にも他の機能を追加し、又は、一部の機能を他の機能で置換し、又は、一部の機能を削除することもできる。

１０１：アプリケーション
１０２：ＶＰＮクライアント
１０３：パーソナルファイアウォール
１０４：ＯＳ（オペレーティングシステム）
１０５：物理的なＩ／Ｆ（物理的なネットワークインターフェース）
１０６：仮想的なＩ／Ｆ（仮想的なネットワークインターフェース）
１０７：物理ネットワークアダプタ
１０８：インターネット
１０９：ＶＰＮサーバ
１１０：ＶＰＮ

Claims (5)

1. ＯＳ（Operating System）上でパーソナルファイアウォールシステムを実行するＶＰＮ通信端末において、
   前記パーソナルファイアウォールシステムが、
   前記ＯＳへの仮想ネットワークＩ／Ｆの生成を検出する機能と、
   前記ＯＳから前記仮想ネットワークＩ／Ｆの情報を取得する機能と、
   前記仮想ネットワークＩ／Ｆの情報に基づいてアプリケーションからの通信が前記仮想ネットワークＩ／Ｆへの通信か否かを判定する機能と、
   前記アプリケーションから物理ネットワークＩ／Ｆへの通信はＶＰＮサーバへの通信のみを許可する機能と、
   前記アプリケーションから前記仮想ネットワークＩ／Ｆへの通信を全て許可する機能と、
   前記仮想ネットワークＩ／Ｆから前記物理ネットワークＩ／Ｆへの通信はＶＰＮサーバへの通信のみを許可する機能と
   を有することを特徴とするＶＰＮ通信端末。
2. 請求項１に記載のＶＰＮ通信端末において、
   前記ＶＰＮサーバとの間にＶＰＮセッションを確立するＶＰＮクライアントは、その起動時に、前記ＯＳ上に前記仮想ネットワークＩ／Ｆを生成する
   ことを特徴とするＶＰＮ通信端末。
3. 請求項１に記載のＶＰＮ通信端末において、
   前記仮想ネットワークＩ／Ｆは、前記アプリケーションから受信した通信をカプセル化して前記物理ネットワークＩ／Ｆに転送する
   ことを特徴とするＶＰＮ通信端末。
4. ＶＰＮ通信端末におけるＶＰＮ通信を制御する方法において、
   ＯＳ（Operating System）上で実行されるパーソナルファイアウォールシステムが、
   前記ＯＳへの仮想ネットワークＩ／Ｆの生成を監視する処理と、
   前記ＯＳから前記仮想ネットワークＩ／Ｆの情報を取得する処理と、
   前記仮想ネットワークＩ／Ｆの情報に基づいてアプリケーションからの通信が前記仮想ネットワークＩ／Ｆへの通信か否かを判定する処理と、
   前記アプリケーションから物理ネットワークＩ／Ｆへの通信はＶＰＮサーバへの通信のみを許可する処理と、
   前記アプリケーションから前記仮想ネットワークＩ／Ｆへの通信を全て許可する処理と、
   前記仮想ネットワークＩ／Ｆから前記物理ネットワークＩ／Ｆへの通信はＶＰＮサーバへの通信のみを許可する処理と
   を実行することを特徴とするＶＰＮ通信制御方法。
5. ＶＰＮ通信端末に実装されたコンピュータのＯＳ（Operating System）上で実行されるパーソナルファイアウォールシステムに、
   前記ＯＳへの仮想ネットワークＩ／Ｆの生成を監視する処理と、
   前記ＯＳから前記仮想ネットワークＩ／Ｆの情報を取得する処理と、
   前記仮想ネットワークＩ／Ｆの情報に基づいてアプリケーションからの通信が前記仮想ネットワークＩ／Ｆへの通信か否かを判定する処理と、
   前記アプリケーションから物理ネットワークＩ／Ｆへの通信はＶＰＮサーバへの通信のみを許可する処理と、
   前記アプリケーションから前記仮想ネットワークＩ／Ｆへの通信を全て許可する処理と、
   前記仮想ネットワークＩ／Ｆから前記物理ネットワークＩ／Ｆへの通信はＶＰＮサーバへの通信のみを許可する処理と
   を実行させるプログラム。

Images