JP6314500B2 - 通信制御装置、通信制御方法および通信制御プログラム - Google Patents

Description

本発明は、通信制御装置、通信制御方法および通信制御プログラムに関する。

近年、私用の端末を業務でも利用するＢＹＯＤ（Bring Your Own Device）の利用が普及している。ＢＹＯＤでは、私用の端末から社内ネットワークに接続するので、セキュリティの確保やプライバシーの確保が行われている。例えば、端末内で、私用で使用するアプリケーションと、業務で使用するアプリケーションとを区別し、アプリケーション毎に通信先のネットワークを対応付ける技術が知られている。

特開２００９−４９５０８号公報

しかしながら、従来技術では、端末毎に、社内ネットワークに通信する制御および社外ネットワークに通信する制御の両方の仕組みを作りこむことになるので、端末のコストが増加し、アプリケーションが使用するネットワークを柔軟に変更することも難しい。また、各仕組みを組み込んだ端末以外は、ネットワークを切替えることができないので、ＢＹＯＤへの適用性も高くない。

開示の技術は、上記に鑑みてなされたものであって、アプリケーションの種別に応じた経路が選択できる通信制御装置、通信制御方法および通信制御プログラムを提供することを目的とする。

本願の開示する通信制御装置は、一つの態様において、端末装置からパケットを受信する受信部と、前記受信部によって受信されたパケットの送信元に関する送信元情報を抽出する抽出部とを有する。通信制御装置は、前記抽出部によって抽出された前記送信元情報を前記端末装置に送信して、前記送信元情報に対応付けられるアプリケーションを問合せる問合せ部を有する。通信制御装置は、前記問合せ部による問合せで得られたアプリケーションに対応付けられる通信網で、前記受信部によって受信された前記パケットを送信先に送信する送信部を有する。

本願の開示する通信制御装置、通信制御方法および通信制御プログラムの一つの態様によれば、アプリケーションの種別に応じた経路が選択できる。

図１は、実施例１に係るシステムの全体構成例を示す図である。 図２は、実施例１に係る端末装置の機能構成を示す機能ブロック図である。 図３は、実施例１に係るモバイルゲートウェイの機能構成を示す機能ブロック図である。 図４は、振分定義ＤＢに記憶される情報の例を示す図である。 図５は、経路情報ＤＢに記憶される情報の例を示す図である。 図６は、実施例１に係るモバイルゲートウェイが実行する中継処理の流れを示すフローチャートである。 図７は、実施例２に係る端末装置の機能構成を示す機能ブロック図である。 図８は、実施例２に係るモバイルゲートウェイの機能構成を示す機能ブロック図である。 図９は、実施例２に係るＤＮＳキャッシュに記憶される情報の例を示す図である。 図１０は、実施例２に係る振分定義ＤＢに記憶される情報の例を示す図である。 図１１は、実施例２に係るモバイルゲートウェイが実行するＤＮＳ登録処理の流れを示すフローチャートである。 図１２は、実施例２に係るモバイルゲートウェイが実行する中継処理の流れを示すフローチャートである。 図１３は、実施例３に係る端末装置の機能構成を示す機能ブロック図である。 図１４は、実施例３に係るモバイルゲートウェイが実行する中継処理を説明する図である。 図１５は、実施例３に係るモバイルゲートウェイの定義情報の例を説明する図である。 図１６は、実施例３に係る端末装置が実行する処理の流れを示すフローチャートである。 図１７は、端末装置のハードウェア構成例を示す図である。 図１８は、モバイルゲートウェイのハードウェア構成例を示す図である。

以下に、本願の開示する通信制御装置、通信制御方法および通信制御プログラムの実施例を図面に基づいて詳細に説明する。なお、この実施例によりこの発明が限定されるものではない。なお、各実施例は、矛盾のない範囲内で適宜組み合わせることができる。

［全体構成］
図１は、実施例１に係るシステムの全体構成例を示す図である。図１に示すように、このシステムは、社外サーバ１、端末装置１０、モバイルゲートウェイ（以下、「モバイルＧＷ」と表記する場合がある）３０、企業内サーバ５０を有する。

社外サーバ１は、社外ネットワークなどの物理網２に接続されるサーバである。社外ネットワークとしては、インターネットが挙げられる。例えば、社外サーバ１は、Ｗｅｂ検索を実行する検索サーバや動画像を提供する。ここでは、社外サーバ１には、ＩＰアドレスとして「ＩＰ３」が設定されていることとする。

端末装置１０は、携帯端末、スマートフォン、ノートパソコンなどの端末装置であり、ネットワークに接続して各種サーバにアクセスできる端末装置である。例えば、端末装置１０は、モバイルＧＷ３０を経由して物理網２に接続し、社外サーバ１にアクセスする。また、端末装置１０は、モバイルＧＷ３０を経由して物理網２上に構築されたＶＰＮ３に接続し、企業内サーバ５０にアクセスする。

モバイルＧＷ３０は、端末装置１０と各サーバとの通信を中継するゲートウェイ装置である。例えば、モバイルＧＷ３０は、端末装置１０が物理網２等と接続する際に使用する無線ＬＡＮ（Local Area Network）などのアクセスポイントとなる端末である。なお、モバイルＧＷ３０には、ＩＰアドレスとしてＩＥＥＥで定められるＩＰｖ４アドレスやＩＰｖ６アドレスが割り当てられる。ここでは説明のために「ＩＰ１」が設定されていることとする。

企業内サーバ５０は、社内ネットワークに接続される業務サーバであり、図示しないＶＰＮ（Virtual Private Network）サーバを介したＶＰＮ通信で社外の端末と接続される。例えば、企業内サーバ５０は、ＶＰＮソフトウェアを起動して、モバイルＧＷ３０との間に、ＶＰＮサーバを介したＶＰＮ３を確立する。そして、企業内サーバ５０は、ＶＰＮ３を介して、モバイルＧＷ３０との間で、各種情報の送受信を実行する。なお、企業内サーバ５０には、ＩＰアドレスとして「ＩＰ２」が設定されていることとする。

このような状況において、モバイルＧＷ３０は、端末装置１０からパケットを受信し、受信されたパケットの送信元に関する送信元情報を抽出する。続いて、モバイルＧＷ３０は、抽出された送信元情報を端末装置１０に送信して、送信元情報に対応付けられるアプリケーション（以下、「アプリ」と表記する場合がある）を問合せる。その後、モバイルＧＷ３０は、問合せで得られたアプリケーションに対応付けられる通信網で、受信されたパケットを送信先に送信する。

例えば、モバイルＧＷ３０は、端末装置１０から受信したパケットの送信元ポート番号を使用するアプリを端末装置１０に問合せる。そして、モバイルＧＷ３０は、私用アプリについては物理網２で送信し、社用アプリや業務アプリについてＶＰＮ３で送信するので、端末装置１０に依存せずにアプリに応じた経路を選択して送信できる。この結果、モバイルＧＷ３０は、アプリケーションの種別に応じた経路が選択できる。特に、同じ社外サーバ１に接続する場合であっても、アプリケーションの種別が業務アプリであった場合には、物理網２ではなくＶＰＮ３を用いて社内のプロキシサーバ経由で社外サーバ１に接続するように制御することができる。この場合、社外サーバ１は直接の送信元が会社になるため、社外サーバ１は送信元の会社に特別に許可した機能を提供することができる。また、社内を通る通信パケットについてウィルススキャン等をすることで業務用の通信パケットの安全性を向上することができる。

［端末装置の構成］
図２は、実施例１に係る端末装置の機能構成を示す機能ブロック図である。図２に示すように、端末装置１０は、通信処理部１１、記憶部１２、制御部１５を有する。なお、ここで挙げた処理部は例示であり、これに限定されるものではなく、入力部や表示部など他の処理部を有していてもよい。

通信処理部１１は、他の装置との無線通信や有線通信を制御する通信インタフェースである。例えば、通信処理部１１は、モバイルＧＷ３０から各種要求を受信し、その応答を送信する。また、通信処理部１１は、モバイルＧＷ３０を介して、各サーバとの間で各種パケットの送受信を実行する。

記憶部１２は、メモリやハードディスクなどの記憶装置であり、ポート利用情報ＤＢ（DataBase）１２ａを有する。また、記憶部１２は、制御部１５が実行するプログラム、アプリケーションを実行するプログラム、各種データ等を記憶する。ポート利用情報ＤＢ１２ａは、アプリケーションが使用するポート番号を記憶するデータベースである。

制御部１５は、端末装置１０の全体的な制御を司る処理部であり、アプリ実行部１５ａ、遡上調査実行部１５ｂを有する。例えば、制御部１５は、プロセッサなどの電子回路であり、各処理部は、プロセッサが有する電子回路やプロセッサが実行するプロセスなどに該当する。また、ここで示した処理部は、一例であり、これに限定されるものではなく、制御部１５は、他の処理部を有していてもよい。

アプリ実行部１５ａは、各種アプリを実行する処理部である。具体的には、アプリ実行部１５ａは、ユーザがタッチパネルやキーボードで操作指示したアプリケーションのプログラムを記憶部１２から読み出して実行する。例えば、アプリ実行部１５ａは、企業内サーバ５０または社外サーバ１へアクセスするアプリケーションを実行して、パケットの送受信を実行する。

遡上調査実行部１５ｂは、モバイルＧＷ３０から実行中のアプリの問合せに対して応答する遡上調査を実行する処理部である。具体的には、遡上調査実行部１５ｂは、端末装置１０が送信したパケットの送信元情報をモバイルＧＷ３０から受信すると、当該送信元情報に基づいてアプリケーションを特定し、特定したアプリケーションをモバイルＧＷ３０に通知する。

例えば、遡上調査実行部１５ｂは、モバイルＧＷ３０から送信元のポート番号「８９１２」を受信すると、当該ポート番号「８９１２」に対応付けられる社用アプリ１を記憶部１２から特定する。そして、遡上調査実行部１５ｂは、受信したポート番号を使用するアプリが社用アプリ１であることを、モバイルＧＷ３０に通知する。

［モバイルゲートウェイ］
図３は、実施例１に係るモバイルゲートウェイの機能構成を示す機能ブロック図である。図３に示すように、モバイルＧＷ３０は、通信処理部３１、記憶部３２、制御部３５を有する。なお、ここで挙げた処理部は例示であり、これに限定されるものではなく、入力部や表示部など他の処理部を有していてもよい。

通信処理部３１は、他の装置との無線通信や有線通信を制御する通信インタフェースである。例えば、通信処理部３１は、各サーバへのパケットを端末装置１０から受信し、その応答を送信先から受信して端末装置１０に送信する。また、通信処理部３１は、端末装置１０に各種要求を送信し、その応答を端末装置１０から受信する。

記憶部３２は、メモリやハードディスクなどの記憶装置であり、振分定義ＤＢ３２ａと経路情報ＤＢ３２ｂとを有する。また、記憶部３２は、制御部３５が実行するプログラム、アプリケーションを実行するプログラム、各種データ等を記憶する。

振分定義ＤＢ３２ａは、アプリケーションごとにどの通信網を使用するかを定義する情報を記憶するデータベースである。図４は、振分定義ＤＢに記憶される情報の例を示す図である。図４に示すように、振分定義ＤＢ３２ａは、「端末アプリ名、振分先」を対応付けて記憶する。

ここで記憶される「端末アプリ名」は、パケットを送信した端末装置１０のアプリケーションを特定する情報であり、例えばアプリケーション名やアプリケーションを識別する識別子が設定される。「振分先」は、パケットの送信に使用するネットワークを特定する情報であり、例えばネットワーク名やネットワークを識別する識別子が設定される。

図４の場合、社用アプリ１のパケットは、社用網であるＶＰＮ通信で送信先に送信されることを示し、それ以外のアプリのパケットは、私用網である物理網２で送信先に送信されることを示す。

経路情報ＤＢ３２ｂは、送信先への経路情報を記憶するデータベースである。図５は、経路情報ＤＢに記憶される情報の例を示す図である。図５に示すように、経路情報ＤＢ３２ｂは、「通信元、通信先、網、最終利用時刻」を対応付けて記憶する。

ここで記憶される「通信元」は、モバイルＧＷ３０が受信した受信パケットの送信元を示す情報であり、例えばパケットのヘッダに記載される送信元のＩＰアドレスや送信元のポート番号などが設定される。「通信先」は、モバイルＧＷ３０が受信した受信パケットの送信先を示す情報であり、例えばパケットのヘッダに記載される送信先のＩＰアドレスなどが設定される。「網」は、振分定義ＤＢ３２ａを用いて特定された振分先を示す情報である。「最終利用時刻」は、当該経路情報が利用された最終時刻である。

図５の場合、送信元のＩＰアドレスが「ＩＰ１」かつ送信元のポート番号が「８９１２」であり、送信先のＩＰアドレスが「ＩＰ２」であるパケットについては、ＶＰＮ通信で送信することを示す。また、この経路情報は、「2013年7年19日、12：16：35」に利用されていることを示す。

制御部３５は、モバイルＧＷ３０の全体的な制御を司る処理部であり、受信部３６、抽出部３７、調査実行部３８、送信部３９、定期更新部４０を有する。例えば、制御部３５は、プロセッサなどの電子回路であり、各処理部は、プロセッサが有する電子回路やプロセッサが実行するプロセスなどに該当する。また、ここで示した処理部は、一例であり、これに限定されるものではなく、制御部３５は、他の処理部を有していてもよい。

受信部３６は、端末装置１０からパケットを受信する処理部である。具体的には、受信部３６は、企業内サーバ５０または社外サーバ１を送信先とするパケットを受信した場合、当該パケットを抽出部３７に出力する。なお、以下では、企業内サーバ５０または社外サーバ１を送信先とするパケットを「通信パケット」と表記する場合がある。

抽出部３７は、受信部３６によって受信された通信パケットの送信元に関する送信元情報を抽出する処理部である。具体的には、抽出部３７は、通信パケットのヘッダ等から送信元ポート番号を抽出し、抽出した送信元ポート番号を調査実行部３８に出力する。例えば、抽出部３７は、送信元ポート番号として「８９１２」等を抽出して、調査実行部３８に出力する。なお、抽出部３７は、受信された通信パケットから送信元ＩＰアドレスおよび送信先ＩＰアドレスも抽出して、調査実行部３８に出力する。

調査実行部３８は、抽出部３７によって抽出された送信元情報を端末装置１０に送信して、送信元情報に対応付けられるアプリケーションを問合せる処理部である。上記例で説明すると、調査実行部３８は、受信した通信パケットの送信元ポート番号「８９１２」を端末装置１０に対して送信して、遡上調査の実行を要求する。そして、調査実行部３８は、端末装置１０に要求した遡上調査の応答として、アプリケーション名「社用アプリ１」を受信する。

続いて、調査実行部３８は、アプリケーション名「社用アプリ１」と対応付けられている振分先「社用網（ＶＰＮ）」を振分定義ＤＢ３２ａから特定する。この結果、調査実行部３８は、抽出部３７から取得した「送信元ＩＰアドレス、送信元ポート番号、送信先ＩＰアドレス」と、アプリケーション名「社用アプリ１」と、振分先「社用網（ＶＰＮ）」とを対応付けた経路情報を経路情報ＤＢ３２ｂに生成する。その後、調査実行部３８は、受信された通信パケットの送信を送信部３９に依頼する。

上記とは異なり、調査実行部３８が、端末装置１０に要求した遡上調査の応答として、アプリケーション名「私用アプリ５」を受信したとする。また、調査実行部３８は、抽出部３７から取得した「送信元ＩＰアドレス、送信元ポート番号、送信先ＩＰアドレス」として「ＩＰ１、８９９０、ＩＰ３」を受信したとする。

この場合、調査実行部３８は、アプリケーション名「私用アプリ５」が「その他」に該当することから、振分先として「私用網」を特定する。この結果、調査実行部３８は、「送信元ＩＰアドレス＝ＩＰ１、送信元ポート番号＝８９９０、送信先ＩＰアドレス＝ＩＰ３、アプリケーション名＝私用アプリ５、振分先＝私用網」を経路情報ＤＢ３２ｂに生成する。

なお、調査実行部３８は、遡上調査を端末装置１０に要求する前に、抽出部３７から取得した「送信元ＩＰアドレス、送信元ポート番号、送信先ＩＰアドレス」の組合せが経路情報ＤＢ３２ｂに記憶されているかを判定する。そして、調査実行部３８は、当該組合せが記憶されていない場合に、遡上調査を端末装置１０に要求することもできる。

送信部３９は、調査実行部３８による問合せで得られたアプリケーションに対応付けられる通信網で、受信部３６によって受信された通信パケットを送信先に送信する処理部である。

例えば、送信部３９は、調査実行部３８から通信パケットの送信依頼を受信する。このとき、送信部３９は、当該通信パケットの「送信元ＩＰアドレス、送信元ポート番号、送信先ＩＰアドレス」として「ＩＰ１、８９１２、ＩＰ２」を受信し、アプリケーション名として「社用アプリ１」を受信する。

そして、送信部３９は、「ＩＰ１、８９１２、ＩＰ２」と「社用アプリ１」との組に対応する振分先「社用網（ＶＰＮ）」を、経路情報ＤＢ３２ｂから特定する。その後、送信部３９は、振分先がＶＰＮ３であることから、ＶＰＮソフトウェアを起動してＶＰＮ３を確立し、通信先の企業内サーバ５０「ＩＰ２」との間をＶＰＮ３で接続する。そして、送信部３９は、確立したＶＰＮ通信を用いて、該当通信パケットを通信先の送信先ＩＰアドレス「ＩＰ２」に対して送信する。送信部３９は、このようにして通信パケットを送信先に送信した後、経路情報ＤＢ３２ｂの最終利用時刻を送信時刻で更新する。なお、ＶＰＮの接続先サーバは企業内ネットワーク上のサーバである必要はあるが、必ずしも「ＩＰ２」の企業内サーバ５０そのものである必要はない。

また、送信部３９は、調査実行部３８から、「送信元ＩＰアドレス＝ＩＰ１、送信元ポート番号＝８９９０、送信先ＩＰアドレス＝ＩＰ３、アプリケーション名＝私用アプリ５を受信したとする。この場合、送信部３９は、「ＩＰ１、８９９０、ＩＰ３」と「私用アプリ５」との組に対応する振分先「私用網」を特定する。その後、送信部３９は、振分先が私用網であることから、物理網２を用いて、通信先の社外サーバ１「ＩＰ３」に対してパケットを送信する。

また、送信部３９は、調査実行部３８から、「送信元ＩＰアドレス＝ＩＰ１、送信元ポート番号＝８９９１、送信先ＩＰアドレス＝ＩＰ４、アプリケーション名＝社用アプリ２を受信したとする。「ＩＰ１、８９９１、ＩＰ４」と「社用アプリ２」との組に対応する振分先「社用網（ＶＰＮ）」を特定する。この場合、送信部は振分先が私用網であることから、ＶＰＮ３を用いて、社内サーバを経由したのち通信先の社外サーバ１「ＩＰ４」に対してパケットを送信する。

定期更新部４０は、経路情報を定期的に更新する処理部である。例えば、定期更新部４０は、経路情報ＤＢ３２ｂの最終利用時刻を監視し、最終利用時刻から所定時間経過した経路情報を削除する。一例を挙げると、定期更新部４０は、最終利用時刻から５分経過している経路情報について削除する。なお、どのくらい経過した情報を削除するかについては、任意に設定変更できる。

［処理の流れ］
図６は、実施例１に係るモバイルゲートウェイが実行する中継処理の流れを示すフローチャートである。図６に示すように、モバイルＧＷ３０が通信パケットを受信すると（Ｓ１０１：Ｙｅｓ）、抽出部３７は、当該通信パケットから送信元ＩＰアドレス、送信元ポート番号、送信先ＩＰアドレスを抽出する（Ｓ１０２）。なお、以下では、送信元ＩＰアドレス、送信元ポート番号、送信先ＩＰアドレスを抽出情報と表記する。

続いて、調査実行部３８は、抽出部３７によって抽出された情報が経路情報ＤＢ３２ｂに登録されているか否かを判定する（Ｓ１０３）。

そして、送信部３９は、調査実行部３８によって抽出情報が経路情報ＤＢ３２ｂに登録されていると判定された場合（Ｓ１０３：Ｙｅｓ）、抽出情報に対応付けられる振分先のネットワークを特定する（Ｓ１０４）。

その後、送信部３９は、特定したネットワークを用いて、通信パケットを宛先に送信する（Ｓ１０５）。続いて、送信部３９は、経路情報ＤＢ３２ｂにおいて抽出情報に対応付けられる最終利用時刻を送信時刻で更新する（Ｓ１０６）。

一方、Ｓ１０３において、調査実行部３８は、抽出情報が経路情報ＤＢ３２ｂに登録されていないと判定した場合（Ｓ１０３：Ｎｏ）、遡上調査を実行する（Ｓ１０７）。具体的には、調査実行部３８は、通信パケットの送信元である端末装置１０に送信元ポート番号を送信する。

そして、調査実行部３８は、端末装置１０から遡上調査結果としてアプリ名を受信すると（Ｓ１０８：Ｙｅｓ）、振分定義ＤＢ３２ａに、受信したアプリ名が登録されているか否かを判定する（Ｓ１０９）。

ここで、調査実行部３８は、受信したアプリ名が振分定義ＤＢ３２ａに登録されている場合（Ｓ１０９：Ｙｅｓ）、振分定義ＤＢ３２ａの振分先に記載された経路を経路情報に登録する（Ｓ１１０）。具体的には、調査実行部３８は、アプリ名に対応する振分先を特定し、上記抽出情報と特定した振分先とを対応付けて、経路情報ＤＢ３２ｂに登録する。

そして、送信部３９は、抽出情報に対応付けられる振分先のネットワークを特定し（Ｓ１１１）、特定したネットワークを用いて、通信パケットを宛先に送信する（Ｓ１１２）。その後、Ｓ１０６が実行される。

一方、調査実行部３８は、受信したアプリ名が振分定義ＤＢ３２ａに登録されていない場合（Ｓ１０９：Ｎｏ）、振分定義ＤＢ３２ａにおいて「その他」に対応付けられる振分先に記載された経路を経路情報ＤＢ３２ｂに登録する（Ｓ１１３）。その後、Ｓ１１１以降が実行される。

［効果］
このように、モバイルＧＷ３０は、パケット受信時、経路情報として未登録の送信元ポート番号があった場合、端末装置１０にアプリ名を要求する。そして、モバイルＧＷ３０は、アプリ名が振分定義３２ａに含まれていた場合、振分情報に記載された振分先を経路情報に設定する。この結果、既存システムを改造せずに、アプリ名と相手に応じた使い分けができ、端末装置１０内に追加導入する機能の作成も容易に行うことができる。また、モバイルＧＷ３０は、端末装置１０内から、同時に私用と業務用との通信が発生する場合でも、私用通信を許可しつつ、社内網を安全に維持することができる。

ところで、モバイルＧＷ３０は、送信元ポート番号からアプリ名を特定して通信網を切替える例を説明したが、これに限定されるものではなく、送信先のドメイン名もさらに考慮して、通信網を切替えることができる。そこで、実施例２では、送信先のドメイン名もさらに考慮して、通信網を切替える例を説明する。なお、図示しないＤＮＳサーバは、物理網２に接続されるものとする。

［端末装置の構成］
図７は、実施例２に係る端末装置の機能構成を示す機能ブロック図である。図７に示すように、端末装置１０は、実施例１と同様、通信処理部１１、記憶部１２、制御部１５を有する。実施例１と異なる点は、制御部１５が、名前解決部１５ｃを有する点である。

名前解決部１５ｃは、社外サーバ１の名前解決要求をＤＮＳ（Domain Name System）サーバ（図示せず）に送信する処理部である。具体的には、名前解決部１５ｃは、端末装置１０が社外サーバ１へＷｅｂアクセスして各種処理を実行することに先立って、社外サーバ１のＩＰ（Internet Protocol）アドレスをＤＮＳサーバに送信して名前解決を実行する。

［モバイルゲートウェイの構成］
図８は、実施例２に係るモバイルゲートウェイの機能構成を示す機能ブロック図である。図８に示すように、モバイルＧＷ３０は、実施例１と同様、通信処理部３１、記憶部３２、制御部３５を有する。ここでは、実施例１と異なる処理を実行するＤＮＳ中継部４１と、実施例１と異なる情報を記憶するＤＮＳキャッシュ３２ｃと振分定義ＤＢ３２ａとについて説明する。

ＤＮＳキャッシュ３２ｃは、端末装置１０が名前解決を実行して得られた情報を記憶するデータベースである。図９は、実施例２に係るＤＮＳキャッシュに記憶される情報の例を示す図である。図９に示すように、ＤＮＳキャッシュ３２ｃは、「ＩＰアドレス、ドメイン名」を対応付けて記憶する。

ここで記憶される「ＩＰアドレス」は、端末装置１０が名前解決を要求した通信先のＩＰアドレスである。「ドメイン名」は、ＤＮＳサーバがＩＰアドレスから名前解決をして得られたドメイン名である。図９の場合、ＩＰアドレスが「ＩＰ２」である通信先は、ドメイン「Ｍａｐ．ｃｏｍ」に属することを示している。

振分定義ＤＢ３２ａは、実施例１と同様、アプリケーションごとにどの通信網を使用するかを定義する情報を記憶するデータベースである。実施例１と異なる点は、ドメイン名がさらに対応付けられる点である。

図１０は、実施例２に係る振分定義ＤＢに記憶される情報の例を示す図である。図１０に示すように、振分定義ＤＢ３２ａは、「端末アプリ名、通信先ドメイン、振分先」を対応付けて記憶する。ここで記憶される「端末アプリ名」および「振分先」は、実施例１と同様なので、詳細な説明は省略する。「通信先ドメイン」は、通信パケットの送信先が属するドメイン名である。

図１０の例では、共用アプリ１のパケットで、送信先のドメインが「ｍａｐ．ｃｏｍ」に属するパケットは、社用網であるＶＰＮ通信で送信先に送信されることを示し、それ以外のアプリのパケットは、私用網である物理網２で送信先に送信されることを示す。

ＤＮＳ中継部４１は、端末装置１０からＤＮＳサーバへのパケットを中継する処理部である。例えば、ＤＮＳ中継部４１は、受信部３６によってＤＮＳ要求パケットが受信されると、当該ＤＮＳ要求パケットをＤＮＳサーバへ中継する。また、ＤＮＳ中継部４１は、ＤＮＳ要求パケットの応答であるＤＮＳ応答パケットをＤＮＳサーバから受信すると、当該ＤＮＳ応答パケットを端末装置１０に中継する。

ここで、ＤＮＳ中継部４１は、各種ＤＮＳパケットを中継する際に、ＤＮＳキャッシュ３２ｃに情報を登録する。例えば、ＤＮＳ中継部４１は、ＤＮＳ応答パケットを受信した際に、名前解決が要求されている「ＩＰアドレス」と名前解決の結果である「ドメイン名」とを当該パケットから抽出して、ＤＮＳキャッシュ３２ｃに登録する。

［ＤＮＳ登録処理］
図１１は、実施例２に係るモバイルゲートウェイが実行するＤＮＳ登録処理の流れを示すフローチャートである。図１１に示すように、ＤＮＳ中継部４１は、端末装置１０が送信したＤＮＳ要求パケットが受信部３６によって受信されると（Ｓ２０１：Ｙｅｓ）、当該ＤＮＳ要求パケットをＤＮＳサーバへ中継する（Ｓ２０２）。

その後、ＤＮＳ中継部４１は、ＤＮＳサーバからＤＮＳ応答パケットを受信すると（Ｓ２０３：Ｙｅｓ）、ＤＮＳキャッシュ３２ｃへの登録を実行する（Ｓ２０４）。具体的には、ＤＮＳ中継部４１は、名前解決を要求されている「ＩＰアドレス」と名前解決の結果である「ドメイン名」とを当該パケットから抽出して、ＤＮＳキャッシュ３２ｃに登録する。そして、ＤＮＳ中継部４１は、ＤＮＳ応答パケットを端末装置１０へ中継する（Ｓ２０５）。

［パケット中継処理］
図１２は、実施例２に係るモバイルゲートウェイが実行する中継処理の流れを示すフローチャートである。図１２に示すように、Ｓ３０１からＳ３０６は、図６で説明したＳ１０１からＳ１０６と同様の処理なので、詳細な説明は省略する。

Ｓ３０３において、調査実行部３８は、抽出情報が経路情報ＤＢ３２ｂに登録されていないと判定した場合（Ｓ３０３：Ｎｏ）、遡上調査を実行する（Ｓ３０７）。そして、調査実行部３８は、端末装置１０から遡上調査結果としてアプリ名を受信すると（Ｓ３０８：Ｙｅｓ）、Ｓ３０９を実行する。具体的には、調査実行部３８は、受信済みの通信パケットから送信先のＩＰアドレスを抽出し、当該通信パケットに対応付けられるドメイン名をＤＮＳキャッシュ３２ｃから検索する。

ここで、調査実行部３８は、受信したアプリ名と検索したドメイン名とが振分定義ＤＢ３２ａに登録されている場合（Ｓ３１０：Ｙｅｓ）、振分定義ＤＢ３２ａの振分先に記載された経路を経路情報に登録する（Ｓ３１１）。具体的には、調査実行部３８は、アプリ名とドメイン名との組に対応付けられる振分先を特定し、上記抽出情報、ドメイン名、振分先を対応付けて、経路情報ＤＢ３２ｂに登録する。

そして、送信部３９は、抽出情報に対応付けられる振分先のネットワークを特定し（Ｓ３１２）、特定したネットワークを用いて、通信パケットを宛先に送信する（Ｓ３１３）。その後、Ｓ３０６が実行される。

一方、調査実行部３８は、受信したアプリ名と検索したドメイン名とが振分定義ＤＢ３２ａに登録されていない場合（Ｓ３１０：Ｎｏ）、振分定義ＤＢ３２ａにおいて「その他」に対応付けられる振分先に記載された経路を経路情報ＤＢ３２ｂに登録する（Ｓ３１４）。その後、Ｓ３１２以降が実行される。

［効果］
このように、モバイルＧＷ３０は、ＤＮＳパケットを中継する際にＤＮＳ正引き結果をキャッシュしておき、振分定義としては、アプリ名に加え通信相手のＦＱＤＮ（Fully Qualified Domain Name：ドメイン名）に対して使用網を定義する。そして、モバイルＧＷ３０は、遡上調査の結果、特定した端末のアプリにさらに相手ＦＱＤＮも指定されていた場合に、受信パケットの宛先ＩＰをもとにＤＮＳキャッシュ３２ｃから特定した相手のＦＱＤＮをもとに、端末アプリと相手ＦＱＤＮをもとに通信網を決定する。

したがって、モバイルＧＷ３０は、コンテンツデリバリーネットワークによって変わるＩＰアドレスではなく、サービス提供者が管理できるＦＱＤＮを用いて、より詳細な条件で振分先を決定することができるので、セキュリティレベルに応じた振分先を簡単に定義することができ、利便性とセキュリティ確保を両立させることができる。

ところで、実施例２では、モバイルＧＷ３０は、送信先のドメイン名もさらに考慮して通信網を切替える例を説明したが、これに限定されるものではない。例えば、ログインＩＤやセッションＩＤもさらに考慮して、通信網を切替えることができる。そこで、実施例３では、ログインＩＤやセッションＩＤさらに考慮して、通信網を切替える例を説明する。

［端末装置の構成］
図１３は、実施例３に係る端末装置の機能構成を示す機能ブロック図である。図１３に示すように、端末装置１０は、実施例１と同様、通信処理部１１、記憶部１２、制御部１５を有する。実施例１と異なる点は、記憶部１２が、ログイン情報ＤＢ１２ｂとセッション情報ＤＢ１２ｃとを有する点である。

ログイン情報ＤＢ１２ｂは、端末装置１０が実行したログインの情報を記憶するデータベースである。具体的には、ログイン情報ＤＢ１２ｂは、端末装置１０が企業内サーバ５０や社外サーバ１へログインした際のユーザＩＤとパスワードとを対応付けて記憶する。また、ログイン情報ＤＢ１２ｂは、業務で使用する業務ＩＤと、私用で使用する私用ＩＤとを区別して記憶する。さらに、ログイン情報ＤＢ１２ｂは、ログイン情報が複数ある場合には、ログインしたサイトやログインしたアプリごとにログイン情報を記憶する。

セッション情報ＤＢ１２ｃは、端末装置１０が通信に使用するセッション情報を記憶するデータベースである。具体的には、セッション情報ＤＢ１２ｃは、端末装置１０と各サーバとの間に確立されたレイヤ７のセッション情報を記憶する。例えば、セッション情報ＤＢ１２ｃは、ＷｅｂブラウザのＣｏｏｋｉｅなどに記述されるセッションＩＤなどを記憶する。

［処理の説明］
図１４は、実施例３に係るモバイルゲートウェイが実行する中継処理を説明する図である。端末装置１０は、社外サーバ１または企業内サーバ５０が提供するサイトにアクセスする際に、当該サイトにログインし、ログインが許可された後は同一のレイヤ７セッション（Ｌ７セッション）でサイトへアクセスする。

そこで、モバイルＧＷ３０は、ログイン時にログインＩＤが、業務で使用する業務ＩＤか私用で使用する私用ＩＤかによって、通信に使用する網を選択する。また、モバイルＧＷ３０は、ログインが許可された後は、Ｌ７セッションを識別するセッションＩＤが同一のＩＤが使用されているかによって、通信に使用する網を選択する。

具体的には、図１４に示すように、モバイルＧＷ３０は、Ｌ７セッション開始前については、端末装置１０に業務ログインＩＤとの一致を判定させ、判定結果に応じて通信網を切替えてパケットを送信する。

すなわち、モバイルＧＷ３０は、認証前の状態では、端末装置１０のアプリがサイトにログインページを要求して応答を受信した際に、Ｗｅｂページに含まれるログインＩＤが業務ログインＩＤと一致するかの判定を端末装置１０に依頼する。

このとき、モバイルＧＷ３０は、ログインページのログインＩＤが業務ログインＩＤと一致する場合には、ログイン要求時のパケットをＶＰＮ３で送信する。一方、モバイルＧＷ３０は、ログインページのログインＩＤが業務ログインＩＤと一致しない場合には、ログイン要求時のパケットを物理網２で送信する。なお、モバイルＧＷ３０は、ログインページにログインＩＤが含まれていない場合には、ログイン要求時のパケットを物理網２で送信する。

また、モバイルＧＷ３０は、認証開始の状態では、端末装置１０のアプリがサイトにログインを要求してログイン画面に入力されたログインＩＤが業務ログインＩＤと一致するかの判定を端末装置１０に依頼する。

このとき、モバイルＧＷ３０は、ログイン時のログインＩＤが業務ログインＩＤと一致する場合には、ログイン時のパケットをＶＰＮ３で送信する。一方、モバイルＧＷ３０は、ログイン時のログインＩＤが業務ログインＩＤと一致しない場合には、ログイン時のパケットを物理網２で送信する。なお、モバイルＧＷ３０は、ログイン時のログインＩＤがパケットに含まれていない場合には、ログイン時のパケットを物理網２で送信する。

さらに、モバイルＧＷ３０は、Ｌ７セッション中の状態では、端末装置１０のアプリがサイトにアクセスするＷｅｂページに含まれるセッションＩＤが認証許可されたセッションＩＤと一致するかの判定を端末装置１０に依頼する。

このとき、モバイルＧＷ３０は、ＷｅｂページのＣｏｏｋｉｅに記載されるセッションＩＤが認証許可時のセッションＩＤと一致する場合には、認証許可時と同様にＶＰＮ３で通信パケットを送信する。一方、モバイルＧＷ３０は、ＷｅｂページのＣｏｏｋｉｅに記載されるセッションＩＤが認証許可時のセッションＩＤと一致しない場合には、通信パケットを物理網２で送信する。

したがって、モバイルＧＷ３０は、端末装置１０がＷｅｂサイトにアクセスして処理を終了するまで、そのときの状態に応じた情報を用いて網の選択を実行する。例えば、モバイルＧＷ３０は、ログイン開始前は、送信元ポート番号によるアプリ名の取得とログインＩＤの判定とを端末装置１０に要求する。そして、モバイルＧＷ３０は、「送信元ポート番号、ドメイン名、ログインＩＤの判定結果」を用いて、通信先の網を選択する。

さらに、モバイルＧＷ３０は、ログイン認証時は、送信元ポート番号によるアプリ名の取得とログインＩＤの判定とを端末装置１０に要求する。そして、モバイルＧＷ３０は、「送信元ポート番号、ドメイン名、ログインＩＤの判定結果」を用いて、通信先の網を選択する。

ログイン認証後は、モバイルＧＷ３０は、Ｗｅｂアクセスのたびに、送信元ポート番号によるアプリ名の取得とログインＩＤの判定とを端末装置１０に要求する。そして、モバイルＧＷ３０は、「送信元ポート番号、ドメイン名、Ｌ７セッションＩＤの判定結果」を用いて、通信先の網を選択する。

［定義情報の例］
図１５は、実施例３に係るモバイルゲートウェイの定義情報の例を説明する図である。図１５に示すように、モバイルＧＷ３０は、実施例１や実施例２で説明した端末アプリ名や通信先ドメイン以外に、ログインＩＤとＬ７セッションについて定義情報を保持する。

ログインＩＤに対しては指定欄と業務用ＩＤとが対応付けて管理される。指定欄は、Ｗｅｂページのどの欄に記載されるＩＤを判定対象とするかを定義する欄である。業務用ＩＤは、業務で使用されるＩＤ、すなわちセキュアな通信を要求されるＩＤである。ここで定義される情報は、管理者等が設定してもよく、端末装置１０との通信によって取得して設定してもよい。

Ｌ７セッションに対しては抽出方法と同定方法とが対応付けて管理される。抽出方法は、ＷｅｂページからＬ７セッションＩＤを抽出する方法を定義する欄である。同定方法は、Ｌ７セッションＩＤの同定方法を定義する情報である。ここで定義される情報は、管理者等が設定してもよく、端末装置１０との通信によって取得して設定してもよい。

図１５の場合、ログインＩＤについては、ＷｅｂページのＨＴＭＬ／ｕｉｄから抽出することが定義され、業務用ＩＤとしてはｕ２が定義されている。また、Ｌ７セッションについては、同定方法として、Ｃｏｏｋｉｅに記載されるセッションＩＤが一致するか否かによって判定することが定義されている。

したがって、モバイルＧＷ３０は、ここで定義される情報を端末装置１０に対して送信し、端末装置１０にログインＩＤやセッションＩＤを判定させる。そして、モバイルＧＷ３０は、判定結果によって通信先の網を選択してパケットを送信する。

例えば、モバイルＧＷ３０は、送信元ポート番号や通信先ドメイン名によってＶＰＮ３が特定された場合であっても、ログインＩＤやセッションＩＤが一致しない場合には、物理網２を選択することもできる。同様に、モバイルＧＷ３０は、送信元ポート番号や通信先ドメイン名によって物理網２が特定された場合であっても、ログインＩＤやセッションＩＤが一致する場合には、ＶＰＮ３を選択することもできる。

［処理の流れ］
図１６は、実施例３に係る端末装置が実行する処理の流れを示すフローチャートである。図１６に示すように、端末装置１０が起動されると（Ｓ４０１：Ｙｅｓ）、実行されたアプリがＷｅｂサイトのプラグインを読み込む（Ｓ４０２）。

続いて、プラグインが遡上調査の要求を受信すると（Ｓ４０３：Ｙｅｓ）、そして、プラグインは、要求種別と送信先のドメイン名とを、送信したパケットから抽出し（Ｓ４０４）、要求種別がログインＩＤの判定であるかを判定する（Ｓ４０５）。

そして、要求種別がログインＩＤの判定である場合（Ｓ４０５：Ｙｅｓ）、プラグインは、ログインＩＤ欄から抽出した値と指定される業務ＩＤとが一致するかを判定し（Ｓ４０６）、その結果が一致、不一致、定義なしの何れかであるかを指定した応答を生成して（Ｓ４０７）、応答結果をモバイルＧＷ３０に送信する（Ｓ４０８）。

一方、プラグインは、要求種別がログインＩＤの判定ではなく（Ｓ４０５：Ｎｏ）、セッションＩＤの要求である場合には（Ｓ４０９：Ｙｅｓ）、Ｌ７セッションの抽出方法にしたがってセッションＩＤを抽出する（Ｓ４１０）。そして、プラグインは、セッションＩＤを含んだ応答を生成して（Ｓ４１１）、応答結果をモバイルＧＷ３０に送信する（Ｓ４０８）。

また、プラグインは、要求種別がセッションＩＤの要求ではなく（Ｓ４０９：Ｎｏ）、セッションＩＤの判定である場合には（Ｓ４１２：Ｙｅｓ）、Ｌ７セッションの抽出方法にしたがって抽出したセッションＩＤと指定ＩＤとが一致するかを判定する（Ｓ４１３）。つまり、プラグインは、Ｃｏｏｋｉｅ内のセッションＩＤが認証許可時のセッションＩＤと一致するかを判定する。なお、端末装置１０は、認証許可時にセッションＩＤを記憶部等に記憶させておく。

プラグインは、セッションＩＤが一致するかを判定し、その結果が一致、不一致の何れであるかを指定した応答を生成して（Ｓ４１４）、応答結果をモバイルＧＷ３０に送信する（Ｓ４０８）。なお、プラグインは、要求種別がセッションＩＤの判定でもない場合には（Ｓ４１２：Ｎｏ）、処理を終了する。

なお、上記処理では、プラグインが実行する例で説明したが、これに限定されるものではなく、端末装置１０が有する制御部等が実行してもよい。

［効果］
このように、モバイルＧＷ３０は、ログインＩＤやセッションＩＤによって、通信パケットごとに通信対象の網を選択することができる。したがって、モバイルＧＷ３０は、セッションＩＤやログインＩＤの変化に追従することができ、当該変化によって通信網を遅滞なく切替えることができる。また、モバイルＧＷ３０は、通信パケットごとに通信網を切替えることができるので、私用通信を許可しつつ、社内網を安全に維持することができる。

さて、これまで本発明の実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下に異なる実施例を説明する。

（送信元情報）
上記実施例では、送信元情報として送信元ポート番号を使用する例を説明したが、これに限定されるものではなく、アプリを特定でき、ヘッダ等に記載できる情報であればどのような情報でも適用することができる。

（通信網）
上記実施例では、インターネットなどの物理網２と、ＶＰＮ３などのセキュアな通信網とを選択して切替える例を説明したが、これに限定されるものではない。例えば、物理網２とＶＬＡＮ（Virtual Local Area Network）などを選択することもでき、異なるＶＬＡＮを選択することもできる。

（システム）
また、本実施例において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともできる。あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散や統合の具体的形態は図示のものに限られない。つまり、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

（端末装置のハードウェア）
図１７は、端末装置のハードウェア構成例を示す図である。図１７に示すように、端末装置１０は、アンテナ１０ａ、無線部１０ｂ、オーディオ入出力部１０ｃ、表示部１０ｆ、記憶部１０ｇ、プロセッサ１０ｈを有する。なお、図１７に示したハードウェア構成は一例であり、近距離無線部などの他のハードウェアを有していてもよい。

アンテナ１０ａは、各種データなどの無線信号を送受信する送受信機の一例である。無線部１０ｂは、アンテナ１０ａを介して、無線通信を実行するＣＣＰＵ（Communication Central Processing Unit）などの一例である。例えば、無線部１０ｂは、アンテナ１０ａを介して信号を受信し、受信信号をプロセッサ１０ｈへ出力する。また、無線部１０ｂは、アンテナ１０ａを介して、プロセッサ１０ｈによって生成された信号を送信する。この無線部１０ｂは、例えば端末装置１０が通話可能な携帯電話機である場合には、ユーザの発話音声や受話音声などの信号を送受信する。

オーディオ入出力部１０ｃは、音声の集音や音声出力を実行する入出力インタフェースの一例である。例えば、オーディオ入出力部１０ｃは、マイク１０ｅで収音した音声にオーディオ処理を施すと共に、無線部１０ｂ経由で受信した無線信号内の音声信号にオーディオ処理を施してスピーカ１０ｄから音響を出力する。

表示部１０ｆは、各種情報を表示するディスプレイやタッチパネルの一例である。例えば、表示部１０ｆは、プロセッサ１０ｈによって実行されたアプリケーション等の画面や発着信の情報などを表示する。

記憶部１０ｇは、端末装置１０の各種機能を実行するためのデータや各種プログラムを格納する記憶装置である。例えば、記憶部１０ｇは、図２、図７、図１３等に示したＤＢと同様の情報を記憶する。記憶部１０ｇの一例としては、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、ハードディスクなどがある。

プロセッサ１０ｈは、記憶部１０ｇが有するＲＯＭやＲＡＭに記憶されるプログラムやデータを用いて、端末装置１０の全体を制御する。プロセッサ１０ｈの一例としては、例えばＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）などがある。

このプロセッサ１０ｈは、ＲＯＭ等に記憶されるプログラムをＲＡＭに展開して、各種処理に対応する各種プロセスを実行する。例えば、プロセッサ１０ｈは、図２、図７、図１３等で説明した各処理部と同様の処理を実行するプロセスを動作させる。なお、プロセッサ１０ｈは、端末装置１０が実行する一般的な処理を実行するが、ここでは省略する。なお、一般的な処理には、Ｗｅｂ処理、メール送受信、ゲームやＳＮＳなどの各種アプリケーションの実行、アプリケーションのダウンロードやインストールなどがある。

（モバイルＧＷのハードウェア）
図１８は、モバイルゲートウェイのハードウェア構成例を示す図である。図１８に示すように、モバイルＧＷ３０は、通信インタフェース３０ａ、入力装置３０ｂ、表示装置３０ｃ、記憶部３０ｄ、プロセッサ３０ｅを有する。なお、図１８に示したハードウェア構成は一例であり、他のハードウェアを有していてもよい。

通信インタフェース３０ａは、端末装置１０やＤＮＳサーバ等との間で、データの送受信を実行するインタフェースであり、例えばネットワークインタフェースカードや無線インタフェースなどである。

入力装置３０ｂは、ユーザ等からの入力を受け付ける装置であり、例えばマウスやキーボードなどである。表示装置３０ｃは、各種情報を表示するディスプレイやタッチパネルなどである。

記憶部３０ｄは、モバイルＧＷ３０の各種機能を実行するためのデータや各種プログラムを格納する記憶装置である。例えば、記憶部３０ｄは、図３や図８に示した各ＤＢと同様の情報を記憶する。記憶部３０ｄの一例としては、ＲＯＭ、ＲＡＭ、ハードディスクなどがある。

プロセッサ３０ｅは、記憶部３０ｄが有するＲＯＭやＲＡＭに記憶されるプログラムやデータを用いて、モバイルＧＷ３０の全体を制御する。プロセッサ３０ｅの一例としては、例えばＣＰＵやＭＰＵなどがある。このプロセッサ３０ｅは、ＲＯＭ等に記憶されるプログラムをＲＡＭに展開して、各種処理に対応する各種プロセスを実行する。例えば、プロセッサ３０ｅは、図３や図８に示した各処理部と同様の処理を実行するプロセスを動作させる。

１ 社外サーバ
２ 物理網
３ ＶＰＮ
１０ 端末装置
１１ 通信処理部
１２ 記憶部
１２ａ ポート利用情報ＤＢ
１２ｂ ログイン情報ＤＢ
１２ｃ セッション情報ＤＢ
１５ 制御部
１５ａ アプリ実行部
１５ｂ 遡上調査実行部
１５ｃ 名前解決部
３０ モバイルＧＷ
３１ 通信処理部
３２ 記憶部
３２ａ 振分定義ＤＢ
３２ｂ 経路情報ＤＢ
３２ｃ ＤＮＳキャッシュ
３５ 制御部
３６ 受信部
３７ 抽出部
３８ 調査実行部
３９ 送信部
４０ 定期更新部
４１ ＤＮＳ中継部
５０ 企業内サーバ

Claims (6)

1. 端末装置が使用するアクセスポイントである通信制御装置において、
   各アプリケーションと、前記各アプリケーションが使用するネットワークのセキュリティが担保されたセキュア網かセキュリティが担保されていない物理網かを示す振分先情報とを記憶する記憶部と、
   前記端末装置からパケットを受信する受信部と、
   前記受信部によって受信されたパケットの送信元に関する送信元情報を抽出する抽出部と、
   前記抽出部によって抽出された前記送信元情報を前記端末装置に送信して、前記送信元情報に対応付けられるアプリケーションを問合せる問合せ部と、
   前記問合せ部による問合せで得られたアプリケーションに対応付けられる通信網が前記セキュア網である場合は、前記セキュア網を介して前記パケットを宛先に送信し、前記アプリケーションに対応付けられる通信網が前記物理網である場合は、前記物理網を介して前記パケットを宛先に送信する送信部と
   を有することを特徴とする通信制御装置。
2. 前記記憶部は、前記アプリケーションに対応付けられる前記送信元情報と、前記振分先情報とを対応付けて記憶し、
   前記問合せ部は、受信された前記パケットの送信元情報が前記記憶部に記憶されていない場合に、前記送信元情報を使用するアプリケーションを問合せることを特徴とする請求項１に記載の通信制御装置。
3. 前記抽出部は、受信された前記パケットから宛先のアドレス情報をさらに抽出し、
   前記送信部は、抽出された前記宛先のアドレス情報を用いて特定した宛先のドメイン情報と、前記問合せ部による問合せで得られたアプリケーションとに基づいて、前記アプリケーションが使用する通信網が前記セキュア網か前記物理網かを特定し、特定した通信網を介して前記パケットを宛先に送信することを特徴とする請求項１または２に記載の通信制御装置。
4. 前記問合せ部は、前記宛先に対するログイン情報、または、前記宛先との間のセッションを識別するセッション情報が、業務で使用する情報と一致するか否かを前記端末装置にさらに問合せ、
   前記送信部は、前記端末装置から受信した問合せ結果をさらに用いて、前記アプリケーションが使用する通信網が前記セキュア網か前記物理網かを特定し、特定した通信網を介して、前記受信部によって受信された前記パケットを宛先に送信することを特徴とする請求項１から３のいずれか一つに記載の通信制御装置。
5. 端末装置が使用するアクセスポイントである通信制御装置が、
   前記端末装置からパケットを受信し、
   受信されたパケットの送信元に関する送信元情報を抽出し、
   抽出された前記送信元情報を前記端末装置に送信して、前記送信元情報に対応付けられるアプリケーションを問合せ、
   各アプリケーションと、前記各アプリケーションが使用するネットワークのセキュリティが担保されたセキュア網かセキュリティが担保されていない物理網かを示す振分先情報とを記憶する記憶部を参照し、問合せで得られたアプリケーションに対応付けられる通信網が前記セキュア網である場合は、前記セキュア網を介して前記パケットを宛先に送信し、前記アプリケーションに対応付けられる通信網が前記物理網である場合は、前記物理網を介して前記パケットを宛先に送信する
   処理を実行することを特徴とする通信制御方法。
6. 端末装置が使用するアクセスポイントである通信制御装置に、
   前記端末装置からパケットを受信し、
   受信されたパケットの送信元に関する送信元情報を抽出し、
   抽出された前記送信元情報を前記端末装置に送信して、前記送信元情報に対応付けられるアプリケーションを問合せ、
   各アプリケーションと、前記各アプリケーションが使用するネットワークのセキュリティが担保されたセキュア網かセキュリティが担保されていない物理網かを示す振分先情報とを記憶する記憶部を参照し、問合せで得られたアプリケーションに対応付けられる通信網が前記セキュア網である場合は、前記セキュア網を介して前記パケットを宛先に送信し、前記アプリケーションに対応付けられる通信網が前記物理網である場合は、前記物理網を介して前記パケットを宛先に送信する
   処理を実行させることを特徴とする通信制御プログラム。

Images