(57)【要約】【課題】加入者端末が他者ｖＣＰＥに接続する場合に、加入者端末と、他者ｖＣＰＥに接続する他者端末との間の接続関係を柔軟に変更することができる。【解決手段】通信システム１は、加入者端末１００Ａが他者ｖＣＰＥ３１０Ｂに接続する場合に、他者ｖＣＰＥ３１０Ｂ及び加入者端末１００Ａにおける接続許容条件を基に、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とを、同一のネットワークセグメントで実行するか否かを判定し、他者ｖＣＰＥ３１０Ｂは、判定に応じて、加入者端末１００Ａに対して他者端末１００Ｂに割り当てたネットワークセグメントと異なるネットワークセグメント、或いは、同じネットワークセグメントを割り当てる。【選択図】図１
2020028069.tif 000002
【特許請求の範囲】
【請求項１】
第１の端末が所属する第１のｖＣＰＥ（virtual  Customer  Premise  Equipment）、第２の端末が接続する第２のｖＣＰＥ、及び、認証サーバを有する通信システムであって、
前記第１の端末が前記第２のｖＣＰＥに接続する場合に、前記第２のｖＣＰＥ及び前記第１の端末における接続許容条件を基に、前記第２の端末及び前記第２のｖＣＰＥの間の接続と、前記第１の端末及び前記第２のｖＣＰＥの間の接続とを、同一のネットワークセグメントで実行するか否かを判定する判定部
を有し、
前記第２のｖＣＰＥは、
前記認証サーバにおいて前記第１の端末が登録されている場合には、前記認証サーバにより通知された前記第１のｖＣＰＥのアドレスを基に、前記第１のｖＣＰＥとトンネル接続を行う接続部と、
前記第２の端末及び前記第２のｖＣＰＥの間の接続と、前記第１の端末及び前記第２のｖＣＰＥの間の接続とを異なるネットワークセグメントで実行すると判定された場合には、前記第１の端末に対して前記第２の端末に割り当てたネットワークセグメントと異なるネットワークセグメントを割り当て、前記第２の端末及び前記第２のｖＣＰＥの間の接続と、前記第１の端末及び前記第２のｖＣＰＥの間の接続とを同一のネットワークセグメントで実行すると判定された場合には、前記第１の端末に対して前記第２の端末に割り当てたネットワークセグメントを割り当てる割り当て部と、
を有することを特徴とする通信システム。
【請求項２】
前記割り当て部は、
前記第２の端末及び前記第２のｖＣＰＥの間の接続と、前記第１の端末及び前記第２のｖＣＰＥの間の接続とを異なるネットワークセグメントで実行すると判定された場合には、前記第１の端末について前記第２の端末に割り当てたＶＬＡＮとは異なるＶＬＡＮを割り当て、
前記第２の端末及び前記第２のｖＣＰＥの間の接続と、前記第１の端末及び前記第２のｖＣＰＥの間の接続とを同一のネットワークセグメントで実行すると判定された場合には、前記第１の端末について前記第２の端末に割り当てたＶＬＡＮを割り当てる
ことを特徴とする請求項１に記載の通信システム。
【請求項３】
前記割り当て部は、
前記第２の端末及び前記第２のｖＣＰＥの間の接続と、前記第１の端末及び前記第２のｖＣＰＥの間の接続とを異なるネットワークセグメントで実行すると判定された場合には、前記第１の端末について前記第２の端末とは異なるトンネルを割り当て、
前記第２の端末及び前記第２のｖＣＰＥの間の接続と、前記第１の端末及び前記第２のｖＣＰＥの間の接続とを同一のネットワークセグメントで実行すると判定された場合には、前記第１の端末について前記第２の端末に割り当てたトンネルを割り当てる
ことを特徴とする請求項１に記載の通信システム。
【請求項４】
前記認証サーバは、
端末のＭＡＣアドレスと前記端末を収容するｖＣＰＥの識別情報と前記端末の加入者ＩＤと前記端末が接続を許容するｖＣＰＥの識別情報とを対応付けた端末情報と、前記ｖＣＰＥの識別情報と前記ｖＣＰＥが接続を許容する加入者ＩＤとを対応付けたｖＣＰＥ管理情報と、を記憶する記憶部
を有し、
前記判定部は、前記端末情報と前記ｖＣＰＥ管理情報とを基に、前記第２の端末及び前記第２のｖＣＰＥの間の接続と、前記第１の端末及び前記第２のｖＣＰＥの間の接続とを、同一のネットワークセグメントで実行するか否かを判定することを特徴とする請求項１〜３のいずれか一つに記載の通信システム。
【請求項５】
前記判定部は、
前記端末情報と前記ｖＣＰＥ管理情報とを基に、前記第１の端末の加入者ＩＤが、前記第２のｖＣＰＥが接続を許容する加入者ＩＤであり、かつ、前記第２のｖＣＰＥが、前記第１の端末が接続を許容するｖＣＰＥである場合に、前記第２の端末及び前記第２のｖＣＰＥの間の接続と、前記第１の端末及び前記第２のｖＣＰＥの間の接続とを同一のネットワークセグメントで実行すると判定し、
前記第１の端末の加入者ＩＤが、前記第２のｖＣＰＥが接続を許容する加入者ＩＤでない、または、前記第２のｖＣＰＥが、前記第１の端末が接続を許容するｖＣＰＥでない場合に、前記第２の端末及び前記第２のｖＣＰＥの間の接続と、前記第１の端末及び前記第２のｖＣＰＥの間の接続とを異なるネットワークセグメントで実行すると判定することを特徴とする請求項４に記載の通信システム。
【請求項６】
第１の端末が所属する第１のｖＣＰＥ（virtual  Customer  Premise  Equipment）、第２の端末が接続する第２のｖＣＰＥ、及び、認証サーバを有する通信システムが実行する通信方法であって、
前記第１の端末が前記第２のｖＣＰＥに接続する場合に、前記第２のｖＣＰＥ及び前記第１の端末における接続許容条件を基に、前記第２の端末及び前記第２のｖＣＰＥの間の接続と、前記第１の端末及び前記第２のｖＣＰＥの間の接続とを、同一のネットワークセグメントで実行するか否かを判定する工程と、
前記第２のｖＣＰＥが、前記認証サーバにおいて前記第１の端末が登録されている場合には、前記認証サーバにより通知された前記第１のｖＣＰＥのアドレスを基に、前記第１のｖＣＰＥとトンネル接続を行う工程と、
前記第２のｖＣＰＥが、前記第２の端末及び前記第２のｖＣＰＥの間の接続と、前記第１の端末及び前記第２のｖＣＰＥの間の接続とを異なるネットワークセグメントで実行すると判定された場合には、前記第１の端末に対して前記第２の端末に割り当てたネットワークセグメントと異なるネットワークセグメントを割り当てる工程と、
前記第２のｖＣＰＥが、前記第２の端末及び前記第２のｖＣＰＥの間の接続と、前記第１の端末及び前記第２のｖＣＰＥの間の接続とを同一のネットワークセグメントで実行すると判定された場合には、前記第１の端末に対して前記第２の端末に割り当てたネットワークセグメントを割り当てる工程と、
を含んだことを特徴とする通信方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信システム及び通信方法に関する。
【背景技術】
【０００２】
宅内の端末がインターネット接続を行うためには、端末が通信事業者の回線へ接続してから、インターネットへ接続することが一般的である。通信事業者の回線接続においては、より柔軟な接続サービスが求められている。
【０００３】
通常、加入者の端末が通信事業者の回線に接続する際には、通信事業者の回線認証が行われ、認証に成功した場合に、接続がなされる。当該回線認証時に、加入者毎のサービス条件が確認され、当該サービス条件が適用される。
【０００４】
ここで、通信事業者による柔軟かつタイムリーなサービス提供を実現するために、ＨＧＷ（Home  Gate  Way）等の機能をネットワーク上に一部配備するｖＣＰＥ（virtual  Customer  Premise  Equipment）技術が提案され、実用化されている（例えば、非特許文献１，２参照）。このうち、ｖＣＰＥ技術は、柔軟にサービスを追加・削除可能な方法として適用されている。
【０００５】
さらに、ｖＣＰＥを活用して、宅外から宅内ネットワークへの接続を実現し、宅外から、容易に宅内ネットワークを使用可能とする方法が提案されている（非特許文献３，４参照）。この方法は、宅外のｖＣＰＥが、宅内のｖＣＰＥと接続し、ｖＣＰＥ上のＮＡＴ（Network  Address  Translation）機能による転送を行い、ｖＣＰＥ同士を連携している。この方法によれば、加入者は、複雑な設定なしに、宅外でも宅内と同様のサービスを使用可能とする。
【先行技術文献】
【非特許文献】
【０００６】
【非特許文献１】NEC，vCPE  virtualized  Customer  Premises  Equipment，［online］，［平成３０年７月３０日検索］，インターネット＜ＵＲＬ：http://jpn.nec.com/tcs/vCPE/index.html＞
【非特許文献２】JUNIPER，Virtualized  CPE  -Juniper  Networks，［online］，［平成３０年７月３０日検索］，インターネット＜ＵＲＬ：https://www.juniper.net/jp/jp/solutions/nfv/vCPE/＞
【非特許文献３】河野，宮本，木村，本間，土屋，岡田，佐藤，“ｖＣＰＥを活用したロケーションフリーな回線接続サービス提供方式の提案”，信学技報，vol.  118，no.6，pp.  19-24，Apr.  2018.
【非特許文献４】ALAXALA,  ダイナミックＶＬＡＮモード，［online］，［平成３０年７月３０日検索］、インターネット＜ＵＲＬ：https://www.alaxala.com/jp/techinfo/archive/manual/AX2400S/HTML/11_7/CFGUIDE2/0199.HTM#ID00707＞
【発明の概要】
【発明が解決しようとする課題】
【０００７】
非特許文献３の技術では、宅外のｖＣＰＥ（他者ｖＣＰＥ）が、他者ｖＣＰＥに接続した加入者端末が所属するｖＣＰＥ（加入者ｖＣＰＥ）を判別している。このため、非特許文献３の技術では、他者ｖＣＰＥまでは、加入者端末と、他者ｖＣＰＥに元々接続する他者端末とで共通のネットワークセグメントとなっていた。
【０００８】
ここで、ネットワーク提供者それぞれが、加入者端末と他者端末との間の接続性を適切にコントロールしたいという要求がある。具体的には、接続する加入者端末の使用者からは、接続先の他者の宅内ネットワークに、悪意のあるソフトウェアがインストールされた端末等が接続されている可能性があるため、他者端末とネットワークセグメントを分離したいという要望がある。また、接続される側の他者端末の使用者からは、加入者端末に、脆弱性を持つ可能性や、悪意のあるソフトウェアがインストールされている可能性があるため、加入者端末とネットワークセグメントを分離したいという要望がある。
【０００９】
しかしながら、他者ｖＣＰＥまでは、加入者端末と、他者ｖＣＰＥに元々接続する他者端末とで共通のネットワークセグメントであるため、端末間でネットワークセグメントの分離が困難であった。
【００１０】
本発明は、上記に鑑みてなされたものであって、加入者端末が他者ｖＣＰＥに接続する場合に、加入者端末と、他者ｖＣＰＥに接続する他者端末との間の接続関係を柔軟に変更することができる通信システム及び通信方法を提供することを目的とする。
【課題を解決するための手段】
【００１１】
上述した課題を解決し、目的を達成するために、本発明に係る通信システムは、第１の端末が所属する第１のｖＣＰＥ（virtual  Customer  Premise  Equipment）、第２の端末が接続する第２のｖＣＰＥ、及び、認証サーバを有する通信システムであって、第１の端末が第２のｖＣＰＥに接続する場合に、第２のｖＣＰＥ及び第１の端末における接続許容条件を基に、第２の端末及び第２のｖＣＰＥの間の接続と、第１の端末及び第２のｖＣＰＥの間の接続とを、同一のネットワークセグメントで実行するか否かを判定する判定部を有し、第２のｖＣＰＥは、認証サーバにおいて第１の端末が登録されている場合には、認証サーバにより通知された第１のｖＣＰＥのアドレスを基に、第１のｖＣＰＥとトンネル接続を行う接続部と、第２の端末及び第２のｖＣＰＥの間の接続と、第１の端末及び第２のｖＣＰＥの間の接続とを異なるネットワークセグメントで実行すると判定された場合には、第１の端末に対して第２の端末に割り当てたネットワークセグメントと異なるネットワークセグメントを割り当て、第２の端末及び第２のｖＣＰＥの間の接続と、第１の端末及び第２のｖＣＰＥの間の接続とを同一のネットワークセグメントで実行すると判定された場合には、第１の端末に対して第２の端末に割り当てたネットワークセグメントを割り当てる割り当て部と、を有することを特徴とする。
【発明の効果】
【００１２】
本発明によれば、加入者端末が他者ｖＣＰＥに接続する場合に、加入者端末と、他者ｖＣＰＥに接続する他者端末との間の接続関係を柔軟に変更することができる。
【図面の簡単な説明】
【００１３】
【図１】図１は、実施の形態に係る通信システムの構成の一例を示す図である。
【図２】図２は、図１に示す通信システムにおける通信処理の流れを説明する図である。
【図３】図３は、ネットワークセグメントの割り当てを説明する図である。
【図４】図４は、ネットワークセグメントの割り当てを説明する図である。
【図５】図５は、ネットワークセグメントの割り当ての他の例を説明する図である。
【図６】図６は、図１に示す他者ＶＣＰＥの構成の一例を示す図である。
【図７】図７は、ＶＬＡＮ払出し情報テーブルのデータ構成の一例を示す図である。
【図８】図８は、図１に示す認証サーバの構成の一例を示す図である。
【図９】図９は、端末情報テーブルのデータ構成の一例を示す図である。
【図１０】図１０は、ｖＣＰＥ管理テーブルのデータ構成の一例を示す図である。
【図１１】図１１は、連携実施有無テーブルのデータ構成を示す図である。
【図１２】図１２は、図１に示す他者ＣＰＥの構成の一例を示す図である。
【図１３】図１３は、図１に示す他者ＣＰＥの概要を示す図である。
【図１４】図１４は、ＶＬＡＮ管理テーブルのデータ構成の一例を示す図である。
【図１５】図１５は、実施の形態に係る通信処理の処理手順を示すシーケンス図である。
【図１６】図１６は、実施の形態１の変形例１における他者ｖＣＰＥの構成の一例を示す図である。
【図１７】図１７は、実施の形態１の変形例１における認証サーバの構成の一例を示す図である。
【図１８】図１８は、実施の形態の変形例１に係る通信処理の処理手順を示すシーケンス図である。
【図１９】図１９は、実施の形態１の変形例２における他者ＣＰＥの構成の一例を示す図である。
【図２０】図２０は、実施の形態の変形例２に係る通信処理の処理手順を示すシーケンス図である。
【図２１】図２１は、プログラムが実行されることにより、ｖＣＰＥ、ｖＣＰＥ、認証サーバが実現されるコンピュータの一例を示す図である。
【発明を実施するための形態】
【００１４】
以下、図面を参照して、本発明の一実施形態を詳細に説明する。なお、この実施の形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。
【００１５】
［実施の形態］
本発明の実施の形態について説明する。図１は、実施の形態に係る通信システムの構成の一例を示す図である。
【００１６】
図１に示すように、実施の形態に係る通信システム１は、加入者Ａの宅内ネットワークの端末１００Ａ、または、加入者Ｂの宅内ネットワークの端末１００Ｂが、回線事業者網を介して、インターネット通信網に接続する構成を有する。
【００１７】
加入者Ａの宅内ネットワークは、端末１００Ａと、ＣＰＥ１１０Ａとを有する。加入者Ａの宅内ネットワークは、ルータ２００Ａを介して回線事業者網に接続する。また、加入者Ｂの宅内ネットワークは、端末１００Ｂと、ＣＰＥ１１０Ｂとを有する。加入者Ａの宅内ネットワークは、ルータ２００Ｂを介して回線事業者網に接続する。
【００１８】
回線事業者網には、認証サーバ４００と、端末１００Ａが所属するｖＣＰＥ３１０Ａと、端末１００Ｂが所属する３１０Ｂが設けられる。ｖＣＰＥ３１０Ａ，３１０Ｂは、実際には、サーバ装置（不図示）内で動作する。以下、端末１００Ａ及び端末１００Ｂを総称する際には端末１００とする。ｖＣＰＥ３１０Ａ及びｖＣＰＥ３１０Ｂを総称する際にはｖＣＰＥ３１０とする。ＣＰＥ１１０Ａ及びＣＰＥ１１０Ｂを総称する際にはＣＰＥ１１０とする。
【００１９】
認証サーバ４００は、端末１００の登録を行い、端末１００と当該端末１００が所属するｖＣＰＥとの組を記憶する。また、認証サーバ４００は、各ｖＣＰＥ３１０の接続許容条件及び各端末１００における接続許容条件を記憶する。認証サーバ４００は、端末１００によるｖＣＰＥ３１０を介した問い合わせを受けた場合、この端末１００が未登録の場合には登録を行う。また、認証サーバは、端末１００によるｖＣＰＥ３１０を介した問い合わせを受けた場合、この端末１００の登録情報を確認するための認証手続きを行う。
【００２０】
ｖＣＰＥ３１０は、端末１００接続時のアドレスの払い出し、及び、ＣＰＥ１１０からのトンネルを終端する等の機能を有する。また、ＣＰＥ１１０は、ｖＣＰＥ３１０へのトンネル接続機能を有する。
【００２１】
本実施の形態では、加入者Ａの端末１００Ａが、他者である加入者Ｂの宅内ネットワークに接続する場合について説明する。この場合、加入者Ｂの端末１００Ｂが所属するｖＣＰＥ３１０Ｂと、加入者Ａの端末１００Ａが所属するｖＣＰＥ３１０Ａとの間のトンネルＴ１を介して、端末１００Ａは、ｖＣＰＥ３１０Ａと接続する。
【００２２】
そこで、以降においては、加入者Ａの端末１００Ａを加入者端末１００Ａ（第１の端末）とし、加入者Ａの拠点のＣＰＥ１１０Ａを加入者ＣＰＥ１１０Ａとし、加入者Ａの拠点のｖＣＰＥ３１０Ａを加入者ｖＣＰＥ３１０Ａ（第１のｖＣＰＥ）として説明する。そして、加入者Ｂの端末１００Ｂを他者端末１００Ｂ（第２の端末）とし、加入者Ｂの拠点のＣＰＥ１１０Ｂを他者ＣＰＥ１１０Ｂとし、加入者Ｂの拠点のｖＣＰＥ３１０Ｂを他者ｖＣＰＥ（第２のｖＣＰＥ）として説明する。
【００２３】
本実施の形態では、認証サーバ４００は、加入者端末１００Ａが他者ｖＣＰＥ３１０Ｂに接続する場合に、接続許容条件を参照し、加入者端末１００Ａの接続許容内容、及び、他者ｖＣＰＥ３１０Ｂの接続許容内容に応じて、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とを、同一のネットワークセグメントで実行するか否かを判定する。通信システム１では、この判定に応じて他者ｖＣＰＥ３１０Ｂがネットワークセグメントを設定することによって、他者ｖＣＰＥ３１０Ｂに接続する加入者端末１００Ａと、他者端末１００Ｂとの間の接続関係の変更を可能にする。
【００２４】
［通信処理の流れ］
次に、通信システム１における通信処理の流れを説明する。図２は、図１に示す通信システム１における通信処理の流れを説明する図である。図２を参照し、他者ｖＣＰＥ３１０Ｂに接続する加入者端末１００Ａと、他者端末１００Ｂとの間のネットワークセグメントを設定するまでの処理の流れについて説明する。
【００２５】
まず、図２に示すように、認証サーバ４００は、加入者の端末の端末情報（例えば、ＭＡＣ（Media  Access  Control  address）アドレス）と、加入者の端末が所属するｖＣＰＥの識別情報（例えば、ＩＰ（Internet  Protocol）アドレス）とを有している。加入者Ａの加入者端末１００Ａの端末情報が認証サーバ４００に登録される際に、加入者端末１００Ａについての相互接続の許可の可否も登録される（図２の（１）参照）。許可登録の方法の一例を説明する。例えば、認証サーバ４００による端末情報登録時に、初期設定として不許可が自動登録される。加入者は、宅外からの接続を許可したい場合、ＷｅｂインタフェースやＡＰＩを経由して許可設定を行う。
【００２６】
加入者Ａの加入者端末１００Ａが、加入者Ｂ（宅外）の宅内ネットワークに接続する（図２の（２）参照）。このとき、加入者端末１００Ａは、他者ｖＣＰＥ３１０Ｂに対してアドレス要求を行う（図２の（３）参照）。他者ｖＣＰＥ３１０Ｂは、認証サーバに対して加入者端末１００Ａの認証を求める（図２の（４）参照）。
【００２７】
認証サーバ４００は、認証要求に応じて、加入者端末１００Ａの認証を行う（図２の（４）参照）。さらに、認証サーバ４００は、接続許容条件を参照し、加入者端末１００Ａと他者端末１００Ｂとの相互接続判定を行う（図２の（５）参照）。認証サーバ４００は、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とに対して、適用するネットワークセグメントを設定する（図２の（５）参照）。言い換えると、認証サーバ４００は、接続許容条件に応じて、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とを、同一のネットワークセグメントに設定する。或いは、接続許容条件に応じて、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とを、異なるネットワークセグメントに設定する。
【００２８】
そして、他者ｖＣＰＥ３１０Ｂは、加入者端末１００Ａが所属する加入者ｖＣＰＥ３１０ＡのＩＰアドレスを認証サーバ４００から取得して（図２の（６）参照）、加入者ｖＣＰＥ３１０Ａとの間をトンネルＴ１（Ｌ３トンネル）で接続する（図２の（７）参照）。そして、他者ｖＣＰＥ３１０Ｂは、加入者端末１００ＡによるトラフィックをトンネルＴ１へ転送するように設定する。
【００２９】
続いて、他者ｖＣＰＥ３１０Ｂは、認証サーバ４００によるネットワークセグメントの設定にしたがったＶＬＡＮ（Virtual  Local  Area  Network）設定を行う（図２の（６）参照）。図３及び図４は、ネットワークセグメントの割り当てを説明する図である。図３及び図４は、通信システム１の要部のみを示す。
【００３０】
具体的に、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とを、同一のネットワークセグメントで実行すると設定された場合について説明する。この場合、他者ｖＣＰＥ３１０Ｂは、加入者端末１００Ａに対して他者端末１００Ｂに割り当てたＶＬＡＮ（図２及び図３のＶ１）を割り当てる。これによって、加入者端末１００Ａと他者端末１００Ｂとの間で同じＶＬＡＮでの接続が可能になる。
【００３１】
また、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とを、異なるネットワークセグメントで実行すると設定された場合について説明する。この場合、ｖＣＰＥ３１０Ｂは、加入者端末１００Ａについて、他者端末１００Ｂに割り当てたＶＬＡＮ（図２及び図４のＶ１）とは異なるＶＬＡＮ（図２及び図４のＶ２）を割り当てる。これによって、加入者端末１００Ａと他者端末１００Ｂとの間では分離が可能になる。
【００３２】
なお、ＶＬＡＮを用いずに、他者ＣＰＥ１１０ＢのＬ２フォワーディングの際の設定により、加入者端末１００Ａと他者端末１００Ｂとの間の分離を実現することも可能である。また、図５は、ネットワークセグメントの割り当ての他の例を説明する図である。例えば、ｖＣＰＥ３１０Ｂは、他者端末１００ＢにＬＥトンネルＴ２−１を割り当てた場合には、加入者端末１００Ａについて、トンネルＴ２−１とは異なるＬ３トンネルＴ２−２を割り当てることによって、加入者端末１００Ａと他者端末１００Ｂとの間を分離してもよい。
【００３３】
このような処理を実行することによって、通信システム１では、加入者端末１００Ａが他者ｖＣＰＥ３１０Ｂに接続する場合に、加入者端末１００Ａと他者端末１００Ｂとの間の接続関係（接続性の有無）を柔軟に変更することができる（図２の（８）参照）。
【００３４】
［他者ｖＣＰＥの構成］
続いて、通信システム１を構成する各装置の構成について説明する。まず、他者ｖＣＰＥ３１０Ｂの構成について説明する。図６は、図１に示す他者ＶＣＰＥ３１０Ｂの構成の一例を示す図である。図６に示すように、他者ｖＣＰＥ３１０Ｂは、通信部３１１、記憶部３１２及び制御部３１３を有する。前述したように、ｖＣＰＥ３１０は、実サーバ装置内で動作する。
【００３５】
通信部３１１は、ネットワーク等を介して接続された他の装置との間で、各種情報を送受信する。通信部３１１は、動作するサーバ装置内のＮＩＣ（Network  Interface  Card）等の通信インタフェースで実現され、ＬＡＮ（Local  Area  Network）やインターネットなどの電気通信回線を介した他の装置と制御部３１３（後述）との間の通信を行う。
【００３６】
記憶部３１２は、動作するサーバ装置内のＲＡＭ（Random  Access  Memory）、フラッシュメモリ（Flash  Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置によって実現され、他者ｖＣＰＥ３１０Ｂを動作させる処理プログラムや、処理プログラムの実行中に使用されるデータなどが記憶される。記憶部３１２は、ＶＬＡＮ払出し情報テーブル３１２１を有する。
【００３７】
ＶＬＡＮ払出し情報テーブル３１２１は、他者ｖＣＰＥ３１０ＢによるＶＬＡＮの払出し状態を示す。図７は、ＶＬＡＮ払出し情報テーブル３１２１のデータ構成の一例を示す図である。
【００３８】
図７に示すように、ＶＬＡＮ払い出し情報テーブル３１２１は、ＶＬＡＮ番号、払い出し状態、接続加入者ＩＤ、接続端末のＩＰアドレス、許可ＶＬＡＮの項目を有する。例えば、ＶＬＡＮ番号「1」のＶＬＡＮについては、「IP  addr  1」の接続端末に既に割り当てられているため、払い出し状態が「1」にアップデータされている。また、ＶＬＡＮ番号「3」のＶＬＡＮについては、未払い出しのため、払い出し状態は「0」のままである。ＶＬＡＮ払出し情報テーブル３１２１は、セグメント割当部３１３２（後述）のＶＬＡＮ割り当てに応じて更新される。
【００３９】
制御部３１３は、他者ｖＣＰＥ３１０Ｂ全体を制御する。制御部３１３は、各種の処理手順などを規定したプログラム及び所要データによって種々の処理を実行する。例えば、制御部３１３は、動作するサーバ装置内のＣＰＵ（Central  Processing  Unit）やＭＰＵ（Micro  Processing  Unit）などの電子回路である。また、制御部３１３は、各種のプログラムが動作することにより各種の処理部として機能する。
【００４０】
制御部３１３は、問い合わせ部３１３１、セグメント割当部３１３２（割り当て部）、ＩＰアドレス配布を行うＤＨＣＰ機能部３１３３、トンネル終端機能部３１３４（接続部）、及び、ＮＡＴ処理を行うＮＡＴ機能部３１３５を有する。
【００４１】
問い合わせ部３１３１は、認証サーバ４００に対して加入者端末１００Ａの登録の有無を問い合わせる。問い合わせ部３１３１は、加入者端末１００Ａの登録の有無の問い合わせに対して、認証サーバ４００から、加入者ｖＣＰＥ３１０ＡのＩＰアドレス、及び、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とについてのネットワークセグメントの設定指示を受ける。
【００４２】
セグメント割当部３１３２は、認証サーバ４００によるネットワークセグメントの設定指示に従い、他者ｖＣＰＥ３１０Ｂに接続した加入者端末１００ＡにＶＬＡＮ（ネットワークセグメント）を割り当てる。
【００４３】
例えば、セグメント割当部３１３２は、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とを、同一のネットワークセグメントで実行すると設定された場合には、加入者端末１００Ａに対して他者端末１００Ｂに割り当てたＶＬＡＮを割り当てる。
【００４４】
また、セグメント割当部３１３２は、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とを、異なるネットワークセグメントで実行すると設定された場合には、加入者端末１００Ａについて、他者端末１００Ｂに割り当てたＶＬＡＮとは異なるＶＬＡＮを割り当てる。セグメント割当部３１３２は、他者ｖＣＰＥ３１０Ｂと他者ＣＰＥ１１０Ｂとの間で新規にＶＬＡＮの設定を行う。なお、セグメント割当部３１３２は、端末１００に応じてトンネルを振り分ける機能を有していてもよい。
【００４５】
トンネル終端機能部３１３４は、トンネル終端を行う。トンネル終端機能部３１３４は、複数拠点からのトンネル接続を行う。トンネル終端機能部３１３４は、認証サーバ４００において加入者端末１００Ａが登録されている場合には、認証サーバ４００により通知された加入者ｖＣＰＥ３１０Ａのアドレスを基に、加入者ｖＣＰＥ３１０Ａとトンネル接続を行う。
【００４６】
なお、加入者ｖＣＰＥ３１０Ａは、他者ｖＣＰＥ３１０Ｂと同様の構成であってもよい。加入者ｖＣＰＥ３１０Ａは、少なくとも、複数拠点からのトンネル接続を行う機能と、端末１００に応じてトンネルを振り分ける機能があれば足りる。
【００４７】
［認証サーバの構成］
次に、認証サーバ４００について説明する。図８は、図１に示す認証サーバ４００の構成の一例を示す図である。図８に示すように、認証サーバ４００は、通信部４１０、記憶部４２０及び制御部４３０を有する。
【００４８】
通信部４１０は、ＮＩＣ等の通信インタフェースで実現され、ＬＡＮやインターネットなどの電気通信回線を介した他の装置と制御部４２０（後述）との間の通信を行う。
【００４９】
記憶部４２０は、ＲＡＭ、フラッシュメモリ等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置によって実現され、認証サーバ４００を動作させる処理プログラムや、処理プログラムの実行中に使用されるデータなどが記憶される。記憶部４２０は、端末情報テーブル４２１、ｖＣＰＥ管理テーブル４２２及び連携実施有無テーブル４２３を有する。
【００５０】
端末情報テーブル４２１は、端末１００の接続許容条件を示す情報である。端末情報テーブル４２１は、端末１００のＭＡＣアドレスと、端末１００を収容するｖＣＰＥ３１０の識別情報と、端末１００の加入者ＩＤと、端末１００が接続を許容するｖＣＰＥ３１０の識別情報とを対応付ける。端末１００の接続許容条件は、予めＷｅｂインタフェース（例えば、ＳＯＡＰ（Simple  Object  Access  Protocol））を介して、端末１００を使用する加入者が設定を行う。
【００５１】
図９は、端末情報テーブル４２１のデータ構成の一例を示す図である。図９に示すように、端末情報テーブル４２１は、端末１００のＭＡＣアドレス、端末１００を収容するｖＣＰＥ３１０のＩＰアドレス、端末１００の加入者ＩＤ、端末１００が接続を許容するｖＣＰＥ３１０のＩＰアドレスの項目を有する。
【００５２】
例えば、ＭＡＣアドレスが「MAC  addr  1」である端末１００については、ＩＰアドレスが「IP  addr  1」のｖＣＰＥ３１０がこの端末１００を収容する加入者ｖＣＰＥ３１０Ａである。さらに、この「MAC  addr  1」である端末１００は、加入者ＩＤが「ID1」であり、ＩＰアドレスが「IP  addr  2」であるｖＣＰＥ３１０に接続を許容する。また、ＭＡＣアドレスが「MAC  addr  2」である端末１００については、「MAC  addr  1」である端末１００と同じ加入者ｖＣＰＥ３１０Ａ及び加入者ＩＤを有するが、接続許容ｖＣＰＥ欄は「0」であり、接続を許容するｖＣＰＥ３１０は設定されていない。
【００５３】
ｖＣＰＥ管理テーブル４２２は、ｖＣＰＥ３１０の接続許容条件を示す情報である。ｖＣＰＥ管理テーブル４２２は、ｖＣＰＥ３１０の識別情報と、該ｖＣＰＥ３１０が接続を許容する加入者ＩＤとを対応付ける。ｖＣＰＥ３１０の接続許容条件は、予めＷｅｂインタフェース（例えば、ＳＯＡＰ）を介して、ｖＣＰＥ３１０を管理する管理者等が設定を行う。
【００５４】
図１０は、ｖＣＰＥ管理テーブル４２２のデータ構成の一例を示す図である。図１０に示すように、ｖＣＰＥ管理テーブル４２２は、ｖＣＰＥ３１０のＩＰアドレスと、該ｖＣＰＥ３１０が接続を許容する加入者ＩＤとの項目を有する。例えば、ＩＰアドレスが「IP  addr  1」であるｖＣＰＥ３１０については、「ID1」及び「ID2」の加入者ＩＤであれば、接続が許容される。
【００５５】
そして、連携実施有無テーブル４２３について説明する。図１１は、連携実施有無テーブル４２３のデータ構成を示す図である。連携実施有無テーブル４２３は、ｖＣＰＥ３１０のＩＰアドレス、該ｖＣＰＥ３１０に収容される端末１００による宅外接続の有無、及び、該ｖＣＰＥ３１０に対する他ｖＣＰＥ３１０からの接続を許可するか否かの情報を示す。
【００５６】
認証サーバ４００は、宅外からの自宅接続の有無もしくは自宅からの他ｖＣＰＥ接続を、加入者が、新規加入時の登録メニュー等を介して設定する場合にのみ、この連携実施有無テーブル４２３を記憶する。例えば、いずれのｖＣＰＥ３１０についても、ｖＣＰＥ３１０に収容される端末１００による宅外接続、及び、該ｖＣＰＥ３１０に対する他ｖＣＰＥ３１０からの接続を許可することが決まっている場合には、認証サーバ４００には、連携実施有無テーブル４２３が記憶されない。
【００５７】
制御部４３０は、他者ｖＣＰＥ３１０Ｂ全体を制御する。例えば、制御部３１３は、ＣＰＵやＭＰＵなどの電子回路であり、各種のプログラムが動作することにより各種の処理部として機能する。制御部４３０は、加入者情報取得部４３１、接続判定部４３２、セグメント設定部４３３及び払い出し部４３４を有する。
【００５８】
加入者情報取得部４３１は、他者ｖＣＰＥ３１０Ｂの問い合わせを基に、他者ｖＣＰＥ３１０Ｂに接続する加入者端末１００Ａの識別情報を取得する。加入者情報取得部４３１は、加入者端末１００ＡのＭＡＣアドレスを取得する。
【００５９】
接続判定部４３２は、他者ｖＣＰＥ３１０Ｂ及び加入者端末１００Ａにおける接続許容条件を基に、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とを、同一のネットワークセグメントで実行するか否かを判定する。接続判定部４３２は、端末情報テーブル４２１とｖＣＰＥ管理テーブル４２２とを基に、ネットワークセグメントに関する判定を行う。
【００６０】
具体的には、接続判定部４３２は、接続する加入者端末１００Ａの加入者ＩＤが、問い合わせ元の他者ｖＣＰＥ３１０Ｂが接続を許容する加入者ＩＤであるか否かを判定する第１の判定を行う。さらに、接続判定部４３２は、問い合わせ元の他者ｖＣＰＥ３１０Ｂが、接続する加入者端末１００Ａが接続を許容するｖＣＰＥ３１０であるか否かを判定する第２の判定を行う。
【００６１】
まず、加入者端末１００Ａの加入者ＩＤが、他者ｖＣＰＥ３１０Ｂが接続を許容する加入者ＩＤであり、かつ、他者ｖＣＰＥ３１０Ｂが、加入者端末１００Ａが接続を許容するｖＣＰＥ３１０である場合について説明する。
【００６２】
例として、他者ｖＣＰＥ３１０ＢがＩＰアドレス「IP  addr  2」であり、加入者端末１００ＡのＭＡＣアドレスが「MAC  addr  1」であり、加入者端末１００Ａの加入者ＩＤが「ID1」である場合を例に説明する。この場合、ＣＰＥ管理テーブル（図１０参照）では、加入者端末１００Ａの加入者ＩＤ「ID1」は、ＩＰアドレス「IP  addr  2」である他者ｖＣＰＥ３１０Ｂが接続を許容する加入者ＩＤであることが示されている。そして、端末情報テーブル（図９参照）では、ＩＰアドレス「IP  addr  2」である他者ｖＣＰＥ３１０Ｂが、ＭＡＣアドレスが「MAC  addr  1」である加入者端末１００Ａが接続を許容するｖＣＰＥ３１０であることが示されている。
【００６３】
この場合、接続判定部４３２は、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とを同一のネットワークセグメントで実行すると判定する。
【００６４】
一方、加入者端末１００Ａの加入者ＩＤが、他者ｖＣＰＥ３１０Ｂが接続を許容する加入者ＩＤでない、または、他者ｖＣＰＥ３１０Ｂが、加入者端末１００Ａが接続を許容するｖＣＰＥ３１０でない場合について説明する。
【００６５】
例として、他者ｖＣＰＥ３１０ＢがＩＰアドレス「IP  addr  2」であり、加入者端末１００ＡのＭＡＣアドレスが「MAC  addr  2」であり、加入者端末１００Ａの加入者ＩＤが「ID1」である場合を例に説明する。この場合、ＣＰＥ管理テーブル（図１０参照）では、加入者端末１００Ａの加入者ＩＤ「ID1」は、ＩＰアドレス「IP  addr  2」である他者ｖＣＰＥ３１０Ｂが接続を許容する加入者ＩＤであることが示されている。これに対し、端末情報テーブル（図９参照）では、ＩＰアドレス「IP  addr  2」である他者ｖＣＰＥ３１０Ｂが、ＭＡＣアドレスが「MAC  addr  2」である加入者端末１００Ａが接続を許容するｖＣＰＥ３１０でない。
【００６６】
このため、この場合には、接続判定部４３２は、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とを異なるネットワークセグメントで実行すると判定する。
【００６７】
セグメント設定部４３３は、接続判定部４３２の判定に応じて、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とに対するネットワークセグメントの設定を行い、ＶＬＡＮの設定指示を他者ｖＣＰＥに通知する。
【００６８】
払い出し部４３４は、他者ｖＣＰＥ３１０Ｂに接続する加入者端末１００Ａが所属する加入者ｖＣＰＥ３１０ＡのＩＰアドレスを、他者ｖＣＰＥ３１０Ｂに通知する。
【００６９】
［他者ＣＰＥの構成］
次に、他者ＣＰＥ１１０Ｂの構成について説明する。図１２は、図１に示す他者ＣＰＥ１１０Ｂの構成の一例を示す図である。図１３は、図１に示す他者ＣＰＥの概要を示す図である。
【００７０】
図１２に示す他者ＣＰＥ１１０Ｂは、各種ポートＰ１，Ｐ２，Ｐ３（図１３参照）を含む通信インタフェースで実現される通信部１１１、ＲＡＭやフラッシュメモリによって実現される記憶部１１２、及び、ＣＰＵなどによって実現される制御部１１３を有する。
【００７１】
記憶部１１１は、ＶＬＡＮ管理テーブル１１２１を有する。図１４は、ＶＬＡＮ管理テーブル１１２１のデータ構成の一例を示す図である。図１４に示すように、ＶＬＡＮ管理テーブル１１２１は、ポート番号、他者ｖＣＰＥ３１０Ｂから割り振られたＶＬＡＮ番号及び接続する端末１００のＭＡＣアドレスの項目を有する。設定されたＶＬＡＮ情報は、他者ｖＣＰＥ３１０ＢよりＲＡＤＩＵＳ等のプロトコルを使用して通知される。
【００７２】
制御部１１３は、ポート設定部１１３１を有する。ポート設定部１１３１は、ＶＬＡＮ管理テーブルを基に、他者ｖＣＰＥ３１０Ｂから割り当てられたＶＬＡＮ番号と接続する端末１００のＭＡＣアドレスを、対応する物理ポート或いは論理ポートに割り当てる。例えば、ポート設定部１１３１は、接続する端末１００のＭＡＣアドレスが「aa:bb:cc:dd:ee:ff」である場合には、ｖＣＰＥ３１０Ｂから割り当てられたＶＬＡＮ番号「1」に対応するポート番号「1」のポートに「aa:bb:cc:dd:ee:ff」を割り当てる。
【００７３】
［通信処理の処理手順］
図１５は、実施の形態に係る通信処理の処理手順を示すシーケンス図である。図１５に示すように、加入者端末１００Ａは、他者である加入者Ｂの宅内ネットワークの接続に際し、他者ｖＣＰＥ３１０ＢにＤＨＣＰによるアドレス要求を送信する（ステップＳ１）。他者ｖＣＰＥ３１０Ｂは、ＲＡＤＩＵＳ等により加入者端末１００ＡのＭＡＣアドレス情報を送信し、この加入者端末１００Ａが所属する加入者ｖＣＰＥのＩＰアドレスの要求する（ステップＳ２）。
【００７４】
認証サーバ４００は、端末情報テーブルとｖＣＰＥ管理テーブルを参照する（ステップＳ３，Ｓ４）。そして、認証サーバ４００は、接続する加入者端末１００Ａの加入者ＩＤが、問い合わせ元の他者ｖＣＰＥ３１０Ｂが接続を許容する加入者ＩＤであるか否かを判定する（ステップＳ５）。認証サーバ４００は、加入者端末１００Ａの加入者ＩＤが、他者ｖＣＰＥ３１０Ｂが接続を許容する加入者ＩＤであると判定した場合（ステップＳ５：Ｙｅｓ）、問い合わせ元の他者ｖＣＰＥ３１０Ｂが、接続する加入者端末１００Ａが接続を許容するｖＣＰＥ３１０であるか否かを判定する（ステップＳ６）。
【００７５】
そして、認証サーバ４００は、他者ｖＣＰＥ３１０Ｂが、加入者端末１００Ａが接続を許容するｖＣＰＥ３１０であると判定した場合（ステップＳ６：Ｙｅｓ）、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とを同一のネットワークセグメントで実行すると判定する（ステップＳ７）。そして、認証サーバ４００は、他者ｖＣＰＥ３１０Ｂに、加入者端末１００Ａについて、他者端末１００Ｂと同一のＶＬＡＮ設定を指示するともに、加入者ｖＣＰＥのＩＰアドレスを払い出す（ステップＳ８，Ｓ１１）。
【００７６】
これに対し、認証サーバ４００は、加入者端末１００Ａの加入者ＩＤが、他者ｖＣＰＥ３１０Ｂが接続を許容する加入者ＩＤでないと判定した場合（ステップＳ５：Ｎｏ）、または、他者ｖＣＰＥ３１０Ｂが、接続する加入者端末１００Ａが接続を許容するｖＣＰＥ３１０でないと判定した場合（ステップＳ６：Ｎｏ）、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とを異なるネットワークセグメントで実行すると判定する（ステップＳ９）。そして、認証サーバ４００は、他者ｖＣＰＥ３１０Ｂに、加入者端末１００Ａについて、他者端末１００Ｂと異なるＶＬＡＮ設定を指示するともに、加入者ｖＣＰＥのＩＰアドレスを払い出す（ステップＳ１０，Ｓ１１）。
【００７７】
他者ｖＣＰＥ３１０Ｂは、加入者Ａの端末１００Ａが所属する加入者ｖＣＰＥ３１０Ａと他者ｖＣＰＥ３１０Ｂとをトンネルで接続する。そして、他者ｖＣＰＥ３１０Ｂは、認証サーバ４００による指示が、加入者端末１００Ａが他者端末１００Ｂと同一のＶＬＡＮ（ネットワークセグメント）設定であるか否かを判定する（ステップＳ１２）。
【００７８】
他者ｖＣＰＥ３１０Ｂは、認証サーバ４００による指示が、加入者端末１００Ａが他者端末１００Ｂと同一のＶＬＡＮ設定であると判定した場合（ステップＳ１２：Ｙｅｓ）、加入者端末１００Ａに対して、他者端末１００Ｂに割り当てた割り当て済みのＶＬＡＮを割り当てる（ステップＳ１３）。これに対し、他者ｖＣＰＥ３１０Ｂは、認証サーバ４００による指示が、加入者端末１００Ａが他者端末１００Ｂと同一のＶＬＡＮ設定でないと判定した場合（ステップＳ１２：Ｎｏ）、加入者端末１００Ａについて、他者端末１００Ｂに割り当てたＶＬＡＮとは異なる新規のＶＬＡＮを割り当てる（ステップＳ１４）。
【００７９】
そして、他者ＣＰＥ１１０Ｂは、他者ｖＣＰＥ３１０Ｂから払い出されるＶＬＡＮ情報の通知を受けると（ステップＳ１５）、ＶＬＡＮ管理テーブルを参照し（ステップＳ１６）、ＶＬＡＮ管理テーブルを参照し、加入者端末１１０Ａが接続されたポート番号のエントリに、加入者端末１００ＡのＭＡＣアドレスと払い出されたＶＬＡＮ番号を設定する（ステップＳ１７）。また、他者ｖＣＰＥ３１０Ｂは、加入者端末１００Ａに対して、ＤＨＣＰによるアドレス返答を行う（ステップＳ１８）。
【００８０】
［実施の形態の効果］
このように、通信システム１では、加入者端末１００Ａの他者ｖＣＰＥ３１０Ｂの接続時に、この加入者端末１００Ａの他者ｖＣＰＥ３１０Ｂに対するネットワーク接続ポリシーと、他者ｖＣＰＥ３１０Ｂにおける加入者端末１００Ａに対する接続ポリシーとを確認する。
【００８１】
そして、通信システム１では、加入者端末１００Ａの加入者ＩＤが、他者ｖＣＰＥ３１０Ｂが接続を許容する加入者ＩＤでない、または、他者ｖＣＰＥ３１０Ｂが、加入者端末１００Ａが接続を許容するｖＣＰＥ３１０でない場合、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とについて、異なるＶＬＡＮを動的設定することによって、ネットワークを分割し、セキュリティを担保することが可能になる。
【００８２】
また、通信システム１では、加入者端末１００Ａの加入者ＩＤが、他者ｖＣＰＥ３１０Ｂが接続を許容する加入者ＩＤであり、かつ、他者ｖＣＰＥ３１０Ｂが、加入者端末１００Ａが接続を許容するｖＣＰＥ３１０である場合、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とについて、同一のＶＬＡＮを動的設定する。
【００８３】
この結果、通信システム１によれば、加入者端末が、他者ｖＣＰＥに接続する場合に、加入者端末と、他者ｖＣＰＥに接続する他者端末との間の接続関係を柔軟に変更することができる。すなわち、通信システム１によれば、端末１００の加入者やｖＣＰＥ単位で接続ポリシーを設定可能とすることによって、柔軟にネットワーク接続性を設定することが可能になる。
【００８４】
そして、通信システム１では、許可したネットワーク及び端末間でのみＶＬＡＮで接続することで、接続先ネットワークの設備の活用や接続性を保ちつつ、同一ネットワークに接続する他者の端末との接続性を制限することを可能とする。
【００８５】
［変形例１］
実施の形態の変形例１では、認証サーバ４００ではなく、他者ｖＣＰＥ３１０Ｂ´が、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とを判定及び設定する場合について説明する。なお、変形例１に係る通信システムは、通信システム１の他者ｖＣＰＥ３１０Ｂ及び認証サーバ４００に代えて、他者ｖＣＰＥ３１０Ｂ´及び認証サーバ４００´を有する。
【００８６】
［他者ｖＣＰＥの構成］
図１６は、実施の形態１の変形例１における他者ｖＣＰＥ３１０Ｂ´の構成の一例を示す図である。図１６に示すように、他者ｖＣＰＥ３１０Ｂ´は、図６に示す他者ｖＣＰＥ３１０Ｂと比して、制御部３１３´を有する。制御部３１３´は、制御部３１３と比して、判定用情報受信部３１３６、接続判定部４３２及びセグメント設定部４３３をさらに有する。
【００８７】
判定用情報受信部３１３６は、認証サーバ４００から、接続判定に必要な情報を受信する。すなわち、判定用情報受信部３１３６は、加入者端末１００ＡのＭＡＣアドレスに対応する、加入者ｖＣＰＥのＩＰアドレス、加入者ＩＤ、この加入者端末１００Ａが接続を許容する他者ｖＣＰＥのＩＰアドレスを受信する。そして、判定用情報受信部３１３６は、他者ｖＣＰＥ３１０Ｂ´が接続を許容する加入者ＩＤを受信する。具体的には、判定用情報受信部３１３６は、加入者端末１００ＡのＭＡＣアドレスに該当する端末情報テーブルの（図９参照）と、問い合わせ元である当該他者ｖＣＰＥ３１０ＢのＩＰアドレスに対応するｖＣＰＥ管理テーブル（図１０参照）のエントリを、認証サーバ４００から受信する。
【００８８】
そして、接続判定部４３２は、判定用情報受信部３１３６が受信した情報を基に、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とを、同一のネットワークセグメントで実行するか否かを判定する。セグメント設定部４３３は、接続判定部４３２の判定に応じて、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とに対するＶＬＡＮの設定を、セグメント割当部３１３２に指示する。
【００８９】
［認証サーバの構成］
図１７は、実施の形態１の変形例１における認証サーバ４００´の構成の一例を示す図である。図１７に示すように、認証サーバ４００´は、図８に示す認証サーバ４００と比して、制御部４３０´を有する。制御部４３０´は、加入者情報取得部４３１、判定用情報送信部４３５及び、払い出し部４３４を有する。
【００９０】
判定用情報送信部４３５は、他者ｖＣＰＥ３１０Ｂ´に対し、接続判定に必要な情報を受信する。すなわち、判定用情報送信部４３５は、加入者端末１００ＡのＭＡＣアドレスに対応する、加入者ｖＣＰＥのＩＰアドレス、加入者ＩＤ、この加入者端末１００Ａが接続を許容する他者ｖＣＰＥのＩＰアドレスを送信する。そして、判定用情報受信部３１３６は、他者ｖＣＰＥ３１０Ｂ´が接続を許容する加入者ＩＤを送信する。具体的には、判定用情報送信部４３５は、加入者端末１００ＡのＭＡＣアドレスに該当する端末情報テーブルの（図９参照）と、問い合わせ元である当該他者ｖＣＰＥ３１０ＢのＩＰアドレスに対応するｖＣＰＥ管理テーブル（図１０参照）のエントリを、他者ｖＣＰＥ３１０Ｂ´に送信する。
【００９１】
［通信処理の処理手順］
図１８は、実施の形態の変形例１に係る通信処理の処理手順を示すシーケンス図である。図１８に示すステップＳ２１〜ステップＳ２４は、図１５に示すステップＳ１〜ステップＳ４と同じ処理である。認証サーバ４００は、加入者端末１００ＡのＭＡＣアドレスに該当する端末情報テーブルの（図９参照）と、問い合わせ元である当該他者ｖＣＰＥ３１０ＢのＩＰアドレスに対応するｖＣＰＥ管理テーブル（図１０参照）のエントリを、他者ｖＣＰＥ３１０Ｂ´に送信する（ステップＳ２５）。そして、認証サーバ４００は、他者ｖＣＰＥ３１０Ｂに、加入者端末１００Ａについて、加入者ｖＣＰＥのＩＰアドレスを払い出す（ステップＳ２６）。
【００９２】
他者ｖＣＰＥ３１０Ｂ´は、認証サーバ４００からの受信情報を基に接続判定及びセグメント設定を行う。他者ｖＣＰＥ３１０Ｂ´は、ステップＳ２７〜ステップＳ３２において、図１５に示す認証サーバ４００によるステップＳ５〜ステップＳ１０と同じ処理を行う。ステップＳ３３〜ステップＳ３９は、図１５に示すステップＳ１２〜ステップＳ１８と同じ処理である。
【００９３】
この変形例１のように、他者ｖＣＰＥ３１０Ｂ´が、加入者端末１００Ａに対するネットワークセグメントの設定を行ってもよい。
【００９４】
［変形例２］
そして、実施の形態の変形例２では、他者ＣＰＥ１１０Ｂ´が、他者端末１００Ｂ及び他者ｖＣＰＥ３１０Ｂの間の接続と、加入者端末１００Ａ及び他者ｖＣＰＥ３１０Ｂの間の接続とを判定及び設定する場合について説明する。なお、変形例２に係る通信システムは、通信システム１の他者１１０Ｂ、他者ｖＣＰＥ３１０Ｂ及び認証サーバ４００に代えて、他者ＣＰＥ１１０´、他者ｖＣＰＥ３１０Ｂ及び認証サーバ４００´とを有する。
【００９５】
［他者ｖＣＰＥの構成］
図１９は、実施の形態１の変形例２における他者ＣＰＥ１１０Ｂ´の構成の一例を示す図である。図１９に示すように、他者ＣＰＥ１１０Ｂ´は、図１２に示す他者ＣＰＥ１１０Ｂと比して、制御部１１３´を有する。制御部１１３´は、制御部１１３と比して、判定用情報受信部３１３６、接続判定部４３２、セグメント設定部４３３、セグメント設定部４３３によるセグメントネットワークの設定指示を他者ｖＣＰＥ３１０Ｂに送信する設定結果送信部１１３２をさらに有する。
【００９６】
［通信処理の流れ］
図２０は、実施の形態の変形例２に係る通信処理の処理手順を示すシーケンス図である。図２０に示すステップＳ４１〜ステップＳ４４は、図１５に示すステップＳ１〜ステップＳ４と同じ処理である。認証サーバ４００は、加入者端末１００ＡのＭＡＣアドレスに該当する端末情報テーブルの（図９参照）と、問い合わせ元である当該他者ｖＣＰＥ３１０ＢのＩＰアドレスに対応するｖＣＰＥ管理テーブル（図１０参照）のエントリを、他者ＣＰＥ１１０Ｂ´に送信する（ステップＳ４５）。ステップＳ４６は、図１８に示すステップＳ２６と同じ処理である。
【００９７】
そして、他者１１０Ｂ´は、認証サーバ４００からの受信情報を基に接続判定及びセグメント設定を行う。他者１１０Ｂ´は、ステップＳ４７〜ステップＳ５２において、図１５に示す認証サーバ４００によるステップＳ５〜ステップＳ１０と同じ処理を行う。そして、他者１１０Ｂ´は、設定結果を他者ｖＣＰＥ３１０Ｂに送信する（ステップＳ５３）。ステップＳ５４〜ステップＳ６０は、図１５に示すステップＳ１２〜ステップＳ１８と同じ処理である。
【００９８】
この変形例２のように、他者ＣＰＥ１１０´が、加入者端末１００Ａに対するネットワークセグメントの設定を行ってもよい。
【００９９】
（バリエーションについて）
上述した例では、認証サーバ４００，４００´における端末認証情報としてＭＡＣアドレスを使用するが、これは一例に過ぎない。ＭＡＣアドレスを用いた認証以外に、証明書、あるいは、ＥＡＰ−ＳＩＭ認証方式におけるＳＩＭ情報を用いた認証を行うこととしてもよい。
【０１００】
＜証明書の場合＞
証明書を用いる場合において、認証サーバ４００，４００´での認証に証明書認証を使用する。具体的には、認証サーバ４００，４００´が端末の証明書情報と収容ｖＣＰＥの組を管理し、当該管理する情報を用いて認証を行う。証明書は、予め取得する必要があるが、例えば、加入者の宅内ネットワーク接続時に証明書の取得を行う。
【０１０１】
ｖＣＰＥ３１０におけるアドレス払い出し有無確認の為のＭＡＣアドレス確認に関しては、証明書を使用してもよいし、ＭＡＣアドレスのままでもよいし、実施しなくともよい。
【０１０２】
＜ＳＩＭ認証の場合＞
ＳＩＭ認証の場合には、認証サーバ４００，４００´での認証にＥＡＰ−ＳＩＭ認証方式を使用する。具体的には、認証サーバ４００，４００´が、端末のＳＩＭ情報と収容ｖＣＰＥの組を管理し、当該管理する情報を用いて認証を行う。
【０１０３】
ｖＣＰＥ３１０におけるアドレス払出し有無確認の為のＭＡＣアドレス確認に関しては、ＳＩＭ認証を使用してもよいし、ＭＡＣアドレスのままでもよいし、実施しなくともよい。
【０１０４】
＜ＭＡＣアドレスの認証サーバへの登録について＞
認証サーバ４００，４００´へのＭＡＣアドレスの登録は、所定の端末１００のみに対して実施し、認証サーバ４００への情報登録数を削減してもよい。
【０１０５】
＜宅外ネットワークにおける接続承認について＞
通信システム１は、接続先ネットワークの所有者が、ネットワークの利用の許可を与えることができるように、接続承認機能を有してもよい。
【０１０６】
通信システム接続承認機能を有する場合において、一例として、接続先ネットワークの所有者が、Ｗｅｂインタフェース経由で接続許可／不許可を選択する。不許可の場合、ｖＣＰＥ３１０は認証サーバ４００，４００´への問合せを停止する。もしくは認証サーバ４００，４００´への問合せは実施するが問合せのみ実施し、問合せ結果を破棄する。許可の場合は、実施の形態（あるいは実施の形態の変形例１，変形例２）のシーケンスと同一の動作を行う。
【０１０７】
＜機能使用に関する設定について＞
通信システム１は、接続サービス利用者が、宅外での宅内ネットワーク接続機能を使用するかどうかを選択可能とする機能を有してもよい。
【０１０８】
通信システム１が当該機能を有する場合において、一例として、接続サービス利用者が、Ｗｅｂインタフェース経由で機能使用／不使用を選択する。機能不使用時は、認証サーバ４００，４００´への問合せ及びＭＡＣアドレス登録を実施しないように設定するとともに、当該ｖＣＰＥ３１０に接続する端末情報を認証サーバ４００，４００´から削除する。もしくは、認証サーバ４００に当該ｖＣＰＥ３１０に関しては応答をしないよう設定する。このような設定の一例として、図１１に示す連携実施有無テーブルの設定がなされる。例えば、図１１に示すテーブルの１行目は、ＩＰアドレス１のｖＣＰＥに属する端末の宅外接続が有りであり、ＩＰアドレス１のｖＣＰＥは他のｖＣＰＥからの接続を許容しないことを示す。
【０１０９】
［システム構成等］
図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部又は任意の一部が、ＣＰＵ及び当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【０１１０】
また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行なうこともでき、あるいは、手動的に行なわれるものとして説明した処理の全部又は一部を公知の方法で自動的に行なうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【０１１１】
［プログラム］
図２１は、プログラムが実行されることにより、ＣＰＥ１１０、ｖＣＰＥ３１０、認証サーバ４００が実現されるコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。
【０１１２】
メモリ１０１０は、ＲＯＭ（Read  Only  Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。
【０１１３】
ハードディスクドライブ１０９０は、例えば、ＯＳ（Operating  System）１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、ＣＰＥ１１０、ｖＣＰＥ３１０、認証サーバ４００の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、ＣＰＥ１１０、ｖＣＰＥ３１０、認証サーバ４００における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid  State  Drive）により代替されてもよい。
【０１１４】
また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。
【０１１５】
なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ、ＷＡＮ（Wide  Area  Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【０１１６】
以上、本発明者によってなされた発明を適用した実施形態について説明したが、本実施形態による本発明の開示の一部をなす記述及び図面により本発明は限定されることはない。すなわち、本実施形態に基づいて当業者等によりなされる他の実施形態、実施例及び運用技術等は全て本発明の範疇に含まれる。
【符号の説明】
【０１１７】
１  通信システム
１００Ａ  加入者端末
１００Ｂ  他者端末
１１０Ａ  加入者ＣＰＥ
１１０Ｂ，１１０Ｂ´  他者ＣＰＥ
１１１，３１１，４１０  通信部
１１２，３１２，４２０  記憶部
１１３，１１３´，３１３，３１３´，４３０，４３０´  制御部
２００Ａ〜２００Ｃ  ルータ
３１０Ａ  加入者ｖＣＰＥ
３１０Ｂ，３１０Ｂ´  他者ｖＣＰＥ
４００，４１０´  認証サーバ
４２１  端末情報テーブル
４２２  ｖＣＰＥ管理テーブル
４２３  連携実施有無テーブル
４３１  加入者情報取得部
４３２  接続判定部
４３３  セグメント設定部
４３４  払い出し部
４３５  判定用情報送信部
１１２１  ＶＬＡＮ管理テーブル
１１３１  ポート設定部
１１３２  判定結果送信部
３１２１  ＶＬＡＮ払い出し情報テーブル
３１３１  問い合わせ部
３１３２  セグメント割当部
３１３３  ＤＨＣＰ機能部
３１３４  トンネル終端機能部
３１３５  ＮＡＴ機能部
３１３６  制御用情報受信部
【図１】
2020028069.tif 000003
【図２】
2020028069.tif 000004
【図３】
2020028069.tif 000005
【図４】
2020028069.tif 000006
【図５】
2020028069.tif 000007
【図６】
2020028069.tif 000008
【図７】
2020028069.tif 000009
【図８】
2020028069.tif 000010
【図９】
2020028069.tif 000011
【図１０】
2020028069.tif 000012
【図１１】
2020028069.tif 000013
【図１２】
2020028069.tif 000014
【図１３】
2020028069.tif 000015
【図１４】
2020028069.tif 000016
【図１５】
2020028069.tif 000017
【図１６】
2020028069.tif 000018
【図１７】
2020028069.tif 000019
【図１８】
2020028069.tif 000020
【図１９】
2020028069.tif 000021
【図２０】
2020028069.tif 000022
【図２１】
2020028069.tif 000023