(57)【要約】【課題】ブロードキャストデータのトラヒック量を測定することなく、ＶＰＮでの通信性能の劣化を少なくできるＶＰＮサーバ、通信制御方法、および、プログラムを提供する。【解決手段】ＶＰＮサーバは、ＬＡＮと接続し、また、通信端末との間にＶＰＮを設定して通信端末とＬＡＮとを接続する接続手段と、前記接続手段が、前記ＬＡＮから、ブロードキャストパケットを受信した場合、当該ブロードキャストパケットのうち、予め設定された特定パケットを破棄して、当該特定パケットを前記ＶＰＮに送信することを禁止する制御手段と、を含む。【選択図】図１
2010028295.tif 000002
【特許請求の範囲】
【請求項１】
ＬＡＮと接続し、また、通信端末との間にＶＰＮを設定して前記通信端末と前記ＬＡＮとを接続する接続手段と、
前記接続手段が、前記ＬＡＮから、ブロードキャストパケットを受信した場合、当該ブロードキャストパケットのうち、予め設定された特定パケットを破棄して、当該特定パケットを前記ＶＰＮに送信することを禁止する制御手段と、を含むＶＰＮサーバ。
【請求項２】
請求項１に記載のＶＰＮサーバにおいて、
前記特定パケットは、ＡＲＰパケットでなくＤＨＣＰパケットでもない通信用パケットであり、
前記制御手段は、前記接続手段が前記ＬＡＮから受信したブロードキャストパケットが、ＡＲＰパケットまたはＤＨＣＰパケットである場合、当該ＡＲＰパケットまたはＤＨＣＰパケットを前記ＶＰＮに送信し、前記接続手段が前記ＬＡＮから受信したブロードキャストパケットが、前記通信用パケットである場合、当該通信用パケットを破棄して、当該通信用パケットを前記ＶＰＮに送信することを禁止する、ＶＰＮサーバ。
【請求項３】
請求項１または２に記載のＶＰＮサーバにおいて、
前記接続手段は、複数の前記通信端末のそれぞれとの間に前記ＶＰＮを別々に設定して前記複数の通信端末と前記ＬＡＮとを接続し、
前記制御手段は、前記接続手段が、複数の前記ＶＰＮのいずれかから、ブロードキャストパケットを受信した場合、当該ブロードキャストパケットを、前記複数のＶＰＮのうち当該ブロードキャストパケットが送信されてきたＶＰＮ以外のＶＰＮと、前記ＬＡＮと、に送信する、ＶＰＮサーバ。
【請求項４】
請求項１または２に記載のＶＰＮサーバにおいて、
前記接続手段は、複数の前記通信端末のそれぞれとの間に前記ＶＰＮを別々に設定して前記複数の通信端末と前記ＬＡＮとを接続し、
前記制御手段は、前記接続手段が、複数の前記ＶＰＮのいずれかから、ブロードキャストパケットを受信した場合、当該ブロードキャストパケットを、前記複数のＶＰＮのいずれにも送信せずに、前記ＬＡＮに送信する、ＶＰＮサーバ。
【請求項５】
請求項１から４のいずれか１項に記載のＶＰＮサーバにおいて、
前記接続手段は、第１の通信端末との間に第１のＶＰＮを設定し、さらに、第２の通信端末との間に第２のＶＰＮを設定して、前記第１の通信端末と前記第２の通信端末とを前記ＬＡＮに接続し、
前記制御手段は、前記接続手段が、前記第１のＶＰＮから、前記第２の通信端末宛のパケットを受信した場合、当該パケットを破棄して、当該パケットを前記第２のＶＰＮに送信することを禁止する、ＶＰＮサーバ。
【請求項６】
ＶＰＮサーバが行う通信制御方法であって、
ＬＡＮと接続し、また、通信端末との間にＶＰＮを設定して前記通信端末と前記ＬＡＮとを接続する接続ステップと、
前記ＬＡＮから、ブロードキャストパケットを受信した場合、当該ブロードキャストパケットのうち、予め設定された特定パケットを破棄して、当該特定パケットを前記ＶＰＮに送信することを禁止する制御ステップと、を含む通信制御方法。
【請求項７】
請求項６に記載の通信制御方法において、
前記特定パケットは、ＡＲＰパケットでなくＤＨＣＰパケットでもない通信用パケットであり、
前記制御ステップでは、前記ＬＡＮから受信したブロードキャストパケットが、ＡＲＰパケットまたはＤＨＣＰパケットである場合、当該ＡＲＰパケットまたはＤＨＣＰパケットを前記ＶＰＮに送信し、前記ＬＡＮから受信したブロードキャストパケットが、前記通信用パケットである場合、当該通信用パケットを破棄して、当該通信用パケットを前記ＶＰＮに送信することを禁止する、通信制御方法。
【請求項８】
請求項６または７に記載の通信制御方法において、
前記接続ステップでは、複数の前記通信端末のそれぞれとの間に前記ＶＰＮを別々に設定して前記複数の通信端末と前記ＬＡＮとを接続し、
前記制御ステップでは、複数の前記ＶＰＮのいずれかから、ブロードキャストパケットを受信した場合、当該ブロードキャストパケットを、前記複数のＶＰＮのうち当該ブロードキャストパケットが送信されてきたＶＰＮ以外のＶＰＮと、前記ＬＡＮと、に送信する、通信制御方法。
【請求項９】
請求項６または７に記載の通信制御方法において、
前記接続ステップでは、複数の前記通信端末のそれぞれとの間に前記ＶＰＮを別々に設定して前記複数の通信端末と前記ＬＡＮとを接続し、
前記制御ステップでは、複数の前記ＶＰＮのいずれかから、ブロードキャストパケットを受信した場合、当該ブロードキャストパケットを、前記複数のＶＰＮのいずれにも送信せずに、前記ＬＡＮに送信する、通信制御方法。
【請求項１０】
請求項６から９のいずれか１項に記載の通信制御方法において、
前記接続ステップでは、第１の通信端末との間に第１のＶＰＮを設定し、さらに、第２の通信端末との間に第２のＶＰＮを設定して、前記第１の通信端末と前記第２の通信端末とを前記ＬＡＮに接続し、
前記制御ステップでは、前記第１のＶＰＮから、前記第２の通信端末宛のパケットを受信した場合、当該パケットを破棄して、当該パケットを前記第２のＶＰＮに送信することを禁止する、通信制御方法。
【請求項１１】
コンピュータに、
ＬＡＮと接続し、また、通信端末との間にＶＰＮを設定して前記通信端末と前記ＬＡＮとを接続する接続手順と、
前記ＬＡＮから、ブロードキャストパケットを受信した場合、当該ブロードキャストパケットのうち、予め設定された特定パケットを破棄して、当該特定パケットを前記ＶＰＮに送信することを禁止する制御手順と、を実行させるためのプログラム。
【請求項１２】
請求項１１に記載のプログラムにおいて、
前記特定パケットは、ＡＲＰパケットでなくＤＨＣＰパケットでもない通信用パケットであり、
前記制御手順では、前記ＬＡＮから受信したブロードキャストパケットが、ＡＲＰパケットまたはＤＨＣＰパケットである場合、当該ＡＲＰパケットまたはＤＨＣＰパケットを前記ＶＰＮに送信し、前記ＬＡＮから受信したブロードキャストパケットが、前記通信用パケットである場合、当該通信用パケットを破棄して、当該通信用パケットを前記ＶＰＮに送信することを禁止する、プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＶＰＮ（Virtual Private Network）サーバ、通信制御方法、および、プログラムに関する
【背景技術】
【０００２】
公衆回線上に構築される仮想の専用回線は、一般にＶＰＮと呼ばれる。ＶＰＮは、例えば、屋外の移動端末が、社内のＬＡＮ（Local Area Network）上に存在するＩＴ（Information Technology）リソースに安全にアクセスするために使用されている。
【０００３】
多くの移動端末は、電気通信事業者の提供するモバイル通信カードを用いて、モバイル回線（移動通信用の回線）で通信する。ＶＰＮサーバは、例えば、モバイル回線を介して接続された移動端末との間にＶＰＮを設定して、移動端末を社内のＬＡＮに接続する。
【０００４】
なお、モバイル通信カードの通信帯域は、通常のＬＡＮの通信帯域よりも狭い場合が多い。
【０００５】
また、特許文献１には、ブロードキャストデータをフィルタリングするトラヒック調節装置が記載されている。
【０００６】
このトラヒック調節装置は、ＡＴＭ（Asynchronous Transfer Mode）網とＬＡＮ網とを相互接続するＡＴＭ−ＬＡＮ間接続機器のＬＡＮ網側受信部に実装される。このトラヒック調節装置は、ＬＡＮ網からＡＴＭ網へ送信されるブロードキャストデータのトラヒックを測定し、その測定結果に応じて、ブロードキャストデータをフィルタリングする。
【特許文献１】特開平１０−６５７０６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
移動端末がＶＰＮを介して社内のＬＡＮと接続されている状況で、ＬＡＮ側の機器が、ブロードキャストパケットを送信すると、そのブロードキャストパケットは、ＶＰＮが構築されたモバイル回線を介して、移動端末に流れてくる。
【０００８】
このため、ＶＰＮが構築されたモバイル回線では、ＬＡＮからのブロードキャストパケットが、移動端末のユニキャスト通信を圧迫してしまい、大きな遅延やパケットロストが発生するという課題があった。
【０００９】
また、特許文献１に記載のトラヒック調節装置は、ブロードキャストデータのトラヒックを測定し、その測定結果に応じて、ブロードキャストデータをフィルタリングする。
【００１０】
このため、このトラヒック調節装置は、ブロードキャストデータのトラヒック量に関係なくブロードキャストデータをフィルタリングするシステムで使用されるとき、ブロードキャストデータのトラヒック量を測定するという無駄な処理を行ってしまうという課題を有していた。
【００１１】
本発明の目的は、上述した課題を解決可能なＶＰＮサーバ、通信制御方法、および、プログラムを提供することである。
【課題を解決するための手段】
【００１２】
本発明のＶＰＮサーバは、ＬＡＮと接続し、また、通信端末との間にＶＰＮを設定して前記通信端末と前記ＬＡＮとを接続する接続手段と、前記接続手段が、前記ＬＡＮから、ブロードキャストパケットを受信した場合、当該ブロードキャストパケットのうち、予め設定された特定パケットを破棄して、当該特定パケットを前記ＶＰＮに送信することを禁止する制御手段と、を含む。
【００１３】
本発明の通信制御方法は、ＶＰＮサーバが行う通信制御方法であって、ＬＡＮと接続し、また、通信端末との間にＶＰＮを設定して前記通信端末と前記ＬＡＮとを接続する接続ステップと、前記ＬＡＮから、ブロードキャストパケットを受信した場合、当該ブロードキャストパケットのうち、予め設定された特定パケットを破棄して、当該特定パケットを前記ＶＰＮに送信することを禁止する制御ステップと、を含む。
【００１４】
本発明のプログラムは、コンピュータに、ＬＡＮと接続し、また、通信端末との間にＶＰＮを設定して前記通信端末と前記ＬＡＮとを接続する接続手順と、前記ＬＡＮから、ブロードキャストパケットを受信した場合、当該ブロードキャストパケットのうち、予め設定された特定パケットを破棄して、当該特定パケットを前記ＶＰＮに送信することを禁止する制御手順と、を実行させる。
【発明の効果】
【００１５】
本発明によれば、ブロードキャストデータのトラヒック量を測定することなく、ＶＰＮでの通信性能の劣化を少なくすることが可能になる。
【発明を実施するための最良の形態】
【００１６】
以下、本発明の実施形態を、図面を参照して説明する。
【００１７】
（第１の実施形態）
図１は、本発明の第１の実施形態であるＶＰＮサーバを含むＶＰＮシステムを示したブロック図である。
【００１８】
図１において、ＶＰＮシステムは、ＶＰＮサーバ１１０と、ＤＨＣＰ（Dynamic Host Configuration Protocol）サーバ１２０と、ファイルサーバ１３０と、スイッチ１４０と、ファイアウォール１５０と、移動端末２１０と、基地局２２０と、を含む。
【００１９】
ＶＰＮサーバ１１０と、ＤＨＣＰサーバ１２０と、ファイルサーバ１３０と、スイッチ１４０と、ファイアウォール１５０とは、例えば、特定の会社内にあり、社内のＬＡＮ（以下「社内ＬＡＮ」と称する）によって接続されている。なお、ＬＡＮは、社内ＬＡＮに限らない。
【００２０】
移動端末２１０と、基地局２２０とは、その特定の会社の外にある。移動端末２１０は、移動通信用の公衆回線を介して、基地局２２０と接続する。
【００２１】
社内の機器は、社外の機器と、インターネット３１０を介して接続される。
【００２２】
図２は、ＶＰＮサーバ１１０を示したブロック図である。
【００２３】
図２において、ＶＰＮサーバ１１０は、ＮＩＣ（Network Interface Card）１１１と、ルーティング処理部１１３と、ＳＳＬ（Secure Socket Lay）処理部１１４と、ユーザ認証部１１５と、仮想ＮＩＣ１１６と、を含む。ルーティング処理部１１３は、ブロードキャストフィルタ部１１２を含む。仮想ＮＩＣ１１６は、クライアントソフトによって提供される。
【００２４】
ＮＩＣ１１１と、ユーザ認証部１１５と、仮想ＮＩＣ１１６とは、接続部１１０ａに含まれる。ブロードキャストフィルタ部１１２と、ルーティング処理部１１３と、ＳＳＬ処理部１１４とは、制御部１１０ｂに含まれる。
【００２５】
接続部１１０ａは、一般的に接続手段と呼ぶことができる。
【００２６】
接続部１１０ａは、社内ＬＡＮに接続される。また、接続部１１０ａは、移動端末２１０との間にＶＰＮを設定して移動端末２１０と社内ＬＡＮとを接続する。このため、例えば、基地局２２０が提供する公衆回線（移動通信用のモバイル回線）上に、ＶＰＮが設定される。
【００２７】
接続部１１０ａは、移動端末２１０から基地局２２０等を介してユーザ情報などを受け付けると、基地局２２０等を介して移動端末２１０と接続する。
【００２８】
移動端末２１０からのユーザ情報が、予め接続部１１０ａに登録されていると、接続部１１０ａは、ＶＰＮサーバ１１０と移動端末２１０の間に、ＶＰＮトンネルを張る。つまり、接続部１１０ａは、ＶＰＮを介して移動端末２１０と接続する。
【００２９】
なお、複数の移動端末２１０が存在する場合、接続部１１０ａは、複数の移動端末２１０のそれぞれとの間にＶＰＮを別々に設定して、複数の移動端末２１０と社内ＬＡＮとを接続する。
【００３０】
制御部１１０ｂは、一般的に制御手段と呼ぶことができる。
【００３１】
制御部１１０ｂは、接続部１１０ａが、社内ＬＡＮから、ブロードキャストパケットを受信した場合、そのブロードキャストパケットのうち、予め設定された特定パケットを破棄して、その特定パケットをＶＰＮに送信することを禁止する。
【００３２】
なお、特定パケットしては、例えば、ＡＲＰ（Address Resolution Protocol）パケットでなくＤＨＣＰパケットでもない通信用パケットが用いられる。
【００３３】
本実施形態では、制御部１１０ｂは、接続部１１０ａが社内ＬＡＮから受信したブロードキャストパケットが、通信用パケットである場合、通信用パケットを破棄して、通信用パケットをＶＰＮに送信することを禁止する。
【００３４】
なお、接続部１１０ａが社内ＬＡＮから受信したブロードキャストパケットが、ＡＲＰパケットまたはＤＨＣＰパケットである場合、制御部１１０ｂは、ＡＲＰパケットまたはＤＨＣＰパケットをＶＰＮに送信する。
【００３５】
また、制御部１１０ｂは、接続部１１０ａが、複数のＶＰＮのいずれかから、ブロードキャストパケットを受信した場合、そのブロードキャストパケットを、複数のＶＰＮのうち、そのブロードキャストパケットが送信されてきたＶＰＮ以外のＶＰＮと、社内ＬＡＮと、に送信する。
【００３６】
なお、ＶＰＮサーバ１１０は、コンピュータにより実現可能である。この場合、ＶＰＮサーバ１１０は、例えば、ディスクに記録されたプログラム（アプリケーション）に従って動作する。ディスクは、一般的に、コンピュータ（ＶＰＮサーバ１１０）にて読み取り可能な記録媒体と呼ぶことができる。
【００３７】
ＶＰＮサーバ１１０は、プログラムをディスク（記録媒体）から読み取り実行することによって、接続部１１０ａおよび制御部１１０ｂとして機能する。
【００３８】
ＮＩＣ１１１は、Ethernet（イーサネット）フレーム（パケット）を受信する。
【００３９】
ルーティング処理部１１３は、ＮＩＣ１１１が受信したパケットの送信先を割り振る。
【００４０】
ルーティング処理部１１３が社内ＬＡＮからのパケットをＶＰＮトンネルへ送信するとき、ＳＳＬ処理部１１４は、そのパケットを暗号化する。また、ルーティング処理部１１３がＶＰＮトンネルからのパケットを社内ＬＡＮへ流すとき、ＳＳＬ処理部１１４は、そのパケットを復号する。
【００４１】
ユーザ認証部１１５は、ＶＰＮのユーザ情報などを有している。ユーザ認証部１１５は、ＶＰＮクライアント（例えば、移動端末２１０）が接続してきたときに、ＶＰＮクライアントからのユーザ情報に基づいて、認証処理を行う。
【００４２】
図３は、移動端末２１０を示したブロック図である。なお、移動端末２１０は、一般的に通信端末と呼ぶことができる。
【００４３】
図３において、移動端末２１０は、モバイル回線カード２１１と、ルーティング処理部２１２と、ＳＳＬ処理部２１３と、ＧＵＩ（Graphical User Interface）２１４と、を含む。
【００４４】
モバイル回線カード２１１は、電気通信事業者から提供され、基地局２２０に対してダイヤルアップすることにより、インターネット３１０に接続する。ルーティング処理部２１２は、パケットの行き先を割り振る。ＳＳＬ処理部２１３は、パケットの暗号化、復号を行う。ＧＵＩ２１４は、ユーザからユーザ情報などを受け付ける。
【００４５】
次に、動作を説明する。
【００４６】
まず、ＶＰＮトンネルの作成動作について説明する。
【００４７】
移動端末２１０は、ＧＵＩ２１４が受け付けたユーザ情報などをＶＰＮサーバ１１０に送信して、ＶＰＮサーバ１１０と接続する。
【００４８】
ＶＰＮサーバ１１０では、ユーザ認証部１１５が、移動端末２１０からのユーザ情報に基づいて、移動端末２１０の認証処理を行う。
【００４９】
ユーザ認証部１１５が移動端末２１０を認証すると、ＶＰＮサーバ１１０と移動端末２１０間にＶＰＮトンネルが張られ、ＶＰＮサーバ１１０と移動端末２１０は、安全な通信を行うことができる。
【００５０】
移動端末２１０がＶＰＮサーバ１１０と接続すると、移動端末２１０は、社内ＬＡＮに参加することが可能になり、ＤＨＣＰサーバ１２０は、移動端末２１０に、社内ＬＡＮ用のＩＰ（Internet Protocol）アドレスを割り当てる。
【００５１】
これにより、移動端末２１０が、社外のネットワークに接続されており、プロバイダ装置２３０から提供されるＩＰアドレスを使用している場合でも、クライアントソフトによって提供される仮想ＮＩＣ１１６に、社内ＬＡＮ用のＩＰアドレスが付与される。
【００５２】
移動端末２１０が仮想ＮＩＣ１１６を用いた通信を行うことによって、移動端末２１０があたかも社内ＬＡＮに接続しているかのような環境が実現できる。
【００５３】
これにより、移動端末２１０のユーザは、社外にいても、移動端末２１０を用いることによって、安全に、社内リソースであるファイルサーバ１３０にアクセスすることができる。
【００５４】
次に、パケットの振り分け動作、具体的には、ＶＰＮサーバ１１０が有するブロードキャストフィルタ部１１２の動作を説明する。
【００５５】
ブロードキャストフィルタ部１１２は、社内ＬＡＮ側で発生するブロードキャストパケットをフィルタリングして、社内ＬＡＮ側で発生するブロードキャストパケットをＶＰＮトンネルに流さないようにする。
【００５６】
しかし、ブロードキャストパケットのうち、ＡＲＰパケットとＤＨＣＰパケットは、例外である。以下、この点について、説明する。
【００５７】
ＡＲＰパケットは、社内ＬＡＮ側の機器がＶＰＮ接続中の端末に対して通信を行おうとするとき、社内ＬＡＮ側の機器が端末を発見できず通信を行えなくなってしまうことを防ぐために使用される。よって、ブロードキャストフィルタ部１１２は、社内ＬＡＮ側の機器がＶＰＮ接続中の移動端末２１０を発見できず通信を行えなくなってしまうことを防止するために、ＡＲＰパケットをＶＰＮトンネルに流す。
【００５８】
また、クライアント端末がＤＨＣＰサーバ１２０からアドレスを払い出されるまでの通信シーケンスは、ブロードキャストで行われる。このため、ＤＨＣＰパケットが流れないと、ＶＰＮ接続中の端末にＩＰアドレスを割り当てることができなくなってしまう。よって、ブロードキャストフィルタ部１１２は、ＶＰＮ接続中の端末（例えば、移動端末２１０）にＩＰアドレスを割り当てるために、ＤＨＣＰパケットをＶＰＮトンネルに流す。
【００５９】
ブロードキャストフィルタ部１１２は、受信されたパケットが、マルチキャストであるか、ユニキャストであるかを、そのパケットの宛先ＭＡＣ（Media Access Control）アドレスのＩ／Ｇビットに基づいて判断する。
【００６０】
Ｉ／Ｇビットは、ＭＡＣアドレスの先頭ビットのことである。Ｉ／Ｇビット＝０は、ユニキャストを表し、Ｉ／Ｇビット＝１は、マルチキャストを表す。ユニキャストとは、１対１の通信であり、マルチキャストとは、１対多の通信のことである。なお、ブロードキャストは、マルチキャストに含まれる。
【００６１】
図４は、ブロードキャストフィルタ部１１２の動作、具体的には、社内ＬＡＮからパケットが入力されたときの動作を説明するためのフローチャートである。
【００６２】
ブロードキャストフィルタ部１１２は、社内ＬＡＮからパケットを受信すると、そのパケット（以下「受信パケット」と称する）の送信先ＭＡＣアドレスのＩ／Ｇビットが１になっていて（ステップＳ１でyes)、EtherTypeがＡＲＰまたは送信先ポート番号がＤＨＣＰの場合（ステップＳ２でyes)、その受信パケットすなわちブロードキャストパケットを、ＶＰＮトンネルへ送信する（ステップＳ４）。
【００６３】
受信パケットの送信先ＭＡＣアドレスのＩ／Ｇビットが１になっていて、かつ、受信パケットのEtherTypeがＡＲＰ以外で受信パケットがＤＨＣＰパケットでもないとき（ステップＳ２でno）、ブロードキャストフィルタ部１１２は、その受信パケットをＶＰＮトンネルへは送信せず、その受信パケットを破棄する（ステップＳ５）。
【００６４】
受信パケットの送信先ＭＡＣアドレスのＩ／Ｇビットが０のときは（ステップＳ１でno）、ブロードキャストフィルタ部１１２は、宛先ＭＡＣアドレスへ、その受信パケットを送信する（ステップＳ３）。
【００６５】
なお、EtherTypeとは、Ethernetフレームの上位層を識別するためのフィールドのことである。
【００６６】
図５は、ブロードキャストフィルタ部１１２の動作、具体的には、ＶＰＮトンネルからパケットが入力されたときの動作を説明するためのフローチャートである。
【００６７】
ブロードキャストフィルタ部１１２は、ＶＰＮトンネルからパケットを受信すると、そのパケットの宛先ＭＡＣアドレスのＩ／Ｇビットが１であれば（ステップＳ１１でyes）、そのパケットを、社内ＬＡＮと、複数のＶＰＮトンネルのうちそのパケットが送信されてきたＶＰＮトンネル以外のＶＰＮトンネルに送信する（ステップＳ１２）。
【００６８】
受信されたパケットの宛先ＭＡＣアドレスのＩ／Ｇビットが０であれば（ステップＳ１１でno）、ブロードキャストフィルタ部１１２は、宛先ＭＡＣアドレスへ、その受信パケットを送信する（ステップＳ３）。
【００６９】
次に、効果を説明する。
【００７０】
制御部１１０ｂは、社内ＬＡＮからブロードキャストパケットを受信した場合、ブロードキャストパケットのトラヒック量を測定することなく、そのブロードキャストパケットのうち、予め設定された特定パケットを破棄して、その特定パケットがＶＰＮに流れることを禁止する。
【００７１】
このため、社内ＬＡＮで発生するブロードキャストパケットのうち予め設定された特定パケットが、社内ＬＡＮより通信帯域の狭いモバイル通信カード２１１を有する移動端末２１０に送信されない。よって、社内ＬＡＮで発生するブロードキャストパケットによって圧迫されていた通信が、改善される。
【００７２】
したがって、移動端末２１０からＶＰＮ接続先へのアクセスを高速化することが可能になる。また、特許文献１に記載のブロードキャストデータのトラヒック量を測定するという不要な処理を省略することができる。
【００７３】
本実施形態では、制御部１１０ｂは、接続部１１０ａが社内ＬＡＮから受信したブロードキャストパケットが、ＡＲＰでなくＤＨＣＰパケットでもない通信用パケットである場合、通信用パケットを破棄して、通信用パケットをＶＰＮに送信することを禁止し、接続部１１０ａが社内ＬＡＮから受信したブロードキャストパケットが、ＡＲＰパケットまたはＤＨＣＰパケットである場合、ＡＲＰパケットまたはＤＨＣＰパケットをＶＰＮに送信する。
【００７４】
この場合、社内ＬＡＮからのブロードキャストパケットのうち、通信に必要なブロードキャストパケットは、破棄されずに、ＶＰＮへ送信される。よって、ブロードキャストパケットのフィルタリングを適切に行うことが可能となる。
【００７５】
本実施形態では、接続部１１０ａが複数のＶＰＮと接続されている状況で、接続部１１０ａが、複数のＶＰＮのいずれかから、ブロードキャストパケットを受信した場合、制御部１１０ｂは、そのブロードキャストパケットを、複数のＶＰＮのうち、そのブロードキャストパケットが送信されてきたＶＰＮ以外のＶＰＮと、社内ＬＡＮと、に送信する。
【００７６】
この場合、ＶＰＮからのブロードキャストパケットについては、通常のブロードキャスト処理を行うことができる。
【００７７】
なお、接続部１１０ａが、第１の移動端末との間に第１のＶＰＮを設定し、さらに、第２の移動端末との間に第２のＶＰＮを設定して、第１の移動端末と第２の移動端末とを社内ＬＡＮに接続している状況で、接続部１１０ａが、第１のＶＰＮから、第２の移動端末宛のパケットを受信した場合、制御部１１０ｂは、そのパケットを破棄して、そのパケットを第２のＶＰＮに送信することを禁止してもよい。
【００７８】
この場合、第１のＶＰＮに接続されている移動端末から、第２のＶＰＮに接続されている移動端末への通信を禁止することができる。すなわち、単なる移動端末間の通信において、ＬＡＮと接続するＶＰＮサーバを経由して通信することを防止できる。
【００７９】
（第２の実施形態）
次に、本発明の第２の実施形態を説明する。
【００８０】
移動端末２１０からの通信は社内ＬＡＮよりも帯域が狭いため、第２の実施形態では、第１の実施形態よりも、さらに移動端末２１０への送信パケットを制限し、通信品質の向上を図る。
【００８１】
図６は、本発明の第２の実施形態のＶＰＮサーバ１１０Ａを示したブロック図である。なお、図６において、図２に示したものと同一構成のものには同一符号を付してある。
【００８２】
なお、ＶＰＮサーバ１１０Ａの構成は、第１の実施形態のＶＰＮサーバ１１０のうち、ブロードキャストフィルタ部１１２の代わりに、ブロードキャストフィルタ部１１２Ａが用いられている点が異なる。
【００８３】
このため、第２の実施形態では、ＶＰＮサーバ１１０Ａ内の制御部１１０ｂＡは、ブロードキャストフィルタ部１１２Ａと、ルーティング処理部１１３と、ＳＳＬ処理部１１４とを有することになる。
【００８４】
以下、ＶＰＮサーバ１１０Ａについて、第１の実施形態と異なる点、つまり、制御部１１０ｂＡとブロードキャストフィルタ部１１２Ａを中心に説明する。
【００８５】
制御部１１０ｂＡは、一般的に制御手段と呼ぶことができる。
【００８６】
制御部１１０ｂＡは、接続部１１０ａが、社内ＬＡＮから、ブロードキャストパケットを受信した場合、そのブロードキャストパケットのトラヒック量を測定することなく、そのブロードキャストパケットのうち、予め設定された特定パケットを破棄して、その特定パケットがＶＰＮに流れることを禁止する。
【００８７】
本実施形態では、制御部１１０ｂＡは、接続部１１０ａが社内ＬＡＮから受信したブロードキャストパケットが、ＡＲＰでなくＤＨＣＰパケットでもない通信用パケットである場合、通信用パケットを破棄して、通信用パケットがＶＰＮに流れることを禁止する。
【００８８】
なお、接続部１１０ａが社内ＬＡＮから受信したブロードキャストパケットが、ＡＲＰパケットまたはＤＨＣＰパケットである場合、制御部１１０ｂＡは、ＡＲＰパケットまたはＤＨＣＰパケットをＶＰＮに送信する。
【００８９】
また、制御部１１０ｂＡは、接続部１１０ａが、複数のＶＰＮのいずれかから、ブロードキャストパケットを受信した場合、そのブロードキャストパケットを、複数のＶＰＮには送信せずに、社内ＬＡＮに送信する。
【００９０】
また、接続部１１０ａが、第１の移動端末との間に第１のＶＰＮを設定し、さらに、第２の移動端末との間に第２のＶＰＮを設定して、第１の移動端末と第２の移動端末とを社内ＬＡＮに接続している状況で、接続部１１０ａが、第１のＶＰＮから、第２の移動端末宛のパケットを受信した場合、制御部１１０ｂＡは、そのパケットを破棄して、そのパケットを第２のＶＰＮに送信することを禁止する。
【００９１】
なお、ＶＰＮサーバ１１０Ａは、コンピュータにより実現可能である。この場合、ＶＰＮサーバ１１０Ａは、例えば、ディスクに記録されたプログラム（アプリケーション）に従って動作する。
【００９２】
ＶＰＮサーバ１１０Ａは、プログラムをディスク（記録媒体）から読み取り実行することによって、接続部１１０ａおよび制御部１１０ｂＡとして機能する。
【００９３】
次に、ブロードキャストフィルタ部１１２Ａの動作を説明する。
【００９４】
ブロードキャストフィルタ部１１２Ａの動作のうち、社内ＬＡＮからのパケットを受信したときの動作は、ブロードキャストフィルタ部１１２の動作と同じである（図４参照）。
【００９５】
図７は、ブロードキャストフィルタ部１１２Ａの動作、具体的には、ＶＰＮトンネルからパケットが入力されたときの動作を説明するためのフローチャートである。
【００９６】
ブロードキャストフィルタ部１１２Ａは、ＶＰＮトンネルからパケットを受信すると、そのパケットの宛先ＭＡＣアドレスのＩ／Ｇビットが１であれば（ステップＳ１０１でyes）、そのパケットを、ＶＰＮトンネルへは送信せず、社内ＬＡＮへのみ送信する（ステップＳ１０２）。
【００９７】
そのパケットの宛先ＭＡＣアドレスのＩ／Ｇビットが０であれば（ステップＳ１０１でno）、そのパケットの宛先がＶＰＮトンネルの場合（ステップＳ１０３でyes）、ブロードキャストフィルタ部１１２Ａは、そのパケットを破棄し（ステップＳ１０４）、そうでない場合は（ステップＳ１０３でno）、そのパケットを、そのパケットの宛先へ送信する（ステップＳ１０５）。
【００９８】
ここで、第２の実施形態と第１の実施形態とを比較する。
【００９９】
第１の実施形態では、ＶＰＮ接続している移動端末数が多いとき、ＶＰＮ接続中の移動端末には、他のＶＰＮ接続中の移動端末からのブロードキャストパケットも送信され、そのブロードキャストパケットによって移動端末の帯域が圧迫されることになる。
【０１００】
また、ＶＰＮ接続中の移動端末同士でのユニキャスト通信には、例えばＩＰ電話などが考えられるが、モバイルインタフェースは、もともと帯域が狭いため、ＶＰＮ接続中の移動端末同士でのユニキャスト通信は適さない。
【０１０１】
第２の実施形態では、制御部１１０ｂＡが、これらの必要性の低いパケットもフィルタリングすることによって、第１の実施形態よりも、さらにＶＰＮ通信に最適化した環境が構成される。
【０１０２】
なお、上記各実施形態によれば、例えば、社内ＬＡＮに設置してあるＶＰＮサーバが、不要なブロードキャストパケットをフィルタリングし、不要なブロードキャストパケットをＶＰＮトンネル内に流さないようにすることにより、帯域の狭い通信環境でも通信性能の劣化の少ないＶＰＮシステムを提供することが可能になる。
【０１０３】
以上説明した各実施形態において、図示した構成は単なる一例であって、本発明はその構成に限定されるものではない。
【図面の簡単な説明】
【０１０４】
【図１】本発明の第１の実施形態であるＶＰＮサーバを含むＶＰＮシステムを示したブロック図である。
【図２】ＶＰＮサーバ１１０を示したブロック図である。
【図３】移動端末２１０を示したブロック図である。
【図４】ブロードキャストフィルタ部１１２の動作を説明するためのフローチャートである。
【図５】ブロードキャストフィルタ部１１２の動作を説明するためのフローチャートである。
【図６】本発明の第２の実施形態のＶＰＮサーバ１１０Ａを示したブロック図である。
【図７】ブロードキャストフィルタ部１１２Ａの動作を説明するためのフローチャートである。
【符号の説明】
【０１０５】
１１０、１１０Ａ  ＶＰＮサーバ
１１０ａ    接続部
１１０ｂ、１１０ｂＡ  制御部
１１１      ＮＩＣ
１１２、１１２Ａ  ブロードキャストフィルタ部
１１３      ルーティング部
１１４      ＳＳＬ処理部
１１５      ユーザ認証部
１２０      ＤＨＣＰサーバ
１３０      ファイルサーバ
１４０      スイッチ
１５０      ファイアウォール
２１０      移動端末
２１１      モバイル通信カード
２１２      ルーティング処理部
２１３      ＳＳＬ処理部
２１４      ＧＵＩ
２２０      基地局
２３０      プロバイダ装置
３１０      インターネット
【図１】
2010028295.tif 000003
【図２】
2010028295.tif 000004
【図３】
2010028295.tif 000005
【図４】
2010028295.tif 000006
【図５】
2010028295.tif 000007
【図６】
2010028295.tif 000008
【図７】
2010028295.tif 000009