(57)【特許請求の範囲】
【請求項１】
端末と、ＬＡＮに物理的に接続されると共に、前記端末との間にトンネルを確立することで当該端末と前記ＬＡＮとを接続するサーバと、を有してなるリモートアクセスシステムであって、
前記サーバは、
第１のテーブルと、
前記端末のＩＰアドレスと、当該端末のＭＡＣアドレスと、当該端末との間に確立しているトンネルの識別子と、を対応付けて、前記第１のテーブルに登録するＡＲＰ／ＤＨＣＰ処理部と、を有し、
前記ＡＲＰ／ＤＨＣＰ処理部は、
前記ＬＡＮからＡＲＰパケットを受信した場合、受信したＡＲＰパケットに含まれるＩＰアドレスが前記第１のテーブルに登録されていれば、当該ＩＰアドレスに対応するトンネルのみに対してＡＲＰパケットを送信し、前記第１のテーブルに登録されていなければ、ＡＲＰパケットを破棄し、
前記ＬＡＮからＤＨＣＰパケットを受信した場合、受信したＤＨＣＰパケットに含まれるＭＡＣアドレスが前記第１のテーブルに登録されていれば、当該ＭＡＣアドレスに対応するトンネルのみに対してＤＨＣＰパケットを送信し、前記第１のテーブルに登録されていなければ、ＤＨＣＰパケットを破棄する、リモートアクセスシステム。
【請求項２】
前記ＡＲＰ／ＤＨＣＰ処理部は、
前記端末からＭＡＣアドレスが通知された時に、当該端末のＭＡＣアドレスと、当該端末との間に確立しているトンネルの識別子と、を対応付けて前記第１のテーブルに登録し、
前記端末からＩＰアドレスが通知された時に、通知されたＩＰアドレスの正当性を検証し、正当性が確認された場合に、当該端末のＩＰアドレスを、当該端末との間に確立しているトンネルの識別子と対応付けて前記第１のテーブルに登録する、請求項１に記載のリモートアクセスシステム。
【請求項３】
前記サーバは、
第２のテーブルと、
前記端末のＲＴＴを計測し、計測値に基づいて、当該端末に接続されたトンネルへ非ＡＲＰ・ＤＨＣＰの他のブロードキャストパケットを流すか否かを判定すると共に、当該端末に接続されたトンネルの識別子と、当該トンネルへ前記他のブロードキャストパケットを流すか否かの判定結果を示すフラグと、を対応付けて、前記第２のテーブルに登録するブロードキャストフィルタ処理部と、を有し、
前記ブロードキャストフィルタ処理部は、
前記ＬＡＮから前記他のブロードキャストパケットを受信した場合、前記第２のテーブルのフラグにおける判定結果が前記他のブロードキャストパケットを流すことを示しているトンネルのみに対して前記他のブロードキャストパケットを送信する、請求項１または２に記載のリモートアクセスシステム。
【請求項４】
前記ブロードキャストフィルタ処理部は、
前記端末に対し、時刻要求を送信し、当該端末から一定時間内に時刻応答を受信した場合、前記時刻要求の送信時刻と前記時刻応答の受信時刻との差分を当該端末のＲＴＴとして計測し、
当該端末から一定時間内に時刻応答を受信しない場合、および、当該端末のＲＴＴの計測値が一定値以上の場合には、当該端末に接続されたトンネルへ前記他のブロードキャストパケットを流さないと判定する、請求項３に記載のリモートアクセスシステム。
【請求項５】
ＬＡＮに物理的に接続されると共に、端末との間にトンネルを確立することで当該端末と前記ＬＡＮとを接続するサーバであって、
第１のテーブルと、
前記端末のＩＰアドレスと、当該端末のＭＡＣアドレスと、当該端末との間に確立しているトンネルの識別子と、を対応付けて、前記第１のテーブルに登録するＡＲＰ／ＤＨＣＰ処理部と、を有し、
前記ＡＲＰ／ＤＨＣＰ処理部は、
前記ＬＡＮからＡＲＰパケットを受信した場合、受信したＡＲＰパケットに含まれるＩＰアドレスが前記第１のテーブルに登録されていれば、当該ＩＰアドレスに対応するトンネルのみに対してＡＲＰパケットを送信し、前記第１のテーブルに登録されていなければ、ＡＲＰパケットを破棄し、
前記ＬＡＮからＤＨＣＰパケットを受信した場合、受信したＤＨＣＰパケットに含まれるＭＡＣアドレスが前記第１のテーブルに登録されていれば、当該ＭＡＣアドレスに対応するトンネルのみに対してＤＨＣＰパケットを送信し、前記第１のテーブルに登録されていなければ、ＤＨＣＰパケットを破棄する、サーバ。
【請求項６】
前記ＡＲＰ／ＤＨＣＰ処理部は、
前記端末からＭＡＣアドレスが通知された時に、当該端末のＭＡＣアドレスと、当該端末との間に確立しているトンネルの識別子と、を対応付けて前記第１のテーブルに登録し、
前記端末からＩＰアドレスが通知された時に、通知されたＩＰアドレスの正当性を検証し、正当性が確認された場合に、当該端末のＩＰアドレスを、当該端末との間に確立しているトンネルの識別子と対応付けて前記第１のテーブルに登録する、請求項５に記載のサーバ。
【請求項７】
第２のテーブルと、
前記端末のＲＴＴを計測し、計測値に基づいて、当該端末に接続されたトンネルへ非ＡＲＰ・ＤＨＣＰの他のブロードキャストパケットを流すか否かを判定すると共に、当該端末に接続されたトンネルの識別子と、当該トンネルへ前記他のブロードキャストパケットを流すか否かの判定結果を示すフラグと、を対応付けて、前記第２のテーブルに登録するブロードキャストフィルタ処理部と、を有し、
前記ブロードキャストフィルタ処理部は、
前記ＬＡＮから前記他のブロードキャストパケットを受信した場合、前記第２のテーブルのフラグにおける判定結果が前記他のブロードキャストパケットを流すことを示しているトンネルのみに対して前記他のブロードキャストパケットを送信する、請求項５または６に記載のサーバ。
【請求項８】
前記ブロードキャストフィルタ処理部は、
前記端末に対し、時刻要求を送信し、当該端末から一定時間内に時刻応答を受信した場合、前記時刻要求の送信時刻と前記時刻応答の受信時刻との差分を当該端末のＲＴＴとして計測し、
当該端末から一定時間内に時刻応答を受信しない場合、および、当該端末のＲＴＴの計測値が一定値以上の場合には、当該端末に接続されたトンネルへ前記他のブロードキャストパケットを流さないと判定する、請求項７に記載のサーバ。
【請求項９】
ＬＡＮに物理的に接続されると共に、端末との間にトンネルを確立することで当該端末と前記ＬＡＮとを接続するサーバが行うリモートアクセス方法であって、
前記端末のＩＰアドレスと、当該端末のＭＡＣアドレスと、当該端末との間に確立しているトンネルの識別子と、を対応付けて、前記第１のテーブルに登録し、
前記ＬＡＮからＡＲＰパケットを受信した場合、受信したＡＲＰパケットに含まれるＩＰアドレスが前記第１のテーブルに登録されていれば、当該ＩＰアドレスに対応するトンネルのみに対してＡＲＰパケットを送信し、前記第１のテーブルに登録されていなければ、ＡＲＰパケットを破棄し、
前記ＬＡＮからＤＨＣＰパケットを受信した場合、受信したＤＨＣＰパケットに含まれるＭＡＣアドレスが前記第１のテーブルに登録されていれば、当該ＭＡＣアドレスに対応するトンネルのみに対してＤＨＣＰパケットを送信し、前記第１のテーブルに登録されていなければ、ＤＨＣＰパケットを破棄する、リモートアクセス方法。
【請求項１０】
前記端末のＲＴＴを計測し、計測値に基づいて、当該端末に接続されたトンネルへ非ＡＲＰ・ＤＨＣＰの他のブロードキャストパケットを流すか否かを判定すると共に、当該端末に接続されたトンネルの識別子と、当該トンネルへ前記他のブロードキャストパケットを流すか否かの判定結果を示すフラグと、を対応付けて、第２のテーブルに登録し、
前記ＬＡＮから前記他のブロードキャストパケットを受信した場合、前記第２のテーブルのフラグにおける判定結果が前記他のブロードキャストパケットを流すことを示しているトンネルのみに対して前記他のブロードキャストパケットを送信する、請求項９に記載のリモートアクセス方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、リモートアクセスシステム、サーバ、リモートアクセス方法に関する。
【背景技術】
【０００２】
リモートアクセスとは、外部から、離れた場所にあるネットワーク等にアクセスする技術である。
【０００３】
そのため、企業において、リモートアクセスを導入することにより、従業員は、社外にいる時も、自身の端末からインターネット回線を利用して社内ネットワークにアクセスし、社内業務を行うことができるようになる。そのため、最近は、企業において、リモートアクセスを導入し運用することは非常に一般的になってきた。
【０００４】
一般的なリモートアクセスシステムでは、社内ネットワーク内の社内ＬＡＮ（Local Area Network）に物理的に接続されたＶＰＮ（Virtual Private Network）サーバにおいて、社外にいるＶＰＮ端末との間にインターネット回線を利用してＶＰＮトンネルを確立することでＶＰＮ端末と社内ＬＡＮとを接続し、リモートアクセスを実現している。
【０００５】
この種のリモートアクセスシステムにおいて、ＶＰＮ端末側で利用されるインターネット回線としては、ＦＴＴＨ（Fiber To The Home）、ＡＤＳＬ（Asymmetric Digital Subscriber Line）などの固定ブロードバンド回線の他、ＨＳＰＡ（High Speed Packet Access）、ＷｉＭＡＸ（Worldwide Interoperability for Microwave Access）などの無線ブロードバンド（モバイル通信カード）も一般的になってきている。無線ブロードバンドは、ＬＴＥ（Long Term Evolution）などの新たなサービスも追加される予定で、更に普及は加速していくと予想される。また、従業員が、海外出張中に、海外から社内ネットワークへリモートアクセスする利用形態も一般的である。
【０００６】
このように、リモートアクセスシステムは、異なる帯域速度のＶＰＮ端末（クライアント）から社内ネットワークへのアクセスが行われるため、異なる帯域速度のＶＰＮ端末を同時に収容する必要があり、そのための技術も幾つか開示されている。
【０００７】
例えば、特許文献１においては、ＶＰＮ端末が無線ブロードバンドのような遅延の大きな回線を利用する場合に、その遅延を解消するために、ＶＰＮサーバ内にブロードキャストフィルタを設ける技術が開示されている。このブロードキャストフィルタは、社内ＬＡＮ側で発生するブロードキャストパケットのうち、ＤＨＣＰ（Dynamic Host Configuration Protocol）・ＡＲＰ（Address Resolution Protocol）のブロードキャストパケットのみをＶＰＮトンネルに流し、それ以外のブロードキャストパケットを破棄する。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２０１０−２８２９５号公報
【特許文献２】特開２００８−１３１５３１号公報
【特許文献３】特開２００７−１２９２８３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
しかし、特許文献１に開示された技術においては、ブロードキャストフィルタは、社内ＬＡＮ側で発生する非ＤＨＣＰ・ＡＲＰのブロードキャストパケットを破棄してしまう。そのため、利用者が非ＤＨＣＰ・ＡＲＰのブロードキャストパケットも使用したい場合、そのようにブロードキャストフィルタを設定する必要があり、運用者または利用者の負担になってしまうという課題がある。
【００１０】
また、特許文献１に開示された技術においては、ブロードキャストフィルタは、社内ＬＡＮ側で発生するＤＨＣＰ・ＡＲＰのブロードキャストパケットをＶＰＮトンネルに流す。したがって、ＡＲＰ要求パケットについては無条件にＶＰＮトンネルに流れてしまう。そのため、例えば、ネットワーク管理マネージャが社内ＬＡＮを監視する際に発生した不要なＡＲＰ要求パケットが大量にＶＰＮトンネルまで流れてしまい、これに起因して遅延が発生してしまうという課題がある。
【００１１】
更に、特許文献１に開示された技術においては、ＶＰＮサーバに接続された社内ＬＡＮに、ＩＰ（Internet Protocol）アドレスの設定を間違った端末が物理的に接続されてしまった場合に、不要なＡＲＰ要求パケットがＶＰＮトンネルに流れてしまう。例えば、“10.1.1.0/24”が正しいサブネットであるにもかかわらず、“192.168.1.0/24”という間違ったＩＰアドレスを設定したＶＰＮ端末が社内ＬＡＮに接続されると、“192.168.1.0/24”のサブネットをターゲットとしたＡＲＰ要求パケットがＶＰＮトンネルに流れる。しかし、このＡＲＰ要求パケットは、ターゲットではないＶＰＮ端末で受信されることから、すべてＶＰＮ端末側で破棄されてしまい、この破棄処理によってＶＰＮ端末側でＣＰＵ（Central Processing Unit）を無駄に消費してしまうという課題がある。
【００１２】
そこで、特許文献２に記載されているように、ＶＰＮサーバにおいて、上記の不要なＡＲＰ要求パケットに対して、代理でＡＲＰ応答処理を実行することにより、上記の課題の解決を図ることができると考えられる。しかし、通常のレイヤ２のＶＰＮでは、ＡＲＰやＴＣＰ（Transmission Control Protocol）／ＩＰに対して透過的であり、また、ＡＲＰ応答処理自体をＶＰＮ端末側で実行している。そのため、このＡＲＰ応答処理をＶＰＮサーバで実行するには、ＶＰＮサーバにおいて、レイヤ３の処理を行うか、または、ＶＰＮ端末のＴＣＰ／ＩＰスタックへの変更を行う必要があるといった実装上の問題がある。
【００１３】
そこで、本発明の目的は、サーバ側でＡＲＰ応答処理を実行することなく、上述した課題のいずれかを解決することができるリモートアクセスシステム、サーバ、リモートアクセス方法を提供することにある。
【課題を解決するための手段】
【００１４】
本発明のリモートアクセスシステムは、
端末と、ＬＡＮに物理的に接続されると共に、遠隔地にある端末との間にトンネルを確立することで当該端末と前記ＬＡＮとを接続するサーバと、を有しているリモートアクセスシステムであって、
前記サーバは、
第１のテーブルと、
前記端末のＩＰアドレスと、当該端末のＭＡＣアドレスと、当該端末との間に確立しているトンネルの識別子と、を対応付けて、前記第１のテーブルに登録するＡＲＰ／ＤＨＣＰ処理部と、を有し、
前記ＡＲＰ／ＤＨＣＰ処理部は、
前記ＬＡＮからＡＲＰパケットを受信した場合、受信したＡＲＰパケットに含まれるＩＰアドレスが前記第１のテーブルに登録されていれば、当該ＩＰアドレスに対応するトンネルのみに対してＡＲＰパケットを送信し、前記第１のテーブルに登録されていなければ、ＡＲＰパケットを破棄し、
前記ＬＡＮからＤＨＣＰパケットを受信した場合、受信したＤＨＣＰパケットに含まれるＭＡＣアドレスが前記第１のテーブルに登録されていれば、当該ＭＡＣアドレスに対応するトンネルのみに対してＤＨＣＰパケットを送信し、前記第１のテーブルに登録されていなければ、ＤＨＣＰパケットを破棄する。
【００１５】
本発明のサーバは、
ＬＡＮに物理的に接続されると共に、遠隔地にある端末との間にトンネルを確立することで当該端末と前記ＬＡＮとを接続するサーバであって、
第１のテーブルと、
前記端末のＩＰアドレスと、当該端末のＭＡＣアドレスと、当該端末との間に確立しているトンネルの識別子と、を対応付けて、前記第１のテーブルに登録するＡＲＰ／ＤＨＣＰ処理部と、を有し、
前記ＡＲＰ／ＤＨＣＰ処理部は、
前記ＬＡＮからＡＲＰパケットを受信した場合、受信したＡＲＰパケットに含まれるＩＰアドレスが前記第１のテーブルに登録されていれば、当該ＩＰアドレスに対応するトンネルのみに対してＡＲＰパケットを送信し、前記第１のテーブルに登録されていなければ、ＡＲＰパケットを破棄し、
前記ＬＡＮからＤＨＣＰパケットを受信した場合、受信したＤＨＣＰパケットに含まれるＭＡＣアドレスが前記第１のテーブルに登録されていれば、当該ＭＡＣアドレスに対応するトンネルのみに対してＤＨＣＰパケットを送信し、前記第１のテーブルに登録されていなければ、ＤＨＣＰパケットを破棄する。
【００１６】
本発明のリモートアクセス方法は、
ＬＡＮに物理的に接続されると共に、端末との間にトンネルを確立することで当該端末と前記ＬＡＮとを接続するサーバが行うリモートアクセス方法であって、
前記端末のＩＰアドレスと、当該端末のＭＡＣアドレスと、当該端末との間に確立しているトンネルの識別子と、を対応付けて、前記第１のテーブルに登録し、
前記ＬＡＮからＡＲＰパケットを受信した場合、受信したＡＲＰパケットに含まれるＩＰアドレスが前記第１のテーブルに登録されていれば、当該ＩＰアドレスに対応するトンネルのみに対してＡＲＰパケットを送信し、前記第１のテーブルに登録されていなければ、ＡＲＰパケットを破棄し、
前記ＬＡＮからＤＨＣＰパケットを受信した場合、受信したＤＨＣＰパケットに含まれるＭＡＣアドレスが前記第１のテーブルに登録されていれば、当該ＭＡＣアドレスに対応するトンネルのみに対してＤＨＣＰパケットを送信し、前記第１のテーブルに登録されていなければ、ＤＨＣＰパケットを破棄する。
【発明の効果】
【００１７】
本発明によれば、ＡＲＰ・ＤＨＣＰのブロードキャストパケットは、これを必要としている端末に接続されたトンネルのみに送信される。
【００１８】
したがって、ＡＲＰ・ＤＨＣＰのブロードキャストパケットを必要としない端末に接続されたトンネルには、これらのパケットが流れないため、これらのパケットが流れることに起因する遅延の発生を抑制することができるという効果が得られる。
【００１９】
また、ＡＲＰ・ＤＨＣＰのブロードキャストパケットを必要としない端末側では、これらのパケットを破棄する処理を抑制することができるため、端末側のＣＰＵ使用率を低減できるという効果が得られる。
【００２０】
また、サーバ側でも、ＡＲＰ・ＤＨＣＰのブロードキャストパケットをコピーしそれぞれのトンネルに送信するための暗号処理を抑制することができるため、サーバ側のＣＰＵ使用率も低減できるという効果が得られる。
【図面の簡単な説明】
【００２１】
【図１】本発明の一実施形態のリモートアクセスシステムの構成を示す図である。
【図２】図１に示したＶＰＮサーバの内部構成を示すブロック図である。
【図３】図１に示したリモートアクセスシステムにおけるＩＰ・ＭＡＣテーブルの登録動作と参照動作を説明するシーケンス図である。
【図４】図１に示したリモートアクセスシステムにおいて、ＶＰＮサーバにＡＲＰパケットが受信された場合の動作を説明する図である。
【図５】図１に示したＶＰＮサーバにおいて、ＩＰ・ＭＡＣテーブルにＩＰアドレスを登録する場合の動作を説明するフローチャートである。
【図６】図１に示したＶＰＮサーバにおいて、社内ＬＡＮからパケットが受信された場合の動作を説明するフローチャートである。
【図７】図６に示したＡＲＰ解析処理を説明するフローチャートである。
【図８】図６に示したＤＨＣＰ解析処理を説明するフローチャートである。
【図９】図１に示したリモートアクセスシステムにおけるＲＴＴ／動的フィルタテーブルの登録動作を説明するシーケンス図である。
【図１０】図１に示したＶＰＮサーバにおいて、ＲＴＴ／動的フィルタテーブルにＲＴＴと動的フィルタを登録する場合の動作を説明するフローチャートである。
【図１１】図１に示したリモートアクセスシステムにおいて、ＶＰＮサーバに非ＡＲＰ・ＤＨＣＰのブロードキャストパケットが受信された場合の動作を説明する図である。
【発明を実施するための形態】
【００２２】
以下に、本発明を実施するための形態について図面を参照して説明する。
【００２３】
図１に、本発明の一実施形態のリモートアクセスシステムの構成を示す。
【００２４】
図１に示すように、本実施形態のリモートアクセスシステムにおいては、防火壁によって左側のインターネットと右側の社内ネットワークとが分離されている。
【００２５】
社内ネットワーク側には、社内ＬＡＮ３０と、社内ＬＡＮ３０に物理的に接続されたＶＰＮサーバ２０と、が配置されている。また、社内ＬＡＮ３０には、ＤＨＣＰパケットを送信するＤＨＣＰサーバ３１と、ＡＰＲパケットや非ＡＰＲ・ＤＨＣＰのブロードキャストパケットを送信する端末（またはルータ）３２と、が接続されている。
【００２６】
一方、インターネット側には、ＶＰＮクライアントソフトがインストールされたＶＰＮ端末（＃１，＃２，＃３）１０−１，１０−２，１０−３（以下、どのＶＰＮ端末であるかを特定しないときはＶＰＮ端末１０と称する）が配置されている。ここで、ＶＰＮ端末（＃１）１０−１は、ＦＴＴＨと呼ばれる高速の固定ブロードバンド回線で、ＶＰＮ端末（＃２）１０−２は、ＨＳＰＡと呼ばれる無線ブロードバンドで、それぞれＶＰＮサーバ２０に接続されているものとする。また、ＶＰＮ端末（＃３）１０−３は、海外に存在し、任意の回線を利用してＶＰＮサーバ２０に接続されているものとする。
【００２７】
ここで、ＶＰＮ端末１０は、具体的には、企業から従業員に支給／貸与されるノートＰＣ（Personal Computer）などであり、従業員は、ＶＰＮ端末１０を外出先／自宅に持ち出し、ＶＰＮ端末１０から社内ＬＡＮ３０にリモートアクセスして、社内業務を行う。
【００２８】
リモートアクセスの際には、ＶＰＮサーバ２０は、ＶＰＮ端末１０との間にＶＰＮトンネルを確立することでＶＰＮ端末１０と社内ＬＡＮ３０とを接続する。
【００２９】
なお、図１は、３台のＶＰＮ端末（＃１，＃２，＃３）１０−１，１０−２，１０−３がリモートアクセスしている状態（ＶＰＮ接続した状態）を示している。また、図１においては、例えば、ＶＰＮ端末（＃１）１０−１のＩＰアドレスはＩＰ＃１、ＭＡＣ（Media Access Control address）アドレスはＭＡＣ＃１、ＶＰＮサーバ２０との間に確立されているＶＰＮトンネルの識別子はＶＰＮ＃１であることを示している。
【００３０】
図２に、ＶＰＮサーバ２０の内部構成を示す。
【００３１】
図２に示すように、ＶＰＮサーバ２０は、一般的な構成要素（ＶＰＮ送信部２０１、カプセル化・暗号化部２０２、ＶＰＮ受信部２０３、デカプセル・復号部２０４、ＬＡＮ送信部２０５、ＬＡＮ受信部２０６、レイヤ２処理部２０７、およびＭＡＣテーブル２０８）に加えて、本発明の特徴的な構成要素として、ＡＲＰ／ＤＨＣＰ処理部２０９と、第１のテーブルであるＩＰ・ＭＡＣテーブル２１０と、ブロードキャストフィルタ処理部２１１と、第２のテーブルであるＲＴＴ（Round Trip Time）／動的フィルタテーブル２１２と、を有している。
【００３２】
ＶＰＮ送信部２０１は、ＶＰＮトンネルへパケットを送信し、カプセル化・暗号化部２０２は、ＶＰＮ送信部２０１から送信されるパケットのカプセル化・暗号化を行う。
【００３３】
ＶＰＮ受信部２０３は、ＶＰＮトンネルからパケットを受信し、デカプセル・復号部２０４は、ＶＰＮ受信部２０３で受信されたパケットのデカプセル・復号を行う。
【００３４】
ＬＡＮ送信部２０５は、社内ＬＡＮ３０へパケットを送信し、ＬＡＮ受信部２０６は、社内ＬＡＮ３０からパケットを受信する。
【００３５】
レイヤ２処理部２０７は、ＭＡＣテーブル２０８を参照して、一般的なレイヤ２処理、例えば、ＶＰＮトンネルの確立等の処理を行う。
【００３６】
ＡＲＰ／ＤＨＣＰ処理部２０９は、ＶＰＮ端末１０のＩＰアドレスと、そのＶＰＮ端末１０のＭＡＣアドレスと、そのＶＰＮ端末１０との間に確立しているＶＰＮトンネルの識別子と、を対応付けて、ＩＰ・ＭＡＣテーブル２１０に登録する。
【００３７】
また、ＡＲＰ／ＤＨＣＰ処理部２０９は、社内ＬＡＮ３０からＡＲＰパケット（ＡＲＰ要求パケット）を受信した場合、ＩＰ・ＭＡＣテーブル２１０を参照して、受信したＡＲＰパケットに含まれるＩＰアドレスに対応するＶＰＮトンネルへのみ送信するか、または、破棄する。
【００３８】
また、ＡＲＰ／ＤＨＣＰ処理部２０９は、社内ＬＡＮ３０からＤＨＣＰパケットを受信した場合、ＩＰ・ＭＡＣテーブル２１０を参照して、受信したＤＨＣＰパケットに含まれるＭＡＣアドレスに対応するＶＰＮトンネルへのみ送信するか、または、破棄する。
【００３９】
ブロードキャストフィルタ処理部２１１は、ＶＰＮ端末１０のＲＴＴを計測し、その計測結果に基づき、そのＶＰＮ端末１０に接続されたＶＰＮトンネルへ非ＡＲＰ・ＤＨＣＰのブロードキャストパケットを流すか否かを判定する。
【００４０】
そして、ブロードキャストフィルタ処理部２１１は、ＶＰＮトンネルの識別子と、そのＶＰＮトンネルに接続されたＶＰＮ端末１０のＲＴＴの計測値と、そのＶＰＮトンネルへ非ＡＲＰ・ＤＨＣＰのブロードキャストパケットを流すか否かの判定結果を示すフラグである動的フィルタと、を対応付けて、ＲＴＴ／動的フィルタテーブル２１２に登録する。
【００４１】
また、ブロードキャストフィルタ処理部２１１は、社内ＬＡＮ３０から非ＡＲＰ・ＤＨＣＰのブロードキャストパケットを受信した場合、ＲＴＴ／動的フィルタテーブル２１２を参照して、ＲＴＴ／動的フィルタテーブル２１２の動的フィルタにおける判定結果が非ＡＲＰ・ＤＨＣＰのブロードキャストパケットを流すことを示しているＶＰＮトンネルのみへ送信する。
【００４２】
以下、本実施形態のリモートアクセスシステムの動作について説明する。
（１）ＩＰ・ＭＡＣテーブル２１０に関する動作
まず、ＩＰ・ＭＡＣテーブル２１０に関して行う動作について説明する。
【００４３】
最初に、ＩＰ・ＭＡＣテーブル２１０の登録動作と参照動作の概要を図３のシーケンス図を参照して説明する。
【００４４】
図３に示すように、ＶＰＮ端末（＃１）１０−１がＶＰＮサーバ２０にＶＰＮ接続すると、ＶＰＮ端末（＃１）１０−１のＶＰＮクライアントソフトは、ＶＰＮ端末（＃１）１０−１のＭＡＣアドレスＭＡＣ＃１を含むＭＡＣ通知をＶＰＮサーバ２０に送信する（ステップＡ１）。
【００４５】
ＶＰＮサーバ２０においては、ＶＰＮ端末（＃１）１０−１からＭＡＣ通知が受信されると、ＡＲＰ／ＤＨＣＰ処理部２０９は、ＭＡＣ通知に含まれるＭＡＣアドレスＭＡＣ＃１と、ＶＰＮ端末（＃１）１０−１との間に確立されているＶＰＮトンネルの識別子ＶＰＮ＃１と、を対応付けて、ＩＰ・ＭＡＣテーブル２１０に登録する（ステップＡ２）。そして、ＭＡＣ通知に対するＯＫ応答パケットをＶＰＮ端末（＃１）１０−１に送信する（ステップＡ３）。
【００４６】
ここでは、ＶＰＮ端末（＃１）１０−１のＩＰアドレスが固定ＩＰアドレスでＩＰ＃１と確定しているとする。この場合、ＶＰＮ端末（＃１）１０−１のＶＰＮクライアントソフトは、ＭＡＣ通知のＯＫ応答を受信すると、すぐに、ＩＰアドレスＩＰ＃１を含むＩＰ通知をＶＰＮサーバ２０に送信する（ステップＡ４）。
【００４７】
ＶＰＮサーバ２０においては、ＶＰＮ端末（＃１）１０−１からＩＰ通知が受信されると、ＡＲＰ／ＤＨＣＰ処理部２０９は、ＩＰ通知に含まれるＩＰアドレスＩＰ＃１の正当性を検証し、正当性が確認されれば、ＩＰ・ＭＡＣテーブル２１０のＶＰＮトンネルの識別子ＶＰＮ＃１のエントリにＩＰアドレスＩＰ＃１を登録する（ステップＡ５）。そして、ＩＰ通知に対するＯＫ応答パケットをＶＰＮ端末（＃１）１０−１に送信する（ステップＡ６）。
【００４８】
他のＶＰＮ端末（＃２，＃３）１０−２，１０−３についても同様の登録を行う（ステップＡ７〜Ａ１８）。
【００４９】
この時点で、ＶＰＮサーバ２０内のＩＰ・ＭＡＣテーブル２１０は図４のような状態にあるとする。そして、この状態で、社内ＬＡＮ３０内の端末（またはルータ）３２が、ターゲットＩＰアドレスがＩＰアドレスＩＰ＃１であるＡＲＰ要求パケット（ブロードキャストパケット）をＶＰＮサーバ２０に送信したとする（ステップＡ１９）。
【００５０】
ＶＰＮサーバ２０においては、社内ＬＡＮ３０からＡＲＰ要求パケットが受信されると、ＡＲＰ／ＤＨＣＰ処理部２０９は、ＩＰ・ＭＡＣテーブル２１０を参照し、ＡＲＰ要求パケットのターゲットＩＰアドレスであるＩＰアドレスＩＰ＃１がＩＰ・ＭＡＣテーブル２１０に存在するか否かを検索する。この場合、ＶＰＮトンネルの識別子ＶＰＮ＃１のエントリがヒットするので、識別子ＶＰＮ＃１のＶＰＮトンネルのみに対して、ＡＲＰ要求パケットをユニキャスト送信する（ステップＡ２０）。
【００５１】
その後、ＶＰＮ端末（＃１）１０−１のＶＰＮクライアントソフトは、識別子ＶＰＮ＃１のＶＰＮトンネルを介してＡＲＰ要求パケットが受信されると、そのＡＲＰ要求パケットに対するＡＲＰ応答パケットを、ＶＰＮサーバ２０を介して端末（またはルータ）３２へ送信する（ステップＡ２１，Ａ２２）。
【００５２】
以下、図３の動作を実現するためのＶＰＮサーバ２０の具体的な動作について、図５〜図８を参照して説明する。
【００５３】
最初に、ＶＰＮサーバ２０において、ＩＰ・ＭＡＣテーブル２１０にＩＰアドレスを登録する場合の動作について、図５のフローチャートを参照して説明する。
【００５４】
図５に示すように、ＶＰＮ端末１０からＩＰ通知が受信されると（ステップＢ１）、ＡＲＰ／ＤＨＣＰ処理部２０９は、受信されたＩＰ通知に含まれるＩＰアドレスの正当性を検証する（ステップＢ２）。
【００５５】
ステップＢ２において、例えば、ＩＰアドレスのサブネットがＶＰＮサーバ２０のサブネットと同一でない場合や、ＩＰアドレス自体が既存の他装置のＩＰアドレスと重複している場合、ＡＲＰ／ＤＨＣＰ処理部２０９は、ＩＰアドレスの正当性がないとし（ステップＢ２のＮｏ）、ＩＰ通知の送信元のＶＰＮ端末１０へＮＧ応答パケットを送信する（ステップＢ３）。このとき、ＮＧ応答パケットには、ＮＧと判定した理由と、正しいサブネット情報と、を含める。ＮＧ応答パケットを受信したＶＰＮ端末１０は、ユーザに対し、ＩＰアドレスが間違っていることを通知する。
【００５６】
一方、ステップＢ２において、ＩＰ通知に含まれるＩＰアドレスの正当性がある場合（ステップＢ２のＹｅｓ）、ＡＲＰ／ＤＨＣＰ処理部２０９は、ＩＰ・ＭＡＣテーブル２１０の該当ＶＰＮトンネルのエントリにＩＰアドレスを登録し（ステップＢ４）、ＩＰ通知の送信元のＶＰＮ端末１０へＯＫ応答パケットを送信する（ステップＢ５）。
【００５７】
次に、ＶＰＮサーバ２０において、社内ＬＡＮ３０からパケットを受信した時の動作について、図６のフローチャートを参照して説明する。
【００５８】
図６に示すように、社内ＬＡＮ３０からパケットが受信されると（ステップＣ１）、ＡＲＰ／ＤＨＣＰ処理部２０９は、受信されたパケットの宛先ＭＡＣアドレスを基にブロードキャストパケットであるか否かを判定する（ステップＣ２）。
【００５９】
ステップＣ２において、受信されたパケットがブロードキャストパケットではない場合（ステップＣ２のＮｏ）、ＡＲＰ／ＤＨＣＰ処理部２０９は、通常にユニキャスト処理を実施する。つまり受信されたパケットの宛先ＭＡＣアドレスがＭＡＣテーブルに存在する場合は該当ＶＰＮトンネルへのみ送信し、宛先ＭＡＣアドレスがＭＡＣテーブルに存在しない場合は破棄する（ステップＣ３）。
【００６０】
一方、ステップＣ２において、受信されたパケットがブロードキャストパケットである場合（ステップＣ２のＹｅｓ）、ＡＲＰ／ＤＨＣＰ処理部２０９は、続いて、受信されたパケットがＡＲＰパケットであるか否かを判定し（ステップＣ４）、ＡＲＰパケットである場合は（ステップＣ４のＹｅｓ）、ＡＲＰ解析処理を行う（ステップＣ５）。このＡＲＰ解析処理については図７で詳述する。
【００６１】
また、ステップＣ４において、受信されたパケットがＡＲＰパケットでない場合（ステップＣ４のＮｏ）、ＡＲＰ／ＤＨＣＰ処理部２０９は、続いて、受信されたパケットがＤＨＣＰパケットであるか否かを判定し（ステップＣ６）、ＤＨＣＰパケットである場合は（ステップＣ６のＹｅｓ）、ＤＨＣＰ解析処理を行う（ステップＣ７）。このＤＨＣＰ解析処理については図８で詳述する。
【００６２】
また、ステップＣ６において、受信されたパケットがＤＨＣＰ要求パケットでない場合（ステップＣ６のＮｏ）、受信されたパケットは非ＡＲＰ・ＤＨＣＰのブロードキャストパケットであるため、ブロードキャストフィルタ処理部２１１は、ＲＴＴ／動的フィルタテーブル２１２を参照して、ブロードキャストフィルタ処理を行う（ステップＣ８）。このブロードキャストフィルタ処理は、以降で詳述する。
【００６３】
次に、図６のステップＣ５のＡＲＰ解析処理について、図７のフローチャートを参照して詳細に説明する。
【００６４】
図７に示すように、まず、ＡＲＰ／ＤＨＣＰ処理部２０９は、社内ＬＡＮ３０から受信されたＡＲＰパケットからターゲットＩＰアドレスを抽出する（ステップＤ１）。
【００６５】
次に、ＡＲＰ／ＤＨＣＰ処理部２０９は、抽出したターゲットＩＰアドレスがＩＰ・ＭＡＣテーブル２１０に存在するか否かを検索する（ステップＤ２）。
【００６６】
ステップＤ２において、抽出したターゲットＩＰアドレスがＩＰ・ＭＡＣテーブル２１０に存在しない場合（ステップＤ２のＮｏ）、ＡＲＰ／ＤＨＣＰ処理部２０９は、ＡＲＰパケットを破棄する（ステップＤ３）。
【００６７】
一方、ステップＤ２において、抽出したターゲットＩＰアドレスがＩＰ・ＭＡＣテーブル２１０に存在する場合（ステップＤ２のＹｅｓ）、ＡＲＰ／ＤＨＣＰ処理部２０９は、抽出したターゲットＩＰアドレスに対応する該当ＶＰＮトンネルのみへ、ＡＲＰパケットをユニキャスト送信する（ステップＤ４）。
【００６８】
ここで、ＡＲＰパケットから抽出したターゲットＩＰアドレスがＩＰ・ＭＡＣテーブル２１０に存在しない場合、当該端末は社内ＬＡＮ３０上にあり、既に社内ＬＡＮ３０側で発生したブロードキャストパケットは該当端末に到達しているはずであるので、破棄するのは意図した動作である。また、ターゲットＩＰアドレスが正しくないＡＲＰパケットを破棄するのも意図した動作である。
【００６９】
次に、図６のステップＣ７のＤＨＣＰ解析処理について、図８のフローチャートを参照して詳細に説明する。
【００７０】
図８に示すように、まず、ＡＲＰ／ＤＨＣＰ処理部２０９は、社内ＬＡＮ３０から受信されたＤＨＣＰパケットの宛先ＵＤＰ（User Datagram Protocol）ポートが“bootps(67)”であるか否かを判定し（ステップＥ１）、“bootps(67)”である場合（ステップＥ１のＹｅｓ）、そのＤＨＣＰパケットを破棄する（ステップＥ２）。リモートアクセスＶＰＮの場合、ＶＰＮトンネルの先にあるのは、ＤＨＣＰサーバではなく、ＶＰＮ端末であることが前提だからである。
【００７１】
ステップＥ１において、“bootps(67)”でない場合（ステップＥ１のＮｏ）、ＡＲＰ／ＤＨＣＰ処理部２０９は、続いて、ＤＨＣＰパケットの宛先ＵＤＰポートが“bootpc(68)”であるか否かを判定し（ステップＥ３）、“bootpc(68)”でない場合（ステップＥ３のＮｏ）、そのＤＨＣＰパケットを破棄する（ステップＥ４）。リモートアクセスＶＰＮの場合、ＤＨＣＰパケットの宛先はＤＨＣＰクライアント宛てであることが前提だからである。
【００７２】
ステップＥ３において、“bootpc(68)”である場合（ステップＥ３のＹｅｓ）、ＡＲＰ／ＤＨＣＰ処理部２０９は、ＤＨＣＰパケットのクライアント・ハードウェア・アドレス（ＣＨＡｄｄｒ）というフィールドに記述されたＭＡＣアドレスを抽出する（ステップＥ５）。
【００７３】
次に、ＡＲＰ／ＤＨＣＰ処理部２０９は、抽出したＭＡＣアドレスがＩＰ・ＭＡＣテーブル２１０に存在するか否かを検索する（ステップＥ６）。
【００７４】
ステップＥ６において、抽出したＭＡＣアドレスがＩＰ・ＭＡＣテーブル２１０に存在しない場合（ステップＥ６のＮｏ）、ＡＲＰ／ＤＨＣＰ処理部２０９は、ＤＨＣＰパケットを破棄する（ステップＥ７）。
【００７５】
一方、ステップＥ６において、抽出したＭＡＣアドレスがＩＰ・ＭＡＣテーブル２１０に存在する場合（ステップＥ６のＹｅｓ）、ＡＲＰ／ＤＨＣＰ処理部２０９は、抽出したＭＡＣアドレスに対応する該当ＶＰＮトンネルのみへ、ＤＨＣＰパケットをユニキャスト送信する（ステップＥ８）。
【００７６】
ここで、ＤＨＣＰパケットから抽出したＭＡＣアドレスがＩＰ・ＭＡＣテーブル２１０に存在しない場合、当該端末は社内ＬＡＮ３０上にあり、既に社内ＬＡＮ３０側で発生したブロードキャストパケットは該当端末に到達しているはずであるので、破棄するのは意図した動作である。また、ＭＡＣアドレスが正しくないＤＨＣＰパケットを破棄するのも意図した動作である。
【００７７】
なお、ＤＨＣＰサーバ３１から送信されるＤＨＣＰ  ＯｆｆｅｒとＤＨＣＰ  Ａｃｋと呼ばれるＤＨＣＰパケットは、ＲＦＣ（Request for Comments）によるとユニキャストパケットとブロードキャストパケットの両方が規定されているが、ここで対象にしているＤＨＣＰパケットは、ブロードキャストパケットである。
（２）ＲＴＴ／動的フィルタテーブル２１２に関する動作
次に、ＲＴＴ／動的フィルタテーブル２１２に関して行う動作について説明する。
【００７８】
最初に、ＲＴＴ／動的フィルタテーブル２１２の登録動作の概要を図９のシーケンス図を参照して説明する。ここでは、ＶＰＮ端末（＃１）１０−１に関する登録を行う場合の動作について説明する。
【００７９】
図９に示すように、まず、ＶＰＮ端末（＃１）１０−１とＶＰＮサーバ２０との間で、図３に示したステップＡ１〜Ａ３と同様の処理を行い、ＭＡＣアドレスＭＡＣ＃１とＶＰＮトンネルの識別子ＶＰＮ＃１とを対応付けてＩＰ・ＭＡＣテーブル２１０に登録する（ステップＦ１〜Ｆ３）。
【００８０】
ここでは、ＶＰＮ端末（＃１）１０−１のＩＰアドレスが確定していないとする。この場合、ＶＰＮ端末（＃１）１０−１のＶＰＮクライアントソフトは、ＤＨＣＰサーバ３１との間でＤＨＣＰパケットをやり取りし、ＩＰアドレスをＩＰ＃１と確定する（ステップＦ４〜Ｆ７）。
【００８１】
次に、ＶＰＮ端末（＃１）１０−１とＶＰＮサーバ２０との間で、図３に示したステップＡ４〜Ａ６と同様の処理を行い、ＩＰ・ＭＡＣテーブル２１０のＶＰＮトンネルの識別子ＶＰＮ＃１のエントリにＩＰアドレスＩＰ＃１を登録する（ステップＦ８〜Ｆ１０）。
【００８２】
次に、ＶＰＮサーバ２０においては、ブロードキャストフィルタ処理部２１１は、ＶＰＮ端末（＃１）１０−１に対し、時刻要求を送信する（ステップＦ１１）。
【００８３】
次に、ＶＰＮ端末（＃１）１０−１は、時刻要求に対する時刻応答を、ＶＰＮサーバ２０に対し返却する（ステップＦ１２）。
【００８４】
ＶＰＮサーバ２０においては、ブロードキャストフィルタ処理部２１１は、時刻要求を送信してから一定時間（ここでは仮に３秒とする）以内に時刻応答を受信した場合、時刻要求の送信時刻と時刻応答の受信時刻との差分をＲＴＴとして計測し、計測したＲＴＴをミリ秒単位で記録する。
【００８５】
以降、ＶＰＮ端末（＃１）１０−１とＶＰＮサーバ２０との間で、上記のＲＴＴ計測をその後に２回実行する（ステップＦ１３〜Ｆ１６）。
【００８６】
その後、ＶＰＮサーバ２０においては、ブロードキャストフィルタ処理部２１１は、ＲＴＴの合計３つの計測値の平均値に基づき、ＶＰＮ端末（＃１）１０−１に接続されたＶＰＮトンネルへ非ＡＲＰ・ＤＨＣＰのブロードキャストパケットを流すか否かを判定する。そして、ブロードキャストフィルタ処理部２１１は、ＶＰＮ端末（＃１）１０−１に接続されたＶＰＮトンネルの識別子ＶＰＮ＃１と、ＲＴＴの平均値と、上記の判定結果を示す動的フィルタと、を対応付けて、ＲＴＴ／動的フィルタテーブル２１２に登録する（ステップＦ１７）。
【００８７】
他のＶＰＮ端末（＃２，＃３）１０−２，１０−３についても同様の登録を行う。
【００８８】
以下、図９の動作を実現するためのＶＰＮサーバ２０の具体的な動作について、図１０を参照して説明する。
【００８９】
図１０に示すように、ＶＰＮ端末１０からＩＰ通知が受信されると（ステップＧ１）、ブロードキャストフィルタ処理部２１１は、ＯＫ応答パケットの送信後、ＶＰＮ端末１０に対し、時刻要求を送信する（ステップＧ２）。
【００９０】
ブロードキャストフィルタ処理部２１１は、時刻要求を送信してから一定時間以内に時刻応答を受信した場合（ステップＧ３のＹｅｓ）、時刻要求の送信時刻と時刻応答の受信時刻との差分をＲＴＴとして計測し、計測したＲＴＴをミリ秒単位で記録する（ステップＧ４）。
【００９１】
次に、ブロードキャストフィルタ処理部２１１は、ＶＰＮ端末１０から時間応答を３回受信したか判定し（ステップＧ５）、受信していない場合は（ステップＧ５のＮｏ）、ステップＧ２に戻り、ＲＴＴ計測を再度実行する。
【００９２】
一方、ステップＧ５において、時間応答を３回受信している場合や（ステップＧ５のＹｅｓ）、ステップＧ３において、一定時間以内に時刻応答を受信しなかった場合（ステップＧ３のＮｏ）、ＶＰＮ端末１０に接続されたＶＰＮトンネルへ非ＡＲＰ・ＤＨＣＰのブロードキャストパケットを流すか否かを判定する。
【００９３】
例えば、ブロードキャストフィルタ処理部２１１は、一定時間以内に時刻応答を受信しなかった場合や、合計３回のＲＴＴの計測値の平均値が一定値（ここでは仮に１００ミリ秒とする）以上である場合は、ＶＰＮトンネルへ流さないと判定し（動的フィルタＯＮ）、その他の場合は、ＶＰＮトンネルへ流すと判定する（動的フィルタＯＦＦ）。
【００９４】
その後、ブロードキャストフィルタ処理部２１１は、ＶＰＮ端末１０に接続されたＶＰＮトンネルの識別子と、ＲＴＴの計測値の平均値と、上記の判定結果を示す動的フィルタと、を対応付けて、ＲＴＴ／動的フィルタテーブル２１２に登録する（ステップＧ６）。
【００９５】
例えば、ＲＴＴ／動的フィルタテーブル２１２には、ＶＰＮトンネルのそれぞれについて、図１１に示すように、上記の情報が登録される。この状態で、社内ＬＡＮ３０内の端末（またはルータ）３２が、非ＡＲＰ・ＤＨＣＰのブロードキャストパケットをＶＰＮサーバ２０に送信したとする（ステップＨ１）。
【００９６】
ＶＰＮサーバ２０においては、社内ＬＡＮ３０から非ＡＲＰ・ＤＨＣＰのブロードキャストパケットが受信されると、ブロードキャストフィルタ処理部２１１は、ＲＴＴ／動的フィルタテーブル２１２を参照する。この場合、ＶＰＮトンネルの識別子ＶＰＮ＃１のエントリのみが動的フィルタがＯＦＦであるので、ブロードキャストフィルタ処理部２１１は、識別子ＶＰＮ＃１のＶＰＮトンネルのみに対して、非ＡＲＰ・ＤＨＣＰのブロードキャストパケットを送信し、識別子ＶＰＮ＃２，＃３のＶＰＮトンネルには送信しない（ステップＨ２）。
【００９７】
上述したように本実施形態においては、ＶＰＮサーバ２０は、ＶＰＮ端末１０のＩＰアドレスと、そのＶＰＮ端末１０のＭＡＣアドレスと、そのＶＰＮ端末１０との間に確立しているＶＰＮトンネルの識別子と、を対応付けてＩＰ・ＭＡＣテーブル２１０に登録しておく。
【００９８】
そして、ＶＰＮサーバ２０は、社内ＬＡＮ３０からＡＲＰパケットを受信すると、受信したＡＲＰパケットに含まれるＩＰアドレスがＩＰ・ＭＡＣテーブル２１０に登録されていれば、そのＩＰアドレスに対応するＶＰＮトンネルのみに対してＡＲＰパケットを送信し、登録されていなければＡＲＰパケットを破棄する。
【００９９】
また、ＶＰＮサーバ２０は、社内ＬＡＮ３０からＤＨＣＰパケットを受信すると、受信したＤＨＣＰパケットに含まれるＭＡＣアドレスがＩＰ・ＭＡＣテーブル２１０に登録されていれば、そのＭＡＣアドレスに対応するＶＰＮトンネルのみに対してＤＨＣＰパケットを送信し、登録されていなければＤＨＣＰパケットを破棄する。
【０１００】
このように、本実施形態においては、ＡＲＰ・ＤＨＣＰのブロードキャストパケットは、これを必要としているＶＰＮ端末１０に接続されたＶＰＮトンネルのみに送信される。
【０１０１】
したがって、ＡＲＰ・ＤＨＣＰのブロードキャストパケットを必要としないＶＰＮ端末１０に接続されたＶＰＮトンネルには、これらのパケットが流れないため、これらのパケットが流れることに起因する遅延の発生を抑制することができるという効果が得られる。
【０１０２】
また、ＡＲＰ・ＤＨＣＰのブロードキャストパケットを必要としないＶＰＮ端末１０側では、これらのパケットを破棄する処理を抑制することができるため、ＶＰＮ端末１０側のＣＰＵ使用率を低減できるという効果が得られる。
【０１０３】
また、ＶＰＮサーバ２０側でも、ＡＲＰ・ＤＨＣＰのブロードキャストパケットをコピーしそれぞれのＶＰＮトンネルに送信するための暗号処理を抑制することができるため、ＶＰＮサーバ２０側のＣＰＵ使用率も低減できるという効果が得られる。
【０１０４】
また、本実施形態においては、ＶＰＮサーバ２０は、ＶＰＮ端末１０のＲＴＴに基づいて、そのＶＰＮ端末１０に接続されたＶＰＮトンネルへ非ＡＲＰ・ＤＨＣＰのブロードキャストパケットを流すか否かを判定すると共に、そのＶＰＮ端末１０に接続されたＶＰＮトンネルの識別子と、そのＶＰＮトンネルへ他のブロードキャストパケットを流すか否かの判定結果を示す動的フィルタと、を対応付けて、ＲＴＴ／動的フィルタテーブル２１２に登録しておく。
【０１０５】
そして、ＶＰＮサーバ２０は、社内ＬＡＮ３０から非ＡＲＰ・ＤＨＣＰのブロードキャストパケットを受信すると、ＲＴＴ／動的フィルタテーブル２１２の動的フィルタにおける判定結果が非ＡＲＰ・ＤＨＣＰのブロードキャストパケットを流すことを示しているＶＰＮトンネルのみに対して非ＡＲＰ・ＤＨＣＰのブロードキャストパケットを送信する。
【０１０６】
このように、本実施形態においては、ＶＰＮ端末１０の通信環境がブロードキャストパケットの送受信に耐え得る環境であるか否かの判定にＲＴＴを使用し、そのＶＰＮ端末１０のＲＴＴに基づいて、そのＶＰＮ端末１０に接続されているＶＰＮトンネルへ非ＡＲＰ・ＤＨＣＰのブロードキャストパケットを流すか否かの設定を自動で行う。
【０１０７】
したがって、運用者または利用者がブロードキャストフィルタへの設定を行う必要がなくなるため、運用者または利用者の負担を低減できるという効果が得られる。
【０１０８】
また、ＶＰＮ端末１０側から見て自身の通信に無関係のブロードキャストパケットを受信することはセキュリティ上好ましくない。特に、無線ブロードバンド環境のように実ＮＩＣ（Network Interface Card）にグローバルＩＰアドレスを使用する環境では、セキュリティは非常に重要である。そのため、運用者の設定にかかわらず、ブロードキャストフィルタを自動で設定し自動で動作させることでセキュリティの向上が期待できる。
【０１０９】
以上、実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明の範囲内で当業者が理解し得る様々な変更をすることができる。
【０１１０】
例えば、本発明は、ＲＴＴ計測を３回行い、その平均値をＲＴＴ／動的フィルタテーブルに登録したが、ＲＴＴ計測の回数はこれに限定されない。
【０１１１】
また、本発明は、Ｌ２スイッチをエッジスイッチとして利用する場合に適用できる。この場合、本実施形態のＶＰＮサーバはエッジスイッチで置換される。エッジスイッチとは、自身のスイッチに搭載された複数の物理ポートのうち、１ポートまたは数ポート程度の物理ポートをアップリンクポートとして上位のスイッチと接続し、それ以外の残りの物理ポートにはスイッチでなく端末／サーバが接続されているスイッチのことを指す。例えば、仮想化環境における仮想スイッチはエッジスイッチの代表例である。
【０１１２】
エッジスイッチの場合、パケットの送信先はＶＰＮではなく、端末と接続された物理ポートとなる。また、仮想スイッチの場合は、パケットの送信先は、ゲストＯＳ（Operating System）と接続された仮想ポートとなる。
【０１１３】
また、本発明の関連既存技術としては、特許文献３に記載されたＤＨＣＰ  ｓｎｏｏｐｉｎｇやＤｙｎａｍｉｃ  ＡＲＰ  ｉｎｓｐｅｃｔｉｏｎといった技術がある。これらの技術はＤＨＣＰを前提にしているが、本発明では、固定ＩＰでも同様に、セキュリティを保ちつつブロードキャストパケットを削減できる。この効果は、広いＬ２ネットワーク環境で特に有効となる。本実施形態では、リモートアクセスの場合、ＲＴＴはミリ秒単位で記録したが、Ｌ２ネットワークの場合はマイクロ秒単位での記録が考えられる。
【０１１４】
また、本発明では、ＲＴＴ／動的フィルタテーブルの登録は、ＲＴＴ計測値に基づく自動登録としたが、実ＮＩＣのＩＰアドレスがグローバルＩＰアドレスか否かを加味して、自動的に動的フィルタをＯＮとする例も考えられる。グローバルＩＰアドレス環境は、セキュリティ的に、より危険であるからである。
【０１１５】
また、物理回線の種別を端末側で取得することにより、回線速度の目安が得られることから、実際にＲＴＴを計測することなく低帯域回線か否かを判定する例も考えられる。
【符号の説明】
【０１１６】
１０−１，１０−２，１０−３    ＶＰＮ端末
２０    ＶＰＮサーバ
３０    社内ＬＡＮ
３１    ＤＨＣＰサーバ
３２    端末（またはルータ）
２０１    ＶＰＮ送信部
２０２    カプセル化・暗号化部
２０３    ＶＰＮ受信部
２０４    デカプセル・復号部
２０５    ＬＡＮ送信部
２０６    ＬＡＮ受信部
２０７    レイヤ２処理部
２０８    ＭＡＣテーブル
２０９    ＡＲＰ／ＤＨＣＰ処理部
２１０    ＩＰ・ＭＡＣテーブル
２１１    ブロードキャストフィルタ処理部
２１２    ＲＴＴ／動的フィルタテーブル
【図１】
0005593983.tif 000002
【図２】
0005593983.tif 000003
【図３】
0005593983.tif 000004
【図４】
0005593983.tif 000005
【図５】
0005593983.tif 000006
【図６】
0005593983.tif 000007
【図７】
0005593983.tif 000008
【図８】
0005593983.tif 000009
【図９】
0005593983.tif 000010
【図１０】
0005593983.tif 000011
【図１１】
0005593983.tif 000012