(57)【特許請求の範囲】
【請求項１】
第１ＬＡＮ内に位置しパケットを転送可能な第１ルーティング対象装置のアドレスである、少なくとも２つの第１ルーティング対象アドレスと、第２ＬＡＮ内に位置する第２中継サーバがパケットを転送可能な第２ルーティング対象装置のアドレスである第２ルーティング対象アドレスと、をアドレスフィルタ情報として記憶するアドレスフィルタ情報記憶部と、
それぞれの前記第１ルーティング対象アドレスを宛先とした中継通信の許可／禁止の初期設定を示し、少なくとも１つの前記第１ルーティング対象アドレスが許可と設定され、少なくとも１つの前記第１ルーティング対象アドレスが禁止と設定される初期通信設定と現在の設定を示す現在通信設定とを記憶する通信設定情報記憶部と、
制御部と、を備え、
前記制御部は、
前記初期通信設定で許可とされた前記第１ルーティング対象アドレスを前記アドレスフィルタ情報から抽出し、抽出した当該第１ルーティング対象アドレスを前記第２中継サーバへ送信するとともに、前記第２中継サーバから前記第２ルーティング対象アドレスを受信して前記アドレスフィルタ情報として記憶し、前記第２中継サーバとルーティングセッションを確立する制御と、
前記初期通信設定の内容を前記現在通信設定として登録する制御と、
前記第１ルーティング対象装置から前記第２ルーティング対象アドレスを宛先とするパケットを受信した際に、当該第２ルーティング対象アドレスを前記アドレスフィルタ情報と比較し、当該パケットを、前記ルーティングセッションを介して前記第２中継サーバへ転送する制御と、
前記ルーティングセッションから前記第１ルーティング対象アドレスを宛先とするパケットを受信した際に、当該第１ルーティング対象アドレスを前記アドレスフィルタ情報と比較し、当該パケットを、宛先の前記第１ルーティング対象装置へ転送する制御と、
を行うことを特徴とする中継サーバ。
【請求項２】
請求項１に記載の中継サーバであって、
前記ルーティングセッションの確立後に、前記第１ルーティング対象アドレスの少なくとも１つについて前記現在通信設定が切り替えられたときに、切替後の前記アドレスフィルタ情報を前記第２中継サーバへ送信することを特徴とする中継サーバ。
【請求項３】
請求項１又は２に記載の中継サーバであって、
前記通信設定情報記憶部は、中継サーバ毎に異なる前記初期通信設定を記憶できることを特徴とする中継サーバ。
【請求項４】
請求項１から３までの何れか一項に記載の中継サーバであって、
複数の中継サーバを含んで構成されるグループであって、同じグループに所属する中継サーバ同士でルーティングセッションを確立させて互いに通信を行うグループを通信グループと称したときに、
前記通信設定情報記憶部は、前記通信グループ毎に異なる前記初期通信設定を記憶できることを特徴とする中継サーバ。
【請求項５】
請求項１から４までの何れか一項に記載の中継サーバであって、
前記制御部は、ルーティングセッションの確立後に前記現在通信設定が変更された場合であっても、ルーティングセッションの再確立時に前記現在通信設定を前記初期通信設定に戻すことを特徴とする中継サーバ。
【請求項６】
第１中継サーバ及び第２中継サーバを含んで構成される中継通信システムにおいて、
第１ＬＡＮ内に位置する第１中継サーバは、
第１ＬＡＮ内に位置する当該第１中継サーバがパケットを転送可能な第１ルーティング対象装置のアドレスである、少なくとも２つの第１ルーティング対象アドレスと、第２ＬＡＮ内に位置する第２中継サーバがパケットを転送可能な第２ルーティング対象装置のアドレスである第２ルーティング対象アドレスと、をアドレスフィルタ情報として記憶するアドレスフィルタ情報記憶部と、
それぞれの前記第１ルーティング対象アドレスを宛先とした中継通信の許可／禁止の初期設定を示し、少なくとも１つの前記第１ルーティング対象アドレスが許可と設定され、少なくとも１つの前記第１ルーティング対象アドレスが禁止と設定される初期通信設定と現在の設定を示す現在通信設定とを記憶する通信設定情報記憶部と、
制御部と、
を備え、
前記第１中継サーバの前記制御部は、
前記初期通信設定で許可とされた前記第１ルーティング対象アドレスを前記アドレスフィルタ情報から抽出し、抽出した当該第１ルーティング対象アドレスを前記第２中継サーバへ送信するとともに、前記第２中継サーバから前記第２ルーティング対象アドレスを受信して前記アドレスフィルタ情報として記憶し、前記第２中継サーバとルーティングセッションを確立する制御と、
前記初期通信設定の内容を前記現在通信設定として登録する制御と、
前記第１ルーティング対象装置から前記第２ルーティング対象アドレスを宛先とするパケットを受信した際に、当該第２ルーティング対象アドレスを前記アドレスフィルタ情報と比較し、当該パケットを、前記ルーティングセッションを介して前記第２中継サーバへ転送する制御と、
前記ルーティングセッションから前記第１ルーティング対象アドレスを宛先とするパケットを受信した際に、当該第１ルーティング対象アドレスを前記アドレスフィルタ情報と比較し、当該パケットを、宛先の前記第１ルーティング対象装置へ転送する制御と、
を行うことを特徴とする中継通信システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、主として、異なるＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）に接続されている機器間の通信を可能とする中継サーバに関する。
【背景技術】
【０００２】
従来から、物理的に離れた場所に設置されたＬＡＮ同士で通信を行う仮想プライベートネットワーク（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ，ＶＰＮ）と呼ばれる通信技術が知られている。特許文献１に示す例では、物理的に離れた位置に設置された複数のＬＡＮのそれぞれに中継サーバ及び通信端末等が接続されている。通信端末は、このＶＰＮを利用して、他のＬＡＮに接続された通信端末へパケットを送信することができる。具体的には、通信端末が送信するパケットは、初めに同一ＬＡＮ内の中継サーバへ送られる。この中継サーバは、インターネットを介して、宛先の通信端末と同一のＬＡＮ内の中継サーバへパケットを送信（転送）する。そして、このパケットを受信した中継サーバは、宛先の通信端末へパケットを送信（転送）する。
【０００３】
このＶＰＮを利用することにより、遠隔地にある他のＬＡＮを、あたかも直接接続されているネットワークであるかのように使用することができる。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１０−２６８３１２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
ところで、特許文献１のようにＶＰＮを利用して通信を行う場合、通信を行う機器を予め登録しておき、ＶＰＮの構築後においては、登録された全ての機器同士で互いに通信できるように構成することが一般的である。
【０００６】
しかし、セキュリティ上の観点から、一部の機器同士での通信を常に許可することが好ましくない場合がある。例えば、保守サービスを行う企業Ａと、保守サービスを受ける企業Ｂと、でＶＰＮを構築する例を考える。企業Ｂには、企業Ｂの所有する保守対象の機器と、企業Ａが設置した監視用機器と、が設置されているとする。監視用機器は、保守対象の機器に不具合が発生したか否かを監視するために設置される。この場合、企業Ａに設置された機器は、監視用機器とは常に通信できる必要がある。一方、企業Ａに設置された機器は、セキュリティ上の観点から、必要ない場合にまで保守対象機器との通信を可能としておくことは好ましくない。
【０００７】
従って、従来の構成では、ＶＰＮを構築した後に、企業Ａに設置された機器から保守対象機器にアクセスできないように設定を行う必要がある。しかしながら、ＶＰＮを構築する毎に設定が必要になるのでは、ユーザにとって大きな負担となる。また、ユーザが設定を失念する可能性も考えられ、この場合、セキュリティが脆弱な部分を発生させてしまう。
【０００８】
本発明は以上の事情に鑑みてされたものであり、その主要な目的は、登録された機器同士で中継通信を行う場合において、選択された機器同士でのみ通信が可能な状態で中継通信を開始できる中継通信システムを構築可能な中継サーバを提供することにある。
【課題を解決するための手段及び効果】
【０００９】
本発明の解決しようとする課題は以上の如くであり、次にこの課題を解決するための手段とその効果を説明する。
【００１０】
本発明の第１の観点によれば、以下の構成の中継サーバが提供される。即ち、この中継サーバは、アドレスフィルタ情報記憶部と、通信設定情報記憶部と、制御部と、を備える。前記アドレスフィルタ情報記憶部は、第１ＬＡＮ内に位置し（中継サーバが）パケットを転送可能な第１ルーティング対象装置のアドレスである、少なくとも２つの第１ルーティング対象アドレスと、第２ＬＡＮ内に位置する第２中継サーバがパケットを転送可能な第２ルーティング対象装置のアドレスである第２ルーティング対象アドレスと、をアドレスフィルタ情報として記憶する。前記通信設定情報記憶部は、それぞれの前記第１ルーティング対象アドレスを宛先とした中継通信の許可／禁止の初期設定を示し、少なくとも１つの前記第１ルーティング対象アドレスが許可と設定され、少なくとも１つの前記第１ルーティング対象アドレスが禁止と設定される初期通信設定と現在の設定を示す現在通信設定とを記憶する。前記制御部は、前記初期通信設定で許可とされた前記第１ルーティング対象アドレスを前記アドレスフィルタ情報から抽出し、抽出した当該第１ルーティング対象アドレスを前記第２中継サーバへ送信するとともに、前記第２中継サーバから前記第２ルーティング対象アドレスを受信して前記アドレスフィルタ情報として記憶し、前記第２中継サーバとルーティングセッションを確立する。前記制御部は、前記初期通信設定の内容を前記現在通信設定として登録する。前記制御部は、前記第１ルーティング対象装置から前記第２ルーティング対象アドレスを宛先とするパケットを受信した際に、当該第２ルーティング対象アドレスを前記アドレスフィルタ情報と比較し、当該パケットを、前記ルーティングセッションを介して前記第２中継サーバへ転送する。前記制御部は、前記ルーティングセッションから前記第１ルーティング対象アドレスを宛先とするパケットを受信した際に、当該第１ルーティング対象アドレスを前記アドレスフィルタ情報と比較し、当該パケットを、宛先の前記第１ルーティング対象装置へ転送する。
【００１１】
これにより、通信を開始する段階においては、初期通信設定で禁止とされた第１ルーティング対象アドレスは他の中継サーバへ送信されないので、当該アドレスを宛先とした通信が行われない。従って、ある第１ルーティング対象装置へのアクセスを常に許可することがセキュリティ上の観点等から好ましくない場合、初期通信設定を禁止としておくことで、当該第１ルーティング対象装置へのアクセスを禁止した状態で、ルーティングセッションを介した通信を開始できる。従って、通信の開始後にユーザが手動で設定を変更する必要がないので、ユーザの手間を軽減することができる。また、ユーザが設定を忘れる等の人為的ミスが起こり得ないので、セキュリティを向上させることができる。
【００１２】
前記の中継サーバにおいては、前記ルーティングセッションの確立後に、前記第１ルーティング対象アドレスの少なくとも１つについて前記現在通信設定が切り替えられたときに、切替後の前記アドレスフィルタ情報を前記第２中継サーバへ送信することが好ましい。
【００１３】
これにより、通信の許可／禁止が切り替わった旨を第２中継サーバへ通知することができるので、変更内容を反映した中継通信を行うことができる。
【００１４】
前記の中継サーバにおいては、前記通信設定情報記憶部は、中継サーバ毎に異なる前記初期通信設定を記憶できることが好ましい。
【００１５】
これにより、ある中継サーバを利用するユーザは、他の中継サーバのユーザとの関係等に基づいて、中継サーバ毎に異なる初期通信設定を行うことができる。従って、様々な状況に柔軟に対応可能な中継通信システムが実現できる。
【００１６】
前記の中継サーバにおいては、複数の中継サーバを含んで構成されるグループであって、同じグループに所属する中継サーバ同士でルーティングセッションを確立させて互いに通信を行うグループを通信グループと称したときに、前記通信設定情報記憶部は、前記通信グループ毎に異なる前記初期通信設定を記憶できることが好ましい。
【００１７】
これにより、中継通信システムを利用するユーザは、同じ通信グループに所属する相手との関係等を考慮して、通信グループ毎に異なる初期通信設定を行うことができる。従って、様々な状況に柔軟に対応可能な中継通信システムが実現できる。
【００１８】
前記の中継サーバにおいては、前記制御部は、ルーティングセッションの確立後に前記現在通信設定が変更された場合であっても、ルーティングセッションの再確立時に前記現在通信設定を前記初期通信設定に戻すことが好ましい。
【００１９】
これにより、通常はアクセスを受け付けない設定の第１ルーティング対象アドレスに意図せずに許可の設定がされることを防止できるので、セキュリティを向上させることができる。
【００２０】
本発明の第２の観点によれば、以下の構成の中継通信システムが提供される。即ち、この中継通信システムは、第１中継サーバ及び第２中継サーバを含んで構成される。第１ＬＡＮ内に位置する第１中継サーバは、アドレスフィルタ情報記憶部と、通信設定情報記憶部と、制御部と、を備える。前記アドレスフィルタ情報記憶部は、第１ＬＡＮ内に位置する当該第１中継サーバがパケットを転送可能な第１ルーティング対象装置のアドレスである、少なくとも２つの第１ルーティング対象アドレスと、第２ＬＡＮ内に位置する第２中継サーバがパケットを転送可能な第２ルーティング対象装置のアドレスである第２ルーティング対象アドレスと、をアドレスフィルタ情報として記憶する。前記通信設定情報記憶部は、それぞれの前記第１ルーティング対象アドレスを宛先とした中継通信の許可／禁止の初期設定を示し、少なくとも１つの前記第１ルーティング対象アドレスが許可と設定される初期通信設定と現在の設定を示す現在通信設定とを記憶する。前記第１中継サーバの前記制御部は、前記初期通信設定で許可とされた前記第１ルーティング対象アドレスを前記アドレスフィルタ情報から抽出し、抽出した当該第１ルーティング対象アドレスを前記第２中継サーバへ送信するとともに、前記第２中継サーバから前記第２ルーティング対象アドレスを受信して前記アドレスフィルタ情報として記憶し、前記第２中継サーバとルーティングセッションを確立する。前記制御部は、前記初期通信設定の内容を前記現在通信設定として登録する。前記制御部は、前記第１ルーティング対象装置から前記第２ルーティング対象アドレスを宛先とするパケットを受信した際に、当該第２ルーティング対象アドレスを前記アドレスフィルタ情報と比較し、当該パケットを、前記ルーティングセッションを介して前記第２中継サーバへ転送する。前記制御部は、前記ルーティングセッションから前記第１ルーティング対象アドレスを宛先とするパケットを受信した際に、当該第１ルーティング対象アドレスを前記アドレスフィルタ情報と比較し、当該パケットを、宛先の前記第１ルーティング対象装置へ転送する。
【００２１】
これにより、通信を開始する段階においては、初期通信設定で禁止とされた第１ルーティング対象アドレスは他の中継サーバへ送信されないので、当該アドレスを宛先とした通信が行われない。従って、セキュリティ上の観点等からある第１ルーティング対象装置へのアクセスを常に許可することが好ましくない場合、初期通信設定を禁止としておくことで、当該第１ルーティング対象装置へのアクセスを禁止した状態で、ルーティングセッションを介した通信を開始できる。従って、通信の開始後にユーザが手動で設定を変更する必要がないので、ユーザの手間を軽減することができる。また、ユーザが設定を忘れる等の人為的ミスが起こり得ないので、セキュリティを向上させることができる。
【図面の簡単な説明】
【００２２】
【図１】本発明の一実施形態に係る中継通信システムの全体構成を示す説明図。
【図２】中継サーバの機能ブロック図。
【図３】中継グループ情報の内容を示す図。
【図４】中継サーバ情報の内容を示す図。
【図５】クライアント端末情報の内容を示す図。
【図６】ＶＰＮグループ情報の内容を示す図。
【図７】それぞれの中継サーバに予め登録されるアドレスフィルタ情報及び通信設定情報の内容を示す図。
【図８】ＶＰＮ構築後に中継サーバ１が記憶するアドレスフィルタ情報及び通信設定情報の内容を示す図。
【図９】ＶＰＮ構築後に中継サーバ３が記憶するアドレスフィルタ情報及び通信設定情報の内容を示す図。
【図１０】予め中継サーバに行う設定を示すフローチャート。
【図１１】ＶＰＮグループを作成する処理を示すフローチャート。
【図１２】ＶＰＮを構築する処理を示すフローチャート。
【図１３】ＶＰＮを構築する処理を示すフローチャート。
【図１４】ＶＰＮを構築する処理を示すフローチャート。
【図１５】ルーティング制御を示す説明図。
【図１６】現在通信設定の許可／禁止が切り替えられたときの処理を示すフローチャート。
【図１７】変形例に係るアドレスフィルタ情報及び通信設定情報の内容を示す図。
【発明を実施するための形態】
【００２３】
次に、図面を参照して本発明の実施の形態を説明する。初めに、図１を参照して、本実施形態の中継通信システム１００の概要について説明する。図１は、本実施形態に係る中継通信システム１００の全体構成を示す説明図である。
【００２４】
図１に示すように、この中継通信システム１００は、Ｗｉｄｅ  Ａｒｅａ  Ｎｅｔｗｏｒｋ（ＷＡＮ、広域通信網）８０に接続された複数のＬＡＮ１０，２０，３０で構成されている。それぞれのＬＡＮ１０，２０，３０は、限定された場所で構築される比較的小規模なネットワークである。また、ＬＡＮ１０，２０，３０は、それぞれが物理的に離れた場所に配置されている。なお、本実施形態ではＷＡＮ８０としてインターネットが使用されている。
【００２５】
以下、それぞれのＬＡＮを具体的に説明する。図１に示すように、ＬＡＮ（第２ＬＡＮ）１０には、中継サーバ（第２中継サーバ）１と、第２ルーティング対象装置としての操作ＰＣ１１，１２と、クライアント端末１３と、が接続されている。ＬＡＮ２０には、中継サーバ２と、操作ＰＣ２１と、クライアント端末２２と、が接続されている。ＬＡＮ（第１ＬＡＮ）３０には、中継サーバ（第１中継サーバ）３と、第１ルーティング対象装置としての対象端末３１，３２，３３と、クライアント端末３４と、が接続されている。
【００２６】
それぞれの中継サーバ１，２，３は、ＬＡＮ１０，２０，３０だけでなくＷＡＮ８０にも接続されているため、同一のＬＡＮに接続された機器と通信可能であるだけでなく、他のＬＡＮに配置された中継サーバとも通信可能となっている。操作ＰＣ１１，１２，２１は、例えばオペレータが操作するためのパーソナルコンピュータである。対象端末３１，３２，３３は、パーソナルコンピュータ、又は、ファイルサーバ等であり、例えばオペレータは、操作ＰＣ１１等を操作して、対象端末３１等に所定のデータを要求すること、及び、対象端末３１の記憶内容を更新することが想定されている。クライアント端末１３，２２，３４は、例えばパーソナルコンピュータで構成されており、それぞれ自身が所属する中継サーバ１，２，３を介して、互いに通信可能である。
【００２７】
次に、図２を参照して、中継サーバ１，２，３の詳細な構成について説明する。図２は、中継サーバ３の機能ブロック図である。なお、中継サーバ３は中継サーバ１，２と略同じ構成であるので、以下では、主として中継サーバ３について説明する。
【００２８】
図２に示すように、中継サーバ３は、記憶部５０と、制御部６０と、インタフェース部７０と、を備えている。
【００２９】
インタフェース部７０は、ＬＡＮ１０内の端末に対して通信を実行する。また、インタフェース部７０は、ＷＡＮ８０に対して通信を実行する。インタフェース部７０は、ＬＡＮ３０又はＷＡＮ８０から受信したパケットに適宜の処理を行って制御部６０へ出力する。
【００３０】
制御部６０は、例えば制御及び演算の機能を有するＣＰＵであり、記憶部５０から読み出したプログラムにより各種の処理を実行可能である。この制御部６０は、ＴＣＰ／ＩＰ、ＵＤＰ、ＳＩＰ等のプロトコルに従った様々な通信を制御することができる。具体的には、制御部６０は、受信したパケットについて、当該パケットが示す情報と記憶部５０に記憶された情報とに基づいて宛先を決定し、決定した宛先へ当該パケットを送信する。また、制御部６０は、他の端末から受信した情報に基づいて、記憶部５０の記憶内容を更新することができる。
【００３１】
記憶部５０は、例えばハードディスク又は不揮発性ＲＡＭで構成されており、各種データを保存可能である。記憶部５０は、中継グループ情報記憶部５１と、中継サーバ情報記憶部５２と、クライアント端末情報記憶部５３と、ＶＰＮグループ情報記憶部５４と、アドレスフィルタ情報記憶部５５と、通信設定情報記憶部５６と、を備えている。以下、図３から図９までを参照して、記憶部５０の記憶内容について説明する。図３から図９までは、主として、中継サーバ１，２，３の記憶部５０の記憶内容を示す図である。
【００３２】
中継グループ情報記憶部５１は、中継グループと、当該中継グループを構成する中継サーバと、を示した中継グループ情報を記憶している。
【００３３】
図３に示すように、中継グループ情報においては、ｇｒｏｕｐタグと、このｇｒｏｕｐタグを親要素とする子要素のｓｉｔｅタグと、が記述されている。ｇｒｏｕｐタグには中継グループに関するグループ情報５１１が記述されている。このグループ情報５１１としては、中継グループの識別情報（「ｉｄ」）と、最終更新時刻（「ｌａｓｔｍｏｄ」）と、中継グループの名称（「ｎａｍｅ」）と、が記述されている。ｓｉｔｅタグには、中継グループを構成する中継サーバに関するグループ構成情報５１２が記述されている。このグループ構成情報５１２には、当該中継サーバの識別情報（「ｉｄ」）が記述されている。また、中継グループは追加作成が可能であり、その場合、新しい中継グループには、他の中継グループと異なる一意の識別情報が付与される。これにより、特定の中継グループ内だけでデータのやり取りを行う等の設定が可能になっている。
【００３４】
なお、この中継グループ情報は、当該中継グループを構成する中継サーバ１，２，３の間で共有されている。そして、ある中継サーバにおいて中継グループを変更する処理が行われた場合は、他の中継サーバに対してその旨が送信されて中継グループ情報が更新される。このようにして、中継グループ情報が動的に共有される。
【００３５】
中継サーバ情報記憶部５２は、中継通信を行う中継サーバ及び当該中継サーバに所属するクライアント端末の概要を示す中継サーバ情報を記憶している。
【００３６】
図４に示す中継サーバ情報においては、中継サーバ毎に記述されるｓｉｔｅタグと、前記ｓｉｔｅタグを親要素とする子要素のｎｏｄｅタグと、が記述されている。ｓｉｔｅタグには中継サーバ１に関するサーバ情報５２１が記述されている。このサーバ情報５２１としては、中継サーバの識別情報（「ｉｄ」）と、中継サーバの名称（「ｎａｍｅ」）と、起動情報（「ｓｔａｔ」）と、が記述されている。なお、「ｓｔａｔ」の内容が「ａｃｔｉｖｅ」の場合は中継サーバが中継通信システム１００にログインしていることを示し、ｓｔａｔが空欄であるときはログオフ中であることを示す。ｓｉｔｅタグの子要素であるｎｏｄｅタグには、中継サーバに所属するクライアント端末を示す所属情報５２２が記述されている。所属情報５２２としては、所属する中継グループの名称（「ｇｒｏｕｐ」）と、クライアント端末の識別情報（「ｉｄ」）と、クライアント端末の名称（「ｎａｍｅ」）と、所属先の中継サーバの識別情報（「ｓｉｔｅ」）と、が記述されている。なお、クライアント端末が中継通信システム１００にログインしていないときは、「ｓｉｔｅ」は空欄となる。
【００３７】
なお、中継グループによる通信は、上記の中継グループ情報及び中継サーバ情報に基づいて、以下のようにして行われる。例えばクライアント端末１３からクライアント端末２２にパケットを送信する場合、初めに、クライアント端末１３は、自身が接続している中継サーバである中継サーバ１にパケットを送信する。なお、パケットのやり取りが可能な中継サーバは上記の中継グループ情報に基づいて把握することができ、中継サーバに所属しているクライアント端末の識別情報及び接続の可否は上記の中継サーバ情報に基づいて把握することができる。中継サーバ１は、これらの情報に基づいて、クライアント端末２２が接続している中継サーバである中継サーバ２へパケットを転送する。そして、このパケットを受信した中継サーバ２がクライアント端末２２へパケットを転送する。このようにして、クライアント端末１３，２２同士で中継通信を行うことができる。
【００３８】
この中継サーバ情報に関しても中継グループ情報と同様に、当該中継グループを構成する中継サーバ１，２，３の間で情報が共有されている。そして、ある中継サーバにおいて中継サーバ情報を変更する処理が行われた場合は、他の中継サーバに対してその旨が送信されて中継サーバ情報が更新される。このようにして、中継サーバ情報が動的に共有される。
【００３９】
クライアント端末情報記憶部５３は、クライアント端末に関する詳細な情報であるクライアント端末情報を記憶している。なお、中継サーバ１，２，３は、自身に所属するクライアント端末に関するクライアント端末情報のみを記憶している。中継サーバ３には、クライアント端末３４が所属しているため、中継サーバ３が備えるクライアント端末情報記憶部５３には、クライアント端末３４についてのクライアント端末情報のみが記憶されている。
【００４０】
中継サーバ３のクライアント端末情報記憶部５３が記憶するクライアント端末情報は、図５（ｃ）に示されている。同様に、中継サーバ１が記憶するクライアント端末情報が図５（ａ）に、中継サーバ２が記憶するクライアント端末情報が図５（ｂ）に、それぞれ示されている。
【００４１】
図５に示すクライアント端末情報においては、ｎｏｄｅタグが記述されている。このｎｏｄｅタグには、クライアント端末のプライベートＩＰアドレス（「ａｄｄｒ」）と、所属する中継グループの名称（「ｇｒｏｕｐ」）と、識別情報（「ｉｄ」）と、名称（「ｎａｍｅ」）と、中継サーバにログインするためのパスワード（「ｐａｓｓ」）と、ポート情報（「ｐｏｒｔ」）と、が記述されている。
【００４２】
ＶＰＮグループ情報記憶部５４は、中継グループを構成する中継サーバ及びクライアント端末からルーティングポイントとして選択された機器（以下、ルーティング機器と称する）で構成されたＶＰＮグループ（通信グループ）に関する情報であるＶＰＮグループ情報を記憶している。同一のＶＰＮグループに所属するルーティング機器同士でルーティングセッションを確立させることにより、ＶＰＮを利用した通信を開始することができる。
【００４３】
図６に示すＶＰＮグループ情報においては、ｖｎｅｔタグが記述されている。このｖｎｅｔタグには、ＶＰＮグループ基本情報５４１と、ルーティングポイント情報５４２と、ルーティングセッション情報５４３と、が記述されている。ＶＰＮグループ基本情報５４１には、ＶＰＮグループが所属する中継グループの名称（「ｇｒｏｕｐ」）と、ＶＰＮグループの識別情報（「ｉｄ」）と、最終更新時刻（「ｌａｓｔｍｏｄ」）と、ＶＰＮグループの名称（「ｎａｍｅ」）と、が記述されている。ルーティングポイント情報５４２には、ＶＰＮグループ間で通信を行うときにルーティングを行うルーティング機器の識別情報が記述されている。図６の例においては、ルーティング機器として、中継サーバ１と、中継サーバ３と、が記述されている。ルーティングセッション情報５４３には、ＶＰＮグループにおいて互いに接続されるルーティング機器が記述されている。ルーティングセッション情報５４３において、ルーティング機器は、ＶＰＮグループでＶＰＮを構築して通信を開始するためのルーティングセッション確立処理において、通信制御を最初に行う側（「ｓｐ（ｓｔａｒｔ  ｐｏｉｎｔ）」）と、その通信制御を受ける側「ｅｐ（ｅｎｄ  ｐｏｉｎｔ）」と、に分けて定められている。なお、以下の説明では、ルーティングセッション確立のための通信制御を最初に行う側のルーティング機器を「始点」と、その通信制御を受ける側のルーティング機器を「終点」と、それぞれ称することがある。
【００４４】
図６に示すＶＰＮグループ情報からは、ＶＰＮグループ（ＶＰＮ−ＧＲＯＵＰ１）が、中継サーバ１と中継サーバ３とで構成されることが分かる。また、このＶＰＮグループの開始時には、中継サーバ３から中継サーバ１へルーティングセッションを確立するための通信制御が行われることが分かる。
【００４５】
このＶＰＮグループ情報も中継サーバ情報及び中継グループ情報と同様に、同じＶＰＮグループに所属する中継サーバ１，３の間で共有されている。そして、ある中継サーバにおいてＶＰＮグループ情報を変更する処理が行われた場合は、同じＶＰＮグループに所属する他の中継サーバに対してその旨が送信されてＶＰＮグループ情報が更新される。このようにして、ＶＰＮグループ情報が動的に共有される。なお、このＶＰＮグループを作成する処理については後述する。
【００４６】
アドレスフィルタ情報記憶部５５は、ＶＰＮを利用したパケットのルーティング制御を行う際に用いられる情報であるアドレスフィルタ情報を記憶する。アドレスフィルタ情報記憶部５５は、ＶＰＮの構築前においては、中継サーバ３自身がパケットを直接的に送信可能な装置（ルーティング対象装置）を示す情報（中継サーバ３のアドレスフィルタ情報）を記憶する（図７（ｃ）を参照）。なお、アドレスフィルタ情報には、ルーティング対象装置のアドレス（ルーティング対象アドレス）と、ルーティング対象装置の名称と、が含まれる。
【００４７】
図７（ｃ）に示す例には、中継サーバ３がパケットを直接的に送信可能な機器が対象端末３１，３２，３３であることが記述されている。なお、図７（ａ）には、中継サーバ１に予め登録されたアドレスフィルタ情報が示され、図７（ｂ）には、中継サーバ２に予め登録されたアドレスフィルタ情報が示されている。
【００４８】
通信設定情報記憶部５６は、初期通信設定と現在通信設定で構成される通信設定情報を記憶する。通信設定情報記憶部５６は、図７（ｃ）に示すように、初期通信設定と現在通信設定とをルーティング対象アドレスと対応付けて記憶する。初期通信設定とは、前記ルーティング対象アドレスを宛先とした中継通信の許可／禁止の初期設定を示す情報である。現在通信設定とは、ＶＰＮを利用した通信が開始した後の前記ルーティング対象アドレスを宛先とした中継通信の許可／禁止の現在の設定を示す情報である。従って、ＶＰＮを利用した通信を開始する前では、図７（ｃ）に示すように、現在通信設定は登録されていない。
【００４９】
図７（ｃ）に示す例では、対象端末３１及び対象端末３２の初期通信設定が「許可」であり、対象端末３３の初期通信設定が「禁止」であることが記述されている。従って、中継サーバ３が中継サーバ１とルーティングセッションを確立した場合、現在通信設定を変更しない限り、ＬＡＮ１０側から対象端末３３へアクセスすることはできない。
【００５０】
以下、アドレスフィルタ情報及び初期通信設定を用いて行われる処理について説明する。上述のように、中継サーバ３のアドレスフィルタ情報記憶部５５は、ＶＰＮを構築する前においては、図７（ｃ）に示すアドレスフィルタ情報のみを記憶している。そして、中継サーバ３は、例えば中継サーバ１とルーティングセッションを確立させるときに、自身に予め登録されたアドレスフィルタ情報（図７（ｃ））のうち、初期通信設定で「許可」とされているルーティング対象アドレスのみを中継サーバ１へ送信するとともに、中継サーバ１からもアドレスフィルタ情報（図７（ａ））を受信する。そして、中継サーバ３は、中継サーバ１のアドレスフィルタ情報を当該中継サーバ１の識別情報と対応付けてアドレスフィルタ情報記憶部５５に記憶する。
【００５１】
これにより、中継サーバ３には、図９（ａ）に示す内容が記憶されることになる。また、中継サーバ１には、図８（ａ）に示す内容が記憶されることになる。なお、中継サーバ３は対象端末３３のアドレスを中継サーバ１へ送信していないので、図８（ａ）に示すように、中継サーバ１には、対象端末３３が登録されていない。従って、ＬＡＮ１０側から対象端末３３へのアクセスを行うことができない。なお、以下では、中継サーバ３のアドレスフィルタ情報に含まれるルーティング対象アドレスを第１ルーティング対象アドレスと称し、中継サーバ１のアドレスフィルタ情報に含まれるルーティング対象アドレスを第２ルーティング対象アドレスと称することがある。
【００５２】
次に、ＶＰＮを利用した通信を行うための準備について説明する。初めに、図１０を参照して中継サーバに予め行う設定について説明し、次に、図１１を参照してＶＰＮグループを作成するときの流れについて説明する。図１０は、予め中継サーバ３に行う設定を示すフローチャートである。図１１は、ＶＰＮグループを作成する処理を示すフローチャートである。以下では、中継サーバ３を例に挙げて、中継サーバ３に対して行う設定及び中継サーバ３が実行する処理について説明するが、中継サーバ１，２にも同様の設定が行われるとともに、中継サーバ１，２も同様の処理を実行可能であるとする。
【００５３】
中継サーバ３に予め行う設定としては、当該中継サーバ３のアドレスフィルタ情報の登録（Ｓ１０１）がある。この登録は、中継通信システム１００を利用するユーザが、ルーティング対象装置として指定する機器等のアドレス（第１ルーティング対象アドレス）と、名称と、を所定の方法で入力することにより行う。ここでは、ユーザは、対象端末３１，３２，３３のアドレス及び名称を入力したものとする。ここで登録されたアドレスフィルタ情報は、アドレスフィルタ情報記憶部５５に記憶される。
【００５４】
次に、ユーザは、前記初期通信設定の登録を行う（Ｓ１０２）。ユーザは、ルーティング対象装置のうち、他のＬＡＮからのアクセスを通常は許容しない端末については「禁止」の登録を行い、それ以外の端末については「許可」の登録を行う。本実施形態では、対象端末３３に「禁止」が登録され、対象端末３１，３２に「許可」が登録されたものとする。ここで登録された初期通信設定は、通信設定情報記憶部５６に記憶される。
【００５５】
次に、ＶＰＮグループを作成するときの流れについて説明する。ユーザは、初めに、クライアント端末１３，２２，３４等を操作することによって、ＶＰＮグループの設定画面を表示させることができる。ここでは、クライアント端末３４を用いて設定を行う場合について説明する。クライアント端末３４に表示させた設定画面には、当該クライアント端末３４が属する複数の中継グループが表示される。ユーザは、この複数の中継グループから、ＶＰＮグループを構築したい中継グループを選択する（Ｓ２０１）。
【００５６】
中継グループが選択されると、クライアント端末３４の画面には、選択した中継グループに属し、かつルーティングポイントとして機能可能な中継サーバ及びクライアント端末の識別情報の一覧が表示される（Ｓ２０２）。そして、ユーザは、構築するＶＰＮグループにおいてルーティングポイントとして機能させる中継サーバ及びクライアント端末を選択する（Ｓ２０３）。今回の説明では、中継サーバ１と、中継サーバ３と、がユーザに選択されたものとする。
【００５７】
そして、選択された中継サーバの識別情報に基づいて、ルーティングポイントの識別情報及び前記ルーティングセッション情報が作成される（Ｓ２０４）。そして、これらの情報にＶＰＮグループの識別情報等を付加することにより、図６で示したＶＰＮグループ情報が作成される。クライアント端末３４は、このＶＰＮグループ情報を、同じＶＰＮグループに所属する中継サーバ１，３へ送信する（Ｓ２０５）。そして、中継サーバ１，３は、受信したＶＰＮグループ情報をＶＰＮグループ情報記憶部５４に記憶する。以上により、ＶＰＮグループの構築処理が完了する。
【００５８】
次に、構築したＶＰＮグループで通信を開始するまでの流れについて、図１２から図１４までを参照して説明する。図１２から図１４までは、ＶＰＮを利用した通信を開始するまでに行う処理を示すフローチャートである。
【００５９】
ユーザは、クライアント端末１３又は操作ＰＣ１１等を操作することによって、構築したＶＰＮグループを画面に表示させることができる。そして、表示されたＶＰＮグループから適当なＶＰＮグループを選択することにより（Ｓ３０１）、ＶＰＮを構築するための処理を行わせることができる。今回の説明では、上記で作成したＶＰＮグループ（中継サーバ１，３で構成されるＶＰＮグループ）の開始処理を中継サーバ３が行う例を説明する。
【００６０】
中継サーバ３は、自身に対応付けられたアドレスフィルタ情報を読み出す（Ｓ３０２）。そして、アドレスフィルタ情報を構成する第１ルーティング対象アドレスのリストから１つを選択し、当該ルーティング対象アドレスに対応する初期通信設定を読み出す（Ｓ３０３）。次に、中継サーバは、読み出した初期通信設定の内容に従わずに、それとは異なる設定を例外的（一時的）に行う場合の指示を受け付ける（Ｓ３０４）。例えばメンテナンス作業が必要になった等の事情で、初期通信設定を採用せずに異なる設定（今回限りの設定）で通信を行わせたい場合は、ユーザは、所定の操作を中継サーバ３に行うことで、現在通信設定として登録する内容を通信初期設定から変更する指示を行うことができる。次に、中継サーバ３は、Ｓ３０４で受け付けた指示を優先的に考慮しつつ、読み出した初期通信設定の内容を現在通信設定として登録する（Ｓ３０５）。具体的には、Ｓ３０４で変更する指示があった場合は、当該指示に沿うように許可／禁止を現在通信設定として登録し、Ｓ３０４で指示がなかった場合は、初期通信設定の内容を現在通信設定として登録する。次に、中継サーバ３は、第１ルーティング対象アドレスのリストに記述された他の第１ルーティング対象アドレスについてもＳ３０４及びＳ３０５の処理を行う。以上のようにして、対象端末３１，３２，３３について、初期通信設定が読み出され、現在通信設定として登録される。なお、中継サーバ３は、初期通信設定の内容を変更して登録する指示の受付け（Ｓ３０４）を行わずに、通信設定情報記憶部５６が記憶している初期通信設定をそのまま用いてＳ３０５の処理を行う構成であっても良い。
【００６１】
次に、中継サーバ３は、選択したＶＰＮグループに属するルーティングポイントの読出しを行う（図１３のＳ３０７）。これにより、図６に示すＶＰＮグループ情報の内容に基づいて、中継サーバ１が読み出される。中継サーバ３は、中継サーバ情報に基づいて、初めに、中継サーバ１がログイン中か否か（「ｓｔａｔ」がａｃｔｉｖｅか空欄か）を判断する（Ｓ３０８）。図４に示す中継サーバ情報によれば中継サーバ１はログイン中であるため、中継サーバ３は、中継サーバ１へＶＰＮグループの識別情報とともに、ＶＰＮグループの開始コマンドを送信する（Ｓ３０９）。
【００６２】
中継サーバ３は、この開始コマンドに対する中継サーバ１からの応答を受けると（Ｓ３１０）、中継サーバ１を、ＶＰＮを構築する準備が完了したルーティングポイントとして登録する（Ｓ３１１）。
【００６３】
次に、中継サーバ３は、同じＶＰＮグループに所属する他の機器が有るか否かの判断を行う（Ｓ３１２）。現在作成中のＶＰＮグループは、中継サーバ１と中継サーバ３のみで構成されるため、他の機器は存在しない。なお、仮に他の機器が存在していた場合は、中継サーバ３は、今度は当該機器を対象としてＳ３０８〜Ｓ３１１の処理を行う。
【００６４】
次に、中継サーバ３は、ＶＰＮグループ情報記憶部５４の記憶内容からルーティングセッション情報を抽出する（図１４のＳ３１３）。そして、中継サーバ３は、抽出したルーティングセッション情報を参照して、自身が始点となるルーティングセッションが記述されているか否かを判断する（Ｓ３１４）。図６のルーティングセッション情報においては、中継サーバ１と中継サーバ３との間で確立されるべきルーティングセッションにおいて、自身（中継サーバ３）が始点となることが記述されている。
【００６５】
そのため、中継サーバ３は、中継サーバ１に対して所定の通信制御を行ってルーティングセッションを確立する（Ｓ３１５）。なお、この通信制御を行う際に、前述のように、アドレスフィルタ情報が交換される。具体的には、中継サーバ３は、現在通信設定で「許可」とされたルーティング対象アドレスのみを抽出し、抽出したルーティング対象アドレスを中継サーバ１へ送信する（Ｓ３１６）。また、中継サーバ３は、中継サーバ１からルーティング対象アドレスを当該中継サーバ１から受信する（Ｓ３１７）。なお、ここで中継サーバ３が受信するルーティング対象アドレスは、図７（ａ）において、現在通信設定が「許可」とされたルーティング対象アドレスである。従って、中継サーバ３は、操作ＰＣ１１，１２の両方のルーティング対象アドレスを中継サーバ１から受信する。
【００６６】
ここで、現在通信設定の内容は、Ｓ３０４で説明した例外的な設定の指示がない限り、初期通信設定の内容と一致する（Ｓ３０５を参照）。従って、Ｓ３１６で抽出されるアドレス（現在通信設定が「許可」になっているルーティング対象アドレス）は、実質的に、初期通信設定が「許可」になっているルーティング対象アドレスであるということができる。
【００６７】
以上のようにして、中継サーバ３のアドレスフィルタ情報記憶部５５には、図９（ａ）に示す内容が記憶される。また、中継サーバ１のアドレスフィルタ情報記憶部５５には、図８（ａ）に示す内容が記憶される。
【００６８】
このように、本実施形態ではＶＰＮを構築する際に、それぞれのルーティング機器が他のルーティング機器とアドレスフィルタ情報を交換（取得）するため、最新のアドレスフィルタ情報を用いてＶＰＮを構築することができる。従って、ＶＰＮ開始前の段階で一部のルーティング機器においてアドレスフィルタ情報が変更された場合でも、その変更を全てのルーティング機器に反映させた状態でＶＰＮを構築して通信を開始できるので、パケットのルーティングにおける矛盾の発生を防止でき、信頼性を向上させることができる。
【００６９】
次に、中継サーバ３は、再びＳ３１４の処理を行う。現在作成中のＶＰＮグループは、中継サーバ１と中継サーバ３のみで構成されるため、他のルーティングセッションはＶＰＮグループ情報には記述されていない。従って、中継サーバ３は、パケットのルーティング制御を開始する（Ｓ３１８）。なお、仮に他のルーティングセッションがある場合は、中継サーバ３は、再びＳ３１５〜Ｓ３１７の処理を行う。
【００７０】
また、図１４のフローチャートには記載していないが、Ｓ３１０において自身が接続の始点となるルーティングセッションが無い場合（自身がルーティングの終点となる場合）であっても、始点となるルーティング機器からの通信制御を受けてルーティングセッションの確立処理及びアドレスフィルタ情報の交換が行われる。
【００７１】
なお、それぞれのルーティング機器は、自身が始点である旨がルーティングセッション情報に記述されていない限りはルーティングセッション確立のための最初の通信制御を行わないので、通信制御の衝突を防止し、機器間のルーティングセッションを簡素な制御で確立することができる。
【００７２】
次に、図１５等を参照して、確立したルーティングセッションを用いてパケットのルーティングを行う処理について説明する。図１５は、ルーティング制御を示す説明図である。
【００７３】
初めに、対象端末３１が操作ＰＣ１１へパケットを送信するときの流れについて説明する。図１５（ａ）に示すように、対象端末３１は、宛先アドレスとして、操作ＰＣ１１のアドレス（２００．１．４０．１０）を指定し、送信元アドレスとして自身のアドレス（１９２．１６８．０．１０）を指定する。このパケットを受信した中継サーバ３は、パケットの宛先アドレスと、記憶しているアドレスフィルタ情報（図９（ａ））と、を比較する。そして、宛先アドレスが中継サーバ１と対応付けられていることを認識し、ルーティングセッションを介して、パケットを中継サーバ１へ転送する。
【００７４】
このパケットを受信した中継サーバ１は、受信したパケットの宛先アドレスと、記憶しているアドレスフィルタ情報（図８（ａ））と、を比較する。そして、宛先アドレスが自身（中継サーバ１）と対応付けられていることを認識し、パケットを操作ＰＣ１１へ送信する。
【００７５】
次に、操作ＰＣ１１から対象端末３１へパケットを送信するときの流れについて説明する。この図１５（ｂ）に示すように、操作ＰＣ１１は、宛先アドレスとして対象端末３１のアドレス（１９２．１６８．０．１０）を指定し、送信元アドレスとして自身のアドレス（２００．１．４０．１０）を指定してパケットを送信する。このパケットを受信した中継サーバ１は、受信したパケットの宛先アドレスと、記憶しているアドレスフィルタ情報（図８（ａ））と、を比較する。そして、宛先アドレスが中継サーバ３と対応付けられていることを認識し、ルーティングセッションを介して、パケットを中継サーバ３へ転送する。
【００７６】
このパケットを受信した中継サーバ３は、受信したパケットの宛先アドレスと、記憶しているアドレスフィルタ情報（図９（ａ））と、を比較する。そして、宛先アドレスが自身（中継サーバ３）と対応付けられていることを認識し、パケットを対象端末３１へ送信する。
【００７７】
アドレスフィルタ情報を利用したルーティング制御は以上のように行われる。従って、仮に操作ＰＣ１１から対象端末３３へパケットを送信した場合であっても、中継サーバ１は、アドレスフィルタ情報に対象端末３３のアドレスが記述されていないため、当該パケットを破棄する。つまり、本実施形態では、操作ＰＣ１１，１２から対象端末３３へのアクセスを禁止した状態で、ＶＰＮを利用した通信を開始することができる。
【００７８】
次に、通信開始後に現在通信設定が切り替えられたときに中継サーバ３が行う処理について図１６を参照して説明する。図１６は、現在通信設定の許可／禁止が切り替えられたときの処理を示すフローチャートである。
【００７９】
以下では、対象端末３３の現在通信設定を「禁止」から「許可」へ切り替えるときについて説明する。中継サーバ３は、ＶＰＮの構築後において、現在通信設定の切替え指示の有無を監視している（Ｓ４０１）。中継サーバ３は、ユーザから対象端末３３の現在通信設定の切替えが指示された場合、指示内容に基づいて現在通信設定の値を切り替える（Ｓ４０２、図９（ｂ）を参照）。従って、中継サーバ３が記憶する現在通信設定は、図９（ｂ）に示すように更新される（鎖線部分を参照）。
【００８０】
次に、中継サーバ３は、更新後のアドレスフィルタ情報を、ＶＰＮグループを構成する他のルーティング機器（本説明では中継サーバ１）へ送信する（Ｓ４０３）。このとき、中継サーバ３は、アドレスフィルタ情報の変更部分についてのみ中継サーバ１へ送信しても良いし、アドレスフィルタ情報の全体を中継サーバ１へ送信しても良い。
【００８１】
中継サーバ１は、中継サーバ３からの通知を受けて、中継サーバ３と対応付けて記憶していたアドレスフィルタ情報を更新する。従って、中継サーバ１が記憶するアドレスフィルタ情報は、図８（ｂ）に示すように更新される（鎖線部分を参照）。これにより、操作ＰＣ１１，１２は、対象端末３３へアクセスできる状態になる。
【００８２】
また、中継サーバ３は、現在通信設定の切替え指示の有無だけでなく、ＶＰＮの終了指示の有無についても監視を行っている（Ｓ４０４）。そして、ユーザによってＶＰＮの終了が指示された場合、中継サーバ３は、ＶＰＮを終了する旨を他のルーティング機器（本説明では中継サーバ１）へ送信する等してＶＰＮを終了させる。
【００８３】
上述したように、本実施形態では、ＶＰＮが構築される毎に、中継サーバ３は、Ｓ３０４で例外的な設定がその都度指示されない限り、Ｓ３０５で、初期通信設定の内容が現在通信設定として登録される。従って、ＶＰＮの終了前に対象端末３３の現在通信設定が「許可」となっていても、ＶＰＮを再構築したときには、対象端末３３の現在通信設定は原則として、初期通信設定である「禁止」に強制的に戻ることになる。これにより、対象端末３３に対する通信について「許可」の設定が意図せずにされることを防止できるので、セキュリティを向上させることができる。
【００８４】
以上に示したように、本実施形態の中継サーバ３は、アドレスフィルタ情報記憶部５５と、通信設定情報記憶部５６と、制御部６０と、を備える。アドレスフィルタ情報記憶部５５は、ＬＡＮ３０内に位置し、中継サーバ３がパケットを転送可能なアドレスである第１ルーティング対象アドレスと、ＬＡＮ１０内に位置する中継サーバ１がパケットを転送可能な第２ルーティング対象アドレスと、を記憶する。通信設定情報記憶部５６は、中継通信の許可／禁止の初期設定を示す初期通信設定と、現在の設定を示す現在通信設定と、を記憶する。制御部６０は、初期通信設定で許可とされた第１ルーティング対象アドレスを抽出し、抽出した第１ルーティング対象アドレスを中継サーバ１へ送信するとともに、中継サーバ１から第２ルーティング対象アドレスを受信し、中継サーバ１とルーティングセッションを確立する。制御部６０は、初期通信設定の内容を現在通信設定として登録する。制御部６０は、第１ルーティング対象装置から第２ルーティング対象装置を宛先とするパケットを受信した際に、当該パケットを、ルーティングセッションを介して中継サーバ１へ転送する。制御部６０は、ルーティングセッションから第１ルーティング対象アドレスを宛先とするパケットを受信した際に、当該パケットを、宛先の第１ルーティング対象装置へ転送する。
【００８５】
これにより、対象端末３３の初期通信設定を「禁止」としておくことで、対象端末３３へのアクセスを禁止にした状態で、ＶＰＮを利用した通信を開始できる。従って、（対象端末３３へのアクセスを例外的に許可すべき場合を除いて）通信の開始後にユーザが手動で設定を変更する必要がないので、ユーザの手間を軽減することができる。また、ユーザが設定を忘れる等の人為的ミスが起こり得ないので、セキュリティを向上させることができる。
【００８６】
また、本実施形態の中継サーバ３は、ルーティングセッションの確立後に現在通信設定が切り替えられたときに、切替後の内容を中継サーバ１へ送信する。
【００８７】
これにより、通信の許可／禁止が切り替わった旨を中継サーバ１へ通知することができるので、変更内容を反映した中継通信を行うことができる。
【００８８】
また、本実施形態の中継サーバ３において、制御部６０は、ルーティングセッションの確立後に現在通信設定が変更された場合であっても、ルーティングセッションの再確立時に現在通信設定を初期通信設定に戻す。
【００８９】
これにより、通常はアクセスを受け付けない設定の対象端末３３との通信について「許可」の設定が意図せずにされることを防止できるので、セキュリティを向上させることができる。
【００９０】
次に、上記実施形態の変形例について図１７を参照して説明する。図１７は、変形例に係るアドレスフィルタ情報及び通信設定情報の内容を示す図である。
【００９１】
本変形例では、上記実施形態の構成を採用しつつ、設定可能な事項を充実させた構成である。具体的には、本変形例では、初期通信設定をＶＰＮの構築相手の中継サーバ毎に設定することができる。
【００９２】
この設定は、例えば中継サーバの設置先に基づいて決定することができる。例えば、中継サーバ３の設置先の企業が中継サーバ１の設置先の企業と異なる一方で、中継サーバ３の設置先の企業と中継サーバ２の設置先の企業とが同じであるとする。この場合、対象端末３３への通信を中継サーバ１から常に受け付けるとセキュリティ上の観点から問題が生じる可能性がある。一方、対象端末３３への通信を中継サーバ２から常に受け付けてもセキュリティ上問題ないことが多い。この場合、図１７（ａ）に示すように、対象端末３３の中継サーバ１への初期通信設定を「禁止」とし、中継サーバ２への初期通信設定を「許可」とすることで、上記に対応したＶＰＮを構築することができる。
【００９３】
また、中継サーバ毎に初期通信設定を切り替える構成だけでなく、例えばＶＰＮグループ毎に初期通信設定を切替え可能な構成としても良い。例えば、同一の企業同士で構成されるＶＰＮグループには初期通信設定を「許可」として、複数の企業で構成されるＶＰＮグループには初期通信設定を「禁止」とする等の設定方法が考えられる。
【００９４】
以上に本発明の好適な実施の形態及び変形例を説明したが、上記の構成は例えば以下のように変更することができる。
【００９５】
読み出した初期通信設定の内容に従わない旨の特別な指示の受付け（Ｓ３０４）は、上記実施形態では、ルーティング対象アドレスを１つ登録する度に行われる。しかしながらこれに代えて、最初にルーティング対象アドレスの全てについて初期通信設定を現在通信設定にそのままコピーし、その後に、全てのルーティング対象アドレスについて現在通信設定の内容を例えばリスト形式で表示した上で上記の特別な指示を一括で受け付けるようにしても良い。
【００９６】
上記実施形態では、通信を開始する段階において、中継サーバは、初期通信設定の内容を現在通信設定にコピーした上で（Ｓ３０３〜Ｓ３０６）、ルーティング対象アドレスを他の中継サーバに送信するか否かを現在通信設定の内容に基づいて定めている（Ｓ３１６）。しかしながらこれに代えて、中継サーバが、ルーティング対象アドレスを他の中継サーバに送信するか否かを初期通信設定の内容に基づいて定め、その後に、初期通信設定の内容を現在通信設定として登録するように構成しても良い。ただしこの場合も、Ｓ３０４でユーザが特別な指示を行った場合は、それを考慮すべきなのは勿論である。
【００９７】
上記では、ルーティングセッションの確立と略同時にアドレスフィルタ情報の交換を行う構成である。これに対し、ＶＰＮグループの開始コマンドの送信（Ｓ３０９）とともにアドレスフィルタ情報を送信し、応答（Ｓ３１０）とともにアドレスフィルタ情報を受信する構成でも良い。
【００９８】
上記では、操作ＰＣ１１等の個別の機器がルーティング対象装置となっていたが、例えば、ＬＡＮ１０全体（２００．１．４０．０／２４）を中継サーバ１のルーティング対象装置として設定しても良い。
【００９９】
上記では、中継サーバのみがルーティングポイントとして機能する構成であるが、クライアント端末がルーティングポイントとして機能する構成であっても良い。また、ＶＰＮグループ内のルーティングポイントの数は２つに限られず、３つ以上であっても良い。また、１つのルーティング機器が複数のＶＰＮグループに所属していても良い。
【０１００】
上記の中継グループ情報、中継サーバ情報、クライアント端末情報、ＶＰＮグループ情報、アドレスフィルタ情報等を格納する形式はＸＭＬ形式に限定されず、適宜の形式で各情報を格納することができる。
【０１０１】
上記実施形態の構成に代えて、各中継サーバ間での通信に用いられる外部サーバをインターネット上に設置し、ＳＩＰ（Ｓｅｓｓｉｏｎ  Ｉｎｉｔｉａｉｏｎ  Ｐｒｏｔｏｃｏｌ）サーバとしての機能を発揮させて通信を行う構成にしても良い。
【符号の説明】
【０１０２】
１  中継サーバ（第２中継サーバ）
３  中継サーバ（第１中継サーバ）
１１，１２  操作ＰＣ（第２ルーティング対象装置）
３１，３２，３３  対象端末（第１ルーティング対象装置）
１０  ＬＡＮ（第２ＬＡＮ）
３０  ＬＡＮ（第１ＬＡＮ）
５５  アドレスフィルタ情報記憶部
５６  通信設定情報記憶部
６０  制御部
１００  中継通信システム
【図１】
0005874356.tif 000002
【図２】
0005874356.tif 000003
【図３】
0005874356.tif 000004
【図４】
0005874356.tif 000005
【図５】
0005874356.tif 000006
【図６】
0005874356.tif 000007
【図７】
0005874356.tif 000008
【図８】
0005874356.tif 000009
【図９】
0005874356.tif 000010
【図１０】
0005874356.tif 000011
【図１１】
0005874356.tif 000012
【図１２】
0005874356.tif 000013
【図１３】
0005874356.tif 000014
【図１４】
0005874356.tif 000015
【図１５】
0005874356.tif 000016
【図１６】
0005874356.tif 000017
【図１７】
0005874356.tif 000018