(57)【要約】【課題】拠点間接続により生じたネットワークドメインにおける到達性を適切に制御することを課題とする。【解決手段】統合ＡＡＡ装置１００は、所定のＶＰＮ間接続が広域ネットワークを介して形成される場合に、各ＶＰＮ配下のユーザ端末毎に、該ユーザ端末を利用するユーザを認証する。また、統合ＡＡＡ装置１００は、認証成功の認証結果が所定のユーザ端末について取得されると、該所定のユーザ端末を送信元として広域ネットワークを宛先とするアクセスを許可するように、該所定のユーザ端末を収容するゲートウェイ装置２００に対してアクセス制御情報を設定する。また、統合ＡＡＡ装置１００は、予め設定された所定の条件を満たすと、所定のユーザ端末以外の各ユーザ端末を送信元として該所定のユーザ端末を宛先とするアクセスを許可するように、該ゲートウェイ装置２００に対してアクセス制御情報を設定する。【選択図】図１
2011166375.tif 000002
【特許請求の範囲】
【請求項１】
複数の拠点について所定の拠点間接続が広域ネットワークを介して形成される場合に、各拠点配下の端末を収容するとともに該所定の拠点間接続に属する端末間で行われるアクセスを制御するアクセス制御装置に対して、該アクセスを制御するためのアクセス制御情報を設定するアクセス制御設定装置であって、
前記各拠点配下の端末毎に、該端末を利用する利用者を認証する認証手段と、
前記認証手段による認証成功の認証結果が前記所定の拠点間接続に属する端末のうち所定の端末について取得されると、該所定の端末を送信元として前記広域ネットワークを宛先とするアクセスを許可するように、該所定の端末を収容するアクセス制御装置に対してアクセス制御情報を設定する第一アクセス制御手段と、
予め設定された所定の条件を満たすと、前記第一アクセス制御手段によってアクセスが許可された所定の端末以外の端末であって前記所定の拠点間接続に属する各端末を送信元として該所定の端末を宛先とするアクセスを許可するように、該所定の端末を収容するアクセス制御装置に対してアクセス制御情報を設定する第二アクセス制御手段と
を備えたことを特徴とするアクセス制御設定装置。
【請求項２】
前記認証手段は、複数のＶＰＮについて所定のＶＰＮ間接続が広域ネットワークを介して形成される場合に、ＶＰＮに接続するための認証が必要な端末については、所定の認証サーバに該認証のための認証情報を中継することで認証結果を取得し、ＶＰＮに接続するための認証が不要な端末については、該端末の利用者を自装置にて認証することで認証結果を取得することを特徴とする請求項１に記載のアクセス制御設定装置。
【請求項３】
前記第二アクセス制御手段は、前記所定の条件を満たす場合として、前記所定の拠点間接続に属する全ての端末について認証成功の認証結果を取得した場合に、前記アクセス制御情報を設定することを特徴とする請求項１または２に記載のアクセス制御設定装置。
【請求項４】
前記第二アクセス制御手段は、前記所定の条件を満たす場合として、前記第一アクセス制御手段によってアクセスが許可された所定の端末について認証成功の認証結果を取得した場合に、前記アクセス制御情報を設定することを特徴とする請求項１または２に記載のアクセス制御設定装置。
【請求項５】
複数の拠点について所定の拠点間接続が広域ネットワークを介して形成される場合に、各拠点配下の端末を収容するとともに該所定の拠点間接続に属する端末間で行われるアクセスを制御するアクセス制御装置に対して、該アクセスを制御するためのアクセス制御情報を設定するアクセス制御設定方法であって、
コンピュータが、
前記各拠点配下の端末毎に、該端末を利用する利用者を認証する認証工程と、
前記認証工程による認証成功の認証結果が前記所定の拠点間接続に属する端末のうち所定の端末について取得されると、該所定の端末を送信元として前記広域ネットワークを宛先とするアクセスを許可するように、該所定の端末を収容するアクセス制御装置に対してアクセス制御情報を設定する第一アクセス制御工程と、
予め設定された所定の条件を満たすと、前記第一アクセス制御工程によってアクセスが許可された所定の端末以外の端末であって前記所定の拠点間接続に属する各端末を送信元として該所定の端末を宛先とするアクセスを許可するように、該所定の端末を収容するアクセス制御装置に対してアクセス制御情報を設定する第二アクセス制御工程と
を含むことを特徴とするアクセス制御設定方法。
【請求項６】
コンピュータを請求項１〜４のいずれか一つに記載のアクセス制御設定装置として機能させることを特徴とするアクセス制御設定プログラム。
【請求項７】
複数の拠点について所定の拠点間接続が広域ネットワークを介して形成される場合に、各拠点配下の端末を収容するとともに該所定の拠点間接続に属する端末間で行われるアクセスを制御するアクセス制御装置に対して、アクセス制御設定装置が、該アクセスを制御するためのアクセス制御情報を設定するアクセス制御設定システムであって、
前記アクセス制御設定装置は、
前記各拠点配下の端末毎に、該端末を利用する利用者を認証する認証手段と、
前記認証手段による認証成功の認証結果が前記所定の拠点間接続に属する端末のうち所定の端末について取得されると、該所定の端末を送信元として前記広域ネットワークを宛先とするアクセスを許可するように、該所定の端末を収容するアクセス制御装置に対してアクセス制御情報を設定する第一アクセス制御手段と、
予め設定された所定の条件を満たすと、前記第一アクセス制御手段によってアクセスが許可された所定の端末以外の端末であって前記所定の拠点間接続に属する各端末を送信元として該所定の端末を宛先とするアクセスを許可するように、該所定の端末を収容するアクセス制御装置に対してアクセス制御情報を設定する第二アクセス制御手段とを備え、
前記各アクセス制御装置は、
前記第一アクセス制御手段および前記第二アクセス制御手段によるアクセス制御情報の設定指示を受け付けるアクセス制御設定受付手段と、
前記アクセス制御設定受付手段によって受け付けられたアクセス制御情報に従って、該アクセス制御装置を介して行われる前記拠点間のアクセスを制御するアクセス制御手段と
を備えたことを特徴とするアクセス制御設定システム。
【請求項８】
複数の拠点について所定の拠点間接続が広域ネットワークを介して形成される場合に、各拠点配下の端末を収容するとともに該所定の拠点間接続に属する端末間で行われるアクセスを制御するアクセス制御装置であって、
各拠点配下の端末を利用する利用者毎の認証結果が前記所定の拠点間接続に属する端末のうち所定の端末について取得されると、該所定の端末を送信元として前記広域ネットワークを宛先とするアクセスを許可するように制御するためのアクセス制御情報の設定指示を受け付け、予め設定された所定の条件を満たすと、該所定の端末以外の端末であって該所定の拠点間接続に属する各端末を送信元として該所定の端末を宛先とするアクセスを許可するように制御するためのアクセス制御情報の設定指示を受け付けるアクセス制御設定受付手段と、
前記アクセス制御設定受付手段によって受け付けられたアクセス制御情報に従って、該アクセス制御装置を介して行われる前記拠点間のアクセスを制御するアクセス制御手段と
を備えたことを特徴とするアクセス制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アクセス制御設定装置、アクセス制御設定方法、アクセス制御設定プログラム、アクセス制御設定システム、及びアクセス制御装置に関する。
【背景技術】
【０００２】
近年、複数の拠点間を拠点間接続することで協働空間を提供するサービスが登場した。特に、オンデマンド（on−demand）なサービス、すなわち、要求に応じて時限的に拠点間接続するサービスに対する要望が高い。ここで、「拠点」とは、ＶＰＮ（Virtual  Private  Network）や地理的条件などによって到達性を制限され孤立しているネットワークドメインのことである。また、「拠点間接続」とは、ある拠点の端末から送信されたパケットをある拠点の端末に対して転送するための情報を該拠点間の経路上に存在する各機器に設定することで、拠点間を通信可能に相互接続することである。また、「協働空間」とは、拠点間接続により生じたネットワークドメインのことであり、相互接続された範囲を新たな到達可能範囲とするネットワークドメインのことである。例えば、非特許文献１には、接続方式が異なる複数のＶＰＮ間をＶＰＮ間接続する技術が開示されている。
【０００３】
ところで、従来、拠点間のアクセス制御は、端末を利用する利用者の認証（以下、ユーザ認証）に基づいて行われることが一般的である。例えば、拠点間を接続するシステムは、拠点間接続に属する各端末の利用者毎にユーザ認証を行い、ユーザ認証に成功すると、ユーザ認証に成功した該ユーザが利用する端末を収容するゲートウェイ装置に対して、該ユーザに関するアクセスを許可するように制御する。なお、例えば、特許文献１には、ユーザ認証がゲートウェイ装置によって行われ、ゲートウェイ装置によって払い出されたチケットに基づいてアクセス制御が行われる技術が開示されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００５−３４８１６４号公報
【非特許文献】
【０００５】
【非特許文献１】小山  高明、唐澤  秀一、岸  和宏、水野  伸太郎、岩村  相哲、「ＶＰＮ間接続管理システムの提案」、社団法人  電子情報通信学会（THE  INSTITUTE  OF  ELECTRONICS，INFORMATION  AND  COMMUNICATION  ENGINEERS）、信学技報（IEICE  Technical  Report）、IN2009-48（2009−09）
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、上述した従来の技術では、拠点間接続により生じたネットワークドメインにおける到達性を適切に制御することができないという課題がある。例えば、２拠点間の拠点間接続（各拠点に端末は１台ずつ）の場合、かつ、それぞれの拠点が２つのゲートウェイ装置それぞれに収容されている場合を検討する。このような場合、例えば、拠点間を接続するシステムは、一方のユーザのユーザ認証に成功すると、該ユーザに対応するゲートウェイ装置に対して該ユーザに関するアクセスを許可するように制御する。ここで、他方のゲートウェイ装置は、該ユーザに関するアクセス制御を行わないので、この時点で、ユーザ認証に成功したユーザは、ユーザ認証を行っていない他方のユーザに到達することができてしまう。
【０００７】
なお、チケットに基づくアクセス制御は、既存のゲートウェイ装置のインタフェースに変更を加えなければ実現できず、上記課題を適切に解決するものではない。
【０００８】
開示の技術は、上記に鑑みてなされたものであって、拠点間接続により生じたネットワークドメインにおける到達性を適切に制御することが可能なアクセス制御設定装置、アクセス制御設定方法、アクセス制御設定プログラム、アクセス制御設定システム、及びアクセス制御装置を提供することを目的とする。
【課題を解決するための手段】
【０００９】
本願の開示するアクセス制御設定装置、アクセス制御設定方法、アクセス制御設定プログラム、アクセス制御設定システム、及びアクセス制御装置は、一つの態様において、複数の拠点について所定の拠点間接続が広域ネットワークを介して形成される場合に、各拠点配下の端末を収容するとともに該所定の拠点間接続に属する端末間で行われるアクセスを制御するアクセス制御装置に対して、該アクセスを制御するためのアクセス制御情報を設定するアクセス制御設定装置であって、前記各拠点配下の端末毎に、該端末を利用する利用者を認証する認証手段と、前記認証手段による認証成功の認証結果が前記所定の拠点間接続に属する端末のうち所定の端末について取得されると、該所定の端末を送信元として前記広域ネットワークを宛先とするアクセスを許可するように、該所定の端末を収容するアクセス制御装置に対してアクセス制御情報を設定する第一アクセス制御手段と、予め設定された所定の条件を満たすと、前記第一アクセス制御手段によってアクセスが許可された所定の端末以外の端末であって前記所定の拠点間接続に属する各端末を送信元として該所定の端末を宛先とするアクセスを許可するように、該所定の端末を収容するアクセス制御装置に対してアクセス制御情報を設定する第二アクセス制御手段とを備えたことを特徴とする。
【発明の効果】
【００１０】
本願の開示するアクセス制御設定装置、アクセス制御設定方法、アクセス制御設定プログラム、アクセス制御設定システム、及びアクセス制御装置の一つの態様によれば、拠点間接続により生じたネットワークドメインにおける到達性を適切に制御することが可能になるという効果を奏する。
【図面の簡単な説明】
【００１１】
【図１】図１は、実施例１に係るアクセス制御設定システムを説明するための図である。
【図２】図２は、実施例１に係る統合ＡＡＡ装置１００の構成を示すブロック図である。
【図３】図３は、ＶＰＮ間接続システム認証情報記憶部１２０が記憶する認証情報の一例を示す図である。
【図４】図４は、認証結果記憶部１２１が記憶する認証結果の一例を示す図である。
【図５】図５は、サービス情報記憶部１２２が記憶するサービス情報の一例を示す図である。
【図６】図６は、ＶＰＮ間接続システム認証部１３０による処理手順を示すフローチャートである。
【図７】図７は、実施例１におけるアクセス制御設定部１３１による処理手順を示すフローチャートである。
【図８】図８は、実施例１における段階的なアクセス開通を説明するための図である。
【図９】図９は、実施例１に係るゲートウェイ装置２００の構成を示すブロック図である。
【図１０】図１０は、アクセス制御情報記憶部２２０が記憶するアクセス制御情報の一例を示す図である。
【図１１】図１１は、実施例１に係るアクセス制御設定システムにおける処理手順を示すシーケンス図である。
【図１２】図１２は、実施例２におけるアクセス制御設定部１３１による処理手順を示すフローチャートである。
【図１３】図１３は、実施例２における段階的なアクセス開通を説明するための図である。
【図１４】図１４は、実施例３に係るアクセス制御設定システムを説明するための図である。
【図１５】図１５は、実施例３に係る統合ＡＡＡ装置１００の構成を示すブロック図である。
【図１６】図１６は、認証サーバ情報記憶部１２３が記憶する情報の一例を示す図である。
【図１７】図１７は、実施例３に係るＶＰＮ間接続システム認証情報記憶部１２０が記憶する情報の一例を示す図である。
【図１８】図１８は、実施例３に係るアクセス制御設定システムにおける処理手順を示すシーケンス図である。
【図１９】図１９は、ＶＰＮサービスによって接続された複数のローカルエリアネットワーク群としての拠点を説明するための図である。
【図２０】図２０は、ＶＰＮサービスによって接続された複数のローカルエリアネットワーク群としての拠点を説明するための図である。
【図２１】図２１は、ＶＰＮサービスによって接続された複数のローカルエリアネットワーク群としての拠点を説明するための図である。
【発明を実施するための形態】
【００１２】
以下、本願の開示するアクセス制御設定装置、アクセス制御設定方法、アクセス制御設定プログラム、アクセス制御設定システム、及びアクセス制御装置の実施例を説明する。なお、以下の実施例により本発明が限定されるものではない。
【実施例１】
【００１３】
［実施例１に係るアクセス制御設定システムの概要］
図１〜１１を用いて、実施例１に係るアクセス制御設定システムを説明する。図１は、実施例１に係るアクセス制御設定システムを説明するための図である。なお、図１に例示する点線は、広域ネットワークを運用する電気通信事業者側とＶＰＮサービスを運用する電気通信事業者側との分界を例示するものである。
【００１４】
図１に例示する各種装置のうち、統合ＡＡＡ（Authentication  Authorization  Accounting）装置１００及びゲートウェイ装置２００が、実施例１に係るアクセス制御設定システムに該当する。また、図１に例示するように、各ＶＰＮ終端装置５０が終端するＶＰＮ間を集合仮想ルータ１０を介して接続するシステムが、ＶＰＮ間接続システムであり、ＶＰＮ間接続システムを全般的に管理するシステムが、ＶＰＮ間接続管理システム２０である。なお、図１においては、統合ＡＡＡ装置１００とＶＰＮ間接続管理システム２０とが異なる筐体である構成を例示するが、本発明はこれに限られるものではなく、統合ＡＡＡ装置１００とＶＰＮ間接続管理システム２０とが１台の筐体に収まった装置が設置される構成にも本発明を同様に適用することができる。
【００１５】
ここで、ＶＰＮ間接続管理システム２０について簡単に説明する。図１に例示するように、広域ネットワークには、集合仮想ルータ１０やＶＰＮ終端装置５０が設置される。ここで、集合仮想ルータ１０とは、広域ネットワーク内のパケット転送を制御する装置のことである。また、ＶＰＮ終端装置５０とは、ＶＰＮを収容するとともに収容したＶＰＮ側と広域ネットワーク側との間でＶＰＮを終端する装置のことである。
【００１６】
なお、図１においては、複数台の筐体のＶＰＮ終端装置５０と１台の筐体の集合仮想ルータ１０とが設置される構成を例示するが、本発明はこれに限られるものではない。例えば、複数台の筐体のＶＰＮ終端装置５０と１台の筐体の集合仮想ルータ１０との組合せがさらに複数設置される構成にも本発明を同様に適用することができる。また、例えば、複数台の筐体のＶＰＮ終端装置５０と複数台の筐体の集合仮想ルータ１０とが組み合わせて設置される構成にも本発明を同様に適用することができる。また、例えば、ＶＰＮ終端装置５０が有する機能（ＶＰＮを収容するとともに収容したＶＰＮ側と広域ネットワーク側との間でＶＰＮを終端する機能）と、集合仮想ルータ１０が有する機能（広域ネットワーク内のパケット転送を制御する機能）とが１台の筐体に収まった装置が設置される構成にも本発明を同様に適用することができる。
【００１７】
また、図１においては、ＶＰＮ間接続管理システム２０が広域ネットワークに設置される構成を例示するが、本発明はこれに限られるものではない。ＶＰＮ間接続管理システム２０は、集合仮想ルータ１０やＶＰＮ終端装置５０との間で通信を行うことが可能な構成であればよく、必ずしも広域ネットワークに設置されていなければならないわけではない。例えば、ＶＰＮ間接続管理システム２０が、ＶＰＮ終端装置５０及び集合仮想ルータ１０と監視用のネットワークで接続されている構成にも本発明を同様に適用することができる。
【００１８】
さて、このような構成の下、ＶＰＮ間接続管理システム２０は、ＶＰＮ間接続要求を受け付け、受け付けたＶＰＮ間接続要求に基づいて、ＶＰＮ間接続に必要な設定情報の設定対象となる装置を特定する。具体的には、ＶＰＮ間接続管理システム２０は、ＶＰＮ間接続要求にて指定されたＶＰＮそれぞれを収容するＶＰＮ終端装置５０を特定し、かつ、集合仮想ルータ１０を特定する。
【００１９】
次に、ＶＰＮ間接続管理システム２０は、特定したＶＰＮ終端装置５０に設定すべき設定情報であってＶＰＮ間接続要求にて指定されたＶＰＮそれぞれに対応する設定情報それぞれを、特定したＶＰＮ終端装置５０に応じて生成する。また、ＶＰＮ間接続管理システム２０は、特定した集合仮想ルータ１０に設定すべき設定情報を、特定した集合仮想ルータ１０に応じて生成する。そして、ＶＰＮ間接続管理システム２０は、生成した設定情報を、特定したＶＰＮ終端装置５０及び集合仮想ルータ１０に対して反映する。なお、設定情報の反映は、例えば、事前に予約設定されたサービス開始時刻などに併せて行われる。
【００２０】
こうして、ＶＰＮ間接続管理システム２０によって、ＶＰＮ間接続システムに、ＶＰＮ間接続要求に基づくＶＰＮ間接続が構築された。また、構築されたＶＰＮ間接続は、ＶＰＮ間接続サービスとして、ＶＰＮ間接続管理システム２０によって提供される。
【００２１】
図１に戻り、ＡＳＰ（Application  Service  Provider）３０は、広域ネットワークに設置されたサーバである。例えば、ＶＰＮ間接続サービスの提供を受けるユーザ端末が、ＨＴＴＰ（Hyper  Text  Transfer  Protocol）などのプロトコルでＡＳＰ３０にアクセスする。また、ハブ１１は、例えばＬａｙｅｒ２のスイッチングハブであり、ＶＰＮ終端装置５０などを収容する。
【００２２】
なお、図１においては、説明の便宜上、ゲートウェイ装置２００とＶＰＮ終端装置５０とが１対１の関係にある構成を例示するが、本発明はこれに限られるものではない。ゲートウェイ装置２００とＶＰＮ終端装置５０との構成は、Ｍ対Ｎの関係でもよい。また、図１においては、例えばゲートウェイ装置２００として、「ゲートウェイ装置１」、「ゲートウェイ装置２」、及び「ゲートウェイ装置３」を示すが、これらを区別する場合には、それぞれ「ゲートウェイ装置２００（１）」、「ゲートウェイ装置２００（２）」、「ゲートウェイ装置２００（３）」と表記する。他の装置も同様である。
【００２３】
また、実施例１においては、図１に例示するように、ユーザ「ＵｓｅｒＡ」が利用するユーザ端末が、ＶＰＮ終端装置５０（１）及びゲートウェイ装置２００（１）に収容され、ユーザ「ＵｓｅｒＢ」が利用するユーザ端末が、ＶＰＮ終端装置５０（２）及びゲートウェイ装置２００（２）に収容され、ユーザ「ＵｓｅｒＣ」が利用するユーザ端末が、ＶＰＮ終端装置５０（３）及びゲートウェイ装置２００（３）に収容される例を説明するが、本発明はこれに限られるものではない。例えば、ユーザ「ＵｓｅｒＡ」が利用するユーザ端末、ユーザ「ＵｓｅｒＢ」が利用するユーザ端末、及びユーザ「ＵｓｅｒＣ」が利用するユーザ端末の全てが、同一のＶＰＮ終端装置５０及びゲートウェイ装置２００（例えば、ＶＰＮ終端装置５０（１）及びゲートウェイ装置２００（１））に収容される構成にも、本発明を同様に適用することができる。
【００２４】
上記構成の下、実施例１に係る統合ＡＡＡ装置１００は、ＶＰＮ間接続管理システム２０によってＶＰＮ間接続サービスが提供されるにあたり、ＶＰＮ間接続サービスの提供を受ける各ＶＰＮ配下のユーザ端末毎に、ユーザ端末を利用するユーザを認証する。また、統合ＡＡＡ装置１００は、ＶＰＮ間のアクセスがユーザ端末を利用するユーザ毎の認証結果に応じて段階的に許可されるように、ＶＰＮ間のアクセスを制御する。すなわち、統合ＡＡＡ装置１００は、ＶＰＮ間のアクセスがユーザ端末毎の認証結果に応じて段階的に許可されるように、ゲートウェイ装置２００に対してアクセス制御情報を設定する。
【００２５】
［実施例１に係る統合ＡＡＡ装置１００の構成］
次に、図２〜８を用いて、実施例１に係る統合ＡＡＡ装置１００（アクセス制御設定装置とも称する）の構成を説明する。図２は、実施例１に係る統合ＡＡＡ装置１００の構成を示すブロック図である。図２に例示するように、実施例１に係る統合ＡＡＡ装置１００は、通信Ｉ／Ｆ部１１０を備える。例えば、通信Ｉ／Ｆ部１１０は、ＩＰ（Internet  Protocol）通信用の一般的なインタフェースなどである。
【００２６】
また、実施例１に係る統合ＡＡＡ装置１００は、特に、ＶＰＮ間接続システム認証情報記憶部１２０と、認証結果記憶部１２１と、サービス情報記憶部１２２と、ＶＰＮ間接続システム認証部１３０と、アクセス制御設定部１３１とを備える。
【００２７】
ＶＰＮ間接続システム認証情報記憶部１２０は、ＶＰＮ間接続サービスの提供を受けるユーザを認証するための認証情報を記憶する。具体的には、ＶＰＮ間接続システム認証情報記憶部１２０は、例えば、ＶＰＮ間接続サービスの契約時などに、ＶＰＮ間接続サービスの運用担当者などによって予め登録されることで、認証情報を記憶する。また、ＶＰＮ間接続システム認証情報記憶部１２０が記憶する認証情報は、ＶＰＮ間接続システム認証部１３０による処理に利用される。
【００２８】
図３は、ＶＰＮ間接続システム認証情報記憶部１２０が記憶する認証情報の一例を示す図である。例えば、図３に例示するように、実施例１に係るＶＰＮ間接続システム認証情報記憶部１２０は、ＶＰＮ間接続システムのユーザ名と、パスワードと、リモートＩＰアドレスとを対応付けて記憶する。
【００２９】
ＶＰＮ間接続システムのユーザ名とは、ＶＰＮ間接続サービスの提供を受けるユーザをＶＰＮ間接続管理システム２０にて識別するための名称である。また、パスワードとは、ユーザ名で識別されるユーザが正当なユーザであるか否かを認証するための情報であり、例えば、Ｂａｓｅ６４によってエンコードされた文字列などである。また、リモートＩＰアドレスとは、ユーザが利用するユーザ端末に割り当てられたプライベートアドレスである。なお、図３においては、「リモートＩＰアドレスＡ」などと表記するが、実際は、例えば「１９２．１６８．１．１０」といったＩＰアドレスである。
【００３０】
認証結果記憶部１２１は、ユーザの認証結果を記憶する。具体的には、認証結果記憶部１２１は、ＶＰＮ間接続システム認証部１３０によって格納されることで、認証結果を記憶する。また、認証結果記憶部１２１が記憶する認証結果は、アクセス制御設定部１３１による処理に利用される。
【００３１】
図４は、認証結果記憶部１２１が記憶する認証結果の一例を示す図である。例えば、図４に例示するように、実施例１に係る認証結果記憶部１２１は、ＶＰＮ間接続システムのユーザ名と、認証結果と、認証完了時刻とを対応付けて記憶する。認証結果とは、認証が成功したか否かの結果であり、「ＯＫ」は認証に成功したことを示し、「ＮＧ」は認証に失敗したことを示す。なお、実施例１においては、成功するまで繰り返し認証が行われることを想定し、認証が成功した場合に「認証完了」という。また、認証完了時刻とは、認証処理が行われた時刻であり、実施例１においては、認証が成功したか否かに係らず記録される。
【００３２】
サービス情報記憶部１２２は、ＶＰＮ間接続サービスに関するサービス情報を記憶する。具体的には、サービス情報記憶部１２２は、例えば、ＶＰＮ間接続サービスが提供されるサービス開始時刻までに、ＶＰＮ間接続サービスの運用担当者や、あるいはＶＰＮ間接続管理システム２０によって予め登録されることで、サービス情報を記憶する。また、サービス情報記憶部１２２が記憶するサービス情報は、アクセス制御設定部１３１による処理に利用される。
【００３３】
図５は、サービス情報記憶部１２２が記憶するサービス情報の一例を示す図である。例えば、図５に例示するように、サービス情報記憶部１２２は、サービス開始時刻と、サービス終了時刻と、仮想ルータ名と、ＶＰＮ間接続システムのユーザ名と、ゲートウェイ装置と、ＶＰＮ終端装置とを対応付けて記憶する。サービス開始時刻は、ＶＰＮ間接続管理システム２０によって提供されるＶＰＮ間接続サービスの開始時刻である。また、サービス終了時刻は、ＶＰＮ間接続管理システム２０によって提供されるＶＰＮ間接続サービスの終了時刻である。また、仮想ルータ名は、ＶＰＮ間接続管理システム２０によって提供されるＶＰＮ間接続サービスを、ＶＰＮ間接続管理システム２０にて識別するための名称である。また、ゲートウェイ装置は、ユーザ名で識別されるユーザが利用するユーザ端末を収容するゲートウェイ装置の名称である。また、ＶＰＮ終端装置は、同じくユーザ端末を収容するＶＰＮ終端装置の名称である。
【００３４】
例えば、仮想ルータ名『ｖｒｆ１』によって識別されるＶＰＮ間接続サービスのサービス開始時刻は『ｔ１』、サービス終了時刻は『ｔ３』であり、このＶＰＮ間接続サービスの提供を受けるユーザは、『ＵｓｅｒＡ』、『ＵｓｅｒＢ』、及び『ＵｓｅｒＣ』であること、それぞれのユーザが利用するユーザ端末は、それぞれ、『ゲートウェイ装置１』、『ゲートウェイ装置２』、『ゲートウェイ装置３』に収容され、それぞれ、『ＶＰＮ終端装置１』、『ＶＰＮ終端装置２』、『ＶＰＮ終端装置３』に収容されることを示す。
【００３５】
なお、実施例１においては、統合ＡＡＡ装置１００がサービス情報記憶部１２２を備え、サービス情報記憶部１２２がサービス情報を記憶する例を説明するが、本発明はこれに限られるものではない。例えば、統合ＡＡＡ装置１００が、必要に応じてＶＰＮ間接続管理システム２０にアクセスし、ＶＰＮ間接続管理システム２０から必要なサービス情報の提供を受けてもよい。
【００３６】
ＶＰＮ間接続システム認証部１３０は、ＶＰＮ間接続管理システム２０によってＶＰＮ間接続サービスが提供されるにあたり、ＶＰＮ間接続サービスの提供を受ける各ＶＰＮ配下のユーザ端末毎に、ユーザ端末を利用するユーザを認証する。具体的には、ＶＰＮ間接続システム認証部１３０は、通信Ｉ／Ｆ部１１０を介してゲートウェイ装置２００から接続要求の転送を受け付け、ユーザ端末から送信された認証情報及びＶＰＮ間接続システム認証情報記憶部１２０に記憶された認証情報を用いて、認証処理を行う。また、ＶＰＮ間接続システム認証部１３０は、認証結果を認証結果記憶部１２１に格納する。また、ＶＰＮ間接続システム認証部１３０は、認証結果を認証結果記憶部１２１に格納した旨をアクセス制御設定部１３１に通知する。
【００３７】
図６は、ＶＰＮ間接続システム認証部１３０による処理手順を示すフローチャートである。図６に例示するように、ＶＰＮ間接続システム認証部１３０は、ゲートウェイ装置２００から接続要求の転送を受け付けたか否かを判定し（ステップＳ１０１）、受け付けた場合には（ステップＳ１０１肯定）、認証結果記憶部１２１を参照する（ステップＳ１０２）。
【００３８】
ＶＰＮ間接続システム認証部１３０は、認証結果記憶部１２１を参照した結果、該当するユーザが認証済みである場合には（ステップＳ１０３肯定）、ゲートウェイ装置２００に対してその旨を応答し（ステップＳ１０４）、処理を終了する。
【００３９】
一方、ＶＰＮ間接続システム認証部１３０は、認証結果記憶部１２１を参照した結果、該当するユーザが認証済みでない場合には（ステップＳ１０３否定）、該当するユーザが利用するユーザ端末に対して認証情報を送信するように要求する（ステップＳ１０５）。
【００４０】
そして、ＶＰＮ間接続システム認証部１３０は、ステップＳ１０５において認証情報を要求したユーザ端末から認証情報を受信すると（ステップＳ１０６）、ＶＰＮ間接続システム認証情報記憶部１２０に記憶された認証情報を用いて認証処理を行う（ステップＳ１０７）。続いて、ＶＰＮ間接続システム認証部１３０は、認証結果を認証結果記憶部１２１に格納する（ステップＳ１０８）。
【００４１】
例えば、ＶＰＮ間接続システム認証部１３０は、ユーザ端末から、ＶＰＮ間接続システムのユーザ名とパスワードとの組合せを受信すると、受信した組合せと、ＶＰＮ間接続システム認証情報記憶部１２０に記憶された組合せとが一致するか否かを判定する。そして、ＶＰＮ間接続システム認証部１３０は、一致すると判定した場合には、認証結果「ＯＫ」を認証結果記憶部１２１に格納し、一致しないと判定した場合には、認証結果「ＮＧ」を認証結果記憶部１２１に格納する。
【００４２】
その後、ＶＰＮ間接続システム認証部１３０は、認証が完了であるか否か、すなわち、認証に成功したか否かを判定し（ステップＳ１０９）、認証が完了した場合には（ステップＳ１０９肯定）、そのまま処理を終了する。一方、認証が完了していない場合には（ステップＳ１０９否定）、ＶＰＮ間接続システム認証部１３０は、再び、該当するユーザが利用するユーザ端末に対して認証情報を送信するように要求し（ステップＳ１０５）、その後の処理を繰り返し行う。
【００４３】
図２に戻り、アクセス制御設定部１３１は、ＶＰＮ間のアクセスがユーザ端末毎の認証結果に応じて段階的に許可されるように、ＶＰＮ間のアクセスを制御する。具体的には、アクセス制御設定部１３１は、ＶＰＮ間接続システム認証部１３０から、認証結果を認証結果記憶部１２１に格納した旨の通知（例えば、認証結果に該当するユーザ端末のリモートＩＰアドレスなど）を受け付けると、認証結果記憶部１２１及びサービス情報記憶部１２２を参照する。また、アクセス制御設定部１３１は、ゲートウェイ装置２００に対してアクセス制御情報の設定を指示する。
【００４４】
図７は、実施例１におけるアクセス制御設定部１３１による処理手順を示すフローチャートである。図７に例示するように、アクセス制御設定部１３１は、認証結果を認証結果記憶部１２１に格納した旨の通知を受け付けたか否か、すなわち、認証結果記憶部１２１が記憶する認証結果が更新されたか否かを判定する（ステップＳ２０１）。
【００４５】
アクセス制御設定部１３１は、認証結果が更新されたと判定した場合には（ステップＳ２０１肯定）、更新された認証結果とともにサービス情報記憶部１２２を参照する（ステップＳ２０２）。例えば、アクセス制御設定部１３１は、図４に例示するように、『ＵｓｅｒＡ』について『ＯＫ』との認証結果が更新されたと判定した場合には、『ＵｓｅｒＡ』を用いてサービス情報記憶部１２２を参照し、『ＵｓｅｒＡ』に対応付けて記憶されている『ゲートウェイ装置１』を特定する。
【００４６】
次に、アクセス制御設定部１３１は、認証されたユーザ端末に関するＶＰＮ→ＶＰＮ間接続システム方向のアクセスを開通するように、該当するゲートウェイ装置に対して指示する（ステップＳ２０３）。例えば、アクセス制御設定部１３１は、ステップＳ２０２において特定した『ゲートウェイ装置１』に対して、『ＵｓｅｒＡ』が利用するユーザ端末に関するＶＰＮ→ＶＰＮ間接続システム方向のアクセスを開通するように、指示する。
【００４７】
ここで、ＶＰＮ→ＶＰＮ間接続システム方向のアクセスの意味について説明する。『ＵｓｅｒＡ』が利用するユーザ端末は、『ゲートウェイ装置１』に収容されている。ここで、例えば、『ＵｓｅｒＡ』が利用するユーザ端末と『ＵｓｅｒＢ』が利用するユーザ端末と『ＵｓｅｒＣ』が利用するユーザ端末との間でＶＰＮ間接続サービスが提供される場合、図１から明らかであるように、『ＵｓｅｒＡ』が利用するユーザ端末から『ＵｓｅｒＢ』宛に送信されたパケットは、『ゲートウェイ装置１』及び集合仮想ルータ１０を経由し、さらに、『ゲートウェイ装置２』を経由して、『ＵｓｅｒＢ』が利用するユーザ端末に到達する。同様に、『ＵｓｅｒＡ』が利用するユーザ端末から『ＵｓｅｒＣ』宛に送信されたパケットは、『ゲートウェイ装置１』及び集合仮想ルータ１０を経由し、さらに、『ゲートウェイ装置３』を経由して、『ＵｓｅｒＣ』が利用するユーザ端末に到達する。
【００４８】
一方、『ＵｓｅｒＢ』が利用するユーザ端末から『ＵｓｅｒＡ』宛に送信されたパケットは、『ゲートウェイ装置２』及び集合仮想ルータ１０を経由し、さらに、『ゲートウェイ装置１』を経由して、『ＵｓｅｒＡ』が利用するユーザ端末に到達する。同様に、『ＵｓｅｒＣ』が利用するユーザ端末から『ＵｓｅｒＡ』宛に送信されたパケットは、『ゲートウェイ装置３』及び集合仮想ルータ１０を経由し、さらに、『ゲートウェイ装置１』を経由して、『ＵｓｅｒＡ』が利用するユーザ端末に到達する。
【００４９】
このようなことから、例えば『ゲートウェイ装置１』には、少なくとも、『ＵｓｅｒＡ』が利用するユーザ端末から『ＵｓｅｒＢ』又は『ＵｓｅｒＣ』宛に送信されたパケットが集合仮想ルータ１０に到達するための経路（経路１）、『ＵｓｅｒＢ』又は『ＵｓｅｒＣ』が利用するユーザ端末から送信されたパケットであって集合仮想ルータ１０から転送されたパケットが『ＵｓｅｒＡ』が利用するユーザ端末に到達するための経路（経路２）が必要になる。また、広域ネットワークには、図１に例示するように、ＡＳＰ３０も接続されている。このため、例えば、『ＵｓｅｒＡ』が広域ネットワークのＡＳＰ３０を利用するためには、『ＵｓｅｒＡ』が利用するユーザ端末とＡＳＰ３０との間でパケットを送受信するための経路（経路３）が必要になる。
【００５０】
ゲートウェイ装置２００において実行されるべきアクセス制御は、ＶＰＮ間接続サービスの運用などに応じて変化し、また任意に変更し得るものであるが、ここでは、概念的に、『ＵｓｅｒＡ』が利用するユーザ端末から『ＵｓｅｒＢ』又は『ＵｓｅｒＣ』宛に送信されたパケットが集合仮想ルータ１０に到達するための経路（経路１）と、『ＵｓｅｒＡ』が利用するユーザ端末とＡＳＰ３０との間でパケットを送受信するための経路（経路３）とが開通される状態を、「ＶＰＮ→ＶＰＮ間接続システム方向のアクセス」を開通すると表現する。
【００５１】
続いて、アクセス制御設定部１３１は、全ユーザの認証が完了したか否かを判定する（ステップＳ２０４）。例えば、アクセス制御設定部１３１は、サービス情報記憶部１２２を参照し、『ＵｓｅｒＡ』とともにＶＰＮ間接続サービスを利用するユーザであって『ＵｓｅｒＡ』以外のユーザである『ＵｓｅｒＢ』及び『ＵｓｅｒＣ』を特定する。そして、アクセス制御設定部１３１は、特定した『ＵｓｅｒＢ』及び『ＵｓｅｒＣ』を用いて認証結果記憶部１２１を参照し、『ＵｓｅｒＢ』及び『ＵｓｅｒＣ』に対応付けて『ＯＫ』が格納済みであるか否かを判定する。
【００５２】
アクセス制御設定部１３１は、全ユーザの認証が完了していないと判定した場合には（ステップＳ２０４否定）、再び、ステップＳ２０１の処理に戻る。一方、全ユーザの認証が完了したと判定した場合には（ステップＳ２０４肯定）、アクセス制御設定部１３１は、通信相手に関するＶＰＮ間接続システム→ＶＰＮ方向のアクセスを開通するように、各ゲートウェイ装置に対して指示する（ステップＳ２０５）。
【００５３】
例えば、アクセス制御設定部１３１は、サービス情報記憶部１２２を参照して『ゲートウェイ装置１』を特定し、特定した『ゲートウェイ装置１』に対して、『ＵｓｅｒＡ』の通信相手である『ＵｓｅｒＢ』及び『ＵｓｅｒＣ』が利用するユーザ端末に関するＶＰＮ間接続システム→ＶＰＮ方向のアクセスを開通するように、指示する。なお、ここでは、概念的に、『ＵｓｅｒＢ』又は『ＵｓｅｒＣ』が利用するユーザ端末から送信されたパケットであって集合仮想ルータ１０から転送されたパケットが『ＵｓｅｒＡ』が利用するユーザ端末に到達するための経路（経路２）が開通される状態を、「ＶＰＮ間接続システム→ＶＰＮ方向のアクセス」を開通すると表現する。
【００５４】
また、例えば、アクセス制御設定部１３１は、サービス情報記憶部１２２を参照して『ゲートウェイ装置２』を特定し、特定した『ゲートウェイ装置２』に対して、『ＵｓｅｒＢ』の通信相手である『ＵｓｅｒＡ』及び『ＵｓｅｒＣ』が利用するユーザ端末に関するＶＰＮ間接続システム→ＶＰＮ方向のアクセスを開通するように、指示する。
【００５５】
また、例えば、アクセス制御設定部１３１は、サービス情報記憶部１２２を参照して『ゲートウェイ装置３』を特定し、特定した『ゲートウェイ装置３』に対して、『ＵｓｅｒＣ』の通信相手である『ＵｓｅｒＡ』及び『ＵｓｅｒＢ』が利用するユーザ端末に関するＶＰＮ間接続システム→ＶＰＮ方向のアクセスを開通するように、指示する。
【００５６】
ここで、図８は、実施例１における段階的なアクセス開通を説明するための図である。図８においては、『ＵｓｅｒＡ』、『ＵｓｅｒＢ』、『ＵｓｅｒＣ』の順序で段階的に認証が完了したことを想定する。なお、各ゲートウェイ装置２００のデフォルトの設定は、アクセス不許可の設定となっている。
【００５７】
例えば、図８の（１）に例示するように、『ＵｓｅｒＡ』のみ認証が完了した場合、『ＵｓｅｒＡ』が収容される『ゲートウェイ装置１』に対してのみ、アクセスの開通が指示される。また、アクセスの開通が許可されるのは、『ＵｓｅｒＡ』が利用するユーザ端末に関するＶＰＮ→ＶＰＮ間接続システム方向のアクセスのみである。このとき、『ＵｓｅｒＡ』のみが、ＶＰＮ間接続システム側のリソース（例えば、ＡＳＰ３０）へのアクセスが可能となるが、そのリソースを介して他のユーザ側へのアクセスは不可能である。
【００５８】
次に、例えば、図８の（２）に例示するように、『ＵｓｅｒＢ』の認証も完了した場合、『ＵｓｅｒＢ』が収容される『ゲートウェイ装置２』に対してのみ、アクセスの開通が指示される。また、アクセスの開通が許可されるのは、『ＵｓｅｒＢ』が利用するユーザ端末に関するＶＰＮ→ＶＰＮ間接続システム方向のアクセスのみである。
【００５９】
次に、例えば、図８の（３）に例示するように、『ＵｓｅｒＣ』の認証も完了し、全ユーザの認証が完了した場合、『ＵｓｅｒＡ』が収容される『ゲートウェイ装置１』、『ＵｓｅｒＢ』が収容される『ゲートウェイ装置２』、『ＵｓｅｒＣ』が収容される『ゲートウェイ装置３』の全てに対して、アクセスの開通が指示される。まず、『ゲートウェイ装置１』においてアクセスの開通が許可されるのは、『ＵｓｅｒＢ』及び『ＵｓｅｒＣ』が利用するユーザ端末に関するＶＰＮ間接続システム→ＶＰＮ方向のアクセスである。また、『ゲートウェイ装置２』においてアクセスの開通が許可されるのは、『ＵｓｅｒＡ』及び『ＵｓｅｒＣ』が利用するユーザ端末に関するＶＰＮ間接続システム→ＶＰＮ方向のアクセスである。
【００６０】
また、『ゲートウェイ装置３』においてアクセスの開通が許可されるのは、『ＵｓｅｒＣ』が利用するユーザ端末に関するＶＰＮ→ＶＰＮ間接続システム方向のアクセス、及び、『ＵｓｅｒＡ』及び『ＵｓｅｒＢ』が利用するユーザ端末に関するＶＰＮ間接続システム→ＶＰＮ方向のアクセスである。
【００６１】
なお、実施例１に係るアクセス制御設定部１３１は、ＶＰＮ間接続サービスの終了時刻であることを検知すると、ＶＰＮ間のアクセスを閉塞するように、ゲートウェイ装置２００を制御する。例えば、アクセス制御設定部１３１は、定期的にサービス情報記憶部１２２を参照し、ＶＰＮ間接続サービスの終了時刻であることを検知すると、該当するゲートウェイ装置２００に対して、該当するユーザによるアクセスを不許可とするようにアクセス制御情報の解除を指示する。また、アクセス制御設定部１３１は、該当するユーザについて、認証結果記憶部１２１に記憶されている認証結果「ＯＫ」を、「ＮＧ」や空欄に更新するなどする。
【００６２】
［実施例１に係るゲートウェイ装置２００の構成］
次に、図９及び１０を用いて、実施例１に係るゲートウェイ装置２００（アクセス制御装置とも称する）の構成を説明する。図９は、実施例１に係るゲートウェイ装置２００の構成を示すブロック図である。図９に例示するように、実施例１に係るゲートウェイ装置２００は、通信Ｉ／Ｆ部２１０を備える。例えば、通信Ｉ／Ｆ部２１０は、ＩＰ通信用の一般的なインタフェースなどである。
【００６３】
また、実施例１に係るゲートウェイ装置２００は、特に、アクセス制御情報記憶部２２０と、接続要求受付部２３０と、アクセス制御設定受付部２３１と、アクセス制御部２３２とを備える。なお、アクセス制御情報記憶部２２０及びアクセス制御部２３２は、公知のファイアウォールソフトウェアなどによって実現される。
【００６４】
アクセス制御情報記憶部２２０は、ＶＰＮ間接続サービスにおいてユーザ端末のアクセスを制御するためのアクセス制御情報を記憶する。具体的には、アクセス制御情報記憶部２２０は、アクセス制御設定受付部２３１によって格納されることで、アクセス制御情報を記憶する。また、アクセス制御情報記憶部２２０が記憶するアクセス制御情報は、アクセス制御部２３２による処理に利用される。
【００６５】
図１０は、アクセス制御情報記憶部２２０が記憶するアクセス制御情報の一例を示す図である。例えば、図１０に例示するように、実施例１に係るアクセス制御情報記憶部２２０は、送信元のＩＰアドレスと、宛先のＩＰアドレスと、ＶＰＮ間接続システムのユーザ名とを対応付けて記憶する。なお、図１０に例示するアクセス制御情報は、アクセス制御情報を概念的に表現するものにすぎず、実際は、ポート番号などより細かい情報も指定される場合や、１つの経路のアクセスを開通するために、複数行のアクセス制御情報が設定される場合などもある。いずれも、公知の技術によって実現可能である。
【００６６】
接続要求受付部２３０は、ＶＰＮ間接続サービスを利用するための接続要求をユーザ端末から受け付ける。具体的には、接続要求受付部２３０は、通信Ｉ／Ｆ部２１０を介してユーザ端末から接続要求を受け付け、受け付けた接続要求を、通信Ｉ／Ｆ部２１０を介して統合ＡＡＡ装置１００に転送する。
【００６７】
アクセス制御設定受付部２３１は、アクセス制御情報の設定指示を受け付ける。具体的には、アクセス制御設定受付部２３１は、通信Ｉ／Ｆ部２１０を介して統合ＡＡＡ装置１００からアクセス制御情報の設定指示を受け付けると、アクセス制御情報を生成し、生成したアクセス制御情報をアクセス制御情報記憶部２２０に格納する。
【００６８】
例えば、『ゲートウェイ装置１』のアクセス制御設定受付部２３１が、『ＵｓｅｒＡ』が利用するユーザ端末に関するＶＰＮ→ＶＰＮ間接続システム方向のアクセスを開通するように、との指示を受け付けたとする。例えば、アクセス制御設定受付部２３１は、通信Ｉ／Ｆ部２１０を介してＶＰＮ間接続管理システム２０にアクセスし、アクセス制御情報の生成に必要な情報、例えば、『ＵｓｅｒＡ』が利用するユーザ端末が収容されるＶＰＮ終端装置５０のＩＰアドレスなどを取得する。そして、アクセス制御設定受付部２３１は、取得した情報を用いてアクセス制御情報を生成する。
【００６９】
なお、『ゲートウェイ装置１』に設定するアクセス制御情報としてどのようなアクセス制御情報を生成すべきか、という点については、公知の技術を用いて任意に選択することができる。例えば、『ゲートウェイ装置１』の場合、『ＵｓｅｒＡ』が利用するユーザ端末から『ＵｓｅｒＢ』又は『ＵｓｅｒＣ』宛に送信されたパケットが集合仮想ルータ１０に到達するための経路（経路１）と、『ＵｓｅｒＢ』又は『ＵｓｅｒＣ』が利用するユーザ端末から送信されたパケットであって集合仮想ルータ１０から転送されたパケットが『ＵｓｅｒＡ』が利用するユーザ端末に到達するための経路（経路２）と、『ＵｓｅｒＡ』が利用するユーザ端末とＡＳＰ３０との間でパケットを送受信するための経路（経路３）とが開通されるようなアクセス制御情報であれば、どのようなアクセス制御情報であってもよい。
【００７０】
例えば、どのＩＰアドレスを送信元アドレスとして設定するか、どのＩＰアドレスを宛先アドレスとして設定するか、ＩＰアドレスは、Single−ＮＡＴ（Network  Address  Translation）後のものとするか、あるいはTwice−ＮＡＴ後のものとするか、ポート番号は指定するか否か、といった選択も、公知の技術を用い、また運用の形態に応じて、適したアクセス制御情報が選択されればよい。
【００７１】
アクセス制御部２３２は、アクセス制御情報に従ってＶＰＮ間のアクセスを制御する。具体的には、アクセス制御部２３２は、アクセス制御情報記憶部２２０に記憶されたアクセス制御情報を参照し、アクセス制御情報に従ってアクセスを制御する。なお、実施例１に係るアクセス制御部２３２は、統合ＡＡＡ装置１００からアクセス制御情報の解除を指示されると、アクセス制御情報記憶部２２０に記憶されたアクセス制御情報を参照し、該当するアクセス制御情報を削除する。アクセス制御情報が削除されると、ＶＰＮ間のアクセスは、初期の状態、すなわち、アクセスが許可されない状態となる。
【００７２】
なお、アクセス制御部２３２によるアクセス制御情報の解除は、上記手法に限られるものではない。例えば、アクセス制御部２３２は、アクセス期間の制御を行ってもよい。例えば、アクセス制御部２３２は、統合ＡＡＡ装置１００から、アクセス制御情報に含めてアクセス期間も通知されていたとする。この場合、アクセス制御部２３２は、例えばＵＮＩＸ（登録商標）のCronコマンドを用いて例えば１分間隔でアクセス期間切れを検知し、アクセス期間切れを検知すると、統合ＡＡＡ装置１００に対して、該当するユーザの認証結果を無効化するように指示する情報を送信する。なお、統合ＡＡＡ装置１００側では、無効化するように指示する情報を受信すると、例えば、該当するユーザについて、認証結果記憶部１２１に記憶されている認証結果「ＯＫ」を、「ＮＧ」や空欄に更新する。
【００７３】
［実施例１に係るアクセス制御設定システムにおける処理手順］
続いて、図１１を用いて、実施例１に係るアクセス制御設定システムにおける処理手順を説明する。図１１は、実施例１に係るアクセス制御設定システムにおける処理手順を示すシーケンス図である。
【００７４】
図１１に例示するように、ＶＰＮ間接続サービスの提供を受けるユーザのユーザ端末は、自ユーザ端末が属するゲートウェイ装置２００に対して、ＶＰＮ間接続サービスを利用するための接続要求を送信する（ステップＳ１）。なお、一般的に、ユーザは、自身が利用するユーザ端末が属するゲートウェイ装置２００のアドレスを、例えばメールや郵便などで予め通知されるので、通知されたアドレス（ＡＳＰ３０のＵＲＬ（Uniform  Resource  Locator）など）をユーザ端末のソフトウェアに設定し、ＶＰＮ間接続サービス利用時には、このソフトウェアを起動する。すると、ユーザ端末は、設定されたＵＲＬにアクセスを試み接続要求を送信するが、この接続要求は、強制的にゲートウェイ装置２００において受け付けられる。
【００７５】
一方、ゲートウェイ装置２００は、接続要求をユーザ端末から受け付けると、受け付けた接続要求を、統合ＡＡＡ装置１００に転送する（ステップＳ２）。例えば、ゲートウェイ装置２００は、ＶＰＮ間接続システムのユーザ名『ＵｓｅｒＡ』からの接続要求を、統合ＡＡＡ装置１００に転送する。
【００７６】
すると、統合ＡＡＡ装置１００は、ユーザ端末に対して認証情報を送信するように要求する（ステップＳ３）。例えば、統合ＡＡＡ装置１００は、ＶＰＮ間接続システム認証情報記憶部１２０を参照し、ＶＰＮ間接続システムのユーザ名『ＵｓｅｒＡ』が利用するユーザ端末のリモートＩＰアドレス『リモートＩＰアドレスＡ』を取得する。そして、統合ＡＡＡ装置１００は、取得したリモートＩＰアドレス『リモートＩＰアドレスＡ』に対して、例えばＩＤ及びパスワードの入力画面を送信する。
【００７７】
ユーザ端末は、認証情報を送信するように統合ＡＡＡ装置１００から要求されると、統合ＡＡＡ装置１００に対して、認証情報を送信する（ステップＳ４）。例えば、ユーザ端末は、統合ＡＡＡ装置１００から送信された入力画面に対して、ＩＤ『ＵｓｅｒＡ』及びパスワード『＊＊＊＊＊・・・』を入力し、入力後の入力画面を統合ＡＡＡ装置１００に対して送信する。
【００７８】
すると、統合ＡＡＡ装置１００は、認証処理を行う（ステップＳ５）。例えば、統合ＡＡＡ装置１００は、ユーザ端末から送信されたＩＤ『ＵｓｅｒＡ』を用いてＶＰＮ間接続システム認証情報記憶部１２０を参照し、ＶＰＮ間接続システムのユーザ名『ＵｓｅｒＡ』に対応付けて記憶されているパスワード『＊＊＊＊＊・・・』を取得する。そして、統合ＡＡＡ装置１００は、ＶＰＮ間接続システム認証情報記憶部１２０から取得したパスワード『＊＊＊＊＊・・・』と、ユーザ端末から送信されたパスワード『＊＊＊＊＊・・・』とが一致するか否かを照合することで、認証処理を行う。
【００７９】
次に、統合ＡＡＡ装置１００は、認証結果を認証結果記憶部１２１に格納する（ステップＳ６）。例えば、統合ＡＡＡ装置１００は、ＶＰＮ間接続システム認証情報記憶部１２０から取得したパスワード『＊＊＊＊＊・・・』と、ユーザ端末から送信されたパスワード『＊＊＊＊＊・・・』とが一致する場合には、認証結果「ＯＫ」を認証結果記憶部１２１に格納する。また、例えば、統合ＡＡＡ装置１００は、ＶＰＮ間接続システム認証情報記憶部１２０から取得したパスワード『＊＊＊＊＊・・・』と、ユーザ端末から送信されたパスワード『＊＊＊＊＊・・・』とが一致しない場合には、認証結果「ＮＧ」を認証結果記憶部１２１に格納する。
【００８０】
ところで、統合ＡＡＡ装置１００は、新たな認証結果が認証結果記憶部１２１に格納されると、認証結果に応じたアクセス制御を行う。具体的には、統合ＡＡＡ装置１００は、認証結果とともにサービス情報記憶部１２２を参照する（ステップＳ７）。例えば、統合ＡＡＡ装置１００は、『ＵｓｅｒＡ』について『ＯＫ』との認証結果が認証結果記憶部１２１に格納されると、『ＵｓｅｒＡ』を用いてサービス情報記憶部１２２を参照し、『ＵｓｅｒＡ』に対応付けて記憶されている『ゲートウェイ装置１』を特定する。
【００８１】
次に、統合ＡＡＡ装置１００は、認証されたユーザ端末に関するＶＰＮ→ＶＰＮ間接続システム方向のアクセスを開通するように、該当するゲートウェイ装置に対して指示する（ステップＳ８）。例えば、統合ＡＡＡ装置１００は、ステップＳ７において特定した『ゲートウェイ装置１』に対して、『ＵｓｅｒＡ』が利用するユーザ端末に関するＶＰＮ→ＶＰＮ間接続システム方向のアクセスを開通するように、指示する。
【００８２】
ここで、ステップＳ８において、統合ＡＡＡ装置１００は、全ユーザの認証が完了したか否かについても判定し、全ユーザの認証が完了したと判定した場合には、通信相手に関するＶＰＮ間接続システム→ＶＰＮ方向のアクセスも開通するように、各ゲートウェイ装置に対して指示する。
【００８３】
例えば、統合ＡＡＡ装置１００は、『ゲートウェイ装置１』に対して、『ＵｓｅｒＡ』の通信相手である『ＵｓｅｒＢ』及び『ＵｓｅｒＣ』が利用するユーザ端末に関するＶＰＮ間接続システム→ＶＰＮ方向のアクセスを開通するように、指示する。また、統合ＡＡＡ装置１００は、『ゲートウェイ装置２』に対して、『ＵｓｅｒＢ』の通信相手である『ＵｓｅｒＡ』及び『ＵｓｅｒＣ』が利用するユーザ端末に関するＶＰＮ間接続システム→ＶＰＮ方向のアクセスを開通するように、指示する。また、統合ＡＡＡ装置１００は、『ゲートウェイ装置３』に対して、『ＵｓｅｒＣ』の通信相手である『ＵｓｅｒＡ』及び『ＵｓｅｒＢ』が利用するユーザ端末に関するＶＰＮ間接続システム→ＶＰＮ方向のアクセスを開通するように、指示する。
【００８４】
さて、ゲートウェイ装置２００は、統合ＡＡＡ装置１００からアクセス制御情報の設定指示を受け付けると、アクセス制御情報を生成し、生成したアクセス制御情報を設定する（ステップＳ９）。
【００８５】
例えば、ゲートウェイ装置２００（１）が、『ＵｓｅｒＡ』が利用するユーザ端末に関するＶＰＮ→ＶＰＮ間接続システム方向のアクセスを開通するようにとの設定指示を統合ＡＡＡ装置１００から受け付けたとする。すると、ゲートウェイ装置２００（１）は、アクセス制御情報をアクセス制御情報記憶部２２０に格納するためのコマンドを生成し、生成したコマンドを用いてアクセス制御情報をアクセス制御情報記憶部２２０に格納する。
【００８６】
そして、ゲートウェイ装置２００は、アクセス制御情報の設定を完了した旨を、統合ＡＡＡ装置１００に対して応答する（ステップＳ１０）。すると、統合ＡＡＡ装置１００は、ユーザ端末に対して接続完了通知を送信する（ステップＳ１１）。
【００８７】
統合ＡＡＡ装置１００から接続完了通知を受け取ったユーザ端末は、自ユーザ端末においてユーザによって例えばＡＳＰ３０のＵＲＬが入力されると、図１１に例示するように、ゲートウェイ装置２００を介してＡＳＰ３０に対してアクセスする。すなわち、ユーザ端末からゲートウェイ装置２００に対するアクセス（ステップＳ１２）は、ゲートウェイ装置２００によってアクセス制御され（ステップＳ１３）、ＡＳＰ３０に到達する（ステップＳ１４）。
【００８８】
［実施例１の効果］
上述したように、実施例１に係る統合ＡＡＡ装置１００は、広域ネットワークを介して複数のＶＰＮ間がＶＰＮ間接続される場合に、各ＶＰＮ配下のユーザ端末毎に、該ユーザ端末を利用するユーザを認証する。また、統合ＡＡＡ装置１００は、ユーザ端末毎の認証結果に応じてＶＰＮ間のアクセスが段階的に許可されるように制御するためのアクセス制御情報を、ＶＰＮ間接続に属する各ユーザ端末を収容する各ゲートウェイ装置２００に対して設定指示する。
【００８９】
具体的には、ＶＰＮ間接続システム認証部１３０が、各ＶＰＮ配下のユーザ端末毎に、該ユーザ端末を利用するユーザを認証する。また、アクセス制御設定部１３１が、ＶＰＮ間接続システム認証部１３０による認証成功の認証結果が所定のＶＰＮ間接続に属するユーザ端末のうち所定のユーザ端末について取得されると、該所定のユーザ端末を送信元として広域ネットワークを宛先とするアクセスを許可するように、所定のユーザ端末を収容するゲートウェイ装置２００に対してアクセス制御情報を設定する。また、アクセス制御設定部１３１は、予め設定された所定の条件を満たすと、アクセスが許可された所定のユーザ端末以外のユーザ端末であって所定のＶＰＮ間接続に属する各ユーザ端末を送信元として該所定のユーザ端末を宛先とするアクセスを許可するように、該所定のユーザ端末を収容するゲートウェイ装置２００に対してアクセス制御情報を設定する。一方、各ゲートウェイ装置２００は、アクセス制御情報の設定指示を受け付け、受け付けたアクセス制御情報に従って、該ゲートウェイ装置２００を介して行われるＶＰＮ間のアクセスを制御する。
【００９０】
このようなことから、実施例１によれば、ＶＰＮ間接続により生じたネットワークドメインにおける到達性を適切に制御することが可能になる。すなわち、実施例１によれば、ユーザ認証の認証結果に応じてＶＰＮ間のアクセスが段階的に許可されるので、従来のような、例えば、ユーザ認証に成功したユーザが、ユーザ認証を行っていない他方のユーザに到達することができてしまうといった事態を防止することも可能になる。
【００９１】
また、実施例１に係る統合ＡＡＡ装置１００は、ＶＰＮ間接続に属する各ユーザ端末を収容する各ゲートウェイ装置２００に対してアクセスを制御するためのアクセス制御情報を設定する。
【００９２】
具体的には、統合ＡＡＡ装置１００は、ＶＰＮ間接続に属するユーザ端末のうち所定のユーザ端末について認証成功の認証結果を取得した場合に、該所定のユーザ端末を送信元として広域ネットワークを宛先とするアクセスを許可するようにアクセス制御情報を設定する。また、統合ＡＡＡ装置１００は、ＶＰＮ間接続に属する全てのユーザ端末について認証成功の認証結果を取得した場合に、ＶＰＮ間接続に属するユーザ端末のうち所定のユーザ端末以外の各ユーザ端末を送信元として所定のユーザ端末を宛先とするアクセスを許可するようにアクセス制御情報を設定する。
【００９３】
このようなことから、実施例１によれば、ＶＰＮ間接続に属するユーザ全員のユーザ認証が成功しない限り、ユーザ同士の到達性は制限され、その一方で、ユーザ認証に成功したユーザについては、ＶＰＮ間接続システムのリソース（例えば、ＡＳＰ３０など）の利用が認められる。
【実施例２】
【００９４】
次に、実施例２に係るアクセス制御設定システムを説明する。実施例２に係るアクセス制御設定システムは、アクセス制御設定の手順が、実施例１に係るアクセス制御設定システムと異なる。このため、以下では、図１２及び１３を用いて、アクセス制御設定部１３１による処理手順を説明する。
【００９５】
図１２は、実施例２におけるアクセス制御設定部１３１による処理手順を示すフローチャートである。図１２に例示するように、アクセス制御設定部１３１は、実施例１と同様、認証結果を認証結果記憶部１２１に格納した旨の通知を受け付けたか否か、すなわち、認証結果記憶部１２１が記憶する認証結果が更新されたか否かを判定する（ステップＳ３０１）。
【００９６】
アクセス制御設定部１３１は、認証結果が更新されたと判定した場合には（ステップＳ３０１肯定）、実施例１と同様、更新された認証結果とともにサービス情報記憶部１２２を参照する（ステップＳ３０２）。例えば、アクセス制御設定部１３１は、図４に例示するように、『ＵｓｅｒＡ』について『ＯＫ』との認証結果が更新されたと判定した場合には、『ＵｓｅｒＡ』を用いてサービス情報記憶部１２２を参照し、『ＵｓｅｒＡ』に対応付けて記憶されている『ゲートウェイ装置１』を特定する。
【００９７】
次に、アクセス制御設定部１３１は、実施例１とは異なり、認証されたユーザ端末に関するＶＰＮ→ＶＰＮ間接続システム方向のアクセスのみならず、通信相手に関するＶＰＮ間接続システム→ＶＰＮ方向のアクセスも開通するように、該当するゲートウェイ装置に対して指示する（ステップＳ３０３）。例えば、アクセス制御設定部１３１は、ステップＳ３０２において特定した『ゲートウェイ装置１』に対して、『ＵｓｅｒＡ』が利用するユーザ端末に関するＶＰＮ→ＶＰＮ間接続システム方向のアクセスを開通するように指示する他、『ＵｓｅｒＢ』及び『ＵｓｅｒＣ』が利用するユーザ端末に関するＶＰＮ間接続システム→ＶＰＮ方向のアクセスを開通するように、指示する。
【００９８】
実施例２に係るアクセス制御設定部１３１は、ステップＳ３０１〜Ｓ３０３の処理を繰り返すことで、ＶＰＮ間接続サービスを利用する全ユーザのユーザ端末について、ＶＰＮ間のアクセスを段階的に開通する。
【００９９】
ここで、図１３は、実施例２における段階的なアクセス開通を説明するための図である。図１３においては、『ＵｓｅｒＡ』、『ＵｓｅｒＢ』、『ＵｓｅｒＣ』の順序で段階的に認証が完了したことを想定する。なお、各ゲートウェイ装置２００のデフォルトの設定は、アクセス不許可の設定となっている。
【０１００】
例えば、図１３の（１）に例示するように、『ＵｓｅｒＡ』のみ認証が完了した場合、『ＵｓｅｒＡ』が収容される『ゲートウェイ装置１』に対してのみ、アクセスの開通が指示される。ここで、アクセスの開通が許可されるのは、『ＵｓｅｒＡ』が利用するユーザ端末に関するＶＰＮ→ＶＰＮ間接続システム方向のアクセスのみならず、『ＵｓｅｒＢ』及び『ＵｓｅｒＣ』が利用するユーザ端末に関するＶＰＮ間接続システム→ＶＰＮ方向のアクセスである。これは、『ＵｓｅｒＢ』及び『ＵｓｅｒＣ』が『ＵｓｅｒＡ』側にアクセスするためには、『ＵｓｅｒＡ』が認証済みであることを要件とする考えに基づく。ただし、『ＵｓｅｒＢ』及び『ＵｓｅｒＣ』の認証が成功していないと、『ＵｓｅｒＢ』及び『ＵｓｅｒＣ』は『ＵｓｅｒＡ』側にアクセスできない。
【０１０１】
次に、例えば、図１３の（２）に例示するように、『ＵｓｅｒＢ』の認証も完了した場合、『ＵｓｅｒＢ』が収容される『ゲートウェイ装置２』に対してのみ、アクセスの開通が指示される。ここで、アクセスの開通が許可されるのは、『ＵｓｅｒＢ』が利用するユーザ端末に関するＶＰＮ→ＶＰＮ間接続システム方向のアクセスのみならず、『ＵｓｅｒＡ』及び『ＵｓｅｒＣ』が利用するユーザ端末に関するＶＰＮ間接続システム→ＶＰＮ方向のアクセスである。なお、この段階において、『ＵｓｅｒＡ』が利用するユーザ端末と『ＵｓｅｒＢ』が利用するユーザ端末との間で相互にアクセスすることが可能になる。
【０１０２】
次に、例えば、図１３の（３）に例示するように、『ＵｓｅｒＣ』の認証も完了した場合、『ＵｓｅｒＣ』が収容される『ゲートウェイ装置３』に対してのみ、アクセスの開通が指示される。ここで、アクセスの開通が許可されるのは、『ＵｓｅｒＣ』が利用するユーザ端末に関するＶＰＮ→ＶＰＮ間接続システム方向のアクセスのみならず、『ＵｓｅｒＡ』及び『ＵｓｅｒＢ』が利用するユーザ端末に関するＶＰＮ間接続システム→ＶＰＮ方向のアクセスである。
【０１０３】
［実施例２の効果］
上述したように、実施例２によれば、統合ＡＡＡ装置１００は、ＶＰＮ間接続に属するユーザ端末のうち所定のユーザ端末について認証成功の認証結果を取得した場合に、所定のユーザ端末を送信元として広域ネットワークを宛先とするアクセスを許可するようにアクセス制御情報を設定するとともに、ＶＰＮ間接続に属するユーザ端末のうち所定のユーザ端末以外の各ユーザ端末を送信元として所定のユーザ端末を宛先とするアクセスを許可するようにアクセス制御情報を設定する。
【０１０４】
このようなことから、実施例２によれば、少なくとも、相互にアクセスし合うユーザ双方のユーザ認証が成功しない限り、ユーザ同士の到達性は制限される。その一方で、ユーザ認証に成功したユーザについては、ＶＰＮ間接続システムのリソース（例えば、ＡＳＰ３０など）の利用が認められる。
【実施例３】
【０１０５】
次に、実施例３に係るアクセス制御設定システムを説明する。実施例１及び実施例２においては、統合ＡＡＡ装置１００が、ＶＰＮ間接続サービスの提供を受けるユーザのユーザ認証を自ら実行していた。ここで、ＶＰＮ間接続サービスを利用するユーザ端末の中には、ＶＰＮ間接続サービスのためのユーザ認証とは別に、自ユーザ端末が所属するＶＰＮサービスに接続する際にもユーザ認証が必要となるユーザ端末がある。そうであるとすると、実施例１及び実施例２において、このようなユーザ端末は、ＶＰＮサービスに接続するためのユーザ認証と、ＶＰＮ間接続サービスのためのユーザ認証との両方を行わなければならない。
【０１０６】
この点、実施例３に係るアクセス制御設定システムは、ＶＰＮサービスに接続するためのユーザ認証の認証結果を取得することで、ＶＰＮ間接続サービスのためのユーザ認証に替える。すなわち、実施例３に係るアクセス制御設定システムは、ＶＰＮサービスに接続する際にもユーザ認証が必要となるユーザ端末については、ユーザ端末と認証サーバとの間の認証を中継することで認証結果を取得し、ＶＰＮサービスに接続するためのユーザ認証の認証結果をもって、ＶＰＮ間接続サービスのためのユーザ認証の認証結果とする。一方、アクセス制御設定システムは、ＶＰＮサービスに接続する際にもユーザ認証が必要でないユーザ端末については、実施例１及び実施例２と同様、ユーザ認証を自ら実行する。
【０１０７】
図１４〜１８を用いて、実施例３に係るアクセス制御設定システムを説明する。図１４は、実施例３に係るアクセス制御設定システムを説明するための図である。図１４に例示するように、実施例３に係る統合ＡＡＡ装置１００は、認証サーバ４０との間で通信を行う。
【０１０８】
［実施例３に係る統合ＡＡＡ装置１００の構成］
図１５は、実施例３に係る統合ＡＡＡ装置１００の構成を示すブロック図である。図１５に例示するように、実施例３に係る統合ＡＡＡ装置１００は、実施例１に係る統合ＡＡＡ装置１００に加え、認証サーバ情報記憶部１２３と、認証種別識別部１３２と、認証中継部１３３とをさらに備える。
【０１０９】
認証サーバ情報記憶部１２３は、認証サーバに関する情報を記憶する。具体的には、認証サーバ情報記憶部１２３は、例えば、ＶＰＮ間接続サービスの契約時などに、ＶＰＮ間接続サービスの運用担当者などによって予め登録されることで、認証サーバに関する情報を記憶する。また、認証サーバ情報記憶部１２３が記憶する情報は、認証中継部１３３による処理に利用される。
【０１１０】
図１６は、認証サーバ情報記憶部１２３が記憶する情報の一例を示す図である。例えば、図１６に例示するように、実施例３に係る認証サーバ情報記憶部１２３は、ＶＰＮ終端装置のＩＰアドレスと、認証サーバのＩＰアドレスとを対応付けて記憶する。なお、図１６においては、「ＶＰＮ−ＩＰアドレス１」や「ＳＶＲ−ＩＰアドレス１」などと表記するが、実際は、例えば「１０．０．０．１０」といったＩＰアドレスである。
【０１１１】
また、実施例３に係るＶＰＮ間接続システム認証情報記憶部１２０は、実施例１に係るＶＰＮ間接続システム認証情報記憶部１２０が記憶する情報の他に、ユーザ名として、ＶＰＮサービスにおけるユーザ名を併せて記憶する。言い換えると、実施例３に係るＶＰＮ間接続システム認証情報記憶部１２０は、ＶＰＮ間接続システムにおけるユーザ名と、ＶＰＮサービスにおけるユーザ名とを対応付けて記憶する。
【０１１２】
図１７は、実施例３に係るＶＰＮ間接続システム認証情報記憶部１２０が記憶する情報の一例を示す図である。例えば、図１７に例示するように、実施例３に係るＶＰＮ間接続システム認証情報記憶部１２０は、ＶＰＮ間接続システムのユーザ名と、パスワードと、ＶＰＮサービスのユーザ名と、リモートＩＰアドレスとを対応付けて記憶する。
【０１１３】
認証種別識別部１３２は、接続要求の送信元であるユーザについて、認証の種別を識別する。ここで、認証の種別とは、ＶＰＮサービスに接続するためのユーザ認証を必要とするユーザであるのか、あるいはＶＰＮサービスに接続するためのユーザ認証を必要としないユーザであるのかといった種別である。具体的には、認証種別識別部１３２は、通信Ｉ／Ｆ部１１０を介して、ゲートウェイ装置２００又はＶＰＮ終端装置５０から接続要求の転送を受け付け、認証の種別を識別する。また、認証種別識別部１３２は、識別した認証の種別に応じて、ＶＰＮ間接続システム認証部１３０又は認証中継部１３３のいずれかに、接続要求を振り分ける。
【０１１４】
例えば、認証種別識別部１３２は、接続要求の転送元がＶＰＮ終端装置５０である場合には、この接続要求の送信元であるユーザは、ＶＰＮサービスに接続するためのユーザ認証を必要とするユーザであると識別する。そして、認証種別識別部１３２は、この接続要求を、認証中継部１３３に転送する。
【０１１５】
一方、認証種別識別部１３２は、接続要求の転送元がゲートウェイ装置２００である場合には、この接続要求の送信元であるユーザは、ＶＰＮサービスに接続するためのユーザ認証を必要としないユーザであると識別する。そして、認証種別識別部１３２は、この接続要求を、ＶＰＮ間接続システム認証部１３０に転送する。
【０１１６】
なお、ユーザ認証を必要とするＶＰＮサービスであるか、必要としないＶＰＮサービスであるかは、例えばＶＰＮに用いられるプロトコルの違いとして現れる。例えば、Ｌ２ＶＰＮやＩＰ−ＶＰＮなどは、ユーザ認証を必要としない。一方、ＩＰｓｅｃ、ＲＡＤＩＵＳ（Remote  Authentication  Dial  In  User  Service）、ＬＤＡＰ（Lightweight  Directory  Access  Protocol）などは、ユーザ認証を必要とする。このため、実施例３においては、認証種別識別部１３２が、接続要求の転送元によって認証の種別を識別する例を説明したが、例えば、ＶＰＮサービスに用いられているプロトコルを識別することによって認証の種別を識別してもよい。
【０１１７】
認証中継部１３３は、認証サーバを認証サーバ４０に対して中継し、認証結果を取得する。具体的には、認証中継部１３３は、認証種別識別部１３２から接続要求の転送を受け付けると、該当するユーザが利用するユーザ端末に対して認証情報を送信するように要求する。また、認証中継部１３３は、ユーザ端末から認証情報を受信すると、受信した認証情報（クレデンシャルなど）を認証サーバ４０に中継する。また、認証中継部１３３は、認証結果を認証サーバ４０から受信すると、受信した認証結果を認証結果記憶部１２１に格納する。
【０１１８】
なお、認証中継部１３３は、接続要求の転送元であるＶＰＮ終端装置５０のＩＰアドレスを用いて認証サーバ情報記憶部１２３を参照し、対応付けて記憶されている認証サーバのＩＰアドレスを取得する。そして、認証中継部１３３は、取得したＩＰアドレスを宛先として、認証情報を中継する。
【０１１９】
［実施例３に係るアクセス制御設定システムにおける処理手順］
続いて、図１８を用いて、実施例３に係るアクセス制御設定システムにおける処理手順を説明する。図１８は、実施例３に係るアクセス制御設定システムにおける処理手順を示すシーケンス図である。なお、図１８においては、説明の便宜上、接続要求の送信元であるユーザが、ＶＰＮサービスに接続するためのユーザ認証を必要とするユーザである場合のみを説明する。すなわち、図１８には図示されていないが、実施例３に係るアクセス制御設定システムは、図１１のステップＳ１〜Ｓ４に示した処理手順（ＶＰＮサービスに接続するためのユーザ認証を必要としないユーザを認証する手順）も実行する。
【０１２０】
図１８に例示するように、ＶＰＮ間接続サービスの提供を受けるユーザのユーザ端末は、自ユーザ端末が属するＶＰＮ終端装置５０に対して、ＶＰＮサービスを利用するための接続要求を送信する（ステップＳ２０）。なお、一般的に、ユーザは、自身が利用するユーザ端末が属するＶＰＮ終端装置５０のアドレスを、例えばメールや郵便などで予め通知されるので、通知されたアドレスをユーザ端末のソフトウェアに設定し、ＶＰＮサービス利用時には、このソフトウェアを起動する。すると、ユーザ端末は、設定されたアドレスにアクセスし、接続要求を送信する。
【０１２１】
一方、ＶＰＮ終端装置５０は、接続要求をユーザ端末から受け付けると、受け付けた接続要求を、統合ＡＡＡ装置１００に転送する（ステップＳ２１）。例えば、ＶＰＮ終端装置５０は、ＶＰＮサービスのユーザ名『Ｕｓｅｒ１００』からの接続要求を、統合ＡＡＡ装置１００に転送する。
【０１２２】
すると、統合ＡＡＡ装置１００は、ユーザ端末に対して認証情報を送信するように要求する（ステップＳ２２）。例えば、統合ＡＡＡ装置１００は、ＶＰＮ間接続システム認証情報記憶部１２０を参照し、ＶＰＮサービスのユーザ名『Ｕｓｅｒ１００』が利用するユーザ端末のリモートＩＰアドレス『１９２．１６８．１．１０』を取得する。そして、統合ＡＡＡ装置１００は、取得したリモートＩＰアドレス『１９２．１６８．１．１０』に対して、例えばＩＤ及びパスワードの入力画面を送信する。
【０１２３】
ユーザ端末は、認証情報を送信するように統合ＡＡＡ装置１００から要求されると、統合ＡＡＡ装置１００に対して、認証情報を送信する（ステップＳ２３）。例えば、ユーザ端末は、統合ＡＡＡ装置１００から送信された入力画面に対して、ＩＤ『Ｕｓｅｒ１００』及びパスワード『＊＊＊＊＊・・・』を入力し、入力後の入力画面を統合ＡＡＡ装置１００に対して送信する。
【０１２４】
すると、統合ＡＡＡ装置１００は、ユーザ端末から送信された認証情報を、認証サーバ４０に対して中継する（ステップＳ２４）。例えば、統合ＡＡＡ装置１００は、ステップＳ２１において接続要求を転送した転送元のＶＰＮ終端装置５０のＩＰアドレスを特定し、特定したＩＰアドレスを用いて認証サーバ情報記憶部１２３を参照し、認証サーバ４０のＩＰアドレスを特定する。そして、統合ＡＡＡ装置１００は、特定したＩＰアドレスに対して、認証情報を中継する。
【０１２５】
一方、認証サーバ４０は、認証処理を行い（ステップＳ２５）、認証結果を統合ＡＡＡ装置１００に対して送信する（ステップＳ２６）。例えば、認証サーバ４０は、統合ＡＡＡ装置１００から送信されたＩＤ『Ｕｓｅｒ１００』を用いて記憶部（図示を省略）を参照し、ＶＰＮサービスのユーザ名『Ｕｓｅｒ１００』に対応付けて記憶されているパスワード『＊＊＊＊＊・・・』を取得する。そして、認証サーバ４０は、記憶部から取得したパスワード『＊＊＊＊＊・・・』と、統合ＡＡＡ装置１００から送信されたパスワード『＊＊＊＊＊・・・』とが一致するか否かを照合することで、認証処理を行う。
【０１２６】
次に、統合ＡＡＡ装置１００は、認証結果を認証結果記憶部１２１に格納する（ステップＳ２７）。例えば、統合ＡＡＡ装置１００は、認証サーバ４０から送信された認証結果が成功を示すものである場合には、『Ｕｓｅｒ１００』を用いてＶＰＮ間接続システム認証情報記憶部１２０を参照し、『Ｕｓｅｒ１００』に対応付けて記憶されている『ＵｓｅｒＡ』を特定する。そして、統合ＡＡＡ装置１００は、特定した『ＵｓｅｒＡ』に対応付けて、認証結果「ＯＫ」を認証結果記憶部１２１に格納する。
【０１２７】
なお、その後の処理手順は、実施例１に係るアクセス制御設定システムと同様である。すなわち、統合ＡＡＡ装置１００は、認証結果とともにサービス情報記憶部１２２を参照し（ステップＳ２８）、認証されたユーザ端末に関するＶＰＮ→ＶＰＮ間接続システム方向のアクセスを開通するように、該当するゲートウェイ装置に対して指示する（ステップＳ２９）。ゲートウェイ装置２００は、統合ＡＡＡ装置１００からアクセス制御情報の設定指示を受け付けると、アクセス制御情報を生成し、生成したアクセス制御情報を設定し（ステップＳ３０）、アクセス制御情報の設定を完了した旨を、統合ＡＡＡ装置１００に対して応答する（ステップＳ３１）。
【０１２８】
すると、統合ＡＡＡ装置１００は、ユーザ端末に対して接続完了通知を送信し（ステップＳ３２）、統合ＡＡＡ装置１００から接続完了通知を受け取ったユーザ端末は、自ユーザ端末においてユーザによって例えばＡＳＰ３０のＵＲＬが入力されると、図１８に例示するように、ゲートウェイ装置２００を介してＡＳＰ３０に対してアクセスする。すなわち、ユーザ端末からゲートウェイ装置２００に対するアクセス（ステップＳ３３）は、ゲートウェイ装置２００によってアクセス制御され（ステップＳ３４）、ＡＳＰ３０に到達する（ステップＳ３５）。
【０１２９】
なお、上記実施例３においては、統合ＡＡＡ装置１００が認証情報を認証サーバ４０に中継し、統合ＡＡＡ装置１００が認証結果を認証サーバ４０から取得することで、ユーザ認証の認証結果を、ＶＰＮ終端装置５０と統合ＡＡＡ装置１００とでいわば共有する手法を採った。しかしながら本発明はこれに限られるものではない。例えば、ＶＰＮ終端装置５０が認証処理を行い（あるいは、ＶＰＮ終端装置５０が認証情報を認証サーバ４０に中継し、ＶＰＮ終端装置５０が認証結果を認証サーバ４０から取得し）、その認証結果を、ＶＰＮ終端装置５０が統合ＡＡＡ装置１００に対して送信することで、ユーザ認証の認証結果を、ＶＰＮ終端装置５０と統合ＡＡＡ装置１００とで共有する手法でもよい。
【０１３０】
［実施例３の効果］
上述したように、実施例３に係る統合ＡＡＡ装置１００は、広域ネットワークを介して複数のＶＰＮ間がＶＰＮ間接続される場合に、ＶＰＮに接続するための認証が必要なユーザ端末については、所定の認証サーバ４０に認証のための認証情報を中継することで認証結果を取得し、ＶＰＮに接続するための認証が不要なユーザ端末については、該ユーザ端末のユーザを自装置にて認証することで認証結果を取得する。
【０１３１】
このようなことから、実施例３によれば、認証処理の回数を低減することが可能になる。すなわち、ＶＰＮ間接続サービスを利用するためには、ユーザ認証が行われることが前提となるが、ＶＰＮに接続するための認証が必要なユーザにとっては、ＶＰＮに接続するための認証と、ＶＰＮ間接続サービスを利用するための認証との２回の認証行為を行わなければならないことになる。この点、実施例３によれば、ＶＰＮに接続するための認証が必要なユーザについては、その認証を統合ＡＡＡ装置１００が中継し、認証結果を自ら取得することで、ＶＰＮ間接続サービスを利用するための認証に替える。一方、ＶＰＮに接続するための認証を必要としないユーザについては、統合ＡＡＡ装置１００が独自に認証を行う。こうして、ＶＰＮに接続するための認証が必要なユーザについては、認証処理の回数を低減することが可能になるのである。
【実施例４】
【０１３２】
さて、これまで本発明の実施例１〜３について説明したが、本発明は、上記実施例以外にも種々の異なる形態にて実施されてよいものである。
【０１３３】
［ネットワーク構成］
上記実施例では、スター型のネットワーク構成を想定したが、本発明はこれに限られるものではなく、例えばフルメッシュ型のネットワーク構成の場合にも、同様に適用することができる。
【０１３４】
［拠点の態様］
また、上記実施例では、拠点が、電気通信事業者などによって提供されたＶＰＮサービスに接続するローカルエリアネットワークである場合を想定したが、本発明はこれに限られるものではない。拠点は、いわゆるネットワークではなく一端末であってもよい。例えば、拠点に設置されるルータが、物理的なルータではなく端末内のソフトウェアで実現される場合などである。また、拠点は、電気通信事業者などによって提供されたＶＰＮサービスによって接続された複数のローカルエリアネットワーク群による社内網のようなものであってもよい。
【０１３５】
図１９〜２１は、ＶＰＮサービスによって接続された複数のローカルエリアネットワーク群としての拠点を説明するための図である。なお、図１９〜２１においては、２種類の点線を用いて示す。一方は、通常の点線であり、他方は、破線（短い線と長い線との組合せ）である。破線は、同じＶＰＮサービスに属する複数の拠点であって、かつ、例えば同じ社内（例えばＣ社内）の拠点間でＶＰＮを形成していることを示す。一方、点線は、ＶＰＮ間を接続することを示す。例えば、異なるＶＰＮサービスに属する複数の拠点間を接続することや、同じＶＰＮサービスに属する複数の拠点間であっても、異なる会社のＶＰＮ間を接続することを示す。
【０１３６】
図１９に示すように、例えば、Ｃ社は、ＶＰＮサービス１に属する拠点群を有し、また、ＶＰＮサービス３に属する拠点を有する。一方、Ｄ社は、ＶＰＮサービス２に属する拠点を有し、また、ＶＰＮサービス４に属する拠点を有する。本発明に係るアクセス制御装置は、このような、異なるＶＰＮサービスに属するＣ社の拠点群とＤ社の拠点群との拠点間接続について、拠点間のアクセスを制御することができる。
【０１３７】
また、図２０に示すように、例えば、Ｃ社は、ＶＰＮサービス３でグループ化された拠点群を有する。一方、Ｄ社は、ＶＰＮサービス４でグループ化された拠点群を有する。本発明に係るアクセス制御装置は、このような、異なるＶＰＮサービスに属するＣ社の拠点群とＤ社の拠点群との拠点間接続についても、拠点間のアクセスを制御することができる。
【０１３８】
また、図２１に示すように、例えば、Ｃ社及びＤ社は、いずれも、ＶＰＮサービス２でグループ化された拠点群を有する。本発明に係るアクセス制御装置は、このような、同じＶＰＮサービスに属するＣ社の拠点群とＤ社の拠点群との拠点間接続、言い換えると、同じＶＰＮ終端装置に属する複数の拠点群間の拠点間接続についても、拠点間のアクセスを制御することができる。
【０１３９】
［アクセス制御の閉塞］
上記実施例１〜３においては、統合ＡＡＡ装置１００が、ＶＰＮ間接続サービスの終了時刻に従ってアクセス制御情報の解除を指示し、この指示を受けて、ゲートウェイ装置２００が、ＶＰＮ間のアクセスを閉塞するものであった。しかしながら、本発明はこれに限られるものではない。例えば、アクセス制御設定システムは、ユーザがＶＰＮ間接続サービスからログアウトしたことを検知し、ＶＰＮ間のアクセスが、ユーザ毎のログアウトに応じて段階的に閉塞されるように、ＶＰＮ間のアクセスを制御してもよい。
【０１４０】
例えば、実施例１における図８を用いて、アクセス閉塞を説明する。以下、『ＵｓｅｒＣ』、『ＵｓｅｒＢ』、『ＵｓｅｒＡ』の順序で段階的にログアウトすることを想定する。なお、各ゲートウェイ装置２００は、現時点において、図８の（３）の設定がなされている。
【０１４１】
例えば、『ＵｓｅｒＣ』のみログアウトした場合、『ＵｓｅｒＡ』が収容される『ゲートウェイ装置１』、『ＵｓｅｒＢ』が収容される『ゲートウェイ装置２』、『ＵｓｅｒＣ』が収容される『ゲートウェイ装置３』の全てに対して、アクセスの閉塞が指示される。まず、『ゲートウェイ装置１』においてアクセスが解除されるのは、『ＵｓｅｒＢ』及び『ＵｓｅｒＣ』が利用するユーザ端末に関するＶＰＮ間接続システム→ＶＰＮ方向のアクセスである。また、『ゲートウェイ装置２』においてアクセスが解除されるのは、『ＵｓｅｒＡ』及び『ＵｓｅｒＣ』が利用するユーザ端末に関するＶＰＮ間接続システム→ＶＰＮ方向のアクセスである。また、『ゲートウェイ装置３』においては、『ＵｓｅｒＡ』、『ＵｓｅｒＢ』、及び『ＵｓｅｒＣ』が利用するユーザ端末に関する全てのアクセスが解除される。こうして、例えば、図８の（２）に示す状態となる。
【０１４２】
次に、例えば、『ＵｓｅｒＢ』もログアウトした場合、『ＵｓｅｒＢ』が収容される『ゲートウェイ装置２』に対して、アクセスの閉塞が指示される。『ゲートウェイ装置２』においてアクセスが解除されるのは、『ＵｓｅｒＢ』が利用するユーザ端末に関するＶＰＮ→ＶＰＮ間接続システム方向のアクセスである。こうして、例えば、図８の（１）に示す状態となる。
【０１４３】
次に、例えば、『ＵｓｅｒＡ』もログアウトした場合、『ＵｓｅｒＡ』が収容される『ゲートウェイ装置１』に対して、アクセスの閉塞が指示される。『ゲートウェイ装置１』においてアクセスが解除されるのは、『ＵｓｅｒＡ』が利用するユーザ端末に関するＶＰＮ→ＶＰＮ間接続システム方向のアクセスである。こうして、各ゲートウェイ装置２００において、『ＵｓｅｒＡ』、『ＵｓｅｒＢ』、及び『ＵｓｅｒＣ』が利用するユーザ端末に関する全てのアクセスが解除される。
【０１４４】
同様に、例えば、実施例２における図１３を用いて、アクセス閉塞を説明する。以下、『ＵｓｅｒＣ』、『ＵｓｅｒＢ』、『ＵｓｅｒＡ』の順序で段階的にログアウトすることを想定する。なお、各ゲートウェイ装置２００は、現時点において、図１３の（３）の設定がなされている。
【０１４５】
例えば、『ＵｓｅｒＣ』のみログアウトした場合、『ＵｓｅｒＣ』が収容される『ゲートウェイ装置３』に対して、アクセスの閉塞が指示される。『ゲートウェイ装置３』において、『ＵｓｅｒＡ』、『ＵｓｅｒＢ』、及び『ＵｓｅｒＣ』が利用するユーザ端末に関する全てのアクセスが解除される。こうして、例えば、図１３の（２）に示す状態となる。
【０１４６】
次に、例えば、『ＵｓｅｒＢ』もログアウトした場合、『ＵｓｅｒＢ』が収容される『ゲートウェイ装置２』に対して、アクセスの閉塞が指示される。『ゲートウェイ装置２』において、『ＵｓｅｒＡ』、『ＵｓｅｒＢ』、及び『ＵｓｅｒＣ』が利用するユーザ端末に関する全てのアクセスが解除される。こうして、例えば、図１３の（１）に示す状態となる。
【０１４７】
次に、例えば、『ＵｓｅｒＡ』もログアウトした場合、『ＵｓｅｒＡ』が収容される『ゲートウェイ装置１』に対して、アクセスの閉塞が指示される。『ゲートウェイ装置１』において、『ＵｓｅｒＡ』、『ＵｓｅｒＢ』、及び『ＵｓｅｒＣ』が利用するユーザ端末に関する全てのアクセスが解除される。こうして、各ゲートウェイ装置２００において、『ＵｓｅｒＡ』、『ＵｓｅｒＢ』、及び『ＵｓｅｒＣ』が利用するユーザ端末に関する全てのアクセスが解除される。
【０１４８】
［その他］
また、上記実施例において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【０１４９】
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、集合仮想ルータの一例としてＶＲＦ（VPN  routing  and  forwarding  table）を適用してもよく、これにより、１つの集合仮想ルータ内で仮想的に複数の集合仮想ルータが稼動しているようにみなすことができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵ（Central  Processing  Unit）および該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【０１５０】
なお、上記実施例で説明したアドレス制御方法は、予め用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。このプログラムは、インターネットなどのＩＰネットワークを介して配布することができる。また、このプログラムは、ハードディスク、フレキシブルディスク、ＣＤ−ＲＯＭ（Compact  Disk  Read  Only  Memory）、ＭＯ（Magneto-Optical  disk）、ＤＶＤ（Digital  Versatile  Disk）などのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。
【符号の説明】
【０１５１】
１００  統合ＡＡＡ装置
１１０  通信Ｉ／Ｆ部
１２０  ＶＰＮ間接続システム認証情報記憶部
１２１  認証結果記憶部
１２２  サービス情報記憶部
１３０  ＶＰＮ間接続システム認証部
１３１  アクセス制御設定部
２００  ゲートウェイ装置
２１０  通信Ｉ／Ｆ部
２２０  アクセス制御情報記憶部
２３０  接続要求受付部
２３１  アクセス制御設定受付部
２３２  アクセス制御部
【図１】
2011166375.tif 000003
【図２】
2011166375.tif 000004
【図３】
2011166375.tif 000005
【図４】
2011166375.tif 000006
【図５】
2011166375.tif 000007
【図６】
2011166375.tif 000008
【図７】
2011166375.tif 000009
【図８】
2011166375.tif 000010
【図９】
2011166375.tif 000011
【図１０】
2011166375.tif 000012
【図１１】
2011166375.tif 000013
【図１２】
2011166375.tif 000014
【図１３】
2011166375.tif 000015
【図１４】
2011166375.tif 000016
【図１５】
2011166375.tif 000017
【図１６】
2011166375.tif 000018
【図１７】
2011166375.tif 000019
【図１８】
2011166375.tif 000020
【図１９】
2011166375.tif 000021
【図２０】
2011166375.tif 000022
【図２１】
2011166375.tif 000023