(57)【要約】【課題】ネットワークの接続管理に関する管理者の負担を軽減するとともに、リソースの浪費および不正アクセスを防止することを課題とする。【解決手段】ＲＡＳゲートウェイは、クライアント装置とクライアント装置が所属すべき内部ネットワークとの接続を可能とする仮想ネットワークインタフェースが、現に設定中であるＶＬＡＮインタフェース内に存在しない場合には、ＶＬＡＮインタフェースを動的に設定する。さらに、ＲＡＳゲートウェイは、設定されたＶＬＡＮインタフェースの利用状況を監視して、利用しているクライアント端末のないインタフェースについては消去する。【選択図】図１
2011019125.tif 000002
【特許請求の範囲】
【請求項１】
リモートアクセス要求の送信元であるクライアント装置と、仮想ネットワークインタフェースを介して接続可能な内部ネットワークとの間の通信を制御する通信制御装置であって、
リモートアクセス要求に応じて前記クライアント装置を認証する認証装置から、前記クライアント装置と当該クライアント装置が所属すべき内部ネットワークとの接続を可能とする仮想ネットワークインタフェースを特定するための特定情報を取得する特定情報取得手段と、
前記特定情報取得手段により取得された前記特定情報により特定される仮想ネットワークインタフェースが、現に設定中である仮想ネットワークインタフェース内に存在しない場合には、前記特定情報に関連付けて仮想ネットワークインタフェースを新たに設定するインタフェース設定手段と、
前記インタフェース設定手段により設定された仮想ネットワークインタフェースを介して接続可能な内部ネットワークと、前記クライアント装置との間の通信を制御する通信制御手段と
を有することを特徴とする通信制御装置。
【請求項２】
現に設定中である仮想ネットワークインタフェースを特定するためのインタフェースＩＤを管理するＩＤ管理手段をさらに有し、
前記インタフェース設定手段は、前記特定情報と一致するインタフェースＩＤが、前記管理手段により管理されているインタフェースＩＤ内に存在しない場合には、前記特定情報に関連付けて仮想ネットワークインタフェースを新たに設定し、設定した仮想ネットワークインタフェースを特定するための情報として、前記特定情報と一致するインタフェースＩＤを前記管理手段に登録することを特徴とする請求項１に記載の通信制御装置。
【請求項３】
前記特定情報と現に設定中である仮想ネットワークインタフェースを特定するためのインタフェースＩＤとの対応関係を管理する対応関係管理手段をさらに有し、
前記インタフェース設定手段は、前記特定情報取得手段により取得された特定情報により特定されるインタフェースＩＤが、前記管理手段により管理されている対応関係内に存在しない場合には、前記特定情報に関連付けて仮想ネットワークインタフェースを新たに設定し、新たに設定した仮想ネットワークインタフェースに新たに付与するインタフェースＩＤと前記特定情報との対応関係を前記管理手段に登録することを特徴とする請求項１に記載の通信制御装置。
【請求項４】
前記ＩＤ管理手段は、現に設定中である仮想ネットワークインタフェースを特定するためのインタフェースＩＤに対応付けて、当該インタフェースＩＤに該当する仮想ネットワークインタフェースを利用中のクライアント端末の情報を管理し、
アクセスを切断したクライアント端末に対応する情報を前記ＩＤ管理手段に管理されているクライアント端末の情報の中から削除する削除手段と、
前記ＩＤ管理手段により管理されているクライアント端末の情報を参照して、クライアント端末に利用されていない仮想ネットワークインタフェースの設定を消去するインタフェース設定消去手段と
をさらに有することを特徴とする請求項２に記載の通信制御装置。
【請求項５】
前記対応関係管理手段は、現に設定中である仮想ネットワークインタフェースを特定するためのインタフェースＩＤに対応付けて、当該インタフェースＩＤに該当する仮想ネットワークインタフェースを利用中のクライアント端末の情報を管理し、
アクセスを切断したクライアント端末に対応する情報を前記対応関係管理手段に管理されているクライアント端末の情報の中から削除する削除手段と、
前記対応関係管理手段により管理されているクライアント端末の情報を参照して、クライアント端末に利用されていない仮想ネットワークインタフェースの設定を消去するインタフェース設定消去手段と
をさらに有することを特徴とする請求項３に記載の通信制御装置。
【請求項６】
リモートアクセス要求の送信元であるクライアント装置と、仮想ネットワークインタフェースを介して接続可能な内部ネットワークとの間の通信を制御する通信制御方法であって、
リモートアクセス要求に応じて前記クライアント装置を認証する認証装置から、前記クライアント装置と当該クライアント装置が所属すべき内部ネットワークとの接続を可能とする仮想ネットワークインタフェースを特定するための特定情報を取得する特定情報取得ステップと、
前記特定情報取得ステップにより取得された特定情報により特定される仮想ネットワークインタフェースが、現に設定中である仮想ネットワークインタフェース内に存在しない場合には、前記特定情報に関連付けて仮想ネットワークインタフェースを新たに設定するインタフェース設定ステップと、
前記インタフェース設定ステップにより設定された仮想ネットワークインタフェースを介して接続可能な内部ネットワークと、前記クライアント装置との間の通信を制御する通信制御ステップと
を含んだことを特徴とする通信制御方法。
【請求項７】
リモートアクセス要求の送信元であるクライアント装置と、仮想ネットワークインタフェースを介して接続可能な内部ネットワークとの間の通信を制御する処理をコンピュータに実行させる通信制御プログラムであって、
リモートアクセス要求に応じて前記クライアント装置を認証する認証装置から、前記クライアント装置と当該クライアント装置が所属すべき内部ネットワークとの接続を可能とする仮想ネットワークインタフェースを特定するための特定情報を取得する特定情報取得手順と、
前記特定情報取得手順により取得された特定情報により特定される仮想ネットワークインタフェースが、現に設定中である仮想ネットワークインタフェース内に存在しない場合には、前記特定情報に関連付けて仮想ネットワークインタフェースを新たに設定するインタフェース設定手順と、
前記インタフェース設定手順により設定された仮想ネットワークインタフェースを介して接続可能な内部ネットワークと、前記クライアント装置との間の通信を制御する通信制御手順と
をコンピュータに実行させることを特徴とする通信制御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信制御装置、通信制御方法および通信制御プログラムに関する。
【背景技術】
【０００２】
近年、所定のネットワークやコンピュータなどに、別のネットワークからＶＬＡＮ（Virtual LAN）などを介してアクセスするネットワークアクセスについての技術が数多く提案されている。
【０００３】
例えば、上記のネットワークアクセスに関して、ダイナミックＶＬＡＮという技術が存在する（非特許文献１参照）。このダイナミックＶＬＡＮという技術は、ＶＭＰＳ（VLAN Membership Policy Server）というデータベースに、「ＭＡＣアドレス」と「ＶＬＡＮ  ＩＤ」を登録しておき、ホストが接続されたときに、スイッチが自動的にＶＬＡＮを割り当てるものである。
【０００４】
また、ＶＰＮなどを利用して外部のネットワークからアクセスするリモートアクセスユーザを特定のＶＬＡＮやＶＲＦ（Virtual Routing and Forwarding）に動的に割り当てる技術として、ＲＡＤＩＵＳ（Remote Authentication Dial In User Service）を用いた技術も存在する。
【０００５】
このＲＡＤＩＵＳを用いた技術では、管理者は、ユーザがＶＬＡＮを介して利用する内部ネットワークに関し、ユーザの認証情報やネットワーク設定情報、ユーザが所属するネットワークに関する情報を、ＲＡＤＩＵＳサーバ（データベース）に予め設定する。さらに、管理者は、ユーザ端末との間にＶＬＡＮを確立するリモートアクセス用のゲートウェイ装置に、インタフェースなどのＶＬＡＮ用の通信設定を予め行う。
【先行技術文献】
【非特許文献】
【０００６】
【非特許文献１】“ＣＩＳＣＯ  ＣＣＮＡ資格取得を目指して”、［online］、［平成２１年５月１日検索］、インターネット＜ＵＲＬ：http://getciscoccna.seesaa.net/category/589612-1.html＞
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、上記したＲＡＤＩＵＳを用いる技術には、以下に説明するような問題がある。すなわち、内部ネットワークの追加または削除の必要が発生するごとに、管理者は、ＲＡＤＩＵＳサーバやリモートアクセス用のゲートウェイ装置にＶＬＡＮに関する設定を行う必要があるので、ネットワークの接続管理が煩雑で負担を要するという問題がある。
【０００８】
また、管理者の負担を軽減するために、例えば、リモートアクセス用のゲートウェイ装置にＶＬＡＮ用のインタフェースなどを設定したままにしておくことも考えられる。しかし、リモートアクセス用のゲートウェイ装置の資源が通信を行わない時にも無駄に消費されるだけでなく、不正アクセスの原因となる可能性もある。
【０００９】
本発明は、上記に鑑みてなされたものであって、ネットワークの接続管理に関する管理者の負担を軽減するとともに、リソースの浪費および不正アクセスを防止することが可能な通信制御装置、通信制御方法および通信制御プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１０】
上述した課題を解決し、目的を達成するために、本発明は、リモートアクセス要求の送信元であるクライアント装置と、仮想ネットワークインタフェースを介して接続可能な内部ネットワークとの間の通信を制御する通信制御装置であって、リモートアクセス要求に応じて前記クライアント装置を認証する認証装置から、前記クライアント装置と当該クライアント装置が所属すべき内部ネットワークとの接続を可能とする仮想ネットワークインタフェースを特定するための特定情報を取得する特定情報取得手段と、前記特定情報取得手段により取得された前記特定情報により特定される仮想ネットワークインタフェースが、現に設定中である仮想ネットワークインタフェース内に存在しない場合には、前記特定情報に関連付けて仮想ネットワークインタフェースを新たに設定するインタフェース設定手段と、前記インタフェース設定手段により設定された仮想ネットワークインタフェースを介して接続可能な内部ネットワークと、前記クライアント装置との間の通信を制御する通信制御手段とを有することを特徴とする。
【発明の効果】
【００１１】
本発明によれば、ネットワークの接続管理に関する管理者の負担を軽減するとともに、リソースの浪費および不正アクセスを防止できる。
【図面の簡単な説明】
【００１２】
【図１】図１は、実施例１に係るＲＡＳゲートウェイを説明するための図である。
【図２】図２は、実施例１に係る構成を説明するための図である。
【図３】図３は、実施例１に係るクライアント認証情報を説明するための図である。
【図４】図４は、実施例１に係るＶＬＡＮ管理情報を説明するための図である。
【図５】図５は、実施例１に係るスイッチング情報を説明するための図である。
【図６】図６は、実施例１に係る新たなＶＬＡＮインタフェースの設定処理の流れを説明するため図である。
【図７】図７は、実施例１に係るＶＬＡＮインタフェースの消去処理の流れを説明するための図である。
【図８】図８は、実施例２に係るＶＬＡＮ管理情報を説明するための図である。
【図９】図９は、実施例２に係る新たなＶＬＡＮインタフェースの設定処理の流れを説明するため図である。
【図１０】図１０は、実施例２に係るＶＬＡＮインタフェースの消去処理の流れを説明するための図である。
【図１１】図１１は、通信制御プログラムを実行するコンピュータを示す図である。
【発明を実施するための形態】
【００１３】
以下に、図面を参照しつつ、本発明にかかる通信制御装置、通信制御方法および通信制御プログラムの一実施形態を詳細に説明する。以下に説明する実施例では、上記通信制御装置に対応するＲＡＳ（Remote Access Service）ゲートウェイの一実施形態について説明する。なお、以下に説明する実施例により本発明が限定されるものではない。
【実施例１】
【００１４】
以下の実施例１では、実施例１に係るＲＡＳゲートウェイの概要および特徴、実施例１に係る構成および処理を順に説明し、最後に実施例１による効果を説明する。
【００１５】
実施例１に係るＲＡＳゲートウェイは、リモートアクセス要求の送信元であるクライアント端末と、ＶＬＡＮインタフェースを介して接続可能な内部ネットワークとの間の通信を制御することを概要とする。
【００１６】
そして、実施例１に係るＲＡＳゲートウェイは、クライアント装置とクライアント装置が所属すべき内部ネットワークとの接続を可能とする仮想ネットワークインタフェースが、現に設定中であるＶＬＡＮインタフェース内に存在しない場合には、ＶＬＡＮインタフェースを動的に設定し、さらに、設定されたＶＬＡＮインタフェースの利用状況を監視して、利用しているクライアント端末のないインタフェースについては消去する点に特徴がある。
【００１７】
上述した特徴について、図１を参照しつつ具体的に説明する。図１は、実施例１に係るＲＡＳゲートウェイの特徴を説明するための図である。
【００１８】
図１に示すように、実施例１に係るＲＡＳゲートウェイは、例えば、クライアント端末の一つである端末１から接続要求（リモートアクセス要求）を受け付けると（図１の（１）参照）、端末１から認証情報を取得し、取得した認証情報とともに端末１の認証要求を認証サーバに送る。
【００１９】
認証サーバは、端末の認証を行うため認証情報や、端末が所属すべき内部ネットワークを示したグループＩＤ、端末のネットワーク関連情報などを予めＤＢに持っている。ＲＡＳゲートウェイから認証要求を受け付けると、認証サーバは、ＤＢを参照して、端末１との間で認証フェーズを実行することで端末１の認証を行う（図１の（２）参照）。そして、認証サーバは、端末１の認証に成功すると、認証結果および端末１が所属すべき内部ネットワークに対応付けられたグループＩＤ（例えば、４０）をＲＡＳゲートウェイに返す（図１の（３）参照）。
【００２０】
ＲＡＳゲートウェイは、認証結果およびグループＩＤを認証サーバから受け付けると、現在設定中のＶＬＡＮインタフェースの中に、グループＩＤと一致するＩＤのＶＬＡＮインタフェースがない場合には、新しくＶＬＡＮインタフェースを設定して、グループＩＤと同一のＩＤをＶＬＡＮ−ＩＤとして割り当てるとともに（例えば、ＶＬＡＮ：４０）、端末１との間に通信路を確立する（図１の（４）参照）。
【００２１】
通信路の確立後、ＲＡＳゲートウェイは、端末１からＶＬＡＮ４０への通信が開始されると（図１の（５）参照）、端末１から受け付けたＶＬＡＮ４０宛のパケットにＶＬＡＮ−ＩＤ（ＶＬＡＮ４０）を付与して、ＶＬＡＮスイッチへ転送する。ＶＬＡＮスイッチは、ＲＡＳゲートウェイから受け付けたパケットを対応するネットワーク（例えば、ＮＷ４）に流す。
【００２２】
さらに、ＲＡＳゲートウェイは、設定されたＶＬＡＮインタフェースの中で、利用しているクライアント端末のないインタフェースについては消去する（図１の（６）参照）。
【００２３】
上述してきたように、実施例１に係るＲＡＳゲートウェイは、クライアント端末が所属すべき内部ネットワークに対応付けられたＶＬＡＮインタフェースが、現に設定中であるＶＬＡＮインタフェース内に存在しない場合には、ＶＬＡＮインタフェースを動的に設定する。さらに、クライアント端末からの要求に応じて設定したＶＬＡＮインタフェースを利用中である端末がない場合には、ＶＬＡＮインタフェースを消去する。このようなことから、ネットワークの接続管理に関する管理者の負担を軽減するとともに、リソースの浪費および不正アクセスを防止できる。
【００２４】
［実施例１に係る構成］
図２は、実施例１に係る構成を説明するための図である。同図に示すように、実施例１に係るＲＡＳゲートウェイ２００は、公衆電話網やインターネット、ＷＡＮ（Wide Area Network）を介して、クライアント端末１００、認証サーバ３００およびＶＬＡＮスイッチ４００と通信可能な状態に接続されている。
【００２５】
クライアント端末１００は、ＶＬＡＮを利用して、ＲＡＳゲートウェイ２００が配下に有する複数の内部ネットワークと通信する。
【００２６】
認証サーバ３００は、クライアント装置１００からのリモートアクセス要求に伴い、クライアント端末１００を認証し、図２に示すように、クライアント認証情報記憶部３１０、通信制御Ｉ／Ｆ部３２０および認証処理部３３０を有する。
【００２７】
クライアント認証情報記憶部３１０は、クライアント端末１００を認証するためのクライアント認証情報を記憶し、例えば、図３に示すように、認証情報、グループＩＤおよびＮＷ関連情報を対応付けて記憶する。
【００２８】
認証情報は、クライアント端末１００を認証するためのユーザＩＤやパスワードなどの秘密情報などを含む情報である。グループＩＤは、クライアント端末１００が所定のユーザＩＤを用いて、内部ネットワークにアクセスするためのＶＬＡＮに対応する情報である。ＮＷ関連情報は、認証に成功したクライアント端末１００に対して払い出すＩＰアドレスなどの情報である。図３は、実施例１に係るクライアント認証情報を説明するための図である。
【００２９】
なお、認証サーバ３００は、ＶＬＡＮインタフェースを設定するための認証情報（ユーザＩＤ）やグループＩＤ、ＩＰドレスなどの設定を内部ネットワークの追加や削除に応じて管理者から受け付け、クライアント認証情報記憶部３１０に記憶する。
【００３０】
通信制御Ｉ／Ｆ部３２０は、クライアント端末１００およびＲＡＳゲートウェイ２００との間で行われる各種データのやり取りに関する通信を制御する。
【００３１】
認証処理部３３０は、ＲＡＳゲートウェイ２００からクライアント端末１００の認証要求を受け付けると、クライアント認証情報記憶部３１０から認証情報を取得して、認証対象となるクライアント端末１００との間で認証フェーズを実行することで、クライアント端末１００の認証処理を行う。
【００３２】
なお、認証処理部３３０は、クライアント端末１００に認証に成功した場合には、認証に成功した旨の認証結果、およびネットワーク関連情報（クライアント端末１００が内部ネットワークにアクセスするためのＶＬＡＮに対応するグループＩＤ、クライアント端末１００が通信を行うためのＩＰアドレスなど）をＲＡＳゲートウェイ２００に返す。一方、クライアント端末１００に認証に成功しなかった場合には、認証に失敗した旨の認証結果のみをＲＡＳゲートウェイ２００に返す。
【００３３】
ＲＡＳゲートウェイ装置２００は、認証サーバ３００から受信したグループＩＤなどのＶＬＡＮインタフェースを示す情報に基づいて、内部ネットワークの追加や削除に応じて、内部ネットワークに対応づけるＶＬＡＮインタフェースを動的に設定して、クライアント端末１００のリモートアクセスを制御する。そして、ＲＡＳゲートウェイ２００は、図２に示すように、通信制御Ｉ／Ｆ部２１０、記憶部２２０および制御部２３０を有する。
【００３４】
通信制御Ｉ／Ｆ部２１０は、クライアント端末１００、認証サーバ３００およびＶＬＡＮスイッチ４００との間で行われる各種データのやり取りに関する通信を制御する。
【００３５】
記憶部２２０は、制御部２３０による各種処理に必要なデータおよびプログラム等を記憶し、特に、現在設定中のＶＬＡＮインタフェースを管理するためのＶＬＡＮ管理情報記憶部２２１を有する。
【００３６】
ＶＬＡＮ管理情報記憶部２２１は、図４に示すように、ＶＬＡＮ−ＩＤ（Ｉ／Ｆ）と、ユーザＩＤと、ＩＰアドレスと、通信路ＩＤとを対応付けて、ＶＬＡＮ管理情報として記憶する。ＶＬＡＮ−ＩＤ（Ｉ／Ｆ）は、ＶＬＡＮインタフェースを特定するための情報としてグループＩＤと同一の値を割り当てたものである。ユーザＩＤは、クライアント端末１００が内部ネットワークへのリモートアクセス時に利用するＩＤである。ＩＰアドレスは、認証サーバ３００から払い出されたＩＰアドレスである。通信路ＩＤは、クライアント端末１００との間に確立したＶＰＮなどの通信路を識別するＩＤである。図４は、実施例１に係るＶＬＡＮ管理情報を説明するための図である。
【００３７】
制御部２３０は、所定の制御プログラム、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有し、これらによってＶＬＡＮインタフェースを動的に設定する種々の処理を実行する。そして、制御部２３０は、特に、接続制御部２３１、ＶＬＡＮ制御部２３２および通信制御部２３３を有する。
【００３８】
接続制御部２３１は、クライアント端末１００から接続要求（リモートアクセス要求）を受け付けると、クライアント端末１００に認証情報を要求する。そして、接続制御部２３１は、クライアント端末１００から認証情報を取得して、取得した認証情報とともにクライアント端末１００の認証要求を認証サーバ３００に送る。
【００３９】
ＶＬＡＮ制御部２３２は、リモートアクセス要求の送信元であるクライアント端末１００についての認証結果およびグループＩＤを認証サーバ３００から受け付けると、ＶＬＡＮ管理情報記憶部２２１に記憶されているＶＬＡＮ管理情報を参照して、現在設定中のＶＬＡＮインタフェースの中に、グループＩＤと一致するＩＤのＶＬＡＮインタフェースがあるかどうかを判定する。
【００４０】
判定の結果、現在設定中のＶＬＡＮインタフェースの中に、グループＩＤと一致するＩＤのＶＬＡＮインタフェースがない場合には、新しくＶＬＡＮインタフェースを設定して、グループＩＤと同一のＩＤをＶＬＡＮ−ＩＤとして割り当て、ＶＬＡＮ管理情報記憶部２２１に登録する。一方、現在設定中のＶＬＡＮインタフェースの中に、グループＩＤと一致するＩＤのＶＬＡＮインタフェースがある場合には、該当ＶＬＡＮインタフェースをリモートアクセス要求の送信元であるクライアント端末１００に利用させるＶＬＡＮインタフェースとする。
【００４１】
また、ＶＬＡＮ制御部２３２は、ＶＬＡＮ管理情報記憶部２２１を監視し、設定されたＶＬＡＮインタフェースの中で、利用しているクライアント端末１００のないインタフェースについては消去する。
【００４２】
通信制御部２３３は、ＶＬＡＮ制御部２３２によるＶＬＡＮインタフェースの設定が完了すると、リモートアクセス要求の送信元であるクライアント端末１００に認証結果およびＩＰアドレスを送って、クライアント端末１００との間に通信路を確立する。
【００４３】
通信路の確立後、通信制御部２３３は、クライアント端末１００からのデータ（パケット）の転送を開始できる状態をとり、端末情報の管理を開始する。端末情報を管理する場合には、認証サーバ３００からクライアント端末１００に払い出されたＩＰアドレス（またはユーザＩＤ）、およびクライアント端末との間に確立した通信路の通信路ＩＤを、新たに設定したＶＬＡＮ−ＩＤに対応付けてＶＬＡＮ管理情報記憶部２２１に登録することにより行う。
【００４４】
データ（パケット）の転送を開始できる状態をとった後、クライアント端末１００からデータ（パケット）を受け付けた場合には、通信制御部２３３は、クライアント端末１００からのデータ（パケット）のＶＬＡＮタグにＶＬＡＮ−ＩＤを付与して、ＶＬＡＮスイッチ４００に転送する。
【００４５】
ＶＬＡＮスイッチ４００は、ＲＡＳゲートウェイ２００からデータ（パケット）を対応する内部ネットワークに流す。ＶＬＡＮスイッチ４００は、図２に示すように、通信制御部４１０およびスイッチング情報記憶部４２０を有する。
【００４６】
スイッチング情報記憶部４２０は、図５に示すように、ＶＬＡＮ−ＩＤと内部ネットワークが割り当てられているスイッチのポートを識別するためのネットワークＩＤとを対応付けて、スイッチング情報として記憶する。図５は、実施例１に係るスイッチング情報を説明するための図である。
【００４７】
通信制御部４１０は、ＲＡＳゲートウェイ２００からデータ（パケット）を受け付けると、スイッチング情報記憶部４２０を参照して、データ（パケット）に付与されているＶＬＡＮ−ＩＤに対応した内部ネットワークにデータ（パケット）を流す。
【００４８】
［実施例１に係る処理］
続いて、図６および図７を参照して、実施例１に係る処理の流れを説明する。
【００４９】
［新たなＶＬＡＮインタフェースの設定処理］
図６は、実施例１に係る新たなＶＬＡＮインタフェースの設定処理の流れを説明するため図である。同図に示すように、クライアント端末１００は、ＲＡＳゲートウェイ２００にリモートアクセス要求を送る（ステップＳ１）。なお、クライアント装置１００は、リモートアクセス要求を送る場合、例えば、Ｌ２ＴＰ（Layer 2 Tunneling Protocol）、ＩＰｓｅｃ（Security Architecture for Internet Protocol）、ＰＰＰ（Point to Point Protocol）などのプロトコルを用いることができる。
【００５０】
ＲＡＳゲートウェイ２００は、クライアント端末１００からリモートアクセス要求を受け付けると、クライアント端末１００に認証情報を要求する（ステップＳ２）。ＲＡＳゲートウェイ２００から認証情報の要求を受け付けると、クライアント端末１００は、ＲＡＳゲートウェイ２００に認証情報を送る（ステップＳ３）。
【００５１】
ＲＡＳゲートウェイ２００は、クライアント端末１００から認証情報を取得すると、取得した認証情報とともにクライアント端末１００の認証要求を認証サーバ３００に送る（ステップＳ４）。
【００５２】
認証サーバ３００は、ＲＡＳゲートウェイ２００からクライアント端末１００の認証要求を受け付けると、クライアント認証情報記憶部３１０から認証情報を取得して、認証対象となるクライアント端末１００との間で認証フェーズを実行することで、クライアント端末１００の認証処理を行う（ステップＳ５）。なお、認証サーバ３００は、例えば、ＣＨＡＰ（Challenge Handshake Authentication Protocol）やＴＬＳ（Transport Layer Security）などのプロトコルを用いて、クライアント端末１００との間で情報の送受信を行うことにより認証フェーズを実行する。
【００５３】
そして、認証サーバ３００は、クライアント端末１００の認証結果を判断し（ステップＳ６）、認証に成功している場合には、認証に成功した旨の認証結果、およびネットワーク関連情報（クライアント端末１００が所属すべき内部ネットワークに対応付けられたグループＩＤ、クライアント端末１００が通信を行うためのＩＰアドレスなど）をＲＡＳゲートウェイ２００に返す（ステップＳ７）。
【００５４】
ＲＡＳゲートウェイ２００は、リモートアクセス要求の送信元であるクライアント端末１００についての認証結果およびネットワーク関連情報を認証サーバ３００から受け付けると、ＶＬＡＮ管理情報記憶部２２１に記憶されているＶＬＡＮ管理情報を参照して、現在設定中のＶＬＡＮインタフェースの中に、ネットワーク関連情報として受け付けたグループＩＤと一致するＩＤのＶＬＡＮインタフェースがない場合には、新しくＶＬＡＮインタフェースを設定する（ステップＳ８）。そして、ＲＡＳゲートウェイ２００は、グループＩＤと同一のＩＤをＶＬＡＮ−ＩＤとして割り当て、ＶＬＡＮ管理情報記憶部２２１に登録する。
【００５５】
ＶＬＡＮ制御部２３２によるＶＬＡＮインタフェースの設定が完了すると、ＲＡＳゲートウェイ２００は、リモートアクセス要求の送信元であるクライアント端末１００に認証結果およびＩＰアドレスを送って（ステップＳ９）、クライアント端末１００との間に通信路を確立する（ステップＳ１０）。なお、ＲＡＳゲートウェイ２００は、クライアント端末１００との間に通信を確立する場合に、例えば、Ｌ２ＴＰ（Layer 2 Tunneling Protocol）、ＩＰｓｅｃ（Security Architecture for Internet Protocol）、ＰＰＰ（Point to Point Protocol）などのプロトコルを用いることができる。
【００５６】
通信路の確立後、通信制御部２３３は、クライアント端末１００からのデータ（パケット）の転送を開始できる状態をとり、端末情報の管理を開始する（ステップＳ１１）。
【００５７】
クライアント端末１００は、ＶＬＡＮへの通信（内部ネットワークへのリモートアクセス）を開始する（ステップＳ１２）。
【００５８】
［ＶＬＡＮインタフェースの消去処理］
図７は、実施例１に係るＶＬＡＮインタフェースの消去処理の流れを説明するための図である。同図に示すように、クライアント端末１００もしくはＲＡＳゲートウェイ２００による通信路の切断があると（ステップＳ１）、ＲＡＳゲートウェイ２００から認証サーバ３００に端末切断通知が送られる（ステップＳ２）。
【００５９】
認証サーバ３００は、ＲＡＳゲートウェイ２００から端末切断通知を受け付けると、端末切断通知応答をＲＡＳゲートウェイ２００に返送する（ステップＳ３）。
【００６０】
ＲＡＳゲートウェイ２００は、認証サーバ３００から端末切断通知応答を受け付けると、ＶＬＡＮを利用している全端末が切断している場合には、対応するＶＬＡＮインタフェースを消去する（ステップＳ４）。
【００６１】
［実施例１による効果］
上述してきたように、管理者は、内部ネットワークの追加や削除に応じた設定を認証サーバ３００にのみ行う。さらに、ＲＡＳゲートウェイ２００は、現在設定中のＶＬＡＮインタフェースの中に、クライアント端末１００が所属すべき内部ネットワークに対応付けられたグループＩＤと一致するＩＤのＶＬＡＮインタフェースがない場合には、新たなＶＬＡＮインタフェースを動的に設定し、グループＩＤと同一の値をＶＬＡＮ−ＩＤとして割り当てる。さらに、ＲＡＳゲートウェイ２００は、設定されたＶＬＡＮインタフェースの中で、利用しているクライアント端末のないインタフェースについては消去する。
【００６２】
このようなことから、ネットワークの接続管理に関する管理者の負担を軽減するとともに、リソースの浪費および不正アクセスを防止できる。
【実施例２】
【００６３】
上記の実施例１では、クライアント端末１００が所属すべき内部ネットワークに対応付けられたグループＩＤと同一の値をＶＬＡＮ−ＩＤとして利用する場合の実施形態を説明したが、これに限定されるものではない。例えば、新たなＶＬＡＮインタフェースを設定するごとに、新たなＶＬＡＮ−ＩＤを生成して、グループＩＤと対応付けるようにしてもよい。
【００６４】
［実施例２に係る構成］
図８は、実施例２に係るＶＬＡＮ管理情報を説明するための図である。実施例２に係る構成は、実施例１と基本的には同様の構成であるが、以下に説明する点が異なる。同図に示すように、ＲＡＳゲートウェイ２００は、ＶＬＡＮ−ＩＤ（Ｉ／Ｆ）、ユーザＩＤ、ＩＰアドレスおよび通信路ＩＤに対応付けて、さらにグループＩＤを記憶する。
【００６５】
ＶＬＡＮ制御部２３２は、リモートアクセス要求の送信元であるクライアント端末１００についての認証結果およびグループＩＤを認証サーバ３００から受け付けると、ＶＬＡＮ管理情報記憶部２２１に記憶されているＶＬＡＮ管理情報を参照して、現在設定中のＶＬＡＮインタフェースの中に、認証サーバ３００から受け付けたグループＩＤに対応付けられているＶＬＡＮインタフェースがあるかどうかを判定する。
【００６６】
判定の結果、現在設定中のＶＬＡＮインタフェースの中に、認証サーバ３００から受け付けたグループＩＤに対応付けられているＶＬＡＮインタフェースがない場合には、新しくＶＬＡＮインタフェースを設定して、新たなＶＬＡＮインタフェースに割り当てるＶＬＡＮ−ＩＤとグループＩＤとの対応関係をＶＬＡＮ管理情報記憶部２２１に登録する。
【００６７】
新たなＶＬＡＮインタフェースの設定後、ＶＬＡＮ制御部２３２は、新たなＶＬＡＮインタフェースのＶＬＡＮ−ＩＤとグループＩＤとの対応関係を含むＶＬＡＮインタフェースの生成通知をＶＬＡＮスイッチ４００に送信する。
【００６８】
また、ＶＬＡＮ制御部２３２は、ＶＬＡＮ管理情報記憶部２２１を監視して、利用しているクライアント端末１００のないインタフェースを消去した後、ＶＬＡＮ−ＩＤを含むＶＬＡＮの消去通知をＶＬＡＮスイッチ４００に送る。そして、ＶＬＡＮ制御部２３２は、ＶＬＡＮスイッチ４００からＶＬＡＮの消去通知応答を受け付けると、この応答受付を持って、ＶＬＡＮの消去を完了する。
【００６９】
ＶＬＡＮスイッチ４００からＶＬＡＮインタフェースの生成通知応答を受け付けると、通信制御部２３３は、リモートアクセス要求の送信元であるクライアント端末１００に認証結果およびＩＰアドレスを送って、クライアント端末１００との間に通信路を確立する。
【００７０】
ＶＬＡＮスイッチ４００は、新たなＶＬＡＮインタフェースのＶＬＡＮ−ＩＤとグループＩＤとの対応関係を含むＶＬＡＮインタフェースの生成通知をＲＡＳゲートウェイ２００から受け付けると、ＶＬＡＮ−ＩＤとグループＩＤの対応関係をスイッチング情報記憶部４２０に登録する。そして、登録完了後、ＶＬＡＮスイッチ４００は、ＶＬＡＮインタフェースの生成通知応答をＲＡＳゲートウェイ２００に送る。
【００７１】
また、ＶＬＡＮスイッチ４００は、ＶＬＡＮ−ＩＤを含むＶＬＡＮ消去通知をＲＡＳゲートウェイ２００から受け付けると、該当するＶＬＡＮ−ＩＤとグループＩＤの対応関係をスイッチング情報記憶部４２０から削除する。そして、ＶＬＡＮスイッチ４００は、ＶＬＡＮ消去通知応答をＲＡＳゲートウェイ２００に送る。
【００７２】
［実施例２に係る処理］
続いて、図９および図１０を参照して、実施例２に係る処理の流れを説明する。
【００７３】
図９は、実施例２に係る新たなＶＬＡＮインタフェースの設定処理の流れを説明するため図である。実施例２に係る新たなＶＬＡＮインタフェースの設定処理は、図９に示すステップＳ８〜ステップＳ１３までの処理が、実施例１で説明した処理（図６参照）とは異なる。
【００７４】
すなわち、図９に示すように、ＲＡＳゲートウェイ２００は、リモートアクセス要求の送信元であるクライアント端末１００についての認証結果およびネットワーク関連情報を認証サーバ３００から受け付けると、ＶＬＡＮ管理情報記憶部２２１に記憶されているＶＬＡＮ管理情報を参照して、現在設定中のＶＬＡＮインタフェースの中に、認証サーバ３００から受け付けたグループＩＤに対応付けられているＶＬＡＮインタフェースがあるかどうかを判定する。
【００７５】
ＲＡＳゲートウェイ２００は、判定の結果、現在設定中のＶＬＡＮインタフェースの中に、認証サーバ３００から受け付けたグループＩＤに対応付けられているＶＬＡＮインタフェースがない場合には、新しくＶＬＡＮインタフェースを設定する（ステップＳ８）。そして、新たなＶＬＡＮインタフェースに割り当てるＶＬＡＮ−ＩＤとグループＩＤとの対応関係をＶＬＡＮ管理情報記憶部２２１に登録する。
【００７６】
新たなＶＬＡＮインタフェースの設定後、ＲＡＳゲートウェイ２００は、新たなＶＬＡＮインタフェースのＶＬＡＮ−ＩＤとグループＩＤとの対応関係を含むＶＬＡＮインタフェースの生成通知をＶＬＡＮスイッチ４００に送信する（ステップＳ９）。
【００７７】
ＶＬＡＮスイッチ４００は、新たなＶＬＡＮインタフェースのＶＬＡＮ−ＩＤとグループＩＤとの対応関係を含むＶＬＡＮインタフェースの生成通知をＲＡＳゲートウェイ２００から受け付けると、ＶＬＡＮ−ＩＤとグループＩＤの対応関係をスイッチング情報記憶部４２０に登録し、ＶＬＡＮを生成もしくは利用予約する（ステップＳ１０）。そして、登録完了後、ＶＬＡＮスイッチ４００は、ＶＬＡＮインタフェースの生成通知応答をＲＡＳゲートウェイ２００に送る（ステップＳ１１）。
【００７８】
ＶＬＡＮスイッチ４００からＶＬＡＮインタフェースの生成通知応答を受け付けると、ＲＡＳゲートウェイ２００は、リモートアクセス要求の送信元であるクライアント端末１００に認証結果およびＩＰアドレスを送って（ステップＳ１２）、クライアント端末１００との間に通信路を確立する（ステップＳ１３）。
【００７９】
［ＶＬＡＮインタフェースの消去処理］
図１０は、実施例２に係るＶＬＡＮインタフェースの消去処理の流れを説明するための図である。実施例２に係る新たなＶＬＡＮインタフェースの消去処理は、図１０に示すステップＳ５〜ステップＳ７までの処理が、実施例１で説明した処理（図７参照）とは異なる。
【００８０】
すなわち、図１０に示すように、ＲＡＳゲートウェイ２００は、ＶＬＡＮ管理情報記憶部２２１を監視して、利用しているクライアント端末１００のないインタフェースを消去した後（ステップＳ４）、ＶＬＡＮ−ＩＤを含むＶＬＡＮの消去通知をＶＬＡＮスイッチ４００に送る（ステップＳ５）。
【００８１】
ＶＬＡＮスイッチ４００は、ＶＬＡＮ−ＩＤを含むＶＬＡＮ消去通知をＲＡＳゲートウェイ２００から受け付けると、該当するＶＬＡＮ−ＩＤとグループＩＤの対応関係をスイッチング情報記憶部４２０から削除して、ＶＬＡＮを消去もしくは利用停止する（ステップＳ６）。そして、ＶＬＡＮスイッチ４００は、ＶＬＡＮ消去通知応答をＲＡＳゲートウェイ２００に送る（ステップＳ７）。
【００８２】
そして、ＲＡＳゲートウェイ２００は、ＶＬＡＮスイッチ４００からＶＬＡＮの消去通知応答を受け付けると、この応答受付を持って、ＶＬＡＮの消去を完了する。
【００８３】
上述してきたように、実施例２によれば、新たなＶＬＡＮインタフェースに割り当てるＶＬＡＮ−ＩＤとして、グループＩＤとは異なる値を割り当てることができ、装置内部の処理に自由度を持たせつつ、ネットワークの接続管理に関する管理者の負担を軽減するとともに、リソースの浪費および不正アクセスを防止できる。
【００８４】
なお、上述してきた実施例１および２では、ＶＬＡＮ−ＩＤやＶＬＡＮスイッチを用いる場合を説明したが、これに限定されるものではない。例えば、ＶＲＦ（Virtual Routing and Forwarding）技術を採用して、ＶＬＡＮ−ＩＤの代わりにＶＲＦ名を用い、ＶＬＡＮスイッチの代わりにＶＲＦ装置を用いることで、上述した実施例１および２と同様の処理を実現できる。
【実施例３】
【００８５】
以下、本発明にかかる通信制御装置、通信制御方法および通信制御プログラムの他の実施形態として実施例３を説明する。
【００８６】
（１）装置構成等
図２に示したＲＡＳゲートウェイ２００の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、ＲＡＳゲートウェイ２００の分散・統合の具体的形態は図示のものに限られず、例えば、ＶＬＡＮ制御部２３２と通信制御部２３３とを統合する。このように、ＲＡＳゲートウェイ２００の全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。
【００８７】
さらに、ＲＡＳゲートウェイ２００にて行なわれる各処理機能（例えば、図６、７、９、１０等参照）は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【００８８】
（２）通信処理プログラム
また、上記の実施例で説明したＲＡＳゲートウェイ２００の各種の処理（例えば、図６、７、９、１０等参照）は、あらかじめ用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータシステムで実行することによって実現することができる。そこで、以下では、図１１を用いて、上記の実施例と同様の機能を有する通信制御プログラムを実行するコンピュータの一例を説明する。図１１は、通信制御プログラムを実行するコンピュータを示す図である。
【００８９】
同図に示すように、ＲＡＳゲートウェイ２００としてコンピュータ５００は、通信制御部５１０、ＨＤＤ５２０、ＲＡＭ５３０およびＣＰＵ５４０をバス６００で接続して構成される。
【００９０】
ここで、通信制御部５１０は、各種情報のやり取りに関する通信を制御する。ＨＤＤ５２０は、ＣＰＵ５４０による各種処理の実行に必要な情報を記憶する。ＲＡＭ５３０は、各種情報を一時的に記憶する。ＣＰＵ５４０は、各種演算処理を実行する。
【００９１】
そして、ＨＤＤ５２０には、図１１に示すように、上記の実施例に示したＲＡＳゲートウェイ２００の各処理部と同様の機能を発揮する通信制御プログラム５２１と、通信制御用データ５２２とがあらかじめ記憶されている。なお、この通信制御プログラム５２１を適宜分散させて、ネットワークを介して通信可能に接続された他のコンピュータの記憶部に記憶させておくこともできる。
【００９２】
そして、ＣＰＵ５４０が、この通信制御プログラム５２１をＨＤＤ５２０から読み出してＲＡＭ５３０に展開することにより、図１１に示すように、通信制御プログラム５２１は通信制御プロセス５３１として機能するようになる。すなわち、通信制御プロセス５３１は、通信制御用データ５２２等をＨＤＤ５２０から読み出して、ＲＡＭ５３０において自身に割り当てられた領域に展開し、この展開したデータ等に基づいて各種処理を実行する。
【００９３】
なお、通信制御プロセス５３１は、図２に示したＲＡＳゲートウェイ２００の制御部２３０（接続制御部２３１、ＶＬＡＮ制御部２３２および通信制御部２３３等）において実行される処理に対応する。
【００９４】
なお、上記した通信制御プログラム５２１については、必ずしも最初からＨＤＤ５２０に記憶させておく必要はなく、例えば、コンピュータ５００に挿入されるフレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＤＶＤディスク、光磁気ディスク、ＩＣカードなどの「可搬用の物理媒体」、さらには、公衆回線、インターネット、ＬＡＮ、ＷＡＮなどを介してコンピュータ５００に接続される「他のコンピュータ（またはサーバ）」などに各プログラムを記憶させておき、コンピュータ５００がこれらから各プログラムを読み出して実行するようにしてもよい。
【００９５】
（３）通信制御方法
上記の実施例で説明したＲＡＳゲートウェイ２００により、以下のような通信制御方法が実現される。
【００９６】
すなわち、リモートアクセス要求の送信元であるクライアント装置と、仮想ネットワークインタフェースを介して接続可能な内部ネットワークとの間の通信を制御する通信制御方法であって、リモートアクセス要求に応じてクライアント装置を認証する認証装置から、クライアント装置と当該クライアント装置が所属すべき内部ネットワークとの接続を可能とする仮想ネットワークインタフェースを特定するための特定情報を取得する特定情報取得ステップと（例えば、図６のステップＳ７参照）、特定情報取得ステップにより取得された特定情報により特定される仮想ネットワークインタフェースが、現に設定中である仮想ネットワークインタフェース内に存在しない場合には、特定情報に関連付けて仮想ネットワークインタフェースを新たに設定するインタフェース設定ステップと（例えば、図６のステップＳ８参照）、インタフェース設定ステップにより設定された仮想ネットワークインタフェースを介して接続可能な内部ネットワークと、クライアント装置との間の通信を制御する通信制御ステップと（例えば、図６のステップＳ９〜Ｓ１２参照）、を含んだ通信制御方法が実現される。
【産業上の利用可能性】
【００９７】
以上のように、本発明にかかる通信制御装置、通信制御方法および通信制御プログラムは、リモートアクセス要求の送信元であるクライアント端末と、ＶＬＡＮインタフェースを介して接続可能な内部ネットワークとの間の通信を制御する場合に有用である。そして、特に、本発明にかかる通信制御装置、通信制御方法および通信制御プログラムは、ネットワークの接続管理に関する管理者の負担を軽減するとともに、リソースの浪費および不正アクセスを防止することに適している。
【符号の説明】
【００９８】
１００  クライアント装置
２００  ＲＡＳゲートウェイ
２１０  通信制御Ｉ／Ｆ部
２２０  記憶部
２２１  ＶＬＡＮ管理情報記憶部
２３０  制御部
２３１  接続制御部
２３２  ＶＬＡＮ制御部
２３３  通信制御部
３００  認証サーバ
３１０  クライアント認証情報記憶部
３２０  通信制御Ｉ／Ｆ部
３３０  認証処理部
４００  ＶＬＡＮスイッチ
４１０  通信制御部
４２０  スイッチング情報記憶部
５００  コンピュータ
５１０  通信制御部
５２０  ＨＤＤ（Hard Disk Drive）
５２１  通信制御プログラム
５２２  通信制御用データ
５３０  ＲＡＭ（Random Access Memory）
５３１  通信制御プロセス
５４０  ＣＰＵ（Central Processing Unit）
【図１】
2011019125.tif 000003
【図２】
2011019125.tif 000004
【図３】
2011019125.tif 000005
【図４】
2011019125.tif 000006
【図５】
2011019125.tif 000007
【図６】
2011019125.tif 000008
【図７】
2011019125.tif 000009
【図８】
2011019125.tif 000010
【図９】
2011019125.tif 000011
【図１０】
2011019125.tif 000012
【図１１】
2011019125.tif 000013