(57)【要約】【課題】ＷＡＮレベルのアクセス制御およびＬＡＮレベルのアクセス制御を一元的に提供する。【解決手段】コントローラ１０は、拠点間を接続するＶＰＮの構築要求を受け付けた場合に、該ＶＰＮの構築要求に含まれるＶＰＮの設定に応じて、該ＶＰＮを終端するソフトウェアルータを作成する。続いて、コントローラ１０は、ＣＰＥ２０からのソフトウェアルータのダウンロード要求を受け付けた場合に、ＶＰＮの構築要求を行ったユーザに対応するＶＰＮが構築可能な拠点の情報とアクセス可能な同一拠点内の機器の情報とを記憶部１３から取得し、ＶＰＮが構築可能な拠点の情報とアクセス可能な同一拠点内の機器の情報とに基づいて、ソフトウェアルータのダウンロードの可否を判定する。そして、コントローラ１０は、ソフトウェアルータのダウンロードが可能であると判定した場合には、該ソフトウェアルータをＣＰＥ２０に送信する。【選択図】図１
2019004283.tif 000002
【特許請求の範囲】
【請求項１】
拠点間を接続する広域ネットワークである第一のネットワークと各拠点内のネットワークである第二のネットワークとの境界に設けられた複数のネットワーク機器と、前記ネットワーク機器間を接続するＶＰＮの設定を制御するコントローラとを有する通信システムであって、
前記コントローラは、
ユーザごとに、前記ＶＰＮが構築可能な拠点の情報とアクセス可能な同一拠点内の機器の情報とを記憶する記憶部と、
拠点間を接続するＶＰＮの構築要求を受け付けた場合に、該ＶＰＮの構築要求に含まれるＶＰＮの設定に応じて、該ＶＰＮを終端するソフトウェアルータを作成する作成部と、
前記ネットワーク機器からの前記ソフトウェアルータのダウンロード要求を受け付けた場合に、前記ＶＰＮの構築要求を行ったユーザに対応する前記ＶＰＮが構築可能な拠点の情報と前記アクセス可能な同一拠点内の機器の情報とを前記記憶部から取得し、前記ＶＰＮが構築可能な拠点の情報と前記アクセス可能な同一拠点内の機器の情報とに基づいて、前記ソフトウェアルータのダウンロードの可否を判定する判定部と、
前記判定部によって前記ソフトウェアルータのダウンロードが可能であると判定した場合には、該ソフトウェアルータを前記ネットワーク機器に送信する送信部と、
を備えることを特徴とする通信システム。
【請求項２】
前記作成部は、前記ＶＰＮの設定に含まれる、前記ユーザが構築を要求したＶＰＮ区間を示す２個以上のネットワーク機器のネットワークアドレスと、前記ユーザがアクセスを希望する機器のネットワークアドレスとに基づき、前記ソフトウェアルータを作成することを特徴とする請求項１に記載の通信システム。
【請求項３】
前記判定部は、前記ソフトウェアルータのダウンロード要求を行ったネットワーク機器の拠点が、前記ＶＰＮが構築可能な拠点の情報に含まれており、且つ、前記ソフトウェアルータがアドレス変換を行う対象機器が、前記アクセス可能な同一拠点内の機器の情報に含まれている場合には、前記ソフトウェアルータのダウンロードが可能であると判定することを特徴とする請求項１に記載の通信システム。
【請求項４】
ユーザごとに、拠点間を接続する広域ネットワークである第一のネットワークと各拠点内のネットワークである第二のネットワークとの境界に設けられたネットワーク機器間を接続するＶＰＮが構築可能な拠点の情報と、アクセス可能な同一拠点内の機器の情報とを記憶する記憶部と、
拠点間を接続するＶＰＮの構築要求を受け付けた場合に、該ＶＰＮの構築要求に含まれるＶＰＮの設定に応じて、該ＶＰＮを終端するソフトウェアルータを作成する作成部と、
前記ネットワーク機器からの前記ソフトウェアルータのダウンロード要求を受け付けた場合に、前記ＶＰＮの構築要求を行ったユーザに対応する前記ＶＰＮが構築可能な拠点の情報と前記アクセス可能な同一拠点内の機器の情報とを前記記憶部から取得し、前記ＶＰＮが構築可能な拠点の情報と前記アクセス可能な同一拠点内の機器の情報とに基づいて、前記ソフトウェアルータのダウンロードの可否を判定する判定部と、
前記判定部によって前記ソフトウェアルータのダウンロードが可能であると判定した場合には、該ソフトウェアルータを前記ネットワーク機器に送信する送信部と、
を備えることを特徴とするコントローラ。
【請求項５】
コントローラによって実行されるＶＰＮ構築方法であって、
前記コントローラは、
ユーザごとに、拠点間を接続する広域ネットワークである第一のネットワークと各拠点内のネットワークである第二のネットワークとの境界に設けられたネットワーク機器間を接続するＶＰＮが構築可能な拠点の情報と、アクセス可能な同一拠点内の機器の情報とを記憶する記憶部と、を備え、
拠点間を接続するＶＰＮの構築要求を受け付けた場合に、該ＶＰＮの構築要求に含まれるＶＰＮの設定に応じて、該ＶＰＮを終端するソフトウェアルータを作成する作成工程と、
前記ネットワーク機器からの前記ソフトウェアルータのダウンロード要求を受け付けた場合に、前記ＶＰＮの構築要求を行ったユーザに対応する前記ＶＰＮが構築可能な拠点の情報と前記アクセス可能な同一拠点内の機器の情報とを前記記憶部から取得し、前記ＶＰＮが構築可能な拠点の情報と前記アクセス可能な同一拠点内の機器の情報とに基づいて、前記ソフトウェアルータのダウンロードの可否を判定する判定工程と、
前記判定工程によって前記ソフトウェアルータのダウンロードが可能であると判定した場合には、該ソフトウェアルータを前記ネットワーク機器に送信する送信工程と、
を含んだことを特徴とするＶＰＮ構築方法。
【請求項６】
コンピュータを請求項４に記載のコントローラとして機能させるためのＶＰＮ構築プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信システム、コントローラ、ＶＰＮ構築方法およびＶＰＮ構築プログラムに関する。
【背景技術】
【０００２】
従来、サービス提供者が、エンドユーザに、ＶＰＮ（Virtual  Private  Network）の設計、構築、運用監視をワンストップで提供するマネージドＶＰＮサービスが知られている。このようなマネージドＶＰＮサービスでは、ＶＰＮのゼロタッチデプロイメントが可能である。ここでゼロタッチデプロイメントとは、サービス提供者が運営するコントローラ上で、エンドユーザがＶＰＮの区間（複数の拠点間）を設定すると、エンドユーザの拠点側で何も設定することなく、ＶＰＮが構築されることである。
【０００３】
ところが、サービス提供者が、ＶＰＮのゼロタッチデプロイメントが可能であるが、ＷＡＮ（Wide  Area  Network）レベルのアクセス制御やＬＡＮ（Local  Area  Network）レベルのアクセス制御までは一元的に提供されない。このため、エンドユーザ自身が認証やファイアウォールなどの仕組みを用意することで、エンドユーザがＷＡＮレベル、ＬＡＮレベルのアクセス制御を実現している。
【０００４】
ここで、ＷＡＮレベルのアクセス制御とは、複数の拠点がＷＡＮに接続されている場合において、エンドユーザの識別子に応じて、ＶＰＮを構築できる拠点が異なるように制御することである。例えば、エンドユーザＡが自拠点から拠点Ｘ、拠点ＹにＶＰＮを構築できるが、エンドユーザＢは自拠点から拠点ＹにしかＶＰＮを構築できないような状況を作り出せるように制御することである。
【０００５】
また、ＬＡＮレベルのアクセス制御とは、複数の機器がＬＡＮに接続されている場合において、エンドユーザの識別子に応じて、アクセスできるＬＡＮ内機器が異なるように制御することである。例えば、エンドユーザＡは自拠点から機器Ｐ、機器Ｑにアクセスできるが、エンドユーザＢは自拠点から機器Ｑにしかアクセスできないような状況を作り出せるように制御することである。
【先行技術文献】
【非特許文献】
【０００６】
【非特許文献１】“Ｃｉｓｃｏ  Ｖｉｒｔｕａｌ  Ｍａｎａｇｅｄ  Ｓｅｒｖｉｃｅｓ”、［online］、ＣＩＳＣＯ、［平成29年5月1日検索］、インターネット＜http://www.cisco.com/c/dam/global/da_dk/assets/pdfs/vMS.pdf＞
【非特許文献２】“Ｖｉｐｔｅｌａ  ＳＤ−ＷＡＮソリューション”、［online］、ｍａｃｎｉｃａ  ｎｅｔｗｏｒｋｓ、［平成29年5月1日検索］、インターネット＜https://www.macnica.net/viptela/＞
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、従来の技術では、サービス提供者が、ＷＡＮレベルのアクセス制御およびＬＡＮレベルのアクセス制御を一元的に提供することができないという課題があった。つまり、従来の技術では、ＷＡＮレベルのアクセス制御およびＬＡＮレベルのアクセス制御を行う場合には、エンドユーザ自身が認証やファイアウォールなどの仕組みを用意する必要があった。
【課題を解決するための手段】
【０００８】
上述した課題を解決し、目的を達成するために、本発明の通信システムは、拠点間を接続する広域ネットワークである第一のネットワークと各拠点内のネットワークである第二のネットワークとの境界に設けられた複数のネットワーク機器と、前記ネットワーク機器間を接続するＶＰＮの設定を制御するコントローラとを有する通信システムであって、前記コントローラは、ユーザごとに、前記ＶＰＮが構築可能な拠点の情報とアクセス可能な同一拠点内の機器の情報とを記憶する記憶部と、拠点間を接続するＶＰＮの構築要求を受け付けた場合に、該ＶＰＮの構築要求に含まれるＶＰＮの設定に応じて、該ＶＰＮを終端するソフトウェアルータを作成する作成部と、前記ネットワーク機器からの前記ソフトウェアルータのダウンロード要求を受け付けた場合に、前記ＶＰＮの構築要求を行ったユーザに対応する前記ＶＰＮが構築可能な拠点の情報と前記アクセス可能な同一拠点内の機器の情報とを前記記憶部から取得し、前記ＶＰＮが構築可能な拠点の情報と前記アクセス可能な同一拠点内の機器の情報とに基づいて、前記ソフトウェアルータのダウンロードの可否を判定する判定部と、前記判定部によって前記ソフトウェアルータのダウンロードが可能であると判定した場合には、該ソフトウェアルータを前記ネットワーク機器に送信する送信部と、を備えることを特徴とする。
【０００９】
また、本発明のコントローラは、ユーザごとに、拠点間を接続する広域ネットワークである第一のネットワークと各拠点内のネットワークである第二のネットワークとの境界に設けられたネットワーク機器間を接続するＶＰＮが構築可能な拠点の情報と、アクセス可能な同一拠点内の機器の情報とを記憶する記憶部と、拠点間を接続するＶＰＮの構築要求を受け付けた場合に、該ＶＰＮの構築要求に含まれるＶＰＮの設定に応じて、該ＶＰＮを終端するソフトウェアルータを作成する作成部と、前記ネットワーク機器からの前記ソフトウェアルータのダウンロード要求を受け付けた場合に、前記ＶＰＮの構築要求を行ったユーザに対応する前記ＶＰＮが構築可能な拠点の情報と前記アクセス可能な同一拠点内の機器の情報とを前記記憶部から取得し、前記ＶＰＮが構築可能な拠点の情報と前記アクセス可能な同一拠点内の機器の情報とに基づいて、前記ソフトウェアルータのダウンロードの可否を判定する判定部と、前記判定部によって前記ソフトウェアルータのダウンロードが可能であると判定した場合には、該ソフトウェアルータを前記ネットワーク機器に送信する送信部と、を備えることを特徴とする。
【００１０】
また、本発明のＶＰＮ構築方法は、コントローラによって実行されるＶＰＮ構築方法であって、前記コントローラは、ユーザごとに、拠点間を接続する広域ネットワークである第一のネットワークと各拠点内のネットワークである第二のネットワークとの境界に設けられたネットワーク機器間を接続するＶＰＮが構築可能な拠点の情報と、アクセス可能な同一拠点内の機器の情報とを記憶する記憶部と、を備え、拠点間を接続するＶＰＮの構築要求を受け付けた場合に、該ＶＰＮの構築要求に含まれるＶＰＮの設定に応じて、該ＶＰＮを終端するソフトウェアルータを作成する作成工程と、前記ネットワーク機器からの前記ソフトウェアルータのダウンロード要求を受け付けた場合に、前記ＶＰＮの構築要求を行ったユーザに対応する前記ＶＰＮが構築可能な拠点の情報と前記アクセス可能な同一拠点内の機器の情報とを前記記憶部から取得し、前記ＶＰＮが構築可能な拠点の情報と前記アクセス可能な同一拠点内の機器の情報とに基づいて、前記ソフトウェアルータのダウンロードの可否を判定する判定工程と、前記判定工程によって前記ソフトウェアルータのダウンロードが可能であると判定した場合には、該ソフトウェアルータを前記ネットワーク機器に送信する送信工程と、を含んだことを特徴とする。
【発明の効果】
【００１１】
本発明によればサービス提供者が、ＷＡＮレベルのアクセス制御およびＬＡＮレベルのアクセス制御を一元的に提供することができるという効果を奏する。
【図面の簡単な説明】
【００１２】
【図１】図１は、第一の実施の形態に係る通信システムの構成の一例を示す図である。
【図２】図２は、第一の実施の形態に係るコントローラの構成を示すブロック図である。
【図３】図３は、認証情報記憶部に記憶される情報の一例を示す図である。
【図４】図４は、認可情報記憶部に記憶される情報の一例を示す図である。
【図５】図５は、第一の実施の形態に係る通信システムによる処理を説明するシーケンス図である。
【図６】図６は、ＶＰＮ構築プログラムを実行するコンピュータを示す図である。
【発明を実施するための形態】
【００１３】
以下に、本願に係る通信システム、コントローラ、ＶＰＮ構築方法およびＶＰＮ構築プログラムの実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態により本願に係る通信システム、コントローラ、ＶＰＮ構築方法およびＶＰＮ構築プログラムが限定されるものではない。
【００１４】
［第一の実施の形態］
以下の実施の形態では、第一の実施の形態に係る通信システムの構成、コントローラの構成、通信システムにおける全体の処理の流れを順に説明し、最後に第一の実施の形態による効果を説明する。
【００１５】
［通信システムの構成］
まず、図１を用いて、第一の実施の形態に係る通信システムについて説明する。図１は、第一の実施の形態に係る通信システムの構成の一例を示す図である。第一の実施の形態に係る通信システム１は、コントローラ１０、複数のＣＰＥ２０Ａ、２０Ｂおよび複数の機器３０Ａ〜３０Ｄを有する。なお、各ＣＰＥ２０Ａ、２０Ｂおよび各機器３０Ａ〜３０Ｄは、それぞれ同様の構成を有しており、特に区別なく説明する場合には、ＣＰＥ２０、機器３０と記載する。また、図１に示す各装置の数は、あくまで一例であり、これに限られるものではない。
【００１６】
コントローラ１０は、拠点間を接続する広域ネットワークであるＷＡＮに接続され、管理マスターソフトウェア１１０、イメージレジストリ１２０、認証・認可ソフトウェア１３０から構成される。コントローラ１０は、ＣＰＥ２０間を接続するＶＰＮの設定を制御する。つまり、コントローラ１０は、ＶＰＮの設定・変更・削除に関してＷＡＮ経由で集中制御するための装置である。
【００１７】
管理マスターソフトウェア１１０は、ＶＰＮの設定を管理する機能と、ＶＰＮ設定を含むソフトウェアルータのイメージレジストリ１２０にアップロードする機能と、設定されたＶＰＮ区間に対応する管理エージェントソフトウェア２１０に対してソフトウェアルータ２２０の起動を要求する機能を有する。尚、ＶＰＮの設定とは、設定を投入したエンドユーザ識別子と、ＶＰＮ区間を示す２個以上のネットワーク識別子と、ＬＡＮ内においてエンドユーザがアクセス可能な機器３０のネットワーク識別子を含む。
【００１８】
イメージレジストリ１２０は、管理マスターソフトウェア１１０の要求に基づいてアップロードされたソフトウェアルータを保持する機能と、管理エージェントソフトウェア２１０の要求に基づいてソフトウェアルータ２２０を管理エージェントが動作するＣＰＥ２０に配信する機能と、認証・認可ソフトウェア１３０から提供された認可情報に基づいてソフトウェアルータ２２０の配信可否を判断する機能を有する。尚、ソフトウェアルータ２２０はＶＰＮの設定を含むため、エンドユーザごと、拠点ごとに異なる。
【００１９】
認証・認可ソフトウェア１３０は、管理マスターソフトウェア１１０の認証要求に基づいてエンドユーザを認証する機能と、認証されたエンドユーザに関する認可情報を管理マスターソフトウェア１１０に提供する機能を有する。
【００２０】
ＣＰＥ２０Ａ、２０Ｂは、ＷＡＮとＬＡＮに接続され、管理エージェントソフトウェア２１０と、ソフトウェアルータ２２０から構成される。ＣＰＥ２０Ａ、２０Ｂは、拠点間を接続する広域ネットワークであるＷＡＮと各拠点内のネットワークであるＬＡＮとの境界に設けられている。なお、図１の例では、ＣＰＥ２０Ａおよび機器３０Ａ、３０Ｂが、拠点Ａに属し、ＣＰＥ２０Ｂおよび機器３０Ｃ、３０Ｄが、拠点Ｂに属すものとする。
【００２１】
管理エージェントソフトウェア２１０は、管理マスターソフトウェア１１０からの要求に基づいてソフトウェアルータ２２０を起動・停止する機能と、イメージレジストリ１２０からソフトウェアルータ２２０をダウンロードする機能と、ダウンロードしたソフトウェアルータ２２０を起動する機能を有する。
【００２２】
ソフトウェアルータ２２０は、ＶＰＮを終端する機能であるＶＰＮ終端機能２２１と、ネットワークアドレスを変換する機能であるネットワークアドレス変換機能２２２を有する。ネットワークアドレス変換機能２２２とは、受信パケットのグローバルな宛先アドレスをＬＡＮ内のプライベートアドレスに変換する機能（Destination  NAT）と、送信パケットのプライベートな送信元アドレスをＷＡＮ側のグローバルアドレスに変換する機能（Source  NAT）から成る。これにより、グローバルな宛先アドレスに対応するＬＡＮ内のプライベートアドレスが登録されていない場合、ＷＡＮ側からＬＡＮ内の機器にアクセスすることはできない。
【００２３】
［コントローラの構成］
次に、図２を用いて、図１に示したコントローラ１０の構成を説明する。図２は、第一の実施の形態に係るコントローラ１０の構成を示すブロック図である。図２に示すように、このコントローラ１０は、通信処理部１１、制御部１２および記憶部１３を有する。以下にこれらの各部の処理を説明する。
【００２４】
通信処理部１１は、ＣＰＥ２０や機器３０等との間でやり取りする各種情報に関する通信を制御する。例えば、通信処理部１１は、エンドユーザの機器３０からのログイン要求やＶＰＮ設定を受信する。また、通信処理部１１は、ＣＰＥ２０からのソフトウェアルータダウンロード要求を受信する。
【００２５】
また、記憶部１３は、制御部１２による各種処理に必要なデータおよびプログラムを格納するが、特に本発明に密接に関連するものとしては、認証情報記憶部１３ａおよび認可情報記憶部１３ｂを有する。例えば、記憶部１３は、ＲＡＭ（Random  Access  Memory）、フラッシュメモリ（Flash  Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。
【００２６】
認証情報記憶部１３ａは、エンドユーザの認証を行うための情報を記憶する。例えば、認証情報記憶部１３ａは、図３に例示するように、各エンドユーザを一意に識別する「ユーザＩＤ」と、コントローラ１０の管理マスターソフトウェア１１０にログインするための「パスワード」とを対応付けて記憶する。図３は、認証情報記憶部に記憶される情報の一例を示す図である。
【００２７】
図３の例を挙げて具体的に説明すると、例えば、認証情報記憶部１３ａは、ユーザＩＤとして「ユーザＡ」と、パスワードとして「ＡＢＣ」とを対応付けて記憶する。なお、エンドユーザの認証を行うための情報は、ユーザＩＤとパスワードの組み合わせに限定されるものではなく、例えば、ユーザ証明書等でもよい。
【００２８】
認可情報記憶部１３ｂは、エンドユーザごとに、ＶＰＮが構築可能な拠点の情報とアクセス可能な同一拠点内の機器の情報とを記憶する。例えば、認可情報記憶部１３ｂは、図４に例示するように、各エンドユーザを一意に識別する「ユーザＩＤ」と、各エンドユーザがＶＰＮを構築することが可能な拠点を示す「ＶＰＮを構築できる拠点」と、各エンドユーザが同一拠点内においてアクセスすることが可能である機器を示す「同一拠点内のアクセス可能な機器」とを対応付けて記憶する。図４は、認可情報記憶部に記憶される情報の一例を示す図である。
【００２９】
図４の例を挙げて具体的に説明すると、例えば、認可情報記憶部１３ｂは、ユーザＩＤとして「ユーザＡ」と、ＶＰＮを構築できる拠点として「拠点Ａ」および「拠点Ｂ」と、同一拠点内のアクセス可能な機器として「機器Ｘ」および「機器Ｙ」とを対応付けて記憶する。これは、ユーザＡが、拠点Ａ、拠点ＢにＶＰＮを構築でき、ＬＡＮ内の機器Ｘ、機器Ｙにアクセス可能なことを意味する。
【００３０】
なお、認証情報記憶部１３ａおよび認可情報記憶部１３ｂに記憶されている情報は、サービス提供者の操作等によって、更新、追加および削除が可能である。例えば、認可情報記憶部１３ｂに記憶されている、ＶＰＮが構築可能な拠点の情報を変更することで、エンドユーザがＶＰＮを構築可能な拠点を新たに許可したり、制限したりするように制御することが可能である。
【００３１】
また、例えば、認可情報記憶部１３ｂに記憶されている、ＶＰＮが構築可能な拠点の情報を変更することで、アクセス可能な同一拠点内の機器の情報を変更することで、エンドユーザがアクセス可能な同一拠点内の機器を新たに許可したり、制限したりするように制御することが可能である。なお、以下では、ＶＰＮが構築可能な拠点の情報とアクセス可能な同一拠点内の機器の情報とをあわせて認可情報と記載する。
【００３２】
制御部１２は、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有し、これらによって種々の処理を実行するが、特に本発明に密接に関連するものとしては、作成部１２ａ、判定部１２ｂおよび送信部１２ｃを有する。
【００３３】
作成部１２ａは、拠点間を接続するＶＰＮの構築要求を受け付けた場合に、該ＶＰＮの構築要求に含まれるＶＰＮの設定に応じて、該ＶＰＮを終端するソフトウェアルータ２２０を作成する。
【００３４】
具体的には、作成部１２ａは、ＶＰＮの設定に含まれるＶＰＮ区間を示す２個以上のＣＰＥ２０のネットワークアドレス（例えば、ＩＰアドレス等）と、ＶＰＮの構築要求を行ったユーザがアクセスを希望する機器３０のネットワークアドレス（例えば、ＩＰアドレス等）とに基づき、エンドユーザごと、拠点ごとに、ソフトウェアルータを作成する。
【００３５】
例えば、作成部１２ａは、ユーザＩＤが「ユーザＡ」のエンドユーザが、拠点ＡのＣＰＥ２０Ａと拠点ＢのＣＰＥ２０Ｂ間でＶＰＮを構築することを要求した場合には、ユーザＡ用のソフトウェアルータとして、拠点Ａのソフトウェアルータと拠点Ｂのソフトウェアルータとを作成する。
【００３６】
ここで、ＶＰＮ設定には、例えば、ユーザ識別子、認可情報、ＶＰＮ区間を示す２個以上のネットワークアドレス（例えば、ＩＰアドレス等）、ＬＡＮ内においてエンドユーザがアクセスを希望する機器のネットワークアドレス（例えば、ＩＰアドレス等）が含まれているものとする。
【００３７】
判定部１２ｂは、ＣＰＥ２０からのソフトウェアルータ２２０のダウンロード要求を受け付けた場合に、ＶＰＮの構築要求を行ったユーザに対応するＶＰＮが構築可能な拠点の情報とアクセス可能な同一拠点内の機器３０の情報とを認可情報記憶部１３ｂから取得し、ＶＰＮが構築可能な拠点の情報とアクセス可能な同一拠点内の機器３０の情報とに基づいて、ソフトウェアルータ２２０のダウンロードの可否を判定する。
【００３８】
具体的には、判定部１２ｂは、ソフトウェアルータ２２０のダウンロード要求を行ったＣＰＥ２０の拠点が、ＶＰＮが構築可能な拠点の情報に含まれており、且つ、ソフトウェアルータ２２０がアドレス変換を行う対象機器が、アクセス可能な同一拠点内の機器の情報に含まれている場合には、ソフトウェアルータ２２０のダウンロードが可能であると判定する。
【００３９】
ここで、具体例を用いて説明する。例えば、判定部１２ｂは、拠点ＡのＣＰＥ２０Ａから、ユーザＡについてのソフトウェアルータ２２０のダウンロード要求を受け付けた場合に、ユーザＡに対応するＶＰＮが構築可能な拠点の情報に拠点Ａが含まれているか判定する。この結果、判定部１２ｂは、ユーザＡに対応するＶＰＮが構築可能な拠点の情報に拠点Ａが含まれていない場合には、ダウンロードを許可しない。
【００４０】
一方、判定部１２ｂは、ユーザＡに対応するＶＰＮが構築可能な拠点の情報に拠点Ａが含まれている場合には、さらに、ソフトウェアルータ２２０がアドレス変換を行う対象機器Ｘが、アクセス可能な同一拠点内の機器の情報に含まれているか判定する。この結果、判定部１２ｂは、ソフトウェアルータ２２０がアドレス変換を行う対象機器Ｘが、アクセス可能な同一拠点内の機器の情報に含まれている場合には、ソフトウェアルータ２２０のダウンロードが可能であると判定する。また、ソフトウェアルータ２２０がアドレス変換を行う対象機器Ｘが、アクセス可能な同一拠点内の機器の情報に含まれていない場合には、ダウンロードを許可しない。
【００４１】
送信部１２ｃは、判定部１２ｂによってソフトウェアルータ２２０のダウンロード要求が可能であると判定した場合には、該ソフトウェアルータ２２０をＣＰＥ２０に送信する。
【００４２】
このように、コントローラ１０は、ＶＰＮが構築可能な拠点の情報とアクセス可能な同一拠点内の機器の情報とを記憶する認可情報を管理し、認可情報に基づいて、ＣＰＥ２０によるソフトウェアルータのダウンロードの可否を判定することで、ＷＡＮレベルのアクセス制御と、ＬＡＮレベルのアクセス制御を一元的に実現することが可能である。
【００４３】
［通信システムの処理の流れ］
次に、図５を用いて、第一の実施の形態に係る通信システム１の処理の流れを説明する。図５は、第一の実施の形態に係る通信システムによる処理を説明するシーケンス図である。
【００４４】
図５に示すように、エンドユーザの機器３０は、管理マスターソフトウェア１１０にアクセスし、ログイン要求を送信する（ステップＳ１０１）。そして、管理マスターソフトウェア１１０は、認証・認可ソフトウェア１３０にエンドユーザ識別子（例えば、ユーザＩＤとパスワードの組み合わせ）と合わせて認証要求を送信する（ステップＳ１０２）。
【００４５】
そして、認証・認可ソフトウェア１３０は、管理マスターソフトウェア１１０に、エンドユーザの認証結果と、認可情報を送信する（ステップＳ１０３）。なお、認可情報には改竄検知の機構として、認証・認可ソフトウェアによる電子署名を付与する。
【００４６】
続いて、管理マスターソフトウェア１１０は、ログイン要求の応答として、エンドユーザの機器３０に認証結果と認可情報を送信する（ステップＳ１０４）。エンドユーザの機器３０は、管理マスターソフトウェア１１０に、ＶＰＮ設定（エンドユーザ識別子、認可情報、ＶＰＮ区間を示す２個以上のネットワーク識別子、ＬＡＮ内においてエンドユーザがアクセス可能な機器のネットワーク識別子）を送信し、ＶＰＮ構築を要求する（ステップＳ１０５）。
【００４７】
そして、管理マスターソフトウェア１１０が、ＶＰＮ設定に基づき、エンドユーザごと、拠点ごとのソフトウェアルータを作成する。その後、管理マスターソフトウェア１１０が、イメージレジストリ１２０に、ソフトウェアルータをアップロードする（ステップＳ１０６）。
【００４８】
続いて、管理マスターソフトウェア１１０が、エンドユーザからのＶＰＮ構築要求に基づき、各拠点の管理エージェントソフトウェア２１０に対して、ソフトウェアルータ２２０の起動を要求する（ステップＳ１０７）。この時、ＶＰＮ構築要求を送信したエンドユーザの識別子と認可情報を管理エージェントソフトウェア２１０に送信する。
【００４９】
そして、管理エージェントソフトウェア２１０が、イメージレジストリ１２０に、エンドユーザ識別子と認可情報を送信し、当該拠点・当該エンドユーザのためのソフトウェアルータのダウンロードを要求する（ステップＳ１０８）。
【００５０】
そして、イメージレジストリ１２０が、エンドユーザ識別子と認可情報に基づき、当該ソフトウェアルータのダウンロード可否を判定する。イメージレジストリ１２０は、判定の結果、ダウンロード可と判定した場合には、管理エージェントソフトウェア２１０に対してソフトウェアルータ２２０を送信する（ステップＳ１０９）。なお、イメージレジストリ１２０は、認可情報に対する改竄検知のため、認可情報に付与された認証・認可ソフトウェアによる電子署名を検証する。
【００５１】
続いて、管理エージェントソフトウェア２１０がソフトウェアルータ２２０を起動する（ステップＳ１１０）。そして、対向する拠点でもソフトウェアルータが起動するため、各拠点のソフトウェアルータ間でＶＰＮトンネルを確立する（ステップＳ１１１）。そして、ソフトウェアルータ２２０が、管理エージェントソフトウェア２１０に、ソフトウェアルータ２２０の起動と、ＶＰＮの確立を応答する（ステップＳ１１２）。
【００５２】
管理エージェントソフトウェア２１０が、管理マスターソフトウェア１１０に、ソフトウェアルータ２２０の起動と、ＶＰＮの確立を応答する（ステップＳ１１３）。管理マスターソフトウェア１１０が、エンドユーザの機器３０に、ソフトウェアルータ２２０の起動と、ＶＰＮの確立を応答する（ステップＳ１１４）。
【００５３】
［第一の実施の形態の効果］
このように、第一の実施の形態に係る通信システム１のコントローラ１０は、ユーザごとに、拠点間を接続する広域ネットワークであるＷＡＮと各拠点内のネットワークであるＬＡＮとの境界に設けられたＣＰＥ２０間を接続するＶＰＮが構築可能な拠点の情報と、アクセス可能な同一拠点内の機器の情報とを記憶する。そして、コントローラ１０は、拠点間を接続するＶＰＮの構築要求を受け付けた場合に、該ＶＰＮの構築要求に含まれるＶＰＮの設定に応じて、該ＶＰＮを終端するソフトウェアルータを作成する。続いて、コントローラ１０は、ＣＰＥ２０からのソフトウェアルータのダウンロード要求を受け付けた場合に、ＶＰＮの構築要求を行ったユーザに対応するＶＰＮが構築可能な拠点の情報とアクセス可能な同一拠点内の機器の情報とを記憶部１３から取得し、ＶＰＮが構築可能な拠点の情報とアクセス可能な同一拠点内の機器の情報とに基づいて、ソフトウェアルータのダウンロードの可否を判定する。そして、コントローラ１０は、ソフトウェアルータのダウンロードが可能であると判定した場合には、該ソフトウェアルータをＣＰＥ２０に送信する。このため、コントローラ１０は、ＷＡＮレベルのアクセス制御およびＬＡＮレベルのアクセス制御を一元的に提供することが可能である。
【００５４】
つまり、コントローラ１０は、ＶＰＮが構築可能な拠点の情報とアクセス可能な同一拠点内の機器の情報とを記憶する認可情報を管理し、認可情報に基づいて、ＣＰＥ２０によるソフトウェアルータのダウンロードの可否を判定することで、ＷＡＮレベルのアクセス制御と、ＬＡＮレベルのアクセス制御を一元的に実現することが可能である。
【００５５】
［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【００５６】
また、本実施の形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【００５７】
［プログラム］
図６は、ＶＰＮ構築プログラムを実行するコンピュータを示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ（Central  Processing  Unit）１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。
【００５８】
メモリ１０１０は、ＲＯＭ（Read  Only  Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１０５１、キーボード１０５２に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１０６１に接続される。
【００５９】
ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、コントローラ１０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、装置における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid  State  Drive）により代替されてもよい。
【００６０】
また、上述した実施の形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。
【００６１】
なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク、ＷＡＮを介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【符号の説明】
【００６２】
１  通信システム
１０  コントローラ
１１  通信処理部
１２  制御部
１２ａ  作成部
１２ｂ  判定部
１２ｃ  送信部
１３  記憶部
１３ａ  認証情報記憶部
１３ｂ  認可情報記憶部
２０Ａ、２０Ｂ  ＣＰＥ
３０Ａ〜３０Ｄ  機器
１１０  管理マスターソフトウェア
１２０  イメージレジストリ
１３０  認証・認可ソフトウェア
２１０  管理エージェントソフトウェア
２２０  ソフトウェアルータ
２２１  ＶＰＮ終端機能
２２２  ネットワークアドレス変換機能
【図１】
2019004283.tif 000003
【図２】
2019004283.tif 000004
【図３】
2019004283.tif 000005
【図４】
2019004283.tif 000006
【図５】
2019004283.tif 000007
【図６】
2019004283.tif 000008