(57)【要約】      （修正有）【課題】パーソナルファイアウォールシステムにおいて、ＶＰＮのネットワークインターフェースの固有識別情報を登録することなく、ＶＰＮサーバへの通信のみを許可しつつ、ＶＰＮ内への通信を許可可能とする。【解決手段】ＶＰＮ通信端末１００内のパーソナルファイアウォール１０３は、ＯＳ（Operating  System）１０４への仮想ネットワークＩ／Ｆ１０６の生成を監視し、アプリケーション１０１から物理ネットワークＩ／Ｆ１０４への通信はＶＰＮサーバ１０９への通信のみを許可し、アプリケーション１０１から仮想ネットワークＩ／Ｆ１０６への全ての通信を許可し、仮想ネットワークＩ／Ｆ１０６から物理ネットワークＩ／Ｆ１０５への通信はＶＰＮサーバ１０９への通信のみを許可する。【選択図】図４
2015185140.tif 000002
【特許請求の範囲】
【請求項１】
ＯＳ（Operating System）上でパーソナルファイアウォールシステムを実行するＶＰＮ通信端末において、
前記パーソナルファイアウォールシステムが、
前記ＯＳへの仮想ネットワークＩ／Ｆの生成を監視する機能と、
アプリケーションから物理ネットワークＩ／Ｆへの通信はＶＰＮサーバへの通信のみを許可する機能と、
前記アプリケーションから前記仮想ネットワークＩ／Ｆへの通信を全て許可する機能と、
前記仮想ネットワークＩ／Ｆから前記物理ネットワークＩ／Ｆへの通信はＶＰＮサーバへの通信のみを許可する機能と
を有することを特徴とするＶＰＮ通信端末。
【請求項２】
請求項１に記載のＶＰＮ通信端末において、
前記ＶＰＮサーバとの間にＶＰＮセッションを確立するＶＰＮクライアントは、その起動時に、前記ＯＳ上に前記仮想ネットワークＩ／Ｆを生成する
ことを特徴とするＶＰＮ通信端末。
【請求項３】
請求項１に記載のＶＰＮ通信端末において、
前記仮想ネットワークＩ／Ｆは、前記アプリケーションから受信した通信をカプセル化して前記物理ネットワークＩ／Ｆに転送する
ことを特徴とするＶＰＮ通信端末。
【請求項４】
ＶＰＮ通信端末におけるＶＰＮ通信を制御する方法において、
ＯＳ（Operating System）上で実行されるパーソナルファイアウォールシステムが、
前記ＯＳへの仮想ネットワークＩ／Ｆの生成を監視する処理と、
アプリケーションから物理ネットワークＩ／Ｆへの通信はＶＰＮサーバへの通信のみを許可する処理と、
前記アプリケーションから前記仮想ネットワークＩ／Ｆへの通信を全て許可する処理と、
前記仮想ネットワークＩ／Ｆから前記物理ネットワークＩ／Ｆへの通信はＶＰＮサーバへの通信のみを許可する処理と
を実行することを特徴とするＶＰＮ通信制御方法。
【請求項５】
ＶＰＮ通信端末に実装されたコンピュータのＯＳ（Operating System）上で実行されるパーソナルファイアウォールシステムに、
前記ＯＳへの仮想ネットワークＩ／Ｆの生成を監視する処理と、
アプリケーションから物理ネットワークＩ／Ｆへの通信はＶＰＮサーバへの通信のみを許可する処理と、
前記アプリケーションから前記仮想ネットワークＩ／Ｆへの通信を全て許可する処理と、
前記仮想ネットワークＩ／Ｆから前記物理ネットワークＩ／Ｆへの通信はＶＰＮサーバへの通信のみを許可する処理と
を実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＶＰＮ（Virtual Private Network）サーバとＶＰＮ通信するＶＰＮ通信端末に搭載する通信技術に関する。
【背景技術】
【０００２】
ＶＰＮ通信技術は、出張先等のネットワークからＶＰＮサーバ経由で企業内に構築されたネットワークを利用する目的で使用される。出張先等のネットワークはインターネット上のネットワークに接続することが多く、ＶＰＮセッションを確立する前は、インターネット上のネットワークに端末内の機密情報が漏洩するリスクがある。
【０００３】
従来のパーソナルファイアウォールシステム（以下「パーソナルファイアウォール」という）では、アプリケーションプログラム（以下「アプリケーション」という）からＶＰＮサーバへの通信のみを許可することで、インターネット上のネットワークに端末内の機密情報が漏洩するのを防止している。しかし、ＶＰＮ内のネットワークを利用するためには、ＶＰＮサーバへの通信の他に、ＶＰＮ内への通信も識別して許可する必要がある。アプリケーションからＶＰＮ内への通信の識別は、ＶＰＮのネットワークインターフェースへの通信で識別することが可能である。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１３−０３８７１６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかし、ＶＰＮのネットワークインターフェースは、ＶＰＮ製品毎に各社が独自に開発している。このため、各製品共通でＶＰＮのネットワークインターフェースを識別する情報が存在しない。また、ＶＰＮのネットワークインターフェースは、ＶＰＮクライアントがＶＰＮセッションの確立後に動的に生成する。そのため、ＶＰＮのネットワークインターフェースを識別するには、ＶＰＮ製品毎にＶＰＮのネットワークインターフェースの固有識別情報を事前に調査してパーソナルファイアウォールに登録する必要がある。
【０００６】
そこで、本発明は、ＶＰＮのネットワークインターフェースの固有識別情報をパーソナルファイアウォールに登録しなくても、アプリケーションからＶＰＮサーバへの通信のみを許可しつつ、アプリケーションからＶＰＮ内への通信を許可することができる通信機能を提供する。
【課題を解決するための手段】
【０００７】
このために、本発明は、ＶＰＮ通信端末内のパーソナルファイアウォールシステムに、ＯＳ（Operating System）への仮想ネットワークＩ／Ｆの生成を監視する機能と、アプリケーションから物理ネットワークＩ／Ｆへの通信はＶＰＮサーバへの通信のみを許可する機能と、アプリケーションから仮想ネットワークＩ／Ｆへの通信を全て許可する機能と、仮想ネットワークＩ／Ｆから物理ネットワークＩ／Ｆへの通信はＶＰＮサーバへの通信のみを許可する機能とを搭載する。
【発明の効果】
【０００８】
本発明によれば、Ｉ／Ｆの固有識別情報の事前調査及び当該情報のパーソナルファイアウォールへの登録無しに、ＶＰＮ通信端末からＶＰＮ内への通信を可能にできる。なお、仮想ネットワークＩ／Ｆへの通信を許可しても、ＶＰＮ通信端末から外部への通信は、必ず物理ネットワークＩ／Ｆを経由するため、情報漏洩のリスクのおそれはない。
【図面の簡単な説明】
【０００９】
【図１】ＶＰＮ通信システムの全体構成例を示す図。
【図２】パーソナルファイアウォールの初期状態を説明する図。
【図３】ＶＰＮクライアントの起動直後の動作を説明する図。
【図４】アプリケーションからＶＰＮへの通信が発生した場合の動作を説明する図。
【図５】Ｉ／Ｆ監視スレッドの処理手順を説明する図。
【図６】通信監視スレッドの処理手順を説明する図。
【発明を実施するための形態】
【００１０】
以下、図面に基づいて、本発明の実施の形態を説明する。なお、本発明の実施の態様は、後述する実施例に限定されるものではなく、その技術思想の範囲において、種々の変形が可能である。
【００１１】
［システム構成］
図１に、ＶＰＮ通信システムの全体構成例を示す。図１では、図面の簡略化のため、ＶＰＮ通信端末１００を１台のみ表しているが、実際には運用システムの規模に応じた台数のＶＰＮ通信端末１００が必要となる。ＶＰＮ通信端末１００には、例えばスマートフォン、タブレット端末、ノート型のパーソナルコンピュータを想定する。後述するように、ＶＰＮ通信端末１００は、インターネット１０８及びＶＰＮサーバ１０９を経由してＶＰＮ  １１０にアクセスする。
【００１２】
ＶＰＮ通信端末１００は、物理的には、通信機能を有するコンピュータとして構成される。すなわち、ＶＰＮ通信端末１００は、ＣＰＵ、ＲＡＭ、ＲＯＭ、主記憶装置（例えばハードディスク装置、ＲＡＭ等）、表示デバイス、入力デバイス（例えばタッチパネル）、通信デバイスによって構成される。なお、通信デバイスには、例えば有線ＬＡＮ装置、無線ＬＡＮ装置（Wi-Fi（商標）を含む）、３Ｇ（第３世代移動通信システム）無線装置が使用される。
【００１３】
図１は、主に、ＶＰＮ通信端末１００のソフトウェア上の機能構成を表しており、アプリケーション１０１、ＶＰＮクライアント１０２、パーソナルファイアウォール１０３は、オペレーションシステム（ＯＳ）１０４上で動作するソフトウェアの一機能として実現される。このうち、パーソナルファイアウォール１０３は、外部への通信を制御するために導入されたソフトウェアである。パーソナルファイアウォール１０３には、Ｉ／Ｆ監視機能と仮想Ｉ／Ｆ判定機能が実装されている。これらの機能を用いた具体的な通信制御については後述する。
【００１４】
ＶＰＮクライアント１０２は、その起動によってＶＰＮセッションを確立すると、ＶＰＮのＩ／Ｆである仮想的なＩ／Ｆ  １０６をオペレーションシステム（ＯＳ）１０４上に生成する。オペレーションシステム（ＯＳ）１０４は、物理的なＩ／Ｆ  １０５を通じ、物理ネットワークアダプタ１０７と通信する。ここでの物理ネットワークアダプタ１０７が、前述の通信デバイスである。
【００１５】
［ＶＰＮ通信の手順］
図２に、パーソナルファイアウォール１０３の初期状態（端末の起動直後の状態）を示す。初期状態では、オペレーションシステム（ＯＳ）１０４が、物理ネットワークアダプタ１０７から物理的なＩ／Ｆ  １０５を構成する。パーソナルファイアウォール１０３は、アプリケーション１０１から物理的なＩ／Ｆ  １０５への通信を、ＶＰＮサーバ１０９への通信のみ許可し、ＶＰＮサーバ１０９以外のインターネット１０８上のネットワークへの通信を遮断する。
【００１６】
図３に、ＶＰＮクライアント１０２の起動直後に実行される動作内容を示す。ＶＰＮクライアント１０２は、操作画面上に表示されたアイコンのクリック操作等を通じて起動される。起動後、ＶＰＮクライアント１０２は、ＶＰＮ  １１０を利用するためにＶＰＮセッションを確立する。ＶＰＮセッションが確立されると、ＶＰＮクライアント１０２は、ＶＰＮのＩ／Ｆである仮想的なＩ／Ｆ  １０６をオペレーションシステム（ＯＳ）１０４上に生成する。この仮想的なＩ／Ｆ  １０６の生成は、パーソナルファイアウォール１０３によって検出される。Ｉ／Ｆの生成を検出したパーソナルファイアウォール１０３は、オペレーションシステム（ＯＳ）１０４からＩ／Ｆの情報を取得し、Ｉ／Ｆを仮想なＩ／Ｆ  １０６として識別する。この後、パーソナルファイアウォール１０３は、アプリケーション１０１から仮想的なＩ／Ｆ  １０６への通信を全て許可する。
【００１７】
図４に、アプリケーション１０１からＶＰＮ  １１０内への通信が発生した場合の動作を示す。アプリケーション１０１からＶＰＮ  １１０内への通信は、仮想的なＩ／Ｆ  １０６への通信として開始される。このとき、パーソナルファイアウォール１０３は、通信先が仮想的なＩ／Ｆ  １０６であるので通信を許可する。仮想的なＩ／Ｆ  １０６は、物理的なＩ／Ｆ  １０５を宛先とするヘッダを付加し、アプリケーション１０１からの通信をカプセル化する。すなわち、仮想的なＩ／Ｆ  １０６は、受信した通信を物理的なＩ／Ｆ  １０５に転送する。ここで、仮想的なＩ／Ｆ  １０６から物理的なＩ／Ｆ  １０５に転送されるカプセル化された通信もパーソナルファイアウォール１０３の制御対象となる。本実施例におけるパーソナルファイアウォール１０３は、仮想的なＩ／Ｆ  １０６からＶＰＮサーバ１０９への通信を許可する。このため、仮想的なＩ／Ｆ  １０６で転送された通信も、パーソナルファイアウォール１０３を通過して物理的なＩ／Ｆ  １０５に送信され、ＶＰＮサーバ１０９を通じてＶＰＮ  １１０内への通信が実現される。
【００１８】
［パーソナルファイアウォールの機能］
図５及び図６に、パーソナルファイアウォール１０３で実行されるＩ／Ｆ監視スレッドと通信監視スレッドの処理動作を示す。当該処理動作を通じ、ＶＰＮのネットワークインターフェースの固有識別情報を登録することなく、アプリケーション１０１からＶＰＮサーバ１０９への通信のみが許可され、アプリケーション１０１からＶＰＮ  １１０内への通信が可能となる。なお、Ｉ／Ｆ監視スレッドとＩ／Ｆを監視するスレッドは、パーソナルファイアウォール１０３の起動に伴って実行される。
【００１９】
まず、Ｉ／Ｆを監視するＩ／Ｆ監視スレッド（図５）について説明する。当該スレッドは、オペレーションシステム（ＯＳ）１０４のＩ／Ｆを常時監視し、Ｉ／Ｆを検出すると（ステップ５０１）、オペレーションシステム（ＯＳ）１０４からＩ／Ｆの情報を取得する（ステップ５０２）。この後、Ｉ／Ｆ監視スレッドは、新たなＩ／Ｆの生成を監視する（ステップ５０３）。新たなＩ／Ｆの生成が検出されると、ステップ５０１以降の処理が再度実行される。
【００２０】
次に、通信を監視する通信監視スレッド（図６）について説明する。当該スレッドは、通信を検出すると（ステップ６０１）、検出された通信がアプリケーション１０１から仮想的なＩ／Ｆ  １０６への通信か否かを判定する（ステップ６０２）。ここで、通信監視スレッドは、Ｉ／Ｆ監視スレッド（図５）で取得したＩ／Ｆの情報に基づいて、ステップ６０２の判定処理を実行する。Ｉ／Ｆへの通信が仮想的なＩ／Ｆ  １０６への通信である場合、通信監視スレッドは、通信を許可する（ステップ６０３）。
【００２１】
これに対し、Ｉ／Ｆへの通信が物理的なＩ／Ｆ  １０５への通信であった場合、通信監視スレッドは、ＶＰＮサーバへの通信か否かを判定する（ステップ６０４）。ここでの判定にも、Ｉ／Ｆ監視スレッド（図５）で取得したＩ／Ｆの情報が使用される。検出された通信がＶＰＮサーバへの通信であった場合、通信監視スレッドは通信を許可する（ステップ６０３）。ここでの通信には、アプリケーション１０１から物理的なＩ／Ｆ  １０５を経由したＶＰＮサーバ１０９への直接的な通信だけでなく、仮想的なＩ／Ｆ  １０６においてカプセル化された後の通信も含まれる。なお、検出された通信が、ＶＰＮサーバ１０９以外へのネットワークへの通信である場合、通信監視スレッドは、検出された通信を遮断する（ステップ６０５）。
【００２２】
［実施例による効果］
本実施例の場合、前述した機能を有するＶＰＮクライアント１０２とパーソナルファイアウォール１０３をＶＰＮ通信端末１００にインストールするだけで、Ｉ／Ｆの固有識別情報の事前調査及び当該情報のパーソナルファイアウォール１０３への登録無しに、ＶＰＮ通信端末１００からＶＰＮ  １１０内への通信を可能にすることができる。なお、仮想的なＩ／Ｆ  １０６への通信を許可しても、ＶＰＮ通信端末１００から外部への通信は、必ず物理なＩ／Ｆ  １０５を経由するため、情報漏洩のリスクのおそれはない。
【００２３】
［他の実施例］
本発明は、上述した実施例の構成に限定されるものでなく様々な変形例を含んでいる。例えば実施例で説明した機能以外にも他の機能を追加し、又は、一部の機能を他の機能で置換し、又は、一部の機能を削除することもできる。
【符号の説明】
【００２４】
１０１：アプリケーション
１０２：ＶＰＮクライアント
１０３：パーソナルファイアウォール
１０４：ＯＳ（オペレーティングシステム）
１０５：物理的なＩ／Ｆ（物理的なネットワークインターフェース）
１０６：仮想的なＩ／Ｆ（仮想的なネットワークインターフェース）
１０７：物理ネットワークアダプタ
１０８：インターネット
１０９：ＶＰＮサーバ
１１０：ＶＰＮ
【図１】
2015185140.tif 000003
【図２】
2015185140.tif 000004
【図３】
2015185140.tif 000005
【図４】
2015185140.tif 000006
【図５】
2015185140.tif 000007
【図６】
2015185140.tif 000008