(57)【要約】【課題】インターネットを介して提供される各サービスに対応する各グループへの端末の所属を容易なものとし、通信の安全性も確保する。【解決手段】複数のサービス提供用のサーバーによって通信ネットワーク内で提供される複数のサービス毎に構築される各グループと、各グループに属する端末との情報を規定した端末登録情報を保持する情報保持部と、端末間の通信および端末とサービス提供用のサーバーとの間の通信を中継する通信制御部とを備え、通信制御部は、端末登録情報を参照して、属するグループが共通する端末間の通信および、端末と当該端末が属するグループが対応するサービス提供用のサーバーとの通信を許可し、属するグループが異なる端末間の通信および、端末と当該端末が属さないグループが対応するサービス提供用のサーバーとの通信を禁止する、通信制御サーバー。【選択図】図１
2015095698.tif 000002
【特許請求の範囲】
【請求項１】
インターネットを含む通信ネットワークを用いた通信を制御する通信制御サーバーであって、
複数のサービス提供用のサーバーによって前記通信ネットワーク内で提供される複数のサービス毎に構築される各グループと、各グループに属する端末との情報を規定した端末登録情報を保持する情報保持部と、
前記端末間の通信および前記端末と前記サービス提供用のサーバーとの間の通信を中継する通信制御部と、を備え、
前記通信制御部は、前記端末登録情報を参照して、属する前記グループが共通する前記端末間の通信および、前記端末と当該端末が属する前記グループが対応する前記サービス提供用のサーバーとの通信を許可し、属する前記グループが異なる前記端末間の通信および、前記端末と当該端末が属さない前記グループが対応する前記サービス提供用のサーバーとの通信を禁止する、ことを特徴とする通信制御サーバー。
【請求項２】
前記情報保持部は、前記サービス提供用のサーバーが対応する前記グループに属する前記端末へ当該サービス提供用のサーバーが割り当てた識別情報を、前記グループと対応付けて、前記端末登録情報として保持することを特徴とする請求項１に記載の通信制御サーバー。
【請求項３】
前記端末登録情報が規定する前記グループと前記端末との対応関係を変更する変更処理部を備え、
前記通信制御部は、前記変更後の端末登録情報を参照して、前記端末間の通信および前記端末と前記サービス提供用のサーバーとの間の通信を中継することを特徴とする請求項１または請求項２に記載の通信制御サーバー。
【請求項４】
インターネットを含む通信ネットワーク内でそれぞれ特定のサービスを提供する複数のサービス提供用のサーバーと、
前記通信ネットワークを用いた通信を制御する通信制御サーバーと、を含み、
前記サービス提供用のサーバーは、提供するサービス毎に構築されるグループに属する端末へ、当該端末を識別するための識別情報を割り当てる識別情報割当部を備え、
前記通信制御サーバーは、前記複数のサービス提供用のサーバーがそれぞれ対応する各グループと、各グループに属する前記端末の前記識別情報とを規定した端末登録情報を保持する情報保持部と、
前記端末間の通信および前記端末と前記サービス提供用のサーバーとの間の通信を中継する通信制御部と、を備え、
前記通信制御部は、前記端末登録情報を参照して、属する前記グループが共通する前記端末間の通信および、前記端末と当該端末が属する前記グループが対応する前記サービス提供用のサーバーとの通信を許可し、属する前記グループが異なる前記端末間の通信および、前記端末と当該端末が属さない前記グループが対応する前記サービス提供用のサーバーとの通信を禁止する、ことを特徴とするサービス提供システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信制御サーバーおよびサービス提供システムに関する。
【背景技術】
【０００２】
ある業務やサービスを実現するために複数の端末を通信可能に接続することにより、これら複数の端末間で一つのＬＡＮ（ローカルエリアネットワーク）が構築される。
また、入力されたＬ３パケットのＬ３アドレスに応じて、送信先のＶＬＡＮ（バーチャルＬＡＮ）を決定するネットワーク中継装置（Ｌ３スイッチ）が知られている（特許文献１参照）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００６‐１２８８０３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
あるＬＡＮに属する端末のユーザーは、同時に別のＬＡＮにも属したいと考えることがある。このような場合、従来、図６のような構成が必要とされていた。図６においては、Ｌ３スイッチ１が備える複数のポート１ａ，１ｂ，１ｃ…にスイッチングハブ（ＳＷＨＵＢ）２，３，４…が接続されている。ＳＷＨＵＢ２，３，４…のそれぞれには、端末２ａ，２ｂ…、端末３ａ…、端末４ａ…が接続されており、ＳＷＨＵＢ２，３，４…単位で、各ＬＡＮに相等する各グループ５，６，７…が構築されている。このような構成では、Ｌ３スイッチ１は、外部から入力されたＬ３パケットを、ＳＷＨＵＢ２，３，４…が各々対応するグループ５，６，７…毎のアドレスに応じて振り分ける。そのため、例えば、グループ５，６の両方に属したい端末２ｂのユーザーは、端末２ｂにおいてグループ５，６それぞれのアドレスに対応した２枚のネットワークカード（ＬＡＮカード）２ｃ１，２ｃ２を使用し、２枚のネットワークカード２ｃ１，２ｃ２および２本のケーブル２ｃ３，２ｃ４を介して、端末２ｂをグループ５（ＳＷＨＵＢ２）とグループ６（ＳＷＨＵＢ３）に接続させる必要があった。
【０００５】
また、このような従来の構成は物理的な制限が非常に強い。つまり、複数のグループ５，６が例えば同じ建物内に存在していれば、ケーブルを引き回して端末２ｂをこれら複数のグループ５，６それぞれに属させることも可能である。しかし、これら複数のグループ５，６が互いに遠隔地に存在する場合、図６のように端末２ｂを複数のグループ５，６に接続させることはできない。
【０００６】
本発明は上述の課題の少なくとも一つを解決するためになされたものであり、上述したようなケーブルやネットワークカードといったハードウェアに関する要求や物理的制限から端末のユーザーを解放し、インターネットを介して提供される各サービスに対応する各グループへの端末の所属を容易なものとし、かつ通信の安全性も確保する通信制御サーバーおよびサービス提供システムを提供する。
【課題を解決するための手段】
【０００７】
本発明の態様の一つは、インターネットを含む通信ネットワークを用いた通信を制御する通信制御サーバーであって、複数のサービス提供用のサーバーによって前記通信ネットワーク内で提供される複数のサービス毎に構築される各グループと、各グループに属する端末との情報を規定した端末登録情報を保持する情報保持部と、前記端末間の通信および前記端末と前記サービス提供用のサーバーとの間の通信を中継する通信制御部と、を備え、前記通信制御部は、前記端末登録情報を参照して、属する前記グループが共通する前記端末間の通信および、前記端末と当該端末が属する前記グループが対応する前記サービス提供用のサーバーとの通信を許可し、属する前記グループが異なる前記端末間の通信および、前記端末と当該端末が属さない前記グループが対応する前記サービス提供用のサーバーとの通信を禁止する。
【０００８】
当該構成によれば、端末は、前記複数のサービス毎に構築されるグループ（一つのグループあるいは複数のグループ）との所属関係が通信制御サーバーによって管理される。従って、端末は、インターネットに接続していれば、上述したようなケーブルやネットワークカードに関する要求や物理的制限から解放されて、属する各グループが対応するサービス提供用のサーバーによる各サービスを受けたり、属する各グループ内の他の端末と通信することができる。このようなグループは、該グループに属する端末と該グループが対応するサービス提供用のサーバーとを含んでインターネット内で仮想的に構築されるグループ毎の個別ネットワークであると言える。また、端末は、属するグループが異なる端末との通信や、自身が属さないグループが対応するサービス提供用のサーバーとの通信は禁止されるため、グループ内で閉じたセキュリティが確保される。
【０００９】
本発明の態様の一つは、前記情報保持部は、前記サービス提供用のサーバーが対応する前記グループに属する前記端末へ当該サービス提供用のサーバーが割り当てた識別情報を、前記グループと対応付けて、前記端末登録情報として保持する。
当該構成によれば、端末は、自身が属するグループに対応するサービス提供用のサーバーによって割り当てられた識別情報を用いて、当該サービス提供用のサーバーとの通信や、属するグループが同じ端末間での通信を行うことができる。
【００１０】
本発明の態様の一つは、通信制御サーバーは、前記端末登録情報が規定する前記グループと前記端末との対応関係を変更する変更処理部を備え、前記通信制御部は、前記変更後の端末登録情報を参照して、前記端末間の通信および前記端末と前記サービス提供用のサーバーとの間の通信を中継する。
当該構成によれば、端末とグループ（一つのグループあるいは複数のグループ）との対応関係を任意に変更することができる。つまり、インターネット上に仮想的に構築されたグループ毎の個別ネットワークの構成を、上述したようなケーブルやネットワークカードに関する要求や物理的制限から離れて自由に設定することができる。
【００１１】
本発明の技術的思想は、上述したような通信制御サーバーのみならず、他の物や、方法、あるいはコンピュータープログラム、さらには当該プログラムを記録したコンピューター読み取り可能な記録媒体、とった各種カテゴリーにて実現されてもよい。
また、通信制御サーバーを一部に含むシステムの発明を把握することができ、この場合の例として、インターネットを含む通信ネットワーク内でそれぞれ特定のサービスを提供する複数のサービス提供用のサーバーと、前記通信ネットワークを用いた通信を制御する通信制御サーバーと、を含み、前記サービス提供用のサーバーは、提供するサービス毎に構築されるグループに属する端末へ、当該端末を識別するための識別情報を割り当てる識別情報割当部を備え、前記通信制御サーバーは、前記複数のサービス提供用のサーバーがそれぞれ対応する各グループと、各グループに属する前記端末の前記識別情報とを規定した端末登録情報を保持する情報保持部と、前記端末間の通信および前記端末と前記サービス提供用のサーバーとの間の通信を中継する通信制御部と、を備え、前記通信制御部は、前記端末登録情報を参照して、属する前記グループが共通する前記端末間の通信および、前記端末と当該端末が属する前記グループが対応する前記サービス提供用のサーバーとの通信を許可し、属する前記グループが異なる前記端末間の通信および、前記端末と当該端末が属さない前記グループが対応する前記サービス提供用のサーバーとの通信を禁止する、サービス提供システムを把握することができる。
【図面の簡単な説明】
【００１２】
【図１】本実施形態にかかるシステムを概略的に示す図である。
【図２】サービス提供システムが実現する機能を示すブロック図である。
【図３】端末登録情報に相等するテーブルを例示する図である。
【図４】通信制御処理を示すフローチャートである。
【図５】変更後のテーブルを例示する図である。
【図６】従来の複数のＬＡＮを構築した図である。
【発明を実施するための形態】
【００１３】
以下、図面を参照しながら本発明の実施形態を説明する。
図１は、本実施形態にかかるシステムの概略を例示している。図１に示す各構成は、インターネットＩＮを含む通信ネットワークによって接続している。当該通信ネットワークは、インターネットＩＮおよびインターネットＩＮに接続したＬＡＮ（イーサネット（登録商標）等）を意味する。図１においてサービス提供システム１０は、ネットワーク接続された、複数のサーバー３０，４０，５０…、通信制御サーバー６０、トンネルルーター７０などを含む。
【００１４】
サーバー３０，４０，５０…は、各々がサービス提供用のサーバーであり、インターネットＩＮを含む通信ネットワークを利用して、それぞれに特定のサービスをユーザーに提供する。本明細書で言う「サービス」とは、有料、無料を問わない。また、企業等の業務に必要な情報やネットワークを従業員へ提供することもサービスの一種であるとする。例えば、サービス提供用のサーバーは、ある企業の特定部署に所属する従業員（ユーザー）に、当該特定部署の業務遂行に必要な情報やネットワークを提供するために機能する。以下では、便宜上、サーバー３０が提供するサービスをサービスＡ、サーバー４０が提供するサービスをサービスＢ、サーバー５０が提供するサービスをサービスＣ、と呼ぶ。
【００１５】
図２は、サービス提供システム１０が実現する機能（の少なくとも一部）をブロック図により示している。サービス提供システム１０は、識別情報割当部１１、情報保持部１２、通信制御部１３、変更処理部１４等の各種機能を実現する。これら各機能のうち、識別情報割当部１１は、サーバー３０，４０，５０…の各々が担当する機能であり、情報保持部１２、通信制御部１３、変更処理部１４は、通信制御サーバー６０が担当する機能である。これら各機能は、担当される各サーバーにおいて、所定のプログラムに従った演算処理がプロセッサー、メモリー、ハードディスク等のハードウェア資源と協同して行われることにより実現される。
【００１６】
通信制御サーバー６０は、複数のサービス（サービスＡ，Ｂ，Ｃ…）毎に構築される各グループと各グループに属する端末（ユーザーが使用する端末）との情報を規定した端末登録情報を保持し（情報保持部１２）、端末登録情報を参照して、端末間の通信や端末とサーバー３０，４０，５０…との間の通信を制御（中継）する（通信制御部１３）。通信制御サーバー６０は、サーバー３０，４０，５０…とトンネルルーター７０との間に介在して設けられている。以下では、一つのサービスに対応して構築される端末のグループを、サービスグループと呼ぶ。また、サービスＡに対応して構築されるグループをサービスＡグループ、サービスＢに対応して構築されるグループをサービスＢグループ、サービスＣに対応して構築される端末のグループをサービスＣグループ、と呼ぶ。
【００１７】
サービス提供システム１０は、トンネルルーター７０を介してインターネットＩＮと接続している。また、インターネットＩＮへは、ユーザーが使用する複数の端末（端末ａ，ｂ，ｃ…）が、自宅やオフィス等に設けられたブロードバンドルーター（ルーター８０，８１，８２…）を介して接続している。むろん、このようなルーター８０，８１，８２…のそれぞれに複数の端末が接続されてルーター８０，８１，８２…単位でＬＡＮが組まれていても良い。端末ａ，ｂ，ｃ…としては、例えば、スマートフォン、タブレット型端末、デスクトップ型あるいはラップトップ型のパーソナルコンピューター（ＰＣ）の他、プリンター、スキャナー、ファクシミリおよびこれの複合機等、ネットワーク機能を有する様々なデバイスが該当する。
【００１８】
図１に示したサービス提供システム１０内の各構成は、それぞれが物理的に独立した装置によって実現されてもよいし、少なくとも一部が、ある装置内のハードウェア資源を仮想化して論理的に実現されるものであってもよい。一例として図１に示すサーバー３０およびサーバー４０は、一つの装置（サーバーユニット２０）内のハードウェア資源が仮想化されることにより、異なるサービスＡ，Ｂを提供するための複数のサーバーとして成立している。この意味で、サーバー３０およびサーバー４０は、ＶＰＳ（バーチャルプライベートサーバー）と呼ぶことができる。
【００１９】
上述したようなサービスを提供するためのサーバーは、サービス提供システム１０外に存在していてもよい。例えば、サービス提供システム１０は、外部のサーバー４１（図１）とも接続している。サーバー４１は、前記サービスＢを実現するために必要な要素（例えば、アプリケーションソフトウェアやデータベース等）の少なくとも一部を有しており、サービス提供システム１０内のサーバー４０と協同してサービスＢの提供を実現する。この場合、サーバー４０とサーバー４１とは、例えば、両者間が専用回線で接続されていてもよいし、サーバー４０から見てサーバー４１がサービスＢグループに属するクライアント端末の一つとして接続されていてもよい。
【００２０】
端末ａ，ｂ，ｃ…は、いずれか一つ以上のサービスグループに属するにあたり、サービスグループが対応するサーバー３０，４０，５０…から識別情報を割り当てられる。つまりサーバー３０，４０，５０…は、対応するサービスグループに属する（属することを希望する）端末へ、当該端末を識別するための識別情報を割り当てる前記識別情報割当部１１をそれぞれ備える。ここで割り当てられる識別情報とは、ＩＰアドレス（例えばＩＰｖ６アドレス）である。ＩＰアドレスの割り当ては、ＲＡ（Router Advertisement）によるＩＰアドレスの自動割り当てや、ＤＨＣＰ（Dynamic Host Configuration Protocol）を用いたＩＰアドレスの自動割り当てにより実現される。
例えば、ＲＡを用いる場合、サービスＡグループへの参加を希望する端末ａは、サービスＡを提供するサーバーからＲＡメッセージを受信し、ＲＡと自身のＭＡＣアドレスとからＩＰアドレスを自動生成することにより、端末ａにＩＰアドレスが割り当てられる。
ＤＨＣＰの場合であれば、サービスＡグループへの参加を希望する端末ａは、サービスＡグループに参加するために必要なＩＰアドレスの問い合わせをブロードキャストにより発信する。この問い合わせは、サーバー３０，４０，５０それぞれが受信するが、このうちサービスＡグループに対応するサーバー３０が端末ａへ返信し、端末ａが使用可能なＩＰアドレスの候補を通知する。以後、ＤＨＣＰのシーケンスに従った通信がサーバー３０と端末ａとの間で行われることにより、サーバー３０は、予め決められた設定可能な範囲のＩＰアドレスのうち、その時点で未割り当てのいずれかのＩＰアドレスを端末ａに割り当てる。端末ａは、このように割り当てられたサービスＡグループに参加するために必要なＩＰアドレス（例えば、３０００：０：０：１：：１０）を自身に設定する。
【００２１】
同様に、サービスＢグループへの参加を希望する端末ｂへは、サービスＢグループに対応するサーバー４０から、サービスＢグループに参加するために必要なＩＰアドレスが割り当てられる。以下では、端末ａはサービスＡグループに参加するために必要なＩＰアドレス（３０００：０：０：１：：１０）を設定済みであり、端末ｂはサービスＢグループに参加するために必要なＩＰアドレス（３０００：０：０：２：：１０）とサービスＣグループに参加するために必要なＩＰアドレス（３０００：０：０：３：：１０）とを設定済みであり、端末ｃはサービスＣグループに参加するために必要なＩＰアドレス（３０００：０：０：３：：１１）を設定済みであるとする。通信制御サーバー６０（情報保持部１２）は、上述のように割り当てられたＩＰアドレスを含む識別情報と、サービス提供システム１０内の各サービスグループとを対応付けて、前記端末登録情報として保持する。
【００２２】
図３は、端末登録情報に相当するテーブルＴを例示している。テーブルＴでは、サービスグループ名（サービスＡグループを示す“Ａ”、サービスＢグループを示す“Ｂ”、サービスＣグループを示す“Ｃ”…）と、それぞれのサービスグループに属する端末の識別情報とを対応付けて（紐付けて）記録している。ここで、テーブルＴの例において、サービスＡグループに対応付けられた識別情報“ａ”は、端末ａの識別情報の存在を簡易的に示している。このような識別情報は、上述したようにサーバー（端末ａが参加を希望したサービスＡグループに対応するサーバー３０）から端末ａに割り当てられたＩＰアドレスやその他の情報を含むものであるが、図３では簡単に“ａ”とだけ記している。ここで言う「その他の情報」とは、端末を一意的に特定するための各種情報であり、例えば、端末ａの機種固有ＩＤやシリアル番号等が該当する。通信制御サーバー６０は、このような端末ａに関する識別情報（ＩＰアドレスや当該その他の情報）を、端末ａと端末ａが参加を希望したサービスグループに対応するサーバー（サーバー３０）との間で行われる前記ＩＰアドレスを割り当てるための通信から抽出してテーブルＴに記録することができる。
【００２３】
同様に、テーブルＴの例では、端末ｄ，ｅ，ｆ（いずれも図１において不図示）それぞれの識別情報“ｄ”，“ｅ”，“ｆ”がサービスＡグループに対応付けて記録されている。また、テーブルＴの例では、端末ｂ，ｄ，ｅ，ｆそれぞれの識別情報“ｂ”，“ｄ”，“ｅ”，“ｆ”がサービスＢグループに対応付けて記録されている。また、テーブルＴの例では、端末ｂ，ｃ，ｇ，ｈ（端末ｇ，ｈは端末ｄ，ｅ，ｆと同様図１において不図示）それぞれの識別情報“ｂ”，“ｄ”，“ｇ”，“ｈ”がサービスＣグループに対応付けて記録されている。つまり、テーブルＴの例によれば、端末ａ，ｄ，ｅ，ｆはサービスＡグループに属し、端末ｂ，ｄ，ｅ，ｆはサービスＢグループに属し、端末ｂ，ｃ，ｇ，ｈはサービスＣグループに属している。また、一部の端末は、複数のサービスグループに属している（端末ｂは、サービスＢグループおよびサービスＣグループに属している）。
【００２４】
本実施形態では、サービス提供システム１０のトンネルルーター７０と各端末ａ，ｂ，ｃ…とのインターネットＩＮを介した通信は、いわゆるトンネリングにより行う。トンネリングは、通信する両者間に仮想的なパス（トンネル）を構築することにより、当該両者間にアドレス体系や通信プロトコルが異なるネットワーク（例えば、異なるインターネットサービスプロバイダー（ＩＳＰ）が提供するネットワーク）やファイヤーウォールが存在していても通信を可能とする技術である。トンネルを構築するための技術としては、ＶＰＮ（Virtual Private Network）や、ＩＰｓｅｃ（Security Architecture for Internet Protocol）等が知られている。例えば、サーバー３０から端末ａへデータ（ＩＰパケット）を送信する場合、トンネルの入口となるトンネルルーター７０は、サーバー３０のＩＰｖ６アドレスを送信元とし端末ａのＩＰｖ６アドレスを送信先としたＩＰパケットに、相手側のルーター（ルーター８０）のグローバルアドレス（ＩＰｖ４アドレス）を指定したヘッダーを付ける。そして、当該ヘッダーに従って当該ＩＰパケットがインターネットＩＮを介してルーター８０へ送信される。ルーター８０は、当該ＩＰパケットを受信すると、ヘッダーを外したＩＰパケットを本来の送信先（送信先のＩＰｖ６アドレス、つまり端末ａ）へ送信する。このようなトンネリングによれば、ＩＰｖ４アドレス体系のネットワークを経由して、ＩＰｖ６アドレスを用いた通信を行うことができる。
【００２５】
図４は、通信制御サーバー６０の通信制御部１３による、通信制御処理をフローチャートにより示している。
通信制御部１３は、常時、サービス提供システム１０における各サービスを提供するためのサーバー３０，４０，５０…や、各端末ａ，ｂ，ｃ…からの通信の入力の有無を監視する（ステップＳ１００）。そして、何らかの通信の入力が有れば（ステップＳ１００において“Ｙｅｓ”）ステップＳ１２０へ進む。
ステップＳ１２０では、通信制御部１３は、直近のステップＳ１００で入力した通信を解析して当該通信の送信元および送信先（アクセス先）をＩＰアドレス等から特定するとともに、その時点で情報保持部１２が保持している端末登録情報（テーブルＴ）を参照し、当該特定した通信の送信元と送信先（アクセス先）とが同一のサービスグループに属しているか否かを確認する。
【００２６】
次にステップＳ１４０では、通信制御部１３は、直近のステップＳ１２０による確認に従い、属するサービスグループが共通する端末間の通信か、端末と端末が属するサービスグループが対応するサーバーとの通信であれば、その通信をそのまま通す（許可する）。一方、属するサービスグループが異なる端末間の通信か、端末と端末が属さないサービスグループが対応するサーバーとの通信であれば、その通信を破棄する（禁止する）。
【００２７】
例えば、図１および図３（テーブルＴ）の例に従えば、端末ａ‐端末ｂ間の通信や、端末ａ‐端末ｃ間の通信は、異なるサービスグループ間の通信であるためステップＳ１４０において破棄される。一方、端末ｂ‐端末ｃ間の通信は、サービスＣグループ内での通信であるためステップＳ１４０において許可される。また、このような端末ｂ‐端末ｃ間の通信は、サービスＣグループを管理するサーバー５０まで到達せず、通信制御サーバー６０を中継して行われる通信であるといえる。また、端末ａからサービスＡグループに対応するサーバー３０へのアクセス（およびその逆方向のアクセス）、端末ｂからサービスＢグループに対応するサーバー４０へのアクセス（およびその逆方向のアクセス）、端末ｂからサービスＣグループに対応するサーバー５０へのアクセス（およびその逆方向のアクセス）、端末ｃからサービスＣグループに対応するサーバー５０へのアクセス（およびその逆方向のアクセス）、はそれぞれステップＳ１４０において許可される。
【００２８】
つまり、本実施形態によれば、サービス提供システム１０が構築される場所や端末ａ，ｂ，ｃ…それぞれが存在する場所に一切関係なく、通信制御サーバー６０は、サービスＡ，Ｂ，Ｃ…毎のグループ（サービスグループ）を端末登録情報に基づいて管理し、各サービスグループ内での通信を保障する。また、通信制御サーバー６０は、サービスグループを跨ぐ通信は禁止することで、サービスグループ外への情報漏洩を確実に防止する。このようなサービスグループは、サービスグループが対応するサービス提供用のサーバーを含めて、距離等の物理的制限を受けない仮想的な個別ネットワークをグループ毎に構築していると言える。また、本実施形態によれば、各端末は、サービス提供システム１０における複数のサービスグループに属することが容易であり、異なるＬＡＮに属するために端末は複数のネットワークカードやケーブルを用意する必要があった従来（図６）と比較して、このようなケーブルやネットワークカードに関する要求から開放される。例えば、上述したように複数のサービスグループに属する端末ｂであっても、端末ｂがサービス提供システム１０側と接続するための（ルーター８１と接続するための）ケーブルやネットワークカードは、一組で良い。
【００２９】
また、上述したグループ毎の仮想的な個別ネットワーク内では、１対複数のマルチキャストによる通信も可能である。例えば、端末ａは、自身が属するサービスＡグループに属する他の端末やサービスＡグループに対応するサーバー３０へ、データを一斉送信することができる。また、サーバー３０が、自身が対応するサービスＡグループに属する各端末へ、サービスＡに関する命令や情報の更新をプッシュ通知等することも可能である。
【００３０】
また、上述したように端末ｂ‐端末ｃ間は通信制御サーバー６０を介して通信が行われる。そのため、例えば一方（端末ｂ）がプリンタードライバーを搭載したＰＣ、他方（端末ｃ）が当該プリンタードライバーによって駆動制御されるプリンターである場合、両者が物理的に遠く離れていても、ＰＣ（プリンタードライバー）によるプリンターの探索、ＰＣ（プリンタードライバー）からの命令によるプリンターでの印刷、ＰＣ（プリンタードライバー）によるプリンターからのステータス情報取得、プリンターからＰＣ（プリンタードライバー）への通知、等を局地的に構築されたＬＡＮ内のＰＣとプリンターとの関係と全く同様に、行うことができる。
【００３１】
さらに本実施形態では、通信制御サーバー６０は、端末登録情報が規定するサービスグループと端末との対応関係を変更する変更処理部１４を備える。通信制御サーバー６０は、端末６１（図１）と接続している。端末６１のオペレーターは、端末ａ，ｂ，ｃ…の各ユーザーからの要求やサービス提供システム１０を運営する組織からの要請等に基づき、端末６１を利用して、端末登録情報内の設定を変更するための操作を行う。変更処理部１４は、かかる操作に応じて、端末登録情報が規定するサービスグループと端末との対応関係を変更する。変更処理部１４は、例えば、あるサービスグループに対応付けられていたある端末（例えば、サービスＣグループに対応付けられていた端末ｂ）の識別情報を端末登録情報から削除し、当該端末ｂの識別情報を別のサービスグループ（例えば、サービスＡグループ）に対応付けて記録する。
【００３２】
このような変更の例では、端末ｂの識別情報がサービスＡグループに対応付けられて記録された時点では、端末ｂの識別情報には、サービスＡグループのサーバー３０から割り当てられるＩＰアドレスは含まれない。ただし、当該変更がなされた後、ＲＡまたはＤＨＣＰによるＩＰアドレスの自動割り当てにより、サービスＡグループに参加するための新たなＩＰアドレスがサーバー３０から端末ｂに割り当てられる。このように新たに割り当てられたＩＰアドレスは、端末登録情報においてサービスＡグループに対応付けられた端末ｂの識別情報に上書される。
【００３３】
図５は、このような変更がされた後の端末登録情報（テーブルＴ）を例示している。図５によれば、図３に示したテーブルＴと比較したとき、サービスＣグループに対応付けられていた端末ｂの識別情報“ｂ”が削除され、新たに識別情報“ｂ”がサービスＡグループに対応付けられて記録されたことが判る。以後、通信制御部１３は、当該変更後の端末登録情報を参照して上述したような通信の制御（中継）を行なうこととなる。この結果、端末ｂは、サービスＣグループに属する端末ｃ等やサーバー５０との通信は出来なくなるが、端末サービスＡグループに属する端末ａ等やサーバー３０との通信が可能となる。このように本実施形態によれば、オペレーターが端末６１を操作して端末登録情報を変更することで、自由にグループ毎の仮想的な個別ネットワークの構成（各サービスグループと各ユーザーとの関係）を変更することができる。
【００３４】
さらに本発明は上述の実施形態に限られるものではなく、その要旨を逸脱しない範囲において種々の態様において実施することが可能である。例えば、以下のような各例も可能である。上述の実施形態や以下の各例を適宜組み合わせた内容は、本発明の開示範囲に含まれる。
【００３５】
一例として、図１に示した端末９０は、それ自身はネットワーク機能を持たないが、近距離無線通信（例えば、Bluetooth（登録商標）やWi-Fi DIRECT（登録商標）等）の機能を有している。この場合、ネットワーク機能を有する端末ａ，ｂ，ｃ…を中継機器として用いて、端末９０は、インターネットＩＮを介してサービス提供システム１０に参加することができる。これにより、端末９０は、これまで説明した端末ａ，ｂ，ｃ…と同様に、あるサービスグループに属して特定のサービスの提供を受けることが可能となる。
【００３６】
これまでの説明では、あるサービスグループに所属しようとする端末は、そのサービスグループに対応するサーバーからＩＰアドレスの割り当てを受けるとした。つまり、各サーバー３０，４０，５０…が端末に割り当てるＩＰアドレスは、異なるＩＰグループ（異なるＩＰアドレスの範囲）から割り当てるものであった。しかし一例として、サービス提供システム１０は、端末毎に、サービス提供システム１０内で共通利用できるユニークなＩＰアドレスを割り当てるとしてもよい。かかる例によれば、各端末は、サービス提供システム１０のいずれかのサーバー（サーバー３０，４０，５０…や通信制御サーバー６０）から端末毎にユニークなＩＰアドレスの割り当てを受けた以降は、当該ＩＰアドレスを（所属するサービスグループの変更が有っても無くても）用いて、そのとき所属しているサービスグループ内での通信を行う。あるいは他の例として、サービス提供システム１０は、全てではないが一部の複数のサービスグループに属する各端末に対して一つのＩＰグループのＩＰアドレスを割り当てるとしてもよい。あるいは他の例として、サービス提供システム１０は、一つのサービスグループに属する各端末に対して複数のＩＰグループからのＩＰアドレスを割り当てるとしてもよい。
【符号の説明】
【００３７】
１０…サービス提供システム、１１…識別情報割当部、１２…情報保持部、１３…通信制御部、１４…変更処理部、２０…サーバーユニット、３０，４０，５０…（サービス提供用の）サーバー、６０…通信制御サーバー、６１…端末、７０…トンネルルーター、８０，８１，８２…ルーター、ａ，ｂ，ｃ…端末、ＩＮ…インターネット、Ｔ…テーブル
【図１】
2015095698.tif 000003
【図２】
2015095698.tif 000004
【図３】
2015095698.tif 000005
【図４】
2015095698.tif 000006
【図５】
2015095698.tif 000007
【図６】
2015095698.tif 000008