(57)【特許請求の範囲】
【請求項１】
複数の異なるセキュリティ機能を統合して、配下のネットワークに接続された複数の通信端末のセキュリティを管理する統合脅威管理システムであって、
前記配下のネットワークおよび外部ネットワークに接続された統合脅威管理装置と、
前記配下のネットワークを構成する１以上のスイッチングハブと、を備え、
前記統合脅威管理装置は、
前記配下のネットワークあるいは前記外部ネットワークから受信した通信パケットを当該通信パケットの宛先アドレスに従って中継するスイッチング手段と、
前記配下のネットワークあるいは前記外部ネットワークから受信した通信パケットのセキュリティをチェックして、所定の条件に該当する通信パケットを中継することなく破棄するセキュリティチェック手段と、
前記配下のネットワークに接続構成確認要求を同報送信する接続構成確認要求手段と、
通信パケットの送信元のアドレスおよび当該通信パケットが入力された前記通信ポートのポート番号を含む転送パラメータを前記スイッチングハブから受信する転送パラメータ受信手段と、
前記転送パラメータ受信手段により受信された転送パラメータを当該転送パラメータの送信元の前記スイッチングハブに対応付けて記憶する接続構成情報記憶手段と、
前記通信端末から帰属要求を受信する帰属要求受信手段と、
前記帰属要求受信手段により受信された帰属要求に従い、前記接続構成情報記憶手段を参照して、当該帰属要求の発信元である前記通信端末と前記統合脅威管理装置とを繋ぐ通信ルートを探索する通信ルート探索手段と、
前記通信ルート探索手段により探索された通信ルート上に位置する前記スイッチングハブに対して、前記統合脅威管理装置と前記帰属要求の発信元である前記通信端末との間に仮想プライベートネットワークを形成するための、当該通信ルート上に位置する当該スイッチングハブの２つの前記通信ポートおよび前記帰属要求の発信元である前記通信端末の指定を含む仮想プライベートネットワーク設定要求を送信する仮想プライベートネットワーク設定要求手段と、を有し、
前記通信端末毎に、当該通信端末と間に形成された仮想プライベートネットワークを介して、当該通信端末と前記外部ネットワークおよび他の前記通信端末との間でやり取りされる通信パケットを中継し、
前記スイッチングハブは、
複数の通信ポートと、
いずれかの前記通信ポートに入力された通信パケットを当該通信パケットの宛先アドレスに従っていずれかの前記通信ポートに中継する中継手段と、
前記統合脅威管理装置側に接続されている前記通信ポートおよび前記通信端末側に接続されている前記通信ポートの一方に入力された通信パケットを他方へ中継するよう前記中継手段を制御する仮想プライベートネットワーク設定手段と、
前記通信ポートのポート番号および当該通信ポートに入力された通信パケットの送信元のアドレスを含む転送パラメータを記憶する転送パラメータ記憶手段と、
いずれかの前記通信ポートに通信パケットが入力された場合に、前記転送パラメータ記憶手段に記憶されている当該通信ポートの転送パラメータに含まれている送信元のアドレスが当該通信パケットの送信元のアドレスと異なるならば、あるいは、当該通信ポートの転送パラメータが前記転送パラメータ記憶手段に記憶されていないならば、当該通信ポートの転送パラメータを登録する転送パラメータ更新手段と、
前記転送パラメータ更新手段により登録された転送パラメータを前記統合脅威管理装置に送信する転送パラメータ送信手段と、を有し、
前記スイッチングハブの前記仮想プライベートネットワーク設定手段は、
前記統合脅威管理装置より受信した仮想プライベートネットワーク設定要求で指定されている前記通信端末を発信元あるいは宛先とする通信パケットが、当該仮想プライベートネットワーク設定要求で指定されている２つの通信ポート間を中継されるように前記中継手段を制御して、当該通信端末と前記統合脅威管理装置との間に仮想プライベートネットワークを形成する
ことを特徴とする統合脅威管理システム。
【請求項２】
複数の異なるセキュリティ機能を統合して、外部ネットワークおよび複数の通信ポートを備えた１以上のスイッチングハブによって構成された配下のネットワークに接続されて、前記配下のネットワークに接続された複数の通信端末のセキュリティを管理する統合脅威管理装置であって、
前記配下のネットワークあるいは前記外部ネットワークから受信した通信パケットを当該通信パケットの宛先アドレスに従って中継するスイッチング手段と、
前記配下のネットワークあるいは前記外部ネットワークから受信した通信パケットのセキュリティをチェックして、所定の条件に該当する通信パケットを中継することなく破棄するセキュリティチェック手段と、
前記配下のネットワークに接続構成確認要求を同報送信する接続構成確認要求手段と、
通信パケットの送信元のアドレスおよび当該通信パケットが入力された前記通信ポートのポート番号を含む転送パラメータを前記スイッチングハブから受信する転送パラメータ受信手段と、
前記転送パラメータ受信手段により受信された転送パラメータを当該転送パラメータの送信元の前記スイッチングハブに対応付けて記憶する接続構成情報記憶手段と、
前記通信端末から帰属要求を受信する帰属要求受信手段と、
前記帰属要求受信手段により受信された帰属要求に従い、前記接続構成情報記憶手段を参照して、当該帰属要求の発信元である前記通信端末と前記統合脅威管理装置とを繋ぐ通信ルートを探索する通信ルート探索手段と、
前記通信ルート探索手段により探索された通信ルート上に位置する前記スイッチングハブに対して、前記統合脅威管理装置と前記帰属要求の発信元である前記通信端末との間に仮想プライベートネットワークを形成するための、当該通信ルート上に位置する当該スイッチングハブの２つの前記通信ポートおよび前記帰属要求の発信元である前記通信端末の指定を含む仮想プライベートネットワーク設定要求を送信する仮想プライベートネットワーク設定要求手段と、を備え、
前記通信端末毎に、当該通信端末と間に形成された仮想プライベートネットワークを介して、当該通信端末と前記外部ネットワークおよび他の前記通信端末との間でやり取りされる通信パケットを中継する
ことを特徴とする統合脅威管理装置。
【請求項３】
複数の異なるセキュリティ機能を統合して、配下のネットワークに接続された複数の通信端末のセキュリティを管理する統合脅威管理方法であって、
仮想プライベートネットワーク機能を有する１以上のスイッチングハブで前記配下のネットワークを構成し、
スイッチングハブ機能を有する統合脅威管理装置を前記配下のネットワークおよび外部ネットワークに接続し、
前記通信端末毎に、当該通信端末と前記統合脅威管理装置との間に仮想プライベートネットワークが形成されるように前記スイッチングハブを設定することにより、当該通信端末と相手端末との間に前記統合脅威管理装置を介在させて、前記統合脅威管理装置に当該通信端末のセキュリティを管理させ、
前記統合脅威管理装置は、
前記配下のネットワークあるいは前記外部ネットワークから受信した通信パケットのセキュリティをチェックして、所定の条件に該当する通信パケットを破棄するとともに、所定の条件に該当しない通信パケットを当該通信パケットの宛先アドレスに従って中継し、
前記配下のネットワークに接続構成確認要求を同報送信し、
通信パケットの送信元のアドレスおよび当該通信パケットが入力された前記通信ポートのポート番号を含む転送パラメータを前記スイッチングハブから受信して、当該転送パラメータを当該転送パラメータの送信元の前記スイッチングハブに対応付けて記憶し、
前記通信端末から帰属要求を受信して、当該帰属要求に従い、前記スイッチングハブに対応付けて記憶された前記転送パラメータを参照して、当該帰属要求の発信元である前記通信端末と前記統合脅威管理装置とを繋ぐ通信ルートを探索し、
前記探索された通信ルート上に位置する前記スイッチングハブに対して、前記統合脅威管理装置と前記帰属要求の発信元である前記通信端末との間に仮想プライベートネットワークを形成するための、当該通信ルート上に位置する当該スイッチングハブの２つの前記通信ポートおよび前記帰属要求の発信元である前記通信端末の指定を含む仮想プライベートネットワーク設定要求を送信し、
前記通信端末毎に、当該通信端末と間に形成された仮想プライベートネットワークを介して、当該通信端末と前記外部ネットワークおよび他の前記通信端末との間でやり取りされる通信パケットを中継する
ことを特徴とする統合脅威管理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信端末のセキュリティを管理する統合脅威管理技術に関する。
【背景技術】
【０００２】
特許文献１には、通信端末のセキュリティを管理する統合脅威管理システムが開示されている。この統合脅威管理システムは、配下のネットワークと外部ネットワークとの間に設置された統合脅威管理装置（ＵＴＭ設定ネットワーク装置）を有する。統合脅威管理装置は、通信トラヒックを受け入れまたは拒否する条件を定義する１つ以上のルールを含むルールセットを備えており、このルールセットに従い、配下のネットワークを介して外部ネットワークと通信トラヒックをやり取りする通信端末のセキュリティを管理する。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１１−１００４４３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
特許文献１に記載の統合脅威管理システムは、配下のネットワークを介して外部ネットワークと通信トラヒックをやり取りする通信端末のセキュリティを管理することができるが、配下のネットワーク内で通信トラヒックをやり取りする通信端末のセキュリティを管理することはできない。
【０００５】
なお、配下のネットワークを構成するハブ各々に、このハブが中継する通信トラヒックを統合脅威管理装置にミラーリングする機能を持たせることにより、配下のネットワーク内で通信トラヒックをやり取りする通信端末のセキュリティを管理することもできる。しかしながら、この方法では、配下のネットワーク内でやり取りされる通信トラヒックにセキュリティ上の問題が検出された場合に、この通信トラヒックを遮断することはできない。
【０００６】
本発明は上記事情に鑑みてなされたものであり、本発明の目的は、配下のネットワークのセキュリティを管理して、セキュリティ上の問題がある通信トラヒックを確実に遮断することができる技術を提供することにある。
【課題を解決するための手段】
【０００７】
上記課題を解決するために、本発明では、統合脅威管理装置にスイッチングハブ機能を持たせるともに、仮想プライベートネットワーク機能を有する１以上のスイッチングハブで配下のネットワークを構成する。そして、配下のネットワークに接続された通信端末毎に、通信端末と統合脅威管理装置との間に仮想プライベートネットワークが形成されるように各スイッチングハブを設定することにより、通信端末と相手端末との間の通信ルートに統合脅威管理装置を介在させて、相手端末と通信トラヒックをやり取りする通信端末のセキュリティを統合脅威管理装置に管理させる。
【０００８】
例えば、本発明は、複数の異なるセキュリティ機能を統合して、配下のネットワークに接続された複数の通信端末のセキュリティを管理する統合脅威管理システムであって、
前記配下のネットワークおよび外部ネットワークに接続された統合脅威管理装置と、
前記配下のネットワークを構成する１以上のスイッチングハブと、を備え、
前記統合脅威管理装置は、
前記配下のネットワークあるいは前記外部ネットワークから受信した通信パケットを当該通信パケットの宛先アドレスに従って中継するスイッチング手段と、
前記配下のネットワークあるいは前記外部ネットワークから受信した通信パケットのセキュリティをチェックして、所定の条件に該当する通信パケットを中継することなく破棄するセキュリティチェック手段と、
前記配下のネットワークに接続構成確認要求を同報送信する接続構成確認要求手段と、
通信パケットの送信元のアドレスおよび当該通信パケットが入力された前記通信ポートのポート番号を含む転送パラメータを前記スイッチングハブから受信する転送パラメータ受信手段と、
前記転送パラメータ受信手段により受信された転送パラメータを当該転送パラメータの送信元の前記スイッチングハブに対応付けて記憶する接続構成情報記憶手段と、
前記通信端末から帰属要求を受信する帰属要求受信手段と、
前記帰属要求受信手段により受信された帰属要求に従い、前記接続構成情報記憶手段を参照して、当該帰属要求の発信元である前記通信端末と前記統合脅威管理装置とを繋ぐ通信ルートを探索する通信ルート探索手段と、
前記通信ルート探索手段により探索された通信ルート上に位置する前記スイッチングハブに対して、前記統合脅威管理装置と前記帰属要求の発信元である前記通信端末との間に仮想プライベートネットワークを形成するための、当該通信ルート上に位置する当該スイッチングハブの２つの前記通信ポートおよび前記帰属要求の発信元である前記通信端末の指定を含む仮想プライベートネットワーク設定要求を送信する仮想プライベートネットワーク設定要求手段と、を有し、
前記スイッチングハブは、
複数の通信ポートと、
いずれかの前記通信ポートに入力された通信パケットを当該通信パケットの宛先アドレスに従っていずれかの前記通信ポートに中継する中継手段と、
前記統合脅威管理装置側に接続されている前記通信ポートおよび前記通信端末側に接続されている前記通信ポートの一方に入力された通信パケットを他方へ中継するよう前記中継手段を制御する仮想プライベートネットワーク設定手段と、
前記通信ポートのポート番号および当該通信ポートに入力された通信パケットの送信元のアドレスを含む転送パラメータを記憶する転送パラメータ記憶手段と、
いずれかの前記通信ポートに通信パケットが入力された場合に、前記転送パラメータ記憶手段に記憶されている当該通信ポートの転送パラメータに含まれている送信元のアドレスが当該通信パケットの送信元のアドレスと異なるならば、あるいは、当該通信ポートの転送パラメータが前記転送パラメータ記憶手段に記憶されていないならば、当該通信ポートの転送パラメータを登録する転送パラメータ更新手段と、
前記転送パラメータ更新手段により登録された転送パラメータを前記統合脅威管理装置に送信する転送パラメータ送信手段と、を有し、
前記スイッチングハブの前記仮想プライベートネットワーク設定手段は、
前記統合脅威管理装置より受信した仮想プライベートネットワーク設定要求で指定されている前記通信端末を発信元あるいは宛先とする通信パケットが、当該仮想プライベートネットワーク設定要求で指定されている２つの通信ポート間を中継されるように前記中継手段を制御して、当該通信端末と前記統合脅威管理装置との間に仮想プライベートネットワークを形成する。
【発明の効果】
【０００９】
本発明によれば、配下のネットワークに接続された通信端末毎に、通信端末と統合脅威管理装置との間に仮想プライベートネットワークが形成されるように各スイッチングハブを設定し、通信端末と相手端末との間の通信ルートに統合脅威管理装置を介在させているので、配下のネットワークおよび外部ネットワーク間の通信トラヒックのみならず、配下のネットワーク内の通信端末間の通信トラヒックについても、そのセキュリティを管理して、セキュリティ上の問題がある通信トラヒックを確実に遮断することができる。
【図面の簡単な説明】
【００１０】
【図１】図１は、本発明の一実施の形態に係るＵＴＭシステムの概略構成図である。
【図２】図２は、本発明の一実施の形態に係るＵＴＭシステムのＶＰＮ構成動作の一例を説明するためのシーケンス図である。
【図３】図３は、本発明の一実施の形態に係るＵＴＭシステムのＶＰＮ構成動作の一例を説明するためのシーケンス図であり、図２の続きである。
【図４】図４は、本発明の一実施の形態に係るＵＴＭシステムのＶＰＮ構成動作の一例を説明するためのシーケンス図であり、図３の続きである。
【図５】図５（Ａ）ないし図５（Ｄ）は、接続構成情報テーブル６−１、６−２の登録内容を変遷の一例を説明するための図である。
【図６】図６は、ＵＴＭ装置３の概略機能構成図である。
【図７】図７は、ＵＴＭ装置３の動作を説明するためのフロー図である。
【図８】図８は、図７に示す通信ルート探索処理Ｓ３０８を説明するためのフロー図である。
【図９】図９は、スイッチングハブ１の概略機能構成図である。
【図１０】図１０は、転送パラメータ記憶部１３の登録内容例を模式的に表した図である。
【図１１】図１１は、スイッチングハブ１の動作を説明するためのフロー図である。
【発明を実施するための形態】
【００１１】
以下に、本発明の一実施の形態について説明する。
【００１２】
図１は、本実施の形態に係るＵＴＭ（統合脅威管理）システムの概略構成図である。
【００１３】
図示するように、本実施の形態に係るＵＴＭシステムは、１以上のスイッチングハブ１−１、１−２（以下、単にスイッチングハブ１とも呼ぶ）で構成されたＬＡＮ２と、ＬＡＮ２およびＷＡＮ４に接続されたＵＴＭ装置３と、ＬＡＮ２に接続された複数の通信端末５−１、５−２（以下、単に通信端末５とも呼ぶ）と、を備えている。
【００１４】
ＵＴＭ装置３は、複数の異なるセキュリティ機能を統合して、通信端末５のセキュリティを管理する。また、ＵＴＭ装置３は、スイッチングハブ機能およびＤＨＣＰ（Ｄｙｎａｍｉｃ  Ｈｏｓｔ  Ｃｏｎｆｉｇｕｒａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）サーバ機能を備えている。
【００１５】
スイッチングハブ１は、複数の通信ポート１０を備え、いずれかの通信ポート１０に入力された通信パケットを、その宛先アドレスに従って他の通信ポート１０に中継する。ここでは、スイッチングハブ１−１のポート番号「１」の通信ポート１０およびポート番号「３」の通信ポート１０に、それぞれＵＴＭ装置３およびスイッチングハブ１−２が接続され、スイッチングハブ１−２のポート番号「１」の通信ポート１０、ポート番号「２」の通信ポート１０、およびポート番号「３」の通信ポート１０に、それぞれスイッチングハブ１−１、通信端末５−１、および通信端末５−２が接続されているものとする。また、スイッチングハブ１は、ＶＰＮ（仮想プライベートネットワーク）機能を備えている。
【００１６】
上記構成のＵＴＭシステムにおいて、各スイッチングハブ１は、通信端末５毎に通信端末５とＵＴＭ装置３との間に仮想プライベートネットワークが形成されるように設定されている。これにより、ＵＴＭ装置３は、各通信端末５の通信ルート上に配置され、各通信端末５が相手端末と送受する通信パケットをスイッチングハブ機能により中継する。
【００１７】
図２ないし図４は、本実施の形態に係るＵＴＭシステムのＶＰＮ構成動作の一例を説明するためのシーケンス図である。このシーケンスでは、初期状態において、ＵＴＭ装置３および通信端末５の電源が切断されているものとする。また、ＬＡＮ２におけるＵＴＭ装置３およびスイッチングハブ１のＩＰアドレス（ローカルＩＰアドレス）が予め設定されているものとする。
【００１８】
まず、ＵＴＭ装置３は、電源が投入されると（Ｓ１００）、ＬＡＮ２の接続構成を確認するための接続構成確認要求をＬＡＮ２側に同報送信する（Ｓ１０１）。この接続構成確認要求は、スイッチングハブ１−１およびスイッチングハブ１−２を経由して通信端末５−１、５−２へ送られるが、通信端末５−１、５−２は、いずれも電源が投入されていないため、接続構成確認要求を受信しない。
【００１９】
ここで、ＵＴＭ装置３から送信された接続構成確認要求は、スイッチングハブ１−１のポート番号「１」の通信ポート１０に入力される。スイッチングハブ１−１は、接続構成要求が入力されたポート番号「１」の通信ポート１０の転送パラメータが登録されていないことを確認し、この通信ポート１０のポート番号「１」および接続構成確認要求の送信元であるＵＴＭ装置３のＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）アドレスを含む転送パラメータを登録する（Ｓ１０２）。それから、この転送パラメータを含む接続構成通知を、例えばＳＮＭＰ（Ｓｉｍｐｌｅ  Ｎｅｔｗｏｒｋ  Ｍａｎａｇｅｍｅｎｔ  Ｐｒｏｔｏｃｏｌ）トラップを利用してＵＴＭ装置３に送信する（Ｓ１０４）。
【００２０】
また、スイッチングハブ１−１から送信された接続構成確認要求は、スイッチングハブ１−２のポート番号「１」の通信ポート１０に入力される。スイッチングハブ１−２は、接続構成要求が入力されたポート番号「１」の通信ポート１０の転送パラメータが登録されていないことを確認し、この通信ポート１０のポート番号「１」および接続構成確認要求の送信元であるＵＴＭ装置３のＭＡＣアドレスを含む転送パラメータを登録する（Ｓ１０３）。それから、この転送パラメータを含む接続構成通知を、例えばＳＮＭＰトラップを利用してＵＴＭ装置３に送信する（Ｓ１０５）。この接続構成通知は、スイッチングハブ１−１を経由してＵＴＭ装置３へ送られる。
【００２１】
ＵＴＭ装置３は、スイッチングハブ１−１、１−２から接続構成通知を受信すると、これらの接続構成通知に含まれている転送パラメータに基づいて、接続構成情報を生成して登録する（Ｓ１０６）。
【００２２】
具体的には、図５（Ａ）に示すように、接続構成通知の発信元であるスイッチングハブ１−１、１−２のＩＰアドレス毎に接続構成情報テーブル６−１、６−２（以下、接続構成情報テーブル６とも呼ぶ）を生成する。そして、スイッチングハブ１−１のＩＰアドレスに対応付けられた接続構成情報テーブル６−１に、ポート番号を登録するフィールド６１および送信元のＭＡＣアドレスを登録するフィールド６２を有するレコード６０を追加して、このレコード６０のフィールド６１およびフィールド６２に、スイッチングハブ１−１から受信した接続構成通知に含まれている転送パラメータのポート番号「１」およびＵＴＭ装置３のＭＡＣアドレスを登録する。同様に、スイッチングハブ１−２のＩＰアドレスに対応付けられた接続構成情報テーブル６−２にレコード６０を追加して、このレコード６０のフィールド６１およびフィールド６２に、スイッチングハブ１−２から受信した接続構成通知に含まれている転送パラメータのポート番号「１」およびＵＴＭ装置３のＭＡＣアドレスを登録する。
【００２３】
また、スイッチングハブ１−２から送信された接続構成通知は、スイッチングハブ１−１のポート番号「３」の通信ポート１０に入力される。スイッチングハブ１−１は、接続構成通知が入力されたポート番号「３」の通信ポート１０の転送パラメータが登録されていないことを確認し、この通信ポート１０のポート番号「３」および接続構成通知の送信元であるスイッチングハブ１−２のＭＡＣアドレスを含む転送パラメータを登録する（Ｓ１０７）。それから、この接続構成通知を、例えばＳＮＭＰトラップを利用してＵＴＭ装置３に送信する（Ｓ１０８）。
【００２４】
ＵＴＭ装置３は、スイッチングハブ１−１から接続構成通知を受信すると、この接続構成通知に含まれている転送パラメータに基づいて接続構成情報を更新する（Ｓ１０９）。
【００２５】
具体的には、図５（Ｂ）に示すように、スイッチングハブ１−１のＩＰアドレスに対応付けられた接続構成情報テーブル６−１にレコード６０を追加して、このレコード６０のフィールド６１およびフィールド６２に、スイッチングハブ１−１から受信した接続構成通知に含まれている転送パラメータのポート番号「３」およびスイッチングハブ１−２のＭＡＣアドレスを登録する。
【００２６】
その後、通信端末５−１の電源が投入されたものとする（Ｓ１１０）。
【００２７】
まず、通信端末５−１は、ＤＨＣＰクライアントとして、ＤＨＣＰサーバであるＵＴＭ装置３にＩＰアドレス設定要求を送信する（Ｓ１１１）。このＩＰアドレス設定要求は、ＵＴＭ装置３への帰属要求として機能し、スイッチングハブ１−２およびスイッチングハブ１−１を経由してＵＴＭ装置３へ送られる。
【００２８】
ＵＴＭ装置３は、通信端末５−１からＩＰアドレス設定要求を受信すると、接続構成情報テーブル６を用いてＵＴＭ装置３と通信端末５−１との間の通信ルートを探索可能か否か判断する。この段階では、ＵＴＭ装置３のＭＡＣアドレスがフィールド６２に登録されたレコード６０は接続構成情報テーブル６−１、６−２に登録されているが、通信端末５−１のＭＡＣアドレスがフィールド６２に登録されたレコード６０はいずれの接続構成情報テーブル６−１、６−２にも登録されていないため、ＵＴＭ装置３と通信端末５−１との間の通信ルートを探索できない。そこで、ＵＴＭ装置３は、ＵＴＭ装置３と通信端末５−１との間の通信ルートが確立されていないと判断し、この通信ルートが確立されるのを待つ（Ｓ１１２）。
【００２９】
ここで、通信端末５−１から送信されたＩＰアドレス設定要求は、スイッチングハブ１−２のポート番号「２」の通信ポート１０に入力される。スイッチングハブ１−２は、ＩＰアドレス設定要求が入力されたポート番号「２」の通信ポート１０の転送パラメータが登録されていないことを確認し、この通信ポート１０のポート番号「２」およびＩＰアドレス設定要求の送信元である通信端末５−１のＭＡＣアドレスを含む転送パラメータを登録する（Ｓ１１３）。それから、この転送パラメータを含む接続構成通知を、例えばＳＮＭＰトラップを利用してＵＴＭ装置３に送信する（Ｓ１１４）。この接続構成通知は、スイッチングハブ１−１を介してＵＴＭ装置３に送られる。
【００３０】
また、スイッチングハブ１−２から送信されたＩＰアドレス設定要求は、スイッチングハブ１−１のポート「３」の通信ポート１０に入力される。スイッチングハブ１−１は、ポート番号「３」の通信ポート１０の転送パラメータに含まれているＭＡＣアドレスがＩＰアドレス設定要求の送信元の通信端末５−１のＭＡＣアドレスと一致しないことを確認し、通信ポート１０のポート番号「３」およびＩＰアドレス設定要求の送信元である通信端末５−１のＭＡＣアドレスを含む転送パラメータを登録する（Ｓ１１５）。それから、この転送パラメータを含む接続構成通知を、例えばＳＮＭＰトラップを利用してＵＴＭ装置３に送信する（Ｓ１１６）。
【００３１】
なお、スイッチングハブ１−２から送信された接続構成通知は、スイッチングハブ１−１のポート番号「３」の通信ポート１０に入力される。ポート番号「３」の通信ポート１０の転送パラメータが登録されており、かつこの転送パラメータに含まれているＭＡＣアドレスが接続構成通知の送信元のスイッチングハブ１−２のＭＡＣアドレスと一致するため、つまり転送パラメータに変更がないため、スイッチングハブ１−１は、この転送パラメータを含む接続構成通知をＵＴＭ装置３に送信しない。
【００３２】
ＵＴＭ装置３は、スイッチングハブ１−１、１−２から接続構成通知を受信すると、この接続構成通知に含まれている転送パラメータに基づいて接続構成情報を更新する（Ｓ１１７）。
【００３３】
具体的には、図５（Ｃ）に示すように、スイッチングハブ１−２のＩＰアドレスに対応付けられた接続構成情報テーブル６−２にレコード６０を追加して、このレコード６０のフィールド６１およびフィールド６２に、スイッチングハブ１−２から受信した接続構成通知に含まれている転送パラメータのポート番号「２」および通信端末５−１のＭＡＣアドレスを登録する。同様に、スイッチングハブ１−１のＩＰアドレスに対応付けられた接続構成情報テーブル６−１にレコード６０を追加して、このレコード６０のフィールド６１およびフィールド６２に、スイッチングハブ１−１から受信した接続構成通知に含まれている転送パラメータのポート番号「３」および通信端末５−１のＭＡＣアドレスを登録する。
【００３４】
さて、ＵＴＭ装置３は、接続構成情報テーブル６が更新されると、更新された接続構成情報テーブル６を用いてＵＴＭ装置３と通信端末５−１との間の通信ルートを探索可能か否か再度判断する。この段階では、ＵＴＭ装置３のＭＡＣアドレスがフィールド６２に登録されたレコード６０は接続構成情報テーブル６−１、６−２に登録されており、かつ通信端末５−１のＭＡＣアドレスがフィールド６２に登録されたレコード６０は接続構成情報テーブル６−１、６−２に登録されているため、ＵＴＭ装置３と通信端末５−１との間の通信ルートを探索できる。そこで、ＵＴＭ装置３は、ＵＴＭ装置３と通信端末５−１との間の通信ルートが確立されたと判断し（Ｓ１１８）、後述の通信ルート探索処理を実施して、この通信ルートを探索する。そして、探索した通信ルート上にＶＰＮを構築するべく、例えばＳＮＭＰセットを利用してＶＰＮ設定要求をスイッチングハブ１−１、１−２に送信する（Ｓ１１９、Ｓ１２２）。
【００３５】
ここでは、スイッチングハブ１−１のポート番号「１」およびポート番号「３」の通信ポート１０間を接続して、スイッチングハブ１−１にＵＴＭ装置３とスイッチングハブ１−２との間を中継させ、かつスイッチングハブ１−２のポート番号「１」およびポート番号「２」の通信ポート１０間を接続して、スイッチングハブ１−２にスイッチングハブ１−１と通信端末５−１との間を中継させることにより、ＵＴＭ装置３と通信端末５−１との間に通信ルートを確立できる。ＵＴＭ装置３は、スイッチングハブ１−１に対して、通信端末５−１のＭＡＣアドレスおよび通信ポート１０のポート番号「１」、「３」の指定を含むＶＰＮ設定要求を送信し（Ｓ１１９）、スイッチングハブ１−２に対して、通信端末５−１のＭＡＣアドレスおよび通信ポート１０のポート番号「１」、「２」の指定を含むＶＰＮ設定要求を送信する（Ｓ１２２）。
【００３６】
スイッチングハブ１−１、１−２は、ＵＴＭ装置３からＶＰＮ設定要求を受信すると、このＶＰＮ設定要求で指定されているＭＡＣアドレスにより特定される通信端末５−１を宛先あるいは発信元とする通信パケットが、このＶＰＮ設定要求で指定されている２つの通信ポート１０間を中継されるようにＶＰＮを設定する（Ｓ１２０、Ｓ１２３）。ここで、スイッチングハブ１−１は、通信端末５−１を宛先あるいは発信元とする通信パケットがポート番号「１」およびポート番号「３」の通信ポート１０間を中継されるようにＶＰＮを設定し（Ｓ１２０）、スイッチングハブ１−２は、通信端末５−１を宛先あるいは発信元とする通信パケットがポート番号「１」およびポート番号「２」の通信ポート１０間を中継されるようにＶＰＮを設定する（Ｓ１２３）。これにより、ＵＴＭ装置３と通信端末５−１との間にＶＰＮが構築される。それから、スイッチングハブ１−１、１−２は、例えばＳＮＭＰレスポンスを利用してＶＰＮ設定完了通知をＵＴＭ装置３に送信する（Ｓ１２１、Ｓ１２４）。
【００３７】
つぎに、ＵＴＭ装置３は、スイッチングハブ１−１、１−２からＶＰＮ設定完了通知を受信すると、ＩＰアドレスを発行して、このＩＰアドレスを通信端末５−１に付与する（Ｓ１２５）。それから、ＵＴＭ装置３は、このＩＰアドレスを含むＩＰアドレス付与通知を通信端末５−１に送信する（Ｓ１２６）。このＩＰアドレス付与通知は、スイッチングハブ１−１およびスイッチングハブ１−２を介して通信端末５−１に送られる。
【００３８】
ここで、ＵＴＭ装置３から送信されたＩＰアドレス付与通知は、スイッチングハブ１−１のポート番号「１」の通信ポート１０に入力される。スイッチングハブ１−１は、ポート番号「１」の通信ポート１０の転送パラメータが登録されており、かつこの転送パラメータに含まれているＭＡＣアドレスがＩＰアドレス付与通知の送信元のＵＴＭ装置３のＭＡＣアドレスと一致するため、つまり転送パラメータに変更がないため、この転送パラメータを含む接続構成通知をＵＴＭ装置３に送信しない。同様に、スイッチングハブ１−１から送信されたＩＰアドレス付与通知は、スイッチングハブ１−２のポート番号「１」の通信ポート１０に入力される。スイッチングハブ１−２は、ポート番号「１」の通信ポート１０の転送パラメータが登録されており、かつこの転送パラメータに含まれているＭＡＣアドレスがＩＰアドレス付与通知の送信元のＵＴＭ装置３のＭＡＣアドレスと一致するため、つまり転送パラメータに変更がないため、この転送パラメータを含む接続構成通知をＵＴＭ装置３に送信しない。
【００３９】
通信端末５−１は、スイッチングハブ１−１、１−２を介してＵＴＭ装置３からＩＰアドレス付与通知を受信すると、自身のＩＰアドレスを、このＩＰアドレス付与通知に含まれているＩＰアドレスに設定する（Ｓ１２７）。
【００４０】
つぎに、通信端末５−２の電源が投入されたものとする（Ｓ１２８）。
【００４１】
まず、通信端末５−２は、ＤＨＣＰクライアントとして、ＤＨＣＰサーバであるＵＴＭ装置３にＩＰアドレス設定要求を送信する（Ｓ１２９）。このＩＰアドレス設定要求は、ＵＴＭ装置３への帰属要求として機能し、スイッチングハブ１−２およびスイッチングハブ１−１を経由してＵＴＭ装置３へ送られる。
【００４２】
ＵＴＭ装置３は、通信端末５−２からＩＰアドレス設定要求を受信すると、接続構成情報テーブル６を用いてＵＴＭ装置３と通信端末５−２との間の通信ルートを探索可能か否か判断する。この段階では、ＵＴＭ装置３のＭＡＣアドレスがフィールド６２に登録されたレコード６０は接続構成情報テーブル６−１、６−２に登録されているが、通信端末５−２のＭＡＣアドレスがフィールド６２に登録されたレコード６０はいずれの接続構成情報テーブル６−１、６−２にも登録されていないため、ＵＴＭ装置３と通信端末５−２との間の通信ルートを探索できない。そこで、ＵＴＭ装置３は、ＵＴＭ装置３と通信端末５−２との間の通信ルートが確立されていないと判断し、この通信ルートが確立されるのを待つ（Ｓ１３０）。
【００４３】
ここで、通信端末５−２から送信されたＩＰアドレス設定要求は、スイッチングハブ１−２のポート番号「３」の通信ポート１０に入力される。スイッチングハブ１−２は、ＩＰアドレス設定要求が入力されたポート番号「３」の通信ポート１０の転送パラメータが登録されていないことを確認し、この通信ポート１０のポート番号「３」およびＩＰアドレス設定要求の送信元の通信端末５−２のＭＡＣアドレスを含む転送パラメータを登録する（Ｓ１３１）。それから、この転送パラメータを含む接続構成通知を例えばＳＮＭＰトラップを利用してＵＴＭ装置３に送信する（Ｓ１３２）。この接続構成通知は、スイッチングハブ１−１を介してＵＴＭ装置３に送られる。
【００４４】
また、スイッチングハブ１−２から送信されたＩＰアドレス設定要求は、スイッチングハブ１−１のポート「３」の通信ポート１０に入力される。スイッチングハブ１−１は、ポート番号「３」の通信ポート１０の転送パラメータに含まれているＭＡＣアドレスがＩＰアドレス設定要求の送信元の通信端末５−２のＭＡＣアドレスと一致しないことを確認し、通信ポート１０のポート番号「３」およびＩＰアドレス設定要求の送信元である通信端末５−２のＭＡＣアドレスを含む転送パラメータを登録する（Ｓ１３３）。それから、この転送パラメータを含む接続構成通知を、例えばＳＮＭＰトラップを利用してＵＴＭ装置３に送信する（Ｓ１３４）。
【００４５】
なお、スイッチングハブ１−２から送信された接続構成通知は、スイッチングハブ１−１のポート番号「３」の通信ポート１０に入力される。スイッチングハブ１−１は、ポート番号「３」の通信ポート１０の転送パラメータが登録されており、かつこの転送パラメータに含まれているＭＡＣアドレスが接続構成通知の送信元のスイッチングハブ１−２のＭＡＣアドレスと一致するため、つまり転送パラメータに変更がないため、この転送パラメータを含む接続構成通知をＵＴＭ装置３に送信しない。
【００４６】
ＵＴＭ装置３は、スイッチングハブ１−１、１−２から接続構成通知を受信すると、この接続構成通知に含まれている転送パラメータに基づいて接続構成情報を更新する（Ｓ１３５）。
【００４７】
具体的には、図５（Ｄ）に示すように、スイッチングハブ１−２のＩＰアドレスに対応付けられた接続構成情報テーブル６−２にレコード６０を追加して、このレコード６０のフィールド６１およびフィールド６２に、スイッチングハブ１−２から受信した接続構成通知に含まれている転送パラメータのポート番号「３」および通信端末５−２のＭＡＣアドレスを登録する。同様に、スイッチングハブ１−１のＩＰアドレスに対応付けられた接続構成情報テーブル６−１にレコード６０を追加して、このレコード６０のフィールド６１およびフィールド６２に、スイッチングハブ１−１から受信した接続構成通知に含まれている転送パラメータのポート番号「３」および通信端末５−２のＭＡＣアドレスを登録する。
【００４８】
さて、ＵＴＭ装置３は、接続構成情報テーブル６が更新されると、更新された接続構成情報テーブル６を用いてＵＴＭ装置３と通信端末５−２との間の通信ルートを探索可能か否か再度判断する。この段階では、ＵＴＭ装置３のＭＡＣアドレスがフィールド６２に登録されたレコード６０は接続構成情報テーブル６−１、６−２に登録されており、かつ通信端末５−２のＭＡＣアドレスがフィールド６２に登録されたレコード６０は接続構成情報テーブル６−１、６−２に登録されているため、ＵＴＭ装置３と通信端末５−２との間の通信ルートを探索できる。そこで、ＵＴＭ装置３は、ＵＴＭ装置３と通信端末５−２との間の通信ルートが確立されたと判断し（Ｓ１３６）、後述の通信ルート探索処理を実施して、この通信ルートを探索する。そして、探索した通信ルート上にＶＰＮを構築するべく、例えばＳＮＭＰセットを利用してＶＰＮ設定要求をスイッチングハブ１−１、１−２に送信する（Ｓ１３７、Ｓ１４０）。
【００４９】
ここでは、スイッチングハブ１−１のポート番号「１」およびポート番号「３」の通信ポート１０間を接続して、スイッチングハブ１−１にＵＴＭ装置３とスイッチングハブ１−２との間を中継させるとともに、スイッチングハブ１−２のポート番号「１」およびポート番号「３」の通信ポート１０間を接続して、スイッチングハブ１−２にスイッチングハブ１−１と通信端末５−２との間を中継させることにより、ＵＴＭ装置３と通信端末５−２との間に通信ルートを確立できる。ＵＴＭ装置３は、通信端末５−２のＭＡＣアドレスおよび通信ポート１０のポート番号「１」、「３」の指定を含むＶＰＮ設定要求をスイッチングハブ１−１に送信し（Ｓ１３７）、通信端末５−２のＭＡＣアドレスおよび通信ポート１０のポート番号「１」、「３」の指定を含むＶＰＮ設定要求をスイッチングハブ１−２に送信する（Ｓ１４０）。
【００５０】
スイッチングハブ１−１、１−２は、ＵＴＭ装置３からＶＰＮ設定要求を受信すると、このＶＰＮ設定要求で指定されているＭＡＣアドレスにより特定される通信端末５−２を宛先あるいは発信元とする通信パケットが、このＶＰＮ設定要求で指定されている２つの通信ポート１０間を中継されるようにＶＰＮを設定する（Ｓ１３８、Ｓ１４１）。ここで、スイッチングハブ１−１は、通信端末５−２を宛先あるいは発信元とする通信パケットがポート番号「１」およびポート番号「３」の通信ポート１０間を中継されるようにＶＰＮを設定し（Ｓ１３８）、スイッチングハブ１−２は、通信端末５−２を宛先あるいは発信元とする通信パケットがポート番号「１」およびポート番号「３」の通信ポート１０間が中継されるようにＶＰＮを設定する（Ｓ１４１）。これにより、ＵＴＭ装置３と通信端末５−２との間にＶＰＮが構築される。それから、スイッチングハブ１−１、１−２は、例えばＳＮＭＰレスポンスを利用してＶＰＮ設定完了通知をＵＴＭ装置３に送信する（Ｓ１３９、Ｓ１４２）。
【００５１】
つぎに、ＵＴＭ装置３は、スイッチングハブ１−１、１−２からＶＰＮ設定完了通知を受信すると、ＩＰアドレスを発行して、このＩＰアドレスを通信端末５−２に付与する（Ｓ１４３）。それから、ＵＴＭ装置３は、このＩＰアドレスを含むＩＰアドレス付与通知を通信端末５−２に送信する（Ｓ１４４）。このＩＰアドレス付与通知は、スイッチングハブ１−１およびスイッチングハブ１−２を介して通信端末５−２に送られる。
【００５２】
ここで、ＵＴＭ装置３から送信されたＩＰアドレス付与通知は、スイッチングハブ１−１のポート番号「１」の通信ポート１０に入力される。スイッチングハブ１−１は、ポート番号「１」の通信ポート１０の転送パラメータが登録されており、かつこの転送パラメータに含まれているＭＡＣアドレスがＩＰアドレス付与通知の送信元のＵＴＭ装置３のＭＡＣアドレスと一致するため、つまり転送パラメータに変更がないため、この転送パラメータを含む接続構成通知をＵＴＭ装置３に送信しない。同様に、スイッチングハブ１−１から送信されたＩＰアドレス付与通知は、スイッチングハブ１−２のポート番号「１」の通信ポート１０に入力される。スイッチングハブ１−２は、ポート番号「１」の通信ポート１０の転送パラメータが登録されており、かつこの転送パラメータに含まれているＭＡＣアドレスがＩＰアドレス付与通知の送信元のＵＴＭ装置３のＭＡＣアドレスと一致するため、つまり転送パラメータに変更がないため、この転送パラメータを含む接続構成通知をＵＴＭ装置３に送信しない。
【００５３】
通信端末５−２は、スイッチングハブ１−１、１−２を介してＵＴＭ装置３からＩＰアドレス付与通知を受信すると、自身のＩＰアドレスを、このＩＰアドレス付与通知に含まれているＩＰアドレスに設定する（Ｓ１４５）。
【００５４】
つぎに、本実施の形態に係るＵＴＭシステムを構成するＵＴＭ装置３およびスイッチングハブ１の詳細を説明する。なお、通信端末５には既存の通信端末を利用できるので、その詳細な説明を省略している。
【００５５】
まず、ＵＴＭ装置３について説明する。
【００５６】
図６は、ＵＴＭ装置３の概略機能構成図である。
【００５７】
図示するように、ＵＴＭ装置３は、ＬＡＮインターフェース部３０と、ＷＡＮインターフェース部３１と、スイッチングハブ機能部３２と、セキュリティチェック部３３と、ＤＨＣＰサーバ機能部３４と、接続構成情報記憶部３５と、接続構成確認要求部３６と、接続構成通知受信部３７と、接続構成情報登録部３８と、通信ルート探索部３９と、ＶＰＮ設定要求部４０と、を備えている。
【００５８】
ＬＡＮインターフェース部３０はＬＡＮ２と通信するためのインターフェースであり、ＷＡＮインターフェース部３１はＷＡＮ４と通信するためのインターフェースである。
【００５９】
スイッチングハブ機能部３２は、スイッチングハブとして機能し、セキュリティチェック部３３を介してＬＡＮインターフェース部３０あるいはＷＡＮインターフェース部３１から受け取った通信パケットを、その宛先アドレスに基づいてＬＡＮインターフェース部３０あるいはＷＡＮインターフェース部３１に中継する。
【００６０】
セキュリティチェック部３３は、予め定められたルールに従い、ＬＡＮインターフェース部３０あるいはＷＡＮインターフェース部３１から受け取った通信パケットのセキュリティをチェックする。
【００６１】
ＤＨＣＰサーバ機能部３４は、ＤＨＣＰサーバとして機能し、ＤＨＣＰクライアントである通信端末５に対してＩＰアドレスを発行し付与する。
【００６２】
接続構成情報記憶部３５には、ＬＡＮ２を構成するスイッチングハブ１毎に、図５（Ａ）ないし図５（Ｄ）に示す接続構成情報テーブル６が記憶される。
【００６３】
接続構成確認要求部３６は、ＵＴＭ装置３の起動を含む所定のイベント発生時に、ＬＡＮ２の接続構成を確認するための接続構成確認要求を、ＬＡＮインターフェース部３０からＬＡＮ２へ同報送信する。
【００６４】
接続構成通知受信部３７は、ＬＡＮインターフェース部３０を介してスイッチングハブ１から接続構成通知を受信する。
【００６５】
接続構成情報登録部３８は、接続構成通知受信部３７により受信された接続構成通知に含まれている転送パラメータに従って接続構成情報記憶部３５の登録内容を更新する。
【００６６】
通信ルート探索部３９は、接続構成情報記憶部３５を用いて、ＤＨＣＰサーバ機能部３４にＩＰアドレス設定要求を送信した通信端末５とＵＴＭ装置３との間の通信ルートを探索する。
【００６７】
ＶＰＮ設定要求部４０は、通信ルート探索部３９により探索された通信端末５とＵＴＭ装置３との間の通信ルートにＶＰＮを構築するため、この通信ルート上に位置するスイッチングハブ１に、例えばＳＮＭＰセットを利用してＶＰＮ設定要求を送信する。
【００６８】
図７は、ＵＴＭ装置３の動作を説明するためのフロー図である。このフローは、ＵＴＭ装置３が起動あるいは再起動することにより開始される。
【００６９】
まず、接続構成確認要求部３６は、接続構成確認要求をＬＡＮインターフェース部３０から同報送信する（Ｓ３００）。
【００７０】
つぎに、ＬＡＮインターフェース部３０あるいはＷＡＮインターフェース部３１は、通信パケットを受信すると（Ｓ３０１でＹＥＳ）、この通信パケットを解析する（Ｓ３０２）。ここで、ＬＡＮインターフェース部３０は、ＬＡＮ２から受信した通信パケットが、自ＵＴＭ装置３を宛先とするＩＰアドレス設定要求であるならば（Ｓ３０２で「ＩＰアドレス設定要求」）、このＩＰアドレス設定要求をＤＨＣＰサーバ機能部３４に渡して処理をＳ３０３に進め、自ＵＴＭ装置３を宛先とする接続構成通知であるならば（Ｓ３０２で「接続構成通知」）、この接続構成通知を接続構成通知受信部３７に渡して処理をＳ３０５に進め、そして、自ＵＴＭ装置３以外を宛先とする中継対象の通信パケットであるならば（Ｓ３０２で「中継パケット」）、この通信パケットをセキュリティチェック部３３に渡して処理をＳ３１４に進める。また、ＷＡＮインターフェース部３１は、ＷＡＮ４から受信した通信パケットが、自ＵＴＭ装置３以外を宛先とする中継対象の通信パケットであるならば（Ｓ３０２で「中継パケット」）、この通信パケットをセキュリティチェック部３３に渡して処理をＳ３１４に進める。
【００７１】
Ｓ３０３において、ＤＨＣＰサーバ機能部３４は、通信ルート探索部３９に、ＩＰアドレス設定要求発信元の通信端末５のＭＡＣアドレスを渡して、この通信端末５および自ＵＴＭ装置３間の通信ルートの探索を依頼する。これを受けて、通信ルート探索部３９は、接続構成情報記憶部３５を用いて通信ルートの探索可否を判断する。
【００７２】
具体的には、接続構成情報記憶部３５内のいずれかの接続構成情報テーブル６に、自ＵＴＭ装置３のＭＡＣアドレスが登録されたレコード６０が登録され、かつ接続構成情報記憶部３５内の自ＵＴＭ装置３のＭＡＣアドレスが登録されたレコード６０が登録されたすべての接続構成情報テーブル６に、ＩＰアドレス設定要求発信元の通信端末５のＭＡＣアドレスが登録されたレコード６０が登録されている場合には、通信ルートを探索可能と判断し、それ以外の場合には、通信ルートを探索不可能と判断する。そして、通信ルートを探索可能と判断したならば（Ｓ３０３でＹＥＳ）、Ｓ３０８に進む。一方、通信ルートを探索不可能と判断したならば（Ｓ３０３でＮＯ）、ＩＰアドレス設定要求発信元の通信端末５のＭＡＣアドレスに対応付けられた通信ルート確立待ちフラグを登録し（Ｓ３０４）、ＤＨＣＰサーバ機能部３４に、ＩＰアドレスの発行を待つように指示する。それから、Ｓ３０１に戻り、ＬＡＮインターフェース部３０あるいはＷＡＮインターフェース部３１が通信パケットを新たに受信するのを待つ。
【００７３】
また、Ｓ３０５において、接続構成通知受信部３７は、ＬＡＮインターフェース部３０から受け取った接続構成通知を接続構成情報登録部３８に渡す。そして、接続構成情報登録部３８は、この接続構成通知に基づいて接続構成情報記憶部３５に接続構成情報を登録または接続構成情報記憶部３５の接続構成情報を更新する。
【００７４】
具体的には、接続構成情報登録部３８は、接続構成通知の発信元であるスイッチングハブ１のＩＰアドレスに対応付けられた接続構成情報テーブル６が接続構成情報記憶部３５に記憶されているか否かを判断する。記憶されていないならば、接続構成通知の発信元であるスイッチングハブ１のＩＰアドレスに対応付けられた接続構成情報テーブル６を接続構成情報記憶部３５に追加して、この接続構成情報テーブル６にレコード６０を追加する。そして、追加したレコード６０に、接続構成通知に含まれている転送パラメータ（通信ポート１０のポート番号およびこの通信ポート１０に入力された通信パケットの送信元のＭＡＣアドレス）を登録する。一方、接続構成通知の発信元であるスイッチングハブ１のＩＰアドレスに対応付けられた接続構成情報テーブル６が接続構成情報記憶部３５に記憶されているならば、この接続構成情報テーブル６から、接続構成通知に含まれている転送パラメータのポート番号およびＭＡＣアドレスを含むレコード６０を検索する。そして、レコード６０を検索できなかったならば、この接続構成情報テーブル６にレコード６０を追加し、このレコード６０に、接続構成通知に含まれている転送パラメータを登録する。
【００７５】
接続構成情報登録部３８によって接続構成情報記憶部３５が更新されると、通信ルート探索部３９は、通信ルート確立待ちフラグが登録されているか否かを判断する（Ｓ３０６）。通信ルート確立待ちフラグが登録されていないならば（Ｓ３０６でＮＯ）、Ｓ３０１に戻り、ＬＡＮインターフェース部３０あるいはＷＡＮインターフェース部３１が通信パケットを新たに受信するのを待つ。
【００７６】
一方、通信ルート確立待ちフラグが登録されているならば（Ｓ３０６でＹＥＳ）、通信ルート探索部３９は、Ｓ３０３と同様の要領により、接続構成情報記憶部３５を用いて通信ルートの探索可否を判断する（Ｓ３０７）。通信ルートを探索不可能と判断したならば（Ｓ３０７でＮＯ）、Ｓ３０１に戻り、ＬＡＮインターフェース部３０あるいはＷＡＮインターフェース部３１が通信パケットを新たに受信するのを待つ。
【００７７】
一方、通信ルートを探索可能と判断したならば（Ｓ３０７でＹＥＳ）、接続構成情報記憶部３５を用いて後述の通信ルート探索処理を実施して、自ＵＴＭ装置３とＩＰアドレス設定要求発信元の通信端末５との間の中継ルートを探索する（Ｓ３０８）。つぎに、通信ルート探索部３９は、探索した中継ルートを、ＩＰアドレス設定要求発信元の通信端末５のＭＡＣアドレスとともにＶＰＮ設定要求部４０に渡してＶＰＮの構築を指示する。これを受けて、ＶＰＮ設定要求部４０は、中継ルート上に位置するスイッチングハブ１各々に対して、自ＵＴＭ装置３とＩＰアドレス設定要求発信元の通信端末５との間にＶＰＮを構築するためのＶＰＮ設定要求を、ＬＡＮインターフェース部３０から送信する（Ｓ３０９）。具体的には、中継ルートに含まれている後述の中継ポイント情報毎に、ＩＰアドレス設定要求発信元の通信端末５のＭＡＣアドレスおよび中継ポイント情報に含まれている２つの中継ポートのポート番号を含むＶＰＮ設定要求を、中継ポイント情報に含まれている中継ハブに送信する。それから、通信ルート探索部３９は、ＬＡＮインターフェース部３０を介して、通信ルート上に位置するスイッチングハブ１各々からＶＰＮ設定完了通知を受信して（Ｓ３１０）、ＶＰＮの構築完了を通信ルート探索部３９に通知する。
【００７８】
通信ルート探索部３９は、ＶＰＮ設定要求部４０からＶＰＮの構築完了の通知を受け取ったならば、通信ルート確立待ちフラグの登録を解除する（Ｓ３１１）。その後、ＤＨＣＰサーバ機能部３４にＩＰアドレスの発行を許可する。これを受けて、ＤＨＣＰサーバ機能部３４は、ＩＰアドレス設定要求発信元の通信端末５に対して、ＩＰアドレスを発行し（Ｓ３１２）、このＩＰアドレスを含むＩＰアドレス付与通知をＬＡＮインターフェース部３０から送信する（Ｓ３１３）。その後、Ｓ３０１に戻り、ＬＡＮインターフェース部３０あるいはＷＡＮインターフェース部３１が通信パケットを新たに受信するのを待つ。
【００７９】
また、Ｓ３１４において、セキュリティチェック部３３は、予め定められたルールに従い、ＬＡＮインターフェース部３０あるいはＷＡＮインターフェース部３１から受け取った通信パケットのセキュリティをチェックする（Ｓ３１４）。そして、既知のウィルスに感染している等の所定の条件に該当せず、セキュリティに問題がない場合は（Ｓ３１５でＹＥＳ）、この通信パケットをスイッチングハブ機能部３２に渡す。スイッチングハブ機能部３２は、セキュリティチェック部３３から受け取った通信パケットを、その宛先アドレスに従いＬＡＮインターフェース部３０からＬＡＮ２あるいはＷＡＮインターフェース部３１からＷＡＮ４に中継する（Ｓ３１６）。その後、Ｓ３０１に戻り、ＬＡＮインターフェース部３０あるいはＷＡＮインターフェース部３１が通信パケットを新たに受信するのを待つ。
【００８０】
一方、所定の条件に該当し、セキュリティに問題がある場合（Ｓ３１５でＮＯ）、セキュリティチェック部３３は、この通信パケットを、スイッチングハブ機能部３２に渡すことなく破棄する（Ｓ３１７）。その後、Ｓ３０１に戻り、ＬＡＮインターフェース部３０あるいはＷＡＮインターフェース部３１が通信パケットを新たに受信するのを待つ。
【００８１】
図８は、図７に示す通信ルート探索処理Ｓ３０８を説明するためのフロー図である。
【００８２】
まず、通信ルート探索部３９は、接続構成情報記憶部３５から注目テーブルとして未設定の接続構成情報テーブル６を選択し、これを注目テーブルに設定する（Ｓ３２０）。
【００８３】
つぎに、通信ルート探索部３９は、注目テーブルから自ＵＴＭ装置３のＭＡＣアドレスがフィールド６２に登録されているレコード６０を検索する（Ｓ３２１）。そして、注目テーブルに、自ＵＴＭ装置３のＭＡＣアドレスがフィールド６２に登録されているレコード６０が登録されていないならば（Ｓ３２１でＮＯ）、Ｓ３２４に進む。
【００８４】
一方、注目テーブルに、自ＵＴＭ装置３のＭＡＣアドレスがフィールド６２に登録されているレコード６０が登録されているならば（Ｓ３２１でＹＥＳ）、通信ルート探索部３９は、注目テーブルからＩＰアドレス設定要求発信元の通信端末５のＭＡＣアドレスがフィールド６２に登録されているレコード６０をさらに検索する（Ｓ３２２）。そして、注目テーブルに、ＩＰアドレス設定要求発信元の通信端末５のＭＡＣアドレスがフィールド６２に登録されているレコード６０が登録されていないならば（Ｓ３２２でＮＯ）、Ｓ３２４に進む。
【００８５】
一方、注目テーブルに、ＩＰアドレス設定要求発信元の通信端末５のＭＡＣアドレスがフィールド６２に登録されているレコード６０が登録されているならば（Ｓ３２２でＮＯ）、通信ルート探索部３９は、中継ポイント情報を作成する（Ｓ３２３）。具体的には、注目テーブルに対応付けられているスイッチングハブ１を中継ハブに設定する。また、注目テーブルにおいて、自ＵＴＭ装置３のＭＡＣアドレスがフィールド６２に登録されているレコード６０のフィールド６１に登録されている通信ポート１０のポート番号、およびＩＰアドレス設定要求発信元の通信端末５のＭＡＣアドレスがフィールド６２に登録されているレコード６０のフィールド６１に登録されている通信ポート１０のポート番号を、この中継ハブにおける中継ポートに設定する。そして、中継ハブおよび中継ポートを含む中継ポイント情報を作成する。それから、Ｓ３２４に進む。
【００８６】
Ｓ８２４において、通信ルート探索部３９は、接続構成情報記憶部３５内のすべての接続構成情報テーブル６を注目テーブルとして設定済みか否かを判断する。接続構成情報記憶部３５内に注目テーブルとして未設定の接続構成情報テーブル６があるならば（Ｓ３２４でＮＯ）、Ｓ３２０に戻る。
【００８７】
一方、接続構成情報記憶部３５内のすべての接続構成情報テーブル６を注目テーブルとして設定済みならば（Ｓ３２４でＹＥＳ）、これまでに作成した中継ポイント情報により特定される通信ルートを、自ＵＴＭ装置３およびＩＰアドレス設定要求発信元の通信端末５間の中継ルートに決定する（Ｓ３２５）。
【００８８】
つぎに、スイッチングハブ１について説明する。
【００８９】
図９は、スイッチングハブ１の概略機能構成図である。
【００９０】
図示するように、スイッチングハブ１は、ＬＡＮインターフェース部１１と、スイッチング部１２と、転送パラメータ記憶部１３と、転送パラメータ更新部１４と、接続構成通知送信部１５と、ＶＰＮ設定部１６と、を備えている。
【００９１】
ＬＡＮインターフェース部１１はＬＡＮ２と通信するためのインターフェースであり、複数の通信ポート１０を有する。
【００９２】
スイッチング部１２は、ＬＡＮインターフェース部１１のいずれかの通信ポート１０に入力された通信パケットを、その宛先アドレスに基づいてＬＡＮインターフェース部１１のいずれかの通信ポート１０に中継する。
【００９３】
転送パラメータ記憶部１３には、ＬＡＮインターフェース部１１の通信ポート１０の転送パラメータが記憶される。図１０は、転送パラメータ記憶部１３の登録内容例を模式的に表した図である。図示するように、転送パラメータ記憶部１３には、通信ポート１０およびＭＡＣアドレスの組合せ毎に転送パラメータのレコード１３０が記憶される。レコード１３０は、通信ポート１０のポート番号が登録されたフィールド１３１と、この通信ポート１０に入力された通信パケットの送信元ＭＡＣアドレスを登録するためのフィールド１３２と、を有する。
【００９４】
転送パラメータ更新部１４は、ＬＡＮインターフェース部１１の通信ポート１０に入力された通信パケットに基づいて転送パラメータ記憶部１３の登録内容を更新する。
【００９５】
接続構成通知送信部１５は、転送パラメータ記憶部１３を監視し、転送パラメータ更新部１４により追加された転送パラメータのレコード１３０を含む接続構成通知を、例えばＳＮＭＰトラップを利用してＵＴＭ装置３に送信する。
【００９６】
ＶＰＮ設定部１６は、ＬＡＮインターフェース部１１を介してＵＴＭ装置３から受信したＶＰＮ設定要求に従い、通信端末５を宛先あるいは発信元とする通信パケットがＬＡＮインターフェース部１１内の２つの通信ポート１０間を中継されるようにＶＰＮを設定する。そして、例えばＳＮＭＰレスポンスを利用してＵＴＭ装置３にＶＰＮ設定完了通知を送信する。
【００９７】
図１１は、スイッチングハブ１の動作を説明するためのフロー図である。
【００９８】
ＬＡＮインターフェース部１１は、いずれかの通信ポート１０に通信パケットが入力されると（Ｓ４００でＹＥＳ）、この通信パケットが、ＵＴＭ装置３から自スイッチングハブ１に送られたＶＰＮ設定要求ならば（Ｓ４０１でＹＥＳ）、このＶＰＮ設定要求をＶＰＮ設定部１６に渡す。これを受けて、ＶＰＮ設定部１６は、このＶＰＮ設定要求で指定されている通信端末５を宛先あるいは発信元とする通信パケットが、このＶＰＮ設定要求で指定されている２つの中継ポート１０間を中継されるようにＶＰＮを設定する（Ｓ４０２）。それから、ＶＰＮ設定部１６は、ＬＡＮインターフェース部１１（具体的にはＶＰＮ設定要求が入力された通信ポート１０）からＵＴＭ装置３にＶＰＮ設定完了通知を送信する（Ｓ４０３）。その後、Ｓ４００に戻り、新たな通信パケットがＬＡＮインターフェース部１１のいずれかの通信ポート１０に入力されるのを待つ。
【００９９】
一方、ＬＡＮインターフェース部１１は、ＬＡＮインターフェース部１１のいずれかの通信ポート１０に入力された通信パケットが、自スイッチングハブ１以外を宛先とする中継対象の通信パケットならば（Ｓ４０１でＮＯ）、この通信パケットをスイッチング部１２に渡す。これを受けて、スイッチング部１２は、ＬＡＮインターフェース部１１から受け取った通信パケットの宛先あるいは発信元の通信端末５に対してＶＰＮが設定されているか否かを判断する（Ｓ４０４）。
【０１００】
そして、ＶＰＮが設定されているならば（Ｓ４０４でＹＥＳ）、このＶＰＮに従って通信パケットを中継する（Ｓ４０５）。具体的には、ＶＰＮが設定されている２つの中継ポート１０のうち、通信パケットが入力された中継ポート１０以外の中継ポート１０に、この通信パケットを中継する。その後、Ｓ４００に戻り、新たな通信パケットがＬＡＮインターフェース部１１のいずれかの通信ポート１０に入力されるのを待つ。
【０１０１】
一方、ＬＡＮインターフェース部１１から受け取った通信パケットの宛先あるいは発信元の通信端末５に対してＶＰＮが設定されていない場合（Ｓ４０４でＮＯ）、スイッチング部１２は、この通信パケットを、その宛先アドレスに従いＬＡＮインターフェース部１１のいずれかの通信ポート１０に中継する（Ｓ４０６）。
【０１０２】
また、転送パラメータ更新部１４は、通信パケットが入力された通信ポート１０のポート番号がフィールド１３１に登録されている転送パラメータのレコード１３０を転送パラメータ記憶部１３から検索する。そして、この検索したレコード１３０のフィールド１３２に登録されているＭＡＣアドレスが通信パケットの送信元ＭＡＣアドレスと一致するか否かを判断する（Ｓ４０７）。そして、一致するならば（Ｓ４０７でＹＥＳ）、Ｓ４００に戻り、新たな通信パケットがＬＡＮインターフェース部１１のいずれかの通信ポート１０に入力されるのを待つ。一方、検索したレコード１３０のフィールド１３２に登録されているＭＡＣアドレスが通信パケットの送信元のＭＡＣアドレスと一致しない場合、あるいは、通信パケットが入力された通信ポート１０のポート番号がフィールド１３１に登録されている転送パラメータのレコード１３０が存在しない場合（Ｓ４０７でＮＯ）、転送パラメータ更新部１４は、転送パラメータ記憶部１３にレコード６０を追加し、このレコード６０のフィールド６１およびフィールド６２に、通信パケットが入力された通信ポート１０のポート番号および通信パケットの送信元ＭＡＣアドレスを登録する（Ｓ４０８）。そして、接続構成通知送信部１５は、更新あるいは新規登録された転送パラメータのレコード１３０を含む接続構成通知をＬＡＮインターフェース部１１からＵＴＭ装置３に送信する（Ｓ４０９）。その後、Ｓ４００に戻り、新たな通信パケットがＬＡＮインターフェース部１１のいずれかの通信ポート１０に入力されるのを待つ。
【０１０３】
以上、本発明の一実施の形態を説明した。
【０１０４】
本実施の形態では、ＵＴＭ装置３にスイッチングハブ機能を持たせるともに、ＶＰＮ機能を有する１以上のスイッチングハブ１でＬＡＮ２を構成する。そして、ＬＡＮ２に接続された通信端末５毎に、通信端末５とＵＴＭ装置３との間にＶＰＮが形成されるように各スイッチングハブ１を設定することにより、通信端末５と相手端末との間の通信ルートにＵＴＭ装置３を介在させて、相手端末と通信トラヒックをやり取りする通信端末５のセキュリティをＵＴＭ装置３に管理させる。したがって、本実施の形態によれば、ＬＡＮ２およびＷＡＮ４間の通信トラヒックのみならず、ＬＡＮ２内の通信端末５間の通信トラヒックについても、そのセキュリティを管理して、セキュリティ上の問題がある通信トラヒックを確実に遮断することができる。
【０１０５】
また、本実施の形態において、ＵＴＭ装置３は、ＬＡＮ２に接続構成確認要求の通信パケットを同報送信して、ＬＡＮ２を構成する各スイッチングハブ１から、通信パケットの送信元のアドレスおよびこの通信パケットが入力された通信ポート１０のポート番号を含む転送パラメータ（接続構成通知）を受信し、受信した転送パラメータを、この転送パラメータの発信元であるスイッチングハブ１に対応付けて記憶する。また、ＵＴＭ装置３は、帰属要求（ＩＰアドレス設定要求）を受信すると、各スイッチングハブ１から受信した転送パラメータに基づいて、帰属要求発信元の通信端末５とＵＴＭ装置３とを繋ぐ通信ルートを探索する。そして、探索された通信ルート上に位置するスイッチングハブ１に対して、この通信ルート上に位置する２つの通信ポート１０および帰属要求発信元の通信端末５の指定を含むＶＰＮ設定要求を送信する。
【０１０６】
また、スイッチングハブ１は、通信ポート１０のポート番号およびこの通信ポート１０に入力された通信パケットの送信元のアドレスを含む転送パラメータを記憶しており、いずれかの通信ポート１０に通信パケットが入力された場合に、この通信ポートの転送パラメータに含まれている送信元のアドレスがこの通信パケットの送信元のアドレスと異なるならば、あるいはこの通信ポートの転送パラメータが記憶されていないならば、この通信ポートの転送パラメータを登録するとともに、登録された転送パラメータを含む接続構成通知をＵＴＭ装置３に送信する。また、スイッチングハブ１は、ＵＴＭ装置３より受信したＶＰＮ設定要求で指定されている通信端末５を発信元あるいは宛先とする通信パケットが、ＶＰＮ設定要求で指定されている２つの通信ポート間を中継されるようにＶＰＮを設定する。
【０１０７】
したがって、本実施の形態によれば、ＵＴＭ装置３は、ＬＡＮ２の接続構成を自動的に認識して、通信端末５毎に、通信端末５とＵＴＭ装置３との間にＶＰＮを構築することができる。このため、操作者は、通信端末５毎に、通信端末５およびＵＴＭ装置３間の通信ルートを調べて、この通信ルート上にＶＰＮが構築されるように各スイッチングハブ１を設定する必要がない。したがって、操作者の作業負担を低減することができる。
【０１０８】
なお、本発明は上記の実施の形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。
【０１０９】
例えば、上記の実施の形態では、ＵＴＭ装置３において、通信端末５およびＵＴＭ装置３間の通信ルートを探索するトリガとして、この通信端末５から送信されたＩＰアドレス設定要求を用いているが、通信端末５から送信されたＩＰアドレス設定要求以外の通信パケット（帰属要求）を用いることができる。
【０１１０】
また、上記の実施の形態において、図６に示すＵＴＭ装置３の機能構成は、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ  Ｓｐｅｃｉｆｉｃ  Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ  Ｐｒｏｇｒａｍｍａｂｌｅ  Ｇａｔｅ  Ａｒｒａｙ）などの集積ロジックＩＣによりハード的に実現されるものでもよいし、あるいはＤＳＰ（Ｄｉｇｉｔａｌ  Ｓｉｇｎａｌ  Ｐｒｏｃｅｓｓｏｒ）などの計算機によりソフトウエア的に実現されるものでもよい。または、ＣＰＵ、メモリ、ＨＤＤ、ＤＶＤ−ＲＯＭ等の補助記憶装置、およびＮＩＣ（Ｎｅｔｗｏｒｋ  Ｉｎｔｅｒｆａｃｅ  Ｃａｒｄ）等の通信機を備えたＰＣ（Ｐｅｒｓｏｎａｌ  Ｃｏｍｐｕｔｅｒ）等のコンピュータシステムにおいて、ＣＰＵが所定のプログラムを補助記憶装置からメモリ上にロードして実行することで実現されるものでもよい。また、図９に示すスイッチングハブ１の機能構成も、ＡＳＩＣ、ＦＰＧＡなどの集積ロジックＩＣによりハード的に実現されるものでもよいし、あるいはＤＳＰなどの計算機によりソフトウエア的に実現されるものでもよい。
【符号の説明】
【０１１１】
１、１−１、１−２：スイッチングハブ、  ２：ＬＡＮ、  ３：ＵＴＭ装置、  ４：ＷＡＮ、  ５、５−１、５−２：通信端末、  １０：通信ポート、  １１：ＬＡＮインターフェース部、  １２：スイッチング部、  １３：転送パラメータ記憶部、  １４：転送パラメータ更新部、  １５：接続構成通知送信部、  １６：ＶＰＮ設定部、  ３０：ＬＡＮインターフェース部、  ３１：ＷＡＮインターフェース部、  ３２：スイッチングハブ機能部、  ３３：セキュリティチェック部、  ３４：ＤＨＣＰサーバ機能部、  ３５：接続構成情報記憶部、  ３６：接続構成確認要求部、  ３７：接続構成通知受信部、  ３８：接続構成情報登録部、  ３９：通信ルート探索部、  ４０：ＶＰＮ設定要求部
【図１】
0006623917.tif 000002
【図２】
0006623917.tif 000003
【図３】
0006623917.tif 000004
【図４】
0006623917.tif 000005
【図５】
0006623917.tif 000006
【図６】
0006623917.tif 000007
【図７】
0006623917.tif 000008
【図８】
0006623917.tif 000009
【図９】
0006623917.tif 000010
【図１０】
0006623917.tif 000011
【図１１】
0006623917.tif 000012