(57)【特許請求の範囲】
【請求項１】
コンピュータからの接続要求に先立って行われる接続予告時に仲介サーバーを介して送られてくる前記コンピュータの第１識別情報を取得する第１取得手段と、
前記コンピュータからの接続要求時に前記仲介サーバーを介することなく送られてくる前記コンピュータの第２識別情報を取得する第２取得手段と、
前記第１識別情報から特定される当該コンピュータの属するネットワークと、前記第２識別情報から特定される当該コンピュータの属するネットワークが同一の場合、前記接続要求に応じて前記コンピュータの接続を許可する許可手段と、
を有することを特徴とするネットワーク接続装置。
【請求項２】
前記許可手段は、前記第１識別情報と前記第２識別情報が一致しなくても、前記第１識別情報から特定される当該コンピュータの属するネットワークと、前記第２識別情報から特定される当該コンピュータの属するネットワークが同一の場合、前記接続要求に応じて前記コンピュータの接続を許可することを特徴とする請求項１に記載のネットワーク接続装置。
【請求項３】
前記コンピュータの前記第１識別情報と前記第２識別情報がグローバルアドレスである場合に、当該グローバルアドレスから前記コンピュータのドメイン名を取得するドメイン名取得手段を有し、
前記許可手段は、各識別情報に対応するドメイン名が一致する場合、前記接続要求に応じて前記コンピュータの接続を許可することを特徴とする請求項１に記載のネットワーク接続装置。
【請求項４】
前記コンピュータの前記第１識別情報と前記第２識別情報は、当該コンピュータを使用するユーザーの識別情報に基づき生成された前記コンピュータの同一性を示す情報であり、
前記許可手段は、前記第２識別情報が前記第１識別情報と一致する場合、前記接続要求に応じて前記コンピュータの接続を許可することを特徴とする請求項１に記載のネットワーク接続装置。
【請求項５】
コンピュータと、
仲介サーバーと、
ネットワーク接続装置と、
を有し、
前記コンピュータは、接続要求を前記ネットワーク接続装置へ送信するのに先立って接続予告を前記仲介サーバーへ送信する手段を有し、
前記仲介サーバーは、前記コンピュータからの接続予告を前記ネットワーク接続装置へ送信する手段を有し、
前記ネットワーク接続装置は、
前記コンピュータからの接続要求に先立って前記仲介サーバーから送られてくる前記コンピュータの第１識別情報を取得する第１取得手段と、
前記コンピュータからの接続要求時に送られてくる前記コンピュータの第２識別情報を取得する第２取得手段と、
前記第１識別情報から特定される当該コンピュータの属するネットワークと、前記第２識別情報から特定される当該コンピュータの属するネットワークが同一の場合、前記接続要求に応じて前記コンピュータの接続を許可する許可手段と、
を有することを特徴とするネットワーク接続システム。
【請求項６】
コンピュータを、
他のコンピュータからの接続要求に先立って行われる接続予告時に仲介サーバーを介して送られてくる前記他のコンピュータの第１識別情報を取得する第１取得手段、
前記他のコンピュータからの接続要求時に前記仲介サーバーを介することなく送られてくる前記他のコンピュータの第２識別情報を取得する第２取得手段、
前記第１識別情報から特定される当該コンピュータの属するネットワークと、前記第２識別情報から特定される当該コンピュータの属するネットワークが同一の場合、前記接続要求に応じて前記コンピュータの接続を許可する許可手段、
として機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク接続装置、ネットワーク接続システム及びプログラムに関する。
【背景技術】
【０００２】
信頼できるサーバー（仲介サーバー）から予め知らされていたアドレスのクライアントのみからのプライベートネットワークへの接続を許可し、それ以外のクライアントからの通信を遮断する方式を採用するＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）サーバーがある。このＶＰＮサーバーは、クライアントからの接続要求に先立ってそのクライアントのＩＰアドレスを仲介サーバーを介して取得しておき、クライアントからの接続要求時に、そのクライアントから直接取得したＩＰアドレスを、仲介サーバーから事前に取得したＩＰアドレスと照合する。照合の結果、アドレスが一致した場合、ＶＰＮサーバーは、当該クライアントのプライベートネットワークへのアクセスを許可する。
【０００３】
この方式を採用すると、不正なクライアントからの通信には一切応答しないため、ＶＰＮサーバーの存在が不正なクライアントに知られないという特徴がある。
【０００４】
一方、通信経路上の傍受を阻止するため暗号化通信の利用が増えているが、復号と再暗号化を行うとゲートウェイの負荷が高くなるため非暗号化通信のスループットにも影響を与えかねない。そこで、プロバイダ側では複数のゲートウェイを用意して処理性能の低下を防ぐなどの対策を講じている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００５−０９２６００号公報
【特許文献２】特開２００９−０８９０６２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
上記のように、プロバイダ側が複数のゲートウェイを用意する場合、クライアントがＶＰＮサーバーへの接続要求に先立って仲介サーバーへ接続予告を行うときに用いられるゲートウェイと、クライアントがＶＰＮサーバーへ接続要求を直接行うときに用いられるゲートウェイと、が異なる場合がある。この場合、各ゲートウェイがクライアントに割り当てるグローバルアドレスが異なることで、ＶＰＮサーバーは、同じクライアントから発せられた接続予告と接続要求とが異なるクライアントから発せられたものとみなして接続要求を拒絶してしまうことにもなりかねない。
【０００７】
本発明は、コンピュータからの接続要求時に取得した当該コンピュータの識別情報が、その接続要求に先立って行われる接続予告時に取得したコンピュータの識別情報と一致しない場合でも、接続予告をしたコンピュータと接続要求をしたコンピュータとの同一性が確認できた場合に接続を許可することを目的とする。
【課題を解決するための手段】
【０００８】
本発明に係るネットワーク接続装置は、コンピュータからの接続要求に先立って行われる接続予告時に仲介サーバーを介して送られてくる前記コンピュータの第１識別情報を取得する第１取得手段と、前記コンピュータからの接続要求時に前記仲介サーバーを介することなく送られてくる前記コンピュータの第２識別情報を取得する第２取得手段と、前記第１識別情報から特定される当該コンピュータの属するネットワークと、前記第２識別情報から特定される当該コンピュータの属するネットワークが同一の場合、前記接続要求に応じて前記コンピュータの接続を許可する許可手段と、を有することを特徴とする。
【０００９】
また、前記許可手段は、前記第１識別情報と前記第２識別情報が一致しなくても、前記第１識別情報から特定される当該コンピュータの属するネットワークと、前記第２識別情報から特定される当該コンピュータの属するネットワークが同一の場合、前記接続要求に応じて前記コンピュータの接続を許可することを特徴とする。
【００１０】
また、前記コンピュータの前記第１識別情報と前記第２識別情報がグローバルアドレスである場合に、当該グローバルアドレスから前記コンピュータのドメイン名を取得するドメイン名取得手段を有し、前記許可手段は、各識別情報に対応するドメイン名が一致する場合、前記接続要求に応じて前記コンピュータの接続を許可することを特徴とする。
【００１１】
また、前記コンピュータの前記第１識別情報と前記第２識別情報は、当該コンピュータを使用するユーザーの識別情報に基づき生成された前記コンピュータの同一性を示す情報であり、前記許可手段は、前記第２識別情報が前記第１識別情報と一致する場合、前記接続要求に応じて前記コンピュータの接続を許可することを特徴とする。
【００１２】
本発明に係るネットワーク接続システムは、コンピュータと、仲介サーバーと、ネットワーク接続装置と、を有し、前記コンピュータは、接続要求を前記ネットワーク接続装置へ送信するのに先立って接続予告を前記仲介サーバーへ送信する手段を有し、前記仲介サーバーは、前記コンピュータからの接続予告を前記ネットワーク接続装置へ送信する手段を有し、前記ネットワーク接続装置は、前記コンピュータからの接続要求に先立って前記仲介サーバーから送られてくる前記コンピュータの第１識別情報を取得する第１取得手段と、前記コンピュータからの接続要求時に送られてくる前記コンピュータの第２識別情報を取得する第２取得手段と、前記第１識別情報から特定される当該コンピュータの属するネットワークと、前記第２識別情報から特定される当該コンピュータの属するネットワークが同一の場合、前記接続要求に応じて前記コンピュータの接続を許可する許可手段と、を有することを特徴とする
【００１３】
本発明に係るプログラムは、コンピュータを、他のコンピュータからの接続要求に先立って行われる接続予告時に仲介サーバーを介して送られてくる前記他のコンピュータの第１識別情報を取得する第１取得手段、前記他のコンピュータからの接続要求時に前記仲介サーバーを介することなく送られてくる前記他のコンピュータの第２識別情報を取得する第２取得手段、前記第１識別情報から特定される当該コンピュータの属するネットワークと、前記第２識別情報から特定される当該コンピュータの属するネットワークが同一の場合、前記接続要求に応じて前記コンピュータの接続を許可する許可手段、として機能させる。
【発明の効果】
【００１４】
請求項１に記載の発明によれば、コンピュータからの接続要求時に取得した当該コンピュータの識別情報が、その接続要求に先立って行われる接続予告時に取得したコンピュータの識別情報と一致しない場合でも、接続予告をしたコンピュータと接続要求をしたコンピュータとの同一性が確認できた場合に接続を許可することができる。
【００１５】
請求項２に記載の発明によれば、コンピュータからの接続要求時に取得した当該コンピュータの識別情報が、その接続要求に先立って行われる接続予告時に取得したコンピュータの識別情報と一致しない場合でも、接続予告をしたコンピュータと接続要求をしたコンピュータとの同一性が確認できた場合に接続を許可することができる。
【００１６】
請求項３に記載の発明によれば、接続要求をしたコンピュータのドメイン名が接続予告をしたコンピュータのドメイン名と一致した場合にコンピュータの接続を許可することができる。
【００１７】
請求項４に記載の発明によれば、接続要求をしたコンピュータのユーザーＩＤに基づき生成された情報が接続予告をしたコンピュータのユーザーＩＤに基づき生成された情報と一致した場合にコンピュータの接続を許可することができる。
【００１８】
請求項５に記載の発明によれば、コンピュータからの接続要求時に取得した当該コンピュータの識別情報が、その接続要求に先立って行われる接続予告時に取得したコンピュータの識別情報と一致しない場合でも、接続予告をしたコンピュータと接続要求をしたコンピュータとの同一性が確認できた場合に接続を許可することができる。
【００１９】
請求項６に記載の発明によれば、コンピュータからの接続要求時に取得した当該コンピュータの識別情報が、その接続要求に先立って行われる接続予告時に取得したコンピュータの識別情報と一致しない場合でも、接続予告をしたコンピュータと接続要求をしたコンピュータとの同一性が確認できた場合に接続を許可することができる。
【図面の簡単な説明】
【００２０】
【図１】本発明に係るネットワーク接続システムの一実施の形態を示した全体構成図である。
【図２】実施の形態１におけるＶＰＮサーバーを形成するサーバコンピュータのハードウェア構成図である。
【図３】実施の形態１におけるＶＰＮサーバーのブロック構成図である。
【図４Ａ】実施の形態１において、クライアントからの要求に応じてクライアントをプライベートネットワークにアクセス可能な状態にするまでの処理の流れを示した通信シーケンス図である。
【図４Ｂ】図４Ａに続く通信シーケンス図である。
【図５】実施の形態１において用いるドメイン名の構成を説明するために用いる図である。
【発明を実施するための形態】
【００２１】
以下、図面に基づいて、本発明の好適な実施の形態について説明する。
【００２２】
実施の形態１．
図１は、本発明に係るネットワーク接続システムの一実施の形態を示した全体構成図である。図１には、クライアント１が接続されるＩＳＰ（Ｉｎｔｅｒｎｅｔ  Ｓｅｒｖｉｃｅ  Ｐｒｏｖｉｄｅｒ）２、ＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）サーバー３、仲介サーバー４及びプライベートネットワーク６へのアクセス制御を行うＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）サーバー１０がインターネット５に接続された構成が示されている。なお、インターネット５には、複数のＩＳＰ２及びＶＰＮサーバー１０が接続されているが、それぞれは同様の構成を有しているので図１には便宜上１台ずつ示した。
【００２３】
クライアント１は、パーソナルコンピュータ（ＰＣ）やタブレット端末等、インターネット接続が可能な情報処理装置である。ＩＳＰ２は、クライアント１を接続するアクセスポイント（ＡＰ）７及び複数のゲートウェイ（ＧＷ）８を有しており、クライアント１をインターネットに接続する。クライアント１は、ＩＳＰ２との契約により独自ドメインを取得している。ＤＮＳサーバー３は、グローバルアドレスが指定されたＶＰＮサーバー１０からの問合せに応じてドメイン名を応答する。仲介サーバー４は、クライアント１がＶＰＮサーバー１０への接続要求をするに先立って行う接続予告を受け付けると、接続予告があった旨をＶＰＮサーバー１０へ通知する。ＶＰＮサーバー１０は、本発明に係るネットワーク接続装置に相当し、プライベートネットワーク６へのアクセスを許可したクライアント１とＶＰＮ接続する。
【００２４】
図２は、本実施の形態におけるＶＰＮサーバー１０を形成するサーバコンピュータのハードウェア構成図である。本実施の形態においてＶＰＮサーバー１０を形成するサーバコンピュータは、従前から存在する汎用的なハードウェア構成で実現できる。すなわち、コンピュータは、図２に示したようにＣＰＵ２１、ＲＯＭ２２、ＲＡＭ２３、ハードディスクドライブ（ＨＤＤ）２４、インターネット５を接続する通信手段として設けられたＷＡＮ（Ｗｉｄｅ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）ネットワークインタフェース（ＩＦ）２５及びプライベートネットワーク６を接続するＰＮネットワークインタフェース（ＩＦ）２６を内部バス２７に接続して構成される。
【００２５】
図３は、本実施の形態におけるＶＰＮサーバー１０のブロック構成図である。本実施の形態におけるＶＰＮサーバー１０は、接続予告取得部１１、接続要求取得部１２、条件設定部１３、判定部１４、ＶＰＮ接続処理部１５及び制御部１６を有している。なお、本実施の形態の説明に用いない構成要素に関しては図から省略している。
【００２６】
接続予告取得部１１は、第１取得手段として設けられ、クライアント１からの接続要求に先立って行われる接続予告時に送られてくるクライアント１の第１識別情報を取得する。接続要求取得部１２は、第２取得手段として設けられ、クライアント１からの接続要求時に送られてくるクライアント１の第２識別情報を取得する。本実施の形態では、クライアント１の識別情報としてグローバルアドレス（以下、単に「アドレス」ともいう）を用いる場合を例にして説明する。条件設定部１３は、インターネット５を介してクライアント１から取得するパケットの取得条件（パケットフィルタリング条件）を設定する。
【００２７】
判定部１４は、許可手段として設けられ、接続予告取得部１１により取得されたクライアント１のアドレス及び接続要求取得部１２により取得されたクライアント１のアドレスに基づいて接続予告をしたクライアント１と接続要求をしたクライアント１との同一性を判断し、同一であることを確認できた場合に接続要求をしたクライアント１とのＶＰＮ接続を許可する。本実施の形態では、接続要求取得部１２により取得されたクライアント１のアドレス（第２識別情報）が接続予告取得部１１により取得されたクライアント１のアドレス（第１識別情報）と一致した場合、または接続要求取得部１２により取得されたクライアント１のアドレス（第２識別情報）が接続予告取得部１１により取得されたクライアント１のアドレス（第１識別情報）と一致しない場合でも、各アドレスから特定される当該各クライアント１の属するネットワークが同一の場合、接続予告取得部１１により取得されたアドレスのクライアント１と接続要求取得部１２により取得されたアドレスのクライアント１とは同一であると判断する。
【００２８】
判定部１４に含まれる問合せ部１４１は、ドメイン名取得手段として設けられ、接続予告取得部１１及び接続要求取得部１２がそれぞれ取得したアドレスをＤＮＳサーバー３へ送ることで各アドレスに対応するドメイン名を取得する。ＶＰＮ接続処理部１５は、ＶＰＮ接続処理を実行することによってクライアント１をＶＰＮ接続する。なお、クライアント１は、プライベートネットワーク６へのアクセスを許可するためにはＶＰＮサーバー１０との間でＶＰＮ接続される必要があるので、本実施の形態においては、プライベートネットワーク６へのアクセス許可とＶＰＮサーバー１０とのＶＰＮ接続とは同様の意味で用いる。制御部１６は、各構成要素１１〜１５と連携動作することによって、クライアント１にプライベートネットワーク６へアクセスが許可されるまでの処理の実行を制御する。
【００２９】
ＶＰＮサーバー１０における各構成要素１１〜１６は、ＶＰＮサーバー１０を形成するコンピュータと、コンピュータに搭載されたＣＰＵ２１で動作するプログラムとの協調動作により実現される。
【００３０】
また、本実施の形態で用いるプログラムは、通信手段により提供することはもちろん、ＣＤ−ＲＯＭやＵＳＢメモリ等のコンピュータ読み取り可能な記録媒体に格納して提供することも可能である。通信手段や記録媒体から提供されたプログラムはコンピュータにインストールされ、コンピュータのＣＰＵがプログラムを順次実行することで各種処理が実現される。
【００３１】
次に、本実施の形態において、クライアント１からの要求に応じてクライアント１をＶＰＮ接続するまでの処理について図４Ａ及び図４Ｂに示した通信シーケンス図を用いて説明する。なお、図４Ａ，図４Ｂにおいて、クライアント１及びＩＳＰ２において実施される処理を区別なく示すので「クライアント側１，２」と表記した。
【００３２】
クライアント１のユーザーは、プライベートネットワーク６に格納されているファイルに対してアクセスするために、所定の操作をしてＶＰＮ接続用のアプリケーションを起動し、ＶＰＮサーバー１０に対してＶＰＮ接続を要求する。
【００３３】
アプリケーションは、起動されることでＶＰＮ接続要求を受け付けると（ステップ１１）、接続要求をするに先立って、仲介サーバー４に接続予告を行う（ステップ１２）。具体的には、要求したユーザーのユーザーＩＤを少なくとも含む接続予告専用のパケット（以下、「接続予告パケット」）を生成し、仲介サーバー４へ送出する。なお、インターネット５に複数のＶＰＮサーバー１０が接続されている場合には、接続予告パケットにＶＰＮサーバー１０のサーバーＩＤを設定する。
【００３４】
ＩＳＰ２は、アクセスポイント７が受け取った接続予告パケットをいずれかのゲートウェイ８を介して仲介サーバー４へ中継するが、このとき、接続予告パケットを中継するゲートウェイ８は、クライアント１に割り当てたグローバルアドレスを接続予告パケットに設定する。本実施の形態では、グローバルアドレスをクライアント１の識別情報として接続予告に設定するが、接続予告パケットに設定されるグローバルアドレスを“アドレスＸ”として説明する。
【００３５】
仲介サーバー４は、ＩＳＰ２を介して送られてきた接続予告パケットを受信すると、ユーザー認証後、その接続予告パケットをＶＰＮサーバー１０へ送信する（ステップＳ３１）。
【００３６】
ＶＰＮサーバー１０における接続予告取得部１１は、仲介サーバー４から送信されてきた接続予告パケットを受信することで取得するが、制御部１６は、それ以前に、セキュリティの観点からクライアント１からの問合せや接続要求に対して何も応答しないように初期設定しておく。すなわち、制御部１６は、全てのクライアントからのパケットの受信を拒絶するという条件にてパケットフィルタリング条件を条件設定部１３に初期化させる（ステップ１０１）。もちろん、信頼性が保証されている仲介サーバー４からのパケットは受信可能である。
【００３７】
接続予告取得部１１が接続予告パケットを受信すると、条件設定部１３は、パケットフィルタリング条件を、接続予告取得部１１及び接続要求取得部１２が取得するアドレスが共にアドレスＸで一致すること（第１の条件）、又は接続予告取得部１１が取得するアドレスＸに対応するドメイン名と接続要求取得部１２が取得するアドレスＹに対応するドメイン名とが一致すること（第２の条件）、と変更する（ステップ１０２）。
【００３８】
続いて、制御部１６は、接続予告の受信をトリガとして接続要求の受け入れ可能期間を示すタイマーを設定し、計時を開始する（ステップ１０３）。例えば、１分程度にタイマーを設定する。この時間長は、クライアント１において設定されたタイマーの時間長と必ずしも合わせる必要はない。なお、タイムアウトが発生すると、制御部１６は、パケットフィルタリング条件を条件設定部１３に初期化させることで接続要求の受け入れを拒絶する。
【００３９】
仲介サーバー４は、ＩＳＰ２を介して送られてきた接続予告パケットを受信すると、前述したように接続予告パケットをＶＰＮサーバー１０へ送信すると共に、接続予告パケットを受け付けた旨をクライアント１へ応答する（ステップ３２）。この応答を受け取ると、クライアント１は、タイマーを設定し、計時を開始する（ステップ１３）。なお、タイムアウトは、接続要求がＶＰＮサーバー１０により拒絶されたことを意味する。
【００４０】
上記のように、接続予告（ステップ３１）に応じてＶＰＮサーバー１０が実施するパケットフィルタリング条件の変更処理（ステップ１０２）と、接続予告（ステップ３１）後に仲介サーバー４が実施する接続予告受付応答処理（ステップ３２）とは、同時並行して実施される。このため、クライアントにおけるタイマー開始時刻とＶＰＮサーバー１０におけるタイマー開始時刻とにタイムラグはそれほど発生しない。
【００４１】
クライアント１におけるアプリケーションは、ユーザーからの接続要求を受け付けた後、上記の通り接続予告を行ったが、この接続予告に続いて、接続要求をＶＰＮサーバー１０に直接行う（ステップ１４）。具体的には、要求したユーザーのユーザーＩＤを少なくとも含む接続要求専用のパケット（以下、「接続要求パケット」）を生成し、ＶＰＮサーバー１０へ送出する。なお、インターネット５に複数のＶＰＮサーバー１０が接続されている場合には、接続要求パケットに接続予告パケットに設定したのと同じサーバーＩＤを設定する。
【００４２】
ＩＳＰ２は、アクセスポイント７が受け取った接続要求パケットをいずれかのゲートウェイ８を介してＶＰＮサーバー１０へ中継するが、接続要求パケットを中継するゲートウェイ８は、接続予告パケットを中継したゲートウェイ８とは異なる場合もあり得る。このとき、接続要求パケットを中継するゲートウェイ８は、クライアント１に割り当てたグローバルアドレスを接続要求パケットに設定する。本実施の形態では、グローバルアドレスをクライアント１の識別情報として接続要求に設定するが、接続要求パケットに設定されるグローバルアドレスを“アドレスＹ”として説明する。
【００４３】
ＶＰＮサーバー１０における接続要求取得部１２が、クライアント１から送信されてきた接続要求パケットを受信することで取得すると、判定部１４は、この接続要求を受け入れＶＰＮ接続を許可するかどうかをパケットフィルタリング条件の設定内容に従って次のように判定する（ステップ１０４）。すなわち、判定部１４は、第１の条件に従い、接続予告取得部１１が取得した接続予告パケットに設定されているアドレスＸと、接続要求取得部１２が取得した接続要求パケットに設定されているアドレスＹとを照合し、一致していれば接続予告パケットに設定されているアドレスＸのクライアント１と、接続要求パケットに設定されているアドレスＹのクライアント１とは同一であると判定し、ＶＰＮ接続を許可する。
【００４４】
一方、接続予告取得部１１が取得したアドレスＹが、接続予告取得部１１が取得したアドレスＸと一致しない場合、問合せ部１４１は、第２の条件に従い、アドレスＸ，ＹをＤＮＳサーバー３へ送ることで、各アドレスのドメイン名を問い合わせる（ステップ１０５）。
【００４５】
ＤＮＳサーバー３は、この問合せに応じて各アドレスＸ，Ｙに対応するドメイン名Ｄｘ，Ｄｙを送り返すことで問合せに応答する（ステップ４１）。
【００４６】
判定部１４は、受け取ったドメイン名ＤｘとＤｙを照合し、一致すれば、接続予告取得部１１により取得されたアドレスのクライアント１と接続要求取得部１２により取得されたアドレスのクライアント１とは同じネットワークに属すると判断し、本実施の形態では、同じネットワークに属する場合、同一のクライアント１であると判定する。
【００４７】
一方、ドメイン名ＤｘとＤｙが一致しなければ、接続要求をしたクライアント１は、接続予告をしたクライアント１とは異なると判定する。
【００４８】
判定部１４は、以上のように判定した結果をクライアント１へ送ることで接続要求に応答する（ステップ１０６）。なお、接続要求をしたクライアント１は、接続予告をしたクライアント１とは異なると判定した場合、ＶＰＮサーバー１０は、接続要求をしたクライアント１に何ら応答しないようにすることで、ＶＰＮサーバー１０に関する情報をクライアント１へ提供しないようにしてもよい。
【００４９】
ところで、「ドメイン名」というのは、インターネット上に存在するコンピュータやネットワークを識別するために付けられている名前の一種である。ドメイン名は、ピリオド“．”によって複数のレベルのドメインが連結して構成される場合もある。例えば、図５に例示したドメイン名は、一番右側のトップレベルドメインから第５レベルドメインまでで構成されているが、本実施の形態でいう「ドメイン名」というのは、ドメイン名全体ではなく“ｅｘａｍｐｌｅ．ｎｅ．ｊｐ”の部分、いわゆる独自ドメイン部分を少なくともドメイン名として取り扱うようにしてもよい。この場合、図５における例１〜例３は全て同じクライアント１と判定される。あるいは、最高レベル部分のホスト名を除く部分をドメイン名として取り扱うようにしてもよい。この場合、図５における例１と例２は同じクライアント１と判定される。
【００５０】
本実施の形態における判定部１４は、以上のような判定基準に従ってアドレスＸ，Ｙそれぞれに対応するドメイン名Ｄｘ，Ｄｙを比較し、接続要求を送信したクライアント１が、接続予告をしたクライアント１と同一かどうかを判定する。
【００５１】
接続要求を許可する旨が応答されると、条件設定部１３は、パケットフィルタリング条件を、パケットの送信元のアドレスがアドレスＹに一致すること、に変更する（ステップ１０８）。
【００５２】
その後、ＶＰＮ接続処理部１５は、クライアント１と連携してＶＰＮ接続を行うことでクライアント１との間でＶＰＮを確立し（ステップ１０９）、クライアント１からの認証要求に応じて（ステップ１６）、認証処理を実行し（ステップ１１０）、認証結果を応答する（ステップ１１１）。このクライアント１とＶＰＮサーバー１０との間で行われるＶＰＮ接続処理は従前と同じでよい、
【００５３】
クライアント１は、接続要求が受け入れられると、接続要求の送信に用いられたゲートウェイ８を介して認証要求及び認証成功後のパケットがＶＰＮサーバー１０へ送られるようになり、プライベートネットワーク６へのアクセスが可能になる。
【００５４】
実施の形態２．
上記実施の形態１では、クライアント１の識別情報としてアドレスを用い、アドレスの一致又はドメイン名の一致によって接続予告をしたクライアント１と接続要求をしたクライアント１との同一性の判断を行うようにした。本実施の形態では、クライアント１の識別情報として、グローバルアドレスに代えてクライアント１を使用するユーザーの識別情報に基づき生成されたクライアント１の同一性を示す情報を用いることを特徴としている。なお、本実施の形態におけるネットワーク接続システムの構成及びＶＰＮサーバー１０のハードウェア構成及び機能構成は実施の形態１と同じでよい。
【００５５】
本実施の形態においては、クライアント１におけるアプリケーションは、接続予告をするときにユーザーＩＤのハッシュ値を求めて接続予告パケットに設定する。また、アプリケーションは、接続要求をするときにユーザーＩＤのハッシュ値を求めて接続要求パケットに設定する。そして、判定部１４は、接続要求パケットに含まれているユーザーＩＤのハッシュ値が、接続予告パケットに含まれているユーザーＩＤのハッシュ値と一致した場合、接続要求をしたクライアント１は接続予告をしたクライアント１と同一であると判定する。
【００５６】
このように、アドレスではなくアプリケーションが生成した同一性を示す情報を用いてクライアント１の同一性を判断するようにしてもよい。なお、本実施の形態では、ユーザーＩＤのハッシュ値を用いるようにしたが、ユーザーＩＤそのもの、あるいはクライアント１を識別しうる他の情報を用いるようにしてもよい。
【００５７】
上記各実施の形態では、アドレスやユーザーＩＤを用いて接続予告をしたクライアント１と接続要求をしたクライアント１との同一性を判断するようにしたが、これらの同一性判断条件は、適宜組み合わせて利用してもよい。つまり、パケットフィルタリング条件に、アドレスの一致以外に、複数の条件を設定するようにしてもよい。
【００５８】
また、上記各実施の形態では、ＶＰＮ接続を要求する場合を例にして説明したが、ＶＰＮによる接続に限る必要はない。また、クライアント１が要求するのは、ＶＰＮサーバー１０が管理するプライベートネットワーク６へのアクセスに限定する必要もない。
【符号の説明】
【００５９】
１  クライアント、２  ＩＳＰ、３  ＤＮＳサーバー、４  仲介サーバー、５  インターネット、６  プライベートネットワーク、７  アクセスポイント（ＡＰ）、８  ゲートウェイ（ＧＷ）、１０  ＶＰＮサーバー、１１  接続予告取得部、１２  接続要求取得部、１３  条件設定部、１４  判定部、１５  ＶＰＮ接続処理部、１６  制御部、２１  ＣＰＵ、２２  ＲＯＭ、２３  ＲＡＭ、２４  ハードディスクドライブ（ＨＤＤ）、２５  ＷＡＮネットワークインタフェース（ＩＦ）、２６  ＰＮネットワークインタフェース（ＩＦ）、２７  内部バス、１４１  問合せ部。
【図１】
0006724553.tif 000002
【図２】
0006724553.tif 000003
【図３】
0006724553.tif 000004
【図４Ａ】
0006724553.tif 000005
【図４Ｂ】
0006724553.tif 000006
【図５】
0006724553.tif 000007