(57)【要約】【課題】データ通信を行う際のセキュリティの強化を図ると共に、設備導入コストの抑制を図ることができる通信システムを提供すること。【解決手段】ネットワークを介して複数のユーザ端末１に接続されたファイアウォール手段を有するデータセンタ２を備え、ユーザ端末１がデータセンタ２のファイアウォール手段ＦＷを介して公衆インターネット網Ｎ上の他のコンピュータと通信を行うシステムであって、データセンタ２とユーザ端末１とを接続するネットワークは、公衆インターネット網上においてあらかじめ定められた形式にデータ変換を行って相互にデータ通信を行う仮想私設網である。【選択図】        図２
2004165761.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークを介して複数のユーザ端末に接続されたファイアウォール手段を有するデータセンタを備え、前記ユーザ端末が前記データセンタのファイアウォール手段を介して公衆インターネット網上の他のコンピュータと通信を行うシステムであって、
前記データセンタと前記ユーザ端末とを接続するネットワークは、公衆インターネット網上においてあらかじめ定められた形式にデータ変換を行って相互にデータ通信を行う仮想私設網であることを特徴とする通信システム。
【請求項２】
前記仮想私設網は、インターネットワーキングの標準化団体であるＩＥＴＦ（Ｉｎｔｅｒｎｅｔ  Ｅｎｇｉｎｅｅｒｉｎｇ  Ｔａｓｋ  Ｆｏｒｃｅ）が策定するＩＰｓｅｃ方式によるものであることを特徴とする請求項１記載の通信システム。
【請求項３】
ネットワークを介して複数のユーザ端末に接続されたファイアウォール手段を有するデータセンタを備え、前記ユーザ端末が前記データセンタのファイアウォール手段を介して公衆インターネット網上の他のコンピュータと通信を行うシステムであって、
前記データセンタと前記ユーザ端末とを接続するネットワークは、公衆インターネット網であると共に、
当該公衆インターネット網と前記データセンタ及び前記ユーザ端末との各接続箇所に、前記データセンタと前記ユーザ端末とが相互にデータ通信を行う際にあらかじめ定められた形式にデータ変換を行って通信を行う接続中継手段をそれぞれ設けたことを特徴とする通信システム。
【請求項４】
前記各接続中継手段は、インターネットワーキングの標準化団体であるＩＥＴＦ（Ｉｎｔｅｒｎｅｔ  Ｅｎｇｉｎｅｅｒｉｎｇ  Ｔａｓｋ  Ｆｏｒｃｅ）が策定するＩＰｓｅｃ方式にて通信を行うＩＰｓｅｃルータであることを特徴とする請求項３記載の通信システム。
【請求項５】
前記データセンタは、前記ユーザ端末が送受信するデータのうち、あらかじめ登録されたコンピュータウイルスデータを有するデータを検出するウイルス検出手段を備えたことを特徴とする請求項１，２，３又は４記載の通信システム。
【請求項６】
前記データセンタは、前記ユーザ端末がアクセスする前記公衆インターネット網上のウェブサイトがあらかじめ定められたサイトである場合に前記ユーザ端末のアクセスを制限するアクセス制限手段を備えたことを特徴とする請求項１，２，３，４又は５記載の通信システム。
【請求項７】
前記データセンタは、前記ユーザ端末が前記公衆インターネット網上のウェブサイトからダウンロードするコンテンツデータがあらかじめ記憶されたデータに基づいて前記ユーザに対して不適切であると判断した場合に当該コンテンツのダウンロードを制限するコンテンツフィルタリング手段を備えたことを特徴とする請求項１，２，３，４，５又は６記載の通信システム。
【請求項８】
前記データセンタは、前記ユーザ端末がアクセスする前記公衆インターネット網上のウェブサイトのコンテンツを一時的に保管するプロキシ手段を備えたことを特徴とする請求項１，２，３，４，５，６又は７記載の通信システム。
【請求項９】
前記データセンタは、前記ユーザ端末のデータ通信状況を記憶する通信ログ管理手段を備えたことを特徴とする請求項１，２，３，４，５，６，７又は８記載の通信システム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、通信システムにかかり、特に、ユーザ端末がデータセンタのファイアフォールを介して公衆インターネット網上においてデータ通信を行う通信システムに関する。
【０００２】
【従来の技術】
近年、インターネットの普及により、インターネットを利用したビジネスやサービスが加速度的に増加する一方で、「盗聴」や「なりすまし」などの問題が生じている。かかる問題を防止すべく、通信のセキュリティ強化がきわめて重要になっている。
【０００３】
特に、ユーザを複数抱える企業などにおいては、ユーザ端末間の通信（ＬＡＮ）のセキュリティを維持しつつ、公衆インターネット網上のウェブサイトを閲覧できるよう、インターネットの出入口までは専用線を用いるシステム等が構築されていた。その具体例を図６に示す。
【０００４】
図６に示すように、セキュリティを考慮すると、ユーザ端末１００及びそれを管理する管理サーバ１０１は、ファイアウォールＦＷ１０２を有するデータセンタ１０２を経由して公衆インターネット網Ｎ１１０にアクセスすることが望ましい。従って、イントラネット網Ｎ１０１にて接続されたユーザ端末１００群は、管理サーバ１０１のルータＲ１０１及び専用線１１０を介してデータセンタ１０２（ルータＲ１０２）にアクセスし、そこからファイアウォールＦＷ１０２を介して公衆インターネット網Ｎ１１０に接続することとなる。これにより、外部からの攻撃やイントラネットＮ１０１への不正アクセスは、データセンタ１０２（またはインターネットサービスプロバイダ（ＩＳＰ））のファイアウォールＦＷ１０２にて防御することができる。換言すると、管理サーバ１０１すなわちユーザ端末１００は、直接的には公衆インターネット網Ｎ１１０にアクセスせず、データセンタ１０２への専用線１１０に接続されているのみであるため、データの盗聴などを抑制することができ、セキュリティの強化を図っている。
【０００５】
また、ユーザ端末１等との接続に専用線を用いることで、重要なデータを管理することの多いデータセンタ１０２自体を、公衆インターネット網に無造作に接続することを抑制することができ、よりセキュリティの高いデータ通信を実現できる。
【０００６】
さらに、ユーザ端末間、すなわち、ユーザの拠点間におけるイントラネット通信は、ＩＰ網によるＶＰＮを用いることで、十分なセキュリティを確保することができる。
【０００７】
一方で、上述したユーザの拠点間の通信を行う別の手段として、特許文献１に示すように、公衆インターネット網上にプライベートネットワークを構築し、仮想的な専用線のように利用することができるＶＰＮ技術が開発されている。
【０００８】
【特許文献１】
特開２００２−２０８９６５号公報
【０００９】
【発明が解決しようとする課題】
しかしながら、いずれにしてもデータセンタには、セキュリティの面から専用線やＩＰ−ＶＰＮ網にて接続する必要があり、これを実現すべく専用線を引いたり、ＩＰ網を利用することは、その回線コストやイントラネット構築に費やす費用が高価となるという問題点が生じる。
【００１０】
【発明の目的】
本発明は、ユーザが公衆インターネット網においてデータ通信を行う際のセキュリティの強化を図ると共に、設備導入コストの抑制を図ることができる通信システムを提供すること、をその目的とする。
【００１１】
【課題を解決するための手段】
そこで、本発明では、ネットワークを介して複数のユーザ端末に接続されたファイアウォール手段を有するデータセンタを備え、ユーザ端末がデータセンタのファイアウォール手段を介して公衆インターネット網上の他のコンピュータと通信を行うシステムであって、データセンタとユーザ端末とを接続するネットワークは、公衆インターネット網上においてあらかじめ定められた形式にデータ変換を行って相互にデータ通信を行う仮想私設網である、という構成を採っている。
【００１２】
このような構成にすることにより、ユーザ端末とデータセンタ間は、既存の公衆インターネット網にて接続されているにも関わらず、仮想私設網にてセキュリティの強化が図られている。そして、データセンタのファイアウォールにて公衆インターネット網上の他のコンピュータからの攻撃や不正アクセスを抑制することができる。従って、特別に専用線を敷設することなく、低コストにてセキュリティの強化を実現することができる。
【００１３】
そして、仮想私設網は、インターネットワーキングの標準化団体であるＩｎｔｅｒｎｅｔ  Ｅｎｇｉｎｅｅｒｉｎｇ  Ｔａｓｋ  Ｆｏｒｃｅ（ＩＥＴＦ）が策定するＩＰｓｅｃ方式によるものを用いることで、その設計及び利用が容易となる。
【００１４】
また、データセンタとユーザ端末とを接続するネットワークは、公衆インターネット網であると共に、当該公衆インターネット網とデータセンタ及びユーザ端末との各接続箇所に、データセンタとユーザ端末とが相互にデータ通信を行う際にあらかじめ定められた形式にデータ変換を行って通信を行う接続中継手段をそれぞれ設けても、上記同様の効果を得ることができ、各接続中継手段は、ＩＥＴＦが策定するＩＰｓｅｃ方式にて通信を行うＩＰｓｅｃルータであることとすると望ましい。
【００１５】
さらに、公衆インターネット網への出入口となるデータセンタは、ユーザ端末が送受信するデータのうち、あらかじめ登録されたコンピュータウイルスデータを有するデータを検出するウイルス検出手段を備えていると望ましい。また、他にも、ユーザ端末がアクセスする公衆インターネット網上のウェブサイトがあらかじめ定められたサイトである場合にユーザ端末のアクセスを制限するアクセス制限手段や、ユーザ端末が公衆インターネット網上のウェブサイトからダウンロードするコンテンツデータがあらかじめ記憶されたデータに基づいて不適切であると判断した場合に当該コンテンツのダウンロードを制限するコンテンツフィルタリング手段、そして、ユーザ端末がアクセスする公衆インターネット網上のウェブサイトのコンテンツを一時的に保管するプロキシ手段、ユーザ端末のデータ通信状況を記憶する通信ログ管理手段などを備えていると望ましい。
【００１６】
これにより、ユーザ端末におけるインターネット網への出入口であるデータセンタにおいて、ユーザが被害を被ることのあるウイルスデータや、ユーザにとって好ましくないコンテンツデータをそのユーザ端末に伝送することを抑制することができるため、よりセキュリティの強化を図りつつ、有害データの蔓延を抑制することができる。そして、データセンタがプロキシとして機能する場合には、ユーザ端末によるウェブサイトの閲覧の効率化を図ることができる。
【００１７】
そして、上記のように、インターネット上において生じる問題を改善する機能をデータセンタに集めることで、各機能を実現すべく複数のコンピュータなどを用意する必要がなく、サービス提供者側はその運用が容易となると共に、サービスを受けるユーザにとっては、低額な導入コスト、ランニングコストにて利用することができる。
【００１８】
【発明の実施の形態】
〈第１の実施形態〉
本発明の第１の実施形態を、図１乃至図４を参照して説明する。図１は、本発明のシステムの概要を示すブロック図である。図２は、本発明のシステム構成の詳細を示す機能ブロック図である。図３は、データ通信の方式を説明する説明図である。図４は、システムの動作を示す説明図である。
【００１９】
（全体構成）
図１に示すように、本発明の第１の実施形態における通信システムは、ネットワークＮを介して複数のユーザ端末１に接続されたファイアウォール手段ＦＷを有するデータセンタ２を備え、ユーザ端末１がデータセンタ２のファイアウォール手段ＦＷを介して公衆インターネット網上の他のコンピュータと通信を行うシステムである。すなわち、ユーザ端末１が公衆インターネット網Ｎ上のウェブサイトＷなどにアクセスする際に、データセンタ２を介するシステムである。
【００２０】
そして、本発明では特に、複数のユーザ端末１とデータセンタ２とを接続するネットワークＮも、種々のウェブサイトが存在する公衆インターネット網Ｎであり、このような構成においても、ユーザ端末１とデータセンタ２間のセキュリティの強化を図ることを実現するシステムである。具体的には、図１の太線箇所（符号Ｂ）の通信に特徴のあるシステムである。以下、これを詳述する。
【００２１】
（ユーザ端末）
本発明におけるユーザ端末１は、所定の企業内における従業員が操作するコンピュータである。そして、これらのユーザ端末１は、相互に社内イントラネット（ＬＡＮ）に接続されており、これらは一つのユーザ端末群１Ａを形成している。例えば、ユーザ端末群１Ａは、所定の企業の本社内に構築されたＬＡＮであり、１Ｂ，１Ｃは、他の地域に位置する事業所内に構築されたＬＡＮであるとする。このように、本発明では、多拠点に位置するユーザが、一つのデータセンタを介してインターネット網に接続する。
【００２２】
そして、各ユーザ端末群１Ａ，１Ｂ，１Ｃには、それぞれデータセンタ２とユーザ端末１とが相互にデータ通信を行う際に、あらかじめ定められた形式にデータ変換を行って通信を行う接続中継手段であるＩＰｓｅｃルータＲ１ａ，Ｒ１ｂ，Ｒ１ｃ（図２にて、ＶＰＮルータ）が備えられている。このＩＰｓｅｃルータＲ１ａ，Ｒ１ｂ，Ｒ１ｃは、ＩＥＴＦが策定するＩＰｓｅｃ方式にて通信を行うルータであり、後述するデータセンタ２に備えられたＩＰｓｅｃルータＲ２と対となってインターネットＶＰＮ（仮想私設網）を形成する。すなわち、ユーザ端末群１Ａ側のＩＰｓｅｃルータＲ１ａと、データセンタ２側のＩＰｓｅｃルータＲ２とは、それぞれ公衆インターネット網Ｎを介して接続されている。さらに換言すると、公衆インターネット網Ｎとユーザ端末１及びデータセンタ２との各接続箇所に、ＩＰｓｅｃルータＲ１ａ，Ｒ１ｂ，Ｒ１ｃ，Ｒ２が設けられている。このようにすることで、インターネット網Ｎを仮想的な専用線のように利用することができる。
【００２３】
（仮想私設網）
ここで、仮想施設網について図３を参照して説明する。仮想私設網とは、共有ネットワーク上にプライベートネットワークを構築すること、またはそのための技術であり、仮想的な専用線のように利用できることから、そのように呼ばれている。また、仮想私設網は、Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋの頭文字を取ってＶＰＮとも呼ばれている。そして、通信相手との間に仮想的なトンネルをつくることにより（トンネリング）、本来ならインターネットを経由できないプライベートアドレスの通信が、公衆インターネット網を介して行うことができる。
【００２４】
例えば、図３（ａ）に示すように、端末Ａ１を含む一方のＬＡＮ（符号Ａ側）の公衆インターネット網Ｎとの接続箇所に、上述したようなＶＰＮを実現するためのＩＰｓｅｃルータＡ２を設け、同様に端末Ｂ１を含む他方のＬＡＮ（符号Ｂ側）の公衆インターネット網Ｎとの接続箇所には、上記ルータＡ２と対となるＩＰｓｅｃルータＢ２を設ける。すると、これらルータによって仮想的なトンネルが形成され（トンネリング）、当該ルータ間のデータ通信のセキュリティを確保することができる。
【００２５】
このとき、トンネリングには、図３（ｂ）〜（ｄ）に示すような手法がある。（ｂ）に示すトンネリングのみの場合、端末Ａ１が端末Ｂ１に送信したデータをルータＡ２がルータＢ２宛のヘッダをつけて送信する。すると、公衆インターネット網Ｎを通過する間は、ルータＡ２からルータＢ２へのデータとして扱われ、受信したルータＢ２がデータを元に戻して端末Ｂ１に送ることで端末Ａ１から端末Ｂ１へのデータ通信を実現することができる。また、図３（ｃ）に示す手法では、端末Ａ１からのデータをヘッダ（Ｆｒｏｍ：Ａ１，Ｔｏ：Ｂ１）も含めて暗号化し、これにルータＡ２がルータＢ２宛のヘッダをつけてトンネリングする。これにより、データ自身の安全を確保しさらに、送信元や宛先の情報を隠すことも可能になる。また、図３（ｄ）に示す手法では、ヘッダの変換は行わずにデータ部のみ暗号化する。かかる場合には、ヘッダはそのまま送信されるため、端末Ａ１から端末Ｂ１へのデータはインターネットを通過可能なデータでなければならないため、ＮＡＴ機能を使ってインターネットに接続することとなる。このように、ＶＰＮによるトンネリングの手法はいくつか種類があるが、いずれの手法を用いてもよい。本実施形態では、図３（ｃ）の手法を用いることとする。
【００２６】
そして、ＩＰｓｅｃ方式によるＶＰＮ通信では、対となる通信相手との間で暗号アルゴリズムや鍵データの設定など、ＳＡ（Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ）と呼ばれる論理的なコネクションを確立する。例えば、図１に示す本発明では、対となる通信相手とは、各ユーザ端末群１Ａ，１Ｂ，１ＣのＶＰＮルータＲ１ａ，Ｒ１ｂ，Ｒ１ｃ毎に対してデータセンタＲ２が対応する。すなわち、Ｒ１ａ−Ｒ２，Ｒ１ｂ−Ｒ２，Ｒ１ｃ−Ｒ３がそれぞれ対となってＶＰＮを形成する。
【００２７】
ちなみに、ＩＰｓｅｃとは、インターネットワーキングの標準化団体であるＩＥＴＦ（Ｉｎｔｅｒｎｅｔ  Ｅｎｇｉｎｅｅｒｉｎｇ  Ｔａｓｋ）において、ＩＰレベルの暗号化方式として標準化されている機能である。
【００２８】
（データセンタ）
次に、データセンタ２について説明する。データセンタ２は、主に委託を受けた企業に代わって当該企業のサーバを管理したり、公衆インターネット網Ｎへの接続の出入口となり、企業内のデータの盗聴や改竄、なりすましなどを防止する働きをする。このため、データセンタ２には、公衆インターネット網の出入口にファイアウォールＦＷが備えられている。
【００２９】
また、上述したように、データセンタ２とユーザ端末１とは公衆インターネットＮを介して接続されているが、当該データセンタ２と公衆インターネットＮとの接続箇所にはＩＰｓｅｃルータＲ２が設けられている。これにより、ユーザ端末１とデータセンタ２との間は、公衆インターネット網Ｎを用いているにも関わらずセキュリティの強化を図ることができ、専用線などを構築するよりも低コスト化を図ることができる。また、データセンタ２のファイアウォールＦＷにてユーザ端末１を含む社内ＬＡＮに対する外部からの攻撃や不正アクセスを防ぐことが可能になり、しかも、複数の拠点に位置しているユーザ端末（群）をまとめてデータセンタ２においてセキュリティ強化を図ることができるため、管理の効率化を図ることができる。
【００３０】
ここで、データセンタ２は、一つのサーバコンピュータにて構成されており、その内部にＩＰｓｅｃルータＲ２が内蔵されていたり、ファイアウォール機能ＦＷが組み込まれていてもよい。但し、本実施形態では、データセンタ２は、一群のサーバコンピュータの集合体を指すこととし、ＩＰｓｅｃルータＲ２は単独の機器であり、ファイアウォールＦＷなどは個別のサーバコンピュータにて構成されている。
【００３１】
（動作）
次に、本実施形態におけるシステムの動作を、図４を参照して説明する。この図において、符号Ｃは企業側のユーザ端末群１Ａ，１Ｂを示し、符号ｗｗｗは、公衆インターネット網Ｎ上のウェブサイト群を示す。
【００３２】
まず、企業内でイントラネット通信を行う場合を説明する。ユーザ端末群１Ａ（例えば本社）の所定のユーザ端末１が、別のユーザ端末群１Ｂ（例えば事業所）の所定のユーザ端末１とデータ通信を行う場合には、かかる情報を送信すると、ＩＰｓｅｃルータＲ１ａにてトンネリングされた状態でデータセンタ２のＩＰｓｅｃルータＲ２に伝送され、その後、トンネリングされた状態のまま送信先であるユーザ端末群１Ｂに設置されているＩＰｓｅｃルータＲ１ｂに送信される。そして、かかるルータＲ１ｂにてトンネリング状態が解除され、他のユーザ端末１にて受信される（図４の矢印Ｄ１参照）。
【００３３】
また、ユーザ端末１が公衆インターネット網上のウェブサイトにアクセスする際には、そのときに送信する情報はデータセンタ２まではトンネリングされた状態で公衆インターネット網を伝送するため（矢印Ｄ２参照）、その間にデータが盗聴されることは抑制される。たとえ、盗聴されたとしても、その内容が認識されることはない。そして、ユーザ端末１は、データセンタ２からはインターネット網にアクセスすることができ、種々のウェブサイトを閲覧することができる。逆に、ウェブサイトＷなど公衆インターネット網上の外部コンピュータからは、データセンタ２のファイアウォールＦＷにて防御されているため（矢印Ｄ３参照）、企業ＬＡＮ内（符号Ｃ）への不正アクセスなどを抑制することができる。
【００３４】
このようにすることにより、ユーザ端末１とデータセンタ２との間に専用線を敷設する必要がなく、既存の公衆インターネット網を用いてもセキュリティの向上を図ることができ、設備の低コスト化を図ることができる。
【００３５】
〈第２の実施形態〉
以下、本発明の第２の実施形態を、図５を参照して説明する。第２の実施形態における通信システムは、上述した第１の実施形態とほぼ同一の構成であるが、データセンタ２０が以下のような機能を有する点で異なる。本実施形態のデータセンタ２０の構成を図５のブロック図に示す。ちなみに、本実施形態においてもユーザは企業の従業者であり、かかる従業者を管理する企業が本システムを利用している場合を例示する。但し、ユーザはこれに限定されない。
【００３６】
図５に示すデータセンタ２０は、ユーザ端末１が送受信するデータのうち、あらかじめ登録されたコンピュータウイルスデータを有するデータを検出するウイルス検出手段２１を備えている。このウイルス検出手段２１は、データセンタ２０としての一つのサーバに備えられている機能であってもよく、データセンタ２０を一つの施設として捉える場合には、ＩＰｓｅｃルータＲ２やファイアウォールＦＷに接続されているウイルス検出サーバコンピュータ２１であってもよい。これにより、ユーザ端末１が公衆インターネット網上のウェブサイトＷからダウンロードするデータや、他のコンピュータから受信する電子メールなどのデータのウイルスチェックを、データセンタ２０の時点で実行することができ、チェックをクリアしたデータのみがユーザ端末１へと伝送されることとなる。従って、公衆インターネット網に対する出入口となるデータセンタ２０がウイルスチェックをすることにより、ユーザ端末１及びこれらによるＬＡＮなど、企業全体のセキュリティの強化を一括して実現することができる。
【００３７】
また、データセンタ２０には、ユーザ端末１がアクセスする公衆インターネット網上のウェブサイトがあらかじめ定められたサイトである場合に、ユーザ端末１のアクセスを制限するアクセス制限手段も備えられている。このアクセス制限手段も上記ウイルス検出手段２１と同様に、データセンタ２０内の機能であってもよく、サーバコンピュータにて実現されていてもよい。かかる手段には、あらかじめアクセスが禁止されているサイト（例えば、公序良俗に反するサイトなど）のアドレス情報が記憶されていて、ユーザ端末１からそのサイトへのアクセス要求があったときにそのアドレスをチェックし、記憶しているアドレスと一致したときに当該サイトへの接続を禁止するというものである。これにより、企業内において従業者がユーザ端末にて不適切なサイトにアクセスすることを抑制することができ、当該従業者に与える悪影響を抑制したり、業務の効率化を図ることができる。
【００３８】
また、データセンタ２０には、ユーザ端末１が公衆インターネット網上のウェブサイトＷからダウンロードするコンテンツデータがあらかじめ定められたデータに基づいて不適切であると判断した場合に当該コンテンツのダウンロードを制限するコンテンツフィルタリング手段２２を備えている。このコンテンツフィルタリング手段２２もデータセンタ２０内の機能であってもよく、サーバコンピュータにて実現されていてもよい。コンテンツフィルタリング手段２２は、例えば、猥褻な画像のダウンロードを制限する機能であって、ユーザ端末１がダウンロードしようとしている画像の色彩と、あらかじめ記憶されている、猥褻画像と判断する基準となる色彩データとに基づいて、当該ダウンロード画像が猥褻画像であると判断するとユーザ端末１には伝送しない。これにより、ユーザの不適切なサイトアクセスを自動的に制限することができる。
【００３９】
さらに、データセンタ２０は、ユーザ端末がアクセスする公衆インターネット網上のウェブサイトのコンテンツを一時的に保管するプロキシ手段２３を備えている。このプロキシ手段２３も、データセンタ２０内の機能であってもよく、サーバコンピュータにて実現されていてもよい。プロキシ手段は、以前に自身あるいは他人がダウンロードしたサイトのコンテンツを一時的にデータセンタ２０に保管し、次に当該コンテンツのダウンロード要求がユーザ端末１からあった場合には、一時保管されたデータを送信する。このようなキャッシュ機能により、コンテンツのダウンロードの高速化を図ることができ、ウェブサイトの閲覧の効率化を図ることができる。
【００４０】
また、データセンタ２０は、ユーザ端末１のデータ通信状況を記憶する通信ログ管理手段２４を備えている。この通信ログ管理手段２３も、データセンタ２０内の機能であってもよく、サーバコンピュータにて実現されていてもよい。通信ログ管理手段２３は、例えば、ユーザ端末１のアクセス時間、回数、アクセス先のＵＲＬなどを記憶する。そして、場合によっては、記憶した通信ログデータをユーザである企業の従業員を管理する者の端末１へと送信する機能をも有する。これにより、企業のユーザの通信管理が容易となり、業務の迅速化を図ることができる。
【００４１】
このように、あらゆる機能、すなわち、公衆インターネット網上において生じる問題を改善する機能をデータセンタに集めることで、各機能を実現する複数のコンピュータなどを用意する必要がなく、サービス提供側にとって運用が容易となる。また、これにより、サービスを受ける側も低コストにて当該サービスを受けることができる。
【００４２】
〈第３の実施形態〉
次に、本発明の第３の実施形態について説明する。第３の実施形態においては、ユーザ端末１が一般的なユーザであって、データセンタ２０が一般的なユーザがウェブサイトを閲覧する際に利用するインターネットサービスプロバイダ（ＩＳＰ）である。そして、ユーザ端末１やデータセンタ２０が有する機能は、上述した第１，第２の実施形態と相違はない。
【００４３】
このように、一般ユーザに対して本システムを利用することにより、外部からの不正アクセスを抑制できると共に、ユーザがコンテンツフィルタリングやウイルスチェック、プロキシなど、種々の機能を容易に利用するができ、安心してウェブサイトの閲覧など、データ通信を行うことができる。
【００４４】
【発明の効果】
本発明は、以上のように構成され機能するので、これによると、ユーザ端末がデータセンタのファイアウォール手段を介して公衆インターネット網にアクセスする際に、データセンタとユーザ端末とを接続するネットワークとして、公衆インターネット網上においてあらかじめ定められた形式にデータ変換を行って相互にデータ通信を行う仮想私設網（例えば、インターネットワーキングの標準化団体であるＩｎｔｅｒｎｅｔ  Ｅｎｇｉｎｅｅｒｉｎｇ  Ｔａｓｋ  Ｆｏｒｃｅ（ＩＥＴＦ）が策定するＩＰｓｅｃ方式によるもの）を用いているので、ユーザ端末とデータセンタ間は、既存の公衆インターネット網にて接続されているにも関わらずセキュリティの強化が図られ、そして、データセンタのファイアウォールにて公衆インターネット網上の他のコンピュータからの攻撃や不正アクセスを抑制することができ、これにより、低コストにてセキュリティの強化を実現することができる、という従来にない優れた効果を有する。
【００４５】
また、公衆インターネット網への出入口となるデータセンタに、ユーザ端末が通信するデータに対して様々な処理を行う機能を設けた場合には、さらなるセキュリティの強化や、有害データのフィルタリングによるユーザの健全化、また、通信の高速化などを実現することができる。そして、これらの機能がデータセンタにまとめて備えられることにより、サービス提供者側はその運用が容易となると共に、サービスを受けるユーザにとっては、低額な導入コスト、ランニングコストにて利用することができる。
【図面の簡単な説明】
【図１】本発明の第１の実施形態におけるシステム概要を示すブロック図である。
【図２】図１に開示したシステムの詳細を示す機能ブロック図である。
【図３】図３（ａ）は、本発明に用いるデータ通信の方式であるＩＰｓｅｃ方式についての説明図である。図３（ｂ）〜（ｄ）は、伝送されるデータ構造を示す図である。
【図４】本発明である通信システムの動作を示す説明図である。
【図５】本発明の第２の実施形態におけるデータセンタの構成を示すブロック図である。
【図６】従来例における通信システムの構成を示すブロック図である。
【符号の説明】
１  ユーザ端末
２，２０  データセンタ
２１  ウイルス検出手段
２２  コンテンツフィルタリング手段
２３  プロキシ手段
２４  通信ログ管理手段
Ｒ１ａ，Ｒ１ｂ，Ｒ１ｃ，Ｒ２  接続中継手段（ＩＰｓｅｃルータ）
Ｎ  ネットワーク（公衆インターネット網）
ＦＷ  ファイアウォール
【図１】
2004165761.tif 000003
【図２】
2004165761.tif 000004
【図３】
2004165761.tif 000005
【図４】
2004165761.tif 000006
【図５】
2004165761.tif 000007
【図６】
2004165761.tif 000008