(57)【要約】【課題】仮想アドレス用いてＶＰＮを利用した通信を行う場合において、仮想アドレスを合理的に割り当てる構成の中継サーバを提供する。【解決手段】中継サーバ３は、対象端末３１，３２，３３のアドレスと、操作ＰＣ１１，１２のアドレスと、を記憶する。中継サーバ３は、中継サーバ１とルーティング対象アドレスを交換して、ルーティングセッションを確立する。中継サーバ３は、受信した操作ＰＣ１１，１２のアドレスに、それぞれの操作ＰＣ１１，１２のアドレスでネットワーク部が同一となるように、かつ、他の中継サーバに割り当てた仮想アドレスのネットワーク部と異なるように、仮想アドレスを割り当てる。中継サーバ３は、仮想アドレスを利用して、ルーティング対象装置同士の通信を中継する。【選択図】図８
2013141060.tif 000002
【特許請求の範囲】
【請求項１】
第１ＬＡＮ内に位置しパケットを転送可能な第１ルーティング対象装置のアドレスである第１ルーティング対象アドレスと、第２ＬＡＮ内に位置する第２中継サーバがパケットを転送可能な第２ルーティング対象装置のアドレスである第２ルーティング対象アドレスと、を記憶するアドレスフィルタ情報記憶部と、
前記第２ルーティング対象アドレスと、当該第２ルーティング対象アドレスに割り当てられた仮想アドレスと、を対応付けて記憶する仮想アドレス割当情報記憶部と、
制御部と、を備え、
前記制御部は、
前記第２中継サーバへ前記第１ルーティング対象アドレスを送信するとともに、前記第２中継サーバから前記第２ルーティング対象アドレスを受信し、前記第２中継サーバとルーティングセッションを確立する制御と、
受信した前記第２ルーティング対象アドレスにネットワーク部とホスト部とからなる前記仮想アドレスを割り当てる際に、それぞれの前記第２ルーティング対象アドレスでネットワーク部が同一となるように、かつ、当該ネットワーク部が前記第２ルーティング対象アドレス以外のルーティング対象アドレスのネットワーク部と異なるようにし、当該割当関係を前記仮想アドレス割当情報記憶部に記憶する制御と、
前記第１ルーティング対象装置から前記仮想アドレスを宛先とするパケットを受信した際に、前記仮想アドレス割当情報記憶部を参照して、パケットの宛先アドレスを、前記仮想アドレスに対応する前記第２ルーティング対象アドレスに変換して前記ルーティングセッションへパケットを転送する制御と、
前記ルーティングセッションから前記第１ルーティング対象アドレスを宛先とするパケットを受信した際に、前記仮想アドレス割当情報記憶部を参照してパケットの送信元アドレスを、前記第２ルーティング対象アドレスに割り当てられた前記仮想アドレスに変換して宛先の前記第１ルーティング対象装置へパケットを転送する制御と、
を行うことを特徴とする中継サーバ。
【請求項２】
請求項１に記載の中継サーバであって、
前記制御部は、前記第２ルーティング対象アドレスに前記仮想アドレスを割り当てる際に、他の前記第２ルーティング対象アドレスに前記仮想アドレスを割当て済みか否かを判断し、
当該他の第２ルーティング対象アドレスに前記仮想アドレスが割当て済みであった場合は、割当て済みの前記仮想アドレスのネットワーク部と同一になるように、新たな仮想アドレスを前記第２ルーティング対象アドレスに割り当てることを特徴とする中継サーバ。
【請求項３】
請求項１又は２に記載の中継サーバであって、
前記制御部は、前記第２ルーティング対象アドレスに前記仮想アドレスを割り当てる際に、他の前記第２ルーティング対象アドレスに前記仮想アドレスを割当て済みか否かを判断し、
当該他の第２ルーティング対象アドレスに前記仮想アドレスが割当て済みでなかった場合は、前記第２ルーティング対象アドレス以外のルーティング対象アドレスとネットワーク部が異なるように、新たな仮想アドレスを前記第２ルーティング対象アドレスに割り当てることを特徴とする中継サーバ。
【請求項４】
請求項１から３までの何れか一項に記載の中継サーバであって、
前記制御部は、
前記第２ルーティング対象アドレスに割り当てる前記仮想アドレスのネットワーク部を予め受付可能であることを特徴とする中継サーバ。
【請求項５】
請求項１から３までの何れか一項に記載の中継サーバであって、
前記制御部は、前記第２ルーティング対象アドレスに割り当てる前記仮想アドレスのネットワーク部を自動的に決定することを特徴とする中継サーバ。
【請求項６】
請求項１から５までの何れか一項に記載の中継サーバであって、
前記制御部は、前記仮想アドレスを利用せずに通信を行う旨の指示を受け付けた場合は、前記第２ルーティング対象アドレスを利用して通信を行うことを特徴とする中継サーバ。
【請求項７】
第１ＬＡＮ内に位置しパケットを転送可能な第１ルーティング対象装置のアドレスである第１ルーティング対象アドレスと、第２ＬＡＮ内に位置する第２中継サーバがパケットを転送可能な第２ルーティング対象装置のアドレスである第２ルーティング対象アドレスと、を記憶するアドレスフィルタ情報記憶部と、
前記第１ルーティング対象アドレスと、当該第１ルーティング対象アドレスに割り当てられた仮想アドレスと、を対応付けて記憶する仮想アドレス割当情報記憶部と、
制御部と、を備え、
前記制御部は、
ネットワーク部とホスト部とからなる前記仮想アドレスのうちネットワーク部が互いに異なる複数組の前記仮想アドレスを、１組の前記第１ルーティング対象アドレスに割り当て、当該割当関係を前記仮想アドレス割当情報記憶部に記憶する制御と、
前記第２中継サーバへ、当該第２中継サーバ以外の中継サーバに送信した前記仮想アドレスとネットワーク部が異なる前記仮想アドレスを送信するとともに、前記第２中継サーバから前記第２ルーティング対象アドレスを受信し、前記第２中継サーバとルーティングセッションを確立する制御と、
前記ルーティングセッションから前記仮想アドレスを宛先とするパケットを受信した際に、前記仮想アドレス割当情報記憶部を参照して、パケットの宛先アドレスを、前記仮想アドレスに対応する前記第１ルーティング対象アドレスに変換して宛先の前記第１ルーティング対象装置へパケットを転送する制御と、
前記第１ルーティング対象装置から前記第２ルーティング対象装置を宛先とするパケットを受信した際に、前記仮想アドレス割当情報記憶部を参照して、パケットの送信元アドレスを、前記第２中継サーバへ送信した前記仮想アドレスに変換して前記ルーティングセッションへパケットを転送する制御と、
を行うことを特徴とする中継サーバ。
【請求項８】
第１中継サーバ及び第２中継サーバを含んで構成される中継通信システムにおいて、
第１ＬＡＮ内に位置する前記第１中継サーバは、
当該第１中継サーバがパケットを転送可能な第１ルーティング対象装置のアドレスである第１ルーティング対象アドレスと、第２ＬＡＮ内に位置する前記第２中継サーバがパケットを転送可能な第２ルーティング対象装置のアドレスである第２ルーティング対象アドレスと、を記憶するアドレスフィルタ情報記憶部と、
第２ルーティング対象アドレスと、当該第２ルーティング対象アドレスに割り当てられた仮想アドレスと、を対応付けて記憶する仮想アドレス割当情報記憶部と、
制御部と、を備え、
前記制御部は、
前記第２中継サーバへ前記第１ルーティング対象アドレスを送信するとともに、前記第２中継サーバから前記第２ルーティング対象アドレスを受信し、前記第２中継サーバとルーティングセッションを確立する制御と、
受信した前記第２ルーティング対象アドレスにネットワーク部とホスト部とからなる前記仮想アドレスを割り当てる際に、それぞれの前記第２ルーティング対象アドレスでネットワーク部が同一となるように、かつ、当該ネットワーク部が前記第２ルーティング対象アドレス以外のルーティング対象アドレスのネットワーク部と異なるようにし、当該割当関係を前記仮想アドレス割当情報記憶部に記憶する制御と、
前記第１ルーティング対象装置から前記仮想アドレスを宛先とするパケットを受信した際に、前記仮想アドレス割当情報記憶部を参照して、パケットの宛先アドレスを、前記仮想アドレスに対応する前記第２ルーティング対象アドレスに変換して前記ルーティングセッションへパケットを転送する制御と、
前記ルーティングセッションから前記第１ルーティング対象アドレスを宛先とするパケットを受信した際に、前記仮想アドレス割当情報記憶部を参照してパケットの送信元アドレスを、前記第２ルーティング対象アドレスに割り当てられた前記仮想アドレスに変換して宛先の前記第１ルーティング対象装置へパケットを転送する制御と、
を行うことを特徴とする中継通信システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、主として、異なるＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）に接続されている機器間の通信を可能とする中継サーバに関する。
【背景技術】
【０００２】
従来から、物理的に離れた場所に設置されたＬＡＮ同士で通信を行う仮想プライベートネットワーク（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ，ＶＰＮ）と呼ばれる通信技術が知られている。特許文献１に示す例では、物理的に離れた位置に設置された複数のＬＡＮのそれぞれに中継サーバ及び通信端末等が接続されている。通信端末は、このＶＰＮを利用して、他のＬＡＮに接続された通信端末へパケットを送信することができる。具体的には、通信端末が送信するパケットは、初めに同一ＬＡＮ内の中継サーバへ送られる。この中継サーバは、インターネットを介して、宛先の通信端末と同一のＬＡＮ内の中継サーバへパケットを送信（転送）する。そして、このパケットを受信した中継サーバは、宛先の通信端末へパケットを送信（転送）する。
【０００３】
このＶＰＮを利用することにより、遠隔地にある他のＬＡＮを、あたかも直接接続されているネットワークであるかのように使用することができる。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１０−２６８３１２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
ところで、この種のシステムにおいては、ＬＡＮに接続された端末のプライベートＩＰアドレス（以下、単にアドレスと称することがある）を用いて端末同士の通信を行っている。従って、ＶＰＮを利用した通信を行う場合、自分のＬＡＮに設定されたアドレスを相手側のＬＡＮへ送信する必要がある。
【０００６】
この点、例えば同一企業同士でＶＰＮを構築する場合、相手にＩＰアドレスを知られても問題にはなりにくい。しかし、異なる企業同士でＶＰＮを構築する場合、セキュリティ上の観点から、相手にＩＰアドレスを知られることは好ましくない。
【０００７】
そこで、本願発明者らは、上記の点を考慮して、仮想アドレスを利用してＶＰＮによる通信を行う構成を開発した。しかし、この構成は、通信端末のアドレスに予め登録した仮想アドレスを順番に割り当てていく構成であり、異なるＬＡＮに接続される機器に連番で仮想アドレスが割り当てられることもあった。
【０００８】
このように仮想アドレスが割り当てられる場合、ユーザの混乱を招き、誤ったアドレスを指定してパケットを送信してしまうことが考えられる。また、アドレスを指定してリモートデスクトップ等の制限を行う場合、ＬＡＮ毎に指定を行うことができず、手間が掛かっていた。
【０００９】
本発明は以上の事情に鑑みてされたものであり、その目的は、仮想アドレス用いてＶＰＮを利用した通信を行う場合において、仮想アドレスを合理的に割り当てる構成の中継サーバを提供することにある。
【課題を解決するための手段及び効果】
【００１０】
本発明の解決しようとする課題は以上の如くであり、次にこの課題を解決するための手段とその効果を説明する。
【００１１】
本発明の第１の観点によれば、以下の構成の中継サーバが提供される。即ち、この中継サーバは、アドレスフィルタ情報記憶部と、仮想アドレス割当情報記憶部と、制御部と、を備える。前記アドレスフィルタ情報記憶部は、第１ＬＡＮ内に位置し（中継サーバが）パケットを転送可能な第１ルーティング対象装置のアドレスである第１ルーティング対象アドレスと、第２ＬＡＮ内に位置する第２中継サーバがパケットを転送可能な第２ルーティング対象装置のアドレスである第２ルーティング対象アドレスと、を記憶する。前記仮想アドレス割当情報記憶部は、前記第２ルーティング対象アドレスと、当該第２ルーティング対象アドレスに割り当てられた仮想アドレスと、を対応付けて記憶する。前記制御部は、前記第２中継サーバへ前記第１ルーティング対象アドレスを送信するとともに、前記第２中継サーバから前記第２ルーティング対象アドレスを受信し、前記第２中継サーバとルーティングセッションを確立する。前記制御部は、受信した前記第２ルーティング対象アドレスにネットワーク部とホスト部とからなる前記仮想アドレスを割り当てる際に、それぞれの前記第２ルーティング対象アドレスでネットワーク部が同一となるように、かつ、当該ネットワーク部が前記第２ルーティング対象アドレス以外のルーティング対象アドレスのネットワーク部と異なるようにし、当該割当関係を前記仮想アドレス割当情報記憶部に記憶する。前記制御部は、前記第１ルーティング対象装置から前記仮想アドレスを宛先とするパケットを受信した際に、前記仮想アドレス割当情報記憶部を参照して、パケットの宛先アドレスを、前記仮想アドレスに対応する前記第２ルーティング対象アドレスに変換して前記ルーティングセッションへパケットを転送する。前記制御部は、前記ルーティングセッションから前記第１ルーティング対象アドレスを宛先とするパケットを受信した際に、前記仮想アドレス割当情報記憶部を参照してパケットの送信元アドレスを、前記第２ルーティング対象アドレスに割り当てられた前記仮想アドレスに変換して宛先の前記第１ルーティング対象装置へパケットを転送する。
【００１２】
これにより、同一のＬＡＮに接続されるルーティング対象装置の仮想アドレスのセグメントを同じにすることができる。従って、セキュリティを確保しつつ、アドレスからネットワークの構成が把握し易くすることができる。また、ユーザは、同じＬＡＮに接続されるルーティング対象装置の仮想アドレスをまとめて指定できるので、簡単な操作で、ＬＡＮ単位でのリモートデスクトップの制限等を行うことができる。
【００１３】
前記の中継サーバにおいては、以下の構成とすることが好ましい。即ち、前記制御部は、前記第２ルーティング対象アドレスに前記仮想アドレスを割り当てる際に、他の前記第２ルーティング対象アドレスに前記仮想アドレスを割当て済みか否かを判断する。当該他の第２ルーティング対象アドレスに前記仮想アドレスが割当て済みであった場合は、割当て済みの前記仮想アドレスのネットワーク部と同一になるように、新たな仮想アドレスを前記第２ルーティング対象アドレスに割り当てる。
【００１４】
これにより、第２ルーティング対象アドレスに割り当てられた仮想アドレスのネットワーク部を確実に同一にすることができる。
【００１５】
前記の中継サーバにおいては、以下の構成とすることが好ましい。即ち、前記制御部は、前記第２ルーティング対象アドレスに前記仮想アドレスを割り当てる際に、他の前記第２ルーティング対象アドレスに前記仮想アドレスを割当て済みか否かを判断する。当該他の第２ルーティング対象アドレスに前記仮想アドレスが割当て済みでなかった場合は、前記第２ルーティング対象アドレス以外のルーティング対象アドレスとネットワーク部が異なるように、新たな仮想アドレスを前記第２ルーティング対象アドレスに割り当てる。
【００１６】
これにより、第２ルーティング対象装置に仮想アドレスをまだ割り当てていない場合であっても、他の仮想アドレスとネットワーク部が被らないように新たな仮想アドレスを割り当てることができる。
【００１７】
前記の中継サーバにおいては、前記第２ルーティング対象アドレスに割り当てる前記仮想アドレスのネットワーク部を予め受付可能であることが好ましい。
【００１８】
これにより、第２ルーティング対象アドレスに割り当てられる仮想アドレスのネットワーク部が接続毎に変化しないので、ネットワーク部が示すＬＡＮを一層分かり易くすることができる。従って、パケットの送信先又はリモートデスクトップの制限対象について選択ミスをより低減することができる。
【００１９】
前記の中継サーバにおいては、前記制御部は、前記第２ルーティング対象アドレスに割り当てる前記仮想アドレスのネットワーク部を自動的に決定することが好ましい。
【００２０】
これにより、ルーティング対象装置にどの仮想アドレスを割り当てるかを予め設定しなくて良いため、ユーザの手間を省くことができる。また、上記の構成は、１つの仮想アドレスを複数の中継サーバで使いまわすことができるので、仮想アドレスとして予め確保しておくアドレスを少なくすることができる。従って、将来的なネットワークの拡張等に柔軟に対応することができる。
【００２１】
前記の中継サーバにおいては、前記制御部は、前記仮想アドレスを利用せずに通信を行う旨の指示を受け付けた場合は、前記第２ルーティング対象アドレスを利用して通信を行うことが好ましい。
【００２２】
これにより、例えば割当可能な仮想アドレスが存在しない場合であっても、ＶＰＮの開始処理をやり直すことなく、ルーティング対象装置同士で通信を行うことができる。
【００２３】
本発明の第２の観点によれば、以下の構成の中継サーバが提供される。即ち、この中継サーバは、アドレスフィルタ情報記憶部と、仮想アドレス割当情報記憶部と、制御部と、を備える。前記アドレスフィルタ情報記憶部は、第１ＬＡＮ内に位置し（中継サーバが）パケットを転送可能な第１ルーティング対象装置のアドレスである第１ルーティング対象アドレスと、第２ＬＡＮ内に位置する第２中継サーバがパケットを転送可能な第２ルーティング対象装置のアドレスである第２ルーティング対象アドレスと、を記憶する。前記仮想アドレス割当情報記憶部は、前記第１ルーティング対象アドレスと、当該第１ルーティング対象アドレスに割り当てられた仮想アドレスと、を対応付けて記憶する。前記制御部は、ネットワーク部とホスト部とからなる前記仮想アドレスのうちネットワーク部が互いに異なる複数組の前記仮想アドレスを、１組の前記第１ルーティング対象アドレスに割り当て、当該割当関係を前記仮想アドレス割当情報記憶部に記憶する。前記制御部は、前記第２中継サーバへ、当該第２中継サーバ以外の中継サーバに送信した前記仮想アドレスとネットワーク部が異なる前記仮想アドレスを送信するとともに、前記第２中継サーバから前記第２ルーティング対象アドレスを受信し、前記第２中継サーバとルーティングセッションを確立する。前記制御部は、前記ルーティングセッションから前記仮想アドレスを宛先とするパケットを受信した際に、前記仮想アドレス割当情報記憶部を参照して、パケットの宛先アドレスを、前記仮想アドレスに対応する前記第１ルーティング対象アドレスに変換して宛先の前記第１ルーティング対象装置へパケットを転送する。前記制御部は、前記第１ルーティング対象装置から前記第２ルーティング対象装置を宛先とするパケットを受信した際に、前記仮想アドレス割当情報記憶部を参照して、パケットの送信元アドレスを、前記第２中継サーバへ送信した前記仮想アドレスに変換して前記ルーティングセッションへパケットを転送する。
【００２４】
これにより、中継サーバが送信する仮想アドレスのネットワーク部が通信先のＬＡＮ毎に異なるので、所定のネットワーク部の仮想アドレスを無効とすることで、対応するＬＡＮからのアクセスを一括して制限することができる。
【００２５】
本発明の第３の観点によれば、以下の構成の中継通信システムが提供される。即ち、この中継通信システムは、第１中継サーバ及び第２中継サーバを含んで構成される。第１ＬＡＮ内に位置する前記第１中継サーバは、アドレスフィルタ情報記憶部と、仮想アドレス割当情報記憶部と、制御部と、を備える。前記アドレスフィルタ情報記憶部は、当該第１中継サーバがパケットを転送可能な第１ルーティング対象装置のアドレスである第１ルーティング対象アドレスと、第２ＬＡＮ内に位置する前記第２中継サーバがパケットを転送可能な第２ルーティング対象装置のアドレスである第２ルーティング対象アドレスと、を記憶する。前記仮想アドレス割当情報記憶部は、第２ルーティング対象アドレスと、当該第２ルーティング対象アドレスに割り当てられた仮想アドレスと、を対応付けて記憶する。前記制御部は、前記第２中継サーバへ前記第１ルーティング対象アドレスを送信するとともに、前記第２中継サーバから前記第２ルーティング対象アドレスを受信し、前記第２中継サーバとルーティングセッションを確立する。前記制御部は、受信した前記第２ルーティング対象アドレスにネットワーク部とホスト部とからなる前記仮想アドレスを割り当てる際に、それぞれの前記第２ルーティング対象アドレスでネットワーク部が同一となるように、かつ、当該ネットワーク部が前記第２ルーティング対象アドレス以外のルーティング対象アドレスのネットワーク部と異なるようにし、当該割当関係を前記仮想アドレス割当情報記憶部に記憶する。前記制御部は、前記第１ルーティング対象装置から前記仮想アドレスを宛先とするパケットを受信した際に、前記仮想アドレス割当情報記憶部を参照して、パケットの宛先アドレスを、前記仮想アドレスに対応する前記第２ルーティング対象アドレスに変換して前記ルーティングセッションへパケットを転送する。前記制御部は、前記ルーティングセッションから前記第１ルーティング対象アドレスを宛先とするパケットを受信した際に、前記仮想アドレス割当情報記憶部を参照してパケットの送信元アドレスを、前記第２ルーティング対象アドレスに割り当てられた前記仮想アドレスに変換して宛先の前記第１ルーティング対象装置へパケットを転送する。
【００２６】
これにより、ユーザは、通信状況や通信の許可状況等を即座に把握することができる。また、同じＬＡＮに接続されるルーティング対象装置をまとめて指定できるので、例えばリモートデスクトップの利用をＬＡＮ単位で容易に制限することができる。
【図面の簡単な説明】
【００２７】
【図１】本発明の一実施形態に係る中継通信システムの全体構成を示す説明図。
【図２】中継サーバの機能ブロック図。
【図３】中継グループ情報の内容を示す図。
【図４】中継サーバ情報の内容を示す図。
【図５】クライアント端末情報の内容を示す図。
【図６】ＶＰＮグループ情報の内容を示す図。
【図７】それぞれの中継サーバに予め登録されるアドレスフィルタ情報の内容を示す図。
【図８】ＶＰＮの構築後に中継サーバ３が記憶するアドレスフィルタ情報及び仮想アドレスを示す図。
【図９】仮想アドレス登録情報の内容及び仮想アドレスの構成を示す図。
【図１０】予め中継サーバに行う設定を示すフローチャート。
【図１１】ＶＰＮグループを作成する処理を示すフローチャート。
【図１２】ＶＰＮを構築する処理を示すフローチャート。
【図１３】ＶＰＮを構築する処理を示すフローチャート。
【図１４】仮想アドレスの割り当てを行う際に中継サーバが行う処理を示すフローチャート。
【図１５】ＬＡＮからパケットを受信したときに中継サーバが行うルーティング制御を示すフローチャート。
【図１６】ルーティングセッションからパケットを受信したときに中継サーバが行うルーティング制御を示すフローチャート。
【図１７】仮想アドレスを用いたルーティング制御を示す説明図。
【図１８】別の実施形態に係るアドレスフィルタ情報及び仮想アドレスを示す図。
【図１９】別の実施形態に係るルーティング制御を示す説明図。
【発明を実施するための形態】
【００２８】
次に、図面を参照して本発明の実施の形態を説明する。初めに、図１を参照して、本実施形態の中継通信システム１００の概要について説明する。図１は、本実施形態に係る中継通信システム１００の全体構成を示す説明図である。
【００２９】
図１に示すように、この中継通信システム１００は、Ｗｉｄｅ  Ａｒｅａ  Ｎｅｔｗｏｒｋ（ＷＡＮ、広域通信網）８０に接続された複数のＬＡＮ１０，２０，３０で構成されている。それぞれのＬＡＮ１０，２０，３０は、限定された場所で構築される比較的小規模なネットワークである。また、ＬＡＮ１０，２０，３０は、それぞれが物理的に離れた場所に配置されている。なお、本実施形態ではＷＡＮ８０としてインターネットが使用されている。
【００３０】
以下、それぞれのＬＡＮを具体的に説明する。図１に示すように、ＬＡＮ（第２ＬＡＮ）１０には、中継サーバ（第２中継サーバ）１と、第２ルーティング対象装置としての操作ＰＣ１１，１２と、クライアント端末１３と、が接続されている。ＬＡＮ２０には、中継サーバ２と、操作ＰＣ２１と、クライアント端末２２と、が接続されている。ＬＡＮ（第１ＬＡＮ）３０には、中継サーバ（第１中継サーバ）３と、第１ルーティング対象装置としての対象端末３１，３２，３３と、クライアント端末３４と、が接続されている。
【００３１】
それぞれの中継サーバ１，２，３は、ＬＡＮ１０，２０，３０だけでなくＷＡＮ８０にも接続されているため、同一のＬＡＮに接続された機器と通信可能であるだけでなく、他のＬＡＮに配置された中継サーバとも通信可能となっている。操作ＰＣ１１，１２，２１は、例えばオペレータが操作するためのパーソナルコンピュータである。対象端末３１，３２，３３は、パーソナルコンピュータ、又は、ファイルサーバ等であり、例えばオペレータは、操作ＰＣ１１等を操作して、対象端末３１等に所定のデータを要求すること、及び、対象端末３１の記憶内容を更新することが想定されている。クライアント端末１３，２２，３４は、例えばパーソナルコンピュータで構成されており、それぞれ自身が所属する中継サーバ１，２，３を介して、互いに通信可能である。
【００３２】
次に、図２を参照して、中継サーバ１，２，３の詳細な構成について説明する。図２は、中継サーバ３の機能ブロック図である。なお、中継サーバ３は中継サーバ１，２と略同じ構成であるので、以下では、主として中継サーバ３について説明する。
【００３３】
図２に示すように、中継サーバ３は、記憶部５０と、制御部６０と、インタフェース部７０と、を備えている。
【００３４】
インタフェース部７０は、ＬＡＮ１０内の端末に対して通信を実行する。また、インタフェース部７０は、ＷＡＮ８０に対して通信を実行する。インタフェース部７０は、ＬＡＮ３０又はＷＡＮ８０から受信したパケットに適宜の処理を行って制御部６０へ出力する。
【００３５】
制御部６０は、例えば制御及び演算の機能を有するＣＰＵであり、記憶部５０から読み出したプログラムにより各種の処理を実行可能である。この制御部６０は、ＴＣＰ／ＩＰ、ＵＤＰ、ＳＩＰ等のプロトコルに従った様々な通信を制御することができる。具体的には、制御部６０は、受信したパケットについて、当該パケットが示す情報と記憶部５０に記憶された情報とに基づいて宛先を決定し、決定した宛先へ当該パケットを送信する。また、制御部６０は、他の端末から受信した情報に基づいて、記憶部５０の記憶内容を更新することができる。
【００３６】
記憶部５０は、例えばハードディスク又は不揮発性ＲＡＭで構成されており、各種データを保存可能である。記憶部５０は、中継グループ情報記憶部５１と、中継サーバ情報記憶部５２と、クライアント端末情報記憶部５３と、ＶＰＮグループ情報記憶部５４と、アドレスフィルタ情報記憶部５５と、仮想アドレス登録情報記憶部５６と、仮想アドレス割当情報記憶部５７と、を備えている。以下、図３から図９までを参照して、記憶部５０の記憶内容について説明する。図３から図９までは、主として、中継サーバ３の記憶部５０の記憶内容を示す図である。
【００３７】
中継グループ情報記憶部５１は、中継グループと、当該中継グループを構成する中継サーバと、を示した中継グループ情報を記憶している。
【００３８】
図３に示すように、中継グループ情報においては、ｇｒｏｕｐタグと、このｇｒｏｕｐタグを親要素とする子要素のｓｉｔｅタグと、が記述されている。ｇｒｏｕｐタグには中継グループに関するグループ情報５１１が記述されている。このグループ情報５１１としては、中継グループの識別情報（「ｉｄ」）と、最終更新時刻（「ｌａｓｔｍｏｄ」）と、中継グループの名称（「ｎａｍｅ」）と、が記述されている。ｓｉｔｅタグには、中継グループを構成する中継サーバに関するグループ構成情報５１２が記述されている。このグループ構成情報５１２には、当該中継サーバの識別情報（「ｉｄ」）が記述されている。また、中継グループは追加作成が可能であり、その場合、新しい中継グループには、他の中継グループと異なる一意の識別情報が付与される。これにより、特定の中継グループ内だけでデータのやり取りを行う等の設定が可能になっている。
【００３９】
なお、この中継グループ情報は、当該中継グループを構成する中継サーバ１，２，３の間で共有されている。そして、ある中継サーバにおいて中継グループを変更する処理が行われた場合は、他の中継サーバに対してその旨が送信されて中継グループ情報が更新される。このようにして、中継グループ情報が動的に共有される。
【００４０】
中継サーバ情報記憶部５２は、中継通信を行う中継サーバ及び当該中継サーバに所属するクライアント端末の概要を示す中継サーバ情報を記憶している。
【００４１】
図４に示す中継サーバ情報においては、中継サーバ毎に記述されるｓｉｔｅタグと、前記ｓｉｔｅタグを親要素とする子要素のｎｏｄｅタグと、が記述されている。ｓｉｔｅタグには中継サーバ１に関するサーバ情報５２１が記述されている。このサーバ情報５２１としては、中継サーバの識別情報（「ｉｄ」）と、中継サーバの名称（「ｎａｍｅ」）と、起動情報（「ｓｔａｔ」）と、が記述されている。なお、「ｓｔａｔ」の内容が「ａｃｔｉｖｅ」の場合は中継サーバが中継通信システム１００にログインしていることを示し、ｓｔａｔが空欄であるときはログオフ中であることを示す。ｓｉｔｅタグの子要素であるｎｏｄｅタグには、中継サーバに所属するクライアント端末を示す所属情報５２２が記述されている。所属情報５２２としては、所属する中継グループの名称（「ｇｒｏｕｐ」）と、クライアント端末の識別情報（「ｉｄ」）と、クライアント端末の名称（「ｎａｍｅ」）と、所属先の中継サーバの識別情報（「ｓｉｔｅ」）と、が記述されている。なお、クライアント端末が中継通信システム１００にログインしていないときは、「ｓｉｔｅ」は空欄となる。
【００４２】
なお、中継グループによる通信は、上記の中継グループ情報及び中継サーバ情報に基づいて、以下のようにして行われる。例えばクライアント端末１３からクライアント端末２２にパケットを送信する場合、初めに、クライアント端末１３は、自身が接続している中継サーバである中継サーバ１にパケットを送信する。なお、パケットのやり取りが可能な中継サーバは上記の中継グループ情報に基づいて把握することができ、中継サーバに所属しているクライアント端末の識別情報及び接続の可否は上記の中継サーバ情報に基づいて把握することができる。中継サーバ１は、これらの情報に基づいて、クライアント端末２２が接続している中継サーバである中継サーバ２へパケットを転送する。そして、このパケットを受信した中継サーバ２がクライアント端末２２へパケットを転送する。このようにして、クライアント端末１３，２２同士で中継通信を行うことができる。
【００４３】
この中継サーバ情報に関しても中継グループ情報と同様に、当該中継グループを構成する中継サーバ１，２，３の間で情報が共有されている。そして、ある中継サーバにおいて中継サーバ情報を変更する処理が行われた場合は、他の中継サーバに対してその旨が送信されて中継サーバ情報が更新される。このようにして、中継サーバ情報が動的に共有される。
【００４４】
クライアント端末情報記憶部５３は、クライアント端末に関する詳細な情報であるクライアント端末情報を記憶している。なお、中継サーバ１，２，３は、自身に所属するクライアント端末に関するクライアント端末情報のみを記憶している。中継サーバ３には、クライアント端末３４が所属しているため、中継サーバ３が備えるクライアント端末情報記憶部５３には、クライアント端末３４についてのクライアント端末情報のみが記憶されている。
【００４５】
中継サーバ３のクライアント端末情報記憶部５３が記憶するクライアント端末情報は、図５（ｃ）に示されている。同様に、中継サーバ１が記憶するクライアント端末情報が図５（ａ）に、中継サーバ２が記憶するクライアント端末情報が図５（ｂ）に、それぞれ示されている。
【００４６】
図５に示すクライアント端末情報においては、ｎｏｄｅタグが記述されている。このｎｏｄｅタグには、クライアント端末のプライベートＩＰアドレス（「ａｄｄｒ」）と、所属する中継グループの名称（「ｇｒｏｕｐ」）と、識別情報（「ｉｄ」）と、名称（「ｎａｍｅ」）と、中継サーバにログインするためのパスワード（「ｐａｓｓ」）と、ポート情報（「ｐｏｒｔ」）と、が記述されている。
【００４７】
ＶＰＮグループ情報記憶部５４は、中継グループを構成する中継サーバ及びクライアント端末からルーティングポイントとして選択された機器（以下、ルーティング機器と称する）で構成されたＶＰＮグループに関する情報であるＶＰＮグループ情報を記憶している。同一のＶＰＮグループに所属するルーティング機器同士でルーティングセッションを確立させることにより、ＶＰＮを利用した通信を開始することができる。
【００４８】
図６に示すＶＰＮグループ情報においては、ｖｎｅｔタグが記述されている。このｖｎｅｔタグには、ＶＰＮグループ基本情報５４１と、ルーティングポイント情報５４２と、ルーティングセッション情報５４３と、が記述されている。ＶＰＮグループ基本情報５４１には、ＶＰＮグループが所属する中継グループの名称（「ｇｒｏｕｐ」）と、ＶＰＮグループの識別情報（「ｉｄ」）と、最終更新時刻（「ｌａｓｔｍｏｄ」）と、ＶＰＮグループの名称（「ｎａｍｅ」）と、が記述されている。ルーティングポイント情報５４２には、ＶＰＮグループ間で通信を行うときにルーティングを行うルーティング機器の識別情報が記述されている。図６（ａ）の例においては、ルーティング機器として、中継サーバ１と、中継サーバ３と、が記述されている。ルーティングセッション情報５４３には、ＶＰＮグループにおいて互いに接続されるルーティング機器が記述されている。ルーティングセッション情報５４３において、ルーティング機器は、ＶＰＮグループでＶＰＮを構築して通信を開始するためのルーティングセッション確立処理において、通信制御を最初に行う側（「ｓｐ（ｓｔａｒｔ  ｐｏｉｎｔ）」）と、その通信制御を受ける側（「ｅｐ（ｅｎｄ  ｐｏｉｎｔ）」）と、に分けて定められている。なお、以下の説明では、ルーティングセッション確立のための通信制御を最初に行う側のルーティング機器を「始点」と、その通信制御を受ける側のルーティング機器を「終点」と、それぞれ称することがある。
【００４９】
図６（ａ）に示すＶＰＮグループ情報からは、ＶＰＮグループ（ＶＰＮ−ＧＲＯＵＰ１）が、中継サーバ１と中継サーバ３とで構成されることが分かる。また、このＶＰＮ−ＧＲＯＵＰ１での通信の開始時には、中継サーバ３から中継サーバ１へルーティングセッションを確立するための通信制御が行われることが分かる。同様に、図６（ｂ）に示すＶＰＮグループ情報からは、ＶＰＮ−ＧＲＯＵＰ２が、中継サーバ２と中継サーバ３とで構成されることが分かる。また、この、ＶＰＮ−ＧＲＯＵＰ２での通信の開始時には、中継サーバ３から中継サーバ２へルーティングセッションを確立するための通信制御が行われることが分かる。
【００５０】
このＶＰＮグループ情報も中継サーバ情報及び中継グループ情報と同様に、同じＶＰＮグループに所属する中継サーバの間で共有されている。そして、ある中継サーバにおいてＶＰＮグループ情報を変更する処理が行われた場合は、同じＶＰＮグループに所属する他の中継サーバに対してその旨が送信されてＶＰＮグループ情報が更新される。このようにして、ＶＰＮグループ情報が動的に共有される。なお、このＶＰＮグループを作成する処理については後述する。
【００５１】
アドレスフィルタ情報記憶部５５は、ＶＰＮを利用したルーティング制御を行う際に用いられる情報であるアドレスフィルタ情報を記憶する。アドレスフィルタ情報記憶部５５は、ＶＰＮの構築前においては、中継サーバ３自身がパケットを直接的に送信可能な装置（ルーティング対象装置）を示す情報（中継サーバ３のアドレスフィルタ情報）を記憶する。なお、アドレスフィルタ情報には、ルーティング対象装置のアドレス（ルーティング対象アドレス）と、ルーティング対象装置の名称と、が含まれる。
【００５２】
図７（ｃ）には、中継サーバ３自身に予め登録されたアドレスフィルタ情報の例が示されている。この例では、中継サーバ３がパケットを直接的に送信可能な機器が対象端末３１，３２，３３であることが記述されている。なお、図７（ａ）には、中継サーバ１に予め登録されたアドレスフィルタ情報が示され、図７（ｂ）には、中継サーバ２に予め登録されたアドレスフィルタ情報が示されている。
【００５３】
上述のように、中継サーバ３のアドレスフィルタ情報記憶部５５は、ＶＰＮを構築する前においては、図７（ｃ）に示すアドレスフィルタ情報のみを記憶する。そして、中継サーバ３は、例えば中継サーバ１とルーティングセッションを確立させるときに、自身に予め登録されたアドレスフィルタ情報（図７（ｃ））を中継サーバ１へ送信するとともに、中継サーバ１からアドレスフィルタ情報（図７（ａ））を受信する。そして、中継サーバ３は、中継サーバ１のアドレスフィルタ情報を当該中継サーバ１の識別情報と対応付けてアドレスフィルタ情報記憶部５５に記憶する。
【００５４】
これにより、中継サーバ３のアドレスフィルタ情報記憶部５５には、自身のアドレスフィルタ情報に加え、図８（ａ）に示すように、中継サーバ１のアドレスフィルタ情報が記憶されることになる。同様に、中継サーバ１のアドレスフィルタ情報記憶部５５には、中継サーバ１及び中継サーバ３のアドレスフィルタ情報が記憶される。そして、中継サーバ１，３は、この取得したアドレスに基づいて、ルーティング制御を行う（詳細な制御については後述）。なお、以下では、中継サーバ３のアドレスフィルタ情報に含まれるルーティング対象アドレス（対象端末３１，３２，３３のアドレス）を第１ルーティング対象アドレスと称し、中継サーバ１のアドレスフィルタ情報に含まれるルーティング対象アドレス（操作ＰＣ１１，１２のアドレス）を第２ルーティング対象アドレスと称することがある。
【００５５】
本実施形態では、中継サーバ１と中継サーバ３とでルーティングセッションを確立して通信を行う場合（ＶＰＮ−ＧＲＯＵＰ１で通信を行う場合）、中継サーバ３と対象端末３１，３２，３３との間の通信では、操作ＰＣ１１，１２の実際のアドレスを用いずに、仮想アドレスを用いて通信を行う。仮想アドレスは、ＬＡＮ３０内で重複しないアドレス（ＬＡＮ３０内の機器に割り当てられておらず、かつその予約もされていないアドレス）が予め登録されて、中継サーバ３の仮想アドレス登録情報記憶部５６に記憶されている。本実施形態では、図９（ａ）に示すアドレスが仮想アドレスとして登録されている。
【００５６】
同様に、中継サーバ２と中継サーバ３とでルーティングセッションを確立して通信を行う場合（ＶＰＮ−ＧＲＯＵＰ２で通信を行う場合）、中継サーバ３と対象端末３１，３２，３３との間の通信では、操作ＰＣ２１の実際のアドレスを用いずに、仮想アドレスを用いて通信を行う。
【００５７】
中継サーバ３は、上記のようにアドレスフィルタ情報を交換して中継サーバ１（又は中継サーバ２）から操作ＰＣ１１，１２（又は操作ＰＣ２１）のアドレスを取得して、当該アドレスに仮想アドレスを割り当てる。仮想アドレス割当情報記憶部５７は、受信したアドレスと仮想アドレスとの対応関係（割当関係）を記憶する。
【００５８】
なお、本実施形態の仮想アドレスは、ＩＰｖ４形式で記述されている。以下の説明では、この３２ビットのうち、始めの２４ビットをネットワーク部と称し、後の８ビットをホスト部と称する（図９（ｂ）を参照）。本実施形態では、中継サーバ３は、接続先のＬＡＮ毎（即ち接続先の中継サーバ毎）にネットワーク部が異なるように仮想アドレスを割り当てる。
【００５９】
具体的には、操作ＰＣ１１，１２には、図８（ａ）に示すように、（１５０．１００．１０．１），（１５０．１００．１０．２）という仮想アドレスが割り当てられる。また、操作ＰＣ２１には、図８（ｂ）に示すように、（１８０．５０．１０．１）という仮想アドレスが割り当てられる。
【００６０】
このように、接続先のＬＡＮ毎に（中継サーバ毎に）ネットワーク部が異なるように仮想アドレスを割り当てることにより、仮想アドレスを見るだけで、同じＬＡＮどの仮想アドレス同士が中継サーバの接続先を把握することができる。従って、ユーザが誤った仮想アドレスを指定してしまうことを防止できる。また、ユーザは、同じＬＡＮに接続されるルーティング対象装置の仮想アドレスを、（１５０．１００．１０．０／２４）のようにして、まとめて指定できるので、簡単な操作で、ＬＡＮ単位でのリモートデスクトップの制限等を行うことができる。
【００６１】
次に、ＶＰＮを利用した通信を行うための準備について説明する。初めに、図１０を参照して中継サーバに予め行う設定について説明し、次に、図１１を参照してＶＰＮグループを作成するときの流れについて説明する。図１０は、予め中継サーバに行う設定を示すフローチャートである。図１１は、ＶＰＮグループを作成する処理を示すフローチャートである。以下では、中継サーバ３を例に挙げて、中継サーバ３に対して行う設定及び中継サーバ３が実行する処理について説明するが、中継サーバ１，２にも同様の設定が行われるとともに、同様の処理を実行可能である。
【００６２】
中継サーバ３に予め行う設定としては、当該中継サーバ３のアドレスフィルタ情報の登録（Ｓ１０１）がある。この登録は、中継通信システム１００を利用するユーザが、中継サーバ３のルーティング対象装置として指定する機器等のアドレス（第１ルーティング対象アドレス）と、名称と、を所定の方法で入力することにより行う。ここでは、ユーザは、対象端末３１，３２，３３のアドレス及び名称を入力したものとする。ここで登録されたアドレスフィルタ情報は、アドレスフィルタ情報記憶部５５に記憶される。
【００６３】
次に、仮想アドレスを用いた通信を行う場合は、ユーザは、中継サーバ３が接続するＬＡＮ３０内で重複しないアドレスを仮想アドレスとして登録する（Ｓ１０２）。ここで登録された仮想アドレスは、仮想アドレス登録情報記憶部５６に記憶される。
【００６４】
以下、ＶＰＮグループを作成するときの流れについて説明する。ユーザは、初めに、クライアント端末１３，２２，３４等を操作することによって、ＶＰＮグループの設定画面を表示させることができる。ここでは、クライアント端末３４を用いて設定を行う場合について説明する。クライアント端末３４に表示させた設定画面には、当該クライアント端末３４が属する複数の中継グループが表示される。ユーザは、この複数の中継グループから、ＶＰＮグループを構築したい中継グループを選択する（Ｓ２０１）。
【００６５】
中継グループが選択されると、クライアント端末３４の画面には、選択した中継グループに属し、かつルーティングポイントとして機能可能な中継サーバ及びクライアント端末の識別情報の一覧が表示される（Ｓ２０２）。そして、ユーザは、構築するＶＰＮグループにおいてルーティングポイントとして機能させる中継サーバ及びクライアント端末を選択する（Ｓ２０３）。今回の説明では、中継サーバ１と、中継サーバ３と、がユーザに選択されたものとする。
【００６６】
そして、選択された中継サーバの識別情報に基づいて、ルーティングポイントの識別情報及び前記ルーティングセッション情報が作成される（Ｓ２０４）。そして、これらの情報にＶＰＮグループの識別情報等を付加することにより、図６（ａ）で示したＶＰＮグループ情報が作成される。クライアント端末３４は、このＶＰＮグループ情報を、同じＶＰＮグループに所属する中継サーバ１，３へ送信する（Ｓ２０５）。そして、中継サーバ１，３は、受信したＶＰＮグループ情報をＶＰＮグループ情報記憶部５４に記憶する。以上により、中継サーバ１，３で構成されるＶＰＮ−ＧＲＯＵＰ１の構築処理が完了する。なお、中継サーバ２，３で構成されるＶＰＮ−ＧＲＯＵＰ２についても所定のタイミングで作成されたものとする。
【００６７】
次に、構築したＶＰＮグループでＶＰＮを利用した通信を開始するまでの流れについて、図１２から図１４までを参照して説明する。図１２及び図１３は、ＶＰＮを利用した通信を開始するまでに行う処理を示すフローチャートである。図１４は、仮想アドレスの割り当てを行う際に中継サーバ３が行う処理を示すフローチャートである。
【００６８】
ユーザは、クライアント端末１３等又は操作ＰＣ１１等を操作することによって、構築したＶＰＮグループを画面に表示させることができる。そして、表示されたＶＰＮグループから適当なＶＰＮグループを選択することにより（Ｓ３０１）、ＶＰＮを構築するための処理を行わせることができる。今回の説明では、上記で作成したＶＰＮグループ（中継サーバ１，３で構成されるＶＰＮグループ）の開始処理を中継サーバ３が行う例を説明する。
【００６９】
中継サーバ３は、初めに、自身に対応付けられたアドレスフィルタ情報を読み出す（Ｓ３０２）。ここで読み出される情報は、Ｓ１０１で登録された内容（図７（ｃ）に示す内容）である。次に、中継サーバ３は、選択されたＶＰＮグループに属するルーティングポイントの読出しを行う（Ｓ３０３）。これにより、図６（ａ）に示すＶＰＮグループ情報の内容に基づいて、中継サーバ１が読み出される。
【００７０】
中継サーバ３は、中継サーバ情報に基づいて、初めに、中継サーバ１がログイン中か否か（「ｓｔａｔ」がａｃｔｉｖｅか空欄か）を判断する（Ｓ３０４）。図４に示す中継サーバ情報によれば中継サーバ１はログイン中であるため、中継サーバ３は、中継サーバ１へＶＰＮグループの識別情報とともに、ＶＰＮグループの開始コマンドを送信する（Ｓ３０５）。
【００７１】
中継サーバ３は、この開始コマンドに対する中継サーバ１からの応答を受けると（Ｓ３０６）、中継サーバ１を、ＶＰＮを構築する準備が完了したルーティングポイントとして登録する（Ｓ３０７）。
【００７２】
次に、中継サーバ３は、同じＶＰＮグループに所属する他の機器が有るか否かの判断を行う（Ｓ３０８）。現在作成中のＶＰＮグループは、中継サーバ１と中継サーバ３のみで構成されるため、他の機器は存在しない。なお、仮に他の機器が存在していた場合は、中継サーバ３は、今度は当該機器を対象としてＳ３０４〜Ｓ３０７の処理を行う。
【００７３】
次に、中継サーバ３は、ＶＰＮグループ情報記憶部５４の記憶内容からルーティングセッション情報を抽出する（図１３のＳ３０９）。そして、中継サーバ３は、抽出したルーティングセッション情報を参照して、自身が始点となるルーティングセッションが記述されているか否かを判断する（Ｓ３１０）。図６（ａ）のルーティングセッション情報においては、中継サーバ１と中継サーバ３との間で確立されるべきルーティングセッションにおいて、自身（中継サーバ３）が始点となることが記述されている。
【００７４】
そのため、中継サーバ３は、中継サーバ１に対して所定の通信制御を行ってルーティングセッションを確立する（Ｓ３１１）。なお、この通信制御を行う際に、前述のように、アドレスフィルタ情報が交換される（Ｓ３１２）。
【００７５】
次に、中継サーバ３は、受信したアドレスフィルタ情報に含まれるルーティング対象アドレスに仮想アドレスの割当てを行う（Ｓ３１３）。この仮想アドレスの割当ては、詳細には、図１４に示すフローチャートに沿って行われる。
【００７６】
以下、操作ＰＣ１１、操作ＰＣ１２の順に仮想アドレスを割り当てる際に中継サーバ３が行う処理について説明する。中継サーバ３は、初めに、同一ＬＡＮの他の機器に仮想アドレスを割当て済みか否かの判断を行う（Ｓ４０１）。現時点では、操作ＰＣ１１，１２の何れにも仮想アドレスが割り当てられていないので、中継サーバ３は、未使用のネットワーク部を有する仮想アドレスが仮想アドレス登録情報記憶部５６に登録されているか否かを判断する（Ｓ４０２）。
【００７７】
未使用のネットワーク部を有する仮想アドレスが登録されている場合、当該仮想アドレスを用いて、仮想アドレスの割当てが行われる（Ｓ４０４）。これにより、他のルーティング対象装置に割り当てた仮想アドレスとネットワーク部が異なる仮想アドレスを新たに割り当てることができる。具体的には、中継サーバ３は、操作ＰＣ１１に（１５０．１００．１０．１）という仮想アドレスを割り当てる。
【００７８】
なお、操作ＰＣ１１に割り当てられる仮想アドレスのネットワーク部は、予めユーザが設定したものを用いる構成であっても良いし、中継サーバ３が仮想アドレス登録情報記憶部５６を参照して未使用のネットワーク部を自動的に選択する構成であっても良い。
【００７９】
前者の場合、第２ルーティング対象アドレスに割り当てられる仮想アドレスのネットワーク部が接続毎に変化しないので、ネットワーク部が示すＬＡＮを一層分かり易くすることができる。一方、後者の場合、ルーティング対象装置にどの仮想アドレスを割り当てるかを予め設定しなくて良いため、ユーザの手間を省くことができる。また、後者の場合は、例えば、中継サーバ１とのＶＰＮを終了して仮想アドレスの割当てを解除した後に、当該仮想アドレスを中継サーバ１以外の中継サーバに割り当てることができる。つまり、仮想アドレスを使いまわすことができるので、仮想アドレスとして予め確保しておくアドレスを少なくすることができる。従って、将来的なネットワークの拡張等に柔軟に対応することができる。
【００８０】
そして、中継サーバ３は、ＶＰＮを利用した通信の開始処理を継続して行う（Ｓ４０５）。なお、中継サーバ３は、未使用のネットワーク部を有する仮想アドレスが登録されていない場合、その旨をユーザに通知する（Ｓ４０３）。
【００８１】
次に、中継サーバ３は、操作ＰＣ１２に仮想アドレスを割り当てる。今回は、Ｓ４０１の判断において、同一ＬＡＮの他の機器（即ち操作ＰＣ１１）に仮想アドレスを割当て済みである。従って、中継サーバ３は、既に割り当てた仮想アドレスのネットワーク部（１５０．１００．１０）を用いて仮想アドレスを割り当てる（Ｓ４０６）。これにより、操作ＰＣ１２に（１５０．１００．１０．２）という仮想アドレスが割り当てられる。次に、中継サーバ３は、仮想アドレスの割当てに成功したか否かの判断を行う（Ｓ４０７）。中継サーバ３は、仮想アドレスの割当てに成功した場合、ＶＰＮを利用した通信の開始処理を継続して行う（Ｓ４０５）。一方、中継サーバ３は、仮想アドレスの割当てに失敗した場合、その旨をユーザに通知する（Ｓ４０８）。
【００８２】
なお、中継サーバ３は、Ｓ４０３及びＳ４０８でエラーを通知した際に、実際のアドレスを利用した通信を行うか否かをユーザに問い合わせる（Ｓ４０９）。中継サーバ３は、ユーザから実際のアドレスによる通信を行う許可が得られた場合、ＶＰＮを利用した通信の開始処理を継続して行う（Ｓ４０５）。これにより、例えば緊急事態の発生時又は相手にアドレスを知られても構わない状況等においても適切に通信を開始することができる。一方、ユーザから許可が得られなかった場合、中継サーバ３は、この開始処理を停止する。
【００８３】
次に、中継サーバ３は、再びＳ３１０の処理を行う。なお、ルーティング対象アドレス間で重複がないと判定した場合も再びＳ３１０の処理を行う。現在作成中のＶＰＮグループは、中継サーバ１と中継サーバ３のみで構成されるため、他のルーティングセッションはＶＰＮグループ情報には記述されていない。従って、中継サーバ３は、パケットのルーティング制御を開始する（Ｓ３１６）。なお、仮に他のルーティングセッションがある場合は、中継サーバ３は、再びＳ３１１〜Ｓ３１４の処理を行う。
【００８４】
このように、本実施形態では、ＶＰＮを構築する際に、それぞれのルーティング機器が他のルーティング機器とアドレスフィルタ情報を交換（取得）するため、最新のアドレスフィルタ情報を用いてＶＰＮを構築することができる。従って、ＶＰＮ開始前の段階で一部のルーティング機器においてアドレスフィルタ情報が変更された場合でも、その変更を全てのルーティング機器に反映させた状態でＶＰＮを構築して通信を開始できるので、パケットのルーティングにおける矛盾の発生を防止でき、信頼性を向上させることができる。
【００８５】
また、図１３のフローチャートには記載していないが、Ｓ３１０において自身が接続の始点となるルーティングセッションが無い場合（自身がルーティングの終点となる場合）であっても、始点となるルーティング機器からの通信制御を受けてルーティングセッションの確立処理及びアドレスフィルタ情報の交換が行われる。それと同時に、仮想アドレスを用いた通信を行う場合は、仮想アドレスの割当て等も行われる。
【００８６】
なお、それぞれのルーティング機器は、自身が始点である旨がルーティングセッション情報に記述されていない限りはルーティングセッション確立のための最初の通信制御を行わないので、通信制御の衝突を防止し、機器間のルーティングセッションを簡素な制御で確立することができる。
【００８７】
以上のように中継サーバ３は、中継サーバ１とＶＰＮを構築する。また、中継サーバ３は、ユーザからＶＰＮ−ＧＲＯＵＰ２の開始指示を受けた場合、中継サーバ２に対しても同様にＶＰＮを構築する。そして、中継サーバ３は、図１４の処理を行うことにより、操作ＰＣ１１，１２とネットワーク部が異なる仮想アドレスを操作ＰＣ２１に割り当てる。
【００８８】
次に、確立したルーティングセッションを用いてパケットのルーティングを行う処理について説明する。
【００８９】
初めに、中継サーバ３がＬＡＮ３０からパケットを受信したときに行う制御について図１５を参照して説明する。図１５は、この制御の流れを示すフローチャートである。
【００９０】
なお、ＬＡＮ３０内のルーティング対象装置は、他のルーティング対象装置にパケットを送信する際は、その宛先とすべき当該他のルーティング対象アドレスを、中継サーバ３に問い合わせることで取得する。このとき、仮想アドレスが割り当てられている場合は、ＬＡＮ３０内のルーティング対象装置が中継サーバ３に行う上記の問い合わせに対して、中継サーバ３は、実際のアドレスではなく仮想アドレスを回答する。従って、例えば対象端末３１から操作ＰＣ１１へパケットが送信される場合、対象端末３１は中継サーバ３から、宛先アドレスとして、操作ＰＣ１１に割り当てられた仮想アドレス（１５０．１００．１０．１）を取得することになる。
【００９１】
中継サーバ３は、ＬＡＮ３０からパケットを受信するまで待機している（Ｓ５０１）。そして、ＬＡＮ３０からパケットを受信した場合、初めに、当該パケットの宛先が自身（中継サーバ３）であるか否かの判断を行う（Ｓ５０２）。
【００９２】
中継サーバ３は、パケットの宛先が自身であった場合、当該パケットの受信を行う（Ｓ５０３）。一方、パケットの宛先が自身以外であった場合、中継サーバ３は、受信したパケットの宛先アドレスと、アドレスフィルタ情報（図９（ａ）を参照）と、を比較して、宛先アドレスがアドレスフィルタ情報に登録されているか否かの判断を行う（Ｓ５０４）。中継サーバ３は、宛先アドレスがアドレスフィルタ情報に登録されていない場合、パケットを破棄する（Ｓ５０５）。一方、中継サーバ３は、宛先アドレスがアドレスフィルタ情報に登録されていた場合、当該アドレスフィルタ情報に対応するルーティングセッションを特定する（Ｓ５０６）。
【００９３】
次に、中継サーバ３は、仮想アドレス割当情報記憶部５７を参照して、宛先アドレスが仮想アドレスか否かの判断を行う（Ｓ５０７）。宛先アドレスが仮想アドレスである場合、中継サーバ３は、宛先アドレスを実際のアドレスに変換し（Ｓ５０８）、Ｓ５０６で特定したルーティングセッションへパケットを送信（転送）する（Ｓ５０９）。
【００９４】
次に、中継サーバ３がルーティングセッションからパケットを受信したときに行う制御について図１６を参照して説明する。図１６は、この制御の流れを示すフローチャートである。
【００９５】
中継サーバ３は、ルーティングセッションからパケットを受信するまで待機している（Ｓ６０１）。そして、中継サーバ３は、パケットを受信した場合、当該パケットの宛先アドレスと、アドレスフィルタ情報（図８（ａ）を参照）と、を比較して、パケットの宛先アドレスが自身のアドレスフィルタ情報に対応付けて登録されているか否かの判断を行う（Ｓ６０２）。
【００９６】
パケットの宛先アドレスが自身のアドレスフィルタ情報に対応付けて登録されている場合、仮想アドレス割当情報記憶部５７を参照して、送信元アドレスに仮想アドレスが割り当てられているか否かの判断を行う（Ｓ６０３）。送信元アドレスに仮想アドレスが割り当てられている場合、中継サーバ３は、送信元アドレスを仮想アドレスに変換し（Ｓ６０４）、宛先アドレスが示す機器（対象端末３１，３２，３３）へ、パケットを転送する（Ｓ６０５）。なお、送信元アドレスに仮想アドレスが割り当てられていない場合、中継サーバ３は、アドレスを変換することなく、宛先が示す機器へパケットを転送する（Ｓ６０５）。
【００９７】
また、中継サーバ３は、宛先アドレスが自身のアドレスフィルタ情報に対応付けて登録されていない場合、当該宛先アドレスが他のルーティング機器のアドレスフィルタ情報に対応付けて登録されているか否かの判断を行う（Ｓ６０６）。当該宛先アドレスが他のルーティング機器のアドレスフィルタ情報に対応付けて登録されている場合、中継サーバ３は、該当するルーティングセッションを特定し（Ｓ６０７）、このルーティングセッションへパケットを送信（転送）する（Ｓ６０８）。
【００９８】
一方、当該宛先アドレスが他のルーティング機器のアドレスフィルタ情報にも登録されていない場合、中継サーバ３は、当該パケットを破棄する（Ｓ６０９）。
【００９９】
以上の制御を行うことにより、仮想アドレスを利用して中継通信システム１００による通信を行うことができる。
【０１００】
次に、上記の制御を行う中継サーバ３を介して、操作ＰＣ１１と対象端末３１とがパケットをやり取りするときの流れについて図１７を参照して簡単に説明する。
【０１０１】
図１７（ａ）は、対象端末３１から操作ＰＣ１１へパケットが送信される場合を示している。この場合、中継サーバ３は、ＬＡＮ３０からパケットを受信するため、図１５に示す制御を行う。
【０１０２】
対象端末３１は、上述のように操作ＰＣ１１の仮想アドレスを宛先アドレスとしてパケットを送信する。このパケットを受信した中継サーバ３は、アドレスフィルタ情報（図９（ａ）を参照）に基づいて、パケットの宛先アドレスに対応するルーティング機器として中継サーバ１が記述されていることを認識してルーティングセッションを特定する（Ｓ５０６）。次に、中継サーバ３は、宛先アドレスが仮想アドレスであることを認識して、宛先アドレスを実際のアドレスに変換する（Ｓ５０８）。そして、中継サーバ３は、ルーティングセッションを介して中継サーバ１へパケットを送信する（Ｓ５０９）。
【０１０３】
このパケットを受信した中継サーバ１は、アドレスフィルタ情報に基づいて、パケットの宛先アドレスに対応するルーティング機器として自身（中継サーバ１）が記述されていることを認識する。そして、中継サーバ１は、宛先の操作ＰＣ１１へパケットを送信する。
【０１０４】
図１７（ｂ）は、操作ＰＣ１１から対象端末３１へパケットが送信される場合を示している。この場合、中継サーバ３は、ルーティングセッションからパケットを受信するため、図１６に示す制御を行う。
【０１０５】
操作ＰＣ１１は、対象端末３１の実際のアドレスを宛先アドレスとしてパケットを送信する。このパケットを受信した中継サーバ１は、パケットの宛先アドレスに対応するルーティング機器として中継サーバ３が記述されていることを認識する。そして、中継サーバ１は、ルーティングセッションを介して中継サーバ３へパケットを送信する処理を行う。
【０１０６】
このパケットを受信した中継サーバ３は、アドレスフィルタ情報（図８（ｂ）を参照）に基づいて、パケットの宛先アドレスに対応するルーティング機器として自身（中継サーバ３）が記述されていることを認識する。そして、中継サーバ３は、仮想アドレス割当情報記憶部５７を参照して、送信元アドレスに仮想アドレスが割り当てられていることを認識する。そして、中継サーバ３は、送信元アドレスを仮想アドレスに変換して（Ｓ６０４）、宛先の対象端末３１へパケットを送信する（Ｓ６０５）。
【０１０７】
以上により、操作ＰＣ１１と対象端末３１との間で、当該操作ＰＣ１１の実際のアドレスを隠蔽したままパケットのやり取りを行うことができる。そのため、セキュリティを確保しつつルーティング対象装置間で通信を行うことができる。
【０１０８】
以上に説明したように、本実施形態の中継サーバ３は、アドレスフィルタ情報記憶部５５と、仮想アドレス割当情報記憶部５７と、制御部６０６０と、を備える。アドレスフィルタ情報記憶部５５は、第１ルーティング対象アドレス（対象端末３１，３２，３３のアドレス）と、第２ルーティング対象アドレス（操作ＰＣ１１，１２のアドレス）と、を記憶する。仮想アドレス割当情報記憶部は、第２ルーティング対象アドレスと、当該第２ルーティング対象アドレスに割り当てられた仮想アドレスと、を対応付けて記憶する。制御部６０は、中継サーバ１とルーティング対象アドレスを交換して、ルーティングセッションを確立する。制御部６０は、それぞれの操作ＰＣ１１，１２のアドレスでネットワーク部が同一となるように、かつ、中継サーバ２に割り当てた仮想アドレスのネットワーク部と異なるように、仮想アドレスを割り当てる。制御部６０は、第１ルーティング対象装置から仮想アドレスを宛先とするパケットを受信した際に、パケットの宛先アドレスを第２ルーティング対象アドレスに変換してルーティングセッションへパケットを転送する。制御部６０は、ルーティングセッションから第１ルーティング対象アドレスを宛先とするパケットを受信した際に、パケットの送信元アドレスを仮想アドレスに変換して宛先の対象端末３１，３２，３３へパケットを転送する。
【０１０９】
これにより、同一のＬＡＮに接続されるルーティング対象装置の仮想アドレスのセグメントを同じにすることができる。従って、セキュリティを確保しつつ、アドレスからネットワークの構成が把握し易くすることができる。また、ユーザは、同じＬＡＮに接続されるルーティング対象装置の仮想アドレスをまとめて指定できるので、簡単な操作で、ＬＡＮ単位でのリモートデスクトップの制限等を行うことができる。
【０１１０】
次に、上記実施形態と異なる構成の実施形態を説明する。図１８は、別の実施形態に係るアドレスフィルタ情報及び仮想アドレスを示す図である。図１９は、別の実施形態に係るルーティング制御を示す説明図である。なお、以下の説明においては、上記実施形態と同一又は類似の部材には図面に同一の符号を付し、説明を省略する場合がある。
【０１１１】
上記実施形態では、中継サーバ３は、他の中継サーバのルーティング対象装置（即ち、操作ＰＣ１１，１２，２１）に仮想アドレスを割り当てる。これに対し、本実施形態（別の実施形態）では、中継サーバ３は、自身のルーティング対象装置（即ち、対象端末３１，３２，３３）に仮想アドレスを割り当てる。
【０１１２】
従って、中継サーバ３は、アドレスフィルタ情報の交換後ではなく交換前に、仮想アドレスの割り当てを行い、割り当てた仮想アドレスを他の中継サーバへ送信する。また、中継サーバ３は、通信先の中継サーバ毎にネットワーク部が異なるように（即ち中継サーバ１と中継サーバ２でネットワーク部が異なるように）仮想アドレスを割り当てる。即ち、本実施形態では、１組のルーティング対象装置に対して、複数組の仮想アドレスが対応することなる。
【０１１３】
以上により、中継サーバ１，２は、それぞれ図１８（ａ），図１８（ｂ）に示すようなアドレスフィルタ情報を記憶する。
【０１１４】
また、この仮想アドレスを用いて通信を行う場合、上記実施形態とアドレスの変換方法を異ならせることで、適切に通信を行うことができる。即ち、中継サーバ３は、第１ルーティング対象装置（対象端末３１，３２，３３）からパケットを受信した場合、宛先アドレスではなく送信元アドレスを仮想アドレスに変換する。一方、中継サーバ３は、ルーティングセッションからパケットを受信した場合、送信元アドレスではなく宛先アドレスを実際のアドレスに変換する。
【０１１５】
これにより、中継サーバ３が送信する仮想アドレスのネットワーク部が通信先の中継サーバ１と中継サーバ２で異なるので、何れかのネットワーク部を含む仮想アドレスを一括して無効とすることで（例えば（１５０．１００．２０．０／２４）を無効とすることで）、対応するＬＡＮからのアクセスを一括して制限することができる。
【０１１６】
以上に本発明の好適な実施の形態を説明したが、上記の構成は例えば以下のように変更することができる。
【０１１７】
仮想アドレスにおけるネットワーク部とホスト部の区切りは上記実施形態で示した位置に限られない。例えば、始めの１６ビットがネットワーク部で、残りの１６ビットがホスト部となる形式であっても良い。
【０１１８】
ＩＰｖ４形式のＩＰアドレスに代えて、ＩＰｖ６形式のＩＰアドレスを用いることができる。この場合、仮想アドレスも同様にＩＰｖ６にしても良い。
【０１１９】
仮想アドレスの割当てを行うタイミングは任意であり、例えば、開始コマンドの送信とともにアドレスフィルタ情報を交換し、その直後に仮想アドレスを割り当てても良い。
【０１２０】
上記では、中継サーバのみがルーティングポイントとして機能する構成であるが、クライアント端末がルーティングポイントとして機能する構成であっても良い。また、ＶＰＮグループ内のルーティングポイントの数は２つに限られず、３つ以上であっても良い。また、１つのルーティング機器が複数のＶＰＮグループに所属していても良い。
【０１２１】
上記の中継グループ情報、中継サーバ情報、クライアント端末情報、ＶＰＮグループ情報、アドレスフィルタ情報等を格納する形式はＸＭＬ形式に限定されず、適宜の形式で各情報を格納することができる。
【０１２２】
上記の構成に代えて、各中継サーバ間での通信に用いられる外部サーバをインターネット上に設置し、ＳＩＰ（Ｓｅｓｓｉｏｎ  Ｉｎｉｔｉａｉｏｎ  Ｐｒｏｔｏｃｏｌ）サーバとしての機能を発揮させて通信を行う構成にしても良い。
【符号の説明】
【０１２３】
１  中継サーバ（第２中継サーバ）
３  中継サーバ（第１中継サーバ）
１１，１２  操作ＰＣ（第２ルーティング対象装置）
３１，３２，３３  対象端末（第１ルーティング対象装置）
１０  ＬＡＮ（第２ＬＡＮ）
３０  ＬＡＮ（第１ＬＡＮ）
５４  ＶＰＮグループ情報記憶部
５５  アドレスフィルタ情報記憶部
５６  仮想アドレス登録情報記憶部
５７  仮想アドレス割当情報記憶部
６０  制御部
１００  中継通信システム
【図１】
2013141060.tif 000003
【図２】
2013141060.tif 000004
【図３】
2013141060.tif 000005
【図４】
2013141060.tif 000006
【図５】
2013141060.tif 000007
【図６】
2013141060.tif 000008
【図７】
2013141060.tif 000009
【図８】
2013141060.tif 000010
【図９】
2013141060.tif 000011
【図１０】
2013141060.tif 000012
【図１１】
2013141060.tif 000013
【図１２】
2013141060.tif 000014
【図１３】
2013141060.tif 000015
【図１４】
2013141060.tif 000016
【図１５】
2013141060.tif 000017
【図１６】
2013141060.tif 000018
【図１７】
2013141060.tif 000019
【図１８】
2013141060.tif 000020
【図１９】
2013141060.tif 000021