(57)【要約】【課題】処理サーバ６においてユーザを容易に識別できるように、パケットを処理サーバ６に転送する。【解決手段】転送サーバ１は、端末から送信された受信パケットデータ１３について、変換データ１１から、受信パケットデータ１３を送信したユーザの識別子と、下り側ネットワーク１０１のアドレスとして受信パケットデータ１３の送信元アドレスと、が対応づけられた上り側ネットワーク１０２のアドレスを抽出し、受信パケットデータ１３の送信元アドレスを、変換データ１１から抽出したアドレスに変換して送信パケットデータ１４を生成するアドレス変換手段２５と、送信パケットデータ１４を、上り側ネットワーク１０２に送信するパケット送信手段２７を備える。【選択図】      図１
2013126219.tif 000002
【特許請求の範囲】
【請求項１】
ユーザの利用する端末に第１のネットワークを介して接続するとともに、前記端末にサービスを提供する処理サーバに第２のネットワークを介して接続し、前記端末および前記処理サーバの間でパケットを転送する転送サーバであって、
ユーザの識別子と、前記第１のネットワークのアドレスと、前記第２のネットワークのアドレスとを対応づけた変換データを記憶する記憶装置と、
前記端末から送信された受信パケットデータについて、前記変換データから、当該受信パケットデータを送信したユーザの識別子と、前記第１のネットワークのアドレスとして当該受信パケットデータの送信元アドレスと、が対応づけられた前記第２のネットワークのアドレスを抽出し、受信パケットデータの送信元アドレスを、前記変換データから抽出したアドレスに変換して送信パケットデータを生成するアドレス変換手段と、
前記送信パケットデータを、前記第２のネットワークに送信するパケット送信手段
を備えることを特徴とする転送サーバ。
【請求項２】
前記変換データはさらに、前記ユーザの識別子に対応して、パケットの転送の拒否条件を対応づけ、
前記変換データから、前記受信パケットデータを送信したユーザの識別子に対応づけられた拒否条件を取得し、当該受信パケットデータが、取得した当該拒否条件に一致しない場合、前記パケット送信手段が前記送信パケットデータを送信する
ことを特徴とする請求項１に記載の転送サーバ。
【請求項３】
ユーザの利用する端末に、第１のネットワークを介して接続するとともに、前記端末にサービスを提供する処理サーバに第２のネットワークを介して接続し、前記端末および前記処理サーバの間でパケットを転送する転送サーバに用いられる転送プログラムであって、
コンピュータを、
ユーザの識別子と、前記第１のネットワークのアドレスと、前記第２のネットワークのアドレスとを対応づけた変換データを記憶する記憶手段と、
前記端末から送信された受信パケットデータについて、前記変換データから、当該受信パケットデータを送信したユーザの識別子と、前記第１のネットワークのアドレスとして当該受信パケットデータの送信元アドレスと、が対応づけられた前記第２のネットワークのアドレスを抽出し、受信パケットデータの送信元アドレスを、前記変換データから抽出したアドレスに変換して送信パケットデータを生成するアドレス変換手段と、
前記送信パケットデータを、前記第２のネットワークに送信するパケット送信手段
として機能させるための転送プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ユーザの利用する端末に第1のネットワークを介して接続するとともに、端末にサービスを提供する処理サーバに第２のネットワークを介して接続し、端末および処理サーバの間でパケットを転送する転送サーバおよび転送プログラムに関する。
【背景技術】
【０００２】
一般的な通信ネットワークにおいて、通信端末の増加に対する対応やセキュリティ確保のために、ネットワークアドレス変換が用いられる。このネットワークアドレス変換において、プライベートネットワーク環境から、グローバルネットワーク環境に接続する際、プライベートネットワーク環境の通信端末のＩＰアドレスおよびポートを、グローバル環境のＩＰアドレスおよびポートに変換する。このネットワークアドレス変換は、ＮＡＴ（Network Address Translation）とも称される場合がある。プライベートネットワーク環境とグローバルネットワーク環境の両方に属するネットワークアドレス変換装置が、ネットワークアドレス変換を担う。
【０００３】
ネットワークアドレス変換に、動的ＮＡＴと呼ばれる技術がある。動的ＮＡＴは、プライベートネットワークから送信されたパケットに、予め用意されたグローバル環境の複数のＩＰアドレスのいずれかを動的に割り振る技術である（例えば、特許文献１参照）。特許文献１に記載の技術において、ネットワークアドレス変換装置は、アドレス変換用のマッピングテーブルを作成する。アドレス変換用のマッピングテーブルは、プライベートアドレス環境に属する通信端末のプライベートアドレスを、ネットワークアドレス変換装置が保持するグローバルアドレスの任意のグローバルアドレスに対応づける。さらにネットワークアドレス変換装置は、ＴＣＰセッションが終了した時点から一定の時間が経過するまで、このマッピングテーブルを保持し、一定の時間が経過した後、このマッピングテーブルを消去する。
【０００４】
一方、昨今のクラウドサービスの普及に伴い、ユーザの利用するコンピュータ端末にかかわらず、同様のサービスを享受することが可能となっている。例えば、クラウドサービスにおいて、ユーザは、ネットワーク上のソフトウェアを稼働して、ネットワーク上のストレージに作業内容を保存することができる。従って、ユーザは、クラウドサービスを享受できる環境であれば、会社内でも自宅でも、同様の作業を続けることができる。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００４−７２４８０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、クラウドサービスを実現するためには、クラウドサービスにおいて、ユーザを一意に識別することが必要になるところ、クラウドサービスにおいて容易にユーザを識別する必要がある。このように、接続先の処理サーバにおいて、ユーザの端末に依存せず、ユーザを容易に識別可能な方法の確立が期待されている。
【０００７】
そこで本発明の目的は、処理サーバにおいてユーザを容易に識別できるように、パケットを処理サーバに転送する転送サーバおよび転送プログラムを提供することである。
【課題を解決するための手段】
【０００８】
上記課題を解決するために、本発明の第１の特徴は、ユーザの利用する端末に第１のネットワークを介して接続するとともに、端末にサービスを提供する処理サーバに第２のネットワークを介して接続し、端末および処理サーバの間でパケットを転送する転送サーバに関する。即ち本発明の第１の特徴に係る転送サーバは、ユーザの識別子と、第１のネットワークのアドレスと、第２のネットワークのアドレスとを対応づけた変換データを記憶する記憶装置と、端末から送信された受信パケットデータについて、変換データから、当該受信パケットデータを送信したユーザの識別子と、第１のネットワークのアドレスとして当該受信パケットデータの送信元アドレスと、が対応づけられた第２のネットワークのアドレスを抽出し、受信パケットデータの送信元アドレスを、変換データから抽出したアドレスに変換して送信パケットデータを生成するアドレス変換手段と、送信パケットデータを、第２のネットワークに送信するパケット送信手段を備える。
【０００９】
ここで変換データはさらに、ユーザの識別子に対応して、パケットの転送の拒否条件を対応づけても良い。この場合、変換データから、受信パケットデータを送信したユーザの識別子に対応づけられた拒否条件を取得し、当該受信パケットデータが、取得した当該拒否条件に一致しない場合、パケット送信手段が送信パケットデータを送信する。
【００１０】
本発明の第２の特徴は、ユーザの利用する端末に第１のネットワークを介して接続するとともに、端末にサービスを提供する処理サーバに第２のネットワークを介して接続し、端末および処理サーバの間でパケットを転送する転送サーバに用いられる転送プログラムに関する。即ち本発明の第２の特徴に係る転送プログラムは、コンピュータを、ユーザの識別子と、第１のネットワークのアドレスと、第２のネットワークのアドレスとを対応づけた変換データを記憶する記憶手段と、端末から送信された受信パケットデータについて、変換データから、当該受信パケットデータを送信したユーザの識別子と、第１のネットワークのアドレスとして当該受信パケットデータの送信元アドレスと、が対応づけられた第２のネットワークのアドレスを抽出し、受信パケットデータの送信元アドレスを、変換データから抽出したアドレスに変換して送信パケットデータを生成するアドレス変換手段と、送信パケットデータを、第２のネットワークに送信するパケット送信手段として機能させる。
【発明の効果】
【００１１】
本発明によれば、処理サーバにおいてユーザを容易に識別できるように、パケットを処理サーバに転送する転送サーバおよび転送プログラムを提供することができる。
【図面の簡単な説明】
【００１２】
【図１】本発明の実施の形態に係る通信システムのシステム構成を説明する図である。
【図２】本発明の実施の形態に係る転送サーバのハードウェア構成と機能ブロックを説明する図である。
【図３】本発明の実施の形態に係る変換データのデータ構造とデータの一例を説明する図である。
【図４】本発明の実施の形態に係るセッションデータのデータ構造とデータの一例を説明する図である。
【図５】本発明の実施の形態に係る通信システムの処理を説明するシーケンス図である。
【発明を実施するための形態】
【００１３】
次に、図面を参照して、本発明の実施の形態を説明する。以下の図面の記載において、同一または類似の部分には同一または類似の符号を付している。
【００１４】
（実施の形態）
まず図１を参照して、本発明の実施の形態に係る通信システム１００を説明する。通信システム１００は、ユーザが端末を処理サーバ６に接続して、処理サーバ６のサービスを享受するためのシステムである。通信システム１００は、転送サーバ１、セッション管理サーバ２、ＶＰＮ（Virtual Private Network）サーバ３、社内システム４、ユーザ端末５、処理サーバ６を備える。これらの装置は、下り側ネットワーク（第１のネットワーク）１０１、上り側ネットワーク（第２のネットワーク）１０２、公衆有線ネットワーク１０３および公衆無線ネットワーク１０４を介して、相互に通信可能に接続される。
【００１５】
図１に示す例では、通信システム１００は、第１のＶＰＮサーバ３ａおよび第２のＶＰＮサーバ３ｂを備えるが、これらのＶＰＮサーバを区別しない場合、単にＶＰＮサーバ３と記載する場合がある。また、通信システム１００は、Ａ社内システム４ａおよびＢ社内システム４ｂを備えるが、これらを区別しない場合、単に社内システム４と記載する場合がある。またＡ社内システム４ａは社内端末４１ａを備え、Ｂ社内システム４ｂは社内端末４１ｂを備えるが、これらの社内端末を区別しない場合、単に社内端末４１と記載する場合がある。通信システム１００は、ユーザ端末５ａ、５ｂ、５ｃを備えるが、これらのユーザ端末を区別しない場合、単にユーザ端末５と記載する場合がある。また、社内端末４１とユーザ端末５とを特に区別しない場合、単に端末と記載する場合がある。通信システム１００は、第１の処理サーバ６ａ、第２の処理サーバ６ｂ、第３の処理サーバ６ｃおよび第４の処理サーバ６ｄを備えるが、これらの処理サーバを区別しない場合、単に処理サーバ６と記載する場合がある。
【００１６】
公衆有線ネットワーク１０３は、ＶＰＮを提供するとともに、社内システム４と第１のＶＰＮサーバ３ａとを相互に接続する。公衆無線ネットワーク１０４は、ＶＰＮを提供するとともに、ユーザ端末５と第２のＶＰＮサーバ３ｂとを相互に接続する。
【００１７】
下り側ネットワーク１０１および上り側ネットワーク１０２は、プライベート高速ネットワークである。下り側ネットワーク１０１は、転送サーバ１、セッション管理サーバ２、第１のＶＰＮサーバ３ａおよび第２のＶＰＮサーバ３ｂを相互に通信可能に接続する。上り側ネットワーク１０２は、転送サーバ１と処理サーバ６とを相互に通信可能に接続する。
【００１８】
社内システム４は、社内端末４１を備える。簡略のため、図１に示す例では、各社内システムが、それぞれ一つの社内端末４１を備えているが、複数の社内端末４１を備える場合が一般的である。これらの社内端末４１は、社内ＬＡＮによって、相互に通信可能に接続される。社内端末４１は、一般的なコンピュータであって、処理サーバ６によるクラウドサービスのクライアント端末である。ユーザは、社内端末４１を操作して処理サーバ６に接続し、データを更新または処理する。社内システム４は、公衆有線ネットワーク１０３に設けられたＶＰＮを介して、処理サーバ６に接続する。
【００１９】
ユーザ端末５は、ユーザが利用する情報通信端末であって、例えば、携帯電話機、スマートフォン、パーソナルコンピュータなどである。ユーザ端末５は、公衆無線ネットワーク１０４に設けられたＶＰＮを介して、処理サーバ６に接続する。本発明の実施の形態においてユーザ端末５は、処理サーバ６によるクラウドサービスのクライアント端末である。図１に示す例では、ユーザ端末５は、公衆無線ネットワーク１０４を介して処理サーバ６に接続する場合を説明するが、任意の通信プロバイダが提供する有線ネットワークを介して接続しても良い。
【００２０】
ユーザは、社内システム４の社内端末４１から処理サーバ６に接続することができるとともに、ユーザ端末５から処理サーバ６に接続することができる。従ってユーザは、社内端末４１を利用する場合もユーザ端末５を利用する場合も、処理サーバ６によるクラウドサービスを同様に享受することができる。これによりユーザは、どのような端末を用いても、同じデータを処理することができる。例えばユーザは、社内端末４１から入力したデータを、ユーザ端末５で参照することができ、またユーザ端末５で入力したデータを、社内端末４１で参照することができる。
【００２１】
第１のＶＰＮサーバ３ａは、公衆有線ネットワーク１０３に設けられたＶＰＮの終端装置である。第１のＶＰＮサーバ３ａは、社内端末４１から公衆有線ネットワーク１０３を介して受信したパケットを、下り側ネットワーク１０１を介して、転送サーバ１に送信する。第２のＶＰＮサーバ３ｂは、公衆無線ネットワーク１０４に設けられたＶＰＮの終端装置である。第２のＶＰＮサーバ３ｂは、ユーザ端末５から公衆無線ネットワーク１０４を介して受信したパケットを、下り側ネットワーク１０１を介して、転送サーバ１に送信する。
【００２２】
セッション管理サーバ２は、社内端末４１およびユーザ端末５などの端末と、処理サーバ６とのセッションの情報を保持する。セッション管理サーバ２で保持されるセッション情報は、転送サーバ１によって取得され参照される。
【００２３】
処理サーバ６は、ユーザの端末にサービスを提供する。本発明の実施の形態に係る通信システム１００においては特に、ユーザの属性に応じて、社内端末４１およびユーザ端末５などの端末にクラウドサービスを提供する。図１に示す例において、４つの処理サーバ６は、それぞれ異なるＩＰアドレスを持つ。これらの処理サーバ６は、端末に、それぞれ異なる機能を提供しても良いし、同じ機能を提供しても良い。
【００２４】
転送サーバ１は、ＶＰＮサーバ３に下り側ネットワーク１０１を介して接続するとともに、処理サーバ６に上り側ネットワーク１０２を介して接続する。転送サーバ１は、ＶＰＮサーバ３および処理サーバ６の間でパケットを転送する。
【００２５】
本発明の実施の形態において転送サーバ１は、ＮＡＴ（Network Address Translation）機能を実装するサーバである。転送サーバ１は、社内端末４１およびユーザ端末５から、下り側ネットワーク１０１を介して送信された受信パケットデータについて、送信元アドレスおよび送信元ポート番号を変換する。転送サーバ１は、変換後のパケットを、上り側ネットワーク１０２に送信する。
【００２６】
ここで転送サーバ１は、社内端末４１およびユーザ端末５を利用するユーザの属性に併せて、パケットの送信元アドレスおよび送信元ポートを変換する。さらに転送サーバ１は、変換後のパケットを、受信パケットデータの宛先アドレスおよび宛先ポートに対応する処理サーバ６に送信する。
【００２７】
本発明の実施の形態に係る転送サーバ１は、パケットを送信したユーザ端末５の「ユーザ」に対応して、送信元アドレスおよび送信元ポート番号を変換し、処理サーバ６に送信する。これにより、処理サーバ６は、送信元アドレスおよび送信元ポート番号に基づいて、ユーザに対応するサービスを提供することができる。
【００２８】
（転送サーバ）
図２を参照して、本発明の実施の形態に係る転送サーバ１を説明する。転送サーバ１は、一般的なコンピュータに、転送プログラムがインストールされ実行されることによって、実現される。転送プログラムは、コンピュータに、転送サーバ１の所定の機能を実現させるためのプログラムである。
【００２９】
転送サーバ１は、記憶装置１０、演算処理制御装置２０および通信制御装置３０を備える。
【００３０】
記憶装置１０は、例えば、ハードディスク、ＲＯＭ、ＲＡＭなどである。記憶装置１０は、転送サーバ１において処理されるデータを保持する記憶媒体である。記憶装置１０に記憶されたデータは、演算処理制御装置２０によって参照され、更新される。
【００３１】
演算処理制御装置２０は、転送サーバ１の処理を制御する。演算処理制御装置２０は、記憶装置１０からデータを読み出して処理したり、処理したデータを記憶装置１０に記憶したりする。また演算処理制御装置２０は、通信制御装置３０を介してネットワークを介して受信したデータを処理し、処理したデータを通信制御装置３０を介してネットワークに送出する。
【００３２】
通信制御装置３０は、転送サーバ１を通信ネットワークに接続させるための装置である。通信制御装置３０は、図１に示すように、転送サーバ１を下り側ネットワーク１０１および上り側ネットワーク１０２に接続させる。
【００３３】
本発明の実施の形態に係る記憶装置１０は、図２に示すように、変換データ１１、セッションデータ１２、受信パケットデータ１３、送信パケットデータ１４および変換済テーブルデータ１６を記憶する。演算処理制御装置２０の各処理手段が、変換データ１１、セッションデータ１２、受信パケットデータ１３、送信パケットデータ１４および変換済テーブルデータ１６を、記憶装置１０に記憶する。演算処理制御装置２０には、転送プログラムによって、変換データ生成手段２１、セッションデータ取得手段２２およびパケット転送手段２３が実装される。
【００３４】
変換データ生成手段２１は、変換データ１１を生成して記憶装置１０に記憶する記憶手段である。本発明の実施の形態において変換データ生成手段２１は、どのような手法で変換データを生成しても良い。例えば、管理者が転送サーバ１の入力装置を操作することで、変換データ生成手段２１が変換データ１１を生成しても良い。また、管理者が予め生成した変換データ１１を、変換データ生成手段２１が取得して、変換データ１１を記憶装置１０に記憶しても良い。
【００３５】
変換データ１１は、ユーザの識別子と、下り側ネットワーク１０１のアドレスと、上り側ネットワーク１０２のアドレスとを対応づけたデータである。変換データ１１は、さらに、下り側ネットワーク１０１および上り側ネットワーク１０２におけるポート番号も対応付けても良い。
【００３６】
下り側ネットワーク１０１のアドレスおよびポート番号は、このユーザの端末から下り側ネットワーク１０１を介して転送サーバ１に送信された受信パケットデータの、送信元アドレスおよび送信元ポート番号である。上り側ネットワーク１０２のアドレスおよびポート番号は、転送サーバ１がユーザの端末から送信されたパケットを、上り側ネットワーク１０２に送信する際の送信元アドレスおよび送信元ポート番号である。
【００３７】
変換データ１１は、図３に示すようなデータである。図３に示す例で変換データ１１は、ユーザ識別子”Ｕｓｅｒ＿Ａ”に対応づけられた２つのレコードを含む。一つ目のレコードは、下り側ネットワークのＩＰアドレス”ＩＰ＿Ａ１”およびポート番号”Ｐｏｒｔ＿Ａ１”と、上り側ネットワークのＩＰアドレス”ＩＰ＿Ａ２”およびポート番号”Ｐｏｒｔ＿Ａ２”を対応づける。二つ目のレコードは、下り側ネットワークのＩＰアドレス”ＩＰ＿ａ１”およびポート番号”Ｐｏｒｔ＿ａ１”と、上り側ネットワークのＩＰアドレス”ＩＰ＿ａ２”およびポート番号”Ｐｏｒｔ＿ａ２”を対応づける。
【００３８】
ここで例えば、ＩＰアドレス”ＩＰ＿Ａ１”は、社内システム４における社内端末４１のＩＰアドレスである。また、ＩＰアドレス”ＩＰ＿ａ１”は、ユーザ端末５のＩＰアドレスである。本発明の実施の形態において転送サーバ１は、ユーザ識別子と、ユーザの送信したパケットの送信元ＩＰアドレスおよび送信元ポート番号に基づいて、そのユーザの利用している端末を特定する。さらに転送サーバ１は、この端末を考慮して、受信パケットデータの送信元ＩＰアドレスおよび送信元ポート番号を変換して、送信パケットデータを生成し、上り側ネットワーク１０２に送信する。
【００３９】
図３に示す例において、ユーザ識別子”Ｕｓｅｒ＿Ａ”の受信パケットデータ１３について、送信元ＩＰアドレスおよび送信元ポート番号を変換して送信パケットデータ１４を生成する際、２通りの変換方法があることを示す。具体的には、送信元ＩＰアドレス”ＩＰ＿Ａ１”および送信元ポート番号”Ｐｏｒｔ＿Ａ１”の場合、転送サーバ１は、送信元ＩＰアドレス”ＩＰ＿Ａ２”および送信元ポート番号”Ｐｏｒｔ＿Ａ２”に変換した送信パケットデータ１４を生成する。送信元ＩＰアドレス”ＩＰ＿ａ１”および送信元ポート番号”Ｐｏｒｔ＿ａ１”の場合、転送サーバ１は、送信元ＩＰアドレス”ＩＰ＿ａ２”および送信元ポート番号”Ｐｏｒｔ＿ａ２”に変換した送信パケットデータ１４を生成する。この場合、処理サーバ６は、送信元ＩＰアドレスおよびポート番号に基づいて、ユーザ識別子およびユーザの利用している端末に対応したサービスを提供することができる。
【００４０】
図３に示す例において、一人のユーザについて、下り側ネットワーク１０１のＩＰアドレスごとに、上り側ネットワーク１０２のＩＰアドレスを対応づける場合を説明したがこれに限られない。例えば、一人のユーザについて、下り側ネットワーク１０１のＩＰアドレスに関わらず、一つの上り側ネットワーク１０２のＩＰアドレスを対応づけても良い。この場合、処理サーバ６は、送信元ＩＰアドレスおよびポート番号に基づいて、ユーザ識別子に対応したサービスを提供することができる。
【００４１】
下り側ネットワーク１０１のＩＰアドレスおよびポート番号は、例えばユーザが同じ社内端末４１を使った場合などが考えられるので、変換データ１１内で異なるユーザ識別子に重複して設定される場合がある。また、上り側ネットワーク１０２のＩＰアドレスおよびポート番号は、セッション継続中に付与するＩＰアドレスおよびポート番号が重複しなければ、変換データ１１内で重複して設定されても良い。また、図３に示す変換データ１１において、ＩＰアドレスは、サブネットマスクを用いて指定されても良い。
【００４２】
変換データ１１は、図３に示すようにさらに、拒否対応のデータを対応づけても良い。拒否対応データは、転送サーバ１が、受信パケットデータ１３を、上り側パケットに転送するか否かを決定する条件と、拒否する場合の対応のデータである。図３に示す例では、拒否対応データは、ユーザ識別子および下り側ネットワーク１０１のＩＰアドレスおよびポート番号ごとに設ける場合を説明するが、これに限られない。例えば、拒否対応データは、ユーザ識別子ごとに設けられても良い。また、拒否対応データは、下り側ネットワーク１０１あついは上り側ネットワークのＩＰアドレスごとに設けられても良い。
【００４３】
拒否対応データは、拒否条件と、応答処理の各データ項目を備える。拒否条件は、パケットのペイロードや属性に基づいて、パケットを転送しない条件である。応答処理は、拒否条件に合致するパケットを受信した場合の、転送サーバ１の応答処理を特定する。
【００４４】
例えば、パケットのペイロードに特定の文字列が含まれている場合や、特定の時間内にパケットを受信した場合に、パケットの転送を拒否することが考えられる。この場合、変換データ１１は、拒否条件として、この特定の文字列や、この特定の時間を設定する。また、パケットを拒否する際、転送サーバ１は、エラーメッセージをペイロードに設定したパケットを、送信元の端末に送信する場合や、そのままパケットを破棄する場合が考えられる。この場合、変換データ１１は、応答処理として、ペイロードに設定するエラーメッセージや、パケットの破棄する旨の指示を保持する。
【００４５】
図３に示す例では、拒否対応データは、ユーザ識別子、下り側ネットワーク１０１のＩＰアドレスおよびポート番号ごとに設けられる。これにより転送サーバ１は、例えば、同じユーザでも、社内端末からアクセスした際は、パケットを転送するが、他のＩＰアドレスからアクセスした際は、パケットの転送を拒否することができる。また、拒否対応データは、ユーザ識別子ごとに設けられても良い。これにより転送サーバ１は、ユーザの利用する端末にかかわらず、ユーザごとに異なる拒否条件を設定して、パケットの転送を拒否することができる。
【００４６】
このように、変換データ生成手段２１が生成した変換データ１１は、転送サーバ１がパケットを転送する際に参照される。転送サーバ１が下り側ネットワーク１０１から受信パケットデータ１３を受信すると、転送サーバ１は、その受信パケットデータ１３が拒否条件を満たしているかいないか判断する。拒否条件を満たしていない場合、転送サーバ１は、受信パケットデータ１３の送信元ＩＰアドレスおよびポート番号を変換して送信パケットデータ１４を生成し、上り側ネットワーク１０２に送信する。また、拒否条件を満たしている場合、エラーメッセージを返し、またはパケットを破棄するなどの送信パケットデータを生成して、応答処理で設定される処理をする。
【００４７】
セッションデータ取得手段２２は、セッション管理サーバ２から、セッションデータ１２を取得して記憶装置１０に記憶する記憶手段である。セッションデータ１２は、図５に示すように、セッションＩＤ、ＩＰアドレス、ポート番号およびユーザ識別子とを対応づけたデータである。図４に示す例では、セッションＩＤ”Ｓｅｓｓｉｏｎ＿Ａ”のセッションは、ユーザ識別子”Ｕｓｅｒ＿Ａ”に関するセッションで、ＩＰアドレス”ＩＰ＿Ａ１”およびポート番号”Ｐｏｒｔ＿Ａ１”の端末とのセッションであることを示している。
【００４８】
セッションデータ１２は、セッション管理サーバ２で保持されるセッションデータと同様である。セッション管理サーバ２は、一般的な方法で、セッションデータを生成し保持する。セッションデータ取得手段２２は、逐次、セッション管理サーバ２から最新のセッションデータ１２を、取得しても良い。また、セッション管理サーバ２が逐次、最新のセッションデータ１２を転送サーバ１に送信しても良い。
【００４９】
図１に示す例では、転送サーバ１とセッション管理サーバ２とがそれぞれ別のコンピュータで実装される場合を説明するが、これに限られない。例えば、セッション管理サーバ２の機能を転送サーバ１上で実装し、同一のコンピュータで実装しても良い。
【００５０】
パケット転送手段２３は、ＶＰＮサーバ３および処理サーバ６間で、パケットを転送する。本発明の実施の形態においては特に、ＶＰＮサーバ３を介して下り側ネットワーク１０１に送出されたユーザのパケットを、処理サーバ６に向けて、上り側ネットワーク１０２に送出する場合を説明する。
【００５１】
パケット転送手段２３は、パケット受信手段２４、アドレス変換手段２５、転送可否決定手段２６、パケット送信手段２７を備える。ここで、アドレス変換手段２５および転送可否決定手段２６は、下り側ネットワーク１０１からパケットを受信した際、このパケットを処理するために実行される。
【００５２】
パケット受信手段２４は、下り側ネットワーク１０１を介して、ＶＰＮサーバ３からパケットを受信すると、その受信パケットデータ１３を記憶装置１０に記憶する。またパケット受信手段２４は、上り側ネットワーク１０２を介して、処理サーバ６からパケットを受信すると、一般的な転送処理に従って、下り側ネットワーク１０１にパケットを転送する。
【００５３】
パケット送信手段２７は、アドレス変換手段２５によって生成された送信パケットデータ１４を、通信制御装置３０を介して、上り側ネットワーク１０２に送出する。またパケット送信手段２７は、転送可否決定手段２６によって生成された応答パケットデータ１５を、通信制御装置３０を介して、下り側ネットワーク１０１に送出する。
【００５４】
アドレス変換手段２５は、パケット受信手段２４によって受信した受信パケットデータ１３の送信元アドレスを変換して、送信パケットデータ１４を生成する。アドレス変換手段２５は、ＶＰＮサーバ３から受信した受信パケットデータ１３について、変換データ１１から、上り側ネットワーク１０２のアドレスを抽出する。この上り側ネットワーク１０２のアドレスは、変換データ１１において、受信パケットデータ１３を送信したユーザの識別子と、下り側ネットワーク１０１のアドレスとして受信パケットデータ１３の送信元アドレスと、が対応づけられたレコードの、上り側ネットワーク１０２のアドレスである。さらにアドレス変換手段２５は、受信パケットデータ１３の送信元アドレスを、変換データ１１から抽出したアドレスに変換して送信パケットデータ１４を生成する。
【００５５】
具体的にはアドレス変換手段２５は、パケット受信手段２４が受信パケットデータ１３を受信すると、受信パケットデータ１３の送信元ＩＰアドレスおよび送信元ポート番号を取得する。ここでアドレス変換手段２５は、セッションデータ１２を読み出して、取得した送信元ＩＰアドレスおよび送信元ポート番号に対応するユーザ識別子を取得する。さらにアドレス変換手段２５は、変換データ１１において、ユーザ識別子と、下り側ネットワーク１０１のＩＰアドレスおよびポート番号として、受信パケットデータ１３から取得した送信元ＩＰアドレスおよび送信元ポート番号とが対応づけられたレコードを特定する。アドレス変換手段２５は、特定したレコードにおいて、上り側ネットワーク１０２のＩＰアドレスおよびポート番号を取得する。
【００５６】
アドレス変換手段２５は、受信パケットデータ１３の送信元ＩＰアドレスおよび送信元ポート番号を、変換データ１１から取得した、上り側ネットワーク１０２のＩＰアドレスおよびポート番号に変換して、送信パケットデータ１４を生成する。ここで、アドレス変換手段２５は、宛先ＩＰアドレスおよび宛先ポート番号を変換しない。従って、送信パケットデータ１４の宛先ＩＰアドレスおよび宛先ポート番号は、受信パケットデータ１３の宛先ＩＰアドレスおよび宛先ポート番号と同様である。
【００５７】
アドレス変換手段２５は、生成した送信パケットデータ１４を、パケット送信手段２７に入力する。
【００５８】
転送可否決定手段２６は、受信パケットデータ１３が、変換データ１１で定義された拒否条件に一致するか否かを判定する。一致しない場合、転送可否決定手段２６は、アドレス変換手段２５によって生成された送信パケットデータ１４を、パケット送信手段２７に送信させる。
【００５９】
具体的には転送可否決定手段２６は、アドレス変換手段２５で特定されたレコードから、拒否条件および拒否応答に対応する拒否対応データを取得する。転送可否決定手段２６は、取得した拒否対応データに基づいて、受信パケットデータ１３を処理する。拒否条件に一致しない場合、転送可否決定手段２６は、アドレス変換手段２５が生成した送信パケットデータ１４を、上り側ネットワーク１０２に送出し、処理サーバ６に送信する。
【００６０】
一方、拒否条件に合致する場合、転送可否決定手段２６は、変換データ１１で指定される応答処理に基づいて、受信したパケットを処理する。例えば、応答処理として、ペイロードに設定するエラーメッセージが指定されている場合、転送可否決定手段２６は、ペイロードにエラーメッセージを表示する旨のコマンドを含む応答パケットデータ１５を送信する。この応答パケットデータ１５の宛先ＩＰアドレスおよび宛先ポート番号は、受信パケットデータ１３の送信元ＩＰアドレスおよび送信元ポート番号である。さらに転送可否決定手段２６は、生成した応答パケットデータ１５を、パケット送信手段２７に入力する。
【００６１】
また、応答処理として、パケットを破棄する旨が指定されている場合、転送可否決定手段２６は、受信パケットデータ１３と、この受信パケットデータ１３に基づいて生成した送信パケットデータ１４を、記憶装置１０から削除する。このとき、パケット送信手段２７は、応答パケットデータを送信しない。
【００６２】
パケット送信手段２７は、受信パケットデータ１３が拒否条件に一致しない場合、送信パケットデータ１４を、上り側ネットワーク１０２に送信する。パケット送信手段２７は、転送可否決定手段２６において、拒否条件に一致しない受信パケットデータ１３に基づいて、アドレス変換手段２５で生成された送信パケットデータ１４を、上り側ネットワーク１０２に送信する。またパケット送信手段２７は、転送可否決定手段２６において、拒否条件に一致する受信パケットデータ１３に基づいて応答パケットデータ１５が生成された場合、応答パケットデータ１５を、下り側ネットワーク１０１に送信する。
【００６３】
なお、上り側ネットワーク１０２から下り側ネットワーク１０１にパケットを転送する際のアドレス変換は、どのような方法で行われても良い。アドレス変換手段２５が受信パケットデータ１３の送信元アドレスおよび送信元ポート番号を変換すると、パケット転送手段２３は、その変換前後のアドレスおよびポート番号を、変換済テーブルデータ１６に記憶しても良い。例えばパケット転送手段２３は、変換前のＩＰアドレス”ＩＰ＿Ａ１”およびポート番号”Ｐｏｒｔ＿Ａ１”と、変換後のＩＰアドレス”ＩＰ＿Ａ２”およびポート番号”Ｐｏｒｔ＿Ａ２”とを対応づけて、変換済テーブルデータ１６に記憶する。
【００６４】
パケット転送手段２３は、変換済テーブルデータ１６によって、上り側ネットワーク１０２から受信したパケットを転送することができる。パケット転送手段２３が、ＩＰアドレス”ＩＰ＿Ａ２”およびポート番号”Ｐｏｒｔ＿Ａ２”宛のパケットを受信した場合を考える。この場合パケット転送手段２３は、変換済テーブルデータ１６を参照して、パケットの宛先を、ＩＰアドレス”ＩＰ＿Ａ２”およびポート番号”Ｐｏｒｔ＿Ａ２”から、ＩＰアドレス”ＩＰ＿Ａ１”およびポート番号”Ｐｏｒｔ＿Ａ１”に変換する。パケット転送手段２３は、宛先をＩＰアドレス”ＩＰ＿Ａ１”およびポート番号”Ｐｏｒｔ＿Ａ１”に変換したパケットを、下り側ネットワーク１０１に送信する。
【００６５】
パケット転送手段２３は、変換前のＩＰアドレスおよびポート番号と、変換後のＩＰアドレスおよびポート番号とを対応づけたレコードを、変換済テーブルデータ１６に所定時間保持する。
【００６６】
（転送方法）
図５を参照して、本発明の実施の形態に係る通信システムにおけるパケットの転送方法を説明する。図５は、社内端末４１から処理サーバ６にパケット送信する場合の転送処理を示す。ここで、パケット送信元となる社内端末４１のＩＰアドレスは、”ＩＰ＿Ａ１”である。また、処理サーバ６のＩＰアドレスは、”ＩＰ＿Ｓ１”である。図２に示す例において、第１の社内端末４１ａから第１のＶＰＮサーバ３ａおよび転送サーバ１を介して第１の処理サーバ６にパケットを送信する場合を説明するが、他のルートで送信する場合も、ユーザ端末５から送信する場合も同様である。
【００６７】
図５に示す例では、ユーザ識別子およびＩＰアドレスに基づいて、ＩＰアドレスを変換する場合を説明する。他に、ユーザ識別子、ＩＰアドレスおよびポート番号に基づいて、ＩＰアドレスおよびポート番号を変換する実施例も考えられる。
【００６８】
ステップＳ１においてユーザは、社内端末４１から処理サーバ６宛に要求パケットデータを、公衆有線ネットワーク１０３に送出する。この要求パケットデータの送信元ＩＰアドレスは、社内端末４１のＩＰアドレス”ＩＰ＿Ａ１”で、宛先ＩＰアドレスは、処理サーバ６のＩＰアドレス”ＩＰ＿Ｓ１”である。社内端末４１から要求パケットデータが送信されると、ステップＳ２において、ＶＰＮサーバ３が要求パケットデータを受信する。ＶＰＮサーバ３は、受信した要求パケットデータを、下り側ネットワーク１０１に送出し、転送サーバ１に転送する。
【００６９】
ＶＰＮサーバ３から要求パケットデータを受信すると、ステップＳ３において転送サーバ１は、その送信元ＩＰアドレスから、ユーザ識別子を取得する。具体的には転送サーバ１は、セッションデータ１２を参照して、送信元ＩＰアドレスに対応づけられたユーザ識別子を取得する。ここで取得したユーザ識別子は、”Ｕｓｅｒ＿Ａ”とする。
【００７０】
ステップＳ４において転送サーバ１は、ステップＳ３で取得したユーザ識別子と、受信パケットデータ１３の送信元ＩＰアドレスから、新たな送信元ＩＰアドレスに変換して、送信パケットデータ１４を生成する。この新たな送信元ＩＰアドレスは、変換データ１１において上り側ネットワーク１０２のＩＰアドレスとして設定されるＩＰアドレスである。
【００７１】
図３に示す変換データ１１において、ユーザ識別子”Ｕｓｅｒ＿Ａ”と、下り側ネットワーク１０１のＩＰアドレス”ＩＰ＿Ａ１”に、上り側ネットワーク１０２のＩＰアドレス”ＩＰ＿Ａ２”が対応づけられている。そこで転送サーバ１は、ステップＳ２で受信した受信パケットデータ１３の送信元ＩＰアドレスを”ＩＰ＿Ａ２”に変換して、送信パケットデータ１４を生成する。このとき転送サーバ１は、この変換に基づいて、変換済テーブルデータ１６を更新する。具体的には転送サーバ１は、下り側ネットワーク１０１のＩＰアドレス”ＩＰ＿Ａ１”を、上り側ネットワーク１０２のＩＰアドレス”ＩＰ＿Ａ２”に変換したことを、変換済テーブルデータ１６に記録する。
【００７２】
ステップＳ５において転送サーバ１は、ステップＳ２で受信した受信パケットデータ１３について、拒否条件を満たしているか否かを判定する。具体的には転送サーバ１は、変換データ１１から、受信パケットデータ１３の送信元ＩＰアドレスと、ユーザ識別子に対応づけられた拒否対応データを取得する。さらに転送サーバ１は、拒否対応データの拒否条件が、受信パケットデータ１３に一致しているか否かを判定する。
【００７３】
一致している場合、転送サーバ１は、拒否対応データの応答処理に基づいて、受信パケットデータ１３を処理する。例えば、エラーメッセージを返信する場合、ペイロードにエラーメッセージを含む応答パケットデータ１５を生成する。この応答パケットデータ１５の宛先ＩＰアドレスは、”ＩＰ＿Ａ１”である。
【００７４】
ステップＳ６において転送サーバ１は、応答パケットデータ１５をＶＰＮサーバ３に向けて、下り側ネットワーク１０１に送出する。応答パケットデータ１５を受信すると、ステップＳ７においてＶＰＮサーバ３は、応答パケットデータ１５を公衆有線ネットワーク１０３に送出し、社内端末４１に転送する。
【００７５】
一方、ステップＳ５において拒否条件を満たしていないと判定した場合、ステップＳ８において転送サーバ１は、ステップＳ４で生成した送信パケットデータ１４を、上り側ネットワーク１０２に送出し、処理サーバ６に転送する。
【００７６】
処理サーバ６は、ステップＳ８においてユーザ端末５からの要求パケットデータを受信すると、ステップＳ９において、そのペイロードに基づいてデータを処理する。処理サーバ６は、この処理に基づいて、応答パケットデータを生成する。この応答パケットデータの送信元ＩＰアドレスは、処理サーバ６のＩＰアドレス”ＩＰ＿Ｓ１”で、宛先ＩＰアドレスは、ステップＳ４で取得された新たな送信元ＩＰアドレス”ＩＰ＿Ａ２”である。処理サーバ６は、応答パケットデータを上り側ネットワーク１０２に送出する。
【００７７】
応答パケットデータを受信すると、ステップＳ１１において転送サーバ１は、宛先ＩＰアドレスを、新たな宛先ＩＰアドレスに変換する。具体的には転送サーバ１は、変換済テーブルデータ１６を参照して、受信した応答パケットデータの宛先ＩＰアドレス”ＩＰ＿Ａ２”に対応づけられた下り側ネットワーク１０１のアドレス”ＩＰ＿Ａ１”を取得する。転送サーバ１は、ステップＳ１０で取得した応答パケットデータの宛先ＩＰアドレスを、”ＩＰ＿Ａ２”から”ＩＰ＿Ａ１”に変換する。転送サーバ１は、ステップＳ１２において変換後の応答パケットデータを、下り側ネットワーク１０１に送出し、ＶＰＮサーバ３に転送する。
【００７８】
ＶＰＮサーバ３は、転送サーバ１から応答パケットデータを受信すると、ステップＳ１３において、応答パケットデータを公衆有線ネットワーク１０３に送出し、社内端末４１に転送する。
【００７９】
このように本発明の実施の形態に係る転送サーバ１は、ユーザごとに、送信元アドレスを変換することができるので、ユーザが利用する端末のアドレスに関わらず、処理サーバ６は、送信元アドレスを参照して、ユーザを特定し、ユーザに応じたサービスを提供することができる。
【００８０】
また転送サーバ１は、ユーザと、そのユーザが利用する端末のアドレスごとに、送信元アドレスを変換しても良い。これにより処理サーバ６は、ユーザと、ユーザが利用する端末に応じたサービスを提供することができる。
【００８１】
（その他の実施の形態）
上記のように、本発明の実施の形態によって記載したが、この開示の一部をなす論述および図面はこの発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施の形態、実施例および運用技術が明らかとなる。
【００８２】
例えば、本発明の実施の形態に記載した転送サーバ１は、図２に示すように一つのハードウェア上に構成されても良いし、その機能や処理数に応じて複数のハードウェア上に構成されても良い。また、既存のセッション管理サーバ２上に実現されても良い。
【００８３】
本発明はここでは記載していない様々な実施の形態等を含むことは勿論である。従って、本発明の技術的範囲は上記の説明から妥当な特許請求の範囲に係る発明特定事項によってのみ定められるものである。
【符号の説明】
【００８４】
１  転送サーバ
２  セッション管理サーバ
３  ＶＰＮサーバ
４  社内システム
５  ユーザ端末
６  処理サーバ
１０  記憶装置
１１  変換データ
１２  セッションデータ
１３  受信パケットデータ
１４  送信パケットデータ
１５  応答パケットデータ
１６  変換済テーブルデータ
２０  演算処理制御装置
２１  変換データ生成手段
２２  セッションデータ取得手段
２３  パケット転送手段
２４  パケット受信手段
２５  アドレス変換手段
２６  転送可否決定手段
２７  パケット送信手段
３０  通信制御装置
４１  社内端末
１００  通信システム
１０１  下り側ネットワーク
１０２  上り側ネットワーク
１０３  公衆有線ネットワーク
１０４  公衆無線ネットワーク
【図１】
2013126219.tif 000003
【図２】
2013126219.tif 000004
【図３】
2013126219.tif 000005
【図４】
2013126219.tif 000006
【図５】
2013126219.tif 000007