(57)【要約】【課題】通信装置およびゲートウェイ装置がＰｔｏＰ接続のプロトコルに対応していなくても、第１の通信装置が、仮想プライベートネットワークを使用し、第２のプライベートネットワークを経由して第１のプライベートネットワークに接続されている第２の通信装置にアクセスすることが可能となる。【解決手段】物理ＬＡＮインタフェース２４は第２のプライベートネットワークと接続する。通信装置ＬＡＮインタフェース２７は第１の通信装置と接続する。ＶＰＮ仮想ＬＡＮインタフェース２５は、第１のプライベートネットワークに接続している仮想プライベートネットワークサーバと、Ｌａｙｅｒ  ２  Ｖｉｒｔｕａl  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋにて接続される。ブリッジ接続部２６は、ＶＰＮ仮想ＬＡＮインタフェース２５と通信装置ＬＡＮインタフェース２７とをＯＳＩ参照モデルの第２層であるデータリンク層で接続する。【選択図】図２
2009094880.tif 000002
【特許請求の範囲】
【請求項１】
第１のプライベートネットワークに接続されている第２のプライベートネットワークを介して、第１の通信装置と、前記第１のプライベートネットワークに接続される第２の通信装置との通信を可能とするネットワーク装置において、
前記第２のプライベートネットワークと接続する第１のインタフェース部と、
前記第１の通信装置と接続する第２のインタフェース部と、
前記第１のプライベートネットワークに接続している仮想プライベートネットワーク（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）サーバと、Ｌａｙｅｒ  ２  Ｖｉｒｔｕａl  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋにて接続される第３のインタフェース部と、
前記第３のインタフェース部と前記第２のインタフェース部とをＯＳＩ（Ｏｐｅｎ  Ｓｙｓｔｅｍｓ  Ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎ）参照モデルの第２層であるデータリンク層で接続する接続部と、
を備えたことを特徴とするネットワーク装置。
【請求項２】
リンクローカルアドレスを保持し、前記第１のプライベートネットワークに接続している認証サーバより認証情報を取得する通信部と、
前記通信部が取得した認証情報に基づいて、前記第１の通信装置の前記第２のインタフェース部への通信を制御する認証制御部と
を備えたことを特徴とする請求項１に記載のネットワーク装置。
【請求項３】
第１のプライベートネットワークに接続されている第２のプライベートネットワークを介して、第１の通信装置と、前記第１のプライベートネットワークに接続される第２の通信装置との通信を可能とするネットワーク装置において、
前記第２のプライベートネットワークと接続する第１のインタフェース部と、
第２のインタフェース部を備え、仮想環境上で動作する前記第１の通信装置と、
前記第１のプライベートネットワークに接続している仮想プライベートネットワーク（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）サーバと、Ｌａｙｅｒ  ２  Ｖｉｒｔｕａl  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋにて接続される第３のインタフェース部と、
前記第３のインタフェース部と前記第２のインタフェース部とをＯＳＩ（Ｏｐｅｎ  Ｓｙｓｔｅｍｓ  Ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎ）参照モデルの第２層であるデータリンク層で接続する接続部と、
を備えたことを特徴とするネットワーク装置。
【請求項４】
第１のプライベートネットワークに接続されている第２のプライベートネットワークと接続するコンピュータに、前記第２のプライベートネットワークを介して、第１の通信装置と、前記第１のプライベートネットワークに接続される第２の通信装置との通信を実行させるためのプログラムにおいて、
前記第２のプライベートネットワークと接続する第１のインタフェース部と、
前記第１の通信装置と接続する第２のインタフェース部と、
前記第１のプライベートネットワークに接続している仮想プライベートネットワーク（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）サーバと、Ｌａｙｅｒ  ２  Ｖｉｒｔｕａl  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋにて接続される第３のインタフェース部と、
前記第３のインタフェース部と前記第２のインタフェース部とをＯＳＩ（Ｏｐｅｎ  Ｓｙｓｔｅｍｓ  Ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎ）参照モデルの第２層であるデータリンク層で接続する接続部と、
としてコンピュータを機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、仮想プライベートネットワークを構成する、ネットワーク装置およびプログラムに関する。
【背景技術】
【０００２】
Ｔｗｉｃｅ  ＮＡＴ（Ｔｗｉｃｅ  Ｎｅｔｗｏｒｋ  ＡｄｄｒｅｓｓＴｒａｎｓｌａｔｏｒ，両変換ＮＡＴ）は、図６のネットワークＡとネットワークＢなどの様に、重複するＩＰアドレスを持つネットワークやホスト間の通信を実現するための技術である。図６は、アドレスが重複するネットワークＡとネットワークＢとのＴｗｉｃｅ  ＮＡＴによる相互接続を示した図である。図示する例では、ネットワークＡ：１９２．１６８．０．０／２４のホームネットワークにＨｏｓｔ  Ａ：１９２．１６８．０．１が接続されている。また、ネットワークＢ：１９２．１６８．０．０／２４のホームネットワークにＨｏｓｔ  Ｂ：１９２．１６８．０．１が接続されている。図示する例では、Ｈｏｓｔ  ＡとＨｏｓｔ  ＢとのＩＰアドレスが重複している。また、ネットワークＡとネットワークＢのネットワークアドレスも重複している。
【０００３】
Ｔｗｉｃｅ  ＮＡＴでは、通信相手をＩＰアドレスではなくホスト名で参照させ、ＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ，ドメイン  ネーム  システム）によるホスト名からＩＰアドレスへの変換結果を、重複の無い別のＩＰアドレスに書き換えた上で、アドレス参照を行ったホストに通知し、書き換えられたアドレスへ宛てて送られるＩＰパケットの送信元アドレスと宛て先アドレスを２台のＮＡＴルータでそれぞれ変換することで、重複するアドレスを持つネットワーク間の通信を実現する。しかしながら、Ｔｗｉｃｅ  ＮＡＴを利用するには、ＤＮＳによりホスト名やＩＰアドレスの参照が可能でなければならず、また、ＤＮＳの応答の書き換えと二重のアドレス変換に利用するアドレス空間を事前に定め、ＮＡＴルータのアドレス変換と経路制御の設定を行う必要がある。
【０００４】
また、図７のように、外出先ネットワーク１１に接続された移動端末５が、仮想プライベートネットワーク（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ，ＶＰＮ）を利用して、ホームネットワーク１０に接続されているホームネットワーク端末６にリモートアクセスを行う場合、外出先ネットワーク１１に接続されている移動端末５のＩＰアドレスと、ホームネットワーク１０に接続されているホームネットワーク端末６のＩＰアドレスとが衝突していると正常な通信が不能になる。
【０００５】
図７の例では、ネットワークアドレス１９２．１６８．０．０／２４を備えたホームネットワーク１０と、ネットワークアドレス１９２．１６８．０．０／２４を備えた外出先ネットワーク１１とがインターネットを介して繋がっている。ホームネットワーク１０にはホームネットワーク端末６（ＩＰアドレス１９２．１６８．０．１）とＶＰＮサーバ２とが接続されている。外出先ネットワーク１１には移動端末５（ＩＰアドレス１９２．１６８．０．１）が接続されている。外出先ネットワーク１１に接続した移動端末５から、ホームネットワーク１０に対してＶＰＮリンクを確立した場合、ホームネットワーク端末６のＩＰアドレスと移動端末５のＩＰアドレスとが同一のため、移動端末５およびホームネットワーク端末６は正常な通信が不可能となる。
【０００６】
また、特にホームネットワーク１０および外出先ネットワーク１１が一般家庭のＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ，構内通信網）である場合、ＬＡＮ内のホストのアドレス解決のためにＤＮＳを運用していることは稀であり、ＤＮＳを前提としたＴｗｉｃｅ  ＮＡＴは利用できない。また、ＤＮＳを運用していた場合でも、訪問先によって外出先ネットワーク１１のアドレスは異なるため、事前にアドレス変換や経路制御に関する設定を行うことができない。訪問先が決まっている場合はＴｗｉｃｅ  ＮＡＴの利用も可能ではあるが、ＮＡＴが介在すると利用できなくなるアプリケーションも存在するため、ホームネットワーク１０に直接接続している場合と遜色の無いリモートアクセス環境を実現することができない。
【０００７】
また、ホームネットワーク１０に接続されているゲートウェイ装置３と、ホームネットワーク１０に接続されているホームネットワーク端末６との間でＰＰＰｏＥ（Ｐｏｉｎｔ  ｔｏ  Ｐｏｉｎｔ  Ｐｒｏｔｏｃｏｌ  ｏｖｅｒ  Ｅｔｈｅｒｎｅｔ（登録商標））などのＰｔｏＰ（Ｐｏｉｎｔ  ｔｏ  Ｐｏｉｎｔ）接続を行い、外出先ネットワーク１１に接続されているゲートウェイ装置４と、外出先ネットワーク１１に接続されている移動端末５との間でＰＰＰｏＥなどのＰｔｏＰ接続を行い、外出先ネットワーク１１と、ホームネットワーク１０との間に仮想プライベートネットワークトンネルを形成して、外出先ネットワーク１１に接続されている移動端末５と、ホームネットワーク１０に接続されているホームネットワーク端末６間の通信を可能とする方法も知られている（例えば、特許文献１参照）。
【特許文献１】特開２００４−７６７１号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
しかしながら、特許文献１の技術では、移動端末５と、外出先ネットワーク１１に接続されているゲートウェイ装置４とがＰｔｏＰ接続で使用するプロトコルに対応していなければならないという問題がある。
【０００９】
本発明は、通信装置およびゲートウェイ装置がＰｔｏＰ接続のプロトコルに対応していなくても、仮想プライベートネットワークを使用し、第２のプライベートネットワークを経由して、第１の通信装置が、第１のプライベートネットワークに接続されている第２の通信装置にアクセスすることを可能とするネットワーク装置およびプログラムを提供することを目的とする。
【課題を解決するための手段】
【００１０】
本発明は、第１のプライベートネットワークに接続されている第２のプライベートネットワークを介して、第１の通信装置と、前記第１のプライベートネットワークに接続される第２の通信装置との通信を可能とするネットワーク装置において、前記第２のプライベートネットワークと接続する第１のインタフェース部と、前記第１の通信装置と接続する第２のインタフェース部と、前記第１のプライベートネットワークに接続している仮想プライベートネットワーク（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）サーバと、Ｌａｙｅｒ  ２  Ｖｉｒｔｕａl  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋにて接続される第３のインタフェース部と、前記第３のインタフェース部と前記第２のインタフェース部とをＯＳＩ（Ｏｐｅｎ  Ｓｙｓｔｅｍｓ  Ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎ）参照モデルの第２層であるデータリンク層で接続する接続部と、を備えたことを特徴とするネットワーク装置である。
【００１１】
また、本発明は、リンクローカルアドレスを保持し、前記第１のプライベートネットワークに接続している認証サーバより認証情報を取得する通信部と、前記通信部が取得した認証情報に基づいて、前記第１の通信装置の前記第２のインタフェース部への通信を制御する認証制御部と、を備えたことを特徴とするネットワーク装置である。
【００１２】
また、本発明は、第１のプライベートネットワークに接続されている第２のプライベートネットワークを介して、第１の通信装置と、前記第１のプライベートネットワークに接続される第２の通信装置との通信を可能とするネットワーク装置において、前記第２のプライベートネットワークと接続する第１のインタフェース部と、第２のインタフェース部を備え、仮想環境上で動作する前記第１の通信装置と、前記第１のプライベートネットワークに接続している仮想プライベートネットワーク（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）サーバと、Ｌａｙｅｒ  ２  Ｖｉｒｔｕａl  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋにて接続される第３のインタフェース部と、前記第３のインタフェース部と前記第２のインタフェース部とをＯＳＩ（Ｏｐｅｎ  Ｓｙｓｔｅｍｓ  Ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎ）参照モデルの第２層であるデータリンク層で接続する接続部と、を備えたことを特徴とするネットワーク装置である。
【００１３】
また、本発明は、第１のプライベートネットワークに接続されている第２のプライベートネットワークと接続するコンピュータに、前記第２のプライベートネットワークを介して、第１の通信装置と、前記第１のプライベートネットワークに接続される第２の通信装置との通信を実行させるためのプログラムにおいて、前記第２のプライベートネットワークと接続する第１のインタフェース部と、前記第１の通信装置と接続する第２のインタフェース部と、前記第１のプライベートネットワークに接続している仮想プライベートネットワーク（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）サーバと、Ｌａｙｅｒ  ２  Ｖｉｒｔｕａl  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋにて接続される第３のインタフェース部と、前記第３のインタフェース部と前記第２のインタフェース部とをＯＳＩ（Ｏｐｅｎ  Ｓｙｓｔｅｍｓ  Ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎ）参照モデルの第２層であるデータリンク層で接続する接続部と、としてコンピュータを機能させるためのプログラムである。
【発明の効果】
【００１４】
本発明によれば、通信装置およびゲートウェイ装置がＰｔｏＰ接続のプロトコルに対応していなくても、仮想プライベートネットワークを使用し、第２のプライベートネットワークを経由して、第１の通信装置が、第１のプライベートネットワークに接続されている第２の通信装置にアクセスすることが可能となる。
【発明を実施するための最良の形態】
【００１５】
（第１の実施形態）
以下、図面を参照し、本発明の第１の実施形態を説明する。図１は本発明の一実施形態による仮想プライベートネットワーク構成装置１（ネットワーク装置）を使用した仮想プライベートネットワーク（ＶＰＮ，Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）の構成を示した図である。図示する例では、ホームネットワーク１０（第１のプライベートネットワーク）と、外出先ネットワーク１１（第２のプライベートネットワーク）の２つのプライベートネットワークがある。ホームネットワーク１０のネットワークアドレスは１９２．１６８．０．０／２４である。外出先ネットワーク１１のネットワークアドレスは１９２．１６８．０．０／２４である。
【００１６】
ホームネットワーク１０には、ＶＰＮサーバ２と、ゲートウェイ装置３と、ホームネットワーク端末６（第２の通信装置）とが接続されている。外出先ネットワーク１１には、仮想プライベートネットワーク構成装置１と、ゲートウェイ装置４と、外出先ネットワーク端末７とが接続されている。ホームネットワーク１０と、外出先ネットワーク１１とは、ゲートウェイ装置３、４と、インターネット１２とを介し接続されている。
【００１７】
仮想プライベートネットワーク構成装置１は、ＶＰＮサーバ２との間でＶＰＮリンクを確立する装置である。仮想プライベートネットワーク構成装置１のＩＰアドレスは１９２．１６８．０．１である。ＶＰＮサーバ２は、ホームネットワーク１０へのＶＰＮリンクを制御するサーバである。ゲートウェイ装置３は、ホームネットワーク１０とインターネット１２とを接続する装置である。ゲートウェイ装置４は、外出先ネットワーク１１とインターネット１２とを接続する装置である。移動端末５（第１の通信装置）、ホームネットワーク端末６、および外出先ネットワーク端末７は、パーソナルコンピュータである。移動端末５のＩＰアドレスは１９２．１６８．０．２である。ホームネットワーク端末６のＩＰアドレスは１９２．１６８．０．１である。外出先ネットワーク端末７のＩＰアドレスは１９２．１６８．０．２である。
【００１８】
仮想プライベートネットワーク構成装置１の物理ＬＡＮインタフェース（移動端末接続用）２７には移動端末５が接続されている。仮想プライベートネットワーク構成装置１の物理ＬＡＮインタフェース（移動端末接続用）２７と移動端末５との接続は、有線ＬＡＮ接続でも、無線ＬＡＮ接続でもよい。また、移動端末５は外出先ネットワーク端末７と同一のＩＰアドレスであるが、移動端末５は外出先ネットワーク１１に接続されておらず、それぞれ独立したネットワークに接続されているため互いに干渉しない。
【００１９】
図２は、本実施形態における仮想プライベートネットワーク構成装置１の構成を示した図である。仮想プライベートネットワーク構成装置１は、ＶＰＮ制御部２１と、ルーティング部２２と、ＩＰ通信部２３と、物理ＬＡＮインタフェース（外出先ネットワーク接続用）２４（第１のインタフェース部）と、ＶＰＮ仮想ＬＡＮインタフェース２５（第３のインタフェース部）と、ブリッジ接続部２６（接続部）と、物理ＬＡＮインタフェース（移動端末接続用）２７（第２のインタフェース部）とを備える。
【００２０】
ＶＰＮ制御部２１は、ＶＰＮサーバ２との間でＶＰＮリンクを確立させ、確立させたＶＰＮリンクの制御を行う。ルーティング部２２は、ＶＰＮリンクを通るデータのルーティングを行う。ＩＰ通信部２３は、ＴＣＰ／ＩＰプロトコルを使用し、他の通信装置と通信を行う。物理ＬＡＮインタフェース（外出先ネットワーク接続用）２４は、外出先ネットワーク１１と接続する。ＶＰＮ仮想ＬＡＮインタフェース２５は、ＶＰＮ制御部２１により作成される仮想ＬＡＮインタフェースである。物理ＬＡＮインタフェース（移動端末接続用）２７は、移動端末５と接続する。ブリッジ接続部２６は、ＶＰＮ仮想ＬＡＮインタフェース２５と物理ＬＡＮインタフェース（移動端末接続用）２７とを接続する。
【００２１】
次に、図１および図２を参照して、移動端末がホームネットワーク１０に接続する方法について説明する。仮想プライベートネットワーク構成装置１のＶＰＮ制御部２１は、ＶＰＮサーバ２との間にＬ２ＶＰＮ（Ｌａｙｅｒ  ２  Ｖｉｒｔｕａl  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）を利用したＶＰＮリンクを確立する。本実施形態の仮想プライベートネットワーク構成装置１は、ＩＰルーティングではなく、ＯＳＩ参照モデルの第２層であるデータリンク層（レイヤー２）でのブリッジングにより、移動端末５とホームネットワーク１０との通信を仲介する。そのため、本実施形態で利用するＶＰＮはＬ３ＶＰＮ（Ｌａｙｅｒ  ３  Ｖｉｒｔｕａl  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）ではなく、Ｌ２ＶＰＮを利用する。
【００２２】
また、仮想プライベートネットワーク構成装置１のＶＰＮ制御部２１は、ホームネットワーク１０との間でデータを送受信するためのＶＰＮ仮想ＬＡＮインタフェース２５を、仮想プライベートネットワーク構成装置１内に作成する。本実施形態では、ＶＰＮ仮想ＬＡＮインタフェース２５は仮想的な（ソフトウェア的な）インタフェースであり、物理ＬＡＮインタフェース（外出先ネットワーク接続用）２４と、物理ＬＡＮインタフェース（移動端末接続用）２７とは物理的なインタフェースである。
【００２３】
ブリッジ接続部２６は、ＶＰＮ仮想ＬＡＮインタフェース２５と物理ＬＡＮインタフェース（移動端末接続用）２７とをＯＳＩ参照モデルの第２層であるデータリンク層で接続（ブリッジ接続）する。これにより、物理ＬＡＮインタフェース（移動端末接続用）２７は、ＶＰＮ仮想ＬＡＮインタフェース２５とＶＰＮサーバ２とを介し、ホームネットワーク１０と接続される。
【００２４】
移動端末５は、移動端末５が備える通信部と、仮想プライベートネットワーク構成装置１の物理ＬＡＮインタフェース（移動端末接続用）２７とを接続する。なお接続方法は、先述したとおり有線ローカルエリアネットワーク接続でも、無線ローカルエリアネットワーク接続でもよい。これにより、移動端末５は、仮想プライベートネットワーク構成装置１を介し、ホームネットワーク１０とＯＳＩ参照モデルの第２層であるデータリンク層で接続され、移動端末５はホームネットワーク端末６と通信を行うことができる。
【００２５】
上述したとおり、物理ＬＡＮインタフェース（移動端末接続用）２７は、ＶＰＮ仮想ＬＡＮインタフェース２５とＶＰＮサーバ２とを介し、データリンク層でホームネットワーク１０と接続されている。よって、移動端末５は、自身が備える通信部を物理ＬＡＮインタフェース（移動端末接続用）２７に接続することで、ホームネットワーク１０に接続することができる。また、ブリッジ接続部２６は、ＶＰＮ仮想ＬＡＮインタフェース２５と物理ＬＡＮインタフェース（移動端末接続用）２７とをデータリンク層で接続（ブリッジ接続）する。そのため、移動端末５およびゲートウェイ装置４がＰｔｏＰ接続のプロトコルに対応していなくても、移動端末５は、仮想プライベートネットワークを使用し、外出先ネットワーク１１に接続されている仮想プライベートネットワーク構成装置１を介してホームネットワーク１０に接続されているホームネットワーク端末６にアクセスすることが可能となる。
【００２６】
また、本実施形態の仮想プライベートネットワーク構成装置１を使用することで、移動端末５は、外出先ネットワーク１１で使用されているネットワークアドレスに影響されることなくホームネットワーク１０へアクセスすることができる。本実施形態では、移動端末５のＩＰアドレスと、外出先ネットワーク端末７のＩＰアドレスとが同一であるが、移動端末５はホームネットワーク１０へアクセスすることができる。
【００２７】
また、本実施形態の仮想プライベートネットワーク構成装置１を使用することで、移動端末５は、Ｔｗｉｃｅ  ＮＡＴなどのアドレス変換を行うことなく外出先ネットワーク１１を介してホームネットワーク１０へアクセスすることができる。そのため、移動端末５がアドレス変換に対応することができないアプリケーションを利用している場合においても、移動端末５は、本実施形態の仮想プライベートネットワーク構成装置１を使用することで、外出先ネットワーク１１を介してホームネットワーク１０へアクセスすることができる。
【００２８】
また、本実施形態の仮想プライベートネットワーク構成装置１を使用することで、移動端末５はＶＰＮクライアント機能を持たなくても、外出先ネットワーク１１を介してホームネットワーク１０へアクセスすることができる。そのため、移動端末５として使用することができる通信装置は、ＰＣ（パーソナルコンピュータ，Ｐｅｒｓｏｎａｌ  Ｃｏｍｐｕｔｅｒ）のみならず、通信機能を持つＰＤＡ（携帯情報端末，Ｐｅｒｓｏｎａｌ  Ｄｉｇｉｔａｌ  Ａｓｓｉｓｔａｎｔ）や通信機能を持つ携帯ゲーム機など、任意の通信装置とすることができる。
【００２９】
また、移動端末５内にゲストＰＣを動かすための仮想環境を用意し、仮想プライベートネットワーク構成装置１の機能を移動端末５自身に担わせ、仮想環境内で稼動させるゲストＰＣからホームネットワーク１０に接続されているホームネットワーク端末６に接続する形態でもよい。ゲストＰＣは、移動端末５内の仮想環境内で動作する、仮想的な（ソフトウェア的な）ＰＣである。
【００３０】
図３は、移動端末５（ネットワーク装置）内に仮想環境を用意し、ゲストＰＣ９（第１の通信装置）がホームネットワーク端末６（第２の通信装置）にアクセスする例を示した図である。図示する例では、ホームネットワーク１０（第１のプライベートネットワーク）と、外出先ネットワーク１１（第２のプライベートネットワーク）の２つのプライベートネットワークがある。ホームネットワーク１０のネットワークアドレスは１９２．１６８．０．０／２４である。外出先ネットワーク１１のネットワークアドレスは１９２．１６８．０．０／２４である。
【００３１】
ホームネットワーク１０には、ＶＰＮサーバ２と、ゲートウェイ装置３と、ホームネットワーク端末６とが接続されている。外出先ネットワーク１１には、ゲートウェイ装置４と、移動端末５と、外出先ネットワーク端末７とが接続されている。移動端末５は物理ＬＡＮインタフェース２４（第１のインタフェース部）を備え、移動端末５は物理ＬＡＮインタフェース介して外出先ネットワーク１１に接続されている。ホームネットワーク１０と、外出先ネットワーク１１とは、ゲートウェイ装置３、４と、インターネット１２とを介し接続されている。
【００３２】
移動端末５のＩＰアドレスは１９２．１６８．０．１である。ホームネットワーク端末６のＩＰアドレスは１９２．１６８．０．１である。外出先ネットワーク端末７のＩＰアドレスは１９２．１６８．０．２である。
【００３３】
移動端末５は仮想環境を備えている。仮想環境内にはゲストＰＣ９が構成されている。ゲストＰＣ９は通信装置ＬＡＮインタフェース３０（第２のインタフェース部）を備えている。ゲストＰＣ９のＩＰアドレスは１９２．１６８．０．２である。また、ゲストＰＣ９と外出先ネットワーク端末７とは同一のＩＰアドレスであるが、ゲストＰＣ９は外出先ネットワーク１１に接続されておらず、それぞれ独立したネットワークに接続されているため互いに干渉しない。
【００３４】
移動端末５は、ＶＰＮサーバ２に対してＬ２ＶＰＮを利用したＶＰＮリンクを確立する。また、移動端末５は、ＶＬＡＮのデータを送受信するためのＶＰＮ仮想ＬＡＮインタフェース２５（第３のインタフェース部）を、仮想環境内に作成する。
【００３５】
移動端末５は、仮想環境内に作成したＶＰＮ仮想ＬＡＮインタフェース２５とゲストＰＣ９の通信装置ＬＡＮインタフェース３０とをＯＳＩ参照モデルの第２層であるデータリンク層で接続（ブリッジ接続）する。これにより、ゲストＰＣ９は、ゲストＰＣ９の通信装置ＬＡＮインタフェース３０とＶＰＮ仮想ＬＡＮインタフェース２５とＶＰＮサーバ２とを介し、ホームネットワーク１０とＯＳＩ参照モデルの第２層であるデータリンク層で接続され、仮想ＰＣはホームネットワーク端末６と通信を行うことができる。
【００３６】
上述したとおり、移動端末５内にゲストＰＣ９を動かすための仮想環境を用意し、仮想プライベートネットワーク構成装置１の機能を移動端末５自身に担わせることで、移動端末５内のゲストＰＣ９は、仮想プライベートネットワークを使用し、外出先ネットワーク１１を経由してホームネットワーク１０に接続されているホームネットワーク端末６にアクセスすることができる。
【００３７】
（第２の実施形態）
次に、第２の実施形態について説明する。仮想プライベートネットワーク構成装置が、ホームネットワークに接続された認証サーバの認証情報に基づいてホームネットワークに接続する移動端末の認証を実施する際には、認証サーバと通信を行うために仮想プライベートネットワーク構成装置にもホームネットワークのＩＰアドレスを割り当てる必要がある。しかしながら、従来の割り当て方法では、外出先ネットワークに接続されている通信装置とアドレス衝突が起きる可能性がある。本実施形態では、アドレス衝突を回避し、仮想プライベートネットワーク構成装置にＩＰｖ４リンクローカルアドレスを割り当てることでホームネットワークに接続された認証サーバとの通信を可能にし、仮想プライベートネットワーク構成装置が認証サーバの認証情報に基づいてホームネットワークに接続する移動端末の認証を実施する。
【００３８】
図４はホームネットワークに接続された認証サーバの認証情報に基づいて、移動端末の認証を行う場合の構成を示した図である。図示する例では、ホームネットワーク１０（第１のプライベートネットワーク）と、外出先ネットワーク１１（第２のプライベートネットワーク）の２つのプライベートネットワークがある。ホームネットワーク１０のネットワークアドレスは１９２．１６８．０．０／２４である。外出先ネットワーク１１のネットワークアドレスは１９２．１６８．０．０／２４である。
【００３９】
ホームネットワーク１０には、ＶＰＮサーバ２と、ゲートウェイ装置３と、ホームネットワーク端末６（第２の通信装置）と、認証サーバ８とが接続されている。認証サーバ８は、認証情報を記憶するサーバである。外出先ネットワーク１１には、仮想プライベートネットワーク構成装置１（ネットワーク装置）と、ゲートウェイ装置４と、外出先ネットワーク端末７とが接続されている。ホームネットワーク１０と、外出先ネットワーク１１とは、ゲートウェイ装置３、４と、インターネット１２とを介し接続されている。
【００４０】
仮想プライベートネットワーク構成装置１のＩＰアドレスは１９２．１６８．０．１である。移動端末５（第１の通信装置）のＩＰアドレスは１９２．１６８．０．２である。ホームネットワーク端末６のＩＰアドレスは１９２．１６８．０．１である。外出先ネットワーク端末７のＩＰアドレスは１９２．１６８．０．２である。認証サーバ８のＩＰアドレスは１９２．１６８．０．３である。また、仮想プライベートネットワーク構成装置１のリンクローカルアドレスＩＰ通信部２８（通信部）と認証サーバ８とは、それぞれリンクローカルアドレスを持つ。リンクローカルアドレスＩＰ通信部２８のリンクローカルアドレスは、１６９．２５４．６．１７１である。認証サーバ８のリンクローカルアドレスは、１６９．２５４．３．５である。
【００４１】
仮想プライベートネットワーク構成装置１の物理ＬＡＮインタフェース（移動端末接続用）２７には移動端末５が接続されている。仮想プライベートネットワーク構成装置１の物理ＬＡＮインタフェース（移動端末接続用）２７と移動端末５との接続は、有線ＬＡＮ接続でも、無線ＬＡＮ接続でもよい。また、移動端末５は外出先ネットワーク端末７と同一のＩＰアドレスであるが、移動端末５は外出先ネットワーク１１に接続されておらず、それぞれ独立したネットワークに接続されているため互いに干渉しない。
【００４２】
図５は、本実施形態における仮想プライベートネットワーク構成装置１の構成を示した図である。仮想プライベートネットワーク構成装置１は、ＶＰＮ制御部２１と、ルーティング部２２と、ＩＰ通信部２３と、物理ＬＡＮインタフェース（外出先ネットワーク接続用）２４と、ＶＰＮ仮想ＬＡＮインタフェース２５と、ブリッジ接続部２６と、物理ＬＡＮインタフェース（移動端末接続用）２７と、リンクローカルアドレスＩＰ通信部２８と、認証制御部２９とを備える。
【００４３】
リンクローカルアドレスＩＰ通信部２８は、ＴＣＰ／ＩＰプロトコルを使用し、認証サーバ８と通信を行う。なお、ＩＰアドレスはリンクローカルアドレスを使用する。認証制御部２９は、認証サーバ８が記憶する認証情報に基づいて、移動端末５の認証を制御する。
【００４４】
認証方法としては、ホームネットワーク１０に認証サーバ８を予め接続し、仮想プライベートネットワーク構成装置１はホームネットワーク１０に接続された認証サーバ８が記憶する認証情報に基づいて、ホームネットワーク１０に接続する移動端末５の認証を行う。例えば、認証方式にＩＥＥＥ（Ｉｎｓｔｉｔｕｔｅ  ｏｆ  Ｅｌｅｃｔｒｉｃａｌ  ａｎｄ  Ｅｌｅｃｔｒｏｎｉｃ  Ｅｎｇｉｎｅｅｒｓ）が規定した８０２．１ｘを用いる場合、仮想プライベートネットワーク構成装置１は、８０２．１ｘ  ａｕｔｈｅｎｔｉｃａｔｏｒとして動作することで、ＥＡＰ（Ｅｘｔｅｎｓｉｂｌｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ，拡張認証プロトコル）等の認証プロトコルを用いて、移動端末５に対して認証サーバ８が記憶する認証情報に基づいた認証を行うことができる。
【００４５】
仮想プライベートネットワーク構成装置１を８０２．１ｘ  ａｕｔｈｅｎｔｉｃａｔｏｒとして動作させるには、仮想プライベートネットワーク構成装置１自身がＲＡＤＩＵＳ（Ｒｅｍｏｔｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｄｉａｌ−Ｉｎ  Ｕｓｅｒ  Ａｃｃｅｓｓ）等の認証プロトコルを用いて認証サーバ８と通信を行う必要がある。このため、仮想プライベートネットワーク構成装置１のリンクローカルアドレスＩＰ通信部２８にもホームネットワーク１０の認証サーバ８とアクセス可能なＩＰアドレスが必要である。
【００４６】
仮想プライベートネットワーク構成装置１は外出先ネットワーク１１に接続されているので、仮想プライベートネットワーク構成装置１のリンクローカルアドレスＩＰ通信部２８に、ホームネットワーク１０のＩＰアドレスを割り当てると、外出先ネットワーク１１に接続されている通信装置とのアドレス衝突が問題となる。よって、仮想プライベートネットワーク構成装置１のリンクローカルアドレスＩＰ通信部２８に割り当てるＩＰアドレスは、ＩＰｖ４リンクローカルアドレス（１６９．２５４．０．０／１６）（ＲＦＣ（Ｒｅｑｕｅｓｔ  ｆｏｒ  Ｃｏｍｍｅｎｔｓ）３９２７）とする。また、認証サーバ８にもＩＰｖ４リンクローカルアドレスを割り当てる。これにより、ホームネットワーク１０と外出先ネットワーク１１とでアドレス衝突を起こすことなく仮想プライベートネットワーク構成装置１と認証サーバ８とが通信を行うことができる。
【００４７】
次に、図４および図５を参照して、認証サーバ８が記憶する認証情報に基づいて、仮想プライベートネットワーク構成装置１が移動端末５の認証を行う方法について説明する。
【００４８】
仮想プライベートネットワーク構成装置１のＶＰＮ制御部２１は、ＶＰＮサーバ２との間にＬ２ＶＰＮを利用したＶＰＮリンクを確立する。本実施形態の仮想プライベートネットワーク構成装置１は、ＩＰルーティングではなく、ＯＳＩ参照モデルの第２層であるデータリンク層（レイヤー２）でのブリッジングにより、移動端末５とホームネットワーク１０との通信を仲介する。そのため、本実施形態で利用するＶＰＮはＬ３ＶＰＮではなく、Ｌ２ＶＰＮを利用する。
【００４９】
また、仮想プライベートネットワーク構成装置１のＶＰＮ制御部２１は、ＶＬＡＮのデータを送受信するためのＶＰＮ仮想ＬＡＮインタフェース２５を、仮想プライベートネットワーク構成装置１内に作成する。
【００５０】
ブリッジ接続部２６は、ＶＰＮ仮想ＬＡＮインタフェース２５と物理ＬＡＮインタフェース（移動端末接続用）２７とをＯＳＩ参照モデルの第２層であるデータリンク層で接続（ブリッジ接続）する。これにより、物理ＬＡＮインタフェース（移動端末接続用）２７は、ＶＰＮ仮想ＬＡＮインタフェース２５とＶＰＮサーバ２とを介し、ホームネットワーク１０と接続される。
【００５１】
認証サーバ８と、仮想プライベートネットワーク構成装置１のリンクローカルアドレスＩＰ通信部２８とは、予めリンクローカルアドレスが設定されている。図示する例では、認証サーバ８のリンクローカルアドレスは、１６９．２５４．３．５であり、リンクローカルアドレスＩＰ通信部２８のリンクローカルアドレスは、１６９．２５４．６．１７１である。
【００５２】
移動端末５は、移動端末５が備える通信部と、仮想プライベートネットワーク構成装置１の物理ＬＡＮインタフェース（移動端末接続用）２７とを接続する。なお接続方法は、先述したとおり有線ローカルエリアネットワーク接続でも、無線ローカルエリアネットワーク接続でもよい。
【００５３】
仮想プライベートネットワーク構成装置１の認証制御部２９は、８０２．１ｘ  ａｕｔｈｅｎｔｉｃａｔｏｒとして動作し、Ｅｘｔｅｎｓｉｂｌｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ（ＥＡＰ）などの認証プロトコルを用いて、仮想プライベートネットワーク構成装置１の物理ＬＡＮインタフェース（移動端末接続用）２７への通信可否の認証を移動端末５に対して行う。認証に使用する認証情報は、認証サーバ８が記憶している認証情報を使用する。仮想プライベートネットワーク構成装置１の認証制御部２９は、リンクローカルアドレスを使用して、認証サーバ８が記憶している認証情報を取得する。また、取得した情報に基づいて、仮想プライベートネットワーク構成装置１の認証制御部２９は移動端末５の認証を行う。
【００５４】
仮想プライベートネットワーク構成装置１の認証制御部２９が、仮想プライベートネットワーク構成装置１の物理ＬＡＮインタフェース（移動端末接続用）２７への通信を移動端末５に対して許可した場合、移動端末５は、仮想プライベートネットワーク構成装置１を介し、ホームネットワーク１０とＯＳＩ参照モデルの第２層であるデータリンク層で接続され、移動端末５はホームネットワーク端末６と通信を行うことができる。
【００５５】
上述したとおり、認証サーバ８と仮想プライベートネットワーク構成装置１とにリンクローカルアドレスを割り当てることで、ホームネットワーク１０と、外出先ネットワーク１１とのアドレス衝突を起こすことなく仮想プライベートネットワーク構成装置１と認証サーバ８とが通信を行うことができる。すなわち、仮想プライベートネットワーク構成装置１は認証サーバ８と通信を行うことができるので、仮想プライベートネットワーク構成装置１は認証サーバ８が記憶する認証情報に基づいて、仮想プライベートネットワーク構成装置１の物理ＬＡＮインタフェース（移動端末接続用）２７への通信可否の認証を移動端末５に対して行うことができる。
【００５６】
以上、本発明の実施形態について図面を参照して詳述してきたが、具体的な構成や方法はこの実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。
【００５７】
なお、上述した実施形態における仮想プライベートネットワーク構成装置１全体あるいはその一部の機能実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することによって実現しても良い。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。
【００５８】
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムを送信する場合の通信線のように、短時刻の間、動的にプログラムを保持するもの、その場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリのように、一定時刻プログラムを保持しているものも含んでも良い。また上記プログラムは、前述した機能の一部を実現するためのものであっても良く、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであっても良い。
【図面の簡単な説明】
【００５９】
【図１】本発明の一実施形態における、仮想プライベートネットワーク構成装置を使用した仮想プライベートネットワークの構成を示した図である。
【図２】本実施形態における、仮想プライベートネットワーク構成装置の構成を示した図である。
【図３】本実施形態における、移動端末内に仮想環境を用意し、ゲストＰＣがホームネットワーク端末にアクセスする例を示した図である。
【図４】本実施形態における、ホームネットワークに接続された認証サーバの認証情報に基づいて、移動端末の認証を行う場合の構成を示した図である。
【図５】本実施形態における、仮想プライベートネットワーク構成装置の構成を示した図である。
【図６】アドレスが重複するネットワークＡとネットワークＢとのＴｗｉｃｅ  ＮＡＴによる相互接続を示した図である。
【図７】リモートアクセス時のアドレス衝突を示した図である。
【符号の説明】
【００６０】
１・・・仮想プライベートネットワーク構成装置、２・・・ＶＰＮサーバ、３，４・・・ゲートウェイ装置、５・・・移動端末、６・・・ホームネットワーク端末、７・・・外出先ネットワーク端末、８・・・認証サーバ、９・・・ゲストＰＣ、１０・・・ホームネットワーク、１１・・・外出先ネットワーク、１２・・・インターネット、２１・・・ＶＰＮ制御部、２２・・・ルーティング部、２３・・・ＩＰ通信部、２４・・・物理ＬＡＮインタフェース（外出先ネットワーク接続用）、２５・・・ＶＰＮ仮想ＬＡＮインタフェース、２６・・・ブリッジ接続部、２７・・・物理ＬＡＮインタフェース（移動端末接続用）（通信装置ＬＡＮインタフェース）、２８・・・リンクローカルアドレスＩＰ通信部、２９・・・認証制御部、３０・・・通信装置ＬＡＮインタフェース
【図１】
2009094880.tif 000003
【図２】
2009094880.tif 000004
【図３】
2009094880.tif 000005
【図４】
2009094880.tif 000006
【図５】
2009094880.tif 000007
【図６】
2009094880.tif 000008
【図７】
2009094880.tif 000009