トンネル接続装置とトンネル終端装置を含み、当該トンネル接続装置と当該トンネル終端装置との間に設定されるトンネルにより仮想ネットワークを構成する仮想ネットワークシステムであって、前記トンネル終端装置は、所定の制御装置から、変更後の仮想ネットワーク構成情報を含む仮想ネットワーク構成変更指示を受信する手段と、前記仮想ネットワーク構成情報により指定された変更後の仮想ネットワークを構成する1つ又は複数のトンネル接続装置の中から、前記トンネル終端装置にトンネル接続されている前記トンネル接続装置を選択し、当該トンネル接続装置に対し、当該トンネル経由で設定変更指示を送信する手段と、を備え、前記トンネル接続装置は、前記トンネル経由で、前記トンネル終端装置から前記設定変更指示を受信する手段と、前記設定変更指示に基づき、変更後の仮想ネットワークに対応したトンネル接続を行う手段と、を備えることを特徴とする仮想ネットワークシステム。前記設定変更指示は、変更後の仮想ネットワークに対応した接続先となるトンネル終端装置を示す情報と、変更後の仮想ネットワークに対応したプロトコル種別を含むことを特徴とする請求項1に記載の仮想ネットワークシステム。前記設定変更指示を受信した前記トンネル接続装置は、前記接続先のトンネル終端装置に接続し、当該トンネル終端装置との間で前記プロトコル種別に対応した通信レイヤのトンネルを確立することを特徴とする請求項2に記載の仮想ネットワークシステム。前記設定変更指示は、前記所定の制御装置にアクセスして設定情報を当該所定の制御装置から取得することを指示する命令であることを特徴とする請求項1に記載の仮想ネットワークシステム。前記設定変更指示を受信した前記トンネル接続装置は、前記所定の制御装置から変更後の設定情報を取得し、当該設定情報で指定された接続先のトンネル終端装置に接続し、当該トンネル終端装置との間で前記設定情報で指定されたプロトコル種別に対応した通信レイヤのトンネルを確立することを特徴とする請求項4に記載の仮想ネットワークシステム。前記トンネル接続装置は、起動時もしくは予め定められた規則に基づく時間に前記所定の制御装置にアクセスして設定情報を当該所定の制御装置から取得する手段を備えることを特徴とする請求項1に記載の仮想ネットワークシステム。前記トンネル接続装置は、前記所定の制御装置から取得した設定情報で指定された接続先のトンネル終端装置に接続し、当該トンネル終端装置との間で前記設定情報で指定されたプロトコル種別に対応した通信レイヤのトンネルを確立することを特徴とする請求項6に記載の仮想ネットワークシステム。トンネル接続装置とトンネル終端装置を含み、当該トンネル接続装置と当該トンネル終端装置との間に設定されるトンネルにより仮想ネットワークを構成する仮想ネットワークシステムにおける構成変更方法であって、前記トンネル終端装置が、所定の制御装置から、変更後の仮想ネットワーク構成情報を含む仮想ネットワーク構成変更指示を受信するステップと、前記トンネル終端装置が、前記仮想ネットワーク構成情報により指定された変更後の仮想ネットワークを構成する1つ又は複数のトンネル接続装置の中から、前記トンネル終端装置にトンネル接続されている前記トンネル接続装置を選択し、当該トンネル接続装置に対し、当該トンネル経由で設定変更指示を送信するステップと、前記トンネル接続装置が、前記トンネル経由で、前記トンネル終端装置から前記設定変更指示を受信するステップと、前記トンネル接続装置が、前記設定変更指示に基づき、変更後の仮想ネットワークに対応したトンネル接続を行うステップと、を備えることを特徴とする構成変更方法。トンネル接続装置とトンネル終端装置を含み、当該トンネル接続装置と当該トンネル終端装置との間に設定されるトンネルにより仮想ネットワークを構成する仮想ネットワークシステムにおける前記トンネル終端装置であって、所定の制御装置から、変更後の仮想ネットワーク構成情報を含む仮想ネットワーク構成変更指示を受信する手段と、前記仮想ネットワーク構成情報により指定された変更後の仮想ネットワークを構成する1つ又は複数のトンネル接続装置の中から、前記トンネル終端装置にトンネル接続されている前記トンネル接続装置を選択し、当該トンネル接続装置に対し、当該トンネル経由で設定変更指示を送信する手段と、を備えることを特徴とするトンネル終端装置。請求項9に記載のトンネル終端装置にトンネル接続されるトンネル接続装置であって、前記トンネル終端装置との間のトンネル経由で、前記トンネル終端装置から前記設定変更指示を受信する手段と、前記設定変更指示に基づき、変更後の仮想ネットワークに対応したトンネル接続を行う手段と、を備えることを特徴とするトンネル接続装置。コンピュータを、請求項9に記載のトンネル終端装置の各手段として機能させるためのプログラム。コンピュータを、請求項10に記載のトンネル接続装置の各手段として機能させるためのプログラム。特許文献1に示すような従来技術では、仮想ネットワークの構成を変更するために、外部から端末装置へのログインを行って設定を変更する、もしくは端末装置側から定期的に制御装置にアクセスして設定情報の取得を行うなどの方法が用いられている。しかしながら、外部からログインを行う前者の方法では、NAT配下等に端末装置が設置されている場合などにアクセスできないという問題があった。また、端末装置側から制御装置に対するアクセスを行う後者の方法では、アクセスの時間間隔が短い場合に制御装置への負荷が大きくなり、逆にアクセスの時間間隔が長い場合に構成が即時には反映されない、などの問題があった。このため、従来技術では、NAT等の配下に設置された接続装置等への構成変更指示を任意のタイミングで行うことが困難であった。本発明は上記の点に鑑みてなされたものであり、任意のタイミングで構成変更指示を各装置に伝達し、オンデマンドに仮想ネットワークの構成を変更することを可能とする技術を提供することを目的とする。上記の課題を解決するために、本発明は、トンネル接続装置とトンネル終端装置を含み、当該トンネル接続装置と当該トンネル終端装置との間に設定されるトンネルにより仮想ネットワークを構成する仮想ネットワークシステムであって、前記トンネル終端装置は、所定の制御装置から、変更後の仮想ネットワーク構成情報を含む仮想ネットワーク構成変更指示を受信する手段と、前記仮想ネットワーク構成情報により指定された変更後の仮想ネットワークを構成する1つ又は複数のトンネル接続装置の中から、前記トンネル終端装置にトンネル接続されている前記トンネル接続装置を選択し、当該トンネル接続装置に対し、当該トンネル経由で設定変更指示を送信する手段と、を備え、前記トンネル接続装置は、前記トンネル経由で、前記トンネル終端装置から前記設定変更指示を受信する手段と、前記設定変更指示に基づき、変更後の仮想ネットワークに対応したトンネル接続を行う手段と、を備えることを特徴とする仮想ネットワークシステムとして構成される。前記仮想ネットワークシステムにおいて、前記設定変更指示は、変更後の仮想ネットワークに対応した接続先となるトンネル終端装置を示す情報と、変更後の仮想ネットワークに対応したプロトコル種別を含むようにしてもよい。そして、前記設定変更指示を受信した前記トンネル接続装置は、前記接続先のトンネル終端装置に接続し、当該トンネル終端装置との間で前記プロトコル種別に対応した通信レイヤのトンネルを確立するようにしてもよい。前記仮想ネットワークシステムにおいて、前記設定変更指示は、前記所定の制御装置にアクセスして設定情報を当該所定の制御装置から取得することを指示する命令であることとしてもよい。このとき、前記設定変更指示を受信した前記トンネル接続装置は、前記所定の制御装置から変更後の設定情報を取得し、当該設定情報で指定された接続先のトンネル終端装置に接続し、当該トンネル終端装置との間で前記設定情報で指定されたプロトコル種別に対応した通信レイヤのトンネルを確立するようにしてもよい。また、前記トンネル接続装置は、起動時もしくは予め定められた規則に基づく時間に前記所定の制御装置にアクセスして設定情報を当該所定の制御装置から取得する手段を備えるようにしてもよい。この場合、前記トンネル接続装置は、前記所定の制御装置から取得した設定情報で指定された接続先のトンネル終端装置に接続し、当該トンネル終端装置との間で前記設定情報で指定されたプロトコル種別に対応した通信レイヤのトンネルを確立する。また、本発明は、トンネル接続装置とトンネル終端装置を含み、当該トンネル接続装置と当該トンネル終端装置との間に設定されるトンネルにより仮想ネットワークを構成する前記仮想ネットワークシステムにおける構成変更方法として構成することもできる。また、本発明は、トンネル接続装置とトンネル終端装置を含み、当該トンネル接続装置と当該トンネル終端装置との間に設定されるトンネルにより仮想ネットワークを構成する仮想ネットワークシステムにおける前記トンネル終端装置であって、所定の制御装置から、変更後の仮想ネットワーク構成情報を含む仮想ネットワーク構成変更指示を受信する手段と、前記仮想ネットワーク構成情報により指定された変更後の仮想ネットワークを構成する1つ又は複数のトンネル接続装置の中から、前記トンネル終端装置にトンネル接続されている前記トンネル接続装置を選択し、当該トンネル接続装置に対し、当該トンネル経由で設定変更指示を送信する手段と、を備えることを特徴とするトンネル終端装置として構成してもよい。また、本発明は、前記トンネル終端装置にトンネル接続されるトンネル接続装置であって、前記トンネル終端装置との間のトンネル経由で、前記トンネル終端装置から前記設定変更指示を受信する手段と、前記設定変更指示に基づき、変更後の仮想ネットワークに対応したトンネル接続を行う手段と、を備えることを特徴とするトンネル接続装置として構成してもよい。更に、本発明は、コンピュータを、前記トンネル終端装置の各手段として機能させるためのプログラムとして構成してもよいし、コンピュータを、前記トンネル接続装置の各手段として機能させるためのプログラムとして構成してもよい。本発明によれば、任意のタイミングで構成変更指示を各装置に伝達し、オンデマンドに仮想ネットワークの構成を変更することが可能となる。以下、図面を参照して本発明の実施の形態を説明する。なお、以下で説明する実施の形態は一例に過ぎず、本発明が適用される実施の形態は、以下の実施の形態に限られるわけではない。システム構成図1に本実施の形態に係る仮想ネットワークシステムの全体構成図を示す。図1に示すとおり、本実施の形態に係る仮想ネットワークシステムは、仮想ネットワーク制御装置10、トンネル接続装置20、及びトンネル終端装置30がIPネットワーク40例えば、インターネットに接続されて構成されている。図1に示す例では、トンネル接続装置20にユーザ端末50クライアント機器が接続されている。また、トンネル終端装置30には、サーバや他のユーザ端末等が接続される。なお、図1には、代表として、1つのトンネル終端装置30、及び1つのトンネル接続装置20を示しているが、実際にはそれぞれ複数の装置が存在してよい。また、トンネル接続装置20とトンネル終端装置30との間でトンネルを構築することにより、仮想ネットワークが構成されるので、トンネル接続装置20とトンネル終端装置30を備えるシステムを仮想ネットワークシステムと称してもよい。仮想ネットワーク制御装置10は、トンネル接続装置20やトンネル終端装置30に仮想ネットワーク構築変更の指示等を行うための装置である。トンネル接続装置20は、トンネル終端装置30とトンネル接続を行う装置である。トンネル終端装置30は、複数のトンネル接続装置20との間のトンネルを終端する装置である。同じトンネル終端装置30に接続されたトンネル接続装置同士の間で仮想ネットワークを形成する。以下、各装置についてより詳しく説明する。図2に、仮想ネットワーク制御装置10の機能構成図を示す。図2に示すように、仮想ネットワーク制御装置10は、仮想ネットワーク構築変更指示受付部11、構成情報格納部12、対装置通信部13、位置情報登録部14、位置情報格納部15、指示通知部16を有する。仮想ネットワーク構築変更指示受付部11は、例えば、仮想ネットワーク制御装置10とネットワーク接続された外部装置例えば、Webブラウザ端末、NW監視システム等から仮想ネットワーク構築や変更に係る指示を受信し、当該指示に基づいて仮想ネットワーク構成情報を構成情報格納部12に格納する等の機能を備える。構成情報格納部12に格納される仮想ネットワーク構成情報は、例えば、どのトンネル接続装置とどのトンネル終端装置を、どのプロトコル種別で接続するかの情報を含む。すなわち、構成情報格納部12は、構成情報として、例えば、トンネル接続装置の識別情報、トンネル終端装置の識別情報、及びプロトコル種別を対応付けたテーブルを格納する。また、後述する各装置の設定情報として必要な情報も保持している。対装置通信部13は、トンネル接続装置20、及びトンネル終端装置30と通信を行うための機能部である。位置情報登録部14は、トンネル終端装置30から、当該トンネル終端装置30の識別情報と位置情報例えば、現時点でのトンネル終端装置30のIPアドレスを含む位置登録要求を受信し、当該トンネル終端装置30の位置情報を位置情報格納部15に格納する。なお、識別情報は、トンネル終端装置30の位置によらずにトンネル終端装置30を識別可能な情報である。位置情報格納部15には、予め各トンネル終端装置30の識別情報が格納登録されており、位置情報登録部14は、トンネル終端装置30から受信する識別情報が既に位置情報格納部15に格納されているものであることを確認した後に、当該識別情報に対応付けて位置情報を位置情報格納部15に格納する。位置情報登録部14は、トンネル接続装置20についても同様に位置情報の登録を行ってもよい。また、例えば、トンネル終端装置30の位置情報がほぼ固定である場合等には、トンネル終端装置30の位置情報の登録をシステム管理者が行ってもよい。指示通知部16は、構成情報格納部12に格納された構成情報に基づいて、構成情報に係る仮想ネットワークを構成するトンネル接続装置20に対し、トンネル接続装置20からの要求に応じてトンネル接続のための設定情報を通知するとともに、構成情報に係る仮想ネットワークを構成するトンネル終端装置30に対して、接続に来るトンネル接続装置の識別情報やプロトコル種別等の設定情報を送信する機能部である。また、指示通知部16は、仮想ネットワーク構成変更指示をトンネル終端装置30に送信する機能も備える。なお、本実施の形態では、外部から指示を受ける機能部と、装置に指示を出す機能部を同一の装置に設けているが、これらを別々のモジュール別々の装置として実現してもよい。本実施の形態に係る仮想ネットワーク制御装置10は、CPU、記憶装置等からなるコンピュータに、仮想ネットワーク制御装置10の各機能部の機能を実現するためのプログラムを実行させることにより実現できる。当該プログラムは可搬メモリ等の記録媒体からコンピュータにインストールすることとしてもよいし、ネットワーク上のサーバからダウンロードすることとしてもよい。図3に、トンネル接続装置20の機能構成図を示す。なお、図3は、一例として、トンネル接続装置20とユーザ端末50が別々の装置であり、これらがネットワーク接続される場合の例を示している。図3に示すように、トンネル接続装置20は、対仮想ネットワーク制御装置通信部21、設定部23、データ格納部24、トンネル接続通信部25を有する。また、トンネル接続通信部25は、トンネル構築部251とプロトコル処理部252を含む。対仮想ネットワーク制御装置通信部21は、仮想ネットワーク制御装置10との間で通信を行うための機能部である。設定部23は、トンネル接続装置20の起動時トンネル接続装置20の電源をONにしたときなどに、仮想ネットワーク制御装置10に対してトンネル設定情報要求を送信し、仮想ネットワーク制御装置10から要求したトンネル設定情報を受信して、受信したトンネル設定情報に基づきトンネル通信のための設定を行う機能部である。また、設定部23が、予め定められた規則に基づく時間にトンネル設定情報要求を仮想ネットワーク制御装置10に送信する機能を備えてもよい。例えば、設定部23が、タイマーを備え、予め定めた一定時間間隔で例えば毎日同じ時間にトンネル設定情報要求を送信してもよいし、トンネル設定情報要求による問い合わせを行って更新がなければ徐々に時間間隔を広げてトンネル設定情報要求の送信を行うこととしてもよい。予め定められた規則に基づく時間は、これらに限られるわけではなく、他の規則に基づく時間を採用してもよい。また、これらの規則は、トンネル接続装置20に予め設定されるものである。対仮想ネットワーク制御装置通信部21には、仮想ネットワーク制御装置10のアドレス情報が予め設定してある。また、設定部23は、トンネル経由プロトコル処理部251経由で、トンネル終端装置30から設定変更指示を受信し、設定変更指示に含まれる設定情報により設定を行ったり、設定変更指示に従って仮想ネットワーク制御装置10から設定情報を取得する機能も備える。トンネル設定情報には、トンネルの接続先となるトンネル終端装置30の位置情報アドレス、トンネルを生成するために必要な秘密情報初期共有鍵等等のパラメータ値、トンネルを構成するプロトコル種別後述する、L2、L3、L4等を含む。これらの他、暗号の種別、トンネルのQoS情報等を含めてもよい。また、トンネル設定情報に基づきトンネル接続のための設定を行うとは、設定情報にて指示されたトンネルを実現できるようにするための設定を行うことである。例えば、指示されたプロトコル種別に対応するトンネル用のプログラム各種別毎にプログラムがデータ格納部24に格納されているものとする。プロトコル処理部252に対応する。を起動するとともに、トンネル接続先アドレスやパラメータ値をトンネル構築部251等が参照できるようにデータ格納部24に格納したりする。なお、これは一例に過ぎない。データ格納部24には、各プロトコル種別に対応付けて各トンネル用のプログラムが格納されるとともに、トンネル設定情報に含まれていたトンネルの接続先やパラメータ値が格納される。なお、上記のように、プロトコル種別毎にモジュールとしてプロトコル処理部252に対応するプログラムを起動する他この場合も設定情報に応じて機能を切り替えることに相当する、複数プロトコル種別の機能を有するプログラムプロトコル処理部252を起動しておき、設定情報に応じて機能を切り替えるようにしてもよい。また、プロトコル種別毎にプロトコル処理用のハードウェア回路を備えておき、設定情報に応じて回路を切り替えるように構成してもよい。トンネル接続通信部25におけるトンネル構築部251は、トンネルの接続先位置情報及びパラメータ値をデータ格納部16から読み出して、接続先のトンネル終端装置30に対してトンネル接続要求を送信することにより、トンネル終端装置との間にトンネルを構築する処理を行う。また、プロトコル処理部252は、ユーザ端末50が送受信するデータをカプセリング/デカプセリング、暗号化/復号化する等のトンネル通信のプロトコル処理を行う機能部である。なお、トンネルを構築するとは、装置内部では、トンネル接続先との間のパケット通信においてカプセリング/デカプセリング、暗号化/復号化を行うための情報を設定しておくことである。トンネル接続装置20は、コンピュータCPU、メモリ等を含む構成を有する通信装置を含むに、トンネル接続通信部25、設定部23に対応するプログラムを実行させることにより実現できる。当該プログラムは可搬メモリ等の記録媒体からコンピュータにインストールすることとしてもよいし、ネットワーク上のサーバからダウンロードすることとしてもよい。図3では、ユーザ端末50とトンネル接続装置20とを接続した構成を示しているが、これは一例に過ぎない。図4に示すように、ユーザ端末50内にドライバとしてトンネル接続装置20の機能を備える形態としてもよい。この場合、ユーザ端末50をトンネル接続装置と呼んでもよい。本実施の形態では、図3に示すトンネル接続装置20は、ユーザによって所望の場所に持ち運び可能な装置を想定している。また、このときのユーザ端末50は、一般的なPC等の端末のほか、Webカメラ、家電機器等でもよい。図5に、トンネル終端装置30の機能構成図を示す。図5に示すように、トンネル終端装置30は、対仮想ネットワーク制御装置通信部31、登録要求部32、設定部33、仮想ネットワーク構成変更制御部34、データ格納部35、トンネル終端通信部36を有する。トンネル終端通信部36は、トンネル構築部361とプロトコル処理部362を含む。対仮想ネットワーク制御装置通信部31は、仮想ネットワーク制御装置10との間で通信を行うための機能部である。登録要求部32は、トンネル終端装置30が起動されたときや、ネットワークに接続されたとき等に、位置登録要求を仮想ネットワーク制御装置10に送信する機能部である。この位置登録要求により仮想ネットワーク制御装置10において位置登録がなされる、なお、トンネル終端装置30について自動的な登録を行わない場合、登録要求部32を備えなくてもよい。また、トンネル接続装置20についてもトンネル終端装置30と同様の登録要求部を備え、位置登録を行うこととしてもよい。設定部33は、仮想ネットワーク制御装置10からトンネル接続情報設定情報を受信して、受信したトンネル接続情報に基づきトンネル接続のための設定を行う機能部である。対仮想ネットワーク制御装置通信部31には、仮想ネットワーク制御装置10のアドレス情報が予め設定してある。トンネル接続情報には、トンネル終端装置30に対して接続に来るトンネル接続装置20の識別情報もしくは位置情報、トンネルを生成するために必要な秘密情報初期共有鍵等等のパラメータ値、トンネルを構成するプロトコル種別後述する、L2、L3、L4等を含む。これらの他、暗号の種別やトンネルのQoS情報等を含めてもよい。また、トンネル接続情報に基づきトンネル接続のための設定を行うとは、指示されたトンネルを接続できるようにするための設定を行うことである。例えば、指示されたプロトコル種別に対応するトンネル用のプログラム各種別毎にプログラムがデータ格納部35に格納されているものとする。プロトコル処理部362に対応する。を起動するとともに、接続に来るトンネル接続装置の識別情報もしくは位置情報やパラメータ値をトンネル構築部361等が参照できるようにデータ格納部35に格納したりする。なお、これは一例に過ぎない。データ格納部35には、各プロトコル種別に対応付けて各トンネル用のプログラムが格納されるとともに、接続に来るトンネル接続装置の情報やパラメータ値が格納される。なお、上記のように、プロトコル種別毎にモジュールとしてプロトコル処理部362に対応するプログラムを起動する他この場合も設定情報に応じて機能を切り替えることに相当する、複数プロトコル種別の機能を有するプログラムプロトコル処理部362を起動しておき、設定情報に応じて機能を切り替えるようにしてもよい。また、プロトコル種別毎にプロトコル処理用のハードウェア回路を備えておき、設定情報に応じて回路を切り替えるように構成してもよい。トンネル終端通信部36におけるトンネル構築部361は、トンネル接続装置の識別情報もしくは位置情報や、各種パラメータ値をデータ格納部35から読み出すとともに、トンネル接続要求を受信したことに応じて、トンネル接続要求元が、通知されているトンネル接続装置であることを確認し、そのトンネル接続装置との間にトンネルを構築する処理等を行う。また、プロトコル処理部362は、送受信するデータをカプセリング/デカプセリングする等のトンネル通信のための処理を行う。また、トンネル終端通信部36は、トンネル接続したトンネル接続装置の識別情報位置情報でもよいのテーブルを作成し、データ格納部35に格納する機能も有する。仮想ネットワーク構成変更制御部34は、既に仮想ネットワーク構築が済み、仮想ネットワークでのトンネル通信可能な状態において、仮想ネットワーク制御装置10から、新たな仮想ネットワークの構成情報を含む仮想ネットワーク構成変更指示を受信したときに、既に構築されているトンネルを通じて、トンネル接続されている各トンネル接続装置に対して、新たな仮想ネットワークの構成に基づくトンネル設定情報等を送信する機能部である。仮想ネットワーク構成変更指示には、例えば、変更後の仮想ネットワークの構成における、トンネル終端装置の識別情報もしくは位置情報、当該トンネル終端装置に接続されるトンネル接続装置の識別情報もしくは位置情報のテーブル、プロトコル種別、その他の必要なパラメータ値が含まれる。仮想ネットワーク構成変更制御部34は、受信した仮想ネットワーク構成変更指示に含まれるテーブルと、現在自分がトンネルを確立しているトンネル接続装置の識別情報もしくは位置情報のテーブルとを比較し、指示設定情報を送るべきトンネル接続装置を決定する。例えば、構成変更により自分以外のトンネル終端装置への接続を行うべきトンネル接続装置が現在トンネル接続されていれば、そのトンネル終端装置に指示設定情報を送るべきと判断する。送信する指示には、新規にトンネル接続を行う場合と同様の設定情報が含まれ、これを受信したトンネル接続装置は、設定情報に従って、設定を行う。また、トンネル終端装置30は、自身が用いるプロトコル種別を変更する場合には、指示に従って当該プロトコルのプロトコル処理機能を起動し、設定を行い、接続を待つ。また、送信する指示を、設定情報ではなく、仮想ネットワーク制御装置10に対してトンネル設定情報要求を送ることを指示する命令としてもよい。これを受けたトンネル接続装置20は、仮想ネットワーク制御装置10から設定情報を受けて設定を行う。トンネル終端装置30は、コンピュータCPU、メモリ等を含む構成を有する通信装置を含むに、トンネル終端通信部36、設定部33、登録部32、仮想ネットワーク構成変更制御部34に対応するプログラムを実行させることにより実現できる。当該プログラムは可搬メモリ等の記録媒体からコンピュータにインストールすることとしてもよいし、ネットワーク上のサーバからダウンロードすることとしてもよい。システムの動作例次に、システムの動作例を説明する。最初に、仮想ネットワーク制御装置10が、外部装置から仮想ネットワーク構築指示を受けてから、仮想ネットワークが構築されるまでの処理手順例を図6のシーケンス図を参照して説明する。まず、仮想ネットワークを管理する管理者等が仮想ネットワーク構築を外部装置Webブラウザ端末等のユーザインターフェースWeb画面等から指示すると、仮想ネットワーク構築指示仮想ネットワーク構成情報を含むが仮想ネットワーク制御装置10に送られるステップ1。仮想ネットワーク構築指示を受信した仮想ネットワーク制御装置10の仮想ネットワーク構築変更指示受付部11は、仮想ネットワーク構築指示に含まれる仮想ネットワークの構成情報を構成情報格納部12に格納するステップ2。仮想ネットワーク制御装置10の指示通知部16は、構成情報に基づいて、該当するトンネル終端装置30に対し、接続に来るトンネル接続装置の識別情報もしくは位置情報を、プロトコル種別や各種のパラメータ値等とともに送信するステップ3。なお、トンネル終端装置30への構成指示通知は、このタイミングである必要はなく、他のタイミングでもよい。例えば、トンネル接続装置20への設定情報通知後でもよい。仮想ネットワーク制御装置10から情報を受け取った設定部33は、情報の格納、設定を行うステップ4。なお、本例では、トンネル終端装置30の位置情報は、識別情報とともにトンネル終端装置設置時に位置情報格納部15に予め登録されているものとする。ここで、トンネル接続装置20が起動されると、トンネル接続装置20は、仮想ネットワーク制御装置10にトンネル設定情報要求を送信するステップ5。トンネル設定情報要求にはトンネル接続装置20の識別情報が含まれる。トンネル設定情報要求を受信した仮想ネットワーク制御装置10において、指示通知部16は、トンネル設定情報要求に応じて、構成情報格納部12からトンネル接続装置20に対応するトンネル設定情報を読み出しステップ6、当該トンネル接続装置20に送信するステップ7。トンネル設定情報を受信したトンネル接続装置20は、当該設定情報に基づいて設定を行うとともに、トンネル接続通信部25におけるトンネル構築部251によりトンネル接続要求をトンネル終端装置30に送信するステップ8。トンネル接続装置20とトンネル終端装置30は、それぞれ仮想ネットワーク制御装置10から受信した情報を用いてトンネル仮想パスと呼んでもよいを生成するステップ9。なお、トンネルで用いるプロトコルの種別によって必要であれば、トンネル終端装置30のトンネル終端通信部36におけるトンネル構築部362は、トンネル接続要求の送信元であるトンネル接続装置20に仮想ネットワーク上での位置情報を払い出す。例えば、後述するL3モードの場合、仮想ネットワーク上での位置情報として仮想のIPアドレス仮想アドレスを払い出す。なお、上記の例は1つのトンネル接続装置20について説明しているが、1つのトンネル終端装置30に接続されるトンネル接続装置20は一般には複数であり、各々のトンネル接続装置20が同様にしてトンネル構築を行う。複数のトンネル接続装置20がトンネル構築を行った場合の例を図7に示す。図7では、端末側の構成として、トンネル接続装置20とユーザ端末50が接続された構成と、トンネル接続装置20の機能がユーザ端末50内に配備された構成が示されている。図7に示す構成において、トンネルが生成された後、トンネル接続装置20は、例えば、ユーザ端末50が送出するパケットをキャプチャし、トンネルのプロトコルに従ってパケットを選別して仮想ヘッダを付けてカプセリングと暗号化を行い、トンネルを通じてトンネル終端装置30に送信する。トンネル終端装置30はトンネル接続装置20からトンネルを通じてパケットを受け取ると、パケットのヘッダ情報に従ってパケットの転送を行う。転送先としては、トンネル終端装置30と同じネットワーク内、もしくはそのネットワークからルーティングされうるネットワーク内にあるサーバ等と、他のトンネル接続装置20の2通りが存在する。トンネル終端装置30がパケットをサーバに転送する場合はカプセリングを解除し、トンネル接続装置20に転送を行う場合はカプセリング解除後、当該トンネル接続装置20向けにカプセリングを再度行う。トンネル接続装置20は、トンネル終端装置30から受け取ったパケットのカプセリングを解除し、当該パケットをユーザ端末50に転送する。トンネル終端装置30とトンネル接続装置20とで仮想ネットワークが構成され、サーバやユーザ端末50は、この仮想ネットワークに接続されている。次に、図8のシーケンス図を参照して、仮想ネットワークが構築された後に、構成変更を行う場合の処理手順を説明する。トンネル終端装置30トンネル接続装置20間のトンネリング接続が確立され、仮想ネットワークが構成された後、システム管理者等により、外部装置から仮想ネットワーク構成変更指示がなされたものとすると、仮想ネットワーク構成変更指示は仮想ネットワーク制御装置10に通知されるステップ11。仮想ネットワーク構成変更指示には、変更後の仮想ネットワーク構成情報が含まれる。そして、仮想ネットワーク制御装置10の指示通知部16は、仮想ネットワーク構成変更指示をトンネル終端装置30に通知するステップ12。仮想ネットワーク構成変更指示を受信したトンネル終端装置30において、仮想ネットワーク構成変更制御部34が、指示された構成情報に含まれるトンネル接続装置のテーブルと、現在自分とトンネル接続を確立しているトンネル接続装置のテーブルを比較し、例えば、構成情報に含まれるトンネル接続装置のうち、トンネル接続を確立しているトンネル接続装置を選択することにより、これを設定変更指示を送るべき装置と判断しステップ13、送るべきと判断されたトンネル接続装置20に対してトンネルを通して指示を伝達するステップ14。設定変更指示を受信したトンネル接続装置20は、指示に含まれる設定情報に基づき設定切り替えを行うステップ15。また、前述したように、設定変更指示として、仮想ネットワーク制御装置10にアクセスすることを命令することでもよい。この場合、図8に示すように、トンネル接続装置20は、設定情報要求を仮想ネットワーク制御装置10に送信しステップ21、仮想ネットワーク制御装置10の指示通知部16は、当該トンネル接続装置20についての設定変更有無を構成情報格納部12を参照して確認しステップ22、変更があると判断したら、変更後の設定情報をトンネル接続装置20に送信するステップ23。そして、トンネル接続装置20は設定を行うステップ24。また、現在いずれのトンネル終端装置30にも接続されていない停止中のトンネル接続装置20は、別途起動時や予め定められた規則に基づく時間に仮想ネットワーク制御装置10にアクセスして構成情報を問い合わせに行く。このときも、上記のステップ21~24と同様の動作が行われる。なお、このトンネル接続装置20に対してトンネル終端装置30のトンネル内からの信号で制御する方法をインバウンドシグナリングと呼ぶことができる。一方、仮想ネットワーク制御装置10からトンネル終端装置30、トンネル接続装置20に直接指示を行う方法をメタシグナリングと呼ぶ。上記のように、本実施の形態に係る技術によれば、トンネル接続中のトンネル接続装置20に対してインバウンドシグナリングにより指示を行うとともに、トンネル接続を行っていないトンネル接続装置20は起動時等に仮想ネットワーク制御装置10にアクセスして構成情報を問い合わせに行くので、結果として仮想ネットワーク制御装置10に対して構成変更指示を投入することによりオンデマンドにあるべき姿を仮想ネットワークに反映させることが可能となる。なお、従来技術において、端末装置側から制御装置に対するアクセスを頻繁に行う場合に制御装置への負荷が大きくなり、逆にアクセスの頻度が少ない場合には構成を即時に反映できないという問題があったが、本実施の形態では、インバウンドシグナリングによる変更指示を行うので、仮想ネットワーク制御装置10へのアクセス数を従来に比べて大幅に減少させながら、構成を即時に反映させることが可能となり、従来の問題が解消される。本実施の形態では以上のような構成と手順によりトンネル終端装置30を仮想的なハブとしてトンネル接続装置20に関連付けられたユーザ端末50クライアント間でネットワークが構成される。トンネル通信の具体例本実施の形態の技術で構築される仮想ネットワークでは、L2~L4までの様々なレイヤのプロトコルを扱うことができる。例えば、これはトンネル接続装置20、トンネル終端装置30が扱うべきレイヤの設定に応じて送受信するパケットのうちカプセリング部位を切り替え、また各レイヤにおける仮想のアドレスL2であればMACアドレス、L3であればIPアドレスを持っているかのように振舞うことで実現される。それぞれのレイヤにおけるカプセリング方法の具体例を以下に示す。なお、以下の通信は、主に、トンネル接続通信部25のプロトコル処理部252、トンネル終端通信部36のプロトコル処理部362の機能により行われるものである。<L2モード>使用するプロトコルの種別がL2である場合L2モードと呼ぶについての動作例を図9と図10を参照して説明する。図9は、ユーザ端末50からサーバ60への通信の例を示す図である。本例では、図9に示すとおりに各装置にIPアドレスが割り当てられているものとする。すなわち、ユーザ端末のIPアドレスとして17216010仮想ネットワーク用のアドレスが割り当てられ、サーバ60のIPアドレスとして17216040仮想ネットワーク用のアドレスが割り当てられている。また、図9において、MACpcはユーザ端末50のMACアドレスであり、MACsvはサーバ60のMACアドレスである。他の図においても同様である。図9に示すとおり、ユーザ端末50からEtherフレームパケットと呼んでもよいが送信されるステップ101。このフレームにおける宛先MACアドレスはサーバ60のMACアドレスであり、宛先IPアドレスはサーバ60のIPアドレスであり、送信元MACアドレスはユーザ端末50のMACアドレスであり、送信元IPアドレスはユーザ端末50のIPアドレスである。フレームを受信したトンネル接続装置20は、当該フレームのうち、Macアドレスまで含めて全てを暗号化/カプセリングしてステップ102、トンネル接続装置20自身が持つローカルアドレス192168220を送信元としてトンネル終端装置30に転送するステップ103。トンネル終端装置30はトンネル接続装置20から受け取ったカプセリングされたフレームを復号化/デカプセリングしステップ104、送信元となっているユーザ端末のレイヤ2アドレスMACアドレスを学習する。以降、トンネル終端装置30は同じセグメントに置かれた他のサーバに対して、自らがユーザ端末50のL2アドレスの持ち主であるかのように振舞う。すなわち、トンネル終端装置30からサーバ60に送信されるフレームの宛先送信元アドレスは、ユーザ端末50から送信されるフレームの宛先送信元アドレスと同じであるステップ5。次に、サーバ60からユーザ端末50への通信の例を図10に示す。図10に示すように、基本的にユーザ端末50からサーバ60への通信の逆の処理が行われる。すなわち、トンネル終端装置30はサーバ60からフレームを受け取りステップ201、受け取ったフレームをそのまま暗号化/カプセル化してトンネル接続装置20に送信するステップ202、ステップ203。そして、トンネル接続装置20は、フレームを復号化/デカプセリングして、ユーザ端末50に送信するステップ204、ステップ205。なお、他のトンネル接続装置20からトンネル終端装置30が受信したフレームについても同様の処理でユーザ端末50に送信できる。<L3モード>次に、使用するプロトコルの種別がL3である場合L3モードと呼ぶについての動作例を図11~図13を参照して説明する。各図において、MACrtはルータのMACアドレスであり、MACvnsはトンネル終端装置30のMACアドレスである。図11は、ユーザ端末50からサーバ60への通信の例を示す図である。L3モードでは、トンネル接続装置20はトンネル終端装置30から割り当てられた仮想IPアドレス本例では17216050を持つ。図11に示すアドレスを有するEtherフレームがユーザ端末50から送信されるステップ301。フレームを受信したトンネル接続装置20は、ユーザ端末50のMACアドレスを学習する記憶装置にIPアドレスとともに保持しておくステップ302。また、トンネル接続装置20は、ユーザ端末50からキャプチャしたフレームのうち、仮想IPアドレス宛仮想ネットワーク用のIPアドレス宛のものを選別し、トンネルを通してトンネル終端装置30に転送を行う。仮想IPアドレス宛のフレームを選別する処理例を図12に示す。なお、図12に示す例では、通信手段の例としてソケットを用いて通信を行う例が示されている。また、図12に示すように、トンネル接続装置20は、仮想ネットワーク用のアドレスとして予め定めた仮想IPアドレス群を記録した経路表を保持している。図12に示すように、トンネル接続装置20は、ユーザ端末50から受信したフレームのMACアドレスを記憶し、経路表を参照して、宛先IPアドレスが仮想IPアドレス群に含まれるものであれば宛先IP判定Yes、送信元IPアドレスを、トンネル接続装置20に割り当てられた仮想IPアドレスに書き換えて、トンネル転送を行う。なお、図12の例では、メタ情報等を記述する仮想NWヘッダVNヘッダを付しているが、このヘッダは必須ではない。仮想NWヘッダは、例えば、鍵交換などに用いられるコントロールパケットの識別などに用いられる。宛先IPアドレスが仮想IPアドレス群に含まれるものでなければ宛先IP判定No、トンネル経由でなく、通常のLANセグメントへ送信される。上記のとおり、図11においてトンネル転送する際に、トンネル接続装置20は、キャプチャしたフレームのうちL3パケット本例ではIPパケットに相当する部分を切り出し、L3アドレスを仮想IPアドレスに付け替えた上でトンネル終端装置30に送付するS303~S305。カプセリングされたパケットを受け取ったトンネル終端装置30は復号化/デカプセリングを行いステップ306、カプセル化されていたパケットの送信先IPアドレスに応じてサーバ60やその仮想IPアドレスを持つ他のトンネル接続装置20に向けて送信を行うステップ307。サーバ60からユーザ端末50への通信の例を図13に示す。図13に示すように、基本的にユーザ端末50からサーバ60への通信の逆の処理が行われる。すなわち、トンネル終端装置30は、サーバ60から送出されたフレームをキャプチャしステップ401、キャプチャしたフレームのうちL3パケットに相当する部分を切り出し暗号化/カプセリングを行ってステップ402、トンネル接続装置20に転送するステップ403。これを受信したトンネル接続装置20は、復号化/デカプセリングの後ステップ404、送信先IPアドレスを仮想IPアドレスからユーザ端末50の実アドレスに付け替えを行いステップ405、あたかもサーバ60から直接ユーザ端末50に送信されたかのようにパケットを送出するステップ406。他のトンネル接続装置20からトンネル終端装置30が受信したフレームについても同様の処理でユーザ端末50に送信できる。なお、このL3モードのアドレス付け替えの動作は、トンネル接続装置20がユーザ端末50に組み込まれるドライバとして実装される場合は採用されない場合もある。ドライバとして導入されたトンネル接続装置20はユーザ端末50からあたかも仮想のIPアドレスを持つインタフェースが増えたかのように見え、パケットははじめから仮想のIPアドレスをつけてユーザ端末50から送出されるためである。<L4モード>次に、使用するプロトコルの種別がL4である場合L4モードと呼ぶについての動作例を図14~図17を参照して説明する。本実施の形態におけるL4モードでは、SOCKSの技術と、特許文献2に開示されている技術これをRSOCKSと呼ぶを用いている。もちろん、これらの技術を用いることはL4モードの一例に過ぎない。L4モードの第1例を図14に示す。本例では、トンネル接続装置20はトンネル接続通信部25としてSOCKSクライアント機能を含み、トンネル終端装置30は、トンネル終端通信部36としてSOCKSサーバ機能を含む。この例では、トンネル接続装置20はトンネル終端装置30との間にトンネリング接続を行う。ユーザ端末50アプリケーションクライアントが、トンネル接続装置20の開いたポートの一つにアクセスすると、そのアクセスはトンネルを通してトンネル終端装置30に転送され、トンネル終端装置30にポートごとに設定された特定のアプリケーションサーバへとリダイレクトされる。これは通常のSOCKSの挙動と同様である。図14に示すように、この第1例の構成ではL2、L3と同じトンネル接続装置20、トンネル終端装置30の配置で利用できる。また、第2例として、図15に示すように、トンネル終端装置30にRSOCKSサーバ機能を備え、トンネル接続装置20にRSOCKSクライアント機能を備えることにより、通常のRSOCKSの動作と同様の動作を行うことも可能である。なお、RSOCKSサーバは、特許文献2で開示された接続制御サーバ部に相当し、RSOCKSクライアントは特許文献2で開示された接続制御クライアント部に相当する。L4モードの第3例を図16に示す。この構成は、図14のSOCKSの構成と、図15のRSOCKSの構成を組み合わせたものであり、アプリケーションサーバ側にもSOCKSクライアント相当の機器としてのトンネル接続装置20を配置することで、サーバ、ユーザ両方のアクセスを制御する構成となっている。この構成においては、仮想ネットワークシステムはカプセリングするレイヤを切り替えるのではなく、クライアントユーザ端末50に関連付けられたトンネル接続装置20これをFトンネル接続装置と記述するとトンネル終端装置30、サーバ60に関連付けられたトンネル接続装置20これをRトンネル接続装置と記述するとトンネル終端装置30にそれぞれトンネルを生成し、Fトンネル接続装置20とトンネル終端装置30の間に張られたセッション、トンネル終端装置30とRトンネル接続装置20の間に張られたセッションをトンネル終端装置30がそれぞれ対応付けることでユーザ端末50とサーバ60間で通信を行えるようにする。これはRSOCKSとSOCKSをトンネル終端装置30が中継する方式であるともいえる。図16に示すL4モードの構成において、ユーザ端末50サーバクライアントからは同じLAN内に置かれたFトンネル接続装置20に開かれたポートと通信を行うステップ501。Fトンネル接続装置20は、ユーザ端末50からの通信に応じて、トンネル終端装置30と予め張ってあるトンネル内にセッションを生成するステップ502。トンネル終端装置30はセッションの生成を受け、Rトンネル接続装置20との間で予め張ってあるトンネルを通してサーバ60とセッションを生成しステップ503、これら両方のセッションを繋ぐステップ504。本構成では、サーバ60はRトンネル接続装置20から通信を受けている形となるため、インターネットに向けてポートを開くことなくユーザ端末50からの通信を待ち受けられるようになる。この構成におけるユーザ端末50からサーバ60への通信の例を図17に示す。この通信では、図17に示すとおりにアドレスポートが割り当てられている。図17において、添字fvncはFトンネル接続装置20を示し、rvncはRトンネル接続装置20を示し、vnsはトンネル終端装置30を示す。ユーザ端末50は、ローカルに置かれているFトンネル接続装置20の特定のポートをめがけてパケットを送信するステップ601。Fトンネル接続装置20は、自身のローカルアドレスを送信元としてトンネル終端装置30にパケットを送信するステップ602。なお、ここでは仮想NWヘッダが付される例を示している。トンネル終端装置30は、Fトンネル接続装置20とトンネル終端装置30間のセッションの識別情報と、トンネル終端装置30とRトンネル接続装置20間のセッションの識別情報とを対応付けて保持している。Fトンネル接続装置20からパケットを受信したトンネル終端装置30は、当該対応情報を参照することにより、パケット送信先を識別し、パケットの送信先アドレスを自身のアドレスとして、当該送信先であるRトンネル接続装置20にパケットを送信するステップ603。Rトンネル接続装置20は、受信したポートに対応付けられたサーバ60のポートの情報を保持しており、当該情報に基づいて、受信したパケットをサーバ60の待ち受けポートに送信するステップ604。実施の形態の効果本実施の形態に係る方式を採用することにより、仮想ネットワークの構成をオンデマンドで変更することが可能となる。従って、この方式ではL2~L4の間でカプセリングを行うことができるレイヤを切り替えることができ、カプセリングヘッダとカプセル化される内部のデータでそれぞれ独立にプロトコルを切り替えることが可能となる。本発明は、上記の実施の形態に限定されることなく、特許請求の範囲内において、種々変更応用が可能である。