JP5569697B2 - 中継サーバ及び中継通信システム - Google Patents

Description

本発明は、主として、異なるＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）に接続されている端末間の通信を可能とする中継サーバに関する。

従来から、仮想プライベートネットワーク（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ，ＶＰＮ）と呼ばれる通信技術が知られている（例えば、特許文献１を参照）。このＶＰＮは、例えば、地域ごとに設けられた複数の支社（拠点）のＬＡＮに接続された端末同士でインターネットを介して通信する用途に用いられている。前記ＶＰＮを利用すれば、遠隔地にある他のＬＡＮを、あたかも直接接続されているネットワークであるかのように使用することができる。

特開２００２−２１７９３８号公報

ところで、この種のシステムにおいては、ＬＡＮに接続された端末のＩＰアドレス（プライベートＩＰアドレス）を用いて端末同士の通信を行っている。ＩＰアドレスは、同一のＬＡＮ内においては重複しないように割り当てられるが、異なるＬＡＮに接続される端末間においては、重複することがある。この場合、ＶＰＮにおいて同一のＩＰアドレスが２以上存在することになり、適切な通信が行えなくなってしまう。

これを回避するために、ＩＰアドレスが重複したときは、ＶＰＮをいったん終了し（又は重複するＩＰアドレスが設定された機器をＶＰＮからログアウトさせて）、その後にＩＰアドレスの再設定を行う必要があった。しかし、ＩＰアドレスの再設定は、同一のＬＡＮに接続される他の機器にも影響を及ぼしてしまうため、ＬＡＮによってはＩＰアドレスの変更が現実的ではないことがある。ＶＰＮにおいては、この点において改善が望まれていた。

本発明は以上の事情に鑑みてされたものであり、その主要な目的は、アドレスが重複しているＬＡＮ同士を接続する場合であっても、設定されたアドレスを変更することなく通信が行えるＶＰＮを構築可能な中継サーバを提供することにある。

課題を解決するための手段及び効果

本発明の解決しようとする課題は以上の如くであり、次にこの課題を解決するための手段とその効果を説明する。

本発明の第１の観点によれば、以下の構成の中継サーバが提供される。即ち、この中継サーバは、中継グループ情報記憶部と、中継サーバ情報記憶部と、ＶＰＮグループ情報記憶部と、アドレスフィルタ情報記憶部と、通信制御部と、を備える。前記中継グループ情報記憶部は、自身との間で相互に接続可能な他の中継サーバを含む中継グループの情報を記憶する。前記中継サーバ情報記憶部は、前記中継グループに属する前記中継サーバの起動情報と、前記中継グループに属する前記中継サーバに接続されるクライアント端末の起動情報及び登録情報と、を含む中継サーバ情報を記憶する。前記ＶＰＮグループ情報記憶部は、前記中継グループの情報及び前記中継サーバ情報に基づいて中継通信システムを構成する通信機器のうちルーティングポイントとして設定された通信機器であるルーティング機器で構成され、当該ルーティング機器間に確立されるルーティングセッションを介して仮想プライベートネットワークにより通信を行うＶＰＮグループに関し、当該ＶＰＮグループを構成する前記ルーティング機器の識別情報及び互いに接続される前記ルーティング機器を示すルーティングセッション情報を記憶する。前記アドレスフィルタ情報記憶部は、パケットの転送先として前記ルーティング機器が指定可能なルーティング対象装置のアドレスを示すアドレスフィルタ情報を当該ルーティング機器の識別情報と対応付けて記憶する。前記通信制御部は、複数のＶＰＮグループを作成して、前記ＶＰＮグループ情報記憶部に記憶する制御と、前記ＶＰＮグループ情報記憶部に記憶される複数のＶＰＮグループから、起動するＶＰＮグループが選択されたときに、当該ＶＰＮグループに属するルーティング機器同士で前記アドレスフィルタ情報に含まれるアドレスが重複しているか否かを判断し、アドレスが重複していることを検知したときに、当該ＶＰＮグループにおいて使用されていないアドレスである変換アドレスを当該重複しているアドレスに対応付けた変換アドレステーブルを作成し、当該変換アドレステーブルを、前記選択されたＶＰＮグループに属する他の前記ルーティング機器に送信する制御と、前記変換アドレステーブルに基づいてルーティングを行う制御と、を行う。

これにより、中継サーバは、中継通信システムを構成する他の通信機器（他の中継サーバ及びクライアント端末）から選択されたルーティング機器とＶＰＮを構築できるため、必要な通信機器との間でのみファイルの共有等を行うことができる。また、同一のアドレスが割り当てられているネットワーク同士でＶＰＮを構築した場合においても、実際のアドレスを変更することなく、パケットのルーティングを行うことができる。

前記の中継サーバにおいては、前記通信制御部は、送信元アドレス変換処理と送信先アドレス変換処理のうち、少なくとも一方を行うことが好ましい。送信元アドレス変換処理とは、送信元アドレスとして実際のアドレスが指定されたパケットを受信したときに、前記パケットの送信元アドレスを実際のアドレスから前記変換アドレスに変換する処理である。送信先アドレス変換処理とは、前記パケットの送信先アドレスとして前記変換アドレスが指定されたパケットを受信したときに、送信先アドレスを前記変換アドレスから実際のアドレスに変換する処理である。

これにより、送信元アドレス変換処理を行うことで、パケットの送信先に対して、当該パケットの送信元を知らせることができる。また、送信先アドレス変換処理を行うことで、適切な送信先にパケットを送信することができる。

前記の中継サーバにおいては、送信元側のルーティングポイントとして機能する場合、前記通信制御部は、前記送信元アドレス変換処理及び前記送信先アドレス変換処理のうち少なくとも一方を行うことが好ましい。

前記の中継サーバにおいては、送信元側のルーティングポイントとして機能する場合、前記通信制御部は、前記送信元アドレス変換処理を行い、ルーティングセッションを介して他の前記ルーティング機器にパケットを送信することが好ましい。

前記の中継サーバにおいては、以下の構成とすることが好ましい。即ち、送信元側のルーティングポイントとして機能する場合、前記通信制御部は、前記送信元アドレス変換処理及び前記送信先アドレス変換処理の両方を行う。前記通信制御部は、ルーティングセッションを介して他の前記ルーティング機器にパケットを送信する。

前記の中継サーバにおいては、送信先側のルーティングポイントとして機能する場合、前記通信制御部は、前記送信元アドレス変換処理及び前記送信先アドレス変換処理のうち送信元側のルーティングポイントにおいて行われていないアドレス変換処理を行うことが好ましい。

前記の中継サーバにおいては、送信先側のルーティングポイントとして機能する場合、前記送信先アドレス変換処理を行ったときは、変換後のアドレスである実際のアドレスに基づいて、パケットを転送することが好ましい。

以上のように、送信先アドレス変換処理及び送信元アドレス変換処理は、任意のタイミングで行うことができる。特に、本発明では、アドレスフィルタ情報に基づいてルーティングセッションを選択することにより、適切なルーティング機器までパケットを送信することができるので、送信元側のルーティグポイントにおいて送信先アドレスを変更することも可能である。従って、送信元側のルーティングポイントにおいて、送信元アドレスの変換だけでなく、送信先アドレスの変換を行うことで、送信先側のルーティングポイントでのアドレス変換処理を省略することができる。また、中継サーバが送信先側のルーティングポイントとして機能する場合は、送信元側のルーティングポイントにおいて行われていないアドレス変換処理を行うことにより、送信先アドレスと送信元アドレスの両方のアドレスについての変換を完了させることができる。

前記の中継サーバにおいては、実際のアドレス及び前記変換アドレスを、当該アドレスが設定されるルーティング対象装置の名称と対応付けて、外部の表示装置に表示可能であることが好ましい。

これにより、変換アドレスがどの機器と対応付けられているかをユーザに知らせることができる。従って、例えば、送信先アドレスとして変換アドレスを指定するための設定を簡単にすることができる。

前記の中継サーバにおいては、以下の構成とすることが好ましい。即ち、前記ＶＰＮグループ情報記憶部は、前記ルーティングセッション情報として、ルーティングセッションを確立するための通信制御を最初に行う側の前記ルーティング機器の識別情報と、当該通信制御を受ける側の前記ルーティング機器の識別情報と、を記憶する。自身との間で確立される全てのルーティングセッションにおいて、前記通信制御を最初に行う側として自身が設定されているときに、前記通信制御部は、前記変換アドレスを重複しているアドレスに対応付け、当該変換アドレスを他の前記ルーティング機器に送信する制御を行う。

これにより、ＶＰＮグループにおいて、通常、１つのルーティング機器が変換アドレスを作成する制御を行うこととなる。従って、変換アドレスの対応付け等の処理が複数実行されることを防止できる。

本発明の第２の観点によれば、以下の構成の中継通信システムが提供される。即ち、この中継通信システムは、複数の中継サーバと、クライアント端末と、を備える。前記クライアント端末は、前記中継サーバを介して互いに接続可能である。前記中継サーバは、中継グループ情報記憶部と、中継サーバ情報記憶部と、ＶＰＮグループ情報記憶部と、アドレスフィルタ情報記憶部と、通信制御部と、を備える。前記中継グループ情報記憶部は、当該中継サーバとの間で相互に接続可能な他の中継サーバを含む中継グループの情報を記憶する。前記中継サーバ情報記憶部は、前記中継グループに属する前記中継サーバの起動情報と、前記クライアント端末の起動情報及び登録情報と、を含む中継サーバ情報を記憶する。前記ＶＰＮグループ情報記憶部は、前記中継サーバ及び前記クライアント端末のうちルーティングポイントとして設定されたルーティング機器で構成され、当該ルーティング機器間に確立されるルーティングセッションを介して仮想プライベートネットワークにより通信を行うＶＰＮグループに関し、当該ＶＰＮグループを構成する前記ルーティング機器の識別情報及び互いに接続される前記ルーティング機器を示すルーティングセッション情報を記憶する。前記アドレスフィルタ情報記憶部は、パケットの転送先として前記ルーティング機器が指定可能なルーティング対象装置を示すアドレスフィルタ情報を当該ルーティング機器の識別情報と対応付けて記憶する。前記通信制御部は、複数のＶＰＮグループを作成して、前記ＶＰＮグループ情報記憶部に記憶する制御と、前記ＶＰＮグループ情報記憶部に記憶される複数のＶＰＮグループから、起動するＶＰＮグループが選択されたときに、当該ＶＰＮグループに属するルーティング機器同士で前記アドレスフィルタ情報に含まれるアドレスが重複しているか否かを判断し、アドレスが重複していることを検知したときに、当該ＶＰＮグループにおいて使用されていないアドレスである変換アドレスを当該重複しているアドレスに対応付けた変換アドレステーブルを作成し、当該変換アドレステーブルを、前記選択されたＶＰＮグループに属する他の前記ルーティング機器に送信する制御と、前記変換アドレステーブルに基づいてルーティングを行う制御と、を行う。

これにより、中継サーバ及びクライアント端末から選択されたルーティング機器を用いてＶＰＮを構築できるため、必要な機器との間でのみファイルの共有等を行うことが可能となる。また、この中継通信システムは、同一のアドレスが割り当てられているネットワーク同士でＶＰＮを構築した場合においても、実際のアドレスを変更することなく、パケットのルーティングを行うことができる。なお、本発明の別の観点によれば、中継サーバではなくルーティング機器が上記の各記憶部及び制御部を有する構成、及び、当該ルーティング機器を含む中継通信システムが提供される。これらの構成であっても同様の効果を発揮させることができる。

第１実施形態に係る中継通信システムの全体構成を示す説明図。 中継サーバの機能ブロック図。 中継グループ情報の内容を示す図。 中継サーバ情報の内容を示す図。 クライアント端末情報の内容を示す図。 ＶＰＮグループ情報の内容を示す図。 アドレスフィルタ情報記憶部の記憶内容の一例を示す図。 ＶＰＮグループを作成する処理を示すフローチャート。 ＶＰＮを開始する処理を示すフローチャート。 ＶＰＮを開始する処理を示すフローチャート。 ＶＰＮを開始する処理を示すフローチャート。 ＶＰＮグループを作成する通信処理及びアドレスフィルタ情報を更新する通信処理を示すシーケンス図。 ルーティングセッションを確立する通信処理及びパケットの送信を行う通信処理を示すシーケンス図。 変換アドレステーブルの通知後におけるアドレスフィルタ情報記憶部の記憶内容の一例を示す図。 通信用のＩＰアドレスを外部の表示装置に表示させたときの表示内容を示す図。 ルーティングパケットを受信したときにルーティング機器が行う処理を示すフローチャート。 実際のＩＰアドレスと通信用のＩＰアドレスとを用いて行う通信処理の流れを示す図。 実際のＩＰアドレスと通信用のＩＰアドレスとを用いて行う通信処理の流れを示す図。 ＶＰＮグループを終了する通信処理を示すシーケンス図。 第２実施形態においてルーティングパケットを受信したときにルーティング機器が行う処理を示すフローチャート。

次に、図面を参照して本発明の実施の形態を説明する。初めに、図１を参照して、第１実施形態の中継通信システム１００の概要について説明する。図１は、第１実施形態に係る中継通信システム１００の全体構成を示す説明図である。

図１に示すように、この中継通信システム１００は、Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ（ＷＡＮ、広域通信網）８０に接続された複数のＬＡＮ１０，２０，３０，４０で構成されている。それぞれのＬＡＮ１０，２０，３０，４０は、限定された場所で構築される比較的小規模なネットワークであり、それぞれが物理的に離れた場所に配置されている。なお、本実施形態ではＷＡＮ８０としてインターネットが使用されている。

以下、それぞれのＬＡＮを具体的に説明する。図１に示すように、ＬＡＮ１０には、中継サーバ１と、クライアント端末１１と、通信装置１２と、が接続されている。ＬＡＮ２０には、中継サーバ２と、クライアント端末２１と、ファイルサーバ２２と、ファイルサーバ２３と、通信装置２４と、が接続されている。ＬＡＮ３０には、中継サーバ３と、クライアント端末３１と、通信装置３２と、通信装置３３と、が接続されている。ＬＡＮ４０には、中継サーバ４と、クライアント端末４１と、通信装置４２と、が接続されている。

それぞれの中継サーバ１，２，３，４は、ＬＡＮ１０，２０，３０，４０だけでなくＷＡＮ８０にも接続されているため、同一のＬＡＮに接続されたクライアント端末と通信可能であるだけでなく、他のＬＡＮに配置された中継サーバと通信可能となっている。そのため、中継サーバ１，２，３，４には、グローバルＩＰアドレスに加えてプライベートＩＰアドレスが付与されている。

クライアント端末１１，２１，３１，４１は、例えばパーソナルコンピュータで構成されており、中継サーバ１，２，３，４を介して相互に通信を行うことができる。通信装置１２，２４，３２，３３，４２は、例えばパーソナルコンピュータで構成されており、それぞれＬＡＮ１０，２０，３０，４０を介して、例えばクライアント端末１１，２１，３１，４１にパケットを送信可能である。ファイルサーバ２２，２３は、例えばネットワーク接続ストレージで構成されており、ＬＡＮ２０を介して、例えばクライアント端末２１にパケットを送信可能である。

次に、中継サーバ１，２，３，４について説明する。なお、これらの４つの中継サーバは、一部の記憶内容を除いて略同一の構成であるため、代表して中継サーバ１について説明する。初めに、図２を参照して、中継サーバ１が備える構成について説明する。図２は、中継サーバ１，２，３，４の機能ブロック図である。

図２に示すように、中継サーバ１は、記憶部５０と、制御部６０と、インタフェース部７０と、を備えている。

インタフェース部７０は、プライベートＩＰアドレスを利用して、ＬＡＮ１０内の端末に対して通信を行うことができる。また、インタフェース部７０は、グローバルＩＰアドレスを利用して、ＷＡＮ８０を経由した通信を行うことができる。

制御部６０は、例えば制御及び演算の機能を有するＣＰＵであり、記憶部５０から読み出したプログラムにより各種の処理を実行可能である。この制御部６０は、ＴＣＰ／ＩＰ、ＵＤＰ、ＳＩＰ等のプロトコルに従った様々な通信を制御することができる。図２に示すように、制御部６０は、インタフェースドライバ６１と、ＬＡＮ側ＩＰパケット処理部６２と、通信制御部６３と、ＷＡＮ側ＩＰパケット処理部６４と、を備えている。

インタフェースドライバ６１は、インタフェース部７０を制御するドライバソフトウェアである。ＬＡＮ側ＩＰパケット処理部６２は、ＬＡＮ１０から受信したパケットに適宜の処理を行って通信制御部６３に出力する。ＷＡＮ側ＩＰパケット処理部６４は、ＷＡＮ８０から受信したパケットに適宜の処理を行って通信制御部６３に出力する。

通信制御部６３は、受信したパケットについて、当該パケットが示す情報と記憶部５０に記憶された情報とに基づいて送信先を決定し、決定した送信先へ当該パケットを送信する。また、通信制御部６３は、他の端末から受信した情報に基づいて、記憶部５０の記憶内容を更新させることができる。

記憶部５０は、例えばハードディスク又は不揮発性ＲＡＭで構成されており、各種データを保存可能である。記憶部５０は、中継グループ情報記憶部５１と、中継サーバ情報記憶部５２と、クライアント端末情報記憶部５３と、ＶＰＮグループ情報記憶部５４と、アドレスフィルタ情報記憶部５５と、を備えている。以下、図３から図７までを参照して、記憶部５０の記憶内容について説明する。図３は、中継グループ情報の内容を示す図である。図４は、中継サーバ情報の内容を示す図である。図５は、クライアント端末情報の内容を示す図である。図６は、ＶＰＮグループ情報の内容を示す図である。図７は、アドレスフィルタ情報の内容を示す図である。

中継グループ情報記憶部５１は、中継グループと、当該中継グループを構成する中継サーバと、を示した中継グループ情報を記憶している。

図３に示すように、中継グループ情報においては、ｇｒｏｕｐタグと、このｇｒｏｕｐタグを親要素とする子要素のｓｉｔｅタグと、が記述されている。ｇｒｏｕｐタグには中継グループに関するグループ情報５１１が記述されている。このグループ情報５１１としては、中継グループの識別情報（「ｉｄ」）と、最終更新時刻（「ｌａｓｔｍｏｄ」）と、中継グループの名称（「ｎａｍｅ」）と、が記述されている。ｓｉｔｅタグには、中継グループを構成する中継サーバに関するグループ構成情報５１２が記述されている。このグループ構成情報５１２には、当該中継サーバの識別情報（「ｉｄ」）が記述されている。また、中継グループは追加作成が可能であり、その場合、新しい中継グループには、他の中継グループと異なる一意の識別情報が付与される。これにより、特定の中継グループ内だけでデータのやり取りを行う等の設定が可能になっている。

なお、この中継グループ情報は、当該中継グループを構成する中継サーバ１，２，３，４の間で共有されている。そして、ある中継サーバにおいて中継グループを変更する処理が行われた場合は、他の中継サーバに対してその旨が送信されて中継グループ情報が更新される。このようにして、中継グループ情報が動的に共有される。

中継サーバ情報記憶部５２は、中継通信を行う中継サーバ及び当該中継サーバに所属するクライアント端末の概要を示す中継サーバ情報を記憶している。

図４に示す中継サーバ情報においては、中継サーバごとに記述されるｓｉｔｅタグと、前記ｓｉｔｅタグを親要素とする子要素のｎｏｄｅタグと、が記述されている。ｓｉｔｅタグには中継サーバ１に関するサーバ情報５２１が記述されている。このサーバ情報５２１としては、中継サーバの識別情報（「ｉｄ」）と、中継サーバの名称（「ｎａｍｅ」）と、起動情報（「ｓｔａｔ」）と、が記述されている。なお、ｓｔａｔの内容が「ａｃｔｉｖｅ」の場合は中継サーバが中継通信システム１００にログインしていることを示し、ｓｔａｔが空欄であるときはログオフ中であることを示す。ｓｉｔｅタグの子要素であるｎｏｄｅタグには、中継サーバに所属するクライアント端末を示す所属情報５２２が記述されている。所属情報５２２としては、所属する中継グループの名称（「ｇｒｏｕｐ」）と、クライアント端末の識別情報（「ｉｄ」）と、クライアント端末の名称（「ｎａｍｅ」）と、ログイン先の中継サーバの識別情報（「ｓｉｔｅ」）と、が記述されている。なお、クライアント端末が中継サーバ（中継通信システム１００）にログインしていないときは、「ｓｉｔｅ」は空欄となる。

なお、中継グループによる通信は、上記の中継グループ情報及び中継サーバ情報に基づいて、以下のようにして行われる。例えばクライアント端末１１からクライアント端末２１にパケットを送信する場合、初めに、クライアント端末１１は、自身が接続している中継サーバである中継サーバ１にパケットを送信する。なお、パケットのやり取りが可能な中継サーバは上記の中継グループ情報に基づいて把握することができ、中継サーバに所属しているクライアント端末の識別情報及び接続の可否は上記の中継サーバ情報に基づいて把握することができる。中継サーバ１は、これらの情報に基づいて、クライアント端末２１が接続している中継サーバである中継サーバ２にパケットを送信する。そして、この中継サーバ２がクライアント端末２１にパケットを送信する。このようにして、クライアント端末１１，２１同士で中継通信を行うことができる。

この中継サーバ情報に関しても中継グループ情報と同様に、当該中継グループを構成する中継サーバ１，２，３，４の間で情報が共有されている。そして、ある中継サーバにおいて中継サーバ情報を変更する処理が行われた場合は、他の中継サーバに対してその旨が送信されて中継サーバ情報が更新される。このようにして、中継サーバ情報が動的に共有される。

クライアント端末情報記憶部５３は、クライアント端末に関する詳細な情報であるクライアント端末情報を記憶している。なお、中継サーバ１，２，３，４は、自身に所属するクライアント端末に関するクライアント端末情報のみを記憶している。例えば、中継サーバ１には、図１に示すようにクライアント端末１１が所属しているため、中継サーバ１が備えるクライアント端末情報記憶部５３には、クライアント端末１１のクライアント端末情報のみが記憶されている。

中継サーバ１のクライアント端末情報記憶部５３が記憶するクライアント端末情報は、図５（ａ）に示されている。同様に、中継サーバ２が記憶するクライアント端末情報が図５（ｂ）に、中継サーバ３が記憶するクライアント端末情報が図５（ｃ）に、中継サーバ４が記憶するクライアント端末情報が図５（ｄ）に、それぞれ示されている。

図５に示すクライアント端末情報においては、ｎｏｄｅタグが記述されている。このｎｏｄｅタグには、クライアント端末のプライベートＩＰアドレス（「ａｄｄｒ」）と、所属する中継グループの名称（「ｇｒｏｕｐ」）と、識別情報（「ｉｄ」）と、名称（「ｎａｍｅ」）と、中継サーバにログインするためのパスワード（「ｐａｓｓ」）と、ポート情報（「ｐｏｒｔ」）と、が記述されている。

ＶＰＮグループ情報記憶部５４は、中継グループを構成する中継サーバ及びクライアント端末から選択された機器（以下、ルーティング機器と称する）で構成されたＶＰＮグループに関する情報であるＶＰＮグループ情報を記憶している。ＶＰＮグループは、中継グループ内で構成されるグループであり、ルーティング機器間にルーティングセッションを確立させることにより、仮想ネットワークを構築することができる。

図６に示すＶＰＮグループ情報においては、ｖｎｅｔタグが記述されている。このｖｎｅｔタグには、ＶＰＮグループ基本情報５４１と、ルーティングポイント情報５４２と、ルーティングセッション情報５４３と、が記述されている。ＶＰＮグループ基本情報５４１には、ＶＰＮグループが所属する中継グループの名称（「ｇｒｏｕｐ」）と、ＶＰＮグループの識別情報（「ｉｄ」）と、最終更新時刻（「ｌａｓｔｍｏｄ」）と、ＶＰＮグループの名称（「ｎａｍｅ」）と、が記述されている。ルーティングポイント情報５４２には、ＶＰＮグループ間で通信を行うときにルーティングを行うルーティング機器の識別情報が記述されている。図６の例においては、ルーティング機器として、クライアント端末１１と、クライアント端末２１と、中継サーバ３と、が記述されている。ルーティングセッション情報５４３には、ＶＰＮグループにおいて互いに接続されるルーティング機器が記述されている。ルーティングセッション情報５４３において、ルーティング機器は、ＶＰＮグループでＶＰＮを開始するためのルーティングセッション確立処理において、通信制御を最初に行う側（「ｓｐ（ｓｔａｒｔ ｐｏｉｎｔ）」）と、その通信制御を受ける側「ｅｐ（ｅｎｄ ｐｏｉｎｔ）」と、に分けて定められている。なお、以下の説明では、ルーティングセッション確立のための通信制御を最初に行う側のルーティング機器を「始点」と、その通信制御を受ける側のルーティング機器を「終点」と、それぞれ称することがある。

このＶＰＮグループ情報も中継サーバ情報及び中継グループ情報と同様に、ＶＰＮグループを構成する中継サーバ１，２，３の間で共有されている。そして、ある中継サーバにおいてＶＰＮグループ情報を変更する処理が行われた場合は、ＶＰＮグループを構成する他の中継サーバに対してその旨が送信されてＶＰＮグループ情報が更新される。このようにして、ＶＰＮグループ情報が動的に共有される。なお、このＶＰＮグループを作成する処理については後述する。

アドレスフィルタ情報記憶部５５は、ＶＰＮを開始してルーティング機器がルーティングを行う際に、パケットの転送先としてルーティング機器が指定可能なルーティング対象装置を示すアドレスフィルタ情報を記憶している。

図７（ａ）には、アドレスフィルタ情報の概要が示されている。図７（ａ）に示すように、クライアント端末１１は、通信装置１２に対してパケットを送信することができる。クライアント端末２１は、ファイルサーバ２２、ファイルサーバ２３、及び通信装置２４に対してパケットを送信することができる。中継サーバ３は、ＬＡＮ３０に接続された全ての機器に対してパケットを送信することができる。

アドレスフィルタ情報記憶部５５は、図７（ｂ）に示すように、ルーティング機器の識別情報と、当該ルーティング機器が指定可能なルーティング対象装置のＩＰアドレス及び名称と、を対応付けて記憶している。ルーティング対象装置の名称としては、ユーザが認識し易い名称等の任意の名称を設定することができ、例えば、機器の種類（処理装置、通信装置、ファイルサーバ等）及びＬＡＮの配置される場所等を考慮して設定可能である。なお、それぞれのルーティングポイントとしての中継サーバは、このアドレスフィルタ情報を外部の表示装置等に表示させることが可能となっている。また、このアドレスフィルタ情報は、後述の図１２等に示すように、ＶＰＮを開始するときにルーティング機器同士で交換するように構成されている。

中継サーバ１，２，３，４は、以上のように構成される。なお、クライアント端末１１，２１，３１，４１の構成については詳細な説明を省略するが、中継サーバ１，２，３，４と実質的に同様に構成された記憶部５０及び制御部６０を備えている。

次に、ＶＰＮグループを構築して、構築したＶＰＮグループでパケットのルーティングを行うときの処理について説明する。

初めにＶＰＮグループを構築するときの流れについて図８及び図１２を参照して説明する。図８は、ＶＰＮグループを作成する処理を示すフローチャートである。図１２は、ＶＰＮグループを作成する通信処理及びアドレスフィルタ情報を更新する通信処理を示すシーケンス図である。

中継通信システム１００を利用するユーザは、クライアント端末１１，２１，３１等を操作することによって、ＶＰＮグループの設定画面を表示させることができる。ここでは、クライアント端末１１を用いて設定を行う場合について説明する。クライアント端末１１に表示させた設定画面には、当該クライアント端末１１が属する複数の中継グループが表示される。ユーザは、この複数の中継グループから、ＶＰＮグループを構築したい中継グループを選択する（Ｓ１０１）。

中継グループが選択されると、クライアント端末１１の画面には、選択した中継グループに属し、かつルーティングポイントとして機能可能な中継サーバ及びクライアント端末の識別情報の一覧が表示される（Ｓ１０２）。そして、ユーザは、構築するＶＰＮグループにおいてルーティングポイントとして機能させる中継サーバ及びクライアント端末の識別情報を選択する（Ｓ１０３）。今回の説明では、クライアント端末１１、クライアント端末２１、及び中継サーバ３の識別情報がユーザに選択されたものとする。

そして、この選択されたルーティングポイントに基づいて、ルーティングセッション情報が作成される（Ｓ１０４）。また、選択された中継サーバ等の識別情報に基づいて、ルーティングポイントの識別情報が作成される（Ｓ１０４）。これらの作成された情報にＶＰＮグループの識別情報等を付加することにより、図６で示したＶＰＮグループ情報が作成され、ＶＰＮグループ情報記憶部５４は、このＶＰＮグループ情報を記憶する（Ｓ１０５）。

そして、クライアント端末１１は、作成したＶＰＮグループ情報を、他のルーティング機器（クライアント端末２１及び中継サーバ３）に送信することにより（Ｓ１０６）、ＶＰＮグループが作成されたことを通知する。なお、クライアント端末２１に対するＶＰＮグループ情報の送信は、図１２に示すように、中継サーバ１及び中継サーバ２を介して行われる（シーケンス番号１、ｃｒｅａｔｅＶｐｎＧｒｏｕｐ）。また、中継サーバ３に対するＶＰＮグループ情報の送信は、中継サーバ１を介して行われる（シーケンス番号２、ｃｒｅａｔｅＶｐｎＧｒｏｕｐ）。

これにより、ＶＰＮグループの構築処理が完了する。なお、以上で示したように、本実施形態において機器間の通信が中継サーバ１，２，３，４を経由して行われることがあるが、以下の説明では、中継サーバ１，２，３，４を経由する通信処理の具体的な説明を省略して「クライアント端末１１がクライアント端末２１にパケットを送信する。」等と記載することがある。

次に、構築したＶＰＮグループでＶＰＮを開始するときの流れについて、図９から図１３を参照して説明する。図９から図１１は、ＶＰＮを開始する処理を示すフローチャートである。図１３は、ルーティングセッションを確立する通信処理及びパケットの送信を行う通信処理を示すシーケンス図である。

ユーザは、クライアント端末１１，２１等を操作することによって、構築したＶＰＮグループを画面に表示させることができる。そして、表示されたＶＰＮグループから適当なＶＰＮグループを選択することにより（Ｓ２０１）、ＶＰＮを開始するための処理を行わせることができる。今回の説明では、ユーザがクライアント端末１１を操作して、上記で作成したＶＰＮグループ（クライアント端末１１、クライアント端末２１、及び中継サーバ３をルーティング機器とするＶＰＮグループ）を選択したものとする。

クライアント端末１１は、初めに、自身に対応付けられたアドレスフィルタ情報を読み出す（Ｓ２０２）。クライアント端末１１の識別情報に対応付けられたアドレスフィルタ情報には、図７に示すように、通信装置１２に対してパケットを送信可能な旨が記述されている。次に、クライアント端末１１は、選択したＶＰＮグループに属するルーティングポイントの読出しを行う（Ｓ２０３）。これにより、図６に示すＶＰＮグループ情報の内容に基づいて、クライアント端末２１及び中継サーバ３の識別情報が読み出される。

クライアント端末１１は、中継サーバ情報に基づいて、初めに、クライアント端末２１がログイン中か否か（「ｓｉｔｅ」に中継サーバの識別情報が記述されているか、それとも空欄か）を判断する（Ｓ２０４）。図４に示す中継サーバ情報によればクライアント端末２１はログイン中であるため、クライアント端末１１は、クライアント端末２１に向けてＶＰＮグループの開始コマンドを送信する（Ｓ２０５、図１２のシーケンス番号３、ｓｔａｒｔＶｐｎ）。このとき、選択されたＶＰＮグループの識別情報（ＶｐｎＧｒｏｕｐＩＤ）と、クライアント端末１１の識別情報に対応付けられたアドレスフィルタ情報（ａｄｄｒ０１）も同時に送信される。

これにより、クライアント端末２１は、開始の処理を行うＶＰＮグループを特定できるとともに、クライアント端末１１の識別情報に対応付けられた最新のアドレスフィルタを取得することができる。また、クライアント端末２１は、信号を受信した旨をクライアント端末１１に通知するとともに、自身に対応付けられたアドレスフィルタ情報（ａｄｄｒ０２）をクライアント端末１１に送信する。

クライアント端末１１は、クライアント端末２１からの応答を受けて（Ｓ２０６）、受信したアドレスフィルタ情報をアドレスフィルタ情報記憶部５５に記憶する（Ｓ２０７）。また、クライアント端末１１は、クライアント端末２１を、ＶＰＮを開始する準備が完了したルーティングポイントとして登録する（Ｓ２０８）。

次に、クライアント端末１１は、他にルーティングポイントが有るか否かの判断を行う（Ｓ２０９）。クライアント端末２１に対するＶＰＮの開始処理を完了した時点では、中継サーバ３に対してＶＰＮの開始処理を行っていないため、クライアント端末１１は、今度は中継サーバ３を対象としてＳ２０４〜Ｓ２０８の処理を行う。具体的には、クライアント端末１１は、中継サーバ３に対してＶＰＮの開始コマンド及びアドレスフィルタ情報の送信を行う（図１２のシーケンス番号５、ｓｔａｒｔＶｐｎ）。そして、クライアント端末２１の場合と同様に、中継サーバ３からアドレスフィルタ情報を受信して記憶する。

なお、このＶＰＮグループの開始コマンド及びアドレスフィルタ情報の送受信は、クライアント端末２１と中継サーバ３との間でも行われる（シーケンス番号４、ｓｔａｒｔＶｐｎ）。以上により、クライアント端末１１、クライアント端末２１、及び中継サーバ３は、他のルーティング機器のアドレスフィルタ情報を取得することができる。

このように、ＶＰＮを開始する際に、それぞれのルーティング機器が他のルーティング機器とアドレスフィルタ情報を交換（取得）するため、最新のアドレスフィルタ情報を用いてＶＰＮを構築することができる。従って、ＶＰＮ開始前の段階で一部のルーティング機器においてアドレスフィルタ情報が変更された場合でも、その変更を全てのルーティング機器に反映させた状態でＶＰＮを開始できるので、パケットのルーティングにおける矛盾の発生を防止でき、信頼性を向上させることができる。

次に、クライアント端末１１は、ＶＰＮグループ情報記憶部５４の記憶内容からルーティングセッション情報を抽出する（Ｓ２１０）。そして、クライアント端末１１は、Ｓ２０７で記憶したアドレスフィルタ情報を参照して、アドレスフィルタ情報が示すＩＰアドレスに重複があるか否か（図７（ｂ）に示すルーティング対象装置のＩＰアドレスに重複があるか否か）の判断を行う（Ｓ２１１）。なお、以下では、初めにアドレスフィルタ情報が示すＩＰアドレスが重複していないときにクライアント端末１１が行う処理を説明し、その後に、アドレスフィルタ情報が示すＩＰアドレスが重複しているときにクライアント端末１１が行う処理を説明する。

図７に示すように、アドレスフィルタ情報記憶部５５の記憶内容において、ルーティング対象装置のＩＰアドレスは全て異なっているため、アドレスフィルタ情報が示すＩＰアドレスは重複していない。従って、クライアント端末１１は、Ｓ２１０において抽出したルーティングセッション情報を参照して、自身が始点となるルーティングセッションが記述されているか否かを判断する（Ｓ２１５）。図６のルーティングセッション情報においては、クライアント端末２１及び中継サーバ３との間で確立されるべきルーティングセッションにおいて、クライアント端末１１が始点となることが記述されている。

そこで、初めに、クライアント端末１１はクライアント端末２１を選択し、クライアント端末２１が、ＶＰＮを開始する準備が完了したルーティングポイントであるか否かを判断する（Ｓ２１６）。上記のＳ２０８により、クライアント端末２１は準備が完了しているため、クライアント端末１１からクライアント端末２１に対してルーティングセッションを確立するための通信制御が行われる（Ｓ２１７、シーケンス番号６、ｃｒｅａｔｅＶｐｎＳｓｎ）。

クライアント端末１１は、自身が接続の始点となるルーティングセッションが他に記述されているか否かを判断する（Ｓ２１８）。クライアント端末２１に対するルーティングセッション確立処理を完了した時点では、中継サーバ３との間でのルーティングセッション確立処理を行っていないため、クライアント端末１１は、中継サーバ３に対してもクライアント端末２１に行った通信制御と同様の通信制御を行う（シーケンス番号８、ｃｒｅａｔｅＶｐｎＳｓｎ）。これにより、クライアント端末１１と中継サーバ３との間にルーティングセッションが確立される。

また、図６に示すように、クライアント端末２１が中継サーバ３との間のルーティングセッションの始点となるべきことがルーティングセッション情報に記述されているため、ルーティングセッションを確立するための通信制御は、クライアント端末２１から中継サーバ３に対しても行われる（シーケンス番号７、ｃｒｅａｔｅＶｐｎＳｓｎ）。以上により、クライアント端末１１とクライアント端末２１の間、クライアント端末１１と中継サーバ３の間、及びクライアント端末２１と中継サーバ３の間においてルーティングセッションをそれぞれ確立させることができる。その後、パケットのルーティング制御が開始される（Ｓ２１９）。なお、それぞれのルーティング機器は、自身が始点である旨がルーティングセッション情報に記述されていない限りはルーティングセッション確立のための最初の通信制御を行わないので、通信制御の衝突を防止し、機器間のルーティングセッションを簡素な制御で確立することができる。

次に、確立したルーティングセッションを用いてパケットのルーティングを行う処理について説明する。以下、第１パケットから第３パケットの３種類のパケットにおけるルーティングについて説明する。

初めに、クライアント端末２１がファイルサーバ２２から、送信先アドレスが（１９２．１６８．３３．１３２）となっている（送信先として通信装置３２が指定されている）第１パケットを受信したとき（シーケンス番号９、ｐａｃｋｅｔ０１）について説明する。なお、この第１パケットの送信元アドレスは、ファイルサーバ２２のＩＰアドレス、即ち（１９２．１６８．２２．１２２）となっている。クライアント端末２１は、この第１パケットを受信した後に、送信先のＩＰアドレスと図７に示すアドレスフィルタ情報とを比較する。そして、第１パケットに記された送信先に対してパケットを送信可能なルーティングポイントを検出する。

図７に示すように、第１パケットの送信先のＩＰアドレスは、中継サーバ３の識別情報に対応付けられたアドレスフィルタ情報に含まれる。この場合、クライアント端末２１は、中継サーバ３との間に確立されたルーティングセッションを介して第１パケットを当該中継サーバ３に送信する。

この第１パケットを受信した中継サーバ３もクライアント端末２１と同様に、送信先アドレスとアドレスフィルタ情報とを比較する。この結果、中継サーバ３は、第１パケットに記された送信先に対してパケットを送信可能なルーティングポイントとして自身が記述されていることを検出する。そして、中継サーバ３は、第１パケットを通信装置３２に対して送信する。なお、通信装置３２は、受信した第１パケットの送信元アドレスから、当該第１パケットの送信元がファイルサーバ２２であることを検出することができる。

なお、第１パケットの送信におけるクライアント端末２１のように、自身が属するＬＡＮのルーティング対象装置（送信元）からパケットを受け取り、適切なルーティングセッションへパケットを送信するルーティング機器を「送信元側のルーティングポイントとして機能するルーティング機器」と、以下では称することがある。一方、第１パケットの送信における中継サーバ３のように、ルーティングセッションを介してパケットを受信し、自身が属するＬＡＮのルーティング対象装置（送信先）にパケットを送信するルーティング機器を「送信先側のルーティングポイントとして機能するルーティング機器」と、以下では称することがある。

次に、中継サーバ３が通信装置３２から、送信先アドレスが（１９２．１６８．２２．１２２）となっている（送信先としてファイルサーバ２２が指定されている）第２パケットを受信したとき（シーケンス番号１０、ｐａｃｋｅｔ０２）について説明する。図７のアドレスフィルタ情報によれば、第２パケットに記された送信先に対してパケットを送信可能なルーティングポイントとして、クライアント端末２１が指定されている。従って、中継サーバ３は、クライアント端末２１との間に確立されたルーティングセッションを介して第２パケットを当該クライアント端末２１に送信する。そして、クライアント端末２１は、第２パケットに記された送信先に対してパケットを送信可能なルーティングポイントとして自身が記述されていることを検出し、第２パケットを送信先のファイルサーバ２２に対して送信する。なお、ファイルサーバ２２は、受信した第２パケットの送信元アドレスから、当該第２パケットの送信元が通信装置３２であることを検出することができる。

第２パケットの送信においては、中継サーバ３が、送信元側のルーティングポイントとして機能するルーティング機器に相当し、クライアント端末２１が、送信先側のルーティングポイントとして機能するルーティング機器に相当する。

次に、クライアント端末１１が通信装置１２から、送信先のＩＰアドレスが（１９２．１６８．５．５１）である第３パケットをクライアント端末１１が受信したとき（シーケンス番号１１、ｐａｃｋｅｔ０３）について説明する。クライアント端末１１は、送信先のＩＰアドレスとアドレスフィルタ情報とを比較した結果、送信先に対してパケットを送信可能なルーティングポイントが記述されていないことを検出する。この場合、クライアント端末１１は、受信した第３パケットをどこにも送信しない。

このように、本実施形態では、アプリケーション層のルーティングセッションで、ルーティング対象のデータを流すように構成されている。従って、以上で説明したルーティングは、通常のＩＰルーティングとは異なっている。

アプリケーション層でルーティングを行うことにより、ＷＡＮを意識することなく、遠隔地のＬＡＮ同士がプライベートＩＰアドレスを利用して相互に通信することができる。また、上述のように、ルーティング機器は、パケットの転送先として指定可能なルーティング対象装置の名称を表示可能となっている。そのため、ユーザは、ＶＰＮを用いてどの機器にパケットを送信可能であるかを容易に認識することができる。

次に、アドレスフィルタ情報が示すアドレスが重複していることを検出したときにルーティング機器が行う処理と、この処理に基づいてパケットをルーティングするときの制御と、について説明する。初めに、アドレスフィルタ情報が示すアドレスが重複していることを検出したときにルーティング機器が行う処理について、図１０、図１４、及び図１５を参照して説明する。図１４は、変換アドレステーブルの通知後におけるアドレスフィルタ情報記憶部の記憶内容の一例を示す図である。図１５は、通信用のＩＰアドレスを外部の表示装置に表示させたときの表示内容を示す図である。

以下では、アドレスフィルタ情報の記憶内容が図７ではなく図１４（ａ）のようになっている場合について説明する。この場合、図１４（ａ）の２点鎖線で囲む部分において、アドレスフィルタ情報が示すＩＰアドレスが重複している（具体的には、クライアント端末２１に対応付けられたアドレスフィルタ情報が、中継サーバ３に対応付けられたアドレスフィルタ情報と衝突している）。従って、上記Ｓ２１１（図１０）においてクライアント端末１１は、アドレスフィルタ情報が示すＩＰアドレスに重複があると判断する。そして、クライアント端末１１は、Ｓ２１０において読み出したルーティングセッション情報に基づいて、自身との間で確立される全てのルーティングセッションにおいて、前記通信制御を最初に行う側（始点）として自身が設定されているか否かを判断する（Ｓ２１２）。

今回の説明では、図６に示すように、クライアント端末１１は、自身との間で確立される全て（２つ）のルーティングセッションにおいて始点として設定されている。従って、クライアント端末１１は変換アドレステーブルの作成を行う（Ｓ２１３）。変換アドレステーブルとは、重複しているＩＰアドレスと、起動処理を実行中のＶＰＮグループにおいて使用されていないＩＰアドレスである通信用のＩＰアドレス（変換アドレス）と、を対応付けたテーブルである（具体的には図１４（ｂ）の中央の２列に示すテーブル）。この通信用のＩＰアドレスを用いることにより、実際のＩＰアドレスを変更することなくＶＰＮを開始することができる。

そして、クライアント端末１１は、作成した変換アドレステーブルを他のルーティング機器に送信する（Ｓ２１４）。その後、クライアント端末１１、及び変換アドレステーブルを受信した他のルーティング機器は、変換アドレステーブルに基づいて、図１４（ｂ）に示すように、アドレスフィルタ情報記憶部の記憶内容に通信用のＩＰアドレスを追加する。

なお、クライアント端末１１（又は中継サーバ３）は、この追加された通信用のＩＰアドレスをユーザに知らせるために、当該クライアント端末１１が備えるディスプレイ（又は外部の表示装置）に図１５に示す内容を表示することができる。この表示において、通信装置１２の実際のＩＰアドレスを示す欄にハイフンが記されているが、これは、通信用のＩＰアドレスと実際のＩＰアドレスとが同一であることを示している。もちろん、ハイフンに代えてＩＰアドレスを表示させても良いし、通信用のＩＰアドレスと実際のＩＰアドレスとが同一である旨を表示させても良い。また、この表示画面においては、図１５に示す内容に加え、「通信用のＩＰアドレスを使用して通信を行って下さい」という表示を追加しても良い。

なお、Ｓ２１２の判断において、クライアント端末１１以外のルーティング機器は、図６に示すように通信制御を受ける側（終点）として自身が設定された１つ以上のルーティングセッションがあるため、変換アドレステーブルの作成及び送信を行わない。このように、本実施形態では変換アドレステーブルの作成等を行うルーティング機器がただ１つに決まるように定められるので、Ｓ２１２及びＳ２１３の処理が複数実行されることを抑制することができる。

次に、通信用のＩＰアドレスを使用してパケットをルーティングするときの制御について、図１６から図１８までを参照して説明する。図１６は、ルーティングパケットを受信したときにルーティング機器が行う処理を示すフローチャートである。図１７及び図１８は、実際のＩＰアドレスと通信用のＩＰアドレスとを用いて行う通信処理の流れを示す図である。

クライアント端末１１の備えるディスプレイ等によって、通信用のＩＰアドレスが作成された旨の表示を見たユーザは、通信装置等を用いてパケットを送信するときの送信先アドレスとして通信用のＩＰアドレスが使用されるように設定を行う。一方、通信装置等を用いてパケットを送信するときの送信元アドレスとしては、特に変更を行う必要がなく、通信装置等の実際のＩＰアドレスが使用される。

ルーティング機器は、送信元側のルーティングポイントとして機能する場合（Ｓ３０１）、受信したパケット（詳細にはルーティングパケット）についての送信元アドレスの変換が必要か否かを判断する（Ｓ３０２）。ルーティング機器は、このＳ３０２の判断を、当該ルーティング機器に対応する変換アドレステーブルに基づいて行う。具体的には、ルーティング機器は、受信したパケットの送信元アドレス（実際のＩＰアドレス）が通信用のＩＰアドレスと対応付けられているときは、この変換アドレステーブルに基づいて、送信元アドレスを実際のＩＰアドレスから通信用のＩＰアドレスに変換する（Ｓ３０３）。このように、送信元アドレスの変換が必要なパケットを受信したときに、当該パケットの送信元アドレスを変換する処理を以下では送信元アドレス変換処理と称する。

そして、ルーティング機器は、受信したパケットの送信先アドレス（通信用のＩＰアドレス）に記された送信先に対して当該パケットを送信可能なルーティング機器を選択し、ルーティングセッションを介して当該ルーティング機器へパケットを送信する（Ｓ３０４）。なお、Ｓ３０２の判断において、送信元アドレスが通信用のＩＰアドレスと対応付けられていないときは、送信元アドレスの変換を行わずに、適切なルーティング機器へパケットを送信する（Ｓ３０４）。

このように、送信元アドレスの変換は、送信元側のルーティングポイントとして機能するルーティング機器によって行われる。

一方、ルーティング機器は、送信先側のルーティングポイントとして機能する場合（Ｓ３０５）、受信したパケットについての送信先アドレスの変換が必要か否かを判断する（Ｓ３０６）。ルーティング機器は、この判断を、当該ルーティング機器する変換アドレステーブルに基づいて行う。具体的には、ルーティング機器は、受信したパケットの送信先アドレスが通信用のＩＰアドレスであるときは、この変換アドレステーブルに基づいて、送信先アドレスを通信用のＩＰアドレスから実際のＩＰアドレスに変換する（Ｓ３０７）。このように、送信先アドレスの変換が必要なパケットを受信したときに、当該パケットの送信先アドレスを変換する処理を以下では送信先アドレス変換処理と称する。そして、送信先のルーティング対象装置にパケットを送信する（Ｓ３０８）。なお、受信したパケットの送信先アドレスが実際のＩＰアドレスであったときは変換の必要がないため、変換処理を行わずに、送信先のルーティング対象装置にパケットを送信する（Ｓ３０８）。なお、ルーティング機器が、送信元側及び送信先側のルーティングポイントとして機能しない場合は、その他の処理（パケットの破棄等）を行う（Ｓ３０９）。

このように、送信先アドレスの変換は、ルーティング機器が送信元側のルーティングポイントとして機能するルーティング機器によって行われる。

以上のようにして、通信用のＩＰアドレスを用いることにより、実際のＩＰアドレスを変更することなく、ＶＰＮを開始してパケットの送受信を行うことができる。なお、アドレスフィルタ情報に示されたＩＰアドレスに重複があるか否かの判断（Ｓ２１１）は、ＶＰＮの起動時だけでなく、ＶＰＮの起動中に行っても良い。そして、ＶＰＮの起動中に重複を検知した場合においても、上記と同等の制御を行うことにより、ＶＰＮを停止することなく、当該ＶＰＮによるパケットの送受信を継続することができる。

以下、図１３のシーケンス番号９及び１０のように、ファイルサーバ２２から通信装置３２へパケット（詳細にはルーティングパケット）を送信するときにルーティング機器が行う処理と、通信装置３２からファイルサーバ２２へパケットを返信するときにルーティング機器が行う処理と、について具体的に説明する。

初めに、ファイルサーバ２２から通信装置３２へパケットを送信するときについて図１７を参照して説明する。図１７の上段においてパケットは左から右へ順次送られ、そのときのパケットの送信先アドレスの変化が中段に示され、送信元アドレスの変化が下段に示されている。上述のように、ファイルサーバ２２によるパケットの送信時における当該パケットの送信先アドレスは、通信装置３２の通信用のＩＰアドレスとなっている。一方、このパケットの送信元アドレスは、ファイルサーバ２２の実際のＩＰアドレスとなっている。クライアント端末２１は、送信元側のルーティングポイントとして機能するため、受信したパケットについて送信元アドレスの変換が必要か否かを判断する（Ｓ３０２）。ここで、図１４（ｂ）に示すように、ファイルサーバ２２の実際のＩＰアドレスは、通信用のＩＰアドレスと対応付けられているため、クライアント端末２１は、変換アドレステーブルに基づいて、パケットの送信元アドレスを実際のＩＰアドレスから通信用のＩＰアドレスに変換する（Ｓ３０３、送信元アドレス変換処理）。

図１４（ｂ）のアドレスフィルタ情報によれば、通信装置３２の通信用のＩＰアドレスに対してパケットを送信可能なルーティングポイントとして、中継サーバ３が指定されている。従って、クライアント端末２１は、中継サーバ３との間に確立されたルーティングセッションを介してこのパケットを当該中継サーバ３に送信する（Ｓ３０４）。

そして、このパケットを受信した中継サーバ３は、送信元側のルーティングポイントとして機能するため、受信したパケットについて送信先アドレスの変換が必要か否かを判断する（Ｓ３０６）。すると、図１４（ｂ）に示す変換アドレステーブルに基づいて、送信先アドレスが通信装置３２の通信用のＩＰアドレスであることが分かるため、中継サーバ３は、送信先アドレスを通信用のＩＰアドレスから実際のＩＰアドレスに変換する（Ｓ３０７、送信先アドレス変換処理）。そして、送信先の通信装置３２へパケットを送信する（Ｓ３０８）。なお、通信装置３２は、受信したパケットの送信元アドレスから、当該パケットの送信元がファイルサーバ２２であることを検知できる。

次に、通信装置３２からファイルサーバ２２へパケット（詳細にはルーティングパケット）を返信するときについて図１８を参照して説明する。図１８の上段においてパケットは右から左へ順次送られ、そのときのパケットの送信先アドレスの変化が中段に示され、送信元アドレスの変化が下段に示されている。この場合、中継サーバ３が送信元側のルーティングポイントとして機能し、クライアント端末２１が送信先側のルーティングポイントとして機能する。そのため、通信装置３２から返信用のパケットを受信した中継サーバ３は、送信元アドレスの変換が必要か否かを判断し（Ｓ３０２）、送信元アドレスを実際のＩＰアドレスから通信用のＩＰアドレスに変換する（Ｓ３０３、送信元アドレス変換処理）。そして、ルーティングセッションを介してクライアント端末２１にパケットを送信する（Ｓ３０４）。

一方、ルーティングセッションを介して返信用パケットを受信したクライアント端末２１は、送信先アドレスの変換が必要か否かを判断し（Ｓ３０６）、送信先アドレスを通信用のＩＰアドレスから実際のＩＰアドレスに変換する（Ｓ３０７、送信先アドレス変換処理）。そして、ルーティングセッションを介してファイルサーバ２２にパケットを送信する（Ｓ３０８）。

次に、ＶＰＮを終了する処理について図１９を参照して説明する。図１９は、ＶＰＮグループを終了する通信処理を示すシーケンス図である。ユーザは、クライアント端末１１，２１等を操作することによって、ＶＰＮを終了する処理を開始することができる。今回の説明では、ユーザがクライアント端末１１を操作してＶＰＮを終了する処理を開始させたとする。

クライアント端末１１は、ＶＰＮを終了する指示を受け付けると、ＶＰＮグループの識別情報とともにその旨を、クライアント端末２１及び中継サーバ３に対して送信する（シーケンス番号１２，１３、ｓｔｏｐＶｐｎ）。なお、クライアント端末２１及び中継サーバ３は、クライアント端末１１から受信したＶＰＮグループの識別情報によって、どのＶＰＮグループを対象としたＶＰＮが終了されるかを知ることができる。

クライアント端末１１は、ＶＰＮの終了を受け付けた旨の信号をクライアント端末２１及び中継サーバ３から受信した後に、クライアント端末２１に対してルーティングセッションの終了コマンドを送信する（シーケンス番号１４、ｃｌｏｓｅＶｐｎＳｓｎ）。また、クライアント端末１１は、中継サーバ３に対しても、ルーティングセッションの終了コマンドを送信する（シーケンス番号１６、ｃｌｏｓｅＶｐｎＳｓｎ）。

このルーティングセッションの終了コマンドの送信は、クライアント端末２１から中継サーバ３に対しても行われる（シーケンス番号１５、ｃｌｏｓｅＶｐｎＳｓｎ）。以上により、クライアント端末１１とクライアント端末２１の間、クライアント端末１１と中継サーバ３の間、及びクライアント端末２１と中継サーバ３の間に確立されていたルーティングセッションをそれぞれ終了させることができる。そしてＶＰＮグループによるＶＰＮが終了する。

以上に示したように、中継サーバ３は、中継グループ情報記憶部５１と、中継サーバ情報記憶部５２と、ＶＰＮグループ情報記憶部５４と、アドレスフィルタ情報記憶部５５と、通信制御部６３と、を備える。中継グループ情報記憶部５１は、自身（中継サーバ３）との間で相互に接続可能な他の中継サーバ１，２，４を含む中継グループの情報（グループ情報５１１及びグループ構成情報５１２）を記憶する。中継サーバ情報記憶部５２は、中継グループに属する中継サーバ１，２，３，４の起動情報を含むサーバ情報５２１と、中継グループに属する中継サーバ１，２，３，４に接続されるクライアント端末１１，２１，３１，４１の起動情報及び登録情報を含む所属情報５２２と、で構成される中継サーバ情報を記憶する。ＶＰＮグループ情報記憶部５４は、中継グループの情報及び中継サーバ情報に基づいて中継通信システムを構成する通信機器のうちルーティングポイントとして設定された通信機器であるルーティング機器（クライアント端末１１、クライアント端末２１、及び中継サーバ３）で構成され、当該ルーティング機器間に確立されるルーティングセッションを介して仮想プライベートネットワークにより通信を行うＶＰＮグループに関し、当該ＶＰＮグループを構成するルーティング機器の識別情報（ルーティングポイント情報５４２）及び互いに接続されるルーティング機器を示すルーティングセッション情報５４３を記憶する。アドレスフィルタ情報記憶部５５は、パケットの転送先としてルーティング機器が指定可能なルーティング対象装置のアドレスを示すアドレスフィルタ情報を当該ルーティング機器の識別情報と対応付けて記憶する。通信制御部６３は、アドレスフィルタ情報に含まれるアドレスが、同一のＶＰＮグループにおいて重複していることを検知したときに、当該ＶＰＮグループにおいて使用されていないアドレスである通信用のＩＰアドレス（変換アドレス）を当該重複しているアドレスに対応付け、アドレスフィルタ情報に記憶し、当該アドレスフィルタ情報を他のルーティング機器に送信する制御と、アドレスフィルタ情報及び変換アドレスに基づいてルーティングを行う制御と、を行う。

これにより、中継サーバ３は、中継通信システムを構成する他の通信機器（他の中継サーバ及びクライアント端末）から選択されたルーティング機器とＶＰＮを構築できるため、必要な通信機器との間でのみファイルの共有等を行うことができる。また、同一のアドレスが割り当てられているネットワーク同士でＶＰＮを構築した場合においても、実際のアドレスを変更することなく、パケットのルーティングを行うことができる。

また、本実施形態の中継サーバ３において、通信制御部６３は、送信元アドレス変換処理と、送信先アドレス変換処理と、を行う。特に、本実施形態では、中継サーバ３が送信元側のルーティングポイントとして機能する場合に、送信元アドレス変換処理を行い、中継サーバ３が送信先側のルーティングポイントとして機能する場合に、送信先アドレス変換処理を行う。

これにより、送信元アドレス変換処理を行うことで、パケットの送信先に対して、当該パケットの送信元を知らせることができる。また、送信先アドレス変換処理を行うことで、適切な送信先にパケットを送信することができる。

また、本実施形態の中継サーバ３においては、実際のＩＰアドレス及び通信用のＩＰアドレスを、当該アドレスが設定されたルーティング対象装置と対応付けて、外部の表示装置に表示可能である。

これにより、通信用のＩＰアドレスがどのルーティング対象装置と対応付けられているかをユーザに知らせることができる。従って、例えば、送信先アドレスとして通信用のＩＰアドレスを指定するための設定を簡単にすることができる。

また、本実施形態の中継サーバ３において、ＶＰＮグループ情報記憶部５４は、ルーティングセッション情報５４３として、ルーティングセッションを確立するための通信制御を最初に行う側のルーティング機器（始点）の識別情報と、当該通信制御を受ける側のルーティング機器（終点）の識別情報と、を記憶する。自身との間で確立される全てのルーティングセッションにおいて、通信制御を最初に行う側として自身が設定されているときに、通信制御部６３は、通信用のＩＰアドレスを重複しているアドレスに対応付け、当該通信用のＩＰアドレスを他のルーティング機器に送信する制御を行う。

これにより、ＶＰＮグループにおいて、通常、１つのルーティング機器が通信用のＩＰアドレスを作成する制御を行うこととなる。従って、通信用のＩＰアドレスの対応付け等の処理が複数実行されることを防止できる。

次に、第２実施形態について、図２０を参照して説明する。図２０は、第２実施形態においてルーティングパケットを受信したときにルーティング機器が行う処理を示すフローチャートである。なお、図２０で示された処理には、図１６で示された処理と同様の処理が含まれるため、一部の説明を省略又は簡略化する。

上記第１実施形態では、送信元側のルーティングポイントで送信元アドレス変換処理が行われ、送信先側のルーティングポイントで送信先アドレス変換処理が行われる構成である。しかし、送信元アドレス変換処理及び送信先アドレス変換処理を行うタイミングは上記第１実施形態に限定されず、送信元側又は送信先側の何れのルーティングポイントにおいても行うことができる。また、その組み合わせも任意である。以下で説明する第２実施形態では、送信元側のルーティングポイントにおいて、送信元アドレス変換処理だけでなく、送信先アドレス変換処理についても行われる構成である。

つまり、ルーティング機器は、送信元側のルーティングポイントとして機能する場合（Ｓ４０１）、送信先アドレスの変換が必要か否かを判断する（Ｓ４０２）。この判断は、第１実施形態のＳ３０６と同様にして行われる。そして、送信先アドレスの変換が必要であると判断したときに、送信先アドレスを実際のＩＰアドレスに変換する（Ｓ４０３、送信先アドレス変換処理）。次に、ルーティング機器は、第１実施形態と同様にして、送信元アドレス変換処理（Ｓ４０５）を行う。そして、ルーティング機器は、第１実施形態と同様に、アドレスフィルタ情報に基づいてルーティングセッションを選択して、当該ルーティングセッションを介して、適切なルーティング機器へパケットを送信する（Ｓ４０６）。

なお、送信元側のルーティングポイントで送信先アドレスを実際のＩＰアドレスに変換した場合、この実際のＩＰアドレスは他の機器のＩＰアドレスと重複しているため、パケットを適切なルーティング機器へ送信できないように思われる。しかし、送信元側のルーティング機器は、アドレスフィルタ情報に基づいてルーティングセッションを選択することにより、適切なルーティング機器までパケットを送信することができる。従って、本発明の構成では、送信元側のルーティング機器で送信先アドレスを変換した場合でも、適切な送信先にパケットを送信することが可能である。

また、ルーティング機器が送信先側のルーティングポイントとして機能する場合（Ｓ４０７）、受信するパケットの送信先アドレスが必要に応じて既に変換されているため、送信先アドレスを変換するための処理を行わない。

以上に示したように、第２変形例の中継サーバ（詳細には通信制御部６３）は、送信元アドレス変換処理及び送信先アドレス変換処理の両方を行う。通信制御部６３は、ルーティングセッションを介して他のルーティング機器にパケットを送信する。

これにより、送信元側のルーティングポイントにおいて、送信元アドレスの変換だけでなく、送信先アドレスの変換を行うことができる。従って、送信先側のルーティングポイントでのアドレス変換処理を省略することができる。

以上に本発明の好適な実施の形態を説明したが、上記の構成は例えば以下のように変更することができる。

ルーティング機器が割り当てる通信用のＩＰアドレス（変換アドレス）は、ＶＰＮグループにおいて使用されていないＩＰアドレスであれば任意のものを割り当てることができる。

上記の中継グループ情報、中継サーバ情報、クライアント端末情報、ＶＰＮグループ情報、アドレスフィルタ情報等を格納する形式はＸＭＬ形式に限定されず、適宜の形式で各情報を格納することができる。

上記実施形態の構成に代えて、各中継サーバ間での通信に用いられる外部サーバをインターネット上に設置し、ＳＩＰ（Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｉｏｎ Ｐｒｏｔｏｃｏｌ）サーバとしての機能を発揮させて通信を行う構成にしても良い。

１，２，３，４ 中継サーバ
１１，２１，３１，４１ クライアント端末
１０，２０，３０，４０ ＬＡＮ
５０ 記憶部
６０ 制御部
６３ 通信制御部
１００ 中継通信システム

Claims (12)

1. 自身との間で相互に接続可能な他の中継サーバを含む中継グループの情報を記憶する中継グループ情報記憶部と、
   前記中継グループに属する前記中継サーバの起動情報と、前記中継グループに属する前記中継サーバに接続されるクライアント端末の起動情報及び登録情報と、を含む中継サーバ情報を記憶する中継サーバ情報記憶部と、
   前記中継グループの情報及び前記中継サーバ情報に基づいて中継通信システムを構成する通信機器のうちルーティングポイントとして設定された通信機器であるルーティング機器で構成され、当該ルーティング機器間に確立されるルーティングセッションを介して仮想プライベートネットワークにより通信を行うＶＰＮグループに関し、当該ＶＰＮグループを構成する前記ルーティング機器の識別情報及び互いに接続される前記ルーティング機器を示すルーティングセッション情報を記憶するＶＰＮグループ情報記憶部と、
   パケットの転送先として前記ルーティング機器が指定可能なルーティング対象装置のアドレスを示すアドレスフィルタ情報を当該ルーティング機器の識別情報と対応付けて記憶するアドレスフィルタ情報記憶部と、
   複数のＶＰＮグループを作成して、前記ＶＰＮグループ情報記憶部に記憶する制御と、前記ＶＰＮグループ情報記憶部に記憶される複数のＶＰＮグループから、起動するＶＰＮグループが選択されたときに、当該ＶＰＮグループに属するルーティング機器同士で前記アドレスフィルタ情報に含まれるアドレスが、同一のＶＰＮグループにおいて重複しているか否かを判断し、アドレスが重複していることを検知したときに、当該ＶＰＮグループにおいて使用されていないアドレスである変換アドレスを当該重複しているアドレスに対応付けた変換アドレステーブルを作成し、当該変換アドレステーブルを、前記選択されたＶＰＮグループに属する他の前記ルーティング機器に送信する制御と、前記変換アドレステーブルに基づいてルーティングを行う制御と、を行う通信制御部と、
   を備えることを特徴とする中継サーバ。
2. 請求項１に記載の中継サーバであって、
   前記通信制御部は、
   送信元アドレスとして実際のアドレスが指定されたパケットを受信したときに、前記パケットの送信元アドレスを実際のアドレスから前記変換アドレスに変換する送信元アドレス変換処理と、
   送信先アドレスとして前記変換アドレスが指定されたパケットを受信したときに、前記パケットの送信先アドレスを前記変換アドレスから実際のアドレスに変換する送信先アドレス変換処理と、
   のうち少なくとも一方を行うことを特徴とする中継サーバ。
3. 請求項２に記載の中継サーバであって、
   送信元側のルーティングポイントとして機能する場合、前記通信制御部は、前記送信元アドレス変換処理及び前記送信先アドレス変換処理のうち少なくとも一方を行うことを特徴とする中継サーバ。
4. 請求項３に記載の中継サーバであって、
   送信元側のルーティングポイントとして機能する場合、前記通信制御部は、前記送信元アドレス変換処理を行い、ルーティングセッションを介して他の前記ルーティング機器にパケットを送信することを特徴とする中継サーバ。
5. 請求項３に記載の中継サーバであって、
   送信元側のルーティングポイントとして機能する場合、前記通信制御部は、
   前記送信元アドレス変換処理及び前記送信先アドレス変換処理の両方を行い、
   ルーティングセッションを介して他の前記ルーティング機器にパケットを送信することを特徴とする中継サーバ。
6. 請求項２から５までの何れか一項に記載の中継サーバであって、
   送信先側のルーティングポイントとして機能する場合、前記通信制御部は、前記送信元アドレス変換処理及び前記送信先アドレス変換処理のうち送信元側のルーティングポイントにおいて行われていないアドレス変換処理を行うことを特徴とする中継サーバ。
7. 請求項６に記載の中継サーバであって、
   送信先側のルーティングポイントとして機能する場合、前記通信制御部は、前記送信先アドレス変換処理を行ったときは、変換後のアドレスである実際のアドレスに基づいて、パケットを転送することを特徴とする中継サーバ。
8. 請求項１から７までの何れか一項に記載の中継サーバであって、
   実際のアドレス及び前記変換アドレスを、当該アドレスが設定される前記ルーティング対象装置の名称と対応付けて、外部の表示装置に表示可能であることを特徴とする中継サーバ。
9. 請求項１から８までの何れか一項に記載の中継サーバであって、
   前記ＶＰＮグループ情報記憶部は、前記ルーティングセッション情報として、ルーティングセッションを確立するための通信制御を最初に行う側の前記ルーティング機器の識別情報と、当該通信制御を受ける側の前記ルーティング機器の識別情報と、を記憶し、
   自身との間で確立される全てのルーティングセッションにおいて、前記通信制御を最初に行う側として自身が設定されているときに、前記通信制御部は、前記変換アドレスを重複しているアドレスに対応付け、当該変換アドレスを他の前記ルーティング機器に送信する制御を行うことを特徴とする中継サーバ。
10. 複数の中継サーバと、
    前記中継サーバを介して互いに接続可能なクライアント端末と、
    を備え、
    前記中継サーバは、
    当該中継サーバとの間で相互に接続可能な他の中継サーバを含む中継グループの情報を記憶する中継グループ情報記憶部と、
    前記中継グループに属する前記中継サーバの起動情報と、前記クライアント端末の起動情報及び登録情報と、を含む中継サーバ情報を記憶する中継サーバ情報記憶部と、
    前記中継サーバ及び前記クライアント端末のうちルーティングポイントとして設定されたルーティング機器で構成され、当該ルーティング機器間に確立されるルーティングセッションを介して仮想プライベートネットワークにより通信を行うＶＰＮグループに関し、当該ＶＰＮグループを構成する前記ルーティング機器の識別情報及び互いに接続される前記ルーティング機器を示すルーティングセッション情報を記憶するＶＰＮグループ情報記憶部と、
    パケットの転送先として前記ルーティング機器が指定可能なルーティング対象装置を示すアドレスフィルタ情報を当該ルーティング機器の識別情報と対応付けて記憶するアドレスフィルタ情報記憶部と、
    複数のＶＰＮグループを作成して、前記ＶＰＮグループ情報記憶部に記憶する制御と、前記ＶＰＮグループ情報記憶部に記憶される複数のＶＰＮグループから、起動するＶＰＮグループが選択されたときに、当該ＶＰＮグループに属するルーティング機器同士で前記アドレスフィルタ情報に含まれるアドレスが、同一のＶＰＮグループにおいて重複しているか否かを判断し、アドレスが重複していることを検知したときに、当該ＶＰＮグループにおいて使用されていないアドレスである変換アドレスを当該重複しているアドレスに対応付けた変換アドレステーブルを作成し、当該変換アドレステーブルを、前記選択されたＶＰＮグループに属する他の前記ルーティング機器に送信する制御と、変換アドレステーブルに基づいてルーティングを行う制御と、を行う通信制御部と、
    を備えることを特徴とする中継通信システム。
11. 相互に接続可能な中継サーバで構成される中継グループの情報を記憶する中継グループ情報記憶部と、
    前記中継グループに属する前記中継サーバの起動情報と、前記中継グループに属する前記中継サーバに接続されるクライアント端末の起動情報及び登録情報と、を含む中継サーバ情報を記憶する中継サーバ情報記憶部と、
    前記中継グループの情報及び前記中継サーバ情報に基づいて中継通信システムを構成する通信機器のうちルーティングポイントとして設定された通信機器であるルーティング機器で構成され、当該ルーティング機器間に確立されるルーティングセッションを介して仮想プライベートネットワークにより通信を行うＶＰＮグループに関し、当該ＶＰＮグループを構成する前記ルーティング機器の識別情報及び互いに接続される前記ルーティング機器を示すルーティングセッション情報を記憶するＶＰＮグループ情報記憶部と、
    パケットの転送先として前記ルーティング機器が指定可能なルーティング対象装置のアドレスを示すアドレスフィルタ情報を当該ルーティング機器の識別情報と対応付けて記憶するアドレスフィルタ情報記憶部と、
    複数のＶＰＮグループを作成して、前記ＶＰＮグループ情報記憶部に記憶する制御と、前記ＶＰＮグループ情報記憶部に記憶される複数のＶＰＮグループから、起動するＶＰＮグループが選択されたときに、当該ＶＰＮグループに属するルーティング機器同士で前記アドレスフィルタ情報に含まれるアドレスが重複しているか否かを判断し、アドレスが重複していることを検知したときに、当該ＶＰＮグループにおいて使用されていないアドレスである変換アドレスを当該重複しているアドレスに対応付けた変換アドレステーブルを作成し、当該変換アドレステーブルを、前記選択されたＶＰＮグループに属する他の前記ルーティング機器に送信する制御と、前記変換アドレステーブルに基づいてルーティングを行う制御と、を行う通信制御部と、
    を備えることを特徴とするルーティング機器。
12. 複数の中継サーバと、
    前記中継サーバを介して互いに接続可能なクライアント端末と、
    を備え、
    前記中継サーバ及び前記クライアント端末のうちルーティングポイントとして設定されたルーティング機器は、
    相互に接続可能な前記中継サーバで構成される中継グループの情報を記憶する中継グループ情報記憶部と、
    前記中継グループに属する前記中継サーバの起動情報と、前記クライアント端末の起動情報及び登録情報と、を含む中継サーバ情報を記憶する中継サーバ情報記憶部と、
    前記ルーティング機器で構成され、当該ルーティング機器間に確立されるルーティングセッションを介して仮想プライベートネットワークにより通信を行うＶＰＮグループに関し、当該ＶＰＮグループを構成する前記ルーティング機器の識別情報及び互いに接続される前記ルーティング機器を示すルーティングセッション情報を記憶するＶＰＮグループ情報記憶部と、
    パケットの転送先として前記ルーティング機器が指定可能なルーティング対象装置を示すアドレスフィルタ情報を当該ルーティング機器の識別情報と対応付けて記憶するアドレスフィルタ情報記憶部と、
    複数のＶＰＮグループを作成して、前記ＶＰＮグループ情報記憶部に記憶する制御と、前記ＶＰＮグループ情報記憶部に記憶される複数のＶＰＮグループから、起動するＶＰＮグループが選択されたときに、当該ＶＰＮグループに属するルーティング機器同士で前記アドレスフィルタ情報に含まれるアドレスが重複しているか否かを判断し、アドレスが重複していることを検知したときに、当該ＶＰＮグループにおいて使用されていないアドレスである変換アドレスを当該重複しているアドレスに対応付けた変換アドレステーブルを作成し、当該変換アドレステーブルを、前記選択されたＶＰＮグループに属する他の前記ルーティング機器に送信する制御と、前記変換アドレステーブルに基づいてルーティングを行う制御と、を行う通信制御部と、
    を備えることを特徴とする中継通信システム。

Images