JP2009100226A - 通信誘導装置、通信制御サーバ装置及びプログラム - Google Patents

Abstract

【課題】通信の誘導に際し、クライアント端末に常駐プログラムをインストールせず、律速となるサーバの負荷を低減し、可用性を向上させる。
【解決手段】通信誘導装置１００が、ネットワーク３００内で発生するＡＲＰ要求を検知し、当該ＡＲＰ要求の送信元ＩＰアドレスが通信誘導済みでなければ、偽ＡＲＰ応答をＡＲＰ要求の送信元に返信して通信を誘導し、その後、偽ＡＲＰ応答により誘導されてきたＤＮＳ要求に対し、誘導先サーバ装置８００のＩＰアドレスを示すＤＮＳ応答を返信して通信を誘導する。しかる後、誘導先サーバ装置８００の終了通知により、通信の誘導を開放する。このような通信の誘導では、クライアント端末１００に常駐プログラムをインストールしていない。また、クライアント端末１００と誘導先サーバ装置８００との間の通信には通信制御サーバ装置６００が介在しない。よって、上記課題を解決できる。
【選択図】図１

Description

本発明は、通信誘導装置、通信制御サーバ装置及びプログラムに係り、通信の誘導に際し、クライアント端末に常駐プログラムをインストールせず、律速となるサーバの負荷を低減し、可用性を向上し得る通信誘導装置、通信制御サーバ装置及びプログラムに関する。

従来、通信を誘導する手法として、インライン型で通信を取得し、ＮＡＴ（Network Address Translation）やプロキシなどを用いて通信を転送する第１の方法と、通信誘導用の常駐プログラムをクライアントにインストールすることにより、常駐プログラムで、どこに通信すべきかを判断して通信を実施する第２の方法とが知られている。

第１の方法によれば、常にＮＡＴやプロキシなどで指定されるサーバにアクセスする必要があることから、クライアント側でサーバを指定する設定などを実施する手間がかかる。また、常にこれらのサーバを通過することから、サーバ側の処理能力により通信が律速されると共に、サーバに高い負荷がかかるという不都合がある。また、サーバの故障により通信が停止するので、可用性が低いという不都合がある。

第２の方法によれば、クライアント端末に常駐プログラムをインストールすることから、手間がかかると共に、常駐プログラムを管理する必要があるという不都合がある。また、クライアント環境によっては、常駐プログラムによる誘導処理がフィルタリング処理に干渉して稼動しない不都合が生じる場合がある。

なお、本出願と関連する技術として、ＡＲＰ（address resolution protocol）を用い、ネットワーク上のＰＣ（personal computer）からの不正なアクセスを制限する技術が知られている（例えば、特許文献１参照。）。しかしながら、特許文献１記載の技術は、上述した第１及び第２の方法とは異なり、正しい利用者からのアクセスを特定のページへ誘導するようなことはできない。
特開２００４−１８５４９８号公報

以上説明したように、通信を誘導する手法には、クライアント端末に常駐プログラムをインストールすることによる不都合がある。また、クライアント側でサーバを指定する設定を実施する手間がかかる不都合と、通信の律速となるサーバの負荷が高い不都合と、可用性が低い不都合とがある。

本発明は上記実情を考慮してなされたもので、通信の誘導に際し、クライアント端末に常駐プログラムのインストール及びその他の設定を実施せず、律速となるサーバの負荷を低減し、可用性を向上し得る通信誘導装置、通信制御サーバ装置及びプログラムを提供することを目的とする。

第１の発明は、クライアント端末がアクセスする対象のアクセス対象サーバ装置に通信する前に、当該クライアント端末の通信を、通信制御サーバ装置を介して誘導先サーバ装置に誘導するための通信誘導装置であって、通信誘導済みであるクライアント端末を示す通信誘導済端末情報、前記通信制御サーバ装置のＩＰアドレスを示す通信制御サーバ装置情報、並びにクライアント端末と前記誘導先サーバ装置との間の通信を許可して転送するための転送条件情報、を記憶した記憶手段と、ネットワーク内で発生するＡＲＰ要求を検知し、当該ＡＲＰ要求の送信元ＩＰアドレスが前記記憶手段内の通信誘導済端末情報に登録済みかを判定する登録判定手段と、前記登録判定手段による判定の結果、登録済みでない場合には、自装置のＭＡＣアドレスを示す偽ＡＲＰ応答を正規のＡＲＰ応答よりも後に受信されるタイミングで前記ＡＲＰ要求の送信元に返信する手段と、前記偽ＡＲＰ応答により誘導されてきたＤＮＳ要求からアクセス対象サーバ装置のドメイン名と当該ＤＮＳ要求の送信元を示すクライアント端末特定情報とを取り出す手段と、前記取り出されたドメイン名及びクライアント端末特定情報を含む回答要求を生成し、この回答要求を前記記憶手段内の通信制御サーバ装置情報に基づいて送信する手段と、前記通信制御サーバ装置から回答情報を受信し、この回答情報に含まれる前記誘導先サーバ装置のＩＰアドレスを示すＤＮＳ応答を前記ＤＮＳ要求の送信元に送信する手段と、受信したパケットの送信元と宛先に基づいて、前記記憶手段内の転送条件情報に合致するか否かを判定する転送判定手段と、前記転送判定手段による判定の結果、合致していない場合にはパケットを破棄し、合致している場合にはパケットを当該パケットの宛先に転送する手段と、を備えた通信誘導装置である。

第２の発明は、クライアント端末がアクセスする対象のアクセス対象サーバ装置に通信する前に、当該クライアント端末の通信を、通信誘導装置により誘導先サーバ装置に誘導するための通信制御サーバ装置であって、前記誘導先サーバ装置に通信済みであるクライアント端末を示すクライアント端末特定情報、前記誘導先サーバ装置のＩＰアドレスを示す誘導先サーバ装置情報、前記誘導先サーバ装置との通信の実行済み状態情報、及び登録日時情報を互いに関連付けた端末状態管理テーブルを記憶するテーブル記憶手段と、前記誘導先サーバ装置との通信を所定時間内に実行済みという第１条件と、前記第１条件を満たさないときには前記誘導先サーバ装置に通信を誘導するという第２条件とを含むポリシ情報を記憶するポリシ情報記憶手段と、前記通信誘導サーバ装置のＩＰアドレスを示す通信誘導装置情報、及び前記誘導先サーバ装置のＩＰアドレスを示す誘導先サーバ情報を記憶した装置情報記憶手段と、前記アクセス対象サーバ装置のドメイン名を示すＤＮＳ要求及びクライアント端末特定情報を含む回答要求を前記通信誘導装置から受信すると、この回答要求をＤＮＳ要求とクライアント端末特定情報とに分け、この分けたクライアント端末特定情報に基づいて、前記端末状態管理テーブルを検索する手段と、前記検索の結果、該当する実行済み状態情報が無い場合、前記ポリシ情報内の第２条件に基づいて前記誘導先サーバ装置のＩＰアドレスを送出する手段と、前記送出された誘導先サーバ装置のＩＰアドレスを示すＤＮＳ応答を回答情報に整形し、この回答情報を前記通信誘導装置に返信する手段と、前記誘導先サーバ装置から受けた終了通知の送信元ＩＰアドレスに基づいて、前記装置情報記憶手段内の誘導先サーバ装置情報を検索し、当該終了通知の送信元ＩＰアドレスが前記誘導先サーバ装置情報に登録されているか否かを判定する登録判定手段と、前記登録判定手段による判定の結果、登録されていれば、当該終了通知を送出する手段と、前記送出された終了通知に基づいて、前記テーブル記憶手段内の端末状態管理テーブルにクライアント端末特定情報、誘導先サーバ装置情報、実行済み状態情報、登録日時情報を書き込んだ後、当該クライアント端末特定情報を送出する手段と、前記送出されたクライアント端末特定情報に基づいて、前記端末状態管理テーブルを検索し、該当するクライアント端末特定情報、誘導先サーバ装置情報、実行済み状態情報及び登録日時情報を送出する手段と、前記送出されたクライアント端末特定情報、誘導先サーバ装置情報、実行済み状態情報及び登録日時情報に基づいて、前記ポリシ情報記憶手段内のポリシ情報を満たすか否かを判定するポリシ情報判定手段と、前記ポリシ情報判定手段による判定結果がポリシ情報を満たす場合、当該クライアント端末特定情報を対象とする通信誘導開放命令を、前記装置情報記憶手段内の通信誘導装置情報に基づいて通信誘導装置に送信する手段と、を備えた通信制御サーバ装置である。

第１及び第２の発明は、「装置」として表現したが、これに限らず、「方法」、「プログラム」又は「コンピュータ読み取り可能な記憶媒体」として表現することもできる。

（作用）
第１の発明においては、通信誘導装置が、ネットワーク内で発生するＡＲＰ要求を検知し、当該ＡＲＰ要求の送信元ＩＰアドレスが通信誘導済みでなければ、偽ＡＲＰ応答をＡＲＰ要求の送信元に返信して通信を誘導し、その後、偽ＡＲＰ応答により誘導されてきたＤＮＳ要求に対し、誘導先サーバ装置のＩＰアドレスを示すＤＮＳ応答を返信して通信を誘導する。

また、第２の発明においては、通信制御サーバ装置が、通信誘導装置から受信したＤＮＳ要求及びクライアント端末特定情報を含む回答要求に対し、該当する実行済み状態情報が無い場合には誘導先サーバ装置のＩＰアドレスを示すＤＮＳ応答を回答情報として通信誘導装置に返信し、誘導先サーバ装置から受けた終了通知に基づいて、通信誘導開放命令を通信誘導装置に送信する。

このような第１及び第２の発明によれば、通信の誘導に際し、クライアント端末に常駐プログラムをインストールしておらず、設定の変更なども実施していない。また、誘導先サーバ装置のＩＰアドレスを示すＤＮＳ応答を返信した後のクライアント端末と誘導先サーバ装置との間の通信には、通信制御サーバ装置が介在しないので、律速となるサーバの負荷を低減し、可用性を向上することができる。

以上説明したように本発明によれば、通信の誘導に際し、クライアント端末に常駐プログラムのインストール及びその他の設定を実施せず、律速となるサーバの負荷を低減し、可用性を向上できる。

以下、本発明の各実施形態について図面を用いて説明する。なお、以下の各装置は、装置毎に、ハードウェア構成、又はハードウェア資源とソフトウェアとの組合せ構成のいずれでも実施可能となっている。組合せ構成のソフトウェアとしては、予めネットワーク又は記憶媒体から対応する装置のコンピュータにインストールされ、対応する装置の機能を実現させるためのプログラムが用いられる。

（第１の実施形態）
図１は本発明の第１の実施形態に係る通信システムの構成を示す模式図である。この通信システムは、通信誘導装置１００及びクライアント端末２００がネットワーク３００及びデフォルトゲートウェイ装置４００を介して外部ネットワーク５００に接続されている。外部ネットワーク５００には、通信制御サーバ装置６００、アクセス対象サーバ装置７００、誘導先サーバ装置８００及びＤＮＳ（domain name system）サーバ装置９００が接続されている。

ここで、通信誘導装置１００は、図２に示すように、記憶装置１１０、ＡＲＰ要求処理部１２０、転送部１３０、ＤＮＳ要求処理部１４０、サーバ間通信制御部１５０及び通信誘導開放部１６０を備えている。

記憶装置１１０は、各部１２０〜１６０から読出／書込可能な記憶装置であり、通信誘導済端末情報１１１、通信制御サーバ装置情報１１２、転送条件情報１１３を記憶している。なお、記憶装置１１０は、１個の記憶装置の場合に限らず、複数個の記憶装置として各情報１１１〜１１３を各記憶装置に分担して記憶するように実装されてもよい。

通信誘導済端末情報１１１は、通信誘導装置１００により通信誘導済みであるクライアント端末を示す情報であり、その実装の形態は問わない。例えば、図３に示すように、通信誘導済みのクライアント端末のＩＰ（internet protocol）アドレスとＭＡＣ（media access control）アドレスを組み合わせたリストであってもかまわない。

通信制御サーバ装置情報１１２は、通信制御サーバ装置６００に接続するための情報であり、例えば図４に示すように、通信制御サーバ装置６００のＩＰアドレス、通信ポートなどを含んでいる。

転送条件情報１１３は、転送部１３０による転送を許可するための情報であり、例えば図５に示すように、転送を許可する通信のＩＰアドレス、通信ポート、ＴＣＰ／ＵＤＰ種別を含んでいる。具体的には、例えば２者間のＩＰアドレス及びポート、通信の種別がＴＣＰかＵＤＰか等が転送条件情報として記憶されている。この例では、１７２．２４．３０．２又は１７２．２４．３０．５０のＩＰアドレスでＴＣＰ通信されるものは、転送を許可する。また、１７２．２４．３０．１００のＩＰアドレスで５４番ポートを利用してＵＤＰ通信されるものは転送を許可する。この例では、通信制御サーバ装置６００、誘導先サーバ装置８００及びＤＮＳサーバ装置９００への転送が許可されている。

ＡＲＰ要求処理部１２０は、ネットワーク３００内で発生するＡＲＰ要求を検知し、記憶装置１１０内の通信誘導済端末情報１１１に当該ＡＲＰ要求の送信元ＩＰアドレスが登録されているか否かを判断する機能と、登録されていない場合、デフォルトゲートウェイ装置４００への通信に代えて、通信誘導装置１００に通信させるための偽ＡＲＰ応答を生成する機能と、偽ＡＲＰ応答をデフォルトゲートウェイ装置４００のＡＲＰ応答よりも後に受信されるようなタイミングでクライアント端末２００に返信する機能とをもっている。

転送部１３０は、偽ＡＲＰ応答により誘導されてきたＤＮＳ要求を検知し、このＤＮＳ要求をＤＮＳ要求処理部１４０に送出する機能と、受信したパケットの送信元と宛先に基づいて、記憶装置１１０内の転送条件情報１１３に合致するかを判定する機能と、合致していない場合にはパケットを破棄し、合致している場合にはパケットを転送する機能とをもっている。ＤＮＳ要求は、例えば要求パケットの通信プロトコルと接続ポートとから検知可能である。

ＤＮＳ要求処理部１４０は、転送部１３０から受けたＤＮＳ要求からアクセス対象サーバ装置７００のドメイン名と、クライアント端末特定情報とを取り出し、これらアクセス対象サーバ装置７００のドメイン名と、クライアント端末特定情報とをサーバ間通信制御部１５０へ渡す機能と、サーバ間通信制御部１５０から受けたＤＮＳ応答を整形してクライアント端末２００に返信する機能とをもっている。クライアント端末特定情報は、例えば、ＭＡＣアドレスでも、固定ＩＰである場合にはＩＰアドレスでも、事前に渡したトークン情報でも、証明書のような情報でもかまわないが、ここではＩＰアドレスとする。

サーバ間通信制御部１５０は、ＤＮＳ要求処理部１４０から受けたアクセス対象サーバ装置７００のドメイン名と、クライアント端末特定情報とを含む回答要求を生成する機能と、この回答要求を記憶装置１１０内の通信制御サーバ装置情報１１２に基づいて通信制御サーバ装置６００へ送信する機能と、通信制御サーバ装置６００から受けた回答情報内のＤＮＳ応答をＤＮＳ要求処理部１４０に送出する機能とをもっている。

通信誘導開放部１６０は、サーバ間通信制御部１５０が通信制御サーバ装置６００から受信した通信誘導開放命令に基づいて、クライアント端末２００の通信誘導を開放する処理を実行するものである。なお、「開放」の語は、「解除」又は「終了」と読み替えてもよい。「誘導」の語は「制御」と読み替えてもよい。

クライアント端末２００は、利用者が操作する通常のコンピュータ端末であり、ネットワーク３００に接続されている。

ネットワーク３００は、クライアント端末２００及び通信誘導装置１００が位置するネットワークであり、クライアント端末２００からのブロードキャストドメイン内のネットワークである。

デフォルトゲートウェイ装置４００は、両ネットワーク３００，５００を接続するための装置である。

外部ネットワーク５００は、各種サーバ装置４００，６００〜９００及び端末（図示せず）などが接続されるネットワークである。

通信制御サーバ装置６００は、通信誘導装置１００を管理するとともに通信誘導装置１００からの要求に応じて対象のクライアント端末２００を通信制御するものである。具体的には、通信制御サーバ装置６００は、図６に示すように、記憶装置６１０、外部装置間通信制御部６２０、ポリシ制御部６３０、ＤＮＳ要求処理部６４０、端末状態確認部６５０、通信誘導開放部６６０及び誘導先サーバ要求処理部６７０を備えている。

記憶装置６１０は、各部６２０〜６７０から読出／書込可能な記憶装置であり、端末状態管理テーブル６１１、ポリシ情報６１２、通信誘導装置情報６１３及び誘導先サーバ装置情報６１４を記憶している。なお、記憶装置６１０は、１個の記憶装置の場合に限らず、複数個の記憶装置としてこれらのテーブル６１１及び各情報６１２〜６１４を各記憶装置に分担して記憶するように実装されてもよい。

端末状態管理テーブル６１１は、クライアント端末２００のポリシに記述してあるルールの実施状況を管理するものであり、例えば図７に示すように、クライアント端末特定情報、サーバ情報としての送信元ＩＰアドレス（誘導先サーバ装置８００）、実行済み状態情報、登録日時情報を互いに関連付けて記憶している。なお、端末情報管理テーブル６１１内の「サーバ情報」は、送信元ＩＰアドレスが誘導先サーバ装置８００を示す場合には「誘導先サーバ装置情報」に相当し、送信元ＩＰアドレスがアクセス対象サーバ装置７００を示す場合には「アクセス対象サーバ装置情報」に相当する。すなわち、端末情報管理テーブル６１１内の「サーバ情報」は、送信元ＩＰアドレスに応じたサーバ装置情報に相当する。

ポリシ情報６１２は、クライアント端末２００からの通信を誘導先サーバ装置８００に誘導するか否かの判定条件を含んでいる。例えばポリシ情報６１２は、図８に示すように、“１７２．２４．３０．５０”の誘導先サーバ装置８００上のサービスを８時間以内に実行済みか、“１７２．２４．３０．６０”の図示しないサーバ装置上のサービスを８時間以内に実行済み、との第１条件と、この第１条件を満たさないとき（＝サービスを実行していないとき）には“１７２．２４．３０．５０”の誘導先サーバ装置８００に誘導する、との第２条件を含んでいる。ポリシ情報６１２は、全体に対して一つでも、個別のセグメント毎に設定しても構わない。以下では、全体に対して一つのポリシ情報を設定しているものとする。また、「８時間以内」の条件は「所定時間内」の一例であり、他の値の時間に変更してもよく、又は省略してもよい。

通信誘導装置情報６１３は、通信誘導装置１００のＩＰアドレスである。

誘導先サーバ装置情報６１４は、誘導先サーバ装置８００のＩＰアドレスである。

外部装置間通信制御部６２０は、通信誘導装置１００から受けた回答要求をＤＮＳ要求とクライアント端末特定情報とに分けて、ポリシ制御部６３０に渡す機能と、ポリシ制御部６３０から受けたＩＰアドレス“１７２．２４．３０．５０”を含むＤＮＳ応答を回答情報に整形し、この回答情報を通信誘導装置１００に返信する機能と、誘導先サーバ装置８００から受けた終了通知の送信元ＩＰアドレス（誘導先サーバ装置８００）に基づいて、記憶装置６１０内の誘導先サーバ装置情報６１４を検索し、終了通知の送信元ＩＰアドレスが誘導先サーバ装置情報６１４に登録されているかを確かめる機能と、送信元ＩＰアドレスが登録されていれば、誘導先サーバ要求処理部６７０に処理の終了通知をわたす機能と、誘導先サーバ要求処理部６７０から受けた判定結果がポリシ情報を満たさない場合、そのまま処理を終了し、ポリシ情報を満たす場合には通信誘導開放部６６０へクライアント端末特定情報を渡す機能と、通信誘導開放部６６０から受けた（クライアント端末特定情報と同じネットワーク３００を管轄する）通信誘導装置１００のＩＰアドレスに基づいて、クライアント端末特定情報を対象とする通信誘導開放命令を送信する機能とをもっている。なお、外部装置間通信制御部６２０がポリシ制御部６３０から受けるＩＰアドレスは、誘導先サーバ装置８００のＩＰアドレス“１７２．２４．３０．５０”に限らず、アクセス対象サーバ装置４００のＩＰアドレス“１７２．２４．３０．１００”の場合もある。この場合については第２の実施形態で詳細に述べる。

ポリシ制御部６３０は、外部装置間通信制御部６２０と、誘導先サーバ要求処理部６７０と、からの要求により動作する制御部であって、入力情報として、クライアント端末特定情報を必須とし、ＤＮＳ要求を伴っていても良い。ポリシ制御部６３０は、入力されたクライアント端末特定情報からポリシ情報を判断して、端末のポリシの合致度合いを判断し、名前解決の要求を伴う場合には、合致している場合にはＤＮＳ要求処理部６４０と連携して、名前解決を実施して、正しい解答を返し、合致していない場合には、ポリシ情報６１２に記述されている誘導先サーバ装置のＩＰアドレスを返すものである。

具体的には、ポリシ制御部６３０は、外部装置間通信制御部６２０からＤＮＳ要求及びクライアント端末特定情報を受けると、記憶装置６１０からクライアント端末２００へ適用すべきポリシ情報６１２を取得する機能と、この取得に平行して、クライアント端末２００の状態を取得するために、端末状態確認部６５０にクライアント端末特定情報を渡す機能と、端末状態確認部６５０から実行済み状態情報無しの応答を受けると、ポリシ情報６１２に基づいて、ポリシ情報６１２に指定された誘導先サーバ装置８００のＩＰアドレスを外部装置間通信制御部６２０へ送出する機能と、誘導先サーバ要求処理部６７０から受けたクライアント端末特定情報を端末状態確認部６５０に送出する機能と、端末状態確認部６５０から受けたクライアント端末特定情報、送信元ＩＰアドレス（誘導先サーバ装置８００）、実行済み状態情報、登録日時情報に基づいて、ポリシ情報を満たすか否かを判定する機能と、また、ＤＮＳ要求を取得していないので、この判定結果のみを誘導先サーバ要求処理部６７０へ返す機能とをもっている。

ＤＮＳ要求処理部６４０は、ポリシ制御部６３０から受けた（クライアント端末２００から受信した）ＤＮＳ要求をＤＮＳ要求フォーマットに変更し、ＤＮＳサーバ装置９００に問い合わせる機能と、ＤＮＳサーバ装置９００から受けたＤＮＳ応答内のアクセス対象サーバ装置７００のＩＰアドレスをポリシ制御部６３０へ戻す機能とをもっている。なお、ＤＮＳ要求処理部６４０の動作は第２の実施形態で説明する。

端末状態確認部６５０は、ＤＮＳ要求を送信したクライアント端末２００の状態（ポリシを適合状態など）を管理するものであり、ポリシ制御部６３０から受けたクライアント端末特定情報に基づいて、記憶装置６１０内の端末状態管理テーブル６１１を検索する機能と、クライアント端末特定情報に関係する実行済み状態情報が無い場合、実行済み状態情報が無いという応答をポリシ制御部６３０に返す機能と、クライアント端末特定情報に関係する実行済み状態情報がある場合、端末状態管理テーブル６１１に基づき、該当するクライアント端末特定情報、送信元ＩＰアドレス（誘導先サーバ装置８００）、実行済み状態情報、登録日時情報（ＳＴ１８で書き込まれた情報）をポリシ制御部６３０に返す機能とをもっている。

通信誘導開放部６６０は、外部装置間通信制御部６２０から受けたクライアント端末特定情報に基づいて、記憶装置６１０内の通信誘導装置情報６１３を検索し、該当する通信誘導装置１００のＩＰアドレスを外部装置間通信制御部６２０に返す機能をもっている。

誘導先サーバ要求処理部６７０は、外部装置間通信制御部６２０から受けた（誘導先サーバ装置８００から受けた）処理の終了通知に基づいて、記憶装置６１０内の端末状態管理テーブル６１１に、クライアント端末特定情報、サーバ情報としての送信元ＩＰアドレス（誘導先サーバ装置８００）、実行済み状態情報、登録日時情報を書き込む機能と、この後、クライアント端末特定情報のみをポリシ制御部６３０にわたす機能と、ポリシ制御部６３０から受けた判定結果を外部装置間通信制御部６２０へ戻す機能とをもっている。

アクセス対象サーバ装置７００は、クライアントがクライアント端末２００によりアクセスしたい任意のサーバ装置である。

誘導先サーバ装置８００は、ポリシ情報に記述されて通信誘導装置１００がクライアント端末２００を誘導した際に、クライアントに対してサービスを実施するサーバ装置であって、サービスの終了時には、サービスの実施の結果と、サービスを提供した端末を特定するクライアント端末特定情報を通信制御サーバ装置６００に送信する機能をもっている。サービスはｈｔｔｐ（hypertext transfer protocol）やｆｔｐ（file transfer protocol）、アプリケーションによるサービスなど通信を伴うものであれば、そのサービスは何でも良い。

ＤＮＳサーバ装置９００は、ドメインネームサーバであり、ドメイン名に対するＤＮＳ要求を受けると、当該ドメイン名に対応するＩＰアドレスを含むＤＮＳ応答を返信するものである。

次に、以上のように構成された通信システムの動作について図９のシーケンス図を用いて説明する。

（システムの前提条件）
システム環境としては、図１０に示すように、クライアント端末２００が属するネットワーク３００と、クライアント端末２００がアクセスしようとするアクセス対象サーバ装置７００が属する外部ネットワーク５００とに分離されており、両ネットワーク３００，５００を基幹ＬＡＮ（local area network）が接続している環境を例に挙げて述べる。

ネットワーク３００のネットワークアドレスを１７２．２４．２４．０／２４とし、外部ネットワーク５００のネットワークアドレスを１７２．２４．３０．０／２４とする。

クライアント端末２００のＩＰアドレスを１７２．２４．２４．５０とし、ＭＡＣアドレスを００：００：０８：００：００：０１とする。

デフォルトゲートウェイ装置４００のＩＰアドレスを１７２．２４．２４．２５４とし、ＭＡＣアドレスを００：００：０９：００：００：０１とする。

通信制御サーバ装置６００のＩＰアドレスを１７２．２４．３０．２とする。

誘導先サーバ装置８００のＩＰアドレスを１７２．２４．３０．５０とする。

アクセス対象サーバ装置７００のアドレスを１７２．２４．３０．１００とする。アクセス対象サーバ装置７００はＨＴＴＰサービスを実施しているものとする。

（システム動作のトリガー）
いま、クライアント端末２００がＷｅｂブラウザを開き、アクセス対象サーバ装置７００に接続しようとしている状況を考える。Ｗｅｂブラウザ上には、ＵＲＬ（uniform resource identifier）が入力されているものとし、ＵＲＬ上におけるホスト指定部分にはＤＮＳベースの名前情報（以下、ドメイン名という）が入力されているものとする。

クライアント端末２００においては、アクセス対象サーバ装置７００のドメイン名からＩＰアドレスを得るために、名前解決を実施する。すなわち、クライアント端末２００は、システム上で予め指定されたＤＮＳサーバ装置９００に接続し、名前解決を要求する。但し、ＤＮＳサーバ装置９００は、クライアント端末２００とは異なるブロードキャストドメイン（セグメント）上に存在する。このため、クライアント端末２００は、始めに、デフォルトゲートウェイ装置４００に接続し、このデフォルトゲートウェイ装置４００を通してＤＮＳサーバ装置９００への接続を確立しようとする。

ここで、クライアント端末２００は、デフォルトゲートウェイ装置４００のＥｔｈｅｒアドレス（ＭＡＣアドレス）を解決するために、デフォルトゲートウェイ装置４００のＩＰアドレスを含むＡＲＰ要求をブロードキャスト通信により送信する（ＳＴ１）。ＡＲＰ要求はブロードキャスト通信であるために、デフォルトゲートウェイ装置４００に限らず、通信誘導装置１００も検知可能である。

デフォルトゲートウェイ装置４００は、ＡＲＰ要求を検知してＡＲＰ応答をクライアント端末２００に返信する（ＳＴ２）。このデフォルトゲートウェイ装置４００のＡＲＰ応答は、正規のＡＲＰ応答である。

一方、通信誘導装置１００においては、ＡＲＰ要求を検知したＡＲＰ要求処理部１２０が記憶装置１１０内の通信誘導済端末情報１１１に当該ＡＲＰ要求の送信元ＩＰアドレスが登録されているか否かを判断する。

登録されていない場合、ＡＲＰ要求処理部１２０は、この通信を妨害するため、デフォルトゲートウェイ装置４００への通信に代えて、通信誘導装置１００に通信させるための偽ＡＲＰ応答を生成する。

具体的には、ＡＲＰ要求処理部１２０は、ＡＲＰ要求から送信元のＩＰアドレスとＭＡＣアドレス、宛先のＩＰアドレスを抽出する。宛先のＭＡＣアドレスは無視する。続いて、ＡＲＰ要求処理部１２０は、送信元に対しては、宛先のＩＰアドレスに対応するＭＡＣアドレスを自ＭＡＣアドレス（通信誘導装置１００自身のＭＡＣアドレス）とするため、宛先に対しては、送信元のＩＰアドレスに対応するＭＡＣアドレスを自ＭＡＣアドレス（通信誘導装置１００自身のＭＡＣアドレス）として偽ＡＲＰ応答を生成する。

また、ＡＲＰ要求処理部１２０は、偽ＡＲＰ応答をデフォルトゲートウェイ装置４００のＡＲＰ応答よりも後に受信されるタイミングでクライアント端末２００に返信する（ＳＴ３）。

クライアント端末２００においては、ステップＳＴ２のＡＲＰ応答と、ステップＳＴ３の偽ＡＲＰ応答とをＡＲＰテーブルに書き込むが、後書きが優先されるため、ＡＲＰテーブルが偽ＡＲＰ応答に書き換えられる。

クライアント端末２００は、偽ＡＲＰ応答により通信が妨害されたため、通信誘導装置１００をデフォルトゲートウェイ装置４００だと勘違いして、アクセス対象サーバ装置７００のドメイン名に対するＤＮＳ要求を通信誘導装置１００に送信する（ＳＴ４）。

通信誘導装置１００では、このＤＮＳ要求を転送部１３０が受信する。転送部１３０では、はじめの段階で（転送前であればいつでも良い）ＤＮＳ要求を検知し、ＤＮＳ要求のパケットをＤＮＳ要求処理部１４０へ渡す。検知の手法は、任意であるが、例えば「ＵＤＰの５３番ポートへの接続」などで判断しても良い。

ＤＮＳ要求処理部１４０は、このＤＮＳ要求を解析し（ＳＴ５）、アクセス対象サーバ装置７００のドメイン名を取り出す。この後、アクセス対象サーバ装置７００のドメイン名と、クライアント端末特定情報とをサーバ間通信制御部１５０へ渡す。クライアント端末特定情報は、例えば、ＭＡＣアドレスでも、固定ＩＰである場合にはＩＰアドレスでも、事前に渡したトークン情報でも、証明書のような情報でも、通信制御サーバ装置６００とすでに合意している個別端末を認識できる情報であればかまわない。

サーバ間通信制御部１５０は、アクセス対象サーバ装置７００のドメイン名と、クライアント端末特定情報とに基づいて、所定のフォーマットの回答要求を生成する。この回答要求は、アクセス対象サーバ装置７００のドメイン名に対するＤＮＳ要求及びクライアント端末特定情報を含んでいる。

しかる後、サーバ間通信制御部１５０は、記憶装置１１０内の通信制御サーバ装置情報１１２に基づいて、回答要求を転送部１３０を介して通信制御サーバ装置６００へ送信し（ＳＴ６）、応答を待つ。

通信制御サーバ装置６００は、この回答要求を、外部装置間通信制御部６２０で受信し、ＤＮＳ要求とクライアント端末特定情報とに分けて、ポリシ制御部６３０へ渡す。

ポリシ制御部６３０は、ＤＮＳ要求及びクライアント端末特定情報を受けると、記憶装置６１０からクライアント端末２００へ適用すべきポリシ情報６１２を取得する。これに平行して、ポリシ制御部６３０は、クライアント端末２００の状態を取得するために、端末状態確認部６５０にクライアント端末特定情報を渡す。

端末状態確認部６５０では、クライアント端末特定情報に基づいて、記憶装置６１０内の端末状態管理テーブル６１１を検索する。今回の場合には、まだ、クライアント端末特定情報に関係する実行済み状態情報が無いものとする。このため、端末状態確認部６５０では、実行済み状態情報が無いという応答をポリシ制御部６３０に返す（ＳＴ７）。

ポリシ制御部６３０では、この応答と、ポリシ情報６１２とに基づいて、ＤＮＳ応答を生成する。

ここで、ポリシ情報６１２においては、“１７２．２４．３０．５０”の誘導先サーバ装置８００上のサービスを８時間以内に実行済みか、“１７２．２４．３０．６０”の図示しないサーバ装置上のサービスを８時間以内に実行済み、との第１条件が記載されている。また、ポリシ情報６１２においては、サービスを実行していないとき、“１７２．２４．３０．５０”の誘導先サーバ装置８００に誘導する、との第２条件が記載されている。

従って、ポリシ制御部６３０は、実行済み状態情報が無い（＝サービスを実行していない）という応答なので、ポリシ情報６１２に指定された誘導先サーバ装置８００のＩＰアドレス“１７２．２４．３０．５０”をＤＮＳ応答として外部装置間通信制御部６２０へ送出する（ＳＴ８）。なお、８時間以内に実行済みの場合には、第２の実施形態に述べるように、ＤＮＳサーバ装置９００にＤＮＳ要求を送り、クライアント端末２００の通信誘導を開放し、ＤＮＳサーバ装置９００のＤＮＳ応答をクライアント端末２００に送ることになる。

外部装置間通信制御部６２０は、ポリシ制御部６３０から受けたＤＮＳ応答を所定のフォーマットに従って回答情報に整形し、この回答情報を通信誘導装置１００に返信する（ＳＴ９）。このとき用いられる通信が、ＴＣＰであれば、セッションに応答が結び付けられるので、応答に先に受信した端末を特定するための情報やセッションＩＤなどを添付する処理は必ずしも必要ないが、セッションレスなＵＤＰ等を使用した場合には、このような情報を添付する処理が必要である。

サーバ間通信制御部１５０は、この回答情報を受け取ると、この回答情報を要求した回答要求に関連付けて回答情報内のＤＮＳ応答を取り出してＤＮＳ要求に関連付けた応答をＤＮＳ要求処理部１４０に送出する。

ＤＮＳ要求処理部１４０では、この応答をＤＮＳ応答に整形し、クライアント端末２００に返信する（ＳＴ１０）。

クライアント端末２００では、ＤＮＳ応答内の誘導先サーバ装置８００のＩＰアドレスを基にＨｔｔｐ要求を作成し、誘導先サーバ装置８００に送信する。このとき、ＤＮＳ要求と同じようにデフォルトゲートウェイ装置４００への通信は、通信誘導装置１００へと送信されることになる（ＳＴ１１）。

通信誘導装置１００は、このＨｔｔｐ要求を転送部１３０で受信する。転送部１３０では、受信したパケットの送信元と宛先を見て、記憶装置１１０内の転送条件情報１１３に合致するかを判断する（ＳＴ１２）。

転送部１３０は、合致していない場合にはパケットを破棄し、合致している場合にはパケットを転送する。今回の場合、誘導先サーバ装置８００が転送先に指定されており、これが転送条件情報に記述されているものとする。転送されたパケットは、デフォルトゲートウェイ装置４００を通過して、接続先の誘導先サーバ装置８００へ送信される。

この後、クライアント端末２００は誘導先サーバ装置８００との間で通信を実行し、誘導先サーバ装置８００との間で所定の処理を行う（ＳＴ１３〜ＳＴ１６）。

所定の処理が終了すると、誘導先サーバ装置８００は、処理の終了通知を通信制御サーバ装置６００に送信する（ＳＴ１７）。このとき、処理の終了通知には、クライアント端末特定情報を含める。

通信制御サーバ装置６００は、処理の終了通知を外部装置間通信制御部６２０で受信する。外部装置間通信制御部６２０では、この終了通知の送信元ＩＰアドレス（誘導先サーバ装置８００）に基づいて、記憶装置６１０内の誘導先サーバ装置情報６１４を検索し、終了通知の送信元ＩＰアドレスが誘導先サーバ装置情報６１４に登録されているかを確かめる。送信元ＩＰアドレスが登録されていれば、誘導先サーバ要求処理部６７０に処理の終了通知をわたす。

誘導先サーバ要求処理部６７０では、処理の終了通知に基づいて、記憶装置６１０内の端末状態管理テーブル６１１に、クライアント端末特定情報、サーバ情報としての送信元ＩＰアドレス（誘導先サーバ装置８００）、実行済み状態情報、登録日時情報を書き込む（ＳＴ１８）。この後、クライアント端末特定情報のみをポリシ制御部６３０にわたす。

ポリシ制御部６３０では、このクライアント端末特定情報を端末状態確認部６５０に送出する。端末状態確認部６５０は、このクライアント端末特定情報に基づいて、記憶装置６１０内の端末状態管理テーブル６１１を検索し、該当するクライアント端末特定情報、送信元ＩＰアドレス（誘導先サーバ装置８００）、実行済み状態情報、登録日時情報（ＳＴ１８で書き込まれた情報）をポリシ制御部６３０に返す。

ポリシ制御部６３０は、これらクライアント端末特定情報、送信元ＩＰアドレス（誘導先サーバ装置８００）、実行済み状態情報、登録日時情報に基づいて、ポリシ情報を満たすか否かを判定する（ＳＴ１９）。

また、ポリシ制御部６３０は、クライアント端末２００からＤＮＳ要求を受けていないので、ステップＳＴ１９の判定結果のみを誘導先サーバ要求処理部６７０へ返す。

誘導先サーバ要求処理部６７０は、外部装置間通信制御部６２０へステップＳＴ１９の判定結果をそのまま戻す。

外部装置間通信制御部６２０は、ステップＳＴ１９の判定結果がポリシ情報を満たさない場合、そのまま処理を終了し、ポリシ情報を満たす場合には通信誘導開放部６６０へクライアント端末特定情報を渡す。

通信誘導開放部６６０は、クライアント端末特定情報に基づいて、記憶装置６１０内の通信誘導装置情報６１３を検索し、該当する通信誘導装置１００のＩＰアドレスを外部装置間通信制御部６２０に返す。

外部装置間通信制御部６２０は、この通信誘導装置１００のＩＰアドレスに基づいて、クライアント端末特定情報を含めた通信誘導開放命令を通信誘導装置１００に送信する（ＳＴ２０）。

通信誘導装置１００は、通信誘導開放命令をサーバ間通信制御部１５０で受信する。サーバ間通信制御部１５０は、この通信誘導開放命令内のクライアント端末特定情報を通信誘導開放部１６０に送出する。

通信誘導開放部１６０では、クライアント端末特定情報に基づいて、クライアント端末２００を示す端末情報を記憶装置１１０内の通信誘導済端末情報１１１に追加して書き込む。

しかる後、通信誘導開放部１６０は、クライアント端末２００に対し、通信誘導を開放させるための動作を実行する（ＳＴ２１）。これは、例えば、本実施形態の場合であればクライアント端末２００のＡＲＰテーブルが偽ＡＲＰ応答（通信誘導装置１００のＭＡＣアドレス）により汚染されているので、このＡＲＰテーブルを正しい情報（デフォルトゲートウェイ装置４００のＭＡＣアドレス）に書き換えてもかまわないし、追加ソフトウェアが必要になるが、クライアント端末２００にモジュールを入れておき、クライアント端末２００内の通信誘導によって発生した情報を消去する形でもかまわない。

クライアント端末２００は、これにより通信誘導から開放され、普通の通信が可能となる（ＳＴ２２，ＳＴ２３）。

上述したように本実施形態によれば、通信誘導装置１００が、ネットワーク３００内で発生するＡＲＰ要求を検知し、当該ＡＲＰ要求の送信元ＩＰアドレスが通信誘導済みでなければ、偽ＡＲＰ応答をＡＲＰ要求の送信元に返信して通信を誘導し、その後、偽ＡＲＰ応答により誘導されてきたＤＮＳ要求に対し、誘導先サーバ装置８００のＩＰアドレスを示すＤＮＳ応答を返信して通信を誘導する。しかる後、誘導先サーバ装置８００の終了通知により、これら通信の誘導を開放する。

一方、通信制御サーバ装置６００では、通信誘導装置１００から受信したＤＮＳ要求及びクライアント端末特定情報を含む回答要求に対し、該当する実行済み状態情報が無い場合には誘導先サーバ装置８００のＩＰアドレスを示すＤＮＳ応答を回答情報として通信誘導装置に返信し、誘導先サーバ装置８００から受けた終了通知に基づいて、通信誘導開放命令を通信誘導装置１００に送信する。

このような通信の誘導においては、クライアント端末１００に常駐プログラムをインストールしておらず、設定の変更なども実施していない。また、誘導先サーバ装置８００のＩＰアドレスを示すＤＮＳ応答を返信した後のクライアント端末１００と誘導先サーバ装置８００との間の通信には、通信制御サーバ装置６００が介在しないので、律速となるサーバの負荷を低減し、可用性を向上することができる。

言い換えると、本実施形態によれば、通信プロトコルを用いて通信を収集し、かつ、通信の発生時に発生する名前解決要求の応答をダイナミックに変化させることにより、通信の誘導を実現することができる。

また、誘導する必要がなくなった場合には、収集をやめることによって通信をバイパスさせ、通信制御を行う装置が故障しても、通信が止まることを回避することができる。

また、本実施形態によれば、本出願の出願時点で未公開先願である特願２００６−１６８１９１の図８に示すＨＴＴＰ通信横取り処理（Ｓ５４：クライアント端末からのＴＣＰセッション、Ｓ５５：通信制御装置によるＴＣＰジャック、Ｓ５６：クライアント端末からのＨＴＴＰリクエスト、Ｓ５７：通信制御装置からのリダイレクト用のページ返送）のような高い負荷で複雑な処理を実行せずに、通信を誘導することができる。

（第２の実施形態）
次に、本発明の第２の実施形態について図１１のシーケンス図を用いて説明する。
図１１は第１の実施形態の動作の変形例を示すシーケンス図である。すなわち、本実施形態は、前述した通信システムにおいて、クライアント端末２００が通信制御サーバ装置６００のポリシ情報６１２を満たしている場合に、通信誘導装置１００がクライアント端末２００の通信を通信制御サーバ装置６００に転送した場合の動作に関する。

この動作は、クライアント端末２００がポリシ情報６１２を満たすにもかかわらず、通信誘導装置１００の通信誘導済端末情報１１１に書き込まれていない場合、発生する。

図１１中、ステップＳＴ１〜ＳＴ６までの動作は、図９に述べた動作と同様である。

ステップＳＴ６の後、通信制御サーバ装置６００は、通信誘導装置１００から送信された回答要求を、外部装置間通信制御部６２０で受信し、アクセス対象サーバ装置７００のドメイン名に対するＤＮＳ要求とクライアント端末特定情報とに分けて、ポリシ制御部６３０へ渡す。外部装置間通信制御部６２０では、クライアント端末２００の情報を保持しておく。

ポリシ制御部６３０は、ＤＮＳ要求及びクライアント端末特定情報を受けると、記憶装置６１０からポリシ情報６１２を取得する。これに平行して、ポリシ制御部６３０は、クライアント端末２００の状態を取得するために、端末状態確認部６５０にクライアント端末特定情報を渡す。

端末状態確認部６５０では、クライアント端末特定情報に基づいて、記憶装置６１０内の端末状態管理テーブル６１１を検索する。今回の場合は、クライアント端末２００がポリシ情報６１２を満たしている場合を想定している。よって、端末状態確認部６５０は、端末状態管理テーブル６１１に基づき、該当するクライアント端末特定情報、送信元ＩＰアドレス（誘導先サーバ装置８００）、実行済み状態情報、登録日時情報（ＳＴ１８で書き込まれた情報）をポリシ制御部６３０に返す（ＳＴ３１）。

ポリシ制御部６３０は、これらクライアント端末特定情報、送信元ＩＰアドレス（誘導先サーバ装置８００）、実行済み状態情報、登録日時情報に基づいて、ポリシ情報を満たすか否かを判定する（ＳＴ３２）。

ポリシ制御部６３０は、ポリシ情報６１２を満たしている場合には、ＤＮＳ要求処理部６４０にクライアント端末２００から受信したＤＮＳ要求を渡す（ＳＴ３２）。

ＤＮＳ要求処理部６４０は、受け取ったＤＮＳ要求をＤＮＳ要求フォーマットに変更し、ＤＮＳサーバ装置９００に問い合わせる（ＳＴ３３）。

ＤＮＳサーバ装置９００は、このアクセス対象サーバ装置７００のドメイン名に対するＤＮＳ要求に対し、アクセス対象サーバ装置７００のＩＰアドレス“１７２．２４．３０．１００”を含む正しいＤＮＳ応答を返す（ＳＴ３４）。

ＤＮＳ要求処理部６４０は、このＤＮＳ応答内のアクセス対象サーバ装置７００のＩＰアドレスをポリシ制御部６３０へ戻す。

ポリシ制御部６３０は、ステップＳＴ３２の判定結果と、アクセス対象サーバ装置７００のＩＰアドレスとを外部装置間通信制御部６２０に返す。

外部装置間通信制御部６２０は、ステップＳＴ３２の判定結果がポリシ情報６１２を満たす場合、通信誘導開放部６６０へクライアント端末特定情報を渡す。

通信誘導開放部６６０は、クライアント端末特定情報に基づいて、記憶装置６１０内の通信誘導装置情報６１３を検索し、該当する通信誘導装置１００のＩＰアドレスを外部装置間通信制御部６２０に返す。

外部装置間通信制御部６２０は、この通信誘導装置１００のＩＰアドレスに基づいて、クライアント端末特定情報を対象とする通信誘導開放命令を送信する（ＳＴ３５）。

通信誘導装置１００は、通信誘導開放命令をサーバ間通信制御部１５０で受信する。サーバ間通信制御部１５０は、この通信誘導開放命令内のクライアント端末特定情報を通信誘導開放部１６０に送出する。

通信誘導開放部１６０では、クライアント端末特定情報に基づいて、記憶装置１１０内の通信誘導済端末情報１１１にクライアント端末２００の端末情報を追加して書き込む。しかる後、通信誘導開放部１６０は、クライアント端末２００に対し、通信誘導を開放させるための動作を実行する（ＳＴ３６）。なお、ステップＳＴ３５〜ＳＴ３６は、前述したステップＳＴ２０〜ＳＴ２１と同様の処理である。

ステップＳＴ３６の後、外部装置間通信制御部６２０は、ステップＳＴ３４で受けたＤＮＳ応答におけるアクセス対象サーバ装置７００のＩＰアドレスを所定のフォーマットに従って回答情報に整形し、この回答情報を通信誘導装置１００に返信する（ＳＴ３７）。

サーバ間通信制御部１５０は、この回答情報に含まれるアクセス対象サーバ装置７００のＩＰアドレスをＤＮＳ要求処理部１４０に送出する。

ＤＮＳ要求処理部１４０では、このアクセス対象サーバ装置７００のＩＰアドレスをＤＮＳ応答として整形し、クライアント端末２００に送信する（ＳＴ３８）。クライアント端末２００では、このＤＮＳ応答内のアクセス対象サーバ装置７００のＩＰアドレスに基づいてＨｔｔｐ要求をアクセス対象サーバ装置７００に送信し、サービスを受けることができる（ＳＴ３９）。

上述したように本実施形態によれば、第１の実施形態の効果に加え、クライアント端末２００がポリシ情報６１２を満たすにもかかわらず、通信誘導装置１００の通信誘導済端末情報１１１に書き込まれておらず、通信誘導装置１００がクライアント端末２００の通信を通信制御サーバ装置６００に転送した場合であっても、通信制御サーバ装置６００が、クライアント端末２００がポリシ情報６１２を満たすことを確認し、通信誘導装置１００による通信の誘導を開放することができる。

なお、上記実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。

また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。

また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が上記実施形態を実現するための各処理の一部を実行しても良い。

さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。

また、記憶媒体は１つに限らず、複数の媒体から上記実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。

尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、上記実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。

また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。

なお、本願発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。更に、異なる実施形態に亘る構成要素を適宜組合せてもよい。

本発明の第１の実施形態に係る通信システムの構成を示す模式図である。 同実施形態における通信誘導装置の構成を示す模式図である。 同実施形態における通信制御用端末情報を説明するための模式図である。 同実施形態における通信制御サーバ装置情報を説明するための模式図である。 同実施形態における転送条件情報を説明するための模式図である。 同実施形態における通信制御サーバ装置の構成を示す模式図である。 同実施形態における端末状態管理テーブルを説明するための模式図である。 同実施形態におけるポリシ情報を説明するための模式図である。 同実施形態における動作を説明するためのシーケンス図である。 同実施形態におけるシステム環境を説明するための模式図である。 本発明の第２の実施形態に係る通信システムの動作を説明するためのシーケンス図である。

符号の説明

１００…通信誘導装置、１１０，６１０…記憶装置、１１１…通信誘導済端末情報、１１２…通信制御サーバ装置情報、１１３…転送条件情報、１２０…ＡＲＰ要求処理部、１３０…転送部、１４０…ＤＮＳ要求処理部、１５０…サーバ間通信制御部、１６０，６６０…通信誘導開放部、２００…クライアント端末、３００，５００…ネットワーク、４００…デフォルトゲートウェイ装置、６００…通信制御サーバ装置、６１１…端末状態管理テーブル、６１２…ポリシ情報、６１３…通信誘導装置情報、６１４…誘導先サーバ装置情報、６２０…外部装置間通信制御部、６３０…ポリシ制御部、６４０…ＤＮＳ要求処理部、６５０…端末状態確認部、６７０…誘導先サーバ要求処理部、７００…アクセス対象サーバ装置、８００…誘導先サーバ装置、９００…ＤＮＳサーバ装置。

Claims (6)

1. クライアント端末がアクセスする対象のアクセス対象サーバ装置に通信する前に、当該クライアント端末の通信を、通信制御サーバ装置を介して誘導先サーバ装置に誘導するための通信誘導装置であって、
   通信誘導済みであるクライアント端末を示す通信誘導済端末情報、前記通信制御サーバ装置のＩＰアドレスを示す通信制御サーバ装置情報、並びにクライアント端末と前記誘導先サーバ装置との間の通信を許可して転送するための転送条件情報、を記憶した記憶手段と、
   ネットワーク内で発生するＡＲＰ要求を検知し、当該ＡＲＰ要求の送信元ＩＰアドレスが前記記憶手段内の通信誘導済端末情報に登録済みかを判定する登録判定手段と、
   前記登録判定手段による判定の結果、登録済みでない場合には、自装置のＭＡＣアドレスを示す偽ＡＲＰ応答を正規のＡＲＰ応答よりも後に受信されるタイミングで前記ＡＲＰ要求の送信元に返信する手段と、
   前記偽ＡＲＰ応答により誘導されてきたＤＮＳ要求からアクセス対象サーバ装置のドメイン名と当該ＤＮＳ要求の送信元を示すクライアント端末特定情報とを取り出す手段と、
   前記取り出されたドメイン名及びクライアント端末特定情報を含む回答要求を生成し、この回答要求を前記記憶手段内の通信制御サーバ装置情報に基づいて送信する手段と、
   前記通信制御サーバ装置から回答情報を受信し、この回答情報に含まれる前記誘導先サーバ装置のＩＰアドレスを示すＤＮＳ応答を前記ＤＮＳ要求の送信元に送信する手段と、
   受信したパケットの送信元と宛先に基づいて、前記記憶手段内の転送条件情報に合致するか否かを判定する転送判定手段と、
   前記転送判定手段による判定の結果、合致していない場合にはパケットを破棄し、合致している場合にはパケットを当該パケットの宛先に転送する手段と、
   を備えたことを特徴とする通信誘導装置。
2. 請求項１に記載の通信誘導装置において、
   前記誘導先サーバ装置から終了通知を受けた前記通信制御サーバ装置により送信された通信誘導開放命令を受信すると、前記通信誘導開放命令内のクライアント端末特定情報に基づいて、クライアント端末を示す端末情報を前記記憶手段内の通信誘導済端末情報に追加登録する手段と、
   前記追加登録の後、当該クライアント端末のＡＲＰテーブル内の前記自装置のＭＡＣアドレスを、前記正規のＡＲＰ応答が示すＭＡＣアドレスに書き換えることにより、前記通信誘導を開放する手段と、
   を備えたことを特徴とする通信誘導装置。
3. クライアント端末がアクセスする対象のアクセス対象サーバ装置に通信する前に、当該クライアント端末の通信を、通信誘導装置により誘導先サーバ装置に誘導するための通信制御サーバ装置であって、
   前記誘導先サーバ装置に通信済みであるクライアント端末を示すクライアント端末特定情報、前記誘導先サーバ装置のＩＰアドレスを示す誘導先サーバ装置情報、前記誘導先サーバ装置との通信の実行済み状態情報、及び登録日時情報を互いに関連付けた端末状態管理テーブルを記憶するテーブル記憶手段と、
   前記誘導先サーバ装置との通信を所定時間内に実行済みという第１条件と、前記第１条件を満たさないときには前記誘導先サーバ装置に通信を誘導するという第２条件とを含むポリシ情報を記憶するポリシ情報記憶手段と、
   前記通信誘導装置のＩＰアドレスを示す通信誘導装置情報、及び前記誘導先サーバ装置のＩＰアドレスを示す誘導先サーバ装置情報を記憶した装置情報記憶手段と、
   前記アクセス対象サーバ装置のドメイン名を示すＤＮＳ要求及びクライアント端末特定情報を含む回答要求を前記通信誘導装置から受信すると、この回答要求をＤＮＳ要求とクライアント端末特定情報とに分け、この分けたクライアント端末特定情報に基づいて、前記端末状態管理テーブルを検索する手段と、
   前記検索の結果、該当する実行済み状態情報が無い場合、前記ポリシ情報内の第２条件に基づいて前記誘導先サーバ装置のＩＰアドレスを送出する手段と、
   前記送出された誘導先サーバ装置のＩＰアドレスを示すＤＮＳ応答を回答情報に整形し、この回答情報を前記通信誘導装置に返信する手段と、
   前記誘導先サーバ装置から受けた終了通知の送信元ＩＰアドレスに基づいて、前記装置情報記憶手段内の誘導先サーバ装置情報を検索し、当該終了通知の送信元ＩＰアドレスが前記誘導先サーバ装置情報に登録されているか否かを判定する登録判定手段と、
   前記登録判定手段による判定の結果、登録されていれば、当該終了通知を送出する手段と、
   前記送出された終了通知に基づいて、前記テーブル記憶手段内の端末状態管理テーブルにクライアント端末特定情報、誘導先サーバ装置情報、実行済み状態情報、登録日時情報を書き込んだ後、当該クライアント端末特定情報を送出する手段と、
   前記送出されたクライアント端末特定情報に基づいて、前記端末状態管理テーブルを検索し、該当するクライアント端末特定情報、誘導先サーバ装置情報、実行済み状態情報及び登録日時情報を送出する手段と、
   前記送出されたクライアント端末特定情報、誘導先サーバ装置情報、実行済み状態情報及び登録日時情報に基づいて、前記ポリシ情報記憶手段内のポリシ情報を満たすか否かを判定するポリシ情報判定手段と、
   前記ポリシ情報判定手段による判定結果がポリシ情報を満たす場合、当該クライアント端末特定情報を対象とする通信誘導開放命令を、前記装置情報記憶手段内の通信誘導装置情報に基づいて通信誘導装置に送信する手段と、
   を備えたことを特徴とする通信制御サーバ装置。
4. クライアント端末がアクセスする対象のアクセス対象サーバ装置に通信する前に、当該クライアント端末の通信を、通信制御サーバ装置を介して誘導先サーバ装置に誘導するためのコンピュータであり且つ記憶手段を備えた通信誘導装置に対し、前記通信誘導装置に用いられるプログラムであって、
   前記通信誘導装置を、
   通信誘導済みであるクライアント端末を示す通信誘導済端末情報、前記通信制御サーバ装置のＩＰアドレスを示す通信制御サーバ装置情報、並びにクライアント端末と前記誘導先サーバ装置との間の通信を許可して転送するための転送条件情報、を前記記憶手段に書き込む手段、
   ネットワーク内で発生するＡＲＰ要求を検知し、当該ＡＲＰ要求の送信元ＩＰアドレスが前記記憶手段内の通信誘導済端末情報に登録済みかを判定する登録判定手段、
   前記登録判定手段による判定の結果、登録済みでない場合には、自装置のＭＡＣアドレスを示す偽ＡＲＰ応答を正規のＡＲＰ応答よりも後に受信されるタイミングで前記ＡＲＰ要求の送信元に返信する手段、
   前記偽ＡＲＰ応答により誘導されてきたＤＮＳ要求からアクセス対象サーバ装置のドメイン名と当該ＤＮＳ要求の送信元を示すクライアント端末特定情報とを取り出す手段、
   前記取り出されたドメイン名及びクライアント端末特定情報を含む回答要求を生成し、この回答要求を前記記憶手段内の通信制御サーバ装置情報に基づいて送信する手段、
   前記通信制御サーバ装置から回答情報を受信し、この回答情報に含まれる前記誘導先サーバ装置のＩＰアドレスを示すＤＮＳ応答を前記ＤＮＳ要求の送信元に送信する手段と、
   受信したパケットの送信元と宛先に基づいて、前記記憶手段内の転送条件情報に合致するか否かを判定する転送判定手段、
   前記転送判定手段による判定の結果、合致していない場合にはパケットを破棄し、合致している場合にはパケットを当該パケットの宛先に転送する手段、
   として機能させるためのプログラム。
5. 請求項４に記載のプログラムにおいて、
   前記通信誘導装置を、
   前記誘導先サーバ装置から終了通知を受けた前記通信制御サーバ装置により送信された通信誘導開放命令を受信すると、前記通信誘導開放命令内のクライアント端末特定情報に基づいて、クライアント端末を示す端末情報を前記記憶手段内の通信誘導済端末情報に追加登録する手段、
   前記追加登録の後、当該クライアント端末のＡＲＰテーブル内の前記自装置のＭＡＣアドレスを、前記正規のＡＲＰ応答が示すＭＡＣアドレスに書き換えることにより、前記通信誘導を開放する手段、
   として更に機能させるためのプログラム。
6. クライアント端末がアクセスする対象のアクセス対象サーバ装置に通信する前に、当該クライアント端末の通信を、通信誘導装置により誘導先サーバ装置に誘導するためのコンピュータであり且つテーブル記憶手段、ポリシ情報記憶手段及び装置情報記憶手段を備えた通信制御サーバ装置に対し、前記通信制御サーバ装置に用いられるプログラムであって、
   前記通信制御サーバ装置を、
   前記誘導先サーバ装置に通信済みであるクライアント端末を示すクライアント端末特定情報、前記誘導先サーバ装置のＩＰアドレスを示す誘導先サーバ装置情報、前記誘導先サーバ装置との通信の実行済み状態情報、及び登録日時情報を互いに関連付けた端末状態管理テーブルを前記テーブル記憶手段に書き込む手段、
   前記誘導先サーバ装置との通信を所定時間内に実行済みという第１条件と、前記第１条件を満たさないときには前記誘導先サーバ装置に通信を誘導するという第２条件とを含むポリシ情報を前記ポリシ情報記憶手段に書き込む手段、
   前記通信誘導装置のＩＰアドレスを示す通信誘導装置情報、及び前記誘導先サーバ装置のＩＰアドレスを示す誘導先サーバ装置情報を前記装置情報記憶手段に書き込む手段、
   前記アクセス対象サーバ装置のドメイン名を示すＤＮＳ要求及びクライアント端末特定情報を含む回答要求を前記通信誘導装置から受信すると、この回答要求をＤＮＳ要求とクライアント端末特定情報とに分け、この分けたクライアント端末特定情報に基づいて、前記端末状態管理テーブルを検索する手段、
   前記検索の結果、該当する実行済み状態情報が無い場合、前記ポリシ情報内の第２条件に基づいて前記誘導先サーバ装置のＩＰアドレスを送出する手段、
   前記送出された誘導先サーバ装置のＩＰアドレスを示すＤＮＳ応答を回答情報に整形し、この回答情報を前記通信誘導装置に返信する手段、
   前記誘導先サーバ装置から受けた終了通知の送信元ＩＰアドレスに基づいて、前記装置情報記憶手段内の誘導先サーバ装置情報を検索し、当該終了通知の送信元ＩＰアドレスが前記誘導先サーバ装置情報に登録されているか否かを判定する登録判定手段、
   前記登録判定手段による判定の結果、登録されていれば、当該終了通知を送出する手段、
   前記送出された終了通知に基づいて、前記テーブル記憶手段内の端末状態管理テーブルにクライアント端末特定情報、誘導先サーバ装置情報、実行済み状態情報、登録日時情報を書き込んだ後、当該クライアント端末特定情報を送出する手段、
   前記送出されたクライアント端末特定情報に基づいて、前記端末状態管理テーブルを検索し、該当するクライアント端末特定情報、誘導先サーバ装置情報、実行済み状態情報及び登録日時情報を送出する手段、
   前記送出されたクライアント端末特定情報、誘導先サーバ装置情報、実行済み状態情報及び登録日時情報に基づいて、前記ポリシ情報記憶手段内のポリシ情報を満たすか否かを判定するポリシ情報判定手段、
   前記ポリシ情報判定手段による判定結果がポリシ情報を満たす場合、当該クライアント端末特定情報を対象とする通信誘導開放命令を、前記装置情報記憶手段内の通信誘導装置情報に基づいて通信誘導装置に送信する手段、
   として機能させるためのプログラム。

Images