JPH1141280A - 通信システム、ｖｐｎ中継装置、記録媒体 - Google Patents

Abstract

(57)【要約】 【課題】 異種のＶＰＮが互換可能な通信システムを提
供する。 【解決手段】 複数のＶＰＮ装置２２Ａ，２２Ｂと、各
ＶＰＮ装置２２Ａ，２２Ｂと協働して通信網上にＶＰＮ
を構築する対応ＶＰＮ装置１５Ｘ，１５Ｙ・・・を具備し
たＶＰＮ管理サーバ１０とを含んで通信システム１を構
成する。ＶＰＮ管理サーバ１０は、電文送信元のＶＰＮ
装置２２Ａとの間に第１ＶＰＮを構築して暗号電文を受
信し、受信した暗号電文に含まれる送信先情報を解読し
て送信先のＶＰＮ装置２２Ｂを特定するとともに、該送
信元のＶＰＮ装置２２Ｂとの間に第２ＶＰＮを構築す
る。そして、受信した暗号電文を第１ＶＰＮ用の暗号鍵
で復号化した後、これを第２ＶＰＮ用の暗号鍵で暗号化
し、第２ＶＰＮを通じてＶＰＮ装置２２Ｂに送信する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、通信網上にＶＰＮ
（Virtual Private Network：仮想専用回線）を構築し
てデータ通信を行う通信システムに関し、特に、ＶＰＮ
を構築するＶＰＮ装置の規格差を吸収する技術に関す
る。

【０００２】

【従来の技術】例えば広域ネットワーク環境を利用した
通信システムでは、不正侵入者に対する機密保護等を考
慮した高信頼のシステム構築及び運用管理が望まれてい
る。ここに広域ネットワーク環境とは、インターネット
等のような広域通信網（ネットワーク）上で送信先経路
を制御するルータを介して通信装置相互間のデータ通信
を行う環境をいう。ルータは、伝送対象電文の先頭に付
加された送信先と送信元のアドレスに基づいて送信先へ
の経路の最適な選択を行う装置である。このようなルー
タをベースにしたネットワークとしては、企業等の組織
内ネットワークや、インターネット・プロバイダのよう
な不特定多数の者に対してネットワーク接続環境を提供
するものもあり、その形態は多様化している。また、電
話やファクシミリ等に代わる低コストの新たな通信手段
として電子メールも定着してきている。このように、今
後、電話等の従来回線をネットワーク環境で代替したシ
ステム構築の要求は、急激に増加する傾向にある。

【０００３】しかし、広域ネットワーク環境下でのデー
タ通信では、第三者によるデータ傍受やデータ改竄が容
易に起こりうるため、セキュリティ面で問題がある。そ
のため、例えばエレクトリックコマースの分野で使用さ
れる電子通貨のように、機密性の高いデータを通信媒体
を用いて伝送しあう場合は、別途、専用回線を敷設する
必要があった。そこで、最近は、データ暗号技術、認証
技術、対象データを隠蔽するカプセル化技術等を応用
し、広域ネットワーク上にＶＰＮを構築してデータ通信
を行う技術が提案されている。

【０００４】図５は、広域ネットワークである公衆網Ｌ
上にＶＰＮを構築してデータ通信を行う従来の通信シス
テムの一例を示す概念図である。この通信システム２
は、データの送受信機能を備えたコンピュータ装置４
０，５０、ＶＰＮ装置４１，５１、ファイアウォール
（ＦＷ）４２，５２、及びルータ４３，５３を具備して
構成される。ＦＷ４２，５２は、外部からの不正なアク
セスに対する保護を特殊なソフトウェアで実現した一種
の障壁であり、公衆網Ｌのような広域ネットワークを使
用する環境においては必須なものとなっている。

【０００５】通信システム４において、コンピュータ装
置４０から遠隔地にある他のコンピュータ装置５０に対
して電文送信を行う場合の手順は以下のようになる。ま
ず、送信元及び送信先のルータ４３，５３間で相互に認
証処理を行い、さらに、送信元及び送信先のＶＰＮ装置
４１，５１間で、暗号鍵の相互交換を行う。そして、送
信元のＶＰＮ装置４１において、送信先のＶＰＮ装置４
１の暗号鍵を用いて電文を暗号化して送信する。一方、
送信先のＶＰＮ装置５１では、暗号化された電文を受信
するとともに、当該電文を送信元のＶＰＮ装置５１の暗
号鍵で復号化してコンピュータ装置５０に転送する。

【０００６】なお、ＶＰＮ装置４１，５１には、他のＶ
ＰＮ装置を相互に確認する認証機能、暗号化のための暗
号鍵交換機能、電文の暗号化・復号化機能のほか、ルー
タとしての機能を具備したものもある。これらの機能
は、メーカによる独自方式、或いは標準化方式によって
実現されている。また、ＶＰＮ装置によっては、暗号鍵
交換機能を有しないものもあり、必ずしも統一された規
格に準拠していないのが現状である。

【０００７】

【発明が解決しようとする課題】ところで、ＶＰＮ装置
４１，５１に具備される認証機能、暗号鍵交換機能、暗
号化・復号化等の各機能における規格等の標準化は進め
られてはいるが、上述のように、現在は、メーカ毎の独
自の規格で各機能が実現されて製品化されているため、
異なるメーカの製品間ではＶＰＮを構築することができ
ない。そのため、例えば既にＶＰＮ装置を導入している
複数の異業種企業が合同のＶＰＮによるネットワーク環
境（以下、ＶＰＮ環境）を構築しようとする場合、同一
メーカの製品を使用すれば問題なくＶＰＮ環境が構築可
能であるが、異なるメーカの製品間では、そのままでは
ＶＰＮ環境の構築は不可能である。

【０００８】そこで本発明の課題は、異種のＶＰＮ装置
を使用してもＶＰＮ環境を構築できる、改良された通信
システムを提供することにある。本発明の他の課題は、
異種のＶＰＮ装置を使用した通信システムにおいて、Ｖ
ＰＮ環境を容易に構築できるＶＰＮ中継装置、及びこの
ＶＰＮ中継装置を汎用のコンピュータ装置で実現するた
めの記録媒体を提供することにある。

【０００９】

【課題を解決するための手段】上記課題を解決する本発
明の通信システムは、それぞれ同一規格の対応ＶＰＮ装
置との協働により通信網上にＶＰＮを構築する複数のＶ
ＰＮ装置と、前記複数のＶＰＮ装置に対応するすべての
対応ＶＰＮ装置を具備したＶＰＮ中継装置とを含み、前
記ＶＰＮ中継装置が、電文送信元のＶＰＮ装置との間に
第１ＶＰＮを構築して暗号電文を受信する手段と、受信
した暗号電文に含まれる送信先情報を解読して送信先の
ＶＰＮ装置を特定するとともに、該送信元のＶＰＮ装置
との間に第２ＶＰＮを構築する手段と、前記受信した暗
号電文を第２ＶＰＮ用の暗号電文に変換して第２ＶＰＮ
に送出する手段とを備えて、各ＶＰＮ装置間の電文送信
の中継を行うように構成されることを特徴とする。

【００１０】なお、前記ＶＰＮ中継装置の前記暗号電文
の入出力インタフェース部分には、ファイアウォールが
介在するようにする。

【００１１】上記他の課題を解決する本発明のＶＰＮ中
継装置は、それぞれ同一規格のＶＰＮ装置との協働によ
り通信網上にＶＰＮを構築する複数の対応ＶＰＮ装置
と、電文送信元となる第１ＶＰＮ装置との間に第１ＶＰ
Ｎ、電文送信先となる第２ＶＰＮ装置との間に第２ＶＰ
Ｎを、それぞれ該当する対応ＶＰＮ装置を用いて構築
し、第１ＶＰＮを通じて受信した第１ＶＰＮ装置からの
暗号電文を第２ＶＰＮ用の暗号電文に変換するととも
に、変換した暗号電文を第２ＶＰＮを通じて第２ＶＰＮ
装置へ送信する経路制御手段と、を有することを特徴と
する。暗号電文の変換は、例えば前記第１ＶＰＮを通じ
て受信した暗号電文を前記第１ＶＰＮ装置の暗号鍵で復
号化し、これにより得られた復号電文を前記第２ＶＰＮ
装置の暗号鍵で暗号化することにより行う。

【００１２】なお、前記複数の対応ＶＰＮ装置は、それ
ぞれ異なる認証手法、暗号鍵の交換手法、及び暗号化手
法に基づいてＶＰＮ装置との間にＶＰＮを構築するもの
であり、前記経路制御手段は、予め用意されたこれらの
対応ＶＰＮ装置から該当する装置を選択して前記第１Ｖ
ＰＮ及び第２ＶＰＮを構築する。

【００１３】上記他の課題を解決する本発明の記録媒体
は、それぞれ対応ＶＰＮ装置との協働により通信網上に
ＶＰＮを構築するＶＰＮ装置に相互通信可能に接続され
たコンピュータ装置が読み取り可能なプログラムを記録
して成る記録媒体であって、前記プログラムが、下記の
処理を当該コンピュータ装置に実行させるものである。 （１）電文送信元となる第１ＶＰＮ装置との間に第１Ｖ
ＰＮを構築して暗号電文を受信する処理、（２）受信し
た暗号電文に含まれる送信先情報を解読して送信先の通
信装置を特定するとともに、該送信先となる第２ＶＰＮ
装置との間に第２ＶＰＮを構築する処理、（３）前記受
信した暗号電文を第２ＶＰＮ用の暗号電文に変換して第
２ＶＰＮに送出する処理。

【００１４】

【発明の実施の形態】以下、本発明を広域ネットワーク
による通信システムに適用した場合の実施の形態を、図
面を参照して詳細に説明する。図１は、本実施形態の通
信システムの機能ブロック図である。この通信システム
１は、電文の送受信を行う複数のクライアント２０Ａ，
２０Ｂと、本発明のＶＰＮ中継装置であるＶＰＮ管理サ
ーバ１０とを公衆網Ｌを介して双方向通信可能に接続さ
れて構成される。各クライアント２０Ａ，２０Ｂは、Ｆ
Ｗ２１Ａ，２１Ｂ及びＶＰＮ装置２２Ａ，２２Ｂを具備
する通信装置である。

【００１５】ＶＰＮ管理サーバ１０は、それぞれ異なる
メーカにより独自の規格で製品化された複数の対応ＶＰ
Ｎ装置１５Ａ，１５Ｂ，・・・１５Ｘ，１５Ｙ（以下、
特定の対応ＶＰＮ装置を指す場合以外は、サフィックス
を除去した符号１５を用いる）が接続された汎用のコン
ピュータ装置と、このコンピュータ装置に読み取られて
実行されたときに、前述のＦＷ１１、ＶＰＮ判定部１
２、ＶＰＮ選択部１３、及びＶＰＮ管理部１４の機能を
実現するコンピュータプログラムとからなる。このコン
ピュータプログラムは、通常、コンピュータ装置の内部
記憶装置あるいは外部記憶装置に格納され、随時読み取
られて実行されるようになっているが、コンピュータ装
置とは分離可能な記録媒体、例えばＣＤ−ＲＯＭやＦＤ
等に格納され、使用時に上記内部記憶装置または外部記
憶装置にインストールされて随時実行に供されるもので
あってもよい。

【００１６】なお、本実施形態において、ＶＰＮ管理サ
ーバ１０及び各クライアント２０は、各々、既存のルー
タに相当する通信制御手段を具備しているものとする。
また、本実施形態において、各対応ＶＰＮ装置１５は、
製品パッケージとして独立に存在し、それぞれ独自の規
格によってＶＰＮ構築機能を発揮する場合と、ＶＰＮ管
理サーバ１０の内部あるいは外部記憶装置に複数且つ異
種のＶＰＮソフトウェア（プログラム）を格納してお
き、該当するＶＰＮソフトウエアが随時読み出されて実
行されることによってＶＰＮ構築機能を発揮する場合の
いずれであってもよい。

【００１７】ＶＰＮ判定部１２は、送信元または送信先
の各ＶＰＮ装置２２Ａ，２２Ｂに対応するサーバ側の対
応ＶＰＮ装置１５が具備されているかどうかを判定する
ものである。ＶＰＮ選択部１３は、ＶＰＮ管理サーバ１
０が具備している複数の対応ＶＰＮ装置１５から、送信
元または送信先のＶＰＮ装置２２Ａ，２２Ｂに対応する
ものを選択するものである。ＶＰＮ管理部１４は、個々
の対応ＶＰＮ装置１５の統括制御、認証処理、その他の
データ管理を行うものである。

【００１８】次に、本実施形態の通信システム１におい
て、クライアント２０Ａ，２０Ｂ間で暗号電文の送受を
行う場合の処理手順を図２を参照して説明する。この例
では、クライアント２０ＡではＶＰＮ装置Ｘ（２２Ａ）
を使用し、クライアント２０Ｂ側では、ＶＰＮ装置Ｘと
規格が異なるＶＰＮ装置Ｙ（２２Ｂ）を使用するものと
する。また、送信対象となる電文に付与されるアドレス
情報には、送信先及び送信元のＶＰＮ装置Ｘ，Ｙ（１５
Ｘ，２２Ａ，２２Ｂ，１５Ｙ）によるアドレス情報が使
用され、電文に付与される元来のアドレス情報及びデー
タは、ＶＰＮ上では暗号化の対象となる。

【００１９】いま、クライアント２０Ａから図３（ａ）
に示すフォーマットの電文がＶＰＮ管理サーバ１０に向
けて送信されたとする（図１の（１））。ＶＰＮ管理サ
ーバ１０は、ＦＷ１１を介して受信した電文をＶＰＮ判
定部１２に送る（ステップＳ１０１）。ＶＰＮ判定部１
２は、この電文に付与されたアドレス情報から、クライ
アント２０ＡのＶＰＮ装置２２Ａと協働してＶＰＮを構
築するための対応ＶＰＮ装置がサーバ内に具備されてい
るか否か、つまり、ＶＰＮ装置Ｘと対になる対応ＶＰＮ
装置Ｘが存在するか否かを判定する（ステップＳ１０
２）。

【００２０】対になる対応ＶＰＮ装置ＸがＶＰＮ管理サ
ーバ１０に具備されている場合は、ＶＰＮ選択部１２
で、複数のＶＰＮ１５から該当するものを選択する。こ
の場合の選択方法としては、具体的には、ＶＰＮ管理サ
ーバ１０に具備されている複数のＶＰＮ装置１５に関す
る情報を予めＶＰＮ選択部１２に保持しておき、当該情
報と電文に付与されるアドレス情報とを比較し、合致す
るものを選択するようにする。本例では、ＶＰＮ装置Ｘ
（２２Ａ）と対になる対応ＶＰＮ装置Ｘ（１５Ｘ）が存
在しているので、これを選択する。この選択情報は、Ｖ
ＰＮ管理部１４に入力される。

【００２１】ＶＰＮ管理部１４は、選択した対応ＶＰＮ
装置１５Ｘを起動させ、ＶＰＮ装置２２Ａとの間にＶＰ
Ｎを構築する（ステップＳ１０２：Yes、Ｓ１０３）。
そして、受信した電文の暗号化部分を、ＶＰＮ装置１５
Ｘの暗号鍵（ＶＰＮ装置２２Ａとの間で交換した暗号
鍵）で復号化し（ステップＳ１０４）、図３（ｂ）のよ
うなフォーマットの復号電文を得る。この復号電文から
元来の送信先のクライアント２０Ｂを特定するととも
に、ＶＰＮ判定部１２でそのクライアントのＶＰＮ装置
Ｙ（２２Ｂ）と対になる対応ＶＰＮ装置ＹがＶＰＮ管理
サーバ１０に具備されているか否かを判定する（ステッ
プＳ１０５）。対になる対応ＶＰＮ装置ＹがＶＰＮ管理
サーバ１０に具備されている場合は、ＶＰＮ選択部１２
で、該当するものを選択し、ＶＰＮ管理部１４がその対
応ＶＰＮ装置Ｙ（１５Ｙ）を起動する（ステップＳ１０
５：Yes、Ｓ１０６）。そして、対応ＶＰＮ装置１５Ｙ
に復号電文を渡して（図１の（２））これを対応ＶＰＮ
装置の暗号鍵（ＶＰＮ装置２２Ｂとの間で交換した暗号
鍵）で暗号化し、さらにこの暗号電文に送信先及び送信
元のアドレス情報を付与してＦＷ１１を介してクライア
ント２０Ｂに送信する（ステップＳ１０７）。このとき
の電文フォーマットは図３（ｃ）に示すとおりである。
これにより、クライアント２０Ｂは、クライアント２０
Ａからの電文を取得することができる。なお、ステップ
Ｓ１０２及びステップＳ１０５において、対応ＶＰＮ装
置Ｘ，ＹがＶＰＮ管理サーバ１０に具備されていない場
合は、送信元のクライアント２０Ａにエラー通知を行う
（ステップＳ１０８）。以上の処理をすべての電文につ
いて繰り返す（ステップＳ１０９）。

【００２２】図４は、本実施形態の通信システム１の概
念図である。通常、ＶＰＮは、通信を行うクライアント
間に直接構築されるが、本実施形態では、図４に示され
るように、複数地点Ａ〜Ｄに存在するクライアントとＶ
ＰＮ管理サーバ１０との間にそれぞれＶＰＮを構築し、
クライアント間の通信は、常にＶＰＮ管理サーバ１０を
経由してこのＶＰＮを通じて行うようにしている。ＶＰ
Ｎ管理サーバ１０は、各地点のクライアント側のＶＰＮ
装置に対応する複数の対応ＶＰＮ装置を具備しており、
各クライアント側のＶＰＮ装置間の規格差は、このＶＰ
Ｎ管理サーバ１０で吸収されるので、送信元のクライア
ントは、送信先のクライアント側のＶＰＮ装置の規格を
意識することなく、電文を送信することが可能になる。

【００２３】このように、本実施形態の通信システム１
では、ＶＰＮ管理サーバ１０が、受信した暗号電文を送
信元のＶＰＮ装置２２Ａと対になる対応ＶＰＮ装置１５
Ｘで復号化するとともに、復号電文を送信先のＶＰＮ装
置２２Ｂと対になる対応ＶＰＮ装置１５Ｙで暗号化して
ＶＰＮ装置２２Ｂに送信するので、異種のＶＰＮ装置間
の認証機能、暗号鍵交換機能、暗号化・復号化機能等の
互換が可能となる。また、対応ＶＰＮ装置によって異な
る暗号鍵を用いた復号化及び暗号化を行うので、機密保
護能力の低下も防止することができる。従って、複数地
点間において異なるメーカのＶＰＮ装置により構築され
た異種ＶＰＮの使用が可能になり、従来の問題点が解消
される。

【００２４】なお、本実施形態では、便宜上、クライア
ント２０Ａからクライアント２０Ｂへ、異なるＶＰＮ装
置Ｘ，Ｙ（２２Ａ，２２Ｂ）を使用して暗号電文を送信
する通信システムの例を説明したが、クライアント２０
Ｂからクライアント２０Ａに暗号電文を送信する場合、
あるいは、各クライアント２０Ａ，２０ＢのＶＰＮ装置
が同一規格の場合も同様の手順で電文送信が可能にな
る。

【００２５】

【発明の効果】以上の説明から明らかなように、本発明
によれば、ＶＰＮ管理サーバにおいて、送信元及び送信
先のＶＰＮ装置との間にＶＰＮが構築する対応ＶＰＮ装
置が選択されて電文送信の中継が行われるので、異種の
ＶＰＮ装置を使用した場合であってもＶＰＮ環境の構築
が可能となる効果がある。

【図面の簡単な説明】

【図１】本発明の一実施形態に係る通信システムの機能
ブロック図。

【図２】ＶＰＮ管理サーバにおける電文中継の手順説明
図。

【図３】（ａ）は送信元のクライアントからＶＰＮ管理
サーバに送信される電文のフォーマット、（ｂ）はＶＰ
Ｎ管理サーバ内で復号された電文のフォーマット、
（ｃ）はＶＰＮ管理サーバから元来の送信先となるクラ
イアントに送信される電文のフォーマットを示す図。

【図４】本実施形態の通信システムにおける動作の概念
説明図。

【図５】ＶＰＮを使用した従来型の通信システムにおけ
る機能ブロック図。

【符号の説明】

１ 通信システム １０ ＶＰＮ管理サーバ １１，２１Ａ，２１Ｂ ファイアウォール（ＦＷ） １２ ＶＰＮ判定部 １３ ＶＰＮ選択部 １４ ＶＰＮ管理部 １５Ａ，１５Ｂ，・・・１５Ｘ，１５Ｙ 対応ＶＰＮ装置 ２０Ａ，２０Ｂ クライアント ２２Ａ，２２Ｂ ＶＰＮ装置

Claims (6)

【特許請求の範囲】
1. 【請求項１】 それぞれ同一規格の対応ＶＰＮ装置との
   協働により通信網上にＶＰＮを構築する複数のＶＰＮ装
   置と、前記複数のＶＰＮ装置に対応するすべての対応Ｖ
   ＰＮ装置を具備したＶＰＮ中継装置とを含み、 前記ＶＰＮ中継装置が、 電文送信元のＶＰＮ装置との間に第１ＶＰＮを構築して
   暗号電文を受信する手段と、受信した暗号電文に含まれ
   る送信先情報を解読して送信先のＶＰＮ装置を特定する
   とともに、該送信元のＶＰＮ装置との間に第２ＶＰＮを
   構築する手段と、前記受信した暗号電文を第２ＶＰＮ用
   の暗号電文に変換して第２ＶＰＮに送出する手段とを備
   えて、各ＶＰＮ装置における電文送信の中継を行うよう
   に構成されていることを特徴とする通信システム。
2. 【請求項２】 前記ＶＰＮ中継装置の前記暗号電文の入
   出力インタフェース部分にファイアウォールが介在する
   ことを特徴とする請求項１記載の通信システム。
3. 【請求項３】 それぞれ同一規格のＶＰＮ装置との協働
   により通信網上にＶＰＮを構築する複数の対応ＶＰＮ装
   置と、 電文送信元となる第１ＶＰＮ装置との間に第１ＶＰＮ、
   電文送信先となる第２ＶＰＮ装置との間に第２ＶＰＮ
   を、それぞれ該当する対応ＶＰＮ装置を用いて構築し、
   第１ＶＰＮを通じて受信した第１ＶＰＮ装置からの暗号
   電文を第２ＶＰＮ用の暗号電文に変換するとともに、変
   換した暗号電文を第２ＶＰＮを通じて第２ＶＰＮ装置へ
   送信する経路制御手段と、 を有することを特徴とするＶＰＮ中継装置。
4. 【請求項４】 前記複数の対応ＶＰＮ装置は、それぞれ
   異なる認証手法、暗号鍵の交換手法、及び暗号化手法に
   基づいてＶＰＮ装置との間にＶＰＮを構築するものであ
   り、前記経路制御手段は、予め用意されたこれらの対応
   ＶＰＮ装置から該当する装置を選択して前記第１ＶＰＮ
   及び第２ＶＰＮを構築することを特徴とする請求項３記
   載のＶＰＮ中継装置。
5. 【請求項５】 前記経路制御手段は、前記第１ＶＰＮを
   通じて受信した暗号電文を前記第１ＶＰＮ装置の暗号鍵
   で復号化し、これにより得られた復号電文を前記第２Ｖ
   ＰＮ装置の暗号鍵で暗号化して第２ＶＰＮへ送出するこ
   とを特徴とする請求項３または４記載のＶＰＮ中継装
   置。
6. 【請求項６】 それぞれ対応ＶＰＮ装置との協働により
   通信網上にＶＰＮを構築するＶＰＮ装置に相互通信可能
   に接続されたコンピュータ装置が読み取り可能なプログ
   ラムを記録して成る記録媒体であって、 前記プログラムが、 電文送信元となる第１ＶＰＮ装置との間に第１ＶＰＮを
   構築して暗号電文を受信する処理、 受信した暗号電文に含まれる送信先情報を解読して送信
   先の通信装置を特定するとともに、該送信先となる第２
   ＶＰＮ装置との間に第２ＶＰＮを構築する処理、及び、 前記受信した暗号電文を第２ＶＰＮ用の暗号電文に変換
   して第２ＶＰＮに送出する処理を前記コンピュータ装置
   に実行させるものであることを特徴とする記録媒体。