JP5504940B2

JP5504940B2 - 仮想プライベートネットワークシステム、通信方法及びコンピュータプログラム

Info

Publication number: JP5504940B2
Application number: JP2010024696A
Authority: JP
Inventors: 雄司横山
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2010-02-05
Filing date: 2010-02-05
Publication date: 2014-05-28
Anticipated expiration: 2030-02-05
Also published as: JP2011166312A

Description

本発明は、ＶＰＮ（Virtual Private Network：仮想プライベートネットワーク）システムに関する。

中継サーバを使用したＶＰＮシステムの一例が、特許文献１に記載されている。図１８は、特許文献１に開示されたシステムに関連するＶＰＮシステムの構成図である。図１８に示されるように、このＶＰＮシステムに含まれるネットワークは、インターネットＲ１と、第１ネットワークＲ２と、第２ネットワークＲ４とである。また、第２ネットワークとインターネットＲ１との間にはルータＲ５（ＮＡＴ機能付き）が設置され、インターネットＲ１と第１ネットワークＲ２との間にはファイアウォールＲ３（ＮＡＴ機能付き）が設置される。第１ネットワークＲ２は、ファイアウォールＲ３及びハブＲ２４（ＨＵＢ）を介して接続された、インターネットＲ１側とのＶＰＮ接続用の認証機能を有するＶＰＮサーバＲ２１と、業務サーバＲ２３と、メールサーバＲ２９を備える。インターネットＲ１は、メールサーバＲ１０と、中継サーバＲ１１とを備える。第２ネットワークＲ４は、通信端末Ｒ４１を備える。

このような構成を有する図１８のＶＰＮシステムは次のように動作する。まず、通信端末Ｒ４１が接続情報要求を中継サーバＲ１１へ送信する。中継サーバＲ１１は、接続を一意に識別するための情報（識別情報）を、通信端末Ｒ４１に送信する。すると、通信端末Ｒ４１は、ＴＣＰコネクションを中継サーバＲ１１へ張る。次に、通信端末Ｒ４１は、制御メールを、ＶＰＮサーバＲ２１に対して予め設定されているメールアドレス宛てに送信する。制御メールは、まずメールサーバＲ１０に送信され、メールサーバＲ１０からメールサーバＲ２９へ転送される。制御メールには、ＶＰＮ接続要求の識別情報を含が含まれる。通信端末Ｒ４１は、例えば、制御メールのヘッダ部分に、ＶＰＮ接続要求の識別情報を埋め込んでも良い。このように識別情報が含められることによって、制御メールと通常の電子メールとの識別が可能となる。さらに、中継サーバＲ１１のＩＰアドレス、中継サーバＲ１１から取得した接続を一意に識別するための情報等、第１ネットワークＲ２側から通信端末Ｒ４１に対してＶＰＮ接続を行う為に必要な情報が制御メールに付加される。

ＶＰＮサーバＲ２１は、定期的にメールサーバＲ２９にアクセスし、自己宛電子メールが到達しているか否かを問い合わせる。自己宛電子メールが到達している場合、ＶＰＮサーバＲ２１は、当該電子メールを取り込み、制御メールか否かを判別する。自己宛電子メールが制御メールである場合、ＶＰＮサーバＲ２１の制御メール受信アプリケーションは、メールサーバＲ２９に対し、当該制御メールを削除するよう命令する。また、制御メール受信アプリケーションは、中継サーバＲ１１に対しＴＣＰコネクションを確立し、一意に識別するための情報を含めた接続完了メッセージを送信する。中継サーバＲ１１は、ＶＰＮサーバＲ２１からの接続完了メッセージに含まれる識別情報と、通信端末Ｒ４１との間の識別情報とに基づいて、双方からのＴＣＰコネクションを結びつける。そして、中継サーバＲ１１は、接続完了メッセージを通信端末Ｒ４１へ送信する。通信端末Ｒ４１は、中継サーバＲ１１を介してＶＰＮサーバＲ２１と暗号化情報を交換する。そして、通信端末Ｒ４１は、この暗号化情報を用いて、ユーザＩＤやパスワードを暗号化し、ＶＰＮサーバＲ２１に送信する。以上の処理によって、通信端末Ｒ４１とＶＰＮサーバＲ２１との間でＶＰＮ接続が確立する。ＶＰＮ接続が確立すると、第２ネットワークＲ４にある通信端末Ｒ４１は、ＶＰＮサーバＲ２１を経由して、第１ネットワークＲ１内にある業務サーバＲ２３に対してアクセスすることが可能になる。

上記方式の利点は、ＶＰＮコネクションが、第１ネットワークＲ２にあるＶＰＮサーバＲ２１からインターネットＲ１にある中継サーバＲ１１への方向で確立されることである。すなわち、このようにＶＰＮコネクションが確立されるため、既存のファイアウォールＲ３の設定を変更することなく、ＶＰＮシステムを導入できることにある。しかしながら、メールサーバＲ１０及びメールサーバＲ２９は既存のものを使用できるために導入しやすいという利点はあるものの、制御メールの伝送には遅延が生じることがある。そのため、ＶＰＮ接続が完了するまでに時間がかかることがあった。そこで、接続要求の転送を、メールを利用した手段ではなく、中継サーバＲ１１を利用するようにしたシステムが考案され、商品化された。

図１９は、中継サーバＲ１１を利用してＶＰＮコネクションを確立するためのＶＰＮシステムの構成図である。図１９に示されるＶＰＮシステムに含まれるネットワークは、インターネットＲ１と、第１ネットワークＲ２と、第２ネットワークＲ４とである。また、第２ネットワークＲ４とインターネットＲ１との間にはルータＲ５（ＮＡＴ機能付き）が設置され、インターネットＲ１と第１ネットワークＲ２との間にはファイアウォールＲ３（ＮＡＴ機能付き）が設置される。第１ネットワークＲ２は、ファイアウォールＲ３及びハブＲ２４（ＨＵＢ）を介して接続された、インターネットＲ１側とのＶＰＮ接続用の認証機能を有するＶＰＮサーバＲ２１と、業務サーバＲ２３と、を備える。インターネットＲ１は、中継サーバＲ１１を備える。第２ネットワークＲ４は、通信端末Ｒ４１を備える。

以下、図１９のＶＰＮシステムの動作について説明する。図２０は、図１９のＶＰＮシステムにおけるＶＰＮサーバＲ２１と中継サーバＲ１１との間の通信の概略を示す図である。第１ネットワークＲ２の外部から、第１ネットワークＲ２内にあるＶＰＮサーバＲ２１に対して接続要求を届けるためには、通常、ファイアウォールＲ３の設定を変更しなければならない。この設定変更を不要にするため、図１９のＶＰＮシステムでは、第１ネットワークＲ２にあるＶＰＮサーバＲ２１から、インターネットＲ１にある中継サーバＲ１１に対してコネクション（図２０の常設コネクション）を張っておく。すなわち、この常設コネクションは、接続要求の転送用のコネクションとなる。そして、中継サーバＲ１１は、常設コネクションを通して、通信端末Ｒ４１からの接続要求をＶＰＮサーバＲ２１へ転送する。

中継サーバＲ１１は、４４３番ポートで接続を待ち受ける。ＶＰＮサーバＲ２１には、予め中継サーバＲ１１のＩＰアドレスが設定されている。ＶＰＮサーバＲ２１は、起動すると、中継サーバＲ１１へＴＣＰ接続で４４３ポート宛にコネクション（常設コネクション）を張る。常設コネクションが確立されると、ＶＰＮサーバＲ２１は、通信が可能であるか否かを確認するため、定期的に生存確認メッセージを中継サーバＲ１１へ常設コネクションを通して送信する。中継サーバＲ１１は、生存確認メッセージを受信すると、生存確認応答を、送信元のＶＰＮサーバＲ２１へ常設コネクションを通して送信する。ＶＰＮサーバＲ２１は、生存確認メッセージの送信に連続して失敗した場合、または送信は成功したものの中継サーバＲ１１からの応答（生存確認応答）が受信されなかった場合は、中継サーバＲ１１に対して常設コネクションを張り直す。

図２１は、図１９のＶＰＮシステムにおけるＶＰＮ接続（ＶＰＮコネクション）の確立処理の概略を示す図である。まず、通信端末Ｒ４１は、中継サーバＲ１１へ接続要求メッセージ送信用の第１ＴＣＰコネクションを確立する。通信端末Ｒ４１は、ＶＰＮサーバＲ２１からＶＰＮコネクションを張るために必要な情報（例えばクライアント識別情報など）を含んだ接続要求メッセージを作成する。そして、通信端末Ｒ４１は、中継サーバＲ１１に対し、接続要求メッセージを、第１ＴＣＰコネクションを通して送信する。この第１ＴＣＰコネクションが、従来のメールの代替になるものである。また、通信端末Ｒ４１は、ＶＰＮ接続用の第２ＴＣＰコネクションも中継サーバＲ１１に対して張る。中継サーバＲ１１は、第１ＴＣＰコネクションを通して接続要求メッセージを受信すると、受信した接続要求メッセージを、常設コネクションを通してＶＰＮサーバＲ２１へ転送する。ＶＰＮサーバＲ２１は、接続要求メッセージを受信すると、中継サーバＲ１１へ個別コネクションを張る。そして、中継サーバＲ１１は、第２ＴＣＰコネクションと個別コネクションとを利用して、通信端末Ｒ４１からＶＰＮサーバＲ２１へのＶＰＮコネクションを確立する。

図２２は、図１９のＶＰＮシステムに関連する他のＶＰＮシステムの構成図である。図２２のＶＰＮシステムでは、第２ネットワークＲ４に複数の通信端末Ｒ４１（Ｒ４１−１及びＲ４１−２）が接続され、それぞれがＶＰＮサーバＲ２１に接続されている。ＶＰＮでは、ＶＰＮサーバ／クライアント間で通信するすべてのデータは暗号化／復号化される。通信端末Ｒ４１から業務サーバＲ２８（Ｒ２８−１又はＲ２８−２）へデータが送信される場合、通信端末Ｒ４１にインストールしてあるＶＰＮ用アプリケーションがデータを暗号化して送信する。送信されたデータは、ＶＰＮサーバＲ２１によって復号化されてから、第１ネットワークＲ２にある宛先の業務サーバＲ２８へ送信される。逆に、第１ネットワークＲ２にある業務サーバＲ２８から通信端末Ｒ４１へデータが送信される場合、まず業務サーバＲ２８がＶＰＮサーバＲ２１へデータを送信する。ＶＰＮサーバＲ２１は、データを暗号化してから、通信端末Ｒ４１へ送信する。そして、通信端末Ｒ４１にインストールしてあるＶＰＮ用アプリケーションが、データの復号化を行う。

特開２００８−０２８９９６号公報

同時にＶＰＮ接続している通信端末Ｒ４１の台数が多くなると、ＶＰＮサーバＲ２１には通信の暗号化／復号化の処理のために大きな負荷がかかる。そのため、ＶＰＮサーバＲ２１における暗号化／復号化処理が、ＶＰＮ通信のボトルネックになってしまうという問題があった。また、ＶＰＮサーバＲ２１に接続されているＬＡＮの容量を多数のＶＰＮクライアント（通信端末Ｒ４１）で共有することになるため、１台の通信端末Ｒ４１当たりの通信容量が抑えられてしまうという問題もあった。

上記事情に鑑み、本発明は、上記のようなＶＰＮ通信におけるボトルネックの発生を軽減できる技術を提供することを目的としている。

本発明の一態様は、複数台の仮想プライベートネットワークサーバと、仮想プライベートネットワーククライアントからの接続要求に応じて前記仮想プライベートネットワークサーバと前記仮想プライベートネットワーククライアントとの間の通信路を確立する中継サーバと、を備える仮想プライベートネットワークシステムであって、前記仮想プライベートネットワークサーバは、自装置の負荷状況を取得し、前記負荷状況を前記中継サーバへ通知する通知部、を備え、前記中継サーバは、前記負荷状況を前記仮想プライベートネットワークサーバ毎に記憶する記憶部と、前記負荷状況の通知を受けると、前記記憶部に記憶される負荷状況を更新する更新部と、前記仮想プライベートネットワーククライアントから接続要求を受信すると、前記記憶部に記憶される負荷状況に応じて、前記仮想プライベートネットワーククライアント１台当たりのネットワーク利用帯域が最大の前記仮想プライベートネットワークサーバを選択し、選択された前記仮想プライベートネットワークサーバと前記仮想プライベートネットワーククライアントとの間の通信路を確立する接続部と、を備え、前記仮想プライベートネットワークサーバは、自装置と前記中継サーバとの間に第一通信路を確立する第一通信路確立部と、前記第一通信路を用いて前記中継サーバから接続要求を受信すると、自装置と前記中継サーバとの間に第二通信路を確立する第二通信路確立部と、をさらに備え、前記通知部は、前記第一通信路を用いて、前記負荷状況を前記中継サーバへ通知し、前記中継サーバの前記接続部は、前記仮想プライベートネットワーククライアントから接続要求を受信すると、前記第一通信路を用いて、選択された仮想プライベートネットワークサーバへ前記接続要求を送信し、当該仮想プライベートネットワークサーバとの間の前記第二通信路を用いて前記通信路を確立することを特徴とする。

本発明の一態様は、複数台の仮想プライベートネットワークサーバと、前記複数台の仮想プライベートネットワークサーバを管理する管理装置と、仮想プライベートネットワーククライアントからの接続要求に応じて前記仮想プライベートネットワークサーバと前記仮想プライベートネットワーククライアントとの間の通信路を確立する中継サーバと、を備える仮想プライベートネットワークシステムであって、前記仮想プライベートネットワークサーバは、自装置の負荷状況を取得し、前記負荷状況を前記管理装置へ通知する通知部、を備え、前記管理装置は、前記負荷状況を前記仮想プライベートネットワークサーバ毎に記憶する記憶部と、前記負荷状況の通知を受けると、前記記憶部に記憶される負荷状況を更新する更新部と、前記中継サーバから接続要求を受信すると、前記記憶部に記憶される負荷状況に応じて、前記仮想プライベートネットワーククライアント１台当たりのネットワーク利用帯域が最大の前記仮想プライベートネットワークサーバを選択する選択部と、を備え、前記中継サーバは、前記仮想プライベートネットワーククライアントから接続要求を受信すると、前記管理装置へ接続要求を転送し、前記管理装置によって選択された前記仮想プライベートネットワークサーバと前記仮想プライベートネットワーククライアントとの間の通信路を確立する接続部と、を備えることを特徴とする。

本発明の一態様は、複数台の仮想プライベートネットワークサーバと、仮想プライベートネットワーククライアントからの接続要求に応じて前記仮想プライベートネットワークサーバと前記仮想プライベートネットワーククライアントとの間の通信路を確立する中継サーバと、を備える仮想プライベートネットワークシステムが行う通信方法であって、前記仮想プライベートネットワークサーバが、自装置の負荷状況を取得し、前記負荷状況を前記中継サーバへ通知する通知ステップと、前記負荷状況を前記仮想プライベートネットワークサーバ毎に記憶する記憶装置を備える前記中継サーバが、前記負荷状況の通知を受けると、前記記憶装置に記憶される負荷状況を更新する更新ステップと、前記中継サーバは、前記仮想プライベートネットワーククライアントから接続要求を受信すると、前記記憶装置に記憶される負荷状況に応じて、前記仮想プライベートネットワーククライアント１台当たりのネットワーク利用帯域が最大の前記仮想プライベートネットワークサーバを選択し、選択された前記仮想プライベートネットワークサーバと前記仮想プライベートネットワーククライアントとの間の通信路を確立する接続ステップと、を備え、前記仮想プライベートネットワークサーバが、自装置と前記中継サーバとの間に第一通信路を確立する第一通信路確立ステップと、前記仮想プライベートネットワークサーバが、前記第一通信路を用いて前記中継サーバから接続要求を受信すると、自装置と前記中継サーバとの間に第二通信路を確立する第二通信路確立部ステップと、をさらに備え、前記仮想プライベートネットワークサーバが、前記通知ステップにおいて、前記第一通信路を用いて、前記負荷状況を前記中継サーバへ通知し、前記中継サーバが、前記接続ステップにおいて、前記仮想プライベートネットワーククライアントから接続要求を受信すると、前記第一通信路を用いて、選択された仮想プライベートネットワークサーバへ前記接続要求を送信し、当該仮想プライベートネットワークサーバとの間の前記第二通信路を用いて前記通信路を確立することを特徴とする。

本発明の一態様は、複数台の仮想プライベートネットワークサーバと、前記複数台の仮想プライベートネットワークサーバを管理する管理装置と、仮想プライベートネットワーククライアントからの接続要求に応じて前記仮想プライベートネットワークサーバと前記仮想プライベートネットワーククライアントとの間の通信路を確立する中継サーバと、を備える仮想プライベートネットワークシステムが行う通信方法であって、前記仮想プライベートネットワークサーバが、自装置の負荷状況を取得し、前記負荷状況を前記管理装置へ通知する通知ステップと、前記負荷状況を前記仮想プライベートネットワークサーバ毎に記憶する記憶装置を備える前記管理装置が、前記負荷状況の通知を受けると、前記記憶装置に記憶される負荷状況を更新する更新ステップと、前記管理装置が、前記中継サーバから接続要求を受信すると、前記記憶装置に記憶される負荷状況に応じて、前記仮想プライベートネットワーククライアント１台当たりのネットワーク利用帯域が最大の前記仮想プライベートネットワークサーバを選択する選択ステップと、前記中継サーバが、前記仮想プライベートネットワーククライアントから接続要求を受信すると、前記管理装置へ接続要求を転送し、前記管理装置によって選択された前記仮想プライベートネットワークサーバと前記仮想プライベートネットワーククライアントとの間の通信路を確立する接続ステップと、を備えることを特徴とする。

本発明の一態様は、複数台の第一コンピュータと、仮想プライベートネットワーククライアントからの接続要求に応じて前記第一コンピュータと前記仮想プライベートネットワーククライアントとの間の通信路を確立する第二コンピュータと、を備える仮想プライベートネットワークシステムにおいて、前記第一コンピュータに対し、自装置の負荷状況を取得し、前記負荷状況を前記中継サーバへ通知する通知ステップ、を実行させ、前記負荷状況を前記第一コンピュータ毎に記憶する記憶装置を備える前記第二コンピュータに対し、前記負荷状況の通知を受けると、前記記憶装置に記憶される負荷状況を更新する更新ステップと、前記仮想プライベートネットワーククライアントから接続要求を受信すると、前記記憶装置に記憶される負荷状況に応じて、前記仮想プライベートネットワーククライアント１台当たりのネットワーク利用帯域が最大の前記第一コンピュータを選択し、選択された前記第一コンピュータと前記仮想プライベートネットワーククライアントとの間の通信路を確立する接続ステップと、を実行させ、前記第一コンピュータに対し、自装置と前記第二コンピュータとの間に第一通信路を確立する第一通信路確立ステップと、前記第一通信路を用いて前記第二コンピュータから接続要求を受信すると、自装置と前記第二コンピュータとの間に第二通信路を確立する第二通信路確立部ステップと、をさらに実行させ、前記第一コンピュータが、前記通知ステップにおいて、前記第一通信路を用いて、前記負荷状況を前記第二コンピュータへ通知し、前記第二コンピュータが、前記接続ステップにおいて、前記仮想プライベートネットワーククライアントから接続要求を受信すると、前記第一通信路を用いて、選択された第一コンピュータへ前記接続要求を送信し、当該第一コンピュータとの間の前記第二通信路を用いて前記通信路を確立するためのコンピュータプログラムである。

本発明の一態様は、複数台の第一コンピュータと、前記複数台の第一コンピュータを管理する第三コンピュータと、仮想プライベートネットワーククライアントからの接続要求に応じて前記第一コンピュータと前記仮想プライベートネットワーククライアントとの間の通信路を確立する第二コンピュータと、を備える仮想プライベートネットワークシステムにおいて、前記第一コンピュータに対し、自装置の負荷状況を取得し、前記負荷状況を前記管理装置へ通知する通知ステップ、を実行させ、前記負荷状況を前記第一コンピュータ毎に記憶する記憶装置を備える前記第三コンピュータに対し、前記負荷状況の通知を受けると、前記記憶装置に記憶される負荷状況を更新する更新ステップと、前記第二コンピュータから接続要求を受信すると、前記記憶装置に記憶される負荷状況に応じて、前記仮想プライベートネットワーククライアント１台当たりのネットワーク利用帯域が最大の前記第一コンピュータを選択する選択ステップと、を実行させ、前記第二コンピュータに対し、前記仮想プライベートネットワーククライアントから接続要求を受信すると、前記第三コンピュータへ接続要求を転送し、前記第三コンピュータによって選択された前記第一コンピュータと前記仮想プライベートネットワーククライアントとの間の通信路を確立する接続ステップと、を実行させるためのコンピュータプログラムである。

本発明により、ＶＰＮ通信におけるボトルネックの発生を軽減することが可能となる。

第一実施形態のＶＰＮシステムのシステム構成を表す図である。中継サーバのシステム構成を表す概略ブロック図である。グループ設定ファイルの具体例を表す。常設コネクション管理テーブルの具体例を表す図である。ＶＰＮサーバのシステム構成を表す概略ブロック図である。通信端末のシステム構成を表す概略ブロック図である。中継サーバとＶＰＮサーバとの間で行われる通信の概略を表す図である。第一実施形態のＶＰＮシステムの処理の流れを表すシーケンス図である。第二実施形態のＶＰＮシステムのシステム構成を表す図である。中継サーバのシステム構成を表す概略ブロック図である。第二実施形態のグループ設定ファイルの具体例を表す。第二実施形態の常設コネクション管理テーブルの具体例を表す図である。ＶＰＮサーバマネージャのシステム構成を表す概略ブロック図である。マネージャ用常設コネクション管理テーブルの具体例を表す図である。ＶＰＮサーバのシステム構成を表す概略ブロック図である。中継サーバとＶＰＮサーバマネージャとの間で行われる通信、及び、ＶＰＮサーバマネージャとＶＰＮサーバとの間で行われる通信それぞれの概略を表す図である。第二実施形態のＶＰＮシステムの処理の流れを表すシーケンス図である。特許文献１に開示されたシステムに関連するＶＰＮシステムの構成図である。中継サーバを利用してＶＰＮコネクションを確立するためのＶＰＮシステムの構成図である。図１９のＶＰＮシステムにおけるＶＰＮサーバと中継サーバとの間の通信の概略を示す図である。図１９のＶＰＮシステムにおけるＶＰＮ接続（ＶＰＮコネクション）の確立処理の概略を示す図である。図１９のＶＰＮシステムに関連する他のＶＰＮシステムの構成図である。

［第一実施形態］
図１は、第一実施形態のＶＰＮ（Virtual Private Network）システムのシステム構成を表す図である。第一実施形態のＶＰＮシステムは、ネットワークとして、インターネット１、第１ネットワーク２、第２ネットワーク４を備える。第２ネットワーク４とインターネット１との間にはルータ５が設置される。インターネット１と第１ネットワーク２との間には、ファイアウォール３が設置される。ファイアウォール３及びルータ５は、ＮＡＴ（Network Address Translation）機能を有している。インターネット１には、中継サーバ１１が接続される。第１ネットワーク２内には、ＨＵＢ２４（ハブ２４）、３台のＶＰＮサーバ２１（２１−１，２１−２，２１−３）、認証サーバ２２、業務サーバ２３が接続される。第２ネットワーク４内には通信端末４１が接続される。第１ネットワーク２と第２ネットワーク４とは、インターネット１を介して通信可能に接続される。なお、第一実施形態のＶＰＮシステムにおいて、１台の中継サーバ１１に複数の第１ネットワーク２が接続されても良い。

認証サーバ２２は、第１ネットワーク２に対してＶＰＮ接続を行うユーザの認証を行う。業務サーバ２３は、通信端末４１のユーザが所定の業務を行うために接続するサーバ装置である。ＨＵＢ２４は、ＶＰＮサーバ２１−１〜２１−３、認証サーバ２２、及び業務サーバ２３と、ファイアウォール３とを接続する通信装置である。通信端末４１は、ＶＰＮシステムにおけるＶＰＮクライアントとして動作する情報処理装置である。

図２は、中継サーバ１１のシステム構成を表す概略ブロック図である。中継サーバ１１は、バスで接続されたＣＰＵ（Central Processing Unit）やメモリや補助記憶装置などを備え、中継プログラムを実行することによって、送受信部１１１、設定ファイル記憶部１１２、管理テーブル記憶部１１３、常設コネクション管理部１１４、コネクション接続部１１５を備える装置として機能する。なお、中継サーバ１１の各機能の全て又は一部は、ＡＳＩＣ（Application Specific Integrated Circuit）やＰＬＤ（Programmable Logic Device）やＦＰＧＡ（Field Programmable Gate Array）等のハードウェアを用いて実現されても良い。

送受信部１１１は、ＮＩＣ（Network Interface Card）等のネットワークインタフェースを用いて構成される。送受信部１１１は、インターネット１を経由して他の通信装置とデータの送受信を行う。

設定ファイル記憶部１１２は、磁気ハードディスク装置や半導体記憶装置などの記憶装置を用いて構成され、グループ設定ファイルを記憶する。図３は、グループ設定ファイルの具体例を表す。グループ設定ファイルは、予め設定されたＶＰＮグループ毎に、認証サーバ情報と、当該ＶＰＮグループに含まれるＶＰＮサーバ２１のＩＰアドレス及びホスト名とが記録される。図３には、ＶＰＮグループとして、Ｇｒｏｕｐ１及びＧｒｏｕｐ２に関する情報が図示されている。Ｇｒｏｕｐ１を例にして、グループ設定ファイルに設定される情報について説明する。“ａｕｔｈ−ｓｅｒｖｅｒ＝”に続いて記述されている数字“１９２．１６８．１．１０”が、認証サーバのＩＰアドレスを表す。また、“ＩＰＡｄｄｒｅｓｓ”の文字列の下方に記述される３行の数字“１９２．１６８．１．１１”、 “１９２．１６８．１．１２”、 “１９２．１６８．１．１３”が、それぞれ当該ＶＰＮグループに含まれるＶＰＮサーバ２１のＩＰアドレスを表す。また、“ｈｏｓｔｎａｍｅ”の文字列の下方に記述される３行の文字列が、それぞれ各ＩＰアドレスのＶＰＮサーバ２１のホスト名を表す。グループ設定ファイルは、例えばグループ名をファイル名とし、グループ毎に別ファイルとして構成されても良い。また、グループ設定ファイルは、各グループの情報が１つのファイルにまとめて記述されても良い。

管理テーブル記憶部１１３は、磁気ハードディスク装置や半導体記憶装置などの記憶装置を用いて構成され、常設コネクション管理ファイルを記憶する。常設コネクション管理ファイルには、常設コネクション管理テーブルが記述されている。図４は、常設コネクション管理テーブルの具体例を表す図である。常設コネクション管理テーブルには、中継サーバ１１に接続されているＶＰＮサーバ２１毎に、所属するＶＰＮグループの名称、ＩＰアドレス、ホスト名、負荷状況が格納される。負荷状況とは、ＶＰＮサーバ２１に生じている負荷に関する情報であり、例えばＣＰＵ負荷（ＣＰＵ使用率（％））、接続されているＶＰＮクライアントの数、ネットワーク利用帯域情報（Ｍｂｐｓ）等の情報である。

常設コネクション管理部１１４は、自装置（中継サーバ１１）に対して確立される常設コネクションについての管理を行う。常設コネクション管理部１１４は、新たに自装置に対してＶＰＮサーバ２１から常設コネクションが確立された場合には、新たな常設コネクションの対向側に位置するＶＰＮサーバ２１に関する情報を、管理テーブル記憶部１１３の常設コネクション管理テーブルに新規に登録する。また、常設コネクション管理部１１４は、ＶＰＮサーバ２１から生存確認メッセージを受信すると、生存確認メッセージに含まれる負荷状況の情報を用いて、管理テーブル記憶部１１３に記憶される常設コネクション管理テーブルの負荷状況の情報を更新する。また、常設コネクション管理部１１４は、生存確認メッセージの送信元であるＶＰＮサーバ２１に対して、生存確認応答メッセージを送信する。

コネクション接続部１１５は、管理テーブル記憶部１１３に記憶される常設コネクション管理テーブルの内容に応じて、ＶＰＮコネクションの接続先となるＶＰＮサーバ２１を選択する。具体的には、コネクション接続部１１５は、最も負荷が低いＶＰＮサーバ２１を選択する。そして、コネクション接続部１１５は、選択されたＶＰＮサーバ２１とＶＰＮクライアント（通信端末４１）との間でＶＰＮコネクションを確立させる処理を行う。

最も負荷が低いＶＰＮサーバ２１は、常設コネクション管理テーブルに登録されている
負荷状況の値全てに基づいて判断されても良いし、負荷状況の値の一部に基づいて判断さ
れても良い。また、具体的にどのように負荷が低いかを判定するかは、設計者や管理者に
よって適宜設計される。例えば、コネクション接続部１１５は、ネットワーク利用帯域情
報の値を、接続されているＶＰＮクライアントの数で除算する。そして、コネクション接
続部１１５は、算出された値（ＶＰＮクライアント１台当たりのネットワーク利用帯域（
Ｍｂｐｓ））が最大のＶＰＮサーバ２１を、最も負荷が低いＶＰＮサーバ２１として選択
しても良い。

図５は、ＶＰＮサーバ２１のシステム構成を表す概略ブロック図である。ＶＰＮサーバ２１は、バスで接続されたＣＰＵやメモリや補助記憶装置などを備え、ＶＰＮサーバ用プログラムを実行することによって、送受信部２１１、常設コネクション確立部２１２、生存確認管理部２１３、個別コネクション確立部２１４、ＶＰＮ制御部２１５を備える装置として機能する。なお、ＶＰＮサーバ２１の各機能の全て又は一部は、ＡＳＩＣやＰＬＤやＦＰＧＡ等のハードウェアを用いて実現されても良い。

送受信部２１１は、ＮＩＣ等のネットワークインタフェースを用いて構成される。送受信部２１１は、第１ネットワーク２を経由して他の通信装置とデータの送受信を行う。
常設コネクション確立部２１２は、予め中継サーバ１１のＩＰアドレスを記憶しており、中継サーバ１１との間で常設コネクションを確立させる。

生存確認管理部２１３は、所定のタイミングで生存確認メッセージを生成し、中継サーバ１１に対し送信する。生存確認メッセージは、中継サーバ１１に対して生存確認応答メッセージの返信を要求するメッセージと、自装置（ＶＰＮサーバ２１）の負荷状況を表すメッセージとを含む。また、生存確認管理部２１３は、中継サーバ１１から、生存確認メッセージに対する生存確認応答メッセージを受信する。

個別コネクション確立部２１４は、ＶＰＮクライアント（通信端末４１）から接続要求メッセージを受信すると、中継サーバ１１との間でＴＣＰコネクションを確立する。個別コネクション確立部２１４によって確立されるＴＣＰコネクションは、接続要求メッセージの送信元である通信端末４１との間のＶＰＮコネクションの一部として用いられるコネクションである。以下、このＴＣＰコネクションを「個別コネクション」という。

ＶＰＮ制御部２１５は、いわゆる従来のＶＰＮサーバとしての処理を行う。具体的には、ＶＰＮ制御部２１５は、ＶＰＮクライアント（通信端末４１）との間で確立したＶＰＮコネクションを通じて、ＶＰＮサービスをＶＰＮクライアントに提供する。例えば、ＶＰＮ制御部２１５は、ＶＰＮクライアントが、第１ネットワーク２内の業務サーバ２３にＶＰＮによってアクセスしてデータの送受信を行うことを可能とする。

図６は、通信端末４１のシステム構成を表す概略ブロック図である。通信端末４１は、バスで接続されたＣＰＵやメモリや補助記憶装置などを備え、ＶＰＮクライアント用プログラムを実行することによって、送受信部４１１、第１コネクション確立部４１２、第２コネクション確立部４１３、認証要求部４１４、ＶＰＮ制御部４１５を備える装置として機能する。なお、通信端末４１の各機能の全て又は一部は、ＡＳＩＣやＰＬＤやＦＰＧＡ等のハードウェアを用いて実現されても良い。

送受信部４１１は、ＮＩＣ等のネットワークインタフェースを用いて構成される。送受信部４１１は、第２ネットワーク４を経由して他の通信装置とデータの送受信を行う。
第１コネクション確立部４１２は、予め中継サーバ１１のＩＰアドレスを記憶しており、中継サーバ１１との間で第１ＴＣＰコネクションを確立させる。第１ＴＣＰコネクションは、通信端末４１から中継サーバ１１に対し接続要求メッセージを送信する際に用いられるコネクションである。また、第１コネクション確立部４１２は、第１ＴＣＰコネクションを通して接続要求メッセージを中継装置１１へ送信する。接続要求メッセージには、ＶＰＮクライアントに対してＶＰＮサーバ２１がＶＰＮコネクションを確立するために必要な情報を含む。具体的には、接続要求メッセージは、通信端末４１が接続を希望するＶＰＮグループの識別情報（例えばグループ名）、通信端末４１の識別情報などを含む。

第２コネクション確立部４１３は、予め中継サーバ１１のＩＰアドレスを記憶しており、中継サーバ１１との間で第２ＴＣＰコネクションを確立させる。第２ＴＣＰコネクションは、通信端末４１とＶＰＮサーバ２１との間のＶＰＮコネクションの一部として用いられるコネクションである。

認証要求部４１４は、認証要求メッセージを作成する。認証要求メッセージは、認証サーバ２２において認証を受けるために必要となるユーザ名及びパスワードを含む。認証要求部４１４は、予め中継サーバ１１のＩＰアドレスを記憶しており、中継サーバ１１へ認証要求メッセージを送信する。

ＶＰＮ制御部４１５は、いわゆる従来のＶＰＮクライアントとしての処理を行う。具体的には、ＶＰＮ制御部４１５は、ＶＰＮサーバ（ＶＰＮサーバ２１）との間で確立したＶＰＮコネクションを通じて、第１ネットワーク２内の通信装置にアクセスする。例えば、ＶＰＮ制御部４１５は、ＶＰＮサーバ２１を介して、第１ネットワーク２内の業務サーバ２３にＶＰＮによってアクセスしてデータの送受信を行う。

図７は、中継サーバ１１とＶＰＮサーバ２１との間で行われる通信の概略を表す図である。ＶＰＮサーバ２１の常設コネクション確立部２１２は、中継サーバ１１へＴＣＰ接続で所定のポートに対し常設コネクションを確立する。所定のポートとは、予め設定されたポートであり、例えば４４３番ポートなどである。常設コネクションの確立は、例えばＶＰＮサーバ２１の電源が投入され起動した直後に行われても良いし、管理者によって確立指示が入力された際に行われても良いし、他のタイミングに行われても良い。この常設コネクションを通じて、ＶＰＮサーバ２１の生存確認管理部２１３は生存確認メッセージを中継サーバ１１へ送信する。また、中継サーバ１１の常設コネクション管理部１１４は、ＶＰＮサーバ２１から生存確認メッセージを受信すると、常設コネクションを通じて、ＶＰＮサーバ２１に対し生存確認応答メッセージを送信する。

図８は、第一実施形態のＶＰＮシステムの処理の流れを表すシーケンス図である。まず、中継サーバ１１は、所定のポート（４４３番ポート）で、ＶＰＮサーバ２１−１〜２１−３からの接続を待ち受ける。各ＶＰＮサーバ２１−１〜２１−３の常設コネクション確立部２１２は、予め中継サーバ１１のＩＰアドレスを記憶している。各ＶＰＮサーバ２１−１〜２１−３の常設コネクション確立部２１２は、中継サーバ１１に対して常設コネクションを確立する（ステップＳ１０１−１〜Ｓ１０１−３）。

中継サーバ１１の常設コネクション管理部１１４は、各ＶＰＮサーバ２１−１〜２１−３からの常設コネクションの接続を受け付けると、接続元のＶＰＮサーバ２１−１〜２１−３のＩＰアドレス及びホスト名を常設コネクション管理テーブルに登録する。なお、常設コネクションの確立の際に、中継サーバ１１の常設コネクション管理部１１４は、各ＶＰＮサーバ２１−１〜２１−３について認証を行うように構成されても良い。このように構成されることによって、中継サーバ１１に不正にＶＰＮサーバ等の装置が接続することを防止できる。

次に、各ＶＰＮサーバ２１−１〜２１−３の生存確認管理部２１３は、通信が可能であることを確認するため、所定のタイミングで生存確認メッセージを中継サーバ１１へ送信する（ステップＳ１０２−１〜Ｓ１０２−３）。このとき、各生存確認管理部２１３は、常設コネクションを通して、生存確認メッセージを送信する。中継サーバ１１の常設コネクション管理部１１４は、生存確認メッセージを受信すると、送信元のＶＰＮサーバ２１−１〜２１−３に対し生存確認応答メッセージを送信する（ステップＳ１０３−１〜Ｓ１０３−３）。このとき、常設コネクション管理部１１４は、常設コネクションを通して生存確認応答メッセージを送信する。また、常設コネクション管理部１１４は、受信された生存確認メッセージに含まれる負荷状況の情報を用いて、常設コネクション管理テーブルを更新する。

各ＶＰＮサーバ２１−１〜２１−３の生存確認管理部２１３は、生存確認メッセージの送信に連続して失敗した場合や、送信は成功したものの中継サーバ１１から生存確認応答メッセージを所定時間内に受信できなかった場合には、常設コネクション確立部２１２に対しエラー通知を行う。常設コネクション確立部２１２は、生存確認管理部２１３からエラー通知を受けると、中継サーバ１１に対し常設コネクションを確立し直す。

次に、ＶＰＮクライアントとなる通信端末４１がＶＰＮコネクションを確立する処理について説明する。まず、通信端末４１の第１コネクション確立部４１２が、中継サーバ１１に対し第１ＴＣＰコネクションを確立する。そして、第１コネクション確立部は、接続要求メッセージを作成し、中継サーバ１１に対し第１ＴＣＰコネクションを通じて送信する（ステップＳ１０４）。

また、通信端末４１の第２コネクション確立部４１３は、ステップＳ１０４の処理の後又は並行して、中継サーバ１１に対し第２ＴＣＰコネクションを確立する（ステップＳ１０５）。

中継サーバ１１のコネクション接続部１１５は、第１ＴＣＰコネクションを通じて接続要求メッセージを受信すると、管理テーブル記憶部１１３の常設コネクション管理テーブルを参照する。そして、コネクション接続部１１５は、受信された接続要求メッセージに含まれるＶＰＮグループの名称が、常設コネクション管理テーブルに登録されているか否か判定する。ＶＰＮグループの名称が登録されている場合は、コネクション接続部１１５は、当該ＶＰＮグループに所属しているＶＰＮサーバ２１の中から、最も負荷が低いＶＰＮサーバ２１を選択する。コネクション接続部１１５は、選択されたＶＰＮサーバ２１（２１−１）に対し、常設コネクションを通じて接続要求メッセージを転送する（ステップＳ１０６）。

ＶＰＮサーバ２１−１の個別コネクション確立部２１４は、中継サーバ１１から接続要求メッセージを受信すると、通信端末４１へのＶＰＮコネクションを確立するために必要な情報を、受信した接続要求メッセージから取得する。そして、個別コネクション確立部２１４は、接続要求メッセージを中継サーバ１１に送信することによって、個別コネクションを中継サーバ１１との間で確立する（ステップＳ１０７）。

中継サーバ１１のコネクション接続部１１５は、通信端末４１から受信された接続要求メッセージと、ＶＰＮサーバ２１−１から受信された接続要求メッセージとに含まれている情報をそれぞれ参照し、第２ＴＣＰコネクション及び個別コネクションを結びつける。この処理によって、コネクション接続部１１５は、通信端末４１とＶＰＮサーバ２１−１間の通信路を確立する。コネクション接続部１１５は、通信路の確立が完了すると、第２ＴＣＰコネクションを通じて、通信端末４１へ接続完了メッセージを送信する（ステップＳ１０８）。

通信端末４１のＶＰＮ制御部４１５は、中継サーバ１１から接続完了メッセージを受信すると、認証要求部４１４に対し認証処理を開始することを指示する。認証要求部４１４は、ＶＰＮ制御部４１５からの指示に応じて、認証要求メッセージを作成し、中継サーバ１１へ送信する（ステップＳ１０９）。

中継サーバ１１のコネクション接続部１１５は、通信端末４１から認証要求メッセージを受信すると、グループ設定ファイルを参照し、該当するＶＰＮグループの認証サーバ２２のＩＰアドレスを検索する。そして、コネクション接続部１１５は、ＶＰＮサーバ２１−１を経由して、認証要求メッセージを認証サーバ２２へ転送する（ステップＳ１１０）。このとき、中継サーバ１１とＶＰＮサーバ２１−１との間は、認証要求メッセージは個別コネクションを通って送受信される。

認証サーバ２２は、認証要求メッセージを受信すると、認証要求メッセージに含まれるユーザ名及びパスワードに基づいて認証処理を行う。そして、認証サーバ２２は、認証結果を表す認証結果通知メッセージを作成し、中継サーバ１１へ送信する（ステップＳ１１１）。中継サーバ１１は、認証結果通知メッセージをＶＰＮサーバ２１−１へ転送する（ステップＳ１１２）。ＶＰＮサーバ２１−１のＶＰＮ制御部２１５は、受信された認証結果通知メッセージが表す認証結果の内容に基づいて、通信端末４１からのアクセスの許否を判断する。具体的には、認証結果の内容が、通信端末４１のユーザが正当なユーザであることを表す場合には、ＶＰＮ制御部２１５は、通信端末４１との間でＶＰＮコネクションを確立する。このとき、ＶＰＮ制御部２１５は、中継サーバ１１によって既に接続されている第２ＴＣＰコネクション及び個別コネクションを用いて、ＶＰＮコネクションを確立する。そして、ＶＰＮサーバ２１−１のＶＰＮ制御部２１５は、通信端末４１と、第１ネットワーク２内の業務サーバ２３との間の通信を中継する（ステップＳ１１３）。一方、認証結果の内容が、通信端末４１のユーザが正当なユーザではないことを表す場合には、ＶＰＮ制御部２１５は、ＶＰＮコネクションを確立せず、通信端末４１と第１ネットワーク２内の業務サーバ２３との間の通信を中継しない。

第一実施形態のＶＰＮシステムでは、ＶＰＮサーバ２１の負荷状況が所定のタイミングで中継サーバ１１へ通知される。そして、中継サーバ１１は、新たなＶＰＮコネクションの接続要求があった際に、最も負荷が低いＶＰＮサーバ２１とＶＰＮクライアント（通信端末４１）との間でＶＰＮコネクションを確立する。そのため、特定のＶＰＮサーバ２１に対して負荷が集中してしまうことを抑止できる。したがって、ＶＰＮサーバ２１においてＶＰＮ通信のボトルネックが生じてしまうことを抑止できる。

また、通信端末４１のユーザは、より多くのネットワーク帯域を利用することが可能となる。その理由は以下のとおりである。通信端末４１のユーザが利用できるネットワーク帯域は、ＶＰＮサーバ２１に接続されているＬＡＮケーブルの容量を最大値として、ＶＰＮサーバ２１に接続している各通信端末４１で分け合う形になる。そのため、上記のように特定のＶＰＮサーバ２１に対して負荷が集中してしまうことを抑止することによって、各通信端末４１に割り当てられるネットワーク帯域が増大する。

［第二実施形態］
図９は、第二実施形態のＶＰＮシステムのシステム構成を表す図である。以下、第二実施形態のＶＰＮシステムについて、第一実施形態のＶＰＮシステムと異なる点を主に説明する。

第二実施形態のＶＰＮシステムは、中継サーバ１１に代えて中継サーバ１２を備える点、第１ネットワーク２内にＶＰＮサーバマネージャ２０を備える点、ＶＰＮサーバ２１−１〜２１−３に代えてＶＰＮサーバ２５−１〜２５−３を備える点、第１ネットワーク２内に認証サーバ２２を備えない点で、第一実施形態のＶＰＮシステムと異なる。なお、第二実施形態のＶＰＮシステムにおいて、１台の中継サーバ１２に複数の第１ネットワーク２が接続されても良い。

図１０は、中継サーバ１２のシステム構成を表す概略ブロック図である。中継サーバ１２は、バスで接続されたＣＰＵやメモリや補助記憶装置などを備え、中継プログラムを実行することによって、送受信部１２１、設定ファイル記憶部１２２、管理テーブル記憶部１２３、常設コネクション管理部１２４、コネクション接続部１２５を備える装置として機能する。なお、中継サーバ１２の各機能の全て又は一部は、ＡＳＩＣやＰＬＤやＦＰＧＡ等のハードウェアを用いて実現されても良い。

送受信部１２１は、ＮＩＣ等のネットワークインタフェースを用いて構成される。送受信部１２１は、インターネット１を経由して他の通信装置とデータの送受信を行う。
設定ファイル記憶部１２２は、磁気ハードディスク装置や半導体記憶装置などの記憶装置を用いて構成され、グループ設定ファイルを記憶する。図１１は、第二実施形態のグループ設定ファイルの具体例を表す。第二実施形態のグループ設定ファイルは、予め設定されたＶＰＮグループ毎に、ＶＰＮサーバマネージャ情報が記録される。図１１には、ＶＰＮグループとして、Ｇｒｏｕｐ１及びＧｒｏｕｐ２に関する情報が図示されている。Ｇｒｏｕｐ１を例にして、グループ設定ファイルに設定される情報について説明する。“ｍａｎａｇｅｒ＝”に続いて記述されている数字“１９２．１６８．１．１”が、ＶＰＮサーバマネージャのＩＰアドレスを表す。グループ設定ファイルは、例えばグループ名をファイル名とし、グループ毎に別ファイルとして構成されても良い。また、グループ設定ファイルは、各グループの情報が１つのファイルにまとめて記述されても良い。

管理テーブル記憶部１２３は、磁気ハードディスク装置や半導体記憶装置などの記憶装置を用いて構成され、常設コネクション管理ファイルを記憶する。常設コネクション管理ファイルには、常設コネクション管理テーブルが記述されている。図１２は、第二実施形態の常設コネクション管理テーブルの具体例を表す図である。第二実施形態の常設コネクション管理テーブルには、中継サーバ１２に接続されているＶＰＮサーバマネージャ２０毎に、ＩＰアドレス及びホスト名が格納される。

常設コネクション管理部１２４は、自装置（中継サーバ１２）に対して確立される常設コネクションについての管理を行う。常設コネクション管理部１２４は、新たに自装置に対してＶＰＮサーバマネージャ２０から常設コネクションが確立された場合には、新たな常設コネクションの対向側に位置するＶＰＮサーバマネージャ２０に関する情報を、管理テーブル記憶部１２３の常設コネクション管理テーブルに新規に登録する。また、常設コネクション管理部１２４は、生存確認メッセージの送信元であるＶＰＮサーバマネージャ２０に対して、生存確認応答メッセージを送信する。

コネクション接続部１２５は、ＶＰＮサーバ２５とＶＰＮクライアント（通信端末４１）との間でＶＰＮコネクションを確立させる処理を行う。
図１３は、ＶＰＮサーバマネージャ２０のシステム構成を表す概略ブロック図である。ＶＰＮサーバマネージャ２０は、バスで接続されたＣＰＵやメモリや補助記憶装置などを備え、ＶＰＮサーバマネージャプログラムを実行することによって、送受信部２０１、管理テーブル記憶部２０２、常設コネクション管理部２０３、コネクション接続部２０４、常設コネクション確立部２０５、生存確認管理部２０６、認証部２０７を備える装置として機能する。なお、ＶＰＮサーバマネージャ２０の各機能の全て又は一部は、ＡＳＩＣやＰＬＤやＦＰＧＡ等のハードウェアを用いて実現されても良い。

送受信部２０１は、ＮＩＣ等のネットワークインタフェースを用いて構成される。送受信部２０１は、第１ネットワーク２を経由して他の通信装置とデータの送受信を行う。
管理テーブル記憶部２０２は、磁気ハードディスク装置や半導体記憶装置などの記憶装置を用いて構成され、マネージャ用常設コネクション管理ファイルを記憶する。マネージャ用常設コネクション管理ファイルには、マネージャ用常設コネクション管理テーブルが記述されている。図１４は、マネージャ用常設コネクション管理テーブルの具体例を表す図である。マネージャ用常設コネクション管理テーブルには、ＶＰＮサーバマネージャ２０に接続されているＶＰＮサーバ２５毎に、ＩＰアドレス、ホスト名、負荷状況が格納される。負荷状況の内容は、第一実施形態の負荷状況と同じである。

常設コネクション管理部２０３は、自装置（ＶＰＮサーバマネージャ２０）に対して確立される常設コネクションについての管理を行う。常設コネクション管理部２０３は、新たに自装置に対してＶＰＮサーバ２５から常設コネクションが確立された場合には、新たな常設コネクションの対向側に位置するＶＰＮサーバ２５に関する情報を、管理テーブル記憶部２０２のマネージャ用常設コネクション管理テーブルに新規に登録する。また、常設コネクション管理部２０３は、ＶＰＮサーバ２５から生存確認メッセージを受信すると、生存確認メッセージに含まれる負荷状況の情報を用いて、管理テーブル記憶部２０２に記憶されるマネージャ用常設コネクション管理テーブルの負荷状況の情報を更新する。また、常設コネクション管理部２０３は、生存確認メッセージの送信元であるＶＰＮサーバ２５に対して、生存確認応答メッセージを送信する。

コネクション接続部２０４は、管理テーブル記憶部２０２に記憶されるマネージャ用常設コネクション管理テーブルの内容に応じて、ＶＰＮコネクションの接続先となるＶＰＮサーバ２５を選択する。具体的には、コネクション接続部２０４は、最も負荷が低いＶＰＮサーバ２５を選択する。そして、コネクション接続部２０４は、選択されたＶＰＮサーバ２５とＶＰＮクライアント（通信端末４１）との間でＶＰＮコネクションを確立させる処理を行う。

常設コネクション確立部２０５は、予め中継サーバ１２のＩＰアドレスを記憶しており、中継サーバ１２との間で常設コネクションを確立させる。
生存確認管理部２０６は、所定のタイミングで生存確認メッセージを生成し、中継サーバ１２に対し送信する。生存確認メッセージは、中継サーバ１２に対して生存確認応答メッセージの返信を要求するメッセージを含む。また、生存確認管理部２０６は、中継サーバ１２から、生存確認メッセージに対する生存確認応答メッセージを受信する。

認証部２０７は、第一実施形態における認証サーバ２２と同様の処理を行う。具体的には、認証部２０７は、ＶＰＮクライアントから認証要求メッセージを受信し、認証処理を行い、認証結果を出力する。

図１５は、ＶＰＮサーバ２５のシステム構成を表す概略ブロック図である。ＶＰＮサーバ２５は、バスで接続されたＣＰＵやメモリや補助記憶装置などを備え、ＶＰＮサーバ用プログラムを実行することによって、送受信部２５１、常設コネクション確立部２５２、生存確認管理部２５３、個別コネクション確立部２５４、ＶＰＮ制御部２５５を備える装置として機能する。なお、ＶＰＮサーバ２５の各機能の全て又は一部は、ＡＳＩＣやＰＬＤやＦＰＧＡ等のハードウェアを用いて実現されても良い。

送受信部２５１は、ＮＩＣ等のネットワークインタフェースを用いて構成される。送受信部２５１は、第１ネットワーク２を経由して他の通信装置とデータの送受信を行う。
常設コネクション確立部２５２は、予めＶＰＮサーバマネージャ２０のＩＰアドレスを記憶しており、ＶＰＮサーバマネージャ２０との間で常設コネクションを確立させる。

生存確認管理部２５３は、所定のタイミングで生存確認メッセージを生成し、ＶＰＮサーバマネージャ２０に対し送信する。生存確認メッセージは、ＶＰＮサーバマネージャ２０に対して生存確認応答メッセージの返信を要求するメッセージと、自装置（ＶＰＮサーバ２５）の負荷状況を表すメッセージとを含む。また、生存確認管理部２５３は、ＶＰＮサーバマネージャ２０から、生存確認メッセージに対する生存確認応答メッセージを受信する。

個別コネクション確立部２５４は、ＶＰＮクライアント（通信端末４１）から接続要求メッセージを受信すると、中継サーバ１２との間でＴＣＰコネクションを確立する。個別コネクション確立部２５４によって確立されるＴＣＰコネクションは、接続要求メッセージの送信元である通信端末４１との間のＶＰＮコネクションの一部として用いられるコネクションである。

ＶＰＮ制御部２５５は、いわゆる従来のＶＰＮサーバとしての処理を行う。具体的には、ＶＰＮ制御部２５５は、ＶＰＮクライアント（通信端末４１）との間で確立したＶＰＮコネクションを通じて、ＶＰＮサービスをＶＰＮクライアントに提供する。

図１６は、中継サーバ１２とＶＰＮサーバマネージャ２０との間で行われる通信、及び、ＶＰＮサーバマネージャ２０とＶＰＮサーバ２５との間で行われる通信それぞれの概略を表す図である。

ＶＰＮサーバマネージャ２０の常設コネクション確立部２０３は、中継サーバ１２へＴＣＰ接続で所定のポートに対し常設コネクションを確立する。所定のポートとは、予め設定されたポートであり、例えば４４３番ポートなどである。常設コネクションの確立は、例えばＶＰＮサーバマネージャ２０の電源が投入され起動した直後に行われても良いし、管理者によって確立指示が入力された際に行われても良いし、他のタイミングに行われても良い。この常設コネクションを通じて、ＶＰＮサーバマネージャ２０の生存確認管理部２０６は生存確認メッセージを中継サーバ１２へ送信する。また、中継サーバ１２の常設コネクション管理部１２４は、ＶＰＮサーバマネージャ２０から生存確認メッセージを受信すると、常設コネクションを通じて、ＶＰＮサーバマネージャ２０に対し生存確認応答メッセージを送信する。

ＶＰＮサーバ２５の常設コネクション確立部２５２は、ＶＰＮサーバマネージャ２０へＴＣＰ接続で所定のポートに対し常設コネクションを確立する。所定のポートとは、予め設定されたポートであり、例えば４４３ポートなどである。常設コネクションの確立は、例えばＶＰＮサーバ２５の電源が投入され起動した直後に行われても良いし、管理者によって確立指示が入力された際に行われても良いし、他のタイミングに行われても良い。この常設コネクションを通じて、ＶＰＮサーバ２５の生存確認管理部２５３は生存確認メッセージをＶＰＮサーバマネージャ２０へ送信する。また、ＶＰＮサーバマネージャ２０の常設コネクション管理部２０３は、ＶＰＮサーバ２５から生存確認メッセージを受信すると、常設コネクションを通じて、ＶＰＮサーバ２５に対し生存確認応答メッセージを送信する。

図１７は、第二実施形態のＶＰＮシステムの処理の流れを表すシーケンス図である。まず、ＶＰＮサーバマネージャ２０は、所定のポート（４４３番ポート）で、ＶＰＮサーバ２５−１〜２５−３からの接続を待ち受ける。各ＶＰＮサーバ２５−１〜２５−３の常設コネクション確立部２１２は、予めＶＰＮサーバマネージャ２０のＩＰアドレスを記憶している。各ＶＰＮサーバ２５−１〜２５−３の常設コネクション確立部２５２は、ＶＰＮサーバマネージャ２０に対して常設コネクション２５−２０を確立する（ステップＳ２０１−１〜Ｓ２０１−３）。ＶＰＮサーバマネージャ２０の常設コネクション管理部２０４は、各ＶＰＮサーバ２５−１〜２５−３からの常設コネクション２５−２０の接続を受け付けると、接続元のＶＰＮサーバ２５−１〜２５−３のＩＰアドレス及びホスト名を常設コネクション管理テーブルに登録する。

中継サーバ１２は、所定のポート（４４３番ポート）で、ＶＰＮサーバマネージャ２０からの接続を待ち受ける。ＶＰＮサーバマネージャ２０の常設コネクション確立部２０５は、予め中継サーバ１２のＩＰアドレスを記憶している。ＶＰＮサーバマネージャ２０の常設コネクション確立部２０５は、１台以上のＶＰＮサーバ２５−１〜２５−３から常設コネクション２５−２０を確立されると、中継サーバ１２対して常設コネクション２０−１２を確立する（ステップＳ２０１−２）。中継サーバ１２の常設コネクション管理部１２４は、ＶＰＮサーバマネージャ２０からの常設コネクション２０−１２の接続を受け付けると、接続元のＶＰＮサーバマネージャ２０のＩＰアドレス及びホスト名を常設コネクション管理テーブルに登録する。なお、常設コネクションの確立の際に、中継サーバ１２の常設コネクション確立部１２４は、ＶＰＮサーバマネージャ２０について認証を行うように構成されても良い。

次に、各ＶＰＮサーバ２５−１〜２５−３の生存確認管理部２５３は、通信が可能であるかを確認するため、所定のタイミングで生存確認メッセージをＶＰＮサーバマネージャ２０へ送信する（ステップＳ２０３−１〜Ｓ２０３−３）。このとき、各生存確認管理部２５３は、常設コネクション２５−２０を通して生存確認メッセージを送信する。ＶＰＮサーバマネージャ２０の常設コネクション管理部２０３は、生存確認メッセージを受信すると、送信元のＶＰＮサーバ２５−１〜２５−３に対し生存確認応答メッセージを送信する（ステップＳ２０４−１〜Ｓ２０４−３）。このとき、常設コネクション管理部２０３は、常設コネクション２５−２０を通して生存確認応答メッセージを送信する。また、常設コネクション管理部２０３は、受信された生存確認メッセージに含まれる負荷状況の情報を用いて、常設コネクション管理テーブルを更新する。

各ＶＰＮサーバ２５−１〜２５−３の生存確認管理部２５３は、生存確認メッセージの送信に連続して失敗した場合や、送信は成功したもののＶＰＮサーバマネージャ２０から生存確認応答メッセージを所定時間内に受信できなかった場合には、常設コネクション確立部２５２に対しエラー通知を行う。常設コネクション確立部２５２は、生存確認管理部２５３からエラー通知を受けると、ＶＰＮサーバマネージャ２０に対し常設コネクション２５−２０を確立し直す。

また、ＶＰＮサーバマネージャ２０の生存確認管理部２０６は、通信が可能であるかを確認するため、所定のタイミングで生存確認メッセージを中継サーバ１２へ送信する。このとき、生存確認管理部２０６は、常設コネクション２０−１２を通して生存確認メッセージを送信する。中継サーバ１２の常設コネクション管理部１２４は、生存確認メッセージを受信すると、送信元のＶＰＮサーバマネージャ２０に対し生存確認応答メッセージを送信する。このとき、常設コネクション管理部１２４は、常設コネクション２０−１２を通して生存確認応答メッセージを送信する。

ＶＰＮサーバマネージャ２０の生存確認管理部２０６は、生存確認メッセージの送信に連続して失敗した場合や、送信は成功したものの中継サーバ１２から生存確認応答メッセージを所定時間内に受信できなかった場合には、常設コネクション確立部２０５に対しエラー通知を行う。常設コネクション確立部２０５は、生存確認管理部２０６からエラー通知を受けると、中継サーバ１２に対し常設コネクション２０−１２を確立し直す。

次に、ＶＰＮクライアントとなる通信端末４１がＶＰＮコネクションを確立する処理について説明する。まず、通信端末４１の第１コネクション確立部４１２が、中継サーバ１２に対し第１ＴＣＰコネクションを確立する。そして、第１コネクション確立部は、接続要求メッセージを作成し、中継サーバ１２に対し第１ＴＣＰコネクションを通じて送信する（ステップＳ２０５）。このとい、接続要求メッセージに含まれる情報は、第一実施形態のように、接続先となるＶＰＮグループの識別情報（例えばグループ名）であっても良いし、接続先となるＶＰＮサーバマネージャ２０のＩＰアドレスやホスト名であっても良い。通信端末４１は、接続要求メッセージの送信に成功すると、第１ＴＣＰコネクションを切断する。また、通信端末４１の第２コネクション確立部４１３は、ステップＳ２０５の処理の後又は並行して、中継サーバ１２に対し第２ＴＣＰコネクションを確立する（ステップＳ２０７）。

中継サーバ１２のコネクション接続部１２５は、接続要求メッセージを受信すると、設定ファイルや常設コネクション管理テーブルなどを参照し、接続要求メッセージの接続先に該当するＶＰＮサーバマネージャ２０のＩＰアドレスを検索する。そして、接続要求メッセージに含まれるＩＰアドレスが、常設コネクション管理テーブルに登録されているか否か検索する。登録されていない場合には、コネクション接続部１２５は、接続要求メッセージの送信元である通信端末４１に対してエラーを通知する。一方、登録されている場合には、コネクション接続部１２５は、常設コネクション２０−１２を通して、接続要求メッセージをＶＰＮサーバマネージャ２０へ転送する（ステップＳ２０６）。

ＶＰＮサーバマネージャ２０のコネクション接続部２０４は、常設コネクション２０−１２を通じて接続要求メッセージを受信すると、管理テーブル記憶部２０２の常設コネクション管理テーブルを参照する。そして、コネクション接続部２０４は、常設コネクション管理テーブルに登録されているＶＰＮサーバ２５の中から、最も負荷が低いＶＰＮサーバ２５を選択する。コネクション接続部２０４は、選択されたＶＰＮサーバ２５（２５−１）に対し、常設コネクション２５−２０を通じて接続要求メッセージを転送する（ステップＳ２０８）。

ＶＰＮサーバ２５−１の個別コネクション確立部２５４は、ＶＰＮサーバマネージャ２０から接続要求メッセージを受信すると、通信端末４１へのＶＰＮコネクションを確立するために必要な情報を、受信した接続要求メッセージから取得する。そして、個別コネクション確立部２５４は、接続要求メッセージを中継サーバ１２に送信することによって、個別コネクションを中継サーバ１２との間で確立する（ステップＳ２０９）。

中継サーバ１２のコネクション接続部１２５は、通信端末４１から受信された接続要求メッセージと、ＶＰＮサーバ２５−１から受信された接続要求メッセージとに含まれている情報をそれぞれ参照し、第２ＴＣＰコネクション及び個別コネクションを結びつける。この処理によって、コネクション接続部１２５は、通信端末４１とＶＰＮサーバ２５−１間の通信路（ＶＰＮコネクション）を確立する。コネクション接続部１２５は、ＶＰＮコネクションの確立が完了すると、第２ＴＣＰコネクションを通じて、通信端末４１へ接続完了メッセージを送信する（ステップＳ２１０）。

通信端末４１のＶＰＮ制御部４１５は、中継サーバ１２から接続完了メッセージを受信すると、認証要求部４１４に対し認証処理を開始することを指示する。認証要求部４１４は、ＶＰＮ制御部４１５からの指示に応じて、認証要求メッセージを作成し、中継サーバ１２へ送信する（ステップＳ２１１）。

中継サーバ１２のコネクション接続部１２５は、通信端末４１から認証要求メッセージを受信すると、ＶＰＮサーバマネージャ２０に対し、認証要求メッセージを送信する（ステップＳ２１２）。

ＶＰＮサーバマネージャ２０の認証部２０７は、認証要求メッセージを受信すると、認証要求メッセージに含まれるユーザ名及びパスワードに基づいて認証処理を行う。そして、認証部２０７は、認証結果を表す認証結果通知メッセージを作成し、中継サーバ１２へ送信する（ステップＳ２１３）。中継サーバ１２は、認証結果通知メッセージをＶＰＮサーバ２５−１へ転送する（ステップＳ２１４）。ＶＰＮサーバ２５−１のＶＰＮ制御部２５５は、受信された認証結果通知メッセージが表す認証結果の内容に基づいて、通信端末４１からのアクセスの許否を判断する。具体的には、認証結果の内容が、通信端末４１のユーザが正当なユーザであることを表す場合には、ＶＰＮ制御部２５５は、通信端末４１との間でＶＰＮコネクションを確立する。このとき、ＶＰＮ制御部２５５は、中継サーバ１２によって既に接続されている第２ＴＣＰコネクション及び個別コネクションを用いて、ＶＰＮコネクションを確立する。そして、ＶＰＮサーバ２５−１のＶＰＮ制御部２５５は、通信端末４１と、第１ネットワーク２内の業務サーバ２３との間の通信を中継する（ステップＳ２１５）。一方、認証結果の内容が、通信端末４１のユーザが正当なユーザではないことを表す場合には、ＶＰＮ制御部２５５は、ＶＰＮコネクションを確立せず、通信端末４１と第１ネットワーク２内の業務サーバ２３との間の通信を中継しない。

第一実施形態のＶＰＮシステムでは、複数の各拠点（各第１ネットワーク）でＶＰＮサーバの負荷分散を行う場合、負荷分散を行うための中継サーバへの通信量が多くなってしまう。また、中継サーバのＣＰＵ使用率が上昇してしまう。そのため、ＶＰＮ通信に使える帯域が減ってしまうおそれがある。これに対し、第二実施形態のＶＰＮシステムでは、複数台のＶＰＮサーバ２５をまとめて管理するＶＰＮサーバマネージャ２０を各第１ネットワークに設置し、ＶＰＮサーバ２５とＶＰＮサーバマネージャ２０とが負荷情報のやりとりを行う。このような処理によって、ＶＰＮサーバ２５の負荷分散処理を行い特定のＶＰＮサーバ２５に負荷が増加してしまうことを防ぐことができる。さらに、中継サーバ１２に処理が集中してしまうことを防ぐことができる。

なお、第二実施形態では、ＶＰＮサーバマネージャ２０を新たに導入する必要がある。しかしながら、ＶＰＮサーバマネージャ２０に認証機能を実装することによって、認証サーバが不要になっている。そのため、消費電力や管理工数などは第一実施形態とほとんど変わりはない。

上記の第一実施形態又は第二実施形態のＶＰＮシステムは、データセンタなど大量のＶＰＮを高速処理する必要がある場合に適用できる。また、同様にデータセンタなど大量のサーバを扱うクラウドコンピューティング分野にも適用できる。

以上、この発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。

１１，１２…中継サーバ（第二コンピュータ），２０…ＶＰＮサーバマネージャ（管理装置，第三コンピュータ），２１（２１−１〜２１−３），２５（２５−１〜２５−３）…ＶＰＮサーバ（第一コンピュータ），２２…認証サーバ，２３…業務サーバ，４１…通信端末，１１１，１２１…送受信部，１１２，１２２…設定ファイル記憶部，１１３，１２３…管理テーブル記憶部（記憶部），１１４，１２４…常設コネクション管理部（更新部），１１５，１２５…コネクション接続部（接続部），２０１送受信部，２０２…管理テーブル記憶部（記憶部），２０３…常設コネクション管理部（更新部），２０４…コネクション接続部（選択部），２０５…常設コネクション確立部，２０６…生存確認管理部，２０７…認証部，２１１，２５１…送受信部，２１２，２５２…常設コネクション確立部（第一通信路確立部），２１３，２５３…生存確認管理部（通知部），２１４，２５４…個別コネクション確立部（第二通信路確立部），２１５，２５５…ＶＰＮ制御部，４１１…送受信部，４１２…第１コネクション確立部，４１３…第２コネクション確立部，４１４…認証要求部，４１５…ＶＰＮ制御部

Claims

複数台の仮想プライベートネットワークサーバと、仮想プライベートネットワーククライアントからの接続要求に応じて前記仮想プライベートネットワークサーバと前記仮想プライベートネットワーククライアントとの間の通信路を確立する中継サーバと、を備える仮想プライベートネットワークシステムであって、
前記仮想プライベートネットワークサーバは、
自装置の負荷状況を取得し、前記負荷状況を前記中継サーバへ通知する通知部、
を備え、
前記中継サーバは、
前記負荷状況を前記仮想プライベートネットワークサーバ毎に記憶する記憶部と、
前記負荷状況の通知を受けると、前記記憶部に記憶される負荷状況を更新する更新部と、
前記仮想プライベートネットワーククライアントから接続要求を受信すると、前記記憶部に記憶される負荷状況に応じて、前記仮想プライベートネットワーククライアント１台当たりのネットワーク利用帯域が最大の前記仮想プライベートネットワークサーバを選択し、選択された前記仮想プライベートネットワークサーバと前記仮想プライベートネットワーククライアントとの間の通信路を確立する接続部と、
を備え、
前記仮想プライベートネットワークサーバは、
自装置と前記中継サーバとの間に第一通信路を確立する第一通信路確立部と、
前記第一通信路を用いて前記中継サーバから接続要求を受信すると、自装置と前記中継サーバとの間に第二通信路を確立する第二通信路確立部と、
をさらに備え、
前記通知部は、前記第一通信路を用いて、前記負荷状況を前記中継サーバへ通知し、
前記中継サーバの前記接続部は、前記仮想プライベートネットワーククライアントから接続要求を受信すると、前記第一通信路を用いて、選択された仮想プライベートネットワークサーバへ前記接続要求を送信し、当該仮想プライベートネットワークサーバとの間の前記第二通信路を用いて前記通信路を確立することを特徴とする仮想プライベートネットワークシステム。
前記通知部は、前記中継サーバに対し、生存確認メッセージをさらに送信し、
前記第一通信路確立部は、前記通知部が前記生存確認メッセージを前記中継サーバへ送信できない場合又は前記中継サーバから前記生存確認メッセージに対する応答を受信できない場合には、前記第一通信路を確立しなおす、
ことを特徴とする請求項１に記載の仮想プライベートネットワークシステム。
複数台の仮想プライベートネットワークサーバと、前記複数台の仮想プライベートネットワークサーバを管理する管理装置と、仮想プライベートネットワーククライアントからの接続要求に応じて前記仮想プライベートネットワークサーバと前記仮想プライベートネットワーククライアントとの間の通信路を確立する中継サーバと、を備える仮想プライベートネットワークシステムであって、
前記仮想プライベートネットワークサーバは、
自装置の負荷状況を取得し、前記負荷状況を前記管理装置へ通知する通知部、
を備え、
前記管理装置は、
前記負荷状況を前記仮想プライベートネットワークサーバ毎に記憶する記憶部と、
前記負荷状況の通知を受けると、前記記憶部に記憶される負荷状況を更新する更新部と、
前記中継サーバから接続要求を受信すると、前記記憶部に記憶される負荷状況に応じて、前記仮想プライベートネットワーククライアント１台当たりのネットワーク利用帯域が最大の前記仮想プライベートネットワークサーバを選択する選択部と、
を備え、
前記中継サーバは、
前記仮想プライベートネットワーククライアントから接続要求を受信すると、前記管理装置へ接続要求を転送し、前記管理装置によって選択された前記仮想プライベートネットワークサーバと前記仮想プライベートネットワーククライアントとの間の通信路を確立する接続部と、
を備えることを特徴とする仮想プライベートネットワークシステム。
前記仮想プライベートネットワークサーバは、
自装置と前記管理装置との間に第一通信路を確立する第一通信路確立部と、
前記第一通信路を用いて前記管理装置から接続要求を受信すると、自装置と前記中継サーバとの間に第二通信路を確立する第二通信路確立部と、
をさらに備え、
前記通知部は、前記第一通信路を用いて、前記負荷状況を前記管理装置へ通知し、
前記管理装置の前記選択部は、前記仮想プライベートネットワーククライアントからの接続要求を受信すると、前記第一通信路を用いて、当該仮想プライベートネットワークサーバへ前記接続要求を送信し、
前記接続部は、選択された仮想プライベートネットワークサーバとの間の前記第二通信路を用いて前記通信路を確立する、
ことを特徴とする請求項３に記載の仮想プライベートネットワークシステム。
前記通知部は、前記管理装置に対し、生存確認メッセージをさらに送信し、
前記第一通信路確立部は、前記通知部が前記生存確認メッセージを前記管理装置へ送信できない場合又は前記管理装置から前記生存確認メッセージに対する応答を受信できない場合には、前記第一通信路を確立しなおす、
ことを特徴とする請求項３又は４に記載の仮想プライベートネットワークシステム。
複数台の仮想プライベートネットワークサーバと、仮想プライベートネットワーククライアントからの接続要求に応じて前記仮想プライベートネットワークサーバと前記仮想プライベートネットワーククライアントとの間の通信路を確立する中継サーバと、を備える仮想プライベートネットワークシステムが行う通信方法であって、
前記仮想プライベートネットワークサーバが、自装置の負荷状況を取得し、前記負荷状況を前記中継サーバへ通知する通知ステップと、
前記負荷状況を前記仮想プライベートネットワークサーバ毎に記憶する記憶装置を備える前記中継サーバが、前記負荷状況の通知を受けると、前記記憶装置に記憶される負荷状況を更新する更新ステップと、
前記中継サーバが、前記仮想プライベートネットワーククライアントから接続要求を受信すると、前記記憶装置に記憶される負荷状況に応じて、前記仮想プライベートネットワーククライアント１台当たりのネットワーク利用帯域が最大の前記仮想プライベートネットワークサーバを選択し、選択された前記仮想プライベートネットワークサーバと前記仮想プライベートネットワーククライアントとの間の通信路を確立する接続ステップと、
を備え、
前記仮想プライベートネットワークサーバが、自装置と前記中継サーバとの間に第一通信路を確立する第一通信路確立ステップと、
前記仮想プライベートネットワークサーバが、前記第一通信路を用いて前記中継サーバから接続要求を受信すると、自装置と前記中継サーバとの間に第二通信路を確立する第二通信路確立部ステップと、
をさらに備え、
前記仮想プライベートネットワークサーバが、前記通知ステップにおいて、前記第一通信路を用いて、前記負荷状況を前記中継サーバへ通知し、
前記中継サーバが、前記接続ステップにおいて、前記仮想プライベートネットワーククライアントから接続要求を受信すると、前記第一通信路を用いて、選択された仮想プライベートネットワークサーバへ前記接続要求を送信し、当該仮想プライベートネットワークサーバとの間の前記第二通信路を用いて前記通信路を確立することを特徴とする通信方法。
複数台の仮想プライベートネットワークサーバと、前記複数台の仮想プライベートネットワークサーバを管理する管理装置と、仮想プライベートネットワーククライアントからの接続要求に応じて前記仮想プライベートネットワークサーバと前記仮想プライベートネットワーククライアントとの間の通信路を確立する中継サーバと、を備える仮想プライベートネットワークシステムが行う通信方法であって、
前記仮想プライベートネットワークサーバが、自装置の負荷状況を取得し、前記負荷状況を前記管理装置へ通知する通知ステップと、
前記負荷状況を前記仮想プライベートネットワークサーバ毎に記憶する記憶装置を備える前記管理装置が、前記負荷状況の通知を受けると、前記記憶装置に記憶される負荷状況を更新する更新ステップと、
前記管理装置が、前記中継サーバから接続要求を受信すると、前記記憶装置に記憶される負荷状況に応じて、前記仮想プライベートネットワーククライアント１台当たりのネットワーク利用帯域が最大の前記仮想プライベートネットワークサーバを選択する選択ステップと、
前記中継サーバが、前記仮想プライベートネットワーククライアントから接続要求を受信すると、前記管理装置へ接続要求を転送し、前記管理装置によって選択された前記仮想プライベートネットワークサーバと前記仮想プライベートネットワーククライアントとの間の通信路を確立する接続ステップと、
を備えることを特徴とする通信方法。
複数台の第一コンピュータと、仮想プライベートネットワーククライアントからの接続要求に応じて前記第一コンピュータと前記仮想プライベートネットワーククライアントとの間の通信路を確立する第二コンピュータと、を備える仮想プライベートネットワークシステムにおいて、
前記第一コンピュータに対し、
自装置の負荷状況を取得し、前記負荷状況を前記第二コンピュータへ通知する通知ステ
ップ、
を実行させ、
前記負荷状況を前記第一コンピュータ毎に記憶する記憶装置を備える前記第二コンピュータに対し、
前記負荷状況の通知を受けると、前記記憶装置に記憶される負荷状況を更新する更新ステップと、
前記仮想プライベートネットワーククライアントから接続要求を受信すると、前記記憶装置に記憶される負荷状況に応じて、前記仮想プライベートネットワーククライアント１台当たりのネットワーク利用帯域が最大の前記第一コンピュータを選択し、選択された前記第一コンピュータと前記仮想プライベートネットワーククライアントとの間の通信路を確立する接続ステップと、
を実行させ、
前記第一コンピュータに対し、自装置と前記第二コンピュータとの間に第一通信路を確立する第一通信路確立ステップと、
前記第一通信路を用いて前記第二コンピュータから接続要求を受信すると、自装置と前記第二コンピュータとの間に第二通信路を確立する第二通信路確立部ステップと、
をさらに実行させ、
前記第一コンピュータが、前記通知ステップにおいて、前記第一通信路を用いて、前記負荷状況を前記第二コンピュータへ通知し、
前記第二コンピュータが、前記接続ステップにおいて、前記仮想プライベートネットワーククライアントから接続要求を受信すると、前記第一通信路を用いて、選択された第一コンピュータへ前記接続要求を送信し、当該第一コンピュータとの間の前記第二通信路を用いて前記通信路を確立するためのコンピュータプログラム。
複数台の第一コンピュータと、前記複数台の第一コンピュータを管理する第三コンピュータと、仮想プライベートネットワーククライアントからの接続要求に応じて前記第一コンピュータと前記仮想プライベートネットワーククライアントとの間の通信路を確立する第二コンピュータと、を備える仮想プライベートネットワークシステムにおいて、
前記第一コンピュータに対し、
自装置の負荷状況を取得し、前記負荷状況を前記管理装置へ通知する通知ステップ、
を実行させ、
前記負荷状況を前記第一コンピュータ毎に記憶する記憶装置を備える前記第三コンピュータに対し、
前記負荷状況の通知を受けると、前記記憶装置に記憶される負荷状況を更新する更新ステップと、
前記第二コンピュータから接続要求を受信すると、前記記憶装置に記憶される負荷状況に応じて、前記仮想プライベートネットワーククライアント１台当たりのネットワーク利用帯域が最大の前記第一コンピュータを選択する選択ステップと、
を実行させ、
前記第二コンピュータに対し、
前記仮想プライベートネットワーククライアントから接続要求を受信すると、前記第三コンピュータへ接続要求を転送し、前記第三コンピュータによって選択された前記第一コンピュータと前記仮想プライベートネットワーククライアントとの間の通信路を確立する接続ステップと、
を実行させるためのコンピュータプログラム。