JP2011035639A - Communication system, vpn device, nic and program - Google Patents
Communication system, vpn device, nic and program Download PDFInfo
- Publication number
- JP2011035639A JP2011035639A JP2009179585A JP2009179585A JP2011035639A JP 2011035639 A JP2011035639 A JP 2011035639A JP 2009179585 A JP2009179585 A JP 2009179585A JP 2009179585 A JP2009179585 A JP 2009179585A JP 2011035639 A JP2011035639 A JP 2011035639A
- Authority
- JP
- Japan
- Prior art keywords
- vpn
- terminal
- communication
- rule
- vpn device
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000004891 communication Methods 0.000 title claims abstract description 224
- 230000002159 abnormal effect Effects 0.000 description 18
- 230000010365 information processing Effects 0.000 description 15
- 238000000034 method Methods 0.000 description 13
- 238000010586 diagram Methods 0.000 description 4
- 230000000717 retained effect Effects 0.000 description 4
- 230000005540 biological transmission Effects 0.000 description 2
- 241000700605 Viruses Species 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 239000000725 suspension Substances 0.000 description 1
Images
Landscapes
- Computer And Data Communications (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
【課題】イントラネットへのＶＰＮ接続に際して端末の通信を制御してイントラネットのセキュリティを確保することができる通信システム等を提供すること。
【解決手段】ＶＰＮ装置は、自装置とＶＰＮ通信を行う端末のネットワークインターフェイス手段に端末とネットワークを介して接続される各機器に対する通信のルールを設定するルール設定手段によって、自装置と端末とがＶＰＮ通信を行っている間は、端末と自装置以外の機器との通信を制限するルールを設定する。
【選択図】図１An object of the present invention is to provide a communication system or the like that can ensure the security of an intranet by controlling the communication of a terminal during VPN connection to the intranet.
A VPN apparatus is configured such that a self-device and a terminal are connected to each other by a rule setting unit that sets a communication rule for each device connected to the terminal through a network to a network interface unit of the terminal that performs VPN communication with the self-device While performing the VPN communication, a rule is set that restricts communication between the terminal and a device other than the device itself.
[Selection] Figure 1
Description
本発明は、イントラネットへのＶＰＮ接続に際しての端末の通信制御技術に関する。 The present invention relates to a communication control technique for a terminal at the time of VPN connection to an intranet.
会社からパーソナルコンピュータ（以下、「ＰＣ」という）を支給された従業員は、社外端末としてのＰＣをイントラネットとしての社内ネットワークに接続して、社内ポータルサイトなどのＷｅｂサービスの利用やファイルの共有が可能である。 Employees who have received a personal computer (hereinafter referred to as “PC”) from a company can connect a PC as an external terminal to an internal network as an intranet to use Web services such as an internal portal site and share files. Is possible.
会社側では、データ通信の安全性や信頼性の確保を目的として、ＶＰＮ（Virtual Private Network）を導入する場合がある。ＶＰＮとは、インターネットのような公衆回線を専用回線のように利用できるサービスのことをいう。 A company may introduce a VPN (Virtual Private Network) for the purpose of ensuring safety and reliability of data communication. VPN refers to a service that can use a public line such as the Internet like a dedicated line.
ここで、社内ネットワークに社外端末からインターネット上のＶＰＮを経由した接続（以下、「ＶＰＮ接続」という）を行う技術が開示されている（例えば、特許文献１参照）。 Here, a technique for performing connection (hereinafter, referred to as “VPN connection”) via a VPN on the Internet from an external terminal to an internal network is disclosed (see, for example, Patent Document 1).
しかしながら、社外端末からイントラネットにＶＰＮ接続し、ＶＰＮ装置とＶＰＮ通信を行っている場合において、その社外端末とＶＰＮ装置以外のインターネット上の他の装置が直接通信可能であると、イントラネットのセキュリティ上問題がある。 However, when a VPN connection is made from an external terminal to the intranet and VPN communication is performed with the VPN device, if the external terminal and other devices on the Internet other than the VPN device can communicate directly, there is a problem in security of the intranet. There is.
すなわち、イントラネットには一般に、データ通信を管理し、外部からの攻撃（膨大なアクセス数）や不正アクセスから内部ネットワークを守る仕組みであるファイア・ウオールがインターネットとイントラネットとの間に設置される。ところが、イントラネットにＶＰＮ接続している社外端末とＶＰＮ装置以外のインターネット上の他の装置が直接通信可能であると、不当な目的の第三者が当該他の装置からＶＰＮ接続している社外端末を不正に操作すること等により、イントラネットのファイル共有のためのファイルサーバ等にその社外端末を経由してアクセスすることが可能となってしまう。このようにしてファイア・ウオールが無効化されてしまうおそれがある。 That is, in general, a firewall that manages data communication and protects the internal network from external attacks (a large number of accesses) and unauthorized access is installed between the Internet and the intranet. However, if an external terminal that is VPN-connected to the intranet and another device on the Internet other than the VPN device can communicate directly, an external terminal that is illegally connected to the external device by the third party from the other device. It is possible to access a file server or the like for sharing an intranet file via the external terminal by illegally operating the user. In this way, the firewall may be invalidated.
本発明の目的は、イントラネットへのＶＰＮ接続に際して端末の通信を制御してイントラネットのセキュリティを確保することができる通信システム、ＶＰＮ装置、ＮＩＣおよびプログラムを提供することにある。 An object of the present invention is to provide a communication system, a VPN apparatus, a NIC, and a program capable of ensuring the security of an intranet by controlling communication of a terminal at the time of VPN connection to the intranet.
本発明の第一の通信システムは、ＶＰＮ装置と該ＶＰＮ装置とＶＰＮ通信を行う端末とを含む通信システムにおいて、
前記ＶＰＮ装置は、前記端末のネットワークインターフェイス手段に前記端末とネットワークを介して接続される各機器に対する通信のルールを設定するルール設定手段を備え、
前記ＶＰＮ装置は、前記ルール設定手段によって前記ネットワークインターフェイス手段に対し、前記ＶＰＮ装置と前記端末とがＶＰＮ通信を行っている間は、前記端末と前記ＶＰＮ装置以外の機器との通信を制限するルールを設定することを特徴とする。
The first communication system of the present invention is a communication system including a VPN device and a terminal that performs VPN communication with the VPN device.
The VPN apparatus includes rule setting means for setting communication rules for each device connected to the terminal via a network to the network interface means of the terminal,
The VPN device uses the rule setting unit to restrict communication between the terminal and a device other than the VPN device while the VPN device and the terminal are performing VPN communication with the network interface unit. Is set.
また、本発明の第二の通信システムは、ＶＰＮ装置と該ＶＰＮ装置とＶＰＮ通信を行う端末とを含む通信システムにおいて、
前記ＶＰＮ装置は、前記端末のネットワークインターフェイス手段に前記端末とネットワークを介して接続される各機器に対する通信のルールを設定するルール設定手段を備え、
前記ＶＰＮ装置は、前記ルール設定手段によって前記ネットワークインターフェイス手段に対し、前記ＶＰＮ装置と前記端末とがＶＰＮ通信を行っている間は、前記端末と前記ＶＰＮ装置との通信を制限せず、かつ、前記ＶＰＮ装置および前記端末のＶＰＮ通信を確立するために用いられる機器と前記端末との通信を制限せず、かつ、前記ＶＰＮ装置および前記用いられる機器以外の機器と前記端末との通信を制限するルールを設定し、
前記端末は、前記各機器との通信を行う際に、前記ネットワークインターフェイス手段に設定されているルールを参照し、前記ＶＰＮ装置とＶＰＮ通信を行っている間は前記ＶＰＮ装置および前記用いられる機器以外の機器との通信は制限されることを特徴とする。
The second communication system of the present invention is a communication system including a VPN device and a terminal that performs VPN communication with the VPN device.
The VPN apparatus includes rule setting means for setting communication rules for each device connected to the terminal via a network to the network interface means of the terminal,
The VPN device does not restrict communication between the terminal and the VPN device while the VPN device and the terminal are performing VPN communication with the network interface unit by the rule setting unit, and Communication between the terminal used for establishing VPN communication between the VPN device and the terminal and the terminal is not restricted, and communication between the device other than the VPN device and the used device and the terminal is restricted. Set rules,
When the terminal communicates with each device, the terminal refers to the rules set in the network interface means, and while performing VPN communication with the VPN device, the terminal other than the VPN device and the device used Communication with other devices is limited.
また、本発明の第一のＶＰＮ装置は、自ＶＰＮ装置とＶＰＮ通信を行う端末のネットワークインターフェイス手段に前記端末とネットワークを介して接続される各機器に対する通信のルールを設定するルール設定手段を備え、
前記ルール設定手段によって前記ネットワークインターフェイス手段に対し、自ＶＰＮ装置と前記端末とがＶＰＮ通信を行っている間は、前記端末と自ＶＰＮ装置以外の機器との通信を制限するルールを設定することを特徴とする。
The first VPN apparatus according to the present invention further includes rule setting means for setting communication rules for each device connected to the terminal via the network in the network interface means of the terminal that performs VPN communication with the own VPN apparatus. ,
The rule setting unit sets a rule for restricting communication between the terminal and a device other than the own VPN device while the VPN device and the terminal are performing VPN communication with the network interface unit. Features.
また、本発明の第二のＶＰＮ装置は、自ＶＰＮ装置とＶＰＮ通信を行う端末のネットワークインターフェイス手段に前記端末とネットワークを介して接続される各機器に対する通信のルールを設定するルール設定手段を備え、
前記ルール設定手段によって前記ネットワークインターフェイス手段に対し、自ＶＰＮ装置と前記端末とがＶＰＮ通信を行っている間は、前記端末と自ＶＰＮ装置との通信を制限せず、かつ、自ＶＰＮ装置および前記端末のＶＰＮ通信を確立するために用いられる機器と前記端末との通信を制限せず、かつ、自ＶＰＮ装置および前記用いられる機器以外の機器と前記端末との通信を制限するルールを設定することを特徴とする。
The second VPN apparatus of the present invention further includes rule setting means for setting communication rules for each device connected to the terminal via the network in the network interface means of the terminal that performs VPN communication with the own VPN apparatus. ,
While the self VPN apparatus and the terminal are performing VPN communication with the network interface means by the rule setting means, communication between the terminal and the self VPN apparatus is not restricted, and the self VPN apparatus and the terminal Setting a rule that does not restrict communication between the terminal used for establishing the VPN communication of the terminal and the terminal, and restricts communication between the device other than the self-VPN apparatus and the device used and the terminal. It is characterized by.
また、本発明の第一のＮＩＣは、ＶＰＮ装置とＶＰＮ通信を行う端末のＮＩＣであって、
前記ＶＰＮ装置のルール設定手段によって、前記端末とネットワークを介して接続される各機器に対する通信のルールを設定され、
前記ＶＰＮ装置の前記ルール設定手段によって、前記ＶＰＮ装置と前記端末とがＶＰＮ通信を行っている間は、前記端末と前記ＶＰＮ装置以外の機器との通信を制限するルールが設定されることを特徴とする。
The first NIC of the present invention is a NIC of a terminal that performs VPN communication with a VPN device,
The rule setting means of the VPN device sets communication rules for each device connected to the terminal via a network,
The rule setting means of the VPN device sets a rule for restricting communication between the terminal and a device other than the VPN device while the VPN device and the terminal are performing VPN communication. And
また、本発明の第二のＮＩＣは、ＶＰＮ装置とＶＰＮ通信を行う端末のＮＩＣであって、
前記ＶＰＮ装置のルール設定手段によって、前記端末とネットワークを介して接続される各機器に対する通信のルールを設定され、
前記ＶＰＮ装置の前記ルール設定手段によって、前記ＶＰＮ装置と前記端末とがＶＰＮ通信を行っている間は、前記端末と前記ＶＰＮ装置との通信を制限せず、かつ、前記ＶＰＮ装置および前記端末のＶＰＮ通信を確立するために用いられる機器と前記端末との通信を制限せず、かつ、前記ＶＰＮ装置および前記用いられる機器以外の機器と前記端末との通信を制限するルールが設定され、
前記端末によって、前記各機器との通信を行う際に、設定されているルールが参照されることを特徴とする。
The second NIC of the present invention is a NIC of a terminal that performs VPN communication with a VPN device,
The rule setting means of the VPN device sets communication rules for each device connected to the terminal via a network,
While the VPN device and the terminal are performing VPN communication by the rule setting means of the VPN device, communication between the terminal and the VPN device is not restricted, and the VPN device and the terminal A rule is set that does not restrict communication between the device used to establish VPN communication and the terminal, and restricts communication between the device other than the VPN device and the device used, and the terminal,
When the terminal communicates with each device, a set rule is referred to.
本発明によれば、イントラネットへのＶＰＮ接続に際して端末の通信を制御してイントラネットのセキュリティを確保できる。 ADVANTAGE OF THE INVENTION According to this invention, the security of an intranet can be ensured by controlling communication of a terminal at the time of VPN connection to an intranet.
以下、本発明の実施の形態について図面を参照して詳細に説明する。図１に示す本実施の形態における通信システムは、インターネット１００上のモバイルＰＣ端末１と、イントラネット２００上の特定のＶＰＮ装置２と、その特定のＶＰＮ装置２以外のイントラネット２００上の他のＶＰＮ装置３と、社内ポータルサイトのＷｅｂサービス・ファイルの共有・従業員の在席状況を示すプレゼンス情報などを提供する社内装置４と、ルータ５と、モバイルＰＣ端末１にＩＰアドレスを割り当てるためのＤＨＣＰサーバ６と、インターネット１００上の情報処理装置７と、ファイア・ウオール８とから構成されている。
なお、ＶＰＮ装置２はモバイルＰＣ端末１と当初のＶＰＮ通信を行うＶＰＮ装置であり、ＶＰＮ装置３はモバイルＰＣ端末１と当初はＶＰＮ通信を行っていないＶＰＮ装置である。ＶＰＮ装置３はイントラネット２００上の他のＶＰＮ装置の代表として例示したにすぎず、その他多数のイントラネット２００上の他のＶＰＮ装置が追加される構成も当然考えられる。
また、ルータ５およびＤＨＣＰサーバ６は、モバイルＰＣ端末１にＩＰアドレスを割り当て、モバイルＰＣ端末１が当初のＶＰＮ通信を行うＶＰＮ装置２とのＶＰＮ通信を確立するまでに用いられる機器の例示であり、いずれか一方であったり、その他の機器が追加される構成であってもよい。
また、インターネット１００上の情報処理装置７は、インターネット１００上の種々の多数の機器の代表として例示したにすぎず、その他多数のインターネット１００上の情報処理装置が追加される構成も当然考えられる。
Hereinafter, embodiments of the present invention will be described in detail with reference to the drawings. The communication system in the present embodiment shown in FIG. 1 includes a
The
The
In addition, the
モバイルＰＣ端末１の機能ブロック図を図２に示す。図２を参照すると、モバイルＰＣ端末１は、アプリケーション（ＡＰ）１１と、Ｗｉｎｄｏｗｓ（登録商標）２０００／ＸＰ／ＶｉｓｔａなどのＯＳ（Operating System）１２と、無線ＬＡＮ等のネットワークインターフェイス手段としてのＮＩＣ（Network Interface Card）１３と、制御手段としてのＣＰＵ１４と、通信部１５とを備えている可搬情報処理装置である。なお、ＯＳ１２にはＶＰＮクライアント機能が標準に装備されている場合もあるし、後から追加する場合もある。このＶＰＮクライアント機能を利用することによってＶＰＮ接続環境を構築し、イントラネット２００へＶＰＮ接続する。ＶＰＮ接続環境を構築するためには、ＶＰＮ装置２やＶＰＮ装置３−ｎのＩＰアドレスやポート番号の設定および認証ＩＤやパスワードの指定が必要とされる。
モバイルＰＣ端末１は、イントラネット２００にＶＰＮ接続し、ＶＰＮ装置２とＶＰＮ通信を行う場合、ＩＰアドレスを割り当ててもらうべく、ルータ５やＤＨＣＰサーバ６と通信し、その後ＶＰＮ装置２との通信を確立する。
ＮＩＣ１３には、通信が許可される相手機器のリストであるホワイトリストや通信が許可されるパケットの量やサイズ等の各種のセキュリティポリシーとしてのルールが設定される。このルールはＶＰＮ通信を行うＶＰＮ装置２やＶＰＮ装置３によって設定内容が書き換えられる。
A functional block diagram of the
When the
The NIC 13 is set with various security policy rules such as a white list, which is a list of counterpart devices that are permitted to communicate, and the amount and size of packets that are permitted to communicate. The setting contents of this rule are rewritten by the
ＶＰＮ装置２の機能ブロック図を図３に示す。なお、ＶＰＮ装置２はモバイルＰＣ端末１と当初のＶＰＮ通信を行うＶＰＮ装置であり、ＶＰＮ装置３はモバイルＰＣ端末１と当初はＶＰＮ通信を行っていないＶＰＮ装置であると区別しているに過ぎず基本的な構成は同様であるので、ここではＶＰＮ装置２を例として説明する。なお、イントラネットには複数のＶＰＮ装置が設置されていることも多く、例えば、東京支店と北京支店が同一のイントラネット上にある場合、日本国内からのモバイルＰＣ端末１からのＶＰＮ接続は東京支店のＶＰＮ装置との間で確立される例が挙げられる。
図３を参照すると、ＶＰＮ装置２は、アプリケーション（ＡＰ）２１と、ＯＳ（Operating System）２２と、制御手段としてのＣＰＵ２３と、モバイルＰＣ端末１のＮＩＣ１３にセキュリティポリシーとしての通信制限のルールを設定するルール設定部２４と、モバイルＰＣ端末１との少量のデータのやりとりでＶＰＮ通信を確立する確立部２５とＶＰＮ通信を行う通信部２６とを備えている情報処理装置である。なお、社内装置４は、ＶＰＮ装置２を介してモバイルＰＣ端末１から社内ポータルサイトや共有ファイルを送るよう指示されると、社内ポータルサイトや共有ファイルをモバイルＰＣ端末１に送る。
A functional block diagram of the
Referring to FIG. 3, the
次に、ＶＰＮ装置２等のルール設定部２４によってモバイルＰＣ端末１のＮＩＣ１３に設定されるセキュリティポリシーとしてのルールの内容を説明する。以下では、パターン１〜パターン４について述べる。
パターン１は、モバイルＰＣ端末１は仕事用なのでネットサーフィン等のインターネット１００へのＶＰＮ未利用時も含みファイア・ウオール８を介さない直接の接続は認めないケースである。
パターン２は、モバイルＰＣ端末１のネットサーフィン等のインターネット１００へのＶＰＮ未利用時も含みファイア・ウオール８を介さない直接の接続を認めるケースである。
パターン３（その１、その２を含む）は、パターン１のケースでＶＰＮ接続の異常終了を考慮したケースである。
パターン４（その１、その２を含む）は、パターン２のケースでＶＰＮ接続の異常終了を考慮したケースである。
Next, the contents of the rule as the security policy set in the NIC 13 of the
Pattern 3 (including
Pattern 4 (including 1 and 2) is a case in which abnormal termination of the VPN connection is considered in the case of
まず、パターン１として、モバイルＰＣ端末１とＶＰＮ装置２以外のインターネット１００上の情報処理装置７等が直接通信可能であると、ウイルスなどの不正プログラムに感染したり、業務に無関係なサイトの閲覧など業務効率の低下が起きるリスクがある。このようなリスクを回避すべく、ＶＰＮ装置２のＩＰアドレス以外のＩＰアドレスとの通信を制限する場合について説明する。
First, as the
このパターン１のルールにより設定されるセキュリティポリシーの一例を、図４の表に示した。図４を参照すると、ルールの対象機器として、（１）モバイルＰＣ端末１と当初のＶＰＮ通信を行うＶＰＮ装置２、（２）モバイルＰＣ端末１にＩＰアドレスを割り当て、モバイルＰＣ端末１が当初のＶＰＮ通信を行うＶＰＮ装置２とのＶＰＮ通信を確立するまでに用いられる機器であるルータ５およびＤＨＣＰサーバ６、（３）モバイルＰＣ端末１と当初はＶＰＮ通信を行っていないＶＰＮ装置３、（４）インターネット１００上の情報処理装置７がある。
An example of the security policy set by the rule of
また、図４を参照すると、時系列として、＜１＞ＶＰＮ装置２とのＶＰＮ通信を確立するまで、＜２＞ＶＰＮ装置２とのＶＰＮ通信中、＜３＞ＶＰＮ装置２とのＶＰＮ通信正常終了時がある。
Referring to FIG. 4, <3> VPN communication with the
図４の表に示す記号の意味として、「○」は、通信が許可されるパケットの量やサイズに制限がないことを意味している。また、「△」は、通信が許可されるパケットの量やサイズに制限（非常に小さい値、例えば、ＶＰＮ装置２との少量のデータのやりとりでＶＰＮ通信を確立するために必要な値である。）があることを意味している。また、「×」は、通信が許可されるパケットの量やサイズがゼロに制限、すなわち通信がまったく許可されないことを意味している。 As the meaning of the symbols shown in the table of FIG. 4, “◯” means that there is no limit on the amount or size of packets that are allowed to be communicated. Further, “Δ” is limited to the amount and size of packets permitted for communication (very small value, for example, a value necessary for establishing VPN communication by exchanging a small amount of data with the VPN apparatus 2). .) Means that there is. Further, “x” means that the amount or size of packets permitted for communication is limited to zero, that is, communication is not permitted at all.
以下では、図４に示すパターン１のルールにより設定されるセキュリティポリシーが適用された場合の各対象機器の通信状況を時系列に沿って説明する。
In the following, the communication status of each target device when the security policy set by the rule of
まず、＜１＞ＶＰＮ装置２とのＶＰＮ通信を確立するまで
上記（２）のルータ５およびＤＨＣＰサーバ６は「○」である。これは、モバイルＰＣ端末１にＩＰアドレスを割り当てる等のやりとりのために、通信が許可されるパケットの量やサイズに制限を設けることは適当でないからである。逆に言えば、ルータ５およびＤＨＣＰサーバ６以外の機器は「△」であれば十分となり、ネットサーフィン等のインターネット１００への接続は認めないのであるから「△」でよい。
具体的には、図５に示すように、ルール１により、他のルールに適合しなければ、すべての機器について通信が許可されるパケットの量やサイズに制限（小さい値）があり（「△」）が設定され、ルール２の第一のホワイトリストにより、ポート番号で指定されるルータ５およびＤＨＣＰサーバ６に、通信が許可されるパケットの量やサイズに制限がない（「○」）が設定さることで実現されてよい。ここでのルール１およびルール２の内容は、出荷時の初期設定や予め所定のＶＰＮ装置等により設定されているものとする。
First, <1> Until the VPN communication with the
Specifically, as shown in FIG. 5, if
次に、＜２＞ＶＰＮ装置２とのＶＰＮ通信中
上記（１）のＶＰＮ装置２は「○」である。これは、モバイルＰＣ端末１とのＶＰＮ接続中のやりとりのために、通信が許可されるパケットの量やサイズに制限を設けることは適当でないからである。そして、このときに、インターネット１００上の情報処理装置７を含む他の機器と直接通信可能であると、ファイア・ウオールが無効化されるセキュリティ上の問題が発生するおそれがあるので、ＶＰＮ装置２以外の機器は「×」とすることが理想的である。
具体的には、図６に示すように、ルール１を、他のルールに適合しなければ、すべての機器について通信が許可されるパケットの量やサイズがゼロに制限（「×」）に書き換え、ルール２を停止し、ルール３の第二のホワイトリストにより、ＩＰアドレスおよびポート番号で指定されるＶＰＮ装置２に、通信が許可されるパケットの量やサイズに制限がない（「○」）が設定さることで実現されてよい。
Next, <2> VPN communication with the
Specifically, as shown in FIG. 6, if
そして、＜３＞ＶＰＮ装置２とのＶＰＮ通信正常終了時
上記（１）のＶＰＮ装置２は「○」である。これは、次回もＶＰＮ装置２をＶＰＮ接続する場合にそのまま設定を有効活用するためである。そして、ルータ５およびＤＨＣＰサーバ６は上記の＜１＞の状態に戻すべく、「○」となり、ＶＰＮ装置２とルータ５およびＤＨＣＰサーバ６以外の機器は上記の＜１＞の状態に戻すべく、「△」となる。なお、次回にＶＰＮ装置２以外のＶＰＮ装置３とＶＰＮ接続する場合には上記＜２＞の処理によりＶＰＮ装置２は「○」から「×」となる。
具体的には、図７に示すように、ルール１を、他のルールに適合しなければ、すべての機器について通信が許可されるパケットの量やサイズに制限（小さい値）があり（「△」）に書き換え、ルール２の停止を解除し、ルール３をそのままの設定とすることで実現されてよい。
<3> When VPN communication with the
Specifically, as shown in FIG. 7, if
次に、パターン２について説明する。このパターン２のルールにより設定されるセキュリティポリシーの一例を、図８の表に示した。基本的には上述のパターン１と同様であり、重複する説明は省略する。
Next, the
まず、＜１＞ＶＰＮ装置２とのＶＰＮ通信を確立するまで
すべての機器は「○」である。上記（２）のルータ５およびＤＨＣＰサーバ６は、モバイルＰＣ端末１にＩＰアドレスを割り当てる等のやりとりのために、通信が許可されるパケットの量やサイズに制限を設けることは適当でないからである。さらに、ルータ５およびＤＨＣＰサーバ６以外の機器についても、ネットサーフィン等のインターネット１００への接続を認めるのであるから「○」でよい。
なお具体的な設定は不要である。
First, <1> All devices are “O” until VPN communication with the
No specific setting is required.
次に、＜２＞ＶＰＮ装置２とのＶＰＮ通信中
上記（１）のＶＰＮ装置２は「○」である。これは、モバイルＰＣ端末１とのＶＰＮ接続中のやりとりのために、通信が許可されるパケットの量やサイズに制限を設けることは適当でないからである。そして、このときに、インターネット１００上の情報処理装置７を含む他の機器と直接通信可能であると、ファイア・ウオールが無効化されるセキュリティ上の問題が発生するおそれがあるので、ＶＰＮ装置２以外の機器は「×」とすることが理想的である。
具体的には、図９に示すように、ルール１を、他のルールに適合しなければ、すべての機器について通信が許可されるパケットの量やサイズがゼロに制限（「×」）に設定し、ルール２のホワイトリストにより、ＩＰアドレスおよびポート番号で指定されるＶＰＮ装置２に、通信が許可されるパケットの量やサイズに制限がない（「○」）が設定さることで実現されてよい。
Next, <2> VPN communication with the
Specifically, as shown in FIG. 9, if
そして、＜３＞ＶＰＮ装置２とのＶＰＮ通信正常終了時
上記（１）のＶＰＮ装置２は「○」である。これは、次回もＶＰＮ装置２をＶＰＮ接続する場合にそのまま設定を有効活用するためである。そして、ＶＰＮ装置２以外の機器は上記の＜１＞の状態に戻すべく、「○」となる。なお、次回にＶＰＮ装置２以外のＶＰＮ装置３とＶＰＮ接続する場合には上記＜２＞の処理によりＶＰＮ装置２は「○」から「×」となる。
具体的には、図９に示すようなルール１およびルール２を削除することで実現されてよい。
<3> When VPN communication with the
Specifically, it may be realized by deleting
次に、パターン３（その１）について説明する。このパターン３（その１）のルールにより設定されるセキュリティポリシーの一例を、図１０の表に示した。基本的には上述のパターン１と同様であり、重複する説明は省略する。
パターン３（その１、その２を含む）は、パターン１のケースでＶＰＮ接続の異常終了を考慮したケースである。すなわち、ＮＩＣ１３はハードウェアであり異常終了してもルールにより設定されるセキュリティポリシーは保持されたままであり、ＶＰＮ装置２以外の機器は「×」であるので、端末の異常終了などで再度ＶＰＮ接続を図るときのルータ５およびＤＨＣＰサーバ６との通信が不可能となり再度ＶＰＮ接続できないこととなる。パターン３は、モバイルＰＣ端末１やＶＰＮ装置２のシャットダウン、意図せぬ電源ＯＦＦ等によりＶＰＮ接続が異常終了した場合に再度ＶＰＮ接続を可能とする。
Next, pattern 3 (part 1) will be described. An example of the security policy set by the rule of pattern 3 (part 1) is shown in the table of FIG. Basically, it is the same as the above-described
Pattern 3 (including
以下、パターン３（その１）についてパターン１との相違点を説明する。
＜２＞ＶＰＮ装置２とのＶＰＮ通信中
上記（１）のＶＰＮ装置２は「○」である。これは、モバイルＰＣ端末１とのＶＰＮ接続中のやりとりのために、通信が許可されるパケットの量やサイズに制限を設けることは適当でないからである。そして、このときに、インターネット１００上の情報処理装置７を含む他の機器と直接通信可能であると、ファイア・ウオールが無効化されるセキュリティ上の問題が発生するおそれがあるので、ＶＰＮ装置２以外の機器は「×」とすることが理想的である。ただし、端末の異常終了などで再度ＶＰＮ接続を図るときのルータ５およびＤＨＣＰサーバ６との通信を可能とすべくこれらは「○」のままとする。
具体的には、図１１に示すように、ルール１を、他のルールに適合しなければ、すべての機器について通信が許可されるパケットの量やサイズがゼロに制限（「×」）に書き換え、ルール２をそのままの設定とし、ルール３の第二のホワイトリストにより、ＩＰアドレスおよびポート番号で指定されるＶＰＮ装置２に、通信が許可されるパケットの量やサイズに制限がない（「○」）が設定さることで実現されてよい。
Hereinafter, the difference between the pattern 3 (part 1) and the
<2> During VPN communication with the
Specifically, as shown in FIG. 11, if
そして、＜３＞ＶＰＮ装置２とのＶＰＮ通信正常終了時
上記（１）のＶＰＮ装置２は「○」である。これは、次回もＶＰＮ装置２をＶＰＮ接続する場合にそのまま設定を有効活用するためである。そして、ルータ５およびＤＨＣＰサーバ６は上記の＜１＞の状態に戻すべく、「○」となり、ＶＰＮ装置２とルータ５およびＤＨＣＰサーバ６以外の機器は上記の＜１＞の状態に戻すべく、「△」となる。なお、次回にＶＰＮ装置２以外のＶＰＮ装置３とＶＰＮ接続する場合には上記＜２＞の処理によりＶＰＮ装置２は「○」から「×」となる。
具体的には、図７に示すように、ルール１を、他のルールに適合しなければ、すべての機器について通信が許可されるパケットの量やサイズに制限（小さい値）があり（「△」）に書き換え、ルール２をそのままの設定とし、ルール３を削除することで実現されてよい。
<3> When VPN communication with the
Specifically, as shown in FIG. 7, if
次に、パターン３（その２）について説明する。このパターン３（その２）のルールにより設定されるセキュリティポリシーの一例を、図１２の表に示した。基本的には上述のパターン１と同様であり、重複する説明は省略する。
パターン３は、パターン１のケースでＶＰＮ接続の異常終了を考慮したケースであるが、上述のパターン３（その１）では、モバイルＰＣ端末１と当初のＶＰＮ通信を行うＶＰＮ装置２としか再度のＶＰＮ接続ができない。なぜならＶＰＮ装置２以外のＶＰＮ装置３は＜２＞ＶＰＮ装置２とのＶＰＮ通信中は「×」の設定であり、ＶＰＮ接続を確立するための最小限の通信のやりとりすら不可能だからである。パターン３（その２）は、モバイルＰＣ端末１やＶＰＮ装置２のシャットダウン、意図せぬ電源ＯＦＦ等によりＶＰＮ接続が異常終了した場合であってＶＰＮ装置２が復旧しないとき等に再度のＶＰＮ接続をＶＰＮ装置２以外のＶＰＮ装置３と可能とする。
Next, pattern 3 (part 2) will be described. An example of the security policy set by the rule of pattern 3 (part 2) is shown in the table of FIG. Basically, it is the same as the above-described
以下、パターン３（その２）についてパターン３（その１）との相違点を説明する。
＜２＞ＶＰＮ装置２とのＶＰＮ通信中
上記（１）のＶＰＮ装置２は「○」である。これは、モバイルＰＣ端末１とのＶＰＮ接続中のやりとりのために、通信が許可されるパケットの量やサイズに制限を設けることは適当でないからである。そして、このときに、インターネット１００上の情報処理装置７を含む他の機器と直接通信可能であると、ファイア・ウオールが無効化されるセキュリティ上の問題が発生するおそれがあるので、ＶＰＮ装置２以外の機器は「×」とすることが理想的であるが、ＶＰＮ通信を確立するための最小限のデータのやりとりを許可すべく、ＶＰＮ装置２以外の機器は「△」のままとする。したがって、ＶＰＮ装置３も「△」のままである。なお、情報処理装置７ともデータのやりとりが可能となってしまうが、「△」であり最小限のデータのやりとりのみ許可されるにすぎなく、モバイルＰＣ端末１をのっとった形によりファイア・ウオールの無効化を可能とするまでの大幅なデータのやりとりは禁止されるのでセキュリティ上の問題はない。ただし、端末の異常終了などで再度ＶＰＮ接続を図るときのルータ５およびＤＨＣＰサーバ６との通信を可能とすべくこれらは「○」のままとする。
具体的には、図１３に示すように、ルール１およびルール２をそのままの設定とし、ルール３の第二のホワイトリストにより、ＩＰアドレスおよびポート番号で指定されるＶＰＮ装置２に、通信が許可されるパケットの量やサイズに制限がない（「○」）が設定さることで実現されてよい。
Hereinafter, the difference between the pattern 3 (part 2) and the pattern 3 (part 1) will be described.
<2> During VPN communication with the
Specifically, as shown in FIG. 13,
そして、＜３＞ＶＰＮ装置２とのＶＰＮ通信正常終了時
上記（１）のＶＰＮ装置２は「○」である。これは、次回もＶＰＮ装置２をＶＰＮ接続する場合にそのまま設定を有効活用するためである。なお、次回にＶＰＮ装置２以外のＶＰＮ装置３とＶＰＮ接続する場合には上記＜２＞の処理によりルール３が書き換えられてＶＰＮ装置２は「○」から「△」となる。
なお具体的な設定は不要である。
<3> When VPN communication with the
No specific setting is required.
次に、パターン４（その１）について説明する。このパターン４（その１）のルールにより設定されるセキュリティポリシーの一例を、図１４の表に示した。基本的には上述のパターン２と同様であり、重複する説明は省略する。
パターン４は、パターン２のケースでＶＰＮ接続の異常終了を考慮したケースである。すなわち、ＮＩＣ１３はハードウェアであり異常終了してもルールにより設定されるセキュリティポリシーは保持されたままであり、ＶＰＮ装置２以外の機器は「×」であるので、端末の異常終了などで再度ＶＰＮ接続を図るときのルータ５およびＤＨＣＰサーバ６との通信が不可能となり再度ＶＰＮ接続できないこととなる。パターン３は、モバイルＰＣ端末１やＶＰＮ装置２のシャットダウン、意図せぬ電源ＯＦＦ等によりＶＰＮ接続が異常終了した場合に再度ＶＰＮ接続を可能とする。
Next, pattern 4 (part 1) will be described. An example of the security policy set by the rule of pattern 4 (part 1) is shown in the table of FIG. Basically, it is the same as the above-described
以下、パターン４（その１）についてパターン２との相違点を説明する。
＜２＞ＶＰＮ装置２とのＶＰＮ通信中
上記（１）のＶＰＮ装置２は「○」である。これは、モバイルＰＣ端末１とのＶＰＮ接続中のやりとりのために、通信が許可されるパケットの量やサイズに制限を設けることは適当でないからである。そして、このときに、インターネット１００上の情報処理装置７を含む他の機器と直接通信可能であると、ファイア・ウオールが無効化されるセキュリティ上の問題が発生するおそれがあるので、ＶＰＮ装置２以外の機器は「×」とすることが理想的である。ただし、端末の異常終了などで再度ＶＰＮ接続を図るときのルータ５およびＤＨＣＰサーバ６との通信を可能とすべくこれらは「○」のままとする。
具体的には、図１５に示すように、ルール１を、他のルールに適合しなければ、すべての機器について通信が許可されるパケットの量やサイズがゼロに制限（「×」）に設定し、ルール２の第一のホワイトリストにより、ポート番号で指定されるルータ５およびＤＨＣＰサーバ６に、通信が許可されるパケットの量やサイズに制限がない（「○」）が設定され、ルール３のホワイトリストにより、ＩＰアドレスおよびポート番号で指定されるＶＰＮ装置２に、通信が許可されるパケットの量やサイズに制限がない（「○」）が設定さることで実現されてよい。
Hereinafter, the difference between the pattern 4 (part 1) and the
<2> During VPN communication with the
Specifically, as shown in FIG. 15, if
そして、＜３＞ＶＰＮ装置２とのＶＰＮ通信正常終了時
上記（１）のＶＰＮ装置２は「○」である。これは、次回もＶＰＮ装置２をＶＰＮ接続する場合にそのまま設定を有効活用するためである。そして、ルータ５およびＤＨＣＰサーバ６は上記の＜１＞の状態に戻すべく、「○」となり、ＶＰＮ装置２とルータ５およびＤＨＣＰサーバ６以外の機器は上記の＜１＞の状態に戻すべく、「○」となる。なお、次回にＶＰＮ装置２以外のＶＰＮ装置３とＶＰＮ接続する場合には上記＜２＞の処理によりＶＰＮ装置２は「○」から「×」となる。
具体的には、ルール１、ルール２およびルール３を削除することで実現されてよい。
<3> When VPN communication with the
Specifically, it may be realized by deleting
次に、パターン４（その２）について説明する。このパターン４（その２）のルールにより設定されるセキュリティポリシーの一例を、図１６の表に示した。基本的には上述のパターン２と同様であり、重複する説明は省略する。
パターン４は、パターン２のケースでＶＰＮ接続の異常終了を考慮したケースであるが、上述のパターン４（その１）では、モバイルＰＣ端末１と当初のＶＰＮ通信を行うＶＰＮ装置２としか再度のＶＰＮ接続ができない。なぜならＶＰＮ装置２以外のＶＰＮ装置３は＜２＞ＶＰＮ装置２とのＶＰＮ通信中は「×」の設定であり、ＶＰＮ通信を確立するための最小限のデータのやりとりすら不可能だからである。パターン４（その２）は、モバイルＰＣ端末１やＶＰＮ装置２のシャットダウン、意図せぬ電源ＯＦＦ等によりＶＰＮ接続が異常終了した場合であってＶＰＮ装置２が復旧しないとき等に再度のＶＰＮ接続をＶＰＮ装置２以外のＶＰＮ装置３と可能とする。
Next, pattern 4 (part 2) will be described. An example of the security policy set by the rule of pattern 4 (part 2) is shown in the table of FIG. Basically, it is the same as the above-described
以下、パターン４（その２）についてパターン４（その１）との相違点を説明する。
＜２＞ＶＰＮ装置２とのＶＰＮ通信中
上記（１）のＶＰＮ装置２は「○」である。これは、モバイルＰＣ端末１とのＶＰＮ接続中のやりとりのために、通信が許可されるパケットの量やサイズに制限を設けることは適当でないからである。そして、このときに、インターネット１００上の情報処理装置７を含む他の機器と直接通信可能であると、ファイア・ウオールが無効化されるセキュリティ上の問題が発生するおそれがあるので、ＶＰＮ装置２以外の機器は「×」とすることが理想的であるが、ＶＰＮ通信を確立するための最小限のデータのやりとりを許可すべく、ＶＰＮ装置２以外の機器は「△」のままとする。ただし、端末の異常終了などで再度ＶＰＮ接続を図るときのルータ５およびＤＨＣＰサーバ６との通信を可能とすべくこれらは「○」のままとする。
具体的には、図１７に示すように、ルール１を、他のルールに適合しなければ、すべての機器について通信が許可されるパケットの量やサイズに制限（小さい値）があり（「△」）に設定し、ルール２の第一のホワイトリストにより、ポート番号で指定されるルータ５およびＤＨＣＰサーバ６に、通信が許可されるパケットの量やサイズに制限がない（「○」）が設定され、ルール３のホワイトリストにより、ＩＰアドレスおよびポート番号で指定されるＶＰＮ装置２に、通信が許可されるパケットの量やサイズに制限がない（「○」）が設定さることで実現されてよい。
Hereinafter, the difference between the pattern 4 (part 2) and the pattern 4 (part 1) will be described.
<2> During VPN communication with the
Specifically, as shown in FIG. 17, if
そして、＜３＞ＶＰＮ装置２とのＶＰＮ通信正常終了時
上記（１）のＶＰＮ装置２は「○」である。これは、次回もＶＰＮ装置２をＶＰＮ接続する場合にそのまま設定を有効活用するためである。なお、次回にＶＰＮ装置２以外のＶＰＮ装置３とＶＰＮ接続する場合には上記＜２＞の処理によりルール３が書き換えられてＶＰＮ装置２は「○」から「△」となる。
具体的には、ルール１、ルール２およびルール３を削除することで実現されてよい。
<3> When VPN communication with the
Specifically, it may be realized by deleting
次に、本実施の形態における上記のパターン１〜パターン４について処理動作を説明する。
Next, the processing operation for the
パターン１について図１８のフローチャートを参照して説明する。
モバイルＰＣ端末１は、ＮＩＣ１３に設定されているセキュリティポリシーとしてのルールに従った通信のみ可能である。すなわち、図１８に記載の通信以外は実施できないことが前提となる。
モバイルＰＣ端末１の通信部１５は、「○」であるルータ５およびＤＨＣＰサーバ６とＩＰアドレスを割り当ててもらうためのデータのやりとりを行い（Ｓ１８０１）、その割り当てられたＩＰアドレスを用いて「△」であるＶＰＮ装置２の確立部２５とＶＰＮ通信を確立するための少量のデータのやりとりでＶＰＮ通信の接続を確立する（Ｓ１８０２）。
The
The
The communication unit 15 of the
次に、ＶＰＮ装置２のルール設定部２４はモバイルＰＣ端末１のＮＩＣ１３にセキュリティポリシーとしてのルールを設定する（Ｓ１８０３）。このルールは図４の「＜２＞ＶＰＮ装置２とのＶＰＮ通信中」に示すものであり、具体的な設定方法は上述したとおりである。ＶＰＮ装置２は「○」であり、ファイア・ウオールが無効化されるセキュリティ上の問題が発生するおそれがあるので、ＶＰＮ装置２以外の機器は「×」となる。
Next, the rule setting unit 24 of the
そして、モバイルＰＣ端末１の通信部１５は、「○」であるＶＰＮ装置２の通信部２６とＶＰＮ通信を行う（Ｓ１８０４）。
And the communication part 15 of the
モバイルＰＣ端末１とＶＰＮ装置２とのＶＰＮ通信が正常に終了する場合、ＶＰＮ装置２のルール設定部２４はモバイルＰＣ端末１のＮＩＣ１３にセキュリティポリシーとしてのルールを設定する（Ｓ１８０５）。このルールは図４の「＜３＞ＶＰＮ装置２とのＶＰＮ通信正常終了時」に示すものであり、具体的な設定方法は上述したとおりである。ＶＰＮ装置２は「○」であり、ファイア・ウオールが無効化されるセキュリティ上の問題が発生するおそれがあるので、ＶＰＮ装置２以外の機器は「×」となる。ＶＰＮ装置２は「○」である。ルータ５およびＤＨＣＰサーバ６は当初の状態に戻すべく、「○」となり、ＶＰＮ装置２とルータ５およびＤＨＣＰサーバ６以外の機器は当初のネットサーフィン等のインターネット１００への接続は認めない状態に戻すべく、「△」となる。
When the VPN communication between the
パターン２については、上記のパターン１とはＶＰＮ装置２とルータ５およびＤＨＣＰサーバ６以外の機器の機器についても、ネットサーフィン等のインターネット１００への接続を認めるのであるから「○」でよいとする点のみが異なり、上記のパターン１の図１８のフローチャートと同様であるので重複する説明は省略する。
Regarding
次に、パターン３（その１）について図１９のフローチャートを参照して説明する。なお、基本的には上述のパターン１と同様であり、重複する説明は省略する。パターン３（その１、その２を含む）は、パターン１のケースでＶＰＮ接続の異常終了を考慮したケースであるので、異常終了の場合の処理動作を中心に説明する。パターン３（その１）は、異常終了の場合、ＶＰＮ装置２と再度ＶＰＮ接続を図る点が特徴である。
Next, pattern 3 (part 1) will be described with reference to the flowchart of FIG. In addition, it is the same as that of the above-mentioned
ステップＳ１９０１〜ステップＳ１９０２は、図１８のステップＳ１８０１〜ステップＳ１８０２と同様である。 Steps S1901 to S1902 are the same as steps S1801 to S1802 in FIG.
次に、ＶＰＮ装置２のルール設定部２４はモバイルＰＣ端末１のＮＩＣ１３にセキュリティポリシーとしてのルールを設定する（Ｓ１９０３）。このルールは図１０の「＜２＞ＶＰＮ装置２とのＶＰＮ通信中」に示すものであり、具体的な設定方法は上述したとおりである。ＶＰＮ装置２は「○」であり、ファイア・ウオールが無効化されるセキュリティ上の問題が発生するおそれがあるので、ＶＰＮ装置２以外の機器は「×」とすることが理想的である。ただし、端末の異常終了などで再度ＶＰＮ接続を図るときのルータ５およびＤＨＣＰサーバ６との通信を可能とすべくこれらは「○」のままとする。
Next, the rule setting unit 24 of the
ステップＳ１９０４は、図１８のステップＳ１８０４と同様である。 Step S1904 is the same as step S1804 in FIG.
ＶＰＮ通信の終了が正常であったか否かを判定し（Ｓ１９０５）、モバイルＰＣ端末１とＶＰＮ装置２とのＶＰＮ通信が正常に終了する場合（Ｓ１９０５／Ｙｅｓ）、ステップＳ１９０８は図１７のステップＳ１８０７と同様である。
一方、モバイルＰＣ端末１とＶＰＮ装置２とのＶＰＮ通信が異常終了する場合（Ｓ１９０５／Ｎｏ）、まず、モバイルＰＣ端末１のＣＰＵ１４は、ＮＩＣ１３に設定されているセキュリティポリシーとしてのルールを参照する（Ｓ１９０７）。このとき、ＮＩＣ１３はハードウェアであり異常終了してもルールにより設定されるセキュリティポリシーは保持されたままであり、図１０の「＜２＞ＶＰＮ装置２とのＶＰＮ通信中」に示すもののままである。
モバイルＰＣ端末１の通信部１５は、「○」であるルータ５およびＤＨＣＰサーバ６とＩＰアドレスを割り当ててもらうためのデータのやりとりを行い（Ｓ１９０８）、その割り当てられたＩＰアドレスを用いて「○」であるＶＰＮ装置２の確立部２５と再度ＶＰＮ通信を確立するための少量のデータのやりとりでＶＰＮ通信の接続を確立する（Ｓ１９０９）。以降は上記のステップＳ１９０４以降の処理と同様となる。
It is determined whether the end of the VPN communication is normal (S1905), and when the VPN communication between the
On the other hand, when the VPN communication between the
The communication unit 15 of the
次に、パターン３（その２）について図２０のフローチャートを参照して説明する。なお、基本的には上述のパターン１ないしパターン３（その１）と同様であり、重複する説明は省略する。パターン３（その１、その２を含む）は、パターン１のケースでＶＰＮ接続の異常終了を考慮したケースであるので、異常終了の場合の処理動作を中心に説明する。パターン３（その２）は、異常終了の場合、ＶＰＮ装置２が復旧しないとき等に再度のＶＰＮ接続をＶＰＮ装置２以外のＶＰＮ装置３と可能とする点が特徴である。
Next, pattern 3 (part 2) will be described with reference to the flowchart of FIG. The description is basically the same as the above-described
ステップＳ２００１〜ステップＳ２００２は、図１９のステップＳ１９０１〜ステップＳ１９０２と同様である。 Steps S2001 to S2002 are the same as steps S1901 to S1902 in FIG.
次に、ＶＰＮ装置２のルール設定部２４はモバイルＰＣ端末１のＮＩＣ１３にセキュリティポリシーとしてのルールを設定する（Ｓ２００３）。このルールは図１２の「＜２＞ＶＰＮ装置２とのＶＰＮ通信中」に示すものであり、具体的な設定方法は上述したとおりである。ＶＰＮ装置２は「○」であり、ファイア・ウオールが無効化されるセキュリティ上の問題が発生するおそれがあるので、ＶＰＮ装置２以外の機器は「×」とすることが理想的であるが、ＶＰＮ通信を確立するための最小限のデータのやりとりを許可すべく、ＶＰＮ装置２以外の機器は「△」のままとする。したがって、ＶＰＮ装置３も「△」のままである。ただし、端末の異常終了などで再度ＶＰＮ接続を図るときのルータ５およびＤＨＣＰサーバ６との通信を可能とすべくこれらは「○」のままとする。
Next, the rule setting unit 24 of the
ステップＳ２００４〜ステップＳ２００６は、図１９のステップＳ１９０４〜ステップＳ１９０６と同様である。 Steps S2004 to S2006 are the same as steps S1904 to S1906 in FIG.
モバイルＰＣ端末１とＶＰＮ装置２とのＶＰＮ通信が異常終了する場合（Ｓ２００５／Ｎｏ）、まず、モバイルＰＣ端末１のＣＰＵ１４は、ＮＩＣ１３に設定されているセキュリティポリシーとしてのルールを参照する（Ｓ２００７）。このとき、ＮＩＣ１３はハードウェアであり異常終了してもルールにより設定されるセキュリティポリシーは保持されたままであり、図１２の「＜２＞ＶＰＮ装置２とのＶＰＮ通信中」に示すもののままである。
モバイルＰＣ端末１の通信部１５は、「○」であるルータ５およびＤＨＣＰサーバ６とＩＰアドレスを割り当ててもらうためのデータのやりとりを行い（Ｓ２００８）、その割り当てられたＩＰアドレスを用いて「○」であるＶＰＮ装置２の確立部２５と再度ＶＰＮ通信を確立するための少量のデータのやりとりでＶＰＮ通信を確立しようとするが、ＶＰＮ装置２が復旧しない等の理由でＶＰＮ装置２とは再度ＶＰＮ通信を確立することができない（Ｓ２００９／Ｎｏ）。そこで、その割り当てられたＩＰアドレスを用いて「△」であるＶＰＮ装置３の確立部２５と再度ＶＰＮ通信を確立するための少量のデータのやりとりでＶＰＮ通信を確立する（Ｓ２０１０）。以降はモバイルＰＣ端末１とＶＰＮ装置３とのＶＰＮ通信として上記のステップＳ２００４以降の処理においてＶＰＮ装置２とＶＰＮ装置３を置き換えて考えると同様となる。
When VPN communication between the
The communication unit 15 of the
パターン４（その１）、パターン４（その２）については、上記のパターン３（その１）、パターン３（その２）とはＶＰＮ装置２とルータ５およびＤＨＣＰサーバ６以外の機器の機器についても、ネットサーフィン等のインターネット１００への接続を認めるのであるから「○」でよいとする点のみが異なり、上記のパターン３（その１）、パターン３（その２）の図１９、図２０のフローチャートと同様であるので重複する説明は省略する。
Regarding the pattern 4 (part 1) and the pattern 4 (part 2), the pattern 3 (part 1) and the pattern 3 (part 2) are the same as those of the devices other than the
なお、上記の本実施の形態では、ルール１〜ルール３を適宜上書きして書き換える形態について述べたが、既存のルール１〜ルール３を停止し、ルール４等として新たに設定することであってもよい。さらに、ルール１〜ルール３であっても不要なルールの上に一時的に上書きして書き換えること等であってもよい。
In the above-described embodiment, the mode in which the
上述する実施の形態は、本発明の好適な実施の形態であり、本発明の要旨を逸脱しない範囲内において種々変更実施が可能である。例えば、ＶＰＮ装置２、ＶＰＮ装置３の機能を実現するためのプログラムを各装置に読込ませて実行することにより各装置の機能を実現する処理を行ってもよい。さらに、そのプログラムは、コンピュータ読み取り可能な記録媒体であるＣＤ−ＲＯＭまたは光磁気ディスクなどを介して、または伝送媒体であるインターネット、電話回線などを介して伝送波により他のコンピュータシステムに伝送されてもよい。また、各装置の機能が他の装置によりまとめて実現されたり、追加の装置により機能が分散されて実現される形態も本発明の範囲内である。
The above-described embodiment is a preferred embodiment of the present invention, and various modifications can be made without departing from the gist of the present invention. For example, a process for realizing the function of each device may be performed by causing each device to read and execute a program for realizing the functions of the
１００ インターネット
２００ イントラネット
１ モバイルＰＣ端末
１１ アプリケーション
１２ ＯＳ
１３ ＮＩＣ
１４ ＣＰＵ
１５ 通信部
２ ＶＰＮ装置
２１ アプリケーション
２２ ＯＳ
２３ ＣＰＵ
２４ ルール設定部
２５ 確立部
２６ 通信部
３ ＶＰＮ装置
４ 社内装置
５ ルータ
６ ＤＨＣＰサーバ
７ 情報処理装置
８ ファイア・ウオール
100
13 NIC
14 CPU
15
23 CPU
24
Claims (18)
前記ＶＰＮ装置は、前記端末のネットワークインターフェイス手段に前記端末とネットワークを介して接続される各機器に対する通信のルールを設定するルール設定手段を備え、
前記ＶＰＮ装置は、前記ルール設定手段によって前記ネットワークインターフェイス手段に対し、前記ＶＰＮ装置と前記端末とがＶＰＮ通信を行っている間は、前記端末と前記ＶＰＮ装置以外の機器との通信を制限するルールを設定することを特徴とする通信システム。 In a communication system including a VPN device and a terminal that performs VPN communication with the VPN device,
The VPN apparatus includes rule setting means for setting communication rules for each device connected to the terminal via a network to the network interface means of the terminal,
The VPN device uses the rule setting unit to restrict communication between the terminal and a device other than the VPN device while the VPN device and the terminal are performing VPN communication with the network interface unit. The communication system characterized by setting.
前記ＶＰＮ装置は、前記端末のネットワークインターフェイス手段に前記端末とネットワークを介して接続される各機器に対する通信のルールを設定するルール設定手段を備え、
前記ＶＰＮ装置は、前記ルール設定手段によって前記ネットワークインターフェイス手段に対し、前記ＶＰＮ装置と前記端末とがＶＰＮ通信を行っている間は、前記端末と前記ＶＰＮ装置との通信を制限せず、かつ、前記ＶＰＮ装置および前記端末のＶＰＮ通信を確立するために用いられる機器と前記端末との通信を制限せず、かつ、前記ＶＰＮ装置および前記用いられる機器以外の機器と前記端末との通信を制限するルールを設定し、
前記端末は、前記各機器との通信を行う際に、前記ネットワークインターフェイス手段に設定されているルールを参照し、前記ＶＰＮ装置とＶＰＮ通信を行っている間は前記ＶＰＮ装置および前記用いられる機器以外の機器との通信は制限されることを特徴とする通信システム。 In a communication system including a VPN device and a terminal that performs VPN communication with the VPN device,
The VPN apparatus includes rule setting means for setting communication rules for each device connected to the terminal via a network to the network interface means of the terminal,
The VPN device does not restrict communication between the terminal and the VPN device while the VPN device and the terminal are performing VPN communication with the network interface unit by the rule setting unit, and Communication between the terminal used for establishing VPN communication between the VPN device and the terminal and the terminal is not restricted, and communication between the device other than the VPN device and the used device and the terminal is restricted. Set rules,
When the terminal communicates with each device, the terminal refers to the rules set in the network interface means, and while performing VPN communication with the VPN device, the terminal other than the VPN device and the device used A communication system characterized in that communication with other devices is restricted.
前記ルール設定手段によって前記ネットワークインターフェイス手段に対し、自ＶＰＮ装置と前記端末とがＶＰＮ通信を行っている間は、前記端末と自ＶＰＮ装置以外の機器との通信を制限するルールを設定することを特徴とするＶＰＮ装置。 A rule setting means for setting a communication rule for each device connected to the terminal via the network in the network interface means of the terminal that performs VPN communication with the own VPN device;
The rule setting unit sets a rule for restricting communication between the terminal and a device other than the own VPN device while the VPN device and the terminal are performing VPN communication with the network interface unit. A VPN device characterized.
前記ルール設定手段によって前記ネットワークインターフェイス手段に対し、自ＶＰＮ装置と前記端末とがＶＰＮ通信を行っている間は、前記端末と自ＶＰＮ装置との通信を制限せず、かつ、自ＶＰＮ装置および前記端末のＶＰＮ通信を確立するために用いられる機器と前記端末との通信を制限せず、かつ、自ＶＰＮ装置および前記用いられる機器以外の機器と前記端末との通信を制限するルールを設定することを特徴とするＶＰＮ装置。 A rule setting means for setting a communication rule for each device connected to the terminal via the network in the network interface means of the terminal that performs VPN communication with the own VPN device;
While the self VPN apparatus and the terminal are performing VPN communication with the network interface means by the rule setting means, communication between the terminal and the self VPN apparatus is not restricted, and the self VPN apparatus and the terminal Setting a rule that does not restrict communication between the terminal used for establishing the VPN communication of the terminal and the terminal, and restricts communication between the device other than the self-VPN apparatus and the device used and the terminal. VPN device characterized by the above.
前記ＶＰＮ装置のルール設定手段によって、前記端末とネットワークを介して接続される各機器に対する通信のルールを設定され、
前記ＶＰＮ装置の前記ルール設定手段によって、前記ＶＰＮ装置と前記端末とがＶＰＮ通信を行っている間は、前記端末と前記ＶＰＮ装置以外の機器との通信を制限するルールが設定されることを特徴とするＮＩＣ。 A NIC of a terminal that performs VPN communication with a VPN device,
The rule setting means of the VPN device sets communication rules for each device connected to the terminal via a network,
The rule setting means of the VPN device sets a rule for restricting communication between the terminal and a device other than the VPN device while the VPN device and the terminal are performing VPN communication. NIC.
前記ＶＰＮ装置のルール設定手段によって、前記端末とネットワークを介して接続される各機器に対する通信のルールを設定され、
前記ＶＰＮ装置の前記ルール設定手段によって、前記ＶＰＮ装置と前記端末とがＶＰＮ通信を行っている間は、前記端末と前記ＶＰＮ装置との通信を制限せず、かつ、前記ＶＰＮ装置および前記端末のＶＰＮ通信を確立するために用いられる機器と前記端末との通信を制限せず、かつ、前記ＶＰＮ装置および前記用いられる機器以外の機器と前記端末との通信を制限するルールが設定され、
前記端末によって、前記各機器との通信を行う際に、設定されているルールが参照されることを特徴とするＮＩＣ。 A NIC of a terminal that performs VPN communication with a VPN device,
The rule setting means of the VPN device sets communication rules for each device connected to the terminal via a network,
While the VPN device and the terminal are performing VPN communication by the rule setting means of the VPN device, communication between the terminal and the VPN device is not restricted, and the VPN device and the terminal A rule is set that does not restrict communication between the device used to establish VPN communication and the terminal, and restricts communication between the device other than the VPN device and the device used, and the terminal,
The NIC refers to a set rule when communicating with each device by the terminal.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2009179585A JP5433340B2 (en) | 2009-07-31 | 2009-07-31 | Communication system, VPN device, NIC and program |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2009179585A JP5433340B2 (en) | 2009-07-31 | 2009-07-31 | Communication system, VPN device, NIC and program |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2011035639A true JP2011035639A (en) | 2011-02-17 |
| JP5433340B2 JP5433340B2 (en) | 2014-03-05 |
Family
ID=43764280
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2009179585A Active JP5433340B2 (en) | 2009-07-31 | 2009-07-31 | Communication system, VPN device, NIC and program |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP5433340B2 (en) |
Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2006018608A (en) * | 2004-07-01 | 2006-01-19 | Japan Communication Inc | Terminal device, communication control method, and program |
| JP2006260027A (en) * | 2005-03-16 | 2006-09-28 | Nippon Telegraph & Telephone East Corp | Quarantine system and quarantine method using VPN and firewall |
| WO2007116605A1 (en) * | 2006-03-30 | 2007-10-18 | Nec Corporation | Communication terminal, rule distribution apparatus and program |
| JP2008160709A (en) * | 2006-12-26 | 2008-07-10 | Hitachi Ltd | Computer system |
| JP2008234410A (en) * | 2007-03-22 | 2008-10-02 | Nec Corp | Remote access system, information processing device, remote access program, and remote access method |
-
2009
- 2009-07-31 JP JP2009179585A patent/JP5433340B2/en active Active
Patent Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2006018608A (en) * | 2004-07-01 | 2006-01-19 | Japan Communication Inc | Terminal device, communication control method, and program |
| JP2006260027A (en) * | 2005-03-16 | 2006-09-28 | Nippon Telegraph & Telephone East Corp | Quarantine system and quarantine method using VPN and firewall |
| WO2007116605A1 (en) * | 2006-03-30 | 2007-10-18 | Nec Corporation | Communication terminal, rule distribution apparatus and program |
| JP2008160709A (en) * | 2006-12-26 | 2008-07-10 | Hitachi Ltd | Computer system |
| JP2008234410A (en) * | 2007-03-22 | 2008-10-02 | Nec Corp | Remote access system, information processing device, remote access program, and remote access method |
Non-Patent Citations (2)
| Title |
|---|
| CSND200800688003; 山崎 洋一: '３．５Ｇ＋ａで実現 もっとノートＰＣを持ち歩こう' 日経コミュニケーション 第５１５号 ＮＩＫＫＥＩ ＣＯＭＭＵＮＩＣＡＴＩＯＮＳ , 20080801, 日経ＢＰ社 Ｎｉｋｋｅｉ Ｂｕｓｉｎｅｓｓ Ｐｕｂｌｉｃａｔｉｏｎｓ，Ｉｎｃ． * |
| JPN6013022907; 山崎 洋一: '３．５Ｇ＋ａで実現 もっとノートＰＣを持ち歩こう' 日経コミュニケーション 第５１５号 ＮＩＫＫＥＩ ＣＯＭＭＵＮＩＣＡＴＩＯＮＳ , 20080801, 日経ＢＰ社 Ｎｉｋｋｅｉ Ｂｕｓｉｎｅｓｓ Ｐｕｂｌｉｃａｔｉｏｎｓ，Ｉｎｃ． * |
Also Published As
| Publication number | Publication date |
|---|---|
| JP5433340B2 (en) | 2014-03-05 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US20210136037A1 (en) | Endpoint security domain name server agent | |
| US11539695B2 (en) | Secure controlled access to protected resources | |
| JP5112806B2 (en) | Wireless LAN communication method and communication system | |
| WO2009087702A1 (en) | Virtual machine execution program, user authentication program and information processor | |
| RU2726879C2 (en) | System and method of connecting secure dns resolution protocol | |
| US20150074769A1 (en) | Method of accessing a network securely from a personal device, a personal device, a network server and an access point | |
| JP2008015786A (en) | Access control system and access control server | |
| CN100525304C (en) | Network system, internal server, terminal device, storage medium and packet relay method | |
| KR20060128015A (en) | Internal network protection system and security method | |
| JP2006262141A (en) | IP address application method, VLAN changing device, VLAN changing system, and quarantine processing system | |
| JP4630896B2 (en) | Access control method, access control system, and packet communication apparatus | |
| JP4575696B2 (en) | Network zone | |
| Kravets et al. | Mobile security solution for enterprise network | |
| JP4636345B2 (en) | Security policy control system, security policy control method, and program | |
| JP2006074705A (en) | Device for controlling communication service | |
| US20210136106A1 (en) | Ssl/tls spoofing using tags | |
| CN202652534U (en) | Mobile terminal security access platform | |
| CN201252570Y (en) | Security gateway client end device | |
| JP2008263445A (en) | Connection setting system, authentication device, wireless terminal, and connection setting method | |
| JP5433340B2 (en) | Communication system, VPN device, NIC and program | |
| CN100556027C (en) | An Address Update Method Based on Network Key Exchange Protocol | |
| WO2011125638A1 (en) | Network system, port forward forming apparatus and reverse proxy server | |
| JP4720576B2 (en) | Network security management system, encrypted communication remote monitoring method and communication terminal. | |
| JP4728871B2 (en) | Device quarantine method, quarantine device, aggregate client management device, aggregate client management program, network connection device, and user terminal | |
| JP5540679B2 (en) | Network device, communication control method, and program |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A711 | Notification of change in applicant |
Free format text: JAPANESE INTERMEDIATE CODE: A712 Effective date: 20110830 |
|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20120713 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20130424 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20130514 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20131203 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20131209 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 Ref document number: 5433340 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |