JP2007082079A - ネットワーク間接続装置、及びそれを用いた簡易認証システムとその認証方法 - Google Patents

Abstract

【課題】インタネットからホームネットへのアクセスを希望する端末装置のみを用いて、特別なコマンド操作無しに、セキュリティを確保しながら、ネットワーク間接続装置のＦ／Ｗの設定を変更して、インタネットからホームネットへ簡単に接続可能とする。
【解決手段】端末装置２０をホームネット３０にローカル接続して、接続装置１０に対し、正当な端末装置としての認証に必要な情報の交換（登録、及び通知）を行わせる。認証に必要な情報としては、端末装置のＩＰｖ６アドレスの下位６４ビットと、接続時の時刻情報（タイムスタンプ）とを用いる。認証情報の交換の済んだ端末装置を任意の場所にてインタネット４０に接続し、接続装置にアクセスする。接続装置は、端末装置と認証に必要な情報を交換し、正当な端末装置として事前にローカル接続したものであるか確認する。接続装置は、確認がとれれば、端末装置のホームネット側へのアクセスを許可する。
【選択図】 図１

Description

本発明は、セキュリティを確保しながら、インタネットなどの一般に公開されたネットワークからホームネットワークなどの私的なネットワークへのアクセスを可能とするネットワーク間接続装置と、それを用いた簡易認証システムと、その認証方法とに関するものである。

ホームネットワークなどの私的な狭域のネットワーク（ＬＡＮ：ローカル・エリア・ネットワーク）を、インタネットなどの一般に公開された広域のネットワーク（ＷＡＮ：ワイド・エリア・ネットワーク）に接続する場合、ルータなどのネットワーク間接続装置を使用する。通常、ルータは、セキュリティ確保のため、Ｆ／Ｗ（ファイアウォール）機能があり、インタネットからホームネットワーク（ホームＬＡＮ）へのアクセスが簡単にできない。可能とするためには、ユーザが使用する端末装置などから、ネットワーク間接続装置（ルータ）の設定を変える特別なコマンドを打ち込むなどの操作が必要である。

ホームＬＡＮのユーザが、移動先のどこからでも、かつ、容易に他のネットワークを介してホームＬＡＮにアクセスするというユビキタスなネットワークアクセスを実現するためには、ユーザに対して、難しい操作を正確に実施することは期待できない。使用する端末装置はプラグアンドプレイで動作することが要求されるが、併せて、ホームＬＡＮにおける適度なセキュリティが確保されることも必要である。簡単、かつ、安全なホームＬＡＮへのアクセス（ホームＬＡＮに収容された通信相手端末装置へのアクセス）が必要とされている。

また、個々の端末装置を一意に識別するために有効なＩＰｖ６ネットワーク環境も、あと数年で整備される状況にある。なお、ＩＰｖ６は、ＩＰ（インタネットプロトコル）のバージョン６を表し、現在主流のバージョン４（ＩＰｖ４）より、膨大なアドレス空間を有している。

ＩＰｖ６において、各端末装置に割り当てられるアドレス（ＩＰｖ６アドレス）は、１２８ビットある。１２８ビットの内、上位６４ビットが、ネットワークを識別するための情報、下位６４ビットが、端末装置を識別するための情報（インタフェースＩＤ）として用いられる。インタフェースＩＤのビット数は６４ビットと大きいため、通常、端末装置ごとに異なるインタフェースＩＤを割り当てることが可能である。このため、端末装置をネットワーク間で移動しても、常に同じインタフェースＩＤを割り当てることができ、端末装置の同一性の確認が容易となる。

このＩＰｖ６を用いたネットワークにおけるファイアウォール（Ｆ／Ｗ）装置技術が提案されている（特許文献１参照）。

特許文献１記載技術では、ファイアウォール機器を挟んで、宅内機器（端末装置）を収容する宅内ネットワーク（ホームネットワーク）と、宅外機器（端末装置）を収容する宅外ネットワーク（インタネット）とが接続されている。宅外機器から宅内機器へのアクセスを許容する場合は、あらかじめ、宅内機器からファイアウォール機器へ、自宅内機器の識別情報（ＩＰｖ６アドレス）、及びアクセス許容対象の宅外機器の識別情報や、認証用鍵情報を登録しておく。ファイアウォール機器は、宅外機器から宅内機器へのアクセス要求があると、登録されている識別情報や、認証用鍵情報を用いて認証処理し、認証ＯＫとなると、宅外機器から宅内機器へのアクセスを許可する。

特開２００３−１１５８８０号公報（第１−３頁、図１）

上述した従来のネットワーク間接続装置（ルータ）では、インタネットからホームネットワークへアクセスするためには、ユーザが使用する端末装置などから、ネットワーク間接続装置のＦ／Ｗ（ファイアウォール）機能の設定を変える特別なコマンドを打ち込むなどの操作を行う必要がある。このため、ユーザに負担がかかる。

また、特許文献１記載技術では、宅外機器（端末装置）の通信相手となる全ての宅内機器（端末装置）から、ファイアウォール機器へ、各宅内機器の識別情報、及び宅外機器の識別情報や、認証用鍵情報を登録する必要がある。このため、通信相手となる宅内機器の数が増えるほど、コストや手間が増える。

このため、通信相手端末装置による処理を一切必要とせず、また、ユーザによる特別なコマンド操作を必要とせずに、一般公開されたネットワークから私的なネットワークへアクセスしようとする端末装置のみによる処理で、当該端末装置にそのアクセスを許す技術が要望されている。本発明の目的は、この要望を実現可能とした、ネットワーク間接続装置、及びそれを用いた簡易認証システムとその認証方法を提供することにある。

本発明の請求項１に係るネットワーク間接続装置は、第１のネットワークを、ファイアウォールを通して第２のネットワークに接続するネットワーク間接続装置において、前記第１のネットワークに端末装置接続されると、当該端末装置の識別情報と、接続開始時点の時刻を示すタイムスタンプとを対応づけて第１のテーブルに登録し、当該端末装置へ前記タイムスタンプと、前記第２のネットワークにおける自ネットワーク間接続装置へのエントリーアドレスとを通知する手段と、前記第２のネットワークに接続された端末装置が前記エントリーアドレスにアクセスしてくると、当該端末装置の識別情報とパスワードとを受信し、受信した端末装置の識別情報及びパスワードの組が前記第１のテーブルに登録されている端末装置の識別情報及びタイムスタンプの組と一致するか判定し、一致すれば当該端末装置の識別情報を第２のテーブルに登録する手段と、前記第２のテーブルに登録されている識別情報に対応する端末装置を送信元あるいは送信先とする通信データに対し、前記第１のネットワーク及び前記第２のネットワーク間の転送を許容する手段とを有する。

本発明の請求項２に係るネットワーク間接続装置は、請求項１に係るネットワーク間接続装置において、通信プロトコルとしてＩＰｖ６を用い、前記端末装置の識別情報は、ＩＰｖ６アドレスのインタフェースＩＤである。

本発明の請求項３に係るネットワーク間接続装置は、請求項１、または２に係るネットワーク間接続装置において、前記第１のテーブルに端末装置の識別情報及びタイムスタンプの組を登録した後、あらかじめ設定した所定時間が経過すると、前記第１のテーブルにおける当該組の登録をクリアする。

本発明の請求項４に係るネットワーク間接続装置は、請求項１、または２に係るネットワーク間接続装置において、前記第２のテーブルに端末装置の識別情報を登録した後、あらかじめ設定した所定時間が経過すると、前記第２のテーブルにおける当該端末装置の識別情報の登録をクリアする。

本発明の請求項５に係るネットワーク間接続装置は、請求項１、または２に係るネットワーク間接続装置において、前記第１のテーブルに端末装置の識別情報及びタイムスタンプの組を登録した後、あらかじめ設定した所定時間が経過すると、前記第１のテーブルにおける当該組の登録をクリアするとともに、前記第２のテーブルにおける当該端末装置の識別情報の登録をクリアする。

本発明の請求項６に係るネットワーク間接続装置は、請求項１、または２に係るネットワーク間接続装置において、前記第１のネットワークに端末装置が接続された際、当該端末装置の識別情報及びタイムスタンプの組がすでに第１のテーブルに登録されていれば、新たな登録と、当該端末装置への通知とを中止する。

本発明の請求項７に係るネットワーク間接続装置は、請求項１、または２に係るネットワーク間接続装置において、前記第１のネットワークに端末装置が接続される度に、前記第１のテーブルにおける当該端末装置の識別情報及びタイムスタンプの組の登録を更新する。

本発明の請求項８に係る携帯端末は、ユーザに携帯されて移動することにより、ファイアウォール機能を有するネットワーク間接続装置を介して相互に接続された第１のネットワーク及び第２のネットワークのいずれにも接続可能な携帯端末であり、前記第１のネットワークに接続されると、自端末装置の識別情報を前記ネットワーク間接続装置へ送信し、前記ネットワーク間接続装置から接続開始時点の時刻を示すタイムスタンプと、前記第２のネットワークにおける前記ネットワーク間接続装置へのエントリーアドレスとを受信し記憶する手段と、前記第２のネットワークに接続されると、前記エントリーアドレスにアクセスし、自端末装置の識別情報と、前記タイムスタンプであるパスワードとを前記ネットワーク間接続装置へ送信する手段と、自端末装置を送信元とする通信データを送信し、自端末装置を送信先とする通信データを受信する手段とを有する。

本発明の請求項９に係る携帯端末は、通信プロトコルとしてＩＰｖ６を用い、前記自端末装置の識別情報は、ＩＰｖ６アドレスのインタフェースＩＤである。

本発明の請求項１０に係る簡易認証システムは、第１のネットワークと、前記第１のネットワークを、ファイアウォールを通して第２のネットワークに接続する請求項１乃至７のいずれか１項に係るネットワーク間接続装置と、ユーザに携帯されて移動することにより、前記第１のネットワーク及び前記第２のネットワークのいずれにも接続可能な請求項８、または９に係る端末装置とを備える。

本発明の請求項１１に係る簡易認証システムは、請求項１０に係る簡易認証システムにおいて、前記第１のネットワークは、ホームネットワークであり、前記第２のネットワークはインタネットである。

本発明の請求項１２に係る簡易認証方法は、第１のネットワークを、ファイアウォールを通して第２のネットワークに接続するネットワーク間接続装置における認証方法において、前記第１のネットワークに端末装置が接続されると、当該端末装置の識別情報と、接続開始時点の時刻を示すタイムスタンプとを対応づけて第１のテーブルに登録し、当該端末装置へ前記タイムスタンプと、前記第２のネットワークにおける自ネットワーク間接続装置へのエントリーアドレスとを通知する工程と、前記第２のネットワークに接続された端末装置が前記エントリーアドレスにアクセスしてくると、当該端末装置の識別情報とパスワードとを受信し、受信した端末装置の識別情報及びパスワードの組が前記第１のテーブルに登録されている端末装置の識別情報及びタイムスタンプの組と一致するか判定し、一致すれば当該端末装置の識別情報を第２のテーブルに登録する工程と、前記第２のテーブルに登録されている識別情報に対応する端末装置を送信元あるいは送信先とする通信データに対し、前記第１のネットワーク及び前記第２のネットワーク間の転送を許容する工程とを有する。

本発明の請求項１３に係る簡易認証方法は、請求項１２に係る簡易認証方法において、通信プロトコルとしてＩＰｖ６を用い、ＩＰｖ６アドレスのインタフェースＩＤから前記端末装置の識別情報を作成する工程を有する。

本発明の請求項１４に係る簡易認証方法は、請求項１２、または１３に係る簡易認証方法において、前記第１のテーブルに端末装置の識別情報及びタイムスタンプの組を登録した後、あらかじめ設定した所定時間が経過すると、前記第１のテーブルにおける当該組の登録をクリアする工程を有する。

本発明の請求項１５に係る簡易認証方法は、請求項１２、または１３に係る簡易認証方法において、前記第２のテーブルに端末装置の識別情報を登録した後、あらかじめ設定した所定時間が経過すると、前記第２のテーブルにおける当該端末装置の識別情報の登録をクリアする工程を有する。

本発明の請求項１６に係る簡易認証方法は、請求項１２、または１３に係る簡易認証方法において、前記第１のテーブルに端末装置の識別情報及びタイムスタンプの組を登録した後、あらかじめ設定した所定時間が経過すると、前記第１のテーブルにおける当該組の登録をクリアするとともに、前記第２のテーブルにおける当該端末装置の識別情報の登録をクリアする工程を有する。

本発明の請求項１７に係る簡易認証方法は、請求項１２、または１３に係る簡易認証方法において、前記第１のネットワークに端末装置が接続された際、当該端末装置の識別情報及びタイムスタンプの組がすでに第１のテーブルに登録されていれば、新たな登録と、当該端末装置への通知とを中止する工程を有する。

本発明の請求項１８に係る簡易認証方法は、請求項１２、または１３に係る簡易認証方法において、前記第１のネットワークに端末装置が接続される度に、前記第１のテーブルにおける当該端末装置の識別情報及びタイムスタンプの組の登録を更新する工程を有する。

本発明は、私的なネットワークを一般公開されたネットワークに接続するネットワーク間接続装置で、私的なネットワーク側に接続した端末装置の識別情報と接続開始時点のタイムスタンプとを記憶し、タイムスタンプとエントリーアドレスとを端末装置へ通知する。ネットワーク間接続装置は、一般公開されたネットワーク側からエントリーアドレスへアクセスしてきた端末装置から受信した識別情報と、タイムスタンプとが記憶内容と一致するか判定（認証）する。認証ＯＫのとき、ネットワーク間接続装置は、その端末装置の識別情報を私的なネットワーク側へのアクセスの中継を許可する対象として記憶する。これにより、通信相手端末装置による処理を一切必要とせず、また、ユーザによる特別なコマンド操作を必要とせずに、一般公開されたネットワークから私的なネットワークへアクセスしようとする端末装置のみによる処理で、当該端末装置にそのアクセスを許すことができる。

まず、本発明の実施の形態の概要を説明する。本発明の実施の形態では、ネットワーク間接続装置（以下、接続装置と略記）を介して、ホームネットワーク（ホームＬＡＮとも呼ぶ。以下、ホームネットと略記）をインタネットに接続している。

ホームネットは、ＩＰｖ６を用いるＬＡＮであり、ユーザが携帯可能な端末装置を収容可能である。

インタネットは、ＩＰｖ６を用いるＷＡＮであり、複数のプロバイダ（インタネットサービスプロバイダ：ＩＳＰ）がそれぞれ提供する複数のネットワークを含んで構築されている。インタネットも、各プロバイダが提供する適切なアクセス手段を介して、ユーザが携帯可能な端末装置を収容可能である。

接続装置は、ルータ機能、Ｆ／Ｗ機能、認証機能などを有し、ホームネットを収容するとともに、契約したプロバイダのネットワークを介してインタネットに接続される。接続装置は、ホームネット内の各端末装置間の通信（ＩＰパケット通信）を制御するとともに、ホームネット及びインタネット間の通信を制御する。接続装置は、ホームネット側で接続された実績のある端末装置のみに対して、インタネットを介したホームネット（その収容端末装置）へのアクセスを許可する。

ＩＰｖ６アドレス体系において、端末装置は、１２８ビットのアドレス（グローバルアドレス）を割り当てられる。１２８ビットのうち、上位６４ビットは、グローバルルーティングプレフィックス、及びサブネットＩＤ（識別子）と呼ばれ、接続されるネットワークに依存した値である。下位６４ビットは、インタフェースＩＤと呼ばれ、端末装置に対応した値（端末装置の識別情報）である。この端末装置に対応した値は、通常、端末固有の４８ビットのＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスから、所定の変換規則に基づいて生成した値とする。この変換規則は、インタネット及びホームネットで共通である。したがって、端末装置が、ホームネット及びインタネットのいずれに接続しようとも、グローバルアドレスの下位６４ビットは不変（固定値）である。

最初に、ユーザは、端末装置をホームネットにローカル接続して、接続装置に対し、正当な端末装置としての認証に必要な情報の交換（登録、及び通知）を行わせる。認証に必要な情報としては、端末装置のＩＰｖ６アドレスの下位６４ビットと、接続時の時刻情報（タイムスタンプ）とを用いる。

次にユーザは、認証情報の交換の済んだ端末装置を携帯して任意の場所に移動し、その場所にて端末装置をインタネットに接続し、接続装置にアクセスする。接続装置は、端末装置との間で、認証に必要な情報を交換し、当該端末装置が、正当な端末装置として事前にローカル接続したものであるか確認する。接続装置は、確認がとれれば、端末装置のホームネット側へのアクセスを許可し、確認がとれなければ、許可しない。

このように、本発明の実施の形態によれば、インタネットから、ホームルータにアクセスするための処理（Ｆ／Ｗの設定変更）を、ユーザに特別な操作（特別なコマンドの打ち込み）をさせることなく実行することができる。

次に、図面を参照して、本発明の実施例を詳細に説明する。

図１は、本発明の一実施例を示すシステム構成図である。

図１において、本実施例１の簡易認証システムは、ユーザの自宅に設けられたホームネット３０と、インタネット４０と、自宅に設けられ、ホームネット３０及びインタネット４０間を接続する接続装置１０とを備えている。簡易認証システムはまた、ユーザに携帯され、移動に応じてホームネット３０及びインタネット４０のいずれにも接続可能な端末装置２０を備えている。

接続装置１０は、ＬＡＮアクセス制御部１１と、ＬＡＮ接続登録部１２と、認証許可テーブル１３と、ＷＡＮ接続認証制御部１４と、ＷＡＮアクセス制御部１５とを有している。

ＬＡＮアクセス制御部１１は、ＬＡＮ側インタフェース（ポート）１１１によりホームネット３０を収容する。

ＷＡＮアクセス制御部１５は、ＷＡＮ側インタフェース（ポート）１５１によりインタネット４０に接続する。

接続装置１０はまた、図示していないが、絶対時刻を計時するクロック回路を有している。クロック回路は、その他に、装置内各部を動作させるためのタイミング信号を生成しており、これら絶対時刻信号及びその他のタイミング信号を装置内各部に供給する。

ホームネット３０は、ＩＰプロトコル（インタネット・プロトコル）としてＩＰｖ６を用いる。ホームネット３０には、図示していないが、端末装置２０と通信可能な他の端末装置が収容されている。

インタネット４０も、ＩＰｖ６サービスを提供することができる。

端末装置２０は、ＩＰｖ６に対応しており、ホームネット３０に接続が許されている端末装置である。端末装置２０は、ユーザに携行された移動先で、インタネット４０に接続される。

端末装置２０は、図示していないが、全体を制御する制御部と、データやプログラムを記憶する記憶部と、ユーザからの指示情報などを入力する入力部と、ユーザへの通知情報などを出力する出力部とを備える。端末装置２０はまた、図示していないが、データを処理するデータ処理部と、ネットワークに接続しデータを送受信する通信部とを備える。

次に、図１とともに図２〜４を参照して、本実施例の動作を説明する。図２は、端末装置２０を接続装置１０のＬＡＮ側インタフェースに接続し、認証に必要な情報を交換するときの動作フローを示す図である。図３は、端末装置２０を接続装置１０のＷＡＮ側インタフェースに接続し、認証を行うときの動作フローを示す図である。図４は、認証許可テーブル１３のテーブル構成例を示す図である。

ホームネット３０、及び端末装置２０のユーザは、あらかじめ適切なプロバイダと、インタネット４０におけるＩＰｖ６サービスを契約する。契約後、ユーザは、接続装置１０のＬＡＮ側ポート（インタフェース１１１）をホームネット３０に接続する。ユーザはまた、接続装置１０のＷＡＮ側ポート（インタフェース１５１）を、プロバイダの提供するインタネット４０のＩＰｖ６サービスのアクセス線に接続する。

接続装置１０では、ＩＰｖ６サービスに接続されることにより、ＩＰｖ６アドレスの上位６４ビットのアドレスが決まり、規定のアドレスとなる。すなわち、接続装置１０のＷＡＮアクセス制御部１５で、ＩＰｖ６サービスを提供するネットワークから、上位６４ビットのうちの４８ビット分として、グローバルルーティングプレフィックスの通知を受ける。残りの１６ビット分のサブネットＩＤは、接続装置１０にあらかじめ設定された値（例えば“０”）とする。なお、このサブネットＩＤは、ホームネット３０の構成に応じて、ユーザが任意に設定するようにすることもできる。（図２のステップＳ１１）。

ユーザは続いて、端末装置２０をホームネット３０に接続し、起動する。端末装置２０は、起動時に、ホームネット３０に対し、送信元アドレスが未定のルータ要請メッセージを送出する。

ホームネット３０上でルータ要請メッセージを受信した接続装置１０のＬＡＮ接続登録部１２は、規定のアドレス（上位６４ビット）など端末装置の通信設定に必要な情報を含むルータ広告メッセージをホームネット３０上に返信する。

端末装置２０は、ホームネット３０から受信した規定のアドレス（上位６４ビット）と、自身のＭＡＣアドレスから生成したインタフェースＩＤ（下位６４ビット）とを組み合わせて、自身のＩＰｖ６アドレス（仮アドレス）を自動生成する。

ここで、インタフェースＩＤ（端末装置の識別情報）の生成方法を説明する。端末装置２０など全てのネットワーク機器はそれぞれ、固有のＭＡＣアドレス（４８ビット）が割り当てられている。このＭＡＣアドレスを２４ビットずつに２分し、分割した間に１６進で“ＦＦＦＥ”を挿入して６４ビットとする。この６４ビットの先頭から７ビット目の値（０／１）を反転したものがインタフェースＩＤである。

仮のＩＰｖ６アドレスを生成した端末装置２０は、既に同じＩＰｖ６アドレスを使用している他のネットワーク機器が存在しないことを確認するために、近隣探索による重複アドレス検出処理を行う。端末装置２０は、仮のＩＰｖ６アドレスをターゲットアドレスとする近隣要請メッセージをホームネット３０へ送信して、同じアドレスの他のネットワーク機器がある場合に返信される重複を示す近隣広告メッセージを受信するかしないか判定する。

通常の場合、ＭＡＣアドレスは重複することがないので、ＩＰｖ６アドレスの重複もない。端末装置２０は、重複を示す近隣広告メッセージを受信しなければ、重複アドレスはないと認識して、仮としていたＩＰｖ６アドレスを正式なＩＰｖ６アドレスとする。もし、重複を示す近隣広告メッセージを受信した場合は、アドレスの割り当てをやり直す必要があるが、これは本発明と直接関係がないため、説明は省略する。

端末装置２０は、正式なＩＰｖ６アドレスを用い通信が可能となる。すなわち、このＩＰｖ６アドレスを送信元アドレス、あるいは送信先アドレスとしたパケットの、ホームネット３０を通した送受信が可能となる（図２のステップＳ１２）。

接続装置１０は、ホームネット３０に端末装置２０が正常に接続されたどうかの検出を、端末装置２０の近隣探索の結果を監視するか、端末装置２０からの再度のルータ要請メッセージを受信することにより、行うことができる。

近隣探索を利用する場合、接続装置１０のＬＡＮ接続登録部１２は、端末装置２０から送信された近隣要請メッセージに対する重複を示す近隣広告メッセージが返信されないことを確認すると、端末装置２０が正常に接続されたと認識する。ＬＡＮ接続登録部１２は、近隣要請メッセージ中のターゲットアドレスであるＩＰｖ６アドレスの下位６４ビット（インタフェースＩＤ）を抽出する。

ルータ要請メッセージを利用する場合、端末装置２０は、正式なＩＰｖ６アドレスを送信元アドレスとしたルータ要請メッセージを送出する。ルータ要請メッセージを受信したＬＡＮ接続登録部１２は、ルータ広告メッセージを返信するとともに、ルータ要請メッセージ中の送信元アドレスであるＩＰｖ６アドレスの下位６４ビットを抽出する。

ＬＡＮ接続登録部１２は、抽出したＩＰｖ６アドレスの下位６４ビットにより認証許可テーブル１３を参照し、端末装置２０が、初めて自接続装置１０に接続したかどうかを判定する（図２のステップＳ１３）。

判定の結果が真の場合（認証許可テーブル１３に登録されていない場合）、ＬＡＮ接続登録部１２は、ＬＡＮアクセス制御部１１、及びホームネット３０を介して、端末装置２０との間で認証に必要な情報をやりとりする。

すなわち、ＬＡＮ接続登録部１２は、認証許可テーブル１３のＷＡＮアクセス認証制御部へのアクセス許可テーブル１３１部分に、端末装置２０のＩＰｖ６アドレスの下位６４ビットと、接続開始時点の絶対時刻を示すタイムスタンプとを登録する。このタイムスタンプは、認証時にパスワードとして使用される。なお、絶対時刻情報はクロック回路から供給される。

同時に、ＬＡＮ接続登録部１２は、端末装置２０に、そのタイムスタンプと、インタネット４０から接続装置１０のＷＡＮ側インタフェースへアクセスするためのＩＰｖ６アドレス情報（接続装置のエントリーアドレス）を通知する。通知を受けた端末装置２０は、それらの情報を記憶する（図２のステップＳ１４）。

なお、ステップＳ１３の判定の結果、接続が初めてでない場合は、すでにテーブル（ＷＡＮアクセス認証制御部へのアクセス許可テーブル部１３１）が生成されているので、ＬＡＮ接続登録部１２は、そのまま処理を終了する。

図４に、認証許可テーブル１３のＷＡＮアクセス認証制御部へのアクセス許可テーブル１３１の構成例を示す。

図４においては、ＩＰｖ６アドレスの下位６４ビットの例として、「ａｂｃｄ：ａｂｃｄ：ａｂｃｄ：ａｂｃｄ」が登録されている。すなわち、４ビットずつ１６進表現により１桁としたものを、４桁ずつ、「：」で区切っている。

図４においては、タイムスタンプの例として、「２００５０３０１１２０００００００」が登録されている。すなわち、最初の数字４桁「２００５」は年、次の数字２桁「０３」は月、次の数字２桁「０１」は日、次の数字２桁「１２」は時、次の数字２桁「００」は分、次の数字２桁「００」は秒、次の数字３桁「０００」は小数点以下の秒を示している。

以上のようにして、端末装置２０の、接続装置１０のＬＡＮ側インタフェースへの接続、及び認証に必要な情報のやりとりが終了した後、ユーザは、端末装置２０をホームネット３０から取り外す。その後、ユーザは端末装置２０を携帯して移動（自宅からの外出）する。

ユーザは、移動先で、端末装置２０をインタネット４０に接続する。インタネット４０は、図示していないが、複数のプロバイダがそれぞれ提供する複数のネットワークを含んで構築されている。端末装置２０は、移動先に対応した適切なプロバイダのネットワークのアクセス手段に接続される。このときのプロバイダは、接続装置１０の利用契約を行ったプロバイダと同一のプロバイダであることが望ましいが、別のプロバイダでもよい。プロバイダに応じた利用契約を行っておく。

端末装置２０は、インタネット４０に接続されると、自動的にＩＰｖ６アドレスが割り当てられ、インタネット４０を通した通信が可能となる。このときの端末装置２０におけるＩＰｖ６アドレスの自動生成の仕組みは、上述したホームネット３０に接続したときの仕組みと同様である。

ＩＰｖ６アドレスの上位６４ビットは、端末装置２０が接続されたプロバイダのネットワークのアクセス手段から割り当てられた値となる。ＩＰｖ６アドレスの下位６４ビットは、端末装置２０自身が自身のＭＡＣアドレスから生成したインタフェースＩＤとなる。すなわち、ＩＰｖ６アドレスの下位６４ビットは、ホームネット３０経由で接続装置１０に接続したときのものと同じである（図４に示す例では、ａｂｃｄ：ａｂｃｄ：ａｂｃｄ：ａｂｃｄ）。

端末装置２０は、自動生成した仮のＩＰｖ６アドレスが他のネットワーク機器のものと重複していないか、近隣探索により確認する。重複がなければ、端末装置２０は、仮のＩＰｖ６アドレスを正式なＩＰｖ６アドレスとし、これを用いた通信が可能となる。すなわち、このＩＰｖ６アドレスを送信元アドレス、あるいは送信先アドレスとしたパケットの、インタネット４０を通した送受信が可能となる。（図３のステップＳ２１）。

インタネット４０上で通信可能となった端末装置２０は、ユーザの指示により、接続装置１０から通知され、記憶していた接続装置１０の認証用のエントリーアドレスにアクセスする。

接続装置１０のＷＡＮアクセス制御部１５は、インタネット４０を介して認証用のエントリーアドレスにアクセスしてきた端末装置２０の認証を自動的に開始する。認証には、端末装置２０のＩＰｖ６アドレスの下位６４ビットと、タイムスタンプが用いられる。

この時、端末装置２０のＩＰｖ６アドレスの下位６４ビットは、すでに認証許可テーブル１３のＷＡＮアクセス認証制御部へのアクセス許可テーブル１３１部分に登録された値と同じである。このため、ＷＡＮアクセス制御部１５は、端末装置２０のＷＡＮ接続認証制御部１４へのアクセスを許可する（図３のステップＳ２２）。

端末装置２０は、ＷＡＮ接続認証制御部１４に接続した際、ホームネット３０への接続時に通知されたタイムスタンプをパスワードとして送信する（図４に示す例では、２００５０３０１１２０００００００）。

ＷＡＮ接続認証制御部１４は、端末装置２０から受信したパスワードが、アドレスの下位６４ビットをキーとして、ＷＡＮアクセス認証制御部へのアクセス許可テーブル１３１に登録されたタイムスタンプと値が一致するか判定する（図３のステップＳ２３）。

ＷＡＮ接続認証制御部１４は、パスワードに当たるタイムスタンプ値が一致した場合、当該端末装置を、一旦ＬＡＮ（ホームネット３０）で接続した端末装置２０と同じとみなす（認証ＯＫ）。ＷＡＮ接続認証制御部１４は、同じとみなした端末装置２０を、認証許可テーブル１３のＬＡＮインタフェースへのアクセス許可テーブル１３２部分に登録する。登録情報は、端末装置２０のＩＰｖ６アドレスの下位６４ビットと、アクセス許可レベル等の付随パラメータである（図３のステップＳ２３）。

ＷＡＮ接続認証制御部１４は、ステップＳ２３の判定の結果、タイムスタンプ値が一致しない場合、当該端末装置を、一旦ＬＡＮ（ホームネット３０）で接続した端末装置２０ではないとみなし、そのまま処理を終了する。

図４に、認証許可テーブル１３のＬＡＮインタフェースへのアクセス許可テーブル１３２の構成例を示す。

図４においては、ＩＰｖ６アドレスの下位６４ビットの例として、ＷＡＮアクセス認証制御部へのアクセス許可テーブル１３１に登録されているものと同じ、「ａｂｃｄ：ａｂｃｄ：ａｂｃｄ：ａｂｃｄ」が登録されている。また、アクセス許可レベルの例として、全て許可することを示す「Ａｌｌ」が登録されている。

認証許可テーブル１３のＬＡＮインタフェースへのアクセス許可テーブル１３２部分に登録されている端末装置２０は、接続装置１０を通して、ホームネット３０に収容されている任意の端末装置（図示せず）と通信（パケット通信）が可能となる。

接続装置１０のＷＡＮアクセス制御部１５及びＬＡＮアクセス制御部１１は、入力されたパケットの送信元及び送信先のＩＰｖ６アドレスの下位６４ビットが、ＬＡＮインタフェースへのアクセス許可テーブル１３２に登録されているか確認する。登録されていれば、ＷＡＮアクセス制御部１５及びＬＡＮアクセス制御部１１は、対応するアクセス許可レベルに応じて、パケットの通過を許す。図４に示す例の場合、アクセス許可レベルが「Ａｌｌ」であるので、全てのパケットの両方向（インタネット４０側からホームネット３０側へ、及びホームネット３０側からインタネット４０側へ）の通過を許す。

このようにして、端末装置２０は、認証処理後、接続装置１０配下のネットワーク（ホームネット３０、及びそれに収容されている端末装置）にインタネット４０からアクセス可能となる。

なお当然ながら、ＬＡＮインタフェースへのアクセス許可テーブル１３２に登録されていない端末装置は、インタネット４０側からホームネット３０側へアクセスすることはできない。

本実施例１によれば、インタネットからホームネットへのアクセスを希望する端末装置のみを用いて、セキュリティを確保しながら接続装置のＦ／Ｗの設定を変更して、インタネットからホームネットへの接続を簡単に行うことができる。その際、端末装置から接続装置に対して、ユーザが特別なコマンドを打ち込む必要もない。また、インタネット側の端末装置の通信相手となるホームネット側の全ての端末装置は、接続装置に対しＦ／Ｗの設定変更のための情報発信を一切する必要がない。

本実施例１の接続装置は、一度、ホームネット側に接続した端末装置の識別情報と接続開始時点のタイムスタンプとを記憶し、タイムスタンプとエントリーアドレスとを端末装置へ通知する。接続装置は、インタネット側からエントリーアドレスへアクセスしてきた端末装置から受信した識別情報と、タイムスタンプとが記憶内容と一致するか判定（認証）する。認証ＯＫのとき、接続装置は、その端末装置の識別情報をホームネット側へのアクセスの中継を許可する対象として記憶する。そして接続装置は、許可対象として記憶された識別情報に該当する端末装置のみに対して、ホームネット側へのアクセスの中継を許可するにようにしている。すなわち接続装置は、インタネット側からアクセスしてきた端末装置が、ホームネットのユーザの管理しているものであることを十分な確度で確認してから、ホームネットへのアクセスを許容している。

このように、本実施例１によれば、ホームネットのユーザ以外の者（その端末装置）が、ホームネットへアクセスすることを防止し、ホームネットのセキュリティを確保することができる。一方、ユーザ自身（その端末装置）は、特別な操作無しに、インタネット接続可能な場所ならどこからでも、ホームネットへアクセスすることができる。

次に本発明の第２の実施例（実施例２）を説明する。

本実施例２の接続装置及び簡易認証システムの基本的な構成は、実施例１で説明した構成と変わらない。すなわち、簡易認証システムは、ユーザの自宅に設けられたホームネット３０と、インタネット４０と、ユーザの自宅に設けられ、ホームネット３０及びインタネット４０間を接続する接続装置１０とを備えている。簡易認証システムはまた、ユーザに携帯され、移動に応じてホームネット３０及びインタネット４０のいずれにも接続可能な端末装置２０を備えている。これらは、ＩＰｖ６プロトコルを用いる。

また、端末装置２０のホームネット３０を介した接続装置１０への接続により、認証に必要な情報を、認証許可テーブル１３のＷＡＮアクセス認証制御部へのアクセス許可テーブル１３１に登録するとともに、端末装置２０に通知することも、実施例１と同様である。なお、登録される認証に必要な情報とは、端末装置２０のＩＰｖ６アドレスの下位６４ビットと、接続開始時点の絶対時刻を示すタイムスタンプである。また、接続装置１０のエントリーアドレスも、端末装置２０に通知される。

さらに、端末装置２０のインタネット４０を介した接続装置１０への接続により、認証に必要な情報をやりとりし、認証ＯＫの情報を、認証許可テーブル１３のＬＡＮインタフェースへのアクセス許可テーブル１３２に登録することも、実施例１と同様である。

本実施例２が実施例１と異なる点は、ＷＡＮアクセス認証制御部へのアクセス許可テーブル１３１に登録した認証に必要な情報に、有効期限があることである。

本実施例２におけるＷＡＮアクセス認証制御部へのアクセス許可テーブル１３１に対する処理を、図５の動作フロー図を参照して説明する。

端末装置２０のホームネット３０を介した接続装置１０への接続により、ＬＡＮ接続登録部１２は、ＩＰｖ６アドレスの下位６４ビットと、タイムスタンプとを、ＷＡＮアクセス認証制御部へのアクセス許可テーブル１３１に登録する（図５のステップＳ３１）。

ＬＡＮ接続登録部１２には、ＷＡＮアクセス認証制御部へのアクセス許可テーブル１３１の登録有効期限を示す所定の時間が、あらかじめ設定されている。所定の時間の指定方法としては、システムの既定値を用いる方法や、端末装置２０の接続時にユーザの手動により指定する方法がある。

ＬＡＮ接続登録部１２は、ＷＡＮアクセス認証制御部へのアクセス許可テーブル１３１を定期的に参照し、登録されているタイムスタンプの値（登録時の絶対時刻）と、現在の絶対時刻との差分を、登録経過時間として算出する。ＬＡＮ接続登録部１２は、算出した登録経過時間が、設定されている所定の時間を超えている（有効期限切れ）か判定する（図５のステップＳ３２）。

登録経過時間が所定の時間を超えた場合、ＬＡＮ接続登録部１２は、ＷＡＮアクセス認証制御部へのアクセス許可テーブル１３１の対応する端末装置２０の登録内容（アドレス下位６４ビット、タイムスタンプ）をクリアする（図５のステップＳ３３）。

ＷＡＮアクセス認証制御部へのアクセス許可テーブル１３１の登録内容がクリアされた後は、該当する端末装置２０は、インタネット４０側から接続装置１０のエントリーアドレスにアクセスしても認証を得られず、ホームネット３０側へアクセスすることはできない。

インタネット４０側からの接続時の認証を有効とするためには、再度、端末装置２０をホームネット３０に直接接続し、接続装置１０と認証に必要な情報の情報をやりとりする必要がある。このとき、ＬＡＮ接続登録部１２は、ＷＡＮアクセス認証制御部へのアクセス許可テーブル１３１に端末装置２０の情報の登録がないため、初めての接続とみなす。そのため、ＬＡＮ接続登録部１２は、ＷＡＮアクセス認証制御部へのアクセス許可テーブル１３１に端末装置２０の情報の登録を行う。これにより、端末装置２０は、インタネット４０側から接続装置にアクセスして認証を得ることができる。

本実施例２の接続装置は、一度、ホームネット側に接続した端末装置の識別情報とタイムスタンプとの記憶の保持時間に有効期限を設けている。この有効期限が切れた端末装置は、認証処理を受けることができず、インタネット側からホームネットにアクセスすることができない。端末装置は、携帯可能なため、盗難や紛失などにより、悪意のある者が不正に入手し、使用する可能性がある。このような場合でも、上記有効期限を適切に設定しておくことにより、悪意のある者が端末装置を不正に使用することを、かなりの確度で防止できる。

このように、本実施例２によれば、実施例１と同様の効果を維持しながら、ユーザに対する負担をさほどかけさせずに、セキュリティ機能を一層向上させることができる。

次に本発明の第３の実施例（実施例３）を説明する。

本実施例３の接続装置及び簡易認証システムの基本的な構成は、実施例１で説明した構成と変わらない。すなわち、簡易認証システムは、ユーザの自宅に設けられたホームネット３０と、インタネット４０と、ユーザの自宅に設けられ、ホームネット３０及びインタネット４０間を接続する接続装置１０とを備えている。簡易認証システムはまた、ユーザに携帯され、移動に応じてホームネット３０及びインタネット４０のいずれにも接続可能な端末装置２０を備えている。これらは、ＩＰｖ６プロトコルを用いる。

また、端末装置２０のホームネット３０を介した接続装置１０への接続により、認証に必要な情報を、認証許可テーブル１３のＷＡＮアクセス認証制御部へのアクセス許可テーブル１３１に登録するとともに、端末装置２０に通知することも、実施例１と同様である。なお、登録される認証に必要な情報とは、端末装置２０のＩＰｖ６アドレスの下位６４ビットと、接続開始時点の絶対時刻を示すタイムスタンプである。また、接続装置１０のエントリーアドレスも、端末装置２０に通知される。

さらに、端末装置２０のインタネット４０を介した接続装置１０への接続により、認証に必要な情報をやりとりし、認証ＯＫの情報を、認証許可テーブル１３のＬＡＮインタフェースへのアクセス許可テーブル１３２に登録することも、実施例１と同様である。認証ＯＫの情報とは、端末装置２０のＩＰｖ６アドレスの下位６４ビットと、アクセス許可レベルなどとである。

本実施例３が実施例１と異なる点は、ＬＡＮインタフェースへのアクセス許可テーブル１３２に登録した認証ＯＫの情報に、有効期限があることである。

本実施例３におけるＬＡＮインタフェースへのアクセス許可テーブル１３２に対する処理を、図６の動作フロー図を参照して説明する。

端末装置２０のインタネット４０を介した接続装置１０のエントリーアドレスへのアクセスにより、ＷＡＮ接続認証制御部１４は、認証を開始する。認証ＯＫの場合、ＷＡＮ接続認証制御部１４は、端末装置２０のＩＰｖ６アドレスの下位６４ビットと、アクセス許可レベルなどとを、ＬＡＮインタフェースへのアクセス許可テーブル１３２に登録する。ＷＡＮ接続認証制御部１４はさらに、その時点の絶対時刻をそれらに対応づけて、ＬＡＮインタフェースへのアクセス許可テーブル１３２に登録する。（図６のステップＳ４１）。

ＷＡＮ接続認証制御部１４には、ＬＡＮインタフェースへのアクセス許可テーブル１３２の登録有効期限を示す所定の時間が、あらかじめ設定されている。所定の時間の指定方法としては、システムの既定値を用いる方法や、端末装置２０の接続時にユーザの手動により指定する方法がある。

ＷＡＮ接続認証制御部１４は、ＬＡＮインタフェースへのアクセス許可テーブル１３２を定期的に参照し、登録されている絶対時刻と、現在の絶対時刻との差分を、登録経過時間として算出する。ＷＡＮ接続認証制御部１４は、算出した登録経過時間が、設定されている所定の時間を超えている（有効期限切れ）か判定する（図６のステップＳ４２）。

登録経過時間が所定の時間を超えた場合、ＷＡＮ接続認証制御部１４は、ＬＡＮインタフェースへのアクセス許可テーブル１３２の対応する端末装置２０の登録内容（アドレス下位６４ビット、アクセス許可レベル等、絶対時刻）をクリアする（図６のステップＳ４３）。

ＬＡＮインタフェースへのアクセス許可テーブル１３２の登録内容がクリアされた後は、該当する端末装置２０は、インタネット４０側からホームネット３０側へアクセスすることはできない。ホームネット３０側へのアクセスを有効とするためには、再度、端末装置２０から接続装置１０のエントリーアドレスへアクセスし、ＷＡＮ接続認証制御部１４による認証をやり直してもらう必要がある。

本実施例３の接続装置は、認証ＯＫ時に、ホームネット側へのアクセスの中継を許可する対象とした端末装置の識別情報の記憶の保持時間に有効期限を設けている。認証済みであっても、この有効期限が切れた端末装置は、インタネット側からホームネットにアクセスすることができない。許可された端末装置がインタネット側からホームネットにアクセスしているときに、その識別情報を、悪意のある者に盗み見られ、識別情報を詐称したなりすまし端末装置を作られるおそれがある。このような場合でも、上記有効期限を適切に設定しておくことにより、なりすまし端末装置によるホームネットへのアクセスを、かなりの確度で防止できる。

このように、本実施例３によれば、実施例１と同様の効果を維持しながら、ユーザに対する負担をさほどかけさせずに、セキュリティ機能を一層向上させることができる。

次に本発明の第４の実施例（実施例４）を説明する。

本実施例４は、実施例２をさらに発展させたものである。本実施例４の接続装置及び簡易認証システムの基本的な構成は、実施例２で説明した構成と同様なので、詳細説明は省略する。

本実施例４が実施例２と異なる点は、ＷＡＮアクセス認証制御部へのアクセス許可テーブル１３１が登録有効期限切れによりクリアされる際、ＬＡＮインタフェースへのアクセス許可テーブル１３２も同時にクリアされることである。

本実施例４におけるＷＡＮアクセス認証制御部へのアクセス許可テーブル１３１及びＬＡＮインタフェースへのアクセス許可テーブル１３２に対する処理を、図７の動作フロー図を参照して説明する。

端末装置２０のホームネット３０を介した接続装置１０への接続により、ＬＡＮ接続登録部１２は、ＩＰｖ６アドレスの下位６４ビットと、タイムスタンプとを、ＷＡＮアクセス認証制御部へのアクセス許可テーブル１３１に登録する（図７のステップＳ５１）。

ＬＡＮ接続登録部１２には、ＷＡＮアクセス認証制御部へのアクセス許可テーブル１３１の登録有効期限を示す所定の時間が、あらかじめ設定されている。所定の時間の指定方法としては、システムの既定値を用いる方法や、端末装置２０の接続時にユーザの手動により指定する方法がある。

ＬＡＮ接続登録部１２は、ＷＡＮアクセス認証制御部へのアクセス許可テーブル１３１を定期的に参照し、登録されているタイムスタンプの値（登録時の絶対時刻）と、現在の絶対時刻との差分を、登録経過時間として算出する。ＬＡＮ接続登録部１２は、算出した登録経過時間が、設定されている所定の時間を超えている（有効期限切れ）か判定する（図７のステップＳ５２）。

登録経過時間が所定の時間を超えた場合、ＬＡＮ接続登録部１２は、ＷＡＮアクセス認証制御部へのアクセス許可テーブル１３１の対応する端末装置２０の登録内容（アドレス下位６４ビット、タイムスタンプ）をクリアする（図７のステップＳ５３）。ＬＡＮ接続登録部１２はさらに、ＬＡＮインタフェースへのアクセス許可テーブル１３２に対応する端末装置２０の情報（アドレス下位６４ビット、タイムスタンプ）が登録されていないかチェックし、登録されていれば、それをクリアする（図７のステップＳ５４）。

本実施例４の接続装置は、一度、ホームネット側に接続した端末装置の識別情報とタイムスタンプとの記憶の保持時間に有効期限を設け、有効期限切れと同時に、認証ＯＫによりホームネットへのアクセス許可対象とした端末装置の識別情報の記憶も削除する。上記有効期限が切れると、該当する端末装置は、新たな認証を受けることができない。また、アクセス許可対象とした端末装置の識別情報の記憶が削除されると、該当する端末装置は、認証済みであっても、認証されなかったものとみなされる。したがって、上記有効期限を適切に設定しておくことにより、悪意のある者が不正に入手した端末装置、あるいは、識別情報を詐称した端末装置を使用して、ホームネットへ不正にアクセスすることを、かなりの確度で防止できる。

このように本実施例４によれば、実施例２と同様の効果を維持しながら、ユーザに対する負担をさほどかけさせずに、セキュリティ機能を一層向上させることができる。

次に本発明の第５の実施例（実施例５）を説明する。

本実施例５の接続装置及び簡易認証システムの基本的な構成は、実施例１で説明した構成と同様なので、詳細説明は省略する。

本実施例５が実施例１と異なる点は、端末装置２０をホームネット３０を介して接続装置１０へ接続した際、毎回必ず、接続装置１０と端末装置２０との間で、認証に必要な情報をやりとりすることである。

実施例１においては、接続装置１０は、端末装置２０がホームネット３０に接続したことを検出すると、初めての接続かどうかを判定している（図２のステップＳ１２〜Ｓ１４の処理の説明参照）。

初めての接続の場合は、接続装置１０（ＬＡＮ接続登録部１２）は、認証に必要な情報を、認証許可テーブル１３のＷＡＮアクセス認証制御部へのアクセス許可テーブル１３１に登録するとともに、端末装置２０に通知する。なお、登録される認証に必要な情報とは、端末装置２０のＩＰｖ６アドレスの下位６４ビットと、接続開始時点の絶対時刻を示すタイムスタンプである。また、接続装置１０のエントリーアドレスも、端末装置２０に通知される。初めての接続でない場合（既に、ＷＡＮアクセス認証制御部へのアクセス許可テーブル１３１に認証に必要な情報が登録されている場合）は、接続装置１０（ＬＡＮ接続登録部１２）は何もしない。

これに対して、本実施例５においては、接続装置１０は、端末装置２０がホームネット３０に接続したことを検出すると、初めての接続かどうかに関わりなく、認証に必要な情報の登録（上書き登録）と、端末装置２０への通知を行う。

本実施例５は、ＷＡＮアクセス認証制御部へのアクセス許可テーブル１３１に登録した認証に必要な情報に有効期限を設けた、実施例２あるいは実施例４と組み合わせた場合に、有用となる。

端末装置２０をホームネット３０に接続し直しても、ＷＡＮアクセス認証制御部へのアクセス許可テーブル１３１に認証に必要な情報が登録済みなら、書替えないようにしたときに、有効期限を設けると、次のような不具合が生じる場合がある。つまり、ユーザが有効期限ぎりぎりまで自宅にいてから外出し、移動中に有効期限が切れてしまう場合がある。ユーザが自宅にいるときは有効期限がまだきていないので、登録された認証に必要な情報（特にタイムスタンプ）の書替えができない。タイムスタンプの書替えができないため、有効期限がすぐきてしまって、ユーザの移動中に、認証に必要な情報の登録が消されてしまう。認証に必要な情報の登録が消されてしまうと、ユーザが移動先でインタネット４０からホームネット３０へアクセスしようとしても、接続装置１０が受け付けない。

このような場合、ユーザは一旦、自宅に戻って、端末装置２０をホームネット３０に接続し直す必要がある。あるいは、ユーザは、有効期限が切れるまで自宅にいて、端末装置２０をホームネット３０に接続し直してから、外出する必要がある。いずれにしても、ユーザの利便性が損なわれる虞がある。

本実施例５の接続装置は、端末装置をホームネット側に接続する度に、端末装置の識別情報と接続開始時点のタイムスタンプとを記憶し直し、新たなタイムスタンプとエントリーアドレスとを端末装置へ通知する。ここで、ホームネット側に接続した端末装置の識別情報とタイムスタンプとの記憶の保持時間に有効期限を設けた場合、端末装置をホームネット側に接続し直す度に、有効期限も再設定される。したがって、ユーザは自宅から外出する直前に、端末装置をホームネット側に接続し直しておけば、移動中に有効期限が切れてしまう可能性は、ほとんどない。

このように、本実施例５によれば、実施例２あるいは実施例４と同様の効果を維持しながら、ユーザに対する利便性を一層向上させることができる。

ユーザの自宅の外のネットワーク（公共的ネットワーク）から、自宅のネットワーク（私的ネットワーク）に対して、セキュリティを確保しながらアクセスする、すべてのシステム、装置、アプリケーションに適用できる。

本発明の一実施例を示すシステム構成図である。 端末装置を接続装置のＬＡＮ側インタフェースに接続し、認証に必要な情報を交換するときの動作フローを示す図である。 端末装置を接続装置のＷＡＮ側インタフェースに接続し、認証を行うときの動作フローを示す図である。 認証許可テーブルの構成例を示す図である。 実施例２における接続装置の動作フローを示す図である。 実施例３における接続装置の動作フローを示す図である。 実施例４における接続装置の動作フローを示す図である。

符号の説明

１０ 接続装置
１１ ＬＡＮアクセス制御部
１２ ＬＡＮ接続登録部
１３ 認証許可テーブル
１４ ＷＡＮ接続認証制御部
１５ ＷＡＮアクセス制御部
２０ 端末装置
３０ ホームネット
４０ インタネット

Claims (18)

1. 第１のネットワークを、ファイアウォールを通して第２のネットワークに接続するネットワーク間接続装置において、
   前記第１のネットワークに端末装置が接続されると、当該端末装置の識別情報と、接続開始時点の時刻を示すタイムスタンプとを対応づけて第１のテーブルに登録し、当該端末装置へ前記タイムスタンプと、前記第２のネットワークにおける自ネットワーク間接続装置へのエントリーアドレスとを通知する手段と、
   前記第２のネットワークに接続された端末装置が前記エントリーアドレスにアクセスしてくると、当該端末装置の識別情報とパスワードとを受信し、受信した端末装置の識別情報及びパスワードの組が前記第１のテーブルに登録されている端末装置の識別情報及びタイムスタンプの組と一致するか判定し、一致すれば当該端末装置の識別情報を第２のテーブルに登録する手段と、
   前記第２のテーブルに登録されている識別情報に対応する端末装置を送信元あるいは送信先とする通信データに対し、前記第１のネットワーク及び前記第２のネットワーク間の転送を許容する手段とを有することを特徴とするネットワーク間接続装置。
2. 通信プロトコルとしてＩＰｖ６を用い、前記端末装置の識別情報は、ＩＰｖ６アドレスのインタフェースＩＤであることを特徴とする請求項１記載のネットワーク間接続装置。
3. 前記第１のテーブルに端末装置の識別情報及びタイムスタンプの組を登録した後、あらかじめ設定した所定時間が経過すると、前記第１のテーブルにおける当該組の登録をクリアすることを特徴とする請求項１、または２記載のネットワーク間接続装置。
4. 前記第２のテーブルに端末装置の識別情報を登録した後、あらかじめ設定した所定時間が経過すると、前記第２のテーブルにおける当該端末装置の識別情報の登録をクリアすることを特徴とする請求項１、または２記載のネットワーク間接続装置。
5. 前記第１のテーブルに端末装置の識別情報及びタイムスタンプの組を登録した後、あらかじめ設定した所定時間が経過すると、前記第１のテーブルにおける当該組の登録をクリアするとともに、前記第２のテーブルにおける当該端末装置の識別情報の登録をクリアすることを特徴とする請求項１、または２記載のネットワーク間接続装置。
6. 前記第１のネットワークに端末装置が接続された際、当該端末装置の識別情報及びタイムスタンプの組がすでに第１のテーブルに登録されていれば、新たな登録と、当該端末装置への通知とを中止することを特徴とする請求項１、または２記載のネットワーク間接続装置。
7. 前記第１のネットワークに端末装置が接続される度に、前記第１のテーブルにおける当該端末装置の識別情報及びタイムスタンプの組の登録を更新することを特徴とする請求項１、または２記載のネットワーク間接続装置。
8. ユーザに携帯されて移動することにより、ファイアウォール機能を有するネットワーク間接続装置を介して相互に接続された第１のネットワーク及び第２のネットワークのいずれにも接続可能な携帯端末であり、
   前記第１のネットワークに接続されると、自端末装置の識別情報を前記ネットワーク間接続装置へ送信し、前記ネットワーク間接続装置から接続開始時点の時刻を示すタイムスタンプと、前記第２のネットワークにおける前記ネットワーク間接続装置へのエントリーアドレスとを受信し記憶する手段と、
   前記第２のネットワークに接続されると、前記エントリーアドレスにアクセスし、自端末装置の識別情報と、前記タイムスタンプであるパスワードとを前記ネットワーク間接続装置へ送信する手段と、
   自端末装置を送信元とする通信データを送信し、自端末装置を送信先とする通信データを受信する手段とを有することを特徴とする端末装置。
9. 通信プロトコルとしてＩＰｖ６を用い、前記自端末装置の識別情報は、ＩＰｖ６アドレスのインタフェースＩＤであることを特徴とする請求項８記載の端末装置。
10. 第１のネットワークと、
    前記第１のネットワークを、ファイアウォールを通して第２のネットワークに接続する請求項１乃至７のいずれか１項に記載のネットワーク間接続装置と、
    ユーザに携帯されて移動することにより、前記第１のネットワーク及び前記第２のネットワークのいずれにも接続可能な請求項８、または９記載の端末装置とを備えることを特徴とする簡易認証システム。
11. 前記第１のネットワークは、ホームネットワークであり、前記第２のネットワークはインタネットであることを特徴とする請求項１０記載の簡易認証システム。
12. 第１のネットワークを、ファイアウォールを通して第２のネットワークに接続するネットワーク間接続装置における認証方法において、
    前記第１のネットワークに端末装置が接続されると、当該端末装置の識別情報と、接続開始時点の時刻を示すタイムスタンプとを対応づけて第１のテーブルに登録し、当該端末装置へ前記タイムスタンプと、前記第２のネットワークにおける自ネットワーク間接続装置へのエントリーアドレスとを通知する工程と、
    前記第２のネットワークに接続された端末装置が前記エントリーアドレスにアクセスしてくると、当該端末装置の識別情報とパスワードとを受信し、受信した端末装置の識別情報及びパスワードの組が前記第１のテーブルに登録されている端末装置の識別情報及びタイムスタンプの組と一致するか判定し、一致すれば当該端末装置の識別情報を第２のテーブルに登録する工程と、
    前記第２のテーブルに登録されている識別情報に対応する端末装置を送信元あるいは送信先とする通信データに対し、前記第１のネットワーク及び前記第２のネットワーク間の転送を許容する工程とを有することを特徴とする簡易認証方法。
13. 通信プロトコルとしてＩＰｖ６を用い、ＩＰｖ６アドレスのインタフェースＩＤから前記端末装置の識別情報を作成する工程を有することを特徴とする請求項１２記載の簡易認証方法。
14. 前記第１のテーブルに端末装置の識別情報及びタイムスタンプの組を登録した後、あらかじめ設定した所定時間が経過すると、前記第１のテーブルにおける当該組の登録をクリアする工程を有することを特徴とする請求項１２、または１３記載の簡易認証方法。
15. 前記第２のテーブルに端末装置の識別情報を登録した後、あらかじめ設定した所定時間が経過すると、前記第２のテーブルにおける当該端末装置の識別情報の登録をクリアする工程を有することを特徴とする請求項１２、または１３記載の簡易認証方法。
16. 前記第１のテーブルに端末装置の識別情報及びタイムスタンプの組を登録した後、あらかじめ設定した所定時間が経過すると、前記第１のテーブルにおける当該組の登録をクリアするとともに、前記第２のテーブルにおける当該端末装置の識別情報の登録をクリアする工程を有することを特徴とする請求項１２、または１３記載の簡易認証方法。
17. 前記第１のネットワークに端末装置が接続された際、当該端末装置の識別情報及びタイムスタンプの組がすでに第１のテーブルに登録されていれば、新たな登録と、当該端末装置への通知とを中止する工程を有することを特徴とする請求項１２、または１３記載の簡易認証方法。
18. 前記第１のネットワークに端末装置が接続される度に、前記第１のテーブルにおける当該端末装置の識別情報及びタイムスタンプの組の登録を更新する工程を有することを特徴とする請求項１２、または１３記載の簡易認証方法。
    

Images