JP3973357B2 - ポート番号の収束、展開方法及びそのゲートウェイサーバ - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明は、インターネット側サーバからイントラネット側サーバへ送信される電文の伝送経路に介入してセキュリティ向上に寄与するゲートウェイサーバに関する。
【０００２】
【従来の技術】
インターネット側のサーバと、イントラネット側のサーバとを接続し、イントラネットシステム内の社内端末からイントラネット側サーバへアクセスさせるとともに、インターネット及びインターネット側サーバを介して社外からイントラネット側サーバへのアクセスを許可するネットワークシステムが知られている。この場合に、イントラネットシステムのセキュリティを確保するために、インターネット側サーバとイントラネット側サーバとの間にファイアウォールを配置してインターネット側からイントラネットシステムへのアクセス制御を行っている。
【０００３】
【発明が解決しようとする課題】
イントラネット側サーバは、提供するサービス機能あるいはアプリケーションに応じて複数の機能サーバ又は機能に分離され、どのサーバのいずれの機能にアクセスするかを処理要求電文中の宛先ＩＰアドレスと宛先ポート番号とで指定するよう構成される。すなわちインターネット側サーバは、インターネットを介して受信する処理要求電文に含まれる宛先ＩＰアドレスと宛先ポート番号に応じてその処理要求電文を該当するイントラネット側の目的のサーバの目的の機能に向けて送信する。従って両サーバ間に介在するファイアウォールは、複数のポート番号をもつ電文の入力を許可し、それら電文をイントラネット側サーバに向けて出力する。従来技術によれば、インターネット側サーバとイントラネット側サーバ間を伝送されるポート番号の数が多いほど、イントラネットシステムへ不正アクセスしようとする者からのポート番号の発見が容易になり、ハッキングの可能性が高くなるという問題があった。
【０００４】
本発明の目的は、インターネット側サーバとイントラネット側サーバ間を伝送されるポート番号の数を削減し、セキュリティを向上させることにある。
【０００５】
【課題を解決するための手段】
本発明は、インターネット側のサーバからイントラネット側のサーバへ送信される電文の伝送経路に沿って配置される第１のゲートウェイサーバ及び第２のゲートウェイサーバを有するシステムのポート番号の収束、展開方法であって、第１のゲートウェイサーバによって、インターネット側サーバの複数の機能の各々に対応して設定される電文中の宛先ポート番号を別のポート番号に変換して設定するとともに、元の宛先ポート番号を識別する識別情報を電文中に挿入して第２のゲートウェイサーバに向けて送信し、第２のゲートウェイサーバによって、上記別のポート番号を電文中の識別情報に応じてイントラネット側サーバの複数の機能の各々に対応して設定される宛先ポート番号に変換して設定し、イントラネット側サーバの該当する機能に向けて送信するポート番号の収束、展開方法を特徴とする。またそのような機能をもつインターネット側のゲートウェイサーバ及びイントラネット側のゲートウェイサーバを特徴とする。
【０００６】
【発明の実施の形態】
以下、本発明の実施形態について図面を用いて説明する。
【０００７】
図1は、本発明の実施形態のシステム構成を示す図である。システムは携帯電話などの端末１０１、電話会社のサーバ８０、インターネット９０、WWWサーバ１０２、インターネット側のゲートウェイサーバ１０３、ファイアウォール１０４、イントラネット側のゲートウェイサーバ１０５、イントラネットシステム１０７を構成する機能１サーバ〜機能４サーバ及び端末１０８から構成される。
【０００８】
端末１０１は、インターネット９０及びWWWサーバ１０２を介してイントラネットシステム１０７へ処理要求を送信するユーザの端末である。携帯電話と電話会社のサーバ８０の代りにパソコン等の計算機でもよい。WWWサーバ１０２は、端末１０１からの処理要求に応じて、機能１、機能２、機能３、機能４のいずれかのサービスの窓口となるよう構成される。機能１，２，３，４は、各々イントラネットシステム１０７の機能１サーバ、機能２サーバ、機能３サーバ、機能４サーバに対応し、例えばWWWサーバ１０２が機能３の処理要求を受けたとき、その処理要求をイントラネットシステム１０７の機能３サーバへ送信し、機能３サーバがその処理要求に対するサービスをする。イントラネットシステム１０７の機能１サーバ〜機能４サーバは、例えば各々の分担するユーザについてのユーザ情報のデータベースを有し、自分の分担するユーザについての処理要求についてサービスする。ユーザ管理テーブル１１０は、各ユーザのログイン時に参照されるユーザ情報を有し、機能１サーバに接続されていてもよいし、機能１サーバ〜機能４サーバの各々に接続されていてもよい。
【０００９】
図１で記号ａ，ｂ，ｃ，ｄ，ｅ，ｆ，ｇ，ｈ，ｉは、各々ＴＣＰ／ＩＰに準拠して設定される異なるポート番号を示している。ポート番号は、機能あるいはアプリケーションを識別するための番号である。ゲートウェイサーバ１０３は、WWWサーバ１０２からポート番号ａ，ｂ，ｃ又はｄをもつ処理要求の電文を受信し、そのポート番号をｅに変換してファイアウォール１０４へ送信する。ファイアウォール１０４は、従来のファイアウォールの機能をもつ計算機であるが、この電文を受信し、ポート番号ｅを保存したままゲートウェイサーバ１０５へ送信する。ゲートウェイサーバ１０５は、この電文を受信し、そのポート番号をｆ，ｇ，ｈ又はｉに展開して設定し、各々機能１サーバ〜機能４サーバへ送信する。ポート番号ａ，ｂ，ｃ，ｄは、各々ポート番号ｆ，ｇ，ｈ，ｉに対応する。すなわち処理要求の電文は、WWWサーバ１０２側の機能１〜４とイントラネットシステム１０７側の機能１サーバ〜機能４サーバとの対応関係を保存したまま目的の機能サーバへ送信される。
【００１０】
ゲートウェイサーバ１０５は、その記憶装置上にユーザ情報テーブル１０６及びアクセス情報テーブル１０９を格納する。ユーザ情報テーブル１０６は、インターネット９０及びWWWサーバ１０２からイントラネットシステム１０７へのアクセスを許可するユーザの情報を設定する。ゲートウェイサーバ１０５は、ユーザ情報テーブル１０６を参照して許可するユーザのログイン要求のみをイントラネットシステム１０７内の機能サーバへ送信する。またアクセス情報テーブル１０９は、例えば機能１サーバがさらに複数のサーバに分離されている場合に、ログイン処理が成功したユーザについて、ユーザ情報とアクセス対象の機能サーバとの対応を記憶する。ゲートウェイサーバ１０５は、アクセス情報テーブル１０９を参照してログイン後にユーザから受信する処理要求の通信先サーバを決定する。
【００１１】
端末１０８は、ＬＡＮ等のローカルネットワークを介してイントラネットシステム１０７の機能サーバに接続され、イントラネットシステム１０７内で機能サーバへ処理要求を送信し、直接イントラネットシステム１０７の機能サーバのサービスを受ける端末装置である。
【００１２】
図2は、ゲートウェイサーバ１０３及びゲートウェイサーバ１０５を設けない従来構成の場合に、インターネット９０、WWWサーバ１０２、ファイアウォール１０４及びイントラネットシステム１０７の各機能サーバの接続形態と、インターネット９０から送られる電文の流れを示す図である。WWWサーバ１０２とイントラネットシステム１０７の機能サーバとの間にａ，ｂ，ｃ，ｄの４種のポート番号をもつ電文が流れることになるので、ファイアウォール１０４はWWWサーバ１０２からイントラネットシステム１０７へ流れる電文について４種のポート番号を許可することになり、ハッキングによってイントラネットシステム１０７に侵入される可能性はポート番号の数に比例して高くなる。
【００１３】
図３は、ゲートウェイサーバ１０３及びゲートウェイサーバ１０５を設ける本実施形態の構成の場合に、インターネット９０、WWWサーバ１０２、ゲートウェイサーバ１０３、ファイアウォール１０４、ゲートウェイサーバ１０５及びイントラネットシステム１０７の各機能サーバの接続形態と、インターネット９０から送られる電文の流れを示す図である。ゲートウェイサーバ１０３とゲートウェイサーバ１０５との間には、ｅのポート番号をもつ電文のみが流れるので、ゲートウェイサーバ１０３とゲートウェイサーバ１０５方向においてファイアウォール１０４は１種のポート番号を許可するのみであり、ハッキングによってイントラネットシステム１０７に侵入される確率は図２の従来構成の場合より小さい。
【００１４】
図4は、ゲートウェイサーバ１０３からファイアウォール１０４を介してゲートウェイサーバ１０５へ送信される電文のデータ形式を示す図である。通信ヘッダ部４０１は、ＴＣＰ／ＩＰプロトコルに準拠するヘッダ部であり、宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート番号、送信元ポート番号を含む。本実施形態の場合には、宛先ＩＰアドレスは、ゲートウェイサーバ１０３からファイアウォール１０４へ送信される電文についてはファイアウォール１０４のＩＰアドレス、ファイアウォール１０４からゲートウェイサーバ１０５へ送信される電文についてはゲートウェイサーバ１０５のＩＰアドレスが設定される。また送信元ＩＰアドレスは端末１０１のＩＰアドレスが設定される。また宛先ポート番号はポート番号ｅ、送信元ポート番号は端末１０１のポート番号が設定される。
【００１５】
ヘッダ部４０２は、通信ヘッダ部４０１とアプリケーションデータ４０３との間に挿入されるヘッダ部であり、イントラネットシステム１０７の機能１〜４を識別するための識別番号が設定される。アプリケーションデータ４０３は、制御情報を含む。この制御情報は、各機能１〜４の固有の制御情報が設定され、正しい機能サーバに宛てた電文か否かをチェックするために用いられる。
【００１６】
ＷＷＷサーバ１０２からゲートウェイサーバ１０３へ送信される電文のデータ形式は、ヘッダ部４０２がなく、通信ヘッダ部４０１とアプリケーションデータ４０３とで構成される。その通信ヘッダ部４０１の宛先ＩＰアドレスは、ゲートウェイサーバ１０３のＩＰアドレス、宛先ポート番号はａ，ｂ，ｃ，ｄのいずれかである。
【００１７】
ゲートウェイサーバ１０５からイントラネットシステム１０７へ送信される電文のデータ形式は、ヘッダ部４０２がなく、通信ヘッダ部４０１とアプリケーションデータ４０３とで構成される。その通信ヘッダ部４０１の宛先ＩＰアドレスは、機能１サーバ〜機能４サーバのいずれかのＩＰアドレス、宛先ポート番号はｆ，ｇ，ｈ，ｉのいずれかである。
【００１８】
なお図２に示すゲートウェイサーバ１０３及びゲートウェイサーバ１０５のない従来構成の場合には、送信される電文のデータ形式にはヘッダ部４０２がなく、通信ヘッダ部４０１とアプリケーションデータ４０３とで構成される。ＷＷＷサーバ１０２からファイアウォール１０４へ送信される電文の通信ヘッダ部４０１の宛先ＩＰアドレスはファイアウォール１０４のＩＰアドレス、宛先ポート番号はａ，ｂ，ｃ，ｄのいずれかである。ファイアウォール１０４からイントラネットシステム１０７へ送信される電文の通信ヘッダ部４０１の宛先ＩＰアドレスは機能１サーバ〜機能４サーバのいずれかのＩＰアドレスであり、宛先ポート番号はａ，ｂ，ｃ，ｄのいずれかである。
【００１９】
またイントラネットシステム１０７からファイアウォール１０４、ＷＷＷサーバ１０２及びインターネット９０を介して端末１０１へ送信される電文のデータ形式は従来通りである。すなわちヘッダ部４０２はなく、通信ヘッダ部４０１と、ＷＷＷサーバ１０２によってｈｔｍｌなどの形式に変換されたアプリケーションデータである。その通信ヘッダ部４０１に含まれる宛先ＩＰアドレスは端末１０１のＩＰアドレス、送信元ＩＰアドレスはＷＷＷサーバ１０２のＩＰアドレスが設定される。また宛先ポート番号は端末１０１のポート番号、送信元ポート番号はＷＷＷサーバ１０２の該当する機能のポート番号が設定される。
【００２０】
図5は、アクセス情報テーブル１０９のデータ形式を示す図である。アクセス情報テーブル１０９は、例えばイントラネットシステム１０７の機能１サーバがアクセスされるユーザに応じて機能１サーバ１−１と機能１サーバ１−２に分離されている場合に、端末１０１からインターネット９０及びＷＷＷサーバ１０２経由でイントラネットシステム１０７の機能１サーバ１−１又は機能１サーバ１−２のいずれかにログイン成功した各ユーザについて通信先サーバ情報を保存するためのテーブルである。アクセス情報テーブル１０９の各レコードは、ユーザ識別子５０１、通信先サーバ情報５０２及びその他の通信情報を有する。ユーザ識別子５０１は、ログイン成功したユーザの識別子である。通信先サーバ情報５０２は、通信先が確定したイントラネットシステム１０７の機能サーバのＩＰアドレスである。「その他通信情報」は、そのユーザの端末１０１の送信元ＩＰアドレス、送信元ポート番号などユーザ識別子５０１と対応づけるための通信情報である。
【００２１】
図６は、ユーザ情報テーブル１０６のデータ構成を示す図である。ユーザ情報テーブル１０６は、ユーザ管理テーブル１１０に登録されているユーザのうち、インターネット９０、ＷＷＷサーバ１０２、ゲートウェイサーバ１０３及びゲートウェイサーバ１０５の経路でイントラネットシステム１０７のいずれかの機能サーバにアクセスを許可するユーザ識別子を登録するテーブルである。ユーザ識別子６０１はユーザ管理テーブル１１０に登録されている対象となるユーザの識別子、アクセス制御情報６０２は上記の経路でイントラネットシステム１０７のいずれかの機能サーバにアクセスを許可する（１）か、許可しない（０）かを設定する制御情報である。「その他属性情報」は、ユーザ管理テーブル１１０に登録されているユーザの属性情報のうち、ユーザ認証に必要となる属性情報である。なおアクセス制御情報６０２を設けずに、ユーザ識別子６０１に識別子が登録されたユーザのアクセスを許可し、登録されていないユーザのアクセスを許可しないようにしてもよい。なおアクセスを許可するユーザについて、「その他属性情報」によってもアクセス制限をすることが可能である。例えば「その他属性情報」に課長の役職が設定してある場合には、ユーザが課長以上の役職をもつ場合にアクセスを許可するなどである。
【００２２】
図７は、ユーザ管理テーブル１１０のデータ構成を示す図である。ユーザ管理テーブル１１０は、イントラネットシステム１０７のいずれかの機能サーバにログイン要求を発行したユーザについてユーザ認証を行うためのユーザ情報と通信先サーバに関する情報を設定する。ユーザ識別子７０１はユーザの識別子であり、「その他属性情報」はそのユーザのパスワードなどログイン時のユーザ認証に必要な情報を含む。通信先サーバ情報７０２は、例えばイントラネットシステム１０７の機能１サーバがアクセスされるユーザに応じて機能１サーバ１−１と機能１サーバ１−２に分離されている場合に、当該ユーザに関する情報を保有するサーバのＩＰアドレスを格納する。
【００２３】
図８は、ゲートウェイサーバ１０３の処理の流れを示す図である。ゲートウェイサーバ１０３は、ＷＷＷサーバ１０２から処理要求の電文を受信し、そのアプリケーションデータ４０３中の制御情報がその通信ヘッダ部４０１中の宛先ポート番号に対応する正しい情報か否か、すなわち正しい機能か否か判定し（ステップ８０１）、正しい場合には各機能に対応する識別番号を設定する（ステップ８０３）。例えば機能１，２，３，４に応じて識別番号を各々１０，２０，３０，４０にするなどの区分を設定する。正しい機能でない場合には接続不可とし、処理を終了する（ステップ８０２）。ステップ８０３の処理後に識別番号を含むヘッダ部４０２を付加した送信電文を生成し（ステップ８０４）、ファイアウォール１０４のＩＰアドレスを宛先ＩＰアドレスとし、ｅを宛先ポート番号に設定して、ファイアウォール１０４へ送信する（ステップ８０５）。
【００２４】
ファイアウォール１０４は、この電文を受信し、従来のファイアウォールのチェックをして通過すべき電文と判定したとき、ゲートウェイ１０５のＩＰアドレスを宛先ＩＰアドレスに設定し、ゲートウェイ１０５へ送信する。
【００２５】
図９は、ゲートウェイ１０５の処理の流れを示す図である。ゲートウェイ１０５は、ファイアウォール１０４から宛先ポート番号がｅの電文を受信し（ステップ９０１）、そのヘッダ部４０２の識別番号を認識した後に、付加したヘッダ部４０２を削除する（ステップ９０２）。次に電文中のアプリケーションデータ４０３を調べて、ログイン要求であれば、後述するログイン要求時の処理を行う（ステップ９０３）。ログイン要求でなければステップ９０３はスキップされる。次に送信先機能サーバを確定し、通信ヘッダ部４０１にその機能サーバの宛先ＩＰアドレスを設定する（ステップ９０４）。特に同一機能を複数のサーバが分担してサービスする場合の処理について後述する。次に要求された機能に対応する宛先ポート番号を通信ヘッダ部４０１に設定し、作成した電文を該当する機能サーバへ送信する（ステップ９０５）。本実施形態では、機能１，２，３，４の要求に対してそれぞれ宛先ポート番号をｆ，ｇ，ｈ，ｉに設定する。
【００２６】
図１０は、ステップ９０３のログイン要求時の処理を説明するシステム構成図であり、特にイントラネットシステム１０７内で機能サーバへの接続は許可するが、インターネット９０を経由する機能サーバへの接続は許可しないユーザが存在する場合について説明する図である。端末１０８のユーザは、ユーザ管理テーブル１１０に登録してあるため、端末１０８から直接イントラネットシステム１０７の機能サーバにアクセスする場合には、イントラネットシステム１０７によってアクセスが許可される。しかし、そのユーザがユーザ情報テーブル１０６に登録していないか、アクセス不可としているため、端末１０１からインターネット９０、ＷＷＷサーバ１０２、ゲートウェイサーバ１０３、ファイアウォール１０４及びゲートウェイサーバ１０５の経路でイントラネットシステム１０７の機能サーバにアクセスしようとした場合に、ゲートウェイサーバ１０５は接続不可とする。
【００２７】
図１１は、ステップ９０３のログイン要求時の処理の流れを示すフローチャートである。ゲートウェイサーバ１０５は、端末１０１からのログイン要求の電文を受け取り（ステップ１１０１）、ユーザ情報テーブル１０６を参照して（ステップ１１０２）、当該ユーザがユーザ識別子６０１に登録されているか、またはユーザ識別子６０１に登録されていてアクセス制御情報６０２がアクセス許可に設定されているか否かを判定する（ステップ１１０３）。アクセスが許可され、接続可能なユーザであれば、次の処理（ステップ９０３又はステップ９０４）へ行く（ステップ１１０４）。接続不可のユーザであれば、端末１０１へエラーメッセージを送信する（ステップ１１０５）。
【００２８】
図１２は、ポート番号ｆをもつ機能１サーバが機能１サーバ１−１と機能１サーバ１−２に分離されていて、ユーザに関する情報がいずれかのサーバに保存されている場合のログイン要求時及びその後のアクセス時の処理を説明するシステム構成図である。機能１サーバ１−１と機能１サーバ１−２は、各々固有のＩＰアドレスを有する。ここでゲートウェイサーバ１０５では、ＷＷＷサーバ１０２から機能１サーバにログイン要求がなされた時にまず機能１サーバ１−１にログイン要求するよう設定されているものとする。
【００２９】
ゲートウェイサーバ１０５は、図１１に示すユーザのアクセス権のチェックをし、接続可能なユーザであれば、ユーザからのログイン要求の電文を機能１サーバ１−１へ送信する。機能１サーバ１−１は、ユーザ管理テーブル１１０を参照して当該ユーザに対応する通信先サーバ情報５０２を参照して通信先サーバが機能１サーバ１−１であれば、機能１サーバ１−１はユーザ管理テーブル１１０を参照してログイン処理を行い、機能１サーバ１−１で当該ユーザのログインが成功／失敗したことをゲートウェイサーバ１０５に通知する。ゲートウェイサーバ１０５は、ログイン成功した場合に、アクセス情報テーブル１０９にユーザ識別子５０１、機能１サーバ１−１を通信先とする通信先サーバ情報５０２及びその他の通信情報をもつ新しいレコードを追加する。通信先サーバが機能１サーバ１−２であれば、機能１サーバ１−１は通信先が機能１サーバ１−２であることをゲートウェイサーバ１０５に通知する。ゲートウェイサーバ１０５は、当該ログイン要求の電文を機能１サーバ１−２へ送信する。機能１サーバ１−２は、ユーザ管理テーブル１１０を参照してログイン処理を行い、当該ユーザのログイン成功／失敗をゲートウェイサーバ１０５に通知する。ゲートウェイサーバ１０５は、ログイン成功した場合に、アクセス情報テーブル１０９にユーザ識別子５０１、機能１サーバ１−２を通信先とする通信先サーバ情報５０２及びその他の通信情報をもつ新しいレコードを追加する。
【００３０】
なおログイン成功したユーザについて、ゲートウェイサーバ１０３は、ＷＷＷサーバ１０２に通信先サーバのＩＰアドレスを通知する必要がある。ゲートウェイサーバ１０５はゲートウェイサーバ１０３に通信先サーバのＩＰを通知し、ゲートウェイサーバ１０３は通信先サーバとしてゲートウェイサーバ１０３のＩＰアドレスをＷＷＷサーバ１０２に通知する。
【００３１】
ログイン後にゲートウェイサーバ１０５が端末１０１から処理要求を受けたとき、ゲートウェイサーバ１０５は、ステップ９０４でアクセス情報テーブル１０９の該当するユーザの通信先サーバ情報５０２を参照し、ログイン時に設定された通信先サーバのＩＰアドレスをその電文の通信ヘッダ部４０１の宛先ＩＰアドレスに設定する。
【００３２】
イントラネットシステム１０７の各機能サーバから端末１０１へ送信される電文は、ファイアウォール１０４及びインターネット９０を介して直接端末１０１へ送信される。
【００３３】
以上のべたように、本実施形態によれば、ゲートウェイサーバ１０３及びゲートウェイサーバ１０５を導入するとともに、ファイアウォール１０４を経由してＷＷＷサーバ１０２からイントラネットシステム１０７の各機能サーバへ流れる電文のポート番号を１種に収束するので、ファイアウォール１０４を通過してゲートウェイサーバ１０５へ送信許可されるポート番号は１種のみとなり、ハッキングによってインターネット９０側からイントラネットシステム１０７に侵入される確率はより小さくなる。またゲートウェイサーバ１０３とゲートウェイサーバ１０５の間を流れる電文のポート番号ｅが盗聴されたとしても、そのポート番号を利用してインターネット９０側から侵入することはできない。またゲートウェイサーバ１０３は、宛先ポート番号とアプリケーションデータ４０３中のアプリケーション固有の正しい制御情報との対応をチェックするので、両者が不一致であるような受信電文を排除する。さらにゲートウェイサーバ１０３が受信する電文のポート番号ａ，ｂ，ｃ，ｄをゲートウェイサーバ１０５が異なるポート番号ｆ，ｇ，ｈ，ｉに変換するので、ゲートウェイサーバ１０５とイントラネットシステム１０７の間に流れる電文のポート番号ｆ，ｇ，ｈ，ｉが盗聴されたとしても、これらのポート番号を利用してインターネット側からイントラネットシステム１０７に侵入することはできない。なおポート番号ｆ，ｇ，ｈ，ｉを各々ポート番号ａ，ｂ，ｃ，ｄと同一にしてもよいが、その場合にはこの効果はない。
【００３４】
なおゲートウェイサーバ１０３とゲートウェイサーバ１０５との間で電文を送受信する際の通信プロトコルをローカルなプロトコルに変換してもよい。すなわちゲートウェイサーバ１０３は、ＷＷＷサーバ１０２から電文を標準の通信プロトコルに従って送受信するが、ゲートウェイサーバ１０３はローカルなプロトコルに変換し、電文中の通信ヘッダ部４０１又はアプリケーションデータ４０３のヘッダをローカルなプロトコルに従うヘッダ部に変換してファイアウォール１０４へ送信する。ファイアウォール１０４は、このローカルなプロトコルに従って電文をゲートウェイサーバ１０５へ送信する。ゲートウェイサーバ１０５は、ローカルプロトコルを元の標準プロトコルに逆変換し、電文中の通信ヘッダ部４０１又はアプリケーションデータ４０３のヘッダを元のヘッダ形式に戻し、標準プロトコルに従ってイントラネットシステム１０７の該当する機能サーバへ送信してもよい。このような通信ヘッダ部４０１内の宛先ポート番号を上記のように変更してもよいし、変更しなくともよい。このようにゲートウェイサーバ１０３及びゲートウェイサーバ１０５に各々プロトコル変換及びプロトコル逆変換の機能を設けると、ゲートウェイサーバ１０３とゲートウェイサーバ１０５との間の電文が盗聴されたとしても、イントラネットシステム１０７の機能サーバにアクセスするために通信ヘッダ部を解読するのが困難となる。
【００３５】
なお上記実施形態では、ＷＷＷサーバ１０２とゲートウェイサーバ１０３が別々の装置としているが、同一の装置であってもよく、その場合にもゲートウェイサーバ１０３部分の上記処理手順は変わらない。また上記実施形態では、ゲートウェイサーバ１０５とイントラネットシステム１０７の機能サーバとが別々の装置としているが、ゲートウェイサーバ１０５とイントラネットシステム１０７の機能サーバの１つとが同一の装置であってもよく、その場合にもゲートウェイサーバ１０５部分の上記処理手順は変わらない。
【００３６】
【発明の効果】
以上述べたように本発明によれば、インターネット側とイントラネット側に各々ゲートウェイサーバを設けて宛先ポート番号の収束と展開を行うので、インターネット側サーバとイントラネット側サーバ間を伝送されるポート番号の数が削減されることになり、イントラネットシステムへ不正アクセスしようとする者からのポート番号の発見がより困難になり、セキュリティが向上する。さらにイントラネット側のゲートウェイサーバは、ログイン要求のあったユーザの接続可否をチェックするので、インターネット側からアクセスするユーザについてアクセス制御することができる。
【図面の簡単な説明】
【図１】実施形態のシステム構成図である。
【図２】従来のポート番号の流れを説明する構成図である。
【図３】実施形態のポート番号の流れを説明する構成図である。
【図４】実施形態のゲートウェイ間を伝送される電文のデータ形式を示す図である。
【図５】実施形態のアクセス情報テーブル１０９のデータ構成を示す図である。
【図６】実施形態のユーザ情報テーブル１０６のデータ構成を示す図である。
【図７】実施形態のユーザ管理テーブル１１０のデータ構成を示す図である。
【図８】実施形態のゲートウェイサーバ１０３の処理の流れを示す図である。
【図９】実施形態のゲートウェイサーバ１０５の処理の流れを示す図である。
【図１０】実施形態のゲートウェイサーバ１０５のログイン要求時の処理を説明する図である。
【図１１】実施形態のゲートウェイサーバ１０５のログイン要求時の処理の流れを示すフローチャートである。
【図１２】他の実施形態のゲートウェイサーバ１０５の処理を説明する構成図である。
【符号の説明】
１０３：インターネット側のゲートウェイサーバ、１０５：イントラネット側のゲートウェイサーバ、１０６：ユーザ情報テーブル、４０１：通信ヘッダ部、４０２：ヘッダ部、４０３：アプリケーションデータ

Claims (6)

1. インターネット側のサーバからイントラネット側のサーバへ送信される電文の伝送経路に沿って配置される第１のゲートウェイサーバ及び第２のゲートウェイサーバであって、第１のゲートウェイサーバは、インターネット側サーバの複数の機能の各々に対応して設定される前記電文中の宛先ポート番号を別のポート番号に設定するとともに、元の宛先ポート番号を識別する識別情報を前記電文中に挿入して第２のゲートウェイサーバに向けて送信する手段を有し、第２のゲートウェイサーバは、前記別のポート番号を前記電文中の前記識別情報に応じてイントラネット側サーバの複数の機能の各々に対応して設定される宛先ポート番号に変換して設定し、イントラネット側サーバの該当する機能に向けて送信する手段を有することを特徴とするポート番号の収束、展開をするゲートウェイサーバ。
2. 前記第２のゲートウェイサーバは、さらにあらかじめ接続を許可するユーザを登録する記憶手段を有し、前記記憶手段を参照してログイン要求のあったユーザを接続許可する場合に、ログイン処理を行う手段を有することを特徴とする請求項１記載のポート番号の収束、展開をするゲートウェイサーバ。
3. インターネット側のサーバからイントラネット側のサーバへ送信される電文の伝送経路に沿って配置される第１のゲートウェイサーバ及び第２のゲートウェイサーバを有するシステムのポート番号の収束、展開方法であって、第１のゲートウェイサーバによって、インターネット側サーバの複数の機能の各々に対応して設定される前記電文中の宛先ポート番号を別のポート番号に設定するとともに、元の宛先ポート番号を識別する識別情報を前記電文中に挿入して第２のゲートウェイサーバに向けて送信し、第２のゲートウェイサーバによって、前記別のポート番号を前記電文中の前記識別情報に応じてイントラネット側サーバの複数の機能の各々に対応して設定される宛先ポート番号に変換して設定し、イントラネット側サーバの該当する機能に向けて送信することを特徴とするポート番号の収束、展開方法。
4. 前記第２のゲートウェイサーバによって、さらにあらかじめ接続を許可するユーザを登録する記憶手段を参照してログイン要求のあったユーザを接続許可する場合に、ログイン処理を行うことを特徴とする請求項３記載のポート番号の収束、展開方法。
5. 前記第１のゲートウェイサーバの前記識別情報を前記電文中に挿入する手段は、ＴＣＰ／ＩＰプロトコルに準拠する通信ヘッダ部とアプリケーションデータとの間に前記識別情報を含むヘッダ部を挿入することを特徴とする請求項１記載のポート番号の収束、展開をするゲートウェイサーバ。
6. 前記第１のゲートウェイサーバによって、ＴＣＰ／ＩＰプロトコルに準拠する通信ヘッダ部とアプリケーションデータとの間に前記識別情報を含むヘッダ部を挿入することを特徴とする請求項３記載のポート番号の収束、展開方法。

Images