JP4260116B2 - 安全な仮想プライベート・ネットワーク - Google Patents

Description

本発明は、外部からのアクセスに対して安全な仮想プライベート・ネットワークに関し、特に、高いセキュリティ方式に従った外部情報処理装置から外部ネットワークを介した内部ネットワーク上の機器への接続のための処理に関する。

例えばインターネットのような外部ネットワークに接続された情報処理端末から、例えば家庭内ローカルエリア・ネットワークのような内部ネットワーク接続された装置へリモート・アクセスするために、その情報処理端末は、内部ネットワークと外部ネットワークの間に介在するゲートウェイ装置の外部ネットワーク用グローバルＩＰアドレスを取得する必要がある。その情報処理端末は、宛先アドレスとしてその取得したＩＰアドレスを用いてゲートウェイ装置へアクセスする。

通常、インターネットへ接続するための家庭の情報処理装置用のグローバルＩＰアドレスは、インターネット・サービス・プロバイダ（ＩＳＰ）によってＤＨＣＰ（Dynamic Host Configuration Protocol）に従ってその情報処理装置に動的に割り当てられる。従って、外部情報処理端末は、ゲートウェイ装置のインターネット用グローバルＩＰアドレスを予め取得することはできない。

前田によって平成１４年１月３１日に公開された特開２００２−３２３４２号公報（Ａ）には認証システムが記載されている。このシステムでは、クライアントが情報端末でユーザＩＤやパスワードで入力した際に、ダイヤルアップ番号を取込み、情報端末を確認の上、生成したワンタイム・ユーザＩＤ、ワンタイム・パスワードによりファイアウォール・サーバで、認証したものしか、情報端末とホストコンピュータとのインターネットによるデータ送受信を認めない。
特開２００２−３２３４２号公報

一方、典型例のダイナミックＤＳＮサービスとして、ゲートウェイ装置によってその動的グローバルＩＰアドレスを、インターネット用の固定的グローバルＩＰアドレスを有するサーバに登録することによって、ゲートウェイ装置のグローバルＩＰアドレスを公開する方法が知られている。ゲートウェイ装置は、グローバルＩＰアドレスが変更されるたびに、または定期的に、そのサーバに自己の現在のグローバルＩＰアドレスを登録しまたは更新する。外部情報処理端末は、そのサーバにおける登録されたゲートウェイ装置の動的グローバルＩＰアドレスを先に取得し、次いでそのＩＰアドレスを用いてゲートウェイ装置にアクセスする。

しかし、そのようにゲートウェイ装置のＩＰアドレスをサーバに登録して公開すると、ゲートウェイ装置のＩＰアドレスが第三者によって知られて、ゲートウェイ装置が不正にアクセスされる恐れがある。

上述の問題に対処するために、登録用のそのサーバに認証機能を付与することができる。外部情報処理端末がゲートウェイ装置に対するアクセス権を有するかどうかを、その認証サーバによって判定してもよい。それがアクセス権を有すると判定された場合に、そのサーバは、ゲートウェイ装置によって提供されるＷＷＷサービス用の固有のＵＲＩ（Uniformed Resource Identifier）またはＵＲＬをその外部情報処理端末に送信する。このように、サーバは、安全に外部情報処理端末にゲートウェイ装置のＩＰアドレスを通知することができる。その外部情報処理端末はそのＵＲＩを用いてそのＷＷＷサービスにアクセスできる。それによって、第三者によるゲートウェイ装置への不正なアクセスが防止できる。

発明者たちは、上述の方法では、外部情報処理端末は、ゲートウェイ装置におけるＷＷＷサービスにしかアクセスできず、内部ネットワーク装置向けのサービスを利用できないという問題があることを認識した。

一方、ゲートウェイ装置に仮想プライベート・ネットワーク（ＶＰＮ）のサーバ機能を付与することができる。そのサーバ機能は、外部情報処理端末からインターネットを介して接続されたときに、外部情報処理端末との間に仮想的に内部ネットワークの間の接続を確立し、それによって内部ネットワーク向けのゲートウェイ装置のサービスを外部情報処理端末に提供するように構成できる。そのために、外部情報処理端末は、上述のように認証サーバから安全にゲートウェイ装置のＩＰアドレスを取得してもよい。しかし、ＶＰＮサーバ機能がインターネットを介して外部にサービスを提供している間に、ＶＰＮサーバに対する第三者による不正なアクセスによって内部ネットワークに侵入される恐れがある。また、ＶＰＮ接続の確立時には、通常、パスワード等によって認証を行うが、異なるサービスに対して異なるパスワードを使用しなければならず、認証を必要とするサービスが増えるにしたがってユーザが記憶しなければならないパスワードの数が多くなり、ユーザはパスワードを忘れるかもしれない。

発明者たちは、ユーザの手間を増大させることなく、ゲートウェイ装置のＶＰＮサーバ機能によって内部ネットワーク装置向けのサービスをより安全に外部情報処理端末に提供することに対するニーズ（必要性）があると認識した。

本発明の目的は、内部ネットワーク装置向けのサービスをより安全に外部情報処理装置に提供することである。

発明の概要
本発明の特徴によれば、ゲートウェイ装置は、内部ネットワークと外部ネットワークとに接続可能であって、ゲートウェイ装置のグローバル・アドレスと、内部ネットワークへの接続を許容する端末装置の識別情報とを管理する情報管理手段を具えている。情報管理手段は、その内部ネットワークへの接続を許容する端末装置を外部装置において識別させるために、その端末装置の識別情報をその外部ネットワークを介してその外部装置に送信し、その内部ネットワークへの接続を許容する端末装置へその外部装置から送信させるために、そのゲートウェイ装置のグローバル・アドレスをその外部ネットワークを介してその外部装置に送信する。また、その情報管理手段は、その内部ネットワークへの接続を許容された端末装置からの要求を受けたその外部装置からの要求に応答して、ワンタイム・パスワードを、その内部ネットワークへの接続を許容する端末装置へその外部装置から送信させるために、その外部ネットワークを介してその外部装置に送信する。ゲートウェイ装置は、さらに、その内部ネットワークへの接続を許容する端末装置からその外部ネットワークを介して、その外部装置に送信したそのワンタイム・パスワードを含むＵＲＩを受信した場合、そのＵＲＩを送信したその接続を許容する端末装置にその内部ネットワークへの接続を許容する接続手段と、その外部ネットワークと記内部ネットワークの間で送受信されるパケットのアドレスを変換するアドレス変換手段と、を具えている。その接続手段は、その内部ネットワークを介してその内部ネットワークに接続された複数の機器にサーチ・メッセージを送信し、その複数の機器の中で仮想プライベート・ネットワークを構成し得る機器から利用可能な仮想プライペート・ネットワークのプロトコルを示すプロトコル情報を含む応答メッセージを受信し、その内部ネットワークへの接続を許容する端末装置からその外部ネットワークを介して、その外部装置に送信したそのワンタイム・パスワードを含むＵＲＩを受信した場合、そのＵＲＩを送信したその端末装置に、その仮想プライベート・ネットワークを構成し得る機器において利用可能なそのプロトコルのリストを送信し、その送信したプロトコルのリストのうちその端末装置において利用されるそのプロトコルを示すプロトコル情報をその端末装置から受信し、その受信したプロトコル情報に示されたプロトコルを用いて構成されるその仮想プライベート・ネットワークにおけるその機器との接続を、その受信したプロトコル情報に示されたプロトコルに基づいて確立する。そのアドレス変換手段は、その接続手段により接続が確立されたその端末装置とその機器とのその仮想プライベート・ネットワークにおいて、その外部ネットワークとその内部ネットワークの間で送受信されるパケットのアドレスをその受信したプロトコル情報に基づいて変換する。

本発明は、上述のゲートウェイ装置を実現するためのプログラムに関する。

本発明は、また、上述のゲートウェイ装置を実現するための方法に関する。

本発明によれば、内部ネットワーク装置向けのサービスをより安全に外部情報処理装置に提供することができる。

図面において同じ要素には同じ参照番号が付されている。

好ましい実施形態の説明
図１は、本発明の実施形態による、家庭用ゲートウェイ装置１００および家庭用機器１０２、１０４および１０６と、認証サーバ３００およびリモート情報処理端末４００とを含む概略的システムを示している。家庭用ゲートウェイ装置１００および家庭用機器１０２〜１０６は、家庭内ローカルエリア・ネットワーク（ＬＡＮ）１０に接続されている。家庭用機器１０２〜１０６は、例えば、パーソナル・コンピュータ、ファイル・サーバ、ファクシミリ、冷蔵庫、空調機器またはビデオ記録再生装置であってもよい。ゲートウェイ装置１００、認証サーバ３００およびリモート情報処理端末４００は、外部ネットワークとしてのインターネット５０に接続されている。

ゲートウェイ装置１００は、例えばＡＤＳＬ、ＩＳＤＮ回線または専用回線等を介してインターネット５０に常時接続されている。リモート情報処理端末４００は、例えばデスクトップ型パーソナル・コンピュータ（ＰＣ）、ノートブック型ＰＣ、ＰＤＡ（Personal Digital Assistant）または携帯電話機のような固定またはモバイル情報処理端末であればよく、インターネット５０にダイヤルアップで接続されるかまたは常時接続されていてもよい。ゲートウェイ装置１００のインターネット５０用のグローバルＩＰアドレスは、典型的には、インターネット・サービス・プロバイダによって動的に割り当てられる。ゲートウェイ装置１００は、グローバルＩＰアドレスが割り当てられると、所定のタイミングで認証サーバ３００にそのグローバルＩＰアドレスを登録する。

認証サーバ３００は、リモート情報処理端末４００からのアクセスに応答して、ゲートウェイ装置１００に対するリモート・アクセスのための認証を行って、インターネット５０におけるゲートウェイ装置１００のグローバルＩＰアドレスおよびその他の情報をリモート端末４００に提供する。リモート端末４００は、そのＩＰアドレスおよびその他の情報を用いてゲートウェイ装置１００および家庭用機器１０２〜１０６にアクセスする。認証サーバ３００のインターネット５０用のグローバルＩＰアドレスは固定的に割り当てられている。

ゲートウェイ装置１００は、家庭内ＬＡＮ１０とインターネット５０とを介してインターネット・プロトコル（ＩＰ）上でリモート端末４００と家庭用機器１０２および１０４をＶＰＮ接続させ、ＬＡＮ１０とインターネット５０の間で送受信されるＩＰパケットについてＩＰアドレスの変換を行って、仮想プライベート・ネットワーク（ＶＰＮ）を形成する。

図２は、本発明の実施形態による、ゲートウェイ装置１００の構成を示している。図２において、ゲートウェイ装置１００は、インターネット５０に接続されたネットワーク・インタフェース（ＮＷ Ｉ／Ｆ）１１２と、家庭内ＬＡＮ１０に接続されたネットワーク・インタフェース（ＮＷ Ｉ／Ｆ）１１４と、ネットワーク・インタフェース１１２および１１４に接続されたＩＰパケット処理器１１６と、ネットワーク・インタフェース１１４に接続されたリモート・アクセス情報管理部１２０と、ＩＰパケット処理器１１６および情報管理部１２０に接続されたリモート・サービス処理器１３０と、ＩＰパケット処理器１１６に接続されたＶＰＮパケット処理器１４０と、リモート・サービス処理器１３０およびＶＰＮパケット処理器１４０に接続されたＶＰＮ接続情報管理部１３２と、ＶＰＮパケット処理器１４０に接続されたＶＰＮサーバ部１４２と、を具えている。ゲートウェイ装置１００は、さらに、情報管理部１２０に接続されたリモート端末情報格納部１５２および認証サーバ用登録情報格納部１５４と、ＶＰＮ接続情報管理部１３２に接続されたＶＰＮ接続管理情報格納部１５６と、を具えている。

構成要素１１２〜１４２は内部バス１１を介して接続されていてもよい。構成要素１１６〜１４２の機能は、メモリ１１０に格納されたプログラムに従ってプロセッサ１０８によって実行されて、プロセッサ１０８上で実装（インプレメント）されてもよい。格納部１５２〜１５６はメモリ１１０における記憶領域であってもよい。

図３は、本発明の実施形態による、認証サーバ３００の構成を示している。認証サーバ３００は、インターネット５０に接続されたネットワーク・インタフェース（ＮＷ Ｉ／Ｆ）３０２と、ゲートウェイ情報管理部３０４と、リモート・アクセス用ＵＲＩ生成部３０８と、アクセス権判定部３１０とを具えている。

図４は、本発明の実施形態によるリモート情報処理端末４００の構成を示している。図４において、リモート端末４００は、例えばダイヤルアップによって移動体無線電話網を介してインターネット５０に接続されるネットワーク・インタフェース（ＮＷ Ｉ／Ｆ）４０２と、プロセッサ４０４と、メモリ４０６と、入力装置４０８と、表示装置４１０とを具えている。

ＶＰＮを構築するために、ユーザは、家庭用機器１０２〜１０６の各々をＬＡＮ１０を介してゲートウェイ装置１００に接続して、家庭用機器１０２〜１０６の各々の固有の情報をゲートウェイ装置１００のＶＰＮ接続管理情報格納部１５６に格納する。次いで、ユーザは、家庭用機器１０２〜１０６およびゲートウェイ装置１００の中のいずれかを操作して、リモート端末４００に例えば電子メール等のメッセージを介してリモート端末４００の固有の情報を送信するよう要求し、リモート端末４００から例えば電子メール等のメッセージを介してその情報を取得してゲートウェイ装置１００のリモート端末情報格納部１５２に格納する。そのメッセージは暗号化されていることが好ましい。次いで、ゲートウェイ装置１００は、ゲートウェイ装置１００に固有の情報およびリモート端末４００に割り当てられる識別情報を、例えば電子メール等のメッセージを介してリモート端末４００に送信する。リモート端末４００は、ゲートウェイ装置１００に固有の情報およびリモート端末４００に割り当てられた識別情報をそのメモリ４０６に格納する。

次いで、ゲートウェイ装置１００は、自動的に、またはユーザによる家庭用機器１０２〜１０６およびゲートウェイ装置１００のいずれかの操作によって受けた指示に従って、インターネット５０を介して認証サーバ３００に接続し、ゲートウェイ装置１００の固有の情報とリモート端末情報を認証サーバ３００に登録する。ゲートウェイ装置１００は、家庭用機器１０２〜１０６にプライベートＩＰアドレスを動的に割り当てる。

図５Ａは、認証サーバ用登録情報格納部１５４に格納されていて認証サーバ３００にゲートウェイ装置１００の固有の情報を登録するための情報を示している。その情報は、認証サーバ３００のＤＮＳ名または固定的グローバルＩＰアドレスと、ゲートウェイ装置１００の登録用ＩＤ、リモート端末による認証サーバ３００へのアクセスのためのパスワードと、ゲートウェイ装置１００の動的グローバルＩＰアドレスを認証サーバ３００に更新のために自動的に登録するかどうかを示す情報とを含んでいる。その登録用ＩＤは、認証サーバ３００において相異なるゲートウェイ装置を識別するための一意的な文字列であり、例えば、ゲートウェイ装置のＭＡＣアドレスまたは製品シリアル番号に基づいてゲートウェイ装置によって生成されればよい。パスワードおよび自動登録のオン／オフの選択は、ゲートウェイ装置１００およびＬＡＮ１０のユーザによって決定されればよい。

図５Ｂは、リモート端末情報格納部１５２に格納されていて認証サーバ３００に登録されるリモート端末４００の固有の情報を示している。その情報は、端末識別子と端末ＩＤとを含んでいる。端末識別子は、ユーザによって入力される有意なキャラクタ列であればよい。端末ＩＤは、認証サーバ３００において相異なるリモート端末を識別するための一意的キャラクタ列であり、例えばＭＡＣアドレスのような端末に固有の情報に基づいてゲートウェイ装置によって生成されればよい。

図５Ｃは、ゲートウェイ装置１００によって認証サーバ３００に登録されてそのゲートウェイ管理情報格納部３０６に格納されるゲートウェイ管理情報を示している。ゲートウェイ装置１００によってゲートウェイ管理情報が登録される前は、その情報は、ゲートウェイ装置１００のゲートウェイＩＤおよびパスワードだけを含んでいる。登録後、その情報は、ゲートウェイ装置１００のゲートウェイＩＤ、パスワードおよび動的に変更されるグローバルＩＰアドレスと、リモート端末の識別子およびＩＤと、を含んでいる。

図６は、ゲートウェイ装置１００のリモート・アクセス情報管理部１２０によって実行される、ゲートウェイ装置１００を認証サーバ３００に登録するためのフローチャートを示している。

図６を参照すると、ステップ５０２において、リモート・アクセス情報管理部１２０は、インターネット５０を介して認証サーバ３００に接続を試みる。ステップ５０４において、リモート・アクセス情報管理部１２０は接続が確立されたかどうかを判定する。接続が確立されなかったと判定された場合は、手順は図６のルーチンを出る。

ステップ５０４において接続が確立されたと判定された場合は、ステップ５０６において、リモート・アクセス情報管理部１２０は、認証サーバ用登録情報１５４を参照してゲートウェイＩＤおよびパスワードを認証サーバ３００に送信する。ステップ５１０において、リモート・アクセス情報管理部１２０は、ゲートウェイＩＤおよびパスワードが認証サーバ３００によって受理されたかどうかを判定する。受理されなかったと判定された場合は、ステップ５１８において、リモート・アクセス情報管理部１２０は接続を終了する。次いで、手順は図６のルーチンを出る。

ステップ５１０において受理されたと判定された場合は、ステップ５１２において、リモート・アクセス情報管理部１２０は、ゲートウェイ装置１００に関連する全ての端末情報を送信したかどうかを判定する。送信したと判定された場合は、ステップ５１８において、リモート・アクセス情報管理部１２０は接続を終了する。次いで、手順は図６のルーチンを出る。

ステップ５１２において全ての端末の端末識別子および端末ＩＤを送信していないと判定された場合は、ステップ５１４において、リモート・アクセス情報管理部１２０は、リモート端末情報１５２を参照して、端末識別子および端末ＩＤを認証サーバ３００に送信する。次いで手順はステップ５１２に戻る。ステップ５１２〜５１４のルーチンは全ての端末の端末識別子および端末ＩＤを送信してしまうまで繰り返される。

図７Ａおよび７Ｂは、認証サーバ３００のゲートウェイ情報管理部３０４によって実行される、ゲートウェイ装置１００の関連情報を認証サーバ３００に登録するためのフローチャートを示している。

図７Ａを参照すると、ステップ６０２において、ゲートウェイ情報管理部３０４は、ゲートウェイ装置１００によって接続されてゲートウェイ装置１００からゲートウェイＩＤおよびパスワードを受信する。ステップ６０４において、ゲートウェイ情報管理部３０４は、そのゲートウェイＩＤを求めてゲートウェイ管理情報３０６を検索する。

ステップ６０８において、ゲートウェイ情報管理部３０４は、ゲートウェイＩＤが見つかったかどうかを判定する。それが見つかったと判定された場合は、ステップ６１０において、ゲートウェイ情報管理部３０４は、受信したパスワードとゲートウェイ管理情報３０６中のゲートウェイＩＤに関連づけられたパスワードとが一致するかどうかを判定する。それが一致しないと判定された場合は、ステップ６１２において、ゲートウェイ情報管理部３０４は、登録が失敗したことをゲートウェイ装置１００に通知する。その後、手順は図７Ａのルーチンを出る。パスワードが一致すると判定された場合は、手順はステップ６２４に進む。

ステップ６０８においてゲートウェイＩＤが見つからなかったと判定された場合は、ステップ６２０において、ゲートウェイ情報管理部３０４は、ゲートウェイ装置１００用の新しいエントリを生成してそれをゲートウェイ管理情報３０６に追加する。次いで、手順はステップ６２４に進む。

ステップ６２４において、ゲートウェイ情報管理部３０４は、ゲートウェイ管理情報３０６におけるゲートウェイ装置１００のエントリ中のＩＰアドレスを更新して、端末情報をクリア（削除）する。

図７Ｂを参照すると、ステップ６３２において、ゲートウェイ情報管理部３０４は、図５Ｂに例示されているようなゲートウェイ装置１００に関連する全ての端末識別子および端末ＩＤを受信したかどうかを判定する。その全てが受信されたと判定された場合は、ステップ６３８においてゲートウェイ情報管理部３０４は接続を終了する。次いで、手順は図７Ａおよび７Ｂのルーチンを出る。

それが受信されていないと判定された場合は、ゲートウェイ情報管理部３０４は、ステップ６３４において端末識別子および端末ＩＤの受信を待ち、ステップ６３６においてその受信した端末識別子および端末ＩＤをゲートウェイ管理情報３０６に追加する。ステップ６３２〜６３６のルーチンは全ての端末識別子および端末ＩＤを受信するまで繰り返される。

図８Ａおよび８Ｂは、認証サーバ３００のゲートウェイ情報管理部３０４によって実行される、リモート情報処理端末４００を認証してゲートウェイ装置１００用のＵＲＩをリモート情報処理端末４００に通知するためのフローチャートを示している。

リモート情報処理端末４００は、前述したように、ゲートウェイ装置１００から、ゲートウェイ装置１００のＩＤおよびパスワードと、ゲートウェイ装置１００によって生成されたリモート端末４００の端末識別子および端末ＩＤとを受信してメモリ４０６に予め格納する。

図８Ａを参照すると、ステップ７０２において、ゲートウェイ情報管理部３０４は、リモート情報処理端末４００によってインターネット５０を介してアクセスされてリモート端末４００から、ゲートウェイ装置１００のＩＤおよびパスワードと、端末識別子および端末ＩＤとを受信する。ステップ７０４において、ゲートウェイ情報管理部３０４は、エントリとしての対応するゲートウェイ装置ＩＤを求めてゲートウェイ管理情報３０６を検索する。

ステップ７０８において、ゲートウェイ情報管理部３０４は、ゲートウェイ管理情報３０６中に対応するゲートウェイＩＤが見つかったかどうかを判定する。それが見つからなかったと判定された場合には、ステップ７１４において、ゲートウェイ情報管理部３０４はリモート端末４００によるアクセスを拒否する。

それが見つかったと判定された場合には、ステップ７１０において、ゲートウェイ情報管理部３０４は、その受信したパスワードをゲートウェイ管理情報３０６中のパスワードと比較して、その受信したパスワードが管理情報３０６中のパスワードと一致するかどうかを判定する。それが一致しないと判定された場合は、手順はステップ７１４に進む。

それが一致すると判定された場合は、ステップ７１２において、ゲートウェイ情報管理部３０４は、受信した端末識別子および端末ＩＤに対応する端末識別子および端末ＩＤがゲートウェイ管理情報３０６中に存在するかどうかを判定する。それらがないと判定された場合は、手順は図８Ｂのステップ７１４に進む。

図８Ｂを参照すると、それらが存在すると判定された場合は、ステップ７２２において、ゲートウェイ情報管理部３０４は、インターネット５０を介してゲートウェイ装置１００にアクセスしてゲートウェイ装置１００からワンタイム・パスワードを取得する。ゲートウェイ装置１００のリモート・サービス処理器１３０は、認証サーバ３００の要求に応答して、ランダムにワンタイム・パスワードを生成して認証サーバ３００に送信し、ＶＰＮ接続情報管理部１３２にそのワンタイム・パスワードをＶＰＮ接続管理情報１５６に格納させる。

ゲートウェイ情報管理部３０４は、ステップ７２４において、その受信したワンタイム・パスワードをゲートウェイ装置１００へのログイン情報（例えばグローバルＩＰアドレス等）と組み合わせて、ゲートウェイ装置１００のウェブ・ページ用のＵＲＩ（例えば、ｈｔｔｐ：／／２１０．１４０．１２０．１２８／ｉｎｄｅｘ．ｃｇｉ？ｄａｔａ＝．．．）を生成する。ゲートウェイ情報管理部３０４は、ステップ７２６において、ゲートウェイ装置のウェブ・ページ用のＵＲＩをリモート端末４００に送信し返す。

図９は、ゲートウェイ装置１００のリモート・サービス処理器１３０によって実行される、リモート情報処理端末４００を認証してゲートウェイ装置１００に接続するためのフローチャートを示している。

リモート端末４００は、認証サーバ３００から受信したゲートウェイ装置のウェブ・ページ用のＵＲＩを、インターネット５０を介してゲートウェイ装置１００に送信する。

リモート・サービス部１３０は、ステップ８０２においてリモート端末４００からウェブ・ページ用のＵＲＩを受信し、ステップ８０４においてＵＲＩを構文解析してその中からログイン情報とワンタイム・パスワードを取り出す。ステップ８０６において、リモート・サービス部１３０は、受信したログイン情報をＶＰＮ接続管理情報１５６中に格納されているログイン情報と比較する。ステップ８０８において、リモート・サービス処理器１３０は、受信したログイン情報がＶＰＮ接続管理情報１５６中に格納されているログイン情報と一致するかどうかを判定する。それが一致しないと判定された場合は、手順はステップ８１４に進む。

それが一致すると判定された場合は、ステップ８１０においてワンタイム・パスワードをＶＰＮ接続管理情報１５６中に格納されているワンタイム・パスワードと比較する。ステップ８１２において、リモート・サービス部１３０は、受信したワンタイム・パスワードがＶＰＮ接続管理情報１５６中に格納されていたワンタイム・パスワードと一致するかどうかを判定する。それが一致しないと判定された場合は、手順はステップ８１４に進む。それが一致すると判定された場合は、ステップ８１６において、リモート・サービス処理器１３０はリモート端末４００との接続を確立し、次いでＶＰＮ接続管理情報１５６中に格納されていたワンタイム・パスワードを以後無効にする。

図１０は、ゲートウェイ装置１００のリモート・サービス処理器１３０によって実行される、リモート端末４００に表示されるウェブ・ページとしてのＶＰＮ接続メニューを生成するのに利用可能なＶＰＮプロトコルを取得するためのフローチャートを示している。

図１０を参照すると、ステップ９０２において、リモート・サービス処理器１３０は、家庭内ＬＡＮ１０上の全ての機器にサーチ・メッセージを同報通信（ブロードキャスト）する。そのサーチ・メッセージに応答して、ＬＡＮ１０に接続されている家庭用機器１０２および１０４等の中でＶＰＮを構成し得る機器は、リモート・サービス処理器１３０にそれぞれのプライベートＩＰアドレスおよび機器識別を含む応答メッセージを送信し返す。ステップ９０４において、リモート・サービス処理器１３０は、受信した応答メッセージの発信元の家庭用機器１０２および１０４のリスト、即ちＶＰＮを構成し得る機器のリストを作成する。

ステップ９０６において、リモート・サービス処理器１３０は、そのリストの全ての家庭用機器について利用可能なＶＰＮプロトコルのリストを取得したかどうかを判定する。最初はそれが取得されていないので、手順はステップ９０８に進む。ステップ９０８において、リモート・サービス処理器１３０は、ＶＰＮ接続情報管理部１３２を介してＶＰＮ接続管理情報１５６中の各家庭用機器の利用可能な全てのＶＰＮプロトコルのリストを取得する。次いで、手順はステップ９０６に戻る。ステップ９０６において全ての機器について利用可能なＶＰＮプロトコルのリストを取得したと判定された場合は、手順は図１０のルーチンを出る。

図１１は、ゲートウェイ装置１００のリモート・サービス処理器１３０によって、リモート端末４００にウェブ・ページとして送信されて表示装置４１０に表示される接続可能な家庭内機器のメニューの一例を示している。図９においてリモート端末４００との間に接続が確立された（ステップ８１６）後、リモート・サービス処理器１３０は、そのＶＰＮプロトコルのリストに基づいて作成された接続可能な家庭内機器のメニューを、リモート端末４００に送信して表示させる。図１１において、陰影を付けられた○印は選択不可能な項目を示し、陰影のない○印は選択可能な項目を示し、黒丸を含む○印はユーザによって選択された項目を示している。

リモート端末４００のユーザは、表示装置４０８に表示されたそのメニューから接続すべき機器（例えば機器１０２）および使用したいプロトコル（例えばＰＰＴＰ）を選択して、ソフトウェア・キー“接続”を選択して選択された機器にアクセスする。図において、選択された項目は黒丸で示される。使用したいプロトコルはデフォルト表示されてもよい。

ＶＰＮ接続が開始されたとき、ゲートウェイ機器１００のＶＰＮパケット処理器１４０は、選択された家庭内機器（１０２）とリモート・アクセス端末４００が互いに通信するための準備を行う。

ゲートウェイ装置１００のＩＰパケット処理器１４０は、通常、不正なアクセスを防止するために、ゲートウェイ装置１００によって外部端末に提供されるサービスに必要のないＩＰプロトコル番号（例えば、ＩＣＭＰ用の１、ＴＣＰ用の６、ＵＤＰ用の１７およびＧＲＥ用の４７、等）、およびＴＣＰまたはＵＤＰ用のポート番号等を含んでいるパケットをフィルタリング（濾波）して通過を阻止する。

ＶＰＮパケット処理器１４０は、リモート・アクセス端末４００からのパケットのうち選択された家庭内機器１０２へのパケットのプロトコルを変換してＬＡＮ１０へ通過させる。そのために、ＶＰＮパケット処理器１４０は、ゲートウェイ装置１００が受信したリモート・アクセス端末４００からのパケットのうち、ＩＰパケット処理器１４０によって通過を阻止される、ＶＰＮ接続に使用されるＩＰプロトコル番号、およびＴＣＰまたはＵＤＰ用のポート番号を含んでいるパケットを、ゲートウェイ装置１００で受け入れ可能な形態にその記述を変更する。ＶＰＮパケット処理器１４０は、さらに、家庭内ＬＡＮ１０における機器にアクセスするために、ＮＡＴのようなアドレス変換処理によってその選択された機器１０２の識別をプライベートＩＰアドレスに変換する。ＶＰＮパケット処理器１４０は、そのアドレス変換したパケットを、ＩＰパケット処理器１１６へ渡してネットワーク・インタフェース１１４を介してＬＡＮ１０上で選択された家庭内機器１０２へ送信する。

ゲートウェイ装置１００におけるＶＰＮパケット処理に用いられる情報は、ＶＰＮ接続情報管理部１３２によってＶＰＮ接続管理情報１５６に予め格納される。

リモート端末４００からのユーザの指示による、またはＶＰＮ接続宛先である家庭内機器１０２〜１０６またはゲートウェイ装置１００のＶＰＮサーバ１５６による明示的な命令によって、ＶＰＮ接続が切断されたとき、ＶＰＮパケット処理器１４０は、ＶＰＮ接続情報管理部１３２に、ＶＰＮ接続管理情報１５６から対応するエントリを削除させ、対応するＶＰＮパケットに関するＶＰＮ接続管理情報１２６中の設定を解除させる。それによって、それ以後、リモート端末４００からのＶＰＮパケットがゲートウェイ装置１００およびＬＡＮ１０に進入できないようにする。ユーザがリモート端末４００を家庭内機器１０２〜１０６またはＶＰＮサーバ１５６に再度接続するには、上述した接続手順を再度実行して、別のワンタイム・パスワードを含む、ゲートウェイ装置１００のＵＲＩを取得しなければならない。

ゲートウェイ装置１００において、ＶＰＮ情報管理部１３２は、ＶＰＮ接続中は常にＩＰパケット処理器１１６に入力されるＶＰＮパケットの有無を監視し、ＶＰＮ接続管理情報１２６中のパケット最終送受信時刻を参照しながら所定時間以上ＶＰＮ用のパケットが流れていないときは、そのＶＰＮ接続は使用されていないと見なして、ＶＰＮ接続を切断してもよい。

図１２は、ＶＰＮ接続管理情報１５６に格納される、リモート端末のＩＰアドレス、接続される機器のプライベートＩＰアドレス、ＶＰＮプロトコルの識別および接続開始日時のようなＶＰＮ接続管理情報の記録の例を示している。

図１３Ａおよび１３Ｂは、ゲートウェイ機器１００のＩＰパケット処理器１１６およびＶＰＮパケット処理器１４０によって実行されるＶＰＮパケットを処理するためのフローチャートを示している。

図１３Ａを参照すると、ステップ１００２において、ＩＰパケット処理器１１６またはＶＰＮパケット処理器１４０は、ＶＰＮ接続情報管理部１３２を介してＶＰＮ接続管理情報１５６を参照して、ＩＰパケット処理器１１６への入力パケットのプロトコルを識別する。ステップ１００４において、ＩＰパケット処理器１１６またはＶＰＮパケット処理器１４０は、そのパケットがＶＰＮパケットかどうかを判定する。そのパケットがＶＰＮパケットでないと判定された場合は、ＩＰパケット処理器１１６は、ステップ１００６においてそのパケットを通常の形態で処理する。通常のパケット処理とは、ゲートウェイ機器１００によって行われるＶＰＮ以外のための通常の処理を意味する。

そのパケットがＶＰＮパケットであると判定された場合は、ＶＰＮパケット処理器１４０は、ＶＰＮ接続情報管理部１３２を介してＶＰＮ接続管理情報１５６を参照して、ステップ１００８においてそのパケットの発信元アドレスを識別する。

図１３Ｂを参照すると、ステップ１００８において、ＶＰＮパケット処理器１４０は、その入力パケットの発信元アドレスがＶＰＮ接続の外部端末かどうかを判定する。

それが外部端末でないと判定された場合は、ステップ１０１０において、ＶＰＮパケット処理器１４０は、ＶＰＮ接続情報管理部１３２を介してＶＰＮ接続管理情報１５６を参照して、入力パケットの発信元アドレスを識別する。ステップ１０１２において、ＶＰＮパケット処理器１４０は、発信元アドレスがＶＰＮ接続宛先の機器のアドレスであるかどうかを判定する。

それがＶＰＮ接続宛先の機器のアドレスでないと判定された場合は、ＩＰパケット処理器１１６はステップ１０１４において通常のＩＰパケットの処理を行う。

ステップ１０１２においてそれがＶＰＮ接続宛先の機器のアドレスであると判定された場合は、ステップ１０１６において、ＶＰＮパケット処理器１４０は、そのパケットの発信元のアドレスをゲートウェイ装置１００のグローバルＩＰアドレスに書き換えてインターネット５０上で送出する。ステップ１０３０において、ＶＰＮパケット処理器１４０は、ＶＰＮ接続情報管理部１３２を介してそのＶＰＮパケット送受信時刻等をＶＰＮ接続管理情報１５６に記録することによって、図１２に例示されているような最終送受信時刻を更新する。その後、手順は図１３Ｂのルーチンを出る。

ステップ１００８においてそれが外部端末であると判定された場合は、ステップ１０２０において、ＶＰＮパケット処理器１４０は、ＶＰＮ接続管理情報１５６を参照して、ＶＰＮ接続宛先を識別する。ステップ１０２２において、ＶＰＮパケット処理器１４０は、接続宛先がゲートウェイ装置１００であるかどうかを判定する。

それがゲートウェイ装置１００であると判定された場合は、ＶＰＮパケット処理器１４０は、ステップ１０２６において、ゲートウェイ装置１００におけるＶＰＮサーバ１４２にそのパケットを渡す。次いで、手順はステップ１０３０に進む。

ステップ１０２２においてそれがゲートウェイ装置１００でないと判定された場合は、ＶＰＮパケット処理器１４０は、ステップ１０２４において、ＶＰＮ接続管理情報１５６を参照してパケット中の宛先アドレスをＬＡＮ１０上におけるプライベートＩＰアドレスに書き換えて、ＬＡＮ１０を介して宛先の家庭内機器（１０２）にそのパケットを送信する。次いで、手順はステップ１０３０に進む。

以上説明した実施形態によれば、リモート端末４００は、ゲートウェイ装置１００に接続する前に、予め認証サーバ３００によってセキュリティのために認証されるので、ゲートウェイ装置１００によって新たに認証される必要がない。

代替構成として、ゲートウェイ装置１００とリモート端末４００は、認証サーバ３００を介さずに、好ましくは暗号化されたメッセージをインターネット５０上で電子メールを介してまたは電話回線を介して交換することによって、リモート端末４００がゲートウェイ装置１００を介して家庭内機器１０２〜１０６およびＶＰＮサーバ１４２のいずれかにアクセスするのに必要な上述の情報を互いに交換してもよい。

より具体的には、リモート端末４００は、家庭内機器１０２〜１０６およびＶＰＮサーバ１４２のいずれかにアクセスするときに、先にゲートウェイ装置１００のＵＲＩの送信を要求するメッセージをゲートウェイ装置１００に送信してもよい。そのメッセージには、リモート端末４００の認証に必要な情報が含まれていてもよい。この場合、ゲートウェイ装置１００は、認証サーバ３００に代わってリモート端末４００の認証処理を実行する。ゲートウェイ装置１００は、その要求に応答して、上述のＵＲＩを含むメッセージをリモート端末４００に送信してもよい。また、ゲートウェイ装置１００は、そのグローバルＩＰアドレスが変更されるたびに上述のＵＲＩを含むメッセージをリモート端末４００に送信してもよい。リモート端末４００は、上述したのと同様にそのＵＲＩを用いてゲートウェイ装置１００にアクセスする。

以上説明した実施形態によれば、ゲートウェイ装置１００に仮想プライベート・ネットワーク接続機能を設けることによって、インターネット５０上のリモート端末４００はゲートウェイ装置１００を介して内部ネットワーク１０に仮想的に接続することができ、内部ネットワーク１０で利用可能なサービスを利用できる。

また、ＶＰＮ接続をリモート・アクセス処理と連携させることによって、特にＶＰＮ接続のためだけの認証を行わずに、充分に高いセキュリティを確保することができる。また、ゲートウェイ装置１００において、様々なＶＰＮ接続状態を管理することによって、ゲートウェイ装置１００において複雑な設定をする必要なく、使用するＶＰＮ接続に限定したパケット処理を施すことができる。従って、ユーザの手間は最小限に抑えられる。

以上説明した実施形態は典型例として挙げたに過ぎず、その変形およびバリエーションは当業者にとって明らかであり、当業者であれば本発明の原理および請求の範囲に記載した発明の範囲を逸脱することなく上述の実施形態の種々の変形を行えることは明らかである。

図１は、図１は、本発明の実施形態による、家庭用ゲートウェイ装置および家庭用機器と、認証サーバおよびリモート情報処理端末とを含む概略的システムを示している。 図２は、本発明の実施形態による、ゲートウェイ装置の構成を示している。 図３は、本発明の実施形態による、認証サーバの構成を示している。 図４は、本発明の実施形態によるリモート情報処理端末の構成を示している。 図５Ａは、認証登録用設定情報格納部に格納されていて認証サーバにゲートウェイ装置の固有の情報を登録するための情報を示している。図５Ｂは、リモート端末情報格納部に格納されていて認証サーバに登録されるリモート端末の固有の情報を示している。図５Ｃは、ゲートウェイ装置によって認証サーバに登録されてそのゲートウェイ管理情報格納部に格納されるゲートウェイ管理情報を示している。 図６は、ゲートウェイ装置のリモート・アクセス情報管理部によって実行される、ゲートウェイ装置を認証サーバに登録するためのフローチャートを示している。 図７Ａおよび７Ｂは、認証サーバのゲートウェイ情報管理部によって実行される、ゲートウェイ装置の関連情報を認証サーバに登録するためのフローチャートを示している。 . 図８Ａおよび８Ｂは、認証サーバのゲートウェイ情報管理部によって実行される、リモート情報処理端末を認証してゲートウェイ装置用のＵＲＩをリモート情報処理端末に通知するためのフローチャートを示している。 . 図９は、ゲートウェイ装置のリモート・サービス処理器によって実行される、リモート情報処理端末を認証してゲートウェイ装置に接続するためのフローチャートを示している。 図１０は、ゲートウェイ装置のリモート・サービス処理器によって実行される、リモート端末に表示されるウェブ・ページとしてのＶＰＮ接続のメニューを生成するのに利用可能なＶＰＮプロトコルを取得するためのフローチャートを示している。 図１１は、ゲートウェイ装置のリモート・サービス処理器によって、リモート端末にウェブ・ページとして送信されて表示装置に表示される接続可能な家庭内機器のメニューの一例を示している。 図１２は、ＶＰＮ接続管理情報に格納されるＶＰＮ接続管理情報の記録の例を示している。 図１３Ａおよび１３Ｂは、ゲートウェイ機器のＩＰパケット処理器およびＶＰＮパケット処理器によって実行されるＶＰＮパケットを処理するためのフローチャートを示している。 .

Claims (7)

1. 内部ネットワークと外部ネットワークとに接続可能なゲートウェイ装置であって、
   前記ゲートウェイ装置のグローバル・アドレスと、前記内部ネットワークへの接続を許容する端末装置の識別情報とを管理する情報管理手段を具え、
   前記情報管理手段は、
   前記内部ネットワークへの接続を許容する端末装置を外部装置において識別させるために、前記端末装置の識別情報を前記外部ネットワークを介して前記外部装置に送信し、
   前記内部ネットワークへの接続を許容する端末装置へ前記外部装置から送信させるために、前記ゲートウェイ装置のグローバル・アドレスを前記外部ネットワークを介して前記外部装置に送信し、
   前記情報管理手段は、
   前記内部ネットワークへの接続を許容された端末装置からの要求を受けた前記外部装置からの要求に応答して、ワンタイム・パスワードを、前記内部ネットワークへの接続を許容する端末装置へ前記外部装置から送信させるために、前記外部ネットワークを介して前記外部装置に送信するものであり、
   さらに、前記内部ネットワークへの接続を許容する端末装置から前記外部ネットワークを介して、前記外部装置に送信した前記ワンタイム・パスワードを含むＵＲＩを受信した場合、前記ＵＲＩを送信した前記接続を許容する端末装置に前記内部ネットワークへの接続を許容する接続手段と、
   前記外部ネットワークと記内部ネットワークの間で送受信されるパケットのアドレスを変換するアドレス変換手段と、
   を具え、
   前記接続手段は、前記内部ネットワークを介して前記内部ネットワークに接続された複数の機器にサーチ・メッセージを送信し、
   前記複数の機器の中で仮想プライベート・ネットワークを構成し得る機器から利用可能な仮想プライペート・ネットワークのプロトコルを示すプロトコル情報を含む応答メッセージを受信し、
   前記内部ネットワークへの接続を許容する端末装置から前記外部ネットワークを介して、前記外部装置に送信した前記ワンタイム・パスワードを含むＵＲＩを受信した場合、前記ＵＲＩを送信した前記端末装置に、前記仮想プライベート・ネットワークを構成し得る機器において利用可能な前記プロトコルのリストを送信し、
   前記送信したプロトコルのリストのうち前記端末装置において利用される前記プロトコルを示すプロトコル情報を前記端末装置から受信し、
   前記受信したプロトコル情報に示されたプロトコルを用いて構成される前記仮想プライベート・ネットワークにおける前記機器との接続を、前記受信したプロトコル情報に示されたプロトコルに基づいて確立し、
   前記アドレス変換手段は、
   前記接続手段により接続が確立された前記端末装置と前記機器との前記仮想プライベート・ネットワークにおいて、前記外部ネットワークと前記内部ネットワークの間で送受信されるパケットのアドレスを、前記受信したプロトコル情報に基づいて変換するものであること
   を特徴とする、ゲートウェイ装置。
2. 前記ゲートウェイ装置の前記グローバル・アドレスはインターネット・サービス・プロバイダによって動的に割り当てられるものであり、
   前記外部装置が前記接続を許容する装置を認証するための認証サーバであり、前記認証サーバには固定的グローバル・アドレスが割り当てられていることを特徴とする、請求項１に記載のゲートウェイ装置。
3. 前記アドレス変換手段は、前記接続手段によって接続を許可された前記装置と前記内部ネットワークに接続された機器との間で送受信されるパケットだけを抽出して前記パケットのアドレスを変換することを特徴とする、請求項１または２に記載のゲートウェイ装置。
4. 前記接続手段によって接続を許容された前記装置と前記内部ネットワークに接続された機器との間でパケットの送受信が所定時間期間行われないときに、前記接続手段は、前記接続手段によって接続を許容された前記装置と前記内部ネットワークとの間の前記接続を切断することを特徴とする、請求項１乃至３のいずれかに記載のゲートウェイ装置。
5. 前記ＵＲＩを送信した前記装置と前記内部ネットワークに接続された機器の間の接続が切断された後、前記アドレス変換手段は、前記ＵＲＩを送信した前記装置と前記内部ネットワークに接続された機器の間のパケットのアドレスの変換を停止することを特徴とする、請求項１乃至４のいずれかに記載のゲートウェイ装置。
6. 内部ネットワークと外部ネットワークとに接続可能なゲートウェイ装置用のプログラムであって、
   前記内部ネットワークへの接続を許容する端末装置を外部装置において識別させるために、前記端末装置の識別情報を前記外部ネットワークを介して前記外部装置に送信するステップと、
   前記内部ネットワークへの接続を許容する端末装置へ前記外部装置から送信させるために、前記ゲートウェイ装置のグローバル・アドレスを前記外部ネットワークを介して前記外部装置に送信するステップと、
   前記内部ネットワークへの接続を許容された端末装置からの要求を受けた前記外部装置からの要求に応答して、ワンタイム・パスワードを、前記内部ネットワークへの接続を許容する端末装置へ前記外部装置から送信させるために、前記外部ネットワークを介して前記外部装置に送信するステップと、
   前記内部ネットワークへの接続を許容する端末装置から前記外部ネットワークを介して、前記外部装置に送信した前記ワンタイム・パスワードを含むＵＲＩを受信した場合、前記ＵＲＩを送信した前記接続を許容する端末装置に前記内部ネットワークへの接続を許容するステップと、
   前記外部ネットワークと前記内部ネットワークの間で送受信されるパケットのアドレスを変換するステップと、
   前記内部ネットワークを介して前記内部ネットワークに接続された複数の機器にサーチ・メッセージを送信し、
   前記複数の機器の中で仮想プライベート・ネットワークを構成し得る機器から利用可能な仮想プライペート・ネットワークのプロトコルを示すプロトコル情報を含む応答メッセージを受信し、
   前記内部ネットワークへの接続を許容する端末装置から前記外部ネットワークを介して、前記外部装置に送信した前記ワンタイム・パスワードを含むＵＲＩを受信した場合、前記ＵＲＩを送信した前記端末装置に、前記仮想プライベート・ネットワークを構成し得る機器において利用可能な前記プロトコルのリストを送信するステップと、
   前記送信したプロトコルのリストのうち前記端末装置において利用される前記プロトコルを示すプロトコル情報を前記端末装置から受信するステップと、
   前記受信したプロトコル情報に示されたプロトコルを用いて構成される前記仮想プライベート・ネットワークにおける前記機器との接続を、前記受信したプロトコル情報に示されたプロトコルに基づいて確立するステップと、
   接続が確立された前記端末装置と前記機器との前記仮想プライベート・ネットワークにおいて、前記外部ネットワークと前記内部ネットワークの間で送受信されるパケットのアドレスを前記受信したプロトコル情報に基づいて変換するステップと、
   を前記ゲートウェイ装置に実行させるためのプログラム。
7. 内部ネットワークと外部ネットワークとに接続可能なゲートウェイ装置における通信方法であって、
   前記内部ネットワークへの接続を許容する端末装置を外部装置において識別させるため に、前記端末装置の識別情報を前記外部ネットワークを介して前記外部装置に送信するステップと、
   前記内部ネットワークへの接続を許容する端末装置へ前記外部装置から送信させるために、前記ゲートウェイ装置のグローバル・アドレスを前記外部ネットワークを介して前記外部装置に送信するステップと、
   前記内部ネットワークへの接続を許容された端末装置からの要求を受けた前記外部装置からの要求に応答して、ワンタイム・パスワードを、前記内部ネットワークへの接続を許容する端末装置へ前記外部装置から送信させるために、前記外部ネットワークを介して前記外部装置に送信するステップと、
   前記内部ネットワークへの接続を許容する端末装置から前記外部ネットワークを介して、前記外部装置に送信した前記ワンタイム・パスワードを含むＵＲＩを受信した場合、前記ＵＲＩを送信した前記接続を許容する端末装置に前記内部ネットワークへの接続を許容するステップと、
   前記外部ネットワークと前記内部ネットワークの間で送受信されるパケットのアドレスを変換するステップと、
   前記内部ネットワークを介して前記内部ネットワークに接続された複数の機器にサーチ・メッセージを送信し、
   前記複数の機器の中で仮想プライベート・ネットワークを構成し得る機器から利用可能な仮想プライペート・ネットワークのプロトコルを示すプロトコル情報を含む応答メッセージを受信し、
   前記内部ネットワークへの接続を許容する端末装置から前記外部ネットワークを介して、前記外部装置に送信した前記ワンタイム・パスワードを含むＵＲＩを受信した場合、前記ＵＲＩを送信した前記端末装置に、前記仮想プライベート・ネットワークを構成し得る機器において利用可能な前記プロトコルのリストを送信するステップと、
   前記送信したプロトコルのリストのうち前記端末装置において利用される前記プロトコルを示すプロトコル情報を前記端末装置から受信するステップと、
   前記受信したプロトコル情報に示されたプロトコルを用いて構成される前記仮想プライベート・ネットワークにおける前記機器との接続を、前記受信したプロトコル情報に示されたプロトコルに基づいて確立するステップと、
   接続が確立された前記端末装置と前記機器との前記仮想プライベート・ネットワークにおいて、前記外部ネットワークと前記内部ネットワークの間で送受信されるパケットのアドレスを前記受信したプロトコル情報に基づいて変換するステップと、
   を含む通信方法。

Images