JP4362132B2 - アドレス変換方法、アクセス制御方法、及びそれらの方法を用いた装置 - Google Patents

Description

グローバルネットワークでのアドレスを持たないプライベートネットワークの端末が、前記グローバルネットワークを介して通信を行うためのアドレス変換技術及びアクセス制御技術（ファイアウォール技術）に関する。

従来より、グローバルネットワークとプライベートネットワークとの間、例えばインターネットなどの広域通信網（ＷＡＮ：Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）とイーサネット（登録商標）等のローカルエリアネットワーク（ＬＡＮ）との間に配置され、ＷＡＮからＬＡＮ内の端末装置へのパケットの宛先アドレスをグローバルＩＰアドレスからプライベートアドレスに変換し、ＬＡＮ内の端末装置からＷＡＮへのパケットの送信元アドレスをプライベートアドレスからグローバルＩＰアドレスに変換することにより、ＬＡＮ内のプライベートアドレスしか持たない複数の端末装置が１つのグローバルＩＰアドレスを共有してＷＡＮにアクセスできるようにするアドレス変換技術（ＮＡＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ）技術）がある。また、ＬＡＮ内の資源を保護するために、ＷＡＮからのパケットの宛先や送信元をチェックし、設定されたセキュリティポリシーに従って許可されたパケットのみＬＡＮ内に通過させるアクセス制御技術（ファイアウォール技術）がある。そして、アドレス変換機能とアクセス制御機能を備えた中継装置、アドレス変換機能のみを備えたアドレス変換装置、アクセス制御機能のみを備えたファイアウォール装置が知られている。

従来のアドレス変換技術では、インターネット側からのアクセスを、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）またはＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）のポート番号により端末装置に振り分けることにより、インターネットからＬＡＮ内の端末装置へのアクセスを可能にするものがある（例えば、特許文献１参照）。しかし、このようなインターネット側からのアクセスを、ＴＣＰまたはＵＤＰのポート番号により端末装置に振り分けるアドレス変換装置では、インターネットからＬＡＮ内の端末装置へアクセスさせる時にＴＣＰまたはＵＤＰのポート番号を使っているので、１つのポート番号に１つの端末装置しか対応させることができず、同じポート番号で複数の端末装置へアクセスさせることができない。例えばｈｔｔｐ（Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｐｏｒｔ Ｐｒｏｔｏｃｏｌ）のデフォルトポート番号である８０番で複数のサーバを公開できないという問題があった。また、ＴＣＰやＵＤＰではないプロトコルで、ポート番号等が無い通信の場合（ＩＰｓｅｃ（Ｓｅｃｕｒｉｔｙ Ａｒｃｈｉｔｅｃｔｕｒｅ ｆｏｒ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）やＩＣＭＰ（Ｉｎｔｅｒｎｅｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ Ｐｒｏｔｏｃｏｌ）等の場合）も、複数の端末装置を公開することができない、例えばＩＰｓｅｃのパケットは１つの端末装置へという設定しかできないため、複数の端末装置で同時にＩＰｓｅｃを使うことができない。これは、ＬＡＮ内からインターネット側へ向けて通信する場合にも同じように起こるため、ＬＡＮ内の端末装置でＩＰｓｅｃを利用することは困難である。この問題を解決するため、ＩＰｓｅｃのパケットをＵＤＰのパケットにカプセル化して送るようにしたものもある（例えば、特許文献２参照）。しかし、このようなカプセル化を用いたアドレス変換技術では、ＩＰｓｅｃ通信を行う双方でＵＤＰパケットへのカプセル化に対応している必要があり、ＵＤＰパケットへのカプセル化に対応していない端末とは通信することができなかった。

一方、アクセス制御技術では、認証により確認された利用者からのアクセスにより、インターネットからでもファイアウォール装置に設定されているセキュリティポリシーを変更可能にしたものもある（例えば特許文献３参照）。この特許文献３に示す技術を、図１を参照して説明する。インターネット（ＷＡＮ）２００に接続された利用者端末２２０の利用者が、ファイアウォール装置９００内のアクセス制御テーブル９００ａ内のアクセス制御規則を変更したい場合は、利用者端末２２０から、ＬＡＮ３００に接続されている認証サーバ３９０に認証依頼をする。認証サーバ３９０のポート番号は、アクセス制御テーブル９００ａにどのパケットでも通過させる条件として記録されている。認証依頼には利用者のＩＤ（識別情報）と利用者の署名データ、実行したいアクセス内容として自己のＩＰアドレスやポート番号及びアクセスの相手先のＩＰアドレスやポート番号が含まれている。

認証サーバ９００は受信した認証依頼に対する検証を行い、検証に合格すれば、その認証依頼中の実行したいアクセス内容をアクセス制御テーブル９００ａに設定するように、ファイアウォール装置９００に依頼する。従って、この依頼が例えば利用者端末２２０からＬＡＮ３００に接続されたウェブ（Ｗｅｂ）サーバ３１０に対するアクセスであれば、利用者は利用者端末２２０からＷｅｂサーバ３１０にアクセスして、例えばコンテンツをダウンロードすることが可能になる。このようにファイアウォール装置外からアクセス制御テーブル９００ａに設定されたアクセスの許可は、所定期間経過した場合又はアクセスが所定期間以上になると元に戻す。
特開２００２−１８５５１７号公報 特開２００２−２３２４５０号公報 特開２００３−１３２０２０号公報

従来のアドレス変換技術では、カプセル化に対応していない端末間では、１つのポート番号に１つの端末装置しか対応させることができず、同じポート番号で複数の端末装置へアクセスさせることができない。
また、従来のアクセス制御技術では、セキュリティポリシーを動的に変更できて便利である。しかし、その認証依頼を行った利用者装置またはその利用装置になりすました装置が、当初のアクセスの目的での通信が終了した後（例えばＬＡＮ内のＷｅｂサーバからのコンテンツダウンロードを終了した後）、所定期間通過可能に設定されていることを利用して、不正なアクセスをする恐れがある。この点で、セキュリティを確保することができないという問題があった。

本発明では、アドレス変換技術に関しては、カプセル化に対応していない端末間でも、同じポート番号で複数のサーバを公開したり、ポート番号の無いプロトコルでも複数の通信を行ったりすることができるアドレス変換技術を提供することを目的とする。また、アクセス制御技術に関しては、セキュリティポリシー、つまり通過条件を動的に変えてもセキュリティを確保することのできるアクセス制御技術を提供することを目的とする。

本発明は、グローバルネットワーク側の送信元の装置または送信元のネットワークごとに定めたアクセス制御ルールと、送信元の装置ごとに定めたアドレス変換ルールとをデータベース部に記録しておく。グローバルネットワーク側からのパケットを受信すると、送信元情報を含んだアクセス制御ルールに従って、グローバルネットワークからプライベートネットワークへのアクセスを制限する。また、送信元情報を含んだアドレス変換ルールに従って、宛先アドレスの変換を行って、グローバルネットワーク側からの情報をプライベートネットワーク側に伝える。プライベートネットワーク側からのパケットを受信すると、送信元情報を含んだアドレス変換ルールに従って、送信元アドレスの変換を行って、プライベートネットワーク側からの情報をグローバルネットワーク側に伝える。

グローバルネットワーク側からのアクセス要求に対しては、データベース部に、通信を希望する宛先と送信元との間のアクセス制御ルールとアドレス変換ルールを追加・削除する場合には、認証を行う。認証に合格した場合には、送信元の装置ごとまたは送信元のネットワークごとにアクセス制御ルールを定め、送信元の装置ごとにアドレス変換ルールを定めてデータベース部に記録する。通信が終了すると、追加したアクセス制御ルールとアドレス変換ルールとをデータベース部から削除する。
プライベートネットワーク側からのアクセス要求に対しては、データベース部に通信を希望する宛先と送信元との間のアクセス制御ルールとアドレス変換ルールがない場合には、送信元ごとのアクセス制御ルールとアドレス変換ルールとを定めてデータベース部に記録する。通信が終了すると追加したアクセス制御ルールとアドレス変換ルールとをデータベース部から削除する。

前記の認証については、中継装置内部の認証処理部で行う方法と、認証サーバをグローバルネットワーク内に設置し、中継装置へのアクセス制御ルール（ファイアウォール装置への通過条件設定）追加依頼は、認証サーバのみが行う方法とがある。
また、前記の方法をアドレス変換ルールのみに適用してアドレス変換方法とし、アクセス制御ルールのみに適用してファイアウォール方法とする。さらに、ファイアウォール技術に対しては、安全なセッションを確立中はそのセッションの通信状況をその安全なセッションにより要求元に通知する。

本発明によれば、送信元アドレスが異なっているパケットには異なったアクセス制御ルールとアドレス変換ルールとを適用させることができる。したがって、同じポート番号で、プライベートネットワークの複数のサーバを公開すること、及び、ポート番号の無いプロトコルで、プライベートネットワークの複数の端末が同時に通信を行うことができる。
プライベートネットワークの端末からのパケットを受信した場合は、該パケットに対するアクセス制御ルールとアドレス変換ルールとが登録されていなければ、該パケットに対するアクセス制御ルールとアドレス変換ルールとを追加する。したがって、プライベートネットワークの端末から開始される通信のアクセス制御ルールとアドレス変換ルールとを自動的に登録することができ、事前のアクセス制御ルール及びアドレス変換ルールの登録無しに通信を行うことができる。

アクセス制御技術に関しては、ファイアウォール装置外からファイアウォール装置の通過条件を動的に変更して、対応利用者端末からのパケットがファイアウォール装置を通過できるようにできる。しかもその安全なセッション切断時にはその通過許可（アクセス制御ルール）が解除される。したがって、そのセッション切断後の不正なパケットはファイアウォール装置を通過できない。また、確立しているセッションでの通信状況を要求元に通知する場合は、要求元で不正な通信を監視させることができる。
さらに、所定の認証サーバからの要求のみを受け付け、ファイアウォール装置の設定やアドレス変換ルールを変更する場合は、ポートスキャンにより、装置の存在やサービスの提供などを検知されることなく、グローバルなネットワークからアクセス制御やアドレス変換の設定を変更できる。

［図１］従来のファイアウォール装置を説明するためのシステム構成を示す図。
［図２］実施例１の中継装置の機能構成例を示す図。
［図３］実施例１でのアクセス制御テーブルの初期状態を示す図。
［図４］実施例１でのアドレス変換テーブルの初期状態を示す図。
［図５］実施例１の処理フローを示す図。
［図６］実施例１でのアクセス制御ルール追加後のアクセス制御テーブルを示す図。
［図７］実施例１でのアドレス変換ルール追加後のアドレス変換テーブルを示す図。
［図８］実施例２での、インターネットを介して通信可能な第１の中継装置と第２の中継装置、及びそれらに接続されたＬＡＮと端末の構成を示す図。
［図９］実施例２の処理フローを示す図。
［図１０］実施例２で、第１の中継装置に追加するアクセス制御ルールを示す図。
［図１１］実施例２で、第１の中継装置に追加するアドレス変換ルールを示す図。
［図１２］実施例２で、第２の中継装置に追加するアドレス変換ルールを示す図。
［図１３］実施例２で、第２の中継装置に追加するアクセス制御ルールを示す図。
［図１４］実施例３のＷＡＮ上の認証サーバを用いた場合の中継装置の機能構成例を示す図。
［図１５］実施例３でのアクセス制御テーブルの初期状態を示す図。
［図１６］実施例３でのアドレス変換テーブルの初期状態を示す図。
［図１７］実施例３のインターネット上の認証サーバと端末及びＬＡＮ上の端末やサーバとの構成を示す図。
［図１８］実施例３の処理フローを示す図。
［図１９］実施例３の認証サーバが追加を求めるアクセス制御ルールを示す図。
［図２０］実施例３の認証サーバが追加を求めるアドレス変換ルールを示す図。
［図２１］実施例３でのアクセス制御ルール追加後のアクセス制御テーブルを示す図。
［図２２］実施例３でのアドレス変換ルール追加後のアドレス変換テーブルを示す図。
［図２３］実施例４のアドレス変換装置の機能構成例を示す図。
［図２４］実施例４のアドレス変換テーブルの初期状態を示す図。
［図２５］実施例４のアドレス変換ルール追加後のアドレス変換テーブルを示す図。
［図２６］実施例４のアドレス変換装置の通信開通までの処理フローを示す図。
［図２７］実施例４のアドレス変換装置の通信開通後の処理フローを示す図。
［図２８］ファイアウォール装置の機能構成例を示す図。
［図２９］ファイアウォール装置の処理フローを示す図。
［図３０］実施例５のアクセス制御テーブル（通過条件テーブル）の初期状態を示す図。
［図３１］実施例５のアクセス制御ルール（通過条件）追加後のアクセス制御テーブル（通過条件テーブル）を示す図。
［図３２］実施例６のアクセス制御ルール（通過条件）追加後のアクセス制御テーブル（通過条件テーブル）を示す図。
［図３３］実施例７のアクセス制御ルール（通過条件）追加後のアクセス制御テーブル（通過条件テーブル）を示す図。
［図３４］実施例８のファイアウォール装置の処理フローを示す図。

以下にこの発明の実施例を、図面を参照して説明するが、各図中の同一の構成要素には同一参照番号を付けて重複説明を省略する。

図２は実施例１の中継装置１０の機能構成例を示す図である。
図２において、本実施例の中継装置１０は、インターネットなどの広域通信網（ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ））２００とのパケットの送受信を行うＷＡＮインターフェース部１１と、ＬＡＮ３００とのパケットの送受信を行うＬＡＮインターフェース部１２と、ＷＡＮインターフェース部１１及びＬＡＮインターフェース部１２が受信したパケットを分析してアクセス制御を行うアクセス制御部１３と、アクセス制御部１３で通過が許可されたパケット及びＬＡＮ内からＷＡＮ側へ送信されるパケットを分析してアドレス変換を行うアドレス変換部１４と、アクセス制御部１３の要求によりユーザの認証処理を行う認証処理部１５と、アクセス制御のためのデータやアドレス変換のためのデータや認証のデータを蓄えているデータベース部１６とを備えている。

この中継装置１０は、アクセス制御機能（ファイアウォール機能）を備えており、アクセス制御部１３は、データベース部１６に記録されている図３に示すようなアクセス制御テーブルに基づいて、ＷＡＮインターフェース部１１で受信したパケットを、ＬＡＮインターフェース部１２を介してＬＡＮ側に送信するかを決定している。
図３において、「ソースＩＰアドレス」の列は、ＷＡＮインターフェース部１１で受信したパケットの送信元ＩＰアドレスを示し、「プロトコル、ソースポート番号」の列は、ＷＡＮインターフェース部１１で受信したパケットのプロトコル名、及び該プロトコルでポート番号を使用する場合の送信元ポート番号を示し、「ディスティネーションＩＰアドレス」の列は、ＷＡＮインターフェース部１１で受信したパケットの宛先ＩＰアドレスを示し、「プロトコル、ディスティネーションポート番号」の列は、ＷＡＮインターフェース部１１で受信したパケットのプロトコル名、及び該プロトコルでポート番号を使用する場合の宛先ポート番号を示し、「動作」の列は、ＷＡＮインターフェース部１１で受信したパケットの送信元及び宛先が、当該行のそれぞれの値に一致したときに、そのパケットに対して行われる動作を示している。

なお、「プロトコル、ソースポート番号」及び「プロトコル、ディスティネーションポート番号」の列で使用されるプロトコル名として、あらかじめ設定されたプロトコル名とポート番号に対応付けられたプロトコル名を使用することができる。
例えば、図３の１行目は、送信元ＩＰアドレス、ポート番号に関係なく、宛先ＩＰアドレスが「１１１．１１１．１１１．２」でかつプロトコル名が「ｈｔｔｐ（ＨｙｐｅｒＴｅｘｔ Ｔｒａｎｓｐｏｒｔ Ｐｒｏｔｏｃｏｌ、例えばＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）８０）」であるパケットは、ＬＡＮ側に送信されることを示している（通過：ａｃｃｅｐｔ）。

同様に、図３の２行目では、送信元ＩＰアドレスが「１２３．１２３．１２３．１」で、宛先ＩＰアドレスが「１１１．１１１．１１１．２」でかつプロトコル名が「ＳＳＨ（Ｓｅｃｕｒｅ Ｓｈｅｌｌ、例えばＴＣＰ２２）」であるパケットは、ＬＡＮ側に送信され、３行目では、全てのパケットが廃棄される（廃棄：ｄｒｏｐ）。
アクセス制御部１３は、このようなテーブルを上の行から、受信したパケットと一致するか検証し、一致すれば指定された動作を行い、そのパケットに対する処理は終了する。すなわち、図３のテーブルでは、上の行に設定された条件がより優先的に処理される条件となっている。

中継装置１０は、データベース部１６に、図４に示すようなアドレス変換テーブルを記録している。アドレス変換部１４は、ＷＡＮインターフェース部１１で受信し、アクセス制御部１３を通過したパケットのディスティネーションＩＰアドレスを、このアドレス変換テーブルに基づいて、ＬＡＮの内部のＩＰアドレスに変換して、ＬＡＮインターフェース部１２を介してＬＡＮ側に送信する。
また、ＬＡＮインターフェース部１２で受信したパケットのソースＩＰアドレスを、ＷＡＮのＩＰアドレス（グローバルアドレス）に変換してアクセス制御部１３に出力する。アクセス制御部１３は、許可されたパケットを、ＷＡＮインターフェース部１１を介してＷＡＮ側に送信する。

図４において、「ソースＩＰアドレス」の列は、ＷＡＮインターフェース部１１で受信したパケットの送信元ＩＰアドレスを示し、「ディスティネーションＩＰアドレス」の列は、ＷＡＮインターフェース部１１で受信したパケットの宛先ＩＰアドレスを示し、「プロトコル、ディスティネーションポート番号」の列は、ＷＡＮインターフェース部１１で受信したパケットのプロトコル名及び該プロトコルでポート番号を使用する場合の宛先ポート番号を示し、「内部ＩＰアドレス」の列は、ＷＡＮインターフェース部１１で受信したパケットの送信元及び宛先が、当該行のそれぞれの値に一致したときに、そのパケットの宛先ＩＰアドレスに設定するＬＡＮのプライベートアドレスを示し、「プロトコル及びポート番号」の列は、ＷＡＮインターフェース部１１で受信したパケットの送信元及び宛先が、当該行のそれぞれの値に一致したときに、そのパケットの宛先ポート番号に設定するポート番号を示している。ただし、「ａｎｙ」の場合は任意のアドレスで良い。

例えば、図４の１行目は、送信元ＩＰアドレスに関係なく、宛先ＩＰアドレスが「１１１．１１１．１１１．２」でかつ宛先ポート番号が「ＴＣＰ８０（ｈｔｔｐ）」であるパケットは、宛先ＩＰアドレスを「１９２．１６８．１００．５」に書き替えられ、宛先ポート番号はそのままでＬＡＮ側に送信されることを示している。
図４の２行目は、送信元ＩＰアドレスが「１２３．１２３．１２３．１」で、宛先ＩＰアドレスが「１１１．１１１．１１１．２」でかつ宛先ポート番号が「ＴＣＰ２２（ＳＳＨ）」であるパケットは、宛先ＩＰアドレスを「１９２．１６８．１００．５」に書き替えられ、宛先ポート番号はそのままでＬＡＮ側に送信されることを示している。

このように設定することで、ＷＡＮ側からの特定ポートへのアクセス、またはポートを持たないプロトコルへのアクセスを、ＬＡＮ内の端末に振り分けることができる。
ここで、アドレス変換部１４は、図４に示すようなアドレス変換テーブルを上の行から検索し、受信したパケットが一致すれば指定された動作を行い、そのパケットに対する処理は終了する。すなわち、図４のアドレス変換テーブルでは、上の行に設定された条件が、より優先的に処理される。
図４は、アドレス変換テーブルの初期状態（通信中の端末が無い状態）を示している。中継装置１０は、ＬＡＮ内の端末からの通信要求またはＷＡＮ側の端末からの要求により、図３のアクセス制御テーブルにアクセス制御ルールを追加し、図４のアドレス変換テーブルにアドレス変換ルールを追加する。

具体的には、図５を用いて説明する。アクセス制御部１３は、自装置のグローバルアドレス宛のｈｔｔｐｓ（ＨｙｐｅｒＴｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ Ｓｅｃｕｒｉｔｙ）のアクセス要求パケットを、ＷＡＮインターフェース部１１を介して受信すると（ステップＳ１）、送信元の端末とＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）セッションの確立を行う（ステップＳ２）。セッションが正常に確立されれば、セッション確立時に取得した送信元端末のＩＰアドレスを記憶する（ステップＳ３）。次に、ユーザの認証を行うために、ユーザの識別情報とパスワードを入力させるＨＴＭＬファイルを暗号化して要求元の端末に、ＷＡＮインターフェース部１１を介して送信する（ステップＳ４）。

アクセス制御部１３は、要求元の端末から、暗号化されたユーザの識別情報とパスワードを受信する（ステップＳ５）。次に、アクセス制御部１３は、復号化を行い、ユーザの識別情報とパスワードを認証処理部１５に送信し、ユーザの認証を要求する。
認証処理部１５は、ユーザの識別情報とパスワードを受信すると、データベース部１６に蓄積しているユーザの情報から、受信したユーザ識別情報と一致する識別情報を持つユーザを検索する。一致するユーザが見つかれば、蓄積しているそのユーザのパスワードと受信したパスワードを比較する（ステップＳ６）。認証処理部１５は、パスワードが一致していれば、認証が正常であることをアクセス制御部１３に送信する。一致するユーザが見つからない場合またはパスワードが一致しない場合は、認証異常をアクセス制御部１３に送信する（ステップＳ７）。

アクセス制御部１３は、認証処理部１５から認証正常を受信すると、アクセスしたいサーバのＬＡＮ内部のプライベートアドレスやプロトコルやポート番号などを入力させるＨＴＭＬファイルを、暗号化して、要求元の端末に、ＷＡＮインターフェース部１１を介して送信する（ステップＳ９）。
アクセス制御部１３は、要求元の端末から、暗号化されたプライベートアドレスやプロトコルやポート番号を受信する（ステップＳ１０）。次に、アクセス制御部１３は、復号化を行い、記憶しているｈｔｔｐｓのアクセス要求パケットの送信元ＩＰアドレスを「ソースＩＰアドレス」、受信したプロトコル、ポート番号を「プロトコル、ディスティネーションポート番号」としたアクセス制御ルールを、データベース部１６のアクセス制御テーブルに追加する（ステップＳ１１）。また、アクセス制御部１３は、アドレス変換部１４に、ｈｔｔｐｓのアクセス要求パケットの送信元ＩＰアドレス、受信したプライベートアドレス、プロトコル、ポート番号を送り、アドレス変換ルールの追加を要求する。アドレス変換部１４は、アドレス変換ルールの追加要求を受けると、ｈｔｔｐｓのアクセス要求パケットの送信元ＩＰアドレスを「ソースＩＰアドレス」、受信したプライベートアドレスを「内部ＩＰアドレス」、プロトコル、ポート番号を「プロトコル、ディスティネーションポート番号」としたアドレス変換ルールを、データベース部１６のアドレス変換テーブルに追加する（ステップＳ１２）。

例えば、送信元ＩＰアドレス「１１１．２２２．２３４．１２３」の端末からのｈｔｔｐｓのアクセス要求パケットにより、宛先ＩＰアドレス「１１１．１１１．１１１．２」、宛先ポート番号「ＴＣＰ２２」のパケットの宛先ＩＰアドレスを、内部ＩＰアドレス「１９２．１６８．１００．４」に書き替えるようにする場合、アクセス制御テーブルは、図６に示すように、図３のテーブルの一番上の行に、ｈｔｔｐｓによりアクセスしてきた端末のアクセス制御ルールを追加する。また、アドレス変換テーブルは、図７に示すように、図４のテーブルの一番上の行に、ｈｔｔｐｓによりアクセスしてきた端末のアドレス変換ルールを追加する。

これにより、送信元ＩＰアドレス「１１１．２２２．２３４．１２３」、宛先ＩＰアドレス「１１１．１１１．１１１．２」、宛先ポート番号「ＴＣＰ２２」のパケットは、アクセス制御部１３を通過する。また、アドレス変換部１４で宛先ＩＰアドレスを１９２．１６８．１００．４に書き替えられてＬＡＮに送信される。それ以外の送信元ＩＰアドレスの宛先ポート番号が「ＴＣＰ２２」のパケットは、アクセス制御部１３で廃棄される。
その後、アクセス制御部１３は、認証が正常でアドレス変換が設定された旨と、変換先のＬＡＮ内部のプライベートアドレスとプロトコルとポート番号などを表示するＨＴＭＬファイルを、暗号化して、端末に送信する（ステップＳ１３）。なお、このＨＴＭＬファイルには、端末があらかじめ定めた一定時間ごとに、中継装置１０にアクセスするためのプログラムが埋め込まれている。

端末では、送信されたＨＴＭＬファイルを復号化して表示することにより、設定されたアドレス変換の情報を確認することができる。また、ＨＴＭＬファイルに埋め込まれたプログラムにより、端末は一定時間ごとに、中継装置１０に信号を送りはじめる。
このようにしてアクセス制御ルール及びアドレス変換ルールを設定し、ＬＡＮ内の端末との通信を行う。ユーザが通信を終了するときは、中継装置１０から受信したＨＴＭＬファイルで表示された画面から、通信の終了のボタンを選択するか、ＨＴＭＬファイルを表示しているブラウザを閉じるか、ＨＴＭＬファイルを表示している端末を終了（電源オフ、ログオフ等）する。

中継装置１０のアクセス制御部１３は、通信終了のパケットを受信した場合、端末からの信号が一定時間送信されてこないことによりブラウザが閉じられたことや端末が終了されたことを検出した場合（ステップＳ１４）、図６のように書き替えたテーブルを、図３のような元の状態に戻し、アドレス変換部１４にソースＩＰアドレス、ディスティネーションＩＰアドレス、プロトコルを送信し、この通信が終了したことを通知する（ステップＳ１５）。アドレス変換部１４は、通信の終了の通知を受けると、図７のように書き替えたテーブルを、図４のような元の状態に戻す（ステップＳ１６）。

上記のように、本実施例では、ソースＩＰアドレスを使用したアクセス制御ルールとアドレス変換ルールを、アクセス制御テーブルとアドレス変換テーブルに設定する。したがって、宛先が同じポート番号の場合でも、ソースＩＰアドレスにより別々のサーバへ振り分けたり、ポート番号の無いプロトコルでもソースＩＰアドレスにより別々の端末と通信を行わせたりすることができる。
なお、本実施例では、ｈｔｔｐｓのアクセスによりアドレス変換ルール、アクセス制御ルールの追加を受け付けるようにしたが、ｈｔｔｐやＳＩＰ（Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）やＳＳＨやｔｅｌｎｅｔなどを使ってもよい。

実施例１に示した中継装置１０は、ＬＡＮ（プライベートネットワーク）内の端末からＩＰｓｅｃ通信の最初のパケットを受信したときに、宛先ＩＰアドレスと送信元ＩＰアドレス（プライベートネットワーク側が送信元となる。）とのアドレス変換ルールをアドレス変換テーブルに追加することで、ＬＡＮ内の複数の端末が中継装置１０を通してＩＰｓｅｃ通信を行うことができる。図８にインターネットを介して通信可能な第１の中継装置１０ａと第２の中継装置１０ｂ、及びそれらに接続されたＬＡＮと端末の構成を示す。以下に、ＬＡＮ３００の端末とＬＡＮ４００の端末間でのＩＰｓｅｃ通信の場合について、図９を用いて説明する。

まず、端末４１０ａは、ＬＡＮ３００内の端末３１０ａとのＩＰｓｅｃ通信に必要なアドレス変換ルールを、第１の中継装置１０ａに追加するため、第１の中継装置１０ａにｈｔｔｐｓのアクセス要求パケットを送信する。
第１の中継装置１０ａは、ｈｔｔｐｓのアクセス要求パケットを受信すると、送信元の端末とＳＳＬセッションの確立を行い（ステップＳ２１）、ユーザの認証を行い（ステップＳ２２）、認証されれば、アクセスしたいサーバのＬＡＮ内部のプライベートアドレスやプロトコルやポート番号などを入力させるＨＴＭＬファイルを要求元の端末４１０ａに送信する。なお、このＨＴＭＬファイルには、端末があらかじめ定めた一定時間ごとに、中継装置１０ａにアクセスするためのプログラムが埋め込まれている。

端末４１０ａは、受信したＨＴＭＬファイルを表示して（ステップＳ２３）、利用者にアクセス先の情報を入力させる。この場合、接続したい端末３１０ａのプライベートＩＰアドレス１９２．１６８．１００．２と、プロトコルとしてＩＰｓｅｃが入力される。端末４１０ａは、入力されたプライベートアドレスとプロトコルを第１の中継装置１０ａに送信する。
第１の中継装置１０ａは、プライベートアドレスとプロトコルを受信すると、データベース部１６に記録しているｈｔｔｐｓのアクセス要求パケットの送信元ＩＰアドレス（第２の中継装置１０ｂのＩＰアドレス１１１．２２２．２３４．１２３）を「ソースＩＰアドレス」、ＩＰｓｅｃを「プロトコル、ソースポート番号」、自装置のグローバルアドレス２１１．２５０．２５０．１００を「ディスティネーションＩＰアドレス」、ＩＰｓｅｃを「プロトコル、ディスティネーションポート番号」とした図１０に示すアクセス制御ルールを追加する。また、ｈｔｔｐｓのアクセス要求パケットの送信元ＩＰアドレスを「ソースＩＰアドレス」、自装置のグローバルアドレス２１１．２５０．２５０．１００を「ディスティネーションＩＰアドレス」、ＩＰｓｅｃを「プロトコル、ディスティネーションポート番号」、１９２．１６８．１００．２を「内部ＩＰアドレス」とした図１１に示すアドレス変換ルールを追加する（ステップＳ２４）。

端末４１０ａが、最初のＩＰｓｅｃパケットを第２の中継装置１０ｂに送信すると、第２の中継装置１０ｂのアドレス変換部１４は、ＩＰｓｅｃ通信に関するアドレス変換ルールがアドレス変換テーブルに登録されているかを調べる。具体的には、パケットの宛先ＩＰアドレスとアドレス変換テーブルのソースＩＰアドレス、パケットの送信元ＩＰアドレスとアドレス変換テーブルと内部ＩＰアドレスとが一致するアドレス変換ルールが有るかを検索する（ステップＳ２６）。
この条件に合致するアドレス変換ルールがあれば、送信元ＩＰアドレスをそのアドレス変換ルールのディスティネーションＩＰアドレスのアドレスに書き換え（ステップＳ２７）、書き換えたパケットを、アクセス制御部１３を通して送信する。

この条件に合致するアドレス変換ルールが無ければ、宛先ＩＰアドレスを「ソースＩＰアドレス」、自装置のＩＰアドレス（この場合、１１１．２２２．２３４．１２３）を「ディスティネーションＩＰアドレス」、ＩＰｓｅｃを「プロトコル、ディスティネーションポート番号」、送信元ＩＰアドレス（この場合、１９２．１６８．２０．２）を「内部ＩＰアドレス」とした図１２に示すアドレス変換ルールを追加する。また、アクセス制御部１３に、送信元ＩＰアドレスが２１１．２５０．２５０．１００で、宛先ＩＰアドレスが１１１．２２２．２３４．１２３のＩＰｓｅｃパケットの通過を許可するアクセス制御ルールの追加を要求する。アクセス制御部１３は、図１３に示すアクセス制御ルールを追加する。

アドレス変換部１４は、アクセス制御部１３のアクセス制御ルールの追加が終わると、受信したパケットの送信元ＩＰアドレスを自装置のグローバルＩＰアドレス（この場合、１１１．２２２．２３４．１２３）に書き換え、書き換えたパケットをアクセス制御部１３経由で送信する。以降、端末３１０ａと端末４１０ａとの間でＩＰｓｅｃによる通信が行われる。
ＩＰｓｅｃによる通信が終了すると、端末４１０ａの利用者が、第１の中継装置１０ａから受信したＨＴＭＬファイルで表示された画面から、通信終了のボタンを選択するか、ＨＴＭＬファイルを表示しているブラウザを閉じるか、ＨＴＭＬファイルを表示している端末を終了する（ステップＳ３０）。

第１の中継装置１０ａのアクセス制御部１３は、通信終了のパケットの受信、端末４１０ａからの信号が一定時間送信されてこないことによりブラウザが閉じられたこと、もしくは端末が終了されたことを検出すると（ステップＳ３１）、図１０に示したアクセス制御ルールを削除する。また、アドレス変換部１４にソースＩＰアドレス１１１．２２２．２３４．１２３、ディスティネーションＩＰアドレス２１１．２５０．２５０．１００、プロトコルＩＰｓｅｃの通信が終了したことを通知する。アドレス変換部１４は、通信の終了の通知を受けると、図１１に示したアドレス変換ルールを削除する（ステップＳ３２）。

第２の中継装置１０ｂのアクセス制御部１３は、通信終了のパケットの受信、端末４１０ａからの信号が一定時間送信されてこないことによりブラウザが閉じられたこと、もしくは端末が終了されたことを検出すると（ステップＳ３３）、図１３に示したアクセス制御ルールを削除する。また、アドレス変換部１４にソースＩＰアドレス２１１．２５０．２５０．１００、ディスティネーションＩＰアドレス１１１．２２２．２３４．１２３、プロトコルＩＰｓｅｃの通信が終了したことを通知する。アドレス変換部１４は、通信の終了の通知を受けると、図１２に示したアドレス変換ルールを削除する（ステップＳ３４）。

上記のように、本実施例では、ソースＩＰアドレスを使用したアクセス制御ルールとアドレス変換ルールを、アクセス制御テーブルとアドレス変換テーブルにそれぞれ設定する。したがって、宛先が同じポート番号の場合でもソースＩＰアドレスごとに別々のサーバへ振り分けたり、ポート番号の無いプロトコルの場合でもソースＩＰアドレスごとに別々の端末と通信を行わせたりすることができる。
また、ＬＡＮ側から受信したＩＰｓｅｃのパケットの宛先ＩＰアドレスと送信元ＩＰアドレスに対するアドレス変換ルールが登録されていない場合でも、ＬＡＮ内の端末から開始されるＩＰｓｅｃ通信のアドレス変換ルールは、自動的に登録できるので、事前にアドレス変換ルールを登録すること無く、ＩＰｓｅｃ通信を行うことができる。
なお、本実施例では、ＩＰｓｅｃ通信の最初のパケットによりアドレス変換ルール、アクセス制御ルールを追加したが、ＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ）の最初のパケットなどによりアドレス変換ルール、アクセス制御ルールを追加してもよい。

実施例１と実施例２では、ＷＡＮ側の端末の認証を中継装置１０内の認証処理部１５で行ったが、ＷＡＮ上の認証サーバを経由させ、該認証サーバで認証を行わせ、該認証サーバからの要求によりアクセス制御ルール及びアドレス変換ルールを追加、削除してもよい。このようにすることにより、ＷＡＮ上からステルス（アクセス可能なプロトコルやポート番号を隠蔽して）で運用することができる。

図１４はＷＡＮ上の認証サーバを用いた場合の中継装置の機能構成例を示す図である。図１４の中継装置２０は、インターネットなどの広域通信網（ＷＡＮ）に接続され、ＷＡＮとのパケットの送受信を行うＷＡＮインターフェース部１１と、ＬＡＮとのパケットの送受信を行うＬＡＮインターフェース部１２と、ＷＡＮインターフェース部１１及びＬＡＮインターフェース部１２が受信したパケットを分析しアクセス制御を行うアクセス制御部２３と、ＷＡＮ側からＬＡＮ内へのパケットの宛先アドレス、及びＬＡＮ内からＷＡＮ側へのパケットの送信元アドレスを変換するアドレス変換部２４と、アクセス制御のためのデータやアドレス変換のためのデータを蓄えているデータベース部２６とを備えている。また、ＷＡＮ上にはＷＡＮ側の端末の認証を行い、中継装置２０にアクセス制御ルールの追加などを要求する認証サーバ１００がある。認証サーバ１００は、ＷＡＮ側の端末及び中継装置２０と通信を行うインターフェース部１０１、認証サーバ１００の制御を行う制御部１０２、認証処理を行う認証処理部１０５、認証情報や通信中の情報などを記録するデータベース部１０６から構成されている。

中継装置２０は、ファイアウォール機能を備えている。具体的には、アクセス制御部２３は、データベース部２６に記録されている図１５に示すアクセス制御テーブルに基づいて、ＷＡＮ側から受信したパケットをＬＡＮ内に送信するかを決定している。
図１５において、「ソースＩＰアドレス」の列は、ＷＡＮインターフェース部１１で受信したパケットの送信元ＩＰアドレスを示し、「ソースポート番号」の列は、ＷＡＮインターフェース部１１で受信したパケットの送信元ポート番号を示し、「ディスティネーションＩＰアドレス」の列は、ＷＡＮインターフェース部１１で受信したパケットの宛先ＩＰアドレスを示し、「プロトコル、ディスティネーションポート番号」の列は、ＷＡＮインターフェース部１１で受信したパケットのプロトコル名及び該プロトコルでポート番号を使用する場合の宛先ポート番号を示し、「動作」の列は、ＷＡＮインターフェース部１１で受信したパケットの送信元及び宛先が、当該行のそれぞれの値に一致したときに、そのパケットに対して行われる動作を示している。

なお、「プロトコル、ディスティネーションポート番号」の列で使用されるプロトコル名として、あらかじめ設定されてたプロトコル名とポート番号に対応付けられたプロトコル名を使用することができる。
例えば、図１５の１行目では、送信元ＩＰアドレス、ポート番号に関係なく、宛先ＩＰアドレスが「１２３．１２３．１２３．１２３」で、かつプロトコル名が「ｈｔｔｐｓ（ＨｙｐｅｒＴｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ Ｓｅｃｕｒｉｔｙ、例えばＴＣＰ４４３）」であるパケットは、ＬＡＮ側に送信される（通過：ａｃｃｅｐｔ）。

同様に、図１５の２行目では、送信元ＩＰアドレスが「２１１．２５０．２５０．１００」で、宛先ＩＰアドレスが「１２３．１２３．１２３．１２３」で、かつプロトコル名が「ＳＳＨ（Ｓｅｃｕｒｅ Ｓｈｅｌｌ、例えばＴＣＰ２２）」であるパケットは、ＬＡＮ側に送信され、３行目では、全てのパケットが廃棄される（ｄｒｏｐ）。
アクセス制御部２３は、このようなテーブルを上の行から受信したパケットが一致するか検証し、一致すれば指定された動作を行い、そのパケットに対する処理は終了する。すなわち、図１５のテーブルでは、上の行に設定された条件がより優先的に処理される条件となっている。

また、中継装置２０は、データベース部２６に、図１６に示すアドレス変換テーブルを記録しており、アドレス変換部２４は、このテーブルに基づいて、ＷＡＮ側から受信したパケットのディスティネーションＩＰアドレスをＬＡＮの内部のＩＰアドレスに変換して、ＬＡＮ内に送信する。また、ＬＡＮ側から受信したパケットのソースＩＰアドレスをＷＡＮのＩＰアドレス（グローバルアドレス）に変換して、ＷＡＮ側に送信する。
図１６において、「ソースＩＰアドレス」の列は、ＷＡＮインターフェース部１１で受信したパケットの送信元ＩＰアドレスを示し、「ディスティネーションＩＰアドレス」の列は、ＷＡＮインターフェース部１１で受信したパケットの宛先ＩＰアドレスを示し、「プロトコル、ディスティネーションポート番号」の列は、ＷＡＮインターフェース部１１で受信したパケットのプロトコル名及び該プロトコルでポート番号を使用する場合の宛先ポート番号を示し、「内部ＩＰアドレス」の列は、ＷＡＮインターフェース部１１で受信したパケットの送信元及び宛先が、当該行のそれぞれの値に一致したときに、そのパケットの宛先ＩＰアドレスに設定するＬＡＮのプライベートアドレスを示し、「プロトコル及びポート番号」の列は、ＷＡＮインターフェース部１１で受信したパケットの送信元及び宛先が、当該行のそれぞれの値に一致したときに、そのパケットの宛先ポート番号に設定するポート番号を示している。

例えば、図１６の１行目では、送信元ＩＰアドレスに関係なく、宛先ＩＰアドレスが「１２３．１２３．１２３．１２３」でかつ宛先ポート番号が「ＴＣＰ４４３（ｈｔｔｐｓ）」であるパケットは、宛先ＩＰアドレスを「１９２．１６８．１００．５」に書き替えられ、宛先ポート番号はそのままでＬＡＮ側に送信される。
同様に、図１６の２行目では、送信元ＩＰアドレスが「２１１．２５０．２５０．１００」で、宛先ＩＰアドレスが「１２３．１２３．１２３．１２３」でかつ宛先ポート番号が「ＴＣＰ２２（ＳＳＨ）」であるパケットは、宛先ＩＰアドレスを「１９２．１６８．１００．５」に書き替えられ、宛先ポート番号はそのままでＬＡＮ側に送信される。

このように設定することで、ＷＡＮ側からの特定ポートへのアクセス、またはポートを持たないプロトコルへのアクセスを、ＬＡＮ内の端末に振り分けることができる。
また、アドレス変換部２４は、このようなテーブルを上の行から受信したパケットが一致するか検証し、一致すれば指定された動作を行い、そのパケットに対する処理は終了する。すなわち、図１６のテーブルでは、上の行に設定された条件がより優先的に処理される条件となっている。
また、図１６に示した状態は、初期状態（通信中の端末が無い状態）である。ＬＡＮ内の端末からの通信要求により、また後述するＷＡＮ側のサーバからの要求により、アドレス変換ルールが追加されて、ＬＡＮ内からＷＡＮ側へのパケット、ＷＡＮ側からＬＡＮ内へのパケットのそれぞれのアドレスが図１６のテーブルに従って変換され、送信される。

図１７にインターネット上の認証サーバと端末及びＬＡＮ上の端末やサーバとの構成を示す。中継装置２０は、ＬＡＮ３００に接続され、ＬＡＮ３００には端末３１０ａ，３１０ｂ及びサーバ３１１ａ，３１１ｂが接続されている。中継装置２０は、インターネット２００上の認証サーバ１００からの要求のみにより、図１５のアクセス制御テーブルにアクセス制御ルールを追加し、図１６のアドレス変換テーブルにアドレス変換ルールを追加できる。
認証サーバ１００は、中継装置２０にアクセス可能なユーザを認証するための認証情報や、ユーザごとにアクセスが許可されている中継装置２０のアドレス、追加するアクセス制御ルール及びアドレス変換ルールなどのアクセス情報をデータベース部１０６に記録している。認証サーバ１００は、インターネット２００上の端末からの要求があると、データベース部１０６に記録した認証情報に基づいてユーザの認証を行い、認証が正常ならば中継装置にアクセス制御ルール及びアドレス変換ルールの追加を要求する。

例えば、インターネット２００上の端末２２０ａとサーバ３１１ａとの間で通信したい場合について、図１８を用いて説明する。端末２２０ａを操作するユーザは、インターネット２００上の認証サーバ１００に接続し、認証を受ける。この認証は、識別情報（ＩＤ）とパスワードの簡易なものから、ワンタイムパスワードや生体情報による高度なソフトウェア機能による認証でもよい。なお、このような認証に用いる情報は、インターネット上での情報漏洩を防ぐため、暗号化して送信することが好ましい。
認証サーバ１００は、認証要求を受けると、認証要求した端末２２０ａのアドレスを送信元アドレスとして記憶し（ステップＳ４１）、認証情報に基づいてユーザの認証を行う（ステップＳ４２）。

ユーザが認証されれば（ステップＳ４３）、認証サーバ１００は、記録している端末２２０ａのアドレスを送信元アドレスとするアクセス制御ルールとアドレス変換ルールの追加を、中継装置２０に要求する。例えば、端末２２０ａからサーバ３１１ａへのｈｔｔｐアクセスのみ許可する場合、認証サーバ１００は、図１９に示す端末２２０ａのアドレス（１１１．２２２．２３４．１２３）を送信元としてｈｔｔｐアクセスを許可するアクセス制御ルールの追加と、図２０に示す端末２２０ａのアドレス（１１１．２２２．２３４．１２３）が送信元のｈｔｔｐのパケットの送信先を、サーバ３１１ａのアドレス（１９２．１６８．１００．４）に変更するアドレス変換ルールの追加とを、要求する。

中継装置２０のアクセス制御部２３は、認証サーバ１００からのアクセス制御ルールの追加要求及びアドレス変換ルールの追加要求を受信すると、受信したアクセス制御ルールをデータベース部２６のアクセス制御テーブルに追加する。また、アクセス制御部２３は、認証サーバ１００から受信したアドレス変換ルールを追加するように、アドレス変換部２４に要求する。アドレス変換部２４は、アクセス制御部２３からアドレス変換ルールの追加要求を受けると、受信したアドレス変換ルールをデータベース部２６のアドレス変換テーブルに追加する（ステップＳ４４）。例えば、上述の端末２２０ａからサーバ３１１ａへのｈｔｔｐアクセスを許可する場合、図１５のアクセス制御テーブルに図１９のアクセス制御ルールを追加し、アクセス制御テーブルを図２１のようにする。また、図１６のアドレス変換テーブルに図２０のアドレス変換ルールを追加し、アドレス変換テーブルを図２２のようにする。

アクセス制御ルール及びアドレス変換ルールの追加が終わると、アクセス制御部２３は、認証サーバ１００に追加完了を返送する。
認証サーバ１００は、中継装置２０から追加完了を受信すると、記憶している端末２２０ａのアドレス、中継装置２０のアドレス、追加したアクセス制御ルール及びアドレス変換ルールを関連付けて通信中情報として記憶する（ステップＳ４５）。また、認証サーバ１００は、端末２２０ａに対して、アクセスが可能になった旨と、アクセスが許可されたサービス名（例えば、Ｗｅｂカメラなど、ＩＰアドレスとポート番号でもよい）などを、アクセス可能情報として送信する。

端末２２０ａでは、受信した情報を表示することにより（ステップＳ４６）、アクセスが可能になった旨とアクセス可能情報をユーザに知らせる。
このようにして、端末２２０ａからのｈｔｔｐアクセスは、サーバ３１１ａに振り分けられ、その他の端末からのｈｔｔｐアクセスは拒否されることになる。アクセスが可能になったことを知ったユーザは、ＬＡＮ３００内の端末やサーバと通信を開始する。
ＬＡＮ３００内の端末やサーバとの通信を行ったユーザが、通信を終了するときは、端末２２０ａから終了情報を入力し（ステップＳ５１）、認証サーバ１００に通信終了を通知する。

認証サーバ１００は、通信終了通知を受信すると、通信終了通知の送信元のアドレスから、通信中情報の端末側のアドレスに一致するものがあるか検索する（ステップＳ５２）。通信中情報に一致するものがあれば（ステップＳ５３）、関連付けられている中継装置２０に、関連付けられているアクセス制御ルールとアドレス変換ルールの削除を要求する。
中継装置２０のアクセス制御部２３は、アクセス制御ルールとアドレス変換ルールの削除要求を受信すると、受信したアクセス制御ルールをデータベース部２６のアクセス制御テーブルから削除する。また、アクセス制御部２３は、認証サーバ１００から受信したアドレス変換ルールを削除するように、アドレス変換部２４に要求する。アドレス変換部２４は、アクセス制御部２３からアドレス変換ルールの削除要求を受けると、該当するアドレス変換ルールをデータベース部２６のアドレス変換テーブルから削除する（ステップＳ５４）。

このようにして、ユーザからの通信終了通知により、中継装置２０のアクセス制御テーブルが図１５のように戻され、アドレス変換テーブルが図１６のように戻される。したがって、追加されたアクセス制御ルール及びアドレス変換ルールを利用した不正なアクセスを防止することができる。
また、中継装置２０は、アクセス制御ルールとアドレス変換ルールの追加や削除の要求を認証サーバ１００からのみ受け付ければよく、ポートスキャンによりポートを検知されること無くアクセス制御ルールとアドレス変換ルールを変更することができる。

さらに、認証サーバ１００で認証を行っているので、ＩＤとパスワードによる認証から、より高度な認証まで容易に行うことができる。
なお、端末２２０ａからの通信終了の通知により、アクセス制御ルールとアドレス変換ルールを削除したが、パケットの送受信が一定時間以上無くなったときや、通信開始時から一定時間経過したときに通信終了と判断して、アクセス制御ルールとアドレス変換ルールを削除するようにしてもよい。
また、認証サーバ１００にｈｔｔｐサーバとしての機能を持たせ、認証の受付やアクセス可能情報の表示や通信終了の通知などを、ホームページ上で行えるようにしてもよい。また、認証サーバ１００としてＳＩＰ（Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）サーバを用いてもよい。
また、アクセス制御ルールを、すべてのアクセスに対して通過と設定することで、アドレス変換装置として機能させることもできる。

実施例１から３では、アクセス制御技術とアドレス変換技術とを用いて、中継装置の機能構成と処理フローについて示した。本実施例では、アドレス変換技術のみを用いて、アドレス変換装置と処理フローについて示す。図２３は、アドレス変換装置の機能構成例を示すものである。アドレス変換装置３０は、ＷＡＮインターフェース部１１、ＬＡＮインターフェース部１２、データベース部３３、アドレス変換部３４、認証処理部３５から構成されている。

データベース部３３は、アドレス変換テーブルを含むアドレス変換のためのデータ、ユーザ認証のためのデータ等を蓄積している。
図２４にアドレス変換テーブルの一例を示す。また、図２５は、図２４のアドレス変換テーブルに、後述する送信元ＩＰアドレスをソースＩＰアドレスとして含むアドレス変換ルールが追加された後のアドレス変換テーブルの一例を示すものである。
図２４、図２５において、「ソースＩＰアドレス」の列は、ＷＡＮインターフェース部１１で受信したパケットの送信元ＩＰアドレスを示している（ただし、「ａｎｙ」の場合は任意のアドレスで良い。）。また、「ディスティネーションＩＰアドレス」の列は、ＷＡＮインターフェース部１１で受信したパケットの宛先ＩＰアドレスを示している。また、「プロトコル、ディスティネーションポート番号」の列は、ＷＡＮインターフェース部１１で受信したパケットのプロトコル及び宛先ポート番号を示している。また、「内部ＩＰアドレス」の列は、ＷＡＮインターフェース部１１で受信したパケットの送信元及び宛先が、当該行のそれぞれの値に一致した時に、そのパケットの宛先ＩＰアドレスに設定するＬＡＮ内のプライベートアドレスを示している。また、「プロトコル及びポート番号」の列は、ＷＡＮインターフェース部１１で受信したパケットの送信元及び宛先が、当該行のそれぞれの値に一致した時に、そのパケットの宛先ポート番号に設定するポート番号を示している。アドレス変換部３４は、アドレス変換テーブルに対するアドレス変換ルールの追加と削除を行うとともに、該アドレス変換テーブルに基づいてＷＡＮインターフェース部１１及びＬＡＮインターフェース部１２で受信したパケットのアドレス変換を行う。

すなわち、アドレス変換部３４は、ＷＡＮインターフェース部１１で受信したパケットについては、送信元ＩＰアドレスと宛先ＩＰアドレスにより前記アドレス変換テーブルを参照し、宛先ＩＰアドレスをＬＡＮ内のＩＰアドレス（内部ＩＰアドレス）に変換し、ＬＡＮインターフェース部１２を介してＬＡＮ側に送信する。
例えば、図２４の１行目では、送信元ＩＰアドレスに関係なく、宛先ＩＰアドレスが「１２３．１２３．１２３．１２３」でかつ宛先ポート番号が「ＴＣＰ４４３（ｈｔｔｐｓ）」であるパケットは、宛先ＩＰアドレスが「１９２．１６８．１００．５」に書き替えられ、宛先ポート番号はそのままでＬＡＮ側に送信される。

同様に、図２４の２行目では、送信元ＩＰアドレスに関係なく、宛先ＩＰアドレスが「１２３．１２３．１２３．１２３」でかつ宛先ポート番号が「ＴＣＰ２２（ＳＳＨ）」であるパケットは、宛先ＩＰアドレスが「１９２．１６８．１００．５」に書き替えられ、宛先ポート番号はそのままでＬＡＮ側に送信される。
また、アドレス変換部３４は、ＬＡＮインターフェース部１２で受信したパケットについては、パケットの宛先ＩＰアドレスをソースＩＰアドレスと読み替えた上で、パケットの送信元ＩＰアドレスと同じ内部ＩＰアドレスをアドレス変換テーブル内で検索し、パケットの送信元ＩＰアドレスをＷＡＮ内のグローバルＩＰアドレスに変換し、ＷＡＮインターフェース部１１を介してＷＡＮ側に送信する。

アドレス変換部３４では、前述したアドレス変換テーブルを上の行から受信したパケットの内容により参照し、一致すれば指定された動作を行い、そのパケットに対する処理は終了する。即ち、図２４、図２５のアドレス変換テーブルでは、上の行に設定された条件がより優先的に処理される条件となっている。
認証処理部３５は、アドレス変換部３４の要求により、ユーザの認証処理を行う。
図２６、図２７はアドレス変換装置の処理フローを示すフローチャートであり、以下、これに従って本アドレス変換装置の動作を詳細に説明する。

アドレス変換部３４は、ＷＡＮ側の端末装置２２０からＷＡＮインターフェース部１１を介して自装置のアドレス宛のｈｔｔｐのアクセス要求（通信の開始要求）パケットを受信する（ステップＳ６１）と、アクセス要求パケットの送信元ＩＰアドレスを送信元の端末装置のＩＰアドレスとして記憶し（ステップＳ６２）、ユーザの認証に必要なユーザの識別情報及びパスワードを入力させるためのＨＴＭＬ（Ｈｙｐｅｒ Ｔｅｘｔ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）ファイルを、アクセス要求元の端末装置２２０にＷＡＮインターフェース部１１を介して送信する（ステップＳ６３）。

アドレス変換部３４は、アクセス要求元の端末装置２２０からユーザの識別情報及びパスワードを受信する（ステップＳ６４）と、受信したユーザの識別情報及びパスワードを認証処理部３５に転送し、ユーザの認証を要求する（ステップＳ６５）。
認証処理部３５は、ユーザの識別情報及びパスワードを受信すると、データベース部３３に蓄積しているユーザの情報から、受信したユーザ識別情報と一致する識別情報を持つユーザを検索する。一致するユーザが見つかれば、蓄積しているそのユーザのパスワードと受信したパスワードを比較し、一致していれば、認証正常をアドレス変換部３４に送信する（ステップＳ６６）。一致するユーザが見つからなかった場合とパスワードが一致しなかった場合は、認証異常をアドレス変換部３４に送信する。なお、この際、ユーザに再度、ユーザの識別情報やパスワードの入力を求め、所定の回数繰り返しても一致しない場合に認証異常とするようにしても良い。

アドレス変換部３４は、認証処理部３５から認証正常を受信すると、アクセスしたいサーバのＬＡＮ内部におけるプライベートアドレスやプロトコル、ポート番号等を入力させるためのＨＴＭＬファイルをアクセス要求元の端末装置２２０にＷＡＮインターフェース部１１を介して送信する（ステップＳ６７）。
アクセス要求元の端末装置２２０からプライベートアドレスやプロトコル、ポート番号等を受信する（ステップＳ６８）と、アドレス変換部３４は、記録しているｈｔｔｐのアクセス要求パケットの送信元ＩＰアドレスをソースＩＰアドレス、受信したプライベートアドレスを内部ＩＰアドレス、プロトコル及びポート番号をプロトコル及びディスティネーションポート番号としたアドレス変換ルールを、データベース部３３のアドレス変換テーブルに追加する（ステップＳ６９）。

例えば、ｈｔｔｐのアクセス要求パケットの送信元ＩＰアドレスが「１１１．２２２．２３４．１２３」、宛先ＩＰアドレスが「１２３．１２３．１２３．１２３」、宛先ポート番号が「ＴＣＰ２２」のパケットの宛先ＩＰアドレスを、内部ＩＰアドレス「１９２．１６８．１００．４」に書き替えるようにする場合、図２５に示すように、図２４のテーブルの一番上の行に、ｈｔｔｐによりアクセスしてきた端末のアドレス変換ルールを追加する。
これにより、送信元ＩＰアドレスが「１１１．２２２．２３４．１２３」、宛先ポート番号が「ＴＣＰ２２」のパケットは、宛先ＩＰアドレスが「１９２．１６８．１００．４」に書き替えられてＬＡＮに送信され、それ以外の送信元ＩＰアドレスの宛先ポート番号が「ＴＣＰ２２」のパケットは、宛先ＩＰアドレスが「１９２．１６８．１００．５」に書き替えられてＬＡＮに送信されるようになる。

その後、アドレス変換部３４は、アクセス要求元の端末装置２２０に対して、認証が正常であったこと、アドレス変換ルールが設定されたこと、変換先のＬＡＮ内部のプライベートアドレス、プロトコルとポート番号等を表示するＨＴＭＬファイルを送信する（ステップＳ７０）。なお、このＨＴＭＬファイルには、端末があらかじめ定めた一定時間ごとに、中継装置１０ａにアクセスするためのプログラムが埋め込まれている。
アクセス要求元の端末装置２２０では、送信されたＨＴＭＬファイルを表示することにより、設定されたアドレス変換の情報を確認することができる。また、この後、端末装置２２０は、ＨＴＭＬファイル内に埋め込まれたスクリプトなどのプログラムにより、一定時間ごとに自動的に、アドレス変換装置３０へｈｔｔｐ通信を行う。

アドレス変換ルールの設定後、アドレス変換部３４は、ＷＡＮインターフェース部１１からパケットを受信する（ステップＳ７２，ステップＳ７４）と、その送信元ＩＰアドレス及び宛先ＩＰアドレスにより前記アドレス変換テーブルを参照し（ステップＳ７５）、宛先ＩＰアドレスをＬＡＮ内のＩＰアドレス（内部ＩＰアドレス）に変換し（ステップＳ７６）、ＬＡＮインターフェース部１２を介してＬＡＮに送信する。
また、アドレス変換部３４は、ＬＡＮインターフェース部１２からパケットを受信する（ステップＳ７２，ステップＳ７４）と、その内部ＩＰアドレスにより前記アドレス変換テーブルを参照する（ステップＳ７７）。次に、アドレス変換部３４は、パケットの送信元ＩＰアドレスを、内部ＩＰアドレスからＷＡＮ内のグローバルＩＰアドレスに変換し（ステップＳ７８）、ＷＡＮインターフェース部１１を介してＷＡＮに送信する。

このようにしてＬＡＮ内のサーバ（端末装置）との通信を行う。また、端末装置２２０のユーザが通信を終了する場合は、アドレス変換装置３０から受信したＨＴＭＬファイルの画面から、通信の終了のボタンを選択し、通信終了のパケットを送信するか、当該画面自体を閉じる。
アドレス変換装置３０のアドレス変換部３４は、アクセス要求元の端末装置２２０のＨＴＭＬ画面の終了により通信の切断を検出する（ステップＳ７１）か、通信終了のパケットを受信する（ステップＳ７３）と、図２５のように書き替えられていたアドレス変換テーブルから、追加されていたアドレス変換ルールを削除し（ステップＳ７９）、図２４の初期状態に戻す。

このように、本実施例では、ソースＩＰアドレスを含んだ条件によりアドレス変換ルールを設定することができるので、同じポート番号へのパケットでもソースＩＰアドレスごとに別々のサーバへ振り分けたり、ポート番号の無いプロトコルでもソースＩＰアドレスごとに別々の端末と通信を行わせたりすることができる。
また、ユーザのリクエストにより、または通信の切断により、変更したアドレス変換ルールの設定を元に戻しているので、変更した設定による誤ったアクセスを防ぐことができる。

なお、本実施例では、端末からアドレス変換装置へのアクセスにｈｔｔｐを使ったが、ｈｔｔｐｓやｔｅｌｎｅｔやＳＩＰ（Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）等を使ってもかまわない。また、本実施例では、ユーザの認証を行ったが、あらかじめ設定された端末からの要求に対しては認証要求を行わないようにしても良い。

本実施例では、本発明のアクセス制御技術のみを用いた技術を示す。ファイアウォール装置の機能構成例とファイアウォール方法の手順例を、それぞれ図２８と図２９に示す。
この実施の形態のファイアウォール装置４０は、インターネットなどの広域通信網（ＷＡＮ：Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）２００に接続され、ＷＡＮ２００とのパケットの送受信を行うＷＡＮインターフェース部１１と、ＬＡＮ３００とのパケットの送受信を行うＬＡＮインターフェース部１２と、ＷＡＮインターフェース部１１及びＬＡＮインターフェース部１２が受信したパケットを分析してアクセス制御を行うアクセス制御部４６と、アクセス制御部４６の要求により利用者（ユーザ）の認証処理を行う認証処理部４７と、アクセス制御のためのデータや認証のデータを蓄えているデータベース部４８とを備えている。

データベース部４８のアクセス制御テーブル（通過条件テーブル）４８ａには、図３０に示すようなテーブルが記憶されており、アクセス制御部４６は、このテーブルに基づいて、ＷＡＮインターフェース部１１で受信したパケットを、ＬＡＮインターフェース部１２を介してＬＡＮ３００側に転送するかを決定している。
図３０において、「ソースＩＰアドレス」の列は、ＷＡＮインターフェース部１１で受信したパケットの送信元ＩＰアドレスを示し、「ソースポート番号」の列は、ＷＡＮインターフェース部１１で受信したパケットの送信元ポート番号を示し、「ディスティネーションＩＰアドレス」の列は、ＷＡＮインターフェース部１１で受信したパケットの宛先ＩＰアドレスを示し、「プロトコル、ディスティネーションポート番号」の列は、ＷＡＮインターフェース部１１で受信したパケットの宛先ポート番号（ここでは、ポート番号に対応したプロトコル名により示している）を示し、「動作」の列は、ＷＡＮインターフェース部１１で受信したパケットの送信元情報と宛先情報が、通過条件テーブル（アクセス制御テーブル）４８ａ中のソースＩＰアドレス及びソースポート番号とディスティネーションＩＰアドレス及びプロトコル、ディスティネーションポート番号とそれぞれ一致した行に示される動作を、そのパケットに対して行うことを示している。

なお、「プロトコル、ディスティネーションポート番号」の列で使用されるプロトコル名とポート番号との対応はあらかじめ設定されている。また、「プロトコル、ディスティネーションポート番号」の列には数値、つまりポート番号そのものを設定してもかまわない。
例えば、図３０の通過条件の１行目では、ソースＩＰアドレス及びソースポート番号は「ａｎｙ（任意）」であるから、これらＩＰアドレス及びポート番号に関係なく、宛先ＩＰアドレスが「１１１．１１１．１１１．２」でかつ宛先ポート番号が「ｈｔｔｐ（Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｐｏｒｔ Ｐｒｏｔｏｃｏｌ、例えばＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）８０）」であるパケットは、ＬＡＮ１２に転送される（通過：ａｃｃｅｐｔ）。

図３０の通過条件の２行目では、送信元ＩＰアドレスが「１２３．１２３．１２３．１」で、宛先ＩＰアドレスの上位が「１１１．１１１．１１１」でかつ宛先ポート番号が「ｈｔｔｐｓ（Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ Ｓｅｃｕｒｉｔｙ、例えばＴＣＰ４４３）」であるパケットは、ＬＡＮ３００に転送され、３行目では、送信元及び宛先の欄はいずれも「ａｎｙ」であり、「動作」の欄は「廃棄」であるから、全てのパケットが廃棄される（廃棄：ｄｒｏｐ）。
アクセス制御部４６中の検索部４６ａは、このような通過条件テーブル４８ａを上の行から、受信したパケットの送信元及び送信先情報と一致するか検証し、一致すれば指定された動作を転送制御部４６ｂで行い、そのパケットに対する処理は終了する。この例では、図３０の通過条件テーブル４８ａに対し、上の行に設定された条件がより優先的に処理される条件となっている。

図２９も参照してアクセス制御部４６の動作を具体的に説明する。ファイアウォール装置４０のアドレス宛のｈｔｔｐｓの通過条件設定要求パケットを受信すると（ステップＳ８１）、ＷＡＮ２００に接続された送信元の利用者端末２２０と安全なセッション（ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）セッション）の確立をセッション確立・切断部４６ｃで行う（ステップＳ８２）。セッションが正常に確立されれば、セッション確立時に取得した送信元利用者端末２２０のＩＰアドレスを、例えばデータベース部４８に記憶する（ステップＳ８３）。また、通信情報生成部４６ｄの要求部４６ｄ１により、認証情報要求を利用者端末２２０へ送信する（ステップＳ８４）。例えばユーザの識別情報とパスワードを入力させるＨＴＭＬファイルを暗号化し、要求元の利用者端末２２０にＷＡＮインターフェース部１１を介して送信する。この例では要求元の利用者端末２２０のＩＰアドレスの他に、その条件設定要求パケット中に含まれる他の条件もデータベース部の通過条件テーブル（アクセス制御テーブル）４８ａに記憶する。

要求元利用者端末２２０から、暗号化されたユーザの識別情報とパスワードを受信すると（ステップＳ８５）、この暗号化された認証情報を復号化部４６ｅにより復号化を行い（ステップＳ８６）、復号化されたユーザの識別情報とパスワードを認証処理部４７に送信して、ユーザの認証を要求する（ステップＳ８７）。
認証処理部４７は、ユーザの識別情報とパスワードを受信すると、データベース部４８中の認証情報部４８ｂに蓄積してあるユーザの情報から、受信したユーザ識別情報と一致する識別情報を持つユーザを検索する。一致するユーザが見つかれば、認証情報部４８ｂに蓄積してあるそのユーザのパスワードと、受信したパスワードとを比較し、一致していれば、認証正常をアクセス制御部４６に送信する。一致するユーザがない場合、またはパスワードが一致しなかった場合は、認証処理部４７は認証異常をアクセス制御部４６に送信する。

アクセス制御部４６は、認証処理部４７から認証正常（合格）を受信すると（ステップＳ８８）、認証正常となったユーザの通過条件設定要求の情報に基づき、パケットの通過を許可する行を通過条件テーブル（アクセス制御テーブル）４８ａに追加する（ステップＳ８９）。
例えば、認証正常となったＩＰアドレス「１２３．１２３．１１１．１」の要求元利用者端末２２０に、ＩＰアドレス「１１１．１１１．１１１．３」のサーバ（例えばＬＡＮ３００に接続されたＷｅｂサーバ３１０）のｆｔｐ（Ｆｉｌｅ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）へのアクセスを許可する（通過させる）場合、図３１に示すように、図３０の通過条件テーブル２８ａの一番上の行に、要求元利用者端末２２０及びＷｅｂサーバ３１０のアドレス情報と「動作」が「通過」のアクセス制御ルール（通過条件）を追加する。一般の通過条件としては、送信元アドレスは「ａｎｙ」でも良いが、この例では要求元利用者端末２２０のＩＰアドレスも設定する。

次に、アクセス制御部４６は、認証が正常であったこと、アクセスが許可されたこと、アクセス可能情報（アクセスが許可されたサービス名（例えば、Ｗｅｂカメラなど）あるいはＩＰアドレスとポート番号）、通信状況（ＩＰアドレス「１２３．１２３．１１１．１」の利用者端末２２０と、ＩＰアドレス「１１１．１１１．１１１．３」、ポート番号「ｆｔｐ」のサーバ３１０とが通信中であること）などを表示するＨＴＭＬファイルを、通知情報生成部４６ｄの許可部４６ｄ２及び状況部４６ｄ３で生成し、暗号化部４６ｆで暗号化し、要求元利用者端末２２０に送信する（ステップＳ９０）。

利用者端末２２０では、このファイアウォール装置４０から送信されたＨＴＭＬファイルを復号化して表示することにより、アクセス可能情報や、アクセス状況を表示することができる。
このように確立した利用者端末２２０とＷｅｂサーバ３１０とのＳＳＬセッション中において、アクセス制御部４６は、利用者端末２２０からのアクセスを監視部４６ｇで監視し（ステップＳ９１）、利用者端末２２０からのアクセスの異常を異常検出部４６ｇ１で検出すると（ステップＳ９２）、その異常通知を通知情報生成部４６ｄの異常部４６ｄ４で生成し、そのＳＳＬセッションを通して利用者端末２２０へ送信する（ステップＳ９３）。具体的には、例えば以下の通りである。

（１）利用者端末からのパケットの単位時間当たりのトラヒック（例えば、ＭＢ／ｓなど）は、動画サービス、音声サービスなどのサービスごとにほぼ一定している。そこで、アクセス制御部４６は、ＳＳＬセッションが確立している端末からのパケットの単位時間当りのトラヒックを監視し、サービスごとにあらかじめ設定されたトラヒック量を超えたトラヒックが発生したときは、そのサービス名や発生したトラヒック量などを表示するＨＴＭＬファイルを、暗号化してその利用者端末２２０に送信する。利用者端末２２０では、送信されたＨＴＭＬファイルを復号化して表示することにより、異常と思われるアクセスの情報が表示され、その利用者端末２２０の利用者は不正なアクセスがあることを知ることができる。

（２）利用者端末２２０から、その利用者端末２２０に許可されていないサービスに対するアクセス要求があると、その数をサービス毎に計数しておき、その計数の値があらかじめ設定された値、例えば１を超えたときは、そのサービス名や計数値などを表示するＨＴＭＬファイルを暗号化してその利用者端末２２０に送信する。これを受信した利用者端末２２０では、送信されたＨＴＭＬファイルを復号化して表示することにより、その利用者はその利用者端末２２０とセッションを確立していないサーバまたは端末に対し、不正なアクセスがあったことを知ることができる。

（３）同一の利用者端末２２０からのファイアウォール装置４０へのｈｔｔｐｓのアクセス要求パケット（通過条件設定要求に基づくユーザ認証での異常の回数）を計数しておき、その計数の値があらかじめ設定された値を超えたときは、認証異常の回数が異常である旨とその計数値などを表示するＨＴＭＬファイルを暗号化してその利用者端末２２０に送信する。このような異常通知を受信した利用者端末２２０では、送信されたＨＴＭＬファイルを復号化して表示する。この表示によって、正規の利用者になりすました不正なアクセスがあった場合には、正規の利用者は不正なアクセスがあったことを知ることができる。

以上のようにしてアクセスを許可され、ＬＡＮ３００内のサーバ３１０との通信を行った利用者が、通信を終了するときは、ファイアウォール装置４０から受信し、その利用者端末２２０にＨＴＭＬファイルで表示された画面から、通信の終了のボタンを選択するか、ＳＳＬセッションを切断する。
ファイアウォール装置４０のアクセス制御部４６は、通信終了のパケットを受信した場合や、ＳＳＬセッションの切断を検出した場合には（ステップＳ９４）、図３１に示したように書き替えた通過条件テーブル４８ａを、図３０に示した元の状態に戻す（ステップＳ９５）。通信終了パケット受信の場合は、通過条件テーブル４８ａを元の状態に戻すと共に、そのＳＳＬセッションを切断する。

ステップＳ９４で通信が終了またはセッションが切断になっていなければ、ステップＳ８１に戻る。ステップＳ８１で通過条件設定要求がなければ、ステップＳ９１に飛びアクセス監視を行う。ステップＳ８８で認証が合格しなければ、ステップＳ９６でセッション確立・切断部４６ｃにより、そのＳＳＬセッションを切断してステップＳ８１に飛ぶ。
なおステップＳ９１，Ｓ９２及びＳ９３は通信状況監視ステップを構成している。また、図２８中において、制御部４９は各部を順次動作させることや、データベース部４８に対する読み出し書き込み、消去などを行う。

以上述べたように、この実施例では、ｈｔｔｐｓのセッション内でユーザ（利用者）の認証を行い、認証が正常であれば、そのユーザに対応したアクセス許可（通過条件）をそのｈｔｔｐｓセッションを要求してきたＩＰアドレスに追加設定しているので、ファイアウォール装置４０の外側からファイアウォール装置４０のセキュリティポリシー（通過条件）をより安全に変更することができる。しかもセッションが切断されると、その追加設定した通過条件を直ちに削除するため、不正なアクセスを防止できる。
また、この実施例では追加設定の通過条件に認証された通過条件設定要求元の端末のＩＰアドレス情報が含まれているので、この点からも不正アクセスを防止できる。

さらに、そのｈｔｔｐｓセッションにアクセスを許可したサービス名や、アクセスを許可したＩＰアドレスとの通信状況をユーザに表示しているので、これをユーザが確認することにより不正なアクセスを防ぐことができる。
また、ユーザの要求により、またはｈｔｔｐｓセッションの切断により、そのｈｔｔｐｓセッションを利用する通信が終了すれば直ちに変更したアクセス許可（通過条件）の設定状態を元に戻しているので、変更した通過条件設定を利用しての不正アクセスを防ぐことができる。

実施例１から５では利用者の端末単位で、アクセス制御ルール（通過条件）を定めたが、ネットワーク単位でのアクセス制御ルールの追加要求（通過条件設定要求）に対しても、この発明を適用できる。
本実施例では、ネットワーク単位でのアクセス制御ルール（通過条件）の追加方法を、実施例５で示した構成に適用した例を示す。例えば、図２８中に破線で示す家庭内のホームネットワーク２１０がＷＡＮ２００に接続され、このホームネットワーク２１０に複数の利用者端末２２０が接続されているとする。この場合、認証時に、ユーザの識別情報とパスワードとともにネットワーク単位での通過条件設定要求が送信され、ユーザのアクセス情報に基づき、ネットワーク単位でのアクセスを許可する設定がされる。つまり、アクセス制御部４６は、ＳＳＬセッション確立時に取得したＩＰアドレスのネットワークアドレスに対し、アクセスの許可（「動作」を「通過」にした通過条件）を設定する。

例えば、ネットワーク２１０に接続された利用者端末（ＩＰアドレスが１２３．１２３．１１１．０／２４（上位２４ビットが１２３．１２３．１１１、下位ビットが０，１，２，…，２５４のいずれか））に対して、ＩＰアドレス１１１．１１１．１１１．３のサーバ３１０のｆｔｐ（Ｆｉｌｅ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）へのアクセスを許可する場合、図３０に示した通過条件テーブル４８ａの一番上の行に、ネットワーク２１０のネットワークアドレス（ＩＰアドレスの上位２４ビットが１２３．１２３．１１１であるＩＰアドレス）をソースＩＰアドレスとする通過条件を追加する。追加後には、図３２のようになる。

このようにすることにより、ＳＳＬセッションが確立中はネットワーク２１０内の利用者端末２２０のいずれからのアクセスでも許可することができ、しかもネットワーク２１０内のブラウザを持たない利用者端末からも許可された宛先に対しアクセスできるようになる。なお、通信状況はそのＳＳＬセッション確立要求、つまり通過条件設定要求を行ったブラウザを持つ利用者端末へ送る。

実施例６は、実施例５のファイアウォール装置４０に対して、ネットワーク単位でのアクセス制御ルール（通過条件）の追加を行ったが、本実施例では、実施例１の中継装置１０に対して、ネットワーク単位でのアクセス制御ルール（通過条件）の追加を行う場合を示す。
例えば、図２中に破線で示す家庭内のホームネットワーク２１０がＷＡＮ２００に接続され、このホームネットワーク２１０に複数の利用者端末２２０が接続されているとする。この場合、認証時に、ユーザの識別情報とパスワードとともにネットワーク単位での通過条件設定要求が送信され、ユーザのアクセス情報に基づき、ネットワーク単位でのアクセスを許可する設定がされる。つまり、アクセス制御部１３は、ＳＳＬセッション確立時に取得したＩＰアドレスのネットワークアドレスに対し、アクセスの許可（「動作」を「通過」にした通過条件）を設定する。

例えば、ネットワーク２１０に接続された利用者端末（ＩＰアドレスが１２３．１２３．１１１．０／２４（上位２４ビットが１２３．１２３．１１１、下位ビットが０，１，２，…，２５４のいずれか））に対して、ＩＰアドレス１１１．１１１．１１１．３のサーバ３１０のｆｔｐ（Ｆｉｌｅ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）へのアクセスを許可する場合、図３に示したアクセス制御テーブルの一番上の行に、ネットワーク２１０のネットワークアドレス（ＩＰアドレスの上位２４ビットが１２３．１２３．１１１であるＩＰアドレス）をソースＩＰアドレスとする通過条件を追加する。追加後には、図３３のようになる。

このようなネットワーク単位でのアクセス制御ルールの追加をした上で、ネットワーク２１０の個々の端末２２０ごとにアドレス変換ルールを追加する方法もある。
このようにすることにより、ＳＳＬセッションが確立中はネットワーク２１０内の利用者端末２２０のいずれからのアクセスでも許可することができ、しかもネットワーク２１０内のブラウザを持たない利用者端末からも許可された宛先に対しアクセスできるようになる。

実施例５または６に対する追加の処理として、以下の処理がある。利用者端末２２０のＩＰアドレスまたネットワークアドレスに対する通過条件が追加され、利用者端末２２０とのＳＳＬセッションが確立している時に、その利用者端末２２０から異なる宛先への接続を要求するパケットを受信することも考えられる。具体的には、ファイアウォール装置４０とのＳＳＬセッションが確立している利用者端末の利用者が、例えば現に受けているサービス以外のサービスを受けたい場合などである。このような場合には、すでに確立しているＳＳＬセッションにより、新しい接続要求を許可するか否かをその利用者端末に問い合わせるようにしてもよい。

具体的には、利用者端末２２０は、確立中のＳＳＬセッションを用いて新しい通過条件設定要求を、アクセス制御部４６に送信する。アクセス制御部４６は、図２９中のステップＳ８１の次に破線で示すように、追加設定処理Ｓ９７を行う。この追加設定処理手順（ステップＳ９７）の例を図３４に示す。アクセス制御部４６は、受信した通過条件設定要求の要求元ＩＰアドレスが、確立中のＳＳＬセッションの利用者端末２２０からの追加設定要求であるかを調べる（ステップＳ９７ａ）。確立中のＳＳＬセッションの利用端末２２０からの追加設定要求であれば、その利用者端末２２０に対して、アクセス可能情報やアクセス状況などとともに追加設定要求のパケットを受信した旨と、その追加設定要求の宛先のＩＰアドレス及びポート番号と、この追加設定要求を許可するか否かを選択させるボタンを表示するＨＴＭＬファイルを通知情報生成部４６ｄで生成し、暗号化してそのＳＳＬセッションを用いて利用者端末２２０へ送信する（ステップＳ９７ｂ）。

これを受信した利用者端末２２０では、その送信されたＨＴＭＬファイルを復号化して表示することにより、追加設定要求が受信されたことが利用者端末２２０の利用者に通知される。したがって、その追加設定要求が利用者の承知しているものであるかをその利用者に確認させることができる。
要求に対する回答が受信されると（ステップＳ９７ｃ）、アクセス制御部４６でその回答をチェックする。その利用者端末２２０からの回答が、「その追加設定を許可する。（追加通過条件設定を認める。）」であれば（ステップＳ９７ｄ）、アクセス制御部４６は、その追加設定要求の通過条件を通過条件テーブル４８ａに追加設定する（ステップＳ９７ｅ）。その後は、追加された通過条件を満すパケットは、既に確立しているＳＳＬセッションにより、ＬＡＮ内の宛先のサーバに転送される。なお、ステップＳ９７ｄで利用者端末からの回答が、「接続を拒否する。」であれば、アクセス制御部４６は、新たな接続要求（追加設定要求）のパケットを廃棄する（ステップＳ９７ｆ）。
上記の方法では、異なるサービスを提供するサーバへの接続のために、確立済のＳＳＬセッションを利用して、通過条件テーブル４８ａに新しい通過条件を追加した。別の方法として、以下のように処理することもできる。アクセス制御部４６が図３４に示したステップＳ９７ａ，Ｓ９７ｂ，Ｓ９７ｃ及びＳ９７ｄの処理を行い、ステップＳ９７ｄの回答が許可であれば、そのサービス要求パケットを対応するサーバへ転送する（ステップＳ９７ｅの括弧書）ようにしてもよい。つまり、確立したＳＳＬセッションを用いて、要求元の利用者端末２２０からの追加条件設定要求や他宛先へのアクセス要求などに対しては、認証処理を特に行うことなく、既に確立済のＳＳＬセッションを用いて宛先サーバへ転送させてもよい。

上記の方法は、新しい接続要求を許可するか否かを、ＳＳＬセッションを用いてその利用者端末２２０の利用者に問い合わせるので、不正なアクセスを防ぐことができる。
なお、この実施例５から７では、利用者端末からの安全なセッションとしてｈｔｔｐｓを用いたが、ＳＳＨ（Ｓｅｃｕｒｅ Ｓｈｅｌｌ）などによる安全なセッションを使っても良い。また、ファイアウォール装置４０に、図２８に破線で示すようにサーバ３１０が直接接続されていてもよい。また、通過条件設定要求があれば、その要求元端末と安全なセッションを先ず確立し、その後認証処理を行ったが、先ず認証処理を行ってもよい。つまりステップＳ８１で通過条件設定要求が受信されると図２９中に破線で示すように直ちにステップＳ８４に移り、認証処理を行い、その認証に合格すれば、ステップＳ８９でデータベース部４８にその通過条件を設定し、かつ要求元端末との間に安全なセッションを確立してもよい。また、認証処理部４７をファイアウォール装置４０内に設けたが、外部に設けてもよいし、例えばＬＡＮ３００に接続された認証サーバであってもよい。その場合はデータベース部４８から認証情報部４８ｂは省略される。さらに認証処理としてはユーザ識別情報及びパスワードを要求し、これが認証情報部４８ｂ内に在るかないかで認証の合格か否かを決定したが、認証サーバを用いることで、より安全度が高い認証方法を利用することも可能となる。

実施例１から８に示した中継装置、アドレス変換装置、ファイアウォール装置（アクセス制御装置）をコンピュータにより機能させてもよい。この場合は各処理フローをコンピュータに実行させるプログラムを、コンピュータ内にＣＤ−ＲＯＭ、磁気ディスク、半導体記憶装置などの記録媒体からインストールし、または通信回線を介してダウンロードして、そのコンピュータにそのプログラムを実行させればよい。

Claims (25)

1. グローバルネットワークでのアドレスを持たないプライベートネットワークの装置また
   はサーバが、前記グローバルネットワークを介して通信を行うための中継装置であって、
   前記グローバルネットワークとの通信を行うＷＡＮインターフェース部と、
   前記プライベートネットワークとの通信を行うＬＡＮインターフェース部と、
   送信元の装置または送信元のネットワークごとに定めたファイアウォール機能のルールであるアクセス制御ルールに従って、前記グローバルネットワークから前記プライベートネットワークへのアクセスを制御する手段を有するアクセス制御部と、
   前記グローバルネットワーク側の装置からの情報を前記プライベートネットワーク側の装置に伝えるために、アドレス変換テーブルの上の行から検索して当該情報に該当するアドレス変換ルールに従ってアドレスの変換を行う手段と、
   前記プライベートネットワーク側の装置からの情報を前記グローバルネットワーク側の装置に伝えるために、送信元の装置ごとに定めたルールに従ってアドレスの変換を行う手段と
   を有するアドレス変換部と、
   前記アクセス制御ルールと、前記アドレス変換ルールから構成される前記アドレス変換テーブルとを記録するデータベース部と、
   を備え、
   前記アドレス変換ルールは、
   グローバルネットワーク側の送信元アドレスまたは任意の送信元アドレスを示す値からなる送信元及び宛先と、プライベートネットワーク側の宛先とを対応付けており、
   前記アドレス変換ルールの前記グローバルネットワーク側の送信元に送信元アドレスが設定されている場合は、前記ＷＡＮインターフェース部で受信したパケットの送信元アドレス及び宛先が、前記アドレス変換ルールの前記グローバルネットワーク側の送信元アドレス及び宛先と一致した場合に、
   当該パケットの宛先を前記プライベートネットワーク側の宛先に変換し、
   前記アドレス変換ルールの前記グローバルネットワーク側の送信元に任意の送信元アドレスを示す値が設定されている場合は、前記ＷＡＮインターフェース部で受信したパケットの宛先が、前記アドレス変換ルールの前記グローバルネットワーク側の宛先と一致した場合に、
   当該パケットの宛先を前記プライベートネットワーク側の宛先に変換するものである
   ことを特徴とする中継装置。
2. 請求項１記載の中継装置であって、
   前記グローバルネットワーク側の装置からのアクセス許可の依頼を受けると、認証処理を行う認証処理部と、
   前記認証処理部が認証を行うために用いる利用者情報も記録する前記データベース部と、
   前記認証が正常に終了した場合には、送信元の装置または送信元のネットワークごとに定めたファイアウォール機能のルールであるアクセス制御ルールを前記データベース部に追加する手段と、
   あらかじめ定めた通信終了の判断基準を満足すると、当該追加したアクセス制御ルールを前記データベース部から削除する手段も
   有する前記アクセス制御部と、
   前記認証が正常に終了した場合には、前記グローバルネットワーク側の装置を送信元とするアドレス変換ルールを前記データベース部の前記アドレス変換テーブルに追加する手段と、
   あらかじめ定めた通信終了の判断基準を満足すると、当該追加したアドレス変換ルールを前記データベース部の前記アドレス変換テーブルから削除する手段も
   有する前記アドレス変換部と、
   を備える中継装置。
3. 請求項１記載の中継装置であって、
   グローバルネットワーク側の装置の認証を行う認証サーバからの要求があると、送信元の装置または送信元のネットワークごとに定めたファイアウォール機能のルールであるアクセス制御ルールを前記データベース部に追加する手段と、
   あらかじめ定めた通信終了の判断基準を満足すると、当該追加したアクセス制御ルールを前記データベース部から削除する手段も
   有する前記アクセス制御部と、
   前記認証サーバからの要求があると、前記グローバルネットワーク側の装置を送信元とするアドレス変換ルールを前記データベース部の前記アドレス変換テーブルに追加する手段と、
   あらかじめ定めた通信終了の判断基準を満足すると、当該追加したアドレス変換ルールを前記データベース部の前記アドレス変換テーブルから削除する手段も
   有する前記アドレス変換部と、
   を備える中継装置。
4. 請求項３記載の中継装置へのアクセスを許可する認証サーバであって、
   前記グローバルネットワーク側の装置及び前記中継装置との通信を行うインターフェース部と、
   前記グローバルネットワークの装置からの前記中継装置へのアクセス許可の依頼を受けると、認証処理を行う認証処理部と、
   前記認証処理部での認証が合格した場合に、前記グローバルネットワークの装置からのパケットのファイアウォール機能のルールであるアクセス制御ルールと前記グローバルネットワーク側の装置を送信元とするアドレス変換ルールの追加を、前記中継装置へ要求する手段と、
   あらかじめ定めた通信終了の判断基準を満足すると、当該追加したアクセス制御ルールとアドレス変換ルールの削除を、前記中継装置へ要求する手段とを有する制御部と
   前記認証処理部が認証を行うために用いる利用者情報と、追加を要求したアクセス制御ルールとアドレス変換ルールとを関連つける情報とを記録するデータベース部と
   を備える認証サーバ。
5. 請求項１から３のいずれかに記載の中継装置であって、
   プライベートネットワーク側の装置からの通信開始要求があると、送信元の装置ごとに定めたファイアウォール機能のルールであるアクセス制御ルールを前記データベース部に追加する手段と、
   あらかじめ定めた通信終了の判断基準を満足すると、当該追加したアクセス制御ルールを前記データベース部から削除する手段も有する前記アクセス制御部と、
   プライベートネットワーク側の装置からの通信開始要求があると、送信元の装置ごとに定めたルールを前記データベース部に追加する手段と、
   あらかじめ定めた通信終了の判断基準を満足すると、当該追加したルールを前記データベース部から削除する手段も有する前記アドレス変換部と、
   を備える中継装置。
6. グローバルネットワークでのアドレスを持たないプライベートネットワークの装置また
   はサーバが、前記グローバルネットワークを介して通信を行うためのアドレス変換装置であって、
   前記グローバルネットワークとの通信を行うＷＡＮインターフェース部と、
   前記プライベートネットワークとの通信を行うＬＡＮインターフェース部と、
   前記グローバルネットワーク側の装置からの情報を前記プライベートネットワーク側の装置に伝えるために、アドレス変換テーブルの上の行から検索して当該情報に該当するアドレス変換ルールに従ってアドレスの変換を行う手段と、
   前記プライベートネットワーク側の装置からの情報を前記グローバルネットワーク側の装置に伝えるために、送信元の装置ごとに定めたルールに従ってアドレスの変換を行う手段と
   を有するアドレス変換部と、
   前記アドレス変換ルールから構成される前記アドレス変換テーブルを記録するデータベース部と、
   を備え、
   前記アドレス変換ルールは、
   グローバルネットワーク側の送信元アドレスまたは任意の送信元アドレスを示す値からなる送信元及び宛先と、プライベートネットワーク側の宛先とを対応付けており、
   前記アドレス変換ルールの前記グローバルネットワーク側の送信元に送信元アドレスが設定されている場合は、前記ＷＡＮインターフェース部で受信したパケットの送信元アドレス及び宛先が、前記アドレス変換ルールの前記グローバルネットワーク側の送信元アドレス及び宛先と一致した場合に、当該パケットの宛先を前記プライベートネットワーク側の宛先に変換し、
   前記アドレス変換ルールの前記グローバルネットワーク側の送信元に任意の送信元アドレスを示す値が設定されている場合は、前記ＷＡＮインターフェース部で受信したパケットの宛先が、前記アドレス変換ルールの前記グローバルネットワーク側の宛先と一致した場合に、当該パケットの宛先を前記プライベートネットワーク側の宛先に変換するものである
   ことを特徴とするアドレス変換装置。
7. 請求項６記載のアドレス変換装置であって、
   グローバルネットワーク側の装置からの通信開始要求があると、前記グローバルネットワーク側の装置を送信元とするアドレス変換ルールを前記データベース部の前記アドレス変換テーブルに追加する手段と、
   プライベートネットワーク側の装置からの通信開始要求があると、送信元の装置ごとに定めたルールを前記データベース部に追加する手段と、
   あらかじめ定めた通信終了の判断基準を満足すると、当該追加したルールを前記データベース部から削除する手段も
   有する前記アドレス変換部と、
   を備えるアドレス変換装置。
8. 請求項７記載のアドレス変換装置であって、
   グローバルネットワーク側の装置からの通信開始要求があると、認証処理を行う認証処理部と、
   前記認証処理部が認証を行うために用いる利用者情報も記録する前記データベース部と、
   グローバルネットワーク側の装置からの通信開始要求に対しては、前記認証が正常に終了した場合に限り、前記グローバルネットワーク側の装置を送信元とするアドレス変換ルールを前記データベース部の前記アドレス変換テーブルに追加する前記アドレス変換部と、
   を備えるアドレス変換装置。
9. 請求項７記載のアドレス変換装置であって、
   グローバルネットワーク側の装置からの通信開始要求に対しては、認証処理を行う認証サーバからの要求がある場合に限り、前記グローバルネットワーク側の装置を送信元とするアドレス変換ルールを前記データベース部の前記アドレス変換テーブルに追加する前記アドレス変換部
   を備えるアドレス変換装置。
10. 請求項９記載のアドレス変換装置へのアクセスを許可する認証サーバであって、
    前記グローバルネットワーク側の装置及び前記アドレス変換装置との通信を行うインターフェース部と、
    前記グローバルネットワークの装置からの前記アドレス変換装置へのアクセス許可の依頼を受けると、認証処理を行う認証処理部と、
    前記認証処理部での認証が合格した場合に、前記グローバルネットワークの装置を送信元とするアドレス変換ルールの追加を、前記アドレス変換装置へ要求する手段と、
    あらかじめ定めた通信終了の判断基準を満足すると、当該追加したアドレス変換ルールの削除を、前記アドレス変換装置へ要求する手段と
    を有する制御部と
    前記認証処理部が認証を行うために用いる利用者情報を記録するデータベース部と
    を備える認証サーバ。
11. 請求項１記載の中継装置であって、
    前記アクセス制御ルールおよび前記アドレス変換ルールが、送信元の装置のＩＰアドレスまたは送信元のネットワークのＩＰアドレスを用いた条件を含む
    ことを特徴とする中継装置。
12. 請求項１１記載の中継装置であって、
    前記グローバルネットワーク側の装置からのアクセス許可の依頼を受けると、認証処理を行う認証処理部と、
    前記認証処理部が認証を行うために用いる利用者情報も記録する前記データベース部と、
    前記認証が正常に終了した場合には、送信元の装置または送信元のネットワークごとに定めたファイアウォール機能のルールであるアクセス制御ルールを前記データベース部に追加する手段と、
    あらかじめ定めた通信終了の判断基準を満足すると、当該追加したアクセス制御ルールを前記データベース部から削除する手段も
    有する前記アクセス制御部と、
    前記認証が正常に終了した場合には、前記グローバルネットワーク側の装置を送信元とするアドレス変換ルールを前記データベース部の前記アドレス変換テーブルに追加する手段と、
    あらかじめ定めた通信終了の判断基準を満足すると、当該追加したアドレス変換ルールを前記データベース部の前記アドレス変換テーブルから削除する手段も
    有する前記アドレス変換部と、
    を備える中継装置。
13. 請求項２、３、５、１２のいずれかに記載の中継装置であって、
    あらかじめ定めた一定時間ごとに当該中継装置に信号を送るプログラムを埋め込んだファイルを装置に送信する手段も有し、
    前記あらかじめ定めた通信終了の判断基準とは、
    通信終了のパケットを受信したこと、装置からの前記信号が一定時間送信されてこないことである
    ことを特徴とする中継装置。
14. 請求項２記載の中継装置であって、
    前記データベース部に追加されるアドレス変換ルールの送信元は、前記認証が正常に終了した前記グローバルネットワーク側の装置のＩＰアドレスである
    ことを特徴とする中継装置。
15. 請求項４記載の認証サーバであって、
    前記追加を要求するアドレス変換ルールの送信元は、前記認証が合格した前記グローバルネットワーク側の装置のＩＰアドレスである
    ことを特徴とする認証サーバ。
16. 請求項６記載のアドレス変換装置であって、
    前記アドレス変換ルールが、送信元の装置のＩＰアドレスまたは送信元のネットワークのＩＰアドレスを用いた条件を含む
    ことを特徴とするアドレス変換装置。
17. 請求項１６記載のアドレス変換装置であって、
    グローバルネットワーク側の装置からの通信開始要求があると、前記グローバルネットワーク側の装置を送信元とするアドレス変換ルールを前記データベース部の前記アドレス変換テーブルに追加する手段
    と、
    プライベートネットワーク側の装置からの通信開始要求があると、送信元の装置ごとに定めたルールを前記データベース部に追加する手段と、
    あらかじめ定めた通信終了の判断基準を満足すると、当該追加したアドレス変換ルールを前記データベース部の前記アドレス変換テーブルから削除する手段も
    有する前記アドレス変換部と、
    を備えるアドレス変換装置。
18. 請求項７から９、１７のいずれかに記載のアドレス変換装置であって、
    あらかじめ定めた一定時間ごとに当該アドレス変換装置に信号を送るプログラムを埋め込んだファイルを装置に送信する手段も有し、
    前記あらかじめ定めた通信終了の判断基準とは、
    通信終了のパケットを受信したこと、装置からの前記信号が一定時間送信されてこないことである
    ことを特徴とするアドレス変換装置。
19. 請求項８記載のアドレス変換装置であって、
    前記データベース部に追加されるアドレス変換ルールの送信元は、前記認証が正常に終了した前記グローバルネットワーク側の装置のＩＰアドレスである
    ことを特徴とするアドレス変換装置。
20. 請求項１０記載の認証サーバであって、
    前記追加を要求するアドレス変換ルールの送信元は、前記認証が合格した前記グローバルネットワーク側の装置のＩＰアドレスである
    ことを特徴とする認証サーバ。
21. グローバルネットワークでのアドレスを持たないプライベートネットワークの装置が、
    前記グローバルネットワークを介して通信を行うためのアドレス変換方法であって、
    あらかじめグローバルネットワーク側の送信元アドレスまたは任意の送信元アドレスを示す値からなる送信元及び宛先と、プライベートネットワーク側の宛先とを対応付けたアドレス変換ルールをデータベース部のアドレス変換テーブルに記録しておき、
    前記グローバルネットワーク側からのパケットをＷＡＮインターフェース部が受信すると、
    アドレス変換部で、前記アドレス変換テーブルの上の行から検索して、ＷＡＮインターフェース部が受信したパケットに該当するアドレス変換ルールに従ってアドレス変換するものであり、
    前記アドレス変換ルールの前記グローバルネットワーク側の送信元に送信元アドレスが設定されている場合は、前記ＷＡＮインターフェース部で受信したパケットの送信元アドレス及び宛先が、前記アドレス変換ルールの前記グローバルネットワーク側の送信元アドレス及び宛先と一致した場合に、当該パケットの宛先を前記プライベートネットワーク側の宛先に変換し、
    前記アドレス変換ルールの前記グローバルネットワーク側の送信元に任意の送信元アドレスを示す値が設定されている場合は、前記ＷＡＮインターフェース部で受信したパケットの宛先が、前記アドレス変換ルールの前記グローバルネットワーク側の宛先と一致した場合に、当該パケットの宛先を前記プライベートネットワーク側の宛先に変換して、
    ＬＡＮインターフェース部が、当該アドレス変換されたパケットを前記プライベートネットワーク側に伝え、
    前記プライベートネットワーク側からのパケットをＬＡＮインターフェース部が受信すると、
    アドレス変換部で、送信元の装置ごとに定めたルールに従って送信元アドレスを変換し、
    ＷＡＮインターフェース部が、当該アドレス変換されたパケットを前記グローバルネットワーク側に伝える
    ことを特徴とするアドレス変換方法。
22. グローバルネットワークでのアドレスを持たないプライベートネットワークの装置が、
    前記グローバルネットワークを介して通信を行うためのアドレス変換方法であって、
    あらかじめグローバルネットワーク側の送信元アドレスまたは任意の送信元アドレスを示す値からなる送信元及び宛先と、プライベートネットワーク側の宛先とを対応付けたアドレス変換ルールから構成されるアドレス変換テーブルをデータベース部に記録しておき、
    前記グローバルネットワーク側からのパケットをＷＡＮインターフェース部が受信した場合に、
    認証処理部で認証処理を行い、認証が合格すると、
    前記アドレス変換部で、前記アドレス変換テーブルの上の行から検索して、ＷＡＮインターフェース部が受信したパケットに該当するアドレス変換ルールに従ってアドレス変換するものであり、
    前記アドレス変換ルールのグローバルネットワーク側の送信元に送信元アドレスが設定されている場合は、前記パケットの送信元アドレス及び宛先と、前記アドレス変換ルールの前記グローバルネットワーク側の送信元アドレス及び宛先が一致するアドレス変換ルールがデータベース部の前記アドレス変換テーブルに記録されていることを調べ、
    前記アドレス変換ルールのグローバルネットワーク側の送信元に任意の送信元アドレスを示す値が設定されている場合は、前記パケットの宛先と、前記アドレス変換ルールの前記グローバルネットワーク側の宛先が一致するアドレス変換ルールがデータベース部の前記アドレス変換テーブルに記録されていることを調べ、
    一致するアドレス変換ルールが存在する場合は、当該アドレス変換ルールに従って前記パケットの宛先をプライベートネットワーク側の宛先に変換し、
    一致するアドレス変換ルールが存在しない場合は、アドレス変換ルールを前記データベース部の前記アドレス変換テーブルに追加して、当該追加したアドレス変換ルールに従って前記パケットの宛先をプライベートネットワーク側の宛先に変換し、
    ＬＡＮインターフェース部が、当該アドレス変換されたパケットを前記プライベートネットワーク側に伝え、
    前記プライベートネットワーク側からのパケットをＬＡＮインターフェース部が受信
    した場合に、
    前記アドレス変換部で、前記パケットの送信元と前記アドレス変換ルールのプライベートネットワーク側の宛先とが一致するアドレス変換ルールがデータベース部に記録されていることを調べ、
    一致するアドレス変換ルールが存在する場合は、当該アドレス変換ルールに従って前記パケットの送信元をＷＡＮインターフェース部のグローバルネットワーク内のアドレスに変換し、
    一致するアドレス変換ルールが存在しない場合は、アドレス変換ルールを前記データベース部に追加して、当該追加したアドレス変換ルールに従って前記パケットの送信元をＷＡＮインターフェース部のグローバルネットワーク内のアドレスに変換し、
    ＷＡＮインターフェース部が、当該アドレス変換されたパケットを前記グローバルネットワーク側に伝え
    あらかじめ定めた通信終了の判断基準を満足すると、
    前記アドレス変換部で追加したアドレス変換ルールがある場合には、当該アドレス変換ルールを前記データベース部の前記アドレス変換テーブルから削除する
    ことを特徴とするアドレス変換方法。
23. 請求項２２記載のアドレス変換方法であって、
    認証処理部で認証処理を行う代わりに、前記グローバルネットワーク側の装置の認証を行う認証サーバからの要求があると、認証が合格したと判断する
    ことを特徴とするアドレス変換方法。
24. 請求項２２または２３記載のアドレス変換方法であって、
    前記認証が合格すると、または前記認証が合格したと判断すると、
    あらかじめ定めた一定時間ごとに信号を送るプログラムを埋め込んだファイルを装置に送信する過程も有し、
    前記あらかじめ定めた通信終了の判断基準とは、
    通信終了のパケットを受信したこと、装置からの前記信号が一定時間送信されてこないことである
    ことを特徴とするアドレス変換方法。
25. 請求項２２または２３記載のアドレス変換方法であって、
    前記データベース部の前記アドレス変換テーブルに追加されるアドレス変換ルールの送信元は、前記認証が合格した、または前記認証が合格したと判断した前記グローバルネットワーク側の装置のＩＰアドレスである
    ことを特徴とするアドレス変換方法。

Images