CN113348689B - 中继方法、中继系统以及中继用程序 - Google Patents

Abstract

中继系统S的连接管理装置1一旦从客户终端4获得识别对象终端的终端识别信息，则确定对通信进行中继的第一中继装置2，并确定用于客户终端4与第一中继装置2连接的连接用信息。连接管理装置1将确定的连接用信息和终端识别信息相关联地存储在存储部中，并且向客户终端4通知确定的连接用信息。所确定的第一中继装置2一旦从客户终端4接收到基于连接用信息的访问，则基于与连接用信息相关联的终端识别信息，对客户终端4与对象终5的之间通信进行中继。

Description

中继方法、中继系统以及中继用程序

技术领域

本发明涉及对客户终端与对象终端之间的通信进行中继的中继方法、中继系统以及中继用程序。

背景技术

在进行IoT(Internet of Things，物联网)系统的维护、运用、管理时，能够对作为IoT设备的对象终端进行访问。作为用户访问对象终端的方法，在专利文献1中公开了根据来自用户的请求而通知分配给对象终端的全局IP地址的系统。

现有技术文献

专利技术文献

专利技术文献1：日本专利第5973049号公报

发明内容

发明要解决的课题

通过向对象终端分配全局IP地址，用户能够使用全局IP地址容易地访问对象终端。但是，如果向对象终端分配全局IP地址，则由于用户以外的第三者能够访问对象终端，因此产生安全方面的风险。

因此，鉴于上述问题而做出，其目的在于提供一种能够安全地访问对象终端的中继方法、中继系统以及中继用程序。

解决问题所需的手段

本发明的第一方式的中继方法，由对客户终端与所述客户终端的通信目的地即对象终端之间的通信进行中继的中继系统执行，该方法具有以下步骤：获得步骤，从所述客户终端获得识别所述对象终端的终端识别信息；确定步骤，一旦获得所述终端识别信息，则在所述中继系统具备的多个中继装置中确定对所述通信进行中继的第一中继装置，并确定用于所述客户终端与所述第一中继装置连接的连接用信息；存储控制步骤，将所述连接用信息和所述终端识别信息相关联地存储在存储部中；通知步骤，向所述客户终端通知所确定的所述连接用信息；以及中继步骤，所述第一中继装置一旦从所述客户终端接收到基于所述连接用信息的访问，则基于在所述存储部中与该连接用信息相关联的所述终端识别信息，对所述客户终端与所述对象终端之间的通信进行中继。

在所述中继步骤中，所述第一中继装置可基于存储在所述存储部中的所述终端识别信息确定与所述对象终端连接的第二中继装置，并经由所确定的所述第二中继装置对所述客户终端与所述对象终端之间的通信进行中继。

所述中继系统可包括构成移动网络的多个中继装置，并且所述对象终端与所述移动网络连接，所述对象终端分配有在所述移动网络的内部可访问的私有地址，在所述中继步骤中，所述第一中继装置基于所述对象终端的私有地址进行自身与所述对象终端的通信，由此对所述客户终端与所述对象终端之间的通信进行中继。

在所述存储控制步骤中，所述中继系统可进一步将在与所述对象终端的通信中使用的所述对象终端的端口号与所述连接用信息相关联地存储在所述存储部中，在所述中继步骤中，所述第一中继装置基于在所述存储部中与所述连接用信息相关联的终端识别信息以及所述对象终端的端口号，建立与所述对象终端的连接。

在所述获得步骤中，所述中继系统还可从所述客户终端获得所述对象终端的端口号，在所述存储控制步骤中，所述中继系统进一步将所获得的所述对象终端的端口号与所述连接用信息相关联地存储在所述存储部中。

在所述存储控制步骤中，所述中继系统可将包含所述第一中继装置的端口号的所述连接用信息存储在所述存储部中，在所述通知步骤中，所述中继系统向所述客户终端通知包含所述第一中继装置的地址以及端口号的所述连接用信息，在所述中继步骤中，所述第一中继装置从所述客户终端接收基于包含在所述连接用信息中的所述第一中继装置的地址以及端口号的访问。

在所述存储控制步骤中，所述中继系统可进一步将有效期信息与所述连接用信息相关联地存储在所述存储部中，所述有效期信息表示所述客户终端和所述对象终端之间能够进行通信的期限，在所述中继步骤中，所述第一中继装置在从所述客户终端接收到基于所述连接用信息的访问的情况下，一旦基于在所述存储部中与该连接用信息相关联的有效期信息而判定为能够进行通信，则对所述客户终端与所述对象终端之间的通信进行中继，一旦判定为不能进行通信，则切断所述客户终端与所述对象终端之间的通信的中继。

在所述获得步骤中，所述中继系统还可从所述客户终端获得所述有效期信息，在所述存储控制步骤中，所述中继系统可进一步将所获得的所述有效期信息与所确定的所述连接用信息相关联地存储在所述存储部中。

在所述获得步骤中，所述中继系统还可从所述客户终端获得地址信息，所述地址信息表示与所述对象终端进行通信时的所述客户终端的地址，在所述存储控制步骤中，所述中继系统进一步将所获得的所述地址信息与所确定的所述连接用信息相关联地存储在所述存储部中，在所述中继步骤中，与所述连接用信息对应的所述第一中继装置在从所述客户终端接收到基于该连接用信息的访问的情况下，一旦判定为该客户终端的地址与在所述存储部中与该连接用信息相关联的地址信息对应，则对所述客户终端和所述对象终端之间的通信进行中继，一旦判定为不与地址信息对应，则切断所述客户终端和所述对象终端之间的通信的中继。

在所述中继步骤中，所述第一中继装置可在从所述客户终端接收基于所述连接用信息的访问时，进一步获得表示所述客户终端是否合格的客户信息，一旦基于该客户信息判定为所述客户终端合格，则中继所述客户终端与所述对象终端的通信，一旦判定为所述客户终端不合格，则切断所述客户终端与所述对象终端的通信的中继。

在所述中继步骤中，所述第一中继装置可在自身与所述客户终端之间对数据进行加密来进行通信，在自身与所述对象终端之间不对数据进行加密来进行通信，由此对所述客户终端与所述对象终端之间的通信进行中继。

本发明的第二方式的中继系统，具备连接管理装置和多个中继装置，并对客户终端与所述客户终端的通信目的地即对象终端之间的通信进行中继，所述连接管理装置具有：获得部，从所述客户终端获得识别所述对象终端的终端识别信息；确定部，一旦获得所述终端识别信息，则在所述中继系统具备的多个中继装置中确定对所述通信进行中继的第一中继装置，并确定用于所述客户终端与所述第一中继装置连接的连接用信息；存储控制部，将所述连接用信息和所述终端识别信息相关联地存储在存储部中；以及通知部，向所述客户终端通知所确定的所述连接用信息，其中，所述第一中继装置具有中继部，所述中继部一旦从所述客户终端接收到基于所述连接用信息的访问，则基于在所述存储部中与该连接用信息相关联的所述终端识别信息，对所述客户终端与所述对象终端之间的通信进行中继。

本发明的第三方式的中继用程序，使对客户终端与所述客户终端的通信目的地即对象终端之间的通信进行中继的中继系统具备的计算机作获得部、确定部、存储控制部和通知部发挥功能，其中，获得部从所述客户终端获得识别所述对象终端的终端识别信息，确定部一旦获得所述终端识别信息，则在所述中继系统具备的多个中继装置中确定对所述通信进行中继的第一中继装置，并确定用于所述客户终端与所述第一中继装置连接的连接用信息，存储控制部将所述连接用信息和所述终端识别信息相关联地存储在存储部中，通知部向所述客户终端通知所确定的所述连接用信息。

发明效果

根据本发明，获得能够安全地访问对象终端的效果。

附图说明

图1是表示本实施方式的中继系统的概要的图。

图2是表示本实施方式的连接管理装置的结构的图。

图3是表示本实施方式的第一中继装置的结构的图。

图4是表示本实施方式的第二中继装置的结构的图。

图5是表示认证信息的登记的处理流程的顺序图。

图6是表示确定进行通信的中继的第一中继装置的处理流程的顺序图。

图7是表示通信的中继的处理流程的顺序图。

具体实施方式

[中继系统S的概要]

图1是表示本实施方式的中继系统S的概要的图。中继系统S是对客户终端4与作为IoT设备的对象终端5之间的通信进行中继的系统。

中继系统S包括连接管理装置1、构成4G或5G等移动网络的多个第一中继装置2、以及多个第二中继装置3。第一中继装置2是配置在移动网络中的核心网络的外部的网络中的代理服务器。第二中继装置3是配置在移动网络中的核心网络的内部的网络中的代理服务器。对象终端5配置在移动网络的内部，并分配有移动网络中的私有IP地址。对象终端5与多个第二中继装置3中的某一个连接。另外，在图1中，仅示出一个对象终端5，但实际上存在多个对象终端5。

中继系统S的连接管理装置1从客户终端4获得SIM(Subscriber IdentityModule，用户识别模块)固有号码，该SIM固有号码作为识别远程访问的终端即对象终端5的终端识别信息。SIM固有号码例如是IMSI(International Mobile Subscriber Identity，国际移动用户识别码)。

连接管理装置1如果从客户终端4获得SIM固有号码，则在多个第一中继装置2中确定对客户终端4和对象终端5之间的通信进行中继的第一中继装置2，并确定用于客户终端4与该第一中继装置2连接的连接用信息。在图1所示的示例中，连接管理装置1将第一中继装置2-1确定为对客户终端4与对象终端5之间的通信进行中继的第一中继装置2，并确定用于客户终端4与第一中继装置2-1连接的连接用信息。

连接管理装置1将所确定的连接用信息与SIM固有号码相关联地存储在存储部中，并且将该连接用信息向客户终端4通知。客户终端4基于从连接管理装置1通知的连接用信息，访问多个第一中继装置2中的某一个。由客户终端4访问的第一中继装置2基于在存储部中与连接用信息相关联的SIM固有号码，确定与对象终端5连接的第二中继装置3，并经由所确定的第二中继装置3对客户终端4与对象终端5之间的通信进行中继。

在图1所示的示例中，第一中继装置2-1将第二中继装置3-2确定为与对象终端5连接的第二中继装置3。第一中继装置2-1经由第二中继装置3-2对客户终端4与对象终端5之间的通信进行中继。

这样，由于中继系统S使客户终端4为了与对象终端5进行通信而连接的连接目的地即第一中继装置2可变，因此难以由第三者确定作为该连接目的地的第一中继装置2，从而能够提高安全性。

[连接管理装置1的结构]

接着，说明中继系统S具备的连接管理装置1、第一中继装置2以及第二中继装置3的结构。首先，说明连接管理装置1的结构。图2是表示本实施方式的连接管理装置1的结构的图。如图2所示，连接管理装置1具备通信部11、存储部12和控制部13。

通信部11是用于与客户终端4进行通信的通信接口。

存储部12是包含ROM(Read Only Memory，只读存储器)和RAM(Random AccessMemory，随机访问存储器)等的存储介质。存储部12存储控制部13执行的程序。例如，存储部12存储有使控制部13作为认证信息管理部131、获得部132、确定部133、存储控制部134以及通知部135发挥功能的管理装置用程序。管理装置用程序是对客户终端4与对象终端5之间的通信进行中继的中继用程序的一部分。

控制部13例如是CPU(Central Processing Unit，中央处理单元)。控制部13通过执行存储在存储部12中的管理装置用程序，作为认证信息管理部131、获得部132、确定部133、存储控制部134以及通知部135发挥功能。后文将描述这些功能的详细情况。

[第一中继装置2的结构]

接着，说明第一中继装置2的结构。图3是表示本实施方式的第一中继装置2的结构的图。如图3所示，第一中继装置2具备通信部21、存储部22和控制部23。

通信部21是用于与连接管理装置1、第二中继装置3、客户终端4进行通信的通信接口。

存储部22是包含ROM和RAM等的存储介质。存储部22存储控制部23执行的程序。例如，存储部22存储有使控制部23作为第一中继部231发挥功能的第一中继装置用程序。第一中继装置用程序是对客户终端4与对象终端5之间的通信进行中继的中继用程序的一部分。

控制部23例如是CPU。控制部23通过执行存储在存储部22中的第一中继装置用程序，作为第一中继部231发挥功能。后文将描述第一中继部231的功能的详细情况。

[第二中继装置3的结构]

接着，说明第二中继装置3的结构。图4是表示本实施方式的第二中继装置3的结构的图。如图4所示，第二中继装置3具备通信部31、存储部32和控制部33。

通信部31是用于与第一中继装置2、对象终端5进行通信的通信接口。

存储部32是包含ROM和RAM等的存储介质。存储部32存储控制部33执行的程序。例如，存储部32存储有使控制部33作为第二中继部331发挥功能的第二中继装置用程序。第二中继装置用程序是对客户终端4与对象终端5之间的通信进行中继的中继用程序的一部分。

控制部33例如是CPU。控制部33通过执行存储在存储部32中的第二中继装置用程序，作为第二中继部331发挥功能。后文将描述第二中继部331的功能的详细情况。

接着，详细说明连接管理装置1的控制部13、第一中继装置2的控制部23、第二中继装置3的控制部33所具有的功能。在以下的说明中，适当参照顺序图对各控制部的功能的详细情况进行说明。

[认证信息的登记]

首先，说明客户终端4的登记认证信息的功能的详细情况。认证信息的登记的功能通过认证信息管理部131实现。图5是表示认证信息的登记的处理流程的顺序图。

认证信息管理部131从客户终端4获得请求登记客户认证所使用的认证信息的认证信息登记请求(S1)。客户认证通过对作为在客户终端4进行通信时发送的客户信息(证书信息)的、认证系统生成的客户信息是否正确进行认证来进行。在认证信息登记请求中，例如包含表示生成客户信息的认证系统的认证系统信息、以及用于根据客户信息生成散列值的公开密钥作为认证信息。

认证信息管理部131在获得认证信息登记请求后，生成用于识别认证信息的认证信息ID(S2)。

接着，认证信息管理部131将生成的认证信息ID与认证信息相关联地存储在存储部12中，由此进行认证信息的登记(S3)。

接着，认证信息管理部131向客户终端4发送生成的认证信息ID(S4)。

[进行通信的中继的第一中继装置2的确定]

接着，对客户终端4与对象终端5进行通信时的、确定进行该通信的中继的第一中继装置2的功能的详细情况进行说明。确定第一中继装置2的功能通过连接管理装置1的获得部132、确定部133、存储控制部134以及通知部135实现。图6是表示进行通信的中继的第一中继装置2的确定的处理流程的顺序图。另外，设定客户终端4的用户预先掌握识别对象终端5的SIM固有号码。

获得部132从客户终端4获得向对象终端5的连接请求(S11)。具体而言，获得部132获得包含识别对象终端5的SIM固有号码和对象终端5进行通信时使用的对象终端5的端口号的连接请求。

获得部132也可以从客户终端4获得连接请求以及表示与对象终端5进行连接时的连接条件的连接条件信息。具体而言，获得部132可以获得TTL(Time to live，生存时间)值和客户端地址信息中的至少一个作为连接条件信息，该TTL值作为表示客户终端4和对象终端5能够进行通信的时段的有效期信息，该客户端地址信息表示当客户终端4与对象终端5进行通信时客户终端4的IP地址的范围。

此外，获得部132可以从客户终端4获得连接请求以及用于客户认证的认证信息ID。

确定部133如果获得连接请求，则在中继系统S具备的多个第一中继装置2中确定对客户终端4与对象终端5之间的通信进行中继的第一中继装置2(S12)。例如，确定部133将多个第一中继装置2中的任意一个第一中继装置2确定为对客户终端4与对象终端5之间的通信进行中继的第一中继装置2。

另外，确定部133也可以将属于客户终端4所属的地区的第一中继装置2确定为对客户终端4与对象终端5之间的通信进行中继的第一中继装置2。在这种情况下，存储部12存储将多个第一中继装置2的IP地址和配置有第一中继装置2的地区建立关联的按地区的地址信息。确定部133确定进行了连接请求的客户终端4的地址，基于该地址确定客户终端4所属的地区。确定部133参照按地区的地址信息，将属于所确定的客户终端4所属地区的多个第一中继装置2中的任意一个第一中继装置2确定为对客户终端4与对象终端5之间的通信进行中继的第一中继装置2。通过上述过程，由于客户终端4能够访问配置在同一地区的第一中继装置2，因此能够抑制客户终端4与第一中继装置2之间的通信的延迟。

另外，确定部133也可以将客户终端4签约的通信公司所运用的第一中继装置2确定为对客户终端4与对象终端5之间的通信进行中继的第一中继装置2。通过上述过程，能够抑制与客户终端4和对象终端5的通信的中继相关的成本。另外，确定部133也可以基于第一中继装置2容纳的终端的台数、或者第一中继装置2中的通信量，将负荷较少的第一中继装置2确定为对客户终端4与对象终端5之间的通信进行中继的第一中继装置2。通过上述过程，能够抑制客户终端4与第一中继装置2之间的通信的延迟。

确定部133确定第一中继装置2的IP地址和端口号作为用于客户终端4与所确定的第一中继装置2连接的连接用信息(S13)。例如，确定部133通过从预先确定的范围的多个端口号中选择任意一个端口号，以确定第一中继装置2的端口号。通过上述过程，连接管理装置1能够使第三者难以确定第一中继装置2在客户终端4与对象终端5之间的通信中使用的端口号。

存储控制部134将收信方条目信息存储于存储部12(S14)，该收信方条目信息将确定部133确定的连接用信息、获得部132获得的对象终端5的SIM固有号码、以及对象终端5的端口号建立关联。

在获得部132获得了连接条件信息的情况下，存储控制部134将该连接条件信息(与TTL对应的有效期限、客户端地址信息)与连接用信息相关联地存储。例如，在获得TTL值作为连接条件信息的情况下，存储控制部134基于当前时刻和TTL值，将客户终端4与对象终端5的能够进行通信的时段结束的时刻作为通信有效期限，并将该通信有效期限与连接用信息相关联地存储。另外，在获得部132获得认证信息ID的情况下，存储控制部134将该认证信息ID与连接用信息相关联地存储。在以下的说明中，设获得部132获得认证信息ID而进行说明。

通知部135向进行了连接请求的客户终端4通知包含确定部133所确定的第一中继装置2的IP地址和端口号的连接用信息(S15)。此外，虽然通知部135向客户终端4通知连接用信息，但是不限于此，也可以向客户终端4通知包含该连接用信息的收信方条目信息。

[由所确定的第一中继装置2进行的通信的中继]

一旦向客户终端4通知连接用信息，则客户终端4基于该连接用信息而能够访问所确定的第一中继装置2。所确定的第一中继装置2一旦从客户终端4接收到基于连接用信息中包含的第一中继装置2的IP地址以及端口号的访问，则对客户终端4与对象终端5之间的通信进行中继。

具体而言，第一中继装置2的第一中继部231从客户终端4获得基于连接用信息的连接请求，从而一旦接收到来自客户终端4的访问，则基于在连接管理装置1的存储部12中与连接用信息相关联的SIM固有号码，对客户终端4与对象终端5之间的通信进行中继。第一中继部231基于该SIM固有号码确定与对象终端5连接的第二中继装置3，并经由所确定的第二中继装置3对客户终端4与对象终端5之间的通信进行中继。

以下，说明通信的中继的功能的详细情况。通信的中继的功能通过连接管理装置1的获得部132、确定部133、通知部135、第一中继装置2的第一中继部231、第二中继装置3的第二中继部331实现。图7是表示通信的中继的处理流程的顺序图。

第一中继装置2的第一中继部231从客户终端4获得基于连接用信息的连接请求，由此接收来自客户终端4的访问(S21)。具体而言，第一中继部231通过连接用信息中包含的第一中继装置2的端口号的端口从客户终端4获得连接请求。该连接请求中包含证明客户终端4合格的客户信息。客户信息例如是证书信息。

接着，第一中继部231向连接管理装置1发送为了进行通信的中继而使用的中继用信息的获得请求(S22)。在中继用信息的获得请求中，包含分配至第一中继装置2的IP地址、以及在与客户终端4的通信中使用的端口的端口号。中继用信息是包含客户终端4的通信目的地即对象终端5的SIM固有号码、对象终端5的端口号、连接条件信息、第二中继装置3的IP地址的信息。

连接管理装置1的获得部132从第一中继装置2获得中继用信息的获得请求。连接管理装置1的确定部133参照存储在存储部12中的收信方条目信息，确定与中继用信息的获得请求中包含的第一中继装置2的IP地址和端口号相关联的对象终端5的SIM固有号码、对象终端5的端口号、连接条件信息以及认证信息ID(S23)。

接着，确定部133基于所确定的对象终端5的SIM固有号码确定与对象终端5连接的第二中继装置3(S24)。具体而言，确定部133在移动网络中参照对分别与多个第二中继装置3连接的一个以上的对象终端5进行管理的连接管理信息，确定与所确定的SIM固有号码的对象终端5连接的第二中继装置3的IP地址。

连接管理信息例如由4G核心网络的P-GW(Packet data network GateWay，分组数据网网关)、5G核心网络中的UPF(User Plane Function，用户平面功能)提供，但是也可以由连接管理装置1管理。

接着，通知部135向第一中继装置2通知包含确定部133确定的对象终端5的SIM固有号码、对象终端5的端口号、连接条件信息、第二中继装置3的IP地址的中继用信息(S25)。

第一中继装置2的第一中继部231如果获得中继用信息，则判定是否满足该中继用信息中包含的连接条件信息所表示的连接条件(S26)。第一中继部231如果判定为满足连接条件，则将处理转移到S28，继续对客户终端4与对象终端5之间的通信进行中继的处理。第一中继部231如果判定为不满足连接条件，则向客户终端4通知表示不能进行客户终端4与对象终端5之间的连接的连接错误信息(S27)。

具体而言，第一中继部231判定客户终端4的IP地址是否与连接条件信息中包含的客户端地址信息对应。第一中继部231在客户终端4的IP地址包含在客户端地址信息所表示的IP地址的范围内的情况下，判定为客户终端4的IP地址与客户端地址信息对应。

第一中继部231一旦判定为客户终端4的IP地址不与客户端地址信息对应，即客户终端4的IP地址不包含在客户端地址信息所表示的IP地址的范围内，则向客户终端4通知连接错误信息，并切断客户终端4与对象终端5之间的通信。通过上述过程，由于当存在来自具有不包含在客户端地址信息所表示的IP地址的范围内的IP地址的终端的访问时第一中继装置2不进行与对象终端5的通信，因此能够提高安全性。

另外，第一中继部231基于在S23中确定的认证信息ID和连接请求中包含的客户信息判定客户终端4是否合格。具体而言，第一中继部231向连接管理装置1发送请求获得包含认证信息ID的认证信息的认证信息获得请求。连接管理装置1的认证信息管理部131一旦获得认证信息获得请求，则将在存储部12中作为与该认证信息ID相关联地存储的认证信息的认证系统信息以及公开密钥发送至第一中继装置2。

第一中继部231一旦获得认证信息，则基于客户信息判定客户终端4是否合格。例如，第一中继部231基于认证信息中包含的公共密钥根据客户信息生成散列值。然后，第一中继部231通过判定该散列值是否与在认证系统中保管的客户终端4的散列值一致来判定客户终端4是否合格。第一中继部231一旦判定客户终端4不合格，则向客户终端4通知连接错误信息，并切断客户终端4与对象终端5之间的通信。

第一中继部231一旦判定为客户终端4的IP地址与客户地址信息对应并且客户终端4合格，则将处理转移到S28。然后，第一中继部231基于从连接管理装置1获得的中继用信息中包含的对象终端5的IP地址和对象终端5的端口号，通过TCP连接建立与对象终端5的连接。

具体而言，第一中继部231基于在S25中从连接管理装置1获得的中继用信息中包含的第二中继装置3的IP地址，建立与第二中继装置3的连接(S28)。

第一中继部231一旦建立与第二中继装置3的连接，则向该第二中继装置3通知中继用信息中包含的对象终端5的IP地址以及对象终端5的端口号。第二中继装置3的第二中继部331基于从第一中继装置2通知的对象终端5的IP地址以及对象终端5的端口号，建立与对象终端5的连接(S29)。

一旦S28及S29的处理完成，则建立客户终端4与对象终端5的连接(S30)。第一中继装置2的第一中继部231和第二中继装置3的第二中继部331对客户终端4与对象终端5之间的通信进行中继。由此，客户终端4能够向对象终端5进行指令发送，或者与对象终端5进行数据的收发。

第一中继装置2的第一中继部231基于对象终端5的私有IP地址，对从第一中继装置2到对象终端5进行利用通信公司的闭域网的第一中继装置2与对象终端5之间的通信，由此对客户终端4与对象终端5之间的通信进行中继。

第一中继部231在对客户终端4与对象终端5之间的通信进行中继的情况下，基于连接条件信息中包含的通信有效期限，判定是否可以进行客户终端4与对象终端5之间的通信。第一中继部231一旦判定为能够进行通信，则对客户终端4与对象终端5之间的通信进行中继。第一中继部231一旦判定为不能通信，则切断客户终端4与对象终端5之间的通信。第一中继部231在切断客户终端4与对象终端5之间的通信的情况下，向客户终端4通知连接错误信息。这样，由于第一中继装置2根据超过了通信有效期限而切断客户终端4与对象终端5之间的通信，因此与不设置通信有效期限的情况相比，能够提高安全性。

另外，客户终端4在进行与对象终端5的通信的情况下，也可以向第一中继装置2发送通过SSL(Secure Socket Layer，安全套接字层)或TLS(Transport Layer Security，传输层安全协议)加密后的数据。在这种情况下，第一中继部231在自身与客户终端4之间对数据进行加密而进行通信，在自身与对象终端5之间不对数据进行加密而进行通信，由此对客户终端4与对象终端5之间的通信进行中继。

如上所述，由于第一中继装置2与对象终端5之间能够基于对象终端5的私有IP地址进行通信，因此即使在第一中继装置2与对象终端5之间不进行数据的加密也能够进行安全的通信。另外，对象终端5也可以不进行基于SSL或TLS的加密，因此即使在对象终端5不与SSL或TLS对应的情况下，也能够进行安全的通信。

[变形例1]

在以上的说明中，第一中继装置2的第一中继部231从客户终端4获得包含认证信息ID的连接请求，但是不限于此。关于在连接请求中是否包含认证信息ID，可以是可选的，也可以在连接请求中不包含认证信息ID。当在连接请求中不包含认证信息ID的情况下，第一中继部231也可以不进行基于认证信息ID的能否中继的判定。

[变形例2]

第一中继装置2的第一中继部231也可以从客户终端4获得表示使基于连接用信息的客户终端4与对象终端5之间的通信无效的指示信息。在这种情况下，第一中继部231切断与该连接用信息对应的客户终端4和对象终端5之间的中继。

[变形例3]

在上述的说明中，对中继第一中继装置2与一台对象终端5的通信的示例进行了说明，但是不限于此，也可以是对第一中继装置2与多个对象终端5之间的通信进行中继。在这种情况下，连接管理装置1对一个客户终端4管理多个对象终端5各自的连接用信息、通信有效期限等。然后，对应于多个对象终端5的每一个进行图7所示的处理，建立客户终端4和多个对象终端5中的每一个的连接。在这种情况下，第一中继装置2的第一中继部231也可以获得表示向多个对象终端5中的每一个的连接请求的一个连接请求，并基于该连接请求建立第一中继装置2与多个对象终端5中的每一个之间的连接。由此，客户终端4能够对建立了连接的多个对象终端5中的每一个进行命令发送，或者进行数据的收发。

[变形例4]

在上述的说明中，作为进行客户终端4和对象终端5之间的中继时的网络结构，以从第一中继装置2到对象终端5是通信公司的闭域网这种网络结构为例进行了说明，但是不限于此。例如，也可以在将从第一中继装置2到第二中继装置3设为闭域网的网络结构、在闭域网中仅具备第一中继装置2和第二中继装置3的网络结构、在闭域网内具备第一中继装置2和第二中继装置3中的某一个与连接管理装置1的网络结构等各种网络结构中，进行客户终端4与对象终端5之间的中继。

[本实施方式的效果]

如上所述，在本实施方式的中继系统S中，连接管理装置1一旦从客户终端4获得识别对象终端5的SIM固有号码，则在中继系统S所具备的多个第一中继装置2中确定对通信进行中继的第一中继装置2，将用于客户终端4与该第一中继装置2连接的连接用信息与SIM固有号码相关联地存储在存储部12中，并且向客户终端4通知该连接用信息。所确定的第一中继装置2一旦从客户终端4接收到基于连接用信息的访问，则基于在存储部12中与该连接用信息相关联的SIM固有号码，对客户终端4与对象终端5之间的通信进行中继。

通过上述过程，由于向客户终端4通知的连接用信息不总是相同的信息，因此第三者难以推测用于与对象终端5的通信的连接用信息。因此，客户终端4能够安全地访问对象终端5。

另外，中继系统S的第一中继装置2一旦从客户终端4接收到基于包含第一中继装置2的IP地址以及端口号的连接用信息的访问，则基于与该连接用信息相关联的SIM固有号码，通过TCP连接建立客户终端4与对象终端5的通信连接。由此，中继系统S能够不对IP协议上的全部通信进行网络隧道传输，而以一个TCP连接为单位建立通信，因此与VPN这样的现有通信方法相比，能够将成本抑制得较低。另外，中继系统S与VPN或其他进行网络隧道传输的通信解决方案相比，可以无需通信开销的增大或为了对访问目的地的设备追加功能而进行安装。

以上，使用实施方式说明了本发明，但本发明的技术范围不限于上述实施方式中记载的范围，本发明的技术范围在其主旨的范围内可以进行各种变形和修改。例如，装置的全部或一部分可以在功能上或物理上分布/整合在任意单元中。另外，由多个实施方式的任意组合产生的新的实施方式也包含在本发明的实施方式中。由组合产生的新的实施方式的效果兼具原来实施方式的效果。

附图标记

1…连接管理装置、11…通信部；12…存储部；13…控制部；131…认证信息管理部、132…获得部、133…确定部、134…存储控制部、135…通知部、2…第一中继装置、21…通信部、22…存储部、23…控制部、231…第一中继部、3…第二中继装置、31…通信部、32…存储部、33…控制部、331…第二中继部、4…客户终端、5…对象终端、S…中继系统。

Claims (15)

1.一种中继方法，由中继系统执行，所述中继系统对设置于预定的闭域网内且被分配私有地址的对象终端和未设置于所述预定的闭域网内的客户终端之间的通信进行中继，所述中继系统包括第一中继装置、与所述对象终端连接的第二中继装置以及管理在对所述客户终端和所述对象终端之间的通信进行中继时的连接的连接管理装置，其中，所述中继方法具有以下步骤：

获得步骤，所述连接管理装置从所述客户终端获得第一连接请求，所述第一连接请求包含用于识别所述对象终端的终端识别信息；

确定步骤，一旦所述连接管理装置获得所述第一连接请求，则确定连接用信息，所述连接用信息表示从对所述客户终端与所述对象终端之间的所述通信进行中继的所述第一中继装置的多个端口号选择的一个端口号；

存储控制步骤，所述连接管理装置将所述连接用信息和所述终端识别信息相关联地存储在存储部中；

通知步骤，所述连接管理装置向所述客户终端通知所确定的所述连接用信息；以及

中继步骤，所述第一中继装置一旦从所述客户终端接收到以所述连接用信息所表示的所述一个端口号为目的地的、用于与所述对象终端进行通信的第二连接请求，则基于在所述存储部中与该连接用信息相关联的所述终端识别信息，对所述客户终端与所述对象终端之间的通信进行中继，

在所述中继步骤中，所述第一中继装置基于存储在所述存储部中的所述终端识别信息确定与所述对象终端连接的第二中继装置，并经由所确定的所述第二中继装置对所述客户终端与所述对象终端之间的通信进行中继。

2.根据权利要求1所述的中继方法，其中，

所述中继系统构成为包括构成移动网络的多个所述第一中继装置和多个所述第二中继装置，并且所述对象终端与所述移动网络连接，

向所述对象终端分配在所述移动网络的内部能够访问的私有地址，

在所述中继步骤中，所述第一中继装置基于所述对象终端的私有地址进行自身与所述对象终端的通信，由此对所述客户终端与所述对象终端之间的通信进行中继。

3.根据权利要求1或2所述的中继方法，其中，

在所述存储控制步骤中，所述中继系统进一步将在与所述对象终端的通信中使用的所述对象终端的端口号与所述连接用信息相关联地存储在所述存储部中，

在所述中继步骤中，所述第一中继装置基于在所述存储部中与所述连接用信息相关联的终端识别信息以及所述对象终端的端口号，建立与所述对象终端的连接。

4.根据权利要求3所述的中继方法，其中，

在所述获得步骤中，所述中继系统还从所述客户终端获得所述对象终端的端口号，

在所述存储控制步骤中，所述中继系统进一步将所获得的所述对象终端的端口号与所述连接用信息相关联地存储在所述存储部中。

5.根据权利要求1或2所述的中继方法，其中，

在所述存储控制步骤中，所述中继系统将包含所述第一中继装置的端口号的所述连接用信息存储在所述存储部中，

在所述通知步骤中，所述中继系统向所述客户终端通知包括所述第一中继装置的地址和端口号的所述连接用信息，

在所述中继步骤中，所述第一中继装置从所述客户终端接受基于所述连接用信息中包含的所述第一中继装置的地址和端口号的访问。

6.根据权利要求1或2所述的中继方法，其中，

在所述存储控制步骤中，所述中继系统进一步将有效期信息与所述连接用信息相关联地存储在所述存储部中，所述有效期信息表示所述客户终端和所述对象终端之间能够进行通信的期限，

在所述中继步骤中，所述第一中继装置在从所述客户终端接收到基于所述连接用信息的访问的情况下，一旦基于在所述存储部中与该连接用信息相关联的有效期信息而判定为能够进行通信，则对所述客户终端与所述对象终端之间的通信进行中继，一旦判定为不能进行通信，则切断所述客户终端与所述对象终端之间的通信的中继。

7.根据权利要求6所述的中继方法，其中，

在所述获得步骤中，所述中继系统还从所述客户终端获得所述有效期信息，

在所述存储控制步骤中，所述中继系统进一步将所获得的所述有效期信息与所确定的所述连接用信息相关联地存储在所述存储部中。

8.根据权利要求1或2所述的中继方法，其中，

在所述获得步骤中，所述中继系统还从所述客户终端获得地址信息，所述地址信息表示与所述对象终端进行通信时的所述客户终端的地址，

在所述存储控制步骤中，所述中继系统进一步将所获得的所述地址信息与所确定的所述连接用信息相关联地存储在所述存储部中，

在所述中继步骤中，与所述连接用信息对应的所述第一中继装置在从所述客户终端接收到基于该连接用信息的访问的情况下，一旦判定为该客户终端的地址与在所述存储部中与该连接用信息相关联的地址信息对应，则对所述客户终端和所述对象终端之间的通信进行中继，

一旦判定为不与地址信息对应，则切断所述客户终端和所述对象终端之间的通信的中继。

9.根据权利要求1或2所述的中继方法，其中，

在所述中继步骤中，所述第一中继装置在从所述客户终端接收基于所述连接用信息的访问时，进一步获得表示所述客户终端是否合格的客户信息，一旦基于该客户信息判定为所述客户终端合格，则中继所述客户终端与所述对象终端的通信，一旦判定为所述客户终端不合格，则切断所述客户终端与所述对象终端的通信的中继。

10.根据权利要求1或2所述的中继方法，其中，

在所述中继步骤中，所述第一中继装置在自身与所述客户终端之间对数据进行加密来进行通信，在自身与所述对象终端之间不对数据进行加密来进行通信，由此对所述客户终端与所述对象终端之间的通信进行中继。

11.根据权利要求1所述的中继方法，其中，

在确定所述连接用信息的所述确定步骤中，将属于所述客户终端所属的地区的所述第一中继装置确定为对所述客户终端与所述对象终端之间的通信进行中继的所述第一中继装置。

12.根据权利要求11所述的中继方法，其中，

在所述确定步骤中，通过参照将多个所述第一中继装置的所述连接用信息和配置有所述第一中继装置的地区建立关联的按地区的地址信息，确定属于请求与所述对象终端连接的所述客户终端所属的地区的所述第一中继装置的所述连接用信息。

13.根据权利要求1所述的中继方法，其中，

在所述中继步骤中，以在与所述连接用信息相关联的通信有效期限内为条件，对所述客户终端与所述对象终端之间的通信进行中继。

14.根据权利要求1所述的中继方法，其中，还具有：在所述中继步骤之前，所述连接管理装置将包含所述对象终端的端口号的中继用信息通知给所述第一中继装置的步骤。

15.一种中继系统，具备：第一中继装置，对设置于预定的闭域网内且被分配私有地址的对象终端和未设置于所述预定的闭域网内的客户终端之间的通信进行中继；

第二中继装置，构成为连接于所述对象终端，以及

连接管理装置，构成为管理在对所述客户终端和所述对象终端之间的通信进行中继时的连接，

其中，所述连接管理装置具有：

获得部，构成为从所述客户终端获得第一连接请求，所述第一连接请求包含用于识别所述对象终端的终端识别信息；

确定部，构成为一旦获得所述第一连接请求，则确定连接用信息，所述连接用信息表示从对所述客户终端和所述对象终端之间的所述通信进行中继的所述第一中继装置的多个端口号选择的一个端口号、用于所述客户终端与所述第一中继装置连接；

存储控制部，构成为将所述连接用信息和所述终端识别信息相关联地存储在存储部中；以及

通知部，构成为向所述客户终端通知所确定的所述连接用信息，

其中，所述第一中继装置具有：

中继部，构成为一旦从所述客户终端接收到以所述连接用信息所表示的所述一个端口号为目的地的、用于与所述对象终端进行通信的第二连接请求，则基于在所述存储部中与该连接用信息相关联的所述终端识别信息，对所述客户终端与所述对象终端之间的通信进行中继，

所述第一中继装置根据存储在所述存储部中的所述终端识别信息，确定所述对象终端所连接的第二中继装置，经由所确定的所述第二中继装置，对所述客户终端和所述对象终端之间的通信进行中继。