JP2001298473A - インターネット環境下のネットワーク接続管理システム - Google Patents

Abstract

(57)【要約】 【課題】 ネットワーク間でシームレスな接続を実現し
つつ、ネットワーク間のセキュリティを維持するネット
ワーク接続管理システムを提供する。 【解決手段】 ファイアウォール５を介して接続された
２以上のネットワーク６，７，８，９のそれぞれにセキ
ュアコネクション装置１０を設け、隣接のセキュアコネ
クション装置１０の間ではファイアウォール５を通過可
能なポートを有するように構成し、セキュアコネクショ
ン装置１０に、通信データ変換手段１２と、ＩＰアドレ
ス変換手段１３と、受信側サーバーの正当性、あるいは
プログラムの正当性をチェックして通信電文を配信する
フィルタリング手段１４とを設けた。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明はファイアウォールを
介して接続された２以上のネットワークをあたかも一つ
のネットワークのように接続・管理するネットワーク接
続管理システムに係り、特に、インターネット環境下で
セキュリティレベルを維持しつつ、かつ、インターネッ
トを介して接続された別個のネットワークに対してシー
ムレスな接続環境を実現するネットワーク接続管理シス
テムに関する。

【０００２】

【従来の技術】インターネット上では、コンピューター
を識別するために各コンピューターは世界で唯一のＩＰ
アドレスという識別番号（これをグローバルＩＰアドレ
スという）を有している。

【０００３】インターネットに接続したネットワークに
ついては、そのネットワーク内のコンピューターの全部
がインターネットに直接接続するわけではないので、イ
ンターネットに直接接続するコンピューターを除き、Ｉ
Ｐアドレスの節約のために各コンピューターは当該ネッ
トワーク内でのみ通用するプライベートＩＰアドレスを
有している。

【０００４】ところが、上記プライベートＩＰアドレス
の存在により、インターネットを通して他のネットワー
ク内のコンピューターと直接通信することはできない。
なぜなら、インターネットを上ではグローバルＩＰアド
レスを介さなけば、通信することができないからであ
る。

【０００５】一方、インターネットに接続したネットワ
ークは、インターネットを通して不正なユーザーによる
ハッキングやウィルス感染を防止し、あるいは万一被害
を受けた場合に被害の拡大を抑制するために、通常イン
ターネットとの間にファイアウォールという装置を設け
ている。

【０００６】このファイアウォールには、パケットフィ
ルタリングとアプリケーションゲートウェイの二種類が
ある。現在多数を占めるパケットフィルタリング型のフ
ァイアウォールは、インターネットからアクセス可能な
コンピューターのＩＰアドレス（ポート）を少数に制限
するものである。この場合、ファイアウォールはインタ
ーネットからアクセス可能な自ネットワーク内のポート
番号を保持し、これ以外のパケットのアクセスを拒否す
る。

【０００７】以上のような構成により、インターネット
を介して他のネットワーク内のコンピューターと通信す
るためには、ファイアウォールによって制限されたポー
トが存在すること、および、そのネットワーク内のプラ
イベートＩＰアドレスに直送信できないこと、という二
重の障害を超えなければならない。

【０００８】この問題を解決するために、現在ＶＰＮ
（Virtual Private Network）とＮＡＴ（Network Addre
ss Translation）という技術が提案されている。

【０００９】図３に上記ＶＰＮとＮＡＴによりインター
ネット環境下の異ネットワーク間で通信する方法を概念
的に示す。

【００１０】図３において、インターネット２０を介し
て接続された二つのプライベートネットワーク２１，２
２が示されている。

【００１１】プライベートネットワーク２１，２２とイ
ンターネット２０の間には、それぞれファイアウォール
２３ａ，２３ｂが設けられている。

【００１２】プライベートネットワーク２１には、ＷＥ
Ｂサーバー２４とメールサーバー２５が接続されてい
る。ＷＥＢサーバー２４にはクライアント２６が接続さ
れている。

【００１３】一方、プライベートネットワーク２２に
は、ＷＥＢサーバー２７と、メールサーバー２８が接続
されている。

【００１４】仮に、クライアント２６のプライベートＩ
Ｐアドレスをｘｘｘ、ＷＥＢサーバー２７のプライベー
トＩＰアドレスをｙｙｙとする。ファイアウォール２３
ａのグローバルＩＰアドレスをａａａ、ファイアウォー
ル２３ｂのグローバルＩＰアドレスをｂｂｂとする。

【００１５】今、クライアント２６からＷＥＢサーバー
２７に通信電文を送信する場合を考える。

【００１６】ＮＡＴは、グローバルＩＰアドレスとプラ
イベートＩＰアドレスとを変換する技術である。一方、
ＶＰＮは、プライベートＩＰアドレスで記述された通信
電文にグローバルＩＰアドレスによるＩＰヘッダを付す
る技術である。ＮＡＴとＶＰＮは、ファイアウォール２
３ａ，２３ｂに付属されている。

【００１７】ＶＰＮ・ＮＡＴ技術によってクライアント
２６からＷＥＢサーバー２７に通信電文を送信する場
合、クライアント２６では（from:xxx to:yyy＋電文内
容）というような通信電文を発信する。

【００１８】この通信電文は、ファイアウォール２３ａ
において、ファイアウォール２３ａ，２３ｂのグローバ
ルＩＰアドレスを付与され、（from:aaa to:bbb（from:
xxxto:yyy＋電文内容））という通信電文に変換され
る。

【００１９】この通信電文は、送信側と受信側のＩＰア
ドレスとしてグローバルＩＰアドレスであるａａａとｂ
ｂｂを使用するので、問題なくインターネットを通して
ファイアウォール２３ｂに送られる。ファイアウォール
２３ｂでは、再びＶＰＮ・ＮＡＴ技術により通信電文が
（from:aaa to:bbb（from:xxx to:yyy＋電文内容））か
ら（from:xxx to:yyy＋電文内容）に変換される。

【００２０】変換された通信電文（from:xxx to:yyy＋
電文内容）は、プライベートＩＰアドレスｙｙｙのＷＥ
Ｂサーバー２７に送られることになる。ＷＥＢサーバー
２７では、上記通信電文の内容に従って処理することが
できる。

【００２１】ＶＰＮ・ＮＡＴ技術によれば、送信側コン
ピューターは、受信側コンピュータがインターネットに
よって隔てられていることを意識することなく、相手の
プライベートＩＰアドレスによって通信電文を送ること
ができることになり、インターネットによって隔てられ
ているネットワークのコンピューターに対してあたかも
専用線で接続されたように通信できるようになる。

【００２２】

【発明が解決しようとする課題】 しかし、上記従来
のＶＰＮ・ＮＡＴ技術によるインターネット環境下の異
ネットワーク間通信は、ネットワークのセキュリティ上
問題があった。

【００２３】すなわち、ＶＰＮ・ＮＡＴ技術は、互いに
通信することを認めあったネットワーク間では、あたか
も専用線のように通信を許可することになるが、このよ
うに接続されたネットワークが多数個に上る場合、いず
れか一つのネットワークのセキュリティが破られると、
そのネットワークを通じて結局自らのネットワークのセ
キュリティが破られるようになる。

【００２４】つまり、ＶＰＮ・ＮＡＴ技術によって接続
されたネットワーク群の内部では不正なアクセスを防止
することができないのである。このことは、多数のネッ
トワークを接続する必要がある現状ではＶＰＮ・ＮＡＴ
技術の大きな欠点となっている。

【００２５】そこで、本発明が解決しようとする一つの
課題は、ＶＰＮ・ＮＡＴ技術のようにネットワーク間で
シームレスな接続を実現しつつ、ネットワーク間のセキ
ュリティを維持するネットワーク接続管理システムを提
供することにある。

【００２６】 次に、従来はインターネットやネット
ワーク間のファイアウォールを介して接続された複数の
ネットワークの全体に対してシステムの運用管理を行う
システムが存在していなかった。

【００２７】ＶＰＮ・ＮＡＴによる技術は、他のネット
ワーク内のホストに対してあたかも専用線で接続された
ような通信を可能にする技術であって、それ自体ではシ
ステム全体の運用管理を行うことができなかった。

【００２８】特に、接続されたネットワーク内のコンピ
ューターがそれぞれＷｉｎｄｏｗｓ（登録商標）マシン
とUNIX（登録商標）マシンのように、異なるＯＳによっ
て管理されているコンピューターの場合には、それらを
一つの運用管理システムで管理することができなかっ
た。

【００２９】そこで、本発明が解決しようとするもう一
つの課題は、インターネットやネットワーク間のファイ
アウォールを介して接続された複数のネットワーク群に
対して、全体としてシステムの運用管理を行うネットワ
ーク接続管理システムを提供することにある。

【００３０】 さらに、従来のネットワーク接続技術
では、接続されたネットワーク群の内部で独立の特定の
処理を行うコンピューター群を指定し、それらのコンピ
ューター群に限って前記特定処理を行うことができなか
った。

【００３１】そこで、本発明が解決しようとするもう一
つの課題は、接続されたネットワーク群の内部で独立の
特定の処理を行うコンピューター群を指定し、それらの
コンピューター群に限ってシームレスな接続を実現して
特定の処理を行うネットワーク接続管理システムを提供
することにある。

【００３２】

【課題を解決するための手段】本願請求項１に係るネッ
トワーク接続管理システムは、ファイアウォールを介し
て接続された２以上のネットワークのそれぞれにセキュ
アコネクション装置を設け、隣接するネットワークのセ
キュアコネクション装置の間にはファイアウォールを通
過可能なポートを有するように構成し、前記セキュアコ
ネクション装置は、通信電文を送信側及び受信側プライ
ベートＩＰアドレスを含めてパケットのデータ部に変換
し、あるいはその逆にパケットから通信電文への変換を
行う通信データ変換手段と、前記パケットのＩＰヘッダ
に隣接のセキュアコネクション装置のＩＰヘッダを付す
ＩＰアドレス変換手段と、前記通信電文中の受信側プラ
イベートＩＰアドレスが指すサーバーの正当性、あるい
は要求しているプログラムの正当性をチェックし、正常
な通信電文である場合に受信側のコンピューターに通信
電文を送信するフィルタリング手段と、を有しているこ
とを特徴とするものである。

【００３３】本願請求項２に係るネットワーク接続管理
システムは、請求項１のネットワーク接続管理システム
において、前記ファイアウォールを介して接続された２
以上のネットワークは、ネットワーク全体のシステムリ
ソース監視、ジョブスケジュール、ソフトウェア配布を
含むシステムの運用管理を行う管理装置と、前記管理装
置によって管理される複数のエージェントを有し、前記
管理装置は、前記セキュアコネクション装置を通じてシ
ステムの運用管理用の通信電文を前記エージェントとの
間で交信することにより、インターネット環境下で物理
的に離れた複数のネットワークに対してシステム運用管
理を行うことを特徴とするものである。

【００３４】本願請求項３に係るネットワーク接続管理
システムは、請求項１または２のネットワーク接続管理
システムにおいて、前記セキュアコネクション装置は、
パケットを暗号化し、あるいは復号化する暗号処理手段
を有していることを特徴とするものである。

【００３５】本願請求項４に係るネットワーク接続管理
システムは、請求項１または２のネットワーク接続管理
システムにおいて、前記セキュアコネクション装置は、
受信した通信電文が通信を予定されているセキュアコネ
クション装置からの通信電文であることを認証する認証
手段を有していることを特徴とするものである。

【００３６】本願請求項５に係るネットワーク接続管理
システムは、請求項１または２のネットワーク接続管理
システムにおいて、前記セキュアコネクション装置は、
メッセージダイジェスト方式により、通信電文に対する
改竄の有無をチェックする改竄チェック手段を有してい
ることを特徴とするものである。

【００３７】

【発明の実施の形態】次に、本発明による「インターネ
ット環境下のシームレスなネットワーク接続管理システ
ム」の実施形態について図面を用いて以下に説明する。

【００３８】図１に本発明の一実施形態によるネットワ
ーク接続管理システムの構成を示す。

【００３９】図１に示すように、この実施形態の例によ
るネットワーク接続管理システム１は、インターネット
２を介して接続された二つのプライベートネットワーク
群３，４を有している。

【００４０】各プライベートネットワーク群３，４は、
インターネット２との間にファイアウォール５を設けて
いる。

【００４１】プライベートネットワーク群３は、さらに
ファイアウォール５を介して接続された二つのネットワ
ーク６，７を有している。一方、プライベートネットワ
ーク群４は、同様にファイアウォール５を介して接続さ
れた二つのネットワーク８，９を有している。

【００４２】ネットワーク６，７，８，９にはそれぞれ
一つのセキュアコネクション装置１０が接続されてい
る。セキュアコネクション装置１０の機能についてはさ
らに後述する。

【００４３】また、ネットワーク７にはプライベートネ
ットワーク群３，４全体のシステムの運用管理を行う管
理装置１１が接続されている。

【００４４】ここで、システムの運用管理とは、ネット
ワーク管理やユーザーアカウント管理などのように通常
ＯＳが行う管理のほか、システムリソースの監視、ジョ
ブスケジュール、ソフトウェアの配布など、総合的な使
用状況の管理をいう。

【００４５】管理装置１１によって多数のエージェント
が管理されている。エージェントは、具体的には種々の
サービスを提供するサーバーであり、図１に示すように
ＷＥＢサーバーやメールサーバーやデータベースサーバ
ー（図中ではＤＢサーバーと表示）やアプリケーション
サーバー（図中ではＡＰＬサーバーと表示）などがあ
る。

【００４６】この他に、ネットワーク６，７，８，９に
は、図示しないコンピューターが直接あるいは間接的に
（サーバーのクライアントとして）接続されている。

【００４７】ネットワーク接続管理システム１によれ
ば、一つのネットワーク内のコンピューターからから他
のネットワークのコンピューターに送信する場合、送信
側コンピューターからの通信電文は、最初にそのネット
ワークのセキュアコネクション装置１０に送られ、その
セキュアコネクション装置１０から隣接のネットワーク
のセキュアコネクション装置１０に送られ、そのネット
ワーク内に目的のコンピューターが無い場合には、さら
に隣接のネットワークのセキュアコネクション装置１０
に通信電文を受け渡してゆく。最終的に目的の受信側コ
ンピュータが接続されているネットワークのセキュアコ
ネクション装置１０に通信電文が到着すると、そこのセ
キュアコネクション装置１０によって受信側コンピュー
ターに送信される。

【００４８】すなわち、ネットワーク接続管理システム
１によれば、送信側コンピューターはインターネットが
介在するネットワークに対しても、グローバルＩＰアド
レスを意識する必要が無く、受信側コンピューターのプ
ライベートＩＰアドレスを記載するのみで、あたかも同
一ネットワーク内にあるように目的のコンピューターに
対して送信することができるのである。受信についても
同様である。

【００４９】上記通信電文の送受信について以下にさら
に詳細に説明する。

【００５０】図２は、上記シームレスなネットワーク接
続を実現するためのセキュアコネクション装置１０の構
成と処理の流れを示す。

【００５１】なお、図２ではセキュアコネクション装置
１０ａが送信側でセキュアコネクション装置１０ｂが受
信側の場合の動作を示しているが、セキュアコネクショ
ン装置１０ｂが送信側でセキュアコネクション装置１０
ａが受信側となる場合には、図２における通信電文の流
れがセキュアコネクション装置１０ａと１０ｂの間で入
れ替わることを理解されたい。

【００５２】本実施形態のセキュアコネクション装置１
０ａと１０ｂはそれぞれ、通信データ変換手段１２と、
ＩＰアドレス変換手段１３と、フィルタリング手段１４
と、暗号処理手段１５と、認証手段１６と、改竄チェッ
ク手段１７と、通信手段１８とを有している。

【００５３】通信データ変換手段１２は、通信電文を送
信側及び受信側プライベートＩＰアドレスを含めてパケ
ットのデータ部に変換し、あるいはその逆にパケットか
ら通信電文への変換を行う手段である。

【００５４】ＩＰアドレス変換手段１３は、前記パケッ
トのＩＰヘッダに隣接のセキュアコネクション装置のＩ
Ｐヘッダを付す手段である。

【００５５】フィルタリング手段１４は、通信電文中の
受信側プライベートＩＰアドレスが指すサーバーの正当
性、あるいは要求しているプログラムの正当性をチェッ
クし、正常な通信電文である場合に受信側のコンピュー
ターに通信電文を送信する手段である。

【００５６】暗号処理手段１５は、通信電文の暗号化あ
るいは復号化を行う手段である。

【００５７】認証手段１６は、受信した通信電文が通信
を予定されているセキュアコネクション装置からの通信
電文であることを認証する手段である。

【００５８】改竄チェック手段１７は、メッセージダイ
ジェスト方式により、通信電文に対する改竄の有無をチ
ェックする手段である。

【００５９】なお、上記暗号処理手段１５、認証手段１
６、改竄チェック手段１７は、セキュリティレベルを上
げる場合に必要により付加するものであるので、システ
ムの設計により適宜省略することができる。

【００６０】図２において、点線は通信電文の流れを示
している。

【００６１】最初に、送信側セキュアコネクション装置
１０ａが、そのネットワーク内の送信側コンピューター
から通信電文を受信する。この通信電文には、あたかも
同一ネットワーク内のように送信側コンピューターのプ
ライベートＩＰアドレスと受信側コンピューターのプラ
イベートＩＰアドレスが付けられている。

【００６２】次に、上記通信電文は、通信データ変換手
段１２により、その送信側および受信側ＩＰアドレスを
含めてパケットのデータ部に変換される。

【００６３】上記パケットに変換された通信電文は、次
にＩＰアドレス変換手段１３により、ＩＰヘッダに隣接
ネットワークのセキュアコネクション装置のグローバル
ＩＰアドレスを付される。

【００６４】次に、上記ＩＰヘッダにグローバルＩＰア
ドレスを付されたパケットは、暗号処理手段１５により
暗号化される。暗号化はインターネット上で通信電文の
中身を第三者に見られないようにするためである。な
お、暗号化・復号化は、任意の公知の暗号化技術を使用
でき、たとえば送信側セキュアコネクション装置１０ａ
と受信側セキュアコネクション装置１０ｂで共通の秘密
鍵を持つようにすることができる。

【００６５】上記暗号化された通信電文は、送信側セキ
ュアコネクション装置１０ａの通信手段１８からファイ
アウォール５やインターネット（図示せず）を介して受
信側セキュアコネクション装置１０ｂに送信される。な
お、送信側セキュアコネクション装置１０ａと受信側セ
キュアコネクション装置１０ｂの間では、予めファイア
ウォール５を通過することができるポートを割り当てら
れ、このポートを通じてＴＣＰ／ＩＰプロトコルにより
通信できるように構成されている。

【００６６】受信側セキュアコネクション装置１０ｂに
よって受信された通信電文のパケットは、受信側セキュ
アコネクション装置１０ｂの通信データ変換手段１２と
ＩＰアドレス変換手段１３によりネットワーク内で使用
する通信電文に変換される。

【００６７】この通信電文は、暗号処理手段１５により
復号化される。次に、認証手段１６によって送信側のセ
キュアコネクション装置が通信を予定しているセキュア
コネクション装置か否かをチェックされる。

【００６８】さらに、通信を予定しているセキュアコネ
クション装置からの送信であっても、第三者がそのセキ
ュアコネクション装置になりすましている可能性あるい
は改竄を行った可能性を排除するために、認証された通
信電文は改竄チェック手段１７によってチェックされ
る。

【００６９】改竄チェック手段１７による改竄のチェッ
クは、たとえば、一定のアルゴリズムによって時間とと
もに変化するデータを通信電文に含ませて、メッセージ
ダイジェスト化する方法をとることによって実現するこ
とができる。

【００７０】上述した認証と改竄チェックを経た通信電
文は、さらにフィルタリング手段１４により、受信側プ
ライベートＩＰアドレスが指すサーバー（受信側コンピ
ューター）の正当性、あるいは要求しているプログラム
の正当性をチェックされる。

【００７１】受信側プライベートＩＰアドレスが指すサ
ーバーの正当性がチェックされることにより、また、通
信電文が要求している処理を示すプログラム種別の正当
性がチェックされることにより、限定されたサーバー
と、限定された処理に対する通信電文のみがフィルタリ
ング手段１４を通過できるようになる。

【００７２】フィルタリング手段１４を通過した通信電
文は、そのネットワーク内の該当するサーバー（受信側
コンピューター）に送信され、処理される。

【００７３】このとき、受信側セキュアコネクション装
置１０ｂのネットワーク内に該当するサーバーがない場
合には、この通信電文は、受信側セキュアコネクション
装置１０ｂにより、さらに隣接のネットワークのセキュ
アコネクション装置に転送される。このように転送を繰
り返すことにより、最終的に目的の受信側コンピュータ
ーに通信電文が送信される。

【００７４】以上が本実施形態のネットワーク接続管理
システム１によるネットワーク接続のメカニズムであっ
たが、このメカニズムを利用することにより種々の効果
を奏するネットワーク接続管理システムを実現すること
ができる。

【００７５】上述したことから明らかなように、本実施
形態のネットワーク接続管理システム１によれば、プラ
イベートネットワーク内のコンピューターが他のプライ
ベートネットワーク内のコンピューターに通信電文を送
信する場合に、送信側コンピュータはインターネットを
経由する場合のグローバルＩＰアドレスを意識する必要
が無く、受信側コンピューターのプライベートＩＰアド
レスを記載すればよい。なぜなら、インターネットを経
由する場合には、必要に応じてセキュアコネクション装
置１０のＩＰアドレス変換手段１３によって必要なグロ
ーバルＩＰアドレスが付されるからである。

【００７６】これにより、ＶＰＮ・ＮＡＴと同等のイン
ターネット環境下の異ネットワーク間のシームレスな接
続を実現することができる。

【００７７】その一方で、本実施形態のネットワーク接
続管理システムによれば、セキュアコネクション装置１
０において、通信を許されたセキュアコネクション装置
からの送信であるか（認証手段１６の作用）、通信電文
に改竄が行われたか否か（改竄チェック手段１７の作
用）、正当なサーバーに対する正当な処理要求であるか
否か（フィルタリング手段１４の作用）をチェックす
る。

【００７８】これにより、ＶＰＮ・ＮＡＴでは実現する
ことができない接続ネットワーク間のセキュリティを実
現することができる。ＶＰＮ・ＮＡＴでは、予め接続す
ることを約束したネットワーク間では、専用線のように
互いにアクセスすることができるので、接続ネットワー
クの一つにすでに侵入した不正なユーザーのアクセス
や、接続ネットワークからの不正なアクセスを防止する
ことができない。これに対して、本発明のネットワーク
接続管理システムによれば、各ネットワーク間でセキュ
アコネクション装置１０で集中的に上述したようなチェ
ックを行えるようになり、接続を約束したプライベート
ネットワーク群の内部でもネットワーク間でセキュリテ
ィを実現することができるのである。

【００７９】また、本発明のネットワーク接続管理シス
テムによれば、フィルタリング手段により正当なサーバ
ーに対する正当な処理要求のみを当該サーバーに送信す
るようにすることができる。

【００８０】これにより、接続されたプライベートネッ
トワーク群の中で、特定の処理を行う特定のサーバーを
指定して独立の特定処理システムを一つまたは複数確立
することができる。

【００８１】これにより、たとえば、同一の接続された
プライベートネットワーク群の中で、特定の種類の情報
や処理を提供するサーバーが指定され、当該サーバーの
クライアントのみがその情報や処理の提供を受けること
かできるというように、同一の接続されたプライベート
ネットワーク群内で、複数の独立した処理システムを独
立的にかつ重畳的に有することができる。

【００８２】図１に示したプライベートネットワーク群
３，４の運用管理システムは、上記特定処理を行うシス
テムの一例ということができる。

【００８３】このプライベートネットワーク群３，４の
運用管理システムでは、管理装置１１とそのエージェン
ト（ＷＥＢサーバー、メールサーバー等）がこの運用管
理システムを構成するコンピューターとなる。

【００８４】この運用管理システム内では、管理装置１
１が各エージェントに対してシステムリソースを監視
し、ジョブのスケジューリングを行い、適宜プログラム
の更新等を行う。管理装置１１は各エージェントに対し
て、各エージェントの処理状況の報告を要求する通信電
文を送り、それに対して各エージェントは自らの処理状
況を通信電文によって送信する。各エージェントから処
理状況の報告を受けた管理装置１１は、各エージェント
に対して処理すべきジョブを指示し、各エージェント間
のジョブのスケジューリングを行うことができる。

【００８５】この運用管理システムによれば、インター
ネットを介して接続された物理的に隔離された複数のネ
ットワーク群に対して、従来不可能であった本明細書に
いう「システムの運用管理」を行うことができるように
なるのである。

【００８６】

【発明の効果】以上の説明から明らかなように、本発明
のネットワーク接続管理システムによれば、セキュアコ
ネクション装置の作用により、ＶＰＮ・ＮＡＴ技術のよ
うにインターネットを経由することを意識することな
く、インターネット環境下で接続されたプライベートネ
ットワーク間で専用線のような通信を可能とするのと同
時に、接続されたネットワーク間で通信電文の正当性を
チェック可能とし、ネットワーク間のセキュリティを維
持しつつシームレスな接続を実現することができる。

【００８７】また、本発明のネットワーク接続管理シス
テムをシステムの運用管理に使用することにより、イン
ターネットを介して接続された物理的に離れたネットワ
ーク群に対して、ネットワーク全体のシステムリソース
の監視、ジョブスケジューリング、ソフトウェアの配布
更新等を含むシステムの運用管理を行うことが可能とな
る。

【００８８】さらに、インターネットを介して接続され
たネットワーク群の中で、特定のコンピューターに特定
の処理を割り当てることにより、前記ネットワーク群の
中で独立の処理システムを有することができるようにな
る。

【図面の簡単な説明】

【図１】本発明の一実施態様によるネットワーク接続管
理システムの構成を示した図。

【図２】本発明におけるセキュアコネクション装置の内
部の構成とその処理の流れを示したブロック図。

【図３】従来のＶＰＮ・ＮＡＴ技術を説明するための
図。

【符号の説明】

１ ネットワーク接続管理システム ２ インターネット ３ プライベートネットワーク群 ４ プライベートネットワーク群 ５ ファイアウォール ６ ネットワーク ７ ネットワーク ８ ネットワーク ９ ネットワーク １０ セキュアコネクション装置 １１ 管理装置 １２ 通信データ変換手段 １３ ＩＰアドレス変換手段 １４ フィルタリング手段 １５ 暗号処理手段 １６ 認証手段 １７ 改竄チェック手段 １８ 通信手段

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁷ 識別記号 ＦＩ テーマコート゛(参考） Ｈ０４Ｌ 12/22 Ｆターム(参考） 5B089 GA31 GB08 KA17 KB04 KB06 KC58 KH03 KH04 KH30 5K030 GA15 HA08 HC01 HC14 HD03 HD06 HD09 JA05 JA10 JT06 KA05 LA07 LD19 5K033 AA08 CB01 CB06 CB09 DA05 DB12 DB14 DB16 DB19 DB20 EA07 EC04 9A001 BB04 EE02 EE03 JJ25 KZ60 LL03 LL09

Claims (5)

【特許請求の範囲】
1. 【請求項１】ファイアウォールを介して接続された２以
   上のネットワークのそれぞれにセキュアコネクション装
   置を設け、隣接するネットワークのセキュアコネクショ
   ン装置の間にはファイアウォールを通過可能なポートを
   有するように構成し、 前記セキュアコネクション装置は、 送信側及び受信側プライベートＩＰアドレスを含む通信
   電文をパケットのデータ部に変換し、あるいはその逆に
   パケットから通信電文への変換を行う通信データ変換手
   段と、 前記パケットのＩＰヘッダに隣接のセキュアコネクショ
   ン装置のＩＰヘッダを付すＩＰアドレス変換手段と、 前記通信電文中の受信側プライベートＩＰアドレスが指
   すサーバーの正当性、あるいは要求しているプログラム
   の正当性をチェックし、正常な通信電文である場合に受
   信側のコンピューターに通信電文を送信するフィルタリ
   ング手段と、を有していることを特徴とするネットワー
   ク接続管理システム。
2. 【請求項２】前記ファイアウォールを介して接続された
   ２以上のネットワークは、ネットワーク全体のシステム
   リソース監視、ジョブスケジュール、ソフトウェア配布
   を含むシステムの運用管理を行う管理装置と、前記管理
   装置によって管理される複数のエージェントを有し、 前記管理装置は、前記セキュアコネクション装置を通じ
   てシステムの運用管理用の通信電文を前記エージェント
   との間で交信することにより、インターネット環境下で
   物理的に離れた複数のネットワークに対してシステム運
   用管理を行うことを特徴とする請求項１に記載のネット
   ワーク接続管理システム。
3. 【請求項３】前記セキュアコネクション装置は、パケッ
   トを暗号化し、あるいは復号化する暗号処理手段を有し
   ていることを特徴とする請求項１または２に記載のネッ
   トワーク接続管理システム。
4. 【請求項４】前記セキュアコネクション装置は、受信し
   た通信電文が通信を予定されているセキュアコネクショ
   ン装置からの通信電文であることを認証する認証手段を
   有していることを特徴とする請求項１または２に記載の
   ネットワーク接続管理システム。
5. 【請求項５】前記セキュアコネクション装置は、メッセ
   ージダイジェスト方式により、通信電文に対する改竄の
   有無をチェックする改竄チェック手段を有していること
   を特徴とする請求項１または２に記載のネットワーク接
   続管理システム。