JP2005210583A - アクセス制御方式 - Google Patents

Abstract

【課題】 家庭内ＬＡＮに設置したネットワークカメラを、外部ネットワークであるインターネット上からアクセスする場合には、ユーザ認証などのアクセス制限を行い、同じネットワークである家庭内ＬＡＮからアクセスする場合には、ユーザ認証のためのユーザ名、パスワード入力を不要とする。
【解決手段】 ネットワークカメラが受信したパケットの送信元が、家庭内ＬＡＮをインターネットに接続するルータであるかを、ＩＰアドレスにより判断する。送信元のＩＰアドレスがルータである場合のみ、ユーザ認証を行う。また、ルーティングテーブルの設定を使い、外部ネットワークからカメラへアクセスするポート番号と、内部ネットワークからカメラへアクセスするポート番号が別々になるように設定し、外部ネットワーク用のポートへのアクセスに対して、ユーザ認証を行う。
【選択図】 図１

Description

本発明は、通信中継装置により、ＷＡＮから分離されたＬＡＮに接続される通信端末装置における、アクセス制御方法に関する。

インターネットの普及に伴い、ネットワークに接続される多種多様なデバイスが増加している。その中でも最近、企業のみならず、個人でも広く使われるようになった、ネットワークに接続可能なカメラがある。ネットワークへの接続形態はいくつかあり、カメラの映像、音声出力をＰＣへ入力し、ＰＣが圧縮処理などを行い、ネットワーク上へ送信するもの、カメラ専用のネットワークアダプタを接続するものや、カメラとネットワークアダプタが一体になり、カメラにネットワークインターフェースがついているのなど、その形態は、さまざまである。企業におけるこれらのカメラの使われ方は、監視やテレビ電話といった用途に古くから使われ、また個人での使用目的は、ホームセキュリティや、テレビ電話、そして外出中ペットの様子を確認したいなどといったものである。

図９に、個人でネットワークカメラを使用する例を示す。図は、オフィスＬＡＮとホームＬＡＮ間を、ＷＡＮで接続した、ネットワークの構成図である。図９左側の点線部は、ホーム環境を示しており、ＷＡＮ環境としてのインターネットと、ＬＡＮ環境下を、ルータ９０３により相互接続している。ルータ９０３の下には、ネットワークカメラ９０４と、ＰＣ９０５が接続されている。また、もう一方、図右側の点線部は、オフィス環境を示しており、インターネットとＬＡＮ環境下を、ルータ９０１により相互接続し、ルータ９０１の下には、ＰＣ９０２が接続されている。このように構成されているネットワークにおいて、オフィスからホームの様子を確認する場合には、オフィスＬＡＮに接続されているＰＣ９０２から、ルータ９０１を経由し、ＷＡＮ網を通り、ホームＬＡＮのルータ９０３を介して、ネットワークカメラ９０４にアクセスする。ネットワークカメラは、ルータ９０３経由により、インターネット上の不特定多数からのアクセスが考えられるため、ユーザ認証によるアクセス制限をかけている。

アクセス制限は、あらかじめユーザ名、パスワードを、カメラに登録しておき、カメラへのアクセス時、ユーザ名とパスワードを送ることにより、映像および音声の配信が受けられるようになる。このようなアクセス制限を行う従来例として、特許文献１記載の“画像伝送装置および画像伝送を実行するプログラムを記憶した記憶媒体”がある。カメラを制御するＰＣには、専用のブラウザが装備されており、該ブラウザとともに、カメラのＩＰアドレスや設定項目が保存されている。また、カメラにはユーザとパスワードが登録されており、ＰＣ上の専用ブラウザが送信する情報を受け取ると、パスワード要求信号を送信する。ＰＣの専用ブラウザでは、パスワード入力ダイアログが表示され、ユーザがキーボードなどからパスワードを入力すると、カメラでキャプチャ、ＪＰＥＧ圧縮された画像が受信され、ＰＣで画像データを復号し、ブラウザで表示するようになっている。カメラにあらかじめ登録されているユーザ名とパスワードの設定方法については説明されていないが、ＰＣから特別なユーザ（ａｄｍｉｎｉｓｔｒａｔｏｒなど）でカメラにアクセスし、必要なユーザとパスワードを設定する方法が、一般的である。

また、アクセス制限の他の方法として、ルータやサーバなど、通信中継装置がユーザ認証を行い、カメラへのアクセスを保護するものがある。このようなアクセス制御を行う従来例として、特許文献２記載の“通信中継装置、通信中継方法、および通信端末装置、並びにプログラム記憶媒体”がある。サーバには専用のデーモンが存在し、ネットワーク接続機器（ルータ）のある予約ポートとしてのウェルノウンポート（Ｗｅｌｌ Ｋｎｏｗｎ Ｐｏｒｔ）にＴＣＰ／ＵＤＰコネクトするものである。ＷＡＮ側からネットワーク接続機器のデーモンにアクセスすると、ＣＧＩ（Ｃｏｍｍｏｎ Ｇａｔｅｗａｙ Ｉｎｔｅｒｆａｃｅ）を使用し、ＨＴＴＰｄサーバが認証を行う。この認証を事前に登録してあるユーザ名、パスワードにより、その後のアクセス制御権が与えられる方式である。通信中継装置が行うアクセス制限は、このほかに、上記のような特別なデーモンでなく、サーバのファイアウォール機能を使い、ＷＡＮからホームＬＡＮへの不正侵入を防ぐ方法もある。
特開２０００−１７５１７９号公報 特開２００２−１４１９５３号公報

しかしながら、従来の方法である、カメラがユーザ認証等によるアクセス制限をする場合、図９のホームＬＡＮに接続されたＰＣ９０５から同じＬＡＮ上に接続されているカメラ９０４にアクセスする場合においても、ユーザ名、パスワードを入力し、ユーザ認証を得なければならない。こうしたことは、たとえば、カメラが設置されている場所が玄関であり、ＰＣがリビングに置かれており、玄関に誰かが尋ねてきた時、誰が来たかをカメラで確認しようとする。このとき、カメラへアクセスするのに、毎回ユーザ名、パスワードを入力しなければならず、すぐに映像が見られないため、使い勝手が悪いものとなる。また、家のどこかで不審音がし、家の中に設置された数台のカメラの映像を見たいときに、１台１台のカメラにアクセスするごとに、ユーザ名、パスワードを入力していては、セキュリティとして意味をなさなくなってしまう。

また従来のもう一方のアクセス制御方式である、ルータ、またはサーバによる方法においては、ホームＬＡＮに接続されるＰＣ９０５からカメラ９０４へのアクセスは、ユーザ認証が必要でないために、前記のような問題はないと考えられる。しかし、ルータ９０３では、ＷＡＮからカメラ９０４へのアクセスには、カメラへのアクセスを許可するユーザ認証データを使った認証を行い、また、ＰＣ９０５には、ＰＣへのアクセスを許可するユーザ認証データを使って、ユーザ認証をしなければならないなど、ＬＡＮに接続されるデバイスが多いほど、その設定が複雑になってしまう。

本発明では、このような不都合を解消するアクセス制御方式を提示することであり、ＷＡＮからのアクセスに対しては、ユーザ認証などによるアクセス制御を行い、ＬＡＮ内部からのアクセスに対しては、ユーザ認証を必要とせず、またルータによるアクセス制御が不要な、アクセス制御方式にすることである。

本発明に係るアクセス制御方式は、外部ネットワークとローカルネットワークとの中継手段として機能し、ＮＡＴ、もしくはＩＰマスカレード機能を有する通信中継装置とローカルネットワークに接続され、ＩＰＩプロトコルを有する複数の内部端末と、外部ネットワークに接続される外部端末において、外部端末は、ＩＰＩプロトコルにより、外部端末から前記内部端末に接続可能な状態であり、外部端末から、内部端末にアクセスする際、通信中継装置はＮＡＴもしくはＩＰマスカレード機能により、外部端末からのパケットを内部端末に送信し、内部端末は、ネットワークからのアクセスを、そのＩＰアドレスから、通信中継装置からのアクセスか、それ以外の内部端末かを判断し、通信中継装置からのアクセスであった場合、アクセス制限をし、それ以外の内部端末からのアクセスであった場合、アクセス制限をしないことを特徴とする。

さらに、本発明に係る他のアクセス制御方式は、外部ネットワークとローカルネットワークとの中継手段として機能し、ＮＡＴ、もしくはＩＰマスカレード機能を有する通信中継装置とローカルネットワークに接続され、ＩＰＩプロトコルを有する複数の内部端末と、外部ネットワークに接続される外部端末において、外部端末は、ＩＰＩプロトコルにより、外部端末から前記内部端末に接続可能な状態にあり、外部端末から、内部端末にアクセスする際、通信中継装置はＮＡＴもしくはＩＰマスカレード機能により、外部端末からのパケットを、内部端末の特定のポート番号に送信し、内部端末は、ネットワークからのアクセスが、前記特定のポート番号か否かを判断し、特定のポート番号へのアクセスであった場合、アクセス制限をし、その他のポート番号へのアクセスであった場合、アクセス制限をしないことを特徴とする。

本発明のアクセス制御方式では、ＬＡＮに接続されたネットワークカメラが、ＷＡＮからアクセスしてきたパケットか、同じＬＡＮ上のデバイスからアクセスしてきたパケットかを判断することにより、ＷＡＮからのアクセスには、ユーザ認証によるアクセス制限を行い、同じＬＡＮからのアクセスには、ユーザ認証なしに、カメラを制御することができるようになる。そのため、ＷＡＮからのカメラアクセスを可能な状態にしてあっても、不特定多数からカメラを制御されることがなく、セキュリティを維持することができる。そして、同じＬＡＮからのアクセスでは、毎回ユーザ名、パスワード入力することがないので、わずらわしさがなく、使い勝手が向上する効果がある。

以下本発明を実施するための最良の形態を、実施例により詳しく説明する。

以下、図面を参照して、本発明の実施の形態を詳細に説明する。

１．ネットワーク構成
図１は、本発明の一実施例における、ネットワーク構成図を示したものである。点線で囲まれる１００は、オフィス環境ＬＡＮを示しており、ルータ１０１は、ＷＡＮ環境としてのインターネットと、ＬＡＮ環境下を、相互接続している。ルータ１０１の下には、ＰＣ１０２が接続されている。もう一方の点線で囲まれている１１０は、ホーム環境ＬＡＮを示しており、サーバ１１１は、インターネットと、ＬＡＮ環境下を相互接続している。該サーバは、ルータ機能、ＤＨＣＰサーバ、ＩＰＩプロトコルの実装、メールクライアントといった機能を有している。ここで、ＩＰＩプロトコルとは、同出願人による“ネットワークアクセス制御装置およびサービス提供システム”で説明されているプロトコルのことを示す。１１のサーバを、以下ホームサーバと呼ぶ。ホームサーバのＷＡＮ側となるインターネット側のＩＰアドレスは、グローバルアドレス（２１１．４．２５１．１９３）が取得されているものとする。また１１０内部のＬＡＮ側は、プライベートアドレスであり、ホームサーバのＬＡＮ上のアドレスは、１９２．１６８．０．１とする。ホームサーバを通信中継装置としたＬＡＮ上には、複数のネットワークカメラ１１２、１１３、１１４と、ＰＣ１１５が接続されている。これらのデバイスは、サーバのＤＨＣＰ機能により、プライベートアドレスが付与され、ネットワークカメラ１は１９２．１６８．０．２、ネットワークカメラ２は１９２．１６８．０．３、ネットワークカメラ３は１９２．１６８．０．４、そしてＰＣには１９２．１６８．０．５が、それぞれ付与されている。またＩＰマスカレードにより、これらのデバイスは、外部ネットワークであるインターネットとの接続が可能な状態である。ネットワークカメラは、それぞれ異なる場所に設置されており、１つは玄関で、来客を確認できる位置に設置され、１つはリビングで、テレビ電話をするときや、外部から部屋の様子を確認するときに使われる。またもう１つは車庫に設置され、車の防犯に使われている。これらのカメラには、ＩＰＩプロトコルが実装されており、後述するデバイス発見機能や、データ転送に関するプロトコル独自の機能を有している。また、インターネット上にはＩＳＰにより運用されているメールサーバ１２０があり、ホームＬＡＮやオフィスＬＡＮからの使用が可能となっている。

図２は、ネットワークカメラのファームウェア上に実装されるサーバ機能と、該機能を使うホームサーバに関して示した図である。２０１はホームサーバを示し、２０２はネットワークカメラを示している。ネットワークカメラ内部のファームウェアには、２０３ＩＰＩデバイス発見プロトコルサーバ機能、２０４ＨＴＴＰサーバ機能、２０５ＡＳＦサーバ機能が実装されている。２０３ＩＰＩデバイス発見プロトコルサーバ機能は、ホームサーバ間との間で、ネットワーク上でＩＰＩ通信を開始するための発見手順を実現する機能である。後に動作フローにより簡単に説明する。２０４ＨＴＴＰサーバ機能は、ＩＰＩプロトコルによるカメラのコンフィグレーションと制御を、ホームサーバ間で通信するために使われる。２０５ＡＳＦサーバ機能は、ネットワークカメラが送信するビデオ、オーディオデータをＡＳＦフォーマットに加工し、ストリーミング配信するための機能である。ネットワークカメラは、これらのサーバ機能により、ネットワーク上において、自動デバイス認識、遠隔操作、オーディオとビデオのストリーミングを実現している。

２．ＩＰＩプロトコルの簡単な説明
２．１ デバイス発見
次に、ＩＰＩデバイス発見プロトコルに関して説明する。ＩＰＩデバイス発見は、図１に示すようなＬＡＮ環境１１０において、デバイスであるネットワークカメラと、ホストであるホームサーバ間で、デバイスの自動認識を実現させる機能である。図３は、ネットワークカメラとホームサーバ間の、デバイス発見時の動作フローを示した図である。３０１はネットワークカメラの動作を、３０２はホームサーバの動作を、そして３０３はＤＨＣＰサーバに関する動作を示すものである、ＤＨＣＰサーバは、ホームサーバが行う機能の一部であってもよいし、ＬＡＮ上の他の機器がもつ機能であってもよい。ここでは、ホームサーバのＩＰＩプロトコル動作と区別するため、ＤＨＣＰサーバの機能を別に示している。まず、ネットワークカメラがＬＡＮに接続、および、ＬＡＮに接続されていたネットワークカメラの電源が投入される（Ｓ３０４）と、ＤＨＣＰサーバ（３０３）は、ネットワークカメラにプライベートアドレスを付与する（Ｓ３０５）。ＤＨＣＰサーバによるプライベートアドレス付与方法については、説明を省略する。プライベートアドレスが付与されたネットワークカメラは、ネットワーク上でＩＰＩデバイスが有効になったことを示すため、自ＩＰアドレスをパラメータとしたデバイス通知パケットを、ＵＤＰでブロードキャストする。図４に、Ｓ３０６でブロードキャストされるパケット内容を示す。４０１は、ＵＤＰパケットのヘッダ部分であり、詳細は省略する。４０２はＩＰＩプロトコルであることを示すプロトコルＩＤ”ＩＰＩ”を格納する。データ長は４バイトである。４０３はＩＰＩプロトコルバージョンを示す。バージョン１．０を０ｘ０１００と示す。データ長は２バイトである。４０４は、パケットを送信した機器が、ホストかデバイスかを識別するパケットソース番号である。該パケットソース番号は、ホストであるホームサーバが割り当てる番号であり、ＩＤ未割り当て時は、２５４を使用する。ここでは、まだパケットソース番号が割り当てられていないので、２５４を格納する。データ長は１バイト。４０５は、パケットの種類を示すパケットタイプである。デバイス通知パケットは、４が格納される。データ長は１バイト。４０６は、パケットタイプごとに決まるデータ領域である。デバイス通知パケットでは、ここに能力タイプを格納する。ネットワークカメラでは、ビデオ、オーディオ、および雲台能力を有するビットを有効にした値を格納する。

図４に示されたデバイス通知パケットを、ネットワークカメラがブロードキャストする（Ｓ３０６）と、ホームサーバはこれを受信し、ＩＰＩデバイスであるネットワークカメラが、ＬＡＮ上に接続されたことを認識する。デバイスを認識したホームサーバは、ネットワークカメラのＵＤＰポート８０７９にＩＰＩ＿ＤＩＳＣＯＶＥＲＹ＿ＭＳＧメッセージを送信する（Ｓ３０７）。ＩＰＩ＿ＤＩＳＣＯＶＥＲＹ＿ＭＳＧには、プロトコルＩＤ、ホストのＩＰアドレス、ＩＰＩで使用するポート番号などの情報が格納されている。デバイス通知パケットをブロードキャストしたネットワークカメラは、ホストからのメッセージを受信するために、ＵＤＰポート８０７９を監視する。このポートに応答がない場合には、一定の間隔で、デバイス通知パケットを送信し続ける。ホームサーバが送信したＩＰＩ＿ＤＩＳＣＯＶＥＲＹ＿ＭＳＧを、ネットワークカメラが受信すると（Ｓ３０７）、ネットワークカメラは、メッセージ内部に示されているホームサーバのポート番号にアクセスするために、ＴＣＰポートをオープンする（Ｓ３０８）。

次に、オープンされたＴＣＰポートを使って、ネットワークカメラは、ＩＰＩ＿ＤＩＳＣＯＶＥＲＹ＿ＭＳＧをホームサーバに送信する。このメッセージ内部は、プロトコルＩＤ，ネットワークカメラのＩＰアドレス、ＩＰＩで使用するポート番号などが、格納されている。以上で、デバイスであるネットワークカメラ、およびホストであるホームサーバが、互いにネットワーク上で存在を認識したことにより、デバイス発見の一連の手順が終了する。ホスト−デバイス間は、この後、さらに詳しい情報を取得するために、ＩＰＩコネクションを確立し、デバイスからプロファイルを取得する（Ｓ３１０）。

２．２ ルータ設定
次に、ホームＬＡＮ上にあるネットワークカメラを、オフィスＬＡＮ上のＰＣからアクセス可能にするための、ルータ設定について説明する。

ホームＬＡＮ上のデバイスは、ホームサーバに割り当てられている１つのグローバルアドレスを使って、インターネットにアクセスする。そのため、ホームサーバは、ＩＰマスカレード（拡張ＮＡＴ）機能を有している。一般的にＩＰマスカレードは、ＬＡＮ側からＷＡＮ側へ送信されるパケットに対して、動的にアドレス・ポート変換テーブルを生成する。その変換テーブルが有効である間は、同じ組のアドレス・ポートなら相互に通信できる。しかし、ＷＡＮ側からのパケットに対しては、動的に変換テーブルが生成することはない。これは、オフィスＬＡＮに接続されているＰＣから、ホームＬＡＮのネットワークカメラへアクセスしようとするときに、問題となる。これを可能にするために、アドレス変換テーブルを‘静的’に設定する、ポートフォワーディングの設定が必要になってくる。図５は、その設定を行ったＩＰアドレス・ポート変換テーブルの一例である。この変換テーブルは、ＷＡＮから、各ネットワークカメラのポート８０（ＨＴＴＰサーバ２０４）へアクセスできるように設定したものである。ホームサーバのＷＡＮ側ＩＰアドレス２１１．４．２５１．１９３のポート８０５０へのアクセスは、プライベートアドレス１９２．１６８．０．２が付与されている、ネットワークカメラ１（１１２）のポート８０へフォワーディングされる。また同様に、ＷＡＮ側からホームサーバのポート８０５１へのアクセスは、ネットワークカメラ２のポート８０へ、ＷＡＮ側からホームサーバのポート８０５２へのアクセスは、ネットワークカメラ３のポート８０へ、それぞれフォワーディングされる。フォワーディングされたパケット内容により、ネットワークカメラがこれに応答する場合、たとえばネットワークカメラ１は、その応答パケットを、ホームサーバのポート８０５０へ送信することにより、相互に通信することができる。なお、ホームサーバのＩＰアドレスおよび、各ネットワークカメラへアクセスするためのポート番号は、メールサーバ１２０を使い、ホームサーバがあらかじめ設定されたメールアドレスへ通知することにより、ユーザは知ることができる。

３．ネットワークカメラへのアクセス
次に、ＰＣからネットワークカメラへアクセスする過程を説明する。ネットワークカメラをＰＣからアクセスするには、図２で示した、ネットワークカメラファームのＨＴＴＰサーバ（２０４）へ、ＩＰＩコマンドを送信する。通常ＨＴＴＰプロトコルはポート番号８０を使用している。

はじめにオフィスＬＡＮ（１００）に接続されたＰＣ（１０２）から、ホームＬＡＮ（１１０）に接続されているネットワークカメラへアクセスするまでの手順について説明する。該ＰＣからネットワークカメラへアクセスするには、まずＰＣは、ホームＬＡＮの通信中継装置であるホームサーバへアクセスする。ネットワークカメラ１へアクセスするためには、図５で示したように、ホームサーバ２１１．４．２５１．２９３のポート８０５０へＩＰＩコマンドパケットを送信する。該パケットを受信したホームサーバは、ＩＰアドレス・ポート変換テーブル（図５）により、ＩＰアドレスをネットワークカメラ１のプライベートアドレスである１９２．１６８．０．２のポート８０へ変換し、ネットワークカメラ１へ、パケットを転送する。転送されたパケットをネットワークカメラが受信してからの動作を、図６に示す。ネットワークカメラは、ポート８０へのアクセスを検知すると（Ｓ６０１）、そのパケットがＩＰＩプロトコルによるパケットであることを確認する（Ｓ６０２）。もしＩＰＩプロトコルパケットでない場合は、アクセスを拒否する（Ｓ６０８）。パケットがＩＰＩプロトコルであると確認されると、次に送信元を確認するために、受信したパケットから、送信元のＩＰアドレスを取得する。この取得したＩＰアドレスが、ホームサーバのＬＡＮ側アドレス１９２．１６８．０．１であるかどうかを判断する（Ｓ６０３）。この場合、ホームサーバはＩＰマスカレード機能により、パケットの送信元アドレスを、自身のＬＡＮ側ＩＰアドレスに変更している。そのため、Ｓ６０３においてネットワークカメラは、受信パケットの送信元が、ホームサーバであると、判断する。パケットの送信元がホームサーバであることから、ネットワークカメラは、受信パケットは、ＷＡＮから受信されたものと判断し、ユーザ認証によるアクセス制限を行う。ユーザ認証は、ユーザ名、パスワードを要求（Ｓ６０４）し、これが、あらかじめ登録されたものと一致するかを、判断する。ユーザ名、パスワードを要求するパケットは、ホームサーバへ送信され、ホームサーバは、アドレス変換を行い、ＷＡＮを経由して、オフィスＬＡＮに接続されたＰＣへ送信する。ＰＣを操作するユーザにより、ユーザ認証に必要な情報が書き込まれたパケットは、再度ホームサーバへ送信され、アドレス・ポート変換され、ネットワークＰＣへ転送される。ユーザ名、パスワードが書き込まれたパケットを受信したネットワークカメラは、これが正しいものか判断する（Ｓ６０５）。ユーザ名、またはパスワードが不一致であった場合、エラーカウントを＋１し、そのカウントが２回に達していないか判断する（Ｓ６０７）。エラーカウントが２回以下であった場合には、再度ユーザ名、パスワードの要求を行う（Ｓ６０４）。一方、エラーカウントが２回に達した場合は、その後のアクセスを拒否する（Ｓ６０８）。Ｓ６０５にて、ユーザ名、パスワードが一致した場合、アクセスは許可され、次のステップであるＩＰＩ接続を開始する。

ＷＡＮを経由したＰＣから、ホームＬＡＮ上に接続されるネットワークカメラをアクセスするには、上記のように、ユーザ認証によるアクセス制限がかけられている。一方、同じホームＬＡＮ上に接続されたＰＣ（１１５）から、ネットワークカメラへアクセスする場合には、次のような接続方法をとる。

ホームＬＡＮ上に接続されたＰＣは、ホームサーバを経由することなく、直接同じホームＬＡＮ上に接続されたネットワークカメラのポート８０へ、アクセスする（Ｓ６０１）。ポート８０へのアクセスを検知したネットワークカメラは、そのパケットがＩＰＩプロトコルパケットであることを確認する（Ｓ６０２）。パケットがＩＰＩプロトコルパケットでない場合は、アクセスを拒否する（Ｓ６０８）。パケットがＩＰＩプロトコルパケットであると確認されると、次にパケットの送信元のＩＰアドレスを取得する。このとき取得したＩＰアドレスは、ＰＣ（１１５）のプライベートアドレス１９２．１６８．０．５である。そのため、ネットワークカメラは、送信元はホームサーバでないと判断できる（Ｓ６０３）。送信元がホームサーバでなく、同じホームＬＡＮ上の他のデバイスからであることから、ネットワークカメラはユーザ認証を省略し、次のステップに進むためアクセスを許可する（Ｓ６０６）。

以上説明したように、ネットワークカメラは、ＷＡＮからのアクセスに対しては、ユーザ認証を行い、同じホームＬＡＮからのアクセスに対しては、ユーザ認証を行うことなく、制御可能状態にすることができる。これにより、ユーザは、外部からのアクセスに対してセキュリティを保持し、内部からのアクセスに対しては、ユーザ認証などのわずらわしい手続きをすることなく、ネットワークカメラを制御することができる。

本発明の、他の実施形態を、以下に説明する。

ネットワーク構成、そしてＩＰＩプロトコル−デバイス発見に関しては、実施例１と同じであるので、ここでは説明を省略する。

２．２ ルータ設定
ホームＬＡＮ上にあるネットワークカメラを、オフィスＬＡＮ上のＰＣからアクセス可能にするための、ルータ設定について説明する。

ホームサーバは、実施例１で説明したＩＰマスカレード、およびポートフォワーディングの設定を行う。図７は、その設定を行ったＩＰアドレス・ポート変換テーブルの例である。この変換テーブルは、ＷＡＮから、各ネットワークカメラのＨＴＴＰサーバへアクセスできるように設定したものである。通常ＨＴＴＰサーバはポート８０を使用するが、ホームサーバからのアクセスは、ポート８０５０にフォワーディングするように、設定する。よって、ホームサーバのＷＡＮ側ＩＰアドレス２１１．４．２５１．１９３のポート８０５０へのアクセスは、プライベートアドレス１９２．１６８．０．２が付与されている、ネットワークカメラ１（１１２）のポート８０５０へフォワーディングされる。また同様に、ＷＡＮ側からホームサーバのポート８０５１へのアクセスは、ネットワークカメラ２（１１３）のポート８０５０へ、ＷＡＮ側からホームサーバのポート８０５２へのアクセスは、ネットワークカメラ３（１１４）のポート８０５０へ、それぞれフォワーディングされる。ネットワークカメラは、フォワーディングされたパケット内容により、これに応答する場合、たとえばネットワークカメラ１は、その応答パケットを、ホームサーバのポート８０５０へ送信することにより、相互に通信することができる。なお、ホームサーバのＩＰアドレスおよび、各ネットワークカメラへアクセスするためのポート番号は、メールサーバ１２０を使い、ホームサーバがあらかじめ設定されたメールアドレスへ通知することにより、ユーザは知ることができる。

３ カメラへのアクセス
次に、ＰＣからネットワークカメラへアクセスする過程を説明する。はじめに、ホームＬＡＮ（１１０）に接続されているＰＣ（１１５）から、同じホームＬＡＮ上に接続されているネットワークカメラへアクセスする手順について説明する。

ホームＬＡＮ上に接続されたＰＣは、ホームサーバを経由することなく、直接同じホームＬＡＮ上に接続されたネットワークカメラへアクセスする。このとき、使用するポートは、ＨＴＴＰサーバが使用するデフォルトのポート８０へアクセスする（Ｓ８１１）。ポート８０へのアクセスを検知したネットワークカメラは、まずそのパケットがＩＰＩプロトコルパケットであることを確認する（Ｓ８１２）。パケットがＩＰＩプロトコルパケットでない場合は、アクセスを拒否する（Ｓ８１４）。パケットがＩＰＩプロトコルパケットである場合、このポートへのアクセスは、ホームＬＡＮ上の他のデバイスからのアクセスであることが、図７のアドレス・ポート変換テーブルより明らかであることから、ネットワークカメラはユーザ認証を省略し、次のステップに進むためアクセスを許可する（Ｓ８１３）。

次にオフィスＬＡＮ（１００）に接続されているネットワークカメラへアクセスするまでの手順について説明する。該ＰＣからネットワークカメラへアクセスするには、まずＰＣは、ホームＬＡＮの通信中継装置であるホームサーバへアクセスする。ネットワークカメラ１へアクセスするためには、図７で示したように、ホームサーバ２１１．４．２５１．２９３のポート８０５０へＩＰＩコマンドパケットを送信する。該パケットを受信したホームサーバは、ＩＰアドレス・変換テーブル（図７）により、ＩＰアドレスを、ネットワークカメラ１のプライベートアドレスである１９２．１６８．０．２のポート８０５０へ変換し、ネットワークカメラ１へ、パケットを転送する。転送されたパケットをネットワークカメラが受信してからの動作を、図８−１に示す。ネットワークカメラは、ポート８０５０へのアクセスを検知すると（Ｓ８０１）、受信したパケットがＩＰＩプロトコルによるパケットであることを確認する（Ｓ８０２）。もしＩＰＩプロトコルパケットでない場合は、アクセスを拒否する（Ｓ８０７）。パケットがＩＰＩプロトコルである場合、このポートへのアクセスは、図７のアドレス・ポート変換テーブルより、ＷＡＮからのパケットを、ホームサーバが転送していることが明らかであることから、ネットワークカメラはユーザ認証によるアクセス制御を行う。ネットワークカメラは、ユーザ名、パスワードを要求（Ｓ８０３）し、あらかじめ登録されたユーザ名、パスワードと一致するか判断する（Ｓ８０４）。ユーザ名、またはパスワードが不一致である場合、エラーカウントを＋１し、そのカウントが２回に達していないか判断する（Ｓ８０６）。エラーカウントが２回以下であった場合には、再度ユーザ名、パスワードの要求を行う（Ｓ８０３）。一方、エラーカウントが２回に達した場合は、その後のアクセスを拒否する（Ｓ８０７）。Ｓ８０４にて、ユーザ名、パスワードが一致した場合、アクセスは許可され、次のステップであるＩＰＩ接続を開始する。

以上のように、ネットワークカメラは、ホームサーバを経由したＷＡＮからのアクセスを、特定のポート（ポート８０５０）で受信し、また同じネットワーク上のデバイスからのアクセスを、デフォルトのポート（ポート８０）と、区別することで、簡単に外部ネットワークからのアクセスか、内部ネットワークからのアクセスかを判断する。これによりネットワークカメラは、外部ネットワークからのアクセスの場合は、ユーザ認証によるアクセス制御を行い、内部ネットワークからのアクセスの場合は、パスワード入力せずに、制御が可能になるようにしている。

本発明におけるネットワーク構成を示す図 ネットワークカメラのファームウェア上に実装されるサーバ機能を説明する図 ネットワークカメラとホームサーバ間の、デバイス発見時の動作フロー ＩＰＩプロトコルにおけるデバイス発見時に使用されるパケット 実施例１において、ホームサーバが使用するＩＰアドレス・ポート変換テーブル 実施例１において、ネットワークカメラがパケットを受信したときの動作フロー 実施例２において、ホームサーバが使用するＩＰアドレス・ポート変換テーブル 実施例２において、ネットワークカメラがパケットを受信したときの動作フロー 実施例２において、ホームＬＡＮに接続されているＰＣから同じホームＬＡＮ上に接続されているネットワークカメラへアクセスする手順についての動作フロー 従来例を説明するネットワーク構成を示す図

符号の説明

１００ オフィス環境ＬＡＮ
１０１ ルータ
１０２ ＰＣ
１１０ ホーム環境ＬＡＮ
１１１ ホームサーバ
１１２ ネットワークカメラ１
１１３ ネットワークカメラ２
１１４ ネットワークカメラ３
１１５ ＰＣ
１２０ メールサーバ
２０１ ホームサーバ
２０２ ネットワークカメラ
２０３ デバイス発見プロトコルサーバ機能
２０４ ＨＴＴＰサーバ機能
２０５ ＡＳＦサーバ機能
９０１ ルータ
９０２ ＰＣ
９０３ ルータ
９０４ ネットワークカメラ
９０５ ＰＣ

Claims (2)

1. 外部ネットワークとローカルネットワークとの中継手段として機能し、ＮＡＴ、もしくはＩＰマスカレード機能を有する通信中継装置と、
   ローカルネットワークに接続され、ＩＰＩプロトコルを有する複数の内部端末と、
   外部ネットワークに接続される外部端末において、
   外部端末は、ＩＰＩプロトコルにより、外部端末から前記内部端末に接続可能な状態であり、
   外部端末から、内部端末にアクセスする際、通信中継装置はＮＡＴもしくはＩＰマスカレード機能により、外部端末からのパケットを内部端末に送し、
   内部端末は、ネットワークからのアクセスを、そのＩＰアドレスから、通信中継装置からのアクセスか、それ以外の内部端末かを判断し、
   通信中継装置からのアクセスであった場合、アクセス制限をし、
   それ以外の内部端末からのアクセスであった場合、アクセス制限をしないことを特徴とする、アクセス制御方式。
2. 外部ネットワークとローカルネットワークとの中継手段として機能し、ＮＡＴ、もしくはＩＰマスカレード機能を有する通信中継装置と、
   ローカルネットワークに接続され、ＩＰＩプロトコルを有する複数の内部端末と、
   外部ネットワークに接続される外部端末において、
   外部端末は、ＩＰＩプロトコルにより、外部端末から前記内部端末に接続可能な状態にあり、
   外部端末から、内部端末にアクセスする際、通信中継装置はＮＡＴもしくはＩＰマスカレード機能により、外部端末からのパケットを、内部端末の特定のポート番号に送信し、
   内部端末は、ネットワークからのアクセスが、前記特定のポート番号か否かを判断し、特定のポート番号へのアクセスであった場合、アクセス制限をし、その他のポート番号へのアクセスであった場合、アクセス制限をしないことを特徴とする、アクセス制御方式。

Images