JP2006229265A - ゲートウェイシステム - Google Patents

Abstract

【課題】 通信網において、通信網外部のユーザ端末からのサービス要求に応じて円滑にサービスを提供することができるようにするゲートウェイシステム提供する。
【解決手段】 ゲートウェイシステム１０は、移動体通信網３とインターネット網１１との境界に存在し、インターネット網１１経由で、ユーザ端末１３からサービスの提供の要求情報を受信する要求受信部１０ａと、受信したユーザ端末１３のクライアント証明書に基づいて、ユーザ端末１３の正当性を認証する端末認証部１０ｂと、ユーザ端末１３のサービス特定情報を取得する接続先取得部１０ｃと、サービス特定情報に基づきユーザ端末１３が利用可能なサービスサーバに、ユーザ端末１３の携帯電話番号を含む情報を送信する端末情報送信部１０ｄと、ユーザ端末１３が通信網３において情報通信を行うためのネットワーク情報をユーザ端末１３に送信するネットワーク情報送信部１０ｅとを備えている。
【選択図】 図１

Description

本発明は、ゲートウェイシステムに関するものである。

移動通信事業者等は、独自の通信網内に自社網契約ユーザ限定のコンテンツ提供事業などを行っていることがある。コンテンツ契約と回線契約とを紐付けて利用者を限定することである種の顧客の「囲い込み」的な作用を期待することもできるが、ユーザは移動通信以外にも柔軟なアクセス回線でのサービスの利用を要望している。また、通信網内でサービスを提供するサービス提供者も回線契約とサービス契約の連携をある程度担保できれば、アクセス回線に関わらずサービスの利用可能者数が増加することを望んでいる。

このような要望に応じて、内部通信網に対して、セキュリティを担保しつつインターネット経由でのリモートアクセスを行わせる通信方法として、ＶＰＮ（Virtual Private Network）を利用したものが知られている。このＶＰＮを利用した通信によれば、専用回線を用いるよりも低い通信コストでセキュアな通信を実現でき、インターネット接続の形態がダイアルアップ接続からｘＤＳＬや無線ＬＡＮ、ＣＡＴＶを代表するような広帯域、常時接続へと多様化する中で、更に利便性向上が期待されている。

このように、外部通信網の端末から内部通信網へのリモートアクセスを行わせる技術として、下記特許文献１がある。この特許文献１に示されたサービス提供システムでは、内部通信網の終端装置であるゲートウェイにおいて、インターネット経由でアクセスするユーザ端末の認証が行われると、このユーザが認証済みであることが認証確認サーバで一元管理される。このように、ユーザ認証の有無を通信網内で一元管理することで、シングルサインオンを実現し、ユーザは提供を希望するサービス毎にパスワード等を管理する必要をなくしている。
特開２００４−１３３８２４号公報

しかしながら、このサービス提供システムにおいては、通信網外部のユーザ端末からのサービス要求があると、まず、ゲートウェイにおけるユーザ認証が行われ、ゲートウェイから認証確認サーバへの認証結果の転送が行われる。そして、サービス提供を行うサービスサーバは、ユーザ端末からのサービス要求を受けた時に初めて認証確認サーバに当該ユーザの認証の有無を確認した後、ユーザ端末に対するサービス提供を開始する。このサービス提供システムでは、通信網外部のユーザ端末からサービス要求を受けたときだけに、上記のような手順を経た後にサービスサーバからのサービスが利用可能となるので、サービス提供がユーザ端末認証後に即座に開始されないという問題があり、端末が通信サーバ、サービスサーバが通信クライアントとなる通信での利用は期待できない。通信網外部のユーザ端末への更に円滑なサービス提供の仕組みが求められていた。

そこで、本発明は、通信網において、通信網外部のユーザ端末からのサービス要求のみならず、内部通信網から通信網外部のユーザ端末へのサービス要求に対してもサービスを利用でき、円滑なサービスの提供ができるようにするゲートウェイシステムを提供することを目的とする。

本発明に係るゲートウェイシステムは、ユーザ端末に対してサービスを提供するサービスサーバが属する第１の通信網と当該第１の通信網とは異なる第２の通信網との境界に存在するゲートウェイシステムであって、第２の通信網を経由してユーザ端末から送信される、サービスの提供を要求する要求情報を受信する要求受信手段と、当該受信した要求情報に含まれているユーザ端末の証明情報に基づいて、ユーザ端末の正当性を認証する認証手段と、当該認証に応じて、ユーザ端末を特定する端末特定情報と関連付けられて格納されている、ユーザ端末において利用可能なサービスを特定するサービス特定情報を取得する接続先取得手段と、当該取得したサービス特定情報に基づいて特定されるサービスサーバに、端末特定情報を送信する端末情報送信手段と、認証手段の認証に応じて、第１の通信網において情報通信を行うためのネットワーク情報をユーザ端末に送信する網情報送信手段と、を備えることを特徴とする。

このゲートウェイシステムによれば、ユーザ端末が第２の通信網を経由して第１の通信網へのサービス提供を要求した場合には、第１及び第２の通信網の境界においてこのゲートウェイシステムによる次のような処理がなされる。まず、要求受信手段がユーザ端末からの要求情報を受信し、この要求情報に含まれる証明情報によって認証手段がユーザ端末の正当性を認証する。そして、接続先取得手段が端末特定情報を基にサービス特定情報を取得することで、このユーザ端末が利用可能なサービスサーバが特定される。そして、端末情報送信手段が、特定された利用可能なサービスサーバに端末特定情報を送信し、網情報送信手段が、ネットワーク情報をユーザ端末に送信する。従って、ユーザ端末がネットワーク情報を受信することで第１の通信網における情報通信を行うことができるようになり、サービスサーバが当該ユーザ端末の端末特定情報を受信することでこのユーザ端末によるサービスサーバの利用の準備が完了することになるので、ユーザ端末は、正当性の認証の後直ちに、サービスサーバからのサービス提供を受けることができる。

本発明のゲートウェイシステムによれば、通信網において、通信網外部のユーザ端末からのサービス要求のみならず、内部通信網から通信網外部のユーザ端末へのサービス要求に対してもサービスを利用でき、円滑にサービスを提供することができる。

以下、図面を参照しつつ本発明の実施形態であるゲートウェイシステムを備えたサービス提供システムの好適な実施形態について詳細に説明する。

図１に示すように、サービス提供システム１は、例えばサービス提供事業者の移動体通信網３（第１の通信網）内に構築されたシステムである。この通信網３には複数のユーザ端末（ここでは、携帯電話）５と、このユーザ端末５からのサービス要求に応じてユーザ端末５に各サービスを提供する複数のサービスサーバＡ，Ｂ，Ｃ，…が属している。

サービスサーバＡ等は、端末側が常に通信クライアント、サービスサーバＡが通信サーバという一般的なクライアント・サーバモデルとは異なる通信方式（端末側が通信サーバ、サービスサーバＡが通信クライアント、または端末・サービスサーバＡともに通信クライアント、サーバになりうる通信）の通信ノードを想定することも可能である。例えば、ＳＩＰ（Session Initiation Protocol ）のように、信号処理・メッセージ等のサービスを、主として通信網３内部においてユーザ端末５に対して提供するものである。サービスサーバＡ等は、通信網３外部のインターネット網１１（第２の通信網）に属するユーザ端末（ここでは、携帯電話）１３に対してもサービスを提供することが可能となっている。

すなわち、サービス提供システム１によれば、サービスサーバＡ等の利用者として登録されているユーザは、例えば、ＷｉＦｉ対応の携帯電話をユーザ端末１３として用い、ｘＤＳＬルータ及びインターネット網１１を経由して通信網３内のサービスサーバＡ等にアクセスすることができ、このサービスサーバＡ等からのサービス提供を受けることができる。このようにして、通信網３のサービス提供システム１においては、経由する通信網を限定されることなくユーザがサービスサーバＡ等のサービスを利用することができ、ユーザの接続形態の多様化への対応が図られている。

このような通信網３においては、インターネット網１１等の外部通信網経由でユーザ端末１３からのサービス要求があった場合には、通信網３のセキュリティを担保すべく、ユーザ端末１３の認証を行う必要がある。このため、サービス提供システム１では、通信網３とインターネット網１１との境界に、ゲートウェイシステム１０が設置されている。ゲートウェイシステム１０は、例えば、ＳＳＬ／ＴＬＳ終端ゲートウェイとして構成されており、例えば、ｈｔｔｐトンネリングといった通信方法を用いることで、インターネット網１１を介しつつユーザ端末１３との間でセキュリティが高い通信を担保することができる。

また、サービス提供システム１は、サービス特定情報ＤＢ１５を備えており、サービス特定情報ＤＢ１５には、図２に示すように、サービスサーバＡ等を利用するユーザ端末に関して、各ユーザ端末の端末識別子(例えば、携帯電話番号・端末特定情報）と当該ユーザ端末によって利用可能なサービスサーバの情報（サービス特定情報）とが関連付けられたサービス特定情報３１が格納されている。すなわち、サービス特定情報３１とは、各ユーザ端末が各サービスサーバＡ等を利用できるか否かをサービスサーバごとに「ｅｎａｂｌｅ（利用可）」又は「ｄｉｓａｂｌｅ（利用不可）」で示す情報である。このような情報に基づいて、インターネット網１１経由でサービス提供の要求を送信するユーザ端末の認証の可否を判断することにしている。

上記のゲートウェイシステム１０は、機能的な構成要素として、要求受信部１０ａ（要求受信手段）、端末認証部１０ｂ（認証手段）、接続先取得部１０ｃ（接続先取得手段）、端末情報送信部１０ｄ（端末情報送信手段）、及びネットワーク情報送信部１０ｅ（網情報送信手段）を備えている。

要求受信部１０ａは、インターネット網１１経由でユーザ端末１３から送信されるサービス提供の要求情報を受信する。端末認証部１０ｂは、受信した要求情報に含まれるユーザ端末１３のクライアント証明書（証明情報）に基づいて、ユーザ端末１３がサービスサーバＡ等の正当な利用者であるか否かを判断して、ユーザ端末１３の認証を行う。接続先取得部１０ｃは、要求情報に含まれるユーザ端末１３の携帯電話番号をキーにしてサービス特定情報ＤＢ１５から当該ユーザ端末のサービス特定情報３１を取得し、当該ユーザ端末が利用可能なサービスサーバを特定する。端末情報送信部１０ｄは、ユーザ端末１３が利用可能なサービスサーバＡ等に対してユーザ端末１３を特定する携帯電話番号等の端末識別情報を送信し、そのサービスサーバＡ等に当該ユーザ端末１３に関する情報を登録させる。この情報の登録により、サービスサーバＡ等においてユーザ端末１３によるサービス利用の準備が完了する。

ネットワーク情報送信部１０ｅは、例えば仮想ＩＰアドレス等を生成し、ユーザ端末１３に対してこの仮想ＩＰアドレスを払い出す。ユーザ端末１３は、払い出された仮想ＩＰアドレスを取得し、この仮想ＩＰアドレスをもって、サービスサーバＡ等へのアクセスといった通信網３内における情報通信が可能となる。ここで払い出される仮想ＩＰアドレスは、上記サービス特定情報３１に基づき、ユーザ端末１３が利用可能なサービスサーバに対応したアドレス体系とされる。従って、ユーザ端末１３が利用するサービスサーバにおいてアクセス端末のアドレス体系に制限がある場合にも、その制限に合わせた仮想ＩＰアドレスを生成することができ、この仮想ＩＰアドレスを取得するユーザ端末１３は、円滑に各サービスサーバにアクセスしてサービス提供を受けることができる。

このようなサービス提供システム１及びゲートウェイシステム１０が、ユーザ端末１３からのアクセスを受けた処理について、図３のシーケンス図を参照しながら説明する。

まず、ユーザ端末１３が、インターネット網１１を通じてゲートウェイシステム１０の要求受信部１０ａにアクセスすることで、ＳＳＬ／ＴＳＬセッションが開始する（Ｓ３０２）。ゲートウェイシステム１０は、ユーザ端末１３に対してクライアント証明書（証明情報）の送信を要求する（Ｓ３０４）。ユーザ端末１３は、この要求に応じて、図４に示すようなクライアント証明書３３をゲートウェイシステム１０に送信する（Ｓ３０６）。この証明書３３は、ユーザ端末１３の端末識別子(例えば、携帯電話番号、端末特定情報)を含むと共に、ｈｔｔｐトンネルサービスの享受が可能（ｅｎａｂｌｅ）である旨の情報を拡張領域に含んでいる。ゲートウェイシステム１０は、この証明書３３に含まれる端末識別子によってユーザ端末１３を特定することが可能である。

次に、端末認証部１０ｂは、サービス特定情報ＤＢ１５を参照し、受信した証明書３３に含まれる例えば携帯電話番号（この場合、０９０−００００−００００）のような端末識別子をキーにしてこのユーザ端末１３の認証の可否を確認する（Ｓ３０８）と共に、このユーザ端末１３がｈｔｔｐトンネル上で利用可能なサービス（以下「上位サービス情報」という）を確認する（Ｓ３１０）。そして、ゲートウェイシステム１０は、ユーザ端末１３が認証可能と確認した場合には、ユーザ端末１３を認証した旨の通知をこのユーザ端末１３に対して送信する（Ｓ３１２）。

続いて、ユーザ端末１３は、ゲートウェイシステム１０に対してｈｔｔｐトンネルの確立と、ネットワーク情報の払い出しとを要求する（Ｓ３１４）。この要求を受信したゲートウェイシステム１０は、サービス特定情報ＤＢ１５を参照し、ユーザ端末１３に対応する上位サービス情報と、ユーザ端末１３が利用可能な上位サービスにおけるネットワーク情報の要否情報と、ユーザ端末１３に対応する上位サービス情報を取得する（Ｓ３１６）。この場合、携帯電話番号「０９０−００００−００００」をキーにして、ユーザ端末１３はサービスＡ，Ｂ，Ｃ，Ｄが利用可能である旨の上位サービス情報が取得されることになる。

そして、端末情報送信部１０ｄは、ユーザ端末１３が利用可能なサービスサーバＡ，Ｂ，Ｃ，Ｄそれぞれに対し、サービス開始の準備として、ユーザ端末１３が当該サービスサーバを利用可能である旨の登録を行わせる（Ｓ３１８）。例えば、そのネットワーク情報が仮想的なＩＰアドレスである場合には、各サービスサーバＡ，Ｂ，Ｃ，Ｄに対して、図５に示すように、ネットワーク情報送信部１０ｅで生成された仮想ＩＰアドレス及び端末識別子を含めたユーザ端末１３の情報３５が送信され、各サービスサーバに登録される。この仮想ＩＰアドレスとしては、各サービスサーバＡ，Ｂ，Ｃ，Ｄにアクセスが可能なアドレス体系が選択される。この登録により、サービスサーバＡ，Ｂ，Ｃ，Ｄのサービスが活性化され、ユーザ端末１３がサービスサーバＡ，Ｂ，Ｃ，Ｄを利用する準備が完了する。そして、ゲートウェイシステム１０が各サービスサーバＡ，Ｂ，Ｃ，Ｄから登録完了の通知を受けると（Ｓ３２０）、ユーザ端末１３とゲートウェイシステム１０との間にｈｔｔｐトンネル４１（図１参照）が確立され、ネットワーク情報送信部１０ｅは生成した仮想ＩＰアドレス（ここでは、ＩＰｖ4アドレス：１０．０．０．１）をユーザ端末１３に対して払い出す（Ｓ３２２）。以上のように、ユーザ端末１３が認証された後、ユーザ端末１３は通信網３内における仮想ＩＰアドレスを取得し、この時点でユーザ端末１３が利用可能なサービスサーバＡ，Ｂ，Ｃ，Ｄには既にユーザ端末１３の情報が登録されている。この状態では、サービスサーバＡ，Ｂ，Ｃ，Ｄは、ユーザ端末１３が既に認証済みであることを認識していることになるので、サービスサーバＡ等にユーザ端末１３からのアクセス要求があった場合、サービスサーバＡ等は、例えば他のサーバ等にユーザ端末１３の認証の有無の確認を必要とせずにアクセスを許可することができる。従って、ユーザ端末１３は、ゲートウェイシステム１０によるユーザ認証の後、直ちに各サービスサーバにアクセスしてサービス提供を受けることができる。また、直ちにサービスサーバＡ等が自発的に、ユーザ端末１３に対してサービス要求を行なうことも可能となる。

その後、サービス提供におけるユーザ端末１３とサービスサーバＡ等との通信（Ｓ３２４〜Ｓ３３０）は、図６に示すようなプロトコルスタックをもって行われる。すなわち、Ｌ１、Ｌ２、ＩＰ、ＴＣＰ、ＳＳＬ／ＴＬＳ層のプロトコルによってユーザ端末１３とゲートウェイシステム１０との間のｈｔｔｐトンネルを通じた接続が図られる。そして、ゲートウェイシステム１０によって自動的にＳＳＬ／ＴＬＳ層以下のカプセルが解除されることで、ユーザ端末１３の通信網３内における通信は、ＳＳＬ／ＴＬＳ層よりも上位層の例えば仮想ＩＰ（ｖＩＰ）のようなネットワーク情報をもって行われ、この仮想ＩＰアドレスの更に上位層によって、「メッセージ・信号」、「音声」といったサービスがユーザ端末１３に提供されることになる。なお、例えば、図６における「Ｍｅｓｓａｇｅ，Ｓｉｇｎａｌ，Ｖｏｉｃｅ，ｅｔｃ．」サービスを提供するサービスサーバへのアクセスは、仮想ＩＰアドレスを必要としない場合もあり、ＳＳＬ／ＴＬＳ層の上位層には仮想ＩＰ層が形成されないこともある。また、図６のように仮想データリンク層（ｖＥＴＨ）も含めてネットワーク情報と称することも出来る。

本発明に係るゲートウェイシステムを備えたサービス提供システムの実施形態を示すブロック図である。 サービス特定情報の一例を示す図である。 ゲートウェイシステムの処理を示すシーケンス図である。 クライアント証明書の一例を示す図である。 端末情報送信部からサービスサーバに送信される情報の一例を示す図である。 ユーザ端末による通信のプロトコルスタックを示す図である。

符号の説明

１…サービス提供システム、３…移動体通信網（第１の通信網）、１０…ゲートウェイシステム、１０ａ…要求受信部、１０ｂ…認証部、１０ｃ…接続先取得部、１０ｄ…端末情報送信部、１０ｅ…ネットワーク情報送信部、１１…インターネット網（第２の通信網）、１３…ユーザ端末、１５…サービス特定情報ＤＢ、３１…サービス特定情報、３３…クライアント証明書、Ａ，Ｂ，Ｃ，Ｄ…サービスサーバ。

Claims (1)

1. ユーザ端末に対してサービスを提供するサービスサーバが属する第１の通信網と当該第１の通信網とは異なる第２の通信網との境界に存在するゲートウェイシステムであって、
   前記第２の通信網を経由して前記ユーザ端末から送信される、前記サービスの提供を要求する要求情報を受信する要求受信手段と、
   当該受信した要求情報に含まれている前記ユーザ端末の証明情報に基づいて、前記ユーザ端末の正当性を認証する認証手段と、
   当該認証に応じて、前記ユーザ端末を特定する端末特定情報と関連付けられて格納されている、前記ユーザ端末において利用可能なサービスを特定するサービス特定情報を取得する接続先取得手段と、
   当該取得したサービス特定情報に基づいて特定されるサービスサーバに、前記端末特定情報を送信する端末情報送信手段と、
   前記認証手段の認証に応じて、前記第１の通信網において情報通信を行うためのネットワーク情報を前記ユーザ端末に送信する網情報送信手段と、
   を備えることを特徴とするゲートウェイシステム。

Images