JP2007006108A

JP2007006108A - パケット中継方法、並びに中継装置、サーバ装置、及びこれらを備えた通信システム

Info

Publication number: JP2007006108A
Application number: JP2005183519A
Authority: JP
Inventors: Katsutomo Matsuura; 克智松浦
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2005-06-23
Filing date: 2005-06-23
Publication date: 2007-01-11

Abstract

【課題】ポートスキャンによりポートを検知されることなく、ＷＡＮからアクセス制御やアドレス変換の設定を変更でき、同じポート番号で複数のサーバを公開したりポート番号の無いプロトコルでも複数の端末が通信できるパケット中継方法、並びに中継装置、サーバ装置、及び通信システムを提供する。
【解決手段】ローカルなネットワークとグローバルなネットワークとを相互に接続する中継装置１において、アクセス制御部１３は、認証サーバからのみアクセス制御ルール及びアドレス変換ルールの追加又は削除要求を受け付け、該要求によりアクセス制御テーブルを変更し、アドレス変換部１４にアドレス変換ルールの追加又は削除を要求する。アドレス変換部１４は、アドレス変換ルールの追加又は削除要求により、アドレス変換テーブルを変更する。
【選択図】図１

Description

本発明は、インターネットなどのＷＡＮ(Wide Area Network)とローカルエリアネットワーク(ＬＡＮ)とを相互に接続し、ＷＡＮから受信したパケットの通過を制御してＬＡＮ内の資源を保護したり、ＷＡＮで使われるアドレスとＬＡＮで使われるアドレスとを相互変換して、ＷＡＮで使われる１つのアドレスによりＬＡＮ内の複数の端末がＷＡＮへアクセスできるようにしたりするパケット中継方法、並びに中継装置、サーバ装置、及びこれらを備えた通信システムに関する。

従来、インターネットなどのＷＡＮとＬＡＮとを相互に接続する中継装置が知られており、ＬＡＮ内の資源を保護するために、ＷＡＮからのパケットの宛先や送信元をチェックし、設定されたセキュリティポリシーに従って許可されたパケットのみＬＡＮ内に通過させるファイアウォール機能や、ＷＡＮで使われる１つのアドレスによりＬＡＮ内の複数の端末がＷＡＮへアクセスできるように、ＷＡＮで使われるアドレスとＬＡＮで使われるアドレスとを相互変換するアドレス変換(ＮＡＴ:Network Address Translator)機能を備えている。

このような中継装置のファイアウォール機能において、認証により確認されたユーザからのアクセスにより、インターネットからでもファイアウォール装置に設定されているセキュリティポリシーを変更可能にしたものもある(例えば、特許文献１参照)。

また、アドレス変換機能において、ＴＣＰ(Transmission Control Protocol)またはＵＤＰ(User Datagram Protocol)のポート番号により、ＷＡＮからのアクセスをＬＡＮ内の端末に振り分けることにより、ＷＡＮからのＬＡＮ内の端末へのアクセスを可能にするものがある(例えば、特許文献２参照)。
特開2003‐132020号公報特開2004‐112018号公報

しかしながら、特許文献１に記載のものでは、ＷＡＮからＬＡＮ内の認証サーバへアクセスさせるため、特定のポート(例えば、9999番)は誰でもアクセス可能となっており、ポートスキャンによりこのポートが検知され第三者からアクセスされる可能性がある。

また、特許文献２に記載のものでは、ＷＡＮからＬＡＮ内の端末へアクセスさせるとき、ポート番号一つに対して一つの端末に対応させることしかできないので、例えば、ｈｔｔｐ(HyperText Transport Protocol)のディフォルトポート番号である８０番で複数のサーバを公開することができない。さらに、ポート番号が無いプロトコル(ＩＰｓｅｃ (Security Architecture for Internet Protocol)やＩＣＭＰ(Internet Control Message Protocol)など)の場合も複数の端末で通信をすることができない。

そこで、本発明は、ポートスキャンによりポートを検知されることなく、ＷＡＮからアクセス制御やアドレス変換の設定を変更でき、同じポート番号で複数のサーバを公開したりポート番号の無いプロトコルでも複数の端末が通信できるパケット中継方法、並びに中継装置、サーバ装置、及び通信システムを提供することを目的とする。

上記課題を解決するため、本発明のパケット中継方法は、ローカルなネットワークとグローバルなネットワークとを相互に接続する中継装置を用いて前記ローカルなネットワークと前記グローバルなネットワークとの間の通信におけるパケットを中継するパケット中継方法であって、前記中継装置は、前記グローバルなネットワーク上の所定のサーバ装置からの要求のみによりファイアウォール設定を変更し、前記グローバルなネットワークからのパケットを、前記ファイアウォール設定に基づいて許可されると判断されたパケットのみに関して前記ローカルなネットワーク内に通過させると共に、所定の終了条件に基づいて、前記サーバ装置からの要求によって変更したファイアウォール設定を使った通信が終了したと判断したときに、前記サーバ装置からの要求によって変更したファイアウォール設定を変更前の状態に戻すことを特徴とする。

本発明のパケット中継方法では、グローバルなネットワーク上の所定のサーバ装置からの要求のみが受け付けられ、この要求によりファイアウォール設定が変更され、他の装置からの要求は無視される。

また、上記課題を解決するため、本発明のパケット中継方法は、ローカルなネットワークとグローバルなネットワークとを相互に接続する中継装置を用いて前記ローカルなネットワークと前記グローバルなネットワークとの間の通信におけるパケットを中継するパケット中継方法であって、前記中継装置は、前記グローバルなネットワーク上の所定のサーバ装置からの要求のみにより、前記グローバルなネットワークから受信したパケットの送信元アドレスに対して前記ローカルなネットワークにおけるアドレスを対応付けたアドレス変換ルールを含むアドレス変換テーブルに、前記サーバから要求されたアドレス変換ルールを追加し、前記ローカルなネットワークで使用されるアドレスと前記グローバルなネットワークで使用されるアドレスとを、前記アドレス変換テーブルに含まれるアドレス変換ルールに基づいて相互に変換してパケットを中継すると共に、所定の終了条件に基づいて、前記サーバ装置からの要求によって追加したアドレス変換ルールを使った通信が終了したと判断したときに、前記サーバ装置からの要求によって追加したアドレス変換ルールを前記アドレス変換テーブルから削除することを特徴とする。

本発明のパケット中継方法では、グローバルなネットワーク上の所定のサーバ装置からの要求のみが受け付けられ、この要求によるアドレス変換ルールが追加され、他の装置からの要求は無視される。

上記課題を解決するため、本発明の中継装置は、ローカルなネットワークとグローバルなネットワークとを相互に接続する中継装置であって、前記グローバルなネットワークからのパケットを、ファイアウォール設定に基づいて許可されると判断されたパケットのみに関して前記ローカルなネットワーク内に通過させるアクセス制御手段を備え、前記アクセス制御手段は、前記グローバルなネットワーク上の所定のサーバ装置からの要求のみにより前記ファイアウォール設定を変更し、所定の終了条件に基づいて、該サーバ装置からの要求によって変更したファイアウォール設定を使った通信が終了したと判断したときに、前記サーバ装置からの要求によって変更したファイアウォール設定を変更前の状態に戻す手段を有することを特徴とするものである。

本発明の中継装置では、グローバルなネットワーク上の所定のサーバ装置からの要求のみが受け付けられ、この要求によりファイアウォール設定が変更される。したがって、他の装置からの要求は無視される。

また、上記課題を解決するため、本発明の中継装置は、ローカルなネットワークとグローバルなネットワークとを相互に接続する中継装置であって、前記ローカルなネットワークで使用されるアドレスと前記グローバルなネットワークで使用されるアドレスとを、前記グローバルなネットワークから受信したパケットの送信元アドレスに対して前記ローカルなネットワークにおけるアドレスを対応付けたアドレス変換ルールを含むアドレス変換テーブルに基づいて相互に変換するアドレス変換手段を備え、前記アドレス変換手段は、前記グローバルなネットワーク上の所定のサーバ装置からの要求のみにより、前記サーバから要求されたアドレス変換ルールを前記アドレス変換テーブルに追加し、所定の終了条件に基づいて、該サーバ装置からの要求によって追加したアドレス変換ルールを使った通信が終了したと判断したときに、前記サーバ装置からの要求によって追加したアドレス変換ルールを前記アドレス変換テーブルから削除する手段を有することを特徴とするものである。

本発明の中継装置では、グローバルなネットワーク上の所定のサーバ装置からの要求のみが受け付けられ、この要求によるアドレス変換ルールが追加される。したがって、他の装置からの要求は無視される。

また、上記課題を解決するため、本発明のサーバ装置は、端末装置と中継装置が接続されているネットワークに接続されたサーバ装置であって、前記ネットワーク上の端末装置からの認証要求により前記端末装置から受信した認証情報に基づいて前記端末装置を操作するユーザの認証を行う認証手段と、前記認証手段によって認証されたユーザが操作する前記端末装置に対応するアクセス許可を前記端末装置のアドレスに与えるように、ファイアウォール機能を備えた前記中継装置に対してファイアウォール設定の変更要求を行う手段と、前記端末装置からの通信終了通知を受信したとき、または、パケットの送受信が一定時間以上無くなったとき、または、通信開始時から一定時間経過したとき、のうちの少なくとも何れか１つの終了条件を満たしたときに、前記中継装置に対して前記端末装置のアドレスに与えたアクセス許可を解除するようにファイアウォール設定を元の状態に戻す要求を行う手段とを備えていることを特徴とするものである。

本発明のサーバ装置では、認証要求してきた端末装置のアドレスに対し、認証されたユーザが操作する端末装置に対応するアクセス許可が中継装置に設定され、前記終了条件が満たされたときに元に戻される。したがって、前記端末装置による通信中のみファイアウォールの設定が変更される。

上記課題を解決するため、本発明のサーバ装置は、端末装置と中継装置が接続されているネットワークに接続されたサーバ装置であって、前記ネットワーク上の端末装置からの認証要求により前記端末装置から受信した認証情報に基づいて前記端末装置を操作するユーザの認証を行う認証手段と、前記認証手段によって認証されたユーザが操作する前記端末装置のアドレスを送信元とするアドレス変換ルールを追加するように、アドレス変換機能を備えた前記中継装置に対してアドレス変換ルールの追加要求を行う手段と、前記端末装置からの通信終了通知を受信したとき、または、パケットの送受信が一定時間以上無くなったとき、または、通信開始時から一定時間経過したとき、のうちの少なくとも何れか１つの終了条件を満たしたときに、前記中継装置に対して前記端末装置に対応するアドレス変換ルールを削除する要求を行う手段とを備えていることを特徴とするものである。

本発明のサーバ装置では、認証要求してきた端末装置のアドレスに対し、認証されたユーザが操作する端末装置に対応するアドレス変換ルールが中継装置に設定され、前記終了条件が満たされたときに元に戻される。したがって、前記端末装置による通信中のみアドレス変換ルールが変更される。

本発明によれば、中継装置は、所定のサーバ装置からの要求のみを受け付け、該要求によってファイアウォールの設定やアドレス変換ルールを変更しているので、ポートスキャンによりポートを検知されることなく、グローバルなネットワークからアクセス制御やアドレス変換の設定を変更できる。

また、グローバルなネットワークから受信したパケットの送信元アドレスに対応したアドレス変換ルールを含んでいるので、同じポート番号で複数のサーバを公開することができ、ポート番号の無いプロトコルでも複数の端末が通信できる。

以下、本発明の一実施形態を図面を参照して説明する。

図１は本発明の一実施形態の中継装置を示すブロック図である。

図１において、１は中継装置で、インターネットなどのＷＡＮとＬＡＮとの間に介在されてこれらに接続され、ＷＡＮとのパケットの送受信を行うＷＡＮ側ネットワークインターフェース部１１と、ＬＡＮとのパケットの送受信を行うＬＡＮ側ネットワークインターフェース部１２と、ＷＡＮ側ネットワークインターフェース部１１およびＬＡＮ側ネットワークインターフェース部１２が受信したパケットを分析してアクセス制御を行うアクセス制御部１３と、アクセス制御部１３で通過が許可されたパケットおよびＬＡＮ内からＷＡＮ側へ送信されるパケットを分析してアドレス変換を行うアドレス変換部１４と、アクセス制御のためのデータやアドレス変換のためのデータを蓄えているデータベース部１５とを備えている。

この中継装置１は、ファイアウォール機能を備えており、アクセス制御部１３は、データベース部１５に記憶されている図２に示すようなアクセス制御テーブルに基づいて、ＷＡＮ側ネットワークインターフェース部１１で受信したパケットをＬＡＮ側ネットワークインターフェース部１２を介してＬＡＮ側に送信するか否かを決定している。

図２に示すアクセス制御テーブルにおいて、「ソースＩＰアドレス」の列は、ＷＡＮ側ネットワークインターフェース部１１で受信したパケットの送信元ＩＰアドレスを示し、「ソースポート番号」の列は、ＷＡＮ側ネットワークインターフェース部１１で受信したパケットの送信元ポート番号を示し、「ディスティネーションＩＰアドレス」の列は、ＷＡＮ側ネットワークインターフェース部１１で受信したパケットの宛先ＩＰアドレスを示し、「プロトコル、ディスティネーションポート番号」の列は、ＷＡＮ側ネットワークインターフェース部１１で受信したパケットのプロトコル名および該プロトコルでポート番号を使用する場合の宛先ポート番号を示し、「動作」の列は、ＷＡＮ側ネットワークインターフェース部１１で受信したパケットの送信元および宛先が、当該行のそれぞれの値に一致したときに、そのパケットに対して行われる動作を示している。

なお、「プロトコル、ディスティネーションポート番号」の列で使用されるプロトコル名として、予め設定されていたプロトコル名とポート番号に対応付けられたプロトコル名を使用することができる。

例えば、図２に示すアクセス制御テーブルの１行目では、送信元ＩＰアドレス、ポート番号に関係なく、宛先ＩＰアドレスが「123.123.123.123」で、かつプロトコル名が「ｈｔｔｐｓ(HyperText Transfer Protocol Security、例えばＴＣＰの443)」であるパケットは、ＬＡＮ側に送信される(accept)。

同様に、図２に示すアクセス制御テーブルの２行目では、送信元ＩＰアドレスが「211.250.250.100」で、宛先ＩＰアドレスが「123.123.123.123」で、かつプロトコル名が「ｓｓｈ(Secure SHell、例えばＴＣＰの22)」であるパケットは、ＬＡＮ側に送信され、３行目では、全てのパケットが廃棄される(drop)。

アクセス制御部１３は、このようなアクセス制御テーブルの上の行から順に、受信したパケットが一致するか否かを検証し、一致すれば指定された動作を行い、そのパケットに対する処理は終了する。すなわち、図２に示したアクセス制御テーブルでは、上の行に設定された条件がより優先的に処理される条件となっている。

また、この中継装置１は、データベース部１５に、図３に示すようなアドレス変換テーブルを記憶しており、アドレス変換部１４は、このアドレス変換テーブルに基づいて、ＷＡＮ側ネットワークインターフェース部１１で受信しアクセス制御部１３を通過したパケットのディスティネーションＩＰアドレスをＬＡＮの内部のＩＰアドレスに変換して、ＬＡＮ側ネットワークインターフェース部１２を介してＬＡＮ側に送信する。

また、ＬＡＮ側ネットワークインターフェース部１２で受信したパケットのソースＩＰアドレスをＷＡＮのＩＰアドレス(グローバルアドレス)に変換して、アクセス制御部１３に出力し、アクセス制御部１３で許可されたパケットがＷＡＮ側ネットワークインターフェース部１１を介してＷＡＮ側に送信される。

図３に示すアドレス変換テーブルにおいて、「ソースＩＰアドレス」の列は、ＷＡＮ側ネットワークインターフェース部１１で受信したパケットの送信元ＩＰアドレスを示し、「ディスティネーションＩＰアドレス」の列は、ＷＡＮ側ネットワークインターフェース部１１で受信したパケットの宛先ＩＰアドレスを示し、「プロトコル、ディスティネーションポート番号」の列は、ＷＡＮ側ネットワークインターフェース部１１で受信したパケットのプロトコル名および該プロトコルでポート番号を使用する場合の宛先ポート番号を示し、「内部ＩＰアドレス」の列は、ＷＡＮ側ネットワークインターフェース部１１で受信したパケットの送信元および宛先が、当該行のそれぞれの値に一致したときに、そのパケットの宛先ＩＰアドレスに設定するＬＡＮのプライベートアドレスを示し、「プロトコルおよびポート番号」の列は、ＷＡＮ側ネットワークインターフェース部１１で受信したパケットの送信元および宛先が、当該行のそれぞれの値に一致したときに、そのパケットの宛先ポート番号に設定するポート番号を示している。

例えば、図３に示したアドレス変換テーブルの１行目では、送信元ＩＰアドレスに関係なく、宛先ＩＰアドレスが「123.123.123.123」でかつ宛先ポート番号が「ＴＣＰの443(https)」であるパケットは、宛先ＩＰアドレスを「192.168.100.5」に書き替えられ、宛先ポート番号はそのままでＬＡＮ側に送信される。

同様に、図３に示したアドレス変換テーブルの２行目では、送信元ＩＰアドレスが「211.250.250.100」で、宛先ＩＰアドレスが「123.123.123.123」でかつ宛先ポート番号が「ＴＣＰの22(SSH)」であるパケットは、宛先ＩＰアドレスを「192.168.100.5」に書き替えられ、宛先ポート番号はそのままでＬＡＮ側に送信される。

このように設定することで、ＷＡＮ側からの特定ポートまたはポートを持たないプロトコルへのアクセスをＬＡＮ内の端末に振り分けることができる。

また、アドレス変換部１４は、このようなアドレス変換テーブルの上の行から順に、受信したパケットが一致するか否かを検証し、一致すれば指定された動作を行い、そのパケットに対する処理は終了する。すなわち、図３に示したアドレス変換テーブルでは、上の行に設定された条件がより優先的に処理される条件となっている。

また、図３に示したアドレス変換テーブルの状態は、初期状態で、通信中の端末が無い状態のものであり、ＬＡＮ内に存在する端末からの通信要求により、また後述するＷＡＮ側のサーバからの要求により、アドレス変換ルールが追加されて、ＷＡＮ側からＬＡＮ内へのパケット、ＬＡＮ内からＷＡＮ側へのパケットのそれぞれのアドレスが図３のアドレス変換テーブルに従って変換されて送信される。

前述した構成より成る中継装置１は、例えば図４に示すように、インターネット６に接続され、インターネット６上の認証サーバ２からの要求のみにより、図２に示したアクセス制御テーブルにアクセス制御ルールを追加し、図３に示したアドレス変換テーブルにアドレス変換ルールを追加できるようになっている。

具体的には、図４に示すように、中継装置１はインターネット６とＬＡＮ７に接続され、ＬＡＮ７には端末３ａ，３ｂ及びサーバ４ａ，４ｂが接続されて、これら全体で通信システムを構成している。

認証サーバ２は、中継装置１にアクセス可能なユーザを認証するための認証情報や、ユーザ毎にアクセスが許可されている中継装置１のアドレス、追加するアクセス制御ルール及びアドレス変換ルールなどのアクセス情報を記憶しており、インターネット６上の端末５ａ〜５ｃからの要求と共に受信した認証情報に基づいてユーザの認証を行い、認証されればアクセス情報に基づいて中継装置１にアクセス制御ルール及びアドレス変換ルールの追加を要求する。

例えば、インターネット６上の端末５ａからサーバ４ａと通信したい場合、端末５ａを操作するユーザは、インターネット６上の認証サーバ２に接続し、認証サーバ２によって認証を受ける。

認証サーバ２による上記認証は、識別情報(ＩＤ)とパスワードの簡易なものから、ワンタイムパスワードや生体情報による高度なソフトウェア機能による認証でもよい。なお、このような認証に用いる情報は、インターネット上での情報漏洩を防ぐため、暗号化して送信することが好ましい。

認証サーバ２は、端末５ａから認証要求を受けると、この認証要求の送信元アドレスを端末５ａのアドレスとして記憶し、端末５ａから受信した認証情報と記憶している認証情報に基づいて端末５ａを操作するユーザの認証を行う。

ユーザが認証されれば、認証サーバ２は、記憶している当該ユーザのアクセス情報に基づいて、アクセスが許可されている中継装置１に対して、記憶している端末５ａのアドレスを送信元アドレスとするアクセス制御ルール及びアドレス変換ルールの追加要求を送信する。

例えば、端末５ａを操作するユーザがサーバ４ａへのｈｔｔｐアクセスのみ許可されている場合、認証サーバ２は、図５に示すような、端末５ａのアドレス111.222.234.123を送信元としたｈｔｔｐアクセスを許可するアクセス制御ルールと、図６に示すような、端末５ａのアドレス111.222.234.123を送信元としたｈｔｔｐのパケットの送信先アドレスをサーバ４ａのアドレス192.168.100.4に変更するアドレス変換ルールの追加を中継装置１に対して要求する。

中継装置１のアクセス制御部１３は、認証サーバ２からのアクセス制御ルール及びアドレス変換ルールの追加要求を受信すると、受信したアクセス制御ルールをデータベース部１５に記憶しているアクセス制御テーブルに追加するとともに、アドレス変換部１４に受信したアドレス変換ルールを追加するように要求する。

アドレス変換部１４は、アクセス制御部１３からアドレス変換ルールの追加要求を受けると、受信したアドレス変換ルールをデータベース部１５に記憶しているアドレス変換テーブルに追加する。

例えば、上述の端末５ａからのｈｔｔｐアクセスを許可し、サーバ４ａにアクセスされる場合、図２に示したアクセス制御テーブルに図５に示すアクセス制御ルールを追加し、アクセス制御テーブルを図７に示すように変更すると共に、図３に示したアドレス変換テーブルに図６に示すアドレス変換ルールを追加し、アドレス変換テーブルを図８に示すように変更する。

そして、アクセス制御ルール及びアドレス変換ルールの追加が終わると、アクセス制御部１３は、認証サーバ２に追加完了通知を返送する。

認証サーバ２は、中継装置１から追加完了通知を受信すると、記憶している端末５ａのアドレスと中継装置１のアドレスと追加したアクセス制御ルール及びアドレス変換ルールを関連付けて通信中情報として記憶し、端末５ａに対して、認証されてアクセスが可能になった旨と、アクセス可能情報としてアクセスが許可されたサービス名(例えば、Ｗｅｂカメラなど、ＩＰアドレスとポート番号でもよい)などを送信する。

端末５ａでは、受信した情報を表示することにより、アクセスが可能になった旨とアクセス可能情報をユーザに知らせることができる。

このようにして、端末５ａからのｈｔｔｐアクセスはサーバ４ａに振り分けられ、その他の端末からのｈｔｔｐアクセスは拒否されることになる。

アクセスが可能になったことを知ったユーザは、ＬＡＮ７内の端末やサーバと通信を開始する。

その後、ＬＡＮ７内の端末やサーバとの通信を行ったユーザが、通信を終了するときは、認証サーバ２に通信終了を通知する。

認証サーバ２は、端末５ａから通信終了通知を受信すると、通信が終了したものと判断し、通信終了通知の送信元のアドレスから、通信中情報の端末側のアドレスに一致するものがあるか否かを検索し、一致するものがあれば、一致した端末側のアドレスに関連付けられている中継装置１に対して、上記一致した端末側のアドレスに関連付けられているアクセス制御ルール及びアドレス変換ルールの削除を要求する。

中継装置１のアクセス制御部１３は、アクセス制御ルール及びアドレス変換ルールの削除要求を受信すると、通信が終了したものと判断し、受信したアクセス制御ルールをデータベース部１５に記憶しているアクセス制御テーブルから削除するとともに、アドレス変換部１４に受信したアドレス変換ルールを削除するように要求する。

アドレス変換部１４は、アクセス制御部１３からアドレス変換ルールの削除要求を受けると、通信が終了したものと判断し、受信したアドレス変換ルールをデータベース部１５に記憶しているアドレス変換テーブルから削除する。

このようにして、ユーザからの通信終了通知により、中継装置１のアクセス制御テーブルが図２の状態に戻され、アドレス変換テーブルが図３の状態に戻され、上記要求によってなされた変更が解除されるので、この変更によって追加されたアクセス制御ルール及びアドレス変換ルールによる誤ったアクセスを防止することができる。

また、中継装置１は、アクセス制御ルール及びアドレス変換ルールの追加や削除の要求を認証サーバ２からのみ受け付ければよく、ポートスキャンによりポートを検知されること無くアクセス制御ルール及びアドレス変換ルールを変更することができる。

また、認証サーバ２で認証を行っているので、ＩＤとパスワードによる認証から、より高度な認証まで容易に行うことができる。

なお、上記実施形態の中継装置１では、端末５ａからの通信終了の通知により通信が終了したものと判断してアクセス制御ルール及びアドレス変換ルールを削除したが、所定の終了条件を満たしたとき、例えば、パケットの送受信が一定時間以上無くなったときや、通信開始時から一定時間経過したときに通信終了と判断して、アクセス制御ルール及びアドレス変換ルールを削除するようにしてもよい。

また、中継装置１にアクセス制御ルール及びアドレス変換ルールを追加する際に、一定時間後に自動的に終了させるなどの終了条件を事前に定めておき、その条件が満たされた際に、通信が終了したものと判断して、アクセス制御ルール及びアドレス変換ルールを削除するようにしても良い。

また、認証サーバ２にｈｔｔｐサーバとしての機能を持たせ、認証の受付やアクセス可能情報の表示や通信終了の通知などをホームページ上で行えるようにしてもよい。

また、認証サーバ２としてＳＩＰ(Session Initiation Protocol)サーバを用いてもよい。

本発明の一実施形態の中継装置を示すブロック図本発明の一実施形態の中継装置のアクセス制御テーブルを示す図本発明の一実施形態の中継装置のアドレス変換テーブルを示す図本発明の一実施形態の中継装置を使った通信システムを示すネットワーク構成図本発明の一実施形態の中継装置の追加されるアクセス制御ルールを示す図本発明の一実施形態の中継装置の追加されるアドレス変換ルールを示す図本発明の一実施形態の中継装置のアクセス制御ルール追加後のアクセス制御テーブルを示す図本発明の一実施形態の中継装置のアドレス変換ルール追加後のアドレス変換テーブルを示す図

符号の説明

１１…ＷＡＮ側ネットワークインターフェース部、１２…ＬＡＮ側ネットワークインターフェース部、１３…アクセス制御部、１４…アドレス変換部、１５…データベース部、１…中継装置、２…認証サーバ、３ａ，３ｂ…端末、４ａ，４ｂ…サーバ、５ａ，５ｂ…端末、６…インターネット、７…ＬＡＮ。

Claims

ローカルなネットワークとグローバルなネットワークとを相互に接続する中継装置を用いて前記ローカルなネットワークと前記グローバルなネットワークとの間の通信におけるパケットを中継するパケット中継方法であって、
前記中継装置は、
前記グローバルなネットワーク上の所定のサーバ装置からの要求のみによりファイアウォール設定を変更し、
前記グローバルなネットワークからのパケットを、前記ファイアウォール設定に基づいて許可されると判断されたパケットのみに関して前記ローカルなネットワーク内に通過させると共に、
所定の終了条件に基づいて、前記サーバ装置からの要求によって変更したファイアウォール設定を使った通信が終了したと判断したときに、前記サーバ装置からの要求によって変更したファイアウォール設定を変更前の状態に戻す
ことを特徴とするパケット中継方法。
ローカルなネットワークとグローバルなネットワークとを相互に接続する中継装置を用いて前記ローカルなネットワークと前記グローバルなネットワークとの間の通信におけるパケットを中継するパケット中継方法であって、
前記中継装置は、
前記グローバルなネットワーク上の所定のサーバ装置からの要求のみにより、前記グローバルなネットワークから受信したパケットの送信元アドレスに対して前記ローカルなネットワークにおけるアドレスを対応付けたアドレス変換ルールを含むアドレス変換テーブルに、前記サーバから要求されたアドレス変換ルールを追加し、
前記ローカルなネットワークで使用されるアドレスと前記グローバルなネットワークで使用されるアドレスとを、前記アドレス変換テーブルに含まれるアドレス変換ルールに基づいて相互に変換してパケットを中継すると共に、
所定の終了条件に基づいて、前記サーバ装置からの要求によって追加したアドレス変換ルールを使った通信が終了したと判断したときに、前記サーバ装置からの要求によって追加したアドレス変換ルールを前記アドレス変換テーブルから削除する
ことを特徴とするパケット中継方法。
ローカルなネットワークとグローバルなネットワークとを相互に接続する中継装置であって、
前記グローバルなネットワークからのパケットを、ファイアウォール設定に基づいて許可されると判断されたパケットのみに関してローカルなネットワーク内に通過させるアクセス制御手段を備え、
前記アクセス制御手段は、前記グローバルなネットワーク上の所定のサーバ装置からの要求のみにより前記ファイアウォール設定を変更し、所定の終了条件に基づいて、該サーバ装置からの要求によって変更したファイアウォール設定を使った通信が終了したと判断したときに、前記サーバ装置からの要求によって変更したファイアウォール設定を変更前の状態に戻す手段を有する
ことを特徴とする中継装置。
ローカルなネットワークとグローバルなネットワークとを相互に接続する中継装置であって、
前記ローカルなネットワークで使用されるアドレスと前記グローバルなネットワークで使用されるアドレスとを、前記グローバルなネットワークから受信したパケットの送信元アドレスに対して前記ローカルなネットワークにおけるアドレスを対応付けたアドレス変換ルールを含むアドレス変換テーブルに基づいて相互に変換するアドレス変換手段を備え、
前記アドレス変換手段は、前記グローバルなネットワーク上の所定のサーバ装置からの要求のみにより、前記サーバから要求されたアドレス変換ルールを前記アドレス変換テーブルに追加し、所定の終了条件に基づいて、該サーバ装置からの要求によって追加したアドレス変換ルールを使った通信が終了したと判断したときに、前記サーバ装置からの要求によって追加したアドレス変換ルールを前記アドレス変換テーブルから削除する手段を有する
ことを特徴とする中継装置。
前記終了条件は、前記端末装置からの通信終了通知を受信したとき、または、パケットの送受信が一定時間以上無くなったとき、または、通信開始時から一定時間経過したとき、のうちの少なくとも何れか１つの条件を含む
ことを特徴とする請求項３又は請求項４に記載の中継装置。
端末装置と中継装置が接続されているネットワークに接続されたサーバ装置であって、
前記ネットワーク上の端末装置からの認証要求により前記端末装置から受信した認証情報に基づいて前記端末装置を操作するユーザの認証を行う認証手段と、
前記認証手段によって認証されたユーザが操作する前記端末装置に対応するアクセス許可を前記端末装置のアドレスに与えるように、ファイアウォール機能を備えた前記中継装置に対してファイアウォール設定の変更要求を行う手段と、
所定の終了条件を満たしたときに前記中継装置に対して前記端末装置のアドレスに与えたアクセス許可を解除するようにファイアウォール設定を元の状態に戻す要求を行う手段とを備えている
ことを特徴とするサーバ装置。
前記終了条件は、前記端末装置からの通信終了通知を受信したとき、または、パケットの送受信が一定時間以上無くなったとき、または、通信開始時から一定時間経過したとき、のうちの少なくとも何れか１つの条件を含む
ことを特徴とする請求項６に記載のサーバ装置。
端末装置と中継装置が接続されているネットワークに接続されたサーバ装置であって、
前記ネットワーク上の端末装置からの認証要求により前記端末装置から受信した認証情報に基づいて前記端末装置を操作するユーザの認証を行う認証手段と、
前記認証手段によって認証されたユーザが操作する前記端末装置のアドレスを送信元とするアドレス変換ルールを追加するように、アドレス変換機能を備えた前記中継装置に対してアドレス変換ルールの追加要求を行う手段と、
所定の終了条件を満たしたときに前記中継装置に対して前記端末装置に対応するアドレス変換ルールを削除する要求を行う手段とを備えている
ことを特徴とするサーバ装置。
前記終了条件は、前記端末装置からの通信終了通知を受信したとき、または、パケットの送受信が一定時間以上無くなったとき、または、通信開始時から一定時間経過したとき、のうちの少なくとも何れか１つの条件を含む
ことを特徴とする請求項８に記載のサーバ装置。
ネットワークに接続された端末装置と中継装置とサーバ装置とを有する通信システムであって、
前記請求項３に記載の中継装置と前記請求項６に記載のサーバ装置の組、或いは前記請求項４に記載の中継装置と前記請求項８に記載のサーバ装置の組のうちの少なくとも何れか一方の組の中継装置とサーバ装置を備えている
ことを特徴とする通信システム。