JP2007006248A - リモートアクセス方法、およびリモートアクセスシステム - Google Patents

Abstract

【課題】第三者よる送信元ＩＰアドレスの詐称および不正侵入を防止し、遠隔ネットワークへのセキュアなアクセスを実現する。
【解決手段】設定装置２１は、ＩＰネットワークの通信端末１２に割り当てられたリモートアクセス用のＩＰアドレスを取得し、当該ＩＰアドレスを送信元とする通信のみ許可するフィルタリングを網終端装置２５に設定する第１の設定ステップを行い、ＩＰｓｅｃ終端装置２２は、通信端末１２が遠隔ネットワーク３０にリモートアクセスする際に、通信端末１２の認証を行う認証ステップと、認証に成功した場合、通信端末１２との間でＩＰｓｅｃによる接続を確立する接続ステップと、通信端末１２が送信したパケットの送信元アドレスに、当該通信端末１２に割り当てられたＩＰアドレスを設定して、遠隔ネットワーク３０に送信する送信ステップと、を行う。
【選択図】 図１

Description

本発明は、ＩＰネットワークを利用したリモートアクセス技術に関する。

通信端末がネットワーク間を移動しても、常に同じＩＰアドレスを使用可能なモバイルＩＰ（Ｍｏｂｉｌｅ ＩＰ）技術がある。すなわち、モバイルＩＰ技術では、ホームエージェントが、通信端末のホームネットワーク内において割り当てられたＩＰアドレス（ホームアドレス、ＨｏＡ）と、フォーリンネットワーク（在圏網）へ移動した際にフォーリンネットワークから払い出されるＩＰアドレス（気付アドレス、ＣｏＡ）との対応関係を管理する。これにより、通信端末と他のノード（通信端末）間との通信を、通信端末の場所に依存することなくシームレスに行うことができる。

通信端末は、フォーリンネットワークから他のネットワークに存在する他のノードに向けてパケットを送信する際、ホームエージェントとの間でセッションを確立する。そして、ホームエージェントは、通信端末が送信するパケットの送信元ＩＰアドレスを、気付アドレスからホームアドレスに変換する。これにより、あるネットワークから他のネットワークに通信する際に、通信端末は同一のＩＰアドレスを送信元アドレスとして用いることができる。

なお、モバイルＩＰ技術については、例えば、非特許文献１に記載されている。
"Ｍｏｂｉｌｉｔｙ ｆｏｒ ＩＰｖ６（ｍｉｐ６）"、[online]、［２００５年３月２２日検索］、インターネット＜ＵＲＬ：http:// www.ietf.org/html.charters/mip6-charter.html＞

しかしながら、モバイルＩＰ技術のみを用いてリモートアクセスする場合、リモートアクセス先である遠隔ネットワークに対する第三者の不正侵入、またはＤｏＳ攻撃等の不正なアクセスが行われる懸念がある。例えば、通信端末のホームアドレスが属するアドレス空間が、加入者の通信端末を直接収容するルータから払い出されるアドレス空間の場合、第三者が不正にホームアドレスを詐称し、正当な加入者になりすまして遠隔ネットワークへアクセスする危険性がある。

本発明は上記事情に鑑みてなされたものであり、本発明の目的は、第三者よる送信元ＩＰアドレスの詐称および不正侵入を防止し、遠隔ネットワークへのセキュアなアクセスを実現することにある。

上記課題を解決するために、本発明は、例えば、リモートアクセスシステムが行う、通信事業者のＩＰネットワークを利用したリモートアクセス方法であって、前記リモードアクセスシステムは、フィルタリングの設定を行う設定装置と、ＩＰｓｅｃ終端装置と、遠隔ネットワークに配置された網終端装置と、を有する。前記設定装置は、前記ＩＰネットワークの加入者端末に割り当てられたリモートアクセス用のＩＰアドレスを取得し、当該ＩＰアドレスを送信元とする通信のみ許可するフィルタリングを、前記網終端装置に設定する第１の設定ステップを行い、前記ＩＰｓｅｃ終端装置は、前記加入者端末が前記遠隔ネットワークにリモートアクセスする際に、前記加入者端末の認証を行う認証ステップと、前記認証に成功した場合、前記加入者端末との間でＩＰｓｅｃによる接続を確立する接続ステップと、前記加入者端末が送信したパケットの送信元アドレスに、当該加入者端末に割り当てられた前記ＩＰアドレスを設定して、前記遠隔ネットワークに送信する送信ステップと、を行う。

また、本発明は、通信事業者のＩＰネットワークを利用したリモートアクセスシステムであって、フィルタリングの設定を行う設定装置と、ＩＰｓｅｃ終端装置と、遠隔ネットワークに配置された網終端装置と、を有する。前記設定装置は、前記ＩＰネットワークの加入者端末に割り当てられたリモートアクセス用のＩＰアドレスを取得し、当該ＩＰアドレスを送信元とする通信のみ許可するフィルタリングを、前記網終端装置に設定する第１の設定手段を有し、前記ＩＰｓｅｃ終端装置は、前記加入者端末が前記遠隔ネットワークにリモートアクセスする際に、前記加入者端末の認証を行う認証手段と、前記認証に成功した場合、前記加入者端末との間でＩＰｓｅｃによる接続を確立する接続手段と、前記加入者端末が送信したパケットの送信元アドレスに、当該加入者端末に割り当てられた前記ＩＰアドレスを設定して、前記遠隔ネットワークに送信する送信手段と、を有する。

本発明では、第三者による送信元ＩＰアドレスの詐称および不正侵入をより高い精度で防止し、遠隔ネットワークへのよりセキュアなアクセスを実現することができる。

以下、本発明の実施の形態について説明する。

図１は、本発明の一実施形態が適用されたリモートアクセスシステムの全体構成図である。

図示するリモートアクセスシステムは、加入者１１が使用する通信端末１２と、通信事業者が所有する通信事業者ネットワーク２０と、通信端末１２がリモートアクセスを行う遠隔ネットワーク３０とを有する。

通信事業者ネットワーク２０は、遠隔ネットワーク３０に配置された網終端装置２５と、網終端装置２５に対してフィルタリングの設定を行う設定装置２１と、当該ネットワーク２０内に配置されるＩＰｓｅｃ終端装置２２と、加入者１１の通信端末１２を収容するエッジルータ２３と、他事業者ネットワーク４０との接続点に配置されるボーダルータ２４と、を有する。なお、通信事業者ネットワーク２０は、ＩＰネットワークであって、本実施形態ではＩＰｖ６（Internet Protocol Version 6）を用いるものとする。しかしながら、本発明はこれに限定されるものではない。

ＩＰｓｅｃ終端装置２２は、暗号通信を行うプロトコルであるＩＰｓｅｃ（Security Architecture for Internet Protocol）を実装したネットワーク機器であって、例えば、ゲートウェイ、または、モバイルＩＰにおけるホームエージェントなどを用いることができる。

エッジルータ２３およびボーダルータ２４は、パケットの送信元ＩＰアドレスによるフィルタリング機能（Ingress Filtering）を備えるものとする。すなわち、エッジルータ２３は、自らが払い出したアドレス空間以外のＩＰアドレスを送信元ＩＰアドレスとするパケットの通過を遮断（拒否）する。また、ボーダルータ２４は、通信事業者ネットワーク２０のアドレス空間を送信元ＩＰアドレスとするパケットの通過を遮断（拒否）する。これにより、第三者による送信元ＩＰアドレスの詐称を防止することができる。すなわち、第三者による不正侵入を防止することができる。

遠隔ネットワーク３０は、少なくとも１つの遠隔端末３１を有し、遠隔端末３１は網終端装置２５を介して通信事業者ネットワーク２０と接続することができる。なお、リモートアクセスシステムは、複数の遠隔ネットワーク３０を有することとしてもよい。

通信端末１２および遠隔端末３１は、本実施形態ではＩＰｖ６に対応する通信機器（コンピュータ装置）であって、例えば、パソコン（Personal Computer）、ＰＤＡ（Personal Digital Assistance）、携帯電話などを用いることができる。なお、通信端末１２は、無線通信により通信事業者ネットワーク２０に接続する場合は、図示しないアクセスポイントを介して、通信事業者ネットワーク２０に接続するものとする。

本実施形態において、加入者１１の通信端末１２は、ＩＰｓｅｃ終端装置２２を経由して、遠隔ネットワーク３０の遠隔端末３１に対してリモートアクセスを行うものとする。網終端装置２５は、送信元ＩＰアドレスによるフィルタリングを行い、加入者１１の通信端末１２以外の第三者による遠隔ネットワーク３０への不正アクセスや攻撃を防止する。

次に、設定装置２１の機能について説明する。

図２は、設定装置２１の機能を示すブロック図である。設定装置２１は、加入者情報登録部２１１と、加入者情報蓄積部２１２と、加入者情報取得部２１３と、設定部２１４と、 失効情報登録部２１５と、失効情報蓄積部２１６と、失効情報取得部２１７と、を有する。

加入者情報登録部２１１は、通信端末１２（または加入者１１）からリモートアクセスサービスを利用するために必要な加入者情報（登録情報）を受け付け、加入者情報蓄積部２１２に蓄積する。加入者情報取得部２１３は、加入者情報蓄積部２１２に蓄積された加入者情報を読み出し、設定部２１４に受け渡す。設定部２１４は、加入者情報に基づいて、加入者１１が所望する遠隔ネットワーク３０の回線情報を取得し、当該遠隔ネットワーク３０の網終端装置２５にフィルタリング設定を行う。

失効情報登録部２１５は、通信端末１２からアクセス権限の危殆通知を受け付け、失効情報蓄積部２１６に危殆化したＩＰアドレスを記憶する。失効情報取得部２１７は、失効情報蓄積部２１６から危殆化したＩＰアドレスを取得し、設定部２１４に送出する。設定部２１４は、危殆化したＩＰアドレスに基づいて、ＩＰｓｅｃ終端装置２２にフィルタリング設定を行う
なお、設定装置２１は、加入者情報取得部２１３、設定部２１４および失効情報取得部２１７のみを有することとしてもよい。この場合、設定装置２１以外の他の装置が、加入者情報登録部２１１、加入者情報蓄積部２１２、失効情報登録部２１５および失効情報蓄積部２１６を有するものとする。

上記説明した、通信端末１２、設定装置２１、ＩＰｓｅｃ終端装置２２、および網終端装置２５は、いずれも、例えばＣＰＵと、メモリと、ＨＤＤ等の外部記憶装置と、キーボードやマウスなどの入力装置と、ディスプレイやプリンタなどの出力装置と、ネットワークと接続するための通信制御装置と、を備えた汎用的なコンピュータシステムを用いることができる。このコンピュータシステムにおいて、ＣＰＵがメモリ上にロードされた所定のプログラムを実行することにより、各装置の各機能が実現される。

例えば、通信端末１２、設定装置２１、ＩＰｓｅｃ終端装置２２、および網終端装置２５の各機能は、通信端末１２用のプログラムの場合は通信端末１２のＣＰＵが、設定装置２１用のプログラムの場合は設定装置２１のＣＰＵが、ＩＰｓｅｃ終端装置２２用のプログラムの場合はＩＰｓｅｃ終端装置２２のＣＰＵが、そして、網終端装置２５用のプログラムの場合は網終端装置２５のＣＰＵが、それぞれ実行することにより実現される。なお、設定装置２１の加入者情報蓄積部２１２、失効情報蓄積部２１６には、設定装置２１のメモリまたは外部記憶装置が用いられる。また、入力装置、出力装置および外部記憶装置については、各装置が必要に応じて備えるものとする。

次に、遠隔ネットワークへのリモートアクセス時に、通信端末１２の送信元アドレスとして通信事業者（設定装置２１）により割り当てられるＩＰｖ６アドレスについて説明する。

図３は、本実施形態で割り当てられるＩＰｖ６アドレスの構成を示す構成図である。本実施形態において、加入者１１または当該加入者の所有する通信端末１２に対して割り当てられるＩＰｖ６アドレスは、図３（ａ）に示すように、ＩＰｖ６アドレスを割り当てる組織のネットワークを一意に示すネットワーク識別部３１ａと、加入者毎に一意に割り当てられる加入者識別部３２ａと、加入者の使用する通信端末毎に一意に割り当てられる端末識別部３３ａとを有する。なお、ネットワーク識別部３１ａはルーティングプリフィクスに相当し、加入者識別部３２ａおよび端末識別部３３ａはインターフェースＩＤ相当する。

このような構成のＩＰｖ６アドレスをリモートアクセス時に用いることにより、各加入者一意のＩＰｖ６アドレスが生成されるとともに、通信端末１２を直接収容するエッジルータ２３から払い出されるアドレス空間には属さないＩＰｖ６アドレスを生成することができる。また、加入者識別部３２ａを有することにより加入者の回線を容易に特定可能であるため、通信事業者（または、設定装置２１）は、加入者の回線に対して遠隔操作による設定を容易に行うことができる。例えば、加入者識別部３２ａには加入者の電話番号（携帯電話番号を含む）を使用し、端末識別部３３ａには電話番号の通番と通信端末に割り当てられた機体番号とを使用することなどが考えられる。

また、本実施形態で割り当てられるＩＰｖ６アドレスは、加入者識別部３２ａおよび端末識別部３３ａ各々のビット長を可変長とし、柔軟性を持たせることとしてもよい。例えば、個人や小規模オフィスに対して割り当てるＩＰｖ６アドレスは、図３（ｂ）に示すように、加入者識別部３２ｂに用いるビット長を比較的長く設定し、端末識別部３３ｂに用いるビット長を比較的短く設定することが考えられる。

一方、大規模組織や企業に対して割り当てるＩＰｖ６アドレスは、図３（ｃ）に示すように、加入者識別部３２ｃに用いるビット長を比較的短く設定し、端末識別部３３ｃに用いるビット長を比較的長く設定することが考えられる。これにより、より多くの通信端末１２に対してＩＰｖ６アドレスの割り当てを可能にすることできる。

次に、通信端末１２が遠隔ネットワーク３０にリモートアクセスする処理について説明する。

図４は、リモートアクセスのシーケンス図である。まず、通信端末１２は、加入者の指示を受け付けて、所望の遠隔ネットワーク３０へのリモートアクセスサービスを利用するために必要な登録情報を設定装置２１に送信する。設定装置２１の加入者情報登録部２１１は、通信端末１２から登録情報を受け付け、通信端末１２（または加入者）に対して、リモートアクセス時に送信元ＩＰアドレスとして使用する固有のＩＰｖ６アドレス（図３参照）を割り当てる。そして、加入者情報登録部２１１は、通信端末１２から受け付けた登録情報に含まれるリモートアクセスを所望する遠隔ネットワークの情報およびフィルタリングポリシーと、割り当てたＩＰｖ６アドレスとを含む加入者情報を、加入者情報蓄積部２１２に登録する（Ｓ１１）。

そして、設定装置２１の加入者情報取得部２１３は、Ｓ１１で登録された加入者情報を取得し、設定部２１４に送出する（Ｓ１２）。そして、設定部２１４は、加入者情報に基づいて、所望する遠隔ネットワーク３０の網終端装置２５のフィルタリング設定に必要な遠隔ネットワークの回線情報およびフィルタリングポリシーを取得する。すなわち、設定部２１４は、取得したＩＰｖ６アドレスが図３に示すＩＰｖ６アドレス構成の場合、加入者識別部をキーとして、アクセスを所望する遠隔ネットワーク３０の網終端装置２５の回線情報を取得する。そして、設定部２１４は、所望の遠隔ネットワーク３０の網終端装置２５に対して、遠隔操作によりフィルタリング設定を行う（Ｓ１３）。

すなわち、設定部２１４は、網終端装置２５に対し、加入者情報のＩＰｖ６アドレスを送信元ＩＰアドレスとするパケットの通過を許可するフィルタリング設定を行う。なお、設定部２１４は、加入者情報に含まれるフィルタリングポリシーに基づいて、当該ＩＰｖ６アドレスのネットワーク識別部および加入者識別部までが一致するか否かを判別して加入者単位でのフィルタリング設定を行う場合、または、ネットワーク識別部、加入者識別部および端末識別部までが一致するか否かを判別して通信端末単位でのフィルタリング設定を行う場合が考えられる。なお、設定部２１４はオフラインで網終端装置２５のフィルタリング設定をすることとしてもよい。

そして、通信端末１２は、加入者の指示を受け付けて、遠隔ネットワーク３０にリモートアクセスを行う。すなわち、通信端末１２は、エッジルータ２３から払い出されたＩＰｖ６アドレスを送信元ＩＰアドレスとして、エッジルータ２３を介してＩＰｓｅｃ終端装置２２に、所定のパケットを送信する。

そして、ＩＰｓｅｃ終端装置２２は、パケットとともに送信された所定の認証情報に基づいて、ＩＰｓｅｃ技術を用いた認証処理を行う（Ｓ１４）。なお、ＩＰｓｅｃ終端装置２２は、ＩＰｓｅｃ技術の１つである電子署名を用いたＰＫＩ（Public Key Infrastructure）認証を適用することとしてもよい。なお、ＰＫＩ認証に用いる加入者の認証情報は、ＵＳＢキーまたはＣＤ−ＲＯＭ等の記録媒体に格納し、加入者が携帯して使用することが望ましい。

そして、ＩＰｓｅｃ終端装置２２は、認証に成功した場合、通信端末１２とのＩＰｓｅｃによるセションを確立し、Ｓ１１で割り当てられたＩＰｖ６アドレスを通信端末１２に払い出す（Ｓ１５）。なお、ＩＰｓｅｃ終端装置２２は、Ｓ１１で割り当てられたＩＰｖ６アドレスをメモリまたは外部記憶装置に記憶しており、認証後に通信端末１２に払い出す（通知する）ものとする。

そして、通信装置１２は、払い出されたＩＰｖ６アドレスを送信元ＩＰアドレスとするパケットをカプセル化（暗号化）し、ＩＰｓｅｃ終端装置２２に送信する。なお、通信装置１２は、カプセル化されたパケットの外側ヘッダの送信元ＩＰアドレスに、エッジルータ２３が払い出したＩＰアドレスを設定する。これにより、カプセル化されたパケットは、エッジルータ２３を通過することができる。そして、ＩＰｓｅｃ終端装置２２は、カプセル化されたパケットを、通信端末１２から受信する。そして、ＩＰｓｅｃ終端装置２２は、受信したパケットのカプセル化を解除し、網終端装置２５にカプセル化を解除したパケットを送信する。これにより、カプセル化を解除したパケットの送信元ＩＰアドレスには、Ｓ１５で払い出されたＩＰｖ６アドレス（カプセル化されたパケットの内側ヘッダの送信元ＩＰアドレス）が設定されることになる。

なお、通信装置１２は、パケットをカプセル化することなく、送信元ＩＰアドレスにエッジルータ２３が払い出したＩＰアドレスを設定したパケットを、ＩＰｓｅｃ終端置２２に送信することにしてもよい。この場合、ＩＰｓｅｃ終端置２２は、送信元ＩＰアドレスをＳ１５で払い出されるＩＰｖ６アドレスに書き換える。そして、ＩＰｓｅｃ終端置２２は、書き換えたパケットを、網終端装置２５に送信する。

これにより、通信端末１２は、Ｓ１５で払い出されたＩＰｖ６アドレスを送信元ＩＰアドレスとして遠隔ネットワーク３０の網終端装置２５へアクセスすることができる（Ｓ１６）。なお、網終端装置２５には、当該ＩＰｖ６アドレスを送信元ＩＰアドレスとする通信のみを許可するフィルタリング設定が、Ｓ１３においてなされている。このため、網終端装置２５は、通信端末１２が送信したパケットの通過を許可する。

以上説明したリモートアクセスにより、通信端末１２は、設定装置２１が割り当てた固有のＩＰｖ６アドレスを送信元ＩＰアドレスとして遠隔ネットワーク３０にアクセスすることができる。また、割り当てられたＩＰｖ６アドレスは、エッジルータ２３が払い出したアドレス空間に属さず、かつ、ＩＰｓｅｃ終端装置２２との認証を経て初めて払い出されるものである。このため、第三者による送信元ＩＰアドレスの詐称は困難になる。また、網終端装置２５における送信元ＩＰアドレスによるフィルタリングにより、遠隔ネットワーク３０に対する第三者の不正侵入を防止することができる。

また、本実施形態におけるエッジルータ２３は、フィルタリングを行って、自らが払い出したアドレス空間のＩＰアドレスを送信元ＩＰアドレスとするパケットのみを許可する。したがって、第三者が、Ｓ１１で割り当てたＩＰｖ６アドレスを詐称して、エッジルータ２３を経由してリモートアクセスする場合、当該ＩＰｖ６アドレスはエッジルータ２３が払い出したアドレス空間に属さないため、エッジルータ２３はパケットの通過を遮断（拒否、破棄）する。これにより、第三者による不正侵入を防止することができる。

また、ボーダルータ２４は、フィルタリングを行って、通信事業者ネットワーク２０のアドレス空間を送信元ＩＰアドレスとするパケットの通過を遮断する。これにより、第三者が、Ｓ１１で割り当てたＩＰｖ６アドレスを詐称して、他事業者ネットワーク４０からボーダルータ２４を経由してリモートアクセスする場合、当該ＩＰｖ６アドレスは通信事業者ネットワーク２０のアドレス空間に属するため、ボーダルータ２４は、当該パケットの通過を遮断する。これにより、第三者による不正侵入を防止することができる。

次に、リモートアクセス時に割り当てたＩＰｖ６アドレスを失効させる失効処理について説明する。ＰＫＩ認証に必要な加入者の認証情報が漏洩した場合など、加入者のアクセス権限が危殆した場合、以下に説明する失効処理により当該加入者に割り当てたＩＰｖ６アドレスを失効させ、第三者が当該加入者を詐称すること（なりすまし）を、即時に防止する。

図５は、失効処理のシーケンス図である。まず、通信端末１２は、アクセス権限が危殆化した加入者の指示を受け付けて、アクセス権限の危殆通知を設定装置２１に送信する（Ｓ２１）。なお、危殆通知には、危殆化したＩＰｖ６アドレスが含まれるものとする。

設定装置２１の失効情報登録部２１５は、危殆通知を受け付けて、当該危殆通知に含まれるＩＰｖ６アドレス（以下、「失効ＩＰアドレス」）を失効情報蓄積部２１６に記憶する（Ｓ２２）。そして、失効情報取得部２１７は、失効情報蓄積部２１６に記憶された失効ＩＰアドレスを取得し、設定部２１４に送出する（Ｓ２３）。

そして、設定部２１４は、ＩＰｓｅｃ終端装置２２の出力側インタフェースのアクセスリストに、失効ＩＰアドレスを送信元ＩＰアドレスとするパケットを遮断するフィルタリング設定を行う（Ｓ２４ａ）。なお、設定部２１４は、Ｓ２４ａの替わりに、網終端装置２５および所定のネットワーク機器２６（ルータなど）に、失効ＩＰアドレスを送信元ＩＰアドレスとするパケットを遮断するフィルタリング設定を行うこととしてもよい（Ｓ２４ｂ）。そして、ＩＰｓｅｃ終端装置２２は、電子証明書の失効が確認されると、Ｓ２４ａで設定したフィルタリングの設定を解除する（Ｓ２５）。

以上説明した失効処理により、Ｓ２５の電子証明書の失効までの間に行われる第三者の不正アクセスを防止することができる。すなわち、一般的なＰＫＩ認証では、電子証明書の失効確認を一定の間隔で行っているため、ＩＰｓｅｃ終端装置２２が電子証明書の失効を反映するまでにはある程度の時間を要する。しかしながら、図５に示す失効処理を行うことにより、電子証明書の失効が反映されるまでの間、ＩＰｓｅｃ終端装置２２が危殆化した失効ＩＰアドレスに対してフィルタリングを行うことにより、即時に危殆化した失効ＩＰアドレスを用いた第三者の不正アクセスを防止することができる。

また、電子証明書の失効が反映された時点で、Ｓ２４で設定したフィルタリングの設定を解除することにより（Ｓ２５）、性能面での劣化を防止することができる。

次に、図１に示すリモートアクセスシステムの実施例について説明する。

図６は、第１の実施例の全体構成図である。第１の実施例は、図１に示すＩＰｓｅｃ終端装置２２にＩＰｓｅｃゲートウェイ６４を用いて、オフィスネットワーク６１または公衆無線ＬＡＮ６２の通信端末１２から、加入者１１の自宅ネットワーク６５（遠隔ネットワーク）へリモートアクセスする場合の実施例である。

自宅ネットワーク６５には遠隔端末３１が接続されている。そして、遠隔端末３１上ではリモート管理ソフトウェア６６が動作し、加入者が携帯する通信端末１２に対して遠隔端末３１の画面情報を送信できるものとする。なお、通信端末１２上においても、リモート管理ソフトウェア（不図示）が動作しているものとする。設定装置２１は、あらかじめ加入者情報蓄積部２１２に登録された当該加入者または通信端末１２固有のＩＰｖ６アドレスのみを送信元アドレスとするパケットのみを通過するフィルタリング設定を、網終端装置２５に設定する（図４参照）。

通信端末１２は、加入者の指示を受け付けて、オフィスネットワーク６１または公衆無線ＬＡＮ６２から、自宅ネットワーク６５の遠隔端末３１にリモートアクセスする。そして、通信端末１２は、遠隔端末３１の画面の閲覧、遠隔端末３１の操作、遠隔端末３１に備え付けられたカメラ６７の画像の閲覧、または周辺機器（不図示）の操作などを行うことができる。

第１の実施例により、加入者は、自宅ネットワーク６５にリモートアクセスを行い、オフィスネットワーク６１または公衆無線ＬＡＮ６２にいながらにして、遠隔端末３１の操作を行うことができる。

また、通信事業者ネットワーク２０のエッジルータ２３は、自らが払い出したアドレス空間に属さないＩＰｖ６アドレスを送信元ＩＰアドレスとする通信を遮断するフィルタリング機能を備える。また、ボータルータ（不図示）は、通信事業者が使用するＩＰｖ６アドレスのアドレス空間に属するＩＰｖ６アドレスを送信元ＩＰアドレスとする通信を遮断するフィルタリング機能を備える。これにより、第三者が、加入者または通信端末１２に割り当てられたＩＰｖ６アドレスを詐称して自宅ネットワークに６５に不正にアクセすることを防止することができる。

また、加入者または通信端末１２に割り当てられたＩＰｖ６アドレスはＩＰｓｅｃゲートウェイ６４との間の認証成立後に払い出されること、また、網終端装置２５にフィルタリング設定がなされていることにより、第三者による詐称および外部からの不正アクセスを防止し、セキュリティを確保することができる。

また、ＩＰｓｅｃゲートウェイ６４のＰＫＩ認証に用いられる加入者の認証情報を、ＵＳＢキーまたはＣＤ−ＲＯＭ等の記録媒体に格納しておき、当該記録媒体を通信端末１２に接続することにより、いずれの場所においても同じ通信環境を再現することができる。

図７は、第２の実施例の全体構成図である。

第２の実施例は、モバイルＩＰｖ６技術を用いた場合の実施例である。第２の実施例は、第１の実施例と同様に、オフィスネットワーク７１または公衆無線ＬＡＮ７２の通信端末１２から、加入者１１の自宅ネットワーク７５（遠隔ネットワーク）へリモートアクセスする場合の実施例である。なお、第２の実施例では、図１に示すＩＰｓｅｃ終端装置２２にホームエージェント（Home Agent）７４を用いる。ホームエージェント７４は、通信端末１２の送信元ＩＰアドレスを、ホームアドレス（ＨｏＡ）に変換して、自宅ネットワーク７５に接続する。

自宅ネットワーク７５に配置された網終端装置２５は、外部から受信したパケットのうちホームアドレスを送信元ＩＰアドレスとするパケットのみ通過を許可する。これにより、通信端末１２のホームアドレス以外を送信元ＩＰアドレスとするパケットはフィルタリング（遮断）される。また、モバイルＩＰｖ６技術により、通信端末１２が収容されるエッジルータ２３から払い出されるＩＰｖ６アドレスと、通信事業者（設定装置２１）が割り当てたＩＰｖ６アドレス（ホームアドレス）との対応関係は、ホームエージェント７４が管理する。このため、通信端末１２は、ホームエージェント７４を経由することにより、通信事業者が割り当てたＩＰｖ６アドレスを送信元ＩＰアドレスとして、自宅ネットワーク７５へアクセスすることができる。

また、第１の実施例と同様に、ホームエージェント７４のＰＫＩ認証に用いられる加入者の認証情報を、ＵＳＢキーまたはＣＤ−ＲＯＭ等の記録媒体に格納しておき、加入者が携帯して使用することが望ましい。

図８は、第３の実施例の全体構成図である。

第３の実施例は、加入者１１の自宅ネットワーク８１から、オフィスネットワーク８２（遠隔ネットワーク）へリモートアクセスする場合の実施例である。加入者１１は、自宅ネットワーク８１内の通信端末１２を用いて、オフィスネットワーク８２に設置された遠隔端末３１にアクセスする。

そして、遠隔端末３１上ではリモート管理ソフトウェア８３が動作し、通信端末１２に対して遠隔端末３１の画面情報を送信できるものとする。これにより、加入者１１は、自宅にいながらオフィスネットワーク８２内の遠隔端末３１を操作することができる。

また、通信事業者ネットワークで、リモートアクセスを実現することにより、例えばインターネット８０への接続も同時に行いながら、オフィスネットワーク８２内の遠隔端末３１を操作することができる。また、リモート管理ソフトウェア８３を利用するため、遠隔端末３１のデータが直接通信事業者ネットワーク上を流れることがない点も、本実施例のメリットの１つである。

また、第１の実施例と同様に、ホームエージェント８４のＰＫＩ認証に用いられる加入者の認証情報を、ＵＳＢキーまたはＣＤ−ＲＯＭ等の記録媒体に格納しておき、加入者が携帯して使用することが望ましい。

図９は、第４の実施例の全体構成図である。

第４の実施例は、図１に示す通信端末１２としてシンクライアント端末９２を用いた場合の実施例である。第４の実施例では、企業ネットワーク９１のシンクライアント端末９２は、データセンタ９３に配置されたストレージシステム９４にアクセスする。そして、加入者１１は、ストレージシステム９４に格納されたデータのイメージを、あたかもシンクライアント端末９２に存在するデータを扱うかのように使用することができる。なお、ストレージシステム９４上では、リモート管理ソフトウェア９５が動作しているものとする。

また、データセンタ９３の網終端装置２５は、設定装置２１によりフィルタリング設定がなされ、所定の加入者以外の第三者による不正アクセスを防止する。この場合、シンクライアント端末９２側にはデータは記憶されないため、企業における情報漏洩防止の一手段として適用することができる。

また、第１の実施例と同様に、ＩＰｓｅｃ終端装置２２のＰＫＩ認証に用いられる加入者の認証情報を、ＵＳＢキーまたはＣＤ−ＲＯＭ等の記録媒体に格納しておき、加入者が携帯して使用することが望ましい。

図１０は、第５の実施例の全体構成図である。

第５の実施例は、オンラインバンクへの適用事例である。第５の実施例では、加入者１１は、事前にオンラインバンク事業者に対し、オンラインバンクサーバ１０２へのアクセスに使用するＩＰアドレスの登録を行うものとする。オンラインバンクサーバ１０２は、通信端末１２からのアクセスを受け付けると、ユーザＩＤおよびパスワードによる認証を行う。また、オンラインバンクサーバ１０２は、必要に応じて、送信元ＩＰアドレスによる認証を行うこととしてもよい。

ＩＰｓｅｃ終端装置２２は、認証に成功すると通信端末１２から送信されたパケットの送信元アドレスを、事前に登録したＩＰアドレスに変換する。そのため、オンラインバンクサーバ１０２が送信元ＩＰアドレスによる認証を行うことにより、ユーザＩＤ・パスワードが漏洩した場合であっても、第三者の不正アクセスを防止することができる。

また、第１の実施例と同様に、ＩＰｓｅｃ終端装置２２のＰＫＩ認証に用いられる加入者の認証情報を、ＵＳＢキーまたはＣＤ−ＲＯＭ等の記録媒体に格納しておき、加入者が携帯して使用することが望ましい。

以上、本発明の実施形態を説明した。

本実施形態では、加入者または通信端末に、リモートアクセスの際に用いるＩＰｖ６アドレスを割り当て、ＩＰｓｅｃ終端装置における認証の成立に基づいて、割り当てたＩＰｖ６アドレスを払い出す。これにより、第三者の不正アクセスや詐称を防止し、よりセキュア環境下でのリモートアクセスを実現することができる。

また、本実施形態では、アクセス権限の危殆通知を受け付けて、ＩＰアドレスの失効処理（図５参照）を行う。これにより、電子証明書の失効まで間に行われる第三者の不正アクセスを防止し、加入者の認証情報が漏洩した場合における加入者の安全性を確保することができる。

なお、本発明は上記の実施形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。

本発明の一実施形態が適用されたリモートアクセスシステムの全体構成図である。 設定装置の機能ブロック図である。 ＩＰｖ６アドレスのアドレス構成図である。 リモートアクセス処理のシーケンス図である。 失効処理のシーケンス図である。 第１の実施例の全体構成図である。 第２の実施例の全体構成図である。 第３の実施例の全体構成図である。 第４の実施例の全体構成図である。 第５の実施例の全体構成図である。

符号の説明

１１：加入者、１２：通信端末、２０：通信事業者ネットワーク、２１：設定装置、２２：ＩＰｓｅｃ終端装置、２３：エッジルータ、２４：ボーダルータ、２５：網終端装置、３０：遠隔ネットワーク、３１：遠隔端末、４０：他事業者ネットワーク

Claims (16)

1. リモートアクセスシステムが行う、通信事業者のＩＰネットワークを利用したリモートアクセス方法であって、
   前記リモードアクセスシステムは、フィルタリングの設定を行う設定装置と、ＩＰｓｅｃ終端装置と、遠隔ネットワークに配置された網終端装置と、を有し、
   前記設定装置は、
   前記ＩＰネットワークの加入者端末に割り当てられたリモートアクセス用のＩＰアドレスを取得し、当該ＩＰアドレスを送信元とする通信のみ許可するフィルタリングを、前記網終端装置に設定する第１の設定ステップを行い、
   前記ＩＰｓｅｃ終端装置は、
   前記加入者端末が前記遠隔ネットワークにリモートアクセスする際に、前記加入者端末の認証を行う認証ステップと、
   前記認証に成功した場合、前記加入者端末との間でＩＰｓｅｃによる接続を確立する接続ステップと、
   前記加入者端末が送信したパケットの送信元アドレスに、当該加入者端末に割り当てられた前記ＩＰアドレスを設定して、前記遠隔ネットワークに送信する送信ステップと、を行うこと、
   を特徴とするリモートアクセス方法。
2. 請求項１記載のリモートアクセス方法であって、
   前記ＩＰｓｅｃ終端装置の認証ステップは、電子証明書を用いたＰＫＩ認証を行うこと
   を特徴とするリモートアクセス方法。
3. 請求項１または請求項２記載のリモートアクセス方法であって、
   前記リモートアクセスシステムは、前記加入者端末を収容するルータを、さらに有し、
   前記加入者端末に割り当てられるＩＰアドレスは、前記ルータが保有するアドレス空間以外のＩＰアドレスであること
   を特徴とするリモートアクセス方法。
4. 請求項１から請求項３のいずれか１項に記載のリモートアクセス方法であって、
   前記加入者端末に割り当てられるＩＰアドレスは、ＩＰｖ６アドレスであって、前記ＩＰネットワークを識別するためのネットワーク識別部と、前記ＩＰネットワークの加入者を識別する加入者識別部と、前記加入者端末各々を識別するための端末識別部と、を有すること
   を特徴とするリモートアクセス方法。
5. 請求項１から請求項４のいずれか１項に記載のリモートアクセス方法であって、
   前記設定装置は、
   前記加入者端末から、アクセス権限の危殆通知を受け付ける受付ステップと、
   前記加入者端末に割り当てられたＩＰアドレスに基づいて、前記ＩＰｓｅｃ終端装置にフィルタリングの設定を行う第２の設定ステップと、をさらに行い、
   前記ＩＰｓｅｃ終端装置は、
   前記設定装置のフィルタリング設定を受け付けて、前記加入者端末に割り当てられたＩＰアドレスを送信元アドレスとするパケットの通過を遮断する制御ステップを、さらに行うこと
   を特徴とするリモートアクセス方法。
6. 請求項４記載のリモートアクセス方法であって、
   前記網終端装置は、
   送信元アドレスが前記ＩＰｖ６アドレスのパケットを受信し、前記送信元アドレスの前記ネットワーク識別部および前記加入者識別部に基づいた加入者単位のフィルタリング、または、前記ネットワーク識別部、前記加入者識別部および前記端末識別部に基づいた加入者端末単位のフィルタリングを行うこと
   を特徴とするリモートアクセス方法。
7. 請求項４または請求項６記載のリモートアクセス方法であって、
   前記設定装置は、
   前記加入者端末に割り当てられたＩＰアドレスの前記ネットワーク識別部および前記加入者識別部に基づいて、前記フィルタリングの設定を行う前記網終端装置を特定する特定ステップと、をさらに行うこと
   を特徴とするリモートアクセス方法。
8. 請求項１から請求項７のいずれか１項に記載のリモートアクセス方法であって、
   前記設定装置は、
   前記第１の設定ステップにおいて、前記加入者端末に割り当てられたＩＰアドレスと、所定のセキュリティポリシーとに基づいて、前記網終端装置にフィルタリングの設定を行うこと
   を特徴とするリモートアクセス方法。
9. 通信事業者のＩＰネットワークを利用したリモートアクセスシステムであって、
   フィルタリングの設定を行う設定装置と、ＩＰｓｅｃ終端装置と、遠隔ネットワークに配置された網終端装置と、を有し、
   前記設定装置は、
   前記ＩＰネットワークの加入者端末に割り当てられたリモートアクセス用のＩＰアドレスを取得し、当該ＩＰアドレスを送信元とする通信のみ許可するフィルタリングを、前記網終端装置に設定する第１の設定手段を有し、
   前記ＩＰｓｅｃ終端装置は、
   前記加入者端末が前記遠隔ネットワークにリモートアクセスする際に、前記加入者端末の認証を行う認証手段と、
   前記認証に成功した場合、前記加入者端末との間でＩＰｓｅｃによる接続を確立する接続手段と、
   前記加入者端末が送信したパケットの送信元アドレスに、当該加入者端末に割り当てられた前記ＩＰアドレスを設定して、前記遠隔ネットワークに送信する送信手段と、を有すること
   を特徴とするリモートアクセスシステム。
10. 請求項９記載のリモートアクセスシステムであって、
    前記ＩＰｓｅｃ終端装置の認証手段は、電子証明書を用いたＰＫＩ認証を行うこと
    を特徴とするリモートアクセスシステム。
11. 請求項９または請求項１０記載のリモートアクセスシステムであって、
    前記加入者端末を収容するルータを、さらに有し、
    前記加入者端末に割り当てられるＩＰアドレスは、前記ルータが保有するアドレス空間以外のＩＰアドレスであること
    を特徴とするリモートアクセスシステム。
12. 請求項９から請求項１１のいずれか１項に記載のリモートアクセスシステムであって、
    前記加入者端末に割り当てられるＩＰアドレスは、ＩＰｖ６アドレスであって、前記ＩＰネットワークを識別するためのネットワーク識別部と、前記ＩＰネットワークの加入者を識別する加入者識別部と、前記加入者端末各々を識別するための端末識別部と、を有すること
    を特徴とするリモートアクセスシステム。
13. 請求項９から請求項１２のいずれか１項に記載のリモートアクセスシステムであって、
    前記設定装置は、
    前記加入者端末から、アクセス権限の危殆通知を受け付ける受付手段と、
    前記加入者端末に割り当てられたＩＰアドレスに基づいて、前記ＩＰｓｅｃ終端装置にフィルタリングの設定を行う第２の設定手段と、をさらに有し、
    前記ＩＰｓｅｃ終端装置は、
    前記設定装置のフィルタリング設定を受け付けて、前記加入者端末に割り当てられたＩＰアドレスを送信元アドレスとするパケットの通過を遮断する制御手段を、さらに有すること
    を特徴とするリモートアクセスシステム。
14. 請求項１２記載のリモートアクセスシステムであって、
    前記網終端装置は、
    送信元アドレスが前記ＩＰｖ６アドレスのパケットを受信し、前記送信元アドレスの前記ネットワーク識別部および前記加入者識別部に基づいた加入者単位のフィルタリング、または、前記ネットワーク識別部、前記加入者識別部および前記端末識別部に基づいた加入者端末単位のフィルタリングを行うこと
    を特徴とするリモートアクセスシステム。
15. 請求項１２または請求項１４記載のリモートアクセスシステムであって、
    前記設定装置は、
    前記加入者端末に割り当てられたＩＰアドレスの前記ネットワーク識別部および前記加入者識別部に基づいて、前記フィルタリングの設定を行う前記網終端装置を特定する特定手段をさらに有すること
    を特徴とするリモートアクセスシステム。
16. 請求項９から請求項１５のいずれか１項に記載のリモートアクセスシステムであって、
    前記設定装置の前記第１の設定手段は、前記加入者端末に割り当てられたＩＰアドレスと、所定のセキュリティポリシーとに基づいて、前記網終端装置にフィルタリングの設定を行うこと
    を特徴とするリモートアクセスシステム。
    
    
    
    
    

Images