JP2007096554A - 通信システム、ブロードバンドルータ、情報処理装置及びそれらに用いるｎａｔ越え機能実現方法 - Google Patents

Abstract

【課題】 既存方式のセキュリティ面やコスト面での問題を解決可能な通信システムを提供する。
【解決手段】 相手側ＰＣ３はアプリケーションの実行に必要なアドレス、ポート、プロトコル情報を付加したＰＣ１へのアクセス要求を送信する。ブロードバンドルータ２はそのアクセス要求を受信すると、アドレス、ポート、プロトコル情報を付加したイベントメッセージをＰＣ１へ送信する。ＰＣ１はアドレス、ポート、プロトコル情報を基に接続要求の許可／不許可を判断し、接続許可の場合、イベントレスポンスを送信する。ブロードバンドルータ２はイベントレスポンスを受信すると、相手側ＰＣ３へレスポンスを送信し、アクセス要求が許可されたことを相手側ＰＣ３に通知する。その際、ブロードバンドルータ２はＰＣ１からのポートマッピング追加要求に応じてポートマッピングを行う。
【選択図】 図１

Description

本発明は通信システム、ブロードバンドルータ、情報処理装置及びそれらに用いるＮＡＴ越え機能実現方法に関し、特にブロードバンドルータのＮＡＴ越え（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｏｒ Ｔｒａｖｅｒｓａｌ）機能の実現方法に関する。

今日、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）やブロードバンドルータには、ネットワーク接続を利用した情報家電等の広まりに伴って、標準的に、ＮＡＴ越え機能が実装されている。このＮＡＴ越え機能の実現方法は以下のような方法がある。

ここで、ＮＡＴ越えについて説明する。一般的なブロードバンドルータでは、ＮＡＴ／ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）マスカレード機能によってＩＰヘッダ内のＩＰアドレスをＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）側ではプライベートアドレス、インタネット側ではグローバルアドレスに変換している。

また、ＩＰマスカレードはＬＡＮ側からインタネット側へ接続要求を送出した場合に記憶される変換テーブルにしたがって、インタネット側から返ってきたパケットをＬＡＮ側の各端末に転送する仕掛けであり、インタネット側からの接続要求は通らない。Ｐ２Ｐ（Ｐｅｅｒ ｔｏ Ｐｅｅｒ）アプリケーションによっては、以上の理由によってブロードバンドルータの下では動作しないものも存在する。ＵＰｎＰ（Ｕｎｉｖｅｒｓａｌ Ｐｌｕｇ ａｎｄ Ｐｌａｙ）にはＮＡＴ越え機能が定義されており、この問題を解決するための方法が示されているので、多くのブロードバンドルータがこれらの方法を採用している。

ＮＡＴ越え機能の実現方法としては、（１）ＵＰｎＰ−ＩＧＤ（ＵＰｎＰ−Ｉｎｔｅｒｎｅｔ Ｇａｔｅｗａｙ Ｄｅｖｉｃｅ）、（２）ＳＴＵＮ［Ｓｉｍｐｌｅ Ｔｒａｖｅｒｓａｌ ｏｆ ＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ） Ｔｈｒｏｕｇｈ ＮＡＴｓ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｏｒｓ）］がある。

ＵＰｎＰ−ＩＧＤはＵＰｎＰフォーラム（Ｆｏｒｕｍ）で標準化されたデバイス制御プロトコルの一つで、ネットワーク上に接続されたＮＡＴデバイス（Ｄｅｖｉｃｅ）を検出して制御する手順が規定されている。コントロールポイント（Ｃｏｎｔｒｏｌ Ｐｏｉｎｔ）であるＰＣ上のアプリケーションは、ＵＰｎＰによってＮＡＴデバイスを検出し、ＮＡＴに対して必要とするポートマッピングを追加することで、そのポートを使用してリモートホストとの通信を行っている。

また、ＳＴＵＮは非特許文献１で規定されたＵＤＰのためのシンプルなＮＡＴ越えプロトコルとして規定されたものである。この方法は、ＮＡＴボックスに直接働きかけず、外部サーバを立て、その外部サーバと定期的に通信することによって、外部サーバ経由で外部からの着信を受け、該当ポートを開ける仕組みとなっている。

“ＳＴＵＮ−Ｓｉｍｐｌｅ Ｔｒａｖｅｒｓａｌ ｏｆ Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ（ＵＤＰ） Ｔｈｒｏｕｇｈ Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｏｒｓ（ＮＡＴｓ） ６．Ｏｖｅｒｖｉｅｗ ｏｆ Ｏｐｅｒａｔｉｏｎ”［ＲＦＣ（Ｒｅｑｕｅｓｔ Ｆｏｒ Ｃｏｍｍｅｎｔｓ）３４８９，ｐ．６〜８，Ｍａｒｃｈ ２００３］

上述した従来のＮＡＴ超え機能の実現方法では、（１）ＵＰｎＰ−ＩＧＤの場合、リモートホストをワイルドカードとすると、不特定のユーザとの通信が可能であり、Ｐ２Ｐアプリケーション等では便利であるが、セキュリティ面における問題がある。また、（１）ＵＰｎＰ−ＩＧＤの場合には、リモートホストを特定アドレスとすると、セキュリティ面における問題を回避することが可能であるが、相手側が限定されるため、Ｐ２Ｐアプリケーション等では使いにくい。

一方、（２）ＳＴＵＮの場合には、上記の（１）ＵＰｎＰ−ＩＧＤにおける問題点を補完することが可能であるが、外部サーバを立ち上げなければならないため、運用コスト面及び利用者が増えた場合のサーバ負荷増大という問題が発生する。

上記のように、従来のＮＡＴ超え機能の実現方法では、ＵＰｎＰやＳＴＵＮによる実現が一般的になっているが、上述した通り、セキュリティ面での問題、コスト面での問題が付随している。

そこで、本発明の目的は上記の問題点を解消し、既存方式のセキュリティ面やコスト面での問題を解決することができる通信システム、ブロードバンドルータ、情報処理装置及びそれらに用いるＮＡＴ越え機能実現方法を提供することにある。

本発明による通信システムは、相手側の情報処理装置からのアクセス要求をブロードバンドルータにて中継して要求先の情報処理装置に通知する通信システムであって、
前記相手側の情報処理装置は、アプリケーションの実行に必要なアドレスとポートとプロトコルとを少なくとも示す情報を付加したアクセス要求を作成して前記ブロードバンドルータに転送し、
前記ブロードバンドルータは、前記アクセス要求を受信した時にそのアクセス要求をイベンティングメッセージとして前記要求先の情報処理装置に通知し、
前記要求先の情報処理装置は、前記イベンティングメッセージを受信した時にそのイベンティングメッセージに付加された前記情報に基づいて前記相手側の情報処理装置との接続の許可／不許可を判断している。

本発明によるブロードバンドルータは、相手側の情報処理装置からのアクセス要求を中継し、そのアクセス要求を要求先の情報処理装置に通知するブロードバンドルータであって、
前記相手側の情報処理装置からのアプリケーションの実行に必要なアドレスとポートとプロトコルとを少なくとも示す情報が付加されたアクセス要求を受信した時にそのアクセス要求をイベンティングメッセージとして前記要求先の情報処理装置に通知する手段と、
前記要求先の情報処理装置において前記イベンティングメッセージに付加した前記情報に基づいて前記相手側の情報処理装置との接続の許可／不許可の判断結果が通知された時にその判断結果を前記相手側の情報処理装置に通知する手段とを備えている。

本発明による情報処理装置は、ブロードバンドルータにて中継された相手側の装置からのアクセス要求を受信して処理する情報処理装置であって、
前記相手側の情報処理装置からのアプリケーションの実行に必要なアドレスとポートとプロトコルとを少なくとも示す情報が付加されたアクセス要求が前記ブロードバンドルータからイベンティングメッセージとして通知された時にそのイベンティングメッセージに付加された前記情報に基づいて前記相手側の装置との接続の許可／不許可を判断する手段とを備えている。

本発明によるＮＡＴ越え機能実現方法は、相手側の情報処理装置からのアクセス要求をブロードバンドルータにて中継して要求先の情報処理装置に通知する通信システムに用いるＮＡＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｏｒ Ｔｒａｖｅｒｓａｌ）越え機能実現方法であって、
前記相手側の情報処理装置が、アプリケーションの実行に必要なアドレスとポートとプロトコルとを少なくとも示す情報を付加したアクセス要求を作成して前記ブロードバンドルータに転送し、
前記ブロードバンドルータが、前記アクセス要求を受信した時にそのアクセス要求をイベンティングメッセージとして前記要求先の情報処理装置に通知し、
前記要求先の情報処理装置が、前記イベンティングメッセージを受信した時にそのイベンティングメッセージに付加された前記情報に基づいて前記相手側の情報処理装置との接続の許可／不許可を判断している。

すなわち、本発明の通信システムは、ブロードバンドルータのＮＡＴ越え（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｏｒ Ｔｒａｖｅｒｓａｌ）機能に関し、既存方式のセキュリティ面やコスト面の問題を解決するものである。

本発明の通信システムでは、相手側ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）がアプリケーションの実行に必要なＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス、ポート、プロトコル等の情報を付加したアクセス要求を作成して転送し、ブロードバンドルータがそのアクセス要求を受信すると、そのアクセス要求をイベンティングメッセージとして該当ＰＣに通知している。

イベンティングメッセージを受信したＰＣは、ＩＰアドレス、ポート、プロトコル等の情報に基づいて接続の許可／不許可を判断し、許可する場合、ＯＫをブロードバンドルータに返すので、ブロードバンドルータはポートマッピングを実行してＮＡＴ超えを行う。また、そのＰＣは不許可の場合、エラー（ＥＲＲＯＲ）をブロードバンドルータに返すので、ブロードバンドルータはポートマッピングを行わない。

また、本発明の通信システムでは、相手側ＰＣがアクセス要求に署名情報を添付することも可能である。この場合、イベンティングメッセージを受信したＰＣは、署名情報を認証し、正当と判断した場合、接続を許可し、ＯＫをブロードバンドルータに返すので、ブロードバンドルータはポートマッピングを実行してＮＡＴ超えを行う。また、そのＰＣは正当と判断できなかった場合、エラーをブロードバンドルータに返すので、ブロードバンドルータはポートマッピングを行わない。

さらに、本発明の通信システムでは、相手側ＰＣがアクセス要求に有効期限情報を添付することも可能である。この場合、イベンティングメッセージを受信したＰＣは、付加されてきた有効期限情報を付加してブロードバンドルータにポートマッピング要求を行う。ブロードバンドルータは、付加されてきた有効期限情報を基に、有効期限が経過したらポートマッピングを削除する。

より具体的に説明すると、本発明の通信システムでは、相手側ＰＣからアドレス、ポート、プロトコル情報を付加したアクセス要求が来ると、ブロードバンドルータがＧＥＮＡ（Ｇｅｎｅｒｉｃ Ｅｖｅｎｔ Ｎｏｔｉｆｉｃａｔｉｏｎ Ａｒｃｈｉｔｅｃｔｕｒｅ）メソッドの仕組みによって、上記のアドレス、ポート、プロトコル情報を付加したイベントメッセージを該当するＰＣへ送る。

イベントメッセージを受信したＰＣはそのアクセス要求を有効と判断した場合、イベントレスポンスをブロードバンドルータへ送信する。ブロードバンドルータはイベントレスポンスを受信すると、レスポンスをインタネットを介して相手側ＰＣへ送信し、アクセス要求が認可されたことを通知する。

この場合、イベントメッセージを受信したＰＣでは、ポートマッピング追加要求を上記のアドレス、ポート、プロトコル情報を付加してブロードバンドルータへ送るので、ブロードバンドルータはポートマッピング追加要求にしたがってポートマッピングを行う。これ以後、相手側ＰＣとイベントメッセージを受信したＰＣとの間の通信が可能となる。

上記のように、本発明の通信システムでは、ＵＰｎＰ−ＩＧＤ（Ｕｎｉｖｅｒｓａｌ Ｐｌｕｇ ａｎｄ Ｐｌａｙ−Ｉｎｔｅｒｎｅｔ Ｇａｔｅｗａｙ Ｄｅｖｉｃｅ）でリモートホストをワイルドカードにした場合のように無条件でポートを開放しないため、セキュリティ性を向上させることが可能となる。

また、本発明の通信システムでは、アクセス要求が発生する毎に、そのアドレスに対してのポートマッピングを行うので、ＵＰｎＰ−ＩＧＤでリモートホストを特定アドレスにした場合に不可能であった不特定な相手からのアクセスも許容することが可能となる。

さらに、本発明の通信システムでは、ＳＴＵＮ［Ｓｉｍｐｌｅ Ｔｒａｖｅｒｓａｌ ｏｆ ＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ） Ｔｈｒｏｕｇｈ ＮＡＴｓ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｏｒｓ）］のように外部サーバを新たに必要とすることもないため、コストを抑えることが可能となり、ユーザの手元のＰＣ上で相手の接続許可／不許可が設定可能となるため、運用手段としても簡単となる。

さらにまた、本発明の通信システムでは、今日、インタネットの標準プロトコルであるＧＥＮＡやＵＰｎＰの機能を流用するため、既存のＰＣやブロードバンドルータ、ネットワーク家電等にも受け入れやすく、また実装コストを抑えることが可能となる。

本発明は、以下に述べるような構成及び動作とすることで、既存方式のセキュリティ面やコスト面での問題を解決することができるという効果が得られる。

次に、本発明の実施例について図面を参照して説明する。図１は本発明の一実施例による通信システムの構成を示すブロック図である。図１において、本発明の一実施例による通信システムは、ＵＰｎＰ（Ｕｎｉｖｅｒｓａｌ Ｐｌｕｇ ａｎｄ Ｐｌａｙ）コントロールポイント（Ｃｏｎｔｒｏｌ Ｐｏｉｎｔ）機能を持つＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）１と、ＵＰｎＰ−ＩＧＤ（ＵＰｎＰ−Ｉｎｔｅｒｎｅｔ Ｇａｔｅｗａｙ Ｄｅｖｉｃｅ）機能を持つブロードバンドルータ２と、相手側ＰＣ３と、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）回線１００と、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）回線２００と、インタネット３００とから構成されている。

ＰＣ１はＬＡＮ回線１００を介してブロードバンドルータ２に接続され、ブロードバンドルータ２はＷＡＮ回線２００を介してインタネット３００へ接続される。相手側ＰＣ３はインタネット３００の先に接続されている。

図２は図１のＰＣ１及びブロードバンドルータ２の構成例を示すブロック図である。図２において、ＰＣ１はＵＰｎＰコントロールポイント制御部１１を備えて、ブロードバンドルータ２はＬＡＮインタフェース２１と、ＵＰｎＰ−ＩＧＤを制御するＵＰｎＰ ＩＧＤ制御部２２と、ポートマッピングテーブルを生成してメモリ部２６に記憶するポートマッピング制御部２３と、ルータ機能を実現するルータ部２４と、ＷＡＮインタフェース２５と、メモリ部２６とから構成されている。

図３は一般的なＵＰｎＰによるポートマッピングの追加方法のシーケンスを示すシーケンスチャートであり、図４はＵＰｎＰコントロールステージにおいてコントロールポイントがＩＧＤを制御する動作を表す図であり、図５はＵＰｎＰコントロールステージにて使用するプロトコルを示す図である。

図６はＧＥＮＡ（Ｇｅｎｅｒｉｃ Ｅｖｅｎｔ Ｎｏｔｉｆｉｃａｔｉｏｎ Ａｒｃｈｉｔｅｃｔｕｒｅ）の仕組みを表す図であり、図７はイベンティングに使用するプロトコルを示す図であり、図８は本発明の一実施例による通信システムの動作を示すシーケンスチャートである。これら図１〜図８を参照して本発明の一実施例による通信システムの動作について説明する。

ＰＣ１はＵＰｎＰコントロールポイント機能１１を有し、ＬＡＮ回線１００を介してブロードバンドルータ２に接続され、ブロードバンドルータ２はＷＡＮ回線２００を介してインタネット３００に接続されている。相手側ＰＣ３はインタネット３００を介してＰＣ１への接続を試みる。

図３は一般的なＵＰｎＰによるポートマッピングの追加方法のシーケンスを示しており、図４はＵＰｎＰコントロールステージにおいてＵＰｎＰコントロールポイント１２がＵＰｎＰ ＩＧＤ２７を制御する動作を表しており、図５はＵＰｎＰコントロールステージにて使用するプロトコルを示している。ここで、図５において、ＵＰｎＰコントロールステージにて使用するプロトコル（ｂ）は、ＵＰｎＰヘッダ（ｂ１）、ＵＰｎＰフォーム（ｂ２）、ＵＰｎＰデバイスアーキテクチャ（ｂ３）、ＳＯＡＰ（Ｓｉｍｐｌｅ Ｏｂｊｅｃｔ Ａｃｃｅｓｓ Ｐｒｏｔｏｃｏｌ）（ｂ４）、ＨＴＴＰ（Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）（ｂ５）、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）（ｂ６）、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）（ｂ７）からなる。

ＵＰｎＰコントロールポイント１２はＳＯＡＰ（ｂ４）を使用して作成したアクションリクエスト１０１を、ＨＴＴＰ（ｂ５）を介してＴＣＰ（ｂ６）／ＩＰ（ｂ７）によってＵＰｎＰ ＩＧＤ２７に送信する。また、ＵＰｎＰ ＩＧＤ２７はリクエストの結果をＳＯＡＰでカプセル化したレスポンス１０２を、ＨＴＴＰを介してＴＣＰ／ＩＰによってＵＰｎＰコントロールポイント１２に送信する。

ＰＣ１はＮＡＴ越えを実現するため、ブロードバンドルータ２に対してポートマッピングの追加を要求する（図３のａ１参照）。その際のメッセージはＰＣ１からのポートマッピング追加要求（Ａｄｄ Ｐｏｒｔ Ｍａｐｐｉｎｇ）であり、ＳＯＡＰでカプセル化されている。ブロードバンドルータ２はその要求を受付可能と判断すれば、ポートマッピング追加受付（Ａｄｄ Ｐｏｒｔ Ｍａｐｐｉｎｇ Ｒｅｓｐｏｎｓｅ）のメッセージをＰＣ１に返す（図３のａ２参照）。

以降、インタネット３００とＰＣ１との間でマッピングされたポート宛のパケット（図３のａ３，ａ５参照）はブロードバンドルータ２にてマッピングテーブルの情報によって転送されるので（図３のａ４，ａ６参照）、ブロードバンドルータ２におけるＮＡＴ越えが実現する。

図６はＧＥＮＡの仕組みを表しており、図７はイベンティングに使用するプロトコルを示している。ここで、図７において、イベンティングに使用するプロトコル（ｃ）は、ＵＰｎＰヘッダ（ｃ１）、ＵＰｎＰフォーム（ｃ２）、ＵＰｎＰデバイスアーキテクチャ（ｃ３）、ＳＯＡＰ（ｃ４）、ＨＴＴＰ（ｃ５）、ＨＴＴＰ（ｃ５）内のＧＥＮＡ（ｃ６）、ＴＣＰ（ｃ７）、ＩＰ（ｃ８）からなる。

ＵＰｎＰコントロールポイント（購読者）１２は予め購読したいＵＰｎＰ ＩＧＤ２７へサブスクライブメッセージ１１１を発行して購読を要求する。サブスクライブメッセージ１１１はＧＥＮＡメソッドにしたがってフォーマットされ、ＨＴＴＰを介してＴＣＰ／ＩＰによって送信される。

ＵＰｎＰ ＩＧＤ２７はイベントが発生して通知が必要になった場合、購読要求のあったＵＰｎＰコントロールポイント（購読者）１２に対してユニキャストでイベントメッセージ１１３を通知する。イベントメッセージ１１３はＧＥＮＡメソッドにしたがってフォーマットされ、ＨＴＴＰを介してＴＣＰ／ＩＰによって送信される。

上記の図３に示すポートマッピングの仕組みと図６に示すＧＥＮＡの仕組みとを利用して、図８に示す本発明の一実施例による通信システムの動作について説明する。相手側ＰＣ３はインタネット３００を介してアプリケーションの実行に必要なアドレス、ポート、プロトコル情報を付加したＰＣ１へのアクセス要求をブロードバンドルータ２へ送信する（図８のｄ０，ｄ１参照）。

ブロードバンドルータ２はそのアクセス要求を受信すると、図６に示すイベントメッセージ１１３に相当するイベントメッセージを、上記のアドレス、ポート、プロトコル情報を付加してＰＣ１へ送信する（図８のｄ２参照）。ＰＣ１は付加されてきたアドレス、ポート、プロトコル情報を基に、このイベントメッセージによる接続要求の許可／不許可を判断する（図８のｄ３参照）。

ＰＣ１は接続許可と判断した場合、上記の図６に示すイベントレスポンス１１４に相当するイベントレスポンスを、ブロードバンドルータ２へ送信するとともに（図８のｄ４参照）、図３に示すポートマッピング追加要求（図３のａ１）に相当するポートマッピング追加要求を、ブロードバンドルータ２へ送信する（図８のｄ７参照）。

ブロードバンドルータ２はイベントレスポンスを受信すると、インタネット３００を介して相手側ＰＣ３へレスポンスを送信し（図８のｄ５，ｄ６参照）、アクセス要求が許可されたことを相手側ＰＣ３に通知する。また、ブロードバンドルータ２はポートマッピング追加要求の受信によって、ポートマッピングを行い（図８のｄ８参照）、ポートマッピングテーブルを作成してポートマッピング追加受付をＰＣ１へ送信する（図８のｄ９参照）。

以降、相手側ＰＣ３からのＰＣ１へのアクセス要求はブロードバンドルータ２にてポートマッピングテーブルの参照によって自動的にＰＣ１へ接続され（図８のｄ１０〜ｄ１２参照）、ＰＣ１からの相手側ＰＣ３への要求も、上記と同様にして自動的に相手側ＰＣ３へ通信される（図８のｄ１３〜ｄ１５参照）。以上によって、本実施例では、指定ポートによるＮＡＴ越えが実現する。

ＰＣ１が接続不許可と判断した場合には、ＰＣ１からブロードバンドルータ２にエラー（Ｅｒｒｏｒ）レスポンスが返されるので、ブロードバンドルータ２がポートマッピングを行うことはない。

以上のように、アクセス要求のあったインタネットアドレス毎に、ＰＣ１側は接続許可／不許可を判断し、その判断結果を基にブロードバンドルータ２にてポートマッピングが行われ、その都度、該当アドレス、ポート、プロトコルについてＮＡＴ越えが実現される。

このように、本実施例では、ＵＰｎＰ ＩＧＤ２７でリモートホストをワイルドカードにした場合のように無条件でポートを開放しないため、セキュリティ性を向上させることができる。

また、本実施例では、アクセス要求が発生する毎に、そのアドレスに対してのポートマッピングを行うので、ＵＰｎＰ ＩＧＤ２７でリモートホストを特定アドレスにした場合に不可能であった不特定な相手からのアクセスも許容することができる。

さらに、本実施例では、ＳＴＵＮのように、外部サーバを新たに必要とすることもないため、コストを抑えることができ、ユーザの手元のＰＣ１上で相手の接続許可／不許可を設定することができるため、運用手段としても簡単となる。

さらにまた、本実施例では、今日、インタネットの標準プロトコルであるＧＥＮＡやＵＰｎＰの機能を流用するため、既存のＰＣやブロードバンドルータ、ネットワーク家電等にも受け入れやすく、また実装コストを抑えることもできる。

図９は本発明の他の実施例による通信システムの動作を示すシーケンスチャートである。本発明の他の実施例による通信システムは図１に示す本発明の一実施例による通信システムと同様の構成となっており、その構成要素であるＰＣ及びブロードバンドルータは図２に示す本発明の一実施例によるＰＣ１及びブロードバンドルータ２と同様の構成となっている。

また、本発明の他の実施例による通信システムの基本シーケンスは、図８に示す本発明の一実施例による通信システムの基本シーケンスと同様であるが、相手側ＰＣ３がアクセス要求を送信する際に、例えば認証局（図示せず）が発行する電子証明書等の署名情報を付加して送信する点（図９のｅ０〜ｅ２参照）が異なっている。

本実施例では、この署名情報を認証することで、ＰＣ１による接続許可／不許可を判断し（図９のｅ３参照）、通信相手の正当性を確認し、いわゆるなりすましやメッセージ改ざんといった不正アクセスを防止し、さらにセキュリティ性を高めることができる。

図１０は本発明の別の実施例による通信システムの動作を示すシーケンスチャートである。本発明の別の実施例による通信システムは図１に示す本発明の一実施例による通信システムと同様の構成となっており、その構成要素であるＰＣ及びブロードバンドルータは図２に示す本発明の一実施例によるＰＣ１及びブロードバンドルータ２と同様の構成となっている。

また、本発明の別の実施例による通信システムの基本シーケンスは、図９に示す本発明の他の実施例による通信システムの基本シーケンスと同様であるが、相手側ＰＣ３がアクセス要求を送信する際に、上記の署名情報とともに、有効期限情報を付加して送信する点（図１０のｆ０〜ｆ２参照）が異なっている。

ＰＣ１はその有効期限情報をポートマッピング追加要求に付加してブロードバンドルータ２に送信することで（図１０のｆ７参照）、ポートマッピングの有効期限を設定することができる。ブロードバンドルータ２は有効期限が経過すると（図１０のｆ１６参照）、ポートマッピングテーブルから該当するマッピング情報を削除し（図１０のｆ１７参照）、以降、該当ＰＣ間のＮＡＴ越えを行わない。以上によって、本実施例では、ＮＡＴ越えの有効期限を設定することができ、さらにセキュリティ性を高めることができる。

本発明は、上記の実施例で述べたように、ＵＰｎＰ対応アプリケーション、ブロードバンドルータといった用途に適用することができる。

本発明の一実施例による通信システムの構成を示すブロック図である。 図１のＰＣ及びブロードバンドルータの構成例を示すブロック図である。 一般的なＵＰｎＰによるポートマッピングの追加方法のシーケンスを示すシーケンスチャートである。 ＵＰｎＰコントロールステージにおいてコントロールポイントがＩＧＤを制御する動作を表す図である。 ＵＰｎＰコントロールステージにて使用するプロトコルを示す図である。 ＧＥＮＡの仕組みを表す図である。 イベンティングに使用するプロトコルを示す図である。 本発明の一実施例による通信システムの動作を示すシーケンスチャートである。 本発明の他の実施例による通信システムの動作を示すシーケンスチャートである。 本発明の別の実施例による通信システムの動作を示すシーケンスチャートである。

符号の説明

１ ＰＣ
２ ブロードバンドルータ
３ 相手側ＰＣ
１１ ＵＰｎＰコントロールポイント制御部
１２ ＵＰｎＰコントロールポイント
２１ ＬＡＮインタフェース
２２ ＵＰｎＰ ＩＧＤ制御部
２３ ポートマッピング制御部
２４ ルータ部
２５ ＷＡＮインタフェース
２６ メモリ部
２７ ＵＰｎＰ ＩＧＤ
１００ ＬＡＮ回線
２００ ＷＡＮ回線
３００ インタネット
ｂ ＵＰｎＰコントロールステージにて使用するプロトコル
ｂ１，ｃ１ ＵＰｎＰヘッダ
ｂ２，ｃ２ ＵＰｎＰフォーム
ｂ３，ｃ３ ＵＰｎＰデバイスアーキテクチャ
ｂ４，ｃ４ ＳＯＡＰ
ｂ５，ｃ５ ＨＴＴＰ
ｂ６，ｃ７ ＴＣＰ
ｂ７，ｃ８ ＩＰ
ｃ イベンティングに使用するプロトコル
ｃ６ ＧＥＮＡ

Claims (18)

1. 相手側の情報処理装置からのアクセス要求をブロードバンドルータにて中継して要求先の情報処理装置に通知する通信システムであって、
   前記相手側の情報処理装置は、アプリケーションの実行に必要なアドレスとポートとプロトコルとを少なくとも示す情報を付加したアクセス要求を作成して前記ブロードバンドルータに転送し、
   前記ブロードバンドルータは、前記アクセス要求を受信した時にそのアクセス要求をイベンティングメッセージとして前記要求先の情報処理装置に通知し、
   前記要求先の情報処理装置は、前記イベンティングメッセージを受信した時にそのイベンティングメッセージに付加された前記情報に基づいて前記相手側の情報処理装置との接続の許可／不許可を判断することを特徴とする通信システム。
2. 前記要求先の情報処理装置は、前記相手側の情報処理装置との接続を許可する場合に接続可を前記ブロードバンドルータに返信するとともに、前記ブロードバンドルータにポートマッピングを要求し、
   前記ブロードバンドルータは、前記接続可を受信した時に前記接続を許可する旨を前記相手側の情報処理装置に通知するとともに、前記要求先の情報処理装置からの要求に応答して前記ポートマッピングを実行してＮＡＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｏｒ Ｔｒａｖｅｒｓａｌ）越えを行うことを特徴とする請求項１記載の通信システム。
3. 前記要求先の情報処理装置は、前記相手側の情報処理装置との接続を不許可とする場合にエラーを前記ブロードバンドルータに返信し、前記ブロードバンドルータに前記ポートマッピングを要求しないことを特徴とする請求項２記載の通信システム。
4. 前記相手側の情報処理装置は、前記アクセス要求に署名情報を添付し、
   前記要求先の情報処理装置は、前記署名情報を認証して正当と判断しかつ前記接続を許可する時に前記接続可を前記ブロードバンドルータに返信し、前記署名情報を認証して不当と判断した時に前記接続を拒否することを特徴とする請求項１から請求項３のいずれか記載の通信システム。
5. 前記相手側の情報処理装置は、前記アクセス要求に有効期限情報を添付し、
   前記要求先の情報処理装置は、前記イベンティングメッセージに付加された有効期限情報を前記ブロードバンドルータへの前記ポートマッピングの要求に付加し、
   前記ブロードバンドルータは、前記要求に付加された有効期限情報に基づいて前記ポートマッピングを削除することを特徴とする請求項１から請求項４のいずれか記載の通信システム。
6. 相手側の情報処理装置からのアクセス要求を中継し、そのアクセス要求を要求先の情報処理装置に通知するブロードバンドルータであって、
   前記相手側の情報処理装置からのアプリケーションの実行に必要なアドレスとポートとプロトコルとを少なくとも示す情報が付加されたアクセス要求を受信した時にそのアクセス要求をイベンティングメッセージとして前記要求先の情報処理装置に通知する手段と、
   前記要求先の情報処理装置において前記イベンティングメッセージに付加した前記情報に基づいて前記相手側の情報処理装置との接続の許可／不許可の判断結果が通知された時にその判断結果を前記相手側の情報処理装置に通知する手段とを有することを特徴とするブロードバンドルータ。
7. 前記要求先の情報処理装置が前記相手側の情報処理装置との接続を許可する場合に要求するポートマッピングを実行してＮＡＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｏｒ Ｔｒａｖｅｒｓａｌ）越えを行う手段を含むことを特徴とする請求項６記載のブロードバンドルータ。
8. 前記相手側の情報処理装置からの前記アクセス要求に添付された有効期限情報を前記イベンティングメッセージに付加して前記要求先の情報処理装置に通知する手段と、前記要求先の情報処理装置からの前記ポートマッピングの要求に付加された有効期限情報に基づいて前記ポートマッピングを削除する手段とを含むことを特徴とする請求項６または請求項７記載のブロードバンドルータ。
9. ブロードバンドルータにて中継された相手側の装置からのアクセス要求を受信して処理する情報処理装置であって、
   前記相手側の情報処理装置からのアプリケーションの実行に必要なアドレスとポートとプロトコルとを少なくとも示す情報が付加されたアクセス要求が前記ブロードバンドルータからイベンティングメッセージとして通知された時にそのイベンティングメッセージに付加された前記情報に基づいて前記相手側の装置との接続の許可／不許可を判断する手段とを有することを特徴とする情報処理装置。
10. 前記相手側の装置との接続を許可する場合に接続可を前記ブロードバンドルータに返信するとともに、前記ブロードバンドルータにポートマッピングを要求して前記ブロードバンドルータにおける前記ポートマッピングの実行によるＮＡＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｏｒ Ｔｒａｖｅｒｓａｌ）越えを行うことを特徴とする請求項９記載の情報処理装置。
11. 前記相手側の装置との接続を不許可とする場合にエラーを前記ブロードバンドルータに返信し、前記ブロードバンドルータに前記ポートマッピングを要求しないことを特徴とする請求項１０記載の情報処理装置。
12. 前記ブロードバンドルータからの前記イベンティングメッセージに付加された前記相手側の装置の署名情報を認証して正当と判断しかつ前記接続を許可する時に前記接続可を前記ブロードバンドルータに返信する手段と、前記署名情報を認証して不当と判断した時に前記接続を拒否する手段とを含むことを特徴とする請求項９から請求項１１のいずれか記載の情報処理装置。
13. 前記ブロードバンドルータからの前記イベンティングメッセージに付加された有効期限情報を前記ブロードバンドルータへの前記ポートマッピングの要求に付加して送信する手段を含み、
    前記ブロードバンドルータが、前記要求に付加された有効期限情報に基づいて前記ポートマッピングを削除することを特徴とする請求項９から請求項１２のいずれか記載の情報処理装置。
14. 相手側の情報処理装置からのアクセス要求をブロードバンドルータにて中継して要求先の情報処理装置に通知する通信システムに用いるＮＡＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｏｒ Ｔｒａｖｅｒｓａｌ）越え機能実現方法であって、
    前記相手側の情報処理装置が、アプリケーションの実行に必要なアドレスとポートとプロトコルとを少なくとも示す情報を付加したアクセス要求を作成して前記ブロードバンドルータに転送し、
    前記ブロードバンドルータが、前記アクセス要求を受信した時にそのアクセス要求をイベンティングメッセージとして前記要求先の情報処理装置に通知し、
    前記要求先の情報処理装置が、前記イベンティングメッセージを受信した時にそのイベンティングメッセージに付加された前記情報に基づいて前記相手側の情報処理装置との接続の許可／不許可を判断することを特徴とするＮＡＴ越え機能実現方法。
15. 前記要求先の情報処理装置が、前記相手側の情報処理装置との接続を許可する場合に接続可を前記ブロードバンドルータに返信するとともに、前記ブロードバンドルータにポートマッピングを要求し、
    前記ブロードバンドルータが、前記接続可を受信した時に前記接続を許可する旨を前記相手側の情報処理装置に通知するとともに、前記要求先の情報処理装置からの要求に応答して前記ポートマッピングを実行してＮＡＴ越えを行うことを特徴とする請求項１４記載のＮＡＴ越え機能実現方法。
16. 前記要求先の情報処理装置が、前記相手側の情報処理装置との接続を不許可とする場合にエラーを前記ブロードバンドルータに返信し、前記ブロードバンドルータに前記ポートマッピングを要求しないことを特徴とする請求項１５記載のＮＡＴ越え機能実現方法。
17. 前記相手側の情報処理装置が、前記アクセス要求に署名情報を添付し、
    前記要求先の情報処理装置が、前記署名情報を認証して正当と判断しかつ前記接続を許可する時に前記接続可を前記ブロードバンドルータに返信し、前記署名情報を認証して不当と判断した時に前記接続を拒否することを特徴とする請求項１４から請求項１６のいずれか記載のＮＡＴ越え機能実現方法。
18. 前記相手側の情報処理装置が、前記アクセス要求に有効期限情報を添付し、
    前記要求先の情報処理装置が、前記イベンティングメッセージに付加された有効期限情報を前記ブロードバンドルータへの前記ポートマッピングの要求に付加し、
    前記ブロードバンドルータが、前記要求に付加された有効期限情報に基づいて前記ポートマッピングを削除することを特徴とする請求項１４から請求項１７のいずれか記載のＮＡＴ越え機能実現方法。

Images