JP2007097010A - 接続支援装置およびゲートウェイ装置 - Google Patents

Abstract

【課題】不正侵入やＤｏＳ攻撃を回避して性能低下を防止し、端末のゲートウェイ装置への接続の違いの認識を不要とする。
【解決手段】認証手段１ａは、端末２を所持するユーザからの要求に応じて、端末２がゲートウェイ装置３にＩＰＳｅｃによる通信を行うことができる正当な端末であるかの認証を行う。事前共有鍵生成手段１ｂは、端末２が適正な端末であると認証された場合、端末２とゲートウェイ装置３との事前共有鍵を生成する。ファイアウォール開放指示情報生成手段１ｃは、端末２が適正な端末であると認証された場合、ゲートウェイ装置３のファイアウォールを開放するためのファイアウォール開放指示情報を生成する。送信手段１ｄは、端末２とゲートウェイ装置３とに事前共有鍵を送信し、ゲートウェイ装置３にファイアウォール開放指示情報を送信する。
【選択図】図１

Description

本発明は接続支援装置およびゲートウェイ装置に関し、特に端末とゲートウェイ装置とのＩＰＳｅｃ通信の接続支援を行う接続支援装置および端末とＩＰＳｅｃ通信を行うゲートウェイ装置に関する。

近年、ユーザがインターネット等のネットワークを経由してＬＡＮ（Local Area Network）等の家庭内ネットワークや企業内ネットワークのゲートウェイ装置に接続し、デジタル家電機器等の機器を制御するリモートアクセスシステムが行われている。

例えば、インターネット上のセキュアなリモートアクセスシステムの一例として、ＶＰＮ（Virtual Private Network）がある。ＶＰＮとは、リモートアクセスを行うユーザ端末（クライアント）と、そのユーザ端末からの接続を受けるゲートウェイ装置（サーバ）との間を流れるデータを暗号化することによって、ユーザ端末とゲートウェイ装置との間で送受信されるデータを第三者に盗聴されないようにする技術である。

リモートアクセスを行う方法として、ユーザが、遠隔のゲートウェイ装置にＨＴＴＰＳ（Secure HTTP）にて接続を行うＳＳＬ（Secure Sockets Layer）−ＶＰＮと、ＩＰＳｅｃ（Security Architecture for the Internet Protocol）にて接続を行うＩＰＳｅｃ−ＶＰＮが挙げられる。以下では、ＩＰＳｅｃ−ＶＰＮについて説明する。

図２４は、ＩＰＳｅｃ−ＶＰＮのリモートアクセスを説明する図である。図に示すように、ユーザ端末１５１とゲートウェイ装置１５２は、例えば、インターネット等のネットワークを介して接続されている。ゲートウェイ装置１５２には、機器１５３〜１５５が接続されている。ＩＰＳｅｃ−ＶＰＮでは、ユーザ端末１５１とゲートウェイ装置１５２がそれぞれ事前共有鍵を持ち、互いの事前共有鍵が一致すれば、鍵交換等の処理を経て、ＩＰＳｅｃによるリモートアクセスを可能にする。このように、ＩＰＳｅｃによってユーザ端末１５１とゲートウェイ装置１５２との間で送受信するユーザＩＤやパスワード、データを暗号化し、第三者からの盗聴等を防止する。

なお、従来、ユーザの複数プロバイダ通信網への接続を許容して接続性の向上と通信経路の短縮化、通信品質劣化の回避およびコストの低減を図るデータ通信網システムが提案されている（例えば、特許文献１参照）。
特開２００４−２４２１６１号公報

しかし、ゲートウェイ装置は、ポートを常時開放しているため、ＤｏＳ（Denial of Services）攻撃や辞書攻撃にさらされ、不正侵入やＤｏＳ攻撃による著しい性能低下を招く可能性があるという問題点があった。

また、異なるドメインエリアへのリモートアクセスにおいては、ユーザは、ＩＰＳｅｃの接続先の違いを意識する必要があり、例えば、接続先のゲートウェイ装置ごとに事前共有鍵を記憶しておく必要があるという問題点があった。

本発明はこのような点に鑑みてなされたものであり、不正侵入やＤｏＳ攻撃を回避して、性能低下を防止し、ゲートウェイ装置への接続の違いを認識する必要のない接続支援装置および不正侵入やＤｏＳ攻撃を回避して、性能低下を防止するゲートウェイ装置を提供することを目的とする。

本発明では上記問題を解決するために、図１に示すようなユーザの所持する端末２とゲートウェイ装置３とのＩＰＳｅｃ通信の接続支援を行う接続支援装置１において、端末２を所持するユーザの認証を行う認証手段１ａと、認証の結果に応じて、端末２とゲートウェイ装置３との事前共有鍵を生成する事前共有鍵生成手段１ｂと、認証の結果に応じて、ゲートウェイ装置３のファイアウォールを開放するためのファイアウォール開放指示情報を生成するファイアウォール開放指示情報生成手段１ｃと、端末２とゲートウェイ装置３とに事前共有鍵を送信し、ゲートウェイ装置３にファイアウォール開放指示情報を送信する送信手段１ｄと、を有することを特徴とする接続支援装置１が提供される。

このような接続支援装置１によれば、ユーザの認証を行い、ユーザが適正であれば、ＩＰＳｅｃ通信が可能となるための事前共有鍵とファイアウォール開放指示情報を生成する。そして、端末２に事前共有鍵を送信し、ゲートウェイ装置３に事前共有鍵とファイアウォール開放指示情報とを送信する。これにより、ゲートウェイ装置３は、ファイアウォール開放指示情報を受信して、端末２に対するポートを開放すればよく、常時ポートを開放しておく必要がない。また、接続支援装置１が事前共有鍵を生成するので、端末２はゲートウェイ装置ごとの事前共有鍵を記憶する必要がない。

本発明の接続支援装置では、ユーザの認証を行い、ユーザが適正であれば、ＩＰＳｅｃ通信が可能となるための事前共有鍵とファイアウォール開放指示情報を生成する。そして、端末に事前共有鍵を送信し、ゲートウェイ装置に事前共有鍵とファイアウォール開放指示情報とを送信する。これにより、ゲートウェイ装置は、ファイアウォール開放指示情報を受信して、端末に対するポートを開放すればよく、常時ポートを開放しておく必要がないため、不正侵入やＤｏＳ攻撃を回避でき、性能低下を防止することができる。また、接続支援装置が事前共有鍵を生成するので、端末はゲートウェイ装置ごとの事前共有鍵を記憶する必要がなく、ゲートウェイ装置への接続の違いを認識する必要がなくなる。

以下、本発明の原理を図面を参照して詳細に説明する。
図１は、接続支援装置の概要を示した図である。図に示すように接続支援装置１は、端末２とゲートウェイ装置３とネットワークを介して接続されており、端末２とゲートウェイ装置３とのＩＰＳｅｃ通信の接続支援を行う。接続支援装置１は、認証手段１ａ、事前共有鍵生成手段１ｂ、ファイアウォール開放指示情報生成手段１ｃ、および送信手段１ｄを有している。

認証手段１ａは、端末２がゲートウェイ装置３にＩＰＳｅｃによる通信を行うことができる正当な端末であるかの認証を行う。
事前共有鍵生成手段１ｂは、認証手段１ａによって端末２が適正な端末であると認証された場合、端末２とゲートウェイ装置３との事前共有鍵を動的に生成する。

ファイアウォール開放指示情報生成手段１ｃは、認証手段１ａによって端末２が適正な端末であると認証された場合、ゲートウェイ装置３のファイアウォールを開放するためのファイアウォール開放指示情報を生成する。

送信手段１ｄは、端末２とゲートウェイ装置３とに事前共有鍵を送信し、ゲートウェイ装置３にファイアウォール開放指示情報を送信する。
端末２とゲートウェイ装置３は、事前共有鍵に基づいて、共有秘密鍵を生成し、ＩＰＳｅｃ通信を行う。端末２は、図示してないがゲートウェイ装置３の配下の電子機器とＩＰＳｅｃによる直接通信が可能となる。ゲートウェイ装置３は、ファイアウォール開放指示情報に基づいて、端末２に対するポートを開放する。

このように、接続支援装置１は端末２の認証を行い、端末２が適正な端末であれば、ＩＰＳｅｃ通信が可能となるための事前共有鍵とファイアウォール開放指示情報を生成する。そして、端末２に事前共有鍵を送信し、ゲートウェイ装置３に事前共有鍵とファイアウォール開放指示情報とを送信する。これにより、ゲートウェイ装置３は、ファイアウォール開放指示情報を受信して、端末に対するポートを開放すればよく、常時ポートを開放しておく必要がないため、不正侵入やＤｏＳ攻撃を回避でき、性能低下を防止することができる。また、接続支援装置１が事前共有鍵を生成するので、端末２はゲートウェイ装置３ごとの事前共有鍵を記憶する必要がなく、ゲートウェイ装置３への接続の違いを認識する必要がなくなる。

次に、本発明の第１の実施の形態を、図面を参照して詳細に説明する。
図２は、第１の実施の形態に係る接続支援装置を適用したＩＰＳｅｃリモートアクセスのシステム構成例を示した図である。図に示すようにユーザ端末２０とゲートウェイ装置３０は、例えば、インターネット等のネットワークを介して、接続支援装置１０に接続されている。ユーザ端末２０は、例えば、携帯電話やＰＣ（Personal Computer）である。ゲートウェイ装置３０の配下には、デジタル家電４１やＰＣ４２が、例えば、ＬＡＮ等の家庭内ネットワークによって接続されている。ユーザ端末２０には、ＩＰＳｅｃ接続をするためのソフトウェアが格納されており、ユーザ端末２０は、このソフトウェアによって、ゲートウェイ装置３０とデータのやり取りを行い、また、デジタル家電４１，ＰＣ４２とデータのやり取りを行う。なお、図では、ユーザ端末２０およびゲートウェイ装置３０は、１つしか示してないが、複数存在していてもよい。ユーザ端末２０は、複数のゲートウェイ装置にアクセスすることも可能であり、ゲートウェイ装置３０は、複数のユーザ端末からのアクセスを受けることが可能である。

以下、図２の動作の概略を説明する。ユーザがユーザ端末２０を用いて、家庭内ネットワークのデジタル家電４１やＰＣ４２にアクセスするには、まず、接続支援装置１０にログインする。このとき、ユーザ端末２０から、接続支援装置１０にログインするためのユーザＩＤやパスワードを含む認証情報を接続支援装置１０に送信する。接続支援装置１０は、認証情報に含まれるユーザＩＤとパスワードによって、ログインしてきたユーザ端末２０が正当なユーザであるか判断する。

接続支援装置１０は、ユーザ端末２０のログインが正当なものであると判断すると、ユーザ端末２０が接続することができるゲートウェイ装置の一覧情報をユーザ端末２０に送信する。ユーザ端末２０は、接続支援装置１０からのゲートウェイ装置の一覧を、例えば、自己が有する表示装置に表示し、ユーザからどのゲートウェイ装置に接続するかの選択を受付ける。ユーザ端末２０は、ユーザが選択したゲートウェイ装置の情報を接続支援装置１０に送信する。なお、ユーザは、ゲートウェイ装置３０を選択したとする。

接続支援装置１０は、ユーザ端末２０がゲートウェイ装置３０に対しアクセスできるよう、ファイアウォール制御メッセージをゲートウェイ装置３０に送信する。ファイアウォール制御メッセージには、例えば、ユーザ端末２０の識別子、グローバルＩＰアドレス、ＩＰＳｅｃ通信を行うための事前共有鍵、ＥＳＰ（Encapsulating Security Payload）ヘッダ番号、ＩＫＥ（Internet Key Exchange）ポート番号の情報が含まれる。なお、接続支援装置１０は、ユーザ端末からのゲートウェイ装置へのアクセス要求ごとに、動的に事前共有鍵を生成する。

ゲートウェイ装置３０は、ファイアウォール制御メッセージを受信すると、ファイアウォール制御メッセージに含まれている各種情報を管理し、送信元ＩＰアドレス（ユーザ端末２０のグローバルＩＰアドレス）、ＩＫＥポート番号（ＵＤＰの５００番）、ＥＳＰヘッダ番号（５０番）を含むデータに対して、通信許可設定を行う。つまり、ゲートウェイ装置３０は、図２に示すように、ＵＤＰの５００番に対する鍵交換用のポート３０ａと、ＥＳＰヘッダの５０番に対するデータ通信用のポート３０ｂとを開き、ユーザ端末２０との鍵交換の処理およびＩＰＳｅｃによるデータのやり取りを可能にする。なお、ゲートウェイ装置３０は、後述するモードコンフィグによって生成するＩＰアドレスを含むデータに対して、通信許可設定を行うようにしてもよい。

接続支援装置１０は、ゲートウェイ装置３０にファイアウォール制御メッセージを送信した後、ゲートウェイ装置３０に送信したのと同じ事前共有鍵とゲートウェイ装置３０のＩＰアドレスとＵＲＬとを含む情報をユーザ端末２０に送信する。

ユーザ端末２０は、接続支援装置１０から事前共有鍵を受信すると、ポート３０ａに接続し、ゲートウェイ装置３０との鍵交換（ＩＫＥ）における通信を確立する。ユーザ端末２０とゲートウェイ装置３０は、互いの事前共有鍵が一致するか確認し、一致すれば、ゲートウェイ装置３０は、ＩＰＳｅｃによる通信を可能にするためのＩＰアドレスおよび共有秘密鍵を生成する。ユーザ端末２０は、ゲートウェイ装置３０のポート３０ｂ宛にデータを送信することによって、ゲートウェイ装置３０またはゲートウェイ装置３０配下のデジタル家電４１，ＰＣ４２とＩＰＳｅｃによるデータのやり取りを行う。そして、ゲートウェイ装置３０は、ユーザ端末２０からログアウトの要求があると、ユーザ端末２０と通信を行っていたポート３０ａ，３０ｂを閉じる。

このように、接続支援装置１０は、ユーザ端末２０からのリモートアクセス要求に応じて、ＩＰＳｅｃ通信を可能にする事前共有鍵を動的にゲートウェイ装置３０とユーザ端末２０に配布する。ユーザ端末２０は、配布された事前共有鍵で、ゲートウェイ装置３０およびゲートウェイ装置３０の配下のデジタル家電４１，ＰＣ４２にアクセスすることができる。よって、ユーザ端末２０は、アクセスすることができるゲートウェイ装置が複数存在しても、個々のゲートウェイ装置の事前共有鍵を管理する必要がなくなる。また、ゲートウェイ装置３０は、事前共有鍵とファイアウォール制御メッセージを接続支援装置１０から受け取るまで、ポート常時開放する必要がなく、盗聴やＤｏＳ攻撃を防止することができる。

次に、図２のシステム構成例の各装置を、機能ブロック図を用いて説明する。
図３は、図２のシステムの機能ブロック図である。図に示すように接続支援装置１０は、ユーザ認証・要求受付け部１１、ゲートウェイ装置管理部１２、およびファイアウォール制御部１３を有している。ユーザ端末２０は、ＩＰＳｅｃ接続部２１を有している。ゲートウェイ装置３０は、ファイアウォール設定部３１、ＩＰＳｅｃ制御部３２、ユーザ利用機器管理部３３、Ｗｅｂサーバ部３４、および機器フィルタ部３５を有している。

接続支援装置１０のユーザ認証・要求受付け部１１は、ユーザ端末２０と通信を行う。また、ユーザ認証・要求受付け部１１は、接続支援装置１０にアクセスしてきたユーザ端末２０の認証を行う。

ゲートウェイ装置管理部１２は、ユーザ端末２０が接続可能なゲートウェイ装置３０の情報を管理している。ゲートウェイ装置管理部１２は、ユーザ認証・要求受付け部１１によってユーザ認証が行われると、ユーザ端末２０が接続可能なゲートウェイ装置３０の情報を取得する。ゲートウェイ装置管理部１２によって管理されているゲートウェイ装置３０の情報は、ユーザ認証・要求受付け部１１を介してユーザ端末２０に送信され、一覧表示される。

ファイアウォール制御部１３は、ユーザ認証を行ったユーザ端末２０が、ゲートウェイ装置３０にアクセスできるよう、ファイアウォール制御メッセージを生成する。ファイアウォール制御部１３は、生成したファイアウォール制御メッセージをゲートウェイ装置３０に送信する。また、ファイアウォール制御部１３は、ゲートウェイ装置３０から後述するファイアウォール応答メッセージを受信すると、事前共有鍵とユーザが接続要求したゲートウェイ装置３０のＩＰアドレスとＵＲＬとを含む情報をユーザ端末２０に送信する。

ゲートウェイ装置３０のファイアウォール設定部３１は、接続支援装置１０からファイアウォール制御メッセージを受信し、受信したファイアウォール制御メッセージに従って、ＩＰＳｅｃ制御部３２の鍵交換用のポート３０ａとデータ通信用のポート３０ｂとを開くようにする。また、ファイアウォール設定部３１は、ファイアウォール制御メッセージを受信すると、ファイアウォール応答メッセージを接続支援装置１０に送信する。

ＩＰＳｅｃ制御部３２は、ファイアウォール設定部３１の制御によって鍵交換用のポート３０ａとデータ通信用のポート３０ｂを開く。これにより、ユーザ端末２０は、ゲートウェイ装置３０のポート３０ａに鍵交換のためのデータを送信することができる。また、ポート３０ｂにデータを送信することにより、ゲートウェイ装置３０およびデジタル家電４１，ＰＣ４２と通信することができる。

ユーザ利用機器管理部３３は、ユーザ端末２０がアクセスすることができる機器の情報（デジタル家電４１，ＰＣ４２等）を管理している。ユーザ利用機器管理部３３は、ユーザ端末２０がアクセス可能な機器を検索し、検索結果をＷｅｂサーバ部３４および機器フィルタ部３５に送信する。

Ｗｅｂサーバ部３４は、ユーザ端末２０からのＵＲＬによるアクセスを受付け、ユーザ利用機器管理部３３によって検索された機器のリンク情報をユーザ端末２０へ送信する。
機器フィルタ部３５は、ユーザ端末２０のデジタル家電４１，ＰＣ４２へのアクセスのフィルタリングを行っている。機器フィルタ部３５は、ユーザ利用機器管理部３３から受信した機器情報に基づいて、ユーザ端末２０の機器への適正なアクセス許可設定を行う。

次に、ユーザ端末２０とゲートウェイ装置３０との間で通信を行う際に使用されるデータパケットのフォーマットについて説明する。
図４は、ユーザ端末とゲートウェイ装置との間でやり取りされるデータパケットのフォーマットを示した図である。図の（Ａ）は、ＩＰｖ４のデータパケットのフォーマットを示し、図の（Ｂ）は、ＩＰｖ６のデータパケットのフォーマットを示す。

図の（Ａ）に示すようにＩＰｖ４では、データパケットは、ＩＰｖ４ヘッダとＥＳＰヘッダとＥＳＰデータとに別れる。ＩＰｖ４ヘッダには、ＩＰｖ４ヘッダに続くデータがＥＳＰデータであることを示すプロトコル番号５０が格納される。図２，３で示したゲートウェイ装置３０は、ＩＰｖ４ヘッダのプロトコル番号が５０のデータパケットおよび各種制御情報を含むデータパケットに対し、データ通信用のポート３０ｂを開放する。

図の（Ｂ）に示すようにＩＰｖ６では、データパケットは、ＩＰｖ６ヘッダとルーティングヘッダとＥＳＰヘッダとＥＳＰデータとに別れる。ＩＰｖ６ヘッダには、ＩＰｖ６ヘッダに続くヘッダタイプを示す番号４３が格納される。ルーティングヘッダには、ルーティングヘッダに続くデータがＥＳＰのデータであることを示すプロトコル番号５０が格納される。図２，３で示したゲートウェイ装置３０は、ルーティングヘッダのプロトコル番号が５０番のデータパケットおよび各種制御情報を含むデータパケットに対し、データ通信用のポート３０ｂを開放する。このようにＩＰｖ４、ＩＰｖ６のいずれにおいても、同様の仕組みを容易に実現できる。

ここで、ＩＰＳｅｃ通信について説明する。
図５は、ＩＰＳｅｃ通信を説明する図である。図にはゲートウェイ装置５０ａ、ユーザ端末５０ｂ、デジタル家電５０ｃ、およびＰＣ５０ｄが示してある。ゲートウェイ装置５０ａのグローバルＩＰアドレスをＩＰ＿Ａ、ユーザ端末５０ｂのグローバルＩＰアドレスをＩＰ＿Ｂとする。デジタル家電５０ｃのローカルＩＰアドレスをＩＰ＿ａ、ＰＣ５０ｄのローカルＩＰアドレスをＩＰ＿ｂとする。

ユーザ端末５０ｂは、ゲートウェイ装置５０ａによって、ローカルＩＰアドレスＩＰ＿ｃが付与されたとする。ユーザ端末５０ｂは、デジタル家電５０ｃ宛にデータを送る場合、図のパケット５０ｅに示すように、データ領域５０ｅａにデジタル家電５０ｃ宛のデータを格納する。また、内側ＩＰヘッダ５０ｅｂに、デジタル家電５０ｃ宛のローカルＩＰアドレスＩＰ＿ａと、送信元のユーザ端末５０ｂのローカルＩＰアドレスＩＰ＿ｃを格納する。また、外側ＩＰヘッダ５０ｅｃに、ゲートウェイ装置５０ａ宛のグローバルＩＰアドレスＩＰ＿Ａと、送信元のユーザ端末５０ｂのグローバルＩＰアドレスＩＰ＿Ｂを格納する。これにより、パケット５０ｅは、ゲートウェイ装置５０ａに送信される。

ゲートウェイ装置５０ａは、パケット５０ｅを受信すると、パケット５０ｅのカプセル（外側ＩＰヘッダ５０ｅｃ）をパケット５０ｆに示すように解く。これによって、パケット５０ｆは、内側ＩＰヘッダ５０ｆａに従って、デジタル家電５０ｃに転送される。このようにして、ＩＰＳｅｃ通信が行われる。

次に、接続支援装置１０で管理されるデータについて説明する。
図６は、接続支援装置で管理されるユーザ認証管理データベースのデータ構成例を示した図である。接続支援装置１０は、図に示すようなユーザ認証管理データベース５１を有している。ユーザ認証管理データベース５１は、ユーザＩＤの欄およびＰＷＤ（パスワード）の欄を有している。

ユーザＩＤの欄には、ゲートウェイ装置にアクセスすることができるユーザ端末のユーザＩＤが格納される。ＰＷＤの欄には、ユーザに配布したパスワードが格納される。図３で説明したユーザ認証・要求受付け部１１は、ユーザ認証管理データベース５１を参照して、ログインしてきたユーザ端末の認証を行う。なお、ユーザ認証管理データベース５１は、例えば、ユーザが接続支援装置１０によるＩＰＳｅｃのリモートアクセスのサービスを受ける契約をしたときに作成される。

図７は、接続支援装置で管理されるポート管理データベースのデータ構成例を示した図である。接続支援装置１０は、図に示すようなポート管理データベース５２を有している。ポート管理データベース５２は、ユーザＩＤの欄、プロトコルの欄、およびポートの欄を有している。

ユーザＩＤの欄には、ゲートウェイ装置にアクセスすることができるユーザ端末のユーザＩＤが格納される。プロトコルの欄には、ゲートウェイ装置とユーザ端末がデータのやり取りをするプロトコル情報が格納される。ポートの欄には、ゲートウェイ装置３０が、ユーザ端末と通信するために開放するポートの種別情報が格納される。ポート管理データベース５２は、静的なものであり、例えば、ユーザが接続支援装置１０によるＩＰＳｅｃのリモートアクセスのサービスを受ける契約をしたときに作成される。

図８は、接続支援装置で管理されるゲートウェイ装置管理データベースのデータ構成例を示した図である。接続支援装置１０は、図に示すようなゲートウェイ装置管理データベース５３を有している。ゲートウェイ装置管理データベース５３は、ゲートウェイＩＤ（ＧＷ＿ＩＤ）の欄およびゲートウェイＩＰ（ＧＷ＿ＩＰ）の欄を有している。

ゲートウェイＩＤの欄には、ゲートウェイ装置に付与された識別子が格納される。ゲートウェイＩＰの欄には、ゲートウェイ装置のＩＰアドレスが格納される。ゲートウェイ装置管理データベース５３は、図３で説明したゲートウェイ装置管理部１２によって管理され、ユーザ認証・要求受付け部１１を介してユーザ端末２０に送信され、一覧表示される。なお、ゲートウェイ装置管理データベース５３は、例えば、ゲートウェイ装置が接続支援装置１０によるＩＰＳｅｃのリモートアクセスのサービスを受ける契約をしたときに作成される。

図９は、接続支援装置で管理されるユーザセッション管理データベースのデータ構成例を示した図である。接続支援装置１０は、図に示すようなユーザセッション管理データベース５４を有している。ユーザセッション管理データベース５４は、ユーザＩＤの欄およびセッションＩＤの欄を有している。

ユーザＩＤの欄には、ゲートウェイ装置にアクセスしているユーザ端末のユーザＩＤが格納される。セッションＩＤの欄には、ユーザ端末とゲートウェイ装置とのセッション状況が格納される。ユーザセッション管理データベース５４は、動的なものであり、ユーザ端末とゲートウェイ装置とのセッション状況に応じて、セッションＩＤの内容が変わる。

次に、ゲートウェイ装置３０で管理されるデータについて説明する。
図１０は、ゲートウェイ装置で管理されるファイアウォール情報管理データベースのデータ構成例を示した図である。ゲートウェイ装置３０は、図に示すようなファイアウォール情報管理データベース６１を有している。ファイアウォール情報管理データベース６１は、ユーザＩＤの欄、事前共有鍵の欄、端末グローバルＩＰの欄、ＵＤＰの欄、およびＥＳＰの欄を有している。

ユーザＩＤの欄には、ゲートウェイ装置３０にアクセスすることができるユーザ端末のユーザＩＤが格納される。事前共有鍵の欄には、接続支援装置１０によって生成された事前共有鍵が格納される。端末グローバルＩＰの欄には、ユーザ端末のグローバルＩＰアドレスが格納される。ＵＤＰの欄には、ＵＤＰのポート番号（５００番）が格納される。ＥＳＰの欄には、ＥＳＰヘッダ番号（５０）とＩＰプロトコルのバージョン情報が格納される。

ファイアウォール情報管理データベース６１は、接続支援装置１０から送信されるファイアウォール制御メッセージに基づいて作成される。また、ユーザ端末がログアウトしたとき、そのユーザ端末に関するファイアウォール情報が、ファイアウォール情報管理データベース６１から削除される。

図１１は、ゲートウェイ装置で管理される通信中ユーザ管理データベースのデータ構成例を示した図である。ゲートウェイ装置３０は、図に示すような通信中ユーザ管理データベース６２を有している。通信中ユーザ管理データベース６２は、ユーザＩＤの欄および端末使用中ＩＰの欄を有している。

ユーザＩＤの欄には、ゲートウェイ装置３０にアクセスすることができるユーザ端末のユーザＩＤが格納される。端末使用中ＩＰの欄には、ゲートウェイ装置３０がリモートアクセスしてくるユーザ端末に対し配布するＩＰアドレスが格納される。このＩＰアドレスは、ゲートウェイ装置３０とユーザ端末２０との事前共有鍵が一致したとき、ゲートウェイ装置３０が生成する。

図１２は、ゲートウェイ装置で管理されるデバイス管理データベースのデータ構成例を示した図である。ゲートウェイ装置３０は、図に示すようなデバイス管理データベース６３を有している。デバイス管理データベース６３は、ユーザＩＤの欄およびデバイスリストの欄を有している。

ユーザＩＤの欄には、ゲートウェイ装置３０にアクセスすることができるユーザ端末のユーザＩＤが格納される。デバイスリストの欄には、ユーザ端末がアクセスすることができる機器の情報が格納される。

図１３は、ゲートウェイ装置で管理されるデバイス制御プロファイルデータベースのデータ構成例を示した図である。ゲートウェイ装置３０は、図に示すようなデバイス制御プロファイルデータベース６４を有している。デバイス制御プロファイルデータベース６４は、デバイス名の欄、ＩＰの欄、およびＨＴＴＰ ＵＲＬ／ＵＰｎＰ ＵＲＬの欄を有している。

デバイス名の欄には、ゲートウェイ装置３０の配下に接続されている機器の名称が格納される。ＩＰの欄には、機器のＩＰアドレスが格納される。ＨＴＴＰ ＵＲＬ／ＵＰｎＰ ＵＲＬの欄には、機器にアクセスするためのＨＴＴＰのＵＲＬおよびＵＰｎＰのＵＲＬが格納される。

デバイス制御プロファイルデータベース６４は、Ｗｅｂサーバ部３４によって管理される。ユーザ端末２０がＵＲＬでＷｅｂサーバ部３４にアクセスすると、デバイス制御プロファイルデータベース６４に基づいた機器のリンク情報がユーザ端末２０に送られる。ユーザ端末２０の表示装置には、例えば、デバイス制御プロファイルデータベース６４のデバイス名が表示され、この表示されたデバイス名にリンク（デバイス制御プロファイルデータベース６４のＨＴＴＰ ＵＲＬ／ＵＰｎＰ ＵＲＬ）が貼られる。

図１２のデバイス管理データベース６３は、図３で説明したユーザ利用機器管理部３３によって管理される。ユーザ利用機器管理部３３は、ユーザ端末がアクセス可能な機器の情報をデバイス管理データベース６３から検索し、検索結果をＷｅｂサーバ部３４および機器フィルタ部３５に送信する。機器フィルタ部３５は、通信中ユーザ管理データベース６２を参照して現在通信中のユーザ端末のユーザＩＤを取得し、通信中のユーザ端末の機器アクセスを、ユーザ利用機器管理部３３から送られてきたユーザ端末のアクセス可能な機器情報を元に制限する。また、Ｗｅｂサーバ部３４は、図１３のデバイス制御プロファイルデータベース６４を参照し、ユーザ端末がアクセスできる機器情報をユーザ端末に送信する。

このように、接続支援装置１０はユーザ端末２０の認証を行い、ユーザ端末２０が適正な端末であれば、ＩＰＳｅｃ通信が可能となるための事前共有鍵とファイアウォール制御メッセージを生成する。そして、ユーザ端末２０とゲートウェイ装置３０とに事前共有鍵を送信し、ゲートウェイ装置３０にファイアウォール制御メッセージを送信する。これにより、ゲートウェイ装置３０は、事前共有鍵を受信して、端末に対するポートを開放すればよく、常時ポートを開放しておく必要がないため、不正侵入やＤｏＳ攻撃を回避でき、性能低下を防止することができる。また、接続支援装置１０が事前共有鍵を生成するので、ユーザ端末２０はゲートウェイ装置３０ごとの事前共有鍵を記憶する必要がなく、ゲートウェイ装置３０への接続の違いを認識する必要がなくなる。

また、ユーザ端末２０がアクセスすることができる機器をフィルタリングすることによって、第三者による盗聴を防止することができる。
次に、本発明の第２の実施の形態を、図面を参照して詳細に説明する。第２の実施の形態では、接続支援装置は、ファイアウォール制御メッセージに、ログインしてきたユーザのユーザＩＤとパスワードとを含めてゲートウェイ装置に送信する。ゲートウェイ装置は、ユーザ端末の事前共有鍵が一致するかの判断をするとき、ユーザ端末からユーザＩＤとパスワードとを受信し、ファイアウォール制御メッセージに含まれていたユーザＩＤとパスワードと認証する。このように、ユーザＩＤとパスワードの認証を行うことにより、第三者からの機器への不正接続を事前に防止する。

図１４は、第２の実施の形態に係る接続支援装置を適用したＩＰＳｅｃリモートアクセスのシステム構成例を示した図である。図に示すようにユーザ端末８０とゲートウェイ装置９０は、例えば、インターネット等のネットワークを介して、接続支援装置７０に接続されている。ゲートウェイ装置９０の配下には、デジタル家電１０１やＰＣ１０２が、例えば、ＬＡＮ等の家庭内ネットワークによって接続されている。ユーザ端末８０には、ＩＰＳｅｃ接続をするためのソフトウェアが格納されており、ユーザ端末８０は、このソフトウェアによって、ゲートウェイ装置９０とデータのやり取りを行い、また、デジタル家電１０１，ＰＣ１０２とデータのやり取りを行う。

なお、図では、ユーザ端末８０およびゲートウェイ装置９０は、１つしか示してないが、複数存在していてもよい。ユーザ端末８０は、複数のゲートウェイ装置にアクセスすることも可能であり、ゲートウェイ装置９０は、複数のユーザ端末からのアクセスを受けることが可能である。

図１４におけるシステム構成例の動作について、図２のシステム構成例の動作と異なる部分についてのみ説明する。その他の部分は、図２のシステム構成例の動作と同様である。

接続支援装置７０は、ユーザ端末８０が選択したゲートウェイ装置９０に対しアクセスできるよう、ファイアウォール制御メッセージをゲートウェイ装置９０に送信する。ファイアウォール制御メッセージには、図２で説明した情報の他に、ユーザ端末８０のユーザＩＤとパスワードとが含まれる。

ゲートウェイ装置９０は、ユーザ端末８０の事前共有鍵の認証を行うために、鍵交換用のポート９０ａを開放する。ゲートウェイ装置９０は、ポート９０ａを介して、ユーザ端末８０の事前共有鍵の認証を行うとともに、ユーザ端末８０からユーザＩＤとパスワードを受信し、接続支援装置７０から受信したファイアウォール制御メッセージに含まれているユーザ端末８０のユーザＩＤとパスワードと照合する。そして、一致していれば、ＩＰＳｅｃ用のポート９０ｂを介して、データのやり取りを可能にする。このように、ユーザ端末８０のユーザＩＤとパスワードを認証するようにすることにより、第三者からの盗聴をより防止することができる。

なお、ユーザＩＤとパスワードの認証を行う場合、ゲートウェイ装置９０は、ユーザ認証管理データベースを有することとなる。
図１５は、ゲートウェイ装置で管理されるユーザ認証管理データベースのデータ構成例を示した図である。ゲートウェイ装置９０は、図に示すようなユーザ認証管理データベース１１１を有している。ユーザ認証管理データベース１１１は、ユーザＩＤの欄およびパスワード（ＰＷＤ）の欄を有している。ユーザ認証管理データベース１１１は、図３で説明したファイアウォール設定部３１がファイアウォール制御メッセージを受信したときに作成される。なお、図３のＩＰＳｅｃ制御部３２がユーザ認証管理データベース５１を参照し、ユーザ端末８０から送信されてくるユーザＩＤとパスワードの認証を行う。

次に、シーケンス図を用いて、図１４のシステム構成例の動作を説明する。
図１６，１７は、図１４のシステム構成例のシーケンス図である。接続支援装置７０、ユーザ端末８０、ゲートウェイ装置９０、デジタル家電１０１、およびＰＣ１０２は、以下のステップに従って、ＩＰＳｅｃによるリモートアクセスを行う。シーケンス全体として、接続支援装置７０とユーザ端末８０の間の通信は、ＨＴＴＰＳが用いられ、接続支援装置７０とゲートウェイ装置の間の通信は、ＳＩＰＳ（Session Initiation Protocol Security）が用いられる。

ユーザ端末８０は、接続支援装置７０にログインするため、ユーザＩＤとパスワードを接続支援装置７０に送信する（ステップＳ１）。接続支援装置７０は、ユーザ端末８０のユーザＩＤとパスワードを用いて、ログインが正当なものであると判断すると、ユーザ端末８０が接続することができるゲートウェイ装置の一覧リストをユーザ端末８０に送信する（ステップＳ２）。ユーザ端末８０は、接続支援装置７０からのゲートウェイ装置の一覧リストを、自己が有する表示装置に表示し、ユーザから、どのゲートウェイ装置に接続するのか選択を受付ける。ユーザ端末８０は、ユーザが選択したゲートウェイ装置の情報を接続支援装置７０に送信する（ステップＳ３）。なお、ユーザは、ゲートウェイ装置９０を選択したとする。

接続支援装置７０は、ユーザ端末８０とゲートウェイ装置９０とがＩＰＳｅｃで暗号通信できるよう、ユーザ端末８０とゲートウェイ装置９０とに事前共有鍵を動的に割当てる（ステップＳ４）。接続支援装置７０は、ユーザ端末８０のユーザＩＤ、パスワード、グローバルＩＰアドレス、事前共有鍵、ＥＳＰヘッダ番号（５０）、ＩＫＥポート番号５００を含むファイアウォール制御メッセージを生成し、ゲートウェイ装置９０に送信する（ステップＳ５）。

ゲートウェイ装置９０は、接続支援装置７０からファイアウォール制御メッセージを受信すると、例えば、図１０，１５に示したファイアウォール情報管理データベース６１およびユーザ認証管理データベース１１１を生成し、情報を管理する（ステップＳ６）。ゲートウェイ装置９０は、ＳＩＰＳのＩＮＶＩＴＥ応答を接続支援装置７０に返す（ステップＳ７）。接続支援装置７０は、ゲートウェイ装置９０からのＩＮＶＩＴＥ応答を受けると、ＡＣＫをゲートウェイ装置９０に返す（ステップＳ８）。

接続支援装置７０は、ログインしてきたユーザ端末８０のユーザＩＤと事前共有鍵を図９に示したユーザセッション管理データベース５４に格納する（ステップＳ９）。接続支援装置７０は、事前共有鍵、ログインしてきたユーザ端末８０のユーザＩＤ、パスワード、ゲートウェイ装置９０のＩＰアドレス、ＵＲＬをユーザ端末８０に送信する（ステップＳ１０）。ユーザ端末８０は、ＩＰＳｅｃによる暗号通信を行うためのＩＰＳｅｃクライアントを起動し、ユーザＩＤとパスワードとを記憶する（ステップＳ１１）。なお、ステップＳ１のユーザＩＤとパスワードの送信時に、これらを記憶する場合、ステップＳ１１で記憶する必要はない。

ユーザ端末８０とゲートウェイ装置９０は、図１６中の点線枠で示す鍵交換Ｐｈａｓｅ１の鍵交換処理に入る。ユーザ端末８０とゲートウェイ装置９０は、アグレッシブモードの動作に入り、接続支援装置７０によって動的に割当てられた事前共有鍵が一致するか否かの処理を行う（ステップＳ１２）。

ユーザ端末８０とゲートウェイ装置９０は、事前共有鍵の一致を確認すると（ステップＳ１３ａ，Ｓ１３ｂ）、ユーザ認証（Ｘａｕｔｈ）の処理に入る（ステップＳ１４）。ユーザ認証の処理では、ユーザ端末８０がユーザＩＤとパスワードをゲートウェイ装置９０に送信する。ゲートウェイ装置９０は、ユーザ端末８０から送られてきたユーザＩＤとパスワードとを、ファイアウォール制御メッセージに含まれたユーザ端末８０のユーザＩＤとパスワードと照合する。ユーザＩＤとパスワードとが一致すれば、アクセスしてきたユーザ端末は、適正なユーザ端末であると判断することができる。

ユーザ端末８０とゲートウェイ装置９０は、モードコンフィグの動作に入る（ステップＳ１５）。ゲートウェイ装置９０は、ユーザ端末８０からの要求を受けて、ＩＰアドレスをユーザ端末８０に割当てる。なお、割当てたＩＰアドレスは、図１１に示した通信中ユーザ管理データベース６２に格納される。ゲートウェイ装置９０は、ＩＰＳｅｃで暗号化されたデータを入力するための適用ルールをＳＰＤ（Security Policy Database）に追加する（ステップＳ１６ａ）。ユーザ端末８０は、ＩＰＳｅｃで暗号化したデータを出力するための適用ルールをＳＰＤに追加する（ステップＳ１６ｂ）。

ユーザ端末８０とゲートウェイ装置９０は、図１７中の点線枠で示す鍵交換Ｐｈａｓｅ２の鍵交換処理に入る。ユーザ端末８０とゲートウェイ装置９０は、クイックモードの動作に入り、以下で生成される共有秘密鍵の有効期限を決める（ステップＳ１７）。

ゲートウェイ装置９０は、ＩＰＳｅｃ適用アルゴリズムを決定してＳＰＩ（Security Policy Index）を生成し、ＳＡ（Security Association）をＳＡＤ（Security Association Database）に登録する（ステップＳ１８ａ）。同様に、ユーザ端末８０もＩＰＳｅｃ適用アルゴリズムを決定してＳＰＩを生成し、ＳＡをＳＡＤに登録する（ステップＳ１８ｂ）。そして、ゲートウェイ装置９０とユーザ端末８０は、共有秘密鍵を生成する（ステップＳ１９ａ，Ｓ１９ｂ）。

ゲートウェイ装置は、ユーザ端末８０が適正な機器（デジタル家電１０１，ＰＣ１０２）にのみアクセスを許可するように機器フィルタの機能を起動する（ステップＳ２０）。
ユーザ端末８０は、接続支援装置７０より送信されたＵＲＬより、ゲートウェイ装置９０のＨＴＴＰページを要求する（ステップＳ２１）。ゲートウェイ装置９０は、ユーザ端末８０からの要求に応じて、機器リストがユーザ端末８０に表示されるようにする（ステップＳ２２）。ユーザ端末８０は、ユーザからアクセスしたい機器の選択を受付け、その受付け結果をゲートウェイ装置９０に送信する（ステップＳ２３）。ゲートウェイ装置９０は、ユーザ端末８０から選択要求のあった機器への接続アドレスをユーザ端末８０に通知する（ステップＳ２４）。ユーザ端末８０は、機器と直接通信を行い（ステップＳ２５）、必要なデータのやり取りが終了すれば、ログアウトを行う（ステップＳ２６）。なお、ステップＳ２１〜Ｓ２６は、データ通信用のポート３０ｂを介したＩＰＳｅｃによる通信が行われる。

ゲートウェイ装置９０は、ユーザ端末８０からログアウトがあると、ユーザ端末８０の機器フィルタに関する情報をデータベースから削除する（ステップＳ２７）。また、ユーザ端末８０のユーザＩＤ、パスワード、グローバルＩＰアドレス、事前共有鍵の情報を削除し、ポートを閉じる（ステップＳ２８）。

ゲートウェイ装置９０は、接続支援装置７０とのセッションを解除するため、それまで通信を行っていたユーザ端末８０のユーザＩＤを含めたＢＹＥメッセージを接続支援装置７０に送信する（ステップＳ２９）。接続支援装置７０は、ゲートウェイ装置９０から受信したユーザＩＤと、このユーザＩＤに対応した事前共有鍵をデータベースから削除する（ステップＳ３０）。接続支援装置７０は、ＢＹＥメッセージの応答メッセージをゲートウェイ装置９０に送信する（ステップＳ３１）。

次に、図１６のステップＳ１でユーザ端末８０から接続支援装置７０に送信されるメッセージ、ステップＳ５で接続支援装置７０からゲートウェイ装置９０に送信されるファイアウォール制御メッセージ、およびステップＳ７でゲートウェイ装置９０から接続支援装置７０に送信されるファイアウォール制御応答メッセージ（ＩＮＶＩＴＥ応答）について説明する。

図１８は、ユーザ端末から接続支援装置に送信されるメッセージの一例を示した図である。図１６のステップＳ１では、図に示すようなメッセージがユーザ端末８０から接続支援装置７０に送信される。図の下線１２１に示す部分に、ユーザ端末８０のユーザＩＤとパスワードが含まれる。

図１９は、接続支援装置からゲートウェイ装置に送信されるファイアウォール制御メッセージの一例を示した図である。図１６のステップＳ５では、図に示すようなファイアウォール制御メッセージが接続支援装置７０からゲートウェイ装置９０に送信される。図の領域１２２に示す部分に、ユーザＩＤ、事前共有鍵、ユーザ端末８０のグローバルＩＰアドレス、ＥＳＰのプロトコル番号（５０）、鍵交換用のポート番号（５００）の情報が含まれる。

図２０は、ゲートウェイ装置から接続支援装置に送信されるファイアウォール制御応答メッセージの一例を示した図である。図１６のステップＳ７では、図に示すようなファイアウォール制御メッセージを受信したことを示す２００ＯＫメッセージがゲートウェイ装置９０から接続支援装置７０に送信される。

このように、接続支援装置７０は、ユーザ端末８０のユーザＩＤとパスワードをゲートウェイ装置９０に送信するようにした。そしてゲートウェイ装置９０は、ユーザ端末８０に対してファイアウォールを開放するとき、ユーザ端末８０からユーザＩＤとパスワードを受信し、認証するようにした。これにより、第三者からの盗聴をより防止することができる。

次に、本発明の第３の実施の形態を、図面を参照して詳細に説明する。第１、２の実施の形態では、ユーザ端末とゲートウェイ装置は、ＩＰＳｅｃのみによるリモートアクセスを行っていた。第３の実施の形態では、ユーザにＩＰＳｅｃによるリモートアクセスを行うのか、ＨＴＴＰＳによるリモートアクセスを行うのか選択させ、選択された方式のリモートアクセスに対応したゲートウェイ装置の一覧をユーザ端末に表示するようにする。そして、選択されたゲートウェイ装置との通信を可能にするようにする。

図２１は、ゲートウェイ装置のプロトコル管理を説明する図である。図には、接続支援装置１３０、ユーザ端末１４０、およびゲートウェイ装置１５０が示してある。図２１では、第１，２の実施の形態と異なる部分についてのみ説明する。

ゲートウェイ装置１５０は、ユーザ端末と通信するプロトコル種別を接続支援装置１３０に通知する。プロトコル種別の通知は、例えば、ゲートウェイ装置１５０が接続支援装置１３０を介したリモートアクセスのサービスを開始するときに行う。接続支援装置１３０のＧＷ管理部１３１は、ゲートウェイ装置１５０の識別子とプロトコル種別を管理する。そして、ユーザ端末１４０からの要求に応じて、ユーザ端末１４０の表示装置に表示するようにする。このように、接続支援装置１３０は、ゲートウェイ装置１５０の対応プロトコルに応じたリモートアクセス手段をユーザ端末１４０に表示する。

次に、シーケンス図を用いて、図２１のシステム構成例の動作を説明する。
図２２は、図２１のシステム構成例のシーケンス図である。なお、図２１では、ゲートウェイ装置１５０の配下の機器が省略されているが、例えば、デジタル家電、ＰＣが接続されている。

ユーザ端末１４０は、接続支援装置１３０にログインするため、ユーザＩＤとパスワードを接続支援装置１３０に送信する（ステップＳ４１）。接続支援装置１３０は、ユーザ端末１４０のユーザＩＤとパスワードを用いて、ログインが正当なものであると判断すると、ユーザ端末１４０にＩＰｓｅｃによるリモートアクセスを行うか、ＨＴＴＰＳによるリモートアクセスを行うかの選択画面を表示させる（ステップＳ４２）。ユーザ端末１４０は、どのリモートアクセスを行うかユーザから選択を受付け、接続支援装置１３０に送信する（ステップＳ４３）。ここでは、ＩＰＳｅｃによるリモートアクセスが選択されたとする。接続支援装置１３０は、ユーザ端末１４０がＩＰＳｅｃのリモートアクセスすることができるゲートウェイ装置の一覧をユーザ端末１４０に表示するようにする（ステップＳ４４）。ユーザ端末１４０は、ユーザからゲートウェイ装置の選択を受付け、接続支援装置１３０に送信する（ステップＳ４５）。

接続支援装置１３０は、ユーザ端末１４０とゲートウェイ装置１５０とがＩＰＳｅｃで暗号通信できるよう、ユーザ端末１４０とゲートウェイ装置１５０とに事前共有鍵を動的に割当てる（ステップＳ４６）。接続支援装置１３０は、ユーザ端末１４０のユーザＩＤ、パスワード、グローバルＩＰアドレス、事前共有鍵、ＥＳＰヘッダ番号（５０）、ＩＫＥポート番号５００を含むファイアウォール制御メッセージをゲートウェイ装置１５０に送信する（ステップＳ４７）。

ゲートウェイ装置１５０は、接続支援装置１３０からファイアウォール制御メッセージを受信すると、例えば、図１０，１５に示したファイアウォール情報管理データベース６１およびユーザ認証管理データベース１１１を生成し、情報を管理する（ステップＳ４８）。ゲートウェイ装置１５０は、ＳＩＰＳのＩＮＶＩＴＥ応答を接続支援装置１３０に返す（ステップＳ４９）。接続支援装置１３０は、ログインしてきたユーザ端末１４０のユーザＩＤと事前共有鍵を図９に示したユーザセッション管理データベース５４に格納する（ステップＳ５０）。接続支援装置１３０は、ゲートウェイ装置１５０からのＩＮＶＩＴＥ応答に対し、ＡＣＫをゲートウェイ装置１５０に返す（ステップＳ５１）。接続支援装置１３０は、事前共有鍵、ログインしてきたユーザ端末１４０のユーザＩＤ、パスワード、ゲートウェイ装置１５０のＩＰアドレス、ＵＲＬをユーザ端末１４０に送信する（ステップＳ５２）。ユーザ端末１４０は、ＩＰＳｅｃによる暗号通信を行うためのＩＰＳｅｃクライアントを起動し、ユーザＩＤとパスワードを記憶する（ステップＳ５３）。なお、ステップＳ４１のユーザＩＤとパスワードの送信時に、これらを記憶する場合、ステップＳ５３で記憶する必要はない。

以下、ユーザ端末１４０とゲートウェイ装置１５０は、図１６、１７で説明したように、鍵交換Ｐｈａｓｅ１，Ｐｈａｓｅ２の処理を行う。そして、ユーザ端末１４０は、ゲートウェイ装置１５０の配下にある機器との通信が可能となる。なお、図２２では、鍵交換Ｐｈａｓｅ２以降のシーケンスを省略している。

次に、ＨＴＴＰＳのゲートウェイ装置が選択される場合のシーケンス図について説明する。
図２３は、ＨＴＴＰＳのゲートウェイ装置が選択される場合のシーケンス図である。ユーザ端末１４０は、接続支援装置１３０にログインするため、ユーザＩＤとパスワードを接続支援装置１３０に送信する（ステップＳ６１）。接続支援装置１３０は、ユーザ端末１４０のユーザＩＤとパスワードを用いて、ログインが正当なものであると判断すると、ユーザ端末１４０にＩＰＳｅｃによるリモートアクセスを行うか、ＨＴＴＰＳによるリモートアクセスを行うかの選択画面を表示させる（ステップＳ６２）。ユーザ端末１４０は、どのリモートアクセスを行うかユーザから選択を受付け、接続支援装置１３０に送信する（ステップＳ６３）。ここでは、ＨＴＴＰＳによるリモートアクセスが選択されたとする。接続支援装置１３０は、ユーザ端末１４０がＨＴＴＰＳのリモートアクセスすることができるゲートウェイ装置の一覧をユーザ端末１４０に表示するようにする（ステップＳ６４）。ユーザ端末１４０は、ユーザからゲートウェイ装置の選択を受付け、接続支援装置１３０に送信する（ステップＳ６５）。

接続支援装置１３０は、ユーザ端末１４０とゲートウェイ装置１５０とがＨＴＴＰＳで暗号通信できるように動的に乱数を割当てる（ステップＳ６６）。接続支援装置１３０は、ユーザ端末１４０のユーザＩＤ、グローバルＩＰアドレス、乱数、およびポート番号４４３を示す情報を含んだメッセージをゲートウェイ装置１５０に送信する（ステップＳ６７）。

ゲートウェイ装置１５０は、接続支援装置１３０から送信されたメッセージを記憶装置に記憶し、プロトコル番号４４３（ＨＴＴＰＳ）のポートを開放する（ステップＳ６８）。ゲートウェイ装置１５０は、ステップＳ６７のメッセージに対する応答を接続支援装置１３０に返す（ステップＳ６９）。

接続支援装置１３０は、ユーザ端末１４０とゲートウェイ装置１５０に割当てた乱数とユーザＩＤをデータベースに登録する（ステップＳ７０）。接続支援装置１３０は、ステップＳ６９の応答に対するＡＣＫをゲートウェイ装置１５０に返す（ステップＳ７１）。接続支援装置１３０は、ユーザ端末１４０にゲートウェイ装置１５０のＵＲＬと乱数を含む情報を送信し、リダイレクトするようにする。ユーザ端末１４０は、ＵＲＬによってゲートウェイ装置１５０にアクセスし、乱数をゲートウェイ装置１５０に送信する（ステップＳ７３）。

ゲートウェイ装置１５０は、ユーザ端末１４０から乱数一致を検出すると（ステップＳ７４）、リモートアクセスサービス画面をユーザ端末１４０に表示させる（ステップＳ７５）。これによって、ユーザ端末１４０は、ゲートウェイ装置１５０を介してデバイス制御（デジタル家電、ＰＣの制御）が可能となる（ステップＳ７６，Ｓ７７）。

ユーザ端末１４０は、機器に対する必要なリモートアクセスが終了すると、ゲートウェイ装置１５０に対し、ログアウトする（ステップＳ７８）。ゲートウェイ装置１５０は、ユーザ端末１４０からのログアウトに応じて、記憶装置に記憶していたユーザ端末１４０のユーザＩＤ、乱数、グローバルＩＰアドレスを削除し、プロトコル番号４４３のポートを閉じる（ステップＳ７９）。そして、ゲートウェイ装置１５０は、接続支援装置１３０に対し、ＳＩＰＳのＢＹＥメッセージを送信する（ステップＳ８０）。

ユーザ端末１４０は、ゲートウェイ装置１５０のからのＢＹＥメッセージを受けて、記憶装置に記憶していたユーザ端末１４０のユーザＩＤと、割当てていた乱数とを削除する（ステップＳ８１）。そして、ＢＹＥメッセージの応答として、ＡＣＫをゲートウェイ装置１５０に返す（ステップＳ８２）。

このように、接続支援装置１３０は、ユーザ端末１４０にＩＰＳｅｃによるリモートアクセスを行うのか、ＨＴＴＰＳによるリモートアクセスを行うのか選択させるようにした。これにより、ユーザ端末１４０の能力やゲートウェイ装置１５０の対応プロトコルに応じて、柔軟なリモートアクセス手段をユーザ端末１４０に提供することができる。

また、ユーザは、事前にゲートウェイ装置１５０の対応している通信プロトコルを識別でき、接続失敗等を事前に回避できる。
（付記１） ユーザの所持する端末とゲートウェイ装置とのＩＰＳｅｃ通信の接続支援を行う接続支援装置において、
前記端末を所持する前記ユーザの認証を行う認証手段と、
前記認証の結果に応じて、前記端末と前記ゲートウェイ装置との事前共有鍵を生成する事前共有鍵生成手段と、
前記認証の結果に応じて、前記ゲートウェイ装置のファイアウォールを開放するためのファイアウォール開放指示情報を生成するファイアウォール開放指示情報生成手段と、
前記端末と前記ゲートウェイ装置とに前記事前共有鍵を送信し、前記ゲートウェイ装置に前記ファイアウォール開放指示情報を送信する送信手段と、
を有することを特徴とする接続支援装置。

（付記２） 前記送信手段は、前記ファイアウォール開放指示情報に、前記事前共有鍵、ＥＳＰヘッダを示す情報、ＩＫＥポート番号、および前記端末のＩＰアドレスを含めて前記ゲートウェイ装置に送信することを特徴とする付記１記載の接続支援装置。

（付記３） 前記端末のＩＰプロトコルのバージョンを判別するバージョン判別手段をさらに有し、 前記送信手段は、前記バージョンがＩＰｖ４である場合、前記ＥＳＰヘッダを示す情報として、ＩＰｖ４のプロトコル番号を５０とすることを特徴とする付記２記載の接続支援装置。

（付記４） 前記端末のＩＰプロトコルのバージョンを判別するバージョン判別手段をさらに有し、 前記送信手段は、前記バージョンがＩＰｖ６である場合、前記ＥＳＰヘッダを示す情報として、ＩＰｖ６の次ヘッダ番号を５０とすることを特徴とする付記２記載の接続支援装置。

（付記５） 前記送信手段は、前記認証に用いた前記ユーザの識別子とパスワードとを前記ゲートウェイ装置に送信することを特徴とする付記１記載の接続支援装置。
（付記６） 前記ゲートウェイ装置は、前記端末から前記識別子と前記パスワードとを受信し、前記送信手段から送信された前記識別子と前記パスワードとを用いて前記端末の認証を行うことを特徴とする付記５記載の接続支援装置。

（付記７） 前記送信手段は、前記ゲートウェイ装置から前記ファイアウォール開放指示情報に対する応答を受信すると、前記端末に対し前記事前共有鍵と前記ゲートウェイ装置のＩＰアドレスと前記端末の機器へアクセスするための情報とを含む端末用情報を送信することを特徴とする付記２記載の接続支援装置。

（付記８） 前記端末は、前記端末用情報に基づいて、前記ゲートウェイ装置と前記ＩＰＳｅｃ通信による通信を確立することを特徴とする付記７記載の接続支援装置。
（付記９） 前記端末に対し、前記ゲートウェイ装置と前記ＩＰＳｅｃ通信を行うかＨＴＴＰＳ通信を行うかを選択させる通信プロトコル選択手段をさらに有することを特徴とする付記１記載の接続支援装置。

（付記１０） 前記ゲートウェイ装置から前記ＩＰＳｅｃ通信を行うかＨＴＴＰ通信を行うかの通信情報を受信する通信情報受信手段をさらに有することを特徴とする付記１記載の接続支援装置。

（付記１１） 端末とＩＰＳｅｃ通信を行うゲートウェイ装置において、
前記端末を所持するユーザの認証を行って、前記端末と当該ゲートウェイ装置との事前共有鍵と、当該ゲートウェイ装置のファイアウォールを開放するためのファイアウォール開放指示情報とを生成する接続支援装置から、前記事前共有鍵と前記ファイアウォール開放指示情報とを受信する受信手段と、
前記事前共有鍵と前記ファイアウォール開放指示情報とに基づいて、前記端末と前記ＩＰＳｅｃ通信を行う通信手段と、
を有することを特徴とするゲートウェイ装置。

（付記１２） 前記ファイアウォール開放指示情報に事前共有鍵が含まれて前記接続支援装置から送信されることを特徴とする付記１１記載のゲートウェイ装置。
（付記１３） 前記通信手段は、前記ファイアウォール開放指示情報に含まれる前記端末のＩＰアドレスのデータに対して前記事前共有鍵による通信を行い、前記ＩＰアドレスと前記ＥＳＰヘッダを示す情報を含むデータまたは前記ＩＰアドレスと前記ＩＫＥポート番号を含むデータに対してファイアウォールを開放することを特徴とする付記１２記載のゲートウェイ装置。

（付記１４） 前記ファイアウォール開放指示情報には、前記ユーザの識別子とパスワードとが含まれており、前記端末から送信されてくる前記識別子と前記パスワードとの認証を行う認証手段をさらに有することを特徴とする付記１２記載のゲートウェイ装置。（９）
（付記１５） 前記端末の制御可能な機器を管理し、制御可能な前記機器の情報を前記端末に送信する機器情報送信手段をさらに有することを特徴とする付記１１記載のゲートウェイ装置。

（付記１６） 前記端末の制御可能な機器に対してのみ、前記端末の前記機器へのアクセスを許可する機器フィルタ手段をさらに有することを特徴とする付記１１記載のゲートウェイ装置。

（付記１７） 前記端末がログアウトした場合、記憶装置に記憶している前記ファイアウォール開放指示情報を消去する指示情報消去手段をさらに有することを特徴とする付記１２記載のゲートウェイ装置。

接続支援装置の概要を示した図である。 第１の実施の形態に係る接続支援装置を適用したＩＰＳｅｃリモートアクセスのシステム構成例を示した図である。 図２のシステムの機能ブロック図である。 ユーザ端末とゲートウェイ装置との間でやり取りされるデータパケットのフォーマットを示した図である。 ＩＰＳｅｃ通信を説明する図である。 接続支援装置で管理されるユーザ認証管理データベースのデータ構成例を示した図である。 接続支援装置で管理されるポート管理データベースのデータ構成例を示した図である。 接続支援装置で管理されるゲートウェイ装置管理データベースのデータ構成例を示した図である。 接続支援装置で管理されるユーザセッション管理データベースのデータ構成例を示した図である。 ゲートウェイ装置で管理されるファイアウォール情報管理データベースのデータ構成例を示した図である。 ゲートウェイ装置で管理される通信中ユーザ管理データベースのデータ構成例を示した図である。 ゲートウェイ装置で管理されるデバイス管理データベースのデータ構成例を示した図である。 ゲートウェイ装置で管理されるデバイス制御プロファイルデータベースのデータ構成例を示した図である。 第２の実施の形態に係る接続支援装置を適用したＩＰＳｅｃリモートアクセスのシステム構成例を示した図である。 ゲートウェイ装置で管理されるユーザ認証管理データベースのデータ構成例を示した図である。 図１４のシステム構成例のシーケンス図である。 図１４のシステム構成例のシーケンス図である。 ユーザ端末から接続支援装置に送信されるメッセージの一例を示した図である。 接続支援装置からゲートウェイ装置に送信されるファイアウォール制御メッセージの一例を示した図である。 ゲートウェイ装置から接続支援装置に送信されるファイアウォール制御応答メッセージの一例を示した図である。 ゲートウェイ装置のプロトコル管理を説明する図である。 図２１のシステム構成例のシーケンス図である。 ＨＴＴＰＳのゲートウェイ装置が選択される場合のシーケンス図である。 ＩＰＳｅｃ−ＶＰＮのリモートアクセスを説明する図である。

符号の説明

１ 接続支援装置
１ａ 認証手段
１ｂ 事前共有鍵生成手段
１ｃ ファイアウォール開放指示情報生成手段
１ｄ 送信手段
２ 端末
３ ゲートウェイ装置

Claims (10)

1. ユーザの所持する端末とゲートウェイ装置とのＩＰＳｅｃ通信の接続支援を行う接続支援装置において、
   前記端末を所持する前記ユーザの認証を行う認証手段と、
   前記認証の結果に応じて、前記端末と前記ゲートウェイ装置との事前共有鍵を生成する事前共有鍵生成手段と、
   前記認証の結果に応じて、前記ゲートウェイ装置のファイアウォールを開放するためのファイアウォール開放指示情報を生成するファイアウォール開放指示情報生成手段と、
   前記端末と前記ゲートウェイ装置とに前記事前共有鍵を送信し、前記ゲートウェイ装置に前記ファイアウォール開放指示情報を送信する送信手段と、
   を有することを特徴とする接続支援装置。
2. 前記送信手段は、前記ファイアウォール開放指示情報に、前記事前共有鍵、ＥＳＰヘッダを示す情報、ＩＫＥポート番号、および前記端末のＩＰアドレスを含めて前記ゲートウェイ装置に送信することを特徴とする請求項１記載の接続支援装置。
3. 前記送信手段は、前記認証に用いた前記ユーザの識別子とパスワードとを前記ゲートウェイ装置に送信することを特徴とする請求項１記載の接続支援装置。
4. 前記ゲートウェイ装置は、前記端末から前記識別子と前記パスワードとを受信し、前記送信手段から送信された前記識別子と前記パスワードとを用いて前記ユーザの認証を行うことを特徴とする請求項３記載の接続支援装置。
5. 前記送信手段は、前記ゲートウェイ装置から前記ファイアウォール開放指示情報に対する応答を受信すると、前記端末に対し前記事前共有鍵と前記ゲートウェイ装置のＩＰアドレスと前記端末の機器へアクセスするための情報とを含む端末用情報を送信することを特徴とする請求項２記載の接続支援装置。
6. 前記端末に対し、前記ゲートウェイ装置と前記ＩＰＳｅｃ通信を行うかＨＴＴＰＳ通信を行うかを選択させる通信プロトコル選択手段をさらに有することを特徴とする請求項１記載の接続支援装置。
7. 端末とＩＰＳｅｃ通信を行うゲートウェイ装置において、
   前記端末を所持するユーザの認証を行って、前記端末と当該ゲートウェイ装置との事前共有鍵と、当該ゲートウェイ装置のファイアウォールを開放するためのファイアウォール開放指示情報とを生成する接続支援装置から、前記事前共有鍵と前記ファイアウォール開放指示情報とを受信する受信手段と、
   前記事前共有鍵と前記ファイアウォール開放指示情報とに基づいて、前記端末と前記ＩＰＳｅｃ通信を行う通信手段と、
   を有することを特徴とするゲートウェイ装置。
8. 前記ファイアウォール開放指示情報に事前共有鍵が含まれて前記接続支援装置から送信されることを特徴とする請求項７記載のゲートウェイ装置。
9. 前記通信手段は、前記ファイアウォール開放指示情報に含まれる前記端末のＩＰアドレスのデータに対して前記事前共有鍵による通信を行い、前記ＩＰアドレスと前記ＥＳＰヘッダを示す情報を含むデータまたは前記ＩＰアドレスと前記ＩＫＥポート番号を含むデータに対してファイアウォールを開放することを特徴とする請求項８記載のゲートウェイ装置。
10. 前記端末の制御可能な機器に対してのみ、前記端末の前記機器へのアクセスを許可する機器フィルタ手段をさらに有することを特徴とする請求項７記載のゲートウェイ装置。
    

Images