JP2007110590A

JP2007110590A - リモートアクセス方法

Info

Publication number: JP2007110590A
Application number: JP2005301384A
Authority: JP
Inventors: Susumu Ichinose; 進一之瀬; Kentaro Takaya; 研太郎高屋; Kikuji Kato; 喜久次加藤; Hiroaki Shiromizu; 啓章白水
Original assignee: NTT IT Corp
Current assignee: NTT IT Corp
Priority date: 2005-10-17
Filing date: 2005-10-17
Publication date: 2007-04-26

Abstract

【課題】イントラネット内のファイルを当該イントラネットの外部に持ち出すことなく、イントラ内で可能としていた作業の全てを当該イントラネットの外部において、安全に実行すること。
【解決手段】イントラネット内のファイルを持ち出す代わりに、対象ＰＣ類の画面情報をhttpプロトコル、あるいはhttpsプロトコルで操作PC類に送信し、操作PC類からはキーボード情報、ポインティング情報などを対象PC類に送信することにより、対象PC類を操作するようにした。
【選択図】図１

Description

本発明は、イントラネット内にある対象ＰＣ類に対して、インターネットを経由して、同一または別のイントラネット内にある操作PC類から、ルータ、ファイアウォールを通過して接続し、安全に操作するリモートアクセス方法に関する発明である。

ルータ、ファイアウォールを通過して接続するリモートアクセス方法として、従来よりIPsec, SSL-VPNが利用されてきた。IPsecは、イントラネットが仮想的に当該イントラネットの外部に張り出しているように動作し、イントラ内のファイルが当該イントラネットの外部に持ち出されるという情報管理上の問題点があった。SSL-VPNは、ファイルがインターネットに持ち出される危険性は少ないが、Webアプリケーションの利用に限定され、イントラ内の対象PC類で動作するアプリケーションの全部を当該イントラネットの外部から利用できるわけではない点が問題点であった。
特開２００１−２７３２１１号公報

イントラネット内のファイルを当該イントラネットの外部に持ち出すことなく、イントラ内で可能としていた作業の全てを当該イントラネットの外部において、安全に実行すること。

イントラネット内のファイルを持ち出す代わりに、対象ＰＣ類の画面情報をhttpまたはhttpsプロトコルで操作PC類に送信し、操作PC類からはキーボード情報、ポインティング情報などを対象PC類に送信することにより、対象PC類を操作するようにした。

httpプロトコルを利用して送受信を行うため、対象PC類の所属するネットワークと操作PC類が所属するネットワークがWeb閲覧環境にあるだけで、上記の課題が解決できるため、ルーター及びファイアウォールの設定変更なしで、容易に導入可能となる。

対象PC類と操作PC類を適切に制御するために、インターネット内に中継管理サーバを配置し、中継管理サーバが対象PC類と操作PC類のそれぞれの情報を翻訳し転送する形態とした。また、操作PC類に接続して使用するUSBキーなどの外部記憶媒体を用いることにより、安全性と利便性を向上させる形態とした。

以下、実施例１を用いて本発明を詳細に説明する。図１は、本発明の実施例１であり、１は対象PC類、２は中継管理サーバ、３はインターネット、４は操作PC類、５は外部記憶媒体、６はルータ、ファイアウォールである。

最初に、イントラネット内に設置した対象PC類１とインターネット３内に配置した中継管理サーバ２を接続する。接続に際して、対象PC類１と中継管理サーバ２は、httpプロトコルで通信を行う。イントラネット内に設置した対象PC類１でインターネット３内に配置されたWebサーバの閲覧ができるようにするため、一般的に、ルータ、ファイアウォールのhttpポートのアウトバウンドは開放されている。このため、httpプロトコルを採用することによって、ルータ、ファイアウォール６の通過が可能となるため、Web閲覧環境にある多数の対象PC類１を利用できるようなった。

なお、対象PC類１がイントラネット外に設置されている場合も、接続に際して、対象PC類１と中継管理サーバ２は、httpプロトコルで通信を行うことに変わりはない。

接続時には、対象PC類１と中継管理サーバ２間には２つ以上のセッションを確保する。実際の接続には１セッションでおこなうことが可能であるが、httpプロトコルはリクエストを出した場合、レスポンスが帰ってこないと次のリクエストが出せない構成となっている。そこで本発明では、レスポンスが帰ってこない場合を想定して、予め２つ以上の複数セッションを確保しておき、対象PC類１と中継管理サーバ２がリクエストとレスポンスを常に送出できる状態にしておく構成としている。すなわち、対象PC類１がリクエストを送出した後に、別に確保したセッションで更にリクエストを送出できる状態にしておくことが特徴である。このようにすれば、対象PC類１にレスポンスが帰ってこない状態でも、別に確保したセッションを利用していつでもリクエストを送出でき、対象PC類１と中継管理サーバ２の間の通信を効率よく行うことができる。

次に、イントラネット内に設置した操作PC類４と中継管理サーバ２を接続する。接続に際して、httpプロトコルを使用すること、および、操作PC類４と中継管理サーバ２間に、２つ以上のセッションを確保することにより、対象PC類１の場合と同じように通信を効率よく行うことができる。

なお、操作PC類４がイントラネット外に設置されている場合も、接続に際して、操作PC類４と中継管理サーバ２は、上述のように通信を行うことに変わりはない。

操作PC類４と中継管理サーバ２を接続するためのソフトウェアは、USBキーなどの外部記憶媒体５に格納してあり、このソフトウェアは、操作PC類４のレジストリ情報を書き換えることなく動作するように設計した。この機能により、個人用にカスタマイズしたPCでなく、他人のPCまたはシンクライアントを操作PC類４として利用出来るようにした。

前記ソフトウェアは、必ずしも全てをUSBキーに格納する必要はなく、予め一部のプログラムを操作PC類に格納しても、同様な動作が可能なことは言うまでもない。

外部記憶媒体５は固有のIDを発生し、操作PC類４はこのID情報を加工して、中継管理サーバ２が認証するための特別な認証情報を生成し、中継管理サーバ２に送信する構成とした。この送信に際して、利用者はパスワードなどの認証情報を操作PC類４に入力する。この機能により、外部記憶媒体５と利用者が投入する認証情報の双方が存在しないと、中継管理サーバ２に接続できない構成とした。

対象PC類１と操作PC類４が同時に中継管理サーバ２に接続した状態において、中継管理サーバ２は、両PC類からの信号を解釈して、それぞれ他方のPC類に指示を出すことによって、操作PC類４が対象PC類１を自由に操作することを可能とした。

操作PC類４が対象PC類１を操作する上位のソフトウェアは、本発明の範囲外であるが、Windows(登録商標)リモートデスクトップ、VNC 、Telnet 等、TCPコネクションのアプリケーションが利用可能である。例えば、リモートデスクトップを利用すると、操作PC類４からキー入力情報、マウスのポインティング情報を対象PC類１に送信し、対象PC類１からはデスクトップ（画面）情報を操作PC類４に送信することによって、操作PC類４から対象PC類１を自由に操作することが可能となる。この場合、イントラネット内から外に転送されるのはデスクトップ（画面）であり、対象PC類１のファイルを当該イントラネット外に持ち出さないため、セキュリティが確保できる。

上記の対象PC類１、中継管理サーバ２、操作PC類４の間で交換される信号類は暗号化されていることは言うまでもない。

また、外部記憶媒体５のメモリ領域の一部に書き換え不可能な部分を設けており、ここにプログラム、設定ファイルを格納しておく構成とした。この構成により、使用者がファイル転送可能とする設定変更などをすることによるセキュリティの低下を防止できるようになり、さらにセキュリティの向上が図れるようになった。

以下、実施例２を用いて本発明を詳細に説明する。図２は、本発明の実施例２であり、１１は対象PC類、１２は中継管理サーバ、１３はインターネット、１４は操作PC類、１５は外部記憶媒体、１６はルータ、ファイアウォールである。

最初に、イントラネット内に設置した対象PC類１１とインターネット１３内に配置した中継管理サーバ１２を接続する。接続に際して、対象PC類１１と中継管理サーバ１２は、httpsプロトコルで通信を行う。イントラネット内に設置した多くの対象PC類１１は、インターネット１３内に配置されたWebサーバとの間で暗号化通信を行うため、ルータ、ファイアウォールのhttpsポートのアウトバウンドを開放している。このため、httpsプロトコルを採用することによって、ルータ、ファイアウォール１６の通過が可能となるため、Webサーバとの間で暗号化通信が可能な環境にある多数の対象PC類１１を利用できるようになった。

なお、対象PC類１１がイントラネット外に設置されている場合も、接続に際して、対象PC類１１と中継管理サーバ１２は、httpsプロトコルで通信を行うことに変わりはない。

接続時には、対象PC類１１と中継管理サーバ１２間には１つ以上のセッションを確保する。httpsプロトコルを利用した通信では、リクエストを出した後、レスポンスが帰ってこなくても次のリクエストを送出できるため、1つのセッションでも、対象PC類１１と中継管理サーバ１２の間の通信を効率よく行うことができる。

次に、イントラネット内に設置した操作PC類１４と中継管理サーバ１２を接続する。接続に際して、httpsプロトコルを使用すること、および、操作PC類１４と中継管理サーバ１２間に、１つ以上のセッションを確保することにより、対象PC類１１の場合と同じように通信を効率よく行うことができる。

なお、操作PC類１４がイントラネット外に設置されている場合も、接続に際して、操作PC類１４と中継管理サーバ１２は、上述のように通信を行うことに変わりはない。

以上のように、本発明のリモートアクセス方法によれば、USBキーなどの外部記憶媒体のみを持ち歩き、出先の他人のPC、シンクライアント等を利用して、出張先や自宅から会社のPCへのフルアクセスが図れ、利便性の向上が期待できる。外部記憶媒体は固有のIDを保有しているため、この外部記憶媒体を使用しない限りアクセスできない。そのため、社内情報の漏洩が防止でき、安全性の向上が期待できる。さらに、既存のファイアウォールの設定変更無しに対象PC類にアクセスでき、早期のサービス開始が期待できるため、業務の迅速な遂行が可能となり、企業活動の生産性向上が図れる。

本発明の実施例１のシステム構成図である。本発明の実施例２のシステム構成図である。

符号の説明

１、１１対象PC類
２、１２中継管理サーバ
３、１３インターネット
４、１４操作PC類
５、１５外部記憶媒体
６、１６ルータ、ファイアウォール

Claims

インターネットまたはイントラネット内にある複数のパソコン、サーバ等のPC類とインターネット内に設置した中継管理サーバより構成するリモートアクセス方法において、PC類は操作される対象PC類と操作する操作PC類に分類されること、操作PC類用リモートアクセス用ソフトは操作PC類のレジストリ情報を書き換えることなく動作すること、操作PC類用ソフトの少なくとも一部はUSBメモリなどの外部記憶媒体に入っていること、外部記憶媒体は固有のIDを所有し、このID、および手入力するパスワードなどの認証情報の両方を利用して中継管理サーバへのログインを行うことを特徴とするリモートアクセス方法。
インターネットまたはイントラネット内にある複数のパソコン、サーバ等のPC類とインターネット内に設置した中継管理サーバより構成するリモートアクセス方法において、ルータ、ファイアウォールの通過はhttpプロトコルを利用すること、操作PC類と中継管理サーバ、対象PC類と中継管理サーバ間の接続にはそれぞれ２セッション以上を利用することを特徴とするリモートアクセス方法。
インターネットまたはイントラネット内にある複数のパソコン、サーバ等のPC類とインターネット内に設置した中継管理サーバより構成するリモートアクセス方法において、ルータ、ファイアウォールの通過はhttpsプロトコルを利用すること、操作PC類と中継管理サーバ、対象PC類と中継管理サーバ間の接続にはそれぞれ1セッション以上を利用することを特徴とするリモートアクセス方法。
インターネットまたはイントラネット内にある複数のパソコン、サーバ等のPC類とインターネット内に設置した中継管理サーバより構成するリモートアクセス方法において、外部記憶媒体のメモリ領域の一部に書き換え不可能な部分を設け、ここにプログラム、設定ファイルの一部を格納することを特徴とするリモートアクセス方法。