JP2008010934A - ゲートウェイ装置、通信制御方法、プログラム、およびプログラムを記録した記憶媒体 - Google Patents

Abstract

【課題】ＬＡＮ内の情報端末がＬＡＮ内の他の装置との通信とＬＡＮ外の装置との通信とを同時に行うことを可能にしたゲートウェイ装置を提供する。
【解決手段】ローカルエリアネットワークで利用されるアドレスであるローカルエリア用アドレスが格納された記憶部と、アドレスを要求する旨の情報を含む端末認証要求信号をローカルエリアネットワークに接続された情報端末から受信すると、ローカルエリア用アドレスを記憶部から読み出して情報端末に送信し、ローカルエリア用アドレスが発アドレスに設定され、外部ネットワークの認証サーバにアドレスを要求する旨の情報を含む利用者認証要求信号を情報端末から受信すると、利用者認証要求信号を認証サーバに送信し、認証サーバから受信する外部用ネットワーク用のアドレスである外部用アドレスを情報端末に送信する制御部とを有する。
【選択図】図１

Description

本発明は、複数のネットワーク間の通信を媒介するゲートウェイ装置、通信制御方法、その方法をコンピュータに実行させるためのプログラム、およびプログラムを記録した記憶媒体に関する。

インターネットプロトコル（ＩＰ）の普及に伴い、ＩＰアドレスの枯渇に対して、ＮＡＴ（network address translation）およびＮＡＰＴ（network address port translation）機能をルータに具備することにより、ルータが外部ネットワークと内部ネットワークとを接続することが知られている。このＮＡＴ機能において、内部ネットワークに接続された装置に外部ネットワークで用いられるパブリックＩＰアドレスを割り振ることにより、アドレスに依存するアプリケーションの利用を可能とする技術が特許文献１に開示されている。
特開２００３−２７３８９１号公報

特許文献１に開示された技術では、内部ネットワークに接続した端末に高々１つの仮プライベートアドレスまたはグローバルアドレスしか割り当てていない。以下に、従来の問題点を説明する。

図８は従来の通信制御方法を説明するための図である。図８に示すように、ルータ１１００は、内部ネットワークとなるＬＡＮ（Local Area Network）を介して利用者端末１００１〜１００３が接続されている。また、ルータ１１００は、外部ネットワークとなるアクセス網１１１０を介してサービスプロバイダ１１２０のサーバ装置と接続されている。なお、図には示さないが、サービスプロバイダ１１２０には通信ネットワークが設けられ、その通信ネットワークにはサーバ装置が接続されている。

利用者端末１にはサービスプロバイダ１１２０によりグローバルアドレス「Ｘ．０．０．１」が割り当てられている。利用者端末２および利用者端末３のそれぞれには、プライベートアドレス「１９２．１６８．０．２」および「１９２．１６８．０．３」のそれぞれが割り当てられている。プライベートアドレスの割り当ては、ルータ１１００またはＬＡＮの管理者により行われる。

図８に示すように、グローバルアドレスを割り当てられた利用者端末１００１は、内部ネットワークに物理的に接続されていても、自端末のグローバルアドレスを持っている。このように、グローバルアドレスを持つ端末とプライベートアドレスを持つ端末とが同じＬＡＮに接続されていると、これらの端末同士の通信に障害の発生するおそれがある。以下に、障害の具体例を説明する。

内部ネットワークに接続された利用者端末１００１〜１００３の他、プライベートアドレスを持つコンピュータ装置およびプリンタ装置などの情報処理装置のそれぞれがセキュリティ確保のため送信元アドレスである発アドレスにフィルタをかけてデータを他の装置に送信しても、お互いのＭＡＣ（Media Access Control）アドレスを予め知っていれば、相互にデータを送信することが可能である。しかし、図８に示したように、利用者端末１００１がＭＡＣアドレスを使用しないで、グローバルアドレスを発アドレスとして使用すると、上記フィルタがかかっていると内部ネットワークの他の装置には利用者端末１００１のアドレスが通知されないことになる。その結果、利用者端末１００１は内部ネットワークの他の装置からデータを受信することができなくなる。

図９は従来の通信制御方法の問題点を説明するための図である。内部ネットワークの複数の利用者端末１００１〜１００３は同時に１つのグローバルアドレスしか持てない。そのため、図９に示すように外部ネットワーク内の他のサービスプロバイダ１１２２から別のアドレスを配布してもらうことができず、複数のサービスプロバイダのサーバと同時に通信したくても通信できないという問題がある。

図１０は従来の他の通信制御方法の問題点を説明するための図である。ここでは、利用者端末とサービスプロバイダとの接続に、ＰＰＰｏＥ（Point to Point Protocol over Ethernet）を用いるものとする（「Ethernet」は登録商標）。図１０に示すように、利用者端末１００１〜１００３が外部ネットワークとの認証を個別で行おうとすると、使用可能な認証情報が１つであるため、多くのサービスプロバイダが多くの接続数を提供しようとしても、外部ネットワークとの接続数が１つに限られてしまう。そのため、最初にアクセスした利用者端末１００１しか外部ネットワークのサービスプロバイダ１１２０のサーバ（不図示）と通信できないという問題がある。

本発明は上述したような従来の技術が有する問題点を解決するためになされたものであり、ＬＡＮ内の情報端末がＬＡＮ内の他の装置との通信とＬＡＮ外の装置との通信とを同時に行うことを可能にしたゲートウェイ装置、通信制御方法、その方法をコンピュータに実行させるためのプログラム、およびプログラムを記録した記憶媒体を提供することを目的とする。

上記目的を達成するための本発明のゲートウェイ装置は、ローカルエリアネットワークと外部ネットワークとの通信を媒介するゲートウェイ装置であって、
前記ローカルエリアネットワークで利用されるアドレスであるローカルエリア用アドレスが格納された記憶部と、
アドレスを要求する旨の情報を含む端末認証要求信号を前記ローカルエリアネットワークに接続された情報端末から受信すると、前記ローカルエリア用アドレスを前記記憶部から読み出して該情報端末に送信し、該ローカルエリア用アドレスが発アドレスに設定され、前記外部ネットワークの認証サーバにアドレスを要求する旨の情報を含む利用者認証要求信号を前記情報端末から受信すると、該利用者認証要求信号を前記認証サーバに送信し、該認証サーバから受信する前記外部用ネットワーク用のアドレスである外部用アドレスを前記情報端末に送信する制御部と、
を有する構成である。

本発明では、ローカルネットワーク内の情報端末に、ローカルエリア用アドレスと外部ネットワーク用アドレスの２つのアドレスが付与される。情報端末は、他の装置にデータを送信する際、データの送信先に対応してデータに付加する発アドレスを使い分ければ、外部ネットワークに接続された装置との通信と、ローカルエリア内の装置との通信とを同時に行うことが可能となる。

また、上記本発明のゲートウェイ装置において、
前記制御部は、
前記ローカルエリア用アドレスを発アドレスとしたデータを前記情報端末から受信すると、該データを前記ローカルエリアネットワーク内に送信し、前記外部用アドレスを発アドレスとしたデータを該情報端末から受信すると、該データを前記外部ネットワークへ送信することとしてもよい。

本発明では、ゲートウェイ装置は情報端末から受け取るデータについて発アドレスの種類に対応して送信先を振り分ける。これにより、ローカルエリアネットワーク内の装置および外部ネットワークに接続された装置のそれぞれは、データを情報端末に返送する際、返送するデータの着アドレスとして情報端末から受信したデータに付加された発アドレスを設定すれば、送信元の情報端末にデータを送ることが可能となる。

さらに、上記発明のゲートウェイ装置において、
前記記憶部には前記情報端末毎に異なる端末識別子の情報が格納され、
前記端末認証要求信号には前記端末識別子の情報が含まれ、
前記制御部は、
前記端末認証要求信号を受信すると、該端末認証要求信号に含まれる端末識別子と一致する端末識別子が前記記憶部にあるか否かを調べ、一致する端末識別子があると、該端末識別子で特定される情報端末に前記ローカルエリア用アドレスを送信することとしてもよい。

本発明では、アドレスを付与する先となる情報端末が予め登録された正規の利用者の情報端末であることの認証がされるため、認証された情報端末のみがローカルエリア用アドレスを取得し、その後に外部ネットワーク用アドレスを取得することが可能となり、外部ネットワークへの不正アクセスを防ぐことが可能となる。

本発明によれば、ＬＡＮ内の情報端末はＬＡＮ内の印刷装置などの他の装置と通信可能にしながら、外部ネットワークに接続された単数または複数のサービスプロバイダ網と通信することができる。

本発明のゲートウェイ装置は、内部ネットワークの利用者端末に対して、内部ネットワーク用のアドレスと外部ネットワーク用のアドレスを付与することを特徴とする。

本実施形態のゲートウェイ装置を説明する。図１は本実施形態のゲートウェイ装置を含む通信システムの一構成例を示すブロック図である。

図１に示すように、ゲートウェイ装置２０４は、複数の利用者端末と接続されている。また、複数のサービスプロバイダ網とアクセス網２０５を介して接続されている。図１には、複数の利用者端末として、利用者端末２０１、利用者端末２０２および利用者端末２０３の３つを示す。複数のサービスプロバイダ網として、サービスプロバイダ網２０６、サービスプロバイダ網２０７およびサービスプロバイダ網２０８の３つを示す。ここでいうサービスプロバイダ網２０６〜２０８としては、インターネットへの接続サービスを行うインターネットサービスプロバイダによるネットワーク、アプリケーションサービスプロバイダおよびコンテンツサービスプロバイダなどの事業者によるネットワーク、ならびに企業のイントラネットを含む。本実施形態では、サービスプロバイダ網毎に、ネットワークの運営者が異なるものとする。

なお、本実施形態では、利用者端末およびサービスプロバイダ網の数をそれぞれ３つとしているが、３つの場合に限らない。また、利用者端末およびサービスプロバイダ網のそれぞれの数は複数の場合に限らず、それぞれ１つでもよい。

利用者端末２０１〜２０３のそれぞれとゲートウェイ装置２０４は、イーサネット（登録商標）や無線ＬＡＮに代表される、常時通信を行うことが可能なネットワークで接続されている。以下では、ゲートウェイ装置２０４と利用者端末２０１〜２０３とを接続するネットワークを内部ネットワークと称し、ゲートウェイ装置２０４からアクセス網２０５側を外部ネットワークと称する。

次に、サービスプロバイダ網２０６〜２０８について説明する。

図１に示すようにサービスプロバイダ網２０６〜２０８のそれぞれには、サービスプロバイダ網を利用する端末の認証を行う認証サーバ２１６〜２１８のそれぞれが設けられている。認証サーバ２１６〜２１８は、利用者端末の認証を行う他、外部ネットワーク用のＩＰアドレスを利用者端末に割り当てる。以下に、認証サーバ２１６〜２１８の構成を説明する。なお、認証サーバ２１６〜２１８は同様な構成であるため、代表して認証サーバ２１６について説明する。また、以下では、外部ネットワーク用のＩＰアドレスをグローバルアドレスとする。

図２は認証サーバの一構成例を示すブロック図である。図２に示すように、認証サーバ２１６は、外部とデータを送受信する通信部２２３と、グローバルアドレスを格納するための記憶部２２１と、各部を制御する制御部２２２とを有する。

記憶部２２１には、複数のグローバルアドレスと利用者を認証するための情報とが予め格納されている。利用者を認証するための情報には、利用者の識別子およびパスワードが含まれる。以下では、利用者の識別子およびパスワードの情報を認証情報と称する。

制御部２２２は、プログラムにしたがって所定の処理を実行するＣＰＵ（Central Processing Unit）（不図示）と、プログラムを格納するためのメモリ（不図示）とを有する。制御部２２２は、サービスプロバイダを特定するためのプロバイダ識別子および認証情報、ならびにアドレスを要求する旨の情報を含む利用者認証要求信号をアクセス網２０５を介して受信すると、認証情報を読み出し、読み出した認証情報に一致する認証情報が記憶部２２１に登録されているか否かを調べる。そして、一致する認証情報が登録されていると、複数のグローバルアドレスのうち割り当てていないグローバルアドレスを任意に選んで、そのグローバルアドレスをゲートウェイ装置２０４に送信する。

なお、本実施形態では、認証サーバ２１６〜２１８のそれぞれがアドレスの割り当て機能を有することとしたが、それぞれのサービスプロバイダ網に別のサーバを設け、そのサーバにアドレスの割り当て機能を備えるようにしてもよい。また、図に示さないが、利用者に各種サービスを提供するためのＷｅｂサーバがサービスプロバイダ網に接続されていてもよい。さらに、サービスプロバイダ網がインターネットなどの他のネットワークに接続されていてもよい。

次に、アクセス網２０５について説明する。

ゲートウェイ装置２０４は、アクセス網２０５を運営する事業者が提供する任意の回線（ＡＤＳＬ（Asymmetric Digital Subscriber Line）、光ファイバ、および広域イーサネットなど）を介してアクセス網２０５と接続されている。アクセス網２０５を運営する事業者は、ゲートウェイ装置２０４から受信する各種情報をサービスプロバイダ網内の装置に転送し、サービスプロバイダ網の装置とのリンクを確立し、内部ネットワーク側の装置とサービスプロバイダ網内の装置とを接続するサービスを提供するものである。

アクセス網２０５内には、ゲートウェイ装置２０４から受信する認証要求信号を送信先となるサービスプロバイダ網を特定するための選別装置が設けられている。認証要求信号には宛先のサービスプロバイダ網を示すプロバイダ識別子の情報が含まれているため、選別装置は、その情報にしたがってサービスプロバイダ網２０６〜２０８から１つを特定し、特定したサービスプロバイダ網に認証要求信号を届ける。使用される回線がＡＤＳＬであればリモートアクセスサーバが選別装置に相当し、リモートアクセスサーバはゲートウェイ装置２０４から受信する認証要求信号の転送先をその宛先に対応したサービスプロバイダ網に振り分ける。

例えば、利用者の識別子を「ｕｓｅｒ＿ｉｄ」、パスワードを「ＱＷＥＲＴＹ」、サービスプロバイダ網２０６のプロバイダ識別子を「ＩＳＰ１」とすると、利用者端末からゲートウェイ装置２０４を介してアクセス網２０５に送信される利用者認証要求信号には、「ユーザＩＤ：ｕｓｅｒ＿ｉｄ＠ＩＳＰ１、パスワード：ＱＷＥＲＴＹ」の情報が含まれる。リモートアクセスサーバは、「ユーザＩＤ：ｕｓｅｒ＿ｉｄ＠ＩＳＰ１」からユーザＩＤのアットマーク（＠）以降のプロバイダ識別子「ＩＳＰ１」を読み取ることで、その認証要求信号の送信先をサービスプロバイダ網２０６に振り分けることが可能となる。

次に、ゲートウェイ装置２０４の構成を説明する。図３はゲートウェイ装置の一構成例を示すブロック図である。

図３に示すように、ゲートウェイ装置２０４は、ローカル側インタフェース３１３および外部ネットワーク側インタフェース３１４を含む通信部と、記憶部３０１と、制御部３０２とを有する。制御部３０２は、プログラムにしたがって所定の処理を実行するＣＰＵ（不図示）と、プログラムを格納するためのメモリ（不図示）とを有する。また、制御部３０２は、ローカル側アドレス割り当て部３１０、パケット振り分け部３１１、および外部ネットワーク側接続処理部３１２を有する。ローカル側アドレス割り当て部３１０、パケット振り分け部３１１、および外部ネットワーク側接続処理部３１２は、ＣＰＵがプログラムを実行することで、ゲートウェイ装置２０４内に仮想的に構成される。

記憶部３０１は、利用者端末２０１〜２０３に割り当てるための内部ネットワーク用のＩＰアドレスの情報が格納されている。以下では、内部ネットワーク用のＩＰアドレスをプライベートアドレスとする。また、記憶部３０１には、利用者端末２０１〜２０３毎に異なる端末識別子の情報が格納されている。この端末識別子を用いて利用者端末の認証を行う。さらに、利用者端末２０１〜２０３の各利用者端末がサービスプロバイダ網２０６〜２０８のそれぞれと通信するためのグローバルアドレスが記憶部３０１に格納される。

ローカル側アドレス割り当て部３１０は、ＤＨＣＰ（Dynamic Host Configuration Protocol）サーバと同様な機能を備えている。端末識別子およびアドレスを要求する旨の情報を含む端末認証要求信号を利用者端末から受信すると、端末認証要求信号に含まれる端末識別子が記憶部３０１に登録されているか否かを調べ、登録されているとその利用者端末が正規の利用者の端末であることを認証する。そして、記憶部３０１に格納されたプライベートアドレスの中から割り当てていないプライベートアドレスを任意に選び、認証した利用者端末に送信する。端末識別子とその利用者端末に割り当てたプライベートアドレスを組にして記憶部３０１に記録する。一方、内部ネットワークの装置に送信するためのパケットである内部通信パケットをパケット振り分け部３１１から受け取ると、そのパケットのヘッダに記述された宛先を読み出し、読み出した宛先にそのパケットを送信する。

パケット振り分け部３１１は、送信対象となるデータをパケットに分割した後、外部ネットワーク側に送信するためのパケットである外部通信パケットと内部通信パケットとに振り分ける。そして、内部通信パケットをローカル側アドレス割り当て部３１０に渡し、外部通信パケットを外部ネットワーク側接続処理部３１２に渡す。

外部ネットワーク側接続処理部３１２は、パケット振り分け部３１１から受け取る外部通信パケットをアクセス網２０５に送信し、アクセス網２０５から受信するパケットをパケット振り分け部３１１に渡す。また、利用者端末２０１〜２０３より受信する利用者認証要求信号をアクセス網２０５に送出し、アクセス網２０５を介して受信するグローバルアドレスを認証要求元の利用者端末に送信する。さらに、グローバルアドレスを端末識別子と組にして記憶部３０１に格納する。

端末識別子をＭＡＣアドレスとしたときの、プライベートアドレスの例と、ＭＡＣアドレスおよびプライベートアドレスの組の例を以下に示す。
プライベートアドレスの範囲：１９２．１６８．０．２〜１９２．１６８．０．１０
ＭＡＣアドレスにプライベートアドレスを割り当てたときの組：
（００−Ｅ０−１２−３４−５６−７８，１９２．１６８．０．２）、
（００−Ａ０−９８−７６−５４−３２，１９２．１６８．０．３）
ここでは、ＭＡＣアドレスおよびプライベートアドレスの組を２組挙げている。

次に、利用者端末２０１〜２０３の構成を説明する。なお、利用者端末２０１〜２０３は同様な構成なため、これらの端末を代表して利用者端末２０１について説明する。

図４は利用者端末の一構成例を示すブロック図である。図４に示すように、利用者端末２０１は、内部ネットワークを介してデータを送受信する端末通信部６０１と、割り当てられたアドレスを格納するための端末記憶部６０２と、各部を制御する端末制御部６０３と、利用者が指示を入力するための操作部６０４とを有する。端末制御部６０３には、プログラムにしたがって所定の処理を実行するＣＰＵ（不図示）と、プログラムを格納するためのメモリ（不図示）とが設けられている。

端末制御部６０３は、ゲートウェイ装置２０４からプライベートアドレスおよびグローバルアドレスなどの自端末用のアドレスを受信すると、それらのアドレスを端末記憶部６０２に格納する。サービスプロバイダ網２０６との通信のためのグローバルアドレスが端末記憶部６０２に格納され、サービスプロバイダ網２０６のＷｅｂサーバ（不図示）にＷｅｂページを要求するための指示が利用者により操作部６０４を介して入力されると、端末制御部６０３は、ページを要求する旨の情報を含む通信電文に発アドレスとしてグローバルアドレスを添付し、通信電文をサービスプロバイダ網２０６のＷｅｂサーバ宛に端末通信部６０１を介して送信する。

一方、端末制御部６０３は、利用者端末２０２に所定のファイルを送信する旨の指示が利用者により操作部６０４を介して入力されると、そのファイルを含むデータであるファイルデータに発アドレスとしてプライベートアドレスを添付し、ファイルデータを利用者端末２０２宛に端末通信部６０１を介して送信する。

なお、利用者端末２０１からサービスプロバイダ網に送信される通信電文に含まれる情報は、ページ要求の情報に限られない。また、利用者端末２０１から内部ネットワーク内の他の装置に送信されるデータはファイルデータに限られない。

次に、図１に示した通信システムの動作を説明する。ここでは、利用者端末２０１が内部ネットワーク内の他の装置と通信可能とし、サービスプロバイダ網２０６、２０７のそれぞれと通信可能になるまでの手順を説明する。また、端末認証要求信号を第１の認証要求信号と称し、サービスプロバイダ網２０６への利用者認証要求信号を第２の認証要求信号と称し、サービスプロバイダ網２０７への利用者認証要求信号を第３の認証要求信号と称する。また、この図では、認証サーバ２１６、２１７のそれぞれをサービスプロバイダ網２０６、２０７でそれぞれ示す。

図５は図１に示した通信システムの動作手順を示すフローチャートである。

利用者端末２０１の利用者が操作部６０４を操作してゲートウェイ装置２０４への認証を要求する旨の指示を入力すると、利用者端末２０１は、第１の認証要求信号をゲートウェイ装置２０４に送信する（ステップ１０１）。ゲートウェイ装置２０４は、利用者端末２０１から第１の認証要求信号を受信し、利用者端末２０１を認証すると、利用者端末２０１のプライベートアドレスとして第１のアドレスに決定し（ステップ１０２）、第１のアドレスを利用者端末２０１に送信する（ステップ１０３）。

利用者端末２０１は、ゲートウェイ装置２０４から第１のアドレスを受信すると、ゲートウェイ装置２０４および利用者端末２０２、２０３との通信に用いるアドレスとして第１のアドレスを設定して端末記憶部６０２に格納する（ステップ１０４）。

続いて、サービスプロバイダ網２０６と通信可能にするために利用者が操作部６０４を操作してサービスプロバイダ網２０６への認証を要求する旨の指示を入力すると、利用者端末２０１は、第２の認証要求信号をゲートウェイ装置２０４に送信する（ステップ１０５）。第２の認証要求信号には、サービスプロバイダ網２０６を示すプロバイダ識別子と、サービスプロバイダ網２０６との接続に必要な情報となる認証情報とが含まれる。

ゲートウェイ装置２０４は、受け取った第２の認証要求信号に含まれる認証情報と同一の認証情報で既にサービスプロバイダ網２０６と接続されているか否かを判定する（ステップ１０６）。判定の結果、接続されていなければ、サービスプロバイダ網２０６に接続を要求するために第２の認証要求信号をアクセス網２０５に転送する。アクセス網２０５の選別装置（不図示）は、受信した第２の認証要求信号のプロバイダ識別子を読み取って、プロバイダ識別子が示すサービスプロバイダ網２０６の認証サーバ２１６に第２の認証要求信号を転送する（ステップ１０７）。

認証サーバ２１６は、アクセス網２０５から第２の認証要求信号を受信し、利用者を認証すると、ゲートウェイ装置２０４との通信のためのグローバルアドレスとして第２のアドレスを決定する（ステップ１０８）。そして、アクセス網２０５を介してゲートウェイ装置２０４に第２のアドレスを通知するとともに（ステップ１０９）、ゲートウェイ装置２０４とのリンクを確立する。ゲートウェイ装置２０４はサービスプロバイダ網２０６の認証サーバ２１６から第２のアドレスを受け取ると、第２のアドレスを記憶部３０１に格納し、第２のアドレスを利用者端末２０１に通知する（ステップ１１０）。

利用者端末２０１は、ゲートウェイ装置２０４から第２のアドレスを受け取ると、通信の際利用するための物理インタフェースに第２のアドレスをエイリアスとして設定するとともに、第２のアドレスを端末記憶部６０２に格納する（ステップ１１１）。このとき、第１のアドレスを第２のアドレスに書き換えるのではなく、ゲートウェイ装置２０４と接続する物理インタフェースに複数のアドレスを設定することになる。

続いて、利用者がサービスプロバイダ網２０６内のＷｅｂサーバ（不図示）が提供するページを閲覧するために、操作部６０４を操作してページを要求する旨の指示を入力すると、利用者端末２０１は、第２のアドレスを発アドレスに設定し、ページを要求する旨の情報を含む通信電文をゲートウェイ装置２０４に送信する。ゲートウェイ装置２０４は、利用者端末２０１から通信電文を受信すると、ステップ１０８で確立されたリンクを通してサービスプロバイダ網２０６のＷｅｂサーバに通信電文を送信する（ステップ１１２）。

一方、利用者端末２０１とサービスプロバイダ網２０６との通信を可能にした状態のまま、サービスプロバイダ網２０７と通信可能にするために、利用者が操作部６０４を操作してサービスプロバイダ網２０７への認証を要求する旨の指示を入力すると、利用者端末２０１は、サービスプロバイダ網２０７に接続するための第３の認証要求信号をゲートウェイ装置２０４に送信する（ステップ１１３）。第３の認証要求信号には、サービスプロバイダ網２０７を示すプロバイダ識別子と、サービスプロバイダ網２０７との接続に必要な情報となる認証情報とが含まれる。

ゲートウェイ装置２０４は、受け取った第３の認証要求信号に含まれる認証情報と同一の認証情報で既にサービスプロバイダ網２０７と接続されているか否かを判定する（ステップ１１４）。判定の結果、接続されていなければ、サービスプロバイダ網２０７に接続を要求するために第３の認証要求信号をアクセス網２０５に転送する。アクセス網２０５の選別装置（不図示）は、受信した第３の認証要求信号のプロバイダ識別子を読み取って、プロバイダ識別子が示すサービスプロバイダ網２０７の認証サーバ２１７に第３の認証要求信号を転送する（ステップ１１５）。

認証サーバ２１７は、アクセス網２０５から第３の認証要求信号を受信し、利用者を認証すると、ゲートウェイ装置２０４との通信のためのグローバルアドレスとして第３のアドレスを決定する（ステップ１１６）。そして、アクセス網２０５を介してゲートウェイ装置２０４に第３のアドレスを通知するとともに（ステップ１１７）、ゲートウェイ装置２０４とのリンクを確立する。ゲートウェイ装置２０４はサービスプロバイダ網２０７の認証サーバ２１７から第３のアドレスを受け取ると、第３のアドレスを記憶部３０１に格納し、第３のアドレスを利用者端末２０１に通知する（ステップ１１８）。

利用者端末２０１は、ゲートウェイ装置２０４から第３のアドレスを受け取ると、物理インタフェースに第１のアドレスおよび第２のアドレスを保持したまま第３のアドレスをエイリアスとして設定するとともに、第３のアドレスを端末記憶部６０２に格納する（ステップ１１９）。

続いて、利用者がサービスプロバイダ網２０７内のＷｅｂサーバ（不図示）が提供するページを閲覧するために、操作部６０４を操作してページを要求する旨の指示を入力すると、利用者端末２０１は、第３のアドレスを発アドレスに設定し、ページを要求する旨の情報を含む通信電文をゲートウェイ装置２０４に送信する。ゲートウェイ装置２０４は、利用者端末２０１から通信電文を受信すると、ステップ１１６で確立されたリンクを通してサービスプロバイダ網２０７のＷｅｂサーバに通信電文を送信する（ステップ１２０）。

さらに、図５には示さないが、利用者端末２０２にデータを送るために利用者が操作部６０４を操作してデータを利用者端末２０２に送る旨の指示を入力すると、利用者端末２０１は、発アドレスに第１のアドレスを設定してデータをゲートウェイ装置２０４に送る。ゲートウェイ装置２０４は、利用者端末２０１からデータを受信すると、パケットのヘッダに付加された発アドレスを読み取り、内部ネットワーク宛のデータであることを認識すると、ヘッダに付加された送信先のアドレスである着アドレスの利用者端末２０２宛に送信する。

本実施形態のゲートウェイ装置は、内部ネットワーク内の利用者端末に、内部ネットワーク用アドレスと外部ネットワーク用アドレスの２つのアドレスが付与される。利用者端末は、他の装置にデータを送信する際、データの送信先に対応してデータに付加する発アドレスを使い分けることで、外部ネットワークに接続された装置との通信と、内部ネットワーク内の装置との通信とを同時に行うことが可能となる。

また、本実施形態のゲートウェイ装置は、利用者端末から受け取るデータについて発アドレスの種類に対応して送信先を振り分けている。これにより、内部ネットワーク内の装置および外部ネットワークに接続された装置のそれぞれは、データを利用者端末に返送する際、返送するデータの着アドレスとして利用者端末から受信したデータに付加された発アドレスを設定すれば、送信元の利用者端末にデータを送ることが可能となる。

さらに、プライベートアドレスを付与する先となる利用者端末が予め登録された正規の利用者端末であることの認証がされるため、認証された利用者端末のみがプライベートアドレスを取得し、その後に外部ネットワーク用アドレスを取得することが可能となり、外部ネットワークへの不正アクセスを防ぐことができる。

本発明のゲートウェイ装置は、アクセスネット網を介して複数のサービスプロバイダ網との接続が可能な構成において、ＬＡＮ内の複数の利用者端末がＬＡＮ内の印刷装置などの共用装置との通信を可能にしながら、それぞれの利用者端末は外部ネットワークに接続された単数または複数のサービスプロバイダ網と通信することが可能である。従来のインターネットカフェなど単にインターネットへの接続のみを許容する形態と比較して、インターネットプロトコルを用いることでその利便性を維持しながら、利用者端末は、その利用者の勤める企業のイントラネット網など秘匿性を必要とするネットワークにも、アドレスを付与する際に認証を行うことでより安全に通信接続することが可能となる。

なお、本発明の通信制御方法をコンピュータに実行させるためのプログラムに適用してもよい。また、そのプログラムを記憶媒体に格納してもよい。この場合、記憶媒体からプログラムをゲートウェイ装置、ルータおよびコンピュータなどの情報処理装置にインストールすることが可能となる。

本実施例では、上述の実施形態において、ゲートウェイ装置２０４に対する認証要求をＤＨＣＰによるアドレス要求とする。その際の端末識別子をＭＡＣアドレスとする。アクセス網２０５ならびにサービスプロバイダ網２０６の認証サーバ２１６およびサービスプロバイダ網２０７の認証サーバ２１７は、認証方法にＰＰＰｏＥを用いるものとする。

本実施例の通信システムの構成を説明する。

図６は本実施例の通信システムの一構成例を示すブロック図である。図１に示した利用者端末２０１〜２０３のそれぞれに対応して、利用者端末４０１〜４０３のそれぞれが設けられている。また、ゲートウェイ装置２０４に対応してゲートウェイ装置４０６が設けられている。本実施例では、図６に示すように、利用者端末４０１〜４０３は無線ＬＡＮを含む回線を介してゲートウェイ装置４０６と接続される。そのため、利用者端末４０１〜４０３と無線通信を可能にするための無線ＬＡＮアクセスポイント４０４が内部ネットワークに設けられている。内部ネットワークには、印刷装置４０５が接続されている。

また、図１に示したアクセス網２０５に対応してアクセスネットワーク４０７が設けられている。さらに、サービスプロバイダ網２０６、２０７、２０８のそれぞれに対応してサービスプロバイダ網４０８、４０９、４１０のそれぞれがネットワーク４０７に接続されている。

なお、無線ＬＡＮアクセスポイント４０４および印刷装置４０５の構成については従来と同様であるため、また、その他の構成については図１に示した構成と同様であるため、その詳細な説明を省略する。

次に、本実施例の通信システムの動作手順を説明する。図７は本実施例の通信システムの動作手順を示すフローチャートである。

利用者端末４０１の利用者が操作部を操作してゲートウェイ装置４０６への認証を要求する旨の指示を入力すると、利用者端末４０１は、ＭＡＣアドレスを含む第１の認証要求信号をゲートウェイ装置４０６に送信する（ステップ７０１）。ゲートウェイ装置４０６は、利用者端末４０１から第１の認証要求信号を受信し、利用者端末４０１を認証すると、利用者端末４０１のプライベートアドレスとして第１のアドレス「１９２．１６８．０．１」に決定し（ステップ７０２）、第１のアドレスを利用者端末４０１に送信する（ステップ７０３）。

利用者端末４０１は、ゲートウェイ装置４０６から第１のアドレスを受信すると、ゲートウェイ装置４０６および利用者端末４０２、４０３との通信に用いるアドレスとして第１のアドレスを設定して端末記憶部に格納する（ステップ７０４）。

続いて、サービスプロバイダ網４０８と通信可能にするために利用者が操作部を操作してサービスプロバイダ網４０８への認証を要求する旨の指示を入力すると、利用者端末４０１は、第２の認証要求信号をゲートウェイ装置４０６に送信する（ステップ７０５）。第２の認証要求信号には、サービスプロバイダ網４０８を示すプロバイダ識別子「ＩＳＰ１」と、サービスプロバイダ網４０８との接続に必要な情報となる認証情報「ｕｓｅｒ＿ｉｄ１、パスワード」とが含まれる。

ゲートウェイ装置４０６は、受け取った第２の認証要求信号に含まれる認証情報と同一の認証情報で既にサービスプロバイダ網２０６と接続されているか否かを判定する（ステップ７０６）。判定の結果、接続されていなければ、サービスプロバイダ網４０８に接続を要求するために第２の認証要求信号をアクセスネットワーク４０７に転送する。アクセスネットワーク４０７の選別装置（不図示）は、受信した第２の認証要求信号のプロバイダ識別子「ＩＳＰ１」を読み取って、プロバイダ識別子が示すサービスプロバイダ網４０８の認証サーバ（不図示）に第２の認証要求信号を転送する（ステップ７０７）。

サービスプロバイダ網４０８の認証サーバは、アクセスネットワーク４０７から第２の認証要求信号を受信し、利用者を認証すると、ゲートウェイ装置４０６との通信のためのグローバルアドレスとして第２のアドレス「Ｘ．０．０．１００」を決定する（ステップ７０８）。そして、アクセスネットワーク４０７を介してゲートウェイ装置４０６に第２のアドレスを通知するとともに（ステップ７０９）、ゲートウェイ装置４０６とのリンクを確立する。ゲートウェイ装置４０６はサービスプロバイダ網４０８の認証サーバから第２のアドレスを受け取ると、第２のアドレスを記憶部に格納し、第２のアドレスを利用者端末４０１に通知する（ステップ７１０）。

利用者端末４０１は、ゲートウェイ装置４０６から第２のアドレスを受け取ると、物理インタフェースに第２のアドレスをエイリアスとして設定するとともに、第２のアドレスを端末記憶部に格納する（ステップ７１１）。このとき、第１のアドレスを第２のアドレスに書き換えるのではなく、ゲートウェイ装置４０６と接続する物理インタフェースに複数のアドレスを設定することになる。

続いて、利用者がサービスプロバイダ網４０８内のＷｅｂサーバ（不図示）が提供するページを閲覧するために、操作部を操作してページを要求する旨の指示を入力すると、利用者端末４０１は、第２のアドレスを発アドレスに設定し、ページを要求する旨の情報を含む通信電文をゲートウェイ装置４０６に送信する。ゲートウェイ装置４０６は、利用者端末４０１から通信電文を受信すると、ステップ７０８で確立されたリンクを通してサービスプロバイダ網４０８のＷｅｂサーバに通信電文を送信する（ステップ７１２）。

一方、利用者端末４０１とサービスプロバイダ網４０８との通信を可能にした状態のまま、サービスプロバイダ網４０９と通信可能にするために、利用者が操作部を操作してサービスプロバイダ網４０９への認証を要求する旨の指示を入力すると、利用者端末４０１は、サービスプロバイダ網４０９に接続するための第３の認証要求信号をゲートウェイ装置４０６に送信する（ステップ７１３）。第３の認証要求信号には、サービスプロバイダ網２０７を示すプロバイダ識別子「ＡＳＰ２」と、サービスプロバイダ網２０７との接続に必要な情報となる認証情報「ｕｓｅｒ＿ｉｄ２、パスワード」とが含まれる。

ゲートウェイ装置４０６は、受け取った第３の認証要求信号に含まれる認証情報と同一の認証情報で既にサービスプロバイダ網４０９と接続されているか否かを判定する（ステップ７１４）。判定の結果、接続されていなければ、サービスプロバイダ網４０９に接続を要求するために第３の認証要求信号をアクセスネットワーク４０７に転送する。アクセスネットワーク４０７の選別装置（不図示）は、受信した第３の認証要求信号のプロバイダ識別子「ＡＳＰ２」を読み取って、プロバイダ識別子が示すサービスプロバイダ網４０９の認証サーバ（不図示）に第３の認証要求信号を転送する（ステップ７１５）。

サービスプロバイダ網４０９の認証サーバは、アクセスネットワーク４０７から第３の認証要求信号を受信し、利用者を認証すると、ゲートウェイ装置４０６との通信のためのグローバルアドレスとして第３のアドレス「Ｙ．０．０．２００」を決定する（ステップ７１６）。そして、アクセスネットワーク４０７を介してゲートウェイ装置４０６に第３のアドレスを通知するとともに（ステップ７１７）、ゲートウェイ装置４０６とのリンクを確立する。ゲートウェイ装置４０６はサービスプロバイダ網２０７の認証サーバ２１７から第３のアドレスを受け取ると、第３のアドレスを記憶部に格納し、第３のアドレスを利用者端末４０１に通知する（ステップ７１８）。

利用者端末４０１は、ゲートウェイ装置４０６から第３のアドレスを受け取ると、物理インタフェースに第１のアドレスおよび第２のアドレスを保持したまま第３のアドレスをエイリアスとして設定するとともに、第３のアドレスを端末記憶部に格納する（ステップ７１９）。

続いて、利用者がサービスプロバイダ網４０９内のＷｅｂサーバ（不図示）が提供するページを閲覧するために、操作部を操作してページを要求する旨の指示を入力すると、利用者端末４０１は、第３のアドレスを発アドレスに設定し、ページを要求する旨の情報を含む通信電文をゲートウェイ装置４０６に送信する。ゲートウェイ装置４０６は、利用者端末４０１から通信電文を受信すると、ステップ７１６で確立されたリンクを通してサービスプロバイダ網４０９のＷｅｂサーバに通信電文を送信する（ステップ１２０）。

本実施例の通信システムは、利用者端末４０１〜４０３は内部ネットワーク上の無線アクセスポイント４０５を介してゲートウェイ装置４０６および印刷装置４０５と接続され、ゲートウェイ装置４０６はアクセスネットワーク４０７を介してサービスプロバイダ網４０８〜４１０と接続されている。上述したようにして、利用者端末４０１は、サービスプロバイダ網４０８、４０９と同時に通信することが可能となる。

また、利用者端末４０２は、利用者端末４０１が行った方法を同様に実行し、サービスプロバイダ網４０９の認証サーバからグローバルアドレス「Ｙ．０．０．２０１」を取得することで、サービスプロバイダ網４０９と通信することが可能となる。また、利用者端末４０３は、利用者端末４０１が行った方法を同様に実行し、サービスプロバイダ網４１０の認証サーバ（不図示）からグローバルアドレス「Ｚ．０．０．１０」を取得することで、サービスプロバイダ網４１０と通信することが可能となる。

また、利用者端末４０１〜４０３は、サービスプロバイダ網４０８〜４１０の少なくともいずれかと接続したままの状態で、発アドレスにそれぞれのプライベートアドレスを設定し、着アドレスに「１９２．１６８．０．１２７」を設定したデータを印刷装置４０５宛に送ることで、印刷装置４０５で文書を印刷させることが可能となる。

なお、図６に示した構成は、あくまで一実施例であり、利用者端末４０１〜４０３とゲートウェイ装置４０５との接続に無線ＬＡＮを用いずに有線であってもよい。

また、接続される装置を印刷装置４０５としたが、印刷装置に限らずスキャナーおよびファイルサーバなど他の装置であってもよく、装置を限定するものではない。

また、ゲートウェイ装置４０６は、利用者端末間の通信を従来技術のフィルタリング機能により許可したり、禁止したりすることも可能である。利用者端末間の通信をフィルタリング機能により許可する形態としては、ＬＡＮを家庭および小規模事業者内ネットワークに応用することが考えられる。一方、利用者端末間の通信をフィルタリング機能により禁止した形態としては、ＬＡＮを屋外において公衆無線ＬＡＮアクセスポイントのネットワークとして応用することが考えられる。この場合、サービスプロバイダ網が企業内のイントラネットであれば、無線ＬＡＮが利用可能なインターネットカフェなどの社外の場所から、利用者は会社内のイントラネットに端末を接続させることも可能となる。利用者は、端末を会社内のイントラネットと接続させる度に、接続のための設定をわざわざ自分で行う必要がない。

本実施形態のゲートウェイ装置を含む通信システムの一構成例を示すブロック図である。 図１に示す認証サーバの一構成例を示すブロック図である。 本実施形態のゲートウェイ装置の一構成例を示すブロック図である。 図１に示す利用者端末の一構成例を示すブロック図である。 図１に示した通信システムの動作手順を示すフローチャートである。 実施例１の通信システムの一構成例を示すブロック図である。 実施例１の通信システムの動作手順を示すフローチャートである。 従来の通信制御方法を説明するための図である。 従来の通信制御方法の問題点を説明するための図である。 従来の他の通信制御方法の問題点を説明するための図である。

符号の説明

２０４ ゲートウェイ装置
３０１ 記憶部
３０２ 制御部

Claims (10)

1. ローカルエリアネットワークと外部ネットワークとの通信を媒介するゲートウェイ装置であって、
   前記ローカルエリアネットワークで利用されるアドレスであるローカルエリア用アドレスが格納された記憶部と、
   アドレスを要求する旨の情報を含む端末認証要求信号を前記ローカルエリアネットワークに接続された情報端末から受信すると、前記ローカルエリア用アドレスを前記記憶部から読み出して該情報端末に送信し、該ローカルエリア用アドレスが発アドレスに設定され、前記外部ネットワークの認証サーバにアドレスを要求する旨の情報を含む利用者認証要求信号を前記情報端末から受信すると、該利用者認証要求信号を前記認証サーバに送信し、該認証サーバから受信する前記外部用ネットワーク用のアドレスである外部用アドレスを前記情報端末に送信する制御部と、
   を有するゲートウェイ装置。
2. 前記制御部は、
   前記ローカルエリア用アドレスを発アドレスとしたデータを前記情報端末から受信すると、該データを前記ローカルエリアネットワーク内に送信し、前記外部用アドレスを発アドレスとしたデータを該情報端末から受信すると、該データを前記外部ネットワークへ送信する、請求項１記載のゲートウェイ装置。
3. 前記記憶部には前記情報端末毎に異なる端末識別子の情報が格納され、
   前記端末認証要求信号には前記端末識別子の情報が含まれ、
   前記制御部は、
   前記端末認証要求信号を受信すると、該端末認証要求信号に含まれる端末識別子と一致する端末識別子が前記記憶部にあるか否かを調べ、一致する端末識別子があると、該端末識別子で特定される情報端末に前記ローカルエリア用アドレスを送信する、請求項１または２記載のゲートウェイ装置。
4. ローカルエリアネットワークと外部ネットワークとの通信を媒介するゲートウェイ装置による通信制御方法であって、
   前記ローカルエリアネットワークで利用されるアドレスであるローカルエリア用アドレスを記憶部に格納し、
   アドレスを要求する旨の情報を含む端末認証要求信号を前記ローカルエリアネットワークに接続された情報端末から受信すると、前記ローカルエリア用アドレスを前記記憶部から読み出して該情報端末に送信し、
   前記ローカルエリア用アドレスが発アドレスに設定され、前記外部ネットワークの認証サーバにアドレスを要求する旨の情報を含む利用者認証要求信号を前記情報端末から受信すると、該利用者認証要求信号を前記認証サーバに送信し、
   前記認証サーバから前記外部用ネットワーク用のアドレスである外部用アドレスを受信すると、該外部用アドレスを前記情報端末に送信する、通信制御方法。
5. 前記ローカルエリア用アドレスを発アドレスとしたデータを前記情報端末から受信すると、該データを前記ローカルエリアネットワーク内に送信し、
   前記外部用アドレスを発アドレスとしたデータを前記情報端末から受信すると、該データを前記外部ネットワークへ送信する、請求項４記載の通信制御方法。
6. 前記記憶部に前記情報端末毎に異なる端末識別子の情報をさらに格納し、
   前記端末認証要求信号は前記端末識別子の情報を含み、
   前記端末認証要求信号を受信すると、該端末認証要求信号に含まれる端末識別子と一致する端末識別子が前記記憶部にあるか否かを調べ、一致する端末識別子があると、該端末識別子で特定される情報端末に前記ローカルエリア用アドレスを送信する、請求項４または５記載の通信制御方法。
7. ローカルエリアネットワークと外部ネットワークとの通信を媒介するコンピュータに実行させるためのプログラムであって、
   前記ローカルエリアネットワークで利用されるアドレスであるローカルエリア用アドレスを記憶部に格納し、
   アドレスを要求する旨の情報を含む端末認証要求信号を前記ローカルエリアネットワークに接続された情報端末から受信すると、前記ローカルエリア用アドレスを前記記憶部から読み出して該情報端末に送信し、
   前記ローカルエリア用アドレスが発アドレスに設定され、前記外部ネットワークの認証サーバにアドレスを要求する旨の情報を含む利用者認証要求信号を前記情報端末から受信すると、該利用者認証要求信号を前記認証サーバに送信し、
   前記認証サーバから前記外部用ネットワーク用のアドレスである外部用アドレスを受信すると、該外部用アドレスを前記情報端末に送信する処理を前記コンピュータに実行させるためのプログラム。
8. 前記ローカルエリア用アドレスを発アドレスとしたデータを前記情報端末から受信すると、該データを前記ローカルエリアネットワーク内に送信し、
   前記外部用アドレスを発アドレスとしたデータを前記情報端末から受信すると、該データを前記外部ネットワークへ送信する処理をさらに有する請求項７記載のプログラム。
9. 前記記憶部に前記情報端末毎に異なる端末識別子の情報をさらに格納し、
   前記端末認証要求信号は前記端末識別子の情報を含み、
   前記端末認証要求信号を受信すると、該端末認証要求信号に含まれる端末識別子と一致する端末識別子が前記記憶部にあるか否かを調べ、一致する端末識別子があると、該端末識別子で特定される情報端末に前記ローカルエリア用アドレスを送信する処理をさらに有する請求項７または８記載のプログラム。
10. 請求項７から９のいずれか１項記載のプログラムを格納した記憶媒体。

Images