JP2008078823A - ネットワーク機器、ポート開閉制御方法およびポート開閉制御プログラム - Google Patents

Abstract

【課題】セキュリティを確保しつつ、外部端末から内部端末への接続を容易とすることが可能なネットワーク機器、ポート開閉制御方法およびポート開閉制御プログラムを提供することを目的とする。
【解決手段】内部ネットワークと外部ネットワークとの間に接続されており、ポートフィルタリング機能を有するネットワーク機器であって、外部端末から端末情報取得要求があると、外部端末の認証を行う認証機能実行部６２と、内部端末の端末名称及びポート番号を端末情報として管理している端末情報管理部６６と、認証が成功すると端末情報に基づく端末名称のリストを外部端末に送信すると共に、外部端末から端末名称を指定したポートのオープン要求を受信すると、指定された端末名称に対応するポートを開き、そのポート番号を外部端末に送信するＷｅｂサーバ機能実行部６１とを有することにより上記課題を解決する。
【選択図】図３

Description

本発明は、ネットワーク機器、ポート開閉制御方法およびポート開閉制御プログラムに係り、特にポートフィルタリング機能を有するネットワーク機器、そのネットワーク機器で実行されるポート開閉制御方法およびポート開閉制御プログラムに関する。

例えばインターネット等のグローバルネットワーク（外部ネットワーク）に接続された機器からユーザのプライベートネットワーク（内部ネットワーク）に不用意に侵入されることを防ぐため、グローバルネットワークとプライベートネットワークの境界点では従来からファイアウォールやＮＡＴ（Network Address Translation）等のネットワーク機器が使用されている。

これらのネットワーク機器では、グローバルネットワーク側に接続された端末（外部端末）と、プライベートネットワーク側に接続された端末（内部端末）とを相互接続するとき、ポートを利用してセキュリティを確保している。

特許文献１には、着信メッセージを１つのポートから他のポートに転送することで、ファイアウォールを越えた通信を可能とする内容が記載されている。特許文献２には、アプリケーション毎に任意のポートを登録し、そのポートを動的にオープンする内容が記載されている。
特開２００５−１２７７５号公報 特開２００５−９２４５６号公報

しかしながら、上記のようなネットワーク機器は、セキュリティ上、不要なポートを閉じておき、必要に応じてポートをオープンすることが望ましく、この実現方法が課題となっていた。

例えば特許文献１では、外部クライアントが、内部ネットワークに接続されている内部サーバ（Ｗｅｂサーバ）と通信するようになっている。つまり、特許文献１では、この通信を行う為にファイアウォールのポートを予め開けておく必要があり、ファイアウォールのポートを必要に応じてオープンすることはできなかった。

また、特許文献１では、外部クライアントに通知するポート番号（外部クライアントが送信宛先とするポート番号）にランダム性が無く、また認証された外部クライアント以外からのパケットデータを受信しないといった仕組みも無いため、悪意のある外部クライアントに一旦このポート番号が知れてしまうと、ＤｏＳ（Denial of Service attack）攻撃等の対象になりやすいといった問題があった。

特許文献１は、トランスポートとしてＴＣＰを使用することが前提となっている。この場合、データはＴＣＰコネクション上で送受信される。しかし、ＵＤＰの場合には端末間のコネクションが無いため、ＴＣＰの場合に比べてマルチキャストパケット等、意図しない端末からのデータを受信し易いといった問題があった。

ポートの開閉制御を行う他の方法としては、ＵＰｎＰ（Universal Plug and Play）規格として標準化されたルータのポートの開閉制御（Port Mapping）がある。この方法はプライベートネットワーク側に接続されたＵＰｎＰクライアント端末がルータに対してポートの開閉制御を行うことが可能となっている。

しかし、この方法は、プライベートネットワーク側に接続された端末からグローバルネットワーク側に接続された端末へ発呼接続する場合に、必要な任意のポートをＵＰｎＰクライアント端末から開閉制御を行うことができるが、グローバルネットワーク側に接続された端末からルータの任意のポートを開閉制御することができない。

従って、グローバルネットワーク側に接続された端末からプライベートネットワーク側に接続された端末へ、いつでも接続できるようにするため、ルータは接続用のポートを常にオープンしておく必要があり、セキュリティ面で問題になる場合があった。

本発明は、上記の点に鑑みなされたもので、セキュリティを確保しつつ、外部端末から内部端末への接続を容易とすることが可能なネットワーク機器、ポート開閉制御方法およびポート開閉制御プログラムを提供することを目的とする。

上記課題を解決するため、本発明は、内部ネットワークと外部ネットワークとの間に接続されており、ポートフィルタリング機能を有するネットワーク機器であって、外部ネットワーク側に接続されている外部端末から端末情報取得要求があると、前記外部端末の認証を行う認証手段と、内部ネットワーク側に接続されている内部端末の端末名称及びポート番号を端末情報として管理している端末情報管理手段と、前記認証が成功すると前記端末情報に基づく端末名称のリストを外部端末に送信する端末名称リスト送信手段と、前記外部端末から前記端末名称を指定したポートのオープン要求を受信すると前記端末情報に基づき前記指定された端末名称に対応するポートを開くポート開閉制御手段と、そのポート番号を外部端末に送信するポート番号送信手段とを有することを特徴とする。

また、上記課題を解決するため、本発明は、内部ネットワークと外部ネットワークとの間に接続されており、ポートフィルタリング機能を有するネットワーク機器であって、外部ネットワーク側に接続されている外部端末から端末情報取得要求があると、前記外部端末の認証を行う認証手段と、内部ネットワーク側に接続されている内部端末の端末名称を端末情報として管理している端末情報管理部と、前記認証が成功すると前記端末情報に基づく端末名称のリストを外部端末に送信する端末名称リスト送信手段と、前記外部端末から前記端末名称およびポート番号を指定したポートのオープン要求を受信すると、前記指定されたポート番号に対応するポートを開くポート開閉制御手段とを有することを特徴とする。

なお、本発明の構成要素、表現または構成要素の任意の組合せを、方法、装置、システム、コンピュータプログラム、記録媒体、データ構造などに適用したものも本発明の態様として有効である。

本発明によれば、セキュリティを確保しつつ、外部端末から内部端末への接続を容易とすることが可能なネットワーク機器、ポート開閉制御方法およびポート開閉制御プログラムを提供可能である。

次に、本発明を実施するための最良の形態を、以下の実施例に基づき図面を参照しつつ説明していく。以下の実施例は、アドレス変換（ＮＡＴ）機能を有するネットワーク機器を介して、プライベートネットワーク側に接続された端末とグローバルネットワーク側に接続された端末とを相互接続するものである。

以下の実施例では、プライベートネットワーク側に接続された端末とグローバルネットワーク側に接続された端末とを相互接続するとき以外、ネットワーク機器のポートを開かないようにすると共に、グローバルネットワーク側に接続された端末からポートのオープン要求を認証後に行えるようにすることで、セキュリティを確保しつつ、外部端末から内部端末への接続を容易としたものである。

本実施例では、グローバルネットワーク側に接続されたＩＰ電話からＮＡＴ機能を持ったブロードバンドルータを介して、プライベートネットワーク側にあるＩＰ電話に接続して通話を行い、又はグローバルネットワーク側に接続されたＩＴＵ−Ｔ勧告Ｔ．３８に準拠したファクシミリ端末（IP-FAX）から同ブロードバンドルータを介してプライベートネットワークにあるファクシミリ端末に接続してＦＡＸ通信を行う例について説明する。

図１は本発明による通信システムの一実施例のネットワーク構成図である。図１の通信システムは、グローバルネットワーク１に接続されたＩＰ電話１１，ファクシミリ端末１２及びパーソナルコンピュータ（ＰＣ）１３と、プライベートネットワーク２に接続されたブロードバンドルータ２０，ＩＰ電話２１，ファクシミリ端末２２及びＰＣ２３とを含む構成である。

グローバルネットワーク１は例えばＩＰ電話サービスを提供している通信事業者のネットワークであり、ＩＰ電話１１を含む多数のＩＰ電話，ファクシミリ端末１２を含む多数のファクシミリ端末，ＰＣ１３を含む多数のＰＣ等の端末が接続されている。図１では、これらの端末の代表として、ＩＰ電話１１，ファクシミリ端末１２，ＰＣ１３を図示している。

プライベートネットワーク２は、ブロードバンドルータ２０，ＩＰ電話２１，ファクシミリ端末２２及びＰＣ２３から構成されるネットワークドメインである。ブロードバンドルータ２０はグローバルネットワーク１とプライベートネットワーク２に接続し、後述する本発明の動作により、グローバルネットワーク１に接続された端末とプライベートネットワーク２に接続された端末との間の通信を可能とする。なお、本実施例の端末は、ＳＩＰ（Session Initiation Protocol）を使用した呼接続を行うものとする。

図２は本発明によるブロードバンドルータのハードウェア構成の一例を示すブロック図である。図２のブロードバンドルータ２０は、ＣＰＵ３０，クロック生成部３１，メインメモリ３２，ＲＯＭ(Read Only Memory)３３，ＳＲＡＭ（Static Random Access Memory）３４，ＬＡＮコントローラ３５〜３９，ＬＡＮ Ｉ／Ｆ(Interface)４０〜４４，システムバス４５等から構成されている。

ＣＰＵ３０は、ＲＯＭ３３に記憶されている制御処理プログラムやＯＳ(Operating System)を実行、処理する。クロック生成部３１は、水晶発振子と分周回路から構成されており、ＣＰＵ３０の動作タイミングを制御するためのクロックを生成している。メインメモリ３２は、ＤＲＡＭ(Dynamic Random Access Memory)より構成されており、ＣＰＵ３０のワークエリア等で使用される。

ＲＯＭ３３は電源オン時のシステム立ち上げやブロードバンドルータ２０の機能を実現するための各種プログラムが予め書き込まれている。ＳＲＡＭ３４は蓄積しているデータを保持するための操作（リフレッシュ操作）が不要なメモリであり、専用バッテリ（図示を省略）によりバックアップされている。

ＬＡＮコントローラ３５〜３９はＩＥＥＥ(Institute of Electrical and Electronics Engineers)８０２．３規格に準拠した通信プロトコルを実行し、ＬＡＮ Ｉ／Ｆ４０〜４４を介してグローバルネットワーク１に接続された端末やイーサネット（登録商標）に接続された他の端末との通信を制御する。

ＬＡＮ Ｉ／Ｆ４０は、グローバルネットワーク１に接続するためのポート（ＷＡＮ側ポート）である。また、ＬＡＮ Ｉ／Ｆ４１〜４４はプライベートネットワーク２側の端末と接続するためのポート（ＬＡＮ側ポート）である。ＬＡＮ Ｉ／Ｆ４１には、ＬＡＮケーブルを介してＩＰ電話２１が接続されている。また、ＬＡＮ Ｉ／Ｆ４２にはＬＡＮケーブルを介してファクシミリ端末２２が接続されている。また、ＬＡＮ Ｉ／Ｆ４３にはＬＡＮケーブルを介してＰＣ２３が接続されている。

以下に示している各実施例の動作処理は特に明記しない限り、ＣＰＵ３０がＲＯＭ３３に記憶された制御処理プログラムに従い、メインメモリ３２をワークエリアとして使用して実行、処理する。

図３は本発明によるブロードバンドルータのソフトウェア構成の一例を示すブロック図である。図３のブロードバンドルータ２０のソフトウェアは、ＯＳ６０，Ｗｅｂサーバ機能実行部６１，認証機能実行部６２，ファイアウォール（Firewall）機能実行部６３，ＮＡＴ機能実行部６４，ＤＨＣＰ（Dynamic Host Configuration Protocol）機能実行部６５，端末情報管理部６６等のソフトウェアモジュールから構成される。

Ｗｅｂサーバ機能実行部６１はグローバルネットワーク１に接続された端末からＨＴＴＰプロトコルにより各種のコマンドを受け付けると共に、プライベートネットワーク２側に接続された端末（例えばＰＣ２３）のＷｅｂブラウザから操作情報を受け取って、各種の設定を行う。ブロードバンドルータ２０は、ＨＴＴＰプロトコルによるＨＴＴＰ通信を実行できるように、常に８０番のポートをオープンにしている。

認証機能実行部６２は管理者モードでの接続を許可するためのＩＤとパスワードとを使用した認証手順や、後述するような端末情報取得コマンドを受信した場合、ＲＦＣ２６１７に記載されたダイジェスト認証手順を実行する。

ファイアウォール機能実行部６３はグローバルネットワーク１側から受信したパケットをプライベートネットワーク２側へ転送するためのポートの開閉制御を行う。ＮＡＴ機能実行部６４はグローバルネットワーク１側から受信したパケットの宛先ＩＰアドレス（ブロードバンドルータ２０のグローバルＩＰアドレス）を、受信ポート番号に対応付けて管理しているプライベートＩＰアドレスに置き換えて、このプライベートＩＰアドレス宛にパケットを転送するとともに、プライベートネットワーク２側から受信したパケットの送信元ＩＰアドレスを自装置のグローバルＩＰアドレスに置き換えて、このパケットをその宛先ＩＰアドレス宛に送信する。

また、ＮＡＴ機能実行部６４はプライベートネットワーク２側から受信するパケットがＳＩＰメッセージであり、そのＳＤＰ（Session Description Protocol）に送信元ＩＰアドレスとしてプライベートＩＰアドレスが入っている場合、そのプライベートＩＰアドレスを自装置のグローバルＩＰアドレスに置き換える。なお、この仕様はＵＰｎＰ ＮＡＴトラバーサル仕様と同じである。

ＤＨＣＰ機能実行部６５は、プライベートネットワーク２側の端末からＩＰアドレスの割り当て要求を受けると、プライベートＩＰアドレスを動的に割り当てる。なお、プライベートネットワーク２側の端末は、自端末のＩＰアドレスを起動時にＤＨＣＰにより取得する動作モードとなっている。

端末情報管理部６６は、プライベートネットワーク２側に接続された端末（例えばＰＣ２３）のＷｅｂブラウザからの操作により管理者モードで接続され、管理者用の設定画面にて端末情報を登録するメニューが選択されると、Ｗｅｂサーバ機能実行部６１から呼び出される。そして、端末情報管理部６６は、ＬＡＮ側ポートに接続された端末のＩＰアドレス、ポート番号、端末名称等をＳＲＡＭ３４に記憶し、又は、ＳＲＡＭ３４に記憶されたＩＰアドレス、ポート番号、端末名称等をＰＣ２３等の管理者用端末のＷｅｂブラウザに表示するためにＷｅｂサーバ機能実行部６１に渡す。

また、端末情報管理部６６はグローバルネットワーク１側にある端末から端末情報取得コマンドを受信した時にもＷｅｂサーバ機能実行部６１から呼び出され、ＳＲＡＭ３４に記憶されているＬＡＮ側ポートに接続された端末の端末名称のリストをＷｅｂサーバ機能実行部６１に渡す。

本実施例では、プライベートネットワーク２側に接続された端末、すなわち、ＩＰ電話２１，ファクシミリ端末２２又はＰＣ２３の電源がオンとされると、ＤＨＣＰ手順によりブロードバンドルータ２０からＩＰアドレス（プライベートＩＰアドレス）が割り当てられる。

今、プライベートネットワーク２側にはＰＣ２３のみが接続されているとする。例えばユーザ（管理者）がＰＣ２３のＷｅｂブラウザからブロードバンドルータ２０に、ＩＤとパスワードとを使用した認証手順を経て管理者モードで接続すると、Ｗｅｂブラウザの画面は管理者用の設定画面となる。

ここで、ユーザが端末情報を登録するメニューを選択すると、ＷｅｂブラウザはＰＣ２３に現在割り当てられているプライベートＩＰアドレスを、図４（ａ）に示すように表形式で表示する。図４は端末情報が遷移する様子を表した一例の説明図である。

図４（ａ）の表に記憶されているプライベートＩＰアドレスは自端末、すなわちＰＣ２３に割り当てられたＩＰアドレスである。したがって、ユーザはブロードバンドルータ２０がグローバルネットワーク１から受信するパケットをＰＣ２３に転送するポート番号とＰＣ２３の端末名称とを登録する。

グローバルネットワーク１から受信するパケットをＰＣ２３に転送するポート番号とＰＣ２３の端末名称とを登録した後、Ｗｅｂブラウザの画面は図４（ｂ）に示すように表示される。

次に、ユーザは、ＩＰ電話２１をブロードバンドルータ２０のＬＡＮ側ポートに接続したとする。端末情報管理部６６は、ＩＰ電話２１に割り当てられたＩＰアドレスに対応付けて、ブロードバンドルータ２０がグローバルネットワーク１側から受信するパケットをＩＰ電話２１に転送するポート番号とＩＰ電話２１の端末名称とを登録する。

その後、同様にして、ユーザはファクシミリ端末２２をブロードバンドルータ２０のＬＡＮ側ポートに接続したとする。端末情報管理部６６はファクシミリ端末２２に割り当てられたＩＰアドレスに対応付けて、ブロードバンドルータ２０がグローバルネットワーク１側から受信するパケットをファクシミリ端末２２に転送するポート番号とファクシミリ端末２２の端末名称とを登録する。

グローバルネットワーク１から受信するパケットをＰＣ２３，ＩＰ電話２１及びファクシミリ端末２２に転送するポート番号とＰＣ２３，ＩＰ電話２１及びファクシミリ端末２２の端末名称とを登録した後、Ｗｅｂブラウザの画面は、図４（ｃ）に示すように表示される。図４に示したＩＰアドレス、ポート番号、端末名称は例えばＳＲＡＭ３４に記憶される。

次に、グローバルネットワーク１に接続されているＩＰ電話１１がプライベートネットワーク２に接続されているＩＰ電話２１に発呼接続するまでの手順について図５〜図８の動作フローを参照しつつ説明する。図５，図６は、グローバルネットワーク側に接続されているＩＰ電話の動作フローを示す。また、図７、図８はブロードバンドルータの動作フローを示す。

まず、ＩＰ電話１１のユーザはブロードバンドルータ２０から端末情報を取得するための操作を行う。この操作はＩＰ電話１１のディスプレイに表示されたメニュー等を操作することで実行する。

ＩＰ電話１１は、宛先ネットワークドメインの端末情報取得操作が行われたと判定するまでステップＳ１の処理を繰り返しており、ブロードバンドルータ２０から端末情報を取得するための操作により、ステップＳ２の処理に進む。ステップＳ２に進み、ＩＰ電話１１は端末情報取得コマンドをＨＴＴＰのＧＥＴメソッドを使用して宛先ネットワークドメインにあるブロードバンドルータ２０へ送信する。

ブロードバンドルータ２０は、端末情報取得コマンドを受信したと判定するまでステップＳ２１の処理を繰り返しており、ＩＰ電話１１から端末情報取得コマンドを受信したと判定すると、ステップＳ２２の処理に進む。

ステップＳ２２に進み、ブロードバンドルータ２０は、端末情報取得コマンドを受信すると、ＲＦＣ２６１７に記載されているダイジェスト認証処理を実行する。ブロードバンドルータ２０にはＩＰ電話１１のユーザ名とパスワードが予め登録されている。ブロードバンドルータ２０はチャレンジと呼ばれる認証用の乱数（nonce）を生成し、この乱数をステータスコード４０１（認証要求）のレスポンスメッセージに入れて返信する。

ＩＰ電話１１は、認証要求のレスポンスメッセージを受信したと判定するまでステップＳ３を繰り返しており、ブロードバンドルータ２０から認証要求のレスポンスメッセージを受信したと判定すると、ステップＳ４の処理に進む。ＩＰ電話１１は認証要求のレスポンスメッセージを受信してステップＳ４に進むと、ＩＰ電話１１に予め登録されている認証用のユーザ名，パスワード，相手端末から受信した乱数（nonce），自端末で生成した乱数（cnonce）等を用いてダイジェストを計算する。このダイジェストの計算アルゴリズムはＭＤ５を使用する。

ステップＳ５に進み、ＩＰ電話１１は求まったダイジェストの値（response）を認証用のユーザ名や自端末で生成した乱数（cnonce）等と共にＨＴＴＰリクエストメッセージに入れてブロードバンドルータ２０へ送信する。

ブロードバンドルータ２０は、ダイジェストの値，認証用のユーザ名，ＩＰ電話１１で生成した乱数を受信したと判定するまでステップＳ２３の処理を繰り返しており、ＩＰ電話１１からダイジェストの値，認証用のユーザ名，ＩＰ電話１１で生成した乱数を受信したと判定すると、ステップＳ２４の処理に進む。

ステップＳ２４に進み、ブロードバンドルータ２０は受信した認証用のユーザ名，ＩＰ電話１１で生成した乱数（cnonce），予めユーザ名と対応付けて登録されているパスワード，自端末で生成した乱数（nonce）等を用いてダイジェストを計算する。このダイジェストの計算アルゴリズムはＭＤ５を使用する。

ステップＳ２５に進み、ブロードバンドルータ２０はステップＳ２４において求まったダイジェストの値と、ＩＰ電話１１から受信したダイジェストの値（response）とを比較する。このダイジェストの値が一致した場合、ブロードバンドルータ２０はＩＰ電話１１が正しいパスワードを送信したと判定し、認証処理を終了する。

そして、ブロードバンドルータ２０はステップＳ２６に進み、端末情報取得コマンドに対応した処理として、既に登録された端末情報である端末名称のリスト（図４（ｃ）に示した３つの端末についての端末名称）をＩＰ電話１１へ返信する。なお、ブロードバンドルータ２０はダイジェストの値が一致しない場合、ステップＳ３０に進み、端末情報取得コマンドに対してエラーレスポンスを返し、端末情報取得コマンドに対応した処理を実行せず、処理を終了する。

ＩＰ電話１１は、端末名称のリスト又はエラーレスポンスを受信したと判定するまでステップＳ６及びＳ７を繰り返しており、ブロードバンドルータ２０から端末名称のリストを受信したと判定すると、ステップＳ８の処理に進む。なお、ブロードバンドルータ２０からエラーレスポンスを受信したと判定すると、ＩＰ電話１１は処理を終了する。

ステップＳ８に進み、ＩＰ電話１１はブロードバンドルータ２０から受信した端末名称のリストに基づき、それらの端末名称をディスプレイに表示する。ユーザはＩＰ電話２１と接続したいため、ＩＰ電話２１の端末名称を選択する。

ＩＰ電話１１は、端末名称が選択されたと判定するまでステップＳ９の処理を繰り返しており、端末名称が選択されるとステップＳ１０に進み、選択された端末名称とオープンされるポート番号を問い合わせる情報を含めたポートのオープン要求コマンドをＨＴＴＰのＧＥＴメソッドを使用してブロードバンドルータ２０へ送信する。

ブロードバンドルータ２０は、ポートのオープン要求コマンドを受信したと判定するまでステップＳ２７の処理を繰り返しており、ポートのオープン要求コマンドを受信するとステップＳ２８の処理に進み、ポートのオープン要求コマンドに含まれた端末名称に対応付けて管理されているポート番号６０００のポートをオープンし、このポート番号をＨＴＴＰレスポンスに入れて返信する。

ＩＰ電話１１は、ＨＴＴＰレスポンスを受信したと判定するまでステップＳ１１の処理を繰り返しており、ブロードバンドルータ２０からＨＴＴＰレスポンスを受信するとステップＳ１２に進み、宛先のＩＰアドレスとしてブロードバンドルータ２０のＩＰアドレスを指定し、また宛先のポート番号としてＨＴＴＰレスポンスに含まれていたポート番号を指定した呼接続メッセージ（INVITE）をＵＤＰパケットにて送信する。

ステップＳ２９に進み、ブロードバンドルータ２０はオープンしたポートで受信した呼接続メッセージのパケットを、ポート番号に対応付けて管理しているプライベートＩＰアドレス宛、即ちＩＰ電話２１に送信する。この時の宛先ポート番号はＳＩＰ用のデフォルト値である５０６０である。

ＩＰ電話２１は呼接続メッセージを受信すると、１００ Ｔｒｙｉｎｇと１８０ Ｒｉｎｇｉｎｇとを返信して呼び出し音を鳴らす。ブロードバンドルータ２０は着呼端末からレスポンスメッセージを受信するまでステップＳ３１の処理を繰り返しており、ＩＰ電話２１からレスポンスメッセージを受信するとステップＳ３２に進む。

ステップＳ３２に進み、ブロードバンドルータ２０はＩＰ電話２１から受信したレスポンスメッセージが２００ ＯＫでなければ、ステップＳ３３に進み、受信したレスポンスメッセージを発呼端末であるＩＰ電話１１に転送してステップＳ３１の処理に戻る。ここでは、ブロードバンドルータ２０が１００ Ｔｒｙｉｎｇと１８０ ＲｉｎｇｉｎｇとをＩＰ電話１１に転送する。

ユーザがＩＰ電話２１の受話器を取ると、ＩＰ電話２１は音声データと音声制御データの受信ポート番号を含めた２００ ＯＫを返信する。なお、音声データをＲＴＰ(Real-time Transport Protocol)、音声制御データをＲＴＣＰ (Real-time Transport Control Protocol)で送受信するため、２００ ＯＫに含まれている受信ポート番号は５００４と５００５である。

ブロードバンドルータ２０は、ＩＰ電話２１から受信したレスポンスメッセージが２００ ＯＫであるので、ステップＳ３２からステップＳ３４に進み、レスポンスメッセージのパケットヘッダ及びＳＤＰに含まれているＩＰ電話２１がセットした自端末ＩＰアドレス（プライベートIPアドレス）を自装置のグローバルＩＰアドレスに置き換える。

また、ブロードバンドルータ２０は音声データ及び音声制御データの受信ポート番号をそれぞれ別の番号、例えば１００００と１０００１とに置き換えて発呼端末のＩＰ電話１１へ送信する。ステップＳ３５に進み、ブロードバンドルータ２０はステップＳ３４において置き換えた置換後の音声用のポート番号１００００，１０００１のポートをオープンする。なお、ブロードバンドルータ２０は置換前と置換後のＩＰアドレスとポート番号とをそれぞれ対応付けてメインメモリ３２に記憶する。

ＩＰ電話１１は、２００ ＯＫを受信したと判定するまでステップＳ１３の処理を繰り返しており、２００ ＯＫを受信すると、ステップＳ１４に進み、ＡＣＫメッセージを送信して呼接続を完了する。そして、ブロードバンドルータ２０は、ＩＰ電話１１からのＡＣＫメッセージを着呼端末であるＩＰ電話２１に転送する（ステップＳ３６）。

その後、ＩＰ電話１１は音声データと音声制御データとをブロードバンドルータ２０のポート１００００と１０００１宛にそれぞれ送信する。ブロードバンドルータ２０は音声データと音声制御データとを、それぞれＩＰ電話２１のポート５００４と５００５宛に送信する。ブロードバンドルータ２０は、また、ＩＰ電話２１から受信する音声データと音声制御データとをＩＰ電話１１へ転送する。このとき、ＩＰ電話１１とＩＰ電話２１とはユーザ同士の会話ができる状態となっている。

なお、ＩＰ電話１１またはＩＰ電話２１は、受話器が下ろされたか否かを判定し続けている。例えばＩＰ電話１１は受話器を下ろされたと判定するまでステップＳ１６の処理を繰り返している。会話が終了して例えばＩＰ電話１１のユーザが受話器を下ろすと、ＩＰ電話１１はステップＳ１７に進み、ＢＹＥメッセージを送信する。ＩＰ電話１１はＩＰ電話２１から２００ ＯＫを受信すると（Ｓ１８においてＹＥＳ）、通信が終了する。

２００ ＯＫを受信したＩＰ電話１１はポートのクローズ要求コマンドをＨＴＴＰのＰＯＳＴメソッドを使用してブロードバンドルータ２０へ送信する（ステップＳ１９）。ブロードバンドルータ２０はポートのクローズ要求コマンドを受信するまでステップＳ３８の処理を繰り返しており、ポートのクローズ要求コマンドをＩＰ電話１１から受信したと判定すると、ステップＳ３９に進む。そして、ブロードバンドルータ２０は、今回の通信でオープンした全てのポートを閉じる。

なお、上記の実施例では、ブロードバンドルータ２０のＬＡＮ側ポートに接続された端末の端末情報として、ポート番号をＩＰアドレス及び端末名称と対応付けてＳＲＡＭ３４に記憶していたが、ポート番号を管理者が設定するのではなく、ＩＰ電話１１からポートのオープン要求コマンドを受信したときに、任意のポート番号を割り当てるようにしてもよい。

この時、ランダムな番号を割り当てると、オープンされたポート番号を悪意のある外部端末に知れ難くなり、その結果、プライベートネットワークへ不正侵入し難くなり、セキュリティを向上させることができる。

また、上記の実施例では、認証用のユーザ名及びパスワードをＩＰ電話１１に予め登録している場合を示したが、認証時にユーザが認証用のユーザ名及びパスワードを入力できるようにしてもよい。

また、会話が終了した時にＩＰ電話がポートのクローズ要求コマンドをブロードバンドルータ２０へ送信するのではなく、ブロードバンドルータ２０がＢＹＥ、２００ ＯＫのシーケンスを監視していて、この２００ ＯＫを送信した後に、今回の通信でオープンした全てのポートを閉じるようにしてもよい。

本実施例では、ブロードバンドルータ２０がグローバルネットワーク１に接続された端末の認証を行った後、その認証した端末から受信したパケットのみをプライベートネットワーク２側の端末へ転送する場合について説明する。

実施例１と同様に、ブロードバンドルータ２０はグローバルネットワーク１に接続されたＩＰ電話１１から端末情報取得コマンドを受信する。ブロードバンドルータ２０はＩＰ電話１１の認証が成功すると、その後のシーケンスにてＩＰ電話１１からのパケットを受信するためにオープンしたポートの番号を、ＩＰ電話１１のＩＰアドレスと対応付けてメインメモリ３２に記憶する。

オープンしたポートは呼制御メッセージ用の６０００、音声データ用の１００００、音声制御データ用の１０００１である。ブロードバンドルータ２０は、これらのポートで受信するパケットのパケットヘッダ部にある送信元アドレスがＩＰ電話１１のＩＰアドレスと一致するか否かをチェックして、一致した場合のみ、そのパケットをＩＰ電話２１へ転送する。もし一致しない場合は、その受信パケットを破棄する。このように、実施例２では認証した端末以外から受信したパケットがプライベートネットワーク２側の端末へ転送されることを防止する。

本実施例では、ブロードバンドルータ２０がオープンするポート番号を外部端末から指定することによって、オープンするポート番号が固定化されないようにする場合について説明する。図９，図１０は、グローバルネットワーク側に接続されているＩＰ電話の動作フローを示す。また、図１１、図１２はブロードバンドルータの動作フローを示す。

まず、プライベートネットワーク２の管理者がＰＣ２３のＷｅｂブラウザを使用してブロードバンドルータ２０に、ＩＤとパスワードとを使用した認証手順を経て管理者モードで接続すると、Ｗｅｂブラウザには管理者用の設定画面が表示される。ここで、管理者はブロードバンドルータ２０のＬＡＮ側ポートに接続され、ＩＰアドレスが割り当てられている端末の端末名称を登録する。

ブロードバンドルータ２０のＬＡＮ側ポートには、実施例１と同様、ＩＰ電話２１，ファクシミリ端末２２，ＰＣ２３が接続されている。管理者は、各端末に割り当てられたＩＰアドレスと対応付けて端末名称を登録する。これらのＩＰアドレス及び端末名称は例えばＳＲＡＭ３４にＩＰアドレス−端末名称対応テーブルとして記憶される。各端末に割り当てられたＩＰアドレスおよび登録された端末名称は、図４（ｃ）に示したものと同様である。

次に、第１の実施例と同様、グローバルネットワーク１に接続されているＩＰ電話１１がプライベートネットワーク２に接続されているＩＰ電話２１に発呼接続する場合について説明する。

まず、ＩＰ電話１１のユーザはブロードバンドルータ２０から端末情報を取得するための操作を行う。この操作はＩＰ電話１１のディスプレイに表示されたメニュー等を操作することで実行する。

ＩＰ電話１１は、ステップＳ４１及びＳ４２において、前述したステップＳ１及びＳ２と同様に、端末情報取得コマンドをＨＴＴＰのＧＥＴメソッドを使用してブロードバンドルータ２０へ送信する。

ブロードバンドルータ２０は端末情報取得コマンドを受信すると（ステップＳ７１でＹＥＳ）、ステップＳ７２〜Ｓ７５において、前述したＳ２２〜Ｓ２５と同様にダイジェスト認証処理を実行して、ＩＰ電話１１を認証する。認証に成功すると、ブロードバンドルータ２０はステップＳ７６に進み、端末情報取得コマンドに対応した処理として、既に登録された端末情報である端末名称のリスト（図４（ｃ）に示した３つの端末についての端末名称）をＩＰ電話１１へ返信する。なお、本実施例では、図４（ｃ）に示されているポート番号は、まだ登録されていない。

ＩＰ電話１１は端末名称のリストを受信すると（ステップＳ４６でＹＥＳ），ステップＳ４８において、前述したステップＳ８と同様、端末名称のリストに基づき、それらの端末名称をディスプレイに表示する。ユーザはＩＰ電話２１と接続したいため、ＩＰ電話２１の端末名称を選択する。

端末名称が選択されると（ステップＳ４９でＹＥＳ）、ＩＰ電話１１はステップＳ５０に進み、ブロードバンドルータ２０が呼制御メッセージを受信するためのポート番号を決定する。ポート番号を決定する所定の方法としては、例えば２００００〜６５５３５の範囲からランダムに選択する方法がある。

そして、ＩＰ電話１１はステップＳ５１に進み、ステップＳ５０で決定したポート番号と選択された端末名称とを含めたポートのオープン要求コマンドをＨＴＴＰのＰＯＳＴメソッドを使用してブロードバンドルータ２０へ送信する。

ブロードバンドルータ２０は、ポートのオープン要求コマンドを受信すると（ステップＳ７７でＹＥＳ）、ステップＳ７８に進み、ポートのオープン要求コマンドに含まれたポート番号のポートをオープンする。ポートのオープンが成功すると、ブロードバンドルータ２０はステップＳ８０に進み、正常応答（200 OK）をＩＰ電話１１に返したあと、ポートのオープン要求コマンドに含まれた端末名称をＳＲＡＭ３４に記憶されたＩＰアドレス−端末名称対応テーブルと照合してＩＰアドレスを特定する。そして、ブロードバンドルータ２０は特定したＩＰアドレスを、今オープンしたポート番号と対応付けてメインメモリ３２に記憶する。

一方、ブロードバンドルータ２０はポートのオープン要求コマンドに含まれたポート番号のポートが既に使用されていてオープンできない場合、ステップＳ７９に進み、ポートが使用中であることを示すエラー応答を返す。

例えばブロードバンドルータ２０は、このエラー応答として、ＲＦＣ２６１６で規定されていないステータスコードに、このエラーコードを割り当て、このエラーコードをＨＴＴＰレスポンスメッセージのステータスラインに入れて応答する。

ＩＰ電話１１はポートが使用中であることを示すエラー応答を受信すると（ステップＳ５３でＹＥＳ）、ステップＳ５０に戻り、別のポート番号を選択して、再度ポートのオープン要求コマンドをブロードバンドルータ２０へ送信する。ＩＰ電話１１はポートのオープン要求コマンドに対する正常応答を受信すると、ステップＳ５４に進み、宛先のＩＰアドレスとしてブロードバンドルータ２０のＩＰアドレスを指定し、また宛先のポート番号としてポートのオープン要求コマンドに入れたポート番号を指定した呼接続メッセージ（INVITE）をＵＤＰパケットにて送信する。

なお、ＩＰ電話１１が呼接続メッセージをブロードバンドルータ２０に送信したあとのＩＰ電話１１のステップＳ５５〜Ｓ６１の処理及びブロードバンドルータ２０のステップＳ８１〜Ｓ９１の処理は、前述したステップＳ１３〜Ｓ１９及びＳ２９〜Ｓ３９と同様であるため、説明を省略する。

なお、上記の実施例では、ブロードバンドルータ２０が呼制御メッセージを受信するためのポート番号を、ＩＰ電話１１における端末内部の処理により自動的に決める場合を示したが、ユーザが端末名称を選択した後、ＩＰ電話１１のディスプレイに、このポート番号の入力画面を表示して、ユーザに入力させるようにしてもよい。

また、上記の実施例では、ＩＰ電話１１から送信される音声データと音声制御データとを受信するポート番号をブロードバンドルータ２０が決める場合について示したが、これらのポート番号もＩＰ電話１１から指示するようにすることも可能である。

本実施例では、ブロードバンドルータ２０がグローバルネットワーク１に接続された端末の認証を行った後、その認証した端末から受信したパケットのみをプライベートネットワーク２側の端末へ転送する場合について説明する。

第１の実施例と同様に、ブロードバンドルータ２０はグローバルネットワーク１に接続されたＩＰ電話１１から端末情報取得コマンドを受信する。ブロードバンドルータ２０はＩＰ電話１１の認証が成功すると、その後のシーケンスにてＩＰ電話１１からのパケットを受信するためにオープンしたポートの番号を、ＩＰ電話１１のＩＰアドレスと対応付けてメインメモリ３２に記憶する。

オープンしたポートはＩＰ電話１１からポートのオープン要求コマンドで指定された呼制御メッセージ用のポート番号，音声データ用の１００００，音声制御データ用の１０００１である。ブロードバンドルータ２０は、これらのポートで受信するパケットのパケットヘッダ部にある送信元アドレスがＩＰ電話１１のＩＰアドレスと一致するか否かをチェックして、一致した場合のみ、そのパケットをＩＰ電話２１へ転送する。もし一致しない場合は、その受信パケットを破棄する。このように、実施例４では、認証した端末以外から受信したパケットがプライベートネットワーク２側の端末へ転送されることを防止している。

上記の実施例では、ＩＰ電話同士の通信を例に挙げたが、図１に示すファクシミリ端末１２とファクシミリ端末２２との間の通信にも同様に適用できる。この場合、ブロードバンドルータ２０がオープンするポートは、音声データ用および音声制御データ用に代わって、ＦＡＸデータ用となる。

また、ファクシミリ端末２２のＦＡＸデータ受信用ポート番号は２００００〜６５５３５の範囲から選択された番号、例えば４００００である。この場合、プライベートネットワーク２にいるユーザ（管理者）はＰＣ２３を使用して管理者モードにて、ブロードバンドルータ２０がグローバルネットワーク１から受信するパケットをファクシミリ端末２２に転送するポート番号に対応付けて、ファクシミリ端末２２のＦＡＸデータ受信用ポート番号をブロードバンドルータ２０に登録する。図４（ｄ）は、図４（ｃ）の登録データにＦＡＸデータ受信用ポート番号を追加登録した例を示している。

ブロードバンドルータ２０は、ファクシミリ端末２２用の呼接続ポート（ポート番号7000）でファクシミリ端末１２からの呼接続メッセージ（INVITE）を受信すると、このポート番号に対応付けて管理しているプライベートＩＰアドレス宛、すなわちファクシミリ端末２２に送信する。この時の宛先ポート番号はＳＩＰ用のデフォルト値である５０６０である。

ファクシミリ端末２２は呼接続メッセージを受信すると、ＦＡＸデータ受信用ポート番号（40000）を含めた２００ ＯＫを返信する。ブロードバンドルータ２０は、２００ ＯＫを受信すると、この２００ ＯＫのパケットヘッダとＳＤＰに含まれたファクシミリ端末２２がセットした自端末ＩＰアドレス（プライベートＩＰアドレス）を、自装置のグローバルＩＰアドレスに置き換え、また、ＦＡＸデータの受信ポート番号を別の番号、例えば１０００２に置き換えてファクシミリ端末１２へ送信する。

また、ブロードバンドルータ２０はＦＡＸデータ用の置き換えたポート番号（10002）のポートをオープンする。なお、ブロードバンドルータ２０は置換前と置換後のＩＰアドレスとポート番号とをそれぞれ対応付けてメインメモリ３２に記憶する。ファクシミリ端末１２は２００ ＯＫを受信すると、ＡＣＫメッセージを送信して呼接続を完了し、ＦＡＸ通信ができる状態となる。

その後、ファクシミリ端末１２はＩＴＵ−Ｔ勧告Ｔ．３８に従ったＦＡＸ制御データと画像データとをブロードバンドルータ２０のポート１０００２宛に送信し、ブロードバンドルータ２０が、ＦＡＸ制御データと画像データとをファクシミリ端末２２のポート４００００宛に送信する。また、ブロードバンドルータ２０は、ファクシミリ端末２２から受信するＦＡＸ制御データをファクシミリ端末１２へ転送する。

画像データの伝送が終了すると、ファクシミリ端末１２からＢＹＥメッセージが送信され、ファクシミリ端末２２は２００ ＯＫで応答する。その後、ファクシミリ端末２２はポートのクローズ要求コマンドをＨＴＴＰのＰＯＳＴメソッドを使用してブロードバンドルータ２０へ送信する。ブロードバンドルータ２０はポートのクローズ要求コマンドを受信すると、今回の通信でオープンした全てのポートを閉じる。

なお、ファクシミリ端末同士の通信手順として、呼接続した後、音声データおよび音声制御データの送受信を実行し（ユーザ同士の会話ではなくファクシミリ端末が音声データを生成して送信）、その後にＦＡＸデータの送受信を実行する方法もある。

この場合、ファクシミリ端末１２が開始した呼接続メッセージ（INVITE），２００ ＯＫ，ＡＣＫの呼接続シーケンスと音声データの送受信の後に、ファクシミリ端末２２からＦＡＸチャネルを接続するための呼接続メッセージ（INVITE）を送信する。ブロードバンドルータ２０はファクシミリ端末２２から、この呼接続メッセージ（INVITE）を受信すると、この呼接続メッセージのパケットヘッダとＳＤＰに含まれたＦＡＸデータの受信ポート番号を別の番号、例えば１０００２に置き換えてファクシミリ端末１２へ送信する。

ブロードバンドルータ２０は、ＦＡＸ用の置き換えたポート番号（10002）のポートをオープンする。その後、ファクシミリ端末１２が２００ ＯＫを返し、ファクシミリ端末２２が２００ ＯＫを受信するとＡＣＫを送信して、オープンしたＦＡＸ用のポートを使用してＩＴＵ−Ｔ勧告Ｔ．３８に準拠したプロトコルを実行し、ファクシミリ端末１２からファクシミリ端末２２へ画像データを送信する。

上記の実施例では、外部端末としてグローバルネットワーク１に接続された端末を例に挙げたが、図１３に示すように、グローバルネットワーク１の先にあるプライベートネットワーク３に接続された端末であってもよい。

図１３は本発明による通信システムの他の実施例のネットワーク構成図である。図１３の通信システムに含まれるグローバルネットワーク１，プライベートネットワーク２，ブロードバンドルータ２０，ＩＰ電話２１，ファクシミリ端末２２，ＰＣ２３は、図１に示した通信システムと同様である。

プライベートネットワーク３は、ブロードバンドルータ５０，ＩＰ電話５１，ファクシミリ端末５２，ＰＣ５３から構成されるネットワークドメインである。プライベートネットワーク３にあるブロードバンドルータ５０，ＩＰ電話５１，ファクシミリ端末５２，ＰＣ５３の各端末は、それぞれプライベートネットワーク２にあるブロードバンドルータ２０，ＩＰ電話２１，ファクシミリ端末２２，ＰＣ２３と同じ動作処理を実行する。

ここではプライベートネットワーク３にあるＩＰ電話５１がプライベートネットワーク２にあるＩＰ電話２１に発呼接続する場合について説明する。ＩＰ電話５１がブロードバンドルータ２０から認証処理を経て端末情報を取得し、その後、ポートのオープン要求コマンドを送信して正常応答（200 OK）を受信するまでのシーケンスは、上記の実施例で示したようにＨＴＴＰプロトコルを使用して実行する。

その後、ＩＰ電話５１はブロードバンドルータ２０を宛先とした呼接続メッセージ（INVITE）を送信する。ブロードバンドルータ５０は、この呼接続メッセージに含まれたＩＰ電話５１のＩＰアドレス（プライベートIPアドレス）を自端末のグローバルＩＰアドレスに、音声データ及び音声制御データの受信ポート番号（5004と5005）をそれぞれ別の番号、例えば、１００００と１０００１に置き換えてブロードバンドルータ２０へ送信する。

その後、ＩＰ電話５１，ＩＰ電話２１、ブロードバンドルータ５０及びブロードバンドルータ２０は上記の実施例と同様の動作処理、又はそれに準じた動作処理を実行して、ＩＰ電話５１とＩＰ電話２１のユーザ同士の間で会話が実行される。
（まとめ）
本発明による通信システムによれば、グローバルネットワーク及びプライベートネットワークの境界点にあるルータにより認証されたグローバルネットワーク側にある端末（外部端末）からルータのプライベートネットワーク側にある端末へ接続を行う場合、外部端末からルータへポートをオープンする依頼を出すと、依頼を受けたルータが所定のポートをオープンし、通信終了後に外部端末からルータへオープンしたポートをクローズする依頼を出し、依頼を受けたルータがオープンした全てのポートをクローズするため、例えばインターネット等のグローバルネットワークからプライベートネットワークへの不正侵入を防止でき、セキュリティが向上する。

また、本発明による通信システムによれば、グローバルネットワーク及びプライベートネットワークの境界点にあるルータにより認証されたグローバルネットワーク側にある外部端末からルータのプライベートネットワーク側にある端末へ接続を行う場合、外部端末からルータへポートをオープンする依頼を出すと、依頼を受けたルータが所定のポートをオープンし、オープンしたポートで受信するパケットデータの中で外部端末から送信されたものだけをプライベートネットワーク側にある端末へ転送し、通信終了後に外部端末からルータへオープンしたポートをクローズする依頼を出し、依頼を受けたルータがオープンした全てのポートをクローズするため、インターネット等のグローバルネットワークからプライベートネットワークへの不正侵入を防止でき、セキュリティが向上する。

また、本発明による通信システムによれば、グローバルネットワーク及びプライベートネットワークの境界点にあるルータにより認証されたグローバルネットワーク側にある外部端末からルータのプライベートネットワーク側にある端末へ接続を行う場合、外部端末からルータへ指定したポートをオープンする依頼を出すと、その依頼を受けたルータが指定されたポートをオープンし、通信終了後に外部端末からルータへオープンしたポートをクローズする依頼を出し、依頼を受けたルータがオープンした全てのポートをクローズするため、インターネット等のグローバルネットワークからプライベートネットワークへの不正侵入を防止でき、セキュリティが向上する。

さらに、オープンするポート番号を外部端末から指定できるため、使用するポート番号が固定化されることを防止でき、セキュリティの向上効果が高まる。

また、本発明による通信システムによれば、グローバルネットワーク及びプライベートネットワークの境界点にあるルータにより認証されたグローバルネットワーク側にある外部端末からルータのプライベートネットワーク側にある端末へ接続を行う場合、外部端末からルータへ指定したポートをオープンする依頼を出すと、この依頼を受けたルータが指定されたポートをオープンし、オープンしたポートで受信するパケットデータの中で外部端末から送信されたものだけをプライベートネットワーク側にある端末へ転送し、通信終了後に外部端末からルータへオープンしたポートをクローズする依頼を出し、依頼を受けたルータがオープンした全てのポートをクローズするため、インターネット等のグローバルネットワークからプライベートネットワークへの不正侵入を防止でき、セキュリティが向上する。

さらに、オープンするポート番号を外部端末から指定できるため、使用するポート番号が固定化されることを防止でき、セキュリティの向上効果が高まる。

本発明は、具体的に開示された実施例に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更が可能である。

本発明による通信システムの一実施例のネットワーク構成図である。 本発明によるブロードバンドルータのハードウェア構成の一例を示すブロック図である。 本発明によるブロードバンドルータのソフトウェア構成の一例を示すブロック図である。 端末情報が遷移する様子を表した一例の説明図である。 グローバルネットワーク側に接続されているＩＰ電話の動作フロー（１／２）を示す。 グローバルネットワーク側に接続されているＩＰ電話の動作フロー（２／２）を示す。 ブロードバンドルータの動作フロー（１／２）を示す。 ブロードバンドルータの動作フロー（２／２）を示す。 グローバルネットワーク側に接続されているＩＰ電話の動作フロー（１／２）を示す。 グローバルネットワーク側に接続されているＩＰ電話の動作フロー（２／２）を示す。 ブロードバンドルータの動作フロー（１／２）を示す。 ブロードバンドルータの動作フロー（２／２）を示す。 本発明による通信システムの他の実施例のネットワーク構成図である。

符号の説明

１ グローバルネットワーク
２，３ プライベートネットワーク
１１，２１，５１ ＩＰ電話
１２，２２，５２ ファクシミリ端末（ＩＰ−ＦＡＸ）
１３，２３，５３ ＰＣ
２０，５０ ブロードバンドルータ
３０ ＣＰＵ
３１ クロック生成部
３３ ＲＯＭ
３４ ＳＲＡＭ
３５〜３９ ＬＡＮコントローラ
４０〜４４ ＬＡＮ Ｉ／Ｆ
６０ ＯＳ
６１ Ｗｅｂサーバ機能実行部
６２ 認証機能実行部
６３ ファイアウォール（Firewall）機能実行部
６４ ＮＡＴ機能実行部
６５ ＤＨＣＰ（Dynamic Host Configuration Protocol）機能実行部
６６ 端末情報管理部

Claims (17)

1. 内部ネットワークと外部ネットワークとの間に接続されており、ポートフィルタリング機能を有するネットワーク機器であって、
   外部ネットワーク側に接続されている外部端末から端末情報取得要求があると、前記外部端末の認証を行う認証手段と、
   内部ネットワーク側に接続されている内部端末の端末名称及びポート番号を端末情報として管理している端末情報管理手段と、
   前記認証が成功すると前記端末情報に基づく端末名称のリストを外部端末に送信する端末名称リスト送信手段と、
   前記外部端末から前記端末名称を指定したポートのオープン要求を受信すると前記端末情報に基づき前記指定された端末名称に対応するポートを開くポート開閉制御手段と、
   そのポート番号を外部端末に送信するポート番号送信手段と
   を有することを特徴とするネットワーク機器。
2. 内部ネットワークと外部ネットワークとの間に接続されており、ポートフィルタリング機能を有するネットワーク機器であって、
   外部ネットワーク側に接続されている外部端末から端末情報取得要求があると、前記外部端末の認証を行う認証手段と、
   内部ネットワーク側に接続されている内部端末の端末名称を端末情報として管理している端末情報管理部と、
   前記認証が成功すると前記端末情報に基づく端末名称のリストを外部端末に送信する端末名称リスト送信手段と、
   前記外部端末から前記端末名称およびポート番号を指定したポートのオープン要求を受信すると、前記指定されたポート番号に対応するポートを開くポート開閉制御手段と
   を有することを特徴とするネットワーク機器。
3. 前記ポートのオープン要求に応じて開いたポートでパケットデータを受信すると、前記ポートのオープン要求で指定された端末名称に対応する内部端末へ、前記パケットデータを転送させるパケットデータ転送手段を更に有することを特徴とする請求項１又は２記載のネットワーク機器。
4. 前記パケットデータ転送手段は、前記外部端末から受信したパケットデータの宛先を前記ネットワーク機器のアドレスから前記内部端末のアドレスに置き換え、前記内部装置から受信したパケットデータの送信元を前記内部端末のアドレスから前記ネットワーク機器のアドレスに置き換えることを特徴とする請求項３記載のネットワーク機器。
5. 前記ポートのオープン要求に応じて開いたポートでパケットデータを受信すると、前記パケットデータのうち前記ポートのオープン要求を送信した前記外部端末からのパケットデータのみを前記ポートのオープン要求で指定された端末名称に対応する内部端末へ転送させるファイアウォール手段を更に有することを特徴とする請求項１又は２記載のネットワーク機器。
6. 前記ポート開閉制御手段は、前記外部端末から前記オープンしたポートのクローズ要求を受信すると、前記外部端末から受信した前記ポートのオープン要求に応じて開いたポートを閉じることを特徴とする請求項１乃至５何れか一項記載のネットワーク装置。
7. 前記認証手段は、前記認証が失敗するとエラーを送信し、前記端末情報に基づく端末名称のリストは外部端末に送信しないことを特徴とする請求項１乃至６何れか一項記載のネットワーク装置。
8. 前記ネットワーク機器はルータ装置であることを特徴とする請求項１乃至７何れか一項記載のネットワーク機器。
9. 内部ネットワークと外部ネットワークとの間に接続されており、ポートフィルタリング機能を有するネットワーク機器におけるポート開閉制御方法であって、
   外部ネットワーク側に接続されている外部端末から端末情報取得要求があると、前記外部端末の認証を行う認証機能実行ステップと、
   前記認証が成功すると、内部ネットワーク側に接続されている内部端末の端末名称及びポート番号を端末情報として管理している端末情報管理部から取得した前記端末情報に基づく端末名称のリストを外部端末に送信するリスト送信ステップと、
   前記外部端末から前記端末名称を指定したポートのオープン要求を受信すると前記端末情報に基づき前記指定された端末名称に対応するポートを開くポートのオープンステップと、
   そのポート番号を外部端末に送信するポート番号送信ステップと
   を有することを特徴とするポート開閉制御方法。
10. 内部ネットワークと外部ネットワークとの間に接続されており、ポートフィルタリング機能を有するネットワーク機器におけるポート開閉制御方法であって、
    外部ネットワーク側に接続されている外部端末から端末情報取得要求があると、前記外部端末の認証を行う認証機能実行ステップと、
    前記認証が成功すると、内部ネットワーク側に接続されている内部端末の端末名称を端末情報として管理している端末情報管理部から取得した前記端末情報に基づく端末名称のリストを外部端末に送信するリスト送信ステップと、
    前記外部端末から前記端末名称およびポート番号を指定したポートのオープン要求を受信すると、前記指定されたポート番号に対応するポートを開くポートのオープンステップと
    を有することを特徴とするポート開閉制御方法。
11. 前記ポートのオープン要求に応じて開いたポートでパケットデータを受信すると、前記ポートのオープン要求で指定された端末名称に対応する内部端末へ、前記パケットデータを転送させるパケットデータ転送ステップを更に有することを特徴とする請求項９又は１０記載のポート開閉制御方法。
12. 前記パケットデータ転送ステップは、前記外部端末から受信したパケットデータの宛先を前記ネットワーク機器のアドレスから前記内部端末のアドレスに置き換え、前記内部装置から受信したパケットデータの送信元を前記内部端末のアドレスから前記ネットワーク機器のアドレスに置き換えることを特徴とする請求項１１記載のポート開閉制御方法。
13. 前記ポートのオープン要求に応じて開いたポートでパケットデータを受信すると、前記パケットデータのうち前記ポートのオープン要求を送信した前記外部端末からのパケットデータのみを前記ポートのオープン要求で指定された端末名称に対応する内部端末へ転送させるファイアウォール機能実行ステップを更に有することを特徴とする請求項９又は１０記載のポート開閉制御方法。
14. 前記外部端末から前記オープンしたポートのクローズ要求を受信すると、前記外部端末から受信した前記ポートのオープン要求に応じて開いたポートを閉じるポートのクローズステップを有することを特徴とする請求項９乃至１３何れか一項記載のポート開閉制御方法。
15. 前記認証機能実行ステップは、前記認証が失敗するとエラーを送信し、前記端末情報に基づく端末名称のリストを外部端末に送信するリスト送信ステップは実行しないことを特徴とする請求項９乃至１４何れか一項記載のポート開閉制御方法。
16. 前記ネットワーク機器はルータ装置であることを特徴とする請求項９乃至１５何れか一項記載のポート開閉制御方法。
17. 内部ネットワークと外部ネットワークとの間に接続されており、ポートフィルタリング機能を有する、記憶装置と演算処理装置とを含むネットワーク機器の制御プログラムであって、
    外部ネットワーク側に接続されている外部端末から端末情報取得要求があると、前記外部端末の認証を行う認証手段と、
    内部ネットワーク側に接続されている内部端末の端末名称及びポート番号を端末情報として管理している端末情報管理手段と、
    前記認証が成功すると前記端末情報に基づく端末名称のリストを外部端末に送信する端末名称リスト送信手段と、
    前記外部端末から前記端末名称を指定したポートのオープン要求を受信すると前記端末情報に基づき前記指定された端末名称に対応するポートを開くポート開閉制御手段と、
    そのポート番号を外部端末に送信するポート番号送信手段と
    して機能させるポート開閉制御プログラム。

Images