JP2008211446A - 通信システムおよび通信方法 - Google Patents

Abstract

【課題】 ゲストユーザが訪問先などのネットワークに一切の支障を与えることなく、訪問先のネットワークを介して基幹ネットワークにアクセスする。
【解決手段】 基幹ネットワークおよびＬＡＮに接続不可のゲスト端末と、ＬＡＮおよびゲスト端末に接続可能で、ゲスト端末と宛先サーバとの間で送受信されるパケットを転送する転送装置と、基幹ネットワークに接続され、転送装置を介して行われるゲスト端末から宛先サーバへのアクセスを制御する管理サーバとを備え、転送装置は、ゲスト端末から宛先サーバを宛先として送信されたパケットを受信し、管理サーバを宛先とするカプセル化ヘッダを付けてカプセル化したパケットとして送信し、当該パケットを受信した管理サーバは当該パケットをデカプセル化し、送信元をゲスト端末から管理サーバにアドレス変換したパケットを宛先サーバに送信する構成である。
【選択図】 図１

Description

本発明は、基幹ネットワーク（例えばインターネット）に接続されたローカルエリアネットワーク（ＬＡＮ）を介さず、そのＬＡＮに接続された有線端末または無線端末（転送装置）を介して基幹ネットワークにアクセスするための通信システムおよび通信方法に関する。

ＬＡＮには、ルータを介してインターネットなどの基幹ネットワークに接続するＬＡＮや、IEEE802.11規格（非特許文献１）におけるアドホックモードのように基幹ネットワークとの接続は行わず、端末間で直接に無線パケットをやり取りするＬＡＮなど、いろいろな形態がある。

前者のＬＡＮは、企業または家庭における一般的なＬＡＮの形態であり、インターネットを介して電子メールの送受信やＷＥＢ閲覧などに利用されている。一方、後者のＬＡＮは、端末を持ち寄って一時的に開催する会議などで、参加者間でファイル交換や書類の共同作成を行うために利用されている。なお、ＬＡＮを構成する物理的媒体としては、例えばIEEE802.3 規格の有線ＬＡＮ（イーサネット（登録商標））や、IEEE802.11規格の無線ＬＡＮがある。
IEEE802.11,"Wireless LAN Medium Access Control(MAC) and Physical(PHY) Layer Specifications", August 1999

企業または友人宅などを訪問したゲストユーザの立場では、訪問先のネットワーク設備を利用して、インターネットなどの基幹ネットワークにアクセスし、電子メールの送受信やＷＥＢ閲覧、さらに自宅のパソコンなどにリモートアクセスできることが要望されている。

しかし、ゲストユーザが訪問先のネットワークに直接に接続可能にすると、そのネットワーク内のファイルサーバへのアクセスも可能になる。また、インターネット上のサーバへアクセスしたときの送信元が訪問先のネットワークとなるので、ゲストユーザが掲示板などに書き込みをした場合でも、書き込みした者は訪問先のネットワークの所有者と認識されてしまう。このように、ゲストユーザが訪問先のネットワークに直接に（自由に）接続可能にすると、悪意をもったゲストユーザが侵入した場合に極めて不都合な事態になる。

また、プロキシサーバなどのファイアウォールを設置している環境では、ゲストユーザがインターネットにアクセスするために、ゲストユーザにプロキシサーバの設定などを知らせる必要があり、かつその設定をゲストユーザが行わなければならない。

以上の状況から、ゲストユーザに対して訪問先のネットワークへのアクセスを禁止しながら、ゲストユーザが訪問先のネットワークを介してインターネット上のサーバにアクセスしても、訪問先のネットワークからアクセスしたことを認識できなくする方法、そしてゲストユーザにプロキシサーバなどのファイアウォールに関する設定情報を知らせず、かつゲストユーザがその設定をせずともインターネットへのアクセスを可能にする方法などが検討されている。

本発明は、ゲストユーザが訪問先などのネットワークに一切の支障を与えることなく、訪問先のネットワークを介して基幹ネットワークにアクセスするための通信システムおよび通信方法を提供することを目的とする。

第１の発明は、基幹ネットワークにルータを介してローカルエリアネットワーク（ＬＡＮ）が接続され、そのＬＡＮに有線で接続された有線端末または無線で接続された無線端末から基幹ネットワークに接続された宛先サーバにアクセス可能な通信システムにおいて、基幹ネットワークおよびＬＡＮに接続不可のゲスト端末と、ＬＡＮおよびゲスト端末に接続可能で、ゲスト端末と宛先サーバとの間で送受信されるパケットを転送する転送装置と、基幹ネットワークに接続され、転送装置を介して行われるゲスト端末から宛先サーバへのアクセスを制御する管理サーバとを備え、転送装置は、ゲスト端末から宛先サーバを宛先として送信されたパケットを受信し、管理サーバを宛先とするカプセル化ヘッダを付けてカプセル化したパケットとして送信し、当該パケットを受信した管理サーバは当該パケットをデカプセル化し、送信元をゲスト端末から管理サーバにアドレス変換したパケットを宛先サーバに送信する構成であり、管理サーバは、ゲスト端末から送信されたパケットに応答して宛先サーバから送信されたパケットを受信し、その宛先を管理サーバからゲスト端末にアドレス逆変換し、さらに転送装置を宛先とするカプセル化ヘッダをつけてカプセル化したパケットとして送信し、当該パケットを受信した転送装置は当該パケットをデカプセル化し、ゲスト端末に送信する構成である。

管理サーバは、接続を許可するゲスト端末のアドレスを記載した接続許可リストを備え、転送装置から送信されたパケットをデカプセル化した後の送信元アドレスとこの接続許可リストを照合して接続可否を判断し、接続不可の場合に当該パケットを破棄する構成としてもよい。また、管理サーバは、接続許可リストに記載したアドレスの有効期限を管理し、当該有効期限を経過したアドレスを送信元とするゲスト端末からのパケットを破棄する構成としてもよい。

転送装置は、管理サーバからの設定によって前記接続許可リストと同じ内容の接続許可リストを備え、ゲスト端末から送信されたパケットの送信元アドレスとこの接続許可リストを照合して接続可否を判断し、接続不可の場合に当該パケットを破棄する構成としてもよい。また、転送装置は、接続許可リストに記載したアドレスの有効期限を管理し、当該有効期限を経過したアドレスを送信元とするゲスト端末からのパケットを破棄する構成としてもよい。

ゲスト端末は、管理サーバの正当性を検証する認証機能を備えるようにしてもよい。また、転送装置は、管理サーバの正当性を検証する認証機能を備えるようにしてもよい。また、有線端末または無線端末の少なくとも１つは、転送装置の機能を含む構成としてもよい。

第２の発明は、基幹ネットワークにルータを介してローカルエリアネットワーク（ＬＡＮ）が接続され、そのＬＡＮに有線で接続された有線端末または無線で接続された無線端末から基幹ネットワークに接続された宛先サーバにアクセス可能な通信方法において、基幹ネットワークおよびＬＡＮに接続不可のゲスト端末と、ＬＡＮおよびゲスト端末に接続可能で、ゲスト端末と宛先サーバとの間で送受信されるパケットを転送する転送装置と、基幹ネットワークに接続され、転送装置を介して行われるゲスト端末から宛先サーバへのアクセスを制御する管理サーバとを有し、転送装置は、ゲスト端末から宛先サーバを宛先として送信されたパケットを受信し、管理サーバを宛先とするカプセル化ヘッダを付けてカプセル化したパケットとして送信し、当該パケットを受信した管理サーバは当該パケットをデカプセル化し、送信元をゲスト端末から管理サーバにアドレス変換したパケットを宛先サーバに送信し、管理サーバは、ゲスト端末から送信されたパケットに応答して宛先サーバから送信されたパケットを受信し、その宛先を管理サーバからゲスト端末にアドレス逆変換し、さらに転送装置を宛先とするカプセル化ヘッダをつけてカプセル化したパケットとして送信し、当該パケットを受信した転送装置は当該パケットをデカプセル化し、ゲスト端末に送信する。

接続を許可するゲスト端末のアドレスを記載した接続許可リストが、管理サーバまたは管理サーバからの設定によって転送装置に備えられ、ゲスト端末から送信されたパケットの送信元アドレスとこの接続許可リストを照合して接続可否を判断し、接続不可の場合に当該パケットを破棄するようにしてもよい。

本発明では、基幹ネットワークおよびそれにルータを介して接続するＬＡＮに直接に接続できないゲスト端末が、ＬＡＮに接続された転送装置および基幹ネットワークに接続された管理サーバで構築するトンネリングによるパケットのカプセル化を利用することにより、ＬＡＮに直接に接続せずに基幹ネットワークに接続された宛先サーバにアクセスすることが可能になる。

また、トンネリングによるパケットのカプセル化により、ＬＡＮに接続する端末からのパケットとして扱われるため、基幹ネットワークおよびＬＡＮに接続できないゲスト端末がファイアウォールを越えるための煩雑な通信設定が不要になる。

さらに、基幹ネットワークとゲスト端末との間で送受信されるパケットが管理サーバでアドレス変換およびアドレス逆変換が行われ、当該パケットの送信元および宛先が管理サーバとなるので、基幹ネットワーク上のサーバから転送装置（あるいは転送装置が接続されるＬＡＮ）の識別ができなくなる。その一方で、管理サーバが当該ゲスト端末のアドレスを管理しているため、管理サーバからゲスト端末の識別が可能になる。

また、管理サーバあるいは管理サーバからの設定による転送装置が、接続可能なゲスト端末のアドレスおよび接続時間を管理することにより、基幹ネットワークにアクセスできるゲスト端末および時間を制限することができる。また、ゲスト端末または転送装置が管理サーバの正当性を検証することにより、第三者が不正に設置した管理サーバを利用することを防ぐことができる。

図１は、本発明の通信システムの実施形態を示す。ここでは、基幹ネットワークとしてインターネットを例とし、ネットワーク層をＩＰ(Internet Protocol) として説明する。
図１において、インターネット１０にルータ１１を介してＬＡＮ１２が接続される。そのＬＡＮ１２には、イーサネットなどの有線で接続される有線端末１３，１４、または無線ＬＡＮアクセスポイント（ＡＰ）１５を介して無線で接続される無線端末１６，１７が接続される。また、ＬＡＮ１２上には、インターネット１０へのアクセスを制御するプロキシサーバ１８がある。一方、インターネット１０上には、例えばＷＥＢ閲覧を行う宛先サーバ１９がある。

本発明の通信システムの特徴は、ゲストユーザが持ち込むゲスト端末２１をＬＡＮ１２に直接に接続せず、既存の有線端末１３，１４または無線端末１６，１７を介してインターネット１０に接続し、宛先サーバ１９にアクセス可能にする機能を備えるところにある。ここでは、有線端末１４および無線端末１６がゲスト端末２１をインターネット１０に接続する機能を備える「転送装置」とするが、ＬＡＮ１２に接続される専用の「転送装置」を備えてもよい。また、インターネット１０には、転送装置を介して行われるゲスト端末２１と宛先サーバ１９との接続を制御する管理サーバ２２が配置される。

ここで、ゲスト端末２１と転送装置との接続形態は、有線端末１４とイーサネットで有線接続する形態ａ、無線端末１６と無線ＬＡＮのアドホックモードまたはインフラストラクチャモードで無線接続する形態ｂ、有線端末１４がアクセスポイント（ＡＰ）機能を有する場合に無線接続する形態ｃ、無線端末１６が有線接続インタフェースを有する場合に有線接続する形態（図示せず）などがある。なお、有線接続されるゲスト端末２１が複数ある場合にはＨＵＢを介して接続される。

転送装置（有線端末１４または無線端末１６）は、まず管理サーバ２２の正当性を検証し、第三者が不正に設置した管理サーバでないことを確認する。次に、管理サーバ２２と転送装置との間で、ゲスト端末２１が送受信するパケットをカプセル化するためのトンネルを作成し、両端でカプセル化およびデカプセル化を行う。ゲスト端末２１は、このトンネリングを利用して管理サーバ２２の正当性を検証し、第三者が不正に設置した管理サーバでないことを確認する。

次に、ゲスト端末２１から宛先サーバ１９へのパケット転送について説明する。ゲスト端末２１は、図２(1) に示すように、送信元アドレスを自装置、宛先アドレスを宛先サーバ１９とするパケットを転送装置に送信する。転送装置は、このパケットを受信すると、図２(2) に示すように、送信元アドレスを転送装置、宛先アドレスを管理サーバ２２とするカプセル化ヘッダでカプセル化し、管理サーバ２２を宛先として当該パケットを送信する。ここで、プロキシサーバ１８を介する場合は、プロキシサーバ１８が代理に管理サーバ２２にアクセスするため、宛先アドレスがプロキシサーバ１８となる。このように、ゲスト端末２１から転送装置に送信されたパケットは、転送装置でカプセル化され、転送装置からのパケットとして管理サーバ２２に転送される。

管理サーバ２２は、転送装置から送信されたパケットを受信すると、図２(3) に示すように受信パケットのカプセル化を解除（デカプセル化）し、図２(4) に示すように送信元アドレスをゲスト端末２１のアドレスから管理サーバ２２のアドレスとするアドレス変換（ＮＡＰＴ(Metwork Address Port Translation)変換）を行い、宛先サーバ１９を宛先として当該パケットを送信する。

一方、宛先サーバ１９が受信したゲスト端末２１からのパケットに応答して、宛先サーバ１９からゲスト端末２１へ送信するパケットの転送についても、管理サーバ２２および転送装置（有線端末１４または無線端末１６）を介して行われる。すなわち、宛先サーバ１９は、図３(1) に示すように、送信元アドレスを自装置、宛先アドレスを管理サーバ２２とするパケットを送信する。管理サーバ２２は、図３(2) に示すように宛先アドレスを管理サーバ２２のアドレスからゲスト端末２１のアドレスとするアドレス逆変換（ＮＡＰＴ逆変換）を行い、図３(3) に示すように送信元アドレスを管理サーバ２２、宛先アドレスを転送装置とするカプセル化ヘッダでカプセル化し、転送装置を宛先として当該パケットを送信する。転送装置は、管理サーバ２２から送信されたパケットを受信すると、図３(4) に示すように受信パケットのカプセル化を解除（デカプセル化）し、ゲスト端末２１を宛先として当該パケットを送信する。

ここで、ゲスト端末２１が接続を許可されたものでないときに、宛先サーバ１９への通信を遮断させる方法として、管理サーバ２２で管理して遮断する方法と、管理サーバ２２の管理のもとで転送装置で遮断する方法の２つがある。管理サーバ２２で管理および遮断するには、許可する送信元アドレスを管理するための転送許可リスト（図４(1))、または許可する送信元アドレスプールを管理するための転送許可リスト（図４(2))を保持する。そして、転送装置からの受信パケットをデカプセル化したときに、元々のパケットの送信元アドレスが当該転送許可リストに記載されていれば、規定のゲスト端末２１からのパケットと判断して宛先サーバ１９に転送し、記載されていなければ当該パケットを破棄する。管理サーバ２２の管理のもとで転送装置が遮断する場合も同様の転送許可リストを保持し、ゲスト端末２１からの受信パケットの送信元アドレスを照合し、カプセル化して管理サーバ２２に転送するか破棄するかを選択する。

また、許可する送信元アドレスの利用期限をタイマ管理し、その利用期限に達した送信元アドレスを転送許可リストから削除するようにしてもよい。図４(1) の転送許可リストに対して図４(3) の転送許可リストは、送信元アドレス1.1.1.2 の利用期限が切れて削除された状態を示し、図４(2) の転送許可リストに対して図４(4) の転送許可リストは、送信元アドレス1.1.1.2 〜1.1.1.10の利用期限が切れて削除された状態を示す。

転送装置および管理サーバ２２でのカプセル化は、例えばＶＰＮ（Virtual Private Network)で用いられるＩＰsec カプセル化やＨＴＴＰカプセル化などの手法を利用することができる。ただし、例えば図２および図３に示すＨＴＴＰカプセル化のように、転送装置または管理サーバ２２はデータ部のみをカプセル化するのではなく、それぞれゲスト端末２１または宛先サーバ１９からのパケットのヘッダを含めてカプセル化する。ここでは、ゲスト端末２１のアドレスはゲストであるため、グローバルアドレスではなくプライベートアドレスとし、転送装置（有線端末１４または無線端末１６）のゲスト端末２１側のアドレスも、ゲスト端末２１と接続するためにプライベートアドレスとする。それ以外の装置のアドレスはグローバルアドレスとする。グローバルアドレスは、インターネット上で一意のアドレスであり、決して装置間で重複することがないアドレスである。

ここで、再度図２を参照し、さらに図５を参照してゲスト端末２１から宛先サーバ１９までのパケット転送の流れについて説明する。ゲスト端末２１は、図２(1) に示すパケットを送信する。転送装置は、宛先アドレスが管理サーバ２２、送信元アドレスが転送装置となるカプセル化ヘッダを付け、ポート番号80（ＨＴＴＰ）または 443（ＨＴＴＰＳ）の図２(2) に示すパケットとして、ルータ１１、インターネット１０を介して管理サーバ２２に転送する。これは、転送装置の上位層における処理となる。管理サーバ２２では、転送装置からのパケットをデカプセル化し、送信元アドレスをゲスト端末２１のプライベートアドレスから管理サーバ２２のグローバルアドレスにアドレス変換し、図２(4) に示すパケットを宛先サーバ１９に転送する。これは、管理サーバ２２の上位層における処理となる。宛先サーバ１９が受信したゲスト端末２１からのパケットに応答して、宛先サーバ１９からゲスト端末２１へ送信するパケットの転送の流れについても同様である。

なお、転送装置から管理サーバ２２にＨＴＴＰ／ＨＴＴＰＳでアクセスできる環境であれば、プロキシサーバ１８を介する場合にも同様に、転送装置から管理サーバ２２にアクセスできる。それに加えて、転送装置から管理サーバ２２にＨＴＴＰ／ＨＴＴＰＳでアクセスできる環境であれば、ルータ１１のＬＡＮ側のアドレスと、転送装置のＬＡＮ側のアドレスはプライベートアドレスであってもよい。したがって、ゲスト端末２１においてプロキシサーバ１８の設定が不要となる。

図６は、ゲスト端末２１の構成例を示す。図において、ゲスト端末２１は、本発明の機能に関するものとして、転送装置と有線または無線による送受信制御を行う送受信制御部３１、管理サーバ２２の正当性を検証する認証検証部３２、データを生成および格納するデータ生成格納部３３を備える。

図７は、転送装置（有線端末１４または無線端末１６）の構成例を示す。図において、転送装置は、ゲスト端末２１と有線または無線による送受信制御を行う送受信制御部４１、ＬＡＮ１２およびインターネット１０に接続した管理サーバ２２との間で送受信制御を行う送受信制御部４２、管理サーバ２２の正当性を検証する認証検証部４３、ゲスト端末２１からの受信パケットのカプセル化および管理サーバ２２からの受信パケットのデカプセル化を行うカプセル化・デカプセル化部４４を備える。また、規定のゲスト端末２１の接続を許可する送信元アドレスを管理するための転送許可リスト４５、さらに許可した送信元アドレスの有効期限を管理する転送期限タイマ４６があってもよい。

図８は、管理サーバ２２の構成例を示す。図において、管理サーバ２２は、転送装置やインターネット１０に接続した宛先サーバ１９との間で送受信制御を行う送受信制御部５１、ゲスト端末２１や転送装置からの正当性の認証応答を行う認証応答部５２、転送装置からの受信パケットのデカプセル化および宛先サーバ１９からの受信パケットのカプセル化を行うカプセル化・デカプセル化部５３、転送装置からの受信パケットの送信元アドレスの変換および宛先サーバ１９からの受信パケットの宛先アドレスの変換を行うアドレス変換部５４、規定のゲスト端末２１の接続を許可する送信元アドレスを管理するための転送許可リスト５５を備える。また、許可した送信元アドレスの有効期限を管理する転送期限タイマ５６があってもよい。

なお、管理サーバ２２の転送許可リスト５５は、図７に示すように転送装置にあってもよい。ただし、転送装置の転送許可リスト４５は、管理サーバ２２の伝送許可リスト５５と同じ内容になるように管理される。また、転送許可リスト５５が管理サーバ２２のみにある場合には、転送期限タイマ５６も管理サーバ２２にあり、転送許可リスト４５，５５が転送装置および管理サーバ２２にそれぞれある場合には、転送期限タイマ４６，５６の一方が転送装置または管理サーバ２２の一方にあればよい。

また、管理サーバ２２の正当性を確認する方法は、公開鍵認証方法などを用いることができる。例えば、ゲスト端末２１の認証検証部３２または転送装置の認証検証部４３に公開鍵を格納し、管理サーバ２２の認証応答部５２に秘密鍵を格納しておけばよい。

本発明の通信システムの実施形態を示す図。 ゲスト端末２１から宛先サーバ１９へのパケット転送の説明する図。 宛先サーバ１９からゲスト端末２１へのパケット転送を説明する図。 転送許可リストの例を示す図。 各装置の接続形態を示す図。 ゲスト端末２１の構成例を示す図。 転送装置（有線端末１４、無線端末１６）の構成例を示す図。 管理サーバ２２の構成例を示す図。

符号の説明

１０ インターネット
１１ ルータ
１２ ＬＡＮ
１３ 有線端末
１４ 有線端末（転送装置）
１５ 無線ＬＡＮアクセスポイント（ＡＰ）
１６ 無線端末（転送装置）
１７ 無線端末
１８ プロキシサーバ
１９ 宛先サーバ
２１ ゲスト端末
２２ 管理サーバ
３１ 送受信制御部
３２ 認証検証部
３３ データ生成格納部
４１，４２ 送受信制御部
４３ 認証検証部
４４ カプセル化・デカプセル化部
４５ 転送許可リスト
４６ 転送制限タイマ
５１ 送受信制御部
５２ 認証検証部
５３ カプセル化・デカプセル化部
５４ アドレス変換部
５５ 転送許可リスト
５６ 転送制限タイマ

Claims (10)

1. 基幹ネットワークにルータを介してローカルエリアネットワーク（ＬＡＮ）が接続され、そのＬＡＮに有線で接続された有線端末または無線で接続された無線端末から基幹ネットワークに接続された宛先サーバにアクセス可能な通信システムにおいて、
   前記基幹ネットワークおよび前記ＬＡＮに接続不可のゲスト端末と、
   前記ＬＡＮおよび前記ゲスト端末に接続可能で、前記ゲスト端末と前記宛先サーバとの間で送受信されるパケットを転送する転送装置と、
   前記基幹ネットワークに接続され、前記転送装置を介して行われる前記ゲスト端末から前記宛先サーバへのアクセスを制御する管理サーバとを備え、
   前記転送装置は、前記ゲスト端末から前記宛先サーバを宛先として送信されたパケットを受信し、前記管理サーバを宛先とするカプセル化ヘッダを付けてカプセル化したパケットとして送信し、当該パケットを受信した前記管理サーバは当該パケットをデカプセル化し、送信元を前記ゲスト端末から前記管理サーバにアドレス変換したパケットを前記宛先サーバに送信する構成であり、
   前記管理サーバは、前記ゲスト端末から送信されたパケットに応答して前記宛先サーバから送信されたパケットを受信し、その宛先を前記管理サーバから前記ゲスト端末にアドレス逆変換し、さらに前記転送装置を宛先とするカプセル化ヘッダをつけてカプセル化したパケットとして送信し、当該パケットを受信した前記転送装置は当該パケットをデカプセル化し、前記ゲスト端末に送信する構成である
   ことを特徴とする通信システム。
2. 請求項１に記載の通信システムにおいて、
   前記管理サーバは、接続を許可するゲスト端末のアドレスを記載した接続許可リストを備え、前記転送装置から送信されたパケットをデカプセル化した後の送信元アドレスとこの接続許可リストを照合して接続可否を判断し、接続不可の場合に当該パケットを破棄する構成である
   ことを特徴とする通信システム。
3. 請求項２に記載の通信システムにおいて、
   前記転送装置は、前記管理サーバからの設定によって前記接続許可リストと同じ内容の接続許可リストを備え、前記ゲスト端末から送信されたパケットの送信元アドレスとこの接続許可リストを照合して接続可否を判断し、接続不可の場合に当該パケットを破棄する構成である
   ことを特徴とする通信システム。
4. 請求項２に記載の通信システムにおいて、
   前記管理サーバは、前記接続許可リストに記載したアドレスの有効期限を管理し、当該有効期限を経過したアドレスを送信元とするゲスト端末からのパケットを破棄する構成である
   ことを特徴とする通信システム。
5. 請求項３に記載の通信システムにおいて、
   前記転送装置は、前記接続許可リストに記載したアドレスの有効期限を管理し、当該有効期限を経過したアドレスを送信元とするゲスト端末からのパケットを破棄する構成である
   ことを特徴とする通信システム。
6. 請求項１に記載の通信システムにおいて、
   前記ゲスト端末は、前記管理サーバの正当性を検証する認証機能を備える
   ことを特徴とする通信システム。
7. 請求項１に記載の通信システムにおいて、
   前記転送装置は、前記管理サーバの正当性を検証する認証機能を備える
   ことを特徴とする通信システム。
8. 請求項１に記載の通信システムにおいて、
   前記有線端末または前記無線端末の少なくとも１つは、前記転送装置の機能を含む構成である
   ことを特徴とする通信システム。
9. 基幹ネットワークにルータを介してローカルエリアネットワーク（ＬＡＮ）が接続され、そのＬＡＮに有線で接続された有線端末または無線で接続された無線端末から基幹ネットワークに接続された宛先サーバにアクセス可能な通信方法において、
   前記基幹ネットワークおよび前記ＬＡＮに接続不可のゲスト端末と、
   前記ＬＡＮおよび前記ゲスト端末に接続可能で、前記ゲスト端末と前記宛先サーバとの間で送受信されるパケットを転送する転送装置と、
   前記基幹ネットワークに接続され、前記転送装置を介して行われる前記ゲスト端末から前記宛先サーバへのアクセスを制御する管理サーバとを有し、
   前記転送装置は、前記ゲスト端末から前記宛先サーバを宛先として送信されたパケットを受信し、前記管理サーバを宛先とするカプセル化ヘッダを付けてカプセル化したパケットとして送信し、当該パケットを受信した前記管理サーバは当該パケットをデカプセル化し、送信元を前記ゲスト端末から前記管理サーバにアドレス変換したパケットを前記宛先サーバに送信し、
   前記管理サーバは、前記ゲスト端末から送信されたパケットに応答して前記宛先サーバから送信されたパケットを受信し、その宛先を前記管理サーバから前記ゲスト端末にアドレス逆変換し、さらに前記転送装置を宛先とするカプセル化ヘッダをつけてカプセル化したパケットとして送信し、当該パケットを受信した前記転送装置は当該パケットをデカプセル化し、前記ゲスト端末に送信する
   ことを特徴とする通信方法。
10. 請求項９に記載の通信方法において、
    接続を許可するゲスト端末のアドレスを記載した接続許可リストが、前記管理サーバまたは前記管理サーバの設定によって前記転送装置に備えられ、前記ゲスト端末から送信されたパケットの送信元アドレスとこの接続許可リストを照合して接続可否を判断し、接続不可の場合に当該パケットを破棄する
    ことを特徴とする通信方法。

Images