JP2011003957A - アクセス制御システム、アクセス制御方法、アクセス制御プログラム、及びアクセス制御プログラム用記録媒体 - Google Patents

Abstract

【課題】ホームネットワークに接続されたホーム機器に対して、外部ネットワークから確実かつ安全にアクセスすること。
【解決手段】ＨＧＷ情報取得部１３２が、第３エンドユーザ端末１５ｃからアクセス要求が送信された後に、外部ネットワーク３０に接続された外部ネットワーク側のアドレスを取得する。また、ホーム機器通信部１３３が、アクセス対象のホーム機器の識別子を用いてホームネットワークにブロードキャストを行ってホーム機器のアドレスを解決する。さらに、ＨＳＰサーバ１０へのログイン時に認証を行い、閉域かつセキュアな専用ネットワーク３１を経由してＨＧＷ１３のＮＡＰＴ／ＦＷ設定を行う。また、ＨＧＷを構成している各機能部を、ＯＳＧｉフレームワークを用いたバンドルで実装する。
【選択図】図１

Description

本発明は、外部ネットワークに配置されたエンドユーザ端末から、ホームネットワークに接続されているホーム機器にアクセスする技術に関する。

現在、インターネットの普及と、エンドユーザ宅内のホーム機器相互間をネットワークで結んだホームネットワークの進展とに伴い、ホームゲートウェイ（以下、ＨＧＷという）の必要性・重要性が増大している。ＨＧＷは、ＰＣ機器、ＡＶ系機器、電話系機器、白物家電機器系等の種々の系統の標準規格間をまたいで、アドレス変換やデータの載せ換え等を行うことにより、ホーム機器を相互に接続し、更にホームネットワーク内の各ホーム機器間の通信だけでなく、それらとインターネットとの通信を橋渡しする機能も有している。

このようなＨＧＷはエンドユーザ宅内に配置され、インターネット側からエンドユーザ宅内へのアクセス（逆方向のアクセスも含む）を制限するファイアウォール（以下、ＦＷという）機能や、プライベートアドレスをグローバルアドレスに変換（逆方向の変換も含む）するＮＡＰＴ（Network Address Port Translation）機能を備えている。

ＮＡＰＴ／ＦＷの設定は、ホームネットワークに接続されたホーム機器上で動作しているアプリケーションのポート番号や、ホーム機器にアクセスするエンドユーザ端末の接続位置等により、ユーザの有するホームネットワーク環境に応じて適宜設定されるが、一般的には、外部ネットワーク側からホームゲートウェイ側へのアクセスを拒否し、その逆のアクセスは許容するようにＦＷを設定し、ＵＰｎＰ（Universal Plug and Play） ＮＡＴトラバーサル（非特許文献３参照）を用いて、ＮＡＰＴ／ＦＷが設定されている。

しかしながら、ＤＮＳサーバ運営においては、アドレス情報の原本を保持するサーバへの問い合わせを最小にするため各サーバがキャッシュを一定期間保持しており、ダイナミックＤＮＳによりサーバのアドレスが書き換えられた直後には、各ＤＮＳサーバのキャッシュと不整合が生じるため、外部ネットワークに接続されているエンドユーザ端末からアクセスできないという問題があった。

また、ＵＰｎＰを用いたＮＡＰＴ／ＦＷ設定は、ホームネットワークに接続されたホーム機器がＵＰｎＰに対応している必要があるため、アクセス対象となるホーム機器が限定されるという問題があった。さらに、ＵＰｎＰを用いたＮＡＰＴ／ＦＷ設定は、外部ネットワークからのアクセスに対して認証を行わないため、悪意あるスクリプト等の攻撃対象となり得るという問題があった。

また、特許文献１には、アクセス対象となる対象機器が、自身にアクセスするためのＵＲＬを外部サーバ装置に登録しておき、同一のホームネットワークのＷｅｂブラウザ装置から該外部サーバ装置にアクセスすることにより、ソースアドレスの同一性をキーにしてＵＲＬを検索し、対象機器にアクセスする技術が開示されている。

しかしながら、外部サーバ装置へ登録するには対象機器がその登録機能を備える必要があるため、やはり、アクセス対象となるホーム機器が限定されるという問題があった。また、Ｗｅｂブラウザ装置は同一のホームネットワークに接続されているため、開示された構成や方法を用いた場合であっても、外部ネットワークからのアクセスには対応できないという問題もある。

特許第４１１０１４５号公報

"Dynamic Updates in the Domain Name System (DNS UPDATE)"、［online］、RFC2136、The Internet Engineering Task Force、［平成21年6月2日検索］、インターネット<http://www.ietf.org/rfc/rfc2136.txt> "DOMAIN NAMES - IMPLEMENTATION AND SPECIFICATION"、［online］、RFC1035、The Internet Engineering Task Force、［平成21年6月2日検索］、インターネット<http://www.ietf.org/rfc/rfc1035.txt> "Internet Gateway Device"、［online］、UPnP FORUM、［平成21年6月2日検索］、インターネット<http://www.upnp.org/standardizeddcps/igd.asp>

本発明は、上記課題を鑑みてなされたものであり、ホームネットワークに接続されたホーム機器に対して、外部ネットワークから確実かつ安全にアクセスすることを課題とする。

請求項１に記載の本発明は、外部ネットワークに配置されたユーザ端末からホームネットワークに接続されているホーム機器にアクセスするためのアクセス制御システムにおいて、前記外部ネットワークに配置され、ホーム機器の識別子と該ホーム機器でアクセス要求を待ち受けるポート番号とを関連付けて記憶手段に記憶しておき、記憶されているホーム機器を選択可能な管理ページを前記ユーザ端末に表示し、選択された対象ホーム機器に対応するポート番号を前記記憶手段から検索して、前記外部ネットワークと前記ホームネットワークとの境界に配置されたホームゲートウェイにおける外部ネットワーク側のアドレスに到達したアクセス要求を前記対象ホーム機器に転送するようＮＡＰＴ及びＦＷのテーブル情報を設定する設定要求を送信する受付サーバと、受付サーバ／ホーム機器からホーム機器／受付サーバへのアクセス制限を定めたアクセス制御リストに基づいて、前記設定要求を送信した受付サーバが前記対象ホーム機器にアクセス可能か否かを判定し、アクセス可能な場合に、ホーム機器の識別子からホームゲートウェイを検索可能なホームゲートウェイ識別子リストに基づいて、前記対象ホーム機器と同じホームネットワークに接続されたホームゲートウェイを検索し、専用ネットワークに配置されたアドレス管理サーバへの問い合わせ結果から得られた該ホームゲートウェイのアドレスに前記設定要求を中継する運用サーバと、専用ネットワークに接続されたホームゲートウェイの識別子と、該ホームゲートウェイにおける専用ネットワーク側のアドレスとを関連付けて管理しておき、前記運用サーバからの問い合わせに応じたホームゲートウェイのアドレスを送信するアドレス管理サーバと、前記専用ネットワークを介して中継された前記設定要求を受信する運用サーバ通信部と、該設定要求を受信した後に自身に設定された外部ネットワーク側のアドレスを取得する情報取得部と、前記設定要求を受信した後に前記対象ホーム機器の識別子を用いてホームネットワークにブロードキャストを行って該対象ホーム機器のアドレスを解決するホーム機器通信部と、前記外部ネットワーク側で待ち受けるポート番号を決定した後に、前記外部ネットワーク側のアドレス及びポート番号と前記対象ホーム機器のアドレス及びポート番号とを用いて、前記設定要求に応じた設定を行う設定部とを有するホームゲートウェイと、を備え、前記受付サーバは、前記ホームゲートウェイにおける外部ネットワーク側のアドレス及びポート番号を用いてＵＲＩ又はＲＤＰファイルを生成し、該ＵＲＩ又はＲＤＰファイルへのリンクを生成して、前記ユーザ端末からのアクセス要求を管理ページから前記対象ホーム機器に遷移させることを特徴とする。

請求項２に記載の本発明は、前記運用サーバ通信部と、前記情報取得部と、前記ホーム機器通信部と、前記設定部とは、ＯＳＧｉフレームワークを用いたバンドルで構成されていることを特徴とする。

請求項３に記載の本発明は、外部ネットワークに配置されたユーザ端末からホームネットワークに接続されているホーム機器にアクセスするためのアクセス制御方法において、前記外部ネットワークに配置された受付サーバにより、ホーム機器の識別子と該ホーム機器でアクセス要求を待ち受けるポート番号とを関連付けて記憶手段に記憶しておき、記憶されているホーム機器を選択可能な管理ページを前記ユーザ端末に表示し、選択された対象ホーム機器に対応するポート番号を前記記憶手段から検索して、前記外部ネットワークと前記ホームネットワークとの境界に配置されたホームゲートウェイにおける外部ネットワーク側のアドレスに到達したアクセス要求を前記対象ホーム機器に転送するようＮＡＰＴ及びＦＷのテーブル情報を設定する設定要求を送信するステップと、運用サーバにより、受付サーバ／ホーム機器からホーム機器／受付サーバへのアクセス制限を定めたアクセス制御リストに基づいて、前記設定要求を送信した受付サーバが前記対象ホーム機器にアクセス可能か否かを判定し、アクセス可能な場合に、ホーム機器の識別子からホームゲートウェイを検索可能なホームゲートウェイ識別子リストに基づいて、前記対象ホーム機器と同じホームネットワークに接続されたホームゲートウェイを検索し、専用ネットワークに配置されたアドレス管理サーバへ該ホームネットワークにおける専用ネットワーク側のアドレスを問い合わせるステップと、アドレス管理サーバにより、専用ネットワークに接続されたホームゲートウェイの識別子と、該ホームゲートウェイにおける専用ネットワーク側のアドレスとを関連付けて管理しておき、前記運用サーバからの問い合わせに応じたホームゲートウェイのアドレスを送信するステップと、前記運用サーバにより、前記問い合わせ結果から得られた該ホームゲートウェイのアドレスに前記設定要求を中継するステップと、ホームゲートウェイの運用サーバ通信部により、前記専用ネットワークを介して中継された前記設定要求を受信するステップと、当該ホームゲートウェイの情報取得部により、該設定要求を受信した後に自身に設定された外部ネットワーク側のアドレスを取得するステップと、当該ホームゲートウェイのホーム機器通信部により、前記設定要求を受信した後に前記対象ホーム機器の識別子を用いてホームネットワークにブロードキャストを行って該対象ホーム機器のアドレスを解決するステップと、当該ホームゲートウェイの設定部により、前記外部ネットワーク側で待ち受けるポート番号を決定した後に、前記外部ネットワーク側のアドレス及びポート番号と前記対象ホーム機器のアドレス及びポート番号とを用いて、前記設定要求に応じた設定を行うステップと、前記受付サーバにより、前記ホームゲートウェイにおける外部ネットワーク側のアドレス及びポート番号を用いてＵＲＩ又はＲＤＰファイルを生成し、該ＵＲＩ又はＲＤＰファイルへのリンクを生成して、前記ユーザ端末からのアクセス要求を管理ページから前記対象ホーム機器に遷移させるステップと、を有することを特徴とする。

請求項４に記載の本発明は、前記運用サーバ通信部と、前記情報取得部と、前記ホーム機器通信部と、前記設定部とは、ＯＳＧｉフレームワークを用いたバンドルで構成されていることを特徴とする。

請求項５に記載の本発明は、請求項１又は２に記載した受付サーバ、運用サーバ、アドレス管理サーバ、ホームゲートウェイの各処理をコンピュータに実行させることを特徴とする。

請求項６に記載の本発明は、請求項５に記載したアクセス制御プログラムを記録したことを特徴とする。

本発明によれば、ホームネットワークに接続されたホーム機器に対して、外部ネットワークから確実かつ安全にアクセスすることができる。

アクセス制御システムの全体構成を示す図である。 ＨＧＷの機能ブロック構成を示す図である。 アクセス制御システムの処理フローを示す図である。 画面遷移の一例を示す図である。 画面遷移の他の一例を示す図である。 画面遷移の他の一例を示す図である。

以下、一実施の形態について図面を用いて説明する。

図１は、本実施の形態に係るアクセス制御システムの全体構成を示す図である。本アクセス制御システム１は、エンドユーザ宅Ａ，Ｂのホームネットワーク３２に接続されたホーム機器１４に対し、外部ネットワーク３０を介して第３エンドユーザ端末１５ｃからアクセスするためのアクセス制御システムであって、ＨＳＰサーバ１０（第１ＨＳＰサーバ１０ａ，第２ＨＳＰサーバ１０ｂ）と、ＨＮＷ運用サーバ１１と、ＨＧＷアドレス管理サーバ１２と、ＨＧＷ１３（第１ＨＧＷ１３ａ，第２ＨＧＷ１３ｂ）と、専用ネットワーク３１とで構成されている。

なお、このようなアクセス制御システム１を構成している各サーバやＨＧＷは、ＣＰＵ等の演算処理装置やメモリ等の記憶装置を備えたコンピュータにより構成可能なものであり、各機能処理はプログラムによって実行される。また、このようなプログラムは記憶装置に記憶されており、記録媒体に記録することも、ネットワークを通して提供することも可能である。以下、本アクセス制御システム１の機能及び処理フローについて個別具体的に説明すると共に、本実施の形態における作用及び効果について説明する。

ＨＳＰ（Home network Service Provider）サーバ１０は、インターネット等の広く一般に用いられている広域網である外部ネットワーク３０に接続されており、エンドユーザ宅Ａ，Ｂのホームネットワーク３２に接続されているホーム機器の識別子と該ホーム機器でアクセス要求を待ち受けるポート番号とをそれぞれ関連付けて記憶部に記憶しておく機能を有している。また、第３エンドユーザ端末１５ｃからアクセス要求があった場合に、上記記憶部に記憶されているホーム機器の識別子（又はホーム機器の名称）や、ホーム機器へのアクセス方法（具体的には、リモートアクセス、又はリモートデスクトップ接続）を選択可能なホーム機器一元管理ページを第３エンドユーザ端末１５ｃに表示する機能を有している。なお、このホーム機器一元管理ページとは、複数のエンドユーザ宅Ａ，Ｂのホームネットワーク３２に接続された異なる様々なベンダの機器を纏めて一元的に管理し、画面に表示されるページである。また、エンドユーザ端末（第１エンドユーザ端末１５ａ〜第３エンドユーザ端末１５ｃ）とは、エンドユーザがアクセス制御に用いる端末であって、例えばＰＣ、携帯電話、ＴＶ等を一例とし、ホーム機器（第１ホーム機器１４ａ〜第３ホーム機器１４ｃ）とは、エンドユーザによりアクセス制御される対象機器である。

さらに、ＨＳＰサーバ１０は、第３エンドユーザ端末１５ｃを操作しているエンドユーザにより選択されたホーム機器（以降、対象ホーム機器という）に対応するポート番号を上記記憶部から検索して、ＨＧＷ１３の外部ネットワーク側のアドレスに到達したアクセス要求を対象ホーム機器に転送するようＨＧＷ１３のＮＡＰＴ及びＦＷのテーブル情報を設定するＮＡＰＴ／ＦＷ設定要求を送信する機能を有している。また、ＨＧＷ１３のＮＡＰＴ及びＦＷのテーブル情報が上記ＮＡＰＴ／ＦＷ設定要求に基づいて設定（変更や追加）された場合には、ＨＧＷ１３の外部ネットワーク側のアドレス及びポート番号を用いてＵＲＩ又はＲＤＰファイルを生成し、生成したＵＲＩ又はＲＤＰファイルへのリンクを生成した上でリダイレクトが可能であればリダイレクトを行い、第３エンドユーザ端末１５ｃからのアクセス要求をホーム機器一元管理ページから対象ホーム機器に遷移させる機能を有している。なお、ＨＳＰサーバ１０は、第３エンドユーザ端末１５ｃからアクセスがあった際に、予め登録されたエンドユーザ情報やパスワードを用いて、ログイン認証を行うことも可能となっている。

ＨＮＷ運用サーバ１１は、ＨＳＰサーバ１０とホームネットワーク３２との間の通信を司るサーバであって、ＨＳＰサーバ１０からホーム機器１４への通信（アクション中継）とホーム機器１４からＨＳＰサーバ１０への通信（ノーティファイ中継）との許可／不許可を設定したアクセスコントロールリスト（以下、ＡＣＬという）と、ホーム機器１４の識別子とＨＧＷ１３の識別子とを対応付けて記載したＨＧＷ識別子リスト（以下、ＨＩＬという）とを記憶しておく機能を有している。また、ＡＣＬに基づいて、上記ＮＡＰＴ／ＦＷ設定要求を送信したＨＳＰサーバ１０が対象ホーム機器にアクセス可能か否かを判定し、アクセス可能な場合に、ＨＩＬに基づいて、対象ホーム機器と同じホームネットワークのＨＧＷ１３を検索し、ＮＧＮ（Next Generation Network）網等の閉域かつセキュアな専用ネットワーク３１に配置されているＨＧＷアドレス管理サーバ１２へＨＧＷ１３のアドレスを問い合わせ、その問い合わせ結果から得られたＨＧＷ１３のアドレスにＮＡＰＴ／ＦＷ設定要求を中継する機能を有している。

ＨＧＷアドレス管理サーバ１２は、専用ネットワーク３１に接続されているＨＧＷ１３にアドレスを割り振ると共に、割り振ったＨＧＷ１３の専用ネットワーク側のアドレスとＨＧＷ１３の識別子とを関連付けて管理しておき、ＨＮＷ運用サーバ１１からの問い合わせに応じたＨＧＷ１３のアドレスを送信する機能を有している。

ＨＧＷ１３は、外部ネットワーク３０と専用ネットワーク３１とホームネットワーク３２とに接続され、ルータ機能、ＮＡＰＴ機能、ＦＷ機能を具備している。また、図２に示すように、専用ネットワーク３１を介して中継された上記ＮＡＰＴ／ＦＷ設定要求を受信するＨＮＷ運用サーバ通信部１３１と、ＮＡＰＴ／ＦＷ設定要求を受信した後に自身に設定された外部ネットワーク側のアドレスを取得するＨＧＷ情報取得部１３２と、ＮＡＰＴ／ＦＷ設定要求を受信した後に対象ホーム機器の識別子を用いてホームネットワーク３２にブロードキャストを行って対象ホーム機器のアドレスを解決するホーム機器通信部１３３と、外部ネットワーク側で待ち受けるポート番号を決定した後に、外部ネットワーク側のアドレス及びポート番号と対象ホーム機器のアドレス及びポート番号とを用いて、上記ＮＡＰＴ／ＦＷ設定要求に応じた設定を行うＮＡＰＴ／ＦＷ設定部１３４とで構成されている。このＨＧＷ１３を構成しているＨＮＷ運用サーバ通信部１３１と、ＨＧＷ情報取得部１３２と、ホーム機器通信部１３３と、ＮＡＰＴ／ＦＷ設定部１３４は、ＯＳＧｉ（Open Services Gateway initiative）フレームワークを用いたバンドルで実装されている。このようにバンドルで実装することにより、ＯＳＧｉフレームワークを用いて各バンドルを容易に配布し、アップデートが可能となるので、様々なホーム機器に対応することが可能となる。

本実施の形態では、ＨＳＰサーバ１０とＨＮＷ運用サーバ１１とを互いに独立した装置として説明するが、運用形態によっては、両サーバの機能を１つの装置に集約させることも可能である。

次に、本アクセス制御システム１の処理フローについて説明する。図３は、アクセス制御システムの処理フローを示す図である。

最初に、ステップＳ１において、第３エンドユーザ端末１５ｃから第１ＨＳＰサーバ１０ａに対してエンドユーザ宅のホーム機器へのアクセス要求（Ｗｅｂブラウザでのウェブ接続）があった場合に、ログイン認証を行い、第１ＨＳＰサーバ１０ａが、該エンドユーザ宅内に配置されているホーム機器を選択させるホーム機器一元管理ページを第３エンドユーザ端末１５ｃの画面に出力する。これにより、第３エンドユーザ端末１５ｃを操作しているエンドユーザは、エンドユーザ宅内において所望するホーム機器を選択することが可能となる。

ステップＳ２において、エンドユーザにより所定のホーム機器１４が選択された（以下、第１ホーム機器１４ａが選択されたものする）後に、第１ＨＳＰサーバ１０ａが、選択された第１ホーム機器１４ａで利用可能なアクセス方法を選択させる画面、具体的には「リモートアクセス」又は「リモートデスクトップ接続」を選択する表示を上記ホーム機器一元管理ページに出力する。

ステップＳ３において、第１ＨＳＰサーバ１０ａが、選択された第１ホーム機器１４ａでアクセス要求を待ち受けているポート番号を記憶部から検索取得し、ＮＡＰＴ／ＦＷ設定要求の識別子と、送信元である第１ＨＳＰサーバ１０ａの識別子と、送信先である第１ホーム機器１４ａの識別子と、第１ホーム機器１４ａの待ち受けポート番号と、第３エンドユーザ端末１５ｃのソースアドレスとを指定すると共に、必要に応じてＨＧＷ１３の待ち受けポート番号を指定し、これら指定情報を記載したＮＡＰＴ／ＦＷ設定要求パケットを中継するようＨＮＷ運用サーバ１１に送信する。

ステップＳ４において、ＮＡＰＴ／ＦＷ設定要求パケットを受信したＨＮＷ運用サーバ１１が、そのパケットに記載されている第１ＨＳＰサーバ１０ａの識別子と第１ホーム機器１４ａの識別子とを用いて、ＡＣＬの設定内容に基づいて送信可能な宛先であるか否かを判定し、送信可能な場合には、第１ホーム機器１４ａの識別子に対応付けられたＨＧＷ１３の識別子をＨＩＬから解決する（ここでは、第１ＨＧＷ１３ａの識別子が解決されたものとする）。その後、専用ネットワーク３１を介して第１ＨＧＷ１３ａの識別子をＨＧＷアドレス管理サーバ１２に送信して、第１ＨＧＷ１３ａにおける専用ネットワーク側のアドレスを解決する。そして、受信しているＮＡＰＴ／ＦＷ設定要求パケットを、解決されたアドレスの第１ＨＧＷ１３ａに中継する。

ステップＳ５において、専用ネットワーク３１を介してＨＮＷ運用サーバ１１で中継されたＮＡＰＴ／ＦＷ設定要求パケットを第１ＨＧＷ１３ａのＨＮＷ運用サーバ通信部１３１で受信した後に、ＨＧＷ情報取得部１３２が、自身の外部ネットワーク側に設定されているアドレスを取得する。そして、ホーム機器通信部１３３が、ＮＡＰＴ／ＦＷ設定要求パケットに記載されている第１ホーム機器１４ａの識別子を用いてホームネットワーク３２にブロードキャストを行い、第１ホーム機器１４ａのアドレスを解決する。その後、ＮＡＰＴ／ＦＷ設定部１３４が、ＮＡＰＴ／ＦＷ設定要求パケットにＨＧＷ１３の待ち受けポート番号が指定されている場合にはそのポート番号、指定されていない場合や予め規定されている場合には該規定に従うポート番号、又はランダムに決定したポート番号のうちいずれかを第１ＨＧＷ１３ａの待ち受けポート番号に用いて、ＨＧＷ情報取得部１３２により取得した外部ネットワーク側のアドレスであって決定した待ち受けポート番号に到達したパケットを、ホーム機器通信部１３３により解決した第１ホーム機器１４ａのアドレスであってＮＡＰＴ／ＦＷ設定要求に記載されている第１ホーム機器１４ａの待ち受けポート番号に転送可能とするように、ＮＡＰＴ及びＦＷのテーブル情報を設定（変更や追加）する。テーブル情報の設定が成功した場合には、第１ＨＧＷ１３ａの外部ネットワーク側のアドレス及び待ち受けポート番号、又はこれら２つの情報から生成されたＵＲＩを、専用ネットワーク３１を介して第１ＨＳＰサーバ１０ａに返却する。

ステップＳ６において、第１ＨＳＰサーバ１０ａが、返却されたＵＲＩをそのまま利用し、又は返却された第１ＨＧＷ１３ａの外部ネットワーク側のアドレス及び待ち受けポート番号からＵＲＩ又はＲＤＰファイルを生成し、ＵＲＩ又はＲＤＰファイルへのリンクを生成した上でリダイレクトが可能であればリダイレクトを行い、第３エンドユーザ端末１５ｃからのアクセス要求をホーム機器一元管理ページから第１ホーム機器１４ａに遷移させる。

ステップＳ７において、エンドユーザは、そのまま待機するか、画面に表示されているリンクをクリックすることにより、外部ネットワーク３０経由で第１ホーム機器１４ａにアクセスして制御することが可能となる。

最後に、ステップＳ８において、第１ホーム機器１４ａへのアクセス終了後、タイムアウト処理、又はホーム機器一元管理ページからのユーザの明示的な指示に基づいて、ステップＳ５で設定した設定情報をＮＡＰＴ／ＦＷのテーブル情報から削除する。

以上説明した本アクセス制御システムを用いることにより、例えば、１）Ｗｅｂブラウザを用いたホーム機器へのｈｔｔｐ／ｈｔｔｐｓでのリモートアクセス、２）Ｗｅｂブラウザとリモートデスクトップ接続とを用いたホーム機器へのリモートデスクトップ接続、３）Ｗｅｂブラウザと動画ファイルを再生可能なソフトウェアとを用いたＤＬＮＡ（Digital Living Network Alliance）のコンテンツ視聴等のサービスを提供することが可能となる。

最初に、上記１）の場合における画面遷移を図４に示す。このリモートアクセスは、ホーム機器を選択した後に、ＨＧＷ１３のＨＮＷ運用サーバ通信部１３１を経由してＮＡＰＴ／ＦＷ設定部１３４によりＮＡＰＴ／ＦＷ設定を行い、設定完了後にリダイレクトを行って、ホーム機器へ直接アクセスするアクセス方法である。

まず、第３エンドユーザ端末１５ｃの画面には、ホーム機器を選択するホーム機器一元管理ページが表示され（遷移Ｓａ１）、続いて、選択されたホーム機器で利用可能なアクセス方法等が表示される（遷移Ｓａ２）。リモートアクセスを選択することにより、ホーム機器の管理画面又はファイル閲覧を選択する画面が表示され（遷移Ｓａ３）、ファイル閲覧の開始が選択されることにより、ＨＮＷ運用サーバ１１経由でＨＧＷ１３のＮＡＰＴ／ＦＷ設定が行われる。ここで、新たなウィンドウが立ち上がり、ＮＡＰＴ／ＦＷ設定中には設定中であることが表示され（遷移Ｓａ４）、設定完了後にはその旨が表示される（遷移Ｓａ５）。その後、リダイレクトを行うか、又は画面上での指定箇所をクリックしてリンクを辿ることにより、ホーム機器のページが表示され、ホーム機器のファイルを閲覧することが可能となる（遷移Ｓａ６）。そして、ファイルの閲覧が終了する場合にはページを閉じることにより（遷移Ｓａ７）、遷移Ｓａ３の画面に戻る（遷移Ｓａ８）。その後、ファイル閲覧の終了を選択することにより全ての処理が終了する（遷移Ｓａ９、Ｓａ１０）。

次に、上記２）の場合における画面遷移を図５に示す。このリモートディスクトップ接続は、ホーム機器を選択した後に、ＨＧＷ１３のＨＮＷ運用サーバ通信部１３１を経由してＮＡＰＴ／ＦＷ設定部１３４によりＮＡＰＴ／ＦＷ設定を行い、設定完了後にアクセス対象のホーム機器にアクセス可能となるよう、ＨＧＷ１３の待ち受けポート番号と外部ネットワーク側のアドレスとを記述したＲＤＰファイルを生成し、該ＲＤＰファイルへのＵＲＬを記述したページを生成して、ホーム機器へリモートデスクトップで直接アクセスするアクセス方法である。

まず、第３エンドユーザ端末１５ｃの画面には、ホーム機器を選択するホーム機器一元管理ページが表示され（遷移Ｓｂ１）、続いて、選択されたホーム機器で利用可能なアクセス方法等が表示される（遷移Ｓｂ２）。ＲＤＰ接続を選択することにより、ＲＤＰ接続の開始／終了を選択する画面が表示され（遷移Ｓｂ３）、ＲＤＰ接続の開始が選択されることにより、ＨＮＷ運用サーバ１１経由でＨＧＷ１３のＮＡＰＴ／ＦＷ設定が行われ、ＲＤＰファイルが生成される。ここで、新たなウィンドウが立ち上がり、ＮＡＰＴ／ＦＷ設定中には設定中であることが表示され（遷移Ｓｂ４）、その設定やＲＤＰファイルが生成された後に、ＲＤＰファイルへのリンクを記述したページが表示される（遷移Ｓｂ５）。その後、表示された指定箇所をクリックすることにより外部プログラムが起動し、ホーム機器へリモートディスクトップ接続でアクセスすることが可能となる（遷移Ｓｂ６）。そして、そのホーム機器への接続を終了する場合には、ページを閉じることにより（遷移Ｓｂ７）、遷移Ｓｂ３の画面に戻る（遷移Ｓｂ８）。その後、ＲＤＰ接続の終了を選択することにより全ての処理が終了する（遷移Ｓｂ９、Ｓｂ１０）。

最後に、上記３）の場合における画面遷移を図６に示す。このコンテンツ視聴は、ホーム機器を選択した後に、ＨＧＷ１３のＨＮＷ運用サーバ通信部１３１及びホーム機器通信部１３３を経由してホーム機器が有するコンテンツ迄の階層を辿り、その提供可能なコンテンツリストを取得した後に、ＨＮＷ運用サーバ通信部１３１を経由してＮＡＰＴ／ＦＷ設定部１３４によりＮＡＰＴ／ＦＷ設定を行い、設定完了後にアクセス対象のホーム機器のコンテンツにアクセス可能となるよう、ＨＧＷ１３の待ち受けポート番号と外部ネットワーク側のアドレスとを記述したリンクを生成すると共にリダイレクトを行い、ホーム機器のコンテンツへ直接アクセスするアクセス方法である。

まず、第３エンドユーザ端末１５ｃの画面には、ホーム機器を選択するホーム機器一元管理ページが表示され（遷移Ｓｃ１）、続いて、選択されたホーム機器で利用可能なアクセス方法等が表示される（遷移Ｓｃ２）。ここで、コンテンツ視聴を選択することにより、ＨＮＷ運用サーバ通信部１３１及びホーム機器通信部１３３が、選択されたホーム機器により視聴可能なコンテンツを該ホーム機器から検索取得して表示する（遷移Ｓｃ３）。ビデオが選択されて、更に全てのビデオが選択された場合に（遷移Ｓｃ４）、ホーム機器が提供可能なビデオ１〜ビデオ３の開始／終了を選択する画面が表示され（遷移Ｓｃ５）、例えばビデオ１の開始が選択されることにより、ＨＮＷ運用サーバ１１経由でＨＧＷ１３のＮＡＰＴ／ＦＷ設定が行われる。ここで、新たなウィンドウが立ち上がり、ＮＡＰＴ／ＦＷ設定中には設定中であることが表示され（遷移Ｓｃ６）、ＨＧＷ１３へのリンクが生成された後に、そのリンクを記述したページが表示される（遷移Ｓｃ７）。その後、リダイレクトを行うか、表示された指定箇所をクリックすることにより外部プログラムが起動し、コンテンツ視聴が可能となる（遷移Ｓｃ８）。そして、そのコンテンツ視聴を終了する場合には、ページを閉じることにより（遷移Ｓｃ９）、遷移Ｓｃ５の画面に戻る（遷移Ｓｃ１０）。その後、ビデオ１の終了を選択することにより全ての処理が終了する（遷移Ｓｃ１１、Ｓｃ１２）。

本実施の形態によれば、ＨＧＷ情報取得部１３２が、第３エンドユーザ端末１５ｃからアクセス要求が送信された後に、外部ネットワーク３０に接続された外部ネットワーク側のアドレスを取得するので、ダイナミックＤＮＳによりＨＧＷ１３の外部ネットワーク側のアドレスが変更されるような場合であっても、第３エンドユーザ端末１５ｃからのアクセスを確実にＨＧＷ１３に遷移させ、ユーザによるホーム機器１４へのアクセスをより確実なものとすることができる。

本実施の形態によれば、ホーム機器通信部１３３が、アクセス対象のホーム機器の識別子を用いてホームネットワークにブロードキャストを行ってホーム機器のアドレスを解決するので、換言すれば、ホーム機器との通信においてはＵＰｎＰである必要はないので、ホーム機器がＵＰｎＰに対応している必要はなく、広く一般に普及している機器をアクセス制御の対象とすることができる。

本実施の形態によれば、ＨＳＰサーバ１０へのログイン時に認証を行い、閉域かつセキュアな専用ネットワーク３１を経由してＨＧＷ１３のＮＡＰＴ／ＦＷ設定を行うので、成りすましや盗聴等の危険性を低減することができる。

本実施の形態によれば、ＨＮＷ運用サーバ通信部１３１と、ＨＧＷ情報取得部１３２と、ホーム機器通信部１３３と、ＮＡＰＴ／ＦＷ設定部１３４とが、ＯＳＧｉフレームワークを用いたバンドルで実装されているので、将来におけるホーム機器の増設や機能に拡張に対して容易に対応することができる。

Ａ，Ｂ…エンドユーザ宅
１…アクセス制御システム
１０…ＨＳＰサーバ（受付サーバ）
１１…ＨＮＷ運用サーバ（運用サーバ）
１２…ＨＧＷアドレス管理サーバ（アドレス管理サーバ）
１３…ＨＧＷ（ホームゲートウェイ）
１３１…ＨＮＷ運用サーバ通信部（運用サーバ通信部）
１３２…ＨＧＷ情報取得部（情報取得部）
１３３…ホーム機器通信部
１３４…ＮＡＰＴ／ＦＷ設定部（設定部）
１４…ホーム機器
１５…エンドユーザ端末
３０…外部ネットワーク
３１…専用ネットワーク
３２…ホームネットワーク
Ｓ１〜Ｓ８…ステップ
Ｓａ１〜Ｓａ１０、Ｓｂ１〜Ｓｂ１０、Ｓｃ１〜Ｓｃ１２…遷移

Claims (6)

1. 外部ネットワークに配置されたユーザ端末からホームネットワークに接続されているホーム機器にアクセスするためのアクセス制御システムにおいて、
   前記外部ネットワークに配置され、ホーム機器の識別子と該ホーム機器でアクセス要求を待ち受けるポート番号とを関連付けて記憶手段に記憶しておき、記憶されているホーム機器を選択可能な管理ページを前記ユーザ端末に表示し、選択された対象ホーム機器に対応するポート番号を前記記憶手段から検索して、前記外部ネットワークと前記ホームネットワークとの境界に配置されたホームゲートウェイにおける外部ネットワーク側のアドレスに到達したアクセス要求を前記対象ホーム機器に転送するようＮＡＰＴ及びＦＷのテーブル情報を設定する設定要求を送信する受付サーバと、
   受付サーバ／ホーム機器からホーム機器／受付サーバへのアクセス制限を定めたアクセス制御リストに基づいて、前記設定要求を送信した受付サーバが前記対象ホーム機器にアクセス可能か否かを判定し、アクセス可能な場合に、ホーム機器の識別子からホームゲートウェイを検索可能なホームゲートウェイ識別子リストに基づいて、前記対象ホーム機器と同じホームネットワークに接続されたホームゲートウェイを検索し、専用ネットワークに配置されたアドレス管理サーバへの問い合わせ結果から得られた該ホームゲートウェイのアドレスに前記設定要求を中継する運用サーバと、
   専用ネットワークに接続されたホームゲートウェイの識別子と、該ホームゲートウェイにおける専用ネットワーク側のアドレスとを関連付けて管理しておき、前記運用サーバからの問い合わせに応じたホームゲートウェイのアドレスを送信するアドレス管理サーバと、
   前記専用ネットワークを介して中継された前記設定要求を受信する運用サーバ通信部と、該設定要求を受信した後に自身に設定された外部ネットワーク側のアドレスを取得する情報取得部と、前記設定要求を受信した後に前記対象ホーム機器の識別子を用いてホームネットワークにブロードキャストを行って該対象ホーム機器のアドレスを解決するホーム機器通信部と、前記外部ネットワーク側で待ち受けるポート番号を決定した後に、前記外部ネットワーク側のアドレス及びポート番号と前記対象ホーム機器のアドレス及びポート番号とを用いて、前記設定要求に応じた設定を行う設定部とを有するホームゲートウェイと、を備え、
   前記受付サーバは、前記ホームゲートウェイにおける外部ネットワーク側のアドレス及びポート番号を用いてＵＲＩ又はＲＤＰファイルを生成し、該ＵＲＩ又はＲＤＰファイルへのリンクを生成して、前記ユーザ端末からのアクセス要求を管理ページから前記対象ホーム機器に遷移させることを特徴とするアクセス制御システム。
2. 前記運用サーバ通信部と、前記情報取得部と、前記ホーム機器通信部と、前記設定部とは、ＯＳＧｉフレームワークを用いたバンドルで構成されていることを特徴とする請求項１に記載のアクセス制御システム。
3. 外部ネットワークに配置されたユーザ端末からホームネットワークに接続されているホーム機器にアクセスするためのアクセス制御方法において、
   前記外部ネットワークに配置された受付サーバにより、ホーム機器の識別子と該ホーム機器でアクセス要求を待ち受けるポート番号とを関連付けて記憶手段に記憶しておき、記憶されているホーム機器を選択可能な管理ページを前記ユーザ端末に表示し、選択された対象ホーム機器に対応するポート番号を前記記憶手段から検索して、前記外部ネットワークと前記ホームネットワークとの境界に配置されたホームゲートウェイにおける外部ネットワーク側のアドレスに到達したアクセス要求を前記対象ホーム機器に転送するようＮＡＰＴ及びＦＷのテーブル情報を設定する設定要求を送信するステップと、
   運用サーバにより、受付サーバ／ホーム機器からホーム機器／受付サーバへのアクセス制限を定めたアクセス制御リストに基づいて、前記設定要求を送信した受付サーバが前記対象ホーム機器にアクセス可能か否かを判定し、アクセス可能な場合に、ホーム機器の識別子からホームゲートウェイを検索可能なホームゲートウェイ識別子リストに基づいて、前記対象ホーム機器と同じホームネットワークに接続されたホームゲートウェイを検索し、専用ネットワークに配置されたアドレス管理サーバへ該ホームネットワークにおける専用ネットワーク側のアドレスを問い合わせるステップと、
   アドレス管理サーバにより、専用ネットワークに接続されたホームゲートウェイの識別子と、該ホームゲートウェイにおける専用ネットワーク側のアドレスとを関連付けて管理しておき、前記運用サーバからの問い合わせに応じたホームゲートウェイのアドレスを送信するステップと、
   前記運用サーバにより、前記問い合わせ結果から得られた該ホームゲートウェイのアドレスに前記設定要求を中継するステップと、
   ホームゲートウェイの運用サーバ通信部により、前記専用ネットワークを介して中継された前記設定要求を受信するステップと、
   当該ホームゲートウェイの情報取得部により、該設定要求を受信した後に自身に設定された外部ネットワーク側のアドレスを取得するステップと、
   当該ホームゲートウェイのホーム機器通信部により、前記設定要求を受信した後に前記対象ホーム機器の識別子を用いてホームネットワークにブロードキャストを行って該対象ホーム機器のアドレスを解決するステップと、
   当該ホームゲートウェイの設定部により、前記外部ネットワーク側で待ち受けるポート番号を決定した後に、前記外部ネットワーク側のアドレス及びポート番号と前記対象ホーム機器のアドレス及びポート番号とを用いて、前記設定要求に応じた設定を行うステップと、
   前記受付サーバにより、前記ホームゲートウェイにおける外部ネットワーク側のアドレス及びポート番号を用いてＵＲＩ又はＲＤＰファイルを生成し、該ＵＲＩ又はＲＤＰファイルへのリンクを生成して、前記ユーザ端末からのアクセス要求を管理ページから前記対象ホーム機器に遷移させるステップと、
   を有することを特徴とするアクセス制御方法。
4. 前記運用サーバ通信部と、前記情報取得部と、前記ホーム機器通信部と、前記設定部とは、ＯＳＧｉフレームワークを用いたバンドルで構成されていることを特徴とする請求項３に記載のアクセス制御方法。
5. 請求項１又は２に記載した受付サーバ、運用サーバ、アドレス管理サーバ、ホームゲートウェイの各処理をコンピュータに実行させることを特徴とするアクセス制御プログラム。
6. 請求項５に記載したアクセス制御プログラムを記録したことを特徴とするアクセス制御プログラム用記録媒体。

Images