JP2011049977A - 端末装置、通信方法、及びプログラム - Google Patents

Abstract

【課題】端末装置が、NAT機能を有するアクセス機器とSBCとを経由して制御通信とメディア通信を行うネットワーク構成において、NAT越えを効率的に行う。
【解決手段】通信ネットワークに接続されたアクセス機器の配下にアクセス網を介して備えられる端末装置であり、前記通信ネットワークと他の通信ネットワークとの接続点に設置される通信中継装置を経由して、メディア通信、及びメディア通信を制御するための制御通信を行う端末装置において、前記通信中継装置に対し、制御信号を送信し、当該制御信号に対する前記通信中継装置からの応答信号を受信するか否かを判定する判定手段と、前記判定手段により、前記応答信号を受信しなかったと判定された場合に、前記通信ネットワークに接続されたHTTPSトンネリングサーバとの間にHTTPSトンネルを設定し、当該HTTPSトンネルを介して、前記通信中継装置との間で制御通信及びメディア通信を行う通信制御手段と、を備える。
【選択図】図１

Description

本発明は、VoIP等のメディア通信におけるNAT越えの技術に関するものであり、特に、端末装置が、セッションボーダーコントローラー（以下、SBCと呼ぶ)を経由して、制御通信及びメディア通信を行うネットワーク環境におけるNAT越えの技術に関するものである。

近年、VoIPを利用したメディア通信サービスが普及しており、家庭内網や社内網、無線LAN網等の様々なアクセス網から利用されている。このようなアクセス網は、NAT機能を有するアクセス機器によりグローバルなネットワークに接続されており、アクセス網からアクセス機器を経由してメディア通信サービスが利用される。

VoIPを利用したメディア通信サービスでは、制御通信プロトコルとして、SIPが使われていることから、SIPのNAT越え問題を解決して、アクセス機器を経由した端末間のメディア通信をスムーズに行うための様々な技術が提案されている（例えば、非特許文献１〜３）。

ところで、VoIPのメディア通信サービスでは、所定の条件を満たしたVoIP網と、他のネットワーク（インターネット、他のVoIP網等）との間をSBCで接続した構成を用いる場合が多い。なお、本明細書における"インターネット"は、VoIP網のように特別なサービスを提供するための構成を含まない、一般的なグローバルIP網を指している。

SBCは、ネットワーク間で制御信号及びメディア信号を変換・中継する機能を有する装置であり、例えば、SBCは、インターネットに接続されたアクセス機器配下の端末装置から発出された音声信号を、VoIP網の規定に合うように変換し、VoIP網に送出する。このように、SBCを使用することにより、インターネットとVoIP網のような異なる信号条件のネットワーク間でのメディア通信の実施が可能となる。また、SBCは、RFC3581等のNAT透過のための機能も備えている。

西谷智広、市川弘幸、"NAT越えを支援する「シームレスコネクション」の検討"、電子情報通信学会総合大会、B-6-36, May 2008 西谷智広、荒井和博、市川弘幸、"NAT越えを支援する「シームレスコネクション」の検討と評価"、信学技法、108(203), 23-28, Sep. 2008 西谷智広、上水流由香、荒井和博、波多浩昭、市川弘幸、"NAT越えと暗号化を実現する「シームレスコネクション」の検討と評価"、信学技法、vol.108, no.457, NS2008-180, pp.211-216, Mar. 2009

さて、アクセス機器は、UDP及びTCPの両方の通信を透過する機器、UDP通信は遮断するがTCP通信を透過する機器、HTTP及びHTTPS以外のTCP通信とUDP通信とを遮断する機器の３つに分類することができる。以下では、UDP及びTCPの両方の通信を透過する機器をUDP透過NAT装置と呼び、UDP通信は遮断するがTCP通信は透過する機器をUDP非透過NAT装置と呼ぶ。また、HTTP及びHTTPS以外のTCP通信とUDP通信とを遮断する機器は、一般にWebプロキシ装置であることから、HTTP及びHTTPS以外のTCP通信とUDP通信とを遮断する機器をWebプロキシと呼ぶ。

端末装置から、アクセス機器を通り、SBCを経由して制御通信及びメディア通信を行うネットワーク構成において、アクセス機器がUDP透過NAT装置であれば、SBCが実装するNAT越え機能を利用することにより、端末装置は制御通信を行って、メディア通信を行うことができる。制御通信及びメディア通信は、UDPもしくはTCP上で行われるからである。

しかし、アクセス機器が、UDP非透過NAT装置あるいはWebプロキシである場合、UDPは遮断されるので、このままでは端末装置はメディア通信を行うことができない。更に、TCPやTLSに基づく制御通信を行う場合、Webプロキシでは制御通信も行うことができない。

また、SBCを用いた構成において、インターネットに接続されたどのアクセス機器からでもメディア通信を行うためには、盗聴・改ざん防止の観点から、制御信号及びメディア信号の暗号化を行うことが望ましい。

制御信号の暗号化のために、SIP over TLS（SIP/TLSと表記する）を使用し、メディア信号の暗号化のために、SRTPを使用することが考えられるが、現在の市場において、これらの暗号化プロトコル対応の端末装置とSBCはあまり普及しておらず、上記暗号化プロトコル対応とするためには、多くの端末装置及びSBCにおいて改造・更新等の面倒な作業が必要になる。このことから、制御信号、メディア信号の暗号化を簡易にできる技術が求められている。

本発明は、上記の点に鑑みてなされたものであり、端末装置が、NAT機能を有するアクセス機器とSBCとを経由して制御通信とメディア通信を行うネットワーク構成において、NAT越えを効率的に行うとともに、制御通信及びメディア通信の暗号化を簡易に実現するための技術を提供することを目的とする。

上記の課題を解決するために、本発明は、通信ネットワークに接続されたアクセス機器の配下にアクセス網を介して備えられる端末装置であり、前記通信ネットワークと他の通信ネットワークとの接続点に設置される通信中継装置を経由して、メディア通信、及びメディア通信を制御するための制御通信を行う端末装置であって、前記通信中継装置に対し、制御信号を送信し、当該制御信号に対する前記通信中継装置からの応答信号を受信するか否かを判定する判定手段と、前記判定手段により、前記応答信号を受信しなかったと判定された場合に、前記通信ネットワークに接続されたHTTPSトンネリングサーバとの間にHTTPSトンネルを設定し、当該HTTPSトンネルを介して、前記通信中継装置との間で制御通信及びメディア通信を行う通信制御手段と、を備えたことを特徴とする端末装置として構成される。

前記制御通信のプロトコルが、SIP／TCP又はSIP／TLSである場合において、前記通信制御手段は、前記判定手段により、前記応答信号を受信したと判定された場合に、前記通信ネットワークに接続されたUDP通信装置にUDPによる信号であるUDP信号を送信し、当該UDP信号に対するUDP応答信号を受信するか否かを判定し、前記UDP応答信号を受信しなかったと判定された場合において、メディア通信要求を契機として、前記HTTPSトンネリングサーバとの間にHTTPSトンネルを設定し、当該HTTPSトンネルを介してメディア通信を行う。この場合、前記通信制御手段は、前記メディア通信が終了したことを契機として、前記HTTPSトンネルを終了させる。

また、前記制御通信のプロトコルが、SIP／UDPである場合においては、前記通信制御手段は、前記判定手段により、前記応答信号を受信したと判定された場合に、前記HTTPSトンネルを設定することなく、前記通信中継装置との間で制御通信及びメディア通信を行う。

また、前記通信制御手段は、前記通信中継装置へ送信した制御信号に対し、当該通信中継装置から予め定めた種類の応答信号を受信した場合に、前記HTTPSトンネリングサーバとの間にHTTPSトンネルを設定し、当該HTTPSトンネルを介して、前記通信中継装置との間で制御通信及びメディア通信を行うこととしてもよい。

本発明によれば、端末装置が、NAT機能を有するアクセス機器とSBC（通信中継装置）とを経由して制御通信とメディア通信を行うネットワーク構成において、制御信号に対する応答信号を受信しなかったと判定された場合に、通信ネットワークに接続されたHTTPSトンネリングサーバとの間にHTTPSトンネルを設定し、当該HTTPSトンネルを介して、通信中継装置との間で制御通信及びメディア通信を行うこととしたので、NAT越えを効率的に行うことが可能となる。

また、通信中継装置へ送信した制御信号に対し、当該通信中継装置から予め定めた種類の応答信号（ネットワークがセキュアでないことを示す信号等）を受信した場合に、HTTPSトンネリングサーバとの間にHTTPSトンネルを設定し、当該HTTPSトンネルを介して、通信中継装置との間で制御通信及びメディア通信を行うこととすれば、制御通信及びメディア通信の暗号化を簡易に実現することが可能となる。

本発明の実施の形態におけるシステムの全体構成を示す図である。 端末装置T1の機能構成図である。 制御通信プロトコルが、SIP／TCP、又はSIP／TLSである場合の動作を説明するためのフローチャートである。 HTTPSトンネル構築を説明するための図である。 制御通信プロトコルが、SIP／UDPである場合の動作を説明するためのフローチャートである。 HTTPSトンネルを用いて暗号化を行う場合１の動作を説明するためのフローチャートである。 HTTPSトンネルを用いて暗号化を行う場合２の動作を説明するためのフローチャートである。

以下、図面を参照して本発明の実施の形態を説明する。

＜システム構成＞
図１に、本実施の形態におけるシステムの全体構成を示す。図１に示すように、本実施の形態のシステムは、VoIP網３とインターネット５とがSBC４を介して接続された構成を有する。インターネット５には、アクセス機器N1、HTTPSトンネリングサーバ６、UDP通信装置７、及びアクセス機器N2が接続され、VoIP網３にはVoIP端末８が接続されている。

アクセス機器N1は、アクセス網A1とインターネット５との接続点に設置されており、アクセス網A1には端末装置T1が接続されている。同様に、アクセス機器N2は、アクセス網A2とインターネット５との接続点に設置されており、アクセス網A2には端末装置T2が接続されている。

図１の構成において、SBC４は、前述したとおりの装置であり、SIPサーバ機能、メディア変換・中継機能、従来技術によるNAT越え機能等を有している。HTTPSトンネリングサーバ６は、各端末装置との間にHTTPSトンネルを形成し、HTTPSトンネルを介した通信を行うための機能を有する。UDP通信装置７は、端末装置T1、T2からUDPパケットからなるメッセージを受信したときに、UDPパケットからなる応答メッセージを端末装置T1、T2に返す装置である。UDP通信装置７として、例えばSTUNサーバを用いることができ、本実施の形態では、UDP通信装置７はSTUNサーバであるものとする。

アクセス機器N1、N2は、それぞれ、UDP透過NAT装置、UDP非透過NAT装置、又はWebプロキシである。端末装置T1、T2は、SIPによる制御通信をSBC４を経由して行って、他の端末装置との間でSBC４を介したメディア通信（音声通信、画像通信等）を行う機能を有する装置である。本実施の形態では、端末装置間の制御通信及びメディア通信は、必ずSBC４を経由する。

図２に、端末装置T1の機能構成図を示す。なお、端末装置T2は端末装置T1と全く同じ構成及び処理内容を有するため、以下では、端末装置T1のみについて説明する。

図２に示すように、端末装置T1は、データ通信部１１、接続制御部１２、制御通信部１３、メディア通信部１４、通信アプリケーション部１５を有する。

データ通信部１１は、通信ネットワークを介して他の装置とデータ通信を行うための機能部である。通信アプリケーション部１５は、メディア通信を実施するためのアプリケーションサービスをユーザに提供する機能部である。

制御通信部１３は、メディア通信のための接続を行うために必要な制御通信を行う機能部であり、本実施の形態では、SIP／SDPを用いた制御通信を行う機能を有する。メディア通信部１４は、メディア通信を行うための機能部であり、本実施の形態では、RTP／RTCPに基づく音声通信を行う機能を有する。

接続制御部１２は、制御通信及びメディア通信において、HTTPSトンネルを用いて通信を行うかどうかの判定を行い、判定結果に応じて、HTTPSトンネルの構築、HTTPSトンネルを介した通信等を行う機能部である。接続制御部１２の処理内容の詳細については後述する。

端末装置T1は、CPU、記憶装置等を有するコンピュータに上記の各機能を実現するためのプログラムを実行させることにより実現できる。当該プログラムは可搬メモリ等の記録媒体からコンピュータにインストールすることとしてもよいし、ネットワーク上のサーバからダウンロードすることとしてもよい。

＜システムの動作＞
次に、フローチャートを参照しながら、本実施の形態に係るシステムの動作について説明する。以下では、特に、端末装置T1について、その起動から、制御通信を経てメディア通信を行って、動作終了するまでの動作に着目して説明を行っている。

また、以下では、制御通信プロトコルの違い等に応じた異なる動作を説明しているが、端末装置T1は、以下で説明する全ての動作を実行可能である。下記のうちのどの動作を実行するかを端末装置T1に指示することにより、端末装置T1は、指示内容に対応した動作を行うことができる。
（１）SIP／TCP、又はSIP／TLSの場合
まず、制御通信プロトコルが、SIP over TCP (SIP／TCP)、又は、SIP over TLS (SIP／TLS)である場合の動作について、図３のフローチャートを参照して説明する。

端末装置T1が起動すると（電源投入、もしくは特定のアプリの起動など）、端末装置T1の制御通信部１３は、SBC４に対してSIPのREGISTER信号を送信する（ステップ１）。

端末装置T1の接続制御部１２は、REGISTER信号が送信されてからの時間を計測するとともに、REGISTER信号に対する応答信号の受信を監視している。接続制御部１２は、予め定めた時間内に、応答信号が受信されないことを検知すると（ステップ２の"応答なし"）、制御通信及びメディア通信に使用するためのHTTPSトンネルをHTTPSトンネルサーバ６との間に構築する（ステップ３）。これは、応答信号が受信されない場合、アクセス機器N1は、HTTP／HTTPS以外のTCP（及びUDP）を通さないWebプロキシであると考えられるからである。

ここで、図４を参照して、本実施の形態におけるHTTPSトンネル構築について説明する。

端末装置T1の接続制御部１２において、HTTPSトンネルを構築するとの判定がなされた場合、接続制御部１２は、HTTPSトンネリングサーバ６にトンネル接続要求を送り、HTTPSトンネリングサーバ６においてHTTPSトンネル通信に必要な設定がなされ、トンネル接続応答が返され、端末装置T1とHTTPSトンネリングサーバ６間でHTTPSトンネルを介した通信が可能になる。更に、接続制御部１２は、HTTPSトンネリングサーバ６を経由してSBC４との間で通信を行うことを可能とするために、HTTPSトンネリングサーバ６に対してアドレス割り当て要求を送信する。

これにより、図４に示すように、HTTPSトンネリングサーバ６において、端末装置T1の外部通信用のアドレスとポートが割り当てられる。このようにしてアドレスの割り当てを受けることは、TURNにおいてTURNサーバにアドレス割当要求を行い、アドレスの割り当てを受けることと同様である。割り当てられたアドレス及びポートは端末装置T1に通知され、端末装置T1は、HTTPSトンネルを介した通信を行う際には、自身のコンタクト情報を外部通信用アドレス／ポートとした制御信号を送信し、SBC４は、端末装置T1への送信先アドレスとして上記外部通信用アドレス／ポートを指定することになる。
図３のステップ３に続き、REGISTER処理（ステップ４）、発呼又は着呼の処理（ステップ５）、及びメディア通信（ステップ６）が行われる。これらの処理における通信は、全てステップ３で構築したHTTPSトンネルを経由して行われる。

このとき、端末装置T1では、接続制御部１２が、メディア通信部１４又は制御通信部１３から出力されたデータに対して、HTTPSトンネルに必要な暗号化やカプセリングの処理を行って、ネットワーク側に出力を行う。また、接続制御部１２が、HTTPSトンネルのデータを受信した場合には、当該データに対して復号、及びデカプセリングを行って、メディア通信部１４又は制御通信部１３へ出力する。

ステップ６のメディア通信が終了した場合（通話が終わったとき）、その後に着呼もしくは発呼を行う可能性があることから、HTTPSトンネルは終了させずにそのまま残しておく。ステップ７において、端末装置T1の動作を終了させるときに（電源OFF、アプリ終了等）、接続制御部１２の機能により、HTTPSトンネルを終了させる。なお、HTTPSトンネルを終了させるとは、例えば、端末装置T1が、端末装置T1におけるHTTPSトンネルのための設定やリソースを解放するとともに、端末装置T1がHTTPSトンネリングサーバ６にHTTPSトンネルを終了する旨の要求を送り、HTTPＳトンネリングサーバ６が、HTTPSトンネルのための設定やリソースを解放したりすることである。

図３のステップ２において、接続制御部１２が、予め定めた時間内に、REGISTER 信号に対する応答信号が受信されたことを検知した場合（"応答あり"）、アクセス機器N1は、UDP透過NAT装置もしくはUDP非透過NAT装置であると考えられる。そして、UDP透過であればアクセス機器N1はメディア通信を透過するが、UDP非透過であればアクセス機器N1は、メディア通信を透過できない。

そこで、端末装置T1の接続制御部１２は、UDP透過／非透過の判定を行うために、UDPパケット（本実施の形態ではSTUN Binding Request）をUDP通信装置７に対して送信する（ステップ１１）。

端末装置T1の接続制御部１２は、STUN Binding Requestが送信されてからの時間を計測するとともに、STUN Binding Requestに対する応答パケットであるSTUN responseの受信を監視している。接続制御部１２は、予め定めた時間内に、STUN responseが受信されないことを検知すると（ステップ１２の"応答なし"）、メディア通信を行う場合にHTTPSトンネルを構築する旨を認識する。具体的には例えば、メディア通信を行う場合にHTTPSトンネルを構築することを示す情報をメモリに記録しておく（ステップ１３）。この情報は、メディア通信要求（発呼もしくは着呼に係るINVITE等）を示す制御信号を接続制御部１２が検出した場合に参照される。

そして、その後に接続制御部１２は、メディア通信要求（発呼もしくは着呼）を検知したことを契機に（ステップ１４）、前記メモリに記録した情報を確認し、前述した方法を用いて、メディア通信用のHTTPSトンネルを構築する（ステップ１５）。なお、発呼もしくは着呼に係る制御通信は、アクセス機器N1を透過する通信なので、HTTPSトンネルを要しない。

その後、メディア通信（ステップ１６）が、ステップ１４で構築したHTTPSトンネルを介して行われる。

トンネル通信と非トンネル通信が混在した処理は、端末装置T1の接続制御部１２の制御に基づき行われる。すなわち、接続制御部１２が、制御通信部１３から出力された制御信号に対してはHTTPSトンネルのためのカプセリング等の処理を行わずに送出し、メディア通信部１４から出力されたデータに対してはHTTPSトンネルに必要な暗号化やカプセリングの処理を行って、出力を行う。また、接続制御部１２が、HTTPSトンネルのデータを受信した場合には、当該データに対して復号、及びデカプセリングを行って、メディア通信部１４へ出力し、HTTPSトンネルを経由しない制御信号を受信した場合には、そのまま制御通信部１３に出力する。

ステップ１６のメディア通信が終了した場合（通話が終わったとき等）、その後の着呼もしくは発呼の処理はHTTPSトンネルを介することなく行うことができるので、HTTPSトンネルを終了させる（ステップ１７）。

ステップ１２において、端末装置T1の接続制御部１２が、予め定めた時間内に、STUN responseを受信したことを検知した場合（ステップ１２の"応答あり"）、アクセス機器N1はUDP透過NAT装置であり、制御通信のみならず、メディア通信も透過させるものであると考えられる。従って、この場合、端末装置T1は、発呼もしくは着呼（ステップ２１）に応じて、HTTPSトンネルを構築することなく、メディア通信を行う（ステップ２２）。

（２）SIP／UDPの場合
次に、制御通信プロトコルが、SIP over UDP (SIP／UDP)である場合の動作について、図５のフローチャートを参照して説明する。

まず、端末装置T1が起動すると（電源投入、もしくはアプリの起動など）、端末装置T1の制御通信部１３は、SBC４に対してSIPのREGISTER信号を送信する（ステップ３１）。

端末装置T1の接続制御部１２は、REGISTER信号が送信されてからの時間を計測するとともに、REGISTER信号に対する応答信号の受信を監視している。接続制御部１２は、予め定めた時間内に、応答信号が受信されないことを検知すると（ステップ３２の"応答なし"）、制御通信及びメディア通信に使用するためのHTTPSトンネルをHTTPSトンネリングサーバ６との間に構築する（ステップ３３）。これは、応答信号が受信されない場合、アクセス機器N1は、UDPを通さない機器（UDP非透過NAT装置又はWebプロキシ）であると考えられるからである。その後のステップ３４〜３７は、（１）において図３に示したステップ４〜７と同じ処理である。

ステップ３２において、端末装置T1の接続制御部１２が、予め定めた時間内に、REGISTER信号の応答を受信したことを検知した場合（ステップ３２の"応答あり"）、アクセス機器N1はUDP透過NAT装置であると考えられる。従って、この場合、（１）のステップ２１、２２と同様に、端末装置T1は、発呼もしくは着呼（ステップ４１）に応じて、HTTPSトンネルを構築することなく、メディア通信を行う（ステップ４２）。
（３）HTTPSトンネルを用いて暗号化対応１
本実施の形態において、端末装置T1とHTTPSトンネリングサーバ６間でHTTPSトンネルを形成し、当該HTTPSトンネルを介して通信を行う場合、HTTPSトンネル内の通信が暗号化プロトコルでない場合（SIP／UDP、STP等）でも、HTTPSトンネルの効果によって、端末装置T1とHTTPSトンネリングサーバ６間ではセキュアな通信が可能となる。

また、VoIP網３はセキュアな網であるから、HTTPSトンネリングサーバ６とSBC４間をセキュアなネットワークで結ぶことにより、系全体でセキュアなシステムを構築できる。HTTPSトンネリングサーバ６とSBC４間をセキュアに結ぶ方法としては、例えば、VPNを用いる方法や、HTTPSトンネリングサーバ６とSBC４とをセキュリティの保たれた同一ロケーションに設置する方法等がある。

しかし、上述した（１）と（２）の場合において、アクセス機器N1が制御通信／メディア通信をHTTPSトンネルを介さずに透過させる場合には、HTTPSトンネルによるセキュリティ向上効果は得られない。

装置における処理負荷、及びパケットの遅延等をできるだけ少なくする観点からは、必要なときにだけHTTPSトンネルを用いる（１）と（２）の方式が効率が良いが、インターネット５がセキュアなネットワークでなく、かつ、通信に使用するプロトコルが暗号化対応のものでない場合、セキュリティの面で劣る場合がある。

そこで、本例では、特にセキュリティを重視し、アクセス機器N1のUDP／TCP透過を調べることなく、HTTPSトンネルを構築し、制御通信、メディア通信をHTTPSトンネルを介して行う。つまり、図６に示すように、端末装置T1は、起動時にまずHTTPSトンネルを構築し（ステップ５１）、その後にREGISTER処理を行う（ステップ５２）。そして、HTTPSトンネルを経由した発呼もしくは着呼の処理を経て（ステップ５３）、HTTPSトンネルを経由したメディア通信が行われ（ステップ５４）、端末装置T1の動作を終了させる（ステップ５５）。本例では、（１）のステップ３〜７と同様に、端末装置T1の動作を終了させるときにHTTPSトンネルを終了させる。本例の方式を用いることにより、インターネット５がセキュアなネットワークでなく、かつ、通信に使用するプロトコルが暗号化対応のものでなくても、簡易にセキュアな制御通信及びメディア通信を実現できる。

（４）HTTPSトンネルを用いて暗号化対応２
セキュリティを重視する場合において、上述した（３）の例では、全ての場合にHTTPSトンネルを用いることとしたが、SBC４とアクセス機器N1とを結ぶネットワークがもともとセキュアなネットワークであれば、HTTPSトンネルを用いることは不要である。本例（４）では、このようなネットワークのセキュリティを判定し、判定結果に応じてHTTPSトンネル構築を行う。本例の処理を図７を参照して説明する。

なお、本例では、SBC４は、セキュアなネットワークに対応するIPアドレスを記憶装置に格納しており、受信した信号（パケット）の送信元IPアドレスと、記憶装置に格納されたIPアドレスとを照合することにより、受信した信号の送信元がセキュアなネットワークに存在するかどうかを判定する判定機能を有しているものとする。ただし、受信した信号の送信元がセキュアなネットワークに存在するかどうかを判定する方法は、この方法に限られるわけではない。

図７に示すように、まず、端末装置T1が起動すると、端末装置T1の制御通信部１３は、SBC４に対してSIPのREGISTER信号を送信する（ステップ６１）。REGISTER信号を受信したSBC４は、受信したREGISTER信号の送信元IPアドレスをチェックし、端末装置T1がセキュアなネットワークに（アクセス機器N1を介して）接続されているかどうかを判定する（ステップ６２）。

セキュアなネットワークに接続されていると判定された場合（ステップ６２のYes)、SBC４は、REGISTER応答として２００OKを端末装置T1に返し（ステップ６３）、セキュアなネットワークに接続されていると判定されなかった場合は（ステップ６２のNo)、セキュリティ対応を要求することを示す応答（本例では494 Security Agreement Required）を返す（ステップ６４）。

端末装置T1の接続制御部１２は、SBC４から受信する応答の種類を判別し（ステップ６５）、２００OKであれば、予め端末装置T1に指示された制御信号プロトコルの種類に応じて、（１）におけるステップ１１以降の処理、もしくは、（２）におけるステップ４１以降の処理を行う（ステップ６６）。つまり、セキュアなネットワークに接続されている場合、アクセス機器N1透過のための必要に応じてHTTPSトンネルが構築される。

一方、セキュリティ応答（494 Security Agreement Required）を受信した場合、セキュアな通信を実現するために、HTTPSトンネルを構築し（ステップ６７）、HTTPSトンネルを介して制御通信（ステップ６８）及びメディア通信（ステップ６９）を行う。

その後、再度REGISTER信号を送信し、その応答として２００OKが返ってきた場合には、セキュリティ強化のためのHTTPSトンネルを終了し、ステップ６６の処理と同様に、アクセス機器N1透過のための必要に応じた処理を行う。また、端末装置T1の動作を終了する時点でHTTPSトンネルが存在する場合には、その時点でHTTPSトンネルを終了させる。

上記の例で、端末装置T1が、REGISTER信号からの応答を予め定めた時間内に受信しなかった場合（すなわち、REGISTER信号がSBC４に届かなかった場合）は、（１）のステップ３〜７もしくは（２）のステップ３３〜３７で説明した処理と同様の処理が行われるものとする。つまり、HTTPSトンネルが構築され、メディア通信及び制御通信ともにHTTPSトンネル経由で行われる。

（実施の形態の効果）
本実施の形態における技術を用いることにより、既存のSBCを利用しながらも、端末装置がSBCと接続可能なネットワークの範囲を拡大することができる。すなわち、インターネット上の様々な場所からVoIP網やPSTN等のインターネットと異なるネットワーク内の端末装置とメディア通信を行うことが可能となる。それとは逆に、VoIP網やPSTNに接続された端末装置からも本実施の形態に係る端末装置へ通話を行うことができる。これにより、端末装置を利用できる機会を向上させることができる。

また、HTTPSトンネリングを用いた場合、音声品質の低下や装置負荷の増加が懸念されるが、上記の（１）と（２）の方式を用いることにより、HTTPSトンネリングの利用機会を必要最小限とすることができ、HTTPSトンネリングを用いた場合の音声品質の低下や装置負荷の増加を最小限にすることができる。

また、HTTPSトンネル区間は暗号化されているため、メディア通信及び制御通信関しての暗号化プロトコルに対応していない端末装置を、HTTPSトンネルに対応させるだけで、システム全体でのセキュアなVoIP通信を実現できる。これにより、端末装置及びSBCの開発費用を抑制しながらも、通信の暗号化を実現できる。

本発明は、上記の実施の形態に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。

N1、N2 アクセス機器
A1、A2 アクセス網
T1、T2 端末装置
３ VoIP網
４ SBC
５ インターネット
６ HTTPSトンネリングサーバ
７ UDP通信装置
８ VoIP端末
１１ データ通信部
１２ 接続制御部
１３ 制御通信部
１４ メディア通信部
１５ 通信アプリケーション部

Claims (7)

1. 通信ネットワークに接続されたアクセス機器の配下にアクセス網を介して備えられる端末装置であり、前記通信ネットワークと他の通信ネットワークとの接続点に設置される通信中継装置を経由して、メディア通信、及びメディア通信を制御するための制御通信を行う端末装置であって、
   前記通信中継装置に対し、制御信号を送信し、当該制御信号に対する前記通信中継装置からの応答信号を受信するか否かを判定する判定手段と、
   前記判定手段により、前記応答信号を受信しなかったと判定された場合に、前記通信ネットワークに接続されたHTTPSトンネリングサーバとの間にHTTPSトンネルを設定し、当該HTTPSトンネルを介して、前記通信中継装置との間で制御通信及びメディア通信を行う通信制御手段と、
   を備えたことを特徴とする端末装置。
2. 前記制御通信のプロトコルが、SIP／TCP又はSIP／TLSである場合において、
   前記通信制御手段は、
   前記判定手段により、前記応答信号を受信したと判定された場合に、前記通信ネットワークに接続されたUDP通信装置にUDPによる信号であるUDP信号を送信し、当該UDP信号に対するUDP応答信号を受信するか否かを判定し、
   前記UDP応答信号を受信しなかったと判定された場合において、メディア通信要求を契機として、前記HTTPSトンネリングサーバとの間にHTTPSトンネルを設定し、当該HTTPSトンネルを介してメディア通信を行うことを特徴とする請求項１に記載の端末装置。
3. 前記通信制御手段は、前記メディア通信が終了したことを契機として、前記HTTPSトンネルを終了させることを特徴とする請求項２に記載の端末装置。
4. 前記制御通信のプロトコルが、SIP／UDPである場合において、
   前記通信制御手段は、
   前記判定手段により、前記応答信号を受信したと判定された場合に、前記HTTPSトンネルを設定することなく、前記通信中継装置との間で制御通信及びメディア通信を行うことを特徴とする請求項１ないし3のうちいずれか1項に記載の端末装置。
5. 前記通信制御手段は、
   前記通信中継装置へ送信した制御信号に対し、当該通信中継装置から予め定めた種類の応答信号を受信した場合に、前記HTTPSトンネリングサーバとの間にHTTPSトンネルを設定し、当該HTTPSトンネルを介して、前記通信中継装置との間で制御通信及びメディア通信を行うことを特徴とする請求項１に記載の端末装置。
6. 通信ネットワークに接続されたアクセス機器の配下にアクセス網を介して備えられる端末装置と、前記通信ネットワークと他の通信ネットワークとの接続点に設置される通信中継装置と、前記通信ネットワークに接続されたHTTPSトンネリングサーバとを備えた通信システムであり、前記端末装置が、前記通信中継装置を経由して、メディア通信、及びメディア通信を制御するための制御通信を行う通信システムにおける通信方法であって、
   前記端末装置が、前記通信中継装置に対して、制御信号を送信し、当該制御信号に対する前記通信中継装置からの応答信号を受信するか否かを判定する判定ステップと、
   前記判定ステップにおいて、前記応答信号を受信しなかったと判定された場合に、前記端末装置が、前記HTTPSトンネリングサーバとの間にHTTPSトンネルを設定するステップと、
   前記端末装置が、前記HTTPSトンネルを介して、前記通信中継装置との間で制御通信及びメディア通信を行う通信ステップと、
   を備えたことを特徴とする通信方法。
7. コンピュータを、通信ネットワークに接続されたアクセス機器の配下にアクセス網を介して備えられ、前記通信ネットワークと他の通信ネットワークとの接続点に設置される通信中継装置を経由して、メディア通信、及びメディア通信を制御するための制御通信を行う端末装置として機能させるためのプログラムであって、コンピュータを、
   前記端末装置から前記通信中継装置に対して送信された制御信号に対する、当該通信中継装置からの応答信号を受信するか否かを判定する判定手段、
   前記判定手段により、前記応答信号を受信しなかったと判定された場合に、前記通信ネットワークに接続されたHTTPSトンネリングサーバとの間にHTTPSトンネルを設定し、当該HTTPSトンネルを介して、前記通信中継装置との間で制御通信及びメディア通信を行う通信制御手段、
   として機能させるためのプログラム。
   
   

Images