JP2016058842A - 通信方法及び通信システム - Google Patents

Abstract

【課題】クライアント装置とサーバとの安全な通信を容易に導入する通信方法及び通信システムを提供する。【解決手段】外部ネットワーク２内のクライアント装置３が、外部ネットワークと分離された内部ネットワーク４内の内部サーバ５に中継サーバ６を介して接続する通信方法において、クライアント装置から内部サーバへの接続が要求された場合、クライアント装置が中継サーバを指定するステップと、クライアント装置が中継サーバに接続要求を送信するステップと、中継サーバがクライアント装置からの接続要求に応じて内部サーバとの通信を確立するステップとを含む。クライアント装置と中継サーバ間の通信における接続のセッションは、暗号化されている。【選択図】図１

Description

本発明は、通信方法及び通信システムに関する。

インターネットと企業内ネットワークとの境界に、いわゆるファイアウォールを導入することで、インターネットからのアクセスを制限するのが一般的である。近年では、ファイアウォールを介して通信を確立し、企業ネットワーク内部の情報をインターネット上で利用したいといった要求がある。インターネット等の外部ネットワークにあるクライアント装置（携帯端末、パーソナルコンピューター等）から企業内の内部ネットワークへ接続する方法としては、ＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）技術を利用するか、リバースプロキシ（Ｒｅｖｅｒｓｅ Ｐｒｏｘｙ）と呼ばれる技術を利用することが一般的である。

また、ファイアウォールを介した外部ネットワークと内部ネットワーク間の通信を確立する技術として、ファイアウォールを通過しやすいＨＴＴＰやＨＴＴＰＳなどの通信プロトコルで外部ホストへ接続し、その接続の中で外部ホストからデータを送信できる状態にするリバーストンネル（Ｒｅｖｅｒｓｅ Ｔｕｎｎｅｌｉｎｇ）が提案されている（特許文献１参照）。

特開２００３−５０７５６号公報

しかし、ＶＰＮを利用した場合には、一般的に専用ルーターのような高価な機器を必要とし、導入するためにはネットワークの再構築が必要であるという問題がある。
また、リバースプロキシを利用した場合には、例えば図７に示すシステム７１のように、外部ネットワーク７２内のクライアント装置７３からの要求を受け取るために、内部ネットワーク７４内のリバースプロキシサーバ７５毎に外部公開用のネットワークアドレスを割り当てる必要がある。また、複数の内部サーバ７６にアクセスする際には、１台のリバースプロキシサーバ７５でアクセスを振り分けることも可能だが、その場合は、外部公開用にＵＲＬの変換が必要になる。また従来の方法では、内部ネットワーク７４の所定のリソースを外部に対して公開するが、ファイアウォール７７もしくは境界ネットワークの構成を変更する必要があるという問題がある。また、外部ネットワーク７２内のクライアント装置７３がサーバ７８を介してアクセスする際は、通信が暗号化されないという問題がある。

本発明は上記のような事情に鑑みてなされたものであり、クライアント装置とサーバとの安全な通信を容易に導入することができる通信方法及び通信システムを提供する。

本発明によれば、外部ネットワーク内のクライアント装置が、外部ネットワークと分離された内部ネットワーク内の内部サーバに中継サーバを介して接続する通信方法において、クライアント装置から内部サーバへの接続が要求された場合、クライアント装置が中継サーバを指定するステップと、クライアント装置が中継サーバに接続要求を送信するステップと、中継サーバがクライアント装置からの接続要求に応じて内部サーバとの通信を確立するステップとを含み、クライアント装置と中継サーバ間の通信における接続のセッションが暗号化さていることを特徴とする通信方法が提供される。

本発明によれば、外部ネットワーク内のクライアント装置と、外部ネットワークと分離された内部ネットワーク内の内部サーバ及び中継サーバを備え、クライアント装置は、内部サーバへの接続を要求する機能と、中継サーバを指定する機能と、中継サーバに接続要求を送信する機能とを有し、クライアント装置と中継サーバ間の通信における接続のセッションが暗号化さていることを特徴とする通信システムが提供される。

本発明の一態様によれば、上記通信方法または通信システムにおいて、上記の内部ネットワーク内に設けられた内部中継サーバを更に備え、内部中継サーバが第１接続制御部を含み、中継サーバが第２接続制御部を含み、第２接続制御部は、内部中継サーバにトンネル確立要求を送信し、第１接続制御部から受信した応答がトンネル確立応答である場合に、中継サーバから内部中継サーバに通信するトンネルが確立されていると判断し、中継サーバは、クライアント装置から受信した接続要求を、第２接続制御部からトンネルを介して第１接続制御部に送信する。

本発明によれば、クライアント装置とサーバとの安全な通信を容易に導入することができる通信方法及び通信システムが提供される。

本発明の実施形態の通信システムの全体構成例を示す概念図である。 クライアント装置の機能上の構成を示すブロック図である。 内部サーバの機能上の構成を示すブロック図である。 中継サーバの機能上の構成を示すブロック図である。 本発明の他の実施形態の通信システムの全体構成例を示す概念図である。 本発明の通信方法の一例を説明するためのフロー図である。 従来のリバースプロキシを利用した通信システムを説明する概念図である。

以下に本発明の実施形態を説明するが、これらの実施形態により本発明が限定されるものではなく、本発明の概念の範囲において種々の形態を取り得る。

［通信システム］
図１は、本実施形態の通信システム１の全体構成の一例を示す図である。本実施形態の通信システム１は、外部ネットワーク２内のクライアント装置３と、外部ネットワーク２と分離された内部ネットワーク４内の内部サーバ５及び中継サーバ６を備える。そして、クライアント装置３は、内部サーバ５への接続を要求する機能と、中継サーバ６を指定する機能と、中継サーバ６に接続要求を送信する機能とを有し、クライアント装置３と中継サーバ６間の通信における接続のセッションが暗号化されていることを特徴とする。
上記の構成からなる通信システムは、クライアント装置とサーバとの安全な通信を安価で容易に導入することができる。

［クライアント装置］
図２は、クライアント装置３の機能上の構成を示すブロック図である。本実施形態のクライアント装置３は、例えば、スマートフォン、スマートデバイス等の携帯端末、あるいはパーソナルコンピューター（ＰＣ）等である。クライアント装置３は、例えば図２に示すような、処理部、通信部、表示部、入力部、記憶部を備える。
上記の機能は、クライアント装置３の処理部によって制御されてもよい。処理部は、各部間のデータの受け渡しを行うと共に、クライアント装置３全体の制御を行うものであり、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）が所定のメモリに格納されたシステムプログラム等を実行することによって実現される。

クライアント装置３の通信部は、内部サーバ５へのＨＴＴＰ（ハイパーテキスト・トランスファー・プロトコル）接続やＨＴＴＰＳ（ハイパーテキスト・トランスファー・プロトコル・セキュア）接続などの接続を要求する機能、中継サーバ６に接続要求を送信する機能を有する。
また、クライアント装置３は、中継サーバ６を指定する機能を有する。この機能では、所定の内部サーバに接続を要求するときに、所定の内部サーバに関連する中継サーバを指定することができる。例えば、内部サーバと中継サーバとの関係は、テーブル形式のリスト等によって、クライアント装置３又は中継サーバ６に格納されていてもよい。

記憶部は、処理部に接続され、処理部からの指令に応じて記憶されているデータを参照、読み出し、書き換える等といった処理が行われる。この記憶部は、例えば、フラッシュメモリやハードディスク等によって実現されてもよい。本実施形態における記憶部は、内部サーバ５のＵＲＬ（ユニフォーム・リソース・ロケータ）や、中継サーバ６を中継サーバとして利用するための情報等を格納していてもよい。
アプリケーションプログラムやＷｅｂブラウザ等を格納してもよい。アプリケーションプログラムは、ブラウザとしての機能を備えていてもよい。ブラウザとは、データを閲覧するためのプログラムであり、ＷＷＷ（ワールド・ワイド・ウェッブ）の情報を閲覧するためのウェブブラウザを含む。アプリケーションプログラムは、ブラウザ機能を利用して接続先の内部サーバのＵＲＬを指定することで、指定した内部サーバから送信された情報をアプリケーションプログラム上で表示することができる。

［内部サーバ］
図３は、本実施形態の内部サーバ５の機能上の構成を示すブロック図である。内部サーバ５は、メール、ワークフロー、コンテンツマネジメントシステム等のソフトウェアを含むアプリケーションプログラムを提供するシステム運営・管理者等が利用する情報処理装置（例えば、ワークステーションやパーソナルコンピューター等）である。内部サーバ５は、クライアント装置３から各種の接続要求を含むコマンド等を受信すると、クライアント装置３に対して情報を送信することができる。この内部サーバ５は、制御部、記憶部、入力部、表示部、通信部等を備えていてもよい。

内部サーバ５の制御部は、各部間のデータの受け渡しを行うと共に、内部サーバ５全体の制御を行うものであり、ＣＰＵが所定のメモリに格納されたプログラムを実行することによって実現される。記憶部は、例えば、データを参照、読み出し、書き換える等といった処理を行える、フラッシュメモリやハードディスク等の不揮発性記憶装置であってもよい。

［中継サーバ］
図４は、本実施形態の中継サーバ６の機能上の構成を示すブロック図である。中継サーバ６は、クライアント装置３と内部サーバ５との間に介在し、クライアント装置３から内部サーバ５への接続が要求された場合、中継サーバ６がクライアント装置３からの接続要求に応じて内部サーバ５との通信を確立する。中継サーバ６は、内部サーバ５を含む内部ネットワーク４内に存在する。

クライアント装置３と中継サーバ６間の通信における接続のセッションが暗号化される。暗号化の方法は、ＳＳＬ（セキュア・ソケット・レイヤー）技術を利用することができるがこれに限定されない。
これにより、アクセス先が暗号化されていない内部サーバ５に外部ネットワークから接続する場合、中継サーバ６によってクライアント装置３と中継サーバ６間が暗号化される。そのため、クライアント装置３のユーザーはネットワークの設定等を必要とせず、安全に外部ネットワーク２から内部ネットワーク４に接続できる。

上記通信システムにおいて、外部ネットワーク２と内部ネットワーク４とは、例えばファイアウォール７で分離される。本実施形態の通信システムでは、クライアント装置３からの接続要求に対して、外部ネットワーク２と内部ネットワーク４とを分離するファイアウォール等の設定を変更したり、通信システムの構成を変更することなく、安全に内部サーバ５へ接続することができる。

中継サーバ６は、内部サーバ５と同様に、制御部、記憶部、入力部、表示部、通信部を備えていてもよい。

また、クライアント装置３及び中継サーバ６は、暗号化手段として、暗号化部及び複合化部を備えていてもよい。暗号化手段は、クライアント装置３と中継サーバ６間の通信に暗号化を施す機能を有する。暗号化されるデータは、送受信されるデータの全部であってもよく、その一部であってもよい。具体的には、ＳＳＬ等によるの暗号化・複合化手法が用いられることが好ましい。

本実施形態に係る通信システムでは、中継サーバ６が外部公開用アドレスを有していれば良く、複数の内部サーバ５がある場合でも、内部サーバが外部公開用アドレスを有する必要がない。外部公開用アドレスは、中継サーバ６内の記憶部に格納されることが好ましい。

従来の技術では、サーバ毎に外部公開用のアドレスの割り当てやＤＮＳ（ドメイン・ネーム・サーバ）の登録が必要であったが、本実施形態に係る通信システムでは、中継サーバ６が外部公開用アドレスを有していればよい。その他の内部サーバ等には、外部公開用のアドレスを割り当てる必要がないという利点がある。
また、この利点は、内部サーバの数が増えた時に特に有利になる。例えば、従来のリバースプロキシを利用した技術では、リバースプロキシサーバ毎に外部公開用のアドレスを割り当てる必要があった。あるいは、１台のリバースプロキシサーバで複数台の内部サーバへのリクエストを受ける方法もあるが、この場合には、リバースプロキシサーバから内部サーバへの通信においてＵＲＬの変換が必要となっていた。本実施形態に係る通信システムでは、通信システムの設定の変更や外部公開用アドレスの新規の割り当て等を必要とせず、容易に導入することが可能となる。

＜他の実施形態＞
この実施形態の通信システムは、基本的には上記実施形態と同様であるが、図５に示すように、内部ネットワーク４内に設けられた内部中継サーバ８を更に備える。

そして、内部中継サーバ８が第１接続制御部（図示せず）を含み、中継サーバ６が第２接続制御部（図示せず）を含み、第２接続制御部は、内部中継サーバ８にトンネル確立要求を送信し、第１接続制御部から受信した応答がトンネル確立応答である場合に、中継サーバ６から内部中継サーバ８に通信するトンネル９が確立されていると判断し、中継サーバ６は、クライアント装置３から受信した接続要求を、第２接続制御部からトンネル９を介して第１接続制御部に送信する。

内部中継サーバ８は中継サーバ６とはファイアウォール７を介して相互に通信可能に接続され、内部中継サーバ８は外部公開用のアドレスにてアクセスされる。内部中継サーバ８はリクエスト内のＵＲＬを変換し、適切な内部サーバＮにリクエストを送信する。

［通信方法］
本発明の一実施形態によれば、外部ネットワーク内のクライアント装置が、外部ネットワークと分離された内部ネットワーク内の内部サーバに中継サーバを介して接続する通信方法が提供される。

この通信方法では、クライアント装置から内部サーバへの接続が要求された場合、クライアント装置が中継サーバを指定するステップ（Ｓ１０２）と、クライアント装置が中継サーバに接続要求を送信するステップ（Ｓ１０４）と、中継サーバがクライアント装置からの接続要求に応じて内部サーバとの通信を確立するステップ（Ｓ１０６−２からＳ１０６−６）とを少なくとも含む。この通信方法では、クライアント装置と中継サーバ間の通信における接続のセッションが暗号化さている（図６）。

この通信方法は、上記の実施形態の通信システムを利用して実現されてもよい。

１ 通信システム
２ 外部ネットワーク
３ クライアント装置
４ 内部ネットワーク
５ 内部サーバ
６ 中継サーバ
７ ファイアウォール
８ 内部中継サーバ
９ トンネル

Claims (4)

1. 外部ネットワーク内のクライアント装置が、外部ネットワークと分離された内部ネットワーク内の内部サーバに中継サーバを介して接続する通信方法において、
   クライアント装置から内部サーバへの接続が要求された場合、
   クライアント装置が中継サーバを指定するステップと、
   クライアント装置が中継サーバに接続要求を送信するステップと、
   中継サーバがクライアント装置からの接続要求に応じて内部サーバとの通信を確立するステップとを含み、
   クライアント装置と中継サーバ間の通信における接続のセッションが暗号化さていることを特徴とする通信方法。
2. 内部ネットワーク内に設けられた内部中継サーバを更に備え、
   内部中継サーバが第１接続制御部を含み、中継サーバが第２接続制御部を含み、
   第２接続制御部は、内部中継サーバにトンネル確立要求を送信し、第１接続制御部から受信した応答がトンネル確立応答である場合に、中継サーバから内部中継サーバに通信するトンネルが確立されていると判断し、中継サーバは、クライアント装置から受信した接続要求を、第２接続制御部からトンネルを介して第１接続制御部に送信することを特徴とする請求項１に記載の通信方法。
3. 外部ネットワーク内のクライアント装置と、
   外部ネットワークと分離された内部ネットワーク内の内部サーバ及び中継サーバを備え、
   クライアント装置は、
   内部サーバへの接続を要求する機能と、
   中継サーバを指定する機能と、
   中継サーバに接続要求を送信する機能とを有し、
   クライアント装置と中継サーバ間の通信における接続のセッションが暗号化さていることを特徴とする通信システム。
4. 内部ネットワーク内に設けられた内部中継サーバを更に備え、
   内部中継サーバが第１接続制御部を含み、中継サーバが第２接続制御部を含み、
   第２接続制御部は、内部中継サーバにトンネル確立要求を送信し、第１接続制御部から受信した応答がトンネル確立応答である場合に、中継サーバから内部中継サーバに通信するトンネルが確立されていると判断し、中継サーバは、クライアント装置から受信した接続要求を、第２接続制御部からトンネルを介して第１接続制御部に送信することを特徴とする請求項３に記載の通信システム。

Images