JP2019153913A - ホームゲートウェイ装置、接続端末アクセス管理方法および接続端末アクセス管理プログラム - Google Patents

Abstract

【課題】接続する端末のインターネット網アクセスの管理の容易化が可能なホームゲートウェイ装置を提供する。【解決手段】HGW装置20は、インターネット網30へのアクセスを一時的に許可する端末の端末情報を登録する一時許可端末ホワイトリストと、該一時許可端末ホワイトリストへの登録用のキー情報を記憶しているUSBメモリ27を接続したことを検出した際に、該キー情報が適切なキー情報であった場合には、USBメモリ27が接続された旨の判定結果を出力するキー情報制御部25と、キー情報制御部25が出力した前記判定結果を取得した後、あらかじめ定めた許容時間が経過するまでの間に、前記端末が接続された場合には、該端末のMACアドレスを含む該端末の端末情報を、該一時許可端末ホワイトリストに登録して、以降、該端末からのインターネット網30へのアクセスを許可するアクセス制御部22と、を有する。【選択図】 図２

Description

本発明は、ホームゲートウェイ装置、接続端末アクセス管理方法および接続端末アクセス管理プログラムに関し、特に接続する端末のインターネット網やサーバへのアクセスを容易に管理することが可能なホームゲートウェイ装置、接続端末アクセス管理方法および接続端末アクセス管理プログラムに関する。

近年、インターネット網の普及およびインフラの整備により、インターネット網を利用した情報収集や、メールによる情報のやり取りは、一般的な環境になっている。オフィスにおける業務においても、情報の展開や、ネットワーク上のサーバに情報を蓄積するなど、インターネット網は無くてはならないものとなっている。そして、小規模のオフィスにおいては、ホームゲートウェイ装置（Home Ｇａｔｅｗay装置：以下、‘ＨＧＷ装置’と略記）やルータなどを設置し、その配下にパソコンなどの端末を接続してインターネット網を利用している。

ここで、オフィスにおいては、昨今のセキュリティや情報漏洩に対する意識の高まりに対応して、特許文献１の特表２０１３−５１２６３３号公報「ホームゲートウェイとブロードバンドアクセスノードとの間のセッションの管理による省電力化」等にも記載されているように、インターネット網や社内ネットワークへのアクセスを許可する端末に関する情報を、ＨＧＷ装置内にホワイトリストとしてあらかじめ登録して、運用しているケースも多い。そして、例えば、該ホワイトリストに登録されていない端末がＨＧＷ装置に接続された場合には、ＨＧＷ装置がインターネット網や社内ネットワークへのアクセスを拒否することにより、不正なアクセスを防止することを可能にしている。

特表２０１３−５１２６３３号公報

しかしながら、本発明に関連する現状の技術においては、以下のような問題がある。

第１の問題点は、インターネット網や社内ネットワークを利用可能とするためのセキュリティ設定が複雑である点である。その理由は、端末を特定するために必要な情報を把握し、ＨＧＷ装置に設定反映することが必要であり、その都度、人による設定変更が必要となるためである。

第２の問題点は、信用することができる端末であったとしても、セキュリティ機能により、ＨＧＷ装置からインターネット網や社内ネットワークに容易には接続することができない点である。その理由は、例外的に、社内ネットワークに端末を接続することができる手段がＨＧＷ装置内に存在しないためである。

つまり、現状の技術においては、セキュリティ面からホワイトリストの管理が厳重であるが故に、ホワイトリストに接続可能な端末として登録されている情報を柔軟に変更することが難しい。その要因は、オフィスにおいては、ホワイトリストに登録されている端末は、社員が業務で使用しているパソコンなどが該当し、オフィスに恒常的に設置されている端末であることが多いと想定されているからである。

しかし、当該オフィスに訪れた他拠点で従事する社員やお客様が持参したパソコンは、ホワイトリストに登録されていないため、訪問先のオフィスにおいてはインターネット網や社内ネットワークを利用することができない。訪問先のオフィスにおいて利用するためには、社内ネットワークの管理者が、訪問者それぞれの端末を一意に識別するためにＭＡＣアドレスなどの情報を確認して、ＨＧＷ装置のホワイトリストの設定を変更することによって、初めてインターネット網や社内ネットワークが利用可能となる。かくのごとく、ホワイトリストの登録手順は、複雑であり、かつ、時間を要するという問題があった。

（本発明の目的）
本発明は、以上のような事情に鑑みてなされたものであり、接続する端末のインターネット網やサーバへのアクセスを容易に管理することが可能なホームゲートウェイ装置、接続端末アクセス管理方法および接続端末アクセス管理プログラムを提供することを、その目的としている。

前述の課題を解決するため、本発明によるホームゲートウェイ装置、接続端末アクセス管理方法および接続端末アクセス管理プログラムは、主に、次のような特徴的な構成を採用している。

（１）本発明によるホームゲートウェイ装置は、
端末とインターネット網との間の接続を制御するホームゲートウェイ装置において、
インターネット網へのアクセスを一時的に許可する前記端末の端末情報を登録する一時許可端末ホワイトリストと、
前記一時許可端末ホワイトリストへの登録用のキー情報を記憶しているリムーバブルメディアや取り外し可能な補助記憶装置が接続されたことを検出した際に、該キー情報が、適切なキー情報であるか否かを判定し、適切なキー情報であった場合には、前記リムーバブルメディアや前記取り外し可能な補助記憶装置が接続された旨の判定結果を出力するキー情報制御手段と、
前記キー情報制御手段が出力した前記判定結果を取得してから、あらかじめ定めた許容時間が経過するまでの間に、前記端末が接続された場合には、該端末のＭＡＣアドレスを含む当該端末の端末情報を、前記一時許可端末ホワイトリストに登録して、以降、当該端末からのインターネット網へのアクセスを許可するアクセス制御手段と
を有することを特徴とする。

（２）本発明による接続端末アクセス管理方法は、
端末とインターネット網との間の接続を制御するホームゲートウェイ装置における接続端末アクセス管理方法であって、
インターネット網へのアクセスを一時的に許可する前記端末の端末情報を登録する一時許可端末ホワイトリストと、
前記一時許可端末ホワイトリストへの登録用のキー情報を記憶しているリムーバブルメディアや取り外し可能な補助記憶装置が接続されたことを検出した際に、該キー情報が、適切なキー情報であるか否かを判定し、適切なキー情報であった場合には、前記リムーバブルメディアや前記取り外し可能な補助記憶装置が接続された旨の判定結果を出力するキー情報制御ステップと、
前記キー情報制御ステップが出力した前記判定結果を取得してから、あらかじめ定めた許容時間が経過するまでの間に、前記端末が接続された場合には、該端末のＭＡＣアドレスを含む当該端末の端末情報を、前記一時許可端末ホワイトリストに登録して、以降、当該端末からのインターネット網へのアクセスを許可するアクセス制御ステップと
を有していることを特徴とする。

（３）本発明による接続端末アクセス管理プログラムは、
端末とインターネット網との間の接続を制御するホームゲートウェイ装置における接続端末のアクセスを管理する動作をコンピュータによって実行する接続端末アクセス管理プログラムであって、
インターネット網へのアクセスを一時的に許可する前記端末の端末情報を登録する一時許可端末ホワイトリストと、
前記一時許可端末ホワイトリストへの登録用のキー情報を記憶しているリムーバブルメディアや取り外し可能な補助記憶装置が接続されたことを検出した際に、該キー情報が、適切なキー情報であるか否かを判定し、適切なキー情報であった場合には、前記リムーバブルメディアや前記取り外し可能な補助記憶装置が接続された旨の判定結果を出力するキー情報制御処理と、
前記キー情報制御処理が出力した前記判定結果を取得してから、あらかじめ定めた許容時間が経過するまでの間に、前記端末が接続された場合には、該端末のＭＡＣアドレスを含む当該端末の端末情報を、前記一時許可端末ホワイトリストに登録して、以降、当該端末からのインターネット網へのアクセスを許可するアクセス制御処理と
を有していることを特徴とする。

本発明のホームゲートウェイ装置、接続端末アクセス管理方法および接続端末アクセス管理プログラムによれば、以下のような効果を奏することができる。

本発明においては、ＨＧＷ装置のホワイトリストにインターネット網へのアクセスを許可する端末に関する端末情報（ＭＡＣアドレス等）をあらかじめ登録していなくても、当該端末に一時的なインターネット網へのアクセス許可を容易に与えることができ、かつ、登録作業時間を短縮することができる。その理由は、一時的なアクセスを許可する一時許可端末ホワイトリストへの端末登録に必要なキーとしてあらかじめ用意されているリムーバブルメディアや取り外し可能な補助記憶装置が当該ＨＧＷ装置に接続されたことをトリガとして、しかる後、あらかじめ定めた許容時間が経過するまでの間に接続された端末に関する端末情報を自動的に一時許可端末ホワイトリストに登録する機能をＨＧＷ装置に備えているからである。

さらに、既存のＨＧＷ装置やネットワーク環境をそのまま流用することができ、専用の装置を用意したり、購入し直したりする必要がないことである。その理由は、ＨＧＷ装置のプログラム（ファームウェア）の拡張により、一時許可端末ホワイトリストへの登録動作に関する仕組みを実行することが可能になるからである。

本発明に係るＨＧＷ装置の接続構成の一例を示す接続構成図である。 図１に示したＨＧＷ装置の内部構成の一例を詳細に示すブロック構成図である。 図１に示したＨＧＷ装置の内部に備えられているホワイトリストの一例を示す模式図である。 本発明に係るＨＧＷ装置の接続構成の図１とは異なる他の例を示す接続構成図である。 図４に示したＨＧＷ装置の内部に備えられているホワイトリストの一例を示す模式図である。

以下、本発明によるホームゲートウェイ装置、接続端末アクセス管理方法および接続端末アクセス管理プログラムの好適な実施形態について添付図を参照して説明する。なお、以下の説明においては、本発明によるホームゲートウェイ装置および接続端末アクセス管理方法について説明するが、かかる接続端末アクセス管理方法をコンピュータにより実行可能な接続端末アクセス管理プログラムとして実施するようにしても良いし、あるいは、接続端末アクセス管理プログラムをコンピュータにより読み取り可能な記録媒体に記録するようにしても良いことは言うまでもない。また、以下の各図面に付した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、本発明を図示の態様に限定することを意図するものではないことも言うまでもない。

（本発明の特徴）
本発明の実施形態の説明に先立って、本発明の特徴についてその概要をまず説明する。本発明は、ホームゲートウェイ装置（以下、‘ＨＧＷ装置’と略記）に接続された接続端末にインターネット網やサーバへのアクセス権限を一時的に与える仕組みを備えることにより、ＨＧＷ装置の機能をより有効に利用することができることを主要な特徴としている。

本発明の特徴をさらに具体的に説明すると、次の通りである。本発明に係るＨＧＷ装置は、ホワイトリストにより接続端末のインターネット網アクセスを許可する機能、接続および抜去された接続端末を認識する機能、ホワイトリストへ接続端末の端末情報を一時的に登録する機能、ホワイトリストから一時的に追加された接続端末の端末情報を削除する機能を有しているものとする。そして、ＨＧＷ装置に一時的に端末を接続してインターネット網を利用したい場合、ユーザはネットワーク管理者からホワイトリストへの端末登録に必要なキーを借用する。ここで、借用するキーとしては例えばＵＳＢメモリである。

該ＵＳＢメモリには、ホワイトリストへの登録を認めるためのキー情報の他に、プログラムが格納されており、ＨＧＷ装置に該ＵＳＢメモリを接続すると、該ＵＳＢメモリ内に格納されたプログラムが自動的に起動して、ＨＧＷ装置内のインターネット網アクセスを管理しているアクセス制御部に対して、今から端末が接続されることを通知する動作を支援することも可能である。しかる後、あらかじめ定めた許容時間が経過するまでの間に、インターネット網への接続を行おうとする端末をユーザがＨＧＷ装置に接続すると、ＨＧＷ装置は該端末を検出して、該端末に関する端末情報（ＭＡＣアドレス等）をホワイトリストへ一時的に追加登録する。

而して、ユーザやネットワーク管理者は、複雑な操作を行うことなく、ゲストＰＣ（Personal Computer）などの端末を利用して、インターネット網や社内ネットワーク上のサーバへ一時的に接続することが可能になる。

（本発明の実施形態の構成例）
次に、本発明に係るＨＧＷ装置の構成例について、図面を参照しながら説明する。図１は、本発明に係るＨＧＷ装置の接続構成の一例を示す接続構成図である。

図１に示すＨＧＷ装置２０は、オフィス１０内に設置されており、インターネット網３０に接続されている。ＨＧＷ装置２０の配下には接続端末として例えば端末Ａ４０、端末Ｂ４１、端末Ｃ４２の３台の端末が接続されていて、端末Ａ４０、端末Ｂ４１、端末Ｃ４２の３台の各接続端末は、ＨＧＷ装置２０を介してインターネット網３０にアクセスすることが可能である。なお、端末Ａ４０、端末Ｂ４１、端末Ｃ４２の３台の各接続端末は、パソコン等の情報通信端末である。

図２は、図１に示したＨＧＷ装置２０の内部構成の一例を詳細に示すブロック構成図である。図２に示すように、ＨＧＷ装置２０は、インターネット接続部２１により、当該ＨＧＷ装置２０の配下に接続された端末Ａ４０や端末Ｂ４１等の接続端末をインターネット網３０に接続することができる。また、アクセス制御部２２は、ホワイトリスト２３の登録内容を参照して、当該ＨＧＷ装置２０の配下に接続された接続端末から受け取ったインターネット網３０への接続要求をインターネット接続部２１に引き渡すか否かを判断して、該接続端末のインターネット網３０へのアクセスを制御する機能を有している。

また、ネットワーク制御部２４は、ＨＧＷ装置２０の配下にある端末Ａ４０や端末Ｂ４１等が接続端末として当該ＨＧＷ装置２０のＬＡＮポートに接続されたこと、あるいは、逆に、ＨＧＷ装置２０のＬＡＮポートに接続端末として接続されていた端末Ａ４０や端末Ｂ４１等が抜去されて接続を切り離したことを判定する機能を有している。さらに、接続されたあるいは接続が切り離された端末Ａ４０や端末Ｂ４１等のＭＡＣアドレスを取得する機能も有している。そして、ネットワーク制御部２４は、端末Ａ４０や端末Ｂ４１等の接続や接続切り離しの判定結果と接続や接続切り離しを行った端末Ａ４０や端末Ｂ４１等のＭＡＣアドレスとを、アクセス制御部２２に通知する機能を有している。

また、キー情報制御部２５は、オフィス１０のネットワーク管理者からホワイトリスト２３への一時的な端末登録に必要なキーとして端末のユーザに貸し出したＵＳＢメモリ２７（ホワイトリスト２３への一時的な端末登録に必要とするキー情報と該登録動作を支援するプログラムとを記憶している）をＵＳＢポート２６に装着してＨＧＷ装置２０に接続したか、抜去してＨＧＷ装置２０との接続を切り離したかを判定するとともに、接続したことを検出した場合には、該ＵＳＢメモリ２７に記憶しているキー情報が適切なキー情報か否かを判定して、得られた判定結果を、アクセス制御部２２に通知する機能を有している。

図３は、図１に示したＨＧＷ装置２０の内部に備えられているホワイトリスト２３の一例を示す模式図である。図３に示すように、ホワイトリスト２３は、恒常的にインターネット網３０へのアクセスを許可する接続端末を登録する恒常許可端末ホワイトリスト２３１と一時的にインターネット網３０へのアクセスを許可する接続端末を登録する一時許可端末ホワイトリスト２３２とから構成されている。そして、恒常許可端末ホワイトリスト２３１、一時許可端末ホワイトリスト２３２のいずれにも、端末情報として、当該ＨＧＷ装置２０に接続された接続端末に関するＭＡＣアドレス（各接続端末を一意に識別することが可能な固有の情報）やＩＰアドレス（各接続端末へのアクセス用として割り当てられる情報）等が端末情報として登録される。

（本発明の実施形態の動作の説明）
次に、本発明の一例として図１、図２、図３に示したＨＧＷ装置２０の動作について、その一例を詳細に説明する。

まず、恒常的にインターネット網３０へのアクセスを許可する端末（恒常許可端末）を、ＨＧＷ装置２０に登録する場合の動作について説明する。オフィス１０内の社内ネットワークを管理する管理者は、ＨＧＷ装置２０内のホワイトリスト２３のうち、恒常的にインターネット網３０へのアクセスを許可する恒常許可端末に関する端末情報（ＭＡＣアドレス、ＩＰアドレス等）を恒常許可端末ホワイトリスト２３１にあらかじめ登録しておく。ここで、該管理者の恒常許可端末ホワイトリスト２３１への登録手段としては、ＨＧＷ装置２０の各種のパラメータの設定を行ったり、変更を行ったりするために当該ＨＧＷ装置２０にあらかじめ用意されている入出力用画面例えばＷｅｂ設定画面等を利用することにしている。

しかる後、恒常許可端末として恒常許可端末ホワイトリスト２３１に登録された端末例えば端末Ａ４０が、ＨＧＷ装置２０のＬＡＮポートに接続されると、ＨＧＷ装置２０のネットワーク制御部２４において、端末が接続されたことを検出するとともに、接続された該端末例えば端末Ａ４０のＭＡＣアドレスを取得する。そして、ネットワーク制御部２４は、端末が接続されたとの判定結果と、接続された端末例えば端末Ａ４０のＭＡＣアドレスとを、アクセス制御部２２に対して通知する。

アクセス制御部２２は、ネットワーク制御部２４から端末が接続されたとの通知を受け取ると、ホワイトリスト２３を参照して、ネットワーク制御部２４から受け取った端末例えば端末Ａ４０のＭＡＣアドレスが、ホワイトリスト２３に登録されているか否かを確認する。該端末例えば端末Ａ４０のＭＡＣアドレスが、ホワイトリスト２３の恒常許可端末ホワイトリスト２３１に登録されていることが確認されると、アクセス制御部２２は、当該端末例えば端末Ａ４０のインターネット網３０へのアクセスを許可する。したがって、アクセス制御部２２は、以降、ネットワーク制御部２４を介して、当該端末例えば端末Ａ４０から送信されてくるインターネット網３０向けの通信用パケットを、インターネット接続部２１に送信するように動作する。

ここで、インターネット接続部２１は、前述したように、インターネット網３０との接続機能を有しているので、アクセス制御部２２から受信した通信用パケットをインターネット網３０に向けて送信する。而して、当該端末例えば端末Ａ４０のユーザは、当該端末例えば端末Ａ４０を利用して、インターネット網３０へのアクセスが可能になる。

なお、前述の動作とは異なり、ネットワーク制御部２４から端末が接続されたとの通知を受け取った際に、ネットワーク制御部２４から受け取った該端末のＭＡＣアドレスが、ホワイトリスト２３の恒常許可端末ホワイトリスト２３１および一時許可端末ホワイトリスト２３２のいずれにも登録されていなかった場合には、アクセス制御部２２は、当該端末のインターネット網３０へのアクセスを禁止する。

したがって、かかる場合には、アクセス制御部２２は、以降、ネットワーク制御部２４を介して、当該端末から送信されてくるインターネット網３０向けの通信用パケットを、インターネット接続部２１に送信することなく、廃棄するように動作する。而して、当該端末のユーザは、当該端末を利用して、インターネット網３０へアクセスすることができない状態になる。

次に、一時的にインターネット網３０へのアクセスを許可する端末（一時許可端末）を、ＨＧＷ装置２０に登録する場合の動作について説明する。オフィス１０に居るユーザが、任意の端末をＨＧＷ装置２０に一時的に接続してインターネット網３０にアクセスしようとする場合には、まず、ホワイトリスト２３の一時許可端末ホワイトリスト２３２への端末登録に必要なキーとしてあらかじめ用意されているＵＳＢメモリ２７を、オフィス１０内の社内ネットワークを管理する管理者から借用する。そして、該ユーザは、借用したＵＳＢメモリ２７をＨＧＷ装置２０のＵＳＢポート２６に接続する。

その結果、ＵＳＢポート２６は、ＵＳＢメモリ２７が接続されたことを検知して、その旨を、キー情報制御部２５に通知する。キー情報制御部２５は、ＵＳＢポート２６に接続されたＵＳＢメモリ２７内に記憶されているキー情報を読み取って、該キー情報が、一時的にインターネット網３０にアクセスすることを許可するキー情報として適切な情報であるか否かを確認する。該キー情報が適切なキー情報であると確認すると、キー情報制御部２５は、これからＨＧＷ装置２０に接続される端末が、ＨＧＷ装置２０を利用してインターネット網３０への一時的なアクセスを許可する端末であることを認識する。

その結果、キー情報制御部２５は、一時許可端末ホワイトリスト２３２への一時的な端末登録に必要なキーとなるＵＳＢメモリ２７が接続された旨を、これからＨＧＷ装置２０のＬＡＮポートに接続される端末を、一時的にインターネット網３０への接続を認めたことを示す情報として、アクセス制御部２２に対して出力する。キー情報制御部２５からＵＳＢメモリ２７が接続された旨の接続通知を受け取ると、アクセス制御部２２は、キー情報制御部２５からの該接続通知を取得してから、あらかじめ定めた許容時間が経過するまでの間に、ネットワーク制御部２４から端末が接続されたことを検出したとの判定結果と、接続された端末のＭＡＣアドレスと、が通知されてくることを待ち合わせる。

なお、ＵＳＢメモリ２７にはキー情報の他に、該キー情報の確認を行い、かつ、ホワイトリスト２３の一時許可端末ホワイトリスト２３２に登録する端末が接続されることをあらかじめ定めた許容時間が経過するまで待ち合わせることをアクセス制御部２２に対して通知するキー情報制御部２５の動作を支援するプログラムが格納されている。該プログラムはＨＧＷ装置２０のＵＳＢポート２６にＵＳＢメモリ２７を接続すると、自動的に起動されて、キー情報制御部２５の動作を支援する動作として、前述したような動作を実行させる。例えば、ＨＧＷ装置２０のＵＳＢポート２６にＵＳＢメモリ２７が接続された際に、ＵＳＢメモリ２７内の前記プログラムを自動的に起動するような機能をあらかじめ持たせておくようにしてもよいし、あるいは、ＨＧＷ装置２０のＵＳＢポート２６にＵＳＢメモリ２７が接続された際に、ファームウェアが自動的にアップデートされる機能を利用して前述のような機能を実現するようにしてもよい。

ＵＳＢメモリ２７をＨＧＷ装置２０のＵＳＢポート２６に接続して、インターネット網３０にアクセスしようとするユーザが、次に、任意の端末例えば端末Ｂ４１をＨＧＷ装置２０のＬＡＮポートに接続すると、ネットワーク制御部２４が、該端末例えば端末Ｂ４１の接続を検出して、該端末例えば端末Ｂ４１のＭＡＣアドレスを取得し、該端末例えば端末Ｂ４１が接続されたことを検出したとの判定結果と接続された該端末例えば端末Ｂ４１のＭＡＣアドレスとを、アクセス制御部２２に対して通知する。

アクセス制御部２２は、ネットワーク制御部２４から端末例えば端末Ｂ４１が接続されたとの通知を受け取ると、ネットワーク制御部２４から受け取った端末例えば端末Ｂ４１のＭＡＣアドレスを、ホワイトリスト２３の一時許可端末ホワイトリスト２３２に登録する。そして、アクセス制御部２２は、以降、ネットワーク制御部２４を介して、当該端末例えば端末Ｂ４１から送信されてくるインターネット網３０向けの通信用パケットを、インターネット接続部２１に送信するように動作する。

インターネット接続部２１は、前述したように、インターネット網３０との接続機能を有しているので、アクセス制御部２２から受信した通信用パケットをインターネット網３０に向けて送信する。而して、当該端末例えば端末Ｂ４１のユーザは、当該端末例えば端末Ｂ４１を利用して、当該端末例えば端末Ｂ４１とＨＧＷ装置２０との接続が切り離されるまでの間、インターネット網３０への一アクセスが可能になる。

なお、あらかじめ定めた前記許容時間を経過しても、ネットワーク制御部２４から端末が接続されたことを検出したとの判定結果と、接続された端末のＭＡＣアドレスとが通知されてこなかった場合には、アクセス制御部２２は、ＵＳＢメモリ２７のＵＳＢポート２６への接続は誤接続であると判断して、ホワイトリスト２３の一時許可端末ホワイトリスト２３２への登録動作を中止する。

また、接続されていた端末がＨＧＷ装置２０のＬＡＮポートから抜去してＨＧＷ装置２０との接続が切り離されると、ネットワーク制御部２４は、該端末が抜去されたことを検出し、抜去されたとの判定結果と該端末のＭＡＣアドレスとを、アクセス制御部２２に通知する。アクセス制御部２２は、該端末の抜去の旨の通知を受け取ると、ホワイトリスト２３の一時許可端末ホワイトリスト２３２から該端末のＭＡＣアドレス等の端末情報を消去する。

而して、アクセス制御部２２は、以降、たとえ、当該端末を再度ＨＧＷ装置２０に接続して、ネットワーク制御部２４を介して、インターネット網３０向けの通信用パケットが当該端末から送信されてきたとしても、該通信用パケットを、インターネット接続部２１に送信することなく、廃棄するように動作する。つまり、ユーザが、一旦抜去した端末をＨＧＷ装置２０に接続して、再度、インターネット網３０にアクセスしようとする場合には、再度、ＵＳＢメモリ２７をＵＳＢポート２６に接続し直し、しかる後、当該端末をＨＧＷ装置２０のＬＡＮポートに接続し直す手順を繰り返し、当該端末のＭＡＣアドレス等の端末情報をホワイトリスト２３の一時許可端末ホワイトリスト２３２に登録し直すことが必要になる。

（実施形態の効果の説明）
以上に詳細に説明したように、本実施形態においては、以下のような効果を奏することができる。

第１の効果は、ＨＧＷ装置２０のホワイトリスト２３にインターネット網３０へのアクセスを許可する端末に関する端末情報（ＭＡＣアドレス等）をあらかじめ登録していなくても、当該端末に一時的なインターネット網３０へのアクセス許可を容易に与えることができ、かつ、登録作業時間を短縮することができることである。

その理由は、ＨＧＷ装置２０は、一時的なアクセスを許可する一時許可端末ホワイトリスト２３２への端末登録に必要なキーとしてあらかじめ用意されているＵＳＢメモリ２７がＨＧＷ装置２０に接続されたことをトリガとして、しかる後、あらかじめ定めた許容時間が経過するまでの間に接続された端末に関する端末情報を自動的にホワイトリスト２３の一時許可端末ホワイトリスト２３２に登録する機能を有しているからである。

第２の効果は、既存のＨＧＷ装置２０やネットワーク環境をそのまま流用することができ、専用の装置を用意したり、購入し直したりする必要がないことである。

その理由は、ＨＧＷ装置２０のプログラム（ファームウェア）の拡張により、本実施形態において説明したホワイトリスト２３の一時許可端末ホワイトリスト２３２への登録動作に関する仕組みを実行することが可能になるからである。

（本発明の他の実施形態）
次に、本発明の他の実施形態について説明する。本他の実施形態においては、オフィス１０内に、当該オフィス１０専用のサーバ５０を設置している場合に、該サーバ５０へのアクセス制御を行う場合について説明する。図４は、本発明に係るＨＧＷ装置の接続構成の図１とは異なる他の例を示す接続構成図である。図４に示すように、オフィス１０内の社内ネットワーク上に、種々のデータ等が格納されている当該オフィス１０に専用のサーバ５０が設置されていて、該サーバ５０は、ＨＧＷ装置２０Ａに接続されている。そして、オフィス専用の該サーバ５０は、端末Ａ４０、端末Ｂ４１、端末Ｃ４２のように、オフィス１０内に存在し、かつ、ＨＧＷ装置２０Ａに接続された端末のみからアクセスすることが可能な構成としている。

さらに、サーバ５０には、該サーバ５０独自のサーバ専用サブネットの情報が割り振られたＩＰアドレスがあらかじめ割り当てられていて、サーバ５０が接続されるＨＧＷ装置２０Ａのポート設定を変更して、サーバ５０がＨＧＷ装置２０Ａとは異なる別サブネット（ネットワーク）に存在するように構成している。したがって、ＨＧＷ装置２０Ａに接続される端末であっても、ＨＧＷ装置２０Ａのポート設定を変更して、サーバ５０が存在する別サブネットのポートに接続することによって、初めて、サーバ５０にアクセスすることができる。

なお、ＨＧＷ装置２０Ａの内部構成は、図３に示したホワイトリスト２３の構成が図５に後述するようなホワイトリスト２３Ａの構成に変わるだけで、その他については、図２に示したＨＧＷ装置２０と全く同様の構成からなっている。そして、ＨＧＷ装置２０ＡのＬＡＮポートに接続された端末は、該ＨＧＷ装置２０Ａのネットワーク制御部２４からアクセス制御部２２を経由して、サーバ５０にアクセスすることができるように構成している。

図５は、図４に示したＨＧＷ装置２０Ａの内部に備えられているホワイトリスト２３Ａの一例を示す模式図である。図５に示すホワイトリスト２３Ａは、一時許可端末ホワイトリスト２３２Ａの構成要素として、図３の場合に比し、新たに、アクセス許可アドレス２３２Ａ３の登録欄が追加された構成になっている。なお、一時許可端末ホワイトリスト２３２Ａの他の登録欄すなわちＭＡＣアドレス２３２Ａ１、ＩＰアドレス２３２Ａ２の登録欄、および、恒常許可端末ホワイトリスト２３１の登録欄に関しては、図３の場合と全く同様である。

アクセス許可アドレス２３２Ａ３は、オフィス１０内のサーバ５０にアクセスする際に用いるＩＰアドレスを登録する登録欄であり、ＩＰアドレス２３２Ａ２欄に登録されている通常のＩＰアドレス例えば「192.168.z.z」ではなく、サーバ５０と同一の別サブネットのＩＰアドレス例えば「192.168.v.v」または「192.168.w.w」が登録されている場合に限り、アクセス制御部２２がサーバ５０へのアクセスを許可することを示している。

なお、ここで、端末からのサーバ５０へのアクセスを許可するためにユーザに貸し出されるＵＳＢメモリ２７に関しては、ホワイトリスト２３の一時許可端末ホワイトリスト２３２への端末登録に必要なキー情報として、図５のアクセス許可アドレス２３２Ａ３に登録されているようなＩＰアドレスがあらかじめ追加して設定されているものとする。言い換えると、一時許可端末ホワイトリスト２３２Ａへの登録用のキー情報として、サーバ５０に割り振られたサーバ専用サブネットの情報を有するＩＰアドレスが付された情報が、該サーバ５０へのアクセスを許可するアクセス許可アドレスとしてＵＳＢメモリ２７にさらに記憶されている。つまり、当該ＵＳＢメモリ２７の接続後にＨＧＷ装置２０Ａに接続される端末は、ＵＳＢメモリ２７のキー情報にアクセス許可アドレスとして追加されているＩＰアドレスのサブネットの情報が、サーバ５０独自のサブネットとして割り振られている情報と同一のサーバ５０に対してのみアクセスすることが許可される。

キー情報としてアクセス許可アドレスを示すＩＰアドレスを記憶しているＵＳＢメモリ２７をＵＳＢポート２６に接続すると、キー情報制御部２５にて、該アクセス許可アドレスに関する情報が取得され、アクセス制御部２２に通知される。しかる後、前述した実施形態において説明したように、ネットワーク制御部２４から端末が接続された旨と、該端末のＭＡＣアドレスとが、通知されてくると、アクセス制御部２２は、当該端末のＭＡＣアドレスを、図５に示す一時許可端末ホワイトリスト２３２ＡのＭＡＣアドレス２３２Ａ１欄に登録するとともに、キー情報制御部２５から通知されてきたアクセス許可アドレスを、一時許可端末ホワイトリスト２３２Ａのアクセス許可アドレス２３２Ａ３欄に登録する。

そして、当該端末が、ＨＧＷ装置２０Ａを経由して、サーバ５０にアクセスしようとした際に、アクセス制御部２２において、一時許可端末ホワイトリスト２３２Ａのアクセス許可アドレス２３２Ａ３欄に登録されているＩＰアドレスを確認して、アクセスしようとしているサーバ５０と同一のサブネットを有するＩＰアドレスが登録されていた場合には、当該端末のＩＰアドレスとして、アクセス許可アドレス２３２Ａ３欄に登録されているいずれか該当するＩＰアドレスを割り当てて設定する。而して、当該端末は、該サーバ５０へのアクセスが可能になる。

なお、一時許可端末ホワイトリスト２３２Ａのアクセス許可アドレス２３２Ａ３欄に、アクセスしようとしているサーバ５０と同一のサブネットを有するＩＰアドレスが登録されていなかった場合には、該サーバ５０へのアクセスは禁止される。つまり、アクセス制御部２２においては、端末がオフィス１０内のサーバ５０にアクセスを試みたとき、ＵＳＢメモリ２７のキー情報にアクセス許可アドレスとして同一のサブネットが含まれているサーバ５０に対してのみアクセスが許可される。

本他の実施形態における前述した以外の動作については、先に記載した実施形態の場合と全く同様であるので、ここでの重複する説明は割愛する。

以上に詳細に説明したように、本発明の実施形態、他の実施形態のいずれの実施形態においても、オフィス１０内のセキュリティを保ったまま、任意の端末を社内ネットワークに接続することができる。また、人によるセキュリティ設定の変更も不要であり、端末の利用者も複雑な手順を実施する必要もないので、時間を要することもなく、社内ネットワークを容易に利用することができる。

なお、端末の端末情報やアクセス許可アドレスをホワイトリスト２３、２３Ａに登録するためのキー情報として、前述のようなＵＳＢメモリ２７ではなく、Felica等の非接触型のカードを利用することも可能である。かくのごとき、非接触型のメモリカードを用いることにより、オフィスへの入館許可証にホワイトリスト登録用のキー情報を含ませることが可能になる。さらには、ＵＳＢメモリや非接触型メモリカード等に限らず、リムーバブルメディアや取り外し可能な補助記憶装置等であっても差し支えない。また、以上の実施形態の説明においては、オフィス専用のホームゲートウェイ装置、接続端末アクセス管理方法および接続端末アクセス管理プログラムとして説明したが、本発明は、オフィス以外であっても同様に扱うことができることは言うまでもない。

以上、本発明の好適な実施形態の構成を説明した。しかし、かかる実施形態は、本発明の単なる例示に過ぎず、何ら本発明を限定するものではないことに留意されたい。本発明の要旨を逸脱することなく、特定用途に応じて種々の変形変更が可能であることが、当業者には容易に理解できよう。

１０ オフィス
２０ ＨＧＷ装置
２０Ａ ＨＧＷ装置
２１ インターネット接続部
２２ アクセス制御部
２３ ホワイトリスト
２３Ａ ホワイトリスト
２４ ネットワーク制御部
２５ キー情報制御部
２６ ＵＳＢポート
２７ ＵＳＢメモリ
３０ インターネット網
４０ 端末Ａ
４１ 端末Ｂ
４２ 端末Ｃ
５０ サーバ
２３１ 恒常許可端末ホワイトリスト
２３２ 一時許可端末ホワイトリスト
２３２Ａ 一時許可端末ホワイトリスト
２３２Ａ１ ＭＡＣアドレス
２３２Ａ２ ＩＰアドレス
２３２Ａ３ アクセス許可アドレス

Claims (10)

1. 端末とインターネット網との間の接続を制御するホームゲートウェイ装置において、
   インターネット網へのアクセスを一時的に許可する前記端末の端末情報を登録する一時許可端末ホワイトリストと、
   前記一時許可端末ホワイトリストへの登録用のキー情報を記憶しているリムーバブルメディアや取り外し可能な補助記憶装置が接続されたことを検出した際に、該キー情報が、適切なキー情報であるか否かを判定し、適切なキー情報であった場合には、前記リムーバブルメディアや前記取り外し可能な補助記憶装置が接続された旨の判定結果を出力するキー情報制御手段と、
   前記キー情報制御手段が出力した前記判定結果を取得してから、あらかじめ定めた許容時間が経過するまでの間に、前記端末が接続された場合には、該端末のＭＡＣアドレスを含む当該端末の端末情報を、前記一時許可端末ホワイトリストに登録して、以降、当該端末からのインターネット網へのアクセスを許可するアクセス制御手段と
   を有することを特徴とするホームゲートウェイ装置。
2. サーバが接続される場合、
   前記サーバ独自のサーバ専用サブネットの情報が割り振られたＩＰアドレスを該サーバにあらかじめ割り当てておき、
   かつ、前記一時許可端末ホワイトリストへの登録用の前記キー情報として、前記サーバ専用サブネットの情報を有するＩＰアドレスが付された情報を、前記サーバへのアクセスを許可するアクセス許可アドレスとして前記リムーバブルメディアや前記取り外し可能な補助記憶装置にさらに記憶する構成とし、
   かつ、前記キー情報制御手段は、
   前記リムーバブルメディアや前記取り外し可能な補助記憶装置を接続したことを検出した際に、前記キー情報が前記一時常許可端末ホワイトリストへの登録用として適切なキー情報であった場合であって、かつ、前記キー情報に前記アクセス許可アドレスがさらに追加されていた場合には、前記リムーバブルメディアや前記取り外し可能な補助記憶装置が接続された旨の判定結果とともに、前記アクセス許可アドレスを示す情報を、前記アクセス制御手段に対して出力し、
   かつ、前記アクセス制御手段は、
   前記キー情報制御手段が出力した前記判定結果を取得してから、前記許容時間が経過するまでの間に、前記端末が接続された場合には、該端末のＭＡＣアドレスを含む当該端末の端末情報と、前記キー情報制御手段が出力した前記アクセス許可アドレスとを、前記一時許可端末ホワイトリストに登録して、以降、当該端末からの前記サーバへのアクセス要求があった際に、前記一時許可端末ホワイトリストに登録されている当該端末の前記アクセス許可アドレスのうち、アクセス要求の対象の前記サーバのサブネット情報と同一のサブネット情報を有するＩＰアドレスが存在している場合には、該ＩＰアドレスを当該端末に割り当てて、前記サーバへのアクセスを許可する
   ことを特徴とする請求項１に記載のホームゲートウェイ装置。
3. 前記アクセス制御手段は、
   前記キー情報制御手段が出力した前記判定結果を取得してから、前記許容時間が経過するまでの間に、前記端末が接続されなかった場合には、前記一時許可端末ホワイトリストへの登録動作を中止し、以降、当該端末が接続されたとしても、再度、前記リムーバブルメディアや前記取り外し可能な補助記憶装置を接続し直す操作をやり直さない限り、インターネット網または前記サーバへのアクセスを禁止する
   ことを特徴とする請求項１または２に記載のホームゲートウェイ装置。
4. 前記アクセス制御手段は、
   前記一時許可端末ホワイトリストに登録されている前記端末の接続が切り離された場合には、前記一時許可端末ホワイトリストから当該端末に関する登録情報を消去し、以降、当該端末のインターネット網または前記サーバへのアクセスを禁止する
   ことを特徴とする請求項１ないし３のいずれかに記載のホームゲートウェイ装置。
5. 前記リムーバブルメディアや前記取り外し可能な補助記憶装置は、前記キー情報とともに、前記キー情報制御手段の動作を支援するプログラムを記憶し、
   前記プログラムは、前記リムーバブルメディアや前記取り外し可能な補助記憶装置が接続された際に、自動的に起動して、前記キー情報制御手段の動作を支援する
   ことを特徴とする請求項１ないし４のいずれかに記載のホームゲートウェイ装置。
6. 端末とインターネット網との間の接続を制御するホームゲートウェイ装置における接続端末アクセス管理方法であって、
   インターネット網へのアクセスを一時的に許可する前記端末の端末情報を登録する一時許可端末ホワイトリストと、
   前記一時許可端末ホワイトリストへの登録用のキー情報を記憶しているリムーバブルメディアや取り外し可能な補助記憶装置が接続されたことを検出した際に、該キー情報が、適切なキー情報であるか否かを判定し、適切なキー情報であった場合には、前記リムーバブルメディアや前記取り外し可能な補助記憶装置が接続された旨の判定結果を出力するキー情報制御ステップと、
   前記キー情報制御ステップが出力した前記判定結果を取得してから、あらかじめ定めた許容時間が経過するまでの間に、前記端末が接続された場合には、該端末のＭＡＣアドレスを含む当該端末の端末情報を、前記一時許可端末ホワイトリストに登録して、以降、当該端末からのインターネット網へのアクセスを許可するアクセス制御ステップと
   を有していることを特徴とする接続端末アクセス管理方法。
7. サーバが前記ホームゲートウェイ装置に接続される場合、
   前記サーバ独自のサーバ専用サブネットの情報が割り振られたＩＰアドレスを該サーバにあらかじめ割り当てておき、
   かつ、前記一時許可端末ホワイトリストへの登録用の前記キー情報として、前記サーバ専用サブネットの情報を有するＩＰアドレスが付された情報を、前記サーバへのアクセスを許可するアクセス許可アドレスとして前記リムーバブルメディアや前記取り外し可能な補助記憶装置にさらに記憶する構成とし、
   かつ、前記キー情報制御ステップは、
   前記リムーバブルメディアや前記取り外し可能な補助記憶装置を接続したことを検出した際に、前記キー情報が前記一時常許可端末ホワイトリストへの登録用として適切なキー情報であった場合であって、かつ、前記キー情報に前記アクセス許可アドレスがさらに追加されていた場合には、前記リムーバブルメディアや前記取り外し可能な補助記憶装置が接続された旨の判定結果とともに、前記アクセス許可アドレスを示す情報を出力し、
   かつ、前記アクセス制御ステップは、
   前記キー情報制御ステップが出力した前記判定結果を取得してから、前記許容時間が経過するまでの間に、前記端末が接続された場合には、該端末のＭＡＣアドレスを含む当該端末の端末情報と、前記キー情報制御ステップが出力した前記アクセス許可アドレスとを、前記一時許可端末ホワイトリストに登録して、以降、当該端末からの前記サーバへのアクセス要求があった際に、前記一時許可端末ホワイトリストに登録されている当該端末の前記アクセス許可アドレスのうち、アクセス要求の対象の前記サーバのサブネット情報と同一のサブネット情報を有するＩＰアドレスが存在している場合には、該ＩＰアドレスを当該端末に割り当てて、前記サーバへのアクセスを許可する
   ことを特徴とする請求項６に記載の接続端末アクセス管理方法。
8. 前記アクセス制御ステップは、
   前記キー情報制御ステップが出力した前記判定結果を取得してから、前記許容時間が経過するまでの間に、前記端末が接続されなかった場合には、前記一時許可端末ホワイトリストへの登録動作を中止し、以降、当該端末が接続されたとしても、再度、前記リムーバブルメディアや前記取り外し可能な補助記憶装置を接続し直す操作をやり直さない限り、インターネット網または前記サーバへのアクセスを禁止する
   ことを特徴とする請求項６または７に記載の接続端末アクセス管理方法。
9. 前記アクセス制御ステップは、
   前記一時許可端末ホワイトリストに登録されている前記端末の接続が切り離された場合には、前記一時許可端末ホワイトリストから当該端末に関する登録情報を消去し、以降、当該端末のインターネット網または前記サーバへのアクセスを禁止する
   ことを特徴とする請求項６ないし８のいずれかに記載の接続端末アクセス管理方法。
10. 端末とインターネット網との間の接続を制御するホームゲートウェイ装置における接続端末のアクセスを管理する動作をコンピュータによって実行する接続端末アクセス管理プログラムであって、
    インターネット網へのアクセスを一時的に許可する前記端末の端末情報を登録する一時許可端末ホワイトリストと、
    前記一時許可端末ホワイトリストへの登録用のキー情報を記憶しているリムーバブルメディアや取り外し可能な補助記憶装置が接続されたことを検出した際に、該キー情報が、適切なキー情報であるか否かを判定し、適切なキー情報であった場合には、前記リムーバブルメディアや前記取り外し可能な補助記憶装置が接続された旨の判定結果を出力するキー情報制御処理と、
    前記キー情報制御処理が出力した前記判定結果を取得してから、あらかじめ定めた許容時間が経過するまでの間に、前記端末が接続された場合には、該端末のＭＡＣアドレスを含む当該端末の端末情報を、前記一時許可端末ホワイトリストに登録して、以降、当該端末からのインターネット網へのアクセスを許可するアクセス制御処理と
    を有していることを特徴とする接続端末アクセス管理プログラム。

Images