JP3701206B2 - イントラネットリモートアクセス方法並びにイントラネットリモートアクセス処理プログラム及び該処理プログラムを記録した記録媒体 - Google Patents
イントラネットリモートアクセス方法並びにイントラネットリモートアクセス処理プログラム及び該処理プログラムを記録した記録媒体 Download PDFInfo
- Publication number
- JP3701206B2 JP3701206B2 JP2001030156A JP2001030156A JP3701206B2 JP 3701206 B2 JP3701206 B2 JP 3701206B2 JP 2001030156 A JP2001030156 A JP 2001030156A JP 2001030156 A JP2001030156 A JP 2001030156A JP 3701206 B2 JP3701206 B2 JP 3701206B2
- Authority
- JP
- Japan
- Prior art keywords
- terminal
- management server
- vpn
- session management
- vpn session
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
- Small-Scale Networks (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、イントラネットリモートアクセス方法並びにイントラネットリモートアクセス処理プログラム及び該処理プログラムを記録した記録媒体に関し、詳しくは、ＶＰＮ機能を有するゲートウェイ機器を介してインターネットに接続されたイントラネット上の機器を、所定のインターネットゲートウェイを通じて前記インターネットにアクセス可能な端末からリモートアクセスするためのイントラネットリモートアクセス方法、並びに当該イントラネットリモートアクセス方法を実施するためのイントラネットリモートアクセス処理プログラム、及び当該イントラネットリモートアクセス処理プログラムを記録した記録媒体に係わる。
【従来の技術】
【０００２】
近年、パケット網やＰＤＣ網などの公衆網から、携帯電話サービスを提供する通信キャリアにより設置されたインターネットゲートウェイ経由で、ＨＴＴＰによるＷｅｂページの閲覧を可能にする携帯電話（以下、「Ｗｅｂ対応携帯電話」という）が登場している。
【０００３】
このＷｅｂ対応携帯電話によれば、インターネット上のＷＷＷサーバにアクセスして、様々な情報を得たりサービスを受けることが可能になる他、例えば、企業等に設置されたＬＡＮ上のＷｅｂサーバに、外出先からリモートアクセスすることなども可能となる。
【０００４】
上記の例のように、企業等におけるＬＡＮ上のＷｅｂサーバに、外出先からリモートアクセスする場合、本人の成りすまし、或いは通信データの盗聴や改竄（ざん）などの脅威に対処するため、セキュリティ面に対する十分な配慮が必要となる。
【０００５】
そのセキュリティ確保のための具体策には、従来、第１の方法として、携帯電話通信キャリアのインターネットゲートウェイと、被リモートアクセス先であるイントラネット（インターネットとの境界域）とのゲートウェイ機器間を、専用線やＩＰ閉域網などセキュリティの保証されたネットワークで接続し、事前に登録されたＷｅｂ対応携帯電話のみに、当該イントラネットへのリモートアクセスを許可する「ＣＵＧサービス（ＣＵＧ：クローズドユーザグループ）」を利用する方法がある。
【０００６】
また、第２の方法として、被リモートアクセス先のイントラネットとインターネットとの境界域に認証用サーバを設置し、所要の認証を行うためのトークンを正規ユーザに配布すると同時に、当該認証用サーバに適切な設定を施すといった方法があり、そのトークンの具体例としては、ＩＣカードや端末登録用パスワード発生装置などがある。
【０００７】
このうち、ＩＣカードによるセキュリティ方式は、Ｗｅｂ対応携帯電話に接続されたＩＣカードリーダに認証用のＩＣカードを接続し、そのＩＣカードによって本人か否かを認証する方式であり、実際の認証には、通常、ユーザ名とパスワードとが用いられる。この方式によれば、ＩＣカードを所持していれば本人であることが確認できるため、完璧なセキュリティが期待できるとされている。
【０００８】
これに対し、端末登録用パスワード発生装置を用いたセキュリティ方式は、遠隔地におけるコンピュータのユーザに当該装置を配布し、割り当てられた端末登録用パスワードをユーザに直接入力させる方式であり、コンピュータのＲＡＳ（リモートアクセスサービス）には、当該装置の固有コードを登録し、一定の計算式によりパスワードを解読するようにしている。
【０００９】
【発明が解決しようとする課題】
しかしながら、従来のセキュリティ確保の方法には、以下に示すような種々の問題があった。
【００１０】
即ち、第１の方法では、専用線など高価な回線をイントラネットまで引き込む必要があり、加えて、汎用のＷｅｂ対応携帯電話をイントラネットへのリモートアクセス端末とする際には、ＣＵＧサービスを提供する企業等に対し主に書類で申請作業を行う必要があるため、リモートアクセス端末の追加や変更を迅速に行うことが困難であった。
【００１１】
一方、第２の方法のうち、ＩＣカード方式は、完璧なセキュリティを望む場合には相応しいが、この方式では、Ｗｅｂ対応携帯電話にＩＣカードリーダを接続するための拡張スロットを必要とする上、被リモートアクセス先のイントラネット上の機器側にも何らかのプログラムを追加する必要があり、しかも、プログラムやＯＳによる機種依存があった。
【００１２】
これに対し、端末登録用パスワード方式では、Ｗｅｂ対応携帯電話のユーザにパスワード発生装置を配布する必要がある上、パスワード解読のための計算式が装置の製造元により異なり、この方式の場合も、ＩＣカード方式の場合と同様、イントラネット上の機器側に何らかのプログラムを追加する必要があり、プログラムやＯＳによる機種依存があった。
【００１３】
また、以上の第２の方法では、何れの方式にしても、ユーザは、Ｗｅｂ対応携帯電話の他に、認証のためのトークンを常に持ち運ばなければならないとう決定的な不便さがあった。
【００１４】
これでは、Ｗｅｂ対応携帯電話及びインターネットの普及に伴って、爆発的な増加が予想されるＷｅｂ対応携帯電話からイントラネットへのリモートアクセスに、セキュリティや利便性の面において十分に対応できない。
【００１５】
ここにおいて、本発明の解決すべき主要な目的は、次のとおりである。
【００１６】
即ち、本発明の第１の目的は、Ｗｅｂ対応携帯電話などの端末によるイントラネットへのリモートアクセスを、端末単体でありながら高いセキュリティを確保した上で行うことの可能なイントラネットリモートアクセス方法並びにイントラネットリモートアクセス処理プログラム及び該処理プログラムを記録した記録媒体を提供せんとするものである。
【００１７】
本発明の第２の目的は、イントラネット上の機器に追加や変更が生じた場合にも、これに迅速に対応することが可能であり、システムへの適用に際し高い利便性を得ることの可能なイントラネットリモートアクセス方法並びにイントラネットリモートアクセス処理プログラム及び該処理プログラムを記録した記録媒体を提供せんとするものである。
【００１８】
本発明の第３の目的は、専用線などの高価な回線を必要とせず、システムへの適用に際しコストの増加を招くことのないイントラネットリモートアクセス方法並びにイントラネットリモートアクセス処理プログラム及び該処理プログラムを記録した記録媒体を提供せんとするものである。
【００１９】
本発明の他の目的は、明細書、図面、特に特許請求の範囲の各請求項の記載から自ずと明らかとなろう。
【００２０】
【課題を解決するための手段】
本発明方法においては、イントラネット上の機器に対応して割り当てられた端末からの端末ＩＤの入力に伴い、インターネット上のＶＰＮセッション管理サーバからのコマンド制御に応じてＶＰＮゲートウェイとゲートウェイ機器との間にＶＰＮトンネルを設定し、該当する端末から端末ＩＤ及び機器名が入力されて、該当する機器に対して所要のアクセスが発生するのに伴い、その端末に代わり、ＶＰＮセッション管理サーバに、ＶＰＮトンネルを経由した代理アクセスを行わせる手法を実施する、という特徴を有する。
【００２１】
一方、本発明プログラムにおいては、コンピュータを構成するインターネット上のＶＰＮセッション管理サーバに実行させるプログラムに、イントラネット上の機器に対応して割り当てられた端末からの端末ＩＤの入力に伴い、ＶＰＮセッション管理サーバからのコマンド制御に応じてＶＰＮゲートウェイとゲートウェイ機器との間にＶＰＮトンネルを設定するステップと、該当する端末から端末ＩＤ及び機器名が入力されて、該当する機器に対して所要のアクセスが発生するのに伴い、その端末に代わり、ＶＰＮセッション管理サーバに、ＶＰＮトンネルを経由した代理アクセスを行わせるステップとを有する手順を実行する、という特徴を有する。
【００２２】
また、本発明記録媒体においては、コンピュータを構成するインターネット上のＶＰＮセッション管理サーバに実行させるプログラムを記録した記録媒体に、イントラネット上の機器に対応して割り当てられた端末からの端末ＩＤの入力に伴い、ＶＰＮセッション管理サーバからのコマンド制御に応じてＶＰＮゲートウェイとゲートウェイ機器との間にＶＰＮトンネルを設定する手順と、該当する端末から端末ＩＤ及び機器名が入力されて、該当する機器に対して所要のアクセスが発生するのに伴い、その端末に代わり、ＶＰＮセッション管理サーバに、ＶＰＮトンネルを経由した代理アクセスを行わせる手順とが記述される手続を実録する、という特徴を有する。
【００２３】
さらに具体的詳細に述べると、当該課題の解決では、本発明が次に列挙する新規な特徴的構成手法、手順又は手続を採用することにより、前記目的を達成するよう為される。
【００２４】
即ち、本発明方法の第１の特徴は、ＶＰＮ機能を有するゲートウェイ機器を介してインターネットに接続されたイントラネット上の機器に、所定のインターネットゲートウェイを通じて前記インターネットにアクセス可能な端末からリモートアクセスするためのイントラネットリモートアクセス方法であって、前記インターネット上に、前記インターネットゲートウェイと専用線で接続されたＶＰＮセッション管理サーバと、ＯＳＩ参照モデルのネットワーク層においてＶＰＮセッションを実現する機能を有し、前記ＶＰＮセッション管理サーバからのコマンド制御に応じて前記ゲートウェイ機器との間にＶＰＮトンネルを設定するＶＰＮゲートウェイとを配置し、前記イントラネット上の任意の機器からの要求に伴い、その機器に付与された機器名及び機器アドレスを前記ＶＰＮセッション管理サーバに登録すると共に、当該ＶＰＮセッション管理サーバ内で端末登録用パスワードをランダムに一時生成し、この生成された前記端末登録用パスワードを、前記ＶＰＮセッション管理サーバから前記インターネットを経由して、該当する前記機器に通知するＣＵＧ作成処理と、該当する前記機器に対応して割り当てられた所定の端末から、前記端末登録用パスワード及び当該端末に付与された端末ＩＤが入力されるのに伴い、その端末ＩＤを前記ＶＰＮセッション管理サーバに登録すると共に、当該端末ＩＤが登録された旨を、前記ＶＰＮセッション管理サーバから前記専用線を経由して、該当する前記端末に通知する端末登録処理と、該当する前記端末からの前記端末ＩＤの入力に伴い、前記ＶＰＮセッション管理サーバからの前記コマンド制御に応じて前記ＶＰＮゲートウェイと前記ゲートウェイ機器との間に前記ＶＰＮトンネルを設定し、この設定によりＶＰＮセッションが開始された旨を、前記ＶＰＮセッション管理サーバから前記ＶＰＮトンネルを経由して、該当する前記端末に通知するＶＰＮセッション確立処理と、該当する前記端末から前記端末ＩＤ及び前記機器名が入力されて、該当する前記機器に対して所要のアクセスが発生するのに伴い、その端末に代わり、前記ＶＰＮセッション管理サーバに、前記ＶＰＮトンネルを経由した代理アクセスを行わせる代理アクセス処理とを順次実施してなる、イントラネットリモートアクセス方法の構成採用にある。
【００２５】
本発明方法の第２の特徴は、上記本発明方法の第１の特徴における前記ゲートウェイ機器及び前記ＶＰＮセッション管理サーバが、両者の間で所定の共有秘密情報を共有し、前記ＣＵＧ作成処理が、前記ゲートウェイ機器において、公開鍵暗号方式の暗号アルゴリズムを用いて秘密鍵及び公開鍵を生成する処理と、所定の原文に対し前記共有秘密情報を用いてメッセージ認証子を生成する処理と、前記機器名及び前記機器アドレスを前記共有秘密情報を用いて暗号化する処理と、当該ゲートウェイ機器に付与された機器ＩＤ、前記公開鍵、前記原文、前記メッセージ認証子、並びに暗号化後の前記機器名及び前記機器アドレスを前記ＶＰＮセッション管理サーバに送信する処理とを順次実施し、前記ＶＰＮセッション管理サーバにおいて、受信した前記原文に対し、受信した前記機器ＩＤに対応する前記共有秘密情報を用いてメッセージ認証子を生成する処理と、この生成された前記メッセージ認証子と受信した前記メッセージ認証子とが一致したことを以って、前記ゲートウェイ機器の正当性を認証する処理と、受信した暗号化後の前記機器名及び前記機器アドレスを前記共有秘密情報を用いて復号化する処理と、これら復号化された前記機器名及び前記機器アドレスを、前記端末登録用パスワードと共に前記機器ＩＤと対応させて保持する処理と、受信した前記公開鍵を用いて前記端末登録用パスワードを暗号化する処理と、暗号化後の前記端末登録用パスワードを前記ゲートウェイ機器に送信する処理とを順次実施し、再び前記ゲートウェイ機器において、受信した暗号化後の前記端末登録用パスワードを前記秘密鍵を用いて復号化する処理を実施してなる、イントラネットリモートアクセス方法の構成採用にある。
【００２６】
本発明方法の第３の特徴は、上記本発明方法の第２の特徴における端末登録処理が、前記ＶＰＮセッション管理サーバにおいて、前記端末から入力された前記端末登録用パスワードが、対応保持されている前記端末登録用パスワードと一致したことを以って、当該端末の正当性を認証する処理と、前記端末ＩＤを前記機器ＩＤと対応させて保持する処理と、対応保持されている前記端末登録用パスワードを削除する処理とを順次実施してなる、イントラネットリモートアクセス方法の構成採用にある。
【００２７】
本発明方法の第４の特徴は、上記本発明方法の第３の特徴における前記ゲートウェイ機器及び前記ＶＰＮセッション管理サーバが、両者の間で共有認証鍵を共有し、前記ＶＰＮセッション確立処理が、前記ＶＰＮセッション管理サーバにおいて、前記端末から入力された前記端末ＩＤが、対応保持されている前記端末ＩＤと一致したことを以って、当該端末の正当性を認証する処理と、前記ゲートウェイ機器を対象ホストとした前記共有認証鍵の設定を、前記ＶＰＮゲートウェイに書き込む処理とを順次実施してなる、イントラネットリモートアクセス方法の構成採用にある。
【００２８】
本発明方法の第５の特徴は、上記本発明方法の第４の特徴における前記代理アクセス処理が、前記ＶＰＮセッション管理サーバにおいて、前記端末から入力された前記端末ＩＤ及び前記機器名が、対応保持されている前記端末ＩＤ及び前記機器名と一致したことを以って、前記端末の正当性を認証する処理と、対応保持されている前記機器アドレスを取得する処理と、所定のリバースプロキシプログラムを起動して、その取得された前記機器アドレス向けの代理アクセスが行われるよう、当該リバースプロキシプログラムに対し指示を与える処理とを順次実施してなる、イントラネットリモートアクセス方法の構成採用にある。
【００２９】
本発明方法の第６の特徴は、上記本発明方法の第４又は第５の特徴における前記ゲートウェイ機器及び前記ＶＰＮセッション管理サーバにおける前記共有認証鍵及び前記共有秘密情報の共有が、前記ゲートウェイ機器が新たに設置されて、当該ゲートウェイ機器から前記機器ＩＤが入力されるのに伴い、その機器ＩＤを前記ＶＰＮセッション管理サーバに登録すると共に、当該ＶＰＮセッション管理サーバ内でランダムに生成した前記共有認証鍵及び前記共有秘密情報を、前記ＶＰＮセッション管理サーバから前記インターネットを経由して、前記ゲートウェイ機器に通知する設置通知処理を実施することにより行われてなる、イントラネットリモートアクセス方法の構成採用にある。
【００３０】
本発明方法の第７の特徴は、上記本発明方法の第６の特徴における前記設置通知処理が、前記ゲートウェイ機器において、公開鍵暗号方式の暗号アルゴリズムを用いて秘密鍵及び公開鍵を生成する処理と、所定の原文に対し、当該ゲートウェイ機器の設置時において前記ＶＰＮセッション管理サーバと間で共有される初期共有秘密情報を用いてメッセージ認証子を生成する処理と、当該ゲートウェイ機器に付与された前記機器ＩＤ、前記公開鍵、前記原文、及び前記メッセージ認証子を前記ＶＰＮセッション管理サーバに送信する処理とを順次実施し、前記ＶＰＮセッション管理サーバにおいて、受信した前記原文に対し、受信した前記機器ＩＤに対応する前記初期共有秘密情報を用いてメッセージ認証子を生成する処理と、この生成された前記メッセージ認証子と受信した前記メッセージ認証子とが一致したことを以って、前記ゲートウェイ機器の正当性を認証する処理と、前記共有認証鍵及び前記共有秘密情報を前記機器ＩＤと対応させて保持する処理と、受信した前記公開鍵を用いて前記共有認証鍵及び前記共有秘密情報を暗号化する処理と、暗号化後の前記共有認証鍵及び前記共有秘密情報を前記ゲートウェイ機器に送信する処理とを順次実施し、再び前記ゲートウェイ機器において、受信した暗号化後の前記共有認証鍵及び前記共有秘密情報を前記秘密鍵を用いて復号化する処理と、これら復号化された前記共有認証鍵及び前記共有秘密情報を保持する処理とを順次実施してなる、イントラネットリモートアクセス方法の構成採用にある。
【００３１】
本発明方法の第８の特徴は、上記本発明方法の第７の特徴における前記設置通知処理が、前記ゲートウェイ機器において、前記ＶＰＮゲートウェイを対象ホストとした前記共有認証鍵の設定を、自身のルータ部に書き込む認証鍵設定処理を含んでなる、イントラネットリモートアクセス方法の構成採用にある。
【００３２】
本発明方法の第９の特徴は、上記本発明方法の第２、第３、第４、第５、第６、第７又は第８の特徴における前記原文に、前記機器ＩＤにタイムスタンプを付加してなるものを採用してなる、イントラネットリモートメアクセス方法の構成採用にある。
【００３３】
本発明方法の第１０の特徴は、上記本発明方法の第１、第２、第３、第４、第５、第６、第７、第８又は第９の特徴における前記端末が、Ｗｅｂ対応携帯電話であり、前記インターネットゲートウェイが、前記Ｗｅｂ対応携帯電話のサービスを提供する通信キャリアにより設置されたものである、イントラネットリモートアクセス方法の構成採用にある。
【００３４】
一方、本発明プログラムの第１の特徴は、ＶＰＮ機能付きゲートウェイ機器を介してインターネットに接続されたイントラネット上の機器に、所定のインターネットゲートウェイ経由で前記インターネットにアクセス可能な端末からリモートアクセス可能とするため、前記インターネットゲートウェイと専用線で接続されたＶＰＮセッション管理サーバと、ＯＳＩ参照モデルのネットワーク層にてＶＰＮセッションを機能的に実現し、当該ＶＰＮセッション管理サーバのコマンド制御により前記ゲートウェイ機器との間にＶＰＮトンネルを設定するＶＰＮゲートウェイとを前記インターネット上にさらに配置して構築するシステムに用いるイントラネットリモートアクセス処理プログラムであって、当該イントラネットリモートアクセス処理プログラムが、前記イントラネット上の任意の機器からの要求に伴い、当該機器に付与された機器名及び機器アドレスの登録と端末登録用パスワードの発行とを前記ＶＰＮセッション管理サーバに行わせるため、前記ゲートウェイ機器に格納されるＣＵＧ作成要求処理プログラムと、前記端末登録用パスワードをランダムに一時生成して前記インターネット経由で該当の前記機器に通知するため、前記ＶＰＮセッション管理サーバに格納されるＣＵＧ作成受付処理プログラムと、該当の前記機器に対応割当された所定の端末から当該端末に付与された端末ＩＤ及び前記端末登録用パスワードが入力されるのに伴い、当該端末ＩＤを登録すると共に当該登録が為された旨を前記専用線経由で該当の前記端末に通知するため、前記ＶＰＮセッション管理サーバに格納される端末登録処理プログラムと、該当の前記端末からの前記端末ＩＤの入力に伴い、前記ＶＰＮゲートウェイと前記ゲートウェイ機器との間に前記ＶＰＮトンネルを設定するための前記コマンド制御を行なうと共に、この設定によりＶＰＮセッションが開始された旨を当該ＶＰＮトンネル経由で該当の前記端末に通知するため、前記ＶＰＮセッション管理サーバに格納されるＶＰＮセッション確立処理プログラムと、該当の前記端末から前記端末ＩＤ及び前記機器名が入力されて、該当の前記機器に対する所要のアクセスが発生するのに伴い、当該端末に代わり前記ＶＰＮトンネル経由で代理アクセスを行うため、前記ＶＰＮセッション管理サーバに格納される代理アクセス処理プログラムと、からなり、前記ＣＵＧ作成要求処理プログラムが、公開鍵暗号方式の暗号アルゴリズムを用いて秘密鍵及び公開鍵を生成するステップと、所定の原文に対し、前記ＶＰＮセッション管理サーバとの間で共有される所定の共有秘密情報を用いてメッセージ認証子を生成するステップと、前記機器名及び前記機器アドレスを前記共有秘密情報を用いて暗号化するステップと、前記ゲートウェイ機器に付与された機器ＩＤ、前記公開鍵、前記原文、前記メッセージ認証子、並びに暗号化後の前記機器名及び前記機器アドレスを前記ＶＰＮセッション管理サーバに送信するステップと、当該ＶＰＮセッション管理サーバから受信した暗号化後の前記端末登録用パスワードを前記秘密鍵を用いて復号化するステップと、を有してなる、イントラネットリモートアクセス処理プログラムの構成採用にある。
【００３５】
本発明プログラムの第２の特徴は、上記本発明プログラムの第１の特徴における前記ＣＵＧ作成受付処理プログラムが、前記ゲートウェイ機器から受信した前記原文に対し、当該ゲートウェイ機器から受信した前記機器ＩＤに対応する前記共有秘密情報を用いてメッセージ認証子を生成するステップと、この生成された当該メッセージ認証子と、前記ゲートウェイ機器から受信した前記メッセージ認証子とが一致したことを以って、当該ゲートウェイ機器の正当性を認証するステップと、当該ゲートウェイ機器から受信した暗号化後の前記機器名及び前記機器アドレスを前記共有秘密情報を用いて復号化するステップと、前記端末登録用パスワードをランダムに一時生成すると共に、復号化された前記機器名及び前記機器アドレスを当該端末登録用パスワードと共に前記機器ＩＤと対応させて保持するステップと、前記ゲートウェイ機器から受信した前記公開鍵を用いて前記端末登録用パスワードを暗号化するステップと、暗号化後の当該端末登録用パスワードを前記ゲートウェイ機器に送信するステップと、を有してなる、イントラネットリモートアクセス処理プログラムの構成採用にある。
【００３６】
本発明プログラムの第３の特徴は、上記本発明プログラムの第１又は第２の特徴における前記端末登録処理プログラムが、前記端末から入力された前記端末登録用パスワードが、対応保持されている前記端末登録用パスワードと一致したことを以って、当該端末の正当性を認証するステップと、当該端末から入力された前記端末ＩＤを前記機器ＩＤと対応させて保持するステップと、対応保持されている前記端末登録用パスワードを削除するステップと、を有してなる、イントラネットリモートアクセス処理プログラムの構成採用にある。
【００３７】
本発明プログラムの第４の特徴は、上記本発明プログラムの第１、第２又は第３の特徴における前記ＶＰＮセッション確立処理プログラムが、前記端末から入力された前記端末ＩＤが、対応保持されている前記端末ＩＤと一致したことを以って、当該端末の正当性を認証するステップと、前記ゲートウェイ機器を対象ホストとした前記共有認証鍵の設定を、前記ＶＰＮゲートウェイに書き込むステップと、を有してなる、イントラネットリモートアクセス処理プログラムの構成採用にある。
【００３８】
本発明プログラムの第５の特徴は、上記本発明プログラムの第１、第２、第３又は第４の特徴における前記代理アクセス処理プログラムが、前記端末から入力された前記端末ＩＤ及び前記機器名が、対応保持されている前記端末ＩＤ及び前記機器名と一致したことを以って、当該端末の正当性を認証するステップと、対応保持されている前記機器アドレスを取得するステップと、所定のリバースプロキシプログラムを起動して、その取得された当該機器アドレス向けの代理アクセスが行われるよう、当該リバースプロキシプログラムに対し指示を与えるステップと、を有してなる、イントラネットリモートアクセス処理プログラムの構成採用にある。
【００３９】
また、本発明記録媒体の第１の特徴は、ＶＰＮ機能付きゲートウェイ機器を介してインターネットに接続されたイントラネット上の機器に、所定のインターネットゲートウェイ経由で前記インターネットにアクセス可能な端末からリモートアクセス可能とするため、前記インターネットゲートウェイと専用線で接続されたＶＰＮセッション管理サーバと、ＯＳＩ参照モデルのネットワーク層にてＶＰＮセッションを機能的に実現し、当該ＶＰＮセッション管理サーバのコマンド制御により前記ゲートウェイ機器との間にＶＰＮトンネルを設定するＶＰＮゲートウェイとを前記インターネット上にさらに配置して構築するシステムに用いるイントラネットリモートアクセス処理プログラムを記録した記録媒体であって、当該記録媒体が、前記イントラネット上の任意の機器からの要求に伴い、当該機器に付与された機器名及び機器アドレスの登録と端末登録用パスワードの発行とを前記ＶＰＮセッション管理サーバに行わせるため、前記ゲートウェイ機器に格納されるＣＵＧ作成要求処理プログラムを記録した記録媒体と、前記端末登録用パスワードをランダムに一時生成して前記インターネット経由で該当の前記機器に通知するため、前記ＶＰＮセッション管理サーバに格納されるＣＵＧ作成受付処理プログラムを記録した記録媒体と、該当の前記機器に対応割当された所定の端末から当該端末に付与された端末ＩＤ及び前記端末登録用パスワードが入力されるのに伴い、当該端末ＩＤを登録すると共に当該登録が為された旨を前記専用線経由で該当の前記端末に通知するため、前記ＶＰＮセッション管理サーバに格納される端末登録処理プログラムを記録した記録媒体と、該当の前記端末からの前記端末ＩＤの入力に伴い、前記ＶＰＮゲートウェイと前記ゲートウェイ機器との間に前記ＶＰＮトンネルを設定するための前記コマンド制御を行なうと共に、この設定によりＶＰＮセッションが開始された旨を当該ＶＰＮトンネル経由で該当の前記端末に通知するため、前記ＶＰＮセッション管理サーバに格納されるＶＰＮセッション確立処理プログラムを記録した記録媒体と、該当の前記端末から前記端末ＩＤ及び前記機器名が入力されて、該当の前記機器に対する所要のアクセスが発生するのに伴い、当該端末に代わり前記ＶＰＮトンネル経由で代理アクセスを行うため、前記ＶＰＮセッション管理サーバに格納される代理アクセス処理プログラムを記録した記録媒体と、からなり、前記ＣＵＧ作成要求処理プログラムを記録した記録媒体が、前記ゲートウェイ機器に、公開鍵暗号方式の暗号アルゴリズムを用いて秘密鍵及び公開鍵を生成させる手順と、所定の原文に対し、前記ＶＰＮセッション管理サーバとの間で共有される所定の共有秘密情報を用いてメッセージ認証子を生成させる手順と、前記機器名及び前記機器アドレスを前記共有秘密情報を用いて暗号化させる手順と、前記ゲートウェイ機器に付与された機器ＩＤ、前記公開鍵、前記原文、前記メッセージ認証子、並びに暗号化後の前記機器名及び前記機器アドレスを前記ＶＰＮセッション管理サーバに送信させる手順と、当該ＶＰＮセッション管理サーバから受信した暗号化後の前記端末登録用パスワードを前記秘密鍵を用いて復号化させる手順と、を順次実行する手続を実録してなる、イントラネットリモートアクセス処理プログラムを記録した記録媒体の構成採用にある。
【００４０】
本発明記録媒体の第２の特徴は、上記本発明記録媒体の第１の特徴における前記ＣＵＧ作成受付処理プログラムを記録した記録媒体が、前記ＶＰＮセッション管理サーバに、前記ゲートウェイ機器から受信した前記原文に対し、当該ゲートウェイ機器から受信した前記機器ＩＤに対応する前記共有秘密情報を用いてメッセージ認証子を生成させる手順と、この生成された当該メッセージ認証子と、前記ゲートウェイ機器から受信した前記メッセージ認証子とが一致したことを以って、当該ゲートウェイ機器の正当性を認証させる手順と、当該ゲートウェイ機器から受信した暗号化後の前記機器名及び前記機器アドレスを前記共有秘密情報を用いて復号化させる手順と、前記端末登録用パスワードをランダムに一時生成させると共に、復号化された前記機器名及び前記機器アドレスを当該端末登録用パスワードと共に前記機器ＩＤと対応させて保持させる手順と、前記ゲートウェイ機器から受信した前記公開鍵を用いて前記端末登録用パスワードを暗号化させる手順と、暗号化後の当該端末登録用パスワードを前記ゲートウェイ機器に送信させる手順と、を順次実行する手続を実録してなる、イントラネットリモートアクセス処理プログラムを記録した記録媒体の構成採用にある。
【００４１】
本発明記録媒体の第３の特徴は、上記本発明記録媒体の第１又は第２の特徴における前記端末登録処理プログラムを記録した記録媒体が、前記ＶＰＮセッション管理サーバに、前記端末から入力された前記端末登録用パスワードが、対応保持されている前記端末登録用パスワードと一致したことを以って、当該端末の正当性を認証させる手順と、当該端末から入力された前記端末ＩＤを前記機器ＩＤと対応させて保持させる手順と、対応保持されている前記端末登録用パスワードを削除させる手順と、を順次実行する手続を実録してなる、イントラネットリモートアクセス処理プログラムを記録した記録媒体の構成採用にある。
【００４２】
本発明記録媒体の第４の特徴は、上記本発明記録媒体の第１、第２又は第３の特徴における前記ＶＰＮセッション確立処理プログラムを記録した記録媒体が、前記ＶＰＮセッション管理サーバに、前記端末から入力された前記端末ＩＤが、対応保持されている前記端末ＩＤと一致したことを以って、当該端末の正当性を認証させる手順と、前記ゲートウェイ機器を対象ホストとした前記共有認証鍵の設定を、前記ＶＰＮゲートウェイに書き込ませる手順と、を順次実行する手続を実録してなる、イントラネットリモートアクセス処理プログラムを記録した記録媒体の構成採用にある。
【００４３】
本発明記録媒体の第５の特徴は、上記本発明記録媒体の第１、第２、第３又は第４の特徴における前記代理アクセス処理プログラムを記録した記録媒体が、前記ＶＰＮセッション管理サーバに、前記端末から入力された前記端末ＩＤ及び前記機器名が、対応保持されている前記端末ＩＤ及び前記機器名と一致したことを以って、当該端末の正当性を認証させる手順と、対応保持されている前記機器アドレスを取得させる手順と、所定のリバースプロキシプログラムを起動させて、その取得された当該機器アドレス向けの代理アクセスが行われるよう、当該リバースプロキシプログラムに対し指示を与えさせる手順と、を順次実行する手続を実録してなる、イントラネットリモートアクセス処理プログラムを記録した記録媒体の構成採用にある。
【００４４】
【発明の実施の形態】
以下、本発明の実施の形態を、添付図面を参照しつつ、まず、本発明の適用を受ける適用システムの構成例につき説明し、次いで、当該適用システムで用いられるプログラム例及びそのプログラムを記録した記録媒体例につき説明し、最後に、当該適用システムにおいて実施される方法例につき説明する。
【００４５】
（適用システム構成例）
図１は、本発明の適用システムであるイントラネットリモートアクセスシステムの構成を示す図である。
【００４６】
同図に示すように、このイントラネットリモートアクセスシステムαは、４つのノード、即ち、ゲートウェイ機器１、ＶＰＮセッション管理サーバ２、ＶＰＮゲートウェイ３、及びＷｅｂ対応携帯電話４とでシステム構築される。
【００４７】
ゲートウェイ機器１は、イントラネット５とインターネット６との境界域に設置されて、Ｗｅｂ対応携帯電話４の被リモートアクセス先となるものであり、その要素として、ＩＰルータ処理を制御するルータ部１１と、ＨＴＴＰサーバ処理を行うＨＴＴＰサーバ部１２、及びこのＨＴＴＰサーバ部１２から呼ばれて内部処理及びコマンド送信処理を行うプログラム（詳細は後述）を格納するＣＧＩ処理部１３からなるサーバ部１４とで構成される。
【００４８】
ＶＰＮセッション管理サーバ２は、携帯電話通信キャリア（図示せず）により設置されたインターネットゲートウェイ７と専用線８で接続された状態で、インターネット６上に設置され、その要素として、ＨＴＴＰコマンドを受信するＨＴＴＰサーバ部２１と、このＨＴＴＰサーバ部２１から呼ばれて内部処理及びコマンド送信処理を行うプログラム（詳細は後述）を格納するＣＧＩ処理部２２とを有して構成される。
【００４９】
ＶＰＮゲートウェイ３は、インターネット６上に設置され、その要素として、ＯＳＩ参照モデルのネットワーク層においてＶＰＮセッションを実現する機能を有し、ゲートウェイ機器１のルータ部１１との間にＶＰＮトンネル９を設定してＶＰＮセッションを行うＶＰＮ処理部３１と、ＶＰＮセッション管理サーバ２との間でコマンドを送受信する設定コマンド受信処理部３２とで構成される。
【００５０】
Ｗｅｂ対応携帯電話４は、ユーザ（図示せず）の随意により、携帯電話専用回線１０を介してインターネットゲートウェイ７に接続され、その要素として、イントラネット５上の複数の機器（「機器１」，…，「機器Ｎ」と表記）にリモートアクセスするためのブラウザ４１を有して構成される。
【００５１】
なお、イントラネット５上の複数の機器にも、特に図示はしていないが、各種ＨＴＭＬデータを参照可能なブラウザが、それぞれ導入されている。
【００５２】
ここで、以上の構成を有するイントラネットリモートアクセスシステムαの機能の概要について説明すれば、以下のようになる。
【００５３】
まず、ユーザからのアクションにより、ゲートウェイ機器１のＣＧＩ処理部１３は、ＶＰＮセッション管理サーバ２のＨＴＴＰサーバ部２１へ設置通知コマンドを送信し、共有秘密情報（詳細は後述）及びＩＰｓｅｃの共有認証鍵を、ゲートウェイ機器１とＶＰＮセッション管理サーバ２との間で共有する。その際、共有する情報は、本人の成りすまし、或いはデータの盗聴や改竄などの脅威から保護されて共有される。（以上、図示の「イ」のルート。後述の「設置通知処理」に対応）
【００５４】
ゲートウェイ機器１のＣＧＩ処理部１３は、上記共有情報であるＩＰｓｅｃの共有認証鍵を、ゲートウェイ機器１のルータ部１１に設定する。（以上、図示の「ロ」のルート。後述の方法例における「認証鍵設定処理」に対応）
【００５５】
次に、ユーザからのアクションにより、ゲートウェイ機器１のＣＧＩ処理部１３は、ＶＰＮセッション管理サーバ２のＨＴＴＰサーバ部２１へＣＵＧ作成要求コマンドを送信し、そのレスポンスとして端末登録用パスワードを受信する。（以上、図示の「ハ」のルート。後述の方法例における「ＣＵＧ作成処理」に対応）なお、ゲートウェイ機器１は、受信した端末登録用パスワードを所定のデータ形式（後述する）にてイントラネット５上の該当機器に送信して、その該当機器のブラウザに画面表示させる。
【００５６】
ユーザは、リモートアクセス端末とするＷｅｂ対応携帯電話４に、イントラネット５上の該当機器のブラウザにて画面表示された端末登録用パスワードを視認して入力し、携帯電話通信キャリアのパケット網（携帯電話専用回線１０）経由で、当該端末登録用パスワードをＶＰＮセッション管理サーバ２に送信する。ここで、ＶＰＮセッション管理サーバ２は、所定の認証を行った後、Ｗｅｂ対応携帯電話４の端末ＩＤとゲートウェイ機器１の機器ＩＤを対応付けて、端末登録完了とする。（以上、図示の「ニ」のルート。後述の方法例における「端末登録処理」に対応）
【００５７】
次に、登録済みのＷｅｂ対応携帯電話４を用いて、ＶＰＮセッション管理サーバ２へアクセスすると、当該ＶＰＮセッション管理サーバ２は、所定の認証を行った後、端末登録時に対応付けられたゲートウェイ機器１との間でＩＰｓｅｃを確立するためのコマンドをＶＰＮゲートウェイ３に送信し、ＩＰｓｅｃによるＶＰＮを確立する。（以上、図示の「ホ」のルート。後述の方法例における「ＶＰＮセッション確立処理」に対応）
【００５８】
そして、ＶＰＮセッション管理サーバ２は、Ｗｅｂ対応携帯電話４からのイントラネット５へのアクセスに対し、そのＷｅｂ対応携帯電話４に代わって、代理アクセス（リバースプロキシ）を行う。（以上、図示の「ヘ」のルート。後述の方法例における「代理アクセス処理」に対応）
【００５９】
次に、以上の各処理（プログラム処理）を実行するためにＶＰＮセッション管理サーバ２に設定され、後述の各プログラムにより参照されるテーブルについて説明する。
【００６０】
図２は、図１に示したＶＰＮセッション管理サーバ２に設定されるＶＰＮセッション管理テーブルの構成を示す図である。
【００６１】
同図に示すように、ＶＰＮセッション管理テーブル２３は、ゲートウェイ機器１からそれぞれ通知される「機器ＩＤ」、「PresharedKey」、「Secret-ID2」、「機器名」、「機器アドレス」、「端末登録用パスワード」、「端末ＩＤ」を保持するための７つのフィールドから構成される。
【００６２】
ここで、「機器ＩＤ」フィールドは、ゲートウェイ機器１にユニークに振られているＩＤを格納するためのフィールドであり、「PresharedKey」フィールドは、設置通知処理時にゲートウェイ機器１に通知されるPresharedKey（ＩＰｓｅｃの共有認証鍵）を格納するためのフィールド、「Secret-ID2」フィールドは、同設置通知処理時にゲートウェイ機器１に通知されるSecret-ID2（共有秘密情報）を格納するためのフィールドである。
【００６３】
また、「機器名」フィールドは、ＣＵＧ作成処理時にゲートウェイ機器１から通知されるアクセス可能機器名を格納するためのフィールドであり、「機器アドレス」フィールドは、機器名で表される機器の実際のＩＰアドレスを格納するためのフィールドである。
【００６４】
さらに、「端末登録用パスワード」フィールドは、ＣＵＧ作成処理時にＶＰＮセッション管理サーバ２から発行される端末登録用のパスワードを格納するためのフィールドであり、「端末ＩＤ」フィールドは、インターネットゲートウェイ７から通知されるＷｅｂ対応携帯電話４に付与されたユニークなＩＤを格納するためのフィールドである。
【００６５】
（プログラム例及び記録媒体例）
続いて、以上に説明したゲートウェイ機器１のＣＧＩ処理部１３、及びＶＰＮセッション管理サーバ２のＣＧＩ処理部２２にそれぞれ格納されるプログラムの実例、及び各プログラムを記録した記録媒体の実例について説明する。これらのプログラム及び記録媒体が互いに関連し合うことで、イントラネットリモートアクセスシステムαにおいて実施される方法例（詳細は後述）のその実施に直接使用されるプログラム及び記録媒体、即ち、本発明に係るイントラネットリモートアクセス処理プログラム及び記録媒体が構成される。
【００６６】
＜ＣＵＧ作成要求処理プログラム（記録媒体）＞
まず、本発明に係るイントラネットリモートアクセス処理プログラムを構成するプログラムの１つとして、ゲートウェイ機器１のＣＧＩ処理部１３に格納され、ＶＰＮセッション管理サーバ２に対し、イントラネット５にアクセス可能なＷｅｂ対応携帯電話４を安全に登録するための端末登録用パスワードの発行を要求する「ＣＵＧ作成要求処理プログラム」について説明する。
【００６７】
図３は、図１に示したゲートウェイ機器１のＣＧＩ処理部１３に格納されるＣＵＧ作成要求処理プログラムを説明するためのフローチャートである。
【００６８】
本プログラムは、ユーザのアクションにより、ゲートウェイ機器１のＨＴＴＰサーバ部１２に対し、コマンド名、イントラネット５上にある機器の名称（機器名）、及び同機器のＩＰアドレス（機器アドレス）が通知されたときに、当該ＨＴＴＰサーバ部１２により起動される。
【００６９】
同図に示すように、ゲートウェイ機器１のＣＧＩ処理部１３は、まず、ＨＴＴＰサーバ部１２が受信した機器名及び機器アドレスを、パラメータとして受信し（ＳＴ１１）、次いで、ＲＳＡなど公開鍵暗号方式の暗号アルゴリズムを用いて秘密鍵及び公開鍵を生成する（ＳＴ１２）。
【００７０】
次に、ＣＧＩ処理部１３は、ゲートウェイ機器１に付与された機器ＩＤにタイムスタンプを付加してなる、認証のための原文を生成する（ＳＴ１３）と共に、その原文に対して、ＶＰＮセッション管理サーバ２との間で事前に共有される共有秘密情報（Secret-ID2）を用いたメッセージ認証子（ＭＡＣ）を生成する（ＳＴ１４）。（メッセージ認証子の生成は、ＩＳＯ９７９７−１，ＩＳＯ９７９７−２に準拠することが望ましい。以下、メッセージ認証子生成につき同じ）
【００７１】
次に、ＣＧＩ処理部１３は、先にパラメータとして受信した機器名及び機器アドレスを、ＶＰＮセッション管理サーバ２との共有秘密情報（Secret-ID2）を用いて暗号化する（ＳＴ１５）。
【００７２】
次に、ＣＧＩ処理部１３は、これまでに取得又は生成した機器ＩＤ、公開鍵、原文、ＭＡＣ、並びに暗号化後の機器名及び機器アドレスの組をパラメータとした所要のＣＵＧ作成要求コマンドを、ゲートウェイ機器１（サーバ部１４のＣＧＩ処理部１３）からＶＰＮセッション管理サーバ２（ＨＴＴＰサーバ部２１）へのＨＴＴＰコマンドとして送信する（ＳＴ１６）。
【００７３】
次に、ＣＧＩ処理部１３は、以上のようにして送信したＨＴＴＰコマンドのレスポンスであるＣＵＧ作成要求レスポンスを、ＶＰＮセッション管理サーバ２から受信する（ＳＴ１７）。
【００７４】
ここで、ＣＧＩ処理部１３は、受信したレスポンスが正常であるか否かを判断し（ＳＴ１８）、それが異常（エラー）であった場合（ＳＴ１８；Ｎ）には、受信したエラーメッセージの内容を、本プログラムを呼び出したＨＴＴＰサーバ部１２への返り値として（ＳＴ１９）渡す。
【００７５】
これに対し、受信したレスポンスが正常であった場合（ＳＴ１８；Ｙ）には、ＣＧＩ処理部１３は、暗号化後の端末登録用パスワードを、先に生成した秘密鍵を用いて復号化し（ＳＴ２０）、その復号化された端末登録用パスワードを、本プログラムを呼び出したＨＴＴＰサーバ部１２への返り値として（ＳＴ２１）渡す。そして、このＨＴＴＰサーバ部１２は、渡されたその復号化後の端末登録用パスワードをイントラネット５上の該当機器のブラウザに画面表示させるためのＨＴＭＬ画面データを同該当機器に送信し、以って、この該当機器がその受信したＨＴＭＬ画面データに基づいて、前記復号化後の端末登録用パスワードをブラウザにて画面表示することとなる。
【００７６】
なお、受信したレスポンスが正常であるか否かを判断する手法としては、当該レスポンスにおいて、受信ステータスを示すエリアを確保し、例えば、正常ならば「０」、エラーならば「０」以外の値を表記するようにフォーマットを事前に決めておき、そのエリアを本プログラムに読み取らせるなどすればよい。
【００７７】
そして、以上のＣＵＧ作成要求処理プログラムは、本発明に係るイントラネットリモートアクセス処理プログラムを記録する記録媒体を構成する任意の記録媒体に記録することが可能であり、その場合には、当該ＣＵＧ作成要求処理プログラムを記録した記録媒体が、ゲートウェイ機器１に、公開鍵暗号方式の暗号アルゴリズムを用いて秘密鍵及び公開鍵を生成させる手順と、所定の原文に対し、ＶＰＮセッション管理サーバ２との間で共有される共有秘密情報（Ｓｅｃｒｅｔ−ＩＤ２）を用いてメッセージ認証子（ＭＡＣ）を生成させる手順と、ユーザグループに参加しようとするイントラネット５上の機器に付与された機器名及び機器アドレスを、共有秘密情報（Ｓｅｃｒｅｔ−ＩＤ２）を用いて暗号化させる手順と、前記ゲートウェイ機器１に付与された機器ＩＤ、公開鍵、原文、メッセージ認証子（ＭＡＣ）、並びに暗号化後の機器名及び機器アドレスをＶＰＮセッション管理サーバ２に送信させる手順と、ＶＰＮセッション管理サーバ２から受信した暗号化後の端末登録用パスワードを秘密鍵を用いて復号化させる手順と、を順次実行する手続を実録すればよい。
【００７８】
＜ＣＵＧ作成受付処理プログラム（記録媒体）＞
次に、本発明に係るイントラネットリモートアクセス処理プログラムを構成するプログラムの１つとして、ＶＰＮセッション管理サーバ２のＣＧＩ処理部２２に格納され、上述の「ＣＵＧ作成要求処理プログラム」によりゲートウェイ機器１から送信されたＣＵＧ作成要求コマンドを受信して、所要の端末登録用パスワードを発行する「ＣＵＧ作成受付処理プログラム」について説明する。
【００７９】
図４は、図１に示したＶＰＮセッション管理サーバ２のＣＧＩ処理部２２に格納されるＣＵＧ作成受付処理プログラムを説明するためのフローチャートである。
【００８０】
本プログラムは、ゲートウェイ機器１のＣＧＩ処理部１３における「ＣＵＧ作成要求処理プログラム」により送信された本プログラム起動要求コマンドと、そのパラメータである機器ＩＤ、公開鍵、原文、ＭＡＣ、並びに暗号化後の機器名及び機器アドレスの組をＶＰＮセッション管理サーバ２が受信したときに、当該ＶＰＮセッション管理サーバ２のＨＴＴＰサーバ部２１より、その受信した機器ＩＤ、公開鍵、原文、ＭＡＣ、並びに暗号化後の機器名及び機器アドレスの組をパラメータとして起動される。
【００８１】
同図に示すように、ＶＰＮセッション管理サーバ２のＣＧＩ処理部２２は、まず、パラメータとして与えられた原文に対し、共有秘密情報（Secret-ID2）を用いたメッセージ認証子（ＭＡＣ）を、ゲートウェイ機器１におけるのと同様な手法により演算する（ＳＴ３１）。
【００８２】
ここで、ＣＧＩ処理部２２は、そのメッセージ認証子（ＭＡＣ）の演算結果がゲートウェイ機器１から受信したメッセージ認証子（ＭＡＣ）と一致するか否かを判断し（ＳＴ３２）、それが一致しなかった場合（ＳＴ３２；Ｎ）には、機器認証ステータスとしてのエラーコードを、本プログラムを呼び出したＨＴＴＰサーバ部２１への返り値として（ＳＴ３３）渡す。
【００８３】
これに対し、メッセージ認証子（ＭＡＣ）が一致した場合（ＳＴ３２；Ｙ）には、ＣＧＩ処理部２２は、パラメータとして与えられた暗号化後の機器名及び機器アドレスの組を共有秘密情報（Ｓｅｃｒｅｔ−ＩＤ２）を用いて復号化し、ＶＰＮセッション管理テーブル２３の「機器名」及び「機器アドレス」の各フィールドにゲートウェイ機器１の機器ＩＤと対応させて保持する（ＳＴ３４）。
【００８４】
次に、ＣＧＩ処理部２２は、Ｗｅｂ対応携帯電話４を登録するための端末登録用パスワードをランダムに生成し、これを、ＶＰＮセッション管理テーブル２３における該当レコードの「端末登録用パスワード」フィールドにゲートウェイ機器１の機器ＩＤと対応させて保持する（ＳＴ３５）。（本端末登録用パスワードは、後に、Ｗｅｂ対応携帯電話４を登録する際に使用されるが、セキュリティを確保するため、例えば、１分程度の有効期間を設けるのが望ましい）
【００８５】
そして、ＣＧＩ処理部２２は、上記端末登録用パスワードを、パラメータとして与えられたゲートウェイ機器１の公開鍵を用いて暗号化し（ＳＴ３６）、先の機器認証ステータスとしての正常終了コードと、その暗号化後の端末登録用パスワードとを、本プログラムを呼び出したＨＴＴＰサーバ部２１への返り値として（ＳＴ３７）渡す。
【００８６】
そして、以上のＣＵＧ作成受付処理プログラムは、本発明に係るイントラネットリモートアクセス処理プログラムを記録する記録媒体を構成する任意の記録媒体に記録することが可能であり、その場合には、当該ＣＵＧ作成受付処理プログラムを記録した記録媒体が、ＶＰＮセッション管理サーバ２に、ゲートウェイ機器１から受信した所定の原文に対し、ゲートウェイ機器１から受信した機器ＩＤに対応してゲートウェイ機器１との間で共有される共有秘密情報（Ｓｅｃｒｅｔ−ＩＤ２）を用いてメッセージ認証子（ＭＡＣ）を生成させる手順と、この生成されたメッセージ認証子（ＭＡＣ）と、ゲートウェイ機器１から受信したメッセージ認証子（ＭＡＣ）とが一致したことを以って、ゲートウェイ機器１の正当性を認証させる手順と、ユーザグループに参加しようとするイントラネット５上の機器に付与され、ゲートウェイ機器１から受信した暗号化後の機器名及び機器アドレスを、共有秘密情報（Ｓｅｃｒｅｔ−ＩＤ２）を用いて復号化させる手順と、端末登録用パスワードをランダムに一時生成させると共に、復号化された機器名及び機器アドレスを端末登録用パスワードと共にゲートウェイ機器１の機器ＩＤと対応させて保持させる手順と、ゲートウェイ機器１から受信した公開鍵を用いて端末登録用パスワードを暗号化させる手順と、暗号化後の端末登録用パスワードをゲートウェイ機器１に送信させる手順と、を順次実行する手続を実録すればよい。
【００８７】
＜端末登録処理プログラム（記録媒体）＞
次に、本発明に係るイントラネットリモートアクセス処理プログラムを構成するプログラムの１つとして、ＶＰＮセッション管理サーバ２のＣＧＩ処理部２２に格納され、リモートアクセス端末となるＷｅｂ対応携帯電話４から送信される端末登録用パスワードを受信し、上述の「ＣＵＧ作成受付処理プログラム」に端末登録用パスワードの発行を要求したゲートウェイ機器１との対応付けを行う「端末登録処理プログラム」について説明する。
【００８８】
図５は、図１に示したＶＰＮセッション管理サーバ２のＣＧＩ処理部２２に格納される端末登録処理プログラムを説明するためのフローチャートである。
【００８９】
本プログラムは、上述のＣＵＧ作成要求処理プログラム及びＣＵＧ作成受付処理プログラム双方の実行の結果、イントラネット５上の該当機器のブラウザに画面表示された端末登録用パスワードを視認したユーザにより入力・操作されることでＷｅｂ対応携帯電話４から送信される本プログラム起動要求コマンドと端末登録用パスワード及び端末ＩＤとを、ＶＰＮセッション管理サーバ２が受信したときに、当該ＶＰＮセッション管理サーバ２のＨＴＴＰサーバ部２１より、その受信した端末登録用パスワード及び端末ＩＤをパラメータとして起動される。
【００９０】
同図に示すように、ＶＰＮセッション管理サーバ２のＣＧＩ処理部２２は、まず、パラメータとして与えられた端末登録用パスワードが、ＶＰＮセッション管理テーブル２３に保持されているか否かを検索する（ＳＴ４１）。
【００９１】
ここで、ＣＧＩ処理部２２は、全ての「端末登録用パスワード」フィールドを走査し、パラメータとして与えられた端末登録用パスワードと同一の値が存在しない場合（ＳＴ４１；Ｎ）には、端末登録用パスワード認証ステータスとしてのエラーコードを、本プログラムを呼び出したＨＴＴＰサーバ部２１への返り値として（ＳＴ４２）渡す。
【００９２】
これに対し、与えられた端末登録用パスワードと同一の値が存在する場合（ＳＴ４１；Ｙ）には、ＣＧＩ処理部２２は、パラメータとして与えられた端末ＩＤを、ＶＰＮセッション管理テーブル２３の「端末ＩＤ」フィールドにゲートウェイ機器１の機器ＩＤと対応させて保持する（ＳＴ４３）。
【００９３】
次に、ＣＧＩ処理部２２は、ＶＰＮセッション管理テーブル２３の「端末登録用パスワード」フィールドから、その端末登録用パスワードを削除し（ＳＴ４４）、先の端末登録用パスワード認証ステータスとしての正常終了コードを、本プログラムを呼び出したＨＴＴＰサーバ部２１への返り値として（ＳＴ４５）渡す。
【００９４】
そして、以上の端末登録処理プログラムは、本発明に係るイントラネットリモートアクセス処理プログラムを記録する記録媒体を構成する任意の記録媒体に記録することが可能であり、その場合には、当該端末登録処理プログラムを記録した記録媒体が、ＶＰＮセッション管理サーバ２に、Ｗｅｂ対応携帯電話４から入力された端末登録用パスワードが、対応保持されている端末登録用パスワードと一致したことを以って、当該Ｗｅｂ対応携帯電話４の正当性を認証させる手順と、Ｗｅｂ対応携帯電話４から入力された端末ＩＤを保持させる手順と、対応保持されている端末登録用パスワードを削除させる手順と、を順次実行する手続を実録すればよい。
【００９５】
＜ＶＰＮセッション確立処理プログラム（記録媒体）＞
次に、本発明に係るイントラネットリモートアクセス処理プログラムを構成するプログラムの１つとして、ＶＰＮセッション管理サーバ２のＣＧＩ処理部２２に格納され、上述の「端末登録処理プログラム」により登録されたＷｅｂ対応携帯電話４からのイントラネットリモートアクセス要求を受信し、対応付けられたゲートウェイ機器１とＶＰＮゲートウェイ３との間でＶＰＮを確立するためのコマンドを当該ＶＰＮゲートウェイ３に送信する、対ゲートウェイ機器１向けの「ＶＰＮセッション確立処理プログラム」について説明する。
【００９６】
図６は、図１に示したＶＰＮセッション管理サーバ２のＣＧＩ処理部２２に格納されるＶＰＮセッション確立処理プログラムを説明するためのフローチャートである。
【００９７】
本プログラムは、Ｗｅｂ対応携帯電話４から送信される本プログラム起動要求コマンドとそのパラメータである端末ＩＤとを、ＶＰＮセッション管理サーバ２が受信したときに、当該ＶＰＮセッション管理サーバ２のＨＴＴＰサーバ部２１より、その受信した端末ＩＤをパラメータとして起動される。
【００９８】
同図に示すように、ＶＰＮセッション管理サーバ２のＣＧＩ処理部２２は、まず、パラメータとして与えられた端末ＩＤが、ＶＰＮセッション管理テーブル２３に保持されているか否かを検索する（ＳＴ５１）。
【００９９】
ここで、ＣＧＩ処理部２２は、全ての「端末ＩＤ」フィールドを走査し、パラメータとして与えられた端末ＩＤと同一の値が存在しない場合（ＳＴ５１；Ｎ）には、端末未登録を示すステータスを、本プログラムを呼び出したＨＴＴＰサーバ部２１への返り値として（ＳＴ５２）渡す。
【０１００】
これに対し、与えられた端末ＩＤと同一の値が存在する場合（ＳＴ５１；Ｙ）には、ＣＧＩ処理部２２は、先に検索されたＶＰＮセッション管理テーブル２３の該当レコードから、ＩＰｓｅｃの共有認証鍵（PresharedKey）及びゲートウェイ機器１のルータ部１１のグローバルＩＰアドレスを取得し、ＶＰＮセッション確立のためのＶＰＮ設定コマンドを生成する（ＳＴ５３）。
【０１０１】
次に、ＣＧＩ処理部２２は、上記ＶＰＮ設定コマンドを、ＶＰＮゲートウェイ３の設定コマンド受信処理部３２に送信する（ＳＴ５４）と共に、そのＶＰＮ設定コマンドのレスポンスを、当該設定コマンド受信処理部３２から受信し（ＳＴ５５）、さらに、ＶＰＮ設定に関する正常終了コードを、本プログラムを呼び出したＨＴＴＰサーバ部２１への返り値として（ＳＴ５６）渡す。
【０１０２】
そして、以上のＶＰＮセッション確立処理プログラムは、本発明に係るイントラネットリモートアクセス処理プログラムを記録する記録媒体を構成する任意の記録媒体に記録することが可能であり、その場合には、当該ＶＰＮセッション確立処理プログラムを記録した記録媒体が、ＶＰＮセッション管理サーバ２に、Ｗｅｂ対応携帯電話４から入力された端末ＩＤが、対応保持されている端末ＩＤと一致したことを以って、当該Ｗｅｂ対応携帯電話４の正当性を認証させる手順と、ゲートウェイ機器１をＩＰｓｅｃの対象ホストとした共有認証鍵（ＰｒｅｓｈａｒｅｄＫｅｙ）の設定を、ＶＰＮゲートウェイ３に書き込ませる手順と、を順次実行する手続を実録すればよい。
【０１０３】
＜代理アクセス処理プログラム（記録媒体）＞
次に、本発明に係るイントラネットリモートアクセス処理プログラムを構成するプログラムの１つとして、ＶＰＮセッション管理サーバ２のＣＧＩ処理部２２に格納され、上述の「ＶＰＮセッション確立処理プログラム」により確立されたＶＰＮ経由で、登録済みＷｅｂ対応携帯電話４からのイントラネットリモートアクセスを代理でアクセスする、対イントラネット５向けの「代理アクセス処理プログラム」について説明する。
【０１０４】
図７は、図１に示したＶＰＮセッション管理サーバ２のＣＧＩ処理部２２に格納される代理アクセス処理プログラムを説明するためのフローチャートである。
【０１０５】
本プログラムは、Ｗｅｂ対応携帯電話４から送信される本プログラム起動要求コマンドとそのパラメータである端末ＩＤ及び機器名とを、ＶＰＮセッション管理サーバ２が受信したときに、当該ＶＰＮセッション管理サーバ２のＨＴＴＰサーバ部２１より、その受信した端末ＩＤ及び機器名をパラメータとして起動される。
【０１０６】
同図に示すように、ＶＰＮセッション管理サーバ２のＣＧＩ処理部２２は、まず、パラメータとして与えられた端末ＩＤが、ＶＰＮセッション管理テーブル２３に保持されているか否かを検索する（ＳＴ６１）。
【０１０７】
ここで、ＣＧＩ処理部２２は、全ての「端末ＩＤ」フィールドを走査し、パラメータとして与えられた端末ＩＤと同一の値が存在しない場合（ＳＴ６１；Ｎ）には、端末未登録を示すステータスを、本プログラムを呼び出したＨＴＴＰサーバ部２１への返り値として（ＳＴ６２）渡す。
【０１０８】
これに対し、与えられた端末ＩＤと同一の値が存在する場合（ＳＴ６１；Ｙ）には、ＣＧＩ処理部２２は、さらに、パラメータとして与えられた機器名が、先に検索されたＶＰＮセッション管理テーブル２３の該当レコードに保持されているか否かを検索し（ＳＴ６３）、パラメータとして与えられた機器名と同一の値が存在しない場合（ＳＴ６３；Ｎ）には、アクセス不可を示すステータスを、本プログラムを呼び出したＨＴＴＰサーバ部２１への返り値として（ＳＴ６４）渡す。
【０１０９】
これに対し、与えられた機器名と同一の値が存在する場合（ＳＴ６３；Ｙ）には、ＣＧＩ処理部２２は、先に検索されたＶＰＮセッション管理テーブル２３の該当レコードから機器アドレス（ＩＰアドレス）を取得し（ＳＴ６５）、さらに、公知のリバースプロキシプログラム（アクセス要求を受け付け、そのアクセス要求の代理でアクセスを行うプログラム。図示せず）を起動して（ＳＴ６６）、当該リバースプロキシプログラムに、その取得したＩＰアドレス向けの代理アクセスを行うよう指示する。
【０１１０】
次に、ＣＧＩ処理部２２は、上記リバースプロキシプログラムから返り値データを受信し（ＳＴ６７）、当該リバースプロキシプログラムの返り値データを、本プログラムを呼び出したＨＴＴＰサーバ部２１への返り値として（ＳＴ６８）渡す。
【０１１１】
そして、以上の代理アクセス処理プログラムは、本発明に係るイントラネットリモートアクセス処理プログラムを記録する記録媒体を構成する任意の記録媒体に記録することが可能であり、その場合には、当該代理アクセス処理プログラムを記録した記録媒体が、ＶＰＮセッション管理サーバ２に、Ｗｅｂ対応携帯電話４から入力された端末ＩＤ及び機器名が、対応保持されている端末ＩＤ及び機器名と一致したことを以って、Ｗｅｂ対応携帯電話４の正当性を認証させる手順と、対応保持されている機器アドレスを取得させる手順と、リバースプロキシプログラムを起動させて、その取得された機器アドレス向けの代理アクセスが行われるよう、当該リバースプロキシプログラムに対し指示を与えさせる手順と、を順次実行する手続を実録すればよい。
【０１１２】
なお、以上のプログラム例及び記録媒体例の説明では、各ノード間の通信プロトコルとしてＨＴＴＰ等の適用を前提に述べたが、各処理部間の通信が円滑に行うことができれば、何ら通信プロトコルの種別は問わない。但し、インターネット間の通信であるため、ＴＣＰ／ＩＰ上のプロトコルであることは必要である（但し、汎用性を考慮した場合、ＨＴＴＰからＣＧＩを起動する形態であることが望ましい）。
【０１１３】
また、本発明の実施に際しては、以下に示す前提条件が必要とされる。
【０１１４】
（１）ゲートウェイ機器１とＶＰＮセッション管理サーバ２とが、初期共有秘密情報（Secret-ID ）を事前に共有していること。この初期共有秘密情報（Secret-ID ）は、出荷時にゲートウェイ機器１のＲＯＭ（図示せず）等に埋め込んでおき、これをＶＰＮセッション管理サーバ２と共有することで対応する。なお、ＲＯＭに埋め込まれる初期共有秘密情報（Secret-ID ）は、全てのゲートウェイ機器１において共通でもよい。
【０１１５】
（２）ゲートウェイ機器１のルータ部１１がＶＰＮ機能を有していること。また、ＶＰＮセッションについて、セッション待受け側の設定が事前に完了していること。本実施形態例では、ＶＰＮで使用するプロトコルとして、ＩＰｓｅｃを用いて説明を行うが、ＳＳＬ等のプロトコルを用いても差し支えない。
【０１１６】
（３）ＶＰＮゲートウェイ３が、ゲートウェイ機器１のルータ部１１と通信互換性のあるＶＰＮ機能を有すること。
【０１１７】
（４）携帯電話通信キャリアにより運営されるインターネットゲートウェイ７から、Ｗｅｂ対応携帯電話４の端末ＩＤがＶＰＮセッション管理サーバ２に通知されること。
（以上、実施前提条件）
【０１１８】
（方法例）
続いて、以上のイントラネットリモートアクセスシステムαに適用される方法例を、図８〜図１３に示す各処理のシーケンス図、及び図１４に示すＶＰＮセッション管理テーブル２３の遷移図に基づいて説明する。本方法例は、ゲートウェイ機器１を介してインターネット６に接続されたイントラネット５上の機器に、インターネットゲートウェイ７を通じてインターネット６にアクセス可能なＷｅｂ対応携帯電話４からリモートアクセスするためのイントラネットリモートアクセス方法であって、詳細には、以下に説明のイ．設置通知処理、ロ．認証鍵設定処理、ハ．ＣＵＧ作成処理、ニ．端末登録処理、ホ．ＶＰＮセッション確立処理、及びヘ．代理アクセス処理がこの順で順次実施されてなる。
【０１１９】
＜イ．設置通知処理＞
本設置通知処理は、ゲートウェイ機器１が設置されたことをＶＰＮセッション管理サーバ２に通知し、当該ＶＰＮセッション管理サーバ２から、イントラネットリモートアクセスのための共有情報であるＩＰｓｅｃの共有認証鍵（ＰｒｅｓｈａｒｅｄＫｅｙ）及び共有秘密情報（Ｓｅｃｒｅｔ−ＩＤ２）を受け取ることが目的である。
【０１２０】
なお、初期共有秘密情報（Secret-ID ）の代わりに共有秘密情報（Secret-ID2）を用いるのは、ゲートウェイ機器１の全てに共通している可能性がある初期共有秘密情報（Secret-ID ）を用いるよりも、その共有秘密情報（Secret-ID2）を用いる方が、セキュリティが強化されるためである。以下、図面により、本設置通知処理の詳細を説明する。
【０１２１】
図８は、本発明の方法例に係る設置通知処理を説明するためのシーケンス図である。
【０１２２】
同図に示すように、本設置通知処理は、ゲートウェイ機器１の設置終了後、当該ゲートウェイ機器１のルータ部１１のインターネット６への接続設定が完了した時点で、ボタン等のアクションにより、ゲートウェイ機器１のサーバ部１４にコマンドが通知されたときに実行される。なお、この設置通知処理は、サーバ部１４において一度だけ実行される。
【０１２３】
即ち、サーバ部１４は、図示の「設置通知コマンド送信処理」において、まず、ＲＳＡなど公開鍵暗号方式の暗号アルゴリズムを用いて、秘密鍵及び公開鍵を生成する（ＳＰ１１）と共に、機器ＩＤに現在のタイムスタンプを付加してなる原文を生成し（ＳＰ１２）、さらに、その原文に対し、出荷時情報である初期共有秘密情報（Ｓｅｃｒｅｔ−ＩＤ）を用いたメッセージ認証子（ＭＡＣ）を生成する（ＳＰ１３）。
【０１２４】
そして、サーバ部１４は、同処理において、設置通知を示すコード、機器ＩＤ、原文、ＭＡＣ、及び公開鍵をパラメータとして、ゲートウェイ機器１（サーバ部１４のＣＧＩ処理部１３）からＶＰＮセッション管理サーバ２（ＨＴＴＰサーバ部２１）へのＨＴＴＰコマンドとして、所要の設置通知コマンドを、＜非ＩＰｓｅｃセッション（グローバル）＞で送信する（ＳＰ１４）。
【０１２５】
次に、ＶＰＮセッション管理サーバ２は、図示の「設置通知コマンド受信及び処理」において、ゲートウェイ機器１のサーバ部１４から送信された設置通知コマンドを受信して（ＳＰ１５）、パラメータとして与えられた原文に対し、機器共通情報である初期共有秘密情報（Secret-ID ）を用いたメッセージ認証子（ＭＡＣ）を生成し、これが、受信したメッセージ認証子（ＭＡＣ）と一致することを確認して、ゲートウェイ機器１の認証を行う（ＳＰ１６）。
【０１２６】
次に、ＶＰＮセッション管理サーバ２は、同処理において、ＩＰｓｅｃの共有認証鍵（PresharedKey）及び共有秘密情報（Secret-ID2）をランダムに生成し、これらを、図１４（ａ）に示すように、機器ＩＤと対応付けてＶＰＮセッション管理テーブル２３に保持する（ＳＰ１７，ＳＰ１８）と共に、上記共有認証鍵（PresharedKey）及び共有秘密情報（Secret-ID2）を、先にパラメータとして与えられたゲートウェイ機器１の公開鍵を用いて暗号化する（ＳＰ１９）。
【０１２７】
そして、ＶＰＮセッション管理サーバ２は、同処理において、正常又はエラーを示すステータス、並びに暗号化後の共有認証鍵（PresharedKey）及び共有秘密情報（Secret-ID2）をパラメータとした所要の設置通知レスポンスを、ＶＰＮセッション管理サーバ２（ＨＴＴＰサーバ部２１）からゲートウェイ機器１（サーバ部１４のＣＧＩ処理部１３）へのＨＴＴＰレスポンスとして、＜非ＩＰｓｅｃセッション＞で送信する（ＳＰ２０）。
【０１２８】
次に、ゲートウェイ機器１のサーバ部１４は、図示の「設置通知レスポンス受信後処理」において、ＶＰＮセッション管理サーバ２から設置通知レスポンスを受信し（ＳＰ２１）、与えられた暗号化後の共有認証鍵（ＰｒｅｓｈａｒｅｄＫｅｙ）及び共有秘密情報（Ｓｅｃｒｅｔ−ＩＤ２）を、当該ゲートウェイ機器１の秘密鍵を用いて復号化して、その復号化された共有認証鍵（ＰｒｅｓｈａｒｅｄＫｅｙ）及び共有秘密情報（Ｓｅｃｒｅｔ−ＩＤ２）を設置通知後情報として保持し（ＳＰ２２，ＳＰ２３）、さらに、処理をロ．の認証鍵設定処理へと受け渡し（図示の記号「Ａ」により図９へ連続）、以上により、本設置通知処理が完了する。
【０１２９】
＜ロ．認証鍵設定処理＞
本認証鍵設定処理は、上述の設置通知処理の完了後、ゲートウェイ機器１のルータ部１１に対し、共有認証鍵（ＰｒｅｓｈａｒｅｄＫｅｙ）を設定することを目的とする。以下、図面により、本認証鍵設定処理の詳細を説明する。
【０１３０】
図９は、本発明の方法例に係る認証鍵設定処理を説明するためのシーケンス図である。
【０１３１】
同図に示すように、本認証鍵設定処理は、上述の設置通知処理の完了を契機（図示の「Ａ」により図８から連続）に、これに引き続いて自動的に一度だけ実行される。
【０１３２】
即ち、ゲートウェイ機器１のサーバ部１４は、図示の「ルータ設定コマンド送信処理」において、ＶＰＮゲートウェイ３をＩＰｓｅｃの対象ホストとした共有認証鍵（ＰｒｅｓｈａｒｅｄＫｅｙ）の設定コマンドをパラメータとした所要のルータ設定コマンドを生成し（ＳＰ３１）、当該ルータ設定コマンドをゲートウェイ機器１のサーバ部１４から同ゲートウェイ機器１のルータ部１１へのコマンドとして、＜ローカルネットワークセッション＞で送信する（ＳＰ３２）。
【０１３３】
次に、ゲートウェイ機器１のルータ部１１は、図示の「ルータ設定コマンド受信及び処理」において、サーバ部１４から送信されたルータ設定コマンドを受信し（ＳＰ３３）、受信した共有認証鍵（PresharedKey）を自身に書き込んで、当該共有認証鍵（PresharedKey）の設定を行う（ＳＰ３４）。
【０１３４】
そして、ルータ部１１は、同処理において、正常又はエラーを示すステータスをパラメータとして、ゲートウェイ機器１のルータ部１１から同ゲートウェイ機器１のサーバ部１４へのレスポンスとして、所要のルータ設定レスポンスを、＜ローカルネットワークセッション＞で送信する（ＳＰ３５）。
【０１３５】
次に、ゲートウェイ機器１のサーバ部１４は、図示の「ルータ設定レスポンス受信」において、ルータ部１１から送信されたルータ設定レスポンスを受信し（ＳＰ３６）、以上により、本認証鍵設定処理が完了する。
【０１３６】
＜ハ．ＣＵＧ作成処理＞
本ＣＵＧ作成処理は、ゲートウェイ機器１にアクセス可能なＷｅｂ対応携帯電話４を登録するための端末登録用パスワードを、ＶＰＮセッション管理サーバ２に発行させることを目的とする。
【０１３７】
また、ゲートウェイ機器１配下のイントラネット５には様々な機器が存在するが、その所有者は機器ごとに異なることが考えられるため、ユーザの所有物であるＷｅｂ対応携帯電話４ごとに各機器へのアクセスが可能か否かをＶＰＮセッション管理サーバ２に通知し、当該ＶＰＮセッション管理サーバ２に、イントラネット５上の各機器へのアクセス制御を行わせる情報（機器名及び機器アドレスの組）を通知することを目的とする。
【０１３８】
図１０は、本発明の方法例に係るＣＵＧ作成処理を説明するためのシーケンス図である。
【０１３９】
同図に示すように、本ＣＵＧ作成処理は、図示の「ＣＵＧ作成要求起動コマンド送信処理」において、ユーザが、イントラネット５上における任意の機器のブラウザによりゲートウェイ機器１のサーバ部１４にアクセスして、イントラネット５上の機器名の一覧を表示するための「機器一覧画面（図示せず）」を表示させ、この機器一覧画面において、後に、Ｗｅｂ対応携帯電話４で操作しようとする機器（ゲートウェイ機器１を含む）を選択して（ＳＰ４１）、ボタン押下等のアクションを起こすことにより開始される。
【０１４０】
そして、イントラネット５上における任意の機器のブラウザは、同処理において、前述したＣＵＧ作成要求処理プログラムを起動するためのＣＵＧ作成要求処理プログラム起動コマンド、並びに機器名及び機器アドレスの組をパラメータとした所要のＣＵＧ作成要求起動コマンドを、当該ブラウザからゲートウェイ機器１（サーバ部１４のＨＴＴＰサーバ部１２）へのＨＴＴＰコマンドとして、＜ローカルネットワークセッション＞で送信する（ＳＰ４２）。
【０１４１】
なお、上述の機器一覧画面に表示される機器名は、予め、ユーザが登録可能なものであり、ゲートウェイ機器１のサーバ部１４は、イントラネット５上に存在する各機器の名称（機器名）と、そのイントラネット５上の各機器に付与されたＩＰアドレス（機器アドレス）との組のリストを、ＣＵＧ作成要求処理プログラムが起動される前の段階で保持しているものとする（当該リストを取得する手法は、特に問わない）。
【０１４２】
次に、ゲートウェイ機器１のサーバ部１４は、図示の「ＣＵＧ作成受付起動コマンド送信処理」において、イントラネット５上における任意の機器のブラウザから送信されたＣＵＧ作成要求起動コマンドを受信して（ＳＰ４３）、パラメータとして与えられたＣＵＧ作成要求処理プログラム起動コマンドにより、所要のＣＵＧ作成要求処理プログラムを起動すると共に、同パラメータとして与えられた機器名及び機器アドレスを取得する（ＳＰ４４）。
【０１４３】
次に、サーバ部１４は、同処理において、ＲＳＡなど公開鍵暗号方式の暗号アルゴリズムを用いた秘密鍵及び公開鍵と、機器ＩＤにタイムスタンプを付加してなる認証のための原文と、前述の設置通知処理時に保持した共有秘密情報（Ｓｅｃｒｅｔ−ＩＤ２）を用いたメッセージ認証子（ＭＡＣ）とを順次生成し（ＳＰ４５，ＳＰ４６，ＳＰ４７）、さらに、取得された機器名及び機器アドレスを上記共有秘密情報（Ｓｅｃｒｅｔ−ＩＤ２）を用いて暗号化する（ＳＰ４８）。
【０１４４】
そして、サーバ部１４は、同処理において、これまでに取得又は生成した機器ＩＤ、公開鍵、原文、ＭＡＣ、並びに暗号化後の機器名及び機器アドレスの組をパラメータとした所要のＣＵＧ作成受付起動コマンド（前述した「ＣＵＧ作成受付処理プログラム」を起動するためのコマンドであり、図３に示した「ＣＵＧ作成要求コマンド」と同義）を、ゲートウェイ機器１（サーバ部１４のＣＧＩ処理部１３）からＶＰＮセッション管理サーバ２（ＨＴＴＰサーバ部２１）へのＨＴＴＰコマンドとして、＜非ＩＰｓｅｃセッション（グローバル）＞で送信する（ＳＰ４９）。
【０１４５】
次に、ＶＰＮセッション管理サーバ２は、図示の「ＣＵＧ作成受付起動コマンド受信及び処理」において、ゲートウェイ機器１のサーバ部１４から送信されたＣＵＧ作成受付起動コマンドを受信して（ＳＰ５０）、パラメータとして与えられた原文に対し、ＶＰＮセッション管理テーブル２３（図１４（ａ）参照）に保持されている共有秘密情報（Secret-ID2）を用いたメッセージ認証子（ＭＡＣ）を生成し、これが、受信したメッセージ認証子（ＭＡＣ）と一致することを確認して、ゲートウェイ機器１の認証を行う（ＳＰ５１）。
【０１４６】
次に、ＶＰＮセッション管理サーバ２は、同処理において、パラメータとして与えられた暗号化後の機器名及び機器アドレスを復号化すると共に、端末登録用パスワード（有効期間：１分程度）をランダムに生成して、これらを、図１４（ｂ）に示すように、機器ＩＤと対応付けてＶＰＮセッション管理テーブル２３に保持し（ＳＰ５２，ＳＰ５３）、さらに、上記端末登録用パスワードを、先にパラメータとして与えられたゲートウェイ機器１の公開鍵を用いて暗号化する（ＳＰ５４）。
【０１４７】
そして、ＶＰＮセッション管理サーバ２は、同処理において、正常又はエラーを示すステータス、及び暗号化後の端末登録用パスワードをパラメータとした所要のＣＵＧ作成受付起動レスポンスを、ＶＰＮセッション管理サーバ２（ＨＴＴＰサーバ部２１）からゲートウェイ機器１（サーバ部１４のＣＧＩ処理部１３）へのＨＴＴＰレスポンスとして、＜非ＩＰｓｅｃセッション＞で送信する（ＳＰ５５）。
【０１４８】
次に、ゲートウェイ機器１のサーバ部１４は、図示の「ＣＵＧ作成受付起動レスポンス受信後処理」において、ＶＰＮセッション管理サーバ２から送信されたＣＵＧ作成受付起動レスポンスを受信して（ＳＰ５６）、パラメータとして与えられた暗号化後の端末登録用パスワードを、先に生成した秘密鍵を用いて復号化し（ＳＰ５７）、さらに、その復号化された端末登録用パスワードを表示するＨＴＭＬ画面データをパラメータとした所要のＣＵＧ作成要求起動レスポンスを、ゲートウェイ機器１（ＨＴＴＰサーバ部１２）からイントラネット５上における該当機器のブラウザへのＨＴＴＰレスポンスとして、＜ローカルネットワークセッション＞で送信する（ＳＰ５８）。
【０１４９】
次に、イントラネット５上における該当機器のブラウザは、図示の「ＣＵＧ作成要求起動レスポンス受信処理」において、ゲートウェイ機器１のサーバ部１４から送信されたＣＵＧ作成要求起動レスポンスを受信して（ＳＰ５９）、そのパラメータである端末登録用パスワードを表示したＨＴＭＬ画面データを画面表示し（ＳＰ６０）、以上により、本ＣＵＧ作成処理が完了する。
【０１５０】
＜ニ．端末登録処理＞
本端末登録処理は、ゲートウェイ機器１にアクセス可能なＷｅｂ対応携帯電話４を、実際にＶＰＮセッション管理サーバ２に登録することを目的とする。
【０１５１】
図１１は、本発明の方法例に係る端末登録処理を説明するためのシーケンス図である。
【０１５２】
同図に示すように、本端末登録処理は、ユーザが、自身のＷｅｂ対応携帯電話４のブラウザ４１から、ＶＰＮセッション管理サーバ２（ＨＴＴＰサーバ部２１）にアクセスし、上述のＣＵＧ作成処理実行の結果イントラネット５上の該当機器のブラウザに画面表示された端末登録用パスワードを有効期間内に入力するための「Ｗｅｂ対応携帯電話登録画面」を通じて実行される。
【０１５３】
即ち、Ｗｅｂ対応携帯電話４のブラウザ４１は、図示の「Ｗｅｂ対応携帯電話登録コマンド送信処理」において、Ｗｅｂ対応携帯電話登録コマンドを示すコード、上記Ｗｅｂ対応携帯電話登録画面においてユーザから入力された端末登録用パスワード、及びＷｅｂ対応携帯電話４に付与された端末ＩＤをパラメータとした所要のＷｅｂ対応携帯電話登録コマンド（前述した「端末登録処理プログラム」を起動するためのコマンド）を、ユーザからの送信ボタンの押下に伴い、Ｗｅｂ対応携帯電話４（ブラウザ４１）からＶＰＮセッション管理サーバ２（ＨＴＴＰサーバ部２１）へのＨＴＴＰコマンドとして、専用線８を経由して送信する（ＳＰ６１）。（本コマンドは、専用線８を経由して送信されるため、盗聴や改竄が生じる可能性は極めて低く、セキュリティは高いといえる）
【０１５４】
次に、ＶＰＮセッション管理サーバ２は、図示の「Ｗｅｂ対応携帯電話登録コマンド受信及び処理」において、Ｗｅｂ対応携帯電話４から送信されたＷｅｂ対応携帯電話登録コマンドを受信して（ＳＰ６２）、パラメータとして与えられたコードにより所要の端末登録処理プログラムを起動すると共に、同パラメータとして与えられた端末登録用パスワードと同一の値がＶＰＮセッション管理テーブル２３の該当レコードに存在している（図１４（ｂ）参照）ことを以って、Ｗｅｂ対応携帯電話４を認証する（ＳＰ６３）。
【０１５５】
次に、ＶＰＮセッション管理サーバ２は、同処理において、パラメータとして与えられた端末ＩＤを、図１４（ｃ）に示すように、機器ＩＤと対応付けてＶＰＮセッション管理テーブル２３に保持する（ＳＰ６４）と共に、Ｗｅｂ対応携帯電話４の認証に伴って不要となった端末登録用パスワードを、当該ＶＰＮセッション管理テーブル２３から削除する（ＳＰ６５）。
【０１５６】
なお、上記端末ＩＤは、実際は、携帯電話通信キャリアのインターネットゲートウェイ７に保持されており、当該インターネットゲートウェイ７から送信されるため、Ｗｅｂ対応携帯電話４からユーザ自身が送信する必要がなく、ユーザに入力操作等の負担をかけることがない。また、この端末ＩＤは、ユーザ自身は送信できず、改竄することが不可能なことから、第三者が不正な操作をすることができず、これを認証の鍵として用いることによって、セキュリティを大幅に強化することが可能となる。
【０１５７】
そして、ＶＰＮセッション管理サーバ２は、同処理において、正常又はエラーを示すステータス、及び端末登録用パスワードの登録が完了した旨を表示するＨＴＭＬ画面データをパラメータとした所要のＷｅｂ対応携帯電話登録レスポンスを、ＶＰＮセッション管理サーバ２（ＨＴＴＰサーバ部２１）からＷｅｂ対応携帯電話４（ブラウザ４１）へのＨＴＴＰレスポンスとして、専用線８を経由して送信する（ＳＰ６６）。
【０１５８】
次に、Ｗｅｂ対応携帯電話４のブラウザ４１は、図示の「Ｗｅｂ対応携帯電話登録レスポンス受信後処理」において、ＶＰＮセッション管理サーバ２から送信されたＷｅｂ対応携帯電話登録レスポンスを受信して（ＳＰ６７）、そのパラメータである端末登録用パスワードの登録完了を表示するＨＴＭＬ画面データを「登録完了画面」として画面表示し（ＳＰ６８）、以上により、本端末登録処理が完了する。
【０１６０】
＜ホ．ＶＰＮセッション確立処理＞
本ＶＰＮセッション確立処理は、Ｗｅｂ対応携帯電話４からゲートウェイ機器１及びその配下のイントラネット５上の機器へのセキュリティをもったリモートアクセスを実現するために、両者間にＶＰＮセッションを確立することを目的とする。
【０１６１】
図１２は、本発明の方法例に係るＶＰＮセッション確立処理を説明するためのシーケンス図である。
【０１６２】
同図に示すように、本ＶＰＮセッション確立処理は、図示の「対ゲートウェイ機器向けＶＰＮセッション起動要求コマンド送信」において、ユーザが、上述の端末登録処理で登録したＷｅｂ対応携帯電話４を用いて、ＶＰＮセッション管理サーバ２（ＨＴＴＰサーバ部２１）にアクセスして、リモートアクセスを要求するための「リモートアクセス要求画面（図示せず）」をブラウザ４１に表示させ、当該画面において送信ボタンを押下することにより開始される。
【０１６３】
即ち、Ｗｅｂ対応携帯電話４のブラウザ４１は、同処理において、前述したＶＰＮセッション確立処理プログラムを起動するための対ゲートウェイ機器向けＶＰＮセッション確立処理プログラム起動コマンド、及び端末ＩＤをパラメータとした所要の対ゲートウェイ機器向けＶＰＮセッション起動要求コマンドを、Ｗｅｂ対応携帯電話４（ブラウザ４１）からＶＰＮセッション管理サーバ２（ＨＴＴＰサーバ部２１）へのＨＴＴＰコマンドとして、専用線８を経由して送信する（ＳＰ７１）。
【０１６４】
次に、ＶＰＮセッション管理サーバ２は、図示の「対ゲートウェイ機器向けＶＰＮセッション起動要求コマンド受信及び処理」において、Ｗｅｂ対応携帯電話４から送信された対ゲートウェイ機器向けＶＰＮセッション起動要求コマンドを受信して（ＳＰ７２）、パラメータとして与えられたコマンドにより所要のＶＰＮセッション確立処理プログラムを起動すると共に、同パラメータとして与えられた端末ＩＤと同一の値がＶＰＮセッション管理テーブル２３の該当レコードに存在している（図１４（ｃ）参照）ことを以って、Ｗｅｂ対応携帯電話４を認証する（ＳＰ７３）。
【０１６５】
次に、ＶＰＮセッション管理サーバ２は、同処理において、ＶＰＮセッション管理テーブル２３の該当レコードからＩＰｓｅｃの共有認証鍵（PresharedKey）を取得すると共に、ゲートウェイ機器１のルータ部１１のグローバルＩＰアドレスを取得して、ＶＰＮ設定コマンドを生成する（ＳＰ７４）。
【０１６６】
なお、以上のグローバルＩＰアドレスを取得する手法としては、例えば、ゲートウェイ機器１が固定のグローバルＩＰアドレスを、予めＶＰＮセッション管理サーバ２に通知するようにしてもよいし、或いは、そのグローバルＩＰアドレスが可変な場合には、定期的にＶＰＮセッション管理サーバ２に通知してもよい（グローバルＩＰアドレスを定期的に通知する場合には、その間隔が短いほど、リモートアクセスの成功確率が高くなるといえる）。
【０１６７】
そして、ＶＰＮセッション管理サーバ２は、同処理において、ゲートウェイ機器１のルータ部１１のグローバルＩＰアドレスをＩＰｓｅｃの対象ホストとした共有認証鍵（PresharedKey）の設定（ＶＰＮゲートウェイ３のコマンドの実装により異なる）、及びＶＰＮトンネル９を確立するための設定（同じくＶＰＮゲートウェイ３のコマンドの実装により異なる）をパラメータとした上記ＶＰＮ設定コマンドを、ＶＰＮセッション管理サーバ２（ＣＧＩ処理部２２）からＶＰＮゲートウェイ３（設定コマンド受信処理部３２）へのコマンドとして、＜ローカルネットワークセッション＞で送信する（ＳＰ７５）。
【０１６８】
次に、ＶＰＮゲートウェイ３は、図示の「ＶＰＮ設定コマンド受信及び処理」において、ＶＰＮセッション管理サーバ２から送信されたＶＰＮ設定コマンドを受信して（ＳＰ７６）、パラメータとして与えられた各設定を自身に書き込んで反映させる（ＳＰ７７）ことにより、ゲートウェイ機器１との間で、ＩＰｓｅｃのネゴシエーションを自動的に開始してＶＰＮトンネル９を確立する。
【０１６９】
そして、ＶＰＮゲートウェイ３は、同処理において、正常又はエラーを示すステータスをパラメータとした所要のＶＰＮ設定レスポンスを、ＶＰＮゲートウェイ３（設定コマンド受信処理部３２）からＶＰＮセッション管理サーバ２（ＣＧＩ処理部２２）へのレスポンスとして、＜ローカルネットワークセッション＞で送信する（ＳＰ７８）。
【０１７０】
次に、ＶＰＮセッション管理サーバ２は、図示の「ＶＰＮ設定処理レスポンス受信」において、ＶＰＮゲートウェイ３から送信されたＶＰＮ設定レスポンスを受信して（ＳＰ７９）、正常又はエラーを示すステータス、及びＶＰＮセッションの確立が完了した旨を表示するＨＴＭＬ画面データをパラメータとした所要の対ゲートウェイ機器向けＶＰＮセッション起動要求レスポンスを、ＶＰＮセッション管理サーバ２（ＨＴＴＰサーバ部２１）からＷｅｂ対応携帯電話４（ブラウザ４１）へのＨＴＴＰレスポンスとして、専用線８を経由して送信する（ＳＰ８０）。
【０１７１】
次に、Ｗｅｂ対応携帯電話４は、図示の「対ゲートウェイ機器向けＶＰＮセッション起動要求レスポンス受信」において、ＶＰＮセッション管理サーバ２から送信された対ゲートウェイ機器向けＶＰＮセッション起動要求レスポンスを受信して（ＳＰ８１）、そのパラメータであるＶＰＮセッションの確立完了を表示するＨＴＭＬ画面データを「ＶＰＮセッション確立画面」として画面表示し（ＳＰ８２）、以上により、本ＶＰＮセッション確立処理が完了する。
【０１７２】
＜ヘ．代理アクセス処理＞
本代理アクセス処理は、Ｗｅｂ対応携帯電話４からゲートウェイ機器１及びその配下のイントラネット５上の機器へのセキュリティをもったリモートアクセスを実現するために、ゲートウェイ機器１にアクセス可能なＷｅｂ対応携帯電話４からのアクセスに代わり、上述のＶＰＮセッション確立処理により確立されたＶＰＮ経由で、ＶＰＮセッション管理サーバ２が代理アクセス（リバースプロキシ）を行うことを目的とする。
【０１７３】
図１３は、本発明の方法例に係る代理アクセス処理を説明するためのシーケンス図である。
【０１７４】
同図に示すように、本代理アクセス処理の開始に際しては、まず、図示の「対イントラネット向け代理アクセス起動要求コマンド送信」において、Ｗｅｂ対応携帯電話４のブラウザ４１が、前述した代理アクセス処理プログラムを起動するための対イントラネット向け代理アクセス処理プログラム起動コマンド、端末ＩＤ、及び機器名をパラメータとした所要の対イントラネット向け代理アクセス起動要求コマンドを、Ｗｅｂ対応携帯電話４（ブラウザ４１）からＶＰＮセッション管理サーバ２（ＨＴＴＰサーバ部２１）へのＨＴＴＰコマンドとして、専用線８を経由して送信する（ＳＰ９１）。
【０１７５】
次に、ＶＰＮセッション管理サーバ２は、図示の「対イントラネット向け代理アクセス起動要求コマンド受信及び処理」において、Ｗｅｂ対応携帯電話４から送信された対イントラネット向け代理アクセス起動要求コマンドを受信して（ＳＰ９２）、パラメータとして与えられたコマンドにより所要の代理アクセス処理プログラムを起動すると共に、同パラメータとして与えられた端末ＩＤ及び機器名と同一の値がＶＰＮセッション管理テーブル２３の該当レコードに存在している（図１４（ｃ）参照）ことを以って、Ｗｅｂ対応携帯電話４を認証する（ＳＰ９３，ＳＰ９４）。
【０１７６】
次に、ＶＰＮセッション管理サーバ２は、同処理において、ＶＰＮセッション管理テーブル２３の該当レコードから機器アドレスを取得する（ＳＰ９５）と共に、リバースプロキシプログラムを起動して（ＳＰ９６）、その取得した機器アドレスにより表されるＩＰアドレス向けの代理アクセスを行うよう指示し、ゲートウェイ機器１のサーバ部１４及びイントラネット５上の機器との間で、ＶＰＮトンネル９を経由したＷｅｂサーバコマンドの送受信を行う。
【０１７７】
即ち、ゲートウェイ機器１のサーバ部１４及びイントラネット５上の機器は、図示の「ＨＴＴＰコマンド受信及び処理」において、ＶＰＮセッション管理サーバ２のリバースプロキシプログラムから送信されるアクセス要求などのＷｅｂサーバコマンドを受信し（ＳＰ９７）、そのＶＰＮセッション管理サーバ２のリバースプロキシプログラムに対し、ＨＴＭＬデータ等のＷｅｂサーバレスポンスをＶＰＮトンネル９を経由して送信する（ＳＰ９８）。
【０１７８】
次に、ＶＰＮセッション管理サーバ２のリバースプロキシプログラムは、図示の「リバースプロキシレスポンス受信」において、そのリバースプロキシプログラムの返り値であるＨＴＭＬデータ等（リバースプロキシプログラムレスポンス）を、ゲートウェイ機器１のサーバ部１４及びイントラネット５上の機器からＶＰＮトンネル９を経由して受信し（ＳＰ９９）、その受信したＨＴＭＬデータ等をパラメータとした所要の対イントラネット向け代理アクセス起動要求レスポンスを、ＶＰＮセッション管理サーバ２（ＨＴＴＰサーバ部２１）からＷｅｂ対応携帯電話４（ブラウザ４１）へのＨＴＴＰレスポンスとして、専用線８を経由して送信する（ＳＰ１００）。
【０１７９】
そして、Ｗｅｂ対応携帯電話４は、図示の「対イントラネット向け代理アクセス起動要求レスポンス受信」において、ＶＰＮセッション管理サーバ２から送信された対イントラネット向け代理アクセス起動要求レスポンスを受信する（ＳＰ１０１）。
【０１８０】
そして以下、ユーザがＷｅｂ対応携帯電話４を通じたリモートアクセスを完了するまで、本代理アクセス処理を繰り返して実行する。
【０１８１】
以上、本発明の実施の形態を、その適用システム構成例、プログラム例及び記録媒体例、並びに方法例につき説明したが、本発明は、必ずしも上述した手段及び手法にのみ限定されるものではなく、本発明にいう目的を達成し、後述の効果を有する範囲内において、適宜変更実施することが可能なものである。
【０１８２】
【発明の効果】
以上、詳細に説明したように、本発明によれば、端末単体でありながら、セキュリティを確保したイントラネットへのリモートアクセスがインターネット経由で可能となり、また、リモートアクセス用に専用線等を必要としないので、システム適用に際しコストの増加を招くことがない。
【０１８３】
また、本発明によれば、他人が改竄できない端末ＩＤを端末認証の鍵として用いたことから、セキュリティを大幅に強化することが可能になると共に、当該端末ＩＤは、通信キャリアが提供するインターネットゲートウェイから送信されるため、ユーザの認証情報入力の手間を省くことができる。
【０１８４】
さらに、本発明によれば、イントラネットへのアクセスが可能な端末の追加や変更を、ＣＵＧサービスを提供している企業等に書類で提出することなくユーザ自身が外部から行うことができるため、非常に利便性が高い。
【図面の簡単な説明】
【図１】本発明の適用システムであるイントラネットリモートアクセスシステムの構成を示す図である。
【図２】図１に示したＶＰＮセッション管理サーバに設定されるＶＰＮセッション管理テーブルの構成を示す図である。
【図３】図１に示したゲートウェイ機器のＣＧＩ処理部に格納されるＣＵＧ作成要求処理プログラムを説明するためのフローチャートである。
【図４】図１に示したＶＰＮセッション管理サーバのＣＧＩ処理部に格納されるＣＵＧ作成受付処理プログラムを説明するためのフローチャートである。
【図５】図１に示したＶＰＮセッション管理サーバのＣＧＩ処理部に格納される端末登録処理プログラムを説明するためのフローチャートである。
【図６】図１に示したＶＰＮセッション管理サーバのＣＧＩ処理部に格納されるＶＰＮセッション確立処理プログラムを説明するためのフローチャートである。
【図７】図１に示したＶＰＮセッション管理サーバのＣＧＩ処理部に格納される代理アクセス処理プログラムを説明するためのフローチャートである。
【図８】本発明の方法例に係る設置通知処理を説明するためのシーケンス図である。
【図９】本発明の方法例に係る認証鍵設定処理を説明するためのシーケンス図である。
【図１０】本発明の方法例に係るＣＵＧ作成処理を説明するためのシーケンス図である。
【図１１】本発明の方法例に係る端末登録処理を説明するためのシーケンス図である。
【図１２】本発明の方法例に係るＶＰＮセッション確立処理を説明するためのシーケンス図である。
【図１３】本発明の方法例に係る代理アクセス処理を説明するためのシーケンス図である。
【図１４】本発明の方法例において参照されるＶＰＮ管理テーブルの遷移図である。
【符号の説明】
α…イントラネットリモートアクセスシステム（適用システム）
１…ゲートウェイ機器
１１…ルータ部
１２…ＨＴＴＰサーバ部
１３…ＣＧＩ処理部
１４…サーバ部
２…ＶＰＮセッション管理サーバ
２１…ＨＴＴＰサーバ部
２２…ＣＧＩ処理部
２３…ＶＰＮセッション管理テーブル
３…ＶＰＮゲートウェイ
３１…ＶＰＮ処理部
３２…設定コマンド受信処理部
４…Ｗｅｂ対応携帯電話
４１…ブラウザ
５…イントラネット
６…インターネット
７…インターネットゲートウェイ
８…専用線
９…ＶＰＮトンネル
１０…携帯電話専用回線
【発明の属する技術分野】
本発明は、イントラネットリモートアクセス方法並びにイントラネットリモートアクセス処理プログラム及び該処理プログラムを記録した記録媒体に関し、詳しくは、ＶＰＮ機能を有するゲートウェイ機器を介してインターネットに接続されたイントラネット上の機器を、所定のインターネットゲートウェイを通じて前記インターネットにアクセス可能な端末からリモートアクセスするためのイントラネットリモートアクセス方法、並びに当該イントラネットリモートアクセス方法を実施するためのイントラネットリモートアクセス処理プログラム、及び当該イントラネットリモートアクセス処理プログラムを記録した記録媒体に係わる。
【従来の技術】
【０００２】
近年、パケット網やＰＤＣ網などの公衆網から、携帯電話サービスを提供する通信キャリアにより設置されたインターネットゲートウェイ経由で、ＨＴＴＰによるＷｅｂページの閲覧を可能にする携帯電話（以下、「Ｗｅｂ対応携帯電話」という）が登場している。
【０００３】
このＷｅｂ対応携帯電話によれば、インターネット上のＷＷＷサーバにアクセスして、様々な情報を得たりサービスを受けることが可能になる他、例えば、企業等に設置されたＬＡＮ上のＷｅｂサーバに、外出先からリモートアクセスすることなども可能となる。
【０００４】
上記の例のように、企業等におけるＬＡＮ上のＷｅｂサーバに、外出先からリモートアクセスする場合、本人の成りすまし、或いは通信データの盗聴や改竄（ざん）などの脅威に対処するため、セキュリティ面に対する十分な配慮が必要となる。
【０００５】
そのセキュリティ確保のための具体策には、従来、第１の方法として、携帯電話通信キャリアのインターネットゲートウェイと、被リモートアクセス先であるイントラネット（インターネットとの境界域）とのゲートウェイ機器間を、専用線やＩＰ閉域網などセキュリティの保証されたネットワークで接続し、事前に登録されたＷｅｂ対応携帯電話のみに、当該イントラネットへのリモートアクセスを許可する「ＣＵＧサービス（ＣＵＧ：クローズドユーザグループ）」を利用する方法がある。
【０００６】
また、第２の方法として、被リモートアクセス先のイントラネットとインターネットとの境界域に認証用サーバを設置し、所要の認証を行うためのトークンを正規ユーザに配布すると同時に、当該認証用サーバに適切な設定を施すといった方法があり、そのトークンの具体例としては、ＩＣカードや端末登録用パスワード発生装置などがある。
【０００７】
このうち、ＩＣカードによるセキュリティ方式は、Ｗｅｂ対応携帯電話に接続されたＩＣカードリーダに認証用のＩＣカードを接続し、そのＩＣカードによって本人か否かを認証する方式であり、実際の認証には、通常、ユーザ名とパスワードとが用いられる。この方式によれば、ＩＣカードを所持していれば本人であることが確認できるため、完璧なセキュリティが期待できるとされている。
【０００８】
これに対し、端末登録用パスワード発生装置を用いたセキュリティ方式は、遠隔地におけるコンピュータのユーザに当該装置を配布し、割り当てられた端末登録用パスワードをユーザに直接入力させる方式であり、コンピュータのＲＡＳ（リモートアクセスサービス）には、当該装置の固有コードを登録し、一定の計算式によりパスワードを解読するようにしている。
【０００９】
【発明が解決しようとする課題】
しかしながら、従来のセキュリティ確保の方法には、以下に示すような種々の問題があった。
【００１０】
即ち、第１の方法では、専用線など高価な回線をイントラネットまで引き込む必要があり、加えて、汎用のＷｅｂ対応携帯電話をイントラネットへのリモートアクセス端末とする際には、ＣＵＧサービスを提供する企業等に対し主に書類で申請作業を行う必要があるため、リモートアクセス端末の追加や変更を迅速に行うことが困難であった。
【００１１】
一方、第２の方法のうち、ＩＣカード方式は、完璧なセキュリティを望む場合には相応しいが、この方式では、Ｗｅｂ対応携帯電話にＩＣカードリーダを接続するための拡張スロットを必要とする上、被リモートアクセス先のイントラネット上の機器側にも何らかのプログラムを追加する必要があり、しかも、プログラムやＯＳによる機種依存があった。
【００１２】
これに対し、端末登録用パスワード方式では、Ｗｅｂ対応携帯電話のユーザにパスワード発生装置を配布する必要がある上、パスワード解読のための計算式が装置の製造元により異なり、この方式の場合も、ＩＣカード方式の場合と同様、イントラネット上の機器側に何らかのプログラムを追加する必要があり、プログラムやＯＳによる機種依存があった。
【００１３】
また、以上の第２の方法では、何れの方式にしても、ユーザは、Ｗｅｂ対応携帯電話の他に、認証のためのトークンを常に持ち運ばなければならないとう決定的な不便さがあった。
【００１４】
これでは、Ｗｅｂ対応携帯電話及びインターネットの普及に伴って、爆発的な増加が予想されるＷｅｂ対応携帯電話からイントラネットへのリモートアクセスに、セキュリティや利便性の面において十分に対応できない。
【００１５】
ここにおいて、本発明の解決すべき主要な目的は、次のとおりである。
【００１６】
即ち、本発明の第１の目的は、Ｗｅｂ対応携帯電話などの端末によるイントラネットへのリモートアクセスを、端末単体でありながら高いセキュリティを確保した上で行うことの可能なイントラネットリモートアクセス方法並びにイントラネットリモートアクセス処理プログラム及び該処理プログラムを記録した記録媒体を提供せんとするものである。
【００１７】
本発明の第２の目的は、イントラネット上の機器に追加や変更が生じた場合にも、これに迅速に対応することが可能であり、システムへの適用に際し高い利便性を得ることの可能なイントラネットリモートアクセス方法並びにイントラネットリモートアクセス処理プログラム及び該処理プログラムを記録した記録媒体を提供せんとするものである。
【００１８】
本発明の第３の目的は、専用線などの高価な回線を必要とせず、システムへの適用に際しコストの増加を招くことのないイントラネットリモートアクセス方法並びにイントラネットリモートアクセス処理プログラム及び該処理プログラムを記録した記録媒体を提供せんとするものである。
【００１９】
本発明の他の目的は、明細書、図面、特に特許請求の範囲の各請求項の記載から自ずと明らかとなろう。
【００２０】
【課題を解決するための手段】
本発明方法においては、イントラネット上の機器に対応して割り当てられた端末からの端末ＩＤの入力に伴い、インターネット上のＶＰＮセッション管理サーバからのコマンド制御に応じてＶＰＮゲートウェイとゲートウェイ機器との間にＶＰＮトンネルを設定し、該当する端末から端末ＩＤ及び機器名が入力されて、該当する機器に対して所要のアクセスが発生するのに伴い、その端末に代わり、ＶＰＮセッション管理サーバに、ＶＰＮトンネルを経由した代理アクセスを行わせる手法を実施する、という特徴を有する。
【００２１】
一方、本発明プログラムにおいては、コンピュータを構成するインターネット上のＶＰＮセッション管理サーバに実行させるプログラムに、イントラネット上の機器に対応して割り当てられた端末からの端末ＩＤの入力に伴い、ＶＰＮセッション管理サーバからのコマンド制御に応じてＶＰＮゲートウェイとゲートウェイ機器との間にＶＰＮトンネルを設定するステップと、該当する端末から端末ＩＤ及び機器名が入力されて、該当する機器に対して所要のアクセスが発生するのに伴い、その端末に代わり、ＶＰＮセッション管理サーバに、ＶＰＮトンネルを経由した代理アクセスを行わせるステップとを有する手順を実行する、という特徴を有する。
【００２２】
また、本発明記録媒体においては、コンピュータを構成するインターネット上のＶＰＮセッション管理サーバに実行させるプログラムを記録した記録媒体に、イントラネット上の機器に対応して割り当てられた端末からの端末ＩＤの入力に伴い、ＶＰＮセッション管理サーバからのコマンド制御に応じてＶＰＮゲートウェイとゲートウェイ機器との間にＶＰＮトンネルを設定する手順と、該当する端末から端末ＩＤ及び機器名が入力されて、該当する機器に対して所要のアクセスが発生するのに伴い、その端末に代わり、ＶＰＮセッション管理サーバに、ＶＰＮトンネルを経由した代理アクセスを行わせる手順とが記述される手続を実録する、という特徴を有する。
【００２３】
さらに具体的詳細に述べると、当該課題の解決では、本発明が次に列挙する新規な特徴的構成手法、手順又は手続を採用することにより、前記目的を達成するよう為される。
【００２４】
即ち、本発明方法の第１の特徴は、ＶＰＮ機能を有するゲートウェイ機器を介してインターネットに接続されたイントラネット上の機器に、所定のインターネットゲートウェイを通じて前記インターネットにアクセス可能な端末からリモートアクセスするためのイントラネットリモートアクセス方法であって、前記インターネット上に、前記インターネットゲートウェイと専用線で接続されたＶＰＮセッション管理サーバと、ＯＳＩ参照モデルのネットワーク層においてＶＰＮセッションを実現する機能を有し、前記ＶＰＮセッション管理サーバからのコマンド制御に応じて前記ゲートウェイ機器との間にＶＰＮトンネルを設定するＶＰＮゲートウェイとを配置し、前記イントラネット上の任意の機器からの要求に伴い、その機器に付与された機器名及び機器アドレスを前記ＶＰＮセッション管理サーバに登録すると共に、当該ＶＰＮセッション管理サーバ内で端末登録用パスワードをランダムに一時生成し、この生成された前記端末登録用パスワードを、前記ＶＰＮセッション管理サーバから前記インターネットを経由して、該当する前記機器に通知するＣＵＧ作成処理と、該当する前記機器に対応して割り当てられた所定の端末から、前記端末登録用パスワード及び当該端末に付与された端末ＩＤが入力されるのに伴い、その端末ＩＤを前記ＶＰＮセッション管理サーバに登録すると共に、当該端末ＩＤが登録された旨を、前記ＶＰＮセッション管理サーバから前記専用線を経由して、該当する前記端末に通知する端末登録処理と、該当する前記端末からの前記端末ＩＤの入力に伴い、前記ＶＰＮセッション管理サーバからの前記コマンド制御に応じて前記ＶＰＮゲートウェイと前記ゲートウェイ機器との間に前記ＶＰＮトンネルを設定し、この設定によりＶＰＮセッションが開始された旨を、前記ＶＰＮセッション管理サーバから前記ＶＰＮトンネルを経由して、該当する前記端末に通知するＶＰＮセッション確立処理と、該当する前記端末から前記端末ＩＤ及び前記機器名が入力されて、該当する前記機器に対して所要のアクセスが発生するのに伴い、その端末に代わり、前記ＶＰＮセッション管理サーバに、前記ＶＰＮトンネルを経由した代理アクセスを行わせる代理アクセス処理とを順次実施してなる、イントラネットリモートアクセス方法の構成採用にある。
【００２５】
本発明方法の第２の特徴は、上記本発明方法の第１の特徴における前記ゲートウェイ機器及び前記ＶＰＮセッション管理サーバが、両者の間で所定の共有秘密情報を共有し、前記ＣＵＧ作成処理が、前記ゲートウェイ機器において、公開鍵暗号方式の暗号アルゴリズムを用いて秘密鍵及び公開鍵を生成する処理と、所定の原文に対し前記共有秘密情報を用いてメッセージ認証子を生成する処理と、前記機器名及び前記機器アドレスを前記共有秘密情報を用いて暗号化する処理と、当該ゲートウェイ機器に付与された機器ＩＤ、前記公開鍵、前記原文、前記メッセージ認証子、並びに暗号化後の前記機器名及び前記機器アドレスを前記ＶＰＮセッション管理サーバに送信する処理とを順次実施し、前記ＶＰＮセッション管理サーバにおいて、受信した前記原文に対し、受信した前記機器ＩＤに対応する前記共有秘密情報を用いてメッセージ認証子を生成する処理と、この生成された前記メッセージ認証子と受信した前記メッセージ認証子とが一致したことを以って、前記ゲートウェイ機器の正当性を認証する処理と、受信した暗号化後の前記機器名及び前記機器アドレスを前記共有秘密情報を用いて復号化する処理と、これら復号化された前記機器名及び前記機器アドレスを、前記端末登録用パスワードと共に前記機器ＩＤと対応させて保持する処理と、受信した前記公開鍵を用いて前記端末登録用パスワードを暗号化する処理と、暗号化後の前記端末登録用パスワードを前記ゲートウェイ機器に送信する処理とを順次実施し、再び前記ゲートウェイ機器において、受信した暗号化後の前記端末登録用パスワードを前記秘密鍵を用いて復号化する処理を実施してなる、イントラネットリモートアクセス方法の構成採用にある。
【００２６】
本発明方法の第３の特徴は、上記本発明方法の第２の特徴における端末登録処理が、前記ＶＰＮセッション管理サーバにおいて、前記端末から入力された前記端末登録用パスワードが、対応保持されている前記端末登録用パスワードと一致したことを以って、当該端末の正当性を認証する処理と、前記端末ＩＤを前記機器ＩＤと対応させて保持する処理と、対応保持されている前記端末登録用パスワードを削除する処理とを順次実施してなる、イントラネットリモートアクセス方法の構成採用にある。
【００２７】
本発明方法の第４の特徴は、上記本発明方法の第３の特徴における前記ゲートウェイ機器及び前記ＶＰＮセッション管理サーバが、両者の間で共有認証鍵を共有し、前記ＶＰＮセッション確立処理が、前記ＶＰＮセッション管理サーバにおいて、前記端末から入力された前記端末ＩＤが、対応保持されている前記端末ＩＤと一致したことを以って、当該端末の正当性を認証する処理と、前記ゲートウェイ機器を対象ホストとした前記共有認証鍵の設定を、前記ＶＰＮゲートウェイに書き込む処理とを順次実施してなる、イントラネットリモートアクセス方法の構成採用にある。
【００２８】
本発明方法の第５の特徴は、上記本発明方法の第４の特徴における前記代理アクセス処理が、前記ＶＰＮセッション管理サーバにおいて、前記端末から入力された前記端末ＩＤ及び前記機器名が、対応保持されている前記端末ＩＤ及び前記機器名と一致したことを以って、前記端末の正当性を認証する処理と、対応保持されている前記機器アドレスを取得する処理と、所定のリバースプロキシプログラムを起動して、その取得された前記機器アドレス向けの代理アクセスが行われるよう、当該リバースプロキシプログラムに対し指示を与える処理とを順次実施してなる、イントラネットリモートアクセス方法の構成採用にある。
【００２９】
本発明方法の第６の特徴は、上記本発明方法の第４又は第５の特徴における前記ゲートウェイ機器及び前記ＶＰＮセッション管理サーバにおける前記共有認証鍵及び前記共有秘密情報の共有が、前記ゲートウェイ機器が新たに設置されて、当該ゲートウェイ機器から前記機器ＩＤが入力されるのに伴い、その機器ＩＤを前記ＶＰＮセッション管理サーバに登録すると共に、当該ＶＰＮセッション管理サーバ内でランダムに生成した前記共有認証鍵及び前記共有秘密情報を、前記ＶＰＮセッション管理サーバから前記インターネットを経由して、前記ゲートウェイ機器に通知する設置通知処理を実施することにより行われてなる、イントラネットリモートアクセス方法の構成採用にある。
【００３０】
本発明方法の第７の特徴は、上記本発明方法の第６の特徴における前記設置通知処理が、前記ゲートウェイ機器において、公開鍵暗号方式の暗号アルゴリズムを用いて秘密鍵及び公開鍵を生成する処理と、所定の原文に対し、当該ゲートウェイ機器の設置時において前記ＶＰＮセッション管理サーバと間で共有される初期共有秘密情報を用いてメッセージ認証子を生成する処理と、当該ゲートウェイ機器に付与された前記機器ＩＤ、前記公開鍵、前記原文、及び前記メッセージ認証子を前記ＶＰＮセッション管理サーバに送信する処理とを順次実施し、前記ＶＰＮセッション管理サーバにおいて、受信した前記原文に対し、受信した前記機器ＩＤに対応する前記初期共有秘密情報を用いてメッセージ認証子を生成する処理と、この生成された前記メッセージ認証子と受信した前記メッセージ認証子とが一致したことを以って、前記ゲートウェイ機器の正当性を認証する処理と、前記共有認証鍵及び前記共有秘密情報を前記機器ＩＤと対応させて保持する処理と、受信した前記公開鍵を用いて前記共有認証鍵及び前記共有秘密情報を暗号化する処理と、暗号化後の前記共有認証鍵及び前記共有秘密情報を前記ゲートウェイ機器に送信する処理とを順次実施し、再び前記ゲートウェイ機器において、受信した暗号化後の前記共有認証鍵及び前記共有秘密情報を前記秘密鍵を用いて復号化する処理と、これら復号化された前記共有認証鍵及び前記共有秘密情報を保持する処理とを順次実施してなる、イントラネットリモートアクセス方法の構成採用にある。
【００３１】
本発明方法の第８の特徴は、上記本発明方法の第７の特徴における前記設置通知処理が、前記ゲートウェイ機器において、前記ＶＰＮゲートウェイを対象ホストとした前記共有認証鍵の設定を、自身のルータ部に書き込む認証鍵設定処理を含んでなる、イントラネットリモートアクセス方法の構成採用にある。
【００３２】
本発明方法の第９の特徴は、上記本発明方法の第２、第３、第４、第５、第６、第７又は第８の特徴における前記原文に、前記機器ＩＤにタイムスタンプを付加してなるものを採用してなる、イントラネットリモートメアクセス方法の構成採用にある。
【００３３】
本発明方法の第１０の特徴は、上記本発明方法の第１、第２、第３、第４、第５、第６、第７、第８又は第９の特徴における前記端末が、Ｗｅｂ対応携帯電話であり、前記インターネットゲートウェイが、前記Ｗｅｂ対応携帯電話のサービスを提供する通信キャリアにより設置されたものである、イントラネットリモートアクセス方法の構成採用にある。
【００３４】
一方、本発明プログラムの第１の特徴は、ＶＰＮ機能付きゲートウェイ機器を介してインターネットに接続されたイントラネット上の機器に、所定のインターネットゲートウェイ経由で前記インターネットにアクセス可能な端末からリモートアクセス可能とするため、前記インターネットゲートウェイと専用線で接続されたＶＰＮセッション管理サーバと、ＯＳＩ参照モデルのネットワーク層にてＶＰＮセッションを機能的に実現し、当該ＶＰＮセッション管理サーバのコマンド制御により前記ゲートウェイ機器との間にＶＰＮトンネルを設定するＶＰＮゲートウェイとを前記インターネット上にさらに配置して構築するシステムに用いるイントラネットリモートアクセス処理プログラムであって、当該イントラネットリモートアクセス処理プログラムが、前記イントラネット上の任意の機器からの要求に伴い、当該機器に付与された機器名及び機器アドレスの登録と端末登録用パスワードの発行とを前記ＶＰＮセッション管理サーバに行わせるため、前記ゲートウェイ機器に格納されるＣＵＧ作成要求処理プログラムと、前記端末登録用パスワードをランダムに一時生成して前記インターネット経由で該当の前記機器に通知するため、前記ＶＰＮセッション管理サーバに格納されるＣＵＧ作成受付処理プログラムと、該当の前記機器に対応割当された所定の端末から当該端末に付与された端末ＩＤ及び前記端末登録用パスワードが入力されるのに伴い、当該端末ＩＤを登録すると共に当該登録が為された旨を前記専用線経由で該当の前記端末に通知するため、前記ＶＰＮセッション管理サーバに格納される端末登録処理プログラムと、該当の前記端末からの前記端末ＩＤの入力に伴い、前記ＶＰＮゲートウェイと前記ゲートウェイ機器との間に前記ＶＰＮトンネルを設定するための前記コマンド制御を行なうと共に、この設定によりＶＰＮセッションが開始された旨を当該ＶＰＮトンネル経由で該当の前記端末に通知するため、前記ＶＰＮセッション管理サーバに格納されるＶＰＮセッション確立処理プログラムと、該当の前記端末から前記端末ＩＤ及び前記機器名が入力されて、該当の前記機器に対する所要のアクセスが発生するのに伴い、当該端末に代わり前記ＶＰＮトンネル経由で代理アクセスを行うため、前記ＶＰＮセッション管理サーバに格納される代理アクセス処理プログラムと、からなり、前記ＣＵＧ作成要求処理プログラムが、公開鍵暗号方式の暗号アルゴリズムを用いて秘密鍵及び公開鍵を生成するステップと、所定の原文に対し、前記ＶＰＮセッション管理サーバとの間で共有される所定の共有秘密情報を用いてメッセージ認証子を生成するステップと、前記機器名及び前記機器アドレスを前記共有秘密情報を用いて暗号化するステップと、前記ゲートウェイ機器に付与された機器ＩＤ、前記公開鍵、前記原文、前記メッセージ認証子、並びに暗号化後の前記機器名及び前記機器アドレスを前記ＶＰＮセッション管理サーバに送信するステップと、当該ＶＰＮセッション管理サーバから受信した暗号化後の前記端末登録用パスワードを前記秘密鍵を用いて復号化するステップと、を有してなる、イントラネットリモートアクセス処理プログラムの構成採用にある。
【００３５】
本発明プログラムの第２の特徴は、上記本発明プログラムの第１の特徴における前記ＣＵＧ作成受付処理プログラムが、前記ゲートウェイ機器から受信した前記原文に対し、当該ゲートウェイ機器から受信した前記機器ＩＤに対応する前記共有秘密情報を用いてメッセージ認証子を生成するステップと、この生成された当該メッセージ認証子と、前記ゲートウェイ機器から受信した前記メッセージ認証子とが一致したことを以って、当該ゲートウェイ機器の正当性を認証するステップと、当該ゲートウェイ機器から受信した暗号化後の前記機器名及び前記機器アドレスを前記共有秘密情報を用いて復号化するステップと、前記端末登録用パスワードをランダムに一時生成すると共に、復号化された前記機器名及び前記機器アドレスを当該端末登録用パスワードと共に前記機器ＩＤと対応させて保持するステップと、前記ゲートウェイ機器から受信した前記公開鍵を用いて前記端末登録用パスワードを暗号化するステップと、暗号化後の当該端末登録用パスワードを前記ゲートウェイ機器に送信するステップと、を有してなる、イントラネットリモートアクセス処理プログラムの構成採用にある。
【００３６】
本発明プログラムの第３の特徴は、上記本発明プログラムの第１又は第２の特徴における前記端末登録処理プログラムが、前記端末から入力された前記端末登録用パスワードが、対応保持されている前記端末登録用パスワードと一致したことを以って、当該端末の正当性を認証するステップと、当該端末から入力された前記端末ＩＤを前記機器ＩＤと対応させて保持するステップと、対応保持されている前記端末登録用パスワードを削除するステップと、を有してなる、イントラネットリモートアクセス処理プログラムの構成採用にある。
【００３７】
本発明プログラムの第４の特徴は、上記本発明プログラムの第１、第２又は第３の特徴における前記ＶＰＮセッション確立処理プログラムが、前記端末から入力された前記端末ＩＤが、対応保持されている前記端末ＩＤと一致したことを以って、当該端末の正当性を認証するステップと、前記ゲートウェイ機器を対象ホストとした前記共有認証鍵の設定を、前記ＶＰＮゲートウェイに書き込むステップと、を有してなる、イントラネットリモートアクセス処理プログラムの構成採用にある。
【００３８】
本発明プログラムの第５の特徴は、上記本発明プログラムの第１、第２、第３又は第４の特徴における前記代理アクセス処理プログラムが、前記端末から入力された前記端末ＩＤ及び前記機器名が、対応保持されている前記端末ＩＤ及び前記機器名と一致したことを以って、当該端末の正当性を認証するステップと、対応保持されている前記機器アドレスを取得するステップと、所定のリバースプロキシプログラムを起動して、その取得された当該機器アドレス向けの代理アクセスが行われるよう、当該リバースプロキシプログラムに対し指示を与えるステップと、を有してなる、イントラネットリモートアクセス処理プログラムの構成採用にある。
【００３９】
また、本発明記録媒体の第１の特徴は、ＶＰＮ機能付きゲートウェイ機器を介してインターネットに接続されたイントラネット上の機器に、所定のインターネットゲートウェイ経由で前記インターネットにアクセス可能な端末からリモートアクセス可能とするため、前記インターネットゲートウェイと専用線で接続されたＶＰＮセッション管理サーバと、ＯＳＩ参照モデルのネットワーク層にてＶＰＮセッションを機能的に実現し、当該ＶＰＮセッション管理サーバのコマンド制御により前記ゲートウェイ機器との間にＶＰＮトンネルを設定するＶＰＮゲートウェイとを前記インターネット上にさらに配置して構築するシステムに用いるイントラネットリモートアクセス処理プログラムを記録した記録媒体であって、当該記録媒体が、前記イントラネット上の任意の機器からの要求に伴い、当該機器に付与された機器名及び機器アドレスの登録と端末登録用パスワードの発行とを前記ＶＰＮセッション管理サーバに行わせるため、前記ゲートウェイ機器に格納されるＣＵＧ作成要求処理プログラムを記録した記録媒体と、前記端末登録用パスワードをランダムに一時生成して前記インターネット経由で該当の前記機器に通知するため、前記ＶＰＮセッション管理サーバに格納されるＣＵＧ作成受付処理プログラムを記録した記録媒体と、該当の前記機器に対応割当された所定の端末から当該端末に付与された端末ＩＤ及び前記端末登録用パスワードが入力されるのに伴い、当該端末ＩＤを登録すると共に当該登録が為された旨を前記専用線経由で該当の前記端末に通知するため、前記ＶＰＮセッション管理サーバに格納される端末登録処理プログラムを記録した記録媒体と、該当の前記端末からの前記端末ＩＤの入力に伴い、前記ＶＰＮゲートウェイと前記ゲートウェイ機器との間に前記ＶＰＮトンネルを設定するための前記コマンド制御を行なうと共に、この設定によりＶＰＮセッションが開始された旨を当該ＶＰＮトンネル経由で該当の前記端末に通知するため、前記ＶＰＮセッション管理サーバに格納されるＶＰＮセッション確立処理プログラムを記録した記録媒体と、該当の前記端末から前記端末ＩＤ及び前記機器名が入力されて、該当の前記機器に対する所要のアクセスが発生するのに伴い、当該端末に代わり前記ＶＰＮトンネル経由で代理アクセスを行うため、前記ＶＰＮセッション管理サーバに格納される代理アクセス処理プログラムを記録した記録媒体と、からなり、前記ＣＵＧ作成要求処理プログラムを記録した記録媒体が、前記ゲートウェイ機器に、公開鍵暗号方式の暗号アルゴリズムを用いて秘密鍵及び公開鍵を生成させる手順と、所定の原文に対し、前記ＶＰＮセッション管理サーバとの間で共有される所定の共有秘密情報を用いてメッセージ認証子を生成させる手順と、前記機器名及び前記機器アドレスを前記共有秘密情報を用いて暗号化させる手順と、前記ゲートウェイ機器に付与された機器ＩＤ、前記公開鍵、前記原文、前記メッセージ認証子、並びに暗号化後の前記機器名及び前記機器アドレスを前記ＶＰＮセッション管理サーバに送信させる手順と、当該ＶＰＮセッション管理サーバから受信した暗号化後の前記端末登録用パスワードを前記秘密鍵を用いて復号化させる手順と、を順次実行する手続を実録してなる、イントラネットリモートアクセス処理プログラムを記録した記録媒体の構成採用にある。
【００４０】
本発明記録媒体の第２の特徴は、上記本発明記録媒体の第１の特徴における前記ＣＵＧ作成受付処理プログラムを記録した記録媒体が、前記ＶＰＮセッション管理サーバに、前記ゲートウェイ機器から受信した前記原文に対し、当該ゲートウェイ機器から受信した前記機器ＩＤに対応する前記共有秘密情報を用いてメッセージ認証子を生成させる手順と、この生成された当該メッセージ認証子と、前記ゲートウェイ機器から受信した前記メッセージ認証子とが一致したことを以って、当該ゲートウェイ機器の正当性を認証させる手順と、当該ゲートウェイ機器から受信した暗号化後の前記機器名及び前記機器アドレスを前記共有秘密情報を用いて復号化させる手順と、前記端末登録用パスワードをランダムに一時生成させると共に、復号化された前記機器名及び前記機器アドレスを当該端末登録用パスワードと共に前記機器ＩＤと対応させて保持させる手順と、前記ゲートウェイ機器から受信した前記公開鍵を用いて前記端末登録用パスワードを暗号化させる手順と、暗号化後の当該端末登録用パスワードを前記ゲートウェイ機器に送信させる手順と、を順次実行する手続を実録してなる、イントラネットリモートアクセス処理プログラムを記録した記録媒体の構成採用にある。
【００４１】
本発明記録媒体の第３の特徴は、上記本発明記録媒体の第１又は第２の特徴における前記端末登録処理プログラムを記録した記録媒体が、前記ＶＰＮセッション管理サーバに、前記端末から入力された前記端末登録用パスワードが、対応保持されている前記端末登録用パスワードと一致したことを以って、当該端末の正当性を認証させる手順と、当該端末から入力された前記端末ＩＤを前記機器ＩＤと対応させて保持させる手順と、対応保持されている前記端末登録用パスワードを削除させる手順と、を順次実行する手続を実録してなる、イントラネットリモートアクセス処理プログラムを記録した記録媒体の構成採用にある。
【００４２】
本発明記録媒体の第４の特徴は、上記本発明記録媒体の第１、第２又は第３の特徴における前記ＶＰＮセッション確立処理プログラムを記録した記録媒体が、前記ＶＰＮセッション管理サーバに、前記端末から入力された前記端末ＩＤが、対応保持されている前記端末ＩＤと一致したことを以って、当該端末の正当性を認証させる手順と、前記ゲートウェイ機器を対象ホストとした前記共有認証鍵の設定を、前記ＶＰＮゲートウェイに書き込ませる手順と、を順次実行する手続を実録してなる、イントラネットリモートアクセス処理プログラムを記録した記録媒体の構成採用にある。
【００４３】
本発明記録媒体の第５の特徴は、上記本発明記録媒体の第１、第２、第３又は第４の特徴における前記代理アクセス処理プログラムを記録した記録媒体が、前記ＶＰＮセッション管理サーバに、前記端末から入力された前記端末ＩＤ及び前記機器名が、対応保持されている前記端末ＩＤ及び前記機器名と一致したことを以って、当該端末の正当性を認証させる手順と、対応保持されている前記機器アドレスを取得させる手順と、所定のリバースプロキシプログラムを起動させて、その取得された当該機器アドレス向けの代理アクセスが行われるよう、当該リバースプロキシプログラムに対し指示を与えさせる手順と、を順次実行する手続を実録してなる、イントラネットリモートアクセス処理プログラムを記録した記録媒体の構成採用にある。
【００４４】
【発明の実施の形態】
以下、本発明の実施の形態を、添付図面を参照しつつ、まず、本発明の適用を受ける適用システムの構成例につき説明し、次いで、当該適用システムで用いられるプログラム例及びそのプログラムを記録した記録媒体例につき説明し、最後に、当該適用システムにおいて実施される方法例につき説明する。
【００４５】
（適用システム構成例）
図１は、本発明の適用システムであるイントラネットリモートアクセスシステムの構成を示す図である。
【００４６】
同図に示すように、このイントラネットリモートアクセスシステムαは、４つのノード、即ち、ゲートウェイ機器１、ＶＰＮセッション管理サーバ２、ＶＰＮゲートウェイ３、及びＷｅｂ対応携帯電話４とでシステム構築される。
【００４７】
ゲートウェイ機器１は、イントラネット５とインターネット６との境界域に設置されて、Ｗｅｂ対応携帯電話４の被リモートアクセス先となるものであり、その要素として、ＩＰルータ処理を制御するルータ部１１と、ＨＴＴＰサーバ処理を行うＨＴＴＰサーバ部１２、及びこのＨＴＴＰサーバ部１２から呼ばれて内部処理及びコマンド送信処理を行うプログラム（詳細は後述）を格納するＣＧＩ処理部１３からなるサーバ部１４とで構成される。
【００４８】
ＶＰＮセッション管理サーバ２は、携帯電話通信キャリア（図示せず）により設置されたインターネットゲートウェイ７と専用線８で接続された状態で、インターネット６上に設置され、その要素として、ＨＴＴＰコマンドを受信するＨＴＴＰサーバ部２１と、このＨＴＴＰサーバ部２１から呼ばれて内部処理及びコマンド送信処理を行うプログラム（詳細は後述）を格納するＣＧＩ処理部２２とを有して構成される。
【００４９】
ＶＰＮゲートウェイ３は、インターネット６上に設置され、その要素として、ＯＳＩ参照モデルのネットワーク層においてＶＰＮセッションを実現する機能を有し、ゲートウェイ機器１のルータ部１１との間にＶＰＮトンネル９を設定してＶＰＮセッションを行うＶＰＮ処理部３１と、ＶＰＮセッション管理サーバ２との間でコマンドを送受信する設定コマンド受信処理部３２とで構成される。
【００５０】
Ｗｅｂ対応携帯電話４は、ユーザ（図示せず）の随意により、携帯電話専用回線１０を介してインターネットゲートウェイ７に接続され、その要素として、イントラネット５上の複数の機器（「機器１」，…，「機器Ｎ」と表記）にリモートアクセスするためのブラウザ４１を有して構成される。
【００５１】
なお、イントラネット５上の複数の機器にも、特に図示はしていないが、各種ＨＴＭＬデータを参照可能なブラウザが、それぞれ導入されている。
【００５２】
ここで、以上の構成を有するイントラネットリモートアクセスシステムαの機能の概要について説明すれば、以下のようになる。
【００５３】
まず、ユーザからのアクションにより、ゲートウェイ機器１のＣＧＩ処理部１３は、ＶＰＮセッション管理サーバ２のＨＴＴＰサーバ部２１へ設置通知コマンドを送信し、共有秘密情報（詳細は後述）及びＩＰｓｅｃの共有認証鍵を、ゲートウェイ機器１とＶＰＮセッション管理サーバ２との間で共有する。その際、共有する情報は、本人の成りすまし、或いはデータの盗聴や改竄などの脅威から保護されて共有される。（以上、図示の「イ」のルート。後述の「設置通知処理」に対応）
【００５４】
ゲートウェイ機器１のＣＧＩ処理部１３は、上記共有情報であるＩＰｓｅｃの共有認証鍵を、ゲートウェイ機器１のルータ部１１に設定する。（以上、図示の「ロ」のルート。後述の方法例における「認証鍵設定処理」に対応）
【００５５】
次に、ユーザからのアクションにより、ゲートウェイ機器１のＣＧＩ処理部１３は、ＶＰＮセッション管理サーバ２のＨＴＴＰサーバ部２１へＣＵＧ作成要求コマンドを送信し、そのレスポンスとして端末登録用パスワードを受信する。（以上、図示の「ハ」のルート。後述の方法例における「ＣＵＧ作成処理」に対応）なお、ゲートウェイ機器１は、受信した端末登録用パスワードを所定のデータ形式（後述する）にてイントラネット５上の該当機器に送信して、その該当機器のブラウザに画面表示させる。
【００５６】
ユーザは、リモートアクセス端末とするＷｅｂ対応携帯電話４に、イントラネット５上の該当機器のブラウザにて画面表示された端末登録用パスワードを視認して入力し、携帯電話通信キャリアのパケット網（携帯電話専用回線１０）経由で、当該端末登録用パスワードをＶＰＮセッション管理サーバ２に送信する。ここで、ＶＰＮセッション管理サーバ２は、所定の認証を行った後、Ｗｅｂ対応携帯電話４の端末ＩＤとゲートウェイ機器１の機器ＩＤを対応付けて、端末登録完了とする。（以上、図示の「ニ」のルート。後述の方法例における「端末登録処理」に対応）
【００５７】
次に、登録済みのＷｅｂ対応携帯電話４を用いて、ＶＰＮセッション管理サーバ２へアクセスすると、当該ＶＰＮセッション管理サーバ２は、所定の認証を行った後、端末登録時に対応付けられたゲートウェイ機器１との間でＩＰｓｅｃを確立するためのコマンドをＶＰＮゲートウェイ３に送信し、ＩＰｓｅｃによるＶＰＮを確立する。（以上、図示の「ホ」のルート。後述の方法例における「ＶＰＮセッション確立処理」に対応）
【００５８】
そして、ＶＰＮセッション管理サーバ２は、Ｗｅｂ対応携帯電話４からのイントラネット５へのアクセスに対し、そのＷｅｂ対応携帯電話４に代わって、代理アクセス（リバースプロキシ）を行う。（以上、図示の「ヘ」のルート。後述の方法例における「代理アクセス処理」に対応）
【００５９】
次に、以上の各処理（プログラム処理）を実行するためにＶＰＮセッション管理サーバ２に設定され、後述の各プログラムにより参照されるテーブルについて説明する。
【００６０】
図２は、図１に示したＶＰＮセッション管理サーバ２に設定されるＶＰＮセッション管理テーブルの構成を示す図である。
【００６１】
同図に示すように、ＶＰＮセッション管理テーブル２３は、ゲートウェイ機器１からそれぞれ通知される「機器ＩＤ」、「PresharedKey」、「Secret-ID2」、「機器名」、「機器アドレス」、「端末登録用パスワード」、「端末ＩＤ」を保持するための７つのフィールドから構成される。
【００６２】
ここで、「機器ＩＤ」フィールドは、ゲートウェイ機器１にユニークに振られているＩＤを格納するためのフィールドであり、「PresharedKey」フィールドは、設置通知処理時にゲートウェイ機器１に通知されるPresharedKey（ＩＰｓｅｃの共有認証鍵）を格納するためのフィールド、「Secret-ID2」フィールドは、同設置通知処理時にゲートウェイ機器１に通知されるSecret-ID2（共有秘密情報）を格納するためのフィールドである。
【００６３】
また、「機器名」フィールドは、ＣＵＧ作成処理時にゲートウェイ機器１から通知されるアクセス可能機器名を格納するためのフィールドであり、「機器アドレス」フィールドは、機器名で表される機器の実際のＩＰアドレスを格納するためのフィールドである。
【００６４】
さらに、「端末登録用パスワード」フィールドは、ＣＵＧ作成処理時にＶＰＮセッション管理サーバ２から発行される端末登録用のパスワードを格納するためのフィールドであり、「端末ＩＤ」フィールドは、インターネットゲートウェイ７から通知されるＷｅｂ対応携帯電話４に付与されたユニークなＩＤを格納するためのフィールドである。
【００６５】
（プログラム例及び記録媒体例）
続いて、以上に説明したゲートウェイ機器１のＣＧＩ処理部１３、及びＶＰＮセッション管理サーバ２のＣＧＩ処理部２２にそれぞれ格納されるプログラムの実例、及び各プログラムを記録した記録媒体の実例について説明する。これらのプログラム及び記録媒体が互いに関連し合うことで、イントラネットリモートアクセスシステムαにおいて実施される方法例（詳細は後述）のその実施に直接使用されるプログラム及び記録媒体、即ち、本発明に係るイントラネットリモートアクセス処理プログラム及び記録媒体が構成される。
【００６６】
＜ＣＵＧ作成要求処理プログラム（記録媒体）＞
まず、本発明に係るイントラネットリモートアクセス処理プログラムを構成するプログラムの１つとして、ゲートウェイ機器１のＣＧＩ処理部１３に格納され、ＶＰＮセッション管理サーバ２に対し、イントラネット５にアクセス可能なＷｅｂ対応携帯電話４を安全に登録するための端末登録用パスワードの発行を要求する「ＣＵＧ作成要求処理プログラム」について説明する。
【００６７】
図３は、図１に示したゲートウェイ機器１のＣＧＩ処理部１３に格納されるＣＵＧ作成要求処理プログラムを説明するためのフローチャートである。
【００６８】
本プログラムは、ユーザのアクションにより、ゲートウェイ機器１のＨＴＴＰサーバ部１２に対し、コマンド名、イントラネット５上にある機器の名称（機器名）、及び同機器のＩＰアドレス（機器アドレス）が通知されたときに、当該ＨＴＴＰサーバ部１２により起動される。
【００６９】
同図に示すように、ゲートウェイ機器１のＣＧＩ処理部１３は、まず、ＨＴＴＰサーバ部１２が受信した機器名及び機器アドレスを、パラメータとして受信し（ＳＴ１１）、次いで、ＲＳＡなど公開鍵暗号方式の暗号アルゴリズムを用いて秘密鍵及び公開鍵を生成する（ＳＴ１２）。
【００７０】
次に、ＣＧＩ処理部１３は、ゲートウェイ機器１に付与された機器ＩＤにタイムスタンプを付加してなる、認証のための原文を生成する（ＳＴ１３）と共に、その原文に対して、ＶＰＮセッション管理サーバ２との間で事前に共有される共有秘密情報（Secret-ID2）を用いたメッセージ認証子（ＭＡＣ）を生成する（ＳＴ１４）。（メッセージ認証子の生成は、ＩＳＯ９７９７−１，ＩＳＯ９７９７−２に準拠することが望ましい。以下、メッセージ認証子生成につき同じ）
【００７１】
次に、ＣＧＩ処理部１３は、先にパラメータとして受信した機器名及び機器アドレスを、ＶＰＮセッション管理サーバ２との共有秘密情報（Secret-ID2）を用いて暗号化する（ＳＴ１５）。
【００７２】
次に、ＣＧＩ処理部１３は、これまでに取得又は生成した機器ＩＤ、公開鍵、原文、ＭＡＣ、並びに暗号化後の機器名及び機器アドレスの組をパラメータとした所要のＣＵＧ作成要求コマンドを、ゲートウェイ機器１（サーバ部１４のＣＧＩ処理部１３）からＶＰＮセッション管理サーバ２（ＨＴＴＰサーバ部２１）へのＨＴＴＰコマンドとして送信する（ＳＴ１６）。
【００７３】
次に、ＣＧＩ処理部１３は、以上のようにして送信したＨＴＴＰコマンドのレスポンスであるＣＵＧ作成要求レスポンスを、ＶＰＮセッション管理サーバ２から受信する（ＳＴ１７）。
【００７４】
ここで、ＣＧＩ処理部１３は、受信したレスポンスが正常であるか否かを判断し（ＳＴ１８）、それが異常（エラー）であった場合（ＳＴ１８；Ｎ）には、受信したエラーメッセージの内容を、本プログラムを呼び出したＨＴＴＰサーバ部１２への返り値として（ＳＴ１９）渡す。
【００７５】
これに対し、受信したレスポンスが正常であった場合（ＳＴ１８；Ｙ）には、ＣＧＩ処理部１３は、暗号化後の端末登録用パスワードを、先に生成した秘密鍵を用いて復号化し（ＳＴ２０）、その復号化された端末登録用パスワードを、本プログラムを呼び出したＨＴＴＰサーバ部１２への返り値として（ＳＴ２１）渡す。そして、このＨＴＴＰサーバ部１２は、渡されたその復号化後の端末登録用パスワードをイントラネット５上の該当機器のブラウザに画面表示させるためのＨＴＭＬ画面データを同該当機器に送信し、以って、この該当機器がその受信したＨＴＭＬ画面データに基づいて、前記復号化後の端末登録用パスワードをブラウザにて画面表示することとなる。
【００７６】
なお、受信したレスポンスが正常であるか否かを判断する手法としては、当該レスポンスにおいて、受信ステータスを示すエリアを確保し、例えば、正常ならば「０」、エラーならば「０」以外の値を表記するようにフォーマットを事前に決めておき、そのエリアを本プログラムに読み取らせるなどすればよい。
【００７７】
そして、以上のＣＵＧ作成要求処理プログラムは、本発明に係るイントラネットリモートアクセス処理プログラムを記録する記録媒体を構成する任意の記録媒体に記録することが可能であり、その場合には、当該ＣＵＧ作成要求処理プログラムを記録した記録媒体が、ゲートウェイ機器１に、公開鍵暗号方式の暗号アルゴリズムを用いて秘密鍵及び公開鍵を生成させる手順と、所定の原文に対し、ＶＰＮセッション管理サーバ２との間で共有される共有秘密情報（Ｓｅｃｒｅｔ−ＩＤ２）を用いてメッセージ認証子（ＭＡＣ）を生成させる手順と、ユーザグループに参加しようとするイントラネット５上の機器に付与された機器名及び機器アドレスを、共有秘密情報（Ｓｅｃｒｅｔ−ＩＤ２）を用いて暗号化させる手順と、前記ゲートウェイ機器１に付与された機器ＩＤ、公開鍵、原文、メッセージ認証子（ＭＡＣ）、並びに暗号化後の機器名及び機器アドレスをＶＰＮセッション管理サーバ２に送信させる手順と、ＶＰＮセッション管理サーバ２から受信した暗号化後の端末登録用パスワードを秘密鍵を用いて復号化させる手順と、を順次実行する手続を実録すればよい。
【００７８】
＜ＣＵＧ作成受付処理プログラム（記録媒体）＞
次に、本発明に係るイントラネットリモートアクセス処理プログラムを構成するプログラムの１つとして、ＶＰＮセッション管理サーバ２のＣＧＩ処理部２２に格納され、上述の「ＣＵＧ作成要求処理プログラム」によりゲートウェイ機器１から送信されたＣＵＧ作成要求コマンドを受信して、所要の端末登録用パスワードを発行する「ＣＵＧ作成受付処理プログラム」について説明する。
【００７９】
図４は、図１に示したＶＰＮセッション管理サーバ２のＣＧＩ処理部２２に格納されるＣＵＧ作成受付処理プログラムを説明するためのフローチャートである。
【００８０】
本プログラムは、ゲートウェイ機器１のＣＧＩ処理部１３における「ＣＵＧ作成要求処理プログラム」により送信された本プログラム起動要求コマンドと、そのパラメータである機器ＩＤ、公開鍵、原文、ＭＡＣ、並びに暗号化後の機器名及び機器アドレスの組をＶＰＮセッション管理サーバ２が受信したときに、当該ＶＰＮセッション管理サーバ２のＨＴＴＰサーバ部２１より、その受信した機器ＩＤ、公開鍵、原文、ＭＡＣ、並びに暗号化後の機器名及び機器アドレスの組をパラメータとして起動される。
【００８１】
同図に示すように、ＶＰＮセッション管理サーバ２のＣＧＩ処理部２２は、まず、パラメータとして与えられた原文に対し、共有秘密情報（Secret-ID2）を用いたメッセージ認証子（ＭＡＣ）を、ゲートウェイ機器１におけるのと同様な手法により演算する（ＳＴ３１）。
【００８２】
ここで、ＣＧＩ処理部２２は、そのメッセージ認証子（ＭＡＣ）の演算結果がゲートウェイ機器１から受信したメッセージ認証子（ＭＡＣ）と一致するか否かを判断し（ＳＴ３２）、それが一致しなかった場合（ＳＴ３２；Ｎ）には、機器認証ステータスとしてのエラーコードを、本プログラムを呼び出したＨＴＴＰサーバ部２１への返り値として（ＳＴ３３）渡す。
【００８３】
これに対し、メッセージ認証子（ＭＡＣ）が一致した場合（ＳＴ３２；Ｙ）には、ＣＧＩ処理部２２は、パラメータとして与えられた暗号化後の機器名及び機器アドレスの組を共有秘密情報（Ｓｅｃｒｅｔ−ＩＤ２）を用いて復号化し、ＶＰＮセッション管理テーブル２３の「機器名」及び「機器アドレス」の各フィールドにゲートウェイ機器１の機器ＩＤと対応させて保持する（ＳＴ３４）。
【００８４】
次に、ＣＧＩ処理部２２は、Ｗｅｂ対応携帯電話４を登録するための端末登録用パスワードをランダムに生成し、これを、ＶＰＮセッション管理テーブル２３における該当レコードの「端末登録用パスワード」フィールドにゲートウェイ機器１の機器ＩＤと対応させて保持する（ＳＴ３５）。（本端末登録用パスワードは、後に、Ｗｅｂ対応携帯電話４を登録する際に使用されるが、セキュリティを確保するため、例えば、１分程度の有効期間を設けるのが望ましい）
【００８５】
そして、ＣＧＩ処理部２２は、上記端末登録用パスワードを、パラメータとして与えられたゲートウェイ機器１の公開鍵を用いて暗号化し（ＳＴ３６）、先の機器認証ステータスとしての正常終了コードと、その暗号化後の端末登録用パスワードとを、本プログラムを呼び出したＨＴＴＰサーバ部２１への返り値として（ＳＴ３７）渡す。
【００８６】
そして、以上のＣＵＧ作成受付処理プログラムは、本発明に係るイントラネットリモートアクセス処理プログラムを記録する記録媒体を構成する任意の記録媒体に記録することが可能であり、その場合には、当該ＣＵＧ作成受付処理プログラムを記録した記録媒体が、ＶＰＮセッション管理サーバ２に、ゲートウェイ機器１から受信した所定の原文に対し、ゲートウェイ機器１から受信した機器ＩＤに対応してゲートウェイ機器１との間で共有される共有秘密情報（Ｓｅｃｒｅｔ−ＩＤ２）を用いてメッセージ認証子（ＭＡＣ）を生成させる手順と、この生成されたメッセージ認証子（ＭＡＣ）と、ゲートウェイ機器１から受信したメッセージ認証子（ＭＡＣ）とが一致したことを以って、ゲートウェイ機器１の正当性を認証させる手順と、ユーザグループに参加しようとするイントラネット５上の機器に付与され、ゲートウェイ機器１から受信した暗号化後の機器名及び機器アドレスを、共有秘密情報（Ｓｅｃｒｅｔ−ＩＤ２）を用いて復号化させる手順と、端末登録用パスワードをランダムに一時生成させると共に、復号化された機器名及び機器アドレスを端末登録用パスワードと共にゲートウェイ機器１の機器ＩＤと対応させて保持させる手順と、ゲートウェイ機器１から受信した公開鍵を用いて端末登録用パスワードを暗号化させる手順と、暗号化後の端末登録用パスワードをゲートウェイ機器１に送信させる手順と、を順次実行する手続を実録すればよい。
【００８７】
＜端末登録処理プログラム（記録媒体）＞
次に、本発明に係るイントラネットリモートアクセス処理プログラムを構成するプログラムの１つとして、ＶＰＮセッション管理サーバ２のＣＧＩ処理部２２に格納され、リモートアクセス端末となるＷｅｂ対応携帯電話４から送信される端末登録用パスワードを受信し、上述の「ＣＵＧ作成受付処理プログラム」に端末登録用パスワードの発行を要求したゲートウェイ機器１との対応付けを行う「端末登録処理プログラム」について説明する。
【００８８】
図５は、図１に示したＶＰＮセッション管理サーバ２のＣＧＩ処理部２２に格納される端末登録処理プログラムを説明するためのフローチャートである。
【００８９】
本プログラムは、上述のＣＵＧ作成要求処理プログラム及びＣＵＧ作成受付処理プログラム双方の実行の結果、イントラネット５上の該当機器のブラウザに画面表示された端末登録用パスワードを視認したユーザにより入力・操作されることでＷｅｂ対応携帯電話４から送信される本プログラム起動要求コマンドと端末登録用パスワード及び端末ＩＤとを、ＶＰＮセッション管理サーバ２が受信したときに、当該ＶＰＮセッション管理サーバ２のＨＴＴＰサーバ部２１より、その受信した端末登録用パスワード及び端末ＩＤをパラメータとして起動される。
【００９０】
同図に示すように、ＶＰＮセッション管理サーバ２のＣＧＩ処理部２２は、まず、パラメータとして与えられた端末登録用パスワードが、ＶＰＮセッション管理テーブル２３に保持されているか否かを検索する（ＳＴ４１）。
【００９１】
ここで、ＣＧＩ処理部２２は、全ての「端末登録用パスワード」フィールドを走査し、パラメータとして与えられた端末登録用パスワードと同一の値が存在しない場合（ＳＴ４１；Ｎ）には、端末登録用パスワード認証ステータスとしてのエラーコードを、本プログラムを呼び出したＨＴＴＰサーバ部２１への返り値として（ＳＴ４２）渡す。
【００９２】
これに対し、与えられた端末登録用パスワードと同一の値が存在する場合（ＳＴ４１；Ｙ）には、ＣＧＩ処理部２２は、パラメータとして与えられた端末ＩＤを、ＶＰＮセッション管理テーブル２３の「端末ＩＤ」フィールドにゲートウェイ機器１の機器ＩＤと対応させて保持する（ＳＴ４３）。
【００９３】
次に、ＣＧＩ処理部２２は、ＶＰＮセッション管理テーブル２３の「端末登録用パスワード」フィールドから、その端末登録用パスワードを削除し（ＳＴ４４）、先の端末登録用パスワード認証ステータスとしての正常終了コードを、本プログラムを呼び出したＨＴＴＰサーバ部２１への返り値として（ＳＴ４５）渡す。
【００９４】
そして、以上の端末登録処理プログラムは、本発明に係るイントラネットリモートアクセス処理プログラムを記録する記録媒体を構成する任意の記録媒体に記録することが可能であり、その場合には、当該端末登録処理プログラムを記録した記録媒体が、ＶＰＮセッション管理サーバ２に、Ｗｅｂ対応携帯電話４から入力された端末登録用パスワードが、対応保持されている端末登録用パスワードと一致したことを以って、当該Ｗｅｂ対応携帯電話４の正当性を認証させる手順と、Ｗｅｂ対応携帯電話４から入力された端末ＩＤを保持させる手順と、対応保持されている端末登録用パスワードを削除させる手順と、を順次実行する手続を実録すればよい。
【００９５】
＜ＶＰＮセッション確立処理プログラム（記録媒体）＞
次に、本発明に係るイントラネットリモートアクセス処理プログラムを構成するプログラムの１つとして、ＶＰＮセッション管理サーバ２のＣＧＩ処理部２２に格納され、上述の「端末登録処理プログラム」により登録されたＷｅｂ対応携帯電話４からのイントラネットリモートアクセス要求を受信し、対応付けられたゲートウェイ機器１とＶＰＮゲートウェイ３との間でＶＰＮを確立するためのコマンドを当該ＶＰＮゲートウェイ３に送信する、対ゲートウェイ機器１向けの「ＶＰＮセッション確立処理プログラム」について説明する。
【００９６】
図６は、図１に示したＶＰＮセッション管理サーバ２のＣＧＩ処理部２２に格納されるＶＰＮセッション確立処理プログラムを説明するためのフローチャートである。
【００９７】
本プログラムは、Ｗｅｂ対応携帯電話４から送信される本プログラム起動要求コマンドとそのパラメータである端末ＩＤとを、ＶＰＮセッション管理サーバ２が受信したときに、当該ＶＰＮセッション管理サーバ２のＨＴＴＰサーバ部２１より、その受信した端末ＩＤをパラメータとして起動される。
【００９８】
同図に示すように、ＶＰＮセッション管理サーバ２のＣＧＩ処理部２２は、まず、パラメータとして与えられた端末ＩＤが、ＶＰＮセッション管理テーブル２３に保持されているか否かを検索する（ＳＴ５１）。
【００９９】
ここで、ＣＧＩ処理部２２は、全ての「端末ＩＤ」フィールドを走査し、パラメータとして与えられた端末ＩＤと同一の値が存在しない場合（ＳＴ５１；Ｎ）には、端末未登録を示すステータスを、本プログラムを呼び出したＨＴＴＰサーバ部２１への返り値として（ＳＴ５２）渡す。
【０１００】
これに対し、与えられた端末ＩＤと同一の値が存在する場合（ＳＴ５１；Ｙ）には、ＣＧＩ処理部２２は、先に検索されたＶＰＮセッション管理テーブル２３の該当レコードから、ＩＰｓｅｃの共有認証鍵（PresharedKey）及びゲートウェイ機器１のルータ部１１のグローバルＩＰアドレスを取得し、ＶＰＮセッション確立のためのＶＰＮ設定コマンドを生成する（ＳＴ５３）。
【０１０１】
次に、ＣＧＩ処理部２２は、上記ＶＰＮ設定コマンドを、ＶＰＮゲートウェイ３の設定コマンド受信処理部３２に送信する（ＳＴ５４）と共に、そのＶＰＮ設定コマンドのレスポンスを、当該設定コマンド受信処理部３２から受信し（ＳＴ５５）、さらに、ＶＰＮ設定に関する正常終了コードを、本プログラムを呼び出したＨＴＴＰサーバ部２１への返り値として（ＳＴ５６）渡す。
【０１０２】
そして、以上のＶＰＮセッション確立処理プログラムは、本発明に係るイントラネットリモートアクセス処理プログラムを記録する記録媒体を構成する任意の記録媒体に記録することが可能であり、その場合には、当該ＶＰＮセッション確立処理プログラムを記録した記録媒体が、ＶＰＮセッション管理サーバ２に、Ｗｅｂ対応携帯電話４から入力された端末ＩＤが、対応保持されている端末ＩＤと一致したことを以って、当該Ｗｅｂ対応携帯電話４の正当性を認証させる手順と、ゲートウェイ機器１をＩＰｓｅｃの対象ホストとした共有認証鍵（ＰｒｅｓｈａｒｅｄＫｅｙ）の設定を、ＶＰＮゲートウェイ３に書き込ませる手順と、を順次実行する手続を実録すればよい。
【０１０３】
＜代理アクセス処理プログラム（記録媒体）＞
次に、本発明に係るイントラネットリモートアクセス処理プログラムを構成するプログラムの１つとして、ＶＰＮセッション管理サーバ２のＣＧＩ処理部２２に格納され、上述の「ＶＰＮセッション確立処理プログラム」により確立されたＶＰＮ経由で、登録済みＷｅｂ対応携帯電話４からのイントラネットリモートアクセスを代理でアクセスする、対イントラネット５向けの「代理アクセス処理プログラム」について説明する。
【０１０４】
図７は、図１に示したＶＰＮセッション管理サーバ２のＣＧＩ処理部２２に格納される代理アクセス処理プログラムを説明するためのフローチャートである。
【０１０５】
本プログラムは、Ｗｅｂ対応携帯電話４から送信される本プログラム起動要求コマンドとそのパラメータである端末ＩＤ及び機器名とを、ＶＰＮセッション管理サーバ２が受信したときに、当該ＶＰＮセッション管理サーバ２のＨＴＴＰサーバ部２１より、その受信した端末ＩＤ及び機器名をパラメータとして起動される。
【０１０６】
同図に示すように、ＶＰＮセッション管理サーバ２のＣＧＩ処理部２２は、まず、パラメータとして与えられた端末ＩＤが、ＶＰＮセッション管理テーブル２３に保持されているか否かを検索する（ＳＴ６１）。
【０１０７】
ここで、ＣＧＩ処理部２２は、全ての「端末ＩＤ」フィールドを走査し、パラメータとして与えられた端末ＩＤと同一の値が存在しない場合（ＳＴ６１；Ｎ）には、端末未登録を示すステータスを、本プログラムを呼び出したＨＴＴＰサーバ部２１への返り値として（ＳＴ６２）渡す。
【０１０８】
これに対し、与えられた端末ＩＤと同一の値が存在する場合（ＳＴ６１；Ｙ）には、ＣＧＩ処理部２２は、さらに、パラメータとして与えられた機器名が、先に検索されたＶＰＮセッション管理テーブル２３の該当レコードに保持されているか否かを検索し（ＳＴ６３）、パラメータとして与えられた機器名と同一の値が存在しない場合（ＳＴ６３；Ｎ）には、アクセス不可を示すステータスを、本プログラムを呼び出したＨＴＴＰサーバ部２１への返り値として（ＳＴ６４）渡す。
【０１０９】
これに対し、与えられた機器名と同一の値が存在する場合（ＳＴ６３；Ｙ）には、ＣＧＩ処理部２２は、先に検索されたＶＰＮセッション管理テーブル２３の該当レコードから機器アドレス（ＩＰアドレス）を取得し（ＳＴ６５）、さらに、公知のリバースプロキシプログラム（アクセス要求を受け付け、そのアクセス要求の代理でアクセスを行うプログラム。図示せず）を起動して（ＳＴ６６）、当該リバースプロキシプログラムに、その取得したＩＰアドレス向けの代理アクセスを行うよう指示する。
【０１１０】
次に、ＣＧＩ処理部２２は、上記リバースプロキシプログラムから返り値データを受信し（ＳＴ６７）、当該リバースプロキシプログラムの返り値データを、本プログラムを呼び出したＨＴＴＰサーバ部２１への返り値として（ＳＴ６８）渡す。
【０１１１】
そして、以上の代理アクセス処理プログラムは、本発明に係るイントラネットリモートアクセス処理プログラムを記録する記録媒体を構成する任意の記録媒体に記録することが可能であり、その場合には、当該代理アクセス処理プログラムを記録した記録媒体が、ＶＰＮセッション管理サーバ２に、Ｗｅｂ対応携帯電話４から入力された端末ＩＤ及び機器名が、対応保持されている端末ＩＤ及び機器名と一致したことを以って、Ｗｅｂ対応携帯電話４の正当性を認証させる手順と、対応保持されている機器アドレスを取得させる手順と、リバースプロキシプログラムを起動させて、その取得された機器アドレス向けの代理アクセスが行われるよう、当該リバースプロキシプログラムに対し指示を与えさせる手順と、を順次実行する手続を実録すればよい。
【０１１２】
なお、以上のプログラム例及び記録媒体例の説明では、各ノード間の通信プロトコルとしてＨＴＴＰ等の適用を前提に述べたが、各処理部間の通信が円滑に行うことができれば、何ら通信プロトコルの種別は問わない。但し、インターネット間の通信であるため、ＴＣＰ／ＩＰ上のプロトコルであることは必要である（但し、汎用性を考慮した場合、ＨＴＴＰからＣＧＩを起動する形態であることが望ましい）。
【０１１３】
また、本発明の実施に際しては、以下に示す前提条件が必要とされる。
【０１１４】
（１）ゲートウェイ機器１とＶＰＮセッション管理サーバ２とが、初期共有秘密情報（Secret-ID ）を事前に共有していること。この初期共有秘密情報（Secret-ID ）は、出荷時にゲートウェイ機器１のＲＯＭ（図示せず）等に埋め込んでおき、これをＶＰＮセッション管理サーバ２と共有することで対応する。なお、ＲＯＭに埋め込まれる初期共有秘密情報（Secret-ID ）は、全てのゲートウェイ機器１において共通でもよい。
【０１１５】
（２）ゲートウェイ機器１のルータ部１１がＶＰＮ機能を有していること。また、ＶＰＮセッションについて、セッション待受け側の設定が事前に完了していること。本実施形態例では、ＶＰＮで使用するプロトコルとして、ＩＰｓｅｃを用いて説明を行うが、ＳＳＬ等のプロトコルを用いても差し支えない。
【０１１６】
（３）ＶＰＮゲートウェイ３が、ゲートウェイ機器１のルータ部１１と通信互換性のあるＶＰＮ機能を有すること。
【０１１７】
（４）携帯電話通信キャリアにより運営されるインターネットゲートウェイ７から、Ｗｅｂ対応携帯電話４の端末ＩＤがＶＰＮセッション管理サーバ２に通知されること。
（以上、実施前提条件）
【０１１８】
（方法例）
続いて、以上のイントラネットリモートアクセスシステムαに適用される方法例を、図８〜図１３に示す各処理のシーケンス図、及び図１４に示すＶＰＮセッション管理テーブル２３の遷移図に基づいて説明する。本方法例は、ゲートウェイ機器１を介してインターネット６に接続されたイントラネット５上の機器に、インターネットゲートウェイ７を通じてインターネット６にアクセス可能なＷｅｂ対応携帯電話４からリモートアクセスするためのイントラネットリモートアクセス方法であって、詳細には、以下に説明のイ．設置通知処理、ロ．認証鍵設定処理、ハ．ＣＵＧ作成処理、ニ．端末登録処理、ホ．ＶＰＮセッション確立処理、及びヘ．代理アクセス処理がこの順で順次実施されてなる。
【０１１９】
＜イ．設置通知処理＞
本設置通知処理は、ゲートウェイ機器１が設置されたことをＶＰＮセッション管理サーバ２に通知し、当該ＶＰＮセッション管理サーバ２から、イントラネットリモートアクセスのための共有情報であるＩＰｓｅｃの共有認証鍵（ＰｒｅｓｈａｒｅｄＫｅｙ）及び共有秘密情報（Ｓｅｃｒｅｔ−ＩＤ２）を受け取ることが目的である。
【０１２０】
なお、初期共有秘密情報（Secret-ID ）の代わりに共有秘密情報（Secret-ID2）を用いるのは、ゲートウェイ機器１の全てに共通している可能性がある初期共有秘密情報（Secret-ID ）を用いるよりも、その共有秘密情報（Secret-ID2）を用いる方が、セキュリティが強化されるためである。以下、図面により、本設置通知処理の詳細を説明する。
【０１２１】
図８は、本発明の方法例に係る設置通知処理を説明するためのシーケンス図である。
【０１２２】
同図に示すように、本設置通知処理は、ゲートウェイ機器１の設置終了後、当該ゲートウェイ機器１のルータ部１１のインターネット６への接続設定が完了した時点で、ボタン等のアクションにより、ゲートウェイ機器１のサーバ部１４にコマンドが通知されたときに実行される。なお、この設置通知処理は、サーバ部１４において一度だけ実行される。
【０１２３】
即ち、サーバ部１４は、図示の「設置通知コマンド送信処理」において、まず、ＲＳＡなど公開鍵暗号方式の暗号アルゴリズムを用いて、秘密鍵及び公開鍵を生成する（ＳＰ１１）と共に、機器ＩＤに現在のタイムスタンプを付加してなる原文を生成し（ＳＰ１２）、さらに、その原文に対し、出荷時情報である初期共有秘密情報（Ｓｅｃｒｅｔ−ＩＤ）を用いたメッセージ認証子（ＭＡＣ）を生成する（ＳＰ１３）。
【０１２４】
そして、サーバ部１４は、同処理において、設置通知を示すコード、機器ＩＤ、原文、ＭＡＣ、及び公開鍵をパラメータとして、ゲートウェイ機器１（サーバ部１４のＣＧＩ処理部１３）からＶＰＮセッション管理サーバ２（ＨＴＴＰサーバ部２１）へのＨＴＴＰコマンドとして、所要の設置通知コマンドを、＜非ＩＰｓｅｃセッション（グローバル）＞で送信する（ＳＰ１４）。
【０１２５】
次に、ＶＰＮセッション管理サーバ２は、図示の「設置通知コマンド受信及び処理」において、ゲートウェイ機器１のサーバ部１４から送信された設置通知コマンドを受信して（ＳＰ１５）、パラメータとして与えられた原文に対し、機器共通情報である初期共有秘密情報（Secret-ID ）を用いたメッセージ認証子（ＭＡＣ）を生成し、これが、受信したメッセージ認証子（ＭＡＣ）と一致することを確認して、ゲートウェイ機器１の認証を行う（ＳＰ１６）。
【０１２６】
次に、ＶＰＮセッション管理サーバ２は、同処理において、ＩＰｓｅｃの共有認証鍵（PresharedKey）及び共有秘密情報（Secret-ID2）をランダムに生成し、これらを、図１４（ａ）に示すように、機器ＩＤと対応付けてＶＰＮセッション管理テーブル２３に保持する（ＳＰ１７，ＳＰ１８）と共に、上記共有認証鍵（PresharedKey）及び共有秘密情報（Secret-ID2）を、先にパラメータとして与えられたゲートウェイ機器１の公開鍵を用いて暗号化する（ＳＰ１９）。
【０１２７】
そして、ＶＰＮセッション管理サーバ２は、同処理において、正常又はエラーを示すステータス、並びに暗号化後の共有認証鍵（PresharedKey）及び共有秘密情報（Secret-ID2）をパラメータとした所要の設置通知レスポンスを、ＶＰＮセッション管理サーバ２（ＨＴＴＰサーバ部２１）からゲートウェイ機器１（サーバ部１４のＣＧＩ処理部１３）へのＨＴＴＰレスポンスとして、＜非ＩＰｓｅｃセッション＞で送信する（ＳＰ２０）。
【０１２８】
次に、ゲートウェイ機器１のサーバ部１４は、図示の「設置通知レスポンス受信後処理」において、ＶＰＮセッション管理サーバ２から設置通知レスポンスを受信し（ＳＰ２１）、与えられた暗号化後の共有認証鍵（ＰｒｅｓｈａｒｅｄＫｅｙ）及び共有秘密情報（Ｓｅｃｒｅｔ−ＩＤ２）を、当該ゲートウェイ機器１の秘密鍵を用いて復号化して、その復号化された共有認証鍵（ＰｒｅｓｈａｒｅｄＫｅｙ）及び共有秘密情報（Ｓｅｃｒｅｔ−ＩＤ２）を設置通知後情報として保持し（ＳＰ２２，ＳＰ２３）、さらに、処理をロ．の認証鍵設定処理へと受け渡し（図示の記号「Ａ」により図９へ連続）、以上により、本設置通知処理が完了する。
【０１２９】
＜ロ．認証鍵設定処理＞
本認証鍵設定処理は、上述の設置通知処理の完了後、ゲートウェイ機器１のルータ部１１に対し、共有認証鍵（ＰｒｅｓｈａｒｅｄＫｅｙ）を設定することを目的とする。以下、図面により、本認証鍵設定処理の詳細を説明する。
【０１３０】
図９は、本発明の方法例に係る認証鍵設定処理を説明するためのシーケンス図である。
【０１３１】
同図に示すように、本認証鍵設定処理は、上述の設置通知処理の完了を契機（図示の「Ａ」により図８から連続）に、これに引き続いて自動的に一度だけ実行される。
【０１３２】
即ち、ゲートウェイ機器１のサーバ部１４は、図示の「ルータ設定コマンド送信処理」において、ＶＰＮゲートウェイ３をＩＰｓｅｃの対象ホストとした共有認証鍵（ＰｒｅｓｈａｒｅｄＫｅｙ）の設定コマンドをパラメータとした所要のルータ設定コマンドを生成し（ＳＰ３１）、当該ルータ設定コマンドをゲートウェイ機器１のサーバ部１４から同ゲートウェイ機器１のルータ部１１へのコマンドとして、＜ローカルネットワークセッション＞で送信する（ＳＰ３２）。
【０１３３】
次に、ゲートウェイ機器１のルータ部１１は、図示の「ルータ設定コマンド受信及び処理」において、サーバ部１４から送信されたルータ設定コマンドを受信し（ＳＰ３３）、受信した共有認証鍵（PresharedKey）を自身に書き込んで、当該共有認証鍵（PresharedKey）の設定を行う（ＳＰ３４）。
【０１３４】
そして、ルータ部１１は、同処理において、正常又はエラーを示すステータスをパラメータとして、ゲートウェイ機器１のルータ部１１から同ゲートウェイ機器１のサーバ部１４へのレスポンスとして、所要のルータ設定レスポンスを、＜ローカルネットワークセッション＞で送信する（ＳＰ３５）。
【０１３５】
次に、ゲートウェイ機器１のサーバ部１４は、図示の「ルータ設定レスポンス受信」において、ルータ部１１から送信されたルータ設定レスポンスを受信し（ＳＰ３６）、以上により、本認証鍵設定処理が完了する。
【０１３６】
＜ハ．ＣＵＧ作成処理＞
本ＣＵＧ作成処理は、ゲートウェイ機器１にアクセス可能なＷｅｂ対応携帯電話４を登録するための端末登録用パスワードを、ＶＰＮセッション管理サーバ２に発行させることを目的とする。
【０１３７】
また、ゲートウェイ機器１配下のイントラネット５には様々な機器が存在するが、その所有者は機器ごとに異なることが考えられるため、ユーザの所有物であるＷｅｂ対応携帯電話４ごとに各機器へのアクセスが可能か否かをＶＰＮセッション管理サーバ２に通知し、当該ＶＰＮセッション管理サーバ２に、イントラネット５上の各機器へのアクセス制御を行わせる情報（機器名及び機器アドレスの組）を通知することを目的とする。
【０１３８】
図１０は、本発明の方法例に係るＣＵＧ作成処理を説明するためのシーケンス図である。
【０１３９】
同図に示すように、本ＣＵＧ作成処理は、図示の「ＣＵＧ作成要求起動コマンド送信処理」において、ユーザが、イントラネット５上における任意の機器のブラウザによりゲートウェイ機器１のサーバ部１４にアクセスして、イントラネット５上の機器名の一覧を表示するための「機器一覧画面（図示せず）」を表示させ、この機器一覧画面において、後に、Ｗｅｂ対応携帯電話４で操作しようとする機器（ゲートウェイ機器１を含む）を選択して（ＳＰ４１）、ボタン押下等のアクションを起こすことにより開始される。
【０１４０】
そして、イントラネット５上における任意の機器のブラウザは、同処理において、前述したＣＵＧ作成要求処理プログラムを起動するためのＣＵＧ作成要求処理プログラム起動コマンド、並びに機器名及び機器アドレスの組をパラメータとした所要のＣＵＧ作成要求起動コマンドを、当該ブラウザからゲートウェイ機器１（サーバ部１４のＨＴＴＰサーバ部１２）へのＨＴＴＰコマンドとして、＜ローカルネットワークセッション＞で送信する（ＳＰ４２）。
【０１４１】
なお、上述の機器一覧画面に表示される機器名は、予め、ユーザが登録可能なものであり、ゲートウェイ機器１のサーバ部１４は、イントラネット５上に存在する各機器の名称（機器名）と、そのイントラネット５上の各機器に付与されたＩＰアドレス（機器アドレス）との組のリストを、ＣＵＧ作成要求処理プログラムが起動される前の段階で保持しているものとする（当該リストを取得する手法は、特に問わない）。
【０１４２】
次に、ゲートウェイ機器１のサーバ部１４は、図示の「ＣＵＧ作成受付起動コマンド送信処理」において、イントラネット５上における任意の機器のブラウザから送信されたＣＵＧ作成要求起動コマンドを受信して（ＳＰ４３）、パラメータとして与えられたＣＵＧ作成要求処理プログラム起動コマンドにより、所要のＣＵＧ作成要求処理プログラムを起動すると共に、同パラメータとして与えられた機器名及び機器アドレスを取得する（ＳＰ４４）。
【０１４３】
次に、サーバ部１４は、同処理において、ＲＳＡなど公開鍵暗号方式の暗号アルゴリズムを用いた秘密鍵及び公開鍵と、機器ＩＤにタイムスタンプを付加してなる認証のための原文と、前述の設置通知処理時に保持した共有秘密情報（Ｓｅｃｒｅｔ−ＩＤ２）を用いたメッセージ認証子（ＭＡＣ）とを順次生成し（ＳＰ４５，ＳＰ４６，ＳＰ４７）、さらに、取得された機器名及び機器アドレスを上記共有秘密情報（Ｓｅｃｒｅｔ−ＩＤ２）を用いて暗号化する（ＳＰ４８）。
【０１４４】
そして、サーバ部１４は、同処理において、これまでに取得又は生成した機器ＩＤ、公開鍵、原文、ＭＡＣ、並びに暗号化後の機器名及び機器アドレスの組をパラメータとした所要のＣＵＧ作成受付起動コマンド（前述した「ＣＵＧ作成受付処理プログラム」を起動するためのコマンドであり、図３に示した「ＣＵＧ作成要求コマンド」と同義）を、ゲートウェイ機器１（サーバ部１４のＣＧＩ処理部１３）からＶＰＮセッション管理サーバ２（ＨＴＴＰサーバ部２１）へのＨＴＴＰコマンドとして、＜非ＩＰｓｅｃセッション（グローバル）＞で送信する（ＳＰ４９）。
【０１４５】
次に、ＶＰＮセッション管理サーバ２は、図示の「ＣＵＧ作成受付起動コマンド受信及び処理」において、ゲートウェイ機器１のサーバ部１４から送信されたＣＵＧ作成受付起動コマンドを受信して（ＳＰ５０）、パラメータとして与えられた原文に対し、ＶＰＮセッション管理テーブル２３（図１４（ａ）参照）に保持されている共有秘密情報（Secret-ID2）を用いたメッセージ認証子（ＭＡＣ）を生成し、これが、受信したメッセージ認証子（ＭＡＣ）と一致することを確認して、ゲートウェイ機器１の認証を行う（ＳＰ５１）。
【０１４６】
次に、ＶＰＮセッション管理サーバ２は、同処理において、パラメータとして与えられた暗号化後の機器名及び機器アドレスを復号化すると共に、端末登録用パスワード（有効期間：１分程度）をランダムに生成して、これらを、図１４（ｂ）に示すように、機器ＩＤと対応付けてＶＰＮセッション管理テーブル２３に保持し（ＳＰ５２，ＳＰ５３）、さらに、上記端末登録用パスワードを、先にパラメータとして与えられたゲートウェイ機器１の公開鍵を用いて暗号化する（ＳＰ５４）。
【０１４７】
そして、ＶＰＮセッション管理サーバ２は、同処理において、正常又はエラーを示すステータス、及び暗号化後の端末登録用パスワードをパラメータとした所要のＣＵＧ作成受付起動レスポンスを、ＶＰＮセッション管理サーバ２（ＨＴＴＰサーバ部２１）からゲートウェイ機器１（サーバ部１４のＣＧＩ処理部１３）へのＨＴＴＰレスポンスとして、＜非ＩＰｓｅｃセッション＞で送信する（ＳＰ５５）。
【０１４８】
次に、ゲートウェイ機器１のサーバ部１４は、図示の「ＣＵＧ作成受付起動レスポンス受信後処理」において、ＶＰＮセッション管理サーバ２から送信されたＣＵＧ作成受付起動レスポンスを受信して（ＳＰ５６）、パラメータとして与えられた暗号化後の端末登録用パスワードを、先に生成した秘密鍵を用いて復号化し（ＳＰ５７）、さらに、その復号化された端末登録用パスワードを表示するＨＴＭＬ画面データをパラメータとした所要のＣＵＧ作成要求起動レスポンスを、ゲートウェイ機器１（ＨＴＴＰサーバ部１２）からイントラネット５上における該当機器のブラウザへのＨＴＴＰレスポンスとして、＜ローカルネットワークセッション＞で送信する（ＳＰ５８）。
【０１４９】
次に、イントラネット５上における該当機器のブラウザは、図示の「ＣＵＧ作成要求起動レスポンス受信処理」において、ゲートウェイ機器１のサーバ部１４から送信されたＣＵＧ作成要求起動レスポンスを受信して（ＳＰ５９）、そのパラメータである端末登録用パスワードを表示したＨＴＭＬ画面データを画面表示し（ＳＰ６０）、以上により、本ＣＵＧ作成処理が完了する。
【０１５０】
＜ニ．端末登録処理＞
本端末登録処理は、ゲートウェイ機器１にアクセス可能なＷｅｂ対応携帯電話４を、実際にＶＰＮセッション管理サーバ２に登録することを目的とする。
【０１５１】
図１１は、本発明の方法例に係る端末登録処理を説明するためのシーケンス図である。
【０１５２】
同図に示すように、本端末登録処理は、ユーザが、自身のＷｅｂ対応携帯電話４のブラウザ４１から、ＶＰＮセッション管理サーバ２（ＨＴＴＰサーバ部２１）にアクセスし、上述のＣＵＧ作成処理実行の結果イントラネット５上の該当機器のブラウザに画面表示された端末登録用パスワードを有効期間内に入力するための「Ｗｅｂ対応携帯電話登録画面」を通じて実行される。
【０１５３】
即ち、Ｗｅｂ対応携帯電話４のブラウザ４１は、図示の「Ｗｅｂ対応携帯電話登録コマンド送信処理」において、Ｗｅｂ対応携帯電話登録コマンドを示すコード、上記Ｗｅｂ対応携帯電話登録画面においてユーザから入力された端末登録用パスワード、及びＷｅｂ対応携帯電話４に付与された端末ＩＤをパラメータとした所要のＷｅｂ対応携帯電話登録コマンド（前述した「端末登録処理プログラム」を起動するためのコマンド）を、ユーザからの送信ボタンの押下に伴い、Ｗｅｂ対応携帯電話４（ブラウザ４１）からＶＰＮセッション管理サーバ２（ＨＴＴＰサーバ部２１）へのＨＴＴＰコマンドとして、専用線８を経由して送信する（ＳＰ６１）。（本コマンドは、専用線８を経由して送信されるため、盗聴や改竄が生じる可能性は極めて低く、セキュリティは高いといえる）
【０１５４】
次に、ＶＰＮセッション管理サーバ２は、図示の「Ｗｅｂ対応携帯電話登録コマンド受信及び処理」において、Ｗｅｂ対応携帯電話４から送信されたＷｅｂ対応携帯電話登録コマンドを受信して（ＳＰ６２）、パラメータとして与えられたコードにより所要の端末登録処理プログラムを起動すると共に、同パラメータとして与えられた端末登録用パスワードと同一の値がＶＰＮセッション管理テーブル２３の該当レコードに存在している（図１４（ｂ）参照）ことを以って、Ｗｅｂ対応携帯電話４を認証する（ＳＰ６３）。
【０１５５】
次に、ＶＰＮセッション管理サーバ２は、同処理において、パラメータとして与えられた端末ＩＤを、図１４（ｃ）に示すように、機器ＩＤと対応付けてＶＰＮセッション管理テーブル２３に保持する（ＳＰ６４）と共に、Ｗｅｂ対応携帯電話４の認証に伴って不要となった端末登録用パスワードを、当該ＶＰＮセッション管理テーブル２３から削除する（ＳＰ６５）。
【０１５６】
なお、上記端末ＩＤは、実際は、携帯電話通信キャリアのインターネットゲートウェイ７に保持されており、当該インターネットゲートウェイ７から送信されるため、Ｗｅｂ対応携帯電話４からユーザ自身が送信する必要がなく、ユーザに入力操作等の負担をかけることがない。また、この端末ＩＤは、ユーザ自身は送信できず、改竄することが不可能なことから、第三者が不正な操作をすることができず、これを認証の鍵として用いることによって、セキュリティを大幅に強化することが可能となる。
【０１５７】
そして、ＶＰＮセッション管理サーバ２は、同処理において、正常又はエラーを示すステータス、及び端末登録用パスワードの登録が完了した旨を表示するＨＴＭＬ画面データをパラメータとした所要のＷｅｂ対応携帯電話登録レスポンスを、ＶＰＮセッション管理サーバ２（ＨＴＴＰサーバ部２１）からＷｅｂ対応携帯電話４（ブラウザ４１）へのＨＴＴＰレスポンスとして、専用線８を経由して送信する（ＳＰ６６）。
【０１５８】
次に、Ｗｅｂ対応携帯電話４のブラウザ４１は、図示の「Ｗｅｂ対応携帯電話登録レスポンス受信後処理」において、ＶＰＮセッション管理サーバ２から送信されたＷｅｂ対応携帯電話登録レスポンスを受信して（ＳＰ６７）、そのパラメータである端末登録用パスワードの登録完了を表示するＨＴＭＬ画面データを「登録完了画面」として画面表示し（ＳＰ６８）、以上により、本端末登録処理が完了する。
【０１６０】
＜ホ．ＶＰＮセッション確立処理＞
本ＶＰＮセッション確立処理は、Ｗｅｂ対応携帯電話４からゲートウェイ機器１及びその配下のイントラネット５上の機器へのセキュリティをもったリモートアクセスを実現するために、両者間にＶＰＮセッションを確立することを目的とする。
【０１６１】
図１２は、本発明の方法例に係るＶＰＮセッション確立処理を説明するためのシーケンス図である。
【０１６２】
同図に示すように、本ＶＰＮセッション確立処理は、図示の「対ゲートウェイ機器向けＶＰＮセッション起動要求コマンド送信」において、ユーザが、上述の端末登録処理で登録したＷｅｂ対応携帯電話４を用いて、ＶＰＮセッション管理サーバ２（ＨＴＴＰサーバ部２１）にアクセスして、リモートアクセスを要求するための「リモートアクセス要求画面（図示せず）」をブラウザ４１に表示させ、当該画面において送信ボタンを押下することにより開始される。
【０１６３】
即ち、Ｗｅｂ対応携帯電話４のブラウザ４１は、同処理において、前述したＶＰＮセッション確立処理プログラムを起動するための対ゲートウェイ機器向けＶＰＮセッション確立処理プログラム起動コマンド、及び端末ＩＤをパラメータとした所要の対ゲートウェイ機器向けＶＰＮセッション起動要求コマンドを、Ｗｅｂ対応携帯電話４（ブラウザ４１）からＶＰＮセッション管理サーバ２（ＨＴＴＰサーバ部２１）へのＨＴＴＰコマンドとして、専用線８を経由して送信する（ＳＰ７１）。
【０１６４】
次に、ＶＰＮセッション管理サーバ２は、図示の「対ゲートウェイ機器向けＶＰＮセッション起動要求コマンド受信及び処理」において、Ｗｅｂ対応携帯電話４から送信された対ゲートウェイ機器向けＶＰＮセッション起動要求コマンドを受信して（ＳＰ７２）、パラメータとして与えられたコマンドにより所要のＶＰＮセッション確立処理プログラムを起動すると共に、同パラメータとして与えられた端末ＩＤと同一の値がＶＰＮセッション管理テーブル２３の該当レコードに存在している（図１４（ｃ）参照）ことを以って、Ｗｅｂ対応携帯電話４を認証する（ＳＰ７３）。
【０１６５】
次に、ＶＰＮセッション管理サーバ２は、同処理において、ＶＰＮセッション管理テーブル２３の該当レコードからＩＰｓｅｃの共有認証鍵（PresharedKey）を取得すると共に、ゲートウェイ機器１のルータ部１１のグローバルＩＰアドレスを取得して、ＶＰＮ設定コマンドを生成する（ＳＰ７４）。
【０１６６】
なお、以上のグローバルＩＰアドレスを取得する手法としては、例えば、ゲートウェイ機器１が固定のグローバルＩＰアドレスを、予めＶＰＮセッション管理サーバ２に通知するようにしてもよいし、或いは、そのグローバルＩＰアドレスが可変な場合には、定期的にＶＰＮセッション管理サーバ２に通知してもよい（グローバルＩＰアドレスを定期的に通知する場合には、その間隔が短いほど、リモートアクセスの成功確率が高くなるといえる）。
【０１６７】
そして、ＶＰＮセッション管理サーバ２は、同処理において、ゲートウェイ機器１のルータ部１１のグローバルＩＰアドレスをＩＰｓｅｃの対象ホストとした共有認証鍵（PresharedKey）の設定（ＶＰＮゲートウェイ３のコマンドの実装により異なる）、及びＶＰＮトンネル９を確立するための設定（同じくＶＰＮゲートウェイ３のコマンドの実装により異なる）をパラメータとした上記ＶＰＮ設定コマンドを、ＶＰＮセッション管理サーバ２（ＣＧＩ処理部２２）からＶＰＮゲートウェイ３（設定コマンド受信処理部３２）へのコマンドとして、＜ローカルネットワークセッション＞で送信する（ＳＰ７５）。
【０１６８】
次に、ＶＰＮゲートウェイ３は、図示の「ＶＰＮ設定コマンド受信及び処理」において、ＶＰＮセッション管理サーバ２から送信されたＶＰＮ設定コマンドを受信して（ＳＰ７６）、パラメータとして与えられた各設定を自身に書き込んで反映させる（ＳＰ７７）ことにより、ゲートウェイ機器１との間で、ＩＰｓｅｃのネゴシエーションを自動的に開始してＶＰＮトンネル９を確立する。
【０１６９】
そして、ＶＰＮゲートウェイ３は、同処理において、正常又はエラーを示すステータスをパラメータとした所要のＶＰＮ設定レスポンスを、ＶＰＮゲートウェイ３（設定コマンド受信処理部３２）からＶＰＮセッション管理サーバ２（ＣＧＩ処理部２２）へのレスポンスとして、＜ローカルネットワークセッション＞で送信する（ＳＰ７８）。
【０１７０】
次に、ＶＰＮセッション管理サーバ２は、図示の「ＶＰＮ設定処理レスポンス受信」において、ＶＰＮゲートウェイ３から送信されたＶＰＮ設定レスポンスを受信して（ＳＰ７９）、正常又はエラーを示すステータス、及びＶＰＮセッションの確立が完了した旨を表示するＨＴＭＬ画面データをパラメータとした所要の対ゲートウェイ機器向けＶＰＮセッション起動要求レスポンスを、ＶＰＮセッション管理サーバ２（ＨＴＴＰサーバ部２１）からＷｅｂ対応携帯電話４（ブラウザ４１）へのＨＴＴＰレスポンスとして、専用線８を経由して送信する（ＳＰ８０）。
【０１７１】
次に、Ｗｅｂ対応携帯電話４は、図示の「対ゲートウェイ機器向けＶＰＮセッション起動要求レスポンス受信」において、ＶＰＮセッション管理サーバ２から送信された対ゲートウェイ機器向けＶＰＮセッション起動要求レスポンスを受信して（ＳＰ８１）、そのパラメータであるＶＰＮセッションの確立完了を表示するＨＴＭＬ画面データを「ＶＰＮセッション確立画面」として画面表示し（ＳＰ８２）、以上により、本ＶＰＮセッション確立処理が完了する。
【０１７２】
＜ヘ．代理アクセス処理＞
本代理アクセス処理は、Ｗｅｂ対応携帯電話４からゲートウェイ機器１及びその配下のイントラネット５上の機器へのセキュリティをもったリモートアクセスを実現するために、ゲートウェイ機器１にアクセス可能なＷｅｂ対応携帯電話４からのアクセスに代わり、上述のＶＰＮセッション確立処理により確立されたＶＰＮ経由で、ＶＰＮセッション管理サーバ２が代理アクセス（リバースプロキシ）を行うことを目的とする。
【０１７３】
図１３は、本発明の方法例に係る代理アクセス処理を説明するためのシーケンス図である。
【０１７４】
同図に示すように、本代理アクセス処理の開始に際しては、まず、図示の「対イントラネット向け代理アクセス起動要求コマンド送信」において、Ｗｅｂ対応携帯電話４のブラウザ４１が、前述した代理アクセス処理プログラムを起動するための対イントラネット向け代理アクセス処理プログラム起動コマンド、端末ＩＤ、及び機器名をパラメータとした所要の対イントラネット向け代理アクセス起動要求コマンドを、Ｗｅｂ対応携帯電話４（ブラウザ４１）からＶＰＮセッション管理サーバ２（ＨＴＴＰサーバ部２１）へのＨＴＴＰコマンドとして、専用線８を経由して送信する（ＳＰ９１）。
【０１７５】
次に、ＶＰＮセッション管理サーバ２は、図示の「対イントラネット向け代理アクセス起動要求コマンド受信及び処理」において、Ｗｅｂ対応携帯電話４から送信された対イントラネット向け代理アクセス起動要求コマンドを受信して（ＳＰ９２）、パラメータとして与えられたコマンドにより所要の代理アクセス処理プログラムを起動すると共に、同パラメータとして与えられた端末ＩＤ及び機器名と同一の値がＶＰＮセッション管理テーブル２３の該当レコードに存在している（図１４（ｃ）参照）ことを以って、Ｗｅｂ対応携帯電話４を認証する（ＳＰ９３，ＳＰ９４）。
【０１７６】
次に、ＶＰＮセッション管理サーバ２は、同処理において、ＶＰＮセッション管理テーブル２３の該当レコードから機器アドレスを取得する（ＳＰ９５）と共に、リバースプロキシプログラムを起動して（ＳＰ９６）、その取得した機器アドレスにより表されるＩＰアドレス向けの代理アクセスを行うよう指示し、ゲートウェイ機器１のサーバ部１４及びイントラネット５上の機器との間で、ＶＰＮトンネル９を経由したＷｅｂサーバコマンドの送受信を行う。
【０１７７】
即ち、ゲートウェイ機器１のサーバ部１４及びイントラネット５上の機器は、図示の「ＨＴＴＰコマンド受信及び処理」において、ＶＰＮセッション管理サーバ２のリバースプロキシプログラムから送信されるアクセス要求などのＷｅｂサーバコマンドを受信し（ＳＰ９７）、そのＶＰＮセッション管理サーバ２のリバースプロキシプログラムに対し、ＨＴＭＬデータ等のＷｅｂサーバレスポンスをＶＰＮトンネル９を経由して送信する（ＳＰ９８）。
【０１７８】
次に、ＶＰＮセッション管理サーバ２のリバースプロキシプログラムは、図示の「リバースプロキシレスポンス受信」において、そのリバースプロキシプログラムの返り値であるＨＴＭＬデータ等（リバースプロキシプログラムレスポンス）を、ゲートウェイ機器１のサーバ部１４及びイントラネット５上の機器からＶＰＮトンネル９を経由して受信し（ＳＰ９９）、その受信したＨＴＭＬデータ等をパラメータとした所要の対イントラネット向け代理アクセス起動要求レスポンスを、ＶＰＮセッション管理サーバ２（ＨＴＴＰサーバ部２１）からＷｅｂ対応携帯電話４（ブラウザ４１）へのＨＴＴＰレスポンスとして、専用線８を経由して送信する（ＳＰ１００）。
【０１７９】
そして、Ｗｅｂ対応携帯電話４は、図示の「対イントラネット向け代理アクセス起動要求レスポンス受信」において、ＶＰＮセッション管理サーバ２から送信された対イントラネット向け代理アクセス起動要求レスポンスを受信する（ＳＰ１０１）。
【０１８０】
そして以下、ユーザがＷｅｂ対応携帯電話４を通じたリモートアクセスを完了するまで、本代理アクセス処理を繰り返して実行する。
【０１８１】
以上、本発明の実施の形態を、その適用システム構成例、プログラム例及び記録媒体例、並びに方法例につき説明したが、本発明は、必ずしも上述した手段及び手法にのみ限定されるものではなく、本発明にいう目的を達成し、後述の効果を有する範囲内において、適宜変更実施することが可能なものである。
【０１８２】
【発明の効果】
以上、詳細に説明したように、本発明によれば、端末単体でありながら、セキュリティを確保したイントラネットへのリモートアクセスがインターネット経由で可能となり、また、リモートアクセス用に専用線等を必要としないので、システム適用に際しコストの増加を招くことがない。
【０１８３】
また、本発明によれば、他人が改竄できない端末ＩＤを端末認証の鍵として用いたことから、セキュリティを大幅に強化することが可能になると共に、当該端末ＩＤは、通信キャリアが提供するインターネットゲートウェイから送信されるため、ユーザの認証情報入力の手間を省くことができる。
【０１８４】
さらに、本発明によれば、イントラネットへのアクセスが可能な端末の追加や変更を、ＣＵＧサービスを提供している企業等に書類で提出することなくユーザ自身が外部から行うことができるため、非常に利便性が高い。
【図面の簡単な説明】
【図１】本発明の適用システムであるイントラネットリモートアクセスシステムの構成を示す図である。
【図２】図１に示したＶＰＮセッション管理サーバに設定されるＶＰＮセッション管理テーブルの構成を示す図である。
【図３】図１に示したゲートウェイ機器のＣＧＩ処理部に格納されるＣＵＧ作成要求処理プログラムを説明するためのフローチャートである。
【図４】図１に示したＶＰＮセッション管理サーバのＣＧＩ処理部に格納されるＣＵＧ作成受付処理プログラムを説明するためのフローチャートである。
【図５】図１に示したＶＰＮセッション管理サーバのＣＧＩ処理部に格納される端末登録処理プログラムを説明するためのフローチャートである。
【図６】図１に示したＶＰＮセッション管理サーバのＣＧＩ処理部に格納されるＶＰＮセッション確立処理プログラムを説明するためのフローチャートである。
【図７】図１に示したＶＰＮセッション管理サーバのＣＧＩ処理部に格納される代理アクセス処理プログラムを説明するためのフローチャートである。
【図８】本発明の方法例に係る設置通知処理を説明するためのシーケンス図である。
【図９】本発明の方法例に係る認証鍵設定処理を説明するためのシーケンス図である。
【図１０】本発明の方法例に係るＣＵＧ作成処理を説明するためのシーケンス図である。
【図１１】本発明の方法例に係る端末登録処理を説明するためのシーケンス図である。
【図１２】本発明の方法例に係るＶＰＮセッション確立処理を説明するためのシーケンス図である。
【図１３】本発明の方法例に係る代理アクセス処理を説明するためのシーケンス図である。
【図１４】本発明の方法例において参照されるＶＰＮ管理テーブルの遷移図である。
【符号の説明】
α…イントラネットリモートアクセスシステム（適用システム）
１…ゲートウェイ機器
１１…ルータ部
１２…ＨＴＴＰサーバ部
１３…ＣＧＩ処理部
１４…サーバ部
２…ＶＰＮセッション管理サーバ
２１…ＨＴＴＰサーバ部
２２…ＣＧＩ処理部
２３…ＶＰＮセッション管理テーブル
３…ＶＰＮゲートウェイ
３１…ＶＰＮ処理部
３２…設定コマンド受信処理部
４…Ｗｅｂ対応携帯電話
４１…ブラウザ
５…イントラネット
６…インターネット
７…インターネットゲートウェイ
８…専用線
９…ＶＰＮトンネル
１０…携帯電話専用回線
Claims (20)
- ＶＰＮ機能を有するゲートウェイ機器を介してインターネットに接続されたイントラネット上の機器に、所定のインターネットゲートウェイを通じて前記インターネットにアクセス可能な端末からリモートアクセスするためのイントラネットリモートアクセス方法であって、
前記インターネット上に、前記インターネットゲートウェイと専用線で接続されたＶＰＮセッション管理サーバと、ＯＳＩ参照モデルのネットワーク層においてＶＰＮセッションを実現する機能を有し、前記ＶＰＮセッション管理サーバからのコマンド制御に応じて前記ゲートウェイ機器との間にＶＰＮトンネルを設定するＶＰＮゲートウェイと、を配置し、
前記イントラネット上の任意の機器からの要求に伴い、その機器に付与された機器名及び機器アドレスを前記ＶＰＮセッション管理サーバに登録すると共に、当該ＶＰＮセッション管理サーバ内で端末登録用パスワードをランダムに一時生成し、この生成された前記端末登録用パスワードを、前記ＶＰＮセッション管理サーバから前記インターネットを経由して、該当する前記機器に通知するＣＵＧ作成処理と、
該当する前記機器に対応して割り当てられた所定の端末から、前記端末登録用パスワード及び当該端末に付与された端末ＩＤが入力されるのに伴い、その端末ＩＤを前記ＶＰＮセッション管理サーバに登録すると共に、当該端末ＩＤが登録された旨を、前記ＶＰＮセッション管理サーバから前記専用線を経由して、該当する前記端末に通知する端末登録処理と、
該当する前記端末からの前記端末ＩＤの入力に伴い、前記ＶＰＮセッション管理サーバからの前記コマンド制御に応じて前記ＶＰＮゲートウェイと前記ゲートウェイ機器との間に前記ＶＰＮトンネルを設定し、この設定によりＶＰＮセッションが開始された旨を、前記ＶＰＮセッション管理サーバから前記ＶＰＮトンネルを経由して、該当する前記端末に通知するＶＰＮセッション確立処理と、
該当する前記端末から前記端末ＩＤ及び前記機器名が入力されて、該当する前記機器に対して所要のアクセスが発生するのに伴い、その端末に代わり、前記ＶＰＮセッション管理サーバに、前記ＶＰＮトンネルを経由した代理アクセスを行わせる代理アクセス処理と、を順次実施する、
ことを特徴とするイントラネットリモートアクセス方法。 - 前記ゲートウェイ機器及び前記ＶＰＮセッション管理サーバは、
両者の間で所定の共有秘密情報を共有し、
前記ＣＵＧ作成処理は、
前記ゲートウェイ機器において、
公開鍵暗号方式の暗号アルゴリズムを用いて秘密鍵及び公開鍵を生成する処理と、所定の原文に対し前記共有秘密情報を用いてメッセージ認証子を生成する処理と、前記機器名及び前記機器アドレスを前記共有秘密情報を用いて暗号化する処理と、当該ゲートウェイ機器に付与された機器ＩＤ、前記公開鍵、前記原文、前記メッセージ認証子、並びに暗号化後の前記機器名及び前記機器アドレスを前記ＶＰＮセッション管理サーバに送信する処理と、を順次実施し、
前記ＶＰＮセッション管理サーバにおいて、
受信した前記原文に対し、受信した前記機器ＩＤに対応する前記共有秘密情報を用いてメッセージ認証子を生成する処理と、この生成された前記メッセージ認証子と受信した前記メッセージ認証子とが一致したことを以って、前記ゲートウェイ機器の正当性を認証する処理と、受信した暗号化後の前記機器名及び前記機器アドレスを前記共有秘密情報を用いて復号化する処理と、これら復号化された前記機器名及び前記機器アドレスを、前記端末登録用パスワードと共に前記機器ＩＤと対応させて保持する処理と、受信した前記公開鍵を用いて前記端末登録用パスワードを暗号化する処理と、暗号化後の前記端末登録用パスワードを前記ゲートウェイ機器に送信する処理と、を順次実施し、
再び前記ゲートウェイ機器において、
受信した暗号化後の前記端末登録用パスワードを前記秘密鍵を用いて復号化する処理を実施する、
ことを特徴とする請求項１に記載のイントラネットリモートアクセス方法。 - 端末登録処理は、
前記ＶＰＮセッション管理サーバにおいて、
前記端末から入力された前記端末登録用パスワードが、対応保持されている前記端末登録用パスワードと一致したことを以って、当該端末の正当性を認証する処理と、前記端末ＩＤを前記機器ＩＤと対応させて保持する処理と、対応保持されている前記端末登録用パスワードを削除する処理と、を順次実施する、
ことを特徴とする請求項２に記載のイントラネットリモートアクセス方法。 - 前記ゲートウェイ機器及び前記ＶＰＮセッション管理サーバは、
両者の間で共有認証鍵を共有し、
前記ＶＰＮセッション確立処理は、
前記ＶＰＮセッション管理サーバにおいて、
前記端末から入力された前記端末ＩＤが、対応保持されている前記端末ＩＤと一致したことを以って、当該端末の正当性を認証する処理と、前記ゲートウェイ機器を対象ホストとした前記共有認証鍵の設定を、前記ＶＰＮゲートウェイに書き込む処理と、を順次実施する、
ことを特徴とする請求項３に記載のイントラネットリモートアクセス方法。 - 前記代理アクセス処理は、
前記ＶＰＮセッション管理サーバにおいて、
前記端末から入力された前記端末ＩＤ及び前記機器名が、対応保持されている前記端末ＩＤ及び前記機器名と一致したことを以って、前記端末の正当性を認証する処理と、対応保持されている前記機器アドレスを取得する処理と、所定のリバースプロキシプログラムを起動して、その取得された前記機器アドレス向けの代理アクセスが行われるよう、当該リバースプロキシプログラムに対し指示を与える処理と、を順次実施する、
ことを特徴とする請求項４に記載のイントラネットリモートアクセス方法。 - 前記ゲートウェイ機器及び前記ＶＰＮセッション管理サーバにおける前記共有認証鍵及び前記共有秘密情報の共有は、
前記ゲートウェイ機器が新たに設置されて、当該ゲートウェイ機器から前記機器ＩＤが入力されるのに伴い、その機器ＩＤを前記ＶＰＮセッション管理サーバに登録すると共に、当該ＶＰＮセッション管理サーバ内でランダムに生成した前記共有認証鍵及び前記共有秘密情報を、前記ＶＰＮセッション管理サーバから前記インターネットを経由して、前記ゲートウェイ機器に通知する設置通知処理を実施することにより行われる、
ことを特徴とする請求項４又は５に記載のイントラネットリモートアクセス方法。 - 前記設置通知処理は、
前記ゲートウェイ機器において、
公開鍵暗号方式の暗号アルゴリズムを用いて秘密鍵及び公開鍵を生成する処理と、所定の原文に対し、当該ゲートウェイ機器の設置時において前記ＶＰＮセッション管理サーバと間で共有される初期共有秘密情報を用いてメッセージ認証子を生成する処理と、当該ゲートウェイ機器に付与された前記機器ＩＤ、前記公開鍵、前記原文、及び前記メッセージ認証子を前記ＶＰＮセッション管理サーバに送信する処理と、を順次実施し、
前記ＶＰＮセッション管理サーバにおいて、
受信した前記原文に対し、受信した前記機器ＩＤに対応する前記初期共有秘密情報を用いてメッセージ認証子を生成する処理と、この生成された前記メッセージ認証子と受信した前記メッセージ認証子とが一致したことを以って、前記ゲートウェイ機器の正当性を認証する処理と、前記共有認証鍵及び前記共有秘密情報を前記機器ＩＤと対応させて保持する処理と、受信した前記公開鍵を用いて前記共有認証鍵及び前記共有秘密情報を暗号化する処理と、暗号化後の前記共有認証鍵及び前記共有秘密情報を前記ゲートウェイ機器に送信する処理と、を順次実施し、
再び前記ゲートウェイ機器において、
受信した暗号化後の前記共有認証鍵及び前記共有秘密情報を前記秘密鍵を用いて復号化する処理と、これら復号化された前記共有認証鍵及び前記共有秘密情報を保持する処理と、を順次実施する、
ことを特徴とする請求項６に記載のイントラネットリモートアクセス方法。 - 前記設置通知処理は、
前記ゲートウェイ機器において、
前記ＶＰＮゲートウェイを対象ホストとした前記共有認証鍵の設定を、自身のルータ部に書き込む認証鍵設定処理を含む、
ことを特徴とする請求項７に記載のイントラネットリモートアクセス方法。 - 前記原文は、
前記機器ＩＤにタイムスタンプを付加してなるものを採用する、
ことを特徴とする請求項２、３、４、５、６、７又は８に記載のイントラネットリモートアクセス方法。 - 前記端末は、
Ｗｅｂ対応携帯電話であり、
前記インターネットゲートウェイは、
前記Ｗｅｂ対応携帯電話のサービスを提供する通信キャリアにより設置されたものである、
ことを特徴とする請求項１、２、３、４、５、６、７、８又は９に記載のイントラネットリモートアクセス方法。 - ＶＰＮ機能付きゲートウェイ機器を介してインターネットに接続されたイントラネット上の機器に、所定のインターネットゲートウェイ経由で前記インターネットにアクセス可能な端末からリモートアクセス可能とするため、前記インターネットゲートウェイと専用線で接続されたＶＰＮセッション管理サーバと、ＯＳＩ参照モデルのネットワーク層にてＶＰＮセッションを機能的に実現し、当該ＶＰＮセッション管理サーバのコマンド制御により前記ゲートウェイ機器との間にＶＰＮトンネルを設定するＶＰＮゲートウェイとを前記インターネット上にさらに配置して構築するシステムに用いるイントラネットリモートアクセス処理プログラムであって、
当該イントラネットリモートアクセス処理プログラムは、
前記イントラネット上の任意の機器からの要求に伴い、当該機器に付与された機器名及び機器アドレスの登録と端末登録用パスワードの発行とを前記ＶＰＮセッション管理サーバに行わせるため、前記ゲートウェイ機器に格納されるＣＵＧ作成要求処理プログラムと、
前記端末登録用パスワードをランダムに一時生成して前記インターネット経由で該当の前記機器に通知するため、前記ＶＰＮセッション管理サーバに格納されるＣＵＧ作成受付処理プログラムと、
該当の前記機器に対応割当された所定の端末から当該端末に付与された端末ＩＤ及び前記端末登録用パスワードが入力されるのに伴い、当該端末ＩＤを登録すると共に当該登録が為された旨を前記専用線経由で該当の前記端末に通知するため、前記ＶＰＮセッション管理サーバに格納される端末登録処理プログラムと、
該当の前記端末からの前記端末ＩＤの入力に伴い、前記ＶＰＮゲートウェイと前記ゲートウェイ機器との間に前記ＶＰＮトンネルを設定するための前記コマンド制御を行なうと共に、この設定によりＶＰＮセッションが開始された旨を当該ＶＰＮトンネル経由で該当の前記端末に通知するため、前記ＶＰＮセッション管理サーバに格納されるＶＰＮセッション確立処理プログラムと、
該当の前記端末から前記端末ＩＤ及び前記機器名が入力されて、該当の前記機器に対する所要のアクセスが発生するのに伴い、当該端末に代わり前記ＶＰＮトンネル経由で代理アクセスを行うため、前記ＶＰＮセッション管理サーバに格納される代理アクセス処理プログラムと、からなり、
前記ＣＵＧ作成要求処理プログラムは、
公開鍵暗号方式の暗号アルゴリズムを用いて秘密鍵及び公開鍵を生成するステップと、
所定の原文に対し、前記ＶＰＮセッション管理サーバとの間で共有される所定の共有秘密情報を用いてメッセージ認証子を生成するステップと、
前記機器名及び前記機器アドレスを前記共有秘密情報を用いて暗号化するステップと、
前記ゲートウェイ機器に付与された機器ＩＤ、前記公開鍵、前記原文、前記メッセージ認証子、並びに暗号化後の前記機器名及び前記機器アドレスを前記ＶＰＮセッション管理サーバに送信するステップと、
当該ＶＰＮセッション管理サーバから受信した暗号化後の前記端末登録用パスワードを前記秘密鍵を用いて復号化するステップと、を有する、
ことを特徴とするイントラネットリモートアクセス処理プログラム。 - 前記ＣＵＧ作成受付処理プログラムは、
前記ゲートウェイ機器から受信した前記原文に対し、当該ゲートウェイ機器から受信した前記機器ＩＤに対応する前記共有秘密情報を用いてメッセージ認証子を生成するステップと、
この生成された当該メッセージ認証子と、前記ゲートウェイ機器から受信した前記メッセージ認証子とが一致したことを以って、当該ゲートウェイ機器の正当性を認証するステップと、
当該ゲートウェイ機器から受信した暗号化後の前記機器名及び前記機器アドレスを前記共有秘密情報を用いて復号化するステップと、
前記端末登録用パスワードをランダムに一時生成すると共に、復号化された前記機器名及び前記機器アドレスを当該端末登録用パスワードと共に前記機器ＩＤと対応させて保持するステップと、
前記ゲートウェイ機器から受信した前記公開鍵を用いて前記端末登録用パスワードを暗号化するステップと、
暗号化後の当該端末登録用パスワードを前記ゲートウェイ機器に送信するステップと、を有する、
ことを特徴とする請求項１１に記載のイントラネットリモートアクセス処理プログラム。 - 前記端末登録処理プログラムは、
前記端末から入力された前記端末登録用パスワードが、対応保持されている前記端末登録用パスワードと一致したことを以って、当該端末の正当性を認証するステップと、
当該端末から入力された前記端末ＩＤを前記機器ＩＤと対応させて保持するステップと、
対応保持されている前記端末登録用パスワードを削除するステップと、を有する、
ことを特徴とする請求項１１又は１２に記載のイントラネットリモートアクセス処理プログラム。 - 前記ＶＰＮセッション確立処理プログラムは、
前記端末から入力された前記端末ＩＤが、対応保持されている前記端末ＩＤと一致したことを以って、当該端末の正当性を認証するステップと、
前記ゲートウェイ機器を対象ホストとした前記共有認証鍵の設定を、前記ＶＰＮゲートウェイに書き込むステップと、を有する、
ことを特徴とする請求項１１、１２又は１３に記載のイントラネットリモートアクセス処理プログラム。 - 前記代理アクセス処理プログラムは、
前記端末から入力された前記端末ＩＤ及び前記機器名が、対応保持されている前記端末ＩＤ及び前記機器名と一致したことを以って、当該端末の正当性を認証するステップと、
対応保持されている前記機器アドレスを取得するステップと、
所定のリバースプロキシプログラムを起動して、その取得された当該機器アドレス向けの代理アクセスが行われるよう、当該リバースプロキシプログラムに対し指示を与えるステップと、を有する、
ことを特徴とする請求項１１、１２、１３又は１４に記載のイントラネットリモートアクセス処理プログラム。 - ＶＰＮ機能付きゲートウェイ機器を介してインターネットに接続されたイントラネット上の機器に、所定のインターネットゲートウェイ経由で前記インターネットにアクセス可能な端末からリモートアクセス可能とするため、前記インターネットゲートウェイと専用線で接続されたＶＰＮセッション管理サーバと、ＯＳＩ参照モデルのネットワーク層にてＶＰＮセッションを機能的に実現し、当該ＶＰＮセッション管理サーバのコマンド制御により前記ゲートウェイ機器との間にＶＰＮトンネルを設定するＶＰＮゲートウェイとを前記インターネット上にさらに配置して構築するシステムに用いるイントラネットリモートアクセス処理プログラムを記録した記録媒体であって、
当該記録媒体は、
前記イントラネット上の任意の機器からの要求に伴い、当該機器に付与された機器名及び機器アドレスの登録と端末登録用パスワードの発行とを前記ＶＰＮセッション管理サーバに行わせるため、前記ゲートウェイ機器に格納されるＣＵＧ作成要求処理プログラムを記録した記録媒体と、
前記端末登録用パスワードをランダムに一時生成して前記インターネット経由で該当の前記機器に通知するため、前記ＶＰＮセッション管理サーバに格納されるＣＵＧ作成受付処理プログラムを記録した記録媒体と、
該当の前記機器に対応割当された所定の端末から当該端末に付与された端末ＩＤ及び前記端末登録用パスワードが入力されるのに伴い、当該端末ＩＤを登録すると共に当該登録が為された旨を前記専用線経由で該当の前記端末に通知するため、前記ＶＰＮセッション管理サーバに格納される端末登録処理プログラムを記録した記録媒体と、
該当の前記端末からの前記端末ＩＤの入力に伴い、前記ＶＰＮゲートウェイと前記ゲートウェイ機器との間に前記ＶＰＮトンネルを設定するための前記コマンド制御を行なうと共に、この設定によりＶＰＮセッションが開始された旨を当該ＶＰＮトンネル経由で該当の前記端末に通知するため、前記ＶＰＮセッション管理サーバに格納されるＶＰＮセッション確立処理プログラムを記録した記録媒体と、
該当の前記端末から前記端末ＩＤ及び前記機器名が入力されて、該当の前記機器に対する所要のアクセスが発生するのに伴い、当該端末に代わり前記ＶＰＮトンネル経由で代理アクセスを行うため、前記ＶＰＮセッション管理サーバに格納される代理アクセス処理プログラムを記録した記録媒体と、からなり、
前記ＣＵＧ作成要求処理プログラムを記録した記録媒体は、
前記ゲートウェイ機器に、
公開鍵暗号方式の暗号アルゴリズムを用いて秘密鍵及び公開鍵を生成させる手順と、
所定の原文に対し、前記ＶＰＮセッション管理サーバとの間で共有される所定の共有秘密情報を用いてメッセージ認証子を生成させる手順と、
前記機器名及び前記機器アドレスを前記共有秘密情報を用いて暗号化させる手順と、
前記ゲートウェイ機器に付与された機器ＩＤ、前記公開鍵、前記原文、前記メッセージ認証子、並びに暗号化後の前記機器名及び前記機器アドレスを前記ＶＰＮセッション管理サーバに送信させる手順と、
当該ＶＰＮセッション管理サーバから受信した暗号化後の前記端末登録用パスワードを前記秘密鍵を用いて復号化させる手順と、を順次実行する手続を実録してなる、
ことを特徴とするイントラネットリモートアクセス処理プログラムを記録した記録媒体。 - 前記ＣＵＧ作成受付処理プログラムを記録した記録媒体は、
前記ＶＰＮセッション管理サーバに、
前記ゲートウェイ機器から受信した前記原文に対し、当該ゲートウェイ機器から受信した前記機器ＩＤに対応する前記共有秘密情報を用いてメッセージ認証子を生成させる手順と、
この生成された当該メッセージ認証子と、前記ゲートウェイ機器から受信した前記メッセージ認証子とが一致したことを以って、当該ゲートウェイ機器の正当性を認証させる手順と、
当該ゲートウェイ機器から受信した暗号化後の前記機器名及び前記機器アドレスを前記共有秘密情報を用いて復号化させる手順と、
前記端末登録用パスワードをランダムに一時生成させると共に、復号化された前記機器名及び前記機器アドレスを当該端末登録用パスワードと共に前記機器ＩＤと対応させて保持させる手順と、
前記ゲートウェイ機器から受信した前記公開鍵を用いて前記端末登録用パスワードを暗号化させる手順と、
暗号化後の当該端末登録用パスワードを前記ゲートウェイ機器に送信させる手順と、を順次実行する手続を実録してなる、
ことを特徴とする請求項１６に記載のイントラネットリモートアクセス処理プログラムを記録した記録媒体。 - 前記端末登録処理プログラムを記録した記録媒体は、
前記ＶＰＮセッション管理サーバに、
前記端末から入力された前記端末登録用パスワードが、対応保持されている前記端末登録用パスワードと一致したことを以って、当該端末の正当性を認証させる手順と、
当該端末から入力された前記端末ＩＤを前記機器ＩＤと対応させて保持させる手順と、
対応保持されている前記端末登録用パスワードを削除させる手順と、を順次実行する手続を実録してなる、
ことを特徴とする請求項１６又は１７に記載のイントラネットリモートアクセス処理プログラムを記録した記録媒体。 - 前記ＶＰＮセッション確立処理プログラムを記録した記録媒体は、
前記ＶＰＮセッション管理サーバに、
前記端末から入力された前記端末ＩＤが、対応保持されている前記端末ＩＤと一致したことを以って、当該端末の正当性を認証させる手順と、
前記ゲートウェイ機器を対象ホストとした前記共有認証鍵の設定を、前記ＶＰＮゲートウェイに書き込ませる手順と、を順次実行する手続を実録してなる、
ことを特徴とする請求項１６、１７又は１８に記載のイントラネットリモートアクセス処理プログラムを記録した記録媒体。 - 前記代理アクセス処理プログラムを記録した記録媒体は、
前記ＶＰＮセッション管理サーバに、
前記端末から入力された前記端末ＩＤ及び前記機器名が、対応保持されている前記端末ＩＤ及び前記機器名と一致したことを以って、当該端末の正当性を認証させる手順と、
対応保持されている前記機器アドレスを取得させる手順と、
所定のリバースプロキシプログラムを起動させて、その取得された当該機器アドレス向けの代理アクセスが行われるよう、当該リバースプロキシプログラムに対し指示を与えさせる手順と、を順次実行する手続を実録してなる、
ことを特徴とする請求項１６、１７、１８又は１９に記載のイントラネットリモートアクセス処理プログラムを記録した記録媒体。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2001030156A JP3701206B2 (ja) | 2001-02-06 | 2001-02-06 | イントラネットリモートアクセス方法並びにイントラネットリモートアクセス処理プログラム及び該処理プログラムを記録した記録媒体 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2001030156A JP3701206B2 (ja) | 2001-02-06 | 2001-02-06 | イントラネットリモートアクセス方法並びにイントラネットリモートアクセス処理プログラム及び該処理プログラムを記録した記録媒体 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2002232460A JP2002232460A (ja) | 2002-08-16 |
| JP3701206B2 true JP3701206B2 (ja) | 2005-09-28 |
Family
ID=18894413
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2001030156A Expired - Fee Related JP3701206B2 (ja) | 2001-02-06 | 2001-02-06 | イントラネットリモートアクセス方法並びにイントラネットリモートアクセス処理プログラム及び該処理プログラムを記録した記録媒体 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3701206B2 (ja) |
Families Citing this family (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR100602629B1 (ko) | 2003-04-29 | 2006-07-20 | 삼성전자주식회사 | 사설 무선 고속 데이터 시스템 및 이를 이용한 데이터서비스 방법 |
| JP4789980B2 (ja) * | 2008-07-04 | 2011-10-12 | 日本電信電話株式会社 | トンネル通信システムおよび制御装置 |
| JP5874823B2 (ja) * | 2012-05-24 | 2016-03-02 | 富士通株式会社 | ネットワークシステム、ノード、および通信方法。 |
| CN113094719B (zh) * | 2020-01-08 | 2023-08-08 | 钉钉控股（开曼）有限公司 | 访问控制方法、装置、设备 |
| JP7338883B2 (ja) | 2021-01-20 | 2023-09-05 | Ｎｅｃプラットフォームズ株式会社 | 通信システム及び方法 |
-
2001
- 2001-02-06 JP JP2001030156A patent/JP3701206B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2002232460A (ja) | 2002-08-16 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP3605501B2 (ja) | 通信システム、メッセージ処理方法及びコンピュータ・システム | |
| JP4226665B2 (ja) | ログオン証明書 | |
| JP4851767B2 (ja) | ポータブルセキュリティトークン使用型認証機関間相互認証方法及びコンピュータシステム | |
| US10567370B2 (en) | Certificate authority | |
| JP4907895B2 (ja) | プライベートデータを露出せずに通信ネットワークを介してパスワードで保護されたプライベートデータを回復する方法およびシステム | |
| US8060739B2 (en) | Apparatus and method for providing security service in home network | |
| KR101054970B1 (ko) | 개인 정보를 포함하는 전자 증명서를 이용하여 통신 상대를 인증하기 위한 시스템, 장치, 방법, 및 컴퓨터 판독 가능한 기록 매체 | |
| US7552322B2 (en) | Using a portable security token to facilitate public key certification for devices in a network | |
| JP4843320B2 (ja) | 記憶媒体に対するリモート・サービス・インターフェースのサービス担当ユーザを確実に認証する方法およびシステム | |
| TW200828944A (en) | Simplified management of authentication credientials for unattended applications | |
| JP7174237B2 (ja) | 鍵生成装置、鍵更新方法および鍵更新プログラム | |
| JPH11174956A (ja) | 臨時署名認証の方法及びそのシステム | |
| JP2007150846A (ja) | コンテンツ再生システム | |
| KR20050066522A (ko) | 무선 단말기용 암호키 관리 시스템 및 방법 | |
| JP2001313636A (ja) | 認証システム、認証方法、認証装置及びその方法 | |
| JP2020120173A (ja) | 電子署名システム、証明書発行システム、証明書発行方法及びプログラム | |
| WO2010090252A1 (ja) | アカウント発行システム、アカウントサーバ、サービスサーバおよびアカウント発行方法 | |
| JP2000036809A (ja) | ユーザの簡易認証方法およびそのプログラムを格納した記録媒体 | |
| EP1843274A2 (en) | Digital rights management system | |
| JPH10336172A (ja) | 電子認証用公開鍵の管理方法 | |
| JP3701206B2 (ja) | イントラネットリモートアクセス方法並びにイントラネットリモートアクセス処理プログラム及び該処理プログラムを記録した記録媒体 | |
| JP4459761B2 (ja) | 電子ファイルのアクセス制御システム及びアクセス制御方法 | |
| JP2003030157A (ja) | 情報提供方法、情報提供装置、情報提供方法のプログラム及び情報提供方法のプログラムを記録した記録媒体 | |
| JP4596333B2 (ja) | データ通信方法 | |
| JP2004048596A (ja) | 携帯通信端末及び情報送受信方法 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20050126 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20050201 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20050404 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20050712 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20050712 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20080722 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090722 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090722 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100722 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100722 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110722 Year of fee payment: 6 |
|
| LAPS | Cancellation because of no payment of annual fees |