JP4390965B2 - インターネット環境下のネットワーク接続管理システム - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明はファイアウォールを介して接続された２以上のネットワークをあたかも一つのネットワークのように接続・管理するネットワーク接続管理システムに係り、特に、インターネット環境下でセキュリティレベルを維持しつつ、かつ、インターネットを介して接続された別個のネットワークに対してシームレスな接続環境を実現するネットワーク接続管理システムに関する。
【０００２】
【従来の技術】
インターネット上では、コンピューターを識別するために各コンピューターは世界で唯一のＩＰアドレスという識別番号（これをグローバルＩＰアドレスという）を有している。
【０００３】
インターネットに接続したネットワークについては、そのネットワーク内のコンピューターの全部がインターネットに直接接続するわけではないので、インターネットに直接接続するコンピューターを除き、ＩＰアドレスの節約のために各コンピューターは当該ネットワーク内でのみ通用するプライベートＩＰアドレスを有している。
【０００４】
ところが、上記プライベートＩＰアドレスの存在により、インターネットを通して他のネットワーク内のコンピューターと直接通信することはできない。なぜなら、インターネットを上ではグローバルＩＰアドレスを介さなけば、通信することができないからである。
【０００５】
一方、インターネットに接続したネットワークは、インターネットを通して不正なユーザーによるハッキングやウィルス感染を防止し、あるいは万一被害を受けた場合に被害の拡大を抑制するために、通常インターネットとの間にファイアウォールという装置を設けている。
【０００６】
このファイアウォールには、パケットフィルタリングとアプリケーションゲートウェイの二種類がある。現在多数を占めるパケットフィルタリング型のファイアウォールは、インターネットからアクセス可能なコンピューターのＩＰアドレス（ポート）を少数に制限するものである。この場合、ファイアウォールはインターネットからアクセス可能な自ネットワーク内のポート番号を保持し、これ以外のパケットのアクセスを拒否する。
【０００７】
以上のような構成により、インターネットを介して他のネットワーク内のコンピューターと通信するためには、ファイアウォールによって制限されたポートが存在すること、および、そのネットワーク内のプライベートＩＰアドレスに直送信できないこと、という二重の障害を超えなければならない。
【０００８】
この問題を解決するために、現在ＶＰＮ（Virtual Private Network）とＮＡＴ（Network Address Translation）という技術が提案されている。
【０００９】
図３に上記ＶＰＮとＮＡＴによりインターネット環境下の異ネットワーク間で通信する方法を概念的に示す。
【００１０】
図３において、インターネット２０を介して接続された二つのプライベートネットワーク２１，２２が示されている。
【００１１】
プライベートネットワーク２１，２２とインターネット２０の間には、それぞれファイアウォール２３ａ，２３ｂが設けられている。
【００１２】
プライベートネットワーク２１には、ＷＥＢサーバー２４とメールサーバー２５が接続されている。ＷＥＢサーバー２４にはクライアント２６が接続されている。
【００１３】
一方、プライベートネットワーク２２には、ＷＥＢサーバー２７と、メールサーバー２８が接続されている。
【００１４】
仮に、クライアント２６のプライベートＩＰアドレスをｘｘｘ、ＷＥＢサーバー２７のプライベートＩＰアドレスをｙｙｙとする。ファイアウォール２３ａのグローバルＩＰアドレスをａａａ、ファイアウォール２３ｂのグローバルＩＰアドレスをｂｂｂとする。
【００１５】
今、クライアント２６からＷＥＢサーバー２７に通信電文を送信する場合を考える。
【００１６】
ＮＡＴは、グローバルＩＰアドレスとプライベートＩＰアドレスとを変換する技術である。一方、ＶＰＮは、プライベートＩＰアドレスで記述された通信電文にグローバルＩＰアドレスによるＩＰヘッダを付する技術である。ＮＡＴとＶＰＮは、ファイアウォール２３ａ，２３ｂに付属されている。
【００１７】
ＶＰＮ・ＮＡＴ技術によってクライアント２６からＷＥＢサーバー２７に通信電文を送信する場合、クライアント２６では（from:xxx to:yyy＋電文内容）というような通信電文を発信する。
【００１８】
この通信電文は、ファイアウォール２３ａにおいて、ファイアウォール２３ａ，２３ｂのグローバルＩＰアドレスを付与され、（from:aaa to:bbb（from:xxx to:yyy＋電文内容））という通信電文に変換される。
【００１９】
この通信電文は、送信側と受信側のＩＰアドレスとしてグローバルＩＰアドレスであるａａａとｂｂｂを使用するので、問題なくインターネットを通してファイアウォール２３ｂに送られる。ファイアウォール２３ｂでは、再びＶＰＮ・ＮＡＴ技術により通信電文が（from:aaa to:bbb（from:xxx to:yyy＋電文内容））から（from:xxx to:yyy＋電文内容）に変換される。
【００２０】
変換された通信電文（from:xxx to:yyy＋電文内容）は、プライベートＩＰアドレスｙｙｙのＷＥＢサーバー２７に送られることになる。ＷＥＢサーバー２７では、上記通信電文の内容に従って処理することができる。
【００２１】
ＶＰＮ・ＮＡＴ技術によれば、送信側コンピューターは、受信側コンピュータがインターネットによって隔てられていることを意識することなく、相手のプライベートＩＰアドレスによって通信電文を送ることができることになり、インターネットによって隔てられているネットワークのコンピューターに対してあたかも専用線で接続されたように通信できるようになる。
【００２２】
【発明が解決しようとする課題】
▲１▼ しかし、上記従来のＶＰＮ・ＮＡＴ技術によるインターネット環境下の異ネットワーク間通信は、ネットワークのセキュリティ上問題があった。
【００２３】
すなわち、ＶＰＮ・ＮＡＴ技術は、互いに通信することを認めあったネットワーク間では、あたかも専用線のように通信を許可することになるが、このように接続されたネットワークが多数個に上る場合、いずれか一つのネットワークのセキュリティが破られると、そのネットワークを通じて結局自らのネットワークのセキュリティが破られるようになる。
【００２４】
つまり、ＶＰＮ・ＮＡＴ技術によって接続されたネットワーク群の内部では不正なアクセスを防止することができないのである。このことは、多数のネットワークを接続する必要がある現状ではＶＰＮ・ＮＡＴ技術の大きな欠点となっている。
【００２５】
そこで、本発明が解決しようとする一つの課題は、ＶＰＮ・ＮＡＴ技術のようにネットワーク間でシームレスな接続を実現しつつ、ネットワーク間のセキュリティを維持するネットワーク接続管理システムを提供することにある。
【００２６】
▲２▼ 次に、従来はインターネットやネットワーク間のファイアウォールを介して接続された複数のネットワークの全体に対してシステムの運用管理を行うシステムが存在していなかった。
【００２７】
ＶＰＮ・ＮＡＴによる技術は、他のネットワーク内のホストに対してあたかも専用線で接続されたような通信を可能にする技術であって、それ自体ではシステム全体の運用管理を行うことができなかった。
【００２８】
特に、接続されたネットワーク内のコンピューターがそれぞれWindowsマシンとUNIXマシンのように、異なるＯＳによって管理されているコンピューターの場合には、それらを一つの運用管理システムで管理することができなかった。
【００２９】
そこで、本発明が解決しようとするもう一つの課題は、インターネットやネットワーク間のファイアウォールを介して接続された複数のネットワーク群に対して、全体としてシステムの運用管理を行うネットワーク接続管理システムを提供することにある。
【００３０】
▲３▼ さらに、従来のネットワーク接続技術では、接続されたネットワーク群の内部で独立の特定の処理を行うコンピューター群を指定し、それらのコンピューター群に限って前記特定処理を行うことができなかった。
【００３１】
そこで、本発明が解決しようとするもう一つの課題は、接続されたネットワーク群の内部で独立の特定の処理を行うコンピューター群を指定し、それらのコンピューター群に限ってシームレスな接続を実現して特定の処理を行うネットワーク接続管理システムを提供することにある。
【００３２】
【課題を解決するための手段】
本願請求項１に係るネットワーク接続管理システムは、
ファイアウォールを介して接続された２以上のネットワークのそれぞれにセキュアコネクション装置を設け、隣接するネットワークのセキュアコネクション装置の間にはファイアウォールを通過可能なポートを有するように構成し、
前記セキュアコネクション装置は、
通信電文を送信側及び受信側プライベートＩＰアドレスを含めてパケットのデータ部に変換し、あるいはその逆にパケットから通信電文への変換を行う通信データ変換手段と、
前記パケットのＩＰヘッダに隣接のセキュアコネクション装置のＩＰヘッダを付すＩＰアドレス変換手段と、
前記通信電文中の受信側プライベートＩＰアドレスが指すサーバーの正当性、および、要求しているプログラムの正当性をチェックし、正常な通信電文である場合に受信側のコンピューターに通信電文を送信するフィルタリング手段と、を有し、
前記ファイアウォールを介して接続された２以上のネットワークは、ネットワーク全体のシステムリソース監視、ジョブスケジュール、ソフトウェア配布の少なくとも一つを含むシステムの運用管理を行う管理装置と、前記管理装置によって管理される複数のエージェントを有していることを特徴とするものである。
【００３３】
本願請求項２に係るネットワーク接続管理システムは、請求項１のネットワーク接続管理システムにおいて、
前記管理装置は、前記セキュアコネクション装置を通じてシステムの運用管理用の通信電文を前記エージェントとの間で交信することにより、インターネット環境下で物理的に離れた複数のネットワークに対してシステム運用管理を行うことを特徴とするものである。
【００３４】
本願請求項３に係るネットワーク接続管理システムは、請求項１または２のネットワーク接続管理システムにおいて、
前記セキュアコネクション装置は、パケットを暗号化し、あるいは復号化する暗号処理手段を有していることを特徴とするものである。
【００３５】
本願請求項４に係るネットワーク接続管理システムは、請求項１または２のネットワーク接続管理システムにおいて、
前記セキュアコネクション装置は、受信した通信電文が通信を予定されているセキュアコネクション装置からの通信電文であることを認証する認証手段を有していることを特徴とするものである。
【００３６】
本願請求項５に係るネットワーク接続管理システムは、請求項１または２のネットワーク接続管理システムにおいて、
前記セキュアコネクション装置は、メッセージダイジェスト方式により、通信電文に対する改竄の有無をチェックする改竄チェック手段を有していることを特徴とするものである。
【００３７】
【発明の実施の形態】
次に、本発明による「インターネット環境下のシームレスなネットワーク接続管理システム」の実施形態について図面を用いて以下に説明する。
【００３８】
図１に本発明の一実施形態によるネットワーク接続管理システムの構成を示す。
【００３９】
図１に示すように、この実施形態の例によるネットワーク接続管理システム１は、インターネット２を介して接続された二つのプライベートネットワーク群３，４を有している。
【００４０】
各プライベートネットワーク群３，４は、インターネット２との間にファイアウォール５を設けている。
【００４１】
プライベートネットワーク群３は、さらにファイアウォール５を介して接続された二つのネットワーク６，７を有している。一方、プライベートネットワーク群４は、同様にファイアウォール５を介して接続された二つのネットワーク８，９を有している。
【００４２】
ネットワーク６，７，８，９にはそれぞれ一つのセキュアコネクション装置１０が接続されている。セキュアコネクション装置１０の機能についてはさらに後述する。
【００４３】
また、ネットワーク７にはプライベートネットワーク群３，４全体のシステムの運用管理を行う管理装置１１が接続されている。
【００４４】
ここで、システムの運用管理とは、ネットワーク管理やユーザーアカウント管理などのように通常ＯＳが行う管理のほか、システムリソースの監視、ジョブスケジュール、ソフトウェアの配布など、総合的な使用状況の管理をいう。
【００４５】
管理装置１１によって多数のエージェントが管理されている。エージェントは、具体的には種々のサービスを提供するサーバーであり、図１に示すようにＷＥＢサーバーやメールサーバーやデータベースサーバー（図中ではＤＢサーバーと表示）やアプリケーションサーバー（図中ではＡＰＬサーバーと表示）などがある。
【００４６】
この他に、ネットワーク６，７，８，９には、図示しないコンピューターが直接あるいは間接的に（サーバーのクライアントとして）接続されている。
【００４７】
ネットワーク接続管理システム１によれば、一つのネットワーク内のコンピューターからから他のネットワークのコンピューターに送信する場合、送信側コンピューターからの通信電文は、最初にそのネットワークのセキュアコネクション装置１０に送られ、そのセキュアコネクション装置１０から隣接のネットワークのセキュアコネクション装置１０に送られ、そのネットワーク内に目的のコンピューターが無い場合には、さらに隣接のネットワークのセキュアコネクション装置１０に通信電文を受け渡してゆく。最終的に目的の受信側コンピュータが接続されているネットワークのセキュアコネクション装置１０に通信電文が到着すると、そこのセキュアコネクション装置１０によって受信側コンピューターに送信される。
【００４８】
すなわち、ネットワーク接続管理システム１によれば、送信側コンピューターはインターネットが介在するネットワークに対しても、グローバルＩＰアドレスを意識する必要が無く、受信側コンピューターのプライベートＩＰアドレスを記載するのみで、あたかも同一ネットワーク内にあるように目的のコンピューターに対して送信することができるのである。受信についても同様である。
【００４９】
上記通信電文の送受信について以下にさらに詳細に説明する。
【００５０】
図２は、上記シームレスなネットワーク接続を実現するためのセキュアコネクション装置１０の構成と処理の流れを示す。
【００５１】
なお、図２ではセキュアコネクション装置１０ａが送信側でセキュアコネクション装置１０ｂが受信側の場合の動作を示しているが、セキュアコネクション装置１０ｂが送信側でセキュアコネクション装置１０ａが受信側となる場合には、図２における通信電文の流れがセキュアコネクション装置１０ａと１０ｂの間で入れ替わることを理解されたい。
【００５２】
本実施形態のセキュアコネクション装置１０ａと１０ｂはそれぞれ、通信データ変換手段１２と、ＩＰアドレス変換手段１３と、フィルタリング手段１４と、暗号処理手段１５と、認証手段１６と、改竄チェック手段１７と、通信手段１８とを有している。
【００５３】
通信データ変換手段１２は、通信電文を送信側及び受信側プライベートＩＰアドレスを含めてパケットのデータ部に変換し、あるいはその逆にパケットから通信電文への変換を行う手段である。
【００５４】
ＩＰアドレス変換手段１３は、前記パケットのＩＰヘッダに隣接のセキュアコネクション装置のＩＰヘッダを付す手段である。
【００５５】
フィルタリング手段１４は、通信電文中の受信側プライベートＩＰアドレスが指すサーバーの正当性、あるいは要求しているプログラムの正当性をチェックし、正常な通信電文である場合に受信側のコンピューターに通信電文を送信する手段である。
【００５６】
暗号処理手段１５は、通信電文の暗号化あるいは復号化を行う手段である。
【００５７】
認証手段１６は、受信した通信電文が通信を予定されているセキュアコネクション装置からの通信電文であることを認証する手段である。
【００５８】
改竄チェック手段１７は、メッセージダイジェスト方式により、通信電文に対する改竄の有無をチェックする手段である。
【００５９】
なお、上記暗号処理手段１５、認証手段１６、改竄チェック手段１７は、セキュリティレベルを上げる場合に必要により付加するものであるので、システムの設計により適宜省略することができる。
【００６０】
図２において、点線は通信電文の流れを示している。
【００６１】
最初に、送信側セキュアコネクション装置１０ａが、そのネットワーク内の送信側コンピューターから通信電文を受信する。この通信電文には、あたかも同一ネットワーク内のように送信側コンピューターのプライベートＩＰアドレスと受信側コンピューターのプライベートＩＰアドレスが付けられている。
【００６２】
次に、上記通信電文は、通信データ変換手段１２により、その送信側および受信側ＩＰアドレスを含めてパケットのデータ部に変換される。
【００６３】
上記パケットに変換された通信電文は、次にＩＰアドレス変換手段１３により、ＩＰヘッダに隣接ネットワークのセキュアコネクション装置のグローバルＩＰアドレスを付される。
【００６４】
次に、上記ＩＰヘッダにグローバルＩＰアドレスを付されたパケットは、暗号処理手段１５により暗号化される。暗号化はインターネット上で通信電文の中身を第三者に見られないようにするためである。なお、暗号化・復号化は、任意の公知の暗号化技術を使用でき、たとえば送信側セキュアコネクション装置１０ａと受信側セキュアコネクション装置１０ｂで共通の秘密鍵を持つようにすることができる。
【００６５】
上記暗号化された通信電文は、送信側セキュアコネクション装置１０ａの通信手段１８からファイアウォール５やインターネット（図示せず）を介して受信側セキュアコネクション装置１０ｂに送信される。なお、送信側セキュアコネクション装置１０ａと受信側セキュアコネクション装置１０ｂの間では、予めファイアウォール５を通過することができるポートを割り当てられ、このポートを通じてＴＣＰ／ＩＰプロトコルにより通信できるように構成されている。
【００６６】
受信側セキュアコネクション装置１０ｂによって受信された通信電文のパケットは、受信側セキュアコネクション装置１０ｂの通信データ変換手段１２とＩＰアドレス変換手段１３によりネットワーク内で使用する通信電文に変換される。
【００６７】
この通信電文は、暗号処理手段１５により復号化される。次に、認証手段１６によって送信側のセキュアコネクション装置が通信を予定しているセキュアコネクション装置か否かをチェックされる。
【００６８】
さらに、通信を予定しているセキュアコネクション装置からの送信であっても、第三者がそのセキュアコネクション装置になりすましている可能性あるいは改竄を行った可能性を排除するために、認証された通信電文は改竄チェック手段１７によってチェックされる。
【００６９】
改竄チェック手段１７による改竄のチェックは、たとえば、一定のアルゴリズムによって時間とともに変化するデータを通信電文に含ませて、メッセージダイジェスト化する方法をとることによって実現することができる。
【００７０】
上述した認証と改竄チェックを経た通信電文は、さらにフィルタリング手段１４により、受信側プライベートＩＰアドレスが指すサーバー（受信側コンピューター）の正当性、あるいは要求しているプログラムの正当性をチェックされる。
【００７１】
受信側プライベートＩＰアドレスが指すサーバーの正当性がチェックされることにより、また、通信電文が要求している処理を示すプログラム種別の正当性がチェックされることにより、限定されたサーバーと、限定された処理に対する通信電文のみがフィルタリング手段１４を通過できるようになる。
【００７２】
フィルタリング手段１４を通過した通信電文は、そのネットワーク内の該当するサーバー（受信側コンピューター）に送信され、処理される。
【００７３】
このとき、受信側セキュアコネクション装置１０ｂのネットワーク内に該当するサーバーがない場合には、この通信電文は、受信側セキュアコネクション装置１０ｂにより、さらに隣接のネットワークのセキュアコネクション装置に転送される。このように転送を繰り返すことにより、最終的に目的の受信側コンピューターに通信電文が送信される。
【００７４】
以上が本実施形態のネットワーク接続管理システム１によるネットワーク接続のメカニズムであったが、このメカニズムを利用することにより種々の効果を奏するネットワーク接続管理システムを実現することができる。
【００７５】
上述したことから明らかなように、本実施形態のネットワーク接続管理システム１によれば、プライベートネットワーク内のコンピューターが他のプライベートネットワーク内のコンピューターに通信電文を送信する場合に、送信側コンピュータはインターネットを経由する場合のグローバルＩＰアドレスを意識する必要が無く、受信側コンピューターのプライベートＩＰアドレスを記載すればよい。なぜなら、インターネットを経由する場合には、必要に応じてセキュアコネクション装置１０のＩＰアドレス変換手段１３によって必要なグローバルＩＰアドレスが付されるからである。
【００７６】
これにより、ＶＰＮ・ＮＡＴと同等のインターネット環境下の異ネットワーク間のシームレスな接続を実現することができる。
【００７７】
その一方で、本実施形態のネットワーク接続管理システムによれば、セキュアコネクション装置１０において、通信を許されたセキュアコネクション装置からの送信であるか（認証手段１６の作用）、通信電文に改竄が行われたか否か（改竄チェック手段１７の作用）、正当なサーバーに対する正当な処理要求であるか否か（フィルタリング手段１４の作用）をチェックする。
【００７８】
これにより、ＶＰＮ・ＮＡＴでは実現することができない接続ネットワーク間のセキュリティを実現することができる。ＶＰＮ・ＮＡＴでは、予め接続することを約束したネットワーク間では、専用線のように互いにアクセスすることができるので、接続ネットワークの一つにすでに侵入した不正なユーザーのアクセスや、接続ネットワークからの不正なアクセスを防止することができない。これに対して、本発明のネットワーク接続管理システムによれば、各ネットワーク間でセキュアコネクション装置１０で集中的に上述したようなチェックを行えるようになり、接続を約束したプライベートネットワーク群の内部でもネットワーク間でセキュリティを実現することができるのである。
【００７９】
また、本発明のネットワーク接続管理システムによれば、フィルタリング手段により正当なサーバーに対する正当な処理要求のみを当該サーバーに送信するようにすることができる。
【００８０】
これにより、接続されたプライベートネットワーク群の中で、特定の処理を行う特定のサーバーを指定して独立の特定処理システムを一つまたは複数確立することができる。
【００８１】
これにより、たとえば、同一の接続されたプライベートネットワーク群の中で、特定の種類の情報や処理を提供するサーバーが指定され、当該サーバーのクライアントのみがその情報や処理の提供を受けることかできるというように、同一の接続されたプライベートネットワーク群内で、複数の独立した処理システムを独立的にかつ重畳的に有することができる。
【００８２】
図１に示したプライベートネットワーク群３，４の運用管理システムは、上記特定処理を行うシステムの一例ということができる。
【００８３】
このプライベートネットワーク群３，４の運用管理システムでは、管理装置１１とそのエージェント（ＷＥＢサーバー、メールサーバー等）がこの運用管理システムを構成するコンピューターとなる。
【００８４】
この運用管理システム内では、管理装置１１が各エージェントに対してシステムリソースを監視し、ジョブのスケジューリングを行い、適宜プログラムの更新等を行う。管理装置１１は各エージェントに対して、各エージェントの処理状況の報告を要求する通信電文を送り、それに対して各エージェントは自らの処理状況を通信電文によって送信する。各エージェントから処理状況の報告を受けた管理装置１１は、各エージェントに対して処理すべきジョブを指示し、各エージェント間のジョブのスケジューリングを行うことができる。
【００８５】
この運用管理システムによれば、インターネットを介して接続された物理的に隔離された複数のネットワーク群に対して、従来不可能であった本明細書にいう「システムの運用管理」を行うことができるようになるのである。
【００８６】
【発明の効果】
以上の説明から明らかなように、本発明のネットワーク接続管理システムによれば、セキュアコネクション装置の作用により、ＶＰＮ・ＮＡＴ技術のようにインターネットを経由することを意識することなく、インターネット環境下で接続されたプライベートネットワーク間で専用線のような通信を可能とするのと同時に、接続されたネットワーク間で通信電文の正当性をチェック可能とし、ネットワーク間のセキュリティを維持しつつシームレスな接続を実現することができる。
【００８７】
また、本発明のネットワーク接続管理システムをシステムの運用管理に使用することにより、インターネットを介して接続された物理的に離れたネットワーク群に対して、ネットワーク全体のシステムリソースの監視、ジョブスケジューリング、ソフトウェアの配布更新等を含むシステムの運用管理を行うことが可能となる。
【００８８】
さらに、インターネットを介して接続されたネットワーク群の中で、特定のコンピューターに特定の処理を割り当てることにより、前記ネットワーク群の中で独立の処理システムを有することができるようになる。
【図面の簡単な説明】
【図１】本発明の一実施態様によるネットワーク接続管理システムの構成を示した図。
【図２】本発明におけるセキュアコネクション装置の内部の構成とその処理の流れを示したブロック図。
【図３】従来のＶＰＮ・ＮＡＴ技術を説明するための図。
【符号の説明】
１ ネットワーク接続管理システム
２ インターネット
３ プライベートネットワーク群
４ プライベートネットワーク群
５ ファイアウォール
６ ネットワーク
７ ネットワーク
８ ネットワーク
９ ネットワーク
１０ セキュアコネクション装置
１１ 管理装置
１２ 通信データ変換手段
１３ ＩＰアドレス変換手段
１４ フィルタリング手段
１５ 暗号処理手段
１６ 認証手段
１７ 改竄チェック手段
１８ 通信手段

Claims (5)

1. ファイアウォールを介して接続された２以上のネットワークのそれぞれにセキュアコネクション装置を設け、隣接するネットワークのセキュアコネクション装置の間にはファイアウォールを通過可能なポートを有するように構成し、
   前記セキュアコネクション装置は、
   送信側及び受信側プライベートＩＰアドレスを含む通信電文をパケットのデータ部に変換し、あるいはその逆にパケットから通信電文への変換を行う通信データ変換手段と、
   前記パケットのＩＰヘッダに隣接のセキュアコネクション装置のＩＰヘッダを付すＩＰアドレス変換手段と、
   前記通信電文中の受信側プライベートＩＰアドレスが指すサーバーの正当性、および、要求しているプログラムの正当性をチェックし、正常な通信電文である場合に受信側のコンピューターに通信電文を送信するフィルタリング手段と、を有し、
   前記ファイアウォールを介して接続された２以上のネットワークは、ネットワーク全体のシステムリソース監視、ジョブスケジュール、ソフトウェア配布の少なくとも一つを含むシステムの運用管理を行う管理装置と、前記管理装置によって管理される複数のエージェントを有していることを特徴とするネットワーク接続管理システム。
2. 前記管理装置は、前記セキュアコネクション装置を通じてシステムの運用管理用の通信電文を前記エージェントとの間で交信することにより、インターネット環境下で物理的に離れた複数のネットワークに対してシステム運用管理を行うことを特徴とする請求項１に記載のネットワーク接続管理システム。
3. 前記セキュアコネクション装置は、パケットを暗号化し、あるいは復号化する暗号処理手段を有していることを特徴とする請求項１または２に記載のネットワーク接続管理システム。
4. 前記セキュアコネクション装置は、受信した通信電文が通信を予定されているセキュアコネクション装置からの通信電文であることを認証する認証手段を有していることを特徴とする請求項１または２に記載のネットワーク接続管理システム。
5. 前記セキュアコネクション装置は、メッセージダイジェスト方式により、通信電文に対する改竄の有無をチェックする改竄チェック手段を有していることを特徴とする請求項１または２に記載のネットワーク接続管理システム。

Images