JP4980882B2 - 接続支援装置 - Google Patents

Description

本発明は、接続支援装置に係り、特にユーザ端末から接続（リモートアクセス）されるゲートウェイ装置とユーザ端末との接続を支援する接続支援装置に関する。

近年、ユーザがインターネット等のネットワークを経由して、ＬＡＮ（Local Area Network）等の家庭内ネットワークや企業内ネットワークのゲートウェイ装置に接続し、デジタル家電機器などの機器を制御する図１のようなリモートアクセスシステムが知られている。

例えばインターネット上でのセキュアなリモートアクセスシステムの一例としてはＶＰＮ（Virtual Private Network）がある。ＶＰＮとは、リモートアクセスを行なうユーザ端末（クライアント）と、そのユーザ端末からの接続を受けるゲートウェイ装置（サーバ）との間を流れるデータを暗号化することによって、ユーザ端末とゲートウェイ装置との間で送受信されるデータを第三者が盗聴できないようにする技術である。

従来、リモートアクセスに関する文献としては、以下の特許文献１〜２、非特許文献１〜３が知られている。
特開２００２−１３５８６７号公報 特開２００４−２６６５６２号公報 ＲＦＣ２６３７ ＰＰＴＰ（Point to Point Tunneling Protocol） ＲＦＣ２４０９ Ｔｈｅ Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ（IKE） ＲＦＣ２２４６ Ｔｈｅ ＴＬＳ Ｐｒｏｔｏｃｏｌ Ｖｅｒｓｉｏｎ １．０

上記の文献に記載されているように、遠隔にある機器へリモートアクセスを行なう技術は従来から知られている。しかしながら、従来のリモートアクセスシステムではユーザ端末とゲートウェイ装置とが一対一となるケースがほとんどである。

従って、ゲートウェイ装置の数が増加すると、ユーザ端末は接続するゲートウェイ装置の数だけ接続情報やユーザのセキュリティ情報などを保持する必要があるため、情報の管理が煩雑になってしまうという問題があった。

また、図２に示すように、ＳＳＬ（Secure Sockets Layer）によって暗号化を行うＶＰＮ（SSL-VPN）などのケースにおいては、ゲートウェイ装置がユーザ端末の接続するポートを常に開放しておく必要があるため、ＤｏＳ攻撃（Denial of Service Attack）などにさらされる危険性や、不正ユーザにリモートアクセスされてしまう可能性があるという問題があった。

本発明は、上記の点に鑑みなされたもので、情報の管理が容易であり、簡易かつセキュアにユーザ端末からゲートウェイ装置に対するリモートアクセスが可能である接続支援装置を提供することを目的とする。

上記課題を解決するため、本発明の接続支援装置は、１つのユーザの識別子と複数のゲートウェイ装置の識別子との対応関係と、該複数のゲートウェイ装置の識別子の各々と該各ゲートウェイ装置のアドレスとの対応関係と、を記憶する記憶部と、認証したユーザの識別子に対応付けられた複数のゲートウェイ装置の識別子を前記記憶部から得て、得た複数のゲートウェイ装置の識別子を該認証したユーザの端末に送信する第１送信手段と、前記端末で該複数のゲートウェイ装置の識別子のうち、１つのゲートウェイ装置の識別子が選択された場合に、該１つのゲートウェイ装置の識別子に対応付けられたゲートウェイ装置のアドレスを前記記憶部から得て、前記記憶部に前記端末が使用しているポートであるとして記憶されるポート番号を含むメッセージを、得たゲートウェイ装置のアドレス宛に送信する第２送信手段と、前記ポート番号のポートが開かれた前記ゲートウェイ装置から応答を受信する受信手段と、を含み、前記第１送信手段が、前記応答を受信した場合に、選択された前記ゲートウェイ装置の識別子に対応付けられて前記記憶手段に記憶されたゲートウェイ装置のアドレスと、前記ポート番号と、を含むメッセージを前記端末に送信する、ことを特徴とする。

本発明では、ユーザ端末がゲートウェイ装置に接続する為の支援を行なう接続支援装置を導入している。接続支援装置は、認証が成功したユーザ端末からの接続を許可するように、ゲートウェイ装置に対して制御を行なうことで、簡易かつセキュアにユーザ端末からゲートウェイ装置に対するリモートアクセスを可能とする。

また、接続支援装置は認証が成功したユーザ端末に対して、ゲートウェイ装置に接続する為の接続情報を提供することで、情報の管理を容易としている。

本発明によれば、情報の管理が容易であり、簡易かつセキュアにユーザ端末からゲートウェイ装置に対するリモートアクセスが可能な接続支援装置を提供できる。

従来のリモートアクセスシステムを示す一例の構成図である。 従来のリモートアクセスシステムを示す他の一例の構成図である。 本発明によるリモートアクセスシステムの一例の概略図である。 本発明によるリモートアクセスシステムの一例の構成図である。 接続支援装置が管理するユーザ認証データベースの一例のイメージ図である。 接続支援装置が管理するユーザ接続先アドレス管理データベースの一例のイメージ図である。 接続支援装置が管理するゲートウェイ装置アドレス管理データベースの一例のイメージ図である。 接続支援装置が管理するユーザセッション管理データベースの一例のイメージ図である。 ユーザ端末個体ＩＤを利用するリモートアクセスシステムの一例の概略図である。 暗号化された通信路の一例の構成図である。 乱数を利用するリモートアクセスシステムの一例の概略図である。 接続支援装置にて行なうゲートウェイ装置アドレス管理処理の一例の説明図である。 端末種別判定なしの場合の接続支援装置の処理を表す一例のシーケンス図である。 端末種別判定ありの場合の接続支援装置の処理を表す一例のシーケンス図である。 端末種別管理データベースの一例の構成図である。 端末種別判定あり且つユーザ端末個体ＩＤを付与するの場合の接続支援装置の処理を表す一例のシーケンス図である。 端末種別判定あり且つ乱数を付与するの場合の接続支援装置の処理を表す一例のシーケンス図である。 セッション終了の場合の接続支援装置の処理を表す一例のシーケンス図である。 本発明によるリモートアクセスシステムを示す第１実施例の構成図である。 ユーザ認証メッセージの一例の構成図である。 ファイアウォール制御メッセージの一例の構成図である。 ファイアウォール制御応答メッセージの一例の構成図である。 応答メッセージの一例の構成図である。 リダイレクトメッセージの一例の構成図である。 本発明によるリモートアクセスシステムのユーザログアウト処理を示す説明図である。 本発明によるリモートアクセスシステムを示す第２実施例の構成図である。 本発明によるリモートアクセスシステムを示す第３実施例の構成図である。 ファイアウォール制御メッセージの一例の構成図である。 本発明によるリモートアクセスシステムを示す第４実施例の構成図である。 セッション開始の場合の接続支援装置の処理を表す一例のシーケンス図である。 セッション終了の場合の接続支援装置の処理を表す一例のシーケンス図である。 セッション終了通知メッセージの一例の構成図である。 セッション終了応答メッセージの一例の構成図である。 本発明によるリモートアクセスシステムを示す第５実施例の構成図である。 乱数を利用するリモートアクセスシステムの全体シーケンスである。 乱数を利用するリモートアクセスシステムの全体シーケンスである。 乱数を利用するリモートアクセスシステムの全体シーケンスである。

符号の説明

１ 接続支援装置
２，２ａ，２ｂ ゲートウェイ装置
３ ユーザ端末
４ 携帯電話ＩＰゲートウェイ
１１ ユーザ要求受付機能
１２ ユーザ認容機能
１３ ユーザ接続先管理機能
１４ ファイアウォール制御機能
１５ ユーザ−ゲートウェイ装置セッション管理機能
２１ ファイアウォール設定機能
２２ ユーザ要求受付機能
２３ａ，２３ｂ ＩＰアドレス取得機能
２４ Ｗｅｂアプリケーション
２５ ＩＰフィルタ
２６ ＩＤフィルタ
２７ 乱数フィルタ

図３は、本発明によるリモートアクセスシステムの一例の概略図である。図３のリモートアクセスシステムは、接続支援装置１，ゲートウェイ装置２，ユーザ端末３が所定のネットワークを介して接続された構成である。

接続支援装置１は、ユーザ端末３がゲートウェイ装置２に接続する為の支援を行なう装置である。ステップＳ１では、ユーザ端末３が、ユーザ認証情報を接続支援装置１に送信する。接続支援装置１は、受信したユーザ認証情報を利用して認証を行なう。

認証が成功すると、接続支援装置１はステップＳ２に進み、ユーザ端末３からの接続を許可するように、ゲートウェイ装置２に対して制御の要求を行なう。ゲートウェイ装置２は、接続支援装置１からの制御の要求に応じて、ユーザ端末３に接続許可を与える。ステップＳ３に進み、ゲートウェイ装置２は制御の要求に対する応答を接続支援装置１に対して行なう。

ステップＳ４に進み、接続支援装置１はゲートウェイ装置２に接続する為の接続情報をユーザ端末３に提供する。ステップＳ５に進み、ユーザ端末３は提供された接続情報を利用してゲートウェイ装置２に接続の要求を行なう。ゲートウェイ装置２は、ユーザ端末３に接続許可を与えているため、ユーザ端末３からの接続を許可する。

図３のリモートアクセスシステムでは、認証が成功したユーザ端末３からの接続を許可するように、接続支援装置１がゲートウェイ装置２に対して制御を行なうことができる。したがって、図３のリモートアクセスシステムでは、認証が成功した後でユーザ端末３からの接続を許可するように、接続支援装置１がゲートウェイ装置２に対して制御を行なうことで、簡易かつセキュアにユーザ端末３からゲートウェイ装置２に対するリモートアクセスを可能としている。

また、図３のリモートアクセスシステムでは、接続支援装置１から認証が成功したユーザ端末３に対して、ゲートウェイ装置２に接続する為の接続情報を提供することができる。したがって、図３のリモートアクセスシステムでは、ゲートウェイ装置２に接続する為の接続情報を接続支援装置１で管理している為、ゲートウェイ装置２の数が増加したとしても、情報の管理が容易である。

更に、本発明によるリモートアクセスシステムについて説明する。図４は、本発明によるリモートアクセスシステムの一例の構成図である。図４では、接続支援装置１及びゲートウェイ装置２の機能ブロックと、接続支援装置１，ゲートウェイ装置２及びユーザ端末３間のインターフェースを示している。

接続支援装置１は、ユーザ要求受付機能１１，ユーザ認証機能１２，ユーザ接続先管理機能１３，ファイアウォール制御機能１４，ユーザ−ゲートウェイ装置セッション管理機能１５を含む構成である。ユーザ要求受付機能１１は、ユーザ端末３からの要求を受け付ける。ユーザ認証機能１２は、ユーザの認証を行なう。ユーザ接続先管理機能１３は、ユーザ端末３の接続先のアドレス情報を管理する。

ファイアウォール制御機能１４は、ユーザ端末３をゲートウェイ装置２に接続する為に、ゲートウェイ装置２のファイアウォール制御を行なう。ユーザ−ゲートウェイ装置セッション管理機能１５は、ゲートウェイ装置２とユーザ端末３との間のセッションを管理する。

ゲートウェイ装置２は、ファイアウォール設定機能２１，ユーザ要求受付機能２２を含む構成である。ファイアウォール設定機能２１は、接続支援装置１からの要求に応じてファイアウォール設定を行なう。ユーザ要求受付機能２２は、ユーザ端末３からの要求を受け付ける。

ゲートウェイ装置２及びユーザ端末３間は、接続支援装置１を介するインターフェースと、直接接続を行なうインターフェースとが存在している。接続支援装置１は図５に示すようなデータベースを有している。

図５は、接続支援装置が管理するデータベースの一例のイメージ図である。図５（ａ）は、ユーザ認証データベースを示している。図５（ｂ）は、ユーザ接続先アドレス管理データベースを示している。図５（ｃ）は、ゲートウェイ装置アドレス管理データベースを示している。また、図５（ｄ）はユーザセッション管理データベースを示している。

図５（ａ）のユーザ認証データベースは、ユーザＩＤとユーザ認証情報とを関連付けて管理するものである。図５（ｂ）のユーザ接続先アドレス管理データベースは、ユーザＩＤと、ゲートウェイ装置２の識別子であるＨＧＷ識別子と、ユーザ端末３の接続先アドレスとを関連付けて管理するものである。図５（ｃ）のゲートウェイ装置アドレス管理データベースは、ＨＧＷ識別子と、ゲートウェイ装置２のＩＰアドレス（ＨＧＷ ＩＰアドレス）とを関連付けて管理するものである。

図５（ｄ）のユーザセッション管理データベースは、ユーザＩＤと、ＨＧＷ識別子と、ユーザ端末３が接続しているポートを表すアプリケーションポート番号とを関連付けて管理するものである。なお、ポートはユーザ端末３が接続しているアプリケーションを識別する為の識別子である。

図６は、ユーザ端末個体ＩＤを利用するリモートアクセスシステムの一例の概略図である。ステップＳ１１では、ユーザ端末３がユーザ認証情報およびユーザ端末個体ＩＤを接続支援装置１に送信する。

認証が成功すると、接続支援装置１はステップＳ１２に進み、ユーザ端末３からの接続を許可するように、ユーザ端末個体ＩＤを含むファイアウォール制御信号をゲートウェイ装置２に送信する。例えばユーザ端末個体ＩＤは、ユーザ端末３から送信されるＨＴＴＰメッセージ内のユーザエージェント（User Agent）値に含まれる情報を用いることができる。

ゲートウェイ装置２は、ファイアウォール制御信号に応じてユーザ端末３に接続許可を与える為の設定を行なう。ステップＳ１３に進み、ゲートウェイ装置２はファイアウォール制御信号に対する応答を接続支援装置１に対して行なう。ステップＳ１４に進み、接続支援装置１はゲートウェイ装置２に接続する為のゲートウェイ装置接続情報を含むメッセージをユーザ端末３に送信する。

接続支援装置１からゲートウェイ装置接続情報を含むメッセージを受信するとステップＳ１５に進み、ユーザ端末３はゲートウェイ装置２に直接、ユーザ端末個体ＩＤを含むＨＴＴＰメッセージを送信する。ゲートウェイ装置２は、ステップＳ１２において接続支援装置１から受信したユーザ端末個体ＩＤと、ステップＳ１５においてユーザ端末３から受信したユーザ端末個体ＩＤとを照合することで、正規のユーザが正規のユーザ端末３を利用して接続してきたことを認証できる。

本発明によるリモートアクセスシステムでは、ユーザ端末個体ＩＤをユーザ個体ＩＤに置き換えた場合や、ユーザ端末個体ＩＤ及びユーザ個体ＩＤの両方によって認証を行なうようなケースにおいても適用可能である。ユーザ個体ＩＤは、ユーザ端末３への装着型メモリ等で構成されているようなケースを想定している。ユーザ個体ＩＤによって認証を行なう場合、本発明によるリモートアクセスシステムは装着型メモリを利用できる様々な端末に適用可能である。

なお、実際の通信においては、ユーザ端末個体ＩＤ，ユーザ個体ＩＤが平文でインターネット上を流れると、ユーザプライバシ漏洩の危険性がある。そこで、本発明によるリモートアクセスシステムは、単一事業者内のネットワーク又は暗号化された通信路上での適用を想定している。

例えばＨＴＴＰＳ（Hypertext Transfer Protocol Security）にて通信を行なうような場合、ユーザ端末３はＨＴＴＰＳヘッダのユーザエージェント値にユーザ端末個体ＩＤ，ユーザ個体ＩＤを含ませることにより、ユーザ端末個体ＩＤ，ユーザ個体ＩＤを暗号化して接続支援装置１やゲートウェイ装置２に送信可能となる。

図７は、暗号化された通信路の一例の構成図である。例えばユーザ端末３は、Ｗｅｂブラウザのユーザエージェントにユーザ端末個体ＩＤ，ユーザ個体ＩＤを含ませることにより、ＨＴＴＰＳにて接続支援装置１とゲートウェイ装置２とにユーザ端末個体ＩＤ，ユーザ個体ＩＤを送信することが可能となる。さらに、接続支援装置１及びゲートウェイ装置２間で送信されるファイアウォール制御信号は、ＳＳＬやＩＰｓｅｃにより暗号化することができる。

図８は、乱数を利用するリモートアクセスシステムの一例の概略図である。ステップＳ２１では、ユーザ端末３がユーザ認証情報を接続支援装置１に送信する。認証が成功すると、接続支援装置１は一意な乱数を発行する。乱数は、セキュリティ保護上、３２ビットのランダムな二進文字列など、容易に特定されないような方法に基づいて発行される必要がある。ステップＳ２２に進み、接続支援装置１は乱数を含むファイアウォール制御信号をゲートウェイ装置２に送信する。

ゲートウェイ装置２は、ファイアウォール制御信号に応じてユーザ端末３に接続許可を与える為の設定を行なう。ステップＳ２３に進み、ゲートウェイ装置２はファイアウォール制御信号に対する応答を接続支援装置１に対して行なう。ステップＳ２４に進み、接続支援装置１は乱数を含むゲートウェイ装置接続情報をユーザ端末３に送信する。

接続支援装置１から乱数を含むゲートウェイ装置接続情報を受信するとステップＳ２５に進み、ユーザ端末３はゲートウェイ装置２に直接、乱数を含むＨＴＴＰメッセージを送信する。ゲートウェイ装置２は、ステップＳ２２において接続支援装置１から受信した乱数と、ステップＳ２５においてユーザ端末３から受信した乱数とを照合することで、正規のユーザが正規のユーザ端末３を利用して接続してきたことを認証できる。乱数を利用するリモートアクセスシステムは、ユーザ端末３の端末種別に依存しない為、ユーザ端末個体ＩＤが付与されていない様々な端末に適用可能である。

なお、実際の通信においては、前述したユーザ端末個体ＩＤを利用するリモートアクセスシステムと同様、ＳＳＬやＩＰｓｅｃにより暗号化された通信路を利用して送信することにより、秘匿性を維持できる。本発明によるリモートアクセスシステムは、用途に応じてユーザ端末個体ＩＤ又は乱数を利用する二通りの接続支援が可能である。

本発明によるリモートアクセスシステムでは、リモートアクセスサービス事業者が接続支援装置１を保有し、インターネット等のネットワークを経由して接続される家庭内ネットワークや企業内ネットワーク等にゲートウェイ装置２が配置されるようなケースを想定している。

現状において、多くの家庭に割り当てられているＩＰｖ４アドレスは固定的な値でなく、ＩＳＰ（Internet Service Provider）が動的に割り当てるケースが大半となっている。

図９は、接続支援装置にて行なうゲートウェイ装置アドレス管理処理の一例の説明図である。図９のリモートアクセスシステムは、接続支援装置１，ゲートウェイ装置２ａ，２ｂ，ユーザ端末３が所定のネットワークを介して接続された構成である。

ゲートウェイ装置２ａ，２ｂは、ＩＰアドレス取得機能２３ａ，２３ｂを含む構成であり、ＩＰアドレスが新たに割り当てられた場合に、予め接続支援装置識別子および接続支援装置ＩＰアドレスが登録されている接続支援装置１に対して、変更されたＩＰアドレス（ＨＧＷ ＩＰアドレス）およびＨＧＷ識別子を接続支援装置１に送信する。

接続支援装置１は、ゲートウェイ装置２ａ，２ｂから受信したＩＰアドレスおよびＨＧＷ識別子に基づき、上記したゲートウェイ装置アドレス管理データベースを更新する。このように、ゲートウェイ装置２ａ，２ｂのＩＰアドレスが動的に割り当てられる場合であっても、接続支援装置１はゲートウェイ装置２ａ，２ｂのアドレス解決が可能となる。

次に、本発明によるリモートアクセスシステムの処理について、接続支援装置１の処理を中心に説明する。図１０は、端末種別判定なしの場合の接続支援装置の処理を表す一例のシーケンス図である。

ステップＳ３１では、ユーザ端末３がユーザ認証情報を接続支援装置１のユーザ要求受付機能１１に送信する。ユーザ要求受付機能１１は、ユーザ認証機能１２を利用して認証を行う。認証が成功すると、ユーザ要求受付機能１１はステップＳ３２に進み、ユーザ接続先管理機能１３に接続先リスト検索を要求する。

ステップＳ３３に進み、ユーザ接続先管理機能１３は、ユーザ接続先アドレス管理データベースを利用してユーザ端末３の接続先リストを検索し、その接続先リストを応答としてユーザ要求受付機能１１に送信する。また、ユーザ要求受付機能１１はステップＳ３４に進み、受信した接続先リストをユーザ端末３に送信する。

接続支援装置１から接続先リストを受信すると、ユーザ端末３は表示画面に接続先リストを表示する。ユーザは、ユーザ端末３を操作して接続先リストから１つのゲートウェイ装置２を選択する。ステップＳ３５に進み、ユーザ端末３はユーザにより選択された接続先を接続支援装置１のユーザ要求受付機能１１に送信する。

ステップＳ３６に進み、ユーザ要求受付機能１１はファイアウォール制御機能１４に対して接続先のゲートウェイ装置２を通知する。ファイアウォール制御機能１４は、ゲートウェイ装置アドレス管理データベースを利用してゲートウェイ装置２のＩＰアドレスを検索する。

ステップＳ３７に進み、ファイアウォール制御機能１４はゲートウェイ装置２のＩＰアドレスを利用してゲートウェイ装置２に制御の要求を行なう。ステップＳ３８に進み、ゲートウェイ装置２はユーザ端末３に接続許可を与えたあと、制御の要求に対応する応答を、接続支援装置１のファイアウォール制御機能１４に対して行なう。ステップＳ３９に進み、ユーザ−ゲートウェイ装置セッション管理機能１５はゲートウェイ装置２とユーザ端末３との間のセッションを、ユーザセッション管理データベースに登録して管理する。

ステップＳ４０に進み、ファイアウォール制御機能１４はユーザ接続先管理機能１３に対して応答を行なう。ユーザ接続先管理機能１３は、ユーザ接続先アドレス管理データベースを利用して接続先のアドレス情報（ゲートウェイ装置２の接続アドレス）を検索し、そのアドレス情報をユーザ要求受付機能１１に送信する。ステップＳ４２に進み、ユーザ要求受付機能１１は接続先のアドレス情報をゲートウェイ装置接続情報としてユーザ端末３に送信する。

ゲートウェイ装置接続情報を受信すると、ユーザ端末３はゲートウェイ装置接続情報を利用してゲートウェイ装置２に接続することができる。

図１１は、端末種別判定ありの場合の接続支援装置の処理を表す一例のシーケンス図である。なお、図１１のシーケンス図は一部を除いて図１０のシーケンス図と同様であるため、適宜説明を省略する。

ステップＳ５１〜Ｓ５５の処理は、図１０のステップＳ３１〜Ｓ３５と同様であるため、説明を省略する。ステップＳ５６に進み、ユーザ要求受付機能１１はファイアウォール制御機能１４に対して接続先のゲートウェイ装置２及びユーザ端末３の端末種別を通知する。なお、ユーザ要求受付機能１１はユーザ端末３の端末種別を抽出可能である。

ファイアウォール制御機能１４は、図１２のような端末種別管理データベースを有している。図１２は、端末種別管理データベースの一例の構成図である。図１２の端末種別管理データベースは、端末種別と、後述する携帯電話ＩＰゲートウェイ装置又はユーザ端末３のＩＰアドレスとが関連付けられて管理されている。

ファイアウォール制御機能１４は、端末種別管理データベースを利用して、携帯電話ＩＰゲートウェイ装置又はユーザ端末３のＩＰアドレスを検索する。また、ファイアウォール制御機能１４は、ゲートウェイ装置アドレス管理データベースを利用してゲートウェイ装置２のＩＰアドレスを検索する。

ステップＳ５７に進み、ファイアウォール制御機能１４はゲートウェイ装置２のＩＰアドレスを利用して、ユーザ端末３の端末種別に応じた制御の要求をゲートウェイ装置２に行なう。ステップＳ５８に進み、ゲートウェイ装置２はユーザ端末３に接続許可を与えたあと、制御の要求に対応する応答を、接続支援装置１のファイアウォール制御機能１４に対して行なう。ステップＳ５９に進み、ユーザ−ゲートウェイ装置セッション管理機能１５はゲートウェイ装置２と、携帯電話ＩＰゲートウェイ装置又はユーザ端末３との間のセッションを、ユーザセッション管理データベースに登録して管理する。

ステップＳ６０〜Ｓ６２の処理は、図１０のステップＳ４０〜Ｓ４２と同様であるため、説明を省略する。

図１３は、端末種別判定あり且つユーザ端末個体ＩＤを付与するの場合の接続支援装置の処理を表す一例のシーケンス図である。なお、図１３のシーケンス図は一部を除いて図１１のシーケンス図と同様であるため、適宜説明を省略する。

ステップＳ７１〜Ｓ７５の処理は、図１１のステップＳ５１〜Ｓ５５と同様であるため、説明を省略する。ステップＳ７６に進み、ユーザ要求受付機能１１はファイアウォール制御機能１４に対して接続先のゲートウェイ装置２，ユーザ端末３の端末種別およびユーザ端末個体ＩＤを通知する。なお、ユーザ要求受付機能１１はユーザ端末３の端末種別およびユーザ端末個体ＩＤを抽出可能である。

ファイアウォール制御機能１４は、図１２のような端末種別管理データベースを利用して携帯電話ＩＰゲートウェイ装置又はユーザ端末３のＩＰアドレスを検索する。また、ファイアウォール制御機能１４はゲートウェイ装置アドレス管理データベースを利用してゲートウェイ装置２のＩＰアドレスを検索する。

ステップＳ７７に進み、ファイアウォール制御機能１４はゲートウェイ装置２のＩＰアドレスを利用して、ユーザ端末３の端末種別に応じた制御の要求をゲートウェイ装置２に行なう。なお、ステップＳ７７ではユーザ端末個体ＩＤがゲートウェイ装置２に対して通知される。

ステップＳ７８〜Ｓ８２の処理は、図１１のステップＳ５８〜Ｓ６２と同様であるため、説明を省略する。

図１４は、端末種別判定あり且つ乱数を付与するの場合の接続支援装置の処理を表す一例のシーケンス図である。なお、図１４のシーケンス図は一部を除いて図１３のシーケンス図と同様であるため、適宜説明を省略する。

ステップＳ８５〜Ｓ８９の処理は、図１３のステップＳ７１〜Ｓ７５と同様であるため、説明を省略する。ステップＳ９０に進み、ユーザ要求受付機能１１はファイアウォール制御機能１４に対して接続先のゲートウェイ装置２，ユーザ端末３の端末種別および乱数を通知する。なお、ユーザ要求受付機能１１はユーザ端末３の端末種別を抽出可能である。また、ユーザ要求受付機能１１は一意な乱数を発行可能である。

ファイアウォール制御機能１４は、図１２のような端末種別管理データベースを利用して携帯電話ＩＰゲートウェイ装置又はユーザ端末３のＩＰアドレスを検索する。また、ファイアウォール制御機能１４はゲートウェイ装置アドレス管理データベースを利用してゲートウェイ装置２のＩＰアドレスを検索する。

ステップＳ９１に進み、ファイアウォール制御機能１４はゲートウェイ装置２のＩＰアドレスを利用して、ユーザ端末３の端末種別に応じた制御の要求をゲートウェイ装置２に行なう。なお、ステップＳ９１では乱数がゲートウェイ装置２に対して通知される。

ステップＳ９２〜Ｓ９５の処理は、図１３のステップＳ７８〜Ｓ８１と同様であるため、説明を省略する。ステップＳ９６に進み、ユーザ要求受付機能１１は接続先のアドレス情報および乱数をゲートウェイ装置接続情報としてユーザ端末３に送信する。

図１５は、セッション終了の場合の接続支援装置の処理を表す一例のシーケンス図である。ユーザ端末３から例えばログアウト要求があると、ゲートウェイ装置２はステップＳ９７に進み、接続支援装置１のユーザ−ゲートウェイ装置セッション管理機能１５にセッション終了を通知する。

セッション終了を通知されると、ユーザ−ゲートウェイ装置セッション管理機能１５はステップＳ９８に進み、ゲートウェイ装置２とユーザ端末３との間のセッションをユーザセッション管理データベースから削除する。そして、ステップＳ９９に進み、ユーザ−ゲートウェイ装置セッション管理機能１５はユーザ接続先管理機能１３に対して応答を行なう。

以下、本発明によるリモートアクセスシステムの実施例について、接続支援装置１とゲートウェイ装置２との連携により行なうファイアウォール制御を中心に説明していく。

図１６は、本発明によるリモートアクセスシステムを示す第１実施例の構成図である。実施例１のリモートアクセスシステムでは、ユーザ端末３がＩＰアドレスを保有している例を説明する。

ステップＳ１００に進み、ユーザ端末３は例えば図１７のユーザ認証メッセージを利用して、ベーシック（Basic）認証の為のユーザＩＤ，パスワード及びユーザ端末個体ＩＤを接続支援装置１に送信する。なお、ＳＳＬにより暗号化された通信路を利用して送信することにより、ユーザＩＤ，パスワード及びユーザ端末個体ＩＤは暗号化されて接続支援装置１に送信される。

認証が成功したあと、接続支援装置１は図５（ｂ）に示したユーザ接続先アドレス管理データベースを参照し、ユーザ端末３に接続先リストを通知するようにしてもよい。この場合、ユーザは接続先リストから１つのゲートウェイ装置２を選択可能である。

なお、ユーザ接続先アドレス管理データベースを参照した結果、ユーザＩＤに対応付けられているゲートウェイ装置２が１つである場合、ユーザ端末３に接続先リストを通知しないようにしてもよい。

ステップＳ１０１に進み、接続支援装置１は例えば図１８のファイアウォール制御メッセージを利用して、ファイアウォール制御信号をゲートウェイ装置２に送信する。なお、ＳＩＰＳ（Session Initiation Protocol Security）は暗号化が可能な通信プロトコルの一例である。

ゲートウェイ装置２は、ファイアウォール制御信号によって通知されたポート番号（ファイアウォール制御ポート番号）を開放する。例えばゲートウェイ装置２はＨＴＴＰＳ４４３番のポートを開放する。また、ゲートウェイ装置２はユーザ端末３のＩＰアドレスが透過するように、ＩＰフィルタ２５に対してファイアウォール透過設定を行なう。さらに、ゲートウェイ装置２はファイアウォール制御信号によって通知されたユーザ端末個体ＩＤが透過するように、ＩＤフィルタ２６に対してファイアウォール透過設定を行なう。

ステップＳ１０２に進み、ゲートウェイ装置２は例えば図１９のようなファイアウォール制御応答メッセージを接続支援装置１に送信する。なお、接続支援装置１はＳＩＰＳプロトコルによる一例のシーケンスを用いてＳＩＰＳ応答メッセージの受信に対する確認応答（ＡＣＫ）をゲートウェイ装置２に返答してもよい。

ステップＳ１０３に進み、接続支援装置１は例えば図２０の応答メッセージを利用して、ユーザ端末３がゲートウェイ装置２に接続する為の接続情報（ＵＲＬリンク情報）をユーザ端末３に通知する。

ＵＲＬリンク情報がユーザにより選択された場合、ユーザ端末３はステップＳ１０４に進み、接続支援装置１から通知されたＵＲＬリンク情報にユーザ端末個体ＩＤを付加して、ユーザ端末個体ＩＤを含むＨＴＴＰＳメッセージをゲートウェイ装置２に送信する。ゲートウェイ装置２に送信されたユーザ端末個体ＩＤを含むＨＴＴＰＳメッセージは、開放されたポート、ファイアウォール透過設定されたＩＰフィルタ２５及びＩＤフィルタ２６を透過し、Ｗｅｂアプリケーション２４に送信される。

即ち、ユーザ端末３はゲートウェイ装置２のＷｅｂアプリケーション２４と接続可能になる。なお、接続支援装置１は図２０に示す応答メッセージの代わりに、図２１に示すようなリダイレクトメッセージを用いることも可能である。図２１のようなリダイレクトメッセージを用いた場合、ユーザ端末３はゲートウェイ装置２を一度選択することによりゲートウェイ装置２に接続可能である。

図２２は、本発明によるリモートアクセスシステムのユーザログアウト処理を示す説明図である。ユーザがＷｅｂアプリケーション２４に対してログアウトを行った場合、ゲートウェイ装置２は開放していたポートを閉じる。例えばゲートウェイ装置２はＨＴＴＰＳ４４３番のポートを閉じる。

また、ゲートウェイ装置２はＩＰフィルタ２５およびＩＤフィルタ２６に対して行ったファイアウォール透過設定を解除する。そして、ゲートウェイ装置２は、ユーザ端末３とのセッション終了を接続支援装置１に通知する。

図２３は、本発明によるリモートアクセスシステムを示す第２実施例の構成図である。実施例２のリモートアクセスシステムでは、ユーザ端末３がＩＰアドレスを保有している例を説明する。

なお、図２３のリモートアクセスシステムの処理は図１６のリモートアクセスシステムの処理と一部を除いて同様であるため、適宜説明を省略する。ステップＳ１１０に進み、ユーザ端末３はユーザ認証メッセージを利用して、ベーシック認証の為のユーザＩＤ，パスワードを接続支援装置１に送信する。なお、実施例２で利用されるユーザ認証メッセージは、図１７のユーザ認証メッセージからユーザ端末個体ＩＤを除いたものとなる。

認証が成功したあと、接続支援装置１は一意な乱数を発行する。ステップＳ１１１に進み、接続支援装置１はファイアウォール制御メッセージを利用して、ファイアウォール制御信号をゲートウェイ装置２に送信する。なお、実施例２で利用されるファイアウォール制御メッセージは、図１８のファイアウォール制御メッセージのユーザ端末個体ＩＤを乱数に置き換えたものとなる。

ゲートウェイ装置２は、ファイアウォール制御信号によって通知されたポート番号を開放する。また、ゲートウェイ装置２はユーザ端末３のＩＰアドレスが透過するように、ＩＰフィルタ２５に対してファイアウォール透過設定を行なう。さらにゲートウェイ装置２は、ファイアウォール制御信号によって通知された乱数が透過するように、乱数フィルタ２７に対してファイアウォール透過設定を行なう。

ステップＳ１１２に進み、ゲートウェイ装置２は例えば図１９のようなファイアウォール制御応答メッセージを接続支援装置１に送信する。ステップＳ１１３に進み、接続支援装置１は応答メッセージを利用して、ユーザ端末３がゲートウェイ装置２に接続する為の接続情報（ＵＲＬリンク情報）をユーザ端末３に通知する。

なお、実施例２で利用される応答メッセージは、図２０の応答メッセージに含まれるＵＲＬの後ろに乱数を付加したものとなる。ステップＳ１１４に進み、ユーザ端末３は、接続支援装置１から通知されたＵＲＬリンク情報を含むＨＴＴＰＳメッセージをゲートウェイ装置２に送信する。

ゲートウェイ装置２に送信されたＵＲＬリンク情報を含むＨＴＴＰＳメッセージは、開放されたポート、ファイアウォール透過設定されたＩＰフィルタ２５及び乱数フィルタ２７を透過し、Ｗｅｂアプリケーション２４に送信される。

即ち、ユーザ端末３はゲートウェイ装置２のＷｅｂアプリケーション２４と接続可能になる。なお、接続支援装置１は応答メッセージの代わりに、リダイレクトメッセージを用いることも可能である。実施例２で利用されるリダイレクトメッセージは、図２１のリダイレクトメッセージのユーザ端末個体ＩＤを乱数に置き換えたものとなる。

ユーザがＷｅｂアプリケーション２４に対してログアウトを行った場合、ゲートウェイ装置２は開放していたポートを閉じる。また、ゲートウェイ装置２はＩＰフィルタ２５および乱数フィルタ２７に対して行ったファイアウォール透過設定を解除する。そして、ゲートウェイ装置２は、ユーザ端末３とのセッション終了を接続支援装置１に通知する。

図２４は、本発明によるリモートアクセスシステムを示す第３実施例の構成図である。実施例３のリモートアクセスシステムでは、ユーザ端末３がＩＰアドレスを保有していない、例えば携帯電話などである例を説明する。

ステップＳ１２０に進み、ユーザ端末３は例えば図１７のユーザ認証メッセージを利用して、ベーシック認証の為のユーザＩＤ及びパスワードと、ユーザ端末個体ＩＤおよび端末収容事業者名とを接続支援装置１に送信する。

接続支援装置１は、ユーザ認証メッセージのユーザエージェント値に含まれる端末収容事業者名を抽出する。接続支援装置１は、端末収容事業者名と携帯電話ＩＰゲートウェイ装置４の保有するＩＰアドレスとが対応付けられたアドレスリストを保持している。

認証が成功したあと、接続支援装置１はステップＳ１２１に進み、図２５のファイアウォール制御メッセージを利用して、ファイアウォール制御信号をゲートウェイ装置２に送信する。図２５のファイアウォール制御メッセージは、アドレスリスト及びユーザ端末個体ＩＤを含んでいる。

ゲートウェイ装置２は、ファイアウォール制御信号によって通知されたポート番号を開放する。また、ゲートウェイ装置２はアドレスリストに含まれる携帯電話ＩＰゲートウェイ装置４の保有する１つ以上のＩＰアドレスが透過するように、ＩＰフィルタ２５に対してファイアウォール透過設定を行なう。

さらに、ゲートウェイ装置２は、ファイアウォール制御信号によって通知されたユーザ端末個体ＩＤが透過するように、ＩＤフィルタ２６に対してファイアウォール透過設定を行なう。

ステップＳ１２２に進み、ゲートウェイ装置２は例えば図１９のようなファイアウォール制御応答メッセージを接続支援装置１に送信する。ステップＳ１２３に進み、接続支援装置１は例えば図２０の応答メッセージを利用して、ユーザ端末３がゲートウェイ装置２に接続する為のＵＲＬリンク情報をユーザ端末３に通知する。

ＵＲＬリンク情報がユーザにより選択された場合、ユーザ端末３はステップＳ１２４に進み、接続支援装置１から通知されたＵＲＬリンク情報にユーザ端末個体ＩＤを付加して、ユーザ端末個体ＩＤを含むＨＴＴＰＳメッセージをゲートウェイ装置２に送信する。なお、ユーザ端末３はＩＰアドレスを保有していないため、携帯電話ＩＰゲートウェイ装置４が保有するＩＰアドレスの１つを用いてゲートウェイ装置２に接続する。

そして、ゲートウェイ装置２に送信されたユーザ端末個体ＩＤを含むＨＴＴＰＳメッセージは、開放されたポート、ファイアウォール透過設定されたＩＰフィルタ２５及びＩＤフィルタ２６を透過し、Ｗｅｂアプリケーション２４に送信される。

即ち、ユーザ端末３は携帯電話ＩＰゲートウェイ装置４を介してゲートウェイ装置２のＷｅｂアプリケーション２４と接続可能になる。なお、接続支援装置１は図２０の応答メッセージの代わりに、図２１のリダイレクトメッセージを用いることも可能である。

ユーザがＷｅｂアプリケーション２４に対してログアウトを行った場合、ゲートウェイ装置２は開放していたポートを閉じる。また、ゲートウェイ装置２はＩＰフィルタ２５およびＩＤフィルタ２６に対して行ったファイアウォール透過設定を解除する。そして、ゲートウェイ装置２は、ユーザ端末３とのセッション終了を接続支援装置１に通知する。

なお、ゲートウェイ装置２はユーザ端末３が通信に用いているＩＰアドレスを確認すると、アドレスリストに含まれるユーザ端末３が通信に用いていないＩＰアドレスについてファイアウォール透過設定を解除する。

図２６は、本発明によるリモートアクセスシステムを示す第４実施例の構成図である。実施例４のリモートアクセスシステムでは、ユーザ端末３がＩＰアドレスを保有していない、例えば携帯電話などである例を説明する。

なお、図２４のリモートアクセスシステムの処理は図２３のリモートアクセスシステムの処理と一部を除いて同様であるため、適宜説明を省略する。ステップＳ１３０に進み、ユーザ端末３はユーザ認証メッセージを利用して、ベーシック認証の為のユーザＩＤ及びパスワードと、端末収容事業者名とを接続支援装置１に送信する。

接続支援装置１は、ユーザ認証メッセージのユーザエージェント値に含まれる端末収容事業者名を抽出する。接続支援装置１は、端末収容事業者名と携帯電話ＩＰゲートウェイ装置４の保有するＩＰアドレスとが対応付けられたアドレスリストを保持している。

認証が成功したあと、接続支援装置１は一意な乱数を発行する。接続支援装置１はステップＳ１３１に進み、ファイアウォール制御メッセージを利用して、ファイアウォール制御信号をゲートウェイ装置２に送信する。なお、実施例４で利用されるファイアウォール制御メッセージは、図２５のファイアウォール制御メッセージのユーザ端末個体ＩＤを乱数に置き換えたものとなる。

ゲートウェイ装置２は、ファイアウォール制御信号によって通知されたポート番号を開放する。また、ゲートウェイ装置２はアドレスリストに含まれる携帯電話ＩＰゲートウェイ装置４の保有する１つ以上のＩＰアドレスが透過するように、ＩＰフィルタ２５に対してファイアウォール透過設定を行なう。

さらに、ゲートウェイ装置２は、ファイアウォール制御信号によって通知された乱数が透過するように、乱数フィルタ２７に対してファイアウォール透過設定を行なう。

ステップＳ１３２に進み、ゲートウェイ装置２は例えば図１９のようなファイアウォール制御応答メッセージを接続支援装置１に送信する。ステップＳ１３３に進み、接続支援装置１は応答メッセージを利用して、ユーザ端末３がゲートウェイ装置２に接続する為のＵＲＬリンク情報をユーザ端末３に通知する。

なお、実施例４で利用される応答メッセージは、図２０の応答メッセージに含まれるＵＲＬの後ろに乱数を付加したものとなる。ステップＳ１３４に進み、ユーザ端末３は、接続支援装置１から通知されたＵＲＬリンク情報を含むＨＴＴＰＳメッセージをゲートウェイ装置２に送信する。

そして、ゲートウェイ装置２に送信されたＵＲＬリンク情報を含むＨＴＴＰＳメッセージは、開放されたポート、ファイアウォール透過設定されたＩＰフィルタ２５及び乱数フィルタ２７を透過し、Ｗｅｂアプリケーション２４に送信される。

即ち、ユーザ端末３は携帯電話ＩＰゲートウェイ装置４を介してゲートウェイ装置２のＷｅｂアプリケーション２４と接続可能になる。なお、接続支援装置１は応答メッセージの代わりに、リダイレクトメッセージを用いることも可能である。実施例４で利用されるリダイレクトメッセージは、図２１のリダイレクトメッセージのユーザ端末個体ＩＤを乱数に置き換えたものとなる。

ユーザがＷｅｂアプリケーション２４に対してログアウトを行った場合、ゲートウェイ装置２は開放していたポートを閉じる。また、ゲートウェイ装置２はＩＰフィルタ２５および乱数フィルタ２７に対して行ったファイアウォール透過設定を解除する。そして、ゲートウェイ装置２は、ユーザ端末３とのセッション終了を接続支援装置１に通知する。

なお、ゲートウェイ装置２はユーザ端末３が通信に用いているＩＰアドレスを確認すると、アドレスリストに含まれるユーザ端末３が通信に用いていないＩＰアドレスについてファイアウォール透過設定を解除する。

ここでは、上記した第３実施例のリモートアクセスシステムを例として、ゲートウェイ装置２とユーザ端末３との間のセッションを管理する処理について説明していく。図２７は、セッション開始の場合の接続支援装置の処理を表す一例のシーケンス図である。なお、図２７のリモートアクセスシステムの処理は図２４の処理と一部を除いて同様であるため、適宜説明を省略する。

ステップＳ１４０〜Ｓ１４２の処理は、図２４のステップＳ１２０〜Ｓ１２２の処理と同様である。ステップＳ１４２においてゲートウェイ装置２から図１９のようなファイアウォール制御応答メッセージを受信したあと、ファイアウォール制御の対象となるユーザのユーザＩＤ、ゲートウェイ装置２のＨＧＷ識別子、ユーザ端末３が接続するポートを表すポート番号を新規なセッションとしてユーザセッション管理データベースに登録する。

本実施例では、ファイアウォール制御応答メッセージの受信を契機にセッション開始としているが、ユーザ端末３からゲートウェイ装置２への接続を契機にゲートウェイ装置２から接続支援装置１に通知することによって、セッション開始としてもよい。以降の処理は、図２４と同様である。

図２８は、セッション終了の場合の接続支援装置の処理を表す一例のシーケンス図である。ユーザ端末３から例えばログアウト要求があると、ゲートウェイ装置２は接続支援装置１に図２９のようなセッション終了通知メッセージを送信する。

接続支援装置１は、受信したセッション終了通知メッセージに含まれるユーザＩＤ，ＨＧＷ識別子およびポート番号に基づき、ゲートウェイ装置２とユーザ端末３との間のセッションをユーザセッション管理データベースから削除する。

ゲートウェイ装置２とユーザ端末３との間のセッションをユーザセッション管理データベースから削除したあと、接続支援装置１は図３０のようなセッション終了応答メッセージをゲートウェイ装置２に送信する。

なお、実施例５のようにセッションを管理する場合、ゲートウェイ装置２が強制終了し、接続支援装置１が誤ってセッションを管理し続けるケースを回避する必要がある。

そこで、接続支援装置１はゲートウェイ装置２に対してユーザＩＤ，ユーザ端末個体ＩＤ，ファイアウォール制御ポート番号などを含むファイアウォール更新メッセージを定期的に送信してセッションの状態を確認するようにしてもよい。

ゲートウェイ装置２からファイアウォール更新応答メッセージがあった場合、接続支援装置１はセッションが保持されていると見なす。一方、ファイアウォール更新応答メッセージがない場合、接続支援装置１はセッションが終了していると見なし、ゲートウェイ装置２とユーザ端末３との間のセッションをユーザセッション管理データベースから削除する。このように、接続支援装置１はセッションの管理を確実に行なうことができる。

なお、ファイアウォール更新メッセージやファイアウォール更新応答メッセージは、ファイアウォール制御メッセージやファイアウォール制御応答メッセージと同等なものを用いて実現可能である。ゲートウェイ装置２は、最初に同メッセージを受信したときファイアウォール制御と見なし、再度受信したときファイアウォール更新と見なす。

このような接続支援装置１でのセッションの管理によって、本実施例のリモートアクセスシステムではユーザ毎のリモートアクセス時間に応じた課金なども実現可能である。

図３１は、本発明によるリモートアクセスシステムを示す第５実施例の構成図である。実施例５のリモートアクセスシステムでは、端末種別や端末収容事業者種別に応じたファイアウォール制御を行なう例を説明する。

接続支援装置１は、ユーザエージェント管理データベースを有している。接続支援装置１はユーザ認証情報を含むメッセージを受信し、ユーザが接続先のゲートウェイ装置を選択した際に、受信したメッセージに含まれるユーザエージェント値を検索する。

本実施例において、ユーザエージェント値がＡ事業者又はＢ事業者の携帯電話である場合に、接続支援装置１は携帯電話ＩＰゲートウェイ装置が保有するＩＰアドレスを含むファイアウォール制御メッセージを、ゲートウェイ装置２に対して送信する。一方、ユーザエージェント値がＡ事業者又はＢ事業者の携帯電話の何れでもない場合に、接続支援装置１はユーザ端末３がＩＰアドレスを保有していると判断し、ユーザ端末３のＩＰアドレスを含むファイアウォール制御メッセージをゲートウェイ装置２に対して送信する。

したがって、実施例５のリモートアクセスシステムでは、端末種別や端末収容事業者種別に応じたファイアウォール制御を単一の接続支援装置１で実現することができる。
（本発明によるリモートアクセスシステムの全体シーケンス）
図３２〜図３４は、乱数を利用するリモートアクセスシステムの全体シーケンスである。なお、図３２〜図３４において、接続支援装置１のＷｅｂサーバ部が図４のユーザ要求受付機能１１，ユーザ認証機能１２，ユーザ接続先管理機能１３に相当し、ＦＷ制御部がファイアウォール制御機能１４，ユーザ−ゲートウェイ装置セッション管理機能１５に相当する。また、図３２〜図３４において、ゲートウェイ装置２のＦＷ設定部がファイアウォール設定機能２１に相当し、Ｗｅｂサーバ部がユーザ要求受付機能２２に相当する。さらに、図３２〜図３４において、デバイス５が上記したリモートアクセスを行なう機器に相当する。

図３２は、接続支援装置での乱数割り当てまでの処理を表したシーケンス図である。ステップＳ２００〜Ｓ２０３では、ユーザ端末３の認証が行われる。ステップＳ２０４〜Ｓ２０５では、接続先リストがユーザ端末３に送信され、ユーザにより選択された接続先が接続支援装置１に通知される。ステップＳ２０６では、一意の乱数（例えばセッションＩＤ）が割り当てられる。

図３３は、ユーザ端末がＩＰアドレスを保有している場合の乱数割り当て後の処理を表したシーケンス図である。ステップＳ２０７〜Ｓ２０９では、接続支援装置１からゲートウェイ装置２にファイアウォール制御メッセージが送信される。

ステップＳ２１０〜Ｓ２１２では、ユーザ端末３からの接続を許可するようにファイアウォール透過設定を行なう。ステップＳ２１３では、ゲートウェイ装置２から接続支援装置１にファイアウォール制御応答メッセージが送信される。ステップＳ２１４では、接続支援装置１からゲートウェイ装置２にＳＩＰＳ応答メッセージの受信に対するＡＣＫが送信される。

ステップＳ２１５〜Ｓ２１６では、接続支援装置１からユーザ端末３にＵＲＬリンク情報が送信される。なお、ＵＲＬリンク情報には、乱数が付加されている。ステップＳ２１７〜Ｓ２１９では、ユーザ端末３からゲートウェイ装置２にＵＲＬリンク情報を含むＨＴＴＰＳメッセージが送信される。

ゲートウェイ装置２に送信されたＵＲＬリンク情報を含むＨＴＴＰＳメッセージは、開放されたポート、ファイアウォール透過設定されたＩＰフィルタ及び乱数フィルタを透過し、Ｗｅｂサーバ部に到達する。

ステップＳ２２０〜Ｓ２２２では、デバイス５に対するリモートアクセスが行われる。ステップＳ２２３〜Ｓ２２７では、ログアウトが行われたため、ゲートウェイ装置２が開放していたポートを閉じ、ＩＰフィルタおよび乱数フィルタに対して行ったファイアウォール透過設定を解除する。

そして、ゲートウェイ装置２は、ユーザ端末３とのセッション終了を接続支援装置１に通知する。また、接続支援装置１からゲートウェイ装置２にセッション終了に対するＡＣＫが送信される。

図３４は、ユーザ端末が携帯電話の場合の乱数割り当て後の処理を表したシーケンス図である。ステップＳ３０７〜Ｓ３０９では、接続支援装置１からゲートウェイ装置２にファイアウォール制御メッセージが送信される。なお、ＧＷプレフィクスリストは、上記したアドレスリストに相当する。

ステップＳ３１０〜Ｓ３１２では、ユーザ端末３からの接続を許可するようにファイアウォール透過設定を行なう。ステップＳ３１３では、ゲートウェイ装置２から接続支援装置１にファイアウォール制御応答メッセージが送信される。ステップＳ３１４では、接続支援装置１からゲートウェイ装置２にＳＩＰＳ応答メッセージの受信に対するＡＣＫが送信される。

ステップＳ３１５〜Ｓ３１６では、接続支援装置１からユーザ端末３にＵＲＬリンク情報が送信される。なお、ＵＲＬリンク情報には、乱数が付加されている。ステップＳ３１７〜Ｓ３１９では、ユーザ端末３からゲートウェイ装置２にＵＲＬリンク情報を含むＨＴＴＰＳメッセージが送信される。

ゲートウェイ装置２に送信されたＵＲＬリンク情報を含むＨＴＴＰＳメッセージは、開放されたポート、ファイアウォール透過設定されたＩＰフィルタ及び乱数フィルタを透過し、Ｗｅｂサーバ部に到達する。

ステップＳ３２０〜Ｓ３２４では、デバイス５に対するリモートアクセスが行われる。なお、ステップＳ３２１，Ｓ３２２では、ユーザ端末３が通信に用いているＩＰアドレスを確認すると、ＧＷプレフィクスリストに含まれる通信に用いていないＩＰアドレスについてファイアウォール透過設定を解除する。

ステップＳ３２５〜Ｓ３２９では、ログアウトが行われたため、ゲートウェイ装置２が開放していたポートを閉じ、ＩＰフィルタおよび乱数フィルタに対して行ったファイアウォール透過設定を解除する。

そして、ゲートウェイ装置２は、ユーザ端末３とのセッション終了を接続支援装置１に通知する。また、接続支援装置１からゲートウェイ装置２にセッション終了に対するＡＣＫが送信される。
（本発明によるリモートアクセスシステムの効果）
本発明によるリモートアクセスシステムでは、ゲートウェイ装置２がユーザ端末３の接続するポートを常に開放しておく必要がないため、ＤｏＳ攻撃などにさらされる危険性や、不正ユーザにリモートアクセスされてしまう可能性を大幅に低減することができる。

また、ユーザ端末３がゲートウェイ装置２に接続する為の接続情報を接続支援装置１で管理するため、ゲートウェイ装置の数が増加しても、ユーザ端末３側で情報の管理が煩雑になることがない。また、ユーザ端末３がＩＰアドレスを保有していない場合であっても、上記したアドレスリストを利用することで、簡易かつセキュアにユーザ端末からゲートウェイ装置に対するリモートアクセスが可能である
このように、本発明によるリモートアクセスシステムによれば、ユーザは様々なユーザ端末を用いて簡易かつセキュアなリモートアクセスが可能となる。

本発明は、具体的に開示された実施例に限定されるものではなく、特許請求のの範囲から逸脱することなく、種々の変形や変更が可能である。

Claims (10)

1. １つのユーザの識別子と複数のゲートウェイ装置の識別子との対応関係と、該複数のゲートウェイ装置の識別子の各々と該各ゲートウェイ装置のアドレスとの対応関係と、を記憶する記憶部と、
   認証したユーザの識別子に対応付けられた複数のゲートウェイ装置の識別子を前記記憶部から得て、得た複数のゲートウェイ装置の識別子を該認証したユーザの端末に送信する第１送信手段と、
   前記端末で該複数のゲートウェイ装置の識別子のうち、１つのゲートウェイ装置の識別子が選択された場合に、該１つのゲートウェイ装置の識別子に対応付けられたゲートウェイ装置のアドレスを前記記憶部から得て、前記記憶部に前記端末が使用しているポートであるとして記憶されるポート番号を含むメッセージを、得たゲートウェイ装置のアドレス宛に送信する第２送信手段と、
   前記ポート番号のポートが開かれた前記ゲートウェイ装置から応答を受信する受信手段と、を含み、
   前記第１送信手段が、
   前記応答を受信した場合に、選択された前記ゲートウェイ装置の識別子に対応付けられて前記記憶手段に記憶されたゲートウェイ装置のアドレスと、前記ポート番号と、を含むメッセージを前記端末に送信する、
   ことを特徴とする接続支援装置。
2. 前記第２送信手段は、前記端末で選択された該１つのゲートウェイ装置の識別子及び前記端末の識別子を前記端末から受信すると、受信した該１つのゲートウェイ装置の識別子に対応付けられたゲートウェイ装置のアドレスを前記記憶部から得て、前記ポート番号、前記端末の識別子及び前記端末のアドレスを含むメッセージを、得たゲートウェイ装置のアドレス宛に送信して、
   前記ゲートウェイ装置に、前記ポート番号を開放させ、前記端末の識別子及び前記端末のアドレスが透過するようにファイアウォール透過設定を行わせる
   ことを特徴とする請求項１記載の接続支援装置。
3. 前記第２送信手段は、前記端末で選択された該１つのゲートウェイ装置の識別子を前記端末から受信すると、受信した該１つのゲートウェイ装置の識別子に対応付けられたゲートウェイ装置のアドレスを前記記憶部から得て、前記ポート番号、前記端末のアドレス及び発行した乱数を含むメッセージを、得たゲートウェイ装置のアドレス宛に送信して、
   前記ゲートウェイ装置に、前記ポート番号を開放させ、前記端末のアドレス及び前記発行した乱数が透過するようにファイアウォール透過設定を行わせる
   ことを特徴とする請求項１記載の接続支援装置。
4. 前記記憶部は、前記端末の収容事業者情報と端末ゲートウェイ装置が保有する複数のアドレスとの対応関係を更に記憶し、
   前記第２送信手段は、前記端末で選択された該１つのゲートウェイ装置の識別子、前記端末の識別子及び前記端末の収容事業者情報を前記端末から受信すると、受信した該１つのゲートウェイ装置の識別子に対応付けられたゲートウェイ装置のアドレスを前記記憶部から得て、前記端末の収容事業者情報に対応付けられた前記端末ゲートウェイ装置が保有する複数のアドレスを得て、前記ポート番号、前記端末の識別子及び前記端末ゲートウェイ装置が保有する複数のアドレスを含むメッセージを、得たゲートウェイ装置のアドレス宛に送信して、
   前記ゲートウェイ装置に、前記ポート番号を開放させ、前記端末の識別子及び前記端末ゲートウェイ装置が保有する複数のアドレスが透過するようにファイアウォール透過設定を行わせる
   ことを特徴とする請求項１記載の接続支援装置。
5. 前記記憶部は、前記端末の収容事業者情報と端末ゲートウェイ装置が保有する複数のアドレスとの対応関係を更に記憶し、
   前記第２送信手段は、前記端末で選択された１つのゲートウェイ装置の識別子及び前記端末の収容事業者情報を前記端末から受信すると、受信した該１つのゲートウェイ装置の識別子に対応付けられたゲートウェイ装置のアドレスを前記記憶部から得て、前記端末の収容事業者情報に対応付けられた前記端末ゲートウェイ装置が保有する複数のアドレスを得て、１つのゲートウェイ装置の識別子に対応付けられたポート番号を前記記憶部から得て、得たポート番号、前記端末の識別子、前記端末ゲートウェイ装置が保有する複数のアドレス及び発行した乱数を含むメッセージを、得たゲートウェイ装置のアドレス宛に送信して、
   前記第２送信手段が、
   前記ゲートウェイ装置に、前記ポート番号を開放させ、前記端末ゲートウェイ装置が保有する複数のアドレス及び前記発行した乱数が透過するようにファイアウォール透過設定の指示を送信する、
   ことを特徴とする請求項１記載の接続支援装置。
6. 前記端末および前記ゲートウェイ装置と、暗号化された通信路を介してメッセージの交換を行なう、
   ことを特徴とする請求項１記載の接続支援装置。
7. １つのユーザの識別子とゲートウェイ装置の識別子とゲートウェイ装置のポートのポート番号との対応関係を前記記憶部に記憶させて前記端末と前記ゲートウェイ装置とのセッションを管理する管理手段を更に有し、
   前記管理手段が、
   前記ゲートウェイ装置から応答を受信したときに、１つのユーザの識別子とゲートウェイ装置の識別子とゲートウェイ装置のポートのポート番号との対応関係を、前記端末と前記ゲートウェイ装置とのセッションとして登録する、
   ことを特徴とする請求項１記載の接続支援装置。
8. 前記管理手段が、
   前記ゲートウェイ装置からセッションの終了を通知するメッセージを受信したときに、前記メッセージに含まれる１つのユーザの識別子とゲートウェイ装置の識別子とゲートウェイ装置のポートのポート番号とに基づき、前記登録していた前記端末と前記ゲートウェイ装置とのセッションを削除する、
   ことを特徴とする請求項７記載の接続支援装置。
9. 前記管理手段が、
   前記端末と前記ゲートウェイ装置とのセッションを登録したあと、定期的に前記１つのユーザの識別子とゲートウェイ装置の識別子とゲートウェイ装置のポートのポート番号とを含むセッション確認メッセージを前記ゲートウェイ装置に送信し、前記端末とのセッションの状態を確認する、
   ことを特徴とする請求項７又は８記載の接続支援装置。
10. 前記ゲートウェイ装置のアドレスが変更されたとき、前記ゲートウェイ装置の識別子と前記ゲートウェイ装置のアドレスとを前記ゲートウェイ装置から受信し、前記記憶部に記憶されている複数のゲートウェイ装置の識別子の各々と該各ゲートウェイ装置のアドレスとの対応関係を更新する更新手段、
    を更に有することを特徴とする請求項１記載の接続支援装置。

Images