JP5385935B2

JP5385935B2 - アクセス制御システム、およびアクセス制御方法

Info

Publication number: JP5385935B2
Application number: JP2011085504A
Authority: JP
Inventors: 和昭尾花; 育生依田; 晃平水野; 幸生小池
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2011-04-07
Filing date: 2011-04-07
Publication date: 2014-01-08
Anticipated expiration: 2031-04-07
Also published as: JP2012222557A

Description

本発明は、外部ネットワークに配置されたリモート端末から、ホームネットワークに接続されているホーム機器にアクセスするアクセス制御システム、およびアクセス制御方法に関する。

現在、インターネットの普及と、エンドユーザ宅内のホーム機器相互間をネットワークで結んだホームネットワークの進展とに伴い、ホームゲートウェイ（以下、ＨＧＷという）の必要性・重要性が増大している。

ＨＧＷは、ＰＣ機器、ＡＶ系機器、電話系機器、白物家電機器系等の種々の系統の標準規格間をまたいで、アドレス変換やデータの載せ換え等を行うことにより、ホーム機器を相互に接続し、更にホームネットワーク内の各ホーム機器間の通信だけでなく、それらとインターネットとの通信を橋渡しする機能も有している。

このようなＨＧＷがエンドユーザ宅内に配置され、インターネット側からエンドユーザ宅内へのアクセス（逆方向のアクセスも含む）を制限するファイアウォール（以下、ＦＷと称する。）機能や、プライベートアドレスをグローバルアドレスに変換（逆方向の変換も含む）するＮＡＰＴ（Network Address Port Translation）機能を備えたシステムとして、特許文献１に記載のアクセス制御システムがある。

この特許文献１に記載のアクセス制御システムは、外部ネットワークに配置されたリモート端末からホームネットワークに接続されているホーム機器にアクセスするためのシステムであり、当該リモート端末からアクセス要求が送信された後に、外部ネットワークに接続された外部ネットワーク側のアドレスを取得するように構成されている。

このように構成することにより、外部ネットワークとホームネットワークとの境界に配置されたホームゲートウェイ（以下、ＨＧＷと称する。）の外部ネットワーク側のアドレスが動的に変更されるような場合であっても、リモート端末からのアクセスを確実にホームゲートウェイに遷移させ、ユーザによるホーム機器へのアクセスを確実なものとすることができる。

また、ホーム機器がＨＧＷのＦＷを制御したり、ＮＡＰＴの設定を行ったりするためにＵＰｎＰ技術を利用する必要はないので、ホーム機器がＵＰｎＰに対応している必要はなく、広く一般に普及している機器をアクセス制御の対象とすることができる。

特開２０１１−３９５７号公報

この特許文献１に記載のアクセス制御システムは、ＮＡＰＴ／ＦＷの制御を単一のポートに対して行うものであり、またＯＳＩ参照モデルで規定されたネットワーク階層の高位レイヤのプロトコル（例えばＨＴＴＰ：Hyper Text Transfer Protocol）によりリモート端末からホーム機器に対して直接アクセスするための技術である。

そのため、このアクセス制御システムにおいてリモート端末からホーム機器へのアクセスを高いセキュリティ品質で実行するためにはＳＳＬ（Secure Socket Layer）により接続することが考えられるが、この場合、ホーム機器に対して正規のサーバ証明書をインストールする必要があり、サーバ証明書の発行のためのコストがかかるという問題があった。ここで独自証明書を使用することも考えられるが、他のなりすましサイトへの誘導時と見分けがつかないなど、セキュリティ品質が低下するという問題があった。

また、上記特許文献１に記載のアクセス制御システムではレイヤ３のルーティングの影響を受けることから、レイヤ３よりも高位のレイヤのプロトコルを用いる必要があり、レイヤ２のプロトコルが用いられているホーム機器には対応することができないという問題があった。

本発明は上記課題を鑑みてなされたものであり、ホームネットワークに接続された多種多様なホーム機器に対して、外部ネットワークから確実かつ安全にアクセスすることが可能なアクセス制御システム、およびアクセス制御方法を提供することを課題とする。

上記の課題を解決するための本発明のアクセス制御システムは、外部ネットワークに配置されたリモート端末からホームネットワークに接続されているホーム機器にアクセスするためのアクセス制御システムにおいて、前記外部ネットワークに配置され、前記ホーム機器の識別子を記憶手段に記憶しておき、前記接続されたホーム機器の中から対象ホーム機器を選択させるための管理ページを前記リモート端末に表示させ、これにより選択された対象ホーム機器の識別子を前記記憶手段から検索して、前記外部ネットワークと前記ホームネットワークとの境界に配置されたホームゲートウェイにおける外部ネットワーク側のアドレスに到達したアクセス要求を選択された対象ホーム機器に転送するようＮＡＴ（Network Address Translation）及びＦＷのテーブル情報を設定する設定要求を送信する受付サーバと、受付サーバ／ホーム機器からホーム機器／受付サーバへのアクセス制限を定めたアクセス制御リストに基づいて、前記設定要求を送信した受付サーバが前記対象ホーム機器にアクセス可能か否かを判定し、アクセス可能な場合に、ホーム機器の識別子からホームゲートウェイを検索可能なホームゲートウェイ識別子リストに基づいて、前記対象ホーム機器と同じホームネットワークに接続されたホームゲートウェイのアドレスを特定し、特定したホームゲートウェイに前記設定要求を、専用ネットワークを介して中継するアクセス制御サーバと、前記アクセス制御サーバから専用ネットワークを介して中継された前記設定要求を受信するアクセス制御サーバ通信部と、前記設定要求を受信したときに自身に設定された外部ネットワーク側のアドレスを取得する情報取得部と、前記設定要求を受信したときに前記対象ホーム機器の識別子を用いてホームネットワークにブロードキャストを行って前記対象ホーム機器の前記ホームネットワーク上のアドレスである第１ローカルアドレスを取得し、さらに前記リモート端末と前記対象ホーム機器との間に確立するＶＰＮ（Virtual Private Network）上のアドレスである第２ローカルアドレスを取得するホーム機器通信部と、前記外部ネットワーク側で待ち受けるポート番号を決定した後に、前記外部ネットワーク側のアドレス及びポート番号と前記対象ホーム機器の前記第１ローカルアドレスとを用いて前記設定要求に応じた設定を行い、設定が成功すると、当該設定した外部ネットワーク側のアドレス及びポート番号と、前記第２ローカルアドレスとを前記受付サーバに送信する設定部とを有するホームゲートウェイとを備え、前記ホームゲートウェイは、前記受付サーバに送信した前記外部ネットワーク側のアドレス及びポート番号により、前記リモート端末からのＶＰＮ接続要求のためのパケットが到達すると、当該パケットを前記設定された第１ローカルアドレスに基づいて前記ホーム機器に転送して、前記リモート端末と前記ホーム機器との間にＶＰＮを確立させ、前記受付サーバは、前記ホームゲートウェイから受信した第２ローカルアドレスを用いてＵＲＩ又はＲＤＰファイルを生成し、該ＵＲＩ又はＲＤＰファイルへのリンクを生成して、前記リモート端末からのアクセス要求を管理ページから前記対象ホーム機器に遷移させ、確立されたＶＰＮ経由で前記リモート端末と前記対象ホーム機器との間で通信させることを特徴とする。

また本発明のアクセス制御方法は、外部ネットワークに配置されたリモート端末からホームネットワークに接続されているホーム機器にアクセスするためのアクセス制御方法において、前記外部ネットワークに配置された受付サーバが、前記ホーム機器の識別子を記憶手段に記憶しておき、前記接続されたホーム機器の中から対象ホーム機器を選択させるための管理ページを前記リモート端末に表示させ、これにより選択された対象ホーム機器の識別子を前記記憶手段から検索して、前記外部ネットワークと前記ホームネットワークとの境界に配置されたホームゲートウェイにおける外部ネットワーク側のアドレスに到達したアクセス要求を選択された対象ホーム機器に転送するようＮＡＴ及びＦＷのテーブル情報を設定する設定要求を送信するステップと、アクセス制御サーバが、受付サーバ／ホーム機器からホーム機器／受付サーバへのアクセス制限を定めたアクセス制御リストに基づいて、前記設定要求を送信した受付サーバが前記対象ホーム機器にアクセス可能か否かを判定し、アクセス可能な場合に、ホーム機器の識別子からホームゲートウェイを検索可能なホームゲートウェイ識別子リストに基づいて、前記対象ホーム機器と同じホームネットワークに接続されたホームゲートウェイを特定し、特定した該ホームゲートウェイに前記設定要求を、専用ネットワークを介して中継するステップと、前記ホームゲートウェイが、前記専用ネットワークを介して中継された前記設定要求を受信するステップと、前記ホームゲートウェイが、前記設定要求を受信したときに自身に設定された外部ネットワーク側のアドレスを取得するステップと、前記ホームゲートウェイが、前記設定要求を受信したときに前記対象ホーム機器の識別子を用いてホームネットワークにブロードキャストを行って前記対象ホーム機器の前記ホームネットワーク上のアドレスである第１ローカルアドレスを取得し、さらに前記リモート端末と前記対象ホーム機器との間に確立するＶＰＮ上のアドレスである第２ローカルアドレスを取得するステップと、前記ホームゲートウェイが、前記外部ネットワーク側で待ち受けるポート番号を決定した後に、前記外部ネットワーク側のアドレス及びポート番号と前記対象ホーム機器の前記第１ローカルアドレスとを用いて、前記設定要求に応じた設定を行い、設定が成功すると、当該設定した外部ネットワーク側のアドレス及びポート番号と、前記第２ローカルアドレスとを前記受付サーバに送信するステップと、前記受付サーバが、受信した前記外部ネットワーク側のアドレス及びポート番号を、前記リモート端末に通知するステップと、前記ホームゲートウェイが、前記受付サーバに送信した前記外部ネットワーク側のアドレス及びポート番号により、前記リモート端末からのＶＰＮ接続要求のためのパケットが到達すると、当該パケットを前記設定された第１ローカルアドレスに基づいて前記ホーム機器に転送して、前記リモート端末と前記ホーム機器との間にＶＰＮを確立させるステップと、前記受付サーバが、前記ホームゲートウェイから受信した第２ローカルアドレスを用いてＵＲＩ又はＲＤＰファイルを生成し、該ＵＲＩ又はＲＤＰファイルへのリンクを生成して、前記リモート端末からのアクセス要求を管理ページから前記対象ホーム機器に遷移させ、確立されたＶＰＮ経由で前記リモート端末と前記対象ホーム機器との間で通信させるステップとを有することを特徴とする。

本発明のアクセス制御システム、およびアクセス制御方法によれば、ホームネットワークに接続された多種多様なホーム機器に対して、外部ネットワークから確実かつ安全にアクセスすることができる。

本発明の一実施形態によるアクセス制御システムの構成を示す全体図である。本発明の一実施形態によるアクセス制御システムのＨＧＷの構成を示すブロック図である。本発明の一実施形態によるアクセス制御システムの動作を示すシーケンス図である。本発明の一実施形態によるアクセス制御システムを利用するリモート端末の表示部の画面遷移を示す説明図である。本発明の一実施形態によるアクセス制御システムを利用するリモート端末の表示部の画面遷移を示す他の説明図である。本発明の一実施形態によるアクセス制御システムを利用するリモート端末の表示部の画面遷移を示す他の説明図である。

以下、一実施形態について図面を用いて説明する。

図１は、本実施形態に係るアクセス制御システムの全体構成を示す図である。

本アクセス制御システム１は、エンドユーザ宅Ａ，Ｂのホームネットワーク３２に接続されたホーム機器１４ａ〜１４ｄに対し、外部ネットワーク３０を介してリモート端末１５からＮＡＴ（Network Address Translation）機能によりアクセスするためのアクセス制御システムであって、受付サーバとしての第１アプリケーションサーバ１０ａおよび第２アプリケーションサーバ１０ｂを含むアプリケーションサーバ群１０と、アクセス制御サーバ１１と、ＨＧＷアドレス管理サーバ１２と、第１ＨＧＷ１３ａおよび第２ＨＧＷ１３ｂを含むＨＧＷ群１３と、専用ネットワーク３１とで構成されている。

なお、このようなアクセス制御システム１を構成している各サーバやＨＧＷは、ＣＰＵ等の演算処理装置やメモリ等の記憶装置を備えたコンピュータにより構成可能なものであり、各機能処理はプログラムによって実行される。

また、このアクセス制御システム１を利用するためのリモート端末１５には、外部ネットワーク３０を介してホーム機器１４ａ〜１４ｄにアクセスするためのリモートアクセスクライアントソフトウェアが搭載されるとともに、ＶＰＮ（Virtual Private Network）クライアントとしてＶＰＮを確立するためのＶＰＮ接続ツールがＯＳに搭載されている。

また、各ホーム機器１４ａ〜１４ｃには、ＶＰＮサーバとしてＶＰＮを確立するためのソフトウェアが搭載されている。

また、このようなプログラムは記憶装置に記憶されており、記録媒体に記録することも、ネットワークを通して提供することも可能である。

以下、本アクセス制御システム１の機能及び処理フローについて個別具体的に説明すると共に、本実施の形態における作用及び効果について説明する。

アプリケーションサーバ群１０は、インターネット等の広く一般に用いられている広域網である外部ネットワーク３０に接続されており、エンドユーザ宅Ａ，Ｂのホームネットワーク３２ａ、３２ｂに接続されているホーム機器の識別子を記憶部に記憶しておく機能を有している。

また、リモート端末１５からアクセス要求があった場合に、上記記憶部に記憶されているホーム機器の識別子（又はホーム機器の名称）や、ホーム機器へのアクセス方法（具体的には、リモートアクセス、又はリモートデスクトップ接続）を選択可能なホーム機器一元管理ページをリモート端末１５に表示させる機能を有している。

なお、このホーム機器一元管理ページとは、複数のエンドユーザ宅Ａ，Ｂのホームネットワーク３２に接続された異なる様々なベンダの機器を纏めて一元的に管理し、画面に表示されるページである。

またリモート端末１５とは、エンドユーザがホーム機器１４ａ〜１４ｄに対しリモートでアクセス制御を行うために用いる端末であって、例えばＰＣ、携帯電話、ＴＶ等を一例とし、ホーム機器（第１ホーム機器１４ａ〜第３ホーム機器１４ｄ）とは、エンドユーザによりアクセス制御される対象機器である。

さらに、アプリケーションサーバ群１０の第１アプリケーションサーバ１０ａ、第２アプリケーションサーバ１０ｂは、リモート端末１５を操作しているエンドユーザにより選択されたホーム機器（以降、対象ホーム機器という）の識別子を上記記憶部から検索して、対応するＨＧＷ１３ａ、１３ｂの外部ネットワーク側のアドレスに到達したアクセス要求を対象ホーム機器に転送するようＨＧＷ１３ａ、１３ｂのＮＡＴ及びＦＷのテーブル情報を設定するＮＡＴ／ＦＷ設定要求を送信する機能を有している。

また、ＨＧＷ１３ａ、１３ｂのＮＡＴ及びＦＷのテーブル情報が上記ＮＡＴ／ＦＷ設定要求に基づいて設定（変更や追加）された場合には、ＨＧＷ１３ａ、１３ｂの外部ネットワーク側のアドレス及びポート番号を用いてリモート端末１５と対象ホーム機器１４との間にＶＰＮを確立させ、対象ホーム機器１４のＶＰＮ上のアドレスを元にＵＲＩ又はＲＤＰファイルを生成し、生成したＵＲＩ又はＲＤＰファイルへのリンクを生成した上でリダイレクトが可能であればリダイレクトを行い、リモート端末１５からのアクセス要求をホーム機器一元管理ページから対象ホーム機器にＶＰＮ経由で遷移させる機能を有している。

なお、アプリケーションサーバ１０ａ、１０ｂは、リモート端末１５からアクセスがあった際に、予め登録されたエンドユーザ情報やパスワードを用いて、ログイン認証を行うことも可能となっている。

アクセス制御サーバ１１は、アプリケーションサーバ１０ａ、１０ｂと、ホームネットワーク３２との間の通信を司るサーバであって、アプリケーションサーバ１０ａ、１０ｂからホーム機器１４ａ〜１４ｄへの通信（アクション中継）とホーム機器１４ａ〜１４ｄからアプリケーションサーバ１０ａ、１０ｂへの通信（ノーティファイ中継）との許可／不許可を設定したアクセスコントロールリスト（以下、ＡＣＬという）と、ホーム機器１４ａ〜１４ｄの識別子とＨＧＷ１３ａ、１３ｂの識別子とを対応付けて記載したＨＧＷ識別子リスト（以下、ＨＩＬという）とを記憶しておく機能を有している。

また、ＡＣＬに基づいて、上記ＮＡＴ／ＦＷ設定要求を送信したアプリケーションサーバ１０ａ、１０ｂが対象ホーム機器にアクセス可能か否かを判定し、アクセス可能な場合に、ＨＩＬに基づいて、対象ホーム機器と同じホームネットワークのＨＧＷ１３を検索し、ＮＧＮ（Next Generation Network）網等の閉域かつセキュアな専用ネットワーク３１に配置されているＨＧＷアドレス管理サーバ１２へＨＧＷ１３の専用ネットワーク３１側のアドレスを問い合わせ、その問い合わせ結果から得られたＨＧＷ１３のアドレスにＮＡＴ／ＦＷ設定要求を中継する機能を有している。

ＨＧＷアドレス管理サーバ１２は、専用ネットワーク３１に接続されているＨＧＷ１３ａ、１３ｂにアドレスを割り振ると共に、割り振ったＨＧＷ１３の専用ネットワーク側のアドレスとＨＧＷ１３の識別子とを関連付けて管理しておき、アクセス制御サーバ１１からの問い合わせに応じたＨＧＷ１３のアドレスを送信する機能を有している。

ＨＧＷ１３ａ、１３ｂは、外部ネットワーク３０と専用ネットワーク３１とホームネットワーク３２ａ、３２ｂとに接続され、ルータ機能、ＮＡＴ機能、ＦＷ機能を具備している。

またＨＧＷ１３ａ、１３ｂは、図２に示すように、専用ネットワーク３１を介して中継された上記ＮＡＴ／ＦＷ設定要求を受信するアクセス制御サーバ通信部１３１と、ＮＡＴ／ＦＷ設定要求を受信したときに自身に設定された外部ネットワーク３０側のアドレスを取得するＨＧＷ情報取得部１３２と、ＮＡＴ／ＦＷ設定要求を受信したときに対象ホーム機器の識別子を用いてホームネットワーク３２にブロードキャストを行って対象ホーム機器の第１ローカルアドレスを取得するとともに、リモート端末１５と第１ホーム機器１４ａとの間でこれから確立するＶＰＮ上におけるＨＧＷ１３のアドレスとして、予め設定されたアドレスないしは第１ローカルアドレスを持つ対象ホーム機器に対してユニキャストでＶＰＮ上のアドレスを問い合わせることにより得られたアドレスである第２ローカルアドレスを取得するホーム機器通信部１３３と、外部ネットワーク３０側で待ち受けるポート番号を決定した後に、外部ネットワーク３０側のアドレス及びポート番号と対象ホーム機器のアドレスとを用いて、上記ＮＡＴ／ＦＷ設定要求に応じた設定を行うＮＡＴ／ＦＷ設定部１３４とで構成されている。

このＨＧＷ１３ａ、１３ｂを構成しているアクセス制御サーバ通信部１３１と、ＨＧＷ情報取得部１３２と、ホーム機器通信部１３３と、ＮＡＴ／ＦＷ設定部１３４は、ＯＳＧｉフレームワークを用いたバンドルで実装されている。

このようにバンドルで実装することにより、ＯＳＧｉフレームワークを用いて各バンドルを容易に配布し、アップデートが可能となるので、様々なホーム機器に対応することが可能となる。

本実施の形態では、アプリケーションサーバ１０ａ、１０ｂとアクセス制御サーバ１１とを互いに独立した装置として説明するが、運用形態によっては、両サーバの機能を１つの装置に集約させることも可能である。

次に、本アクセス制御システム１の処理フローについて説明する。図３は、アクセス制御システムの処理フローを示す図である。

最初に、ステップＳ１において、リモート端末１５から第１アプリケーションサーバ１０ａに対してエンドユーザ宅のホーム機器へのアクセス要求（Ｗｅｂブラウザでのウェブ接続）があった場合に、ログイン認証を行い、第１アプリケーションサーバ１０ａが、該エンドユーザ宅内に配置されているホーム機器を選択させるホーム機器一元管理ページをリモート端末１５の画面に出力させる。

これにより、リモート端末１５を操作しているエンドユーザは、エンドユーザ宅内において所望するホーム機器を選択することが可能となる。

ステップＳ２において、エンドユーザにより所定のホーム機器１４が選択された（以下、第１ホーム機器１４ａが選択されたものとする）後に、第１アプリケーションサーバ１０ａが、選択された第１ホーム機器１４ａで利用可能なアクセス方法を選択させる画面、具体的には「リモートアクセス」又は「リモートデスクトップ接続」を選択する表示を上記ホーム機器一元管理ページに出力する。

ステップＳ３において、第１アプリケーションサーバ１０ａが、選択された第１ホーム機器１４ａの識別子を記憶部から検索取得し、ＮＡＴ／ＦＷ設定要求の識別子と、送信元である第１アプリケーションサーバ１０ａの識別子と、送信先である第１ホーム機器１４ａの識別子と、リモート端末１５のソースアドレスとを指定すると共に、必要に応じてＨＧＷ１３の待ち受けポート番号を指定し、これら指定情報を記載したＮＡＴ／ＦＷ設定要求パケットを中継するようアクセス制御サーバ１１に送信する。

ステップＳ４において、ＮＡＴ／ＦＷ設定要求パケットを受信したアクセス制御サーバ１１が、そのパケットに記載されている第１アプリケーションサーバ１０ａの識別子と第１ホーム機器１４ａの識別子とを用いて、ＡＣＬの設定内容に基づいて送信可能な宛先であるか否かを判定し、送信可能な場合には、第１ホーム機器１４ａの識別子に対応付けられたＨＧＷ１３の識別子がＨＩＬから取得され、対応するＨＧＷが特定される（ここでは、第１ＨＧＷ１３ａの識別子が取得されたものとする）。

その後、専用ネットワーク３１を介して第１ＨＧＷ１３ａの識別子をＨＧＷアドレス管理サーバ１２に送信して、第１ＨＧＷ１３ａにおける専用ネットワーク側のアドレスを取得する。

そして、受信しているＮＡＴ／ＦＷ設定要求パケットを、取得されたアドレスの第１ＨＧＷ１３ａに中継する。

ステップＳ５において、専用ネットワーク３１を介してアクセス制御サーバ１１で中継されたＮＡＴ／ＦＷ設定要求パケットを第１ＨＧＷ１３ａのアクセス制御サーバ通信部１３１で受信した後に、ＨＧＷ情報取得部１３２が、自身の外部ネットワーク３０側に設定されているアドレスを取得する。

そして、ホーム機器通信部１３３が、ＮＡＴ／ＦＷ設定要求パケットに記載されている第１ホーム機器１４ａの識別子を用いてホームネットワーク３２にブロードキャストにより問い合わせを行い、第１ホーム機器１４ａのローカルアドレス1_1（第１ローカルアドレス）を取得する。

さらにホーム機器通信部１３３は、リモート端末１５と第１ホーム機器１４ａとの間でこれから確立するＶＰＮ上における第１ＨＧＷ１３ａのアドレスとして、予め設定されたアドレス、ないしは第１ローカルアドレスを持つ対象ホーム機器に対してユニキャストでＶＰＮ上のアドレスを問い合わせることで取得されたアドレスを、ローカルアドレス1_2（第２ローカルアドレス）として取得する。

その後、ＮＡＴ／ＦＷ設定部１３４が、ＮＡＴ／ＦＷ設定要求パケットにＨＧＷ１３の待ち受けポート番号が指定されている場合にはそのポート番号、指定されておらずかつ予め規定されている場合には該規定に従うポート番号、指定されておらずかつ予め規定されてもいない場合はランダムに決定したポート番号を第１ＨＧＷ１３ａの待ち受けポート番号に用いて、ＨＧＷ情報取得部１３２により取得した外部ネットワーク側のアドレスであって決定した待ち受けポート番号に到達したパケットを、ホーム機器通信部１３３により取得された第１ホーム機器１４ａのアドレスであってＮＡＴ／ＦＷ設定要求に記載されている第１ホーム機器１４ａに転送可能とするように、ローカルアドレス1_2以外の情報を用いてＮＡＴ及びＦＷのテーブル情報を設定（変更や追加）する。この設定において、第１ホーム機器１４ａのポート番号は、ＮＡＴを用いているため第１ＨＧＷ１３ａの待ち受けポートと同一であり、通常第１ホーム機器１４ａは予め規定されている場合の該規定に従うポート番号にてＶＰＮ接続のための待ち受けを行うが、ＮＡＴ／ＦＷ設定要求パケットに待ち受けポート番号が指定された場合やランダムに決定した場合には、別途第１ホーム機器１４ａに対して新たなポート番号が通知され、該第１ホーム機器１４ａはリモート端末１５からのＶＰＮ接続のための待ち受けを該ポート番号において行う。

テーブル情報の設定が成功した場合には、第１ＨＧＷ１３ａの外部ネットワーク３０側のアドレス及び待ち受けポート番号、およびローカルアドレス1_2を、専用ネットワーク３１を介して第１アプリケーションサーバ１０ａに返却する。

ステップＳ６において、第１アプリケーションサーバ１０ａが、返却された第１ＨＧＷ１３ａの外部ネットワーク側のアドレス及び待ち受けポート番号をリモートアクセスクライアントソフトウェアに通知し、このリモートアクセスクライアントソフトウェアからＶＰＮ接続ツールを利用して、外部ネットワーク３０上にＶＰＮクライアントとしてのリモート端末１５とＶＰＮサーバとしての第１ホーム機器１４ａとの間にＶＰＮを確立させる。

また、第１アプリケーションサーバ１０ａは、返却されたローカルアドレス1_2を元にＵＲＩ又はＲＤＰファイルを生成し、ＵＲＩ又はＲＤＰファイルへのリンクを生成した上でリダイレクトが可能であればリダイレクトを行い、リモート端末１５からのアクセス要求をホーム機器一元管理ページから第１ホーム機器１４ａに遷移させる。

ステップＳ７において、エンドユーザは、そのまま待機するか、画面に表示されているリンクをクリックすることにより、外部ネットワーク３０上に確立されたＶＰＮ経由でリモート端末１５と第１ホーム機器１４ａとの間で通信が可能となる。ここで用いるＶＰＮを例えばＬ２（レイヤ２）ＴＰ／ＩＰＳｅｃとすることにより、Ｌ２による通信が可能である。

最後に、ステップＳ８において、第１ホーム機器１４ａへのアクセス終了後、タイムアウト処理、又はホーム機器一元管理ページからのユーザの明示的な指示に基づいて、ステップＳ５で設定した設定情報をＮＡＴ／ＦＷのテーブル情報から削除する。

以上説明した本アクセス制御システムを用いることにより、例えば、１）Ｗｅｂブラウザを用いたホーム機器へのｈｔｔｐ／ｈｔｔｐｓでのリモートアクセス、２）Ｗｅｂブラウザとリモートデスクトップ接続とを用いたホーム機器へのリモートデスクトップ接続、３）Ｗｅｂブラウザと動画ファイルを再生可能なソフトウェアとを用いたＤＬＮＡ（Digital Living Network Alliance）のコンテンツ視聴等のサービスを提供することが可能となる。

最初に、上記１）の場合における画面遷移を図４に示す。

このリモートアクセスは、ホーム機器を選択した後に、ＨＧＷ１３のアクセス制御サーバ通信部１３１を経由してＮＡＴ／ＦＷ設定部１３４によりＮＡＴ／ＦＷ設定を行うとともにＶＰＮを確立し、設定完了後にリダイレクトを行って、ホーム機器へＶＰＮ経由で直接アクセスするアクセス方法である。

まず、リモート端末１５の画面には、ホーム機器を選択するホーム機器一元管理ページが表示され（遷移Ｓａ１）、続いて、選択されたホーム機器で利用可能なアクセス方法等が表示される（遷移Ｓａ２）。

リモートアクセスを選択することにより、ホーム機器の管理画面又はファイル閲覧を選択する画面が表示され（遷移Ｓａ３）、ファイル閲覧の開始が選択されることにより、アクセス制御サーバ１１経由でＨＧＷ１３のＮＡＴ／ＦＷ設定およびＶＰＮの確立が行われる。

ここで、新たなウィンドウが立ち上がり、ＮＡＴ／ＦＷ設定およびＶＰＮ確立中には「設定中」であることが表示され（遷移Ｓａ４）、設定完了後にはその旨が表示される（遷移Ｓａ５）。

その後、リダイレクトを行うか、又は画面上での指定箇所をクリックしてリンクを辿ることにより、ＶＰＮ経由でホーム機器のページが表示され、ホーム機器のファイルを閲覧することが可能となる（遷移Ｓａ６）。

そして、ファイルの閲覧が終了する場合にはページを閉じることにより（遷移Ｓａ７）、遷移Ｓａ３の画面に戻る（遷移Ｓａ８）。

その後、ファイル閲覧の終了を選択することにより全ての処理が終了する（遷移Ｓａ９、Ｓａ１０）。

次に、上記２）の場合における画面遷移を図５に示す。

このリモートデスクトップ接続は、ホーム機器を選択した後に、ＨＧＷ１３のアクセス制御サーバ通信部１３１を経由してＮＡＴ／ＦＷ設定部１３４によりＮＡＴ／ＦＷ設定を行うとともにＶＰＮを確立し、設定完了後にアクセス対象のホーム機器にＶＰＮ経由でアクセス可能となるよう、ＶＰＮ上におけるホーム機器のローカルネットワークアドレスを記述したＲＤＰファイルを生成し、該ＲＤＰファイルへのＵＲＬを記述したページを生成して、ホーム機器へリモートデスクトップで直接アクセスするアクセス方法である。

まず、リモート端末１５の画面には、ホーム機器を選択するホーム機器一元管理ページが表示され（遷移Ｓｂ１）、続いて、選択されたホーム機器で利用可能なアクセス方法等が表示される（遷移Ｓｂ２）。

ＲＤＰ接続を選択することにより、ＲＤＰ接続の開始／終了を選択する画面が表示され（遷移Ｓｂ３）、ＲＤＰ接続の開始が選択されることにより、アクセス制御サーバ１１経由でＨＧＷ１３のＮＡＴ／ＦＷ設定およびＶＰＮの確立が行われ、ＲＤＰファイルが生成される。

ここで、新たなウィンドウが立ち上がり、ＮＡＴ／ＦＷ設定およびＶＰＮ確立中には「設定中」であることが表示され（遷移Ｓｂ４）、その設定やＲＤＰファイルが生成された後に、ＲＤＰファイルへのリンクを記述したページが表示される（遷移Ｓｂ５）。

その後、表示された指定箇所をクリックすることにより外部プログラムが起動し、ホーム機器へＶＰＮ経由でリモートデスクトップ接続によりアクセスすることが可能となる（遷移Ｓｂ６）。

そして、そのホーム機器への接続を終了する場合には、ページを閉じることにより（遷移Ｓｂ７）、遷移Ｓｂ３の画面に戻る（遷移Ｓｂ８）。

その後、ＲＤＰ接続の終了を選択することにより全ての処理が終了する（遷移Ｓｂ９、Ｓｂ１０）。

最後に、上記３）の場合における画面遷移を図６に示す。

このコンテンツ視聴は、ホーム機器を選択した後に、ＨＧＷ１３のアクセス制御サーバ通信部１３１及びホーム機器通信部１３３を経由してホーム機器が有するコンテンツ迄の階層を辿り、その提供可能なコンテンツリストを取得した後に、アクセス制御サーバ通信部１３１を経由してＮＡＴ／ＦＷ設定部１３４によりＮＡＴ／ＦＷ設定を行うとともにＶＰＮを確立し、設定完了後にアクセス対象のホーム機器のコンテンツにアクセス可能となるよう、ＶＰＮ上におけるホーム機器のローカルネットワークアドレスを記述したリンクを生成すると共にリダイレクトを行い、ホーム機器のコンテンツへＶＰＮ経由で直接アクセスするアクセス方法である。

まず、リモート端末１５の画面には、ホーム機器を選択するホーム機器一元管理ページが表示され（遷移Ｓｃ１）、続いて、選択されたホーム機器で利用可能なアクセス方法等が表示される（遷移Ｓｃ２）。

ここで、コンテンツ視聴を選択することにより、アクセス制御サーバ通信部１３１及びホーム機器通信部１３３が、選択されたホーム機器により視聴可能なコンテンツを該ホーム機器から検索取得して表示する（遷移Ｓｃ３）。

ここで「ビデオ」が選択されて、更に「全てのビデオ」が選択された場合に（遷移Ｓｃ４）、ホーム機器が提供可能なビデオ１〜ビデオ３の開始／終了を選択する画面が表示され（遷移Ｓｃ５）、例えばビデオ１の開始が選択されることにより、アクセス制御サーバ１１経由でＨＧＷ１３のＮＡＴ／ＦＷ設定およびＶＰＮの確立が行われる。

ここで、新たなウィンドウが立ち上がり、ＮＡＴ／ＦＷ設定およびＶＰＮ確立中には「設定中」であることが表示され（遷移Ｓｃ６）、ＨＧＷ１３へのリンクが生成された後に、そのリンクを記述したページが表示される（遷移Ｓｃ７）。

その後、リダイレクトを行うか、表示された指定箇所をクリックすることにより外部プログラムが起動し、ＶＰＮ経由でコンテンツ視聴が可能となる（遷移Ｓｃ８）。

そして、そのコンテンツ視聴を終了する場合には、ページを閉じることにより（遷移Ｓｃ９）、遷移Ｓｃ５の画面に戻る（遷移Ｓｃ１０）。

その後、ビデオ１の終了を選択することにより全ての処理が終了する（遷移Ｓｃ１１、Ｓｃ１２）。

本実施の形態によれば、ＨＧＷ情報取得部１３２が、リモート端末１５からアクセス要求が送信された後に、外部ネットワーク３０に接続された外部ネットワーク側のアドレスを取得するので、動的にＨＧＷ１３の外部ネットワーク側のアドレスが変更されるような場合であっても、リモート端末１５からのアクセスを確実にＨＧＷ１３に遷移させ、ユーザによるホーム機器１４へのアクセスをより確実なものとすることができる。

本実施の形態によれば、ホーム機器がＨＧＷのＦＷを制御したり、ＮＡＰＴの設定を行ったりするためにＵＰｎＰを使うことはないため、ホーム機器がＵＰｎＰに対応している必要はなく、広く一般に普及している機器をアクセス制御の対象とすることができる。

本実施の形態によれば、アプリケーションサーバ１０へのログイン時に認証を行い、閉域かつセキュアな専用ネットワーク３１を経由してＨＧＷ１３のＮＡＴ／ＦＷ設定を行うので、成りすましや盗聴等の危険性を低減することができる。

本実施の形態によれば、リモート端末とホーム機器との外部ネットワークによる接続はセキュアなＶＰＮを経由して行われるため、成りすましや盗聴等の危険性を低減することができる。

本実施の形態によれば、確立されたＶＰＮとして、ＨＧＷ１３は例えばＬ２（レイヤ２）ＴＰ／ＩＰｓｅｃを用いると、レイヤ２のプロトコルのパケットをトンネリングすることが可能であり、ホーム機器はＬ２ＴＰ／ＩＰＳｅｃのＶＰＮに対応してさえいればプロトコルは限定されず、さまざまな機種のホーム機器に対応した幅広いサービスを一元的に管理することができる。また、ホーム機器がＶＰＮに対応していない場合であっても、ＶＰＮに対応しているＰＣ等を経由してホーム機器をＨＧＷに接続することにより、本実施形態のアクセス制御システムを利用することができる。

本実施の形態によれば、アクセス制御サーバ通信部１３１と、ＨＧＷ情報取得部１３２と、ホーム機器通信部１３３と、ＮＡＴ／ＦＷ設定部１３４とが、ＯＳＧｉフレームワークを用いたバンドルで実装されているので、将来におけるホーム機器の増設や機能に拡張に対して容易に対応することができる。

１…アクセス制御システム
１０…アプリケーションサーバ群
１０ａ、１０ｂ…アプリケーションサーバ
１１…アクセス制御サーバ
１２…ＨＧＷアドレス管理サーバ
１３…ＨＧＷ群
１３ａ、１３ｂ…ＨＧＷ
１４…ホーム機器群
１４ａ〜１４ｄ…ホーム機器
１５…リモート端末
３０…外部ネットワーク
３１…専用ネットワーク
３２ａ、３２ｂ…ホームネットワーク
１３１…アクセス制御サーバ通信部
１３２…ＨＧＷ情報取得部
１３３…ホーム機器通信部
１３４…ＮＡＴ／ＦＷ設定部

Claims

外部ネットワークに配置されたリモート端末からホームネットワークに接続されているホーム機器にアクセスするためのアクセス制御システムにおいて、
前記外部ネットワークに配置され、前記ホーム機器の識別子を記憶手段に記憶しておき、前記接続されたホーム機器の中から対象ホーム機器を選択させるための管理ページを前記リモート端末に表示させ、これにより選択された対象ホーム機器の識別子を前記記憶手段から検索して、前記外部ネットワークと前記ホームネットワークとの境界に配置されたホームゲートウェイにおける外部ネットワーク側のアドレスに到達したアクセス要求を選択された対象ホーム機器に転送するようＮＡＴ及びＦＷのテーブル情報を設定する設定要求を送信する受付サーバと、
受付サーバ／ホーム機器からホーム機器／受付サーバへのアクセス制限を定めたアクセス制御リストに基づいて、前記設定要求を送信した受付サーバが前記対象ホーム機器にアクセス可能か否かを判定し、アクセス可能な場合に、ホーム機器の識別子からホームゲートウェイを検索可能なホームゲートウェイ識別子リストに基づいて、前記対象ホーム機器と同じホームネットワークに接続されたホームゲートウェイのアドレスを特定し、特定したホームゲートウェイに前記設定要求を、専用ネットワークを介して中継するアクセス制御サーバと、
前記アクセス制御サーバから専用ネットワークを介して中継された前記設定要求を受信するアクセス制御サーバ通信部と、前記設定要求を受信したときに自身に設定された外部ネットワーク側のアドレスを取得する情報取得部と、前記設定要求を受信したときに前記対象ホーム機器の識別子を用いてホームネットワークにブロードキャストを行って前記対象ホーム機器の前記ホームネットワーク上のアドレスである第１ローカルアドレスを取得し、さらに前記リモート端末と前記対象ホーム機器との間に確立するＶＰＮ上のアドレスである第２ローカルアドレスを取得するホーム機器通信部と、前記外部ネットワーク側で待ち受けるポート番号を決定した後に、前記外部ネットワーク側のアドレス及びポート番号と前記対象ホーム機器の前記第１ローカルアドレスとを用いて前記設定要求に応じた設定を行い、設定が成功すると、当該設定した外部ネットワーク側のアドレス及びポート番号と、前記第２ローカルアドレスとを前記受付サーバに送信する設定部とを有するホームゲートウェイとを備え、
前記ホームゲートウェイは、前記受付サーバに送信した前記外部ネットワーク側のアドレス及びポート番号により、前記リモート端末からのＶＰＮ接続要求のためのパケットが到達すると、当該パケットを前記設定された第１ローカルアドレスに基づいて前記ホーム機器に転送して、前記リモート端末と前記ホーム機器との間にＶＰＮを確立させ、
前記受付サーバは、前記ホームゲートウェイから受信した第２ローカルアドレスを用いてＵＲＩ又はＲＤＰファイルを生成し、該ＵＲＩ又はＲＤＰファイルへのリンクを生成して、前記リモート端末からのアクセス要求を管理ページから前記対象ホーム機器に遷移させ、確立されたＶＰＮ経由で前記リモート端末と前記対象ホーム機器との間で通信させることを特徴とするアクセス制御システム。
外部ネットワークに配置されたリモート端末からホームネットワークに接続されているホーム機器にアクセスするためのアクセス制御方法において、
前記外部ネットワークに配置された受付サーバが、前記ホーム機器の識別子を記憶手段に記憶しておき、前記接続されたホーム機器の中から対象ホーム機器を選択させるための管理ページを前記リモート端末に表示させ、これにより選択された対象ホーム機器の識別子を前記記憶手段から検索して、前記外部ネットワークと前記ホームネットワークとの境界に配置されたホームゲートウェイにおける外部ネットワーク側のアドレスに到達したアクセス要求を選択された対象ホーム機器に転送するようＮＡＴ及びＦＷのテーブル情報を設定する設定要求を送信するステップと、
アクセス制御サーバが、受付サーバ／ホーム機器からホーム機器／受付サーバへのアクセス制限を定めたアクセス制御リストに基づいて、前記設定要求を送信した受付サーバが前記対象ホーム機器にアクセス可能か否かを判定し、アクセス可能な場合に、ホーム機器の識別子からホームゲートウェイを検索可能なホームゲートウェイ識別子リストに基づいて、前記対象ホーム機器と同じホームネットワークに接続されたホームゲートウェイを特定し、特定した該ホームゲートウェイに前記設定要求を、専用ネットワークを介して中継するステップと、
前記ホームゲートウェイが、前記専用ネットワークを介して中継された前記設定要求を受信するステップと、
前記ホームゲートウェイが、前記設定要求を受信したときに自身に設定された外部ネットワーク側のアドレスを取得するステップと、
前記ホームゲートウェイが、前記設定要求を受信したときに前記対象ホーム機器の識別子を用いてホームネットワークにブロードキャストを行って前記対象ホーム機器の前記ホームネットワーク上のアドレスである第１ローカルアドレスを取得し、さらに前記リモート端末と前記対象ホーム機器との間に確立するＶＰＮ上のアドレスである第２ローカルアドレスを取得するステップと、
前記ホームゲートウェイが、前記外部ネットワーク側で待ち受けるポート番号を決定した後に、前記外部ネットワーク側のアドレス及びポート番号と前記対象ホーム機器の前記第１ローカルアドレスとを用いて、前記設定要求に応じた設定を行い、設定が成功すると、当該設定した外部ネットワーク側のアドレス及びポート番号と、前記第２ローカルアドレスとを前記受付サーバに送信するステップと、
前記受付サーバが、受信した前記外部ネットワーク側のアドレス及びポート番号を、前記リモート端末に通知するステップと、
前記ホームゲートウェイが、前記受付サーバに送信した前記外部ネットワーク側のアドレス及びポート番号により、前記リモート端末からのＶＰＮ接続要求のためのパケットが到達すると、当該パケットを前記設定された第１ローカルアドレスに基づいて前記ホーム機器に転送して、前記リモート端末と前記ホーム機器との間にＶＰＮを確立させるステップと、
前記受付サーバが、前記ホームゲートウェイから受信した第２ローカルアドレスを用いてＵＲＩ又はＲＤＰファイルを生成し、該ＵＲＩ又はＲＤＰファイルへのリンクを生成して、前記リモート端末からのアクセス要求を管理ページから前記対象ホーム機器に遷移させ、確立されたＶＰＮ経由で前記リモート端末と前記対象ホーム機器との間で通信させるステップと、
を有することを特徴とするアクセス制御方法。