JP5478546B2

JP5478546B2 - アクセス制御システム、およびアクセス制御方法

Info

Publication number: JP5478546B2
Application number: JP2011088010A
Authority: JP
Inventors: 和昭尾花; 育生依田; 晃平水野; 幸生小池
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2011-04-12
Filing date: 2011-04-12
Publication date: 2014-04-23
Anticipated expiration: 2031-04-12
Also published as: JP2012222678A

Description

本発明は、外部ネットワークに配置されたリモート端末から、ホームネットワークに接続されているホーム機器にアクセスするためのアクセス制御システム、およびアクセス制御方法に関する。

現在、インターネットの普及と、エンドユーザ宅内のホーム機器相互間をネットワークで結んだホームネットワークの進展とに伴い、ホームゲートウェイ（以下、ＨＧＷという）の必要性・重要性が増大している。

ＨＧＷは、ＰＣ機器、ＡＶ系機器、電話系機器、白物家電機器系等の種々の系統の標準規格間をまたいで、アドレス変換やデータの載せ換え等を行うことにより、ホーム機器を相互に接続し、更にホームネットワーク内の各ホーム機器間の通信だけでなく、それらとインターネットとの通信を橋渡しする機能も有している。

このようなＨＧＷがエンドユーザ宅内に配置され、インターネット側からエンドユーザ宅内へのアクセス（逆方向のアクセスも含む）を制限するファイアウォール（以下、ＦＷと称する。）機能や、プライベートアドレスをグローバルアドレスに変換（逆方向の変換も含む）するＮＡＰＴ（Network Address Port Translation）機能を備えたシステムとして、特許文献１に記載のアクセス制御システムがある。

この特許文献１に記載のアクセス制御システムは、外部ネットワークに配置されたリモート端末からホームネットワークに接続されているホーム機器にアクセスするためのシステムであり、当該リモート端末からアクセス要求が送信された後に、外部ネットワークに接続された外部ネットワーク側のアドレスを取得するように構成されている。

このように構成することにより、外部ネットワークとホームネットワークとの境界に配置されたホームゲートウェイ（以下、ＨＧＷと称する。）の外部ネットワーク側のアドレスが動的に変更されるような場合であっても、リモート端末からのアクセスを確実にホームゲートウェイに遷移させ、ユーザによるホーム機器へのアクセスを確実なものとすることができる。

また、ホーム機器がＨＧＷのＦＷを制御したり、ＮＡＰＴの設定を行ったりするためにＵＰｎＰ技術を利用する必要はないので、ホーム機器がＵＰｎＰに対応している必要はなく、広く一般に普及している機器をアクセス制御の対象とすることができる。

特開２０１１−３９５７号公報

この特許文献１に記載のアクセス制御システムは、ＮＡＰＴ／ＦＷの制御を単一のポートに対して行うものであり、またＯＳＩ参照モデルで規定されたネットワーク階層の高位レイヤのプロトコル（例えばＨＴＴＰ：Hyper Text Transfer Protocol）によりリモート端末からホーム機器に対して直接アクセスするための技術である。

そのため、このアクセス制御システムにおいてリモート端末からホーム機器へのアクセスを高いセキュリティ品質で実行するためにはＳＳＬ（Secure Socket Layer）により接続することが考えられるが、この場合、ホーム機器に対して正規のサーバ証明書をインストールする必要があり、サーバ証明書の発行のためのコストがかかるという問題があった。ここで独自証明書を使用することも考えられるが、他のなりすましサイトへの誘導時と見分けがつかないなど、セキュリティ品質が低下するという問題があった。

また、上記特許文献１に記載のアクセス制御システムではＮＡＰＴ／ＦＷを用いて外部からホーム機器にアクセスするための手法であり、ホーム機器がＬＡＮ以外からのアクセスを拒否する仕様である場合にはホーム機器へのアクセスができないという問題があった。

本発明は上記課題を鑑みてなされたものであり、ホームネットワークに接続された多種多様なホーム機器に対して、外部ネットワークから確実かつ安全にアクセスすることが可能なアクセス制御システム、およびアクセス制御方法を提供することを課題とする。

上記の課題を解決するための本発明のアクセス制御システムは、外部ネットワークに配置されたＶＰＮクライアント機能を有するリモート端末からホームネットワークに接続されているホーム機器にアクセスするためのアクセス制御システムにおいて、前記外部ネットワークに配置され、前記ホーム機器の識別子を記憶手段に記憶しておき、前記接続されたホーム機器の中から対象ホーム機器を選択させるための管理ページを前記リモート端末に表示させ、これにより選択された対象ホーム機器の識別子を前記記憶手段から検索して、前記外部ネットワークと前記ホームネットワークとの境界に配置されたホームゲートウェイと前記リモート端末との間にＶＰＮを確立できるように、当該ＶＰＮを確立する際に利用するポートの情報を含むファイアウォールのテーブル情報を設定するためのファイアウォール設定要求を送信し、また前記ＶＰＮ確立後に前記ホームゲートウェイにおけるＶＰＮ上のアドレスに到達したアクセス要求を選択された対象ホーム機器に転送するように、ＮＡＴテーブル情報を設定するためのＮＡＴ設定要求ないしはリバースプロキシ設定を行うためのリバースプロキシ設定要求を送信する受付サーバと、受付サーバ／ホーム機器からホーム機器／受付サーバへのアクセス制限を定めたアクセス制御リストに基づいて、前記ファイアウォール設定要求、またはＮＡＴ設定要求ないしはリバースプロキシ設定要求を送信した受付サーバが前記対象ホーム機器にアクセス可能か否かを判定し、アクセス可能な場合に、ホーム機器の識別子からホームゲートウェイを検索可能なホームゲートウェイ識別子リストに基づいて、前記対象ホーム機器と同じホームネットワークに接続されたホームゲートウェイを特定し、特定された該ホームゲートウェイに前記ファイアウォール設定要求、またはＮＡＴ設定要求ないしはリバースプロキシ設定要求を、専用ネットワークを介して中継するアクセス制御サーバと、前記アクセス制御サーバから前記専用ネットワークを介して中継された前記ファイアウォール設定要求、またはＮＡＴ設定要求ないしはリバースプロキシ設定要求を受信するアクセス制御サーバ通信部と、前記ファイアウォール設定要求を受信したときに自身に設定されている外部ネットワーク側のアドレスを取得し、前記ＮＡＴ設定要求ないしはリバースプロキシ設定要求を受信したときに前記ホームゲートウェイにおけるＶＰＮ上のアドレスを取得する情報取得部と、前記ＮＡＴ設定要求ないしはリバースプロキシ設定要求を受信したときに前記対象ホーム機器の識別子を用いてホームネットワークにブロードキャストを行って前記対象ホーム機器のローカルアドレスを取得するホーム機器通信部と、前記ファイアウォール設定要求を受信したときに前記ファイアウォール設定要求に基づいて、前記ポートの情報で示されるポートを開け、前記リモート端末から送信されるＶＰＮ確立リクエストのみを受け付けるように前記ファイアウォールのテーブル情報を設定し、前記ＮＡＴ設定要求ないしはリバースプロキシ設定要求を受信したときに、前記ホームゲートウェイにおいてＶＰＮ上で待ち受けるポート番号を決定した後に、前記ホームゲートウェイにおけるＶＰＮ上のアドレス及び決定したポート番号と前記対象ホーム機器の前記ローカルアドレスとを用いて、前記ＮＡＴ設定要求ないしはリバースプロキシ設定要求に応じた設定を行う設定部と、設定された前記ファイアウォールのテーブル情報により、前記リモート端末から送信されるＶＰＮ確立リクエストに応じて前記ホームゲートウェイとの間にＶＰＮを確立させるＶＰＮサーバ機能部とを有するホームゲートウェイとを備え、前記受付サーバは、前記ホームゲートウェイにおけるＶＰＮ上のアドレス及び決定したポート番号を用いてＵＲＩ又はＲＤＰファイルを生成し、該ＵＲＩ又はＲＤＰファイルへのリンクを生成して、前記リモート端末からのアクセス要求を管理ページから前記対象ホーム機器に、確立されたＶＰＮを経由して遷移させることを特徴とする。

また、本発明のアクセス制御方法は、外部ネットワークに配置されたＶＰＮクライアント機能を有するリモート端末からホームネットワークに接続されているホーム機器にアクセスするためのアクセス制御方法において、前記外部ネットワークに配置された受付サーバが、前記ホーム機器の識別子を記憶手段に記憶しておき、前記接続されたホーム機器の中から対象ホーム機器を選択させるための管理ページを前記リモート端末に表示させ、これにより選択された対象ホーム機器の識別子を前記記憶手段から検索して、前記外部ネットワークと前記ホームネットワークとの境界に配置されたホームゲートウェイと前記リモート端末との間にＶＰＮを確立できるように、当該ＶＰＮを確立する際に利用するポートの情報を含むファイアウォールのテーブル情報を設定するためのファイアウォール設定要求を送信するステップと、アクセス制御サーバが、受付サーバ／ホーム機器からホーム機器／受付サーバへのアクセス制限を定めたアクセス制御リストに基づいて、前記ファイアウォール設定要求を送信した受付サーバが前記対象ホーム機器にアクセス可能か否かを判定し、アクセス可能な場合に、ホーム機器の識別子からホームゲートウェイを検索可能なホームゲートウェイ識別子リストに基づいて、前記対象ホーム機器と同じホームネットワークに接続されたホームゲートウェイを特定し、特定された該ホームゲートウェイに前記ファイアウォール設定要求を、専用ネットワークを介して中継するステップと、前記ホームゲートウェイのアクセス制御サーバ通信部が、前記アクセス制御サーバから前記専用ネットワークを介して中継された前記ファイアウォール設定要求を受信するステップと、前記ホームゲートウェイの情報取得部が、前記ファイアウォール設定要求を受信したときに自身に設定されている外部ネットワーク側のアドレスを取得ステップと、前記ホームゲートウェイの設定部が、前記ファイアウォール設定要求を受信したときに前記ファイアウォール設定要求に基づいて、前記ポートの情報で示されるポートを開け、前記リモート端末から送信されるＶＰＮ確立リクエストのみを受け付けるように前記ファイアウォールのテーブル情報を設定するステップと、前記ホームゲートウェイのＶＰＮサーバ機能部が、設定されたファイアウォールのテーブル情報により、前記リモート端末から送信されるＶＰＮ確立リクエストに応じて前記ホームゲートウェイとの間にＶＰＮを確立させるステップと、前記受付サーバが、前記ＶＰＮ確立後に前記ホームゲートウェイにおける前記ＶＰＮ上のアドレスに到達したアクセス要求を選択された対象ホーム機器に転送するように、ＮＡＴテーブル情報を設定するためのＮＡＴ設定要求ないしはリバースプロキシ設定を行うためのリバースプロキシ設定要求を送信するステップと、前記アクセス制御サーバが、受付サーバ／ホーム機器からホーム機器／受付サーバへのアクセス制限を定めたアクセス制御リストに基づいて、前記ＮＡＴ設定要求ないしはリバースプロキシ設定要求を送信した受付サーバが前記対象ホーム機器にアクセス可能か否かを判定し、アクセス可能な場合に、ホーム機器の識別子からホームゲートウェイを検索可能なホームゲートウェイ識別子リストに基づいて、前記対象ホーム機器と同じホームネットワークに接続されたホームゲートウェイを特定し、特定された該ホームゲートウェイに前記ＮＡＴ設定要求ないしはリバースプロキシ設定要求を、専用ネットワークを介して中継するステップと、前記ホームゲートウェイのアクセス制御サーバ通信部が、前記アクセス制御サーバから専用ネットワークを介して中継された前記ＮＡＴ設定要求ないしはリバースプロキシ設定要求を受信するステップと、前記ホームゲートウェイの情報取得部が、前記ＮＡＴ設定要求ないしはリバースプロキシ設定要求を受信したときに自身に設定されているＶＰＮ上のアドレスを取得するステップと、前記ホームゲートウェイのホーム機器通信部が、前記ＮＡＴ設定要求ないしはリバースプロキシ設定要求を受信したときに前記対象ホーム機器の識別子を用いてホームネットワークにブロードキャストを行って前記対象ホーム機器のローカルアドレスを取得するステップと、前記ホームゲートウェイの設定部が、前記ＮＡＴ設定要求ないしはリバースプロキシ設定要求を受信したときに、前記ホームゲートウェイにおいてＶＰＮ上で待ち受けるポート番号を決定した後に、前記ＶＰＮ上のアドレス及び決定したポート番号と前記対象ホーム機器の前記ローカルアドレスとを用いて、前記ＮＡＴ設定要求ないしはリバースプロキシ設定要求に応じた設定を行うステップと、前記受付サーバが、前記ホームゲートウェイにおけるＶＰＮ上のアドレス及び決定したポート番号を用いてＵＲＩ又はＲＤＰファイルを生成し、該ＵＲＩ又はＲＤＰファイルへのリンクを生成して、前記リモート端末からのアクセス要求を管理ページから前記対象ホーム機器に、確立されたＶＰＮを経由して遷移させるステップとを有することを特徴とする。

本発明のアクセス制御システム、およびアクセス制御方法によれば、ホームネットワークに接続された多種多様なホーム機器に対して、外部ネットワークから確実かつ安全にアクセスすることができる。

本発明の一実施形態によるアクセス制御システムの構成を示す全体図である。本発明の一実施形態によるアクセス制御システムのＨＧＷの構成を示すブロック図である。本発明の一実施形態によるアクセス制御システムの動作を示すシーケンス図である。本発明の一実施形態によるアクセス制御システムを利用するリモート端末の表示部の画面遷移を示す説明図である。本発明の一実施形態によるアクセス制御システムを利用するリモート端末の表示部の画面遷移を示す他の説明図である。本発明の一実施形態によるアクセス制御システムを利用するリモート端末の表示部の画面遷移を示す他の説明図である。

以下、一実施形態について図面を用いて説明する。

図１は、本実施形態に係るアクセス制御システムの全体構成を示す図である。

本アクセス制御システム１は、エンドユーザ宅Ａ，Ｂのホームネットワーク３２に接続されたホーム機器１４ａ〜１４ｄに対し、外部ネットワーク３０を介してリモート端末１５からＮＡＴ（Network Address Translation）機能によりアクセスするためのアクセス制御システムであって、受付サーバとしての第１アプリケーションサーバ１０ａおよび第２アプリケーションサーバ１０ｂを含むアプリケーションサーバ群１０と、アクセス制御サーバ１１と、ＨＧＷアドレス管理サーバ１２と、第１ＨＧＷ１３ａおよび第２ＨＧＷ１３ｂを含むＨＧＷ群１３と、専用ネットワーク３１とで構成されている。

なお、このようなアクセス制御システム１を構成している各サーバやＨＧＷは、ＣＰＵ等の演算処理装置やメモリ等の記憶装置を備えたコンピュータにより構成可能なものであり、各機能処理はプログラムによって実行される。

また、このアクセス制御システム１を利用するためのリモート端末１５には、外部ネットワーク３０を介してホーム機器１４ａ〜１４ｄにアクセスするためのリモートアクセスクライアントソフトウェアが搭載されるとともに、ＶＰＮ（Virtual Private Network）クライアントとしてＶＰＮを確立するためのＶＰＮ接続ツールがＯＳに搭載されている。

また、このようなプログラムは記憶装置に記憶されており、記録媒体に記録することも、ネットワークを通して提供することも可能である。

以下、本アクセス制御システム１の機能及び処理フローについて個別具体的に説明すると共に、本実施の形態における作用及び効果について説明する。

アプリケーションサーバ群１０は、インターネット等の広く一般に用いられている広域網である外部ネットワーク３０に接続されており、エンドユーザ宅Ａ，Ｂのホームネットワーク３２ａ、３２ｂに接続されているホーム機器の識別子を記憶部に記憶しておく機能を有している。

また、リモート端末１５からアクセス要求があった場合に、上記記憶部に記憶されているホーム機器の識別子（又はホーム機器の名称）や、ホーム機器へのアクセス方法（具体的には、リモートアクセス、又はリモートデスクトップ接続）を選択可能なホーム機器一元管理ページをリモート端末１５に表示させる機能を有している。

なお、このホーム機器一元管理ページとは、複数のエンドユーザ宅Ａ，Ｂのホームネットワーク３２に接続された異なる様々なベンダの機器を纏めて一元的に管理し、画面に表示されるページである。

またリモート端末１５とは、エンドユーザがホーム機器１４ａ〜１４ｄに対しリモートでアクセス制御を行うために用いる端末であって、例えばＰＣ、携帯電話、ＴＶ等を一例とし、ホーム機器（第１ホーム機器１４ａ〜第３ホーム機器１４ｄ）とは、エンドユーザによりアクセス制御される対象機器である。

さらに、アプリケーションサーバ群１０の第１アプリケーションサーバ１０ａ、第２アプリケーションサーバ１０ｂは、リモート端末１５を操作しているエンドユーザにより選択されたホーム機器（以降、対象ホーム機器という）の識別子を上記記憶部から検索して、対象ホーム機器に対応するホームゲートウェイとの間にＶＰＮを確立できるように、当該ＶＰＮを確立する際に利用するポートの情報を含むＦＷのテーブル情報を設定するためのＦＷ設定要求、およびＶＰＮ確立後に該ＨＧＷ１３のＶＰＮ上のアドレスに到達したアクセス要求を対象ホーム機器に転送するように、該ＨＧＷ１３のＮＡＴのテーブル情報を設定するためのＮＡＴ設定要求ないしリバースプロキシ設定要求を送信する機能を有している。

また、ＨＧＷ１３のＦＷのテーブル情報が上記ＦＷ設定要求に基づいて設定（変更や追加）された場合に、該ＨＧＷ１３の外部ネットワーク側のアドレス及びポート番号を用いてリモート端末１５と該ＨＧＷ１３との間にＶＰＮを確立し、また該ＨＧＷ１３のＮＡＴのテーブル情報が上記ＮＡＴ設定要求に基づいて設定（変更や追加）された場合ないしリバースプロキシ情報が上記リバースプロキシ設定要求に基づいて設定（変更や追加）された場合に、該ＨＧＷ１３のＶＰＮ上のアドレスおよびＶＰＮ上の待ち受けポート番号を元にＵＲＩ又はＲＤＰファイルを生成し、生成したＵＲＩ又はＲＤＰファイルへのリンクを生成した上でリダイレクトが可能であればリダイレクトを行い、リモート端末１５からのアクセス要求をホーム機器一元管理ページから対象ホーム機器にＶＰＮ経由で遷移させる機能を有している。

なお、アプリケーションサーバ１０ａ、１０ｂは、リモート端末１５からアクセスがあった際に、予め登録されたエンドユーザ情報やパスワードを用いて、ログイン認証を行うことも可能となっている。

アクセス制御サーバ１１は、アプリケーションサーバ１０ａ、１０ｂと、ホームネットワーク３２との間の通信を司るサーバであって、アプリケーションサーバ１０ａ、１０ｂからホーム機器１４ａ〜１４ｄへの通信（アクション中継）とホーム機器１４ａ〜１４ｄからアプリケーションサーバ１０ａ、１０ｂへの通信（ノーティファイ中継）との許可／不許可を設定したアクセスコントロールリスト（以下、ＡＣＬという）と、ホーム機器１４ａ〜１４ｄの識別子とＨＧＷ１３ａ、１３ｂの識別子とを対応付けて記載したＨＧＷ識別子リスト（以下、ＨＩＬという）とを記憶しておく機能を有している。

また、ＡＣＬに基づいて、上記ＦＷ設定要求、またはＮＡＴ設定要求ないしリバースプロキシ設定要求を送信したアプリケーションサーバ１０ａ、１０ｂが対象ホーム機器にアクセス可能か否かを判定し、アクセス可能な場合に、ＨＩＬに基づいて、対象ホーム機器と同じホームネットワークのＨＧＷ１３を検索し、ＮＧＮ（Next Generation Network）網等の閉域かつセキュアな専用ネットワーク３１に配置されているＨＧＷアドレス管理サーバ１２へＨＧＷ１３の専用ネットワーク３１側のアドレスを問い合わせ、その問い合わせ結果から得られたＨＧＷ１３のアドレスにＦＷ設定要求またはＮＡＴ設定要求を中継する機能を有している。

ＨＧＷアドレス管理サーバ１２は、専用ネットワーク３１に接続されているＨＧＷ１３ａ、１３ｂにアドレスを割り振ると共に、割り振ったＨＧＷ１３の専用ネットワーク側のアドレスとＨＧＷ１３の識別子とを関連付けて管理しておき、アクセス制御サーバ１１からの問い合わせに応じたＨＧＷ１３のアドレスを送信する機能を有している。

ＨＧＷ１３ａ、１３ｂは、外部ネットワーク３０と専用ネットワーク３１とホームネットワーク３２ａ、３２ｂとに接続され、ルータ機能、ＮＡＴ機能、ＦＷ機能、ＶＰＮサーバ機能を具備している。

またＨＧＷ１３ａ、１３ｂは、図２に示すように、専用ネットワーク３１を介して中継された上記ＦＷ設定要求、ＮＡＴ設定要求ないしリバースプロキシ設定要求、ＶＰＮ確立リクエストを受信するアクセス制御サーバ通信部１３１と、ＦＷ設定要求を受信したときに自身に設定された外部ネットワーク３０側のアドレスを取得し、ＶＰＮ確立後にＮＡＴ設定要求ないしリバースプロキシ設定要求を受信したときにＶＰＮ上のアドレスを取得するＨＧＷ情報取得部１３２と、ＶＰＮ確立後にＮＡＴ設定要求ないしリバースプロキシ設定要求を受信したときに対象ホーム機器の識別子を用いてホームネットワーク３２にブロードキャストを行って対象ホーム機器のローカルアドレスを取得するホーム機器通信部１３３と、ＦＷ設定要求を受信したときにＶＰＮ接続で利用するためのポートを開けるためのＦＷ設定を行い、ＶＰＮ確立後にＮＡＴ設定要求を受信したときに外部ネットワーク３０側で待ち受けるポート番号を決定した後に、ＨＧＷ１３におけるＶＰＮ上のアドレス及びＶＰＮ上のポート番号と対象ホーム機器のローカルアドレスとを用いて、当該ＮＡＴ設定要求に応じた設定を行うＮＡＴ／ＦＷ設定部１３４と、ＶＰＮ確立後にリバースプロキシ設定要求を受信したときに外部ネットワーク３０側で待ち受けるポート番号を決定した後に、ＨＧＷ１３におけるＶＰＮ上のアドレス及びポート番号と対象ホーム機器のローカルアドレスとを用いて、リバースプロキシ設定要求に応じた設定を行い、設定したリバースプロキシ設定によりアクセス制御を行うリバースプロキシ機能部１３５と、ＶＰＮ確立リクエストを受信したときにＶＰＮサーバとしてＶＰＮを確立させるＶＰＮサーバ機能部１３６と、ＮＡＴ／ＦＷ設定部１３４で設定されたＦＷ設定およびＮＡＴ設定によりアクセス制御を行うＮＡＴ／ＦＷ機能部１３７とで構成されている。

このＨＧＷ１３ａ、１３ｂを構成しているアクセス制御サーバ通信部１３１と、ＨＧＷ情報取得部１３２と、ホーム機器通信部１３３と、ＮＡＴ／ＦＷ設定部１３４と、リバースプロキシ機能部１３５とは、ＯＳＧｉ（Open Services Gateway initiative）フレームワークを用いたバンドルで実装されている。

このようにバンドルで実装することにより、ＯＳＧｉフレームワークを用いて各バンドルを容易に配布し、アップデートが可能となるので、様々なホーム機器に対応することが可能となる。

本実施の形態では、アプリケーションサーバ１０ａ、１０ｂとアクセス制御サーバ１１とを互いに独立した装置として説明するが、運用形態によっては、両サーバの機能を１つの装置に集約させることも可能である。

次に、本アクセス制御システム１の処理フローについて説明する。図３は、アクセス制御システムの処理フローを示す図である。

最初に、ステップＳ１において、リモート端末１５から第１アプリケーションサーバ１０ａに対してエンドユーザ宅のホーム機器へのアクセス要求（Ｗｅｂブラウザでのウェブ接続）があった場合に、ログイン認証を行い、第１アプリケーションサーバ１０ａが、該エンドユーザ宅内に配置されているホーム機器を選択させるホーム機器一元管理ページをリモート端末１５の画面に出力させる。

これにより、リモート端末１５を操作しているエンドユーザは、エンドユーザ宅内において所望するホーム機器を選択することが可能となる。

ステップＳ２において、エンドユーザにより所定のホーム機器１４が選択された（以下、第１ホーム機器１４ａが選択されたものとする）後に、第１アプリケーションサーバ１０ａが、選択された第１ホーム機器１４ａで利用可能なアクセス方法を選択させる画面、具体的には「リモートアクセス」又は「リモートデスクトップ接続」を選択する表示を上記ホーム機器一元管理ページに出力する。

ステップＳ３において、第１アプリケーションサーバ１０ａが、選択された第１ホーム機器１４ａの識別子を記憶部から検索取得し、ＶＰＮを確立するためのＦＷ設定要求の識別子と、ＶＰＮで利用するポートの情報と、送信元である第１アプリケーションサーバ１０ａの識別子と、送信先である第１ホーム機器１４ａの識別子と、リモート端末１５のソースアドレスとを指定し、これら指定情報を記載したＦＷ設定要求パケットを中継するようアクセス制御サーバ１１に送信する。

ステップＳ４において、ＦＷ設定要求パケットを受信したアクセス制御サーバ１１が、そのパケットに記載されている第１アプリケーションサーバ１０ａの識別子と第１ホーム機器１４ａの識別子とを用いて、ＡＣＬの設定内容に基づいて送信可能な宛先であるか否かを判定し、送信可能な場合には、第１ホーム機器１４ａの識別子に対応付けられたＨＧＷ１３の識別子がＨＩＬから取得され、ＨＧＷが特定される（ここでは、第１ＨＧＷ１３ａの識別子が取得されたものとする）。

その後、専用ネットワーク３１を介して第１ＨＧＷ１３ａの識別子をＨＧＷアドレス管理サーバ１２に送信して、第１ＨＧＷ１３ａにおける専用ネットワーク側のアドレスを取得する。

そして、受信しているＦＷ設定要求パケットを、取得されたアドレスの第１ＨＧＷ１３ａに中継する。

ステップＳ５において、専用ネットワーク３１を介してアクセス制御サーバ１１で中継されたＦＷ設定要求パケットを第１ＨＧＷ１３ａのアクセス制御サーバ通信部１３１で受信した後に、ＨＧＷ情報取得部１３２が、自身の外部ネットワーク３０側に設定されているアドレスを取得する。

そして、ＮＡＴ／ＦＷ設定部１３４が、当該ＦＷ設定要求パケットに記述されている、ＶＰＮで利用するポートを開けるようにＦＷの設定を行う。このとき、当該ＦＷ設定要求パケットに記述されているリモート端末１５のソースアドレスを用いて、ＮＡＴ／ＦＷ機能部１３７が、このリモート端末１５からのＶＰＮ確立リクエストのみを受け付けるように設定が行われる。

このＦＷの設定が成功した場合には、第１ＨＧＷ１３ａの外部ネットワーク３０側のアドレス及び待ち受けポート番号を、専用ネットワーク３１を介して第１アプリケーションサーバ１０ａに返却する。

ステップＳ６において、第１アプリケーションサーバ１０ａが、返却された第１ＨＧＷ１３ａの外部ネットワーク側のアドレス及び待ち受けポート番号をＶＰＮクライアントとしてのリモート端末１５のリモートアクセスクライアントソフトウェアに通知し、このリモートアクセスクライアントソフトウェアからＶＰＮ接続ツールを利用してＶＰＮ確立リクエストを送信し、このＶＰＮ確立リクエストをＨＧＷ１３ａのＶＰＮサーバ機能部１３６およびＮＡＴ／ＦＷ機能部１３７が受信することにより設定されたＦＷ設定により、外部ネットワーク３０上のリモート端末１５と第１ＨＧＷ１３ａとの間にＶＰＮを確立させる。

次に、第１アプリケーションサーバ１０ａが、ＮＡＴないしはリバースプロキシの設定のため、ホーム機器１４ａにアクセスするためのＮＡＴ設定要求の識別子ないしはリバースプロキシ設定の識別子と、送信元である第１アプリケーションサーバ１０ａの識別子と、送信先である第１ホーム機器１４ａの識別子とを指定すると共に、必要に応じてＨＧＷ１３の待ち受けポート番号を指定し、これら指定情報を記載したＮＡＴ設定要求パケットないしはリバースプロキシ設定要求パケットを中継するようアクセス制御サーバ１１に送信する。

ステップＳ７において、ＮＡＴ設定要求パケットないしはリバースプロキシ設定要求パケットを受信したアクセス制御サーバ１１が、そのパケットに記載されている第１アプリケーションサーバ１０ａの識別子と第１ホーム機器１４ａの識別子とを用いて、ＡＣＬの設定内容に基づいて送信可能な宛先であるか否かを判定し、送信可能な場合には、第１ホーム機器１４ａの識別子に対応付けられたＨＧＷ１３の識別子がＨＩＬから取得される（ここでは、第１ＨＧＷ１３ａの識別子が取得されたものとする）。

そして、受信しているＮＡＴ設定要求パケットないしはリバースプロキシ設定要求パケットを、取得されたアドレスの第１ＨＧＷ１３ａに中継する。

ステップＳ８において、専用ネットワーク３１を介してアクセス制御サーバ１１で中継されたＮＡＴ設定要求パケットないしはリバースプロキシ設定要求パケットを第１ＨＧＷ１３ａのアクセス制御サーバ通信部１３１で受信した後に、ＨＧＷ情報取得部１３２が、自身のＶＰＮ上に設定されているアドレスを取得する。

そして、ホーム機器通信部１３３が、ＮＡＴ設定要求パケットないしはリバースプロキシ設定要求パケットに記載されている第１ホーム機器１４ａの識別子を用いてホームネットワーク３２にブロードキャストにより問い合わせを行い、第１ホーム機器１４ａのローカルアドレスを取得する。

その後、ＮＡＴ設定要求パケットないしはリバースプロキシ設定要求パケットにＨＧＷ１３の待ち受けポート番号が指定されている場合にはそのポート番号、指定されていない場合や予め規定されている場合には該規定に従うポート番号、又はランダムに決定したポート番号のうちいずれかを第１ＨＧＷ１３ａのＶＰＮ上の待ち受けポート番号として用いて、ＨＧＷ情報取得部１３２により取得したＶＰＮ上のアドレスであって決定した待ち受けポート番号に到達したパケットを、ホーム機器通信部１３３により取得した第１ホーム機器１４ａのローカルアドレスであってＮＡＴ設定要求パケットないしはリバースプロキシ設定要求パケットに記載されている第１ホーム機器１４ａに転送可能とするように、ＮＡＴ／ＦＷ設定部１３４がＮＡＴのテーブル情報を設定（変更や追加）を行うかまたは、リバースプロキシ機能部１３５がリバースプロキシ設定を行う。この設定において、第１ホーム機器１４ａのポート番号は、ホーム機器への問い合わせによって得られたポート番号、予め規定されているポート番号、又はランダムに決定したポート番号のうちいずれかが用いられて設定される。ランダムに決定した場合には、別途第１ホーム機器１４ａに対して決定したポート番号が通知され、該第１ホーム機器１４ａはリモート端末１５からの通信のための待ち受けを該ポート番号において行う。

設定が成功した場合には、第１ＨＧＷ１３ａのＶＰＮ上のアドレス及びＶＰＮ上の待ち受けポート番号を、専用ネットワーク３１を介して第１アプリケーションサーバ１０ａに返却する。

またステップＳ９において、第１アプリケーションサーバ１０ａは、返却された情報を元にＵＲＩ又はＲＤＰファイルを生成し、ＵＲＩ又はＲＤＰファイルへのリンクを生成した上でリダイレクトが可能であればリダイレクトを行い、リモート端末１５からのアクセス要求をホーム機器一元管理ページから第１ホーム機器１４ａに遷移させる。

ステップＳ１０においてエンドユーザは、そのまま待機するか、画面に表示されているリンクをクリックすることにより、外部ネットワーク３０上にリモート端末１５からＨＧＷ１４ａに確立されたＶＰＮおよび、ＨＧＷ１４ａ上のＮＡＴ設定ないしはリバースプロキシ設定により、ＮＡＴ／ＦＷ機能部１３７またはリバースプロキシ機能部１３５により第１ホーム機器１４ａへのアクセス制御が行われ、リモート端末１５と第１ホーム機器１４ａとの間で通信が可能となる。

最後に、ステップＳ１１において、第１ホーム機器１４ａへのアクセス終了後、タイムアウト処理、又はホーム機器一元管理ページからのユーザの明示的な指示に基づいて、ステップＳ５およびＳ８で設定した設定情報をＮＡＴ／ＦＷのテーブル情報から削除する。

以上説明した本アクセス制御システムを用いることにより、例えば、１）Ｗｅｂブラウザを用いたホーム機器へのｈｔｔｐ／ｈｔｔｐｓでのリモートアクセス、２）Ｗｅｂブラウザとリモートデスクトップ接続とを用いたホーム機器へのリモートデスクトップ接続、３）Ｗｅｂブラウザと動画ファイルを再生可能なソフトウェアとを用いたＤＬＮＡ（Digital Living Network Alliance）のコンテンツ視聴等のサービスを提供することが可能となる。

最初に、上記１）の場合における画面遷移を図４に示す。

このリモートアクセスは、ホーム機器を選択した後に、ＨＧＷ１３のアクセス制御サーバ通信部１３１を経由してＮＡＴ／ＦＷ設定部１３４によりＶＰＮ接続のためのＦＷ設定を行い、ＶＰＮを確立した上でＮＡＴ／ＦＷ設定部１３４によるＮＡＴの設定またはリバースプロキシ機能部によるリバースプロキシの設定を行い、設定完了後にリダイレクトを行って、ホーム機器へＶＰＮ経由で直接アクセスするアクセス方法である。

まず、リモート端末１５の画面には、ホーム機器を選択するホーム機器一元管理ページが表示され（遷移Ｓａ１）、続いて、選択されたホーム機器で利用可能なアクセス方法等が表示される（遷移Ｓａ２）。

リモートアクセスを選択することにより、ホーム機器の管理画面又はファイル閲覧を選択する画面が表示され（遷移Ｓａ３）、ファイル閲覧の開始が選択されることにより、アクセス制御サーバ１１経由でＨＧＷ１３のＦＷ設定およびＶＰＮの確立が行われ、さらにＮＡＴの設定またはリバースプロキシの設定が行われる。

ここで、新たなウィンドウが立ち上がり、ＦＷ設定、ＶＰＮの確立、ＮＡＴ設定ないしはリバースプロキシ設定中には「設定中」であることが表示され（遷移Ｓａ４）、設定完了後にはその旨が表示される（遷移Ｓａ５）。

その後、リダイレクトを行うか、又は画面上での指定箇所をクリックしてリンクを辿ることにより、ＶＰＮ経由でホーム機器のページが表示され、ホーム機器のファイルを閲覧することが可能となる（遷移Ｓａ６）。

そして、ファイルの閲覧が終了する場合にはページを閉じることにより（遷移Ｓａ７）、遷移Ｓａ３の画面に戻る（遷移Ｓａ８）。

その後、ファイル閲覧の終了を選択することにより全ての処理が終了する（遷移Ｓａ９、Ｓａ１０）。

次に、上記２）の場合における画面遷移を図５に示す。

このリモートデスクトップ接続は、ホーム機器を選択した後に、ＨＧＷ１３のアクセス制御サーバ通信部１３１を経由してＮＡＴ／ＦＷ設定部１３４によりＶＰＮ接続のためのＦＷ設定を行い、ＶＰＮを確立した上でＮＡＴ／ＦＷ設定部１３４によるＮＡＴの設定またはリバースプロキシ機能部によるリバースプロキシの設定を行い、設定完了後にアクセス対象のホーム機器にＶＰＮ経由でアクセス可能となるよう、ＶＰＮ上におけるＮＡＴでの外部ネットワーク３０側の待ち受けポート番号およびＶＰＮ上のアドレス、またはＶＰＮ上のリバースプロキシでの外部ネットワーク３０側の待ち受けポートおよびＶＰＮ上のアドレスを記述したＲＤＰファイルを生成し、該ＲＤＰファイルへのＵＲＬを記述したページを生成して、ホーム機器へリモートデスクトップで直接アクセスするアクセス方法である。

まず、リモート端末１５の画面には、ホーム機器を選択するホーム機器一元管理ページが表示され（遷移Ｓｂ１）、続いて、選択されたホーム機器で利用可能なアクセス方法等が表示される（遷移Ｓｂ２）。

ＲＤＰ接続を選択することにより、ＲＤＰ接続の開始／終了を選択する画面が表示され（遷移Ｓｂ３）、ＲＤＰ接続の開始が選択されることにより、アクセス制御サーバ１１経由でＨＧＷ１３のＦＷ設定およびＶＰＮの確立が行われ、さらにＮＡＴの設定またはリバースプロキシの設定が行われる。

ここで、新たなウィンドウが立ち上がり、ＦＷ設定、ＶＰＮの確立、ＮＡＴ設定ないしはリバースプロキシ設定中には「設定中」であることが表示され（遷移Ｓｂ４）、その設定やＲＤＰファイルが生成された後に、ＲＤＰファイルへのリンクを記述したページが表示される（遷移Ｓｂ５）。

その後、表示された指定箇所をクリックすることにより外部プログラムが起動し、ホーム機器へＶＰＮ経由でリモートデスクトップ接続によりアクセスすることが可能となる（遷移Ｓｂ６）。

そして、そのホーム機器への接続を終了する場合には、ページを閉じることにより（遷移Ｓｂ７）、遷移Ｓｂ３の画面に戻る（遷移Ｓｂ８）。

その後、ＲＤＰ接続の終了を選択することにより全ての処理が終了する（遷移Ｓｂ９、Ｓｂ１０）。

最後に、上記３）の場合における画面遷移を図６に示す。

このコンテンツ視聴は、ホーム機器を選択した後に、ＨＧＷ１３のアクセス制御サーバ通信部１３１及びホーム機器通信部１３３を経由してホーム機器が有するコンテンツ迄の階層を辿り、その提供可能なコンテンツリストを取得した後に、アクセス制御サーバ通信部１３１を経由してＮＡＴ／ＦＷ設定部１３４によりＦＷ設定を行い、ＶＰＮを確立した上でＮＡＴ／ＦＷ設定部１３４によるＮＡＴの設定またはリバースプロキシ機能部によるリバースプロキシの設定を行い、設定完了後にアクセス対象のホーム機器のコンテンツにアクセス可能となるよう、ＶＰＮ上におけるＮＡＴでの外部ネットワーク３０側の待ち受けポート番号およびＶＰＮ上のアドレス、またはＶＰＮ上のリバースプロキシでの外部ネットワーク３０側の待ち受けポートおよびＶＰＮ上のアドレスを記述したリンクを生成すると共にリダイレクトを行い、ホーム機器のコンテンツへＶＰＮ経由で直接アクセスするアクセス方法である。

まず、リモート端末１５の画面には、ホーム機器を選択するホーム機器一元管理ページが表示され（遷移Ｓｃ１）、続いて、選択されたホーム機器で利用可能なアクセス方法等が表示される（遷移Ｓｃ２）。

ここで、コンテンツ視聴を選択することにより、アクセス制御サーバ通信部１３１及びホーム機器通信部１３３が、選択されたホーム機器により視聴可能なコンテンツを該ホーム機器から検索取得して表示する（遷移Ｓｃ３）。

ここで「ビデオ」が選択されて、更に「全てのビデオ」が選択された場合に（遷移Ｓｃ４）、ホーム機器が提供可能なビデオ１〜ビデオ３の開始／終了を選択する画面が表示され（遷移Ｓｃ５）、例えばビデオ１の開始が選択されることにより、アクセス制御サーバ１１経由でＨＧＷ１３のＦＷ設定およびＶＰＮの確立が行われ、さらにＮＡＴの設定またはリバースプロキシの設定が行われる。

ここで、新たなウィンドウが立ち上がり、ＦＷ設定、ＶＰＮの確立、ＮＡＴ設定ないしはリバースプロキシ設定中には「設定中」であることが表示され（遷移Ｓｃ６）、ＨＧＷ１３へのリンクが生成された後に、そのリンクを記述したページが表示される（遷移Ｓｃ７）。

その後、リダイレクトを行うか、表示された指定箇所をクリックすることにより外部プログラムが起動し、ＶＰＮ経由でコンテンツ視聴が可能となる（遷移Ｓｃ８）。

そして、そのコンテンツ視聴を終了する場合には、ページを閉じることにより（遷移Ｓｃ９）、遷移Ｓｃ５の画面に戻る（遷移Ｓｃ１０）。

その後、ビデオ１の終了を選択することにより全ての処理が終了する（遷移Ｓｃ１１、Ｓｃ１２）。

本実施の形態によれば、ＨＧＷ情報取得部１３２が、リモート端末１５からアクセス要求が送信された後に、外部ネットワーク３０に接続された外部ネットワーク側のアドレスを取得するので、ダイナミックＤＮＳによりＨＧＷ１３の外部ネットワーク側のアドレスが変更されるような場合であっても、リモート端末１５からのアクセスを確実にＨＧＷ１３に遷移させ、ユーザによるホーム機器１４へのアクセスをより確実なものとすることができる。

本実施の形態によれば、ホーム機器通信部１３３が、アクセス対象のホーム機器の識別子を用いてホームネットワークにブロードキャストを行ってホーム機器のアドレスを取得するので、換言すれば、ホーム機器との通信においてはＵＰｎＰである必要はないので、ホーム機器がＵＰｎＰに対応している必要はなく、広く一般に普及している機器をアクセス制御の対象とすることができる。

本実施の形態によれば、アプリケーションサーバ１０へのログイン時に認証を行い、閉域かつセキュアな専用ネットワーク３１を経由してＨＧＷ１３のＮＡＴ／ＦＷ設定を行うので、成りすましや盗聴等の危険性を低減することができる。

本実施の形態によれば、リモート端末とホーム機器との外部ネットワークによる接続はセキュアなＶＰＮを経由して行われるため、成りすましや盗聴等の危険性を低減することができる。

本実施の形態によれば、ＨＧＷがＶＰＮサーバとして機能し、ＶＰＮクライアントであるリモート端末との間でＶＰＮを確立するため、ＨＧＷに接続されたホーム機器のプロトコルは限定されず、さまざまな機種のホーム機器に対応した幅広いサービスを一元的に管理することができる。

また、ホーム機器よってはローカルネットワークからのアクセス以外は受け付けないように設定されているものもあるが、そのようなホーム機器に対してはリバースプロキシ設定を用いることにより、リモート端末から外部ネットワークを介して容易かつセキュアにアクセスすることが可能になる。

本実施の形態によれば、アクセス制御サーバ通信部１３１と、ＨＧＷ情報取得部１３２と、ホーム機器通信部１３３と、ＮＡＴ／ＦＷ設定部１３４とが、ＯＳＧｉフレームワークを用いたバンドルで実装されているので、将来におけるホーム機器の増設や機能に拡張に対して容易に対応することができる。

１…アクセス制御システム
１０…アプリケーションサーバ群
１０ａ、１０ｂ…アプリケーションサーバ
１１…アクセス制御サーバ
１２…ＨＧＷアドレス管理サーバ
１３…ＨＧＷ群
１３ａ、１３ｂ…ＨＧＷ
１４…ホーム機器群
１４ａ〜１４ｄ…ホーム機器
１５…リモート端末
３０…外部ネットワーク
３１…専用ネットワーク
３２ａ、３２ｂ…ホームネットワーク
１３１…アクセス制御サーバ通信部
１３２…ＨＧＷ情報取得部
１３３…ホーム機器通信部
１３４…ＮＡＴ／ＦＷ設定部
１３５…リバースプロキシ機能部
１３６…ＶＰＮサーバ機能部
１３７…ＮＡＴ／ＦＷ機能部

Claims

外部ネットワークに配置されたＶＰＮクライアント機能を有するリモート端末からホームネットワークに接続されているホーム機器にアクセスするためのアクセス制御システムにおいて、
前記外部ネットワークに配置され、前記ホーム機器の識別子を記憶手段に記憶しておき、前記接続されたホーム機器の中から対象ホーム機器を選択させるための管理ページを前記リモート端末に表示させ、これにより選択された対象ホーム機器の識別子を前記記憶手段から検索して、前記外部ネットワークと前記ホームネットワークとの境界に配置されたホームゲートウェイと前記リモート端末との間にＶＰＮを確立できるように、当該ＶＰＮを確立する際に利用するポートの情報を含むファイアウォールのテーブル情報を設定するためのファイアウォール設定要求を送信し、また前記ＶＰＮ確立後に前記ホームゲートウェイにおけるＶＰＮ上のアドレスに到達したアクセス要求を選択された対象ホーム機器に転送するように、ＮＡＴテーブル情報を設定するためのＮＡＴ設定要求ないしはリバースプロキシ設定を行うためのリバースプロキシ設定要求を送信する受付サーバと、
受付サーバ／ホーム機器からホーム機器／受付サーバへのアクセス制限を定めたアクセス制御リストに基づいて、前記ファイアウォール設定要求、またはＮＡＴ設定要求ないしはリバースプロキシ設定要求を送信した受付サーバが前記対象ホーム機器にアクセス可能か否かを判定し、アクセス可能な場合に、ホーム機器の識別子からホームゲートウェイを検索可能なホームゲートウェイ識別子リストに基づいて、前記対象ホーム機器と同じホームネットワークに接続されたホームゲートウェイを特定し、特定された該ホームゲートウェイに前記ファイアウォール設定要求、またはＮＡＴ設定要求ないしはリバースプロキシ設定要求を、専用ネットワークを介して中継するアクセス制御サーバと、
前記アクセス制御サーバから前記専用ネットワークを介して中継された前記ファイアウォール設定要求、またはＮＡＴ設定要求ないしはリバースプロキシ設定要求を受信するアクセス制御サーバ通信部と、前記ファイアウォール設定要求を受信したときに自身に設定されている外部ネットワーク側のアドレスを取得し、前記ＮＡＴ設定要求ないしはリバースプロキシ設定要求を受信したときに前記ホームゲートウェイにおけるＶＰＮ上のアドレスを取得する情報取得部と、前記ＮＡＴ設定要求ないしはリバースプロキシ設定要求を受信したときに前記対象ホーム機器の識別子を用いてホームネットワークにブロードキャストを行って前記対象ホーム機器のローカルアドレスを取得するホーム機器通信部と、前記ファイアウォール設定要求を受信したときに前記ファイアウォール設定要求に基づいて、前記ポートの情報で示されるポートを開け、前記リモート端末から送信されるＶＰＮ確立リクエストのみを受け付けるように前記ファイアウォールのテーブル情報を設定し、前記ＮＡＴ設定要求ないしはリバースプロキシ設定要求を受信したときに、前記ホームゲートウェイにおいてＶＰＮ上で待ち受けるポート番号を決定した後に、前記ホームゲートウェイにおけるＶＰＮ上のアドレス及び決定したポート番号と前記対象ホーム機器の前記ローカルアドレスとを用いて、前記ＮＡＴ設定要求ないしはリバースプロキシ設定要求に応じた設定を行う設定部と、設定された前記ファイアウォールのテーブル情報により、前記リモート端末から送信されるＶＰＮ確立リクエストに応じて前記ホームゲートウェイとの間にＶＰＮを確立させるＶＰＮサーバ機能部とを有するホームゲートウェイとを備え、
前記受付サーバは、前記ホームゲートウェイにおけるＶＰＮ上のアドレス及び決定したポート番号を用いてＵＲＩ又はＲＤＰファイルを生成し、該ＵＲＩ又はＲＤＰファイルへのリンクを生成して、前記リモート端末からのアクセス要求を管理ページから前記対象ホーム機器に、確立されたＶＰＮを経由して遷移させることを特徴とするアクセス制御システム。
外部ネットワークに配置されたＶＰＮクライアント機能を有するリモート端末からホームネットワークに接続されているホーム機器にアクセスするためのアクセス制御方法において、
前記外部ネットワークに配置された受付サーバが、前記ホーム機器の識別子を記憶手段に記憶しておき、前記接続されたホーム機器の中から対象ホーム機器を選択させるための管理ページを前記リモート端末に表示させ、これにより選択された対象ホーム機器の識別子を前記記憶手段から検索して、前記外部ネットワークと前記ホームネットワークとの境界に配置されたホームゲートウェイと前記リモート端末との間にＶＰＮを確立できるように、当該ＶＰＮを確立する際に利用するポートの情報を含むファイアウォールのテーブル情報を設定するためのファイアウォール設定要求を送信するステップと、
アクセス制御サーバが、受付サーバ／ホーム機器からホーム機器／受付サーバへのアクセス制限を定めたアクセス制御リストに基づいて、前記ファイアウォール設定要求を送信した受付サーバが前記対象ホーム機器にアクセス可能か否かを判定し、アクセス可能な場合に、ホーム機器の識別子からホームゲートウェイを検索可能なホームゲートウェイ識別子リストに基づいて、前記対象ホーム機器と同じホームネットワークに接続されたホームゲートウェイを特定し、特定された該ホームゲートウェイに前記ファイアウォール設定要求を、専用ネットワークを介して中継するステップと、
前記ホームゲートウェイのアクセス制御サーバ通信部が、前記アクセス制御サーバから前記専用ネットワークを介して中継された前記ファイアウォール設定要求を受信するステップと、
前記ホームゲートウェイの情報取得部が、前記ファイアウォール設定要求を受信したときに自身に設定されている外部ネットワーク側のアドレスを取得ステップと、
前記ホームゲートウェイの設定部が、前記ファイアウォール設定要求を受信したときに前記ファイアウォール設定要求に基づいて、前記ポートの情報で示されるポートを開け、前記リモート端末から送信されるＶＰＮ確立リクエストのみを受け付けるように前記ファイアウォールのテーブル情報を設定するステップと、
前記ホームゲートウェイのＶＰＮサーバ機能部が、設定されたファイアウォールのテーブル情報により、前記リモート端末から送信されるＶＰＮ確立リクエストに応じて前記ホームゲートウェイとの間にＶＰＮを確立させるステップと、
前記受付サーバが、前記ＶＰＮ確立後に前記ホームゲートウェイにおける前記ＶＰＮ上のアドレスに到達したアクセス要求を選択された対象ホーム機器に転送するように、ＮＡＴテーブル情報を設定するためのＮＡＴ設定要求ないしはリバースプロキシ設定を行うためのリバースプロキシ設定要求を送信するステップと、
前記アクセス制御サーバが、受付サーバ／ホーム機器からホーム機器／受付サーバへのアクセス制限を定めたアクセス制御リストに基づいて、前記ＮＡＴ設定要求ないしはリバースプロキシ設定要求を送信した受付サーバが前記対象ホーム機器にアクセス可能か否かを判定し、アクセス可能な場合に、ホーム機器の識別子からホームゲートウェイを検索可能なホームゲートウェイ識別子リストに基づいて、前記対象ホーム機器と同じホームネットワークに接続されたホームゲートウェイを特定し、特定された該ホームゲートウェイに前記ＮＡＴ設定要求ないしはリバースプロキシ設定要求を、専用ネットワークを介して中継するステップと、
前記ホームゲートウェイのアクセス制御サーバ通信部が、前記アクセス制御サーバから専用ネットワークを介して中継された前記ＮＡＴ設定要求ないしはリバースプロキシ設定要求を受信するステップと、
前記ホームゲートウェイの情報取得部が、前記ＮＡＴ設定要求ないしはリバースプロキシ設定要求を受信したときに自身に設定されているＶＰＮ上のアドレスを取得するステップと、
前記ホームゲートウェイのホーム機器通信部が、前記ＮＡＴ設定要求ないしはリバースプロキシ設定要求を受信したときに前記対象ホーム機器の識別子を用いてホームネットワークにブロードキャストを行って前記対象ホーム機器のローカルアドレスを取得するステップと、
前記ホームゲートウェイの設定部が、前記ＮＡＴ設定要求ないしはリバースプロキシ設定要求を受信したときに、前記ホームゲートウェイにおいてＶＰＮ上で待ち受けるポート番号を決定した後に、前記ＶＰＮ上のアドレス及び決定したポート番号と前記対象ホーム機器の前記ローカルアドレスとを用いて、前記ＮＡＴ設定要求ないしはリバースプロキシ設定要求に応じた設定を行うステップと、
前記受付サーバが、前記ホームゲートウェイにおけるＶＰＮ上のアドレス及び決定したポート番号を用いてＵＲＩ又はＲＤＰファイルを生成し、該ＵＲＩ又はＲＤＰファイルへのリンクを生成して、前記リモート端末からのアクセス要求を管理ページから前記対象ホーム機器に、確立されたＶＰＮを経由して遷移させるステップと、
を有することを特徴とするアクセス制御方法。