JP5764085B2 - ポート開閉制御システム - Google Patents

Description

この発明は、エンドユーザの宅内ＬＡＮ（Local Area Network）と外部ネットワークを繋ぐ宅内ゲートウェイ装置に対してエンドユーザがユーザ端末からインターネット経由でリモートアクセスするため、宅内ゲートウェイ装置のポート開閉を制御可能なポート開閉制御システムに関する。

インターネットに接続されたエンドユーザのユーザ端末、例えば移動体端末、遠隔拠点のＰＣから宅内ゲートウェイ装置にリモートアクセスし、宅内ＬＡＮに属したＰＣ、ＡＶ機器等の各種ノードにアクセスすることが行われている。このようなリモートアクセスの実現には、ユーザ端末からのアクセス要求をインターネット経由で受け付ける宅内ゲートウェイ装置の待ち受けポートを、インターネットに対して開放する必要がある。このため、宅内ゲートウェイ装置の待ち受けポートへの不正アクセスを防止することが重要である。

一般的な不正アクセス防止対策として、ユーザ端末が保持する認証鍵を宅内ゲートウェイ装置に送信し、その装置側で認証することにより、宅内ＬＡＮへの不正侵入を防止することが実施されている。

また、インターネットから隔離された閉域網によって宅内ゲートウェイ装置へポート開放要求を送信する特別な指令装置を備えるポート開閉制御システムが提案されている（特許文献１）。

特開２００９−１１２１５５号公報

しかしながら、上述の認証鍵のみの対策では、宅内ゲートウェイ装置のポートがインターネットに常時開放されているため、悪意の第三者から、ポートスキャンにより当該ポートが検出され、いわゆるＤｏＳ攻撃を用いた不正侵入を受ける恐れがある。

一方、上述の特別な指令装置を備えるポート開閉制御システムでは、ユーザ端末において指令装置のＩＰアドレスを知り、指令装置にログインするための一連の機能・操作が必要になり、ホスト名（ＦＱＤＮ）をユーザ端末で指定してアクセスを行うという、エンドユーザに馴染んだ通常のインターネット利用手順を適用することができない。

そこで、この発明が解決しようとする課題は、宅内ゲートウェイ装置のリモートアクセス用のポートをインターネットに対して不必要に開放することを避けつつ、通常のインターネット利用手順でユーザ端末から宅内ゲートウェイ装置へのリモートアクセスを実現することにある。

上記の課題を解決するため、この発明に係るポート開閉制御システムは、ユーザ端末からのアクセス要求をインターネット経由で受け付ける宅内ゲートウェイ装置と、インターネットから隔離された閉域網によって前記宅内ゲートウェイ装置へポート開放要求を送信する指令装置とを備える。指令装置は、ＤＮＳ（Domain Name System）コンテンツサーバ部を有する。宅内ゲートウェイ装置は、ユーザ端末からのアクセス要求を受け付けるのに利用可能なポートをインターネットに対して閉じ、自己のホスト名及びインターネットで割り当てられているグローバルＩＰアドレスのＤＮＳ登録要求をＤＮＳコンテンツサーバ部に送信する。指令装置は、ＤＮＳ登録要求されたホスト名に対応付けて宅内ゲートウェイ装置の閉域網のアドレスを記憶し、インターネットからホスト名の名前解決要求を受信すると、当該ホスト名に対応付けて記憶する宅内ゲートウェイ装置の閉域網のアドレスへポート開放要求を送信し、当該名前解決要求に対するＤＮＳ応答において当該応答を中継保持するＤＮＳサーバにおけるキャシュ時間ＴＴＬ（Time To Live）を０秒に指定して返信する。宅内ゲートウェイ装置は、指令装置から閉域網経由でポート開放要求を受信すると、リモートアクセスに利用可能なポートをインターネットに対して開放し、当該開放したポートに確立された前記ユーザ端末からのアクセスが終了すると、当該開放したポートをインターネットに対して閉じる。

この発明に係るポート開閉制御システムによれば、指令装置からポート開放要求を閉域網によって宅内ゲートウェイ装置に送信するまで、宅内ゲートウェイ装置のリモートアクセス用のポートをインターネットに対して閉じた状態に維持することができる。この維持中は、インターネット経由で宅内ゲートウェイ装置のリモートアクセス用のポートにアクセスすることができない。インターネットから隔離され、比較的に安全性に優れた閉域網経由で指令装置がポート開放要求を送信するので、宅内ゲートウェイ装置がインターネットに対して待ち受けポートを常時開放する必要がなく、悪意の第三者がインターネット経由でポート開放要求を宅内ゲートウェイ装置に送信することもできない。また、指令装置がＤＮＳコンテンツサーバ部をもつため、エンドユーザが、ユーザ端末から宅内ゲートウェイ装置のホスト名を指定してアクセスする通常のインターネット利用手順を実行すれば、ユーザ端末のリゾルバが当該ホスト名の名前解決要求を送信し、この名前解決要求を受信した指令装置はＤＮＳコンテンツサーバ部で応答可能である。ここで、この名前解決要求の指令装置への到達性は、指令装置が名前解決要求に対してＤＮＳのＴＴＬ＝０で応答するため、他のＤＮＳキャッシュサーバによるキャッシュ利用の応答で遮断される心配がなく、確実である。指令装置は、ＤＮＳ登録要求された宅内ゲートウェイ装置のインターネット上のグローバルＩＰアドレス、閉域網のアドレス及びホスト名の対応関係を知っているので、到達した名前解決要求からホスト名を特定し、エンドユーザの宅内ゲートウェイ装置に閉域網経由でポート開放要求を送信することができる。ユーザ端末は、リゾルバで取得したグローバルＩＰアドレスを用い、インターネット経由で宅内ゲートウェイ装置が開放したポートへの接続を確立し、宅内ＬＡＮにリモートアクセスすることができる。宅内ゲートウェイ装置は、開放したポートで確立されたユーザ端末のアクセスが終了すると、そのポートを閉じ、インターネットに対して閉じた状態に戻す。したがって、宅内ゲートウェイ装置のリモートアクセス用のポートをインターネットに対して不必要に開放することが避けられる。

前記指令装置は、ポート番号を指定した前記ポート開放要求を送信し、前記ポート番号を前記名前解決要求に対する返信中に含め、前記宅内ゲートウェイ装置は、前記ポート開放要求から取得した前記ポート番号のポートを前記利用可能なポートとして開放し、前記名前解決要求を発信した前記ユーザ端末は、前記返信から取得した前記ポート番号へアクセス要求を送信し、前記指令装置は、指定する前記ポート番号を動的に変更することが好ましい。指令装置によって宅内ゲートウェイ装置が開放するポート番号を指定し、その指定を動的に変更するので、well-knownポートへの攻撃を受け難くすることができる。

前記宅内ゲートウェイ装置が前記ＤＮＳ登録要求を前記閉域網によって前記指令装置に送信することも好ましい。インターネットを経由せずにホスト名を指令装置のＤＮＳ対応テーブルに登録するので、インターネット経由でＤＮＳ登録要求を指令装置に送信する場合のようにＤＮＳ登録要求をインターネット上で第三者に盗み見される心配がない。したがって、ホスト名をエンドユーザが適切に秘密管理する限り、悪意の第三者が宅内ゲートウェイ装置を狙ってホスト名の名前解決を要求することが困難となる。

前記ＤＮＳコンテンツサーバ部は、ＤＤＮＳ（Dynamic Updates in the Domain Name System）サーバとして機能することが好ましい。宅内ゲートウェイ装置のインターネットのグローバルＩＰアドレスが動的に割り当てられる場合でも、この発明に係るポート開閉制御システムを適用することができる。

上述のように、この発明は、インターネットに接続されたユーザ端末からのアクセス要求を受け付ける宅内ゲートウェイ装置と、インターネットから隔離された閉域網によって前記宅内ゲートウェイ装置へポート開放要求を送信する指令装置とを備えるポート開閉制御システムにおいて、前記指令装置は、ＤＮＳコンテンツサーバ部を有し、前記宅内ゲートウェイ装置は、前記アクセス要求の受け付けに利用可能なポートをインターネットに対して閉じ、自己のホスト名及びインターネットで割り当てられているグローバルＩＰアドレスのＤＮＳ登録要求を前記ＤＮＳコンテンツサーバ部に送信し、前記指令装置は、前記ＤＮＳ登録要求のホスト名に対応付けて前記宅内ゲートウェイ装置の前記閉域網のアドレスを記憶し、インターネットから前記ホスト名の名前解決要求を受信すると、当該ホスト名に対応付けて記憶する前記宅内ゲートウェイ装置の閉域網のアドレスへ前記ポート開放要求を送信し、当該名前解決要求に対するＤＮＳ応答をＴＴＬ＝０秒の指定で返信し、前記宅内ゲートウェイ装置は、前記ポート開放要求を受信すると、前記利用可能なポートをインターネットに対して開放し、当該開放したポートに確立された前記ユーザ端末からのアクセスが終了すると、当該開放したポートをインターネットに対して閉じる構成を採用することにより、宅内ゲートウェイ装置のポートをインターネットに対して不必要に開放することを避けつつ、通常のインターネット利用手順でユーザ端末から宅内ゲートウェイ装置へのリモートアクセスを実現することができる。

実施形態に係るポート開閉制御システムのネットワーク接続構造を示す概念図 （ａ）は実施形態に係る指令装置の機能ブロック図、（ｂ）は実施形態に係る宅内ゲートウェイ装置の機能ブロック図、（ｃ）は実施形態に係るユーザ端末の機能ブロック図 実施形態に係る指令装置で保持するテーブルの概念図 実施形態に係る指令装置のポート開閉制御時のフローチャート図 実施形態に係る宅内ゲートウェイ装置のポート開閉制御時のフローチャート図

以下、この発明の一例としての実施形態を添付図面に基づいて説明する。図１に示すように、実施形態に係るポート開閉制御システムは、ユーザ端末１からのアクセス要求をインターネット２経由で受け付ける宅内ゲートウェイ装置３と、インターネット２から隔離された閉域網４によって宅内ゲートウェイ装置３へポート開放要求を送信する指令装置５とを備える。

閉域網４は、ローカルＩＰアドレスによって網内のルーティングを行う、インターネット２に非公開されていないＩＰ網になっている。閉域網４に属するノードへのローカルＩＰアドレスの付与は、閉域網４に設置されたＤＨＣＰサーバ等の適宜の手段によって一意に割り当てられる。以下、このローカルＩＰアドレスを閉域網ＩＰアドレスと呼ぶ。閉域網４は、インターネット接続サービスを行うＩＳＰ網との網間接続部で隔離されている。閉域網４として、例えば、本願出願人が国内において実施するＮＧＮ（Next Generation Network）を用いることができる。閉域網４、インターネット２のそれぞれは、宅内ゲートウェイ装置３のＷＡＮ側に接続される外部ネットワークとなる。宅内ゲートウェイ装置３のＬＡＮ側には、ＰＣ端末、ＡＶ機器等の各種の通信機器が宅内ＬＡＮのノードとして接続される。

指令装置５、宅内ゲートウェイ装置３、ユーザ端末１の機能ブロックを図２（ａ）、（ｂ）、（ｃ）に示す。図示のように、指令装置５、宅内ゲートウェイ装置３、ユーザ端末１は、それぞれインターネット２に接続するための通信インターフェース５１、３１、１１を有する。また、指令装置５、宅内ゲートウェイ装置３は、それぞれ閉域網４に接続するための通信インターフェース５２、３２を有する。宅内ゲートウェイ装置３が有する通信インタフェース３１，３２は仮想的な通信インタフェースであってよい。例えば、一つのEthernet物理インタフェースでWANに接続されており、その物理インタフェース上で、PPPoEでインターネット２に接続する仮想的な通信インタフェース３１と、IPoEでNGNに接続される仮想的な通信インタフェース３２を提供する形態であってよい。宅内ゲートウェイ装置３は、インターネット接続サービスを受けるため、自己のホスト名（ＦＱＤＮ）、及びグローバルＩＰアドレスをインターネット２上で一意に割り当てられている。以下、このグローバルＩＰアドレスを、インターネットＩＰアドレスと呼ぶ。

宅内ゲートウェイ装置３は、ＷＡＮ側で用いる通信プロトコルと、ＬＡＮ側で用いる通信プロトコルを変換するゲートウェイ機能部３３を有する。

指令装置５は、ＤＮＳコンテンツサーバ部５３と、ＩＰアドレス情報管理手段５４とを有する。ＤＮＳコンテンツサーバ部５３は、宅内ゲートウェイ装置３のホスト名及びインターネットＩＰアドレスについて、唯一のＤＮＳ登録要求先となり、かつインターネット２においては宅内ゲートウェイ装置３のホスト名に係る名前解決要求を唯一解決可能なＤＮＳサーバとなっている。

ＩＰアドレス情報管理手段５４は、図３に示すように、宅内ゲートウェイ装置３のホスト名６１と、インターネットＩＰアドレス６２と、閉域網ＩＰアドレス６３とを対応付けたテーブル６を記憶するデータベース部になっている。

図２に示すように、ＤＮＳコンテンツサーバ部５３は、ＤＤＮＳサーバとして機能する。宅内ゲートウェイ装置３は、閉域網４における指令装置５のＩＰアドレスが登録されたＤＮＳ登録手段３４を有する。ＤＮＳ登録手段３４は、自己のホスト名及びインターネットＩＰアドレスのＤＮＳ登録要求を域網４によって指令装置５のＤＮＳコンテンツサーバ部５３に送信する。この送信は、インターネットＩＰアドレス、閉域網ＩＰアドレスのいずれかが変更される都度、行うようになっている。

ＤＮＳコンテンツサーバ部５３は、ＤＮＳ登録要求から閉域網ＩＰアドレス、ホスト名の対応付けを解析し、ＩＰアドレス情報管理手段５４に図３のテーブル６の更新を要求する。図２に示すＤＮＳコンテンツサーバ部５３は、ＤＮＳ登録要求されたホスト名及びインターネットＩＰアドレスについて図３のテーブル６の更新をＩＰアドレス情報管理手段５４に要求する。また、図２に示すＤＮＳコンテンツサーバ部５３は、インターネット２から受信した名前解決要求に係るホスト名に対応のインターネットＩＰアドレスを、ＩＰアドレス情報管理手段５４に問い合わせる。

ＤＮＳコンテンツサーバ部５３は、受信した名前解決要求に対するＤＮＳ応答メッセージに、ＩＰアドレス情報管理手段５４から回答されたインターネットＩＰアドレスを含める。ＤＮＳコンテンツサーバ部５３は、このＤＮＳ応答を中継保持するＤＮＳサーバにおけるキャシュ時間：ＴＴＬを０秒に指定して返信する。このため、仮に、インターネット２に接続されたユーザ端末１と、ＤＮＳコンテンツサーバ部５３との間に、ＤＮＳキャッシュサーバ７が介在することになっても、当該インターネットＩＰアドレスがＤＮＳキャッシュサーバ７にキャッシュされることはない。したがって、ユーザ端末１からインターネット２経由でなされた宅内ゲートウェイ装置３のホスト名の名前解決要求は、毎回、ＤＮＳコンテンツサーバ部５３に到達する。

指令装置５は、宅内ゲートウェイ装置３にポート開放要求を送信するポート制御情報通知手段５５と、ポート開放要求で指定するためのポート番号を決定するポート番号決定手段５６とを有する。ＤＮＳコンテンツサーバ部５３は、インターネット２から宅内ゲートウェイ装置３のホスト名の名前解決要求を受信すると、ポート制御情報通知手段５５に当該ホスト名を通知する。この通知を受けたポート制御情報通知手段５５は、当該ホスト名に対応の閉域網ＩＰアドレスをＩＰアドレス情報管理手段５４に問い合わせ、ポート番号決定手段にポート番号を問い合わせる。この問い合わせを受けたポート番号決定手段５６は、宅内ゲートウェイ装置３の利用可能なポートの中から、１つのポート番号を決定する。

ポート制御情報通知手段５５は、ＩＰアドレス情報管理手段５４から回答された閉域網ＩＰアドレスへ、ポート番号決定手段５６から回答されたポート番号を指定したポート開放要求を送信し、当該ポート番号をＤＮＳコンテンツサーバ部５３に通知する。ＤＮＳコンテンツサーバ部５３は、当該名前解決要求に対して、当該ポート番号を応答メッセージ中に含めて返信する。

ポート番号決定手段５６は、決定するポート番号を動的に変更する。したがって、ポート開放要求で宅内ゲートウェイ装置３に指定するポート番号も同じく動的に変更される。動的な変更方法は、適宜に定めればよいが、例えば、ポート制御情報通知手段５５からの問い合せの都度、ランダムに１つのポート番号を決定する方法を採用することができる。通信プロトコルで予約されているwell-knownポートはＤｏＳ攻撃を受け易いため、ポート番号決定手段５６では、well-knownポートを避けたポート番号を決定することが好ましい。また、同一の宅内ゲートウェイ装置３で指定した履歴情報をポート番号決定手段５６が記憶し、決定の都度、前回のポート番号と異なるポート番号を決定し、同一の宅内ゲートウェイ装置３において毎回同じポートをインタネット２に開放しないようにすることが好ましい。

宅内ゲートウェイ装置３は、ポート開閉制御手段３５を有する。ポート開閉制御手段３５は、通常、ユーザ端末１からのアクセス要求をインターネット２経由で受け付けるのに利用可能なポートをインターネット２に対して閉じた状態に維持する。他のサービスを利用するためにインターネット２にポート開放する等の積極的な理由がない場合、通常、宅内ゲートウェイ装置３の全ポートをインターネット２に対して閉じた状態に維持することが好ましい。

宅内ゲートウェイ装置３は、前記ポート開放要求をインターネット２用の通信インターフェース３１で受信すると、ポート開閉制御手段３５に送る。ポート開閉制御手段３５は、利用可能なポートをインターネット２に対して開放する。この開放は、ポート開放要求から取得した前記ポート番号のポートを対象とする。ポート開閉制御手段３５は、当該開放したポートに確立されたユーザ端末１からのインターネット２経由のリモートアクセスが終了すると、当該開放したポートをインターネット２に対して閉じる。

指令装置５から宅内ゲートウェイ装置３へのポート開放要求の送信には、ＵＤＰ、ＴＣＰなどを用いるＩＰパケットベースのメッセージ通信方式を適宜に利用することができる。例えば、宅内ゲートウェイ装置３は、閉域網４側において所定のＵＤＰポートを待ち受け用に開放する。この開放中、宅内ゲートウェイ装置３は、指令装置５から送信されるパケットのみを受け付けるようにすることで、閉域網４内における安全性を高めることができる。これは、閉域網４における指令装置５のＩＰアドレスが固定であり、宅内ゲートウェイ装置３にとって既知なので、指令装置５の固定ＩＰアドレスからのポケットのみ許容するように宅内ゲートウェイ装置３のＦＷ（ファイアウォール）部に設定することで実現可能である。また、ポート開放要求を確実に通達させるため、宅内ゲートウェイ装置３のポート開閉制御手段３５は、ポート開放要求を受信すると、ＡＣＫを含むＵＤＰパケットを指令装置５側へ返信し、指令装置５は、ＡＣＫを受信しない限り、所定のタイムアウトを待ってポート開放要求を再送するようにすることが好ましい。

ＤＮＳコンテンツサーバ部５３がポート番号を応答メッセージ中に含める処理は、ＲＦＣ１０３５で定義されているＤＮＳメッセージフォーマットに沿うように行えばよい。具体的には、応答メッセージの回答部の中にＴＸＴ ＲＤＡＴＡ（文字列）の資源レコード（ＲＲ：Resource Record）を含め、“available port:5001”のようなテキストデータとしてポート番号を含めることができる。

ユーザ端末１は、ＤＮＳコンテンツサーバ部５３に対応するリゾルバ、宅内ゲートウェイ装置３のホスト名指定手段等、インターネット端末としての諸機能の他にも、宅内ゲートウェイ装置３にインターネットＶＰＮ接続するためのポート指定型のリモートアクセス手段１２を有する。ユーザ端末１は、宅内ゲートウェイ装置３のホスト名の名前解決要求に対する返信を通信インターフェース１１で受信すると、当該返信された応答メッセージをリモートアクセス手段１２に送る。リモートアクセス手段１２は、当該応答メッセージからポート番号を抽出する。リモートアクセス手段１２は、インターネットＶＰＮクライアントとして機能し、応答された宅内ゲートウェイ装置３のインターネットＩＰアドレスのポート番号へリモートアクセスの確立を要求する。宅内ゲートウェイ装置３とユーザ端末１間に確立したインターネットＶＰＮ接続は、エンドユーザの端末操作、タイムアウト等によって終了するようになっている。インターネットＶＰＮ接続には、ＩＰ−Ｓｅｃ、ＳＳＬといった適宜のプロトコルを採用することができる。

なお、ユーザ端末１、宅内ゲートウェイ装置３、指令装置５を構成している各機能部は、ＣＰＵ等の演算処理装置やメモリ等の記憶装置を備えたコンピュータ上で実行されるプログラムによって実現されている。

実施形態に係るポート開閉制御システムにおいて、宅内ゲートウェイ装置３のポートをインターネッ２に対して開閉するまでの動作フローを図４、図５に示す。前提とする初期状態は、図１に示す宅内ゲートウェイ装置３のホスト名、インターネッＩＰアドレス、閉域網ＩＰアドレスが指令装置５側に登録済みであり、宅内ゲートウェイ装置３が全てのポートをインターネット２に対して閉じ、指令装置５に対し待ち受けポートを開放している状態である。先ず、ユーザ端末１が宅内ゲートウェイ装置３のホスト名の名前解決要求を送信する。この名前解決要求は、ＤＮＳキャッシュサーバ７から応答されることなく、指令装置５に到達する。図１、図４に示すように、指令装置５は、初期状態で名前解決要求を受信したか否かを監視しており、受信を確認すると（Ｓ１）、ポート番号を決定し（Ｓ２）、対応のホスト名の閉域網ＩＰアドレスへ、ポート番号を指定したポート開放要求を送信し（Ｓ３）、対応のインターネットＩＰアドレスと共にポート番号を含めた応答メッセージを返信し、初期状態に復帰する（Ｓ４）。

一方、図１、図５に示すように、宅内ゲートウェイ装置３は、初期状態でポート開放要求を受信したか否かを監視しており、受信を確認すると（Ｓ１１）、ポート開放要求で指定されたポート番号のポートをインターネット２に対して開放する（Ｓ１２）。その後、宅内ゲートウェイ装置３は、指令装置５からの返信を受けたユーザ端末１から当該開放中のポートへ送信されたＶＰＮ接続要求を受信すると、ユーザ端末１とのインターネットＶＰＮ接続を確立する（Ｓ１３）。宅内ゲートウェイ装置３は、その接続の確立後、この接続が切断されたか否かの監視を開始し、切断を確認すると、当該開放中のポートをインターネット２に対して閉じ、初期状態に戻る（Ｓ１４）。

上述のように、実施形態に係るポート開閉制御システムは、閉域網４によって宅内ゲートウェイ装置３のＤＮＳ登録要求を指令装置５に送信するため、インターネット２上で宅内ゲートウェイ装置３のホスト名が第三者に漏洩する心配がなく、当該ホスト名をエンドユーザが秘密管理すれば、悪意の第三者が当該ホスト名の名前解決を要求することが困難となる。また、ユーザ端末１から宅内ゲートウェイ装置３へのリモートアクセスが必要なとき、ユーザ端末１から宅内ゲートウェイ装置３のホスト名を送信する通常のインターネット利用手順を実行するだけで、宅内ゲートウェイ装置３へリモートアクセスすることできる。また、宅内ゲートウェイ装置３のインターネット２側へのポート開放を、閉域網４からのポート開放要求受信をトリガとした開放後、確立したリモートアクセスの終了をトリガとしたポート閉塞までの間に制限するため、宅内ゲートウェイ装置３のインターネット２に対する不必要なポート開放を避けることもできる。また、宅内ゲートウェイ装置３に対する開放ポートをポート番号指定で動的に変更するため、well-knownポートへの攻撃を受け難くすることができる。

なお、この発明の技術的範囲は、上述の実施形態に限定されず、特許請求の範囲の記載に基く技術的思想の範囲内での全ての変更を含むものである。例えば、ポート番号指定は必須でなく、ＩＰ−ｓｅｃ利用だと５０００番ポートというように、ポート開放要求によって開放するポート番号を宅内ゲートウェイ装置３にデフォルトで設定し、ユーザ端末１がそのポート番号にアクセスするようにしておけば、指令装置５は単純なポート開放命令の要求を送り、ＤＮＳ応答メッセージを標準的なものにすることができる。また、指令装置５は、一台のサーバ稼動コンピュータ上に構築する必要はなく、分散コンピューティングで構築し、ＤＮＳ登録のホスト名と閉域網４のアドレスを対応付けが可能な相互通知手段を実装すればよい。

１ ユーザ端末
２ インターネット
３ 宅内ゲートウェイ装置
４ 閉域網
５ 指令装置
６ テーブル
１１、３１、３２、５１、５２ 通信インターフェース
１２ リモートアクセス手段
３４ ＤＮＳ登録手段
３５ ポート開閉制御手段
５３ ＤＮＳコンテンツサーバ部
５４ ＩＰアドレス情報管理手段
５５ ポート制御情報通知手段
５６ ポート番号決定手段
６１ ホスト名
６２ インターネットＩＰアドレス
６３ 閉域網ＩＰアドレス

Claims (4)

1. ユーザ端末（１）からのアクセス要求をインターネット（２）経由で受け付ける宅内ゲートウェイ装置（３）と、
   インターネット（２）から隔離された閉域網（４）によって前記宅内ゲートウェイ装置（３）へポート開放要求を送信する指令装置（５）とを備えるポート開閉制御システムにおいて、
   前記指令装置（５）は、ＤＮＳコンテンツサーバ部（５３）を有し、
   前記宅内ゲートウェイ装置（３）は、前記アクセス要求の受け付けに利用可能なポートをインターネット（２）に対して閉じ、自己のホスト名及びインターネットで割り当てられているグローバルＩＰアドレスのＤＮＳ登録要求をＤＮＳコンテンツサーバ部（５３）に送信し、
   前記指令装置（５）は、前記ＤＮＳ登録要求のホスト名に対応付けて前記宅内ゲートウェイ装置（３）の前記閉域網（４）のアドレスを記憶し、インターネット（２）から前記ホスト名の名前解決要求を受信すると、当該ホスト名に対応付けて記憶する前記宅内ゲートウェイ装置（３）の閉域網（４）のアドレスへ前記ポート開放要求を送信し、当該名前解決要求に対するＤＮＳ応答をＴＴＬ＝０秒の指定で返信し、
   前記宅内ゲートウェイ装置（３）は、前記ポート開放要求を受信すると、前記利用可能なポートをインターネット（２）に対して開放し、当該開放したポートに確立された前記ユーザ端末（１）からのアクセスが終了すると、当該開放したポートをインターネット（２）に対して閉じることを特徴とするポート開閉制御システム。
2. 前記指令装置（５）は、ポート番号を指定した前記ポート開放要求を送信し、前記ポート番号を前記名前解決要求に対する返信中に含め、
   前記宅内ゲートウェイ装置（３）は、前記ポート開放要求から取得した前記ポート番号のポートを前記利用可能なポートとして開放し、
   前記名前解決要求を発信した前記ユーザ端末（１）は、前記返信から取得した前記ポート番号へアクセス要求を送信し、
   前記指令装置（５）は、指定する前記ポート番号を動的に変更する請求項１に記載のポート開閉制御システム。
3. 前記宅内ゲートウェイ装置（３）は、前記ＤＮＳ登録要求を前記閉域網（４）によって前記指令装置（５）に送信する請求項１又は２に記載のポート開閉制御システム。
4. 前記ＤＮＳコンテンツサーバ部（５３）は、ＤＤＮＳサーバとして機能する請求項１から３のいずれか１項に記載のポート開閉制御システム。

Images