JP5845898B2

JP5845898B2 - 中継サーバ

Info

Publication number: JP5845898B2
Application number: JP2011289644A
Authority: JP
Inventors: 泰毅上田
Original assignee: Murata Machinery Ltd
Current assignee: Murata Machinery Ltd
Priority date: 2011-12-28
Filing date: 2011-12-28
Publication date: 2016-01-20
Anticipated expiration: 2031-12-28
Also published as: JP2013141071A

Description

本発明は、主として、異なるＬＡＮに接続されている端末間の通信を可能とする中継サーバの構成に関する。

遠隔地にあるＬＡＮ（ＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）同士を、インターネットなどのＷＡＮ（ＷｉｄｅＡｒｅａＮｅｔｗｏｒｋ）を介して接続するＶＰＮ（ＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ）が開発されている。このような技術は、例えば特許文献１に開示されている。特許文献１に記載の技術は、各ＬＡＮに中継サーバを設置し、当該中継サーバ同士がＷＡＮを介した中継通信を行うことにより、異なるＬＡＮに所属しているクライアント端末同士を相互に通信可能とするものである。

中継サーバは、自身が接続されるＬＡＮのゲートウェイを介して、ＷＡＮにアクセスする。この場合、中継サーバにはＬＡＮ内のプライベートＩＰアドレスを割り当てることができる。従って、当該中継サーバへのアクセスはプライベートＩＰアドレスで行われることになるので、ＬＡＮの外部から中継サーバへの無用な接続を防ぎ、セキュリティを高めることができる。

一方で、近年、ＷＡＮに対して有線で接続することが難しい環境でもＶＰＮに参加したいというニーズが高まっている。このようなニーズに対応するため、前記中継サーバに、携帯電話回線（移動体通信網）に接続するための無線通信端末（いわゆるデータ通信カード）を設ける場合がある。この無線通信端末を備えた中継サーバは、携帯電話回線を介してＷＡＮに接続することができるので、有線でＷＡＮに接続することが難しい環境であってもＶＰＮに参加することが可能となる。例えば特許文献２は、携帯電話をＰＣに接続することで、携帯電話通信網を利用してＶＰＮを行う構成を開示している。

特開２００９−１５７８２５号公報特開２００８−２１９６４３号公報

中継サーバが携帯電話回線を利用してＷＡＮに接続する場合、当該中継サーバにはグローバルＩＰアドレスが割り当てられるので、当該中継サーバへのアクセスはグローバルＩＰアドレスで行うことになる。グローバルＩＰアドレスでアクセスできるということは、当該ＩＰアドレスさえ分かれば誰でもアクセスできるということであるため、セキュリティ上の観点から改善の余地がある。

本発明は以上の事情に鑑みてされたものであり、その目的は、無線通信端末を利用してＷＡＮに接続する中継サーバのセキュリティを向上させた構成を提供することにある。

課題を解決するための手段及び効果

本発明の解決しようとする課題は以上の如くであり、次にこの課題を解決するための手段とその効果を説明する。

本発明の観点によれば、以下の中継サーバが提供される。即ち、この中継サーバは、第１ＬＡＮ内のクライアント端末と、第２ＬＡＮ内のライアント端末と、の通信を、前記第２ＬＡＮに接続された第２中継サーバとの間でＷＡＮを介して中継するために、前記第１ＬＡＮに接続される。当該中継サーバは、第１通信部と、第２通信部と、アドレスフィルタ部と、フィルタ用アドレス記憶部と、フィルタ設定部と、を備える。前記第１通信部は、自身に割り当てられたプライベートＩＰアドレスを自身のＩＰアドレスとして利用して、前記第１ＬＡＮのゲートウェイを介して、当該ゲートウェイによってアドレス変換されながらＷＡＮに接続可能である。前記第２通信部は、自身に割り当てられたグローバルＩＰアドレスを自身のＩＰアドレスとして利用して、移動体通信網を介してＷＡＮに無線接続可能である。前記アドレスフィルタ部は、設定されたＩＰアドレスに基づいてパケットのフィルタリングを行う。前記フィルタ用アドレス記憶部は、前記アドレスフィルタ部での前記フィルタリングのために設定する前記ＩＰアドレスを記憶する。前記フィルタ設定部は、前記第２通信部によって前記ＷＡＮに接続する際に、前記フィルタ用アドレス記憶部に記憶されているＩＰアドレスを前記アドレスフィルタ部に設定することで、前記第２通信部によってＷＡＮに接続している場合と前記第１通信部によってＷＡＮに接続している場合とで前記アドレスフィルタ部の動作を自動的に変更することが可能である。

上記のように、グローバルＩＰアドレスを利用してＷＡＮに接続する際にパケットフィルタリングを行うように設定することで、セキュリティを高めることができる。また、ＬＡＮのゲートウェイを介してＷＡＮに接続する場合は、プライベートＩＰアドレスを中継サーバに割り当てることができる。しかし、移動体通信網を介してＷＡＮに接続する場合はグローバルＩＰアドレスが中継サーバに割り当てられる。このため、移動体通信網を利用する際には、セキュリティ上の不安がある。そこで上記のように、移動体通信網を利用する場合（第２通信部によってＷＡＮに接続する際）にパケットフィルタリングを行うように設定することで、セキュリティを高めることができる。

上記の中継サーバは、以下のように構成することが好ましい。即ち、この中継サーバは、前記第２通信部がＷＡＮに接続可能な場合、当該第２通信部によって前記ＷＡＮに接続するとともに、前記第１通信部による前記ＷＡＮへの接続を禁止するＷＡＮ接続選択部を備える。

即ち、移動体通信網を介してＷＡＮへ接続する第２通信部がわざわざ有効化されているということは、当該第２通信部によってＷＡＮに接続することが意図されていると考えられる。そこで、第２通信部がＷＡＮに接続できる場合には、当該第２通信部による接続を、第１通信部よりも優先させる。

上記の中継サーバは、以下のように構成することが好ましい。即ち、前記フィルタ設定部は、前記第１通信部によってＷＡＮに接続する場合は、前記フィルタ用アドレス記憶部に記憶されているＩＰアドレスを前記アドレスフィルタ部に設定しない。

即ち、アドレス変換されたＩＰアドレス（プライベートＩＰアドレス）によってＷＡＮに接続するときは、中継サーバに対してＷＡＮ側から自由にアクセスすることはできないので、アドレスフィルタの条件を緩くすることができる。そこで、第１接続部でＷＡＮに接続するときは、ＩＰアドレスをアドレスフィルタ部に設定しないことにより、不必要なアクセス制限によって利便性が損なわれてしまうことを防ぐ。

上記の中継サーバは、以下のように構成することもできる。即ち、前記フィルタ設定部は、前記第１通信部によってＷＡＮに接続する際にも、前記フィルタ用アドレス記憶部に記憶されているＩＰアドレスを前記アドレスフィルタ部に設定する。

このように、アドレス変換されたＩＰアドレスによってＷＡＮに接続するときにも、グローバルＩＰアドレスでＷＡＮに接続するときと同様のフィルタリングを行っても良い。

本発明の一実施形態に係る中継サーバによって構築されたＶＰＮの概略図。中継サーバのブロック図。フィルタ用アドレス記憶部に記憶される許可アドレスの例。許可アドレスを登録する画面の例。

次に、図面を参照して本発明の実施の形態を説明する。図１は、本実施形態に係る中継サーバを用いて構築されたＶＰＮ（仮想プライベートネットワーク）１０の概略的な構成を示している。このＶＰＮ１０は、例えば、遠隔地に設置された第１ＬＡＮ１１と第２ＬＡＮ１２を、インターネット（ＷＡＮ）１４を介して接続するためのものである。

第１ＬＡＮ１１及び第２ＬＡＮ１２の構成は特に限定されないが、通常、各ＬＡＮは１つ以上のクライアント端末を含んでいる。例えば図１の場合、第１ＬＡＮ１１にはクライアント端末１７，１８，１９，２０が、第２ＬＡＮにはクライアント端末２１，２２が、それぞれ接続されている。また、各ＬＡＮは、比較的小規模なＬＡＮを複数接続した構成であっても良い。例えば図１の場合、第１ＬＡＮ１１は、ＬＡＮ２３，２４，２５を、ルータ２６，２７によって接続した構成となっている。

図１に示すように、第１ＬＡＮ１１内には第１中継サーバ１５が、第２ＬＡＮ１２内には第２中継サーバ１６が、それぞれ接続されている。第１中継サーバ１５と第２中継サーバ１６は、それぞれインターネット１４に接続可能に構成されている。

図１の第１ＬＡＮ１１は、インターネット１４に対して有線では接続することが難しい環境に構築されたＬＡＮを想定したものである。このようなＬＡＮでもＶＰＮ１０に接続できるようにするため、本実施形態の第１中継サーバ１５は、携帯電話回線（移動体通信網）３０に接続可能な無線通信端末２９を備えている。具体的には、この無線通信端末２９は、携帯電話のアクセスポイント３１との間で無線通信が可能である。アクセスポイント３１は、携帯電話回線３０に接続されている。この携帯電話回線３０には、プロバイダが提供するゲートウェイ３３が配置されており、このゲートウェイ３３においてプロトコル変換等が行われて、携帯電話回線３０とインターネット１４とが相互に通信可能となっている。

以上の構成で、第１中継サーバ１５が、携帯電話回線３０を介してインターネット１４に無線で接続することが可能となっている。これにより、インターネット１４に対して有線では接続することが難しい第１ＬＡＮ１１であっても、ＶＰＮ１０に参加することができる。なお、プロバイダのゲートウェイ３３においては、第１中継サーバ１５に対してグローバルＩＰｖ４アドレスが割り当てられる。従って、第１中継サーバ１５は、自身に割り当てられたグローバルＩＰｖ４アドレスによってインターネット１４に接続することになる。

図１の第２ＬＡＮ１２は、インターネット１４に対して有線で接続できているＬＡＮを想定したものである。従って、第２ＬＡＮ１２に接続される第２中継サーバ１６の場合は、第１中継サーバ１５のような無線通信端末２９は不要である。即ち、第２中継サーバ１６は、第２ＬＡＮ１２のゲートウェイ２８を介してインターネット１４に接続することができる。

なお、第２ＬＡＮ１２のゲートウェイ２８は、ネットワークアドレス変換（ＮｅｔｗｏｒｋＡｄｄｒｅｓｓＴｒａｎｓｌａｔｉｏｎ，ＮＡＴ）を行うことにより、第２ＬＡＮ１２内の機器にプライベートＩＰｖ４アドレスをマッピングするように構成されている。従って、本実施形態の第２中継サーバ１６は、自身に割り当てられたプライベートＩＰアドレスによってインターネット１４に接続することになる。

続いて、中継サーバ１５，１６の構成について説明する。なお、第１中継サーバ１５と第２中継サーバ１６は、無線通信端末２９の有無を除いて同一のハードウェアからなっている。図２に示すように、中継サーバ１５，１６は、ＬＡＮインタフェース（第１通信部）３４と、ＵＳＢインタフェース（第２通信部）３５と、制御部３６と、フィルタ用アドレス記憶部４１と、を備えている。

ＬＡＮインタフェース３４は、ＬＡＮケーブルを接続可能であるとともに、当該ＬＡＮケーブルを介してデータの送受信が可能に構成されている。第１中継サーバ１５は、このＬＡＮインタフェース３４によって第１ＬＡＮ１１に（より具体的にはＬＡＮ２３に）接続されている。また、第２中継サーバ１６は、ＬＡＮインタフェース３４よって、第２ＬＡＮ１２に接続されている。

前述のように、第２ＬＡＮ１２はゲートウェイ２８を介してインターネット１４に接続されているので、当該第２ＬＡＮ１２に接続されている第２中継サーバ１６は、ＬＡＮインタフェース３４によってインターネット１４に接続することができる。第２中継サーバ１６には、プライベートＩＰアドレスが割り当てられ、当該プライベートＩＰアドレスを利用してインターネット１４に接続することになる。

なお、第１中継サーバ１５もＬＡＮインタフェース３４を備えているが、後述のＷＡＮ接続選択部３９によって、当該ＬＡＮインタフェース３４によるインターネット１４への接続が禁止されている。従って、本実施形態の場合、第１中継サーバ１５は、ＬＡＮインタフェース３４によってインターネット１４に接続することはない。

従って、中継サーバ１５，１６が備えるＬＡＮインタフェース３４は、インターネット１４に接続する際には、プライベートＩＰアドレスを利用してインターネット１４に接続するものであると言うことができる。

ＵＳＢインタフェース３５は、ＵＳＢ（ＵｎｉｖｅｒｓａｌＳｅｒｉａｌＢｕｓ）規格の機器を接続可能であるとともに、当該機器との間でデータのやり取りを行うことができるように構成されている。本実施形態において、前記無線通信端末２９は、いわゆるＵＳＢデータ通信カードであり、ＵＳＢインタフェース３５に接続可能に構成されている。第１中継サーバ１５のＵＳＢインタフェース３５には、この無線通信端末２９が接続されている。これにより、第１中継サーバ１５のＵＳＢインタフェース３５は、無線通信端末２９を介してインターネット１４に接続可能となっている。前述のように、第１中継サーバ１６には、グローバルＩＰアドレスが割り当てられ、当該グローバルＩＰアドレスを利用してインターネットに接続することになる。

なお、第２中継サーバ１６のＵＳＢインタフェース３５には、無線通信端末２９が接続されていない。従って、第２中継サーバ１６は、ＵＳＢインタフェース３５によってインターネット１４に接続することはない。

従って、中継サーバ１５，１６が備えるＵＳＢインタフェース３５は、インターネット１４に接続する際には、グローバルＩＰアドレスを利用してインターネット１４に接続するものであると言うことができる。

制御部３６は、図略のＣＰＵ、ＲＯＭ、ＲＡＭ等のハードウェアを備えたコンピュータとして構成されている。また、前記ＲＡＭには、サーバアプリケーション等のソフトウェアが記憶されている。制御部３６において前記サーバアプリケーションを実行することにより、当該制御部３６を、アドレスフィルタ部３７、パケット転送部３８、ＷＡＮ接続選択部３９、及びフィルタ設定部４２等として機能させることができる。

パケット転送部３８は、ＬＡＮインタフェース３４又はＵＳＢインタフェース３５で受信されたパケットを、適切な転送先に転送するように機能する。

ただし、インターネット１４から受信したパケットを無制限に転送するようでは、セキュリティの面で好ましくない場合がある。そこで、アドレスフィルタ部３７は、必要に応じて、パケット転送部３８が転送するパケットのアドレスフィルタリングを行うように構成されている。

アドレスフィルタ部３７には、インターネット１４から受信したパケットの転送を許可するＩＰアドレスを設定可能である。このようにアドレスフィルタ部３７に設定されるＩＰアドレスを、「許可アドレス」と呼ぶ。アドレスフィルタ部３７は、インターネット１４から受信したパケットの送信先が許可アドレスとして設定されたＩＰアドレスの何れかに一致している場合は、当該パケットを前記送信先へと転送することを許可する。一方、アドレスフィルタ部３７は、インターネット１４から受信したパケットの送信先が許可アドレスとして設定されたＩＰアドレスの何れにも一致しない場合は、当該パケットを遮断する。なお、許可アドレスが１つも設定されていない場合は、アドレスフィルタ部３７によるフィルタリングは行われない。

アドレスフィルタ部３７に設定すべき許可アドレスは、フィルタ用アドレス記憶部４１に記憶されている。第１中継サーバ１５のフィルタ用アドレス記憶部４１に記憶されている許可アドレスの例を、図３に示す。図３の例では、クライアント端末１７のＩＰアドレス（１９２．１６８．１．１）が一行目に、クライアント端末１９，２０が接続されているＬＡＮ２５のアドレス（１９２．１６８．２．０／２４）が二行目に記述されている。このように、許可アドレスは複数設定することができる。また、図３の二行目に示すように、ネットワーク全体（図３の場合はＬＡＮ２５全体）を示す許可アドレスを設定することもできる。

フィルタ用アドレス記憶部４１に対する許可アドレスの登録は、ユーザが適宜の操作を行うことにより行うことができる。例えば、ユーザは、何れかのクライアント端末から第１中継サーバ１５にアクセスし、適宜操作することで、図４に示すような許可アドレス登録画面を表示させる。この許可アドレス登録画面では、ユーザが適宜操作を行うことにより、フィルタ用アドレス記憶部４１に記憶させる許可アドレスを追加することができる。また、フィルタ用アドレス記憶部４１に記憶されている許可アドレスを削除することもできる。

フィルタ設定部４２は、フィルタ用アドレス記憶部４１に記憶されている許可アドレスを、アドレスフィルタ部３７に設定するように構成されている。これにより、ユーザが図４の画面で登録した許可アドレスに基づいて、アドレスフィルタ部３７によるパケットのフィルタリングを行うことができる。逆に言うと、ユーザが図４の画面によって許可アドレスをフィルタ用アドレス記憶部４１に登録したとしても、フィルタ設定部４２によってアドレスフィルタ部３７に許可アドレスが設定されない限りは、アドレスフィルタ部３７によるアドレスフィルタは行われない。

より具体的には、フィルタ設定部４２は、中継サーバがＵＳＢインタフェース３５によってインターネット１４に接続している場合に、フィルタ用アドレス記憶部４１に記憶されている許可アドレスをアドレスフィルタ部３７に設定するように構成されている。即ち、中継サーバがＵＳＢインタフェース３５を利用してインターネット１４に接続している場合、当該中継サーバはグローバルＩＰアドレスによってインターネット１４に接続することになるので、インターネット１４から不正なアクセスを受ける危険性がある。そこで、上記のように中継サーバがＵＳＢインタフェース３５を利用してインターネット１４に接続している場合、アドレスフィルタ部３７に許可アドレスを設定する。これにより、ユーザが図４の画面で登録した許可アドレスに基づいて、アドレスフィルタ部３７によるパケットのアドレスフィルタを行うことができる。従って、インターネット１４からの無用な接続を遮断することができるので、セキュリティを高めることができる。

また、フィルタ設定部４２は、中継サーバがＬＡＮインタフェース３４によってインターネット１４に接続している場合は、アドレスフィルタ部３７に対して許可アドレスを設定しないように構成されている。即ち、中継サーバがＬＡＮインタフェース３４を利用してインターネット１４に接続している場合、当該中継サーバはゲートウェイ２８によって割り当てられたプライベートＩＰアドレスによってインターネット１４に接続することになるので、インターネット１４から不正な接続を受ける危険性は低い。そこで、上記のように、中継サーバがＬＡＮインタフェース３４によってインターネット１４に接続している場合は、アドレスフィルタ部３７に対して許可アドレスを設定しないことにより、アドレスフィルタ部３７によるパケットのアドレスフィルタを行わない。これにより、無用なフィルタリングが行われてしまうことを防止できる。

フィルタ設定部４２を上記のように構成することで、グローバルＩＰアドレスでインターネット１４に接続している場合と、プライベートＩＰアドレスでインターネット１４に接続している場合とでアドレスフィルタ部３７の動作を自動的に変更することができる。これにより、中継サーバ１５，１６のインターネット１４への接続状況に応じて、適切にセキュリティを確保することができる。

ＷＡＮ接続選択部３９は、ＬＡＮインタフェース３４とＵＳＢインタフェース３５の何れを利用してインターネット１４に接続するかを選択するように機能する。即ち、本実施形態の中継サーバは、ＵＳＢインタフェース３５に無線通信端末２９を接続した場合、当該ＵＳＢインタフェース３５とＬＡＮインタフェース３４の両方でインターネット１４に接続可能な状態となる。このような場合は、何れのインタフェースを用いてインターネット１４に接続するかを選択しなければ、中継サーバをインターネット１４に適切に接続させることができない。

ところで、本実施形態において、無線通信端末２９はＵＳＢ機器として構成されているので、不必要な場合はＵＳＢインタフェース３５から無線通信端末２９を取り外しておくことができる。もし仮に、中継サーバ１５，１６を設置する際に、ＶＰＮ１０の管理者が、当該中継サーバをＬＡＮインタフェース３４によってインターネット１４に接続することを意図していたとすれば、無線通信端末２９をＵＳＢインタフェース３５にわざわざ接続するとは考えにくい。つまり、無線通信端末２９がＵＳＢインタフェース３５に接続されている場合は、当該ＵＳＢインタフェース３５によってインターネット１４に接続することが意図されているものと考えられる。

そこで、ＷＡＮ接続選択部３９は、ＵＳＢインタフェース３５によってインターネット１４に接続可能な場合（無線通信端末２９がＵＳＢインタフェース３５に接続されている場合、つまりＵＳＢインタフェース３５が有効化されている場合）には、ＬＡＮインタフェース３４によってインターネット１４に接続することを禁止するとともに、前記ＵＳＢインタフェース３５を利用してインターネット１４に接続するように設定する。このように、無線通信端末２９を利用可能な場合には、ＵＳＢインタフェース３５を優先的に利用してインターネット１４に接続することで、中継サーバ１５，１６を適切にインターネット１４に接続することができる。一方、ＵＳＢインタフェース３５によってインターネットに接続できない場合（ＵＳＢインタフェース３５に無線通信端末２９が接続されていない場合、つまりＵＳＢインタフェース３５が無効化されている場合）は、ＷＡＮ接続選択部３９は、ＬＡＮインタフェース３４を利用して、中継サーバをインターネット１４に接続するように設定する。

続いて、本実施形態のＶＰＮ１０の動作について、簡単に説明する。なお、以下では、第１ＬＡＮ１１内のクライアント端末１７が、第２ＬＡＮ１２内のクライアント端末２１に対してパケットを送信する場合を例として説明する。

クライアント端末１７とクライアント端末２１は互いに異なるＬＡＮに属しているので、パケットのやり取りを直接的に行うことはできない。このような場合に、本実施形態の中継サーバ１５，１６を利用して、第１ＬＡＮ１１と第２ＬＡＮ１２の間をＶＰＮ１０で結ぶことにより、クライアント端末１７とクライアント端末２１の間でパケットのやり取りが可能となる。

まず、何れかのクライアント端末のユーザ、又はＶＰＮ１０の管理者によって、第１中継サーバ１５と第２中継サーバ１６の間に、インターネット１４を介した通信セッションを確立する操作が行われる。

次に、クライアント端末１７において、当該クライアント端末１７からクライアント端末２１に向けてＶＰＮ１０を介してパケットを送信する操作が行われる。このパケットは、まず第１中継サーバ１５に送信される。

パケットを受信した第１中継サーバ１５のパケット転送部３８は、既に確立されている通信セッションによって、前記パケットを第２中継サーバ１６に転送する。

第２中継サーバ１６がインターネット１４から前記パケットを受信した場合、当該第２中継サーバ１６のアドレスフィルタ部３７は、前記パケットに対してアドレスフィルタリングを行う。ただし、本実施形態において、第２中継サーバ１６はＬＡＮインタフェース３４によってインターネット１４に接続されている。従って、この第２中継サーバ１６のフィルタ設定部４２は、アドレスフィルタ部３７に許可アドレスを設定していない。このように、アドレスフィルタ部３７に許可アドレスが設定されていない場合、当該アドレスフィルタ部３７は、インターネット１４から受信されたパケットのフィルタリングは行わずに、全てのパケットを通過させる。

パケット転送部３８は、アドレスフィルタ部３７を通過したパケットを、当該パケットの送信先として指定されているクライアント端末２１に転送する。

以上のように、第１中継サーバ１５と第２中継サーバ１６の間にインターネットを介した通信セッションを確立させておき、当該通信セッションを介してパケットを転送することにより、異なるＬＡＮ１１，１２に属しているクライアント端末１７，２１の間でパケットのやり取りを行うことができる。

次に、第２ＬＡＮ１２内のクライアント端末２１から、第１ＬＡＮ１１内のクライアント端末１７に対してパケットを送信する場合を例として説明する。

この場合、クライアント端末２１において、当該クライアント端末２１からクライアント端末１７に向けてＶＰＮ１０を介してパケットを送信する操作が行われる。このパケットは、まず第２中継サーバ１６に送信される。

パケットを受信した第２中継サーバ１６のパケット転送部３８は、前記通信セッションによって、前記パケットを第１中継サーバ１５に転送する。

インターネット１４から前記パケットを受信した第１中継サーバ１５のアドレスフィルタ部３７は、当該パケットのアドレスフィルタリングを行う。第１中継サーバ１５はＵＳＢインタフェース３５によってインターネット１４に接続しているので、フィルタ設定部４２によって、アドレスフィルタ部３７に許可アドレスが設定されている。このように、アドレスフィルタ部３７に許可アドレスが設定されている場合、当該アドレスフィルタ部３７は、インターネット１４から受信されたパケットの送信先が、設定された許可アドレスの何れかに一致している場合にのみ、当該パケットを通過させる。例えば図４に示した許可アドレスには、クライアント端末１７のＩＰアドレス（１９２．１６８．１．１）が含まれている。従って、図４に示すような許可アドレスが第１中継サーバ１５のアドレスフィルタ部３７に設定されている場合において、当該第１中継サーバ１５がクライアント端末１７宛てのパケットをインターネット１４から受信した場合、アドレスフィルタ部３７は、当該パケットを通過させる。

パケットがアドレスフィルタ部３７を通過した場合、パケット転送部３８は、当該パケットを、送信先として指定されているクライアント端末１７に転送する。

以上のように、グローバルＩＰアドレスを用いてインターネット１４に接続している第１中継サーバ１５においては、インターネット１４から受信したパケットを転送する際に、パケットフィルタリングを行う。これにより、インターネット１４からの不正な接続を防止し、セキュリティを高めることができる。

以上で説明したように、本実施形態の中継サーバ１５，１６は、ＬＡＮインタフェース３４と、ＵＳＢインタフェース３５と、アドレスフィルタ部３７と、フィルタ用アドレス記憶部４１と、フィルタ設定部４２と、を備えている。ＬＡＮインタフェース３４は、インターネット１４に接続する際には、自身のＩＰアドレスとして、ゲートウェイ２８でアドレス変換されたプライベートＩＰアドレスを利用する。ＵＳＢインタフェース３５は、インターネット１４に接続する際には、自身のＩＰアドレスとして、グローバルＩＰアドレスを利用する。アドレスフィルタ部３７は、設定された許可アドレスに基づいてパケットのフィルタリングを行う。フィルタ用アドレス記憶部４１は、アドレスフィルタ部３７での前記フィルタリングのために設定する許可アドレスを記憶する。フィルタ設定部４２は、ＵＳＢインタフェース３５によってインターネットに接続する際に、フィルタ用アドレス記憶部４１に記憶されている許可アドレスをアドレスフィルタ部３７に設定する。

上記のように、グローバルＩＰアドレスを利用してインターネット１４に接続する際にパケットフィルタリングを行うように設定することで、セキュリティを高めることができる。

また、本実施形態の中継サーバ１５，１６は、以下のように構成されている。即ち、ＬＡＮインタフェース３４は、インターネット１４に接続する際には、ＬＡＮのゲートウェイを介してインターネット１４に接続する。ＵＳＢインタフェース３５は、インターネット１４に接続する際には、携帯電話回線３０に無線接続し、当該携帯電話回線３０を介してインターネット１４に接続する。

即ち、ＬＡＮのゲートウェイを介してＷＡＮに接続する場合は、アドレス変換されたＩＰアドレス（プライベートＩＰアドレス）を中継サーバに割り当てることができる。しかし、携帯電話回線３０を介してＷＡＮに接続する場合はグローバルＩＰアドレスが中継サーバに割り当てられる。このため、携帯電話回線３０を利用する際には、セキュリティ上の不安がある。そこで上記のように、ＵＳＢインタフェース３５によってＷＡＮに接続する際にパケットフィルタリングを行うように設定することで、セキュリティを高めることができる。

また、本実施形態の中継サーバ１５，１６は、ＵＳＢインタフェース３５がインターネット１４に接続可能な場合、当該ＵＳＢインタフェース３５によってインターネット１４に接続するとともに、ＬＡＮインタフェース３４によるインターネット１４への接続を禁止するＷＡＮ接続選択部３９を備えている。

即ち、ＵＳＢインタフェース３５に無線通信端末２９がわざわざ接続されているということは、当該ＵＳＢインタフェース３５によってインターネット１４に接続することが意図されていると考えられる。そこで、ＵＳＢインタフェース３５がインターネット１４に接続できる（無線通信端末２９が接続されている）場合には、当該ＵＳＢインタフェース３５による接続を、ＬＡＮインタフェース３４よりも優先させる。

また、本実施形態の中継サーバ１５，１６において、フィルタ設定部４２は、ＬＡＮインタフェース３４によってインターネット１４に接続する場合は、フィルタ用アドレス記憶部４１に記憶されている許可アドレスをアドレスフィルタ部３７に設定しない。

即ち、アドレス変換されたＩＰアドレス（プライベートＩＰアドレス）によってインターネット１４に接続するときは、中継サーバに対してＷＡＮ側から自由にアクセスすることはできないので、アドレスフィルタの条件を緩くすることができる。そこで、ＬＡＮインタフェース３４でインターネット１４に接続するときは、許可アドレスをアドレスフィルタ部３７に設定しないことにより、不必要なアクセス制限によって利便性が損なわれてしまうことを防ぐ。

以上に本発明の好適な実施の形態を説明したが、上記の構成は例えば以下のように変更することができる。

上記実施形態の第１ＬＡＮ１１は、有線でＬＡＮに接続することが難しい環境に敷設されているとした。しかし、環境が変化して、第１ＬＡＮ１１が有線でインターネット１４に接続可能になった場合（例えば、第１ＬＡＮ１１の設置地域まで光ケーブルが敷設された場合など）は、第１中継サーバ１５のＵＳＢインタフェース３５から無線通信端末２９を取り外せば良い。これにより、ＵＳＢインタフェース３５によってインターネット１４に接続することができなくなるので、ＷＡＮ接続選択部３９は、ＬＡＮインタフェース３４によってインターネット１４に接続するように設定を変更する。フィルタ設定部４２は、ＬＡＮインタフェース３４によってインターネット１４に接続するように設定されたことを検出すると、アドレスフィルタ部３７に許可アドレスを設定しなくなる。つまり、無線通信端末２９を取り外すことにより、アドレスフィルタ部３７におけるアドレスフィルタを行わないようにすることができる。このように、無線通信端末２９が不要になった場合には、当該無線通信端末２９を取り外すだけで、インターネット１４に接続するためのインタフェースの選択、及びパケットフィルタリングの設定などが自動的に変更される。従って、設定変更の手間を省くことができる。

アドレスフィルタ部３７におけるフィルタリングの態様、フィルタ設定部４２がアドレスフィルタ部３７にＩＰアドレスを設定する態様等は、上記実施形態の構成に限定されない。要は、中継サーバがグローバルＩＰアドレスを利用してＷＡＮに接続する場合と、アドレス変換されたＩＰアドレス（プライベートＩＰアドレス）を利用してＷＡＮに接続する場合と、でアドレスフィルタリングの設定を変更することができれば良い。これにより、プライベートＩＰアドレスとグローバルＩＰアドレスの何れを利用しているかに応じて、適切なフィルタリングを実現し、良好なセキュリティを実現することができる。

上記実施形態では、無線通信端末２９はＵＳＢ機器であり、中継サーバから取り外し可能であるとした。しかしこれに限らず、無線通信端末が中継サーバに内蔵されていて、取り外し不可能に構成されていても良い。なおこの場合、無線通信端末による通信を無効化する手段（例えばスイッチなど）を設けておけば好適である。

無線通信端末２９を中継サーバから取り外し可能とする場合、当該無線通信端末２９を中継サーバの第２通信部に接続するインタフェースはＵＳＢ規格に限定されず、例えばＰＣカード等の他の規格であっても良い。つまり、第２通信部はＵＳＢインタフェースに限らず、その他のインタフェースであっても良い。更には、第２通信部は必ずしも無線でＷＡＮに接続するものでなくても良い。また、第１通信部は必ずしも有線でＷＡＮに接続するものでなくても良い。第２通信部がグローバルＩＰアドレスを利用してＷＡＮに接続し、第１通信部がアドレス変換されたＩＰアドレスを利用してＷＡＮに接続する構成の中継サーバであれば、第１通信部及び第２通信部の詳細にかかわらず本願発明を適用できる。

上記実施形態では、ＩＰｖ４のＩＰアドレスを利用するとしたが、例えばＩＰｖ６のＩＰアドレスを利用しても良い。

上記の中継サーバ１５，１６は、以下のように構成することもできる。即ち、フィルタ設定部４２は、ＬＡＮインタフェース３４によってインターネット１４に接続する際にも、フィルタ用アドレス記憶部４１に記憶されている許可アドレスをアドレスフィルタ部３７に設定する。このように、プライベートＩＰアドレスでインターネット１４に接続するときも、グローバルＩＰアドレスでインターネット１４に接続するときと同様のフィルタリングを行っても良い。

１１第１ＬＡＮ
１２第２ＬＡＮ
１４インターネット（ＷＡＮ）
１５第１中継サーバ
１６第２中継サーバ
２９無線通信端末
３４ＬＡＮインタフェース（第１通信部）
３５ＵＳＢインタフェース（第２通信部）
３７アドレスフィルタ部
４１フィルタ用アドレス記憶部
４２フィルタ設定部

Claims

第１ＬＡＮ内のクライアント端末と、第２ＬＡＮ内のクライアント端末と、の通信を、前記第２ＬＡＮに接続された第２中継サーバとの間でＷＡＮを介して中継するために前記第１ＬＡＮに接続された中継サーバであって、
自身に割り当てられたプライベートＩＰアドレスを自身のＩＰアドレスとして利用して、前記第１ＬＡＮのゲートウェイを介して、当該ゲートウェイによってアドレス変換されながらＷＡＮに接続可能な第１通信部と、
自身に割り当てられたグローバルＩＰアドレスを自身のＩＰアドレスとして利用して、移動体通信網を介してＷＡＮに無線接続可能な第２通信部と、
設定されたＩＰアドレスに基づいてパケットのフィルタリングを行うアドレスフィルタ部と、
前記アドレスフィルタ部での前記フィルタリングのために設定する前記ＩＰアドレスを記憶するフィルタ用アドレス記憶部と、
前記第２通信部によって前記ＷＡＮに接続する際に、前記フィルタ用アドレス記憶部に記憶されているＩＰアドレスを前記アドレスフィルタ部に設定することで、前記第２通信部によってＷＡＮに接続している場合と前記第１通信部によってＷＡＮに接続している場合とで前記アドレスフィルタ部の動作を自動的に変更することが可能なフィルタ設定部と、
を備えることを特徴とする中継サーバ。
請求項１に記載の中継サーバであって、
前記第２通信部がＷＡＮに接続可能な場合、当該第２通信部によって前記ＷＡＮに接続するとともに、前記第１通信部による前記ＷＡＮへの接続を禁止するＷＡＮ接続選択部を備えることを特徴とする中継サーバ。
請求項１又は２に記載の中継サーバであって、
前記フィルタ設定部は、前記第１通信部によってＷＡＮに接続する場合は、前記フィルタ用アドレス記憶部に記憶されているＩＰアドレスを前記アドレスフィルタ部に設定しないことを特徴とする中継サーバ。
請求項１又は２に記載の中継サーバであって、
前記フィルタ設定部は、前記第１通信部によってＷＡＮに接続する際にも、前記フィルタ用アドレス記憶部に記憶されているＩＰアドレスを前記アドレスフィルタ部に設定することを特徴とする中継サーバ。