JP7067795B2

JP7067795B2 - 通信制御システム、及び、通信制御方法

Info

Publication number: JP7067795B2
Application number: JP2019159466A
Authority: JP
Inventors: 郁也平野
Original assignee: NEC Platforms Ltd
Current assignee: NEC Platforms Ltd
Priority date: 2019-09-02
Filing date: 2019-09-02
Publication date: 2022-05-16
Anticipated expiration: 2039-09-02
Also published as: JP2021040211A

Description

本発明は、通信制御システム、及び、通信制御方法に関する。

従来、グローバルＩＰアドレスが使用されるインターネット等の外部ネットワークと、プライベートＩＰアドレスが使用されるプライベートネットワークとの接続制御をブロードバンドルータ等のゲートウェイが行っている。
具体的には、ゲートウェイは、外部ネットワークで用いられるグローバルＩＰアドレスで特定される端末のポートと、プライベートネットワークでのみ用いられるプライベートＩＰアドレスで特定される端末のポートとが対応付けられたポートマッピングテーブルに基づいて、接続制御を行う。ゲートウェイの当該機能は、ポートマッピング機能と呼ばれる。これにより、外部ネットワークに接続している端末から、プライベートネットワークに接続している端末に接続することができる。

しかしながら、ゲートウェイの当該ポートマッピング機能を用いる場合、ユーザが手動でポートマッピングテーブルを作成する必要がある。プライベートネットワーク内のプライベートＩＰアドレスや通信可能なポートは端末毎に異なるため、ユーザは端末毎にプライベートＩＰアドレスや通信可能なポートを調べる必要がある。また、各端末において利用可能なポートが制限されている場合も多い。例えば、ＨＴＴＰサーバにおいては、通常、８０番ポートが使用され、それ以外のポートは閉じられている場合が多い。そのため、インターネットに不慣れなユーザが、ゲートウェイのポートマッピングテーブルを作成するのは、難しい場合があった。

また、通常のポートマッピング機能には、外部ネットワークから接続してくる端末を制限しない。そのため、ポートマッピングテーブル等のポートマッピング情報が漏れたり、ポートスキャン等によって開いているポートが分析されたりした場合に、意図しないユーザがプライベートネットワーク内の端末に接続できてしまうという問題があった。

特許文献１では、外部ネットワークの端末からプライベートネットワーク内の端末（以下、「プライベート端末」と称する。）にパケットを送信する場合、ゲートウェイが、外部ネットワークの当該端末のポートのアドレスと対応付けてプライベートネットワーク内の当該端末の仮アドレスを設定する。次に、当該ゲートウェイが、当該仮アドレスを外部ネットワークの当該端末に送信する。次に、外部ネットワークの当該端末は、パケットと共に、外部ネットワークの当該端末のポートのアドレス及び当該仮アドレスをゲートウェイに送信する。そして、当該ゲートウェイは、外部ネットワークの当該端末からパケットと共に送信された、外部ネットワークの当該端末のポートのアドレス及び当該仮アドレスを、プライベートネットワーク内の当該端末のプライベートＩＰアドレスに変換する。すなわち、特許文献１に記載の技術では、ポートマッピングが自動で行われるため、インターネットに不慣れなユーザであっても、ゲートウェイのポートマッピング機能を利用することができる。

特開２００６－１８０２９５号公報

しかしながら、特許文献１に記載の技術では、外部ネットワークから接続してくる端末を制限することができない。そのため、意図しないユーザがプライベートネットワーク内の端末に接続できてしまうという問題があった。

本発明の目的は、外部ネットワークからプライベートネットワークへの接続を簡易且つより安全に制御することができる通信制御システム、及び、通信制御方法を提供することである。

本発明の第１の態様に係る通信制御システムは、外部ネットワークに接続可能な外部接続可能端末と、プライベートネットワークに接続している端末であるプライベート端末と、前記外部ネットワークに接続している前記外部接続可能端末と前記プライベート端末との接続を制御する通信制御装置と、を備える。また、前記外部接続可能端末は、前記外部ネットワークに接続する前に、前記プライベートネットワーク内において当該プライベートネットワークに接続するため、前記通信制御装置に所定の情報エレメントビットを付加した接続要求信号を送信する。また、前記通信制御装置は、前記接続要求信号に前記所定の情報エレメントビットが付加されている場合に、少なくとも、前記プライベート端末のプライベートＩＰアドレスと、前記プライベート端末のポート番号と、前記通信制御装置のグローバルＩＰアドレスと、前記通信制御装置のポート番号と、が対応付けられたポートマッピングテーブルを作成し、前記ポートマッピングテーブルを前記外部接続可能端末に送信する。

本発明の第２の態様に係る通信制御方法は、外部ネットワークに接続可能な外部接続可能端末と、プライベートネットワークに接続している端末であるプライベート端末と、前記外部ネットワークに接続している前記外部接続可能端末と前記プライベート端末との接続を制御する通信制御装置と、を備える通信制御システムにおいて実施される通信制御方法である。当該通信制御方法では、前記外部接続可能端末が、前記外部ネットワークに接続する前に、前記プライベートネットワーク内において当該プライベートネットワークに接続するため、前記通信制御装置に所定の情報エレメントビットを付加した接続要求信号を送信する。また、前記通信制御装置が、前記接続要求信号に前記所定の情報エレメントビットが付加されている場合に、少なくとも、前記プライベート端末のプライベートＩＰアドレスと、前記プライベート端末のポート番号と、前記通信制御装置のグローバルＩＰアドレスと、前記通信制御装置のポート番号と、が対応付けられたポートマッピングテーブルを作成し、前記ポートマッピングテーブルを前記外部接続可能端末に送信する。

外部ネットワークからプライベートネットワークへの接続を簡易且つより安全に制御することができる通信制御システム、及び、通信制御方法を提供することができる。

本発明の実施の形態に係る通信制御システムの構成の一例と、当該通信制御システムの通信制御方法におけるポートマッピングテーブルの作成方法の一例について説明する図である。本発明の実施の形態１に係る通信制御システムの構成の一例を示すブロック図である。本発明の実施の形態１に係る通信制御方法におけるポートマッピングテーブルの作成方法の一例について説明するフローチャートである。本発明の実施の形態１に係るポートマッピングテーブルの一例を示す図である。本発明の実施の形態１に係る通信制御方法における接続制御方法の一例について説明するフローチャートである。本発明の実施の形態１の変形例に係る通信制御システムの構成の一例と、当該通信制御システムの通信制御方法におけるポートマッピングテーブルの更新方法の一例について説明する図である。本発明の実施の形態１の変形例に係る通信制御システムの通信制御方法におけるポートマッピングテーブルの更新方法の他の例について説明するフローチャートである。

以下、図面を参照して本発明の実施の形態について説明する。
図１は、本発明の実施の形態に係る通信制御システム１００の構成の一例と、当該通信制御システム１００の通信制御方法におけるポートマッピングテーブルの作成方法の一例について説明する図である。図１に示すように、通信制御システム１００は、外部ネットワークに接続可能な外部接続可能端末としての無線端末２００と、プライベートネットワークに接続している端末であるプライベート端末３００と、通信制御装置としてのゲートウェイ４００等を備える。ゲートウェイ４００は、外部ネットワークに接続している無線端末２００とプライベート端末３００との接続を制御する。

次に、図１を参照しながら、本発明の実施の形態に係る通信制御方法におけるポートマッピングテーブルの作成方法について説明する。図１に示す無線端末２００とゲートウェイ４００との無線通信は、プライベートネットワーク内で実施される。
まず、無線端末２００とゲートウェイ４００との間で、無線通信の認証である「Authentication」を実施する（ステップＳ１）。具体的には、無線端末２００とゲートウェイ４００との間で、所定の認証方式に従った認証情報のやり取りを行う。

次に、無線端末２００は、接続要求信号「Association Request」に所定の情報エレメントビットを付加し、ゲートウェイ４００に対して、当該接続要求信号「Association Request」を送信する（ステップＳ２）。ここで、接続要求信号「Association Request」への所定の情報エレメントビットの付加は、「Association Request」のデータ領域のビットの何れかを「１」とすることを意味する。なお、当該情報エレメントビットの付加方法は一例に過ぎず、他の方法であってもよい。

次に、ゲートウェイ４００は、無線端末２００から送信された接続要求信号「Association Request」に所定の情報エレメントビットが付加されているか否かを判断する（ステップＳ３）。ステップＳ３において、接続要求信号「Association Request」に所定の情報エレメントビットが付加されている場合、ゲートウェイ４００は、無線端末２００に対して、接続許可信号「Association response」を送信する（ステップＳ４）。なお、ステップＳ３において、接続要求信号「Association Request」に所定の情報エレメントビットが付加されていない場合、ゲートウェイ４００は、無線端末２００に対して、接続許可信号「Association response」を送信しない。

次に、無線端末２００は、無線端末２００に対して、ポートマッピングテーブル取得リクエストを送信する（ステップＳ５）。

次に、ゲートウェイ４００は、無線端末２００からポートマッピングテーブル取得リクエストを受信すると、プライベート端末３００のプライベートＩＰアドレスを検索する（ステップＳ６）。

次に、ゲートウェイ４００は、プライベート端末３００の各ポートに対して所定の信号を送信してポートスキャンを行う（ステップＳ７）。次いで、プライベート端末３００は、ゲートウェイ４００に対して、通信可能なポートに関する情報（ポート番号等）を送信する（ステップＳ８）。具体的には、プライベート端末３００の通信可能なポートから、所定の信号がゲートウェイ４００に送信される。

次に、ゲートウェイ４００は、ステップＳ６において取得したプライベート端末３００のプライベートＩＰアドレス、ステップＳ８において取得した通信可能なポートに関する情報（ポート番号等）等に基づいて、ポートマッピングテーブル４２１を作成する（ステップＳ９）。

次に、ゲートウェイ４００は、無線端末２００に対して、ステップＳ９において作成したポートマッピングテーブル４２１を送信する（ステップＳ１０）。

以上に説明した本発明の実施の形態に係る通信制御システム１００によれば、無線端末２００が、外部ネットワークに接続する前に、プライベートネットワーク内において当該プライベートネットワークに接続するために送信した接続要求信号に所定の情報エレメントビットが付加されている場合にのみ、ゲートウェイ４００が、ポートマッピングテーブルを作成し、当該ポートマッピングテーブルを当該無線端末２００に送信する。そのため、意図しないユーザがプライベート端末３００に接続してしまうことを防ぐことができる。さらに、ゲートウェイ４００は、ポートマッピングテーブルを自動で作成するため、ユーザが手動でポートマッピングテーブルを作成する必要がない。よって、外部ネットワークからプライベートネットワークへの接続を簡易且つより安全に制御することができる通信制御システム１００、及び、通信制御方法を提供することができる。

また、外部接続可能端末として無線通信可能な無線端末２００を対象とすることにより、外部ネットワークからプライベートネットワークへの接続を更に安全に制御することができる。具体的には、無線通信には、通常、暗号化キーが設定されているため、当該暗号化キーを知らないユーザは無線通信を介してゲートウェイ４００に接続することができない。そのため、意図しない無線端末のユーザが、プライベートネットワーク内においてゲートウェイ４００に接続してポートマッピングテーブルを入手することを防ぐことができる。

実施の形態１
図２は、本発明の実施の形態１に係る通信制御システム１００Ａの構成の一例を示すブロック図である。図２に示すように、通信制御システム１００Ａは、外部ネットワークに接続可能な外部接続可能端末としての無線端末２００と、プライベートネットワークに接続している端末であるプライベート端末３００と、通信制御装置としてのゲートウェイ４００等を備える。ゲートウェイ４００は、外部ネットワークからプライベートネットワークのプライベート端末３００への無線端末２００の接続制御を行う。

無線端末２００は、図２に示すように、通信制御部２１０、表示部２２０等を備える。
また、通信制御部２１０は、無線通信部２１１、情報エレメント付加部２１２、情報エレメント判断部２１３、ポートマッピングテーブル取得部２１４等を備える。

無線通信部２１１は、アンテナ（図示省略）を介して、無線通信を介して、ゲートウェイ４００等の他の通信装置（図示省略）との間で、情報の送受信を行う。

情報エレメント付加部２１２は、ゲートウェイ４００に送信する、接続要求信号である「Association Request」に、所定の情報エレメントビットを付加する。

情報エレメント判断部２１３は、ゲートウェイ４００から送信された、接続許可信号である「Association response」に付加された情報エレメントビットを分析する。具体的には、情報エレメント判断部２１３は、「Association response」に所定の情報エレメントビットが付加されているか否かを判断する。

ポートマッピングテーブル取得部２１４は、情報エレメント判断部２１３によって「Association response」に所定の情報エレメントビットが付加されていると判断された場合に、ゲートウェイ４００にポートマッピングテーブル取得リクエストを送信する。また、ポートマッピングテーブル取得部２１４は、ゲートウェイ４００から送信されたポートマッピングテーブルを受信する。

表示部２２０は、ポートマッピングテーブル取得部２１４が受信したポートマッピングテーブルを表示して、ユーザに当該ポートマッピングテーブルを提示する。

プライベート端末３００は、図２に示すように、通信制御部３１０、記憶部３２０等を備える。
また、通信制御部３１０は、通信部３１１等を備える。

通信部３１１は、無線通信又は有線通信を介して、ゲートウェイ４００やプライベートネットワーク内の他の端末（図示省略）との間で、情報の送受信を行う。

記憶部３２０は、当該プライベート端末３００のプライベートＩＰアドレス３２１、通信可能なポートに関する情報３２２を格納している。ここで、プライベートＩＰアドレス３２１とは、ゲートウェイ４００に管理されるプライベートネットワーク内の通信でのみ使用できるアドレスである。また、通信可能なポートとは、フィルタリングされておらず、通信が許可されているポートである。

ゲートウェイ４００は、図２に示すように、通信制御部４１０、記憶部４２０等を備える。
また、通信制御部４１０は、通信部４１１、ネットワークアドレス変換部（ＮＡＴ部）４１２、ＩＰアドレススキャン部４１３、ポートスキャン部４１４、自動ポートマッピング部４１５、ポートマッピングテーブル送信部４１６、情報エレメント判断部４１７、情報エレメント付加部４１８等を備える。

通信部４１１は、アンテナ（図示省略）を介して、無線通信を介して、無線端末２００、プライベート端末３００等の他の無線通信装置（図示省略）との間で、情報の送受信を行う。また、プライベート端末３００が有線通信を用いて通信している場合、通信部４１１は、有線通信を介して、当該プライベート端末３００等の他の有線通信装置（図示省略）との間で、情報の送受信を行う。

ＮＡＴ部４１２は、パケットヘッダに含まれるＩＰアドレス及びポート番号を、別のＩＰアドレス及びポート番号に変換する。具体的には、ＮＡＴ部４１２は、外部ネットワークに接続している端末から送信された情報において指定されたゲートウェイ４００自身のグローバルＩＰアドレス及び特定のポート番号を、プライベートネットワークの特定のＩＰアドレス及び特定のポート番号に変換する。また、ＮＡＴ部４１２は、プライベート端末３００から送信された情報において指定されたゲートウェイ４００自身のグローバルＩＰアドレス及び特定のポート番号を、外部ネットワークの特定のグローバルＩＰアドレス及び特定のポート番号に変換する。これにより、ゲートウェイ４００は、外部ネットワークに接続している端末と、プライベートネットワークに接続しているプライベート端末３００との接続制御を行う。

ＩＰアドレススキャン部４１３は、プライベート端末３００に対してＩＰアドレススキャンを行って、各端末のプライベートＩＰアドレスを検索する。ＩＰアドレススキャン部４１３は、ＩＰアドレススキャンした結果を記憶部４２０に格納する。

ポートスキャン部４１４は、プライベート端末３００の各ポートに対して所定の信号を送信してポートスキャンを行うことにより、通信可能なポートを検索する。ポートスキャン部４１４は、ポートスキャンした結果を記憶部４２０に格納する。

自動ポートマッピング部４１５は、ＩＰアドレススキャン部４１３によって検索されたプライベートＩＰアドレスと、ポートスキャン部４１４によって検索された通信可能なポートのポート番号等に基づいて、ポートマッピングテーブル４２１を作成する。自動ポートマッピング部４１５は、作成したポートマッピングテーブル４２１を記憶部４２０に格納する。

ポートマッピングテーブル送信部４１６は、記憶部４２０に格納されているポートマッピングテーブル４２１を、通信部４１１を介して、無線端末２００に送信する。

情報エレメント判断部４１７は、無線端末２００から送信された、接続要求信号である「Association Request」に付加された情報エレメントビットを分析する。具体的には、情報エレメント判断部４１７は、「Association Request」に所定の情報エレメントビットが付加されているか否かを判断する。

情報エレメント付加部４１８は、情報エレメント判断部４１７によって「Association Request」に所定の情報エレメントビットが付加されていると判断された場合に、無線端末２００に送信する、接続許可信号である「Association response」に、所定の情報エレメントビットを付加する。

記憶部４２０は、自動ポートマッピング部４１５によって作成されたポートマッピングテーブル４２１、当該ゲートウェイ４００のグローバルＩＰアドレス４２２を格納している。ここで、グローバルＩＰアドレス４２２とは、外部ネットワークで使用されるＩＰアドレスである。

次に、図３を参照しながら、本実施の形態１に係る通信制御方法におけるポートマッピングテーブルの作成方法について説明する。図３に示す無線端末２００とゲートウェイ４００との無線通信は、プライベートネットワーク内で実施される。
まず、無線端末２００とゲートウェイ４００との間で、無線通信の認証である「Authentication」を実施する（ステップＳ１０１）。具体的には、無線端末２００とゲートウェイ４００との間で、所定の認証方式に従った認証情報のやり取りを行う。

次に、無線端末２００は、接続要求信号「Association Request」に所定の情報エレメントビットを付加し、ゲートウェイ４００に対して、当該接続要求信号「Association Request」を送信する（ステップＳ１０２）。ここで、接続要求信号「Association Request」への所定の情報エレメントビットの付加は、「Association Request」のデータ領域のビットの何れかを「１」とすることを意味する。なお、当該情報エレメントビットの付加方法は一例に過ぎず、他の方法であってもよい。

次に、ゲートウェイ４００は、無線端末２００から送信された接続要求信号「Association Request」に所定の情報エレメントビットが付加されているか否かを判断する（ステップＳ１０３）。ステップＳ１０３において、接続要求信号「Association Request」に所定の情報エレメントビットが付加されている場合、ゲートウェイ４００は、接続許可信号「Association response」に所定の情報エレメントビットを付加し、無線端末２００に対して、当該接続許可信号「Association response」を送信する（ステップＳ１０４）。なお、ステップＳ１０３において、接続要求信号「Association Request」に所定の情報エレメントビットが付加されていない場合、ゲートウェイ４００は、無線端末２００に対して、接続許可信号「Association response」を送信しない。

次に、無線端末２００は、ゲートウェイ４００から送信された接続許可信号「Association response」に所定の情報エレメントビットが付加されているか否かを判断する（ステップＳ１０５）。ステップＳ１０５において、接続許可信号「Association response」に所定の情報エレメントビットが付加されている場合、無線端末２００は、無線端末２００に対して、ポートマッピングテーブル取得リクエストを送信する（ステップＳ１０６）。

次に、ゲートウェイ４００は、無線端末２００からポートマッピングテーブル取得リクエストを受信すると、プライベート端末３００のプライベートＩＰアドレスを検索する（ステップＳ１０７）。

次に、ゲートウェイ４００は、プライベート端末３００の各ポートに対して所定の信号を送信してポートスキャンを行う（ステップＳ１０８）。次いで、プライベート端末３００は、ゲートウェイ４００に対して、通信可能なポートに関する情報（ポート番号等）を送信する（ステップＳ１０９）。具体的には、プライベート端末３００の通信可能なポートから、所定の信号がゲートウェイ４００に送信される。

次に、ゲートウェイ４００は、ステップＳ１０７において取得したプライベート端末３００のプライベートＩＰアドレス、ステップＳ１０９において取得した通信可能なポートに関する情報（ポート番号等）等に基づいて、ポートマッピングテーブル４２１を作成する（ステップＳ１１０）。

次に、ゲートウェイ４００は、無線端末２００に対して、ステップＳ１１０において作成したポートマッピングテーブル４２１を送信する（ステップＳ１１１）。

次に、図４を参照しながら、本実施の形態１に係るポートマッピングテーブル４２１について説明する。ポートマッピングテーブル４２１は、プライベート端末３００のプライベートＩＰアドレス４２１Ａと、プライベート端末３００の使用可能なポート番号４２１Ｂと、ゲートウェイ４００のグローバルＩＰアドレス４２１Ｃと、ゲートウェイ４００のポート番号４２１Ｄと、ワンタイムパスワード（ＯＰＴ；One Time Password）４２１Ｅとを対応付けたデータテーブルである。ゲートウェイ４００のＩＰアドレススキャン部４１３によって検索されたプライベート端末３００のプライベートＩＰアドレスは、ポートマッピングテーブル４２１のプライベートＩＰアドレス４２１Ａとして、記憶部４２０に格納される。また、ゲートウェイ４００のポートスキャン部４１４によって検索された使用可能なポートのポート番号は、ポートマッピングテーブル４２１の使用可能なポート番号４２１Ｂとして、記憶部４２０に格納される。また、ゲートウェイ４００の自動ポートマッピング部４１５によって、それぞれのプライベート端末３００毎に、ワンタイムパスワード４２１Ｅが設定される。なお、ゲートウェイ４００の自動ポートマッピング部４１５は、ワンタイムパスワード４２１Ｅを設定しなくてもよい。

次に、図５を参照しながら、本実施の形態１に係る通信制御方法における接続制御方法について説明する。図５は、外部ネットワークから無線端末２００がプライベートネットワークのプライベート端末３００へ接続する場合について説明している。

まず、無線端末２００は、外部ネットワーク（図５に示す「インターネット」）を介して、ポートマッピングテーブル４２１に記載されたグローバルＩＰアドレス４２１Ｃ及びポート番号４２１Ｄを指定して通信リクエストをゲートウェイ４００に送信する（ステップＳ２０１）。例えば、図４に示すポートマッピングテーブル４２１のプライベートＩＰアドレス「192.168.10.100」のプライベート端末３００のポート番号「80」のポートに接続する場合、グローバルＩＰアドレス「10.20.30.1」のゲートウェイ４００のポート番号「1024」のポートに通信リクエストを送信する。このとき、通信リクエストにワンタイムパスワードを付加してもよい。通信リクエストにワンタイムパスワードを付加する方法は、ゲートウェイ４００において当該ワンタイムパスワードを識別できる方法であればよく、例えば、ＨＴＴＰリクエストの場合には、ワンタイムパスワードをリクエストＵＲＬに埋め込んでもよい。

次に、ゲートウェイ４００は、無線端末２００から送信された通信リクエストに付加されたワンタイムパスワードがポートマッピングテーブル４２１に記載されたワンタイムパスワード４２１Ｅと一致するか否かを判断する（ステップＳ２０２）。

ステップＳ２０２において、通信リクエストに付加されたワンタイムパスワードがポートマッピングテーブル４２１に記載されたワンタイムパスワード４２１Ｅと一致する場合、ゲートウェイ４００のＮＡＴ部４１２は、通信リクエストに含まれるグローバルＩＰアドレス及びポート番号を対応するプライベートＩＰアドレス及びポート番号に書き換える（ステップＳ２０３）。なお、ステップＳ２０２において、通信リクエストに付加されたワンタイムパスワードがポートマッピングテーブル４２１に記載されたワンタイムパスワード４２１Ｅと一致しない場合、ゲートウェイ４００は、無線端末２００のプライベートネットワークへの接続を拒否する。

次に、ゲートウェイ４００は、ステップＳ２０３において書き換えたプライベートＩＰアドレス及びポート番号のプライベート端末３００のポートに当該通信リクエストを送信する（ステップＳ２０４）。

次に、プライベート端末３００は、通信リクエストを受信すると、通信レスポンスをゲートウェイ４００に送信する（ステップＳ２０５）。

次に、ゲートウェイ４００は、プライベート端末３００から通信レスポンスを受信すると、当該通信レスポンスを、インターネットを介して、無線端末２００に送信する（ステップＳ２０６）。

以上に説明した実施の形態１に係る通信制御システム１００Ａ、及び、通信制御方法によれば、無線端末２００が、外部ネットワークに接続する前に、プライベートネットワーク内において当該プライベートネットワークに接続するために送信した接続要求信号に所定の情報エレメントビットが付加されている場合にのみ、ゲートウェイ４００が、ポートマッピングテーブルを作成し、当該ポートマッピングテーブルを当該無線端末２００に送信する。そのため、意図しないユーザがプライベート端末３００に接続してしまうことを防ぐことができる。さらに、ゲートウェイ４００は、ポートマッピングテーブルを自動で作成するため、ユーザが手動でポートマッピングテーブルを作成する必要がない。よって、外部ネットワークからプライベートネットワークへの接続を簡易且つより安全に制御することができる通信制御システム１００Ａ、及び、通信制御方法を提供することができる。

また、ゲートウェイ４００は、外部ネットワークに接続している無線端末２００から送信された通信リクエストに付加されたワンタイムパスワード４２１Ｅが、ポートマッピングテーブル４２１に記載されたワンタイムパスワード４２１Ｅと一致する場合にのみ、当該無線端末２００のプライベート端末３００への接続を許可する。そのため、ゲートウェイ４００は、更に安全に、外部ネットワークからプライベートネットワークへの接続を制御することができる。

変形例１
次に、図６を参照しながら、本実施の形態１の変形例１に係る通信制御システム１００Ｂ及び当該通信制御システム１００Ｂにおける通信制御方法について説明する。
図６に示すように、本変形例１に係る通信制御システム１００Ｂは、クラウドサーバ５００を備える点が、実施の形態１に係る通信制御システム１００Ａと異なる。そして、本変形例１に係る通信制御システム１００Ｂでは、ＤＨＣＰ（Dynamic Host Configuration Protocol）サーバによるＩＰアドレスの払い出しが行われた場合などにおいて、ゲートウェイ４００がポートマッピングテーブルを自動的に更新する。

具体的には、まず、ゲートウェイ４００がポートマッピングテーブルを自動的な更新契機を検知すると（ステップＳ３０１）、ゲートウェイ４００は、ステップＳ３０２～ステップＳ３０５の処理を経て、ポートマッピングテーブルを自動的に作成することにより、ポートマッピングテーブルを更新する。ステップＳ３０２～ステップＳ３０５の処理は、図３に示すステップＳ１０７～ステップＳ１１０の処理と同様であるため、その説明を省略する。
なお、ポートマッピングテーブルを自動的な更新契機とは、例えば、ユーザが任意で設定した定期的なタイミングや、ＤＨＣＰサーバによるＩＰアドレスの払い出しが行われたタイミング、ＤＨＣＰサーバによる定期的なＩＰアドレスの更新が行われるタイミング等である。また、自動的な更新契機には、変形例２において説明する、無線端末２００から所定の通信リクエストを受信したタイミングが含まれてもよい。

次に、ゲートウェイ４００は、更新したポートマッピングテーブルをクラウドサーバ５００に送信する（ステップＳ３０６）。クラウドサーバ５００は受信したポートマッピングテーブルを記憶する。なお、クラウドサーバ５００が、受信したポートマッピングテーブルと同じポートマッピングテーブルを既に格納している場合、クラウドサーバ５００は、当該ポートマッピングテーブルを上書きする。

次に、無線端末２００は、クラウドサーバ５００に対して、ポートマッピングテーブル取得リクエストを送信する（ステップＳ３０７）。

次に、クラウドサーバ５００は、無線端末２００からポートマッピングテーブル取得リクエストを受信すると、格納しているポートマッピングテーブルを無線端末２００に対して送信する（ステップＳ３０８）

以下のステップＳ３０９～ステップＳ３１４の処理は、図５に示すステップＳ２０１～ステップＳ２０６の処理と同様であるため、その説明を省略する。

以上に説明した本実施の形態１の変形例１に係る通信制御システム１００Ｂ、及び、通信制御方法によれば、ゲートウェイ４００が自動的な更新契機を検知した場合に、ポートマッピングテーブル４２１を更新し、クラウドサーバ５００が更新されたポートマッピングテーブル４２１を格納する。そのため、ポートマッピングテーブル４２１を自動で更新することができ、インターネットに不慣れなユーザであっても、更新されたポートマッピングテーブルを用いて、外部ネットワークからプライベートネットワークへ接続を行うことができる。よって、ゲートウェイ４００は、より簡易に、外部ネットワークからプライベートネットワークへの接続を制御することができる。

変形例２
次に、図７を参照しながら、本実施の形態１の変形例２に係る通信制御方法について説明する。図７に示すように、本変形例２に係る通信制御方法では、無線端末２００からの通信リクエストが送信された場合において、ゲートウェイ４００がポートマッピングテーブルを自動的に更新する。なお、本変形例２に係る通信制御方法では、無線端末２００は、予め、プライベートネットワークに接続し、図３に示す処理により、ポートマッピングテーブル４２１を取得している。また、当該ポートマッピングテーブル４２１には、自動ポートマッピング部４１５によって、ポートマッピングテーブル４２１を更新するためのゲートウェイ４００のグローバルＩＰアドレス４２１Ｃと、ポート番号４２１Ｄと、ワンタイムパスワード４２１Ｅとが対応付けられて設定されている。

具体的には、無線端末２００が、ポートマッピングテーブル４２１を更新するためのゲートウェイ４００のグローバルＩＰアドレス４２１Ｃと、ポート番号４２１Ｄとを指定して、ワンタイムパスワード４２１Ｅを付加した通信リクエストをゲートウェイ４００に対して送信する（ステップＳ４０１）。次いで、ゲートウェイ４００は、ステップＳ４０２及びステップＳ４０３の処理を行う。なお、ステップＳ４０２及びステップＳ４０３の処理は、図５に示すステップＳ２０２及びステップＳ２０３の処理と同様であるため、その説明を省略する。

次に、ゲートウェイ４００は、ステップＳ４０４～ステップＳ４０７の処理を経て、ポートマッピングテーブルを自動的に作成することにより、ポートマッピングテーブルを更新する。ステップＳ３０２～ステップＳ３０５の処理は、図３に示すステップＳ１０７～ステップＳ１１０の処理と同様であるため、その説明を省略する。

次に、ゲートウェイ４００は、更新したポートマッピングテーブルを無線端末２００に送信する（ステップＳ４０８）。

以上に説明した本実施の形態１の変形例２に係る通信制御システム１００Ａ、及び、通信制御方法によれば、ゲートウェイ４００が、無線端末２００から、ポートマッピングテーブルを更新するためのゲートウェイ４００のグローバルＩＰアドレス４２１Ｃと、ゲートウェイ４００のポート番号４２１Ｄとを指定して、ワンタイムパスワード４２１Ｅを付加した通信リクエストを受信し、当該通信リクエストに付加されたワンタイムパスワード４２１Ｅが、ポートマッピングテーブル４２１に記載されたワンタイムパスワード４２１Ｅと一致する場合に、ポートマッピングテーブル４２１を更新する。そのため、ポートマッピングテーブル４２１を自動で更新することができ、インターネットに不慣れなユーザであっても、更新されたポートマッピングテーブルを用いて、外部ネットワークからプライベートネットワークへ接続を行うことができる。さらに、ポートマッピングテーブル４２１を更新する際、ワンタイムパスワード４２１Ｅを確認するため、意図しないユーザに更新されたポートマッピングテーブル４２１を提供することを防ぐことができる。そのため、より安全に、更新されたポートマッピングテーブル４２１を無線端末２００に提供することができる。

上述の実施の形態では、本発明をハードウェアの構成として説明したが、本発明は、これに限定されるものではない。本発明は、図１、図３、図５乃至図７のフローチャートに記載の処理手順を、ＣＰＵ（Central Processing Unit）にコンピュータプログラムを実行させることにより実現することも可能である。
また、上述したプログラムは、様々なタイプの非一時的なコンピュータ可読媒体（ｎｏｎ－ｔｒａｎｓｉｔｏｒｙｃｏｍｐｕｔｅｒｒｅａｄａｂｌｅｍｅｄｉｕｍ）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（ｔａｎｇｉｂｌｅｓｔｏｒａｇｅｍｅｄｉｕｍ）を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えばフレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば光磁気ディスク）、ＣＤ－ＲＯＭ（ＲｅａｄＯｎｌｙＭｅｍｏｒｙ）ＣＤ－Ｒ、ＣＤ－Ｒ／Ｗ、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ（ＰｒｏｇｒａｍｍａｂｌｅＲＯＭ）、ＥＰＲＯＭ（ＥｒａｓａｂｌｅＰＲＯＭ）、フラッシュＲＯＭ、ＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ））を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（ｔｒａｎｓｉｔｏｒｙｃｏｍｐｕｔｅｒｒｅａｄａｂｌｅｍｅｄｉｕｍ）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。

なお、本発明は上記実施の形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。

１００、１００Ａ、１００Ｂ通信制御システム
２００無線端末（外部接続可能端末）
３００プライベート端末
４００ゲートウェイ（通信制御装置）
５００クラウドサーバ

Claims

外部ネットワークに接続可能な外部接続可能端末と、プライベートネットワークに接続している端末であるプライベート端末と、前記外部ネットワークに接続している前記外部接続可能端末と前記プライベート端末との接続を制御する通信制御装置と、を備え、
前記外部接続可能端末は、前記外部ネットワークに接続する前に、
前記プライベートネットワーク内において当該プライベートネットワークに接続するため、前記通信制御装置に所定の情報エレメントビットを付加した接続要求信号を送信し、
前記通信制御装置から前記接続要求信号に応じた接続許可信号を受信した場合に、ポートマッピングテーブル取得リクエストを送信し、
前記通信制御装置は、
前記接続要求信号に前記所定の情報エレメントビットが付加されている場合に、前記外部接続可能端末に前記接続許可信号を送信し、
前記ポートマッピングテーブル取得リクエストを受信した場合に、少なくとも、前記プライベート端末のプライベートＩＰアドレスと、前記プライベート端末のポート番号と、前記通信制御装置のグローバルＩＰアドレスと、前記通信制御装置のポート番号と、が対応付けられたポートマッピングテーブルを作成し、
前記ポートマッピングテーブルを前記外部接続可能端末に送信する、
通信制御システム。
前記通信制御装置は、
前記プライベート端末のプライベートＩＰアドレスと、前記プライベート端末のポート番号と、前記通信制御装置のグローバルＩＰアドレスと、前記通信制御装置のポート番号と、更にワンタイムパスワードとが対応付けられたポートマッピングテーブルを作成し、
前記外部接続可能端末は、前記外部ネットワークに接続している際に、
前記ポートマッピングテーブルに記載された、前記通信制御装置のグローバルＩＰアドレスと、前記通信制御装置のポート番号とを指定して、前記ワンタイムパスワードを付加した通信リクエストを前記通信制御装置に送信し、
前記通信制御装置は、
前記通信リクエストに付加された前記ワンタイムパスワードが、前記ポートマッピングテーブルに記載された前記ワンタイムパスワードと一致する場合に、前記通信リクエストにおいて指定された前記通信制御装置のグローバルＩＰアドレスと、前記通信制御装置のポート番号とを、対応する前記プライベートＩＰアドレスと、前記プライベート端末のポート番号に変換する、
請求項１に記載の通信制御システム。
前記ポートマッピングテーブルには、前記通信制御装置によって、更に、当該ポートマッピングテーブルを更新するための前記通信制御装置のグローバルＩＰアドレスと、前記通信制御装置のポート番号と、前記ワンタイムパスワードとが対応付けられて設定されており、
前記外部接続可能端末は、
前記ポートマッピングテーブルを更新するための前記通信制御装置のグローバルＩＰアドレスと、前記通信制御装置のポート番号とを指定して、前記ワンタイムパスワードを付加した通信リクエストを前記通信制御装置に送信し、
前記通信制御装置は、
前記通信リクエストに付加された前記ワンタイムパスワードが、前記ポートマッピングテーブルに記載された前記ワンタイムパスワードと一致する場合に、前記ポートマッピングテーブルを更新し、
更新した前記ポートマッピングテーブルを前記外部接続可能端末に送信する、
請求項２に記載の通信制御システム。
前記通信制御システムは、クラウドサーバをさらに備え、
前記通信制御装置は、
自動的な更新契機を検知した場合に、前記ポートマッピングテーブルを更新し、
前記クラウドサーバは、
前記通信制御装置によって更新された前記ポートマッピングテーブルを格納し、
前記外部接続可能端末は、
前記クラウドサーバから更新された前記ポートマッピングテーブルを取得する、
請求項１乃至３の何れか一項に記載の通信制御システム。
前記外部接続可能端末は、無線通信可能な無線端末である、請求項１乃至４の何れか一項に記載の通信制御システム。
外部ネットワークに接続可能な外部接続可能端末と、プライベートネットワークに接続している端末であるプライベート端末と、前記外部ネットワークに接続している前記外部接続可能端末と前記プライベート端末との接続を制御する通信制御装置と、を備える通信制御システムにおいて実施される通信制御方法であって、
前記外部接続可能端末は、前記外部ネットワークに接続する前に、
前記プライベートネットワーク内において当該プライベートネットワークに接続するため、前記通信制御装置に所定の情報エレメントビットを付加した接続要求信号を送信し、
前記通信制御装置から前記接続要求信号に応じた接続許可信号を受信した場合に、ポートマッピングテーブル取得リクエストを送信し、
前記通信制御装置は、
前記接続要求信号に前記所定の情報エレメントビットが付加されている場合に、前記外部接続可能端末に前記接続許可信号を送信し、
前記ポートマッピングテーブル取得リクエストを受信した場合に、少なくとも、前記プライベート端末のプライベートＩＰアドレスと、前記プライベート端末のポート番号と、前記通信制御装置のグローバルＩＰアドレスと、前記通信制御装置のポート番号と、が対応付けられたポートマッピングテーブルを作成し、
前記ポートマッピングテーブルを前記外部接続可能端末に送信する、
通信制御方法。
前記通信制御装置は、
前記プライベート端末のプライベートＩＰアドレスと、前記プライベート端末のポート番号と、前記通信制御装置のグローバルＩＰアドレスと、前記通信制御装置のポート番号と、更にワンタイムパスワードとが対応付けられたポートマッピングテーブルを作成し、
前記外部接続可能端末は、前記外部ネットワークに接続している際に、
前記ポートマッピングテーブルに記載された、前記通信制御装置のグローバルＩＰアドレスと、前記通信制御装置のポート番号とを指定して、前記ワンタイムパスワードを付加した通信リクエストを前記通信制御装置に送信し、
前記通信制御装置は、
前記通信リクエストに付加された前記ワンタイムパスワードが、前記ポートマッピングテーブルに記載された前記ワンタイムパスワードと一致する場合に、前記通信リクエストにおいて指定された前記通信制御装置のグローバルＩＰアドレスと、前記通信制御装置のポート番号とを、対応する前記プライベートＩＰアドレスと、前記プライベート端末のポート番号に変換する、
請求項６に記載の通信制御方法。
前記ポートマッピングテーブルには、前記通信制御装置によって、更に、当該ポートマッピングテーブルを更新するための前記通信制御装置のグローバルＩＰアドレスと、前記通信制御装置のポート番号と、前記ワンタイムパスワードとが対応付けられて設定されており、
前記外部接続可能端末は、
前記ポートマッピングテーブルを更新するための前記通信制御装置のグローバルＩＰアドレスと、前記通信制御装置のポート番号とを指定して、前記ワンタイムパスワードを付加した通信リクエストを前記通信制御装置に送信し、
前記通信制御装置は、
前記通信リクエストに付加された前記ワンタイムパスワードが、前記ポートマッピングテーブルに記載された前記ワンタイムパスワードと一致する場合に、前記ポートマッピングテーブルを更新し、
更新した前記ポートマッピングテーブルを前記外部接続可能端末に送信する、
請求項７に記載の通信制御方法。
前記通信制御システムは、クラウドサーバをさらに備え、
前記通信制御装置は、
自動的な更新契機を検知した場合に、前記ポートマッピングテーブルを更新し、
前記クラウドサーバは、
前記通信制御装置によって更新された前記ポートマッピングテーブルを格納し、
前記外部接続可能端末は、
前記クラウドサーバから更新された前記ポートマッピングテーブルを取得する、
請求項６乃至８の何れか一項に記載の通信制御方法。
前記外部接続可能端末は、無線通信可能な無線端末である、請求項６乃至９の何れか一項に記載の通信制御方法。