JP7209593B2 - 中継方法、中継システム、及び中継用プログラム - Google Patents

Description

本発明は、クライアント端末と対象端末との通信を中継する中継方法、中継システム、及び中継用プログラムに関する。

ＩｏＴ（Ｉｎｔｅｒｎｅｔ ｏｆ Ｔｈｉｎｇｓ）システムの保守、運用、管理を行うにあたり、ＩｏＴデバイスとしての対象端末に対してアクセス可能にすることが行われている。ユーザが、対象端末にアクセスする方法として、特許文献１には、ユーザからの要求に応じて、対象端末に割り当てたグローバルＩＰアドレスを通知するシステムが開示されている。

特許第５９７３０４９号公報

対象端末にグローバルＩＰアドレスを割り当てることにより、ユーザは、グローバルＩＰアドレスを用いて対象端末に容易にアクセスすることができる。しかしながら、対象端末にグローバルＩＰアドレスを割り当てると、対象端末にユーザ以外の第三者がアクセス可能となるため、セキュリティ上のリスクが生じる。

そこで、本発明はこれらの点に鑑みてなされたものであり、対象端末にセキュアにアクセスすることができる中継方法、中継システム、及び中継用プログラムを提供することを目的とする。

本発明の第１の態様に係る中継方法は、クライアント端末と、前記クライアント端末の通信先の対象端末との通信を中継する中継システムが実行する中継方法であって、前記クライアント端末から、前記対象端末を識別する端末識別情報を取得する取得ステップと、前記端末識別情報を取得すると、前記中継システムが備える複数の中継装置のうち、前記通信を中継する第１中継装置を特定し、前記クライアント端末が前記第１中継装置に接続するための接続用情報を特定する特定ステップと、前記接続用情報と、前記端末識別情報とを関連付けて記憶部に記憶させる記憶制御ステップと、特定された前記接続用情報を前記クライアント端末に通知する通知ステップと、前記第１中継装置が、前記クライアント端末から前記接続用情報に基づくアクセスを受け付けると、前記記憶部において当該接続用情報に関連付けられている前記端末識別情報に基づいて、前記クライアント端末と前記対象端末との通信を中継する中継ステップと、を備える。

前記中継ステップにおいて、前記第１中継装置は、前記記憶部に記憶された前記端末識別情報に基づいて前記対象端末が接続されている第２中継装置を特定し、特定した前記第２中継装置を介して、前記クライアント端末と前記対象端末との通信を中継してもよい。

前記中継システムはモバイルネットワークを構成する複数の中継装置を含んで構成されているとともに、前記対象端末は前記モバイルネットワークに接続されており、前記対象端末には、前記モバイルネットワークの内部でアクセス可能なプライベートアドレスが割り当てられており、前記中継ステップにおいて、前記第１中継装置は、前記対象端末のプライベートアドレスに基づいて、自身と前記対象端末との通信を行うことにより、前記クライアント端末と前記対象端末との通信を中継してもよい。

前記記憶制御ステップにおいて、前記中継システムは、前記接続用情報に、前記対象端末との通信に使用する前記対象端末のポート番号をさらに関連付けて前記記憶部に記憶させ、前記中継ステップにおいて、前記第１中継装置は、前記記憶部において前記接続用情報に関連付けられている端末識別情報及び前記対象端末のポート番号に基づいて前記対象端末との接続を確立してもよい。

前記取得ステップにおいて、前記中継システムは、前記クライアント端末から前記対象端末のポート番号をさらに取得し、前記記憶制御ステップにおいて、前記中継システムは、前記接続用情報に、取得された前記対象端末のポート番号をさらに関連付けて前記記憶部に記憶させてもよい。

前記記憶制御ステップにおいて、前記中継システムは、前記第１中継装置のポート番号を含む前記接続用情報を前記記憶部に記憶させ、前記通知ステップにおいて、前記中継システムは、前記第１中継装置のアドレス及びポート番号を含む前記接続用情報を前記クライアント端末に通知し、前記中継ステップにおいて、前記第１中継装置は、前記クライアント端末から、前記接続用情報に含まれる前記第１中継装置のアドレス及びポート番号に基づくアクセスを受け付けてもよい。

前記記憶制御ステップにおいて、前記中継システムは、前記接続用情報に、前記クライアント端末と前記対象端末との通信が可能である期間を示す有効期間情報をさらに関連付けて前記記憶部に記憶させ、前記中継ステップにおいて、前記第１中継装置は、前記クライアント端末から前記接続用情報に基づくアクセスを受け付けた場合に、前記記憶部において当該接続用情報に関連付けられている有効期間情報に基づいて通信が可能であると判定すると前記クライアント端末と前記対象端末との通信を中継し、通信が可能ではないと判定すると前記クライアント端末と前記対象端末との通信の中継を遮断してもよい。

前記取得ステップにおいて、前記中継システムは、前記クライアント端末から前記有効期間情報をさらに取得し、前記記憶制御ステップにおいて、前記中継システムは、特定された前記接続用情報に、取得された前記有効期間情報をさらに関連付けて前記記憶部に記憶させてもよい。

前記取得ステップにおいて、前記中継システムは、前記クライアント端末から、前記対象端末と通信を行うときの前記クライアント端末のアドレスを示すアドレス情報をさらに取得し、前記記憶制御ステップにおいて、前記中継システムは、特定された前記接続用情報に、取得された前記アドレス情報をさらに関連付けて前記記憶部に記憶させ、前記中継ステップにおいて、前記接続用情報に対応する前記第１中継装置は、前記クライアント端末から当該接続用情報に基づくアクセスを受け付けた場合に、当該クライアント端末のアドレスが、前記記憶部において当該接続用情報に関連付けられているアドレス情報に対応していると判定すると、前記クライアント端末と前記対象端末との通信を中継し、アドレス情報に対応していないと判定すると、前記クライアント端末と前記対象端末との通信の中継を遮断してもよい。

前記中継ステップにおいて、前記第１中継装置は、前記クライアント端末から前記接続用情報に基づくアクセスを受け付ける場合に、前記クライアント端末が適格であることを示すクライアント情報をさらに取得し、当該クライアント情報に基づいて前記クライアント端末が適格であると判定すると、前記クライアント端末と前記対象端末との通信を中継し、前記クライアント端末が適格ではないと判定すると、前記クライアント端末と前記対象端末との通信の中継を遮断してもよい。

前記中継ステップにおいて、前記第１中継装置は、自身と前記クライアント端末との間でデータを暗号化して通信を行い、自身と前記対象端末との間でデータを暗号化しないで通信を行うことにより、前記クライアント端末と前記対象端末との通信を中継してもよい。

本発明の第２の態様に係る中継システムは、接続管理装置と、複数の中継装置とを備え、クライアント端末と、前記クライアント端末の通信先の対象端末との通信を中継する中継システムであって、前記接続管理装置は、前記クライアント端末から、前記対象端末を識別する端末識別情報を取得する取得部と、前記端末識別情報を取得すると、前記中継システムが備える複数の中継装置のうち、前記通信を中継する第１中継装置を特定し、前記クライアント端末が前記第１中継装置に接続するための接続用情報を特定する特定部と、前記接続用情報と、前記端末識別情報とを関連付けて記憶部に記憶させる記憶制御部と、特定された前記接続用情報を前記クライアント端末に通知する通知部と、を有し、前記第１中継装置は、前記クライアント端末から前記接続用情報に基づくアクセスを受け付けると、前記記憶部において当該接続用情報に関連付けられている前記端末識別情報に基づいて、前記クライアント端末と前記対象端末との通信を中継する中継部、を有する。

本発明の第３の態様に係る中継用プログラムは、クライアント端末と、前記クライアント端末の通信先の対象端末との通信を中継する中継システムが備えるコンピュータを、前記クライアント端末から、前記対象端末を識別する端末識別情報を取得する取得部、前記端末識別情報を取得すると、前記中継システムが備える複数の中継装置のうち、前記通信を中継する第１中継装置を特定し、前記クライアント端末が前記第１中継装置に接続するための接続用情報を特定する特定部、前記接続用情報と、前記端末識別情報とを関連付けて記憶部に記憶させる記憶制御部、及び、特定された前記接続用情報を前記クライアント端末に通知する通知部、として機能させる。

本発明によれば、対象端末にセキュアにアクセスすることができるという効果を奏する。

本実施形態に係る中継システムの概要を示す図である。 本実施形態に係る接続管理装置の構成を示す図である。 本実施形態に係る第１中継装置の構成を示す図である。 本実施形態に係る第２中継装置の構成を示す図である。 認証情報の登録に係る処理の流れを示すシーケンス図である。 通信の中継を行う第１中継装置の特定に係る処理の流れを示すシーケンス図である。 通信の中継に係る処理の流れを示すシーケンス図である。

［中継システムＳの概要］
図１は、本実施形態に係る中継システムＳの概要を示す図である。中継システムＳは、クライアント端末４と、ＩｏＴデバイスとしての対象端末５との通信を中継するシステムである。

中継システムＳは、接続管理装置１と、４Ｇや５Ｇ等のモバイルネットワークを構成する複数の第１中継装置２と、複数の第２中継装置３とを含んで構成されている。第１中継装置２は、モバイルネットワークにおけるコアネットワークの外部のネットワークに配置されているプロキシサーバである。第２中継装置３は、モバイルネットワークにおけるコアネットワークの内部のネットワークに配置されているプロキシサーバである。対象端末５は、モバイルネットワークの内部に配置されており、モバイルネットワークにおけるプライベートＩＰアドレスが割り当てられている。対象端末５は、複数の第２中継装置３のいずれかと接続されている。なお、図１において、対象端末５は１つのみ示しているが、実際には複数の対象端末５が存在するものとする。

中継システムＳの接続管理装置１は、クライアント端末４から、リモートでアクセスする端末である対象端末５を識別する端末識別情報としてのＳＩＭ（Ｓｕｂｓｃｒｉｂｅｒ Ｉｄｅｎｔｉｔｙ Ｍｏｄｕｌｅ）固有番号を取得する。ＳＩＭ固有番号は、例えば、ＩＭＳＩ（Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｍｏｂｉｌｅ Ｓｕｂｓｃｒｉｂｅｒ Ｉｄｅｎｔｉｔｙ）である。

接続管理装置１は、クライアント端末４から、ＳＩＭ固有番号を取得すると、複数の第１中継装置２のうち、クライアント端末４と対象端末５との通信を中継する第１中継装置２を特定し、クライアント端末４が、当該第１中継装置２に接続するための接続用情報を特定する。図１に示す例では、接続管理装置１は、第１中継装置２－１を、クライアント端末４と対象端末５との通信を中継する第１中継装置２として特定し、クライアント端末４が第１中継装置２－１に接続するための接続用情報を特定する。

接続管理装置１は、特定した接続用情報と、ＳＩＭ固有番号とを関連付けて記憶部に記憶させるとともに、当該接続用情報をクライアント端末４に通知する。クライアント端末４は、接続管理装置１から通知された接続用情報に基づいて複数の第１中継装置２のいずれかにアクセスする。クライアント端末４からアクセスされた第１中継装置２は、記憶部において接続用情報に関連付けられているＳＩＭ固有番号に基づいて、対象端末５が接続されている第２中継装置３を特定し、特定した第２中継装置３を介して、クライアント端末４と対象端末５との通信を中継する。

図１に示す例では、第１中継装置２－１は、第２中継装置３－２を、対象端末５が接続されている第２中継装置３として特定する。第１中継装置２－１は、第２中継装置３－２を介して、クライアント端末４と対象端末５との通信を中継する。

このように、中継システムＳは、クライアント端末４が対象端末５と通信を行うために接続する接続先である第１中継装置２を可変にするので、第三者による当該接続先となる第１中継装置２の特定を困難なものとし、セキュリティを高めることができる。

［接続管理装置１の構成］
続いて、中継システムＳが備える接続管理装置１、第１中継装置２及び第２中継装置３の構成を説明する。まず、接続管理装置１の構成を説明する。図２は、本実施形態に係る接続管理装置１の構成を示す図である。図２に示すように、接続管理装置１は、通信部１１と、記憶部１２と、制御部１３とを備える。

通信部１１は、クライアント端末４と通信を行うための通信インターフェースである。
記憶部１２は、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）及びＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）等を含む記憶媒体である。記憶部１２は、制御部１３が実行するプログラムを記憶している。例えば、記憶部１２は、制御部１３を、認証情報管理部１３１、取得部１３２、特定部１３３、記憶制御部１３４、及び通知部１３５として機能させる管理装置用プログラムを記憶している。管理装置用プログラムは、クライアント端末４と対象端末５との通信を中継する中継用プログラムの一部である。

制御部１３は、例えばＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。制御部１３は、記憶部１２に記憶された管理装置用プログラムを実行することにより、認証情報管理部１３１、取得部１３２、特定部１３３、記憶制御部１３４、及び通知部１３５として機能する。これらの機能の詳細については後述する。

［第１中継装置２の構成］
続いて、第１中継装置２の構成を説明する。図３は、本実施形態に係る第１中継装置２の構成を示す図である。図３に示すように、第１中継装置２は、通信部２１と、記憶部２２と、制御部２３とを備える。

通信部２１は、接続管理装置１、第２中継装置３、クライアント端末４と通信を行うための通信インターフェースである。
記憶部２２は、ＲＯＭ及びＲＡＭ等を含む記憶媒体である。記憶部２２は、制御部２３が実行するプログラムを記憶している。例えば、記憶部２２は、制御部２３を、第１中継部２３１として機能させる第１中継装置用プログラムを記憶している。第１中継装置用プログラムは、クライアント端末４と対象端末５との通信を中継する中継用プログラムの一部である。

制御部２３は、例えばＣＰＵである。制御部２３は、記憶部２２に記憶された第１中継装置用プログラムを実行することにより、第１中継部２３１として機能する。第１中継部２３１の機能の詳細については後述する。

［第２中継装置３の構成］
続いて、第２中継装置３の構成を説明する。図４は、本実施形態に係る第２中継装置３の構成を示す図である。図４に示すように、第２中継装置３は、通信部３１と、記憶部３２と、制御部３３とを備える。

通信部３１は、第１中継装置２、対象端末５と通信を行うための通信インターフェースである。
記憶部３２は、ＲＯＭ及びＲＡＭ等を含む記憶媒体である。記憶部３２は、制御部３３が実行するプログラムを記憶している。例えば、記憶部３２は、制御部３３を、第２中継部３３１として機能させる第２中継装置用プログラムを記憶している。第２中継装置用プログラムは、クライアント端末４と対象端末５との通信を中継する中継用プログラムの一部である。

制御部３３は、例えばＣＰＵである。制御部３３は、記憶部３２に記憶された第２中継装置用プログラムを実行することにより、第２中継部３３１として機能する。第２中継部３３１の機能の詳細については後述する。

続いて、接続管理装置１の制御部１３、第１中継装置２の制御部２３、第２中継装置３の制御部３３が備える機能の詳細について説明する。以下の説明では、適宜、シーケンス図を参照しながら、各制御部の機能の詳細について説明する。

［認証情報の登録］
まず、クライアント端末４の認証情報の登録に係る機能の詳細について説明する。認証情報の登録に係る機能は、認証情報管理部１３１により実現される。図５は、認証情報の登録に係る処理の流れを示すシーケンス図である。

認証情報管理部１３１は、クライアント端末４からクライアント認証に用いる認証情報の登録を要求する認証情報登録要求を取得する（Ｓ１）。ここで、クライアント認証は、クライアント端末４が通信する際に送信するクライアント情報（証明書情報）であって、認証局が生成したクライアント情報が正しいか否かを認証することにより行われる。認証情報登録要求には、認証情報として、例えば、クライアント情報を生成した認証局を示す認証局情報、及びクライアント情報からハッシュ値を生成するための公開鍵が含まれている。

認証情報管理部１３１は、認証情報登録要求を取得すると、認証情報を識別するための認証情報ＩＤを生成する（Ｓ２）。
続いて、認証情報管理部１３１は、生成した認証情報ＩＤと、認証情報とを関連付けて記憶部１２に記憶させることにより、認証情報の登録を行う（Ｓ３）。
続いて、認証情報管理部１３１は、生成した認証情報ＩＤをクライアント端末４に送信する（Ｓ４）。

［通信の中継を行う第１中継装置２の特定］
続いて、クライアント端末４が対象端末５と通信を行う際の、当該通信の中継を行う第１中継装置２の特定に係る機能の詳細について説明する。第１中継装置２の特定に係る機能は、接続管理装置１の取得部１３２、特定部１３３、記憶制御部１３４、及び通知部１３５により実現される。図６は、通信の中継を行う第１中継装置２の特定に係る処理の流れを示すシーケンス図である。なお、クライアント端末４のユーザは、対象端末５を識別するＳＩＭ固有番号を予め把握しているものとする。

取得部１３２は、クライアント端末４から、対象端末５への接続要求を取得する（Ｓ１１）。具体的には、取得部１３２は、対象端末５を識別するＳＩＭ固有番号と、対象端末５が通信を行う場合に使用する対象端末５のポート番号とを含む接続要求を取得する。

取得部１３２は、クライアント端末４から、接続要求とともに、対象端末５と接続を行うときの接続条件を示す接続条件情報を取得してもよい。具体的には、取得部１３２は、接続条件情報として、クライアント端末４と対象端末５との通信が可能である期間を示す有効期間情報としてのＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）値、及びクライアント端末４が対象端末５と通信を行うときのクライアント端末４のＩＰアドレスの範囲を示すクライアントアドレス情報の少なくともいずれかを取得してもよい。
また、取得部１３２は、クライアント端末４から、接続要求とともに、クライアント認証に使用される認証情報ＩＤを取得してもよい。

特定部１３３は、接続要求を取得すると、中継システムＳが備える複数の第１中継装置２のうち、クライアント端末４と対象端末５との通信を中継する第１中継装置２を特定する（Ｓ１２）。例えば、特定部１３３は、複数の第１中継装置２のうち、任意の１つの第１中継装置２を、クライアント端末４と対象端末５との通信を中継する第１中継装置２として特定する。

なお、特定部１３３は、クライアント端末４が属する地域に属する第１中継装置２を、クライアント端末４と対象端末５との通信を中継する第１中継装置２として特定してもよい。この場合、記憶部１２は、複数の第１中継装置２のＩＰアドレスと、第１中継装置２が配置されている地域とを関連付けた地域別アドレス情報を記憶している。特定部１３３は、接続要求を行ったクライアント端末４のアドレスを特定し、当該アドレスに基づいてクライアント端末４が属する地域を特定する。特定部１３３は、地域別アドレス情報を参照し、特定したクライアント端末４が属する地域に属する複数の第１中継装置２のうち、任意の１つの第１中継装置２を、クライアント端末４と対象端末５との通信を中継する第１中継装置２として特定する。このようにすることで、クライアント端末４は、同一の地域に配置されている第１中継装置２にアクセスすることができるので、クライアント端末４と第１中継装置２との間での通信の遅延を抑制することができる。

また、特定部１３３は、クライアント端末４が契約している通信会社が運用している第１中継装置２を、クライアント端末４と対象端末５との通信を中継する第１中継装置２として特定してもよい。このようにすることで、クライアント端末４と対象端末５との通信の中継に係るコストを抑制することができる。また、特定部１３３は、第１中継装置２が収容している端末の台数、又は第１中継装置２におけるトラフィック量に基づいて、負荷が少ない第１中継装置２を、クライアント端末４と対象端末５との通信を中継する第１中継装置２として特定してもよい。このようにすることで、クライアント端末４と第１中継装置２との間での通信の遅延を抑制することができる。

特定部１３３は、特定した第１中継装置２にクライアント端末４が接続するための接続用情報として、第１中継装置２のＩＰアドレスと、ポート番号とを特定する（Ｓ１３）。例えば、特定部１３３は、予め定められている範囲の複数のポート番号の中から、任意の１つのポート番号を選択することにより、第１中継装置２のポート番号を特定する。このようにすることで、接続管理装置１は、第１中継装置２が通信に使用するポート番号を第三者が特定することを難しくすることができる。

記憶制御部１３４は、特定部１３３が特定した接続用情報と、取得部１３２が取得した対象端末５のＳＩＭ固有番号と、対象端末５のポート番号とを関連付けた宛先エントリ情報を記憶部１２に記憶させる（Ｓ１４）。

記憶制御部１３４は、取得部１３２が、接続条件情報を取得している場合、当該接続条件情報（ＴＴＬに対応する有効期限、クライアントアドレス情報）を、接続用情報に関連付けて記憶させる。例えば、記憶制御部１３４は、接続条件情報としてＴＴＬ値を取得している場合には、現在時刻とＴＴＬ値に基づいて、クライアント端末４と対象端末５との通信が可能な期間が終了する時刻を通信有効期限とし、当該通信有効期限を接続用情報に関連付けて記憶させる。
また、記憶制御部１３４は、取得部１３２が、認証情報ＩＤを取得している場合、当該認証情報ＩＤを接続用情報に関連付けて記憶させる。なお、以下の説明では、取得部１３２が、認証情報ＩＤを取得しているものとして説明を進める。

通知部１３５は、特定部１３３が特定した第１中継装置２のＩＰアドレスとポート番号とを含む接続用情報を、接続要求を行ったクライアント端末４に通知する（Ｓ１５）。ここで、通知部１３５は、接続用情報をクライアント端末４に通知することとしたが、これに限らず、当該接続用情報を含む宛先エントリ情報をクライアント端末４に通知してもよい。

［特定された第１中継装置２による通信の中継］
接続用情報がクライアント端末４に通知されると、クライアント端末４は、当該接続用情報に基づいて、特定された第１中継装置２にアクセス可能となる。特定された第１中継装置２は、クライアント端末４から、接続用情報に含まれる第１中継装置２のＩＰアドレス及びポート番号に基づくアクセスを受け付けると、クライアント端末４と対象端末５との通信を中継する。

具体的には、第１中継装置２の第１中継部２３１は、クライアント端末４から、接続用情報に基づく接続要求を取得することにより、クライアント端末４からのアクセスを受け付けると、接続管理装置１の記憶部１２において接続用情報に関連付けられているＳＩＭ固有番号に基づいて、クライアント端末４と対象端末５との通信を中継する。第１中継部２３１は、当該ＳＩＭ固有番号に基づいて対象端末５が接続されている第２中継装置３を特定し、特定した第２中継装置３を介して、クライアント端末４と対象端末５との通信を中継する。

以下、通信の中継に係る機能の詳細について説明する。通信の中継に係る機能は、接続管理装置１の取得部１３２、特定部１３３、通知部１３５、第１中継装置２の第１中継部２３１、第２中継装置３の第２中継部３３１により実現される。図７は、通信の中継に係る処理の流れを示すシーケンス図である。

第１中継装置２の第１中継部２３１は、クライアント端末４から、接続用情報に基づく接続要求を取得することにより、クライアント端末４からのアクセスを受け付ける（Ｓ２１）。具体的には、第１中継部２３１は、接続用情報に含まれる第１中継装置２のポート番号のポートで、クライアント端末４から接続要求を取得する。当該接続要求には、クライアント端末４が適格であることを証明するクライアント情報が含まれているものとする。ここで、クライアント情報は、例えば証明書情報である。

続いて、第１中継部２３１は、接続管理装置１に、通信の中継を行うために使用する中継用情報の取得要求を接続管理装置１に送信する（Ｓ２２）。ここで、中継用情報の取得要求には、第１中継装置２に割り当てられているＩＰアドレスと、クライアント端末４との通信に用いられているポートのポート番号とが含まれているものとする。また、中継用情報は、クライアント端末４の通信先である対象端末５のＳＩＭ固有番号、対象端末５のポート番号、接続条件情報、第２中継装置３のＩＰアドレスを含む情報である。

接続管理装置１の取得部１３２は、第１中継装置２から中継用情報の取得要求を取得する。接続管理装置１の特定部１３３は、記憶部１２に記憶されている宛先エントリ情報を参照し、中継用情報の取得要求に含まれている第１中継装置２のＩＰアドレスと、ポート番号とに関連付けられている対象端末５のＳＩＭ固有番号、対象端末５のポート番号、接続条件情報、及び認証情報ＩＤを特定する（Ｓ２３）。

続いて、特定部１３３は、特定した対象端末５のＳＩＭ固有番号に基づいて、対象端末５が接続されている第２中継装置３を特定する（Ｓ２４）。具体的には、特定部１３３は、モバイルネットワークにおいて、複数の第２中継装置３のそれぞれに接続されている一以上の対象端末５を管理する接続管理情報を参照し、特定したＳＩＭ固有番号の対象端末５が接続されている第２中継装置３のＩＰアドレスを特定する。

ここで、接続管理情報は、例えば、４ＧコアネットワークのＰ－ＧＷ（Ｐａｃｋｅｔ ｄａｔａ ｎｅｔｗｏｒｋ ＧａｔｅＷａｙ）、５ＧコアネットワークにおけるＵＰＦ（Ｕｓｅｒ Ｐｌａｎｅ Ｆｕｎｃｔｉｏｎ）により提供されるものとするが、接続管理装置１が管理してもよい。

続いて、通知部１３５は、特定部１３３が特定した対象端末５のＳＩＭ固有番号、対象端末５のポート番号、接続条件情報、第２中継装置３のＩＰアドレスを含む中継用情報を第１中継装置２に通知する（Ｓ２５）。

第１中継装置２の第１中継部２３１は、中継用情報を取得すると、当該中継用情報に含まれている接続条件情報が示す接続条件を満たすか否かを判定する（Ｓ２６）。第１中継部２３１は、接続条件を満たすと判定すると、Ｓ２８に処理を移し、クライアント端末４と対象端末５との通信を中継する処理を継続する。第１中継部２３１は、接続条件を満たしていないと判定すると、クライアント端末４と対象端末５との接続が行えない旨を示す接続エラー情報をクライアント端末４に通知する（Ｓ２７）。

具体的には、第１中継部２３１は、クライアント端末４のＩＰアドレスが、接続条件情報に含まれるクライアントアドレス情報に対応しているか否かを判定する。ここで、第１中継部２３１は、クライアント端末４のＩＰアドレスが、クライアントアドレス情報が示すＩＰアドレスの範囲内に含まれている場合に、クライアント端末４のＩＰアドレスが、クライアントアドレス情報に対応していると判定する。

第１中継部２３１は、クライアント端末４のＩＰアドレスが、クライアントアドレス情報に対応していない、すなわち、クライアント端末４のＩＰアドレスが、クライアントアドレス情報が示すＩＰアドレスの範囲内に含まれていないと判定すると、接続エラー情報をクライアント端末４に通知し、クライアント端末４と対象端末５との通信を遮断する。このようにすることで、第１中継装置２は、クライアントアドレス情報が示すＩＰアドレスの範囲に含まれないＩＰアドレスを有する端末からのアクセスがあった場合に、対象端末５との通信を行わないので、セキュリティを高めることができる。

また、第１中継部２３１は、Ｓ２３において特定した認証情報ＩＤと、接続要求に含まれているクライアント情報とに基づいてクライアント端末４が適格であるか否かを判定する。具体的には、第１中継部２３１は、接続管理装置１に、認証情報ＩＤを含み認証情報の取得を要求する認証情報取得要求を送信する。接続管理装置１の認証情報管理部１３１は、認証情報取得要求を取得すると、記憶部１２において、当該認証情報ＩＤに関連付けられて記憶されている認証情報としての認証局情報及び公開鍵を第１中継装置２に送信する。

第１中継部２３１は、認証情報を取得すると、クライアント情報に基づいて、クライアント端末４が適格であるか否かを判定する。例えば、第１中継部２３１は、認証情報に含まれる公開鍵に基づいてクライアント情報からハッシュ値を生成する。そして、第１中継部２３１は、当該ハッシュ値が、認証局において保管されているクライアント端末４のハッシュ値と一致するか否かを判定することにより、クライアント端末４が適格であるか否かを判定する。第１中継部２３１は、クライアント端末４が適格ではないと判定すると、接続エラー情報をクライアント端末４に通知し、クライアント端末４と対象端末５との通信を遮断する。

第１中継部２３１は、クライアント端末４のＩＰアドレスが、クライアントアドレス情報に対応しているとともに、クライアント端末４が適格であると判定すると、Ｓ２８に処理を移す。そして、第１中継部２３１は、接続管理装置１から取得した中継用情報に含まれる対象端末５のＩＰアドレスと対象端末５のポート番号とに基づいて、ＴＣＰコネクションにより対象端末５との接続を確立する。

具体的には、第１中継部２３１は、Ｓ２５において接続管理装置１から取得した中継用情報に含まれる第２中継装置３のＩＰアドレスに基づいて、第２中継装置３との接続を確立させる（Ｓ２８）。

第１中継部２３１は、第２中継装置３との接続が確立すると、中継用情報に含まれる対象端末５のＩＰアドレス及び対象端末５のポート番号を当該第２中継装置３に通知する。第２中継装置３の第２中継部３３１は、第１中継装置２から通知された対象端末５のＩＰアドレス及び対象端末５のポート番号に基づいて、対象端末５との接続を確立させる（Ｓ２９）。

Ｓ２８及びＳ２９の処理が完了すると、クライアント端末４と対象端末５との接続が確立される（Ｓ３０）。第１中継装置２の第１中継部２３１及び第２中継装置３の第２中継部３３１は、クライアント端末４と、対象端末５との通信を中継する。これにより、クライアント端末４は、対象端末５に対してコマンド送信を行ったり、対象端末５とデータの送受信を行ったりすることができる。

ここで、第１中継装置２の第１中継部２３１は、対象端末５のプライベートＩＰアドレスに基づいて、第１中継装置２から対象端末５までを通信会社の閉域網を利用した第１中継装置２と対象端末５との通信を行うことにより、クライアント端末４と対象端末５との通信を中継する。

第１中継部２３１は、クライアント端末４と、対象端末５との通信を中継する場合に、接続条件情報に含まれる通信有効期限に基づいて、クライアント端末４と対象端末５との通信が可能であるか否かを判定する。第１中継部２３１は、通信が可能であるか否かを判定すると、クライアント端末４と対象端末５との通信を中継し、通信が可能ではないと判定すると、クライアント端末４と対象端末５との通信を遮断する。第１中継部２３１は、クライアント端末４と対象端末５との通信を遮断する場合に、接続エラー情報をクライアント端末４に通知する。このように、第１中継装置２は、通信有効期限を超えたことに応じて、クライアント端末４と対象端末５との通信を遮断するので、通信有効期限を設けない場合に比べてセキュリティを高めることができる。

なお、クライアント端末４は、対象端末５との通信を行う場合に、ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）やＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）により暗号化したデータを第１中継装置２に送信してもよい。この場合、第１中継部２３１は、自身とクライアント端末４との間でデータを暗号化して通信を行い、自身と対象端末５との間でデータを暗号化しないで通信を行うことにより、クライアント端末４と対象端末５との通信を中継する。

上述したように、第１中継装置２と対象端末５との間は、対象端末５のプライベートＩＰアドレスに基づいて通信を行うことができるので、第１中継装置２と対象端末５との間でデータの暗号化を行わなくてもセキュアな通信を行うことができる。また、対象端末５は、ＳＳＬやＴＬＳによる暗号化を行わなくてもよいことから、対象端末５がＳＳＬやＴＬＳに対応していない場合であっても、セキュアな通信を行うことができる。

［変形例１］
以上の説明においては、第１中継装置２の第１中継部２３１は、クライアント端末４から認証情報ＩＤを含む接続要求を取得することとしたが、これに限らない。接続要求に認証情報ＩＤを含めるか否かについては、オプションであってもよく、接続要求に認証情報ＩＤが含まれていなくてもよい。接続要求に認証情報ＩＤが含まれていない場合には、第１中継部２３１は、認証情報ＩＤに基づく中継可否の判定を行わなくてもよい。

［変形例２］
また、第１中継装置２の第１中継部２３１は、クライアント端末４から、接続用情報に基づくクライアント端末４と対象端末５との通信を無効にする旨を示す指示情報を取得してもよい。この場合、第１中継部２３１は、当該接続用情報に対応するクライアント端末４と対象端末５との中継の遮断を指示する。

［変形例３］
また、上述の説明では、第１中継装置２と１台の対象端末５との通信が中継される例について説明したが、これに限らず、第１中継装置２と複数の対象端末５との通信が中継されるようにしてもよい。この場合、接続管理装置１は、１つのクライアント端末４に対して、複数の対象端末５のそれぞれの接続用情報、通信有効期限等を管理する。そして、複数の対象端末５のそれぞれに対応して、図７に示す処理が行われ、クライアント端末４と、複数の対象端末５のそれぞれとの接続が確立される。この場合、第１中継装置２の第１中継部２３１は、複数の対象端末５のそれぞれへの接続要求を示す１つの接続要求を取得し、当該接続要求に基づいて、第１中継装置２と、複数の対象端末５のそれぞれとの間の接続を確立させてもよい。これにより、クライアント端末４は、接続が確立された複数の対象端末５のそれぞれに対してコマンド送信を行ったり、データの送受信を行ったりすることができる。

［変形例４］
また、上述の説明では、クライアント端末４と対象端末５との中継を行う場合のネットワーク構成として、第１中継装置２から対象端末５までが通信会社の閉域網であるネットワーク構成を例として説明したが、これに限らない。例えば、第１中継装置２から第２中継装置３までを閉域網としたネットワーク構成、第１中継装置２及び第２中継装置３のみを閉域網に備えるネットワーク構成、第１中継装置２及び第２中継装置３のいずれかと、接続管理装置１とを閉域網内に備えるネットワーク構成とするなど、さまざまなネットワーク構成において、クライアント端末４と対象端末５との中継を行うようにしてもよい。

［本実施形態における効果］
以上説明したように、本実施形態に係る中継システムＳにおいて、接続管理装置１は、クライアント端末４から、対象端末５を識別するＳＩＭ固有番号を取得すると、中継システムＳが備える複数の第１中継装置２のうち、通信を中継する第１中継装置２を特定し、クライアント端末４が当該第１中継装置２に接続するための接続用情報を、ＳＩＭ固有番号と関連付けて記憶部１２に記憶させるとともに、当該接続用情報を、クライアント端末４に通知する。特定された第１中継装置２は、クライアント端末４から接続用情報に基づくアクセスを受け付けると、記憶部１２において当該接続用情報に関連付けられているＳＩＭ固有番号に基づいて、クライアント端末４と対象端末５との通信を中継する。

このようにすることで、クライアント端末４に通知される接続用情報は、常に同じものとならないので、第三者は、対象端末５との通信に用いる接続用情報を推測することが困難となる。したがって、クライアント端末４は、対象端末５にセキュアにアクセスすることができる。

また、中継システムＳの第１中継装置２は、クライアント端末４から、第１中継装置２のＩＰアドレス及びポート番号を含む接続用情報に基づくアクセスを受け付けると、当該接続用情報に関連付けられているＳＩＭ固有番号に基づいて、ＴＣＰコネクションによりクライアント端末４と対象端末５との通信接続を確立する。このようにすることで、中継システムＳは、ＩＰプロトコル上の全通信をトンネリングすることなく、ＴＣＰコネクション１本単位で通信を確立することができるので、ＶＰＮのような既存の通信方法と比較してコストを低く留めることができるとともに、ＶＰＮやその他のトンネリングを行う通信ソリューションに比べて通信のオーバーヘッドの増大やアクセス先のデバイスへの追加機能の実装を不要とすることができる。

以上、本発明を実施の形態を用いて説明したが、本発明の技術的範囲は上記実施の形態に記載の範囲には限定されず、その要旨の範囲内で種々の変形及び変更が可能である。例えば、装置の全部又は一部は、任意の単位で機能的又は物理的に分散・統合して構成することができる。また、複数の実施の形態の任意の組み合わせによって生じる新たな実施の形態も、本発明の実施の形態に含まれる。組み合わせによって生じる新たな実施の形態の効果は、もとの実施の形態の効果を併せ持つ。

１・・・接続管理装置、１１・・・通信部、１２・・・記憶部、１３・・・制御部、１３１・・・認証情報管理部、１３２・・・取得部、１３３・・・特定部、１３４・・・記憶制御部、１３５・・・通知部、２・・・第１中継装置、２１・・・通信部、２２・・・記憶部、２３・・・制御部、２３１・・・第１中継部、３・・・第２中継装置、３１・・・通信部、３２・・・記憶部、３３・・・制御部、３３１・・・第２中継部、４・・・クライアント端末、５・・・対象端末、Ｓ・・・中継システム

Claims (14)

1. 所定の閉域網内に設けられており、プライベートアドレスが割り当てられている対象端末と、前記所定の閉域網内に設けられていないクライアント端末との通信を中継する中継システムが実行する中継方法であって、
   前記中継システムは、前記クライアント端末と前記対象端末との通信を中継する際の接続を管理する接続管理装置を有し、
   前記接続管理装置が、前記クライアント端末から、前記対象端末を識別するための端末識別情報を含む第１接続要求を取得する取得ステップと、
   前記接続管理装置が、前記第１接続要求を取得すると、前記クライアント端末と前記対象端末との前記通信を中継する第１中継装置の複数のポート番号から選択した１つのポート番号を示す接続用情報を特定する特定ステップと、
   前記接続管理装置が、前記接続用情報と、前記端末識別情報とを関連付けて記憶部に記憶させる記憶制御ステップと、
   前記接続管理装置が、特定された前記接続用情報を前記クライアント端末に通知する通知ステップと、
   前記第１中継装置が、前記クライアント端末から前記接続用情報が示す前記１つのポート番号に宛てた、前記対象端末と通信するための第２接続要求を受信すると、前記記憶部において当該接続用情報に関連付けられている前記端末識別情報に基づいて、前記クライアント端末と前記対象端末との通信を中継する中継ステップと、
   を備える中継方法。
2. 前記中継ステップの前に、前記接続管理装置が、前記対象端末のポート番号を含む中継用情報を前記第１中継装置に通知するステップをさらに有する、
   請求項１に記載の中継方法。
3. 前記特定ステップにおいて、前記接続管理装置は、前記第１接続要求を取得すると前記第１中継装置のアドレスを示す前記接続用情報を特定し、
   前記中継ステップにおいて、前記第１中継装置は、前記クライアント端末から、前記接続用情報が示す前記第１中継装置のアドレスに宛てた、前記対象端末と通信するための第２接続要求を受信すると、前記記憶部において前記接続用情報に関連付けられている前記端末識別情報に基づいて、前記クライアント端末と前記対象端末との通信を中継する、
   請求項１又は２に記載の中継方法。
4. 前記中継ステップにおいて、前記第１中継装置は、前記記憶部に記憶された前記端末識別情報に基づいて前記対象端末が接続されている第２中継装置を特定し、特定した前記第２中継装置を介して、前記クライアント端末と前記対象端末との通信を中継する、
   請求項１から３のいずれか１項に記載の中継方法。
5. 前記中継システムはモバイルネットワークを構成する複数の中継装置を含んで構成されているとともに、前記対象端末は前記モバイルネットワークに接続されており、
   前記対象端末には、前記モバイルネットワークの内部でアクセス可能なプライベートアドレスが割り当てられており、
   前記中継ステップにおいて、前記第１中継装置は、前記対象端末のプライベートアドレスに基づいて、自身と前記対象端末との通信を行うことにより、前記クライアント端末と前記対象端末との通信を中継する、
   請求項４に記載の中継方法。
6. 前記記憶制御ステップにおいて、前記中継システムは、前記接続用情報に、前記対象端末との通信に使用する前記対象端末のポート番号をさらに関連付けて前記記憶部に記憶させ、
   前記中継ステップにおいて、前記第１中継装置は、前記記憶部において前記接続用情報に関連付けられている前記端末識別情報及び前記対象端末のポート番号に基づいて前記対象端末との接続を確立する、
   請求項１から５のいずれか１項に記載の中継方法。
7. 前記取得ステップにおいて、前記中継システムは、前記クライアント端末から前記対象端末のポート番号をさらに取得し、
   前記記憶制御ステップにおいて、前記中継システムは、前記接続用情報に、取得された前記対象端末のポート番号をさらに関連付けて前記記憶部に記憶させる、
   請求項６に記載の中継方法。
8. 前記記憶制御ステップにおいて、前記中継システムは、前記接続用情報に、前記クライアント端末と前記対象端末との通信が可能である期間を示す有効期間情報をさらに関連付けて前記記憶部に記憶させ、
   前記中継ステップにおいて、前記第１中継装置は、前記クライアント端末から前記接続用情報に基づくアクセスを受け付けた場合に、前記記憶部において当該接続用情報に関連付けられている有効期間情報に基づいて通信が可能であると判定すると前記クライアント端末と前記対象端末との通信を中継し、通信が可能ではないと判定すると前記クライアント端末と前記対象端末との通信の中継を遮断する、
   請求項１から７のいずれか１項に記載の中継方法。
9. 前記取得ステップにおいて、前記中継システムは、前記クライアント端末から前記有効期間情報をさらに取得し、
   前記記憶制御ステップにおいて、前記中継システムは、特定された前記接続用情報に、取得された前記有効期間情報をさらに関連付けて前記記憶部に記憶させる、
   請求項８に記載の中継方法。
10. 前記取得ステップにおいて、前記中継システムは、前記クライアント端末から、前記対象端末と通信を行うときの前記クライアント端末のアドレスを示すアドレス情報をさらに取得し、
    前記記憶制御ステップにおいて、前記中継システムは、特定された前記接続用情報に、取得された前記アドレス情報をさらに関連付けて前記記憶部に記憶させ、
    前記中継ステップにおいて、前記第１中継装置は、前記クライアント端末から当該接続用情報に基づくアクセスを受け付けた場合に、当該クライアント端末のアドレスが、前記記憶部において当該接続用情報に関連付けられているアドレス情報に対応していると判定すると、前記クライアント端末と前記対象端末との通信を中継し、アドレス情報に対応していないと判定すると、前記クライアント端末と前記対象端末との通信の中継を遮断する、
    請求項１から９のいずれか１項に記載の中継方法。
11. 前記中継ステップにおいて、前記第１中継装置は、前記クライアント端末から前記接続用情報に基づくアクセスを受け付ける場合に、前記クライアント端末が適格であることを示すクライアント情報をさらに取得し、当該クライアント情報に基づいて前記クライアント端末が適格であると判定すると、前記クライアント端末と前記対象端末との通信を中継し、前記クライアント端末が適格ではないと判定すると、前記クライアント端末と前記対象端末との通信の中継を遮断する、
    請求項１から１０のいずれか１項に記載の中継方法。
12. 前記中継ステップにおいて、前記第１中継装置は、自身と前記クライアント端末との間でデータを暗号化して通信を行い、自身と前記対象端末との間でデータを暗号化しないで通信を行うことにより、前記クライアント端末と前記対象端末との通信を中継する、
    請求項１から１１のいずれか１項に記載の中継方法。
13. 所定の閉域網内に設けられており、プライベートアドレスが割り当てられている対象端末と、前記所定の閉域網内に設けられていないクライアント端末との通信を中継する中継装置と、前記クライアント端末と前記対象端末との通信を中継する際の接続を管理する接続管理装置と、を有する中継システムであって、
    前記接続管理装置は、
    前記クライアント端末から、前記対象端末を識別する対象端末識別情報を含む第１接続要求を取得する取得部と、
    前記第１接続要求を取得すると、前記クライアント端末と前記対象端末との前記通信を中継する前記中継装置の複数のポート番号から選択した１つのポート番号を示し、前記クライアント端末が前記中継装置に接続するための接続用情報を特定する特定部と、
    前記接続用情報と、前記対象端末識別情報とを関連付けて記憶部に記憶させる記憶制御部と、
    特定された前記接続用情報を前記クライアント端末に通知する通知部と、
    を有し、
    前記中継装置は、
    前記クライアント端末から前記接続用情報が示す前記１つのポート番号に宛てた、前記対象端末と通信するための第２接続要求を受信すると、前記記憶部において当該接続用情報に関連付けられている前記対象端末識別情報に基づいて、前記クライアント端末と前記対象端末との通信を中継する中継部、
    を有する、
    中継システム。
14. 所定の閉域網内に設けられており、プライベートアドレスが割り当てられている対象端末と、前記所定の閉域網内に設けられていないクライアント端末との通信を中継する中継システムが備え、前記クライアント端末と前記対象端末との通信を中継する際の接続を管理するコンピュータを、
    前記クライアント端末から、前記対象端末を識別する対象端末識別情報を含む第１接続要求を取得する取得部、
    前記第１接続要求を取得すると、前記クライアント端末と前記対象端末との前記通信を中継する中継装置の複数のポート番号から選択した１つのポート番号を示し、前記クライアント端末が、前記クライアント端末と前記対象端末との前記通信を中継する前記中継装置に接続するための接続用情報を特定する特定部、
    前記接続用情報と、前記対象端末識別情報とを関連付けて記憶部に記憶させる記憶制御部、及び、
    特定された前記接続用情報を前記クライアント端末に通知する通知部、
    として機能させる中継用プログラム。
    

Images