JP7509430B2 - 通信装置、通信方法及びプログラム - Google Patents

Description

本発明は、通信装置、通信方法及びプログラムに関する。

近年インターネットの普及により、ＨＧＷ（Ｈｏｍｅ Ｇａｔｅ Ｗａｙ）と呼ばれる光ファイバーなどの固定回線による通信サービスにおいて、公衆回線網とプライベートネットワークの接続を担う機器が多くの家庭で利用されている。ＨＧＷはＩＳＰ（インターネットサービスプロバイダ）への接続や家庭内のパソコンなどへのＩＰアドレスの割り当て、無線ＬＡＮアクセスポイント（Ｗｉ－Ｆｉアクセスポイント）など一般的なブロードバンドルータの機能を担っている。

ＨＧＷの利用形態として、プライベートネットワーク内にウェブサーバを公開したり、ＮＡＳ（Ｎｅｔｗｏｒｋ Ａｔｔａｃｈｅｄ Ｓｔｏｒａｇｅ）を設置したりするケースがある。プライベートネットワーク内に設置されているウェブサーバやＮＡＳは、ＨＧＷでＮＡＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ）されてプライベートアドレスが割り振られているが、インターネットなどの外部ネットワークからはＨＧＷのグローバルＩＰアドレスしかわからないため、プライベートネットワークにあるウェブサーバやＮＡＳにアクセスすることはできない。この問題を解決するために、静的ＮＡＴや静的ＩＰマスカレードと呼ばれる技術があり、それらは多くのＨＧＷやルータが具備している。

静的ＮＡＴ設定を使用する場合は、ＨＧＷのプライベートネットワーク内の機器に外部から通信する対向の装置のＩＰアドレスを予め知っておく必要がある。例えば、外出先の公衆Ｗｉ－ＦｉなどからＨＧＷのプライベートネットワーク内の機器に外部から通信する場合など、自装置のグローバルＩＰアドレスを把握できていない場合がある。このようなときは、外部から静的ＮＡＴを利用して自宅のプライベートネットワーク内の機器にアクセスすることはできない。

静的ＩＰマスカレードを使用する場合は、ＨＧＷがもつグローバルＩＰアドレスの特定のポート宛に受信した通信を、プライベートネットワーク内の特定の機器の特定のポートに転送することになるため、誰でもプライベートネットワーク内の機器にアクセスすることができるため、セキュリティ上の問題がある。

特許文献１には、プライベートネットワーク内の端末から外部サーバ等にポーリングパケットを送信し、これに対する応答パケットにて端末と通信を行う通信方式が開示されている。具体的には、ポーリングパケットを送信した際にルータに一定期間残される送信元のローカルアドレスとグローバルアドレスの対応関係を使用して外部サーバ等からプライベートネットワーク内の端末を制御することを可能としている。

特許文献２には、静的ＩＰマスカレードを使用してプライベートネットワーク内のＷｅｂサーバにアクセス可能とするルータが開示されている。ルータ内にメニュー表示用のＷｅｂサーバを有し、インターネット等の外部ネットワークからアクセス可能としている。該Ｗｅｂサーバにアクセスするとプライベートネットワーク内で公開中のＷｅｂ機器へのリンクがメニュー表示される。ユーザがリンクを選択すると、選択されたＷｅｂ機器へのアクセスが開始される。

特表２００５－５２０４６６号公報 特開２００６－１３５７０４号公報

なお、上記先行技術文献の各開示を、本書に引用をもって繰り込むものとする。以下の分析は、本発明者らによってなされたものである。

上記特許文献１のように、ポーリングパケットを使用することによりプライベートネットワーク内の端末とグローバルアドレスを有するサーバとが通信が可能である。しかしながらこの方法では、ＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）でプライベートアドレスからグローバルアドレスへ通信を行う際にルータ上で作成される対応関係を用いるため、通信方法がパケットの到達が保証されないＵＤＰによる通信に限定されるといった欠点がある。

一方で上記特許文献２のように、プライベートネットワークへのゲートウエイとなるＷｅｂサーバを配置した場合には、当該Ｗｅｂサーバに認証部を設けることで誰でもプライベートネットワーク内の機器にアクセスすることは不可能となるが一度ゲートウエイにアクセスするといった処理が介在するため接続のトランスペアレンシーが低く、利便性に欠けるといった欠点がある。

本発明は、主にグローバルアドレスからプライベートネットワーク内の機器に対してセキュリティが高く、かつ信頼性及び利便性の高い通信を行うことに寄与する通信装置、通信方法及びプログラムを提供することを主たる目的とする。

本発明乃至開示の第一の視点によれば、第１のネットワークを介して送信されたパケットを受信する受信部と、前記パケットを参照して前記パケットのヘッダ情報を変換するためのルールである変換ルールを取得する変換ルール取得部と、前記変換ルールに基づいて前記パケットのヘッダ情報の変換を実行する変換部と、前記パケットの変換されたヘッダ情報に基づいて第２のネットワークにパケットを送信する送信部と、を有する通信装置が提供される。

本発明乃至開示の第二の視点によれば、第１のネットワークを介して送信されたパケットを受信するステップと、前記パケットを参照して前記パケットのヘッダ情報を変換するためのルールである変換ルールを取得するステップと、前記変換ルールに基づいて前記パケットのヘッダ情報の変換を実行するステップと、前記パケットの変換されたヘッダ情報に基づいて第２のネットワークにパケットを送信するステップと、を含む通信方法が提供される。

本発明乃至開示の第三の視点によれば、第１のネットワークを介して送信されたパケットを受信する処理と、前記パケットを参照して前記パケットのヘッダ情報を変換するためのルールである変換ルールを取得する処理と、前記変換ルールに基づいて前記パケットのヘッダ情報の変換を実行する処理と、前記パケットの変換されたヘッダ情報に基づいて第２のネットワークにパケットを送信する処理と、をコンピュータに実行させるためのプログラムが提供される。
なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。記憶媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非トランジェント（ｎｏｎ－ｔｒａｎｓｉｅｎｔ）なものとすることができる。本発明は、コンピュータプログラム製品として具現することも可能である。

本発明乃至開示の各視点によれば、主にグローバルアドレスからプライベートネットワーク内の機器に対してセキュリティが高く、かつ信頼性及び利便性の高い通信を行うことに寄与する通信装置、通信方法及びプログラムが提供される。

一実施形態に係る通信装置の構成の一例を示す図である。 一実施形態における変換ルールの一例を示す図である。 第１の実施形態に係る通信装置の構成の一例を示す図である。 第１の実施形態の通信装置が受信するパケットの一例である。 第１の実施形態に係る通信装置の動作の一例を示すフローチャートである。 第１の実施形態に係る通信装置のハードウエア構成を示す概略図である。 第２の実施形態に係る通信システムの概要を示す図である。 第２の実施形態に係る通信システムにおけるＨＧＷの構成の一例を示す図である。 第２の実施形態に係る通信システムにおけるＰＣの構成の一例を示す図である。 従来技術のＴＣＰフレームを示す図である。 第２の実施形態の通信システムにおいてＰＣが生成するＴＣＰフレームの一例を示す図である。 第３の実施形態に係る通信システムにおけるＨＧＷの構成の一例を示す図である。 第３の実施形態に係る通信システムにおけるＰＣの構成の一例を示す図である。

初めに、一実施形態の概要について説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、この概要の記載はなんらの限定を意図するものではない。また、各図におけるブロック間の接続線は、双方向及び単方向の双方を含む。一方向矢印については、主たる信号（データ）の流れを模式的に示すものであり、双方向性を排除するものではない。さらに、本願開示に示す回路図、ブロック図、内部構成図、接続図などにおいて、明示は省略するが、入力ポート及び出力ポートが各接続線の入力端及び出力端のそれぞれに存在する。入出力インタフェースも同様である。

図１は一実施形態に係る通信装置の構成の一例を示す図である。この図にあるように、一実施形態に係る通信装置１０は、受信部１１と、変換ルール取得部１２と、変換部１３と、送信部１４と、を有する。

受信部１１は、第１のネットワークを介して送信されたパケットを受信する。「第１のネットワーク」とは、「第２のネットワーク」とは異なるネットワークセグメントであることを意味する。第１のネットワークと第２のネットワークとは通信装置１０により分けられており、通信装置１０により通信がルーティングされている。

変換ルール取得部１２は、前記パケットを参照して前記パケットのヘッダ情報を変換するためのルールである変換ルールを取得する。「変換」とは、パケットのヘッダ部にあるルーティングのための情報を上書きすることにより、別のルーティングのための情報へ変更を行うことである。例えばＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）ヘッダの宛先ＩＰアドレスや、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）による通信の場合には、宛先ポート番号等が挙げられる。「変換ルール」とは上記変換のためのルールを定めたもののセットである。変換ルールは、例えば、変換前のヘッダ情報と変換後のヘッダ情報とが対応付けて記述されており、後述する変換部１３にて変換前のヘッダ情報に該当するパケットが受信部１１より送られてきた場合に対応する変換後のヘッダ情報へ変換を実行するといった処理をするためのものである。

ここで「変換ルール」は、ＮＡＴが可能なルータが保持するＮＡＴルールとその機能は一部共通するものであるが、本願発明の一実施形態の通信装置では、変換ルールは通信装置にあらかじめ保持されているものではなく、受信部１１にて受信したパケットのペイロード部分に変換ルールが記載されている点に特徴を有する。変換ルール取得部１２はこのペイロード部分の変換ルールを取得し、後述する変換部１３に送ることでパケットのヘッダ情報を変換する。図２は本願発明の一実施形態における変換ルールの一例を示す図である。この図にあるように、変換ルールはパケットのペイロード部分に位置している。なお、図ではヘッダ情報の直後に変換ルールが位置しているが、これに限られず、ペイロード部分で変換ルールであると通信装置が認識可能な位置であればどこに位置していてもよい。

変換部１３は、前記変換ルールに基づいて前記パケットのヘッダ情報の変換を実行する。変換は、受信した当該パケットに対して即時に変換を行ってもよいし、最初のパケットを受信した際に変換ルールを読み込み、その最初のパケットに関しては破棄するといった処理を実行してもよい。変換部１３にて変換されたパケットは、送信部１４に送られる。

送信部１４は、前記パケットの変換されたヘッダ情報に基づいて第２のネットワークにパケットを送信する。変換部１３にて変換されたパケットを受取り、変換されたヘッダ情報を読み取って、そのヘッダ情報に基づいて、第２のネットワークにパケットを転送する。

このように、一実施形態の通信装置によれば、第１のネットワークから受信した変換ルールを含んだパケットを読み取り、変換ルールに基づいてパケットのヘッダ情報を変換することで、送信元のアドレス情報等が変化したとしても、その変化に応じてパケットを第２のネットワークに転送することができる。これにより、例えばプライベートネットワーク内に位置している機器に対してグローバルアドレスから透過的にアクセスが可能である。また、例えば、送信元がＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）を用いて動的にＩＰアドレスを取得していて送信元のＩＰアドレスが変化する場合でも、通信装置１０側の設定を直接変更することなく通信を続けることが可能である。

以下に具体的な実施の形態について、図面を参照してさらに詳しく説明する。なお、各実施形態において同一構成要素には同一の符号を付し、その説明を省略する。

［第１の実施形態］
第１の実施形態について、図面を用いてより詳細に説明する。

図３は第１の実施形態に係る通信装置の構成の一例を示す図である。この図にあるように、第１の実施形態に係る通信装置１０は、受信部１１と、変換ルール取得部１２と、変換部１３と、送信部１４と、を有する。これら構成要件については、上記で説明済みであるので記載は省略する。本実施形態の通信装置１０はさらに変換ルール保持部１５と、認証情報取得部１６と、認証部１７と、有効期間情報取得部１８と、を有する。

変換ルール保持部１５は、前記変換ルール取得部１２で取得された前記変換ルールを保持する。具体的には、例えば変換ルールに記載されている、変換前のヘッダ情報と変換後のヘッダ情報の対応付け情報を変換ルール取得部１２より受取って保持し、変換部１３が当該情報にアクセスして変換ルールを読み込む。

図４は本実施形態の通信装置１０が受信するパケットの一例である。この図にあるようにパケットは主にヘッダとペイロードに分けられ、ヘッダ情報には発信元及び宛先ＩＰアドレスや、発信元及び宛先ポート番号等が含まれている。ペイロード部分には本実施形態の通信装置１０における特徴である変換ルールと、認証情報と、有効期間情報とが含まれている。変換ルールは図に示すように、変換前の送信先アドレス及び送信先ポート番号と、変換後の送信先アドレス及び送信先ポート番号とが対応付けられている。ここで変換前の送信先アドレス及び送信先ポート番号は通信装置１０のものであり、変換後の送信先アドレス及び送信先ポート番号は第２のネットワークに属する機器等のものとなっている。

認証情報取得部１６は、前記パケットを参照して送信元を認証するための認証情報を取得する。送信元から送信され、受信部１１で受信したパケットのペイロード部分の変換ルール内、もしくは変換ルール外に送信元の端末等を認証するための認証情報が含まれる。本実施形態の通信装置１０は、パケットのヘッダ情報を変換することができるか否かを取得した認証情報により、後述する認証部１７にて決定する。認証情報取得部１６はこの認証情報を取得して、後述する認証部１７に認証情報を渡す。

認証部１７は、前記認証情報により認証を実行する。認証の手段については端末等の機器認証に関する種々の手法が考えられ、特定の手段に限定されない。例えば、Ｅｔｈｅｒｎｅｔフレームに含まれる送信先ＭＡＣアドレスと送信元ＭＡＣアドレスの組を用いて、あらかじめ認証部１７に登録されている認証を許可するＭＡＣアドレスの組のリストと照合を行うことで認証を実行してもよい。

認証部１７は認証を実行すると認証の結果を変換部１３に送る。認証の結果が成功であれば、変換部１３において上述した変換処理を実行する。認証の結果が失敗であった場合には、変換部１３は変換処理を実行しない。変換部１３はこの場合、パケットを破棄する処理を実行してもよい。

変換部１３又は認証部１７は、認証部１７による認証の結果が失敗であった場合、変換ルール保持部１５に保持されている変換ルールを削除する処理を実行してもよい。

有効期間情報取得部１８は、前記パケットを参照して前記変換を実行する期間を定める情報である有効期間情報を取得する。受信部１１にて受信するパケットにはペイロード部分の変換ルールの内部又は外部に有効期間情報が含まれていてもよい。「有効期間情報」とは変換ルール取得部１２で取得された変換ルールが変換部１３にて適用される期間を定めたものである。有効期間が徒過しているか否かの判断は変換部１３にて行い、有効期間が徒過したパケットは受信部１１において破棄されてもよい。

変換部１３は、有効期間が徒過しているとの判断結果の場合には、変換ルール保持部１５に保持されている変換ルールを削除する処理を実行してもよい。

このように本実施形態の通信装置は、変換部１３によりヘッダ情報を変換することで、ルータにおいて静的ＮＡＴや、静的ＩＰマスカレードなどの設定を行うことなく、第１のネットワークから第２のネットワークに透過的に接続をすることが可能である。また、ルータにおいて機器認証を行うことで、従来の静的ＩＰマスカレードの様に、ルータの特定のポートへのアクセスをすべて別のネットワークの特定の機器に無条件で転送するようなセキュリティレベルの低い構成を回避することが可能である。

さらに、変換ルールに有効期間情報を付加することで、変換ルールが有効な期間を制御可能である。これにより、変換ルールが適用されたままの状態が放置され、外部から不正なアクセスを受けるといったリスクを回避することが可能である。

［動作の説明］
本実施形態の通信装置１０の通信時の動作の一例について図５を用いて説明する。図５は、第１の実施形態に係る通信装置の動作の一例を示すフローチャートである。通信装置１０の通信動作が開始すると、受信部１１が第１のネットワークを介して送信されたパケットを受信する（ステップＳ５１）。次に認証情報取得部１６がパケット内の認証情報を取得する（ステップＳ５２）。次に認証部１７で認証を行い、認証に成功したか否かの判断を行う（ステップＳ５３）。ここで認証が成功したと判断されると、有効期間情報取得部１８が有効期間情報を取得する（ステップＳ５４）。認証が失敗の場合には、認証部１７又は変換部１３が、変換ルール保持部１５に保持されている変換ルールを削除して（ステップＳ５５）、次のパケットを受信する処理（ステップＳ５１）に戻る。有効期間情報が取得されると（ステップＳ５４）、変換部１３は、取得されたパケットが有効期間内か否かを判断する（ステップＳ５６）。有効期間内でないとの判断結果の場合には変換部１３は変換ルール保持部１５内の変換ルールを削除して（ステップＳ５５）次のパケットを受信する処理（ステップＳ５１）に戻る。有効期間内であるとの判断結果の場合には変換ルール取得部１２は受信されたパケット内の変換ルールを取得する（ステップＳ５７）。変換部１３は取得された変換ルールに基づいてパケットのヘッダ情報を変換する（ステップＳ５８）。変換後のパケットは、送信部１４が第２のネットワークを介して送信し、次のパケットを受信する処理（ステップＳ５１）に戻る。

なお、上記処理の順序は前後していてもよい。例えば、通信装置１０は、先に変換ルールの取得処理（ステップＳ５７）を実行し、その後認証情報取得処理（ステップＳ５２）、認証処理（ステップＳ５３）、有効期間情報取得処理（ステップＳ５４）を実行してもよい。

［ハードウエア構成］
通信装置１０は、情報処理装置（コンピュータ）により構成可能であり、図６に例示する構成を備える。例えば、通信装置１０は、内部バス６５により相互に接続される、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉt）６１、メモリ６２、入出力インタフェース６３及び通信手段であるＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）６４等を備える。

但し、図６に示す構成は、通信装置１０のハードウエア構成を限定する趣旨ではない。通信装置１０は、図示しないハードウエアを含んでもよいし、必要に応じて入出力インタフェース６３を備えていなくともよい。また、通信装置１０に含まれるＣＰＵ等の数も図６の例示に限定する趣旨ではなく、例えば、複数のＣＰＵが通信装置１０に含まれていてもよい。

メモリ６２は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、補助記憶装置（ハードディスク等）である。

入出力インタフェース６３は、図示しない表示装置や入力装置のインタフェースとなる手段である。表示装置は、例えば、液晶ディスプレイ等である。入力装置は、例えば、キーボードやマウス等のユーザ操作を受け付ける装置である。

通信装置１０の機能は、メモリ６２に格納されたエリア管理情報データ、グループ毎位置情報データ、処理モジュールである受信プログラム、変換ルール取得プログラム、変換プログラム、認証情報取得プログラム、認証プログラム、有効期間情報取得プログラム、送信プログラム等により実現される。当該処理モジュールは、例えば、メモリ６２に格納された変換プログラムをＣＰＵ６１が実行することで実現される。また、そのプログラムは、ネットワークを介してダウンロードするか、あるいは、プログラムを記憶した記憶媒体を用いて、更新することができる。さらに、上記処理モジュールは、半導体チップにより実現されてもよい。即ち、上記処理モジュールが行う機能を何らかのハードウエア、及び／又は、ソフトウエアで実行する手段があればよい。

［ハードウエアの動作］
通信装置１０は、動作を開始すると、受信プログラムがメモリ６２から呼び出され、ＣＰＵ６１にて実行状態となり、第１のネットワークを介してＮＩＣ６４によりパケットを受信する。次に認証情報取得プログラムがメモリ６２から呼び出されＣＰＵ６１にて実行状態となり、受信したパケットのペイロード部分の情報より認証情報を取得する。次に認証プログラムがメモリ６２から呼び出され、ＣＰＵ６１にて実行状態となり、取得された認証情報により認証処理を実行する。

認証処理の結果、認証に成功した場合には、有効期間情報取得プログラムがメモリ６２から呼び出され、ＣＰＵ６１にて実行状態となる。同プログラムは受信したパケットのペイロード部分の情報より有効期間情報を取得する。

認証処理の結果、認証に失敗した場合には再び受信プログラムによりパケットを受信する処理に戻る。この時、認証プログラムは、メモリ６２に保持されている後述する変換ルールを削除する処理を実行してもよい。

次に、変換プログラムがメモリ６２から呼び出され、ＣＰＵ６１にて実行状態となる。変換プログラムは、取得された有効期間情報を参照し、有効期間内であるか否かを判断する。ここで有効期間外であるとの判断結果の場合には、再び受信プログラムによりパケットを受信する処理に戻る。

有効期間情報を参照し、有効期間内であるとの判断結果が得られた場合には変換ルール取得プログラムがメモリ６２から呼び出され、ＣＰＵ６１にて実行状態となる。変換ルール取得プログラムは、パケットの情報から変換ルールを取得し、メモリ６２の指定されたアドレスに格納する。

変換プログラムは、メモリ６２に格納された変換ルールを読み込み、変換ルールに基づいて受信されたパケットのヘッダ情報を書き換える。次に送信プログラムがメモリ６２から呼び出され、ＣＰＵ６１にて実行状態となる。送信プログラムは書き換えられたヘッダ情報に基づいて第２のネットワークに対してパケットを転送する。

［効果の説明］
本実施形態の通信装置１０により、あらかじめ通信装置１０に対して静的ＮＡＴや、静的ＩＰマスカレード等のパケットの転送設定をすることなく異なるネットワークにパケットを転送することが可能である。また、受信したパケット情報内の認証情報や有効期間情報に基づいてセキュリティの高い通信を行うことが可能である。

［第２の実施形態］
第２の実施形態について、図面を用いてより詳細に説明する。第２の実施形態では通信装置１０に当たるＨＧＷ（Ｈｏｍｅ Ｇａｔｅ Ｗａｙ）と、送信元であるＰＣと、プライベートネットワーク内に位置するウェブサーバの通信との一例を示す。

図７は本実施形態に係る通信システムの概要を示す図である。本構成では、ＨＧＷ２００は外部ネットワークとプライベートネットワークをＷＡＮとＬＡＮで切り離しており、ＷＡＮにグローバルＩＰアドレスを保持し、そのグローバルＩＰアドレスを用いてインターネットなどの外部ネットワークと通信する。ウェブサーバ２５０はＨＧＷのＬＡＮに接続し、プライベートＩＰアドレスを１つ保持し、８０番ポートで待ち受けている。ＰＣ３００はパソコンであり、ＨＧＷ２００とウェブサーバ２５０から見て、外部ネットワークに設置されていて、外部ネットワークからウェブサーバ２５０に通信する。

図８は本実施形態の通信システムにおけるＨＧＷ２００の構成の一例を示す図である。ＨＧＷ２００は情報処理部２０１、ＬＡＮポート２０２、ＷＡＮポート２０３、ルーティング制御部２０４を具備する。情報処理部２０１はＨＧＷ２００に搭載される各機能を制御する。ＬＡＮポート２０２はＩＥＥＥ８０２．３に準拠し、プライベートネットワークの通信機器と通信をおこなう。ＷＡＮポート２０３はＩＥＥＥ８０２．３に準拠し、インターネットなどの外部ネットワークとの通信機器と通信をおこなう。ルーティング制御部２０４はＬＡＮポート２０２やＷＡＮポート２０３で受信した通信の転送先を決定し、転送する。プライベートネットワークと外部ネットワークとの通信はＮＡＰＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｐｏｒｔ Ｔｒａｎｓｌａｔｉｏｎ）されるものとする。

図９は本実施形態の通信システムにおけるＰＣ３００の構成の一例を示す図である。ＰＣ３００は情報処理部３０１、ＬＡＮポート３０２、パケット生成ツール３０３を具備する。情報処理部３０１はＰＣ３００に搭載される各機能を制御する。ＬＡＮポート３０２はＩＥＥＥ８０２．３に準拠し、自身が接続されたネットワークの通信機器と通信をおこなう。パケット生成ツール３０３は、ユーザが指定した情報を埋め込んだパケットの生成をおこなう。

図１０は従来技術のＴＣＰフレーム４００を示す図である。ＴＣＰフレーム４００は、イーサネットヘッダ、ＩＰヘッダ、ＴＣＰヘッダ、ＴＣＰメッセージ、ＣＲＣで構成される。イーサネットヘッダには、発信元と宛先のＭＡＣアドレスなどの情報が含まれる。ＩＰヘッダには、発信元と宛先のＩＰアドレスなどの情報が含まれる。ＴＣＰヘッダには、発信元と宛先のポート番号などの情報が含まれる。ＴＣＰメッセージには、任意の情報が含まれる。ＣＲＣは誤り補正の情報が含まれる。

図１１は本実施形態の通信システムにおいてＰＣ３００が生成するＴＣＰフレームの一例を示す図である。ＴＣＰフレーム５００は、イーサネットヘッダ、ＩＰヘッダ、ＴＣＰヘッダ、ＴＣＰメッセージ、ＣＲＣで構成される。イーサネットヘッダには、発信元と宛先のＭＡＣアドレスなどの情報が含まれる。ＩＰヘッダには、発信元と宛先のＩＰアドレスなどの情報が含まれる。ＴＣＰヘッダには、発信元と宛先のポート番号などの情報が含まれる。ＴＣＰメッセージには、ＨＧＷ２００がＰＣ３００からの通信を許可するための認証情報、ＨＧＷ２００に対して行いたい処理の情報及びその処理がＨＧＷ２００に適用される期間、ウェブサーバ２５０のプライベートＩＰアドレス及びポート番号、ＰＣ３００がウェブサーバ２５０と通信する際に使用するグローバルＩＰアドレス及びポート番号及び任意の情報が含まれる。ＣＲＣは誤り補正の情報が含まれる。

［システムの動作の説明］
図７～１１を用いて本実施形態の通信システムの動作の一例を説明する。図７の構成において、ＰＣ３００はＨＧＷ２００のプライベートネットワーク内に設置されたウェブサーバ２５０にアクセスするために、パケット生成ツール３０３で以下の情報を含んだパケットを生成する。

イーサネットヘッダ：発信元ＭＡＣアドレス及び宛先ＭＡＣアドレス
ＩＰヘッダ：発信元ＩＰアドレス及び宛先ＩＰアドレス
ＴＣＰヘッダ：発信元ポート及び宛先ポート
ＴＣＰメッセージ：
認証情報：ＨＧＷ２００がこの通信を許可するために必要な情報であって、例えば、ＨＧＷ２００が予め保持しているＨＧＷ２００のＷＥＢ設定画面の認証パスワードなどを用いてもよい。
コマンド：ＨＧＷ２００に対して行いたい処理の情報である。今回の場合は静的ＩＰマスカレード設定である。
コマンドの有効期間：上記の静的ＩＰマスカレード設定がＨＧＷ２００に適用される期間。今回の場合は５分とする。
ウェブサーバ２５０のプライベートＩＰアドレス及びポート番号：ＰＣ３００がウェブサーバ２５０と通信する際に使用するグローバルＩＰアドレス及びポート番号。
ＣＲＣ情報

次にＰＣ３００は上記で生成したＴＣＰフレーム５００をＨＧＷ２００のグローバルＩＰアドレス宛に送信する。ＨＧＷ２００はＷＡＮポートでＴＣＰフレーム５００を受けると、情報処理部２０１でＴＣＰフレーム５００のＴＣＰメッセージに付加された情報を解析する。

情報処理部２０１はＴＣＰフレーム５００のＴＣＰメッセージに付加された認証情報がＨＧＷ２００にあらかじめ接待されているＷＥＢＧＵＩのユーザＩＤとパスワードが一致していれば、ＴＣＰフレーム５００によるＨＧＷ２００への設定を許可する。

情報処理部２０１はＴＣＰフレーム５００のＴＣＰメッセージに付加された静的ＩＰマスカレード設定コマンド、コマンドの有効期間、ウェブサーバ２５０のプライベートＩＰアドレス及びポート番号、ＰＣ３００がウェブサーバ２５０と通信する際に使用するグローバルＩＰアドレス及びポート番号に基づいて、ルーティング制御部２０４に静的ＩＰマスカレード設定を行う。

ＰＣ３００はウェブサーバ２５０にアクセスするためにＨＧＷ２００のグローバルＩＰアドレス宛の８０番ポートに通信をおこなう。ＨＧＷでは上記の通り静的ＩＰマスカレード設定がなされているため、ＨＧＷ２００のグローバルＩＰアドレスの８０番ポート宛に受信した通信はＨＧＷのＬＡＮ側のプライベートネットワーク内にあるウェブサーバ２５０のプライベートＩＰアドレス及び指定のポート宛に転送され、ＰＣ３００とウェブサーバ２５０の通信は実現される。

なお、ＴＣＰフレーム５００のＴＣＰメッセージに付加されたコマンドの有効期間が満了すれば、情報処理部２０１はルーティング制御部２０４から、静的ＩＰマスカレード設定情報を削除する。

［効果の説明］
インターネットなどの外部ネットワークから自宅のプライベートネットワーク内に設置しているウェブサーバなどに、ＨＧＷに予め静的ＩＰマスカレード設定などの外部からの通信を許可するルーティング設定をしていなくても、外部からＨＧＷに静的ＩＰマスカレード設定などのルーティング設定を行うことで外部からプライベートネットワーク内にある機器への通信を可能とする。また、ＨＧＷに予め静的ＩＰマスカレード設定などのルーティング設定を行う場合は、常に指定されたポートが開放状態になってしまいセキュリティ的に脆弱となってしまうが、本発明を用いることで、ＨＧＷに静的ＩＰマスカレード設定などのルーティングを通信が行う都度実施することで、ＨＧＷにポートを常時開放することなく、外部からプライベートネットワーク内にある機器への通信を可能とする。

［第３の実施形態］
本実施形態の通信システムは、図１３のＰＣ７００が、図７のウェブサーバ２５０との通信開始時のみに図１１で示すようなＴＣＰフレームで静的ＩＰマスカレード情報を図１２のＨＧＷ６００に１度だけ通知するのではなく、ＰＣ７００がウェブサーバ２５０宛に通信を行う際は、もともとのイーサネットフレームに加えて、図１１のＴＣＰメッセージに示すような静的ＩＰマスカレード設定などの制御情報を常にイーサネットフレームに付加することで、プライベートネットワーク内にあるウェブサーバ２５０と外部ネットワークにあるＰＣ７００との通信を可能とする。

図７の構成において、図１３のＰＣ７００のウェブブラウザなどから図１２のＨＧＷ６００のプライベートネットワーク内に設置されたウェブサーバ２５０にアクセスを試みるため、情報処理部７０１からＨＧＷ６００のグローバルＩＰアドレスの８０番ポート宛に図１０に示すような一般的なＴＣＰフレーム４００を送信する。

ＰＣ７００により送信されたＴＣＰフレーム４００は、パケット加工部７０３に渡され、もともと含まれていたＴＣＰメッセージに加え、ここでＴＣＰメッセージに図１１に示す認証情報、コマンド発信元ＩＰアドレス、宛先プライベートＩＰアドレス、発信元ポート、宛先ポートを付加する。

次に、ＰＣ７００は生成したＴＣＰフレーム５００をＨＧＷ６００のグローバルＩＰアドレス宛に送信する。ＨＧＷ６００はＷＡＮポートでＴＣＰフレーム５００を受けると、情報処理部６０１でＴＣＰフレーム５００のＴＣＰメッセージに付加された情報を解析する。情報処理部６０１はＴＣＰフレーム５００のＴＣＰメッセージに付加された認証情報がＨＧＷ６００にあらかじめ設定されているＷＥＢＧＵＩのユーザＩＤとパスワードが一致していれば、ＴＣＰフレーム５００によるＨＧＷ６００への設定を許可する。

続いて、情報処理部６０１はＴＣＰフレーム５００のＴＣＰメッセージに付加された静的ＩＰマスカレード設定コマンド、ウェブサーバ２５０のプライベートＩＰアドレス及びポート番号、ＰＣ７００がウェブサーバ２５０と通信する際に使用するグローバルＩＰアドレス及びポート番号に基づいて、ＴＣＰフレーム５００をパケット加工部６０５に転送する。

このときＴＣＰフレーム５００はパケット加工部６０５に渡され、ＰＣ７００のパケット加工部７０３で付与された、認証情報やコマンド情報などのデータを削除する。従って、ＴＣＰフレーム５００は図１０で示すようなＴＣＰフレーム４００のような一般的なＴＣＰフレームになる。

パケット加工部６０５は、上述のＴＣＰフレームをＬＡＮポート６０２を介して、ウェブサーバ２５０に転送する。上記の手順でＰＣ７００とウェブサーバ２５０の通信は実現される。

[効果の説明]
本手順を用いれば、通信が発生するたびに静的ＩＰマスカレードなどのルーティング設定が実行されるため、第２の実施形態の通信システムよりも外部ネットワークにポートを開放している時間を短くできるため、セキュリティレベルが向上するといった効果を有する。

上記の実施形態の一部又は全部は、以下のようにも記載され得るが、以下には限られな
い。
［形態１］
上述の第一の視点に係る通信装置のとおりである。
［形態２］
前記変換ルール取得部で取得された前記変換ルールを保持する変換ルール保持部をさらに有し、前記変換部は前記変換ルール保持部に保持されている前記変換ルールに基づいて前記パケットのヘッダ情報の変換を実行する、好ましくは形態１の通信装置。
［形態３］
前記パケットを参照して送信元を認証するための認証情報を取得する認証情報取得部と、前記認証情報により認証を実行する認証部と、をさらに有し、前記変換部は前記認証部での認証結果に応じて前記変換を行うか否かを判断する、好ましくは形態１又は２の通信装置。
［形態４］
前記パケットを参照して前記変換を実行する期間を定める情報である有効期間情報を取得する有効期間情報取得部を有し、
前記変換部は前記有効期間情報取得部が取得した前記有効期間情報に応じて前記変換を行うか否かを判断する、好ましくは形態１から３のいずれか一の通信装置。
［形態５］
前記変換部は、前記認証部における認証結果が失敗であった場合、前記変換ルール保持部に保持されている前記変換ルールを削除する、好ましくは形態２に従属する形態３の通信装置。
［形態６］
前記変換部は、前記有効期間情報取得部が取得した有効期間情報内の有効期間を徒過している場合、前記変換ルール保持部に保持されている前記変換ルールを削除する、好ましくは形態２に従属する形態４の通信装置。
［形態７］
前記変換ルール取得部は、送信元のアドレスと送信先のアドレスとを対応付けた情報が含まれる前記変換ルールを取得し、
前記変換部は送信元のアドレス情報に応じて前記変換を行う、好ましくは形態１から６のいずれか一の通信装置。
［形態８］
前記変換ルール取得部は、前記受信部にて前記パケットを受信したポート番号と送信先のアドレス及びポート番号とを対応付けた情報が含まれる前記変換ルールを取得し、前記変換部は前記パケットを受信したポート番号に応じて前記変換を行う、好ましくは形態１から７のいずれか一の通信装置。
［形態９］
前記パケットのペイロード部分に前記変換ルールと、前記認証情報と、前記有効期間情報との少なくとも一が含まれる、好ましくは形態１から８のいずれか一の通信装置。
［形態１０］
上述の第二の視点に係る通信方法のとおりである。
［形態１１］
上述の第三の視点に係るプログラムのとおりである。
なお、形態１０及び形態１１は、形態１と同様に、形態２～形態９に展開することが可能である。

なお、引用した上記の特許文献等の各開示は、本書に引用をもって繰り込むものとする。本発明の全開示（特許請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の全開示の枠内において種々の開示要素（各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし、選択（部分的削除を含む）が可能である。すなわち、本発明は、特許請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。

１０ 通信装置
１１ 受信部
１２ 変換ルール取得部
１３ 変換部
１４ 送信部
１５ 変換ルール保持部
１６ 認証情報取得部
１７ 認証部
１８ 有効期間情報取得部
６１ ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）
６２ メモリ
６３ 入出力インタフェース
６４ ＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）
６５ 内部バス
２００、６００ ＨＧＷ（Ｈｏｍｅ Ｇａｔｅ Ｗａｙ）
２０１、６０１ 情報処理部
２０２ ＬＡＮポート
２０３、６０３ ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）ポート
２０４、６０４ ルーティング制御部
２５０ ウェブサーバ
３００、７００ ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）
３０１、７０１ 情報処理部
３０２、６０２、７０２ ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）ポート
３０３ パケット生成ツール
４００、５００ ＴＣＰフレーム
６０５、７０３ パケット加工部

Claims (7)

1. 第１のネットワークを介して送信されたパケットを受信する受信部と、
   前記パケットを参照して前記パケットのヘッダ情報を変換するためのルールである変換ルールを取得する変換ルール取得部と、
   前記変換ルールに基づいて前記パケットのヘッダ情報の変換を実行する変換部と、
   前記パケットの変換されたヘッダ情報に基づいて第２のネットワークにパケットを送信する送信部と、
   前記変換ルール取得部で取得された前記変換ルールを保持する変換ルール保持部と、
   前記パケットを参照して送信元を認証するための認証情報を取得する認証情報取得部と、
   前記認証情報により認証を実行する認証部と、
   を有し、
   前記変換部は、
   前記認証部での認証結果に応じて前記変換を行うか否かを判断し、
   前記変換ルール保持部に保持されている前記変換ルールに基づいて前記パケットのヘッダ情報の変換を実行し、
   前記認証部における認証結果が失敗であった場合、前記変換ルール保持部に保持されている前記変換ルールを削除する、
   通信装置。
2. 前記パケットを参照して前記変換を実行する期間を定める情報である有効期間情報を取得する有効期間情報取得部を有し、
   前記変換部は前記有効期間情報取得部が取得した前記有効期間情報に応じて前記変換を行うか否かを判断する、
   請求項１の通信装置。
3. 前記変換部は、前記有効期間情報取得部が取得した有効期間情報内の有効期間を徒過している場合、前記変換ルール保持部に保持されている前記変換ルールを削除する、
   請求項２の通信装置。
4. 前記変換ルール取得部は、送信元のアドレスと送信先のアドレスとを対応付けた情報が含まれる前記変換ルールを取得し、
   前記変換部は送信元のアドレス情報に応じて前記変換を行う、
   請求項１から３のいずれか一の通信装置。
5. 前記変換ルール取得部は、前記受信部にて前記パケットを受信したポート番号と送信先のアドレス及びポート番号とを対応付けた情報が含まれる前記変換ルールを取得し、
   前記変換部は前記パケットを受信したポート番号に応じて前記変換を行う、
   請求項１から４のいずれか一の通信装置。
6. 以下の各ステップをコンピュータにより実行するための方法であって、
   第１のネットワークを介して送信されたパケットを受信するステップと、
   前記パケットを参照して前記パケットのヘッダ情報を変換するためのルールである変換ルールを取得するステップと、
   前記変換ルールを記憶域に格納するステップと、
   前記記憶域に格納された前記変換ルールに基づいて前記パケットのヘッダ情報の変換を実行するステップと、
   前記パケットの変換されたヘッダ情報に基づいて第２のネットワークにパケットを送信するステップと、
   前記パケットを参照して送信元を認証するための認証情報を取得するステップと、
   前記認証情報により認証を実行するステップと、
   を有し、
   前記変換を実行するステップでは、
   前記認証を実行するステップでの認証結果に応じて前記変換を行うか否かを判断するステップと、
   前記変換ルールに基づいて前記パケットのヘッダ情報の変換を実行するステップと、
   前記認証を実行するステップにおける認証結果が失敗であった場合、前記変換ルールを削除するステップと、
   を含む通信方法。
7. 第１のネットワークを介して送信されたパケットを受信する処理と、
   前記パケットを参照して前記パケットのヘッダ情報を変換するためのルールである変換ルールを取得する処理と、
   前記変換ルールをメモリに格納する処理と、
   前記メモリに格納された前記変換ルールに基づいて前記パケットのヘッダ情報の変換を実行する処理と、
   前記パケットの変換されたヘッダ情報に基づいて第２のネットワークにパケットを送信する処理と、
   前記パケットを参照して送信元を認証するための認証情報を取得する処理と、
   前記認証情報により認証を実行する処理と、
   を有し、
   前記変換を実行する処理では、
   前記認証を実行する処理での認証結果に応じて前記変換を行うか否かを判断する処理と、
   前記変換ルールに基づいて前記パケットのヘッダ情報の変換を実行する処理と、
   前記認証を実行する処理における認証結果が失敗であった場合、前記変換ルールを削除する処理と、
   をコンピュータに実行させるためのプログラム。

Images