WO2006067831A1 - 中継処理プログラム及び通信処理プログラム、並びにファイアウォールシステム - Google Patents

中継処理プログラム及び通信処理プログラム、並びにファイアウォールシステム Download PDF

Info

Publication number
WO2006067831A1
WO2006067831A1 PCT/JP2004/019035 JP2004019035W WO2006067831A1 WO 2006067831 A1 WO2006067831 A1 WO 2006067831A1 JP 2004019035 W JP2004019035 W JP 2004019035W WO 2006067831 A1 WO2006067831 A1 WO 2006067831A1
Authority
WO
WIPO (PCT)
Prior art keywords
connection request
destination
communication
information
connection
Prior art date
Application number
PCT/JP2004/019035
Other languages
English (en)
French (fr)
Inventor
Taro Saiki
Satoshi Iyoda
Yoshimasa Koyama
Original Assignee
Fujitsu Limited
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fujitsu Limited filed Critical Fujitsu Limited
Priority to EP04807392A priority Critical patent/EP1840748A4/en
Priority to JP2006548631A priority patent/JP4570628B2/ja
Priority to PCT/JP2004/019035 priority patent/WO2006067831A1/ja
Publication of WO2006067831A1 publication Critical patent/WO2006067831A1/ja
Priority to US11/818,215 priority patent/US7644164B2/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/56—Provisioning of proxy services
    • H04L67/563—Data redirection of data network streams
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/166—Implementing security features at a particular protocol layer at the transport layer

Definitions

  • the present invention relates to a relay processing program, a communication processing program, and a firewall system, and more particularly, a relay processing program that relays data communication via a firewall that is installed at a connection point between an external network and an internal network and performs communication management. And a communication processing program and a firewall system.
  • TCP / IP Transmission Control Protocol / Internet Protocol
  • TCPZlP an IP address and an IP address are used to identify the target computer device.
  • TCP port the communication port of the target computer device specified by the IP address and TCP port is defined as a port or socket.
  • a control mechanism called a firewall is provided for communication used between the computer devices so that only communication at a specific port can be performed.
  • a firewall is installed at a connection point between an external network and an internal network.
  • an access request exceeding the external network firewall is received, whether or not the firewall is capable of accepting the access request based on preset regulation conditions. This prevents unauthorized access to the internal network.
  • there is a firewall method that makes effective use of network resources by establishing a connection with the computer device that is the access request source only when it is permitted for example, Patent Document 1).
  • FIG. 12 is a diagram illustrating an example of a communication control function by a firewall.
  • Firewall 901 includes an external network to which communication source client 902 is connected, Whether access requests from the communication source client 902 are permitted based on the preset restriction conditions, placed at the connection point of the internal network to which the communication destination server 1 (903) and communication destination server 2 (904) are connected Judge whether.
  • the communication source client 902 makes an access request to the communication destination server 1 (903) or the communication destination server 2 (904) beyond the firewall using a specific TCP port for each application.
  • the firewall 901 has an IP address “111.123.1.50”, a TCP port “8 0”, an IP address “111.123.1.51”, and a TCP port “81”. Assume that the access request is set to be accepted. In this case, IP address “111.123.1.50”, TCP port “80”, or IP address “111.123.1.51”, TCP port, which is the access request power restriction condition received from the source client 902 Pass through firewall 901 only if it matches “81”.
  • Patent Document 1 Japanese Patent Laid-Open No. 10-215248 (paragraph number [0013] one [0020], FIG. 1) Disclosure of the Invention
  • the port to be used for each application must be permitted, so when there are multiple applications, the number of ports to be managed becomes large. There is a problem that a great deal of labor is required for security management.
  • the port for requesting access from the external network A separate port for sending event results from the network must be configured on the firewall.
  • the firewall must be set and managed! /, And the number of ports tends to increase according to the system scale. If there are many ports to be managed, the firewall settings must be done correctly when installing a new application. There is a high possibility that mistakes will occur. In addition, if there are many force registrations that require firewall settings to be changed according to application deletion or change, the need for changes due to power mistakes may be overlooked or neglected. Also occurs. And security errors may occur due to such setting mistakes or forgotten version upgrades, and security may be greatly reduced. In fact, it is known that security holes are often caused by human error.
  • the present invention has been made in view of the above points, and facilitates security management in a firewall, and can perform a relay processing program via a firewall that can prevent a decrease in security due to human error. And to provide a firewall system.
  • the present invention provides a relay processing program for causing a computer to execute the processing shown in FIG.
  • the relay processing program according to the present invention includes an external network to which the communication source client 4 is connected and an internal network to which the communication destination server A (3a), the communication destination server B (3b), and the communication destination server C (3c) are connected. It is applied to the relay server 2 that relays communications that pass through the firewall 1 installed at the connection point.
  • the aggregate port that aggregates one or more ports that permit access is set to be permitted in the firewall 1.
  • the access input through the external network is monitored, and only the access to the aggregate port is passed
  • Let The relay server 2 has an aggregation port, and an access that has passed through the firewall 1 is input through the aggregation port.
  • the communication source client 4 issues a connection request by issuing connection request information with the aggregation port as a destination when access is required according to a predetermined application. In the connection request information, the target connection destination of the internal network that the communication source client 4 originally requests connection is set in advance.
  • the relay server 2 includes a connection request information acquisition unit 21 that acquires connection request information passed by the firewall 1, and a relay unit 22 that relays the connection request information to a target connection request destination based on the connection request information 22 It comprises.
  • the connection request information acquisition means 21 The connection request information issued by ant 4 and input via the aggregation port is acquired and transmitted to the relay means 22.
  • the relay means 22 changes the connection request destination to the target connection request destination set in the connection request information, transmits the connection request information to the target connection request destination, and makes a connection request. Acquire connection result information from the destination, and send it to the communication source client 4.
  • the firewall 1 the relay machine Sano 2, and the communication source client 4, when the communication source client 4 connects to the target connection request destination in the internal network, the target connection request destination is described. Issued connection request information with the aggregated port as the destination.
  • Firewall 1 passes the connection request information that is destined for the aggregate port for which permission is set.
  • the connection request information acquisition means 21 acquires connection request information input via the aggregation port and transmits it to the relay means 22. Based on the connection request information, the relay means 22 changes the destination to the target connection request destination and transmits the connection request information.
  • the connection result information is acquired from the target connection destination, it is transmitted with the destination as the communication source client 4.
  • the relay server 2 is connected to the communication source client 4 and any of the communication destination server A (3a), communication destination server B (3b), and communication destination server C (3c) that are target connection request destinations. Relay the connection process between the heels. Then, after the connection request is granted, the communication between the communication source client 4 and the target connection request destination server is relayed.
  • a communication processing program that performs communication processing with a server that is installed at a connection point between an external network and an internal network and that connects to the internal network beyond a firewall that performs communication management.
  • the communication processing program according to the present invention is applied to the communication source client.
  • the communication source client implements a communication processing means by executing a communication processing program.
  • connection request information including the target connection request destination is created, connection request information is issued with the aggregate port as the destination, a connection request is issued, and relayed to the target connection request destination by the relay server having the aggregate port.
  • the connection result information created by the target connection request destination is received via the relay server.
  • connection request information including the target connection request destination is created, and the connection request is issued by issuing the connection request information with the aggregation port as the destination.
  • the connection request information passes through the firewall and is transmitted to the relay server having the aggregation port.
  • the connection result information created by the target connection request destination as a response to the connection request information relayed by the relay server to the target connection request destination is sent to the communication source client via the relay server. Receive this.
  • a firewall system including a relay server, a communication source client, and a firewall.
  • the firewall is set to allow aggregate ports that aggregate one or more ports that allow access, captures access from the source client connected to the external network, and passes only access destined for the aggregate port.
  • the communication source client accesses the target connection request destination that connects to the internal network through the firewall, it creates connection request information including the target connection request destination and issues the connection request information with the aggregated port as the destination.
  • the connection request is made and the connection result information for the connection request information created by the target connection request destination is received.
  • An aggregation port is set for the relay server, and a connection request information acquisition unit that acquires connection request information from the communication source client that the firewall has passed, and a destination based on the acquired connection request information.
  • relay means for receiving connection result information from the target connection request destination and transmitting it to the communication source client.
  • a connection including information on a connection request destination for which a connection request is originally made is requested. Create request information and issue the destination as an aggregation port of the relay server.
  • the connection request information is input to the relay server through the firewall.
  • the relay server acquires the connection request information, changes the destination to the target connection request destination based on the connection request information, and transmits this connection request information to the target connection request destination.
  • the connection result information created by the target connection request destination is received, This is transmitted with the destination as the communication source client.
  • the relay server since the relay server once aggregates the requests received from the communication source client connected to the external network and distributes the request to the communication destination server connected to the internal network, the port set in the firewall Can be aggregated into one at a minimum. This makes it easy to manage the ports set in the firewall. As a result, security holes can be avoided by setting errors and human errors such as forgetting to upgrade the version, and the security level is maintained. be able to.
  • FIG. 1 is a conceptual diagram of the invention applied to the embodiment.
  • FIG. 2 is a schematic diagram showing the configuration of the first embodiment.
  • FIG. 3 is a block diagram illustrating a hardware configuration example of a communication source client according to the present embodiment.
  • FIG. 4 is a diagram showing a software module configuration example of the relay server according to the embodiment.
  • FIG. 5 is a diagram illustrating a flow of HTTP relay processing according to the embodiment.
  • FIG. 6 is a diagram showing a conversion example of connection request information (HTTP header) of the communication source client according to the embodiment.
  • FIG. 7 is a diagram illustrating a conversion example of connection request information (HTTP header) of the relay server according to the embodiment.
  • FIG. 8 is a diagram showing an SSL communication procedure in the present embodiment.
  • FIG. 9 is a diagram showing a flow of SSL tunneling communication according to the present embodiment.
  • FIG. 10 is a diagram showing a communication example of SSL tunneling communication according to the present embodiment.
  • FIG. 11 is a diagram showing an event notification procedure according to the present embodiment.
  • FIG. 12 is a diagram showing an example of a communication control function by a firewall.
  • FIG. 1 is a conceptual diagram of the invention applied to the embodiment.
  • the firewall system includes a communication source client 4 connected to an external network, a machine server 2, a communication destination server A (3a), and a communication destination server B (3b) connected to the internal network. And a destination server C (3c) and a firewall 1 installed at the connection point between the external network and the internal network, and packets are transmitted between the source client 4 and the destination server (3a, 3b, 3c). Communication is in progress (hereinafter referred to as communication destination servers (3a, 3b, 3c) unless otherwise specified.) 0
  • the external network is a network in which access to the internal network is restricted by the firewall 1
  • the internal network is a network with a high security level that is protected by external attacks and unauthorized access by the firewall 1.
  • the firewall 1 and the relay server 2 may be configured as either separate devices or a single device.
  • the figure shows the flow of packets that continue to the communication destination servers (3a, 3b, 3c) via the firewall 1 and the relay server 2 in the communication source client 4 as well.
  • a response packet flows from the communication destination server (3a, 3b, 3c) to the communication source client 4 via the relay server 2 and the firewall 1.
  • Firewall 1 monitors communications performed via an external network and an internal network, and determines whether or not to allow a connection request based on preset regulation conditions. Only pass through.
  • the restriction condition is set to allow only access requests to one or more aggregated ports.
  • at least one port of the Central Server 2 (port 8080 in the example of Fig. 1) is set as the aggregation port. For this reason, the source client 4 connected to the external network When accessing the communication destination server (3a, 3b, 3c) in the work, you must always go through the machine I server 2.
  • the relay server 2 includes connection request information acquisition means (hereinafter referred to as header acquisition means) 21 for acquiring connection request information, relay means 22 for performing relay processing, and tunneling means 23 for performing tunneling processing. It has.
  • the header acquisition means 21 acquires the header part of the communication packet including the connection request information, analyzes the contents of the header part, and activates the tunneling means 23 when the tunneling process is necessary. In other cases, the relay means 22 is activated as it is.
  • the relay means 22 performs a relay process of converting the destination of the packet transmitted by the communication source client 4 into a target connection request destination and transmitting it to the communication destination servers (3a, 3b, 3c). It also performs relay processing to send the destination of the response packet acquired from the destination server (3a, 3b, 3c) to the source client 4.
  • the transmission process is performed after updating the header part. For example, if the connection request information includes route information related to the server that is routed to the target connection request destination, and the route information includes information about the local device (relay server 2), the route information power is also relayed. Delete information about machine server 2.
  • response information from the communication destination servers (3a, 3b, 3c) is added with route information and transmitted to the communication source client 4.
  • the tunneling means 23 secures connections with the communication source client 4 and with the communication destination servers (3a, 3b, 3c).
  • the packet destination is simply the destination server (3a, 3b, 3c), and the packet contents are transmitted without any manipulation.
  • the response packet received from the destination server (3a, 3b, 3c) is also sent to the destination server.
  • the packet contents are transmitted without any manipulation just by setting it as the transmission source client.
  • the process in which the relay server 2 changes the destination without relaying the packet contents and relays it is referred to as a tunneling process. Details of the tunneling process, including the negotiation procedure to ensure the connection with both parties, will be described later.
  • the communication destination server A (3a), the communication destination server B (3b), and the communication destination server C (3c) are connection destinations to which the communication source client 4 performs data communication. Via Data communication with the communication source client 4 is performed.
  • the communication source client 4 includes a plurality of applications, an application A (41a), an application B (41b), and an application C (41c), and includes a communication processing means 42 that performs communication processing.
  • application 41a, 41b, 41c
  • it is written as application (41a, 41b, 41c).
  • Each of the applications executes predetermined application processing and accesses the communication destination server (3a, 3b, 3c) as necessary.
  • a header part including connection request information describing the designation of the connection request destination and the request to the connection request destination is created, and communication processing means 42 is requested to communicate.
  • the content of the header varies depending on the application.
  • the communication protocol used may be different. For example, there are cases where communication is performed with a web server using HTTP, or communication is performed with security secured using SSL.
  • event information that occurs at the destination server (3a, 3b, 3c) may be required.
  • the communication processing means 42 accesses the communication destination servers (3a, 3b, 3c) connected to the internal network through the firewall 1 in response to a request from the application (41a, 41b, 41c).
  • the application (41a, 41b, 41c) also acquires the header part, if necessary, it changes the contents of the header part and issues a connection request by issuing connection request information with the aggregated port as the destination. For example, when it is necessary to set information related to a relay server that relays packets in the header part, the route information is added to the header part, and then the packet is transmitted to the aggregation port. As a response, connection result information created by the target connection request destination is received via the relay server 2.
  • event information that occurs at any timing of the destination server (3a, 3b, 3c) is required, packets for requesting event information are repeatedly sent in the above procedure until the event information is acquired. To do.
  • each processing means of the relay machine Sano 2 described above realizes its processing function when the computer executes the relay processing program.
  • each processing means and application of the communication source client 4 described above realizes its processing function when the computer executes the communication processing program and the application program.
  • firewall 1 The operation of the firewall system having such a configuration will be described.
  • the firewall 1 only the aggregate port (8080) to which a predetermined port of the relay server 2 is assigned in advance is permitted.
  • the communication source client 4 When the communication source client 4 obtains connection request information from the application (41a, 41b, 41c), it performs header conversion processing such as adding route information regarding the relay server 2 that performs relaying as necessary. Set the destination to the aggregation port (8080) of relay server 2 and send the packet.
  • the firewall 1 that monitors the packet permits the passage of the packet whose destination is the aggregation port (8080), and the packet is received by the relay server 2.
  • the header acquisition means 21 reads out the header part and prays for the contents, and activates the tunneling means 23 if tunneling processing is necessary.
  • the relay means 22 is activated as it is.
  • the relay means 22 performs header conversion processing such as deleting the route information added to the connection request information of the packet acquired from the communication source client 4, and then sends the destination to the communication destination server (3a, Set 3b, 3c) to transmit the packet.
  • header conversion processing such as deleting the route information added to the connection request information of the packet acquired from the communication source client 4
  • a response packet including connection result information is received from the communication destination server (3a, 3b, 3c)
  • the destination is set to the communication source client 4 and transmitted. .
  • the tunneling means 23 is activated, and first, between the communication source client 4 and the communication destination servers (3a, 3b, 3c) that are the target connection request destinations. Both connections are secured. After the connection with both sides is secured, the destination of the packet exchanged between the communication source client 4 and the communication destination server (3a, 3b, 3c) is changed, and the packet received from the communication source client 4 is Packets received from the destination server (3a, 3b, 3c) are sent to the source client 4 to the destination server (3a, 3b, 3c).
  • the relay server performs relay processing for relaying packets to the original connection request destination based on the connection request information, and therefore relays the request from the communication source client connected to the external network. It can be aggregated once on the machine server and distributed from there to the communication destination server that is the original connection request destination. Therefore, the minimum number of ports that must be allowed in the firewall to achieve a given application can be aggregated to 1. As a result, port management in the firewall can be facilitated. It is possible to avoid the occurrence of security holes due to mistakes when setting the port by force. Power depending on system scale Conventionally, the number of ports that have to be set in the firewall may reach tens of thousands, and if this can be aggregated to a minimum, the security level can be maintained. A great effect can be expected.
  • HTTP consists of a request to transfer information and the response of the server.
  • the communication source client sends information such as the URL path name, Web browser type, and language used to the server with a GET request, and acquires data and error codes from Sano as a response.
  • FIG. 2 is a schematic diagram showing the configuration of the first embodiment. Components identical to those in FIG.
  • the relay server 2 is a request distribution service unit that performs an HTTP server process between the communication source clients 4a, 4b, and 4c and a request distribution service unit that performs a request distribution service between the communication destination servers 3a and 3b.
  • the HTTP server processing unit 201 responds to the request source communication source clients 4a, 4b, 4c according to the packet input from the communication source clients 4a, 4b, 4c via the aggregated port permitted for the firewall 1. Connect and hand over the bucket to the request delivery service unit 202. Then, the response packet received by the request delivery service unit 202 is transmitted to the request source communication source clients 4a, 4b, 4c.
  • the return delivery service unit 202 functions as an HTTP client for the communication destination servers 3a and 3b that are the original connection request destinations. According to the connection request information of the HTTP packet delivered from the HTTP server unit 201, the destination is changed to the target connection request destination (communication destination servers 3a and 3b) and transmitted. Then, the response packet acquired as a response is delivered to the HTTP server unit 201
  • the communication destination servers 3a and 3b have the same configuration and include an HTTP server unit 301 that performs HTTP server processing and a resource manager part 302 that performs resource management.
  • the HTTP server 301 analyzes the HTTP packet acquired via the relay server 2, and if the packet is found to be normal, passes the processing to the resource manager part 302 and uses the obtained data. Create a response packet and send it to repeater Sano 2.
  • Resource manager The unit 302 performs request processing such as data reading and returns the result to the HTTP server unit 301.
  • the communication source clients 4a, 4b, and 4c have the same configuration and include an application unit 401 that performs application processing and an HTTP client unit 402 that performs HTTP client processing.
  • the application unit 401 performs predetermined application processing, and makes an access request to the communication destination servers 3a and 3b to the HTTP client unit 402 as necessary.
  • the HTTP client unit 402 creates a request packet for the communication destination servers 3a and 3b according to the HTTP protocol.
  • the target communication destination server (3a, 3b) is set in the connection request information, and the packet is transmitted with the aggregation port of the relay server 2 as the destination.
  • the received packet is delivered to the application unit 401.
  • a request packet is transmitted from the HTTP client 402 by the request from the application unit 401.
  • the target connection request destination (communication destination server 3a) is set in the connection request information, and the destination is transmitted as the aggregation port of the relay server 2.
  • This packet passes through the firewall 1 where the aggregation port is permitted, is received by the HTTP server unit 201 of the relay server 2, and is sent to the target connection request destination (communication destination server 3a) by the request distribution service unit 202. The destination is converted and sent.
  • the communication destination server 3a receives this packet by the HTTP server unit 301, and a response packet as a result of request processing by the resource manager part 302 is created by the HTTP server 301 and transmitted to the relay server 2.
  • the request distribution service unit 202 converts the destination to the communication source client 4a and transmits the destination to the communication source client 4a from the HTTP server 201.
  • the HTTP client 402 receives the response packet, and the request data is transferred to the application unit 401.
  • firewall 1, the relay server 2, the communication destination servers 3a and 3b, and the communication source clients 4a, 4b, and 4c realize processing functions when the computer executes a program.
  • the hardware configuration of each device will be described using a communication source client as an example.
  • Figure 3 shows the actual It is a block diagram which shows the hardware structural example of the communication origin client of embodiment.
  • the communication source client 4 is entirely controlled by a CPU (Central Processing Unit) 101.
  • a random access memory (RAM) 102, a hard disk drive (HDD) 103, a graphic processing device 104, an input interface 105, and a communication interface 106 are connected to the CPU 101 via a bus 107.
  • the RAM 102 temporarily stores at least part of an OS (Operating System) program application program to be executed by the CPU 101.
  • the RAM 102 stores various data necessary for processing by the CPU 101.
  • the HDD 103 stores the OS and application programs.
  • a monitor 108 is connected to the graphic processing device 104, and an image is displayed on the screen of the monitor 108 according to a command from the CPU 101.
  • a keyboard 109a and mouse 109b are connected to the input interface 105, and signals sent from the keyboard 109a and mouse 109b are transmitted to the CPU 101 via the bus 107.
  • the communication interface 106 is connected to the network 5 and transmits / receives data to / from the relay server 2 via the network 5.
  • the processing functions of the present embodiment can be realized.
  • the hardware configurations of the power firewall, relay server, and communication destination server showing the hardware configuration of the communication source client are the same.
  • FIG. 4 is a diagram illustrating a software module configuration example of the relay server according to the embodiment.
  • the HTTP session 210 includes HTTPS tunneling 211, request 212, response 213, chunk input stream 214, chunk output stream 215, HTTP header 216, size management input stream 217, It has modules such as size management output stream 218 and GZIP response 219.
  • the HTTP session 210 manages HTTP communication in general, such as generating information for establishing communication.
  • HTTPS tunneling 211 controls the tunneling process when SSL is applied.
  • a request 212 is a module for managing data communication flowing from the communication source client to the communication destination server.
  • the request 212 is sent from the chunk input stream 214 for managing the flow of data sent from the requesting client and the processing destination communication server.
  • Data is controlled by the chunk output stream 215 that manages the data flow and the HT TP header 216 that performs HTTP header operations.
  • the response 213 is a module for managing data communication flowing from the communication destination server to the communication source client.
  • the size management input stream 217 for controlling the data stream sent to the communication destination server and the control of the data stream sent from the communication destination server. Data control is performed using the size management output stream 218 and the HTTP header 216.
  • the compressed data is decoded by the GZIP response 219 as necessary.
  • FIG. 5 is a diagram illustrating a flow of HTTP relay processing according to the embodiment.
  • a connection request from the communication source client 4 to the communication destination server 3 is issued with the relay server 2 as the destination.
  • the target connection request destination is set as connection request information.
  • the relay server 2 receives the connection request issued by the communication source client 4 and confirms its contents.
  • the relay server 2 updates the content of the connection request information according to the target connection request destination. For example, if the connection request information includes route information regarding the relay server 2, this is deleted.
  • the relay server 2 transmits the updated connection request information with the destination communication destination server 3 as the destination.
  • the communication destination server 3 receives the connection request from the communication source client 4 relayed by the relay server 2, and transmits a connection result to the relay server 2 after executing a predetermined process.
  • the relay server 2 receives the connection result of the communication destination server 3, and updates the contents of the acquired connection result information according to the communication source client. For example, if the relay information about relay server 2 has been deleted, relay information is added.
  • the relay server 2 transmits the updated connection result information to the communication source client 4.
  • a series of communication processing is executed by the above procedure.
  • FIG. 6 is a diagram illustrating a conversion example of connection request information (HTTP header) of the communication source client according to the embodiment.
  • the communication source client 4 uses the original HTTP header 501 created according to the application, the request address indicating the target connection request destination, and the address information 502 of the relay address indicating the relay server, Create client conversion HTTP header 503 with route information added to HTTP header.
  • the target connection request destination is added to the original GET command for conversion.
  • connection request destination is converted into the connection request target power to the relay server.
  • the connection request destination is converted into the connection request target power to the relay server.
  • the relay server 2 also receives the client conversion HTTP header 503 by the communication source client 4 and converts the header.
  • FIG. 7 is a diagram illustrating a conversion example of connection request information (H TTP header) of the relay server according to the embodiment.
  • relay server 2 first, the target connection request destination added to the GET command is deleted.
  • [GETZhttp: ZZwww.def.co.jp/index.htmlHTTP/1.0] in the client conversion HTTP header 503 is deleted and [www.def.co.jp] is deleted, and the server conversion HTTP header is deleted. Convert to [GETZindex.htmlHTTP / 1.0] shown in 504.
  • connection request destination is converted.
  • [Host: proxy, abc.co.jp] representing the relay server indicated in the client conversion HTTP header 503 is changed to server conversion HTTP. It is converted into [Host: www. De f.
  • the original HTTP header is transmitted to the target connection request destination.
  • the same operation is also performed on the HTTP header of the response packet sent from the target connection request destination, and sent to the communication source client 4 via the relay server 2.
  • an SSL communication protocol may be used as a security function.
  • SSL is located between the TCP layer and the application layer, and encrypts and transmits higher-level HTTP data.
  • connection information and communication contents can only be owned by the target connection source and connection destination, and the HTTP header cannot be analyzed and changed as described above. Therefore, a tunneling communication function that relays the connection source and destination of communication without touching the contents of SSL communication is realized.
  • FIG. 8 shows the SSL communication procedure in the present embodiment.
  • a tunneling initialization procedure for establishing a connection among the communication source client 4, the relay server 2 and the communication destination server 3 is performed, and then the SSL after tunneling initialization is completed.
  • a communication procedure is performed.
  • the tunneling initialization procedure is started by transmitting a tunneling request 601 for requesting SSL tunneling communication with the communication destination server 3 from the communication source client 4 to the relay server 2.
  • the relay server 2 secures a connection with the communication source client 4 and makes a connection request 602 to the SSL server socket of the communication destination server 3 to establish a connection with the communication destination server 3.
  • the tunneling initialization completion 603 is transmitted to the communication source client 4.
  • connection between the communication source client 4 and the relay server 2 and the relay server The connection between the server 2 and the communication destination server 3 is secured.
  • the SSL communication connection between the communication source client 4 and the communication destination server 3 is established via the relay server 2.
  • the SSL communication procedure is started when the SSL communication connection between the communication source client 4 and the communication destination server 3 is established via the intermediate server 2.
  • the SSL handshake start 604 is transmitted from the communication source client 4, the communication destination Sano 3 receives it via the relay server 2, and a handshake is performed.
  • SSL communication is started (605) and the result is returned (606).
  • the relay server 2 converts the packet sent from the communication source client 4 to the socket of the relay server 2 and sends it to the SSL server socket of the communication destination server 3, and sends it from the communication destination server 3. Socket conversion processing to send the result to the communication source client 4 is performed.
  • the relay server 2 only performs socket conversion and does not perform data operations.
  • FIG. 9 is a diagram showing a flow of SSL tunneling communication according to the present embodiment.
  • the communication contents are encrypted by the connection source and the connection destination, and it is very difficult to grasp the communication contents by the relay server.
  • the character “CONNECT” is described in the first line of the HTTP header as a connection request. Therefore, based on the character string “CONNECT”, it can be determined whether the communication is SSL communication.
  • a connection request for SSL communication is issued from the source client 4 via the relay Sano 2.
  • the first line of the HTTP header contains "CON NECTJ!”
  • the relay server 2 receives the connection request and confirms the connection request content.
  • Relay server 2 determines that it is SSL tunneling communication by detecting “CONNECT”, and starts SSL tunneling processing. At this time, since the connection request from the connection source communication source client 4 is already owned, the connection request is issued to the SSL server socket of the communication destination server 3. [0075] (4) A connection result is returned from the communication destination server 3.
  • the relay server 2 secures the connection for tunneling communication.
  • the relay server 2 establishes a connection with the communication source client 4 and secures the connection state in response to the connection request (1) from the communication source client 4 in order to perform tunneling communication. .
  • the relay server 2 has acquired the connection result (4) received from the communication destination server 3 on the way, so that a connection request is sent to the communication source client 4 that is the connection source. On behalf of the destination communication destination server 3.
  • the relay server 2 returns the result of the connection destination (communication destination server 3) to the connection from the connection source (communication source client 4) for which the connection is ensured, and the connection destination (communication destination) Server 3) The result of the connection source (source client 4) is passed to the force connection.
  • FIG. 10 is a diagram showing a communication example of SSL tunneling communication according to the present embodiment.
  • the communication destination server 3 is set as the request address and the relay server 2 is set as the relay address, and the original HTTPS header 510 is created and transmitted with the relay server 2 as the destination.
  • the HTTP header according to the SSL communication protocol is expressed as an HTTPS header. Since 1 ⁇ ? 3 header 510 is encrypted except for the first line and cannot be decrypted by relay server 2, header conversion is not performed. In this way, the original HTTPS header 510 is received by the relay server 2.
  • the relay server 2 decodes the first line of the HTTPS header 510, determines that it is SSL communication, and requests connection HYPERLINK "http://www.xyz.com" (www.xyz. com). Therefore, the received HTTPS header 510 is transmitted as it is as the communication destination server 3 (www.xyz.com) obtained from the HTTPS header 510 as the request address.
  • connection approval from the communication destination server 3 is also sent via the relay device Sano 2 to the communication source client.
  • the relay server 2 uses only the destination as the communication source client and transfers the content as it is.
  • the relay server 2 sets the packet received from the communication source client 4 and the communication destination server 3 to be relayed to the transfer destination that changes the contents other than the connection at the transfer destination of each other. Forward. Therefore, there is no change to the encrypted communication name contents other than the transfer destination connection.
  • the SSL tunneling function enables relaying communications while ensuring highly secure communications using SSL, and minimizes the number of ports that are permitted to be set in the firewall.
  • event notification communication started by such a server-side event.
  • event notification communication started by such a server-side event.
  • event notification is performed via a firewall
  • powerful power that must be set in the firewall for the event notification port
  • data communication from the communication source client Event notification is performed using the aggregation port used for.
  • FIG. 11 is a diagram showing an event notification procedure according to the present embodiment.
  • the communication destination server 3 starts the event monitoring function and monitors the occurrence of the event.
  • the event notification 703 is received, the contents are temporarily stored in the apparatus.
  • the communication source client 4 that receives the event notification starts the event acquisition process and issues an event acquisition notification 701 to the communication destination server 3 via the relay server 2.
  • the relay server 2 performs relay processing and transfers the event acquisition notification 701 to the communication destination server 3.
  • a result notification 702 of “no event” is issued.
  • the result notification 702 of “no event” is relayed by the relay machine 2 and received by the communication source client 4.
  • the communication source client 4 Since the communication source client 4 has been unable to obtain the event result, it performs polling again at an appropriate timing and issues an event acquisition notification 704.
  • the relay server 2 performs relay processing and transfers the event acquisition notification 704 to the communication destination server 3.
  • the communication destination server 3 acquires the event notification 703 and temporarily stores the information. Therefore, as a response to the event acquisition notification 704, the “event occurrence” result notification 705 Is issued.
  • the “event occurrence” result notification 705 is relayed by the relay server 2 and received by the communication source client 4. In this way, the communication source client 4 obtains the event notification.
  • the event notification can be performed via the aggregation port.
  • processing functions described above can be realized by a server computer and a client computer.
  • a server program that describes the processing contents of the functions that the relay server should have and a client program that describes the processing contents of the functions that the communication source client should have are provided.
  • the processing functions of the relay server are realized on the server computer.
  • the processing function of the communication source client is realized on the client computer by executing the communication processing program on the client computer.
  • the server program and the client program describing the processing contents can be recorded on a computer-readable recording medium.
  • the computer-readable recording medium include a magnetic recording device, an optical disk, a magneto-optical recording medium, and a semiconductor memory.
  • Magnetic recording devices include hard disk drives (HDD), flexible disks (FD), and magnetic tapes.
  • Optical disks include DVD (Digital Versatile Disc), DVD-RAM (Random Access Memory;), CD—ROM (Compact Disc Read Only Memory), CD—R (Recordable), ZRW (Rewritable), etc.
  • Magneto-optical recording medium Includes MO (Magno-Optical disk).
  • each program Portable recording media such as DVDs and CD-ROMs with recorded gram are sold.
  • the client program is stored in a storage device of the server computer, and the client program is transferred from the server computer to the client computer via the network.
  • the server computer that executes the server program stores, for example, the server program recorded in a portable recording medium in its own storage device. Then, the server computer reads its own storage device server program and executes processing according to the server program. The server computer can also read the server program directly from the portable recording medium and execute processing according to the server program.
  • the client computer that executes the client program stores, for example, the client program recorded on the portable recording medium or the client program to which the server computer power is transferred in its own storage device. Then, the client computer reads its own storage device client program and executes processing according to the client program. The client computer can also read the client program directly from the portable recording medium and execute processing according to the client program. In addition, each time the client computer-powered client program is transferred, the client computer can sequentially execute processing according to the received client program.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

　ファイアウォールにおけるセキュリティ管理を容易にする。 　ファイアウォール（１）には、通過を許容する１または複数のポートを集約した集約ポートのみが許可設定されている。通信元クライアント（４）は、内部ネットワークに接続する目的の接続要求先と接続する場合、目的の接続要求先が設定された接続要求情報を、集約ポートを宛先として発行する。中継機サーバ（２）では、接続要求情報取得手段（２１）は、ファイアウォール（１）を通過し、集約ポートより入力された接続要求情報を読み出す。中継手段（２２）は、接続要求情報に基づいて宛先を目的の接続要求先に変更し、その接続要求情報を目的の接続要求先に送信して接続要求を行うとともに、目的の接続要求先から取得した接続結果情報を通信元クライアント（４）に送信する。                                                                               

Description

明 細 書
中継処理プログラム及び通信処理プログラム、並びにファイアウォールシ ステム
技術分野
[0001] 本発明は中継処理プログラム及び通信処理プログラム並びにファイアウォールシス テムに関し、特に外部ネットワークと内部ネットワークとの接続点に設置されて通信管 理を行うファイアウォールを経由するデータ通信を中継する中継処理プログラム及び 通信処理プログラム並びにファイアウォールシステムに関する。
背景技術
[0002] 近年、コンピュータネットワークの拡大に伴って、ネットワーク環境での不正侵入の 防御、機密保護などのネットワークセキュリティの重要性が増して 、る。
従来、コンピュータ間で通信を行なう場合の一般的なプロトコルとして TCP/IP ( Transmission Control Protocol/Internet Protocol)が普及しており、その TCPZlPで は、対象のコンピュータ機器を特定するために、 IPアドレスと TCPポートを使用する。 以下、 IPアドレスと TCPポートで特定される対象のコンピュータ機器の通信ポートを ポートまたはソケットとする。この際、情報管理におけるセキュリティをふまえ、コンビュ ータ機器間で使用する通信にはファイアウォールと呼ばれる制御機構を設け、特定 のポートでの通信しか行うことができな 、ようにして 、る。
[0003] ファイアウォールは、外部ネットワークと内部ネットワークとの接続点に設置され、外 部ネットワーク力 ファイアウォールを超えるアクセス要求を受信すると、予め設定さ れた規制条件に基づき、アクセス要求を許容する力否かを判断して内部ネットワーク への不正アクセスを防いでいる。この際、アクセス要求を許容するか否かを判断した 後で、かつ許容する場合のみアクセス要求元のコンピュータ機器とコネクションを確 立することによって、ネットワーク資源の有効利用を図るファイアウォール方式がある（ たとえば、特許文献 1参照)。
[0004] 図 12は、ファイアウォールによる通信制御機能の一例を示した図である。
ファイアウォール 901は、通信元クライアント 902が接続される外部ネットワークと、 通信先サーバ 1 (903)、通信先サーバ 2 (904)が接続される内部ネットワークの接続 点に配置され、予め設定された規制条件に基づき通信元クライアント 902からのァク セス要求を許容するかどうかを判断する。通信元クライアント 902からは、アプリケー シヨンごとに特定の TCPポートを利用してファイアウォールを越えた先にある通信先 サーバ 1 (903)もしくは通信先サーバ 2 (904)にアクセス要求を行う。
[0005] たとえば、、ファイアウォーノレ 901に、 IPアドレス「111. 123. 1. 50」、 TCPポート「8 0」と、 IPアドレス「111. 123. 1. 51」、 TCPポート「81」のアクセス要求を許容するよ うに設定がされていたとする。この場合、通信元クライアント 902から受信したアクセス 要求力 規制条件である IPアドレス「111. 123. 1. 50」、 TCPポート「80」、もしくは I Pアドレス「111. 123. 1. 51」、 TCPポート「81」に合致していた場合のみファイアゥ オール 901を通過させる。
特許文献 1：特開平 10— 215248号公報 (段落番号〔0013〕一〔0020〕、図 1) 発明の開示
発明が解決しょうとする課題
[0006] 上記の説明のように、特定のポートを利用してファイアウォールを越えた通信を行な うためには、通過を許可するポートをファイアウォールに登録する必要がある。たとえ ば、図 12では、ポート 80と 81をファイアウォールに対して設定する必要がある。
[0007] し力しながら、従来のファイアウォールの設定では、アプリケーションごとに使用する ポートを許可設定しなければならな 、ため、アプリケーションが複数存在する場合に は管理対象のポートも多数となり、そのためのセキュリティ管理に大幅な手間を必要 としてしまうという問題点がある。また、外部ネットワークの通信元クライアントが、内部 ネットワークの通信先サーバからイベント結果など取得するような双方向通信を行うァ プリケーシヨンでは、外部ネットワークからのアクセス要求のためのポートのほ力、内 部ネットワークからのイベント結果送信のためのポートを別個にファイアウォールに設 定しなければならない。
[0008] このように、ファイアウォールに設定して管理しなければならな!/、ポート数は、システ ム規模に応じて増大する傾向がある。管理対象のポートが多い場合、新たにアプリケ ーシヨンをインストールする際、正しく行わなければならな 、ファイアウォールの設定 にミスが生じる可能性が高くなる。また、アプリケーションの削除や変更に応じてフアイ ァウォールの設定を変更する必要がある力 登録が多数であると、設定ミスば力りで なぐ変更の必要性を見逃されてしまうもしくは放置されてしまうケースも発生する。そ して、このような設定ミスやバージョンアップ忘れなどによってセキュリティホールが発 生し、セキュリティが大幅に低下してしまう可能性がある。実際、セキュリティホールは 人為的なミスで発生することが多 、ことが知られて 、る。
[0009] 本発明はこのような点に鑑みてなされたものであり、ファイアウォールにおけるセキ ユリティ管理を容易にし、人為的なミスによるセキュリティの低下を防止することが可能 なファイアウォールを介した中継処理プログラム及びファイアウォールシステムを提供 することを目的とする。
課題を解決するための手段
[0010] 本発明では上記課題を解決するために、図 1に示すような処理をコンピュータに実 行させるための中継処理プログラムが提供される。本発明にかかる中継処理プロダラ ムは、通信元クライアント 4が接続する外部ネットワークと、通信先サーバ A(3a)、通 信先サーバ B (3b)及び通信先サーバ C (3c)が接続する内部ネットワークとの接続点 に設置されるファイアウォール 1を通過する通信を中継する中継機サーバ 2に適用さ れる。
[0011] ファイアウォール 1には、アクセスを許可する 1または複数のポートを集約した集約 ポートが許可設定されており、外部ネットワークを介して入力されるアクセスを監視し、 集約ポートへのアクセスのみを通過させる。中継機サーバ 2は、集約ポートを備え、 集約ポートを介してファイアウォール 1を通過したアクセスが入力される。また、通信 元クライアント 4は、所定のアプリケーションに応じてアクセスが必要となったときに、集 約ポートを宛先として接続要求情報を発行して接続要求を行う。接続要求情報には 、予め、通信元クライアント 4が本来接続を要求する内部ネットワークの目的の接続先 が設定されている。
[0012] 中継機サーバ 2は、ファイアウォール 1が通過させた接続要求情報を取得する接続 要求情報取得手段 21と、接続要求情報に基づき目的の接続要求先へ接続要求情 報を中継する中継手段 22を具備する。接続要求情報取得手段 21は、通信元クライ アント 4によって発行され、集約ポート経由で入力された接続要求情報を取得し、中 継手段 22へ伝達する。中継手段 22は、接続要求先を接続要求情報に設定された 目的の接続要求先に変更し、目的の接続要求先に対し接続要求情報を送信して接 続要求を行うとともに、目的の接続要求先から接続結果情報を取得し、これを通信元 クライアント 4に送信する。
[0013] このようなファイアウォール 1、中継機サーノ 2及び通信元クライアント 4によれば、 通信元クライアント 4は、内部ネットワーク内の目的の接続要求先と接続を行う場合、 目的の接続要求先が記述された接続要求情報を集約ポートを宛先として発行する。 ファイアウォール 1は、許可設定された集約ポートを宛先とするその接続要求情報を 通過させる。中継機サーバ 2では、接続要求情報取得手段 21が集約ポートを介して 入力される接続要求情報を取得して中継手段 22に伝達する。中継手段 22は、接続 要求情報に基づき、宛先を目的の接続要求先に変更して接続要求情報を送信する 。そして、目的の接続先より接続結果情報を取得すると、宛先を通信元クライアント 4 として、これを送信する。このようにして、中継機サーバ 2は、通信元クライアント 4と、 目的の接続要求先である通信先サーバ A (3a)、通信先サーバ B (3b)、通信先サー ノ C (3c)のいずれかとの間の接続処理を中継する。そして、接続要求が許可された 後は、通信元クライアント 4と目的の接続要求先のサーバとの通信を中継処理する。
[0014] また、上記課題を解決するために、外部ネットワークと内部ネットワークとの接続点 に設置されて通信管理を行うファイアウォールを越えて内部ネットワークに接続する サーバとの通信処理を行う通信処理プログラムが提供される。本発明にカゝかる通信 処理プログラムは、通信元クライアントに適用される。通信元クライアントは、通信処理 プログラムを実行することにより、通信処理手段を実現する。通信処理手段では、ァク セスを許可する 1または複数のポートを集約した中継機サーバの集約ポートが許可 設定されるファイアウォールを超えて内部ネットワークに接続する目的の接続要求先 にアクセスする場合に、目的の接続要求先を含む接続要求情報を作成し、集約ポー トを宛先として接続要求情報を発行して接続要求を行うとともに、集約ポートを具備 する中継機サーバによって目的の接続要求先に中継された接続要求情報に対して 目的の接続要求先が作成した接続結果情報を中継機サーバ経由で受信する。 [0015] このような通信元クライアントによれば、通信処理手段は、アクセスを許可するポート が集約された集約ポートが許可設定されるファイアウォールを越えなければならない 接続要求先に対してアクセスを行う場合、目的の接続要求先を含む接続要求情報を 作成し、集約ポートを宛先としてこの接続要求情報を発行して接続要求を行う。これ により、接続要求情報は、ファイアウォールを通過して集約ポートを有する中継機サ ーバに伝達される。そして、中継機サーバが目的の接続要求先に中継した接続要求 情報に対し、目的の接続要求先が応答として作成した接続結果情報が中継機サー バを経由して通信元クライアントに送信されるので、これを受信する。
[0016] また、上記課題を解決するために、中継機サーバと通信元クライアント及びファイア ウォールを有するファイアウォールシステムが提供される。ファイアウォールは、ァクセ スを許可する 1または複数のポートを集約した集約ポートが許可設定され、外部ネット ワークに接続する通信元クライアントからのアクセスを捕捉し、集約ポートを宛先とす るアクセスのみを通過させる。通信元クライアントは、ファイアウォールを越えて内部ネ ットワークに接続する目的の接続要求先にアクセスする場合に、目的の接続要求先 を含む接続要求情報を作成し、集約ポートを宛先として接続要求情報を発行して接 続要求を行うとともに、目的の接続要求先の作成した接続要求情報に対する接続結 果情報を受信する。中継機サーバには集約ポートが設定されており、ファイアウォー ルが通過させた通信元クライアントからの接続要求情報を取得する接続要求情報取 得手段と、取得した接続要求情報に基づき、宛先を目的の接続要求先に変更して接 続要求情報を送信するとともに、目的の接続要求先から接続結果情報を受信して通 信元クライアントに送信する中継手段と、を具備する。
[0017] このようなファイアウォールシステムによれば、通信元クライアントは、ファイアウォー ルを越えて内部ネットワークの通信先サーバにアクセスする場合、本来接続を要求す る目的の接続要求先に関する情報を含む接続要求情報を作成し、宛先を中継機サ ーバの集約ポートとして発行する。接続要求情報は、ファイアウォールを通過して中 継機サーバに入力される。中継機サーバは、接続要求情報を取得し、接続要求情報 に基づき宛先を目的の接続要求先に変更してこの接続要求情報を目的の接続要求 先に送信する。そして、目的の接続要求先が作成した接続結果情報を受信すると、 宛先を通信元クライアントにしてこれを送信する。こうして、外部ネットワークに接続す る通信元クライアントがファイアウォールの内側の内部ネットワークに接続する目的の 接続要求先に発行する接続要求は、中継機サーバが集約して取得して目的の接続 要求先に振り分けるとともに、 目的の接続要求先の作成した接続結果情報が中継機 サーバを経由して通信元クライアントに返る。
発明の効果
[0018] 本発明では、中継機サーバが外部ネットワークに接続する通信元クライアントから 受信したリクエストを一旦集約し、そこ力 内部ネットワークに接続する通信先サーバ にリクエストを配布するので、ファイアウォールに設定するポートを最小で 1つに集約 することができる。これにより、ファイアウォールに設定するポートの管理を容易にする ことが可能となり、この結果、設定ミスや、バージョンアップ忘れなどの人為的なミスに よるセキュリティホールの発生を回避し、セキュリティレベルを保持することができる。
[0019] 本発明の上記および他の目的、特徴および利点は本発明の例として好ま U、実施 の形態を表す添付の図面と関連した以下の説明により明らかになるであろう。
図面の簡単な説明
[0020] [図 1]実施の形態に適用される発明の概念図である。
[図 2]第 1の実施の形態の構成を示す概略図である。
[図 3]本実施の形態の通信元クライアントのハードウェア構成例を示すブロック図であ る。
[図 4]実施の形態の中継機サーバのソフトウェアモジュール構成例を示した図である
[図 5]実施の形態の HTTPの中継処理の流れを示した図である。
[図 6]実施の形態の通信元クライアントの接続要求情報 (HTTPヘッダ)の変換例を 示す図である。
[図 7]実施の形態の中継機サーバの接続要求情報 (HTTPヘッダ)の変換例を示す 図である。
[図 8]本実施の形態における SSL通信手順について示した図である。
[図 9]本実施の形態の SSLトンネリング通信の流れを示した図である。 [図 10]本実施の形態の SSLトンネリング通信の通信例を示した図である。
[図 11]本実施の形態のイベント通知手順を示した図である。
[図 12]ファイアウォールによる通信制御機能の一例を示した図である。
発明を実施するための最良の形態
[0021] 以下、本発明の実施の形態を図面を参照して説明する。まず、実施の形態に適用 される発明の概念について説明し、その後、実施の形態の具体的な内容を説明する 図 1は、実施の形態に適用される発明の概念図である。
[0022] 本発明に係るファイアウォールシステムは、外部ネットワークに接続する通信元クラ イアント 4と、内部ネットワークに接続する中 «機サーバ 2、通信先サーバ A (3a)、通 信先サーバ B (3b)及び通信先サーバ C (3c)と、外部ネットワークと内部ネットワーク との接続点に設置されるファイアウォール 1を有し、通信元クライアント 4と通信先サー バ（3a、 3b、 3c)との間でパケット通信が行なわれている（以下、特に特定する必要が ない場合は、通信先サーバ（3a、 3b、 3c)と表記する。 ) 0
[0023] ここで、外部ネットワークは、ファイアウォール 1によって内部ネットワークへのァクセ スが制限されるネットワークで、内部ネットワークは、ファイアウォール 1によって外部 力 の攻撃や不正アクセス力 守られるセキュリティレベルが高位なネットワークを指 す。なお、ファイアウォール 1と中継機サーバ 2は、別装置もしくは 1台の装置のいず れで構成されてもよい。また、図では、通信元クライアント 4力もファイアウォール 1、中 継機サーバ 2を経由して通信先サーバ（3a、 3b、 3c)へ続くパケットの流れを示して いるが、通信の際には、さらに応答として通信先サーバ（3a、 3b、 3c)から中継機サ ーバ 2、ファイアウォール 1を経由して通信元クライアント 4へ応答パケットが流れる。
[0024] ファイアウォール 1は、外部ネットワークと内部ネットワークを介して行われる通信を 監視し、予め設定された規制条件に基づ!ヽて接続要求を許容するカゝ否かを判断し、 許容するもののみ通過させる。ここでは、 1または複数のポート^^約した 1つの集約 ポートに対するアクセス要求のみを許容するように規制条件が設定される。ここで、集 約ポートには、中 ϋ機サーバ 2のポート（図 1の例では、ポート 8080)が最小で 1っ設 定される。このため、外部ネットワークに接続する通信元クライアント 4から内部ネット ワーク内の通信先サーバ（3a、 3b、 3c)にアクセスする場合、必ず中 «I機サーバ 2を 経由しなければならない。
[0025] 中継機サーバ 2は、接続要求情報を取得する接続要求情報取得手段 (以下、へッ ダ取得手段とする） 21、中継処理を行う中継手段 22及びトンネリング処理を行うトン ネリング手段 23を具備する。
[0026] ヘッダ取得手段 21は、接続要求情報が含まれる通信パケットのヘッダ部を取得し、 ヘッダ部の内容を解析し、トンネリング処理が必要である場合は、トンネリング手段 23 を起動する。それ以外の場合は、そのまま中継手段 22を起動する。
[0027] 中継手段 22は、通信元クライアント 4が送信したパケットの宛先を目的の接続要求 先に変換して、通信先サーバ（3a、 3b、 3c)に送信する中継処理を行う。また、通信 先サーバ（3a、 3b、 3c)から取得した応答パケットの宛先を通信元クライアント 4に送 信する中継処理を行う。パケット及び応答パケットを中継する場合に、ヘッダ部の内 容に変更する必要があれば、ヘッダ部を更新した後、送信処理を行う。たとえば、接 続要求情報に目的の接続要求先までに経由するサーバに関する経由情報が含まれ ており、経由情報に自装置（中継機サーバ 2)に関する情報が含まれているときには、 経由情報力も中継機サーバ 2に関する情報を削除する。また、これに対する通信先 サーバ（3a、 3b、 3c)からの応答パケットには、経由情報を付加して通信元クライアン ト 4に送信させる。
[0028] トンネリング手段 23は、通信元クライアント 4との間及び通信先サーバ（3a、 3b、 3c) との間の接続を確保し、接続が確保された後は、通信元クライアント 4から受信したパ ケットの宛先を通信先サーバ（3a、 3b、 3c)としただけでパケットの内容を操作せずに 送信し、同様に、通信先サーバ（3a、 3b、 3c)から受信した応答パケットも宛先を通 信元クライアントとしただけでパケットの内容を操作せずに送信する。このように、中継 機サーバ 2がパケットの内容を関知せずに、宛先を付け替えて中継する処理をトンネ リング処理とする。双方との接続を確保するネゴシエーション手順を含むトンネリング 処理の詳細については後述する。
[0029] 通信先サーバ A (3a)、通信先サーバ B (3b)及び通信先サーバ C (3c)は、通信元 クライアント 4がデータ通信を行う目的の接続先であって、中継機サーバ 2を経由して 通信元クライアント 4との間のデータ通信が行なわれる。
[0030] 通信元クライアント 4は、複数のアプリケーション、アプリケーション A (41a)、アプリ ケーシヨン B (41b)及びアプリケーション C (41c)を具備し、通信処理を行う通信処理 手段 42を具備する。なお、特に限定する必要がない場合は、アプリケーション (41a、 41b, 41c)と表記する。
[0031] アプリケーション（41a、 41b、 41c)は、それぞれ所定のアプリケーション処理を実 行し、必要に応じて通信先サーバ（3a、 3b、 3c)にアクセスするため、通信処理手段 42に対して目的の接続要求先の指定や接続要求先への要求などを記述した接続 要求情報を含むヘッダ部を作成し、通信処理手段 42に通信を依頼する。ヘッダ部は アプリケーションに応じて内容が異なる。また、使用する通信プロトコルも異なる場合 もある。たとえば、 WEBサーバに対して HTTPを用いて通信する場合や、さらに SSL を用いてセキュリティを確保して通信を行なう場合などがある。また、通信先サーバ（3 a、 3b、 3c)で発生するイベント情報を必要とする場合がある。
[0032] 通信処理手段 42は、アプリケーション（41a、 41b、 41c)からのリクエストによって、 ファイアウォール 1を超えて内部ネットワークに接続する通信先サーバ（3a、 3b、 3c) にアクセスする。アプリケーション（41a、 41b、 41c)力もヘッダ部を取得すると、必要 であれば、ヘッダ部の内容を変更し、集約ポートを宛先として接続要求情報を発行し て接続要求を行う。たとえば、ヘッダ部にパケットを中継する中継機サーバに関する 情報を設定する必要がある場合には、ヘッダ部に経由情報を付加した後、集約ポー トに向けてパケットを送信する。そして、応答として目的の接続要求先が作成した接 続結果情報を中継機サーバ 2経由で受信する。また、通信先サーバ（3a、 3b、 3c)の 任意のタイミングで発生するイベント情報が必要な場合、イベント情報が取得されるま で、イベント情報を要求するパケットを上記のような手順で繰り返し送信する。
[0033] なお、上記の説明の中継機サーノ 2の各処理手段は、コンピュータが中継処理プ ログラムを実行することによりその処理機能を実現する。また、上記の説明の通信元 クライアント 4の各処理手段及びアプリケーションは、コンピュータが通信処理プロダラ ム及びアプリケーションプログラムを実行することにより、その処理機能を実現する。
[0034] このような構成のファイアウォールシステムの動作につ!、て説明する。 ファイアウォール 1には、予め中継機サーバ 2の所定のポートが割り当てられる集約 ポート（8080)のみが許可設定されて 、る。
[0035] 通信元クライアント 4は、アプリケーション (41a、 41b、 41c)から接続要求情報を取 得すると、必要に応じて、中継を行う中継機サーバ 2に関する経由情報を付加するな どのヘッダ変換処理を行い、宛先を中継機サーバ 2の集約ポート（8080)に設定して パケットを送信する。
[0036] パケットを監視するファイアウォール 1は、宛先が集約ポート (8080)であるこのパケ ットの通過を許可し、パケットが中継機サーバ 2に受信される。
中継機サーバ 2では、ヘッダ取得手段 21が、ヘッダ部を読み出してその内容を解 祈し、トンネリング処理が必要であれば、トンネリング手段 23を起動する。
[0037] トンネリング処理が必要のない場合、中継手段 22がそのまま起動される。中継手段 22では、通信元クライアント 4から取得したパケットの接続要求情報に付加された経 由情報を削除するなどのヘッダ変換処理をした後、宛先を目的の接続要求先の通信 先サーバ（3a、 3b、 3c)に設定してパケットを送信する。そして、通信先サーバ（3a、 3b、 3c)から接続結果情報を含む応答パケットを受信すると、経由情報を付加するな どのヘッダ変換処理をした後、宛先を通信元クライアント 4に設定して送信する。
[0038] 一方、トンネリング処理を行う場合は、トンネリング手段 23が起動され、まず、通信 元クライアント 4との間及び目的の接続要求先である通信先サーバ（3a、 3b、 3c)との 間の双方の接続が確保される。双方との接続が確保された後は、通信元クライアント 4と通信先サーバ（3a、 3b、 3c)との間で交換されるパケットの宛先の付け替えを行い 、通信元クライアント 4から受信したパケットは通信先サーバ（3a、 3b、 3c)へ、通信先 サーバ（3a、 3b、 3c)から受信したパケットは通信元クライアント 4に送信する。
[0039] このように、中継機サーバは、接続要求情報に基づいて本来の接続要求先に対し てパケットを中継する中継処理を行うので、外部ネットワークに接続する通信元クライ アントからのリクエストを中継機サーバに一旦集約し、そこから本来の接続要求先で ある通信先サーバに配布させることができる。従って、所定のアプリケーションを実現 するために、ファイアウォールに許可設定しなければならないポート数を、最小で 1に 集約することができる。この結果、ファイアウォールにおけるポート管理を容易できる ば力りでなぐポート設定時のミスなどによるセキュリティホールの発生を回避すること ができる。システム規模にもよる力 従来、ファイアウォールに設定しなければならな いポート数は、数万個に及ぶ場合があり、これを最小で 1つに集約することができれ ば、セキュリティレベルの保持に多大な効果が期待できる。
[0040] 以下、第 1の実施の形態として、 HTTPに適用した場合を例に図面を参照して説明 する。 HTTPは、情報の転送を依頼するリクエストとそれに対するサーバのレスポンス 力 構成される。通信元クライアントは、 URLのパス名、 Webブラウザの種類、使用 言語などの情報を GETリクエストでサーバに送信し、応答としてサーノからデータや エラーコードなどを取得する。
[0041] 図 2は、第 1の実施の形態の構成を示す概略図である。図 1と同じものには同じ番 号を付し、説明は省略する。
中継機サーバ 2は、通信元クライアント 4a、 4b、 4cとの間で HTTPサーバ処理を行 う HTTPサーバ部 201と、通信先サーバ 3a、 3bとの間でリクエスト配信サービスを行 うリクエスト配信サービス部 202を有する。 HTTPサーバ処理部 201は、ファイアゥォ ール 1に許可設定されている集約ポートを介して通信元クライアント 4a、 4b、 4cから 入力されるパケットに応じて要求元の通信元クライアント 4a、 4b、 4cと接続し、バケツ トをリクエスト配信サービス部 202へ引き渡す。そして、リクエスト配信サービス部 202 力も受け取った応答パケットを要求先の通信元クライアント 4a、 4b、 4cへ送信する。リ タエスト配信サービス部 202は、本来の接続要求先である通信先サーバ 3a、 3bに対 し、 HTTPクライアントとして機能する。 HTTPサーバ部 201から引き渡された HTTP パケットの接続要求情報に従って宛先を目的の接続要求先 (通信先サーバ 3a、 3b) に変更して送信する。そして、応答として取得した応答パケットを HTTPサーバ部 20 1へ引き渡す。
[0042] 通信先サーバ 3a、 3bは、同様の構成をとり、 HTTPサーバ処理を行う HTTPサー バ部 301、リソース管理を行うリソースマネージャ一部 302を有する。 HTTPサーバ 3 01は、中継機サーバ 2を経由して取得した HTTPパケットを解析し、パケットが正常 であると認められれば、処理をリソースマネージャ一部 302へ引き渡し、得られたデ ータなどで応答パケットを作成して中継機サーノ 2へ送信する。リソースマネージャー 部 302は、データの読み出しなどのリクエスト処理を行って結果を HTTPサーバ部 3 01へ返す。
[0043] 通信元クライアント 4a、 4b、 4cは、同様の構成をとり、アプリケーション処理を行うァ プリケーシヨン部 401と、 HTTPクライアント処理を行う HTTPクライアント部 402を有 する。アプリケーション部 401は、所定のアプリケーション処理を行い、必要に応じて 、 HTTPクライアント部 402に対して通信先サーバ 3a、 3bへのアクセス要求を行う。 HTTPクライアント部 402は、アプリケーション部 401からアクセス要求を受けると、 H TTPのプロトコルに従って、通信先サーバ 3a、 3bに向けたリクエストパケットを作成 する。このとき、接続要求情報に目的の通信先サーバ（3a、 3b)を設定し、中継機サ ーバ 2の集約ポートを宛先にしてパケットを送信する。受信したパケットは、アプリケー シヨン部 401に引き渡す。
[0044] このようなファイアウォールシステムでは、たとえば、通信元クライアント 4aのアプリケ ーシヨン部 401で通信先サーバ 3aへのデータ要求が発生した場合、アプリケーショ ン部 401からリクエストによって HTTPクライアント 402でリクエストのパケットが作成さ れる。このパケットには、接続要求情報に目的の接続要求先 (通信先サーバ 3a)が設 定され、宛先を中継機サーバ 2の集約ポートとして送信される。このパケットは、集約 ポートが許可設定されるファイアウォール 1を通過し、中継機サーバ 2の HTTPサー バ部 201で受信され、リクエスト配信サービス部 202によって目的の接続要求先 (通 信先サーバ 3a)に宛先が変換されて送信される。通信先サーバ 3aは、 HTTPサーバ 部 301でこのパケットを受信し、リソースマネージャ一部 302がリクエスト処理を行った 結果の応答パケットが HTTPサーバ 301で作成され、中継機サーバ 2へ送信される。 中継機サーバ 2では、リクエスト配信サービス部 202は、宛先を通信元クライアント 4a に変換し、 HTTPサーバ 201より通信元クライアント 4aに送信される。そして、通信元 クライアント 4aでは、 HTTPクライアント 402が応答パケットを受信し、要求データがァ プリケーシヨン部 401に引き渡される。
[0045] ところで、ファイアウォール 1、中継機サーバ 2、通信先サーバ 3a、 3b、通信元クライ アント 4a、 4b、 4cは、コンピュータがプログラムを実行することにより処理機能を実現 する。各装置のハードウェア構成を通信元クライアントを例に説明する。図 3は、本実 施の形態の通信元クライアントのハードウェア構成例を示すブロック図である。
[0046] 通信元クライアント 4は、 CPU (Central Processing Unit) 101によって装置全体が 制御されている。 CPU101には、バス 107を介して RAM (Random Access Memory) 102、ハードディスクドライブ（HDD : Hard Disk Drive) 103、グラフィック処理装置 10 4、入力インタフェース 105、通信インタフェース 106が接続されている。
[0047] RAM102には、 CPU101に実行させる OS (Operating System)のプログラムゃァ プリケーシヨンプログラムの少なくとも一部が一時的に格納される。また、 RAM102に は、 CPU101による処理に必要な各種データが格納される。 HDD103には、 OSや アプリケーションのプログラムが格納される。グラフィック処理装置 104には、モニタ 1 08が接続されており、 CPU101からの命令に従って画像をモニタ 108の画面に表示 させる。入力インタフェース 105には、キーボード 109aやマウス 109bが接続されて おり、キーボード 109aやマウス 109bから送られてくる信号を、バス 107を介して CP U101に送信する。通信インタフェース 106は、ネットワーク 5に接続されており、ネッ トワーク 5を介して中継機サーバ 2との間でデータの送受信を行う。
[0048] このようなハードウェア構成によって、本実施の形態の処理機能を実現することがで きる。なお、図 3には、通信元クライアントのハードウェア構成を示した力 ファイアゥォ ール、中継機サーバ、通信先サーバのハードウェア構成も同様である。
[0049] 次に、中継機サーバのソフトウェアモジュール構成について説明する。図 4は、実 施の形態の中継機サーバのソフトウェアモジュール構成例を示した図である。
中継機サーバ 2の中継機機能を実現するため、 HTTPセッション 210は、 HTTPS トンネリング 211、リクエスト 212、レスポンス 213、チャンク入力ストリーム 214、チャン ク出カストリーム 215、 HTTPヘッダ 216、サイズ管理入力ストリーム 217、サイズ管 理出カストリーム 218及び GZIPレスポンス 219などのモジュール群を有する。
[0050] HTTPセッション 210では、通信を確立するための情報を生成するなど、 HTTP通 信全般を管理する。 HTTPSトンネリング 211は、 SSLが適用された場合に、トンネリ ング処理を制御する。リクエスト 212は、通信元クライアントから通信先サーバへ流れ るデータ通信を管理するモジュールで、要求側のクライアントから送られるデータの 流れを管理するチャンク入力ストリーム 214と、処理側の通信先サーバから送られる データの流れを管理するチャンク出力ストリーム 215と、 HTTPヘッダ操作を行う HT TPヘッダ 216によりデータ制御を行う。レスポンス 213は、通信先サーバから通信元 クライアントへ流れるデータ通信を管理するモジュールで、通信先サーバへ送られる データストリームの制御を行うサイズ管理入力ストリーム 217と、通信先サーバから送 られるデータストリームの制御を行うサイズ管理出力ストリーム 218と、 HTTPヘッダ 2 16によりデータ制御を行う。また、必要に応じて、 GZIPレスポンス 219により圧縮デ 一タが復号される。
[0051] 以上の構成の中継機サーバにおける HTTPの中継処理の動作について説明する 。図 5は、実施の形態の HTTPの中継処理の流れを示した図である。
(1)通信元クライアント 4から通信先サーバ 3に対する接続要求が、中継機サーバ 2 を宛先として発行される。接続要求の際には、接続要求情報として、目的の接続要求 先が設定されている。
[0052] (2)中継機サーバ 2が、通信元クライアント 4が発行した接続要求を受信し、その内 容の確認を行う。
(3)中継機サーバ 2は、接続要求が確認されたら、接続要求情報の内容を目的の 接続要求先に合わせて更新する。たとえば、接続要求情報に中継機サーバ 2に関す る経由情報が含まれていた場合、これを削除する。
[0053] (4)中継機サーバ 2は、更新した接続要求情報を、目的の接続要求先の通信先サ ーバ 3を宛先として送信する。
(5)通信先サーバ 3は、中継機サーバ 2により中継された通信元クライアント 4からの 接続要求を受信し、所定の処理実行後、接続結果を中継機サーバ 2に向けて送信 する。
[0054] (6)中継機サーバ 2は、通信先サーバ 3の接続結果を受信し、取得した接続結果情 報の内容を通信元クライアントに合わせて更新する。たとえば、中継機サーバ 2に関 する経由情報を削除していた場合、中継情報を追加する。
[0055] (7)中継機サーバ 2は、更新した接続結果情報を通信元クライアント 4に送信する。
以上の手順により、一連の通信処理が実行される。
ここで、接続要求情報 (HTTPヘッダ)の変換にっ 、て例をあげて説明する。 [0056] まず、通信元クライアント 4におけるヘッダ変換処理について説明する。図 6は、実 施の形態の通信元クライアントの接続要求情報 (HTTPヘッダ）の変換例を示す図で ある。
[0057] 通信元クライアント 4では、アプリケーションに応じて作成されるオリジナルの HTTP ヘッダ 501と、目的の接続要求先を示す要求アドレスと中継機サーバを示す中継機 アドレスのアドレス情報 502とを用いて、 HTTPヘッダに経由情報が付加されたクライ アント変換 HTTPヘッダ 503を作成する。
[0058] 第 1に、オリジナルの GET命令に目的の接続要求先を付加して変換する。図の例 では、オリジナル HTTPヘッダ 501に示す GET命令 [GETZindex. htmlHTTP/ 1. 0]に目的の接続先の [www. def. co. jp]を付カ卩し、クライアント変換 HTTPへッ ダ 503に示す [GETZhttp : ZZwww. def. co. jp/index. htmlHTTP/1. 0] に変換する。
[0059] また、接続要求先を目的の接続要求先力も中継機サーバに変換する。図の例では
、オリジナル HTTPヘッダ 501に示す目的の接続要求先を表す [Host: www. def. co. jp]から、クライアント変換 HTTPヘッダ 503に示す中 ϋ機サーバを表す [Host: proxy, abc. co. jp]に変換する。
[0060] 以上の手順が通信元クライアント 4で実行されることにより、宛先を中継機サーバ 2と し、目的の接続要求先が設定される HTTPヘッダが作成され、中継機サーバ 2に送 信される。
[0061] 中継機サーバ 2は、通信元クライアント 4力もクライアント変換 HTTPヘッダ 503を受 信し、ヘッダの変換を行う。図 7は、実施の形態の中継機サーバの接続要求情報 (H TTPヘッダ）の変換例を示す図である。
[0062] 中継機サーバ 2では、まず、 GET命令に付加された目的の接続要求先を削除する 。図の例では、クライアント変換 HTTPヘッダ 503の [GETZhttp : ZZwww. def. co. jp/index. htmlHTTP/1. 0]力ら [www. def. co. jp]を削除し、サーバ変 換 HTTPヘッダ 504に示す [GETZindex. htmlHTTP/1. 0]に変換する。
[0063] さらに、接続要求先を変換する。図の例では、クライアント変換 HTTPヘッダ 503に 示す中継機サーバを表す [Host: proxy, abc. co. jp]からサーバ変換 HTTPへッ ダ 504に示す目的の接続要求先を示す目的の接続要求先を表す [Host: www. de f. co. jp]に変換する。
[0064] 以上の手順が中継機サーバ 2で実行されることにより、中継処理のため通信元クラ イアント 4で付加された情報が削除され、本来のオリジナル HTTPヘッダと同じものが 作成される。
[0065] こうして、オリジナル HTTPヘッダが目的の接続要求先に送信される。また、目的の 接続要求先カゝら送信される応答パケットの HTTPヘッダにも同様の操作が行われ、 中継機サーバ 2を経由して通信元クライアント 4に送信される。
[0066] ところで、 HTTPでは、セキュリティ機能として、 SSL通信プロトコルが用いられる場 合がある。 SSLは、 TCP層とアプリケーション層間に位置し、上位の HTTPなどのデ ータを暗号化して送信する。 SSLを用いたデータ通信では、盗聴した場合には内容 を解釈することが非常に困難であり、改ざんすることも難しぐ安全にデータを転送す るために広く用いられている。このため、接続情報とその通信内容は対象となる接続 元と接続先しか所有することができず、上記の説明のように HTTPヘッダを解析し変 更することができない。そこで、 SSL通信の内容に触れることなぐ通信の接続元と接 続先を中継するトンネリング通信機能を実現する。
[0067] まず、 SSL通信手順について説明する。図 8は、本実施の形態における SSL通信 手順にっ 、て示した図である。
最初に、 SSL通信処理を行うため、通信元クライアント 4、中継機サーバ 2及び通信 先サーバ 3間の接続を確立するトンネリング初期化手順が行われ、続いてトンネリン グ初期化が完了した後の SSL通信手順が行われる。
[0068] トンネリング初期化手順は、通信元クライアント 4から中継機サーバ 2に向けて通信 先サーバ 3との間の SSLトンネリング通信を要求するトンネリング要求 601が送信され て、開始される。中継機サーバ 2は、通信元クライアント 4との接続を確保するとともに 、通信先サーバ 3の SSLサーバソケットに対する接続要求 602を行い、通信先サー ノ 3との接続を確立する。通信先サーバ 3との接続が確立された後、トンネリング初期 化完了 603を通信元クライアント 4に送信する。
[0069] 以上の手順により、通信元クライアント 4と中継機サーバ 2間の接続及び中継機サ ーバ 2と通信先サーバ 3間の接続が確保される。すなわち、中継機サーバ 2を介して 通信元クライアント 4と通信先サーバ 3間の SSL通信の接続が確立される。
[0070] SSL通信手順は、中 «機サーバ 2を介して通信元クライアント 4と通信先サーノ 3の SSL通信の接続が確立されると開始される。通信元クライアント 4から SSLハンドシェ ーク開始 604が送信されると、中継機サーバ 2経由で通信先サーノ 3が受信し、ハン ドシェークが行われる。ハンドシェークが終了すると、 SSL通信が開始され (605)、そ の結果が返る（606)。この間、中継機サーバ 2は、通信元クライアント 4から中継機サ ーバ 2のソケットに向けて送信されたパケットを通信先サーバ 3の SSLサーバソケット に変換して送るとともに、通信先サーバ 3から送信された結果を通信元クライアント 4 に送信するソケット変換処理が行われる。このとき、中継機サーバ 2では、ソケット変 換を行うのみで、データ操作は行わない。
[0071] 以上の手順が実行されることにより、 SSL通信内容に触れることなぐ通信の接続 元と接続先を中継することができる。
ここで、 SSLトンネリング初期化手順について詳細に説明する。図 9は、本実施の 形態の SSLトンネリング通信の流れを示した図である。
[0072] SSL通信を行なう際、通信内容は接続元と接続先により暗号化されており、中継機 サーバで通信内容を把握することは非常に困難である。しかしながら、 SSL通信が開 始される際には、接続要求として HTTPヘッダの最初の 1行に「CONNECT」という 文字が記述される。そこで、「CONNECT」の文字列に基づき、 SSL通信であるかど うかを判断することができる。
[0073] (1)通信元クライアント 4から中継機サーノ 2を経由して、 SSL通信のための接続要 求が発行される。このときの HTTPヘッダの最初の 1行には、接続を要求する「CON NECTJが記述されて!、る。
[0074] (2)中継機サーバ 2は、接続要求を受信し、その接続要求内容を確認する。
(3)中継機サーバ 2は、「CONNECT」の検出により、 SSLトンネリング通信である と判断し、 SSLトンネリング処理を開始する。このとき、既に接続元の通信元クライア ント 4からの接続要求を所有して 、るため、通信先サーバ 3の SSLサーバソケットに対 して接続要求を発行する。 [0075] (4)通信先サーバ 3から接続結果が返る。
(5)中継機サーバ 2は、トンネリング通信を行うために、その接続を確保する。
(6)中継機サーバ 2は、トンネリング通信を行うために、通信元クライアント 4からの 接続要求（1)に応じて、通信元クライアント 4との接続を確立し、その接続状態を確保 しておく。
[0076] (7)中継機サーバ 2は、通信先サーバ 3から受信した接続結果 (4)を途中で取得し てしまったので、接続元である通信元クライアント 4に対して接続要求が通ったことを 接続先の通信先サーバ 3に代わって代行通知する。
[0077] (8)以上の手順により、中 «I機サーバ 2と通信先サーバ 3との間で、 SSL通信のた めの接続が確立され、 SSL通信処理が開始される。
(9)以上の手順により、中 «機サーバ 2と通信元クライアント 4との間で、 SSL通信 のための接続が確立され、 SSL通信処理が開始される。
[0078] その後、中継機サーバ 2は、接続が確保されている接続元 (通信元クライアント 4)か らの接続に対して接続先 (通信先サーバ 3)の結果を返し、接続先 (通信先サーバ 3) 力 の接続に対しては接続元 (通信元クライアント 4)の結果を渡す。
[0079] 具体例を用いて説明する。図 10は、本実施の形態の SSLトンネリング通信の通信 例を示した図である。
通信元クライアント 4からは、通信先サーバ 3を要求アドレス、中継機サーバ 2を中 継機アドレスに設定して、オリジナルの HTTPSヘッダ 510が作成され、中継機サー バ 2を宛先として送信される。なお、 SSL通信プロトコルに従った HTTPヘッダを以下 では、 HTTPSヘッダと表記する。 1^?3へッダ510は、最初の 1行を除いて暗号 化され、中継機サーバ 2では解読できないので、ヘッダ変換は行われない。こうして、 オリジナルの HTTPSヘッダ 510力 中継機サーバ 2に受信される。
[0080] 中継機サーバ 2では、 HTTPSヘッダ 510の最初の 1行を解読し、 SSL通信である ことを判定し、接続要求先 HYPERLINK "http://www.xyz.com" (www. xyz. com) を取得する。そこで、要求アドレスを HTTPSヘッダ 510から取得した通信先サーバ 3 (www. xyz. com)として、受信した HTTPSヘッダ 510をそのまま送信する。
[0081] また、通信先サーバ 3からの接続承認も、中継機サーノ 2を経由して通信元クライア ント 4に転送されるが、中継機サーバ 2では、宛先のみを通信元クライアントとし、内容 はそのまま転送する。
[0082] 以上のように、中継機サーバ 2は、中継する通信元クライアント 4及び通信先サーバ 3から受信したパケットについて、互いの転送先の接続以外の内容に変更を加えるこ となぐ転送先に転送する。従って、転送先の接続以外には暗号ィ匕通信名内容に変 更をカ卩えることはない。このように、 SSLトンネリング機能により、 SSLを使用した安全 性の高い通信を確保しつつ、通信の中継を行なうことが可能となり、ファイアウォール に許可設定するポートを最小とすることができる。
[0083] ところで、データ通信には、通信元クライアント側力も接続要求が発生して実行され る通信とともに、サーバ側に発生したイベントによって開始される通信がある。以下、 このようなサーバ側のイベントによって開始される通信をイベント通知とする。従来、フ アイァウォールを介してイベント通知を行う場合には、イベント通知のためのポートを ファイアウォールに設定しなければならな力つた力 本発明の実施の形態では、通信 元クライアントからのデータ通信に使用する集約ポートを用いてイベント通知を行う。
[0084] 以下、集約ポートを用いたイベント通知について説明する。
図 11は、本実施の形態のイベント通知手順を示した図である。
通信先サーバ 3では、イベント監視機能を開始し、イベントの発生を監視している。 そして、イベント通知 703を受けると、その内容を装置内に一時格納しておく。
[0085] イベント通知を受ける通信元クライアント 4は、イベント取得処理を開始し、イベント 取得通知 701を、中継機サーバ 2を経由して通信先サーバ 3に対して発行する。中 継機サーバ 2は、中継処理を行ってイベント取得通知 701を通信先サーバ 3に転送 する。図の例では、イベント取得通知 701が発行された時点では、通信先サーバ 3は イベント通知を受けていないので、イベント取得通知 701に対する応答として、「ィべ ント無」の結果通知 702が発行される。「イベント無」の結果通知 702は、中継機サー ノ 2により中継処理され通信元クライアント 4に受信される。
[0086] 通信元クライアント 4は、イベント結果が得られな力つたので、適当なタイミングで再 びポーリングをかけ、イベント取得通知 704を発行する。中継機サーバ 2は、中継処 理を行ってイベント取得通知 704を通信先サーバ 3に転送する。図の例では、ィベン ト取得通知 704が発行された時点では、通信先サーバ 3はイベント通知 703を取得し 、その情報を一時保存しているので、イベント取得通知 704に対する応答として、「ィ ベント発生」の結果通知 705が発行される。「イベント発生」の結果通知 705は、中継 機サーバ 2により中継処理され通信元クライアント 4に受信される。こうして、通信元ク ライアント 4は、イベントの通知を取得する。
[0087] このように通信元クライアント側からのポーリング処理によってイベント通知を取得す ることで、集約ポートを介してイベント通知を行うことができる。
ファイアウォールに許可設定するポートが少な 、ほど、セキュリティを確保することが できるので、このように、通信元クライアント 4から所定のタイミングでイベント取得要求 を行うことによって、集約ポートを介してイベント通知を行うことができる。この結果、フ アイァウォールに許可設定するポート^^約することが可能となり、ファイアウォール のセキュリティホールの発生を防止することができる。
[0088] なお、上記の処理機能は、サーバコンピュータとクライアントコンピュータとによって 実現することができる。その場合、中継機サーバが有すべき機能の処理内容を記述 したサーバプログラム、及び通信元クライアントが有すべき機能の処理内容を記述し たクライアントプログラムが提供される。サーバプログラムをサーバコンピュータで実行 することにより、中継機サーバの処理機能がサーバコンピュータ上で実現される。ま た、通信処理プログラムをクライアントコンピュータで実行することにより、通信元クライ アントの処理機能がクライアントコンピュータ上で実現される。
[0089] 処理内容を記述したサーバプログラムやクライアントプログラムは、コンピュータで読 み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な 記録媒体としては、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリなど がある。磁気記録装置には、ハードディスク装置 (HDD)、フレキシブルディスク（FD )、磁気テープなどがある。光ディスクには、 DVD (Digital Versatile Disc)、 DVD-R AM (Random Access Memory;、 CD— ROM (Compact Disc Read Only Memory)、 C D— R (Recordable) ZRW (Rewritable)などがある。光磁気記録媒体には、 MO ( Magneto-Optical disk)などがある。
[0090] サーバプログラムやクライアントプログラムを流通させる場合には、たとえば、各プロ グラムが記録された DVD、 CD— ROMなどの可搬型記録媒体が販売される。また、ク ライアントプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを 介して、サーバコンピュータからクライアントコンピュータにクライアントプログラムを転 送することちでさる。
[0091] サーバプログラムを実行するサーバコンピュータは、たとえば、可搬型記録媒体に 記録されたサーバプログラムを、自己の記憶装置に格納する。そして、サーバコンビ ユータは、自己の記憶装置力 サーバプログラムを読み取り、サーバプログラムに従 つた処理を実行する。なお、サーバコンピュータは、可搬型記録媒体から直接サーバ プログラムを読み取り、そのサーバプログラムに従った処理を実行することもできる。
[0092] クライアントプログラムを実行するクライアントコンピュータは、たとえば、可搬型記録 媒体に記録されたクライアントプログラムもしくはサーバコンピュータ力も転送されたク ライアントプログラムを、自己の記憶装置に格納する。そして、クライアントコンビユー タは、自己の記憶装置力 クライアントプログラムを読み取り、クライアントプログラムに 従った処理を実行する。なお、クライアントコンピュータは、可搬型記録媒体から直接 クライアントプログラムを読み取り、そのクライアントプログラムに従った処理を実行す ることもできる。また、クライアントコンピュータは、サーバコンピュータ力 クライアント プログラムが転送される毎に、逐次、受け取ったクライアントプログラムに従った処理 を実行することちできる。
[0093] 上記については単に本発明の原理を示すものである。さらに、多数の変形、変更が 当業者にとって可能であり、本発明は上記に示し、説明した正確な構成および応用 例に限定されるものではなぐ対応するすべての変形例および均等物は、添付の請 求項およびその均等物による本発明の範囲とみなされる。
符号の説明
[0094] 1 ファイアウォール
2 中継機サーバ
3a 通信先サーバ A
3b 通信先サーバ B
2c 通信先サーバ C 通信元クライアント
接続要求情報 (ヘッダ)取得手段 中継手段
トンネリング手段
a アプリケーション A
b アプリケーション B
c アプリケーション C
通信処理手段

Claims

請求の範囲
[1] 外部ネットワークと内部ネットワークとの接続点に設置されて通信管理を行うファイア ウォールを経由するデータ通信を中継する中継処理プログラムにおいて、
コンピュータを、
アクセスを許可する 1または複数のポートを集約した集約ポートが許可設定される 前記ファイアウォールが、前記外部ネットワークに接続する通信元クライアントが前記 内部ネットワーク内の目的の接続要求先との接続要求時に前記集約ポートを宛先と して発行する接続要求情報を通過させると、前記集約ポートを介して入力される前記 目的の接続要求先を含む前記接続要求情報を取得する接続要求情報取得手段、 前記接続要求情報から前記目的の接続要求先を抽出し、前記目的の接続要求先 を宛先として前記接続要求情報を送信して接続要求を行うとともに、前記目的の接 続要求先力 接続結果情報を受信して前記通信元クライアントに送信する中継手段 として機能させることを特徴とする中継処理プログラム。
[2] 前記コンピュータを、
前記通信元クライアントから取得した前記接続要求情報に基づき、一旦前記通信 元クライアントとの間の接続を確保してから、前記通信元クライアントの前記接続要求 情報を前記目的の接続要求先に送信して前記目的の接続要求先との間の接続を行 い、前記通信元クライアントとの間及び前記目的の接続要求先との間の接続を確立 した後、それぞれの接続を確保した状態で、前記通信元クライアントから受信したパ ケットを前記中継手段によって前記目的の接続要求先に送信するとともに、前記目 的の接続要求先力 受信した応答パケットを前記通信元クライアントに送信させるトン ネリング手段、
として機能させることを特徴とする請求の範囲第 1項記載の中継処理プログラム。
[3] 前記トンネリング手段に、
前記通信元クライアントとの間の接続及び前記目的の接続要求先との間の接続が 確保された後の通信では、中継するパケットの転送先のみを変換させ、パケット内容 は変更させない、 ことを特徴とする請求の範囲第 2項記載の中継処理プログラム。
[4] 前記接続要求情報取得手段に、
前記通信元クライアントから取得した前記接続要求情報を解析し、 SSL (Secure Sockets Layer)通信による接続要求である場合に、前記トンネリング手段を起動させ る、
ことを特徴とする請求の範囲第 2項記載の中継処理プログラム。
[5] 前記中継手段に、
前記目的の接続要求先に前記接続要求情報を送信する場合及び前記通信元クラ イアントに前記接続結果情報を送信する場合に、宛先の前記目的の接続要求先また は前記通信元クライアントが必要な情報を付加、もしくは不必要な情報を削除して前 記接続要求情報の内容を更新して力 送信させる、
ことを特徴とする請求の範囲第 1項記載の中継処理プログラム。
[6] 前記中継手段に、
前記接続要求情報取得手段が取得した前記接続要求情報に HTTP (HyperteXt Transfer Protocol)に従って前記集約ポートを備える中継装置に関する経由情報が 含まれている場合には、前記接続要求情報から前記経由情報を削除した後、前記中 継手段によって前記目的の接続要求先に送信させるとともに、前記目的の接続要求 先からの前記接続結果情報に前記経由情報を付加した後、前記通信元クライアント に送信させる、
ことを特徴とする請求の範囲第 5項記載の中継処理プログラム。
[7] 外部ネットワークと内部ネットワークとの接続点に設置されて通信管理を行うファイア ウォールを越えて前記内部ネットワークに接続するサーバとの通信処理を行う通信処 理プログラムにおいて、
コンピュータを、
アクセスを許可する 1または複数のポートを集約した中継機サーバの集約ポートが 許可設定される前記ファイアウォールを超えて前記内部ネットワークに接続する目的 の接続要求先にアクセスする場合に、前記目的の接続要求先を含む接続要求情報 を作成し、前記集約ポートを宛先として前記接続要求情報を発行して接続要求を行 うとともに、前記集約ポートを具備する中継機サーバによって前記目的の接続要求先 に中継された前記接続要求情報に対して前記目的の接続要求先が作成した接続結 果情報を前記中継機サーバ経由で受信する通信処理手段、
として機能させることを特徴とする通信処理プログラム。
[8] 前記通信処理手段に、
所定のアプリケーション力 前記目的の接続要求先に関する情報と前記目的の接 続要求先で発生する所定のイベント情報の取得要求を含む接続要求情報を取得す ると、前記イベント情報の取得要求を含む接続要求情報に前記目的の接続要求先を 設定して前記集約ポートを宛先として送信して応答を取得する手順を、前記イベント 情報が取得されるまで、所定のタイミングで繰り返し実行させる、
ことを特徴とする請求の範囲第 7項記載の通信処理プログラム。
[9] 前記通信処理手段に、
所定のアプリケーション力 前記目的の接続要求先に関する情報と前記目的の接 続要求先に対する接続要求情報を取得すると、前記接続要求情報に前記中継機サ ーバに関する経由情報を付加して前記接続要求情報を変換した後、前記集約ポー トを宛先として変換した前記接続要求情報を送信させる、
ことを特徴とする請求の範囲第 7項記載の通信処理プログラム。
[10] 外部ネットワークと内部ネットワークとの接続点に設置され、予め許可設定がされた ポートのパケットのみを通過させるファイアウォールを有するファイアウォールシステム において、
アクセスを許可する 1または複数のポートを集約した集約ポートが許可設定され、前 記外部ネットワークに接続する通信元クライアントからのアクセスを捕捉し、前記集約 ポートを宛先とするアクセスのみを通過させるファイアウォールと、
前記ファイアウォールを越えて前記内部ネットワークに接続する目的の接続要求先 にアクセスする場合に、前記目的の接続要求先を含む接続要求情報を作成し、前記 集約ポートを宛先として前記接続要求情報を発行して接続要求を行うとともに、前記 目的の接続要求先の作成した前記接続要求情報に対する接続結果情報を受信す る通信元クライアントと、 前記集約ポートが設定され、前記ファイアウォールが通過させた前記通信元クライ アントからの前記接続要求情報を取得する接続要求情報取得手段と、取得した前記 接続要求情報に基づき、宛先を前記目的の接続要求先に変更して前記接続要求情 報を送信するとともに、前記目的の接続要求先から前記接続結果情報を受信して前 記通信元クライアントに送信する中継手段と、を具備する中継機サーバと、
を有し、
前記通信元クライアントが発行した前記接続要求情報を前記中継機サーバが集約 して取得して前記目的の接続要求先に振り分けるとともに、それぞれの前記目的の 接続要求先の作成した前記接続結果情報が前記中継機サーバによって接続要求を 行った前記通信元クライアントに中継されることを特徴とするファイアウォールシステ ム。
PCT/JP2004/019035 2004-12-20 2004-12-20 中継処理プログラム及び通信処理プログラム、並びにファイアウォールシステム WO2006067831A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
EP04807392A EP1840748A4 (en) 2004-12-20 2004-12-20 REPETITION PROGRAM, COMMUNICATION PROGRAM, AND FIREWALL SYSTEM
JP2006548631A JP4570628B2 (ja) 2004-12-20 2004-12-20 システム、中継処理プログラム、中継装置、中継処理方法、通信処理プログラム、通信装置及び通信処理方法
PCT/JP2004/019035 WO2006067831A1 (ja) 2004-12-20 2004-12-20 中継処理プログラム及び通信処理プログラム、並びにファイアウォールシステム
US11/818,215 US7644164B2 (en) 2004-12-20 2007-06-13 Relay program, communication processing program, and firewall system

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2004/019035 WO2006067831A1 (ja) 2004-12-20 2004-12-20 中継処理プログラム及び通信処理プログラム、並びにファイアウォールシステム

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US11/818,215 Continuation US7644164B2 (en) 2004-12-20 2007-06-13 Relay program, communication processing program, and firewall system

Publications (1)

Publication Number Publication Date
WO2006067831A1 true WO2006067831A1 (ja) 2006-06-29

Family

ID=36601444

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2004/019035 WO2006067831A1 (ja) 2004-12-20 2004-12-20 中継処理プログラム及び通信処理プログラム、並びにファイアウォールシステム

Country Status (4)

Country Link
US (1) US7644164B2 (ja)
EP (1) EP1840748A4 (ja)
JP (1) JP4570628B2 (ja)
WO (1) WO2006067831A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2013002100A1 (en) * 2011-06-29 2013-01-03 Canon Kabushiki Kaisha Image processing apparatus, control method therefor and storage medium
JP2019062512A (ja) * 2017-09-27 2019-04-18 有限会社シモウサ・システムズ エンドツーエンド暗号化通信システム

Families Citing this family (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
TWI376923B (en) * 2008-07-24 2012-11-11 Ind Tech Res Inst One-way media streaming system and method thereof
JP5561173B2 (ja) * 2009-02-03 2014-07-30 日本電気株式会社 アプリケーションスイッチシステム、及びアプリケーションスイッチ方法
JP5473474B2 (ja) * 2009-08-17 2014-04-16 キヤノン株式会社 通信装置、通信方法、プログラム
US20110289227A1 (en) * 2010-05-18 2011-11-24 Bruce Hsu Method of multi-terminal connection traversing nat without third party interfacing
CN102377629B (zh) 2010-08-20 2014-08-20 华为技术有限公司 终端穿越私网与ims核心网中服务器通信的方法、装置及网络系统
CN104168173B (zh) * 2010-08-20 2018-01-16 华为技术有限公司 终端穿越私网与ims核心网中服务器通信的方法、装置及网络系统
US9710425B2 (en) 2010-12-13 2017-07-18 Vertical Computer Systems, Inc. Mobile proxy server for internet server having a dynamic IP address
US10305915B2 (en) 2010-12-13 2019-05-28 Vertical Computer Systems Inc. Peer-to-peer social network
US9112832B1 (en) 2010-12-13 2015-08-18 Vertical Computer Systems, Inc. System and method for running a web server on a mobile internet device
WO2012170705A1 (en) * 2011-06-07 2012-12-13 Vertical Computer Systems, Inc. System and method for running an internet server behind a closed firewall
JP6167579B2 (ja) * 2013-03-14 2017-07-26 株式会社リコー 情報システム、ファイルサーバ、情報システムの制御方法及びファイルサーバの制御方法、並びに、それら方法のプログラム及びそのプログラムを記録した記録媒体
JP6256442B2 (ja) * 2015-09-29 2018-01-10 コニカミノルタ株式会社 画像処理システム、接続仲介サーバー、中継サーバー及びプログラム
KR101830792B1 (ko) * 2016-01-27 2018-02-21 건국대학교 산학협력단 항균 펩타이드를 포함하는 불용성 융합단백질 및 이를 이용한 항균 펩타이드의 제조 방법

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2001076187A1 (en) 2000-04-04 2001-10-11 Global Knowledge Network Methods and apparatus usable with or applicable to the use of the internet
US20020078371A1 (en) 2000-08-17 2002-06-20 Sun Microsystems, Inc. User Access system using proxies for accessing a network
JP2002288098A (ja) * 2001-03-23 2002-10-04 Hitachi Kokusai Electric Inc プレゼンテーションシステム方法とその装置
JP2003030064A (ja) * 2001-07-10 2003-01-31 Hirotomo Okazawa ネットワークシステム及び通信方法
JP2004222181A (ja) * 2003-01-17 2004-08-05 Toshiba Corp Ｈｔｔｐトンネリングサーバを用いた通信方法および通信装置、プログラム

Family Cites Families (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3591753B2 (ja) 1997-01-30 2004-11-24 富士通株式会社 ファイアウォール方式およびその方法
US6006268A (en) * 1997-07-31 1999-12-21 Cisco Technology, Inc. Method and apparatus for reducing overhead on a proxied connection
US7136359B1 (en) * 1997-07-31 2006-11-14 Cisco Technology, Inc. Method and apparatus for transparently proxying a connection
US6473406B1 (en) * 1997-07-31 2002-10-29 Cisco Technology, Inc. Method and apparatus for transparently proxying a connection
US6421732B1 (en) * 1998-08-27 2002-07-16 Ip Dynamics, Inc. Ipnet gateway
JP2000163346A (ja) * 1998-11-27 2000-06-16 Nippon Telegr & Teleph Corp <Ntt> セッション識別方法およびセッション管理方法、ならびにそれを実現するための情報提供システムとそのプログラムを記録した記録媒体
JP2000215137A (ja) * 1999-01-21 2000-08-04 Hitachi Ltd 遠隔端末制御方法
US7016348B2 (en) * 2001-08-28 2006-03-21 Ip Unity Method and system for direct access to web content via a telephone
JP2004048520A (ja) * 2002-07-15 2004-02-12 Hitachi Ltd ポートアクセス制御システム
KR20040093656A (ko) * 2002-07-29 2004-11-06 아이피 토크 가부시키가이샤 인터넷 통신 시스템 및 인터넷 통신 방법 및 세션 관리서버 및 무선 통신 장치 및 통신 중계 서버 및 프로그램

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2001076187A1 (en) 2000-04-04 2001-10-11 Global Knowledge Network Methods and apparatus usable with or applicable to the use of the internet
US20020078371A1 (en) 2000-08-17 2002-06-20 Sun Microsystems, Inc. User Access system using proxies for accessing a network
JP2002288098A (ja) * 2001-03-23 2002-10-04 Hitachi Kokusai Electric Inc プレゼンテーションシステム方法とその装置
JP2003030064A (ja) * 2001-07-10 2003-01-31 Hirotomo Okazawa ネットワークシステム及び通信方法
JP2004222181A (ja) * 2003-01-17 2004-08-05 Toshiba Corp Ｈｔｔｐトンネリングサーバを用いた通信方法および通信装置、プログラム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP1840748A4

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2013002100A1 (en) * 2011-06-29 2013-01-03 Canon Kabushiki Kaisha Image processing apparatus, control method therefor and storage medium
JP2013010257A (ja) * 2011-06-29 2013-01-17 Canon Inc 画像処理装置、その制御方法、及びプログラム
US9122482B2 (en) 2011-06-29 2015-09-01 Canon Kabushiki Kaisha Image processing apparatus, control method therefor and storage medium
JP2019062512A (ja) * 2017-09-27 2019-04-18 有限会社シモウサ・システムズ エンドツーエンド暗号化通信システム
JP7203297B2 (ja) 2017-09-27 2023-01-13 有限会社シモウサ・システムズ エンドツーエンド暗号化通信システム

Also Published As

Publication number Publication date
EP1840748A1 (en) 2007-10-03
US7644164B2 (en) 2010-01-05
JPWO2006067831A1 (ja) 2008-06-12
US20080028078A1 (en) 2008-01-31
JP4570628B2 (ja) 2010-10-27
EP1840748A4 (en) 2012-08-22

Similar Documents

Publication Publication Date Title
US7644164B2 (en) Relay program, communication processing program, and firewall system
JP4307448B2 (ja) 分散オブジェクトを単一表現として管理するシステムおよび方法
JP5372083B2 (ja) クライアント側の加速技術を提供するシステムおよび方法
JP4734592B2 (ja) クライアントリダイレクトによるプライベートネットワークへの安全なアクセス提供方法およびシステム
US7587467B2 (en) Managed peer-to-peer applications, systems and methods for distributed data access and storage
JP4738344B2 (ja) リモートアプリケーションディスカバリのためのウェブサービス
US7024497B1 (en) Methods for accessing remotely located devices
US8311225B2 (en) Scalable key archival
JP5293580B2 (ja) ウェブサービスシステム、ウェブサービス方法及びプログラム
BR0000702B1 (pt) Sistema e método para transmissão segura de um arquivo contendo um programa de computador
JP5445262B2 (ja) 検疫ネットワークシステム、検疫管理サーバ、仮想端末へのリモートアクセス中継方法およびそのプログラム
WO2004112312A1 (ja) ユーザ認証システム
US20040093607A1 (en) System providing operating system independent access to data storage devices
US11729334B2 (en) Communication system, device, and recording medium for remote access to electronic device through relaying device and converter
US10447818B2 (en) Methods, remote access systems, client computing devices, and server devices for use in remote access systems
JP2007505409A (ja) プロトコルゲートウェイでソフトウェアを動的に更新するシステム及び方法
JP4541994B2 (ja) 制御装置、制御方法及びプログラム
WO2000028428A1 (en) Agent method and computer system
CN111988269A (zh) 经由分布式数据存储库提供授权信息的策略管理系统
JP2003108503A (ja) データ提供方法、データ取得方法、データ提供サーバ、データ提供プログラム、データ取得プログラム及び記憶媒体
JP2019092106A (ja) ネットワーク監視装置、ネットワーク監視方法及びネットワーク監視プログラム
JP4787524B2 (ja) コンテンツ更新システム、コンテンツ更新方法、更新サーバ及びコンテンツ更新プログラム
JP4873743B2 (ja) 通信管理システム及びソケット管理サーバ及び通信管理方法
JP5294098B2 (ja) 中継処理装置、及びその制御方法、プログラム
JP2000090048A (ja) セキュリティ情報更新システム及び記録媒体

Legal Events

Date Code Title Description
AK Designated states

Kind code of ref document: A1

Designated state(s): AE AG AL AM AT AU AZ BA BB BG BR BW BY BZ CA CH CN CO CR CU CZ DE DK DM DZ EC EE EG ES FI GB GD GE GH GM HR HU ID IL IN IS JP KE KG KP KR KZ LC LK LR LS LT LU LV MA MD MG MK MN MW MX MZ NA NI NO NZ OM PG PH PL PT RO RU SC SD SE SG SK SL SM SY TJ TM TN TR TT TZ UA UG US UZ VC VN YU ZA ZM ZW

AL Designated countries for regional patents

Kind code of ref document: A1

Designated state(s): GM KE LS MW MZ NA SD SL SZ TZ UG ZM ZW AM AZ BY KG KZ MD RU TJ TM AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IS IT LT LU MC NL PL PT RO SE SI SK TR BF BJ CF CG CI CM GA GN GQ GW ML MR NE SN TD TG

121 Ep: the epo has been informed by wipo that ep was designated in this application
WWE Wipo information: entry into national phase

Ref document number: 2006548631

Country of ref document: JP

WWE Wipo information: entry into national phase

Ref document number: 11818215

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 2004807392

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE

WWP Wipo information: published in national office

Ref document number: 2004807392

Country of ref document: EP

WWP Wipo information: published in national office

Ref document number: 11818215

Country of ref document: US