アクセス制御システム、これに用いる端末及びゲートウェイ装置
【課題】 ネットワークを介して所定のサーバへのアクセスを適切に制御すること。
【解決手段】 端末１が、内部ネットワークに接続された状態でアクセス可能なサーバ３１を検出するサーバ検出手段と、検出されたサーバに基づく固有のアクセス制御用データを生成して当該端末内に記憶するアクセスデータ生成手段と、外部に持ち運ばれ外部ネットワークを介してサーバへのアクセスを要求する際に記憶されたアクセス制御用データをゲートウェイ装置２に送信するアクセス要求手段と、を備え、ゲートウェイ装置２が、端末１にて生成されたアクセス制御用データを記憶するアクセスデータ記憶手段と、端末１からアクセス要求手段によるアクセス要求時に送信されたアクセス制御用データとアクセスデータ記憶手段に記憶されたアクセス制御用データとに基づいて端末のサーバに対するアクセスを許可あるいは不許可するアクセス許可手段と、を備えた。
【解決手段】 端末１が、内部ネットワークに接続された状態でアクセス可能なサーバ３１を検出するサーバ検出手段と、検出されたサーバに基づく固有のアクセス制御用データを生成して当該端末内に記憶するアクセスデータ生成手段と、外部に持ち運ばれ外部ネットワークを介してサーバへのアクセスを要求する際に記憶されたアクセス制御用データをゲートウェイ装置２に送信するアクセス要求手段と、を備え、ゲートウェイ装置２が、端末１にて生成されたアクセス制御用データを記憶するアクセスデータ記憶手段と、端末１からアクセス要求手段によるアクセス要求時に送信されたアクセス制御用データとアクセスデータ記憶手段に記憶されたアクセス制御用データとに基づいて端末のサーバに対するアクセスを許可あるいは不許可するアクセス許可手段と、を備えた。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アクセス制御システムにかかり、特に、端末が外部からゲートウェイを介してサーバにアクセスするといったリモートアクセスを制御するシステムに関する。
【背景技術】
【０００２】
システム内のサーバにアクセスする従来方式としては、サーバへのアクセス端末自体を認証する端末認証方式と、アクセス端末のＩＰアドレスに基づきアクセス先サーバを制限するＩＰアドレスによる制限方式がある。前者の方式は、端末のハードウェア固有の情報から作成した暗号情報をアクセス端末とゲートウェイに記録し、端末がリモートアクセスした際に、ゲートウェイが端末からハードウェア固有の情報を収集し、動的に暗号情報を作成し、事前に記録した暗号情報と一致した場合にアクセスを許可する方式である。また、後者の方式は、アクセス端末のＩＰアドレス毎にアクセス可能なサーバＩＰアドレスの組み合わせ表をゲートウェイが記録しておき、端末がリモートアクセスした際に、ゲートウェイが端末のＩＰアドレスをチェックし、組み合わせ表に記載のサーバＩＰアドレス宛のパケットのみ転送する方式である。このようなリモートアクセス制御システムは、その詳細な構成は異なるが、例えば、下記の特許文献１，２に開示されている。
【０００３】
【特許文献１】特開２０００−５９４１６号公報
【特許文献２】特開２００３−８７３３２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、上述した端末認証方式では、イントラネットへのアクセスを正規のユーザと当該ユーザに利用が許可された端末のみに制限することは可能であるものの、インターネットからイントラネットへのリモートアクセスにおいて、サーバ毎に対するアクセスを制限する場合に利用することができない。すなわち、イントラネット内に複数のサーバが存在している場合に、どのサーバへのアクセスを許可／不許可するか、といった詳細なアクセス制御を実現することは困難である。
【０００５】
また、上述したＩＰアドレスによる制限方式では、ＩＰアドレスが固定のグローバルＩＰアドレスの場合でしか利用できず、端末がDHCP(Dynamic Host Configuration Protocol)やIPCP(ppp Internet Protocol
Control Protocol)等の動的にグローバルＩＰアドレスが割り当てられるインターネット接続環境や、ＬＡＮ等のプライベートＩＰアドレスで運用され、ＮＡＴやプロキシサーバ経由でインターネットアクセスするような送信元ＩＰアドレスが変更される環境では利用できない、という問題が生じる。
【０００６】
このため、本発明では、上記従来例の有する不都合を改善し、特に、ネットワークを介して所定のサーバへのアクセスを適切に制御することができるアクセス制御システムを提供することをその目的とする。
【課題を解決するための手段】
【０００７】
そこで、本発明の一形態であるアクセス制御システムは、
内部ネットワークに設置されたサーバに接続され外部に持ち運び可能な端末と、内部ネットワークに接続された外部ネットワークとの間に設置されたゲートウェイ装置と、を備え、外部ネットワークからゲートウェイ装置を介した端末による前記サーバへのアクセスを制御するアクセス制御システムであって、
端末が、内部ネットワークに接続された状態でアクセス可能なサーバを検出するサーバ検出手段と、検出されたサーバに基づく固有のアクセス制御用データを生成して当該端末内に記憶するアクセスデータ生成手段と、外部に持ち運ばれ外部ネットワークを介してサーバへのアクセスを要求する際に記憶されたアクセス制御用データをゲートウェイ装置に送信するアクセス要求手段と、を備え、
ゲートウェイ装置が、端末にて生成されたアクセス制御用データを記憶するアクセスデータ記憶手段と、端末からアクセス要求手段によるアクセス要求時に送信されたアクセス制御用データとアクセスデータ記憶手段に記憶されたアクセス制御用データとに基づいて端末のサーバに対するアクセスを許可あるいは不許可するアクセス許可手段と、を備えた、
ことを特徴としている。
【０００８】
上記発明によると、まず、端末が内部ネットワークに接続された状態で、当該内部ネットワークに設置されたサーバと通信を行い、アクセス可能なサーバの検出を行う。そして端末は、アクセス可能であると検出されたサーバに対応する固有のアクセス制御用データを生成して、端末内に記憶する。同時に、この生成されたアクセス制御用データは、内部ネットワークと外部ネットワークとの間に設置されたゲートウェイ装置に記憶される。その後、端末が外部に持ち出され、外部ネットワークからゲートウェイ装置を介して内部ネットワーク内のサーバにアクセスする際には、端末は、アクセス制御用データをゲートウェイ装置に送信する。すると、ゲートウェイ装置は、受信したアクセス制御用データと、記憶されているアクセス制御用データとを比較して、アクセスしてきた端末がアクセス可能なサーバを判別し、そのアクセスを許可あるいは不許可する。これにより、外部ネットワークから端末による特定のサーバへのアクセス制御を適切に行うことができ、セキュリティの向上を図ることができる。
【０００９】
また、端末が、アクセスデータ生成手段にて生成されたアクセス制御用データをゲートウェイ装置に記憶するよう当該ゲートウェイ装置に送信するアクセスデータ通知手段を備えると共に、ゲートウェイ装置が、端末から送信されたアクセス制御用データを受信してアクセスデータ記憶手段に記憶するアクセスデータ登録手段を備えた、ことを特徴としている。これにより、自動的にアクセス制御用データがゲートウェイ装置に記憶され、オペレータなどの手間を省くことができる。
【００１０】
また、アクセスデータ通知手段は、アクセス制御用データと共にサーバ検出手段にて検出されたサーバを特定するサーバ情報をゲートウェイ装置に送信し、アクセスデータ登録手段は、端末から送信されたアクセス制御用データとサーバ情報とを関連付けてアクセスデータ記憶手段に記憶する、ことを特徴としている。これにより、ゲートウェイ装置は、アクセスしてきた端末から送信されたアクセス制御用データに基づいて、アクセスを許可するサーバをサーバ情報に基づいて容易に特定することができ、アクセス制御処理の容易化を図ることができる。
【００１１】
また、アクセスデータ生成装置は、サーバ検出手段にて検出された複数のサーバに基づく固有のアクセス制御用データを生成する、ことを特徴としている。これにより、１つのアクセス制御用データを生成することで複数のサーバに対するアクセス制御が可能となり、サーバ後とのアクセス制御用データを生成する必要が無く、アクセス制御処理の複雑化を抑制することができる。
【００１２】
また、アクセスデータ生成装置は、サーバ検出手段にて検出されたサーバと端末とに基づく固有のアクセス制御用データを生成する、ことを特徴としている。また、アクセスデータ生成装置は、生成したアクセス制御用データを暗号化する、ことを特徴としている。これにより、アクセス制御用データを端末に応じて固有のものとしたり、暗号化することによりそのセキュリティを高めることができ、アクセス制御自体のセキュリティの強化を図ることができる。
【００１３】
さらに、アクセス許可手段は、端末から受信したアクセス制御用データとアクセスデータ記憶手段に記憶されたアクセス制御用データとが一致した場合に端末からのデータ通信を特定する情報とアドレス制御用データとを関連付けたセッション情報を生成してゲートウェイ装置に記憶するセッション情報登録手段と、以後の端末からのデータ通信に対して記憶されたセッション情報に基づいてサーバへのデータ通信を制御するデータ通信制御手段と、を備えたことを特徴としている。これにより、端末から一度アクセス制御用データが送信されると、当該端末からのデータ通信を特定する情報が登録され、これに基づいて以後のサーバに対するデータ通信がゲートウェイ装置にて制御される。従って、ゲートウェイ装置による端末とサーバとの間におけるデータ通信制御の容易化を図ることができる。
【００１４】
また、本発明の他の形態である端末は、内部ネットワークに設置されたサーバに接続されると共に、外部に持ち運び可能であり、外部ネットワークからゲートウェイ装置を介してサーバへアクセスを行う端末であって、
内部ネットワークに接続された状態でアクセス可能なサーバを検出するサーバ検出手段と、
検出されたサーバに基づく固有のデータであって、ゲートウェイ装置に記憶されるアクセス制御用データを生成して当該端末内に記憶するアクセスデータ生成手段と、
外部に持ち運ばれ外部ネットワークを介してサーバへのアクセスを要求する際に自己の端末に記憶されたアクセス制御用データをゲートウェイ装置に送信するアクセス要求手段と、
を備えたことを特徴としている。
【００１５】
さらに、本発明の他の形態であるゲートウェイ装置は、
内部ネットワークと外部ネットワークとの間に設置され、内部ネットワークに設置されたサーバに接続され外部に持ち運び可能な端末による外部ネットワークからサーバへのアクセスを制御するゲートウェイ装置であって、
端末が内部ネットワークにおいてアクセス可能なサーバに基づいて端末にて生成された固有のアクセス制御データが記憶されるアクセスデータ記憶手段と、
外部ネットワークから端末による前記サーバに対するアクセス要求時に当該端末から送信されたアクセス制御用データとアクセスデータ記憶手段に記憶されたアクセス制御用データとに基づいて端末の前記サーバに対するアクセスを許可あるいは不許可するアクセス許可手段と、
を備えたことを特徴としている。
【００１６】
また、本発明の他の形態であるプログラムは、上記端末あるいはゲートウェイ装置に、それぞれが備える上述した各手段を実現する、ことを特徴としている。
【００１７】
さらに、本発明の他の形態であるアクセス制御方法は、
内部ネットワークに設置されたサーバに接続され外部に持ち運び可能な端末と、内部ネットワークに接続された外部ネットワークとの間に設置されたゲートウェイ装置と、を用いて、外部ネットワークからゲートウェイ装置を介した端末によるサーバへのアクセスを制御するアクセス制御方法であって、
端末が、内部ネットワークに接続された状態でアクセス可能なサーバを検出し、当該検出されたサーバに基づく固有のアクセス制御用データを生成して当該端末内に記憶すると共に、この生成されたアクセス制御用データをゲートウェイ装置が記憶し、
その後、外部に持ち運ばれた端末が、外部ネットワークを介してサーバへのアクセスを要求する際にゲートウェイ装置に記憶されたアクセス制御用データを送信し、当該アクセス制御用データ受信したゲートウェイ装置が、自己が記憶しているアクセス制御用データに基づいて端末のサーバに対するアクセスを許可あるいは不許可する、
ことを特徴としている。
【００１８】
上記構成の端末、ゲートウェイ装置、プログラム、方法であっても、上述したアクセス制御システムと同様に作用するため、上記本発明の目的を達成することができる。
【発明の効果】
【００１９】
本発明は、以上のように構成され機能するので、これによると、予め端末がアクセス可能なサーバに基づくアクセス制御用データが生成され、端末とゲートウェイ装置に記憶されるため、外部ネットワークから端末による特定のサーバへのアクセス制御を適切に行うことができ、セキュリティの向上を図ることができる、という従来にない優れた効果を有する。
【発明を実施するための最良の形態】
【００２０】
本発明は、予め端末がアクセス可能なサーバに基づくアクセス制御用データを生成し、これを端末とゲートウェイ装置に記憶しておくことに特徴を有する。そして、外部ネットワークから端末によって送信されたデータと、ゲートウェイ装置に記憶されたデータと、に基づいて特定のサーバへのアクセス制御を行う、というシステムである。以下、具体的な構成及び動作を、実施例にて説明する。
【実施例１】
【００２１】
本発明の第１の実施例を、図１乃至図６を参照して説明する。図１乃至図３は、構成を示す図であり、図４乃至図６は、動作を示す図である。
【００２２】
［構成］
本発明であるアクセス制御システムは、図１に示すように、イントラネットＮ２（内部ネットワーク）に設置されたイントラネット専用のサーバ３１等に接続された端末１と、このイントラネットＮ２に接続されたインターネット網Ｎ１（外部ネットワーク）との間に接続されたゲートウェイ２（ゲートウェイ装置）と、を備えている。そして、この端末１が外部に持ち運びだされた場合に（矢印Ｙ１参照）、インターネット網Ｎ１を介した端末１によるイントラネットＮ２内へのサーバ３１等にアクセスすることを制御するためのシステムである。以下、端末１及びゲートウェイ２について詳述する。
【００２３】
＜端末＞
端末１は、ノートパソコンなどの一般的なコンピュータであって、持ち運びが可能な端末である。そして、会社内などの所定の組織内においてはイントラネットＮ２に接続することが可能であり、かつ、外部に持ち出された場合にはインターネット網Ｎ１にアクセス可能に構成されており、それぞれのネットワークＮ１，Ｎ２に対する通信機能を搭載している。
【００２４】
端末１は、図２に示すように、ＣＰＵなどの演算装置１Ａと、ハードディスクなどの記憶装置１Ｂと、その他、一般的なコンピュータが装備する諸機能を備えている。そして、演算装置１Ａには、端末用プログラムが組み込まれることで、サーバ調査処理部１１と、ラベルフレーズ生成処理部１２と、ラベルフレーズ通知処理部１３と、リモートアクセス処理部１４と、が構築されている。また、記憶装置１Ｂには、ラベルフレーズ記憶部１５が形成されている。以下、各処理部１１〜１４、及び、上記記憶部１５について詳述する。
【００２５】
サーバ調査処理部１１（サーバ検出手段）は、端末１がイントラネットＮ２内に設置されて接続された状態で、当該イントラネットＮ２内に設置された複数のサーバ３１等と通信を行い、通信可能なサーバ３１等を調査し検出する。なお、ここでは、例えば、符号３１，３２に示すサーバがアクセス可能なサーバとして検出されたこととする。この検出されたサーバ３１，３２を特定して、ラベルフレーズ生成処理部１２に通知する。
【００２６】
ラベルフレーズ生成処理部１２（アクセスデータ生成手段）は、検出された上記サーバ３１，３２に基づく固有のラベル（アクセス制御用データ）を生成する。このとき、端末１は、上記２つの検出されたサーバ３１，３２を特定する情報（例えば、サーバ名など）に基づいたラベル（例えば、「AB00」（図１参照））を生成する。さらに、ラベルフレーズ生成処理部１２は、生成したラベルを予め定められた暗号化ルールにて暗号化してラベルフレーズとし（例えば、「Qlda/REJfgna#$EG」（図１参照））、端末１のラベルフレーズ記憶部１５（予め規定されたディレクトリあるいはレジストリ）に記憶する。また、このラベルフレーズをラベルフレーズ通知処理部１３に通知する。
【００２７】
ここで、上記ラベルフレーズ生成処理部１２は、ラベルの生成を、検出されたサーバ３１，３２の情報のみならず、端末１の情報（例えば、当該端末１を特定するための識別情報など）に基づいて生成してもよい。また、上記では２つのサーバ３１，３２に基づくラベルの生成例を挙げたが、ラベル生成時に参照されるサーバの数は検出されたサーバ数によって決まるため、その数は単数でも複数でもよい。また、ラベルを必ずしも暗号化することに限定されない。
【００２８】
ラベルフレーズ通知処理部１３（ラベルフレーズ通知手段）は、生成されたラベルフレーズと、上記サーバ調査処理部１１にて端末１がアクセス可能であると検出されたサーバ名とを、ゲートウェイ２に通知する。なお、ゲートウェイ２に通知するサーバ名は、検出されたサーバ３１，３２を特定できる他の情報であってもよい。これより、後述するように、ゲートウェイ２には、ラベルフレーズとサーバ名とが関連付けられて記憶される（サーバアクセス表）。
【００２９】
また、リモートアクセス処理部１４（アクセス要求手段）は、端末１が外部に持ち運ばれたときであって、インターネット網Ｎ１に接続し、ゲートウェイ２を介してイントラネットＮ２内のサーバ３１等にアクセス（リモートアクセス）を要求する際に作動する。具体的には、端末１がインターネット網Ｎ１を介してゲートウェイ２に対してサーバ３１，３２へのアクセス要求を行う場合には、まず、ユーザ認証データ（認証ＩＤ，パスワード）をゲートウェイ２に送信し、ユーザ認証を受ける。ユーザ認証に成功すると、続いて、ゲートウェイ２にラベルフレーズ記憶部１５に記憶されているラベルフレーズを送信する。そして、後述するように、所定のサーバ３１，３２にゲートウェイ２にてアクセスが許可された後に、サーバ３１，３２に対する通信データを送信する。
【００３０】
＜ゲートウェイ＞
ゲートウェイ２は、ネットワークＮ１，Ｎ２間に配置された一般的なゲートウェイであって、図３に示すように、ＣＰＵなどの演算装置２Ｂと、メモリなどの記憶装置２Ｂと、が備えられている。そして、演算装置２Ｂには、ゲートウェイ用プログラムが組み込まれることにより、ラベルフレーズ登録処理部２１と、アクセス受付処理部２２と、ラベルフレーズ判定処理部２３と、セッションＩＤ登録処理部２４と、アクセス許可処理部２５と、が構築されている。また、記憶装置２Ｂには、ラベルフレーズ記憶部２６と、セッションＩＤ記憶部２７と、が形成されている。
【００３１】
ラベルフレーズ登録処理部２１は、イントラネットＮ２内に設置された状態の端末１から送信されたラベルフレーズを受信してラベルフレーズ記憶部２６（予め規定されたディレクトリ）に記憶する。このとき、同時に送信されたサーバ３１，３２のホスト名をラベルフレーズに関連付けた対応表（サーバアクセス表（図１（ａ）参照））として格納する。
【００３２】
アクセス受付処理部２２（アクセスデータ登録手段）は、外部に持ち出されインターネット網Ｎ１に接続された端末１からのアクセスを受け付け、まず、端末１から送信されたユーザ認証データ（認証ＩＤ，パスワード）と、予めにイントラネットＮ２内の所定のサーバに蓄積されている照合用データに基づいて、ユーザ認証を行う。このとき、ユーザ認証データと照合されるデータは、ゲートウェイ２に蓄積されていてもよい。また、アクセス受付処理部２２は、ユーザ認証が成功すると、端末１からラベルフレーズを受信し、ラベルフレーズ判定処理部２３に通知する。
【００３３】
ラベルフレーズ判定処理部２３は、端末１から送信されたラベルフレーズと、ゲートウェイ２のラベルフレーズ記憶部２６に記憶されているラベルフレーズと、が一致するか否かを判定する。一致していない場合には、端末１とのセッションを切断するが、一致している場合には、セッションＩＤ登録処理部２４に通知する。
【００３４】
セッションＩＤ登録処理部２４（セッション情報登録手段）は、SSLセッションに一意なＩＤを割り当て（送信元IPアドレスと送信元ポート番号から生成、あるいはTCP/IP
APIのソケットIDを流用)、ラベルフレーズとSSLセッションID関連付けたSSLセッションID表を生成し、セッションＩＤ記憶部２７に登録する。
【００３５】
アクセス許可処理部２５（データ通信制御手段）は、以降、ゲートウェイ２が端末１からパケット受信すると、パケットを受信したSSLセッションIDと、SSLセッションID表と、サーバアクセス表とから、アクセス可能なサーバ３１，３２を判別し、当該アクセス可能なサーバ３１，３２へのパケットのみをこれらのサーバ３１，３２に転送する。すなわち、図１に示す例では、端末１から受信したパケットのセッションＩＤが「0000001」である場合に、ＳＳＬセッションＩＤ表（ｂ）を参照して対応するラベルフレーズを特定し、さらに、このラベルフレーズに対応するサーバを、サーバアクセス表（ａ）を参照して特定する。これにより、端末１は、サーバ３１，３２とデータ通信が可能となり、一方で、他のサーバ３３，３４とのデータ通信は不許可となる。
【００３６】
このように、ゲートウェイ２は、アクセス受付処理部２２、ラベルフレーズ判定処理部２３、セッションＩＤ登録処理部２４、アクセス許可処理部２５に示すように、端末１のサーバ３１等に対するアクセスを許可あるいは不許可するアクセス許可手段を備えている。
【００３７】
［動作］
次に、本実施例の動作について、図４乃至図６を参照して説明する。図４は、端末１の動作を示し、図５は、ゲートウェイの動作を示すフローチャートであり、図６は、その動作の一部を詳細に示すフローチャートである。
【００３８】
まず、ラベルフレーズを設定するためのソフトウェアを、リモートアクセスを利用する利用者に配布し、当該利用者の端末１にソフトウェアがインストールされる。すると、上述した構成の端末１が構築される。
【００３９】
そして、端末１がイントラネットＮ２内に設置され接続された状態でインストールされたソフトウェアを実行すると、端末１は、イントラネットＮ２の複数のサーバ３１等と通信を行い（ステップＳ１）、通信可能なサーバ３１，３２を調査する（ステップＳ２）。このとき、図１に示すように、符号３１，３２に示すサーバが、アクセス可能なサーバとして検出されたこととする。
【００４０】
続いて、アクセス可能なサーバ３１，３２に応じたラベル「AB00」を生成し、このラベルを暗号化してラベルフレーズ「Qlda/REJfgna#$EG」を生成する（ステップＳ３）。そして、生成したラベルフレーズを端末１のレジストリに書き込む（ステップＳ４）。また、同時に、この生成したラベルフレーズ「Qlda/REJfgna#$EG」とサーバのホスト名「サーバＡ（３１），サーバＢ（３２）」を、をゲートウェイ２に通知する（ステップＳ５）。
【００４１】
すると、ゲートウェイ２では、送信されたラベルフレーズとサーバのホスト名から構成されたサーバアクセス表（ａ）が、予め規定されたディレクトリに登録される。このとき、上記ラベルフレーズ等は、ラベルフレーズが生成された端末１にて自動的にゲートウェイに通知されることに限定されず、例えば、オペレータにて端末１から読み出されて、当該オペレータの操作によりゲートウェイ２に登録されてもよい。
【００４２】
続いて、図５を参照して、端末１が利用者によって外部に持ち出されたときの動作を説明する。まず、利用者は、外部から端末を用いて、インターネット接続環境からイントラネットアクセスするためにゲートウェイ２にアクセスする。そして、ゲートウェイ２と端末１間でＳＳＬセッションを確立し、認証ＩＤとパスワードによるユーザ認証が行われる（ステップＳ１１，Ｓ１２）。このとき、ユーザ認証で失敗した場合には（ステップＳ１２にて否定判断）、ＳＳＬセッションを切断する（ステップＳ１８）。
【００４３】
一方、ユーザ認証で成功した場合（ステップＳ１２にて肯定判断）、ゲートウェイ２は端末１のレジストリに記録されたラベルフレーズをチェックすべく、端末１からラベルフレーズを受信し（ステップＳ１３）、ゲートウェイ２が保持するサーバアクセス対応表（ａ）内のラベルフレーズと一致するかをチェックする（ステップＳ１４）。ここで、ラベルフレーズが一致しない場合は（ステップＳ１５にて否定判断）、ＳＳＬセッションを切断する（ステップＳ１８）。
【００４４】
一方、ラベルフレーズが一致した場合には（ステップＳ１５にて肯定判断）、送信元である端末１の送信元ＩＰアドレスと送信元ポート番号から一意なＳＳＬセッションＩＤを生成し、ラベルフレーズとＳＳＬセッションＩＤを対応付けて、ＳＳＬセッションＩＤ表（ｂ）に登録する（ステップＳ１６、図１参照）。その後、端末１からのアクセス要求に応じて、送信されたパケットのアクセス許可処理を実行する（ステップＳ１７）。その動作の様子を、図６のフローチャートに示す。
【００４５】
端末１からサーバ３１，３２へゲートウェイ２を介してアクセスがあり、パケットを受信すると（ステップＳ２１）、当該パケットを受信したＳＳＬセッションＩＤ、ＳＳＬセッションＩＤ表（ｂ）とサーバアクセス表（ａ）を参照し（ステップＳ２２）、端末１にアクセスが許可されているか否かを判定する（ステップＳ２３）。アクセスが許可されている場合には（ステップＳ２３にて肯定判断）、その許可されているサーバ３１，３２に対してのみパケットを透過する（ステップＳ２４）。一方、アクセスが許可されていないサーバへのアクセスであった場合には（ステップＳ２３にて否定判断）、端末１にエラー通知を行い（ステップＳ２５）、パケットを破棄する（ステップＳ２６）。その後、セッション切断まで、上述したように、受信したパケットの透過／破棄の処理を繰り返す（ステップＳ２７）。
【００４６】
このようにすることにより、ＩＰアドレスを動的に割り当てるインターネット接続環境や、ＮＡＴやプロキシ経由でインターネットにアクセスする環境であっても、イントラネットＮ２内のサーバ３１等にアクセスする端末１を適切に制限することができる。
【産業上の利用可能性】
【００４７】
本発明は、リモートアクセスを制御するシステムとして利用することができ、産業上の利用可能性を有する。
【図面の簡単な説明】
【００４８】
【図１】本発明の全体構成を示す概略図である。
【図２】端末の構成を示す機能ブロック図である。
【図３】ゲートウェイの構成を示す機能ブロック図である。
【図４】端末の動作を示すフローチャートである。
【図５】ゲートウェイの動作を示すフローチャートである。
【図６】ゲートウェイの動作の一部を示すフローチャートである。
【符号の説明】
【００４９】
１ 端末
２ ゲートウェイ（ゲートウェイ装置）
１１ サーバ調査処理部（サーバ検出手段）
１２ ラベルフレーズ生成処理部（アクセスデータ生成手段）
１３ ラベルフレーズ通知処理部（アクセスデータ通知手段）
１４ リモートアクセス処理部（アクセス要求手段）
１５ ラベルフレーズ記憶部
２１ ラベルフレーズ登録処理部（アクセスデータ登録手段）
２２ アクセス受付処理部（アクセス許可手段）
２３ ラベルフレーズ判定処理部（アクセス許可手段）
２４ セッションＩＤ登録処理部（セッション情報登録手段、アクセス許可手段）
２５ アクセス許可処理部（データ通信制御手段、アクセス許可手段）
２６ ラベルフレーズ記憶部（アクセスデータ記憶手段）
２７ セッションＩＤ記憶部
３１，３２，３３，３４ サーバ
Ｎ１ インターネット網（外部ネットワーク）
Ｎ２ イントラネット（内部ネットワーク）
【技術分野】
【０００１】
本発明は、アクセス制御システムにかかり、特に、端末が外部からゲートウェイを介してサーバにアクセスするといったリモートアクセスを制御するシステムに関する。
【背景技術】
【０００２】
システム内のサーバにアクセスする従来方式としては、サーバへのアクセス端末自体を認証する端末認証方式と、アクセス端末のＩＰアドレスに基づきアクセス先サーバを制限するＩＰアドレスによる制限方式がある。前者の方式は、端末のハードウェア固有の情報から作成した暗号情報をアクセス端末とゲートウェイに記録し、端末がリモートアクセスした際に、ゲートウェイが端末からハードウェア固有の情報を収集し、動的に暗号情報を作成し、事前に記録した暗号情報と一致した場合にアクセスを許可する方式である。また、後者の方式は、アクセス端末のＩＰアドレス毎にアクセス可能なサーバＩＰアドレスの組み合わせ表をゲートウェイが記録しておき、端末がリモートアクセスした際に、ゲートウェイが端末のＩＰアドレスをチェックし、組み合わせ表に記載のサーバＩＰアドレス宛のパケットのみ転送する方式である。このようなリモートアクセス制御システムは、その詳細な構成は異なるが、例えば、下記の特許文献１，２に開示されている。
【０００３】
【特許文献１】特開２０００−５９４１６号公報
【特許文献２】特開２００３−８７３３２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、上述した端末認証方式では、イントラネットへのアクセスを正規のユーザと当該ユーザに利用が許可された端末のみに制限することは可能であるものの、インターネットからイントラネットへのリモートアクセスにおいて、サーバ毎に対するアクセスを制限する場合に利用することができない。すなわち、イントラネット内に複数のサーバが存在している場合に、どのサーバへのアクセスを許可／不許可するか、といった詳細なアクセス制御を実現することは困難である。
【０００５】
また、上述したＩＰアドレスによる制限方式では、ＩＰアドレスが固定のグローバルＩＰアドレスの場合でしか利用できず、端末がDHCP(Dynamic Host Configuration Protocol)やIPCP(ppp Internet Protocol
Control Protocol)等の動的にグローバルＩＰアドレスが割り当てられるインターネット接続環境や、ＬＡＮ等のプライベートＩＰアドレスで運用され、ＮＡＴやプロキシサーバ経由でインターネットアクセスするような送信元ＩＰアドレスが変更される環境では利用できない、という問題が生じる。
【０００６】
このため、本発明では、上記従来例の有する不都合を改善し、特に、ネットワークを介して所定のサーバへのアクセスを適切に制御することができるアクセス制御システムを提供することをその目的とする。
【課題を解決するための手段】
【０００７】
そこで、本発明の一形態であるアクセス制御システムは、
内部ネットワークに設置されたサーバに接続され外部に持ち運び可能な端末と、内部ネットワークに接続された外部ネットワークとの間に設置されたゲートウェイ装置と、を備え、外部ネットワークからゲートウェイ装置を介した端末による前記サーバへのアクセスを制御するアクセス制御システムであって、
端末が、内部ネットワークに接続された状態でアクセス可能なサーバを検出するサーバ検出手段と、検出されたサーバに基づく固有のアクセス制御用データを生成して当該端末内に記憶するアクセスデータ生成手段と、外部に持ち運ばれ外部ネットワークを介してサーバへのアクセスを要求する際に記憶されたアクセス制御用データをゲートウェイ装置に送信するアクセス要求手段と、を備え、
ゲートウェイ装置が、端末にて生成されたアクセス制御用データを記憶するアクセスデータ記憶手段と、端末からアクセス要求手段によるアクセス要求時に送信されたアクセス制御用データとアクセスデータ記憶手段に記憶されたアクセス制御用データとに基づいて端末のサーバに対するアクセスを許可あるいは不許可するアクセス許可手段と、を備えた、
ことを特徴としている。
【０００８】
上記発明によると、まず、端末が内部ネットワークに接続された状態で、当該内部ネットワークに設置されたサーバと通信を行い、アクセス可能なサーバの検出を行う。そして端末は、アクセス可能であると検出されたサーバに対応する固有のアクセス制御用データを生成して、端末内に記憶する。同時に、この生成されたアクセス制御用データは、内部ネットワークと外部ネットワークとの間に設置されたゲートウェイ装置に記憶される。その後、端末が外部に持ち出され、外部ネットワークからゲートウェイ装置を介して内部ネットワーク内のサーバにアクセスする際には、端末は、アクセス制御用データをゲートウェイ装置に送信する。すると、ゲートウェイ装置は、受信したアクセス制御用データと、記憶されているアクセス制御用データとを比較して、アクセスしてきた端末がアクセス可能なサーバを判別し、そのアクセスを許可あるいは不許可する。これにより、外部ネットワークから端末による特定のサーバへのアクセス制御を適切に行うことができ、セキュリティの向上を図ることができる。
【０００９】
また、端末が、アクセスデータ生成手段にて生成されたアクセス制御用データをゲートウェイ装置に記憶するよう当該ゲートウェイ装置に送信するアクセスデータ通知手段を備えると共に、ゲートウェイ装置が、端末から送信されたアクセス制御用データを受信してアクセスデータ記憶手段に記憶するアクセスデータ登録手段を備えた、ことを特徴としている。これにより、自動的にアクセス制御用データがゲートウェイ装置に記憶され、オペレータなどの手間を省くことができる。
【００１０】
また、アクセスデータ通知手段は、アクセス制御用データと共にサーバ検出手段にて検出されたサーバを特定するサーバ情報をゲートウェイ装置に送信し、アクセスデータ登録手段は、端末から送信されたアクセス制御用データとサーバ情報とを関連付けてアクセスデータ記憶手段に記憶する、ことを特徴としている。これにより、ゲートウェイ装置は、アクセスしてきた端末から送信されたアクセス制御用データに基づいて、アクセスを許可するサーバをサーバ情報に基づいて容易に特定することができ、アクセス制御処理の容易化を図ることができる。
【００１１】
また、アクセスデータ生成装置は、サーバ検出手段にて検出された複数のサーバに基づく固有のアクセス制御用データを生成する、ことを特徴としている。これにより、１つのアクセス制御用データを生成することで複数のサーバに対するアクセス制御が可能となり、サーバ後とのアクセス制御用データを生成する必要が無く、アクセス制御処理の複雑化を抑制することができる。
【００１２】
また、アクセスデータ生成装置は、サーバ検出手段にて検出されたサーバと端末とに基づく固有のアクセス制御用データを生成する、ことを特徴としている。また、アクセスデータ生成装置は、生成したアクセス制御用データを暗号化する、ことを特徴としている。これにより、アクセス制御用データを端末に応じて固有のものとしたり、暗号化することによりそのセキュリティを高めることができ、アクセス制御自体のセキュリティの強化を図ることができる。
【００１３】
さらに、アクセス許可手段は、端末から受信したアクセス制御用データとアクセスデータ記憶手段に記憶されたアクセス制御用データとが一致した場合に端末からのデータ通信を特定する情報とアドレス制御用データとを関連付けたセッション情報を生成してゲートウェイ装置に記憶するセッション情報登録手段と、以後の端末からのデータ通信に対して記憶されたセッション情報に基づいてサーバへのデータ通信を制御するデータ通信制御手段と、を備えたことを特徴としている。これにより、端末から一度アクセス制御用データが送信されると、当該端末からのデータ通信を特定する情報が登録され、これに基づいて以後のサーバに対するデータ通信がゲートウェイ装置にて制御される。従って、ゲートウェイ装置による端末とサーバとの間におけるデータ通信制御の容易化を図ることができる。
【００１４】
また、本発明の他の形態である端末は、内部ネットワークに設置されたサーバに接続されると共に、外部に持ち運び可能であり、外部ネットワークからゲートウェイ装置を介してサーバへアクセスを行う端末であって、
内部ネットワークに接続された状態でアクセス可能なサーバを検出するサーバ検出手段と、
検出されたサーバに基づく固有のデータであって、ゲートウェイ装置に記憶されるアクセス制御用データを生成して当該端末内に記憶するアクセスデータ生成手段と、
外部に持ち運ばれ外部ネットワークを介してサーバへのアクセスを要求する際に自己の端末に記憶されたアクセス制御用データをゲートウェイ装置に送信するアクセス要求手段と、
を備えたことを特徴としている。
【００１５】
さらに、本発明の他の形態であるゲートウェイ装置は、
内部ネットワークと外部ネットワークとの間に設置され、内部ネットワークに設置されたサーバに接続され外部に持ち運び可能な端末による外部ネットワークからサーバへのアクセスを制御するゲートウェイ装置であって、
端末が内部ネットワークにおいてアクセス可能なサーバに基づいて端末にて生成された固有のアクセス制御データが記憶されるアクセスデータ記憶手段と、
外部ネットワークから端末による前記サーバに対するアクセス要求時に当該端末から送信されたアクセス制御用データとアクセスデータ記憶手段に記憶されたアクセス制御用データとに基づいて端末の前記サーバに対するアクセスを許可あるいは不許可するアクセス許可手段と、
を備えたことを特徴としている。
【００１６】
また、本発明の他の形態であるプログラムは、上記端末あるいはゲートウェイ装置に、それぞれが備える上述した各手段を実現する、ことを特徴としている。
【００１７】
さらに、本発明の他の形態であるアクセス制御方法は、
内部ネットワークに設置されたサーバに接続され外部に持ち運び可能な端末と、内部ネットワークに接続された外部ネットワークとの間に設置されたゲートウェイ装置と、を用いて、外部ネットワークからゲートウェイ装置を介した端末によるサーバへのアクセスを制御するアクセス制御方法であって、
端末が、内部ネットワークに接続された状態でアクセス可能なサーバを検出し、当該検出されたサーバに基づく固有のアクセス制御用データを生成して当該端末内に記憶すると共に、この生成されたアクセス制御用データをゲートウェイ装置が記憶し、
その後、外部に持ち運ばれた端末が、外部ネットワークを介してサーバへのアクセスを要求する際にゲートウェイ装置に記憶されたアクセス制御用データを送信し、当該アクセス制御用データ受信したゲートウェイ装置が、自己が記憶しているアクセス制御用データに基づいて端末のサーバに対するアクセスを許可あるいは不許可する、
ことを特徴としている。
【００１８】
上記構成の端末、ゲートウェイ装置、プログラム、方法であっても、上述したアクセス制御システムと同様に作用するため、上記本発明の目的を達成することができる。
【発明の効果】
【００１９】
本発明は、以上のように構成され機能するので、これによると、予め端末がアクセス可能なサーバに基づくアクセス制御用データが生成され、端末とゲートウェイ装置に記憶されるため、外部ネットワークから端末による特定のサーバへのアクセス制御を適切に行うことができ、セキュリティの向上を図ることができる、という従来にない優れた効果を有する。
【発明を実施するための最良の形態】
【００２０】
本発明は、予め端末がアクセス可能なサーバに基づくアクセス制御用データを生成し、これを端末とゲートウェイ装置に記憶しておくことに特徴を有する。そして、外部ネットワークから端末によって送信されたデータと、ゲートウェイ装置に記憶されたデータと、に基づいて特定のサーバへのアクセス制御を行う、というシステムである。以下、具体的な構成及び動作を、実施例にて説明する。
【実施例１】
【００２１】
本発明の第１の実施例を、図１乃至図６を参照して説明する。図１乃至図３は、構成を示す図であり、図４乃至図６は、動作を示す図である。
【００２２】
［構成］
本発明であるアクセス制御システムは、図１に示すように、イントラネットＮ２（内部ネットワーク）に設置されたイントラネット専用のサーバ３１等に接続された端末１と、このイントラネットＮ２に接続されたインターネット網Ｎ１（外部ネットワーク）との間に接続されたゲートウェイ２（ゲートウェイ装置）と、を備えている。そして、この端末１が外部に持ち運びだされた場合に（矢印Ｙ１参照）、インターネット網Ｎ１を介した端末１によるイントラネットＮ２内へのサーバ３１等にアクセスすることを制御するためのシステムである。以下、端末１及びゲートウェイ２について詳述する。
【００２３】
＜端末＞
端末１は、ノートパソコンなどの一般的なコンピュータであって、持ち運びが可能な端末である。そして、会社内などの所定の組織内においてはイントラネットＮ２に接続することが可能であり、かつ、外部に持ち出された場合にはインターネット網Ｎ１にアクセス可能に構成されており、それぞれのネットワークＮ１，Ｎ２に対する通信機能を搭載している。
【００２４】
端末１は、図２に示すように、ＣＰＵなどの演算装置１Ａと、ハードディスクなどの記憶装置１Ｂと、その他、一般的なコンピュータが装備する諸機能を備えている。そして、演算装置１Ａには、端末用プログラムが組み込まれることで、サーバ調査処理部１１と、ラベルフレーズ生成処理部１２と、ラベルフレーズ通知処理部１３と、リモートアクセス処理部１４と、が構築されている。また、記憶装置１Ｂには、ラベルフレーズ記憶部１５が形成されている。以下、各処理部１１〜１４、及び、上記記憶部１５について詳述する。
【００２５】
サーバ調査処理部１１（サーバ検出手段）は、端末１がイントラネットＮ２内に設置されて接続された状態で、当該イントラネットＮ２内に設置された複数のサーバ３１等と通信を行い、通信可能なサーバ３１等を調査し検出する。なお、ここでは、例えば、符号３１，３２に示すサーバがアクセス可能なサーバとして検出されたこととする。この検出されたサーバ３１，３２を特定して、ラベルフレーズ生成処理部１２に通知する。
【００２６】
ラベルフレーズ生成処理部１２（アクセスデータ生成手段）は、検出された上記サーバ３１，３２に基づく固有のラベル（アクセス制御用データ）を生成する。このとき、端末１は、上記２つの検出されたサーバ３１，３２を特定する情報（例えば、サーバ名など）に基づいたラベル（例えば、「AB00」（図１参照））を生成する。さらに、ラベルフレーズ生成処理部１２は、生成したラベルを予め定められた暗号化ルールにて暗号化してラベルフレーズとし（例えば、「Qlda/REJfgna#$EG」（図１参照））、端末１のラベルフレーズ記憶部１５（予め規定されたディレクトリあるいはレジストリ）に記憶する。また、このラベルフレーズをラベルフレーズ通知処理部１３に通知する。
【００２７】
ここで、上記ラベルフレーズ生成処理部１２は、ラベルの生成を、検出されたサーバ３１，３２の情報のみならず、端末１の情報（例えば、当該端末１を特定するための識別情報など）に基づいて生成してもよい。また、上記では２つのサーバ３１，３２に基づくラベルの生成例を挙げたが、ラベル生成時に参照されるサーバの数は検出されたサーバ数によって決まるため、その数は単数でも複数でもよい。また、ラベルを必ずしも暗号化することに限定されない。
【００２８】
ラベルフレーズ通知処理部１３（ラベルフレーズ通知手段）は、生成されたラベルフレーズと、上記サーバ調査処理部１１にて端末１がアクセス可能であると検出されたサーバ名とを、ゲートウェイ２に通知する。なお、ゲートウェイ２に通知するサーバ名は、検出されたサーバ３１，３２を特定できる他の情報であってもよい。これより、後述するように、ゲートウェイ２には、ラベルフレーズとサーバ名とが関連付けられて記憶される（サーバアクセス表）。
【００２９】
また、リモートアクセス処理部１４（アクセス要求手段）は、端末１が外部に持ち運ばれたときであって、インターネット網Ｎ１に接続し、ゲートウェイ２を介してイントラネットＮ２内のサーバ３１等にアクセス（リモートアクセス）を要求する際に作動する。具体的には、端末１がインターネット網Ｎ１を介してゲートウェイ２に対してサーバ３１，３２へのアクセス要求を行う場合には、まず、ユーザ認証データ（認証ＩＤ，パスワード）をゲートウェイ２に送信し、ユーザ認証を受ける。ユーザ認証に成功すると、続いて、ゲートウェイ２にラベルフレーズ記憶部１５に記憶されているラベルフレーズを送信する。そして、後述するように、所定のサーバ３１，３２にゲートウェイ２にてアクセスが許可された後に、サーバ３１，３２に対する通信データを送信する。
【００３０】
＜ゲートウェイ＞
ゲートウェイ２は、ネットワークＮ１，Ｎ２間に配置された一般的なゲートウェイであって、図３に示すように、ＣＰＵなどの演算装置２Ｂと、メモリなどの記憶装置２Ｂと、が備えられている。そして、演算装置２Ｂには、ゲートウェイ用プログラムが組み込まれることにより、ラベルフレーズ登録処理部２１と、アクセス受付処理部２２と、ラベルフレーズ判定処理部２３と、セッションＩＤ登録処理部２４と、アクセス許可処理部２５と、が構築されている。また、記憶装置２Ｂには、ラベルフレーズ記憶部２６と、セッションＩＤ記憶部２７と、が形成されている。
【００３１】
ラベルフレーズ登録処理部２１は、イントラネットＮ２内に設置された状態の端末１から送信されたラベルフレーズを受信してラベルフレーズ記憶部２６（予め規定されたディレクトリ）に記憶する。このとき、同時に送信されたサーバ３１，３２のホスト名をラベルフレーズに関連付けた対応表（サーバアクセス表（図１（ａ）参照））として格納する。
【００３２】
アクセス受付処理部２２（アクセスデータ登録手段）は、外部に持ち出されインターネット網Ｎ１に接続された端末１からのアクセスを受け付け、まず、端末１から送信されたユーザ認証データ（認証ＩＤ，パスワード）と、予めにイントラネットＮ２内の所定のサーバに蓄積されている照合用データに基づいて、ユーザ認証を行う。このとき、ユーザ認証データと照合されるデータは、ゲートウェイ２に蓄積されていてもよい。また、アクセス受付処理部２２は、ユーザ認証が成功すると、端末１からラベルフレーズを受信し、ラベルフレーズ判定処理部２３に通知する。
【００３３】
ラベルフレーズ判定処理部２３は、端末１から送信されたラベルフレーズと、ゲートウェイ２のラベルフレーズ記憶部２６に記憶されているラベルフレーズと、が一致するか否かを判定する。一致していない場合には、端末１とのセッションを切断するが、一致している場合には、セッションＩＤ登録処理部２４に通知する。
【００３４】
セッションＩＤ登録処理部２４（セッション情報登録手段）は、SSLセッションに一意なＩＤを割り当て（送信元IPアドレスと送信元ポート番号から生成、あるいはTCP/IP
APIのソケットIDを流用)、ラベルフレーズとSSLセッションID関連付けたSSLセッションID表を生成し、セッションＩＤ記憶部２７に登録する。
【００３５】
アクセス許可処理部２５（データ通信制御手段）は、以降、ゲートウェイ２が端末１からパケット受信すると、パケットを受信したSSLセッションIDと、SSLセッションID表と、サーバアクセス表とから、アクセス可能なサーバ３１，３２を判別し、当該アクセス可能なサーバ３１，３２へのパケットのみをこれらのサーバ３１，３２に転送する。すなわち、図１に示す例では、端末１から受信したパケットのセッションＩＤが「0000001」である場合に、ＳＳＬセッションＩＤ表（ｂ）を参照して対応するラベルフレーズを特定し、さらに、このラベルフレーズに対応するサーバを、サーバアクセス表（ａ）を参照して特定する。これにより、端末１は、サーバ３１，３２とデータ通信が可能となり、一方で、他のサーバ３３，３４とのデータ通信は不許可となる。
【００３６】
このように、ゲートウェイ２は、アクセス受付処理部２２、ラベルフレーズ判定処理部２３、セッションＩＤ登録処理部２４、アクセス許可処理部２５に示すように、端末１のサーバ３１等に対するアクセスを許可あるいは不許可するアクセス許可手段を備えている。
【００３７】
［動作］
次に、本実施例の動作について、図４乃至図６を参照して説明する。図４は、端末１の動作を示し、図５は、ゲートウェイの動作を示すフローチャートであり、図６は、その動作の一部を詳細に示すフローチャートである。
【００３８】
まず、ラベルフレーズを設定するためのソフトウェアを、リモートアクセスを利用する利用者に配布し、当該利用者の端末１にソフトウェアがインストールされる。すると、上述した構成の端末１が構築される。
【００３９】
そして、端末１がイントラネットＮ２内に設置され接続された状態でインストールされたソフトウェアを実行すると、端末１は、イントラネットＮ２の複数のサーバ３１等と通信を行い（ステップＳ１）、通信可能なサーバ３１，３２を調査する（ステップＳ２）。このとき、図１に示すように、符号３１，３２に示すサーバが、アクセス可能なサーバとして検出されたこととする。
【００４０】
続いて、アクセス可能なサーバ３１，３２に応じたラベル「AB00」を生成し、このラベルを暗号化してラベルフレーズ「Qlda/REJfgna#$EG」を生成する（ステップＳ３）。そして、生成したラベルフレーズを端末１のレジストリに書き込む（ステップＳ４）。また、同時に、この生成したラベルフレーズ「Qlda/REJfgna#$EG」とサーバのホスト名「サーバＡ（３１），サーバＢ（３２）」を、をゲートウェイ２に通知する（ステップＳ５）。
【００４１】
すると、ゲートウェイ２では、送信されたラベルフレーズとサーバのホスト名から構成されたサーバアクセス表（ａ）が、予め規定されたディレクトリに登録される。このとき、上記ラベルフレーズ等は、ラベルフレーズが生成された端末１にて自動的にゲートウェイに通知されることに限定されず、例えば、オペレータにて端末１から読み出されて、当該オペレータの操作によりゲートウェイ２に登録されてもよい。
【００４２】
続いて、図５を参照して、端末１が利用者によって外部に持ち出されたときの動作を説明する。まず、利用者は、外部から端末を用いて、インターネット接続環境からイントラネットアクセスするためにゲートウェイ２にアクセスする。そして、ゲートウェイ２と端末１間でＳＳＬセッションを確立し、認証ＩＤとパスワードによるユーザ認証が行われる（ステップＳ１１，Ｓ１２）。このとき、ユーザ認証で失敗した場合には（ステップＳ１２にて否定判断）、ＳＳＬセッションを切断する（ステップＳ１８）。
【００４３】
一方、ユーザ認証で成功した場合（ステップＳ１２にて肯定判断）、ゲートウェイ２は端末１のレジストリに記録されたラベルフレーズをチェックすべく、端末１からラベルフレーズを受信し（ステップＳ１３）、ゲートウェイ２が保持するサーバアクセス対応表（ａ）内のラベルフレーズと一致するかをチェックする（ステップＳ１４）。ここで、ラベルフレーズが一致しない場合は（ステップＳ１５にて否定判断）、ＳＳＬセッションを切断する（ステップＳ１８）。
【００４４】
一方、ラベルフレーズが一致した場合には（ステップＳ１５にて肯定判断）、送信元である端末１の送信元ＩＰアドレスと送信元ポート番号から一意なＳＳＬセッションＩＤを生成し、ラベルフレーズとＳＳＬセッションＩＤを対応付けて、ＳＳＬセッションＩＤ表（ｂ）に登録する（ステップＳ１６、図１参照）。その後、端末１からのアクセス要求に応じて、送信されたパケットのアクセス許可処理を実行する（ステップＳ１７）。その動作の様子を、図６のフローチャートに示す。
【００４５】
端末１からサーバ３１，３２へゲートウェイ２を介してアクセスがあり、パケットを受信すると（ステップＳ２１）、当該パケットを受信したＳＳＬセッションＩＤ、ＳＳＬセッションＩＤ表（ｂ）とサーバアクセス表（ａ）を参照し（ステップＳ２２）、端末１にアクセスが許可されているか否かを判定する（ステップＳ２３）。アクセスが許可されている場合には（ステップＳ２３にて肯定判断）、その許可されているサーバ３１，３２に対してのみパケットを透過する（ステップＳ２４）。一方、アクセスが許可されていないサーバへのアクセスであった場合には（ステップＳ２３にて否定判断）、端末１にエラー通知を行い（ステップＳ２５）、パケットを破棄する（ステップＳ２６）。その後、セッション切断まで、上述したように、受信したパケットの透過／破棄の処理を繰り返す（ステップＳ２７）。
【００４６】
このようにすることにより、ＩＰアドレスを動的に割り当てるインターネット接続環境や、ＮＡＴやプロキシ経由でインターネットにアクセスする環境であっても、イントラネットＮ２内のサーバ３１等にアクセスする端末１を適切に制限することができる。
【産業上の利用可能性】
【００４７】
本発明は、リモートアクセスを制御するシステムとして利用することができ、産業上の利用可能性を有する。
【図面の簡単な説明】
【００４８】
【図１】本発明の全体構成を示す概略図である。
【図２】端末の構成を示す機能ブロック図である。
【図３】ゲートウェイの構成を示す機能ブロック図である。
【図４】端末の動作を示すフローチャートである。
【図５】ゲートウェイの動作を示すフローチャートである。
【図６】ゲートウェイの動作の一部を示すフローチャートである。
【符号の説明】
【００４９】
１ 端末
２ ゲートウェイ（ゲートウェイ装置）
１１ サーバ調査処理部（サーバ検出手段）
１２ ラベルフレーズ生成処理部（アクセスデータ生成手段）
１３ ラベルフレーズ通知処理部（アクセスデータ通知手段）
１４ リモートアクセス処理部（アクセス要求手段）
１５ ラベルフレーズ記憶部
２１ ラベルフレーズ登録処理部（アクセスデータ登録手段）
２２ アクセス受付処理部（アクセス許可手段）
２３ ラベルフレーズ判定処理部（アクセス許可手段）
２４ セッションＩＤ登録処理部（セッション情報登録手段、アクセス許可手段）
２５ アクセス許可処理部（データ通信制御手段、アクセス許可手段）
２６ ラベルフレーズ記憶部（アクセスデータ記憶手段）
２７ セッションＩＤ記憶部
３１，３２，３３，３４ サーバ
Ｎ１ インターネット網（外部ネットワーク）
Ｎ２ イントラネット（内部ネットワーク）
【特許請求の範囲】
【請求項１】
内部ネットワークに設置されたサーバに接続され外部に持ち運び可能な端末と、前記内部ネットワークに接続された外部ネットワークとの間に設置されたゲートウェイ装置と、を備え、前記外部ネットワークから前記ゲートウェイ装置を介した前記端末による前記サーバへのアクセスを制御するアクセス制御システムであって、
前記端末が、前記内部ネットワークに接続された状態でアクセス可能な前記サーバを検出するサーバ検出手段と、検出されたサーバに基づく固有のアクセス制御用データを生成して当該端末内に記憶するアクセスデータ生成手段と、外部に持ち運ばれ前記外部ネットワークを介して前記サーバへのアクセスを要求する際に前記記憶されたアクセス制御用データを前記ゲートウェイ装置に送信するアクセス要求手段と、を備え、
前記ゲートウェイ装置が、前記端末にて生成された前記アクセス制御用データを記憶するアクセスデータ記憶手段と、前記端末から前記アクセス要求手段によるアクセス要求時に送信された前記アクセス制御用データと前記アクセスデータ記憶手段に記憶された前記アクセス制御用データとに基づいて前記端末の前記サーバに対するアクセスを許可あるいは不許可するアクセス許可手段と、を備えた、
ことを特徴とするアクセス制御システム。
【請求項２】
前記端末が、前記アクセスデータ生成手段にて生成された前記アクセス制御用データを前記ゲートウェイ装置に記憶するよう当該ゲートウェイ装置に送信するアクセスデータ通知手段を備えると共に、
前記ゲートウェイ装置が、前記端末から送信された前記アクセス制御用データを受信して前記アクセスデータ記憶手段に記憶するアクセスデータ登録手段を備えた、
ことを特徴とする請求項１記載のアクセス制御システム。
【請求項３】
前記アクセスデータ通知手段は、前記アクセス制御用データと共に前記サーバ検出手段にて検出された前記サーバを特定するサーバ情報を前記ゲートウェイ装置に送信し、
前記アクセスデータ登録手段は、前記端末から送信された前記アクセス制御用データと前記サーバ情報とを関連付けて前記アクセスデータ記憶手段に記憶する、
ことを特徴とする請求項２記載のアクセス制御システム。
【請求項４】
前記アクセスデータ生成装置は、前記サーバ検出手段にて検出された複数のサーバに基づく固有の前記アクセス制御用データを生成する、ことを特徴とする請求項１，２又は３記載のアクセス制御システム。
【請求項５】
前記アクセスデータ生成装置は、前記サーバ検出手段にて検出された前記サーバと前記端末とに基づく固有の前記アクセス制御用データを生成する、ことを特徴とする請求項１，２，３又は４記載のアクセス制御システム。
【請求項６】
前記アクセスデータ生成装置は、前記生成したアクセス制御用データを暗号化する、ことを特徴とする請求項１，２，３，４又は５記載のアクセス制御システム。
【請求項７】
前記アクセス許可手段は、前記端末から受信したアクセス制御用データと前記アクセスデータ記憶手段に記憶されたアクセス制御用データとが一致した場合に前記端末からのデータ通信を特定する情報と前記アドレス制御用データとを関連付けたセッション情報を生成して前記ゲートウェイ装置に記憶するセッション情報登録手段と、以後の前記端末からのデータ通信に対して前記記憶されたセッション情報に基づいて前記サーバへのデータ通信を制御するデータ通信制御手段と、を備えたことを特徴とする請求項１，２，３，４，５又は６記載のアクセス制御システム。
【請求項８】
内部ネットワークに設置されたサーバに接続されると共に、外部に持ち運び可能であり、外部ネットワークからゲートウェイ装置を介して前記サーバへアクセスを行う端末であって、
前記内部ネットワークに接続された状態でアクセス可能な前記サーバを検出するサーバ検出手段と、
検出されたサーバに基づく固有のデータであって、前記ゲートウェイ装置に記憶されるアクセス制御用データを生成して当該端末内に記憶するアクセスデータ生成手段と、
外部に持ち運ばれ前記外部ネットワークを介して前記サーバへのアクセスを要求する際に自己の端末に記憶された前記アクセス制御用データを前記ゲートウェイ装置に送信するアクセス要求手段と、
を備えたことを特徴とする端末。
【請求項９】
前記請求項１乃至７のいずれかに記載のアクセス制御システムを構成する端末。
【請求項１０】
内部ネットワークと外部ネットワークとの間に設置され、前記内部ネットワークに設置されたサーバに接続され外部に持ち運び可能な端末による前記外部ネットワークから前記サーバへのアクセスを制御するゲートウェイ装置であって、
前記端末が前記内部ネットワークにおいて前記アクセス可能なサーバに基づいて前記端末にて生成された固有のアクセス制御データが記憶されるアクセスデータ記憶手段と、
前記外部ネットワークから前記端末による前記サーバに対するアクセス要求時に当該端末から送信された前記アクセス制御用データと前記アクセスデータ記憶手段に記憶された前記アクセス制御用データとに基づいて前記端末の前記サーバに対するアクセスを許可あるいは不許可するアクセス許可手段と、
を備えたことを特徴とするゲートウェイ装置。
【請求項１１】
前記請求項１乃至７のいずれかに記載のアクセス制御システムを構成するゲートウェイ装置。
【請求項１２】
内部ネットワークに設置されたサーバに接続されると共に、外部に持ち運び可能であり、外部ネットワークからゲートウェイ装置を介して前記サーバへアクセスを行う端末に、
前記内部ネットワークに接続された状態でアクセス可能な前記サーバを検出するサーバ検出手段と、
検出されたサーバに基づく固有のデータであって、前記ゲートウェイ装置に記憶されるアクセス制御用データを生成して当該端末内に記憶するアクセスデータ生成手段と、
外部に持ち運ばれ前記外部ネットワークを介して前記サーバへのアクセスを要求する際に自己の端末に記憶された前記アクセス制御用データを前記ゲートウェイ装置に送信するアクセス要求手段と、
を実現するためのプログラム。
【請求項１３】
内部ネットワークと外部ネットワークとの間に設置され、前記内部ネットワークに設置されたサーバに接続され外部に持ち運び可能な端末による前記外部ネットワークから前記サーバへのアクセスを制御するゲートウェイ装置に、
前記端末が前記内部ネットワークにおいて前記アクセス可能なサーバに基づいて前記端末にて生成された固有のアクセス制御データの入力を受け付けてアクセスデータ記憶手段に記憶するアクセスデータ登録手段と、
前記外部ネットワークから前記端末による前記サーバに対するアクセス要求時に当該端末から送信された前記アクセス制御用データと前記アクセスデータ記憶手段に記憶された前記アクセス制御用データとに基づいて前記端末の前記サーバに対するアクセスを許可あるいは不許可するアクセス許可手段と、
を実現するためのプログラム。
【請求項１４】
内部ネットワークに設置されたサーバに接続され外部に持ち運び可能な端末と、前記内部ネットワークに接続された外部ネットワークとの間に設置されたゲートウェイ装置と、を用いて、前記外部ネットワークから前記ゲートウェイ装置を介した前記端末による前記サーバへのアクセスを制御するアクセス制御方法であって、
前記端末が、前記内部ネットワークに接続された状態でアクセス可能な前記サーバを検出し、当該検出されたサーバに基づく固有のアクセス制御用データを生成して当該端末内に記憶すると共に、この生成された前記アクセス制御用データを前記ゲートウェイ装置が記憶し、
その後、外部に持ち運ばれた前記端末が、前記外部ネットワークを介して前記サーバへのアクセスを要求する際に前記ゲートウェイ装置に前記記憶されたアクセス制御用データを送信し、当該アクセス制御用データ受信した前記ゲートウェイ装置が、自己が記憶している前記アクセス制御用データに基づいて前記端末の前記サーバに対するアクセスを許可あるいは不許可する、
ことを特徴とするアクセス制御方法。
【請求項１】
内部ネットワークに設置されたサーバに接続され外部に持ち運び可能な端末と、前記内部ネットワークに接続された外部ネットワークとの間に設置されたゲートウェイ装置と、を備え、前記外部ネットワークから前記ゲートウェイ装置を介した前記端末による前記サーバへのアクセスを制御するアクセス制御システムであって、
前記端末が、前記内部ネットワークに接続された状態でアクセス可能な前記サーバを検出するサーバ検出手段と、検出されたサーバに基づく固有のアクセス制御用データを生成して当該端末内に記憶するアクセスデータ生成手段と、外部に持ち運ばれ前記外部ネットワークを介して前記サーバへのアクセスを要求する際に前記記憶されたアクセス制御用データを前記ゲートウェイ装置に送信するアクセス要求手段と、を備え、
前記ゲートウェイ装置が、前記端末にて生成された前記アクセス制御用データを記憶するアクセスデータ記憶手段と、前記端末から前記アクセス要求手段によるアクセス要求時に送信された前記アクセス制御用データと前記アクセスデータ記憶手段に記憶された前記アクセス制御用データとに基づいて前記端末の前記サーバに対するアクセスを許可あるいは不許可するアクセス許可手段と、を備えた、
ことを特徴とするアクセス制御システム。
【請求項２】
前記端末が、前記アクセスデータ生成手段にて生成された前記アクセス制御用データを前記ゲートウェイ装置に記憶するよう当該ゲートウェイ装置に送信するアクセスデータ通知手段を備えると共に、
前記ゲートウェイ装置が、前記端末から送信された前記アクセス制御用データを受信して前記アクセスデータ記憶手段に記憶するアクセスデータ登録手段を備えた、
ことを特徴とする請求項１記載のアクセス制御システム。
【請求項３】
前記アクセスデータ通知手段は、前記アクセス制御用データと共に前記サーバ検出手段にて検出された前記サーバを特定するサーバ情報を前記ゲートウェイ装置に送信し、
前記アクセスデータ登録手段は、前記端末から送信された前記アクセス制御用データと前記サーバ情報とを関連付けて前記アクセスデータ記憶手段に記憶する、
ことを特徴とする請求項２記載のアクセス制御システム。
【請求項４】
前記アクセスデータ生成装置は、前記サーバ検出手段にて検出された複数のサーバに基づく固有の前記アクセス制御用データを生成する、ことを特徴とする請求項１，２又は３記載のアクセス制御システム。
【請求項５】
前記アクセスデータ生成装置は、前記サーバ検出手段にて検出された前記サーバと前記端末とに基づく固有の前記アクセス制御用データを生成する、ことを特徴とする請求項１，２，３又は４記載のアクセス制御システム。
【請求項６】
前記アクセスデータ生成装置は、前記生成したアクセス制御用データを暗号化する、ことを特徴とする請求項１，２，３，４又は５記載のアクセス制御システム。
【請求項７】
前記アクセス許可手段は、前記端末から受信したアクセス制御用データと前記アクセスデータ記憶手段に記憶されたアクセス制御用データとが一致した場合に前記端末からのデータ通信を特定する情報と前記アドレス制御用データとを関連付けたセッション情報を生成して前記ゲートウェイ装置に記憶するセッション情報登録手段と、以後の前記端末からのデータ通信に対して前記記憶されたセッション情報に基づいて前記サーバへのデータ通信を制御するデータ通信制御手段と、を備えたことを特徴とする請求項１，２，３，４，５又は６記載のアクセス制御システム。
【請求項８】
内部ネットワークに設置されたサーバに接続されると共に、外部に持ち運び可能であり、外部ネットワークからゲートウェイ装置を介して前記サーバへアクセスを行う端末であって、
前記内部ネットワークに接続された状態でアクセス可能な前記サーバを検出するサーバ検出手段と、
検出されたサーバに基づく固有のデータであって、前記ゲートウェイ装置に記憶されるアクセス制御用データを生成して当該端末内に記憶するアクセスデータ生成手段と、
外部に持ち運ばれ前記外部ネットワークを介して前記サーバへのアクセスを要求する際に自己の端末に記憶された前記アクセス制御用データを前記ゲートウェイ装置に送信するアクセス要求手段と、
を備えたことを特徴とする端末。
【請求項９】
前記請求項１乃至７のいずれかに記載のアクセス制御システムを構成する端末。
【請求項１０】
内部ネットワークと外部ネットワークとの間に設置され、前記内部ネットワークに設置されたサーバに接続され外部に持ち運び可能な端末による前記外部ネットワークから前記サーバへのアクセスを制御するゲートウェイ装置であって、
前記端末が前記内部ネットワークにおいて前記アクセス可能なサーバに基づいて前記端末にて生成された固有のアクセス制御データが記憶されるアクセスデータ記憶手段と、
前記外部ネットワークから前記端末による前記サーバに対するアクセス要求時に当該端末から送信された前記アクセス制御用データと前記アクセスデータ記憶手段に記憶された前記アクセス制御用データとに基づいて前記端末の前記サーバに対するアクセスを許可あるいは不許可するアクセス許可手段と、
を備えたことを特徴とするゲートウェイ装置。
【請求項１１】
前記請求項１乃至７のいずれかに記載のアクセス制御システムを構成するゲートウェイ装置。
【請求項１２】
内部ネットワークに設置されたサーバに接続されると共に、外部に持ち運び可能であり、外部ネットワークからゲートウェイ装置を介して前記サーバへアクセスを行う端末に、
前記内部ネットワークに接続された状態でアクセス可能な前記サーバを検出するサーバ検出手段と、
検出されたサーバに基づく固有のデータであって、前記ゲートウェイ装置に記憶されるアクセス制御用データを生成して当該端末内に記憶するアクセスデータ生成手段と、
外部に持ち運ばれ前記外部ネットワークを介して前記サーバへのアクセスを要求する際に自己の端末に記憶された前記アクセス制御用データを前記ゲートウェイ装置に送信するアクセス要求手段と、
を実現するためのプログラム。
【請求項１３】
内部ネットワークと外部ネットワークとの間に設置され、前記内部ネットワークに設置されたサーバに接続され外部に持ち運び可能な端末による前記外部ネットワークから前記サーバへのアクセスを制御するゲートウェイ装置に、
前記端末が前記内部ネットワークにおいて前記アクセス可能なサーバに基づいて前記端末にて生成された固有のアクセス制御データの入力を受け付けてアクセスデータ記憶手段に記憶するアクセスデータ登録手段と、
前記外部ネットワークから前記端末による前記サーバに対するアクセス要求時に当該端末から送信された前記アクセス制御用データと前記アクセスデータ記憶手段に記憶された前記アクセス制御用データとに基づいて前記端末の前記サーバに対するアクセスを許可あるいは不許可するアクセス許可手段と、
を実現するためのプログラム。
【請求項１４】
内部ネットワークに設置されたサーバに接続され外部に持ち運び可能な端末と、前記内部ネットワークに接続された外部ネットワークとの間に設置されたゲートウェイ装置と、を用いて、前記外部ネットワークから前記ゲートウェイ装置を介した前記端末による前記サーバへのアクセスを制御するアクセス制御方法であって、
前記端末が、前記内部ネットワークに接続された状態でアクセス可能な前記サーバを検出し、当該検出されたサーバに基づく固有のアクセス制御用データを生成して当該端末内に記憶すると共に、この生成された前記アクセス制御用データを前記ゲートウェイ装置が記憶し、
その後、外部に持ち運ばれた前記端末が、前記外部ネットワークを介して前記サーバへのアクセスを要求する際に前記ゲートウェイ装置に前記記憶されたアクセス制御用データを送信し、当該アクセス制御用データ受信した前記ゲートウェイ装置が、自己が記憶している前記アクセス制御用データに基づいて前記端末の前記サーバに対するアクセスを許可あるいは不許可する、
ことを特徴とするアクセス制御方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図２】
【図３】
【図４】
【図５】
【図６】
【公開番号】特開２００６−２７９５７９（Ｐ２００６−２７９５７９Ａ）
【公開日】平成１８年１０月１２日（２００６．１０．１２）
【国際特許分類】
【出願番号】特願２００５−９６２２６（Ｐ２００５−９６２２６）
【出願日】平成１７年３月２９日（２００５．３．２９）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
【公開日】平成１８年１０月１２日（２００６．１０．１２）
【国際特許分類】
【出願日】平成１７年３月２９日（２００５．３．２９）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
[ Back to top ]