インターネット接続システム、方法およびプログラム
【課題】 不特定多数の端末装置がインターネットに接続可能な任意の利用者環境からのインターネットの利用において、端末装置にセキュアな通信環境を提供する。
【解決手段】 利用者ＰＣ１２０との間にＶＰＮトンネル３０を形成するＶＰＮゲートウェイ２２０を含むセキュアアクセスポイント２００を備え、セキュアアクセスポイント２００は、利用者ＰＣ１２０からＶＰＮ通信によって受信した暗号データを含むパケットをＶＰＮゲートウェイ２２０に出力し、ＶＰＮゲートウェイ２２０から出力された暗号データを含むパケットを利用者ＰＣ１２０に宛ててインターネット４０に送出する入力側ファイアウォール２１０と、ＶＰＮゲートウェイ２２０から出力されたパケットを利用者ＰＣ１２０の通信相手に宛ててインターネット４０に送出し、通信相手から受信した応答のパケットをＶＰＮゲートウェイ２２０に出力する出力側ファイアウォール２３０とを含む。
【解決手段】 利用者ＰＣ１２０との間にＶＰＮトンネル３０を形成するＶＰＮゲートウェイ２２０を含むセキュアアクセスポイント２００を備え、セキュアアクセスポイント２００は、利用者ＰＣ１２０からＶＰＮ通信によって受信した暗号データを含むパケットをＶＰＮゲートウェイ２２０に出力し、ＶＰＮゲートウェイ２２０から出力された暗号データを含むパケットを利用者ＰＣ１２０に宛ててインターネット４０に送出する入力側ファイアウォール２１０と、ＶＰＮゲートウェイ２２０から出力されたパケットを利用者ＰＣ１２０の通信相手に宛ててインターネット４０に送出し、通信相手から受信した応答のパケットをＶＰＮゲートウェイ２２０に出力する出力側ファイアウォール２３０とを含む。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、モバイル環境にある携帯端末がインターネットを介して安全性の高い通信を行うことができるインターネット接続システム、方法およびプログラムに関する。
【背景技術】
【０００２】
ホテル、ファーストフード店、駅構内などに設けられたホットスポット（登録商標）等の公衆無線ＬＡＮシステムを介するインターネットの利用が増えつつある。公衆無線ＬＡＮ環境は、比較的機密性が低い環境であり、不正アクセスやコンピュータウィルス（以下、ウィルスという。）感染の危険性が高くなる。
【０００３】
インターネットを介するセキュアな通信を実現するための方法としてＶＰＮ（Virtual Private Network ）がある（例えば、特許文献１，２参照。）。通信網としてインターネットを用いるＶＰＮでは、通信を行う一の装置と他の装置と間でトンネル化が図られるのであるが、システム内に、一の装置と他の装置と間の通信を中継する監視装置が設置されることがある。
【０００４】
その場合、一の装置は、監視装置とＶＰＮ通信（ＶＰＮとしてトンネル化された通信）を行い、さらに、監視装置と他の装置とがＶＰＮ通信を行う。
【０００５】
【特許文献１】特開２００３−３０４２８９号公報（段落００２６−００２７、図１）
【特許文献２】特開２００２−３５８２５９号公報（段落００４４−００４９、図１１）
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかし、特許文献１に記載された方式では、監視装置が、一の装置のＩＰアドレスが固定的あることが前提になっている（特許文献１の段落００２６参照）。また、特許文献２に記載された方式では、セキュリティサーバが、ルータの固有情報（シリアル番号、特許文献２の段落００４４参照）をもとに認証を行ってＶＰＮ通信を実現している。
【０００７】
一般に、公衆無線ＬＡＮシステムでは、公衆無線ＬＡＮ環境内にある携帯端末が無線ＬＡＮアクセスポイントおよびインターネットを介する通信を行う場合に、無線ＬＡＮアクセスポイントが、携帯端末にＩＰアドレスを割り当てる。従って、ＩＰアドレスが固定的あることが前提になっている方式を、公衆無線ＬＡＮシステムを介するインターネットの利用に適用することは困難である。
【０００８】
公衆無線ＬＡＮシステムを介するインターネットの利用においてＶＰＮ通信を実現するために、ルータの固有情報という概念を無線ＬＡＮアクセスポイントに適用し、無線ＬＡＮアクセスポイントによってセキュリティサーバが認証を行うことが考えられる。しかし、そのような考え方のもとでは、無線ＬＡＮアクセスポイントが、セキュリティサーバが認証を行うシステムに参加していないと、携帯端末は、ＶＰＮ通信によるセキュアな通信環境を得ることができない。
【０００９】
そこで、本発明は、不特定多数の端末装置がインターネットに接続可能な任意の利用者環境からのインターネットの利用において、端末装置が、ＶＰＮ通信によるセキュアな通信環境を得ることができるインターネット接続システム、方法およびプログラムを提供することを目的とする。
【課題を解決するための手段】
【００１０】
本発明によるインターネット接続システムは、端末装置がＶＰＮ通信機能を有し、インターネットに接続可能であって、端末装置との間にＶＰＮトンネルを形成するＶＰＮゲートウェイを含むセキュアアクセスポイントを備えたことを特徴とする。
【００１１】
不特定多数の端末装置がインターネットに接続可能な利用者環境は、例えば、無線ＬＡＮアクセスポイントが設置された公衆無線ＬＡＮ環境である。
【００１２】
セキュアアクセスポイントは、例えば、端末装置からＶＰＮ通信によって受信した暗号データを含むパケットをＶＰＮゲートウェイに出力するとともに、ＶＰＮゲートウェイから出力された暗号データを含むパケットを端末装置に宛ててインターネットに送出する入力側ファイアウォールと、ＶＰＮゲートウェイから出力されたパケットを端末装置の通信相手に宛ててインターネットに送出するとともに、通信相手から受信した応答のパケットをＶＰＮゲートウェイに出力する出力側ファイアウォールとを含むように構成される。
【００１３】
端末装置が、送信元ＩＰアドレスとして自装置のＩＰアドレスを設定し宛先ＩＰアドレスとしてＶＰＮゲートウェイのＩＰアドレスを設定したＩＰヘッダが、暗号化されたデータに対して付加されたパケットを送信し、入力側ファイアウォールが、端末装置から受信したパケットのＩＰヘッダにおける送信元ＩＰアドレスを入力側ファイアウォールのＩＰアドレスに変換するとともに、ＶＰＮゲートウェイから入力したパケットのＩＰヘッダにおける宛先ＩＰアドレスを入力側ファイアウォールのＩＰアドレスから端末装置のＩＰアドレスに変換するアドレス変換部を含み、ＶＰＮゲートウェイが、出力側ファイアウォールから入力したパケットを暗号化し、送信元ＩＰアドレスとしてＶＰＮゲートウェイのＩＰアドレスを設定し宛先ＩＰアドレスとして入力側ファイアウォールのＩＰアドレスを設定したＩＰヘッダが付加されたパケットを作成するＶＰＮ通信部と、ＶＰＮ通信部が作成したパケットを入力側ファイアウォールに出力するアクセス制御部とを含むように構成されていてもよい。
【００１４】
ＶＰＮ通信部が、入力側ファイアウォールから入力したパケットについて復号を行い、ＶＰＮゲートウェイが、ＶＰＮ通信部の復号によって得られたパケットにおけるＩＰヘッダに設定されている送信元ＩＰアドレスを端末装置のＩＰアドレスからＶＰＮゲートウェイのＩＰアドレスに変換するとともに、出力側ファイアウォールから入力したパケットにおけるＩＰヘッダに設定されている宛先ＩＰアドレスをＶＰＮゲートウェイのＩＰアドレスから端末装置のＩＰアドレスに変換するアドレス変換部を含むように構成されていてもよい。
【００１５】
出力側ファイアウォールは、入出力するデータのウィルスチェックを行うウィルスチェック部を含むことが好ましい。
【００１６】
本発明によるインターネット接続方法は、端末装置が、ＶＰＮ通信機能を実現するためのＶＰＮ通信ソフトウェアをインストールし、端末装置が、ＶＰＮ通信ソフトウェアに従って、宛先アドレスとしての通信相手のＩＰアドレスを含むデータを暗号化したデータに対して、宛先アドレスとしてのＶＰＮゲートウェイのＩＰアドレスを付加したパケットをインターネットに送出し、ＶＰＮゲートウェイが、端末装置から受信されたパケットについて復号を行い、復号して得られた通信相手のＩＰアドレスに宛てて、復号して得られたパケットをインターネットに送出することを特徴とする。
【００１７】
本発明によるインターネット接続プログラムは、端末装置との間にＶＰＮトンネルを形成するサーバに、端末装置から受信した暗号化されたデータを復号させ、復号して得られた通信相手のＩＰアドレスに宛てて、復号して得られたパケットをインターネットに送出させることを特徴とする。
【発明の効果】
【００１８】
本発明によれば、不特定多数の端末装置がインターネットに接続可能な任意の利用者環境からのインターネットの利用において、端末装置が、ＶＰＮ通信によるセキュアな通信環境を得ることができる。
【発明を実施するための最良の形態】
【００１９】
以下、本発明の実施の形態を図面を参照して説明する。
図１は、本発明によるインターネット接続システムの構成例を示すブロック図である。図１に示すシステムでは、公衆無線ＬＡＮの無線通信可能領域（以下、利用者環境ともいう。）１０に存在する利用者パーソナルコンピュータ（ＰＣ）１２０が、インターネット４０を利用する場合、無線ＬＡＮアクセスポイント１１と無線通信を行う。無線ＬＡＮアクセスポイント１１は、ルータ機能も有し、インターネット４０と接続可能である。利用者ＰＣ１２０は、ユーザ（利用者）が使用するパーソナルコンピュータであり、ＶＰＮ通信機能が実装されている。
【００２０】
また、高安全なインターネット接続環境を提供するサービス提供会社が運営するセキュアアクセスポイント２００が設置されている。セキュアアクセスポイント２００には、入力側ファイアウォール２１０、利用者ＰＣ１２０とのＶＰＮ通信を実現するＶＰＮゲートウェイ２２０および出力側ファイアウォール２３０が設けられている。
【００２１】
入力側ファイアウォール２１０は、インターネット４０側からＶＰＮ通信によるパケットのみを通過させるとともに、ＶＰＮゲートウェイ２２０が出力する利用者ＰＣ１２０宛ての応答のパケットを利用者ＰＣ１２０に宛てて送信する。出力側ファイアウォール２３０は、ＶＰＮゲートウェイ２２０から出力されるパケットについてウィルスチェックを行ってインターネット４０を介して送信するとともに、ＶＰＮゲートウェイ２２０宛てのパケットについてウィルスチェックを行う。
【００２２】
図２は、利用者ＰＣ１２０の構成例を示すブロック図である。利用者ＰＣ１２０において、制御部（ＣＰＵ）１２１が記憶部１２２に記憶されているプログラムに従って制御を行うのであるが、記憶部１２２には、ＶＰＮ通信ソフトウェア１２３が含まれている。また、利用者ＰＣ１２０には、アンテナを含む無線ＬＡＮ通信部１２４が実装されている。
【００２３】
図３は、入力側ファイアウォール２１０の構成例を示すブロック図である。図３に示す構成では、入力側ファイアウォール２１０において、アクセス制御部２１１は、通信部２１５を介してインターネット４０と通信可能に接続され、アクセス制御リスト２１２の記載に従って通信制御を行う。アクセス制御リスト２１２には、ＶＰＮゲートウェイ２２０宛てのＶＰＮ通信のデータのみを通過させる旨が記載されている。アドレス変換部２１３は、ＶＰＮゲートウェイ２２０宛てのパケットのＩＰヘッダに記載されている送信元ＩＰアドレスを、利用者ＰＣ１２０のＩＰアドレスから入力側ファイアウォール２１０のＩＰアドレスに変換してＶＰＮゲートウェイ２２０に出力する。また、ＶＰＮゲートウェイ２２０から出力された応答のパケットのＩＰヘッダに記載されている送信先ＩＰアドレス（宛先ＩＰアドレス）を利用者ＰＣ１２０に変換する。
【００２４】
図４は、ＶＰＮゲートウェイ２２０の構成例を示すブロック図である。図４に示す構成では、ＶＰＮゲートウェイ２２０において、利用者認証部２２１は、利用者認証データベース２２２に登録されている利用者毎の認証情報にもとづいて、利用者（具体的には利用者ＰＣ１２０）が正当なものか否か認証する。この実施の形態では、利用者認証データベース２２２には、図５に例示するように、利用者毎のＩＤとパスワードとが登録されている。
【００２５】
ＶＰＮ通信部２２３は、利用者ＰＣ１２０との間にＶＰＮトンネル３０を構成してＶＰＮ通信を実現する。具体的には、ＩＥＴＦ（Internet Engineering Task Force ）によってＶＰＮ標準プロトコルとして定義されたＩＰＳｅｃ（IP Security protocol）にもとづく暗号化／復号や通信データの認証を行う。利用者ＰＣアドレス変換部２２４は、ＶＰＮトンネル３０によって受信され利用者ＰＣ１２０の通信相手に転送するパケットにおけるＩＰヘッダの送信元ＩＰアドレスを、利用者ＰＣ１２０のＩＰアドレスからＶＰＮゲートウェイ２２０のＩＰアドレスに変換する。また、出力側ファイアウォール２３０から出力された応答のパケットのＩＰヘッダに記載されている送信先ＩＰアドレス（宛先ＩＰアドレス）を利用者ＰＣ１２０に変換する。
【００２６】
図６は、出力側ファイアウォール２３０の構成例を示すブロック図である。図６に示す構成では、出力側ファイアウォール２３０において、アクセス制御部２３１は、通信部２３５を介してインターネット４０と通信可能に接続され、アクセス制御リスト２３２の記載に従って通信制御を行う。アクセス制御リスト２３２には、ＶＰＮゲートウェイ２２０から発信されたデータ、およびそのデータに対する応答のデータのみを通過させる旨が記載されている。また、ウィルスチェック部２３３は、ウィルスパターンデータベース（ウィルスパターンＤＢ）２３４に記載されているパターンデータにもとづいてウィルスチェックを実行する。ウィルスパターンＤＢ２３４には、図７に例示されているように、ウィルス毎のパターンデータが記載されている。
【００２７】
なお、入力側ファイアウォール２１０、ＶＰＮゲートウェイ２２０および出力側ファイアウォール２３０は、それぞれ、サーバ装置などの情報処理装置（コンピュータ）で実現される。入力側ファイアウォール２１０およびＶＰＮゲートウェイ２２０を通信機能を有する１つの情報処理装置で実現してもよく、入力側ファイアウォール２１０、ＶＰＮゲートウェイ２２０および出力側ファイアウォール２３０を通信機能を有する１つの情報処理装置で実現してもよい。
【００２８】
入力側ファイアウォール２１０において、アクセス制御部２１１およびアドレス変換部２１３は、例えば、情報処理装置のＣＰＵが実行するソフトウェアで実現される。ＶＰＮゲートウェイ２２０において、利用者認証部２２１、ＶＰＮ通信部２２３および利用者ＰＣアドレス変換部２２４は、例えば、情報処理装置のＣＰＵが実行するソフトウェアで実現される。出力側ファイアウォール２３０において、アクセス制御部２３１およびウィルスチェック部２３３は、例えば、情報処理装置のＣＰＵが実行するソフトウェアで実現される。
【００２９】
図８および図９を参照して、パケットのフォーマットについて説明する。図８における（１）に示すように、利用者ＰＣ１２０は、ＶＰＮ通信時に、通信相手に対して送信されるべきデータ（ＩＰヘッダとデータ部）を暗号化し、ＶＰＮヘッダでカプセル化し、さらに、送信元ＩＰアドレスとして自装置に割り当てられたＩＰアドレスを設定し宛先アドレスとしてＶＰＮゲートウェイ２２０のＩＰアドレスを設定したＩＰヘッダがトンネル化のために付加されたパケットを、インターネット４０を介して送信する。ＶＰＮヘッダは、例えば、ＩＰＳｅｃで規定されているＡＨ（Authentication header ）である。
【００３０】
図８における（２）に示すように、入力側ファイアウォール２１０は、ＩＰヘッダにおける送信元ＩＰアドレスを入力側ファイアウォール２１０のＩＰアドレスに変換して、パケットをＶＰＮゲートウェイ２２０に出力する。
【００３１】
図８における（３）に示すように、ＶＰＮゲートウェイ２２０は、暗号化データを復号してデータ（ＩＰヘッダとデータ部）を得て、得られたＩＰヘッダにおける送信元ＩＰアドレスを、利用者ＰＣ１２０のＩＰアドレスからＶＰＮゲートウェイ２２０のＩＰアドレスに変換して、復号して得られたパケットを、出力側ファイアウォール２２０およびインターネット４０を介して利用者ＰＣ１２０の通信相手に宛てて送信する。
【００３２】
利用者ＰＣ１２０の通信相手は、図９における（４）に示すような応答のパケットをＶＰＮゲートウェイ２２０に宛てて送信する。図９における（５）に示すように、ＶＰＮゲートウェイ２２０は、受信したデータ（ＩＰヘッダとデータ部）における宛先ＩＰアドレスを利用者ＰＣのＩＰアドレスに変換してからデータ（ＩＰヘッダとデータ部）を暗号化し、ＶＰＮヘッダでカプセル化し、さらに、送信元ＩＰアドレスとしてＶＰＮゲートウェイ２２０を設定し宛先アドレスとして入力側ファイアウォール２１０のＩＰアドレスを設定したＩＰヘッダが付加されたパケットを、入力側ファイアウォール２１０に出力する。
【００３３】
図９における（６）に示すように、入力側ファイアウォール２１０は、ＩＰヘッダにおける宛先アドレスを利用者ＰＣ１２０のＩＰアドレスに変換して、パケットを、インターネット４０を介して利用者ＰＣ１２０に宛てて送信する。
【００３４】
次に、インターネット接続システムの動作を説明する。まず、図１０のフローチャートを参照して、セキュアなインターネット接続サービスが開始されるまでの動作を説明する。ユーザは、まず、サービス提供会社とインターネット接続サービスの契約を行う（ステップＳ１）。契約は、例えば、サービス提供会社が公開する契約用のＷｅｂページに利用者が必要事項を記入することによってなされる。
【００３５】
契約が成立すると、サービス提供会社において、ＶＰＮゲートウェイ２２０における利用者認証データベース２２２に、利用者の認証情報が登録される（ステップＳ２）。利用者の認証情報は、図５に例示されたような利用者ＩＤとパスワードである。また、サービス提供会社は、ＶＰＮ通信ソフトウェア１２３を記録したＣＤ−ＲＯＭなどの記憶媒体と、利用者の認証情報とを、郵送などの手段によって利用者に配布する（ステップＳ３）。利用者は、利用者ＰＣ１２０に搭載されているＣＤ−ＲＯＭ読取装置などの記憶媒体読取装置で記憶媒体に記録されているＶＰＮ通信ソフトウェア１２３を読み取らせ、利用者ＰＣ１２０にインストールする（ステップＳ４）。
【００３６】
図１に例示したシステムで、利用者が、利用者環境１０において、インターネットを利用する場合、利用者ＰＣ１２０の無線ＬＡＮ通信部１２４および無線ＬＡＮアクセスポイント１１を介してインターネット４０に接続される。利用者ＰＣ１２０のＩＰアドレスは、無線ＬＡＮアクセスポイント１１によって付与される。また、ＶＰＮ通信ソフトウェア１２３に従って、利用者ＰＣ１２０は、まず、セキュアアクセスポイント２００におけるＶＰＮゲートウェイ２２０に接続する（ステップＳ５）。ＶＰＮゲートウェイ２２０は、インターネット４０に接続され公開されている。すなわち、ＶＰＮトンネル３０が形成されていないときには、全ての利用者は、入力側ファイアウォール２１０を介さずにＶＰＮゲートウェイ２２０をアクセスすることができる。
【００３７】
ＶＰＮゲートウェイ２２０において、利用者認証部２２１は、利用者の正当性を確認するために、アクセスした利用者ＰＣ１２０に対して認証情報を要求する。ユーザが認証情報を利用者ＰＣ１２０に入力すると、利用者ＰＣ１２０は、入力された認証情報をＶＰＮゲートウェイ２２０に宛てて送信する。ＶＰＮゲートウェイ２２０は、利用者ＰＣ１２０から受信した認証情報と利用者認証データベース２２２に登録されている利用者情報とを比較し（ステップＳ６）、それらが一致しない場合には接続を拒否する。一致した場合には、ＶＰＮトンネル３０を確立する（ステップＳ７）。すなわち、ＶＰＮゲートウェイ２２０は、利用者ＰＣ１２０に対して、以後、ＶＰＮ通信を行うように指示する。
【００３８】
その後、利用者ＰＣ１２０は、インターネット４０を介する通信相手（サーバ等）との通信を、ＶＰＮゲートウェイ２２０経由でセキュアな通信によって実行することができる。すなわち、サービス提供会社は、利用者ＰＣ１２０の利用者に、高安全性インターネット接続サービスを提供する（ステップＳ８）。
【００３９】
次に、図１１のフローチャートを参照して、高安全性インターネット接続サービス提供時の送信動作を説明する。
【００４０】
ＶＰＮ通信時に、利用者ＰＣ１２０は、ＶＰＮ通信ソフトウェア１２３に従ってデータを暗号化し、ＶＰＮヘッダを付加する（ステップＳ１１）。また、図８（１）に示すように、パケットには、送信元ＩＰアドレスとして利用者ＰＣ１２０のＩＰアドレスが設定され、宛先アドレスとしてＶＰＮゲートウェイ２２０のＩＰアドレスが設定されたＩＰヘッダが付加される。よって、利用者ＰＣ１２０から送信されるデータは、ＶＰＮゲートウェイ２２０に宛てて配信される（ステップＳ１１）。
【００４１】
なお、以下の説明では、トンネル化のために付加されたＩＰヘッダと、暗号化されているデータ中のＩＰヘッダとを区別するために、トンネル化のために付加されたＩＰヘッダに設定されているＩＰアドレスを、ＶＰＮヘッダに関する（または、「ＶＰＮヘッダに含まれる」）ＩＰアドレスといい、データ中のＩＰヘッダに設定されているＩＰアドレスを通信のＩＰアドレスという。
【００４２】
ＶＰＮゲートウェイ２２０宛てのデータは、セキュアアクセスポイント２００において、入力側ファイアウォール２１０に入力する。入力側ファイアウォール２１０において、アクセス制御部２１１は、入力されたパケットがＶＰＮ通信によるものであるか否かチェックする（ステップＳ１２）。そして、ＶＰＮ通信によるものであることを確認したら、入力されたパケットをアドレス変換部２１３に引き渡す。アクセス制御部２１１は、ＶＰＮ通信によるものでないことを確認したら、入力されたパケットを破棄する。すなわち、通信を遮断する。なお、アクセス制御部２１１は、ＶＰＮ通信によるものであるか否かを、例えば、ＡＨが使用されているか否かによって判断することができる。
【００４３】
アドレス変換部２１３は、ＶＰＮヘッダに関する送信元ＩＰアドレスを、利用者ＰＣ１２０のＩＰアドレスから、入力側ファイアウォール２１０のＩＰアドレスに変換してＶＰＮゲートウェイ２２０に出力する（ステップＳ１３）。ＩＰアドレスを変換することによって、入力側ファイアウォール２１０経由、および出力側ファイアウォール２３０経由でインターネット４０に接続しているＶＰＮゲートウェイ２２０は、いずれの経路でパケットを受信したのか判別できる。
【００４４】
ＶＰＮゲートウェイ２２０において、ＶＰＮ通信部２２３は、ＶＰＮヘッダを外してから暗号化されたデータを復号する（ステップＳ１４）。利用者ＰＣアドレス変換部２２４は、通信の送信元ＩＰアドレスを、利用者ＰＣ１２０のＩＰアドレスから、ＶＰＮゲートウェイ２２０のＩＰアドレスに変換する（ステップＳ１５）。そして、復号されたパケットを出力側ファイアウォール２３０に出力する。ＩＰアドレスを変換することによって、通信相手は、利用者ＰＣ１２０に返送すべきパケットを、ＶＰＮゲートウェイ２２０に送信することになる。
【００４５】
出力側ファイアウォール２３０において、ウィルスチェック部２３３は、ＶＰＮゲートウェイ２２０が出力したパケットのデータについて、ウィルスパターンデータベース２３４に記載されているパターンデータにもとづいてウィルスチェックを実行する。ウィルスを発見した場合には、通信を切断し、利用者ＰＣ１２０に対して、ウィルスを発見した旨の電子メールを送信する（ステップＳ１６）。アクセス制御部２３１は、パケットがＶＰＮゲートウェイ２２０が出力したパケットであるか否かチェックし、ＶＰＮゲートウェイ２２０が出力したパケットであれば、それをインターネット４０に送出する（ステップＳ１７）。
【００４６】
次に、図１１のフローチャートを参照して、高安全性インターネット接続サービス提供時の受信動作を説明する。利用者ＰＣ１２０の通信相手は、応答のパケットをＶＰＮゲートウェイ２２０に宛てて送信する。セキュアアクセスポイント２００において、応答のパケットは、出力側ファイアウォール２３０に入力する。出力側ファイアウォール２３０において、アクセス制御部２３１は、入力されたパケットが、ＶＰＮゲートウェイ２２０が送信したパケットの応答であるか否か確認する（ステップＳ２１）。アクセス制御部２３１は、例えば、ＩＰヘッダにおける送信元ＩＰアドレスやポート番号が、既にＶＰＮゲートウェイ２２０が送信したパケットのＩＰヘッダにおける宛先ＩＰアドレスやポート番号と一致するか否かによって、ＶＰＮゲートウェイ２２０が送信したパケットの応答であるか否か確認することができる。アクセス制御部２３１は、ＶＰＮゲートウェイ２２０が送信したパケットの応答でないことを確認したら、そのパケットを破棄する。すなわち、通信を遮断する。
【００４７】
次いで、ウィルスチェック部２３３は、パケットのデータについて、ウィルスパターンデータベース２３４に記載されているパターンデータにもとづいてウィルスチェックを実行する（ステップＳ２２）。ウィルスを発見した場合には、通信を切断する。ウィルスを発見しない場合には、パケットをＶＰＮゲートウェイ２２０に引き渡す。
【００４８】
ＶＰＮゲートウェイ２２０において、利用者ＰＣアドレス変換部２２４は、通信のＩＰヘッダにおける宛先ＩＰアドレスを、ＶＰＮゲートウェイ２２０のＩＰアドレスから、利用者ＰＣ１２０のＩＰアドレスに変換する（ステップＳ２３）。ＶＰＮ通信部２２３は、パケットのデータを暗号化し、ＶＰＮヘッダを付加して、入力側ファイアウォール２１０に出力する（ステップＳ２４）。なお、ＶＰＮヘッダに関する宛先ＩＰアドレスとして入力側ファイアウォール２１０のＩＰアドレスが設定される。
【００４９】
入力側ファイアウォール２１０において、アドレス変換部２１３は、ＶＰＮヘッダに関する宛先ＩＰアドレスを、入力側ファイアウォール２１０のＩＰアドレスから利用者ＰＣ１２０のＩＰアドレスに変換する（ステップＳ２５）。アクセス制御部２１１は、入力したパケットがＶＰＮ通信によるものであるか否かチェックする（ステップＳ２６）。そして、ＶＰＮ通信によるものであることを確認したら、パケットをインターネット４０に送出する。
【００５０】
入力側ファイアウォール２１０から送出されたパケットは、インターネット４０および無線ＬＡＮアクセスポイント１１を介して利用者ＰＣ１２０に到達する。利用者ＰＣ１２０はＶＰＮ通信ソフトウェア１２３に従って、パケットのＶＰＮヘッダを外し、データを復号する（ステップＳ２７）。
【００５１】
以上に説明したように、上記の実施の形態のインターネット接続システムによれば、利用者が特に意識することなく、ＶＰＮ通信ソフトウェア１２３によってセキュアアクセスポイント２００経由で通信が行われ、セキュアアクセスポイント２００において、不正アクセスやウィルスが混入した通信を遮断する。従って、利用者が意識することなく安全性が高いインターネット接続を行うことができる。
【００５２】
また、パーソナルコンピュータのＯＳの中にはＶＰＮ通信機能を持つものもあるが、ＯＳ毎に仕様が異なって、そのようなＶＰＮ通信機能を使用するとＶＰＮゲートウェイト２２０と通信できないという可能性もある。しかし、上記の実施の形態では、ＶＰＮ通信ソフトウェア１２３がセキュアアクセスポイント２００を運営するサービス会社等から配布されるので、接続仕様を一定にすることができ、どのような利用者環境からもＶＰＮゲートウェイト２２０と通信できる。
【００５３】
なお、上記の実施の形態では、不特定多数の端末装置がインターネットに接続可能な利用者環境として無線ＬＡＮアクセスポイント１１が設置された公衆無線ＬＡＮ環境を例示したが、不特定多数の端末装置がインターネットに接続可能な利用者環境は公衆無線ＬＡＮ環境に限られず、他の形態のモバイル環境でも本発明を適用することができる。さらには、モバイル環境ではなく、固定的なインターネット接続環境でも本発明を適用することができる。
【００５４】
また、上記の実施の形態では、インターネットを利用する端末装置としてパーソナルコンピュータを例示したが、端末装置はパーソナルコンピュータに限られず、ＰＤＡ等の他の端末装置であってもよい。
【産業上の利用可能性】
【００５５】
本発明は、ＶＰＮ通信によるセキュアな通信環境を端末装置に提供できるシステムであって、特に、不特定多数の端末装置がインターネットに接続可能な利用者環境から端末装置がインターネットを介して通信を行う際のセキュリティを確保する場合に効果的に適用できる。
【図面の簡単な説明】
【００５６】
【図１】本発明によるインターネット接続システムの構成例を示すブロック図である。
【図２】利用者ＰＣの構成例を示すブロック図である。
【図３】入力側ファイアウォールの構成例を示すブロック図である。
【図４】ＶＰＮゲートウェイの構成例を示すブロック図である。
【図５】利用者認証データベースの登録データ例を示す説明図である。
【図６】出力側ファイアウォールの構成例を示すブロック図である。
【図７】ウィルスパターンデータベースの登録データ例を示す説明図である。
【図８】パケットのフォーマットを示す説明図である。
【図９】パケットのフォーマットを示す説明図である。
【図１０】セキュアなインターネット接続サービスが開始されるまでの動作を示すフローチャートである。
【図１１】インターネット接続サービス提供時の送信動作を示すフローチャートである。
【図１２】インターネット接続サービス提供時の受信動作を示すフローチャートである。
【符号の説明】
【００５７】
１０ 利用者環境
１１ 無線ＬＡＮアクセスポイント
３０ ＶＰＮトンネル
４０ インターネット
１２０ 利用者ＰＣ
１２３ ＶＰＮ通信ソフトウェア
２００ セキュアアクセスポイント
２１０ 入力側ファイアウォール
２２０ ＶＰＮゲートウェイ
２３０ 出力側ファイアウォール
２１１ アクセス制御部
２１２ アクセス制御リスト
２１３ アドレス変換部
２２１ 利用者認証部
２２２ 利用者認証データベース
２２３ ＶＰＮ通信部
２２４ 利用者ＰＣアドレス変換部
２３１ アクセス制御部
２３２ アクセス制御リスト
２３３ ウィルスチェック部
２３４ ウィルスパターンデータベース
【技術分野】
【０００１】
本発明は、モバイル環境にある携帯端末がインターネットを介して安全性の高い通信を行うことができるインターネット接続システム、方法およびプログラムに関する。
【背景技術】
【０００２】
ホテル、ファーストフード店、駅構内などに設けられたホットスポット（登録商標）等の公衆無線ＬＡＮシステムを介するインターネットの利用が増えつつある。公衆無線ＬＡＮ環境は、比較的機密性が低い環境であり、不正アクセスやコンピュータウィルス（以下、ウィルスという。）感染の危険性が高くなる。
【０００３】
インターネットを介するセキュアな通信を実現するための方法としてＶＰＮ（Virtual Private Network ）がある（例えば、特許文献１，２参照。）。通信網としてインターネットを用いるＶＰＮでは、通信を行う一の装置と他の装置と間でトンネル化が図られるのであるが、システム内に、一の装置と他の装置と間の通信を中継する監視装置が設置されることがある。
【０００４】
その場合、一の装置は、監視装置とＶＰＮ通信（ＶＰＮとしてトンネル化された通信）を行い、さらに、監視装置と他の装置とがＶＰＮ通信を行う。
【０００５】
【特許文献１】特開２００３−３０４２８９号公報（段落００２６−００２７、図１）
【特許文献２】特開２００２−３５８２５９号公報（段落００４４−００４９、図１１）
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかし、特許文献１に記載された方式では、監視装置が、一の装置のＩＰアドレスが固定的あることが前提になっている（特許文献１の段落００２６参照）。また、特許文献２に記載された方式では、セキュリティサーバが、ルータの固有情報（シリアル番号、特許文献２の段落００４４参照）をもとに認証を行ってＶＰＮ通信を実現している。
【０００７】
一般に、公衆無線ＬＡＮシステムでは、公衆無線ＬＡＮ環境内にある携帯端末が無線ＬＡＮアクセスポイントおよびインターネットを介する通信を行う場合に、無線ＬＡＮアクセスポイントが、携帯端末にＩＰアドレスを割り当てる。従って、ＩＰアドレスが固定的あることが前提になっている方式を、公衆無線ＬＡＮシステムを介するインターネットの利用に適用することは困難である。
【０００８】
公衆無線ＬＡＮシステムを介するインターネットの利用においてＶＰＮ通信を実現するために、ルータの固有情報という概念を無線ＬＡＮアクセスポイントに適用し、無線ＬＡＮアクセスポイントによってセキュリティサーバが認証を行うことが考えられる。しかし、そのような考え方のもとでは、無線ＬＡＮアクセスポイントが、セキュリティサーバが認証を行うシステムに参加していないと、携帯端末は、ＶＰＮ通信によるセキュアな通信環境を得ることができない。
【０００９】
そこで、本発明は、不特定多数の端末装置がインターネットに接続可能な任意の利用者環境からのインターネットの利用において、端末装置が、ＶＰＮ通信によるセキュアな通信環境を得ることができるインターネット接続システム、方法およびプログラムを提供することを目的とする。
【課題を解決するための手段】
【００１０】
本発明によるインターネット接続システムは、端末装置がＶＰＮ通信機能を有し、インターネットに接続可能であって、端末装置との間にＶＰＮトンネルを形成するＶＰＮゲートウェイを含むセキュアアクセスポイントを備えたことを特徴とする。
【００１１】
不特定多数の端末装置がインターネットに接続可能な利用者環境は、例えば、無線ＬＡＮアクセスポイントが設置された公衆無線ＬＡＮ環境である。
【００１２】
セキュアアクセスポイントは、例えば、端末装置からＶＰＮ通信によって受信した暗号データを含むパケットをＶＰＮゲートウェイに出力するとともに、ＶＰＮゲートウェイから出力された暗号データを含むパケットを端末装置に宛ててインターネットに送出する入力側ファイアウォールと、ＶＰＮゲートウェイから出力されたパケットを端末装置の通信相手に宛ててインターネットに送出するとともに、通信相手から受信した応答のパケットをＶＰＮゲートウェイに出力する出力側ファイアウォールとを含むように構成される。
【００１３】
端末装置が、送信元ＩＰアドレスとして自装置のＩＰアドレスを設定し宛先ＩＰアドレスとしてＶＰＮゲートウェイのＩＰアドレスを設定したＩＰヘッダが、暗号化されたデータに対して付加されたパケットを送信し、入力側ファイアウォールが、端末装置から受信したパケットのＩＰヘッダにおける送信元ＩＰアドレスを入力側ファイアウォールのＩＰアドレスに変換するとともに、ＶＰＮゲートウェイから入力したパケットのＩＰヘッダにおける宛先ＩＰアドレスを入力側ファイアウォールのＩＰアドレスから端末装置のＩＰアドレスに変換するアドレス変換部を含み、ＶＰＮゲートウェイが、出力側ファイアウォールから入力したパケットを暗号化し、送信元ＩＰアドレスとしてＶＰＮゲートウェイのＩＰアドレスを設定し宛先ＩＰアドレスとして入力側ファイアウォールのＩＰアドレスを設定したＩＰヘッダが付加されたパケットを作成するＶＰＮ通信部と、ＶＰＮ通信部が作成したパケットを入力側ファイアウォールに出力するアクセス制御部とを含むように構成されていてもよい。
【００１４】
ＶＰＮ通信部が、入力側ファイアウォールから入力したパケットについて復号を行い、ＶＰＮゲートウェイが、ＶＰＮ通信部の復号によって得られたパケットにおけるＩＰヘッダに設定されている送信元ＩＰアドレスを端末装置のＩＰアドレスからＶＰＮゲートウェイのＩＰアドレスに変換するとともに、出力側ファイアウォールから入力したパケットにおけるＩＰヘッダに設定されている宛先ＩＰアドレスをＶＰＮゲートウェイのＩＰアドレスから端末装置のＩＰアドレスに変換するアドレス変換部を含むように構成されていてもよい。
【００１５】
出力側ファイアウォールは、入出力するデータのウィルスチェックを行うウィルスチェック部を含むことが好ましい。
【００１６】
本発明によるインターネット接続方法は、端末装置が、ＶＰＮ通信機能を実現するためのＶＰＮ通信ソフトウェアをインストールし、端末装置が、ＶＰＮ通信ソフトウェアに従って、宛先アドレスとしての通信相手のＩＰアドレスを含むデータを暗号化したデータに対して、宛先アドレスとしてのＶＰＮゲートウェイのＩＰアドレスを付加したパケットをインターネットに送出し、ＶＰＮゲートウェイが、端末装置から受信されたパケットについて復号を行い、復号して得られた通信相手のＩＰアドレスに宛てて、復号して得られたパケットをインターネットに送出することを特徴とする。
【００１７】
本発明によるインターネット接続プログラムは、端末装置との間にＶＰＮトンネルを形成するサーバに、端末装置から受信した暗号化されたデータを復号させ、復号して得られた通信相手のＩＰアドレスに宛てて、復号して得られたパケットをインターネットに送出させることを特徴とする。
【発明の効果】
【００１８】
本発明によれば、不特定多数の端末装置がインターネットに接続可能な任意の利用者環境からのインターネットの利用において、端末装置が、ＶＰＮ通信によるセキュアな通信環境を得ることができる。
【発明を実施するための最良の形態】
【００１９】
以下、本発明の実施の形態を図面を参照して説明する。
図１は、本発明によるインターネット接続システムの構成例を示すブロック図である。図１に示すシステムでは、公衆無線ＬＡＮの無線通信可能領域（以下、利用者環境ともいう。）１０に存在する利用者パーソナルコンピュータ（ＰＣ）１２０が、インターネット４０を利用する場合、無線ＬＡＮアクセスポイント１１と無線通信を行う。無線ＬＡＮアクセスポイント１１は、ルータ機能も有し、インターネット４０と接続可能である。利用者ＰＣ１２０は、ユーザ（利用者）が使用するパーソナルコンピュータであり、ＶＰＮ通信機能が実装されている。
【００２０】
また、高安全なインターネット接続環境を提供するサービス提供会社が運営するセキュアアクセスポイント２００が設置されている。セキュアアクセスポイント２００には、入力側ファイアウォール２１０、利用者ＰＣ１２０とのＶＰＮ通信を実現するＶＰＮゲートウェイ２２０および出力側ファイアウォール２３０が設けられている。
【００２１】
入力側ファイアウォール２１０は、インターネット４０側からＶＰＮ通信によるパケットのみを通過させるとともに、ＶＰＮゲートウェイ２２０が出力する利用者ＰＣ１２０宛ての応答のパケットを利用者ＰＣ１２０に宛てて送信する。出力側ファイアウォール２３０は、ＶＰＮゲートウェイ２２０から出力されるパケットについてウィルスチェックを行ってインターネット４０を介して送信するとともに、ＶＰＮゲートウェイ２２０宛てのパケットについてウィルスチェックを行う。
【００２２】
図２は、利用者ＰＣ１２０の構成例を示すブロック図である。利用者ＰＣ１２０において、制御部（ＣＰＵ）１２１が記憶部１２２に記憶されているプログラムに従って制御を行うのであるが、記憶部１２２には、ＶＰＮ通信ソフトウェア１２３が含まれている。また、利用者ＰＣ１２０には、アンテナを含む無線ＬＡＮ通信部１２４が実装されている。
【００２３】
図３は、入力側ファイアウォール２１０の構成例を示すブロック図である。図３に示す構成では、入力側ファイアウォール２１０において、アクセス制御部２１１は、通信部２１５を介してインターネット４０と通信可能に接続され、アクセス制御リスト２１２の記載に従って通信制御を行う。アクセス制御リスト２１２には、ＶＰＮゲートウェイ２２０宛てのＶＰＮ通信のデータのみを通過させる旨が記載されている。アドレス変換部２１３は、ＶＰＮゲートウェイ２２０宛てのパケットのＩＰヘッダに記載されている送信元ＩＰアドレスを、利用者ＰＣ１２０のＩＰアドレスから入力側ファイアウォール２１０のＩＰアドレスに変換してＶＰＮゲートウェイ２２０に出力する。また、ＶＰＮゲートウェイ２２０から出力された応答のパケットのＩＰヘッダに記載されている送信先ＩＰアドレス（宛先ＩＰアドレス）を利用者ＰＣ１２０に変換する。
【００２４】
図４は、ＶＰＮゲートウェイ２２０の構成例を示すブロック図である。図４に示す構成では、ＶＰＮゲートウェイ２２０において、利用者認証部２２１は、利用者認証データベース２２２に登録されている利用者毎の認証情報にもとづいて、利用者（具体的には利用者ＰＣ１２０）が正当なものか否か認証する。この実施の形態では、利用者認証データベース２２２には、図５に例示するように、利用者毎のＩＤとパスワードとが登録されている。
【００２５】
ＶＰＮ通信部２２３は、利用者ＰＣ１２０との間にＶＰＮトンネル３０を構成してＶＰＮ通信を実現する。具体的には、ＩＥＴＦ（Internet Engineering Task Force ）によってＶＰＮ標準プロトコルとして定義されたＩＰＳｅｃ（IP Security protocol）にもとづく暗号化／復号や通信データの認証を行う。利用者ＰＣアドレス変換部２２４は、ＶＰＮトンネル３０によって受信され利用者ＰＣ１２０の通信相手に転送するパケットにおけるＩＰヘッダの送信元ＩＰアドレスを、利用者ＰＣ１２０のＩＰアドレスからＶＰＮゲートウェイ２２０のＩＰアドレスに変換する。また、出力側ファイアウォール２３０から出力された応答のパケットのＩＰヘッダに記載されている送信先ＩＰアドレス（宛先ＩＰアドレス）を利用者ＰＣ１２０に変換する。
【００２６】
図６は、出力側ファイアウォール２３０の構成例を示すブロック図である。図６に示す構成では、出力側ファイアウォール２３０において、アクセス制御部２３１は、通信部２３５を介してインターネット４０と通信可能に接続され、アクセス制御リスト２３２の記載に従って通信制御を行う。アクセス制御リスト２３２には、ＶＰＮゲートウェイ２２０から発信されたデータ、およびそのデータに対する応答のデータのみを通過させる旨が記載されている。また、ウィルスチェック部２３３は、ウィルスパターンデータベース（ウィルスパターンＤＢ）２３４に記載されているパターンデータにもとづいてウィルスチェックを実行する。ウィルスパターンＤＢ２３４には、図７に例示されているように、ウィルス毎のパターンデータが記載されている。
【００２７】
なお、入力側ファイアウォール２１０、ＶＰＮゲートウェイ２２０および出力側ファイアウォール２３０は、それぞれ、サーバ装置などの情報処理装置（コンピュータ）で実現される。入力側ファイアウォール２１０およびＶＰＮゲートウェイ２２０を通信機能を有する１つの情報処理装置で実現してもよく、入力側ファイアウォール２１０、ＶＰＮゲートウェイ２２０および出力側ファイアウォール２３０を通信機能を有する１つの情報処理装置で実現してもよい。
【００２８】
入力側ファイアウォール２１０において、アクセス制御部２１１およびアドレス変換部２１３は、例えば、情報処理装置のＣＰＵが実行するソフトウェアで実現される。ＶＰＮゲートウェイ２２０において、利用者認証部２２１、ＶＰＮ通信部２２３および利用者ＰＣアドレス変換部２２４は、例えば、情報処理装置のＣＰＵが実行するソフトウェアで実現される。出力側ファイアウォール２３０において、アクセス制御部２３１およびウィルスチェック部２３３は、例えば、情報処理装置のＣＰＵが実行するソフトウェアで実現される。
【００２９】
図８および図９を参照して、パケットのフォーマットについて説明する。図８における（１）に示すように、利用者ＰＣ１２０は、ＶＰＮ通信時に、通信相手に対して送信されるべきデータ（ＩＰヘッダとデータ部）を暗号化し、ＶＰＮヘッダでカプセル化し、さらに、送信元ＩＰアドレスとして自装置に割り当てられたＩＰアドレスを設定し宛先アドレスとしてＶＰＮゲートウェイ２２０のＩＰアドレスを設定したＩＰヘッダがトンネル化のために付加されたパケットを、インターネット４０を介して送信する。ＶＰＮヘッダは、例えば、ＩＰＳｅｃで規定されているＡＨ（Authentication header ）である。
【００３０】
図８における（２）に示すように、入力側ファイアウォール２１０は、ＩＰヘッダにおける送信元ＩＰアドレスを入力側ファイアウォール２１０のＩＰアドレスに変換して、パケットをＶＰＮゲートウェイ２２０に出力する。
【００３１】
図８における（３）に示すように、ＶＰＮゲートウェイ２２０は、暗号化データを復号してデータ（ＩＰヘッダとデータ部）を得て、得られたＩＰヘッダにおける送信元ＩＰアドレスを、利用者ＰＣ１２０のＩＰアドレスからＶＰＮゲートウェイ２２０のＩＰアドレスに変換して、復号して得られたパケットを、出力側ファイアウォール２２０およびインターネット４０を介して利用者ＰＣ１２０の通信相手に宛てて送信する。
【００３２】
利用者ＰＣ１２０の通信相手は、図９における（４）に示すような応答のパケットをＶＰＮゲートウェイ２２０に宛てて送信する。図９における（５）に示すように、ＶＰＮゲートウェイ２２０は、受信したデータ（ＩＰヘッダとデータ部）における宛先ＩＰアドレスを利用者ＰＣのＩＰアドレスに変換してからデータ（ＩＰヘッダとデータ部）を暗号化し、ＶＰＮヘッダでカプセル化し、さらに、送信元ＩＰアドレスとしてＶＰＮゲートウェイ２２０を設定し宛先アドレスとして入力側ファイアウォール２１０のＩＰアドレスを設定したＩＰヘッダが付加されたパケットを、入力側ファイアウォール２１０に出力する。
【００３３】
図９における（６）に示すように、入力側ファイアウォール２１０は、ＩＰヘッダにおける宛先アドレスを利用者ＰＣ１２０のＩＰアドレスに変換して、パケットを、インターネット４０を介して利用者ＰＣ１２０に宛てて送信する。
【００３４】
次に、インターネット接続システムの動作を説明する。まず、図１０のフローチャートを参照して、セキュアなインターネット接続サービスが開始されるまでの動作を説明する。ユーザは、まず、サービス提供会社とインターネット接続サービスの契約を行う（ステップＳ１）。契約は、例えば、サービス提供会社が公開する契約用のＷｅｂページに利用者が必要事項を記入することによってなされる。
【００３５】
契約が成立すると、サービス提供会社において、ＶＰＮゲートウェイ２２０における利用者認証データベース２２２に、利用者の認証情報が登録される（ステップＳ２）。利用者の認証情報は、図５に例示されたような利用者ＩＤとパスワードである。また、サービス提供会社は、ＶＰＮ通信ソフトウェア１２３を記録したＣＤ−ＲＯＭなどの記憶媒体と、利用者の認証情報とを、郵送などの手段によって利用者に配布する（ステップＳ３）。利用者は、利用者ＰＣ１２０に搭載されているＣＤ−ＲＯＭ読取装置などの記憶媒体読取装置で記憶媒体に記録されているＶＰＮ通信ソフトウェア１２３を読み取らせ、利用者ＰＣ１２０にインストールする（ステップＳ４）。
【００３６】
図１に例示したシステムで、利用者が、利用者環境１０において、インターネットを利用する場合、利用者ＰＣ１２０の無線ＬＡＮ通信部１２４および無線ＬＡＮアクセスポイント１１を介してインターネット４０に接続される。利用者ＰＣ１２０のＩＰアドレスは、無線ＬＡＮアクセスポイント１１によって付与される。また、ＶＰＮ通信ソフトウェア１２３に従って、利用者ＰＣ１２０は、まず、セキュアアクセスポイント２００におけるＶＰＮゲートウェイ２２０に接続する（ステップＳ５）。ＶＰＮゲートウェイ２２０は、インターネット４０に接続され公開されている。すなわち、ＶＰＮトンネル３０が形成されていないときには、全ての利用者は、入力側ファイアウォール２１０を介さずにＶＰＮゲートウェイ２２０をアクセスすることができる。
【００３７】
ＶＰＮゲートウェイ２２０において、利用者認証部２２１は、利用者の正当性を確認するために、アクセスした利用者ＰＣ１２０に対して認証情報を要求する。ユーザが認証情報を利用者ＰＣ１２０に入力すると、利用者ＰＣ１２０は、入力された認証情報をＶＰＮゲートウェイ２２０に宛てて送信する。ＶＰＮゲートウェイ２２０は、利用者ＰＣ１２０から受信した認証情報と利用者認証データベース２２２に登録されている利用者情報とを比較し（ステップＳ６）、それらが一致しない場合には接続を拒否する。一致した場合には、ＶＰＮトンネル３０を確立する（ステップＳ７）。すなわち、ＶＰＮゲートウェイ２２０は、利用者ＰＣ１２０に対して、以後、ＶＰＮ通信を行うように指示する。
【００３８】
その後、利用者ＰＣ１２０は、インターネット４０を介する通信相手（サーバ等）との通信を、ＶＰＮゲートウェイ２２０経由でセキュアな通信によって実行することができる。すなわち、サービス提供会社は、利用者ＰＣ１２０の利用者に、高安全性インターネット接続サービスを提供する（ステップＳ８）。
【００３９】
次に、図１１のフローチャートを参照して、高安全性インターネット接続サービス提供時の送信動作を説明する。
【００４０】
ＶＰＮ通信時に、利用者ＰＣ１２０は、ＶＰＮ通信ソフトウェア１２３に従ってデータを暗号化し、ＶＰＮヘッダを付加する（ステップＳ１１）。また、図８（１）に示すように、パケットには、送信元ＩＰアドレスとして利用者ＰＣ１２０のＩＰアドレスが設定され、宛先アドレスとしてＶＰＮゲートウェイ２２０のＩＰアドレスが設定されたＩＰヘッダが付加される。よって、利用者ＰＣ１２０から送信されるデータは、ＶＰＮゲートウェイ２２０に宛てて配信される（ステップＳ１１）。
【００４１】
なお、以下の説明では、トンネル化のために付加されたＩＰヘッダと、暗号化されているデータ中のＩＰヘッダとを区別するために、トンネル化のために付加されたＩＰヘッダに設定されているＩＰアドレスを、ＶＰＮヘッダに関する（または、「ＶＰＮヘッダに含まれる」）ＩＰアドレスといい、データ中のＩＰヘッダに設定されているＩＰアドレスを通信のＩＰアドレスという。
【００４２】
ＶＰＮゲートウェイ２２０宛てのデータは、セキュアアクセスポイント２００において、入力側ファイアウォール２１０に入力する。入力側ファイアウォール２１０において、アクセス制御部２１１は、入力されたパケットがＶＰＮ通信によるものであるか否かチェックする（ステップＳ１２）。そして、ＶＰＮ通信によるものであることを確認したら、入力されたパケットをアドレス変換部２１３に引き渡す。アクセス制御部２１１は、ＶＰＮ通信によるものでないことを確認したら、入力されたパケットを破棄する。すなわち、通信を遮断する。なお、アクセス制御部２１１は、ＶＰＮ通信によるものであるか否かを、例えば、ＡＨが使用されているか否かによって判断することができる。
【００４３】
アドレス変換部２１３は、ＶＰＮヘッダに関する送信元ＩＰアドレスを、利用者ＰＣ１２０のＩＰアドレスから、入力側ファイアウォール２１０のＩＰアドレスに変換してＶＰＮゲートウェイ２２０に出力する（ステップＳ１３）。ＩＰアドレスを変換することによって、入力側ファイアウォール２１０経由、および出力側ファイアウォール２３０経由でインターネット４０に接続しているＶＰＮゲートウェイ２２０は、いずれの経路でパケットを受信したのか判別できる。
【００４４】
ＶＰＮゲートウェイ２２０において、ＶＰＮ通信部２２３は、ＶＰＮヘッダを外してから暗号化されたデータを復号する（ステップＳ１４）。利用者ＰＣアドレス変換部２２４は、通信の送信元ＩＰアドレスを、利用者ＰＣ１２０のＩＰアドレスから、ＶＰＮゲートウェイ２２０のＩＰアドレスに変換する（ステップＳ１５）。そして、復号されたパケットを出力側ファイアウォール２３０に出力する。ＩＰアドレスを変換することによって、通信相手は、利用者ＰＣ１２０に返送すべきパケットを、ＶＰＮゲートウェイ２２０に送信することになる。
【００４５】
出力側ファイアウォール２３０において、ウィルスチェック部２３３は、ＶＰＮゲートウェイ２２０が出力したパケットのデータについて、ウィルスパターンデータベース２３４に記載されているパターンデータにもとづいてウィルスチェックを実行する。ウィルスを発見した場合には、通信を切断し、利用者ＰＣ１２０に対して、ウィルスを発見した旨の電子メールを送信する（ステップＳ１６）。アクセス制御部２３１は、パケットがＶＰＮゲートウェイ２２０が出力したパケットであるか否かチェックし、ＶＰＮゲートウェイ２２０が出力したパケットであれば、それをインターネット４０に送出する（ステップＳ１７）。
【００４６】
次に、図１１のフローチャートを参照して、高安全性インターネット接続サービス提供時の受信動作を説明する。利用者ＰＣ１２０の通信相手は、応答のパケットをＶＰＮゲートウェイ２２０に宛てて送信する。セキュアアクセスポイント２００において、応答のパケットは、出力側ファイアウォール２３０に入力する。出力側ファイアウォール２３０において、アクセス制御部２３１は、入力されたパケットが、ＶＰＮゲートウェイ２２０が送信したパケットの応答であるか否か確認する（ステップＳ２１）。アクセス制御部２３１は、例えば、ＩＰヘッダにおける送信元ＩＰアドレスやポート番号が、既にＶＰＮゲートウェイ２２０が送信したパケットのＩＰヘッダにおける宛先ＩＰアドレスやポート番号と一致するか否かによって、ＶＰＮゲートウェイ２２０が送信したパケットの応答であるか否か確認することができる。アクセス制御部２３１は、ＶＰＮゲートウェイ２２０が送信したパケットの応答でないことを確認したら、そのパケットを破棄する。すなわち、通信を遮断する。
【００４７】
次いで、ウィルスチェック部２３３は、パケットのデータについて、ウィルスパターンデータベース２３４に記載されているパターンデータにもとづいてウィルスチェックを実行する（ステップＳ２２）。ウィルスを発見した場合には、通信を切断する。ウィルスを発見しない場合には、パケットをＶＰＮゲートウェイ２２０に引き渡す。
【００４８】
ＶＰＮゲートウェイ２２０において、利用者ＰＣアドレス変換部２２４は、通信のＩＰヘッダにおける宛先ＩＰアドレスを、ＶＰＮゲートウェイ２２０のＩＰアドレスから、利用者ＰＣ１２０のＩＰアドレスに変換する（ステップＳ２３）。ＶＰＮ通信部２２３は、パケットのデータを暗号化し、ＶＰＮヘッダを付加して、入力側ファイアウォール２１０に出力する（ステップＳ２４）。なお、ＶＰＮヘッダに関する宛先ＩＰアドレスとして入力側ファイアウォール２１０のＩＰアドレスが設定される。
【００４９】
入力側ファイアウォール２１０において、アドレス変換部２１３は、ＶＰＮヘッダに関する宛先ＩＰアドレスを、入力側ファイアウォール２１０のＩＰアドレスから利用者ＰＣ１２０のＩＰアドレスに変換する（ステップＳ２５）。アクセス制御部２１１は、入力したパケットがＶＰＮ通信によるものであるか否かチェックする（ステップＳ２６）。そして、ＶＰＮ通信によるものであることを確認したら、パケットをインターネット４０に送出する。
【００５０】
入力側ファイアウォール２１０から送出されたパケットは、インターネット４０および無線ＬＡＮアクセスポイント１１を介して利用者ＰＣ１２０に到達する。利用者ＰＣ１２０はＶＰＮ通信ソフトウェア１２３に従って、パケットのＶＰＮヘッダを外し、データを復号する（ステップＳ２７）。
【００５１】
以上に説明したように、上記の実施の形態のインターネット接続システムによれば、利用者が特に意識することなく、ＶＰＮ通信ソフトウェア１２３によってセキュアアクセスポイント２００経由で通信が行われ、セキュアアクセスポイント２００において、不正アクセスやウィルスが混入した通信を遮断する。従って、利用者が意識することなく安全性が高いインターネット接続を行うことができる。
【００５２】
また、パーソナルコンピュータのＯＳの中にはＶＰＮ通信機能を持つものもあるが、ＯＳ毎に仕様が異なって、そのようなＶＰＮ通信機能を使用するとＶＰＮゲートウェイト２２０と通信できないという可能性もある。しかし、上記の実施の形態では、ＶＰＮ通信ソフトウェア１２３がセキュアアクセスポイント２００を運営するサービス会社等から配布されるので、接続仕様を一定にすることができ、どのような利用者環境からもＶＰＮゲートウェイト２２０と通信できる。
【００５３】
なお、上記の実施の形態では、不特定多数の端末装置がインターネットに接続可能な利用者環境として無線ＬＡＮアクセスポイント１１が設置された公衆無線ＬＡＮ環境を例示したが、不特定多数の端末装置がインターネットに接続可能な利用者環境は公衆無線ＬＡＮ環境に限られず、他の形態のモバイル環境でも本発明を適用することができる。さらには、モバイル環境ではなく、固定的なインターネット接続環境でも本発明を適用することができる。
【００５４】
また、上記の実施の形態では、インターネットを利用する端末装置としてパーソナルコンピュータを例示したが、端末装置はパーソナルコンピュータに限られず、ＰＤＡ等の他の端末装置であってもよい。
【産業上の利用可能性】
【００５５】
本発明は、ＶＰＮ通信によるセキュアな通信環境を端末装置に提供できるシステムであって、特に、不特定多数の端末装置がインターネットに接続可能な利用者環境から端末装置がインターネットを介して通信を行う際のセキュリティを確保する場合に効果的に適用できる。
【図面の簡単な説明】
【００５６】
【図１】本発明によるインターネット接続システムの構成例を示すブロック図である。
【図２】利用者ＰＣの構成例を示すブロック図である。
【図３】入力側ファイアウォールの構成例を示すブロック図である。
【図４】ＶＰＮゲートウェイの構成例を示すブロック図である。
【図５】利用者認証データベースの登録データ例を示す説明図である。
【図６】出力側ファイアウォールの構成例を示すブロック図である。
【図７】ウィルスパターンデータベースの登録データ例を示す説明図である。
【図８】パケットのフォーマットを示す説明図である。
【図９】パケットのフォーマットを示す説明図である。
【図１０】セキュアなインターネット接続サービスが開始されるまでの動作を示すフローチャートである。
【図１１】インターネット接続サービス提供時の送信動作を示すフローチャートである。
【図１２】インターネット接続サービス提供時の受信動作を示すフローチャートである。
【符号の説明】
【００５７】
１０ 利用者環境
１１ 無線ＬＡＮアクセスポイント
３０ ＶＰＮトンネル
４０ インターネット
１２０ 利用者ＰＣ
１２３ ＶＰＮ通信ソフトウェア
２００ セキュアアクセスポイント
２１０ 入力側ファイアウォール
２２０ ＶＰＮゲートウェイ
２３０ 出力側ファイアウォール
２１１ アクセス制御部
２１２ アクセス制御リスト
２１３ アドレス変換部
２２１ 利用者認証部
２２２ 利用者認証データベース
２２３ ＶＰＮ通信部
２２４ 利用者ＰＣアドレス変換部
２３１ アクセス制御部
２３２ アクセス制御リスト
２３３ ウィルスチェック部
２３４ ウィルスパターンデータベース
【特許請求の範囲】
【請求項１】
不特定多数の端末装置がインターネットに接続可能な利用者環境から端末装置がインターネットを介して通信を行う際のセキュリティを確保するインターネット接続システムであって、
前記端末装置はＶＰＮ通信機能を有し、
インターネットに接続可能であって、前記端末装置との間にＶＰＮトンネルを形成するＶＰＮゲートウェイを含むセキュアアクセスポイントを備えた
ことを特徴とするインターネット接続システム。
【請求項２】
不特定多数の端末装置がインターネットに接続可能な利用者環境は、無線ＬＡＮアクセスポイントが設置された公衆無線ＬＡＮ環境である
請求項１記載のインターネット接続システム。
【請求項３】
セキュアアクセスポイントは、
端末装置からＶＰＮ通信によって受信した暗号データを含むパケットをＶＰＮゲートウェイに出力するとともに、前記ＶＰＮゲートウェイから出力された暗号データを含むパケットを前記端末装置に宛ててインターネットに送出する入力側ファイアウォールと、
前記ＶＰＮゲートウェイから出力されたパケットを前記端末装置の通信相手に宛ててインターネットに送出するとともに、前記通信相手から受信した応答のパケットを前記ＶＰＮゲートウェイに出力する出力側ファイアウォールとを含む
請求項１または請求項２記載のインターネット接続システム。
【請求項４】
端末装置は、送信元ＩＰアドレスとして自装置のＩＰアドレスを設定し宛先ＩＰアドレスとしてＶＰＮゲートウェイのＩＰアドレスを設定したＩＰヘッダが、暗号化されたデータに対して付加されたパケットを送信し、
入力側ファイアウォールは、前記端末装置から受信したパケットのＩＰヘッダにおける送信元ＩＰアドレスを入力側ファイアウォールのＩＰアドレスに変換するとともに、前記ＶＰＮゲートウェイから入力したパケットのＩＰヘッダにおける宛先ＩＰアドレスを入力側ファイアウォールのＩＰアドレスから端末装置のＩＰアドレスに変換するアドレス変換部を含み、
前記ＶＰＮゲートウェイは、出力側ファイアウォールから入力したパケットを暗号化し、送信元ＩＰアドレスとしてＶＰＮゲートウェイのＩＰアドレスを設定し宛先ＩＰアドレスとして入力側ファイアウォールのＩＰアドレスを設定したＩＰヘッダが付加されたパケットを作成するＶＰＮ通信部と、ＶＰＮ通信部が作成したパケットを前記入力側ファイアウォールに出力するアクセス制御部とを含む
請求項３記載のインターネット接続システム。
【請求項５】
ＶＰＮ通信部は、入力側ファイアウォールから入力したパケットについて復号を行い、
ＶＰＮゲートウェイは、前記ＶＰＮ通信部の復号によって得られたパケットにおけるＩＰヘッダに設定されている送信元ＩＰアドレスを端末装置のＩＰアドレスからＶＰＮゲートウェイのＩＰアドレスに変換するとともに、出力側ファイアウォールから入力したパケットにおけるＩＰヘッダに設定されている宛先ＩＰアドレスをＶＰＮゲートウェイのＩＰアドレスから端末装置のＩＰアドレスに変換するアドレス変換部を含む
請求項４記載のインターネット接続システム。
【請求項６】
出力側ファイアウォールは、入出力するデータのウィルスチェックを行うウィルスチェック部を含む
請求項３から請求項５のうちのいずれか１項に記載のインターネット接続システム。
【請求項７】
不特定多数の端末装置がインターネットに接続可能な利用者環境から端末装置がインターネットを介して通信を行う際のセキュリティを確保するインターネット接続方法であって、
前記端末装置が、ＶＰＮ通信機能を実現するためのＶＰＮ通信ソフトウェアをインストールし、
前記端末装置が、前記ＶＰＮ通信ソフトウェアに従って、宛先アドレスとしての通信相手のＩＰアドレスを含むデータを暗号化したデータに対して、宛先アドレスとしてのＶＰＮゲートウェイのＩＰアドレスを付加したパケットをインターネットに送出し、
前記ＶＰＮゲートウェイが、前記端末装置から受信されたパケットについて復号を行い、復号して得られた通信相手のＩＰアドレスに宛てて、復号して得られたパケットをインターネットに送出する
ことを特徴とするインターネット接続方法。
【請求項８】
不特定多数の端末装置がインターネットに接続可能な利用者環境からの、端末装置がインターネットを介して通信を行う際のセキュリティを確保するためのインターネット接続プログラムであって、
前記端末装置との間にＶＰＮトンネルを形成するサーバに、
前記端末装置から受信した暗号化されたデータを復号させ、
復号して得られた通信相手のＩＰアドレスに宛てて、復号して得られたパケットをインターネットに送出させる
インターネット接続プログラム。
【請求項１】
不特定多数の端末装置がインターネットに接続可能な利用者環境から端末装置がインターネットを介して通信を行う際のセキュリティを確保するインターネット接続システムであって、
前記端末装置はＶＰＮ通信機能を有し、
インターネットに接続可能であって、前記端末装置との間にＶＰＮトンネルを形成するＶＰＮゲートウェイを含むセキュアアクセスポイントを備えた
ことを特徴とするインターネット接続システム。
【請求項２】
不特定多数の端末装置がインターネットに接続可能な利用者環境は、無線ＬＡＮアクセスポイントが設置された公衆無線ＬＡＮ環境である
請求項１記載のインターネット接続システム。
【請求項３】
セキュアアクセスポイントは、
端末装置からＶＰＮ通信によって受信した暗号データを含むパケットをＶＰＮゲートウェイに出力するとともに、前記ＶＰＮゲートウェイから出力された暗号データを含むパケットを前記端末装置に宛ててインターネットに送出する入力側ファイアウォールと、
前記ＶＰＮゲートウェイから出力されたパケットを前記端末装置の通信相手に宛ててインターネットに送出するとともに、前記通信相手から受信した応答のパケットを前記ＶＰＮゲートウェイに出力する出力側ファイアウォールとを含む
請求項１または請求項２記載のインターネット接続システム。
【請求項４】
端末装置は、送信元ＩＰアドレスとして自装置のＩＰアドレスを設定し宛先ＩＰアドレスとしてＶＰＮゲートウェイのＩＰアドレスを設定したＩＰヘッダが、暗号化されたデータに対して付加されたパケットを送信し、
入力側ファイアウォールは、前記端末装置から受信したパケットのＩＰヘッダにおける送信元ＩＰアドレスを入力側ファイアウォールのＩＰアドレスに変換するとともに、前記ＶＰＮゲートウェイから入力したパケットのＩＰヘッダにおける宛先ＩＰアドレスを入力側ファイアウォールのＩＰアドレスから端末装置のＩＰアドレスに変換するアドレス変換部を含み、
前記ＶＰＮゲートウェイは、出力側ファイアウォールから入力したパケットを暗号化し、送信元ＩＰアドレスとしてＶＰＮゲートウェイのＩＰアドレスを設定し宛先ＩＰアドレスとして入力側ファイアウォールのＩＰアドレスを設定したＩＰヘッダが付加されたパケットを作成するＶＰＮ通信部と、ＶＰＮ通信部が作成したパケットを前記入力側ファイアウォールに出力するアクセス制御部とを含む
請求項３記載のインターネット接続システム。
【請求項５】
ＶＰＮ通信部は、入力側ファイアウォールから入力したパケットについて復号を行い、
ＶＰＮゲートウェイは、前記ＶＰＮ通信部の復号によって得られたパケットにおけるＩＰヘッダに設定されている送信元ＩＰアドレスを端末装置のＩＰアドレスからＶＰＮゲートウェイのＩＰアドレスに変換するとともに、出力側ファイアウォールから入力したパケットにおけるＩＰヘッダに設定されている宛先ＩＰアドレスをＶＰＮゲートウェイのＩＰアドレスから端末装置のＩＰアドレスに変換するアドレス変換部を含む
請求項４記載のインターネット接続システム。
【請求項６】
出力側ファイアウォールは、入出力するデータのウィルスチェックを行うウィルスチェック部を含む
請求項３から請求項５のうちのいずれか１項に記載のインターネット接続システム。
【請求項７】
不特定多数の端末装置がインターネットに接続可能な利用者環境から端末装置がインターネットを介して通信を行う際のセキュリティを確保するインターネット接続方法であって、
前記端末装置が、ＶＰＮ通信機能を実現するためのＶＰＮ通信ソフトウェアをインストールし、
前記端末装置が、前記ＶＰＮ通信ソフトウェアに従って、宛先アドレスとしての通信相手のＩＰアドレスを含むデータを暗号化したデータに対して、宛先アドレスとしてのＶＰＮゲートウェイのＩＰアドレスを付加したパケットをインターネットに送出し、
前記ＶＰＮゲートウェイが、前記端末装置から受信されたパケットについて復号を行い、復号して得られた通信相手のＩＰアドレスに宛てて、復号して得られたパケットをインターネットに送出する
ことを特徴とするインターネット接続方法。
【請求項８】
不特定多数の端末装置がインターネットに接続可能な利用者環境からの、端末装置がインターネットを介して通信を行う際のセキュリティを確保するためのインターネット接続プログラムであって、
前記端末装置との間にＶＰＮトンネルを形成するサーバに、
前記端末装置から受信した暗号化されたデータを復号させ、
復号して得られた通信相手のＩＰアドレスに宛てて、復号して得られたパケットをインターネットに送出させる
インターネット接続プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【公開番号】特開２００６−３３４４３（Ｐ２００６−３３４４３Ａ）
【公開日】平成１８年２月２日（２００６．２．２）
【国際特許分類】
【出願番号】特願２００４−２０９７５６（Ｐ２００４−２０９７５６）
【出願日】平成１６年７月１６日（２００４．７．１６）
【出願人】（０００２３２１４０）ＮＥＣフィールディング株式会社 (373)
【Ｆターム（参考）】
【公開日】平成１８年２月２日（２００６．２．２）
【国際特許分類】
【出願日】平成１６年７月１６日（２００４．７．１６）
【出願人】（０００２３２１４０）ＮＥＣフィールディング株式会社 (373)
【Ｆターム（参考）】
[ Back to top ]