通信装置および通信方法
【課題】３ＧＰＰ網を介したインターネット接続サービスを利用して、インターネット上に接続された企業網に対して、ユーザ端末からリモートＶＰＮアクセスを利用する場合、ユーザ端末でＶＰＮを実現するために２重にＩＰｓｅｃ処理をするのは処理が重過ぎる。
【解決手段】３ＧＰＰシステムにリモートアクセスの終端部を設置し、端末からのＩＰｓｅｃトンネルの開設要求に際し、ユーザ認証情報を企業網へのユーザ認証情報に変換し、企業網へのＩＰｓｅｃトンネルの開設を要求し、企業側とのＩＰｓｅｃトンネルの開設後にユーザとのＩＰｓｅｃトンネルを開設し、ユーザからのデータを２つのトンネルを介して端末から企業網へ転送することにより端末側の処理を軽くする。
【解決手段】３ＧＰＰシステムにリモートアクセスの終端部を設置し、端末からのＩＰｓｅｃトンネルの開設要求に際し、ユーザ認証情報を企業網へのユーザ認証情報に変換し、企業網へのＩＰｓｅｃトンネルの開設を要求し、企業側とのＩＰｓｅｃトンネルの開設後にユーザとのＩＰｓｅｃトンネルを開設し、ユーザからのデータを２つのトンネルを介して端末から企業網へ転送することにより端末側の処理を軽くする。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信装置および通信方法に係り、特に３ＧＰＰシステムを介する企業網へのリモートＶＰＮアクセスサービスを提供する通信装置および通信方法に関する。
【背景技術】
【０００２】
ＩＰｓｅｃ（Security Architecture for the Internet Protocol）を使用したＶＰＮ（Virtual Private Network）技術によって、外出先の社員が自社の企業網にインターネットを介してセキュアに接続するリモートＶＰＮアクセスが広く普及している。
【０００３】
リモートＶＰＮアクセスシステムの概要について、図１を用いて説明する。図１において、ユーザ端末１は、企業網５とインターネット４を介して接続されている。ユーザ端末１は、企業網５の相手サーバ５２との間について、通信リンク６０を通して通信する。通信リンク６０は、インターネット４を通るため、セキュアにする必要がある。ユーザ端末１は、企業網５においてインターネット４とのエッジに設置されたＶＰＮゲートウェイ装置５１に対して、ＩＰｓｅｃトンネル６１を設定する。通信リンク６０は、ＩＰｓｅｃトンネル６１中に通信リンク６０を通すことにより、セキュアな通信路を確保する。上記のようなリモートＶＰＮアクセスシステムは、特許文献１に記述されている。
【０００４】
一方、携帯電話網の標準化機関である３ＧＰＰ（3rd Generation Partnership Project）は、３ＧＰＰ網にＷＬＡＮ（Wireless Local Area Network）を介したインターネットアクセスを収容するための仕様を非特許文献１に規定している。図２を用いて、３ＧＰＰ網を介したインターネットアクセス方法を説明する。図２において、３ＧＰＰ網３とユーザ端末１は、ＷＬＡＮアクセス網２を介して接続されている。３ＧＰＰ網３は、ユーザ端末１に対してインターネット４に接続するサービスを提供している。ここで、ユーザ端末１は、インターネット４に接続された相手サーバ４１との通信を行なうために両者で通信リンク６２を接続する。
【０００５】
ここで、３ＧＰＰ網３は、加入者の認証を行うサーバであるＡＡＡ（Authentication, Authorization, Accounting）３１と、パケットレベルのゲートウェイであるＰＤＧ（Packet Data Gateway）３３から構成される。ＷＬＡＮアクセス網２は、セキュアでないネットワークであり、通信リンク６２のセキュリティを確保するために、ユーザ端末１とＰＤＧ３３間でＩＰｓｅｃトンネル６３を設定する。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００１−１６０８２８号公報
【非特許文献】
【０００７】
【非特許文献１】3GPP TS23.234 3GPP system to Wireless Local Area Network (WLAN) Interworking-System Description
【発明の概要】
【発明が解決しようとする課題】
【０００８】
ここで、３ＧＰＰ網を介したインターネット接続サービスを利用して、インターネットに接続された企業網に対して、ユーザ端末がリモートＶＰＮアクセスを利用するケースを考える。このケースの場合、ユーザ端末１は、３ＧＰＰ網３内のＰＤＧ３３へのＩＰｓｅｃトンネルと企業網５にあるＶＰＮゲートウェイ５１のＩＰｓｅｃトンネルの２重のＩＰｓｅｃトンネルをはる必要がある。ユーザ端末において、ＩＰｓｅｃを２重に処理することは、端末のＣＰＵの処理性能を消費することになり、処理性能が高くない端末においては問題である。
【０００９】
図３と図４を用いて、上述した問題を詳細に説明する。図３を参照して、ユーザ端末１が、３ＧＰＰ網３が提供するインターネットへの接続サービスを利用して、インターネット４に接続された企業網５にある相手サーバ５２に接続するケースを説明する。図３において、通信リンク６４は、端末１と相手サーバ５２との間で設定され、相互の上位アプリケーションデータが流される。通信リンク６４は、ＩＰｓｅｃを用いたリモートＶＰＮで接続されている。インターネットを介したユーザ端末１からのアクセスのセキュリティを確保するため、ユーザ端末１とＶＰＮゲートウェイ５１の間でＩＰｓｅｃトンネル６４を設定する。一方、３ＧＰＰ網３では、ＷＬＡＮアクセス網２を介した通信のセキュリティを確保するためにユーザ端末１とＰＤＧ３３間でＩＰｓｅｃトンネ６６を設定する。ＩＰｓｅｃトンネル６５とＩＰｓｅｃトンネル６６は、双方ともユーザ端末１で終端される。
【００１０】
図４を参照して、図３のネットワークのプロトコルスタックを説明する。図４において、ユーザ端末１のプロトコルスタック１０１は、下位層から順にＬ１／Ｌ２プロトコル、Ｔｒａｎｓｐｏｒｔ ＩＰプロトコル、ＩＰｓｅｃ Ｔｕｎｎｅｌプロトコル、Ｒｅｍｏｔｅ ＩＰプロトコル、再びＩＰｓｅｃ Ｔｕｎｎｅｌプロトコル、Ｃｏｒｐｏｒａｔｅ ＩＰプロトコルから構成される。ＰＤＰ３３のプロトコルスタック３３１は、下位層から順にユーザ端末１側のＬ１／Ｌ２プロトコル、Ｔｒａｎｓｐｏｒｔ ＩＰプロトコル、ＩＰｓｅｃ Ｔｕｎｎｅｌプロトコル、Ｒｅｍｏｒｔ ＩＰプロトコル、ＶＰＮゲートウェイ５１側のＬ１／Ｌ２プロトコル、前述のＲｅｍｏｔｅ ＩＰプロトコルから構成される。ＶＰＮゲートウェイ５１のプロトコルスタック５１１は、下位層から順にＰDＧ３３側のＬ１／Ｌ２プロトコル、Ｒｅｍｏｒｔ ＩＰプロトコル、ＩＰｓｅｃ Ｔｕｎｎｅｌプロトコル、Ｃｏｒｐｏｒａｔｅ ＩＰプロトコル、相手サーバ５２側のＬ１／Ｌ２プロトコル、前述のＣｏｒｐｏｒａｔｅ ＩＰプロトコルから構成される。相手サーバ５２のプロトコルスタック５２は１、下位層から順にＬ１／Ｌ２プロトコル、Ｃｏｒｐｏｒａｔｅ ＩＰプロトコルから構成される。
【００１１】
ユーザ端末１と相手サーバ５２の間のＩＰパケットは、ユーザ端末１とＶＰＮゲートウェイ５１で終端するＩＰｓｅｃトンネルを下位層に持つ。また、このＩＰｓｅｃトンネルは、更にユーザ端末１とＰＤＧ３３間で、両者において終端するＩＰｓｅｃトンネルを下位層に持つ。
【００１２】
ユーザ端末１のプロトコルスタック１０１を見ると、ユーザ端末１と相手サーバ５２の間のＩＰパケットについて、２重にＩＰｓｅｃの処理が必要なことがわかる。これは、ユーザ端末１のソフトウェアは、２重にＩＰｓｅｃ処理を行なうことを意味する。すなわち、ユーザ端末１のＣＰＵの処理能力を著しく消費する。
本発明は、端末の２重の暗号化処理を回避することを目的とする。
【課題を解決するための手段】
【００１３】
上述した課題を解決するため、本発明は、３ＧＰＰ網のＰＤＧの後段に、ＶＰＮクライアントを導入する。ＶＰＮクライアントは、ユーザ端末と企業網内の相手サーバ間のＩＰｓｅｃトンネルを端末の代理として終端する。
【００１４】
上述した課題は、第１の網の第１のユーザ認証情報と、第２の網の第２のユーザ認証情報との対応に基づいて、端末からアクセスされたとき、この端末の第１のユーザ認証情報を端末の第２のユーザ認証情報に変換して、第２の網へトンネルの開設要求を送信し、端末との第１のトンネルと第２の網との第２のトンネルとを設定し、第１のトンネルを介して受信したデータを第２のトンネルに転送する通信装置により、達成できる。
【００１５】
また、第１の網の第１のユーザ認証情報と、第２の網の第２のユーザ認証情報とを保持するステップと、端末からアクセスされたとき、この端末の第１のユーザ認証情報を端末の第２のユーザ認証情報に変換するステップと、第２の網へトンネルの開設要求を送信するステップと、端末との第１のトンネルを設定するステップと、第２の網と第２のトンネルを設定するステップと、第１のトンネルを介して受信したデータを第２のトンネルに転送するステップとからなる通信方法により、達成できる。
【発明の効果】
【００１６】
３ＧＰＰ網が提供するＷＬＡＮを介したインターネットアクセスを利用する端末が企業網のリモートＶＰＮを利用する際に、ＩＰｓｅｃの２重処理による性能への影響を回避できる。
【図面の簡単な説明】
【００１７】
【図１】リモートＶＰＮアクセスを説明するブロック図である。
【図２】３ＧＰＰインターネットアクセスを説明するブロック図である。
【図３】３ＧＰＰを利用したリモートＶＰＮアクセスを説明するブロック図である。
【図４】３ＧＰＰを利用したリモートＶＰＮアクセスのプロトコルスタックを説明する図である。
【図５】３ＧＰＰを利用したリモートＶＰＮアクセスを説明するブロック図である。
【図６】３ＧＰＰを利用したリモートＶＰＮアクセスにおけるプロトコルスタックを説明する図である。
【図７】ユーザ端末、ＡＡＡ、ＰＤＧ、ＶＰＮクライアント、ＶＰＮゲートウェイ、相手サーバ間のシーケンス図である。
【図８】３ＧＰＰ網のインターネット接続サービスを利用した複数の企業網へのリモートアクセスを説明するブロック図である。
【図９】認証テーブルの構成を説明する図である。
【図１０】カスコンサーバを含む３ＧＰＰ網のインターネット接続サービスを利用した企業網へのリモートアクセスを説明するブロック図である。
【発明を実施するための形態】
【００１８】
以下、本発明の実施の形態について、実施例を用い図面を参照しながら詳細に説明する。なお、実質同一部位には同じ参照番号を振り、説明は繰り返さない。
【００１９】
図５を参照して、３ＧＰＰ網のインターネット接続サービスを利用した企業網へのリモートアクセスを説明する。図５において、ネットワーク２００は、ＷＬＡＮアクセス網２、３ＧＰＰ網３、インターネット４、企業網５で構成されている。３ＧＰＰ網３は、ＰＤＧ３３、ＡＡＡ３１、ＶＰＮクライアント３４が含まれる。企業網５は、ＶＰＮゲートウェイ５１と、相手サーバ５２が含まれる。ＷＬＡＮアクセス網２は、ユーザ端末１と３ＧＰＰ網３を接続する。インターネット４は、３ＧＰＰ網３と企業網５を接続する。
【００２０】
ユーザ端末１と相手サーバ５２間の通信リンク６７により、両者のアプリケーションデータを運ぶＩＰパケットが通信される。ＶＰＮクライアント３４は、ユーザ端末１の代理としてＶＰＮゲートウェイ５１とのＩＰｓｅｃを終端する。これによって、ＶＰＮクライアント３４は、ＩＰｓｅｃトンネル６９を設定してインターネット４でのセキュリティを確保する。ユーザ端末１は、また、ＷＬＡＮアクセス網２でのセキュリティを確保するために、ＰＤＧ３３間でＩＰｓｅｃトンネル６８を設定する。なお、ＶＰＮクライアント３４の機能は、ＰＤＧ３３に含めてもよい。その場合、ＰＤＧを、通信装置と呼ぶ。
【００２１】
図６を参照して、ユーザ端末と相手サーバ間のＩＰパケットを転送するためのプロトコルスタックを説明する。図６において、ユーザ端末１のプロトコルスタック１０２は、下位層から順にＬ１／Ｌ２プロトコル、Ｔｒａｎｓｐｏｒｔ ＩＰプロトコル、ＩＰｓｅｃ Ｔｕｎｎｅｌプロトコル、Ｒｅｍｏｔｅ ＩＰプロトコルから構成される。ＰＤＰ３３のプロトコルスタック３３２は、下位層から順にユーザ端末１側のＬ１／Ｌ２プロトコル、Ｔｒａｎｓｐｏｒｔ ＩＰプロトコル、ＩＰｓｅｃ Ｔｕｎｎｅｌプロトコル、ＲｅｍｏｒｔＩＰプロトコル、ＶＰＮクライアント３４側のＬ１／Ｌ２プロトコル、前述のＲｅｍｏｔｅ ＩＰプロトコルから構成される。
【００２２】
ＶＰＮクライアント３４のプロトコルスタック３４２は、ＰＤＧ３３側の下位層から順にＬ１／Ｌ２プロトコル、Ｃｏｒｐｏｒａｔｅ ＩＰプロトコル、ＶＰＮゲートウェイ５１側のＬ１／Ｌ２プロトコル、Ｔｒａｎｓｐｏｒｔ ＩＰプロトコル、ＩＰｓｅｃプロトコル、前述のＣｏｒｐｏｒａｔｅ ＩＰプロトコルから構成される。ＶＰＮゲートウェイ５１のプロトコルスタック５１２は、下位層から順にＶＰＮクライアント３４側のＬ１／Ｌ２プロトコル、Ｔｒａｎｓｐｏｒｔ ＩＰプロトコル、ＩＰｓｅｃプロトコル、Ｃｏｒｐｏｒａｔｅ ＩＰプロトコル、相手サーバ５２側のＬ１／Ｌ２プロトコル、前述のＣｏｒｐｏｒａｔｅ ＩＰプロトコルから構成される。相手サーバ５２のプロトコルスタック５２２は、下位層から順にＬ１／Ｌ２プロトコル、Ｃｏｒｐｏｒａｔｅ ＩＰプロトコルから構成される。
【００２３】
図６において、ユーザ端末１とＰＤＧ３３は、ＩＰｓｅｃを終端する。また、ＶＰＮクライアント３４とＶＰＮゲートウェイ５１も、ＩＰｓｅｃを終端する。ユーザ端末１のプロトコルスタック１０２は、ＩＰｓｅｃ Ｔｕｎｎｅｌが一つである。
【００２４】
図７を参照して、ユーザ端末、ＡＡＡ、ＰＤＧ、ＶＰＮクライアント、ＶＰＮゲートウェイ、相手サーバ間の動作を説明する。図７において、ユーザ端末１が相手サーバ５１に対して通信を開始する処理を説明する。ユーザ端末１は、ＰＤＧ３３にアクセスする（Ｓ１１）。ＰＤＧ３３は、この通信をブロックする（Ｓ１２）。ＰＤＧ３３は、ユーザ端末１に対して認証を要求する（Ｓ１３）。
【００２５】
ユーザ端末１は、ＡＡＡサーバとの間で端末認証を行なう（Ｓ１４）。なお、ユーザ端末の認証は、ＥＡＰ（Extensible Authentication Protocol）−ＳＩＭ（Subscriber Identity Module）またはＥＡＰ−ＡＫＡ（Authentication and Key Agreement）を用いるのが３ＧＰＰ網では一般的である。ここでは認証が正常に終了し、ＡＡＡ３１は、ＰＤＧ３３とユーザ端末１に対して認証の成功を通知する（Ｓ１５、Ｓ１６）。
【００２６】
ＰＤＧ３３は、ユーザ端末１に対するＶＬＡＮをＶＬＡＮのプールから選択し、ＶＬＡＮを登録する（Ｓ１７）。ＰＤＧ３３は、ＶＰＮＣ３４に対してトンネル開設を要求する（Ｓ１８）。ＶＰＮＣ３４は、認証情報を用いてＶＰＮゲートウェイ５１との間にＩＰｓｅｃトンネルを設定する（Ｓ１９）。また、ユーザ端末１とＰＤＧ３３間でも、認証情報を用いてＩＰｓｅｃトンネルを設定する（Ｓ２１）。ＶＰＮＣ３４とＶＰＮゲートウェイ５１との間のＩＰｓｅｃトンネルが設定できると、ＶＰＮＣ３４は、トンネル設定完了をＰＤＧ３３に応答する（Ｓ２２）。
【００２７】
ＰＤＧ３３は、両者のＩＰｓｅｃトンネルが設定され、両者のＩＰｓｅｃトンネルの対応関係を示すＶＬＡＮの設定が終了すると、通信ブロックを解除する（Ｓ２３）。通信ブロックの解除によりユーザ端末１と相手サーバ５２の間で通信リンクが確立し通信が開始される。なお、後述する認証テーブル7をＡＡＡ３１が保持するとき、ステップ１７は、ＰＤＧ３３からＡＡＡ３１への矢印となる。
【００２８】
企業網３のネットワーク管理者は、ＶＰＮゲートウェイ５１によるリモートユーザ管理の仕組みを導入済みであり、新しいＷＬＡＮ２からの３ＧＰＰアクセスを用いたアクセスに対しても、他の既存のアクセス方法と同様なインタフェースでリモートＶＰＮ接続を利用できることを望むと思われる。上述した実施例に依れば、従来のリモートＶＰＮ接続とのインタフェースと役割分担を同一にして、新しく導入するＷＬＡＮアクセスサービスについてもリモートＶＰＮ接続を提供することが可能になる。
【００２９】
図８を参照して、３ＧＰＰ網のインターネット接続サービスを利用した複数の企業網へのリモートアクセスを説明する。図８において、ネットワーク２００Aは、ＷＬＡＮアクセス網２、３ＧＰＰ網３、インターネット４、企業網５−Ａ、企業網５−Ｂで構成されている。３ＧＰＰ網３は、ＰＤＧ３３、ＡＡＡ３１、ＶＰＮクライアント３４が含まれる。企業網５−Ａは、ＶＰＮゲートウェイ５１−Ａと、相手サーバ５２−Ａが含まれる。企業網５−Ｂは、ＶＰＮゲートウェイ５１−Ｂと、相手サーバ５２−Ｂが含まれる。ＷＬＡＮアクセス網２は、ユーザ端末１と３ＧＰＰ網３を接続する。インターネット４は、３ＧＰＰ網３と企業網５−Ａと企業網５−Ｂを接続する。
【００３０】
ユーザ端末１−Ａ１とユーザ端末１−Ａ２は、企業網５−Ａに所属する端末である。ユーザ端末１−Ｂ１は、企業網５−Ｂに所属する端末である。ユーザ端末１−Ａ１とユーザ端末１−Ａ２は、相手サーバ５２−Ａに接続する。ユーザ端末１−Ｂ１は、相手サーバ５２−Ｂに接続する。
【００３１】
通信リンク６７１と通信リンク６７２と通信リンク６７３は、それぞれユーザ端末１−Ａ１と相手サーバ５２−Ａ間、ユーザ端末１−Ａ２と相手サーバ５２−Ａ間、ユーザ端末１−Ｂ１と相手サーバ５２−Ｂ間の通信リンクである。ＩＰｓｅｃトンネル６８１、ＩＰｓｅｃトンネル６８２、ＩＰｓｅｃトンネル６８３は、ユーザ端末１とＰＤＧ３３間のＩＰｓｅｃトンネルとして、ユーザ端末１の通信がアクティブな状態の時に動的に設定されるＩＰｓｅｃトンネルである。ＩＰｓｅｃトンネル６９１、ＩＰｓｅｃトンネル６９２、ＩＰｓｅｃトンネル６９３は、ＶＰＮクライアント３４とＶＰＮゲートウェイ５１−ＡおよびＶＰＮゲートウェイ５１−Ｂ間のＩＰｓｅｃトンネルとして対応するユーザ端末１とＰＤＧ間のＩＰｓｅｃトンネルがアクティブな状態の時に動的に設定されるＩＰｓｅｃトンネルである。
【００３２】
ＰＤＧ３３とＶＰＮクライアント３４は、ユーザ端末１からのフローを識別するためにＶＬＡＮを用いている。ユーザ端末とのＩＰｓｅｃトンネルを開設する際に、ＰＤＧ３３は、ユーザ端末がどのＶＬＡＮ（ＶＬＡＮ ＩＤ）を用いるかを決定する。
【００３３】
ユーザ端末とＰＤＧ間およびＶＰＮクライアントとＶＰＮゲートウェイ間のＩＰｓｅｃトンネルに用いる認証情報は、ＡＡＡサーバに設定されており、どのＶＬＡＮを用いるかもＡＡＡサーバに登録する。
【００３４】
図９を参照して、ＡＡＡサーバがユーザ端末毎に設定する情報を説明する。図９において、認証テーブル７は、端末識別子７１と、端末認証情報７２と、ＶＰＮユーザ認証情報７３と、ＶＰＮ７４とから構成される。認証テーブル７の最初のレコードは、端末識別子７１として、user1@operator1を保持している。端末認証情報７２として、0x123456789abcdefを保持している。ＶＰＮユーザ認証情報７３として、0xef123456789abcdを保持している。ＶＰＮ７４として、corporate1を保持している。
【００３５】
ユーザを識別する情報が端末識別子７１である。端末識別子７１は、ユーザを一意に識別するＩＤである。端末認証情報７２は、３ＧＰＰ網３のユーザ端末に設定されている認証情報である。端末認証情報７２は、ユーザ端末の登録時にあらかじめ設定される情報である。
【００３６】
ＶＰＮ認証情報７３は、企業網のリモートアクセスに利用される認証情報である。ここで、ＶＰＮ認証情報７３とは、ＩＰｓｅｃの鍵交換プロトコルであるＩＫＥ（Internet Key Exchange）に用いる認証情報（事前共有鍵）である。ＶＬＡＮ７４は、ＰＤＧ３３とＶＰＮクライアント３４の間でユーザを識別するために用いる。ＶＬＡＮ７４は、端末認証が成功時にＰＤＧにより動的に選択され、ＡＡＡサーバに書き込まれる。
【００３７】
ＶＰＮクライアント３４は、ＰＤＧ３３間で送受信するパケットについて、ＩＥＥＥ８０２．１Ｑ ＶＬＡＮによりＶＬＡＮ７４を設定し、ユーザ端末を識別する。ＶＰＮクライアント３４は、ＶＬＡＮに対応するＩＰｓｅｃトンネルにパケットを送受信する。なお、認証テーブル7のデータをＶＰＮクライアント３４が一時的に持ってもよい。
【００３８】
リモートユーザの認証情報は、企業網の管理者により管理され、企業のポリシーで設定されるものである。そのためリモートユーザの認証情報は、カスコンサーバ（Customer Controlled Server）を用いて企業側からの設定変更が可能になるような構成を追加することが考えられる。
【００３９】
図１０を参照して、カスコンサーバを含む３ＧＰＰ網のインターネット接続サービスを利用した企業網へのリモートアクセスを説明する。図１０において、ネットワーク２００Ｂは、ＷＬＡＮアクセス網２、３ＧＰＰ網３、インターネット４、企業網５で構成されている。３ＧＰＰ網３は、ＰＤＧ３３、ＡＡＡ３１、ＶＰＮクライアント３４、カスコンサーバ３５が含まれる。企業網５は、ＶＰＮゲートウェイ５１と、相手サーバ５２、企業端末５３が含まれる。ＷＬＡＮアクセス網２は、ユーザ端末１と３ＧＰＰ網３を接続する。インターネット４は、３ＧＰＰ網３のＶＰＮクライアント３４、カスコンサーバ３５と、企業網５のＶＰＮゲートウェイ５１を接続する。
【００４０】
企業網５の管理者は、企業端末５３からＶＰＮゲートウェイ５１、インターネット４を介して、カスコンサーバ３５にアクセスする。企業端末５３からのアクセスにより、カスコンサーバ３５は、ＩＰｓｅｃクライアント３４と、ＡＡＡ３１の設定を更新する。なお、カスコンサーバ３５の機能を、ＰＤＧ３３が持ってもよい。この場合も、ＰＤＧを、通信装置と呼ぶ。
【符号の説明】
【００４１】
１…ユーザ端末、２…ＷＬＡＮアクセス網、３…３ＧＰＰ網、４…インターネット、５…企業網、７…認証テーブル、３１…ＡＡＡサーバ、３２…ＷＡＧ、３３…ＰＤＧ、３４…ＶＰＮクライアント、４１…相手サーバ、５１…ＶＰＮゲートウェイ、５２…相手サーバ、６０…ユーザ端末―相手サーバ間通信リンク、６１…ユーザ端末−ＶＰＮゲートウェイ間ＩＰｓｅｃトンネル、６２…ユーザ端末―相手サーバ間通信リンク、６３…ユーザ端末−ＰＤＧ間ＩＰｓｅｃトンネル、６４…ユーザ端末―相手サーバ間通信リンク、６５…ユーザ端末−ＰＤＧ間ＩＰｓｅｃトンネル、６６…ユーザ端末−ＶＰＮゲートウェイ間ＩＰｓｅｃトンネル、６７…ユーザ端末―相手サーバ間通信リンク、６８…ユーザ端末−ＰＤＧ間ＩＰｓｅｃトンネル、６９…ＶＰＮクライアント−ＶＰＮゲートウェイ間ＩＰｓｅｃトンネル、７１…端末識別子、７２…端末認証情報、７３…ＶＰＮユーザ認証情報、７４…ＶＬＡＮ、１０１…ユーザ端末のプロトコルスタック、１０２…ユーザ端末のプロトコルスタック、３２１…ＷＡＧのプロトコルスタック、３２２…ＷＡＧのプロトコルスタック、３３２…ＰＤＧのプロトコルスタック、３３１…ＰＤＧのプロトコルスタック、３４２…ＶＰＮクライアントのプロトコルスタック、５１１…ＶＰＮゲートウェイのプロトコルスタック、５１２…ＶＰＮゲートウェイのプロトコルスタック、５２１…相手サーバのプロトコルスタック、５２２…相手サーバのプロトコルスタック、６７１…ユーザ端末―相手サーバ間通信リンク、６７２…ユーザ端末―相手サーバ間通信リンク、６７３…ユーザ端末―相手サーバ間通信リンク、６８１…ユーザ端末−ＰＤＧ間ＩＰｓｅｃトンネル、６８２…ユーザ端末−ＰＤＧ間ＩＰｓｅｃトンネル、６８３…ユーザ端末−ＰＤＧ間ＩＰｓｅｃトンネル、６９１…ＶＰＮクライアント−ＶＰＮゲートウェイ間ＩＰｓｅｃトンネル、６９２…ＶＰＮクライアント−ＶＰＮゲートウェイ間ＩＰｓｅｃトンネル、６９３…ＶＰＮクライアント−ＶＰＮゲートウェイ間ＩＰｓｅｃトンネル。
【技術分野】
【０００１】
本発明は、通信装置および通信方法に係り、特に３ＧＰＰシステムを介する企業網へのリモートＶＰＮアクセスサービスを提供する通信装置および通信方法に関する。
【背景技術】
【０００２】
ＩＰｓｅｃ（Security Architecture for the Internet Protocol）を使用したＶＰＮ（Virtual Private Network）技術によって、外出先の社員が自社の企業網にインターネットを介してセキュアに接続するリモートＶＰＮアクセスが広く普及している。
【０００３】
リモートＶＰＮアクセスシステムの概要について、図１を用いて説明する。図１において、ユーザ端末１は、企業網５とインターネット４を介して接続されている。ユーザ端末１は、企業網５の相手サーバ５２との間について、通信リンク６０を通して通信する。通信リンク６０は、インターネット４を通るため、セキュアにする必要がある。ユーザ端末１は、企業網５においてインターネット４とのエッジに設置されたＶＰＮゲートウェイ装置５１に対して、ＩＰｓｅｃトンネル６１を設定する。通信リンク６０は、ＩＰｓｅｃトンネル６１中に通信リンク６０を通すことにより、セキュアな通信路を確保する。上記のようなリモートＶＰＮアクセスシステムは、特許文献１に記述されている。
【０００４】
一方、携帯電話網の標準化機関である３ＧＰＰ（3rd Generation Partnership Project）は、３ＧＰＰ網にＷＬＡＮ（Wireless Local Area Network）を介したインターネットアクセスを収容するための仕様を非特許文献１に規定している。図２を用いて、３ＧＰＰ網を介したインターネットアクセス方法を説明する。図２において、３ＧＰＰ網３とユーザ端末１は、ＷＬＡＮアクセス網２を介して接続されている。３ＧＰＰ網３は、ユーザ端末１に対してインターネット４に接続するサービスを提供している。ここで、ユーザ端末１は、インターネット４に接続された相手サーバ４１との通信を行なうために両者で通信リンク６２を接続する。
【０００５】
ここで、３ＧＰＰ網３は、加入者の認証を行うサーバであるＡＡＡ（Authentication, Authorization, Accounting）３１と、パケットレベルのゲートウェイであるＰＤＧ（Packet Data Gateway）３３から構成される。ＷＬＡＮアクセス網２は、セキュアでないネットワークであり、通信リンク６２のセキュリティを確保するために、ユーザ端末１とＰＤＧ３３間でＩＰｓｅｃトンネル６３を設定する。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００１−１６０８２８号公報
【非特許文献】
【０００７】
【非特許文献１】3GPP TS23.234 3GPP system to Wireless Local Area Network (WLAN) Interworking-System Description
【発明の概要】
【発明が解決しようとする課題】
【０００８】
ここで、３ＧＰＰ網を介したインターネット接続サービスを利用して、インターネットに接続された企業網に対して、ユーザ端末がリモートＶＰＮアクセスを利用するケースを考える。このケースの場合、ユーザ端末１は、３ＧＰＰ網３内のＰＤＧ３３へのＩＰｓｅｃトンネルと企業網５にあるＶＰＮゲートウェイ５１のＩＰｓｅｃトンネルの２重のＩＰｓｅｃトンネルをはる必要がある。ユーザ端末において、ＩＰｓｅｃを２重に処理することは、端末のＣＰＵの処理性能を消費することになり、処理性能が高くない端末においては問題である。
【０００９】
図３と図４を用いて、上述した問題を詳細に説明する。図３を参照して、ユーザ端末１が、３ＧＰＰ網３が提供するインターネットへの接続サービスを利用して、インターネット４に接続された企業網５にある相手サーバ５２に接続するケースを説明する。図３において、通信リンク６４は、端末１と相手サーバ５２との間で設定され、相互の上位アプリケーションデータが流される。通信リンク６４は、ＩＰｓｅｃを用いたリモートＶＰＮで接続されている。インターネットを介したユーザ端末１からのアクセスのセキュリティを確保するため、ユーザ端末１とＶＰＮゲートウェイ５１の間でＩＰｓｅｃトンネル６４を設定する。一方、３ＧＰＰ網３では、ＷＬＡＮアクセス網２を介した通信のセキュリティを確保するためにユーザ端末１とＰＤＧ３３間でＩＰｓｅｃトンネ６６を設定する。ＩＰｓｅｃトンネル６５とＩＰｓｅｃトンネル６６は、双方ともユーザ端末１で終端される。
【００１０】
図４を参照して、図３のネットワークのプロトコルスタックを説明する。図４において、ユーザ端末１のプロトコルスタック１０１は、下位層から順にＬ１／Ｌ２プロトコル、Ｔｒａｎｓｐｏｒｔ ＩＰプロトコル、ＩＰｓｅｃ Ｔｕｎｎｅｌプロトコル、Ｒｅｍｏｔｅ ＩＰプロトコル、再びＩＰｓｅｃ Ｔｕｎｎｅｌプロトコル、Ｃｏｒｐｏｒａｔｅ ＩＰプロトコルから構成される。ＰＤＰ３３のプロトコルスタック３３１は、下位層から順にユーザ端末１側のＬ１／Ｌ２プロトコル、Ｔｒａｎｓｐｏｒｔ ＩＰプロトコル、ＩＰｓｅｃ Ｔｕｎｎｅｌプロトコル、Ｒｅｍｏｒｔ ＩＰプロトコル、ＶＰＮゲートウェイ５１側のＬ１／Ｌ２プロトコル、前述のＲｅｍｏｔｅ ＩＰプロトコルから構成される。ＶＰＮゲートウェイ５１のプロトコルスタック５１１は、下位層から順にＰDＧ３３側のＬ１／Ｌ２プロトコル、Ｒｅｍｏｒｔ ＩＰプロトコル、ＩＰｓｅｃ Ｔｕｎｎｅｌプロトコル、Ｃｏｒｐｏｒａｔｅ ＩＰプロトコル、相手サーバ５２側のＬ１／Ｌ２プロトコル、前述のＣｏｒｐｏｒａｔｅ ＩＰプロトコルから構成される。相手サーバ５２のプロトコルスタック５２は１、下位層から順にＬ１／Ｌ２プロトコル、Ｃｏｒｐｏｒａｔｅ ＩＰプロトコルから構成される。
【００１１】
ユーザ端末１と相手サーバ５２の間のＩＰパケットは、ユーザ端末１とＶＰＮゲートウェイ５１で終端するＩＰｓｅｃトンネルを下位層に持つ。また、このＩＰｓｅｃトンネルは、更にユーザ端末１とＰＤＧ３３間で、両者において終端するＩＰｓｅｃトンネルを下位層に持つ。
【００１２】
ユーザ端末１のプロトコルスタック１０１を見ると、ユーザ端末１と相手サーバ５２の間のＩＰパケットについて、２重にＩＰｓｅｃの処理が必要なことがわかる。これは、ユーザ端末１のソフトウェアは、２重にＩＰｓｅｃ処理を行なうことを意味する。すなわち、ユーザ端末１のＣＰＵの処理能力を著しく消費する。
本発明は、端末の２重の暗号化処理を回避することを目的とする。
【課題を解決するための手段】
【００１３】
上述した課題を解決するため、本発明は、３ＧＰＰ網のＰＤＧの後段に、ＶＰＮクライアントを導入する。ＶＰＮクライアントは、ユーザ端末と企業網内の相手サーバ間のＩＰｓｅｃトンネルを端末の代理として終端する。
【００１４】
上述した課題は、第１の網の第１のユーザ認証情報と、第２の網の第２のユーザ認証情報との対応に基づいて、端末からアクセスされたとき、この端末の第１のユーザ認証情報を端末の第２のユーザ認証情報に変換して、第２の網へトンネルの開設要求を送信し、端末との第１のトンネルと第２の網との第２のトンネルとを設定し、第１のトンネルを介して受信したデータを第２のトンネルに転送する通信装置により、達成できる。
【００１５】
また、第１の網の第１のユーザ認証情報と、第２の網の第２のユーザ認証情報とを保持するステップと、端末からアクセスされたとき、この端末の第１のユーザ認証情報を端末の第２のユーザ認証情報に変換するステップと、第２の網へトンネルの開設要求を送信するステップと、端末との第１のトンネルを設定するステップと、第２の網と第２のトンネルを設定するステップと、第１のトンネルを介して受信したデータを第２のトンネルに転送するステップとからなる通信方法により、達成できる。
【発明の効果】
【００１６】
３ＧＰＰ網が提供するＷＬＡＮを介したインターネットアクセスを利用する端末が企業網のリモートＶＰＮを利用する際に、ＩＰｓｅｃの２重処理による性能への影響を回避できる。
【図面の簡単な説明】
【００１７】
【図１】リモートＶＰＮアクセスを説明するブロック図である。
【図２】３ＧＰＰインターネットアクセスを説明するブロック図である。
【図３】３ＧＰＰを利用したリモートＶＰＮアクセスを説明するブロック図である。
【図４】３ＧＰＰを利用したリモートＶＰＮアクセスのプロトコルスタックを説明する図である。
【図５】３ＧＰＰを利用したリモートＶＰＮアクセスを説明するブロック図である。
【図６】３ＧＰＰを利用したリモートＶＰＮアクセスにおけるプロトコルスタックを説明する図である。
【図７】ユーザ端末、ＡＡＡ、ＰＤＧ、ＶＰＮクライアント、ＶＰＮゲートウェイ、相手サーバ間のシーケンス図である。
【図８】３ＧＰＰ網のインターネット接続サービスを利用した複数の企業網へのリモートアクセスを説明するブロック図である。
【図９】認証テーブルの構成を説明する図である。
【図１０】カスコンサーバを含む３ＧＰＰ網のインターネット接続サービスを利用した企業網へのリモートアクセスを説明するブロック図である。
【発明を実施するための形態】
【００１８】
以下、本発明の実施の形態について、実施例を用い図面を参照しながら詳細に説明する。なお、実質同一部位には同じ参照番号を振り、説明は繰り返さない。
【００１９】
図５を参照して、３ＧＰＰ網のインターネット接続サービスを利用した企業網へのリモートアクセスを説明する。図５において、ネットワーク２００は、ＷＬＡＮアクセス網２、３ＧＰＰ網３、インターネット４、企業網５で構成されている。３ＧＰＰ網３は、ＰＤＧ３３、ＡＡＡ３１、ＶＰＮクライアント３４が含まれる。企業網５は、ＶＰＮゲートウェイ５１と、相手サーバ５２が含まれる。ＷＬＡＮアクセス網２は、ユーザ端末１と３ＧＰＰ網３を接続する。インターネット４は、３ＧＰＰ網３と企業網５を接続する。
【００２０】
ユーザ端末１と相手サーバ５２間の通信リンク６７により、両者のアプリケーションデータを運ぶＩＰパケットが通信される。ＶＰＮクライアント３４は、ユーザ端末１の代理としてＶＰＮゲートウェイ５１とのＩＰｓｅｃを終端する。これによって、ＶＰＮクライアント３４は、ＩＰｓｅｃトンネル６９を設定してインターネット４でのセキュリティを確保する。ユーザ端末１は、また、ＷＬＡＮアクセス網２でのセキュリティを確保するために、ＰＤＧ３３間でＩＰｓｅｃトンネル６８を設定する。なお、ＶＰＮクライアント３４の機能は、ＰＤＧ３３に含めてもよい。その場合、ＰＤＧを、通信装置と呼ぶ。
【００２１】
図６を参照して、ユーザ端末と相手サーバ間のＩＰパケットを転送するためのプロトコルスタックを説明する。図６において、ユーザ端末１のプロトコルスタック１０２は、下位層から順にＬ１／Ｌ２プロトコル、Ｔｒａｎｓｐｏｒｔ ＩＰプロトコル、ＩＰｓｅｃ Ｔｕｎｎｅｌプロトコル、Ｒｅｍｏｔｅ ＩＰプロトコルから構成される。ＰＤＰ３３のプロトコルスタック３３２は、下位層から順にユーザ端末１側のＬ１／Ｌ２プロトコル、Ｔｒａｎｓｐｏｒｔ ＩＰプロトコル、ＩＰｓｅｃ Ｔｕｎｎｅｌプロトコル、ＲｅｍｏｒｔＩＰプロトコル、ＶＰＮクライアント３４側のＬ１／Ｌ２プロトコル、前述のＲｅｍｏｔｅ ＩＰプロトコルから構成される。
【００２２】
ＶＰＮクライアント３４のプロトコルスタック３４２は、ＰＤＧ３３側の下位層から順にＬ１／Ｌ２プロトコル、Ｃｏｒｐｏｒａｔｅ ＩＰプロトコル、ＶＰＮゲートウェイ５１側のＬ１／Ｌ２プロトコル、Ｔｒａｎｓｐｏｒｔ ＩＰプロトコル、ＩＰｓｅｃプロトコル、前述のＣｏｒｐｏｒａｔｅ ＩＰプロトコルから構成される。ＶＰＮゲートウェイ５１のプロトコルスタック５１２は、下位層から順にＶＰＮクライアント３４側のＬ１／Ｌ２プロトコル、Ｔｒａｎｓｐｏｒｔ ＩＰプロトコル、ＩＰｓｅｃプロトコル、Ｃｏｒｐｏｒａｔｅ ＩＰプロトコル、相手サーバ５２側のＬ１／Ｌ２プロトコル、前述のＣｏｒｐｏｒａｔｅ ＩＰプロトコルから構成される。相手サーバ５２のプロトコルスタック５２２は、下位層から順にＬ１／Ｌ２プロトコル、Ｃｏｒｐｏｒａｔｅ ＩＰプロトコルから構成される。
【００２３】
図６において、ユーザ端末１とＰＤＧ３３は、ＩＰｓｅｃを終端する。また、ＶＰＮクライアント３４とＶＰＮゲートウェイ５１も、ＩＰｓｅｃを終端する。ユーザ端末１のプロトコルスタック１０２は、ＩＰｓｅｃ Ｔｕｎｎｅｌが一つである。
【００２４】
図７を参照して、ユーザ端末、ＡＡＡ、ＰＤＧ、ＶＰＮクライアント、ＶＰＮゲートウェイ、相手サーバ間の動作を説明する。図７において、ユーザ端末１が相手サーバ５１に対して通信を開始する処理を説明する。ユーザ端末１は、ＰＤＧ３３にアクセスする（Ｓ１１）。ＰＤＧ３３は、この通信をブロックする（Ｓ１２）。ＰＤＧ３３は、ユーザ端末１に対して認証を要求する（Ｓ１３）。
【００２５】
ユーザ端末１は、ＡＡＡサーバとの間で端末認証を行なう（Ｓ１４）。なお、ユーザ端末の認証は、ＥＡＰ（Extensible Authentication Protocol）−ＳＩＭ（Subscriber Identity Module）またはＥＡＰ−ＡＫＡ（Authentication and Key Agreement）を用いるのが３ＧＰＰ網では一般的である。ここでは認証が正常に終了し、ＡＡＡ３１は、ＰＤＧ３３とユーザ端末１に対して認証の成功を通知する（Ｓ１５、Ｓ１６）。
【００２６】
ＰＤＧ３３は、ユーザ端末１に対するＶＬＡＮをＶＬＡＮのプールから選択し、ＶＬＡＮを登録する（Ｓ１７）。ＰＤＧ３３は、ＶＰＮＣ３４に対してトンネル開設を要求する（Ｓ１８）。ＶＰＮＣ３４は、認証情報を用いてＶＰＮゲートウェイ５１との間にＩＰｓｅｃトンネルを設定する（Ｓ１９）。また、ユーザ端末１とＰＤＧ３３間でも、認証情報を用いてＩＰｓｅｃトンネルを設定する（Ｓ２１）。ＶＰＮＣ３４とＶＰＮゲートウェイ５１との間のＩＰｓｅｃトンネルが設定できると、ＶＰＮＣ３４は、トンネル設定完了をＰＤＧ３３に応答する（Ｓ２２）。
【００２７】
ＰＤＧ３３は、両者のＩＰｓｅｃトンネルが設定され、両者のＩＰｓｅｃトンネルの対応関係を示すＶＬＡＮの設定が終了すると、通信ブロックを解除する（Ｓ２３）。通信ブロックの解除によりユーザ端末１と相手サーバ５２の間で通信リンクが確立し通信が開始される。なお、後述する認証テーブル7をＡＡＡ３１が保持するとき、ステップ１７は、ＰＤＧ３３からＡＡＡ３１への矢印となる。
【００２８】
企業網３のネットワーク管理者は、ＶＰＮゲートウェイ５１によるリモートユーザ管理の仕組みを導入済みであり、新しいＷＬＡＮ２からの３ＧＰＰアクセスを用いたアクセスに対しても、他の既存のアクセス方法と同様なインタフェースでリモートＶＰＮ接続を利用できることを望むと思われる。上述した実施例に依れば、従来のリモートＶＰＮ接続とのインタフェースと役割分担を同一にして、新しく導入するＷＬＡＮアクセスサービスについてもリモートＶＰＮ接続を提供することが可能になる。
【００２９】
図８を参照して、３ＧＰＰ網のインターネット接続サービスを利用した複数の企業網へのリモートアクセスを説明する。図８において、ネットワーク２００Aは、ＷＬＡＮアクセス網２、３ＧＰＰ網３、インターネット４、企業網５−Ａ、企業網５−Ｂで構成されている。３ＧＰＰ網３は、ＰＤＧ３３、ＡＡＡ３１、ＶＰＮクライアント３４が含まれる。企業網５−Ａは、ＶＰＮゲートウェイ５１−Ａと、相手サーバ５２−Ａが含まれる。企業網５−Ｂは、ＶＰＮゲートウェイ５１−Ｂと、相手サーバ５２−Ｂが含まれる。ＷＬＡＮアクセス網２は、ユーザ端末１と３ＧＰＰ網３を接続する。インターネット４は、３ＧＰＰ網３と企業網５−Ａと企業網５−Ｂを接続する。
【００３０】
ユーザ端末１−Ａ１とユーザ端末１−Ａ２は、企業網５−Ａに所属する端末である。ユーザ端末１−Ｂ１は、企業網５−Ｂに所属する端末である。ユーザ端末１−Ａ１とユーザ端末１−Ａ２は、相手サーバ５２−Ａに接続する。ユーザ端末１−Ｂ１は、相手サーバ５２−Ｂに接続する。
【００３１】
通信リンク６７１と通信リンク６７２と通信リンク６７３は、それぞれユーザ端末１−Ａ１と相手サーバ５２−Ａ間、ユーザ端末１−Ａ２と相手サーバ５２−Ａ間、ユーザ端末１−Ｂ１と相手サーバ５２−Ｂ間の通信リンクである。ＩＰｓｅｃトンネル６８１、ＩＰｓｅｃトンネル６８２、ＩＰｓｅｃトンネル６８３は、ユーザ端末１とＰＤＧ３３間のＩＰｓｅｃトンネルとして、ユーザ端末１の通信がアクティブな状態の時に動的に設定されるＩＰｓｅｃトンネルである。ＩＰｓｅｃトンネル６９１、ＩＰｓｅｃトンネル６９２、ＩＰｓｅｃトンネル６９３は、ＶＰＮクライアント３４とＶＰＮゲートウェイ５１−ＡおよびＶＰＮゲートウェイ５１−Ｂ間のＩＰｓｅｃトンネルとして対応するユーザ端末１とＰＤＧ間のＩＰｓｅｃトンネルがアクティブな状態の時に動的に設定されるＩＰｓｅｃトンネルである。
【００３２】
ＰＤＧ３３とＶＰＮクライアント３４は、ユーザ端末１からのフローを識別するためにＶＬＡＮを用いている。ユーザ端末とのＩＰｓｅｃトンネルを開設する際に、ＰＤＧ３３は、ユーザ端末がどのＶＬＡＮ（ＶＬＡＮ ＩＤ）を用いるかを決定する。
【００３３】
ユーザ端末とＰＤＧ間およびＶＰＮクライアントとＶＰＮゲートウェイ間のＩＰｓｅｃトンネルに用いる認証情報は、ＡＡＡサーバに設定されており、どのＶＬＡＮを用いるかもＡＡＡサーバに登録する。
【００３４】
図９を参照して、ＡＡＡサーバがユーザ端末毎に設定する情報を説明する。図９において、認証テーブル７は、端末識別子７１と、端末認証情報７２と、ＶＰＮユーザ認証情報７３と、ＶＰＮ７４とから構成される。認証テーブル７の最初のレコードは、端末識別子７１として、user1@operator1を保持している。端末認証情報７２として、0x123456789abcdefを保持している。ＶＰＮユーザ認証情報７３として、0xef123456789abcdを保持している。ＶＰＮ７４として、corporate1を保持している。
【００３５】
ユーザを識別する情報が端末識別子７１である。端末識別子７１は、ユーザを一意に識別するＩＤである。端末認証情報７２は、３ＧＰＰ網３のユーザ端末に設定されている認証情報である。端末認証情報７２は、ユーザ端末の登録時にあらかじめ設定される情報である。
【００３６】
ＶＰＮ認証情報７３は、企業網のリモートアクセスに利用される認証情報である。ここで、ＶＰＮ認証情報７３とは、ＩＰｓｅｃの鍵交換プロトコルであるＩＫＥ（Internet Key Exchange）に用いる認証情報（事前共有鍵）である。ＶＬＡＮ７４は、ＰＤＧ３３とＶＰＮクライアント３４の間でユーザを識別するために用いる。ＶＬＡＮ７４は、端末認証が成功時にＰＤＧにより動的に選択され、ＡＡＡサーバに書き込まれる。
【００３７】
ＶＰＮクライアント３４は、ＰＤＧ３３間で送受信するパケットについて、ＩＥＥＥ８０２．１Ｑ ＶＬＡＮによりＶＬＡＮ７４を設定し、ユーザ端末を識別する。ＶＰＮクライアント３４は、ＶＬＡＮに対応するＩＰｓｅｃトンネルにパケットを送受信する。なお、認証テーブル7のデータをＶＰＮクライアント３４が一時的に持ってもよい。
【００３８】
リモートユーザの認証情報は、企業網の管理者により管理され、企業のポリシーで設定されるものである。そのためリモートユーザの認証情報は、カスコンサーバ（Customer Controlled Server）を用いて企業側からの設定変更が可能になるような構成を追加することが考えられる。
【００３９】
図１０を参照して、カスコンサーバを含む３ＧＰＰ網のインターネット接続サービスを利用した企業網へのリモートアクセスを説明する。図１０において、ネットワーク２００Ｂは、ＷＬＡＮアクセス網２、３ＧＰＰ網３、インターネット４、企業網５で構成されている。３ＧＰＰ網３は、ＰＤＧ３３、ＡＡＡ３１、ＶＰＮクライアント３４、カスコンサーバ３５が含まれる。企業網５は、ＶＰＮゲートウェイ５１と、相手サーバ５２、企業端末５３が含まれる。ＷＬＡＮアクセス網２は、ユーザ端末１と３ＧＰＰ網３を接続する。インターネット４は、３ＧＰＰ網３のＶＰＮクライアント３４、カスコンサーバ３５と、企業網５のＶＰＮゲートウェイ５１を接続する。
【００４０】
企業網５の管理者は、企業端末５３からＶＰＮゲートウェイ５１、インターネット４を介して、カスコンサーバ３５にアクセスする。企業端末５３からのアクセスにより、カスコンサーバ３５は、ＩＰｓｅｃクライアント３４と、ＡＡＡ３１の設定を更新する。なお、カスコンサーバ３５の機能を、ＰＤＧ３３が持ってもよい。この場合も、ＰＤＧを、通信装置と呼ぶ。
【符号の説明】
【００４１】
１…ユーザ端末、２…ＷＬＡＮアクセス網、３…３ＧＰＰ網、４…インターネット、５…企業網、７…認証テーブル、３１…ＡＡＡサーバ、３２…ＷＡＧ、３３…ＰＤＧ、３４…ＶＰＮクライアント、４１…相手サーバ、５１…ＶＰＮゲートウェイ、５２…相手サーバ、６０…ユーザ端末―相手サーバ間通信リンク、６１…ユーザ端末−ＶＰＮゲートウェイ間ＩＰｓｅｃトンネル、６２…ユーザ端末―相手サーバ間通信リンク、６３…ユーザ端末−ＰＤＧ間ＩＰｓｅｃトンネル、６４…ユーザ端末―相手サーバ間通信リンク、６５…ユーザ端末−ＰＤＧ間ＩＰｓｅｃトンネル、６６…ユーザ端末−ＶＰＮゲートウェイ間ＩＰｓｅｃトンネル、６７…ユーザ端末―相手サーバ間通信リンク、６８…ユーザ端末−ＰＤＧ間ＩＰｓｅｃトンネル、６９…ＶＰＮクライアント−ＶＰＮゲートウェイ間ＩＰｓｅｃトンネル、７１…端末識別子、７２…端末認証情報、７３…ＶＰＮユーザ認証情報、７４…ＶＬＡＮ、１０１…ユーザ端末のプロトコルスタック、１０２…ユーザ端末のプロトコルスタック、３２１…ＷＡＧのプロトコルスタック、３２２…ＷＡＧのプロトコルスタック、３３２…ＰＤＧのプロトコルスタック、３３１…ＰＤＧのプロトコルスタック、３４２…ＶＰＮクライアントのプロトコルスタック、５１１…ＶＰＮゲートウェイのプロトコルスタック、５１２…ＶＰＮゲートウェイのプロトコルスタック、５２１…相手サーバのプロトコルスタック、５２２…相手サーバのプロトコルスタック、６７１…ユーザ端末―相手サーバ間通信リンク、６７２…ユーザ端末―相手サーバ間通信リンク、６７３…ユーザ端末―相手サーバ間通信リンク、６８１…ユーザ端末−ＰＤＧ間ＩＰｓｅｃトンネル、６８２…ユーザ端末−ＰＤＧ間ＩＰｓｅｃトンネル、６８３…ユーザ端末−ＰＤＧ間ＩＰｓｅｃトンネル、６９１…ＶＰＮクライアント−ＶＰＮゲートウェイ間ＩＰｓｅｃトンネル、６９２…ＶＰＮクライアント−ＶＰＮゲートウェイ間ＩＰｓｅｃトンネル、６９３…ＶＰＮクライアント−ＶＰＮゲートウェイ間ＩＰｓｅｃトンネル。
【特許請求の範囲】
【請求項１】
第１の網の第１のユーザ認証情報と、第２の網の第２のユーザ認証情報との対応に基づいて、端末からアクセスされたとき、この端末の第１のユーザ認証情報を前記端末の第２のユーザ認証情報に変換して、前記第２の網へトンネルの開設要求を送信し、前記端末との第１のトンネルと前記第２の網との第２のトンネルとを設定し、前記第１のトンネルを介して受信したデータを前記第２のトンネルに転送することを特徴とする通信装置。
【請求項２】
請求項１に記載の通信装置であって、
前記第１のユーザ認証情報と前記第２のユーザ認証情報とをＬＡＮ ＩＤと対応付けて保持することを特徴とする通信装置。
【請求項３】
請求項１に記載の通信装置であって、
前記第２の網からの制御により、前記第２のユーザ認証情報を更新する手段を有することを特徴とする通信装置。
【請求項４】
第１の網の第１のユーザ認証情報と、第２の網の第２のユーザ認証情報とを保持するステップと、端末からアクセスされたとき、この端末の第１のユーザ認証情報を前記端末の第２のユーザ認証情報に変換するステップと、前記第２の網へトンネルの開設要求を送信するステップと、前記端末との第１のトンネルを設定するステップと、前記第２の網と第２のトンネルを設定するステップと、前記第１のトンネルを介して受信したデータを前記第２のトンネルに転送するステップとからなる通信方法。
【請求項１】
第１の網の第１のユーザ認証情報と、第２の網の第２のユーザ認証情報との対応に基づいて、端末からアクセスされたとき、この端末の第１のユーザ認証情報を前記端末の第２のユーザ認証情報に変換して、前記第２の網へトンネルの開設要求を送信し、前記端末との第１のトンネルと前記第２の網との第２のトンネルとを設定し、前記第１のトンネルを介して受信したデータを前記第２のトンネルに転送することを特徴とする通信装置。
【請求項２】
請求項１に記載の通信装置であって、
前記第１のユーザ認証情報と前記第２のユーザ認証情報とをＬＡＮ ＩＤと対応付けて保持することを特徴とする通信装置。
【請求項３】
請求項１に記載の通信装置であって、
前記第２の網からの制御により、前記第２のユーザ認証情報を更新する手段を有することを特徴とする通信装置。
【請求項４】
第１の網の第１のユーザ認証情報と、第２の網の第２のユーザ認証情報とを保持するステップと、端末からアクセスされたとき、この端末の第１のユーザ認証情報を前記端末の第２のユーザ認証情報に変換するステップと、前記第２の網へトンネルの開設要求を送信するステップと、前記端末との第１のトンネルを設定するステップと、前記第２の網と第２のトンネルを設定するステップと、前記第１のトンネルを介して受信したデータを前記第２のトンネルに転送するステップとからなる通信方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【公開番号】特開２０１０−２０６４４２（Ｐ２０１０−２０６４４２Ａ）
【公開日】平成２２年９月１６日（２０１０．９．１６）
【国際特許分類】
【出願番号】特願２００９−４８８９７（Ｐ２００９−４８８９７）
【出願日】平成２１年３月３日（２００９．３．３）
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
【公開日】平成２２年９月１６日（２０１０．９．１６）
【国際特許分類】
【出願日】平成２１年３月３日（２００９．３．３）
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
[ Back to top ]