(57)【要約】  通信ネットワークシステム（１）は、グローバルネットワーク（２）を介して外部装置（３）と接続されるクラウドサーバ装置（４）と、ゲートウェイ装置（９）とを備える。ゲートウェイ装置（９）は、グローバルネットワーク（２）を介してクラウドサーバ装置（４）との間で通信を行う第１通信部（９１）と、ローカルエリアネットワーク（６）を介して内部装置（６１）との間で通信を行う第２通信部（９２）と、これらの第１及び第２通信部（９１，９２）をそれぞれ制御する第１及び第２通信制御部（９５１，９５２）と、通信履歴記憶部（９６）と、を含む。第１及び第２通信制御部（９５１，９５２）による第１及び第２通信部（９１，９２）の制御によって、外部装置（３）と内部装置（６１）との間のセッションが確立されると、通信履歴記憶部（９６）は、当該外部装置（３）と内部装置（６１）との間の通信の履歴に関する通信履歴情報（ＪＨ１）を記憶する。
2019092873.tif 000002
【特許請求の範囲】
【請求項１】
グローバルネットワークに接続された外部装置と、
前記グローバルネットワークと分離されたローカルエリアネットワークに接続された内部装置と、
前記グローバルネットワークを介して前記外部装置と通信可能に接続されるサーバ装置と、
前記グローバルネットワークと前記ローカルエリアネットワークとの間での通信を中継するゲートウェイ装置と、を備え、
前記サーバ装置は、前記グローバルネットワークを介し、前記外部装置から前記内部装置へのアクセスの要求を示すアクセス要求パケットを受信し、当該アクセス要求パケットの受信を通知するための第１アクセス要求通知パケットを前記ゲートウェイ装置へ送信するように構成され、
前記ゲートウェイ装置は、
前記グローバルネットワークを介して前記サーバ装置との間で通信を行う第１通信部と、
前記ローカルエリアネットワークを介して前記内部装置との間で通信を行う第２通信部と、
前記第１通信部を制御し、前記サーバ装置から前記ゲートウェイ装置へ送信された前記第１アクセス要求通知パケットを受信させる第１通信制御部と、
前記第２通信部を制御し、前記第１通信部により前記第１アクセス要求通知パケットが受信されると、当該第１アクセス要求通知パケットの受信を通知するための第２アクセス要求通知パケットを前記内部装置へ送信させることにより、前記外部装置と前記内部装置との間のセッションを確立する第２通信制御部と、
前記セッションの確立による、前記外部装置と前記内部装置との間の通信の履歴に関する通信履歴情報を記憶する通信履歴記憶部と、を含む、通信ネットワークシステム。
【請求項２】
前記ゲートウェイ装置は、
前記通信履歴記憶部に記憶された前記通信履歴情報を参照して、前記外部装置と前記内部装置との間の前記セッションを監視し、前記外部装置から前記内部装置への不正なアクセスを検知すると、不正アクセス検知情報を出力するセッション監視部と、
前記セッション監視部により前記不正アクセス検知情報が出力されると、当該不正アクセス検知情報を報知する報知処理、及び、前記外部装置と前記内部装置との間の通信を遮断する遮断処理の、少なくともいずれか一方の処理を行う不正アクセス処理部と、を更に含む、請求項１に記載の通信ネットワークシステム。
【請求項３】
前記ゲートウェイ装置は、
前記通信履歴記憶部に記憶された前記通信履歴情報を参照することなく、前記外部装置と前記内部装置との間の前記セッションを監視し、前記外部装置から前記内部装置への不正なアクセスを検知すると、不正アクセス検知情報を出力するセッション監視部と、
前記セッション監視部により前記不正アクセス検知情報が出力されると、当該不正アクセス検知情報を報知する報知処理、及び、前記外部装置と前記内部装置との間の通信を遮断する遮断処理の、少なくともいずれか一方の処理を行う不正アクセス処理部と、を更に含む、請求項１に記載の通信ネットワークシステム。
【請求項４】
前記第１通信制御部は、所定の時間間隔で定期的に第１定期パケットを前記第１通信部から前記サーバ装置へ送信させ、且つ、前記第１定期パケットに応答するように前記サーバ装置から前記ゲートウェイ装置へ送信された前記第１アクセス要求通知パケットを前記第１通信部に受信させ、
前記第２通信制御部は、所定の時間間隔で定期的に前記内部装置から前記ゲートウェイ装置へ送信される第２定期パケットを前記第２通信部に受信させ、且つ、前記第２定期パケットに応答するように前記第２通信部から前記内部装置へ前記第２アクセス要求通知パケットを送信させる、請求項１〜３のいずれか１項に記載の通信ネットワークシステム。
【請求項５】
前記ゲートウェイ装置は、前記ローカルエリアネットワークを介した前記内部装置との間の通信において使用される、当該内部装置のアドレスと識別子とを関連付けたローカル通信情報を記憶する通信情報記憶部を、更に含み、
前記第１通信制御部は、所定の時間間隔で定期的に第１定期パケットを前記第１通信部から前記サーバ装置へ送信させ、且つ、前記第１定期パケットに応答するように前記サーバ装置から前記ゲートウェイ装置へ送信された前記第１アクセス要求通知パケットを前記第１通信部に受信させ、
前記第２通信制御部は、前記第１通信部により前記第１アクセス要求通知パケットが受信されると、前記通信情報記憶部に記憶された前記ローカル通信情報を参照し、前記第２通信部から前記内部装置へ前記第２アクセス要求通知パケットを送信させる、請求項１〜３のいずれか１項に記載の通信ネットワークシステム。
【請求項６】
前記サーバ装置と前記ゲートウェイ装置との間における、前記第１通信部による前記グローバルネットワークを介した通信を認証する認証処理を行うプロキシサーバを、更に備え、
前記ゲートウェイ装置は、前記プロキシサーバの前記認証処理に用いられる認証情報を記憶する認証情報記憶部を、更に含み、
前記第１通信制御部は、
前記認証情報が付加されたヘッダ情報を含む認証情報付加パケットを前記第１定期パケットとして前記第１通信部から前記サーバ装置へ送信させ、
前記認証情報付加パケットに応答するように前記サーバ装置から前記ゲートウェイ装置へ前記第１アクセス要求通知パケットが送信されると、当該第１アクセス要求通知パケットを前記第１通信部に受信させる、請求項４又は５に記載の通信ネットワークシステム。
【請求項７】
前記ゲートウェイ装置は、前記第１通信制御部の制御により前記第１通信部が前記第１アクセス要求通知パケットを受信すると、予め定められたアクセス基準に基づき、前記外部装置から前記内部装置へのアクセスを承認する承認処理、又は当該アクセスを拒否する拒否処理を行うアクセス承認拒否処理部を、更に含み、
前記第２通信制御部は、
前記アクセス承認拒否処理部により前記承認処理が行われると、前記第２通信部から前記内部装置へ前記第２アクセス要求通知パケットを送信させて、前記外部装置と前記内部装置との間のセッションを確立し、
前記アクセス承認拒否処理部により前記拒否処理が行われると、前記第２通信部から前記内部装置へ前記第２アクセス要求通知パケットを送信させず、前記外部装置と前記内部装置との間のセッションを不成立とする、請求項６に記載の通信ネットワークシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、グローバルネットワークに接続された外部装置とローカルエリアネットワークに接続された内部装置との間で相互に通信を行う通信ネットワークシステムに関する。
【背景技術】
【０００２】
製品を生産する工場内には、多種多様な製造装置が設置されている。例えば、電子部品が搭載（実装）された実装基板を生産する工場内には、基板に電子部品を搭載（実装）する複数の部品実装装置が設置されている。複数の部品実装装置の各々は、基板に対して電子部品を実装する実装動作に必要な各種情報を参照し、所定の実装プログラムを実行することにより、実装基板を生産する。【０００３】
ところで、工場内では、技術情報、生産量や製品品質等に関する情報などが外部に漏洩することを抑止する観点から、インターネットやオフィスネットワークなどのグローバルネットワークと分離された、ローカルなネットワーク（ローカルエリアネットワーク）が構築されていることが多い。工場内に設置された、複数の部品実装装置などの各種製造装置（以下、「内部装置」と称する）をローカルエリアネットワークに接続することにより、当該ローカルエリアネットワークを介して各内部装置の間での情報の送受信が可能となる。【０００４】
一方、部品実装装置などの内部装置のメーカーには、装置を動作させるためのプログラムの更新や、装置の保守点検などに関する情報の提供、並びに遠隔操作（リモートコントロール）により保守点検を実行するサービスの提供が望まれている。内部装置のメーカーが上記のサービスを提供するに際しては、ローカルエリアネットワークとは分離されたグローバルネットワークに接続された外部装置から、ローカルエリアネットワークに接続された内部装置へアクセスする必要がある。このような、グローバルネットワークとローカルエリアネットワークとの間での通信を可能とする技術が、例えば特許文献１，２に開示されている。【０００５】
しかしながら、外部への情報漏洩の抑止の観点からは、単純に、グローバルネットワークとローカルエリアネットワークとの間での通信を可能とするだけでは不十分である。すなわち、外部装置から内部装置へのアクセスについて、外部への情報漏洩につながる不正なアクセスが行われていないか等を、ローカルエリアネットワーク内で監視することが可能な通信ネットワークシステムを構築する必要がある。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００４−１２０５３４号公報
【特許文献２】特開２００７−００６１０９号公報
【発明の概要】
【０００７】
本発明は、このような事情に鑑みてなされたものであり、その目的とするところは、グローバルネットワークに接続された外部装置から、ローカルエリアネットワークに接続された内部装置への不正なアクセスが行われていないか等を、ローカルエリアネットワーク内で監視することが可能な通信ネットワークシステムを提供することにある。
【０００８】
本発明の一の局面に係る通信ネットワークシステムは、グローバルネットワークに接続された外部装置と、前記グローバルネットワークと分離されたローカルエリアネットワークに接続された内部装置と、前記グローバルネットワークを介して前記外部装置と通信可能に接続されるサーバ装置と、前記グローバルネットワークと前記ローカルエリアネットワークとの間での通信を中継するゲートウェイ装置と、を備える。前記サーバ装置は、前記グローバルネットワークを介し、前記外部装置から前記内部装置へのアクセスの要求を示すアクセス要求パケットを受信し、当該アクセス要求パケットの受信を通知するための第１アクセス要求通知パケットを前記ゲートウェイ装置へ送信するように構成される。前記ゲートウェイ装置は、前記グローバルネットワークを介して前記サーバ装置との間で通信を行う第１通信部と、前記ローカルエリアネットワークを介して前記内部装置との間で通信を行う第２通信部と、前記第１通信部を制御し、前記サーバ装置から前記ゲートウェイ装置へ送信された前記第１アクセス要求通知パケットを受信させる第１通信制御部と、前記第２通信部を制御し、前記第１通信部により前記第１アクセス要求通知パケットが受信されると、当該第１アクセス要求通知パケットの受信を通知するための第２アクセス要求通知パケットを前記内部装置へ送信させることにより、前記外部装置と前記内部装置との間のセッションを確立する第２通信制御部と、前記セッションの確立による、前記外部装置と前記内部装置との間の通信の履歴に関する通信履歴情報を記憶する通信履歴記憶部と、を含む。
【０００９】
本発明の目的、特徴及び利点は、以下の詳細な説明と添付図面とによって、より明白となる。
【図面の簡単な説明】
【００１０】
【図１】本発明の第１実施形態に係る通信ネットワークシステムの構成を示すブロック図である。
【図２】第１実施形態に係る通信ネットワークシステムに備えられるゲートウェイ装置の構成を示すブロック図である。
【図３】ゲートウェイ装置がクラウドサーバ装置へ送信する第１定期パケットのヘッダ情報を示す図である。
【図４】ゲートウェイ装置が内部装置から受信する第２定期パケットのヘッダ情報を示す図である。
【図５】クラウドサーバ装置が外部装置から受信するアクセス要求パケットのヘッダ情報を示す図である。
【図６】クラウドサーバ装置がゲートウェイ装置へ送信する第１アクセス要求通知パケットのヘッダ情報を示す図である。
【図７】ゲートウェイ装置が内部装置へ送信する第２アクセス要求通知パケットのヘッダ情報を示す図である。
【図８】ゲートウェイ装置に備えられる通信履歴記憶部に記憶される通信履歴情報を説明するための図である。
【図９】第１実施形態に係る通信ネットワークシステムにおいて、クラウドサーバ装置が実行するクラウドサーバ通信処理を示すフローチャートである。
【図１０】第１実施形態に係る通信ネットワークシステムにおいて、ゲートウェイ装置が実行するゲートウェイ通信処理を示すフローチャートである。
【図１１】本発明の第２実施形態に係る通信ネットワークシステムの構成を示すブロック図である。
【図１２】第２実施形態に係る通信ネットワークシステムに備えられるゲートウェイ装置の構成を示すブロック図である。
【図１３】ゲートウェイ装置がクラウドサーバ装置へ送信する認証情報付加パケットのヘッダ情報を示す図である。
【図１４】第２実施形態に係る通信ネットワークシステムにおいて、クラウドサーバ装置が実行するクラウドサーバ通信処理を示すフローチャートである。
【図１５】第２実施形態に係る通信ネットワークシステムにおいて、ゲートウェイ装置が実行するゲートウェイ通信処理を示すフローチャートである。
【発明を実施するための形態】
【００１１】
以下、本発明の実施形態に係る通信ネットワークシステムについて図面に基づいて説明する。
【００１２】
［第１実施形態に係る通信ネットワークシステム］
＜通信ネットワークシステムの全体構成＞
図１は、本発明の第１実施形態に係る通信ネットワークシステム１の構成を示すブロック図である。通信ネットワークシステム１は、インターネットなどのグローバルネットワーク（以下、「ＧＮ」と称する）２と、ローカルエリアネットワーク（以下、「ＬＡＮ」と称する）６との間で相互に通信を行うためのネットワークシステムである。通信ネットワークシステム１は、ＧＮ２に接続された外部装置３と、クラウドサーバ装置４と、ローカルシステム５とを備える。
【００１３】
ローカルシステム５は、ＧＮ２とは分離されたＬＡＮ６に属するシステムであって、例えば工場内に構築されたコンピュータネットワークシステムである。ローカルシステム５は、技術情報、生産量や製品品質等に関する情報などが外部に漏洩することを抑止する観点から、ＧＮ２とは分離されたＬＡＮ６に属するシステムとして構築されている。ローカルシステム５は、ＬＡＮ６に接続された複数の第１内部装置６１及び第２内部装置６２と、パケットフィルタリング装置７と、ルーター８と、ゲートウェイ装置９とを含んで構成される。
【００１４】
第１内部装置６１は、例えば工場内に設置された部品実装装置などの製造装置である。部品実装装置は、基板に電子部品を搭載（実装）するための製造装置であって、基板に対して電子部品を実装する実装動作に必要な各種情報を参照し、所定の実装プログラムを実行することにより、実装基板を生産する。第２内部装置６２は、各第１内部装置６１の動作を統括的に管理するための管理装置である。図１に示す例では、４台の第１内部装置６１と１台の第２内部装置６２とが、ＬＡＮ６に接続されている。工場内に設置された複数の第１内部装置６１及び第２内部装置６２をＬＡＮ６に接続することにより、当該ＬＡＮ６を介して複数の第１内部装置６１及び第２内部装置６２の間での情報の送受信が可能となる。
【００１５】
パケットフィルタリング装置７は、ＧＮ２に接続された外部装置３と、ＬＡＮ６に接続された第１及び第２内部装置６１，６２との間における、パケット通信を制限する装置であり、例えば所謂ファイアウォールである。ルーター８は、ＧＮ２とＬＡＮ６との間を相互接続する通信機器であり、データをネットワーク層で、どのルートを通して転送すべきかを判断するルート選択機能を有する。ゲートウェイ装置９は、ＧＮ２に接続された外部装置３とＬＡＮ６に接続された第１及び第２内部装置６１，６２との間での通信を中継する装置である。このゲートウェイ装置９の構成の詳細については、後述する。
【００１６】
ＧＮ２に接続された外部装置３は、例えばパーソナルコンピュータからなる。外部装置３は、例えば、ローカルシステム５を構成する第１内部装置６１及び第２内部装置６２のメーカーによって操作される。第１内部装置６１及び第２内部装置６２を動作させるためのプログラムの更新や、装置の保守点検などに関する情報の提供、並びに遠隔操作（リモートコントロール）により保守点検を実行するサービスの提供の際に、外部装置３が操作される。
【００１７】
クラウドサーバ装置４は、ＧＮ２を介して外部装置３及びゲートウェイ装置９と連携する仮想化サーバ装置である。クラウドサーバ装置４は、ＧＮ２を介して外部装置３及びゲートウェイ装置９と通信可能に接続される。
【００１８】
通信ネットワークシステム１において、ＧＮ２に接続された外部装置３と、ＬＡＮ６に接続された第１及び第２内部装置６１，６２との間での、相互通信のためのセッションは、クラウドサーバ装置４とゲートウェイ装置９との間のパケット通信に基づき確立される。このセッションを確立するためのゲートウェイ装置９の構成と、クラウドサーバ装置４とゲートウェイ装置９との間のパケット通信について、図２乃至図７を参照して説明する。図２は、通信ネットワークシステム１に備えられるゲートウェイ装置９の構成を示すブロック図である。図３乃至図７は、外部装置３と第１及び第２内部装置６１，６２との間のセッションを確立するために用いられるパケットのヘッダ情報を示す図である。
【００１９】
まず、図２を参照してゲートウェイ装置９の構成を説明する。ゲートウェイ装置９は、第１通信部９１と、第２通信部９２と、通信管理部９３と、表示部９４と、中央処理部９５と、通信履歴記憶部９６と、通信情報記憶部９７とを含んで構成され、これらの各部はバス９０を介して接続されている。
【００２０】
第１通信部９１は、ＧＮ２を介してクラウドサーバ装置４との間で通信を行うためのインターフェース回路である。第１通信部９１とクラウドサーバ装置４との間での、ＧＮ２を介した通信が行われる通信経路には、パケットフィルタリング装置７及びルーター８が配置されている。第１通信部９１は、中央処理部９５からのデータに基づいてＧＮ２の伝送方式に従った通信信号を生成するとともに、ＧＮ２を介したクラウドサーバ装置４からの通信信号を中央処理部９５が処理可能な形式のデータに変換する。
【００２１】
第２通信部９２は、ＬＡＮ６を介して第１及び第２内部装置６１，６２との間で通信を行うためのインターフェース回路である。第２通信部９２は、中央処理部９５からのデータに基づいてＬＡＮ６の伝送方式に従った通信信号を生成するとともに、ＬＡＮ６を介した第１及び第２内部装置６１，６２からの通信信号を中央処理部９５が処理可能な形式のデータに変換する。
【００２２】
中央処理部９５は、例えば、マイクロプロセッサやその周辺回路等で構成され、第１通信制御部９５１と、第２通信制御部９５２と、通信管理制御部９５３と、表示制御部９５４とを含む。
【００２３】
第１通信制御部９５１は、第１通信部９１を制御する。第１通信制御部９５１は、ＧＮ２で使用されるＴＣＰ／ＩＰ等からなるインターネットプロトコル群に準拠したソフトウェア群である。第１通信制御部９５１は、第１通信部９１を制御する最下層のデバイスドライバ、インターネットプロトコルに対応したデータリンク層のソフトウェア、ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）のネットワーク層のソフトウェア、及び、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ）等の上位層のソフトウェアなどを備えて構成される。
【００２４】
また、第１通信制御部９５１は、第１通信部９１を制御し、図３に示すヘッダ情報ＨＪ１を含む第１定期パケットＲＰ１を第１通信部９１からクラウドサーバ装置４へ送信させる。第１定期パケットＲＰ１は、所定の時間間隔で定期的に、第１通信部９１からクラウドサーバ装置４へ送信される通信パケットである。第１定期パケットＲＰ１のヘッダ情報ＨＪ１は、第１定期パケットＲＰ１の送信元となるゲートウェイ装置９のグローバルＩＰアドレスＧＡＧ、第１定期パケットＲＰ１の送信先となるクラウドサーバ装置４のグローバルＩＰアドレスＧＡＣ、及びゲートウェイ装置９のＲＧＩＤが付加されている。図３に示す例では、第１定期パケットＲＰ１のヘッダ情報ＨＪ１において、ゲートウェイ装置９のグローバルＩＰアドレスＧＡＧが「２１０．０．０．２５４」であり、クラウドサーバ装置４のグローバルＩＰアドレスＧＡＣが「３２０．０．０．１」であり、ゲートウェイ装置９の識別子ＧＩＤが「ＧＡＴＥＡＷＹ１」である。
【００２５】
更に、第１通信制御部９５１は、第１通信部９１を制御し、第１通信部９１から送信された第１定期パケットＲＰ１に応答するようにクラウドサーバ装置４からゲートウェイ装置９へ送信された第１アクセス要求通知パケットＮＰ１（図６参照）を、第１通信部９１に受信させる。ここで、第１通信部９１により受信される第１アクセス要求通知パケットＮＰ１を説明するに先立って、外部装置３とクラウドサーバ装置４との間でのＧＮ２を介したパケット通信について説明する。
【００２６】
クラウドサーバ装置４は、図５に示すヘッダ情報ＨＪ３を含むアクセス要求パケットＤＰを、ＧＮ２を介して外部装置３から受信する。アクセス要求パケットＤＰは、外部装置３からクラウドサーバ装置４へ送信される通信パケットであって、外部装置３から第１及び第２内部装置６１，６２へのアクセスの要求を示す通信パケットである。アクセス要求パケットＤＰのヘッダ情報ＨＪ３は、アクセス要求パケットＤＰの送信元となる外部装置３のグローバルＩＰアドレスＧＡＭ、アクセス要求パケットＤＰの送信先となるクラウドサーバ装置４のグローバルＩＰアドレスＧＡＣ、及びアクセス要求先の第１及び第２内部装置６１，６２の識別子ＭＩＤが付加されている。図５に示す例では、アクセス要求パケットＤＰのヘッダ情報ＨＪ３において、外部装置３のグローバルＩＰアドレスＧＡＭが「Ａ１．Ｂ１．Ｃ１．Ｄ１」であり、クラウドサーバ装置４のグローバルＩＰアドレスＧＡＣが「３２０．０．０．１」であり、アクセス要求先の第１及び第２内部装置６１，６２の識別子ＭＩＤが「ＭＡＣＨＩＮＥ１」である。
【００２７】
クラウドサーバ装置４は、外部装置３からアクセス要求パケットＤＰを受信し、且つ、ゲートウェイ装置９の第１通信部９１から第１定期パケットＲＰ１を受信すると、図６に示すヘッダ情報ＨＪ４を含む第１アクセス要求通知パケットＮＰ１を、ゲートウェイ装置９へ送信する。第１アクセス要求通知パケットＮＰ１は、外部装置３からのアクセス要求パケットＤＰの受信をゲートウェイ装置９へ通知するための通信パケットである。ゲートウェイ装置９へ第１アクセス要求通知パケットＮＰ１を送信するに際し、クラウドサーバ装置４は、第１定期パケットＲＰ１のヘッダ情報ＨＪ１を参照して、送信先となるゲートウェイ装置９のグローバルＩＰアドレスＧＡＧを特定する。
【００２８】
第１アクセス要求通知パケットＮＰ１のヘッダ情報ＨＪ４は、第１アクセス要求通知パケットＮＰ１の送信元となるクラウドサーバ装置４のグローバルＩＰアドレスＧＡＣ、第１アクセス要求通知パケットＮＰ１の送信先となるゲートウェイ装置９のグローバルＩＰアドレスＧＡＧ、及びアクセス要求先の第１及び第２内部装置６１，６２の識別子ＭＩＤが付加されている。図６に示す例では、第１アクセス要求通知パケットＮＰ１のヘッダ情報ＨＪ４において、クラウドサーバ装置４のグローバルＩＰアドレスＧＡＣが「３２０．０．０．１」であり、ゲートウェイ装置９のグローバルＩＰアドレスＧＡＧが「２１０．０．０．２５４」であり、アクセス要求先の第１及び第２内部装置６１，６２の識別子ＭＩＤが「ＭＡＣＨＩＮＥ１」である。
【００２９】
前述したように、ゲートウェイ装置９の中央処理部９５における第１通信制御部９５１は、第１通信部９１から送信された第１定期パケットＲＰ１に応答するようにクラウドサーバ装置４からゲートウェイ装置９へ送信された第１アクセス要求通知パケットＮＰ１を、第１通信部９１に受信させる。
【００３０】
第２通信制御部９５２は、第２通信部９２を制御する。第２通信制御部９５２は、ＬＡＮ６で使用される通信プロトコルに準拠したソフトウェア群である。第２通信制御部９５２は、第２通信部９２を制御する最下層のデバイスドライバ、ＬＡＮ６で使用される通信プロトコルに対応したデータリンク層のソフトウェア、ＬＡＮ６で使用される通信プロトコルに対応したネットワーク層のソフトウェア、及び、ＬＡＮ６で使用される通信プロトコルに対応した上位層のソフトウェアなどを備えて構成される。
【００３１】
また、第２通信制御部９５２は、第２通信部９２を制御し、図４に示すヘッダ情報ＨＪ２を含む第２定期パケットＲＰ２を第２通信部９２に受信させる。第２定期パケットＲＰ２は、所定の時間間隔で定期的に、第１及び第２内部装置６１，６２からゲートウェイ装置９へ送信される通信パケットである。第２定期パケットＲＰ２のヘッダ情報ＨＪ２は、第２定期パケットＲＰ２の送信元となる第１及び第２内部装置６１，６２のローカルＩＰアドレスＬＡＭ、第２定期パケットＲＰ２の送信先となるゲートウェイ装置９のローカルＩＰアドレスＬＡＧ、及び、第１及び第２内部装置６１，６２の識別子ＭＩＤが付加されている。図４に示す例では、第２定期パケットＲＰ２のヘッダ情報ＨＪ２において、第１及び第２内部装置６１，６２のローカルＩＰアドレスＬＡＭが「６６．０．０．１」であり、ゲートウェイ装置９のローカルＩＰアドレスＬＡＧが「６６．０．０．２５４」であり、第１及び第２内部装置６１，６２の識別子ＭＩＤが「ＭＡＣＨＩＮＥ１」である。
【００３２】
更に、第２通信制御部９５２は、第１通信部９１により第１アクセス要求通知パケットＮＰ１が受信されると、第１及び第２内部装置６１，６２からゲートウェイ装置９へ送信された第２定期パケットＲＰ２に応答するように、図７に示すヘッダ情報ＨＪ５を含む第２アクセス要求通知パケットＮＰ２を、第２通信部９２から第１及び第２内部装置６１，６２へ送信させる。換言すると、第２通信制御部９５２は、第１通信部９１により第１アクセス要求通知パケットＮＰ１が受信され、且つ、第２通信部９２により第２定期パケットＲＰ２が受信されると、第２通信部９２から第１及び第２内部装置６１，６２へ第２アクセス要求通知パケットＮＰ２を送信させる。第２アクセス要求通知パケットＮＰ２は、クラウドサーバ装置４からの第１アクセス要求通知パケットＮＰ１の受信を第１及び第２内部装置６１，６２へ通知するための通信パケットである。第１及び第２内部装置６１，６２へ第２アクセス要求通知パケットＮＰ２を送信させるに際し、第２通信制御部９５２は、第２定期パケットＲＰ２のヘッダ情報ＨＪ２を参照して、送信先となる第１及び第２内部装置６１，６２のローカルＩＰアドレスＬＡＭを特定する。
【００３３】
なお、上記では、第１及び第２内部装置６１，６２へ第２アクセス要求通知パケットＮＰ２を送信させるに際し、第２通信制御部９５２が、第２定期パケットＲＰ２のヘッダ情報ＨＪ２を参照して、第１及び第２内部装置６１，６２のローカルＩＰアドレスＬＡＭを特定する構成について説明したが、この構成に限定されるものではない。第２通信制御部９５２は、第１通信部９１により第１アクセス要求通知パケットＮＰ１が受信されると、ゲートウェイ装置９に備えられた通信情報記憶部９７に記憶されたローカル通信情報を参照し、第２通信部９２から第１及び第２内部装置６１，６２へ第２アクセス要求通知パケットＮＰ２を送信させるように構成されていてもよい。前記ローカル通信情報は、通信情報記憶部９７に予め記憶された情報であって、ＬＡＮ６を介したゲートウェイ装置９と第１及び第２内部装置６１，６２との間の通信において使用される、第１及び第２内部装置６１，６２のローカルＩＰアドレスＬＡＭと第１及び第２内部装置６１，６２の識別子ＭＩＤとを関連付けた情報である。この場合、第１及び第２内部装置６１，６２へ第２アクセス要求通知パケットＮＰ２を送信させるに際し、第２通信制御部９５２は、通信情報記憶部９７に記憶された前記ローカル通信情報を参照して、送信先となる第１及び第２内部装置６１，６２のローカルＩＰアドレスＬＡＭを特定する。
【００３４】
第２アクセス要求通知パケットＮＰ２のヘッダ情報ＨＪ５は、第２アクセス要求通知パケットＮＰ２の送信元となるゲートウェイ装置９のローカルＩＰアドレスＬＡＧ、第２アクセス要求通知パケットＮＰ２の送信先となる第１及び第２内部装置６１，６２のローカルＩＰアドレスＬＡＭ、及びゲートウェイ装置９の識別子ＧＩＤが付加されている。図７に示す例では、第２アクセス要求通知パケットＮＰ２のヘッダ情報ＨＪ５において、ゲートウェイ装置９のローカルＩＰアドレスＬＡＧが「６６．０．０．２５４」であり、第１及び第２内部装置６１，６２のローカルＩＰアドレスＬＡＭが「６６．０．０．１」であり、ゲートウェイ装置９の識別子ＧＩＤが「ＧＡＴＥＡＷＹ１」である。
【００３５】
第２通信制御部９５２は、第２通信部９２から第１及び第２内部装置６１，６２へ第２アクセス要求通知パケットＮＰ２を送信させることにより、外部装置３と第１及び第２内部装置６１，６２との間での、相互通信のためのセッションを確立する。外部装置３と第１及び第２内部装置６１，６２との間でのセッションが確立されると、外部装置３からの遠隔操作（リモートコントロール）によって、第１及び第２内部装置６１，６２を動作させるためのプログラムの更新や、装置の保守点検などに関する情報の提供、並びに保守点検を実行するサービスの提供が可能となる。なお、通信ネットワークシステム１において、外部装置３と第１及び第２内部装置６１，６２との間でのセッションの確立のための、クラウドサーバ装置４及びゲートウェイ装置９のパケット通信に基づく通信処理については、後記にて更に詳述する。
【００３６】
ゲートウェイ装置９の中央処理部９５において、通信管理制御部９５３は、通信管理部９３を制御する。通信管理部９３は、図２に示すように、セッション監視部９３１と、不正アクセス処理部９３２とを含む。
【００３７】
セッション監視部９３１は、外部装置３と第１及び第２内部装置６１，６２との間のセッションを監視する。セッション監視部９３１は、セッションの監視によって、ゲートウェイ装置９に予め設定されているアクセス基準に基づき、外部装置３から第１及び第２内部装置６１，６２への不正なアクセスを検知する。アクセス基準は、外部装置３から第１及び第２内部装置６１，６２へのアクセスの許可範囲を示す情報である。このアクセス基準は、例えば、アクセス許可外部識別子、アクセス許可内部識別子、及びアクセス許可通信内容情報として、ゲートウェイ装置９に設定されている。アクセス許可外部識別子は、第１及び第２内部装置６１，６２へのアクセスを許可する外部装置３の識別子を示す。アクセス許可内部識別子は、外部装置３のアクセスを許可する第１及び第２内部装置６１，６２の識別子を示す。アクセス許可通信内容情報は、外部装置３と第１及び第２内部装置６１，６２との間のセッション確立後において許可される通信内容に関する情報を示す。通信内容は、セッション確立後において外部装置３と第１及び第２内部装置６１，６２との間で行われる相互通信の内容を示す。通信内容としては、例えば、外部装置３からの遠隔操作（リモートコントロール）や、外部装置３と第１及び第２内部装置６１，６２との間でのデータ転送などが挙げられる。
【００３８】
セッション監視部９３１は、アクセス許可外部識別子にて示される識別子以外の識別子を有する外部装置３からの第１及び第２内部装置６１，６２へのアクセスを、不正なアクセスとして検知する。また、セッション監視部９３１は、アクセス許可内部識別子にて示される識別子以外の識別子を有する第１及び第２内部装置６１，６２への外部装置３のアクセスを、不正なアクセスとして検知する。また、セッション監視部９３１は、外部装置３と第１及び第２内部装置６１，６２との間において、アクセス許可通信内容情報にて示される通信内容以外の通信内容の相互通信が行われると、不正なアクセスとして検知する。セッション監視部９３１は、外部装置３から第１及び第２内部装置６１，６２への不正なアクセスを検知すると、不正アクセス検知情報を出力する。
【００３９】
なお、セッション監視部９３１は、外部装置３と第１及び第２内部装置６１，６２との間でのセッションを監視する監視動作を、後述の通信履歴記憶部９６に記憶される通信履歴情報を参照することにより実行してもよいし、当該通信履歴情報を参照することなく実行してもよい。
【００４０】
不正アクセス処理部９３２は、セッション監視部９３１により不正アクセス検知情報が出力されると、当該不正アクセス検知情報を報知する報知処理、及び、外部装置３と第１及び第２内部装置６１，６２との間の通信を遮断する遮断処理の、少なくともいずれか一方の処理を行う。
【００４１】
不正アクセス処理部９３２により報知処理が行われると、ゲートウェイ装置９の中央処理部９５において、表示制御部９５４は、表示部９４を制御し、表示部９４に不正アクセス検知情報を表示させる。表示部９４に表示される不正アクセス検知情報は、例えば、「不正アクセスが検知されました。」などのメッセージ情報を含む。また、不正アクセス処理部９３２により遮断処理が行われると、表示制御部９５４は、表示部９４を制御し、表示部９４に通信遮断情報を表示させる。表示部９４に表示される通信遮断情報は、例えば、「相互通信が遮断されました。」などのメッセージ情報を含む。
【００４２】
ゲートウェイ装置９の通信履歴記憶部９６は、セッションの確立による、外部装置３と第１及び第２内部装置６１，６２との間の相互通信の履歴に関する通信履歴情報を記憶する。図８は、通信履歴記憶部９６に記憶される通信履歴情報ＪＨ１を説明するための図である。
【００４３】
通信履歴記憶部９６に記憶される通信履歴情報ＪＨ１は、セッション開始日時情報ＪＨ１１と、外部装置３のグローバルＩＰアドレスＧＡＭと、外部装置３の識別子ＭＧＩＤと、第１及び第２内部装置６１，６２のローカルＩＰアドレスＬＡＭと、第１及び第２内部装置６１，６２の識別子ＭＩＤと、通信内容情報ＪＨ１２とを関連付けた情報である。
【００４４】
通信履歴情報ＪＨ１において、セッション開始日時情報ＪＨ１１は、外部装置３と第１及び第２内部装置６１，６２との間でセッションが開始された日時（「セッション開始日時」）を表す情報である。図８に示す例では、セッション開始日時情報ＪＨ１１は、「Ｓ００１」、「Ｓ００２」、「Ｓ００３」、「Ｓ００４」、「Ｓ００５」の各々にて、それぞれ異なるセッション開始日時として示されている。
【００４５】
また、通信履歴情報ＪＨ１において、外部装置３のグローバルＩＰアドレスＧＡＭは、第１及び第２内部装置６１，６２へのアクセス元となる外部装置３のグローバルＩＰアドレス（「アクセス元のＩＰアドレス」）を表す情報である。図８に示す例では、外部装置３のグローバルＩＰアドレスＧＡＭとして、同一の「Ａ１．Ｂ１．Ｃ１．Ｄ１」が各セッション開始日時に関連付けられている。
【００４６】
また、通信履歴情報ＪＨ１において、外部装置３の識別子ＭＧＩＤは、第１及び第２内部装置６１，６２へのアクセス元となる外部装置３の識別子（「アクセス元のＩＤ」）を表す情報である。図８に示す例では、外部装置３の識別子ＭＧＩＤとして、「Ａ００１」がセッション開始日時「Ｓ００１」，「Ｓ００２」，「Ｓ００４」，「Ｓ００５」の各々に関連付けられ、「Ａ００２」がセッション開始日時「Ｓ００３」に関連付けられている。
【００４７】
また、通信履歴情報ＪＨ１において、第１及び第２内部装置６１，６２のローカルＩＰアドレスＬＡＭは、外部装置３によりアクセスされたアクセス先となる第１及び第２内部装置６１，６２のローカルＩＰアドレス（「アクセス先のＩＰアドレス」）を表す情報である。図８に示す例では、第１及び第２内部装置６１，６２のローカルＩＰアドレスＬＡＭとして、同一の「６６．０．０．１」が各セッション開始日時に関連付けられている。
【００４８】
また、通信履歴情報ＪＨ１において、第１及び第２内部装置６１，６２の識別子ＭＩＤは、外部装置３によりアクセスされたアクセス先となる第１及び第２内部装置６１，６２の識別子（「アクセス先のＩＤ」）を表す情報である。図８に示す例では、第１及び第２内部装置６１，６２の識別子ＭＩＤとして、「ＭＡＣＨＩＮＥ１」がセッション開始日時「Ｓ００１」，「Ｓ００３」，「Ｓ００４」，「Ｓ００５」の各々に関連付けられ、「ＭＡＣＨＩＮＥ２」がセッション開始日時「Ｓ００２」に関連付けられている。
【００４９】
また、通信履歴情報ＪＨ１において、通信内容情報ＪＨ１２は、外部装置３と第１及び第２内部装置６１，６２との間で行われる相互通信の内容（「通信内容」）を表す情報である。図８に示す例では、通信内容情報ＪＨ１２として、「リモートコントロール」がセッション開始日時「Ｓ００１」，「Ｓ００２」，「Ｓ００３」の各々に関連付けられ、「データ転送（送信）フォルダ：ＣＣＣ」がセッション開始日時「Ｓ００４」に関連付けられ、「データ転送（受信）フォルダ：ＣＣＣ」がセッション開始日時「Ｓ００５」に関連付けられている。
【００５０】
＜外部装置と内部装置との間のセッション確立のための通信処理について＞
次に、通信ネットワークシステム１において、外部装置３と第１及び第２内部装置６１，６２との間でのセッションの確立のための、クラウドサーバ装置４及びゲートウェイ装置９のパケット通信に基づく通信処理について、図９及び図１０のフローチャートを参照して説明する。図９は、通信ネットワークシステム１において、クラウドサーバ装置４が実行するクラウドサーバ通信処理を示すフローチャートである。図１０は、通信ネットワークシステム１において、ゲートウェイ装置９が実行するゲートウェイ通信処理を示すフローチャートである。
【００５１】
前述したように、本実施形態に係る通信ネットワークシステム１では、クラウドサーバ装置４がＧＮ２を介して外部装置３と通信可能に接続され、ゲートウェイ装置９が第１通信部９１によりＧＮ２を介してクラウドサーバ装置４との間で通信可能であり、且つ第２通信部９２によりＬＡＮ６を介して第１及び第２内部装置６１，６２との間で通信可能である。ＧＮ２に接続された外部装置３とＬＡＮ６に接続された第１及び第２内部装置６１，６２との間の通信経路において、クラウドサーバ装置４が外部装置３との間のＧＮ２を介した通信経路を構築し、ゲートウェイ装置９がＧＮ２とＬＡＮ６との間を中継する通信経路を構築する。
【００５２】
（クラウドサーバ装置のクラウドサーバ通信処理）
クラウドサーバ装置４は、外部装置３と第１及び第２内部装置６１，６２との間でのセッションの確立のために、パケット通信によるクラウドサーバ通信処理を行う。まず、クラウドサーバ装置４は、アクセス要求パケットＤＰ（図５参照）を、ＧＮ２を介して外部装置３から受信する（ステップａ１）。次に、クラウドサーバ装置４は、ゲートウェイ装置９の第１通信部９１から第１定期パケットＲＰ１（図３参照）を受信したか否かを判断する（ステップａ２）。クラウドサーバ装置４は、ゲートウェイ装置９の第１通信部９１からの第１定期パケットＲＰ１を受信するまで待機する。第１定期パケットＲＰ１を受信すると、クラウドサーバ装置４は、当該第１定期パケットＲＰ１に応答するように、ゲートウェイ装置９へ第１アクセス要求通知パケットＮＰ１（図６参照）を送信する（ステップａ３）。第１アクセス要求通知パケットＮＰ１の送信を完了すると、クラウドサーバ装置４は、ステップａ１に処理を移行し、ステップａ１からステップａ３までの各処理を繰り返す。
【００５３】
（ゲートウェイ装置のゲートウェイ通信処理）
ゲートウェイ装置９は、外部装置３と第１及び第２内部装置６１，６２との間でのセッションの確立のために、パケット通信によるゲートウェイ通信処理を行う。図１０に示すように、ゲートウェイ装置９において、第１通信制御部９５１は、第１定期パケットＲＰ１（図３参照）を第１通信部９１からクラウドサーバ装置４へ送信させる（ステップｂ１）。次に、第１通信制御部９５１は、クラウドサーバ装置４からの第１アクセス要求通知パケットＮＰ１（図６参照）を第１通信部９１が受信したか否かを判断する（ステップｂ２）。第１通信制御部９５１は、第１通信部９１が第１アクセス要求通知パケットＮＰ１を受信するまで待機する。また、ゲートウェイ装置９において、第２通信制御部９５２は、第１及び第２内部装置６１，６２からの第２定期パケットＲＰ２（図４参照）を第２通信部９２が受信したか否かを判断する（ステップｂ３）。第２通信制御部９５２は、第２通信部９２が第２定期パケットＲＰ２を受信するまで待機する。
【００５４】
第２通信制御部９５２は、第１通信部９１により第１アクセス要求通知パケットＮＰ１が受信され、且つ、第２通信部９２により第２定期パケットＲＰ２が受信されると、第２通信部９２から第１及び第２内部装置６１，６２へ第２アクセス要求通知パケットＮＰ２（図７参照）を送信させる（ステップｂ４）。第２通信制御部９５２は、第２通信部９２から第１及び第２内部装置６１，６２へ第２アクセス要求通知パケットＮＰ２を送信させることにより、外部装置３と第１及び第２内部装置６１，６２との間での、相互通信のためのセッションを確立する（ステップｂ５）。
【００５５】
ここで、ＧＮ２を介した外部装置３の通信対象は、クラウドサーバ装置４である。このため、ＧＮ２を介した通信に使用されるグローバルＩＰアドレスにおいて、外部装置３に対しては、クラウドサーバ装置４のアドレスを公開すればよく、ゲートウェイ装置９のアドレスを公開する必要はない。これにより、外部装置３から第１及び第２内部装置６１，６２への、ゲートウェイ装置９を介した直接的なアクセスを規制することができる。この結果、外部装置３から第１及び第２内部装置６１，６２へのアクセスについて、外部への情報漏洩につながる不正なアクセスを可及的に抑止することができ、セキュリティ上の高度な安全性が確保される。
【００５６】
なお、前述したように、外部装置３と第１及び第２内部装置６１，６２との間での、相互通信のためのセッションを確立するに際し、第２通信制御部９５２は、第２定期パケットＲＰ２を参照する構成に限定されるものではなく、通信情報記憶部９７に記憶された前記ローカル通信情報を参照する構成であってもよい。この場合、図１０に示すフローチャートにおいて、ステップｂ３は省略される。そして、第１通信部９１により第１アクセス要求通知パケットＮＰ１が受信されると、第２通信制御部９５２は、ステップｂ４において、通信情報記憶部９７に記憶された前記ローカル通信情報を参照し、第２通信部９２から第１及び第２内部装置６１，６２へ第２アクセス要求通知パケットＮＰ２を送信させる。
【００５７】
外部装置３と第１及び第２内部装置６１，６２との間でのセッションが確立されると、通信履歴記憶部９６は、外部装置３と第１及び第２内部装置６１，６２との間での相互通信の履歴に関する通信履歴情報ＪＨ１（図８参照）を記憶する（ステップｂ６）。
【００５８】
通信履歴記憶部９６を備えたゲートウェイ装置９は、ＧＮ２とは分離されたＬＡＮ６に属するローカルシステム５の一部を構成し、第２通信部９２によりＬＡＮ６を介して第１及び第２内部装置６１，６２との間で通信可能である。このため、ゲートウェイ装置９の通信履歴記憶部９６に記憶された通信履歴情報ＪＨ１を参照することにより、外部装置３から第１及び第２内部装置６１，６２への不正なアクセスが行われていないか等を、ローカルシステム５に構築されたＬＡＮ６内で監視することが可能となる。
【００５９】
また、ゲートウェイ装置９において、セッション監視部９３１は、外部装置３と第１及び第２内部装置６１，６２との間のセッションを監視する（ステップｂ７）。このセッションの監視によってセッション監視部９３１は、外部装置３から第１及び第２内部装置６１，６２への不正なアクセスがなされたか否かを判断する（ステップｂ８）。セッション監視部９３１により不正なアクセスが検知されなかった場合、通信管理部９３は、外部装置３と第１及び第２内部装置６１，６２との間のセッションが終了したか否かを判断し（ステップｂ９）、セッションを終了させるセッション終了処理を行う（ステップｂ１０）。
【００６０】
一方、セッション監視部９３１により不正なアクセスが検知され、セッション監視部９３１から不正アクセス検知情報が出力されると、不正アクセス処理部９３２は、当該不正アクセス検知情報を報知する報知処理、及び、外部装置３と第１及び第２内部装置６１，６２との間の通信を遮断する遮断処理の、少なくともいずれか一方の不正アクセス処理を行う（ステップｂ１１）。
【００６１】
上記のように、外部装置３から第１及び第２内部装置６１，６２への不正なアクセスが行われた場合、その不正アクセスをセッション監視部９３１が検知し、不正アクセス処理部９３２により報知処理や通信の遮断処理が行われる。セッション監視部９３１及び不正アクセス処理部９３２を備えたゲートウェイ装置９は、ＧＮ２とは分離されたＬＡＮ６に属するローカルシステム５の一部を構成し、第２通信部９２によりＬＡＮ６を介して第１及び第２内部装置６１，６２との間で通信可能である。このため、外部装置３から第１及び第２内部装置６１，６２への不正なアクセスが行われていないか等を、ローカルシステム５に構築されたＬＡＮ６内で監視することが可能となる。
【００６２】
［第２実施形態に係る通信ネットワークシステム］
＜通信ネットワークシステムの全体構成＞
図１１は、本発明の第２実施形態に係る通信ネットワークシステム１Ａの構成を示すブロック図である。図１２は、第２実施形態に係る通信ネットワークシステム１Ａに備えられるゲートウェイ装置９Ａの構成を示すブロック図である。第２実施形態に係る通信ネットワークシステム１Ａは、ローカルシステム５においてプロキシサーバ１０が備えられ、これに伴いゲートウェイ装置９Ａの構成が上述の第１実施形態に係る通信ネットワークシステム１におけるゲートウェイ装置９と異なる。このこと以外については、通信ネットワークシステム１Ａは、第１実施形態に係る通信ネットワークシステム１と同様に構成される。このように第２実施形態に係る通信ネットワークシステム１Ａは、第１実施形態に係る通信ネットワークシステム１と同様の部分を有する。従って、以下の説明及び図において、対応する同様の部分については同一の参照符号を付すとともに、説明を省略する。
【００６３】
ローカルシステム５に備えられるプロキシサーバ１０は、クラウドサーバ装置４とゲートウェイ装置９Ａとの間における、第１通信部９１によるＧＮ２を介した通信を認証する認証処理を行うサーバ装置である。
【００６４】
通信ネットワークシステム１Ａに備えられるゲートウェイ装置９Ａは、上述のゲートウェイ装置９と同様に、第１通信部９１、第２通信部９２、セッション監視部９３１及び不正アクセス処理部９３２を含む通信管理部９３、表示部９４、中央処理部９５、通信履歴記憶部９６、及び通信情報記憶部９７を備えるとともに、新たな構成として、認証情報記憶部９８とアクセス承認拒否処理部９９とを備える。
【００６５】
ゲートウェイ装置９Ａにおいて、認証情報記憶部９８は、プロキシサーバ１０の認証処理に用いられる認証情報を記憶する。プロキシサーバ１０の認証処理に用いられる認証情報には、認証識別子（認証ＩＤ）及びパスワードが含まれる。
【００６６】
認証情報が記憶された認証情報記憶部９８を備えたゲートウェイ装置９Ａにおいて、第１通信制御部９５１は、第１通信部９１を制御し、図１３に示すヘッダ情報ＨＪ６を含む認証情報付加パケットＲＰ１Ａを第１定期パケットとして、第１通信部９１からクラウドサーバ装置４へ送信させる。認証情報付加パケットＲＰ１Ａは、所定の時間間隔で定期的に、第１通信部９１からクラウドサーバ装置４へ送信される通信パケットである。認証情報付加パケットＲＰ１Ａのヘッダ情報ＨＪ６は、認証情報付加パケットＲＰ１Ａの送信元となるゲートウェイ装置９ＡのグローバルＩＰアドレスＧＡＧ、認証情報付加パケットＲＰ１Ａの送信先となるクラウドサーバ装置４のグローバルＩＰアドレスＧＡＣ、ゲートウェイ装置９Ａの識別子ＧＩＤ、並びに、認証情報記憶部９８に記憶された認証情報ＪＨ２が付加されている。図１３に示す例では、認証情報付加パケットＲＰ１Ａのヘッダ情報ＨＪ６において、ゲートウェイ装置９のグローバルＩＰアドレスＧＡＧが「２１０．０．０．２５４」であり、クラウドサーバ装置４のグローバルＩＰアドレスＧＡＣが「３２０．０．０．１」であり、ゲートウェイ装置９Ａの識別子ＧＩＤが「ＧＡＴＥＡＷＹ１」であり、認証情報ＪＨ２が「Ｊ００１」である。
【００６７】
更に、第１通信制御部９５１は、第１通信部９１を制御し、第１通信部９１から送信された認証情報付加パケットＲＰ１Ａに応答するようにクラウドサーバ装置４からゲートウェイ装置９Ａへ送信された第１アクセス要求通知パケットＮＰ１（図６参照）を、第１通信部９１に受信させる。
【００６８】
ここで、クラウドサーバ装置４は、外部装置３からアクセス要求パケットＤＰ（図５参照）を受信し、且つ、ゲートウェイ装置９Ａの第１通信部９１から認証情報付加パケットＲＰ１Ａを受信すると、第１アクセス要求通知パケットＮＰ１をゲートウェイ装置９Ａへ送信する。ゲートウェイ装置９Ａへ第１アクセス要求通知パケットＮＰ１を送信するに際し、クラウドサーバ装置４は、認証情報付加パケットＲＰ１Ａのヘッダ情報ＨＪ６を参照して、送信先となるゲートウェイ装置９ＡのグローバルＩＰアドレスＧＡＧを特定するとともに、プロキシサーバ１０の認証処理に用いられる認証情報を特定する。
【００６９】
なお、通信ネットワークシステム１Ａにおいて、外部装置３からクラウドサーバ装置４へ送信されるアクセス要求パケットＤＰのヘッダ情報ＨＪ３には、外部装置３のグローバルＩＰアドレスＧＡＭ、クラウドサーバ装置４のグローバルＩＰアドレスＧＡＣ、及びアクセス要求先の第１及び第２内部装置６１，６２の識別子ＭＩＤの情報以外に、外部装置３の識別子、並びに通信内容情報が含まれている。アクセス要求パケットＤＰのヘッダ情報ＨＪ３に含まれる通信内容情報は、セッション確立後において外部装置３と第１及び第２内部装置６１，６２との間で行われる相互通信の内容を示す。通信内容としては、例えば、外部装置３からの遠隔操作（リモートコントロール）や、外部装置３と第１及び第２内部装置６１，６２との間でのデータ転送などが挙げられる。
【００７０】
また、通信ネットワークシステム１Ａにおいて、クラウドサーバ装置４からゲートウェイ装置９Ａへ送信される第１アクセス要求通知パケットＮＰ１のヘッダ情報ＨＪ４には、クラウドサーバ装置４のグローバルＩＰアドレスＧＡＣ、ゲートウェイ装置９のグローバルＩＰアドレスＧＡＧ、及びアクセス要求先の第１及び第２内部装置６１，６２の識別子ＭＩＤの情報以外に、アクセス要求パケットＤＰのヘッダ情報ＨＪ３に付加されていた外部装置３の識別子、並びに通信内容情報が含まれている。
【００７１】
ゲートウェイ装置９Ａにおいて、アクセス承認拒否処理部９９は、第１通信制御部９５１の制御により第１通信部９１が第１アクセス要求通知パケットＮＰ１を受信すると、承認処理又は拒否処理を行う。アクセス承認拒否処理部９９が実行する承認処理は、予め定められたアクセス基準に基づき、外部装置３から第１及び第２内部装置６１，６２へのアクセスを承認する処理である。また、アクセス承認拒否処理部９９が実行する拒否処理は、予め定められたアクセス基準に基づき、外部装置３から第１及び第２内部装置６１，６２へのアクセスを拒否する処理である。
【００７２】
アクセス承認拒否処理部９９が承認処理及び拒否処理を実行する際に参照するアクセス基準は、セッション監視部９３１がセッションを監視する際に参照する前述のアクセス基準と同じであり、外部装置３から第１及び第２内部装置６１，６２へのアクセスの許可範囲を示す情報である。アクセス基準は、前述のアクセス許可外部識別子、アクセス許可内部識別子、及びアクセス許可通信内容情報を含む。
【００７３】
アクセス基準としてのアクセス許可外部識別子、アクセス許可内部識別子、及びアクセス許可通信内容情報と一致する情報が付加されたヘッダ情報を含む第１アクセス要求通知パケットＮＰ１が、第１通信部９１により受信された場合、アクセス承認拒否処理部９９は、外部装置３から第１及び第２内部装置６１，６２へのアクセスを承認する承認処理を行う。一方、アクセス基準と不一致の情報が付加されたヘッダ情報を含む第１アクセス要求通知パケットＮＰ１が、第１通信部９１により受信された場合には、アクセス承認拒否処理部９９は、外部装置３から第１及び第２内部装置６１，６２へのアクセスを拒否する拒否処理を行う。
【００７４】
ゲートウェイ装置９Ａにおいて、第２通信制御部９５２は、アクセス承認拒否処理部９９により承認処理が行われると、第２通信部９２から第１及び第２内部装置６１，６２へ第２アクセス要求通知パケットＮＰ２（図７参照）を送信させて、外部装置３と第１及び第２内部装置６１，６２との間のセッションを確立する。一方、アクセス承認拒否処理部９９により拒否処理が行われると、第２通信制御部９５２は、第２通信部９２から第１及び第２内部装置６１，６２へ第２アクセス要求通知パケットＮＰ２を送信させず、外部装置３と第１及び第２内部装置６１，６２との間のセッションを不成立とする。
【００７５】
＜外部装置と内部装置との間のセッション確立のための通信処理について＞
次に、通信ネットワークシステム１Ａにおいて、外部装置３と第１及び第２内部装置６１，６２との間でのセッションの確立のための、クラウドサーバ装置４及びゲートウェイ装置９Ａのパケット通信に基づく通信処理について、図１４及び図１５のフローチャートを参照して説明する。図１４は、通信ネットワークシステム１Ａにおいて、クラウドサーバ装置４が実行するクラウドサーバ通信処理を示すフローチャートである。図１５は、通信ネットワークシステム１Ａにおいて、ゲートウェイ装置９Ａが実行するゲートウェイ通信処理を示すフローチャートである。
【００７６】
前述したように、本実施形態に係る通信ネットワークシステム１Ａでは、クラウドサーバ装置４がＧＮ２を介して外部装置３と通信可能に接続され、ゲートウェイ装置９Ａが第１通信部９１によりＧＮ２を介してクラウドサーバ装置４との間で通信可能であり、且つ第２通信部９２によりＬＡＮ６を介して第１及び第２内部装置６１，６２との間で通信可能である。ＧＮ２に接続された外部装置３とＬＡＮ６に接続された第１及び第２内部装置６１，６２との間の通信経路において、クラウドサーバ装置４が外部装置３との間のＧＮ２を介した通信経路を構築し、ゲートウェイ装置９ＡがＧＮ２とＬＡＮ６との間を中継する通信経路を構築する。
【００７７】
（クラウドサーバ装置のクラウドサーバ通信処理）
クラウドサーバ装置４は、外部装置３と第１及び第２内部装置６１，６２との間でのセッションの確立のために、パケット通信によるクラウドサーバ通信処理を行う。まず、クラウドサーバ装置４は、アクセス要求パケットＤＰを、ＧＮ２を介して外部装置３から受信する（ステップｃ１）。次に、クラウドサーバ装置４は、ゲートウェイ装置９Ａの第１通信部９１から認証情報付加パケットＲＰ１Ａを受信したか否かを判断する（ステップｃ２）。クラウドサーバ装置４は、ゲートウェイ装置９Ａの第１通信部９１からの認証情報付加パケットＲＰ１Ａを受信するまで待機する。認証情報付加パケットＲＰ１Ａを受信すると、クラウドサーバ装置４は、認証情報付加パケットＲＰ１Ａのヘッダ情報ＨＪ６を参照して、ゲートウェイ装置９ＡのグローバルＩＰアドレスＧＡＧを特定するとともに、プロキシサーバ１０の認証処理に用いられる認証情報ＪＨ２を特定する。そして、ゲートウェイ装置４は、認証情報付加パケットＲＰ１Ａに応答するように、ゲートウェイ装置９Ａへ第１アクセス要求通知パケットＮＰ１を送信する（ステップｃ３）。第１アクセス要求通知パケットＮＰ１の送信を完了すると、クラウドサーバ装置４は、ステップｃ１に処理を移行し、ステップｃ１からステップｃ３までの各処理を繰り返す。
【００７８】
（ゲートウェイ装置のゲートウェイ通信処理）
ゲートウェイ装置９Ａは、外部装置３と第１及び第２内部装置６１，６２との間でのセッションの確立のために、パケット通信によるゲートウェイ通信処理を行う。図１５に示すように、ゲートウェイ装置９Ａにおいて、第１通信制御部９５１は、認証情報付加パケットＲＰ１Ａを第１通信部９１からクラウドサーバ装置４へ送信させる（ステップｄ１）。
【００７９】
ここで、認証情報付加パケットＲＰ１Ａのヘッダ情報ＨＪ６には、プロキシサーバ１０の認証処理に用いられる認証情報ＪＨ２が付加されており、その認証情報ＪＨ２は、ゲートウェイ装置９Ａの認証情報記憶部９８に記憶されている。
【００８０】
認証情報記憶部９８を備えたゲートウェイ装置９Ａは、外部装置３と第１及び第２内部装置６１，６２との間の通信経路において、ＧＮ２とＬＡＮ６との間を中継する通信経路を構築する。このため、ＬＡＮ６に接続された第１及び第２内部装置６１，６２に対し、認証情報を記憶させておく必要がない。また、認証情報記憶部９８を備えたゲートウェイ装置９Ａにおいて、第１通信制御部９５１は、認証情報付加パケットＲＰ１Ａを第１通信部９１からクラウドサーバ装置４へ送信させる。この認証情報付加パケットＲＰ１Ａに応答するようにクラウドサーバ装置４がゲートウェイ装置９Ａへ第１アクセス要求通知パケットＮＰ１を送信するに際し、クラウドサーバ装置４は、認証情報付加パケットＲＰ１Ａのヘッダ情報ＨＪ６を参照して、プロキシサーバ１０の認証処理に用いられる認証情報ＪＨ２を特定することができる。
【００８１】
次に、第１通信制御部９５１は、クラウドサーバ装置４からの第１アクセス要求通知パケットＮＰ１を第１通信部９１が受信したか否かを判断する（ステップｄ２）。第１通信制御部９５１は、第１通信部９１が第１アクセス要求通知パケットＮＰ１を受信するまで待機する。
【００８２】
第１通信部９１により第１アクセス要求通知パケットＮＰ１が受信されると、アクセス承認拒否処理部９９は、予め定められたアクセス基準に基づき、外部装置３から第１及び第２内部装置６１，６２へのアクセスを承認する承認処理、又は当該アクセスを拒否する拒否処理を行う（ステップｄ３）。
【００８３】
アクセス承認拒否処理部９９により承認処理が行われた場合（ステップｄ４）、ゲートウェイ装置９Ａにおいて第２通信制御部９５２は、第１及び第２内部装置６１，６２からの第２定期パケットＲＰ２を第２通信部９２が受信したか否かを判断する（ステップｄ５）。第２通信制御部９５２は、第２通信部９２が第２定期パケットＲＰ２を受信するまで待機する。
【００８４】
一方、アクセス承認拒否処理部９９により拒否処理が行われた場合（ステップｄ１４）、ゲートウェイ装置９Ａにおいて第２通信制御部９５２は、外部装置３と第１及び第２内部装置６１，６２との間のセッションを不成立とする（ステップｄ１５）。この場合、第２通信制御部９５２は、第２通信部９２から第１及び第２内部装置６１，６２へ第２アクセス要求通知パケットＮＰ２を送信させない。
【００８５】
第２通信制御部９５２は、第１通信部９１により第１アクセス要求通知パケットＮＰ１が受信され、且つ、第２通信部９２により第２定期パケットＲＰ２が受信されると、第２通信部９２から第１及び第２内部装置６１，６２へ第２アクセス要求通知パケットＮＰ２を送信させる（ステップｄ６）。第２通信制御部９５２は、第２通信部９２から第１及び第２内部装置６１，６２へ第２アクセス要求通知パケットＮＰ２を送信させることにより、外部装置３と第１及び第２内部装置６１，６２との間での、相互通信のためのセッションを確立する（ステップｄ７）。
【００８６】
なお、前述したように、外部装置３と第１及び第２内部装置６１，６２との間での、相互通信のためのセッションを確立するに際し、第２通信制御部９５２は、第２定期パケットＲＰ２を参照する構成に限定されるものではなく、通信情報記憶部９７に記憶された前記ローカル通信情報を参照する構成であってもよい。この場合、図１５に示すフローチャートにおいて、ステップｄ５は省略される。そして、第１通信部９１により第１アクセス要求通知パケットＮＰ１が受信されると、第２通信制御部９５２は、ステップｄ６において、通信情報記憶部９７に記憶された前記ローカル通信情報を参照し、第２通信部９２から第１及び第２内部装置６１，６２へ第２アクセス要求通知パケットＮＰ２を送信させる。
【００８７】
外部装置３と第１及び第２内部装置６１，６２との間でのセッションが確立されると、通信履歴記憶部９６は、外部装置３と第１及び第２内部装置６１，６２との間での相互通信の履歴に関する通信履歴情報ＪＨ１を記憶する（ステップｄ８）。
【００８８】
通信履歴記憶部９６を備えたゲートウェイ装置９Ａは、ＧＮ２とは分離されたＬＡＮ６に属するローカルシステム５の一部を構成し、第２通信部９２によりＬＡＮ６を介して第１及び第２内部装置６１，６２との間で通信可能である。このため、ゲートウェイ装置９Ａの通信履歴記憶部９６に記憶された通信履歴情報ＪＨ１を参照することにより、外部装置３から第１及び第２内部装置６１，６２への不正なアクセスが行われていないか等を、ローカルシステム５に構築されたＬＡＮ６内で監視することが可能となる。
【００８９】
また、ゲートウェイ装置９Ａにおいて、セッション監視部９３１は、外部装置３と第１及び第２内部装置６１，６２との間のセッションを監視する（ステップｄ９）。このセッションの監視によってセッション監視部９３１は、外部装置３から第１及び第２内部装置６１，６２への不正なアクセスがなされたか否かを判断する（ステップｄ１０）。セッション監視部９３１により不正なアクセスが検知されなかった場合、通信管理部９３は、外部装置３と第１及び第２内部装置６１，６２との間のセッションが終了したか否かを判断し（ステップｄ１１）、セッションを終了させるセッション終了処理を行う（ステップｄ１２）。
【００９０】
一方、セッション監視部９３１により不正なアクセスが検知され、セッション監視部９３１から不正アクセス検知情報が出力されると、不正アクセス処理部９３２は、当該不正アクセス検知情報を報知する報知処理、及び、外部装置３と第１及び第２内部装置６１，６２との間の通信を遮断する遮断処理の、少なくともいずれか一方の不正アクセス処理を行う（ステップｄ１３）。
【００９１】
上記のように、外部装置３から第１及び第２内部装置６１，６２への不正なアクセスが行われた場合、その不正アクセスをセッション監視部９３１が検知し、不正アクセス処理部９３２により報知処理や通信の遮断処理が行われる。セッション監視部９３１及び不正アクセス処理部９３２を備えたゲートウェイ装置９Ａは、ＧＮ２とは分離されたＬＡＮ６に属するローカルシステム５の一部を構成し、第２通信部９２によりＬＡＮ６を介して第１及び第２内部装置６１，６２との間で通信可能である。このため、外部装置３から第１及び第２内部装置６１，６２への不正なアクセスが行われていないか等を、ローカルシステム５に構築されたＬＡＮ６内で監視することが可能となる。
【００９２】
なお、上述した具体的実施形態には以下の構成を有する発明が主に含まれている。
【００９３】
本発明の一の局面に係る通信ネットワークシステムは、グローバルネットワークに接続された外部装置と、前記グローバルネットワークと分離されたローカルエリアネットワークに接続された内部装置と、前記グローバルネットワークを介して前記外部装置と通信可能に接続されるサーバ装置と、前記グローバルネットワークと前記ローカルエリアネットワークとの間での通信を中継するゲートウェイ装置と、を備える。前記サーバ装置は、前記グローバルネットワークを介し、前記外部装置から前記内部装置へのアクセスの要求を示すアクセス要求パケットを受信し、当該アクセス要求パケットの受信を通知するための第１アクセス要求通知パケットを前記ゲートウェイ装置へ送信するように構成される。前記ゲートウェイ装置は、前記グローバルネットワークを介して前記サーバ装置との間で通信を行う第１通信部と、前記ローカルエリアネットワークを介して前記内部装置との間で通信を行う第２通信部と、前記第１通信部を制御し、前記サーバ装置から前記ゲートウェイ装置へ送信された前記第１アクセス要求通知パケットを受信させる第１通信制御部と、前記第２通信部を制御し、前記第１通信部により前記第１アクセス要求通知パケットが受信されると、当該第１アクセス要求通知パケットの受信を通知するための第２アクセス要求通知パケットを前記内部装置へ送信させることにより、前記外部装置と前記内部装置との間のセッションを確立する第２通信制御部と、前記セッションの確立による、前記外部装置と前記内部装置との間の通信の履歴に関する通信履歴情報を記憶する通信履歴記憶部と、を含む。
【００９４】
この通信ネットワークシステムによれば、サーバ装置がグローバルネットワークを介して外部装置と通信可能に接続され、ゲートウェイ装置が第１通信部によりグローバルネットワークを介してサーバ装置との間で通信可能であり、且つ第２通信部によりローカルエリアネットワークを介して内部装置との間で通信可能である。グローバルネットワークに接続された外部装置とローカルエリアネットワークに接続された内部装置との間の通信経路において、サーバ装置が外部装置との間のグローバルネットワークを介した通信経路を構築し、ゲートウェイ装置がグローバルネットワークとローカルエリアネットワークとの間を中継する通信経路を構築する。外部装置と内部装置との間のセッションは、外部装置からのアクセス要求パケットを受信したサーバ装置がゲートウェイ装置へ第１アクセス要求通知パケットを送信し、その第１アクセス要求通知パケットを受信したゲートウェイ装置が内部装置へ第２アクセス要求通知パケットを送信することにより、確立される。
【００９５】
グローバルネットワークを介した外部装置の通信対象は、サーバ装置である。このため、グローバルネットワークを介した通信に使用されるグローバルＩＰアドレスにおいて、外部装置に対しては、サーバ装置のアドレスを公開すればよく、ゲートウェイ装置のアドレスを公開する必要はない。これにより、外部装置から内部装置への、ゲートウェイ装置を介した直接的なアクセスを規制することができる。この結果、外部装置から内部装置へのアクセスについて、外部への情報漏洩につながる不正なアクセスを可及的に抑止することができ、セキュリティ上の高度な安全性が確保される。
【００９６】
また、セッションの確立による外部装置と内部装置との間の相互通信において、その通信の履歴に関する通信履歴情報が、ゲートウェイ装置の通信履歴記憶部に記憶される。通信履歴記憶部を備えたゲートウェイ装置は、第２通信部によりローカルエリアネットワークを介して内部装置との間で通信可能である。このため、ゲートウェイ装置の通信履歴記憶部に記憶された通信履歴情報を参照することにより、外部装置から内部装置への不正なアクセスが行われていないか等を、ローカルエリアネットワーク内で監視することが可能となる。
【００９７】
上記の通信ネットワークシステムにおいて、前記ゲートウェイ装置は、前記通信履歴記憶部に記憶された前記通信履歴情報を参照して、前記外部装置と前記内部装置との間の前記セッションを監視し、前記外部装置から前記内部装置への不正なアクセスを検知すると、不正アクセス検知情報を出力するセッション監視部と、前記セッション監視部により前記不正アクセス検知情報が出力されると、当該不正アクセス検知情報を報知する報知処理、及び、前記外部装置と前記内部装置との間の通信を遮断する遮断処理の、少なくともいずれか一方の処理を行う不正アクセス処理部と、を更に含む構成としてもよい。
【００９８】
この態様では、外部装置から内部装置への不正なアクセスが行われた場合、その不正アクセスを、通信履歴記憶部に記憶された通信履歴情報を参照することによりセッション監視部が検知し、不正アクセス処理部により報知処理や通信の遮断処理が行われる。これにより、セキュリティ上の、より高度な安全性が確保される。
【００９９】
上記の通信ネットワークシステムにおいて、前記ゲートウェイ装置は、前記通信履歴記憶部に記憶された前記通信履歴情報を参照することなく、前記外部装置と前記内部装置との間の前記セッションを監視し、前記外部装置から前記内部装置への不正なアクセスを検知すると、不正アクセス検知情報を出力するセッション監視部と、前記セッション監視部により前記不正アクセス検知情報が出力されると、当該不正アクセス検知情報を報知する報知処理、及び、前記外部装置と前記内部装置との間の通信を遮断する遮断処理の、少なくともいずれか一方の処理を行う不正アクセス処理部と、を更に含む構成としてもよい。
【０１００】
この態様では、外部装置から内部装置への不正なアクセスが行われた場合、その不正アクセスを、通信履歴記憶部に記憶された通信履歴情報を参照することなく、セッション監視部が検知し、不正アクセス処理部により報知処理や通信の遮断処理が行われる。セッション監視部及び不正アクセス処理部を備えたゲートウェイ装置は、第２通信部によりローカルエリアネットワークを介して内部装置との間で通信可能である。このため、外部装置から内部装置への不正なアクセスが行われていないか等を、ローカルエリアネットワーク内で監視することが可能となる。
【０１０１】
上記の通信ネットワークシステムにおいて、前記第１通信制御部は、所定の時間間隔で定期的に第１定期パケットを前記第１通信部から前記サーバ装置へ送信させ、且つ、前記第１定期パケットに応答するように前記サーバ装置から前記ゲートウェイ装置へ送信された前記第１アクセス要求通知パケットを前記第１通信部に受信させる。前記第２通信制御部は、所定の時間間隔で定期的に前記内部装置から前記ゲートウェイ装置へ送信される第２定期パケットを前記第２通信部に受信させ、且つ、前記第２定期パケットに応答するように前記第２通信部から前記内部装置へ前記第２アクセス要求通知パケットを送信させる。
【０１０２】
また、上記の通信ネットワークシステムにおいて、前記ゲートウェイ装置は、前記ローカルエリアネットワークを介した前記内部装置との間の通信において使用される、当該内部装置のアドレスと識別子とを関連付けたローカル通信情報を記憶する通信情報記憶部を、更に含む構成としてもよい。前記第１通信制御部は、所定の時間間隔で定期的に第１定期パケットを前記第１通信部から前記サーバ装置へ送信させ、且つ、前記第１定期パケットに応答するように前記サーバ装置から前記ゲートウェイ装置へ送信された前記第１アクセス要求通知パケットを前記第１通信部に受信させる。前記第２通信制御部は、前記第１通信部により前記第１アクセス要求通知パケットが受信されると、前記通信情報記憶部に記憶された前記ローカル通信情報を参照し、前記第２通信部から前記内部装置へ前記第２アクセス要求通知パケットを送信させる。
【０１０３】
また、上記の通信ネットワークシステムは、前記サーバ装置と前記ゲートウェイ装置との間における、前記第１通信部による前記グローバルネットワークを介した通信を認証する認証処理を行うプロキシサーバを、更に備える構成としてもよい。そして、前記ゲートウェイ装置は、前記プロキシサーバの前記認証処理に用いられる認証情報を記憶する認証情報記憶部を、更に含む。前記第１通信制御部は、前記認証情報が付加されたヘッダ情報を含む認証情報付加パケットを前記第１定期パケットとして前記第１通信部から前記サーバ装置へ送信させ、前記認証情報付加パケットに応答するように前記サーバ装置から前記ゲートウェイ装置へ前記第１アクセス要求通知パケットが送信されると、当該第１アクセス要求通知パケットを前記第１通信部に受信させる。
【０１０４】
この態様では、プロキシサーバの認証処理に用いられる認証情報が、ゲートウェイ装置の認証情報記憶部に記憶されている。認証情報記憶部を備えたゲートウェイ装置は、外部装置と内部装置との間の通信経路において、グローバルネットワークとローカルエリアネットワークとの間を中継する通信経路を構築する。このため、ローカルエリアネットワークに接続された内部装置に対し、認証情報を記憶させておく必要がない。また、認証情報記憶部を備えたゲートウェイ装置において、第１通信制御部は、認証情報付加パケットを第１通信部からサーバ装置へ送信させる。この認証情報付加パケットに応答するようにサーバ装置がゲートウェイ装置へ第１アクセス要求通知パケットを送信するに際し、サーバ装置は、認証情報付加パケットのヘッダ情報を参照して、プロキシサーバの認証処理に用いられる認証情報を特定することができる。
【０１０５】
上記の通信ネットワークシステムにおいて、前記ゲートウェイ装置は、前記第１通信制御部の制御により前記第１通信部が前記第１アクセス要求通知パケットを受信すると、予め定められたアクセス基準に基づき、前記外部装置から前記内部装置へのアクセスを承認する承認処理、又は当該アクセスを拒否する拒否処理を行うアクセス承認拒否処理部を、更に含む構成としてもよい。そして、前記第２通信制御部は、前記アクセス承認拒否処理部により前記承認処理が行われると、前記第２通信部から前記内部装置へ前記第２アクセス要求通知パケットを送信させて、前記外部装置と前記内部装置との間のセッションを確立し、前記アクセス承認拒否処理部により前記拒否処理が行われると、前記第２通信部から前記内部装置へ前記第２アクセス要求通知パケットを送信させず、前記外部装置と前記内部装置との間のセッションを不成立とする。
【０１０６】
この態様では、グローバルネットワークとローカルエリアネットワークとの間を中継する通信経路を構築するゲートウェイ装置が、アクセス承認拒否処理部を備える。そして、ゲートウェイ装置において、第２通信制御部は、アクセス承認拒否処理部により承認処理が行われると、第２通信部から内部装置へ第２アクセス要求通知パケットを送信させて、外部装置と内部装置との間のセッションを確立する。一方、アクセス承認拒否処理部により拒否処理が行われると、第２通信制御部は、第２通信部から内部装置へ第２アクセス要求通知パケットを送信させず、外部装置と内部装置との間のセッションを不成立とする。これにより、セキュリティ上の、より高度な安全性が確保される。
【０１０７】
以上説明した通り、本発明によれば、グローバルネットワークに接続された外部装置から、ローカルエリアネットワークに接続された内部装置への不正なアクセスが行われていないか等を、ローカルエリアネットワーク内で監視することが可能な通信ネットワークシステムを提供することができる。
【符号の説明】
【０１０８】
１，１Ａ  通信ネットワークシステム
２  グローバルネットワーク（ＧＮ）
３  外部装置
４  クラウドサーバ装置
５  ローカルシステム
６  ローカルエリアネットワーク（ＬＡＮ）
６１  第１内部装置
６２  第２内部装置
９，９Ａ  ゲートウェイ装置
９１  第１通信部
９２  第２通信部
９３  通信管理部
９３１  セッション監視部
９３２  不正アクセス処理部
９４  表示部
９５  中央処理部
９５１  第１通信制御部
９５２  第２通信制御部
９６  通信履歴記憶部
９７  通信情報記憶部
９８  認証情報記憶部
９９  アクセス承認拒否処理部
１０  プロキシサーバ
ＲＰ１  第１定期パケット
ＲＰ１Ａ  認証情報付加パケット
ＲＰ２  第２定期パケット
ＤＰ  アクセス要求パケット
ＮＰ１  第１アクセス要求通知パケット
ＮＰ２  第２アクセス要求通知パケット
【図１】
2019092873.tif 000003
【図２】
2019092873.tif 000004
【図３】
2019092873.tif 000005
【図４】
2019092873.tif 000006
【図５】
2019092873.tif 000007
【図６】
2019092873.tif 000008
【図７】
2019092873.tif 000009
【図８】
2019092873.tif 000010
【図９】
2019092873.tif 000011
【図１０】
2019092873.tif 000012
【図１１】
2019092873.tif 000013
【図１２】
2019092873.tif 000014
【図１３】
2019092873.tif 000015
【図１４】
2019092873.tif 000016
【図１５】
2019092873.tif 000017
【手続補正書】
【提出日】令和1年6月19日(2019.6.19)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
グローバルネットワークに接続された外部装置と、
前記グローバルネットワークと分離されたローカルエリアネットワークに接続された内部装置と、
前記グローバルネットワークを介して前記外部装置と通信可能に接続されるサーバ装置と、
前記グローバルネットワークと前記ローカルエリアネットワークとの間での通信を中継するゲートウェイ装置と、を備え、
前記サーバ装置は、前記グローバルネットワークを介し、前記外部装置から前記内部装置へのアクセスの要求を示すアクセス要求パケットを受信し、当該アクセス要求パケットの受信を通知するための第１アクセス要求通知パケットを前記ゲートウェイ装置へ送信するように構成され、
前記ゲートウェイ装置は、
前記グローバルネットワークを介して前記サーバ装置との間で通信を行う第１通信部と、
前記ローカルエリアネットワークを介して前記内部装置との間で通信を行う第２通信部と、
前記第１通信部を制御し、前記サーバ装置から前記ゲートウェイ装置へ送信された前記第１アクセス要求通知パケットを受信させる第１通信制御部と、
前記第２通信部を制御し、前記第１通信部により前記第１アクセス要求通知パケットが受信されると、当該第１アクセス要求通知パケットの受信を通知するための第２アクセス要求通知パケットを前記内部装置へ送信させることにより、前記外部装置と前記内部装置との間のセッションを確立する第２通信制御部と、
前記セッションの確立による、前記外部装置と前記内部装置との間の通信の履歴に関する通信履歴情報を記憶する通信履歴記憶部と、を含む、通信ネットワークシステム。
【請求項２】
前記ゲートウェイ装置は、
前記通信履歴記憶部に記憶された前記通信履歴情報を参照して、前記外部装置と前記内部装置との間の前記セッションを監視し、前記外部装置から前記内部装置への不正なアクセスを検知すると、不正アクセス検知情報を出力するセッション監視部と、
前記セッション監視部により前記不正アクセス検知情報が出力されると、当該不正アクセス検知情報を報知する報知処理、及び、前記外部装置と前記内部装置との間の通信を遮断する遮断処理の、少なくともいずれか一方の処理を行う不正アクセス処理部と、を更に含む、請求項１に記載の通信ネットワークシステム。
【請求項３】
前記ゲートウェイ装置は、
前記通信履歴記憶部に記憶された前記通信履歴情報を参照することなく、前記外部装置と前記内部装置との間の前記セッションを監視し、前記外部装置から前記内部装置への不正なアクセスを検知すると、不正アクセス検知情報を出力するセッション監視部と、
前記セッション監視部により前記不正アクセス検知情報が出力されると、当該不正アクセス検知情報を報知する報知処理、及び、前記外部装置と前記内部装置との間の通信を遮断する遮断処理の、少なくともいずれか一方の処理を行う不正アクセス処理部と、を更に含む、請求項１に記載の通信ネットワークシステム。
【請求項４】
前記第１通信制御部は、所定の時間間隔で定期的に第１定期パケットを前記第１通信部から前記サーバ装置へ送信させ、且つ、前記第１定期パケットに応答するように前記サーバ装置から前記ゲートウェイ装置へ送信された前記第１アクセス要求通知パケットを前記第１通信部に受信させ、
前記第２通信制御部は、所定の時間間隔で定期的に前記内部装置から前記ゲートウェイ装置へ送信される第２定期パケットを前記第２通信部に受信させ、且つ、前記第２定期パケットに応答するように前記第２通信部から前記内部装置へ前記第２アクセス要求通知パケットを送信させる、請求項１〜３のいずれか１項に記載の通信ネットワークシステム。
【請求項５】
前記ゲートウェイ装置は、前記ローカルエリアネットワークを介した前記内部装置との間の通信において使用される、当該内部装置のアドレスと識別子とを関連付けたローカル通信情報を記憶する通信情報記憶部を、更に含み、
前記第１通信制御部は、所定の時間間隔で定期的に第１定期パケットを前記第１通信部から前記サーバ装置へ送信させ、且つ、前記第１定期パケットに応答するように前記サーバ装置から前記ゲートウェイ装置へ送信された前記第１アクセス要求通知パケットを前記第１通信部に受信させ、
前記第２通信制御部は、前記第１通信部により前記第１アクセス要求通知パケットが受信されると、前記通信情報記憶部に記憶された前記ローカル通信情報を参照し、前記第２通信部から前記内部装置へ前記第２アクセス要求通知パケットを送信させる、請求項１〜３のいずれか１項に記載の通信ネットワークシステム。
【請求項６】
前記サーバ装置と前記ゲートウェイ装置との間における、前記第１通信部による前記グローバルネットワークを介した通信を認証する認証処理を行うプロキシサーバを、更に備え、
前記ゲートウェイ装置は、前記プロキシサーバの前記認証処理に用いられる認証情報を記憶する認証情報記憶部を、更に含み、
前記第１通信制御部は、
前記認証情報が付加されたヘッダ情報を含む認証情報付加パケットを前記第１定期パケットとして前記第１通信部から前記サーバ装置へ送信させ、
前記認証情報付加パケットに応答するように前記サーバ装置から前記ゲートウェイ装置へ前記第１アクセス要求通知パケットが送信されると、当該第１アクセス要求通知パケットを前記第１通信部に受信させる、請求項４又は５に記載の通信ネットワークシステム。
【請求項７】
前記ゲートウェイ装置は、前記第１通信制御部の制御により前記第１通信部が前記第１アクセス要求通知パケットを受信すると、予め定められたアクセス基準に基づき、前記外部装置から前記内部装置へのアクセスを承認する承認処理、又は当該アクセスを拒否する拒否処理を行うアクセス承認拒否処理部を、更に含み、
前記第２通信制御部は、
前記アクセス承認拒否処理部により前記承認処理が行われると、前記第２通信部から前記内部装置へ前記第２アクセス要求通知パケットを送信させて、前記外部装置と前記内部装置との間のセッションを確立し、
前記アクセス承認拒否処理部により前記拒否処理が行われると、前記第２通信部から前記内部装置へ前記第２アクセス要求通知パケットを送信させず、前記外部装置と前記内部装置との間のセッションを不成立とする、請求項６に記載の通信ネットワークシステム。
【請求項８】
グローバルネットワークに接続された外部装置と、
前記グローバルネットワークと分離されたローカルエリアネットワークに接続された内部装置と、
前記グローバルネットワークを介して前記外部装置と通信可能に接続されるサーバ装置と、
前記グローバルネットワークと前記ローカルエリアネットワークとの間での通信を中継するゲートウェイ装置と、を備え、
前記サーバ装置は、前記グローバルネットワークを介し、前記外部装置から前記内部装置へのアクセスの要求を示すアクセス要求パケットを受信し、当該アクセス要求パケットの受信を通知するための第１アクセス要求通知パケットを前記ゲートウェイ装置へ送信するように構成され、
前記ゲートウェイ装置は、
前記グローバルネットワークを介して前記サーバ装置との間で通信を行う第１通信部と、
前記ローカルエリアネットワークを介して前記内部装置との間で通信を行う第２通信部と、
前記第１通信部を制御し、前記サーバ装置から前記ゲートウェイ装置へ送信された前記第１アクセス要求通知パケットを受信させる第１通信制御部と、
前記第２通信部を制御し、前記第１通信部により前記第１アクセス要求通知パケットが受信されると、当該第１アクセス要求通知パケットの受信を通知するための第２アクセス要求通知パケットを前記内部装置へ送信させることにより、前記外部装置と前記内部装置との間のセッションを確立する第２通信制御部と、
前記セッションの確立による、前記外部装置と前記内部装置との間の通信の履歴に関する通信履歴情報を記憶する通信履歴記憶部と、を含み、
前記第１通信制御部は、所定の時間間隔で定期的に第１定期パケットを前記第１通信部から前記サーバ装置へ送信させ、且つ、前記第１定期パケットに応答するように前記サーバ装置から前記ゲートウェイ装置へ送信された前記第１アクセス要求通知パケットを前記第１通信部に受信させる、通信ネットワークシステム。
【国際調査報告】
2019092873.tif 000018
2019092873.tif 000019