(57)【要約】【課題】利用開始に先立って認証を受けること要する通信サービスを、認証のための操作を一切行うことなく、利用することができるようにする。【解決手段】操作端末５０とサーバ装置４０との間のデータ通信を中継する中継装置３０に、上記サーバ装置４０が提供する通信サービスの利用を許可されている者であることを示す認証情報を記憶させておく。そして、操作端末５０から送信された接続要求メッセージをサーバ装置４０へと転送し、その接続要求メッセージに対する応答として認証情報送信要求メッセージが返信されてきた場合には、その認証情報送信要求メッセージを操作端末５０に転送することに代えて、上記認証情報をサーバ装置４０に返信する処理を、中継装置３０に実行させる。【選択図】図４
2011186936.tif 000002
【特許請求の範囲】
【請求項１】
通信サービスを提供するサーバ装置と操作端末との間で送受信される通信メッセージの中継を行う中継装置において、
前記サーバ装置が提供する通信サービスの利用を許可された者であることを示す認証情報が予め書き込まれた記憶手段と、
前記操作端末からの接続要求に応じて前記サーバ装置から送信されてくる通信メッセージであって、認証情報の送信を要求する旨の認証情報送信要求メッセージを受信した場合に、当該認証情報送信要求メッセージを前記操作端末へ転送することに代えて、前記記憶手段に記憶されている認証情報を前記サーバ装置へ送信する処理を実行する制御手段と
を有することを特徴とする中継装置。
【請求項２】
前記制御手段は、前記操作端末と前記サーバ装置との間のデータ通信を仲介する通信網についての回線情報を記憶した回線情報提供装置から前記操作端末へ送信された通信メッセージであって、前記サーバ装置への前記回線情報の送信の可否を問合せる旨の提供可否問合せメッセージを受信した場合に、当該提供可否問合せメッセージを前記操作端末へ転送することに代えて、前記回線情報の送信を許可する旨の提供許可通知メッセージを前記回線情報提供装置へ送信する処理を実行することを特徴とする請求項１に記載の中継装置。
【請求項３】
前記制御手段は、前記サーバ装置に対してデータ通信の開始を要求する旨の接続要求メッセージを受信したことを契機として、当該接続要求メッセージの送信元に対して当該中継装置を介したデータ通信の実行が許可されているか否かを判定し、許可されていると判定した場合にのみ、当該接続要求メッセージを前記サーバ装置へ転送することを特徴とする請求項１または２に記載の中継装置。
【請求項４】
通信メッセージの中継を行うことにより当該中継装置にかかる処理負荷、または、通信メッセージの送受信に利用される通信路に掛かっている処理負荷を計測する計測手段を有し、
前記制御手段は、前記計測手段により計測される処理負荷に応じて、当該中継装置を介して前記サーバ装置とデータ通信を行うことを許可する操作端末の台数を調整することを特徴とする請求項１〜３の何れか１に記載の中継装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信網を介して提供される通信サービスの利用を支援する技術に関し、特に、利用開始に先立って何らかの認証を受けることを要する通信サービスの利用を支援する技術に関する。
【背景技術】
【０００２】
近年では、書籍等の通信販売サービスや、動画或いは音楽の配信サービスなどの様々な種類の通信サービスをインターネットを介して利用することができるようになっている。この種の通信サービスのなかには、その利用開始に先立って、ユーザ認証を受けることを要するものがある。ここで、ユーザ認証とは、通信サービスの提供元がユーザＩＤ（或いは電子メールアドレス）やパスワードなどの認証情報をユーザから受け取り、その通信サービスの利用を許可されたユーザ（以下、登録ユーザ）であるか否かを判別することである。通信サービスの提供開始に先立ってユーザ認証を行っておくことにより、登録ユーザに対してのみその通信サービスを利用させることが可能になる。また、なりすましなどの不正を防止し、セキュリティを強化する目的で、認証情報の他に回線情報などの付加情報の提示を要求する通信サービスもある（非特許文献１参照）。ここで、回線情報とは、サービス提供者によって運用管理されるサーバ装置とユーザの使用する操作端末との間のデータ通信を仲介する通信網（回線）の種類や、そのユーザとその通信網を運用する通信事業者との間の利用契約の内容を示す情報のことをいう。
【０００３】
図６は、認証情報の他に回線情報の提示を要求する通信サービスを利用する際に、ユーザの利用する操作端末、その通信サービスを提供するサーバ装置、および回線情報の提供を行う回線情報提供装置の間で送受信される通信メッセージのシーケンスの一例を示す図である。ブラウザソフトウェアに対するＵＲＩ（Uniform Resource Identifier）やＩＰ（Internet Protocol）アドレスの入力によって上記サーバ装置をアクセス先として指示された操作端末は、通信サービスの利用開始を要求する旨の通信メッセージ（以下、接続要求メッセージ）を所定の通信プロトコル（例えば、ＨＴＴＰ（HyperText Transfer Protocol））にしたがって上記サーバ装置へ送信する。上記サーバ装置は、この接続要求メッセージを受信すると、認証情報の送信を要求する旨の通信メッセージ（以下、認証情報送信要求メッセージ）を返信する。この認証情報送信要求メッセージのメッセージボディ部には、認証情報の入力および送信操作の実行をユーザに促す認証情報入力画面（図７（Ａ）参照）をブラウザソフトウェアに表示させるためのＨＴＭＬ（HyperText Markup Language）データが書き込まれている。
【０００４】
操作端末は、上記認証情報送信要求メッセージを受信すると、そのメッセージボディ部に書き込まれているＨＴＭＬデータにしたがって認証情報入力画面を表示部に表示させる。この認証情報入力画面を視認したユーザは、キーボードやマウス等を操作してユーザＩＤ（図７（Ａ）では、「ＵＩＤ」と表記）／パスワード（図７（Ａ）では、「ＰＷＤ」と表記）などの認証情報を入力し、送信ボタンを押下する。すると、操作端末は、認証情報入力画面を介して入力された認証情報をメッセージボディ部に書き込んだ通信メッセージ（以下、認証情報送信メッセージ）をサーバ装置へ送信する。サーバ装置は、このようにして送信されてくる認証情報を用いてユーザ認証を行い、登録ユーザであると判別した場合には、回線情報の送信を要求する旨の通信メッセージ（以下、回線情報送信要求メッセージ）を回線情報提供装置へ送信する。
【０００５】
回線情報提供装置は、上記回線情報送信要求メッセージを受信すると、回線情報の提供の可否を問合せる旨の通信メッセージ（以下、提供可否問合せメッセージ）を上記操作端末へ送信する。この提供可否問合せメッセージのメッセージボディ部には、回線情報の提供の可否をユーザに指示させるための回線情報提供可否問合せ画面（図７（Ｂ）参照）をブラウザソフトウェアに表示させるためのＨＴＭＬデータが書き込まれている。操作端末は、上記提供可否問合せメッセージを受信すると、そのメッセージボディ部に書き込まれているＨＴＭＬデータにしたがって回線情報提供可否問合せ画面を表示部に表示させる。この画面を視認したユーザがキーボードやマウス等を操作してＯＫボタンを押下すると、操作端末は、回線情報の提供を許可する旨の通信メッセージ（以下、提供許可通知メッセージ）を回線情報提供装置へ送信する。この提供許可通知メッセージを受信した回線情報提供装置は、該当する回線情報（すなわち、上記操作端末と上記サーバ装置との間のデータ通信を仲介する通信網の種類や上記操作端末のユーザとの利用契約の内容を示す情報）をメッセージボディ部に書き込んだ回線情報送信メッセージを上記サーバ装置へ送信する。
【０００６】
サーバ装置は、このようにして送信されてくる回線情報を受信すると、通信サービスの利用開始を許可する旨の通信メッセージ（以下、接続許可応答メッセージ）を操作端末に返信する。この接続許可応答メッセージのメッセージボディ部には、通信サービスの提供に供されるサービス提供画面（図７（Ｃ）参照）をブラウザソフトウェアに表示させるためのＨＴＭＬデータが書き込まれている。操作端末は、上記接続許可応答メッセージを受信すると、そのメッセージボディ部に書き込まれているＨＴＭＬデータにしたがってサービス提供画面を表示部に表示させる。このサービス提供画面の閲覧を通じて、上記操作端末のユーザは上記サーバ装置により提供される通信サービスを利用することができるのである。
【先行技術文献】
【非特許文献】
【０００７】
【非特許文献１】東日本電信電話株式会社、Ｎｅｗｓ  Ｒｅｌｅａｓｅ、“フレッツ・キャストに対応した「回線情報通知機能」の提供開始について”、平成２１年９月５日
【発明の概要】
【発明が解決しようとする課題】
【０００８】
しかし、ユーザ認証を受ける度に、その都度、認証情報の入力および送信のための操作を行うことは甚だ不便である。もっとも、回線情報のみを用いて通信サービスの要求元の認証を行う態様も考えられるが、このような態様であっても、回線情報の提供を許可する操作を行わなければならない。つまり、従来技術では、通信サービスの利用開始に先立って何らかの認証（ユーザ認証と回線情報の提示の少なくとも一方）を受けること要する通信サービスの利用を所望するユーザは、その認証のための操作を少なくとも１回は行わなければならないのである。
本発明は上記課題に鑑みて為されたものであり、利用開始に先立って認証を受けること要する通信サービスを、認証のための操作を一切行うことなく、利用することができるようにする技術を提供することを目的とする。
【課題を解決するための手段】
【０００９】
上記課題を解決するために本発明は、通信サービスを提供するサーバ装置と操作端末との間で送受信される通信メッセージの中継を行う中継装置において、前記サーバ装置が提供する通信サービスの利用を許可された者であることを示す認証情報が予め書き込まれた記憶手段と、前記操作端末からの接続要求に応じて前記サーバ装置から送信されてくる通信メッセージであって、認証情報の送信を要求する旨の認証情報送信要求メッセージを受信した場合に、当該認証情報送信要求メッセージを前記操作端末へ転送することに代えて、前記記憶手段に記憶されている認証情報を前記サーバ装置へ送信する処理を実行する制御手段とを有することを特徴とする中継装置、を提供する。
【００１０】
このような中継装置によれば、通信サービスの利用開始を要求した操作端末（すなわち、接続要求メッセージの送信元の操作端末）に代わって認証情報送信要求メッセージに対して応答する処理（すなわち、その通信サービスの利用を許可された者であることを示す認証情報を送信する処理）が当該中継装置によって行われる。このため、上記操作端末の利用者は、認証情報の入力やその送信を指示する操作を一切行うことなく、利用開始に先立ってユーザ認証を受けること要する通信サービスを利用することができるようになる。なお、本発明の別の態様としては、上記制御手段の実行する処理をコンピュータに実行させるプログラム等を提供する態様も考えられる。
【００１１】
より好ましい態様においては、上記中継装置の制御手段は、前記操作端末と前記サーバ装置との間のデータ通信を仲介する通信網についての回線情報を記憶した回線情報提供装置から前記操作端末へ送信された通信メッセージであって、前記サーバ装置への前記回線情報の送信の可否を問合せる旨の提供可否問合せメッセージを受信した場合に、当該提供可否問合せメッセージを前記操作端末へ転送することに代えて、前記回線情報の送信を許可する旨の提供許可通知メッセージを前記回線情報提供装置へ返信する処理を実行することを特徴とする。このような態様によれば、認証情報に加えて回線情報の送信を要求される通信サービスであっても、認証情報の入力は勿論、その回線情報をサーバ装置へ送信するための操作（例えば、図７（Ｂ）の回線情報提供可否問合せ画面にて送信ボタンを押下する操作）をユーザに行わせることなく、その通信サービスを利用させることが可能になる。
【００１２】
また別の好ましい態様においては、上記中継装置の制御手段は、前記サーバ装置へ宛てて送信された通信メッセージであって、データ通信の開始を要求する旨の接続要求メッセージを受信したことを契機として、当該接続要求メッセージの送信元に対して当該中継装置を介したデータ通信の実行が許可されているか否かを判定し、許可されていると判定した場合にのみ、当該接続要求メッセージを前記サーバ装置へ転送することを特徴とする。このような態様によれば、上記中継装置を介してデータ通信を行うことを許可された操作端末についてのみ、上記サーバ装置とのデータ通信を行わせることが可能になる。
【００１３】
また、さらに好ましい態様においては、上記中継装置は、通信メッセージの中継を行うことにより当該中継装置にかかる処理負荷、または、通信メッセージの送受信に利用される通信路に掛かっている処理負荷を計測する計測手段を有し、上記中継装置の制御手段は、前記計測手段により計測される処理負荷に応じて、当該中継装置を介して前記サーバ装置とデータ通信を行うことを許可する操作端末の台数を調整することを特徴とする。一般に、上記サーバ装置と通信する操作端末の数が多いほど、上記中継装置や上記通信路にかかる処理負荷は高くなるため、このような態様によれば、上記中継装置或いは上記通信路にかかる処理負荷が所定の閾値以下になるように、上記中継装置を介してデータ通信を行うことを許可する操作端末の数を調整（処理負荷が高いほど、当該端末数を少なくするなど）して上記中継装置或いは通信路に過剰な処理負荷がかからないようにすることで、上記サーバ装置により提供される通信サービスの利用に支障を来たさないようにすることが可能になる。
【図面の簡単な説明】
【００１４】
【図１】本発明の一実施形態の中継装置３０を含む通信システム１の一例を示す図である。
【図２】同中継装置３０の構成例を示すブロック図である。
【図３】同中継装置３０の制御部３１０が実行する接続要求メッセージ転送制御処理および情報代理送信処理の流れを示すフローチャートである。
【図４】同通信システム１における通信シーケンスの一例を示す図である。
【図５】変形例（３）の通信シーケンスの一例を示す図である。
【図６】従来の認証処理における通信シーケンスの一例を示す図である。
【図７】同認証処理において操作端末の表示部に表示される画面の遷移の一例を示す図である。
【発明を実施するための形態】
【００１５】
以下、図面を参照しつつ本発明の実施形態について説明する。
（Ａ：構成）
図１は、本発明の一実施形態である中継装置３０を含む通信システム１の構成例を示す図である。図１に示すように、通信システム１は、例えば企業の拠点に敷設されたＬＡＮ（Local Area Network）である拠点内ＬＡＮ２０を、中継装置３０を介して一般公衆網１０に接続して構成されている。一般公衆網１０は、例えば通信事業者等により運用管理される光通信網であり、その通信事業者との間で利用契約を結んだ契約者（本実施形態では、上記企業）に対するパケット通信サービスの提供に用いられる。
【００１６】
図１に示すように、一般公衆網１０には、各種通信サービスを提供するためのサーバ装置４０と、各契約者との利用契約の内容等を表す回線情報を記憶した回線情報提供装置６０が接続されている。一方、拠点内ＬＡＮ２０にはユーザ（例えば、上記企業の従業者）の使用する操作端末５０が接続される。この操作端末５０は、ブラウザソフトウェアが予めインストールされたパーソナルコンピュータである。操作端末５０は、ユーザの指示に応じてサーバ装置４０と所定の通信プロトコルにしたがったデータ通信を行い、そのサーバ装置４０により提供される通信サービスをユーザに利用させるためのものである。この通信プロトコルとしてはプロトコル階層毎に種々のものを用いることができる。例えば、本実施形態では、ネットワーク層の通信プロトコルとしてＩＰが、トランスポート層の通信プロトコルとしてＴＣＰ（Transport Control Protocol）が、アプリケーション層の通信プロトコルとしてＨＴＴＰが用いられている。なお、図１では、１台の操作端末５０が拠点内ＬＡＮ２０に接続されている場合について例示されているが、実際には多数の操作端末が拠点内ＬＡＮ２０に接続されている。同様に、図１では１台のサーバ装置４０が一般公衆網１０に接続されている場合について例示されているが複数のサーバ装置が一般公衆網１０に接続されていても良い。
【００１７】
中継装置３０は、パケット中継機能とスクリプト実行機能とを備えた通信装置である。上記パケット中継機能によって、中継装置３０は、拠点内ＬＡＮ２０に接続される通信装置（例えば、操作端末５０）と、他の通信装置（例えば、一般公衆網１０に接続されているサーバ装置４０）との間で所定の通信プロトコルにしたがって送受信される通信メッセージの中継を行う。また、スクリプト実行機能とは、所定のスクリプト言語で記述されたスクリプトファイルの解釈および実行を行う機能である。本実施形態では、上記スクリプト言語としてＬｕａが採用されている。Ｌｕａは、ｐｅｒｌなどの他のスクリプト言語に比較してスクリプト実行処理の処理負荷が低い（スクリプトの解釈および実行に要するメモリ量が少ないなど）といった特徴を有しており、電子機器への組み込みに好適だからである。このように本実施形態では、電子機器への組み込みに好適であるという観点からＬｕａを採用したが、Ｐｅｒｌなど他のスクリプト言語を採用しても勿論良い。
【００１８】
さて、図１のサーバ装置４０により提供される通信サービスは、その利用開始に先立って認証情報と回線情報とを用いた認証を受けることを要する通信サービスである。しかし、本実施形態では、中継装置３０に特徴的な処理を行わせることによって、操作端末５０のユーザが上記通信サービスを利用する際には、認証を受けるための操作を一切行わなくても、その通信サービスを利用することができるようになっている。
以下、本実施形態の特徴である中継装置３０を中心に説明する。
【００１９】
図２は中継装置３０の構成例を示すブロック図である。
図２に示すように、中継装置３０は、制御部３１０、第１通信インタフェース（以下、Ｉ／Ｆ）部３２０、第２通信Ｉ／Ｆ部３３０、外部機器Ｉ／Ｆ部３４０、記憶部３５０、およびこれら構成要素間のデータ授受を仲介するバス３６０を含んでいる。
【００２０】
制御部３１０は、例えばＣＰＵ（Central Processing Unit）である。この制御部３１０は、記憶部３５０（より正確には、不揮発性記憶部３５４）に記憶されているプログラム（ファームウェア）を実行することにより、中継装置３０の各部の作動制御を中枢的に行う制御手段として機能する。制御部３１０がファームウェアにしたがって実行する処理の詳細については後に明らかにする。
【００２１】
第１通信Ｉ／Ｆ部３２０と第２通信Ｉ／Ｆ部３３０は、共にＮＩＣ（Network Interface Card）であり、各々異なる通信網に接続されている。第１通信Ｉ／Ｆ部３２０は拠点内ＬＡＮ２０に接続されており、第２通信Ｉ／Ｆ部３３０は一般公衆網１０に接続されている。第１通信Ｉ／Ｆ部３２０と第２通信Ｉ／Ｆ部３３０は、各々の接続先の通信網から受信したパケット（通信メッセージを予め定められたデータサイズ分ずつに分割し、その各々にＩＰヘッダを付与して得られるデータブロック）を制御部３１０へ引渡すとともに、制御部３１０から引渡されるパケットを各々の接続先の通信網へと送出する。
【００２２】
外部機器Ｉ／Ｆ部３４０は、外部記憶媒体（例えば、ＵＳＢメモリ等）やシリアルコンソールなどの外部機器との間で所定のプロトコル（ＵＳＢやＲＳ−２３２Ｃ）にしたがってデータの授受を行うインタフェースの集合体である。例えば、外部機器としてＵＳＢメモリを用いる場合には、ＵＳＢインタフェースを外部機器Ｉ／Ｆ部３４０に含めておけば良く、外部機器としてシリアルコンソールを用いる場合には、ＲＳ−２３２Ｃインタフェースなどのシリアルインタフェースを外部機器Ｉ／Ｆ部３４０に含めておけば良い。この外部機器Ｉ／Ｆ部３４０は、ファームウェアの書き換えや各種データを中継装置３０に記憶させる際に、新たなファームウェアや新たなデータを中継装置３０に与えるためのインタフェースとして機能する。
【００２３】
記憶部３５０は、揮発性記憶部３５２と不揮発性記憶部３５４を含んでいる。揮発性記憶部３５２は、例えばＲＡＭ（Random Access Memory）などの揮発性メモリであり、制御部３１０がファームウェアを実行する際にワークエリアとして利用される。一方、不揮発性記憶部３５４は、例えばＥＰＲＯＭ（Erasable Programmable Read Only
Memory）などの不揮発性メモリである。この不揮発性記憶部３５４には、ファームウェアの他に、各種データが予め記憶されている。不揮発性記憶部３５４に格納されているデータの一例としては、情報代理送信スクリプト、セキュリティポリシデータベース、認証情報データベース、およびルーティングテーブル（図示略）が挙げられる。不揮発性記憶部３５４に記憶されているこれらデータのうち、ルーティングテーブルについては一般的なルータに記憶されているものと何ら変るところはないため、以下では、情報代理送信スクリプト、セキュリティポリシデータベース、および認証情報データベースを中心に説明する。
【００２４】
情報代理送信スクリプトは、図３（Ｂ）に示す情報代理送信処理を制御部３１０に実行させるためのコマンドをその実行順に上記所定のスクリプト言語（Ｌｕａ）を用いて記述したテキストファイルである。制御部３１０は、情報代理送信スクリプトに書き込まれているコマンドの解釈および実行をスクリプト実行機能によって順次行い、図３（Ｂ）に示す情報代理送信処理を実行する。
【００２５】
セキュリティポリシデータベースには、拠点内ＬＡＮ２０に接続される通信装置のうち中継装置３０を介してデータ通信を行うことを許可されている通信装置を示すデータが格納されている。このセキュリティポリシデータベースの格納内容は、接続要求メッセージの送信元に対して中継装置３０を介したデータ通信の実行が許可されているか否かを制御部３１０に判定させる際に利用される。詳細については後述するが、制御部３１０は、第１通信Ｉ／Ｆ部３２０を介して受信した接続要求メッセージの送信元について当該中継装置３０を介したデータ通信の実行を許可されていると判定した場合にのみ、その接続要求メッセージをその宛先へと転送する処理を実行する。以下では、中継装置３０を介してデータ通信を行うことを許可されている通信装置のことを「セキュリティポリシを満たす通信装置」と呼ぶ。
【００２６】
ここで、セキュリティポリシを満たす通信装置を示すデータとしては種々のものが考えられる。例えば、通信装置に割り当てられている通信アドレス（ＭＡＣアドレスやＩＰアドレス）を用いる態様や、セキュリティポリシを満たす通信装置にインストールされているべきソフトウェア（オペレーティングシステムやブラウザソフトウェア、ウィルスチェックソフトウェア）を示すデータを用いる態様が考えられる。例えば、ＭＡＣアドレスを用いる態様であれば、拠点内ＬＡＮ２０が敷設されている企業に備品として登録されている通信装置のＭＡＣアドレスをセキュリティポリシデータベースに登録しておくのである。このような態様によれば、従業者が個人所有の通信装置を拠点内ＬＡＮ２０に接続し、中継装置３０を介してデータ通信を行おうとしても、そのような通信装置から送信された接続要求メッセージがその宛先へ転送されることはなく、個人所有の通信装置を用いて外部とデータ通信を行うことが制限され、予期せぬ情報漏洩を防止することができる。
【００２７】
一方、セキュリティポリシを満たす通信装置を示すデータとして、通信装置にインストールされているべきウィルスチェックソフトウェアを示すデータを用いる場合には、そのようなウィルスチェックソフトウェアがインストールされていない通信装置が中継装置３０を介して外部とデータ通信を行うことを制限することができ、予期せぬコンピュータウィルスへの感染を防止することができる。なお、セキュリティポリシを満たすか否かを、通信装置にインストールされているウィルスチェックソフトウェアに基づいて判定する態様においては、どのようなウィルスチェックソフトウェアがインストールされているのかを接続要求メッセージの送信元の通信装置から中継装置３０へ通知させる必要がある。このようなことは、接続要求メッセージの送信の際に当該データを付与して送信させることで実現しても良く、別個の通信で実現しても良い。以下、本実施形態では、セキュリティポリシを満たす通信装置を示すデータとしてＭＡＣアドレスを用いる態様について説明するが、ニーズに応じて適宜好適な態様を採用するようにすれば良い。
【００２８】
認証情報データベースには、一般公衆網１０を介して提供される通信サービスのうち、利用の際に認証を受けることを要するものについての認証情報がその通信サービスの提供に用いられるサーバ装置を示すデータ（例えば、当該サーバ装置のＵＲＩや通信アドレス）に対応付けて登録されている。本実施形態では、認証情報データベースへの認証情報の登録は前述したシリアルコンソールを介したコマンド入力等により中継装置３０の運用管理者によって予め行われている。ここで、認証情報データベースへの認証情報の登録態様（認証情報とサーバ装置を示すデータとの対応付けの仕方）としては、種々のものが考えられる。第１の態様としては、上記サーバ装置を示すデータに対応付けて１つの認証情報を登録しておく態様が考えられ、第２の態様としては、上記サーバ装置を示すデータに対応付けてそのサーバ装置により提供される通信サービスの利用を許可されたユーザの操作端末を示すデータとそのユーザ固有の認証情報とを登録しておく態様である。第１の態様によれば、中継装置３０を介して通信サービスを利用する複数のユーザによって１つの認証情報（この場合、各ユーザについての認証情報というよりは、上記企業或いは中継装置３０についての認証情報という意味になる）が共有されることになり、認証情報の管理が容易になる、といった利点がある。一方、第２の態様によれば、サーバ装置毎に各ユーザ固有の認証情報が登録されることになり、より決め細やかな認証情報管理を行うことが可能になる。以下、本実施形態では、認証情報の管理が容易になるという利点を重視して、第１の態様を採用する場合について説明するが、ニーズに応じて適宜好適な態様を採用するようにすれば良い。
【００２９】
不揮発性記憶部３５４に格納されているファームウェアは、図２に示すように、前述したパケット中継機能およびスクリプト実行機能を制御部３１０に実現させるとともに、接続要求メッセージ転送制御処理を制御部３１０に実行させるためのプログラムである。制御部３１０は、中継装置３０の電源（図示略）が投入されると、上記ファームウェアを不揮発性記憶部３５４から揮発性記憶部３５２に読み出し、その実行を開始する。制御部３１０がファームウェアにしたがって実現するパケット中継機能およびスクリプト実行機能については一般的な通信装置におけるものと何ら変るところはないため、詳細な説明を省略する。
【００３０】
図３（Ａ）は、接続要求メッセージ転送制御処理の流れを示すフローチャートである。図３（Ａ）に示すように、接続要求メッセージ転送制御処理は、接続要求メッセージの転送制御を行うとともに、予め定められた条件が満たされたときに、情報代理送信スクリプトの実行を開始する処理である。詳細については後述するが、本実施形態では、セキュリティポリシを満たす操作端末から送信された接続要求メッセージであって、かつ、認証を受けることを要する通信サービスの提供を行うサーバ装置へ宛てて送信された接続要求メッセージを受信したことを契機として、情報代理送信スクリプトの実行が開始される。
【００３１】
図３（Ｂ）は情報代理送信スクリプトにしたがって制御部３１０が実行する情報代理送信処理の流れを示すフローチャートである。この情報代理送信処理は、通信サービスの提供元のサーバ装置から返信されてくる認証情報送信要求メッセージを受信した場合には、その認証情報送信要求メッセージをその宛先に転送することに代えて、認証情報を上記サーバ装置に送信し、回線情報提供装置から送信されてくる提供可否問合せメッセージを受信した場合には、その宛先への転送に代えて、提供許可通知メッセージを上記回線情報提供装置に送信する処理である。
以上が中継装置３０の構成である。
【００３２】
（Ｂ：動作）
次いで、操作端末５０のユーザが、サーバ装置４０により提供される通信サービスを利用する場合を例にとって、中継装置３０の動作を説明する。なお、以下に説明する動作例では、操作端末５０はセキュリティポリシを満たす通信装置（すなわち、操作端末５０の通信アドレス（ＭＡＣアドレス）は中継装置３０のセキュリティポリシデータベースに登録されている）であり、中継装置３０の認証情報データベースには、サーバ装置４０の通信アドレスに対応付けてそのサーバ装置４０により提供される通信サービスを利用する際に必要となる認証情報が１つだけ予め登録されている。
【００３３】
操作端末５０のユーザは、サーバ装置４０によって提供される通信サービスの利用を所望する場合、従来と同様に操作端末５０にブラウザソフトウェアを実行させ、アクセス先としてサーバ装置４０を指示する。このような指示が与えられた操作端末５０の制御部（図示略）は、サーバ装置４０へ宛てて接続要求メッセージを送信する（図４参照）。このようにして操作端末５０から送信される接続要求メッセージは拠点内ＬＡＮ２０を介して中継装置３０に到達する。
【００３４】
中継装置３０の制御部３１０は、第１通信Ｉ／Ｆ部３２０を介して上記接続要求メッセージを受信すると、前述した接続要求メッセージ転送制御処理を実行する。図３（Ａ）に示すように、制御部３１０は、まず、受信した接続要求メッセージの送信元がセキュリティポリシを満たすか否かを判定する（ステップＳＡ１１０）。具体的には、制御部３１０は、上記接続要求メッセージの送信元のＭＡＣアドレスと一致するＭＡＣアドレスがセキュリティポリシデータベースに格納されているか否かを判定し、該当するＭＡＣアドレスが格納されている場合には、上記送信元はセキュリティポリシを満たすと判定する。そして、ステップＳＡ１１０の判定結果が“Ｎｏ”である場合には、制御部３１０は、データ通信の仲介を拒否する旨の接続拒否応答メッセージを上記接続要求メッセージの送信元へ返信（ステップＳＡ１２０）し、本接続要求メッセージ転送制御処理を終了する。この場合、中継装置３０が受信した接続要求メッセージはその宛先へ転送されることなく破棄され、当該接続要求メッセージの送信元とその宛先との間で中継装置３０を介したデータ通信が行われることはない。
【００３５】
これに対して、ステップＳＡ１１０の判定結果が“Ｙｅｓ”である場合には、制御部３１０は、ステップＳＡ１３０以降の処理を実行する。前述したように、本動作例では、接続要求メッセージの送信元である操作端末５０のＭＡＣアドレスは中継装置３０のセキュリティポリシデータベースに登録されているため、ステップＳＡ１１０の判定結果は“Ｙｅｓ”になり、制御部３１０はステップＳＡ１３０以降の処理を実行する。
【００３６】
ステップＳＡ１３０の処理は、上記接続要求メッセージの送信先が、認証を受けることを要する通信サービスを提供するサーバ装置であるか否かを判定する処理である。より詳細に説明すると、このステップＳＡ１３０においては、制御部３１０は、上記接続要求メッセージの送信先アドレスに一致する通信アドレスが認証情報データベースに格納されているか否かを判定し、該当する通信アドレスが認証情報データベースに格納されている場合にその判定結果は“Ｙｅｓ”となる。ステップＳＡ１３０の判定結果が“Ｙｅｓ”である場合には、制御部３１０は、前述したスクリプト実行機能により情報代理送信スクリプトの実行を開始（ステップＳＡ１４０）し、さらに、上記接続要求メッセージをその宛先へと転送する（ステップＳＡ１５０）。逆に、ステップＳＡ１３０の判定結果が“Ｎｏ”である場合には、制御部３１０は、上記ステップＳＡ１５０の処理のみを実行する。
【００３７】
前述したように、本動作例にて操作端末５０から送信されてくる接続要求メッセージの宛先はサーバ装置４０であり、このサーバ装置４０の通信アドレスは認証情報データベースに格納されている。このため、本動作例においては、ステップＳＡ１３０の判定結果は“Ｙｅｓ”になり、情報代理送信スクリプトの実行（図３（Ａ）：ステップＳＡ１４０）および接続要求メッセージの転送（図３（Ａ）：ステップＳＡ１５０）が実行される。図４に示すように、中継装置３０によって転送された接続要求メッセージを受信したサーバ装置４０は、当該接続要求メッセージの送信元（本動作例では、操作端末５０）へ宛てて認証情報送信要求メッセージを返信する。このようにしてサーバ装置４０から送信された認証情報送信要求メッセージは一般公衆網１０内を適宜ルーティングされ、中継装置３０に到達する。
【００３８】
操作端末５０へ宛ててサーバ装置４０から送信された認証情報送信要求メッセージが中継装置３０に到達した時点では、中継装置３０の制御部３１０は、情報代理送信スクリプトにしたがって情報代理送信処理を実行中である。この情報代理送信処理を実行中の制御部３１０は、図３（Ｂ）に示すように、操作端末５０宛ての認証情報送信要求メッセージが送信されてくることを待ち受けており（ステップＳＢ１１０）、第２通信Ｉ／Ｆ部３３０を介してこの認証情報送信要求メッセージを受信すると（ステップＳＢ１１０：Ｙｅｓ）、ステップＳＢ１２０の処理を実行する。このステップＳＢ１２０の処理は、第２通信Ｉ／Ｆ部３３０を介して受信した認証情報送信要求メッセージをその宛先へと転送することに代えて、その認証情報送信要求メッセージの送信元アドレスと一致する通信アドレスに対応付けて認証情報データベースに登録されている認証情報を読み出し、その認証情報をメッセージボディ部に書き込んだ認証情報送信メッセージを上記認証情報送信要求メッセージの送信元（すなわち、サーバ装置４０）に送信する処理である。そして、制御部３１０は、ステップＳＢ１２０の処理を完了すると、回線情報提供装置から提供可否問合せメッセージが送信されてくることを待ち受ける（ステップＳＢ１３０）。なお、この認証情報送信メッセージを送信する際には、制御部３１０は、送信元アドレスとして中継装置３０の通信アドレスを書き込むのではなく、上記認証情報送信要求メッセージの送信先アドレス（すなわち、操作端末５０の通信アドレス）を上記送信元アドレスに書き込んで送信する。中継装置３０は、操作端末５０の代理として認証情報送信メッセージを送信するからである。
【００３９】
このようにして中継装置３０から送信される認証情報送信メッセージは、一般公衆網１０内を適宜ルーティングされ、その宛先であるサーバ装置４０に到達する（図４参照）。この通信メッセージを受信したサーバ装置４０は、その認証情報送信メッセージのメッセージボディ部に書き込まれている認証情報を読み出し、その認証情報を用いて認証処理を行う。その結果、その認証情報が予め登録されたものと一致する場合には、サーバ装置４０は、回線情報送信要求メッセージを回線情報提供装置６０に送信する。この回線情報送信要求メッセージのメッセージボディ部には、回線情報の提供可否の問合せ先を示す問合せ先アドレスとして前述した接続要求メッセージの送信元アドレス（すなわち、操作端末５０の通信ドレス）が書き込まれている。
【００４０】
回線情報提供装置６０は、上記回線情報要求メッセージを受信すると、そのメッセージボディ部に書き込まれている問合せ先アドレスを送信先アドレスとして、提供可否問合せメッセージを送信する。このようにして回線情報提供装置６０から送信された提供可否問合せメッセージは、一般公衆網１０内を適宜ルーティングされ、その送信先である操作端末５０が接続される拠点内ＬＡＮ２０と一般公衆網１０との境界に位置する中継装置３０によって受信される。
【００４１】
回線情報提供装置６０から送信された提供可否問合せメッセージが中継装置３０に到達した時点では、中継装置３０の制御部３１０は、提供可否問合せメッセージが送信されてくることを待ち受けており（ステップＳＢ１３０）、第２通信Ｉ／Ｆ部３３０を介して提供可否問合せメッセージを受信すると（ステップＳＢ１３０：Ｙｅｓ）、ステップＳＢ１４０の処理を実行する。このステップＳＢ１４０の処理は、第２通信Ｉ／Ｆ部３３０を介して受信した提供可否問合せメッセージをその宛先へと転送することに代えて、提供許可通知メッセージを上記提供可否問合せメッセージの送信元（すなわち、回線情報提供装置６０）へ送信する処理である。このステップＳＢ１４０の処理においても、制御部３１０は、前述したステップＳＢ１２０における処理と同様に、上記提供可否問合せメッセージの送信先アドレス（すなわち、操作端末５０の通信アドレス）を上記提供許可通知メッセージの送信元アドレスに書き込んで送信する。中継装置３０は、操作端末５０の代理として提供許可通知メッセージを送信するからである。
【００４２】
このようにして中継装置３０から送信された提供許可通知メッセージを受信した回線情報提供装置６０は、図４に示すように、該当する回線情報をメッセージボディ部に書き込んだ回線情報送信メッセージをサーバ装置４０に送信する。サーバ装置４０は、上記回線情報送信メッセージを受信すると、そのメッセージボディ部に書き込まれている回線情報を参照して、通信サービスの要求元が一般公衆網１０の正当な契約者であることを確認し、接続許可応答メッセージをその要求元の通信装置（本動作例では、操作端末５０）に送信する（図４参照）。
【００４３】
図４に示すように、サーバ装置４０から返信された接続許可応答メッセージは一般公衆網１０内を適宜ルーティングされて中継装置３０に到達し、中継装置３０の制御部３１０は、第２通信Ｉ／Ｆ部３３０を介して接続許可応答メッセージを受信すると、前述したパケット中継機能によりその接続許可応答メッセージを操作端末５０に転送する。中継装置３０によって転送された接続許可応答メッセージは拠点内ＬＡＮ２０を介して操作端末５０に到達する。操作端末５０の制御部は、この接続許可応答メッセージを受信すると、そのメッセージボディ部に書き込まれているＨＴＭＬデータを読み出し、そのＨＴＭＬデータにしたがってサービス提供画面（図７（Ｃ）参照）を表示部に表示させる。以降、操作端末５０のユーザは、上記サービス提供画面の閲覧を通じて、サーバ装置４０により提供される通信サービスを利用することができるのである。
【００４４】
さて、ここで注目すべき点は、操作端末５０のユーザは、利用を所望する通信サービスの提供元のサーバ装置を指示した以降は、その後、認証を受けるための操作（認証情報の入力や送信、回線情報の提供を許可する操作）を一切行うことなく、通信サービス提供画面を閲覧すること（すなわち、通信サービスを利用すること）が可能になっている、という点である。このように、本実施形態によれば、利用開始に先立って認証を受けること要する通信サービスを、認証のための操作を一切行うことなく、ユーザに利用させることが可能になるのである。
【００４５】
（Ｃ：変形）
以上本発明の一実施形態について説明したが、以下に述べる変形を加えても勿論良い。
（１）上述した実施形態では、中継装置３０の認証情報データベースに、サーバ装置４０により提供される通信サービスの利用を許可された者の認証情報が予め登録されていた。しかし、初回は通常の手順（図６参照）でユーザに認証を受けさせるとともに、その認証の際に操作端末５０とサーバ装置４０との間で送受信される通信メッセージの中継過程において認証情報とサーバ装置を示すデータとを取得し両者を対応付けて認証情報データベースに登録する処理を中継装置３０に実行させ、それ以降は、上述した実施形態にて説明したように、認証情報の代理送信を中継装置３０に行わせるようにしても良い。
【００４６】
（２）上述した実施形態によれば、操作端末５０の利用者は利用を所望する通信サービスの提供元のサーバ装置を指示した以降は、認証を受けるために特段の操作を行わなくても、サーバ装置４０によって提供される通信サービスを利用することができた。これを通信システム１における通信シーケンス（図４参照）の観点から見ると、操作端末５０は、接続要求メッセージを送信してから接続許可応答メッセージを受信するまでの間に通信メッセージの送受信を一切行わないことを意味する。しかし、このような態様では、接続要求メッセージを送信してから接続許可応答メッセージを受信するまでの期間が長すぎると、所謂通信タイムアウトが発生する虞がある。
【００４７】
そこで、このような通信タイムアウトの発生を避けるため、操作端末５０から接続要求メッセージを受信した時から一定の時間が経過する毎に、要求に応じた処理を実行中であることを示すダミーの通信メッセージ（例えば、ＳＩＰ（Session Initiation Protocol）における“１００  Ｔｒｙｉｎｇ”に相当する通信メッセージ）を中継装置３０から操作端末５０に送信し、操作端末５０には、通信タイムアウトを計時するタイマを上記ダミーの通信メッセージを受信する毎に初期化する処理を実行させるようにしても良い。また、接続要求メッセージの転送を行ってから一定の時間が経過しても認証情報送信要求メッセージを受信しない場合や、認証情報送信メッセージの代理送信を行ってから一定の時間が経過しても提供可否問合せメッセージを受信しない場合、或いは、提供許可通知メッセージの代理送信を行ってから一定の時間が経過しても接続許可応答メッセージを受信しない場合に、上記ダミーの通信メッセージを操作端末５０へ送信する処理を中継装置３０に実行させるようにしても良い。
【００４８】
（３）上述した実施形態では、セキュリティポリシを満たす操作端末から送信された接続要求メッセージであって、ユーザ認証を要する通信サービスを提供するサーバ装置へ宛てて送信された接続要求メッセージを受信したことを契機として、情報代理送信スクリプトの実行を開始させた。しかし、所定のサーバ装置へ宛てて送信された接続要求メッセージを受信した場合には、無条件に（すなわち、送信元がセキュリティポリシを満たすか否かの判定（図３：ステップＳＡ１１０）を行わずに）、情報代理送信スクリプトの実行を開始させても良い。また、上述した実施形態では、セキュリティポリシを満たす操作端末から送信された接続要求メッセージであって、ユーザ認証を要する通信サービスを提供するサーバ装置へ宛てて送信された接続要求メッセージの受信を契機として、情報代理送信スクリプトの実行を開始させたが、図５に示すように、接続要求メッセージについては無条件にその宛先へと転送し、その接続要求メッセージに対する応答である認証情報送信要求メッセージの受信を契機として情報代理送信スクリプトの実行を開始し、認証情報の代理送信を行わせても良い。
【００４９】
（４）上述した実施形態では、第１通信Ｉ／Ｆ部３２０を介して受信した接続要求メッセージの送信元がセキュリティポリシを満たすか否かを判定し、満たす場合にその接続要求メッセージをその宛先へ転送する場合について説明した。しかし、中継装置３０に掛かっている処理負荷、或いは一般公衆網１０や拠点内ＬＡＮ２０の両方または何れか一方（すなわち、サーバ装置４０と操作端末５０との間で送受信される通信メッセージの通信路）に掛かっている処理負荷を計測する計測手段を中継装置３０に設け、第１通信Ｉ／Ｆ部３２０を介して受信した接続要求メッセージの送信元がセキュリティポリシを満たし、かつ、上記計測手段により計測された処理負荷が所定の閾値以下である場合にのみ、その接続要求メッセージをその宛先に転送する処理を制御部３１０に実行させるようにしても良い。ここで、中継装置３０に掛かっている処理負荷の計測は、中継装置３０を介してデータ通信を行っている操作端末の台数、或いは制御部３１０の利用率（所謂ＣＰＵ利用率）の計測により行えば良く、上記通信路に掛かっている処理負荷の計測は、単位時間当たりの通信エラーの発生回数の計測により行えば良い。このような態様によれば、中継装置３０（或いは、上記通信路）に過剰な処理負荷が掛かって通信サービスの利用に支障が生じることを回避することが可能になる。
【００５０】
（５）上述した実施形態では、認証情報の代理送信と提供許可通知メッセージの代理送信とを中継装置３０に実行させたが、認証情報の代理送信のみを中継装置３０に実行させるようにしても良い。逆に、提供許可通知メッセージの代理送信のみを中継装置３０に実行させるようにしても良い。例えば、通信サービスの提供開始に先立って要求される認証が、認証情報のみを用いたものであれば、認証情報の代理送信のみを中継装置３０に行わせるようにすれば良く、回線情報のみを用いたものであれば、提供許可通知メッセージの代理送信のみを中継装置３０に行わせるようにすれば良いからである。
【００５１】
（６）上述した実施形態では、本実施形態の特徴を顕著に示す情報代理送信処理をスクリプトにしたがって実行する場合について説明した。これは、スクリプト実行機能を有する中継装置であれば、新たなスクリプトのインストール等によって簡便に機能拡張することができるからである。しかし、情報代理送信処理をファームウェアで実現しても勿論良い。例えば、情報代理送信処理を実現するコマンド列からなるサブルーチンをファームウェアに組み込んでおくのである。このような態様によれば、スクリプト実行機能を有さない中継装置に、本発明の中継装置と同一の機能を付与することが可能になる。また、上述した実施形態では、接続要求メッセージ転送制御処理（図３（Ａ）参照）をファームウェアにしたがって実行する場合について説明したが、当該接続要求メッセージ転送制御処理の全部または少なくともその一部（具体的には、図３（Ａ）に示す接続要求メッセージ転送制御処理の要部を為すステップＳＡ１１０およびＳＡ１３０の判定処理）をスクリプトで実現しても勿論良い。
【００５２】
（７）上述した実施形態では、本発明の特徴を顕著に示す接続要求メッセージ転送制御処理を中継装置３０の制御部３１０に実行させるファームウェアや情報代理送信スクリプトがその中継装置３０の記憶部３５０に予め記憶されていた。しかし、例えばＣＤ−ＲＯＭ（Compact Disk-Read Only Memory）などのコンピュータ装置読み取り可能な記録媒体に上記ファームウェアやスクリプトを書き込んで配布しても良く、また、インターネットなどの電気通信回線経由のダウンロードにより上記ファームウェアやスクリプトを配布しても良い。また、情報代理送信処理を実現するコマンド列をファームウェアに組み込んでおく態様においては、そのファームウェアをコンピュータ装置読み取り可能な記録媒体に書き込んで配布しても良く、また、インターネットなどの電気通信回線経由のダウンロードにより当該ファームウェアを配布しても良い。さらに、情報代理送信処理に加えて接続要求メッセージ転送制御処理の全部または少なくともその一部をスクリプトで実現する場合も同様に、そのスクリプトをコンピュータ装置読み取り可能な記録媒体に書き込んで配布しても良く、また、インターネットなどの電気通信回線経由のダウンロードにより配布しても良い。
【符号の説明】
【００５３】
１０…一般公衆網、２０…拠点内ＬＡＮ、３０…中継装置、３１０…制御部、３２０…第１通信Ｉ／Ｆ部、３３０…第２通信Ｉ／Ｆ部、３４０…外部機器Ｉ／Ｆ部、３５０…記憶部、３５２…揮発性記憶部、３５４…不揮発性記憶部、３６０…バス、４０…サーバ装置、５０…操作端末、６０…回線情報提供装置。
【図１】
2011186936.tif 000003
【図２】
2011186936.tif 000004
【図３】
2011186936.tif 000005
【図４】
2011186936.tif 000006
【図５】
2011186936.tif 000007
【図６】
2011186936.tif 000008
【図７】
2011186936.tif 000009