(57)【特許請求の範囲】
【請求項１】
インターネット経由でVPN認証サーバと通信可能なVPN通信端末において、
インターネットへの自機の接続状態を自律的に監視する第１の機能部と、
前記第１の機能部によって、自機がインターネットに未接続と判定されたときだけ、ブラウザプログラムの通信を許可する第２の機能部と、
前記第１の機能部によって、自機がインターネットに接続されていると判定されたときだけ、自機のネットワーク通信を前記VPN認証サーバに対する通信のみに限定する第３の機能部と
を有し、
前記第１の機能部は、
インターネット上に位置する特定のHTTPサーバに対する通信が可能な場合、自機がインターネットと接続されていると判定し、
前記特定のHTTPサーバに対する通信が確認されない場合、自機がインターネットと未接続であると判定するVPN通信端末。
【請求項２】
インターネット経由でVPN認証サーバと通信可能なVPN通信端末で実行される通信制御方法において、
前記VPN通信端末が、インターネット上に位置する特定のHTTPサーバに対する通信により、インターネットへの自機の接続状態を自律的に監視する処理と、
前記VPN通信端末が、前記特定のHTTPサーバに対する通信が確認されず、自機がインターネットに未接続と判定したときだけ、ブラウザプログラムの通信を許可する処理と、
前記VPN通信端末が、前記特定のHTTPサーバに対する通信が可能であり、自機がインターネットに接続されていると判定したときだけ、自機のネットワーク通信を前記VPN認証サーバに対する通信のみに限定する処理と
を有する通信制御方法。
【請求項３】
インターネット経由でVPN認証サーバと通信可能なVPN通信端末に搭載されたコンピュータに、
インターネット上に位置する特定のHTTPサーバに対する通信により、インターネットへの自機の接続状態を自律的に監視する処理と、
前記特定のHTTPサーバに対する通信が確認されず、自機がインターネットに未接続と判定したときだけ、ブラウザプログラムの通信を許可する処理と、
前記特定のHTTPサーバに対する通信が可能であり、自機がインターネットに接続されていると判定したときだけ、自機のネットワーク通信を前記VPN認証サーバに対する通信のみに限定する処理と
を実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、キャプティブポータルに対応したVPN（Virtual Private Network）通信端末、並びに、当該端末上で実行されるVPN通信制御方法及びプログラムに関する。
【背景技術】
【０００２】
駅やホテル等の中には、その空間内に、無線LAN(Local Area Network)のアクセスポイントが設置されている場合がある。このような空間では、端末は、そのアクセスポイントとの無線LAN通信を経て、インターネットに接続することになる。ところで、この無線LANのアクセスポイントの中には、インターネットへの接続に先立って、本人確認のためにブラウザプログラムによる認証を必要とするものがある。本明細書では、当該認証を行う認証サイトを「キャプティブポータルサイト」といい、その規格を「キャプティブポータル規格」と呼ぶ。キャプティブポータル規格に対応するアクセスポイントでは、キャプティブポータルサイトによる認証が終わらない限り、インターネットに接続することができない。
【０００３】
ところで、出願人は、端末内の情報が社外のネットワークを経由して漏洩する事態の回避を目的として、社外ネットワークに位置する端末の通信を、会社側で管理するVPN認証サーバとの通信に限定する仕組みを既に提案している（特許文献１）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１３−３８７１６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
ところが、前述の通り、キャプティブポータル規格の無線LANに準拠したアクセスポイントが設置されている空間では、特許文献１に記載の仕組みに対応した端末を利用することができない。その理由は、特許文献１に記載の仕組みでは、ブラウザプログラムによるキャピタルポータル認証サーバへの通信も禁止され、キャプティブポータルサイトでの認証を行うことができないためである。認証ができなければ、インターネットへの接続もできず、結果的にインターネット上に位置するVPN認証サーバにアクセスすることができない。
【０００６】
なお、特許文献１に記載の仕組みを採用する端末を、キャプティブポータル規格の無線LANに準拠したアクセスポイントを経由しながらインターネットに接続できるようにするためには、以下に示す（１）及び（２）の何れかの処理が必要となる。
（１）ブラウザプログラムの通信を許可する。
（２）ベンダ毎に形式が異なるキャプティブポータルサイトを識別した上で、通信先がキャプティブポータルサイトであれば、ネットワーク通信を許可する。
【０００７】
しかし、ブラウザプログラムの通信を許可してしまうと、キャプティブポータルサイトだけでなくインターネット上の任意のサイトへのアクセスが可能となり、端末からの情報漏洩を防ぐことができない。一方、キャプティブポータルサイトへの通信の識別には、各ベンダに応じて形式に対応する必要があるが、各形式に応じた設定を全ての端末に実装し、常に最新な状態に管理することは現実的でない。
【０００８】
そこで、本発明者は、社外ネットワークの通信をVPN認証サーバに制限する機能を搭載するVPN通信端末を、キャプティブポータル規格の無線LANに準拠したアクセスポイント経由でインターネットに接続する場面において、端末内の情報の漏洩を防止しつつも、ベンダに依存することなくキャプティブポータル認証を行うことが可能な仕組みを提供する。
【課題を解決するための手段】
【０００９】
上記解題を解決するために、代表的な発明の一つであるVPN通信端末は、（１）インターネットへの自機の接続状態を自律的に監視する機能部と、（２）自機がインターネットに未接続と判定されたとき（すなわち、キャプティブポータルサイトでの認証前のとき）だけ、ブラウザプログラムの通信を許可する機能部と、（３）自機がインターネットに接続されていると判定されたとき（すなわち、キャプティブポータルサイトでの認証後）、自機のネットワーク通信をVPN認証サーバに対する通信のみに限定する機能部とを有する。
【発明の効果】
【００１０】
本発明によれば、ネットワーク通信先がVPN認証サーバに制限される環境下においても、ベンダ毎にキャプティブポータルサイトを識別することなく、しかも、端末上の情報の漏洩を確実に防ぎながら、キャプティブポータルサイトでの認証が可能なる。前述した以外の課題、構成及び効果は、以下の実施の形態の説明により明らかにされる。
【図面の簡単な説明】
【００１１】
【図１】実施例に係るネットワークシステムの構成図。
【図２】ユーザ端末の機能ブロック構成を説明する図。
【図３】キャプティブポータルサイトでの認証を行う前のネットワーク経路を説明する図。
【図４】キャプティブポータルサイトでの認証中のネットワーク経路を説明する図。
【図５】キャプティブポータルサイトでの認証に成功した直後のネットワーク経路を説明する図。
【図６】キャプティブポータルサイトでの認証に成功した後のネットワーク経路を説明する図。
【発明を実施するための形態】
【００１２】
以下、図面に基づいて、本発明の実施の形態を説明する。なお、本発明の実施の態様は、後述する実施例に限定されるものではなく、その技術思想の範囲において、種々の変形が可能である。
【００１３】
（１）基本的な考え方
以下で説明するVPN通信端末は、インターネットとの接続状態を自律的／動的に監視し、キャプティブポータルサイトでの認証前のインターネット未接続の時だけ、ブラウザプログラムの通信を許可することで、ベンダに依存しないキャプティブポータルサイトでの認証を実現し、インターネットへの端末内の情報の漏洩を防止する仕組みを搭載することを特徴とする。なお、この仕組みは、インターネットとの接続状態を自律的／動的に監視するために、専用のHTTP（Hypertext Transfer Protocol）サーバをインターネット上に公開されていることを前提とする。
【００１４】
専用のHTTPサーバの名前を解決したIPアドレス、及び、HTTP通信したHTTPデータがいずれも正しいとき、VPN通信端末は、自機がインターネットに接続していると判定し、その他の場合は未接続であると判定する。なお、この監視は、周期的又はランダムなタイミングでVPN通信端末が実行する前記専用のHTTPサーバへのポーリング（その応答の有無）により行う。
【００１５】
前記専用のHTTPサーバからの応答が有り、インターネットに接続していると判定された場合、VPN通信端末は、特許文献１に記載の技術と同様、自機からの通信をVPN認証サーバへの通信に制限することにより、インターネット上に端末内の情報が漏洩するのを防止する。前記専用のHTTPサーバからの応答が無く、インターネットに未接続であると判定された場合、VPN通信端末は、キャプティブポータルへの認証前とみなして、ブラウザプログラムによる通信を許可し、キャプティブポータルサイトでの認証を許可とする。ここでの通信は、ブラウザプログラムによる通信であるため、キャプティブポータルのベンダ毎の形式の識別は不要である。また、この時点で、VPN通信端末はインターネットに接続されていないため、ブラウザプログラムによる通信を許可しても、インターネット上に端末内の情報が漏洩することはない。
【００１６】
（２）実施例１
（２−１）全体構成
図１に、前述の仕組みを採用するVPN通信端末を用いて構築されるネットワークシステムの一例を示す。閉塞ネットワーク網104は、駅やホテル等に構築されるネットワーク網であり、キャプティブポータル認証サーバ102が接続されている。キャプティブポータル認証サーバ102は、キャプティブポータルサイト（認証サイト）、及び、認証に使用するユーザ情報の管理DB103で構成されている。
【００１７】
ユーザ端末101は、インターネット上ではVPN認証サーバ107のみとの通信が許可されるVPN通信端末であり、キャプティブポータル規格の無線LANに準拠したアクセスポイント（不図示）の通信範囲に属するとき、閉塞ネットワーク網104に接続される。閉塞ネットワーク網104に接続したユーザ端末101（この段階では、公衆回線網105には未接続）が、ブラウザプログラムを通じてインターネット上のサイトを参照しようとすると、当該通信は、キャプティブポータル認証サーバ102によって、キャプティブポータルサイトにリダイレクトされる。この際、ユーザ端末101のユーザには、キャプティブポータルサイトの要求に従ってユーザ情報等を入力することが求められる。
【００１８】
本実施例で説明する仕組みに対応していないユーザ端末101の場合、前述したようにブラウザプログラムによるキャプティブポータルサイトへの通信は許されない。そのため、ユーザ端末101は、ブラウザ画面を通じてユーザ情報等を入力することができない。しかし、本実施例で説明する仕組みに対応するユーザ端末101の場合、インターネットに未接続の期間では、ブラウザプログラムによるキャプティブポータルサイトへの通信が許容されるため、キャプティブポータル認証サーバ102は、入力情報をユーザ情報の管理DB103の登録情報と照合してユーザの確認を行う。登録情報と一致する場合、キャプティブポータル認証サーバ102は、対応するユーザ端末101に対して公衆回線網（インターネット網）105への回線を解放する。この結果、ユーザ端末101は、公衆回線網105を利用可能な状態になり、VPN認証サーバ107へのアクセスが可能となる。
【００１９】
公衆回線網105には、ユーザ端末101が公衆回線網105に接続されているか否かの判定用にHTTPサーバ106が接続されている。このHTTPサーバ106のIPアドレスは既知であり、後述するようにユーザ端末101に予め記憶されている。公衆回線網105から見てVPN認証サーバ107の先には、社内ネットワーク網108が接続されており、VPN認証サーバ107によって認証されたユーザ端末101のみが社内ネットワーク網108に存在する各種の情報にアクセスすることができる。
【００２０】
（２−２）ユーザ端末101の機能ブロック構成
図２に、ユーザ端末101の機能ブロック構成を示す。図２に示す機能のうち記憶部以外の各部の機能は、ハードウェアとして実現されても良いし、コンピュータ（CPU/MPU）によって実行されるプログラムとして実現されても良い。本実施例に係るユーザ端末101には、例えばスマートフォンやタブレット端末を想定する。もっとも、これらの端末に限るものではなく、ノート型のコンピュータ端末や携帯型の専用端末も含むものとする。なお、ユーザ端末101には、不図示ではあるが、スマートフォン等に搭載されている各種の機能デバイスが必要に応じて搭載されている。例えばCPU、メモリ、入力指示装置（タッチパネル）、GPS（Global Positioning System）受信装置、Wi-Fi（商標）に準拠した無線通信装置、磁気センサ、加速度センサなどが搭載されている。
【００２１】
インターネット接続状態検知部201は、記憶部に格納されている通信先アドレス情報301に基づいて、特定のIPアドレスとの通信状態を監視し、通信が可能であればインターネット接続状態と判定するプログラムである。ここでの特定のIPアドレスが、HTTPサーバ106のIPアドレスである。
【００２２】
パケットフィルタリング部202は、記憶部に格納されているポリシー情報302に基づいて、特定のIPアドレスを有する装置との通信のみを許可し又は拒否する等の通信制御を実現するデバイス又はプログラムである。本実施例の場合、パケットフィルタリング部202は、インターネット接続が確認されるまではHTTPサーバ106のIPアドレスに対する通信のみを許可し、インターネット接続が確認された後はVPN認証サーバ107のIPアドレスに対する通信のみを許可する。VPN接続部203は、VPN認証サーバ107に接続し、VPN通信に必要な処理を実行するデバイス又はプログラムである。ネットワーク接続部204は、ネットワークと接続して通信する装置であり、例えばNIC（ネットワーク・インタフェース・カード）が相当する。
【００２３】
記憶部には、通信先アドレス情報301とポリシー情報302が記憶されている。通信先アドレス情報301は、インターネット接続状態を検知するための通信先のデバイス又は機器のIPアドレスの情報である。ポリシー情報302は、VPN通信を実行するにあたり、通信を許可若しくは禁止する通信制御に適用される条件を記述した情報である。
【００２４】
（２−３）通信制御
図３〜図６を使用して、キャプティブポータル認証に関連する一連の通信形態について説明する。
【００２５】
（２−３−１）キャプティブポータル認証前
図３は、キャプティブポータル認証前の通信形態を示す。ユーザ端末101が、閉塞ネットワーク網104に接続した時から、ユーザ端末101のインターネット接続状態検知部201は、公衆回線網105に接続されたHTTPサーバ106への通信（ポーリング）を一定間隔で試み、HTTPサーバ106との通信が可能な状態か否かを監視する。ここで、インターネット接続状態検知部201は、通信先アドレス情報301として記述されているHTTPサーバ106のIPアドレスを宛先とした通信パケットの送信を実行する。
【００２６】
キャプティブポータルサイトでの認証に成功して公衆回線網105への通信が解放されていない限り、ユーザ端末101は、インターネット上に位置するHTTPサーバ106と通信することができない。従って、閉塞ネットワーク網104に接続した直後のユーザ端末101のインターネット接続状態検知部201は、HTTPサーバ106からポーリングに対する応答を受信することができない。このとき、インターネット接続状態検知部201は、自機は公衆回線網105に未接続であると判定する。すなわち、インターネット接続状態検知部201は、自機はキャプティブポータルサイトによる認証前であると認定する。
【００２７】
この判定結果が得られている間、インターネット接続状態検知部201は、ブラウザプログラムによるネットワーク通信を許可するようにネットワーク接続部204に指示する。この後、ユーザ端末101は、キャプティブポータル認証サーバ102によってリダイレクトされたキャプティブポータルサイトに対する通信が可能となり、キャプティブポータルサイトの要求に従った情報の入力により認証が可能な状態になる（図４）。
【００２８】
（２−３−２）キャプティブポータル認証直後
キャプティブポータルサイトにおける認証が完了して、公衆回線網105への通信が解放されると、ユーザ端末101は、HTTPサーバ106と通信できる状態になる（図５）。実際にHTTPサーバ106と通信可能となったことは、インターネット接続状態検知部201が、HTTPサーバ106に送信したパケットに対する応答を受信することで確認する。この応答を確認すると、インターネット接続状態検知部201は、自機が公衆回線網105に接続したと判定する。すなわち、インターネット接続状態検知部201は、自機はキャプティブポータルサイトによる認証が終了したと判定する。
【００２９】
（２−３−３）キャプティブポータル認証以降
キャプティブポータル認証の終了が判定されると、インターネット接続状態検知部201は、ブラウザプログラムによるネットワーク通信を禁止するようにネットワーク接続部204に指示する。この後、VPN接続部203は、ネットワーク接続部204を通じ、VPN認証サーバ107との間でVPN通信を実現する。なお、パケットフィルタリング部202によって、ポリシー情報302に記述されているIPアドレス以外への通信は禁止される。すなわち、ユーザ端末101は、VPN認証サーバ107とのみ通信可能な状態になる（図６）。この結果、ユーザ端末101上の情報の漏洩が防止される。
【００３０】
（２−３−４）VPN認証サーバによる認証以降
VPN認証サーバ107によるユーザ端末101の認証が完了すると、ユーザ端末101は、VPN認証サーバ107を経由して社内ネットワーク網108とのVPNが可能となり、安全な通信が実現される。
【００３１】
（２−４）まとめ
本実施例に係る通信制御機能をユーザ端末101に搭載することにより、駅やホテル等の公共の空間に構築された社外ネットワークがキャプティブポータルの無線LANに準拠したアクセスポイントを利用する場合でも、端末内の情報の外部への漏洩を防ぎながら、キャプティブポータル認証を可能とすることができる。そして、キャプティブポータル認証後は、ネットワーク通信をVPN認証サーバ107への通信に限定されるため、端末内の情報が外部に漏洩するおそれの無い安全な通信を実現できる。
【００３２】
また、本実施例による技術（HTTPサーバ106に接続できるか否かによって、ユーザ端末101が公衆回線網105に接続しているか否か（キャプティブポータル認証が終了しているか否か）を判定する技術）を用いることにより、キャプティブポータルサイトを提供する不特定のベンダの形式に依存する識別機能をユーザ端末101に事前に搭載する必要を無くすことができる。
【００３３】
換言すると、本実施例の技術の採用により、ネットワーク通信がVPN認証サーバ107との通信に制限される環境において、ユーザ端末101によるキャプティブポータルサイトでの認証を、ベンダ毎に異なるキャプティブポータルサイトの識別処理を用意することなく実現できる。しかも、前述の通り、キャプティブポータルサイトの認証中も含めて、ユーザ端末101上の情報の漏洩のおそれのない、安全性の高いVPN通信を実現できる。また、当該技術の採用により、利用者が故意にユーザ端末101上の情報をインターネット上に漏洩させる行為を防止することも可能となる。
【００３４】
（３）他の実施例
本発明は、上述した実施例に限定されるものでなく、様々な変形例を含んでいる。例えば、上述した実施例は、本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備える必要はない。また、ある実施例の一部を他の実施例の構成に置き換えることができる。また、ある実施例の構成に他の実施例の構成を加えることもできる。また、各実施例の構成の一部について、他の実施例の構成の一部を追加、削除又は置換することもできる。
【００３５】
また、上述した各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現しても良い。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することにより（すなわちソフトウェア的に）実現しても良い。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリ、ハードディスク、SSD（Solid State Drive）等の記憶装置、又は、ICカード、SDカード、DVD等の記憶媒体に格納することができる。また、制御線や情報線は、説明上必要と考えられるものを示すものであり、製品上必要な全ての制御線や情報線を表すものでない。実際にはほとんど全ての構成が相互に接続されていると考えて良い。
【符号の説明】
【００３６】
101…ユーザ端末、102…キャプティブポータル認証サーバ、103…キャプティブポータル認証用のユーザ情報の管理DB、104…閉塞ネットワーク網、105…公衆回線網（インターネット）、106…インターネット接続の判定用HTTPサーバ、107…VPN認証サーバ、108…社内ネットワーク網、201…インターネット接続状態検知部、202…パケットフィルタリング部、203…VPN接続部、204…ネットワーク接続部、301…通信先アドレス情報、302…ポリシー情報。
【図１】
0006470597.tif 000002
【図２】
0006470597.tif 000003
【図３】
0006470597.tif 000004
【図４】
0006470597.tif 000005
【図５】
0006470597.tif 000006
【図６】
0006470597.tif 000007