(57)【要約】【課題】クライアントの数が増大しても設定や運用管理をシンプルにすること、高いセキュリティ性を実現すること、ＩＰｓｅｃ技術を用いたトンネルをターゲットとなるサブネットワークまで伸張すること。【解決手段】認証サーバ１０は、例えば、オープンネットワーク１内のクライアント３が部門ネットワーク３２にアクセスする際に、クライアント３の認証要求に応じてクライアント３の認証を行う。アドレス処理回路１１は、認証サーバ１０によるクライアント３の認証後に、認証サーバ１０からの指示に基づいて、クライアント３と部門ネットワーク３２との間のパケット通信に係るパケット信号のアドレス処理を行う。【選択図】      図１
2004328029.tif 000002
【特許請求の範囲】
【請求項１】
複数のサブネットワークと、
前記複数のサブネットワークのうち一のサブネットワーク内のクライアントのクライアント端末と当該クライアントがターゲットとする他のサブネットワークとの間のパケット通信用の通信セッションの開設に際し、当該クライアントの認証要求に応じて当該クライアントの認証を行う認証サーバと、
前記認証サーバによる認証後に当該認証サーバからの指示に基づいて、前記クライアント端末と前記クライアントがターゲットとするサブネットワークとの間のパケット通信に係るパケット信号のアドレス処理を行うアドレス処理回路とを有することを特徴とするネットワークアクセスシステム。
【請求項２】
前記クライアントからの認証要求には、当該クライアントがターゲットとするサブネットワークの情報が含まれていることを特徴とする、請求項１に記載のネットワークアクセスシステム。
【請求項３】
前記認証サーバは、前記クライアント毎に当該クライアントがターゲットとする１つまたは複数のサブネットワークを示す対応表を有し、前記対応表に基づいて前記クライアントがターゲットとするサブネットワークを特定すると共に、前記パケット信号上の前記通信セッションを特定する情報と前記クライアントがターゲットとするサブネットワークに対応するアドレス情報との対応を示すアドレス変換テーブルを前記アドレス処理装置内に設定することを特徴とする、請求項１または２に記載のネットワークアクセスシステム。
【請求項４】
前記クライアント端末は、宛先アドレスとして前記アドレス処理装置のアドレスを設定してパケット信号を送出し、
前記アドレス処理装置は、前記アドレス変換テーブル内の前記パケット信号上の前記通信セッションを特定する情報に基づいて前記クライアントがターゲットとするサブネットワークを特定し、特定したサブネットワークに対応するアドレス情報に前記パケット信号の宛先アドレスを変換することを特徴とする、請求項３に記載のネットワークアクセスシステム。
【請求項５】
前記パケット信号上の前記通信セッションを特定する情報として、発信アドレスを用いることを特徴とする、請求項３または４に記載のネットワークアクセスシステム。
【請求項６】
前記通信セッションを特定する情報または当該情報の一部として、前記パケット信号上にセッション識別情報を設定することを特徴とする、請求項５に記載のネットワークアクセスシステム。
【請求項７】
前記アドレス処理装置は、前記クライアントがターゲットとするサブネットワークから前記クライアント宛のパケット信号を受信した場合、当該パケット信号の発信アドレスを自己のアドレスに変換して送出することを特徴とする、請求項１から６のいずれか１項に記載のネットワークアクセスシステム。
【請求項８】
前記サブネットワークは、ゲートウェイ装置を有し、当該サブネットワークに対応するアドレスとして前記ゲートウェイ装置のアドレスを用いることを特徴とする、請求項１から７のいずれか１項に記載のネットワークアクセスシステム。
【請求項９】
前記ゲートウェイ装置および前記クライアント端末は、アドレスを記述したカプセル化ヘッダを付加してカプセル化したパケット信号のトンネル通信機能を有し、
前記ゲートウェイ装置は、自己のゲートウェイ装置宛のパケット信号から前記カプセル化ヘッダを除去して自己のサブネットワークに供給することを特徴とする、請求項８に記載のネットワークアクセスシステム。
【請求項１０】
前記ゲートウェイ装置は、自己のゲートウェイ装置宛のパケット信号の前記カプセル化ヘッダ内の発信アドレスと自己のネットワーク内で前記クライアント端末に割り当てられたアドレスとを対応付けて記録し、当該アドレスを宛先アドレスとするパケット信号を自己のサブネットワーク内で検出した場合、当該パケット信号の宛先アドレスとして当該アドレスに対応付けられた前記カプセル化ヘッダ内の発信アドレスを設定すると共に当該パケット信号の発信アドレスとして自己のアドレスを設定してカプセル化し、送出することを特徴とする、請求項９に記載のネットワークアクセスシステム。
【請求項１１】
前記サブネットワークの一部は、複数の前記認証サーバに接続されると共に、プロキシ認証サーバを有しており、
前記クライアント端末は、前記プロキシ認証サーバにアクセスして前記クライアントの認証要求を行い、
前記プロキシ認証サーバは、前記クライアントからの認証要求に基づき前記クライアントがターゲットとするサブネットワークが有する認証サーバを特定し、特定した認証サーバに対し認証の可否を問い合わせ、当該認証サーバに前記クライアントが認証された場合、当該クライアントのアクセスを許可することを特徴とする、請求項１から１０のいずれか１項に記載のネットワークアクセスシステム。
【請求項１２】
前記認証サーバは、直接あるいはプロキシ認証サーバを介して認証されたクライアントのクライアント端末に対し、前記通信セッションを特定するためのセッション識別情報を配布し、
前記クライアント端末は、前記認証サーバから配布された前記セッション識別情報をパケット信号に付加することを特徴とする、請求項６または１１に記載のネットワークアクセスシステム。
【請求項１３】
前記認証サーバは、前記クライアントの認証時に、当該クライアントのクライアント端末に対し、アクセスすべき前記アドレス処理装置のアドレスを通知し、
前記クライアント端末は、前記認証サーバから通知された前記アドレス処理装置を介して前記クライアントがターゲットとするサブネットワークとパケット通信を行うことを特徴とする、請求項１から１２のいずれか１項に記載のネットワークアクセスシステム。
【請求項１４】
前記サブネットワークは、前記クライアントとして位置付けられるゲートウェイ装置を有し、
前記ゲートウェイ装置は、自己のサブネットワーク内のクライアントがターゲットとするサブネットワークとの間でカプセル化したパケット信号のトンネル通信を行い、自己のサブネットワーク内のクライアントからの通信セッションの開設のための認証要求を受け付けた場合、前記クライアントに代わって前記認証サーバに当該クライアントの認証要求を行い、前記パケット信号上の前記通信セッションを特定する情報または当該情報の一部として、前記通信セッションを特定するためのセッション識別情報を用いることを特徴とする、請求項１から１３のいずれか１項に記載のネットワークアクセスシステム。
【請求項１５】
前記認証サーバは、前記ゲートウェイ装置からの前記クライアントの認証要求に対し、当該クライアントがターゲットとするサブネットワークのアドレスを特定するための情報を前記ゲートウェイ装置に通知し、
前記ゲートウェイ装置は、前記認証サーバから通知された前記情報に基づいて前記クライアントがターゲットとするサブネットワーク宛のパケット信号を検出した場合、当該パケット信号の発信アドレスによりクライアントを特定し、特定したクライアントが前記通信セッションの開設のための認証を受けていることを確認すると、前記セッション識別情報をカプセル化ヘッダの一部に設定してパケット信号をカプセル化し、前記アドレス処理装置に送出することを特徴とする、請求項１４に記載のネットワークアクセスシステム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、外部からターゲットネットワークに対しアクセスするためのネットワークアクセスシステムに関する。より具体的には、自部門ネットワークの外部から自部門ネットワークに対してアクセスするためのネットワークアクセスシステムに関する。
【０００２】
【従来の技術】
従来のネットワークアクセスシステムについて、図１３および図１４を参照して説明する。
【０００３】
図１３を参照すると、本従来例は、インターネットなどのようにオープンにアクセスできるオープンネットワーク１と、企業内のローカルエリアネットワーク（基幹ネットワーク１２、リモートアクセス用ネットワーク８１、および部門ネットワーク８３，８４）と、クライアントとターゲットネットワークとの間のパケット通信に係るパケット信号のアドレス処理を行うアドレス処理回路１３とを設けた構成となっている。
【０００４】
アドレス処理装置１３は、基幹ネットワーク１２およびオープンネットワーク１に接続されている。
【０００５】
リモートアクセス用ネットワーク８１は、ゲートウェイ（ＧＷ）８０を有しており、ＧＷ８０を介してアドレス処理装置１３に接続されている。
【０００６】
部門ネットワーク８３は、ファイアウォール（ＦＷ）８２を有しており、ＦＷ８２を介して基幹ネットワーク１２に接続されている。
【０００７】
オープンネットワーク１は、オープンネットワーク１内のアクセス用アドレスをクライアントに割り当てるＤＨＣＰサーバ５を有している。
【０００８】
以下、本従来例の動作について説明する。ここでは、オープンネットワーク１内のクライアント２が自部門ネットワーク（部門ネットワーク８３，８４のいずれか）をターゲットネットワークとし、オープンネットワーク１からアクセスを行う場合の動作例について説明する。
【０００９】
オープンネットワーク１内のクライアント２は、企業内のローカルエリアネットワーク内アクセス用のアドレスとして、リモートアクセス用ネットワーク８１に対応したトンネル内ＩＰアドレスＡＤ８Ｘが割り当てられており、また、オープンネットワーク１内のアクセス用のアドレスとして、ＤＨＣＰサーバ５によりアドレスＡＤ０２が割り当てられている。
【００１０】
クライアント２は、自部門ネットワーク（部門ネットワーク８３，８４のいずれか）をターゲットネットワークとしてアクセスを行う場合、まず、自己のクライアント端末上で、パケット信号をカプセル化し、アドレス処理装置１３に向けて送信する。
【００１１】
具体的には、クライアント２は、図１４中の（１）に示すように、トンネル発信アドレスとしてクライアント２のオープンネットワーク１内のアドレスＡＤ０２を設定し、トンネル宛先アドレスとしてアドレス処理装置１３のアドレスＡＤ１３を設定したカプセル化ヘッダを付加してパケット信号をカプセル化し、カプセル化したパケット信号をアドレス処理装置１３に向けて送信する。
【００１２】
アドレス処理装置１３は、トンネル宛先アドレスがＡＤ１３であるパケット信号を受信すると、図１４中の（２）に示すように、そのトンネル宛先アドレスＡＤ１３をＧＷ８０のアドレスＡＤ８０に変換し、ＧＷ８０に転送する。
【００１３】
ＧＷ８０は、上記で転送されたパケット信号からカプセル化ヘッダを除去して、オリジナルのパケット信号に復元した上で、そのパケット信号をリモートアクセス用ネットワーク８１内に供給する。
【００１４】
このとき、ＦＷがない部門ネットワーク８４に対してはパケット信号によるアクセスが可能であるが、ＦＷ８２を有する部門ネットワーク８３へのアクセスを可能とするためには、ＦＷ８２に対して発信アドレスがＡＤ８Ｘであるパケット信号を通過させるような設定を行う必要がある。
【００１５】
一方、オープンネットワーク１内のクライアント２へのパケット信号の通信は、その逆のプロセスを経て実現される。
【００１６】
具体的には、ＧＷ８０は、クライアント２宛のパケット信号に対し、図１４中の（３）に示すように、トンネル宛先アドレスとしてクライアント２のオープンネットワーク１内のアドレスＡＤ０２を設定し、トンネル発信アドレスとして自己のアドレスＡＤ８０を設定したカプセル化ヘッダを付加してカプセル化する。
【００１７】
アドレス処理装置１３は、図１４中の（４）に示すように、ＧＷ８０からのパケット信号に設定されたトンネル発信アドレスをＡＤ８０から自己のアドレスであるＡＤ１３に変換し、オープンネットワーク１へ送信する。
【００１８】
なお、このようなネットワークアクセスシステムを実現するための技術としては、例えば、特許文献１〜３に開示された技術が開示されている。
【００１９】
【特許文献１】
特開２００１−１６０８２８号公報
【特許文献２】
特開２００１−１８６１３６号公報
【特許文献３】
特開２００１−２７４８３４号公報
【００２０】
【発明が解決しようとする課題】
しかしながら、図１３に示した従来のネットワークアクセスシステムにおいては、以下に記載するような課題がある。
【００２１】
第１の課題は、クライアントが外部からファイアウォールで保護されている部門ネットワーク内のサーバ等にアクセスする場合、ファイアウォールに穴をあけてアクセスを行う必要があるが、クライアントの数が増大すると、ファイアウォールの穴の数が増大するため、各クライアントに対応した設定や運用管理が煩雑化してしまうということである。
【００２２】
第２の課題は、ファイアウォールの穴は常に開いている状態であるため、セキュリティ面で脆弱になるということである。
【００２３】
第３の課題は、パケット信号をカプセル化してトンネル型の通信を行う技術として、セキュリティ面をより厳重にしたＩＰｓｅｃ（ＩＰ  Ｓｅｃｕｒｉｔｙ）技術があるが、ＩＰｓｅｃ技術を用いたトンネルを部門ネットワークまで伸張することができないということである。
【００２４】
そこで、本発明の第１の目的は、クライアントの数が増大しても、各クライアントに対応した設定や運用管理をシンプルにすることができるネットワークアクセスシステムを提供することにある。
【００２５】
また、本発明の第２の目的は、クライアントと部門ネットワーク内のサーバ等との間の上記の穴をあける設定を不要とすると共に、高いセキュリティ性を実現することができるネットワークアクセスシステムを提供することにある。
【００２６】
さらに、本発明の第３の目的は、ＩＰｓｅｃ技術を用いたトンネルを部門ネットワークまで伸張することができるネットワークアクセスシステムを提供することにある。
【００２７】
【課題を解決するための手段】
上記目的を達成するために本発明のネットワークアクセスシステムは、複数のサブネットワークと、前記複数のサブネットワークのうち一のサブネットワーク内のクライアントのクライアント端末と当該クライアントがターゲットとする他のサブネットワークとの間のパケット通信用の通信セッションの開設に際し、当該クライアントの認証要求に応じて当該クライアントの認証を行う認証サーバと、前記認証サーバによる認証後に当該認証サーバからの指示に基づいて、前記クライアント端末と前記クライアントがターゲットとするサブネットワークとの間のパケット通信に係るパケット信号のアドレス処理を行うアドレス処理回路とを有することを特徴としている。
【００２８】
したがって、クライアントからのパケット信号の宛先を当該クライアントがターゲットとするサブネットワークまで伸張することが可能となるため、トンネル型通信を行う場合も、ターゲットとするサブネットワークまでＩＰトンネルを伸張することが可能となる。
【００２９】
【発明の実施の形態】
以下に、本発明の実施の形態について図面を参照して説明する。
【００３０】
（第１の実施形態）
本発明の第１の実施形態によるネットワークアクセスシステムについて、図１および図２を参照して説明する。
【００３１】
図１を参照すると、本実施形態は、インターネットなどのようにオープンにアクセスできるオープンネットワーク１と、企業内の基幹ネットワーク１２および部門ネットワーク２２，３２，４２と、ターゲットネットワーク外部のクライアントとターゲットネットワークとの間のパケット通信用の通信セッションの開設に際し、クライアントの認証要求に応じてクライアントの認証を行う認証サーバ１０と、認証サーバ１０による認証後に認証サーバ１０からの指示に基づいて、クライアントとターゲットネットワークとの間のパケット通信に係るパケット信号のアドレス処理を行うアドレス処理回路１１とを設けた構成となっている。
【００３２】
アドレス処理装置１１は、基幹ネットワーク１２およびオープンネットワーク１に接続されており、さらに、基幹ネットワーク１２を介してゲートウェイ（ＧＷ）２２，３２，４２に接続されている。なお、アドレス処理装置１１は、基幹ネットワーク１２を介さず、直接ＧＷ２１，３１，４１に接続されることとしても良い。
【００３３】
認証サーバ１０は、アドレス処理装置１１を介してオープンネットワーク１および基幹ネットワークに１２に接続されている。なお、認証サーバ１０は、アドレス処理装置１１を介さず、直接オープンネットワーク１および基幹ネットワークに１２に接続されることとしても良い。
【００３４】
各部門ネットワーク２２，３２，４２は、ＧＷ２１，３１，４１を有しており、ＧＷ２１，３１，４１を介して基幹ネットワーク１２に接続されている。
【００３５】
オープンネットワーク１は、オープンネットワーク１内のアクセス用アドレスをクライアントに割り当てるＤＨＣＰサーバ５を有しており、また、各部門ネットワーク３２，４２は、部門ネットワーク３２，４２内のアクセス用アドレスをクライアントに割り当てるＤＨＣＰサーバ３５，４５を有している。
【００３６】
以下、本実施形態の動作について説明する。本実施形態は、オープンネットワーク１内のクライアントが、自部門ネットワークをターゲットネットワークとしてアクセスを行う場合に適用される。ここでは、部門ネットワーク３２に属するクライアント３が部門ネットワーク３２をターゲットネットワークとし、オープンネットワーク１からアクセスを行う場合の動作例について説明する。
【００３７】
図２を参照すると、まず、クライアント３は、自己のクライアント端末上で、ＤＨＣＰサーバ５によりオープンネットワーク１内のアクセス用のアドレスＡＤ０３の割り当てを受ける。
【００３８】
続いて、クライアント３は、自己のクライアント端末上で、認証サーバ１０に認証のためのアクセスを行う。このアクセスに際しては、クライアント３は、クライアント３を特定するためのクライアント特定情報（例えば、ログインネーム（ユーザネーム））やパスワードを認証サーバ１０に入力する。
【００３９】
認証サーバ１０は、クライアント３から入力されたクライアント特定情報およびパスワードに基づいてクライアント３の認証を行った後、クライアント３が属する部門ネットワーク３２を特定する。なお、認証サーバ１０は、クライアント特定情報とそのクライアント特定情報により特定されるクライアントの属する部門ネットワークとの対応表を有しており、この対応表を用いてクライアント３が属する部門ネットワーク３２を特定する。一つのクライアントに複数のターゲットネットワークが登録されている場合は、認証要求にターゲットネットワーク情報を加えるか、ユーザネームを違えるなどして、クライアント特定情報をターゲットネットワークに応じて複数設定すれば良い。
【００４０】
次に、認証サーバ１０は、図３に示すように、上記で特定した部門ネットワーク３２が有するＧＷ３１のアドレスＡＤ３１と、クライアント３のオープンネットワーク１内のアドレスＡＤ０３とを対応付けたアドレス変換テーブルをアドレス処理装置１１の内部に設定する。
【００４１】
クライアント３は、認証サーバ１０による認証がなされると、続いて、自己のクライアント端末上で、アドレス処理装置１１を介してＧＷ３１との間にトンネルを設定し、カプセル化したパケット信号のトンネル型通信を行う。
【００４２】
具体的には、クライアント３は、図４中の（１）に示すように、トンネル発信アドレスとしてクライアント３のオープンネットワーク１内のアドレスＡＤ０３を設定し、トンネル宛先アドレスとしてアドレス処理装置１１のアドレスＡＤ１１を設定したカプセル化ヘッダを付加してパケット信号をカプセル化し、カプセル化したパケット信号をアドレス処理装置１１に向けて送信する。
【００４３】
アドレス処理装置１１は、クライアント３からのパケット信号を受信すると、図３のアドレス変換テーブルを参照し、パケット信号に設定された発信アドレスＡＤ０３にＧＷ３１のアドレスＡＤ３１が対応付けられていることを認識する。
【００４４】
この結果、アドレス処理装置１１は、図４中の（２）に示すように、クライアント３からのパケット信号のトンネル宛先アドレスＡＤ１１をＧＷ３１のアドレスＡＤ３１に変換し、基幹ネットワーク１２に送信する。この処理により、クライアント３とアドレス処理装置１１との間に設定されたトンネルはＧＷ３１まで伸張されることになる。
【００４５】
ＧＷ３１は、クライアント３からのパケット信号からカプセル化ヘッダを除去してオリジナルのパケット信号に復元した上で、そのパケット信号を部門ネットワーク３２内に供給する。このようにして、クライアント３は、図１中の部門ネットワーク３２内の黒四角マークに示すように、あたかも部門ネットワーク３２内に存在しているようにして、部門ネットワーク３２内の他のクライアントと通信を行うことができるようになる。
【００４６】
続いて、ＤＨＣＰサーバ３５は、クライアント３とＧＷ３１との間に設定されたトンネルを介して、クライアント３に部門ネットワーク３２内のアドレスＡＤ３Ｘを割り当てる。また、ＧＷ３１は、クライアント３の発信アドレスをモニタし、クライアント３のオープンネットワーク１内のアドレスがアドレスＡＤ０３であることを認識する。さらに、ＧＷ３１は、クライアント３のオープンネットワーク１内のアドレスＡＤ０３と、ＤＨＣＰサーバ３５がクライアント３に割り当てた部門ネットワーク３２内のＡＤ３Ｘとを対応付けて記録する。
【００４７】
その後、部門ネットワーク３２からＧＷ３１を介したオープンネットワーク１内のクライアント３への通信は、その逆のプロセスを経て実現される。
【００４８】
具体的には、ＧＷ３１は、部門ネットワーク３２内でクライアント３のアドレスＡＤ３Ｘを宛先アドレスとするパケット信号を検出すると、図４中の（３）に示すように、トンネル宛先アドレスとしてクライアント３のオープンネットワーク１内のアドレスＡＤ０３を設定し、トンネル発信アドレスとして自己のアドレスＡＤ３１を設定したカプセル化ヘッダを付加してパケット信号をカプセル化し、基幹ネットワーク１２に向けて送信する。
【００４９】
上記のパケット信号は、企業内の基幹ネットワーク１２および部門ネットワーク２２，３２，４２のアドレスドメインには無いアドレスＡＤ０３を宛先アドレスとしているため、基幹ネットワーク１２内のルーティング処理によってアドレス処理装置１１に転送される。
【００５０】
アドレス処理装置１１は、図４中の（４）に示すように、上記で転送されてきたパケット信号に設定されたトンネル発信アドレスをＡＤ３１から自己のアドレスであるＡＤ１１に変換し、オープンネットワーク１へ送信する。
【００５１】
なお、本実施形態においては、クライアント３に対し、オープンネットワーク１内のアドレスＡＤ０３や、部門ネットワーク３２内のアドレスＡＤ３Ｘを、固定的に割り当てることとしても良い。
【００５２】
また、アドレス処理装置１１は、アドレス変換テーブルに無いクライアントからの通信、即ち、未認証のアクセスは禁止することができ、かつ、認証サーバ１０による認証時にアドレス変換テーブルが登録されるため、アドレス変換テーブルを予め設定しておく必要はない。
【００５３】
また、アドレス処理装置１１は、あるクライアントの通信が終了したことを検出した場合、その通信に係るクライアントのアドレス情報をアドレス変換テーブルから消去することとしても良い。この場合、アドレス処理装置１１を介したアクセスが不可能となるため、セキュリティを高めることができる。
【００５４】
また、クライアントと部門ネットワーク２２，３２，４２のＧＷ２１，３１，３２間でＩＰｓｅｃ技術を用い、トンネルの中は暗号化されたパケット信号が流れるようにしても良い。
【００５５】
また、ＧＷ２１，３１，３２にとってもアドレス処理装置１１を介さないクライアントからの部門ネットワーク２２，３２，４２へのアクセスは禁止できるので、高いセキュリティを維持することができる。
【００５６】
（第２の実施形態）
本発明の第２の実施形態によるネットワークアクセスシステムについて、図１を参照して説明する。
【００５７】
本実施形態は、同一企業内の他部門ネットワーク内のクライアントが、自部門ネットワークをターゲットネットワークとしてアクセスを行う場合に適用される。なお、本実施形態の構成は、図１と同様の構成であるため、説明を省略する。
【００５８】
以下、本実施形態の動作について説明する。ここでは、部門ネットワーク３２の部門に属するクライアント４が部門ネットワーク３２をターゲットネットワークとし、部門ネットワーク４２からアクセスを行う場合の動作例について説明する。
【００５９】
まず、クライアント４は、自己のクライアント端末上で、ＤＨＣＰサーバ４５により部門ネットワーク４２内のアクセス用のアドレスＡＤ４３の割り当てを受け、続いて、認証サーバ１０に認証のためのアクセスを行う。
【００６０】
認証サーバ１０は、クライアント４の認証を行った後、クライアント４が属する部門ネットワーク３２を特定し、図３に示すように、クライアント４の部門ネットワーク４２内のアドレスＡＤ４３と、ＧＷ３１のアドレスＡＤ３１とを対応付けたアドレス変換テーブルをアドレス処理装置１１の内部に設定する。
【００６１】
クライアント４は、認証サーバ１０による認証がなされると、続いて、自己のクライアント端末上で、アドレス処理装置１１のアドレスＡＤ１１をトンネル宛先アドレスとして設定し、クライアント４の部門ネットワーク４２内のアドレスＡＤ４３をトンネル発信アドレスとして設定したカプセル化ヘッダをパケット信号に付加してカプセル化し、カプセル化したパケット信号をアクセス処理装置１１に向けて送出する。
【００６２】
アドレス処理装置１１は、クライアント４からのパケット信号を受信すると、図３のアドレス変換テーブルを参照し、クライアント４からのパケット信号のトンネル宛先アドレスＡＤ１１をＧＷ３１のアドレスＡＤ３１に変換し、パケット信号をＧＷ３１に中継転送する。
【００６３】
一方、部門ネットワーク３２から部門ネットワーク４２内のクライアント４への通信は、その逆のプロセスを経て実現される。
【００６４】
具体的には、ＧＷ３１は、部門ネットワーク３２内でクライアント４を宛先とするパケット信号を検出すると、トンネル宛先アドレスとしてクライアント４の部門ネットワーク４２内のアドレスＡＤ４３を設定し、トンネル発信アドレスとして自己のアドレスＡＤ３１を設定したカプセル化ヘッダを付加してパケット信号をカプセル化し、カプセル化したパケット信号を基幹ネットワーク１２に送信する。
【００６５】
上記のパケット信号は、企業内の部門ネットワーク４２内のアドレスＡＤ４３を宛先アドレスとしているため、基幹ネットワーク１２内のルーティング処理によりアドレス処理装置１１を介さずに直接部門ネットワーク４２に転送される。
【００６６】
なお、本実施形態においては、企業内アクセスがプライベートアドレスであり、オープンネットワーク１がグローバルアドレスである場合には、アドレス処理装置１１はそれぞれのアドレスを持つことになる。すなわち、オープンネットワーク１内のクライアント２，３がアクセスするアドレス処理装置１１のアドレスはグローバルアドレスとなり、他の部門ネットワーク４２内のクライアント４がアクセスするアドレス処理装置１１のアドレスは企業内アドレスとなる。
【００６７】
（第３の実施形態）
本発明の第３の実施形態によるネットワークアクセスシステムについて、図１を参照して説明する。
【００６８】
本実施形態は、あるクライアントが外部から自部門ネットワークをターゲットネットワークとしてアクセスを行う際に、パケット信号をカプセル化せずにアクセスを行う場合に適用される。なお、本実施形態の構成は、図１と同様の構成であるため、説明を省略する。
【００６９】
以下、本実施形態の動作について説明する。ここでは、部門ネットワーク２２の部門に属するクライアント２が部門ネットワーク２２をターゲットネットワークとし、オープンネットワーク１からパケット信号をカプセル化せずにアクセスを行う場合の動作例について説明する。
【００７０】
認証サーバ１０は、クライアント２の認証を行った後、クライアント２が属する部門ネットワーク２２を特定し、図３に示すように、クライアント２のオープンネットワーク１内のアドレスＡＤ０２と、部門ネットワーク２２の外部からのアクセスに対する通信専用のサーバ２０のアドレスＡＤ２０とを対応付けたアドレス変換テーブルをアドレス処理装置１１の内部に設定する。
【００７１】
クライアント２は、認証サーバ１０による認証がなされると、続いて、自己のクライアント端末上で、図５中の（１）に示すように、アドレス処理装置１１のアドレスＡＤ１１を宛先アドレスとして、パケット信号を送信する。
【００７２】
アドレス処理装置１１は、クライアント２からのパケット信号を受信すると、図３のアドレス変換テーブルを参照し、図５中の（２）に示すように、クライアント２からのパケット信号の宛先アドレスをサーバ２０のアドレスＡＤ２０に変換し、パケット信号をＧＷ２１に中継転送し、ＧＷ２１は、パケット信号に設定されたアドレスＡＤ２０に基づきパケット信号をサーバ２０に転送する。
【００７３】
これにより、クライアント２は、固定的ではあるが、サーバ２０に接続できるようになる。このように、カプセル化技術を用いなくても、部門ネットワーク２２の外部からのアクセスに対する通信専用のサーバ２０を用意しておけば、外部から部門ネットワーク２２内へのアクセスが可能となり、また、部門ネットワーク２２内の他の資源へのアクセスを禁止することも可能となる。
【００７４】
一方、サーバ２０からオープンネットワーク１内のクライアント２への通信は、その逆のプロセスを経て実現される。図５中の（３）に、サーバ２０からアドレス処理装置１１までのパケット信号に設定されたアドレスヘッダを示し、図５中の（４）に、アドレス処理装置１１からクライアント２までのパケット信号に設定されたアドレスヘッダを示す。
【００７５】
なお、本実施形態においては、ＧＷ２１には、部門ネットワーク２２の外部からのアクセスがあった場合は、そのアクセスをサーバ２０に限定して転送するよう設定することとしても良い。その場合にも、部門ネットワーク２２内の他の資源へのアクセスを禁止することが可能となる。
【００７６】
（第４の実施形態）
本発明の第４の実施形態によるネットワークアクセスシステムについて、図６を参照して説明する。
【００７７】
図６を参照すると、本実施形態においては、部門ネットワーク５２が、モバイルＩＰを用いたホームエージェント（ＨＡ）５１を介して基幹ネットワーク１２に接続された構成となっている。
【００７８】
モバイルＩＰプロトコルを用いたパケット信号も、図４に示すようにカプセル化された構造となっている。そのため、トンネルを終端するＧＷ３１の代わりにＨＡ５１を配置すれば、第１の実施形態と同様にして、モバイルＩＰによるトンネルを部門ネットワーク５２まで伸張させることが可能となる。
【００７９】
すなわち、本実施形態においては、認証サーバ１０による認証がなされた、部門ネットワーク５２に属するクライアントは、オープンネットワーク１にいようが（クライアント２，３）、他の部門ネットワーク３２，４２（クライアント４）にいようが、自己のクライアント端末上でＨＡ５１にアクセスできるので、ＨＡ５１に接続された部門ネットワーク５２をベースとしてモバイルサービスを受けることができる。
【００８０】
なお、本実施形態においては、クライアントとＧＷとのエンド間のカプセル化プロトコルそのものの種類や方式を限定する訳ではないので、カプセル化したパケット信号を通信する一般的な通信方式に適用可能である。
【００８１】
（第５の実施形態）
本発明の第５の実施形態によるネットワークアクセスシステムについて、図７を参照して説明する。
【００８２】
図７を参照すると、本実施形態においては、部門ネットワーク６２が、ＧＷ６１および他の部門ネットワーク３２を介して基幹ネットワーク１２に接続された構成となっている。
【００８３】
本実施形態においては、部門ネットワーク６２に属するクライアントからのトンネルは、ＧＷ３１を通過しＧＷ６１まで伸張される。なお、ＧＷ６１までトンネルを伸張するためには、ＧＷ３１に対し、ＧＷ６１を宛先とするパケット信号については通過させるよう設定すれば良いため、パケット信号が通過する部門ネットワーク３２のセキュリティ面が脆弱になることはない。
【００８４】
すなわち、本実施形態においては、各ネットワークがルーティング機能を有していれば、部門ネットワーク６２に属するクライアントは、オープンネットワーク１にいようが（クライアント２，３）、他部門ネットワーク３２，４２にいようが、基幹ネットワーク１２（クライアント１５）にいようが、認証サーバ１０による認証を受けた後に、自己のクライアント端末上で自部門の部門ネットワーク６２にアクセスすることができる。
【００８５】
なお、本実施形態においては、必要に応じて、基幹ネットワーク１２が、基幹ネットワーク１２内のアクセス用アドレスをクライアントに割り当てるＤＨＣＰサーバを有することとしても良い。
【００８６】
（第６の実施形態）
本発明の第６の実施形態によるネットワークアクセスシステムについて、図８を参照して説明する。
【００８７】
図８を参照すると、本実施形態においては、認証サーバ１０の配下に、複数のアドレス処理装置１１，１４が設けられた構成となっている。
【００８８】
部門ネットワーク２２，３２は、ＧＷや基幹ネットワークを介さずに直接アドレス処理装置１１に接続されており、また、部門ネットワーク４２は、ＧＷや基幹ネットワークを介さずに直接アドレス処理装置１４に接続されている。
【００８９】
本実施形態においては、認証サーバ１０は、オープンネットワーク１内のクライアント４を認証すると、クライアント４から入力されたクライアント特定情報に基づきクライアント４が属する部門ネットワーク４２を特定する。そして、特定した部門ネットワーク４２に接続されているアドレス処理装置１４のアドレスであるＡＤ１４をクライアント４に通知する。
【００９０】
クライアント４は、自己のクライアント端末上で、認証サーバ１０から通知されたアドレス処理装置１４のＡＤ１４を宛先アドレスとしてパケット信号をパケット化し、第１の実施形態と同じようにして、リモートアクセスを行う。
【００９１】
（第７の実施形態）
本発明の第７の実施形態によるネットワークアクセスシステムについて、図９を参照して説明する。
【００９２】
図９を参照すると、本実施形態においては、アクセスネットワーク６内のクライアントが、基幹ネットワーク９を介して複数の企業ネットワーク１１１，１２１，１３１にアクセスする構成となっている。
【００９３】
アクセスネットワーク６は、クライアントのアクセスを制御するアクセスゲート７とプロキシ認証サーバ８を有しており、基幹ネットワーク９を介し複数の企業ネットワーク１１１，１２１，１３１に接続されている。
【００９４】
企業ネットワーク１１１は、認証サーバ１１０を有している。さらに、企業ネットワーク１１１は、ＩＰトンネルを終端するＧＷ１１３を有しており、ＧＷ１１３および基幹ネットワーク９を介してアクセスネットワーク６に接続されている。
【００９５】
企業ネットワーク１２１は、部門ネットワーク１２４，１２６から構成されると共に、認証サーバ１２０を有している。部門ネットワーク１２４，１２６は、ＩＰトンネルを終端するＧＷ１２３，１２５を有しており、ＧＷ１２３，１２５および基幹ネットワーク９を介してアクセスネットワーク６に接続されている。
【００９６】
企業ネットワーク１３１は、部門ネットワーク１３４，１３６から構成されると共に、認証サーバ１３０およびアドレス処理装置１３２を有している。部門ネットワーク１３４，１３６は、ＩＰトンネルを終端するＧＷ１３３，１３５を有しており、ＧＷ１２３，１２５、アドレス処理装置１３２および基幹ネットワーク９を介してアクセスネットワーク６に接続されている。
【００９７】
なお、各企業ネットワーク１１１，１２１，１３１とアクセスゲート７との接続は、基幹ネットワーク９上の仮想プライベートネットワークにより実現されるものとする。
【００９８】
以下、本実施形態における動作例として、アクセスネットワーク６内のクライアント２からの３つのアクセス形態の各動作例について説明する。
【００９９】
最初に、企業ネットワーク１１１に属するクライアント２が企業ネットワーク１１１をターゲットネットワークとし、アクセスネットワーク６からアクセスを行う場合の動作例について説明する。
【０１００】
クライアント２は、まず、自己のクライアント端末上で、クライアント２を特定するためのクライアント特定情報（例えば、Ｕｓｅｒｎａｍｅ＠ｃｏｍｐａｎｙ＃ｎａｍｅ）やパスワードを入力して、プロキシ認証サーバ８に認証のためのアクセスを行う。
【０１０１】
プロキシ認証サーバ８は、クライアント２のクライアント特定情報（例えば、Ｕｓｅｒｎａｍｅ＠ｃｏｍｐａｎｙ＃ｎａｍｅ）のうち所属企業を示す情報（この場合、ドメインネームであるｃｏｍｐａｎｙ＃ｎａｍｅ）に基づきクライアント２が企業ネットワーク１１１に属することを認識し、企業ネットワーク１１１に設けられた認証サーバ１１０に認証の可否を問い合わせる。
【０１０２】
プロキシ認証サーバ８は、認証サーバ１１０により認証を示す通知を受けると、アクセスゲート７に対し、クライアント２からの通信を可能とする設定を行うよう指示する。この制御により、クライアント２は、アクセスゲート７とＧＷ１１３との間をつなぐ基幹ネットワーク９上の仮想プライベートネットワークにログインすることになる。
【０１０３】
アクセスゲート７は、プロキシ認証サーバ８からの指示に基づき、クライアント２からのパケット信号の宛先アドレスをＧＷ１１３宛のアドレスに変換する。
【０１０４】
なお、ＧＷ１１３は、企業ネットワーク１１１内に設けられているので、ＧＷ１１３のアドレスがプライベートアドレスの場合もある。
【０１０５】
次に、企業ネットワーク１３１に属するクライアント２が企業ネットワーク１３１をターゲットネットワークとし、アクセスネットワーク６からアクセスを行う場合の動作例について説明する。
【０１０６】
プロキシ認証サーバ８は、クライアント２のクライアント特定情報に基づきクライアント２が企業ネットワーク１３１に属することを認識すると、企業ネットワーク１３１に設けられた認証サーバ１３０に認証の可否を問い合わせる。
【０１０７】
プロキシ認証サーバ８は、認証サーバ１３０により認証を示す通知を受けると、クライアント２からのパケット信号の宛先アドレスをアドレス処理装置１３２宛のアドレスに変換するようアクセスゲート７に指示し、アクセスゲート７は、クライアント２からのパケット信号に設定された宛先アドレスをアドレス処理装置１３２宛のアドレスに変換する。この制御により、例えば、クライアント２が部門ネットワーク１３４に属する場合、クライアント２からのＩＰトンネルは、アクセスゲート７およびアドレス処理装置１３２におけるＩＰアドレスの変換処理により中継され、ＧＷ１３３まで伸張されることになる。
【０１０８】
次に、企業ネットワーク１２１に属するクライアント２が企業ネットワーク１２１をターゲットネットワークとし、アクセスネットワーク６からアクセスを行う場合の動作例について説明する。
【０１０９】
プロキシ認証サーバ８は、クライアント２のクライアント特定情報に基づきクライアント２が企業ネットワーク１２１に属することを認識すると、企業ネットワーク１２１に設けられた認証サーバ１２０に認証の可否を問い合わせる。
【０１１０】
プロキシ認証サーバ８は、認証サーバ１２０により認証を示す通知を受けると同時に、クライアント２の属する部門ネットワークのＧＷのＩＰアドレスの通知を受ける。
【０１１１】
例えば、クライアント２が部門ネットワーク１２４に属する場合、プロキシ認証サーバ８は、ＧＷ１２３のアドレスが通知され、アクセスゲート７に対し、クライアント２からのパケット信号の宛先アドレスをＧＷ１２３のアドレスに変換するよう指示し、アクセスゲート７は、クライアント２からのパケット信号の宛先アドレスをＧＷ１２３宛のアドレスに変換する。この制御により、クライアント２からのＩＰトンネルは、ＧＷ１２３まで伸張されることになる。このように、アクセスゲート７に対し、企業ネットワーク１２１内の宛先を振り分ける機能を備えさせることが可能となる。
【０１１２】
（第８の実施形態）
本発明の第８の実施形態によるネットワークアクセスシステムについて、図１０および図１１を参照して説明する。
【０１１３】
図１０を参照すると、本実施形態においては、クライアントが自部門ネットワークをターゲットネットワークとし、ネットワークアドレス変換装置（ＮｅｔｗｏｒｋＡｄｄｒｅｓｓ  Ｔｒａｎｓｌａｔｏｒ：ＮＡＴ）を介してアクセスを行う構成となっている。
【０１１４】
ＮＡＴ４６は、サブネットワーク４５をオープンネットワーク１に接続している。また、オープンネットワーク１にはＧＷ４８を介してサブネットワーク４７も接続されている。
【０１１５】
以下、本実施形態の動作について説明する。ここでは、サブネットワーク４５内のクライアントが、サブネットワーク４５からＮＡＴ４６を介してアクセスを行う場合の動作例について説明する。
【０１１６】
サブネットワーク４５内のクライアントから送信されたパケット信号の宛先となるＩＰアドレスは、ＮＡＴ４６において別のアドレスに変換され、オープンネットワーク１に送出される。
【０１１７】
このとき、ＮＡＴ４６にて変換された後のＩＰアドレスをサブネットワーク４５内の複数のクライアントで共有している場合、アドレス処理装置１１にてターゲットネットワークを特定できない場合がある。
【０１１８】
その場合、図１１に示すように、サブネットワーク４５内のクライアントは、パケット信号のカプセル化に際し、カプセル化ヘッダ内にクライアントを特定するクライアント特定情報ＸＩＤを挿入する。
【０１１９】
アドレス処理装置１１は、図３のアドレス処理装置１１内のアドレス変換テーブルにおいて、発信アドレスの代わりに、クライアントを特定する情報として、発信アドレス＋ＸＩＤ、またはＸＩＤのみを用いれば、第１の実施形態と同様にして、ターゲットネットワークを特定し、アクセスすることができる。
【０１２０】
一方、ターゲットネットワークのＧＷは、サブネットワーク４５内のクライアントからのパケット信号を受信すると、受信したパケット信号中のＸＩＤをそのままカプセル化ヘッダのＸＩＤに挿入し、サブネットワーク４５内のクライアントまたはＧＷ４８に対して送信することになる。
【０１２１】
上記のようにＸＩＤを用いる方式は、１人のクライアントが複数の異なるターゲットネットワークに同時にアクセスする場合にも適用することができる。この場合、クライアント（オープンネットワーク１内のクライアントでも、サブネットワーク４５内のクライアントでも良い）に複数のＸＩＤを付与し、クライアントから認証サーバ１０に対してターゲットネットワークの情報も付加して認証を受け、ターゲットネットワークに対応してＸＩＤを割り付けるようにする。それにより、アドレス処理装置１１にて複数の異なるターゲットネットワークを特定することができるため、クライアントは、同時に複数のターゲットネットワークにアクセスすることができる。
【０１２２】
さらに、ＮＡＴ４６にて、サブネットワーク４５内のクライアントから送信されたパケット信号のトンネル発信アドレスを全て一律にＡＤ４６に変換する場合でも、アドレス処理装置１１にてサブネットワーク４５内の全てのトンネルセッションを特定できるようにＸＩＤを割り付けるようにすれば、複数のクライアントが同時に複数の異なるターゲットネットワークにアクセスすることができる。
【０１２３】
なお、本実施形態においては、クライアントを特定するＸＩＤ情報は予め固定的にクライアントに設定しても良く、また、認証時に認証サーバ１０によりクライアントに割り当てることにしても良い。
【０１２４】
また、同一クライアントが異なるターゲットネットワークにアクセスを行う場合、認証サーバ１０による認証は、ユーザネームとターゲットネットワーク名とを組み合わせて行うか、ターゲットネットワーク毎に異なるユーザネームを設定して行えば良い。
【０１２５】
また、ＸＩＤの長さを十分に長くすれば、アドレス処理装置１１にてＸＩＤに基づいてアドレス変換を行うことができるが、ＸＩＤの成りすましに対する耐力を改善するためには、トンネル発信アドレス＋ＸＩＤに基づいてアドレス変換を行うことが望ましい。
【０１２６】
（第９の実施形態）
本発明の第９の実施形態によるネットワークアクセスシステムについて、図１０を参照して説明する。
【０１２７】
本実施形態は、クライアントが自部門ネットワークをターゲットネットワークとしアクセスを行う際に、ＧＷ間でＩＰトンネル制御を行う場合に適用される。なお、本実施形態の構成は、図１０と同様の構成であるため、説明を省略する。
【０１２８】
以下、本実施形態の動作について説明する。ここでは、ＧＷ４８と、基幹ネットワーク１２上の部門ネットワーク２２，３２，４２のいずれかであるターゲットネットワークのＧＷとの間でＩＰトンネル制御を行う場合の動作例について説明する。
【０１２９】
まず、サブネットワーク４７内のクライアントは、自己のクライアント端末上で、プロキシ認証サーバ（図９参照）機能を有するＧＷ４８に認証のためのアクセスを行う。
【０１３０】
ＧＷ４８は、サブネットワーク４７内のクライアントのアドレスとユーザネームとの対応を記録すると共に、自己のアドレスＡＤ４８を発信アドレスとしたパケット信号を認証サーバ１０に転送することにより、このクライアントのユーザネームやパスワードを認証サーバ１０に中継する。
【０１３１】
認証サーバ１０は、サブネットワーク４７内クライアントからＧＷ４８を中継した認証要求に基づく認証が可である場合、この認証要求に対するＸＩＤと、ＧＷ４８のアドレスであるＡＤ４８およびターゲットネットワークのＧＷのアドレスとをアドレス処理装置１１内のアドレス変換テーブルに設定すると共に、ユーザネームとＸＩＤとをＧＷ４８に通知する。
【０１３２】
ＧＷ４８は、認証サーバ１０から通知されたユーザネームに対応したクライアントからの他のサブネットワーク宛のパケット信号に対しては、図１１に示すようにＸＩＤを付加してカプセル化し、オープンネットワーク１に送出する。
【０１３３】
アドレス処理装置１１は、クライアントからのパケット信号に設定されたトンネル発信アドレスＡＤ４８とＸＩＤ情報とに基づいて、トンネル宛先アドレスをターゲットネットワークのＧＷのアドレスに変換し、パケット信号をターゲットネットワークのＧＷに転送する。
【０１３４】
このようにして、基幹ネットワーク１２上のターゲットネットワークのＧＷとＧＷ４８との間でトンネル制御を実現することができるため、サブネットワーク４７内のクライアントは、そのクライアントに対応して設定されたターゲットネットワークにアクセスすることが可能となる。
【０１３５】
一方、ターゲットネットワークのＧＷは、サブネットワーク４５内のクライアントからのパケット信号を受信すると、受信したパケット信号中のＸＩＤをそのままカプセル化ヘッダのＸＩＤに挿入し、サブネットワーク４７内のクライアントまたはＧＷ４８に対して送信することになる。
【０１３６】
なお、サブネットワーク４７内のクライアントが複数のターゲットネットワークにアクセスする場合には、以下のような処理を行えば良い。
【０１３７】
認証サーバ１０は、認証時にターゲットネットワークを認識すると、ターゲットネットワークとして認識したサブネットワークのアドレスおよびアドレスマスクに対応するＸＩＤをＧＷ４８に通知する。
【０１３８】
ＧＷ４８は、サブネットワーク４７内のクライアントからのパケット信号の宛先アドレスを監視し、アドレスマスクされたアドレスが、認証サーバ１０による認証を受けた上述のサブネットワークのアドレスと一致しているか判断する。一致している場合は、アドレスマスクされたアドレスに対応するＸＩＤを、図１１に示したようにカプセル化ヘッダに挿入することで、カプセル化したパケット信号をオープンネットワーク１に送出する。
【０１３９】
このとき、ＸＩＤは、上記のように、認証サーバ１０による認証時にＧＷ４８にＸＩＤを通知することとしても良く、ＧＷ４８に予め複数のＸＩＤをプールしておくこととしても良い。この場合は、ＧＷ４８は、認証サーバ１０に対して、予めプールされている未使用のＸＩＤを添付して認証要求を行うこととし、このＸＩＤがアドレス処理装置１１内のアドレス変換テーブルに登録される。
【０１４０】
なお、本実施形態においては、サブネットワーク４５，４７のアドレスおよびターゲットネットワークのアドレスをプライベートアドレスとし、オープンネットワーク１のアドレスをグローバルアドレスとするネットワーク構成にも適用することが可能である。
【０１４１】
また、ＸＩＤの長さを十分に長くすれば、アドレス処理装置１１にてＸＩＤに基づいてアドレス変換を行うことができるが、ＸＩＤの成りすましに対する耐力を改善するためには、トンネル発信アドレス＋ＸＩＤに基づいてアドレス変換を行うことが望ましい。
【０１４２】
（第１０の実施形態）
本発明の第１０の実施形態によるネットワークアクセスシステムについて、図１２を参照して説明する。
【０１４３】
図１２を参照すると、本実施形態においては、クライアントが属する自部門ネットワークをターゲットネットワークとするのではなく、ＧＷにおけるＩＰトンネル制御を簡易にするために、クライアントが属する自部門ネットワークに対応付けされ、ネットワークアクセス専用に設定されたネットワークを、ターゲットネットワークとする構成となっている。
【０１４４】
部門ネットワーク７４に属するクライアントには、リモートアクセス用のネットワーク（ＩＰサブネットワーク）７５が対応付けられており、クライアントのターゲットネットワークは、部門ネットワーク７４ではなく、ネットワークアクセス用ネットワーク７５となる。
【０１４５】
部門ネットワーク７４は、ファイアウォール（ＦＷ）７２およびルータ７３を介して、アドレス処理装置７０が設けられている外部ネットワーク（不図示）に接続されている。
【０１４６】
ＧＷ７１は、アドレス処理装置７０から転送されてきたカプセル化されたパケット信号（カプセル化ヘッダの宛先アドレスはＧＷ７１）を受信すると、受信したパケット信号からカプセル化ヘッダを除去し、オリジナルのパケット信号に復元する。このオリジナルのパケット信号はルータ７３を介して部門ネットワーク７４に転送される。
【０１４７】
すなわち、外部ネットワーク内のクライアントは、部門ネットワーク７４とはＦＷ７２を介さずに接続されるので、ＦＷ７２を介さずに部門ネットワーク７４にアクセスできる。
【０１４８】
リモートアクセス用のネットワーク７５に属するネットワークアクセスクライアント宛のパケット信号は、部門ネットワーク７４からルータ７３を介してＧＷ７１に転送され、ＧＷ７１にてカプセル化される。カプセル化されたパケット信号は、アドレス処理装置７０に転送される。
【０１４９】
本実施形態においては、カプセル化処理をすべきパケット信号の振り分けをルータ７３が行うことで、ＧＷ７１でなすべき処理は、ネットワークにアクセスしたクライアントのパケット信号に対するカプセル化処理のみとなるので（ＩＰｓｅｃ技術を用いる場合は暗号化処理も行う）、ＧＷ７１、ＦＷ７２、ルータ７３の各々の機能構成をシンプルにすることができる。
【０１５０】
なお、本実施形態においては、ＧＷ７１、ＦＷ７２、ルータ７３の各々の機能を１つの装置に統合して実現することとしても良い。この場合でも、各々の構成要素の機能構成がシンプルであるため、各々の構成要素の機能を統合した１つの装置もシンプルにできる。
【０１５１】
なお、本発明は、クライアントの通信セッションの終了方法を特定するものではない。認証サーバは、例えば、クライアントとの間のログアウト手順により通信セッションの終了を検出した場合、その通信に係るクライアントのアドレス情報をアドレス変換テーブルから消去することとしても良い。それとは別に、直接クライアントとの間で、Ｋｅｅｐ＃Ａｌｉｖｅ用の通信を行ったり、無通信状態のタイムオーバ検出を行ったりすることにより、ログアウト手順を踏まえない通信セッションの終了、例えば、電源断やネットワークインタフェースカードの除去などによる通信セッションの終了にも対応できる。また、認証サーバは、各ネットワークのＤＨＣＰサーバと連携することにより、クライアントとの間のＫｅｅｐ−Ａｌｉｖｅ通信やＩＰｓｅｃセッションのＫｅｅｐ＃Ａｌｉｖｅ用の通信を行うことによりクライアントの通信の終了を知ることができる。
【０１５２】
【発明の効果】
本発明は以上説明したように構成されているため、以下の（１）〜（９）に記載するような効果を奏する。
（１）ターゲットとするサブネットワークに外部からアクセスするクライアントの認証を行う認証サーバと、認証サーバによる認証後に認証サーバからの指示に基づいてパケット通信に係るパケット信号のアドレス処理を行うアドレス処理回路とを設けた構成とすることにより、クライアントからのパケット信号の宛先を当該クライアントがターゲットとするサブネットワークまで伸張することができる。したがって、トンネル型通信を行う場合も、ターゲットとするサブネットワークまでＩＰトンネル（ＩＰｓｅｃトンネル、モバイルＩＰトンネルを含む）を伸張することができる。
（２）サブネットワークへのパケット信号はファイアウォールを経由しないため、ファイアウォールに穴をあけてアクセスを行うための設定が不要になる。したがって、クライアントに対応するための設定が煩雑になることを回避できるだけでなく、高いセキュリティ性を維持することができる。
（３）クライアントは、自己が位置しているサブネットワーク内での自己のアドレスやアドレス処理装置のアドレスを設定するだけで良く、また、その設定を誤っても、その影響はターゲットとするサブネットワークのゲートウェイ装置とクライアントの間に限定され、ネットワーク全体に波及しない。
（４）ターゲットとするサブネットワーク内のアドレスの取得方法として、例えば、ＤＨＣＰ方式を採用する構成とすることにより、クライアント毎の設定は不要となり、設定が簡便で設定誤りをすくなくすることができる。
（５）クライアントとターゲットとするサブネットワークのゲートウェイ装置との間のトンネルは、認証サーバにより認証された時しか提供されないので、高いセキュリティを実現することができる。
（６）サブネットワークの一部が複数の認証サーバに接続されると共に、プロキシ認証サーバを設けた構成とすることにより、例えば、キャリアネットワーク内の企業向け仮想ネットワークへのアクセスと仮想ネットワークから企業内ネットワークへのアクセスとを一度のログインで実現できる。
（７）クライアントの発信アドレスだけでなく、通信セッションを識別する識別情報を付加しこの付加情報を用いて、クライアントがターゲットネットとするサブネットワークの特定およびアドレス変換を行う構成とすることにより、複数のクライアントが同時に複数の異なるターゲットネットワークにアクセスすることができる。また、クライアントは、途中にＮＡＴがあっても、ターゲットとするサブネットワークまでＩＰトンネルを伸張することができる。
（８）サブネットワークがクライアントとして位置付けられるゲートウェイ装置を設けた構成とすることにより、クライアントがゲートウェイの配下にある場合にも、ターゲットネットワークにアクセスすることができ、クライアント毎に複数のターゲットネットワークにアクセスすることもできる。
（９）通信セッションは認証サーバにおいて管理されるので、ユーザ管理やアクセス管理が可能となる。
【図面の簡単な説明】
【図１】本発明の第１から第３の実施形態によるネットワークアクセスシステムの構成を示す図である。
【図２】本発明の第１の実施形態に係る通信手順を説明する図である。
【図３】図１に示したアドレス処理装置内のアドレス変換テーブルを示す図である。
【図４】本発明の第１の実施形態に係るカプセル化したパケット信号のアドレス変換処理を説明する図である。
【図５】本発明の第３の実施形態に係るカプセル化したパケット信号のアドレス変換処理を説明する図である。
【図６】本発明の第４の実施形態によるネットワークアクセスシステムの構成を示す図である。
【図７】本発明の第５の実施形態によるネットワークアクセスシステムの構成を示す図である。
【図８】本発明の第６の実施形態によるネットワークアクセスシステムの構成を示す図である。
【図９】本発明の第７の実施形態によるネットワークアクセスシステムの構成を示す図である。
【図１０】本発明の第８および第９の実施形態によるネットワークアクセスシステムの構成を示す図である。
【図１１】本発明の第８の実施形態に係るカプセル化したパケット信号の内容を説明する図である。
【図１２】本発明の第１０の実施形態によるネットワークアクセスシステムの構成を示す図である。
【図１３】本従来例のネットワークアクセスシステムの構成を示す図である。
【図１４】本従来例に係るカプセル化したパケット信号のアドレス変換処理を説明する図である。
【符号の説明】
１    オープンネットワーク
２，３，４，１５    クライアント
５，１５，３５，４５    ＤＨＣＰサーバ
６    アクセスネットワーク
７    アクセスゲート
８    プロキシ認証サーバ
９，１２    基幹ネットワーク
１０，１１０，１２０，１３０    認証サーバ
１１，１２，１３，１１２，１２２，１３２    アドレス処理装置
２０    サーバ
２１，３１，４１，４８，６１，７１，８０，１１３，１２３，１２５，１３３，１３５    ゲートウェイ（ＧＷ）
２２，３２，４２，５２，６２，１２４，１２６，１３４，１３６    部門ネットワーク
４６    ＮＡＴ
５１    ホームエージェント（ＨＡ）
７２    ファイアウォール（ＦＷ）
７３    ルータ
７５    リモートアクセス用ネットワーク
１１１，１２１，１３１    企業ネットワーク
【図１】
2004328029.tif 000003
【図２】
2004328029.tif 000004
【図３】
2004328029.tif 000005
【図４】
2004328029.tif 000006
【図５】
2004328029.tif 000007
【図６】
2004328029.tif 000008
【図７】
2004328029.tif 000009
【図８】
2004328029.tif 000010
【図９】
2004328029.tif 000011
【図１０】
2004328029.tif 000012
【図１１】
2004328029.tif 000013
【図１２】
2004328029.tif 000014
【図１３】
2004328029.tif 000015
【図１４】
2004328029.tif 000016