(57)【要約】【課題】ファイアウォールで保護されたイントラネット内に構内ＩＰ電話を構築する場合、インフラネット内の全ての子機が暗号化の仕組みの機能追加を必要とし、相互接続性等が低下する。【解決手段】イントラネット１０３内に代理通信部１０５を設け、ファイアウォール１０４の外側のインターネット１０２上の子機１０１と通信を行う場合には、代理通信部１０５がイントラネット１０３内の暗号化の仕組みを持たない子機１０９や子機１１０の代わりに代理で暗号化又は非暗号化を行う。また、子機１０１はファイアウォール１０４の内側にいるか外側にいるかを判断し、外側にいる時は暗号化を行い、内側にいる時は暗号化を行わないようにする。【選択図】        図１
2004186751.tif 000002
【特許請求の範囲】
【請求項１】
ファイアウォールで保護されたイントラネット内の子機と、前記ファイアウォールの外側の子機とがインターネットを介して通信を行うシステムにおいて、前記イントラネット内に代理通信部を設け、前記代理通信部が前記イントラネット内の暗号化の仕組みを持たない子機の代理で暗号化又は非暗号化を行うことを特徴とする通信システム。
【請求項２】
前記代理通信部は、暗号化されたデータを解析してＷｅｂアクセスであるか、暗号化された構内ＩＰ電話通信であるかを判別し、判別結果に基づいてＷｅｂサーバー又はイントラネット内の子機への通信を行うことを特徴とする請求項１に記載の通信システム。
【請求項３】
前記代理通信部は、前記ファイアウォールの外側からの暗号化に非対応の子機からのアクセスである時は、暗号化無しで通信を行うことを特徴とする請求項１に記載の通信システム。
【請求項４】
前記代理通信部は、前記子機の機能及び前記ファイアウォールを越えるための音声とデータの形式を変換する機能を有する仮想子機を有し、当該仮想子機が代理で通信を行うことを特徴とする請求項１に記載の通信システム。
【請求項５】
前記代理通信部は、前記ファイアウォールの内側の子機からファイアウォールの外側の暗号化非対応端末へのアクセスである時には、暗号化なしで通信を行う、又は通信を許可しないことを特徴とする請求項１に記載の通信システム。
【請求項６】
前記イントラネット内の子機とインターネット上の子機との通信は、前記ファイアウォールのＨＴＴＰポートを通して行うことを特徴とする請求項１に記載の通信システム。
【請求項７】
暗号化の仕組みを有する子機を用い、当該子機は前記ファイアウォールの内側と外側のどちらにいるかを判断する手段を有し、その判断結果に基づいて前記ファイアウォールの外側にいる時は暗号化を行い、前記ファイアウォールの内側にいる時には暗号化機能を停止することを特徴とする請求項１に記載の通信システム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、インターネットを用いて通信を行う通信システムに関し、特に、イントラネット内部に構内ＩＰ電話システムを構築する場合の技術に関するものである。
【０００２】
【従来の技術】
従来、イントラネットとインターネットの間に強固なＦｉｒｅｗａｌｌ（ファイアウォール）を構築することは、例えば、社内情報ネットワーク上等で一般的に普及している。そのようなファイアウォールで保護されたイントラネットの内部に構内ＩＰ電話を構築する場合には、通信の相互接続性を確保するため、或いは通信帯域を削減するため、極力暗号化は行わずに、通常のＲＴＰ接続を用いて音声通信を行うことが望ましい。
【０００３】
ところで、従来の通信システムとしては、例えば、特開２００１−２３７８８８や特開平１１−２８４７２６号公報に記載されたシステムがある。特開２００１−２３７８８８には、音声データに対して秘匿処理を施すことが記載されている（特許文献１参照）。また、特開平１１−２８４７２６号公報には、発呼者が電子メール等の送信者と電話で話すことを望む場合、発呼者のコンピュータ上の相手方の情報を使用して自動的に音声接続を行うシステムが記載されている（特許文献２参照）。
【０００４】
【特許文献１】
特開２００１−２３７８８８（段落０１６１〜０１６４）
【特許文献２】
特開平１１−２８４７２６号公報（段落００１７〜００２０）
【０００５】
【発明が解決しようとする課題】
前述のようにイントラネット内部に構内ＩＰ電話を構築する場合、暗号化を行わずに通常のＲＴＰ接続を用いて音声通信やデータ通信を行うと、ファイアウォールの外側に移動した子機との通信は暗号化が行われない為、子機からの音声と数値データがインターネット上の第三者に盗み取られてしまう可能性がある。そこで、単純な暗号化を行うとすると、イントラネット内の全ての子機で暗号化を扱うための機能追加を行う必要があるため、相互接続性が低下し、通信帯域が増加してしまう。また、もしも子機側の改造が不可等の理由で暗号化に対応できない場合には、通信が行えなくなる問題があった。
【０００６】
また、上記特開２００１−２３７８８８や特開平１１−２８４７２６号公報には、音声データ等の通信を行うシステムが開示されているが、いずれのシステムも前述のような課題を解決するものではなかった。
【０００７】
本発明は、上記従来の問題点に鑑みなされたもので、その目的は、イントラネット内の子機が暗号化の仕組みを持たなくても、確実に通信を保護することが可能な通信システムを提供することにある。
【０００８】
【発明を解決するための手段】
本発明は、上記目的を達成するため、ファイアウォールで保護されたイントラネット内の子機と、前記ファイアウォールの外側の子機とがインターネットを介して通信を行うシステムにおいて、前記イントラネット内に代理通信部を設け、前記代理通信部が前記イントラネット内の暗号化の仕組みを持たない子機の代理で暗号化又は非暗号化を行うことを特徴とする。
【０００９】
【発明の実施の形態】
次に、本発明の実施の形態について図面を参照して詳細に説明する。図１は本発明の一実施形態を示すブロック図である。図１において、１０１は子機、１０２はインターネット、１０３はイントラネット、１０４はイントラネット１０３を保護するファイアウォール（Ｆｉｒｅｗａｌｌ）である。イントラネット１０３内には、イントラネット１０３上に常駐し、代理で暗号化／非暗号化を行う代理通信部１０５が設けられている。子機１０１はインターネット１０２上の子機であり、暗号化の仕組みを有するものとする。
【００１０】
また、１０９、１１０はイントラネット１０３内の子機、１１１はイントラネット１０３内のＷｅｂサーバーである。子機１０９、１１０は暗号化の仕組みを持たないものとする。１１２はインターネット１０２上の暗号化に対応していない非対応端末である。
【００１１】
代理通信部１０５はＨＴＴＰ通信制御部１０６、暗号制御部１０７、仮想子機１０８を含んでいる。代理通信部１０５内の暗号制御部１０７はファイアウォール１０４で保護されていないインターネット１０２上の子機１０１への通信を暗号化し、その内容の保護を行う。即ち、暗号化の仕組みを持たない子機１０９や子機１１０の代わりに暗号化を行う。また、ファイアウォール１０４の外側の暗号化の仕組みを有する子機１０１からの通信に対し、代理通信部の暗号制御部１０７が代理で非暗号化を行い、ファイアウォール１０４の内側の子機１０９や子機１１０と通信を行う。
【００１２】
この際、代理通信部１０５は通信を開始する場合のネゴシエーション時において、互いに通信相手の情報に基づいて暗号化に対応する端末であるか、どの種類の暗号であるか等を判断する。従って、この判断結果に基づいて、ファイアウォール１０４の外側の子機１０１から内側の子機１０９や子機１１０へのアクセス時には、非暗号化を行い、逆に、子機１０９や子機１１０から子機１０１へのアクセス時には、暗号化を行う。
【００１３】
また、ファイアウォール１０４内の子機１０９や子機１１０からファイアウォール１０４の外側の子機１０１へのアクセス時には、子機１０１は暗号化対応端末であるので暗号化を行い、子機１０９や子機１１０から非対応端末１１２へのアクセス時には、暗号化しないで通信を行う。また、この際、通信を許可しないようにしてもよい。
【００１４】
本実施形態では、このように代理通信部１０５が代理で暗号化／非暗号化を行うことによって、ファイアウォール１０４の内側にいる子機１０９や子機１１０が暗号化・非暗号化を行う必要がないため、暗号の仕組みを持たない子機とも共存できるように構成されている。そのため、接続性の高い構内ＩＰ電話システムを構築することが可能である。
【００１５】
また、代理通信部１０５には仮想子機１０８が設けられている。この仮想子機１０８は、ファイアウォール１０４の内側の子機１０９や子機１１０の機能、及びファイアウォール１０４を越えるための音声とデータの形式を変換する機能（例えば、ＨＴＴＰパケット形式に読み替える機能）を持っている。従って、子機１０１と、子機１０９や子機１１０とが通信を行う場合、子機１０９や子機１１０から見ると、実際には子機１０１と通信しているが、仮想子機１０８が見えており、子機１０１から見ると仮想子機１０８が見えており、仮想子機１０８が代理で通信を行う。
【００１６】
このように仮想子機１０８が代理で通信を行うことにより、ファイアウォール１０４によって保護されているイントラネット１０３にある全ての子機１０９や子機１１０は、特別な仕組みを要することなく、ＲＴＰといった暗号化されていない標準的なデータ形式で通信を行うことが出来る。このデータ通信を図１の子機１０１との秘匿通信で示す。そのため、一般的な構内ＩＰ電話機との接続性を保証している。
【００１７】
また、イントラネット１０３内の子機１０９や子機１１０が暗号化の仕組みを持つことが出来なくても、仮想子機１０８と暗号制御部１０７を通してファイアウォール１０４の外にある子機１０１と秘匿通信を行うことが出来る。また、代理通信部１０５内における暗号制御部１０７は暗号化されたデータを解析する機能を有し、これがＷｅｂアクセスであるか、暗号化された構内ＩＰ電話通信であるかを判断する。
【００１８】
ＨＴＴＰ通信制御部１０６は、その判断結果に基づいてＷｅｂアクセスである時はＷｅｂサーバー１１１へ、暗号化された構内ＩＰ電話通信である時には、通信相手の子機１０９或いは子機１１０への通信を行うように制御する。本実施形態では、Ｗｅｂアクセスであるか、構内ＩＰ電話通信であるかを判断し、ファイアウォール１０４のＨＴＴＰ経由（ファイアウォール１０４の１つのポート）のアクセスを管理できるため、ファイアウォール１０４の安全性を確かめることが出来る。
【００１９】
一方、ファイアウォール１０４の外側の子機１０１はネットワーク特性検出部１１３、暗号制御部１１４、ＨＴＴＰ通信制御部１１５を含んでいる。ネットワーク特性検出部１１３は通常のＲＴＰ通信が行えるかどうかを判断する等の方法でネットワークの接続環境を判断し、現在、子機１０１がファイアウォール１０４の内側にいるのか、外側にいるのかを判別する。
【００２０】
この判別結果に基づいて暗号制御部１１４の動作が切り換えられ、子機１０１がファイアウォール１０４の外側にいる場合には、暗号化を行い、子機１０１が内側にいる場合には、暗号化を行わないように制御を行う。このように子機１０１のファイアウォール１０４の内側、外側の位置に応じて暗号化／非暗号化を切り換えることにより、子機１０１のファイアウォール１０４の内側、外側によらず他装置との接続性を向上することが出来る。特に、子機１０１がファイアウォール１０４の外側にいる場合には、ユーザーはそれを意識することなく、自動的に秘匿通信に切り換えることが可能である。
【００２１】
また、非対応端末１１２のように子機がこの仕組みを持たない場合でも、暗号制御部１０７はＲＴＰパケットの内容を解析する機能を有しており、前述のように通信を開始する場合のネゴシエーション時に暗号化に非対応の端末１１２からのアクセスであることを確認すると、仮想子機１０８が暗号化無しで代理通信を行うため、暗号化に対応していない端末１１２においても接続性を確保することが出来る。
【００２２】
ここで、ネットワーク管理者はこの代理通信部１０５を、例えば、自宅や会社のイントラネット１０３に予め配置しておくことにより、子機１０１を持ってさえいれば、ファイアウォール１０４の内外に拘わらず、秘匿通信を行うことが出来る。更に、ファイアウォール１０４の内側に存在する装置は、個別に暗号化するための機構を用意することなく、ファイアウォール１０４の外側の子機１０１と秘匿通信を行うことが出来る。
【００２３】
次に、本実施形態の動作を図２に示すフローチャートを参照して説明する。なお、ファイアウォール１０４の外側からの秘匿通信時の動作を説明する。図２において、まず、子機１０１において音声・数値データを取得し（ステップ２０１）、ネットワーク特性検出部１１３が前述のように通常のＲＴＰ通信を行えるかどうかを判断する等の方法でネットワークの接続環境を判断し、子機１０１がファイアウォール１０４の内側にいるのか、外側にいるのかを判断する（ステップ２０２）。この時は、子機１０１はファイアウォール１０４の外側にいると判断したものとする。
【００２４】
次いで、子機１０１内における暗号制御部１１４が暗号化を行い（ステップ２０３）、そのパケットをＨＴＴＰ通信制御部１１５がＨＴＴＰパケット化して（ステップ２０４）、インターネット１０２に送出する（ステップ２０５）。このＨＴＴＰパケットはファイアウォール１０４のＨＴＴＰポートを経由して、代理通信部１０５のＨＴＴＰ通信制御部１０６で取得され（ステップ２０６）、前述のようにネゴシエーション時において暗号化制御部１０７ではそのＨＴＴＰパケットが暗号化された音声・数値データかどうかを判断し、ＨＴＴＰ通信制御部１０６ではその判断結果に基づいてその他のＷｅｂアクセスと区別、分離を行う（ステップ２０７）。
【００２５】
この時は、暗号化されたＨＴＴＰパケットであるので、代理通信部１０５のＨＴＴＰ通信制御部１０６が非ＨＴＴＰパケット化し、更に、暗号制御部１０７が非暗号化を行う（ステップ２０８）。非暗号化された音声・数値データは仮想子機１０８により代理で送信され（ステップ２０９）、子機１０９或いは子機１１０により再生される（ステップ２１０）。
【００２６】
また、ファイアウォール１０４の内側の子機１０９や子機１１０からファイアウォール１０４の外側の子機１０１と通信を行う場合には、ネゴシエーション時において通信相手の子機１０１は暗号化に対応の子機であると判断し、代理通信部１０５の仮想子機１０８が代理で通信を行い、暗号制御部１０７が音声・数値データの暗号化を行う。
【００２７】
また、ＨＴＴＰ通信制御部１０６がＨＴＴＰパケット化を行い、このＨＴＴＰパケットはファイアウォール１０４のＨＴＴＰボートを経由してインターネット１０２上に送出され、子機１０１で受け取られる。子機１０１のＨＴＴＰ通信制御部１１５では非ＨＴＴＰパケット化を行い、暗号制御部１１４では非暗号化を行う。
【００２８】
更に、ファイアウォール１０４の内側の子機１０９や１１０からファイアウォール１０４の外側の非対応端末１１２への通信を行う場合には、代理通信部１０５はネゴシエーション時において通信相手は暗号化に非対応であると判断し、この時は暗号化しないで通信を行う。また、前述のように通信を許可しないようにすることも可能である。
【００２９】
【発明の効果】
以上説明したように本発明は、次の効果がある。
【００３０】
（１）代理通信部が代理で暗号化／非暗号化を行うことにより、イントラネット内における全ての子機の暗号化の対応が不要となり、暗号の仕組みを持たない子機でも、暗号化されたファイアウォール外の子機とそのまま秘匿通信を行うことが出来る。
【００３１】
（２）管理の及ばないインターネットの途中経路では接続性を保証できないＶＰＮ等の暗号化ツールと比べて、ファイアウォールのＨＴＴＰポートを通すこの方法は高い接続性を実現することが出来る。
【００３２】
（３）パケットの内容を解析することで、通常のＷｅｂアクセスと構内ＩＰ電話通信とを区別することが出来るので、ファイアウォールのＨＴＴＰポートを通過するパケットを監視することが可能となり、安全性が向上する。
【００３３】
（４）ネットワーク特性検出部が子機の位置がファイアウォールの内側が外側を判断し、それに基づいて暗号化／非暗号化を切り換えることにより、ファイアウォールの外側では秘匿通信が行え、内側にいる場合には接続性を確保することができる。
【００３４】
（５）ファイアウォールの外側の暗号化に非対応の端末からも接続を保証することが出来る。
【図面の簡単な説明】
【図１】本発明の一実施形態を示すブロック図である。
【図２】図１の実施形態の動作を示すフローチャートである。
【符号の説明】
１０１  子機
１０２  インターネット
１０３  イントラネット
１０４  ファイアウォール
１０５  代理通信部
１０６  ＨＴＴＰ制御部
１０７  暗号制御部
１０８  仮想子機
１０９、１１０  子機
１１１  Ｗｅｂサーバー
１１２  非対応端末
１１３  ネットワーク特性検出部
１１４  暗号制御部
１１５  ＨＴＴＰ制御部
【図１】
2004186751.tif 000003
【図２】
2004186751.tif 000004