(57)【要約】【課題】クライアント装置とサーバ装置が、ネットワークを介して連携してサービスを提供するコンピュータネットワークシステムにおいて、不正アクセスを防止するためのネットワークセキュリティ方法および装置を提供する。【解決手段】クライアント装置とサーバ装置が、ネットワークを介して連携してサービスを提供するコンピュータネットワークシステムにおいて、サーバ装置が認知した特定のクライアント装置に対してサーバ装置へアクセスできるポートを通知し、該ポート以外のポートへはクライアント装置からアクセスできないようにして、第三者による不正アクセスを防止する。【選択図】　　　図１
2004032523.tif 000002
【特許請求の範囲】
【請求項１】
クライアント装置とサーバ装置とがネットワークを介して通信するように構成され、該クライアント装置が具備するサービス要求手段と該サーバ装置が具備するサービス提供手段とを連携させることにより、該クライアント装置が要求するサービスを実現するコンピュータネットワークシステムにおいて、
該サービス提供手段に割り当てられる公開された第一のポートとは異なる第二のポートをサーバ装置に設け、特定のクライアント装置は該サーバ装置の第二のポートを送信先としてパケットを送信し、該サーバ装置は第二のポートからのパケットを受信し、第一のポートからのパケット受信を拒絶する
ことを特徴とするネットワークセキュリティ方法。
【請求項２】
クライアント装置とネットワークを介して接続し、該クライアント装置が具備するサービス要求手段と連携して動作するサービス提供手段を具備するサーバ装置において、
該サービス提供手段に割り当てられる公開された第一のポートとは異なる第二のポートからのパケットを受信する手段と、第一のポートからのパケット受信を拒絶する手段を備える
ことを特徴とするサーバ装置。
【請求項３】
前記クライアント装置から送信されてくるパケットの中から、前記サービス提供手段に割り当てられる公開された第一のポートの識別情報を抽出する手段と、その抽出したポートの識別情報に対応するサービス提供手段を複数のサービス提供手段の中から特定する手段と、その特定したサービス提供手段へ該クライアント装置から受信したパケットを配信する手段を備える
ことを特徴とする請求項２に記載のサーバ装置。
【請求項４】
前記サービス提供手段から前記クライアント装置に引き渡すパケットについては、該サービス提供手段に割り当てられる公開された第一のポートを経由して該クライアント装置へ送信する手段を備える
ことを特徴とする請求項２に記載のサーバ装置。
【請求項５】
サーバ装置とネットワークを介して接続し、該サーバ装置が具備するサービス提供手段と連携して動作するサービス要求手段を具備するクライアント装置において、
該サーバ装置のサービス提供手段に割り当てられる公開された第一のポートとは異なる第二のポートを送信先としてパケットを送信する手段を備える
ことを特徴とするクライアント装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ネットワークセキュリティ方法、サーバ装置およびクライアント装置に係り、特に、クライアント装置とサーバ装置をネットワークを介して接続し、サーバ装置のサービス提供手段となるアプリケーションをクライアント装置のサービス要求手段となるアプリケーションと連携して実行し、各種サービスを実現するコンピュータネットワークシステムのネットワークセキュリティ方法、サーバ装置およびクライアント装置に関する。
【０００２】
ここで、クライアント装置とサーバ装置の間の通信に使用する、既知の技術であるＴＣＰ／ＩＰの仕様については、ＩＥＴＦが公開している文書であるＲＦＣに掲載されている。
クライアント装置からの要求によりサーバ装置のアプリケーションを実行するためには、サーバ装置の各アプリケーションに割り当てられているポートの識別情報（以降ポートＩＤと記述する）を、予めクライアント装置に公開しておくことが必要である。
【０００３】
ここで、ポートとは、コンピュータ上で動作するアプリケーションに対して固定的に割り当てられるソフトウェア上のインターフェースのことで、その識別子であるポートＩＤを指定することにより、アプリケーションを特定して通信できるようになる。
インターネットで広く利用されている特定のアプリケーションについては、周知のポート（Ｗｅｌｌ−ｋｎｏｗｎ　ｐｏｒｔ）として、ＩＥＴＦが公開している文書の一つであるＲＦＣ１７００に指定されている。例えば、ＨＴＴＰアプリケーションは”８０”、ＦＴＰアプリケーションは”２１”、ＴＥＬＮＥＴアプリケーションは”２３”、がそれぞれポートＩＤとして割り当てられている。
【０００４】
【従来の技術】
図２２は、従来技術のコンピュータネットワークシステムの動作概要である。図２２において、サーバ装置１０には、サービス提供手段としてアプリケーションＡ、Ｂ、Ｃが実装され、公開されたポートＩＤとして、それぞれ”２１”、”２３”、”８０”が割り当てられている。
【０００５】
クライアント装置３０、４０、５０には、それぞれ、サービス要求手段としてアプリケーションａ、ｂ、ｃが実装されている。
クライアント装置とサーバ装置はネットワーク２０を介して接続され、ＴＣＰ／ＩＰを用いて通信するケースを表しており、各クライアント装置およびサーバ装置に実装されているＴＣＰ処理部は、ＴＣＰ／ＩＰを利用した通信の処理を行う。
【０００６】
従って、クライアント装置３０のアプリケーションａ、クライアント装置４０のアプリケーションｂ、クライアント装置５０のアプリケーションｃは、ネットワーク２０を介してそれぞれ、サーバ装置１０のアプリケーションＡ、Ｂ、ＣとＴＣＰ／ＩＰを用いて通信する。
パケットＡ、Ｂ、Ｃはクライアント装置３０、４０、５０に実装されているアプリケーションａ、ｂ、ｃからそれぞれ、サーバ装置１０のアプリケーションＡ、Ｂ、Ｃにネットワーク２０を経由して引き渡されるパケットで、枠内の数値は該パケットのヘッダ部に設定される送信先ポートＩＤを表している。
【０００７】
例えば、クライアント装置３０のアプリケーションａとサーバ装置１０のアプリケーションＡが連携してサービスを実現するため、アプリケーションａからアプリケーションＡへパケットＡを引き渡す場合は、次のような動作となる。
まず、サーバ装置１０のアプリケーションＡに予め割り当てられている公開されているポートＩＤである”２１”を送信先ポートＩＤとして、クライアント装置３０のアプリケーションａからＴＣＰ処理部３１へパケットＡを渡す。
【０００８】
次に、クライアント装置３０のＴＣＰ処理部３１は、渡されたパケットＡをＴＣＰプロトコルに準拠したＴＣＰセグメント形式のパケットに変換し、”２１”を送信先ポートＩＤとしてサーバ装置１０へ送信する。
サーバ装置１０のＴＣＰ処理部１１は、受信したパケットＡを、そのパケットの送信先ポートＩＤである”２１”に対応するアプリケーションＡへ、形式変換した後引き渡す。
【０００９】
以上の手順で、パケットＡがクライアント装置３０のアプリケーションａからサーバ装置１０のアプリケーションＡに引き渡される。
逆に、サーバ装置１０のアプリケーションＡからクライアント装置３０のアプリケーションａへパケットを引き渡す場合も同様で、図２２にはパケットを明記していないが、サーバ装置１０のアプリケーションＡからクライアント装置３０のアプリケーションａに割り当てられているポートＩＤを送信先ポートＩＤとして、該パケットをサーバ装置１０のＴＣＰ処理部１１へ渡すことにより、ＴＣＰセグメント形式に変換された後にネットワーク２０を経由してクライアント装置３０に送信され、クライアント装置３０のＴＣＰ処理部３１により元の形式に復元した後、クライアント装置３０のアプリケーションａに引き渡される。
【００１０】
【発明が解決しようとする課題】
図２２に示す従来技術のコンピュータネットワークシステムでのクライアント装置とサーバ装置のデータの受け渡し方法では、サーバ装置のアプリケーションに対応するポートＩＤが公開されており、第三者がこの公開されているポートをターゲットに容易に不正アクセスすることが可能であり、外部からの不正アクセスに対してはファイアウオールなどの別な手段で防御を図っている場合が多い。
【００１１】
しかしながら、ファイアウオールなどの手段では、ファイアウオール内のネットワークからの不正アクセスの防御は難しいという課題がある。例えば、ＩＰアドレス偽造による「なりすまし」が行われると、サーバ装置の公開されているポートに対して不正進入される危険がある。
本発明は、サーバ装置への不正アクセスを防止する方法および装置を提供することを目的とする。
【００１２】
【課題を解決するための手段】
本発明では、クライアント装置とサーバ装置がネットワークを介して通信するように構成され、該クライアント装置が具備するサービス要求手段と該サーバ装置が具備するサービス提供手段とを連携させることにより、該クライアント装置が要求するサービスを実現するコンピュータネットワークシステムにおいて、サービス提供手段に割り当てられる公開された第一のポートとは異なる第二のポートを該サーバ装置に設け、特定のクライアント装置は該サーバ装置の第二のポートを送信先としてパケットを送信し、該サーバ装置は第二のポートからのパケットを受信し、第一のポートからのパケット受信を拒絶する、ように構成している。
【００１３】
本発明によれば、クライアント装置からはサーバ装置のサービス提供手段に割り当てられている公開されている第一のポートにアクセスすることができず、特定のクライアント装置にのみアクセス可能な公開されていない第二のポートが通知され、該サーバ装置にアクセスすることができる。したがって、サーバ装置が認知しないクライアント装置は、アクセス可能な第二のポートを認知することができず、該サーバ装置への不正アクセスを防御でき、サーバ装置のセキュリティが強化される。
さらに、前記特定のクライアント装置に通知する公開されていない第二のポートの識別情報を、必要に応じて該サーバ装置で変更することにより、第三者が第二のポートの識別情報を推定するのが難しくなり、不正アクセスをより困難にすることができる。
【００１４】
また、本発明では、前記クライアント装置から前記サーバ装置のサービス提供手段へ引き渡すパケットは、該サービス提供手段に割り当てられる公開された第一のポートの識別情報を含み、該サーバ装置は第一のポートの識別情報に対応するサービス提供手段を複数のサービス提供手段の中から特定し、その特定したサービス提供手段に該パケットを配信する、ように構成してもよい。
【００１５】
この場合は、該クライアント装置のサービス要求手段から、該サーバ装置に実装されているサービス提供手段に予め割り当てられている第一のポートを宛先としてパケットを送信要求すると、該サーバ装置のアクセス許可された第二のポートに送信された後、第二のポートから本来の宛先となるサービス提供手段に引き渡されるもので、クライアント装置のサービス要求手段は、従来通りサーバ装置のサービス提供手段に割り当てられている公開された第一のポートを宛先と見なして、パケットの送信要求を行うことができ、既存のサービス要求手段およびサービス提供手段には何ら影響を与えずに、該サーバ装置のセキュリティを強化できる。
【００１６】
さらに本発明では、前記サーバ装置のサービス提供手段から前記クライアント装置へ引き渡すパケットについては、該サーバ装置の該サービス提供手段に割り当てられる公開された第一のポートを経由して該クライアント装置に送信する、ように構成することもできる。
この場合は、該サーバ装置のサービス提供手段から該クライアント装置へ送信するパケットについては、従来から該サービス提供手段に割り当てられている公開された第一のポートを使用するため、該サーバ装置からのパケット送信処理の特定ポートへの集中を防止でき、パケット転送の効率低下を緩和することができる。
【００１７】
【発明の実施の形態】
以降、図面を併用して本発明の実施の形態を説明する。
本発明の実施の形態では、クライアント装置とサーバ装置が、ネットワークを介してＴＣＰ／ＩＰを用いて通信するものとする。
まず、本発明で用いるＴＣＰ／ＩＰの概要を説明する。
【００１８】
図２はＴＣＰ／ＩＰのレイヤアーキテクチャで、本発明で使用する通信プロトコルの階層関係を示したものである。
アプリケーション層は、トランスポート層の機能を利用して、アプリケーション間の通信を実現するもので、本発明においてはサーバ装置およびクライアント装置のアプリケーションが対応する。
【００１９】
トランスポート層は、ネットワーク層の機能を利用して、同一、あるいは異なるコンピュータに存在するプロセス間の通信を実現するもので、ＴＣＰ／ＩＰを使用する場合は、その中のＴＣＰが対応する。
ネットワーク層は、データリンク層の機能を利用して、同一、あるいは異なる通信媒体に接続されたネットワークインターフェース間での通信を実現するもので、ＴＣＰ／ＩＰを使用する場合は、その中のＩＰが対応する。
【００２０】
データリンク層は、主に隣接ノード間の通信を実現するもので、代表的なものとしてイーサネットなどがある。
本発明は、図２のＴＣＰ／ＩＰのレイヤアーキテクチャの中のトランスポート層で実現するもので、上位層であるアプリケーション層には影響を与えない。つまり、従来技術で構成されるクライアント装置およびサーバ装置のアプリケーションは、本発明の実現にあたって何ら影響を受けない。
【００２１】
図３はＴＣＰ／ＩＰの基本データ構成で、図２のＴＣＰ／ＩＰのレイヤアーキテクチャと対応づけると、アプリケーションはアプリケーション層に、ＴＣＰセグメントはトランスポート層に、ＩＰデータグラムはネットワーク層に、ＭＡＣフレームはデータリンク層に、それぞれ対応する。
本発明の中心となる後述するポート制御の処理は、主にＴＣＰセグメントのヘッダ部（ＴＣＰヘッダ）を利用して実現する。
【００２２】
図４は、ＩＰデータグラムの構成で、本発明においては、クライアント装置からサーバ装置に送信されるデータに関して、そのＩＰヘッダ内の送信元ＩＰアドレス、つまり、クライアント装置のＩＰアドレスを、クライアント装置の識別のために利用している。
また、ＩＰデータグラムのデータ部は、ＴＣＰセグメントに対応している。
【００２３】
図４の各項目の説明については、ＩＥＴＦが公開しているＲＦＣに詳細が掲載されているため、ここでは割愛する。
図５は、ＴＣＰセグメントの構成である。
本発明においては、クライアント装置のアプリケーションからサーバ装置のアプリケーションにデータを引き渡す際に、該データをＴＣＰセグメントに変換して送信するが、その際、クライアント装置アプリケーションから引き渡された宛先となる公開された送信先ポートＩＤを該ＴＣＰヘッダ内の一時退避領域に格納し、該ＴＣＰヘッダの送信先ポートＩＤ領域には、サーバ装置に設けられる公開されないポートＩＤを設定してサーバ装置へ送信している。この一時格納領域としては、例えばＴＣＰヘッダのオプション領域を使用することができる。
【００２４】
図５の各項目の説明については、ＩＥＴＦが公開しているＲＦＣに詳細が掲載されているため、ここでは割愛する。
以上のＴＣＰ／ＩＰの概要をもとに、図１の本発明によるコンピュータネットワークシステムの動作概要を説明する。
図１において、サーバ装置１０には、サービス提供手段としてアプリケーションＡ、Ｂ、Ｃが実装され、それぞれ、公開されたポートＩＤとして”２１”、”２３”、”８０”が割り当てられている。
【００２５】
クライアント装置３０、４０、５０には、サービス要求手段として、それぞれアプリケーションａ、ｂ、ｃが実装されている。
クライアント装置３０のアプリケーションａ、クライアント装置４０のアプリケーションｂ、クライアント装置５０のアプリケーションｃがそれぞれ、ネットワーク２０を介してサーバ装置１０のアプリケーションＡ、Ｂ、ＣとＴＣＰ／ＩＰを用いて通信しているケースを表している。
【００２６】
パケットＡ、Ｂ、Ｃはクライアント装置３０、４０、５０からそれぞれ、サーバ装置のアプリケーションＡ、Ｂ、Ｃにネットワーク２０を経由して送信されるパケットで、枠内の数値はそのヘッダ内に設定される送信先のポートＩＤを表し、括弧内の数値はＴＣＰヘッダ内の一時対比領域に格納されたポートＩＤを示している。
【００２７】
サーバ装置１０のポートＩＤが”３３”のポートは、特定のクライアント装置からサーバ装置へ送信されてくるパケットの受け口となる公開されていないポートである。
ここで、特定のクライアント装置とは、サーバ装置１０のＩＰアドレス記憶部６８にそのＩＰアドレスが登録されているクライアント装置のことで、図１では、ＩＰアドレスが”１９２．１６８．１．２”のクライアント装置３０、ＩＰアドレスが”１９２．１６８．１．３”のクライアント装置４０が該当する。
【００２８】
他の公開されているポート（ポートＩＤが”２１”、”２３”、”８０”のポート）は、クライアント装置からのパケット受信は受け付けず、サーバ装置からクライアント装置への送信のみを行う。
クライアント装置３０のアプリケーションａとサーバ装置のアプリケーションＡが連携してサービスを実現する場合のパケットの受け渡し方法について説明する。
【００２９】
まず、クライアント装置のアプリケーションａからサーバ装置のアプリケーションＡへパケットを受け渡す場合は、次のように行う。
クライアント装置のアプリケーションａからＴＣＰ処理部３１に、アプリケーションＡに割り当てられている公開されたポートＩＤである”２１”を送信先ポートＩＤとしてパケットを渡すと、該ＴＣＰ処理部は該パケットをＴＣＰセグメント形式のパケット（以降、「ＴＣＰセグメント」、または、「パケット（ＴＣＰセグメント）」と記述する）に変換した後、ポート制御部３２に渡す。
【００３０】
ポート制御部３２では、アプリケーションａから渡された最終の引き渡し先となるアプリケーションＡに対応する公開ポートのポートＩＤ”２１”を該ＴＣＰセグメントのヘッダ部内に一時退避して格納し、サーバ装置１０のデータの受け口となる公開されてないポートのポートＩＤ”３３”を該ＴＣＰセグメントのヘッダの送信先ポートＩＤ領域に設定した後、該ＴＣＰセグメントをネットワーク２０経由でサーバ装置１０へ送信する。
【００３１】
サーバ装置１０では、受信したパケット（ＴＣＰセグメント）をポートＩＤ”３３”の公開されてないポートで受け付けた後、ポート制御部１２に渡す。
ポート制御部１２では、サーバ装置１０に実装されている複数のアプリケーションの中から、該パケット（ＴＣＰセグメント）内のヘッダ部に一時退避されている最終的な送信先となるポートＩＤ”２１”に対応するアプリケーションＡを特定し、該パケット（ＴＣＰセグメント）をＴＣＰ処理部１１で変換した後アプリケーションＡに引き渡す。　パケットＡを引き渡されたアプリケーションＡはそれを基に処理を実行する。
【００３２】
次に、アプリケーションＡの処理結果等のパケットをクライアント装置３０のアプリケーションａに引き渡す場合は、図１には明示してないが、サーバ装置１０のＴＣＰ処理部１１で該パケットをＴＣＰセグメントに変換した後、アプリケーションＡに割り付けられている公開されたポートＩＤ”２１”のポート経由で、クライアント装置３０へ送信する。
【００３３】
該パケット（ＴＣＰセグメント）を受信したクライアント装置３０は、ＴＣＰ処理部３１でそれを変換した後、アプリケーションａに引き渡す。
以上が、サーバ装置に登録されている特定のクライアント装置と該サーバ装置との間のデータ受け渡し動作の概要である。
次に、サーバ装置１０に登録されていないクライアント装置５０がサーバ装置１０にアクセスしようとした場合は、クライアント装置５０からネットワーク２０経由でサーバ装置１０に送信されるパケットＣ（ＴＣＰセグメント）の送信先ポートＩＤは、最終的なデータ引き渡し先となるアプリケーションＣに対応する公開されたポートＩＤ”８０”のままであるため、サーバ装置１０は該ＴＣＰセグメントの受信を拒絶する。
【００３４】
以上の動作概要を動作シーケンスとして表したものが、図６および図７の本発明の動作シーケンス（１）、（２）である。
図６、図７の動作シーケンスを、クライアント装置とサーバ装置間の伝送シーケンスとＴＣＰ処理部およびポート制御部の動作を中心に説明する。
まず、シーケンスＳ１では、クライアント装置３０の初期起動時に、ポート制御部３２から、クライアント装置からのアクセスを受け付ける公開されないポートＩＤを要求するためのＴＣＰセグメント（ポートＩＤ要求）をサーバ装置１０へ送信する。このとき、ＴＣＰセグメントの識別方法としては、そのヘッダ部で識別できるようする、あるいは、送信先ポートＩＤをサーバ装置が認識できる特別な値にしておく、などの方法があるが、この実現方法は本発明の本質とは関係しないため、いずれの方法でもかまわない。
【００３５】
サーバ装置１０は、ポートＩＤを要求したクライアント装置３０のＩＰアドレスがＩＰアドレス記憶部６８に登録されている場合は、シーケンスＳ２によりサーバ装置１０からクライアント装置３０へポートＩＤ”３３”が通知され、クライアント装置３０は該ポートＩＤ”３３”を記憶する。
次に、クライアント装置３０のアプリケーションａからサーバ装置のアプリケーションＡへのコネクション確立要求が発行された場合は、ＴＣＰコネクションの確立を行うためのシーケンスＳ３を、クライアント装置３０とサーバ装置１０の間で実行し、コネクションが完了するとアプリケーションａへはシーケンスＡ２により、また、アプリケーションＡへはシーケンスＢ２により、それぞれその旨通知する。
【００３６】
このとき、サーバ装置１０は、シーケンスＢ１により、あらかじめコネクション確立待ちを発行しておく必要がある。
その後、アプリケーションａからアプリケーションＡ宛ての送信パケットがクライアント装置３０のＴＣＰ処理部３１に引き渡されたならば、シーケンスＳ４で、該パケットをＴＣＰセグメントに分解して変換後、ポート制御部３２経由でサーバ装置１０へ送信する。
【００３７】
このとき、ポート制御部３２は、ＴＣＰセグメントのヘッダ部の送信先ポートＩＤ領域に、前記シーケンスＳ２でサーバ装置１０からクライアント装置３０に通知された公開されないポートＩＤ”３３”を設定し、最終的なデータの引き渡し先となるアプリケーションＡに対応する公開されたポートＩＤ”２１”は、ヘッダ内の一時退避領域に格納して送信する。
【００３８】
シーケンスＳ４に対して、サーバ装置１０は、該パケット（ＴＣＰセグメント）のヘッダ内に退避されているポートＩＤを取り出して、引き渡し先となるアプリケーションを特定した後（この場合はアプリケーションＡとなる）、シーケンスＳ５により、サーバ装置１０からクライアント装置３０に確認応答を送信する。
【００３９】
上記のシーケンスＳ４およびシーケンスＳ５を、アプリケーションａからのパケットに含まれるデータをすべてサーバ装置に送信し終えるまで繰り返した後、サーバ装置１０は、受信したパケット（ＴＣＰセグメント）を必要に応じて結合して変換した後、前記特定したアプリケーションＡへシーケンスＢ３により引き渡す。
【００４０】
次に、サーバ装置１０のアプリケーションＡからクライアント装置３０のアプリケーションａへパケットを引き渡す場合は、シーケンスＢ４によりアプリケーションＡからのパケット送信要求が出されたときに、ＴＣＰ処理部１１でアプリケーションＡから渡されたパケットをパケット（ＴＣＰセグメント）に分解し、シーケンスＳ６によりＴＣＰセグメント単位でサーバ装置１０からクライアント装置３０へ送信し、クライアント装置３０のＴＣＰ処理部３１は受信したＴＣＰセグメントに対して、シーケンスＳ７により確認応答（ＡＣＫ）を返送する。
【００４１】
クライアント装置３０のＴＣＰ処理部３１は、アプリケーションＡから渡されたパケットに含まれる全データの送信が完了するまで、上記シーケンスＳ６、Ｓ７を繰り返し、完了したならば、受信したＴＣＰセグメントを結合してパケットに変換した後、アプリケーションａに引き渡す。
ここで、シーケンスＳ６で送信されるＴＣＰセグメントの送信先ポートＩＤはクライアント装置のアプリケーションａに対応するポートＩＤであり、アプリケーションＡから引き渡されたポートＩＤのままである。
【００４２】
また、シーケンスＳ７の確認応答の送信先ポートＩＤは、サーバ装置１０のクライアント装置からのデータ受付口となる公開されないポートＩＤ”３３”となる。
アプリケーションａの処理が終了して、コネクション解放要求が出された時は、シーケンスＳ８によりクライアント装置３０からコネクション解放要求をサーバ装置１０へ送信し、サーバ装置１０では、シーケンスＢ５により、アプリケーションＡにコネクション解放を通知すると同時に、シーケンスＳ９の確認応答をクライアント装置３０へ返送する。
【００４３】
さらにサーバ装置１０は、アプリケーションＡからのコネクション解放要求の発行を待ち、アプリケーションＡからシーケンスＢ６のコネクション解放要求が出されならば、クライアント装置３０に対してシーケンスＳ１０のコネクション解放要求を送信し、それに対してクライアント装置３０からシーケンスＳ１１の確認応答を受信したら、アプリケーションＡへシーケンスＢ７のコネクション解放完了を通知する。このとき、クライアント装置３０でも同時に、シーケンスＡ６のコネクション解放完了をアプリケーションａに通知する。
【００４４】
以上のシーケンスＳ８、Ｓ９、Ｓ１０、Ｓ１１により、コネクションの解放が完了する。
図１および図６、図７の説明において、クライアント装置３０のアプリケーションａとサーバ装置１０のアプリケーションＡが連携してサービスを実現する場合について述べたが、サーバ装置１０の他のアプリケーションとクライアント装置３０以外の他のクライアント装置に実装されるアプリケーションが連携する場合についても同様である。
【００４５】
また、サーバ装置の公開されない受信用のポートのポートＩＤを”３３”として記述しているが、他の公開されないポートＩＤとしても同様である。
公開されたポートＩＤについても”２１”、”２３”、”８０”の３ポートを例示したが、他の公開されたポートＩＤでも同様であり、ポート数も３個に限定するものではない。
【００４６】
以上の動作概要の説明の通り、サーバ装置でパケットを受信できるポートのポートＩＤは、クライアント装置の初期設定時に、予めサーバ装置に登録されたＩＰアドレスを持つクライアント装置へのみ通知され、アクセス許可ポートＩＤを獲得したクライアント装置は、以降は、そのアクセス許可ポート経由でサーバ装置のアプリケーションへパケット（ＴＣＰセグメント）を引き渡すことができるようになる。
【００４７】
従って、図１のコンピュータネットワークシステムにおいては、サーバ装置に登録されていないクライアント装置は、公開されたポートにしかアクセスできないが、そのポートではサーバは受信を拒絶するため、サーバ装置にアクセスすることが困難となる。
サーバ装置にアクセスするためには、前記のパケット受信を受け付ける公開されないポートＩＤを推定するしか方法がないが、サーバ装置に、該ポートのポートＩＤの設定を変更する手段を具備することにより、状況に応じて該ポートのポートＩＤを変更できるようになり、ポートＩＤの推定が難しくなり、不正アクセスをさらに困難にすることができる。
【００４８】
次に、本発明のコンピュータネットワークシステムを実現するためのシステム構成を、図８に示す。
図８において、ＴＣＰ処理部１１および３１は、従来技術によるトランスポート層のＴＣＰプロトコル制御を行い、通信処理部１３及び３３は、従来技術によるネットワーク層及びデータリンク層の通信制御を行う。
【００４９】
ここで、ポート制御部１２及び３２は、従来技術のＴＣＰ処理部１１及び３１と連携して、本発明のネットワークセキュリティ方法および装置を実現するものである。
また、サーバ装置１０のアプリケーションＡ、Ｂ、Ｃ、およびクライアント装置のアプリケーションａは、従来技術により構成される。
【００５０】
図８のシステム構成においては、クライアント装置はクライアント装置３０の一装置のみ記載しているが、複数存在する場合でもその構成は同様である。
次に、サーバ装置のポート制御部について、図９に示した本発明のサーバ装置ポート制御部の構成を用いて説明する。
ＴＣＰインターフェース部６０は、従来技術であるＴＣＰプロトコル制御を行うＴＣＰ処理部とのインターフェース変換を行うもので、該ＴＣＰ処理部から渡されるクライアント装置から受信したＴＣＰセグメントの内、該ＴＣＰセグメントが格納されているＩＰデータグラムヘッダ部内の送信元ＩＰアドレスが、サーバ装置のＩＰアドレス記憶部６８に登録されているものについて、該ＴＣＰセグメントの種別に応じて次のように処理の振り分けて実行する。
【００５１】
該ＴＣＰセグメントの種別が、コネクション確立要求の場合は、コネクション確立要求受信部６１に該ＴＣＰセグメントを引き渡し、コネクション確立要求受信部６１では、ＴＣＰの規定に従ったコネクション確立シーケンスを実行する。該ＴＣＰセグメントの種別が、ポートＩＤ要求の場合は、ポートＩＤ要求受信部６２に該ＴＣＰセグメントを引き渡し、ポートＩＤ要求受信部６２では、ポートＩＤ記憶部６７に登録されているポートＩＤを取り出し、クライアント装置へ送信する。
【００５２】
該ＴＣＰセグメントの種別が、アプリケーションパケットの場合は、アプリケーションパケット受信部６３に該ＴＣＰセグメントを引き渡し、アプリケーションパケット受信部６３では、ＴＣＰセグメント内の一時退避領域に格納されているポートＩＤを取り出し、それを該ＴＣＰセグメントの送信先ポートＩＤ領域に設定した後、ＴＣＰ処理部経由で対応するアプリケーションへ引き渡す。
【００５３】
該ＴＣＰセグメントの種別が、コネクション解放要求の場合は、コネクション解放要求受信部６４に該ＴＣＰセグメントを引き渡し、コネクション解放要求受信部６４では、コネクション解放のシーケンスの実行とアプリケーションへの通知を行う。
該ＴＣＰセグメントの種別が、確認応答の場合は、確認応答受信部６５に該ＴＣＰセグメントを引き渡し、確認応答受信部６５では、該ＴＣＰセグメントのヘッダの送信先ポートＩＤ領域に退避されているポートＩＤを設定して、ＴＣＰインターフェース部へ引き渡して、通常のＴＣＰセグメントとしての処理を行う。
【００５４】
また、ポートＩＤ設定部６６は、サーバ装置のデータ受信の受け口となる公開されないポートのＩＤを、ポートＩＤ記憶部６７に設定する手段である。
ＩＰアドレス記憶部６８は、サーバ装置へアクセスできるクライアント装置のＩＰアドレスを登録しておくもので、ＩＰアドレス設定部６９により、ＩＰアドレスが設定される。
【００５５】
ＩＰアドレスの設定方法としては、サーバの運用者の操作を介して行う方法、ＤＨＣＰ機能によるＩＰアドレス自動割り当てを利用して自動的に行う方法、などが考えられるが、この実現方法は本発明の本質とは関係しないため、いづれの方法でもかまわない。
次に、図１６に示した本発明のクライアント装置ポート制御部の構成について、説明する。
【００５６】
ＴＣＰインターフェース部７０は、アプリケーションからの要求に応じてＴＣＰ処理部から渡されるＴＣＰセグメントの種別に対応して、次のように処理を振り分けて対応する処理を実行する。
該ＴＣＰセグメントの種別がポートＩＤ要求の場合は、ポートＩＤ要求部７１に該ＴＣＰセグメントを引き渡し、ポートＩＤ要求部７１では、サーバ装置へポートＩＤ要求を送信し、その応答として、サーバ装置へのアクセスの受け口となるポートＩＤを獲得し、ポートＩＤ記憶部７５に登録する。
【００５７】
該ＴＣＰセグメントの種別がアプリケーションパケットの場合は、アプリケーションパケット送信部７２に該ＴＣＰセグメントを引き渡し、アプリケーションパケット送信部７２では該ＴＣＰセグメントをサーバ装置へ送信する。このとき、該ＴＣＰセグメントのヘッダ部の送信先ポートＩＤ領域には、ポートＩＤ記憶部７５に登録されているポートＩＤを設定し、アプリケーションから渡された最終的な引き渡し先となるサーバ装置のアプリケーションに対応する公開されたポートＩＤは、ＴＣＰセグメントのヘッダ内の一時退避領域に格納した状態で送信する。
【００５８】
該ＴＣＰセグメントの種別がコネクション確立要求の場合は、コネクション確立要求部７３に該ＴＣＰセグメントを引き渡し、コネクション確立要求部７３では、サーバ装置と連携してＴＣＰコネクション確立シーケンスを実行後、該アプリケーションにコネクション完了を通知する。
該ＴＣＰセグメントの種別がコネクション解放要求の場合は、コネクション解放要求部７４に該ＴＣＰセグメントを引き渡し、コネクション解放要求部７４では、コネクション解放シーケンスを実行後、コネクション解放完了を該アプリケーションへ通知する。
【００５９】
次に、図９のサーバ装置のポート制御部の構成に示した各処理ブロックの詳細について、図１０、図１１、図１２、図１３、図１４、図１５のフローチャートを用いて説明する。
まず、図１０のＴＣＰインターフェース部のフローチャートについて、説明する。
【００６０】
ＴＣＰ処理部１１より渡されたクライアント装置から送信されて来たＴＣＰセグメントの送信先ポートＩＤが、ポートＩＤ記憶部６７に登録されているポートＩＤと同じか否か判定し（Ｓ０１）、同じでなければ（ＮＯ）該ＴＣＰセグメントを廃棄して（Ｓ０４）処理を終了し、同じならば（ＹＥＳ）、該ＴＣＰセグメントを含むＩＰデータグラムのヘッダ部から、該ＴＣＰセグメントの送信元ＩＰアドレスを抽出し、それと同じＩＰアドレスがＩＰアドレス記憶部６８に登録されているか否か判定する。（Ｓ０２）
登録されていなければ（ＮＯ）処理を終了し、登録されていれば（ＹＥＳ）、該ＴＣＰセグメントの種類に対応して、次のいずれかの処理を実行する（Ｓ０３）。
【００６１】
「コネクション確立要求」の場合は、図１１に示すフローチャートの手順で、コネクション確立要求受信処理（Ｓ１０）を実行する。
「ポートＩＤ要求」の場合は、図１２に示すフローチャートの処理手順で、ポートＩＤ要求受信処理（Ｓ２０）を実行する。
「アプリケーションパケット」の場合は、図１３に示すフローチャートの処理順で、アプリケーションパケット受信処理（Ｓ３０）を実行する。
【００６２】
「コネクション解放要求」のときは、図１４に示すフローチャートの処理手順で、コネクション解放要求受信処理（Ｓ４０）を実行する。
「確認応答」のときは、図１５に示すフローチャートの処理手順で、確認応答受信処理（Ｓ５０）を実行する。
以上で、ＴＣＰインターフェース部の処理を終了する。
【００６３】
次に、前記のＴＣＰセグメントの種類に対応した各処理の詳細を説明する。
図１１はコネクション確立要求受信処理Ｓ１０のフローチャートを示す図である。
まず、ＴＣＰインターフェース部から渡されたＴＣＰセグメントのヘッダ部の一時退避領域から、送信先ポートＩＤを抽出し（Ｓ１１）、そのポートＩＤに対応するアプリケーションが、コネクション確立待ち状態か否か判定する（Ｓ１２）。コネクション確立待ち状態でないとき（ＮＯ）は、処理を終了し、コネクション確立待ち状態のとき（ＹＥＳ）は、確認応答（ＡＣＫ）を該クライアント装置へ送信し（Ｓ１３）、該クライアント装置からの確認応答（ＡＣＫ）受信を、一定時間待ち合わせる（Ｓ１４）。
【００６４】
一定時間内に確認応答がないときは（タイムアウト）、処理を終了し、確認応答受信時は（応答あり）、コネクション確立待ち状態にあるアプリケーションへコネクション完了を通知して（Ｓ１５）、処理を終了する。
次に、図１２はポートＩＤ要求受信処理Ｓ２０のフローチャートを示す図である。
【００６５】
ポートＩＤ記憶部６７から、設定されているポートＩＤを取り出して、ポートＩＤ通知のためのＴＣＰセグメントに格納し、該クライアント装置に送信して（Ｓ２１）、処理を終了する。
次に、図１３はアプリケーションパケット受信処理Ｓ３０のフローチャートを示す図である。
【００６６】
ＴＣＰインターフェース部より渡されたＴＣＰセグメントのヘッダ部の一時退避領域より、送信先ポートＩＤを抽出して（Ｓ３１）、それを該ＴＣＰセグメントのヘッダの送信先ポートＩＤ領域に設定し（Ｓ３２）、該ＴＣＰセグメントを、送信先ポートＩＤに対応するアプリケーションに引き渡して（Ｓ３３）、処理を終了する。
【００６７】
次に、図１４はコネクション解放要求受信処理Ｓ４０のフローチャートを示す図である。
ＴＣＰインターフェース部より渡されたＴＣＰセグメントのヘッダ部内の一時退避領域から、送信先ポートＩＤを抽出し（Ｓ４１）、該ＴＣＰセグメントに対する確認応答（ＡＣＫ）を、該クライアント装置に返送する（Ｓ４２）。そして、ステップＳ４１で抽出したポートＩＤに対応するアプリケーションへコネクション解放を通知して（Ｓ４３）、該アプリケーションからのコネクション解放要求受信を一定時間待ち合わせる（Ｓ４４）。
【００６８】
一定時間内に該アプリケーションからのコネクション解放要求がないときは（タイムアウト）処理を終了し、コネクション解放要求があったときは（応答あり）、該クライアント装置へコネクション解放要求を送信して、その確認応答を一定時間待ち合わせる（Ｓ４５）。
一定時間内に該クライアント装置からの応答がないときは（タイムアウト）、処理を終了し、確認応答があったときは（応答あり）、該アプリケーションへコネクション解放完了を通知して（Ｓ４６）、処理を終了する。
【００６９】
次に、図１５は確認応答受信処理Ｓ５０のフローチャートを示す図である。
ＴＣＰインターフェース部より渡された該ＴＣＰセグメントのヘッダ部内の一時退避領域から、送信先ポートＩＤを抽出し（Ｓ５１）、それを該ＴＣＰセグメントのヘッダの送信先ポートＩＤ領域に設定して、ＴＣＰ処理部へ引き渡して、通常のＴＣＰセグメントとして処理する（Ｓ５２）。
【００７０】
以上が、図９のサーバ装置ポート制御部の構成の各処理ブロックの詳細説明である。
次に、図１６のクライアント装置ポート制御部の構成に示した各処理ブロックの詳細について、図１７、図１８、図１９、図２０、図２１のフローチャートを用いて説明する。
【００７１】
まず、図１７はＴＣＰインターフェース部のフローチャートを示す図である。クライアント装置のアプリケーションからＴＣＰ処理部経由で渡されたＴＣＰセグメントを受け付け（Ｃ０１）、ポートＩＤ記憶部７５にポートＩＤが登録されているか否か判定する（Ｃ０２）。
ポートＩＤが登録されていなければ（ＮＯ）、渡されたＴＣＰセグメントをそのままＴＣＰ処理部へ返送して（Ｃ０４）処理を終了し、登録されていれば（ＹＥＳ）、該ＴＣＰセグメントの種類に対応して、次のいずれかの処理を実行する（Ｃ０３）。
【００７２】
「ポートＩＤ要求」の場合は、図１８に示すフローチャートの手順で、ポートＩＤ要求処理（Ｃ１０）を実行し、処理を終了する。
「アプリケーションパケット送信」の場合は、図１９に示すフローチャートの手順で、アプリケーションパケット送信処理（Ｃ２０）を実行し、処理を終了する。
【００７３】
「コネクション確立要求」の場合は、図２０に示すフローチャートの手順で、コネクション確立要求処理（Ｃ３０）を実行し、処理を終了する。
「コネクション解放要求」の場合は、図２１に示すフローチャートの手順で、コネクション解放要求処理（Ｃ４０）を実行し、処理を終了する。
以上が、ＴＣＰインターフェース部の処理である。
【００７４】
次に、前記ＴＣＰセグメントの種類に対応した処理の詳細を説明する。
図１８はポートＩＤ要求処理Ｃ１０のフローチャートを示す図である。
ポートＩＤ要求用のＴＣＰセグメントを作成してサーバ装置へ送信し（Ｃ１１）、該サーバ装置からのポートＩＤ通知のための応答ＴＣＰセグメントの受信を、一定時間待ち合わせる（Ｃ１２）。
【００７５】
一定時間内にサーバ装置から応答がないときは（タイムアウト）、処理を終了し、応答があったときは（応答あり）、受信ＴＣＰセグメントに格納されているポートＩＤを抽出し、ポートＩＤ記憶部７５に登録し（Ｃ１３）、処理を終了する。
次に、図１９はアプリケーションパケット送信処理Ｃ２０のフローチャートを示す図である。
【００７６】
ＴＣＰインターフェース部から渡されたＴＣＰセグメントの送信先ポートＩＤを、該ＴＣＰセグメントのヘッダ部内の一時退避領域に格納し（Ｃ２１）、ポートＩＤ記憶部７５に登録されているポートＩＤを取り出して、該ＴＣＰセグメントの送信先ポートＩＤ領域に設定した後（Ｃ２２）、該ＴＣＰセグメントをサーバ装置へ送信して（Ｃ３３）、処理終了する。
【００７７】
次に、図２０のコネクション確立要求処理Ｃ３０のフローチャートの処理手順を説明する。
ＴＣＰインターフェース部から渡されたＴＣＰセグメントの送信先ポートＩＤを、該ＴＣＰセグメントのヘッダ部内の一時退避領域に格納し（Ｃ３１）、ポートＩＤ記憶部７５に登録されているポートＩＤを取り出して、該ＴＣＰセグメントの送信先ポートＩＤ領域に設定した後（Ｃ３２）、該ＴＣＰセグメントをサーバ装置へ送信して（Ｃ３３）、サーバ装置からの確認応答（ＡＣＫ）を一定時間待ち合わせる（Ｃ３４）。
【００７８】
一定時間内に確認応答がないときは（タイムアウト）、アプリケーションへその旨の情報を通知して（Ｃ３７）処理を終了し、確認応答を受信したときは（応答あり）、それに対する確認応答（ＡＣＫ）をサーバ装置へ送信し（Ｃ３５）、コネクション確立要求を出したアプリケーションへコネクション確立完了を通知した後（Ｃ３６）、処理を終了する。
【００７９】
次に、図２１はコネクション解放要求処理Ｃ４０のフローチャートを示す図である。
ＴＣＰインターフェース部から渡されたＴＣＰセグメントの送信先ポートＩＤを、該ＴＣＰセグメントのヘッダ部内の一時退避領域に格納し（Ｃ４１）、ポートＩＤ記憶部７５に登録されているポートＩＤを取り出して、該ＴＣＰセグメントの送信先ポートＩＤ領域に設定した後（Ｃ４２）、該ＴＣＰセグメントをサーバ装置へ送信して（Ｃ４３）、サーバ装置からの確認応答（ＡＣＫ）を一定時間待ち合わせる（Ｃ４４）。
【００８０】
一定時間内に確認応答がないときは（タイムアウト）、アプリケーションへその旨の情報を通知して（Ｃ４７）処理終了し、確認応答を受信したときは（応答あり）、サーバ装置からのコネクション解放要求受信を一定時間待ち合わせる（Ｃ４５）。
一定時間内にサーバ装置から解放要求が送信されてこなかったときは（タイムアウト）、アプリケーションへその旨通知して（Ｃ４７）処理終了し、解放要求を受信したときは（応答あり）、それに対する確認応答（ＡＣＫ）をサーバ装置へ送信し、コネクション解放要求を出したアプリケーションへコネクション解放完了を通知して（Ｃ４６）、処理を終了する。
【００８１】
（付記１）　クライアント装置とサーバ装置とがネットワークを介して通信するように構成され、該クライアント装置が具備するサービス要求手段と該サーバ装置が具備するサービス提供手段とを連携させることにより、該クライアント装置が要求するサービスを実現するコンピュータネットワークシステムにおいて、
該サービス提供手段に割り当てられる公開された第一のポートとは異なる第二のポートをサーバ装置に設け、特定のクライアント装置は該サーバ装置の第二のポートを送信先としてパケットを送信し、該サーバ装置は第二のポートからのパケットを受信し、第一のポートからのパケット受信を拒絶する
ことを特徴とするネットワークセキュリティ方法。
【００８２】
（付記２）　前記クライアント装置から前記サーバ装置へ送信するパケットは、前記サービス提供手段に割り当てられる公開された第一のポートの識別情報を含み、該サーバ装置は第一のポートの識別情報に対応するサービス提供手段を複数のサービス提供手段の中から特定し、その特定したサービス提供手段に該パケットを配信する
ことを特徴とする付記１に記載のネットワークセキュリティ方法。
【００８３】
（付記３）　前記サーバ装置のサービス提供手段から前記クライアント装置へ引き渡すパケットについては、該サーバ装置の該サービス提供手段に割り当てられる公開された第一のポートを経由して該クライアント装置に送信する
ことを特徴とする付記１に記載のネットワークセキュリティ方法。
（付記４）　前記クライアント装置のＩＰアドレスを前記サーバ装置に登録し、該クライアント装置から該サーバ装置に要求があったときに、第二のポートの識別情報を該サーバ装置から該クライアント装置へ通知する
ことを特徴とする付記１に記載のネットワークセキュリティ方法。
【００８４】
（付記５）　クライアント装置とネットワークを介して接続し、該クライアント装置が具備するサービス要求手段と連携して動作するサービス提供手段を具備するサーバ装置において、
該サービス提供手段に割り当てられる公開された第一のポートとは異なる第二のポートからのパケットを受信する手段と、第一のポートからのパケット受信を拒絶する手段を備える
ことを特徴とするサーバ装置。
【００８５】
（付記６）　前記クライアント装置から送信されてくるパケットの中から、前記サービス提供手段に割り当てられる公開された第一のポートの識別情報を抽出する手段と、その抽出した第一のポートの識別情報に対応するサービス提供手段を複数のサービス提供手段の中から特定する手段と、その特定したサービス提供手段へ該クライアント装置から受信したパケットを配信する手段を備える
ことを特徴とする付記５に記載のサーバ装置。
【００８６】
（付記７）　前記サービス提供手段から前記クライアント装置に引き渡すパケットについては、該サービス提供手段に割り当てられる公開された第一のポートを経由して該クライアント装置に送信する
ことを特徴とする付記５に記載のサーバ装置。
（付記８）　前記特定のクライアント装置のＩＰアドレスを記憶手段に登録し、該クライアント装置から要求があったときに、第二のポートの識別情報をクライアント装置へ通知する
ことを特徴とする付記５に記載のサーバ装置。
【００８７】
（付記９）　サーバ装置とネットワークを介して接続し、該サーバ装置が具備するサービス提供手段と連携して動作するサービス要求手段を具備するクライアント装置において、
該サーバ装置のサービス提供手段に割り当てられる公開された第一のポートとは異なる第二のポートを送信先としてパケットを送信する手段を備える
ことを特徴とするクライアント装置。
【００８８】
（付記１０）　前記サーバ装置が具備するサービス提供手段に割り当てられる公開された第一のポートの識別情報を該サーバ装置へ送信するパケットに含める手段を備える
ことを特徴とする付記９に記載のクライアント装置。
（付記１１）　前記サーバ装置が具備する第二のポートの識別情報を該サーバ装置に要求して獲得する手段を備える
ことを特徴とする付記９に記載のクライアント装置。
【００８９】
【発明の効果】
以上詳述した如く、本発明によれば、複数のクライアント装置とサーバ装置のアプリケーションが、ＴＣＰ／ＩＰを用いて通信するネットワークを介して連携してサービスを実現するコンピュータネットワークシステムにおいて、サーバ装置への第三者による不正アクセスの防止が可能となり、コンピュータネットワークシステムのセキュリティの向上を図ることができる。
【図面の簡単な説明】
【図１】本発明のコンピュータネットワークシステムの動作概要
【図２】ＴＣＰ／ＩＰのレイヤアーキテクチャ
【図３】ＴＣＰ／ＩＰの基本データ構成
【図４】ＴＣＰ／ＩＰのＩＰデータグラムの構成
【図５】ＴＣＰ／ＩＰのＴＣＰセグメントの構成
【図６】本発明の動作シーケンス（１）
【図７】本発明の動作シーケンス（２）
【図８】本発明のシステム構成
【図９】本発明のサーバ装置ポート制御部の構成
【図１０】本発明のサーバ装置ポート制御部ＴＣＰインターフェース部のフローチャート
【図１１】コネクション確立要求受信処理Ｓ１０のフローチャート
【図１２】ポートＩＤ要求受信処理Ｓ２０のフローチャート
【図１３】アプリケーションパケット受信処理Ｓ３０のフローチャート
【図１４】コネクション解放要求受信処理Ｓ４０のフローチャート
【図１５】確認応答処理Ｓ５０のフローチャート
【図１６】本発明のクライアント装置ポート制御部の構成
【図１７】本発明のクライアント装置ポート制御部ＴＣＰインターフェース部のフローチャート
【図１８】ポートＩＤ要求処理Ｃ１０のフローチャート
【図１９】アプリケーションパケット送信処理Ｃ２０のフローチャート
【図２０】コネクション確立要求処理Ｃ３０のフローチャート
【図２１】コネクション解放要求処理Ｃ４０のフローチャート
【図２２】従来技術のコンピュータネットワークシステムの動作概要
【符号の説明】
１０　　　　サーバ装置
１１　　　　ＴＣＰ処理部（サーバ装置）
１２　　ポート制御部（サーバ装置）
１３　　通信処理部（サーバ装置）
１４　　アプリケーションＡ（サーバ装置）
１５　　アプリケーションＢ（サーバ装置）
１６　　アプリケーションＣ（サーバ装置）
２０　　ネットワーク
３０、４０、５０　　　クライアント装置
３１　　ＴＣＰ処理部（クライアント装置）
３２　　ポート制御部（クライアント装置）
３３　　通信処理部（クライアント装置）
３４　　アプリケーションａ（クライアント装置）
４４　　アプリケーションｂ（クライアント装置）
５４　　アプリケーションｃ（クライアント装置）
６０　　　　ＴＣＰインターフェース部（サーバ装置）
６１　　　　コネクション確立要求受信部（サーバ装置）
６２　　ポートＩＤ要求受信部（サーバ装置）
６３　　アプリケーションパケット受信部（サーバ装置）
６４　　コネクション解放要求受信部（サーバ装置）
６５　　確認応答受信部（サーバ装置）
６６　　ポートＩＤ設定部（サーバ装置）
６７　　ポートＩＤ記憶部（サーバ装置）
６８　　ＩＰアドレス記憶部（サーバ装置）
６９　　ＩＰアドレス設定部（サーバ装置）
７０　　ＴＣＰインターフェース部（クライアント装置）
７１　　ポートＩＤ要求部（クライアント装置）
７２　　アプリケーションパケット送信部（クライアント装置）
７３　　コネクション確立要求部（クライアント装置）
７４　　コネクション解放要求部（クライアント装置）
７５　　ポートＩＤ記憶部（クライアント装置）
【図１】
2004032523.tif 000003
【図２】
2004032523.tif 000004
【図３】
2004032523.tif 000005
【図４】
2004032523.tif 000006
【図５】
2004032523.tif 000007
【図６】
2004032523.tif 000008
【図７】
2004032523.tif 000009
【図８】
2004032523.tif 000010
【図９】
2004032523.tif 000011
【図１０】
2004032523.tif 000012
【図１１】
2004032523.tif 000013
【図１２】
2004032523.tif 000014
【図１３】
2004032523.tif 000015
【図１４】
2004032523.tif 000016
【図１５】
2004032523.tif 000017
【図１６】
2004032523.tif 000018
【図１７】
2004032523.tif 000019
【図１８】
2004032523.tif 000020
【図１９】
2004032523.tif 000021
【図２０】
2004032523.tif 000022
【図２１】
2004032523.tif 000023
【図２２】
2004032523.tif 000024