(57)【要約】【課題】両者ともグローバルＩＰを持たない装置間でインターネットを経由したアクセスを実現させる。【解決手段】インターネット３０と通信可能なプロキシサーバ装置１３ａと、アクセス要求からローカルサーバ装置２３のローカルＩＰを得られる中継サーバ装置２４とをクライアント装置１２・ローカルサーバ装置２３間に介在させる。【選択図】　図１
2004112134.tif 000002
【特許請求の範囲】
【請求項１】
第１ＬＡＮ上に配置され、当該第１ＬＡＮ上のクライアント装置から受けたアクセス要求をインターネットを経由して第２ＬＡＮに転送する第１サーバ装置と、
前記第２ＬＡＮ上に配置され、前記第１サーバ装置から受けた転送内容に応じて当該第２ＬＡＮ内の対象装置との間の接続を確立する第２サーバ装置と、
を備えたサーバシステムであって、
前記第１サーバ装置は、
予め前記第２サーバ装置のグローバルＩＰと、前記第２サーバ装置に向けて転送するための経路情報とが記憶されたルーティングテーブルと、
前記クライアント装置からアクセス要求を受けると、前記ルーティングテーブルを参照して当該アクセス要求を前記第２サーバ装置に転送する手段とを備え、
前記第２サーバ装置は、
前記第１サーバ装置から転送されたアクセス要求に基づいて、アドレス解決を依頼又は実行する手段と、
前記アドレス解決の結果、得られた前記対象装置のローカルＩＰに基づいて、当該対象装置との間の接続を確立する手段と、
を備えたことを特徴とするサーバシステム。
【請求項２】
第１ＬＡＮ上にてクライアント装置から受けた要求を第１サーバ装置がインターネットを経由して第２ＬＡＮ上の第２サーバ装置に転送し、前記第２サーバ装置がこの転送内容に応じて前記第２ＬＡＮ内の対象装置との通信を可能とするためのサーバシステムに関し、前記第１サーバ装置のプログラムであって、
前記第１サーバ装置のコンピュータを、
予め前記第２サーバ装置のグローバルＩＰと、前記第２サーバ装置に向けて転送するための経路情報とが記憶されるルーティングテーブルを設定する手段、
前記クライアント装置からアクセス要求を受けると、前記ルーティングテーブルを参照して当該アクセス要求を前記第２サーバ装置に転送する手段、
として機能させるためのプログラム。
【請求項３】
請求項２に記載のプログラムにおいて、
前記第１サーバ装置のコンピュータを、
前記ルーティングテーブルを参照すると、前記第２サーバ装置との間で相互認証を実行し、前記相互認証の結果が正当なとき、前記転送を実行する手段、
として機能させるためのプログラム。
【請求項４】
第１ＬＡＮ上にてクライアント装置から受けた要求を第１サーバ装置がインターネットを経由して第２ＬＡＮ上の第２サーバ装置に転送し、前記第２サーバ装置がこの転送内容に応じて前記第２ＬＡＮ内の対象装置との通信を可能とするためのサーバシステムに関し、前記第２サーバ装置のプログラムであって、
前記第２サーバ装置のコンピュータを、
前記第１サーバ装置から転送されたアクセス要求に基づいて、アドレス解決を依頼又は実行する手段、
前記アドレス解決の結果、得られた前記対象装置のローカルＩＰに基づいて、当該対象装置との接続を確立する手段、
として機能させるためのプログラム。
【請求項５】
請求項４に記載のプログラムにおいて、
前記第２サーバ装置のコンピュータを、
前記第１サーバ装置との間で相互認証を実行し、前記相互認証の結果が正当なとき、前記転送されるアクセス要求を受け付ける手段、
として機能させるためのプログラム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、インターネットを用いたエクストラネット構築技術に関連するサーバシステム及びプログラムに関する。
【０００２】
【従来の技術】
一般に、インターネットの普及により、種々のユーザがグローバルＩＰ（インターネット上のアドレス）をもつ自己のクライアント装置を用い、インターネット上のグローバルＩＰをもつ相手サーバ装置にアクセスしている。
【０００３】
一方、ユーザのクライアント装置がグローバルＩＰを持たない場合、グローバルＩＰを持つプロキシ（代理）サーバ装置を介在させることにより、インターネット上の相手サーバ装置にアクセス可能となっている。
【０００４】
図６は係るアクセスを説明するためのネットワーク構成の模式図である。このネットワーク構成においては、ユーザ側のＬＡＮ（Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）１０がファイアウォール１１を介してインターネット３０に接続されている。同様に、相手側のＬＡＮ２０もファイアウォール２１を介してインターネット３０に接続されている。
【０００５】
ここで、ユーザ側のＬＡＮ１０では、ＬＡＮ１０内のアドレス情報であるローカルＩＰをもつクライアント装置１２、インターネット上のグローバルＩＰをもつプロキシサーバ装置１３、及びアドレス解決用のＤＮＳ（Ｄｏｍａｉｎ　Ｎａｍｅ　Ｓｙｓｔｅｍ）サーバ装置１４がファイアウォール１１よりも内側に接続されている。具体的には、グローバルＩＰのＬＡＮ１０にはプロキシサーバ装置１３が接続され、プロキシサーバ装置１３よりも内側のローカルＩＰのＬＡＮ４０にはクライアント装置１２及びＤＮＳサーバ装置１４が接続されている。
【０００６】
一方、相手側のＬＡＮ２０では、グローバルＩＰをもつグローバルサーバ装置２２、及びローカルＩＰをもつローカルサーバ装置２３がファイアウォール２１よりも内側に接続されている。具体的には、グローバルＩＰのＬＡＮ２０にはグローバルサーバ装置２２が接続され、グローバルサーバ装置２２よりも内側のローカルＩＰのＬＡＮ５０にはローカルサーバ装置２２が接続されている。
【０００７】
この種のネットワーク構成としては、例えば、別々の会社間あるいは別々の会社・官庁間にて互いの企業内ＬＡＮ（イントラネット）をインターネットを介して接続したエクストラネットが考えられる。
【０００８】
このようなネットワーク構成において、ユーザ側のクライアント装置１２が相手側のグローバルサーバ装置２２にアクセスする場合を図７を用いて説明する。
【０００９】
ユーザ側のクライアント装置１２は、ユーザの操作により、自己のローカルＩＰ及び相手側のグローバルサーバ装置２２のドメイン名を指定し、アクセス要求をプロキシサーバ装置１３に送信する（ＳＴ１）。
プロキシサーバ装置１３は、このアクセス要求にて指定されたドメイン名に基づき、アドレス解決をＤＮＳサーバ装置１４に依頼し（ＳＴ２）、このドメイン名に対応するグローバルＩＰをＤＮＳサーバ装置１４から取得する。
【００１０】
続いて、プロキシサーバ装置１３は、このグローバルＩＰにより、インターネット３０を経由して相手側のグローバルサーバ装置２２にアクセスする（ＳＴ３）。以下、プロキシサーバ装置１３は、相手側のグローバルサーバ装置２２からの返信を受けると、この返信内容をクライアント装置１２に転送する。
【００１１】
このように、クライアント装置１２自体がグローバルＩＰを持たない場合であっても、グローバルＩＰを持つプロキシサーバ装置１３を介在させることにより、インターネット３０上のグローバルサーバ装置２２へのアクセスが可能となっている。
【００１２】
また若干、関連する技術としては、インターネットアドレス情報に基づいて、予め記憶した対応情報からセキュリティ種を決定するセキュリティ通信方法がある（例えば、特許文献１参照）。
【００１３】
【特許文献１】
特願２００１−２９８４４９号
【００１４】
【発明が解決しようとする課題】
しかしながら以上のようなプロキシサーバ装置１３では、グローバルＩＰを持つグローバルサーバ装置２２にはアクセス可能であるものの、グローバルＩＰを持たないローカルサーバ装置２３にはアクセス不可能となっている。
【００１５】
本発明は上記実情を考慮してなされたもので、両者ともグローバルＩＰを持たない装置間でインターネットを経由したアクセスを実現し得るサーバシステム及びプログラムを提供することを目的とする。
【００１６】
【課題を解決するための手段】
第１の発明は、第１ＬＡＮ上に配置され、当該第１ＬＡＮ上のクライアント装置から受けたアクセス要求をインターネットを経由して第２ＬＡＮに転送する第１サーバ装置と、前記第２ＬＡＮ上に配置され、前記第１サーバ装置から受けた転送内容に応じて当該第２ＬＡＮ内の対象装置との間の接続を確立する第２サーバ装置と、を備えたサーバシステムであって、前記第１サーバ装置としては、予め前記第２サーバ装置のグローバルＩＰと、前記第２サーバ装置に向けて転送するための経路情報とが記憶されたルーティングテーブルと、前記クライアント装置からアクセス要求を受けると、前記ルーティングテーブルを参照して当該アクセス要求を前記第２サーバ装置に転送する手段とを備え、前記第２サーバ装置としては、前記第１サーバ装置から転送されたアクセス要求に基づいて、アドレス解決を依頼又は実行する手段と、前記アドレス解決の結果、得られた前記対象装置のローカルＩＰに基づいて、当該対象装置との間の接続を確立する手段と、を備えたサーバシステムである。
【００１７】
このように、インターネットと通信可能な第１サーバ装置と、アクセス要求から対象装置のローカルＩＰを得られる第２サーバ装置とをクライアント装置・対象装置間に介在させたことにより、両者ともグローバルＩＰを持たないクライアント装置・対象装置同士であっても、両装置間でインターネットを経由したアクセスを実現させることができる。
【００１８】
なお、第１の発明は、それぞれ「システム」として表現した場合を示すが、これに限らず、適宜、システム全体又は各装置毎に「装置」、「方法」、「記憶媒体」又は「プログラム」として表現しても良いことは言うまでもない。
【００１９】
【発明の実施の形態】
以下、本発明の一実施形態について図面を参照しながら説明する。
図１は本発明の一実施形態に係るサーバシステムが適用されたネットワーク構成を示す模式図であり、図６及び図７と同一部分には同一符号を付してその詳しい説明を省略し、ここでは異なる部分について主に述べる。
【００２０】
すなわち、本実施形態は、グローバルＩＰを持たない装置間でインターネットを経由したアクセスの実現を図るものであり、具体的には、ユーザ側のＬＡＮ１０には、前述したプロキシサーバ装置１３を改良したプロキシサーバ装置１３ａをルーティングテーブル１３ｂとそれを用いた転送機能を有するものとし、相手側のＬＡＮ２０には中継サーバ装置２４及びアドレス解決サーバ装置２５を付加したものである。なお、ここで、アドレス解決サーバ装置２５を除く、プロキシサーバ装置１３ａと中継サーバ装置２４との組からなるサーバシステムをルーティング型プロキシサーバシステムと呼んでもよい。
【００２１】
また、プロキシサーバ装置１３ａ、中継サーバ装置２４及びアドレス解決サーバ装置２５は、ハードウェア構成及び／又はソフトウェア構成により実現可能であるが、ソフトウェア構成により実現される場合、それぞれ後述する機能を実現するためのプログラムが予め記憶媒体又はネットワークからインストールされて実現されている。
【００２２】
ここで、プロキシサーバ装置１３ａは、前述したグローバルＩＰへのアクセス機能とは別に、ローカルＩＰをもつローカルサーバ装置２３へのアクセス機能を有し、具体的には、予め登録されたルーティングテーブル１３ｂを参照可能に保持しており、クライアント装置１２から相手側のＬＡＮ２０のグローバルＩＰ（アドレス）と、任意の処理要求からなるアクセス要求とを受けたとき、ルーティングテーブル１３ｂを参照してアクセス要求を中継サーバ装置２４に向けて転送する機能と、この転送の際に、中継サーバ装置２４との間で相互認証を行なう機能及び暗号化通信を行なう機能を備えている。
【００２３】
ルーティングテーブル１３ｂは、一般的なルーティングテーブルと同様のものであり、相手側のＬＡＮ２０のグローバルＩＰと、インターネット３０上の通信経路に関する対応関係とが記憶されたものである。
【００２４】
中継サーバ装置２４は、ＬＡＮ２０のグローバルＩＰを有しており、ユーザ側のプロキシサーバ装置１３ａからアクセス要求を受けたとき、アドレス解決サーバ装置２５にアドレス解決を依頼してアクセス要求に対応するローカルＩＰを取得する機能と、このローカルＩＰを送信先アドレスとしてローカルサーバ装置２３とのコネクションを確立し、アクセス要求を送信する中継機能とをもっている。
【００２５】
なお、中継サーバ装置２４は、自ネットワーク環境によりアドレス解決を行なえばよく、例えばアドレス解決サーバ装置２５が無い場合、予め自装置２４に設けられたアドレス解決機能によってアドレス解決を行なえばよい。また、アドレス解決機能は、必須ではなく、例えばユーザ側が常にローカルＩＰを指定する場合には、省略してもよい。
【００２６】
アドレス解決サーバ装置２５は、中継サーバ装置２４からアクセス要求に基づくアドレス解決を依頼されたとき、所定の要求／アドレス変換テーブル２５ａを参照し、このアクセス要求に対応するローカルＩＰを中継サーバ装置２４に返信するアドレス解決機能をもっている。なお、要求／アドレス変換テーブル２５ａは、予めアクセス要求の内容と、この内容に対応するローカルサーバ装置２３のローカルＩＰと、が互いに関連付けられて記憶されたものである。
【００２７】
次に、以上のように構成されたサーバシステムが適用されたネットワーク間のアクセス動作について図２及び図３を参照しながら説明する。
クライアント装置１２は、ユーザの操作により、図４に示すように、相手側のＬＡＮ２０のグローバルＩＰを指定してアクセス要求（例、設計図の要求）をプロキシサーバ装置１３ａに送信する（ＳＴ１１）。
【００２８】
プロキシサーバ装置１３ａは、このアクセス要求を受けると、ルーティングテーブル１３ｂを参照し、インターネット３０上の図示しないルータ等を経由させて中継サーバ装置２４に接続要求を送信し（ＳＴ１２）、この中継サーバ装置２４との間でＰＫＩ（Ｐｕｂｌｉｃ　Ｋｅｙ　Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ：　公開鍵基盤）での相互認証を行ない（ＳＴ１３）、認証結果が正当なとき、暗号化通信により、アクセス要求を中継サーバ装置２４に転送する（ＳＴ１４）。
【００２９】
中継サーバ装置２４は、このアクセス要求を受けると、アクセス要求に対応するアドレス解決をアドレス解決サーバ装置２５に依頼する（ＳＴ１５）。
【００３０】
アドレス解決サーバ装置２５は、要求／アドレス変換テーブル２５ａを参照し、このアドレス解決にて依頼されたアクセス要求に対応するローカルＩＰを中継サーバ装置２４に返信する（ＳＴ１６）。
【００３１】
中継サーバ装置２４は、返信されたローカルＩＰを送信先アドレスとしてローカルサーバ装置２３とのコネクションを確立し、アクセス要求を送信する（ＳＴ１７）。
【００３２】
ローカルサーバ装置２３は、このアクセス要求を受けると、適宜、アクセス権限等を認証し、アクセスを受け付ける。これにより、ローカルサーバ装置２３と、クライアント装置１２との間が中継サーバ装置２４、ファイアウォール２１、インターネット３０、ファイアウォール１１、プロキシサーバ装置１３ａを経由するＶＰＮ（Ｖｉｒｔｕａｌ　Ｐｒｉｖａｔｅ　Ｎｅｔｗｏｒｋ：仮想私設網）により接続される。なお、ＶＰＮを実現するには、例えばＰＰＴＰ（Ｐｏｉｎｔ−ｔｏ−Ｐｏｉｎｔ　Ｔｕｎｎｅｌｉｎｇ　Ｐｒｏｔｏｃｏｌ）、Ｌ２ＴＰ（Ｌａｙｅｒ　２　Ｆｏｒｗａｒｄｉｎｇ　Ｐｒｏｔｏｃｏｌ）又はＩＰｓｅｃ（ＩＰ　ｓｅｃｕｒｉｔｙ　Ｐｒｏｔｏｃｏｌ）といったプロトコルを用いればよい。
【００３３】
以下、ローカルサーバ装置２３は、要求内容に応じて処理を実行し、例えば図５に示す如き、実行結果をＶＰＮを介してクライアント装置１２に返信する（ＳＴ１８）。以後、クライアント装置１２とローカルサーバ装置２３との相互間で適宜、通信が実行され（ＳＴ１９）、通信の完了後、両装置１２，２３間のＶＰＮが解消される。
【００３４】
上述したように本実施形態によれば、インターネット３０と通信可能なプロキシサーバ装置１３ａと、アドレス解決サーバ装置２５を用い、アクセス要求からローカルサーバ装置２３のローカルＩＰを得られる中継サーバ装置２４とをクライアント装置１２・ローカルサーバ装置２３間に介在させたことにより、両者ともグローバルＩＰを持たない装置１２，２３同士であっても、両装置１２，２３間でインターネット３０を経由したアクセスを実現させることができる。
【００３５】
また、ローカルサーバ装置２３はインターネット３０から直接アクセスできないため、インターネット３０からの不正アクセスを防止することができる。
これに伴い、インターネット３０から直接アクセス不可能なローカルサーバ装置２３と、インターネット３０から直接アクセス可能な（従来技術で述べた）グローバルサーバ装置２２との両サーバ装置２３，２２との間で、互いにセキュリティポリシーを分離できるので、各サーバ装置２３，２２のアドレス形態に応じてセキュリティポリシーを適切に設定することができる。
【００３６】
なお、上記各実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。
【００３７】
また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。
【００３８】
また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が本実施形態を実現するための各処理の一部を実行しても良い。
【００３９】
さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。
【００４０】
また、記憶媒体は１つに限らず、複数の媒体から本実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。
【００４１】
尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、本実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。
【００４２】
また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
【００４３】
なお、本願発明は、上記各実施形態に限定されるものでなく、実施段階ではその要旨を逸脱しない範囲で種々に変形することが可能である。また、各実施形態は可能な限り適宜組み合わせて実施してもよく、その場合、組み合わされた効果が得られる。さらに、上記各実施形態には種々の段階の発明が含まれており、開示される複数の構成要件における適宜な組み合わせにより種々の発明が抽出され得る。例えば実施形態に示される全構成要件から幾つかの構成要件が省略されることで発明が抽出された場合には、その抽出された発明を実施する場合には省略部分が周知慣用技術で適宜補われるものである。
【００４４】
その他、本発明はその要旨を逸脱しない範囲で種々変形して実施できる。
【００４５】
【発明の効果】
以上説明したように本発明によれば、両者ともグローバルＩＰを持たない装置間でインターネットを経由したアクセスを実現できる。
【図面の簡単な説明】
【図１】本発明の一実施形態に係るサーバシステムが適用されたネットワーク構成を示す模式図
【図２】同実施形態における動作を説明するためのシーケンス図
【図３】同実施形態における動作を説明するための模式図
【図４】同実施形態における動作を説明するための通信内容の模式図
【図５】同実施形態における動作を説明するための通信内容の模式図
【図６】従来のアクセスを説明するためのネットワーク構成を示す模式図
【図７】従来の動作を説明するための模式図
【符号の説明】
１０，２０…ＬＡＮ
１１，２１…ファイアウォール
１２…クライアント装置
１３ａ…プロキシサーバ装置
１３ｂ…ルーティングテーブル
２３…ローカルサーバ
２４…中継サーバ装置
２５…アドレス解決サーバ装置
２５ａ…要求／アドレス変換テーブル
３０…インターネット
【図１】
2004112134.tif 000003
【図２】
2004112134.tif 000004
【図３】
2004112134.tif 000005
【図４】
2004112134.tif 000006
【図５】
2004112134.tif 000007
【図６】
2004112134.tif 000008
【図７】
2004112134.tif 000009