(57)【要約】【課題】別途アプリケーションを構築必要をせず、ＩＰｖ４、ＩＰｖ６のどちらの環境であっても、ユーザにとって簡単にＩＰｖ４、ＩＰｖ６の特徴を考慮した様々な通信路の設定するための方式を提供する。【解決手段】第１のネットワーク上の宅外機器１０１が第２のネットワークへの宅内機器１０７へアクセスする際に、宅内機器１０７の名前を指定してＨＧＷ１０３に対して送信することで、ＦＷ設定部１０４がＨＤＮＳサーバ１０５に問い合わせ、ＨＤＮＳサーバ１０５が宅内機器１０７の名前から、それに対応するＩＰアドレスを検索し、ＦＷ設定部１０４に対して通知し、ＦＷ設定部１０４によってＰＦ／ＮＡＴテーブル１０６へ宅外機器１０１が宅内機器１０７への通信を可能にするためのＮＡＴやパケットフィルタのルールを設定する。【選択図】図１
2005311829.tif 000002
【特許請求の範囲】
【請求項１】
第１のネットワークと第２のネットワークとがゲートウェイを介して接続されており、前記第１のネットワーク上の第１の機器から前記第２のネットワーク上の第２の機器にアクセスするための通信路設定方法であって、
前記第２の機器に対して名前と前記第２のネットワーク上のアドレスを設定するアドレス設定ステップと、
前記第２の機器に設定された名前と前記第２のネットワーク上のアドレスとを取得するアドレス取得ステップと、
前記第１の機器が、前記第２の機器の名前を用いて、前記第２の機器との間の通信路の設定を要求する通信路設定要求ステップと、
前記第２の機器が、前記第２のネットワーク上で動作しているかどうかを確認し、前記第２の機器が前記第２のネットワーク上で動作している場合に前記アドレス取得ステップで取得した前記第２のネットワーク上のアドレスを用いて前記第１の機器と、前記ゲートウェイと、前記第２の機器との間の通信路を設定する通信路設定ステップ
とで構成されることを特徴とする通信路設定方法。
【請求項２】
前記第１のネットワーク及び前記第２のネットワークは、ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）ネットワークであり、前記第１のネットワークと、前記第２のネットワークで使用されるアドレス体系は、それぞれＩＰｖ４或いは、ＩＰｖ６であることを特徴とする、請求項１記載の通信路設定方法。
【請求項３】
前記アドレス取得ステップにおいて、前記第２の機器がＩＰｓｅｃに対応しているかどうかを示す情報を更に取得することを特徴とする請求項２記載の通信路設定方法。
【請求項４】
前記第１のネットワーク及び前記第２のネットワークのアドレス体系は、両方ともＩＰｖ４であるか、或いは前記第１のネットワーク及び第２のネットワークアドレス体系は異なっており、
前記通信路設定ステップにおいて、前記第１の機器は前記ゲートウェイの第１のネットワーク上のＩＰアドレスを指定して通信路設定要求を送信し、
前記通信路設定ステップにおいて、前記第１の機器のＩＰアドレスと、前記ゲートウェイの第１のネットワーク上のＩＰアドレスと、前記第２の機器のＩＰアドレスが含まれるアドレス変換ルールを設定することにより通信路を設定する
ことを特徴とする請求項２記載の通信路設定方法。
【請求項５】
前記アドレス変換ルールの設定において、前記第２の機器が使用するポート番号を更に設定することを特徴とする請求項４記載の通信路設定方法。
【請求項６】
前記第１のネットワーク及び前記第２のネットワークのアドレス体系は、両方ともＩＰｖ６であり、
前記通信路設定ステップにおいて、通信を許可する前記第１の機器のＩＰアドレスと、前記第２の機器のＩＰアドレスとの組が含まれるパケットフィルタリングの設定を行うことにより通信路を設定する
ことを特徴とする請求項２記載の通信路設定方法。
【請求項７】
前記パケットフィルタリングの設定において、前記第２の機器が使用するポート番号を更に設定することを特徴とする請求項６記載の通信路設定方法。
【請求項８】
前記通信路設定要求ステップにおいて、前記通信路設定要求の内容は暗号化されており、
前記通信路設定ステップにおいて、前記通信路設定要求の復号を行い、正常に復号できた時に通信路の設定を行う
ことを特徴とする請求項１記載の通信路設定方法。
【請求項９】
前記通信路設定要求ステップにおいて、前記ゲートウェイに予め、前記ゲートウェイへのアクセスを許可するユーザ名とパスワードを登録しておき、
前記第１の機器は前記通信路設定要求に、ユーザ名とパスワードを加えた情報を前記ゲートウェイへ送信することを特徴とする請求項１記載の通信路設定方法。
【請求項１０】
第１のネットワークと第２のネットワークとを接続し、前記第１のネットワーク上の第１の機器から前記第２のネットワーク上の第２の機器にアクセスすることを可能にするゲートウェイ装置であって、
前記第２の機器に設定された名前とアドレスとを取得し、前記名前と前記アドレスとの関係を管理し、前記第２の機器が、前記第２のネットワーク上で動作しているかどうかを確認するＨＤＮＳサーバ手段と、
前記第１の機器と前記第２の機器との間の通信路を規定するＰＦ／ＮＡＴテーブルと、
前記第１の機器から、前記第２の機器の名前を含む通信路設定要求を受信し、前記通信路設定要求に含まれる情報と、前記ＨＤＮＳサーバ手段から取得した前記第２の機器のアドレス及び前記第２の機器が、前記第２のネットワーク上で動作しているかどうかを確認した結果を用いて、通信路の設定を前記ＰＦ／ＮＡＴテーブルに対して行うＦＷ設定手段
とを有することを特徴とするゲートウェイ装置。
【請求項１１】
前記第１のネットワーク及び前記第２のネットワークはＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）ネットワークであり、前記第１のネットワークと、前記第２のネットワークで使用されるアドレス体系は、それぞれＩＰｖ４或いはＩＰｖ６であることを特徴とする、請求項１０記載のゲートウェイ装置。
【請求項１２】
前記ＨＤＮＳサーバ手段は、前記第２の機器がＩＰｓｅｃに対応しているかどうかを示す情報を更に取得することを特徴とする請求項１１記載のゲートウェイ装置。
【請求項１３】
前記第１のネットワーク及び前記第２のネットワークのアドレス体系は、両方ともＩＰｖ４であるか、或いは前記第１のネットワーク及び第２のネットワークアドレス体系は異なっており、
前記ＦＷ設定手段は、前記第１の機器のＩＰアドレスと、自機器の第１のネットワーク上のＩＰアドレスと、前記第２の機器のＩＰアドレスが含まれるアドレス変換ルールを前記ＰＦ／ＮＡＴテーブルに設定することにより通信路を設定する
ことを特徴とする請求項１１記載のゲートウェイ装置。
【請求項１４】
前記ＦＷ設定手段は、アドレス変換ルールにおいて前記第２の機器が使用するポート番号を更に設定することを特徴とする請求項１３記載のゲートウェイ装置。
【請求項１５】
前記第１のネットワーク及び前記第２のネットワークのアドレス体系は、両方ともＩＰｖ６であり、
前記ＦＷ設定手段は、通信を許可する前記第１の機器のＩＰアドレスと、前記第２の機器のＩＰアドレスとの組が含まれるパケットフィルタリングの設定を前記ＰＦ／ＮＡＴテーブルに設定することにより通信路を設定する
ことを特徴とする請求項１１記載のゲートウェイ装置。
【請求項１６】
前記パケットフィルタリングの設定において、前記第２の機器が使用するポート番号を更に設定することを特徴とする請求項１５記載のゲートウェイ装置。
【請求項１７】
前記通信路設定要求の内容は暗号化されており、
前記ＦＷ設定手段は、前記通信路設定要求の復号を行い、正常に復号できたときに通信路の設定を行う
ことを特徴とする請求項１０記載のゲートウェイ装置。
【請求項１８】
前記ゲートウェイに予め、前記ゲートウェイへのアクセスを許可するユーザ名とパスワードを登録しておき、前記第１の機器は前記通信路設定要求に、ユーザ名とパスワードを加えた情報を前記ゲートウェイへ送信することを特徴とする請求項１０記載のゲートウェイ装置。
【請求項１９】
１つ以上の請求項１０記載の第１の機器と、
前記第１のネットワークを介して前記第１の機器と接続された１つ以上の請求項１０記載のゲートウェイ装置と、
前記第２のネットワークを介して前記ゲートウェイ装置と接続された１つ以上の請求項１０記載の第２の機器
とで構成されることを特徴とする通信システム。
【請求項２０】
２つ以上の前記ゲートウェイ装置を有する時、前記ＦＷ設定手段を有するゲートウェイ装置と、前記ＦＷ設定手段を有していないゲートウェイ装置とがあり、
前記ＦＷ設定手段は、前記ＦＷ設定手段を有していないゲートウェイ装置における請求項１０記載の処理を更に行う
ことを特徴とする請求項１９記載の通信システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ホームネットワークにおけるホームゲートウェイにおいて、ＩＰｖ４、ＩＰｖ６の特徴に応じた様々な通信路を確保することを可能にするためのパケットフィルタリング、ＮＡＴを中心とした設定を行う技術に関する。
【背景技術】
【０００２】
近年のインターネットに代表されるネットワークの普及に伴い、企業、または家庭において、内部でＬＡＮ環境を構成し、外部ネットワーク(例えばインターネット)に接続する形態をとることが多くなった。しかし、内部、外部ネットワークを接続する際、セキュリティが重要な問題となる。外部ネットワークから内部ネットワークへの不正なアクセスにより、機密情報が漏洩し、また、改竄される可能性がある。さらに、不正なアクセスは、内部ネットワーク内のネットワーク環境やコンピュータに対する攻撃を起こす場合もあり、その結果、ネットワーク環境の破壊など、多大な損害を被る可能性もある。
【０００３】
そこで、不正なアクセスを防止するための方法として、パケットフィルタリングやＮＡＴ(Ｎｅｔｗｏｒｋ  Ａｄｄｒｅｓｓ  Ｔｒａｎｓｌａｔｉｏｎ)の技術が挙げられる。これらの技術は、ファイアウォールなどに用いられ、保護したいネットワークを不正アクセスから守るための有効な方法である。通常は、これらの技術を用いて、外部ネットワークから内部ネットワークへのアクセスを原則禁止し、内部ネットワークから外部ネットワークへのアクセスのみ許可するといった設定を行っておく。その上で、外部ネットワークに接続された携帯端末やモバイルＰＣなどの宅外機器から、内部ネットワークに接続されたＰＣや、ＩＰ接続機能を持ったテレビなどの宅内機器を操作する場合など、必要に応じて、外部ネットワークから内部ネットワークへの通信路を許可する設定を行う。
【０００４】
外部ネットワークから内部ネットワークへの通信路を許可するためには、パケットフィルタリングやＮＡＴの設定を行う必要がある。設定するための一方法として、ファイアウォールに対して手動でＩＰアドレスや、利用したいサービスのポート番号などを直接設定することで、これらの設定を行うケースが考えられる。しかしこの場合、ネットワークに関する専門的な知識が必要となるため、一般ユーザ向きではない。
【０００５】
従来の技術としては、ＩＰｖ４環境において、外部ネットワークから内部ネットワークへの通信を可能にするための方法として、ＤＮＳ(Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｅｒｖｉｃｅ）サーバと連携することで、ゲートウェイに対してＮＡＴの設定を行い、通信路を許可するものがあった（例えば、特許文献１）。ＩＰｖ４環境において、外部ネットワークに接続された宅外機器が、内部ネットワークに接続された宅内機器と通信したい場合は、宅外機器が宅内機器への通信を可能にするためのＮＡＴの設定をゲートウェイに対して要求する。その際、宅外機器は、宅内機器の名前などを含めた情報をゲートウェイに対して送信すると、ゲートウェイが、宅内機器の名前を内部ネットワークに設置されたＤＮＳに送信し、ＤＮＳによってアドレス解決されることで、宅内機器のＩＰアドレスを取得する。その後、ゲートウェイは、ゲートウェイのＩＰアドレスと、宅内機器のＩＰアドレスを用いてＮＡＴの設定を行っていた。この手法を用いると、ユーザにとって、宅内機器の名前を用いるだけでＮＡＴの設定が可能であるため簡単である。
【特許文献１】特表２００３−５０４８９８号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、前記従来の構成では、設定可能な項目は、ＩＰｖ４環境におけるＮＡＴの設定のみに限定されていたため、今後更なる普及が考えられるＩＰｖ６環境では適用できなかった。さらに、ＮＡＴの設定時に１台の宅内機器に対して、１つのグローバルアドレスを割り当てるため、複数の宅外機器が複数の宅内機器にアクセスする際は、その台数分のグローバルアドレスが必要となってしまっていた。
【０００７】
本発明は、前記従来の課題を解決するもので、ＩＰｖ４環境、ＩＰｖ６環境を両方兼ね備えたデュアルスタックな環境においても、ユーザにとって簡単に、ＩＰｖ４、ＩＰｖ６の特徴を考慮した様々な通信路の設定が可能である。具体的には、ＩＰｖ４では、ＮＡＴ回避、パケットフィルタの設定、ＩＰｖ６環境では、パケットフィルタの設定、ＩＰｓｅｃの設定などを行うことが可能である。また、これらの設定を行うファイアウォール（ＦＷ）設定部は、複数のホームゲートウェイ（ＨＧＷ）の設定を行うことを可能とし、複数のＨＧＷが１つのＦＷ設定部を共有することが可能となるため、ＦＷ設定部をＨＧＷに実装する必要が無くなり、ＨＧＷ構築の際のコスト削減につながる。さらに、ＮＡＴ設定時は、ＨＧＷのグローバルアドレスと宅内機器のＩＰアドレスとの組に、宅外機器の送信元ＩＰアドレスを加えて登録するため、複数の宅外機器が複数の宅内機器と通信するための設定を行うことが可能となる。
【課題を解決するための手段】
【０００８】
前記従来の課題を解決するために、本願の請求項１に係る発明は、第１のネットワークと第２のネットワークとがゲートウェイを介して接続されており、前記第１のネットワーク上の第１の機器から前記第２のネットワーク上の第２の機器にアクセスするための通信路設定方法であって、前記第２の機器に対して名前と前記第２のネットワーク上のアドレスを設定するアドレス設定ステップと、前記第２の機器に設定された名前と前記第２のネットワーク上のアドレスとを取得するアドレス取得ステップと、前記第１の機器が、前記第２の機器の名前を用いて、前記第２の機器との間の通信路の設定を要求する通信路設定要求ステップと、前記第２の機器が、前記第２のネットワーク上で動作しているかどうかを確認し、前記第２の機器が前記第２のネットワーク上で動作している場合に前記アドレス取得ステップで取得した前記第２のネットワーク上のアドレスを用いて前記第１の機器と、前記ゲートウェイと、前記第２の機器との間の通信路を設定する通信路設定ステップとで構成されることを特徴とする。
【０００９】
また、本願の請求項２に係る発明は、請求項１記載の通信路設定方法において、前記第１のネットワーク及び前記第２のネットワークは、ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）ネットワークであり、前記第１のネットワークと、前記第２のネットワークで使用されるアドレス体系は、それぞれＩＰｖ４或いは、ＩＰｖ６であることを特徴とする。
【００１０】
また、本願の請求項３に係る発明は、請求項２記載の通信路設定方法において、前記アドレス取得ステップにおいて、前記第２の機器がＩＰｓｅｃに対応しているかどうかを示す情報を更に取得することを特徴とする。
【００１１】
また、本願の請求項４に係る発明は、請求項２記載の通信路設定方法において、前記第１のネットワーク及び前記第２のネットワークのアドレス体系は、両方ともＩＰｖ４であるか、或いは前記第１のネットワーク及び第２のネットワークアドレス体系は異なっており、前記通信路設定ステップにおいて、前記第１の機器は前記ゲートウェイの第１のネットワーク上のＩＰアドレスを指定して通信路設定要求を送信し、前記通信路設定ステップにおいて、前記第１の機器のＩＰアドレスと、前記ゲートウェイの第１のネットワーク上のＩＰアドレスと、前記第２の機器のＩＰアドレスが含まれるアドレス変換ルールを設定することにより通信路を設定することを特徴とする。
【００１２】
また、本願の請求項５に係る発明は、請求項４記載の通信路設定方法において、前記アドレス変換ルールの設定において、前記第２の機器が使用するポート番号を更に設定することを特徴とする。
【００１３】
また、本願の請求項６に係る発明は、請求項２記載の通信路設定方法において、前記第１のネットワーク及び前記第２のネットワークのアドレス体系は、両方ともＩＰｖ６であり、前記通信路設定ステップにおいて、通信を許可する前記第１の機器のＩＰアドレスと、前記第２の機器のＩＰアドレスとの組が含まれるパケットフィルタリングの設定を行うことにより通信路を設定することを特徴とする。
【００１４】
また、本願の請求項７に係る発明は、請求項６記載の通信路設定方法において、前記パケットフィルタリングの設定において、前記第２の機器が使用するポート番号を更に設定することを特徴とする。
【００１５】
また、本願の請求項８に係る発明は、請求項１記載の通信路設定方法において、前記通信路設定要求ステップにおいて、前記通信路設定要求の内容は暗号化されており、前記通信路設定ステップにおいて、前記通信路設定要求の復号を行い、正常に復号できた時に通信路の設定を行うことを特徴とする。
【００１６】
また、本願の請求項９に係る発明は、請求項１記載の通信路設定方法において、前記通信路設定要求ステップにおいて、前記ゲートウェイに予め、前記ゲートウェイへのアクセスを許可するユーザ名とパスワードを登録しておき、前記第１の機器は前記通信路設定要求に、ユーザ名とパスワードを加えた情報を前記ゲートウェイへ送信することを特徴とする。
【００１７】
また、本願の請求項１０に係る発明は、第１のネットワークと第２のネットワークとを接続し、前記第１のネットワーク上の第１の機器から前記第２のネットワーク上の第２の機器にアクセスすることを可能にするゲートウェイ装置であって、前記第２の機器に設定された名前とアドレスとを取得し、前記名前と前記アドレスとの関係を管理し、前記第２の機器が、前記第２のネットワーク上で動作しているかどうかを確認するＨＤＮＳサーバ手段と、前記第１の機器と前記第２の機器との間の通信路を規定するＰＦ／ＮＡＴテーブルと、前記第１の機器から、前記第２の機器の名前を含む通信路設定要求を受信し、前記通信路設定要求に含まれる情報と、前記ＨＤＮＳサーバ手段から取得した前記第２の機器のアドレス及び前記第２の機器が、前記第２のネットワーク上で動作しているかどうかを確認した結果を用いて、通信路の設定を前記ＰＦ／ＮＡＴテーブルに対して行うＦＷ設定手段とを有することを特徴とする。
【００１８】
また、本願の請求項１１に係る発明は、請求項１０記載のゲートウェイ装置において、前記第１のネットワーク及び前記第２のネットワークはＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）ネットワークであり、前記第１のネットワークと、前記第２のネットワークで使用されるアドレス体系は、それぞれＩＰｖ４或いはＩＰｖ６であることを特徴とする。
【００１９】
また、本願の請求項１２に係る発明は、請求項１１記載のゲートウェイ装置において、前記ＨＤＮＳサーバ手段は、前記第２の機器がＩＰｓｅｃに対応しているかどうかを示す情報を更に取得することを特徴とする。
【００２０】
また、本願の請求項１３に係る発明は、請求項１１記載のゲートウェイ装置において、前記第１のネットワーク及び前記第２のネットワークのアドレス体系は、両方ともＩＰｖ４であるか、或いは前記第１のネットワーク及び第２のネットワークアドレス体系は異なっており、前記ＦＷ設定手段は、前記第１の機器のＩＰアドレスと、自機器の第１のネットワーク上のＩＰアドレスと、前記第２の機器のＩＰアドレスが含まれるアドレス変換ルールを前記ＰＦ／ＮＡＴテーブルに設定することにより通信路を設定することを特徴とする。
【００２１】
また、本願の請求項１４に係る発明は、請求項１３記載のゲートウェイ装置において、前記ＦＷ設定手段は、アドレス変換ルールにおいて前記第２の機器が使用するポート番号を更に設定することを特徴とする。
【００２２】
また、本願の請求項１５に係る発明は、請求項１１記載のゲートウェイ装置において、前記第１のネットワーク及び前記第２のネットワークのアドレス体系は、両方ともＩＰｖ６であり、前記ＦＷ設定手段は、通信を許可する前記第１の機器のＩＰアドレスと、前記第２の機器のＩＰアドレスとの組が含まれるパケットフィルタリングの設定を前記ＰＦ／ＮＡＴテーブルに設定することにより通信路を設定することを特徴とする。
【００２３】
また、本願の請求項１６に係る発明は、請求項１５記載のゲートウェイ装置において、前記パケットフィルタリングの設定において、前記第２の機器が使用するポート番号を更に設定することを特徴とする。
【００２４】
また、本願の請求項１７に係る発明は、請求項１０記載のゲートウェイ装置において、前記通信路設定要求の内容は暗号化されており、前記ＦＷ設定手段は、前記通信路設定要求の復号を行い、正常に復号できたときに通信路の設定を行うことを特徴とする。
【００２５】
また、本願の請求項１８に係る発明は、請求項１０記載のゲートウェイ装置において、前記ゲートウェイに予め、前記ゲートウェイへのアクセスを許可するユーザ名とパスワードを登録しておき、前記第１の機器は前記通信路設定要求に、ユーザ名とパスワードを加えた情報を前記ゲートウェイへ送信することを特徴とする。
【００２６】
また、本願の請求項１９に係る発明は、通信システムにおいて、１つ以上の請求項１０記載の第１の機器と、前記第１のネットワークを介して前記第１の機器と接続された１つ以上の請求項１０記載のゲートウェイ装置と、前記第２のネットワークを介して前記ゲートウェイ装置と接続された１つ以上の請求項１０記載の第２の機器とで構成されることを特徴とする。
【００２７】
また、本願の請求項２０に係る発明は、請求項１９記載の通信システムにおいて、２以上の前記ゲートウェイ装置を有する時、前記ＦＷ設定手段を有するゲートウェイ装置と、前記ＦＷ設定手段を有していないゲートウェイ装置とがあり、前記ＦＷ設定手段は、前記ＦＷ設定手段を有していないゲートウェイ装置における請求項１０記載の処理を更に行うことを特徴とする。
【発明の効果】
【００２８】
本発明のリモートアクセスのための通信路設定方式を用いると、既存のＤＮＳを用いるため、別途アプリケーションを新たに構築する必要が無く、ＩＰｖ４、ＩＰｖ６どちらの環境であってもユーザにとって簡単にＩＰｖ４、ＩＰｖ６の特徴を考慮した様々な通信路の設定が可能である。
【００２９】
また、第２の機器が第２のネットワーク上で動作していることを確認した上で通信路を設定するため、不要なポートを開けることによるセキュリティホールの発生を防ぐことが出来る。
【００３０】
また、ＮＡＴ設定時は、ＨＧＷのグローバルアドレスと宅内機器のＩＰアドレスとの組に、宅外機器の送信元ＩＰアドレスを加えて登録するため、複数の宅外機器が複数の宅内機器と通信するための設定を行うことが可能となる。
【発明を実施するための最良の形態】
【００３１】
以下本発明の実施の形態について、図面を参照しながら説明する。
【００３２】
（実施の形態１）
図１は、本発明の実施の形態１におけるリモートアクセスのための通信路設定方法の概要構成を示すブロック図である。
【００３３】
図１において、インターネットなどの第１のネットワークには、宅外機器１０１、ＤＮＳサーバ１０２が存在する。家庭内、ＳＯＨＯ内などの第２のネットワークには、ホームゲートウェイ（以下、ＨＧＷ）１０３が設置され、パケットフィルタリング(以下、ＰＦ)やＮＡＴなどのルールの設定を行うファイアウォール（以下、ＦＷ）設定部１０４、宅内機器の名前、ＩＰアドレス、ＩＰｓｅｃに対応しているか否かなどの情報が管理されているＨＤＮＳサーバ１０５、ＦＷ設定部からの設定要求を登録するＰＦ／ＮＡＴテーブル１０６から構成される。また、ＨＧＷ１０３には宅内機器１０７が接続される。
【００３４】
図２は、本発明の実施の形態１に係わる、宅内機器をホームネットワークに接続した際の、ＨＤＮＳサーバの連係動作について示したフローチャートである。ユーザは、宅内機器をＨＧＷに接続した際(ステップ２０１)、ＤＨＣＰ（Ｄｙｎａｍｉｃ  Ｈｏｓｔ  Ｃｏｎｆｉｇｕｒａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）機能によりＩＰアドレスが割り振られる場合は、宅内機器に対して名前のみ設定し(ステップ２０２、２０３)、ＩＰアドレスが割り振られない場合は、宅内機器に対して、名前とＩＰアドレスを設定する(ステップ２０２、２０４)。ＨＤＮＳサーバは、宅内機器の名前とＩＰアドレスを宅内機器から取得し登録する(ステップ２０５)。さらにＨＤＮＳサーバは、宅内機器がＩＰｓｅｃに対応しているか否かを判断し(ステップ２０６)、ＩＰｓｅｃに対応している場合は、ＩＰｓｅｃ設定情報を設定する(ステップ２０７)。
【００３５】
図３は、宅外機器１０１が宅内機器１０７に対して通信する際、通信路の設定を要求してから、設定が終了するまでの動作を示したフローチャートである。宅外機器１０１は、通信先のＨＧＷ１０３の名前とドメイン名を指定してＤＮＳサーバ１０２に対してＨＧＷ１０３のＩＰアドレスを問い合わせる(ステップ３０１)。宅外機器１０１は、ＤＮＳサーバ１０２での正引きによって名前解決されることで、ＨＧＷ１０３のＩＰアドレスを取得し、ＨＧＷ１０３のＩＰアドレスを指定して通信路設定要求を送信することで、ＨＧＷに通信路設定要求が届く(ステップ３０２、図４参照)。通信路設定要求の構成については、図４に示す通りである。通信路設定要求は、宅外機器１０１から宅内機器１０７へのアクセスを可能にするための通信路の設定を要求する際に用いる情報である。情報４０１は、宅外機器１０１から宅内機器１０７へアクセスを可能にするため、情報４０２は、宅外機器１０１から宅内機器１０７の特定のサービスへのアクセスを可能にするための通信路を設定する際に用いる情報である。情報４０１の例は、”ＤＴＶ”という名前の宅内機器へアクセスしたい場合に用いる。情報４０２の例は、”ＤＶＨＳ”という名前の宅内機器において、そのサービスのポート番号として８０番(ＨＴＴＰへアクセスする際に用いるポート)にアクセスしたい場合に用いる。
【００３６】
通信路設定要求が暗号化されている場合は、ＦＷ設定部において復号、認証処理が行われる(ステップ３０３、３０４)。暗号化した通信路設定要求の構成については、図５に示す通りである。情報５０１、５０２とも、下線部で示した情報をＨＧＷ毎に設定された暗号鍵を用いて暗号化する。情報５０２は、ユーザ認証も加えたパターンで、ユーザＩＤ、パスワードを設定する。暗号鍵は宅外機器１０１がＨＧＷ１０３から事前に取得しておくか、公開鍵暗号を用いて鍵交換を行うといった従来の方式に従う。また、暗号鍵はＨＧＷ１０３で定期的に更新されるため、宅外機器１０１で、更新されるたびに取得する必要がある。情報５０１の例は、宅内機器の名前”ＤＴＶを暗号化する(場合によってはサービスのポート番号も含む)。情報５０２の例は、宅内機器の名前が”ＤＴＶ”、ユーザＩＤが”ｔａｒｏｕ”、パスワードが”１ａ２ｂ３ｃ４ｄ”であり、これらを暗号化する(場合によってはサービスのポート番号も含む)。情報５０２の例をＨＧＷへ要求した場合、ＦＷ設定部はメッセージを復号した後、ユーザＩＤとパスワードをもとに、ユーザ認証する。
【００３７】
復号、認証処理の結果、ＮＧであれば、ＦＷ設定部はＰＦ／ＮＡＴエントリに何も設定しないで、ＮＧを宅外機器に対して送信する(ステップ３１０)。通信路設定要求が暗号化されていない場合や、暗号、認証処理が正常に終了した場合は、ＦＷ設定部がＨＤＮＳサーバに対して、宅内機器の名前を送信する(ステップ３０６)。ＨＤＮＳサーバは、宅内機器の名前に対応するＩＰアドレスを検索し、宅内機器がネットワーク的に接続されているかを確認する(ステップ３０７、詳細は、図１０参照)。宅内機器がネットワーク的に接続されていない場合は、宅外機器の電源が落ちているか、ネットワークに接続されていないなどの要因が考えられるため、通信路の設定を行わない。ＨＤＮＳサーバの処理としては、ＦＷ設定部に対してＮＧを送信し、ＦＷ設定部は、宅外機器に対してＮＧを送信する(ステップ３０７、３１０)。この処理により、ネットワーク上で動作していない宅内機器宛の通信ポートが開かれ、それによってセキュリティホールが発生することを防ぐことが出来る。宅外機器がネットワーク的に接続されている場合は、ＨＤＮＳサーバは、宅内機器のＩＰアドレスと、ＩＰｓｅｃ対応情報などをＦＷ設定部に送信する(ステップ３０８)。ＦＷ設定部は、通信路を許可するための設定をＰＦ／ＮＡＴエントリに対して設定し(ステップ３０９)、宅外機器に対して応答を送信する(ステップ３１０)。
【００３８】
図６は、ＩＰｖ４環境の場合のＰＦ／ＮＡＴテーブル１０６に登録されたエントリの例である。評価順１のエントリは、ＩＰｖ４の場合は、宅外機器１０１から宅内機器１０７へ通信する場合、ＮＡＴ越えの設定が必要であるため、動作は「ＮＡＴ」である。宅外機器１０１のＩＰアドレスは、送信元ＩＰアドレスとして設定する。評価順１の例では、１３２.１６８.１.１０である。ＨＧＷ１０３の第１のネットワーク側のＩＰアドレスは、あて先ＩＰアドレスとして設定する。評価順１の例では、１３２.１６８.１.１である。宅内機器１０７のＩＰアドレスは、変換先ＩＰアドレスとして設定する。評価順１の例では、１７２.１９.１.１０である。評価順１のエントリによって、宅外機器１０１が宅内機器１０７と通信する際に、あて先としてＨＧＷの第１のネットワーク側のＩＰアドレスを指定すると、ＨＧＷを介してＮＡＴ変換され、宅内機器１０７と通信できる。また、評価順２は、評価順１とほぼ同様であり、サービスのポート番号が追加されたパターンである。宅外機器１０１のＩＰアドレスは１３２.１６８.１.１１、宅内機器１０７のＩＰアドレスは１７２.１９.１.１１であり、宅外機器１０１は、ＨＧＷを介してＮＡＴ変換され、宅内機器１０７のＨＴＴＰ(８０番ポート)にアクセスできる。
【００３９】
図７は、ＩＰｖ６環境の場合のＰＦ／ＮＡＴテーブル１０６に登録されたエントリの例である。評価順１のエントリは、ＩＰｖ６の場合は、ＰＦの設定で通信路を許可する必要があるため、動作は「ＡＣＣＥＰＴ」である。宅外機器１０１のＩＰアドレスは、送信元ＩＰアドレスとして設定する。評価順１の例では、３ｆｆｅ：５０２：ｆｆｆｆ：１００：１０／６４である。宅内機器１０７のＩＰアドレスは、あて先ＩＰアドレスとして設定し、３ｆｆｅ：５０２：ｆｆｆｆ：２００：１０／６４である。ＩＰｓｅｃ対応情報は「ＯＦＦ」であるため、宅外機器１０１から宅内機器１０７へＩＰｓｅｃ無しの通信が可能になる。評価順２のエントリは、評価順１とほぼ同様であり、サービスのポート番号が追加されたパターンである。宅外機器１０１のＩＰアドレスは３ｆｆｅ：５０２：ｆｆｆｆ：１００：１１／６４、宅内機器１０７のＩＰアドレスは３ｆｆｅ：５０２：ｆｆｆｆ：２００：１１／６４であり、宅外機器１０１は、ＨＧＷを介してＮＡＴ変換され、宅内機器１０７のＨＴＴＰ(８０番ポート)にアクセスできる。評価順３は、評価順２とほぼ同様であり、ＩＰｓｅｃ対応情報が「ＯＮ」である場合である。評価順２の設定に加えて、ＩＰｓｅｃでの通信に必要なＩＫＥ(Ｉｎｔｅｒｎｅｔ  Ｋｅｙ  Ｅｘｃｈａｎｇｅ)やＡＨ(Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｈｅａｄｅｒ)、ＥＳＰ(Ｅｎｃａｐｓｕｌａｔｅｄ  Ｓｅｃｕｒｉｔｙ  Ｐａｙｌｏａｄ)を許可する設定も行う。
【００４０】
図８は、一例として、宅外機器１０１であるＰＣが、宅内機器１０７であるＤＴＶへの通信路の設定を要求してから、設定が終了するまでの動作を示したシーケンス図である。ここでは、ＨＧＷ１０３の名前は、“ＢＢＨＧＷ“し、ＩＰアドレスは、１３２．１６８．１．１とする。また、ＰＣのＩＰアドレスは、１３２．１６８．１．１０、ＤＴＶのＩＰアドレスは、１７２.１９.１.１０とする。
【００４１】
宅外機器１０１は、ＤＮＳ１０２に対して、「ＢＢＨＧＷ．ｆｏｏ．ｃｏｍ」を送信することで（ステップＳ８０１）、ＤＮＳ１０２に名前解決を要求する。ＤＮＳ１０２は名前解決し（ステップＳ８０２）、宅外機器１０１に対して、ＨＧＷ１０３のグローバルＩＰアドレスである１３２．１６８．１．１を送信する（ステップＳ８０３）。宅外機器１０１は、ＨＧＷ１０３のＩＰアドレスを用いることで、ＨＧＷ１０３へアクセス可能となり、ＨＧＷ１０３に対して、通信路設定要求として「ＤＴＶ．８０」を送信する（ステップＳ８０４）。ＨＧＷ１０３は「ＤＴＶ．８０」をＦＷ設定部へ渡し、ＦＷ設定部は、ＨＤＮＳサーバに「ＤＴＶ．８０」を送信することで、ＨＤＮＳサーバに名前解決を要求する（ステップＳ８０５）。ＨＤＮＳサーバは、名前解決し（ステップＳ８０６）、宅内機器がネットワーク的に接続されているかを確認し(ステップＳ８０７、図１０参照)、宅内機器から応答を受信後（ステップＳ８０８）、ＦＷ設定部に対して、宅内機器１０７のＤＴＶのＩＰアドレスである１７２.１９.１.１０を送信する（ステップＳ８０９）。ＦＷ設定部は、ＨＧＷ１０３のＩＰアドレスへの要求をＤＴＶのＩＰアドレスへ変換するルールを作成し、ＰＦ／ＮＡＴテーブルへ設定する（ステップＳ８１０、図９参照）。ＨＧＷ１０３は、宅外機器１０１に対して応答を返す（ステップＳ８１１）。以降、宅外機器１０１は、ＨＧＷ１０３のＩＰアドレスを用いてＨＧＷ１０３に要求することで、宅内機器１０７のＤＴＶへアクセス可能となる。
【００４２】
図１０は、図３において、ＨＤＮＳサーバ１０５が宅内機器１０７の生存を確認する際(ステップ３０７)のフローチャートである。ＨＤＮＳサーバがＦＷ設定部１０４から取得した宅内機器の名前から、宅内機器のＩＰアドレスを検索し(ステップ１００１)、アドレス体系を判断し(ステップ１００２)、ＩＰｖ４体系の場合は、ＡＲＰ(Ａｄｄｒｅｓｓ  Ｒｅｓｏｌｕｔｉｏｎ  Ｐｒｏｔｏｃｏｌ)など、ＩＰｖ６体系の場合は、近隣探索メッセージ(Ｎｅｉｇｈｂｏｒ  Ｓｏｌｉｃｉｔａｔｉｏｎ、Ｎｅｉｇｈｂｏｒ  Ａｄｖｅｒｔｉｓｅｍｅｎｔ)などを用いる(ステップ１００３、１００４)。ネットワークに繋がっている(あるいは電源が入っている)か否かを判断し(ステップ１００５)、ネットワークに繋がっている場合は、ＦＷ設定部に対して、宅内機器のＩＰアドレスなどを送信する(ステップ１００６)。ネットワークに繋がっていない場合は、ＦＷ設定部へＮＧを返す(ステップ１００７)。
【００４３】
図１１は、宅外機器と宅内機器のアドレス体系が異なる環境において、宅外機器が宅内機器に対して通信路設定要求を送信してきた場合を示すフローチャートである。宅外機器１０１は、通信先のＨＧＷ１０３の名前とドメイン名を指定してＤＮＳサーバ１０２に対してＨＧＷ１０３のＩＰアドレスを問い合わせる(ステップ１１０１)。ＤＮＳサーバ１０２により名前解決され、宅外機器１０１は、ＨＧＷ１０３のＩＰアドレスを取得する。宅外機器１０１は、ＨＧＷ１０３のＩＰアドレスを指定して通信路設定要求を送信することで、ＨＧＷ(ＦＷ設定部)に通信路設定要求が届く(ステップ１１０２)。ＦＷ設定部は、ＨＤＮＳサーバに対して、宅内機器の名前を送信する(ステップ１１０３)。ＨＤＮＳサーバは、宅内機器の名前に対応するＩＰアドレスを検索し、ＦＷ設定部に送信する。ＦＷ設定部は、宅外機器のアドレス体系と宅内機器のアドレス体系を比較することで(ステップ１１０４)、アドレス体系が異なることを検出し、宅外機器がＩＰｖ４体系のアドレスであり、宅内機器がＩＰｖ６体系のアドレスである場合は、ＩＰｖ４体系のＩＰアドレスからＩＰｖ６体系のＩＰアドレスへの変換のルールをＰＦ／ＮＡＴテーブルへ設定する(ステップ１１０５)。宅外機器がＩＰｖ６体系のアドレスであり、宅内機器がＩＰｖ４体系のアドレスである場合は、ＩＰｖ６体系のＩＰアドレスからＩＰｖ４体系のＩＰアドレスへの変換のルールをＰＦ／ＮＡＴテーブルへ設定する(ステップ１１０６)。
【００４４】
（実施の形態２）
図１２は、本発明の実施の形態２におけるリモートアクセスのための通信路設定方法の概要構成を示すブロック図である。
【００４５】
図１２において、第１のネットワーク側には、宅外機器１２０１、ＤＮＳサーバ１２０２が存在する。第２のネットワーク側には、ＨＧＷが任意の数設置され(ここでは２つ)、１つ目のＨＧＷ１２０３には、第１のネットワーク側から受信した通信路設定要求を、別のＨＧＷに設置されているＦＷ設定部へ転送する要求転送部１２０４、宅内機器のＩＰアドレスなどの情報と名前が管理されているＨＤＮＳサーバ１２０５、ＦＷ設定部からの設定要求に基づいて通信路を許可するためのエントリを登録するＰＦ／ＮＡＴテーブル１２０６から構成される。また、２つ目のＨＧＷ１２０８には、パケットフィルタやＮＡＴなどの設定を行うＦＷ設定部１２０９、ＨＤＮＳサーバ１２１０、ＰＦ／ＮＡＴテーブル１２１１から構成される。また、ＨＧＷ１２０３には宅内機器１２０７が、ＨＧＷ１２０８には宅内機器１２１２が接続される。ＨＧＷ１２０３のように、ＨＧＷを設置した際に、ＦＷ設定部が設定されていない場合は、要求設定部を設置し、ＦＷ設定部が設定されているＨＧＷのＩＰアドレスを予め要求転送部に登録しておく。
【００４６】
図１３は、本発明の実施の形態２に係わる、宅外機器１２０１が宅内機器１２０７に対して通信する際、通信路の設定を要求してから、設定が終了するまでの動作を示したフローチャートである。宅外機器１２０１は、通信路設定要求をＨＧＷに対して送信する際、通信先のＨＧＷ１  １２０３の名前とドメイン名を指定してＤＮＳサーバ１２０２に対してＨＧＷ１  １２０３のＩＰアドレスを問い合わせる(ステップ１３０１)。ＤＮＳサーバ１２０２により、ドメイン名を用いて名前解決され、宅外機器１２０１は、ＨＧＷ１  １２０３のＩＰアドレスを取得し、ＨＧＷ１  １２０３のＩＰアドレスを指定して通信路設定要求を送信することで、ＨＧＷ１  １２０３の要求転送部に通信路設定要求が届く(ステップ１３０２)。通信路設定要求は、要求転送部１２０４により、要求転送部１２０４に予め設定されている、ＦＷ設定部が設置されている別のＨＧＷ（例えば、ＨＧＷ２  １２０８）のＩＰアドレスをもとにして、別のＨＧＷに設定されているＦＷ設定部（例えば、ＦＷ設定部１２０９）に転送される(ステップ１３０３)。通信路設定要求が暗号化されている場合は、ＦＷ設定部１２０９において復号、認証処理が行われる(ステップ１３０４、１３０５)。復号、認証処理の結果、ＮＧであれば、ＦＷ設定部はＰＦ／ＮＡＴエントリ１２０６に何も設定しないで、ＮＧを宅外機器に対して送信する(ステップ１３０６、１３１１)。通信路設定要求が暗号化されていない場合や、暗号、認証処理が正常に終了した場合は、ＦＷ設定部１２０９がＨＤＮＳサーバ１２０５に対して、宅内機器の名前を送信する(ステップ１３０７)。ＨＤＮＳサーバ１２０５は、宅内機器の名前に対応するＩＰアドレスを検索し、宅内機器１２０７がネットワーク的に接続されているかを確認する(ステップＳ１３０８、詳細は、図１０参照)。宅内機器１２０７がネットワーク的に接続されていない場合は、宅内機器１２０７の電源が落ちているか、ネットワークに接続されていないなどの要因が考えられるため、通信路の設定を行わない。ＨＤＮＳサーバ１２０５の処理としては、要求転送部１２０４に対してＮＧを送信し、要求転送部１２０４は、宅外機器１２０１に対してＮＧを送信する(ステップ１３０８、１３１１)。この処理により、ネットワーク上で動作していない宅内機器宛の通信ポートが開かれ、それによってセキュリティホールが発生することを防ぐことが出来る。宅外機器１２０１がネットワーク的に接続されている場合は、ＨＤＮＳサーバ１２０５は、宅内機器１２０７のＩＰアドレスと、ＩＰｓｅｃ対応情報などをＦＷ設定部１２０９に問い合わせる(ステップ１３０９)。ＦＷ設定部１２０９は、通信路を許可するための設定をＰＦ／ＮＡＴエントリ１２０６に対して設定し(ステップ１３１０)、宅外機器１２０１に対して応答を送信する(ステップ１３１２)。
【産業上の利用可能性】
【００４７】
本発明のリモートアクセスのための通信路設定方式は、既存のＤＮＳサーバと連携して動作し、ＩＰｖ４、ＩＰｖ６の特徴を考慮した様々な通信路の設定が可能であるため、新たにアプリケーションを構築したくない場合や、ＩＰｖ４、ＩＰｖ６環境をともに兼ね備えた環境等に有用である。
【図面の簡単な説明】
【００４８】
【図１】本発明の実施の形態１におけるリモートアクセスのための通信路設定方式の図
【図２】第２のネットワークに内部機器が接続された際のＨＤＮＳサーバの処理を示すフローチャート
【図３】宅外機器が宅内機器への通信路の設定を要求する際の通信路設定処理を示すフローチャート
【図４】通信路設定要求に含むフォーマットを示す図
【図５】通信路設定要求に含むフォーマット(暗号化ありの場合)を示す図
【図６】ＩＰｖ４環境におけるＰＦ／ＮＡＴエントリのテーブルを示す図
【図７】ＩＰｖ６環境におけるＰＦ／ＮＡＴエントリのテーブルを示す図
【図８】宅外機器が宅内機器への通信路の設定を要求する際の通信路設定処理の一例を示すシーケンス図
【図９】図８のシーケンスにおいて設定されるＰＦ／ＮＡＴエントリのルールを示す図
【図１０】ＨＤＮＳサーバによる、内部機器の生存確認の際の処理を示すフローチャート
【図１１】環境が異なる際に発生するフローチャート
【図１２】本発明の実施の形態２におけるリモートアクセスのための通信路設定方式の図
【図１３】ＦＷ設定部が第１のネットワーク上にある場合におけるＦＷ設定部の設置フローチャート
【符号の説明】
【００４９】
１０１    宅外機器
１０２    ＤＮＳサーバ
１０３    ＨＧＷ
１０４    ＦＷ設定部
１０５    ＨＤＮＳサーバ
１０６    ＰＦ／ＮＡＴテーブル
１０７    宅内機器
１２０１    宅外機器
１２０２    ＤＮＳサーバ
１２０３    ＨＧＷ１
１２０４    要求転送部
１２０５    ＨＤＮＳサーバ
１２０６    ＰＦ／ＮＡＴテーブル
１２０７    宅内機器
１２０８    ＨＧＷ２
１２０９    ＦＷ設定部
１２１０    ＨＤＮＳサーバ
１２１１    ＰＦ／ＮＡＴテーブル
１２１２    宅内機器
【図１】
2005311829.tif 000003
【図２】
2005311829.tif 000004
【図３】
2005311829.tif 000005
【図４】
2005311829.tif 000006
【図５】
2005311829.tif 000007
【図６】
2005311829.tif 000008
【図７】
2005311829.tif 000009
【図８】
2005311829.tif 000010
【図９】
2005311829.tif 000011
【図１０】
2005311829.tif 000012
【図１１】
2005311829.tif 000013
【図１２】
2005311829.tif 000014
【図１３】
2005311829.tif 000015