(57)【要約】【課題】  公開するポートを少なくして情報の通信を行い、プロキシサーバが介在されても通信できる通信端末装置を提供する。【解決手段】  複数種類の情報を表し、情報の種類毎に異なる通信プロトコルに従う信号を送受信する通信端末装置１１であって、情報の種類毎に異なる通信プロトコルに従う信号を生成するＶＰＮクライアント部１５と、複数の信号を多重符号化する多重符号化復号化部１６と、多重符号化された信号を送受信するネットワークインターフェース部２０とを含む【選択図】      図２
2005142915.tif 000002
【特許請求の範囲】
【請求項１】
複数種類の情報を表し、情報の種類毎に異なる通信プロトコルに従う信号を送受信する通信端末装置であって、
情報の種類毎に異なる通信プロトコルに従う信号を生成する信号生成手段と、
複数の信号を多重符号化する多重符号化手段と、
多重符号化された信号を送受信する端末通信手段とを含むことを特徴とする通信端末装置。
【請求項２】
通信要求信号は、他の通信端末装置との信号の送受信が正当に許可されることを表す認証情報を含むことを特徴とする請求項１記載の通信端末装置。
【請求項３】
多重符号化手段は、信号生成手段からの複数の信号を個別に入力する複数の入力ポートと、
端末通信手段へ多重符号化された信号を出力する、入力ポートの数よりも少ない出力ポートとを有することを特徴とする請求項１または２記載の通信端末装置。
【請求項４】
情報の種類に基づいて、信号を多重符号化して送信するか、多重符号化しないで送信するかを判断して信号を送信するように端末通信手段を制御する判断制御手段をさらに含むことを特徴とする請求項１〜３のいずれかに記載の通信端末装置。
【請求項５】
受信した多重符号化された信号を多重復号化して、複数の信号を通信プロトコル毎に個別に出力する多重復号化手段をさらに含むことを特徴とする請求項１〜４のいずれかに記載の通信端末装置。
【請求項６】
請求項１〜５のいずれかに記載の通信端末装置と信号の送受信するサーバ装置であって、
多重符号化された信号を送受信するサーバ通信手段と、
受信した多重符号化された信号を多重復号化して、複数の信号を通信プロトコル毎に個別に出力する多重復号化手段とを含むことを特徴とするサーバ装置。
【請求項７】
信号には、通信端末装置がサーバ装置との通信が正当に許可される通信端末装置であることを表す認証情報を含み、
多重復号化手段は、多重復号化された複数の信号を通信プロトコル毎に個別に出力する複数のサーバ出力ポートを有し、
多重復号化手段の出力ポートのうち、認証情報を含む信号をだけを出力するサーバ出力ポートを開いて通信端末装置からの信号に認証情報が含まれていることを確認すると、多重復号化手段の残余のサーバ出力ポートを開くサーバ制御手段をさらに含むことを特徴とする請求項６記載のサーバ装置。
【請求項８】
多重復号化手段は、サーバ通信手段からの多重符号化された信号を入力する、サーバ出力ポートの数よりも少ないサーバ入力ポートを有することを特徴とする請求項７記載のサーバ装置。
【請求項９】
複数の信号を多重符号化する多重符号化手段をさらに備えることを特徴とする請求項６〜８のいずれかに記載のサーバ装置。
【請求項１０】
通信回線を介して互いに接続される通信端末装置およびサーバ装置を含む通信システムであって、
通信端末装置は、
情報の種類毎に異なる通信プロトコルに従う信号を生成する信号生成手段と、
複数の信号を多重符号化する多重符号化手段と、
多重符号化された信号を送受信する通信手段とを含み、
サーバ装置は、
多重符号化された信号を送受信するサーバ通信手段と、
受信した多重符号化された信号を多重復号化して、複数の信号を通信プロトコル毎に個別に出力する多重復号化手段とを含むことを特徴とする通信システム。
【請求項１１】
コンピュータを請求項１記載の通信端末装置として機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、複数種類の情報を表し、情報の種類毎に異なる通信プロトコルに従う信号を送受信する通信端末装置、前記通信端末装置と通信するサーバ装置、通信端末装置およびサーバ装置を含む通信システムおよびコンピュータを通信端末装置として機能させるためのプログラムに関する。
【背景技術】
【０００２】
仮想私設網（Virtual Private Network ；略称：ＶＰＮ）を構成するときに、クライアントとサーバとの間にファイアウォール（firewall）が介在される場合に、利用者がネットワークの通信経路を意識せずに通信アプリケーションが利用できる技術が、特許文献１に記載されている。
【０００３】
またＶＰＮを利用して、公衆データネットワーク上で金融取引を安全に行うウェブトレーディングシステムが、特許文献２に記載されている。
【０００４】
【特許文献１】特開２００１−２５１３６７号公報
【特許文献２】特開２００１−６０２３５号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
図１２は、ＶＰＮを構成する通信端末装置１およびサーバ装置２を示すブロック図である。通信端末装置１およびサーバ装置２では、ＶＰＮを構成するために、それぞれＶＰＮクライアント部３およびＶＰＮサーバ部４が実現されるプログラムが実行されている。これらのＶＰＮクライアント部３およびＶＰＮサーバ部４によって、ＶＰＮで互いに接続するための認証情報を通信するためのプロトコルに従う接続、ＨＴＭＬ（Hyper Text
Markup Language）で記述された情報を通信するためのＨＴＴＰ（HyperText Transfer
Protocol ）に従う接続、動画像情報および音声情報をリアルタイムで通信するためのＲＴＳＰ（Real Time Streaming Protocol）およびＲＴＰ（Real time Transport Protocol）、ならびにＲＴＰと組合わせて用いられるＲＴＣＰ（RTP Control Protocol）など通信プロトコル毎に通信ポートが設けられて、通信端末装置１とサーバ装置２とがＶＰＮで接続されて各種情報の通信を行う。サーバ装置２において、各通信ポートは、そのポート番号がインターネット上に公開されている。
【０００６】
このようにサーバ装置２においてＶＰＮを構成するためにポート番号をインターネット上に公開している状態にあると、ＶＰＮで接続されない悪意のある他の通信端末装置から、公開されている通信ポートに対して、たとえばＤｏＳ（Denial of Service ）攻撃を受ける危険性が高くなる。
【０００７】
また通信端末装置１がサーバ装置２とは異なるＬＡＮ（Local Area Network）内に存在し、通信端末装置１とサーバ装置２との間にファイアウォール機能を有するプロキシサーバ（proxy server）５が介在される場合、通信プロトコルがＨＴＴＰに従う接続による通信端末装置１とサーバ装置２との通信は可能であるけれども、それ以外の認証情報を通信するためのプロトコル、ＲＴＳＰ、ＲＴＰおよびＲＴＣＰに従う接続による通信ができなくなる。
【０００８】
本発明の目的は、公開するポートを少なくして情報の通信を行い、プロキシサーバが介在されても通信できる通信端末装置、サーバ装置、通信システムおよびコンピュータを前記通信端末装置として機能させるプログラムを提供することである。
【課題を解決するための手段】
【０００９】
本発明は、複数種類の情報を表し、情報の種類毎に異なる通信プロトコルに従う信号を送受信する通信端末装置であって、
情報の種類毎に異なる通信プロトコルに従う信号を生成する信号生成手段と、
複数の信号を多重符号化する多重符号化手段と、
多重符号化された信号を送受信する端末通信手段とを含むことを特徴とする通信端末装置である。
【００１０】
また本発明は、通信要求信号は、他の通信端末装置との信号の送受信が正当に許可されることを表す認証情報を含むことを特徴とする。
【００１１】
また本発明は、多重符号化手段は、信号生成手段からの複数の信号を個別に入力する複数の入力ポートと、
端末通信手段へ多重符号化された信号を出力する、入力ポートの数よりも少ない出力ポートとを有することを特徴とする。
【００１２】
また本発明は、情報の種類に基づいて、信号を多重符号化して送信するか、多重符号化しないで送信するかを判断して信号を送信するように端末通信手段を制御する判断制御手段をさらに含むことを特徴とする。
【００１３】
また本発明は、受信した多重符号化された信号を多重復号化して、複数の信号を通信プロトコル毎に個別に出力する多重復号化手段をさらに含むことを特徴とする。
【００１４】
また本発明は、前述の通信端末装置と信号の送受信するサーバ装置であって、
多重符号化された信号を送受信するサーバ通信手段と、
受信した多重符号化された信号を多重復号化して、複数の信号を通信プロトコル毎に個別に出力する多重復号化手段とを含むことを特徴とするサーバ装置である。
【００１５】
また本発明は、信号には、通信端末装置がサーバ装置との通信が正当に許可される通信端末装置であることを表す認証情報を含み、
多重復号化手段は、多重復号化された複数の信号を通信プロトコル毎に個別に出力する複数のサーバ出力ポートを有し、
多重復号化手段の出力ポートのうち、認証情報を含む信号をだけを出力するサーバ出力ポートを開いて通信端末装置からの信号に認証情報が含まれていることを確認すると、多重復号化手段の残余のサーバ出力ポートを開くサーバ制御手段をさらに含むことを特徴とする。
【００１６】
また本発明は、多重復号化手段は、サーバ通信手段からの多重符号化された信号を入力する、サーバ出力ポートの数よりも少ないサーバ入力ポートを有することを特徴とする。
【００１７】
また本発明は、情報の種類毎に異なる通信プロトコルに従う信号を生成する信号生成手段と、
複数の信号を多重符号化する多重符号化手段とをさらに備えることを特徴とする。
【００１８】
また本発明は、通信回線を介して互いに接続される通信端末装置およびサーバ装置を含む通信システムであって、
通信端末装置は、
情報の種類毎に異なる通信プロトコルに従う信号を生成する信号生成手段と、
複数の信号を多重符号化する多重符号化手段と、
多重符号化された信号を送受信する通信手段とを含み、
サーバ装置は、
多重復号化された信号を送受信するサーバ通信手段と、
受信した多重符号化された信号を多重復号化して、複数の信号を通信プロトコル毎に個別に出力する多重復号化手段とを含むことを特徴とする通信システムである。
【００１９】
また本発明は、コンピュータを前述の通信端末装置として機能させるためのプログラムである。
【発明の効果】
【００２０】
本発明によれば、信号生成手段は、情報の種類毎に異なる通信プロトコルに従う信号を生成し、多重符号化手段は、複数の信号を多重符号化し、端末通信手段は、多重符号化された信号を送受信する。このように複数の異なる通信プロトコルに従う信号を多重符号化することによって、多重符号化する前の数よりも少ない通信プロトコルに従う信号を送受信することができる。これによって送信された信号を受信する側の通信端末装置は、公開するポートの数を、多重符号化しない場合に比べて少なくすることができ、他の通信端末装置からの公開するポートに対する侵入および攻撃を可及的に防止することができる。また多重符号化した信号の通信プロトコルを、ファイアウォールを通過できる通信プロトコルにすることで、通信端末装置間にファイアウォールが介在されても、信号の送受信を行うことができる。
【００２１】
また本発明によれば、通信要求信号は、他の通信端末装置との信号の送受信が正当に許可されることを表す認証情報を含むので、可及的に安全に信号の送受信を行うことができる。
【００２２】
また本発明によれば、多重符号化手段は、信号生成手段からの複数の信号を個別に入力する複数の入力ポートと、端末通信手段へ多重符号化された信号を出力する、入力ポートの数よりも少ない出力ポートとを有する。これによって複数の異なる通信プロトコルに従う信号を多重符号化することによって、多重符号化する前の数よりも少ない通信プロトコルに従う信号を送受信すること実現できる。
【００２３】
また本発明によれば、判断制御手段は、情報の種類に基づいて、信号を多重符号化して送信するか、多重符号化しないで送信するかを判断して信号を送信するように端末通信手段を制御する。これによって、たとえば情報の種類が公にしてもよいものであれば信号を多重符号化しないで送信し、情報の種類が秘密にしなければならないものであれば信号を多重符号化して送信するなど、送信する情報の種類に応じて柔軟に対応することができる。
【００２４】
また本発明によれば、多重復号化手段は、受信した多重符号化された信号を多重復号化して、複数の信号を通信プロトコル毎に個別に出力する。これによって受信した多重符号化された信号を多重復号化して、元の情報の種類毎に異なる通信プロトコルに従う信号に戻すことができる。
【００２５】
また本発明によれば、サーバ通信手段は、多重復号化された信号を送受信する。多重復号化手段は、受信した多重符号化された信号を多重復号化して、複数の信号を通信プロトコル毎に個別に出力する。これによって受信した多重符号化された信号を多重復号化して、元の情報の種類毎に異なる通信プロトコルに従う信号に戻すことができる。
【００２６】
また本発明によれば、信号には、通信端末装置がサーバ装置との通信が正当に許可される通信端末装置であることを表す認証情報を含む。多重復号化手段は、多重復号化された複数の信号を通信プロトコル毎に個別に出力する複数のサーバ出力ポートを有する。サーバ制御手段は、多重復号化手段の出力ポートのうち、認証情報を含む信号をだけを出力するサーバ出力ポートを開いて通信端末装置からの信号に認証情報が含まれていることを確認すると、多重復号化手段の残余のサーバ出力ポートを開く。このように信号に認証情報が含まれると確認された場合、多重復号化手段から複数の信号が各出力ポートから出力されるので、セキュリティをより高度にすることができる。
【００２７】
また本発明によれば、サーバ通信手段からの多重符号化された信号を入力する、サーバ出力ポートの数よりも少ないサーバ入力ポートを有するので、多重符号化された信号を多重復号化して、多重符号化されている状態の数よりも多い数の通信プロトコルに従う信号に戻して出力することを実現できる。
【００２８】
また本発明によれば、信号生成手段は、情報の種類毎に異なる通信プロトコルに従う信号を生成する。多重符号化手段は、複数の信号を多重符号化する。このように複数の異なる通信プロトコルに従う信号を多重符号化することによって、多重符号化する前の数よりも少ない通信プロトコルに従う信号を送受信することができる。
【００２９】
また本発明によれば、通信端末装置の信号生成手段は、情報の種類毎に異なる通信プロトコルに従う信号を生成する。通信端末装置の多重符号化手段は、複数の信号を多重符号化する。通信端末装置の通信手段は、多重符号化された信号を送受信する。サーバ装置のサーバ通信手段は、多重符号化された信号を送受信する。サーバ装置の多重復号化手段は、受信した多重符号化された信号を多重復号化して、複数の信号を通信プロトコル毎に個別に出力する。このように複数の異なる通信プロトコルに従う信号を多重符号化することによって、多重符号化する前の数よりも少ない通信プロトコルに従う信号を送受信することができる。またサーバ装置では、受信した多重符号化された信号を多重復号化して、元の情報の種類毎に異なる通信プロトコルに従う信号に戻すことができる。これによって送信された信号を受信するサーバ装置は、公開するポートの数を、多重符号化しない場合に比べて少なくすることができ、他の通信端末装置からの公開するポートに対する侵入および攻撃を可及的に防止することができる。また多重符号化した信号の通信プロトコルを、ファイアウォールを通過できる通信プロトコルにすることで、通信端末装置とサーバ装置との間にファイアウォールが介在されても、信号の送受信を行うことができる。
【００３０】
また本発明によれば、コンピュータにプログラムを実行させることによって、コンピュータは前述の通信端末装置として機能するので、前述の効果を達成する通信端末装置を実現することができる。
【発明を実施するための最良の形態】
【００３１】
図１は、本発明の実施の一形態の通信システム１０を示すブロック図である。通信システム１０は、少なくとも１つの通信端末装置１１およびサーバ装置１２を含む。通信端末装置１１とサーバ装置１２との間では、複数種類の情報を表し、情報の種類毎に異なる通信プロトコルに従う信号が送受信される。また通信端末装置１１とサーバ装置１２との間では、仮想私設網（Virtual Private Network ；略称：ＶＰＮ）を形成することができ、通信端末装置１１とサーバ装置１２とを接続するインターネットを、あたかも専用回線のように利用することができる。通信端末装置１１は、サーバ装置１２とは異なるＬＡＮ（Local Area Network）内に存在し、通信端末装置１１とサーバ装置１２との間には、ファイアウォール機能を有するプロキシサーバ１３が介在される。通信端末装置１１とサーバ装置１２との間の信号の通信は、ＶＰＮで互いに接続するための認証情報を通信するためのプロトコル、ＨＴＭＬ（Hyper Text Markup Language）で記述された情報を通信するためのＨＴＴＰ（HyperText Transfer Protocol ）、動画像情報および音声情報をリアルタイムで通信するためのＲＴＳＰ（Real Time Streaming Protocol）およびＲＴＰ（Real 
time Transport Protocol）、ならびにＲＴＰと組合わせて用いられるＲＴＣＰ（RTP
Control Protocol）などの通信プロトコルに従って行われる。
【００３２】
図２は、通信端末装置１１の構成を示すブロック図である。通信端末装置１１は、たとえばパーソナルコンピュータなどの電子計算装置で実現され、所定のプログラムが実行されることによって通信端末装置１１として機能する。通信端末装置１１は、接続判定部１４、ＶＰＮクライアント部１５、多重符号化復号化部１６、鍵登録クライアント部１７、鍵データベース部１８、認証クライアント部１９およびネットワークインターフェース部２０を含んで構成される。
【００３３】
接続判定部１４、ＶＰＮクライアント部１５、多重符号化復号化部１６、認証クライアント部１７および鍵登録クライアント部１８は、通信端末装置１１に搭載される図示しない中央演算処理部（略称：ＣＰＵ）が図示しない記憶部に記憶されている端末制御プログラム２１を実行することによって実現される。前記端末制御プログラム２１は、たとえばＣＤ−ＲＯＭなどの記録媒体に記録されて配布されて通信端末装置１１にインストールされるようにしてもよく、またサーバ装置１２に記憶しておいて、サーバ装置１２から通信端末装置１１にダウンロードしてインストールされるようにしてもよい。また前記記憶部には、前記ＣＰＵによって実行可能な、ＨＴＭＬで記述される情報を表示処理するＷＥＢブラウザ２２のプログラムおよび動画像情報および音声情報を再生するストリーミングプレイヤ２３のプログラムが記憶されている。
【００３４】
接続判定部１４は、通信端末装置１１とサーバ装置１２との接続をＶＰＮによって接続するか否かを判定する。この判定は、セキュリティ上、全く関係の無い第三者によって覗き見されても良いか否かに基づいて行われる。たとえばサーバ装置１２に記憶されている一般に公開することを目的とするＷＥＢページなどの情報に通信端末装置１１からアクセスする場合には、接続判定部１４は、ＶＰＮで接続しないと判定する。また、たとえばサーバ装置に記憶されている他人には見られたくない内容の情報に通信端末装置１１からアクセスする場合には、ＶＰＮで接続するように判定する。
【００３５】
信号生成手段であるＶＰＮクライアント部１５は、サーバ装置１２とＶＰＮで接続して、サーバ装置１２に送信すべき情報の種類毎に異なる通信プロトコルに従う信号を生成して、前記信号に含まれる情報を暗号化して多重符号化復号化部１６に与える。またＶＰＮクライアント部１５は、多重符号化復号化部１６によって多重復号化されたサーバ装置１２からの信号に含まれる暗号化された情報を復号化する。
【００３６】
多重符号化復号化部１６は、ＶＰＮクライアント部１５および認証クライアント部１９から与えられる複数の信号を、トランスポート層におけるＴＣＰ（Transmission Control Protocol ）に従う信号に多重符号化して、ネットワークインターフェース部２０に与える。このように多重符号化復号化部１６からネットワークインターフェース部２０に与えられるＴＣＰに従う信号は、プロキシサーバ１３を介してサーバ装置１２に与えることができる。また多重符号化復号化部１６は、ネットワークインターフェース部２０で受信されたサーバ装置１２からの多重符号化されたＴＣＰに従う信号を、多重復号化して元の複数の信号に復号する。
【００３７】
鍵登録クライアント部１７は、サーバ装置１２とのＶＰＮによる接続をするための認証に用いる鍵データを事前に登録する。鍵登録クライアント部１７は、詳細に述べると、通信端末装置１１に予め設定される固有の固体番号、ネットワークインターフェース部２０を構成するネットワークカードに予め設定される、たとえばＭＡＣアドレスなどの固有の番号、および通信端末装置１１のオペレーションシステム（Operating System；略称：ＯＳ)のバージョンなどの情報を認証情報として、この認証情報を公開鍵方式または共通鍵方式に従う暗号化用の鍵を用いて暗号化して鍵データを生成して、鍵データベース部１８に記憶する。
【００３８】
認証クライアント部１９は、前述のように生成した鍵データを用いて、サーバ装置１２との認証を行い、認証が成功すればＶＰＮクライアント部１５を動作させてサーバ装置１２とのＶＰＮ接続を確立させる。
【００３９】
通信手段であるネットワークインターフェース部２０は、たとえばＩＥＥＥ８０２．３で規格されるネットワークインターフェースカード（Network Interface Card）で構成され、サーバ装置１２との信号の送受信を行う。
【００４０】
図３は、多重符号化復号化部１６における信号の多重符号化を説明するための図である。多重符号化復号化部１６は、複数の信号を多重符号化するマルチプレクサ（略称：ＭＵＸ）１６ａおよび多重符号化された信号を多重復号化するデマルチプレクサ（略称：ＤＥＭＵＸ）１６ｂを有する。多重符号化復号化部１６のＭＵＸ１６ａは、認証クライアント部１９およびＶＰＮクライアント部１５からの互いに異なる通信プロトコルに従う信号を個別に入力する複数の、図３では３個の入力ポート２４ａ，２４ｂ，２４ｃを有する。
【００４１】
たとえば図３では、多重符号化復号化部１６のＭＵＸ１６ａの３個の入力ポート２４ａ，２４ｂ，２４ｃのうち第１の入力ポート２４ａには、認証クライアント部１９からの認証用プロトコルに従う鍵データを含む信号が入力され、第２の入力ポート２４ｂには、ＶＰＮクライアント部１５からのＨＴＴＰに従う信号が入力され、第３の入力ポート２４ｃには、ＶＰＮクライアント部１５からのＲＴＳＰに従う信号が入力される。ＭＵＸ１６ａの各入力ポート２４ａ，２４ｂ，２４ｃには、個別にポート番号が設定され、たとえば図３では、第１の入力ポート２４ａには、ポート番号５０００が設定され、第２の入力ポート２４ｂには、ポート番号５００１が設定され、第３の入力ポート２４ｃには、ポート番号５００２が設定される。
【００４２】
ＭＵＸ１６ａは、前記入力ポート２４ａ，２４ｂ，２４ｃから入力されて多重符号化されたＴＣＰに従う信号をネットワークインターフェース部２０に出力する１個の出力ポート２５を有する。このようにＭＵＸ１６ａの出力ポート２５の数は、入力ポート２４ａ，２４ｂ，２４ｃの数より少ない。
【００４３】
ＭＵＸ１６ａは、各入力ポート２４ａ，２４ｂ，２４ｃから入力される信号を多重符号化するときに、どの入力ポート２４ａ，２４ｂ，２４ｃから入力された信号に含まれる情報であるかを識別するために、各情報に、入力ポート２４ａ，２４ｂ，２４ｃのポート番号に対応する番号をヘッダとして付加して多重符号化して、出力ポート２５から出力する。たとえば図３では、ＭＵＸ１６ａは、第１の入力ポート２４ａから入力された信号に含まれる情報には、番号０のヘッダを付加し、第２の入力ポート２４ｂから入力された信号に含まれる信号には、番号１のヘッダを付加し、第３の入力ポート２４ｃから入力された信号に含まれる信号には、番号２のヘッダを付加する。またＭＵＸ１６ａは、このように多重符号化した信号をサーバ装置１２の、所定のポート番号、たとえば４４３番のポートに与えるように、ネットワークインターフェース部２０を制御する。
【００４４】
多重符号化復号化部１６のＤＥＭＵＸ１６ｂは、後述するサーバ装置１２の多重符号化復号化部２８のＤＥＭＵＸ２８ｂと同様であるので、ここでは説明は省略する。またＭＵＸ１６ａでの接続がＴＣＰなどのセッション確立型の接続であるので、ＴＣＰパケットなどのヘッダ情報を利用することができ、ＭＵＸ１６ａが自動的にＤＥＭＵＸ１６ｂの機能を有するようにしてもよい。
【００４５】
図４は、サーバ装置１２の構成を示すブロック図である。サーバ装置１２は、たとえばワークステーションおよびパーソナルコンピュータなどの電子計算装置で実現され、所定のプログラムが実行されることによってサーバ装置１２として機能する。サーバ装置１２は、ＷＡＮ側ネットワークインターフェース部２６、ファイアウォール部２７、多重符号化復号化部２８、公開ポート情報記憶部２９、ＬＡＮ側ネットワークインターフェース部３０、鍵登録サーバ部３１、鍵データベース部３２、認証サーバ部３３、ＶＰＮサーバ部３４、ＷＥＢサーバ部３５およびストリーミングサーバ部３６を含んで構成される。
【００４６】
ＷＡＮ側ネットワークインターフェース部２６は、たとえばＩＥＥＥ８０２．３で規格されるネットワークインターフェースカードで構成され、インターネットなどのＷＡＮ（Wide Area Network ）を介して、通信端末装置１１との信号の送受信を行う。ファイアウォール部２７は、ＷＡＮ側からの不正なアクセスを防止する。本実施の形態では、ファイアウォール部２７は、たとえば後述するＷＥＢサーバ部３５にアクセスするためのポート番号８０番と、多重符号化復号化部２８にアクセスするためのポート番号４４３番のポートだけを公開して、それ以外のポートへのアクセスを遮断するようにする。
【００４７】
多重符号化復号化部２８は、ＷＡＮ側ネットワークインターフェース部２６で受信された通信端末装置１１からの多重符号化されたＴＣＰに従う信号を、多重復号化して元の複数の信号に復号して、認証サーバ部３０およびＶＰＮサーバ部３４に与える。また多重符号化復号化部２８は、ＶＰＮクライアント部３４から与えられる複数の信号を、ＴＣＰに従う信号に多重符号化して、ＷＡＮ側ネットワークインターフェース部２６に与える。このように多重符号化復号化部２８からＷＡＮ側ネットワークインターフェース部２６に与えられるＴＣＰに従う信号は、プロキシサーバ１３を介して通信端末装置１１に与えることができる。
【００４８】
図５は、多重符号化復号化部２８における信号の多重復号化を説明するための図である。多重符号化復号化部２８は、複数の信号を多重符号化するマルチプレクサ（略称：ＭＵＸ）２８ａおよび多重符号化された信号を多重復号化するデマルチプレクサ（略称：ＤＥＭＵＸ）２８ｂを有する。多重符号化復号化部２８のＭＵＸ２８ａは、前述の通信端末装置１１の多重符号化復号化部１６のＭＵＸ１６ａと同様であるので、説明は省略する。また後述するＤＥＭＵＸ２８ｂでの接続が、ＴＣＰなどのセッション確立型の接続であるので、ＴＣＰパケットなどのヘッダ情報を利用することができ、ＤＥＭＵＸ２８ｂが自動的にＭＵＸ２８ａの機能を有するようにしてもよい。公開ポート情報記憶部２９は、通信端末装置１１からの信号に含まれる情報が有するヘッダの番号と、その情報の送り先との対応テーブルが記憶される。
【００４９】
多重符号化復号化部２８のＤＥＭＵＸ２８ｂは、通信端末装置１１からの多重符号化されたＴＣＰに従う信号を入力する１個の入力ポート３７を有し、前記入力ポートのポート番号は、たとえば４４３番である。ＤＥＭＵＸ２８ｂは、通信端末装置１１からの多重符号化されたＴＣＰに従う信号を復号化して、認証サーバ部３０およびＶＰＮサーバ部３４に個別に出力する複数の、図５では３個の出力ポート３８ａ，３８ｂ，３８ｃを有する。このようにＤＥＭＵＸ２８ｂの入力ポート３７の数は出力ポート３８ａ，３８ｂ，３８ｃの数よりも少ない。このように通信端末装置１１とサーバ部１２とのＶＰＮによる接続は、サーバ部１２側では１つのポートだけを公開して行われるので、複数のポートを公開する場合に比べて、たとえば第三者がポートスキャンなどによってサーバ装置１２の公開されているポートを探すような場合に、複数のポートを公開している場合に比べて公開しているポートが発見される確率を低減でき、これによってセキュリティを向上させることができる。
【００５０】
前述したように通信端末装置１１の多重符号化復号化部１６のＭＵＸ１６ａでは、各情報に、入力ポート２４ａ，２４ｂ，２４ｃのポート番号に対応する番号をヘッダとして付加して多重符号化されている。ＤＥＭＵＸ２８ｂは、通信端末装置１１からの多重復号化された信号に含まれるヘッダと、公開ポート情報記憶部に記憶されるテーブルに基づいて、たとえば図５では、番号０のヘッダを有する情報を含む信号は第１の出力ポート３８ａから認証サーバ部３０のポート番号４０００のポートに出力し、番号１のヘッダを有する情報を含む信号は第２の出力ポート３８ｂからＶＰＮサーバ部３４のＨＴＴＰに従う信号を受信するポート番号４００１のポートに出力し、番号２のヘッダを有する情報を含む信号は第３出力ポート３８ｃからＶＰＮサーバ部３４のＲＴＳＰに従う信号を受信するポート番号４００２のポートに出力する。
【００５１】
ＶＰＮサーバ部３４のポート番号４０００，４００１，４００２は、一般に公開されていない。これらのポートを公開しないためには、具体的には、ＯＳがＵＮＩＸ（登録商標；以下省略）の場合、ｂｉｎｄシステムコールを用いて、localhost だけを受け付けるように設定することで、第三者からの直接の接続を拒否すればよい。またはサーバ装置１２において、多重符号化復号化部２８およびＶＰＮサーバ部３４は同一のプロセスであるので、たとえばＵＮＩＸドメインソケットおよび他のプロセス間通信を行うことによって、第三者から前述のポートを隠蔽するようにしてもよい。
【００５２】
再び図４を参照して、ＬＡＮ側ネットワークインターフェース部３０は、たとえばＩＥＥＥ８０２．３で規格されるネットワークインターフェースカードで構成され、イントラネットなどのＬＡＮを介して、通信端末装置１１との信号の送受信を行う。
【００５３】
鍵登録サーバ部３１は、ＬＡＮ側ネットワークインターフェース部３０に接続される通信端末装置１１からの鍵データを受信して鍵データベース部３２に記憶する。鍵データベース部３２に記憶できる鍵データの数は、たとえば５つまでに限定することによって、ＷＡＮ側から同時接続できる通信端末装置１１の台数を制限してセキュリティを向上することができる。
【００５４】
認証サーバ部３３は、ＷＡＮ側ネットワークインターフェース部２６で受信されて、多重符号化復号化部２８で復号化された信号のうち鍵データを含む信号を受信して、受信した鍵データが予め鍵データベース部３２に記憶されている鍵データと一致するか否かを判定し、一致すると判定すると、多重符号化復号化部２８からＶＰＮサーバ部３４への信号を与えるように多重符号化復号化部２８を制御し、ＶＰＮサーバ部３４のポートを開くように制御する。
【００５５】
ＶＰＮサーバ部３４は、通信端末装置１１とＶＰＮで接続して、多重符号化復号化部２８によって多重復号化された通信端末装置１１からの信号に含まれる暗号化された情報を復号化する。またＶＰＮサーバ部３４は、通信端末装置１１に送信すべき情報の種類毎に異なる通信プロトコルに従う信号を生成して、前記信号に含まれる情報を暗号化して多重符号化復号化部２８に与える。またＶＰＮサーバ部３４は、通信端末装置１１からのＶＰＮによるＨＴＴＰに従う接続を要求するＨＴＴＰ接続要求信号をＷＥＢサーバ部３５に与える。またＶＰＮサーバ部３４は、通信端末装置１１からのＶＰＮによるＲＴＳＰに従う接続を要求するＲＴＳＰ接続要求信号をストリーミングサーバ部３６に与える。
【００５６】
ＷＥＢサーバ部３５は、通信端末装置１１からのＨＴＴＰ接続要求信号に応答して、予め記憶されるＨＴＭＬで記述される情報をＶＰＮサーバ部３４を介して通信端末装置１１に与えたり、ＶＰＮサーバ部３４を介さずに通信端末装置１１に与えたりする。ＷＥＢサーバ部３５から通信端末装置１１に与えられる情報は、ＷＥＢサーバ部３５がＣＧＩ（
Common Gateway Interface）を実行することによってＨＴＭＬで記述される情報を生成するようにしてもよい。ストリーミングサーバ部３６は、通信端末装置１１からのＲＴＳＰ接続要求信号に応答して、動画像情報および音声情報をＶＰＮサーバ部３４を介して通信端末装置１１に与える。前述のファイアウォール部２７、多重符号化復号化部２８、鍵登録サーバ部３１、認証サーバ部３３、ＶＰＮサーバ部３４、ＷＥＢサーバ部３５およびストリーミングサーバ部３６は、サーバ装置１２のＣＰＵがサーバ制御プログラム３９を実行することによって実現される。
【００５７】
サーバ装置の鍵データベース部３２への鍵データの登録方法について以下に述べる。まず通信端末装置１１をサーバ装置１２のＬＡＮ側ネットワークインターフェース部３０に接続する。次に通信端末装置１１のＯＳを起動して、鍵登録クライアント部１７は、通信端末装置１１のネットワークインターフェースカードのＭＡＣアドレスおよびＯＳのバージョンなどの通信端末装置１１を識別するために必要な識別情報を収集する。次に鍵登録クライアント部１７は、公開鍵方式または共通鍵方式に基づく暗号化用の鍵を用いて前記識別情報を暗号化して鍵データを生成して、ネットワークインターフェース部２０を介してサーバ装置１２の鍵登録サーバ部３１に前記鍵データを送信する。次にサーバ装置１２の鍵登録サーバ部３１は、受信した鍵データを前記暗号鍵に対応する復号化用の鍵で識別情報に復号化して、当該識別情報が既に鍵データベース部３２に登録されている識別情報と同じであれば、以前に登録されている同じ識別情報を削除して、新たに当該識別情報を鍵データベース部３２に登録する。復号化して得られた識別情報と同じ識別情報が鍵データベース部３２に無い場合、復号化して得られた識別情報を鍵データベース部３２に登録する。次に鍵登録サーバ部３１は、識別情報を鍵データベース部３２に登録された場合、登録されたことを表すステータスコードをＬＡＮ側ネットワークインターフェース部３０を介して通信端末装置１１に送信する。通信端末装置１１の鍵登録クライアント部１７は、サーバ装置１２からの識別情報が登録されたことを表すステータスコードを受信すると、サーバ装置１２に送信した鍵データを鍵データベース部１８に登録する。これで鍵データの登録が終了する。
【００５８】
鍵データの登録において、たとえば、ある通信端末装置１１がサーバ装置１２とＶＰＮしている状態で、他の通信端末装置１１が前記サーバ装置１２に鍵データの登録をしようとすると、サーバ装置１２の鍵登録サーバ部３１は、鍵データの登録をしようとしている通信端末装置１１の鍵データの登録を受け付けないようにしてもよい。このようにしてサーバ装置１２に同時にＶＰＮ接続する通信端末装置１１の数を制限することで、セキュリティを向上させることができる。
【００５９】
図６は、通信端末装置１１とサーバ装置１２とのＶＰＮによる通信手順を示すフローチャートである。ステップｓ０で手順が開始されてステップｓ１に進む。
【００６０】
ステップｓ１では、通信端末装置１１の認証クライアント部１９は、多重符号化復号化部１６のＭＵＸ１６ａのポート番号５０００番のポートに、鍵データを含む認証用接続要求信号を与え、通信端末装置１１の多重符号化復号化部１６のＭＵＸ１６ａは、前記認証用接続信号を多重符号化して、ステップｓ２に進む。
【００６１】
ステップｓ２では、通信端末装置１１のネットワークインターフェース部２０は、多重符号化された前記認証用接続信号を、プロキシサーバ１３を介して、サーバ装置１２のポート番号４４３のポートからサーバ装置１２の多重符号化復号化部２８のＤＥＭＵＸ２８ａに送信して、ステップｓ３に進む。
【００６２】
図７は、図６に示すフローチャートのステップｓ１およびステップｓ２における詳細な手順を示すシーケンス図である。まず通信端末装置１１の認証クライアント部１９は、多重符号化復号化部１６のＭＵＸ１６ａのポート番号５０００番のポートに、鍵データを含む認証用接続要求信号を与える。次に多重符号化復号化部１６のＭＵＸ１６ａは、ネットワークインターフェース部２０を介してプロキシサーバ１３に、「CONNECT 200.1.1.1:443 HTTP/1.0」を送信する。ここでサーバ装置１３のＩＰアドレスは、200.1.1.1であるとする。
【００６３】
次にプロキシサーバ１３は、サーバ装置１２のポート番号４４３番のポートに接続する。次にプロキシサーバ１３は、サーバ装置１２のポート番号４４３番のポートへの接続が成功すると、サーバ装置１２との接続が成功したことを表す「HTTP/1.0 200 OK」を前記通信端末装置１１に送信する。ここで通信端末装置１１がプロキシサーバ１３に接続するためにパスワードを入力する必要がある場合、プロキシサーバ１３は、前述の通信端末装置１１へ送信するステータスコード２００の代わりに、パスワードの入力を要求するステータスコード４０７を送信することがある。この場合、通信端末装置１１の利用者が要求に対してパスワードを入力することで、プロキシサーバ１３が再度サーバ装置１２のポート番号４４３番のポートに接続する。この入力されたパスワードは、ＶＰＮによる接続が終了するまで保存され、ＶＰＮによる接続が切断されると破棄される。
【００６４】
次に通信端末装置１１のＭＵＸ１６ａは、プロキシサーバ１３からサーバ装置１２との接続が成功したことを表すステータスコードを受信すると、サーバ装置１２との接続が、サーバ装置１２の多重符号化復号化部２８のＤＥＭＵＸ２８ｂに接続していると認識して、前記ＤＥＭＵＸ２８ｂとの０番の接続であることを表す情報をサーバ装置１２に送信し、サーバ装置１２のＤＥＭＵＸ２８ｂは、前記情報を受信する。ここで通信端末装置１１のＭＵＸ１６ａとサーバ装置１２のＤＥＭＵＸ２８ｂとの通信は、サーバ装置１２への不正なアクセスを防止するために暗号化されており、第三者がサーバ装置１２に正当にアクセスする端末装置であるとなりすましてサーバ装置１２にアクセスすることを防止している。この暗号化は、たとえばＭＤ（Message Digest）５などのハッシング技術と、トリプルＤＥＳ（Data Encryption Standard）などの一般的な暗号化処理によって行われても良い。
【００６５】
次にサーバ装置１２のＤＥＭＵＸ２８ｂは、０番（前述の図３に示す番号０のヘッダのこと）の接続である認証サーバ部３３との接続を行う。認証サーバ部３３との接続が成功すると、サーバ装置１２のＤＥＭＵＸ２８ｂは、通信端末装置１１の多重符号化復号化部１６に、認証サーバ部３３との接続に成功したことを表すステータスコードを送信する。これによって通信端末装置１１の認証クライアント部１９とサーバ装置１２の認証サーバ部３３との接続が確立され、これ以降、この接続で通信端末装置１１とサーバ装置１２とは、ＶＰＮにおいて通信を行うことができる。通信端末装置１１の認証クライアント部１９とサーバ装置１２の認証サーバ部３３との接続が確立されるまでは、サーバ装置１２において、多重符号化復号化部２８とＶＰＮサーバ部３４との接続はなされないものとする。
【００６６】
再び図６を参照して、ステップｓ３では、通信端末装置１１の認証クライアント部１９は、鍵データをサーバ装置１２の認証サーバ部３３に送信し、認証サーバ部３３が認証クライアント部１９からの鍵データがサーバ装置１２の鍵データベース部３２に登録されている鍵データに一致するか否かを判定し、一致する、すなわち認証が成功したと判定するとステップｓ４に進み、一致しない、すなわち認証が失敗したと判定するとステップｓ１３に進む。
【００６７】
ステップｓ４では、サーバ装置１２は、ＶＰＮサーバ部３４の各ポート、図５で示す例ではポート番号４００１番および４００２番のポートを多重符号化復号化部２８に対して開くとともに、多重符号化復号化部２８に鍵データが一致したことを示す信号を送信して、多重符号化復号化部２８は、ＶＰＮサーバ部３４への接続を行い、ステップｓ５に進む。ここでＶＰＮサーバ部３４の各ポートを開くとき、ＶＰＮサーバ部３４の各ポートへのアクセスは、サーバ装置１２内だけからできるように設定する。具体的に述べると、ＯＳがＵＮＩＸおよびＷｉｎｄｏｗｓ（登録商標）である場合、ｂｉｎｄシステムコールで指定するアドレスに「127.0.0.1:4001」のようにローカルループバックのインターフェースのポートを指定する。これによってＶＰＮサーバ部３４の各ポートには、ＤＥＭＵＸ２８ｂ以外からのアクセスを防止することができる。多重符号化復号化部２８に鍵データが一致したことを示す信号を送信するときは、たとえばＵＮＩＸシグナルを送信してもよく、またソケット通信およびその他の通信方法を用いてもよい。また多重符号化復号化部２８が認証サーバ部３３にライブラリとしてリンクされている場合には、関数呼出によって鍵データが一致したことを送信するようにしてもよい。
【００６８】
ステップｓ５では、通信端末装置１１の認証クライアント部１９によってサーバ装置１２との通信が切断される、およびネットワークの障害などで前記通信が切断されるなどして、認証サーバ部３３による認証が失敗したか否かが判定され、失敗していないと判定するとステップｓ６に進み、失敗したと判定するとステップｓ１０に進む。
【００６９】
ステップｓ６では、通信端末装置１１のＶＰＮクライアント部１５は、サーバ装置１２に対して送信すべきＨＴＴＰに従う接続を要求することを表すＨＴＴＰ接続要求信号およびＲＴＳＰに従う接続を要求することを表すＲＴＳＰ接続要求信号があるか否かを判定し、前記信号があると判定するとステップｓ７に進み、前記信号がないと判断するとステップｓ９に進む。
【００７０】
ステップｓ７では、通信端末装置１１のＶＰＮクライアント部１５は、サーバ装置１２に対してＨＴＴＰに従う接続を要求することを表すＨＴＴＰ接続要求信号およびＲＴＳＰに従う接続を要求することを表すＲＴＳＰ接続要求信号を、多重符号化復号化部１６を介してサーバ装置１２に送信して、ステップｓ８に進む。
【００７１】
ステップｓ８では、サーバ装置１２のＶＰＮサーバ部３４は、通信端末装置１１からのＨＴＴＰ接続要求およびＲＴＳＰ接続要求に応答して、ＷＥＢサーバ部３５およびストリーミングサーバ部３６との接続を行い、通信端末装置１１からＷＥＢサーバ部３５およびストリーミングサーバ部３６へのアクセスを許可して、ステップｓ５に戻る。
【００７２】
ステップｓ６において通信端末装置１１からサーバ装置１２に対して送信すべき接続要求信号がないと判定されてステップｓ９に進むと、ステップｓ９では、通信端末装置１１のＶＰＮクライアント部１５は、サーバ装置１２のＶＰＮサーバ部３４にハートビート（heartbeat）信号を定期的に送信して、通信端末装置１１はサーバ装置１２にＶＰＮで接続されていることをサーバ装置１２に伝えるようにして、ステップｓ５に戻る。
【００７３】
ステップｓ５において認証サーバ部３３による認証が失敗したと判断されてステップｓ１０に進むと、ステップｓ１０では、サーバ装置１２の認証サーバ部３３は、通信端末装置１１との全てのＶＰＮによる接続を切断して、ＶＰＮによる接続を切断したことを表す信号を通信端末装置１１に送信して、ステップｓ１１に進む。
【００７４】
ステップｓ１１では、通信端末装置１１の認証クライアント部１９は、サーバ装置１２の認証サーバ部３３からの信号に基づいて、サーバ装置１２とのＶＰＮ接続が切断されたことを検出して、ステップｓ１２に進む。
【００７５】
ステップｓ１２では、サーバ装置１２の認証サーバ部３３は、多重符号化復号化部２８のＤＥＭＵＸ２８ｂの認証サーバ部３３へのポート以外のポートを閉じて、ステップｓ１４に進み、全ての手順を終了する。
【００７６】
ステップｓ３で、認証が失敗したと判断されてステップｓ１３に進むと、ステップｓ１３では、通信端末装置１１は、認証が失敗したことを表すエラーを利用者に報知するように表示して、ステップｓ１４に進み、全ての手順を終了する。
【００７７】
セキュリティをより向上させるために、プロキシサーバ１３に接続するために、通信端末装置１１の利用者に定期的にパスワードを入力を求めるようにしてもよい。
【００７８】
図８は、通信端末装置１１の表示部に表示されるＷＥＢページの一例を示す図である。図９は、図８に示すＷＥＢページを表すＨＴＭＬファイルのソースを示す図である。図８に示すＷＥＢページでは、第１表示領域Ａ１にＷＥＢページのタイトルを示す画像が表示され、前記第１表示領域Ａ１の下方に配置される第２表示領域Ａ２には、サーバ装置１２が録画した番組の録画日時、録画時刻および番組名ならびに録画した番組の映像を再生するストリーミングプレイヤ５０が表示される。ここで第１表示領域Ａ１に表示される画像は、特に閲覧される人を限定しないけれども、第２表示領域Ａ２に表示されるストリーミングプレイヤ５０によって再生される動画像情報は、たとえば著作権の関係により個人利用だけ視聴することが限定される。このように表示される情報には、一般に公表できるものとできないものとがある。
【００７９】
サーバ装置１２のＷＥＢサーバ部３５は、図８に示すようなＷＥＢページを表示させるためのＨＴＭＬで記述されるソースファイルを、たとえばＣＧＩによって生成する。このとき公表してもよい図８の第１表示領域Ａ１に表示される画像情報のＵＲＬを図９（１）に示すように「http://localhost:80/public/title.gif」とする。これは通信端末装置１１からサーバ装置１２へＶＰＮを経由しないで直接ＷＥＢサーバ部３５のポート番号８０番のポートに接続して、ディレクトリ「public」に存在するファイル「title.gif」にアクセスさせるようにしている。また公表できない図８の第２表示領域Ａ２に表示されるストリーミングプレイヤ５０に再生させる動画像情報のＵＲＬを指定するファイルのＵＲＬを図９（１）に示すように「http://localhost:8080/private/video1.html」とする。これは通信端末装置１１からサーバ装置１２へＶＰＮを経由して、すなわち多重符号化復号化部２８のＤＥＭＵＸ２８ｂおよびＶＰＮサーバ部３４を介してＷＥＢサーバ部３５のポート番号８０８０番のポートに接続して、ディレクトリ「private」に存在するファイル「video1.html」にアクセスさせるようにしている。このようにサーバ装置１２のＷＥＢサーバ部３５への接続するポートを異なるようにしたり、ファイルを置いているディレクトリを異なるようにすることで、ＶＰＮを経由してアクセスするかＶＰＮを経由しないでアクセスするかを、通信端末装置１１の接続判定部１４は区別することができる。
【００８０】
またファイル「video1.html」は、ストリーミングプレイヤ５０によって再生すべき動画像情報のＵＲＬを図９（２）に示すように「rtsp://localhost:554/video1.mpg」とする。これは通信端末装置１１からサーバ装置１２へＶＰＮを経由して、すなわち多重符号化復号化部２８のＤＥＭＵＸ２８ｂおよびＶＰＮサーバ部３４を介してストリーミングサーバ部３６のＶＰＮサーバ部３４に対して開いているポート番号５５４番のポートに接続して、ファイル「video1.mpg」にアクセスするようにしている。
【００８１】
このように接続判定部１４は、接続先のＵＲＬに含まれるポート番号およびファイルが存在するディレクトリ名の少なくともいずれか一方に基づいて、ファイルを通信するときにおける通信端末装置１１とサーバ装置１２との接続を、ＶＰＮを経由して接続するか、ＶＰＮを経由しないで接続するかを判定する。
【００８２】
通信端末装置１１がサーバ装置１２のＷＥＢサーバ部３５のポート番号８０番に接続する場合には、ＶＰＮを経由しないで接続されるので、介在されるプロキシサーバ１３のキャッシュ機能が有効となり、プロキシサーバ１３とサーバ装置１２との間の不要なトラフィックを軽減することができる。
【００８３】
通信端末装置１１とサーバ装置１２とがＶＰＮで接続されている場合、セキュリティをより向上させるために、サーバ装置１２の認証サーバ部３３は、認証が成功した後に、ファイアウォール部２７に対して、ＶＰＮ接続されている通信端末装置１１だけからのパケットをファイアウォール部２７から多重符号化復号化部２８のＤＥＭＵＸ２８ｂのポート番号４４３番のポートに与えるようにして、それ以外の通信端末装置からのパケットをＤＥＭＵＸ２８ｂの前記ポートに与えないように設定してもよい。そして通信端末装置１１とサーバ装置１２とのＶＰＮでの接続が切断されると、サーバ装置１２の認証サーバ部３３は、ファイアウォール部２７に対して、多重符号化復号化部２８のＤＥＭＵＸ２８ｂのポート番号４４３番のポートを公開するように設定する。
【００８４】
図１０は、通信端末装置１１の多重符号化復号化部１６の他の実施例のＭＵＸ１６ａにおける信号の多重符号化を説明するための図である。このＭＵＸ１６ａの構成は、前述の図３に示すＭＵＸ１６ａと同様であり、異なるところは、ＭＵＸ１６ａは、プロキシサーバ１３に対して、多重符号化した信号に含まれる番号０のヘッダが付加される信号を、サーバ装置１２のポート番号５６３番のポートに与え、多重符号化した信号に含まれる番号１および２のヘッダが付加される信号を、サーバ装置１２のポート番号４４３番のポートに与えるように指定する。
【００８５】
図１１は、図１０に示す通信端末装置１１の多重符号化復号化部１６のＭＵＸ１６ａに対応するサーバ装置１２の多重符号化復号化部２８のＤＥＭＵＸ２８ｂにおける信号の多重復号化を説明するための図である。図１１に示すサーバ装置１２の多重符号化復号化部２８のＭＵＸ２８ａは、前述の図３に示す通信端末装置１１の多重符号化復号化部１６のＭＵＸ１６ａと同様であるので、説明は省略する。
【００８６】
多重符号化復号化部２８のＤＥＭＵＸ２８ｂは、通信端末装置１１からの多重符号化されたＴＣＰに従う信号を入力する２個の入力ポート３７ａ，３７ｂを有し、前記入力ポートのポート番号は、たとえば５６３番および４４３番である。ＤＥＭＵＸ２８ｂは、通信端末装置１１からの多重符号化されたＴＣＰに従う信号を復号化して、認証サーバ部３０およびＶＰＮサーバ部３４に個別に出力する複数の、図５では３個の出力ポート３８ａ，３８ｂ，３８ｃを有する。このようにＤＥＭＵＸ２８ｂの入力ポート３７ａ，３７ｂの数は出力ポート３８ａ，３８ｂ，３８ｃの数よりも少ない。このときファイアウォール部２７は、ＷＥＢサーバ部３５にアクセスするためのポート番号８０番と、多重符号化復号化部２８にアクセスするためのポート番号４４３番および５６３番のポートだけを公開して、それ以外のポートへのアクセスを遮断するようにする。
【００８７】
プロキシサーバ１３からの、多重符号化されている信号に含まれる番号０のヘッダが付加される信号は、多重符号化復号化部２８のＤＥＭＵＸ２８ａのポート番号が５６３番である第１入力ポート３７ａに与えられ、番号１および２のヘッダが付加される信号は、多重符号化復号化部２８のＤＥＭＵＸ２８ａのポート番号が４４３番である第２入力ポート３７ｂに与えられる。多重符号化されている信号に含まれる番号０のヘッダが付加される信号には、鍵データが含まれており、この信号はＤＥＭＵＸ２８ｂによって多重復号化されて第１出力ポート３８ａから認証サーバ部３３のポート番号４０００番のポートに与えられる。多重符号化されている信号に含まれる番号１のヘッダが付加される信号にはＨＴＴＰに従う信号が含まれており、また番号２のヘッダが付加される信号にはＲＳＴＰに従う信号が含まれており、多重符号化されている信号はＤＥＭＵＸ２８ｂによって多重復号化されて、ＨＴＴＰに従う信号は第２出力ポート３８ｂからＶＰＮサーバ部３４のポート番号４００１番のポートに出力され、ＲＳＴＰに従う信号は第３出力ポート３８ｃからＶＰＮサーバ部３４のポート番号４００２番のポートに出力される。
【００８８】
サーバ装置１２の多重符号化復号化部２８のＤＥＭＵＸ２８ｂの第１入力ポート３７ａは、一般に公開されており、通信端末装置１１からのＶＰＮによる接続要求を受ける。通信端末装置１１とサーバ装置１２とがＶＰＮで接続されると、第１入力ポート３７ａを閉じて第２入力ポート３７ｂをＶＰＮで接続される通信端末装置１１だけに公開し、通信端末装置１１とサーバ装置１２とのＶＰＮによる接続が切断されると、第２入力ポート３７ｂを閉じて、第２入力ポート３７ａを一般に公開する。このようにＶＰＮによる接続が確立されているときとＶＰＮによる接続が切断されているときとで公開するポートを変更することで、セキュリティを向上させることができる。
【図面の簡単な説明】
【００８９】
【図１】本発明の実施の一形態の通信システム１０を示すブロック図である。
【図２】通信端末装置１１の構成を示すブロック図である。
【図３】多重符号化復号化部１６における信号の多重符号化を説明するための図である。
【図４】サーバ装置１２の構成を示すブロック図である。
【図５】多重符号化復号化部２８における信号の多重復号化を説明するための図である。
【図６】通信端末装置１１とサーバ装置１２とのＶＰＮによる通信手順を示すフローチャートである。
【図７】図６に示すフローチャートのステップｓ１およびステップｓ２における詳細な手順を示すシーケンス図である。
【図８】通信端末装置１１の表示部に表示されるＷＥＢページの一例を示す図である。
【図９】図８に示すＷＥＢページを表すＨＴＭＬファイルのソースを示す図である。
【図１０】通信端末装置１１の多重符号化復号化部１６の他の実施例のＭＵＸ１６ａにおける信号の多重符号化を説明するための図である。
【図１１】図１０に示す通信端末装置１１の多重符号化復号化部１６のＭＵＸ１６ａに対応するサーバ装置１２の多重符号化復号化部２８のＤＥＭＵＸ２８ｂにおける信号の多重復号化を説明するための図である。
【図１２】ＶＰＮを構成する通信端末装置１およびサーバ装置２を示すブロック図である。
【符号の説明】
【００９０】
１０  通信システム
１１  通信端末装置
１２  サーバ装置
１４  接続判定部
１５  ＶＰＮクライアント部
１６  多重符号化復号化部
１６ａ  ＤＥＭＵＸ
１９  認証クライアント部
２０  ネットワークインターフェース部
２４ａ，２４ｂ，２４ｃ  入力ポート
２５  出力ポート
２６  ネットワークインターフェース部
２８  多重符号化復号化部
３３  認証サーバ部
３４  ＶＰＮサーバ部
【図１】
2005142915.tif 000003
【図２】
2005142915.tif 000004
【図３】
2005142915.tif 000005
【図４】
2005142915.tif 000006
【図５】
2005142915.tif 000007
【図６】
2005142915.tif 000008
【図７】
2005142915.tif 000009
【図８】
2005142915.tif 000010
【図９】
2005142915.tif 000011
【図１０】
2005142915.tif 000012
【図１１】
2005142915.tif 000013
【図１２】
2005142915.tif 000014