(57)【要約】【課題】端末機器を異なるネットワーク領域に移動させた場合にも、プライベートアドレスの制約を意識することなく通信が行えるネットワークシステムを提供すること。【解決手段】少なくともホーム管理部と移動端末とで構成されるホームリンクを含み、ファイアウォールを介して他のネットワークと接続されるネットワークシステムであって、前記移動端末にはホームアドレスとしてＩＰｖ６またはＭｏｂｉｌｅ  ＩＰｖ６に基づくアドレスが割り当てられ、前記ホーム管理部は、前記ファイアウォールに対し所定のルールを設定削除する機能を有するとともに、移動端末のホームアドレスと移動端末の移動先で生成される気付けアドレスとの対応テーブルを格納することを特徴とするもの。【選択図】        図２
2005006147.tif 000002
【特許請求の範囲】
【請求項１】
少なくともホーム管理部と移動端末とで構成されるホームリンクを含み、ファイアウォールを介して他のネットワークと接続されるネットワークシステムであって、
前記移動端末にはホームアドレスとしてＩＰｖ６またはＭｏｂｉｌｅ  ＩＰｖ６に基づくアドレスが割り当てられ、
前記ホーム管理部は、前記ファイアウォールに対し所定のルールを設定削除する機能を有するとともに、移動端末のホームアドレスと移動端末の移動先で生成される気付けアドレスとの対応テーブルを格納することを特徴とするネットワークシステム。
【請求項２】
前記ファイアウォールには、前記移動端末から送信される気付けアドレスを含むホーム管理部宛のパケットを通過させるルールが設定されていることを特徴とする請求項１記載のネットワークシステム。
【請求項３】
前記移動端末から送信される気付けアドレスを含むホーム管理部宛のパケットは、ＩＰｓｅｃのＥＳＰプロトコルまたはＡＨプロトコルに基づくものであることを特徴とする請求項２記載のネットワークシステム。
【請求項４】
前記ホーム管理部は、前記ファイアウォールに対し、前記移動端末から送信される気付けアドレスを含むホーム管理部宛のパケットを通過させるルールを設定することを特徴とする請求項２または請求項３記載のネットワークシステム。
【請求項５】
前記ホームリンクから移動した移動端末は、通信対象端末との間で、前記ホーム管理部を経由して通信を行うことを特徴とする請求項１から請求項４のいずれかに記載のネットワークシステム。
【請求項６】
前記ファイアウォールは、前記移動端末と通信対象端末との間で所定のデータ授受が行われたとき、前記移動端末と通信対象端末との間での直接通信を許可することを特徴とする請求項１から請求項５のいずれかに記載のネットワークシステム。
【請求項７】
前記ホーム管理部が管理する移動端末の位置情報は有効期限を有するものであり、この有効期限が切れたときは前記ホーム管理部は前記ファイアウォールに設定したルールを削除することを特徴とする請求項１から請求項６のいずれかに記載のネットワークシステム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ネットワークシステムに関し、詳しくは、移動端末からインターネットを介してＬＡＮにアクセスするように構成されたネットワークシステムの改良に関するものである。
【０００２】
【従来の技術】
インターネットに内部ＬＡＮを接続するのにあたっては、内部ＬＡＮのセキュリティを保つために、一般的にファイアウォールを介在させている。図５はこのようなネットワークシステムの概念図であり、内部ＬＡＮ１０はファイアウォール２０を介してインターネット３０に接続されている。内部ＬＡＮ１０には移動端末を含む複数の端末機器１１、１２が設けられ、インターネット３０には端末機器３１が設けられている。
【０００３】
このような構成において、端末機器１１・１２相互間での通信は自由に行えるが、端末機器１１・１２とインターネット３０に設けられている端末機器３１との通信はファイアウォール２０により制限される。端末機器１１・１２から端末機器３１への通信は、端末機器３１のアドレスが分らないと行えない。
【０００４】
ところで、これら端末機器１１・１２を特定するアドレスとしては、一般に、特定のＬＡＮ内において唯一のアドレス空間となるＩＰｖ４プライベートアドレスが用いられている。ここで、端末機器３１から内部ＬＡＮ１０へアクセスするのにあたっては、ファイアウォール２０が内部ＬＡＮ１０へのアクセスを制御しているので、例えば図６に示すように、端末機器３１とファイアウォール２０との間でＩＰｓｅｃ（ＩＰセキュリティプロトコル）のトンネルモードを利用することが行われている。
【０００５】
図６の構成によれば、端末機器３１から内部ＬＡＮ１０の端末機器１１・１２にアクセスすることはできるが、端末機器１１・１２から端末機器３１への通信は端末機器３１のアドレスが分らないと行えない。
【０００６】
【特許文献１】
特開２００２−３２８８６９
【０００７】
【発明が解決しようとする課題】
しかし、図６の構成によれば、例えば端末機器３１を今まで接続されていた本来のネットワークから他のネットワークに移動させたときにはアドレスが変わるため、端末機器１１・１２からアクセスする場合には端末機器１１・１２が端末機器３１の新しいアドレスを知っている必要がある。
【０００８】
また、端末機器３１を他のネットワークに移動させたときには、アクセスできる内部ＬＡＮは限定されるか、内部ＬＡＮごとにＩＰｓｅｃトンネルモードを利用するかあるいは切り替える必要がある。
【０００９】
さらに、他の内部ＬＡＮで同じアドレス空間を利用している可能性があり、この場合には同じアドレス空間を利用しているこれらの機器は同時に通信することができない。
【００１０】
特許文献１には、モバイル機器によりファイアウォールを通してリモートで情報を適用する方法及び装置に関する技術が開示されている。
【００１１】
しかし、特許文献１では、本発明のように、プライベートアドレスの制約を解決することは全く意図していない。
【００１２】
本発明は、このような問題を解決するものであり、その目的は、端末機器を異なるネットワーク領域に移動させた場合にも、プライベートアドレスの制約を意識することなく通信が行えるネットワークシステムを提供することにある。
【００１３】
【課題を解決するための手段】
このような目的を達成する請求項１の発明は、
少なくともホーム管理部と移動端末とで構成されるホームリンクを含み、ファイアウォールを介して他のネットワークと接続されるネットワークシステムであって、
前記移動端末にはホームアドレスとしてＩＰｖ６またはＭｏｂｉｌｅ  ＩＰｖ６に基づくアドレスが割り当てられ、
前記ホーム管理部は、前記ファイアウォールに対し所定のルールを設定削除する機能を有するとともに、移動端末のホームアドレスと移動端末の移動先で生成される気付けアドレスとの対応テーブルを格納することを特徴とする。
【００１４】
請求項２の発明は、請求項１記載のネットワークシステムにおいて、
前記ファイアウォールには、前記移動端末から送信される気付けアドレスを含むホーム管理部宛のパケットを通過させるルールが設定されていることを特徴とする。
【００１５】
請求項３の発明は、請求項２記載のネットワークシステムにおいて、
前記移動端末から送信される気付けアドレスを含むホーム管理部宛のパケットは、ＩＰｓｅｃのＥＳＰプロトコルまたはＡＨプロトコルに基づくものであることを特徴とする。
【００１６】
請求項４の発明は、請求項２または請求項３記載のネットワークシステムにおいて、
前記ホーム管理部は、前記ファイアウォールに対し、前記移動端末から送信される気付けアドレスを含むホーム管理部宛のパケットを通過させるルールを設定することを特徴とする。
【００１７】
請求項５の発明は、請求項１から請求項４のいずれかに記載のネットワークシステムにおいて、
前記ホームリンクから移動した移動端末は、通信対象端末との間で、前記ホーム管理部を経由して通信を行うことを特徴とする。
【００１８】
請求項６の発明は、請求項１から請求項５のいずれかに記載のネットワークシステムにおいて、
前記ファイアウォールは、前記移動端末と通信対象端末との間で所定のデータ授受が行われたとき、前記移動端末と通信対象端末との間での直接通信を許可することを特徴とする。
【００１９】
請求項７の発明は、請求項１から請求項６のいずれかに記載のネットワークシステムにおいて、
前記ホーム管理部が管理する移動端末の位置情報は有効期限を有するものであり、この有効期限が切れたときは前記ホーム管理部は前記ファイアウォールに設定したルールを削除することを特徴とする。
【００２０】
これらにより、端末機器を異なるネットワーク領域に移動させた場合にも、プライベートアドレスの制約を受けることなく通信が行える。
【００２１】
【発明の実施の形態】
以下、図面を用いて本発明の実施態様を説明する。
図１は本発明の実施態様の一例を示す概念システム図であり、移動端末がホームリンク内に位置している移動前の状態を示している。内部ＬＡＮ１０はファイアウォール２０を介して図示しないインターネットに代表される他のネットワークと接続されている。内部ＬＡＮ１０には、通信対象端末１３とホームリンク４０が設けられている。
【００２２】
ホームリンク４０は、ホーム管理部４１と移動端末４２とで構成されている。ホーム管理部４１は、ホームリンク４０に属する移動端末４２を管理する機能を有している。移動端末４２は、通信対象端末１３との間で直接通信を行う。ここで、移動端末４２には、ホームアドレスとして、ＩＰｖ６またはＭｏｂｉｌｅ  ＩＰｖ６に基づく全世界で唯一の固有アドレスが割り当てられている。ＩＰｖ６を用いることにより、プライベートアドレスを用いた場合には複数内部ＬＡＮへの同時アクセスができなくなるという問題を解決できる。そして、Ｍｏｂｉｌｅ  ＩＰｖ６を用いることにより、移動端末４２がホームリンク４０外に移動した場合でも同一アドレスを用いて通信を行えるようにすることができる。
【００２３】
図２は移動端末が図１の状態からホームリンク外に移動した場合を示す概念システム図である。移動端末４２は、ホームリンク４０外に移動したとき、ホーム管理部４１に対して図３に示すようなフォーマットのＢｉｎｄｉｎｇ  Ｕｐｄａｔｅ（ＢＵ）パケットを送信する。ここで、（ａ）のパケットはＩＰｓｅｃのプロトコルとしてＥＳＰ（Ｅｎｃｕｐｓｕｌａｔｉｎｇ  Ｓｅｃｕｒｉｔｙ  Ｐａｙｌｏａｄ）を用いる場合を示し、網掛け部分は暗号化されている。（ｂ）のパケットはＩＰｓｅｃのプロトコルとしてＡＨ（Ａｕｔｈｅｎｔｉｆｉｃａｔｉｏｎ  Ｈｅａｄｅｒ）を用いる場合を示している。いずれの場合も、ＩＰ  Ｈｅａｄｅｒの送信元アドレス（ＳＲＣ）と宛先アドレス（ＤＳＴ）はそれぞれ以下のようになる。
ＳＲＣ＝移動端末４２の移動先で生成されたアドレス（気付けアドレス）
ＤＳＴ＝ホーム管理部４１のアドレス
Ｈｏｍｅ  Ａｄｄｒｅｓｓ  Ｏｐｔｉｏｎには、移動端末４２のホームリンク４０におけるホームアドレスが入る。
【００２４】
このようなシステムにおける通信処理手順を説明する。
１）ファイアウォール２０には予めＨｏｍｅ  Ａｄｄｒｅｓｓ  Ｏｐｔｉｏｎを解読する機能を持たせる。
２）さらに、Ｈｏｍｅ  Ａｄｄｒｅｓｓ  Ｏｐｔｉｏｎに、移動端末４２のホームアドレスを持ちＤＳＴにホーム管理部４１のアドレスを持つ図３に示すＢＵパケットおよびその返信パケットは通過させるルールを定義しておく。
【００２５】
３）移動端末４２は、移動後ホーム管理部４１にＢＵパケットを送信するが、そのパケットはファイアウォール２０を通過することができ、ホーム管理部４１に届く。ホーム管理部４１は移動端末４２にＢＵパケットに対する返信を行う（Ａ）。この返信は（Ｂ）の後でもかまわない。
４）ホーム管理部４１はこの移動端末４２からのＢＵパケットを認証し、正しければホームアドレスと気付けアドレスとの対応テーブルを更新し、移動端末４２の気付けアドレスとホーム管理部４１のアドレスの間のトンネルパケットと、必要に応じて移動端末４２とホーム管理部４１間の通信を提供するためのルールをファイアウォール２０に通知する（Ｂ）。
【００２６】
５）移動端末４２はホーム管理部４１との間にトンネルを構築し、そのトンネルを用いて通信対象端末１３との通信を行う（Ｃ）。なおこのようなトンネルとしてはＩＰｓｅｃのトンネルモードまたはＩＰｖ６  ｏｖｅｒ  ＩＰｖ６などが利用可能である。
６）移動端末４２は再度移動した場合、再度ホーム管理部４１にＢＵパケットを送信するが、このときホーム管理部４１は（Ｂ）で登録したルールを削除し、新しいルールを追加するようにファイアウォール２０に通知する。
【００２７】
７）移動端末４２がホーム管理部４１に位置情報の削除を送信したときに、ホーム管理部４１は（Ｂ）で登録したルールを削除するようにファイアウォール２０に通知する。
８）ホーム管理部４１のもつ移動端末４２の位置情報は有効期限を持つ、この期限が切れたときにホーム管理部４１は（Ｂ）で登録したルールを削除するようにファイアウォール２０に通知する。
【００２８】
図４も移動端末が図１の状態からホームリンク外に移動した場合を示す概念システム図であり、移動端末４２のホームアドレスとしてＩＰｖ６またはＭｏｂｉｌｅ  ＩＰｖ６に基づくアドレスを割り当てた例を示している。
【００２９】
Ｍｏｂｉｌｅ  ＩＰｖ６では移動端末４２が通信対象端末１３と直接通信を行えるようにも定義してある。このときの動作を以下に定義する。この場合も先に紹介した動作と同様に移動端末４２は移動後にホーム管理部４１にＢＵパケットを送信する。このフォーマットも先の例と同様である。
【００３０】
このようなシステムにおける通信処理手順を説明する。
１）ファイアウォール２０には予めＨｏｍｅ  Ａｄｄｒｅｓｓ  Ｏｐｔｉｏｎを解読する機能を持たせる。
２）さらに、Ｈｏｍｅ  Ａｄｄｒｅｓｓ  Ｏｐｔｉｏｎに移動端末４２のホームアドレスを持ち、ＤＳＴにホーム管理部４１のアドレスを持つＢＵパケットおよびその返信パケットは通過させるルールを定義しておく。
【００３１】
３）移動端末４２は移動後、ホーム管理部４１にＢＵパケットを送信するが、そのパケットはファイアウォール２０を通過することができ、ホーム管理部４１に届く。ホーム管理部４１は移動端末４２にＢＵパケットに対する返信を行う（Ａ）。この返信は（Ｂ）の後でもかまわない。
４）ホーム管理部４１はこの移動端末４２からのＢＵパケットを認証し、正しければホームアドレスと気付けアドレスとの対応テーブルを更新し、この移動端末４２の気付けアドレスとホーム管理部４１のアドレスの間のＩＰｓｅｃのトンネルモードのパケットまたはＩＰｖ６  ｏｖｅｒ  ＩＰｖ６トンネルの少なくともいずれかがファイアウォール２０を通過できるルールと、移動端末４２の気付けアドレスと内部ＬＡＮ１０のホストとの間でＣｏＴＩ（Ｃａｒｅ−ｏｆ  Ｔｅｓｔ  Ｉｎｉｔ；気付けテストの初期化）／ＣｏＴ（Ｃａｒｅ−ｏｆ  Ｔｅｓｔ；気付けテスト）のやり取りができるようにファイアウォール２０に通知する。また、必要に応じて移動端末４２とホーム管理部４１間の通信を提供するためのルールをファイアウォール２０に通知する（Ｂ）。
【００３２】
５）移動端末４２はホーム管理部４１との間にＩＰｓｅｃトンネルを構築し、そのトンネルを用いて通信対象端末１３にＨｏＴＩ（Ｈｏｍｅ  Ｔｅｓｔ  Ｉｎｉｔ；ホームテストの初期化）を送り、ＨｏＴ（Ｈｏｍｅ  Ｔｅｓｔ；ホームテスト）を受け取る（Ｃ）。
６）同時に移動端末４２は通信対象端末１３に対してＣｏＴＩを送り、ＣｏＴを受け取る（Ｃ’）。これは、（Ｂ）で通知したルールにより実現可能である。
７）ファイアウォール２０はＣｏＴの転送時に移動端末４２と通信対象端末１３との間でＢＵの授受ができるよう設定を追加する（Ｄ）。この設定変更は、ＣｏＴＩの転送時に行うことも可能である。
【００３３】
８）移動端末４２はＨｏＴとＣｏＴを受信すると、通信対象端末１３に対して直接ＢＵパケットを送信し、通信対象端末１３より返信を受け取る（Ｅ）。もし、通信対象端末１３からの返信が一定時間なければ（Ｄ）で設定したルールは削除される。なお（Ｅ）で期待している返信パケットは利用ポリシによっては送信されない場合がある。この場合、（Ｄ）のルールは、移動端末４２から通信対象端末１３へ送信した最後のＢＵから一定時間後に削除される。
９）ファイアウォール２０はこの返信を転送する際に、移動端末４２、通信対象端末１３間の通信を許容する設定を自身に追加する（Ｆ）。これにより、移動端末４２は通信対象端末１３と直接パケットを授受することができる（Ｇ）。なお（Ｅ）で期待している返信パケットは利用ポリシによっては送信されない場合がある。このため、（Ｆ）のルールは（Ｅ）の移動端末４２から通信対象端末１３へＢＵ転送を行ったときや（Ｄ）のルール設定時などに設定することも考えられる。
【００３４】
１０）移動端末４２は再度移動した場合、再度ホーム管理部４１にＢＵを送信するが、このときホーム管理部４１は（Ｂ）（Ｄ）および（Ｆ）で登録したルールを削除し、新しいルールを追加するようにファイアウォール２０に通知する。
１１）移動端末４２がホーム管理部４１に位置情報の削除を送信したときに、ホーム管理部４１は（Ｂ）（Ｄ）および（Ｆ）で登録したルールを削除するようにファイアウォール２０に通知する。
【００３５】
１２）ホーム管理部４１のもつ移動端末４２の位置情報は有効期限を持つ。この期限が切れたときにホーム管理部４１は（Ｂ）（Ｄ）および（Ｆ）で登録したルールを削除するようにファイアウォール２０に通知する。
１３）（Ｄ）（Ｆ）のルールは移動端末４２と通信対象端末１３間の最後のＢＵパケットから一定時間経過後に削除される。
【００３６】
このように構成される発明の具体的な適用例について説明する。
移動端末４２が無線ＩＰ内線電話機であるとする。社員Ａはこの電話機を持ち歩きホットスポットに入る。社員Ａは、この電話機を使って、社内にいる社員Ｂと通話することができる。
【００３７】
また、社内にいる社員Ｃは、社員Ａに普段どおりの内線番号で通信することが可能となる。
【００３８】
また、この電話機が直接外線から呼び出すこともできるものとすると、会社の外にいる社員Ｄは、公衆電話から社員Ａの電話番号を呼び出すと、社員Ａが社内にいても社外にいても同様に通信が可能になる。
【００３９】
社員Ｍが社内のＰＣを持ち出して、ホットスポットから社内の情報にアクセスできる。同様に、社内にいる社員Ｌは、社外にいる社員ＡのＰＣに対して、社内にいるときと同様にアクセスすることができる。
【００４０】
移動端末４２は、ネットワークに接続されることにより、ホーム管理部４１に対して移動通知を行う。この機能により、外出中の社員の所在を把握することができる。すなわち、社内のネットワーク監視ツールとホーム管理部４１を連動させることで、誰が何時どこへ行ったかをトレースすることができる。
【００４１】
また、連絡を取りたい場合にはその社員を登録することで、その人がネットワークに接続したタイミングで待っている人に通知することができる。電話をかけたときに相手がネットワークにいない場合、例えばネットワーク管理部に相手や自分の番号を自動的に登録しておくことにより、その相手がネットワークに接続したときに、相手や自分の電話に通知がくるようにすることもできる。
【００４２】
なお、上記実施例では、ファイアウォール２０とホーム管理部４１とを個別に設ける例を示したが、両者を一体化してもよい。一体化することによりシステムを構成するための装置数を減らすことができてシステム全体の小型化が図れ、ＳＯＨＯにおけるネットワークの構築に有効である。
【００４３】
【発明の効果】
以上説明したように、本発明のネットワークシステムによれば、端末機器を異なるネットワーク領域に移動させた場合にも、プライベートアドレスの制約を意識することなく通信が行えるネットワークシステムを提供することができる。
具体的には、社員が外出中であっても社内にいるときと同様に使えるネットワークを提供でき、携帯電話などの通信費を削減できる。そして、外出中の社員が社内の環境にアクセスできるのみならず、他の社員が外出中の社員に対しても能動的にアクセスできる。
【図面の簡単な説明】
【図１】本発明の実施態様の一例を示す概念システム図である。
【図２】移動端末が図１の状態からホームリンク外に移動した場合を示す概念システム図である。
【図３】ＢＵパケットのフォーマット例図である。
【図４】移動端末が図１の状態からホームリンク外に移動した場合を示す他の概念システム図である。
【図５】従来のネットワークシステムの概念図である。
【図６】ＩＰｓｅｃトンネルモードの動作説明図である。
【符号の説明】
１０  内部ＬＡＮ
１３  通信対象端末
２０  ファイアウォール
３０  インターネット
４０  ホームリンク
４１  ホーム管理部
４２  移動端末
【図１】
2005006147.tif 000003
【図２】
2005006147.tif 000004
【図３】
2005006147.tif 000005
【図４】
2005006147.tif 000006
【図５】
2005006147.tif 000007
【図６】
2005006147.tif 000008