(57)【要約】【課題】家庭内端末やホームサーバ等での認証を不要とし、ユーザのメンテナンス負担を軽減すること、及び認証を管理装置で統括して実施し、管理することでセキュリティ強化を図ることにある。【解決手段】この発明の通信システムは、管理装置としての網内システム１により、宅内接続端末２、或いは外部接続端末４からの認証要求により端末のアクセス可否を判断し、アクセスを許可すべき場合には、宅内接続端末２との間で仮想論理パスを構築し、更に外部接続端末４との間で仮想論理パスを構築し、宅内接続端末２と外部接続端末４との間でレイヤ２通信、或いは１つのサブネットで構成されたレイヤ３通信を可能とするものである。【選択図】    図１
2005012424.tif 000002
【特許請求の範囲】
【請求項１】
第１のアクセス端末及び第２のアクセス端末からの認証要求に基づいて、これら端末のアクセス可否を判断する認証手段と、
上記認証手段による判断の結果、上記第１のアクセス端末によるアクセスを許可する場合には、当該第１のアクセス端末との間で第１の仮想論理パスを構築する第１の仮想論理パス設定手段と、
上記認証手段による判断の結果、上記第２のアクセス端末によるアクセスを許可する場合には、当該第２のアクセス端末との間で第２の仮想論理パスを構築する第２の仮想論理パス２設定手段と、
を有する管理装置により、
上記第１のアクセス端末と上記第２のアクセス端末との間でレイヤ２通信又は１つのサブネットで構成されたレイヤ３通信を可能とする、
ことを特徴とする通信システム。
【請求項２】
上記第１のアクセス端末は、第３の端末との間の物理パスと管理装置との間の第１の仮想論理パスとをブリッジ接続する機能を有しており、
当該機能により、上記第３の端末と上記第２のアクセス端末との間でレイヤ２通信又は１つのサブネットで構成されたレイヤ３通信を可能とする、ことを更に特徴とする請求項１に記載の通信システム。
【請求項３】
上記レイヤ２通信又は１つのサブネットで構成されたレイヤ３通信の少なくとも一部において、暗号化されたデータを通信することを更に特徴とする請求項１又は２のいずれかに記載の通信システム。
【請求項４】
上記第３の端末と上記第１のアクセス端末との間の物理パスは常時接続されていることを更に特徴とする請求項２又は３のいずれかに記載の通信システム。
【請求項５】
上記第１の仮想論理パスは上記第１のアクセス端末の電源がオンである限り常時接続されていることを更に特徴とする請求項１乃至４のいずれかに記載の通信システム。
【請求項６】
第１のアクセス端末及び第２のアクセス端末からの認証要求に基づいて、これら端末のアクセス可否を判断する認証手段と、
上記認証手段による判断の結果、上記第１のアクセス端末及び第２のアクセス端末によるアクセスの両方を許可する場合には、当該第１のアクセス端末と上記第２のアクセス端末との間で仮想論理パスを構築するように指示をする仮想論理パス設定指示手段と、
を有する管理装置により、
上記第１のアクセス端末と上記第２のアクセス端末との間でレイヤ２通信又は１つのサブネットで構成されたレイヤ３通信を可能とする、
ことを特徴とする通信システム。
【請求項７】
上記第１のアクセス端末は、第３の端末との間の物理パスと上記第２のアクセス端末との間の仮想論理パスとをブリッジ接続する機能を有しており、当該機能により、上記第３の端末と上記第２のアクセス端末との間でレイヤ２通信又は１つのサブネットで構成されたレイヤ３通信を可能とする、ことを更に特徴とする請求項６に記載の通信システム。
【請求項８】
上記レイヤ２通信又は１つのサブネットで構成されたレイヤ３通信の少なくとも一部において、暗号化されたデータを通信することを更に特徴とする請求項６又は７のいずれかに記載の通信システム。
【請求項９】
上記第３の端末と上記第１のアクセス端末との間の物理パスは常時接続されていることを更に特徴とする請求項６乃至８のいずれかに記載の通信システム。
【請求項１０】
上記レイヤ２通信は、イーサーネット又はファストイーサーネットを意味することを更に特徴とする請求項１乃至９のいずれかに記載の通信システム。
【請求項１１】
第１のアクセス端末及び第２のアクセス端末からの認証要求に基づいて、これら端末のアクセス可否を判断する認証手段と、
上記認証手段による判断の結果、上記第１のアクセス端末によるアクセスを許可する場合には、当該第１のアクセス端末との間で仮想論理パスを構築する仮想論理パス設定手段と、
上記第１のアクセス端末と上記第２のアクセス端末との間のデータ通信においてプロキシ機能によりデータの中継を行うプロキシ手段と、
を有する管理装置により、
上記第１のアクセス端末と上記第２のアクセス端末との間でデータ通信を可能とすることを特徴とする通信システム。
【請求項１２】
上記第１のアクセス端末と同種の端末を複数有しており、
上記プロキシ手段は、仮想論理パスに付与された識別子を判別する識別子判別機能と、上記第２のアクセス端末からのデータに付加されたＵＲＬ情報に基づき識別子を認識し仮想論理パスを選択する仮想論理パス選択機能とを有する、ことを更に特徴とする請求項１１に記載の通信システム。
【請求項１３】
上記第１のアクセス端末は、第３の端末との間の物理パスと管理装置との間の仮想論理パスとをブリッジ接続する機能を有しており、当該機能により、上記第３の端末と上記第２のアクセス端末との間でデータ通信を可能とする、ことを更に特徴とする請求項１１に記載の通信システム。
【請求項１４】
上記第１のアクセス端末と同種の端末を複数有しており、
上記プロキシ手段は、仮想論理パスに付与された識別子を判別する識別子判別機能と、上記第２のアクセス端末からのデータに付加されたＵＲＬ情報に基づき識別子を認識し仮想論理パスを選択する仮想論理パス選択機能と、上記第２のアクセス端末からのデータに付加されたＵＲＬ情報に基づき上記第３の端末を選択する第３の端末選択機能とを有する、
ことを更に特徴とする請求項１３に記載の通信システム。
【請求項１５】
上記第１のアクセス端末と上記管理装置間、或いは上記第３の端末と上記管理装置間のデータ通信は、レイヤ２通信、或いは１つのサブネットで構成されたレイヤ３通信であることを更に特徴とする請求項１１乃至１４のいずれかに記載の通信システム。
【請求項１６】
第１のアクセス端末及び第２のアクセス端末からの認証要求に基づいて、これら端末のアクセス可否を判断する認証手段と、
上記認証手段による判断の結果、上記第１のアクセス端末によるアクセスを許可する場合には、当該第１のアクセス端末との間で第１の仮想論理パスを構築する第１の仮想論理パス設定手段と、
上記認証手段による判断の結果、上記第２のアクセス端末によるアクセスを許可する場合には、当該第２のアクセス端末との間で第２の仮想論理パスを構築する第２の仮想論理パス２設定手段と、
を有し、データ通信の少なくとも一部が上記第１のアクセス端末と上記第２のアクセス端末との間でレイヤ２通信又は１つのサブネットで構成されたレイヤ３通信を可能とすることを特徴とする管理装置。
【請求項１７】
第１のアクセス端末及び第２のアクセス端末からの認証要求に基づいて、これら端末のアクセス可否を判断する認証手段と、
上記認証手段による判断の結果、上記第１のアクセス端末及び第２のアクセス端末によるアクセスの両方を許可する場合には、当該第１のアクセス端末と上記第２のアクセス端末との間で仮想論理パスを構築するように指示をする仮想論理パス設定指示手段と、
を有し、データ通信の少なくとも一部が上記第１のアクセス端末と上記第２のアクセス端末との間でレイヤ２通信又は１つのサブネットで構成されたレイヤ３通信を可能とすることを特徴とする管理装置。
【請求項１８】
第１のアクセス端末及び第２のアクセス端末からの認証要求に基づいて、これら端末のアクセス可否を判断する認証手段と、
上記認証手段による判断の結果、上記第１のアクセス端末によるアクセスを許可する場合には、当該第１のアクセス端末との間で仮想論理パスを構築する仮想論理パス設定手段と、
上記第１のアクセス端末と上記第２のアクセス端末との間のデータ通信においてプロキシ機能によりデータの中継を行うプロキシ手段と、
を有し、データ通信の少なくとも一部が上記第１のアクセス端末と上記第２のアクセス端末との間でデータ通信を可能とすることを特徴とする管理装置。
【請求項１９】
上記第１のアクセス端末と同種の複数の端末と通信自在である場合において、上記プロキシ手段は、仮想論理パスに付与された識別子を判別する識別子判別機能と、上記第２のアクセス端末からのデータに付加されたＵＲＬ情報に基づき識別子を認識し仮想論理パスを選択する仮想論理パス選択機能とを有する、ことを更に特徴とする請求項１８に記載の管理装置。
【請求項２０】
上記第１のアクセス端末と同種の複数の端末と通信自在である場合において、上記プロキシ手段は、仮想論理パスに付与された識別子を判別する識別子判別機能と、上記第２のアクセス端末からのデータに付加されたＵＲＬ情報に基づき識別子を認識し仮想論理パスを選択する仮想論理パス選択機能と、上記第２のアクセス端末からのデータに付加されたＵＲＬ情報に基づき上記第３の端末を選択する第３の端末選択機能とを有する、ことを更に特徴とする請求項１８に記載の管理装置。
【請求項２１】
上記第１のアクセス端末と上記管理装置間、或いは上記第３の端末と上記管理装置間のデータ通信は、レイヤ２通信、或いは１つのサブネットで構成されたレイヤ３通信であることを更に特徴とする請求項１８乃至２０のいずれかに記載の管理装置。
【請求項２２】
上記レイヤ２通信は、イーサーネット又はファストイーサーネットを意味することを更に特徴とする請求項１６乃至２１のいずれかに記載の管理装置。
【請求項２３】
上記レイヤ２通信又は１つのサブネットで構成されたレイヤ３通信の少なくとも一部において、暗号化されたデータを通信することを更に特徴とする請求項１６乃至２１のいずれかに記載の管理装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、例えば家庭内端末やホームサーバ等での認証を代わりに実施する管理装置及び通信システムに関する。
【０００２】
【従来の技術】
従来、インターネットの用途は情報収集であったが、ＤＳＬ等の常時接続化により、家庭内のパーソナルコンピュータ、更にはネット家電等への接続に注目が集まりつつある。現状では、こうした要求を実現する為には、家庭内にホームサーバ等のゲートウェイ機器を設置し、当該ゲートウェイ機器にて認証を実施することで、家庭内ネットワークへのアクセス許可を行う必要がある。
【０００３】
ここで、例えば非特許文献１では、ＰＰＴＰを使ったＶＰＮの構築に関する技術が開示されている。この技術を用いることにより、家庭内に安全にアクセスすることが可能となるが、この実現には、高度な専門知識と、エンドユーザーによる日々のメンテナンスが必要となる。
【０００４】
【非特許文献１】
ＵＮＩＸ  ＵＳＥＲ  ２００３／６  「第１特集  我らトンネルビルダー」
【０００５】
【発明が解決しようとする課題】
しかしながら、家庭内端末、ホームサーバ等で認証を行う形態では、個々の端末にて認証アプリケーションを設定する必要がある。即ち、高価な機器やそれを扱う技術的な専門知識が必要のみならず、認証アプリケーションの最新バージョンへのバージョンアップ、短期間でのハードウェアの更新等といった継続的なメンテナンスをユーザ自身が行う必要がある。
【０００６】
本発明は上記問題に鑑みてなされたものであり、その目的とするところは、家庭内端末やホームサーバ等での認証を不要とし、ユーザのメンテナンス負担を軽減すること、及び認証を管理装置で統括して実施し、管理することでセキュリティ強化を図ることにある。
【０００７】
【課題を解決するための手段】
上記目的を達成するために、請求項１に係る発明として、第１のアクセス端末及び第２のアクセス端末からの認証要求に基づいて、これら端末のアクセス可否を判断する認証手段と、上記認証手段による判断の結果、上記第１のアクセス端末によるアクセスを許可する場合には、当該第１のアクセス端末との間で第１の仮想論理パスを構築する第１の仮想論理パス設定手段と、上記認証手段による判断の結果、上記第２のアクセス端末によるアクセスを許可する場合には、当該第２のアクセス端末との間で第２の仮想論理パスを構築する第２の仮想論理パス２設定手段と、を有する管理装置により、上記第１のアクセス端末と上記第２のアクセス端末との間でレイヤ２通信又は１つのサブネットで構成されたレイヤ３通信を可能とする、ことを特徴とする通信システムが提供される。
【０００８】
そして、請求項２に係る発明として、上記第１のアクセス端末は、第３の端末との間の物理パスと管理装置との間の第１の仮想論理パスとをブリッジ接続する機能を有しており、当該機能により、上記第３の端末と上記第２のアクセス端末との間でレイヤ２通信又は１つのサブネットで構成されたレイヤ３通信を可能とすることを更に特徴とする請求項１に記載の通信システムが提供される。
【０００９】
さらに、請求項３に係る発明として、上記レイヤ２通信又は１つのサブネットで構成されたレイヤ３通信の少なくとも一部において、暗号化されたデータを通信することを更に特徴とする請求項１又は２のいずれかに記載の通信システムが提供される。
【００１０】
また、請求項４に係る発明として、上記第３の端末と上記第１のアクセス端末との間の物理パスは常時接続されていることを更に特徴とする請求項２又は３のいずれかに記載の通信システムが提供される。
【００１１】
そして、請求項５に係る発明として、上記第１の仮想論理パスは上記第１のアクセス端末の電源がオンである限り常時接続されていることを更に特徴とする請求項１乃至４のいずれかに記載の通信システムが提供される。
【００１２】
さらに、請求項６に係る発明として、第１のアクセス端末及び第２のアクセス端末からの認証要求に基づいて、これら端末のアクセス可否を判断する認証手段と、上記認証手段による判断の結果、上記第１のアクセス端末及び第２のアクセス端末によるアクセスの両方を許可する場合には、当該第１のアクセス端末と上記第２のアクセス端末との間で仮想論理パスを構築するように指示をする仮想論理パス設定指示手段と、を有する管理装置により、上記第１のアクセス端末と上記第２のアクセス端末との間でレイヤ２通信又は１つのサブネットで構成されたレイヤ３通信を可能とする、ことを特徴とする通信システムが提供される。
【００１３】
また、請求項７に係る発明として、上記第１のアクセス端末は、第３の端末との間の物理パスと上記第２のアクセス端末との間の仮想論理パスとをブリッジ接続する機能を有しており、当該機能により、上記第３の端末と上記第２のアクセス端末との間でレイヤ２通信又は１つのサブネットで構成されたレイヤ３通信を可能とする、ことを更に特徴とする請求項６に記載の通信システムが提供される。
【００１４】
そして、請求項８に係る発明として、上記レイヤ２通信又は１つのサブネットで構成されたレイヤ３通信の少なくとも一部において、暗号化されたデータを通信することを更に特徴とする請求項６又は７のいずれかに記載の通信システムが提供される。
【００１５】
さらに、請求項９に係る発明として、上記第３の端末と上記第１のアクセス端末との間の物理パスは常時接続されていることを更に特徴とする請求項６乃至８のいずれかに記載の通信システムが提供される。
【００１６】
また、請求項１０に係る発明として、上記レイヤ２通信は、イーサーネット又はファストイーサーネットを意味することを更に特徴とする請求項１乃至９のいずれかに記載の通信システムが提供される。
【００１７】
請求項１１に係る発明として、第１のアクセス端末及び第２のアクセス端末からの認証要求に基づいて、これら端末のアクセス可否を判断する認証手段と、上記認証手段による判断の結果、上記第１のアクセス端末によるアクセスを許可する場合には、当該第１のアクセス端末との間で仮想論理パスを構築する仮想論理パス設定手段と、上記第１のアクセス端末と上記第２のアクセス端末との間のデータ通信においてプロキシ機能によりデータの中継を行うプロキシ手段と、を有する管理装置により、上記第１のアクセス端末と上記第２のアクセス端末との間でデータ通信を可能とすることを特徴とする通信システムが提供される。
【００１８】
請求項１２に係る発明として、上記第１のアクセス端末と同種の端末を複数有しており、上記プロキシ手段は、仮想論理パスに付与された識別子を判別する識別子判別機能と、上記第２のアクセス端末からのデータに付加されたＵＲＬ情報に基づき識別子を認識し仮想論理パスを選択する仮想論理パス選択機能とを有することを更に特徴とする請求項１１に記載の通信システムが提供される。
【００１９】
また、請求項１３に係る発明として、上記第１のアクセス端末は、第３の端末との間の物理パスと管理装置との間の仮想論理パスとをブリッジ接続する機能を有しており、当該機能により、上記第３の端末と上記第２のアクセス端末との間でデータ通信を可能とする、ことを更に特徴とする請求項１１に記載の通信システムが提供される。
【００２０】
そして、請求項１４に係る発明として、上記第１のアクセス端末と同種の端末を複数有しており、上記プロキシ手段は、仮想論理パスに付与された識別子を判別する識別子判別機能と、上記第２のアクセス端末からのデータに付加されたＵＲＬ情報に基づき識別子を認識し仮想論理パスを選択する仮想論理パス選択機能と、上記第２のアクセス端末からのデータに付加されたＵＲＬ情報に基づき上記第３の端末を選択する第３の端末選択機能とを有する、ことを更に特徴とする請求項１３に記載の通信システムが提供される。
【００２１】
さらに、請求項１５に係る発明として、上記第１のアクセス端末と上記管理装置間、或いは上記第３の端末と上記管理装置間のデータ通信は、レイヤ２通信、或いは１つのサブネットで構成されたレイヤ３通信であることを更に特徴とする請求項１１乃至１４のいずれかに記載の通信システムが提供される。
【００２２】
また、請求項１６に係る発明として、第１のアクセス端末及び第２のアクセス端末からの認証要求に基づいて、これら端末のアクセス可否を判断する認証手段と、上記認証手段による判断の結果、上記第１のアクセス端末によるアクセスを許可する場合には、当該第１のアクセス端末との間で第１の仮想論理パスを構築する第１の仮想論理パス設定手段と、上記認証手段による判断の結果、上記第２のアクセス端末によるアクセスを許可する場合には、当該第２のアクセス端末との間で第２の仮想論理パスを構築する第２の仮想論理パス２設定手段と、を有し、データ通信の少なくとも一部が上記第１のアクセス端末と上記第２のアクセス端末との間でレイヤ２通信又は１つのサブネットで構成されたレイヤ３通信を可能とすることを特徴とする管理装置が提供される。
【００２３】
請求項１７に係る発明として、第１のアクセス端末及び第２のアクセス端末からの認証要求に基づいて、これら端末のアクセス可否を判断する認証手段と、上記認証手段による判断の結果、上記第１のアクセス端末及び第２のアクセス端末によるアクセスの両方を許可する場合には、当該第１のアクセス端末と上記第２のアクセス端末との間で仮想論理パスを構築するように指示をする仮想論理パス設定指示手段と、を有し、データ通信の少なくとも一部が上記第１のアクセス端末と上記第２のアクセス端末との間でレイヤ２通信又は１つのサブネットで構成されたレイヤ３通信を可能とすることを特徴とする管理装置が提供される。
【００２４】
さらに、請求項１８に係る発明として、第１のアクセス端末及び第２のアクセス端末からの認証要求に基づいて、これら端末のアクセス可否を判断する認証手段と、上記認証手段による判断の結果、上記第１のアクセス端末によるアクセスを許可する場合には、当該第１のアクセス端末との間で仮想論理パスを構築する仮想論理パス設定手段と、上記第１のアクセス端末と上記第２のアクセス端末との間のデータ通信においてプロキシ機能によりデータの中継を行うプロキシ手段と、を有し、データ通信の少なくとも一部が上記第１のアクセス端末と上記第２のアクセス端末との間でデータ通信を可能とすることを特徴とする管理装置が提供される。
【００２５】
また、請求項１９に係る発明として、上記第１のアクセス端末と同種の複数の端末と通信自在である場合において、上記プロキシ手段は、仮想論理パスに付与された識別子を判別する識別子判別機能と、上記第２のアクセス端末からのデータに付加されたＵＲＬ情報に基づき識別子を認識し仮想論理パスを選択する仮想論理パス選択機能とを有する、ことを更に特徴とする請求項１８に記載の管理装置が提供される。
【００２６】
そして、請求項２０に係る発明として、上記第１のアクセス端末と同種の複数の端末と通信自在である場合において、上記プロキシ手段は、仮想論理パスに付与された識別子を判別する識別子判別機能と、上記第２のアクセス端末からのデータに付加されたＵＲＬ情報に基づき識別子を認識し仮想論理パスを選択する仮想論理パス選択機能と、上記第２のアクセス端末からのデータに付加されたＵＲＬ情報に基づき上記第３の端末を選択する第３の端末選択機能とを有することを更に特徴とする請求項１８に記載の管理装置が提供される。
【００２７】
さらに、請求項２１に係る発明として、上記第１のアクセス端末と上記管理装置間、或いは上記第３の端末と上記管理装置間のデータ通信は、レイヤ２通信、或いは１つのサブネットで構成されたレイヤ３通信であることを更に特徴とする請求項１８乃至２０のいずれかに記載の管理装置が提供される。
【００２８】
また、請求項２２に係る発明として、上記レイヤ２通信は、イーサーネット又はファストイーサーネットを意味することを更に特徴とする請求項１６乃至２１のいずれかに記載の管理装置が提供される。
【００２９】
そして、請求項２３に係る発明として、上記レイヤ２通信又は１つのサブネットで構成されたレイヤ３通信の少なくとも一部において、暗号化されたデータを通信することを更に特徴とする請求項１６乃至２１のいずれかに記載の管理装置が提供される。
【００３０】
【発明の実施の形態】
以下、図面を参照して、本発明の実施の形態について説明する。
【００３１】
（第１の実施の形態）
図１には、本発明の第１の実施の形態に係る管理装置及びそれを用いた通信システムの構成を示し説明する。この図１に示されるように、管理装置としての網内システム１、宅内接続端末２、外部接続端末４は、レイヤ３ネットワーク５を介して通信自在に接続されている。この宅内接続端末２は、更にレイヤ２セグメント６を介して、宅内端末３と通信自在に接続されている。宅内接続端末２としては、例えばゲートウェイ装置の如きものを採用することができる。但し、宅内接続端末２は認証サーバを備えていなくてもよい。また、宅内端末３と宅内接続端末２との間の物理パスは、常時接続されていてもよい。
【００３２】
各端末２乃至４及び網内システム１の詳細な構成については後述する。
【００３３】
このような構成において、宅内接続端末２又は外部接続端末４から認証要求が順次になされると、網内システム１は当該要求を受けて、宅内接続端末２又は外部接続端末４のアクセス可否を判断する。そして、網内システム１は、アクセスを許可する場合には、宅内接続端末２、外部接続端末４との間でそれぞれ仮想論理パスを構築する。これにより、宅内接続端末２と外部接続端末４との間でのレイヤ２通信又は１つのサブネットで構成されたレイヤ３通信を可能とする。
【００３４】
以下、図２のフローチャートを参照して、本発明の第１の実施の形態に係る通信システムにおける、宅内接続端末２、網内システム１、外部接続端末４間のレイヤ２通信の流れを詳細に説明する。
【００３５】
宅内接続端末２の電源がオンされ（ステップＳ１）、網内システム１に認証要求がなされると（ステップＳ２）、網内システム１は当該認証要求を受け、宅内接続端末２によるアクセスの可否を判断し、アクセスを許可する場合には、宅内接続端末２にその旨を返信する（ステップＳ３）。こうして、宅内接続端末２と網内システム１との間で仮想パスに係わる情報交換を行い（ステップＳ４）、両者において仮想パス設定を行い（ステップＳ５，Ｓ６）、宅内接続端末２と網内システム１との間で仮想論理パス（仮想レイヤ２（▲１▼））を構築する。
【００３６】
以上で、事前準備にかかる通信処理を終了する。
【００３７】
上記事前準備の後に、外部接続端末４にてアクセスボタンがクリックされ（ステップＳ７）、網内システム１に認証要求がなされると（ステップＳ８）、網内システム１は、当該認証要求を受けて、外部接続端末４によるアクセスの可否を判断し、アクセスを許可する場合には、外部接続端末４にその旨を返信する（ステップＳ９）。こうして、外部接続端末４と網内システム１との間で仮想パスに係わる情報交換を行い（ステップＳ１０）、両者において仮想パス設定を行い（ステップＳ１１，Ｓ１２）、外部接続端末４と網内システム１との間で仮想論理パス（仮想レイヤ２（▲２▼））を構築する。
【００３８】
次いで、網内システム１は、ブリッジ設定を行い（ステップＳ１３）、宅内接続端末２と外部接続端末４との間で仮想論理パス（仮想レイヤ２（▲１▼＋▲２▼））を構築する。以上で、外部接続にかかる通信処理を終了する。
【００３９】
ここで、図３のフローチャートを参照して、上記「認証」、「仮想パスに係わる情報交換」、「仮想パスの設定」について更に詳細に説明する。
【００４０】
以下の説明は、他の実施の形態におけるレイヤ２または一つのサブネットで構成されたレイヤ３通信のための仮想論理パスを構築する際の、認証及びパケット送信の為の準備手順にも共通している。
【００４１】
宅内接続端末２による「認証」では（ステップＳ２０）、宅内接続端末２はユーザＩＤ及びパスワードを網内システム１に送信する（ステップＳ２０ａ）。網内システム１は、このユーザＩＤ、パスワードを受けると、ユーザ管理ＤＢを参照して、ユーザ認証を行い（ステップＳ２０ｂ）、宅内接続端末２によるアクセスを許可する場合、宅内接続端末２にその旨を返信する（ステップＳ２０ｃ）。
【００４２】
また、宅内接続端末２と網内システム１との間で「仮想パスに係わる情報交換」では（ステップＳ２１）、宅内接続端末２は、ＩＰアドレスに係る情報（この例では１６５．０．２．１）等を網内システム１に送信する（ステップＳ２１ａ）。網内システム１は、このＩＰアドレスに係る情報を受けると、ＶＰＮに関するテーブルに宅内接続端末２のＩＰアドレスを追加する（ステップＳ２１ｂ）。
【００４３】
以降、網内システム１は、例えば１６５．０．２．１からは、ｕｓｅｒ＿ｂ向けＥｔｈｅｒＩＰのパケットが送信されることをＶＰＮに関するテーブルにより認識する。
【００４４】
次いで、網内システム１は、システム自身のＩＰアドレスに係る情報（この例では、１６９．１００．０．１）を宅内接続端末２に送信する（ステップＳ２１ｄ）。
【００４５】
但し、このＩＰアドレスに関する情報は必ずしも必要ではなく、セキュリティの情報交換だけを行う場合もあることは勿論である。
【００４６】
尚、暗号化処理を含む場合には、「仮想パスに係わる情報交換」に暗号の情報交換が含まれることになる。交換する情報は上記のものに限定されず、例えばプロトコル情報の収集（カプセル化したデータの取り扱い条件、プライベートＩＰアドレスの割り当て、暗号化に係る情報等）も含まれる。
【００４７】
こうして、宅内接続端末２は、網内システム１のＩＰアドレスに係る情報を受けると、「仮想パスの設定」を行い、この設定以降は、ローカルネットワークのデータを例えばＥｔｈｅｒＩＰによりカプセル化し、網内システム１のＩＰアドレスに送信するものとして認識することになる（ステップＳ２２）。
【００４８】
以上説明したように、本発明の第１の実施の形態では、宅内接続端末２、外部接続端末４によるアクセスの方向が全て網内システム１に向かうので、宅内接続端末２がサーバ機能を備える必要はない。より詳細には、従来技術による通信では、宅内接続端末２がサーバとなり、外部からのアクセスを受け付けていたが、第１の実施の形態によれば、宅内接続端末は網内システムに対するクライアントとなる為、セキュリティホール等の管理を行わずに済み、メンテナンス負担が軽減される上、セキュリティが強化される。また、第１の実施の形態では、外部接続端末４と宅内接続端末２が同一のセグメントとなる。
【００４９】
（第２の実施の形態）
第２の実施の形態に係る通信システムでは、宅内接続端末２においてブリッジ設定を行うことで、外部接続端末４と宅内端末３とが同一のセグメントとなることを特徴としている。即ち、宅内接続端末２は、宅内端末３との間の物理パスと網内システム１との間の仮想論理パスとをブリッジ接続する機能を有し、宅内端末３と外部接続端末４との間でレイヤ２通信又は１つのサブネットで構成されたレイヤ３通信を可能とすることを特徴とする。
【００５０】
さらに、この第２の実施の形態に係る通信システムでは、このレイヤ２通信又は１つのサブネットで構成されたレイヤ３通信の少なくとも一部において、暗号化されたデータを通信することを可能とする。
【００５１】
尚、システム構成については、図１と同様であるので、同一構成については同一符号を用い、重複した説明は省略する。
【００５２】
以下、図４のフローチャートを参照して、本発明の第２の実施の形態に係る通信システムにおける、宅内端末３、宅内接続端末２、網内システム１、外部接続端末４間のレイヤ２通信の流れを詳細に説明する。
【００５３】
この例では、宅内端末３と宅内接続端末２との間には物理パス（レイヤ２（▲３▼））が張られており、通信自在となっていることが前提となる。
【００５４】
さて、宅内接続端末２の電源がオンされ（ステップＳ３０）、網内システム１に認証要求がなされると（ステップＳ３１）、網内システム１は当該認証要求を受け、宅内接続端末２によるアクセスの可否を判断する。そして、アクセスを許可する場合には、宅内接続端末２にその旨を返信する（ステップＳ３２）。
【００５５】
こうして、宅内接続端末２と網内システム１との間で仮想パスに係わる情報交換を行い（ステップＳ３３）、両者において仮想パス設定を行い（ステップＳ３４，Ｓ３５）、宅内接続端末２と網内システム１との間で仮想論理パス（仮想レイヤ２（▲１▼））を構築する。宅内接続端末２は、ブリッジ設定を行い（ステップＳ３６）、宅内接続端末２と宅内端末３との間で仮想論理パス（仮想レイヤ２（▲１▼＋▲３▼））を構築する。以上で、事前準備にかかる通信処理を終了する。
【００５６】
上記事前準備の後、外部接続端末４にてアクセスボタンがクリックされ（ステップＳ３７）、網内システム１に認証要求がなされると（ステップＳ３８）、網内システム１は当該認証要求を受けて、外部接続端末４によるアクセスの可否を判断し、アクセスを許可する場合には、外部接続端末４にその旨を返信する（ステップＳ３９）。外部接続端末４と網内システム１との間で仮想パスに係わる情報交換を行い（ステップＳ４０）、両者において仮想パス設定を行い（ステップＳ４１，Ｓ４２）、こうして外部接続端末４と網内システム１との間で仮想論理パス（仮想レイヤ２（▲２▼））を構築する。
【００５７】
次いで、網内システム１は、ブリッジ設定を行い（ステップＳ４３）、宅内端末３と外部接続端末４との間で仮想論理パス（仮想レイヤ２（▲１▼＋▲２▼＋▲３▼））を構築する。以上で外部接続にかかる通信処理を終了する。
【００５８】
ここで、図５には、第２の実施の形態に係る通信システムを構成する網内システム１、宅内接続端末２、外部接続端末４の各構成を詳細に示し説明する。
【００５９】
以下の説明は、他の実施の形態におけるレイヤ２または一つのサブネットで構成されたレイヤ３通信のための仮想論理パスを構築する際の、認証及びパケット送信手順にも共通している。
【００６０】
図５に示されるように、網内システム１は、認証機能（サーバ）とパケット配信機能を備えている。宅内接続端末２と外部接続端末４は、それぞれが認証機能（クライアント）とアクセス変換処理機能を備えている。尚、図５では、認証に関するデータの流れを太線の矢印で、データ送受信の流れを細線の矢印で示している。
【００６１】
認証には、宅内接続端末２から網内システム１への認証、及び外部接続端末４から網内システム１への認証がある。宅内接続端末２の認証クライアント部２１から送出されたデータは、外部向けインターフェイス２２から送信され、レイヤ３ネットワーク５を経由して網内システム１へと送出される。
【００６２】
網内システム１内の認証機能にて認証がなされた場合には、宅内接続端末２と網内システム１間における仮想論理パスの情報が、パケット配信機能内のＶＰＮに関するテーブル１３に登録される。このテーブル１３には、カプセル化のためのソースディスティネーションのＩＰアドレスが登録されている。
【００６３】
即ち、網内システム１の認証機能では、ＰＫＩ認証確認およびＩＰｓｅｃ，ＶＰＮ登録機能１２により、ユーザＤＢ１１を参照して認証がなされ、仮想論理パスに関する情報がＶＰＮに関するテーブル１３に登録される。
【００６４】
セキュリティポリシ、セキュリティアソシエーションは、ＳＡＤ（Ｓｅｃｕｒｉｔｙ  Ｐｏｌｉｃｙ  Ｄａｔａｂａｓｅ），ＳＰＤ（Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ  Ｄａｔａｂａｓｅ）（以下、これらをまとめてＩＰｓｅｃデータベースと称する）１４に登録される。セキュリティポリシとは、ＩＰパケットに対する処理の設定情報をいい、セキュリティアソシエーションとは、ＩＰｓｅｃのコネクションに関する情報をいう。データベース１４には、暗号化／復号化のための情報が蓄積されている。
【００６５】
外部接続端末４における挙動は、以上と同様である。
【００６６】
一方、データはＯＳ４２の制御の下で、仮想インターフェイス４３を介してＥｔｈｅｒＩＰカプセル化部４４に送られて、当該ＥｔｈｅｒＩＰカプセル化部４４にてカプセル化された後、ＩＰｓｅｃの暗号化部４５で暗号化され、インターフェイス４６を介して送出される。こうして外部接続端末４より送出されたパケットは、インターフェイス４６を介して網内システム１に送信され、インターフェイス１８を介して受信される。
【００６７】
このパケットは、ＩＰｓｅｃの暗号・復号化部１７にて復号化され、ＥｔｈｅｒＩＰカプセル・デカプセル化部１６にてカプセル取り外し処理がなされ、ブリッジ受け渡し部１５にてＶＰＮに関するテーブル１３が参照されつつ送信先が決定される。そして、ＥｔｈｅｒＩＰカプセル・デカプセル化部１６にてカプセル化され、ＩＰｓｅｃの暗号・復号化部１７において暗号化され、インターフェイス１８、レイヤ３ネットワーク５を経由して、宅内接続端末２へ送信される。
【００６８】
宅内接続端末２では、外部向けインターフェイス２２を介して当該パケットが受信され、ＩＰｓｅｃの復号化部２４にて復号化され、ＥｔｈｅｒＩＰデカプセル化部２５にてカプセル取り外し処理がなされ、ブリッジ受け渡し部２６にて、宅内向けインターフェイス２７を介して宅内端末３へと送信される。
【００６９】
宅内接続端末２より外部接続端末４への送信プロセスは、逆の挙動を示す。
【００７０】
尚、暗号化を除くシステムでは、ＩＰｓｅｃの暗号化部４５、ＩＰｓｅｃの復号化部２４、ＩＰｓｅｃの暗号・復号化部１７、ＳＡＤ，ＳＰＤ（ＩＰｓｅｃデータベース）１４が、上記構成から除外される。また、以上の例では、ＴＣＰ／ＩＰのＩＰにセキュリティ機能を持たせるプロトコルであるＩＰｓｅｃを採用したが、これには限定されない。
【００７１】
ここで、図６を参照して、具体的なパケット転送について詳細に説明する。
【００７２】
図６において、各端末又はシステムの下方に記載されている数値は各端末又はシステムのアドレスを示している。詳細には、上段はＶＰＶアドレス（プライベートＩＰ）、中段はインターネット上のアドレス（グローバルＩＰ）、下段は物理（ＭＡＣ）アドレス（ＶＰＮ上）をそれぞれ示している。
【００７３】
尚、本例では、トンネリング方式にＥｔｈｅｒＩＰが用いられている。ＥｔｈｅｒＩＰプロトコルは、一般には異なる２つのＥｔｈｅｒｎｅｔセグメントをＩＰ上でトンネルするために用いられるものであり、トンネル用のＩＰパケット内には送信すべきイーサーネットやＩＥＥＥ８０２．３フレームを含んでいる。
【００７４】
外部接続端末４から送出されたパケットは、ＩＰパケットヘッダの送信先アドレス（２１０．１６９．１４３．１４８）に基づいて網内システム１に到達する。更に、網内システム１から送出されたパケットは、ＩＰパケットヘッダの送信先アドレス（１４３．９０．１３５．１２３）に基づいて宅内接続端末２に到達する。そして、宅内接続端末２では、パケットの物理層に例えばファストイーサーネット等が定義される。この宅内接続端末２から送出されたパケットは、Ｅｔｈｅｒフレームヘッダの送信先アドレス（０１  ２３  ４５  ６７  ８９  ＡＢ）に基づいて宅内端末３に到達する。
【００７５】
以上説明したように、本発明の第２の実施の形態に係る通信システムでも、宅内接続端末２、外部接続端末４によるアクセスの方向が全て網内システム１に向かうので、宅内接続端末２がサーバ機能を備える必要はない。更に、第２の実施の形態では、宅内接続端末２においてブリッジを実現することで、外部接続端末４と宅内端末３とを同一のセグメントとすることができる。
【００７６】
すなわち、第２の実施の形態によれば、上述した第１の実施の形態の効果に加えて、宅内接続端末２のみならず、宅内端末３に対するアクセスが可能となる。このアクセスは、同一サブネット経由により実施される為、宅内端末３に対するセキュリティ対策は、インターネット上のセキュリティ対策（全世界を対象としたレベルのセキュリティ対策）から、同一サブネット上のセキュリティ対策（物理的に限定したレベルのセキュリティ対策）へと緩和されることになる。
【００７７】
（第３の実施の形態）
第３の実施の形態に係る通信システムでは、仮想論理パスが網内システム１を経由していないが、宅内接続端末２、外部接続端末４は、いずれもクライアントの立場を取ることを特徴とする。宅内接続端末２、外部接続端末４は、認証後、接続に係わる情報交換を網内システム１を中継して実現する。
【００７８】
尚、システム構成については、図１と同様であるので、同一構成については同一符号を用い、重複した説明は省略する。
【００７９】
より詳細には、第３の実施の形態に係る通信システムでは、網内システム１により、宅内接続端末２及び外部接続端末４からの認証要求により端末のアクセス可否を判断し、アクセスが許可された場合、宅内接続端末２と外部接続端末４との間で仮想論理パスを構築し、宅内接続端末２と外部接続端末４との間で網内システム１を介することなく、レイヤ２通信又は１つのサブネットで構成されたレイヤ３通信を可能とする。
【００８０】
以下、図７のフローチャートを参照して、本発明の第３の実施の形態に係る通信システムにおける、宅内接続端末２、網内システム１、外部接続端末４間のレイヤ２通信の流れを詳細に説明する。
【００８１】
宅内接続端末２の電源がオンされ（ステップＳ５０）、網内システム１に認証要求がなされた後（ステップＳ５１）、網内システム１は当該認証要求を受け、宅内接続端末２によるアクセスの可否を判断し、アクセスを許可する場合には、宅内接続端末２にその旨を返信する（ステップＳ５２）。こうして、宅内接続端末２と網内システム１との間で仮想パスに係わる情報交換を行う（ステップＳ５３）。但し、ここでは、宅内接続端末２と網内システム１との間で仮想論理パスを構築しない。以上で、事前準備にかかる通信処理を終了する。
【００８２】
上記事前準備の後、外部接続端末４にてアクセスボタンがクリックされ（ステップＳ５４）、網内システム１に認証要求がなされると（ステップＳ５５）、網内システム１は当該認証要求を受けて、外部接続端末４によるアクセスの可否を判断する。そして、網内システム１は、アクセスを許可する場合には、外部接続端末４にその旨を返信する（ステップＳ５６）。更に、宅内接続端末２に対してもアクセスを許可する旨を通知する（ステップＳ５７）。
【００８３】
次いで、網内システム１と外部接続端末４との間、及び網内システム１と宅内接続端末２との間で仮想パスに係わる情報交換を行い（ステップＳ５８）、宅内接続端末２、外部接続端末４において仮想パス設定を行い（ステップＳ５９，Ｓ６０）、こうして網内システム１の指示に基づいて、宅内接続端末２と外部接続端末４との間で仮想論理パス（仮想レイヤ２（▲２▼））を構築する。
【００８４】
以上説明したように、本発明の第３の実施の形態に係る通信システムでも、宅内接続端末２、外部接続端末４による認証アクセスの方向が全て網内システム１に向かうので、宅内接続端末２がサーバ機能を備える必要はない。
【００８５】
更に、上述した第１の実施の形態の効果に加え、データ通信は網内システム１を経由せずに済むため、網内システム１への負荷が軽減され、且つ最短経路でのアクセスが可能となる。
【００８６】
（第４の実施の形態）
第４の実施の形態に係る通信システムでは、仮想論理パスが網内システム１を経由していないが、宅内接続端末２、外部接続端末４は、いずれもクライアントの立場を取ることを特徴とする。尚、システム構成については、図１と同様であるので、同一構成については同一符号を用い、重複した説明は省略する。
【００８７】
より詳細には、第４の実施の形態では、宅内接続端末２は、外部接続端末４との間の物理パスと外部接続端末との間の仮想論理パスとをブリッジ接続する機能を有しており、外部接続端末４と宅内端末３との間でレイヤ２通信又は１つのサブネットで構成されたレイヤ３通信を可能とする。
【００８８】
以下、図８のフローチャートを参照して、本発明の第４の実施の形態に係る通信システムにおける、宅内端末３、宅内接続端末２、網内システム１、外部接続端末４間のレイヤ２通信の流れを詳細に説明する。
【００８９】
この例では、宅内端末３と宅内接続端末２との間には物理パス（レイヤ２（▲３▼））が張られており、通信自在となっていることが前提となる。
【００９０】
さて、宅内接続端末２の電源がオンされ（ステップＳ６１）、網内システム１に認証要求がなされると（ステップＳ６２）、網内システム１は当該認証要求を受け、宅内接続端末２によるアクセスの可否を判断し、アクセスを許可する場合には、宅内接続端末２にその旨を返信する（ステップＳ６３）。こうして宅内接続端末２と網内システム１との間で仮想パスに係わる情報交換を行う（ステップＳ６４）。但し、この段階では、宅内接続端末２と網内システム１との間で仮想論理パスを構築しない。以上で、事前準備にかかる通信処理を終了する。
【００９１】
上記事前準備の後、外部接続端末４にてアクセスボタンがクリックされ（ステップＳ６５）、網内システム１に認証要求がなされると（ステップＳ６６）、網内システム１は当該認証要求を受けて、外部接続端末４によるアクセスの可否を判断する。そして、網内システム１は、アクセスを許可する場合には、外部接続端末４にその旨を返信する（ステップＳ６７）。併せて、宅内接続端末２に対してもアクセスを許可する旨の通知を行う（ステップＳ６８）。次いで、外部接続端末４と網内システム１との間、宅内接続端末２と網内システム１との間で仮想パスに係わる情報交換を行い（ステップＳ６９）、宅内接続端末２、外部接続端末４において仮想パス設定を行い（ステップＳ７０，Ｓ７１）、こうして網内システム１の指示に基づいて、宅内接続端末２と外部接続端末４との間で仮想論理パス（仮想レイヤ２（▲４▼））を構築する。
【００９２】
次いで、宅内接続端末２は、ブリッジ設定を行い（ステップＳ４２）、宅内端末３と外部接続端末４との間で仮想論理パス（仮想レイヤ２（▲３▼＋▲４▼））を構築する。以上で外部接続にかかる通信処理を終了する。
【００９３】
以上説明したように、本発明の第４の実施の形態に係る通信システムでも、宅内接続端末２、外部接続端末４による認証アクセスの方向が全て網内システム１に向かうので、宅内接続端末２がサーバ機能を備える必要はない。
【００９４】
更に、第４の実施の形態によれば、上述した第３の実施の形態の効果に加えて、宅内接続端末２のみならず、宅内端末３に対するアクセスが可能となる。このアクセスは、同一サブネット経由により実施される為、宅内端末３に対するセキュリティ対策は、インターネット上のセキュリティ対策（全世界を対象としたレベルのセキュリティ対策）から、同一サブネット上のセキュリティ対策（特定アクセスに限定したレベルのセキュリティ対策）へと緩和される。
【００９５】
（第５の実施の形態）
図９には、本発明の第５の実施の形態に係る管理装置及びそれを用いた通信システムの構成を示し説明する。
【００９６】
この図９に示されるように、管理装置としての網内システム１、宅内接続端末２、ＷＥＢ端末７は、レイヤ３ネットワーク５を介して、通信自在に接続されている。この宅内接続端末２は、更にレイヤ２セグメント６を介して、宅内端末３と通信自在に接続されている。この宅内接続端末２としては、例えばゲートウェイ装置の如きものを採用することができる。宅内端末３と宅内接続端末２との間の物理パスは常時接続されていてもよい。ＷＥＢ端末７としては、携帯電話機や社内イントラネット内のＷＥＢ端末の如きものを想定しているが、これに限定されないことは勿論である。
【００９７】
このような構成において、本通信システムは、宅内接続端末２又はＷＥＢ端末７からの認証要求を受けると、アクセス可否を判断し、アクセスを許可すべき場合には、宅内接続端末２との間で仮想論理パスを構築し、宅内接続端末２とＷＥＢ端末７との間のデータ通信においてプロキシ機能によりデータの中継を行うことで、宅内接続端末２とＷＥＢ端末との間でデータ通信を可能とする。
【００９８】
即ち、第５の実施の形態に係る通信システムでは、網内システム１がプロキシサーバとしての機能を備える。この網内システム１は、プロキシ機能によりフォワード・プロキシ（例えば代理アクセス）、リバース・プロキシ（例えば代理応答）の双方に対応しており、更にパケットの中継だけでなく、アクセスの種類に応じたフィルタリング機能も併せ持つ。
【００９９】
ここで、図１０は、網内システム１が、複数の宅内接続端末２ａ，２ｂ，２ｃ・・・、複数の外部接続端末４ａ，４ｂ，４ｃ・・・（或いはＷＥＢ端末７ａ，７ｂ，７ｃ・・・）と接続されている様子を示している。このように、複数の宅内接続端末と通信自在に接続された網内システム１は、そのプロキシ機能により、宅内接続端末２からのデータに付加されたＵＲＬ情報に基づき識別子を認識して、当該識別子に対応する仮想論理パスを選択し、宅内接続端末２と網内システム１、或いはＷＥＢ端末７と網内システム１との間でレイヤ２通信、或いは１つのサブネットで構成されたレイヤ３通信を実現する。つまり、網内システム１は、第１に複数ある仮想論理パスからパケットが通過すべき仮想論理パスを選択し、第２に宅内接続端末２ａ，２ｂ，２ｃ・・・のそれぞれに接続された宅内端末のどの宅内端末にパケットを送信するのかについて判断することになる。
【０１００】
以下、図１１のフローチャートを参照して、本発明の第５の実施の形態に係る通信システムにおける、宅内接続端末２、網内システム１、ＷＥＢ端末７間のレイヤ２通信の流れを詳細に説明する。
【０１０１】
尚、ステップＳ８０乃至Ｓ８５の事前準備に係る通信処理は、図２のステップＳ１乃至Ｓ６と同様であるので、重複した説明は省略する。
【０１０２】
事前準備の後、ＷＥＢ端末７にてアクセスボタンがクリックされ（ステップＳ８６）、網内システム１に認証要求がなされると（ステップＳ８７）、網内システム１は当該認証要求を受けて、ＷＥＢ端末７によるアクセスの可否を判断し、アクセスを許可する場合には、ＷＥＢ端末７にその旨を返信する（ステップＳ８８）。次いで、ＷＥＢ端末７よりＷＥＢアクセスがなされると、網内システム１はプロキシ変換を行い（ステップＳ９０）、フォワード・プロキシにより宅内接続端末２に仮想論理パス（仮想レイヤ▲２▼）を用いたＷＥＢアクセスを行う（ステップＳ９１）。そして、宅内接続端末２より仮想論理パス（仮想レイヤ▲２▼）を用いたＷＥＢレスポンスがなされると（ステップＳ９２）、プロキシ変換を行い（ステップＳ９３）、ＷＥＢ端末７にリバース・プロキシによりＷＥＢレスポンスを行う（ステップＳ９４）。以上で外部接続にかかる通信処理を終了する。
【０１０３】
ここで、図１２を参照して、上記プロキシ変換について更に詳細に説明する。
【０１０４】
図１２において、端末側変換機８とは、インターネットのグローバルアドレスを持たない端末が、インターネットのＨＴＴＰを参照するために利用される一般的なプロキシサーバを意味する。ＷＥＢ端末７より送信されたＨＴＴＰパケットは、送信先のＵＲＬにおけるホスト部（この例では、ａｌｇ．ｏｄｎ．ｎｅ．ｊｐ）に基づき網内システム１へと到着する。網内システム１は、ＨＴＴＰのヘッダ内における送信先ＶＰＮ情報（この例では、ｕｓｅｒｉｄ）を参考にして送信する宅内接続端末２を複数ある宅内接続端末２ａ，２ｂ，２ｃ・・・から選択し、更に当該宅内接続端末に関する仮想論理パスを特定する。且つ、網内システム１は、ＨＴＴＰヘッダ内におけるディレクトリ情報を基にして、新たなＨＴＴＰヘッダを作成する。作成されたＨＴＴＰヘッダは、上記によって決定された仮想論理パスを経由して、ディレクトリ情報内に含まれる送信先アドレス（この例では、１０．０．０．１）へと送信されることになる。
【０１０５】
以上説明したように、本発明の第５の実施の形態に係る通信システムでも、宅内接続端末２、ＷＥＢ端末４によるアクセスの方向が全て網内システム１に向かうので、宅内接続端末２がサーバ機能を備える必要はない。更に、プロキシ（フォワード・プロキシ、リバース・プロキシ等）機能を兼ね備える。
【０１０６】
即ち、この第５の実施の形態では、上述した第１の実施の形態と同様、従来技術に係る通信では、宅内接続端末２がサーバとなり、外部からのアクセスを受け付けていたが、宅内接続端末２は網内システム１に対するクライアントとなるため、セキュリティホール等の管理を行わずに済み、メンテナンス負担が軽減される上、セキュリティが強化される。また、第５の実施の形態によれば、宅内接続端末２に対するＷＥＢ端末４からのアクセスが可能となる。
【０１０７】
（第６の実施の形態）
第６の実施の形態では、第５の実施の形態と比較して、データ通信の端点が宅内端末３となる点で相違している。宅内接続端末２は、宅内端末３との間の物理パスと網内システム１との間の仮想論理パスとをブリッジ接続する機能を有しており、宅内端末３とＷＥＢ端末７との間でデータ通信を可能とする。
【０１０８】
尚、システム構成については、図９と同様であるので、同一構成については同一符号を用い、重複した説明は省略する。
【０１０９】
より詳細には、第６の実施の形態に係る通信システムは、複数の宅内接続端末２ａ，２ｂ，２ｃ・・・を有し、網内システム１のプロキシ機能により、ＷＥＢ端末７からのデータに付加されたＵＲＬ情報に基づき識別子を認識し、仮想論理パスを選択し、ＷＥＢ端末７からのデータに付加されたＵＲＬ情報に基づき宅内端３を選択するものである。
【０１１０】
以下、図１３のフローチャートを参照して、本発明の第６の実施の形態に係る通信システムにおける、宅内端末３、宅内接続端末２、網内システム１、ＷＥＢ端末７間のレイヤ２通信の流れを詳細に説明する。
【０１１１】
尚、ステップＳ１００乃至Ｓ１０６の事前準備に係る通信処理は、図４のステップＳ３０乃至Ｓ３５と同様であるので、重複した説明は省略する。
【０１１２】
事前準備の後、ＷＥＢ端末７にてアクセスボタンがクリックされ（ステップＳ１０７）、網内システム１に認証要求がなされると（ステップＳ１０８）、網内システム１は当該認証要求を受けて、ＷＥＢ端末７によるアクセスの可否を判断し、アクセスを許可する場合には、ＷＥＢ端末７にその旨を返信する（ステップＳ１０９）。次いで、ＷＥＢ端末７よりＷＥＢアクセスがなされると（ステップＳ１１０）、網内システム１はプロキシ変換を行い（ステップＳ１１１）、フォワード・プロキシにより宅内端末３に仮想論理パス（仮想レイヤ▲１▼＋▲３▼）を用いたＷＥＢアクセスを行う（ステップＳ１１２）。そして、宅内端末３より仮想論理パス（仮想レイヤ▲１▼＋▲３▼）を用いたＷＥＢレスポンスがなされると（ステップＳ１１３）、プロキシ変換を行い（ステップＳ１１４）、ＷＥＢ端末７にリバース・プロキシによりＷＥＢレスポンスを行う（ステップＳ１１５）。
【０１１３】
以上で外部接続にかかる通信処理を終了する。
【０１１４】
ここで、図１４を参照して、上記プロキシ変換について更に詳細に説明する。
【０１１５】
図１２と異なる部分のみ説明すると、この第６の実施の形態では、データ通信の端点が宅内端末３となることから、網内システム１は、ＨＴＴＰのヘッダ内における送信先ＶＰＮ情報（この例では、ｕｓｅｒｉｄ）を参考にして送信する宅内接続端末２を複数ある宅内接続端末２ａ，２ｂ，２ｃ・・・から選択し、更に当該宅内接続端末に関する仮想論理パスを特定する。そして更に、データ通信の端点である宅内端末３を特定し、Ｅｔｈｅｒｎｅｔ等のヘッダを作成する。このようにして作成されたＨＴＴＰヘッダは、上記決定された仮想論理パスを経由して、Ｅｔｈｅｒｎｅｔ等のヘッダの情報に基づき、宅内端末３へと送信される。
【０１１６】
以上説明したように、本発明の第６の実施の形態に係る通信システムでも、宅内接続端末２、ＷＥＢ端末４によるアクセスの方向が全て網内システム１に向かうので、宅内接続端末２がサーバ機能を備える必要はない。更に、プロキシ（フォワード・プロキシ、リバース・プロキシ等）機能を兼ね備える。
【０１１７】
即ち、第６の実施の形態では、上述した第５の実施の形態の効果に加えて、宅内接続端末２のみならず、宅内端末３に対するアクセスが可能となる。このアクセスは、網内システム１が管理する同一サブネット経由により実施される為、宅内端末３に対するセキュリティ対策は、インターネット上のセキュリティ対策（全世界を対象としたレベルのセキュリティ対策）から、同一サブネット上のセキュリティ対策（特定アクセスに限定したレベルのセキュリティ対策）へと緩和される。
【０１１８】
以上説明したように、本発明の第１乃至第６の実施の形態に係る管理装置及び通信システムによれば、家庭内端末、ホームサーバ等での認証を不要とし、ユーザのメンテナンス負担を軽減すること、及び認証機能を司る管理装置の管理を通信事業者等の専門業者が行うことでセキュリティ強化を図ることができる。
【０１１９】
例えば、６４ビット認証が１２８ビット認証にアップグレードされたような場合でも、網内システムのみで対応することが可能である。
【０１２０】
そして、第１乃至第６の実施の形態に係る通信システムでは、認証を網内システムが統括して行うことから、宅内接続端末は所謂サーバとしての機能を有する必要はなく、認証に係る処理負担も軽減される。更に、認証に関して、網内システムが間に介在して統括して行うので、宅内接続端末が複数の外部接続端末に対応した複数のポートを備える必要もない。
【０１２１】
また、宅内接続端末は、サーバとしての機能を有する必要がないので、簡易な構成であってもよく、ハイスペックである必然性もない。また、例えば上記ＷＥＢ端末を携帯電話機、上記宅内端末をエアーコンディショナとした場合には、遠隔地から携帯電話機により宅内のエアーコンディショナの動作を制御することができる等、幅広い用途に適用することができることになる。
【０１２２】
尚、請求項記載の第１のアクセス端末とは例えば宅内接続端末２に相当し、第２のアクセス端末とは例えば外部接続端末４或いはＷＥＢ端末７に相当し、第３の端末とは例えば宅内端末３に相当する。更に、請求項記載の認証手段とは例えば網内システム１の認証機能に相当し、（第１，第２）仮想論理パス設定手段とは例えば網内システム１の認証機能、パケット配信機能等に相当する。また、請求項では、宅内端末３、宅内接続端末２、網内システム１、外部接続端末４、ＷＥＢ端末７の一部を適宜組み合せて通信システムとしている。
【０１２３】
但し、これら関係には限定されない。
【０１２４】
以上、本発明の実施の形態について説明したが、本発明はこれに限定されることなく、その趣旨を逸脱しない範囲で種々の改良・変更が可能である。
【０１２５】
例えば、例えばカプセル化技術として、上記実施の形態ではＩＰｓｅｃ、ＥｔｈｅｒＩＰ等を適用した例を示したが、これに限定されず、レイヤ２において動作するトンネリング専用のプロトコルであるＰＰＴＰやＬ２ＴＰ、レイヤ２〜３のトンネリングプロトコルであるＭＰＬＳ等、種々のものを採用できる。
【０１２６】
尚、本発明には、前述した第１乃至第６の実施の形態に係る通信システムの網内システムによる動作に係わる方法、コンピュータプログラム、当該プログラムを記録した記録媒体としての発明も含まれることは勿論である。
【０１２７】
【発明の効果】
以上詳述したように、本発明によれば、家庭内端末やホームサーバ等での認証を不要とし、ユーザのメンテナンス負担を軽減すること、及び認証を管理装置で統括して実施し、管理することでセキュリティ強化を図ることが可能な管理装置及び通信システムを提供することができる。
【図面の簡単な説明】
【図１】本発明の第１の実施の形態に係る管理装置及びそれを用いた通信システムの構成を示す図である。
【図２】本発明の第１の実施の形態に係る通信システムにおけるレイヤ２通信の流れを示すフローチャートである。
【図３】図２の上記「認証」、「仮想パスに係わる情報交換」、「仮想パスの設定」について更に詳細に説明するためのフローチャートである。
【図４】本発明の第２の実施の形態に係る通信システムにおけるレイヤ２通信の流れを示すフローチャートである。
【図５】本発明の第２の実施の形態に係る通信システムの構成を示す図である。
【図６】具体的なパケット転送について説明するための図である。
【図７】本発明の第３の実施の形態に係る通信システムによるレイヤ２通信の流れを詳細に説明するためのフローチャートである。
【図８】本発明の第４の実施の形態に係る通信システムによるレイヤ２通信の流れを詳細に説明するためのフローチャートである。
【図９】本発明の第５の実施の形態に係る管理装置及びそれを用いた通信システムの構成を示す図である。
【図１０】網内システム１が、複数の宅内接続端末２ａ，２ｂ，２ｃ・・・、複数の外部接続端末４ａ，４ｂ，４ｃ・・・と接続されている様子を示す図である。
【図１１】本発明の第５の実施の形態に係る通信システムによるレイヤ２通信の流れを詳細に説明するフローチャートである。
【図１２】プロキシ変換について詳細に説明するための図である。
【図１３】本発明の第６の実施の形態に係る通信システムによるレイヤ２通信の流れを詳細に説明するためのフローチャートである。
【図１４】プロキシ変換について詳細に説明するための図である。
【符号の説明】
１・・・網内システム、２・・・宅内接続端末、３・・・宅内端末、４・・・外部接続端末、５・・・レイヤ３ネットワーク、６・・・レイヤ２セグメント、７・・・ＷＥＢ端末、８・・・端末側変換機。
【図１】
2005012424.tif 000003
【図２】
2005012424.tif 000004
【図３】
2005012424.tif 000005
【図４】
2005012424.tif 000006
【図５】
2005012424.tif 000007
【図６】
2005012424.tif 000008
【図７】
2005012424.tif 000009
【図８】
2005012424.tif 000010
【図９】
2005012424.tif 000011
【図１０】
2005012424.tif 000012
【図１１】
2005012424.tif 000013
【図１２】
2005012424.tif 000014
【図１３】
2005012424.tif 000015
【図１４】
2005012424.tif 000016