(57)【要約】【課題】利便性を向上できる通信システム、ゲートウェイサーバ、及びそれにおけるプログラムを提供する。【解決手段】通信装置１と、ゲートウェイサーバである第１のゲートウェイ２とを含む通信システムであって、通信装置１は、ゲートウェイサーバを特定する情報を保持し、ウェブサーバ３へのアクセス要求を、当該保持された情報で特定されるゲートウェイサーバを介して送出する。ゲートウェイサーバである第１のゲートウェイ２は、通信装置１から受信したアクセス要求を、指定されたウェブサーバ３宛に送出する。【選択図】図１
2016163341.tif 000002
【特許請求の範囲】
【請求項１】
通信装置と、ゲートウェイサーバとを含む通信システムであって、
前記通信装置は、
前記ゲートウェイサーバを特定する情報を保持する手段と、
ウェブサーバへのアクセス要求を、前記保持された情報で特定されるゲートウェイサーバを介して送出する手段と、
を有し、
前記ゲートウェイサーバは、前記通信装置から受信したアクセス要求を、指定されたウェブサーバ宛に送出する通信システム。
【請求項２】
ウェブサーバへのアクセス要求を送出する通信装置から、当該アクセス要求を受信する手段と、
当該アクセス要求の送信元の通信装置について、
１．当該通信装置の固有識別子
２．当該通信装置のオペレーティングシステムに関する情報
３．当該通信装置の機種情報
４．当該通信装置のユーザの固有識別子
５．当該通信装置において設定されたセキュリティに関するポリシー情報
の少なくとも一つを受信し、当該受信した情報が所定の条件を満足するときに、前記通信装置から受信したアクセス要求を、指定されたウェブサーバ宛に送出するゲートウェイサーバ。
【請求項３】
請求項２に記載のゲートウェイサーバであって、
前記所定の条件は、アクセス要求の送信元の通信装置のＩＰアドレスに応じて変更されるゲートウェイサーバ。
【請求項４】
コンピュータを、
ウェブサーバへのアクセス要求を送出する通信装置から、当該アクセス要求を受信する手段と、
当該アクセス要求の送信元の通信装置について、
１．当該通信装置の固有識別子
２．当該通信装置のオペレーティングシステムに関する情報
３．当該通信装置の機種情報
４．当該通信装置のユーザの固有識別子
５．当該通信装置において設定されたセキュリティに関するポリシー情報
の少なくとも一つを受信し、当該受信した情報が所定の条件を満足するときに、前記通信装置から受信したアクセス要求を、指定されたウェブサーバ宛に送出する手段と、
として機能させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】  本発明は、リモートアクセスの通信システム、ゲートウェイサーバ、及びそれにおけるプログラムに関する。
【背景技術】
【０００２】  従来、セキュアな通信経路を確保しつつリモートアクセス（遠隔の通信先との間で情報を送受すること）を行う方法として、ＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）等の技術が知られている。このＶＰＮでは、アクセスを行う側の端末（アクセス端末）と、接続先となるサーバとの２拠点を相互接続している。このため、アクセス端末から複数の拠点のサーバに対して接続する場合、ユーザは通信先のサーバの拠点が変わる都度、ネットワーク設定を切替える必要があった。【０００３】  またＶＰＮでは、アクセス端末が正当なものであるかを接続先のサーバが判断するため、クライアント証明書を用いるなどの手段が一般的であるが、このような方法では、アクセス端末ごとに、クライアント証明書を発行して管理する必要があって、システム管理者の管理工数が大きくなる傾向があった。【０００４】  特許文献１には、アクセス端末と企業側インターネット網との２拠点をＶＰＮにて接続する技術が開示されている。
【先行技術文献】
【特許文献】
【特許文献１】  特開２０１０−２０６４４２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】  このように、上記従来のＶＰＮ等のリモートアクセスシステムでは、接続先サーバが複数の拠点に分散して配されているときには、ユーザがネットワーク設定を切替える必要があって利便性が低かった。【０００６】  本発明は上記実情に鑑みて為されたもので、利便性を向上できる通信システム、ゲートウェイサーバ、及びそれにおけるプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００７】  上記従来例の問題点を解決する本発明は、通信装置と、ゲートウェイサーバとを含む通信システムであって、前記通信装置は、前記ゲートウェイサーバを特定する情報を保持する手段と、ウェブサーバへのアクセス要求を、前記保持された情報で特定されるゲートウェイサーバを介して送出する手段と、を有し、前記ゲートウェイサーバは、前記通信装置から受信したアクセス要求を、指定されたウェブサーバ宛に送出することとしたものである。
【発明の効果】
【０００８】  本発明によると、通信時の利便性を向上できる。
【図面の簡単な説明】
【０００９】
【図１】  本発明の実施の形態に係る通信システムの構成例を表すブロック図である。
【図２】  本発明の実施の形態に係る通信装置の例を表す機能ブロック図である。
【図３】  本発明の実施の形態に係る通信システムの別の構成例を表すブロック図である。
【発明を実施するための形態】
【００１０】  本発明の実施の形態について図面を参照しながら説明する。本発明の実施の形態に係る通信システムは、図１に例示するように、通信装置１と、ゲートウェイサーバとしての第１のゲートウェイ２と、ウェブサーバ３ａ，３ｂ…とを含んで構成される。また通信装置１と第１のゲートウェイ２とは、互いにローカルエリアネットワーク（ＬＡＮ）を介して通信可能に接続され、また、第１ネットワーク２はサーバ装置３とネットワーク（ＷＡＮ）を介して通信可能に接続されている。
【００１１】  通信装置１は、図１に例示するように、制御部１１と、記憶部１２と、操作部１３と、表示部１４と、通信部１５とを含んで構成され、ＬＡＮ及び第１のゲートウェイ２等の通信手段を介してウェブサーバ３ａ，３ｂ…との間で通信を行うものである。この通信装置１は、パーソナルコンピュータ（ＰＣ）によって実現されてもよいし、スマートフォンやタブレット端末等の携帯端末によって実現されてもよい。
【００１２】  制御部１１は、ＣＰＵ等のプログラム制御デバイスであり、記憶部１２に格納されたプログラムに従って動作する。本実施の形態の制御部１１は、通信装置１が例えばＰＣであれば、記憶部１２に格納されているオペレーティングシステムや、本発明の実施の形態に係るブラウザプログラム（以下、セキュアブラウザプログラムと呼ぶ）を含む各種アプリケーションプログラムの処理を実行する。また本実施の形態の制御部１１は、予め定められたＩＰアドレスにより識別される通信先をゲートウェイサーバとし、このゲートウェイサーバを経由して外部のウェブサーバ３に接続するようネットワーク経路制御を行う。この制御部１１によるセキュアブラウザプログラムの処理や、ネットワーク経路制御の処理については、後に詳しく述べる。
【００１３】  記憶部１２は、ハードディスクドライブや、フラッシュメモリ等の記憶デバイスを含んで構成される。この記憶部１２は、制御部１１によって実行されるプログラムを格納している。このプログラムはＤＶＤ−ＲＯＭ等のコンピュータ可読かつ非一時的な記憶媒体に格納されて提供され、この記憶部１２にインストールされたものであってもよい。また、このプログラムは、ネットワーク等の通信手段を介して提供され、この記憶部１２にインストールされたものであってもよい。さらに本実施の形態において、この記憶部１２は、制御部１１のワークメモリとしても動作する。
【００１４】  操作部１３は、キーボードやマウス、あるいはキーパッドないしタッチパネル等であり、ユーザの操作を受け入れて、当該操作の内容を表す情報を制御部１１に出力する。表示部１４は、例えば液晶ディスプレイ等であり、制御部１１から入力される指示に従って、情報を表示する。
【００１５】  通信部１５は、有線または無線のネットワークインタフェース等であり、制御部１１から入力される指示に従って、外部の通信先との間で情報を送受する。この通信部１５は、外部の通信先からネットワーク等を介して到来した、通信装置１宛の情報を受信して制御部１１に対して出力するとともに、制御部１１から入力される指示に従い、指示された宛先に対してネットワーク等を介して指示された情報を送出する。
【００１６】  第１のゲートウェイ２は、制御部２１と、記憶部２２と、第１通信部２３と、第２通信部２４とを含んで構成される。この制御部２１は、ＣＰＵ等のプログラム制御デバイスであり、記憶部２２に格納されたプログラムに従って動作する。本実施の形態の制御部２１は、ゲートウェイサーバとしての処理を実行する。具体的にこの制御部２１は、第１通信部２３からＬＡＮを介して、または第２通信部２４からＷＡＮを介して、通信装置１から受信した通信開始要求を受け入れる。制御部２１は通信装置１との間の通信を開始するか否かを判断し、通信を開始すると判断すると、通信装置１からウェブサーバ３宛の情報（情報の要求等）を第１通信部２３または第２通信部２４を介して受信し、第２通信部２４を介して送出する。またこの制御部２１は、第２通信部２４を介してウェブサーバ３等から、通信を開始した通信装置１宛の情報を受信すると、第１通信部２３または第２通信部２４を介して通信装置１へ当該受信した情報を送出する。この制御部２１の動作についても後に詳しく述べる。
【００１７】  記憶部２２は、フラッシュメモリ等の記憶デバイスを含んで構成される。この記憶部２２は、制御部２１によって実行されるプログラムを格納している。このプログラムはＤＶＤ−ＲＯＭ等のコンピュータ可読かつ非一時的な記憶媒体に格納されて提供され、この記憶部２２にインストールされたものであってもよい。また、このプログラムは、ネットワーク等の通信手段を介して提供され、この記憶部２２にインストールされたものであってもよい。さらに本実施の形態において、この記憶部２２は、制御部２１のワークメモリとしても動作する。
【００１８】  第１通信部２３は、有線または無線のネットワークインタフェース等であり、制御部２１から入力される指示に従って、ＬＡＮを介して接続される通信先との間で情報を送受する。この第１通信部２３は、通信先からＬＡＮを介して到来した、ウェブサーバ３宛の情報を受信して制御部２１に対して出力する。またこの第１通信部２３は、制御部２１から入力される指示に従い、指示された宛先に対しＬＡＮを介して指示された情報を送出する。本実施の形態において、この第１通信部２３には、予め定められたＩＰアドレス（以下、内部既定ＩＰアドレスと呼ぶ）が設定されているものとする。
【００１９】  第２通信部２４は、有線のネットワークインタフェース等であり、制御部２１から入力される指示に従って、ネットワーク（ＷＡＮ）を介して接続される通信先との間で情報を送受する。この第２通信部２４は、通信先となったウェブサーバ３等からＷＡＮを介して到来した、通信装置１宛の情報を受信して制御部２１に対して出力する。またこの第２通信部２４は、制御部２１から入力される指示に従い、指示されたウェブサーバ３等の宛先に対しＷＡＮを介して指示された情報を送出する。本実施の形態において、この第２通信部２４にも、予め定められたＩＰアドレス（以下、外部既定ＩＰアドレスと呼ぶ）が設定されているものとする。一般的に内部既定ＩＰアドレスと外部既定ＩＰアドレスとは異なるＩＰアドレスとなっている。
【００２０】  ウェブサーバ３は、通信装置１等からＵＲＬ（Ｕｎｉｆｏｒｍ  Ｒｅｓｏｕｒｃｅ  Ｌｏｃａｔｏｒｓ）の指定とともにウェブページや画像情報の要求を受けると、当該ＵＲＬで特定されるウェブページ等の情報を送出する処理を実行している。また、このウェブサーバ３のうちには、認証を要するウェブサーバ（認証ウェブサーバ）として動作するものがあってもよい。この認証ウェブサーバは、ユーザ（またはユーザが使用する通信装置１）に対してユーザ名やパスワード等の認証情報の入力を求めるウェブページ等を送出し、ユーザが使用する通信装置１から送出された認証情報と、予めウェブサーバ３側で保持する認証情報とを比較して、それらが一致するまでは所定のウェブページ等の送出を行わないといったユーザ認証の処理を行う。
【００２１】  本実施の形態において制御部１１は、記憶部１２に格納されたセキュアブラウザプログラムを実行することにより、機能的には、図２に例示するように、ポリシー管理部３１と、通信開始要求部３２と、ブラウザ処理部３３とを含む装置として動作する。
【００２２】  ポリシー管理部３１は、セキュリティに関するポリシーの情報の設定をユーザから受け入れて、当該設定されたポリシーの情報に従い、ブラウザ処理部３３を制御する。一例としてこのポリシー管理部３１は、ブラウザ処理部３３の動作においてウェブサーバ３から取得した情報を、記憶部１２に永続的に（例えばファイル等として）保存可能とするか否かを表すポリシー情報の設定を受け入れる。そしてウェブサーバ３から取得した情報の永続的な保存を許可しない旨の設定がされたときには、このポリシー管理部３１は、ブラウザ処理部３３から、ウェブサーバ３から取得した情報を記憶部１２に永続的な態様で（例えばファイルに格納して）保存可能か否かを問い合せたときに、保存可能でない旨応答する。また、ウェブサーバ３から取得した情報の永続的な保存を許可する旨の設定がされたときには、このポリシー管理部３１は、ブラウザ処理部３３から、ウェブサーバ３から取得した情報を記憶部１２に永続的な態様で（例えばファイルに格納して）保存可能か否かを問い合せたときに、保存可能である旨応答する。
【００２３】  通信開始要求部３２は、ブラウザ処理部３３から通信開始要求を出力するべき旨の指示を受けて、予め定められたゲートウェイサーバ（ここでは第１のゲートウェイ２）に対して、通信開始要求を送出する。本実施の形態では、この通信開始要求には、
１．通信装置１の固有識別子
２．通信装置１のオペレーティングシステムに関する情報（ＯＳ関連情報）
３．通信装置１の機種情報
４．通信装置１のユーザの固有識別子（社員番号など）
５．通信装置１において設定されたセキュリティに関するポリシー情報
のいずれか一つを少なくとも含む。
【００２４】  通信開始要求部３２は、この第１のゲートウェイ２のＩＰアドレスを次の手順で得る。すなわち具体的に通信装置１の記憶部１２には、予め第１のゲートウェイ２のネットワークインタフェースに設定された内部既定ＩＰアドレス及び外部既定ＩＰアドレスが格納されているものとする。
【００２５】  そして通信開始要求部３２は、通信装置１の通信部１５に割り当てられたＩＰアドレスを参照し、そのネットワークアドレス（ＩＰアドレスのうち、ネットワークを識別する部分、サブネットマスクによって規定されるサブネットアドレスを除く部分）を参照し、当該ネットワークアドレスが、記憶部１２に格納された内部既定ＩＰアドレスのネットワークアドレスと一致している場合は、通信先のＩＰアドレスを内部既定ＩＰアドレスに設定する。
【００２６】  また、通信装置１の通信部１５に割り当てられたＩＰアドレスのネットワークアドレスが記憶部１２に格納された内部既定ＩＰアドレスのネットワークアドレスと一致していなければ、通信開始要求部３２は、通信先のＩＰアドレスを外部既定ＩＰアドレスに設定する。
【００２７】  ここで通信装置１の固有識別子は例えば通信装置１に設定された製造番号等でよい。また、通信装置１のＯＳ関連情報は通信装置１にて利用されているオペレーティングシステムの種類やバージョンの情報、さらには機能拡張のためのプログラムがインストールされている場合は、当該プログラムの情報等を含むものである。通信装置１の機種情報は、通信装置１のメーカーを表す情報や機種を特定する情報等であり、通信装置１のユーザの固有識別子は通信装置１にログインしたユーザの社員番号情報等である。また、通信装置１において設定されたセキュリティに関するポリシー情報は、ポリシー管理部３１にて管理されているポリシー情報そのものでよい。
【００２８】  通信開始要求部３２は、第１のゲートウェイ２から通信開始要求に対する応答を受信し、当該応答において通信開始が許可されたときには、ブラウザ処理部３３に対して処理完了を通知する。
【００２９】  ブラウザ処理部３３は、基本的には一般的なウェブブラウザとしての処理を実行し、ユーザからＵＲＬの入力を受け入れて、当該ＵＲＬと情報の要求とを、予め定められたゲートウェイサーバ（ここでは第１のゲートウェイ２）へ送出する。このように本実施の形態のブラウザ処理部３３は、入力されたＵＲＬに対応するＩＰアドレスに対して直接アクセスをするのではなく、通信開始要求部３２にて定めた通信先のＩＰアドレス（ここでは第１のゲートウェイ２の内部既定ＩＰアドレスまたは外部既定ＩＰアドレス）へ送出することとなる。
【００３０】  またこのブラウザ処理部３３は、第１のゲートウェイ２を介して、上記ＵＲＬにて識別されるウェブサーバ３から、当該ＵＲＬによって識別されるウェブページの情報を取得する。そして当該ウェブページの情報（一般的にはＨＴＭＬで記述された情報や、画像データなど）に基づいて、表示用の画面情報を生成して、表示部１４を制御して、当該生成した画面情報を表示出力させる。
【００３１】  また本実施の形態において、このブラウザ処理部３３は、その起動時（または起動後、ユーザから最初にＵＲＬの指定を受けたとき）に、通信開始要求部３２に対して通信開始要求を出力するよう指示する。そして通信開始要求部３３から処理完了の入力があるまで待機し、処理完了の入力があったときに、一般的なウェブブラウザとしての処理を開始することとする。
【００３２】  またこのブラウザ処理部３３は、ユーザから、ウェブサーバ３から受信したＨＴＭＬの情報や画像データ等の保存（永続的なファイル等としての保存）の指示を受け入れると、ポリシー管理部３１に対して保存が可能であるか否かを問い合せ、保存可能との応答があったときに限り、ユーザの指示に従って、ウェブサーバ３から受信したＨＴＭＬの情報や画像データ等を記憶部１２に永続的な態様で（例えばファイル等として）格納する。
【００３３】  また本発明の実施の形態に係る第１のゲートウェイ２の制御部２１は、第１通信部２３または第２通信部２４からＬＡＮまたはＷＡＮ介して通信装置１から受信した通信開始要求を受け入れると、当該通信開始要求に含まれる情報が、予め定めた通信開始条件を満足するか否かを判断する。
【００３４】  具体的にこの通信開始要求には、既に述べたように、
１．通信装置１の固有識別子
２．通信装置１のオペレーティングシステムに関する情報（ＯＳ関連情報）
３．通信装置１の機種情報
４．通信装置１のユーザの固有識別子（社員番号など）
５．通信装置１において設定されたセキュリティに関するポリシー情報
のいずれか一つを少なくとも含む。
【００３５】  そこで制御部２１は、この通信開始要求に含まれるこれらの情報が、予め定めた通信開始条件を満足するか否かを判断することになる。
【００３６】  例えば制御部２１は、通信装置１の固有識別子が、予め通信可能な通信装置１の固有識別子のリストとして定められた情報に含まれているか否かを判断し、含まれている場合に通信開始可能と判断する。また別の例では制御部２１は、通信装置１のＯＳ関連情報が、予め通信可能なＯＳに関する情報のリストとして定められた情報に含まれているか否かを判断し、含まれている場合に通信開始可能と判断する。さらに別の例では、制御部２１は、通信装置１の機種情報が、予め通信可能な通信装置１の機種情報のリストとして定められた情報に含まれているか否かを判断し、含まれている場合に通信開始可能と判断する。また通信装置１のユーザの固有識別子を用いる場合も、制御部２１は、通信装置１から受信したユーザの固有識別子が、予め通信可能なユーザの固有識別子のリストとして定められた情報に含まれているか否かを判断し、含まれている場合に通信開始可能と判断する。
【００３７】  また通信装置１において設定されたポリシーの情報として、例えば、ウェブサーバ３から取得した情報を、記憶部１２に永続的に（例えばファイル等として）保存可能とするか否かを表す情報が含まれる場合、制御部２１は、通信装置１がＬＡＮを介して接続されているか、ＷＡＮを介して接続されているかにより次のように判断する。すなわち制御部２１は、通信装置１がＬＡＮを介して接続されているとき（ローカルなネットワーク内に所在しているとき）には、このポリシー情報の設定によらずに通信開始可能と判断する。また制御部２１は、通信装置１がＷＡＮを介して接続されているとき（社外など、外部のネットワーク内に所在しているとき）には、このポリシー情報の設定が、ウェブサーバ３から取得した情報を、記憶部１２に永続的に（例えばファイル等として）保存可能としない旨の設定となっている場合に限り、通信開始可能と判断する。
【００３８】  制御部２１は以上の例の判断によって、通信を開始すると判断すると、通信装置１からウェブサーバ３宛の情報（情報の要求等）を第１通信部２３または第２通信部２４を介して受信する。そして当該要求等の情報を第２通信部２４を介して宛先となったウェブサーバ３宛に送出する。またこの制御部２１は、第２通信部２４を介してウェブサーバ３等から、通信を開始した通信装置１宛の情報を受信すると、第１通信部２３または第２通信部２４を介して通信装置１に対して当該受信した情報を送出するようになる。
【００３９】  また制御部２１は、通信を開始するとの判断をしていない通信装置１（通信開始要求を行わなかった通信装置１や、通信開始要求に含まれる情報を用いた判断により、通信を開始しないと判断した通信装置１）からＵＲＬ等の情報を受信しても、当該情報を破棄してウェブサーバ３へ伝達しない。
【００４０】  本実施の形態は以上の構成を備えており、通信装置１のセキュアブラウザは、第１のゲートウェイ２に割り当てられたＩＰアドレスを必ず経由して接続対象のウェブサーバ３に接続するため、システム管理者はウェブサーバ３が接続されることを許可するＩＰアドレスをこの第１のゲートウェイ２に割り当てられたＩＰアドレスに設定することにより、ウェブサーバ３へのアクセスを、セキュアブラウザのみに限定することができる。従来のユーザ端末毎に配布するクライアント証明書を利用する方法に比べて、接続元ＩＰアドレスを絞るだけでアクセスする端末を制限することができる。
【００４１】  また本実施の形態によると、社内のＩＰアドレスからの接続の場合は、セキュアブラウザは通信装置１に情報を保存可能なセキュリティポリシーでも接続を許可するが、社外のインターネット環境からの接続である場合は、セキュアブラウザが通信装置１に情報を保存させないセキュリティポリシーに設定されていないと接続を許可しないなどといった切り分けが可能となる。
【００４２】  また、ここまでの説明に限らず、ポリシー情報には、改造の有無やウィルスの感染の有無に係る情報を含んでもよい。この場合、通信装置１の制御部１１は、通信開始要求に当該ポリシー情報を含めるとともに、予め定めた方法で改造の有無や、ウィルスの感染の有無（ウィルス検知ソフトウエア等を用いて判断する）、さらには当該ウィルス検知ソフトウエアのバージョン（パターン検知の場合はパターン情報の更新日時の情報等をさらに含んでもよい）等の情報を含める。
【００４３】  第１のゲートウェイ２では、当該情報を参照し、規定された日時以降に更新されたパターン情報を用いてウィルス検知を行った結果、ウィルス感染無しと判断されているときに、通信開始可能と判断するようにしてもよい。
【００４４】  また本実施の形態のある態様では、図３に例示するように、第１のゲートウェイ２は、これとは別に設けられた第２のゲートウェイ４と通信可能に接続されてもよい。またこの第２のゲートウェイ４は、第１のゲートウェイ２と同様の構成を備えるが、その制御部２１の動作が少々異なる。
【００４５】  すなわち第２のゲートウェイ４の制御部２１は、ＣＰＵ等のプログラム制御デバイスであり、記憶部２２に格納されたプログラムに従って動作し、ゲートウェイサーバとしての処理を実行する。具体的にこの第２のゲートウェイ４の制御部２１は、第２通信部２４からＷＡＮを介して、第１のゲートウェイ２からウェブサーバ３宛の情報（情報の要求等）を受信する。なお、この第２のゲートウェイ４では、第１のゲートウェイ２のＩＰアドレス等を記憶しており、その制御部２１は専ら第１のゲートウェイ２から情報を受信するものとする。
【００４６】  またこの第２のゲートウェイ４の制御部２１は、当該第１のゲートウェイ２から受信した情報を、第１通信部２３または第２通信部２４を介して接続されたウェブサーバ３へ送出する。またこの制御部２１は、第１通信部２３または第２通信部２４を介してウェブサーバ３等から通信装置１宛の情報を受信すると、第２通信部２４を介して第１のゲートウェイ２へ当該受信した情報を送出する。
【００４７】  またこの例における第１のゲートウェイ２は、その判断によって、通信装置１との通信を開始すると判断すると、通信装置１からウェブサーバ３宛の情報（情報の要求等）を第１通信部２３または第２通信部２４を介して受信する。そして当該要求等の情報を第２通信部２４を介して、第２のゲートウェイ４へ送出する。
【００４８】  そして第２のゲートウェイ４が第１のゲートウェイ２から受信した当該情報を、宛先となったウェブサーバ３宛に送出する。またこの第２のゲートウェイ４は、ウェブサーバ３等から、通信を開始した通信装置１宛の情報を受信すると、第１のゲートウェイ２へ当該受信した情報を送出する。そして第１のゲートウェイ２が当該受信した情報をさらに通信装置１へ送出する。
【００４９】  また第１のゲートウェイ２は、通信を開始するとの判断をしていない通信装置１（通信開始要求を行わなかった通信装置１や、通信開始要求に含まれる情報を用いた判断により、通信を開始しないと判断した通信装置１）からＵＲＬ等の情報を受信しても、当該情報を破棄して第２のゲートウェイ４へ伝達しない。
【００５０】  またこの例に係る第１のゲートウェイ２及び第２のゲートウェイ４は、相互の通信を予め定めた方法で暗号化した通信路を経由して行ってもよい。具体的に、第１のゲートウェイ２および第２のゲートウェイ４はＳＳＬの暗号化通信を一度復号化し再度暗号化する機能を有してもよい。
【００５１】  この例によれば、企業のローカルネットワーク内にあるウェブサーバ３がＳＳＬ暗号化に対応していない場合でも、第２のゲートウェイ４を介して接続することで、インターネットを介した接続を行った場合にはＳＳＬ暗号化された通信を行うことが可能となる。
【００５２】  本実施の形態によると、ユーザはセキュアブラウザ上のブックマークやメニューなどのリンクから、インターンネット上のウェブサーバ３や企業内のウェブサーバ３（他拠点にあってもよい）に対して、必ず第１のゲートウェイ２を経由してアクセスすることとなる。第１のゲートウェイ２を介してウェブサーバ３に接続するか、第１のゲートウェイ２及び第２のゲートウェイ４の双方を経由してウェブサーバ３に接続するかは、システム管理者により為された第１のゲートウェイ２の設定に基づいて制御され、ユーザはこのネットワーク経路の選択については意識する必要はない。
【００５３】  さらにここでは第１のゲートウェイ２及び第２のゲートウェイ４を用いる例について述べたが本実施の形態はこれに限られず、第２のゲートウェイ４がさらに専ら第３のゲートウェイ５との間で通信を行うように構成することとしてもよい。すなわち第２のゲートウェイ４の先に、さらに第３のゲートウェイ５等、複数のゲートウェイを直列的に連結できるように設計され、ネットワーク経路鎖を構成可能としてもよい。この場合、通信装置１とウェブサーバ３とは、複数のゲートウェイ２，４，…を逐次的に介して通信を行うこととなる。
【００５４】  さらに本実施の形態において第１のゲートウェイ２は、
１．ウェブサーバ３との間で直接通信を行うための通信経路を確立する、
２．他のゲートウェイ（例えば第２のゲートウェイ４）を介した通信を行うための通信経路を確立する
のいずれかの処理を、予め定めた条件に応じて選択的に行ってもよい。
【００５５】  またここで、他のゲートウェイを介した通信経路を確立する場合に、他のゲートウェイが複数あれば、第１のゲートウェイ２は、どのゲートウェイとの間の通信経路を確立するかを予め定めた条件に応じて選択することとしてもよい。
【００５６】  ここで通信経路の選択の条件は、接続先となったウェブサーバのホスト名、ドメイン名、ＵＲＬなどの情報に基づくものとすることができる。例えば通信装置１のユーザが接続先として指定したウェブサーバ３のドメイン名が、通信装置１のユーザが所属する組織のドメイン名である場合、第１のゲートウェイ２は、第２のゲートウェイ４との間の通信経路を確立し、通信装置１から受信した要求を、第２のゲートウェイ４を介してウェブサーバ３へ送出する。また、通信装置１のユーザが接続先として指定したウェブサーバ３のドメイン名が、ユーザが所属する組織のドメイン名でなければ、第１のゲートウェイ２は、ウェブサーバ３へ直接通信する経路を選択し、通信装置１から受信した要求を、そのままウェブサーバ３宛に送出する。
【００５７】  またユーザ側に対して、予めどのような通信経路でウェブサーバ３との通信を行うかを指定させてもよい。この例としては、予めブックマーク等、ＵＲＬの情報のうちに、通信経路を選択する情報を含めておくことが考えられる。例えばＵＲＬがｈｔｔｐ：／／ｘｘｘ．ｙｙｙ．ｚｚｚ：８０であれば、当該ＵＲＬからの情報取得要求を受けた第１のゲートウェイ２は、ウェブサーバ３へ直接通信する経路を選択し、通信装置１から受信した上記要求を、そのままウェブサーバ３宛に送出することとしてもよい。また、ＵＲＬがｈｔｔｐ：／／ｘｘｘ．ｙｙｙ．ｚｚｚ：８０８０であるようなブックマークが指定されたときには、当該ＵＲＬからの情報取得要求を受けた第１のゲートウェイ２は、第２のゲートウェイ４との間の通信経路を確立し、通信装置１から受信した要求を、第２のゲートウェイ４を介してウェブサーバ３へ送出する。
【００５８】  さらに第１のゲートウェイ２では、ウェブサーバ３から通信装置１へ送出される情報をキャッシュすることとしてもよい。この場合、第１のゲートウェイ２はキャッシュする情報の送出元であるウェブサーバ３を特定する情報（例えばＵＲＬの情報）と、当該ＵＲＬからの情報取得を要求したときにウェブサーバ３から送出された情報とを関連付けて記憶しておく。そして第１のゲートウェイ２は、通信装置１からＵＲＬの指定とともに、情報の要求があった場合に、当該ＵＲＬに関連付けてキャッシュしている情報があれば、当該キャッシュしている情報を通信装置１へ送出する。
【００５９】  もっとも本実施の形態において第１のゲートウェイ２は、機密性のある情報のキャッシュを避けるべく、
１．システム管理者が許可した情報（ファイル名等で指定する）のみをキャッシュとして保存可能とする
２．ＣＳＳファイルやＪＳ（Ｊａｖａｓｃｒｉｐｔ（登録商標））ファイルなど、それ単独では機密情報とはならないファイルの種類に限ってキャッシュとして保存可能とする、
３．ファイルサイズを指定し、当該指定されたファイルサイズ以下のファイルは機密情報ではないと判断してキャッシュとして保存可能とする、
等の条件に応じて、キャッシュをするか否かを定めてもよい。
【００６０】  また第１のゲートウェイ２は、通信装置１から受信した要求に係るＵＲＬに対応する情報がキャッシュされていなければ、先の方法で決定した通信経路を介して、あるいは予め定めた通信経路を介して、ウェブサーバ３に対して通信装置１から受信した要求を送出する。
【００６１】  さらに第１のゲートウェイ２は、通信装置１から通信セッションの終了を表すパケット情報を受け入れたときに、キャッシュしている情報を削除することとしてもよい。
【００６２】  さらにこの第１のゲートウェイ２は、ウェブサーバ３から通信装置１宛の情報として受信した情報について、予め定めた条件に合致する部分を、当該条件に応じて予め定めた方法で書き換えて（書き換えの処理を行って）通信装置１宛てに送出してもよい。この際、第１のゲートウェイ２は、第２のゲートウェイ４を介してウェブサーバ３からの情報を受信した際に、当該情報が暗号化されていれば、当該情報を復号してから上記書き換えの処理を行う。
【００６３】  具体的にここでの書き換え処理は、予め定めた検索文字列が、ＨＴＭＬソースコードに含まれるとの条件を満足するときに、ＨＴＭＬソースコード内の当該検索文字列を、上記文字列に対応して予め定めた置換文字列に置き換える処理とすることができる。また別の例では、当該情報のＵＲＬに予め定めた文字列が含まれる場合に、ＨＴＭＬソースコード内の所定文字列を、当該文字列に対応して予め定めた置換文字列に置き換える処理とすることとしてもよい。さらに、当該情報のＵＲＬに予め定めた文字列が含まれ、かつ、予め定めた検索文字列が、ＨＴＭＬソースコードに含まれるとの条件を満足するときに、ＨＴＭＬソースコード内の当該検索文字列を、上記文字列に対応して予め定めた置換文字列に置き換える処理とすることとしてもよい。
【００６４】  このように、書き換え処理に関し、
１．変換前の検索対象となるＨＴＭＬソースコードの文字列
２．上記対象ソースコードに対して置換とする変換後のＨＴＭＬソースコード文字列
３．上記置換を行うべきＨＴＭＬソースコード条件（ＵＲＬの部分一致またはＨＴＭＬソースコードの特定文字列あるいは両方の組み合わせ）
を予め第１のゲートウェイ２に設定しておき、第１のゲートウェイ２がウェブサーバ３から通信装置１宛に送出する情報であるＨＴＭＬソースコードについて、上記設定に基づいて動的に変換し、変換後のＨＴＭＬソースコードを通信装置１宛に送出することとしてもよい。
【００６５】  なお、この処理を行った場合、変換後のＨＴＭＬソースコードを再度暗号化して、通信装置１宛に送出することとしてもよい。
【００６６】  このように、第１のゲートウェイ２はウェブサーバ３からＳＳＬ通信にて受信した情報を復号化し、当該復号して得たＨＴＭＬソースコードを、上記設定に基づいて変換（書き換え処理）した後、再びＳＳＬ通信として暗号化し、通信装置１のセキュアブラウザに送信することにより、たとえばウェブサーバ３がパソコンブラウザ専用のコンテンツを配信する場合であっても、第１のゲートウェイ２において情報の変換を行うことで、通信装置１がスマートフォンであってもそれに適したコンテンツ表示を行わせることが可能となる。
【００６７】  本実施の形態によると、システム管理者は第１のゲートウェイ２の固定ＩＰアドレスを接続先サーバへの接続許可ＩＰアドレスとして設定すれば、アクセス端末である通信装置１にクライアント証明書を配布することなく、接続先サーバへのアクセス端末を制限することができる。
【００６８】  また固有端末の特定しか行わないクライアント証明書と異なり、ユーザが社内にいる場合でも社外にいる場合でもそれぞれの環境に応じたセキュリティモードで、接続先サーバに接続させるなど使用環境に応じてセキュリティモードを変更できる。
【００６９】  またユーザの利用においても、拠点ごとのＶＰＮのようにネットワーク経路が複数ある場合であっても、ユーザはいちいち端末のネットワーク経路設定をし直す必要がない。これはすなわち、第１のゲートウェイ２が条件に応じてネットワークの通信経路を選択するためである。これにより、接続の煩雑さを解消でき、利便性を向上できる。
【符号の説明】
【００７０】１  通信装置、２  第１のゲートウェイ、３  ウェブサーバ、４  第２のゲートウェイ、５  第３のゲートウェイ、１１  制御部、１２  記憶部、１３  操作部、１４  表示部、１５  通信部、２１  制御部、２２  記憶部、２３  第１通信部、２４  第２通信部、３１  ポリシー管理部、３２  通信開始要求部、３３  ブラウザ処理部。
【図１】
2016163341.tif 000003
【図２】
2016163341.tif 000004
【図３】
2016163341.tif 000005