(57)【特許請求の範囲】
【請求項１】
各々が、グローバルアドレスを付与され、相互に通信を行なう単位である第１及び第２の通信拠点と、
これらの間を接続するネットワークとからなるアドレスアクセスシステムであって、
前記第１及び第２の通信拠点が、各々、仮想及び実プライベートアドレスを割り当てられた端末と、仮想プライベートアドレスから対応する実プライベートアドレス及びグローバルアドレスを求めるアドレス変換装置とからなり、
前記第１の通信拠点に属する端末が前記第２の通信拠点に属する端末へ送信した当該端末の仮想プライベートアドレスを含む送信フレームを、前記第１の通信拠点のアドレス変換装置が、当該仮想プライベートアドレスを対応する実プライベートアドレスに変換すると共に、当該仮想プライベートアドレスに基づいて前記第２の通信拠点のグローバルアドレスを求めて前記送信フレームに付加した上で前記第２の通信拠点に送信し、
当該グローバルアドレスの付加された前記送信フレームを受信した前記第２の通信拠点のアドレス変換装置が、前記送信フレームに含まれる当該実プライベートアドレスの示す端末に前記送信フレームの内容を送信する
ことを特徴とするアドレスアクセスシステム。
【請求項２】
前記第２の通信拠点のアドレス変換装置が、前記送信フレームに含まれる前記第１の通信拠点に属する端末を示す実プライベートアドレスを対応する仮想プライベートアドレスに変換した上で、前記送信フレームの内容を送信する
ことを特徴とする請求項１に記載のアドレスアクセスシステム。
【請求項３】
前記第１及び第２の通信拠点の一方はセンタ拠点であり、前記センタ拠点に付与された前記グローバルアドレスはそのアドレス変換装置毎に割り当てられており、前記センタ拠点の端末は管理端末であり、
前記第１及び第２の通信拠点の他方はリモート拠点であり、前記リモート拠点に付与された前記グローバルアドレスはそのネットワークとの接続ポートに割り当てられており、前記リモート拠点の端末は前記管理端末により管理される利用者端末である
ことを特徴とする請求項１に記載のアドレスアクセスシステム。
【請求項４】
前記送信フレームの送受信は、ＴＣＰコネクションの開設の後に行なわれ、
前記ＴＣＰコネクションは、前記センタ拠点のアドレス変換装置と前記リモート拠点のネットワークとの接続ポートとの間に開設される
ことを特徴とする請求項３に記載のアドレスアクセスシステム。
【請求項５】
前記センタ拠点のアドレス変換装置は、前記リモート拠点における仮想プライベートアドレスと実プライベートアドレス及びグローバルアドレスとの関係を記述するテーブルを備え、これを用いて前記仮想プライベートアドレスに基づいて前記実プライベートアドレス及びグローバルアドレスを求め、
前記リモート拠点のアドレス変換装置は、前記センタ拠点における仮想プライベートアドレスと実プライベートアドレス及びグローバルアドレスとの関係を記述するテーブルを備え、これを用いて前記仮想プライベートアドレスに基づいて前記実プライベートアドレス及びグローバルアドレスを求める
ことを特徴とする請求項３に記載のアドレスアクセスシステム。
【請求項６】
各々が、グローバルアドレスを付与され、相互に通信を行なう単位であり、仮想及び実プライベートアドレスを割り当てられた端末と仮想プライベートアドレスから対応する実プライベートアドレス及びグローバルアドレスを求めるアドレス変換装置とからなる第１及び第２の通信拠点と、これらの間を接続するネットワークとからなるアドレスアクセスシステムにおけるアドレスアクセス方法であって、
前記第１の通信拠点に属する端末が、前記第２の通信拠点に属する端末への当該端末の仮想プライベートアドレスを含む送信フレームを、前記第１の通信拠点のアドレス変換装置へ送信し、
前記第１の通信拠点のアドレス変換装置が、前記送信フレームの当該仮想プライベートアドレスを対応する実プライベートアドレスに変換すると共に、当該仮想プライベートアドレスに基づいて前記第２の通信拠点のグローバルアドレスを求めて前記送信フレームに付加した上で前記第２の通信拠点に送信し、
前記第２の通信拠点のアドレス変換装置が、当該グローバルアドレスの付加された前記送信フレームを受信し、前記送信フレームに含まれる当該実プライベートアドレスの示す端末に前記送信フレームの内容を送信する
ことを特徴とするアドレスアクセス方法。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、アドレスアクセスシステム及び方法に関し、特に、センタ拠点からリモート拠点にあるプライベートアドレスへのアクセスが可能なアドレスアクセスシステム及び方法に関する。
【０００２】
【従来の技術】
インターネット上のアドレスであるＩＰアドレス（ネットワークアドレス＋ホストアドレス）等のグローバルアドレスの総数には制限がある。このため、グローバルアドレスが不足している。そこで、１個のアクセスの拠点（ホスト、例えば拠点ルータ等）には１個のグローバルアドレスしか割り当てられないことが多い。
【０００３】
このような状態に対処するために、管理する側（以下、センタ拠点）からアクセスされる管理される側（以下、リモート拠点）においては、グローバルアドレスとは別に、その内部アドレスとしてプライベートアドレスを採用している。即ち、プライベートアドレスを当該リモート拠点を構成するセグメント（例えば、ゲートウェイ）に割り当て、当該リモート拠点の接続ルータ等においてアドレス変換（NAT;Network Address Transfer）を行なう。この時、当該アドレス変換は、１個のグローバルアドレスに対してｎ個のプライベートアドレスが存在するので、１対ｎのアドレス変換になる。
【０００４】
【発明が解決しようとする課題】
前述のように、多くの場合に１対ｎのアドレス変換を行なっているので、リモート拠点からのセンタ拠点へのアクセス（ＴＣＰセッションの開設）は可能であるが、通常は、センタ拠点からのリモート拠点へのＴＣＰセッションの開設は不可能である場合が多かった。
【０００５】
そこで、双方向の透過的なアクセスを可能とするために、リモート拠点のＮＡＴを行なう接続ルータ等において、ポートをセグメントにマッピングすること（ポートマッピング）が行なわれている。これにより、センタ拠点からのＴＣＰセッションの開設を可能とする。しかし、何らかの理由で接続ルータ等においてポートマッピングができない場合には、センタ拠点からのＴＣＰセッションの開設は不可能となってしまう。また、接続ルータ等においてポートマッピングした場合、セグメントへのインターネットからの接続があるので、セグメントのセキュリティが低下してしまう。これに備えてセキュリティフィルタを使用することも考えられるが、接続ルータ等の負荷が大きくなり過ぎてしまう。更に、リモート拠点内にセグメント（例えば、ゲートウェイ）が追加されたり、プライベートアドレスのアドレス変更がされたりすると、接続ルータ等におけるポートマッピングのマップ（及び、セキュリティフィルタを使用する場合には、その設定）を変更しなければならず、その管理が煩雑であった。
【０００６】
また、ＩＰＳｅｃ等のＶＰＮ（Virtual Private Network ）等の手段によれば、リモート拠点とセンタ拠点との間における双方向の通信は可能であるが、前述と同様に、リモート拠点からのセンタ拠点へのアクセス（ＶＰＮセッションの開設）は可能であるが、通常は、センタ拠点からのリモート拠点へのＶＰＮセッションの開設は不可能であった。
【０００７】
本発明は、センタ拠点からリモート拠点にあるプライベートアドレスへのアクセスが可能なアドレスアクセスシステムを提供することを目的とする。
【０００８】
また、本発明は、センタ拠点からリモート拠点にあるプライベートアドレスへのアクセスが可能なアドレスアクセス方法を提供することを目的とする。
【０００９】
【課題を解決するための手段】
本発明のアドレスアクセスシステムは、各々がグローバルアドレスを付与され相互に通信を行なう単位である第１及び第２の通信拠点と、これらの間を接続するネットワークとからなる。第１及び第２の通信拠点が、各々、仮想及び実プライベートアドレスを割り当てられた端末と、仮想プライベートアドレスから対応する実プライベートアドレス及びグローバルアドレスを求めるアドレス変換装置とからなる。第１の通信拠点に属する端末が第２の通信拠点に属する端末へ送信した当該端末の仮想プライベートアドレスを含む送信フレームを、第１の通信拠点のアドレス変換装置が、当該仮想プライベートアドレスを対応する実プライベートアドレスに変換すると共に、当該仮想プライベートアドレスに基づいて第２の通信拠点のグローバルアドレスを求めて送信フレームに付加した上で第２の通信拠点に送信する。当該グローバルアドレスの付加された送信フレームを受信した第２の通信拠点のアドレス変換装置が、送信フレームに含まれる当該実プライベートアドレスの示す端末に送信フレームの内容を送信する。
【００１０】
本発明のアドレスアクセス方法は、各々がグローバルアドレスを付与され相互に通信を行なう単位であり仮想及び実プライベートアドレスを割り当てられた端末と仮想プライベートアドレスから対応する実プライベートアドレス及びグローバルアドレスを求めるアドレス変換装置とからなる第１及び第２の通信拠点と、これらの間を接続するネットワークとからなるアドレスアクセスシステムにおけるアドレスアクセス方法である。第１の通信拠点に属する端末が、第２の通信拠点に属する端末への当該端末の仮想プライベートアドレスを含む送信フレームを、第１の通信拠点のアドレス変換装置へ送信する。第１の通信拠点のアドレス変換装置が、送信フレームの当該仮想プライベートアドレスを対応する実プライベートアドレスに変換すると共に、当該仮想プライベートアドレスに基づいて第２の通信拠点のグローバルアドレスを求めて送信フレームに付加した上で第２の通信拠点に送信する。第２の通信拠点のアドレス変換装置が、当該グローバルアドレスの付加された送信フレームを受信し、送信フレームに含まれる当該実プライベートアドレスの示す端末に送信フレームの内容を送信する。
【００１１】
本発明のアドレスアクセスシステム及び方法によれば、仮想プライベートアドレスを用いて送信先の端末を直接指定すると共に、当該仮想プライベートアドレスから対応する実プライベートアドレス及びグローバルアドレスを求めることができる。これにより、アドレス変換装置（ＮＡＴ）において、１対ｎのアドレス変換を行なってはいるが、送信先の端末を直接指定することができるので、第１及び第２の通信拠点の間における双方向のアクセスを可能とすることができる。即ち、リモート拠点からのセンタ拠点へのアクセス及びセンタ拠点からのリモート拠点へのアクセスが可能である。従って、このような双方向のアクセスのために、ポートマッピングやＶＰＮ等の手段による必要はなく、また、ポートマッピングした場合のようにセグメントのセキュリティが低下することはなく、従って、セキュリティフィルタを使用する必要もなく、アドレス変換装置の負荷が大きくなることを回避することができる。更に、通信拠点内におけるプライベートアドレスの追加や変更があっても、アドレス変換装置における仮想プライベートアドレスと実プライベートアドレス及びグローバルアドレスとの間の対応関係を変更するのみでよいので、ポートマッピングのマップ及びセキュリティフィルタの設定を変更する手間に比較すると、その管理が容易である。従って、通信拠点内における端末を、容易に追加したり削除したりすることができ、システム構成を柔軟に変更することができる。
【００１２】
【発明の実施の形態】
図１はアドレスアクセスシステム構成図であり、本発明のアドレスアクセスシステムの構成の概略等を示す。
【００１３】
アドレスアクセスシステムは、センタ拠点１、リモート拠点２、これらの間を接続するネットワーク３からなる。この例では、センタ拠点１が第１通信拠点であり、リモート拠点２が第２通信拠点である。なお、第１通信拠点及び第２通信拠点のいずれか一方がセンタ拠点１であり、他方がリモート拠点２であればよい。センタ拠点１及びリモート拠点２は、各々、１個のユニークなグローバルアドレス（インターネット３のグローバルＩＰアドレス）が割り当てられた１個のアクセスの単位である。ネットワーク３は、インターネット３からなり、基幹ルータ（図示せず）を含む。
【００１４】
センタ拠点１は、リモート拠点２（の利用者端末２３）を管理し、ファイアウォール１１、管理ゲートウェイ１２、管理端末１３、ＬＡＮ（Local AreaNetwork ）１４のようなネットワークからなる。管理ゲートウェイ１２は、後述するように、管理テーブル１２１を備える。ファイアウォール１１は、インターネット３（の対応する基幹ルータ、図示せず）に接続される。管理ゲートウェイ１２は、管理端末１３からのリモート拠点２への通信を中継し、また、その際に、管理テーブル１２１を参照して１対ｎのネットワークアドレスの変換（又はエミュレーション）を行なうアドレス変換装置（ＮＡＴ）である。管理端末１３は、管理者が使用する端末であり、リモート拠点２を管理する。管理端末１３は、利用者端末２３に対して、所定のデータ形式の送信フレームを送信する。ＬＡＮ１４は、図示しないが、その両端が終端されている。
【００１５】
リモート拠点２は、センタ拠点１（の管理端末１３）により管理され、ＤＳＬルータのような拠点ルータ２１、アクセス先ゲートウェイ２２、利用者端末２３、ＬＡＮ２４のようなネットワークからなる。アクセス先ゲートウェイ２２は、後述するように、アクセス先テーブル２２１、優先順位テーブル２２２、リトライ条件テーブル２２３を備える。拠点ルータ２１は、インターネット３（の対応する基幹ルータ、図示せず）に接続される。アクセス先ゲートウェイ２２は、利用者端末２３からのセンタ拠点１への通信を中継し、また、その際に、アクセス先テーブル２２１を参照して１対ｎのネットワークアドレスの変換（又はエミュレーション）を行なうアドレス変換装置（ＮＡＴ）である。利用者端末２３は、利用者が使用する端末であり、センタ拠点１にアクセスする。利用者端末２３は、管理端末１３に対して、所定のデータ形式の送信フレームを送信する。ＬＡＮ２４は、図示しないが、その両端が終端されている。
【００１６】
なお、管理ゲートウェイ１２及びアクセス先ゲートウェイ２２は、同様の処理を実行するものであれば、例えば中継サーバ、プロキシサーバ、ＶＰＮルータ等のいずれであってもよい。即ち、管理ゲートウェイ１２及びアクセス先ゲートウェイ２２は、管理端末１３又は利用者端末２３からの通信の中継に際して、送信フレームにおいて送信先とされた仮想プライベートアドレスから、これに対応する実プライベートアドレス及びグローバルアドレスを求めるアドレス変換装置（ＮＡＴ、即ち、ＮＡＴを実行する装置）であればよい。
【００１７】
また、管理ゲートウェイ１２とアクセス先ゲートウェイ２２とは、同一の構成を備え、本発明によるアドレス変換処理（又はアドレスエミュレーション処理）を実行するプログラムを、当該ゲートウェイであるコンピュータで実行することにより実現される。アドレス変換処理（又はアドレスエミュレーション処理）プログラムは、フレキシブルディスク、ＣＤ−ＲＯＭ、ＣＤＲ／Ｗ、ＤＶＤ等の記録媒体に記録することにより提供される。
【００１８】
ここで、本発明における実グローバルアドレス、実プライベートアドレス、仮想プライベートアドレスの概念の一例を図２に示す。
【００１９】
センタ拠点１において、これに付与されたグローバルアドレス（実ＩＰアドレス）は、その管理ゲートウェイ（アドレス変換装置）１２毎に割り当てられる。管理端末１３には、ユニークな実プライベートアドレス（実ＩＰアドレス）が割り当てられる。リモート拠点２において、これに付与されたグローバルアドレス（実ＩＰアドレス）は、リモート拠点２のインターネット３との接続ポート、即ち、拠点ルータ２１とインターネット３との接続点に割り当てられる。利用者端末２３には、ユニークな実プライベートアドレス（実ＩＰアドレス）が割り当てられる。
【００２０】
本発明に従って、このような実ＩＰアドレスとは独立に、センタ拠点１（ファイアウォール１１）、管理ゲートウェイ１２、管理端末１３には、リモート拠点２（拠点ルータ２１）、アクセス先ゲートウェイ２２、利用者端末２３には、各々、仮想プライベートアドレス（仮想ＩＰアドレス）が割り当てられる。仮想プライベートアドレスは、実プライベートアドレスと１対１に対応し、ユニークなものとされる。
【００２１】
リモート拠点２内では、利用者端末２３から拠点ルータ２１のインターネット３との接続点（ポート）までが、仮想プライベートアドレス及び実プライベートアドレスのゾーンである。拠点ルータ２１の前記接続点から管理ゲートウェイ１２までが、グローバルアドレスのゾーンである。センタ拠点１内では、管理ゲートウェイ１２から管理端末１３までが、仮想プライベートアドレス及び実プライベートアドレスのゾーンである。
【００２２】
本発明では、プライベートアドレスのゾーンに対しては、仮想プライベートアドレスを用いてアクセスされる。即ち、管理端末１３から利用者端末２３へのアクセスは、利用者端末２３の仮想プライベートアドレスを用いて行われ、利用者端末２３から管理端末１３へのアクセスは、管理端末１３の仮想プライベートアドレスを用いて行われる。そして、仮想プライベートアドレスから実プライベートアドレスへの変換（エミュレーション）を、管理ゲートウェイ１２又はアクセス先ゲートウェイ２２が行う。これにより、管理端末１３の数及び利用者端末２３の数によらず、システムを拡張することができる。
【００２３】
また、図２に示すように、リモート拠点２内では、利用者端末２３から拠点ルータ２１まで及び拠点ルータ２１からインターネット３（の基幹ルータ）まではデフォルトでルートが設定される。インターネット３上は、ダイナミックにルーティングされ、セキュリティの保証もない。センタ拠点１内では、ダイナミックにルーティングされるが、セキュリティは保証される。
【００２４】
前述のように、アクセス先ゲートウェイ２２は、アクセス先テーブル（センタ拠点／仮想ＩＰ対応テーブル）２２１を備える。アクセス先テーブル２２１は、アクセス先ゲートウェイ２２がセンタ拠点１の管理端末１３にアクセスするために備えるテーブルであり、センタ拠点１における仮想プライベートアドレスと実プライベートアドレス及びグローバルアドレスとの関係を記述するテーブルである。アクセス先ゲートウェイ２２は、これを用いて、利用者端末２３からの仮想プライベートアドレスを用いたアクセスに基づいて、実プライベートアドレス及びグローバルアドレスを求め、管理ゲートウェイ１２（又はセンタ拠点１）及びその管理端末１３にアクセスすることができる。
【００２５】
このように、アクセス先テーブル２２１によるアドレス変換を行うことにより、ゲートウェイやルータの設定を変更することなく、アクセスが実現でき、ゲートウェイやルータの管理が容易である。また、例えばプライベートネットワークで構成されたＣＡＴＶネットワークのように、そのゲートウェイやルータにおけるアドレス変更が不可能な場合でも、本発明の構成によれば、アクセス先テーブル２２１（及び、後述の管理テーブル１２１）の変更により対応することができる。
【００２６】
アクセス先テーブル２２１の一例を図３（Ａ）に示す。アクセス先テーブル２２１は、管理ゲートウェイ１２（又はセンタ拠点１）毎に管理端末１３（の名前）を格納し、その管理端末１３毎に、その仮想（プライベート）ＩＰアドレス及び実（プライベート）ＩＰアドレスを格納してなり、また、管理ゲートウェイ１２（又はセンタ拠点１）毎に、その実（プライベート）ＩＰアドレスを格納してなる。
【００２７】
また、アクセス先ゲートウェイ２２は、優先順位テーブル（管理ゲートウェイテーブル）２２２、リトライ条件テーブル２２３を備える。優先順位テーブル２２２は、当該アクセス先ゲートウェイ２２からの管理ゲートウェイ１２へのアクセスの優先順位を定める。リトライ条件テーブル２２３は、当該アクセス先ゲートウェイ２２からの管理ゲートウェイ１２（又は管理端末１３）へのリトライ条件を定める。なお、アクセス先ゲートウェイ２２は、優先順位テーブル２２２に定められた管理ゲートウェイ１２の各々について、アクセス先テーブル２２１を備える。
【００２８】
優先順位テーブル２２２の一例を図３（Ｂ）に示す。優先順位テーブル２２２は、当該アクセス先ゲートウェイ２２からのアクセスが可能な（１又は複数の）管理ゲートウェイ１２のグローバルアドレス（実アドレス）を、その優先順位と共に格納する。アクセス先ゲートウェイ２２は、優先順位の高い管理ゲートウェイ１２から順に選択して、アクセス（ＴＣＰコネクションを開設）する。
【００２９】
リトライ条件テーブル２２３の一例を図３（Ｃ）に示す。リトライ条件テーブル２２３は、リトライ回数及びリトライ間隔秒数からなるリトライ条件を格納する。アクセス先ゲートウェイ２２は、リトライ条件テーブル２２３に従って、通信のリトライを行なう。即ち、例えば、管理ゲートウェイ１２へのＴＣＰコネクションの開設に失敗した場合、リトライ間隔秒数の規定する間隔（例えば、１２０秒）で、リトライ回数の規定する回数（例えば、５０回）だけ、当該ＴＣＰコネクションの開設を繰り返す。
【００３０】
従って、この例では、アクセス先ゲートウェイ２２は、管理端末１３へのアクセスの際、複数の管理ゲートウェイ１２からいずれか１個の管理ゲートウェイ１２を選択してアクセスする。また、この例では、アクセス先ゲートウェイ２２は、選択した管理ゲートウェイ１２へのアクセスに失敗した場合、当該アクセスについて所定の回数リトライする。即ち、アクセス先ゲートウェイ２２は、管理ゲートウェイ１２へのアクセスにおいて、前記アクセスの優先順位に従って、リトライ条件でのリトライを繰り返す。
【００３１】
一方、管理ゲートウェイ１２は、前述のように、管理テーブル（リモート拠点／仮想ＩＰ対応テーブル）１２１を備える。管理テーブル１２１は、管理ゲートウェイ１２がリモート拠点２の利用者端末２３にアクセスするために備えるテーブルであり、リモート拠点２における仮想プライベートアドレスと実プライベートアドレス及びグローバルアドレスとの関係を記述するテーブルである。管理ゲートウェイ１２は、これを用いて、管理端末１３からの仮想プライベートアドレスを用いたアクセスに基づいて、実プライベートアドレス及びグローバルアドレスを求め、拠点ルータ２１（又はリモート拠点２）及びその利用者端末２３にアクセスすることができる。
【００３２】
管理テーブル１２１の一例を図４に示す。管理テーブル１２１は、アクセス先ゲートウェイ２２（又はリモート拠点２）毎に利用者端末２３を格納し、その利用者端末２３毎に、その仮想（プライベート）ＩＰアドレス及び実（プライベート）ＩＰアドレスを格納しており、また、アクセス先ゲートウェイ２２（リモート拠点２）毎に、その実（プライベート）ＩＰアドレスを格納している。
【００３３】
以上から判るように、管理端末１３と利用者端末２３との間における通信は、図５に示すように行われる。なお、以下の説明は、最初に拠点ルータ２１から管理ゲートウェイ１２へのＴＣＰコネクションを開設し、この後管理端末１３が利用者端末２３へアクセスする場合の例を示す。なお、最初に管理ゲートウェイ１２から拠点ルータ２１へのＴＣＰコネクションを開設する場合でも同様であり、また、ＴＣＰコネクションの開設後、利用者端末２３が管理端末１３へアクセスする場合でも同様である。
【００３４】
最初に、例えば、利用者端末２３が管理端末１３へのアクセス要求を拠点ルータ２１に送信する。これに応じて、拠点ルータ２１は、管理ゲートウェイ１２へのＴＣＰ層でのコネクション（ＴＣＰコネクション）４を開設する。ＴＣＰコネクションは、拠点ルータ２１（リモート拠点２のインターネット３との接続ポート）と、管理ゲートウェイ１２との間に開設される。この後、利用者端末２３と管理端末１３との間での双方向の送信フレームの送受信が、図５に示すように、ＴＣＰコネクション４を通して行われる。
【００３５】
この状態で、例えば、センタ拠点１の管理端末１３が、リモート拠点２の利用者端末２３への当該利用者端末２３の仮想プライベートアドレスを含む送信フレームを送出する。この送信フレームは、この例では、図５に示すように、ＴＣＰ層、ＩＰ層、ＮＩＣ層を介して、センタ拠点１の管理ゲートウェイ１２に送信される。そこで、管理ゲートウェイ１２が、管理テーブル１２１を参照して、当該送信フレームにおける当該仮想プライベートアドレスを対応する実プライベートアドレスに変換し、当該仮想プライベートアドレスに基づいて拠点ルータ２１（リモート拠点２）のグローバルアドレスを求めて前記送信フレームに付加し、ＴＣＰコネクション４を通して、これを拠点ルータ２１（リモート拠点２）に送信する。
【００３６】
これを受信した拠点ルータ２１は、当該送信フレームをアクセス先ゲートウェイ２２に送る。アクセス先ゲートウェイ２２は、当該送信フレームに含まれる当該実プライベートアドレスの示す利用者端末２３に、ＴＣＰ層及びＩＰ層を介して、当該送信フレームの内容を送信する。これに先立って、アクセス先ゲートウェイ２２は、当該送信フレームに含まれる送信元（管理端末１３）を示す実プライベートアドレスを、対応する仮想プライベートアドレスに変換する。これにより、利用者端末２３は、送信元を確認することができる。
【００３７】
なお、図５に示すように、ｔｅｌｎｅｔやＦＴＰのように、汎用のアプリケーション（プログラム）により、ｔｅｌｎｅｔデーモン等を介して、アクセス先ゲートウェイ２２に接続する利用者端末２３のリモート制御、メンテナンス、データ転送、コマンド実行等が可能となる。
【００３８】
図６は、アクセス先ゲートウェイ２２から拠点ルータ２１を介しての管理ゲートウェイ１２への接続（ＴＣＰコネクション開設）処理フローを示す。即ち、前述の最初に拠点ルータ２１から管理ゲートウェイ１２へのＴＣＰコネクションを開設する場合の例を示す。
【００３９】
アクセス先ゲートウェイ２２が、優先順位テーブル２２２の一番目の管理ゲートウェイ（管理サーバ）１２を選択すると（ステップＳ１１）、拠点ルータ２１が、選択された管理ゲートウェイ１２のアドレスへＴＣＰコネクションを開設し（ステップＳ１２）、当該接続に成功したか否かを調べる（ステップＳ１３）。接続（ＴＣＰコネクションの開設）に成功した場合、処理を終了する。接続に成功しなかった場合、アクセス先ゲートウェイ２２が、更に、リトライ条件テーブル２２３を参照して、選択された管理ゲートウェイ１２へのアクセスがリトライ回数に達したか否かを調べる（ステップＳ１４）。リトライ回数に達しなかった場合、アクセス先ゲートウェイ２２が、リトライ条件テーブル２２３を参照して、リトライ間隔秒数の経過を待って、拠点ルータ２１にステップＳ１２を繰り返させる。リトライ回数に達した場合、アクセス先ゲートウェイ２２が、優先順位テーブル２２２に次の順番の管理ゲートウェイ１２が有るか否かを調べ（ステップＳ１５）、これが有る場合、優先順位テーブル２２２の次の順番の管理ゲートウェイ１２を選択し（ステップＳ１６）、拠点ルータ２１にステップＳ１２を繰り返させる。ステップＳ１５において、次の順番の管理ゲートウェイ１２がない場合には、アクセス先ゲートウェイ２２が、エラー処理を行って（ステップＳ１７）、処理を終了する。
【００４０】
図７は、ゲートウェイでのアドレス変換処理フローを示す。即ち、前述の最初に拠点ルータ２１から管理ゲートウェイ１２へのＴＣＰコネクションを開設した後、管理端末１３が利用者端末２３へアクセスする場合の例を示す。また、図８及び図９は、ゲートウェイでのアドレス変換処理の説明図である。
【００４１】
実プライベートアドレスが「192.168.2.1 」の管理端末１３が、図８の処理▲１▼に示すように、利用者端末Ａ（利用者端末２３）を示す仮想プライベートアドレス「192.168.2.101 」に対して、送信フレーム５１を作成して送信する（ステップＳ２１）。この時、当該送信フレーム５１は、図９に示すように、ＩＰヘッダと被送信情報とからなる。ＩＰヘッダは、送信元アドレスと送信先アドレスとからなる。送信元アドレスは、送信元である管理端末１３の実プライベートアドレス「192.168.2.1 」である。送信先アドレスは、送信先である利用者端末Ａを示す仮想プライベートアドレス「192.168.2.101 」である。被送信情報は当該フレームの内容である。
【００４２】
管理ゲートウェイ１２は、送信フレーム５１を受信すると、図８の処理▲２▼に示すように、ＩＰヘッダの送信先アドレスをキーとして管理テーブル１２１を参照し、送信先アドレスである利用者端末Ａの仮想プライベートアドレス「192.168.2.101 」を、利用者端末Ａの実プライベートアドレス「192.168.1.1 」にアドレス変換又はエミュレートする（ステップＳ２２）。これにより、図９に示す送信フレーム５２が得られる。
【００４３】
次に、管理ゲートウェイ１２は、図８の処理▲３▼に示すように、アドレス変換した送信フレーム５２をカプセル化して、これにアクセス先ゲートウェイ２２の実グローバルアドレス等を含むヘッダ（以下、付加ＩＰヘッダ）を付加して、図９に示す送信フレーム５３を作成し、これを当該アクセス先ゲートウェイ２２に送信する（ステップＳ２３）。この時、付加ＩＰヘッダは、送信元アドレスと送信先アドレスとからなる。送信元アドレスは、送信元である管理ゲートウェイ１２の実グローバルアドレス「192.168.2.100 」である。送信先アドレスは、送信先であるアクセス先ゲートウェイ２２の実グローバルアドレス「192.168.1.100 」である。
【００４４】
アクセス先ゲートウェイ２２は、送信フレーム５３を受信すると、送信フレーム５３からその内容である前記カプセル化した送信フレーム５４を取り出す。この時、取り出された送信フレーム５４は、図９に示すように、送信フレーム５２と同様の構成になる。アクセス先ゲートウェイ２２は、図８の処理▲４▼に示すように、送信フレーム５４のＩＰヘッダの送信元アドレスをキーとしてアクセス先テーブル２２１を参照して、当該送信元アドレスである管理端末１３の実プライベートアドレス「192.168.2.1 」を、管理端末１３を示す仮想プライベートアドレス「192.168.1.101 」にアドレス変換又はエミュレートする（ステップＳ２４）。アドレス変換の結果、図９に示すように、送信フレーム５５が得られる。これにより、送信先の利用者端末Ａには送信元の管理端末１３を示す仮想プライベートアドレス「192.168.1.101 」が通知されるので、利用者端末Ａから管理端末１３へのアクセスが可能となる。
【００４５】
次に、アクセス先ゲートウェイ２２は、図８の処理▲５▼に示すように、アドレス変換した送信フレーム５５を、利用者端末Ａに送信する（ステップＳ２５）。即ち、送信先が示す実プライベートアドレス「192.168.1.1 」の利用者端末Ａに送信する。
【００４６】
以上から判るように、本発明の実施の形態の特徴を列記すると以下のとおりである。
（付記１）  各々が、グローバルアドレスを付与され、相互に通信を行なう単位である第１及び第２の通信拠点と、
これらの間を接続するネットワークとからなるアドレスアクセスシステムであって、
前記第１及び第２の通信拠点が、各々、仮想及び実プライベートアドレスを割り当てられた端末と、仮想プライベートアドレスから対応する実プライベートアドレス及びグローバルアドレスを求めるアドレス変換装置とからなり、
前記第１の通信拠点に属する端末が前記第２の通信拠点に属する端末へ送信した当該端末の仮想プライベートアドレスを含む送信フレームを、前記第１の通信拠点のアドレス変換装置が、当該仮想プライベートアドレスを対応する実プライベートアドレスに変換すると共に、当該仮想プライベートアドレスに基づいて前記第２の通信拠点のグローバルアドレスを求めて前記送信フレームに付加した上で前記第２の通信拠点に送信し、
当該グローバルアドレスの付加された前記送信フレームを受信した前記第２の通信拠点のアドレス変換装置が、前記送信フレームに含まれる当該実プライベートアドレスの示す端末に前記送信フレームの内容を送信する
ことを特徴とするアドレスアクセスシステム。
（付記２）  前記第２の通信拠点のアドレス変換装置が、前記送信フレームに含まれる前記第１の通信拠点に属する端末を示す実プライベートアドレスを対応する仮想プライベートアドレスに変換した上で、前記送信フレームの内容を送信する
ことを特徴とする付記１に記載のアドレスアクセスシステム。
（付記３）  前記第１及び第２の通信拠点の一方はセンタ拠点であり、前記センタ拠点に付与された前記グローバルアドレスはそのアドレス変換装置毎に割り当てられており、前記センタ拠点の端末は管理端末であり、
前記第１及び第２の通信拠点の他方はリモート拠点であり、前記リモート拠点に付与された前記グローバルアドレスはそのネットワークとの接続ポートに割り当てられており、前記リモート拠点の端末は前記管理端末により管理される利用者端末である
ことを特徴とする付記１に記載のアドレスアクセスシステム。
（付記４）  前記送信フレームの送受信は、ＴＣＰコネクションの開設の後に行なわれ、
前記ＴＣＰコネクションは、前記センタ拠点のアドレス変換装置と前記リモート拠点のネットワークとの接続ポートとの間に開設される
ことを特徴とする付記３に記載のアドレスアクセスシステム。
（付記５）  前記センタ拠点のアドレス変換装置は、前記リモート拠点における仮想プライベートアドレスと実プライベートアドレス及びグローバルアドレスとの関係を記述するテーブルを備え、これを用いて前記仮想プライベートアドレスに基づいて前記実プライベートアドレス及びグローバルアドレスを求め、
前記リモート拠点のアドレス変換装置は、前記センタ拠点における仮想プライベートアドレスと実プライベートアドレス及びグローバルアドレスとの関係を記述するテーブルを備え、これを用いて前記仮想プライベートアドレスに基づいて前記実プライベートアドレス及びグローバルアドレスを求める
ことを特徴とする付記３に記載のアドレスアクセスシステム。
（付記６）  前記リモート拠点のアドレス変換装置は、更に、
前記センタ拠点のアドレス変換装置へのアクセスの優先順位を定める優先順位テーブル２２２と、
リトライ条件を定めるリトライ条件テーブル２２３とを備え、
前記リモート拠点のアドレス変換装置は、前記アクセスの優先順位に従って、リトライ条件でのリトライを繰り返す
ことを特徴とする付記５に記載のアドレスアクセスシステム。
（付記７）  前記リモート拠点のアドレス変換装置は、前記優先順位テーブル２２２に定められた前記センタ拠点のアドレス変換装置の各々について、当該センタ拠点における仮想プライベートアドレスと実プライベートアドレス及びグローバルアドレスとの関係を記述するテーブルを備える
ことを特徴とする付記１に記載のアドレスアクセスシステム。
（付記８）  各々が、グローバルアドレスを付与され、相互に通信を行なう単位であり、仮想及び実プライベートアドレスを割り当てられた端末と仮想プライベートアドレスから対応する実プライベートアドレス及びグローバルアドレスを求めるアドレス変換装置とからなる第１及び第２の通信拠点と、これらの間を接続するネットワークとからなるアドレスアクセスシステムにおけるアドレスアクセス方法であって、
前記第１の通信拠点に属する端末が、前記第２の通信拠点に属する端末への当該端末の仮想プライベートアドレスを含む送信フレームを、前記第１の通信拠点のアドレス変換装置へ送信し、
前記第１の通信拠点のアドレス変換装置が、前記送信フレームの当該仮想プライベートアドレスを対応する実プライベートアドレスに変換すると共に、当該仮想プライベートアドレスに基づいて前記第２の通信拠点のグローバルアドレスを求めて前記送信フレームに付加した上で前記第２の通信拠点に送信し、
前記第２の通信拠点のアドレス変換装置が、当該グローバルアドレスの付加された前記送信フレームを受信し、前記送信フレームに含まれる当該実プライベートアドレスの示す端末に前記送信フレームの内容を送信する
ことを特徴とするアドレスアクセス方法。
【００４７】
【発明の効果】
以上説明したように、本発明によれば、アドレスアクセスシステム及び方法において、仮想プライベートアドレスを用いて送信先の端末を直接指定すると共に、当該仮想プライベートアドレスから対応する実プライベートアドレス及びグローバルアドレスを求めることにより、ゲートウェイ等（アドレス変換装置）において、リモート拠点及びセンタ拠点の間における双方向のアクセスを可能とすることができる。従って、このような双方向のアクセスのために、ポートマッピングやＶＰＮ等の手段による必要はないので、セキュリティが低下したり、セキュリティフィルタを使用することによりアドレス変換装置の負荷が増大したりすることはない。更に、通信拠点内におけるプライベートアドレスの追加や変更に、ゲートウェイ等におけるテーブルを変更するのみで容易に対応することができるので、利用者端末及び管理端末を容易に追加したり削除したりすることができ、システム構成を柔軟に変更することができる。
【図面の簡単な説明】
【図１】アドレスアクセスシステム説明図である。
【図２】アドレスアクセス説明図である。
【図３】アドレスアクセス説明図である。
【図４】アドレスアクセス説明図である。
【図５】アドレスアクセス説明図である。
【図６】管理ゲートウェイへの接続処理フローを示す。
【図７】ゲートウェイでのアドレス変換処理フローを示す。
【図８】ゲートウェイでのアドレス変換処理の説明図である。
【図９】ゲートウェイでのアドレス変換処理の説明図である。
【符号の説明】
１    センタ拠点
２    リモート拠点
１１    ファイアウォール
１２    管理ゲートウェイ
１３    管理端末
２１    拠点ルータ
２２    アクセス先ゲートウェイ
２３    利用者端末
１２１    管理テーブル
２２１    アクセス先テーブル
２２２    優先順位テーブル
２２３    リトライ条件テーブル
【図１】
0003776821.tif 000002
【図２】
0003776821.tif 000003
【図３】
0003776821.tif 000004
【図４】
0003776821.tif 000005
【図５】
0003776821.tif 000006
【図６】
0003776821.tif 000007
【図７】
0003776821.tif 000008
【図８】
0003776821.tif 000009
【図９】
0003776821.tif 000010