JP2007060610A - Network connection system, network connection apparatus, program thereof and recording medium - Google Patents
Network connection system, network connection apparatus, program thereof and recording medium Download PDFInfo
- Publication number
- JP2007060610A JP2007060610A JP2005321880A JP2005321880A JP2007060610A JP 2007060610 A JP2007060610 A JP 2007060610A JP 2005321880 A JP2005321880 A JP 2005321880A JP 2005321880 A JP2005321880 A JP 2005321880A JP 2007060610 A JP2007060610 A JP 2007060610A
- Authority
- JP
- Japan
- Prior art keywords
- information
- network connection
- communication terminal
- network
- connection device
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
- Small-Scale Networks (AREA)
Abstract
Description
本発明は、ネットワークに接続されたネットワーク接続装置を介して、ネットワーク接続装置に接続された通信端末とネットワーク上の機器との間で情報を送受信するネットワーク接続システム、そのネットワーク接続装置、そのプログラムおよび記録媒体に関する。 The present invention relates to a network connection system that transmits and receives information between a communication terminal connected to the network connection device and a device on the network via the network connection device connected to the network, the network connection device, the program, and The present invention relates to a recording medium.
従来のネットワーク接続システムを構成するネットワーク接続装置として、ブロードバンド対応ルータを含むＮＡＴ（Network Address Translation）装置などが知られている。これは、プライベートアドレス空間に属する通信端末とグローバルアドレス空間に属するネットワーク上の機器との間でＩＰ(Internet Protocol)通信を行う際に、企業網や家庭内の網などで用いられるプライベートアドレス空間に属する通信端末のプライベートアドレスを、自己が保持するグローバルアドレスの中の任意のグローバルアドレスに対応づけるアドレス変換用のマッピングテーブルを作成し、受信したパケットを、このマッピングテーブルに従って転送するものである。すなわち、プライベートアドレスを送信元アドレスとして通信端末から送信されたパケットは、ＮＡＴ装置のマッピングテーブルに基づいて、その発信元アドレスが対応するグローバルアドレスに変換され、ネットワーク上の機器に転送される。また、このグローバルアドレスを送信先としてネットワーク上の機器から送信されたパケットは、マッピングテーブルに基づいて、その送信先アドレスが対応するプライベートアドレスに変換され通信端末に転送される。このような仕組みによれば、複数の通信端末が一つのグローバルアドレスを共有でき、グローバルアドレス空間が節約できる（例えば、特許文献１参照。）。
しかし、従来のネットワーク接続システムには、ＮＡＴに係るアドレス変換に起因した以下のような課題が存在する。
第一に、ＦＴＰ（File Transfer Protocol）、ＳＩＰ（Session Initiation Protocol）、ＤＮＳ（Domain Name System）、ＳＣＴＰ（Stream Control Transport Protocol）、ＤＣＣＰ（Datagram Congestion Control Protocol）などのプロトコルでは、ＩＰヘッダだけではなくペイロードにもＩＰアドレスが含まれるため、ＩＰヘッダ部分のアドレス変換の際、ペイロード部分のアドレス変換も同時に行わなくてはならない。例えばＳＩＰのＩＮＶＩＴＥメッセージでは、ペイロード中に互いに通信するもの同志のアドレスが含まれるため、ペイロード中のプライベートアドレスを対応するグローバルアドレスに変換しなければならない。ペイロードのどの部分にＩＰアドレスが含まれるかはプロトコル毎に異なるため、それぞれについてアドレス変換の方法を変えなければならない。さらには、新規のプロトコルには対応できないといった問題がある。
However, the conventional network connection system has the following problems due to the address translation related to NAT.
First, in protocols such as File Transfer Protocol (FTP), Session Initiation Protocol (SIP), Domain Name System (DNS), Stream Control Transport Protocol (SCTP), and Datagram Congestion Control Protocol (DCCP), not only the IP header Since the payload also includes an IP address, the address conversion of the payload portion must be performed at the same time when the IP header portion is converted. For example, in the SIP INVITE message, addresses that communicate with each other are included in the payload, so the private address in the payload must be converted into a corresponding global address. Since which part of the payload contains the IP address differs for each protocol, the address conversion method must be changed for each part. Furthermore, there is a problem that the new protocol cannot be supported.
また、アドレス変換用のマッピングテーブルは、プライベートアドレスを持つ通信端末からグローバルアドレスを持つネットワーク上の機器にアクセスする際に設定されるが、逆にネットワーク上の機器から通信端末へのアクセスを契機にする場合は、通信端末のプライベートアドレスが特定できず通信ができないといった問題がある。すなわち、ＮＡＴ装置はクライアントサーバ型のアプリケーションには適しているが、ネットワーク側からのアクセスがあるＶｏＩＰアプリケーションやＰ２Ｐ型のアプリケーションには適さず、別途中継サーバが必要となる。 The mapping table for address conversion is set when a communication terminal having a private address accesses a device on the network having a global address, but conversely, when the device on the network accesses the communication terminal. In this case, there is a problem that the private address of the communication terminal cannot be specified and communication cannot be performed. That is, the NAT device is suitable for a client server type application, but is not suitable for a VoIP application or a P2P type application that is accessed from the network side, and requires a separate relay server.
また、前記のマッピングテーブルは、通信相手であるネットワーク上の機器のアドレスに対応して設定される場合があるが、この機器がハンドオーバーによりアドレスを変更する場合や、ネットワーク上の別の機器にＬＡＮ上の通信端末に割当てられたグローバルアドレスを通知して新たな通信を行う際には、ネットワーク上の機器のアドレスが異なっているため、アドレス変換が正しく行なわれないという問題もある。
さらに、ＩＰｓｅｃ（Security Architecture for Internet Protocol）のプロトコルを適用してＩＰヘッダの改竄防止を図る場合があるが、従来のネットワーク接続システムのようにＮＡＴによるアドレス変換を行うと、ＩＰヘッダが変更され、ＩＰｓｅｃのプロトコルはこれをＩＰヘッダの改竄と判断してしまう。
In addition, the mapping table may be set corresponding to the address of a device on the network that is a communication partner. However, when this device changes its address by a handover, it may be assigned to another device on the network. When notifying the global address assigned to the communication terminal on the LAN and performing a new communication, there is a problem that the address conversion is not performed correctly because the addresses of the devices on the network are different.
Furthermore, there is a case where the IP header is prevented from being falsified by applying the IPsec (Security Architecture for Internet Protocol) protocol. The IPsec protocol determines that this is a falsification of the IP header.
本発明は、これらの点に鑑みてなされたものであり、ネットワーク接続システムに係るアドレスの変換を不要とし、これらの課題を解決する技術を提供することを目的とする。 The present invention has been made in view of these points, and an object of the present invention is to provide a technique that eliminates the need for address conversion related to a network connection system and solves these problems.
請求項１に記載のネットワーク接続システムは、ネットワークに接続されたネットワーク接続装置と、ネットワーク接続装置と通信可能に接続された通信端末とを備え、通信端末は、ネットワーク上の機器と通信するプロセスに対応するプロセス識別子およびネットワーク上の機器を表す宛先アドレスを含む内部通信情報を、ネットワーク接続装置との間で送受信し、ネットワーク接続装置は、通信端末によって送信された内部通信情報を受信したとき、受信した内部通信情報に含まれるプロセス識別子に対応する送信元アドレスおよび当該内部通信情報により特定される宛先アドレスを含むパケットを生成し、生成したパケットをネットワーク上の機器に送信し、ネットワーク上の機器からパケットを受信したとき、受信したパケットに含まれる宛先アドレスに対応するプロセス識別子を含む内部通信情報を生成し、生成した内部通信情報を通信端末に送信する構成を有している。
The network connection system according to
この構成の場合、通信端末は自らのアドレスを含むＩＰパケットを直接取り扱わない。ＩＰパケットを取り扱うのはネットワーク接続装置のみである。すなわち、この構成では、通信端末が取り扱うプライベートアドレスと、ネットワーク接続装置が取り扱うグローバルアドレスとの変換が不要である。そのため、本発明では、上述したアドレス変換に起因する課題を解決できる。
請求項２に記載のネットワーク接続システムは、通信端末が、プロセス識別子を含む情報をネットワーク接続装置に送信し、ネットワーク接続装置が、通信端末によって送信された情報に含まれるプロセス識別子と所定のアドレスとを対応付けるプロセス対応情報を作成し、生成したプロセス対応情報に従って、受信した内部通信情報に含まれるプロセス識別子に対応する送信元アドレスを特定してパケットを生成し、受信したパケットに含まれる宛先アドレスに対応するプロセス識別子を特定して内部通信情報を生成する構成を有している。
In this configuration, the communication terminal does not directly handle an IP packet including its own address. Only network connection devices handle IP packets. That is, in this configuration, it is not necessary to convert the private address handled by the communication terminal and the global address handled by the network connection device. Therefore, the present invention can solve the problems caused by the address conversion described above.
In the network connection system according to
この構成により、ネットワーク接続装置と通信端末の間で用いられていたプライベートアドレスが不要となる。その結果、ＮＡＴが不要となり、アドレス変換に起因する課題を解決できる。
請求項３に記載のネットワーク接続システムは、通信端末が、通信端末を認証するための端末認証情報をネットワーク接続装置に送信し、ネットワーク接続装置が、通信端末から送信された端末認証情報に基づいて通信端末の認証を行い、通信端末の認証が成功した場合、通信端末とネットワーク上の機器との間の情報の送受信を許可する構成を有している。
With this configuration, the private address used between the network connection device and the communication terminal becomes unnecessary. As a result, NAT becomes unnecessary, and the problems caused by address translation can be solved.
In the network connection system according to claim 3, the communication terminal transmits terminal authentication information for authenticating the communication terminal to the network connection device, and the network connection device is based on the terminal authentication information transmitted from the communication terminal. The communication terminal is authenticated, and when the communication terminal is successfully authenticated, the communication terminal is configured to permit transmission / reception of information between the communication terminal and a device on the network.
この構成により、認証が成功した通信端末のみが、ネットワーク上の機器と情報の送受信を許可されることになる。これにより、セキュリティを高めた通信ができる。
請求項４に記載のネットワーク接続システムは、通信端末が、通信端末を利用するユーザを認証するためのユーザ認証情報をネットワーク接続装置に送信し、ネットワーク接続装置が、通信端末から送信されたユーザ認証情報に基づいてユーザの認証を行い、ユーザの認証が成功した場合、当該ユーザに対応するプロセス識別子を含む内部通信情報の通信端末への送信と、当該内部通信情報に対応するパケットのネットワーク上の機器への送信とを許可する構成を有している。
With this configuration, only communication terminals that have been successfully authenticated are permitted to send and receive information to and from devices on the network. Thereby, communication with improved security can be performed.
The network connection system according to claim 4, wherein the communication terminal transmits user authentication information for authenticating a user who uses the communication terminal to the network connection apparatus, and the network connection apparatus transmits the user authentication transmitted from the communication terminal. If the user is authenticated based on the information and the user is successfully authenticated, the internal communication information including the process identifier corresponding to the user is transmitted to the communication terminal, and the packet corresponding to the internal communication information is transmitted on the network. It has a configuration that permits transmission to a device.
この構成により、認証が成功したユーザに対応するプロセス識別子を含む内部通信情報のみの送受信が許可されることになる。これにより、セキュリティを高めた通信ができる。 With this configuration, transmission / reception of only internal communication information including a process identifier corresponding to a user who has been successfully authenticated is permitted. Thereby, communication with improved security can be performed.
上述のように本発明では、ＮＡＴが不要になる。その結果、このアドレス変換に起因する問題を解決することができる。 As described above, NAT is not necessary in the present invention. As a result, the problem caused by this address translation can be solved.
以下、本発明の実施の形態に係るネットワーク接続システムについて、図面を参照して説明する。
（本発明の第１の実施の形態）
〔全体構成〕
本発明の第１の実施の形態に係るネットワーク接続システム１のシステム構成図を図１に示す。図１に示したネットワーク接続システム１は、ネットワーク４０に接続されたネットワーク接続装置１０と、ネットワーク接続装置１０と通信可能に接続された通信端末２０とを備えた構成を有し、さらにネットワーク４０には、サーバ等の外部ホスト３０が接続されている。
Hereinafter, a network connection system according to an embodiment of the present invention will be described with reference to the drawings.
(First embodiment of the present invention)
〔overall structure〕
FIG. 1 shows a system configuration diagram of a
また、図１に示したネットワーク接続システム１では、ネットワーク接続装置１０を介して、ネットワーク接続装置１０に接続された通信端末２０と、外部ホスト３０を含むネットワーク４０上の機器との間で情報が送受信される。
なお、図示した通信端末２０の各々を区別する場合には、通信端末２０をそれぞれ通信端末２０−１、通信端末２０−２と記載し、外部ホスト３０の各々を区別する場合には、外部ホスト３０をそれぞれ外部ホスト３０−１、外部ホスト３０−２と記載する。
また、例えば、外部ホスト３０−１、外部ホスト３０−２は、それぞれＷｅｂ外部ホスト、メールサーバ、通信相手端末等であり、通信端末２０およびネットワーク接続装置１０は、企業内および家庭内に設置され、ネットワーク４０は、インターネット等である。なお、ネットワーク接続装置１０と通信端末２０との間は、有線または無線で接続されてもよい。
In the
When distinguishing each of the illustrated
Further, for example, the external host 30-1 and the external host 30-2 are a web external host, a mail server, a communication partner terminal, etc., respectively, and the
ネットワーク接続装置１０と通信端末２０との間は、リンクレイヤのプロトコルに準拠して通信する。例えば、リンクレイヤのプロトコルは、ＩＥＥＥ８０２.３（Ethernet（登録商標））、ＰＰＰ（Point-to-Point Protocol）、もしくはＬ２ＴＰ（Layer 2 Tunneling Protocol）、またはＰＰＴＰ（Point-to-Point Tunneling Protocol）などのトンネリングプロトコルでもよく、ネットワーク接続装置１０と外部ホスト３０との間の通信はＩＰに準拠する。
通信端末２０は、ＩＰに準拠した通信をしないため、ＩＰアドレスはもたない。また、ネットワーク接続装置１０は、外部ホスト３０等の通信機器と通信するため、例えば、グローバルＩＰアドレスを１以上保有する（メモリ等に格納している）。
The
Since the
〔ネットワーク接続装置１０の構成〕
＜ハードウエア構成＞
ネットワーク接続装置１０は、ＣＰＵ（Central Processing Unit）、メモリ（RAM,ROM,NV-RAM）、ハードディスク、ネットワーク４０に接続されるネットワークインタフェース、および通信端末２０に接続されるインタフェース等を有している。
＜ソフトウエア構成＞
図２は、ネットワーク接続装置１０にインストールされているソフトウエア１０１０の構成を例示した図である。図２に示すように、この例のソフトウエア１０１０は、通信端末２０とネットワーク接続装置１０とのリンクを確立させてリンク情報を生成するためのリンク確立ソフトウエア１０１２、通信端末２０から通知されるプロセス識別子とグローバルＩＰアドレス等のアドレスとを対応させるプロセス対応情報を作成するためのプロセス対応情報作成ソフトウエア１０１３、ＯＳ（Operating System）１０１５、ネットワークドライバ１０１６、および、プロセス対応情報に従って内部通信情報を生成する内部通信情報生成ソフトウエア１０１７を有している。
[Configuration of Network Connection Device 10]
<Hardware configuration>
The
<Software configuration>
FIG. 2 is a diagram illustrating a configuration of the software 1010 installed in the
＜ハードウエアとソフトウエアの協働＞
本形態のネットワーク接続装置１０は、上述のハードウエアにソフトウエア１０１０がインストールされ、このソフトウエア１０１０がＣＰＵで実行されることにより構成される。図３は、このように構成されたネットワーク接続装置１０の構成を例示したブロック図である。
この図に示すように、この例のネットワーク接続装置１０は、通信端末２０と通信を行うインタフェース部１１、通信端末２０との間のリンクを確立させてリンク情報１０２１を生成するリンク確立部１２、プロセス対応情報１０２２を作成するプロセス対応情報作成部１３、リンク情報１０２１とプロセス対応情報１０２２とを格納する記憶部１４、プロセス対応情報１０２２に従ってパケットを生成するパケット生成部１５、プロセス対応情報１０２２に従って内部通信情報を生成する内部通信情報生成部１６、ネットワーク４０を通じた通信を行うネットワークインタフェース部１７、および、ネットワーク接続装置１０全体を制御する制御部１８を有する。また、インタフェース部１１は、インタフェース１１ａ，１１ｂおよび１１ｃを有し、それぞれにインタフェース番号（ＩＦ＃０，ＩＦ＃１，ＩＦ＃２）が割り振られている。なお、「インタフェース」とは、各装置における通信の論理的な機能単位を意味し、具体的には、所定のソフトウエアが読み込まれたＣＰＵがＬＡＮカード等の通信装置を制御することによって構成される。また、各装置は複数のインタフェースをもつことが可能である。
<Cooperation between hardware and software>
The
As shown in this figure, the
〔通信端末２０の構成〕
＜ハードウエア構成＞
通信端末２０は、ＣＰＵ、メモリ、ネットワーク接続装置１０に接続されるインタフェース等を有しており、例えば、ハードディスク、キーボード等の入力器、およびディスプレイを備えたパソコン等である。また、通信端末２０は、情報家電機器等でもよい。
＜ソフトウエア構成＞
図４は、通信端末２０にインストールされているソフトウエア１０３０の構成を例示した図である。図４に示すように、この例のソフトウエア１０３０は、Ｗｅｂページを閲覧するブラウザまたは、メールを送受信するメーラ等のアプリケーションソフトウエア１０３１、ネットワーク接続装置１０へのリンク確立要求を行うためのリンク確立要求情報生成ソフトウエア１０３２、ＯＳ１０３３、および、ネットワークドライバ１０３４を有している。なお、アプリケーションソフトウエア１０３１は、ブラウザやメーラだけに限定されることはない。
[Configuration of Communication Terminal 20]
<Hardware configuration>
The
<Software configuration>
FIG. 4 is a diagram illustrating a configuration of the
＜ハードウエアとソフトウエアの協働＞
本形態の通信端末２０は、上述のハードウエアにソフトウエア１０３０がインストールされ、このソフトウエア１０３０がＣＰＵで実行されることにより構成される。
図５は、このように構成された通信端末２０−１の構成を例示したブロック図である。なお、ここでは通信端末２０−１の構成のみを例示するが、通信端末２０−２の構成もこれと同様である。この例の通信端末２０−１は、通信端末ＩＤ１０４１やリンク番号１０４２を格納する記憶部２１−１、ネットワーク接続装置１０と通信を行うインタフェース部２２−１、ネットワーク接続装置１０へのリンク確立要求を行うリンク確立要求情報生成部２３−１、プロセス１００１，１００２を実行するプロセス実行部２４−１、および、通信端末２０全体を制御する制御部２５−１を有する。また、インタフェース部２２−１は、インタフェース２２ａ−１を有し、これにはインタフェース番号（ＩＦ＃０）が割り振られている。
<Cooperation between hardware and software>
The
FIG. 5 is a block diagram illustrating the configuration of the communication terminal 20-1 configured as described above. Although only the configuration of the communication terminal 20-1 is illustrated here, the configuration of the communication terminal 20-2 is the same as this. The communication terminal 20-1 in this example sends a link establishment request to the storage unit 21-1, which stores the
ここで、プロセス１００１，１００２とは、ＯＳ１０３３の制御のもとＣＰＵがアプリケーションソフトウエア１０３１を実行する際の処理単位である。これらのプロセス１００１，１００２は、アプリケーションソフトウエア１０３１がＣＰＵ上で起動されたことなどを契機にＯＳ１０３３によって生起される。なお、プロセスの生起とは、プロセスに対応するプログラムをＲＡＭ等の主記憶装置に読み込み、ＣＰＵがこのプログラムを実行可能な状態にすること、および、実際に実行することをいう。本形態の場合、生起されたプロセス１００１，１００２は、例えば、ネットワーク４０上のＷｅｂサーバやメールサーバとの通信処理を含む。そして、このＷｅｂサーバ等との通信処理は、ＣＰＵ上で起動するソフトウエアであるネットワークドライバ１０３４による処理を介して実現される。具体的には、ＣＰＵ上で起動されたネットワークドライバ１０３４は、例えば、宛先アドレスやペイロード含み、低位レイヤのプロトコルに準拠した内部通信情報を生成して送信する。
なお、図１では、通信端末２０−１にプロセス１００１およびプロセス１００２が生起し、通信端末２０−２にプロセス１００３が生起している様子を示している。また、ネットワーク接続装置１０もまた、同様に図示しないプロセスを生起している。
Here, the
FIG. 1 shows a state where a
〔ネットワーク接続装置１０と通信端末２０との間のリンク〕
ネットワーク接続装置１０と通信端末２０とは、後述の処理により対応付けられる。このネットワーク接続装置１０と通信端末２０との間の対応付け（リンク）は、論理的なリンク番号によって表される。リンク番号と各インタフェースとの対応関係の一例を表１に示す。
[Link between
The
ネットワーク接続装置１０のＩＦ番号における「０」、「１」、および「２」は、ネットワーク接続装置１０のインタフェース１１ａ，１１ｂ，１１ｃの番号を表している。
また、通信端末ＩＤにおける「１」および「２」は、それぞれ、通信端末２０−１、通信端末２０−２を表している。
通信端末２０のＩＦ番号における「０」および「１」は、通信端末２０のインタフェース（２２ａ−１等）の番号を表している。なお、それぞれの通信端末２０にインタフェースが１つだけ存在する構成では、通信端末２０のＩＦ番号は不要である。
“0”, “1”, and “2” in the IF number of the
Also, “1” and “2” in the communication terminal ID represent the communication terminal 20-1 and the communication terminal 20-2, respectively.
“0” and “1” in the IF number of the
この例の場合、リンク番号「１００」は、ネットワーク接続装置１０のＩＦ番号「０」と対応し、通信端末２０−１のＩＦ番号「０」と対応する。なお、リンク番号は、ネットワーク接続装置１０のＩＤおよびネットワーク接続装置１０のインタフェース番号によって構成されるようにしてもよい。
また、本発明の実施の形態において、図１の通信端末２０−２のように通信端末２０が複数のインタフェースを有する場合、ネットワーク接続装置１０と通信端末２０との間には、１つのインタフェースにつき１つの論理的なリンクが存在するものとする。
In this example, the link number “100” corresponds to the IF number “0” of the
In the embodiment of the present invention, when the
〔動作〕
以上のように構成された本発明の第１の実施の形態に係るネットワーク接続システム１の動作について、図面を参照して説明する。図６は、本発明の第１の実施の形態に係るネットワーク接続システム１の動作を示すシーケンス図である。なお、以下では、通信端末２０−１がネットワーク４０に接続された外部ホスト３０等の通信機器と通信を行う場合を例にとって説明する。
まず、通信端末２０−１のリンク確立要求情報生成部２３−１は、ネットワーク接続装置１０に対するリンク確立要求を示すリンク確立要求情報を生成する。リンク確立要求情報は、各通信端末を特定するための通信端末ＩＤ、ＭＡＣアドレスまたは製造番号などの情報を含む。この例の場合、リンク確立要求情報生成部２３−１は、記憶部２１−１に格納された通信端末ＩＤ１０４１を読み込み、この通信端末ＩＤ１０４１を含むリンク確立要求情報を生成する。生成されたリンク確立要求情報は、ネットワークドライバ１０３４の処理に従い、インタフェース部２２−１のインタフェース２２ａ−１からネットワーク接続装置１０に送信される（Ｓ１）。また、リンク確立要求情報を送信する契機としては、通信端末２０−１がネットワーク接続装置１０と物理的に接続したときなどである。
[Operation]
The operation of the
First, the link establishment request information generating unit 23-1 of the communication terminal 20-1 generates link establishment request information indicating a link establishment request to the
次に、ネットワーク接続装置１０は、通信端末２０−１から送信されたリンク確立要求情報をインタフェース部１１のインタフェース１１ａで受信し、これをリンク確立部１２に転送する。リンク確立部１２は、受信したリンク確立要求情報に応じたリンク番号を割当てると共に、割当てたリンク番号をインタフェース部１１のインタフェース１１ａから通信端末２０−１に送信する。
また、リンク確立部１２は、割当てたリンク番号と、リンク確立要求情報に含まれる通信端末ＩＤ１０４１と、リンク確立要求情報を受信したときのインタフェース１１ａの番号とを対応させるリンク情報１０２１を生成し、これをメモリやハードディスク等の記憶部１４に格納する（Ｓ２）。ここで、リンク確立部１２が作成したリンク情報の一例を表２に示す。
Next, the
Further, the
次に、プロセス実行部２４−１は、プロセス１００１，１００２を生起し、生起したプロセス１００１，１００２に対応するプロセス識別子（以下、プロセスＩＤという。）および記憶部２１−１に格納されたリンク番号１０４２を含むプロセス情報を、インタフェース部２２−１のインタフェース２２ａ−１からネットワーク接続装置１０に送信する（Ｓ３）。なお、プロセス情報を送信する契機としては、プロセスが生起されたときなどである。また、このプロセス情報の送信は、ネットワークドライバ１０３４の処理に従って実行される。
Next, the process execution unit 24-1 generates
ネットワーク接続装置１０は、通信端末２０−１によって送信されたプロセス情報をインタフェース部１１のインタフェース１１ａで受信し、これをプロセス対応情報作成部１３に転送する。プロセス対応情報作成部１３は、転送されたプロセス情報に応じて、外部ホスト３０等の通信機器と通信するためのアドレスを割当てると共に、割当てたアドレスをインタフェース部１１のインタフェース１１ａから通信端末２０に送信する。
また、プロセス対応情報作成部１３は、プロセス情報に含まれるプロセスＩＤと、リンク番号と、アドレスとを対応させるプロセス対応情報１０２２を生成し、これをメモリやハードディスク等の記憶部１４に格納する（Ｓ４）。なお、アドレスは、グローバルＩＰアドレス等である。ここで、プロセス対応情報作成部１３が作成したプロセス対応情報１０２２の一例を表３に示す。
The
In addition, the process correspondence
また、プロセス対応情報作成部１３は、１つのリンク番号につき１つのアドレスを割当てるようにしてもよく、１つの通信端末ＩＤにつき１つのアドレスを割当てるようにしてもよい。１つの通信端末ＩＤにつき１つのアドレスを割当てる場合には、プロセス対応情報作成部１３は、表２に例示したリンク情報１０２１における通信端末ＩＤに基づいてアドレスを割当てる。
In addition, the process correspondence
なお、プロセス情報には、アドレスの割当て方法（例えば、１つのリンク番号につき１つのアドレスを割当てるなど）を指定するアドレス割当情報を含めることができる。プロセス情報にアドレス割当情報を含めている場合には、プロセス対応情報作成部１３は、このアドレス割当情報に従ってアドレスを割当てる。
また、アドレス割当情報に、１つのユーザにつき１つのアドレスを割当てるようにような設定が施されてもよい。具体的には、例えば、アドレス割当情報にユーザを表すユーザＩＤが設定されてもよい。この例の場合、プロセス対応情報作成部１３には、ユーザＩＤが設定されているアドレス割当情報を含むプロセス情報がインタフェース部１１のインタフェース１１ａから転送される。そして、この例のプロセス情報が転送されたプロセス対応情報作成部１３は、例えば、アドレス割当情報に設定されているユーザＩＤと、割当てたアドレスとを対応させたプロセス対応情報１０２２を作成する。
The process information can include address assignment information that specifies an address assignment method (for example, one address is assigned to one link number). If the process information includes address allocation information, the process correspondence
Further, the address assignment information may be set so that one address is assigned to one user. Specifically, for example, a user ID representing a user may be set in the address assignment information. In the case of this example, process information including address allocation information in which a user ID is set is transferred from the
図７は、本発明の第１の実施の形態に係るネットワーク接続装置１０を経由した、通信端末２０−１および外部ホスト３０−１との間の情報の流れを示す図である。ここで、図７（Ａ）は、通信端末２０−１からネットワーク接続装置１０を通じて外部ホスト３０−１へ情報を送信する際の流れを示している。また、図７（Ｂ）は、外部ホスト３０−１からネットワーク接続装置１０を通じて通信端末２０−１へ情報を送信する際の流れを示している。
＜図７（Ａ）に示す処理＞
まず、通信端末２０−１のプロセス実行部２４−１が、実行されているプロセス１００１に従い、外部ホスト３０−１に送信されるデータとなるペイロードを生成する。また、プロセス実行部２４−１は、ネットワークドライバ１０３４の処理に従い、このペイロードに対し、プロセスＩＤ、宛先となる外部ホスト３０−１のアドレス（以降、２．１．１．１とする）、およびリンクヘッダを付加した内部通信情報１０５１を生成し、これらをインタフェース部２２−１のインタフェース２２ａ−１からネットワーク接続装置１０に送信する。
なお、内部通信情報１０５１に含まれるペイロードがＴＣＰまたはＵＤＰに準拠したデータである場合、ペイロードのヘッダ部のポート番号（送信元ポート番号）の設定情報にプロセスＩＤを設定することとしてもよい。
FIG. 7 is a diagram showing a flow of information between the communication terminal 20-1 and the external host 30-1 via the
<Process shown in FIG. 7A>
First, the process execution unit 24-1 of the communication terminal 20-1 generates a payload as data to be transmitted to the external host 30-1 according to the
When the payload included in the internal communication information 1051 is data conforming to TCP or UDP, the process ID may be set in the setting information of the port number (source port number) in the header portion of the payload.
なお、内部通信情報とは、通信端末２０−１とネットワーク接続装置１０との間で送受される情報である。また、リンクヘッダは、低位レイヤのプロトコルに準拠したヘッダに係る情報である。
次に、ネットワーク接続装置１０は、通信端末２０−１から送信された内部通信情報１０５１を、インタフェース部１１のインタフェース１１ａで受信する。受信された内部通信情報１０５１はパケット生成部１５に転送され、パケット生成部１５は、転送された内部通信情報１０５１に含まれるプロセスＩＤをキーとして表３に示したプロセス対応情報１０２２を検索し、このプロセスＩＤと対応するアドレスを送信元アドレスとして抽出する。図７（Ａ）の例では、プロセスＩＤ１００１をキーとして、プロセスＩＤ１００１と対応する送信元アドレス１．１．１．１が抽出されている。そして、パケット生成部１５は、抽出した送信元アドレス、内部通信情報１０５１に含まれるペイロードおよび宛先アドレスを含み、所定の形式（例えばＩＰ）に準拠したパケット１０５２を生成する。
The internal communication information is information transmitted and received between the communication terminal 20-1 and the
Next, the
また、内部通信情報１０５１のプロセスＩＤが、ペイロードのヘッダ部のポート番号（送信元ポート番号）の設定情報に設定されたものであった場合、パケット生成部１５は、上述のようにプロセスＩＤに対応する送信元アドレスを抽出すると共に、プロセスＩＤと対応するポート番号を割当て、このポート番号をペイロードに含むパケット１０５２を生成する。
なお、パケット１０５２がＩＰパケットである場合には、パケット１０５２は、宛先ＩＰアドレスや送信元ＩＰアドレス、その他のＩＰヘッダに関わる情報およびペイロードによって構成される。
When the process ID of the internal communication information 1051 is set in the setting information of the port number (source port number) in the header part of the payload, the
When the packet 1052 is an IP packet, the packet 1052 includes a destination IP address, a source IP address, other information related to an IP header, and a payload.
このように生成されたパケット１０５２は、ネットワークインタフェース部１７に転送され、そこからネットワークドライバ１０１６の処理に従い、外部ホスト３０−１に転送される。
＜図７（Ｂ）に示す処理＞
外部ホスト３０−１は、ネットワーク接続装置１０から送信されたパケット１０５２を受信し、受信したパケット１０５２を処理する。この例の外部ホスト３０−１は、受信したパケット１０５２に対して応答する場合、パケット１０５２に対する応答内容などを含むペイロードを生成する。ここで、パケット１０５２のペイロードにポート番号（送信元ポート番号）が含まれていた場合、外部ホスト３０−１は、このポート番号を宛先ポート番号としたペイロードを生成する。そして、この例の外部ホスト３０−１は、生成したペイロードを含み、パケット１０５２の送信元アドレスを宛先アドレスとし、パケット１０５２の宛先アドレスを送信元アドレスとしたパケット１０５３をネットワーク接続装置１０に送信する。
The packet 1052 generated in this way is transferred to the
<Process shown in FIG. 7B>
The external host 30-1 receives the packet 1052 transmitted from the
ネットワーク接続装置１０は、ネットワークインタフェース部１７で、外部ホスト３０−１から送信されたパケット１０５３を受信し、これを内部通信情報生成部１６に転送する。内部通信情報生成部１６は、転送されたパケット１０５３の宛先アドレスをキーとして、記憶部１４のプロセス対応情報１０２２を検索し、この宛先アドレスが示すアドレスと対応するプロセスＩＤを抽出する。また、パケット１０５３の宛先アドレスと対応するプロセスＩＤが複数あって特定できない場合には、ペイロードに含まれるポート番号（宛先ポート番号）と対応するプロセスＩＤを特定する。図７（Ｂ）では、宛先アドレス１．１．１．１から、宛先アドレス１．１．１．１と対応するプロセスＩＤ１００１を抽出している。
In the
また、内部通信情報生成部１６は、このように抽出したプロセスＩＤ、パケット１０５３のペイロードおよび送信元アドレスを用い、これにリンクヘッダを付した内部通信情報１０５４を生成する。なお、この内部通信情報１０５４は、ネットワークドライバ１０１６の処理に従い、低位レイヤのプロトコルに準拠して生成される。
また、内部通信情報生成部１６は、パケット１０５３のプロセスＩＤをキーとして記憶部１４のプロセス対応情報１０２２を検索し、このプロセスＩＤに対応するリンク番号を抽出する。さらに、内部通信情報生成部１６は、抽出したリンク番号をキーとして記憶部１４のリンク情報１０２１を検索し、このリンク番号に対応するＩＦ番号を抽出する。例えば、パケット１０５３のプロセスＩＤが「１００１」であった場合、これと対応するリンク番号「１００」が抽出され、さらにこのリンク番号「１００」と対応するネットワーク接続装置１０のＩＦ番号「０」が抽出される。
Further, the internal communication
Further, the internal communication
また、内部通信情報１０５４のペイロード内のポート番号（送信元ポート番号）の設定情報にプロセスＩＤを設定している場合には、内部通信情報生成部１６は、まず受信したパケット１０５３のペイロードに含まれるポート番号（宛先ポート番号）と対応するプロセスＩＤを特定する。そして、内部通信情報生成部１６は、このプロセスＩＤと対応するリンク番号から、表２に示したリンク情報１０２１に従ってネットワーク接続装置１０のＩＦ番号を特定する。
内部通信情報生成部１６は、上述のように抽出したＩＦ番号のインタフェース１１ａから内部通信情報１０５４を送出する。これにより、内部通信情報１０５４は、対応する通信端末２０に転送される。この例ではＩＦ番号「０」が抽出されることになるので、内部通信情報１０５４は、インタフェース部１１のインタフェース１１ａ（ＩＦ＃０）から送出され、通信端末２０−１のインタフェース部２２−１のインタフェース２２ａ−１に受信される。
When the process ID is set in the setting information of the port number (source port number) in the payload of the internal communication information 1054, the internal communication
The internal communication
通信端末２０−１は、インタフェース２２ａ−１で受信した内部通信情報１０５４をプロセス実行部２４−１に転送する。プロセス実行部２４−１は、転送された内部通信情報１０５４に含まれるプロセスＩＤと対応するプロセス１００１を実行状態とし、このプロセス１００１により内部通信情報１０５４のペイロードを処理する。
以上説明したように、本発明の第１の実施の形態に係るネットワーク接続システム１は、通信端末２０とネットワーク４０上の機器との間で情報を送受信する際に、ネットワーク接続装置１０が、内部通信情報１０５１に含まれるプロセス識別子に対応する送信元アドレスおよび当該内部通信情報１０５１に含まれる宛先アドレスを含むパケット１０５２を生成し、また、送信されたパケット１０５３に含まれる宛先アドレスに対応するプロセス識別子を含む内部通信情報１０５４を生成する。これにより、ネットワーク接続装置１０と通信端末２０の間で用いられるプライベートアドレスが不要となるため、ＮＡＴ超え等に係るアドレスの変換が不要となる。その結果、従来のＮＡＴ超えの対策を適用する場合のような、ＩＰヘッダ内のアドレスに加えて上位レイヤのメッセージを変換するといった処理が不要となる。また、種々のプロトコルに対応可能となるデータ転送を行うことができる。
The communication terminal 20-1 transfers the internal communication information 1054 received by the
As described above, when the
また、通信端末２０とネットワーク接続装置１０との間で送受される内部通信情報１０５１，１０５４はＩＰを介在しないため、ＩＰによるオーバヘッドが削減でき、データ転送量が低減する。加えて、通信端末２０は、ＩＰによるオーバヘッドに係る処理を行う必要が無いため、通信端末２０の消費電力も低減できる。
さらに、ネットワーク接続装置１０の記憶部１４にリンク情報１０２１およびプロセス対応情報１０２２が生成された後は、外部ホスト３０等のネットワーク上の通信機器は、希望する通信端末２０を直接指定してセッションを行ったり、開始したりすることができる。
Further, since the internal communication information 1051 and 1054 transmitted and received between the
Furthermore, after the
また、本形態では、ネットワーク接続装置１０がアドレス変換を行わないため、本システムにＩＰｓｅｃのプロトコルを適用することも容易である。
なお、本形態では、リンク番号を用いた処理を説明したが、リンク番号は必須ではない。ただし、ネットワーク接続装置１０と通信端末２０との間にスイッチが存在したとき等の通信形態に依っては、リンク番号が必要となる場合がある。また、リンク番号を用いない形態においては、表２に示したリンク情報におけるリンク番号は、存在しなくてもよい。またこの場合、表３に示したプロセス対応情報は、リンク番号をネットワーク接続装置１０のＩＦ番号に換えたものとなる。そして、この際、図６を用いて説明した処理では、リンク番号の代わりにＩＦ番号を用いる。
In this embodiment, since the
In this embodiment, the process using the link number has been described, but the link number is not essential. However, a link number may be required depending on the communication mode such as when a switch exists between the
また、本発明の第１の実施の形態に係るネットワーク接続システム１において、通信端末２０にソフトウエア１０７０に替えて、図８に示すようなソフトウエア１０６０をインストールすることとしてもよい。図８に例示するように、ソフトウエア１０６０は、アプリケーションソフトウエア１０６１、ＯＳ（仮想マシン）１０６２Ａ、ＯＳ（仮想マシン）１０６２Ｂ、ネットワークドライバ１０６３を有している。この場合、通信端末２０は、ＯＳ１０６２Ａおよび１０６２Ｂが１つのＣＰＵよって処理される構成となる。そして、例えば、ユーザＡ、ユーザＢがそれぞれＯＳ１０６２Ａおよび１０６２Ｂを利用する。またユーザＡ、ユーザＢが同時に異なるＯＳを利用してもよい。また、この図に示すように、ネットワーク接続装置１０によってユーザ毎に１つずつアドレスが割当てられる形態をとることもできる。
In the
（本発明の第２の実施の形態）
〔全体構成〕
本発明の第２の実施の形態に係るネットワーク接続システム１００のシステム構成図を図９に示す。図９に示したネットワーク接続システム１００は、ＩＳＰ（Internet Service Provider）が有する認証サーバ１６０と、ネットワーク４０に接続されたネットワーク接続装置１１０と、ネットワーク接続装置１１０と通信可能に接続された通信端末１２０を備えた構成であり、さらにネットワーク４０には、外部ホスト３０が接続されている。
(Second embodiment of the present invention)
〔overall structure〕
FIG. 9 shows a system configuration diagram of the
なお、本発明の第２の実施の形態に係るネットワーク接続システム１００を構成する構成要素のうち、本発明の第１の実施の形態に係るネットワーク接続システム１を構成する構成要素と同一の構成要素には同一の符号を付し、それぞれの説明を省略する。また、図示した通信端末１２０の各々を区別する場合には、通信端末１２０をそれぞれ通信端末１２０−１、通信端末１２０−２と記載する。
例えば、通信端末１２０およびネットワーク接続装置１１０は、企業内および家庭内に設置される。ネットワーク接続装置１１０は、例えば、ＩＳＰから支給または貸し出しされたものである。ネットワーク接続装置１１０および通信端末１２０は、本発明の第１の実施の形態で説明したネットワーク接続装置１０と通信端末２０と基本的に同様の構成である。差異については以降に説明する。
Of the components constituting the
For example, the communication terminal 120 and the
本発明の第２の実施の形態に係るネットワーク接続システム１００では、通信端末１２０が、通信端末１２０を認証するための端末認証情報をネットワーク接続装置１１０に送信し、ネットワーク接続装置１１０が、通信端末１２０から送信された端末認証情報に基づいて通信端末１２０の認証を行い、通信端末１２０の認証が成功した場合、通信端末１２０とネットワーク４０上の機器との間における送受信を許可するようになっている。
また、通信端末１２０が、通信端末１２０を利用するユーザを認証するためのユーザ認証情報をネットワーク接続装置１１０に送信し、ネットワーク接続装置１１０は、通信端末１２０から送信されたユーザ認証情報に基づいてユーザの認証を行い、ユーザの認証が成功した場合、通信端末１２０とネットワーク４０上の機器との間における通信のうち、このユーザに対応するプロセス識別子を含む内部通信情報に対応するものの送受信を許可することもできる。
In the
Further, the communication terminal 120 transmits user authentication information for authenticating a user who uses the communication terminal 120 to the
〔ネットワーク接続装置１１０の構成〕
次に、本発明の第２の実施の形態に係るネットワーク接続装置１１０の構成を説明する。なお、以下では、ネットワーク接続装置１１０の構成要素のうち、本発明の第１の実施の形態に係るネットワーク接続装置１０の構成要素と同一の構成要素には同一の符号を付し、それぞれの説明を省略する。
＜ハードウエア構成＞
第１の実施の形態のネットワーク接続装置１０と同様である。
＜ソフトウエア構成＞
図１０は、ネットワーク接続装置１１０にインストールされているソフトウエア１０７０の構成を例示した図である。この図に例示するように、本形態の第１の実施の形態との相違点は、さらに端末認証情報またはユーザ認証情報に基づいて認証を行うための認証ソフトウエア１０７１がネットワーク接続装置１１０にインストールされている点である。その他は第１の実施の形態と同様である。
＜ハードウエアとソフトウエアの協働＞
本形態のネットワーク接続装置１１０は、第１の実施の形態と同様なハードウエアにソフトウエア１０７０がインストールされ、このソフトウエア１０７０がＣＰＵで実行されることにより構成される。図１１は、このように構成されたネットワーク接続装置１１０の構成を例示したブロック図である。この図に示すように、本形態のネットワーク接続装置１１０は、端末認証情報またはユーザ認証情報に基づいて認証を行う認証部１１１が付加される点で、第１の実施の形態のネットワーク接続装置１０と相違する。その他はネットワーク接続装置１０と同様である。すなわち、ネットワーク接続装置１１０は、インタフェース部１１、リンク確立部１２、プロセス対応情報作成部１３、記憶部１４、パケット生成部１５、内部通信情報生成部１６、ネットワークインタフェース部１７、制御部１８、および、端末認証情報またはユーザ認証情報に基づいて認証を行う認証部１１１を有する。
[Configuration of Network Connection Device 110]
Next, the configuration of the
<Hardware configuration>
The
<Software configuration>
FIG. 10 is a diagram illustrating a configuration of software 1070 installed in the
<Cooperation between hardware and software>
The
〔通信端末１２０の構成〕
次に、本発明の第２の実施の形態に係る通信端末１２０の構成を説明する。なお、以下では、通信端末１２０の構成要素のうち、本発明の第１の実施の形態に係る通信端末２０の構成要素と同一の構成要素には同一の符号を付し、それぞれの説明を省略する。
[Configuration of Communication Terminal 120]
Next, the configuration of the communication terminal 120 according to the second embodiment of the present invention will be described. In the following, among the components of the communication terminal 120, the same components as those of the
＜ハードウエア構成＞
第１の実施の形態の通信端末２０と同様である。
＜ソフトウエア構成＞
図１０は、通信端末１２０にインストールされているソフトウエア１０９０の構成を例示した図である。この図に例示するように、本形態の第１の実施の形態との相違点は、さらに端末認証情報またはユーザ認証情報に基づいた認証の要求をネットワーク接続装置１１０に対して行うための認証要求ソフトウエア１０９１が通信端末１２０にインストールされている点である。その他は第１の実施の形態と同様である。
＜ハードウエアとソフトウエアの協働＞
本形態の通信端末１２０は、第１の実施の形態と同様なハードウエアにソフトウエア１０９０がインストールされ、このソフトウエア１０９０がＣＰＵで実行されることにより構成される。図１３は、このように構成された通信端末１２０−１の構成を例示したブロック図である。この図に示すように、本形態の通信端末１２０−１は、端末認証情報またはユーザ認証情報に基づいた認証の要求をネットワーク接続装置１１０に対して行う認証要求部１２１−１が付加される点で第１の実施の形態の通信端末２０−１と相違する。その他は通信端末２０−１と同様である。なお、ここでは、通信端末１２０−１の構成のみを例示するが、通信端末１２０−２の構成も同様である。
<Hardware configuration>
It is the same as that of the
<Software configuration>
FIG. 10 is a diagram illustrating a configuration of
<Cooperation between hardware and software>
The communication terminal 120 of this embodiment is configured by installing
〔動作〕
以上のように構成された本発明の第２の実施の形態に係るネットワーク接続システム１００の動作について、図面を参照して説明する。図１４および図１５は、本発明の第２の実施の形態に係るネットワーク接続システム１００の動作を示すシーケンス図である。
なお、本発明の第２の実施の形態に係るネットワーク接続システム１００の動作のうち、本発明の第１の実施の形態に係るネットワーク接続システム１の動作と同一の動作には同一の符号を付し、それぞれの説明を省略する。また以下では、通信端末１２０−１がネットワーク４０に接続された外部ホスト３０等の通信機器する場合を例にとって説明する。
[Operation]
The operation of the
Of the operations of the
図１４は、本発明の第２の実施の形態に係るネットワーク接続システム１００の動作のうち、端末認証の動作を示すシーケンス図である。
第１の実施の形態と同じＳ１およびＳ２の処理が実行され、通信端末１２０−１がリンク番号を受信した後、通信端末１２０−１の認証要求部１２１−１は、端末認証の要求を行うため、記憶部２１−１から読み込んだ端末認証情報１１０１を、インタフェース部２２−１のインタフェース２２ａ−１からネットワーク接続装置１１０に送信する（Ｓ１１）。なお、端末認証情報１１０１は、通信端末ＩＤおよびパスワード、または、電子証明書など通信端末１２０を認証できる情報であれば如何なるものでもよい。端末認証情報１１０１は、予めメモリ等の記憶部２１−１に記憶しているものが使用されてもよく、また、端末認証の要求を行う際に、ユーザから入力され記憶部２１−１に格納されたものが使用されてもよい。
FIG. 14 is a sequence diagram showing a terminal authentication operation among the operations of the
After the same processing of S1 and S2 as in the first embodiment is executed and the communication terminal 120-1 receives the link number, the authentication request unit 121-1 of the communication terminal 120-1 makes a request for terminal authentication. Therefore, the
次に、ネットワーク接続装置１１０は、インタフェース部１１のインタフェース１１ａで、通信端末１２０によって送信された端末認証情報１１０１を受信し、これを認証部１１１に転送する。この認証部１１１は、端末認証情報１１０１に基づいて認証を行う（Ｓ１２）。
なお、この例の認証部１１１は、端末認証情報を認証サーバ１６０に送信することにより、認証サーバ１６０に対して認証を要求し、認証結果を得る。また、認証部１１１は、ハードディスク等の記憶部１４に格納している認証に関わる情報（図示せず）と照合して認証結果を決定してもよい。
Next, the
Note that the
認証部１１１は、リンク確立部１２が作成して記憶部１４に格納されている表２のリンク情報に、認証結果に応じた認証状態を加えて、表４に例示するようなリンク情報１０８１を作成し、記憶部１４に格納する。すなわち、認証部１１１は、認証結果が成功であった場合、表４のリンク情報１０８１における認証状態を成功とし、認証結果が失敗であった場合、表４のリンク情報１０８１における端末認証状態を、初期状態である未認証のままとする。
The
図１５は、本発明の第２の実施の形態に係るネットワーク接続システム１００の動作のうちユーザ認証の動作を示すシーケンス図である。
FIG. 15 is a sequence diagram showing a user authentication operation among the operations of the
第１の実施の形態と同じＳ３およびＳ４の処理が実行され、通信端末１２０がアドレスを受信した後に、認証要求部１２１−１がユーザ認証の要求を行う。そのために認証要求部１２１−１は、上記アドレスおよび記憶部２１−１に格納されたユーザ認証情報１１０２をインタフェース２２ａ−１からネットワーク接続装置１１０に送信する（Ｓ１３）。
なお、ユーザ認証情報１１０２は、ユーザＩＤおよびパスワード、または、電子証明書などユーザを認証できる情報であれば如何なるものでもよい。ユーザ認証情報１１０２は、予め記憶部２１−１に記憶しているものが使用されてもよく、また、ユーザ認証の要求を行う際に、ユーザから入力され、記憶部２１−１に格納されたものが使用されてもよい。
After the same processes of S3 and S4 as in the first embodiment are performed and the communication terminal 120 receives the address, the authentication request unit 121-1 makes a user authentication request. For this purpose, the authentication request unit 121-1 transmits the address and
The
次に、ネットワーク接続装置１１０は、インタフェース部１１のインタフェース１１ａで、通信端末１２０によって送信されたユーザ認証情報１１０２を受信し、認証部１１１に転送する。認証部１１１は、このユーザ認証情報１１０２に基づいて認証を行う（Ｓ１４）。
この例の認証部１１１は、ユーザ認証情報を認証サーバ１６０に送信することにより、認証サーバ１６０に対して認証の要求し、認証結果を得る。また、認証部１１１は、ハードディスク等に格納している認証に関わる情報と照合して認証結果を決定してもよい。
Next, the
In this example, the
認証部１１１は、認証結果に応じて、プロセス対応情報作成部１３が作成した表３のプロセス対応情報に認証状態を加えて、表５に示すプロセス対応情報１０８２を作成する。認証部１１１は、認証結果が成功であった場合、表５のプロセス対応情報における認証状態を成功とし、認証結果が失敗であった場合、表５のリンク情報における認証状態を、初期状態である未認証のままとする。
The
また、Ｓ１３で、認証要求部１２１−１がアドレスおよびユーザ認証情報をインタフェース２２ａ−１を通じてネットワーク接続装置１１０に送信するとしたが、Ｓ３で、アドレスおよびユーザ認証情報をプロセス情報に加えてネットワーク接続装置１０に送信するようにしてもよい。このようにアドレスおよびユーザ認証情報をプロセス情報に加えて送信した場合、Ｓ４に続いてＳ１４でユーザ認証を行って、認証部１１１は、表５に示したプロセス対応情報を作成する。
In S13, the authentication request unit 121-1 transmits the address and user authentication information to the
以上説明したように、本発明の第２の実施の形態に係るネットワーク接続システム１００は、通信端末１２０の認証が成功した場合、通信端末１２０とネットワーク４０上の機器との間の情報の送受信を許可するため、セキュリティを高めたパケット転送を行うことができる。また、ユーザの認証が成功した場合、このユーザに対応するプロセス識別子を含む内部通信情報から生成したパケットの送信、および、パケットからこの内部通信情報への変換・転送を許可するため、セキュリティを高めたパケット転送を行うことができる。
As described above, the
以上、本発明の第２の実施の形態に係る端末認証およびユーザ認証について説明したが、端末認証およびユーザ認証は、併用して実施してもよく、また、端末認証、ユーザ認証の何れかのみ実施するようにしてもよい。
また、ネットワーク接続装置１１０を企業内および家庭内に設置する場合、ネットワーク接続装置１１０が、ネットワーク接続装置１１０を認証するための認証情報を認証サーバ１６０に送信して認証を要求し、そこから返信された認証結果を用いてネットワーク接続装置１１０を利用させるか否かを判断してもよい。
As described above, the terminal authentication and the user authentication according to the second embodiment of the present invention have been described. However, the terminal authentication and the user authentication may be performed in combination, or only one of the terminal authentication and the user authentication. You may make it implement.
When the
（本発明の第３の実施の形態）
〔全体構成〕
本発明の第３の実施の形態に係るネットワーク接続システム２００のシステム構成図を図１６に示す。
図１６に示したネットワーク接続システム２００は、ネットワーク４０に接続されたネットワーク接続装置２１０と、ネットワーク接続装置２１０と通信可能に接続された通信端末２２０とを備えた構成を有し、さらにネットワーク４０には、外部ホスト３０が接続されている。
(Third embodiment of the present invention)
〔overall structure〕
FIG. 16 shows a system configuration diagram of a
A
また、図１６に示したネットワーク接続システム２００では、ネットワーク接続装置２１０を介して、ネットワーク接続装置２１０に接続された通信端末２２０と、外部ホスト３０を含むネットワーク４０上の機器との間で情報が送受信される。
なお、図示した通信端末２２０の各々を区別する場合には、通信端末２２０をそれぞれ通信端末２２０−１、通信端末２２０−２と記載し、外部ホスト３０の各々を区別する場合には、外部ホスト３０をそれぞれ外部ホスト３０−１、外部ホスト３０−２と記載する。
In the
When distinguishing each of the illustrated
また、例えば、外部ホスト３０−１、外部ホスト３０−２は、それぞれＷｅｂサーバ、メールサーバ、通信相手端末等であり、通信端末２２０およびネットワーク接続装置２１０は、企業内および家庭内に設置され、ネットワーク４０は、インターネット等である。なお、ネットワーク接続装置２１０と通信端末２２０との間は、有線または無線で接続されてもよい。
ネットワーク接続装置２１０と通信端末２２０との間は、リンクレイヤのプロトコルに準拠して通信する。例えば、リンクレイヤのプロトコルは、ＩＥＥＥ８０２.３（Ethernet（登録商標））、ＰＰＰ（Point-to-Point Protocol）、もしくはＬ２ＴＰ（Layer 2 Tunneling Protocol）、またはＰＰＴＰ（Point-to-Point Tunneling Protocol）などのトンネリングプロトコルでもよく、ネットワーク接続装置２１０と外部ホスト３０との間の通信はＩＰに準拠する。
Further, for example, the external host 30-1 and the external host 30-2 are a Web server, a mail server, a communication partner terminal, and the like, respectively, and the
The
通信端末２２０は、必ずしもＩＰに準拠した通信をしない。また、ネットワーク接続装置２１０は、外部ホスト３０等の通信機器と通信するため、例えば、グローバルＩＰアドレスを１以上保有する（メモリ等に格納している）。
〔ネットワーク接続装置２１０の構成〕
＜ハードウエア構成＞
ネットワーク接続装置２１０は、ＣＰＵ（Central Processing Unit）、メモリ（RAM,ROM,NV-RAM）、ハードディスク、ネットワーク４０に接続されるネットワークインタフェース、および通信端末２０に接続されるインタフェース等を有している。
The
[Configuration of Network Connection Device 210]
<Hardware configuration>
The
＜ソフトウエア構成＞
図１７は、ネットワーク接続装置２１０にインストールされているソフトウエア２０１０の構成を例示した図である。図１７に示すように、この例のソフトウエア２０１０は、通信端末２２０とネットワーク接続装置２１０とのリンクを確立させてリンク情報を生成するためのリンク確立ソフトウエア２０１２、通信端末２２０から通知されるプロセス識別子とグローバルＩＰアドレス等のアドレスとを対応させるプロセス対応情報を作成するためのプロセス対応情報作成ソフトウエア２０１３、ＯＳ（Operating System）２０１５、ネットワークドライバ２０１６、および、プロセス対応情報に従って内部通信情報を生成する内部通信情報生成ソフトウエア２０１７を有している。
<Software configuration>
FIG. 17 is a diagram illustrating a configuration of software 2010 installed in the
＜ハードウエアとソフトウエアの協働＞
本形態のネットワーク接続装置２１０は、上述のハードウエアにソフトウエア２０１０がインストールされ、このソフトウエア２０１０がＣＰＵで実行されることにより構成される。図１８は、このように構成されたネットワーク接続装置２１０の構成を例示したブロック図である。
この図に示すように、この例のネットワーク接続装置２１０は、通信端末２２０と通信を行うインタフェース部２１１、通信端末２２０との間のリンクを確立させてリンク情報２０２１を生成するリンク確立部２１２、プロセス対応情報２０２２を作成するプロセス対応情報作成部２１３、リンク情報２０２１とプロセス対応情報２０２２とソケット情報テーブル２０２３を格納する記憶部２１４、ソケット情報テーブル２０２３を生成し、さらにプロセス対応情報２０２２に従ってパケットを生成するパケット生成部２１５、プロセス対応情報２０２２に従って内部通信情報を生成する内部通信情報生成部２１６、ネットワーク４０を通じた通信を行うネットワークインタフェース部２１７、ネットワーク接続装置２１０全体を制御する制御部２１８、および、プロセス２１０１〜２１０３を実行するプロセス実行部２１９を有する。また、インタフェース部２１１にはインタフェース番号（ＩＦ＃０）が割り振られている。
<Cooperation between hardware and software>
The
As shown in this figure, the
ここで、「インタフェース番号」とは、インタフェースを特定するための識別子である。また、「インタフェース」とは、各装置における通信の論理的な機能単位を意味し、具体的には、所定のソフトウエアが読み込まれたＣＰＵがＬＡＮカード等の通信装置を制御することによって構成される。また、各装置は複数のインタフェースをもつことが可能である。
またプロセス２１０１〜２１０３は、ＯＳ２０１５の制御のもとＣＰＵがアプリケーションソフトウエア２０１４を実行する際の処理単位である。これらのプロセス２１０１〜２１０３は、通信端末２２０で生起される各プロセス２００１〜２００３（図１６）にそれぞれ対応し、これらとの通信処理を行うものである。なお、各プロセス２１０１〜２１０３は、例えば、それに対応する通信端末２２０のプロセス２００１〜２００３が生起されたことや、これとの通信が開始されたことを契機に生起される。また、プロセスの生起とは、プロセスに対応するプログラムがＲＡＭ等の主記憶装置に読み込まれ、ＣＰＵがこのプログラムを実行可能な状態にすること、および、実際に実行することをいう。また、プロセスは、一つのＯＳ上で動作し、複数のＯＳが一つのホスト上で動作することもある。さらにプロセスは、ＯＳにローカルなプロセス識別子（以下、プロセスＩＤという。）をもつ。また、本形態における「ソケット」とは、アプリケーションソフトがTCP/IP通信を扱うための仮想的なインタフェース〔ＡＰＩ（Application Program Interface）〕を意味する。
Here, the “interface number” is an identifier for specifying an interface. An “interface” means a logical functional unit of communication in each device, and is specifically configured by a CPU loaded with predetermined software controlling a communication device such as a LAN card. The Each device can have a plurality of interfaces.
〔通信端末２２０の構成〕
＜ハードウエア構成＞
通信端末２２０は、ＣＰＵ、メモリ、ネットワーク接続装置２１０に接続されるインタフェース等を有しており、例えば、ハードディスク、キーボード等の入力器、およびディスプレイを備えたパソコン等である。また、通信端末２２０は、情報家電機器等でもよい。
＜ソフトウエア構成＞
図１９は、通信端末２２０にインストールされているソフトウエア２０３０の構成を例示した図である。図１９に示すように、この例のソフトウエア２０３０は、Ｗｅｂページを閲覧するブラウザまたは、メールを送受信するメーラ等のアプリケーションソフトウエア２０３１、ネットワーク接続装置２１０へのリンク確立要求を行うためのリンク確立要求情報生成ソフトウエア２０３２、ＯＳ２０３３、および、ネットワークドライバ２０３４を有している。なお、アプリケーションソフトウエア２０３１は、ブラウザやメーラだけに限定されることはない。
[Configuration of Communication Terminal 220]
<Hardware configuration>
The
<Software configuration>
FIG. 19 is a diagram illustrating a configuration of
＜ハードウエアとソフトウエアの協働＞
本形態の通信端末２２０は、上述のハードウエアにソフトウエア２０３０がインストールされ、このソフトウエア２０３０がＣＰＵで実行されることにより構成される。
図２０は、このように構成された通信端末２２０−１の構成を例示したブロック図である。なお、ここでは通信端末２２０−１の構成のみを例示するが、通信端末２２０−２の構成もこれと同様である。
この例の通信端末２２０−１は、プロセス対応情報２０４１やリンク情報２０４２を格納する記憶部２２１−１、ネットワーク接続装置２１０と通信を行うインタフェース部２２２−１、ネットワーク接続装置２１０へのリンク確立要求を行うリンク確立要求情報生成部２２３−１、プロセス２００１，２００２を実行するプロセス実行部２２４−１、および、通信端末２２０−１全体を制御する制御部２２５−１を有する。また、インタフェース部２２２−１にはインタフェース番号（ＩＦ＃１）が割り振られている。
<Cooperation between hardware and software>
The
FIG. 20 is a block diagram illustrating the configuration of the communication terminal 220-1 configured as described above. Although only the configuration of the communication terminal 220-1 is illustrated here, the configuration of the communication terminal 220-2 is the same as this.
The communication terminal 220-1 in this example includes a storage unit 221-1 that stores
ここで、プロセス２００１，２００２は、ＯＳ２０３３の制御のもとＣＰＵがアプリケーションソフトウエア２０３１を実行する際の処理単位である。これらのプロセス２００１，２００２は、アプリケーションソフトウエア２０３１がＣＰＵ上で起動されたことなどを契機にＯＳ２０３３によって生起される。本形態の場合、生起されたプロセス２００１，２００２は、例えば、ネットワーク４０上のＷｅｂサーバやメールサーバとの通信処理を含む。そして、このＷｅｂサーバ等との通信処理は、ＣＰＵ上で起動するソフトウエアであるネットワークドライバ２０３４による処理を介して実現される。具体的には、ＣＰＵ上で起動されたネットワークドライバ２０３４は、例えば、宛先アドレスやペイロードを含み、リンクレイヤのプロトコルに準拠した内部通信情報を生成して送信する。なお、図１６では、通信端末２２０−１にプロセス２００１およびプロセス２００２が生起し、通信端末２２０−２にプロセス２００３が生起している様子を示している。
Here, processes 2001 and 2002 are processing units when the CPU executes the
〔ネットワーク接続装置２１０と通信端末２２０との間のリンク〕
ネットワーク接続装置２１０と、通信端末２２０とは、後述の処理により対応付けられる。本形態の対応付け（リンク）は、ネットワーク接続装置２１０のインタフェース番号と通信端末２２０のインタフェース番号との組で特定され、各リンクは、論理的なリンク番号によって表される。リンク番号とインタフェース（ＩＦ）番号との対応関係の一例を表６に示す。
[Link between
The
〔動作〕
以上のように構成された本発明の第３の実施の形態に係るネットワーク接続システム２００の動作について、図面を参照して説明する。
図２１，２２は、本発明の第３の実施の形態に係るネットワーク接続システム２００の動作を示すシーケンス図である。なお、以下では、通信端末２２０−１がネットワーク４０に接続された外部ホスト３０等の通信機器と通信を行う場合を例にとって説明する。
まず、通信端末２２０−１のリンク確立要求情報生成部２２３−１は、ネットワーク接続装置２１０に対するリンク確立要求を示すリンク確立要求情報を生成する。本形態の例のリンク確立要求情報は、リンクの確立を要求する通信端末２２０−１のインタフェース番号「１１：１２：１３：１４：１５：１６：００」（ＩＦ＃１）と、ネットワーク接続装置２１０のインタフェース番号「０１：０２：０３：０４：０５：０６：００」（ＩＦ＃０）との組を含む情報である。生成されたリンク確立要求情報は、ネットワークドライバ２０３４の処理に従い、インタフェース部２２２−１からネットワーク接続装置２１０に送信される（Ｓ１０１）。なお、リンク確立要求情報を送信する契機としては、通信端末２２０−１がネットワーク接続装置２１０と有線または無線により接続したとき、もしくは通信端末２２０−１が通信を開始するときなどである。
[Operation]
The operation of the
21 and 22 are sequence diagrams showing the operation of the
First, the link establishment request information generation unit 223-1 of the communication terminal 220-1 generates link establishment request information indicating a link establishment request to the
次に、ネットワーク接続装置２１０は、通信端末２２０−１から送信されたリンク確立要求情報をインタフェース部２１１で受信し、これをリンク確立部２１２に転送する。リンク確立部２１２は、受信したリンク確立要求情報に応じたリンク番号を割り当てる。そして、リンク確立部２１２は、割り当てたリンク番号と、リンク確立要求情報に含まれる通信端末２２０−１のインタフェース番号（ＩＦ＃１）と、ネットワーク接続装置２１０のインタフェース番号（ＩＦ＃０）とを対応させる（例えば、表６のような）リンク情報２０２１を生成し、これをＲＡＭやＮＶ−ＲＡＭ等の記憶部２１４に格納する（Ｓ１０２）。また、リンク確立部２１２は、生成したリンク情報２０２１をインタフェース部２１１から通信端末２２０−１に送信する。
Next, the
通信端末２２０−１は、ネットワーク接続装置２１０から送信されたリンク情報２０２１をインタフェース部２２２−１で受信する。そして、通信端末２２０−１の制御部２２５−１は、ネットワークドライバ２０３４の処理に従い、このリンク情報２０２１を通信端末２２０−１のリンク情報２０４２として、リンクが切断するまで記憶部２２１−１に保持する。
次に、通信端末２２０−１のリンク確立要求情報生成部２２３−１は、記憶部２２１−１からリンク情報２０４２を読み込み、このリンク情報２０４２に対応するリンクにＩＰアドレス（グローバルＩＰアドレス等）の割り当てを要求するためのＩＰアドレス割り当て要求情報を生成する（Ｓ１０３）。なお、このＩＰアドレス割り当て要求情報は、記憶部２２１−１から読み込まれたリンク情報２０４２を含む。生成されたＩＰアドレス割り当て要求情報は、通信端末２２０−１のインタフェース部２２２−１からネットワーク接続装置２１０に送信され、ネットワーク接続装置２１０のインタフェース部２１１で受信される。
The communication terminal 220-1 receives the
Next, the link establishment request information generation unit 223-1 of the communication terminal 220-1 reads the
これを契機に、ネットワーク接続装置２１０のリンク確立部２１２は、インタフェース部２１１で受信されたＩＰアドレス割り当て要求情報が有するリンク情報２０４２に対応するリンクに対し、ＩＰアドレスを割り当てる（Ｓ１０４）。さらにリンク確立部２１２は、このリンク情報２０４２と一致するリンク情報２０２１を記憶部２１４から選択し、選択したリンク情報２０２１に当該ＩＰアドレスを追加した情報を、新たなリンク情報２０２１として記憶部２１４に格納する。ＩＰアドレスが追加された新たなリンク情報２０２１の一例を表７に示す。なお、表７は、リンク番号００１のリンク情報２０２１に対してＩＰアドレス「１．１．１．１」が追加された例である。
In response to this, the
通信端末２２０−１のリンク確立要求情報生成部２２３−１は、インタフェース部２２２−１で受信されたリンク情報（ＩＰアドレスを含む）２０２１が有するＩＰアドレスをリンク情報２０４２に追加し、これを新たなリンク情報２０４２として記憶部２２１−１に格納する（Ｓ１０５）。なお、Ｓ１０３からＳ１０４の手順においてＩＰアドレス割り当て要求情報にリンク情報２０４２を含ませているが、代わりにリンク情報２０４２に含まれるリンク番号を用いてもよい。この場合はＳ１０４においてネットワーク接続装置２１０はリンク番号よりリンク情報を特定する。また、ＩＰアドレス割り当て要求情報をリンク確立要求情報と同時に送信するようにしてもよい。
The link establishment request information generation unit 223-1 of the communication terminal 220-1 adds the IP address included in the link information (including the IP address) 2021 received by the interface unit 222-1 to the
次に、プロセス実行部２２４−１は、プロセス２００１を生起し、生起したプロセス２００１に対応するプロセスＩＤおよび記憶部２２１−１に格納されたリンク情報２０４２を含むプロセス情報を、インタフェース部２２２−１からネットワーク接続装置２１０に送信する（Ｓ１１１）。なお、リンク情報２０４２に代えて、そのリンク番号をプロセス情報に含ませてもよい。また、プロセス情報を送信する契機としては、プロセスが生起されたとき、もしくは通信を開始するときなどである。また、このプロセス情報の送信は、ネットワークドライバ２０３４の処理に従って実行される。
Next, the process execution unit 224-1 generates the
ネットワーク接続装置２１０は、通信端末２２０−１によって送信されたプロセス情報をインタフェース部２１１で受信する。これを契機に、プロセス実行部２１９は、インタフェース部２１１で受信されたプロセス情報に対応するプロセス２１０１を生起する。さらに、プロセス対応情報作成部２１３は、インタフェース部２１１で受信されたプロセス情報が有するリンク情報のリンク番号及びＩＰアドレスと、このプロセス情報が有する通信端末２２０−１のプロセスＩＤと、このプロセス情報に対応してプロセス実行部２１９で生起されたネットワーク接続装置２１０のプロセス２１０１のプロセスＩＤとを対応つけたプロセス対応情報２０２２を作成し、これをＲＡＭやＮＶ−ＲＡＭ等の記憶部２１４に格納する（Ｓ１１２）。このようなプロセス対応情報２０２２の一例を表８に示す。
The
また、プロセス情報には、アドレスの割当て方法を指定するアドレス割当情報を含めることができる。プロセス情報にアドレス割当情報を含めている場合には、プロセス対応情報作成部２１３は、このアドレス割当情報に従ってアドレスを割り当てる。この場合、アドレス割当情報に、１つのユーザにつき１つのアドレスを割り当てるようにような設定が施されてもよい。具体的には、例えば、アドレス割当情報にユーザを表すユーザＩＤが設定されてもよい。この例の場合、プロセス対応情報作成部２１３には、ユーザＩＤが設定されているアドレス割当情報を含むプロセス情報がインタフェース部２１１から転送される。そして、この例のプロセス情報が転送されたプロセス対応情報作成部２１３は、例えば、アドレス割当情報に設定されているユーザＩＤを、リンク番号と、通信端末２２０のプロセスＩＤと、ネットワーク接続装置２１０のプロセスＩＤと、ＩＰアドレスとに対応させたプロセス対応情報２０２２を作成する。この場合のプロセス対応情報２０２２の一例を表９に示す。
Further, the process information can include address assignment information for designating an address assignment method. If the process information includes address assignment information, the process correspondence
次に、通信端末２２０−１のプロセス実行部２２４−１は、生起されているプロセス２００１に対応するプロセス対応情報２０４１及びリンク情報２０４２を記憶部２２１−１から読み込む。また、プロセス実行部２２４−１は、読み込んだプロセス対応情報２０４１或いはリンク情報２０４２からＩＰアドレスを送信元ＩＰアドレスとして抽出する。さらに、プロセス実行部２２４−１は、プロセス２００１の実行により、通信相手の宛先ＩＰアドレス、宛先ポート番号、さらに送信元ポート番号及びプロトコル種別を抽出し、これらと送信元ＩＰアドレスとからなるソケット情報を生成する。なお、プロセス２００１に対応する宛先ＩＰアドレス、宛先ポート番号、送信元ポート番号及びプロトコル種別は、例えば、プロセス２００１を実現するプログラム中に存在する情報や、ユーザが入力した情報である。そして、プロセス実行部２２４−１は、生成したソケット情報と、生起されているプロセス２００１のプロセスＩＤと、読み込んだリンク情報２０４２とを含むソケット初期化要求情報を生成する。生成されたソケット初期化要求情報は、通信端末２２０−１のインタフェース部２２２−１からネットワーク接続装置２１０に送信され、ネットワーク接続装置２１０のインタフェース部２１１で受信される（Ｓ１１４）。
Next, the process execution unit 224-1 of the communication terminal 220-1 reads the
ネットワーク接続装置２１０のプロセス実行部２１９は、インタフェース部２１１が受信したソケット初期化要求情報に含まれるリンク情報とプロセスＩＤ（「通信端末２２０のプロセスＩＤ」に相当）をキーとしてプロセス対応情報（例えば、表８や表９）を検索し、検索キーに対応するエントリーの「ネットワーク接続装置２１０のプロセスＩＤ」を抽出する。プロセス実行部２１９は、抽出されたプロセスＩＤに対応するプロセスを実行し、インタフェース部２１１が受信したソケット初期化要求情報のソケット情報にソケット番号を割り当て、これをソケット情報に対応付けたソケット情報テーブル２０２３を生成し、このソケット情報テーブル２０２３を記憶部２１４に格納する。このソケット情報テーブル２０２３の一例を表１０に示す。
The
図２３は、本発明の第３の実施の形態に係るネットワーク接続装置２１０を経由した、通信端末２２０−１および外部ホスト３０−１との間の情報の流れを示す図である。ここで、図２３（Ａ）は、通信端末２２０−１からネットワーク接続装置２１０を通じて外部ホスト３０−１へ情報を送信する際の流れを示している。また、図２３（Ｂ）は、外部ホスト３０−１からネットワーク接続装置２１０を通じて通信端末２２０−１へ情報を送信する際の流れを示している。なお、図２３では、通信端末２２０−１のプロセス２００１及びネットワーク接続装置２１０のプロセス２１０１に係る処理を例にとって説明する。
FIG. 23 is a diagram illustrating a flow of information between the communication terminal 220-1 and the external host 30-1 via the
＜図２３（Ａ）に示す処理＞
まず、通信端末２２０−１のプロセス実行部２２４−１が、実行されているプロセス２００１に従い、外部ホスト３０−１に送信されるデータとなるペイロードを生成する。また、プロセス実行部２２４−１は、生起されているプロセス２００１のプロセスＩＤを取得する。そして、プロセス２００１のソケットＡＰＩにより通信処理が開始されると、プロセス実行部２２４−１は、ネットワークドライバ２０３４の処理に従い、プロセス２００１のプロセスＩＤに対応するリンク情報２０４２を記憶部２２１−１から読み込む。そして、プロセス実行部２２４−１は、当該リンク情報２０４２が示すリンクに対応する通信経路に、以下の内部通信情報２０５１を送信する。
<Process shown in FIG. 23A>
First, the process execution unit 224-1 of the communication terminal 220-1 generates a payload serving as data to be transmitted to the external host 30-1 according to the
[内部通信情報２０５１]
・リンク番号：通信端末２２０−１のＩＦ番号等を含むリンクを指定する情報
・プロセスＩＤ（通信端末２２０−１のプロセスＩＤ）
・ソケット情報
・ペイロード（外部ホスト３０に送信するデータ）
ネットワーク接続装置２１０は、通信端末２２０−１から送信された内部通信情報２０５１を、インタフェース部２１１で受信する。受信された内部通信情報２０５１はパケット生成部２１５に転送され、パケット生成部２１５は、転送された内部通信情報２０５１に含まれるリンク番号とプロセスＩＤ（通信端末２２０−１のプロセスＩＤ）とを用いて、リンク情報２０２１（表７等）及びプロセス対応情報２０２２（表８，９等）を検索し、「通信端末２２０−１のプロセスＩＤ」に対応する「ネットワーク接続装置２１０のプロセスＩＤ」を特定する。具体的には、例えば、パケット生成部２１５は、内部通信情報２０５１に含まれるリンク番号と、内部通信情報２０５１に含まれる通信端末２２０−１のプロセスＩＤとをキーとしてプロセス対応情報２０２２を検索し、対応するネットワーク接続装置２１０のプロセスＩＤを特定する。
[Internal communication information 2051]
Link number: information specifying a link including the IF number of the communication terminal 220-1, etc. Process ID (process ID of the communication terminal 220-1)
-Socket information-Payload (data to be sent to the external host 30)
The
次に、パケット生成部２１５は、このように特定したプロセスＩＤが示すプロセス（プロセス実行部２１９で生起されているプロセス２１０１）が利用可能なように、内部通信情報２０５１に含まれるソケット情報とペイロード情報とをプロセス実行部２１９に送る。ソケット情報とペイロード情報とが送られたプロセス実行部２１９は、これらを用いてプロセス２１０１を実行し、ソケットＡＰＩを用いて以下のような送信処理を実行させる。まず、ネットワークドライバ２０１６の制御のもと、パケット生成部２１５は、プロセス２１０１から受け取ったソケット情報とペイロード情報とにより、ＩＰヘッダとＴＣＰ／ＵＤＰヘッダとを生成し、これらを内部通信情報２０５１に含まれるペイロード情報に付加したＩＰパケット２０５２を生成して、これをネットワークインタフェース部２１７から外部ホスト３０−１へ送信する。なお、ＩＰヘッダは、ソケット情報に含まれる宛先ＩＰアドレス、送信元ＩＰアドレス、プロトコル種別等によって構成される。また、ＴＣＰヘッダは、ソケット情報に含まれる宛先ポート番号、送信元ポート番号等によって構成される。また、この送信結果（ステータス）は、通信端末２２０−１に返される。外部ホスト３０−１は、ネットワーク接続装置２１０から送信されたＩＰパケット２０５２を受信し、受信したＩＰパケット２０５２を処理する。
Next, the
＜図２３（Ｂ）に示す処理＞
外部ホスト３０−１から通信を開始する場合、外部ホスト３０−１がペイロードを生成する。また、上記の例の外部ホスト３０−１が受信したＩＰパケット２０５２に対して応答する場合も、外部ホスト３０−１がＩＰパケット２０５２に対する応答内容などを含むペイロードを生成する。そして、外部ホスト３０−１は、生成したペイロードと、ＩＰヘッダと、ＴＣＰヘッダとを含むＩＰパケット２０５３を生成する。なお、ＩＰパケット２０５３のＩＰヘッダは、ＩＰパケット２０５２のＩＰヘッダが有する送信元ＩＰアドレスを宛先ＩＰアドレスとし、ＩＰパケット２０５２のＩＰヘッダが有する宛先ＩＰアドレスを送信元ＩＰアドレスとし、さらにプロトコル種別等の情報を追加して生成されるものである。また、ＩＰパケット２０５３がＩＰパケット２０５２の返信である場合には、ＩＰパケット２０５３のＴＣＰヘッダは、ＩＰパケット２０５２のＴＣＰヘッダが有する送信元ポート番号を宛先ポート番号とし、ＩＰパケット２０５２のＴＣＰヘッダが有する宛先ポート番号を送信元ポート番号として生成されるものである。
<Process shown in FIG. 23B>
When communication is started from the external host 30-1, the external host 30-1 generates a payload. Also, when the external host 30-1 in the above example responds to the received IP packet 2052, the external host 30-1 generates a payload including response contents for the IP packet 2052. Then, the external host 30-1 generates an IP packet 2053 including the generated payload, IP header, and TCP header. Note that the IP header of the IP packet 2053 has the source IP address included in the IP header of the IP packet 2052 as the destination IP address, the destination IP address included in the IP header of the IP packet 2052 as the source IP address, and the protocol type, etc. It is generated by adding the information. When the IP packet 2053 is a reply of the IP packet 2052, the TCP header of the IP packet 2053 uses the source port number of the TCP header of the IP packet 2052 as the destination port number, and the TCP header of the IP packet 2052 The destination port number is generated as the source port number.
外部ホスト３０−１は、図２３（Ａ）に示す処理と同じソケットを用い、ＩＰパケット２０５３をネットワーク接続装置２１０に送信する。ネットワーク接続装置２１０は、このソケットを用いて送信されたＩＰパケット２０５３を、ネットワークインタフェース部２１７で受信し、これを内部通信情報生成部２１６に転送する。
また、制御部２１８は、ＩＰパケット２０５３の通信に用いたソケットに対応するプロセス２１０１のプロセスＩＤを表１０に例示したようなソケット情報テーブル２０２３を用いて検索し、得られたプロセスＩＤ（２１０１）をプロセス実行部２１９に送り、プロセス実行部２１９は、送られたプロセスＩＤに対応するプロセス２１０１を実行する。このプロセス２１０１は、自身のプロセスＩＤを検索キーとしてプロセス対応情報２０２２（例えば、表９）を検索し、そのプロセスＩＤに対応付けられている通信端末２２０のプロセスＩＤとリンク番号とを得る。さらに、このプロセス２１０１は、取得したリンク番号を検索キーとしてリンク情報２０２１（例えば、表７）を検索し、そのリンク番号に対応付けられているリンク情報（リンク番号、通信端末２２０のインタフェース番号、ネットワーク接続装置２１０のインタフェース番号等）を得る。このように得られたリンク情報及びプロセスＩＤは、内部通信情報生成部２１６に転送される。
内部通信情報生成部２１６は、上述のように転送された情報と記憶部２１４の情報とを用い、以下のような内部通信情報２０５４を生成し、この内部通信情報２０５４を、インタフェース部２１１から、リンク情報に示される通信経路を通じ、通信端末２２０−１に送信する。
The external host 30-1 transmits the IP packet 2053 to the
In addition, the
The internal communication
[内部通信情報２０５４]
・リンク番号：通信端末２２０−１のＩＦ番号等を含むリンクを指定する情報
・プロセスＩＤ（通信端末２２０−１のプロセスＩＤ）
・ソケット情報（ソケット初期化処理（Ｓ１１５）で記憶部２１４に格納したソケット情報テーブル２０２３から対応するものを抽出）
・ペイロード（外部ホスト３０から受信したデータ）
通信端末２２０−１は、インタフェース部２２２−１において、この内部通信情報２０５４を受信する。そして、制御部２２５−１は、インタフェース部２２２−１で受信された内部通信情報２０５４のペイロード情報を、その内部通信情報２０５４のプロセスＩＤで指定されるプロセス２００１を実行するプロセス実行部２２４−１に送る。これを受け取ったプロセス実行部２２４−１は、プロセス２００１を実行することにより、内部通信情報２０５４のペイロード情報の受信処理を行う。なお、内部通信情報に含まれるソケット情報に代えて対応するソケット番号を用いてもよい。
[Internal communication information 2054]
Link number: information specifying a link including the IF number of the communication terminal 220-1, etc. Process ID (process ID of the communication terminal 220-1)
Socket information (corresponding information is extracted from the socket information table 2023 stored in the
Payload (data received from external host 30)
The communication terminal 220-1 receives the internal communication information 2054 at the interface unit 222-1. Then, the control unit 225-1 executes the
以上のような構成としても、ネットワーク接続装置２１０と通信端末２２０の間で用いられるプライベートアドレスが不要となるため、ＮＡＴに係るアドレスの変換が不要となる。その結果、従来のＮＡＴ超えの対策を適用する場合のような、ＩＰヘッダ内のアドレスに加えて上位レイヤのメッセージを変換するといった処理が不要となる。また、種々のプロトコルに対応可能となるデータ転送を行うことができる。
また、通信端末２２０とネットワーク接続装置２１０との間で送受される内部通信情報２０５１，２０５４はＩＰを介在しないため、ＩＰによるオーバヘッドが削減でき、データ転送量が低減する。
Even with the configuration as described above, a private address used between the
Further, since the internal communication information 2051 and 2054 transmitted and received between the
さらに、ネットワーク接続装置２１０の記憶部２１４にリンク情報２０２１およびプロセス対応情報２０２２が生成された後は、外部ホスト３０等のネットワーク上の通信機器は、通信を希望する通信端末２２０のネットワークレイヤーおよびトランスポートレイヤーのエンドポイントであるネットワーク接続装置２１０を直接指定してセッションを行ったり、開始したりすることができる。
また、本形態では、ネットワーク接続装置２１０がアドレス変換を行わないため、本システムにＩＰｓｅｃのプロトコルを適用することも容易である。
Further, after the
In this embodiment, since the
なお、本発明の第３の実施の形態に係るネットワーク接続システム２００において、通信端末２２０に、ソフトウエア２０３０に替えて、図２４に示すようなソフトウエア２０６０をインストールすることとしてもよい。図２４に例示するように、ソフトウエア２０６０は、２つの仮想マシン（ＯＳ）２０６２Ａ，２０６２Ｂ、各仮想マシン２０６２Ａ，２０６２Ｂ上で起動するアプリケーションソフトウエア２０６１Ａ，２０６１Ｂ及びネットワークドライバ２０６３Ａ，２０６３Ｂを有している。
図２５は、このようなソフトウエア２０６０をコンピュータにインストールした通信端末３２０を用いたネットワーク接続システム３００を例示した図である。この場合、通信端末３２０では、ＯＳ２０６２Ａおよび２０６２Ｂの２つの仮想マシン３２０−１，３２０−２が起動し、それぞれの上でＯＳが動作することになる。なお、各仮想マシン３２０−１，３２０−２の構成及びその処理内容は、前述の通信端末２２０−１，２２０−２と同様であり、例えば、ユーザＡ、ユーザＢがそれぞれ各仮想マシン３２０−１，３２０−２を利用する。またユーザＡ、ユーザＢが同時に異なる仮想マシン３２０−１，３２０−２を利用してもよい。また、ネットワーク接続装置２１０によってユーザ毎に１つずつアドレスが割り当てられる形態をとることもできる。
In the
FIG. 25 is a diagram illustrating a
（本発明の第４の実施の形態）
〔全体構成〕
本発明の第４の実施の形態に係るネットワーク接続システム４００のシステム構成図を図２６に示す。図２６に示したネットワーク接続システム４００は、ＩＳＰ（Internet Service Provider）等が有する認証サーバ４６０と、ネットワーク４０に接続されたネットワーク接続装置４１０と、ネットワーク接続装置４１０と通信可能に接続された通信端末４２０を備えた構成であり、さらにネットワーク４０には、外部ホスト３０が接続されている。
(Fourth embodiment of the present invention)
〔overall structure〕
FIG. 26 shows a system configuration diagram of a
なお、本発明の第４の実施の形態に係るネットワーク接続システム４００を構成する構成要素のうち、本発明の第３の実施の形態に係るネットワーク接続システム２００を構成する構成要素と同一の構成要素には同一の符号を付し、それぞれの説明を省略する。また、図示した通信端末４２０の各々を区別する場合には、通信端末４２０をそれぞれ通信端末４２０−１、通信端末４２０−２と記載する。
例えば、通信端末４２０およびネットワーク接続装置４１０は、企業内または家庭内に設置される。ネットワーク接続装置４１０は、例えば、ＩＳＰから支給または貸し出しされたものでもよい。ネットワーク接続装置４１０および通信端末４２０は、本発明の第３の実施の形態で説明したネットワーク接続装置２１０と通信端末２２０と基本的に同様の構成である。差異については以降に説明する。
Of the components constituting the
For example, the communication terminal 420 and the
本発明の第４の実施の形態に係るネットワーク接続システム４００では、通信端末４２０が、通信端末４２０を認証するための端末認証情報をネットワーク接続装置４１０に送信し、ネットワーク接続装置４１０が、通信端末４２０から送信された端末認証情報に基づいて通信端末４２０の認証を行い、通信端末４２０の認証が成功した場合、通信端末４２０とネットワーク４０上の機器との間における送受信を許可するようになっている。
また、通信端末４２０が、複数のＯＳがそれぞれ動作する複数の仮想マシンから構成される場合、本形態の処理の代わりに、通信端末４２０が、各仮想マシンで生成された各仮想マシンを認証するための仮想マシン認証情報をネットワーク接続装置４１０に送信し、ネットワーク接続装置４１０が、通信端末４２０上の仮想マシンから送信された仮想マシン認証情報に基づいて仮想マシンの認証を行い、その認証が成功した仮想マシンとネットワーク４０上の機器との間における送受信を許可する構成をとることもできる。
In the
In addition, when the communication terminal 420 includes a plurality of virtual machines each running a plurality of OSs, the communication terminal 420 authenticates each virtual machine generated by each virtual machine instead of the processing of this embodiment. Virtual machine authentication information is transmitted to the
さらに、通信端末４２０が、通信端末４２０を利用するユーザを認証するためのユーザ認証情報をネットワーク接続装置４１０に送信し、ネットワーク接続装置４１０は、通信端末４２０から送信されたユーザ認証情報に基づいてユーザの認証を行い、ユーザの認証が成功した場合、通信端末４２０とネットワーク４０上の機器との間における通信のうち、このユーザに対応するプロセス識別子を含む内部通信情報に対応するものの送受信を許可する構成とすることもできる。
〔ネットワーク接続装置４１０の構成〕
次に、本発明の第４の実施の形態に係るネットワーク接続装置４１０の構成を説明する。なお、以下では、ネットワーク接続装置４１０の構成要素のうち、本発明の第３の実施の形態に係るネットワーク接続装置２１０の構成要素と同一の構成要素には同一の符号を付し、それぞれの説明を省略する。
Further, the communication terminal 420 transmits user authentication information for authenticating a user who uses the communication terminal 420 to the
[Configuration of Network Connection Device 410]
Next, the configuration of the
＜ハードウエア構成＞
第３の実施の形態のネットワーク接続装置２１０と同様である。
＜ソフトウエア構成＞
図２７は、ネットワーク接続装置４１０にインストールされているソフトウエア２０７０の構成を例示した図である。この図に例示するように、本形態の第３の実施の形態との相違点は、さらに端末認証情報、仮想マシン認証情報、またはユーザ認証情報に基づいて認証を行うための認証ソフトウエア２０７１がネットワーク接続装置４１０にインストールされている点である。その他は第３の実施の形態と同様である。
<Hardware configuration>
This is the same as the
<Software configuration>
FIG. 27 is a diagram illustrating a configuration of the software 2070 installed in the
＜ハードウエアとソフトウエアの協働＞
本形態のネットワーク接続装置４１０は、第３の実施の形態と同様なハードウエアにソフトウエア２０７０がインストールされ、このソフトウエア２０７０がＣＰＵで実行されることにより構成される。図２８は、このように構成されたネットワーク接続装置４１０の構成を例示したブロック図である。この図に示すように、本形態のネットワーク接続装置４１０は、端末認証情報またはユーザ認証情報に基づいて認証を行う認証部４１１が付加される点で、第３の実施の形態のネットワーク接続装置２１０と相違する。その他はネットワーク接続装置２１０と同様である。すなわち、ネットワーク接続装置４１０は、インタフェース部２１１、リンク確立部２１２、プロセス対応情報作成部２１３、記憶部２１４、パケット生成部２１５、内部通信情報生成部２１６、ネットワークインタフェース部２１７、制御部２１８、プロセス実行部２１９、および、端末認証情報、仮想マシン認証情報、またはユーザ認証情報に基づいて認証を行う認証部４１１を有する。
〔通信端末４２０の構成〕
次に、本発明の第４の実施の形態に係る通信端末４２０の構成を説明する。なお、以下では、通信端末４２０の構成要素のうち、本発明の第３の実施の形態に係る通信端末２２０の構成要素と同一の構成要素には同一の符号を付し、それぞれの説明を省略する。
<Cooperation between hardware and software>
The
[Configuration of Communication Terminal 420]
Next, the configuration of the communication terminal 420 according to the fourth embodiment of the present invention will be described. In the following, among the components of the communication terminal 420, the same components as those of the
＜ハードウエア構成＞
第１の実施の形態の通信端末２２０と同様である。
＜ソフトウエア構成＞
図２９は、通信端末４２０にインストールされているソフトウエア２０９０の構成を例示した図である。この図に例示するように、本形態の第３の実施の形態との相違点は、さらに端末認証情報、仮想マシン認証情報、またはユーザ認証情報に基づいた認証の要求をネットワーク接続装置４１０に対して行うための認証要求ソフトウエア２０９１が通信端末４２０にインストールされている点である。その他は第３の実施の形態と同様である。
<Hardware configuration>
This is the same as the
<Software configuration>
FIG. 29 is a diagram illustrating a configuration of
＜ハードウエアとソフトウエアの協働＞
本形態の通信端末４２０は、第３の実施の形態と同様なハードウエアにソフトウエア２０９０がインストールされ、このソフトウエア２０９０がＣＰＵで実行されることにより構成される。図３０は、このように構成された通信端末４２０−１の構成を例示したブロック図である。この図に示すように、本形態の通信端末４２０−１は、端末認証情報、仮想マシン認証情報、またはユーザ認証情報に基づいた認証の要求をネットワーク接続装置４１０に対して行う認証要求部４２１−１が付加される点で第３の実施の形態の通信端末２２０−１と相違する。その他は通信端末２２０−１と同様である。なお、ここでは、通信端末４２０−１の構成のみを例示するが、通信端末４２０−２の構成も同様である。
<Cooperation between hardware and software>
The communication terminal 420 of this embodiment is configured by installing
〔動作〕
以上のように構成された本発明の第４の実施の形態に係るネットワーク接続システム４００の動作について、図面を参照して説明する。図３１および図３２は、本発明の第４の実施の形態に係るネットワーク接続システム４００の動作を示すシーケンス図である。
なお、本発明の第４の実施の形態に係るネットワーク接続システム４００の動作のうち、本発明の第３の実施の形態に係るネットワーク接続システム２００の動作と同一の動作には同一の符号を付し、それぞれの説明を省略する。また以下では、通信端末４２０−１がネットワーク４０に接続された外部ホスト３０等の通信機器と通信する場合を例にとって説明する。
[Operation]
The operation of the
Of the operations of the
図３１は、本発明の第４の実施の形態に係るネットワーク接続システム４００の動作のうち、端末認証の動作を示すシーケンス図である。
まず、通信端末４２０−１のリンク確立情報生成部が第３の実施の形態のＳ１０１と同じリンク確立要求情報を生成する。加えて、認証要求部４２１−１が、端末認証の要求を行うための端末認証情報を、記憶部２２１−１から読み込んだ端末鍵情報２１０１に基づき生成する。そして、通信端末４２０−１のインタフェース部２２２−１から、これらのリンク確立要求情報及び端末認証情報をネットワーク接続装置４１０に送信する（Ｓ２１１）。
FIG. 31 is a sequence diagram showing a terminal authentication operation among the operations of the
First, the link establishment information generation unit of the communication terminal 420-1 generates the same link establishment request information as that of S101 of the third embodiment. In addition, the authentication request unit 421-1 generates terminal authentication information for requesting terminal authentication based on the terminal
なお、端末認証情報は、端末鍵情報２１０１であるところの通信端末のＩＤおよびパスワード、または、公開鍵証明書と端末鍵情報２１０１を用いて計算された署名など通信端末４２０を認証できる情報であれば如何なるものでもよい。端末鍵情報２１０１は、予めメモリ等の記憶部２２１−１に記憶しているものが使用されてもよく、また、端末認証の要求を行う際に、ユーザから入力され記憶部２２１−１に格納されたものが使用されてもよい。
次に、ネットワーク接続装置４１０は、インタフェース部２１１で、通信端末４２０によって送信されたリンク確立要求情報及び端末認証情報を受信し、リンク確立要求情報をリンク確立部２１２に、端末認証情報を認証部４１１に、それぞれ転送する。この認証部４１１は、端末認証情報に基づいて認証を行う（Ｓ２１２）。
The terminal authentication information may be information that can authenticate the communication terminal 420 such as the ID and password of the communication terminal as the terminal
Next, the
なお、この例の認証部４１１は、端末認証情報を認証サーバ４６０に送信することにより、認証サーバ４６０に対して認証を要求して認証結果を得る。また、認証部４１１は、ＮＶ−ＲＡＭ等の記憶部２１４に格納している認証に関わる情報（図示せず）と照合して認証結果を決定してもよい。
次に、リンク確立部２１２は、第３の実施の形態と同様なリンク情報２０２１（例えば、表７）に、認証結果に応じた認証状態を加えて、表１１に例示するようなリンク情報２０２１を作成し、記憶部２１４に格納する。すなわち、認証部４１１は、認証結果が成功であった場合、表１１のリンク情報２０２１における認証有無を「有」とし、認証結果が失敗であった場合、表１１にリンク情報２０２１の登録を行わない。従って、当該通信端末４２０とネットワーク４０上の機器との間の送受信は、許可されない。なお、認証が行われなかった場合は、認証有無は「無」になる。
Note that the
Next, the
図３２は、本発明の第４の実施の形態に係るネットワーク接続システム４００の動作のうちユーザ認証の動作を示すシーケンス図である。
FIG. 32 is a sequence diagram showing a user authentication operation among the operations of the
まず、通信端末４２０−１のプロセス実行部２２４−１が第３の実施のＳ１１１と同様にプロセスを生起する。加えて、認証要求部４２１−１が、ユーザ認証の要求を行うためのユーザ認証情報を記憶部２２１−１から読み込んだユーザ鍵情報２１０２に基づき生成する。そして、通信端末４２０−１のインタフェース部２２２−１から、リンク確立要求情報及びユーザ鍵情報２１０２に基づき生成したユーザ認証情報をネットワーク接続装置４１０に送信する（Ｓ２２１）。
なお、ユーザ認証情報は、ユーザ鍵情報２１０２であるところの通信端末のＩＤおよびパスワード、または、公開鍵証明書とユーザ鍵情報２１０２を用いて計算された署名などユーザを認証できる情報であれば如何なるものでもよい。ユーザ鍵情報２１０２は、予め記憶部２２１−１に記憶しているものが使用されてもよく、また、ユーザ認証の要求を行う際に、ユーザから入力され、記憶部２２１−１に格納されたものが使用されてもよい。
First, the process execution part 224-1 of the communication terminal 420-1 generates a process similarly to S111 of 3rd implementation. In addition, the authentication request unit 421-1 generates user authentication information for requesting user authentication based on the user
The user authentication information may be any information that can authenticate the user, such as the ID and password of the communication terminal that is the user
次に、ネットワーク接続装置４１０は、インタフェース部２１１で、通信端末４２０−１によって送信されたプロセス情報及びユーザ認証情報を受信し、プロセス情報をプロセス対応情報作成部２１３に、ユーザ認証情報を認証部４１１に転送する。認証部４１１は、このユーザ認証情報に基づいて認証を行う（Ｓ２２２）。
この例の認証部４１１は、ユーザ認証情報を認証サーバ４６０に送信することにより、認証サーバ４６０に対してユーザの認証を要求し、認証結果を得る。また、認証部４１１は、記憶部２１４に格納している認証に関わる情報と照合して認証結果を決定してもよい。
Next, in the
The
認証部４１１は、認証結果に応じて、第３の実施の形態と同様にプロセス対応情報作成部２１３が作成したプロセス対応情報（例えば、表９）に認証有無を加えて、表１２に示すプロセス対応情報２０２２を作成する。すなわち、認証部４１１は、認証結果が成功であった場合、表１２のプロセス対応情報における認証有無を「有」とし、認証結果が失敗であった場合、表１２のプロセス対応情報の登録を行わない。従って、通信端末４２０との内部通信情報の送受信は、許可されない。
The
以上、本発明の第４の実施の形態に係る端末認証およびユーザ認証について説明したが、端末認証、仮想マシン認証およびユーザ認証は、併用して実施してもよく、また、端末認証、仮想マシン認証およびユーザ認証の何れかのみ実施するようにしてもよい。例えば、端末や仮想マシンが一人のユーザに占有されて使用される場合は、ネットワーク接続装置に、端末や仮想マシンとユーザの対応付け（表１３）を記憶しておき、端末認証や仮想マシン認証によりユーザを認証してもよい。 As described above, the terminal authentication and the user authentication according to the fourth embodiment of the present invention have been described. However, the terminal authentication, the virtual machine authentication, and the user authentication may be performed in combination. Only one of authentication and user authentication may be performed. For example, when a terminal or virtual machine is occupied and used by a single user, a terminal connection or virtual machine authentication is stored in the network connection device by storing the correspondence between the terminal or virtual machine and the user (Table 13). The user may be authenticated by
なお、本発明は、上述の各実施の形態に限定されるものではなく、その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。例えば、本明細書記載の実施の形態においては、ソケットＡＰＩを境にして、より上位のアプリケーションに関わる処理を通信端末で、またより下位のネットワーク処理をネットワーク接続装置で行うよう役割分担するようになっているが、この役割分担をソケットＡＰＩより上位のＡＰＩを境に決めてもよい。たとえば、ＳＳＬ（Secure Socket Layer），ＴＬＳ（Transport Layer Security）等に関わるセキュルティ処理をネットワーク接続装置側で実行するよう通信端末とネットワーク接続装置間のインタフェースを定めてもよい。
It should be noted that the present invention is not limited to the above-described embodiments, and other modifications can be made as appropriate without departing from the spirit of the present invention. For example, in the embodiment described in this specification, the role is divided so that processing related to higher-level applications is performed by the communication terminal and lower-level network processing is performed by the network connection device with the socket API as a boundary. However, this division of roles may be determined using an API higher than the socket API. For example, the interface between the communication terminal and the network connection device may be determined so that security processing related to SSL (Secure Socket Layer), TLS (Transport Layer Security), etc. is executed on the network connection device side.
また、本明細書記載の実施の形態においては、リンクレイヤープロトコルにより、通信端末とネットワーク接続装置を接続する構成について説明したが、代わりにＰＰＴＰ、Ｌ２ＴＰ等のトンネリングプロトコルにより接続するようにしてもよい。また、通信端末は上述のトンネリングプロトコルによりネットワーク経由で外部から接続された端末でもよい。
さらに本明細書記載の実施の形態においては、ＩＰパケットをネットワーク接続装置で生成する手順について述べたが、ネットワーク接続装置を送信元とするＩＰパケットを擬似的に通信端末で生成し、ネットワーク接続装置に送信するようにしてもよい。
In the embodiment described in this specification, the configuration in which the communication terminal and the network connection device are connected by the link layer protocol has been described. However, the connection may be made by a tunneling protocol such as PPTP or L2TP instead. . The communication terminal may be a terminal connected from the outside via a network by the above-described tunneling protocol.
Furthermore, in the embodiments described in the present specification, the procedure for generating an IP packet by a network connection device has been described. However, an IP packet having a network connection device as a transmission source is artificially generated by a communication terminal, and the network connection device is generated. You may make it transmit to.
また、上述した処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。具体的には、例えば、磁気記録装置として、ハードディスク装置、フレキシブルディスク、磁気テープ等を、光ディスクとして、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−ＲＡＭ（Random Access Memory）、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）等を、光磁気記録媒体として、ＭＯ（Magneto-Optical disc）等を、半導体メモリとしてＥＥＰ−ＲＯＭ（Electronically Erasable and Programmable-Read Only Memory）等を用いることができる。 Further, the program describing the processing contents described above can be recorded on a computer-readable recording medium. The computer-readable recording medium may be any recording medium such as a magnetic recording device, an optical disk, a magneto-optical recording medium, and a semiconductor memory. Specifically, for example, as a magnetic recording device, a hard disk device, a flexible disk, a magnetic tape or the like, and as an optical disk, a DVD (Digital Versatile Disc), a DVD-RAM (Random Access Memory), a CD-ROM (Compact Disc Read Only). Memory), CD-R (Recordable) / RW (ReWritable), etc., magneto-optical recording medium, MO (Magneto-Optical disc), etc., semiconductor memory, EEP-ROM (Electronically Erasable and Programmable-Read Only Memory), etc. Can be used.
また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。
また、プログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。
The program is distributed by selling, transferring, or lending a portable recording medium such as a DVD or CD-ROM in which the program is recorded. Furthermore, the program may be distributed by storing the program in a storage device of the server computer and transferring the program from the server computer to another computer via a network.
As another execution form of the program, the computer may read the program directly from the portable recording medium and execute processing according to the program, and each time the program is transferred to the computer from the server computer. In addition, the processing according to the received program may be executed sequentially. Note that the program in this embodiment includes information that is used for processing by an electronic computer and that conforms to the program (data that is not a direct command to the computer but has a property that defines the processing of the computer).
また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウエア的に実現することとしてもよい。 In this embodiment, the present apparatus is configured by executing a predetermined program on a computer. However, at least a part of these processing contents may be realized by hardware.
以上のように、本発明に係るネットワーク接続システムは、ＮＡＴに係るアドレス変換が不要であり、種々のプロトコルに対応して通信できるという効果を有し、ネットワークに接続されたネットワーク接続装置を介して、ネットワーク接続装置に接続された通信端末とネットワーク上の機器との間で通信を行うネットワーク接続システム等として有用である。 As described above, the network connection system according to the present invention does not require address conversion according to NAT, and has the effect of being able to communicate according to various protocols, via a network connection device connected to the network. It is useful as a network connection system that performs communication between a communication terminal connected to a network connection device and a device on the network.
１ ネットワーク接続システム
１０、１１０ ネットワーク接続装置
１１，２２−１ インタフェース部
１１ａ〜１１ｃ，２２ａ−１ インタフェース
１２ リンク確立部
１３ プロセス対応情報作成部
１４、２１−１ 記憶部
１５ パケット生成部
１６ 内部通信情報生成部
１７ ネットワークインタフェース部
２０、２０−１、２０−２、１２０、１２０−１、１２０−２ 通信端末
２３−１ リンク確立要求情報生成部
２４−１ プロセス実行部
３０、３０−１、３０−２ 外部ホスト
４０ ネットワーク
１１１ 認証部
１２１−１ 認証要求部
１６０ 認証サーバ
１００１、１００２、１００３ プロセス
１０１２ リンク確立ソフトウエア
１０１３ プロセス対応情報作成ソフトウエア
１０１７ 内部通信情報生成ソフトウエア
１０１５，１０３３，１０６２Ａ，１０６２Ｂ ＯＳ
１０１６，１０３４，１０６３ ネットワークドライバ
１０２１，１０８１ リンク情報
１０２２，１０８２ プロセス対応情報
１０３１，１０６１ アプリケーションソフトウエア
１０３２ リンク確立要求情報生成ソフトウエア
１０４１ 通信端末ＩＤ
１０９１ 認証要求ソフトウエア
１１４２ リンク番号
１０５１、１０５４ 内部通信情報
１０５２、１０５３ パケット
１０７１ 認証ソフトウエア
１１０１ 端末認証情報
１１０２ ユーザ認証情報
DESCRIPTION OF
1016, 1034, 1063
1091 Authentication request software 1142 Link number 1051, 1054 Internal communication information 1052, 1053
Claims (7)
前記ネットワーク接続装置と通信可能に接続された通信端末とを備え、
前記通信端末は、
前記ネットワーク上の機器と通信するプロセスに対応するプロセス識別子および前記ネットワーク上の機器を表す宛先アドレスを含む内部通信情報を、前記ネットワーク接続装置との間で送受信し、
前記ネットワーク接続装置は、
前記通信端末によって送信された内部通信情報を受信したとき、受信した内部通信情報に含まれるプロセス識別子に対応する送信元アドレスおよび当該内部通信情報により特定される宛先アドレスを含むパケットを生成し、生成したパケットを前記ネットワーク上の機器に送信し、
前記ネットワーク上の機器からパケットを受信したとき、受信したパケットに含まれる宛先アドレスに対応するプロセス識別子を含む内部通信情報を生成し、生成した内部通信情報を前記通信端末に送信する、
ことを特徴とするネットワーク接続システム。 A network connection device connected to the network;
A communication terminal communicably connected to the network connection device;
The communication terminal is
Internal communication information including a process identifier corresponding to a process communicating with a device on the network and a destination address representing the device on the network is transmitted to and received from the network connection device;
The network connection device is:
When the internal communication information transmitted by the communication terminal is received, a packet including a source address corresponding to a process identifier included in the received internal communication information and a destination address specified by the internal communication information is generated and generated To the device on the network,
When receiving a packet from a device on the network, generating internal communication information including a process identifier corresponding to a destination address included in the received packet, and transmitting the generated internal communication information to the communication terminal;
A network connection system characterized by that.
前記プロセス識別子を含む情報を前記ネットワーク接続装置に送信し、
前記ネットワーク接続装置は、
前記通信端末によって送信された情報に含まれるプロセス識別子と所定のアドレスとを対応付けるプロセス対応情報を作成し、
生成した前記プロセス対応情報に従って、前記受信した内部通信情報に含まれるプロセス識別子に対応する送信元アドレスを特定してパケットを生成し、前記受信したパケットに含まれる宛先アドレスに対応するプロセス識別子を特定して内部通信情報を生成する、
ことを特徴とする請求項１に記載のネットワーク接続システム。 The communication terminal is
Sending information including the process identifier to the network connection device;
The network connection device is:
Creating process correspondence information that associates a process identifier and a predetermined address included in the information transmitted by the communication terminal;
According to the generated process correspondence information, a source address corresponding to the process identifier included in the received internal communication information is specified to generate a packet, and a process identifier corresponding to the destination address included in the received packet is specified To generate internal communication information,
The network connection system according to claim 1.
前記通信端末を認証するための端末認証情報を前記ネットワーク接続装置に送信し、
前記ネットワーク接続装置は、
前記通信端末から送信された端末認証情報に基づいて前記通信端末の認証を行い、前記通信端末の認証が成功した場合、前記通信端末と前記ネットワーク上の機器との間の情報の送受信を許可する、
ことを特徴とする請求項１または請求項２に記載のネットワーク接続システム。 The communication terminal is
Transmitting terminal authentication information for authenticating the communication terminal to the network connection device;
The network connection device is:
Authentication of the communication terminal is performed based on terminal authentication information transmitted from the communication terminal, and transmission / reception of information between the communication terminal and a device on the network is permitted when the communication terminal is successfully authenticated. ,
The network connection system according to claim 1, wherein the system is a network connection system.
前記通信端末を利用するユーザを認証するためのユーザ認証情報を前記ネットワーク接続装置に送信し、
前記ネットワーク接続装置は、
前記通信端末から送信されたユーザ認証情報に基づいて前記ユーザの認証を行い、前記ユーザの認証が成功した場合、当該ユーザに対応するプロセス識別子を含む前記内部通信情報の前記通信端末への送信と、内部通信情報に対応するパケットの前記ネットワーク上の機器への送信とを許可する、
ことを特徴とする請求項１から請求項３までの何れかに記載のネットワーク接続システム。 The communication terminal is
Transmitting user authentication information for authenticating a user using the communication terminal to the network connection device;
The network connection device is:
The user is authenticated based on user authentication information transmitted from the communication terminal, and when the user authentication is successful, transmission of the internal communication information including a process identifier corresponding to the user to the communication terminal; Permit transmission of packets corresponding to internal communication information to devices on the network;
The network connection system according to any one of claims 1 to 3, wherein the system is a network connection system.
前記ネットワーク上の機器と通信するプロセスに対応するプロセス識別子および前記ネットワーク上の機器を表す宛先アドレスを特定する内部通信情報を、前記通信端末から受信するインタフェース部と、
受信した内部通信情報により特定されるプロセス識別子に対応する送信元アドレスおよび当該内部通信情報に含まれる宛先アドレスを含むパケットを生成するパケット生成部と、
パケットを前記ネットワーク上の機器との間で送受信するネットワークインタフェース部と、
前記通信部が前記ネットワーク上の機器からパケットを受信したとき、受信したパケットに含まれる宛先アドレスに対応するプロセス識別子を含む内部通信情報を生成する内部通信情報生成部とを有し、
前記インタフェース部は、
前記内部通信情報生成部が生成した内部通信情報を前記通信端末に送信する、
ことを特徴とするネットワーク接続装置。 A network connection device connected to a communication terminal and a network,
An interface unit that receives, from the communication terminal, internal communication information that identifies a process identifier corresponding to a process communicating with a device on the network and a destination address representing the device on the network;
A packet generator that generates a packet including a source address corresponding to the process identifier specified by the received internal communication information and a destination address included in the internal communication information;
A network interface unit that transmits and receives packets to and from devices on the network;
An internal communication information generation unit that generates internal communication information including a process identifier corresponding to a destination address included in the received packet when the communication unit receives a packet from a device on the network;
The interface unit is
Transmitting the internal communication information generated by the internal communication information generation unit to the communication terminal;
A network connection device.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2005321880A JP4612528B2 (en) | 2005-07-29 | 2005-11-07 | Network connection system, network connection device and program thereof |
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2005221397 | 2005-07-29 | ||
| JP2005321880A JP4612528B2 (en) | 2005-07-29 | 2005-11-07 | Network connection system, network connection device and program thereof |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2007060610A true JP2007060610A (en) | 2007-03-08 |
| JP4612528B2 JP4612528B2 (en) | 2011-01-12 |
Family
ID=37923631
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2005321880A Expired - Fee Related JP4612528B2 (en) | 2005-07-29 | 2005-11-07 | Network connection system, network connection device and program thereof |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP4612528B2 (en) |
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2007215090A (en) * | 2006-02-13 | 2007-08-23 | Fujitsu Ltd | Network system, terminal and gateway device |
| JP2009512377A (en) * | 2005-10-21 | 2009-03-19 | テレフオンアクチーボラゲット エル エム エリクソン（パブル） | Control of service quality in communication systems |
| WO2011037104A1 (en) * | 2009-09-24 | 2011-03-31 | 日本電気株式会社 | Identification system for inter-virtual-server communication and identification method for inter-virtual-server communication |
Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2000349803A (en) * | 1999-06-03 | 2000-12-15 | Matsushita Graphic Communication Systems Inc | Internet connection type soho gateway apparatus |
| JP2003060664A (en) * | 2001-08-21 | 2003-02-28 | Hitachi Ltd | Gateway apparatus and information apparatus |
| JP2003101566A (en) * | 2001-09-19 | 2003-04-04 | Hitachi Software Eng Co Ltd | Network equipment management method and system |
| JP2003333064A (en) * | 2002-05-13 | 2003-11-21 | Nec Access Technica Ltd | PPPoE BUILT-IN ROUTER AND ITS GLOBAL IP ADDRESS ASSIGNING METHOD |
| JP2004040348A (en) * | 2002-07-02 | 2004-02-05 | Yamaha Corp | Packet control apparatus |
-
2005
- 2005-11-07 JP JP2005321880A patent/JP4612528B2/en not_active Expired - Fee Related
Patent Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2000349803A (en) * | 1999-06-03 | 2000-12-15 | Matsushita Graphic Communication Systems Inc | Internet connection type soho gateway apparatus |
| JP2003060664A (en) * | 2001-08-21 | 2003-02-28 | Hitachi Ltd | Gateway apparatus and information apparatus |
| JP2003101566A (en) * | 2001-09-19 | 2003-04-04 | Hitachi Software Eng Co Ltd | Network equipment management method and system |
| JP2003333064A (en) * | 2002-05-13 | 2003-11-21 | Nec Access Technica Ltd | PPPoE BUILT-IN ROUTER AND ITS GLOBAL IP ADDRESS ASSIGNING METHOD |
| JP2004040348A (en) * | 2002-07-02 | 2004-02-05 | Yamaha Corp | Packet control apparatus |
Cited By (13)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2009512377A (en) * | 2005-10-21 | 2009-03-19 | テレフオンアクチーボラゲット エル エム エリクソン（パブル） | Control of service quality in communication systems |
| JP4648458B2 (en) * | 2005-10-21 | 2011-03-09 | テレフオンアクチーボラゲット エル エム エリクソン（パブル） | Control of service quality in communication systems |
| US8670451B2 (en) | 2006-02-13 | 2014-03-11 | Fujitsu Limited | Network system, terminal, and gateway |
| JP2007215090A (en) * | 2006-02-13 | 2007-08-23 | Fujitsu Ltd | Network system, terminal and gateway device |
| US9014184B2 (en) | 2009-09-24 | 2015-04-21 | Nec Corporation | System and method for identifying communication between virtual servers |
| JP5403061B2 (en) * | 2009-09-24 | 2014-01-29 | 日本電気株式会社 | Communication identification system between virtual servers and communication identification method between virtual servers |
| WO2011037104A1 (en) * | 2009-09-24 | 2011-03-31 | 日本電気株式会社 | Identification system for inter-virtual-server communication and identification method for inter-virtual-server communication |
| US9385888B2 (en) | 2009-09-24 | 2016-07-05 | Nec Corporation | System and method for identifying communication between virtual servers |
| US9391804B2 (en) | 2009-09-24 | 2016-07-12 | Nec Corporation | System and method for identifying communication between virtual servers |
| US9774473B2 (en) | 2009-09-24 | 2017-09-26 | Nec Corporation | System and method for identifying communication between virtual servers |
| US10812293B2 (en) | 2009-09-24 | 2020-10-20 | Nec Corporation | System and method for identifying communication between virtual servers |
| US11411775B2 (en) | 2009-09-24 | 2022-08-09 | Zoom Video Communications, Inc. | System and method for identifying communication between virtual servers |
| US11671283B2 (en) | 2009-09-24 | 2023-06-06 | Zoom Video Communications, Inc. | Configuring a packet to include a virtual machine identifier |
Also Published As
| Publication number | Publication date |
|---|---|
| JP4612528B2 (en) | 2011-01-12 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US7729366B2 (en) | Method, apparatus and system for network mobility of a mobile communication device | |
| JP3965160B2 (en) | Network connection device that supports communication between network devices located in different private networks | |
| JP4327142B2 (en) | Information processing system, tunnel communication device, tunnel communication method, proxy response device, and proxy response method | |
| JP4579934B2 (en) | Addressing method and apparatus for establishing a Host Identity Protocol (HIP) connection between a legacy node and a HIP node | |
| US7908651B2 (en) | Method of network communication | |
| JP5488591B2 (en) | Communications system | |
| EP1931087A1 (en) | Information processing system, tunnel communication device, tunnel communication method, and program | |
| JP6040711B2 (en) | Management server, virtual machine system, program, and connection method | |
| JP2009111437A (en) | Network system | |
| WO2007038034A1 (en) | Method, apparatus and system for maintaining mobility resistant ip tunnels using a mobile router | |
| JP4600394B2 (en) | Network access router, network access method, program, and recording medium | |
| JP3858884B2 (en) | Network access gateway, network access gateway control method and program | |
| JP3587633B2 (en) | Network communication method and apparatus | |
| JP4612528B2 (en) | Network connection system, network connection device and program thereof | |
| JP5131118B2 (en) | Communication system, management device, relay device, and program | |
| JP4191180B2 (en) | Communication support device, system, communication method, and computer program | |
| Pierrel et al. | A policy system for simultaneous multiaccess with host identity protocol | |
| JP2001345841A (en) | Communication network system, data communication method and communication-repeating device, and program-providing medium | |
| Komu et al. | Basic host identity protocol (HIP) extensions for traversal of network address translators | |
| JP5054666B2 (en) | VPN connection device, packet control method, and program | |
| JP3575369B2 (en) | Access routing method and access providing system | |
| JP5084716B2 (en) | VPN connection apparatus, DNS packet control method, and program | |
| CN113595848B (en) | Communication tunnel establishing method, device, equipment and storage medium | |
| JP5786479B2 (en) | Network system and control method thereof | |
| JP2009206876A (en) | Service release system, communication repeater, and service release device |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20080128 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20100628 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20100713 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20100903 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20101005 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20101015 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20131022 Year of fee payment: 3 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313531 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| LAPS | Cancellation because of no payment of annual fees |