JP4670598B2 - ネットワークシステム、プロキシサーバ、セッション管理方法、及びプログラム - Google Patents

Description

本発明は、能動的プロキシにおけるネットワークシステム、プロキシサーバ、セッション管理方法、及びプログラムに関する。

従来、能動的プロキシを使用するような場合には、移動先の宛先にセッション情報などを付加するという手段でセッションを保つ必要があったが、この方法はサーバが宛先にセッション情報を含めるようにする必要があり、また、セッション情報が容易に他のサーバに漏洩し、結果セッションを奪われるという危険があった。また、一連のセッション内に他のサーバを経由する場合への対応ができないという問題がある。
また、リバティ・アライアンス（Liberty Alliance）仕様のうち、ＬＥＣＰプロファイルと呼ばれる仕様などは、上記同様の問題があり、特に、クッキーなどを使用したセッション管理方法での実現は難しかった。
プロキシサーバに係る従来技術例として、配下のウェブサーバが応答情報を返さないときに従来のエラーリターンの代わりに、そのウェブサーバが停止している旨の理由と、稼働再開予定時間をウェブクライアントに通知する「プロキシサーバとウェブサーバを含むシステム及びそのプログラム」（例えば、特許文献１参照）や、オリジンサーバからのコンテンツの取得を、ネットワークを流れる他のトラヒックへの影響を抑える「プロキシサーバ及びプロキシ制御システム」（例えば、特許文献２参照）がある。
特開２００２−２５９３３８号公報 特開２００３−２５６３２１号公報

本発明は、上記事情に鑑みてなされたものであり、プロキシサーバ内でセッション管理を行うことにより、安全にセッションを保持することが可能なネットワークシステム、プロキシサーバ、セッション管理方法、及びプログラムを提供することを目的とする。

かかる目的を達成するために、本発明の第１の態様は、クライアント端末、と、プロキシサーバと、サーバと、認証サーバと、が通信網を介して接続されたネットワークシステムであって、プロキシサーバは、クライアント端末と認証サーバ間のアクセス時のセッション情報を保存し、クライアント端末からサーバヘのアクセス要求を受信し、サーバにアクセス要求を送信し、サーバから認証サーバへの認証要求を受けたときに、認証要求に対応するアクセス要求を同定し、同定されたアクセス要求に基づき同定されたアクセス要求を送信したクライアント端末を同定し、保存されたセッション情報から同定されたクライアント端末と認証要求の要求先である認証サーバとの間のセッション情報を同定し、同定されたセッション情報を認証サーバに送信することを特徴とする。

本発明の第２の態様は、クライアント端末、サーバ、認証サーバに接続されるプロキシサーバであって、クライアント端末と認証サーバ間のアクセス時のセッション情報を保存し、クライアント端末からサーバヘのアクセス要求を受信し、サーバにアクセス要求を送信し、サーバから認証サーバへの認証要求を受けたときに、認証要求に対応するアクセス要求を同定し、同定されたアクセス要求に基づき同定されたアクセス要求を送信したクライアント端末を同定し、保存されたセッション情報から同定されたクライアント端末と認証要求の要求先である認証サーバとの間のセッション情報を同定し、同定されたセッション情報を認証サーバに送信することを特徴とする。

本発明の第３の態様は、クライアント端末、サーバ、認証サーバに接続されるプロキシサーバが行うセッション管理方法であって、プロキシサーバは、クライアント端末と認証サーバ間のアクセス時のセッション情報を保存し、クライアント端末からサーバヘのアクセス要求を受信し、サーバにアクセス要求を送信し、サーバから認証サーバへの認証要求を受けたときに、認証要求に対応するアクセス要求を同定し、同定されたアクセス要求に基づき同定されたアクセス要求を送信したクライアント端末を同定し、保存されたセッション情報から同定されたクライアント端末と認証要求の要求先である認証サーバとの間のセッション情報を同定し、同定されたセッション情報を認証サーバに送信することを特徴とする。

本発明の第４の態様は、クライアント端末、サーバ、認証サーバに接続されるプロキシサーバに実行させるためのプログラムであって、プロキシサーバに、クライアント端末と認証サーバ間のアクセス時のセッション情報を保存する処理と、クライアント端末からサーバヘのアクセス要求を受信し、サーバにアクセス要求を送信する処理と、サーバから認証サーバへの認証要求を受けたときに、認証要求に対応するアクセス要求を同定する処理と、同定されたアクセス要求に基づき同定されたアクセス要求を送信したクライアント端末を同定する処理と、保存されたセッション情報から同定されたクライアント端末と認証要求の要求先である認証サーバとの間のセッション情報を同定する処理と、同定されたセッション情報を認証サーバに送信する処理と、を実行させることを特徴とする。

本発明によれば、プロキシサーバが能動的に複数のサーバにアクセスするような場合においても、安全にセッション保持をすることが可能となる。

以下、本発明を実施するための最良の形態について添付図面を参照して詳細に説明する。

図１を参照すると、本発明の実施例１のネットワークシステムは、ＬＡＮなどの閉域網２０と、ＬＡＮなどの閉域網２０に接続されたプロキシサーバ１０と、ＬＡＮなどの閉域網２０に接続された、パーソナルコンピュータ等の一般的な情報処理端末装置であるクライアント端末装置（以下、クライアントという）１１とが、ＧＷ（ゲートウェイ）１２を経由してインターネットなどの広域網２１に接続されており、さらに、インターネットなどの広域網２１は、サーバＡ１３やサーバＢ１４と接続されている。

実施例１では、図１において、クライアント１１がプロキシサーバ１０をプロキシ（代理）としてサーバＡ１３とサーバＢ１４へアクセスする場合を考える。なお、アクセス対象のサーバは２つ以上であればよい。

本実施例のプロキシサーバ１０は、クライアント１１からの要求を受けサーバＡ１３へアクセスを行う機能を持つ。

また、プロキシサーバ１０は、クライアント１１のユーザの認証を行い、クライアント１１の使用者であるユーザを識別し、識別したユーザを示すユーザ情報と、サーバＡ１３のセッション情報とを結びつけて保存するセッション管理機能３０を持つ。このセッション管理機能３０は、図２に示すように、クライアント１１のユーザを示すユーザ情報と、要求先のサーバを示すサーバ情報と、要求先のサーバのセッション情報とを一括りにして記憶する機能である。

また、プロキシサーバ１０は、クライアント１１のユーザとクライアント１１からの要求に対して要求先サーバに関連するセッション情報を元に、セッション管理機能３０から要求先サーバのセッション情報を取り出し、クライアント１１からの要求に付与する機能を持つ。

また、プロキシサーバ１０は、サーバＡ１３へアクセスを行う際にプロキシを経由しているということを示す情報を付加する機能を持つ。

また、プロキシサーバ１０は、サーバＡ１３からのサーバＢ１４への要求を受けると、サーバＢ１４へサーバＡ１３からの要求を送る機能を持つ。

また、プロキシサーバ１０は、サーバＢ１４からサーバＡ１３への返答をサーバＡ１３へ送信する機能を持つ。

クライアント１１は、プロキシサーバ１０を経由して所定のサーバへ要求を行い、所定のサーバより情報を受け取る機能を持つ。この際、認証などの入力が要求された場合、ユーザの入力を要求元サーバへ送信する機能を持つ。

サーバＡ１３及びサーバＢ１４は、一般的なウェブサーバであり、クライアント１１からの要求を受け、要求に応じた情報を返す機能を持つ。

サーバＡ１３は、プロキシを経由しているという情報が付いていた場合には、プロキシサーバ１０に対してサーバＢ１４へ要求を行う情報を返す機能を持つ。

サーバＢ１４は、プロキシサーバ１０を経由して送られたサーバＡ１３からの要求を受け、要求に応じた情報を返す機能を持つ。

次に、図３を参照して本発明の実施例１の動作（セッション管理方法及びプログラム）について詳細に説明する。

本実施例では、図３において、プロキシサーバ１０でクライアント１１のユーザの認証を行った後に、サーバＢ１４へアクセスを行う。このアクセスの内容は特に限定するものではないが、ここでは例としてユーザ認証を行うこととする。この後、サーバＡ１３へ秘密情報の要求を行う。ここでは、サーバＡ１３は、プロキシ経由で秘密情報の要求が行われた場合には、サーバＢ１４で要求元であるクライアント１１のユーザが認証を受けているか確認を行うこととする。サーバＡ１３は、クライアント１１のユーザがサーバＢ１４で認証を受けていることが確認できたら、クライアント１１へ秘密情報を送信することとする。

まずクライアント１１は、プロキシサーバ１０に対して、接続を行う（ステップＳ１００）。次に、プロキシサーバ１０は、クライアント１１に対してユーザ認証の要求を行う（ステップＳ１０１）。

クライアント１１のユーザは、あらかじめプロキシサーバ１０に登録しておいたＩＤ、パスワード等の識別情報をクライアント１１において入力した後、それらをプロキシサーバ１０に送信する（ステップＳ１０２）。なお、この認証方法は、ＩＤ、パスワードに限定されるものではなく、従来、一般に使用されている認証方法を使用することができる。

プロキシサーバ１０は、ステップＳ１０２においてクライアント１１から送られたＩＤ、パスワードを確認（認証）し、確認できたことを示す認証キーをクライアント１１へ送付する（ステップ１０３）。

クライアント１１は、プロキシサーバ１０に対してサーバＢ１４への認証要求を、ステップＳ１０３で送付された認証キーとともに送付する（ステップＳ１０４）。

プロキシサーバ１０は、認証キーを確認後、サーバＢ１４に対してクライアント１１からの要求を転送する（ステップＳ１０５）。

サーバＢ１４は、プロキシサーバ１０から転送されたクライアント１１の認証要求を受け取り、認証処理を行った後に、認証結果とセッション情報とを返送する（ステップＳ１０６）。

プロキシサーバ１０では、サーバＢ１４から返送されたセッション情報と、クライアント１１のユーザと、サーバＢ１４であることとを結びつけてセッション管理機能３０へ登録を行うとともに、サーバＢ１４から返送された認証結果をクライアント１１へ転送する（ステップＳ１０７）。

クライアント１１は、認証結果を元にサーバＢ１４で認証されたことを確認した後、プロキシサーバ１０に対してサーバＡ１３への秘密情報の要求を、ステップＳ１０３で送付された認証キーとともに送付する（ステップＳ１０８）。

プロキシサーバ１０は、認証キーを確認後、サーバＡ１３に対してクライアント１１からの要求を転送する。また、この転送の際に、プロキシを経由しているということを示す情報を要求に付加する（ステップＳ１０９）。

サーバＡ１３は、プロキシサーバ１０から転送されたクライアント１１の要求を受け取る。この時に、要求は秘密情報であるということと、プロキシを経由しているという情報とから、プロキシサーバ１０に対して、サーバＢ１４へ認証の確認要求をサーバＡ１３のセッション情報とともに送付する（ステップＳ１１０）。

プロキシサーバ１０は、サーバＡ１３から、サーバＢ１４への認証の確認要求とサーバＡ１３のセッション情報とを受け取り、サーバＡ１３のセッション情報と、クライアント１１のユーザと、サーバＡ１３であることとをそれぞれ結びつけてセッション管理機能３０へ登録を行い、セッション管理機能３０からクライアント１１のユーザと、サーバＢ１４のセッション情報とを取り出す。そして、プロキシサーバ１０は、サーバＡ１３からのサーバＢ１４への認証の確認要求と、セッション管理機能３０から取り出したサーバＢ１４のセッション情報とをサーバＢ１４に対して転送する（ステップＳ１１１）。

サーバＢ１４では、受け取ったセッション情報が、ステップＳ１０６で認証されたユーザであることを確認し、認証済みであるという結果を返送する（ステップ１１２）。

プロキシサーバ１０は、ステップＳ１１２で返送された結果を、セッション管理機能３０から取り出したサーバＡ１３のセッション情報とともにサーバＡ１３へ返送する（ステップ１１３）。

サーバＡ１３は、セッション情報からステップ１１０で要求したサーバＢ１４に対する認証の確認要求の返答であることが分かり、プロキシサーバ１０に対して秘密情報を返送する（ステップ１１４）。

プロキシサーバ１０は、サーバＡ１３からの返送をクライアント１１へ転送する（ステップ１１５）。

以上説明したように、本実施例のネットワークシステムにおいて、プログラム制御によりプロキシサーバにて行われるセッション管理方法によれば、クライアント１１は、サーバＡ１３から秘密情報を受け取ることが可能となり、能動的プロキシにおいてセッションの保持が可能となることが分かる。

つまり、本実施例によれば、通常のクライアントによるセッション管理では不可能であった図３のシーケンスにおいても、セッション保持が可能となる。なぜなら、セッション管理を行わない従来のプロキシサーバでは、図３において、ステップＳ１０５の要求とステップＳ１１１の要求とが同一クライアントからの要求であるということが認識できないからである。これは、ステップＳ１０４の宛先がサーバＢ１４であるが、ステップＳ１０８の宛先がサーバＡ１３であるために起こる。

また、本実施例によれば、複数のサーバが協調して処理を行うことが可能となる。図３のステップＳ１１０では、サーバＢ１４に対して認証の確認を行ったが、要求は、認証に限らず使用することができる。この際に、直接サーバ同士でやりとりを行わないことで、情報の伝達範囲を制限することが可能となる。実施例１では、サーバＡ１３がクライアント１１の認証情報を扱わずに、クライアント１１の認証が実現できている。

本発明の実施例２は、上記実施例１ではセッション管理機能３０においてクライアント１１を識別するためにプロキシサーバ１０での認証を使用したが、これをＩＰアドレスとした方法とする。この場合、実施例１と比べて、図３のステップＳ１００〜Ｓ１０３の処理が省かれ、セッション管理機能３０への登録／取得するための識別子としてＩＰアドレスを使用することになる。

本発明の実施例３は、クライアント１１が携帯電話である場合とする。この場合、実施例１と比べて、図１のＬＡＮなどの閉域網２０が携帯電話通信網となり、プロキシサーバ１０のほかに、認証用サーバとして、例えばＷＡＰサーバなどが追加されることになる。この場合、ＷＡＰサーバにてユーザ認証が行われるが、セッション管理機能３０においてクライアント１１を識別するための識別子として電話番号などを使用することが可能となる。

なお、実施例３は、ＬＡＮなどの閉域網２０やＧＷ１２が無く、クライアント１１、プロキシサーバ１０がインターネットなどの広域網２１にある場合についても同様に使用することができる。

本発明の実施例４として、プロキシサーバ１０に新たな機能を追加する。
プロキシサーバ１０に、新たな機能として、プロトコル変換機能やセキュリティ機能を追加する。プロトコル変換機能は、インターネットなどではない、ＩＳＤＮ専用網を代表とする他ＩＰプロトコルではないプロトコルを使用したアクセスを可能とする。また、セキュリティ機能は、例えば、ＳＳＬ（Secure Sockets Layer）通信機能を用いることにより、クライアント及びサーバの認証を行い、実施例１と同様にセッション管理が行うことができる。

以上、本発明の実施例について説明したが、上記実施例に限定されるものではなく、その要旨を逸脱しない範囲において種々の変形が可能である。

本発明は、サービス連携、認証連携、Ｗｅｂシステムに適用できる。

本発明の実施例１に係るネットワークシステムの構成を示す図である。 本発明の実施例１に係るプロキシサーバのセッション管理機能を示す図である。 本発明の実施例１に係る動作を示すシーケンス図である。

符号の説明

１０ プロキシサーバ
１１ クライアント端末（クライアントの一例）
１２ ゲートウェイ
１３ サーバＡ（ウェブサーバの一例）
１４ サーバＢ（ウェブサーバの一例）
２０ ＬＡＮなどの閉域網（通信網の一例）
２１ インターネットなどの広域網（通信網の一例）
３０ セッション管理機能（セッション管理手段の一例）

Claims (20)

1. クライアント端末、と、プロキシサーバと、サーバと、認証サーバと、が通信網を介して接続されたネットワークシステムであって、
   前記プロキシサーバは、
   前記クライアント端末と前記認証サーバ間のアクセス時のセッション情報を保存し、
   前記クライアント端末から前記サーバヘのアクセス要求を受信し、前記サーバに前記アクセス要求を送信し、
   前記サーバから前記認証サーバへの認証要求を受けたときに、
   前記認証要求に対応する前記アクセス要求を同定し、
   前記同定されたアクセス要求に基づき前記同定されたアクセス要求を送信したクライアント端末を同定し、
   前記保存されたセッション情報から前記同定されたクライアント端末と前記認証要求の要求先である認証サーバとの間のセッション情報を同定し、
   前記同定されたセッション情報を前記認証サーバに送信することを特徴とするネットワークシステム。
2. 前記プロキシサーバは、
   前記クライアント端末から受信した識別情報を元に、前記クライアント端末のユーザ認証を行い、
   前記ユーザ認証で認証されたユーザをユーザ情報として記憶することを特徴とする請求項１記載の記載のネットワークシステム。
3. 前記プロキシサーバは、
   前記クライアント端末から受信したＩＰアドレスをユーザ情報として記憶することを特徴とする請求項１又は２記載のネットワークシステム。
4. 前記プロキシサーバは、
   使用中のプロトコルを別のプロトコルに変換することを特徴とする請求項１から３のいずれか１項に記載のネットワークシステム。
5. 前記プロキシサーバは、
   前記クライアント端末及び前記サーバを認証することを特徴とする請求項１から４のいずれか１項に記載のネットワークシステム。
6. クライアント端末、サーバ、認証サーバに接続されるプロキシサーバであって、
   前記クライアント端末と前記認証サーバ間のアクセス時のセッション情報を保存し、
   前記クライアント端末から前記サーバヘのアクセス要求を受信し、前記サーバに前記アクセス要求を送信し、
   前記サーバから前記認証サーバへの認証要求を受けたときに、
   前記認証要求に対応する前記アクセス要求を同定し、
   前記同定されたアクセス要求に基づき前記同定されたアクセス要求を送信したクライアント端末を同定し、
   前記保存されたセッション情報から前記同定されたクライアント端末と前記認証要求の要求先である認証サーバとの間のセッション情報を同定し、
   前記同定されたセッション情報を前記認証サーバに送信することを特徴とするプロキシサーバ。
7. 前記クライアント端末から受信した識別情報を元に、前記クライアント端末のユーザ認証を行い、
   前記ユーザ認証で認証されたユーザをユーザ情報として記憶することを特徴とする請求項６記載の記載のプロキシサーバ。
8. 前記クライアント端末から受信したＩＰアドレスをユーザ情報として記憶することを特徴とする請求項６又は７記載のプロキシサーバ。
9. 使用中のプロトコルを別のプロトコルに変換することを特徴とする請求項６から８のいずれか１項に記載のプロキシサーバ。
10. 前記クライアント端末及び前記サーバを認証することを特徴とする請求項６から９のいずれか１項に記載のプロキシサーバ。
11. クライアント端末、サーバ、認証サーバに接続されるプロキシサーバが行うセッション管理方法であって、
    前記プロキシサーバは、
    前記クライアント端末と前記認証サーバ間のアクセス時のセッション情報を保存し、
    前記クライアント端末から前記サーバヘのアクセス要求を受信し、前記サーバに前記アクセス要求を送信し、
    前記サーバから前記認証サーバへの認証要求を受けたときに、
    前記認証要求に対応する前記アクセス要求を同定し、
    前記同定されたアクセス要求に基づき前記同定されたアクセス要求を送信したクライアント端末を同定し、
    前記保存されたセッション情報から前記同定されたクライアント端末と前記認証要求の要求先である認証サーバとの間のセッション情報を同定し、
    前記同定されたセッション情報を前記認証サーバに送信することを特徴とするセッション管理方法。
12. 前記プロキシサーバは、
    前記クライアント端末から受信した識別情報を元に、前記クライアント端末のユーザ認証を行い、
    認証されたユーザをユーザ情報として記憶することを特徴とする請求項１１記載の記載のセッション管理方法。
13. 前記プロキシサーバは、
    前記クライアント端末から受信したＩＰアドレスをユーザ情報として記憶することを特徴とする請求項１１又は１２記載のセッション管理方法。
14. 前記プロキシサーバは、
    使用中のプロトコルを別のプロトコルに変換することを特徴とする請求項１１から１３のいずれか１項に記載のセッション管理方法。
15. 前記プロキシサーバは、
    前記クライアント端末及び前記サーバを認証することを特徴とする請求項１１から１４のいずれか１項に記載のセッション管理方法。
16. クライアント端末、サーバ、認証サーバに接続されるプロキシサーバに実行させるためのプログラムであって、
    前記プロキシサーバに、
    前記クライアント端末と前記認証サーバ間のアクセス時のセッション情報を保存する処理と、
    前記クライアント端末から前記サーバヘのアクセス要求を受信し、前記サーバに前記アクセス要求を送信する処理と、
    前記サーバから前記認証サーバへの認証要求を受けたときに、
    前記認証要求に対応する前記アクセス要求を同定する処理と、
    前記同定されたアクセス要求に基づき前記同定されたアクセス要求を送信したクライアント端末を同定する処理と、
    前記保存されたセッション情報から前記同定されたクライアント端末と前記認証要求の要求先である認証サーバとの間のセッション情報を同定する処理と、
    前記同定されたセッション情報を前記認証サーバに送信する処理と、
    を実行させることを特徴とするプログラム。
17. 前記プロキシサーバに、
    前記クライアント端末から受信した識別情報を元に、前記クライアント端末のユーザ認証を行う処理と、
    前記ユーザ認証で認証されたユーザをユーザ情報として記憶する処理と、
    を実行させることを特徴とする請求項１６記載の記載のプログラム。
18. 前記プロキシサーバに、
    前記クライアント端末から受信したＩＰアドレスをユーザ情報として記憶する処理を実行させることを特徴とする請求項１６又は１７記載のプログラム。
19. 前記プロキシサーバに、
    使用中のプロトコルを別のプロトコルに変換する処理を実行させることを特徴とする請求項１６から１８のいずれか１項に記載のプログラム。
20. 前記プロキシサーバに、
    前記クライアント端末及び前記サーバを認証する処理を実行させることを特徴とする請求項１６から１９のいずれか１項に記載のプログラム。

Images