JP6229368B2 - アクセス制御方法、アクセス制御システム及びアクセス制御装置 - Google Patents

Description

この発明は、アクセス制御方法に関する。

企業の拠点には、他の装置と通信が可能な機器が設置されることがある。これらの機器は例えば、プリンタ、センサ、空調機などであり、いずれも通信装置を搭載している。これらの通信装置は、ファイヤーウォールなどのセキュリティーで保護されたデータネットワーク内に含まれている。そのため、外部から通信装置にアクセスしようとしても、ファイヤーウォールにより直接アクセスすることはできないようになっている。

リモート環境から通信装置にアクセスする方法として、ＳＳＬ−ＶＰＮ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ−Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）が用いられる。ＳＳＬ−ＶＰＮは、暗号化にＳＳＬを用いた仮想ネットワークを拠点間で設置する技術である。

図１は、ＳＳＬ−ＶＰＮを用いた管理端末から拠点へのアクセス方法の例を説明する図である。管理センター１１０には、管理端末１１１と、ＶＰＮ−ＧＷ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ Ｇａｔｅ Ｗａｙ）１２０が設置されている。管理端末１１１は、拠点１（１４０−１）に設置されている機器を管理する際に用いられる端末である。ＶＰＮ−ＧＷ１２０は、管理端末１１１から拠点１４０にＳＳＬ−ＶＰＮを用いてアクセスする際に使用されるゲートウェイ装置である。拠点１のネットワークは、ファイヤーウォール１３０で保護されており、ＳＧＷ（Ｓｅｒｖｉｃｅ Ｇａｔｅ Ｗａｙ）１４１、通信装置１４２ａ、通信装置１４２ｂを含む。例えば、ユーザが、管理端末１１１から通信装置１４２ｂに直接アクセスを試みた場合、アクセスは、ファイヤーウォール１３０によってブロックされる。ファイヤーウォール１３０を回避するためのＳＳＬ−ＶＰＮを用いたアクセス方法では、ＳＧＷ１４１とＶＰＮ−ＧＷ１２０との間にＶＰＮトンネル１５０を予め設置する。ＶＰＮトンネル１５０が設置されることにより、管理端末１１１は、ファイヤーウォール１３０によるブロックを回避することができる。ユーザが通信装置１４２ｂにアクセスしたい場合、管理端末１１１は、ＶＰＮトンネル１５０を使用した経路でＳＧＷ１４１にアクセスする。その後、管理端末１１１は、ＳＧＷ１４１を介して通信装置１４２ｂにアクセスする。なお、拠点は、拠点１（１４０−１）〜拠点２（１４０−ｎ）のように複数あってもよく、拠点の数にあわせて、ＶＰＮトンネル１５０−１〜１５０−ｎが設置される。通信装置は、サーバやＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）であってもよい。

ファイヤーウォールを回避するためのアクセス方法として、次のような技術が知られている。第１のゲートウェイとのアクセス情報を持つクライアントに対して、第１のゲートウェイは、稼働率が低く、クライアントに近い位置に配置されている第２のゲートウェイから接続する命令を送信する。第１のゲートウェイ及び第２のゲートウェイは、情報を交換しているため、クライアントは、第２のゲートウェイを利用する際に設定変更を行わずに特定のサーバにアクセスできる（例えば特許文献１参照）。

特許公表２０１２−５１９４１６号

上述した背景技術では以下のような問題がある。
ＶＰＮトンネルは拠点側から形成するものであって、管理端末側からＶＰＮトンネルを形成することができない。このため、管理端末が任意のタイミングでＶＰＮトンネルを利用できるようにするには、ＶＰＮトンネルをＶＰＮ−ＧＷとＳＧＷの間でＶＰＮトンネルを常時通信路として使用し続けることになる。しかし、ＶＰＮ−ＧＷと同時に使用できるＶＰＮトンネルの数は、ライセンスにより制限される。

１つの側面においては、本発明の目的は、管理端末から拠点の通信端末へのアクセスに応じて、ＶＰＮトンネルを形成することである。

第１のネットワークに属する管理端末は、第２のネットワークに属する通信端末の情報の登録要求を第２のネットワークに属するゲートウェイ装置から定期的に受信する。第１のネットワークに属する制御装置は、管理端末と通信端末との間の通信路を確保するための通信要求を、管理端末から受信する。制御装置は、ゲートウェイ装置から定期的に受信した登録要求に対する最新の応答に、管理端末と通信端末との間の通信路を確保する通信要求含めてゲートウェイ装置に送信する。ゲートウェイ装置は、通信要求に応じて形成したトンネルを介した管理端末から通信端末へのアクセスを許可させる。

管理端末から拠点の通信端末へのアクセスに応じて、トンネルを動的に形成することができる。

ＳＳＬ−ＶＰＮを用いた管理端末から拠点へのアクセス方法の例を説明する図である。 ＶＰＮトンネルを形成する方法の例を説明する図である。 第１の実施形態に係るＶＰＮトンネルの形成方法の処理の例を説明するシーケンス図である。 ＳＧＷから送信されてくる定期的なリクエストに関する処理の例を説明するシーケンス図である。 ＳＧＷから送信されてくる定期的なリクエストに関する処理の例を説明するシーケンス図である。 通信装置を撤去した場合の機器情報削除の例を説明するシーケンス図である。 管理端末、ＧＷ制御装置、ＶＰＮ−ＧＷ、ＳＧＷのハードウェア構成の例を示す図である。 機器登録の処理の例を説明するフローチャートである。 機器登録の処理の例を説明するフローチャートである。 ＶＰＮトンネルを形成する処理の例を説明するフローチャートである。 ＶＰＮトンネルを形成する処理の例を説明するフローチャートである。 登録されている機器情報の削除処理の例を説明するフローチャートである。 登録されている機器情報の削除処理の例を説明するフローチャートである。 ＧＷ制御装置を用いたリクエスト信号に関する処理の例を説明するシーケンス図である。 ＧＷ制御装置を用いたリクエスト信号に関する処理の例を説明するシーケンス図である。 第２の実施形態に係るＶＰＮトンネルの形成方法の処理の例を説明するシーケンス図である。

以下、本実施形態について、図面を参照しながら詳細に説明する。
図２は、ＶＰＮトンネルを形成する方法の例を説明する図である。管理センター２１０は、管理端末２１１、ＧＷ制御装置２１２、ＶＰＮ−ＧＷ２１３を備えるネットワークである。拠点２２０は、ＳＧＷ２２１、通信装置２２２を備えるネットワークである。ＶＰＮトンネルを管理センター側から形成させ、管理端末２１１から通信装置２２２にアクセスする処理を順番に説明する。
（１）管理端末２１１は、通信装置２２２にアクセスするため、ＶＰＮ−ＧＷ２１３にアクセスする（矢印２０１）。
（２）ＳＧＷ２２１とＶＰＮ−ＧＷ２１３間にＶＰＮトンネル２５０が既に形成されている場合、管理端末２１１は、既に形成されているＶＰＮトンネルを利用して通信装置２２２にアクセスできる（矢印２０２）。
（３）ＶＰＮトンネル２５０がまだ形成されていない場合、管理端末２１１は、ＶＰＮトンネル２５０を形成する要求を含む要求信号をＧＷ制御装置２１２に対して出力する（矢印２０３）。
（４）ＧＷ制御装置２１２は、ＳＧＷ２２１から送信されてくる定期的なリクエスト信号を受信する（矢印２０４）。定期的なリクエスト信号は、拠点に設置されている通信装置２２２の情報を、管理センター側に登録するために送信される信号である。これにより、拠点に設置されている通信装置２２２に関する情報を、管理センター側で知ることができる。
（５）ＧＷ制御装置２１２は、受信したリクエスト信号に対する応答として、ＶＰＮトンネル２５０を形成する要求を含む要求信号及び暗号化鍵、証明書を含むレスポンス信号をＳＧＷ２２１に返す（矢印２０５）。レスポンス信号は、リクエスト信号に対する応答信号である。
（６）ＳＧＷ２２１は、レスポンス信号を受信すると、ＶＰＮトンネル２５０をＶＰＮ−ＧＷ２１３との間に形成する。
（７）管理端末２１１は、通信装置２２２にアクセスできる（矢印２０２）。

（４）のリクエスト信号は、例えば、ＨＴＴＰリクエストである。（５）のレスポンス信号は、ＨＴＴＰリクエストに対するＨＴＴＰレスポンスである。（４）のリクエスト信号がなく、（５）のＶＰＮトンネルを形成する要求信号を通知した場合、ＧＷ制御装置からの信号は、ファイヤーウォールによってブロックされ、ＶＰＮトンネルを形成することはできない。そのため、（５）では、ＳＧＷ２２１からのリクエスト信号に対するレスポンス信号に、ＶＰＮトンネルを形成する要求を付与することで、ファイヤーウォールによるブロックを回避している。（１）〜（７）に示すＶＰＮトンネルの形成方法によって、管理端末から拠点の通信装置へのアクセスに応じて、ＶＰＮトンネルが形成される。ＶＰＮ−ＧＷ２１３は、ＶＰＮトンネルの起点となる起点装置である。

図３は、第１の実施形態に係るＶＰＮトンネルの形成方法の処理の例を説明するシーケンス図である。図２と同一の装置には、同一の番号を付す。管理端末２１１は、通信装置２２２にアクセスするため、ＶＰＮ−ＧＷ２１３にアクセスする（矢印３０１）。ＶＰＮトンネルが形成されていない場合、ＶＰＮ−ＧＷ２１３は、管理端末２１１に対してＶＰＮトンネルが形成されていないという情報を通知する（矢印３０２）。管理端末２１１は、ＧＷ制御装置２１２に対してＶＰＮトンネルを形成する依頼信号を送信する（矢印３０３）。依頼信号には、管理端末２１１がアクセスをしたい通信装置２２２のＩＤやアドレスが含まれる。ＳＧＷ２２１は、定期的なリクエスト信号をＧＷ制御装置２１２に送信する（矢印３０４）。定期的なリクエスト信号については、図４で後述する。ＧＷ制御装置２１２は、ＳＧＷ２２１からのリクエスト信号に対するレスポンス信号に、ＶＰＮトンネルを形成する要求とＶＰＮトンネルを形成するために用いられる情報を付与し、ＳＧＷ２２１に通知する（矢印３０５）。ＶＰＮトンネルを形成するために用いられる情報には、ＶＰＮ−ＧＷ２１３の暗号化鍵、証明書、ＩＰ情報、管理端末２１１がアクセスをしたい通信装置２２２のＩＤやアドレス、通信装置２２２に形成するためのＧＷのＩＤなどが含まれる。また、ＧＷ制御装置２１２が、ＳＧＷ側のＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）に対応したＩＰアドレスをＶＰＮトンネルに対して割り当てる。ＳＧＷ２２１は、ＧＷ制御装置２１２から受け取った情報を使用して、ＶＰＮトンネルをＶＰＮ−ＧＷ２１３との間に形成する（矢印３０６）。ＳＧＷ２２１は、ＶＰＮトンネルが形成されると、形成が完了したことをＧＷ制御装置２１２に通知する（矢印３０７）。ＧＷ制御装置２１２は、ＶＰＮトンネルが形成されたことを、管理端末２１１に通知する（矢印３０８）。管理端末２１１は、ＶＰＮトンネルを経由して、ＳＧＷ２２１に対して、通信装置２２２を操作するための制御メッセージを通知する（矢印３０９）。制御メッセージには、通信装置２２２を制御するための操作情報、ＩＤ・アドレス情報などが含まれる。ＳＧＷ２２１は、ＮＡＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ）やＮＡＰＴ（Ｎｅｔｏｗｏｒｋ Ａｄｄｒｅｓｓ Ｐｏｒｔ Ｔｒａｎｓｌａｔｉｏｎ）などの方式で、アドレス変換を行い、通信装置２２２に制御信号を出力する（矢印３１０）。通信装置２２２は、受信した制御信号の処理を実行し、完了したことをＳＧＷ２２１に通知する（矢印３１１）。ＳＧＷ２２１は、通信装置２２２の処理が完了したことを管理端末２１１に通知する（矢印３１２）。第１の実施形態に係るＶＰＮトンネルの形成方法では、管理端末から拠点の通信装置へのアクセスに応じて、ＶＰＮトンネルが形成される。

図４は、ＳＧＷから送信されてくる定期的なリクエストに関する処理の例を説明するシーケンス図である。図３と同一のものには、同一の番号を付す。定期的なリクエスト信号は、拠点に設置されている通信装置２２２の情報を、管理センター側に登録するために送信される信号である。通信装置は、1台でも複数台であってもよい。レスポンス信号は、通信装置を登録するためのリクエスト信号に対する、登録完了信号である。図４Ａは、定期的なリクエストに関する処理の例を説明するシーケンス図である。ＳＧＷ２２１は、記憶している全ての機器に関する機器情報を管理センター側に登録するためのリクエスト信号を、ＧＷ制御装置２１２に送信する（矢印４０１）。ＧＷ制御装置２１２は、受信した機器に関する情報を記憶し、機器のＩＤ情報を、管理端末２１１に保存させる（矢印４０２）。管理端末２１１は、機器のＩＤ情報を保存したことをＧＷ制御装置２１２に通知する（矢印４０３）。ＧＷ制御装置２１２はリクエスト信号に対するレスポンス信号として、機器に関する情報を記憶したことをＳＧＷ２２１に返信する（矢印４０４）。管理端末２１１は、記憶している機器ＩＤに対応するアドレスをＧＷ制御装置２１２に要求する（矢印４０５）。ＧＷ制御装置２１２は、機器ＩＤに対応するアドレスを管理端末２１１に通知する（矢印４０６）。

矢印４０１に示すリクエスト信号は、ユーザによって変更可能なタイミングで定期的にＳＧＷから送信されればよい。定期的なリクエスト信号がＳＧＷ２２１からＧＷ制御装置２１２に送られることで、機器のＩＰアドレスが動的に変更される環境であっても、自動的に機器に関する情報が、管理センター側に登録される。なお、ＳＧＷ２２１は、動的に変更された機器のＩＰアドレスを記憶している。自動的に機器に関する情報が管理センター側に登録されるため、ユーザは、機器の情報を予め知らずともよい。機器のＩＤ情報は、機器のＩＤ情報、ＭＡＣアドレスなどである。ＳＧＷ２２１からのリクエスト信号には、機器のアドレス・ＩＤやＧＷのＩＤが含まれる。ＧＷのＩＤは、ＶＰＮトンネルを形成する際に用いられるＶＰＮ−ＧＷのＩＤである。

図４Ｂは、通信装置を新たに追加した場合のリクエスト信号に関する処理の例を説明するシーケンス図である。通信装置が拠点に新たに追加された場合、追加された機器に関する情報はＳＧＷ、管理センター側に登録される。ＳＧＷが新たに追加された機器を検知してもよく、機器側から新しくネットワークに参加したことを通知してもよい。通信装置２２２がネットワークに追加されると、通信装置２２２は、新しく拠点に追加された機器のＩＤ情報をＳＧＷ２２２に通知する（矢印４０７）。ＳＧＷ２２１は、新しく追加された機器にＩＰアドレスを割り当て、追加された機器のＩＤとＩＰアドレスとを対応付けた情報を記憶する。ＳＧＷ２２１は、記憶している全ての機器に関する機器情報を管理センター側に登録するためのリクエスト信号を、ＧＷ制御装置２１２に送信する（矢印４０１）。ＧＷ制御装置２１２は、受信した機器に関する情報を記憶し、機器のＩＤ情報を、管理端末２１１に保存させる（矢印４０２）。管理端末２１１は、機器のＩＤ情報を保存したことをＧＷ制御装置２１２に通知する（矢印４０３）。ＧＷ制御装置２１２はリクエスト信号に対するレスポンス信号として、機器に関する情報を記憶したことをＳＧＷ２２１に返信する（矢印４０４）。管理端末２１１は、記憶している機器ＩＤに対応するアドレスをＧＷ制御装置２１２に要求する（矢印４０５）。ＧＷ制御装置２１２は、機器ＩＤに対応するアドレスを管理端末２１１に通知する（矢印４０６）。ＳＧＷ２２１は、機器に関する情報の登録が完了したことを、通信装置２２２に通知する（矢印４０８）。

管理センター側では、拠点側の機器が追加されたことや撤去されたことを知ることができなかった。しかし、図４Ｂのように通信を行うことで、新たに追加された機器に関する情報は、自動的に管理センター側に登録される。また、ユーザは、機器の情報を知るために問い合わせなくともよい。

図５は、通信装置を撤去した場合の機器情報削除の例を説明するシーケンス図である。図３と同一のものには、同一の番号を付す。機器情報の削除は、管理センター側に登録されている機器情報を削除するための処理である。機器が撤去されると、通信装置２２２は、ＳＧＷ２２１に対して機器情報を削除する要求を通知する（矢印５０１）。ＳＧＷ２２１は、登録されている通信装置２２２に関する情報を削除し、ＧＷ制御装置２１２に通信装置２２２に関する情報を削除する命令を含むリクエスト信号を送信する（矢印５０２）。ＧＷ制御装置２１２は、登録されている通信装置２２２に関する情報を削除し、管理端末２１１に通信装置２２２に関する情報を削除する命令を送信する（矢印５０３）。管理端末２１１は、削除処理が完了したことをＧＷ制御装置２１２に通知する（矢印５０４）。ＧＷ制御装置２１２は、管理端末２１１から通信装置２２２へのアクセスに使用される通信路としてＶＰＮトンネルが形成されていた場合、ＶＰＮトンネルの切断する命令をＶＰＮ−ＧＷ２１３に通知する（矢印５０５）。ＧＷ制御装置２１２は、ＶＰＮトンネルの切断が完了したことをＶＰＮ−ＧＷ２１３から通知される（矢印５０６）。ＧＷ制御装置２１２は、削除完了の通知をＳＧＷ２２１に通知する（矢印５０７）。ＳＧＷ２２１は、通信装置２２２に削除完了を通知する（矢印５０８）。

このように、使用しなくなった機器の情報は、適宜管理端末２１１から削除される。ＶＰＮトンネルは、タイムアウトなどの設定によって切断されるような環境では、矢印５０５、矢印５０６に該当する処理はなくてもよい。また、矢印５０５において、複数の通信装置とのアクセスにＶＰＮトンネルが使用されている場合は、管理端末２１１から全通信装置を削除する場合に、ＧＷ制御装置は、ＶＰＮトンネルの切断命令を出力する。複数の通信装置とのアクセスにＶＰＮトンネルが使用されている場合で、一台の通信装置に関する情報を管理端末から削除する場合は、ＶＰＮトンネルの切断は行わない。

図６は、管理端末、ＧＷ制御装置、ＶＰＮ−ＧＷ、ＳＧＷのハードウェア構成の例を示す図である。管理端末２１１、ＧＷ制御装置２１２、ＶＰＮ−ＧＷ２１３、ＳＧＷ２２１は、プロセッサ１１、メモリ１２、バス１３、外部記憶装置１４、ネットワーク接続装置１５を備える。さらにオプションとして、管理端末２１１、ＧＷ制御装置２１２、ＶＰＮ−ＧＷ２１３、ＳＧＷ２２１は、入力装置１６、出力装置１７、媒体駆動装置１８を備えても良い。管理端末２１１、ＧＷ制御装置２１２、ＶＰＮ−ＧＷ２１３、ＳＧＷ２２１は、例えば、コンピュータなどで実現されることがある。

プロセッサ１１は、Central Processing Unit（ＣＰＵ）を含む任意の処理回路とすることができる。プロセッサ１１は、管理端末２１１、ＧＷ制御装置２１２、ＶＰＮ−ＧＷ２１３、ＳＧＷ２２１で実行される各処理を行う。なお、プロセッサ１１は、例えば、外部記憶装置１４に記憶されたプログラムを実行することができる。メモリ１２は、記憶領域として動作し、プロセッサ１１の動作により得られたデータや、プロセッサ１１の処理に用いられるデータも、適宜、記憶する。ネットワーク接続装置１５は、他の装置との通信に使用され、信号の受信を行う受信部２０と送信部２１とを備える。

入力装置１６は、例えば、ボタン、キーボード、マウス等として実現され、出力装置１７は、ディスプレイなどとして実現される。バス１３は、プロセッサ１１、メモリ１２、入力装置１６、出力装置１７、外部記憶装置１４、媒体駆動装置１８、ネットワーク接続装置１５の間を相互にデータの受け渡しが行えるように接続する。外部記憶装置１４は、プログラムやデータなどを格納し、格納している情報を、適宜、プロセッサ１１などに提供する。媒体駆動装置１８は、メモリ１２や外部記憶装置１４のデータを可搬記憶媒体１９に出力することができ、また、可搬記憶媒体１９からプログラムやデータ等を読み出すことができる。ここで、可搬記憶媒体１９は、フロッピイディスク、Magnet-Optical（ＭＯ）ディスク、Compact Disc Recordable（ＣＤ−Ｒ）やDigital Versatile Disk Recordable（ＤＶＤ−Ｒ）を含む、持ち運びが可能な任意の記憶媒体とすることができる。

図７は、機器登録の処理の例を説明するフローチャートである。図７Ａは、機器登録に関するＳＧＷの処理の例を説明するフローチャートである。ＳＧＷ２２１は、新たに追加された機器または、変更のあった通信装置があったかをチェックし、全台チェックしたか判定する（ステップＳ１０１）。通信装置を全台チェックしていない場合、Ｓ１０１を繰り返す。ＳＧＷ２２１は、新たに追加・変更された機器があった場合、通信装置２２２から機器のＩＤ情報を取得する（ステップＳ１０２、ステップＳ１０１でＹＥＳ）。ＳＧＷ２２１は、新しく追加・変更された機器にＩＰアドレスを割り当て、追加・変更された機器のＩＤとＩＰアドレスとを対応付けた情報を記憶する（ステップＳ１０３）。ＳＧＷ２２１は、記憶している全ての機器に関する機器情報を管理センター側に登録するためのリクエスト信号を、ＧＷ制御装置２１２に送信する（ステップＳ１０４）。ＳＧＷ２２１は、リクエスト信号に含まれる情報が管理センター側に登録されたことを通知するレスポンス信号を受信する（ステップＳ１０５）。ＳＧＷ２２１は、通信装置に、登録が完了したことを通知する（ステップＳ１０６）。ＳＧＷ２２１は、処理を終了する。

図７Ｂは、機器登録に関するＧＷ制御装置の処理の例を説明するフローチャートである。ＧＷ制御装置２１２は、リクエスト信号を受信すると、リクエスト信号に含まれる情報を記憶する（ステップＳ２０１、図６ＡのステップＳ１０４のリクエスト信号に対応）。ＧＷ制御装置２１２は、追加・変更された機器のＩＤ情報を管理端末２１１に保存する命令を出力する（ステップＳ２０２）。ＧＷ制御装置２１２は、管理端末２１１から機器のＩＤの登録完了の通知を受信する（ステップＳ２０３）。ＧＷ制御装置２１２は、リクエスト信号に対するレスポンス信号として、機器に関する情報を記憶したことをＳＧＷ２２１に返信する（ステップＳ２０４）。ＧＷ制御装置２１２は、管理端末２１１が記憶している機器ＩＤに対応するアドレス情報の要求信号を受信する（ステップＳ２０５）。ＧＷ制御装置２１２は、管理端末２１１から要求された機器に関するアドレス情報を管理端末２１１に送信する（ステップＳ２０６）。
ＳＧＷ２２１が、通信装置の追加を検知しない環境では、ステップＳ１０１の処理はスキップされる。定期的なリクエスト信号に関する処理は、図７のステップＳ１０４〜Ｓ１０５及びステップＳ２０１〜Ｓ２０６である。

図８は、ＶＰＮトンネルを形成する処理の例を説明するフローチャートである。図８Ａは、ＶＰＮトンネルの形成に関するＧＷ制御装置の処理の例を説明するフローチャートである。ＧＷ制御装置２１２は、管理端末２１１からＶＰＮトンネルを形成する依頼信号を受信する（ステップＳ３０１）。ＧＷ制御装置２１２は、リクエスト信号をＳＧＷから受信したかを判定する（ステップＳ３０２）。リクエスト信号を受信していない場合は、Ｓ３０２を繰り返す。ＧＷ制御装置２１２は、ＶＰＮ−ＧＷ２１３の暗号化鍵・証明書・ＩＰ情報、管理端末２１１がアクセスをしたい通信装置２２２のＩＤやアドレスを付加したレスポンス信号をＳＧＷ２２１に送信する（ステップＳ３０３）。ＧＷ制御装置２１２は、ＶＰＮトンネルの形成完了通知をＳＧＷ２２１から受信する（ステップＳ３０４）。ＧＷ制御装置２１２は、ＶＰＮトンネルの形成完了通知を管理端末２１１に送信する（ステップＳ３０５）。

図８Ｂは、ＶＰＮトンネルの形成に関するＳＧＷの処理の例を説明するフローチャートである。ＳＧＷ２２１は、定期的なリクエスト信号をＧＷ制御装置２１２に送信する（ステップＳ４０１）。ＳＧＷ２２１は、リクエスト信号に対応するレスポンス信号を受信する（ステップＳ４０２）。ＳＧＷ２２１は、レスポンス信号にＶＰＮトンネルを形成する依頼が含まれているか判定する（ステップＳ４０３）。ＳＧＷ２２１は、ＧＷ制御装置２１２から受け取った暗号化鍵・証明書、ＧＷ−ＩＤなどの情報を用いて、ＶＰＮトンネルをＶＰＮ−ＧＷ２１３との間に形成する（ステップＳ４０４、ステップＳ４０３でＹＥＳ）。ＳＧＷ２２１は、ＶＰＮトンネルの形成が完了したことをＧＷ制御装置２１２に通知する（ステップＳ４０５）。ＳＧＷ２２１は、一定時間待機する（ステップＳ４０６、ステップＳ４０３でＮＯ）。ＳＧＷ２２１は、一定時間待機すると、Ｓ４０１から処理を繰り返す。

図９は、登録されている機器情報の削除処理の例を説明するフローチャートである。図９Ａは、登録されている機器情報の削除に関するＳＧＷの処理の例を説明するフローチャートである。ＳＧＷ２２１は、通信装置２２２から削除依頼と削除する機器のＩＤ情報を受信する（ステップＳ５０１）。ＳＧＷ２２１は、登録している通信装置２２２に関する情報を削除する（ステップＳ５０２）。ＳＧＷ２２１は、削除命令と削除する機器のＩＤ情報をＧＷ制御装置２１２に通知する（ステップＳ５０３）。ＳＧＷ２２１は、ＧＷ制御装置２１２から削除処理が完了した通知を受信する（ステップＳ５０４）。ＳＧＷ２２１は、通信装置２２２に削除処理が完了したことを通知する（ステップＳ５０５）。ＳＧＷ２２１は、処理を終了する。

図９Ｂは、登録されている機器情報の削除に関するＧＷ制御装置の処理の例を説明するフローチャートである。ＧＷ制御装置２１２は、ＳＧＷ２２１から削除命令と削除対象の機器のＩＤ情報を受信する（ステップ６０１）。ＧＷ制御装置２１２は、登録している通信装置２２２に関する情報を削除する（ステップ６０２）。ＧＷ制御装置２１２は、管理端末２１１に通信装置２２２に関する情報を削除する命令を送信する（ステップＳ６０３）。ＧＷ制御装置２１２は、管理端末２１１から削除処理が完了したという情報を受信する（ステップＳ６０４）。ＧＷ制御装置２１２は、ＳＧＷ２２１の設置している拠点の機器に関する情報をすべて削除するものか判定する（ステップＳ６０５）。拠点の機器に関する情報をすべて削除するものである場合、ＧＷ制御装置２１２は、ＶＰＮトンネルをＶＰＮ−ＧＷ２１３に切断させる（ステップＳ６０６、ステップＳ６０５でＹＥＳ）。ＧＷ制御装置２１２は、ＶＰＮトンネルが切断されたことをＶＰＮ−ＧＷ２１３から通知される（ステップＳ６０７）。ＧＷ制御装置２１２は、削除処理が完了したことをＳＧＷ２２１に通知する（ステップＳ６０８、ステップＳ６０５でＮＯ）。ＧＷ制御装置２１２は、処理を終了する。

以上、説明したように、実施形態にかかる方法では、管理端末から拠点の通信装置へのアクセスに応じて、ＶＰＮトンネルが形成される。また、拠点で追加・撤去された機器に関する情報が、管理センター側に通知及び登録される。

＜その他＞
なお、実施形態は上記に限られるものではなく、様々に変形可能である。以下にその例をいくつか述べる。

管理端末、ＧＷ制御装置、ＶＰＮ−ＧＷは、仮想サーバなどにより、統合した環境であってもよい。図１０〜図１１には、管理端末、ＧＷ制御装置、ＶＰＮ−ＧＷを統合した装置を単にＧＷ制御装置と記載する。

図１０は、制御装置を用いたリクエスト信号に関する処理の例を説明するシーケンス図である。図１０Ａは、機器追加におけるリクエスト信号の処理の例を説明するシーケンス図である。通信装置６０１がネットワークに参加すると、通信装置６０１は、新しく拠点に追加された機器のＩＤ情報をＳＧＷ６０２に通知する（矢印７０１）。ＳＧＷ６０２は、新しく追加された機器にＩＰアドレスを割り当て、追加された機器のＩＤとＩＰアドレスとを対応付けた情報を記憶する。ＳＧＷ６０２は、記憶している全ての機器に関する機器情報を管理センター側に登録するためのリクエスト信号を、ＧＷ制御装置６０３に送信する（矢印７０２）。ＧＷ制御装置６０３は、受信した機器に関する情報を記憶し、リクエスト信号に対するレスポンス信号として、機器に関する情報を記憶したことをＳＧＷ６０２に返信する（矢印７０３）。ＳＧＷ６０２は、機器に関する情報の登録が完了したことを、通信装置６０１に通知する（矢印７０４）。

図１０Ｂは、ＳＧＷから機器追加を行うリクエスト信号の処理の例を説明するシーケンス図である。ＳＧＷが新たに追加された機器を検知する環境では、ＳＧＷが通信装置にＩＤ及びＩＰアドレスを割り当ててもよい。通信装置６０１がネットワークに参加したことを、ＳＧＷ６０２が検知すると、ＳＧＷ６０２は、通信装置６０１にＩＤ及びアドレスを割り当てる。ＳＧＷ６０２は、通信装置６０１に割り当てたＩＤを通信装置６０１に通知する（矢印７０５）。通信装置６０１は、通知されたＩＤを記憶し、ＩＤ情報を記憶したことをＳＧＷ６０２に返信する（矢印７０６）。ＳＧＷ６０２は、記憶している全ての機器に関する機器情報を管理センター側に登録するためのリクエスト信号を、ＧＷ制御装置６０３に送信する（矢印７０７）。ＧＷ制御装置６０３は、受信した機器に関する情報を記憶し、リクエスト信号に対するレスポンス信号として、機器に関する情報を記憶したことをＳＧＷ６０２に返信する（矢印７０８）。

図１１は、第２の実施形態に係るＶＰＮトンネルの形成方法の処理の例を説明するシーケンス図である。図９と同一のものには、同一の番号を付す。ＳＧＷ６０２は、定期的なリクエスト信号をＧＷ制御装置６０３に送信する（矢印８０１）。ＳＧＷ６０２への通信路を確保するための通信要求があった場合、ＧＷ制御装置６０３は、ＳＧＷ６０２からのリクエスト信号に対するレスポンス信号に、ＶＰＮトンネルを形成する要求とＶＰＮトンネルを形成するために用いられる情報を付与し、ＳＧＷ６０２に通知する（矢印８０２）。通信要求は、例えば、ユーザの操作によって、指示されるものである。ＶＰＮトンネルを形成するために用いられる情報は、暗号化鍵・証明書・ＩＰ情報、アクセスをしたい通信装置のＩＤやアドレス、ＧＷのＩＤなどが含まれる。ＳＧＷ６０２は、ＧＷ制御装置６０３から受け取った情報を使用して、ＶＰＮトンネルをＧＷ制御装置６０３との間に形成する（矢印８０３）。ＳＧＷ６０２は、ＶＰＮトンネルが形成されると、形成が完了したことをＧＷ制御装置６０３に通知する（矢印８０４）。ＧＷ制御装置６０３は、ＶＰＮトンネルを経由して、ＳＧＷ６０２に対して、通信装置６０１を操作するための制御メッセージを通知する（矢印８０５）。ＳＧＷ６０２は、ＮＡＴやＮＡＰＴなどの方式で、アドレス変換を行い、通信装置６０１に制御信号を出力する（矢印８０６）。通信装置６０１は、受信した制御信号の処理を実行し、完了したことをＳＧＷ６０２に通知する（矢印８０７）。ＳＧＷ６０２は、通信装置６０１の処理が完了したことをＧＷ制御装置６０３に通知する（矢印８０８）。第２の実施形態に係るＶＰＮトンネルの形成方法においても、ユーザが、ＧＷ制御装置から拠点の通信装置へのアクセスに応じて、ＶＰＮトンネルを形成できる。

１１ プロセッサ
１２ メモリ
１３ バス
１４ 外部記憶装置
１５ ネットワーク接続装置
１６ 入力装置
１７ 出力装置
１８ 媒体駆動装置
１９ 可搬記憶媒体
２０ 受信部
２１ 送信部
１１０ 管理センター
１１１ 管理端末
１２０ ＶＰＮ−ＧＷ
１３０ ファイヤーウォール
１４０−１〜１４０−ｎ 拠点
１４１ ＳＧＷ
１４２ａ、１４２ｂ 通信装置
１５０−１〜１５０−ｎ ＶＰＮトンネル
２１０ 管理センター
２１１ 管理端末
２１２ ＧＷ制御装置
２１３ ＶＰＮ−ＧＷ
２２０ 拠点
２２１ ＳＧＷ
２２２ 通信装置
６０１ 通信装置
６０２ ＳＧＷ
６０３ ＧＷ制御装置

Claims (9)

1. 第１のネットワークと第２のネットワークとの間のアクセスを制御するアクセス制御方法であって、
   前記第１のネットワークに属する管理端末は、
   前記第２のネットワークに属するゲートウェイ装置から定期的に送信されてくる前記第２のネットワークに属する通信端末に関する情報の登録要求に基づいて、前記通信端末に関する情報を保存し、
   前記第１のネットワークに属する制御装置は、
   前記管理端末と前記通信端末との間の通信路を確保するための通信要求を、前記管理端末から受信すると、前記ゲートウェイ装置から定期的に受信した登録要求に対する最新の応答に、前記通信要求を含めて前記ゲートウェイ装置に送信し、
   前記ゲートウェイ装置は、前記通信要求に応じて形成したトンネルを介した前記管理端末から前記通信端末へのアクセスを許可させる
   ことを特徴とするアクセス制御方法。
2. 前記制御装置は、所定の時間間隔ごとに通知される前記通信端末の識別情報を含む前記登録要求を受信し、
   前記識別情報を前記管理端末に通知することにより、前記第２のネットワークに属する全ての前記通信端末の情報を前記管理端末に通知する
   ことを特徴とする請求項１に記載のアクセス制御方法。
3. 前記制御装置は、
   前記登録要求を受信すると、前記トンネルの形成に使用する暗号化鍵と証明書データを選択し、
   選択した暗号化鍵と証明書データを、前記トンネルの形成要求に含めた前記応答を生成する
   ことを特徴とする請求項１又は２に記載のアクセス制御方法。
4. 第１のネットワークと第２のネットワークとの間のアクセスを制御するアクセス制御システムであって、
   前記第２のネットワークに属する通信端末と、
   前記第２のネットワークに属するゲートウェイ装置と、
   前記第１のネットワークに属し、前記ゲートウェイ装置から定期的に送信されてくる前記第２のネットワークに属する通信端末に関する情報の登録要求に基づいて、前記通信端末に関する情報を保存する管理端末と、
   前記第１のネットワークに属する制御装置と、を備え、
   前記制御装置は、前記管理端末と前記通信端末との間の通信路を確保するための通信要求を、前記管理端末から受信すると、前記ゲートウェイ装置から定期的に受信した登録要求に対する最新の応答に、前記通信要求を含めて前記ゲートウェイ装置に送信し、
   前記ゲートウェイ装置は、前記通信要求に応じて形成したトンネルを介した前記管理端末から前記通信端末へのアクセスを許可させる
   ことを特徴とするアクセス制御システム。
5. 前記制御装置は、所定の時間間隔ごとに通知される前記通信端末の識別情報を含む前記登録要求を受信し、
   前記識別情報を前記管理端末に通知することにより、前記第２のネットワークに属する全ての前記通信端末の情報を前記管理端末に通知する
   ことを特徴とする請求項４に記載のアクセス制御システム。
6. 前記制御装置は、
   前記登録要求を受信すると、前記トンネルの形成に使用する暗号化鍵と証明書データを選択し、
   選択した暗号化鍵と証明書データを、前記トンネルの形成要求に含めた前記応答を生成する
   ことを特徴とする請求項４又は５に記載のアクセス制御システム。
7. 第１のネットワークと第２のネットワークとの間のアクセスを制御する制御装置であって、
   前記アクセス制御に係る処理を実行するプロセッサを有し、
   前記プロセッサは、
   前記第２のネットワークに属するゲートウェイ装置から定期的に送信されてくる前記第２のネットワークに属する通信端末に関する情報の登録要求に基づいて前記通信端末に関する情報を保存する前記第１のネットワークに属する管理端末と、前記第２のネットワークに属する通信端末との間の通信路を確保するための通信要求を、前記管理端末から受信し、
   前記ゲートウェイ装置から定期的に受信する前記登録要求に対応する最新の応答に、前記通信要求を含めて前記ゲートウェイ装置へ送信して、
   前記ゲートウェイ装置に、前記通信要求に応じて形成したトンネルを介した前記管理端末から前記通信端末へのアクセスを許可させる
   ことを特徴とするアクセス制御装置。
8. 前記制御装置は、
   前記登録要求を受信すると、前記トンネルの形成に使用する暗号化鍵と証明書データを選択し、
   選択した暗号化鍵と証明書データを、前記トンネルの形成要求に含めた前記応答を生成する
   ことを特徴とする請求項７に記載のアクセス制御装置。
9. 前記登録要求は、
   前記第２のネットワークに属する通信端末の追加、又は削除に伴い更新される通信端末に関する情報を含む
   ことを特徴とする請求項１に記載のアクセス制御方法。