JPH10154118A - Network communication system - Google Patents
Network communication systemInfo
- Publication number
- JPH10154118A JPH10154118A JP8312036A JP31203696A JPH10154118A JP H10154118 A JPH10154118 A JP H10154118A JP 8312036 A JP8312036 A JP 8312036A JP 31203696 A JP31203696 A JP 31203696A JP H10154118 A JPH10154118 A JP H10154118A
- Authority
- JP
- Japan
- Prior art keywords
- computer
- information
- server
- network
- user
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Landscapes
- Computer And Data Communications (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Information Transfer Between Computers (AREA)
Abstract
Description
【0001】[0001]
【発明の属する技術分野】本発明は、計算機間の通信に
複数のファイアウォールが介在するネットワーク通信シ
ステムに関し、特に、計算機間の接続の管理方法に関す
るものである。BACKGROUND OF THE INVENTION 1. Field of the Invention The present invention relates to a network communication system in which a plurality of firewalls intervene in communication between computers, and more particularly to a method for managing connections between computers.
【0002】[0002]
【従来の技術】現在、企業間あるいは企業内の事業部間
のネットワークの相互接続や、遠隔オフィス/在宅勤務
の通信を、インターネットを介して行えるようにするネ
ットワーク環境の整備が進められている。このようなネ
ットワークでは、不正接続や通信データの盗聴等を防止
し、セキュリティを確保するために、一般的にファイア
ウォール(防火壁)を設置している。2. Description of the Related Art At present, a network environment for enabling network interconnection between companies or business units within a company and remote office / home working communication via the Internet is being developed. In such a network, a firewall (firewall) is generally installed in order to prevent unauthorized connection, wiretapping of communication data, and the like and to ensure security.
【0003】ファイアウォールは、例えばインターネッ
トと企業内のネットワークの接続点のような、ネットワ
ークの境界部分に配置され、保護対象のネットワークの
構成や構成要素等の情報を、外部のネットワークから取
得できないよう隠蔽する。さらに、ファイアウォール
は、設定された情報を用いて、アクセス要求元のユーザ
の認証を行い、その結果に基づくアクセス制御により正
当なユーザの通信のみを実施可能とする。A firewall is arranged at a boundary of a network, for example, at a connection point between the Internet and a network in a company, and conceals information such as the configuration and components of a network to be protected from an external network. I do. Further, the firewall authenticates the user of the access request source using the set information, and enables only legitimate user communication by access control based on the result.
【0004】企業内のネットワークでは、例えば事業所
毎に分割したサブネットワークにファイアウォール(内
部ファイアウォール)を設置して、そのサブネットワー
クを企業全体のネットワークから分離して保護している
場合が多い。このため、企業内のネットワークの通信で
も複数のファイアウォールが介在するのが一般的となっ
ている。In a network in a company, for example, a firewall (internal firewall) is often installed in a sub-network divided for each office, and the sub-network is often separated and protected from the network of the entire company. For this reason, it is common for a plurality of firewalls to intervene even in communication of a network in a company.
【0005】ファイアウォールの設置された企業内のネ
ットワークのサーバへ、ネットワーク外部のクライアン
トからファイアウォールを越えてアクセスすることを可
能とする手段として、socks_V5がRFC1928で提案されて
いる。socks_V5では、各クライアントと中継サーバの間
での相互認証と、中継サーバに対する接続命令とを実現
するsocksプロトコルが定義されており、ファイアウォ
ールを介したクライアントとサーバ間の通信を可能とす
る。[0005] Socks_V5 has been proposed in RFC1928 as a means for enabling a client outside the network to access a server on a network in a company where a firewall is installed over a firewall. In socks_V5, a socks protocol that realizes mutual authentication between each client and the relay server and a connection instruction to the relay server is defined, and enables communication between the client and the server via a firewall.
【0006】また、IPレイヤにおける中継経路情報の交
換を動的に行なうメカニズムとしては、RIP(Routing I
nformation Protocol:RFC1058)、OSPF(Open Shortest P
athFirst:RFC1131)等のゲートウェイプロトコルがあ
る。As a mechanism for dynamically exchanging relay route information in the IP layer, RIP (Routing I
nformation Protocol: RFC1058), OSPF (Open Shortest P
athFirst: There is a gateway protocol such as RFC1131).
【0007】また、ネットワークに接続しているコンピ
ュータやネットワークを利用しているユーザ等の情報
を、データベースを用いて統合的に管理する方法として
は、X.500で規定されたディレクトリサービスが国際標
準として利用されている。[0007] As a method of integrally managing information on computers connected to the network and users using the network by using a database, a directory service defined by X.500 is an international standard. Has been used as.
【0008】[0008]
【発明が解決しようとする課題】上記従来のネットワー
ク通信システムで、クライアントとサーバの通信に複数
のファイアウォールが介在する場合、クライアントはフ
ァイアウォールによりサーバの経路情報を入手すること
ができない。このため、サーバの通信経路が分からない
ユーザは、正当なユーザであっても、サーバへのアクセ
スを実施することができなかった。例えば、図7に示す
ネットワーク通信システムで、A社ネットワーク10のク
ライアント101が、B社ネットワーク11においてサーバ11
3へのアクセスを許可されており、また、B社ネットワー
ク11への通信経路を分かっている場合、クライアント10
1は、上記通信経路で外部ファイアウォールA103,B111に
順次アクセスし認証を行うことでB社のネットワーク11
へは接続することができる。しかし、外部ファイアウォ
ールB111で、内部ファイアウォールC112およびサーバ11
3の経路情報を取得することができないため、例えばサ
ーバ113の名称しか分からないクライアント101は、サー
バ113へつながる次の接続先も分からず、サーバ113にア
クセスすることができない。In the above-mentioned conventional network communication system, when a plurality of firewalls intervene in the communication between the client and the server, the client cannot obtain the route information of the server by the firewall. Therefore, a user who does not know the communication path of the server cannot access the server even if the user is a legitimate user. For example, in the network communication system shown in FIG.
If access to Company 3 is permitted and the communication route to Company B's network 11 is
1 is the network 11 of company B by sequentially accessing and authenticating the external firewalls A103 and B111 through the above communication path.
Can be connected to However, with the external firewall B111, the internal firewall C112 and the server 11
Since the route information of No. 3 cannot be obtained, for example, the client 101 that only knows the name of the server 113 cannot know the next connection destination to the server 113, and cannot access the server 113.
【0009】また、従来のネットワーク通信システムで
は、1つのネットワークに複数のファイアウォールを設
置する場合、各ファイアウォールが保護するサブネット
ワークへの接続の可否の決定や、クライアントの認証、
アクセス制御等に用いる各種設定情報の登録や更新を、
各ファイアウォール毎に個別に行う必要があった。この
ため、例えば或る経路の経路情報の登録や更新を行う場
合、管理者はその経路上の全てのファイアウォールに対
し、登録や更新の作業を繰り返さなければならなかっ
た。例えば、図8に示すネットワーク通信システムで
は、サーバ203と社外のネットワークとの接続条件等に
変更が生じた場合、外部ファイアウォール201と内部フ
ァイアウォール202の各設定を更新する必要がある。ま
た、管理者は、外部ファイアウォール201の設定変更を
外部ファイアウォール201に直接接続された設定コンソ
ール端末A204で行い、内部ファイアウォール202の設定
は別の地点に設置された設定コンソールB205で行わなけ
ればならない。In a conventional network communication system, when a plurality of firewalls are installed in one network, it is determined whether connection to a sub-network protected by each firewall is possible, client authentication,
Registration and update of various setting information used for access control etc.
This had to be done individually for each firewall. For this reason, for example, when registering or updating the route information of a certain route, the administrator has to repeat the registration and update work for all the firewalls on the route. For example, in the network communication system illustrated in FIG. 8, when a change occurs in a connection condition or the like between the server 203 and a network outside the company, it is necessary to update each setting of the external firewall 201 and the internal firewall 202. Further, the administrator must change the setting of the external firewall 201 on the setting console terminal A204 directly connected to the external firewall 201, and change the setting of the internal firewall 202 on the setting console B205 installed at another point.
【0010】そこで、本発明は、複数のファイアウォー
ルが介在する計算機間の通信を正当なユーザが通信経路
を意識することなく実施できるネットワーク通信システ
ムを提供することを目的とする。さらに、そのネットワ
ーク通信システムで行われる情報の登録・更新の作業を
軽減することを目的とする。SUMMARY OF THE INVENTION It is an object of the present invention to provide a network communication system that allows a legitimate user to perform communication between computers via a plurality of firewalls without being aware of a communication path. It is another object of the present invention to reduce information registration / update work performed in the network communication system.
【0011】[0011]
【課題を解決するための手段】上記の目的を達成するた
め、本発明は、ネットワークを構成する、クライアント
計算機と、サーバ計算機と、当該クライアント計算機お
よびサーバ計算機の通信の中継点に配置された、ファイ
アウォールの機能を有する複数の中継サーバ計算機と、
ディレクトリサービス計算機とを備え、当該ディレクト
リサービス計算機は、前記ネットワークを構成する各計
算機を識別するための識別情報と、当該各計算機にアク
セス可能なユーザを規定したユーザ情報と、当該各計算
機の前記ネットワークにおける通信経路を規定した経路
情報とが格納されたデータベースと、前記クライアント
計算機から、前記サーバ計算機の識別情報と、前記クラ
イアント計算機のユーザを指定する情報とを受け付ける
手段と、当該受け付けた情報を基に、前記データベース
に格納された識別情報およびユーザ情報を検索して、前
記クライアント計算機のユーザが前記サーバ計算機の正
当なユーザであるか否かを判定する判定手段と、前記ク
ライアント計算機のユーザが前記サーバ計算機の正当な
ユーザである場合、前記データベースに格納された経路
情報の内の、前記中継サーバ計算機からサーバ計算機に
到る通信経路を規定した経路情報を前記中継サーバ計算
機へ送る手段とを有し、前記中継サーバ計算機は、前記
ディレクトリサービス計算機から送られた経路情報で示
される通信経路で前記クライアント計算機の通信を中継
する手段を有することを特徴とするネットワーク通信シ
ステムを提供する。In order to achieve the above object, the present invention provides a client computer, a server computer, and a relay station for communication between the client computer and the server computer which constitute a network. A plurality of relay server computers having a firewall function,
A directory service computer, the directory service computer comprising: identification information for identifying each computer constituting the network; user information defining a user who can access each of the computers; and the network of each of the computers. Means for receiving, from the client computer, identification information of the server computer and information designating a user of the client computer, based on the received information. Determining means for retrieving identification information and user information stored in the database to determine whether the user of the client computer is a valid user of the server computer; and If you are a valid user of the server computer Means for transmitting, to the relay server computer, path information defining a communication path from the relay server computer to the server computer among the path information stored in the database, wherein the relay server computer There is provided a network communication system having means for relaying communication of the client computer on a communication path indicated by path information sent from a service computer.
【0012】このネットワーク通信システムでは、クラ
イアント計算機のユーザがアクセス対象のサーバ計算機
の正当なユーザである場合、ディレクトリサービス計算
機がサーバの識別情報(例えば、サーバの装置名称やア
ドレス)を基にデータベースを検索してクライアント計
算機とサーバ計算機間の経路情報を中継サーバ計算機へ
送り、その経路情報を用いて中継サーバ計算機がクライ
アント計算機の通信を中継する。これにより、クライア
ント計算機のユーザは、通信経路を意識することなくサ
ーバ計算機との通信を実施することができる。In this network communication system, if the user of the client computer is a valid user of the server computer to be accessed, the directory service computer stores the database on the basis of the identification information of the server (for example, the device name and address of the server). The path information between the client computer and the server computer is retrieved and sent to the relay server computer, and the relay server computer relays the communication of the client computer using the path information. This allows the user of the client computer to communicate with the server computer without being aware of the communication path.
【0013】また、本発明は、前述のネットワーク通信
システムであって、前記ディレクトリサービス計算機と
中継サーバ計算機とファイアウォール計算機は、それぞ
れに、自計算機に格納されている情報に対する更新情報
を受け付ける手段と、当該更新情報を基に、前記格納さ
れている情報を登録・更新を行う手段と、前記格納され
ている情報の内、他の計算機で格納されている情報と関
連する情報を、前記他の計算機との間で互いに通信する
手段と、当該通信において他の計算機から送られた情報
を基に、自計算機に格納されている情報が前記他の計算
機でなされた情報の更新を反映したものとなるように、
前記格納されている情報を登録・更新する手段とを有す
ることを特徴とするネットワーク通信システムを提供す
る。The present invention is also the above-mentioned network communication system, wherein the directory service computer, the relay server computer, and the firewall computer each receive means for receiving update information for information stored in the own computer, Means for registering / updating the stored information on the basis of the update information, and, among the stored information, information associated with information stored in another computer, Means that communicate with each other, and information stored in the own computer based on information sent from another computer in the communication, reflects information updated by the other computer. like,
Means for registering and updating the stored information.
【0014】このネットワーク通信システムでは、前記
ディレクトリサービス計算機と中継サーバ計算機とファ
イアウォール計算機において、1つの計算機に格納され
ている情報になされた登録・更新が、他の全ての計算機
に格納されている情報に自動的に反映される。このた
め、管理者が情報の登録・更新を各計算機について個別
に行わずに済み、情報の登録・更新の作業は軽減され
る。In this network communication system, in the directory service computer, the relay server computer, and the firewall computer, the registration / update made in the information stored in one computer is the information stored in all the other computers. Is automatically reflected to For this reason, the administrator does not need to individually register and update information for each computer, and the work of registering and updating information is reduced.
【0015】[0015]
【発明の実施の形態】本発明の実施の形態を、図1から
図6を用いて説明する。DETAILED DESCRIPTION OF THE PREFERRED EMBODIMENTS An embodiment of the present invention will be described with reference to FIGS.
【0016】図1は、本発明の実施形態に係るネットワ
ーク通信システムの構成を、仮想ネットワークとして示
した図である。図1のネットワークでは、ネットワーク
30とネットワークA31がインターネット32により接続さ
れている。ネットワーク30には、ファイアウォール・サ
ーバ301と、ディレクトリサービス・サーバ302と、クラ
イアント303とが含まれる。ネットワークA31には、ファ
イアウォール・サーバ311,313,314、ディレクトリサー
ビス・サーバ312、サーバ331,341、クライアント303が
含まれ、サーバ313,331と、サーバ314,341は、それぞ
れサブネットワークB31,C34を構成している。さらに、
インターネットにはクライアント321が直接接続されて
いる。FIG. 1 is a diagram showing a configuration of a network communication system according to an embodiment of the present invention as a virtual network. In the network of FIG. 1, the network
30 and the network A31 are connected by the Internet 32. The network 30 includes a firewall server 301, a directory service server 302, and a client 303. The network A31 includes a firewall server 311,313,314, a directory service server 312, a server 331,341, and a client 303, and the server 313,331 and the server 314,341 constitute sub-networks B31, C34, respectively. further,
A client 321 is directly connected to the Internet.
【0017】ファイアウォール・サーバ301,311,313,31
4にそれぞれ設けられたプログラム3010,3110,3130,3140
は、ファイアウォールの機能と中継サーバの機能を実現
する。クライアントおよびサーバ3030,321,317,331,341
にそれぞれ設けられたプログラム3030,3170,3210,3310,
3410は、ネットワーク通信の機能と中継サーバの機能を
実現する。ディレクトリサービス・サーバ302,312にそ
れぞれ設けられたプログラム3020,3120は、ディレクト
リサービスの機能を実現する。なお、本ネットワークの
ファイアウォール・サーバは、ファイアウォールの機能
を持った中継サーバ(代理サーバ)と定義することがで
きる。また、ファイアウォールの機能と中継サーバの機
能をそれぞれ別のサーバで実現してもよい。[0017] Firewall servers 301,311,313,31
4 programs 3010, 3110, 3130, 3140
Implements a firewall function and a relay server function. Client and server 3030,321,317,331,341
Programs 3030, 3170, 3210, 3310,
3410 implements the function of network communication and the function of a relay server. The programs 3020 and 3120 provided in the directory service servers 302 and 312 respectively realize directory service functions. Note that the firewall server of the present network can be defined as a relay server (proxy server) having a firewall function. Further, the function of the firewall and the function of the relay server may be realized by different servers.
【0018】図2は、ファイアウォール・サーバと、ク
ライアントの構成を示す図である。FIG. 2 is a diagram showing the configuration of a firewall server and a client.
【0019】図2において、ファイアウォール・サーバ
およびクライアントは、主記憶装置42、バス43、CPU4
4、通信I/Oインタフェースコントローラ45、キーボード
マウスコントローラ46、キーボード461、ビデオボード
コントローラ47、ディスプレイ装置472、ディスクコン
トローラ41、固定ディスク装置410により構成される。
固定ディスク装置410には、ネットワーク通信を可能と
する通信プログラム411と、上記ネットワーク通信を、
指定された通信経路で行うためのデータ中継制御プログ
ラム412と、経路情報等の更新処理を行うためのディレ
クトリ情報同期プログラム413と、通信経路の決定に利
用する経路情報の設定された中継経路テーブル414とが
予め格納されている。ここで、経路情報は、自計算機の
中継経路に含まれる計算機のアドレスの対応関係を示す
情報である。主記憶装置42には、中継経路テーブルの情
報等が格納されるデータ中継経路情報記憶領域421と、
通信データ記憶領域422と、ディレクトリ同期情報記憶
領域423と、プログラムロード領域424とが形成されてい
る。固定ディスク装置410の各プログラムは、プログラ
ムロード領域424に転送された後、CPU44により実行され
る。なお、ファイアウォール・サーバの固定ディスク装
置410には、クライアントおよびそのユーザの認証を可
能とする認証プログラムおよび認証情報(図示略)も格
納されている。In FIG. 2, a firewall server and a client are a main storage device 42, a bus 43, a CPU 4
4. It comprises a communication I / O interface controller 45, a keyboard mouse controller 46, a keyboard 461, a video board controller 47, a display device 472, a disk controller 41, and a fixed disk device 410.
The fixed disk device 410 has a communication program 411 that enables network communication,
A data relay control program 412 for performing a specified communication path, a directory information synchronization program 413 for performing an update process of path information and the like, and a relay path table 414 in which path information used for determining a communication path is set. Are stored in advance. Here, the path information is information indicating the correspondence between addresses of the computers included in the relay path of the own computer. In the main storage device 42, a data relay path information storage area 421 in which information of the relay path table and the like are stored,
A communication data storage area 422, a directory synchronization information storage area 423, and a program load area 424 are formed. Each program of the fixed disk device 410 is executed by the CPU 44 after being transferred to the program load area 424. The fixed disk device 410 of the firewall server also stores an authentication program and authentication information (not shown) that enable authentication of the client and its user.
【0020】図3は、ディレクトリサービス・サーバの
構成を示す図である。FIG. 3 is a diagram showing the configuration of the directory service server.
【0021】図3において、ディレクトリサービス・サ
ーバは、主記憶装置52、バス53、CPU54、通信I/Oインタ
フェースコントローラ55、キーボードマウスコントロー
ラ56、キーボード561、ビデオボードコントローラ57、
ディスプレイ装置572、ディスクコントローラ51、固定
ディスク装置510により構成される。固定ディスク装置5
10には、通信プログラム511と、ディレクトリデータベ
ース制御プログラム512と、ディレクトリ情報同期プロ
グラム513と、ディレクトリデータベース514と、クライ
アントおよびそのユーザの認証を可能とする認証プログ
ラムおよび認証情報(図示略)が予め格納されている。In FIG. 3, the directory service server includes a main storage device 52, a bus 53, a CPU 54, a communication I / O interface controller 55, a keyboard mouse controller 56, a keyboard 561, a video board controller 57,
It comprises a display device 572, a disk controller 51, and a fixed disk device 510. Fixed disk unit 5
10, a communication program 511, a directory database control program 512, a directory information synchronization program 513, a directory database 514, and an authentication program and authentication information (not shown) for enabling authentication of a client and its user are stored in advance. Have been.
【0022】主記憶装置52には、ディレクトリデータ記
憶領域521と、ディレクトリ同期情報記憶領域522と、プ
ログラムロード領域523とが形成されている。ディレク
トリデータベース514には、管理対象のネットワークの
全ての経路情報が設定された中継経路テーブルの他に、
オブジェクト情報テーブルと、属性情報テーブルが形成
されている。これらの各テーブルの情報は、ネットワー
ク管理者により一括して登録および更新される。In the main storage device 52, a directory data storage area 521, a directory synchronization information storage area 522, and a program load area 523 are formed. In the directory database 514, in addition to the relay route table in which all the route information of the network to be managed is set,
An object information table and an attribute information table are formed. Information in each of these tables is registered and updated collectively by the network administrator.
【0023】図4に、ディレクトリデータベース3121の
登録内容の概要を示す。図4中のシンボル60〜631の各
々は、ディレクトリサービス・サーバが管理するネット
ワークA31の各種機器やユーザ等を表している。シンボ
ル60は外部ネットワークのあるディレクトリのRootオブ
ジェクト、シンボル61はネットワークA、シンボル611は
ネットワークAと外部ネットワークを中継するファイア
ウォール1、シンボル612は後述するファイアウォール2
へのポインタとなるエイリアスオブジェクト、シンボル
613はディレクトリサービスを提供するサーバ、シンボ
ル62はネットワークA内部のサブネットワークB、シンボ
ル621,622は規定の位置がサブネットワークBであるユー
ザ、シンボル623は規定の位置がサブネットワークBであ
るユーザが所属するグループ、シンボル624はサブネッ
トワークBに配置された内部ファイアウォール、シンボ
ル625はサブネットワークBに配置されたサーバ、シンボ
ル63はサブネットワークC、シンボル631は規定の位置が
サブネットワークCであるユーザを、それぞれ示す。FIG. 4 shows an outline of the registered contents of the directory database 3121. Each of the symbols 60 to 631 in FIG. 4 represents various devices and users of the network A31 managed by the directory service server. Symbol 60 is the Root object of the directory where the external network is located, symbol 61 is network A, symbol 611 is firewall 1 that relays network A to the external network, and symbol 612 is firewall 2 that will be described later.
An alias object or symbol that points to
Reference numeral 613 denotes a server for providing a directory service, symbol 62 denotes a subnetwork B in the network A, symbols 621 and 622 belong to a user whose specified position is the subnetwork B, and symbol 623 belongs to a user whose specified position is the subnetwork B. Group, symbol 624 is the internal firewall located in subnetwork B, symbol 625 is the server located in subnetwork B, symbol 63 is the subnetwork C, symbol 631 is the user whose prescribed location is subnetwork C, respectively. Show.
【0024】図4に示すように、ディレクトリデータベ
ースの登録情報は、ネットワークの構成をディレクトリ
ツリーと呼ばれる木構造の図で表現することができる。
ネットワーク上の各オブジェクトの配置は、ディレクト
リツリーでRootからそのオブジェクトに到達するまでに
通過するオブジェクトにより特定される。通過するオブ
ジェクトの列により表される階層的な配置のことをコン
テキストと呼ぶ。なお、各オブジェクトを実ネットワー
クの接続状況と同様に配置して、そのコンテキストによ
り実ネットワーク上の配置を表すこともできる。As shown in FIG. 4, the registration information of the directory database can express the network configuration in a tree structure called a directory tree.
The location of each object on the network is specified by the objects that pass from the root to the object in the directory tree. The hierarchical arrangement represented by the sequence of passing objects is called context. Note that each object can be arranged in the same manner as the connection status of the real network, and the arrangement on the real network can be represented by the context.
【0025】図5は、ディレクトリデータベース3121に
形成されたオブジェクト情報テーブルの一例である。オ
ブジェクト情報テーブルには、管理対象のネットワーク
のディレクトリツリーの情報が登録される。図5におい
て、オブジェクト情報テーブルは、図4のディレクトリ
の各オブジェクト毎に、オブジェクトを識別するための
オブジェクトID701、オブジェクト名702と、ディレクト
リツリー上の位置(通過するオブジェクト)を示すコン
テキスト703と、オブジェクト型704と、後述の属性情報
テーブルへの識別子となる属性ID705とが登録される。
オブジェクトを識別するための情報に、ネットワークや
計算機のアドレスを含めてもよい。ディレクトリデータ
ベースでは、オブジェクトID701を基に処理・制御が行
われる。なお、このオブジェクト情報テーブルに、シン
ボルのイメージデータを付加して、図4のようなディレ
クトリツリーのグラフィック表示を行えるようにしても
よい。ただし、このサービスをクライアントに提供する
場合は、そのユーザがアクセス可能な部分のみを表示で
きるようにする。さらに、誤りの検出・訂正を可能とす
る冗長データを付加してもよい。FIG. 5 is an example of an object information table formed in the directory database 3121. In the object information table, information on the directory tree of the network to be managed is registered. 5, the object information table includes, for each object in the directory in FIG. 4, an object ID 701 for identifying the object, an object name 702, a context 703 indicating a position on the directory tree (a passing object), A type 704 and an attribute ID 705 serving as an identifier for an attribute information table described later are registered.
Information for identifying an object may include the address of a network or a computer. In the directory database, processing and control are performed based on the object ID 701. Note that symbol image data may be added to this object information table so that a directory tree graphic display as shown in FIG. 4 can be performed. However, when this service is provided to a client, only a portion that can be accessed by the user can be displayed. Furthermore, redundant data that enables error detection and correction may be added.
【0026】図6は、ディレクトリデータベース3121に
形成される属性情報テーブルの一例である。属性情報テ
ーブルには、ディレクトリツリーの各オブジェクトの詳
細な属性が設定される。図6において、属性情報テーブ
ルには、オブジェクト情報テーブルから参照される際の
識別子となる属性ID801と、同一属性IDの各詳細属性を
識別するための補助ID802と、オブジェクト属性の種類
を示す名前803と、同一名のオブジェクト属性を区別す
るためのシリアル番号804と、アクセス権限等を規定す
る属性の設定値805とが登録される。例えば、図6中の
属性812は、ユーザ1がファイアウォール1に対するデー
タの読み出しと書き込みが可能であることを表してい
る。属性826は、ファイアウォール2を介した全ての経路
での通信をユーザ1に許可することを表している。属性8
28は、規定の位置がネットワークAに無いユーザProject
User.Externalに、ファイアウォール2を介する経路Rout
e.0での通信を許可することを表している。本例では、P
rojectUser.Externalに、ファイアウォール1へのアクセ
ス権限(814)と、ファイアウォール2に対するアクセス権
限(819)と、ディレクトリサービスへのアクセス権限(82
4)を与えている。FIG. 6 is an example of an attribute information table formed in the directory database 3121. In the attribute information table, detailed attributes of each object of the directory tree are set. In FIG. 6, an attribute information table includes an attribute ID 801 serving as an identifier when referenced from the object information table, an auxiliary ID 802 for identifying each detailed attribute having the same attribute ID, and a name 803 indicating the type of the object attribute. And a serial number 804 for distinguishing between object attributes having the same name, and an attribute setting value 805 for defining access authority and the like are registered. For example, the attribute 812 in FIG. 6 indicates that the user 1 can read and write data to the firewall 1. The attribute 826 indicates that the user 1 is permitted to communicate on all routes via the firewall 2. Attribute 8
28 is a user project whose specified location is not in network A
Route Rout to User.External through Firewall 2
e.0 communication is permitted. In this example, P
rojectUser.External has access rights to the firewall 1 (814), access rights to the firewall 2 (819), and access rights to the directory service (82
4) is given.
【0027】本ネットワーク通信システムで行われる情
報更新処理を説明する。An information updating process performed in the network communication system will be described.
【0028】ディレクトリサービス・サーバと、中継サ
ーバの機能を持つ各ファイアウォール・サーバは、ディ
レクトリ情報同期プログラム512を実行して、定期的に
自計算機の設定情報(経路情報など)を交換し合い、設
定情報の登録・更新を行う。この処理により、例えば、
ディレクトリサービス・サーバとファイアウォール・サ
ーバにそれぞれ格納された同一経路についての経路情報
が一致しない場合は、設定日時の新しい経路情報に統一
するように中継経路テーブルの経路情報が更新される。
接続の可否の決定やクライアントの認証等に用いる情報
も、同様にして登録・更新される。また、インターネッ
トを介して互いに接続されたネットワーク30,31の外部
ファイアウォールも設定情報を互いに交換し、自ネット
ワークへのアクセスを許可するユーザの情報の登録・更
新を行う。例えば、ネットワーク31において、ネットワ
ーク30のユーザの自ネットワーク31へのアクセスを許可
する登録を行った場合には、同内容の登録がネットワー
ク30のディレクトリサービス・サーバとファイアウォー
ル・サーバにもなされる。このように、本ネットワーク
通信システムでは、ネットワーク管理者は各計算機の設
定情報の登録・更新を、例えばディレクトリサービス・
サーバでのみ実施すればよく、従来のシステムのように
各ファイアウォール・サーバ毎に個別に登録・更新を実
施しなくてもよい。The directory service server and each firewall server having the function of the relay server execute the directory information synchronizing program 512 to exchange setting information (path information, etc.) of the computer at regular intervals, and perform setting. Register and update information. By this processing, for example,
If the route information for the same route stored in the directory service server and the route information stored in the firewall server do not match, the route information in the relay route table is updated so that the route information is unified with the new route information at the set date and time.
Information used for determining whether or not to connect or for authenticating the client is registered and updated in the same manner. The external firewalls of the networks 30 and 31 connected to each other via the Internet also exchange setting information with each other, and register / update information of users who are permitted to access the own network. For example, when registration for permitting a user of the network 30 to access the own network 31 is performed on the network 31, registration of the same contents is also performed on the directory service server and the firewall server of the network 30. As described above, in the present network communication system, the network administrator registers and updates the setting information of each computer, for example, in a directory service or the like.
It is sufficient to carry out only on the server, and it is not necessary to carry out registration / update individually for each firewall server as in the conventional system.
【0029】次に、本ネットワーク通信システムにおけ
る通信動作の具体例を説明する。Next, a specific example of the communication operation in the network communication system will be described.
【0030】まず、図1において、ネットワークB33の
サーバ331へのアクセス権を与えられたユーザが、その
サーバ331に、他のネットワーク30内のクライアント303
からアクセスする場合を説明する。First, in FIG. 1, a user who has been given an access right to the server 331 of the network B33 is allowed to access the server 331 by a client 303 in another network 30.
The case of accessing from will be described.
【0031】ユーザからネットワークA31へのアクセス
を指示されたクライアント303は、まず、自クライアン
トのMACアドレスやユーザ名称、ユーザID等を指定して
ネットワーク30内のディレクトリサービス・サーバ302
の認証を受ける。そして、クライアント303は、ディレ
クトリサービス・サーバ302に、ネットワークA31内のデ
ィレクトリサービス・サーバ312の識別情報(例えば装
置名称)を指定して経路情報を問い合わせ、経路情報を
取得する。なお、このとき、ネットワーク30内のファイ
アウォール・サーバ301とディレクトリサービス・サー
バ303には、情報更新処理等により上記ユーザのネット
ワークA31へのアクセスを許可する設定がなされてい
る。取得した経路情報に従いクライアント303、ファイ
アウォール・サーバ301、ネットワークA31のファイアウ
ォール・サーバ311は、各中継サーバプログラムによ
り、クライアント303をインターネット32を介してディ
レクトリサービス・サーバ312に接続する。The client 303 instructed by the user to access the network A 31 first specifies the MAC address of the client, a user name, a user ID, etc., and specifies the directory service server 302 in the network 30.
Get certification. Then, the client 303 inquires the directory service server 302 of the path information by specifying the identification information (for example, the device name) of the directory service server 312 in the network A31, and acquires the path information. At this time, the firewall server 301 and the directory service server 303 in the network 30 are set so as to permit the user to access the network A31 through information update processing or the like. The client 303, the firewall server 301, and the firewall server 311 of the network A31 connect the client 303 to the directory service server 312 via the Internet 32 in accordance with the obtained route information by using each relay server program.
【0032】そして、クライアント303は、ディレクト
リサービス・サーバ312との間で上記と同様の認証手続
を行った後、サーバ331の装置名称を指定してディレク
トリサービス・サーバ312に経路情報を問い合わせる。
問い合わせに対しディレクトリサービス・サーバ312
は、上記ユーザのサーバ331へのアクセスが許可されて
いるため、サーバ331への経路情報を返送する。この経
路情報に従いファイアウォール・サーバ311,313は、中
継サーバプログラムによりクライアント303とサーバ331
間の通信経路を確立し、その通信経路におけるクライア
ント303の認証手続は免除する。以降、クライアント303
はサーバ331と通信し、サーバ331の資源を利用すること
ができる。After performing the same authentication procedure as described above with the directory service server 312, the client 303 inquires of the directory service server 312 of the path information by designating the device name of the server 331.
Directory service server 312 for inquiries
Returns the route information to the server 331 because the user is permitted to access the server 331. According to the route information, the firewall servers 311 and 313 communicate with the client 303 and the server 331 by the relay server program.
A communication path between the client 303 and the client 303 in the communication path is exempted. Hereafter, client 303
Can communicate with the server 331 and use the resources of the server 331.
【0033】次に、規定の位置がサブネットワークB33
でサーバ331へのアクセスを許可されたユーザ(図6の
ユーザ1)が、インターネット上のクライアント321か
ら、サーバ331にアクセスする場合を説明する。このユ
ーザは、ネットワークA内のディレクトリサービス・サ
ーバ312とサーバ331の装置名称を知っているものとす
る。Next, the specified position is the sub-network B33.
A case will be described in which a user (user 1 in FIG. 6) permitted to access the server 331 accesses the server 331 from the client 321 on the Internet. This user is assumed to know the device names of the directory service server 312 and the server 331 in the network A.
【0034】サーバ331へのアクセスが指示されるとク
ライアント321は、中継サーバプログラムにより、ファ
イアウォール311で認証を得てディレクトリサービス・
サーバ312に接続する。そして、ディレクトリサービス
・サーバ312でユーザID等の指定によりユーザの認証を
受けて、サーバ3310への経路情報をディレクトリサービ
ス・サーバ312に要求する。この要求を受けたディレク
トリサービス・サーバは、ディレクトリデータベース制
御プログラムにより、サーバ331に対応するオブジェク
トをディレクトリデータベース3121で検索し、ユーザ1
のアクセス権利822が読み書き可能なrwの値となってい
ることを確認し、次に途中経路にあるファイアウォール
2へのルートの使用権限826があることを確認し、サーバ
331へのルートの使用権限があることを確認した後、ク
ライアント321からサーバ331に到る通信経路の経路情報
を返送する。この経路情報に従いファイアウォール・サ
ーバ311とファイアウォール・サーバ313は、各中継サー
バプログラムにより通信経路を確立し、クライアント32
1に対する認証手続は免除する。そして、以降、クライ
アント321とサーバ331の間の通信を中継する。When the access to the server 331 is instructed, the client 321 obtains the authentication by the firewall 311 by the relay server program, and
Connect to server 312. Then, the directory service server 312 authenticates the user by designating a user ID or the like, and requests the directory service server 312 for path information to the server 3310. Upon receiving this request, the directory service server searches the directory database 3121 for an object corresponding to the server 331 by using the directory database control program, and
Make sure that the access right 822 of the file has a value of rw that can be read and written, and then the firewall on the way
Make sure you have 826 usage rights to the root to the server
After confirming that the user has the authority to use the route to 331, the route information of the communication route from the client 321 to the server 331 is returned. According to this route information, the firewall server 311 and the firewall server 313 establish a communication route by each relay server program, and
The certification procedure for 1 is exempt. Thereafter, the communication between the client 321 and the server 331 is relayed.
【0035】以上のように、本ネットワークでは、正当
なユーザは通信経路を意識することなしに目的のサーバ
との通信を容易に実施することができる。As described above, in this network, a legitimate user can easily carry out communication with a target server without being aware of the communication path.
【0036】なお、ファイアウォール・サーバでの通信
経路の確立と認証手続の免除を行わずに、クライアント
に経路情報のみを提供するようにしてもよい。この場
合、クライアントは、提供された経路情報を基に中継経
路上のファイアウォール・サーバに順次にアクセスし認
証手続きを行って、サーバ331との間の通信経路を確立
する。また、経路情報の変わりに上記のコンテキストを
クライアントに提供し、コンテキストを基にサーバ331
との間の通信経路を確立するようにしてもよい。It is also possible to provide only the route information to the client without establishing the communication route in the firewall server and exempting the authentication procedure. In this case, the client sequentially accesses the firewall server on the relay route based on the provided route information, performs an authentication procedure, and establishes a communication route with the server 331. In addition, the above context is provided to the client instead of the route information, and the server 331 is provided based on the context.
May be established.
【0037】また、例えばProjectUser.Externalとし
て、ファイアウォール1へのアクセス権限814、ファイア
ウォール2に対するアクセス権限819およびディレクトリ
サービスへのアクセス権限824を許可されたユーザは、
規定の位置がネットワークAに無い場合にも外部からサ
ーバ331にアクセスできる。また、ディレクトリサービ
ス・サーバへのアクセス権限を不許可としておけば、仮
にファイアウォール1へ不正アクセスしたユーザがいた
としても、ディレクトリサービス・サーバ312との認証
を行うことが必要となるため、ネットワークA内部への
不正アクセスを阻止し、セキュリティを確保することが
できる。Also, for example, as a ProjectUser.External, a user who has been granted the access right 814 to the firewall 1, the access right 819 to the firewall 2, and the access right 824 to the directory service are:
Even when the specified position is not on the network A, the server 331 can be accessed from outside. If the access right to the directory service server is denied, even if there is a user who has illegally accessed the firewall 1, it is necessary to authenticate with the directory service server 312. It can prevent unauthorized access to and secure security.
【0038】[0038]
【発明の効果】以上のように、本発明によれば、複数の
ファイアウォールが介在する計算機間の通信を正当なユ
ーザが通信経路を意識することなく容易に実施できるネ
ットワーク通信システムを提供することができる。さら
に、そのネットワーク通信システムで行われる情報の登
録・更新の作業を軽減することができる。As described above, according to the present invention, it is possible to provide a network communication system that allows a legitimate user to easily perform communication between computers via a plurality of firewalls without being aware of a communication path. it can. Further, the work of registering and updating information performed in the network communication system can be reduced.
【図1】 本発明の実施形態に係る通信システムの全体
構成を示す図である。FIG. 1 is a diagram showing an overall configuration of a communication system according to an embodiment of the present invention.
【図2】 サーバまたはクライアントの構成を示す図で
ある。FIG. 2 is a diagram showing a configuration of a server or a client.
【図3】 ディレクトリサービス・サーバの構成を示す
図である。FIG. 3 is a diagram showing a configuration of a directory service server.
【図4】 ディレクトリサービスデータベースの登録内
容の説明図である。FIG. 4 is an explanatory diagram of registered contents of a directory service database.
【図5】 ディレクトリサービスデータベースを構成す
るオブジェクト情報テーブルの例を示す図である。FIG. 5 is a diagram showing an example of an object information table constituting a directory service database.
【図6】 ディレクトリサービスデータベースを構成す
るオブジェクトの属性情報テーブルの例を示す図であ
る。FIG. 6 is a diagram showing an example of an attribute information table of an object constituting a directory service database.
【図7】 従来のネットワークの問題点を説明するため
の図である。FIG. 7 is a diagram for explaining a problem of a conventional network.
【図8】 従来のネットワークの別の問題点を説明する
ための図である。FIG. 8 is a diagram for explaining another problem of the conventional network.
10…A社ネットワークA、11…B社ネットワークB、101…
クライアント計算機、102…ファイアウォール、103…フ
ァイアウォール、110…B社サブネットワークC、111…フ
ァイアウォール、112…ファイアウォール、20…社内ネ
ットワーク、200…サブネットワーク、201…ファイアウ
ォール、202…ファイアウォール、203…クライアント、
204…設定コンソール、205…設定コンソール、30…ネッ
トワーク、31…ネットワーク、32…インターネット、33
…サブネットワーク、34…サブネットワーク、301…フ
ァイアウォール、302…ディレクトリサービス・サー
バ、303…クライアント、311…ファイアウォール、312
…ディレクトリサービス・サーバ、313…ファイアウォ
ール、314…ファイアウォール、317…クライアント、32
1…クライアント、331…サーバ計算機、341…サーバ計
算機、3010…ファイアウォール兼中継サーバプログラ
ム、3020…ディレクトリサーバプログラム、3030…中継
サーバプログラム、3110…ファイアウォール兼中継サー
バプログラム、3120…ディレクトリサーバプログラム、
3130…ファイアウォール兼中継サーバプログラム、3140
…ファイアウォール兼中継サーバプログラム、3210…中
継サーバプログラム、3310…中継サーバプログラム、34
10…中継サーバプログラム、41…ディスクコントロー
ラ、42…主記憶装置、43…バス、44…CPU、45…通信I/O
インタフェースコントローラ、46…キーボードマウスコ
ントローラ、461…キーボード、47…ビデオボードコン
トローラ、472…ディスプレイ装置、410…固定ディスク
装置、411…通信プログラム、412…データ中継制御プロ
グラム、413…ディレクトリ情報同期プログラム、414…
中継経路テーブル、420…主記憶装置の内容、421…デー
タ中継経路情報記憶領域、422…通信データ記憶領域、4
23…ディレクトリ同期情報記憶領域、424…プログラム
ロード領域、51…ディスクコントローラ、52…主記憶装
置、53…バス、54…CPU、55…通信I/Oインタフェースコ
ントローラ、56…キーボードマウスコントローラ、561
…キーボード、57…ビデオボードコントローラ、572…
ディスプレイ装置、510…固定ディスク装置、511…通信
プログラム、512…ディレクトリデータベース制御プロ
グラム、513…ディレクトリ情報同期プログラム、514…
中継経路テーブルを含むディレクトリデータベース、52
0…主記憶装置の内容、521…ディレクトリデータ記憶領
域、522…ディレクトリ同期情報記憶領域、523…プログ
ラムロード領域、60…ディレクトリオブジェクト、61…
ディレクトリオブジェクト、62…ディレクトリオブジェ
クト、63…ディレクトリオブジェクト、611…ディレク
トリオブジェクト、612…ディレクトリオブジェクト、6
13…ディレクトリオブジェクト、621…ディレクトリオ
ブジェクト、622…ディレクトリオブジェクト、623…デ
ィレクトリオブジェクト、624…ディレクトリオブジェ
クト、625…ディレクトリオブジェクト、626…ディレク
トリオブジェクト、70…ディレクトリオブジェクト情報
テーブル、701…オブジェクトID、702…オブジェクト
名、703…オブジェクトコンテキスト、704…オブジェク
ト型、705…オブジェクトの属性ID、710…オブジェクト
情報、711…オブジェクト情報、712…オブジェクト情
報、714…オブジェクト情報、715…オブジェクト情報、
716…オブジェクト情報、717…オブジェクト情報、718
…オブジェクト情報、719…オブジェクト情報、720…オ
ブジェクト情報、721…オブジェクト情報、80…オブジ
ェクト属性情報テーブル、801…属性ID、802…補助ID、
803…オブジェクト属性名、804…オブジェクト属性シリ
アル、805…オブジェクト属性値、810…オブジェクト属
性情報、811…オブジェクト属性情報、812…オブジェク
ト属性情報、813…オブジェクト属性情報、814…オブジ
ェクト属性情報、815…オブジェクト属性情報、816…オ
ブジェクト属性情報、817…オブジェクト属性情報、818
…オブジェクト属性情報、819…オブジェクト属性情
報、820…オブジェクト属性情報、821…オブジェクト属
性情報、822…オブジェクト属性情報、823…オブジェク
ト属性情報、824…オブジェクト属性情報、825…オブジ
ェクト属性情報、826…オブジェクト属性情報、827…オ
ブジェクト属性情報、828…オブジェクト属性情報、829
…オブジェクト属性情報、830…オブジェクト属性情
報、831…オブジェクト属性情報、832…オブジェクト属
性情報、833…オブジェクト属性情報。10… Company A network A, 11… Company B network B, 101…
Client computer, 102: Firewall, 103: Firewall, 110: Company B subnetwork C, 111: Firewall, 112: Firewall, 20: Company network, 200: Subnetwork, 201: Firewall, 202: Firewall, 203: Client,
204: Setting console, 205: Setting console, 30: Network, 31: Network, 32: Internet, 33
… Subnetwork, 34… subnetwork, 301… firewall, 302… directory service server, 303… client, 311… firewall, 312
… Directory service server, 313… firewall, 314… firewall, 317… client, 32
1 client, 331 server computer, 341 server computer, 3010 firewall / relay server program, 3020 directory server program, 3030 relay server program, 3110 firewall / relay server program, 3120 directory server program
3130 ... Firewall and relay server program, 3140
… Firewall / relay server program, 3210… Relay server program, 3310… Relay server program, 34
10 relay server program, 41 disk controller, 42 main storage device, 43 bus, 44 CPU, 45 communication I / O
Interface controller, 46: Keyboard mouse controller, 461: Keyboard, 47: Video board controller, 472: Display device, 410: Fixed disk device, 411: Communication program, 412: Data relay control program, 413: Directory information synchronization program, 414 …
Relay path table, 420: contents of main storage device, 421: data relay path information storage area, 422: communication data storage area, 4
23: directory synchronization information storage area, 424: program load area, 51: disk controller, 52: main storage device, 53: bus, 54: CPU, 55: communication I / O interface controller, 56: keyboard / mouse controller, 561
... keyboard, 57 ... video board controller, 572 ...
Display device, 510: fixed disk device, 511: communication program, 512: directory database control program, 513: directory information synchronization program, 514 ...
Directory database containing the relay route table, 52
0: contents of the main storage device, 521: directory data storage area, 522: directory synchronization information storage area, 523: program load area, 60: directory object, 61 ...
Directory object, 62: Directory object, 63: Directory object, 611: Directory object, 612: Directory object, 6
13 directory object, 621 directory object, 622 directory object, 623 directory object, 624 directory object, 625 directory object, 626 directory object, 70 directory object information table, 701 object ID, 702 object Name, 703: Object context, 704: Object type, 705: Object attribute ID, 710: Object information, 711: Object information, 712: Object information, 714: Object information, 715: Object information,
716… Object information, 717… Object information, 718
... Object information, 719 ... Object information, 720 ... Object information, 721 ... Object information, 80 ... Object attribute information table, 801 ... Attribute ID, 802 ... Auxiliary ID,
803: Object attribute name, 804: Object attribute serial, 805: Object attribute value, 810: Object attribute information, 811: Object attribute information, 812: Object attribute information, 813: Object attribute information, 814: Object attribute information, 815 ... Object attribute information, 816: Object attribute information, 817: Object attribute information, 818
... Object attribute information, 819 ... Object attribute information, 820 ... Object attribute information, 821 ... Object attribute information, 823 ... Object attribute information, 824 ... Object attribute information, 825 ... Object attribute information, 826 ... Object Attribute information, 827: Object attribute information, 828: Object attribute information, 829
... object attribute information, 830 ... object attribute information, 831 ... object attribute information, 832 ... object attribute information, 833 ... object attribute information.
───────────────────────────────────────────────────── フロントページの続き (72)発明者 萱島 信 神奈川県川崎市麻生区王禅寺1099番地 株 式会社日立製作所システム開発研究所内 (72)発明者 小泉 稔 神奈川県川崎市麻生区王禅寺1099番地 株 式会社日立製作所システム開発研究所内 (72)発明者 勝俣 修 神奈川県横浜市戸塚区戸塚町5030番地 株 式会社日立製作所ソフトウェア開発本部内 ──────────────────────────────────────────────────の Continuing on the front page (72) Inventor Shin Kayashima 1099 Ozenji Temple, Aso-ku, Kawasaki City, Kanagawa Prefecture Inside Hitachi, Ltd.System Development Laboratory (72) Inventor Minoru Koizumi 1099 Ozenji Temple, Aso-ku, Kawasaki City, Kanagawa Prefecture Stock Company (72) Inventor Osamu Katsumata 5030 Totsuka-cho, Totsuka-ku, Yokohama-shi, Kanagawa Prefecture Software Development Division, Hitachi, Ltd.
Claims (6)
算機と、サーバ計算機と、当該クライアント計算機およ
びサーバ計算機の通信の中継点に配置された、ファイア
ウォールの機能を有する複数の中継サーバ計算機と、デ
ィレクトリサービス計算機とを備え、 当該ディレクトリサービス計算機は、 前記ネットワークを構成する各計算機を識別するための
識別情報と、当該各計算機にアクセス可能なユーザを規
定したユーザ情報と、当該各計算機の前記ネットワーク
における通信経路を規定した経路情報とが格納されたデ
ータベースと、 前記クライアント計算機から、前記サーバ計算機の識別
情報と、前記クライアント計算機のユーザを指定する情
報とを受け付ける手段と、 当該受け付けた情報を基に、前記データベースに格納さ
れた識別情報およびユーザ情報を検索して、前記クライ
アント計算機のユーザが前記サーバ計算機の正当なユー
ザであるか否かを判定する判定手段と、 前記クライアント計算機のユーザが前記サーバ計算機の
正当なユーザである場合、前記データベースに格納され
た経路情報の内の、前記中継サーバ計算機からサーバ計
算機に到る通信経路を規定した経路情報を前記中継サー
バ計算機へ送る手段とを有し、 前記中継サーバ計算機は、 前記ディレクトリサービス計算機から送られた経路情報
で示される通信経路で前記クライアント計算機の通信を
中継する手段を有することを特徴とするネットワーク通
信システム。1. A network system comprising a client computer, a server computer, a plurality of relay server computers each having a firewall function and located at a relay point of communication between the client computer and the server computer, and a directory service computer. The directory service computer comprises: identification information for identifying each computer constituting the network; user information defining a user who can access each computer; and a communication path of each computer in the network. Means for receiving, from the client computer, identification information of the server computer, and information designating a user of the client computer, based on the received information, the database Identification stored in Determining means for retrieving information and user information to determine whether the user of the client computer is a valid user of the server computer; and when the user of the client computer is a valid user of the server computer Means for transmitting, to the relay server computer, path information defining a communication path from the relay server computer to the server computer, among the path information stored in the database, the relay server computer comprising: A network communication system comprising: means for relaying communication of the client computer through a communication path indicated by path information sent from a directory service computer.
であって、 前記クライアント計算機のユーザが前記サーバ計算機の
正当なユーザである場合、前記各中継サーバは、前記ク
ライアント計算機からサーバ計算機に到る通信経路を確
立し、かつ、前記クライアント計算機の通信に対するフ
ァイアウォールの認証手続を免除することを特徴とする
ネットワーク通信システム。2. The network communication system according to claim 1, wherein when the user of the client computer is a valid user of the server computer, each of the relay servers communicates from the client computer to the server computer. A network communication system that establishes a path and exempts a firewall authentication procedure for communication of the client computer.
であって、 前記ディレクトリサービス計算機も、アクセスしてきた
クライアント計算機のユーザの認証を行う手段を有し、 前記判定手段は、当該認証が得られなかったユーザは正
当なユーザでないと判定することを特徴とするネットワ
ーク通信システム。3. The network communication system according to claim 1, wherein said directory service computer also has means for authenticating a user of a client computer that has accessed, and said determination means cannot obtain said authentication. A network communication system characterized in that the determined user is determined not to be a valid user.
であって、 前記ディレクトリサービス計算機は、前記クライアント
計算機のユーザが正当なユーザである場合、前記データ
べースに格納された、前記クライアント計算機のユーザ
がアクセス可能な計算機の識別情報を前記クライアント
計算機に送る手段を有することを特徴とするネットワー
ク通信システム。4. The network communication system according to claim 3, wherein the directory service computer, when a user of the client computer is a valid user, stores the client computer stored in the database. A network communication system comprising: means for transmitting identification information of a computer accessible by a user to the client computer.
であって、 前記ネットワークは、前記クライアント計算機が構成す
る第1のネットワークと、前記サーバ計算機とディレク
トリサービス計算機と複数の中継サーバ計算機が構成す
る第2のネットワークとにより構成されており、 前記第1および第2のネットワークの接続点には、1つ
の前記中継サーバ計算機が配置されることを特徴とする
ネットワーク通信システム。5. The network communication system according to claim 1, wherein the network includes a first network configured by the client computer, a server computer, a directory service computer, and a plurality of relay server computers. And a second relay server computer at a connection point between the first and second networks.
であって、 前記ディレクトリサービス計算機と中継サーバ計算機
は、それぞれに、 自計算機に格納されている情報に対する更新情報を受け
付ける手段と、 当該更新情報を基に、前記格納されている情報を登録・
更新を行う手段と、 前記格納されている情報の内、他の計算機で格納されて
いる情報と関連する情報を、前記他の計算機との間で互
いに通信する手段と、 当該通信において他の計算機から送られた情報を基に、
自計算機に格納されている情報が前記他の計算機でなさ
れた情報の更新を反映したものとなるように、前記格納
されている情報を登録・更新する手段とを有することを
特徴とするネットワーク通信システム。6. The network communication system according to claim 1, wherein the directory service computer and the relay server computer each receive means for receiving update information for information stored in its own computer, and Based on the information stored and registered
Means for performing an update; means for communicating information related to information stored in another computer among the stored information with the other computer; and other computers in the communication. Based on the information sent from
Means for registering / updating the stored information so that the information stored in the own computer reflects the update of the information performed by the other computer. system.
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP31203696A JP3253542B2 (en) | 1996-11-22 | 1996-11-22 | Network communication system |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP31203696A JP3253542B2 (en) | 1996-11-22 | 1996-11-22 | Network communication system |
Publications (2)
Publication Number | Publication Date |
---|---|
JPH10154118A true JPH10154118A (en) | 1998-06-09 |
JP3253542B2 JP3253542B2 (en) | 2002-02-04 |
Family
ID=18024457
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP31203696A Expired - Fee Related JP3253542B2 (en) | 1996-11-22 | 1996-11-22 | Network communication system |
Country Status (1)
Country | Link |
---|---|
JP (1) | JP3253542B2 (en) |
Cited By (10)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2000122974A (en) * | 1998-10-19 | 2000-04-28 | Nec Corp | Network system, command use authority control method and storage medium storing control program |
WO2002098075A1 (en) * | 2001-05-25 | 2002-12-05 | Mitsubishi Denki Kabushiki Kaisha | Internet communication system, internet communication method, session control server, communication adapter, communication relay server and program |
WO2004111864A1 (en) * | 2003-06-04 | 2004-12-23 | Matsushita Electric Industrial Co., Ltd. | Internet secure communication device and communication method |
JP2006072647A (en) * | 2004-09-01 | 2006-03-16 | Canon Inc | File management device |
JP2007099145A (en) * | 2005-10-06 | 2007-04-19 | Denso Corp | Diagnosis system for on-vehicle network, and on-vehicle control device |
JP2007142903A (en) * | 2005-11-21 | 2007-06-07 | Nec Corp | Route generating system, route generating method, route management server, relay device, terminal device, and control program |
US7386534B2 (en) | 2000-02-09 | 2008-06-10 | Hitachi, Ltd. | Answer system for technical support, and technical support method |
US7685249B2 (en) | 2001-02-23 | 2010-03-23 | Minolta Co., Ltd. | Image processing method, image process system, and related equipment used therein including portable terminal, image forming data transmitting device and image forming device, as well as image processing program and computer readable recording medium that stores sa |
US8307100B2 (en) | 2007-05-09 | 2012-11-06 | Murata Machinery, Ltd. | Relay server and relay communication system |
WO2012173234A1 (en) | 2011-06-17 | 2012-12-20 | 日本電気株式会社 | Communication control device, communication control method, and program |
Families Citing this family (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP3509803B2 (en) | 1999-09-03 | 2004-03-22 | 日本精工株式会社 | Rolling bearing |
Citations (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JPH09214556A (en) * | 1995-11-30 | 1997-08-15 | Toshiba Corp | Packet transfer method, packet processor, packet ciphering method, packet decoding method and packet ciphering processing method |
JPH10126440A (en) * | 1996-10-18 | 1998-05-15 | Hitachi Ltd | Network communication method and equipment |
-
1996
- 1996-11-22 JP JP31203696A patent/JP3253542B2/en not_active Expired - Fee Related
Patent Citations (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JPH09214556A (en) * | 1995-11-30 | 1997-08-15 | Toshiba Corp | Packet transfer method, packet processor, packet ciphering method, packet decoding method and packet ciphering processing method |
JPH10126440A (en) * | 1996-10-18 | 1998-05-15 | Hitachi Ltd | Network communication method and equipment |
Cited By (14)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US6574656B1 (en) | 1998-10-19 | 2003-06-03 | Nec Corporation | Network system and method for limiting the execution of commands |
JP2000122974A (en) * | 1998-10-19 | 2000-04-28 | Nec Corp | Network system, command use authority control method and storage medium storing control program |
US7386534B2 (en) | 2000-02-09 | 2008-06-10 | Hitachi, Ltd. | Answer system for technical support, and technical support method |
US7685249B2 (en) | 2001-02-23 | 2010-03-23 | Minolta Co., Ltd. | Image processing method, image process system, and related equipment used therein including portable terminal, image forming data transmitting device and image forming device, as well as image processing program and computer readable recording medium that stores sa |
WO2002098075A1 (en) * | 2001-05-25 | 2002-12-05 | Mitsubishi Denki Kabushiki Kaisha | Internet communication system, internet communication method, session control server, communication adapter, communication relay server and program |
WO2004111864A1 (en) * | 2003-06-04 | 2004-12-23 | Matsushita Electric Industrial Co., Ltd. | Internet secure communication device and communication method |
JP4574287B2 (en) * | 2004-09-01 | 2010-11-04 | キヤノン株式会社 | File management device |
JP2006072647A (en) * | 2004-09-01 | 2006-03-16 | Canon Inc | File management device |
JP2007099145A (en) * | 2005-10-06 | 2007-04-19 | Denso Corp | Diagnosis system for on-vehicle network, and on-vehicle control device |
US7912597B2 (en) | 2005-10-06 | 2011-03-22 | Denso Corporation | On-vehicle network diagnosis system and on-vehicle control apparatus thereof |
JP2007142903A (en) * | 2005-11-21 | 2007-06-07 | Nec Corp | Route generating system, route generating method, route management server, relay device, terminal device, and control program |
US8307100B2 (en) | 2007-05-09 | 2012-11-06 | Murata Machinery, Ltd. | Relay server and relay communication system |
WO2012173234A1 (en) | 2011-06-17 | 2012-12-20 | 日本電気株式会社 | Communication control device, communication control method, and program |
US9288233B2 (en) | 2011-06-17 | 2016-03-15 | Nec Corporation | Communication control apparatus, communication control method, and program |
Also Published As
Publication number | Publication date |
---|---|
JP3253542B2 (en) | 2002-02-04 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
JP7053732B2 (en) | Virtual network verification service | |
RU2595517C2 (en) | Objects of virtual network interface | |
US6119234A (en) | Method and apparatus for client-host communication over a computer network | |
US6088725A (en) | Mobile computer supporting system, its administrative server, its terminal, and address conversion method | |
US5634010A (en) | Managing and distributing data objects of different types between computers connected to a network | |
US6684243B1 (en) | Method for assigning a dual IP address to a workstation attached on an IP data transmission network | |
CN109254831B (en) | Virtual machine network security management method based on cloud management platform | |
US8090827B2 (en) | Secure access to remote resources over a network | |
US6216159B1 (en) | Method and system for IP address accessibility to server applications | |
US11696110B2 (en) | Distributed, crowdsourced internet of things (IoT) discovery and identification using Block Chain | |
JP5323674B2 (en) | DNS (Domain Name System) registration apparatus, VPN (Virtual Private Network) connection management system, wide area DNS apparatus, DNS registration program, wide area DNS program, DNS registration method, and inter VPN connection management method | |
KR20020042305A (en) | Method for accessing to home-network using home-gateway and home-portal sever and apparatus thereof | |
US6754212B1 (en) | Repeater and network system utililzing the same | |
JP3253542B2 (en) | Network communication system | |
CN113364741A (en) | Application access method and proxy server | |
JP3736173B2 (en) | Network management system | |
US8041761B1 (en) | Virtual filer and IP space based IT configuration transitioning framework | |
US11245623B2 (en) | Method and apparatus for collecting data in network communication using concealed user address | |
JPH1028144A (en) | System for constituting network with access control function | |
JP3649180B2 (en) | Security management system and routing program | |
JP2005217757A (en) | Firewall management system, firewall management method, and firewall management program | |
JP5350333B2 (en) | Packet relay apparatus and network system | |
JP4878043B2 (en) | Access control system, connection control device, and connection control method | |
JPH09325931A (en) | Network connection system, connection representative dealing client, and storage medium stored with program for realizing connection representative dealing client | |
US20040172560A1 (en) | Stream server apparatus, program, and NAS device |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
LAPS | Cancellation because of no payment of annual fees |