專利名稱：連接支持裝置及網(wǎng)關(guān)裝置的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及連接支持裝置及網(wǎng)關(guān)裝置，特別涉及從用戶終端連接(遠(yuǎn) 程訪問)的網(wǎng)關(guān)裝置、及對用戶終端和網(wǎng)關(guān)裝置之間的連接進(jìn)行支持的 連接支持裝置。
背景技術(shù)：
近年來，公知有用戶經(jīng)由互聯(lián)網(wǎng)等網(wǎng)絡(luò)，與LAN (Local Area Network,局域網(wǎng))等家庭內(nèi)網(wǎng)絡(luò)或企業(yè)內(nèi)網(wǎng)絡(luò)的網(wǎng)關(guān)裝置連接，對數(shù)字 家電設(shè)備等設(shè)備進(jìn)行控制的圖1所示的遠(yuǎn)程訪問系統(tǒng)。例如，作為互聯(lián)網(wǎng)上的安全遠(yuǎn)程訪問系統(tǒng)的一個(gè)例子，有VPN (Virtual Private Network,虛擬專用網(wǎng))。所謂VPN是指這樣的技術(shù):對 在進(jìn)行遠(yuǎn)程訪問的用戶終端(客戶端)和接受來自該用戶終端的連接的 網(wǎng)關(guān)裝置(服務(wù)器)之間傳輸?shù)臄?shù)據(jù)進(jìn)行加密，從而使第三者無法竊聽 在用戶終端和網(wǎng)關(guān)裝置之間發(fā)送接收的數(shù)據(jù)。以往，作為與遠(yuǎn)程訪問相關(guān)的文獻(xiàn)，公知有以下的專利文獻(xiàn)1 2、 非專利文獻(xiàn)1 3。專利文獻(xiàn)1:日本特開2002 — 135867號公報(bào)專利文獻(xiàn)2:日本特開2004—266562號公報(bào)非專利文獻(xiàn)1: RFC 2637 PPTP (Point to Point Tunneling Protocol)非專利文獻(xiàn)2: RFC 2409 The Internet Key Exchange (IKE)非專利文獻(xiàn)3: RFC 2246 The TLS Protocol Version 1.0如上述文獻(xiàn)中記載，從以往公知有對遠(yuǎn)距離的設(shè)備進(jìn)行遠(yuǎn)程訪問的 技術(shù)。但是，在以往的遠(yuǎn)程訪問系統(tǒng)中， 一般情況下，用戶終端和網(wǎng)關(guān) 裝置為一對一關(guān)系。從而，在增加了網(wǎng)關(guān)裝置的數(shù)量時(shí)，用戶終端需要根據(jù)所連接的網(wǎng) 關(guān)裝置的數(shù)量保持連接信息和用戶的安全信息等，所以存在信息的管理 變得煩雜的問題。并且，如圖2所示，在通過SSL (Secure Sockets Layer,安全套接層) 來進(jìn)行加密的VPN (SSL-VPN)等的情況下，網(wǎng)關(guān)裝置需要長時(shí)開放用 戶終端所連接的端口 ，所以存在遭到DoS攻擊(Denial of Service Attack, 拒絕服務(wù)攻擊)等的危險(xiǎn)性、非法用戶進(jìn)行遠(yuǎn)程訪問的可能性的問題。發(fā)明內(nèi)容本發(fā)明是鑒于上述問題而產(chǎn)生的，其目的在于提供可容易地進(jìn)行信 息管理、并且可容易且安全地進(jìn)行從用戶終端對網(wǎng)關(guān)裝置的遠(yuǎn)程訪問的 連接支持裝置及網(wǎng)關(guān)裝置。為解決上述課題，本發(fā)明的連接支持裝置的特征在于，該連接支持裝置具有控制單元，其對用戶終端連接的網(wǎng)關(guān)裝置進(jìn)行控制，以許可來自認(rèn)證成功的所述用戶終端的連接；以及通信單元，其向所述用戶終 端提供用于連接到所述網(wǎng)關(guān)裝置的連接信息。并且，本發(fā)明的網(wǎng)關(guān)裝置的特征在于，該網(wǎng)關(guān)裝置具有設(shè)定單元，其從連接支持裝置接收控制請求，根據(jù)該請求進(jìn)行用于向用戶終端賦予連接許可的設(shè)定，以許可來自認(rèn)證成功的所述用戶終端的連接；以及通信 單元，其許可來自所述用戶終端的連接。在本發(fā)明中，導(dǎo)入了進(jìn)行用戶終端連接到網(wǎng)關(guān)裝置用的支持的連接 支持裝置。連接支持裝置對網(wǎng)關(guān)裝置進(jìn)行控制以許可來自認(rèn)證成功的用 戶終端的連接，從而可簡單且安全地進(jìn)行從用戶終端對網(wǎng)關(guān)裝置的遠(yuǎn)程 訪問。并且，連接支持裝置對認(rèn)證成功的用戶終端提供用于連接到網(wǎng)關(guān)裝 置的連接信息，從而可容易地進(jìn)行信息管理。根據(jù)本發(fā)明，提供了可容易地進(jìn)行信息管理、并且可容易且安全地 進(jìn)行從用戶終端對網(wǎng)關(guān)裝置的遠(yuǎn)程訪問的連接支持裝置及網(wǎng)關(guān)裝置。


圖1是示出以往的遠(yuǎn)程訪問系統(tǒng)的一個(gè)例子的結(jié)構(gòu)圖。 圖2是示出以往的遠(yuǎn)程訪問系統(tǒng)的另一個(gè)例子的結(jié)構(gòu)圖。 圖3是本發(fā)明的遠(yuǎn)程訪問系統(tǒng)的一個(gè)例子的概略圖。 圖4是本發(fā)明的遠(yuǎn)程訪問系統(tǒng)的一個(gè)例子的結(jié)構(gòu)圖。圖5A是連接支持裝置管理的用戶認(rèn)證數(shù)據(jù)庫的一個(gè)例子的圖。 圖5B是連接支持裝置管理的用戶連接目的地地址管理數(shù)據(jù)庫的一 個(gè)例子的圖。圖5C是連接支持裝置管理的網(wǎng)關(guān)裝置地址管理數(shù)據(jù)庫的一個(gè)例子 的圖。圖5D是連接支持裝置管理的用戶會話管理數(shù)據(jù)庫的一個(gè)例子的圖。 圖6是利用用戶終端個(gè)體ID的遠(yuǎn)程訪問系統(tǒng)的一個(gè)例子的概略圖。 圖7是加密的通信路徑的一個(gè)例子的結(jié)構(gòu)圖。 圖8是利用隨機(jī)數(shù)的遠(yuǎn)程訪問系統(tǒng)的一個(gè)例子的概略圖。 圖9是由連接支持裝置進(jìn)行的網(wǎng)關(guān)裝置地址管理處理的一個(gè)例子的 說明圖。圖10是表示沒有終端類別判定時(shí)的連接支持裝置的處理的一個(gè)例 子的時(shí)序圖。圖11是表示有終端類別判定時(shí)的連接支持裝置的處理的一個(gè)例子的 時(shí)序圖。圖12是終端類別管理數(shù)據(jù)庫的一個(gè)例子的結(jié)構(gòu)圖。圖13是表示有終端類別判定且賦予了用戶終端個(gè)體ID時(shí)的連接支持裝置的處理的一個(gè)例子的時(shí)序圖。圖14是表示有終端類別判定且賦予了隨機(jī)數(shù)時(shí)的連接支持裝置的 處理的一個(gè)例子的時(shí)序圖。圖15是表示會話結(jié)束時(shí)的連接支持裝置的處理的一個(gè)例子的時(shí)序圖。圖16是示出本發(fā)明的遠(yuǎn)程訪問系統(tǒng)的第1實(shí)施例的結(jié)構(gòu)圖。 圖17是用戶認(rèn)證消息的一個(gè)例子的結(jié)構(gòu)圖。 圖18是防火墻控制消息的一個(gè)例子的結(jié)構(gòu)圖。
圖19是防火墻控制應(yīng)答消息的一個(gè)例子的結(jié)構(gòu)圖。圖20是應(yīng)答消息的一個(gè)例子的結(jié)構(gòu)圖。 圖21是重定向消息的一個(gè)例子的結(jié)構(gòu)圖。圖22是示出本發(fā)明的遠(yuǎn)程訪問系統(tǒng)的用戶注銷處理的說明圖。圖23是示出本發(fā)明的遠(yuǎn)程訪問系統(tǒng)的第2實(shí)施例的結(jié)構(gòu)圖。圖24是示出本發(fā)明的遠(yuǎn)程訪問系統(tǒng)的第3實(shí)施例的結(jié)構(gòu)圖。圖25是防火墻控制消息的一個(gè)例子的結(jié)構(gòu)圖。圖26是示出本發(fā)明的遠(yuǎn)程訪問系統(tǒng)的第4實(shí)施例的結(jié)構(gòu)圖。圖27是表示會話開始時(shí)的連接支持裝置的處理的一個(gè)例子的時(shí)序圖。圖28是表示會話結(jié)束時(shí)的連接支持裝置的處理的一個(gè)例子的時(shí)序圖。圖29是會話結(jié)束通知消息的一個(gè)例子的結(jié)構(gòu)圖。圖30是會話結(jié)束應(yīng)答消息的一個(gè)例子的結(jié)構(gòu)圖。圖31是示出本發(fā)明的遠(yuǎn)程訪問系統(tǒng)的第5實(shí)施例的結(jié)構(gòu)圖。圖32是利用隨機(jī)數(shù)的遠(yuǎn)程訪問系統(tǒng)的整體時(shí)序圖。圖33是利用隨機(jī)數(shù)的遠(yuǎn)程訪問系統(tǒng)的整體時(shí)序圖。圖34是利用隨機(jī)數(shù)的遠(yuǎn)程訪問系統(tǒng)的整體時(shí)序圖。標(biāo)號說明1:連接支持裝置；2、 2a、 2b:網(wǎng)關(guān)裝置；3:用戶終端；4:便攜 電話IP網(wǎng)關(guān)；11:用戶請求受理功能；12:用戶認(rèn)證功能；13:用戶連 接目的地管理功能；14:防火墻控制功能；15:用戶-網(wǎng)關(guān)裝置會話管理 功能；21:防火墻設(shè)定功能；22:用戶請求受理功能；23a、 23b: IP地 址取得功能；24: Web應(yīng)用；25: IP過濾器；26: ID過濾器；27:隨機(jī)數(shù)過濾器。
具體實(shí)施方式
圖3是本發(fā)明的遠(yuǎn)程訪問系統(tǒng)的一個(gè)例子的概略圖。圖3的遠(yuǎn)程訪 問系統(tǒng)構(gòu)成為，經(jīng)由預(yù)定的網(wǎng)絡(luò)連接了連接支持裝置l、網(wǎng)關(guān)裝置2和用 戶終端3。連接支持裝置1是用于支持用戶終端3連接到網(wǎng)關(guān)裝置2的裝置。在步驟S1中，用戶終端3向連接支持裝置1發(fā)送用戶認(rèn)證信息。連接支持裝置1利用所接收到的用戶認(rèn)證信息來進(jìn)行認(rèn)證。在認(rèn)證成功時(shí)，連接支持裝置1進(jìn)入到步驟S2，對網(wǎng)關(guān)裝置2進(jìn)行 控制請求，以許可來自用戶終端3的連接。網(wǎng)關(guān)裝置2根據(jù)來自連接支 持裝置l的控制請求，向用戶終端3賦予連接許可。進(jìn)入到步驟S3，網(wǎng) 關(guān)裝置2對連接支持裝置1進(jìn)行與控制請求相應(yīng)的應(yīng)答。進(jìn)入到步驟S4，連接支持裝置1向用戶終端3提供用于連接到網(wǎng)關(guān) 裝置2的連接信息。進(jìn)入到步驟S5，用戶終端3利用所提供的連接信息 來向網(wǎng)關(guān)裝置2進(jìn)行連接請求。網(wǎng)關(guān)裝置2向用戶終端3賦予連接許可， 從而許可來自用戶終端3的連接。在圖3的遠(yuǎn)程訪問系統(tǒng)中，連接支持裝置1可對網(wǎng)關(guān)裝置2進(jìn)行控 制，以許可來自認(rèn)證成功的用戶終端3的連接。從而，在圖3的遠(yuǎn)程訪 問系統(tǒng)中，連接支持裝置1對網(wǎng)關(guān)裝置2進(jìn)行控制，以在認(rèn)證成功后許 可來自用戶終端3的連接，從而可簡單且安全地實(shí)現(xiàn)從用戶終端3對網(wǎng) 關(guān)裝置2的遠(yuǎn)程訪問。并且，在圖3的遠(yuǎn)程訪問系統(tǒng)中，可從連接支持裝置1對認(rèn)證成功 的用戶終端3提供用于連接到網(wǎng)關(guān)裝置2的連接信息。從而，在圖3的 遠(yuǎn)程訪問系統(tǒng)中，因?yàn)橛蛇B接支持裝置1對用于連接到網(wǎng)關(guān)裝置2的連 接信息進(jìn)行管理，所以即使增加了網(wǎng)關(guān)裝置2的數(shù)量，也能容易地管理 信息。進(jìn)而，說明本發(fā)明的遠(yuǎn)程訪問系統(tǒng)。圖4是本發(fā)明的遠(yuǎn)程訪問系統(tǒng) 的一個(gè)例子的結(jié)構(gòu)圖。在圖4中，示出了連接支持裝置1及網(wǎng)關(guān)裝置2 的功能框圖、和連接支持裝置l、網(wǎng)關(guān)裝置2及用戶終端3之間的接口。連接支持裝置1構(gòu)成為包括用戶請求受理功能11、用戶認(rèn)證功能12、 用戶連接目的地管理功能13、防火墻控制功能14、和用戶-網(wǎng)關(guān)裝置會話 管理功能15。用戶請求受理功能11受理來自用戶終端3的請求。用戶認(rèn) 證功能12進(jìn)行用戶的認(rèn)證。用戶連接目的地管理功能13管理用戶終端3
的連接目的地的地址信息。防火墻控制功能14進(jìn)行網(wǎng)關(guān)裝置2的防火墻控制，以使用戶終端3連接到網(wǎng)關(guān)裝置2。用戶-網(wǎng)關(guān)裝置會話管理功能15對網(wǎng)關(guān)裝置2和用戶 終端3之間的會話進(jìn)行管理。網(wǎng)關(guān)裝置2構(gòu)成為包括防火墻設(shè)定功能21和用戶請求受理功能22。 防火墻設(shè)定功能21根據(jù)來自連接支持裝置1的請求，進(jìn)行防火墻設(shè)定。 用戶請求受理功能22受理來自用戶終端3的請求。在網(wǎng)關(guān)裝置2和用戶終端3之間，存在經(jīng)由連接支持裝置1的接口 和進(jìn)行直接連接的接口。連接支持裝置1具有圖5所示的數(shù)據(jù)庫。圖5是連接支持裝置管理的數(shù)據(jù)庫的一個(gè)例子的圖。圖5 (a)示出 了用戶認(rèn)證數(shù)據(jù)庫。圖5 (b)示出了用戶連接目的地地址管理數(shù)據(jù)庫。 圖5 (c)示出了網(wǎng)關(guān)裝置地址管理數(shù)據(jù)庫。另外，圖5 (d)示出了用戶 會話管理數(shù)據(jù)庫。圖5 (a)的用戶認(rèn)證數(shù)據(jù)庫將用戶ID和用戶認(rèn)證信息關(guān)聯(lián)起來進(jìn) 行管理。圖5 (b)的用戶連接目的地地址管理數(shù)據(jù)庫將用戶ID、網(wǎng)關(guān)裝 置2的識別符即HGW識別符、和用戶終端3的連接目的地地址關(guān)聯(lián)起 來進(jìn)行管理。圖5 (c)的網(wǎng)關(guān)裝置地址管理數(shù)據(jù)庫將HGW識別符和網(wǎng) 關(guān)裝置2的IP地址(HGW IP地址)關(guān)聯(lián)起來進(jìn)行管理。圖5 (d)的用戶會話管理數(shù)據(jù)庫將用戶ID、 HGW識別符和表示用 戶終端3連接的端口的應(yīng)用端口號關(guān)聯(lián)起來進(jìn)行管理。端口是用于識別 用戶終端3連接的應(yīng)用的識別符。圖6是利用用戶裝置個(gè)體ID的遠(yuǎn)程訪問系統(tǒng)的一個(gè)例子的概略圖。 在步驟Sll中，用戶終端3向連接支持裝置1發(fā)送用戶認(rèn)證信息和用戶 終端個(gè)體ID。在認(rèn)證成功時(shí)，連接支持裝置1進(jìn)入到步驟S12，向網(wǎng)關(guān)裝置2發(fā) 送包含用戶終端個(gè)體ID的防火墻控制信號，以許可來自用戶終端3的連 接。例如，用戶終端個(gè)體ID可以使用在從用戶終端3發(fā)送來的HTTP消 息內(nèi)的用戶代理(UserAgent)值中包含的信息。網(wǎng)關(guān)裝置2根據(jù)防火墻控制信號來進(jìn)行用于向用戶終端3施加連接
許可的設(shè)定。進(jìn)入到步驟S13，網(wǎng)關(guān)裝置2對連接支持裝置1進(jìn)行與防火墻控制信號相應(yīng)的應(yīng)答。進(jìn)入到步驟S14，連接支持裝置l向用戶終端3 發(fā)送包含有用于連接到網(wǎng)關(guān)裝置2的網(wǎng)關(guān)裝置連接信息的消息。從連接支持裝置1接收到包含網(wǎng)關(guān)裝置連接信息的消息時(shí)，進(jìn)入到 步驟S15，用戶終端3直接向網(wǎng)關(guān)裝置2發(fā)送包含用戶終端個(gè)體ID的 HTTP消息。網(wǎng)關(guān)裝置2對步驟S12中從連接支持裝置1接收到的用戶終 端個(gè)體ID和步驟S15中從用戶終端3接收到的用戶終端個(gè)體ID進(jìn)行比 對，從而可以認(rèn)證是合法的用戶利用合法的用戶終端3進(jìn)行連接。本發(fā)明的遠(yuǎn)程訪問系統(tǒng)還可以應(yīng)用于將用戶終端個(gè)體ID置換為用 戶個(gè)體ID的情況、和根據(jù)用戶終端個(gè)體ID和用戶個(gè)體ID這兩方來進(jìn)行 認(rèn)證的情況。對于用戶個(gè)體ID可以假設(shè)由裝到用戶終端3上的插裝型存 儲器等構(gòu)成的情況。在根據(jù)用戶個(gè)體ID進(jìn)行認(rèn)證的情況下，本發(fā)明的遠(yuǎn) 程訪問系統(tǒng)可應(yīng)用于可利用插裝型存儲器的各種終端。另外，在實(shí)際的通信中，當(dāng)以明文形式在互聯(lián)網(wǎng)上傳輸用戶終端個(gè) 體ID和用戶個(gè)體ID時(shí)，存在用戶隱私泄露的危險(xiǎn)性。因此，本發(fā)明的遠(yuǎn)程訪問系統(tǒng)假定單個(gè)運(yùn)營商內(nèi)的網(wǎng)絡(luò)或加密通信路徑上的應(yīng)用。例如，在以HTTPS (Hypertext Transfer Protocol Security,安全超文 本傳輸協(xié)議)進(jìn)行通信的情況下，用戶終端3使用戶終端個(gè)體ID、用戶 個(gè)體ID包含在HTTPS報(bào)頭的用戶代理值中，從而可對用戶終端個(gè)體ID、 用戶個(gè)體ID進(jìn)行加密后發(fā)送到連接支持裝置1或網(wǎng)關(guān)裝置2。圖7是加密的通信路徑的一個(gè)例子的結(jié)構(gòu)圖。例如，用戶終端3使 用戶終端個(gè)體ID、用戶個(gè)體ID包含在Web瀏覽器的用戶代理中，從而 可通過HTTPS向連接支持裝置1和網(wǎng)關(guān)裝置2發(fā)送用戶終端個(gè)體ID和 用戶個(gè)體ID。另外，可通過SSL或IPsec來對連接支持裝置1和網(wǎng)關(guān)裝 置2之間發(fā)送的防火墻控制信號進(jìn)行加密。圖8是利用隨機(jī)數(shù)的遠(yuǎn)程訪問系統(tǒng)的一個(gè)例子的概略圖。在步驟S21 中，用戶終端3向連接支持裝置1發(fā)送用戶認(rèn)證信息。在認(rèn)^E成功時(shí)， 連接支持裝置1產(chǎn)生唯一的隨機(jī)數(shù)。從安全保護(hù)上考慮，需要如32位的 隨機(jī)二進(jìn)制字符串那樣，根據(jù)不容易確定的方法來產(chǎn)生隨機(jī)數(shù)。進(jìn)入到
步驟S22，連接支持裝置1向網(wǎng)關(guān)裝置2發(fā)送包含隨機(jī)數(shù)的防火墻控制信 號。網(wǎng)關(guān)裝置2根據(jù)防火墻控制信號，進(jìn)行用于向用戶終端3賦予連接 許可的設(shè)定。進(jìn)入到步驟S23，網(wǎng)關(guān)裝置2對連接支持裝置1進(jìn)行與防火 墻控制信號相應(yīng)的應(yīng)答。進(jìn)入到步驟S24，連接支持裝置l向用戶終端3 發(fā)送包含隨機(jī)數(shù)的網(wǎng)關(guān)裝置連接信息。從連接支持裝置1接收包含隨機(jī)數(shù)的網(wǎng)關(guān)裝置連接信息時(shí)，進(jìn)入到 步驟S25，用戶終端3向網(wǎng)關(guān)裝置2直接發(fā)送包含隨機(jī)數(shù)的HTTP消息。 網(wǎng)關(guān)裝置2對步驟S22中從連接支持裝置1接收到的隨機(jī)數(shù)和步驟S25 中從用戶終端3接收到的隨機(jī)數(shù)進(jìn)行比對，從而可認(rèn)證合法的用戶利用 合法的用戶終端3進(jìn)行連接。利用隨機(jī)數(shù)的遠(yuǎn)程訪問系統(tǒng)不依賴于用戶 終端3的終端類別，所以可應(yīng)用于沒有附加用戶終端個(gè)體ID的各種終端。另外，在實(shí)際的通信中，與所述的利用用戶終端個(gè)體ID的遠(yuǎn)程訪問 系統(tǒng)相同，利用通過SSL或IPsec加密的通信路徑來進(jìn)行發(fā)送，從而可 維持保密性。本發(fā)明的遠(yuǎn)程訪問系統(tǒng)可根據(jù)用途進(jìn)行利用用戶終端個(gè)體 ID或隨機(jī)數(shù)的兩種連接支持。在本發(fā)明的遠(yuǎn)程訪問系統(tǒng)中，假定了遠(yuǎn)程訪問服務(wù)提供商保有連接 支持裝置1、在經(jīng)由互聯(lián)網(wǎng)等網(wǎng)絡(luò)而連接的家庭內(nèi)網(wǎng)絡(luò)或企業(yè)內(nèi)網(wǎng)絡(luò)等中 配置網(wǎng)關(guān)裝置2的情況。在現(xiàn)狀中，在多半情況下，分配給多個(gè)家庭的IPv4地址不是固定值， 而是由ISP (Internet Service Provider,互聯(lián)網(wǎng)服務(wù)提供商)動態(tài)分配。圖9是由連接支持裝置進(jìn)行的網(wǎng)關(guān)裝置地址管理處理的一個(gè)例子的 說明圖。圖9的遠(yuǎn)程訪問系統(tǒng)構(gòu)成為經(jīng)由預(yù)定的網(wǎng)絡(luò)連接了連接支持裝 置l、網(wǎng)關(guān)裝置2a、 2b和用戶終端3。網(wǎng)關(guān)裝置2a、 2b構(gòu)成為包括IP地址取得功能23a、 23b，在新分配 了 IP地址的情況下，對預(yù)先登記有連接支持裝置識別符和連接支持裝置 IP地址的連接支持裝置1發(fā)送變更后的IP地址(HGW IP地址)和HGW 識別符。連接支持裝置1根據(jù)從網(wǎng)關(guān)裝置2a、2b接收到的IP地址和HGW識
別符，更新上述網(wǎng)關(guān)裝置地址管理數(shù)據(jù)庫。這樣，即使在動態(tài)分配網(wǎng)關(guān)裝置2a、 2b的IP地址的情況下，連接支持裝置1也可以進(jìn)行網(wǎng)關(guān)裝置 2a、 2b的地址解析。接下來，以連接支持裝置1的處理為中心，說明本發(fā)明的遠(yuǎn)程訪問 系統(tǒng)的處理。圖IO是表示沒有終端類別判定時(shí)的連接支持裝置的處理的 一個(gè)例子的時(shí)序圖。在步驟S31中，用戶終端3向連接支持裝置1的用戶請求受理功能 11發(fā)送用戶認(rèn)證信息。用戶請求受理功能11利用用戶認(rèn)證功能12來進(jìn) 行認(rèn)證。在認(rèn)證成功時(shí)，用戶請求受理功能11進(jìn)入到步驟S32，向用戶 連接目的地管理功能13請求連接目的地列表檢索。進(jìn)入到步驟S33，用戶連接目的地管理功能13利用用戶連接目的地 地址管理數(shù)據(jù)庫來檢索用戶終端3的連接目的地列表，將該連接目的地列表作為應(yīng)答而發(fā)送到用戶請求受理功能11。并且，用戶請求受理功能 11進(jìn)入到步驟S34,向用戶終端3發(fā)送所接收到的連接目的地列表。在從連接支持裝置1接收到連接目的地列表時(shí)，用戶終端3在顯示 畫面上顯示連接目的地列表。用戶對用戶終端3進(jìn)行操作，從連接目的 地列表中選擇一個(gè)網(wǎng)關(guān)裝置2。進(jìn)入到步驟S35，用戶終端3向連接支持 裝置1的用戶請求受理功能11發(fā)送由用戶選擇的連接目的地。進(jìn)入到步驟S36，用戶請求受理功能11對防火墻控制功能14通知 連接目的地的網(wǎng)關(guān)裝置2。防火墻控制功能14利用網(wǎng)關(guān)裝置地址管理數(shù) 據(jù)庫來檢索網(wǎng)關(guān)裝置2的IP地址。進(jìn)入到步驟S37，防火墻控制功能14利用網(wǎng)關(guān)裝置2的IP地址來向 網(wǎng)關(guān)裝置2進(jìn)行控制請求。進(jìn)入到步驟S38，在網(wǎng)關(guān)裝置2向用戶終端3 賦予了連接許可時(shí)，對連接支持裝置1的防火墻控制功能14進(jìn)行與控制 請求相應(yīng)的應(yīng)答。進(jìn)入到步驟S39，用戶-網(wǎng)關(guān)裝置會話管理功能15向用 戶會話管理數(shù)據(jù)庫中登記網(wǎng)關(guān)裝置2和用戶終端3之間的會話以進(jìn)行管 理。進(jìn)入到步驟S40，防火墻控制功能14對用戶連接目的地管理功能13 進(jìn)行應(yīng)答。用戶連接目的地管理功能13利用用戶連接目的地地址管理數(shù)
據(jù)庫來檢索連接目的地的地址信息(網(wǎng)關(guān)裝置2的連接地址)，向用戶請 求受理功能11發(fā)送該地址信息。進(jìn)入到步驟S42，用戶請求受理功能11將連接目的地的地址信息作為網(wǎng)關(guān)裝置連接信息而發(fā)送到用戶終端3。在接收到網(wǎng)關(guān)裝置連接信息時(shí)，用戶終端3可利用網(wǎng)關(guān)裝置連接信 息而連接到網(wǎng)關(guān)裝置2。圖11是表示有終端類別判定時(shí)的連接支持裝置的處理的一個(gè)例子的時(shí)序圖。另外，圖11的時(shí)序圖除一部分之外與圖10的時(shí)序圖相同，所 以適當(dāng)省略其說明。步驟S51 S55的處理與圖10的步驟S31 S35的處理相同，所以省 略其說明。進(jìn)入到步驟S56,用戶請求受理功能11對防火墻控制功能4 通知連接目的地的網(wǎng)關(guān)裝置2和用戶終端3的終端類別。另外，用戶請 求受理功能11可提取出用戶終端3的終端類別。防火墻控制功能14具有圖12那樣的終端類別管理數(shù)據(jù)庫。圖12是 終端類別管理數(shù)據(jù)庫的一個(gè)例子的結(jié)構(gòu)圖。圖12的終端類別管理數(shù)據(jù)庫 將終端類別、后述便攜電話IP網(wǎng)關(guān)裝置或用戶終端3的IP地址關(guān)聯(lián)起來 進(jìn)行管理。防火墻控制功能14利用終端類別管理數(shù)據(jù)庫，檢索便攜電話IP網(wǎng) 關(guān)裝置或用戶終端3的IP地址。并且，防火墻控制功能"利用網(wǎng)關(guān)裝 置地址管理數(shù)據(jù)庫，檢索網(wǎng)關(guān)裝置2的IP地址。進(jìn)入到步驟S57,防火墻控制功能14利用網(wǎng)關(guān)裝置2的IP地址，對 網(wǎng)關(guān)裝置2進(jìn)行與用戶終端3的終端類別相應(yīng)的控制請求。進(jìn)入到步驟 S58，網(wǎng)關(guān)裝置2在向用戶終端3賦予了連接許可之后，對連接支持裝置 1的防火墻控制功能14進(jìn)行與控制請求相應(yīng)的應(yīng)答。進(jìn)入到步驟S59， 用戶-網(wǎng)關(guān)裝置會話管理功能15向用戶會話管理數(shù)據(jù)庫中登記網(wǎng)關(guān)裝置2 與便攜電話IP網(wǎng)關(guān)裝置或用戶終端3之間的會話以進(jìn)行管理。步驟S60 S62的處理與圖10的步驟S40 S42的處理相同，所以省略其說明。圖13是有終端類別判定且附加了用戶終端個(gè)體ID時(shí)的連接支持裝 置的處理的一個(gè)例子的時(shí)序圖。另外，圖13的時(shí)序圖除一部分以外與圖
ll的時(shí)序圖相同，所以適當(dāng)省略其說明。步驟S71 S75的處理與圖11的步驟S51 55的處理相同，所以省 略其說明。進(jìn)入到步驟S76，用戶請求受理功能11對防火墻控制功能14 通知連接目的地的網(wǎng)關(guān)裝置2、用戶終端3的終端類別以及用戶終端個(gè)體 ID。另外，用戶請求受理功能11可提取出用戶終端3的終端類別和用戶 終端個(gè)體ID。防火墻控制功能14利用圖12所示那樣的終端類別管理數(shù)據(jù)庫，檢 索便攜電話IP網(wǎng)關(guān)裝置或用戶終端3的IP地址。并且，防火墻控制功能 14利用網(wǎng)關(guān)裝置地址管理數(shù)據(jù)庫，檢索網(wǎng)關(guān)裝置2的IP地址。進(jìn)入到步驟S77，防火墻控制功能14利用網(wǎng)關(guān)裝置2的IP地址，對 網(wǎng)關(guān)裝置2進(jìn)行與用戶終端3的終端類別相應(yīng)的控制請求。另外，在步 驟S77中，對網(wǎng)關(guān)裝置2通知用戶終端個(gè)體ID。步驟S78 S82的處理與圖11的步驟S58 S62的處理相同，所以省 略其說明。圖14是表示有終端類別判定且附加了隨機(jī)數(shù)時(shí)的連接支持裝置的 處理的一個(gè)例子的時(shí)序圖。另外，圖14的時(shí)序圖除一部分之外與圖13 的時(shí)序圖相同，所以適當(dāng)省略其說明。步驟S85 S89的處理與圖13的步驟S71 S75的處理相同，所以省 略其說明。進(jìn)入到步驟S90，用戶請求受理功能11對防火墻控制功能14， 通知連接目的地的網(wǎng)關(guān)裝置2、用戶終端3的終端類別和隨機(jī)數(shù)。另外， 用戶請求受理功能11可提取出用戶終端3的終端類別。并且，用戶請求 受理功能11可產(chǎn)生唯一的隨機(jī)數(shù)。防火墻控制功能14利用圖12所示那樣的終端類別管理數(shù)據(jù)庫，檢 索便攜電話IP網(wǎng)關(guān)裝置或用戶終端3的IP地址。并且，防火墻控制功能 14利用網(wǎng)關(guān)裝置地址管理數(shù)據(jù)庫，檢索網(wǎng)關(guān)裝置2的IP地址。進(jìn)入到步驟S91 ，防火墻控制功能14利用網(wǎng)關(guān)裝置2的IP地址，對 網(wǎng)關(guān)裝置2進(jìn)行與用戶終端3的終端類別相應(yīng)的控制請求。另外，在步 驟S91中，對網(wǎng)關(guān)裝置2通知隨機(jī)數(shù)。步驟S92 S95的處理與圖13的步驟S78 S81相同，所以省略其說
明。進(jìn)入到步驟S96，用戶請求受理功能ll將連接目的地的地址信息和 隨機(jī)數(shù)作為網(wǎng)關(guān)裝置連接信息而發(fā)送到用戶終端3。圖15是表示會話結(jié)束時(shí)的連接支持裝置的處理的一個(gè)例子的時(shí)序圖。例如，當(dāng)存在來自用戶終端3的注銷請求時(shí)，網(wǎng)關(guān)裝置2進(jìn)入到步 驟S97，向連接支持裝置1的用戶-網(wǎng)關(guān)裝置會話管理功能15通知會話結(jié) 束。在被通知了會話結(jié)束時(shí)，用戶-網(wǎng)關(guān)裝置會話管理功能15進(jìn)入到步 驟S98，從用戶會話管理數(shù)據(jù)庫中刪除網(wǎng)關(guān)裝置2和用戶終端3之間的會 話。然后，進(jìn)入到步驟S99，用戶-網(wǎng)關(guān)裝置會話管理功能15對用戶連接 目的地管理功能13進(jìn)行應(yīng)答。以下，以通過連接支持裝置1和網(wǎng)關(guān)裝置2之間的協(xié)作來進(jìn)行的防 火墻控制為中心，說明本發(fā)明的遠(yuǎn)程訪問系統(tǒng)的實(shí)施例。實(shí)施例1圖16是示出本發(fā)明的遠(yuǎn)程訪問系統(tǒng)的第1實(shí)施例的結(jié)構(gòu)圖。在實(shí)施 例1的遠(yuǎn)程訪問系統(tǒng)中，說明用戶終端3具有IP地址的例子。進(jìn)入到步驟S100，用戶終端3例如利用圖17的用戶認(rèn)證消息，向 連接支持裝置1發(fā)送用于基本(Basic)認(rèn)證的用戶ID、 口令和用戶終端 個(gè)體ID。另外，利用通過SSL加密的通信路徑來進(jìn)行發(fā)送，從而對用戶 ID、 口令和用戶終端個(gè)體ID進(jìn)行加密后發(fā)送到連接支持裝置1。在認(rèn)證成功時(shí)，連接支持裝置1也可以參照圖5 (b)所示的用戶連 接目的地地址管理數(shù)據(jù)庫，向用戶終端3通知連接目的地列表。此時(shí)， 用戶可從連接目的地列表中選擇一個(gè)網(wǎng)關(guān)裝置2。另外，在作為參照用戶連接目的地地址管理數(shù)據(jù)庫的結(jié)果，與用戶 ID相關(guān)聯(lián)的網(wǎng)關(guān)裝置2為1個(gè)的情況下，也可以不向用戶終端3通知連 接目的地列表。進(jìn)入到步驟S101，連接支持裝置1例如利用圖18的防火墻控制消 息，向網(wǎng)關(guān)裝置2發(fā)送防火墻控制信號。另外，SIPS (Session Initiation Protocol Security,安全會話啟動協(xié)議)是可進(jìn)行加密的通信協(xié)議的一個(gè) 例子。網(wǎng)關(guān)裝置2開放由防火墻控制信號通知的端口號(防火墻控制端口號)。例如，網(wǎng)關(guān)裝置2開放HTTPS 443號的端口。并且，網(wǎng)關(guān)裝置2 對IP過濾器25進(jìn)行防火墻通過設(shè)定，以使用戶終端3的IP地址通過。 進(jìn)而，網(wǎng)關(guān)裝置2對ID過濾器26進(jìn)行防火墻通過設(shè)定，以使由防火墻 控制信號通知的用戶終端個(gè)體ID通過。進(jìn)入到步驟S102，網(wǎng)關(guān)裝置2例如向連接支持裝置1發(fā)送圖19所 示那樣的防火墻控制應(yīng)答消息。另外，連接支持裝置1也可以使用基于 SIPS協(xié)議的一個(gè)例子的處理序列，向網(wǎng)關(guān)裝置2回應(yīng)針對SIPS應(yīng)答消息 的接收的確認(rèn)應(yīng)答(ACK)。進(jìn)入到步驟S103，連接支持裝置1例如利用圖20的應(yīng)答消息，向 用戶終端3通知用戶終端3連接到網(wǎng)關(guān)裝置2用的連接信息(URL鏈路<曰息)o在用戶選擇了URL鏈路信息的情況下,用戶終端3進(jìn)入到步驟S104， 向從連接支持裝置1通知的URL鏈路信息附加用戶終端個(gè)體ID，向網(wǎng)關(guān) 裝置2發(fā)送包含用戶終端個(gè)體ID的HTTPS消息。被發(fā)送到網(wǎng)關(guān)裝置2 的包含用戶終端個(gè)體ID的HTTPS消息通過開放的端口、進(jìn)行了防火墻 通過設(shè)定的IP過濾器25和ID過濾器26，被發(fā)送到Web應(yīng)用24。艮口，用戶終端3可與網(wǎng)關(guān)裝置2的Web應(yīng)用24連接。另外，連接 支持裝置1還可以使用如圖21所示那樣的重定向消息，以代替圖20所 示的應(yīng)答消息。在使用圖21那樣的重定向消息的情況下，用戶終端3可 以通過一次選擇網(wǎng)關(guān)裝置2而連接到網(wǎng)關(guān)裝置2。圖22是示出本發(fā)明的遠(yuǎn)程訪問系統(tǒng)的用戶注銷處理的說明圖。在用 戶對Web應(yīng)用24進(jìn)行了注銷時(shí)，網(wǎng)關(guān)裝置2關(guān)閉所開放的端口。例如， 網(wǎng)關(guān)裝置2關(guān)閉HTTPS 443號端口 。且，網(wǎng)關(guān)裝置2解除對IP過濾器25和ID過濾器26進(jìn)行的防火 墻通過設(shè)定。然后，網(wǎng)關(guān)裝置2向連接支持裝置1通知與用戶終端3之 間的會話結(jié)束。實(shí)施例2圖23是示出本發(fā)明的遠(yuǎn)程訪問系統(tǒng)的第2實(shí)施例的結(jié)構(gòu)圖。在實(shí)施
例2的遠(yuǎn)程訪問系統(tǒng)中，說明用戶終端3具有IP地址的例子。另外，圖23的遠(yuǎn)程訪問系統(tǒng)的處理除一部分以外與圖16的遠(yuǎn)程訪 問系統(tǒng)的處理相同，所以適當(dāng)省略其說明。進(jìn)入到步驟S110,用戶終端 3利用用戶認(rèn)證消息，向連接支持裝置1發(fā)送用于基礎(chǔ)認(rèn)證的用戶ID和 口令。另外，在實(shí)施例2中利用的用戶認(rèn)證消息是從圖17的用戶認(rèn)證消 息中除去用戶終端個(gè)體ID而成的消息。在認(rèn)證成功后，連接支持裝置1產(chǎn)生唯一的隨機(jī)數(shù)。進(jìn)入到步驟 Slll，連接支持裝置1利用防火墻控制消息，向網(wǎng)關(guān)裝置2發(fā)送防火墻 控制信號。另外，在實(shí)施例2中利用的防火墻控制消息是將圖18的防火 墻控制消息的用戶終端個(gè)體ID置換為隨機(jī)數(shù)而成的消息。網(wǎng)關(guān)裝置2開放由防火墻控制信號通知的端口號。并且，網(wǎng)關(guān)裝置 2對IP過濾器25進(jìn)行防火墻通過設(shè)定，以使用戶終端3的IP地址通過。 另外，網(wǎng)關(guān)裝置2對隨機(jī)數(shù)過濾器27進(jìn)行防火墻通過設(shè)定，以使由防火 墻控制信號通知的隨機(jī)數(shù)通過。進(jìn)入到步驟S112，網(wǎng)關(guān)裝置2例如向連接支持裝置1發(fā)送圖19那 樣的防火墻控制應(yīng)答消息。進(jìn)入到步驟SH3，連接支持裝置l利用應(yīng)答 消息，向用戶終端3通知用戶終端3連接到網(wǎng)關(guān)裝置2用的連接信息(URL 鏈路信息)。另夕卜，在實(shí)施例2中利用的應(yīng)答消息是在圖20的應(yīng)答消息中包含的 URL之后附加隨機(jī)數(shù)而成的消息。進(jìn)入到步驟S114，用戶終端3向網(wǎng)關(guān) 裝置2發(fā)送包含從連接支持裝置1通知的URL鏈路信息的HTTPS消息。被發(fā)送到網(wǎng)關(guān)裝置2的包含URL鏈路信息的HTTPS消息通過開放 的端口、進(jìn)行了防火墻通過設(shè)定的IP過濾器25和隨機(jī)數(shù)過濾器27，被 發(fā)送到Web應(yīng)用24。艮口，用戶終端3可與網(wǎng)關(guān)裝置2的Web應(yīng)用24連接。另外，連接 支持裝置1還可以使用重定向消息，以代替應(yīng)答消息。在實(shí)施例2中利 用的重定向消息是將圖21的重定向消息的用戶終端個(gè)體ID置換為隨機(jī) 數(shù)而成的消息。在用戶對Web應(yīng)用24進(jìn)行了注銷時(shí)，網(wǎng)關(guān)裝置2關(guān)閉所幵放的端
口。并且，網(wǎng)關(guān)裝置2解除對IP過濾器25和隨機(jī)數(shù)過濾器27進(jìn)行的防 火墻通過設(shè)定。然后，網(wǎng)關(guān)裝置2向連接支持裝置1通知與用戶終端3之間的會話結(jié)束。實(shí)施例3圖24是示出本發(fā)明的遠(yuǎn)程訪問系統(tǒng)的第3實(shí)施例的結(jié)構(gòu)圖。在實(shí)施 例3的遠(yuǎn)程訪問系統(tǒng)中，說明用戶終端3是不具有IP地址的、例如便攜 電話等的例子。進(jìn)入到步驟S120，用戶終端3例如利用圖17的用戶認(rèn)證消息，向 連接支持裝置1發(fā)送用于基礎(chǔ)認(rèn)證的用戶ID和口令、以及用戶終端個(gè)體 ID和終端收容運(yùn)營商名。連接支持裝置1提取出在用戶認(rèn)證消息的用戶代理值中包含的終端 收容運(yùn)營商名。連接支持裝置1保持有將終端收容運(yùn)營商名和便攜電話 IP網(wǎng)關(guān)裝置4具有的IP地址關(guān)聯(lián)起來的地址列表。在認(rèn)證成功時(shí)，連接支持裝置1進(jìn)入到步驟S121，利用圖25的防 火墻控制消息，向網(wǎng)關(guān)裝置2發(fā)送防火墻控制信號。圖25的防火墻控制 消息包含地址列表和用戶終端個(gè)體ID。網(wǎng)關(guān)裝置2幵放由防火墻控制信號通知的端口號。并且，網(wǎng)關(guān)裝置 2對IP過濾器25進(jìn)行防火墻通過設(shè)定，以使地址列表中包含的便攜電話 IP網(wǎng)關(guān)裝置4具有的一個(gè)以上的IP地址通過。另外，網(wǎng)關(guān)裝置2對ID過濾器26進(jìn)行防火墻通過設(shè)定，以使由防 火墻控制信號通知的用戶終端個(gè)體ID通過。進(jìn)入到步驟S122，網(wǎng)關(guān)裝置2例如向連接支持裝置1發(fā)送圖19那 樣的防火墻控制應(yīng)答消息。進(jìn)入到步驟S123，連接支持裝置l例如利用 圖20的應(yīng)答消息，向用戶終端3通知用戶終端3連接到網(wǎng)關(guān)裝置2用的 UTRL鏈路信息。在由用戶選擇了 URL鏈路信息的情況下，用戶終端3進(jìn)入到步驟 S124，向從連接支持裝置1通知的URL鏈路信息附加用戶終端個(gè)體ID， 向網(wǎng)關(guān)裝置2發(fā)送包含用戶終端個(gè)體ID的HTTPS消息。另外，由于用 戶終端3不具有IP地址，所以使用便攜電話IP網(wǎng)關(guān)裝置4具有的IP地
址中的 一個(gè)來連接到網(wǎng)關(guān)裝置2 。然后，被發(fā)送到網(wǎng)關(guān)裝置2的包含用戶終端個(gè)體ID的HTTPS消息 通過開放的端口 、進(jìn)行了防火墻通過設(shè)定的IP過濾器25和ID過濾器26 而發(fā)送到Web應(yīng)用24。艮口 ，用戶終端3可經(jīng)由便攜電話IP網(wǎng)關(guān)裝置4與網(wǎng)關(guān)裝置2的Web 應(yīng)用24連接。另外，連接支持裝置1還可以使用圖21的重定向消息， 以代替圖20的應(yīng)答消息。在用戶對Web應(yīng)用24進(jìn)行了注銷時(shí)，網(wǎng)關(guān)裝置2關(guān)閉所開放的端 口。并且，網(wǎng)關(guān)裝置2解除對IP過濾器25和ID過濾器26進(jìn)行的防火 墻通過設(shè)定。然后，網(wǎng)關(guān)裝置2向連接支持裝置1通知與用戶終端3之 間的會話結(jié)束。另外，網(wǎng)關(guān)裝置2在確認(rèn)出用戶終端3在通信中使用的IP地址時(shí)， 對地址列表中包含的用戶終端3未在通信中使用的IP地址解除防火墻通 過設(shè)定。實(shí)施例4圖26是示出本發(fā)明的遠(yuǎn)程訪問系統(tǒng)的第4實(shí)施例的結(jié)構(gòu)圖。在實(shí)施 例4的遠(yuǎn)程訪問系統(tǒng)中，說明用戶終端3是不具有IP地址的、例如便攜 電話等的例子。另外，由于圖24的遠(yuǎn)程訪問系統(tǒng)的處理除一部分以外與圖23的遠(yuǎn) 程訪問系統(tǒng)的處理相同，所以適當(dāng)省略其說明。進(jìn)入到步驟S130，用戶 終端3利用用戶認(rèn)證消息，向連接支持裝置1發(fā)送用于基礎(chǔ)認(rèn)證的用戶 ID、 口令和終端收容運(yùn)營商名。連接支持裝置1提取出在用戶認(rèn)證消息的用戶代理值中包含的終端 收容運(yùn)營商名。連接支持裝置1保持有將終端收容運(yùn)營商名和便攜電話 IP網(wǎng)關(guān)裝置4具有的IP地址關(guān)聯(lián)起來的地址列表。在認(rèn)證成功后，連接支持裝置1產(chǎn)生唯一的隨機(jī)數(shù)。連接支持裝置 1進(jìn)入到步驟S131，利用防火墻控制消息，向網(wǎng)關(guān)裝置2發(fā)送防火墻控 制信號。另外，在實(shí)施例4中利用的防火墻控制消息是將圖25的防火墻 控制消息的用戶終端個(gè)體ID置換為隨機(jī)數(shù)而成的消息。
網(wǎng)關(guān)裝置2開放由防火墻控制信號通知的端口號。并且，網(wǎng)關(guān)裝置2對IP過濾器25進(jìn)行防火墻通過設(shè)定，以使地址列表中包含的便攜電話 IP網(wǎng)關(guān)裝置4具有的一個(gè)以上的IP地址通過。另外，網(wǎng)關(guān)裝置2對隨機(jī)數(shù)過濾器27進(jìn)行防火墻通過設(shè)定，以使由 防火墻控制信號通知的隨機(jī)數(shù)通過。進(jìn)入到步驟S132，網(wǎng)關(guān)裝置2例如向連接支持裝置1發(fā)送圖19那 樣的防火墻控制應(yīng)答消息。進(jìn)入到步驟S133，連接支持裝置l利用應(yīng)答 消息，向用戶終端3通知用戶終端3連接到網(wǎng)關(guān)裝置2用的URL鏈路信 自/K、 o另外，在實(shí)施例4中利用的應(yīng)答消息是在圖20的應(yīng)答消息中包含的 URL之后附加隨機(jī)數(shù)而成的消息。進(jìn)入到步驟S134，用戶終端3向網(wǎng)關(guān) 裝置2發(fā)送包含從連接支持裝置1通知的URL鏈路信息的HTTPS消息。然后，被發(fā)送到網(wǎng)關(guān)裝置2的包含URL鏈路信息的HTTPS消息通 過開放的端口、進(jìn)行了防火墻通過設(shè)定的IP過濾器25和隨機(jī)數(shù)過濾器 27而發(fā)送到Web應(yīng)用24。艮口，用戶終端3可經(jīng)由便攜電話IP網(wǎng)關(guān)裝置4與網(wǎng)關(guān)裝置2的Web 應(yīng)用24連接。另外，連接支持裝置l還可以使用重定向消息，以代替應(yīng) 答消息。在實(shí)施例4中利用的重定向消息是將圖21的重定向消息的用戶 終端個(gè)體ID置換為隨機(jī)數(shù)而成的消息。在用戶對Web應(yīng)用24進(jìn)行了注銷時(shí)，網(wǎng)關(guān)裝置2關(guān)閉所開放的端 口。并且，網(wǎng)關(guān)裝置2解除對IP過濾器25和隨機(jī)數(shù)過濾器27進(jìn)行的防 火墻通過設(shè)定。然后，網(wǎng)關(guān)裝置2向連接支持裝置1通知與用戶終端3 之間的會話結(jié)束。另外，網(wǎng)關(guān)裝置2在確認(rèn)出用戶終端3在通信中使用的IP地址時(shí)， 對地址列表中包含的用戶終端3未在通信中使用的IP地址解除防火墻通 過設(shè)定。實(shí)施例5此處，將上述第3實(shí)施例的遠(yuǎn)程訪問系統(tǒng)作為例子，說明對網(wǎng)關(guān)裝 置2和用戶終端3之間的會話進(jìn)行管理的處理。圖27是表示會話開始時(shí)
的連接支持裝置的處理的一個(gè)例子的時(shí)序圖。另外，圖27的遠(yuǎn)程訪問系統(tǒng)的處理除一部分以外與圖24的處理相同，所以適當(dāng)省略其說明。步驟S140 S142的處理與圖24的步驟S120 S122的處理相同。在 步驟S142中，在從網(wǎng)關(guān)裝置2接收到圖19那樣的防火墻控制應(yīng)答消息 后，將作為防火墻控制對象的用戶的用戶ID、網(wǎng)關(guān)裝置2的HGW識別 符、和表示用戶終端3連接的端口的端口號作為新的會話而登記到用戶 會話管理數(shù)據(jù)庫中。在本實(shí)施例中，以防火墻控制應(yīng)答消息的接收作為契機(jī)而開始會話， 但也可以將從用戶終端3向網(wǎng)關(guān)裝置2的連接作為契機(jī)，通過從網(wǎng)關(guān)裝 置2對連接支持裝置1進(jìn)行通知而開始會話。以后的處理與圖24相同。圖28是表示會話結(jié)束時(shí)的連接支持裝置的處理的一個(gè)例子的時(shí)序 圖。例如，在存在來自用戶終端3的注銷請求時(shí)，網(wǎng)關(guān)裝置2向連接支 持裝置1發(fā)送圖29那樣的會話結(jié)束通知消息。連接支持裝置1根據(jù)所接收到的會話結(jié)束通知消息中包含的用戶 ID、 HGW識別符和端口號，從用戶會話管理數(shù)據(jù)庫中刪除網(wǎng)關(guān)裝置2和 用戶終端3之間的會話。在從用戶會話管理數(shù)據(jù)庫中刪除了網(wǎng)關(guān)裝置2和用戶終端3之間的 會話后，連接支持裝置1向網(wǎng)關(guān)裝置2發(fā)送圖30那樣的會話結(jié)束應(yīng)答消息o另外，在如實(shí)施例5那樣對會話進(jìn)行管理時(shí)，需要避免網(wǎng)關(guān)裝置2 強(qiáng)行結(jié)束而連接支持裝置1錯(cuò)誤地繼續(xù)管理會話的情況。因此，連接支持裝置1也可以定期地對網(wǎng)關(guān)裝置2發(fā)送防火墻更新 消息來確認(rèn)會話的狀態(tài)，該防火墻更新消息包含用戶ID、用戶終端個(gè)體 ID和防火墻控制端口號等。在有來自網(wǎng)關(guān)裝置2的防火墻更新應(yīng)答消息的情況下，可視為連接 支持裝置1保持會話。另一方面，在沒有防火墻更新應(yīng)答消息的情況下， 視為連接支持裝置1結(jié)束了會話，從用戶會話管理數(shù)據(jù)庫中刪除網(wǎng)關(guān)裝 置2和用戶終端3之間的會話。這樣，連接支持裝置1能夠可靠地管理 會話。 另外，可使用與防火墻控制消息和防火墻控制應(yīng)答消息同等的消息 來實(shí)現(xiàn)防火墻更新消息和防火墻更新應(yīng)答消息。網(wǎng)關(guān)裝置2在最初接收 到該消息時(shí)，視為防火墻控制，在再次接收到時(shí)，視為防火墻更新。通過這樣的連接支持裝置1的會話管理，在本實(shí)施例的遠(yuǎn)程訪問系 統(tǒng)中，還可以實(shí)現(xiàn)每個(gè)用戶的與遠(yuǎn)程訪問時(shí)間相應(yīng)的計(jì)費(fèi)等。實(shí)施例6圖31是示出本發(fā)明的遠(yuǎn)程訪問系統(tǒng)的第5實(shí)施例的結(jié)構(gòu)圖。在實(shí)施 例5的遠(yuǎn)程訪問系統(tǒng)中，說明進(jìn)行與終端類別和終端收容運(yùn)營商類別相 應(yīng)的防火墻控制的例子。連接支持裝置1具有用戶代理管理數(shù)據(jù)庫。連接支持裝置1接收包 含有用戶認(rèn)證信息的消息，在用戶選擇了連接目的地的網(wǎng)關(guān)裝置時(shí)，檢 索在所接收到的消息中包含的用戶代理值。在本實(shí)施例中，在用戶代理值為A運(yùn)營商或B運(yùn)營商的便攜電話的 情況下，連接支持裝置1對網(wǎng)關(guān)裝置2發(fā)送包含便攜電話IP網(wǎng)關(guān)裝置具 有的IP地址的防火墻控制消息。另一方面，在用戶代理值既不是A運(yùn)營 商的便攜電話也不是B運(yùn)營商的便攜電話的情況下，連接支持裝置1判 斷為用戶終端3具有IP地址，對網(wǎng)關(guān)裝置2發(fā)送包含用戶終端3的IP地 址的防火墻控制消息。從而，在實(shí)施例5的遠(yuǎn)程訪問系統(tǒng)中，可由一個(gè)連接支持裝置1實(shí) 現(xiàn)與終端類別和終端收容運(yùn)營商類別相應(yīng)的防火墻控制。 (本發(fā)明的遠(yuǎn)程訪問系統(tǒng)的總體處理序列)圖32 圖34是利用隨機(jī)數(shù)的遠(yuǎn)程訪問系統(tǒng)的總體處理序列。另外， 在圖32 34中，連接支持裝置1的Web服務(wù)器部相當(dāng)于圖4的用戶請求 受理功能ll、用戶認(rèn)證功能12、用戶連接目的地管理功能13， FW控制 部相當(dāng)于防火墻控制功能14、用戶-網(wǎng)關(guān)裝置會話管理功能15。并且，在 圖32 圖34中，網(wǎng)關(guān)裝置2的FW設(shè)定部相當(dāng)于防火墻設(shè)定功能21， Web服務(wù)器部相當(dāng)于用戶請求受理功能22。進(jìn)而，在圖32 圖34中， 設(shè)備5相當(dāng)于進(jìn)行上述遠(yuǎn)程訪問的設(shè)備。圖32是表示連接支持裝置中的直到隨機(jī)數(shù)分配為止的處理的時(shí)序
圖。在步驟S200 S203中，進(jìn)行用戶終端3的認(rèn)證。在步驟S204 S205 中，向用戶終端3發(fā)送連接目的地列表，向連接支持裝置1通知由用戶 選擇的連接目的地。在步驟S206中，分配唯一的隨機(jī)數(shù)(例如，會話ID)。 圖33是表示用戶終端具有IP地址時(shí)的隨機(jī)數(shù)分配后的處理的時(shí)序 圖。在步驟S207 S209中，從連接支持裝置1向網(wǎng)關(guān)裝置2發(fā)送防火墻 控制消息。在步驟S210 S212中，進(jìn)行防火墻通過設(shè)定以許可來自用戶終端3 的連接。在步驟S213中，從網(wǎng)關(guān)裝置2向連接支持裝置1發(fā)送防火墻控 制應(yīng)答消息。在步驟S214中，從連接支持裝置l向網(wǎng)關(guān)裝置2發(fā)送針對 于SIPS應(yīng)答消息接收的ACK。在步驟S215 S216中，從連接支持裝置1向用戶終端3發(fā)送URL 鏈路信息。另外，在URL鏈路信息中，附加有隨機(jī)數(shù)。在步驟S217 S219 中，從用戶終端3向網(wǎng)關(guān)裝置2發(fā)送包含URL鏈路信息的HTTPS消息。被發(fā)送到網(wǎng)關(guān)裝置2的包含URL鏈路信息的HTTPS消息通過開放 的端口 、進(jìn)行了防火墻通過設(shè)定的IP過濾器和隨機(jī)數(shù)過濾器而到達(dá)Web 服務(wù)器部。在步驟S220 S222中，進(jìn)行對設(shè)備5的遠(yuǎn)程訪問。在步驟S223 S227中，進(jìn)行注銷，所以網(wǎng)關(guān)裝置2關(guān)閉所開放的端口，解除對IP過濾 器和隨機(jī)數(shù)過濾器進(jìn)行的防火墻通過設(shè)定。然后，網(wǎng)關(guān)裝置2向連接支持裝置1通知與用戶終端3之間的會話 結(jié)束。并且，從連接支持裝置1向網(wǎng)關(guān)裝置2發(fā)送針對會話結(jié)束的ACK。圖34是表示用戶終端為便攜電話時(shí)的隨機(jī)數(shù)分配后的處理的時(shí)序 圖。在步驟S307 S309中，從連接支持裝置l向網(wǎng)關(guān)裝置2發(fā)送防火墻 控制消息。另外，GW前綴列表相當(dāng)于上述地址列表。在步驟S310 S312中，進(jìn)行防火墻通過設(shè)定以許可來自用戶終端3 的連接。在步驟S313中，從網(wǎng)關(guān)裝置2向連接支持裝置1發(fā)送防火墻控 制應(yīng)答消息。在步驟S314中，從連接支持裝置1向網(wǎng)關(guān)裝置2發(fā)送針對 于SIPS應(yīng)答消息接收的ACK。在步驟S315 S316中，從連接支持裝置1向用戶終端3發(fā)送URL 鏈路信息。另外，在URL鏈路信息中，附加有隨機(jī)數(shù)。在步驟S317 S319 中，從用戶終端3向網(wǎng)關(guān)裝置2發(fā)送包含URL鏈路信息的HTTPS消息。 被發(fā)送到網(wǎng)關(guān)裝置2的包含URL鏈路信息的HTTPS消息通過開放 的端口 、進(jìn)行了防火墻通過設(shè)定的IP過濾器和隨機(jī)數(shù)過濾器而到達(dá)Web 服務(wù)器部。在步驟S320 S324中，進(jìn)行對設(shè)備5的遠(yuǎn)程訪問。另外，在步驟 S321、 S322中，在確認(rèn)出用戶終端3在通信中使用的IP地址時(shí)，對包含 在GW前綴列表中的未在通信中使用的IP地址解除防火墻通過設(shè)定。在步驟S325 S329中，進(jìn)行注銷，所以網(wǎng)關(guān)裝置2關(guān)閉所開放的端 口 ，解除對IP過濾器和隨機(jī)數(shù)過濾器進(jìn)行的防火墻通過設(shè)定。然后，網(wǎng)關(guān)裝置2向連接支持裝置1通知與用戶終端3之間的會話 結(jié)束。并且，從連接支持裝置1向網(wǎng)關(guān)裝置2發(fā)送針對會話結(jié)束的ACK。 (本發(fā)明的遠(yuǎn)程訪問系統(tǒng)的效果)在本發(fā)明的遠(yuǎn)程訪問系統(tǒng)中，網(wǎng)關(guān)裝置2無需長時(shí)開放用戶終端3 所連接的端口，所以可大幅降低遭到DoS攻擊等的危險(xiǎn)性、非法用戶進(jìn) 行遠(yuǎn)程訪問的可能性。并且，由連接支持裝置1管理用戶終端3向網(wǎng)關(guān)裝置2連接用的連接信息，所以即使增加了網(wǎng)關(guān)裝置的數(shù)量，也不會使用戶終端3側(cè)的信 息管理變得煩雜。并且，即使在用戶終端3不具有IP地址的情況下，通 過利用上述地址列表，也可以簡單且安全地進(jìn)行從用戶終端對網(wǎng)關(guān)裝置 的遠(yuǎn)程訪問。這樣，根據(jù)本發(fā)明的遠(yuǎn)程訪問系統(tǒng)，用戶可以使用各種用戶終端來 簡單且安全地進(jìn)行遠(yuǎn)程訪問。本發(fā)明不限于具體公開的實(shí)施例，在不脫離權(quán)利要求的范圍的情況 下，可進(jìn)行多種變形和變更。
權(quán)利要求
1.一種連接支持裝置，其特征在于，該連接支持裝置具有控制單元，其對用戶終端連接的網(wǎng)關(guān)裝置進(jìn)行控制，以許可來自認(rèn)證成功的所述用戶終端的連接；以及通信單元，其向所述用戶終端提供用于連接到所述網(wǎng)關(guān)裝置的連接信息。
2. 根據(jù)權(quán)利要求l所述的連接支持裝置，其特征在于，在所述用戶 終端具有唯一的地址識別符的情況下，所述控制單元附加所述用戶終端 的終端個(gè)體識別符、所述地址識別符和應(yīng)用識別符來進(jìn)行針對所述網(wǎng)關(guān) 裝置的控制請求，所述通信單元在從所述網(wǎng)關(guān)裝置接收到應(yīng)答時(shí)，向所述用戶終端提 供所述連接信息而許可對所述網(wǎng)關(guān)裝置的連接。
3. 根據(jù)權(quán)利要求l所述的連接支持裝置，其特征在于，在所述用戶 終端具有唯一的地址識別符的情況下，所述控制單元附加隨機(jī)數(shù)、所述 用戶終端的地址識別符和應(yīng)用識別符來進(jìn)行針對所述網(wǎng)關(guān)裝置的控制請 求，所述通信單元在從所述網(wǎng)關(guān)裝置接收到應(yīng)答時(shí)，向所述用戶終端提 供附加了所述隨機(jī)數(shù)的所述連接信息而許可對所述網(wǎng)關(guān)裝置的連接。
4. 根據(jù)權(quán)利要求1所述的連接支持裝置，其特征在于，在所述用戶 終端不具有唯一的地址識別符的情況下，所述控制單元附加所述用戶終 端的終端個(gè)體識別符、所述用戶終端經(jīng)由的其他網(wǎng)關(guān)裝置具有的地址識 別符的地址列表和應(yīng)用識別符來進(jìn)行針對所述網(wǎng)關(guān)裝置的控制請求，所述通信單元在從所述網(wǎng)關(guān)裝置接收到應(yīng)答時(shí)，向所述用戶終端提 供所述連接信息而許可對所述網(wǎng)關(guān)裝置的連接。
5. 根據(jù)權(quán)利要求1所述的連接支持裝置，其特征在于，在所述用戶 終端不具有唯一的地址識別符的情況下，所述控制單元附加隨機(jī)數(shù)、所 述用戶終端經(jīng)由的其他網(wǎng)關(guān)裝置具有的地址識別符的地址列表和應(yīng)用識 別符來進(jìn)行針對所述網(wǎng)關(guān)裝置的控制請求，所述通信單元在從所述網(wǎng)關(guān)裝置接收到應(yīng)答時(shí)，向所述用戶終端提 供附加了所述隨機(jī)數(shù)的所述連接信息而許可對所述網(wǎng)關(guān)裝置的連接。
6. 根據(jù)權(quán)利要求1所述的連接支持裝置，其特征在于，所述控制單 元對所述用戶終端連接的網(wǎng)關(guān)裝置進(jìn)行與所述用戶終端的終端類別相應(yīng) 的控制。
7. 根據(jù)權(quán)利要求3或4所述的連接支持裝置，其特征在于，所述控制單元對所述用戶終端連接的網(wǎng)關(guān)裝置進(jìn)行與所述用戶終端的終端收容 運(yùn)營商類別相應(yīng)的控制。
8. 根據(jù)權(quán)利要求l所述的連接支持裝置，其特征在于，在所述用戶 終端搭載有瀏覽器的情況下，所述通信單元向所述用戶終端提供對所述 網(wǎng)關(guān)裝置的連接手段而許可對所述網(wǎng)關(guān)裝置的連接。
9. 根據(jù)權(quán)利要求1所述的連接支持裝置，其特征在于，所述用戶終 端和所述網(wǎng)關(guān)裝置經(jīng)由加密的通信路徑來進(jìn)行消息的交換。
10. 根據(jù)權(quán)利要求1所述的連接支持裝置，其特征在于，該連接支 持裝置還具有會話管理單元，該會話管理單元利用操作所述用戶終端的 用戶的用戶識別符和所述網(wǎng)關(guān)裝置的識別符，或者利用用戶的用戶識別 符、所述網(wǎng)關(guān)裝置的識別符和應(yīng)用識別符，管理所述用戶終端和所述網(wǎng) 關(guān)裝置之間的會話。
11. 根據(jù)權(quán)利要求IO所述的連接支持裝置，其特征在于，在所述控 制單元進(jìn)行對所述網(wǎng)關(guān)裝置的控制請求、并從所述網(wǎng)關(guān)裝置接收到應(yīng)答 時(shí)，或者當(dāng)所述用戶終端與所述網(wǎng)關(guān)裝置連接時(shí)，所述會話管理單元登記所述用戶終端和所述網(wǎng)關(guān)裝置之間的會話。
12. 根據(jù)權(quán)利要求10或11所述的連接支持裝置，其特征在于，當(dāng)所述用戶終端和所述網(wǎng)關(guān)裝置結(jié)束通信時(shí)，或者當(dāng)所述用戶終端和所述 網(wǎng)關(guān)裝置的應(yīng)用結(jié)束通信時(shí)，所述會話管理單元刪除所述用戶終端和所 述網(wǎng)關(guān)裝置之間的會話。
13. 根據(jù)權(quán)利要求10 12中任一項(xiàng)所述的連接支持裝置，其特征在于，所述會話管理單元在登記了所述用戶終端和所述網(wǎng)關(guān)裝置之間的會 話之后，定期地向所述網(wǎng)關(guān)裝置發(fā)送附加了所述用戶識別符、網(wǎng)關(guān)裝置 的識別符和應(yīng)用識別符的會話確認(rèn)消息，確認(rèn)與所述用戶終端之間的會 話狀態(tài)。
14. 根據(jù)權(quán)利要求1所述的連接支持裝置，其特征在于，所述連接支持裝置還具有連接目的地管理單元，當(dāng)用于連接到所述網(wǎng)關(guān)裝置的連 接信息改變時(shí)，該連接目的地管理單元從所述網(wǎng)關(guān)裝置接收所述網(wǎng)關(guān)裝 置的識別符和所述連接信息，管理所述連接信息。
15. —種網(wǎng)關(guān)裝置，其特征在于，該網(wǎng)關(guān)裝置具有設(shè)定單元，其從連接支持裝置接收控制請求，根據(jù)該請求來進(jìn)行用 于許可對用戶終端的連接的設(shè)定，以許可來自認(rèn)證成功的所述用戶終端 的連接；以及通信單元，其許可來自所述用戶終端的連接。
16. 根據(jù)權(quán)利要求15所述的網(wǎng)關(guān)裝置，其特征在于，在所述用戶終 端具有唯一的地址識別符的情況下，所述設(shè)定單元根據(jù)來自所述連接支 持裝置的控制請求中包含的所述用戶終端的終端個(gè)體識別符、所述地址 識別符和應(yīng)用識別符，來進(jìn)行用于許可對所述用戶終端的連接的設(shè)定，所述通信單元許可來自這樣的所述用戶終端的連接，該用戶終端發(fā) 送附加有所述終端個(gè)體識別符、所述地址識別符和應(yīng)用識別符的數(shù)據(jù)。
17. 根據(jù)權(quán)利要求15所述的網(wǎng)關(guān)裝置，其特征在于，在所述用戶終端具有唯一的地址識別符的情況下，所述設(shè)定單元根據(jù)來自所述連接支 持裝置的控制請求中包含的隨機(jī)數(shù)、所述用戶終端的地址識別符和應(yīng)用 識別符，來進(jìn)行用于許可對所述用戶終端的連接的設(shè)定，所述通信單元許可來自這樣的所述用戶終端的連接，該用戶終端發(fā) 送附加有所述隨機(jī)數(shù)、所述地址識別符和應(yīng)用識別符的數(shù)據(jù)。
18. 根據(jù)權(quán)利要求15所述的網(wǎng)關(guān)裝置，其特征在于，在所述用戶終端不具有唯一的地址識別符的情況下，所述設(shè)定單元根據(jù)來自所述連接 支持裝置的控制請求中包含的所述用戶終端的終端個(gè)體識別符、所述用 戶終端經(jīng)由的其他網(wǎng)關(guān)裝置具有的地址識別符的地址列表和應(yīng)用識別 符，來進(jìn)行用于許可對所述用戶終端的連接的設(shè)定，所述通信單元許可來自這樣的所述用戶終端的連接，該用戶終端發(fā) 送附加有所述終端個(gè)體識別符、在所述地址列表中包含的地址識別符和 應(yīng)用識別符的數(shù)據(jù)。
19. 根據(jù)權(quán)利要求15所述的網(wǎng)關(guān)裝置，其特征在于，在所述用戶終 端不具有唯一的地址識別符的情況下，所述設(shè)定單元根據(jù)來自所述連接 支持裝置的控制請求中包含的隨機(jī)數(shù)、所述用戶終端經(jīng)由的其他網(wǎng)關(guān)裝 置具有的地址識別符的地址列表和應(yīng)用識別符，來進(jìn)行用于許可對所述 用戶終端的連接的設(shè)定，所述通信單元許可來自這樣的所述用戶終端的連接，該用戶終端發(fā) 送附加有所述隨機(jī)數(shù)、在所述地址列表中包含的地址識別符和應(yīng)用識別 符的數(shù)據(jù)。
20. 根據(jù)權(quán)利要求18或19所述的網(wǎng)關(guān)裝置，其特征在于，在所述 用戶終端使用所述地址列表中的一個(gè)地址識別符來進(jìn)行連接的情況下， 所述設(shè)定單元不許可對所述一個(gè)地址以外的地址的連接。
全文摘要
本發(fā)明提供一種連接支持裝置及網(wǎng)關(guān)裝置，其可容易地進(jìn)行信息管理、并且可容易且安全地進(jìn)行從用戶終端對網(wǎng)關(guān)裝置的遠(yuǎn)程訪問，該連接支持裝置具有控制單元，其對用戶終端連接的網(wǎng)關(guān)裝置進(jìn)行控制，以許可來自認(rèn)證成功的用戶終端的連接；以及通信單元，其向用戶終端提供用于連接到網(wǎng)關(guān)裝置的連接信息。
文檔編號G06F15/00GK101128805SQ20058004871
公開日2008年2月20日 申請日期2005年2月24日 優(yōu)先權(quán)日2005年2月24日
發(fā)明者松岡直樹, 武吉治幸, 石原智宏 申請人:富士通株式會社