特許 6985209 通信システム、通信装置および管理装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6985209

(24)【登録日】2021年11月29日

(45)【発行日】2021年12月22日

(54)【発明の名称】通信システム、通信装置および管理装置

(51)【国際特許分類】

   H04L 12/66 20060101AFI20211213BHJP

   H04L 9/32 20060101ALI20211213BHJP

   H04L 12/70 20130101ALI20211213BHJP

   G06F 13/00 20060101ALI20211213BHJP

【ＦＩ】

   H04L12/66 B

   H04L9/00 675Z

   H04L12/70 A

   G06F13/00 351Z

【請求項の数】6

【全頁数】16

(21)【出願番号】特願2018-93208(P2018-93208)

(22)【出願日】2018年5月14日

(65)【公開番号】特開2019-201247(P2019-201247A)

(43)【公開日】2019年11月21日

【審査請求日】2021年1月19日

(73)【特許権者】

【識別番号】399035766

【氏名又は名称】エヌ・ティ・ティ・コミュニケーションズ株式会社

(74)【代理人】

【識別番号】110002147

【氏名又は名称】特許業務法人酒井国際特許事務所

(72)【発明者】

【氏名】澤田 祐紀

(72)【発明者】

【氏名】榎本 淳志

(72)【発明者】

【氏名】古田 将之

(72)【発明者】

【氏名】池田 大二郎

(72)【発明者】

【氏名】日高 直人

(72)【発明者】

【氏名】市原 孝浩

(72)【発明者】

【氏名】矢原 大司

(72)【発明者】

【氏名】任田 大介

【審査官】 羽岡 さやか

(56)【参考文献】

【文献】 特開２００１−２９２１６３（ＪＰ，Ａ）

【文献】 特開２００１−１６２５５（ＪＰ，Ａ）

【文献】 特開２００３−２４４２１６（ＪＰ，Ａ）

【文献】 特開２００２−２６１７８８（ＪＰ，Ａ）

【文献】 特開２００１−３０６４２１（ＪＰ，Ａ）

【文献】 特開２００１−３５８７７５（ＪＰ，Ａ）

【文献】 米国特許出願公開第２００６／００７８０９６（ＵＳ，Ａ１）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｈ０４Ｌ １２／００−１２／９５５

Ｈ０４Ｌ ９／３２

Ｈ０４Ｌ １２／７０

Ｇ０６Ｆ １３／００

(57)【特許請求の範囲】

【請求項1】

ユーザネットワークと外部ネットワークとの境界に設けられたセキュリティ機器と、前記ユーザネットワークを収容するＮＡＴ装置とを有する通信システムであって、
前記ＮＡＴ装置は、
収容するユーザネットワークごとに、グローバルＩＰアドレスをそれぞれ割り当てる割当部と、
前記ユーザネットワークに属するユーザ端末から前記外部ネットワークへの通信データを受信した場合に、該通信データのプライベートＩＰアドレスを対応するグローバルＩＰアドレスに変換する変換部とを有し、
前記セキュリティ機器は、
前記ＮＡＴ装置によって変換されたグローバルＩＰアドレスに対応するセキュリティポリシに基づいて、前記通信データのフィルタリングを行うフィルタリング部を有することを特徴とする通信システム。

【請求項2】

各ユーザ端末が属するユーザネットワークごとに、前記ＮＡＴ装置が割り当てるグローバルＩＰアドレスを記憶する記憶部と、
ユーザ端末からの要求に応じて、該ユーザ端末が属するユーザネットワークに対応するグローバルＩＰアドレスの割り当てを前記ＮＡＴ装置に対して指示する指示部と、
ユーザ端末からの要求に応じて、該ユーザ端末が属するユーザネットワークのグローバルＩＰアドレスに対するセキュリティポリシを前記セキュリティ機器に対して設定する設定部と
を有する管理装置をさらに備え、
前記割当部は、前記指示部によって指示されたグローバルＩＰアドレスに基づいて、収容する各ユーザネットワークに対してグローバルＩＰアドレスをそれぞれ割り当てることを特徴とする請求項１に記載の通信システム。

【請求項3】

前記管理装置は、
前記ユーザ端末に対して、該ユーザ端末が属するユーザネットワークに対応する画面を表示させ、前記ユーザ端末から前記ユーザネットワークの要求を受け付ける受付部をさらに有し、
前記指示部は、前記受付部によって前記要求が受け付けられた場合には、前記ユーザ端末が属するユーザネットワークに対応するグローバルＩＰアドレスの割り当てを前記ＮＡＴ装置に対して指示することを特徴とする請求項２に記載の通信システム。

【請求項4】

前記管理装置は、
前記ユーザ端末からの要求に応じて、前記ユーザネットワークごとのセキュリティポリシを設定する設定画面を前記ユーザ端末に表示させ、前記ユーザ端末からセキュリティポリシに関する設定指示を受け付ける受付部をさらに有し、
前記設定部は、前記受付部によって受け付けた設定指示に応じて、セキュリティポリシを前記セキュリティ機器に対して設定することを特徴とする請求項２に記載の通信システム。

【請求項5】

収容するユーザネットワークごとに、グローバルＩＰアドレスをそれぞれ割り当てる割当部と、
前記ユーザネットワークに属するユーザ端末から外部ネットワークへの通信データを受信した場合に、該通信データのプライベートＩＰアドレスを対応するグローバルＩＰアドレスに変換する変換部と、
前記変換部によって変換されたグローバルＩＰアドレスに対応するセキュリティポリシに基づいて、前記通信データのフィルタリングを行うフィルタリング部と
を有することを特徴とする通信装置。

【請求項6】

各ユーザ端末が属するユーザネットワークごとに、前記ユーザネットワークを収容するＮＡＴ装置が割り当てるグローバルＩＰアドレスを記憶する記憶部と、
ユーザ端末からの要求に応じて、該ユーザ端末が属するユーザネットワークに対応するグローバルＩＰアドレスの割り当てを前記ＮＡＴ装置に対して指示する指示部と、
ユーザ端末からの要求に応じて、該ユーザ端末が属するユーザネットワークのグローバルＩＰアドレスに対するセキュリティポリシを前記ユーザネットワークと外部ネットワークとの境界に設けられたセキュリティ機器に対して設定する設定部と
を有することを特徴とする管理装置。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、通信システム、通信装置および管理装置に関する。

【背景技術】

【0002】

従来、ファイアウォール（以下、ＦＷと記載）やＵＴＭ（Unified Threat Management）等のセキュリティ機能を有するセキュリティ機器が知られている。ＦＷやＵＴＭは、例えば、企業の社内ＬＡＮ（Local Area Network）等のユーザネットワーク（以下、適宜企業ＮＷと記載）とインターネット等の外部ネットワークとの境界に設置され、セキュリティゲートウェイとして使用される。なお、ユーザネットワークには、ＶＰＮ（Virtual Private Network）を経由して接続されるＬＡＮ等も含まれるものとする。

【0003】

ＦＷの主な役割は、ＩＰアドレスやポート番号を基にしたパケットフィルタリングと、不正なＴＣＰ（Transmission Control Protocol）通信のブロックである。また、ＵＴＭでは、ＦＷでは対処することが難しいウィルスやスパムメールに対するセキュリティ対策を実施するために、複数のセキュリティ機能を有する。このようなＦＷやＵＴＭを含むシステムでは、１つのユーザネットワークに対して１つのセキュリティ機器が設けられていれる。

【先行技術文献】

【特許文献】

【0004】

【特許文献1】特開２００１−３０６４２１号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

しかしながら、上記した従来の手法では、各ユーザネットワークのアドレス管理の柔軟性を損なうことなく、複数のユーザネットワークに対して１つのセキュリティ機器を共用して低コストにサービスの提供を行うことが出来なかった。つまり、上記した従来の技術では、１つのユーザネットワークに対して１つのセキュリティ機器を設けるので、複数のユーザネットワークで一つのセキュリティ機器を共用する場合に比べて、コストがかかるという課題があった。

【0006】

なお、複数のユーザネットワークで１つのセキュリティ機器を共有するために、ユーザネットワーク毎にアドレスブロックを指定して複数のユーザネットワークを収容することも考えられるが、この場合には、ユーザネットワーク間でアドレスの重複が出来ないため、ネットワーク運用に制約が発生し、各ユーザネットワークのアドレス管理の柔軟性を損なうという課題があった。

【課題を解決するための手段】

【0007】

上述した課題を解決し、目的を達成するために、本発明の通信システムは、ユーザネットワークと外部ネットワークとの境界に設けられたセキュリティ機器と、前記ユーザネットワークを収容するＮＡＴ装置とを有する通信システムであって、前記ＮＡＴ装置は、収容するユーザネットワークごとに、グローバルＩＰアドレスをそれぞれ割り当てる割当部と、前記ユーザネットワークに属するユーザ端末から前記外部ネットワークへの通信データを受信した場合に、該通信データのプライベートＩＰアドレスを対応するグローバルＩＰアドレスに変換する変換部とを有し、前記セキュリティ機器は、前記ＮＡＴ装置によって変換されたグローバルＩＰアドレスに対応するセキュリティポリシに基づいて、前記通信データのフィルタリングを行うフィルタリング部を有することを特徴とする。

【0008】

また、本発明の通信装置は、収容するユーザネットワークごとに、グローバルＩＰアドレスをそれぞれ割り当てる割当部と、前記ユーザネットワークに属するユーザ端末から前記外部ネットワークへの通信データを受信した場合に、該通信データのプライベートＩＰアドレスを対応するグローバルＩＰアドレスに変換する変換部と、前記変換部によって変換されたグローバルＩＰアドレスに対応するセキュリティポリシに基づいて、前記通信データのフィルタリングを行うフィルタリング部とを有することを特徴とする。

【0009】

また、本発明の管理装置は、各ユーザ端末が属するユーザネットワークごとに、前記ユーザネットワークを収容するＮＡＴ装置が割り当てるグローバルＩＰアドレスを記憶する記憶部と、ユーザ端末からの要求に応じて、該ユーザ端末が属するユーザネットワークに対応するグローバルＩＰアドレスの割り当てを前記ＮＡＴ装置に対して指示する指示部と、ユーザ端末からの要求に応じて、該ユーザ端末が属するユーザネットワークのグローバルＩＰアドレスに対するセキュリティポリシを前記ユーザネットワークと外部ネットワークとの境界に設けられたセキュリティ機器に対して設定する設定部とを有することを特徴とする。

【発明の効果】

【0010】

本発明によれば、各ユーザネットワークのアドレス管理の柔軟性を損なうことなく、複数のユーザネットワークに対して１つのセキュリティ機器を共用して低コストにサービスの提供を行うことができるという効果を奏する。

【図面の簡単な説明】

【0011】

【図1】図１は、第１の実施形態に係る通信システムの構成例を示すブロック図である。

【図2】図２は、第１の実施形態に係る管理装置の構成例を示すブロック図である。

【図3】図３は、ユーザ情報記憶部に記憶されるデータの一例を示す図である。

【図4】図４は、制御情報記憶部に記憶されるデータの一例を示す図である。

【図5】図５は、ポリシ情報記憶部に記憶されるデータの一例を示す図である。

【図6】図６は、第１の実施形態に係る管理装置においてＮＡＴ装置で割り当てるグローバルＩＰアドレスを指示する処理を説明する図である。

【図7】図７は、第１の実施形態に係る管理装置においてセキュリティ機器にセキュリティポリシを設定する処理を説明する図である。

【図8】図８は、第１の実施形態に係る通信システムにおけるグローバルＩＰアドレスの払出処理の流れの一例を示すシーケンス図である。

【図9】図９は、第１の実施形態に係る通信システムにおけるセキュリティポリシの設定処理の流れの一例を示すシーケンス図である。

【図10】図１０は、従来の通信システムの構成を説明する図である。

【図11】図１１は、従来の通信システムの課題を説明する図である。

【図12】図１２は、第１の実施形態に係る通信システムの効果を説明する図である。

【図13】図１３は、その他の実施形態に係る通信システムの構成例を示すブロック図である。

【図14】図１４は、プログラムを実行するコンピュータを示す図である。

【発明を実施するための形態】

【0012】

以下に、本願に係る通信システムの実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態により本願に係る通信システムが限定されるものではない。

【0013】

［第１の実施形態］
以下の実施の形態では、第１の実施形態に係る通信システム１００の構成、管理装置１０の構成、通信システム１００の処理の流れを順に説明し、最後に第１の実施形態による効果を説明する。

【0014】

［通信システムの構成］
図１は、第１の実施形態に係る通信システムの構成例を示すブロック図である。第１の実施形態に係る通信システム１００は、管理装置１０、ＮＡＴ装置２０、セキュリティ機器３０および複数のユーザ端末４０を有する。また、ＮＡＴ装置２０は、複数の企業ＮＷ５０Ａ〜５０Ｘを収容する。また、セキュリティ機器３０は、インターネット６０接続点に設置されている。なお、図１に示す構成は一例にすぎず、具体的な構成や各装置の数は特に限定されない。また、複数の企業ＮＷ５０Ａ〜５０Ｘについて、特に区別なく説明する場合には、企業ＮＷ５０と記載する。

【0015】

管理装置１０は、各ユーザ端末４０が属する企業ＮＷ５０ごとに、ＮＡＴ装置が割り当てるグローバルＩＰアドレスを管理する。また、管理装置１０は、ユーザ端末４０からの要求に応じて、該ユーザ端末４０が属する企業ＮＷ５０に対応するグローバルＩＰアドレスの割り当てをＮＡＴ装置２０に対して指示する。また、管理装置１０は、ユーザ端末４０からの要求に応じて、該ユーザ端末４０が属する企業ＮＷ５０のグローバルＩＰアドレスに対するセキュリティポリシをセキュリティ機器３０に対して設定する。なお、管理装置１０の具体的な構成については、図２を用いて後述する。

【0016】

ＮＡＴ装置２０は、複数の企業ＮＷ５０Ａ〜５０Ｘを収容し、プライベートＩＰアドレスとグローバルＩＰアドレスのアドレス変換処理を実行する。例えば、ＮＡＴ装置２０は、ユーザ端末４０から受信したパケットのプライベートＩＰアドレスをグローバルＩＰアドレスに変換し、アドレス変換後のパケットをセキュリティ機器３０に送信する。また、ＮＡＴ装置２０は、セキュリティ機器３０から受信したパケットのグローバルＩＰアドレスをプライベートＩＰアドレスに変換し、アドレス変換後のパケットをユーザ端末４０に送信する。

【0017】

ＮＡＴ装置２０は、割当部２１および変換部２２を有する。割当部２１は、収容する企業ＮＷ５０ごとに、グローバルＩＰアドレスをそれぞれ割り当てる。具体的には、割当部２１は、管理装置１０によって指示されたグローバルＩＰアドレスに基づいて、収容する各企業ＮＷ５０に対してグローバルＩＰアドレスをそれぞれ割り当てる。

【0018】

変換部２２は、企業ＮＷ５０に属するユーザ端末４０からインターネット６０への通信データを受信した場合に、該通信データのプライベートＩＰアドレスを対応するグローバルＩＰアドレスに変換する。

【0019】

セキュリティ機器３０は、企業ＮＷ５０Ａ〜５０Ｘとインターネット６０との境界に設置されたＦＷまたはＵＴＭ等のセキュリティ機能を有する機器である。セキュリティ機器３０は、フィルタリング部３１を有する。フィルタリング部３１は、ＮＡＴ装置によって変換されたグローバルＩＰアドレスに対応するセキュリティポリシに基づいて、通信データのフィルタリングを行う。

【0020】

ユーザ端末４０は、例えば、デスクトップ型ＰＣ、タブレット型ＰＣ、ノート型ＰＣ、スマートフォン、携帯電話機、ＰＤＡ（Personal Digital Assistant）等の情報処理装置である。ユーザ端末４０は、ＮＡＴ装置２０、セキュリティ機器３０および企業ＮＷ５０を介してインターネット６０へパケットを送信する。また、ユーザ端末４０は、ＮＡＴ装置２０、セキュリティ機器３０および企業ＮＷ５０を介してインターネット６０からパケットを受信する。また、ユーザ端末４０は、管理装置１０のポータルサイトからログインして、開通の要求やセキュリティポリシの設定変更の要求を管理装置１０へ通知する。

【0021】

［管理装置の構成］
次に、図２を用いて、管理装置１０の構成を説明する。図２は、第１の実施形態に係る管理装置の構成例を示すブロック図である。図２に示すように、この管理装置１０は、通信処理部１１、制御部１２および記憶部１３を有する。以下に管理装置１０が有する各部の処理を説明する。なお、管理装置１０の各機能を複数の装置に分散して持たせるようにしてもよい。

【0022】

通信処理部１１は、各種情報に関する通信を制御する。例えば、通信処理部１１は、ＮＡＴ装置２０、セキュリティ機器３０およびユーザ端末４０との間で行われる通信を制御する。

【0023】

記憶部１３は、制御部１２による各種処理に必要なデータおよびプログラムを格納するが、特に本発明に密接に関連するものとしては、ユーザ情報記憶部１３ａ、制御情報記憶部１３ｂおよびポリシ情報記憶部１３ｃを有する。例えば、記憶部１３は、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。

【0024】

ユーザ情報記憶部１３ａは、各ユーザのユーザ端末４０が属する企業ＮＷ５０を記憶する。例えば、図３に例示するように、ユーザ情報記憶部１３ａは、各ユーザを一意に識別する「ユーザＩＤ」と、各ユーザのユーザ端末４０が属する企業ＮＷ５０を一意に識別する「ＮＷ ＩＤ」とを対応付けて記憶する。図３は、ユーザ情報記憶部に記憶されるデータの一例を示す図である。

【0025】

制御情報記憶部１３ｂは、各ユーザ端末４０が属する企業ＮＷ５０ごとに、ＮＡＴ装置２０が割り当てるグローバルＩＰアドレスを記憶する。また、制御情報記憶部１３ｂは、グローバルＩＰアドレスに対応付けて、適用するセキュリティポリシを記憶する。例えば、制御情報記憶部１３ｂは、図４に例示するように、企業ＮＷ５０を一意に識別する「ＮＷ ＩＤ」と、企業ＮＷ５０に割り当てる「グローバルＩＰアドレス」と、該当するグローバルＩＰアドレスのパケットに対して適用するポリシＩＤを示す「セキュリティポリシ」とを対応付けて記憶する。

【0026】

ポリシ情報記憶部１３ｃは、セキュリティポリシの内容を記憶する。例えば、ポリシ情報記憶部１３ｃは、図５に例示するように、セキュリティポリシを一意に識別するＩＤを示す「ポリシＩＤ」と、セキュリティポリシの適用対象を示す「グローバルＩＰアドレス」と、フィルタリングを実行するアクセス先のＵＲＬを示す「アクセス先ＵＲＬ」と、フィルタリングを実行するアクセス先のＩＰアドレスを示す「アクセス先ＩＰアドレス」と、フィルタリングを実行するアクセス先のポート番号を示す「アクセス先ポート番号」と、フィルタリングの動作の内容を示す「動作」とを対応付けて記憶する。なお、「アクセス先ＵＲＬ」、「アクセス先ＩＰアドレス」および「アクセス先ポート番号」については、１つのポリシのうち、いずれか一つだけ設定してもよいし、複数設定してもよい。例えば、図５の例では、「Ｐｏｌｉｃｙ１」において、フィルタリングを実行するアクセス先として、「アクセス先ＵＲＬ」のみが設定されている。また、図５の例では、セキュリティポリシの適用対象を特定するための情報として、グローバルＩＰアドレスのみを記載しているが、トラフィックの方向、ポート番号、ＵＲＬ等の情報も参照するようにしてもよい。

【0027】

制御部１２は、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有し、これらによって種々の処理を実行するが、特に本発明に密接に関連するものとしては、受付部１２ａ、指示部１２ｂおよび設定部１２ｃを有する。ここで、制御部１２は、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）などの電子回路やＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）などの集積回路である。

【0028】

受付部１２ａは、ユーザ端末４０に対して、該ユーザ端末４０が属する企業ＮＷ５０に対応する画面を表示し、ユーザ端末４０から企業ＮＷ５０の要求を受け付ける。例えば、受付部１２ａは、ユーザ端末４０がポータルサイトからログインした場合には、ログインに使用されたユーザＩＤに対応する企業ＮＷ５０のＮＷ ＩＤをユーザ情報記憶部１３ａから読み出し、ＮＷ ＩＤに応じたページをユーザ端末４０に表示させる。そして、受付部１２ａは、ユーザ端末４０に表示されたページから企業ＮＷ５０の開通要求を受け付ける。

【0029】

また、受付部１２ａは、ユーザ端末４０からの要求に応じて、企業ＮＷ５０ごとのセキュリティポリシを設定する設定画面をユーザ端末４０に表示させ、ユーザ端末４０からセキュリティポリシに関する設定指示を受け付ける。

【0030】

例えば、受付部１２ａは、ユーザがセキュリティポリシを変更するために、ユーザ端末４０がポータルサイトからログインした場合には、ログインに使用されたユーザＩＤに対応する企業ＮＷ５０のＮＷ ＩＤをユーザ情報記憶部１３ａから取得し、取得したＮＷ ＩＤに対応する企業ＮＷ５０に現在設定されているセキュリティポリシの内容を含む設定画面をユーザ端末４０に表示させる。つまり、ユーザ端末４０には、自装置が属さない他の企業ＮＷ５０のセキュリティポリシの内容は表示されず、自装置が属する企業ＮＷ５０のセキュリティポリシの内容のみが表示される。

【0031】

そして、受付部１２ａは、ユーザ端末４０に表示された設定画面へのユーザの操作に基づいて、ユーザ端末４０からセキュリティポリシに関する設定指示を受け付ける。このように、１つのセキュリティ機器３０の管理ポータルを複数ユーザが利用可能な構成に分割し、その分割した管理ポータルの設定が一元的に１つのセキュリティ機器３０に反映される。

【0032】

指示部１２ｂは、ユーザ端末４０からの要求に応じて、該ユーザ端末４０が属する企業ＮＷ５０に対応するグローバルＩＰアドレスの割り当てをＮＡＴ装置２０に対して指示する。例えば、指示部１２ｂは、受付部１２ａによって開通要求が受け付けられた場合には、ユーザ端末４０が属する企業ＮＷ５０に対応するグローバルＩＰアドレスの割り当てをＮＡＴ装置２０に対して指示する。

【0033】

ここで、図６を用いて、管理装置１０が各企業ＮＷ５０に対して割り当てるグローバルＩＰアドレスをＮＡＴ装置２０に指示する処理を説明する。図６は、第１の実施形態に係る管理装置においてＮＡＴ装置で割り当てるグローバルＩＰアドレスを指示する処理を説明する図である。なお、図６では、管理装置１０およびユーザ端末４０の図示を省略している。

【0034】

図６に例示するように、管理装置１０は、ＮＡＴ装置２０において各企業ＮＷ５０に対して割り当てるグローバルＩＰアドレスを予め記憶する。図６の例を用いて具体的に説明すると、管理装置１０は、企業ＮＷ１に対応するＮＷ ＩＤ「１００１」について、ＮＡＴ装置２０で割り当てるグローバルＩＰアドレスとして「２１０．１００．１０．３」を記憶し、企業ＮＷ２に対応するＮＷ ＩＤ「１００２」について、ＮＡＴ装置２０で割り当てるグローバルＩＰアドレスとして「２１０．１００．１０．４」を記憶し、企業ＮＷｘに対応するＮＷ ＩＤ「２０００」について、ＮＡＴ装置２０で割り当てるグローバルＩＰアドレスとして「２１０．１００．１３．２４０」を記憶する。

【0035】

そして、管理装置１０は、各企業ＮＷ１〜企業ＮＷｘに対して割り当てるグローバルＩＰアドレスをＮＡＴ装置２０に指示する。ＮＡＴ装置２０は、管理装置１０によって指示されたグローバルＩＰアドレスに基づいて、収容する各企業ＮＷ１〜企業ＮＷｘに対してグローバルＩＰアドレスをそれぞれ割り当てる。そして、ＮＡＴ装置２０は企業ＮＷ１〜企業ＮＷｘに属するユーザ端末４０からインターネット６０への通信データを受信した場合に、該通信データのプライベートＩＰアドレスを対応するグローバルＩＰアドレスに変換する。

【0036】

図２の説明に戻って、設定部１２ｃは、ユーザ端末４０からの要求に応じて、該ユーザ端末４０が属する企業ＮＷ５０のグローバルＩＰアドレスに対するセキュリティポリシをセキュリティ機器３０に対して設定する。例えば、設定部１２ｃは、受付部１２ａによって受け付けた設定指示に応じて、セキュリティポリシをセキュリティ機器３０に対して設定する。

【0037】

また、設定部１２ｃは、例えば、予め用意された推奨設定として、各企業ＮＷ５０に対して共通のセキュリティポリシを企業ＮＷ５０が開通する際にセキュリティ機器３０に設定するようにしてもよい。また、設定部１２ｃは、ポリシ情報記憶部１３ｃを参照し、各企業ＮＷ５０に設定されているセキュリティポリシを基に、セキュリティポリシを動的に追加するようにしてもよい。例えば、設定部１２ｃは、定期的にポリシ情報記憶部１３ｃを参照し、各企業ＮＷ５０のセキュリティポリシにおいて、一定以上の割合（例えば、９割以上）で共通して設定されているものについては、全企業ＮＷ５０において共通するセキュリティポリシとして自動的に追加するようにしてもよい。

【0038】

ここで、図７を用いて、管理装置１０がセキュリティ機器にセキュリティポリシを設定する処理を説明する。図７は、第１の実施形態に係る管理装置においてセキュリティ機器にセキュリティポリシを設定する処理を説明する図である。なお、図７では、管理装置１０およびユーザ端末４０の図示を省略している。

【0039】

図７に例示するように、管理装置１０は、ユーザ端末４０からの要求に応じて、該ユーザ端末４０が属する企業ＮＷ５０のグローバルＩＰアドレスに対するセキュリティポリシをセキュリティ機器３０に対して設定する。図７の例を用いて具体的に説明すると、管理装置１０は、Ｐｏｌｉｃｙ１〜ＰｏｌｉｃｙＮのＮ個のセキュリティポリシをセキュリティ機器３０に設定している。

【0040】

ここで、例えば、「Ｐｏｌｉｃｙ１」のセキュリティポリシでは、企業ＮＷ１に対応するグローバルＩＰアドレス「２１０．１００．１０．３」に対して、ＵＲＬ（Uniform Resource Locator）として「www.xxxxx.com」をアクセス先とする通信を許可することが規定されている。また、例えば、「Ｐｏｌｉｃｙ２」のセキュリティポリシでは、企業ＮＷ２に対応するグローバルＩＰアドレス「２１０．１００．１０．４」に対して、のＩＰアドレスとして「8.8.8.8」をアクセス先とする通信を許可することが規定されている。また、例えば、「ＰｏｌｉｃｙＮ」のセキュリティポリシでは、企業ＮＷｘに対応するグローバルＩＰアドレス「２１０．１００．１３．２４０」に対して、アクセス先のポート番号として「445ポート」をアクセス先とする通信を禁止することが規定されている。このように、通信システム１００では、グローバルＩＰアドレス単位、すなわち企業ＮＷ５０単位でセキュリティポリシを設定することが可能である。

【0041】

［通信システムの処理手順］
次に、図８を用いて、第１の実施形態に係る通信システム１００による処理手順の例を説明する。図８は、第１の実施形態に係る通信システムにおけるグローバルＩＰアドレスの払出処理の流れの一例を示すシーケンス図である。図９は、第１の実施形態に係る通信システムにおけるセキュリティポリシの設定処理の流れの一例を示すシーケンス図である。

【0042】

まず、図８の例を用いて、通信システム１００におけるグローバルＩＰアドレスの払出処理の流れを説明する。図８に例示するように、通信システム１００のユーザ端末４０は、企業ＮＷ５０の開通の要求を行う際に、管理装置１０のポータルサイトからログインする（ステップＳ１０１）。

【0043】

そして、管理装置１０の受付部１２ａは、ユーザ端末４０がポータルサイトからログインした場合には、ログインに使用されたユーザＩＤに対応する企業ＮＷ５０のＮＷ ＩＤをユーザ情報記憶部１３ａから読み出し、ＮＷ ＩＤに応じたページをユーザ端末４０に表示させる（ステップＳ１０２）。そして、受付部１２ａは、ユーザ端末４０に表示されたページから企業ＮＷ５０の開通要求を受け付け（ステップＳ１０３）、ＮＡＴへの設定要求を指示部１２ｂに対して通知する（ステップＳ１０４）。

【0044】

続いて、指示部１２ｂは、ユーザ端末４０が属する企業ＮＷ５０に対応するグローバルＩＰアドレスの割り当てをＮＡＴ装置２０に対して設定指示する（ステップＳ１０５）。つまり、言い換えると、指示部１２ｂは、ユーザ端末４０が属する企業ＮＷ５０に対応するグローバルＩＰアドレスをＮＡＴ装置２０に対して払い出す。

【0045】

その後、ＮＡＴ装置２０は、企業ＮＷ５０に対してグローバルＩＰアドレスを割り当てると、管理装置１０の受付部１２ａおよび指示部１２ｂを介してユーザ端末４０に対して、グローバルＩＰアドレスの割当が完了したことを報知する完了通知を送信する（ステップＳ１０６〜Ｓ１０８）。

【0046】

次に、図９の例を用いて、通信システム１００におけるセキュリティポリシの設定処理の流れを説明する。図９に例示するように、通信システム１００のユーザ端末４０は、セキュリティポリシの設定変更を行う際に、管理装置１０のポータルサイトからログインする（ステップＳ２０１）。

【0047】

管理装置１０の受付部１２ａは、ユーザ端末４０がポータルサイトからログインした場合には、ログインに使用されたユーザＩＤに対応する企業ＮＷ５０のＮＷ ＩＤをユーザ情報記憶部１３ａから取得し、取得したＮＷ ＩＤに対応するセキュリティポリシの内容を含む各種設定に関する設定情報を設定部１２ｃに問い合わせる（ステップＳ２０２）。

【0048】

設定部１２ｃは、ＮＷ ＩＤに対応するセキュリティポリシのＩＤを制御情報記憶部１３ｂから取得し、セキュリティポリシのＩＤに対応するセキュリティポリシの内容をポリシ情報記憶部１３ｃから取得する。そして、設定部１２ｃは、取得したセキュリティポリシの内容を含む設定情報を受付部１２ａに回答する（ステップＳ２０３）。

【0049】

そして、受付部１２ａは、ＮＷ ＩＤに応じたページとして、ユーザＩＤに対応する企業ＮＷ５０に現在設定されているセキュリティポリシの内容を含むページをユーザ端末４０に表示させる（ステップＳ２０４）。そして、受付部１２ａは、ユーザ端末４０に表示された設定画面へのユーザの操作に基づいて、ユーザ端末４０からセキュリティポリシに関する設定の変更投入を受け付け（ステップＳ２０５）、設定の変更依頼を設定部１２ｃに通知する（ステップＳ２０６）。

【0050】

そして、設定部１２ｃは、設定部１２ｃは、受付部１２ａからの変更依頼に応じて、該ユーザ端末４０が属する企業ＮＷ５０のグローバルＩＰアドレスに対するセキュリティポリシの変更をセキュリティ機器３０に対して設定する（ステップＳ２０７）。

【0051】

その後、セキュリティ機器３０は、セキュリティポリシの変更を行うと、管理装置１０の受付部１２ａおよび指示部１２ｂを介してユーザ端末４０に対して、セキュリティポリシを変更したことを報知する完了通知を送信する（ステップＳ２０８〜Ｓ２１０）。

【0052】

（第１の実施形態の効果）
第１の実施形態に係る通信システム１００は、企業ＮＷ５０とインターネット６０との境界に設けられたセキュリティ機器３０と、企業ＮＷ５０を収容するＮＡＴ装置２０と、セキュリティ機器３０およびＮＡＴ装置２０を制御する管理装置１０とを有する。管理装置１０は、各ユーザ端末４０が属する企業ＮＷ５０ごとに、ＮＡＴ装置２０が割り当てるグローバルＩＰアドレスを記憶する。また、管理装置１０は、ユーザ端末４０からの要求に応じて、該ユーザ端末４０が属する企業ＮＷ５０に対応するグローバルＩＰアドレスの割り当てをＮＡＴ装置２０に対して指示する。そして、管理装置１０は、ユーザ端末４０からの要求に応じて、該ユーザ端末４０が属する企業ＮＷ５０のグローバルＩＰアドレスに対するセキュリティポリシをセキュリティ機器３０に対して設定する。

【0053】

また、ＮＡＴ装置２０は、管理装置１０によって指示されたグローバルＩＰアドレスに基づいて、収容する各企業ＮＷ５０に対してグローバルＩＰアドレスをそれぞれ割り当てる。また、ＮＡＴ装置２０は、企業ＮＷ５０に属するユーザ端末４０からインターネット６０への通信データを受信した場合に、該通信データのプライベートＩＰアドレスを対応するグローバルＩＰアドレスに変換する。また、セキュリティ機器３０は、ＮＡＴ装置２０によって変換されたグローバルＩＰアドレスに対応するセキュリティポリシに基づいて、通信データのフィルタリングを行う。このため、第１の実施形態に係る通信システム１００では、各ユーザネットワークのアドレス管理の柔軟性を損なうことなく、複数のユーザネットワークに対して１つのセキュリティ機器を共用して低コストにサービスの提供を行うことが可能である。

【0054】

ここで、図１０および図１１の例を用いて、従来の通信システムの構成および課題を説明する。図１０に例示するように、従来の通信システムでは、一つの企業ＮＷ５００に対して、１つのセキュリティ機器３００がインターネット６００の接続点に設けられていた。また、図１１に例示するように、従来の通信システムにおいて、複数の企業ＮＷ５００５００Ａ〜５００Ｘで１つのセキュリティ機器３００を共有するために、プライベートＩＰアドレスについて、１０．１１．０．０／１６の範囲で各企業ＮＷ５００５００Ａ〜５００Ｘにアドレスブロックを指定して収容するため、ユーザネットワーク間でアドレスの重複が出来ないという課題があった。

【0055】

これに対して、第１の実施形態に係る通信システム１００では、図１２に例示するように、複数の企業ＮＷ５０Ａ〜５０ＸをＮＡＴ装置２０が収容し、セキュリティ機器３０が、ＮＡＴ装置２０が変換するグローバルＩＰアドレスに基づきフィルタリングを実施するので、企業ＮＷ５０Ａ〜５０Ｘ間でアドレスの重複が可能となり、各ユーザのプライベートＩＰアドレス管理の柔軟性を損なうことなく、複数の企業ＮＷ５０Ａ〜５０Ｘを一つのセキュリティ機器３０で利用できることが可能である。ＵＴＭ等のセキュリティ機器は、内からの脅威と外からの脅威との双方を監視するものであり、ＮＡＴ装置２０によるアドレス変換を行えば脅威の発見に影響を与えるため、従来では通常はこのような構成は取られてなかった。

【0056】

このように、第１の実施形態に係る通信システム１００では、利用ユーザのネットワーク環境を変更することなく、セキュリティ機器３０を共用利用が可能となる。また、これにより、セキュリティサービスを提供する事業者において、１つのセキュリティ機器３０を利用して複数ユーザへのサービス提供が可能となり、コストを抑えてサービス提供を行うことが可能となる。

【0057】

（システム構成等）
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

【0058】

例えば、図１の例では、ＮＡＴ装置２０とセキュリティ機器３０とを別々のハードウェアとして独立して存在する場合を説明したが、一つのハードウェアにＮＡＴ装置２０とセキュリティ機器３０との機能が含まれるようにしてもよい。そこで、図１３の例を用いて、ＮＡＴ装置２０とセキュリティ機器３０の機能を有する通信装置７０を備えたシステムを、その他の実施形態に係る通信システム１００Ａとして説明する。

【0059】

図１３は、その他の実施形態に係る通信システムの構成例を示すブロック図である。図１３に例示するように、通信システム１００Ａの通信装置７０は、企業ＮＷ５０Ａ〜５０Ｘとインターネット６０との境界に設置され、割当部２１、変換部２２およびフィルタリング部３１を有する。なお、割当部２１、変換部２２およびフィルタリング部３１については、上述で説明したものと同様であるため、説明を省略する。このような通信装置７０は、セキュリティ機能を有するとともに、複数の企業ＮＷ５０Ａ〜５０Ｘを収容し、プライベートＩＰアドレスとグローバルＩＰアドレスのアドレス変換処理を実行する機能も有する。

【0060】

また、本実施の形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

【0061】

（プログラム）
また、上記実施形態において説明した各装置が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。例えば、実施形態に係る管理装置１０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。この場合、コンピュータがプログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかるプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。

【0062】

図１４は、プログラムを実行するコンピュータを示す図である。図１４に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。

【0063】

メモリ１０１０は、図１４に例示するように、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図１４に例示するように、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、図１４に例示するように、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、図１４に例示するように、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、図１４に例示するように、例えばディスプレイ１１３０に接続される。

【0064】

ここで、図１４に例示するように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記の、プログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０９０に記憶される。

【0065】

また、上記実施形態で説明した各種データは、プログラムデータとして、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、各種処理手順を実行する。

【0066】

なお、プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

【0067】

上記の実施形態やその変形は、本願が開示する技術に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

【符号の説明】

【0068】

１０ 管理装置
１１ 通信処理部
１２ 制御部
１２ａ 受付部
１２ｂ 指示部
１２ｃ 設定部
１３ 記憶部
１３ａ ユーザ情報記憶部
１３ｂ 制御情報記憶部
１３ｃ ポリシ情報記憶部
２０ ＮＡＴ装置
２１ 割当部
２２ 変換部
３０ セキュリティ機器
３１ フィルタリング部
４０ ユーザ端末
５０Ａ〜５０Ｘ 企業ＮＷ
６０ インターネット
７０ 通信装置
１００、１００Ａ 通信システム

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】