JP4380945B2

JP4380945B2 - Relay server

Info

Publication number: JP4380945B2
Application number: JP2001212254A
Authority: JP
Inventors: 好史谷本
Original assignee: Murata Machinery Ltd
Current assignee: Murata Machinery Ltd
Priority date: 2001-07-12
Filing date: 2001-07-12
Publication date: 2009-12-09
Anticipated expiration: 2021-07-12
Also published as: JP2003032236A

Description

【０００１】
【発明の属する技術分野】
本発明は、複数のネットワーク装置と通信を行い、あるネットワーク装置と他のネットワーク装置との間の通信を中継してネットワーク装置間の通信を実現する中継サーバに関するものである。
【０００２】
【従来の技術】
図６は、一般的なインターネットを用いたシステムの一例を示す説明図である。図中、１，２はローカルシステム、３はインターネット、１１，１２，２１，２２は端末、１３，２３はゲートウェイ、１４，２４はＬＡＮである。ローカルシステム１は、端末１１、端末１２、ゲートウェイ１３などがＬＡＮ１４により接続されて構成されている。ゲートウェイ１３は、ＬＡＮ１４とともにインターネット３に接続されており、ＬＡＮ１４上の端末１１，１２など、各種のネットワーク機器からインターネットを利用することができる。またローカルシステム２も同様であり、端末２１、端末２２、ゲートウェイ２３などがＬＡＮ２４により接続されて構成されている。ゲートウェイ２３は、ＬＡＮ２４とともにインターネット３に接続されており、ＬＡＮ２４上の端末２１，２２など、各種のネットワーク機器からインターネットを利用することができる。もちろん、それぞれのローカルシステム１，２において、他の様々な機器がＬＡＮ１４，２４により接続されていてよい。
【０００３】
このようなシステムにおいて、通常はローカルシステム１，２に対してはグローバルＩＰアドレスは１ないし複数個が割り当てられるが、ローカルシステム１，２内のそれぞれのネットワーク機器にグローバルＩＰアドレスが割り当てられるわけではない。それぞれのローカルシステム１，２内の各ネットワーク機器にはプライベートなＩＰアドレスが割り振られており、ゲートウェイ１３，２３によってＮＡＴやＩＰマスカレードなどの機能を用いてプライベートなＩＰアドレスをグローバルなＩＰアドレスに変換している。このようなＩＰアドレスの変換機能を有するゲートウェイ１３，２３を用い、例えばローカルシステム１では端末１１，１２はゲートウェイ１３を介してインターネット３を利用することになる。またローカルシステム２においても、端末２１，２２はゲートウェイ２３を介してインターネット３を利用することになる。
【０００４】
またゲートウェイ１３，２３あるいは別のネットワーク機器等においてはファイアウォールやプロキシサーバなどの機能を有し、これらの装置を介して各端末がインターネット３を利用するような構成も利用されており、システムの安全性を向上させている。
【０００５】
ここで、例えばインターネット３からローカルシステム１内の端末１１に対してアクセスしようとすると、ゲートウェイ１３のグローバルＩＰアドレスを知ることはできるものの、端末１１のプライベートなＩＰアドレスを知ることはできない。従って、通常の接続方法ではローカルシステム１の外部から端末１１をアクセスすることはできない。またゲートウェイ１３のファイアウォールの機能などによって、アクセスを受け付けるサイトが制限されている場合もある。もちろん、端末１２についても同様であるし、ローカルシステム２内の端末２１，２２についても同様である。
【０００６】
さらに、ローカルシステム１内の端末１１や端末１２、ローカルシステム２内の端末２１や端末２２は、通常はクライアント機能しか有しておらず、他のネットワーク機器からの情報を受け付けるサーバの機能を有していない。そのため、端末１１，１２，２１，２２から他のネットワーク機器にアクセスしない限り、他のネットワーク機器からこれらの端末に情報を送信することができない。
【０００７】
【発明が解決しようとする課題】
本発明は、上述した事情に鑑みてなされたもので、インターネットからローカルシステム内の端末への接続、あるいは異なるローカルシステム内の端末間の接続を実現するとともに、異なるローカルシステム内の端末間において暗号通信が可能な中継システムを実現する中継サーバを提供することを目的とするものである。
【０００８】
【課題を解決するための手段】
本発明は、中継サーバにおいて、複数のネットワーク装置とそれぞれ１以上のＴＣＰ／ＩＰコネクションを用いて通信可能な通信手段と、該通信手段を用いてネットワーク装置間の通信を中継する制御手段を有し、該制御手段は、前記通信手段により前記ネットワーク装置との間で確立し保持しているＴＣＰ／ＩＰコネクションを用いて前記ネットワーク装置と他のネットワーク装置との間の通信を中継し、前記ネットワーク装置から暗号通信が指示されているとき該ネットワーク装置に対して接続を要求した他のネットワーク装置に対してＴＣＰ／ＩＰコネクションを用いた暗号通信を指示することを特徴とするものである。また本発明は、中継サーバにおいて、複数のネットワーク装置とそれぞれ１以上のＴＣＰ／ＩＰコネクションを用いて通信可能な通信手段と、該通信手段を用いてネットワーク装置間の通信を中継する制御手段を有し、該制御手段は、前記通信手段により前記ネットワーク装置との間で確立し保持しているＴＣＰ／ＩＰコネクションを用いて前記ネットワーク装置と他のネットワーク装置との間の通信を中継し、前記ネットワーク装置から暗号通信が指示されているとき、該ネットワーク装置から他のネットワーク装置に対する接続要求時に前記他のネットワーク装置に対してＴＣＰ／ＩＰコネクションを用いた暗号通信を指示することを特徴とするものである。
【０００９】
このような構成によって、ネットワーク装置から中継サーバにログインしておき、ログインしているネットワーク装置の通信を中継することによって、例えばネットワーク装置がローカルシステム内の装置であっても、インターネットからネットワーク装置への通信を実現することができる。それとともに、暗号通信を要求したネットワーク装置と中継サーバとの間だけでなく、中継サーバと相手先のネットワーク装置との間についても暗号通信を行うことによって、ネットワーク装置間の暗号通信を実現することができる。
【００１０】
なお、暗号通信は、中継プロトコルレベルあるいはアプリケーションのレベルで行うことができる。なお、暗号通信の指示は、予め設定しておくほか、ネットワーク装置の中継サーバへのログイン時に行うことができる。この場合、暗号通信を行うか否かの指示を他のネットワーク装置へ通知するように構成することができる。
【００１１】
【発明の実施の形態】
図１は、本発明の中継サーバの実施の一形態を含む通信システムの一例を示す構成図である。図中、図６と同様の部分には同じ符号を付して重複する説明を省略する。４，５は中継サーバ、４１は通信部、４２は制御部である。中継サーバ４は、インターネット３に接続されており、グローバルＩＰアドレスを有している。このグローバルＩＰアドレスを用いてインターネット３を介して各種のネットワーク機器と通信を行うことができる。
【００１２】
中継サーバ４は、例えば通信部４１および制御部４２を含んで構成することができる。通信部４１は、インターネット３を介して複数のネットワーク機器と通信可能である。
【００１３】
制御部４２は、通信部４１を介してネットワーク機器から送られてくるログイン要求を受け付け、そのネットワーク機器との接続を維持して通信路を確保しておく。また、ログイン要求時には、ネットワーク機器から送られてくる各種の属性情報の指定を受け取り、その属性情報に従ったログイン時の処理を行う。この属性情報として、暗号通信を行うか否かを示す情報を含めておくことができる。また、暗号通信を行うことが指示されているとき、使用可能な暗号化方式を属性に含めておくことができる。なお、ログイン時に受け取った、暗号通信を行うか否かの情報を含む属性情報は、例えば同じく属性情報に従って他のネットワーク機器の一部または全部に対して通知してもよい。このときの通知の指定として、
・全ユーザに通知する
・全ユーザに通知しない
・特定のユーザに通知する
・特定のユーザに通知しない
等を指定することができる。
【００１４】
また、このようにしてログイン要求を受け、通信路が確保されると、その通信路をログアウトされるまで維持しておく。そして、通信可能に接続されているネットワーク機器から接続要求情報を受け取ると、その接続要求情報に従って、通信可能に接続されているネットワーク機器と接続を要求したネットワーク装置との間でのデータ転送を中継する。このとき、ネットワーク機器のログイン時に暗号通信を行う旨の属性情報を受け取っている場合には、そのネットワーク機器に対して接続要求を行った他のネットワーク機器に対して暗号通信を行うように指示する。これによって、それぞれのネットワーク機器では、データを暗号化して送出し、中継サーバにおいてこれを中継して転送することによって、ネットワーク機器の間での暗号通信を実現することができる。
【００１５】
例えば端末１１と端末２１がそれぞれ通信可能に接続されて通信路が確保されている状態において、端末１１から端末２１との接続要求情報を受け取ると、中継サーバ４は端末１１との間でデータ転送を行うとともに、端末２１との間でもデータ転送を行い、実質的に端末１１と端末２１との間での通信を実現する。このとき、端末１１や端末２１はそれぞれローカルシステム１，ローカルシステム２内のネットワーク装置である。中継サーバ４からゲートウェイ１３，２３に対しては接続可能であるが、端末１１や端末２１については接続することができない。また、上述のように端末１１と端末２１との間でも直接的な通信を行うことはできない。しかし、中継サーバ４のグローバルＩＰアドレスを使用すれば、端末１１や端末２１からゲートウェイ１３，２３を介して中継サーバ４に接続することは可能である。従って、端末１１や端末２１から中継サーバ４に対してログイン要求を行って通信路を確保することによって、中継サーバ４とログイン要求を行った端末１１あるいは端末２１との間の双方向の通信が可能になる。
【００１６】
このように中継サーバ４と端末１１の間、及び中継サーバ４と端末２１との間の双方向の通信が可能であると、中間サーバ４は、端末１１から端末２１への通信要求を受けた場合、端末１１から送られてきたデータを受信し、受信したデータを端末２１へ送信する。これによって、端末１１から端末２１へのデータ転送を行う。また逆に、端末２１から送られてきたデータを受信し、受信したデータを端末１１へ送信することもできる。このようにして、端末１１と端末２１との間の通信を実現することができる。もちろん、１台のネットワーク装置と複数の接続を確保することも可能であり、複数の接続を用いて複数台のネットワーク装置との通信を行うことが可能である。また中継サーバが複数のネットワーク装置との接続を用いて同報通信を行うこともできる。
【００１７】
さらに、このような端末間の通信を行う場合、ゲートウェイ１３，２３と中継サーバ４との間の通信はローカルシステム外のネットワークを用いることになるため、セキュリティが保証されない。従って暗号通信を行うことが要求されることがある。中継プロトコルレベルで暗号通信を行う場合、中継サーバ４とネットワーク機器との間での暗号通信を実現することができるが、上述のように端末間で通信を行う場合、一方が暗号通信を行っても、他方が暗号通信を行わない状態で通信を行ってもセキュリティを保つことができない。そのため、暗号通信を行う旨を指定しているネットワーク機器へ、あるいは暗号通信を行う旨を指定しているネットワーク機器からの接続要求については、中継サーバ４において相手方に対して暗号通信を指示する。
【００１８】
例えば端末２１が他のネットワーク機器との間で暗号通信を行おうとする場合、端末２１から中継サーバ４へログインする際に、属性情報の一部として暗号通信を指定しておく。そして例えば端末１１から端末２１へ接続して通信を行おうとする場合には、中継サーバ４は端末１１から端末２１との接続要求情報を受け取ると端末１１に対して暗号通信を指定する。これに従って端末１１は、中継サーバ４との間で暗号通信を行う。また中継サーバ４は端末２１との間でも暗号通信を行い、実質的に端末１１と端末２１との間での暗号通信を実現する。このとき、端末１１及び端末２１では、上述のように中継プロトコルレベルで暗号化を行うことによって、転送するデータによらず、一律に所定の暗号方式により暗号通信を行うことができる。なお、暗号方式によっては中継サーバ４において復号及び再暗号化の処理を行ってもよい。
【００１９】
例えば端末２１から端末１１へ接続して通信を行う場合には、すでにログイン時に暗号通信が指定されているので、中継サーバ４は接続先である端末１１に対して接続要求情報を送るとともに暗号通信を指定する。これに従って端末１１は、中継サーバ４との間で暗号通信を行えばよい。
【００２０】
あるいは、アプリケーションレベルで暗号化を行うこともできる。この場合には、通信を行うネットワーク機器（例えば端末１１及び端末２１）のアプリケーションにおいて暗号化及び復号の処理を行い、中継プロトコルレベルでは暗号データであるか否かに関わらず、一律に転送の処理を行う。中継サーバ４は暗号通信を指定する以外には、転送データに対する復号や再暗号化の処理は行わず、転送の処理を行うだけでよい。このようにアプリケーションレベルで暗号通信を行う場合には、アプリケーションごとに暗号化方式を選択して暗号化し、データを転送することができる。もちろん、暗号化しない場合も選択肢に含めておくことができる。暗号方式としては、例えばユーザＩＤを利用したＩＤ−ＮＩＫＳ４などのＩＤ暗号方式などを使用することができる。もちろん、他の各種の暗号方式を用いることもできる。
【００２１】
また、上述の例では中継サーバ４へのログイン時に暗号通信を行うか否かを示す属性情報を転送するものとしたが、これに限らず、例えば予め中継サーバ４に暗号通信を行う旨を登録しておき、ログイン時に指定を行わなくてよいように構成することも可能である。このように予め中継サーバ４に暗号通信を行うこと登録しておく場合、中継サーバ４との間の通信プロトコル自体についても暗号化してやりとりを行うことが可能である。これによって、中継サーバ４への各種の情報伝達についても暗号通信によって行うことができる。
【００２２】
さらに、暗号通信を指示しないで中継サーバにログインしておき、ネットワーク機器が接続要求を行ったときに暗号通信を指示することも可能である。この場合にも、中継サーバ４は、接続要求があった旨を通知する際に暗号通信が指示された旨を通知し、その後、中継サーバとの間で暗号通信を行えばよい。
【００２３】
なお、例えば接続先が暗号通信を指示しているが、接続要求元が暗号通信に対応できない場合には、接続を拒否したり、あるいは接続先に対して暗号通信ができない相手先からの接続要求があった旨を通知し、接続するか否かを返信してもらうように構成してもよい。また接続要求時に暗号通信を指示したが接続先が暗号通信に対応できない場合も同様である。
【００２４】
図１における中継サーバ５も中継サーバ４と同様の構成を有するものである。中継サーバ４と中継サーバ５との通信路を確保しておくことによって、中継サーバ４にログインしたネットワーク装置と、中継サーバ５にログインしたネットワーク装置の間での通信を実現することができる。この場合も接続先あるいは接続元が暗号通信を要求している場合には、いずれかの中継サーバにおいてその旨を相手先へ通知することによって暗号通信を実現することができる。また、さらに多くの中継サーバがインターネット３上に存在し、中継サーバ間の通信を中継する中継サーバが存在していてもよい。もちろん、インターネット上に存在する中継サーバの個数は任意であり、１以上存在していればよい。
【００２５】
図２、図３は、本発明の中継サーバを含む通信システムの実施の一形態における通信手順の一例を示すシーケンス図である。図２、図３に示す通信手順は、ＴＣＰ／ＩＰを利用して実行され、中継サーバとの接続、接続の維持、端末への接続要求、端末へのデータ転送、端末との接続終了、中継サーバとの接続終了等を行うものである。このうち、中継サーバ４との接続、接続の維持、中継サーバ４との接続終了の部分を図２に示し、端末からの接続要求、端末へのデータ転送、端末との接続終了等の部分を図３に示している。
【００２６】
ここでは一例として、図１におけるローカルシステム１内の端末１１とローカルシステム２内の端末２１との間で通信を行うものとし、端末２１がログイン時に暗号通信を要求する場合について示している。予め、中継サーバ４に対して端末１１と端末２１をユーザとして登録しておく。登録の情報としては、例えばログイン時のユーザＩＤや認証のためにパスワードなどを登録しておくとよい。
【００２７】
端末１１は、例えば起動後あるいはオペレータによって指示されると、（１）において、ゲートウェイ１３を介して中継サーバ４に接続し、ログインして中継サーバ４とのＴＣＰ／ＩＰコネクション（接続１）を確立する。端末１１はローカルシステム１内のネットワーク機器であるため、中継サーバ４から直接通信を行うことはできないが、クライアントである端末１１からのログインにより中継サーバ４への接続は可能である。ＴＣＰ／ＩＰコネクションは双方向型のデータ通信が可能であるので、端末１１から中継サーバ４へ、また中継サーバ４から端末１１への通信を行うことができる。
【００２８】
接続１が確立した後、（２）において端末１１はユーザＩＤ、パスワードを中継サーバ４に送る。中継サーバ４は、受け取ったユーザＩＤおよびパスワードが制御部４２に接続情報として保持されているかを調べ、端末１１の認証を行う。この認証によって、不特定の第３者との接続を回避し、安全性を確保することができる。もし接続情報が登録されていなかったり、パスワードが違っているなど、認証に失敗した場合には、中継サーバ４は端末１１に対して否定応答を行うか、あるいはそのまま接続１を切断する。認証が成功したら、（３）において、肯定応答を行う。
【００２９】
またここまでのログイン処理の時に各種の属性情報を必要に応じて指定することができる。この属性情報として、暗号通信を行うか否かを指定することができる。このほか、例えばログインしたことを含む各種情報を他のユーザに通知するか否かに関する情報や、データ受信に関する情報、接続可能な相手先に関する情報など、各種の属性情報を必要に応じて指定することができる。属性情報は、例えばユーザＩＤやパスワードとともに中継サーバ４に転送してもよいし、中継サーバ４からの肯定応答の後に、別途、属性情報の転送を行ってもよい。
【００３０】
このようにしてログイン時の処理が終了したら、以後、接続１が切断されるまで、接続１を維持するように制御する。そのために、（４）において定期的に中継サーバ４に対し接続保持のコマンドを送出し、（５）において中継サーバ４からの確認の応答を得る。これによって接続を保持しておくとともに、中継サーバが正常に稼働していることの確認を行う。
【００３１】
同様に端末２１は、（１’）において、ゲートウェイ２３を介して中継サーバ４に接続し、ログインして中継サーバ４とのＴＣＰ／ＩＰコネクション（接続２）を確立する。端末２１もローカルシステム２内のネットワーク装置であるため、中継サーバ４から直接通信を行うことはできないが、クライアントである端末２１からのログインにより中継サーバ４への接続は可能である。接続２によって、端末２１から中継サーバ４へ、また中継サーバ４から端末２１への通信を行うことができる。
【００３２】
接続２が確立した後、（２’）において端末２１はユーザＩＤ、パスワードを中継サーバ４に送る。中継サーバ４は、受け取ったユーザＩＤおよびパスワードが制御部４２に接続情報として保持されているか否かを調べ、端末２１の認証を行う。もし接続情報が登録されていなかったり、パスワードが違っているなど、認証に失敗した場合には、中継サーバ４は端末２１に対して否定応答を行うか、あるいはそのまま接続２を切断する。認証が成功したら、（３’）において、肯定応答を行う。またここまでのログイン処理の時に、各種の属性情報を指定することができる。この例では、端末２１は暗号通信を行うものとし、属性情報として暗号通信を行う旨を通知する。なお属性情報は、例えばユーザＩＤやパスワードとともに中継サーバ４に転送してもよいし、中継サーバ４からの肯定応答の後に、別途、属性情報の転送を行ってもよい。
【００３３】
このようにしてログイン時の処理が終了したら、以後、接続２が切断されるまで、接続２を維持するように制御する。そのために、（４’）において定期的に中継サーバ４に対し接続保持のコマンドを送出し、（５’）において中継サーバ４からの確認の応答を得る。これによって接続を保持しておくとともに、中継サーバが正常に稼働していることの確認を行う。
【００３４】
なお、図２に示す例では端末１１による中継サーバ４へのログインが先に、端末２１によるログインが後に行われているが、順序は任意であり、両者の通信前であればいつ行ってもよい。また、両者の通信時まで中継サーバ４との接続が維持されいている必要がある。
【００３５】
端末間で通信を行う場合のシーケンスの一例を図３に示している。端末１１から端末２１に接続したいという要求が発生すると、（１１）において、端末１１は中継サーバ４に対して接続したい端末２１のユーザＩＤを指定して接続要求を行う。なお、接続先となる端末２１のユーザＩＤは、予め取得しておくか、あるいは中継サーバ４からログイン中のユーザの一覧などによって確認して指定するなど、任意の方法で指定することができる。中継サーバ４は、指定されたユーザＩＤに対応する端末２１がログイン状態でないならエラーを端末１１に返す。
【００３６】
また、端末２１がログイン状態にあるならば、端末２１との接続及び通信が可能である。この例では端末２１から暗号通信を行う旨が指定されているので、中継サーバ４は（１２）において端末１１に対して暗号通信を指定する。端末１１が暗号通信を行うことができる場合には（１３）において暗号通信受け入れ応答が返されるので、これを確認した後に、中継サーバ４は（１４）において端末２１に対して端末１１から接続要求がある旨の情報と接続を要求している端末１１のユーザＩＤを含む接続要求通知を送信する。
【００３７】
なお、端末１１が暗号通信を行うことができない場合には、端末１１からの接続要求を端末２１との接続を行わない。あるいは、端末２１に対して暗号通信を行うことができない相手先から接続要求があった旨を通知し、端末２１からの応答に従って接続の可否を決定してもよい。また、この例では端末１１からの暗号通信受け入れ応答を待ってから端末２１に対して端末１１からの接続要求を通知しているが、これに限らず、端末１１への暗号通信指示とともに端末２１に対して接続要求通知を行ってもよい。
【００３８】
端末２１は、接続要求通知の送信に用いられた接続が端末１１との接続に使用されていることを記憶して、（１５）において受け入れ可能の応答を返す。このとき端末２１は、接続２を通じて端末１１と暗号通信を行うものとして設定しておく。なお、接続を拒否する場合は例えばエラーを返せばよい。
【００３９】
中継サーバ４は、（１６）において、端末１１に対して端末２１からの応答を返す。端末２１からの応答が受け入れ可能の応答の場合には、中継サーバ４は、接続１と接続２を、それぞれ端末１１と端末１２の通信に使用するものとして記憶する。このとき、接続１と接続２については暗号通信を行うものとして記憶しておく。
【００４０】
また端末２１からの応答を受け取った端末１１では、受け入れ可能の応答を受け取った場合には、使用している接続（接続１）を端末２１との通信に使用するものとして記憶する。このとき端末１１では、接続１によって端末２１と暗号通信を行うものとして設定する。
【００４１】
このようにして端末１１及び端末２１と中継サーバ４との間で暗号通信を行うことを設定した後、（２２）以降において実際にデータを暗号通信により送信することになる。なお、図３に示す例では、端末１１と端末２１との間の通信を行うことが決定された後に、その他のネットワーク機器からの接続要求を受けたり、他のネットワーク機器への接続要求を行うために、それぞれ、新しいＴＣＰ／ＩＰコネクションを中継サーバ４に確立する。すなわち、端末１１は（１７）において中継サーバ４にログインして中継サーバ４とのＴＣＰ／ＩＰコネクション（接続３）を確立し、（１８）において端末１１はユーザＩＤ、パスワード、必要に応じて属性情報を中継サーバ４に送る。中継サーバ４は、受け取ったユーザＩＤおよびパスワードにより端末１１の認証を行い、（１９）において応答を返す。そしてこの接続３を維持するため、定期的に（２０）において端末１１から中継サーバ４へ接続保持コマンドを送信し、中継サーバ４は（２１）において応答を端末１１に返す。
【００４２】
同様に端末２１は（１７’）において中継サーバ４にログインして中継サーバ４とのＴＣＰ／ＩＰコネクション（接続４）を確立し、（１８’）において端末２１はユーザＩＤ、パスワード、必要に応じて属性情報を中継サーバ４に送る。この例では属性情報として暗号通信を行う旨の情報を送信している。中継サーバ４は、受け取ったユーザＩＤおよびパスワードにより端末２１の認証を行い、（１９’）において応答を返す。また端末２１との通信が暗号通信により行われることを設定しておく。そしてこの接続４を維持するため、定期的に（２０’）において端末２１から中継サーバ４へ接続保持コマンドを送信し、中継サーバ４は（２１’）において応答を端末２１に返す。
【００４３】
なお、このように新たなＴＣＰ／ＩＰコネクションを確立した場合に指定する属性情報は、先の接続に対する属性情報と異なっていてもかまわない。また、属性情報を指定せずに先の接続に対する属性情報をそのまま受け継ぐように構成したり、属性情報によって先の接続に対する属性情報を受け継ぐ旨の指定が可能なように構成してもよい。また、上述のような空きの接続を確保しておく必要がなければ、（１７）〜（２１）あるいは（１７’）〜（２１’）の手順は必要ない。さらに、既に複数の接続を確保している場合も、これらの手順を行わなくてもよい。
【００４４】
上述の（１１）〜（１６）により端末１１及び端末２１と中継サーバ４との間で暗号通信を行うことを設定することによって、端末１１と端末２１間で暗号通信が可能である。例えば端末１１から端末２１へデータを送信する場合には、端末１１は送信するデータを暗号化し、（２２）において中継サーバ４に対して接続１を用いて暗号化したデータを送信する。なお、ここでは中継プロトコルレベルで暗号化の処理を行うものとする。
【００４５】
中継サーバ４は、端末１１からの暗号化されたデータを受け取り、受け取ったデータを復号した後に、さらに端末２１で復号可能なように再暗号化し、（２３）において接続２を用いて端末２１へ送信する。もちろん、暗号方式などによっては復号及び再暗号化の処理が必要ない場合もあり、その場合にはそのまま中継すればよい。
【００４６】
端末２１は、中継サーバ４から接続２を用いて送られてきた端末１１からの暗号化されたデータを受け取り、復号して元のデータを取得する。そして（２４）において、端末１１に対する応答を中継サーバ４に対して送信する。中継サーバ４は、端末２１から端末１１に対する応答を受け取り、受け取った応答を、（２５）において接続１を用いて端末１１へ送信する。
【００４７】
このようにして、端末１１と中継サーバ４との間の接続１と、端末２１と中継サーバ４との間の接続２とを用い、中継サーバ４によってデータを中継することによって、端末１１と端末２１との間の暗号通信を行うことができる。なお、（２２）〜（２５）による端末１１から端末２１へのデータ転送は、複数回繰り返されてもよい。また、端末２１から端末１１へのデータ転送についても同様に行うことができ、端末２１で暗号化したデータを中継サーバ４で受け取り、必要に応じて復号及び再暗号化の処理を施し、端末１１へ転送すればよい。
【００４８】
端末１１と端末２１との間のデータ転送が終了したら、端末１１あるいは端末２１から終了通知を行う。ここでは端末１１から行うものとし、（２６）において端末１１は端末２１に対する終了通知を、接続１を使用して中継サーバ４に対して送信する。中継サーバ４は、端末１１から受け取った端末２１への終了通知を、（２７）において接続２を使用して端末２１へ送信する。終了通知を送信した端末１１は、（２８）において、接続１が空きになったことを示す開放通知を中継サーバ４へ送信する。また終了通知を受け取った端末２１も、（２８’）において、接続２が空きになったことを示す開放通知を中継サーバ４へ送信する。これによって中継サーバ４は、接続１と接続２が端末１１と端末２１との間の通信用ではなくなり、空きになったことを記憶する。なお、この例では終了通知に対する応答を行っていないが、応答を返信するようにしてもよい。
【００４９】
このようにして開放された接続１および接続２は、図２に（４）、（５）または（４’）、（５’）で示したように接続保持コマンドとその応答を定期的に行って、端末１１と中継サーバ４との間、および、端末２１と中継サーバ４との間の接続を保つ。なお、この時点では端末１１と中継サーバ４との間では接続１と接続３が確保されている。同様に、端末２１と中継サーバ４との間では接続２と接続４が確保されている。そのままでもよいし、接続１および接続２の開放時にこれらの接続については切断してもよい。もちろん、接続１および接続２を存続させ、接続３および接続４を切断してもよい。
【００５０】
図２に戻り、例えば端末１１が電源を切断する場合や、中継サーバ４への接続をやめる場合には、（６）において、端末１１は中継サーバ４に対してログアウトを通知する。このとき、複数の接続が確保されている場合には、いずれの接続を用いて行ってもよい。そして、端末１１はすべての接続を切断して終了する。この例では（７）において接続１を切断して終了する。図３の（１７）〜（１９）で接続３を確保している場合には、この接続３についても切断することになる。中継サーバ４は、端末１１からのログアウトの通知を受け、端末１１のログアウトを認識して端末１１とのすべての接続を切断する。なお、端末２１においても同様である。
【００５１】
上述のような手順を実行することによって、それぞれあるいは一方がローカルシステム内のネットワーク機器である場合でも通信を行うことが可能であ。さらに予め暗号通信を指示しておくことによって、中継サーバ４が相手先に暗号通信を指示して各端末と中継サーバ４間で暗号通信を行い、端末間の暗号通信を実現することができる。
【００５２】
なお、上述のような中継サーバ４との接続、接続の維持、端末への接続要求、端末へのデータ送信、端末との接続終了、中継サーバとの接続終了を行うための手順は、上位で動作するアプリケーションプロトコルがやりとりするコマンドやデータに対しては透過性を保ち何の影響も与えないように構成することが可能であり、既存のアプリケーションプロトコルをそのまま用いて通信を行うことが可能である。また、暗号化及び復号の処理についても上述のように中継プロトコルレベルで行うことによって、アプリケーションによらず、暗号通信を行うことができる。
【００５３】
図４は、本発明の中継サーバを含む通信システムの実施の一形態における通信手順の別の例を示すシーケンス図である。図３においては端末１１から端末２１に対して接続要求を行った場合について、通信手順の一例を示した。図４では、暗号通信を指示している端末２１から、端末１１に対して接続要求を行う場合の通信手順の一例を示している。
【００５４】
端末２１から接続要求を行う場合、（３１）において、端末２１は中継サーバ４に対して端末１１のユーザＩＤを指定して接続要求を行う。このとき、既にログイン時に暗号通信を指定しているので、改めて暗号通信を要求しなくても、相手先と暗号通信を行うことを前提とする。もちろん改めて暗号通信を指定してもよい。中継サーバ４は（３２）において端末１１に対して端末２１から接続要求がある旨の情報と接続を要求している端末１１のユーザＩＤを含む接続要求通知を送信する。このとき中継サーバ４は、端末１１に対して暗号通信を指示する。
【００５５】
接続要求通知を受けた端末１１は、接続要求通知の送信に用いられた接続１が端末１１との通信に使用されていることを記憶し、また、暗号通信を行うように設定を行う。そして、（３３）において、接続受け入れ可能の応答を返す。なお、接続を拒否する場合や暗号通信ができない場合は例えばエラーを返せばよい。
【００５６】
中継サーバ４は、端末１１から接続受け入れ応答を受け取ると、（３４）において、端末２１に対して端末１１からの応答を返す。端末１１からの応答が受け入れ可能の応答の場合には、中継サーバ４は、接続１と接続２を、それぞれ端末１１と端末１２の通信に使用するものとして記憶する。このとき、接続１と接続２については暗号通信を行うものとして記憶しておく。
【００５７】
また端末１１からの応答を受け取った端末２１では、受け入れ可能の応答を受け取った場合には、使用している接続（接続２）を端末１１との通信に使用するものとして記憶する。この場合、端末２１は接続２を用いて端末１１と暗号通信を行うことになる。
【００５８】
このようにして端末１１及び端末２１と中継サーバ４との間で暗号通信を行うことを設定した後、（４０）以降において実際にデータを暗号通信により送信することになる。なお、図４に示す例においても、（３５）〜（３９）により端末１１と中継サーバ４との間に接続３を設け、また（３５’）〜（３９’）により端末２１と中継サーバ４との間に接続４を設けている。
【００５９】
データ転送時の手順は図３に示した例と同様であるが、ここでは端末２１から端末１１へデータを転送する例を示している。端末２１は送信するデータを暗号化し、（４０）において中継サーバ４に対して接続２を用いて暗号化したデータを送信する。中継サーバ４は、端末２１からの暗号化されたデータを受け取り、必要に応じて受け取ったデータを復号及び再暗号化した後、（４１）において接続１を用いて端末１１へ送信する。端末１１は、中継サーバ４から接続１を用いて送られてきた端末２１からの暗号化されたデータを受け取り、復号して元のデータを取得する。そして（４２）において、端末２１に対する応答を中継サーバ４に対して送信する。中継サーバ４は、端末１１から端末２１に対する応答を受け取り、受け取った応答を、（４３）において接続２を用いて端末２１へ送信する。
【００６０】
このようにして、暗号通信を予め設定した端末２１から接続要求を行う場合についても、端末１１との間で暗号通信を行うことができる。なおこの場合も、端末１１から端末２１へのデータ転送も可能であり、この場合を含め、複数回のデータ転送を行ってもよい。
【００６１】
また端末１１と端末２１との間のデータ転送が終了した場合についても図３に示した例と同様であり、この例では端末２１から（４４）において接続２を使用して終了通知を中継サーバ４へ送信し、中継サーバ４は端末２１から受け取った終了通知を、（４５）において接続１を使用して端末１１へ送信する。そして端末１１は（４６）において接続１の開放を中継サーバ４へ通知し、また端末２１は（４６’）において接続２の開放を中継サーバ４へ通知すればよい。
【００６２】
なお、上述の通信手順の２つの例における説明では、転送するデータに対してのみ暗号通信を行うものとして説明した。しかしこれに限らず、暗号通信を指定したり、暗号通信の受け入れ応答を行った後は、プロトコル自体も暗号化して通信を行うこともできる。さらに、予め登録しておけば、ログインの時点から暗号通信を行うことが可能である。
【００６３】
図５は、本発明の中継サーバを含む通信システムの実施の一形態においてアプリケーションレベルで暗号化を行う場合の説明図である。上述の通信手順の説明では、暗号化及び復号の処理を中継プロトコルレベルで行う例を示した。本発明はこれに限らず、例えばアプリケーションレベルで行うこともできる。例えば図５には、端末１１から中継サーバ４を介して端末２１へ暗号通信によりデータを転送する場合を示している。
【００６４】
この場合も、例えば端末１１に対して中継サーバ４から暗号通信を指定する。これによって、端末１１の中継プロトコルレベルで暗号通信の指定を受け取り、アプリケーションあるいはさらに端末１１のユーザに対して伝達しておく。
【００６５】
端末１１では、転送するデータを、そのデータを作成したアプリケーションあるいは別のアプリケーションによって暗号化し、送信を待つ。暗号化されたデータは、中継プロトコルレベルでは暗号化していない場合と同様に中継サーバ４へと転送される。中継サーバ４においても、端末１１から送られてきた暗号化されたデータをそのまま端末２１へ転送して中継すればよい。端末２１では、中継プロトコルレベルでは暗号化されたデータをそのまま受け取り、アプリケーションレベルで復号して平文（元のデータ）を取得すればよい。
【００６６】
このようにして、アプリケーションレベルで暗号化及び復号の処理をを行うことによって、中継サーバ４を介した端末間の暗号通信を実現することができる。このようにアプリケーションレベルでの暗号通信を行う場合、使用するアプリケーションによって暗号方式を切り換えたり、暗号通信を行うか否かについても切り換えることが可能である。また、上述のように中継サーバ４は送られてきたデータをそのまま転送すればよく、暗号化や復号の処理を実装する必要がないというメリットもある。
【００６７】
もちろん、アプリケーションレベルの暗号化と中継プロトコルレベルの暗号化を併用することも可能である。この場合、中継サーバ４において中継プロトコルレベルでの復号処理を行っても、データがアプリケーションレベルでの暗号化が施されているため、中継サーバ４へのハッキングなどに対するセキュリティを向上させることができる。
【００６８】
上述の各例では、暗号通信を行う旨の指定をログイン時や接続要求時、あるいは予め行っておくものとして説明したが、これに限らず、ログイン後に通信前あるいは通信中であっても、いつでも指定あるいは変更することができるように構成することも可能である。
【００６９】
また、上述の各例においては、同じ中継サーバにログインしたネットワーク機器間で通信を行う場合について説明したが、これに限らず、例えば図１において中継サーバ４にログインしたネットワーク機器と中継サーバ５にログインしたネットワーク機器の間で通信を行うこともできる。この場合も、中継プロトコルレベルで暗号通信を行う場合には、中継サーバ４と中継サーバ５の間も暗号通信を行うことによって、ネットワーク機器間で暗号通信を実現することができる。もちろん、アプリケーションレベルでの暗号通信も可能である。
【００７０】
【発明の効果】
以上の説明から明らかなように、本発明によれば、ローカルシステム内のネットワーク機器から中継サーバへ予め接続して通信路を確保しておいて、この通信路を用いてデータの中継を行うので、インターネットからローカルシステム内のネットワーク機器へのデータ転送、あるいは異なるローカルシステム内のネットワーク機器間のデータ転送を実現することができる。それとともに、暗号通信を要求したネットワーク装置と中継サーバとの間だけでなく、暗号通信を相手先のネットワーク装置にも指示し、中継サーバと相手先のネットワーク装置との間についても暗号通信を行う。これによって、中継サーバで中継するシステムにおいても、ネットワーク装置間の暗号通信を実現することができるという効果がある。
【図面の簡単な説明】
【図１】本発明の中継サーバの実施の一形態を含む通信システムの一例を示す構成図である。
【図２】本発明の中継サーバを含む通信システムの実施の一形態における通信手順の一例を示すシーケンス図（一部）である。
【図３】本発明の中継サーバを含む通信システムの実施の一形態における通信手順の一例を示すシーケンス図（一部）である。
【図４】本発明の中継サーバを含む通信システムの実施の一形態における通信手順の別の例を示すシーケンス図（一部）である。
【図５】本発明の中継サーバを含む通信システムの実施の一形態においてアプリケーションレベルで暗号化を行う場合の説明図である。
【図６】一般的なインターネットを用いたシステムの一例を示す説明図である。
【符号の説明】
１，２…ローカルシステム、３…インターネット、４，５…中継サーバ、１１，１２，２１，２２…端末、１３，２３…ゲートウェイ、１４，２４…ＬＡＮ、４１…通信部、４２…制御部。[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a relay server that communicates with a plurality of network devices and relays communication between a network device and another network device to realize communication between the network devices.
[0002]
[Prior art]
FIG. 6 is an explanatory diagram showing an example of a system using a general Internet. In the figure, 1 and 2 are local systems, 3 is the Internet, 11, 12, 21 and 22 are terminals, 13 and 23 are gateways, and 14 and 24 are LANs. The local system 1 is configured by connecting a terminal 11, a terminal 12, a gateway 13, and the like via a LAN 14. The gateway 13 is connected to the Internet 3 together with the LAN 14 and can use the Internet from various network devices such as the terminals 11 and 12 on the LAN 14. The same applies to the local system 2, and the terminal 21, the terminal 22, the gateway 23, and the like are connected by a LAN 24. The gateway 23 is connected to the Internet 3 together with the LAN 24, and the Internet can be used from various network devices such as the terminals 21 and 22 on the LAN 24. Of course, in the local systems 1 and 2, various other devices may be connected by the LANs 14 and 24.
[0003]
In such a system, one or more global IP addresses are normally assigned to the local systems 1 and 2, but a global IP address is not assigned to each network device in the local systems 1 and 2. Absent. Each network device in each local system 1 and 2 is assigned a private IP address, and the gateways 13 and 23 convert the private IP address to a global IP address using functions such as NAT and IP masquerade. is doing. For example, in the local system 1, the terminals 11 and 12 use the Internet 3 via the gateway 13 using the gateways 13 and 23 having such an IP address conversion function. Also in the local system 2, the terminals 21 and 22 use the Internet 3 via the gateway 23.
[0004]
The gateways 13 and 23 or other network devices have functions such as a firewall and a proxy server, and a configuration in which each terminal uses the Internet 3 through these devices is also used. Improves sex.
[0005]
Here, for example, when trying to access the terminal 11 in the local system 1 from the Internet 3, the global IP address of the gateway 13 can be known, but the private IP address of the terminal 11 cannot be known. Therefore, the terminal 11 cannot be accessed from outside the local system 1 by a normal connection method. In addition, the site that receives access may be limited by the firewall function of the gateway 13 or the like. Of course, the same applies to the terminal 12, and the same applies to the terminals 21 and 22 in the local system 2.
[0006]
Furthermore, the terminal 11 and the terminal 12 in the local system 1 and the terminal 21 and the terminal 22 in the local system 2 usually have only a client function, and have a server function for receiving information from other network devices. Not done. Therefore, unless the terminals 11, 12, 21, and 22 access other network devices, information cannot be transmitted from these network devices to these terminals.
[0007]
[Problems to be solved by the invention]
The present invention has been made in view of the circumstances described above, and realizes connection from the Internet to a terminal in a local system, or connection between terminals in different local systems, and encryption between terminals in different local systems. An object of the present invention is to provide a relay server that realizes a relay system capable of communication.
[0008]
[Means for Solving the Problems]
The present invention has a communication means capable of communicating with a plurality of network devices using one or more TCP / IP connections in the relay server, and a control means for relaying communication between the network devices using the communication means. The control unit relays communication between the network device and another network device using a TCP / IP connection established and held with the network device by the communication unit, and the network device. When encryption communication is instructed from the network device, the network device is instructed to perform encryption communication using a TCP / IP connection to another network device that has requested connection to the network device. In the relay server, the relay server includes communication means capable of communicating with each of a plurality of network devices using one or more TCP / IP connections, and control means for relaying communication between the network devices using the communication means. And the control means relays communication between the network apparatus and another network apparatus using a TCP / IP connection established and held with the network apparatus by the communication means, and When encryption communication is instructed from a device, the network device instructs encryption communication using a TCP / IP connection to the other network device when a connection request is made to the other network device. is there.
[0009]
With such a configuration, by logging in to the relay server from the network device and relaying communication of the logged-in network device, for example, even if the network device is a device in the local system, the Internet to the network device. Communication can be realized. At the same time, the encryption communication between the network devices is realized by performing the encryption communication not only between the network device that requested the encryption communication and the relay server, but also between the relay server and the partner network device. Can do.
[0010]
Note that the encryption communication can be performed at the relay protocol level or the application level. The encryption communication instruction can be set in advance or can be performed when logging in to the relay server of the network device. In this case, it can be configured to notify an instruction on whether or not to perform encrypted communication to other network devices.
[0011]
DETAILED DESCRIPTION OF THE INVENTION
FIG. 1 is a block diagram showing an example of a communication system including an embodiment of a relay server of the present invention. In the figure, the same parts as those in FIG. 4 and 5 are relay servers, 41 is a communication unit, and 42 is a control unit. The relay server 4 is connected to the Internet 3 and has a global IP address. It is possible to communicate with various network devices via the Internet 3 using this global IP address.
[0012]
The relay server 4 can be configured to include a communication unit 41 and a control unit 42, for example. The communication unit 41 can communicate with a plurality of network devices via the Internet 3.
[0013]
The control unit 42 receives a login request sent from a network device via the communication unit 41, and maintains a connection with the network device to secure a communication path. In addition, when a login request is made, a specification of various attribute information sent from the network device is received, and a login process is performed according to the attribute information. As this attribute information, information indicating whether or not to perform encrypted communication can be included. In addition, when encryption communication is instructed, usable encryption methods can be included in the attribute. Note that the attribute information including whether or not to perform encrypted communication received at the time of login may be notified to some or all of other network devices according to the attribute information, for example. As notification designation at this time,
・ Notify all users
・ Do not notify all users
・ Notify specific users
・ Do not notify specific users
Etc. can be specified.
[0014]
Further, when a login request is received in this way and a communication path is secured, the communication path is maintained until logout. When connection request information is received from a network device that is communicably connected, data transfer between the network device that is communicably connected and the network device that requested the connection is relayed according to the connection request information. To do. At this time, if attribute information indicating that encrypted communication is performed at the time of login of the network device is received, an instruction is given to the other network device that has requested connection to the network device to perform encrypted communication. . As a result, each network device encrypts and transmits the data, and the relay server relays and transfers the data, thereby realizing encrypted communication between the network devices.
[0015]
For example, when the terminal 11 and the terminal 21 are connected so as to be communicable and a communication path is secured, when the connection request information with the terminal 21 is received from the terminal 11, the relay server 4 performs data transfer with the terminal 11. And data transfer between the terminal 21 and the communication between the terminal 11 and the terminal 21 are substantially realized. At this time, the terminal 11 and the terminal 21 are network devices in the local system 1 and the local system 2, respectively. Although the relay server 4 can connect to the gateways 13 and 23, the terminal 11 and the terminal 21 cannot be connected. Further, as described above, direct communication cannot be performed between the terminal 11 and the terminal 21. However, if the global IP address of the relay server 4 is used, it is possible to connect to the relay server 4 from the terminals 11 and 21 via the gateways 13 and 23. Therefore, by making a login request from the terminal 11 or 21 to the relay server 4 and securing a communication path, bidirectional communication between the relay server 4 and the terminal 11 or terminal 21 that has made the login request is possible. It becomes possible.
[0016]
As described above, when bidirectional communication between the relay server 4 and the terminal 11 and between the relay server 4 and the terminal 21 is possible, the intermediate server 4 receives a communication request from the terminal 11 to the terminal 21. In this case, the data sent from the terminal 11 is received, and the received data is transmitted to the terminal 21. Thereby, data transfer from the terminal 11 to the terminal 21 is performed. Conversely, the data sent from the terminal 21 can be received, and the received data can be transmitted to the terminal 11. In this way, communication between the terminal 11 and the terminal 21 can be realized. Of course, it is possible to secure a plurality of connections with one network device, and it is possible to communicate with a plurality of network devices using a plurality of connections. The relay server can also perform broadcast communication using connections with a plurality of network devices.
[0017]
Furthermore, when performing communication between such terminals, since communication between the gateways 13 and 23 and the relay server 4 uses a network outside the local system, security is not guaranteed. Therefore, it may be required to perform encrypted communication. When performing encrypted communication at the relay protocol level, it is possible to realize encrypted communication between the relay server 4 and the network device. However, when performing communication between terminals as described above, one side performs encrypted communication. However, security cannot be maintained even if communication is performed in a state where the other does not perform encrypted communication. For this reason, in response to a connection request from a network device designated to perform encrypted communication or from a network device designated to perform encrypted communication, the relay server 4 instructs the other party to perform encrypted communication.
[0018]
For example, when the terminal 21 tries to perform encrypted communication with another network device, the encrypted communication is designated as a part of the attribute information when logging in to the relay server 4 from the terminal 21. For example, when communication is performed by connecting from the terminal 11 to the terminal 21, the relay server 4 specifies encryption communication to the terminal 11 when receiving the connection request information with the terminal 21 from the terminal 11. Accordingly, the terminal 11 performs encrypted communication with the relay server 4. The relay server 4 also performs encrypted communication with the terminal 21 and substantially realizes encrypted communication between the terminal 11 and the terminal 21. At this time, by performing encryption at the relay protocol level as described above, the terminal 11 and the terminal 21 can perform encrypted communication uniformly by a predetermined encryption method regardless of the data to be transferred. Depending on the encryption method, the relay server 4 may perform decryption and re-encryption processing.
[0019]
For example, when communication is performed by connecting from the terminal 21 to the terminal 11, since encryption communication has already been specified at the time of login, the relay server 4 sends connection request information to the terminal 11 that is the connection destination and also performs encryption communication. Is specified. Accordingly, the terminal 11 may perform encrypted communication with the relay server 4.
[0020]
Alternatively, encryption can be performed at the application level. In this case, encryption and decryption processing is performed in the application of the network device (for example, the terminal 11 and the terminal 21) that performs communication, and the transfer processing is uniformly performed regardless of whether the data is encrypted data at the relay protocol level. I do. The relay server 4 does not perform decryption or re-encryption processing on the transfer data, but only performs the transfer processing, other than specifying the encryption communication. In this way, when performing encrypted communication at the application level, it is possible to select an encryption method for each application, perform encryption, and transfer data. Of course, it is possible to include the case where encryption is not performed. As an encryption method, for example, an ID encryption method such as ID-NIKS4 using a user ID can be used. Of course, other various encryption methods can also be used.
[0021]
In the above example, the attribute information indicating whether or not to perform encryption communication is transferred when logging in to the relay server 4. However, the present invention is not limited to this. For example, the fact that encryption communication is performed in advance to the relay server 4 is registered. In addition, it is possible to configure so that it is not necessary to specify at the time of login. In this way, when registering to perform encrypted communication with the relay server 4 in advance, the communication protocol itself with the relay server 4 can also be encrypted and exchanged. As a result, various types of information transmission to the relay server 4 can also be performed by encrypted communication.
[0022]
Further, it is possible to log in to the relay server without instructing encryption communication and instruct encryption communication when a network device makes a connection request. Also in this case, the relay server 4 may notify that the encrypted communication is instructed when notifying that the connection request has been made, and then perform the encrypted communication with the relay server.
[0023]
For example, if the connection destination instructs encryption communication, but the connection request source cannot handle encryption communication, the connection request from the other party that refuses connection or cannot perform encryption communication to the connection destination It may be configured to notify that there is a response and to return whether or not to connect. The same applies when encryption communication is instructed at the time of a connection request but the connection destination cannot support encryption communication.
[0024]
The relay server 5 in FIG. 1 has the same configuration as the relay server 4. By securing a communication path between the relay server 4 and the relay server 5, communication between the network device logged into the relay server 4 and the network device logged into the relay server 5 can be realized. Also in this case, when the connection destination or the connection source requests encrypted communication, the encryption communication can be realized by notifying the other party of that fact in any relay server. Further, more relay servers may exist on the Internet 3 and there may be relay servers that relay communication between the relay servers. Of course, the number of relay servers existing on the Internet is arbitrary, and it is sufficient that one or more relay servers exist.
[0025]
2 and 3 are sequence diagrams showing an example of a communication procedure in the embodiment of the communication system including the relay server of the present invention. The communication procedure shown in FIG. 2 and FIG. 3 is executed using TCP / IP, and is connected to the relay server, maintained, connected to the terminal, transferred to the terminal, transferred to the terminal, connected to the terminal, and relayed. The connection with the server is terminated. Among these, the connection with the relay server 4, the maintenance of the connection, the connection termination with the relay server 4 are shown in FIG. 2, and the connection request from the terminal, data transfer to the terminal, connection termination with the terminal, etc. This is shown in FIG.
[0026]
Here, as an example, it is assumed that communication is performed between the terminal 11 in the local system 1 and the terminal 21 in the local system 2 in FIG. 1, and the terminal 21 requests encrypted communication at the time of login. In advance, the terminal 11 and the terminal 21 are registered as users in the relay server 4. As registration information, for example, a user ID at the time of login or a password for authentication may be registered.
[0027]
The terminal 11 is connected to the relay server 4 via the gateway 13 in (1) after starting up or when instructed by an operator, for example, and logs in to establish a TCP / IP connection (connection 1) with the relay server 4 To do. Since the terminal 11 is a network device in the local system 1, it cannot communicate directly from the relay server 4, but can be connected to the relay server 4 by logging in from the terminal 11 that is a client. Since the TCP / IP connection allows bidirectional data communication, communication from the terminal 11 to the relay server 4 and from the relay server 4 to the terminal 11 can be performed.
[0028]
After the connection 1 is established, the terminal 11 sends the user ID and password to the relay server 4 in (2). The relay server 4 checks whether the received user ID and password are held as connection information in the control unit 42 and authenticates the terminal 11. By this authentication, connection with an unspecified third party can be avoided and safety can be ensured. If the authentication fails because the connection information is not registered or the password is different, the relay server 4 sends a negative response to the terminal 11 or disconnects the connection 1 as it is. If the authentication is successful, an affirmative response is made in (3).
[0029]
Also, various attribute information can be designated as necessary during the login process so far. As this attribute information, it can be specified whether or not to perform encrypted communication. In addition to this, for example, various attribute information such as information on whether to notify other users of various information including login, information on data reception, information on connectable destinations, etc. are designated as necessary. be able to. The attribute information may be transferred to the relay server 4 together with the user ID and password, for example, or may be transferred separately after an acknowledgment from the relay server 4.
[0030]
When the process at the time of login is completed in this way, control is performed so as to maintain the connection 1 until the connection 1 is disconnected. For this purpose, a connection holding command is periodically sent to the relay server 4 in (4), and a confirmation response from the relay server 4 is obtained in (5). This maintains the connection and confirms that the relay server is operating normally.
[0031]
Similarly, in (1 ′), the terminal 21 connects to the relay server 4 via the gateway 23, logs in, and establishes a TCP / IP connection (connection 2) with the relay server 4. Since the terminal 21 is also a network device in the local system 2, it cannot communicate directly from the relay server 4, but can be connected to the relay server 4 by logging in from the terminal 21 that is a client. With connection 2, communication from the terminal 21 to the relay server 4 and from the relay server 4 to the terminal 21 can be performed.
[0032]
After the connection 2 is established, the terminal 21 sends the user ID and password to the relay server 4 in (2 ′). The relay server 4 checks whether or not the received user ID and password are held as connection information in the control unit 42 and authenticates the terminal 21. If the authentication fails because the connection information is not registered or the password is different, the relay server 4 sends a negative response to the terminal 21 or disconnects the connection 2 as it is. If the authentication is successful, an affirmative response is made in (3 ′). Various attribute information can be specified at the time of the login process so far. In this example, it is assumed that the terminal 21 performs encrypted communication, and notifies the fact that encrypted communication is performed as attribute information. The attribute information may be transferred to the relay server 4 together with, for example, a user ID and a password, or may be transferred separately after an acknowledgment from the relay server 4.
[0033]
After the login process is completed in this way, control is performed so that the connection 2 is maintained until the connection 2 is disconnected. For this purpose, a connection holding command is periodically sent to the relay server 4 in (4 ′), and a confirmation response from the relay server 4 is obtained in (5 ′). This maintains the connection and confirms that the relay server is operating normally.
[0034]
In the example shown in FIG. 2, the terminal 11 logs in to the relay server 4 first, and the terminal 21 logs in later, but the order is arbitrary, and any time before the communication between the two, Good. Further, it is necessary that the connection with the relay server 4 is maintained until the two communicate.
[0035]
An example of a sequence for performing communication between terminals is shown in FIG. When a request to connect to the terminal 21 from the terminal 11 is generated, the terminal 11 designates the user ID of the terminal 21 to be connected to the relay server 4 and makes a connection request in (11). Note that the user ID of the terminal 21 that is the connection destination can be specified by an arbitrary method, such as acquiring in advance or confirming and specifying from the list of logged-in users from the relay server 4. The relay server 4 returns an error to the terminal 11 if the terminal 21 corresponding to the designated user ID is not in the login state.
[0036]
If the terminal 21 is in the login state, connection and communication with the terminal 21 are possible. In this example, since the terminal 21 specifies that the encrypted communication is performed, the relay server 4 specifies the encrypted communication to the terminal 11 in (12). If the terminal 11 can perform encrypted communication, an encrypted communication acceptance response is returned in (13). After confirming this, the relay server 4 requests a connection from the terminal 11 to the terminal 21 in (14). A connection request notification including information indicating that there is a user ID of the terminal 11 requesting connection is transmitted.
[0037]
When the terminal 11 cannot perform encrypted communication, the connection request from the terminal 11 is not connected to the terminal 21. Alternatively, it may be notified to the terminal 21 that there is a connection request from a partner that cannot perform encrypted communication, and whether or not connection is possible is determined according to a response from the terminal 21. In this example, the terminal 21 is notified of a connection request from the terminal 11 after waiting for an encrypted communication acceptance response from the terminal 11. A connection request notification may be sent to the server.
[0038]
The terminal 21 stores that the connection used for transmitting the connection request notification is used for the connection with the terminal 11, and returns an acceptable response in (15). At this time, the terminal 21 is set to perform cryptographic communication with the terminal 11 through the connection 2. For example, an error may be returned when the connection is rejected.
[0039]
The relay server 4 returns a response from the terminal 21 to the terminal 11 in (16). If the response from the terminal 21 is an acceptable response, the relay server 4 stores connection 1 and connection 2 as being used for communication between the terminal 11 and the terminal 12, respectively. At this time, connection 1 and connection 2 are stored as encrypted communication.
[0040]
In addition, when the terminal 11 receives the response from the terminal 21 and receives an acceptable response, the terminal 11 stores the connection used (connection 1) as being used for communication with the terminal 21. At this time, the terminal 11 is set to perform encrypted communication with the terminal 21 through connection 1.
[0041]
After setting encryption communication between the terminal 11 and the terminal 21 and the relay server 4 in this way, data is actually transmitted by encryption communication after (22). In the example shown in FIG. 3, after it is decided to perform communication between the terminal 11 and the terminal 21, a connection request from another network device is received or a connection request to another network device is made. Therefore, a new TCP / IP connection is established in the relay server 4 respectively. That is, the terminal 11 logs in to the relay server 4 in (17) and establishes a TCP / IP connection (connection 3) with the relay server 4, and in (18) the terminal 11 has the user ID, password, and attributes as necessary. Information is sent to the relay server 4. The relay server 4 authenticates the terminal 11 with the received user ID and password, and returns a response in (19). In order to maintain this connection 3, the connection holding command is periodically transmitted from the terminal 11 to the relay server 4 at (20), and the relay server 4 returns a response to the terminal 11 at (21).
[0042]
Similarly, the terminal 21 logs in to the relay server 4 at (17 ′) and establishes a TCP / IP connection (connection 4) with the relay server 4. In (18 ′), the terminal 21 receives the user ID, password, and as necessary. The attribute information is sent to the relay server 4. In this example, information indicating that encrypted communication is performed is transmitted as attribute information. The relay server 4 authenticates the terminal 21 with the received user ID and password, and returns a response in (19 ′). In addition, it is set that communication with the terminal 21 is performed by encrypted communication. In order to maintain the connection 4, the terminal 21 periodically transmits a connection holding command to the relay server 4 at (20 ′), and the relay server 4 returns a response to the terminal 21 at (21 ′).
[0043]
Note that the attribute information specified when a new TCP / IP connection is established in this way may be different from the attribute information for the previous connection. Alternatively, the attribute information for the previous connection may be inherited without specifying the attribute information, or the attribute information for the previous connection may be specified by the attribute information. Moreover, if it is not necessary to ensure the above-mentioned empty connections, the procedures (17) to (21) or (17 ′) to (21 ′) are not necessary. Further, even when a plurality of connections are already secured, these procedures need not be performed.
[0044]
The encryption communication is possible between the terminal 11 and the terminal 21 by setting the encryption communication between the terminal 11 and the terminal 21 and the relay server 4 according to the above (11) to (16). For example, when transmitting data from the terminal 11 to the terminal 21, the terminal 11 encrypts the data to be transmitted, and transmits the encrypted data using the connection 1 to the relay server 4 in (22). Here, encryption processing is performed at the relay protocol level.
[0045]
The relay server 4 receives the encrypted data from the terminal 11, decrypts the received data, re-encrypts the data so that it can be decrypted by the terminal 21, and uses the connection 2 to connect to the terminal 21 in (23). Send. Of course, depending on the encryption method, decryption and re-encryption processing may not be necessary.
[0046]
The terminal 21 receives the encrypted data from the terminal 11 sent from the relay server 4 using the connection 2 and decrypts it to obtain the original data. In (24), a response to the terminal 11 is transmitted to the relay server 4. The relay server 4 receives a response to the terminal 11 from the terminal 21, and transmits the received response to the terminal 11 using the connection 1 in (25).
[0047]
In this way, by using the connection 1 between the terminal 11 and the relay server 4 and the connection 2 between the terminal 21 and the relay server 4 and relaying data by the relay server 4, the terminal 11 and the terminal The encryption communication with 21 can be performed. Note that the data transfer from the terminal 11 to the terminal 21 according to (22) to (25) may be repeated a plurality of times. The data transfer from the terminal 21 to the terminal 11 can be performed in the same manner. The data encrypted by the terminal 21 is received by the relay server 4 and decrypted and re-encrypted as necessary. Can be transferred to.
[0048]
When the data transfer between the terminal 11 and the terminal 21 is completed, an end notification is sent from the terminal 11 or the terminal 21. Here, it is assumed that the communication is performed from the terminal 11, and in (26), the terminal 11 transmits an end notification to the terminal 21 to the relay server 4 using the connection 1. The relay server 4 transmits the termination notice to the terminal 21 received from the terminal 11 to the terminal 21 using the connection 2 in (27). In step (28), the terminal 11 that has transmitted the end notification transmits to the relay server 4 an open notification indicating that the connection 1 has become free. Also, the terminal 21 that has received the end notification transmits to the relay server 4 an open notification indicating that the connection 2 has become free in (28 ′). As a result, the relay server 4 stores that the connection 1 and the connection 2 are not used for communication between the terminal 11 and the terminal 21 and become empty. In this example, no response is made to the end notification, but a response may be returned.
[0049]
The connection 1 and the connection 2 opened in this way periodically perform the connection holding command and the response as shown by (4), (5) or (4 ′), (5 ′) in FIG. Thus, the connection between the terminal 11 and the relay server 4 and the connection between the terminal 21 and the relay server 4 are maintained. At this time, connection 1 and connection 3 are secured between the terminal 11 and the relay server 4. Similarly, connection 2 and connection 4 are secured between the terminal 21 and the relay server 4. The connection may be left as it is, or when the connection 1 and the connection 2 are opened, these connections may be disconnected. Of course, connection 1 and connection 2 may be continued and connection 3 and connection 4 may be disconnected.
[0050]
Returning to FIG. 2, for example, when the terminal 11 turns off the power supply or when the connection to the relay server 4 is stopped, the terminal 11 notifies the relay server 4 of logout in (6). At this time, when a plurality of connections are secured, any of the connections may be used. Then, the terminal 11 terminates all connections. In this example, the connection 1 is disconnected and terminated in (7). When the connection 3 is secured in (17) to (19) of FIG. 3, this connection 3 is also disconnected. The relay server 4 receives a logout notification from the terminal 11, recognizes the logout of the terminal 11, and disconnects all connections with the terminal 11. The same applies to the terminal 21.
[0051]
By executing the procedure as described above, communication can be performed even when each or one is a network device in the local system. Further, by instructing encrypted communication in advance, the relay server 4 can instruct the other party to perform encrypted communication to perform encrypted communication between each terminal and the relay server 4, thereby realizing encrypted communication between the terminals.
[0052]
Note that the procedures for connecting to the relay server 4 as described above, maintaining the connection, requesting connection to the terminal, sending data to the terminal, terminating connection with the terminal, and terminating connection with the relay server are as follows. It can be configured to maintain transparency and have no effect on commands and data exchanged by the operating application protocol, and can communicate using existing application protocols as they are. . Also, encryption communication can be performed regardless of application by performing encryption and decryption processing at the relay protocol level as described above.
[0053]
FIG. 4 is a sequence diagram showing another example of the communication procedure in the embodiment of the communication system including the relay server of the present invention. FIG. 3 shows an example of a communication procedure when a connection request is made from the terminal 11 to the terminal 21. FIG. 4 shows an example of a communication procedure when a connection request is made to the terminal 11 from the terminal 21 instructing encrypted communication.
[0054]
When making a connection request from the terminal 21, in (31), the terminal 21 makes a connection request to the relay server 4 by specifying the user ID of the terminal 11. At this time, since the encrypted communication is already designated at the time of login, it is assumed that the encrypted communication is performed with the other party without requesting the encrypted communication again. Of course, you may designate encryption communication anew. In (32), the relay server 4 transmits to the terminal 11 a connection request notification including information indicating that there is a connection request from the terminal 21 and the user ID of the terminal 11 requesting the connection. At this time, the relay server 4 instructs the terminal 11 to perform encrypted communication.
[0055]
Receiving the connection request notification, the terminal 11 stores that the connection 1 used for transmission of the connection request notification is used for communication with the terminal 11, and performs settings for performing encrypted communication. In (33), a response indicating that the connection is acceptable is returned. For example, an error may be returned when connection is refused or encryption communication cannot be performed.
[0056]
When receiving the connection acceptance response from the terminal 11, the relay server 4 returns the response from the terminal 11 to the terminal 21 in (34). If the response from the terminal 11 is an acceptable response, the relay server 4 stores connection 1 and connection 2 as being used for communication between the terminal 11 and the terminal 12, respectively. At this time, connection 1 and connection 2 are stored as encrypted communication.
[0057]
In addition, when the terminal 21 receives the response from the terminal 11 and receives an acceptable response, the terminal 21 stores the connection used (connection 2) as being used for communication with the terminal 11. In this case, the terminal 21 performs encrypted communication with the terminal 11 using the connection 2.
[0058]
After setting encryption communication between the terminal 11 and the terminal 21 and the relay server 4 in this way, data is actually transmitted by encryption communication after (40). 4, the connection 3 is provided between the terminal 11 and the relay server 4 by (35) to (39), and the terminal 21 and the relay server 4 are provided by (35 ′) to (39 ′). A connection 4 is provided between them.
[0059]
The procedure at the time of data transfer is the same as the example shown in FIG. 3, but here, an example in which data is transferred from the terminal 21 to the terminal 11 is shown. The terminal 21 encrypts the data to be transmitted, and transmits the encrypted data using the connection 2 to the relay server 4 in (40). The relay server 4 receives the encrypted data from the terminal 21, decrypts and re-encrypts the received data as necessary, and transmits it to the terminal 11 using the connection 1 in (41). The terminal 11 receives the encrypted data from the terminal 21 sent from the relay server 4 using the connection 1, decrypts it, and acquires the original data. In (42), a response to the terminal 21 is transmitted to the relay server 4. The relay server 4 receives a response from the terminal 11 to the terminal 21 and transmits the received response to the terminal 21 using the connection 2 in (43).
[0060]
In this way, even when a connection request is made from the terminal 21 for which encrypted communication is set in advance, the encrypted communication can be performed with the terminal 11. In this case, data transfer from the terminal 11 to the terminal 21 is also possible, and data transfer may be performed a plurality of times including this case.
[0061]
Also, the case where the data transfer between the terminal 11 and the terminal 21 is completed is the same as the example shown in FIG. 3, and in this example, the terminal 21 (44) uses the connection 2 to send an end notification to the relay server. The relay server 4 transmits the end notification received from the terminal 21 to the terminal 11 using the connection 1 in (45). Then, the terminal 11 may notify the relay server 4 that the connection 1 is released in (46), and the terminal 21 may notify the relay server 4 that the connection 2 is released in (46 ′).
[0062]
In the description of the two examples of the communication procedure described above, it has been described that encrypted communication is performed only on data to be transferred. However, the present invention is not limited to this, and after specifying encrypted communication or performing an acceptance response for encrypted communication, the protocol itself can also be encrypted for communication. Furthermore, if pre-registered, encrypted communication can be performed from the point of login.
[0063]
FIG. 5 is an explanatory diagram when encryption is performed at the application level in the embodiment of the communication system including the relay server of the present invention. In the above description of the communication procedure, an example in which the encryption and decryption processes are performed at the relay protocol level is shown. The present invention is not limited to this, and can be performed at an application level, for example. For example, FIG. 5 shows a case where data is transferred from the terminal 11 to the terminal 21 via the relay server 4 by encrypted communication.
[0064]
Also in this case, for example, encryption communication is designated from the relay server 4 to the terminal 11. As a result, designation of encryption communication at the relay protocol level of the terminal 11 is received and transmitted to the application or the user of the terminal 11 in advance.
[0065]
The terminal 11 encrypts the data to be transferred by the application that created the data or another application, and waits for transmission. The encrypted data is transferred to the relay server 4 in the same way as when not encrypted at the relay protocol level. Also in the relay server 4, the encrypted data sent from the terminal 11 may be transferred to the terminal 21 as it is and relayed. The terminal 21 may receive the encrypted data as it is at the relay protocol level and decrypt it at the application level to obtain plaintext (original data).
[0066]
In this way, encryption processing between terminals via the relay server 4 can be realized by performing encryption and decryption processing at the application level. In this way, when performing encrypted communication at the application level, it is possible to switch the encryption method depending on the application to be used and whether to perform encrypted communication. Further, as described above, the relay server 4 has only to transfer the sent data as it is, and there is an advantage that it is not necessary to implement encryption or decryption processing.
[0067]
Of course, application level encryption and relay protocol level encryption can be used in combination. In this case, even if the relay server 4 performs decryption processing at the relay protocol level, the data is encrypted at the application level, so that security against hacking to the relay server 4 can be improved.
[0068]
In each of the above-described examples, it has been described that the designation of performing encrypted communication is performed at the time of login, connection request, or in advance. However, the present invention is not limited to this. It is also possible to configure so that it can be specified or changed.
[0069]
In each of the above-described examples, communication between network devices logged in to the same relay server has been described. However, the present invention is not limited to this. For example, the network device logged in to the relay server 4 and the relay server 5 in FIG. Communication between logged-in network devices is also possible. Also in this case, when performing encrypted communication at the relay protocol level, encrypted communication can also be realized between network devices by performing encrypted communication between the relay server 4 and the relay server 5. Of course, encrypted communication at the application level is also possible.
[0070]
【The invention's effect】
As is clear from the above description, according to the present invention, a communication path is secured in advance by connecting to a relay server from a network device in the local system, and data is relayed using this communication path. Data transfer from the Internet to network devices in the local system or data transfer between network devices in different local systems can be realized. At the same time, not only between the network device that requested the encrypted communication and the relay server, but also instructed the other party's network device to perform the encrypted communication, and performs the encrypted communication between the relay server and the other party's network device. . As a result, even in a system relayed by a relay server, there is an effect that encryption communication between network devices can be realized.
[Brief description of the drawings]
FIG. 1 is a configuration diagram showing an example of a communication system including an embodiment of a relay server of the present invention.
FIG. 2 is a sequence diagram (part) showing an example of a communication procedure in an embodiment of a communication system including a relay server of the present invention.
FIG. 3 is a sequence diagram (a part) illustrating an example of a communication procedure in the embodiment of the communication system including the relay server of the present invention.
FIG. 4 is a sequence diagram (a part) showing another example of a communication procedure in the embodiment of the communication system including the relay server of the present invention.
FIG. 5 is an explanatory diagram when encryption is performed at an application level in an embodiment of a communication system including a relay server according to the present invention.
FIG. 6 is an explanatory diagram showing an example of a system using a general Internet.
[Explanation of symbols]
DESCRIPTION OF SYMBOLS 1, 2 ... Local system, 3 ... Internet, 4, 5 ... Relay server, 11, 12, 21, 22 ... Terminal, 13, 23 ... Gateway, 14, 24 ... LAN, 41 ... Communication part, 42 ... Control part.

Claims

Communication means capable of communicating with each of a plurality of network devices using one or more TCP / IP connections, and control means for relaying communication between the network devices using the communication means, the control means comprising the communication means The network device relays communication between the network device and another network device using a TCP / IP connection established and held with the network device, and encryption communication is instructed from the network device. A relay server characterized by instructing another network device that has requested connection to the network device to perform encrypted communication using a TCP / IP connection.

Communication means capable of communicating with each of a plurality of network devices using one or more TCP / IP connections, and control means for relaying communication between the network devices using the communication means, the control means comprising the communication means The network device relays communication between the network device and another network device using a TCP / IP connection established and held with the network device, and encryption communication is instructed from the network device. A relay server that instructs the other network device to perform encrypted communication using a TCP / IP connection when the network device requests connection to the other network device.

The relay server according to claim 1 or 2, wherein the encryption communication is performed at a relay protocol level.

The relay server according to any one of claims 1 to 3, wherein the cryptographic communication is performed at an application level in the network device.

5. The relay server according to claim 1, wherein the control unit receives an instruction as to whether or not to perform cryptographic communication during login to establish a TCP / IP connection with the network device. .

6. The relay server according to claim 5, wherein the control unit notifies another network device of whether or not to perform encrypted communication received at the time of login for establishing a TCP / IP connection with the network device. .