JP2004112018A - インターネットアクセスＷｅｂ監視制御システム - Google Patents

Abstract

【課題】プライベートネットワークのイントラネットに設置されたＷｅｂサーバ機能付き制御装置を権限を持ったＷｅｂクライアントだけがインターネットからアクセスできる監視制御システムを実現すること。
【解決手段】ダイナミックポートマッピング機能付きのアドレス・ポート変換ルータでインターネットからイントラネット内部へのパケット通過を可能とし、イントラネット装置ネームサーバを設置して内部装置へのアクセスするための情報（公開ＩＰと公開ポート番号）を公開する。このとき電子証明書を所有しているＷｅｂクライアントにだけアクセス情報を公開する。また内部装置にアクセスする公開ポート番号をダイナミックに変化させて第３者が公開ポート番号を特定することを困難にする。
【選択図】　　　　図１

Description

【０００１】
【発明の属する技術分野】
本発明は、プライベートネットワークで構成されたイントラネット内にあるＷｅｂサーバ機能付きの制御装置をインターネットからアクセスして監視制御するシステムに関するものである。
【０００２】
【従来の技術】
プライベートアドレスのイントラネットに接続されたＷｅｂ機能付き制御装置をインターネットからアクセスするためには特殊なルータを必要とする。図４はアドレス変換ルータを使用した従来例である。１０はイントラネットを形成しているプライベートネットワーク、６０はインターネットである。１１はＷｅｂサーバ機能付き制御装置１である。説明のためこの装置のＩＰアドレスは１９２．１６８．０．１１とする。５１は１１にアクセスするＷｅｂクライアント装置（以後、Ｗｅｂクライアントと略記）である。２０はイントラネットとインターネットを中継するアドレス変換ルータである。このルータは特定のポート番号宛てに来たパケットをあらかじめ決められたプライベートアドレスに転送する機能をもっている。この機能はポートフォワーデイング機能あるいは静的ＩＰマスカレード機能として知られている。説明のためこのルータのイントラネット側のアドレスを１９２．１６８．０．１、インターネット側のアドレスを２１０．１３０．３０．１とする。このルータは内部に図５に示すアドレス変換テーブルをもっている。内部ＩＰはイントラネット内部装置（以後、内部装置と略記する）を特定するプライベートＩＰアドレス、内部ポート番号はその装置上で動作しているサーバアプリケーションが待機しているポート番号である。公開ＩＰと公開ポート番号は、アドレス変換ルータが、上記の内部ＩＰと内部ポート番号をインターネットに公開しているグローバルＩＰアドレスとポート番号である。
【０００３】
宛先ＩＰアドレスが２１０．１３０．３０．１でポート番号が８０で入力されたパケットはこのテーブルにより、ＩＰが１９２．１６８．０．１１でポート番号８０で待機しているＷｅｂサーバ機能付き制御装置１のＷｅｂサーバアプリケーションに転送される。この結果、この装置はインターネットからのアクセスが可能になっている。しかし従来例では、Ｗｅｂクライアントは、ポート番号ごとにあらかじめ決められた内部装置にしかアクセスできない。また内部装置はイントラネットに接続されているがアドレス変換ルータによりインターネットからアクセス可能になっている。インターネット上で第３者がポートスキャンを実行し公開ポート番号を検知して内部装置にアクセスすることが可能になっている。
【０００４】
図６は、図４の従来例を改善したものである。図４と同一のものは同一符号を付し説明を省略する。アドレス変換ルータがアドレス・ポート変換ルータに置き換わった構成になっている。３０はイントラネットとインターネットを中継するアドレス・ポート変換ルータである。このルータはインターネットから入力してくるパケットの宛先ＩＰアドレスとポート番号の双方を変換してプライベートアドレスに転送する機能をもっている。説明のためこのルータのイントラネット側のアドレスを図４の場合と同じく１９２．１６８．０．１、インターネット側のアドレスを２１０．１３０．３０．１とする。このルータは内部で図７に示すアドレス・ポート変換テーブルをもっている。内部ＩＰは内部装置のプライベートＩＰアドレス、内部ポート番号はその装置上で動作しているサーバアプリケーションが待機しているポート番号である。公開ＩＰと公開ポート番号は、上記の内部ＩＰと内部ポート番号を上記のアドレス・ポート変換ルータを経由してインターネットからアクセスできるように公開しているＩＰアドレスとポート番号である。
【０００５】
５２はポート番号指定機能付きＷｅｂクライアント装置である。この装置は、内部ポート番号ではなく、公開されたポート番号で内部装置サーバアプリケーションにアクセスできる機能が実装されている。
【０００６】
アドレス・ポート変換ルータは入力パケットのＩＰアドレスとポート番号の双方を変換するため、Ｗｅｂクライアントは、同じポート番号で待機している複数の内部装置サーバアプリケーションにアクセスすることが可能になる。１２は追加になったＷｅｂサーバ機能付き制御装置２である。説明のためこの装置のＩＰアドレスは１９２．１６８．０．１２とする。宛先ＩＰアドレスが２１０．１３０．３０．１でポート番号が１０００で入力されたパケットは図７のテーブルにより、ＩＰが１９２．１６８．０．１１でポート番号８０で待機しているＷｅｂサーバ機能付き制御装置１のＷｅｂサーバアプリケーションに転送される。宛先ＩＰアドレスが２１０．１３０．３０．１でポート番号が１００２で入力されたパケットは図７のテーブルにより、ＩＰが１９２．１６８．０．１２でポート番号８０で待機しているＷｅｂサーバ機能付き制御装置２のＷｅｂサーバアプリケーションに転送される。この結果複数の内部装置のＷｅｂサーバにインターネットからアクセス可能になっている。
【０００７】
しかし図６の改善例では以下が問題点として残っている。Ｗｅｂクライアントは内部装置へアクセスするための情報をオンラインで入手できない。このためＷｅｂクライアントは内部装置へアクセスするための情報を全て記憶しておく必要がある。内部装置へのアクセス情報が変更されたときＷｅｂクライアントは内部装置にアクセスできなくなる。また、内部装置はイントラネットに接続されているが、アドレス・ポート変換ルータによりインターネットからアクセス可能になっている。また内部装置へのアクセス情報（図７のアドレス・ポート変換テーブル）は固定されている。この結果、インターネット上で第３者がポートスキャンを実行し公開ポート番号を検知して内部装置にアクセスすることが可能になっている。
【０００８】
【発明が解決しようとする課題】
本発明の目的は、プライベートネットワークで構成されたイントラネット内にあるＷｅｂサーバ機能付きの制御装置に対して、インターネットから、特定の権限を持ったクライアントだけがアクセスできるようすることである。
【０００９】
【課題を解決するための手段】
このような目的を達成する請求項１の発明は、インターネット側にグローバルアドレスでアドレッシングされたイントラネット装置ネームサーバ装置を設置して、この装置がＷｅｂクライアントがイントラネット内の個々の装置のアプリケーションへアクセスするために必要な公開ＩＰと公開ポート番号を管理して提供することである。
【００１０】
請求項２の発明は、イントラネット装置ネームサーバのデータを、特定の権限を持ったＷｅｂクライアントだけが入手できるように構成することである。
【００１１】
請求項３の発明は、個々の内部装置のアプリケーションに対する公開ポート番号を固定しないで、あらかじめ決められた条件で変更することである。
【００１２】
請求項４の発明は、特別な区切り文字で、内部装置名であることを識別させるドメイン名を使用すること、および、Ｗｅｂクライアントが、このドメイン名を解釈して、イントラネット装置ネームサーバから内部装置へアクセスするための公開ＩＰと公開ポート番号を入手することである。
【００１３】
請求項５の発明は、Ｗｅｂクライアント装置が、上記で入手した公開ポート番号を使用して内部装置のアプリケーションへアクセスすることである。
【００１４】
【発明の実施の形態】
以下図面を用いて本発明の実施の形態を説明する。図１は本発明の一実施例を示した構成図であり、図６と同一のものは同一符号を付し説明を省略する。３１はイントラネットとインターネットを中継するポートマッピング機能付きアドレス・ポート変換ルータである。このルータ３１は、内部装置からのグローバルアドレス問い合わせに対する返答機能、内部装置からのアドレス・ポート変換テーブルの設定機能（ポートマッピング機能）を持っている。ＵＰｎＰ（Ｕｎｉｖｅｒｓａｌ　Ｐｌｕｇ　＆　Ｐｌａｙ）ルータではこの機能が実装されている。このルータは内部では図２に示すダイナミックに書き換え可能なアドレス・ポート変換テーブルをもっている。このテーブル内容自体は図７のものと同じであるが、図２では、このアドレス・ポート変換テーブルを内部装置がダイナミックに書き換えることができる。即ち内部装置は、公開ポート番号をダイナミックに変化させて内部ポート番号をインターネットに公開することができる。説明のためこのルータのイントラネット側のアドレスを図６の場合と同じく１９２．１６８．０．１、インターネット側のアドレスを２１０．１３０．３０．１とする。
【００１５】
４０はインターネット側に新たに設置されたイントラネット装置ネームサーバである。この装置は、インターネット側にあるＷｅｂクライアントに対して、イントラネット装置名とサーバアプリケーション待機の内部ポート番号から、この内部装置サーバアプリケーションにアクセスするための公開ＩＰと公開ポート番号を提供する。この装置は図３に示すようなデータを持っている。イントラネット装置名はイントラネット内の装置を識別する装置名である。この名前はイントラネット装置ネームサーバが管理している装置群の範囲でユニークでなければならない。内部ポート番号はその内部装置サーバアプリケーションが待機しているポート番号である。なおこのイントラネット装置ネームサーバ内のデータは権限をもったＷｅｂクライアントにだけ提供されるように構成されている。
【００１６】
５３は内部装置名解決機能・ポート番号指定機能つきＷｅｂクライアント装置である。即ちこのＷｅｂクライアント装置は、内部装置が表記されたドメイン名を解釈して内部装置へのアクセスするための公開ＩＰと公開ポート番号を入手する機能と、入手した公開ポート番号を指定して内部装置にアクセスする機能をもっている。またこのＷｅｂクライアント装置は内部装置へアクセスして情報を入手する権限があることを証明する電子証明書を持っている。
【００１７】
説明のため、１１、１２のイントラネット装置名をｗｄｅｖｉｃｅ１，　ｗｄｅｖｉｃｅ２とする。４０のイントラネット装置ネームサーバのＩＰアドレスを、２１０．１２０．１．１０とする。４０のイントラネット装置ネームサーバのドメイン名をｉｎａｍｅｓｖｒ．ｘｙｚａｂｃ．ｃｏ．ｊｐ　とする。
【００１８】
１１、１２のイントラネット装置は、既存のＤＮＳ（Ｄｏｍａｉｎ　Ｎａｍｅ　Ｓｅｒｖｅｒ）でのドメイン名では表記できない。本提案では、２個の連続したドットという特殊文字を識別子としたドメイン名で内部装置を表示するものとする。したがって、１１、１２の内部装置のドメイン名は、それぞれ、
ｗｄｅｖｉｃｅ１．．ｉｎａｍｅｓｖｒ．ｘｙｚａｂｃ．ｃｏ．ｊｐ
ｗｄｅｖｉｃｅ２．．ｉｎａｍｅｓｖｒ．ｘｙｚａｂｃ．ｃｏ．ｊｐ
として表記される。この表記方法は既存のＤＮＳで使用されているドメイン名の表記方法を、内部装置がある場合について機能拡張したものである。この表記で、ｉｎａｍｅｓｖｒ．ｘｙｚａｂｃ．ｃｏ．ｊｐ　の部分はイントラネット装置ネームサーバのホスト名でもある。
【００１９】
本発明の動作について説明する。内部装置１１はアドレス・ポート変換ルータ３１に対してＨＴＴＰサーバアプリケーション（内部ポート番号８０で待機）とＨＴＴＰＳサーバサーバアプリケーション（内部ポート番号４４３で待機）をそれぞれポート番号１０００と１００１で外部に公開するようにポートマッピング要求を発行する。同時に内部装置１１はイントラネット装置ネームサーバ４０に対しても、自分の装置名　ｗｄｅｖｉｃｅ１でのＨＴＴＰサーバアプリケーション（内部ポート番号８０で待機）とＨＴＴＰＳサーバアプリケーション（内部ポート番号４４３で待機）が、公開ＩＰが２１０．１３０．３０．１で、外部ポート番号が１０００，１００１でアクセス可能である、というデータを発行する。内部装置１２も同様にアドレス・ポート変化ルータ３１にポートマッピング要求、イントラネット装置ネームサーバ４０に自分のサーバアプリケーションの公開データを発行する。この結果、ポートマッピング機能付きポート・アドレス変換ルータ３１の内部に図２のテーブルが作成される。まだイントラネット装置ネームサーバ４０内に図３のデータが作成される。
【００２０】
Ｗｅｂクライアントが、ｗｄｅｖｉｃｅ１．．ｉｎａｍｅｓｖｒ．ｘｙｚａｂｃ．ｃｏ．ｊｐ　でドメイン表記されている装置のＨＴＴＰサーバアプリケーション（内部ポート番号８０で待機）にアクセスする場合を例に説明する。最初に、Ｗｅｂクライアントは既存のＤＮＳ機能で、ｉｎａｍｅｓｖｒ．ｘｙｚａｂｃ．ｃｏ．ｊｐ　までの名前解決を実行する。ここで解決されたＩＰアドレス２１０．１２０．１．１０はイントラネット装置ネームサーバのホストのＩＰアドレスである。Ｗｅｂクライアントは、２個の連続したドットという特殊文字以降は内部装置であることを知っている。したがってＷｅｂクライアントは、イントラネット装置ネームサーバに対して、２個の連続したドット以降の名前　ｗｄｅｖｉｃｅ１　と内部ポート番号（８０）を発行して、内部装置へのアクセス情報を問い合わせる。このときＷｅｂクライアントは自分が権限があるクライアントであることを証明する電子証明書を提示する。イントラネット装置ネームサーバは、電子証明書をチェックして答を返して良いクライアントであるかどうかを判断する。答を返して良いクライアントであるとき、内部装置へアクセスするための公開ＩＰと公開ポート番号をＷｅｂクライアントに返す。電子証明書のチェックで否認されたときは返答は無い。なお、Ｗｅｂクライアントは、２個の連続したドットという特殊文字をもたない持たないドメイン名をアクセスしたときは既存のＤＮＳ機能で全ての名前解決を実行する。
【００２１】
Ｗｅｂクライアントは、上記で入手した公開ＩＰ（２１０．１２０．１．１０）と公開ポート番号（１０００）を使用して、内部装置１１のＨＴＴＰサーバアプリケーションにアクセスする。
【００２２】
イントラネット内の装置は、条件設定されたタイミングで、アドレス・ポート変換ルータに対して、現在のポートマッピングをキャンセルして新たにポートマッピング要求を発行してランダムに公開ポート番号を変更する。同時にイントラネット装置ネームサーバにもこの変更データを送信して公開ポート番号を最新のものに反映させる。本発明の実施例を示す図１においても内部装置はイントラネット内部に接続されているがアドレス・ポート変換ルータによりインターネットからアクセス可能になっている。しかし公開ポート番号がダイナミックに変更されているため第３者は変化している公開ポート番号を追跡して検知することは困難になっている。公開ポート番号が検知されてもある時間後には無効になっている。実測結果では可能性がある全てのＴＣＰポート番号６５５３６個をポーチスキャンするには約１０時間程度かかる。したがって１時間ごとに公開ポート番号を切り替えて運用すれば第３者が公開ポート番号を検知して追跡することは困難になる。
【００２３】
Ｗｅｂクライアントは内部装置へのアクセス情報をキャッシングしている。したがって、公開ポート番号が変更されると、Ｗｅｂクライアントはキャッシングしている内部装置へのアクセス情報が古くなるため内部装置へのアクセスに失敗する。この場合にはイントラネット装置ネームサーバから最新情報を入手してアクセスして、またキャッシング情報を更新するようにする。
【００２４】
本発明の応用例について説明する。イントラネット装置ネームサーバが、特定の権限をもったクライアントにだけ答えを返すようにするためには、電子証明書以外にもログイン名、パスワードの組み合わせ等、各種の方式の採用が可能である。
【００２５】
また、イントラネット装置ネームサーバ内のデータを秘密鍵を所有している特定のＷｅｂクライアントだけが入手できるようにＷｅｂクライアントの公開鍵で暗号化して保管することもできる。この公開鍵方式を採用すれがＷｅｂクライアントごとにアクセス情報をよりきめ細かく管理できる。
【００２６】
また、ＷｅｂクライアントのＩＰアドレスが限定されている場合には、アドレス・ポート変換ルータにパケットフィルタリングを設定できる。これにより第３者からの内部装置アクセスがより困難になる。
【００２７】
【発明の効果】
本発明によれば、以下のような効果が得られる。
【００２８】
請求項１により、イントラネット装置ネームサーバが存在することにより、Ｗｅｂクライアントは、複数のイントラネット内装置にアクセスできるようになる。公開ポート番号をダイナミックに変更したときでもＷｅｂクライアントはイントラネットへアクセスするための最新情報を入手することができるようになる。
【００２９】
請求項２により、権限を持ったＷｅｂクライアントだけがイントラネット装置ネームサーバから内部装置へのアクセスするための公開ＩＰと公開ポート番号を入手できることにより、第３者が内部装置にアクセスすることは困難になる。
【００３０】
請求項３により、公開ポート番号が固定されていないことにより、第３者が内部装置へアクセスする公開ポート番号を検知することが困難になり、第３者が内部装置にアクセスすることが困難になる。
【００３１】
請求項４により、内部装置を特定するため、従来のＤＮＳと両立するドメイン名表記を使用していることにより、従来のドメイン名表記と互換性を保ちながら、新規に内部装置名を表現できるようになる。Ｗｅｂクライアントは、従来のＤＮＳ機能でイントラネット装置ネームサーバまでの名前解決ができ、ま、イントラネット装置ネームサーバから内部装置へのアクセスするための公開ＩＰと公開ポート番号を入手できるようになる。
【００３２】
請求項５により、Ｗｅｂクライアントはポート番号を指定してアクセスできる機能をもっていることにより、請求項５で入手した公開ポート番号で内部装置にアクセスできるようになる。
【図面の簡単な説明】
【図１】本発明の一実施例を示した構成図である。
【図２】ダイナミックに書き換え可能なアドレス・ポート変換テーブルである。
【図３】イントラネット装置ネームサーバ内のデータである。
【図４】従来例の構成図である。
【図５】アドレス変換テーブルである。
【図６】改善例である。
【図７】アドレス・ポート変換テーブルである。
【符号の説明】
１０　　プライベートネットワーク
１１　　Ｗｅｂサーバ機能付き制御装置１
１２　　Ｗｅｂサーバ機能付き制御装置２
２０　　アドレス変換ルータ
３０　　アドレス・ポート変換ルータ
３１　　ポートマッピング機能付きアドレス・ポート変換ルータ
４０　　イントラネット装置ネームサーバ
５１　　Ｗｅｂクライアント装置
５２　　ポート番号指定機能付きＷｅｂクライアント装置
５３　　内部装置名解決機能・ポート番号指定機能付きＷｅｂクライアント装置
６０　　インターネット

Claims (5)

1. プライベートアドレスでアドレッシングされたイントラネット内の装置、インターネットに接続されグローバルアドレスでアドレッシングされたＷｅｂクライアント装置、インターネットとイントラネットをアドレスとポート番号を変換して中継するアドレス・ポート変換ルータで構成される監視制御システムにおいて、インターネット側にグローバルアドレスでアドレッシングされたイントラネット装置ネームサーバが追加設置され、この装置が、Ｗｅｂクライアントがイントラネット内の個々の装置のアプリケーションへアクセスするために必要な公開ＩＰと公開ポート番号を提供している構成となっていることを特徴とする監視制御システム。
2. 請求項１記載の監視制御システムにおいて、イントラネット装置ネームサーバのデータが、特定の権限を持ったＷｅｂクライアントだけが読めるように構成されていることを特徴とする監視制御システム。
3. 請求項１記載の監視制御システムにおいて、個々の内部装置のアプリケーションにアクセスするための公開ポート番号が固定されていなくて、あらかじめ決められた条件で変更されることを特徴とする監視制御システム。
4. 請求項１記載の監視制御システムにおいて、特別な区切り文字でイントラネット内の装置名であることを識別させているドメイン名が使用されていること、および、Ｗｅｂクライアントがこのドメイン名を解釈して、イントラネット装置ネームサーバから内部装置へアクセスするための公開ＩＰと公開ポート番号を入手することを特徴とする監視制御システム。
5. 請求項１記載の監視制御システムにおいて、Ｗｅｂクライアント装置が、請求項４で入手した公開ポート番号を使用して内部装置のアプリケーションへアクセスすることを特徴とする監視制御システム。

Images