JP3973357B2

JP3973357B2 - Port number convergence, deployment method and gateway server thereof

Info

Publication number: JP3973357B2
Application number: JP2000328465A
Authority: JP
Inventors: 美和佐野; 睦森井; 信保岡野; 義則中山; 敦子半澤
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2000-10-27
Filing date: 2000-10-27
Publication date: 2007-09-12
Anticipated expiration: 2020-10-27
Also published as: JP2002132596A

Description

【０００１】
【発明の属する技術分野】
本発明は、インターネット側サーバからイントラネット側サーバへ送信される電文の伝送経路に介入してセキュリティ向上に寄与するゲートウェイサーバに関する。
【０００２】
【従来の技術】
インターネット側のサーバと、イントラネット側のサーバとを接続し、イントラネットシステム内の社内端末からイントラネット側サーバへアクセスさせるとともに、インターネット及びインターネット側サーバを介して社外からイントラネット側サーバへのアクセスを許可するネットワークシステムが知られている。この場合に、イントラネットシステムのセキュリティを確保するために、インターネット側サーバとイントラネット側サーバとの間にファイアウォールを配置してインターネット側からイントラネットシステムへのアクセス制御を行っている。
【０００３】
【発明が解決しようとする課題】
イントラネット側サーバは、提供するサービス機能あるいはアプリケーションに応じて複数の機能サーバ又は機能に分離され、どのサーバのいずれの機能にアクセスするかを処理要求電文中の宛先ＩＰアドレスと宛先ポート番号とで指定するよう構成される。すなわちインターネット側サーバは、インターネットを介して受信する処理要求電文に含まれる宛先ＩＰアドレスと宛先ポート番号に応じてその処理要求電文を該当するイントラネット側の目的のサーバの目的の機能に向けて送信する。従って両サーバ間に介在するファイアウォールは、複数のポート番号をもつ電文の入力を許可し、それら電文をイントラネット側サーバに向けて出力する。従来技術によれば、インターネット側サーバとイントラネット側サーバ間を伝送されるポート番号の数が多いほど、イントラネットシステムへ不正アクセスしようとする者からのポート番号の発見が容易になり、ハッキングの可能性が高くなるという問題があった。
【０００４】
本発明の目的は、インターネット側サーバとイントラネット側サーバ間を伝送されるポート番号の数を削減し、セキュリティを向上させることにある。
【０００５】
【課題を解決するための手段】
本発明は、インターネット側のサーバからイントラネット側のサーバへ送信される電文の伝送経路に沿って配置される第１のゲートウェイサーバ及び第２のゲートウェイサーバを有するシステムのポート番号の収束、展開方法であって、第１のゲートウェイサーバによって、インターネット側サーバの複数の機能の各々に対応して設定される電文中の宛先ポート番号を別のポート番号に変換して設定するとともに、元の宛先ポート番号を識別する識別情報を電文中に挿入して第２のゲートウェイサーバに向けて送信し、第２のゲートウェイサーバによって、上記別のポート番号を電文中の識別情報に応じてイントラネット側サーバの複数の機能の各々に対応して設定される宛先ポート番号に変換して設定し、イントラネット側サーバの該当する機能に向けて送信するポート番号の収束、展開方法を特徴とする。またそのような機能をもつインターネット側のゲートウェイサーバ及びイントラネット側のゲートウェイサーバを特徴とする。
【０００６】
【発明の実施の形態】
以下、本発明の実施形態について図面を用いて説明する。
【０００７】
図1は、本発明の実施形態のシステム構成を示す図である。システムは携帯電話などの端末１０１、電話会社のサーバ８０、インターネット９０、WWWサーバ１０２、インターネット側のゲートウェイサーバ１０３、ファイアウォール１０４、イントラネット側のゲートウェイサーバ１０５、イントラネットシステム１０７を構成する機能１サーバ〜機能４サーバ及び端末１０８から構成される。
【０００８】
端末１０１は、インターネット９０及びWWWサーバ１０２を介してイントラネットシステム１０７へ処理要求を送信するユーザの端末である。携帯電話と電話会社のサーバ８０の代りにパソコン等の計算機でもよい。WWWサーバ１０２は、端末１０１からの処理要求に応じて、機能１、機能２、機能３、機能４のいずれかのサービスの窓口となるよう構成される。機能１，２，３，４は、各々イントラネットシステム１０７の機能１サーバ、機能２サーバ、機能３サーバ、機能４サーバに対応し、例えばWWWサーバ１０２が機能３の処理要求を受けたとき、その処理要求をイントラネットシステム１０７の機能３サーバへ送信し、機能３サーバがその処理要求に対するサービスをする。イントラネットシステム１０７の機能１サーバ〜機能４サーバは、例えば各々の分担するユーザについてのユーザ情報のデータベースを有し、自分の分担するユーザについての処理要求についてサービスする。ユーザ管理テーブル１１０は、各ユーザのログイン時に参照されるユーザ情報を有し、機能１サーバに接続されていてもよいし、機能１サーバ〜機能４サーバの各々に接続されていてもよい。
【０００９】
図１で記号ａ，ｂ，ｃ，ｄ，ｅ，ｆ，ｇ，ｈ，ｉは、各々ＴＣＰ／ＩＰに準拠して設定される異なるポート番号を示している。ポート番号は、機能あるいはアプリケーションを識別するための番号である。ゲートウェイサーバ１０３は、WWWサーバ１０２からポート番号ａ，ｂ，ｃ又はｄをもつ処理要求の電文を受信し、そのポート番号をｅに変換してファイアウォール１０４へ送信する。ファイアウォール１０４は、従来のファイアウォールの機能をもつ計算機であるが、この電文を受信し、ポート番号ｅを保存したままゲートウェイサーバ１０５へ送信する。ゲートウェイサーバ１０５は、この電文を受信し、そのポート番号をｆ，ｇ，ｈ又はｉに展開して設定し、各々機能１サーバ〜機能４サーバへ送信する。ポート番号ａ，ｂ，ｃ，ｄは、各々ポート番号ｆ，ｇ，ｈ，ｉに対応する。すなわち処理要求の電文は、WWWサーバ１０２側の機能１〜４とイントラネットシステム１０７側の機能１サーバ〜機能４サーバとの対応関係を保存したまま目的の機能サーバへ送信される。
【００１０】
ゲートウェイサーバ１０５は、その記憶装置上にユーザ情報テーブル１０６及びアクセス情報テーブル１０９を格納する。ユーザ情報テーブル１０６は、インターネット９０及びWWWサーバ１０２からイントラネットシステム１０７へのアクセスを許可するユーザの情報を設定する。ゲートウェイサーバ１０５は、ユーザ情報テーブル１０６を参照して許可するユーザのログイン要求のみをイントラネットシステム１０７内の機能サーバへ送信する。またアクセス情報テーブル１０９は、例えば機能１サーバがさらに複数のサーバに分離されている場合に、ログイン処理が成功したユーザについて、ユーザ情報とアクセス対象の機能サーバとの対応を記憶する。ゲートウェイサーバ１０５は、アクセス情報テーブル１０９を参照してログイン後にユーザから受信する処理要求の通信先サーバを決定する。
【００１１】
端末１０８は、ＬＡＮ等のローカルネットワークを介してイントラネットシステム１０７の機能サーバに接続され、イントラネットシステム１０７内で機能サーバへ処理要求を送信し、直接イントラネットシステム１０７の機能サーバのサービスを受ける端末装置である。
【００１２】
図2は、ゲートウェイサーバ１０３及びゲートウェイサーバ１０５を設けない従来構成の場合に、インターネット９０、WWWサーバ１０２、ファイアウォール１０４及びイントラネットシステム１０７の各機能サーバの接続形態と、インターネット９０から送られる電文の流れを示す図である。WWWサーバ１０２とイントラネットシステム１０７の機能サーバとの間にａ，ｂ，ｃ，ｄの４種のポート番号をもつ電文が流れることになるので、ファイアウォール１０４はWWWサーバ１０２からイントラネットシステム１０７へ流れる電文について４種のポート番号を許可することになり、ハッキングによってイントラネットシステム１０７に侵入される可能性はポート番号の数に比例して高くなる。
【００１３】
図３は、ゲートウェイサーバ１０３及びゲートウェイサーバ１０５を設ける本実施形態の構成の場合に、インターネット９０、WWWサーバ１０２、ゲートウェイサーバ１０３、ファイアウォール１０４、ゲートウェイサーバ１０５及びイントラネットシステム１０７の各機能サーバの接続形態と、インターネット９０から送られる電文の流れを示す図である。ゲートウェイサーバ１０３とゲートウェイサーバ１０５との間には、ｅのポート番号をもつ電文のみが流れるので、ゲートウェイサーバ１０３とゲートウェイサーバ１０５方向においてファイアウォール１０４は１種のポート番号を許可するのみであり、ハッキングによってイントラネットシステム１０７に侵入される確率は図２の従来構成の場合より小さい。
【００１４】
図4は、ゲートウェイサーバ１０３からファイアウォール１０４を介してゲートウェイサーバ１０５へ送信される電文のデータ形式を示す図である。通信ヘッダ部４０１は、ＴＣＰ／ＩＰプロトコルに準拠するヘッダ部であり、宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート番号、送信元ポート番号を含む。本実施形態の場合には、宛先ＩＰアドレスは、ゲートウェイサーバ１０３からファイアウォール１０４へ送信される電文についてはファイアウォール１０４のＩＰアドレス、ファイアウォール１０４からゲートウェイサーバ１０５へ送信される電文についてはゲートウェイサーバ１０５のＩＰアドレスが設定される。また送信元ＩＰアドレスは端末１０１のＩＰアドレスが設定される。また宛先ポート番号はポート番号ｅ、送信元ポート番号は端末１０１のポート番号が設定される。
【００１５】
ヘッダ部４０２は、通信ヘッダ部４０１とアプリケーションデータ４０３との間に挿入されるヘッダ部であり、イントラネットシステム１０７の機能１〜４を識別するための識別番号が設定される。アプリケーションデータ４０３は、制御情報を含む。この制御情報は、各機能１〜４の固有の制御情報が設定され、正しい機能サーバに宛てた電文か否かをチェックするために用いられる。
【００１６】
ＷＷＷサーバ１０２からゲートウェイサーバ１０３へ送信される電文のデータ形式は、ヘッダ部４０２がなく、通信ヘッダ部４０１とアプリケーションデータ４０３とで構成される。その通信ヘッダ部４０１の宛先ＩＰアドレスは、ゲートウェイサーバ１０３のＩＰアドレス、宛先ポート番号はａ，ｂ，ｃ，ｄのいずれかである。
【００１７】
ゲートウェイサーバ１０５からイントラネットシステム１０７へ送信される電文のデータ形式は、ヘッダ部４０２がなく、通信ヘッダ部４０１とアプリケーションデータ４０３とで構成される。その通信ヘッダ部４０１の宛先ＩＰアドレスは、機能１サーバ〜機能４サーバのいずれかのＩＰアドレス、宛先ポート番号はｆ，ｇ，ｈ，ｉのいずれかである。
【００１８】
なお図２に示すゲートウェイサーバ１０３及びゲートウェイサーバ１０５のない従来構成の場合には、送信される電文のデータ形式にはヘッダ部４０２がなく、通信ヘッダ部４０１とアプリケーションデータ４０３とで構成される。ＷＷＷサーバ１０２からファイアウォール１０４へ送信される電文の通信ヘッダ部４０１の宛先ＩＰアドレスはファイアウォール１０４のＩＰアドレス、宛先ポート番号はａ，ｂ，ｃ，ｄのいずれかである。ファイアウォール１０４からイントラネットシステム１０７へ送信される電文の通信ヘッダ部４０１の宛先ＩＰアドレスは機能１サーバ〜機能４サーバのいずれかのＩＰアドレスであり、宛先ポート番号はａ，ｂ，ｃ，ｄのいずれかである。
【００１９】
またイントラネットシステム１０７からファイアウォール１０４、ＷＷＷサーバ１０２及びインターネット９０を介して端末１０１へ送信される電文のデータ形式は従来通りである。すなわちヘッダ部４０２はなく、通信ヘッダ部４０１と、ＷＷＷサーバ１０２によってｈｔｍｌなどの形式に変換されたアプリケーションデータである。その通信ヘッダ部４０１に含まれる宛先ＩＰアドレスは端末１０１のＩＰアドレス、送信元ＩＰアドレスはＷＷＷサーバ１０２のＩＰアドレスが設定される。また宛先ポート番号は端末１０１のポート番号、送信元ポート番号はＷＷＷサーバ１０２の該当する機能のポート番号が設定される。
【００２０】
図5は、アクセス情報テーブル１０９のデータ形式を示す図である。アクセス情報テーブル１０９は、例えばイントラネットシステム１０７の機能１サーバがアクセスされるユーザに応じて機能１サーバ１−１と機能１サーバ１−２に分離されている場合に、端末１０１からインターネット９０及びＷＷＷサーバ１０２経由でイントラネットシステム１０７の機能１サーバ１−１又は機能１サーバ１−２のいずれかにログイン成功した各ユーザについて通信先サーバ情報を保存するためのテーブルである。アクセス情報テーブル１０９の各レコードは、ユーザ識別子５０１、通信先サーバ情報５０２及びその他の通信情報を有する。ユーザ識別子５０１は、ログイン成功したユーザの識別子である。通信先サーバ情報５０２は、通信先が確定したイントラネットシステム１０７の機能サーバのＩＰアドレスである。「その他通信情報」は、そのユーザの端末１０１の送信元ＩＰアドレス、送信元ポート番号などユーザ識別子５０１と対応づけるための通信情報である。
【００２１】
図６は、ユーザ情報テーブル１０６のデータ構成を示す図である。ユーザ情報テーブル１０６は、ユーザ管理テーブル１１０に登録されているユーザのうち、インターネット９０、ＷＷＷサーバ１０２、ゲートウェイサーバ１０３及びゲートウェイサーバ１０５の経路でイントラネットシステム１０７のいずれかの機能サーバにアクセスを許可するユーザ識別子を登録するテーブルである。ユーザ識別子６０１はユーザ管理テーブル１１０に登録されている対象となるユーザの識別子、アクセス制御情報６０２は上記の経路でイントラネットシステム１０７のいずれかの機能サーバにアクセスを許可する（１）か、許可しない（０）かを設定する制御情報である。「その他属性情報」は、ユーザ管理テーブル１１０に登録されているユーザの属性情報のうち、ユーザ認証に必要となる属性情報である。なおアクセス制御情報６０２を設けずに、ユーザ識別子６０１に識別子が登録されたユーザのアクセスを許可し、登録されていないユーザのアクセスを許可しないようにしてもよい。なおアクセスを許可するユーザについて、「その他属性情報」によってもアクセス制限をすることが可能である。例えば「その他属性情報」に課長の役職が設定してある場合には、ユーザが課長以上の役職をもつ場合にアクセスを許可するなどである。
【００２２】
図７は、ユーザ管理テーブル１１０のデータ構成を示す図である。ユーザ管理テーブル１１０は、イントラネットシステム１０７のいずれかの機能サーバにログイン要求を発行したユーザについてユーザ認証を行うためのユーザ情報と通信先サーバに関する情報を設定する。ユーザ識別子７０１はユーザの識別子であり、「その他属性情報」はそのユーザのパスワードなどログイン時のユーザ認証に必要な情報を含む。通信先サーバ情報７０２は、例えばイントラネットシステム１０７の機能１サーバがアクセスされるユーザに応じて機能１サーバ１−１と機能１サーバ１−２に分離されている場合に、当該ユーザに関する情報を保有するサーバのＩＰアドレスを格納する。
【００２３】
図８は、ゲートウェイサーバ１０３の処理の流れを示す図である。ゲートウェイサーバ１０３は、ＷＷＷサーバ１０２から処理要求の電文を受信し、そのアプリケーションデータ４０３中の制御情報がその通信ヘッダ部４０１中の宛先ポート番号に対応する正しい情報か否か、すなわち正しい機能か否か判定し（ステップ８０１）、正しい場合には各機能に対応する識別番号を設定する（ステップ８０３）。例えば機能１，２，３，４に応じて識別番号を各々１０，２０，３０，４０にするなどの区分を設定する。正しい機能でない場合には接続不可とし、処理を終了する（ステップ８０２）。ステップ８０３の処理後に識別番号を含むヘッダ部４０２を付加した送信電文を生成し（ステップ８０４）、ファイアウォール１０４のＩＰアドレスを宛先ＩＰアドレスとし、ｅを宛先ポート番号に設定して、ファイアウォール１０４へ送信する（ステップ８０５）。
【００２４】
ファイアウォール１０４は、この電文を受信し、従来のファイアウォールのチェックをして通過すべき電文と判定したとき、ゲートウェイ１０５のＩＰアドレスを宛先ＩＰアドレスに設定し、ゲートウェイ１０５へ送信する。
【００２５】
図９は、ゲートウェイ１０５の処理の流れを示す図である。ゲートウェイ１０５は、ファイアウォール１０４から宛先ポート番号がｅの電文を受信し（ステップ９０１）、そのヘッダ部４０２の識別番号を認識した後に、付加したヘッダ部４０２を削除する（ステップ９０２）。次に電文中のアプリケーションデータ４０３を調べて、ログイン要求であれば、後述するログイン要求時の処理を行う（ステップ９０３）。ログイン要求でなければステップ９０３はスキップされる。次に送信先機能サーバを確定し、通信ヘッダ部４０１にその機能サーバの宛先ＩＰアドレスを設定する（ステップ９０４）。特に同一機能を複数のサーバが分担してサービスする場合の処理について後述する。次に要求された機能に対応する宛先ポート番号を通信ヘッダ部４０１に設定し、作成した電文を該当する機能サーバへ送信する（ステップ９０５）。本実施形態では、機能１，２，３，４の要求に対してそれぞれ宛先ポート番号をｆ，ｇ，ｈ，ｉに設定する。
【００２６】
図１０は、ステップ９０３のログイン要求時の処理を説明するシステム構成図であり、特にイントラネットシステム１０７内で機能サーバへの接続は許可するが、インターネット９０を経由する機能サーバへの接続は許可しないユーザが存在する場合について説明する図である。端末１０８のユーザは、ユーザ管理テーブル１１０に登録してあるため、端末１０８から直接イントラネットシステム１０７の機能サーバにアクセスする場合には、イントラネットシステム１０７によってアクセスが許可される。しかし、そのユーザがユーザ情報テーブル１０６に登録していないか、アクセス不可としているため、端末１０１からインターネット９０、ＷＷＷサーバ１０２、ゲートウェイサーバ１０３、ファイアウォール１０４及びゲートウェイサーバ１０５の経路でイントラネットシステム１０７の機能サーバにアクセスしようとした場合に、ゲートウェイサーバ１０５は接続不可とする。
【００２７】
図１１は、ステップ９０３のログイン要求時の処理の流れを示すフローチャートである。ゲートウェイサーバ１０５は、端末１０１からのログイン要求の電文を受け取り（ステップ１１０１）、ユーザ情報テーブル１０６を参照して（ステップ１１０２）、当該ユーザがユーザ識別子６０１に登録されているか、またはユーザ識別子６０１に登録されていてアクセス制御情報６０２がアクセス許可に設定されているか否かを判定する（ステップ１１０３）。アクセスが許可され、接続可能なユーザであれば、次の処理（ステップ９０３又はステップ９０４）へ行く（ステップ１１０４）。接続不可のユーザであれば、端末１０１へエラーメッセージを送信する（ステップ１１０５）。
【００２８】
図１２は、ポート番号ｆをもつ機能１サーバが機能１サーバ１−１と機能１サーバ１−２に分離されていて、ユーザに関する情報がいずれかのサーバに保存されている場合のログイン要求時及びその後のアクセス時の処理を説明するシステム構成図である。機能１サーバ１−１と機能１サーバ１−２は、各々固有のＩＰアドレスを有する。ここでゲートウェイサーバ１０５では、ＷＷＷサーバ１０２から機能１サーバにログイン要求がなされた時にまず機能１サーバ１−１にログイン要求するよう設定されているものとする。
【００２９】
ゲートウェイサーバ１０５は、図１１に示すユーザのアクセス権のチェックをし、接続可能なユーザであれば、ユーザからのログイン要求の電文を機能１サーバ１−１へ送信する。機能１サーバ１−１は、ユーザ管理テーブル１１０を参照して当該ユーザに対応する通信先サーバ情報５０２を参照して通信先サーバが機能１サーバ１−１であれば、機能１サーバ１−１はユーザ管理テーブル１１０を参照してログイン処理を行い、機能１サーバ１−１で当該ユーザのログインが成功／失敗したことをゲートウェイサーバ１０５に通知する。ゲートウェイサーバ１０５は、ログイン成功した場合に、アクセス情報テーブル１０９にユーザ識別子５０１、機能１サーバ１−１を通信先とする通信先サーバ情報５０２及びその他の通信情報をもつ新しいレコードを追加する。通信先サーバが機能１サーバ１−２であれば、機能１サーバ１−１は通信先が機能１サーバ１−２であることをゲートウェイサーバ１０５に通知する。ゲートウェイサーバ１０５は、当該ログイン要求の電文を機能１サーバ１−２へ送信する。機能１サーバ１−２は、ユーザ管理テーブル１１０を参照してログイン処理を行い、当該ユーザのログイン成功／失敗をゲートウェイサーバ１０５に通知する。ゲートウェイサーバ１０５は、ログイン成功した場合に、アクセス情報テーブル１０９にユーザ識別子５０１、機能１サーバ１−２を通信先とする通信先サーバ情報５０２及びその他の通信情報をもつ新しいレコードを追加する。
【００３０】
なおログイン成功したユーザについて、ゲートウェイサーバ１０３は、ＷＷＷサーバ１０２に通信先サーバのＩＰアドレスを通知する必要がある。ゲートウェイサーバ１０５はゲートウェイサーバ１０３に通信先サーバのＩＰを通知し、ゲートウェイサーバ１０３は通信先サーバとしてゲートウェイサーバ１０３のＩＰアドレスをＷＷＷサーバ１０２に通知する。
【００３１】
ログイン後にゲートウェイサーバ１０５が端末１０１から処理要求を受けたとき、ゲートウェイサーバ１０５は、ステップ９０４でアクセス情報テーブル１０９の該当するユーザの通信先サーバ情報５０２を参照し、ログイン時に設定された通信先サーバのＩＰアドレスをその電文の通信ヘッダ部４０１の宛先ＩＰアドレスに設定する。
【００３２】
イントラネットシステム１０７の各機能サーバから端末１０１へ送信される電文は、ファイアウォール１０４及びインターネット９０を介して直接端末１０１へ送信される。
【００３３】
以上のべたように、本実施形態によれば、ゲートウェイサーバ１０３及びゲートウェイサーバ１０５を導入するとともに、ファイアウォール１０４を経由してＷＷＷサーバ１０２からイントラネットシステム１０７の各機能サーバへ流れる電文のポート番号を１種に収束するので、ファイアウォール１０４を通過してゲートウェイサーバ１０５へ送信許可されるポート番号は１種のみとなり、ハッキングによってインターネット９０側からイントラネットシステム１０７に侵入される確率はより小さくなる。またゲートウェイサーバ１０３とゲートウェイサーバ１０５の間を流れる電文のポート番号ｅが盗聴されたとしても、そのポート番号を利用してインターネット９０側から侵入することはできない。またゲートウェイサーバ１０３は、宛先ポート番号とアプリケーションデータ４０３中のアプリケーション固有の正しい制御情報との対応をチェックするので、両者が不一致であるような受信電文を排除する。さらにゲートウェイサーバ１０３が受信する電文のポート番号ａ，ｂ，ｃ，ｄをゲートウェイサーバ１０５が異なるポート番号ｆ，ｇ，ｈ，ｉに変換するので、ゲートウェイサーバ１０５とイントラネットシステム１０７の間に流れる電文のポート番号ｆ，ｇ，ｈ，ｉが盗聴されたとしても、これらのポート番号を利用してインターネット側からイントラネットシステム１０７に侵入することはできない。なおポート番号ｆ，ｇ，ｈ，ｉを各々ポート番号ａ，ｂ，ｃ，ｄと同一にしてもよいが、その場合にはこの効果はない。
【００３４】
なおゲートウェイサーバ１０３とゲートウェイサーバ１０５との間で電文を送受信する際の通信プロトコルをローカルなプロトコルに変換してもよい。すなわちゲートウェイサーバ１０３は、ＷＷＷサーバ１０２から電文を標準の通信プロトコルに従って送受信するが、ゲートウェイサーバ１０３はローカルなプロトコルに変換し、電文中の通信ヘッダ部４０１又はアプリケーションデータ４０３のヘッダをローカルなプロトコルに従うヘッダ部に変換してファイアウォール１０４へ送信する。ファイアウォール１０４は、このローカルなプロトコルに従って電文をゲートウェイサーバ１０５へ送信する。ゲートウェイサーバ１０５は、ローカルプロトコルを元の標準プロトコルに逆変換し、電文中の通信ヘッダ部４０１又はアプリケーションデータ４０３のヘッダを元のヘッダ形式に戻し、標準プロトコルに従ってイントラネットシステム１０７の該当する機能サーバへ送信してもよい。このような通信ヘッダ部４０１内の宛先ポート番号を上記のように変更してもよいし、変更しなくともよい。このようにゲートウェイサーバ１０３及びゲートウェイサーバ１０５に各々プロトコル変換及びプロトコル逆変換の機能を設けると、ゲートウェイサーバ１０３とゲートウェイサーバ１０５との間の電文が盗聴されたとしても、イントラネットシステム１０７の機能サーバにアクセスするために通信ヘッダ部を解読するのが困難となる。
【００３５】
なお上記実施形態では、ＷＷＷサーバ１０２とゲートウェイサーバ１０３が別々の装置としているが、同一の装置であってもよく、その場合にもゲートウェイサーバ１０３部分の上記処理手順は変わらない。また上記実施形態では、ゲートウェイサーバ１０５とイントラネットシステム１０７の機能サーバとが別々の装置としているが、ゲートウェイサーバ１０５とイントラネットシステム１０７の機能サーバの１つとが同一の装置であってもよく、その場合にもゲートウェイサーバ１０５部分の上記処理手順は変わらない。
【００３６】
【発明の効果】
以上述べたように本発明によれば、インターネット側とイントラネット側に各々ゲートウェイサーバを設けて宛先ポート番号の収束と展開を行うので、インターネット側サーバとイントラネット側サーバ間を伝送されるポート番号の数が削減されることになり、イントラネットシステムへ不正アクセスしようとする者からのポート番号の発見がより困難になり、セキュリティが向上する。さらにイントラネット側のゲートウェイサーバは、ログイン要求のあったユーザの接続可否をチェックするので、インターネット側からアクセスするユーザについてアクセス制御することができる。
【図面の簡単な説明】
【図１】実施形態のシステム構成図である。
【図２】従来のポート番号の流れを説明する構成図である。
【図３】実施形態のポート番号の流れを説明する構成図である。
【図４】実施形態のゲートウェイ間を伝送される電文のデータ形式を示す図である。
【図５】実施形態のアクセス情報テーブル１０９のデータ構成を示す図である。
【図６】実施形態のユーザ情報テーブル１０６のデータ構成を示す図である。
【図７】実施形態のユーザ管理テーブル１１０のデータ構成を示す図である。
【図８】実施形態のゲートウェイサーバ１０３の処理の流れを示す図である。
【図９】実施形態のゲートウェイサーバ１０５の処理の流れを示す図である。
【図１０】実施形態のゲートウェイサーバ１０５のログイン要求時の処理を説明する図である。
【図１１】実施形態のゲートウェイサーバ１０５のログイン要求時の処理の流れを示すフローチャートである。
【図１２】他の実施形態のゲートウェイサーバ１０５の処理を説明する構成図である。
【符号の説明】
１０３：インターネット側のゲートウェイサーバ、１０５：イントラネット側のゲートウェイサーバ、１０６：ユーザ情報テーブル、４０１：通信ヘッダ部、４０２：ヘッダ部、４０３：アプリケーションデータ[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a gateway server that contributes to security improvement by intervening in a transmission path of a message transmitted from an Internet server to an intranet server.
[0002]
[Prior art]
A network that connects a server on the Internet side and a server on the intranet side, allows access to the intranet side server from an in-house terminal in the intranet system, and permits access to the intranet side server from outside via the Internet and the Internet side server The system is known. In this case, in order to ensure the security of the intranet system, a firewall is arranged between the Internet side server and the intranet side server to perform access control from the Internet side to the intranet system.
[0003]
[Problems to be solved by the invention]
The intranet side server is divided into a plurality of function servers or functions depending on the service function or application to be provided, and which server's function is specified by the destination IP address and destination port number in the processing request message Configured to do. That is, the Internet side server transmits the processing request message to the target function of the target server on the corresponding intranet side according to the destination IP address and the destination port number included in the processing request message received via the Internet. . Therefore, the firewall interposed between the two servers permits the input of messages having a plurality of port numbers and outputs the messages toward the intranet side server. According to the prior art, the greater the number of port numbers transmitted between the Internet side server and the intranet side server, the easier it is to discover port numbers from those who try to gain unauthorized access to the intranet system and the possibility of hacking. There was a problem that became high.
[0004]
An object of the present invention is to improve the security by reducing the number of port numbers transmitted between the Internet side server and the intranet side server.
[0005]
[Means for Solving the Problems]
The present invention is a method for converging and expanding a port number of a system having a first gateway server and a second gateway server arranged along a transmission path of a message transmitted from a server on the Internet side to a server on the intranet side. The first gateway server converts the destination port number in the message set corresponding to each of the plurality of functions of the Internet-side server into another port number, and sets the original destination port number. The identification information for identifying the message is inserted into the message and transmitted to the second gateway server, and the second gateway server sets the other port number according to the identification information in the message. Convert to the destination port number that is set for each function, and set it to the corresponding intranet server. Convergence of the port number to be transmitted to the function, and wherein the deployment process. The Internet-side gateway server and the intranet-side gateway server having such functions are also characterized.
[0006]
DETAILED DESCRIPTION OF THE INVENTION
Hereinafter, embodiments of the present invention will be described with reference to the drawings.
[0007]
FIG. 1 is a diagram showing a system configuration of an embodiment of the present invention. The system is composed of a terminal 101 such as a mobile phone, a telephone company server 80, the Internet 90, a WWW server 102, an Internet gateway server 103, a firewall 104, an intranet gateway server 105, and an intranet system 107. 4 servers and a terminal 108.
[0008]
The terminal 101 is a user terminal that transmits a processing request to the intranet system 107 via the Internet 90 and the WWW server 102. A computer such as a personal computer may be used instead of the cellular phone and the telephone company server 80. The WWW server 102 is configured to be a window for any one of the functions 1, 2, 3, and 4 in response to a processing request from the terminal 101. Functions 1, 2, 3, and 4 correspond to the function 1 server, function 2 server, function 3 server, and function 4 server of the intranet system 107, respectively. For example, when the WWW server 102 receives a function 3 processing request, The processing request is transmitted to the function 3 server of the intranet system 107, and the function 3 server services the processing request. The function 1 server to the function 4 server of the intranet system 107 have, for example, a user information database for each shared user, and service processing requests for the shared users. The user management table 110 includes user information referred to when each user logs in, and may be connected to the function 1 server or may be connected to each of the function 1 server to the function 4 server.
[0009]
In FIG. 1, symbols a, b, c, d, e, f, g, h, and i indicate different port numbers set in accordance with TCP / IP. The port number is a number for identifying a function or an application. The gateway server 103 receives a processing request message having the port number a, b, c, or d from the WWW server 102, converts the port number into e, and transmits the converted message to the firewall 104. The firewall 104 is a computer having a conventional firewall function, but receives this message and transmits it to the gateway server 105 while keeping the port number e. The gateway server 105 receives this message, expands and sets its port number to f, g, h, or i, and transmits it to the function 1 server to function 4 server, respectively. The port numbers a, b, c, and d correspond to the port numbers f, g, h, and i, respectively. That is, the processing request message is transmitted to the target function server while maintaining the correspondence between the functions 1 to 4 on the WWW server 102 side and the function 1 to function 4 servers on the intranet system 107 side.
[0010]
The gateway server 105 stores a user information table 106 and an access information table 109 on the storage device. The user information table 106 sets information on users who are permitted to access the intranet system 107 from the Internet 90 and the WWW server 102. The gateway server 105 refers only to the user information table 106 and transmits only the login request of the permitted user to the function server in the intranet system 107. Further, the access information table 109 stores, for example, a correspondence between user information and a function server to be accessed for a user who has successfully logged in when the function 1 server is further divided into a plurality of servers. The gateway server 105 refers to the access information table 109 and determines a communication destination server for a processing request received from the user after login.
[0011]
The terminal 108 is a terminal device that is connected to a function server of the intranet system 107 via a local network such as a LAN, transmits a processing request to the function server in the intranet system 107, and receives a service of the function server of the intranet system 107 directly. is there.
[0012]
FIG. 2 shows the connection form of each functional server of the Internet 90, WWW server 102, firewall 104, and intranet system 107, and the flow of messages sent from the Internet 90 in the case of the conventional configuration in which the gateway server 103 and the gateway server 105 are not provided. FIG. Since a message having four types of port numbers a, b, c, and d flows between the WWW server 102 and the function server of the intranet system 107, the firewall 104 transmits a message that flows from the WWW server 102 to the intranet system 107. 4 types of port numbers are permitted, and the possibility of being hacked into the intranet system 107 increases in proportion to the number of port numbers.
[0013]
FIG. 3 shows a connection form of each functional server of the Internet 90, WWW server 102, gateway server 103, firewall 104, gateway server 105, and intranet system 107 in the case of the configuration of the present embodiment in which the gateway server 103 and the gateway server 105 are provided. FIG. 4 is a diagram showing a flow of a message sent from the Internet 90. Since only a message having the port number e flows between the gateway server 103 and the gateway server 105, the firewall 104 only permits one type of port number in the direction of the gateway server 103 and the gateway server 105, and hacking is performed. The probability of intrusion into the intranet system 107 is smaller than in the conventional configuration of FIG.
[0014]
FIG. 4 is a diagram illustrating a data format of a message transmitted from the gateway server 103 to the gateway server 105 via the firewall 104. The communication header portion 401 is a header portion that conforms to the TCP / IP protocol, and includes a destination IP address, a source IP address, a destination port number, and a source port number. In the case of the present embodiment, the destination IP address is the IP address of the firewall 104 for a message transmitted from the gateway server 103 to the firewall 104, and the IP of the gateway server 105 for the message transmitted from the firewall 104 to the gateway server 105. An address is set. Further, the IP address of the terminal 101 is set as the source IP address. Further, the port number e is set as the destination port number, and the port number of the terminal 101 is set as the source port number.
[0015]
The header portion 402 is a header portion inserted between the communication header portion 401 and the application data 403, and an identification number for identifying the functions 1 to 4 of the intranet system 107 is set. Application data 403 includes control information. In this control information, control information unique to each of the functions 1 to 4 is set, and is used to check whether or not the message is addressed to the correct function server.
[0016]
The data format of a message transmitted from the WWW server 102 to the gateway server 103 is composed of a communication header part 401 and application data 403 without the header part 402. The destination IP address of the communication header 401 is the IP address of the gateway server 103, and the destination port number is any one of a, b, c, and d.
[0017]
The data format of the message transmitted from the gateway server 105 to the intranet system 107 is composed of the communication header 401 and application data 403 without the header 402. The destination IP address of the communication header portion 401 is any one of the function 1 server to the function 4 server, and the destination port number is any one of f, g, h, and i.
[0018]
In the case of the conventional configuration without the gateway server 103 and the gateway server 105 shown in FIG. 2, the data format of the transmitted message does not include the header portion 402, and includes a communication header portion 401 and application data 403. The destination IP address of the communication header portion 401 of the message transmitted from the WWW server 102 to the firewall 104 is the IP address of the firewall 104, and the destination port number is any one of a, b, c, and d. The destination IP address of the communication header portion 401 of the message transmitted from the firewall 104 to the intranet system 107 is any one of the function 1 server to the function 4 server, and the destination port number is any of a, b, c, and d. It is.
[0019]
Further, the data format of a message transmitted from the intranet system 107 to the terminal 101 via the firewall 104, the WWW server 102, and the Internet 90 is a conventional one. That is, there is no header section 402, and application data converted into a format such as html by the communication header section 401 and the WWW server 102. The destination IP address included in the communication header portion 401 is set to the IP address of the terminal 101, and the source IP address is set to the IP address of the WWW server 102. Further, the port number of the terminal 101 is set as the destination port number, and the port number of the corresponding function of the WWW server 102 is set as the source port number.
[0020]
FIG. 5 is a diagram showing a data format of the access information table 109. For example, when the function 1 server of the intranet system 107 is separated into the function 1 server 1-1 and the function 1 server 1-2 according to the user to be accessed, the access information table 109 is transmitted from the terminal 101 to the Internet 90 and the WWW. It is a table for storing communication destination server information for each user who has successfully logged into either the function 1 server 1-1 or the function 1 server 1-2 of the intranet system 107 via the server 102. Each record of the access information table 109 includes a user identifier 501, communication destination server information 502, and other communication information. The user identifier 501 is an identifier of a user who has successfully logged in. The communication destination server information 502 is the IP address of the function server of the intranet system 107 in which the communication destination is determined. “Other communication information” is communication information to be associated with the user identifier 501 such as the transmission source IP address and transmission source port number of the terminal 101 of the user.
[0021]
FIG. 6 is a diagram illustrating a data configuration of the user information table 106. Of the users registered in the user management table 110, the user information table 106 permits access to any functional server of the intranet system 107 through the route of the Internet 90, the WWW server 102, the gateway server 103, and the gateway server 105. It is a table which registers a user identifier. The user identifier 601 is the identifier of the target user registered in the user management table 110, and the access control information 602 permits access to any function server of the intranet system 107 via the above path (1) or not. This is control information for setting (0). “Other attribute information” is attribute information necessary for user authentication among user attribute information registered in the user management table 110. In addition, without providing the access control information 602, access of a user whose identifier is registered in the user identifier 601 may be permitted, and access of a user who is not registered may not be permitted. For users who are permitted access, it is possible to restrict access by “other attribute information”. For example, when the title of the section manager is set in the “other attribute information”, access is permitted when the user has a position higher than the section manager.
[0022]
FIG. 7 is a diagram illustrating a data configuration of the user management table 110. The user management table 110 sets user information for performing user authentication for a user who has issued a login request to one of the function servers of the intranet system 107 and information regarding a communication destination server. The user identifier 701 is a user identifier, and the “other attribute information” includes information necessary for user authentication at the time of login such as a password of the user. For example, when the function 1 server of the intranet system 107 is separated into the function 1 server 1-1 and the function 1 server 1-2 according to the user to be accessed, the communication destination server information 702 holds information about the user. The IP address of the server to be stored is stored.
[0023]
FIG. 8 is a diagram illustrating a processing flow of the gateway server 103. The gateway server 103 receives the processing request message from the WWW server 102, and whether or not the control information in the application data 403 is correct information corresponding to the destination port number in the communication header 401, that is, whether or not the function is correct. (Step 801), if it is correct, an identification number corresponding to each function is set (step 803). For example, according to the functions 1, 2, 3 and 4, classifications such as identification numbers of 10, 20, 30, and 40 are set. If the function is not correct, the connection is impossible and the process is terminated (step 802). After the processing in step 803, a transmission telegram to which a header portion 402 including an identification number is added is generated (step 804), the IP address of the firewall 104 is set as the destination IP address, e is set as the destination port number, and the transmission message is transmitted. (Step 805).
[0024]
When the firewall 104 receives this message and determines that it is a message to be passed by checking the conventional firewall, the firewall 104 sets the IP address of the gateway 105 as the destination IP address and transmits it to the gateway 105.
[0025]
FIG. 9 is a diagram illustrating a processing flow of the gateway 105. The gateway 105 receives the message with the destination port number e from the firewall 104 (step 901), recognizes the identification number of the header portion 402, and then deletes the added header portion 402 (step 902). Next, the application data 403 in the message is checked, and if it is a login request, processing for a login request described later is performed (step 903). If it is not a login request, step 903 is skipped. Next, the destination function server is determined, and the destination IP address of the function server is set in the communication header section 401 (step 904). In particular, a process when a plurality of servers share the same function for service will be described later. Next, the destination port number corresponding to the requested function is set in the communication header section 401, and the created message is transmitted to the corresponding function server (step 905). In the present embodiment, the destination port numbers are set to f, g, h, and i for the functions 1, 2, 3, and 4, respectively.
[0026]
FIG. 10 is a system configuration diagram for explaining the processing at the time of the login request in step 903. In particular, the connection to the function server is permitted in the intranet system 107, but the connection to the function server via the Internet 90 is not permitted. It is a figure explaining the case where a user exists. Since the user of the terminal 108 is registered in the user management table 110, when the terminal 108 directly accesses the function server of the intranet system 107, the access is permitted by the intranet system 107. However, since the user is not registered in the user information table 106 or cannot be accessed, the function of the intranet system 107 through the route from the terminal 101 to the Internet 90, the WWW server 102, the gateway server 103, the firewall 104, and the gateway server 105. When trying to access the server, the gateway server 105 cannot be connected.
[0027]
FIG. 11 is a flowchart showing the flow of processing at the time of login request in step 903. The gateway server 105 receives the log-in request message from the terminal 101 (step 1101), refers to the user information table 106 (step 1102), and the user is registered in the user identifier 601 or is stored in the user identifier 601. It is determined whether the access control information 602 is registered and access permission is set (step 1103). If access is permitted and the user can connect, the process goes to the next process (step 903 or 904) (step 1104). If the user cannot connect, an error message is transmitted to the terminal 101 (step 1105).
[0028]
FIG. 12 shows a login request when the function 1 server having the port number f is separated into the function 1 server 1-1 and the function 1 server 1-2, and information about the user is stored in one of the servers. FIG. 2 is a system configuration diagram illustrating processing at the time of subsequent access. The function 1 server 1-1 and the function 1 server 1-2 each have a unique IP address. Here, it is assumed that the gateway server 105 is set to make a login request to the function 1 server 1-1 first when a login request is made from the WWW server 102 to the function 1 server.
[0029]
The gateway server 105 checks the access right of the user shown in FIG. 11 and, if it is a connectable user, transmits a login request message from the user to the function 1 server 1-1. The function 1 server 1-1 refers to the user management table 110, refers to the communication destination server information 502 corresponding to the user, and if the communication destination server is the function 1 server 1-1, the function 1 server 1-1. Performs a login process with reference to the user management table 110 and notifies the gateway server 105 that the login of the user has succeeded / failed in the function 1 server 1-1. When the login is successful, the gateway server 105 adds a new record having the user identifier 501, communication destination server information 502 with the function 1 server 1-1 as the communication destination, and other communication information to the access information table 109. If the communication destination server is the function 1 server 1-2, the function 1 server 1-1 notifies the gateway server 105 that the communication destination is the function 1 server 1-2. The gateway server 105 transmits the login request message to the function 1 server 1-2. The function 1 server 1-2 refers to the user management table 110, performs login processing, and notifies the gateway server 105 of the login success / failure of the user. When the login is successful, the gateway server 105 adds a new record having the user identifier 501, communication destination server information 502 with the function 1 server 1-2 as a communication destination, and other communication information to the access information table 109.
[0030]
For users who have successfully logged in, the gateway server 103 needs to notify the WWW server 102 of the IP address of the communication destination server. The gateway server 105 notifies the IP address of the communication destination server to the gateway server 103, and the gateway server 103 notifies the WWW server 102 of the IP address of the gateway server 103 as the communication destination server.
[0031]
When the gateway server 105 receives a processing request from the terminal 101 after login, the gateway server 105 refers to the communication destination server information 502 of the corresponding user in the access information table 109 in step 904, and sets the communication destination server set at the time of login. Is set as the destination IP address of the communication header portion 401 of the message.
[0032]
A message transmitted from each function server of the intranet system 107 to the terminal 101 is directly transmitted to the terminal 101 via the firewall 104 and the Internet 90.
[0033]
As described above, according to the present embodiment, the gateway server 103 and the gateway server 105 are introduced, and the port number of the message flowing from the WWW server 102 to each functional server of the intranet system 107 via the firewall 104 is set to 1. Since it converges to a seed, only one kind of port number is permitted to be transmitted to the gateway server 105 through the firewall 104, and the probability of intrusion into the intranet system 107 from the Internet 90 side by hacking becomes smaller. Further, even if the port number e of a message flowing between the gateway server 103 and the gateway server 105 is wiretapped, it cannot enter from the Internet 90 side using the port number. Further, since the gateway server 103 checks the correspondence between the destination port number and the correct control information unique to the application in the application data 403, it eliminates received messages that do not match. Further, since the gateway server 105 converts the port numbers a, b, c, and d of the message received by the gateway server 103 into different port numbers f, g, h, and i, the message flowing between the gateway server 105 and the intranet system 107. Even if the port numbers f, g, h, and i are intercepted, it is not possible to enter the intranet system 107 from the Internet side using these port numbers. The port numbers f, g, h, i may be the same as the port numbers a, b, c, d, respectively, but in this case, this effect is not achieved.
[0034]
Note that a communication protocol used when a message is transmitted and received between the gateway server 103 and the gateway server 105 may be converted into a local protocol. That is, the gateway server 103 transmits and receives a message from the WWW server 102 according to a standard communication protocol, but the gateway server 103 converts the message into a local protocol, and the header of the communication header 401 or application data 403 in the message according to the local protocol. It is converted into a header part and transmitted to the firewall 104. The firewall 104 transmits a message to the gateway server 105 according to this local protocol. The gateway server 105 converts the local protocol back to the original standard protocol, returns the header of the communication header section 401 or the application data 403 in the message to the original header format, and transfers it to the corresponding function server of the intranet system 107 according to the standard protocol. You may send it. Such a destination port number in the communication header 401 may be changed as described above, or may not be changed. As described above, when the gateway server 103 and the gateway server 105 are provided with the function of protocol conversion and protocol reverse conversion, respectively, even if a message between the gateway server 103 and the gateway server 105 is wiretapped, the function server of the intranet system 107 It becomes difficult to decode the communication header part for access.
[0035]
In the above-described embodiment, the WWW server 102 and the gateway server 103 are separate devices. However, the same device may be used, and in this case, the processing procedure of the gateway server 103 is not changed. In the above embodiment, the gateway server 105 and the function server of the intranet system 107 are separate devices. However, the gateway server 105 and one of the function servers of the intranet system 107 may be the same device. In addition, the processing procedure of the gateway server 105 is not changed.
[0036]
【The invention's effect】
As described above, according to the present invention, gateway servers are provided on the Internet side and the intranet side, respectively, and the destination port numbers are converged and expanded. Therefore, the number of port numbers transmitted between the Internet side server and the intranet side server Therefore, it becomes more difficult to find a port number from a person who tries to gain unauthorized access to an intranet system, and security is improved. Furthermore, since the gateway server on the intranet side checks whether or not a user who has made a login request can be connected, it is possible to control access for users accessing from the Internet side.
[Brief description of the drawings]
FIG. 1 is a system configuration diagram of an embodiment.
FIG. 2 is a configuration diagram illustrating the flow of a conventional port number.
FIG. 3 is a configuration diagram illustrating a flow of a port number according to the embodiment.
FIG. 4 is a diagram illustrating a data format of a message transmitted between gateways according to the embodiment.
FIG. 5 is a diagram illustrating a data configuration of an access information table 109 according to the embodiment.
FIG. 6 is a diagram illustrating a data configuration of a user information table 106 according to the embodiment.
FIG. 7 is a diagram showing a data configuration of a user management table 110 according to the embodiment.
FIG. 8 is a diagram illustrating a processing flow of the gateway server 103 according to the embodiment.
FIG. 9 is a diagram illustrating a processing flow of the gateway server 105 according to the embodiment.
FIG. 10 is a diagram illustrating processing when a login request is issued by the gateway server 105 according to the embodiment.
FIG. 11 is a flowchart illustrating a processing flow when a login request is issued by the gateway server 105 according to the embodiment.
FIG. 12 is a configuration diagram illustrating processing of a gateway server 105 according to another embodiment.
[Explanation of symbols]
103: Gateway server on the Internet side, 105: Gateway server on the intranet side, 106: User information table, 401: Communication header part, 402: Header part, 403: Application data

Claims

A first gateway server and a second gateway server arranged along a transmission path of a message transmitted from a server on the Internet side to a server on the intranet side, and the first gateway server includes a plurality of Internet side servers. The destination port number in the message set corresponding to each of the functions of the message is set to another port number, and identification information for identifying the original destination port number is inserted into the message and the second gateway Means for transmitting to the server, and the second gateway server sets the other port number corresponding to each of the plurality of functions of the intranet-side server according to the identification information in the message. It is characterized by having means for converting to a destination port number, setting, and transmitting to the corresponding function of the intranet server Convergence of the port number that, the gateway server to the deployment.

The second gateway server further includes storage means for registering a user who is permitted to connect in advance, and means for performing a login process when permitting connection of a user who has made a login request with reference to the storage means. The gateway server for converging and expanding the port number according to claim 1.

A method for converging and expanding a port number of a system having a first gateway server and a second gateway server arranged along a transmission path of a message transmitted from a server on the Internet side to a server on the intranet side. One gateway server sets the destination port number in the message set corresponding to each of the plurality of functions of the Internet-side server to another port number, and identification information for identifying the original destination port number Each of the plurality of functions of the intranet side server is inserted into the message and transmitted to the second gateway server, and the second gateway server sets the other port number according to the identification information in the message. Converted to the destination port number set corresponding to the Convergence of port number and transmits towards the ability deployment method.

4. The log-in process is performed when the second gateway server further permits connection of a user who has made a log-in request with reference to storage means for registering a user who is permitted to connect in advance. Port number convergence and expansion method.

The means for inserting the identification information of the first gateway server into the message inserts a header part including the identification information between a communication header part conforming to a TCP / IP protocol and application data. A gateway server that converges and expands the port number according to claim 1.

The port number convergence according to claim 3, wherein the first gateway server inserts a header part including the identification information between a communication header part conforming to a TCP / IP protocol and application data. Deployment method.