JPWO2014142299A1 - 通信端末と通信制御装置と通信システムと通信制御方法並びにプログラム - Google Patents

Abstract

通信端末が提供するテザリング機能を利用してネットワークと通信接続する他の機器の該通信を制限可能とする通信端末、通信制御装置、システム、方法を提供することにある。テザリング機能を提供する通信端末が、前記通信端末と通信接続し、前記通信端末により提供されるテザリング機能によりネットワークと通信接続する他の機器に対して、前記他の機器の属性情報、前記他の機器の通信宛先、前記通信端末が接続するネットワークインタフェース種別情報の少なくとも１つに基づき、予め記憶部に記憶されている制御ポリシに従って、前記他の機器の前記通信端末により提供されるテザリング機能による通信の許諾を制御する。

Description

［関連出願についての記載］
本発明は、日本国特許出願：特願２０１３−０５１８６２号（２０１３年 ３月１４日出願）に基づくものであり、同出願の全記載内容は引用をもって本書に組み込み記載されているものとする。
本発明は通信端末と通信制御装置と通信システムと通信制御方法並びにプログラムに関する。

近年、スマートフォン等の携帯端末は、３Ｇ（３ｒｄ Ｇｅｎｅｒａｔｉｏｎ）、ＬＴＥ（Ｌｏｎｇ Ｔｅｒｍ Ｅｖｏｌｕｔｉｏｎ）等の公衆移動無線網による通信機能と、無線ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）等の構内無線網による通信機能の両者を備えているものが多い。市販されている携帯端末の中には、「テザリング」（ｔｅｔｈｅｒｉｎｇ）と呼ばれる機能を備えたものがある。テザリング機能は、携帯端末の通信機能を、外部モデムとして、他のＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）等やゲーム機等の機器（「他の機器」という）に提供することで、他の機器のインターネットへの接続を可能としている。無線ＬＡＮ接続機能しか備えていないＰＣやゲーム機（他の機器）においても、携帯端末が提供するテザリング機能を利用することで、例えば外出中に、インターネットへ接続して通信をすることが可能になる。

テザリング機能を提供する携帯端末と他の機器との間の接続の一例として、無線ＬＡＮを用いて接続する例について説明する。テザリング機能を提供する携帯端末は、３Ｇ又はＬＴＥ等の移動通信網から外部パケットデータネットワークであるインターネットに接続し、テザリング機能を提供する携帯端末が、他の機器の通信を中継することで、該他の機器はインターネットへの接続が利用可能となる。

ここで、テザリング機能を提供している携帯端末及び他の機器の通信先であるインターネット上に設置されたサーバ等は、当該サーバ等に対する通信が、
・テザリング機能を提供している携帯端末上で動作しているアプリケーションからのものであるか、
・当該携帯端末のテザリング機能を利用している他の機器上で動作しているアプリケーションからのものであるのか、
を判別することは困難である。これは、当該サーバ等において、いずれの端末からの通信であるかを識別するための手段を具備していないためである。

このため、テザリング機能を備えた携帯端末が、有料のサービスや、企業の業務サービス等といった特別な権限が必要なサービスを利用する権限を有している場合、当該携帯端末のテザリング機能を利用している他の機器も、当該特別な権限が必要なサービスを利用することが可能となる。他の機器の所有者がテザリング機能を提供している携帯端末の所有者と異なる場合もあり得る。この場合、キャリアが加入者（携帯端末利用者）に提供する有料サービスにおいて課金処理等の点で問題があることに加えて、例えば業務サービス等におけるセキュリティ上も問題がある。

なお、携帯端末のテザリング機能に関連して、例えば特許文献１には、テザリング機能を備えた携帯端末がテザリングマシン（他の機器）の１つ以上のアプリケーションと同時にインターネットにアクセスできるようにした構成が開示されている。特許文献２には、テザリング端末からテザリング処理のための条件情報を取得し、取得された条件情報に基づいて１つのテザリング端末を接続し、選択したテザリング端末をネットワークに接続する携帯端末が開示されている。なお、後述されるオープンフローについては例えば非特許文献１、２等が参照される。

特表２０１２−５２４４９９号公報 特開２０１２−２２７６１０号公報

Ｎｉｃｋ ＭｃＫｅｏｗｎほか７名、"ＯｐｅｎＦｌｏｗ： Ｅｎａｂｌｉｎｇ Ｉｎｎｏｖａｔｉｏｎ ｉｎ Ｃａｍｐｕｓ Ｎｅｔｗｏｒｋｓ，"［ｏｎｌｉｎｅ］、［平成２５年１月３１日検索］、インターネット〈ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｏｐｅｎｆｌｏｗｓｗｉｔｃｈ．ｏｒｇ／／ｄｏｃｕｍｅｎｔｓ／ｏｐｅｎｆｌｏｗ−ｗｐ−ｌａｔｅｓｔ．ｐｄｆ〉 "ＯｐｅｎＦｌｏｗ Ｓｗｉｔｃｈ Ｓｐｅｃｉｆｉｃａｔｉｏｎ" Ｖｅｒｓｉｏｎ １．１．０ Ｉｍｐｌｅｍｅｎｔｅｄ（Ｗｉｒｅ Ｐｒｏｔｏｃｏｌ ０ｘ０２） ［平成２５年１月３１日検索］、インターネット〈ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｏｐｅｎｆｌｏｗｓｗｉｔｃｈ．ｏｒｇ／ｄｏｃｕｍｅｎｔｓ／ｏｐｅｎｆｌｏｗ−ｓｐｅｃ−ｖ１．１．０．ｐｄｆ〉

以下に関連技術の分析を与える。

上記したように、テザリング機能を備えた携帯端末が有料のサービスの利用権限等を持っていると、携帯端末のテザリング機能を利用している他の機器も当該サービスを利用することが可能である。そして、このことは、当該他の機器の所有者がテザリング機能を提供している携帯端末の所有者と異なる場合等に、上記したように、例えば課金処理、セキュリティに点で問題がある。したがって、携帯端末が他の機器にテザリング機能を提供しているときに、必要に応じて、他の機器による携帯端末のテザリング機能を用いた通信を制限する等の制御を実現することが必要である。

本発明は、上記課題に鑑みて創案されたものであって、その目的は、通信端末が提供するテザリング機能を利用してネットワークと通信する他の機器の該通信を制限可能とする通信端末、通信制御装置、通信システム、方法とプログラムを提供することにある。

本発明に関連するいくつかの側面のうちの１つによれば（視点１）、テザリング機能を提供する通信端末であって、前記通信端末と通信接続し、前記通信端末により提供されるテザリング機能によりネットワークと通信接続する他の機器に対して、前記他の機器の属性情報、前記他の機器の通信宛先、前記通信端末が接続するネットワークのインタフェース情報の少なくとも１つに基づき、予め記憶部に記憶されている制御ポリシに従って、前記他の機器の前記通信端末により提供される前記テザリング機能による通信の許可又は遮断を含む所定の通信制御を行う通信フロー制御部を備えた通信端末が提供される。

関連する他の側面によれば（視点２）、テザリング機能を提供する通信端末と、前記通信端末と通信接続し、前記通信端末により提供されるテザリング機能によりネットワークと通信接続する他の機器と、を備え、前記通信端末は、前記他の機器の属性情報、前記他の機器の通信宛先、前記通信端末が接続するネットワークのインタフェース情報の少なくとも１つに基づき、予め記憶部に記憶されている制御ポリシに従って、前記他の機器の前記通信端末により提供される前記テザリング機能による通信の許可又は遮断を含む所定の通信制御を行う、通信システムが提供される。

関連する他の側面によれば（視点３）、テザリング機能を提供する通信端末と通信接続し、前記通信端末により提供されるテザリング機能によりネットワークと通信接続する他の機器に対して、前記他の機器の属性情報、前記他の機器の通信宛先、前記通信端末が接続するネットワークのインタフェース情報の少なくとも１つに基づき、予め記憶部に記憶されている制御ポリシに従って、前記他の機器の前記通信端末により提供される前記テザリング機能による通信の許可又は遮断を含む所定の通信制御を行う、通信制御装置が提供される。

関連する他の側面によれば（視点４）、テザリング機能を提供する通信端末と通信接続し、前記通信端末により提供されるテザリング機能によりネットワークと通信接続する他の機器に対して、
前記他の機器の属性情報、前記他の機器の通信宛先、前記通信端末が接続するネットワークのインタフェース情報の少なくとも１つに基づき、予め記憶部に記憶されている制御ポリシに従って、前記他の機器の前記通信端末により提供される前記テザリング機能による通信の許可又は遮断を含む所定の通信制御を行う通信制御方法が提供される。

さらに、関連する他の側面によれば（視点５）、テザリング機能を提供する通信端末を構成するコンピュータに、
前記通信端末と通信接続し、前記通信端末により提供されるテザリング機能によりネットワークと通信接続する他の機器に対して、前記他の機器の属性情報、前記他の機器の通信宛先、前記通信端末が接続するネットワークのインタフェース情報の少なくとも１つに基づき、予め記憶部に記憶されている制御ポリシに従って、前記他の機器の前記通信端末により提供される前記テザリング機能による通信の許可又は遮断を含む所定の通信制御を行う処理を、実行させるプログラムが提供される。

さらに、関連する他の側面によれば（視点６）、上記視点４に係るプログラムを記録した機械読み出し可能な媒体（non-transitory machine readable medium）が提供される。

本発明によれば、通信端末が提供するテザリング機能を利用してネットワークと通信する他の機器の該通信を制限する等適切な制御を実現することができる。

実施形態１の構成を例示する図である。 実施形態１の動作を説明するためのフローチャートである。 実施形態１における制御ポリシの一例を示す図である。 実施形態２の構成を例示する図である。 実施形態３の構成を例示する図である。 実施形態３における制御ポリシの一例を示す図である。 発明概念（技術的思想）の１つを例示する図である。

本発明のいくつかの例示的な実施形態を説明する。いくつかの好ましい形態の１つによれば、図７を参照すると、テザリング機能を提供する通信端末（１０）が、前記通信端末（１０）と通信接続し、前記通信端末（１０）により提供されるテザリング機能を利用してネットワーク（３０）と通信接続する他の機器（２０）に対して、
・前記他の機器（２０）の属性情報、
・前記他の機器（２０）の通信宛先、
・前記通信端末（１０）が接続するネットワークのインタフェース情報、
の少なくとも１つに基づき、予め記憶部に記憶されている制御ポリシ（１２）に従って、前記他の機器（２０）の前記通信端末（１０）により提供される前記テザリング機能による通信の許可、遮断を含む所定の通信制御を行う通信フロー制御部（１１）を備える。

いくつかの好ましい形態の１つによれば、通信端末（１０）において、前記他の機器（２０）の認証を行い、前記他の機器（２０）の属性情報を取得する認証部（図１の１２０）を備えるか、又は、前記通信端末（１０）が通信接続する外部の認証部（図４の３１０）で、前記他の機器（２０）の認証を行い、前記外部の認証部で取得した前記他の機器（２０）の属性情報を、前記外部の認証部から取得する構成としてもよい。通信端末（１０）において、前記他の機器（２０）による通信を識別し、少なくとも通信宛先を特定する通信識別部（図１の１３０）と、前記ネットワークインタフェースが接続するネットワークを識別するネットワーク識別部（図１の１４０）とを備えた構成としてもよい。なお、通信端末（１０）において、通信フロー制御部（１１）の処理・機能は、通信端末（１０）を構成するコンピュータで実行されるプログラムで実現するようにしてもよい。

別の形態において、図７の通信端末（１０）は、前記他の機器（２０）の通信量の累計を計測する通信量測定部（図５の１８０）をさらに備え、前記通信フロー制御部（１１）は、前記制御ポリシ（１２）において、前記他の機器（２０）の通信宛先に対応して、通信量の累計値の閾値制御が規定される場合、計測した前記通信量の累計値と前記閾値との大小関係に応じて、前記他の機器（２０）の前記通信を制御するようにしてもよい。通信端末（１０）は、例えば無線ネットワークと接続し無線ネットワークを介して外部パケットデータネットワークに接続される。

あるいは、前記通信フロー制御部（１１）を、通信制御装置として、テザリング機能を提供する通信端末（１０）が、前記通信端末（１０）と通信接続し、前記通信端末（１０）により提供されるテザリング機能を利用してネットワークと通信接続する他の機器（２０）に対して、前記他の機器（２０）の属性情報、前記他の機器（２０）の通信宛先、前記通信端末（１０）が接続するネットワークインタフェース種別情報の少なくとも１つに基づき、予め記憶部に記憶されている制御ポリシ（１２）に従って、通信端末（１０）が提供する前記テザリング機能による前記他の機器（２０）の通信の許可、遮断等を制御する構成としてもよい。

前記通信制御装置において、前記他の機器の認証を行い、前記他の機器の属性情報を取得する認証部を備えるか、又は、前記通信制御装置が通信接続する外部認証部で前記他の機器の認証を行い取得した前記他の機器の属性情報を、前記外部認証部から取得するようにしてもよい。

前記通信制御装置において、前記他の機器の通信量の累計を計測する通信量測定部を備え、前記制御ポリシにおいて、前記他の機器の通信宛先に対応して、通信量の累計値の閾値制御が規定される場合、計測した前記通信量の累計値と前記閾値との大小関係に応じて、前記他の機器の前記テザリング機能による通信の許可、遮断等を制御するようにしてもよい。

コントローラから設定された処理規則に従い入力パケットを処理するスイッチと、計算したフローに対応する処理規則を生成し前記スイッチに設定する前記コントローラを備え、前記コントローラが、前記通信制御装置を備えたシステム構成（例えばオープンフローシステム）としてもよい。

別の形態に係る方法によれば、テザリング機能を提供する通信端末と通信接続し、前記通信端末により提供されるテザリング機能を利用してネットワークと通信接続する他の機器に対して、前記他の機器の属性情報、前記他の機器の通信宛先、前記通信端末が接続するネットワークのインタフェース情報の少なくとも１つに基づき、予め記憶部に記憶されている制御ポリシに従って、前記通信端末により提供される前記テザリング機能を利用した前記他の機器の通信の許可又は遮断を含む所定の通信制御を行う方法が提供される。

以下では、テザリング機能を提供する通信端末（例えば携帯端末）を「テザリング機能提供端末」という。テザリング機能提供端末は、例えばスマートフォン等の携帯端末からなる。テザリング機能を提供するテザリング機能提供端末に接続してテザリング機能を利用する端末（例えばＰＣやゲーム機器等の「他の機器」）を、「テザリング子端末」という。

いくつかの好ましい形態において、テザリング機能提供端末（図１の１００）は、テザリング子端末（２００〜２０ｎ）の認証を行うテザリング子端末認証部（図１のテザリング子端末認証手段１２０）と、テザリング機能提供端末（１００）に接続されている複数のテザリング子端末（例えば図１のｎ個：２００〜２０ｎ）の中から各テザリング子端末の通信を識別する通信識別部（図１の通信識別手段１３０）と、テザリング機能提供端末（１００）が接続しているネットワーク種別（図１のネットワークインタフェース種別）を識別するネットワーク種別識別部（図１のネットワーク種別識別手段１４０）と、テザリング子端末（２００〜２０ｎ）の認証結果、及び、テザリング機能提供端末（１００）が接続しているネットワークの種別を基に、各テザリング子端末（２００〜２０ｎ）の通信を制御する通信フロー制御部（図１の通信フロー制御手段１６０）とを備える。なお、図１の通信フロー制御手段１６０、制御ポリシデータベース１５０に記憶される制御ポリシは、図７の通信フロー制御部１１、制御ポリシ１２にそれぞれ対応している。

好ましい形態において、上記各部は、次のように動作する。テザリング機能提供端末（１００）のテザリング子端末認証部（１２０）は、テザリング機能提供端末（１００）に接続してテザリング機能を利用しているテザリング子端末（２００〜２０ｎ）の認証を行い、テザリング子端末（２００〜２０ｎ）を端末単位で利用権限を識別する。

テザリング機能提供端末（１００）の通信識別部（１３０）は、当該テザリング機能提供端末（１００）のを経由して外部ネットワーク（インターネット）に対して通信を行っている各テザリング子端末（２００〜２０ｎ）の各通信が、いずれのテザリング子端末からのものであるか（source node）、及び、その宛先（destination node）を識別する。

ネットワーク種別識別部（１４０）は、テザリング機能提供端末（１００）が接続している無線網の種別を識別する。

通信フロー制御部（１６０）は、テザリング子端末認証部（１２０）、通信識別部（１３０）、ネットワーク種別識別部（１４０）によって識別・判定された、
・テザリング子端末の利用権限、及び、
・テザリング機能提供端末が接続している無線網の種別、
・各通信の通信元テザリング子端末及び通信宛先、
に応じて、例えば、
・当該通信の許可、
・当該通信の遮断、
・当該通信の振り分け、
といった通信制御を行う。

この結果、通信フロー制御部（１６０）は、例えば、
・テザリング子端末の利用権限、
・テザリング子端末の通信宛先、
・テザリング機能提供端末が接続している無線網の種別、
の組み合わせに応じて、各テザリング子端末の各通信単位で、
・通信セキュリティ、
・情報漏洩対策、
等を考慮した、最適な通信制御を、テザリング機能提供端末（１００）で実施することが可能としている。以下、図面を参照していくつかの実施形態を説明する。

＜実施形態１＞
図１を参照すると、実施形態１はテザリング機能提供端末１００と、（ｎ＋１）台のテザリング子端末２００〜２０ｎ（ｎは所定の非負整数）と、利用限定サーバ群３００と、公開サーバ群４００を備えている。

テザリング機能提供端末１００と、テザリング子端末２００〜２０ｎとは、有線又は無線通信手段によって接続されている。テザリング機能提供端末１００と、利用限定サーバ群３００、公開サーバ群４００とは、１又は複数種の無線通信手段によって接続されている。

テザリング機能提供端末１００は、テザリング通信送受信ネットワークＩＦ（インタフェース）１１０と、テザリング子端末認証手段１２０と、通信識別手段１３０と、ネットワーク種別識別手段１４０と、制御ポリシデータベース１５０と、通信フロー制御手段１６０と、外部ネットワークＩＦ１７０〜１７ｎを備えている。これらの手段はそれぞれ概略次のように動作する。

テザリング子端末２００〜２０ｎは、テザリング機能提供端末１００とテザリング通信送受信ネットワークＩＦ１１０を通して、無線又は有線の通信手段で接続し、テザリング機能提供端末１００の外部ネットワークＩＦ１７０〜１７ｎのいずれかを通して、利用限定サーバ群３００又は公開サーバ群４００が提供しているサービスとの間で通信を行う。

その際、テザリング子端末認証手段１２０は、テザリング機能提供端末１００に接続し、テザリング機能を利用しているテザリング子端末２００〜２０ｎの認証をそれぞれ行い、テザリング子端末単位の利用権限を識別する。

通信識別手段１３０は、テザリング機能提供端末１００を経由して利用限定サーバ群３００又は公開サーバ群４００に対して通信を行っている各テザリング子端末２００〜２０ｎの各通信に関して、該通信がいずれのテザリング子端末からのものであるか、及び、その通信宛先を識別する。

ネットワーク種別識別手段１４０は、テザリング機能提供端末１００の外部ネットワークＩＦ１７０〜１０ｎが接続している無線網の種別を識別する。

通信フロー制御手段１６０は、前記各手段１２０、１３０、１４０によって識別、判定された、
・テザリング子端末の利用権限、及び、
・各通信の通信元テザリング子端末、及び通信宛先、
・テザリング機能提供端末１００上の外部ネットワークＩＦが接続している無線網の種別、
に応じて、制御ポリシデータベース１５０に格納された制御ポリシに従い、
・当該通信の許可、
・当該通信の遮断、
・いずれの外部ネットワークＩＦを通して通信するか振り分ける経路振り分け、
といった通信制御を行う。

特に制限されないが、テザリング機能提供端末１００の一例としては、
・３Ｇ又はＬＴＥ等の移動公衆無線通信手段と、
・無線ＬＡＮ等の構内無線通信手段、
・ＢｌｕｅＴｏｏｔｈ（登録商標）等の近距離無線通信手段、
・ＵＳＢ（Universal Serial Bus）接続等による有線通信手段、
といった複数の外部ネットワークＩＦ１７０〜１７ｎを備えたスマートフォン等の携帯端末が用いられる。

テザリング機能提供端末１００と、テザリング子端末２００〜２０ｎとの間の接続は、テザリング機能提供端末１００が備える外部ネットワークＩＦのうちのいずれか一つを用いて行われる。便宜上、本説明中では、テザリング機能提供端末１００とテザリング子端末２００〜２０ｎとの接続に用いられる外部ネットワークＩＦを、テザリング通信送受信ネットワークＩＦ１１０とする。

テザリング子端末２００〜２０ｎが、テザリング機能提供端末１００が提供するテザリング機能を利用する時の、テザリング機能提供端末１００の外部ネットワークＩＦ１７０〜１７０ｎ及びテザリング通信送受信ネットワークＩＦ１１０と無線通信手段の対応関係の一例としては、
・テザリング子端末２００〜２０ｎとの通信に用いるテザリング通信送受信ネットワークＩＦ１１０には無線ＬＡＮを用い、
・利用限定サーバ群３００、公開サーバ群４００とテザリング機能提供端末１００との通信に用いる外部ネットワークＩＦ１７０〜１７０ｎとして、３Ｇ又はＬＴＥを用いる。

これによって、テザリング子端末２００〜２０ｎは、テザリング機能提供端末１００を経由して、利用限定サーバ群３００、公開サーバ群４００と通信を行う。なお、外部ネットワークＩＦ１７０〜１７０ｎ及びテザリング通信送受信ネットワークＩＦ１１０と無線通信手段の対応は、上記に制限されるものでないことは勿論である。また利用限定サーバ群３００、公開サーバ群４００とテザリング機能提供端末１００との間の通信に、複数種類の外部ネットワークＩＦ１７０〜１７０ｎ、例えば３Ｇと無線ＬＡＮの２種類を使い分けて通信する構成としてもよい。

また、３ＧやＬＴＥ又は無線ＬＡＮによる無線通信区間上に作成されたＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）を３ＧやＬＴＥ、無線ＬＡＮとは別の外部ネットワークＩＦの一種として取り扱い、利用限定サーバ群３００、公開サーバ群４００とテザリング機能提供端末１００との通信に用いるようにしてもよい。

利用限定サーバ群３００の一例としては、例えば、
・有料会員のみにサービスを提供している動画配信サーバや、
・企業内の従業員のみに利用を限定している企業業務サーバ等
が挙げられる。利用限定サーバ群３００は、一般のインターネット上に設置されている場合もあれば、企業内の専用網内に設置されている場合もある。

公開サーバ群４００の一例としては、特に利用者の限定なくサービスを公開している、一般情報提供サーバ等があり、一般のインターネット上に設置されている。

図２は、実施形態１の動作を説明するための流れ図である。次に、図１及び、図２のフローチャートを参照して、本実施の形態の全体の動作について説明する。

テザリング子端末２００〜２０ｎは、テザリング機能提供端末１００に対してテザリング機能利用要求を行う（図２のステップＡ１）。

テザリング機能提供端末１００は、テザリング通信送受信ネットワークＩＦ１１０を通してテザリング子端末２００〜２０ｎのいずれかからのテザリング機能利用要求があると、テザリング子端末認証手段１２０にて各テザリング子端末に対して認証を行い、テザリング子端末２００〜２０ｎの属性情報を特定する（図２のステップＡ２）。図２のステップＡ２によって特定されるテザリング子端末２００〜２０ｎの属性情報の一例としては、利用限定サーバ群３００の利用に伴う権限情報が挙げられる。具体的には、
・あるサービスの有料会員であるか否か、
・当該企業の従業員であるか否か
という属性情報を用いてもよい。

また、テザリング子端末２００〜２０ｎの属性情報の一例として、
・当該企業支給の端末であるか、
・従業員保有の私物端末であるか、
・上記以外の端末であるか、
といった属性情報を用いてもよい。

次に、テザリング子端末２００〜２０ｎのいずれかから利用限定サーバ群３００又は公開サーバ群４００に対して通信を行う際には、テザリング子端末２００〜２０ｎからテザリング機能提供端末１００のテザリング通信送受信ネットワークＩＦ１１０に対して、通信が行われる（図２のステップＡ３）。

テザリング機能提供端末１００の通信識別手段１３０が通信の識別を行う（図２のステップＡ４）。

通信識別手段１３０で行う識別内容の一例としては、通信元がテザリング子端末２００〜２０ｎのうちいずれであるかを特定する。

通信の宛先は、利用限定サーバ群３００又は公開サーバ群４００のいずれに含まれるか、である。通信の宛先の一例としては、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス、ＵＲＬ（ＵｎＩＦｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）等があり、通信識別手段１３０では、これらが示す通信宛先が、利用限定サーバ群３００又は公開サーバ群４００のいずれに含まれるかを識別する。

次に、ネットワーク種別識別手段１４０は、テザリング機能提供端末１００の外部ネットワークＩＦ１７０〜１０ｎが接続している無線網の種別を識別する（図２のステップＡ５）。

ネットワーク種別識別手段１４０で行う識別する種別の一例としては、
・外部ネットワークＩＦ１７０〜１７ｎが接続している無線網の種類、具体的には、
３Ｇ、ＬＴＥ、無線ＬＡＮ、ＶＰＮ等
が挙げられる。

ネットワーク種別識別手段１４０で行う識別する種別の例として、
・通信セキュリティ強度により、セキュリティ低、中、高のような分類や、
・企業専用ネットワーク内であるか外であるか、といった分類が挙げられる。

通信セキュリティ強度の分類手順としては、
・通信に用いられる暗号強度や、
・ＶＰＮ接続か否か、
・公衆無線アクセスポイント経由か、
・企業内に設置された無線アクセスポイントか、
といった分類による低、中、高のランク付けが一例として挙げられる。

ネットワーク種別識別手段１４０により識別される種別において、暗号処理無しや、公衆無線アクセスポイント経由は、一般的にセキュリティ強度が低く、ＶＰＮ接続は、一般的にセキュリティ強度が強いと判断することができる。

通信フロー制御手段１６０は、テザリング子端末認証手段１２０と、通信識別手段１３０と、ネットワーク種別識別手段１４０（図２のステップＡ２、Ａ４、Ａ５）によって識別、判定された、
・テザリング子端末の属性情報、
・制御対象の通信の通信元テザリング子端末、及び、通信宛先、
・テザリング機能提供端末１００上の外部ネットワークＩＦが接続している無線網の種別情報
を基に、制御ポリシデータベース１５０に格納された制御ポリシに従い、
・当該通信の許可、
・遮断、
・許可する場合はいずれの外部ネットワークＩＦを通して通信するかの経路振り分けといった通信制御を行う（図２のステップＡ６）。

図３は、制御ポリシデータベース１５０に格納された制御ポリシの一例を示す図である。この制御ポリシを基に、通信フロー制御手段１６０は、制御対象通信に対する各属性に対応した制御アクションを決定する。

制御ポリシデータベース１５０に格納された制御ポリシは、
・テザリング子端末の属性、
・通信宛先、
・外部ネットワークＩＦ１７０〜１７０ｎが接続されている通信経路
のそれぞれの組み合わせにおいて十分なセキュリティが確保できるように、
・端末ベンダや
・企業ネットワーク管理者、
・通信キャリア、
等により設計されていることを想定している。すなわち、通信宛先が企業の業務サーバや会員限定の有料サービス等の場合は、これを利用するテザリング子端末は必要な利用権限を備えている必要がある。通信経路のセキュリティも高い必要がある。一方、通信宛先が一般に公開されたサービスである場合には、テザリング子端末の保有権限や通信経路のセキュリティに、特別なものは必要ない。

一例として、企業の業務システムへのテザリング子端末からの利用を、本発明の実施形態に基づき、通信制御する例を説明する。

・制御対象通信の通信元のテザリング子端末の属性が企業支給端末、
・通信宛先が利用限定サーバ群３００、
・テザリング機能提供端末１００が現在接続している外部ネットワークＩＦが、３Ｇ、公衆ＷＩＦｉ（Ｗｉｒｅｌｅｓｓ Ｆｉｄｅｌｉｔｙ）、利用限定サーバ群３００と接続されたＶＰＮの場合、
通信フロー制御手段１６０は、利用可能な外部ネットワークＩＦのうち、制御ポリシデータベース１５０に格納された制御ポリシを参照して、通信が許可された外部ネットワークＩＦの中から、最も通信の安全性が高いもの（図３のセキィリティ高）を選択する。図３の制御ポリシ例を参照すると、通信が許可された外部ネットワークＩＦは、３ＧとＶＰＮ接続であり、通信の安全性が高いのは、利用限定サーバ群３００と接続されたＶＰＮであることから、当該ＶＰＮ接続を通した通信を許可する。これは、通信元の端末が十分な利用権限を備え、通信経路も安全であるためである。

他の例として、
・制御対象通信の通信元テザリング子端末の属性が私物端末、
・通信宛先が利用限定サーバ群３００、
・テザリング機能提供端末１００が現在接続している外部ネットワークＩＦが３Ｇ、公衆ＷＩＦｉのみである場合、
通信フロー制御手段１６０は、制御アクションとして、通信を遮断する。これは、通信元の端末の利用限定サーバ群３００に対する利用する権限と外部ネットワークＩＦを通した通信経路が、十分な安全性を備えていないためである。

実施形態１においては、テザリング機能提供端末１００に接続してテザリング機能を利用しているテザリング子端末２００〜２０ｎを、テザリング子端末認証手段１２０で認証することで、利用権限を確認する。そして、テザリング機能提供端末１００を経由して利用限定サーバ群３００又は公開サーバ群４００に対して通信を行っているテザリング子端末２００〜２０ｎの各通信に関して、通信識別手段１３０で、
・いずれのテザリング子端末からのものか、及び、
・その通信宛先を識別する。また、ネットワーク種別識別手段１４０にて、テザリング機能提供端末１００の外部ネットワークＩＦ１７０〜１０ｎが接続している無線網の種別を識別する。そして、通信フロー制御手段１６０にて、これらの識別結果を、通信セキュリティ確保の観点から設計された制御ポリシと照合して、通信制御を行うように動作する。実施形態１によれば、
・テザリング機能提供端末１００を通して通信を行おうとするテザリング子端末の利用権限と、
・当該通信の通信宛先の要求する通信セキュリティ強度、及び、利用権限
に応じて、通信の許可、遮断、利用する無線網の選択といった通信セキュリティ確保の上で最適な通信制御を行うことを可能としている。

＜実施形態２＞
図４は、実施形態２の構成を例示する図である。図４を参照すると、実施形態２と、図１の実施形態１との構成の相違としては、利用限定サーバ群３００に、サーバ側認証手段３１０が含まれていることである。

実施形態２が、前記実施形態１の動作と相違する点は、テザリング機能提供端末１００におけるテザリング子端末２００〜２０ｎの認証の際に、テザリング機能提供端末１００上のテザリング子端末認証手段１２０と、サーバ側認証手段３１０が連携して認証を行う点である。具体的な連携手法の一例としては、テザリング子端末認証手段１２０は、認証処理を全てサーバ側認証手段３１０に委譲し、認証結果を取得する、あるいは、初回はサーバ側認証手段３１０にて認証処理を実施し、認証結果をキャッシュデータとしてテザリング子端末認証手段１２０側に記憶保持しておく。次回以降、同一のテザリング子端末からの認証要求の場合は、このキャッシュデータを用いる。他の動作は、実施形態１と同一であり、重複を回避するため、説明は省略する。

＜実施形態３＞
図５は、実施形態３の構成を例示する図である。図５を参照すると、実施形態３が、図１の実施形態１の構成と相違する点は、テザリング機能提供端末１００が、通信量測定手段１８０を備えていることである。

以下では、実施形態３の動作について、実施形態１の動作と相違する点について説明し、同一部分は重複を回避するため省略する。

テザリング子端末２００〜２０ｎがテザリング機能提供端末１００を通して通信を行っている際に、通信量測定手段１８０は、テザリング子端末全体での累計通信量を計測する。通信フロー制御手段１６０は、通信量測定手段１８０で計測した通信量を考慮して、テザリング子端末の通信制御を行う。

通信量測定手段１８０における通信量の計測手順の一例としては、外部ネットワークＩＦ１７０〜１７０ｎの種別毎、具体的には例えば３Ｇ、無線ＬＡＮといった、ネットワーク種別毎に、例えば各月の通信量を計測する。

図６は、図５に示した実施形態３の制御ポリシデータベース１５０に格納された制御ポリシの一例を例示する図である。図６に示すように、制御ポリシは、
・テザリング子端末属性、
・通信宛先、
・外部ネットワークＩＦ種別、
・累計通信量、
・制御アクションの各欄を備える。累計通信量の閾値に応じて（閾値に基づき制御では、累計通信量が閾値以下であるか否かに応じて）、通信制御時の制御アクションが変わるように設定されている。図６の制御ポリシの例では、外部インタフェースＩＦ種別が３Ｇの場合のように、通信料金が発生する通信経路のみ、累計通信量が閾値を越えたか否かによって、通信制御が変わる。

累計通信量の閾値との大小関係により、制御アクションが変わるのは、
企業支給端末に関して、
・通信宛先が利用限定サーバ群３００、
・外部インタフェースＩＦ種別が３Ｇ（セキュリティ中）、
私物端末に関して、
・通信宛先が公開サーバ群４００、
・外部インタフェースＩＦ種別が３Ｇ（セキュリティ中）の場合である。

この制御ポリシに対して、例えばテザリング子端末が私物端末であり、公開サーバ群４００に対して、通信が行われる場合を説明する。

テザリング機能提供端末１００が３Ｇと公衆ＷＩＦｉに接続されていた場合、累計通信量が閾値以下の場合、公衆ＷＩＦｉと３Ｇの両者が制御ポリシ上は許可となり、通信セキュリティの安全性が上である、３Ｇ通信の利用が、通信フロー制御手段１６０により選択される。

累計通信量が閾値を越えると、制御ポリシ上、通信が許可となるのは、公衆ＷＩＦｉのみである。このため、公衆ＷＩＦｉの利用が通信フロー制御手段１６０によって選択される。これにより、累計通信量に応じて課金が行われるネットワーク種別を利用する際は、累計通信量がある一定値（閾値）を越えたら、当該種別のネットワークから、例えば公衆ＷＩＦｉ等、他の種別のネットワークへと、利用するネットワークを変更するように動作することが可能になる。

実施形態３では、累計通信量を、制御ポリシに追加したが、利用可能な通信帯域の観点から制御ポリシを定義することも可能である。具体例として、通信量測定手段１８０による測定に結果、累計通信量が閾値を越えた場合、
・通信帯域が大きいＷＩＦｉ側を利用し、通信帯域が小さい３Ｇ側は、遮断と制御ポリシに定義することで、通信量（累計通信量）が多い時には、通信帯域が大きい通信手段を選択するように動作させることができる、という作用効果を奏する。

＜実施例＞
実施例として、集中制御型のネットワークアーキテクチャであるオープンフロー（ＯｐｅｎＦｌｏｗ：インターネット（ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｏｐｅｎｆｌｏｗｓｗｉｔｃｈ．ｏｒｇ）のほか、上記非特許文献１、２参照）を用いて実装する例を説明する。

オープンフローは、通信をエンドツーエンドのフローとして認識し、フロー単位で経路制御等を実施することができる。フローとは、通信の送信元、宛先等に基づいて識別された所定の属性を有する一連の通信パケット群である。オープンフローによるフロー単位の経路制御は、オープンフロースイッチ（ＯｐｅｎＦｌｏｗ Ｓｗｉｔｃｈ：「ＯＦＳ」と略記される）と、オープンフローコントローラ（ＯｐｅｎＦｌｏｗ Ｃｏｎｔｒｏｌｌｅｒ：「ＯＦＣ」と略記される）を備えている。ＯＦＳは、ＯｐｅｎＦｌｏｗ技術を採用したネットワークスイッチである。ＯＦＳは、ＯＦＣによって設定されたフローテーブルに従って、ＯＦＳを通過する通信パケットに対して、フロー単位の経路制御を行う。フローテーブルの各エントリであるフローエントリは、ＯＦＳが受信したパケットのヘッダに含まれる情報と照合するためのマッチングルール（Match Field）と、マッチングルールにマッチするパケットの処理方法を規定するインストラクション(Actions：指定ポートからのパケット送信、フラッディング、廃棄等)と、受信パケット数（バイト）等の統計情報(Counters)を一エントリとして含む。ヘッダ情報として、入力ポート、宛先ＭＡＣ（Media Access Control）アドレス)、送信元ＭＡＣアドレス、Ｅｔｈｅｒ Ｔｙｐｅ（Ethernet（登録商標） Type）、ＶＬＡＮ(Virtual Local Area Network)ＩＤ、ＶＬＡＮ ＰＣＰ(Priority Code Point）、宛先ＩＰアドレス、送信元ＩＰアドレス、ＩＰプロトコル、ＴＯＳ（Type of Service)、送信元ポート番号と宛先ポート番号（例えばTCP(Transmission Control Protocol)やUDP(User Datagram Protocol)のポート番号）が含まれる。ＯＦＳは、パケットを受信するとフローテーブルを参照し、受信したパケットのヘッダ情報にマッチするフローエントリを検索する。

フローエントリ内にマッチするエントリが存在する場合は、マッチしたエントリに含まれるインストラクションに従って、受信パケットの処理を行う。

マッチするエントリが存在しなかった場合は、パケットイン（Ｐａｃｋｅｔ Ｉｎ）メッセージで受信パケットをＯＦＣにセキュアチャネルを用いて送信し、ＯＦＣに受信パケットの処理方法を規定したフローエントリの設定を要求する。

ＯＦＣは、ネットワークトポロジ情報から当該受信パケットの転送経路を計算し、経路上のＯＦＳに対してフローエントリを設定するメッセージ（ＦｌｏｗＭｏｄｉｆｙ）を送信し、パケット転送を指示するパケットアウト（Ｐａｃｋｅｔ Ｏｕｔ）メッセージを経路上の該当するＯＦＳに送信し、該当するＯＦＳは、受信パケットをフローエントリに従って転送する。以上のＯｐｅｎＦｌｏｗの仕組みを用いることにより、例えば図１の通信識別手段１３０、及び、通信フロー制御手段１６０の動作を実現できる。通信識別手段１３０を、ＯＦＳを用いて実現し、通信フロー制御手段１６０をＯＦＣを用いて実現する。実施例として、それぞれハードウェアで構成されるスイッチ、コントローラ装置を用いて実現してもよいし、ソフトウェアからなるスイッチ、コントローラソフトウェアモジュールとして実現してもよい。

具体的な動作の一例を示すと、ＯＦＳにより実現された図１の通信識別手段１３０は、図２のフローチャートにおける通信識別処理（ステップＡ４）において、テザリング子端末からの通信フローを認識し、その通信フローの宛先ＩＰアドレスをＯＦＳが受信したパケットのヘッダに含まれる情報から取得する。ここで、いずれのテザリング子端末からの通信かの識別に関しては、ＯＦＳが受信したパケット情報から識別してもよい。あるいは、テザリング通信送受信ネットワークＩＦ１１０において、ステップＡ２における認証処理と連携することで、いずれのテザリング子端末からの通信かを識別してもよい。

ＯＦＳによる通信フローの識別後、ＯＦＣにより実現された図１の通信フロー制御手段１６０は、図２のフローチャートにおける通信経路振り分け処理（ステップＡ６）において、制御ポリシデータベース１５０に格納された制御ポリシを基に、フローテーブルを設定することで、通信フロー単位の経路制御を、ＯＦＳに対して指示し、実際の経路制御処理はＯＦＳにて実施される。このフローテーブルに含まれるインストラクションに、制御ポリシに記載の制御アクションとその際の外部ネットワークＩＦ種別からなる命令、例えば３Ｇ ＩＦ側に出力、ＷＩＦｉ側は遮断といった命令が記述される。

ＯＦＣにより実現された図１の通信フロー制御手段１６０による、ＯＦＳにより実現された図１の通信識別手段１３０へのフローテーブルの設定手順としては、予め制御ポリシデータベース１５０に格納された制御ポリシに従って設定するように動作してもよい。あるいは、ＯＦＣは、ＯＦＳからのフローエントリの設定要求が発生した際に、該当する通信フローのヘッダ情報にマッチする制御ポリシを、制御ポリシデータベース１５０から検索し、該当する制御ポリシが存在すれば、ＯＦＳのフローテーブルにフローエントリを設定する、ように動作してもよい。

上記各実施形態、実施例によれば、他の機器に対してテザリング機能を提供する通信機能を搭載した携帯端末において、通信セキュリティ及び情報漏洩対策に寄与する。

なお、上記の特許文献および各非特許文献の各開示を、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態の変更・調整が可能である。また、本発明の全開示の枠内において種々の開示要素の多様な組み合わせ、ないし選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得る各種変形、修正を含むことは勿論である。

１０ 通信端末
１１ 通信フロー制御部
１２ 制御ポリシ
２０ 他の機器
３０ ネットワーク
１００ テザリング機能提供端末
１１０ テザリング通信送受信ネットワークＩＦ
１２０ テザリング子端末認証手段（テザリング子端末認証部）
１３０ 通信識別手段（通信識別部）
１４０ ネットワーク種別識別手段（ネットワーク種別識別部）
１５０ 制御ポリシデータベース
１６０ 通信フロー制御手段（通信フロー制御部）
１７０〜１７ｎ 外部ネットワークＩＦ
１８０ 通信量測定手段（通信量測定部）
２００〜２０ｎ テザリング子端末
３００ 利用限定サーバ群
３１０ サーバ側認証手段（サーバ側認証部）
４００ 公開サーバ群

Claims (10)

1. テザリング機能を提供する通信端末であって、
   前記通信端末と通信接続し、前記通信端末により提供されるテザリング機能によりネットワークと通信接続する他の機器に対して、前記他の機器の属性情報、前記他の機器の通信宛先、前記通信端末が接続するネットワークのインタフェース情報の少なくとも１つに基づき、予め記憶部に記憶されている制御ポリシに従って、前記他の機器の前記通信端末により提供される前記テザリング機能による通信の許可又は遮断を含む所定の通信制御を行う通信フロー制御部を備えた、ことを特徴とする通信端末。
2. 請求項１記載の通信端末において、前記他の機器の認証を行い、前記他の機器の属性情報を取得する認証部を内部備えるか、又は、前記通信端末外部に設けられ、前記通信端末が通信接続する認証部で前記他の機器の認証を行い取得した前記他の機器の属性情報を前記外部認証部から取得する、請求項１記載の通信端末。
3. 前記他の機器による通信を識別し少なくとも通信宛先を特定する通信識別部と、
   前記インタフェースが接続するネットワークを識別するネットワーク識別部と、
   をさらに備えた請求項２記載の通信端末。
4. 前記他の機器の通信量の累計値を計測する通信量測定部さらに備え、
   前記通信フロー制御部は、前記制御ポリシにおいて、前記他の機器の通信宛先及び／又は前記通信端末が接続するネットワークに対応して、通信量の累計値の閾値制御が規定される場合、前記通信量測定部で計測した前記通信量の累計値と前記閾値との大小関係に応じて、前記他の機器の前記通信端末により提供される前記テザリング機能による、通信の許可又は遮断の制御を行う、請求項１乃至３のいずれか１項に記載の通信端末。
5. テザリング機能を提供する通信端末と、
   前記通信端末と通信接続し、前記通信端末により提供されるテザリング機能によりネットワークと通信接続する他の機器と、
   を備え、
   前記通信端末は、前記他の機器の属性情報、前記他の機器の通信宛先、前記通信端末が接続するネットワークのインタフェース情報の少なくとも１つに基づき、予め記憶部に記憶されている制御ポリシに従って、前記他の機器の前記通信端末により提供される前記テザリング機能による通信の許可又は遮断を含む所定の通信制御を行う、ことを特徴とする通信システム。
6. テザリング機能を提供する通信端末と通信接続し、前記通信端末により提供されるテザリング機能によりネットワークと通信接続する他の機器に対して、前記他の機器の属性情報、前記他の機器の通信宛先、前記通信端末が接続するネットワークのインタフェース情報の少なくとも１つに基づき、予め記憶部に記憶されている制御ポリシに従って、前記他の機器の前記通信端末により提供される前記テザリング機能による通信の許可又は遮断を含む所定の通信制御を行う、ことを特徴とする通信制御装置。
7. 前記他の機器の通信量の累計値を計測する通信量測定部を備え、
   前記制御ポリシにおいて、前記他の機器の通信宛先及び／又は前記通信端末が接続するネットワークに対応して、通信量の累計値の閾値制御が規定される場合、前記通信量測定部で計測した前記通信量の累計値と前記閾値との大小関係に応じて、記他の機器の前記通信に対して許可又は遮断を含む所定の通信制御を行う、請求項６記載の通信制御装置。
8. コントローラから設定された処理規則に従い入力パケットを処理するスイッチと、
   計算したフローに対応する処理規則を生成し前記スイッチに設定する前記コントローラを備え、前記コントローラが請求項６又は７記載の通信制御装置を備えた、通信システム。
9. テザリング機能を提供する通信端末と通信接続し、前記通信端末により提供されるテザリング機能によりネットワークと通信接続する他の機器に対して、
   前記他の機器の属性情報、前記他の機器の通信宛先、前記通信端末が接続するネットワークのインタフェース情報の少なくとも１つに基づき、予め記憶部に記憶されている制御ポリシに従って、前記他の機器の前記通信端末により提供される前記テザリング機能による通信の許可又は遮断を含む所定の通信制御を行う、ことを特徴とする通信制御方法。
10. テザリング機能を提供する通信端末を構成するコンピュータに、
    前記通信端末と通信接続し、前記通信端末により提供されるテザリング機能によりネットワークと通信接続する他の機器に対して、前記他の機器の属性情報、前記他の機器の通信宛先、前記通信端末が接続するネットワークのインタフェース情報の少なくとも１つに基づき、予め記憶部に記憶されている制御ポリシに従って、前記他の機器の前記通信端末により提供される前記テザリング機能による通信の許可又は遮断を含む所定の通信制御を行う処理を、実行させるプログラム。

Images