JP2003289338A - パケット中継プログラム、パケット中継装置および記録媒体 - Google Patents
パケット中継プログラム、パケット中継装置および記録媒体Info
- Publication number
- JP2003289338A JP2003289338A JP2002093201A JP2002093201A JP2003289338A JP 2003289338 A JP2003289338 A JP 2003289338A JP 2002093201 A JP2002093201 A JP 2002093201A JP 2002093201 A JP2002093201 A JP 2002093201A JP 2003289338 A JP2003289338 A JP 2003289338A
- Authority
- JP
- Japan
- Prior art keywords
- packet
- server
- establishment request
- confirmation response
- relay
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
(57)【要約】
【課題】 本発明は、外部ネットワークとサーバとの間
に設置された中継サーバにおけるパケット中継プログラ
ム、パケット中継装置および記録媒体に関し、詐称パケ
ットなどにより全てのサービスの提供が停止する事態を
なくすことを目的とする。 【解決手段】 外部ネットワークとサーバとの間に設置
された中継サーバにおけるパケット中継プログラムであ
って、中継サーバに、サーバからの確立要求／確立要求
の確認応答パケットを受信するステップと、確立要求／
確立要求の確認応答パケットの受信に基づき、前記外部
ネットワークに該確立要求／確立要求の確認応答パケッ
トを中継すると共に、前記サーバに該確立要求／確立要
求の確認応答パケットに対応する確認応答パケットを返
信するステップとを動作させるものである。
に設置された中継サーバにおけるパケット中継プログラ
ム、パケット中継装置および記録媒体に関し、詐称パケ
ットなどにより全てのサービスの提供が停止する事態を
なくすことを目的とする。 【解決手段】 外部ネットワークとサーバとの間に設置
された中継サーバにおけるパケット中継プログラムであ
って、中継サーバに、サーバからの確立要求／確立要求
の確認応答パケットを受信するステップと、確立要求／
確立要求の確認応答パケットの受信に基づき、前記外部
ネットワークに該確立要求／確立要求の確認応答パケッ
トを中継すると共に、前記サーバに該確立要求／確立要
求の確認応答パケットに対応する確認応答パケットを返
信するステップとを動作させるものである。
Description
【０００１】
【発明の属する技術分野】本発明は、ネットワークから
多数のＴＣＰコネクション確立要求パケットの送信を受
けた時のパケット中継プログラム、パケット中継装置お
よび記録媒体に関するものである。
多数のＴＣＰコネクション確立要求パケットの送信を受
けた時のパケット中継プログラム、パケット中継装置お
よび記録媒体に関するものである。
【０００２】
【従来の技術】ＴＣＰはコネクション型のプロトコルで
あり、コネクションを確立するために以下のような３Ｗ
ａｙ Ｈａｎｄｓｈａｋｅが用いられる。サーバ側は、
Ｌｉｓｔｅｎにあり、そこにクライアントは利用したい
サービスのポートへＳＹＮパケットを送信する。サーバ
側はそれを受け、ＡＣＫパケットを送信、それと同時に
ＳＹＮパケットも送信する。クライアントはそれを受
け、ＡＣＫパケットをサーバに返信してコネクションが
確立される。
あり、コネクションを確立するために以下のような３Ｗ
ａｙ Ｈａｎｄｓｈａｋｅが用いられる。サーバ側は、
Ｌｉｓｔｅｎにあり、そこにクライアントは利用したい
サービスのポートへＳＹＮパケットを送信する。サーバ
側はそれを受け、ＡＣＫパケットを送信、それと同時に
ＳＹＮパケットも送信する。クライアントはそれを受
け、ＡＣＫパケットをサーバに返信してコネクションが
確立される。
【０００３】
【発明が解決しようとする課題】ＤＯＳ攻撃の１つにＳ
ＹＮ Ｆｌｏｏｄ攻撃がある。これは、ＴＣＰサービス
に対し、接続要求（ＳＹＮパケット）を多量に送りつ
け、そのサービスの処理能力を消費させる攻撃である。
悪意のあるクライアントは、ＩＰアドレスを詐称したＳ
ＹＮパケットを送信してくるため、サーバはＳＹＮ＋Ａ
ＣＫを送信し、ＳＹＮ ＲＣＶＤの状態のままクライア
ントからのＡＣＫパケットを待ちつづける。悪意のある
クライアントはＩＰアドレスを詐称しているため、当然
のことながらこのＡＣＫパケットは戻ってこない。この
時、多量の接続要求を受信すると、その数だけバッファ
上に情報を確保する必要があるため、メモリを消費し、
正常なアクセスを受けられなくなったり、システムクラ
ッシュを起こしたりするなど種々な問題を引き起こすこ
ととなる。そのための対策として、受け付けるクライア
ントを制限する方法は実現されているが、全てのなクラ
イアントを把握することは不可能であり、この方法を適
用できるサーバは社内サーバなどに限られてしまうなど
の問題があった。
ＹＮ Ｆｌｏｏｄ攻撃がある。これは、ＴＣＰサービス
に対し、接続要求（ＳＹＮパケット）を多量に送りつ
け、そのサービスの処理能力を消費させる攻撃である。
悪意のあるクライアントは、ＩＰアドレスを詐称したＳ
ＹＮパケットを送信してくるため、サーバはＳＹＮ＋Ａ
ＣＫを送信し、ＳＹＮ ＲＣＶＤの状態のままクライア
ントからのＡＣＫパケットを待ちつづける。悪意のある
クライアントはＩＰアドレスを詐称しているため、当然
のことながらこのＡＣＫパケットは戻ってこない。この
時、多量の接続要求を受信すると、その数だけバッファ
上に情報を確保する必要があるため、メモリを消費し、
正常なアクセスを受けられなくなったり、システムクラ
ッシュを起こしたりするなど種々な問題を引き起こすこ
ととなる。そのための対策として、受け付けるクライア
ントを制限する方法は実現されているが、全てのなクラ
イアントを把握することは不可能であり、この方法を適
用できるサーバは社内サーバなどに限られてしまうなど
の問題があった。
【０００４】本発明は、これらの問題を解決するため、
同一セグメント内に代理サーバを設けてサーバが送信元
から受信したパケットを代理サーバに中継依頼して当該
代理サーバからＡｃｋパケットを受信して待機状態から
開放すると共にアプリに当該パケットを渡して待機さ
せ、サーバのＯＳにおける待機状態を可及的に早急に解
消して詐称パケットなどにより全てのサービスの提供が
停止する事態をなくすことを目的としている。
同一セグメント内に代理サーバを設けてサーバが送信元
から受信したパケットを代理サーバに中継依頼して当該
代理サーバからＡｃｋパケットを受信して待機状態から
開放すると共にアプリに当該パケットを渡して待機さ
せ、サーバのＯＳにおける待機状態を可及的に早急に解
消して詐称パケットなどにより全てのサービスの提供が
停止する事態をなくすことを目的としている。
【０００５】
【課題を解決するための手段】図１を参照して課題を解
決するための手段を説明する。
決するための手段を説明する。
【０００６】図１において、サーバ１は、ネットワーク
からパケットを受信するものであって、ＯＳ２およびア
プリ３などから構成されるものである。
からパケットを受信するものであって、ＯＳ２およびア
プリ３などから構成されるものである。
【０００７】ＯＳ２は、オペレーティングシステムであ
って、ここでは、パケットを受信する通信機能２１など
から構成されるものである。
って、ここでは、パケットを受信する通信機能２１など
から構成されるものである。
【０００８】アプリ３は、ＯＳ２の制御のもとで動作す
るアプリケーションプログラムであって、ここでは、サ
ーバ（ＷＷＷ）３１，サーバ（ＳＭＴＰ）３２，サーバ
（ｔｅｌｎｅｔ）３３などであり、各種サービスを提供
するものである。
るアプリケーションプログラムであって、ここでは、サ
ーバ（ＷＷＷ）３１，サーバ（ＳＭＴＰ）３２，サーバ
（ｔｅｌｎｅｔ）３３などであり、各種サービスを提供
するものである。
【０００９】代理サーバ４は、サーバ１と同一セグメン
ト内に設けたものであって、ここでは、サーバ１に代理
して送信元にパケットを中継およびサーバにＡｃｋパケ
ットを送信したりなどするものである。
ト内に設けたものであって、ここでは、サーバ１に代理
して送信元にパケットを中継およびサーバにＡｃｋパケ
ットを送信したりなどするものである。
【００１０】ルータ６は、ネットワーク間（異なるセグ
メント間）で相互にパケットを送受信するものであっ
て、ここでは、代理サーバ６１を設けたものである。
メント間）で相互にパケットを送受信するものであっ
て、ここでは、代理サーバ６１を設けたものである。
【００１１】次に、動作を説明する。サーバ１がパケッ
トを受信すると、待機状態に遷移すると共に代理サーバ
４１（あるいはルータ６内の代理サーバ６１）にパケッ
トの中継依頼し、中継依頼を受けた代理サーバ４（ある
いはルータ６内の代理サーバ６１）が送信元にパケット
を送信すると共にサーバ１にＡｃｋパケットを送信し、
Ａｃｋパケットをサーバ１が受信すると、アプリ３にパ
ケットを渡すと共に待機状態から開放し、パケットを渡
されたアプリ３がタイマを起動して所定時間経過しても
送信元からパケットを受信しないときに、リセットパケ
ットを送信元に送信してリセットするようにしている。
トを受信すると、待機状態に遷移すると共に代理サーバ
４１（あるいはルータ６内の代理サーバ６１）にパケッ
トの中継依頼し、中継依頼を受けた代理サーバ４（ある
いはルータ６内の代理サーバ６１）が送信元にパケット
を送信すると共にサーバ１にＡｃｋパケットを送信し、
Ａｃｋパケットをサーバ１が受信すると、アプリ３にパ
ケットを渡すと共に待機状態から開放し、パケットを渡
されたアプリ３がタイマを起動して所定時間経過しても
送信元からパケットを受信しないときに、リセットパケ
ットを送信元に送信してリセットするようにしている。
【００１２】この際、代理サーバ６１を同一セグメント
内のルータ６に設け、あるいはサーバ１内に独立に設け
るようにしている。
内のルータ６に設け、あるいはサーバ１内に独立に設け
るようにしている。
【００１３】また、サーバ１で、ＷＷＷサーバ、電子メ
ールサーバ，ｔｅｌｎｅｔサーバなどの２つ以上のサー
バとして機能させるようにしている。
ールサーバ，ｔｅｌｎｅｔサーバなどの２つ以上のサー
バとして機能させるようにしている。
【００１４】従って、同一セグメント内に代理サーバ
４，６１などを設けてサーバ１が送信元から受信したパ
ケットを代理サーバ４，６１などに中継依頼して代理サ
ーバ４，６１などからＡｃｋパケットを受信して待機状
態から開放すると共にアプリ３にパケットを渡して待機
させることにより、サーバ１のＯＳにおける待機状態を
可及的に早急に解消して詐称パケットなどにより全ての
サービスの提供が停止する事態をなくすことが可能とな
る。
４，６１などを設けてサーバ１が送信元から受信したパ
ケットを代理サーバ４，６１などに中継依頼して代理サ
ーバ４，６１などからＡｃｋパケットを受信して待機状
態から開放すると共にアプリ３にパケットを渡して待機
させることにより、サーバ１のＯＳにおける待機状態を
可及的に早急に解消して詐称パケットなどにより全ての
サービスの提供が停止する事態をなくすことが可能とな
る。
【００１５】
【発明の実施の形態】次に、図１から図３を用いて本発
明の実施の形態および動作を順次詳細に説明する。
明の実施の形態および動作を順次詳細に説明する。
【００１６】図１は、本発明のシステム構成図を示す。
図１において、サーバ１は、外部ネットワークに接続せ
れたクライアントなどからのパケットを受信するもので
ある、ここでは、攻撃対象のサーバであって、ＯＳ２お
よびアプリ３などから構成されるものである。
図１において、サーバ１は、外部ネットワークに接続せ
れたクライアントなどからのパケットを受信するもので
ある、ここでは、攻撃対象のサーバであって、ＯＳ２お
よびアプリ３などから構成されるものである。
【００１７】ＯＳ２は、オペレーティングシステムであ
って、ここでは、パケットを受信するＯＳの機能である
通信機能２１などから構成されるものである。通信機能
２１は、ＷＷＷ、電子メール、テルネットなどの各種サ
ービスに対応したソケットを送信元毎にそれぞれ用意
し、パケットを受信したときに該当ソケットで各種サー
ビスを提供するアプリにパケットを振り分けて渡した
り、受け取って送信元に送信したりするようにしてい
る。
って、ここでは、パケットを受信するＯＳの機能である
通信機能２１などから構成されるものである。通信機能
２１は、ＷＷＷ、電子メール、テルネットなどの各種サ
ービスに対応したソケットを送信元毎にそれぞれ用意
し、パケットを受信したときに該当ソケットで各種サー
ビスを提供するアプリにパケットを振り分けて渡した
り、受け取って送信元に送信したりするようにしてい
る。
【００１８】アプリ３は、ＯＳ２の制御のもとで動作す
るアプリケーションプログラムであって、ここでは、サ
ーバ（ＷＷＷ）３１，サーバ（ＳＭＴＰ）３２，サーバ
（ｔｅｌｎｅｔ）３３などとして動作するものであり、
各種サービスを実際に提供するものである。
るアプリケーションプログラムであって、ここでは、サ
ーバ（ＷＷＷ）３１，サーバ（ＳＭＴＰ）３２，サーバ
（ｔｅｌｎｅｔ）３３などとして動作するものであり、
各種サービスを実際に提供するものである。
【００１９】代理サーバ４は、サーバ１と同一セグメン
ト内に接続した（設けた）ものであって、ここでは、サ
ーバ１に代理して送信元にパケットを中継およびサーバ
１にＡｃｋパケットを送信したりなどするものであり、
中継手段４１、代理応答手段４２などから構成されるも
のである（図２および図３を用いて後述する）。
ト内に接続した（設けた）ものであって、ここでは、サ
ーバ１に代理して送信元にパケットを中継およびサーバ
１にＡｃｋパケットを送信したりなどするものであり、
中継手段４１、代理応答手段４２などから構成されるも
のである（図２および図３を用いて後述する）。
【００２０】ハブ５は、同一セグメント内で複数の機器
（サーバ１、代理サーバ４、ルータ６）を接続して相互
にパケットを送受信するためのものである。
（サーバ１、代理サーバ４、ルータ６）を接続して相互
にパケットを送受信するためのものである。
【００２１】ルータ６は、ネットワーク間（異なるセグ
メント間）で相互にパケットを送受信するものであっ
て、ここでは、代理サーバ６１を設けたものである。
メント間）で相互にパケットを送受信するものであっ
て、ここでは、代理サーバ６１を設けたものである。
【００２２】代理サーバ６１は、代理サーバ４と同一に
動作し、ここでは、ルータ６内に設けたものであって、
中継手段６２、代理応答手段６３などから構成されるも
のである。
動作し、ここでは、ルータ６内に設けたものであって、
中継手段６２、代理応答手段６３などから構成されるも
のである。
【００２３】外部ネットワーク７は、ルータ６に接続さ
れたサーバ１などが接続されたネットワークと異なる外
部（他）のネットワークであって、ここでは、多数の詐
称パケットをサーバ１に向けて送信するクライアントが
接続されているネットワークである。
れたサーバ１などが接続されたネットワークと異なる外
部（他）のネットワークであって、ここでは、多数の詐
称パケットをサーバ１に向けて送信するクライアントが
接続されているネットワークである。
【００２４】次に、図２のシーケンス例の順番に従い、
図１の構成の動作を詳細に説明する。
図１の構成の動作を詳細に説明する。
【００２５】図２は、本発明のシーケンス例を示す。こ
こで、クライアント（攻撃側）は、図１の外部ネットワ
ークに接続されたクライアント（端末）であって、多数
の詐称パケット（送信元のＩＰアドレスを偽ったパケッ
ト）をサーバ１に送信するものである。代理サーバ４
は、図１のサーバ１と同一セグメント内に設置された代
理サーバ４（あるいはルータ６内の代理理サーバ６１）
である。サーバ１は図１のサーバ１である。
こで、クライアント（攻撃側）は、図１の外部ネットワ
ークに接続されたクライアント（端末）であって、多数
の詐称パケット（送信元のＩＰアドレスを偽ったパケッ
ト）をサーバ１に送信するものである。代理サーバ４
は、図１のサーバ１と同一セグメント内に設置された代
理サーバ４（あるいはルータ６内の代理理サーバ６１）
である。サーバ１は図１のサーバ１である。
【００２６】図２において、Ｓ１は、クライアント（攻
撃側）が特殊パケットをサーバ１に向けて送信する。こ
れは、外部ネットワーク上のクライアント（攻撃側）が
送信元のＩＰアドレスを偽ったＳＹＮパケット（確立要
求）をサーバ１に向けて送信する。
撃側）が特殊パケットをサーバ１に向けて送信する。こ
れは、外部ネットワーク上のクライアント（攻撃側）が
送信元のＩＰアドレスを偽ったＳＹＮパケット（確立要
求）をサーバ１に向けて送信する。
【００２７】Ｓ２は、サーバ１の通信機能２１がＳ１で
送信したＳＹＮパケットを受信し、ＬＩＳＴＥＮ状態か
ら待機状態（ＳＹＮーＲＣＶＤ状態）に遷移すると共
に、代理サーバ４に向けて（ＳＹＮ＋Ａｃｋ）パケッ
ト（確立要求／確立要求の確認応答）を送信する（図３
の参照）。
送信したＳＹＮパケットを受信し、ＬＩＳＴＥＮ状態か
ら待機状態（ＳＹＮーＲＣＶＤ状態）に遷移すると共
に、代理サーバ４に向けて（ＳＹＮ＋Ａｃｋ）パケッ
ト（確立要求／確立要求の確認応答）を送信する（図３
の参照）。
【００２８】Ｓ３は、代理サーバ４がパケット中継とＡ
ｃｋパケットの返却を行なう。これにより、（ＳＹＮ
＋Ａｃｋ）パケット（確立要求／確立要求の確認応答）
を送信元に送信する（図３の参照）と共に、サーバ１
にＡｃｋパケット（確認応答）を送信する（図３の
参照）。
ｃｋパケットの返却を行なう。これにより、（ＳＹＮ
＋Ａｃｋ）パケット（確立要求／確立要求の確認応答）
を送信元に送信する（図３の参照）と共に、サーバ１
にＡｃｋパケット（確認応答）を送信する（図３の
参照）。
【００２９】Ｓ４は、Ｓ３で送信されたＡｃｋパケッ
トを受信したサーバ１が待機状態から確立状態（ＥＳＴ
ＡＢＬＩＳＨＥＤ状態）に遷移すると共に、Ｓ２２で受
信したパケットをアプリ３に渡す。このように、代理サ
ーバ４が送信元の代理でサーバ１にＡｃｋパケットを返
信することにより、サーバ１はあたかも送信元から正常
な確認応答が返されたかのように正常にセションの確立
を行い、アプリに制御を渡すことが可能となる。
トを受信したサーバ１が待機状態から確立状態（ＥＳＴ
ＡＢＬＩＳＨＥＤ状態）に遷移すると共に、Ｓ２２で受
信したパケットをアプリ３に渡す。このように、代理サ
ーバ４が送信元の代理でサーバ１にＡｃｋパケットを返
信することにより、サーバ１はあたかも送信元から正常
な確認応答が返されたかのように正常にセションの確立
を行い、アプリに制御を渡すことが可能となる。
【００３０】Ｓ５は、アプリ３が無通信タイマ監視を行
い、タイマ満了時はＲＳＴパケット送信でソケット資源
を即座に解放する。これは、Ｓ４でパケットを渡された
アプリが送信元（クライアント）からのパケットの受信
を待機（Ｓ３で代理サーバ４から送信元に返信された
（ＳＹＮ＋Ａｃｋ）パケットに対する送信元からのパケ
ットの受信を待機）するが、ここでは、詐称ＩＰアドレ
スに送信したために受信されなく、タイムオーバとなり
ＲＳＴパケット送信でソケット資源を即座に開放する。
い、タイマ満了時はＲＳＴパケット送信でソケット資源
を即座に解放する。これは、Ｓ４でパケットを渡された
アプリが送信元（クライアント）からのパケットの受信
を待機（Ｓ３で代理サーバ４から送信元に返信された
（ＳＹＮ＋Ａｃｋ）パケットに対する送信元からのパケ
ットの受信を待機）するが、ここでは、詐称ＩＰアドレ
スに送信したために受信されなく、タイムオーバとなり
ＲＳＴパケット送信でソケット資源を即座に開放する。
【００３１】Ｓ６は、アプリ３がＣｌｏｓｅ（クロー
ズ）すると共に、ＲＥＳＴパケットを代理サーバ４に送
信し、リセットする。
ズ）すると共に、ＲＥＳＴパケットを代理サーバ４に送
信し、リセットする。
【００３２】Ｓ７は、代理サーバ４がＲＳＴパケットを
詐称されたＩＰアドレス（詐称された送信元）に送信
し、リセットする。
詐称されたＩＰアドレス（詐称された送信元）に送信
し、リセットする。
【００３３】以上によって、外部ネットワークから送信
元のＩＰアドレスを詐称された多数のＳＹＮパケット
がサーバ１で受信されても、サーバ１は即座に（ＳＹ
Ｎ＋Ａｃｋ）パケットを代理サーバ４に送信して中継依
頼し、代理サーバ４は詐称された送信元ＩＰアドレスに
（ＳＹＮ＋Ａｃｋ）パケットを送信すると共に疑似の
Ａｃｋパケットをサーバ１に返信してサーバ１を確立
状態（ＥＳＴＡＢＬＩＳＨ状態）に遷移させ、サーバ１
はパケットをアプリ３に渡し、アプリ３がタイマを起動
し、この場合には、詐称の送信元ＩＰアドレスから応答
がないので、タイムオーバとなり、即座にソケットを解
放およびリセットパケットを代理サーバ４、詐称の送信
元に送信して一連の処理を終了することが可能となる。
これにより、従来のＯＳ２の通信機能２１のある種別
（例えば電子メールのＳＭＴＰ）のソケット資源が使い
果たされ、他の種別（ＷＷＷ、ＴＥＬＮＥＴなど）のソ
ケット資源などが使えなくなり、図４の既述した全体と
しての機能が停止してしまう事態をなくすことが可能と
なる。即ち、アプリ３である各ＷＷＷ，ＳＭＴＰ、ＴＥ
ＬＮＥＴなどのアプリケーションプログラム側で個別に
タイマ設定（例えば動的にタイマ値を変更）してタイム
オーバしたときに即座にソケット資源を解放し、次のパ
ケットを受信することが可能となると共に、他の種別の
ＷＷＷ，ＳＭＴＰ、ＴＥＬＮＥＴなどには全く影響を与
えないように切り離すことが可能となる。
元のＩＰアドレスを詐称された多数のＳＹＮパケット
がサーバ１で受信されても、サーバ１は即座に（ＳＹ
Ｎ＋Ａｃｋ）パケットを代理サーバ４に送信して中継依
頼し、代理サーバ４は詐称された送信元ＩＰアドレスに
（ＳＹＮ＋Ａｃｋ）パケットを送信すると共に疑似の
Ａｃｋパケットをサーバ１に返信してサーバ１を確立
状態（ＥＳＴＡＢＬＩＳＨ状態）に遷移させ、サーバ１
はパケットをアプリ３に渡し、アプリ３がタイマを起動
し、この場合には、詐称の送信元ＩＰアドレスから応答
がないので、タイムオーバとなり、即座にソケットを解
放およびリセットパケットを代理サーバ４、詐称の送信
元に送信して一連の処理を終了することが可能となる。
これにより、従来のＯＳ２の通信機能２１のある種別
（例えば電子メールのＳＭＴＰ）のソケット資源が使い
果たされ、他の種別（ＷＷＷ、ＴＥＬＮＥＴなど）のソ
ケット資源などが使えなくなり、図４の既述した全体と
しての機能が停止してしまう事態をなくすことが可能と
なる。即ち、アプリ３である各ＷＷＷ，ＳＭＴＰ、ＴＥ
ＬＮＥＴなどのアプリケーションプログラム側で個別に
タイマ設定（例えば動的にタイマ値を変更）してタイム
オーバしたときに即座にソケット資源を解放し、次のパ
ケットを受信することが可能となると共に、他の種別の
ＷＷＷ，ＳＭＴＰ、ＴＥＬＮＥＴなどには全く影響を与
えないように切り離すことが可能となる。
【００３４】尚、代理サーバ４は、ネットワークの同一
セグメント内であれば、ルータ６内で動作する代理サー
バ６１、更に、サーバ１内にＯＳ２，アプリ３と独立に
動作する代理サーバとして設けてもよい。
セグメント内であれば、ルータ６内で動作する代理サー
バ６１、更に、サーバ１内にＯＳ２，アプリ３と独立に
動作する代理サーバとして設けてもよい。
【００３５】図３は、本発明のＴＣＰ／ＩＰパケット概
念構造図を示す。図３の概念の欄の ・パケットのＥｔｈｅｒヘッダには、送信元と宛先のＭ
ＡＣアドレスと、Ｅｔｈｅｒｎｅｔヘッダとして必要な
情報を格納する。
念構造図を示す。図３の概念の欄の ・パケットのＥｔｈｅｒヘッダには、送信元と宛先のＭ
ＡＣアドレスと、Ｅｔｈｅｒｎｅｔヘッダとして必要な
情報を格納する。
【００３６】・ＩＰヘッダには、送信元ＩＰアドレス、
宛先ＩＰアドレス等のＩＰヘッダとして必要な情報を格
納する。
宛先ＩＰアドレス等のＩＰヘッダとして必要な情報を格
納する。
【００３７】・ＴＣＰヘッダには、送信元ポート番号、
宛先ポート番号、コードビット、シーケンス番号、確認
応答番号等のＴＣＰヘッダとして必要な情報を格納す
る。
宛先ポート番号、コードビット、シーケンス番号、確認
応答番号等のＴＣＰヘッダとして必要な情報を格納す
る。
【００３８】・データには、ユーザデータを格納する。
は、既述した図２のＳＹＮパケットの例であって、
ここでは、図示の下記の情報を設定する。
は、既述した図２のＳＹＮパケットの例であって、
ここでは、図示の下記の情報を設定する。
【００３９】・パケットのＥｔｈｅｒヘッダには、同一
セグメント内のＭＡＣアドレスを設定する。
セグメント内のＭＡＣアドレスを設定する。
【００４０】・ＩＰヘッダには、送信元のＩＰを詐称し
ている。 ・ＴＣＰヘッダには、コードビットの”ＳＹＮ”が立て
る。
ている。 ・ＴＣＰヘッダには、コードビットの”ＳＹＮ”が立て
る。
【００４１】は、既述した図２の（ＳＹＮ＋Ａｃ
ｋ）パケットの例であって、ここでは、図示の下記の情
報を設定する。
ｋ）パケットの例であって、ここでは、図示の下記の情
報を設定する。
【００４２】・パケットのＥｔｈｅｒヘッダには、同一
セグメント内のＭＡＣアドレスを設定する。
セグメント内のＭＡＣアドレスを設定する。
【００４３】・ＩＰヘッダには、の送信元、宛先のＩ
Ｐアドレスが逆になる。 ・ＴＣＰヘッダには、コードビットの”ＳＹＮとＡｃ
ｋ”が立てる。
Ｐアドレスが逆になる。 ・ＴＣＰヘッダには、コードビットの”ＳＹＮとＡｃ
ｋ”が立てる。
【００４４】は、既述した図２の（ＳＹＮ＋Ａｃ
ｋ）パケットの例であって、ここでは、図示の下記の情
報を設定する。
ｋ）パケットの例であって、ここでは、図示の下記の情
報を設定する。
【００４５】・パケットのＥｔｈｅｒヘッダには、同一
セグメント内のＭＡＣアドレスを設定する。
セグメント内のＭＡＣアドレスを設定する。
【００４６】・ＩＰヘッダには、と全く同じ。
・ＴＣＰヘッダには、と全く同じ。
【００４７】は、既述した図２のＡｃｋパケットの
例であって、ここでは、図示の下記の情報を設定する。
例であって、ここでは、図示の下記の情報を設定する。
【００４８】・パケットのＥｔｈｅｒヘッダには、同一
セグメント内のＭＡＣアドレスを設定する。
セグメント内のＭＡＣアドレスを設定する。
【００４９】・ＩＰヘッダには、とは逆。と同じ内
容。 ・ＴＣＰヘッダには、ＡＣＫビットのみ立てる。
容。 ・ＴＣＰヘッダには、ＡＣＫビットのみ立てる。
【００５０】
【００５１】
【発明の効果】以上説明したように、本発明によれば、
同一セグメント内に代理サーバ４，６１などを設けてサ
ーバ１が送信元から受信したパケットを代理サーバ４，
６１などに中継依頼して代理サーバ４，６１などからＡ
ｃｋパケットを受信して待機状態から開放すると共にア
プリ３にパケットを渡して待機させる構成を採用してい
るため、サーバ１のＯＳにおける待機状態を可及的に早
急に解消して詐称パケットなどにより全サービスの提供
が停止する事態をなくすことが可能となる。
同一セグメント内に代理サーバ４，６１などを設けてサ
ーバ１が送信元から受信したパケットを代理サーバ４，
６１などに中継依頼して代理サーバ４，６１などからＡ
ｃｋパケットを受信して待機状態から開放すると共にア
プリ３にパケットを渡して待機させる構成を採用してい
るため、サーバ１のＯＳにおける待機状態を可及的に早
急に解消して詐称パケットなどにより全サービスの提供
が停止する事態をなくすことが可能となる。
【図１】本発明のシステム構成図である。
【図２】本発明のシーケンス例である。
【図３】本発明のＴＣＰ／ＩＰパケット概念構造図であ
る。
る。
【図４】従来技術の説明図である。
１：サーバ
２：ＯＳ
２１：通信機能
３：アプリ
３１：サーバ（ＷＷＷ）
３２：サーバ（ＳＭＴＰ）
３３：サーバ（ＴＥＬＮＥＴ）
４、６１：代理サーバ
４１、６２：中継手段
４２，６３：代理応答手段
５：ハブ
６：ルータ
７：外部ネットワーク
Claims (3)
- 【請求項１】外部ネットワークとサーバとの間に設置さ
れた中継サーバにおけるパケット中継プログラムであっ
て、 前記中継サーバに、 前記サーバからの確立要求／確立要求の確認応答パケッ
トを受信するステップと、 前記確立要求／確立要求の確認応答パケットの受信に基
づき、前記外部ネットワークに該確立要求／確立要求の
確認応答パケットを中継すると共に、前記サーバに該確
立要求／確立要求の確認応答パケットに対応する確認応
答パケットを返信するステップとを動作させることを特
徴とするパケット中継プログラム。 - 【請求項２】外部ネットワークとサーバとの間に設置さ
れた中継サーバに、 前記サーバからの確立要求／確立要求の確認応答パケッ
トを受信するステップと、 前記確立要求／確立要求の確認応答パケットの受信に基
づき、前記外部ネットワークに該確立要求／確立要求の
確認応答パケットを中継すると共に、前記サーバに該確
立要求／確立要求の確認応答パケットに対応する確認応
答パケットを返信するステップとを動作させることを特
徴とするパケット中継プログラムを記録したコンピュー
タ読取可能な記録媒体。 - 【請求項３】サーバからの確立要求／確立要求の確認応
答パケットを受信する手段と、 前記確立要求／確立要求の確認応答パケットの受信に基
づき、外部ネットワークに該確立要求／確立要求の確認
応答パケットを中継すると共に、前記サーバに該確立要
求／確立要求の確認応答パケットに対応する確認応答パ
ケットを返信する手段とを備えることを特徴とするパケ
ット中継装置。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002093201A JP3648211B2 (ja) | 2002-03-28 | 2002-03-28 | パケット中継プログラム、パケット中継装置および記録媒体 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002093201A JP3648211B2 (ja) | 2002-03-28 | 2002-03-28 | パケット中継プログラム、パケット中継装置および記録媒体 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2003289338A true JP2003289338A (ja) | 2003-10-10 |
| JP3648211B2 JP3648211B2 (ja) | 2005-05-18 |
Family
ID=29237782
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2002093201A Expired - Lifetime JP3648211B2 (ja) | 2002-03-28 | 2002-03-28 | パケット中継プログラム、パケット中継装置および記録媒体 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3648211B2 (ja) |
Cited By (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7474655B2 (en) | 2004-09-06 | 2009-01-06 | International Business Machines Corporation | Restricting communication service |
| US7523028B2 (en) | 2006-11-30 | 2009-04-21 | International Business Machines Corporation | Method of and system for simulating a light-emitting device |
| JP2010109775A (ja) * | 2008-10-30 | 2010-05-13 | Kyocera Corp | 無線通信装置および無線通信方法 |
| US9160771B2 (en) | 2009-07-22 | 2015-10-13 | International Business Machines Corporation | Method and apparatus for dynamic destination address control in a computer network |
| JP2016163087A (ja) * | 2015-02-27 | 2016-09-05 | 日本電気株式会社 | 通信装置、末端装置、中央サーバ装置、情報処理システム、電文処理方法及び電文生成方法 |
Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH10136025A (ja) * | 1996-11-01 | 1998-05-22 | Hitachi Software Eng Co Ltd | ネットワーク間通信中継方法および中継装置 |
| WO1999031855A1 (en) * | 1997-12-16 | 1999-06-24 | Telefonaktiebolaget Lm Ericsson (Publ) | Use of transmission control protocol proxy within packet data service transmissions in a mobile network |
-
2002
- 2002-03-28 JP JP2002093201A patent/JP3648211B2/ja not_active Expired - Lifetime
Patent Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH10136025A (ja) * | 1996-11-01 | 1998-05-22 | Hitachi Software Eng Co Ltd | ネットワーク間通信中継方法および中継装置 |
| WO1999031855A1 (en) * | 1997-12-16 | 1999-06-24 | Telefonaktiebolaget Lm Ericsson (Publ) | Use of transmission control protocol proxy within packet data service transmissions in a mobile network |
| JP2002509392A (ja) * | 1997-12-16 | 2002-03-26 | テレフオンアクチーボラゲツト エル エム エリクソン（パブル） | 移動体ネットワークのパケット・データ・サービス伝送内の伝送制御プロトコル・プロキシの使用 |
Cited By (10)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7474655B2 (en) | 2004-09-06 | 2009-01-06 | International Business Machines Corporation | Restricting communication service |
| US7725932B2 (en) | 2004-09-06 | 2010-05-25 | International Business Machines Corporation | Restricting communication service |
| US7523028B2 (en) | 2006-11-30 | 2009-04-21 | International Business Machines Corporation | Method of and system for simulating a light-emitting device |
| JP2010109775A (ja) * | 2008-10-30 | 2010-05-13 | Kyocera Corp | 無線通信装置および無線通信方法 |
| US9160771B2 (en) | 2009-07-22 | 2015-10-13 | International Business Machines Corporation | Method and apparatus for dynamic destination address control in a computer network |
| US10079894B2 (en) | 2009-07-22 | 2018-09-18 | International Business Machines Corporation | Method and apparatus for dynamic destination address control in a computer network |
| US10469596B2 (en) | 2009-07-22 | 2019-11-05 | International Business Machines Corporation | Method and apparatus for dynamic destination address control in a computer network |
| US11165869B2 (en) | 2009-07-22 | 2021-11-02 | International Business Machines Corporation | Method and apparatus for dynamic destination address control in a computer network |
| JP2016163087A (ja) * | 2015-02-27 | 2016-09-05 | 日本電気株式会社 | 通信装置、末端装置、中央サーバ装置、情報処理システム、電文処理方法及び電文生成方法 |
| US10742547B2 (en) | 2015-02-27 | 2020-08-11 | Nec Corporation | Communication device, terminal device, central server device, information processing system, telegram processing method and telegram generation method |
Also Published As
| Publication number | Publication date |
|---|---|
| JP3648211B2 (ja) | 2005-05-18 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US7234161B1 (en) | Method and apparatus for deflecting flooding attacks | |
| US8862684B2 (en) | Method and apparatus for remotely controlling a computer with peer-to-peer command and data transfer | |
| US8032641B2 (en) | Assymmetric traffic flow detection | |
| US7571479B2 (en) | Denial of service defense by proxy | |
| US7478160B2 (en) | Method and apparatus for transparent negotiations | |
| US7990866B2 (en) | Server device, method for controlling a server device, and method for establishing a connection using the server device | |
| EP1892887A1 (en) | Communication method between communication devices and communication apparatus | |
| CN110266678B (zh) | 安全攻击检测方法、装置、计算机设备及存储介质 | |
| WO2014037760A1 (zh) | 增加数据流传输的方法和系统 | |
| AU2007320794B2 (en) | Selective session interception method | |
| US7564848B2 (en) | Method for the establishing of connections in a communication system | |
| JP3999785B2 (ja) | 通信方法 | |
| JP2006203537A (ja) | ネットワーク伝送装置およびネットワーク伝送方法 | |
| JP3648211B2 (ja) | パケット中継プログラム、パケット中継装置および記録媒体 | |
| WO2019196853A1 (zh) | Tcp加速方法及装置 | |
| JP3771453B2 (ja) | Ｔｃｐ中継装置及びシーケンス番号変換方法 | |
| Cisco | Configuring PPP for Wide-Area Networking | |
| Cisco | Configuring PPP for Wide-Area Networking | |
| Cisco | Configuring PPP for Wide-Area Networking | |
| Cisco | Configuring PPP for Wide-Area Networking | |
| Cisco | Configuring PPP for Wide-Area Networking | |
| JP2005011267A (ja) | リアルタイムデータ通信システム、リアルタイムデータ通信装置およびリアルタイムデータ通信方法 | |
| Bellis et al. | DNS Stateful Operations | |
| JP2005184846A (ja) | 接続管理システムおよびトランスポートオフロードエンジン | |
| JP2001136202A (ja) | Ｔｃｐ／ｉｐにおけるコネクション設定方法および方式 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20050112 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20050201 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20050210 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 3648211 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20080218 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090218 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090218 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100218 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110218 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110218 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120218 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130218 Year of fee payment: 8 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20140218 Year of fee payment: 9 |
|
| EXPY | Cancellation because of completion of term |