JP2005204027A

JP2005204027A - パケット転送装置、パケット転送方法、プログラムおよび記録媒体

Info

Publication number: JP2005204027A
Application number: JP2004007859A
Authority: JP
Inventors: Kazuo Kitamura; 和夫北村; Akiyuki Soba; 昭之曽場; Tatsuki Matsuda; 達樹松田; Kouho Nishida; 享邦西田
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2004-01-15
Filing date: 2004-01-15
Publication date: 2005-07-28

Abstract

【課題】端末装置のＩＰアドレスを予め登録しなくても、不特定対地および不特定アプリケーションに対するアクセスを動的に規制することができるパケット転送装置、パケット転送方法、プログラムおよび記録媒体を提供するものである。

【解決手段】第１の端末装置が送信したパケットを、第２の端末装置に転送するパケット転送装置において、所定のパケットと異なるパケットを、第１の端末装置が受信したときに、第１の端末装置が送信したエラーメッセージを含むパケットを検出するエラーメッセージ検出手段と、上記エラーメッセージを含むパケットの転送先である第２の端末装置のアドレス情報を取得するアドレス取得手段と、上記アドレス取得手段が取得した上記アドレス情報に基づいて上記第２の端末装置が上記第１の端末装置に転送するパケットを転送規制するように設定する転送規制設定手段とを有するパケット転送装置である。

【選択図】図１

Description

本発明は、たとえば、不特定対地および不特定アプリケーションに対して、アクセスを規制するパケット転送装置、パケット転送方法、プログラムおよび記録媒体に関する。

従来のパケット転送装置、たとえばルータ装置は、セキュリティ確保の観点から、アクセス規制を行い、つまり、予め指定されたＩＰアドレスを有する端末装置から受信したＩＰパケットのみを通すようにしている（たとえば、特許文献１参照）。

上記従来のルータ装置は、ＩＰ網内の認証サーバから、配下のユーザ端末に割り振られたＩＰアドレスを登録し、保持する手段を有し、また、配下のユーザ端末からのパケットの送信元ＩＰアドレスを監視し、登録されているＩＰアドレスと異なれば、そのパケットを廃棄するか、または、送信元偽りがあったことを保守者に通知し、ユーザ端末に割り振られたＩＰアドレスを登録し、保持することによって、登録されたユーザ端末からのＩＰパケットを破棄する。
特開２００３−２４４２４６号公報（第３−４頁、第２図）

しかし、上記従来のパケット転送装置では、ユーザ端末に割り振られたＩＰアドレスを予め登録する必要があるので、不特定対地および不特定アプリケーションに対するアクセスを規制することができないという問題がある。

本発明は、端末装置のＩＰアドレスを予め登録しなくても、不特定対地および不特定アプリケーションに対するアクセスを動的に規制することができるパケット転送装置、パケット転送方法、プログラムおよび記録媒体を提供するものである。

本発明は、第１の端末装置が送信したパケットを、第２の端末装置に転送するパケット転送装置において、所定のパケットと異なるパケットを、第１の端末装置が受信したときに、第１の端末装置が送信したエラーメッセージを含むパケットを検出するエラーメッセージ検出手段と、上記エラーメッセージを含むパケットの転送先である第２の端末装置のアドレス情報を取得するアドレス取得手段と、上記アドレス取得手段が取得した上記アドレス情報に基づいて上記第２の端末装置が上記第１の端末装置に転送するパケットを転送規制するように設定する転送規制設定手段とを有するパケット転送装置である。

本発明は、第１の端末装置が送信したエラーメッセージを含むパケットが転送されるべき第２の端末装置のアドレス情報に基づいて、第２の端末装置から第１の端末装置に転送するパケットを転送規制するので、不特定対地および不特定アプリケーションに対するアクセスを動的に規制することができるという効果を有するパケット転送装置を提供することができるものである。

発明を実施するための最良の形態は、以下の実施例である。

図１は、本発明の実施例１であるルータ装置１０を示すブロック図である。

ルータ装置１０は、パケット転送装置の一例であり、第１ホストコンピュータ２０と、ドメインネームシステム（ＤＮＳ Domain Name System）サーバ３０と、第２ホストコンピュータ４０とに接続され、不特定なノードであると仮定した第２ホストコンピュータ４０からのＩＰ（Internet Protocol）パケットとを、第１ホストコンピュータ２０に転送規制する。

ルータ装置１０は、パケット転送手段１１と、転送規制設定手段１２と、エラーメッセージ検出手段１３と、アドレス取得手段１４とを有する。

パケット転送手段１１は、第１ホストコンピュータ２０とドメインネームシステムサーバ３０と第２ホストコンピュータ４０との間で、ＩＰパケットを転送する手段であり、受信したＩＰパケットを、ＩＰパケットに含まれている宛先アドレスの端末装置に転送する手段である。

転送規制設定手段１２は、アドレス取得手段１４が取得したアドレス情報に基づいて、ＩＰパケットの転送規制を設定する手段である。つまり、転送規制設定手段１２は、第１ホストコンピュータ２０に転送すべきＩＰパケットの転送規制を動的に設定する。なお、初期状態では、第１ホストコンピュータ２０に対する第２ホストコンピュータ４０の転送規制がされていないとし、第２ホストコンピュータ４０からのＩＰパケットは、第１ホストコンピュータ２０に、無条件に転送されるものとする。

エラーメッセージ検出手段１３は、第１ホストコンピュータ２０が送信したエラーメッセージを検出する手段である。つまり、エラーメッセージ検出手段１３は、待受け中のＩＰパケットとは異なるＩＰパケットを、第１ホストコンピュータ２０が受信した際に、第１ホストコンピュータ２０が送信したエラーメッセージを検出する。上記エラーメッセージは、たとえばＩＣＭＰ（Internet Control Message Protocol）によって、第１ホストコンピュータ２０がＩＰパケットの発信元アドレス（ソースアドレス）に伝達するものである。このＩＣＭＰは、ネットワークに障害があることによって正常な通信が実行できない場合に、エラーを報告するプロトコルである。具体的には、ＩＣＭＰは、宛先到着不能（Destination Unreachable）、最適経路への変更要求（Redirect）等のエラーを報告するプロトコルである。

アドレス取得手段１４は、エラーメッセージを含むＩＰパケットの宛先アドレス情報を取得する手段である。つまり、アドレス取得手段１４は、第１ホストコンピュータ２０が送信したエラーメッセージを含むＩＰパケットの宛先アドレス情報を取得し、この取得された宛先アドレス情報の端末装置からのＩＰパケット転送を阻止するように、転送規制設定手段１２に制御信号を出力する手段である。

なお、パケット転送手段１１、転送規制設定手段１２、エラーメッセージ検出手段１３、アドレス取得手段１４は、ＣＰＵ、メモリ等によって構成され、所定のプログラムによって動作する。

ドメインネームシステムサーバ３０は、第１ホストコンピュータ２０が、ドメインネーム情報に対応するＩＰアドレス情報を問合せたときに、ドメインネームシステム正引きによってＩＰアドレスを解決し（検索し）、ＩＰアドレス情報を含むＩＰパケットを、第１ホストコンピュータ２０に送信する。

また、ドメインネームシステムサーバ３０は、第１ホストコンピュータ２０から、アドレス情報に対応するＦＱＤＮ（Fully Qualified Domain Name：完全修飾ドメインネーム）情報の問い合わせがあったときに、ドメインネームシステム逆引きによってＦＱＤＮを解決し（検索し）、ＦＱＤＮ情報を含むＩＰパケットを、第１ホストコンピュータ２０に送信する。

次に、ルータ装置１０の動作について説明する。

図２は、ルータ装置１０の動作を示すタイムチャートである。

なお、図２に示すタイムチャートにおいて、第１ホストコンピュータ２０に対するＩＰパケットの転送規制が、第２ホストコンピュータ４０にはされていないとする。

まず、第２ホストコンピュータ４０が、ＩＰパケットを、ルータ装置１０に送信し（Ｓ１１）、ルータ装置１０のパケット転送手段１１が、受信したＩＰパケットを、第１ホストコンピュータ２０に転送する（Ｓ１２）。

そして、第１ホストコンピュータ２０が、たとえばＩＣＭＰによる宛先到着不能のエラーメッセージを、ＩＰパケットの送信元の第２ホストコンピュータ４０を宛先として、パケット転送手段１１に送信する（Ｓ１３）。

引き続き、ルータ装置１０のエラーメッセージ検出手段１３が、ＩＣＭＰによる宛先到着不能のエラーメッセージを検出し、アドレス取得手段１４に基づいて、エラーメッセージを含むＩＰパケットの宛先アドレスに対する転送規制の制御信号を、転送規制設定手段１２に送信する（Ｓ１４）。

さらに、ルータ装置１０のパケット転送手段１１が、エラーメッセージを含むＩＰパケットを、第２ホストコンピュータ４０に転送し（Ｓ１５）、第２ホストコンピュータ４０から第１ホストコンピュータ２０に送信されるＩＰパケット（Ｓ１６）について、ルータ装置１０のパケット転送手段１１が、ＩＰパケットのソースアドレスを検証する（Ｓ１７）。ステップＳ１４において、第２ホストコンピュータ４０のＩＰアドレスは、転送規制されるように設定されているので、第２ホストコンピュータ４０からのＩＰパケットを破棄する（Ｓ１９）。一方、転送規制されていないＩＰアドレスの端末装置からのＩＰパケットを、パケット転送手段１１が受信した場合、パケット転送手段１１が、第１ホストコンピュータ２０に転送する（Ｓ１８）。

上記のように、ルータ装置１０によれば、転送規制設定手段１２は、第１ホストコンピュータ２０が送信したエラーメッセージを含むパケットの転送先である第２ホストコンピュータ４０のアドレス情報に基づいて、第２ホストコンピュータ４０から第１ホストコンピュータ２０に転送するパケットの転送を規制するので、第２ホストコンピュータ４０のＩＰアドレスを予め登録しなくても、第２ホストコンピュータ４０のアクセスを動的に規制することができる。

なお、上記説明では、パケット転送装置をルータ装置に適用した例について説明したが、ゲートウェイ装置等、パケット転送装置についても、上記と同様に実施可能である。

また、不特定対地として第２ホストコンピュータ４０を例に挙げたが、その他のノードからのＩＰパケットを転送規制する場合についても、上記と同様に実施可能である。

さらに、エラーメッセージ検出手段１３が、ＩＰパケットに含まれるアプリケーションの情報を参照して、転送規制設定手段１２が出所不詳の不特定アプリケーションを含むＩＰパケットの転送を規制するように構成するようにしてもよい。

つまり、上記実施例において、第１の端末装置が送信したエラーメッセージを含むパケットが転送される第２の端末装置のアドレス情報に基づいて第２の端末装置から第１の端末装置に転送するパケットの転送規制を、転送規制設定手段が設定するので、第２の端末装置のＩＰアドレスを予め登録しなくても、不特定対地および不特定アプリケーションに対するアクセスを動的に規制することができる。

また、上記実施例において、所定の通信プロトコルに基づき、上記エラーメッセージを含むパケットから上記第２の端末装置のアドレス情報を、上記アドレス取得手段が取得するので、アドレス取得手段は、ＩＣＭＰ（Internet Control Message Protocol）等に基づくエラーメッセージを含むパケットから第２の端末装置のアドレス情報を取得することができる。

また、上記実施例をプログラムの発明として把握することができる。つまり、上記実施例は、第１の端末装置が送信したパケットを、第２の端末装置に転送するパケット転送装置を制御する制御プログラムにおいて、所定のパケットと異なるパケットを、第１の端末装置が受信したときに、第１の端末装置が送信したエラーメッセージを含むパケットを検出し、メモリに記憶するエラーメッセージ検出手順と、上記エラーメッセージを含むパケットの転送先である第２の端末装置のアドレス情報を取得し、メモリに記憶するアドレス取得手順と、上記アドレス取得手順で取得された上記アドレス情報を有する上記第２の端末装置が、上記第１の端末装置に転送するパケットを転送規制するように設定する転送規制設定手順とをコンピュータに実行させるプログラムの例である。

なお、上記プログラムを、ＣＤ、ＤＶＤ、ＨＤ、半導体メモリ等の記録媒体に記録するようにしてもよい。

また、上記実施例は、不特定対地および不特定アプリケーションに対するアクセスを動的に規制することができるので、ルータ装置、ゲートウェイ装置等、他のパケット転送装置に適用することができる。

本発明の実施例１であるルータ装置１０を示すブロック図である。ルータ装置１０の動作を示すタイムチャートである。

符号の説明

１０…パケット転送装置の一例としてのルータ装置、
１１…パケット転送手段、
１２…転送規制設定手段、
１３…エラーメッセージ検出手段、
１４…アドレス取得手段、
２０…第１ホストコンピュータ（第１の端末装置）、
３０…ドメインネームシステムサーバ、
４０…第２ホストコンピュータ（第２の端末装置）。

Claims

第１の端末装置が送信したパケットを、第２の端末装置に転送するパケット転送装置において、
所定のパケットと異なるパケットを、第１の端末装置が受信したときに、第１の端末装置が送信したエラーメッセージを含むパケットを検出するエラーメッセージ検出手段と；
上記エラーメッセージを含むパケットの転送先である第２の端末装置のアドレス情報を取得するアドレス取得手段と；
上記アドレス取得手段が取得した上記アドレス情報に基づいて上記第２の端末装置が上記第１の端末装置に転送するパケットを転送規制するように設定する転送規制設定手段と；
を有することを特徴とするパケット転送装置。
請求項１において、
上記アドレス取得手段は、所定の通信プロトコルに基づいて、上記エラーメッセージを含むパケットから、上記第２の端末装置のアドレス情報を取得する手段であることを特徴とするパケット転送装置。
第１の端末装置が送信したパケットを、第２の端末装置に転送するパケット転送装置の制御方法において、
所定のパケットと異なるパケットを、第１の端末装置が受信したときに、第１の端末装置が送信したエラーメッセージを含むパケットを検出するエラーメッセージ検出段階と；
上記エラーメッセージを含むパケットの転送先である第２の端末装置のアドレス情報を取得するアドレス取得段階と；
上記アドレス取得段階で取得された上記アドレス情報に基づいて上記第２の端末装置が上記第１の端末装置に転送するパケットを転送規制するように設定する転送規制設定段階と；
を有することを特徴とするパケット転送方法。
第１の端末装置が送信したパケットを、第２の端末装置に転送するパケット転送装置を制御する制御プログラムにおいて、
所定のパケットと異なるパケットを、第１の端末装置が受信したときに、第１の端末装置が送信したエラーメッセージを含むパケットを検出し、メモリに記憶するエラーメッセージ検出手順と；
上記エラーメッセージを含むパケットの転送先である第２の端末装置のアドレス情報を取得し、メモリに記憶するアドレス取得手順と；
上記アドレス取得手順で取得された上記アドレス情報に基づいて上記第２の端末装置が上記第１の端末装置に転送するパケットを転送規制するように設定する転送規制設定手順と；
をコンピュータに実行させるプログラム。
第１の端末装置が送信したパケットを、第２の端末装置に転送するパケット転送装置を制御する制御プログラムにおいて、
所定のパケットと異なるパケットを、第１の端末装置が受信したときに、第１の端末装置が送信したエラーメッセージを含むパケットを検出し、メモリに記憶するエラーメッセージ検出手順と；
上記エラーメッセージを含むパケットの転送先である第２の端末装置のアドレス情報を取得し、メモリに記憶するアドレス取得手順と；
上記アドレス取得手順で取得された上記アドレス情報に基づいて上記第２の端末装置が上記第１の端末装置に転送するパケットを転送規制するように設定する転送規制設定手順と；
をコンピュータに実行させるプログラムを記録したコンピュータ読み取り可能な記録媒体。