JP2005252814A

JP2005252814A - 通信システム、中継管理装置、通信方法、通信プログラムおよび中継管理プログラム

Info

Publication number: JP2005252814A
Application number: JP2004062407A
Authority: JP
Inventors: Tomoyasu Suzuki; 友泰鈴木
Original assignee: Oki Techno Creation Co Ltd
Current assignee: Oki Electric Industry Co Ltd
Priority date: 2004-03-05
Filing date: 2004-03-05
Publication date: 2005-09-15

Abstract

【課題】伝送未使用識別子の設定の変化に対応することができる。
【解決手段】通信システムにおいて、第１の識別子変換中継装置は、伝送未使用識別子について監視し、予め設定された開放識別番号以外の伝送未使用識別子をヘッダ部に持つプロトコルデータ単位の中継を遮断する中継遮断部を備え、グローバル識別子ネットワーク内またはプライベート識別子ネットワーク内に配置された中継管理装置は、第１の通信端末より、第２の通信端末を着信先とする呼設定の要求が送信されるとき、第１の通信端末が送信するプロトコルデータ単位のペイロード部に含まれ、送信元を指定するプライベート識別子のうち、伝送未使用識別子については、その値を、開放識別番号として、中継遮断部に設定する。
【選択図】図１

Description

本発明は通信システム、中継管理装置、通信方法、通信プログラムおよび中継管理プログラムに関し、例えば、ＦＷ（ファイアウオール）装置やＮＡＴ（ネットワーク・アドレス・トランスレーション）装置を経由する通信に適用して好適なものである。

ＮＡＴ装置は、ヘッダ部に記述されたＩＰアドレスやポート番号に関し、グローバルとプライベートの変換を行う装置である。また、ＦＷ装置は、パケットのヘッダ部に含まれるＩＰアドレスやポート番号に基づいて、そのパケットの中継を実行したり、遮断したりする。

ところで通信アプリケーションによっては、パケットＰＫ１のヘッダ部だけでなくペイロード部にもそのパケットＰＫ１の送信元の通信端末（通信アプリケーション）ＴＥ１を指定するＩＰアドレスやポート番号を記述するものがある。このペイロード部に記述されたＩＰアドレスやポート番号は送信元を指定するものであるから、この通信端末ＴＥ１の通信相手となる通信端末ＴＥ２が返送するためのパケットＰＫ２を生成するとき、そのパケットＰＫ２のヘッダ部には、前記パケットＰＫ１のペイロード部から抽出したＩＰアドレスやポート番号を記述するように動作する。したがって、前記通信端末ＴＥ１にプライベートＩＰアドレスが付与されている場合などには、前記パケットＰＫ１のペイロード部に記述されるＩＰアドレスやポート番号はプライベートとなる。

通常、ＮＡＴ装置が変換を行うのはパケットＰＫ１のヘッダ部に記述されたＩＰアドレスやポート番号だけであるため、通信端末ＴＥ２が前記パケットＰＫ１のペイロード部から抽出したＩＰアドレスやポート番号はプライベートである。したがってパケットＰＫ２が、ＩＰプロトコルが通用するネットワーク（例えば、インターネット）上を正常に転送され、正常にＮＡＴ装置やＮＡＴ装置と連携するＦＷ装置を通過することは難しい。

このような問題を解決するための従来の技術に関連するものとして、下記の特許文献１に記載された技術がある。

特許文献１の技術は、前記パケットＰＫ１がペイロード部（ユーザデータ部）にＩＰアドレスやポート番号を持つものであるとき、アプリケーションゲートウエイによって当該パケットＰＫ１のヘッダ部（アドレス部）のＩＰアドレスやポート番号とともに、ペイロード部のＩＰアドレスやポート番号も変換していたところを、アプリケーションレベルゲートウエイでは、ペイロード部（ユーザデータ部）のＩＰアドレスやポート番号の変換のみを行うようにしたものである。この場合、パケットＰＫ１のヘッダ部のＩＰアドレスの変換は、アプリケーションレベルゲートウエイより高速な第１のアドレス変換手段が分担する。

アプリケーションレベルゲートウエイ（アプリケーションプログラム）は処理速度が遅いから、これによって、パケットＰＫ１のヘッダ部およびペイロード部に含まれる全アドレスの変換に要する処理速度を速くすることができる。
特開２０００−１５６７０９号公報

ところで、上述した通信アプリケーションがＩＰ電話などのように、送信元の通信アプリケーションを指定するポート番号を動的に変動させ得るものである場合などは、その変動に合わせてＦＷ装置が（遮断せずに）中継するポート番号の設定を変化させる必要があるが、前記特許文献１はこのような中継する通信のポート番号の設定の変化に対応できるものではない。

ＦＷ装置は、その本来の目的であるセキュリティ性を確保するため、通常は基本的にすべてのポート番号の通信を遮断し、必要が生じたときだけ必要最小限度のポート番号の通信のみを中継するように設定する必要がある。

ＩＰ電話以外の通信アプリケーションを用いる場合でもこれと同様な問題が発生し得ることは当然である。

かかる課題を解決するために、第１の本発明では、グローバル識別子が使用されるグローバル識別子ネットワークと、プライベート識別子が使用されるプライベート識別子ネットワークの間に第１の識別子変換中継装置を配置し、前記プライベート識別子ネットワーク内に配置された第１の通信端末が、当該第１の識別子変換中継装置を介して、当該第１の通信端末からみて前記グローバル識別子ネットワーク側に配置された第２の通信端末と所定のプロトコルデータ単位を用いた通信を行う通信システムにおいて、前記第１の識別子変換中継装置は、前記識別子のうち、前記グローバル識別子ネットワーク上の伝送に使用されない階層のプロトコルで規定されたグローバルまたはプライベートの識別子である伝送未使用識別子について監視し、予め設定された開放識別番号以外の伝送未使用識別子をヘッダ部に持つプロトコルデータ単位の中継を遮断する中継遮断部を備え、前記グローバル識別子ネットワーク内またはプライベート識別子ネットワーク内に配置された中継管理装置は、前記第１の通信端末より、前記第２の通信端末を着信先とする呼設定の要求が送信されるとき、当該第１の通信端末が送信する前記プロトコルデータ単位のペイロード部に含まれ、送信元を指定するプライベート識別子のうち、前記伝送未使用識別子については、その値を、前記開放識別番号として、前記中継遮断部に設定することを特徴とする。

また、第２の本発明では、グローバル識別子が使用されるグローバル識別子ネットワークと、プライベート識別子が使用されるプライベート識別子ネットワークの間に第１の識別子変換中継装置を配置し、前記プライベート識別子ネットワーク内に配置された第１の通信端末が、当該第１の識別子変換中継装置を介して、当該第１の通信端末からみて前記グローバル識別子ネットワーク側に配置された第２の通信端末と所定のプロトコルデータ単位を用いた通信を行う通信システムの構成要素としての中継管理装置において、前記第１の識別子変換中継装置が、前記識別子のうち、前記グローバル識別子ネットワーク上の伝送に使用されない階層のプロトコルで規定された伝送未使用識別子について監視し、予め設定された開放識別番号以外の伝送未使用識別子をヘッダ部に持つプロトコルデータ単位の中継を遮断する中継遮断部を備える場合、前記第１の通信端末より、前記第２の通信端末を着信先とする呼設定の要求が送信されるとき、当該第１の通信端末が送信する前記プロトコルデータ単位のペイロード部に含まれ、送信元を指定するプライベート識別子のうち、前記伝送未使用識別子については、その値を、前記開放識別番号として、前記中継遮断部に設定する設定制御部を備えたことを特徴とする。

さらに、第３の本発明では、グローバル識別子が使用されるグローバル識別子ネットワークと、プライベート識別子が使用されるプライベート識別子ネットワークの間に第１の識別子変換中継装置を配置し、前記プライベート識別子ネットワーク内に配置された第１の通信端末が、当該第１の識別子変換中継装置を介して、当該第１の通信端末からみて前記グローバル識別子ネットワーク側に配置された第２の通信端末と所定のプロトコルデータ単位を用いた通信を行う場合の通信方法において、前記第１の識別子変換中継装置は、中継遮断部が、前記識別子のうち、前記グローバル識別子ネットワーク上の伝送に使用されない階層のプロトコルで規定された伝送未使用識別子について監視し、予め設定された開放識別番号以外の伝送未使用識別子をヘッダ部に持つプロトコルデータ単位の中継を遮断し、前記グローバル識別子ネットワーク内またはプライベート識別子ネットワーク内に配置された中継管理装置は、前記第１の通信端末より、前記第２の通信端末を着信先とする呼設定の要求が送信されるとき、当該第１の通信端末が送信する前記プロトコルデータ単位のペイロード部に含まれ、送信元を指定するプライベート識別子のうち、前記伝送未使用識別子については、その値を、前記開放識別番号として、前記中継遮断部に設定することを特徴とする。

さらにまた、第４の本発明では、グローバル識別子が使用されるグローバル識別子ネットワークと、プライベート識別子が使用されるプライベート識別子ネットワークの間に第１の識別子変換中継機能を配置し、前記プライベート識別子ネットワーク内に配置された第１の通信端末機能が、当該第１の識別子変換中継機能を介して、当該第１の通信端末機能からみて前記グローバル識別子ネットワーク側に配置された第２の通信端末機能と所定のプロトコルデータ単位を用いた通信を行う通信プログラムにおいて、コンピュータに、前記第１の識別子変換中継機能の一部として、前記識別子のうち、前記グローバル識別子ネットワーク上の伝送に使用されない階層のプロトコルで規定された伝送未使用識別子について監視し、予め設定された開放識別番号以外の伝送未使用識別子をヘッダ部に持つプロトコルデータ単位の中継を遮断する中継遮断機能を実現させ、前記グローバル識別子ネットワーク内またはプライベート識別子ネットワーク内に配置された中継管理機能は、前記第１の通信端末機能より、前記第２の通信端末機能を着信先とする呼設定の要求が送信されるとき、当該第１の通信端末機能が送信する前記プロトコルデータ単位のペイロード部に含まれ、送信元を指定するプライベート識別子のうち、前記伝送未使用識別子については、その値を、前記開放識別番号として、前記中継遮断機能に設定する設定制御機能を実現させることを特徴とする。

また、第５の本発明では、グローバル識別子が使用されるグローバル識別子ネットワークと、プライベート識別子が使用されるプライベート識別子ネットワークの間に第１の識別子変換中継機能を配置し、前記プライベート識別子ネットワーク内に配置された第１の通信端末機能が、当該第１の識別子変換中継機能を介して、当該第１の通信端末機能からみて前記グローバル識別子ネットワーク側に配置された第２の通信端末機能と所定のプロトコルデータ単位を用いた通信を実現させる通信プログラムの構成要素としての中継管理プログラムにおいて、コンピュータに、前記第１の識別子変換中継機能が、その一部として、前記識別子のうち、前記グローバル識別子ネットワーク上の伝送に使用されない階層のプロトコルで規定された伝送未使用識別子について監視し、予め設定された開放識別番号以外の伝送未使用識別子をヘッダ部に持つプロトコルデータ単位の中継を遮断する中継遮断機能を備える場合、前記第１の通信端末機能より、前記第２の通信端末機能を着信先とする呼設定の要求が送信されるとき、当該第１の通信端末機能が送信する前記プロトコルデータ単位のペイロード部に含まれ、送信元を指定するプライベート識別子のうち、前記伝送未使用識別子については、その値を、前記開放識別番号として、前記中継遮断機能に設定する設定制御機能を実現させることを特徴とする。

本発明によれば、伝送未使用識別子が変動する場合でも、セキュリティ性を維持しながら、正常な通信を実現することができる。

（Ａ）実施形態
以下、本発明にかかる通信システム、中継管理装置、通信方法、通信プログラムおよび中継管理プログラムの実施形態について説明する。

（Ａ−１）実施形態の構成
本実施形態にかかる通信システム１０の全体構成例を図２に示す。なお、当該通信システム１０中に、図示しないサーバ類（例えば、ＤＮＳサーバなど）が存在していてもよいことは当然である。

図２において、当該通信システム１０は、インターネット１１と、ＬＡＮ（ローカル・エリア・ネットワーク）１２、１３と、ＳＩＰ（セッション開始プロトコル）サーバ１４と、管理装置１５と、ＦＷ（ファイアウオール）装置１６，１７と、エンド端末１８，１９とを備えている。

このうちインターネット１１はＬＡＮ１２内のエンド端末１８とＬＡＮ１３内のエンド端末１９のあいだの通信を中継するネットワークである。本発明の構成上、この部分にインターネットを用いることは必ずしも必須の要件ではないが、ここではインターネットを想定する。

ＩＰプロトコル上で有効な識別子はＩＰアドレスだけであり、ＩＰアドレスには、グローバルＩＰアドレスとプライベートＩＰアドレスが含まれているが、インターネット１１では通常、グローバルＩＰアドレスのみが有効である。したがって、インターネット１１上で通信相手を指定し、正常な伝送を行うにはグローバルＩＰアドレスを用いる必要がある。

インターネット１１上には、前記ＳＩＰサーバ１４と本実施形態で特徴的な管理装置１５と、ＦＷ装置１６，１７（のＷＡＮ側のインタフェース）が配置されている。

一般的にＦＷ製品にはＮＡＴ機能が搭載されているものも少なくないが、このＦＷ装置１６，１７にもＮＡＴ機能が搭載されているものとする。ただし必要に応じて、当該ＦＷ装置（例えば、１６）は、相互に連携するＮＡＴ装置とＦＷ装置に置換することも可能である。

当該ＮＡＴ機能は、中継するＩＰパケット（例えば、ＰＫ１１）のペイロード部分に含まれる送信元ＩＰアドレスの書き換えを行うものと、行わないものとに分けることができるが、以下では、主として、書き換えを行うものを前提として説明を進める。

前記ＦＷ装置１６のＷＡＮ側インタフェースには、グローバルＩＰアドレスであるＧＡ１が付与され、ＦＷ装置１７のＷＡＮ側インタフェースには、グローバルＩＰアドレスであるＧＡ２が付与されている。各ＦＷ装置のＷＡＮ側インタフェースに付与されているグローバルＩＰアドレスが複数であってもよいことは当然である。

前記ＬＡＮ１２，１３内ではプライベートＩＰアドレスが用いられており、エンド端末１８には、プライベートＩＰアドレスＰＡ１が付与され、エンド端末１９には、プライベートＩＰアドレスＰＡ２が付与されている。

また、ＵＤＰヘッダなどに含まれる送信元ポート番号については、ＮＡＴ機能の仕様により、変換される場合とされない場合がある。ＬＡＮ１８内の秘匿性を高めセキュリティ性を高めるためには、送信元ポート番号も変換したほうがよいと考えられるが、ここでは、説明を簡単にするために前記ＦＷ装置１６，１７のＮＡＴ機能は送信元ポート番号の変換を行わないものとする。なお、変換される場合、プライベートポート番号の変動に応じてグローバルポート番号が変化することになる。

この送信元ポート番号は、送信元の通信装置（ここでは、エンド端末１８）内の通信アプリケーションを識別するために用いられる。したがって、通信相手となる通信装置（ここでは、エンド端末１９）は、この送信元ポート番号を宛先ポート番号とするパケット（ここでは、ＰＫ２１）を返送することになる。

エンド端末１８が送信するパケットＰＫ１１は、上述したパケットＰＫ１に相当し得るＩＰパケットである。当該パケットＰＫ１１の構成例は図３に示す。通信アプリケーションとしてＩＰ電話を想定すると、ＩＰパケットは、呼制御の過程で使用されるものと、呼が設定されたあとの音声通信（リアルタイム通信）で使用されるものに分かれるが、図３に示したパケットＰＫ１１は呼制御の過程で使用するものである。なお、音声通信（通話）で使用されるパケット（このパケットも、符号はＰＫ１１とする）は、図３に示したものとＩＰヘッダ以外の部分（ペイロード部）の構成が異なる。例えば、通話用のパケットＰＫ１１では、トランスポート層の通信プロトコルに対応するヘッダとして、後述のＴＣＰヘッダではなく、ＵＤＰヘッダが使用される。

図３に示した当該パケットＰＫ１１は、ＩＰヘッダＥ１とＩＰヘッダ以外の部分（ペイロード部）に分けることができ、当該ペイロード部に、ＴＣＰヘッダＥ２とＳＩＰメッセージＥ３が含まれ、さらに当該ＳＩＰメッセージＥ３のなかにＳＩＰメッセージヘッダＥ４とＳＩＰメッセージボディＥ５が含まれる。

なお、ＩＰ電話の呼制御プロトコルとしては、ＩＴＵ−Ｔ勧告Ｈ．３２３なども使用可能であるが、ここでは、ＳＩＰを想定している。

ＩＰヘッダにはＩＰプロトコルで規定され、各通信装置のＩＰプロトコル処理モジュールが利用する多種類の制御情報が記述されているが、本実施形態で重要な制御情報は、宛先ＩＰアドレスと、送信元ＩＰアドレスである。

エンド端末１８が送信するパケットＰＫ１１の宛先ＩＰアドレスには、呼制御の過程でも、ユーザＵ１，Ｕ２間の音声通話が開始されたあとでも、グローバルアドレスが記述される。ただし呼制御の過程では、ＳＩＰサーバ１４にアクセスする必要があるため、当該ＳＩＰサーバ１４のＩＰアドレスであるＰＡ３が、宛先ＩＰアドレスとして記述されることになる。音声通話時には、前記ＦＷ装置１７のＷＡＮ側インタフェースに付与されているＩＰアドレスＧＡ２が記述される。この場合、ＧＡ２は、エンド端末１９を指定する識別子として用いられる。

ここで、ユーザＵ１はエンド端末１８を使用するユーザであり、ユーザＵ２はエンド端末１９を使用するユーザである。

エンド端末１８が送信するパケットＰＫ１１の送信元ＩＰアドレスには、呼制御の過程でも、音声通話が開始されたあとでも、当該エンド端末１８を指定するプライベートＩＰアドレスであるＰＰ１が記述される。ただしこのＩＰアドレスＰＰ１は、ＦＷ装置１６のＮＡＴ機能のアドレス変換により、前記ＧＡ１に書き換えられる。

パケットＰＫ１２は、エンド端末１８が送信したパケットＰＫ１を、ＦＷ装置１６が中継したあとのパケットである。当該ＦＷ装置１６のＮＡＴ機能のアドレス変換ではＩＰヘッダＥ１に記述された送信元ＩＰアドレスＰＡ１だけでなく、ペイロード部に記述された送信元ＩＰアドレスＰＡ１も、当該ＧＡ１に書き換える。これによって、通話時にエンド端末１９がエンド端末１８に宛ててパケットＰＫ２１を返送するときには、当該パケットＰＫ２１の宛先ＩＰアドレスとして、パケットＰＫ１３（ＰＫ１１に対応）のペイロード部から取り出した当該ＧＡ１を用いることが可能となる。

前記ＴＣＰヘッダＥ２には多種類の制御情報が含まれているが、そのうち本実施形態で重要なものは送信元ポート番号と宛先ポート番号である。パケットＰＫ１１、ＰＫ１２、ＰＫ１３のいずれも、送信元ポート番号はＰＰ１である。また、宛先ポート番号は、呼制御の過程では異なるものの、音声通話時にはエンド端末１９の通信アプリケーション（例えば、ＩＰ電話）を指定するポート番号（ここでは、ＰＰ２）である。

ＳＩＰメッセージＥ３内のＳＩＰメッセージヘッダＥ４や、ＳＩＰメッセージボディＥ５にも各種の制御情報が含まれているが、そのうち、重要なものが、前記送信元ＩＰアドレスＰＡ１と送信元ポート番号ＰＰ１である。これらが、上述したペイロード部に記述されたＩＰアドレスやポート番号にあたる。また、当該ＳＩＰメッセージＥ３内には、ＳＩＰサーバ１４や管理装置１５などにおいて呼を識別するために利用できる呼番号も含まれている。呼番号は発呼時に割り当てられる。

前記ＳＩＰサーバ１４は、周知のプロキシサーバとロケーションサーバとリダイレクトサーバの集合体であるが、本実施形態とって重要な機能に注目すると、ＳＩＰサーバ１４の内部構成は例えば図３に示す通りである。

（Ａ−１−１）ＳＩＰサーバの内部構成例
図５において、当該ＳＩＰサーバ１４は、セッション処理部２０と、セッション情報送信部２１とを備えている。

このうちセッション処理部２０は、セッション情報ＳＥ１の生成や削除を実行する部分である。セッション情報ＳＥ１とは、プライベートＩＰアドレスとグローバルＩＰアドレスの対応関係と、その呼のためにＦＷ装置１６，１７で開放するべきポート番号とを、前記呼番号に対応付けて記述した制御情報である。セッション情報ＳＥ１は、該当するセッションが切断されるまで保持される。

セッション情報ＳＥ１のなかには、セッションを確立するため（呼の確立のため）に使用されるセッション接続情報ＳＥ１１と、セッションの切断のために使用されるセッション切断情報ＳＥ１２がある。

セッション情報送信部２１は、当該セッション処理部２０が生成したセッション情報ＳＥ１を管理装置１５に送信する部分である。

前記ＦＷ装置１６の内部構成は例えば図６に示す通りである。ＦＷ装置１７の内部構成もこれと同じであるが、以下では、主として、ＦＷ装置１６に注目して説明する。

（Ａ−１−２）ＦＷ装置の内部構成例
図６において、当該ＦＷ装置１６は、設定受信部２２と、アドレス変換テーブル変更部２３と、ポート開閉部２４とを備えている。

このうち設定受信部２２は、インターネット１１経由で管理装置１５からの設定制御信号ＣＬ１を受信し、その内容を他の構成要素２３，２４に渡す部分である。

この設定制御信号ＣＬ１には、ＦＷ装置１６に対するアドレス変換の開始または終了の指示と、ポートの開放または閉塞の指示が含まれている。ただし当該アドレス変換は、前記通話のためのアドレス変換である。呼制御のためのエンド端末１８とＳＩＰサーバ１４のあいだの通信はそれ以前にすでに実行されているため、呼制御のための通信に使用されるパケットのアドレス変換は、前記セッション情報ＳＥ１が生成される前にすでに実行されている。

前記エンド端末１８と１９のあいだに呼が確立され、ユーザＵ１，Ｕ２間で通話が開始されるときにこの設定制御信号ＣＬ１でアドレス変換の開始が指示され、通話が終了して呼が切断されるときにこの設定制御信号ＣＬ１でアドレス変換の終了が指示される。

同様に、当該通話が開始されるときにＦＷ装置１６がその呼に対応するパケット（ＰＫ１１と、ＰＫ２１に対応するパケット（図示せず））を通過させるように当該設定制御信号ＣＬ１で該当するポート番号のポートの開放が指示され、通話が終了するときに当該設定制御信号ＣＬ１でそのポート番号のポートの閉塞が指示される。

この指示にしたがってポートの開放や閉塞を実行するのは、前記ポート開閉部２４である。

また、前記設定制御信号ＣＬ１の内容にしたがって、アドレス変換テーブルの内容を変更するのが、前記アドレス変換テーブル変更部２３である。

前記設定制御信号ＣＬ１の内容にしたがってアドレス変換を開始するとき、当該アドレス変換テーブル変更部２３がアドレス変換テーブル（ＮＡＴテーブル）のエントリ（行）を追加する。この追加は、前記セッション情報ＳＥ１のうちセッション接続情報ＳＥ１１に対応する設定制御信号ＣＬ１に応じて実行されるものである。

ここで、アドレス変換テーブルは、プライベートＩＰアドレスとグローバルＩＰアドレスの対応関係を各エントリごとに記述したテーブルである。例えば、前記ＰＡ１とＧＡ１のアドレス変換を実行する場合には、その開始時に、ＰＡ１とＧＡ１を対応付けるエントリが、アドレス変換テーブルに追加される必要がある。

また、前記設定制御信号ＣＬ１の内容にしたがってアドレス変換を終了するときには、当該アドレス変換テーブルから、ＰＡ１とＧＡ１を対応付けるエントリを削除する。この削除により、ＧＡ１は、ＬＡＮ１２内の他のエンド端末（図示せず）によって使用され得る状態となる。この削除は、前記セッション情報ＳＥ１のうちセッション切断情報ＳＥ１２に対応する設定制御信号ＣＬ１に応じて実行されるものである。

なお、エンド端末１８と１９のあいだの呼を設定するには、ＦＷ装置１７でも当該ＦＷ装置１６と同様な処理が実行される必要があるため、管理装置１５は設定制御信号ＣＬ１と実質的に同様な内容を持つ設定制御信号ＣＬ２をＦＷ装置１７へ送信する必要があることは当然である。

当該設定制御信号ＣＬ１，ＣＬ２や前記セッション情報ＳＥ１の通信にどのような通信プロトコルを用いるかは自由であるが、インターネット１１上の通信を必要とする以上、少なくともＯＳＩ参照モデルのネットワーク層のプロトコルとしては、ＩＰプロトコルを用いることになる。

前記管理装置１５の内部構成は例えば図７に示す通りである。

（Ａ−１−３）管理装置の内部構成例
図７において、当該管理装置１５は、セッション情報受信部２５と、アドレス変換設定部２６と、ポート開閉設定部２７とを備えている。

このうちセッション情報受信部２５は、前記ＳＩＰサーバ１４から上述したセッション情報ＳＥ１を受信し、受信したセッション情報ＳＥ１の内容に応じた処理を各構成要素２６，２７に行わせる部分である。

アドレス変換設定部２６は、前記設定制御信号ＣＬ１のうち、前記アドレス変換テーブル変更部２３への指示に相当する内容を生成する部分である。

また、ポート開閉設定部２７は、前記設定制御信号ＣＬ１のうち、前記ポート開閉部２４への指示に相当する内容を生成する部分である。

アドレス変換設定部２６とポート開閉設定部２７が必要な内容を生成すると、当該管理装置１５から、前記設定制御信号ＣＬ１がＦＷ装置１６へ送信される。また、設定制御信号ＣＬ１の送信とほぼ同時に、前記設定制御信号ＣＬ２が、前記ＦＷ装置１７へ送信される。

以下、上記のような構成を有する本実施形態の動作について、図１、図４に示すシーケンス図を参照しながら説明する。

図１のシーケンス図は、呼が設定されるまでの接続時の動作を示し、Ｓ１〜Ｓ１５の各ステップを備えている。呼設定の要求は２つのエンド端末１８，１９のうちいずれから行ってもよいが、図１の例では、エンド端末１８側から行っている。

図４のシーケンス図は、通話が終了し、呼が切断されるまでの切断時の動作を示し、Ｓ２０〜Ｓ３３の各ステップを備えている。呼の切断要求は２つのエンド端末１８，１９のうちいずれから行ってもよいが、図４の例では、エンド端末１８側から行っている。

なお、図１，図４中のＩＮＶＩＴＥ、ＢＹＥ、ＡＣＫ、ＯＫ、ＴＲＹＩＮＧなどは、通常のＳＩＰプロトコルにおける呼制御の手順で使用されるメソッドである。
（Ａ−２）実施形態の動作
図１において、ユーザＵ１の操作に応じてエンド端末１８が、前記エンド端末１９との呼の設定を要求するため、前記ＩＮＶＩＴＥを含む呼設定要求メッセージを送信する（Ｓ１）。この呼設定要求メッセージを含むパケットＰＫ１１は、ＦＷ装置１６によるアドレス変換を受けて、インターネット１１上を転送され、ＳＩＰサーバ１４まで届けられる（Ｓ２）。

ＳＩＰサーバ１４はこの呼設定要求メッセージ（ＳＩＰメッセージＥ３）の内容を解析することにより、これが呼設定を要求するメッセージであること等を検出し、前記セッション接続情報ＳＥ１１を管理装置１５に送信する（Ｓ３）。このセッション接続情報ＳＥ１１を受信した管理装置１５では、当該セッション接続情報ＳＥ１１の内容に応じた設定制御信号ＣＬ１、ＣＬ２を生成して、設定制御信号ＣＬ１を発側のＦＷ装置１６に送信する（Ｓ４）とともに、設定制御信号ＣＬ２を着側のＦＷ装置１７に送信する（Ｓ５）。

上述したようにこの設定制御信号ＣＬ１，ＣＬ２は、該当するポートの開放やアドレス変換テーブルへのエントリの追加を指示するものであるので、これらを受け取った各ＦＷ装置１６，１７は、その指示にしたがってポートの開放やエントリの追加を行う。

このポートの開放は、前記ＦＷ装置１６では通話時にＬＡＮ１２内のエンド端末１８から外向きに送信されるパケットＰＫ１１を（遮断せずに）通過させるために行われ、ＦＷ装置１７では通話時にＬＡＮ１３内のエンド端末１９に宛てて内向きに送信されるパケットＰＫ１２を通過させるために行われる。

設定制御信号ＣＬ１，ＣＬ２によるＦＷ装置１６，１７の設定が完了すると、その旨がＳＩＰサーバ１４に伝えられる（Ｓ６）。

前記ステップＳ３〜Ｓ６が実行されている間、ＳＩＰサーバ１４からは、ＦＷ装置１６経由で、ＴＲＹＩＮＧを含む呼制御メッセージがエンド端末１８へ送信されている（Ｓ７，Ｓ１１）が、前記ステップＳ６で設定が完了したことが伝えられると、ＳＩＰサーバ１４からＦＷ装置１７経由でＩＮＶＩＴＥを含む呼設定要求メッセージが着信先のエンド端末１９に伝えられる（Ｓ８、Ｓ９）。

この呼設定要求メッセージを受信すると、エンド端末１９では呼出音を出力すること等の動作が行われ、それに応えて、ユーザＵ２がエンド端末１９をオフフックすると、呼設定要求が成功したことを伝えるＯＫを含む応答メッセージが返送される（Ｓ１０）。

この呼に応じた通話でエンド端末１９が使用するポート番号（ここでは、ＰＰ２）をエンド端末１９自身がこの時点で決定する場合には、決定したポート番号をこのステップＳ１０の応答メッセージなどに収容して返送することにより、ＳＩＰサーバ１４や管理装置１５は、前記ステップＳ３〜Ｓ６で実行したものと同様な手順を再び実行することで、エンド端末１９が送信するパケットＰＫ２１を通過させるためのポートの開放の設定を、ＦＷ装置１７と１６に行うことができる。

ＯＫを含む応答メッセージがエンド端末１８まで届くと（Ｓ１２）、エンド端末１８が、ＡＣＫを含む呼の確立を許可したことを示す呼制御メッセージを返送する（Ｓ１３）。これがエンド端末１９まで届くと、図４のステップＳ２０に示すように、ユーザＵ１、Ｕ２による通話が行われる状態になる。この通話では通常、リアルタイム通信により、エンド端末１８，１９間で多数のパケットＰＫ１１とＰＫ２１がやり取りされることになる。

図４では、この通話のあと、ユーザＵ１が先にオンフックするので、エンド端末１８からＢＹＥを含む呼制御メッセージ（切断メッセージ）が送信され（Ｓ２１）、この切断メッセージが、ＦＷ装置１６，ＳＩＰサーバ１４，ＦＷ１７を経由して、エンド端末１９に伝えられるので、ユーザＵ２もオンフックを行う（Ｓ２２〜Ｓ２４）。このオンフックにより、ＯＫを含む呼制御メッセージがエンド端末１９から送信され、前記ＦＷ装置１７経由でＳＩＰサーバ１４まで届けられる（Ｓ２５，Ｓ２６）。

このあと、このセッションのために開放したポートを閉塞するための処理と、このセッションのため追加したアドレス変換テーブルのエントリを削除して、ＦＷ装置の設定を、前記ステップＳ４などが実行される前の状態に復帰させる処理（設定復帰処理）を、発側と着側のＦＷ装置１６，１７で実行することになる（Ｓ２７〜Ｓ３３）。

設定復帰処理を実行する順番を着側と発側のいずれを先にするかについては様々な方法が考えられる。常に、着側を先にしてもよく、いずれが先にセッションの切断を要求（前記切断メッセージを送信）したかに応じて決めるようにしてもよい。例えば、セッションの切断を先に要求したほうを後に処理してもよく、セッションの切断を先に要求したほうを先に処理するようにしてもよい。

図４の例では、着側を先に処理している。

すなわち、切断メッセージＳ２４の受信に応じてエンド端末１９がオンフックされたときに送信されるＯＫを含む呼制御メッセージがＳＩＰサーバ１４に受信されると（Ｓ２５，Ｓ２６）、ステップＳ２７〜Ｓ２９により着側のＦＷ装置１７で前記設定復帰処理が実行され、これにつづいてＯＫを含む呼制御メッセージがＳＩＰサーバ１４からエンド端末１８に届けられ（Ｓ３０，Ｓ３１）、そのあと、ステップＳ３２，Ｓ３３により発側のＦＷ装置１６で前記設定復帰処理が実行されている。

（Ａ−３）実施形態の効果
本実施形態によれば、エンド端末（１６，１７）が通話に使用するポート番号を動的に変動させる場合でも、その変動に合わせてＦＷ装置（１６，１７）が開放するポート番号の設定を変化させることができる。

しかも、本実施形態では、リアルタイム通信でやり取りされる多数のパケット（ＰＫ１１，ＰＫ２１）について、ＦＷ装置（１６，１７）はパケットのペイロード部に記述したポート番号（送信元ポート番号）の書き換えを行う必要がないため、ＦＷ装置の処理能力にかかる負荷が軽減される。これは中継時のＦＷ装置における遅延を小さくできることを意味し、リアルタイム性の向上に寄与する。

（Ｂ）他の実施形態
上記実施形態にかかららず、本発明は、ＬＡＮ（例えば、１２）内から外向きに送信されるＩＰパケット（例えば、ＰＫ１１）のペイロード部分に含まれる送信元ＩＰアドレスの書き換えを行わないＮＡＴ機能にも適用することが可能である。

その場合、ＩＰパケットのペイロード部に含まれる送信元ＩＰアドレスはプライベートＩＰアドレス（例えば、ＰＡ１）のままで通話相手のエンド端末（例えば、１９）まで届けられるため、双方向で通話を行うために当該エンド端末１９から返送されるＩＰパケット（例えば、ＰＫ１３）のヘッダに含まれる宛先ＩＰアドレスはプライベートＩＰアドレス（ここでは、ＰＡ１）となる。

しかしながら、呼設定の際にこのプライベートＩＰアドレスＰＡ１と、それに対応するグローバルＩＰアドレスＧＡ１の対応関係を、発側のＦＷ装置１６から前記管理装置１５などに伝え、当該管理装置１５が前記設定制御信号ＣＬ２で着側のＦＷ装置１７に伝えるようにしておけば、ＩＰパケットＰＫ１３を中継するとき、着側のＦＷ装置１７は、ＩＰパケットＰＫ１３のヘッダに含まれる宛先ＩＰアドレスをＰＡ１からＧＡ１に書き換えることができる。この関係は着側と発側を入れ替えても成立し得る。

この場合、各ＦＷ装置１６，１７のＮＡＴ機能は、中継するＩＰパケットのペイロード部に含まれる送信元ＩＰアドレスを書き換える必要がなくなるため、ＦＷ装置の処理能力にかかる負荷をさらに軽減し、リアルタイム性をいっそう高めることが可能となる。

なお、上記実施形態で用いた２つのＦＷ装置１６，１７は一方を省略することも可能である。

さらに、上記実施形態では、ＦＷ装置（例えば、１６）は、ＮＡＴ機能を搭載していたが、ＮＡＴ機能を搭載せず、ＦＷ（ファイアウオール）機能だけを持つＦＷ装置を用いて、ＮＡＴ機能が少なくともいずれか一方のＬＡＮ側（例えば、ＬＡＮ１２側）には存在しない構成を取ることも可能である。

また、上記実施形態では管理装置１５をインターネット１１上に配置したが、管理装置１５の機能は、ＬＡＮ（例えば、１２）内に配置することもでき、ＬＡＮ内とインターネット１１上に分けて配置することもできる。ＬＡＮ内に配置する場合、管理装置の機能の少なくとも一部をエンド端末（例えば、１８）自体が持つものであってもよい。

上記実施形態では、通信アプリケーションとしてＩＰ電話を想定したが、本発明はＩＰ電話以外の通信アプリケーションに適用することも可能である。

その場合、通信アプリケーションは、第３のノード（例えば、ＳＩＰサーバやＨ．３２３ゲートキーパなど）を介した呼制御の過程を必要としないものであってもよい。このような呼制御の過程がない場合、前記管理装置１５に相当する機能は、リクエストメッセージを中継でき、ＦＷ装置を制御できる機能に置換可能である。
また、本発明は複数の通信アプリケーションが混在する環境において有効である。ＩＰ電話のようにポート番号を動的に変更しない通信アプリケーションであっても、例えば、複数の通信アプリケーションのうちユーザが選択したいずれか１つを用いるのであれば、ＦＷ装置は、上記実施形態と同様に、開放するポートを動的に変更する必要が生じる。

したがって、前記２つのエンド端末１８，１９の双方または一方は、サーバ（例えば、Ｗｅｂサーバなど）であってもよい。

また、前記インターネット１１を他のネットワークに置き換えた構成を取る場合など、ＯＳＩ参照モデルのネットワーク層のプロトコルは必ずしもＩＰプロトコルである必要はない。一例として、ＩＰＸプロトコルを使用できる可能性もある。

以上の説明でハードウエア的に実現した機能の大部分はソフトウエア的に実現することができ、ソフトウエア的に実現した機能のほとんど全てはハードウエア的に実現することが可能である。

実施形態にかかる通信システムの動作例を示すシーケンス図である。実施形態にかかる通信システムの全体構成例を示す概略図である。実施形態で使用するパケットの構成例を示す概略図である。実施形態にかかる通信システムの動作例を示すシーケンス図である。実施形態にかかる通信システムで使用するＳＩＰサーバの構成例を示す概略図である。実施形態にかかる通信システムで使用するＦＷ装置の構成例を示す概略図である。実施形態にかかる通信システムで使用する管理装置の構成例を示す概略図である。

符号の説明

１０…通信システム、１１…インターネット、１２、１３…ＬＡＮ、１４…ＳＩＰサーバ、１５…管理装置、１６，１７…ＦＷ装置、１８，１９…エンド端末、ＰＡ１，ＰＡ２…プライベートＩＰアドレス、ＧＡ１，ＧＡ２…グローバルＩＰアドレス、ＰＰ１，ＰＰ２…ポート番号、ＰＫ１１，ＰＫ１２…パケット。

Claims

グローバル識別子が使用されるグローバル識別子ネットワークと、プライベート識別子が使用されるプライベート識別子ネットワークの間に第１の識別子変換中継装置を配置し、前記プライベート識別子ネットワーク内に配置された第１の通信端末が、当該第１の識別子変換中継装置を介して、当該第１の通信端末からみて前記グローバル識別子ネットワーク側に配置された第２の通信端末と所定のプロトコルデータ単位を用いた通信を行う通信システムにおいて、
前記第１の識別子変換中継装置は、
前記識別子のうち、前記グローバル識別子ネットワーク上の伝送に使用されない階層のプロトコルで規定されたグローバルまたはプライベートの識別子である伝送未使用識別子について監視し、予め設定された開放識別番号以外の伝送未使用識別子をヘッダ部に持つプロトコルデータ単位の中継を遮断する中継遮断部を備え、
前記グローバル識別子ネットワーク内またはプライベート識別子ネットワーク内に配置された中継管理装置は、
前記第１の通信端末より、前記第２の通信端末を着信先とする呼設定の要求が送信されるとき、当該第１の通信端末が送信する前記プロトコルデータ単位のペイロード部に含まれ、送信元を指定するプライベート識別子のうち、前記伝送未使用識別子については、その値を、前記開放識別番号として、前記中継遮断部に設定することを特徴とする通信システム。
請求項１の通信システムにおいて、
前記第２の通信端末は、前記第１の通信端末とは異なるプライベート識別子ネットワークに配置され、前記第１の識別子変換中継装置と同じ機能を持つ第２の識別子変換中継装置を介してグローバル識別子ネットワークと接続されている場合、
前記中継管理装置は、
前記第１の識別子変換中継装置と同じ値の開放識別番号を、前記第２の識別子変換中継装置にも設定させることを特徴とする通信システム。
グローバル識別子が使用されるグローバル識別子ネットワークと、プライベート識別子が使用されるプライベート識別子ネットワークの間に第１の識別子変換中継装置を配置し、前記プライベート識別子ネットワーク内に配置された第１の通信端末が、当該第１の識別子変換中継装置を介して、当該第１の通信端末からみて前記グローバル識別子ネットワーク側に配置された第２の通信端末と所定のプロトコルデータ単位を用いた通信を行う通信システムの構成要素としての中継管理装置において、
前記第１の識別子変換中継装置が、前記識別子のうち、前記グローバル識別子ネットワーク上の伝送に使用されない階層のプロトコルで規定された伝送未使用識別子について監視し、予め設定された開放識別番号以外の伝送未使用識別子をヘッダ部に持つプロトコルデータ単位の中継を遮断する中継遮断部を備える場合、
前記第１の通信端末より、前記第２の通信端末を着信先とする呼設定の要求が送信されるとき、当該第１の通信端末が送信する前記プロトコルデータ単位のペイロード部に含まれ、送信元を指定するプライベート識別子のうち、前記伝送未使用識別子については、その値を、前記開放識別番号として、前記中継遮断部に設定する設定制御部を備えたことを特徴とする中継管理装置。
グローバル識別子が使用されるグローバル識別子ネットワークと、プライベート識別子が使用されるプライベート識別子ネットワークの間に第１の識別子変換中継装置を配置し、前記プライベート識別子ネットワーク内に配置された第１の通信端末が、当該第１の識別子変換中継装置を介して、当該第１の通信端末からみて前記グローバル識別子ネットワーク側に配置された第２の通信端末と所定のプロトコルデータ単位を用いた通信を行う場合の通信方法において、
前記第１の識別子変換中継装置は、
中継遮断部が、前記識別子のうち、前記グローバル識別子ネットワーク上の伝送に使用されない階層のプロトコルで規定された伝送未使用識別子について監視し、予め設定された開放識別番号以外の伝送未使用識別子をヘッダ部に持つプロトコルデータ単位の中継を遮断し、
前記グローバル識別子ネットワーク内またはプライベート識別子ネットワーク内に配置された中継管理装置は、
前記第１の通信端末より、前記第２の通信端末を着信先とする呼設定の要求が送信されるとき、当該第１の通信端末が送信する前記プロトコルデータ単位のペイロード部に含まれ、送信元を指定するプライベート識別子のうち、前記伝送未使用識別子については、その値を、前記開放識別番号として、前記中継遮断部に設定することを特徴とする通信方法。
グローバル識別子が使用されるグローバル識別子ネットワークと、プライベート識別子が使用されるプライベート識別子ネットワークの間に第１の識別子変換中継機能を配置し、前記プライベート識別子ネットワーク内に配置された第１の通信端末機能が、当該第１の識別子変換中継機能を介して、当該第１の通信端末機能からみて前記グローバル識別子ネットワーク側に配置された第２の通信端末機能と所定のプロトコルデータ単位を用いた通信を行う通信プログラムにおいて、コンピュータに、
前記第１の識別子変換中継機能の一部として、
前記識別子のうち、前記グローバル識別子ネットワーク上の伝送に使用されない階層のプロトコルで規定された伝送未使用識別子について監視し、予め設定された開放識別番号以外の伝送未使用識別子をヘッダ部に持つプロトコルデータ単位の中継を遮断する中継遮断機能を実現させ、
前記グローバル識別子ネットワーク内またはプライベート識別子ネットワーク内に配置された中継管理機能は、
前記第１の通信端末機能より、前記第２の通信端末機能を着信先とする呼設定の要求が送信されるとき、当該第１の通信端末機能が送信する前記プロトコルデータ単位のペイロード部に含まれ、送信元を指定するプライベート識別子のうち、前記伝送未使用識別子については、その値を、前記開放識別番号として、前記中継遮断機能に設定する設定制御機能を実現させることを特徴とする通信プログラム。
グローバル識別子が使用されるグローバル識別子ネットワークと、プライベート識別子が使用されるプライベート識別子ネットワークの間に第１の識別子変換中継機能を配置し、前記プライベート識別子ネットワーク内に配置された第１の通信端末機能が、当該第１の識別子変換中継機能を介して、当該第１の通信端末機能からみて前記グローバル識別子ネットワーク側に配置された第２の通信端末機能と所定のプロトコルデータ単位を用いた通信を実現させる通信プログラムの構成要素としての中継管理プログラムにおいて、コンピュータに、
前記第１の識別子変換中継機能が、その一部として、
前記識別子のうち、前記グローバル識別子ネットワーク上の伝送に使用されない階層のプロトコルで規定された伝送未使用識別子について監視し、予め設定された開放識別番号以外の伝送未使用識別子をヘッダ部に持つプロトコルデータ単位の中継を遮断する中継遮断機能を備える場合、
前記第１の通信端末機能より、前記第２の通信端末機能を着信先とする呼設定の要求が送信されるとき、当該第１の通信端末機能が送信する前記プロトコルデータ単位のペイロード部に含まれ、送信元を指定するプライベート識別子のうち、前記伝送未使用識別子については、その値を、前記開放識別番号として、前記中継遮断機能に設定する設定制御機能を実現させることを特徴とする中継管理プログラム。