JP2005341006A - アドレス解決サーバ、端末及びアドレス解決方法 - Google Patents

Abstract

【課題】限定されたユーザのみがそのホスト名のアドレス情報を取得できるアドレス解決処理方法を提供すること。
【解決手段】ホスト名に対するアドレス情報を暗号化してアドレス解決サーバに保持し、アドレス解決要求に対して暗号化されたアドレス情報で応答し、ホストにおいてアドレス解決要求を行い応答で得られた暗号化されたアドレス情報を予め保持している秘密鍵を用いて解読してホスト名のアドレス情報得ることができるため、秘密鍵を持つ限定されたホストのみが暗号化されたアドレス情報の機器にアクセスすることができ、またホスト名とアドレスのマッピング情報が分散データベースで管理されているシステムにおいてはアドレス解決サーバのキャッシュ機能を用いることが可能となる。
【選択図】図４

Description

本発明はインターネットにおいて限定されたユーザのみがそのホスト名のアドレス情報を取得できるアドレス解決サーバ、端末及びアドレス解決方法に関するものである。

インターネットにおいてアドレス解決処理方法としてＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）が用いられている。ＤＮＳは主にＲＦＣ１０３４、ＲＦＣ１０３５によって規定されており、ＤＮＳサーバにおいてホスト名と対応するＩＰアドレスの相互変換（アドレス解決）が行われる。図２はＤＮＳのツリー構造を示す図である。ＤＮＳのホスト名は図に示すように階層構造となっている。またＤＮＳはホスト名とＩＰアドレス間でマッピングするときなどに用いられる分散データベースである。分散とは単一の組織でインターネット全体のホスト名やＩＰアドレスの情報を管理しているのではなく、各組織においてそれぞれの情報を格納した独自のデータベースを持ち、インターネット上の他の端末（クライアント）がそれに自由にアクセスできるようになっている。また、ＤＮＳサーバがマッピング情報（例えばホスト名のＩＰアドレス）を受信すると、その情報をキャッシュし、その後に同じマッピングに対する照会があった場合、最初にキャッシュした情報を利用することにより、応答レスポンスを向上すると共にネットワークに対する負荷も軽減できる。

限定されたユーザのみがホスト名のアドレス情報を取得できる従来技術としては、例えば特許文献１で知られているアドレス解決処理方法がある。このアドレス解決処理方法では、アドレス解決処理サーバにおいて予め登録された情報に基づいて通信が許可されているホストからの要求か、許可されていないホストからの要求かを判定する認証方式によるアドレス解決処理方法である。
特許第３２６８５４６号公報

しかしながら、前記特許文献１の従来のアドレス解決処理方法では、許可されたホストからの要求か許可されていないホストからの要求かをアドレス解決が要求されているホストが属する組織のＤＮＳサーバで行う必要があり、ツリー構造の上位にあたるＤＮＳサーバではアドレス解決を行うことができない。よってＤＮＳの特徴であるキャッシュによる応答レスポンス向上とネットワーク負荷軽減が行えないという課題を有していた。

本発明は、前記従来の課題を解決するもので、限定されたユーザのみがそのホスト名のアドレス情報を取得でき、ホスト名とアドレスのマッピング情報が分散データベース上に配置された構成においては、アドレス解決サーバのキャッシュ機構が機能するアドレス解決処理方法を提供することを目的とする。

前記従来の課題を解決するために、本発明のアドレス解決処理方法はアドレス解決サーバにおいて、あるホスト名に対するアドレス情報を暗号化して保持し、アドレス解決要求に対して暗号化されたアドレス情報を用いて応答し、ホストにおいて、アドレス解決要求の結果、応答で得られた暗号化されたアドレス情報を予め保持している秘密鍵を用いて解読してホスト名のアドレス情報を得る。

本構成によって、秘密鍵を持つ限定されたユーザのみがそのホスト名のアドレス情報を取得することができ、また前記ツリー構造の上位のＤＮＳサーバにおいてアドレス情報をキャッシュすることが可能になり、よって、応答レスポンス向上とネットワーク負荷軽減を行うことが可能となる。

本発明のアドレス解決処理方法によれば、アドレス解決処理時におけるセキュリティ機能により、通信を許可されたユーザ間の通信は可能となり、その他の通信を許可されていないユーザからのアクセスを防止することができる。また、アドレス解決をツリー構造の分散データベースで実現している場合には、上位のアドレス解決サーバにおいてアドレス情報をキャッシュすることにより、応答レスポンスの向上とネットワーク負荷軽減が可能となる。従って、アドレス解決時のセキュリティ機能が効果的に発揮される。

以下本発明の実施の形態について、図面を参照しながら説明する。

（実施の形態１）
図１は、本発明の実施の形態１におけるアドレス解決処理方法を実施するためのネットワークモデルを示す図である。図３はＤＮＳサーバのデータベースで管理しているホスト（端末）名とアドレス情報の対応表の例を示している。図４はＤＮＳサーバでの本発明におけるアドレス解決処理を説明するフローチャートである。図５及び図６はホスト（端末）での本発明におけるアドレス解決処理を説明するフローチャートである。図７はホスト（端末）において管理されているホスト名と秘密鍵の対応表の例を示している。

図１のネットワークモデルはインターネット網（２００）を示しており、このインターネット網（２００）は、ルータＲｒ（２０１）、ＤＮＳサーバＳｒ（２１０）、端末Ｔａ（２０６）、ルータＲａ（２０２）、ＤＮＳサーバＳａ（２０５）を含むサブネット、端末Ｔｂ（２０７）、ルータＲｂ（２０３）を含むサブネット、端末Ｔｃ（２０８）、ルータＲｃ（２０４）を含むサブネットから構成されている。図中のｈｏｓｔＴａ．ｎｅｔＡはホスト名を示し、２６．１．１．１はＩＰアドレスを示す。

なお、端末Ｔａ（２０６）、端末Ｔｂ（２０７）、端末Ｔｃ（２０８）は異なるサブネットに属することとしたが、この限りではない。

図３は本発明におけるインターネット網（２００）を介して接続されるＤＮＳサーバＳａ（２０５）でホスト名とＩＰアドレスの対応を管理するデータベースの一部を示している。資源レコードタイプの一部を示している。従来のＤＮＳサーバが扱うＩＰアドレスの資源レコードであるＡレコード（３０２）に加え、暗号化されたＩＰアドレスの資源レコードであるＡＳＥＣレコード（３０３）が追加されている。

端末Ｔａ（２０６）では、ＩＰアドレスが設定、変更される毎に秘密鍵Ａを用いてＡＳＥＣレコードを生成し、前記ＤＮＳサーバＳａ（２０５）のデータベースに登録する。

このような構成において、例えば前記ＤＮＳサーバＳａ（２０５）には、アクセス制限を実施する前記端末Ｔａ（２０６）に関してはＡＳＥＣレコードのみが登録されており、暗号化されていないＩＰアドレス情報であるＡレコードは前記データベースに登録されていない。また、端末Ｔｂ（２０７）は端末Ｔａ（２０６）へのアクセスを許可されており秘密鍵Ａを保持しているが、端末Ｔｃ（２０８）は端末Ｔａ（２０６）へのアクセスを許可されておらず秘密鍵Ａを保持していない。

以下、端末Ｔｂ（２０７）が初めて端末Ｔａ（２０６）と通信する場合について図４、図５、図６及び図７を用いて説明する。この場合ＤＮＳサーバＳｒ（２１０）のキャッシュエントリーに端末Ｔａ（２０６）の情報が無いものとする。

まず、端末Ｔａ（２０６）とのアクセスを許可されている端末Ｔｂ（２０７）が、端末Ｔａ（２０６）と通信する場合について説明する。端末Ｔｂ（２０７）は秘密鍵Ａを保持し、端末Ｔａ（２０６）のホスト名と秘密鍵Ａを対応表（７０１）にエントリとして持っており、ＡＳＥＣレコードを解読してＩＰアドレスを取得する機能を有している。端末Ｔｂ（２０７）は端末Ｔａ（２０６）との通信に先立ち、まず端末Ｔａ（２０６）のホスト名が前記対応表（７０１）にあるか検索を行う（ステップ５０２）。端末Ｔａ（２０６）のエントリがあるため、アドレス解決要求の資源レコードタイプをＡＳＥＣとして、ＤＮＳサーバＳａ（２０５）にアドレス解決要求パケットを生成する（ステップ５０３）。そして、ＤＮＳサーバに向けてアドレス解決要求パケットを送信する（ステップ５０５）。アドレス解決要求パケットがＤＮＳサーバＳａ（２０５）に到達すると、ＤＮＳサーバＳａ（２０５）はまず、パケットの受信処理を行う（ステップ４０２）。次に受信パケットの要求タイプを解析する（ステップ４０３）。そして、端末Ｔｂ（２０６）からのアドレス解決要求は資源レコードをＡＳＥＣとしているので、データベースから端末Ｔａ（２０６）のホスト名のエントリを検索し、端末Ｔａ（２０６）のＡＳＥＣレコードを含んだアドレス解決応答パケットを生成する（ステップ４０５）。パケット生成処理が終了したら、要求元ホストに対して応答パケットを送信する。（ステップ４０６）。すると、端末Ｔｂ（２０７）は前記アドレス解決応答パケットの受信処理を行い（ステップ６０２）、ＡＳＥＣレコードを含む応答であるのか、レコードタイプ解析処理を行う（ステップ６０３）。ＡＳＥＣレコードを含むので図７に示すホスト名と秘密鍵の対応表７０１から秘密鍵Ａを用いてＡＳＥＣレコードの解読処理を行い端末Ｔａ（２０６）のＩＰアドレスを取得する（ステップ６０５）。よって端末Ｔｂ（２０７）は端末Ｔａ（２０６）のホスト名からＩＰアドレスを取得し、端末Ｔａ（２０６）にアクセスすることができる。

次に、端末Ｔａ（２０６）とのアクセスを許可されていない端末Ｔｃ（２０８）が、端末Ｔａ（２０６）と通信する場合について説明する。端末Ｔｃ（２０８）は秘密鍵Ａを保持しておらず、対応表にも端末Ｔａのエントリが無い。端末Ｔｃ（２０８）は端末Ｔａ（２０６）との通信に先立ち、まず端末Ｔａ（２０６）のホスト名が対応表にあるか検索を行う（ステップ５０２）。対応表にホスト名が無いので要求タイプをＡレコードとした既存のアドレス解決要求パケットを生成する（ステップ５０４）。そして、ＤＮＳサーバＳａ（２０５）に向けてアドレス解決要求パケットを送信する（ステップ５０５）。アドレス解決要求パケットがＤＮＳサーバＳａ（２０５）に到達すると、ＤＮＳサーバＳａ（２０５）はまず、パケットの受信処理を行う（ステップ４０１）。次に受信パケットの要求タイプを解析する（ステップ４０３）。要求タイプがＡレコードなので既存ＤＮＳサーバのアドレス解決処理を行う（ステップ４０４）。しかしながらＤＮＳサーバＳａ（２０５）のデータベースには端末ＴａのＡレコードのエントリは無いためエラー応答パケットを生成する。パケット生成処理が終了したら、要求元ホストに対して応答パケットを送信する。（ステップ４０６）。すると、端末Ｔｃ（２０８）は前記アドレス解決応答パケットの受信処理を行い（ステップ６０２）、ＡＳＥＣレコードを含む応答であるのか、レコードタイプ解析処理を行う（ステップ６０３）。ＡＳＥＣレコードを含まないので既存のアドレス解決応答受信処理を行う（ステップ６０４）。しかし応答はエラー応答であるため端末Ｔｃ（２０８）は端末Ｔａ（２０６）のＩＰアドレスを取得することができない。仮にステップ５０５でＡＳＥＣレコードタイプを指定してアドレス解決要求を送信したとしても、ステップ６０５の解読処理において秘密鍵Ａを保持していないために解読できず、端末Ｔａ（２０６）のＩＰアドレスを取得できない。よって、端末Ｔｃ（２０８）は端末Ｔａ（２０６）のＩＰアドレスを取得できず、アクセスすることができない。

これまではＤＮＳサーバＳｒ（２１０）のキャッシュエントリに端末Ｔａ（２０６）の情報が無いものとして説明してきたが、端末Ｔａ（２０６）への２回目以降のアクセス時には、キャッシュの生存時間内であればＤＮＳサーバＳｒ（２１０）に端末Ｔａ（２０６）の情報がキャッシュされており、アドレス解決要求がＤＮＳサーバＳａ（２０５）に到達する前にＤＮＳサーバＳｒ（２１０）によってアドレス解決応答がなされる。また、ＤＮＳサーバＳｒ（２１０）の他にもインターネットを介して接続されているＤＮＳサーバにキャッシュされていても、ＤＮＳサーバは端末Ｔａ（２０６）のホスト名に対応するＡＳＥＣレコードをアドレス解決応答として他の問い合わせ端末に送信してもよく、ＤＮＳの特徴であるキャッシュ機能が効果的に発揮される。

なお、本実施の形態において、端末Ｔｂ（２０６）が保持している秘密鍵Ａと、ＤＮＳサーバＳａ（２０５）に登録する際に使用した秘密鍵Ａは同一の鍵である共通鍵暗号方式を用いているが、公開鍵暗号方式を用いても同様の効果が得られ、この限りではない。

本発明にかかるアドレス解決処理手法は、限定されたユーザのみがホストのホスト名からアドレス情報を取得できる手法を有し、不正アクセス防止手法等として有用である。

本発明の実施の形態１におけるアドレス解決処理方法を実施するためのネットワークモデル図 ＤＮＳのツリー構造を示す図 本発明の実施の形態１におけるアドレス解決処理方法を実施するためのアドレス解決サーバのデータベースで管理しているホスト名とアドレス情報の対応表の例を示す図 本発明の実施の形態１におけるアドレス解決処理方法を実施するためのアドレス解決サーバでのアドレス解決処理を説明するフローチャート 本発明の実施の形態１におけるアドレス解決処理方法を実施するためのホストでのアドレス解決処理を説明するフローチャート 本発明の実施の形態１におけるアドレス解決処理方法を実施するためのホストでのアドレス解決処理を説明するフローチャート 本発明の実施の形態１におけるアドレス解決処理手法を実施するためのホストにおいて管理されているホスト名と秘密鍵の対応表を示す図

符号の説明

２００ インターネット網
２０１ ルータＲｒ
２０２ ルータＲａ
２０３ ルータＲｂ
２０４ ルータＲｃ
２０５ ＤＮＳサーバＳａ
２０６ 端末Ｔａ
２０７ 端末Ｔｂ
２０８ 端末Ｔｃ
２１０ ＤＮＳサーバＳｒ
３０１ ＤＮＳサーバのデータベースの一部の例
３０２ Ａレコード
３０３ ＡＳＥＣレコード
４０１〜４０７ フローチャートの各ステップ
５０１〜５０６ フローチャートの各ステップ
６０１〜６０６ フローチャートの各ステップ
７０１ ホスト名と秘密鍵の対応表

Claims (3)

1. ネットワーク上の端末を特定するホスト名を前記端末の前記ネットワーク上のアドレスに変換することによりアドレス解決を行うアドレス解決サーバであって、
   前記端末のうち、アクセス制限を実施する端末については前記ホスト名に対応するアドレス情報として、暗号化されたアドレス情報を保持する
   ことを特徴とするアドレス解決サーバ。
2. ネットワーク上の他の端末との間で通信を行う端末であって、
   通信相手の他の端末を特定するホスト名を用いて前記通信相手の他の端末の前記ネットワーク上のアドレス情報を取得するに際し、前記通信相手の他の端末のうち、アクセス制限が実施されている端末のアドレス情報を復号するための鍵情報を有し、
   前記ホスト名と、前記鍵情報との対応関係を保持する
   ことを特徴とする端末。
3. ネットワーク上の端末を特定するホスト名を前記端末の前記ネットワーク上のアドレスに変換することによりアドレス解決を行うアドレス解決方法であって、
   １以上の請求項１記載のアドレス解決サーバと、１以上の請求項２記載の端末とが前記ネットワークを介して接続され、
   前記アドレス解決サーバは、アクセス制限を実施する前記端末のホスト名に対する暗号化されたアドレス情報を保持し、アクセス制限を実施する前記端末のアドレス解決要求に対しては暗号化されたアドレス情報を用いて応答し、
   前記端末は、通信相手の端末のアドレス情報を取得するために、前記アドレス解決要求を前記アドレス解決サーバに対して行い、前記アドレス解決サーバからの応答で得られた前記アドレス情報が暗号化されている場合は、暗号化された前記アドレス情報を予め保持している秘密鍵を用いて解読し、ホスト名のアドレス情報を得ることを特徴とするアドレス解決方法。

Images