JP2009260534A - サーバ装置および通信制御方法 - Google Patents

Abstract

【課題】１つのゲートウェイ装置の配下にある複数の端末装置について、端末装置毎にロックアウトすることが可能なサーバ装置を提供する。
【解決手段】ゲートウェイ装置のソースアドレスの情報とゲートウェイ装置に接続された複数の端末装置について端末装置間で異なる端末識別子の情報とを含む接続情報が格納された記憶部と、いずれかの端末装置からゲートウェイ装置を介して接続要求信号を受信すると、接続要求信号のヘッダから送信元を示すソースアドレスおよび端末識別子を読み出して送信元の端末装置を特定し、接続要求信号が通信規制対象であると判定すると、読み出したソースアドレスおよび端末識別子からなる組の情報を含む接続情報を記憶部で検索し、その組の情報を含む接続情報があることを認識すると、その組の情報の端末識別子で特定される端末装置に対して通信規制を実行する制御部と、を有する構成である。
【選択図】図１

Description

本発明は、ネットワークを介して送受信される信号に対して通信制御を行うサーバ装置および通信制御方法に関する。

次世代ネットワーク（Next Generation Network:ＮＧＮ）の議論が盛んになってきた。ＮＧＮは、電話サービスをはじめ、固定通信と移動通信を融合したサービスや今後開発される新しい情報通信サービスを提供する基盤ネットワークである。

ここでいうＮＧＮとは、パケットベースのネットワークであって、パケットを転送するパケット転送機能とサービスを制御するサービス制御機能とを分離した構造を有するネットワークである。パケット転送機能は、転送装置として加入者サービスエッジや中継ボーダゲートウェイ装置により実現される。サービス制御機能は、セッション開始プロトコル（Session Initiation Protocol：ＳＩＰ）によりセッションの開始と終了の制御を行うものであり、これらの制御を加入者セッション制御サーバおよび中継セッション制御サーバの２階梯の制御装置により実現される。

以下では、加入者サービスエッジ（Subscriber Service Edge）をＳＳＥと表記し、中継ボーダゲートウェイ装置（Intermediate Border gateway Equipment）をＩＢＥと表記する。また、加入者セッション制御サーバ（Subscriber Session Control server）をＳＳＣと表記し、中継セッション制御サーバ（Intermediate Session Control server）をＩＳＣと表記する。なお、ＳＳＥ、ＩＢＥ、ＳＳＣおよびＩＳＣはＮＧＮで用いられる名称である。一般的には、ＳＳＥは加入者ルータ、ＩＢＥは中継ルータ、ＳＳＣは加入者ＳＩＰサーバ、ＩＳＣは中継ＳＩＰサーバと呼ばれている。

上述した各種の情報通信サービスを提供するネットワークを実現するには、安全性を高めることが重要な課題の一つになる。安全性を高めるには、正常に利用していないと考えられるユーザの端末に対して、一時的にせよネットワークが利用できないように規制をかけ、正常に利用しているユーザに迷惑がかからないようにすることが必要である。正常に利用していないユーザの端末に対してネットワークの利用を規制することを、「ロックアウト」と呼ばれている。

情報通信サービスの加入者であるユーザのうち正常に利用していないユーザの端末に対して通信規制をかけるロックアウト制御技術の一例を説明する（特許文献１参照）。ＳＩＰサーバは、単位時間に受信する総ＩＮＶＩＴＥ信号数を計測し、計測した総ＩＮＶＩＴＥ信号数が閾値を越えると、ソースアドレス毎のＩＮＶＩＴＥ信号数を計測する。そして、計測したＩＮＶＩＴＥ信号数が特定の値を超えているソースアドレスの数が一定数より大きいと、ＤＤｏＳ（Distributed Denial of Service attack）攻撃であると判定し、ＩＮＶＩＴＥ信号数が特定の値を超えているソースアドレスに対して発信規制をかける。これにより、ＤＤｏＳを防ぎ、ＳＩＰサーバにかかるトラヒックを抑えることができる。

また、他のロックアウト制御技術としては、セッション制御装置に対するＩＰ（Internet Protocol）アドレス毎の所定監視期間の端末登録信号または／およびセッション確立要求信号数をカウントするなどしてＤＤｏＳ攻撃を検出し、ロックアウトをかけるものがある（特許文献２参照）。これにより、ＤＤｏＳを防ぎ、ＳＩＰサーバにかかるトラヒックを抑えることができる。
特開２００７−０６０３７９号公報 特開２００４−３２０６３６号公報

特許文献１に開示された方法では、発信規制をソースアドレスの装置に対してかけることから、同一のソースアドレスの装置の配下に複数の端末装置が接続されている場合、正常に利用しているその他の端末装置のトラヒックも一緒に抑えてしまうことになる。

また、特許文献２に開示された方法でも特許文献１の場合と同様に、同一のソースアドレスの装置の配下に複数の端末装置が接続されている場合、正常に利用しているその他の端末装置のトラヒックも一緒に抑えてしまうことになる。

これらのロックアウト制御技術では、１つのソースアドレスの装置の配下に複数の端末装置が接続されている場合、端末装置毎にロックアウト制御を行うことができないという問題がある。

本発明は上述したような技術が有する問題点を解決するためになされたものであり、１つのゲートウェイ装置の配下にある複数の端末装置について、端末装置毎にロックアウトすることが可能なサーバ装置および通信制御方法を提供することを目的とする。

上記目的を達成するための本発明のサーバ装置は、ネットワークを介してゲートウェイ装置と接続されるサーバ装置であって、
前記ネットワーク上で前記ゲートウェイ装置を特定するためのソースアドレスの情報と該ゲートウェイ装置に接続された複数の端末装置について端末装置間で異なる端末識別子の情報とを含む接続情報が格納された記憶部と、
前記複数の端末装置のうちいずれかの端末装置から前記ゲートウェイ装置を介して接続要求信号を受信すると、該接続要求信号のヘッダから送信元を示すソースアドレスおよび端末識別子を読み出して送信元の前記端末装置を特定し、該接続要求信号が通信規制対象であると判定すると、読み出したソースアドレスおよび端末識別子からなる組の情報を含む接続情報を前記記憶部で検索し、該組の情報を含む接続情報があることを認識すると、該組の情報の端末識別子で特定される端末装置に対して通信規制を実行する制御部と、
を有する構成である。

また、上記目的を達成するための通信制御方法は、ネットワークを介してゲートウェイ装置と接続されるサーバ装置による通信制御方法であって、
前記ネットワーク上で前記ゲートウェイ装置を特定するためのソースアドレスの情報と該ゲートウェイ装置に接続された前記複数の端末装置について端末装置間で異なる端末識別子の情報とを含む接続情報を記憶部に予め格納し、
前記複数の端末装置のうちいずれかの端末装置から前記ゲートウェイ装置を介して接続要求信号を受信すると、該接続要求信号のヘッダから送信元を示すソースアドレスおよび端末識別子を読み出して送信元の前記端末装置を特定し、
前記接続要求信号が通信規制対象であると判定すると、読み出したソースアドレスおよび端末識別子からなる組の情報を含む接続情報を前記記憶部で検索し、
検索の結果、前記組の情報を含む接続情報があることを認識すると、該組の情報の端末識別子で特定される端末装置に対して通信規制を実行するものである。

本発明によれば、１つのゲートウェイ装置の配下にある複数の端末装置について、端末装置毎に通信規制を実行できる。

本実施形態における通信システムの構成を説明する。

図１は本実施形態の通信システムの一構成例を示すブロック図である。

本実施形態の通信システムは、ＮＧＮ１と、ホームゲートウェイ（Home Gateway、以下ではＨＧＷと表記する）４とを有する。ＨＧＷ４は、ＮＧＮ１、端末装置５ａおよび端末装置５ｂに接続される。以下では、端末装置５ａおよび端末装置５ｂのうちいずれかを指定しないときは端末装置５と表記する。

ＨＧＷ４は、家庭内ネットワークとＮＧＮ１とのインタフェースをとるゲートウェイ装置である。ＨＧＷ４には、グローバルＩＰアドレスが付与されている。このアドレスが家庭の外部と信号を送受信する際のソースアドレスとなる。本実施形態では、説明を簡単にするために、ＨＧＷ４を１台とし、ＨＧＷ４に接続される端末装置を２台としているが、ＨＧＷ４が複数あってもよく、ＨＧＷ４に接続される端末装置の数も２台に限らない。

端末装置５は、利用者が操作する端末装置である。端末装置５は、ＩＰ電話機と同様に、パケットで音声データを送受信する機能を備えている。

ＮＧＮ１は、パケット転送層２と、サービス制御層３とを有するネットワークである。パケット転送層２は、ＳＳＥ２１およびＩＢＥ２２を含む、パケット転送機能を備えた装置の集合体である。サービス制御層３は、ＳＳＣ３１およびＩＳＣ３２を含む、各種のサービスを制御する機能を備えた装置の集合体である。本実施形態では、パケット転送層２にＳＳＥ２１およびＩＢＥ２２が設けられ、サービス制御層３にＳＳＣ３１およびＩＳＣ３２が設けられている。

ＳＳＥ２１は、ＨＧＷ４とパケットの送受信を行う転送装置である。ＩＢＥ２２は、ＮＧＮ１ではない他網（不図示）とパケットの送受信を行う転送装置である。ＩＳＣ３２は、中継系のセッション制御機能、他網との接続制御機能を有するサーバである。ＳＳＣ３１は、加入者系のセッション制御機能を有するサーバである。

次に、図１に示したＳＳＣ３１の構成を詳しく説明する。図２は図１に示したＳＳＣの一構成例を示すブロック図である。なお、本発明の特徴に関連する部分を説明し、通常のセッション制御機能に関連する構成ついて図に示すことおよびその詳細な説明を省略する。

ＳＳＣ３１は、外部から受信する接続要求信号について通信規制の対象とするか否かを判定する規制部３１１を有する。規制部３１１は、制御部３１１１、抽出部３１１２、実行部３１１３、通知部３１１４およびユーザ端末データベース（以下では、ユーザ端末ＤＢと表記する）３１１５を有する構成である。ＩＮＶＩＴＥメッセージのＳＩＰ信号は接続要求信号の一種である。

ユーザ端末ＤＢ３１１５は、ＨＧＷ４のグローバルＩＰアドレスとその配下にある端末装置の識別子とを対応させて記述した情報である接続情報を登録するための記憶部である。以下では、端末装置の識別子を端末ＩＤと称する。１つのＨＧＷ４の配下に接続される端末装置が複数ある場合には、端末ＩＤは端末装置間で異なっている。端末ＩＤは、端末の電話番号、ＵＲＬ（Uniform Resource Locators）、プライベートＩＰアドレスなどである。ＨＧＷ４のグローバルＩＰアドレスとともに登録される端末ＩＤの種類は１つに限らず、複数であってもよい。ＨＧＷ４が複数ある場合には、ＨＧＷ４毎に接続情報がユーザ端末ＤＢ３１１５に登録されている。

制御部３１１１は、規制部３１１内の抽出部３１１１２、実行部３１１３、通知部３１１４およびユーザ端末ＤＢ３１１５を制御する。制御部３１１１には、プログラムにしたがって所定の処理を実行するＣＰＵ（Central Processing Unit）（不図示）と、プログラムを格納するためのメモリ（不図示）とが設けられている。制御部３１１１は、通信規制対象の判定に関する情報である規制情報が外部から入力されると、通信規制の制御を開始する。通信規制対象の判定方法の例が、特許文献１および特許文献２に開示されている。

なお、外部から規制情報が入力されると一旦それをプログラムに組み込み、保守者からの制御開始の入力があると、通信規制の制御を開始するようにしてもよい。また、規制情報は、保守者により入力されてもよく、ＮＧＮ１内の他の装置から受信してもよい。

本実施形態では、通信規制の制御について２種類の動作モードがある。それは、端末装置毎にロックアウト制御を行うモードと、ソースアドレス単位でロックアウト制御を行うモードである。以下では、端末装置毎にロックアウト制御を行うモードを第１のモードと称し、ソースアドレス単位でロックアウト制御を行うモードを第２のモードと称する。

制御部３１１１は、通信規制対象の端末の情報を抽出部３１１２から受け取ると、実行部３１１３に通信規制を実行させ、アラームを保守者に通知する。その際、動作モードが第１のモードである場合、通信規制対象の端末の情報を実行部３１１３に通知する。動作モードが第２のモードである場合、ユーザ端末ＤＢ３１１５を参照して端末ＩＤと一緒に登録されたソースアドレスを読み出して実行部３１１３に通知するとともに、接続情報を参照して通信規制対象以外の端末の端末ＩＤを通知部３１１４に送信する。

また、制御部３１１１は、保守者から動作モードの変更を指示する旨の入力があると、実行している動作モードを他の動作モードに変更する。さらに、保守者から通信規制を解除する旨の指示が入力されると、実行部３１１３に通信規制の解除を指示する。

抽出部３１１２は、外部から受信するＳＩＰ信号からソースアドレスおよび端末ＩＤをヘッダから読み出して送信元を特定する。送信元を特定したＳＩＰ信号が通信規制すべき対象となるか否かの判定を規制情報に基づいて実行する。通信規制すべきものと判定すると、通信規制の原因となるＳＩＰ信号を送信した端末装置を特定する。具体的には、次のようにして特定する。

ＳＩＰ信号のヘッダにはＨＧＷ４のソースアドレスが記述されている。また、ＳＩＰ信号のヘッダに含まれるＳＤＰ（Session Description Protocol）には、そのＳＩＰ信号を送出した端末装置５の端末ＩＤが記述されている。抽出部３１１２は、ユーザ端末ＤＢ３１１５に登録された接続情報と、ＳＩＰ信号のヘッダに記述されたグローバルＩＰアドレスおよび端末ＩＤの組の情報とを比較し、その組の情報を含む接続情報を見つけると、その端末ＩＤの端末を通信規制すべき端末として特定する。

ここで、抽出部３１１２がＨＧＷ４のソースアドレスと端末ＩＤからなる組の情報を含む接続情報をユーザ端末ＤＢ３１１５内で検索する理由を説明する。端末ＩＤが、どのＨＧＷ４の配下に接続されても端末装置間で異なっている電話番号であれば、抽出部３１１２はユーザ端末ＤＢ３１１５を参照しなくても端末装置を特定できる。しかし、端末ＩＤがプライベートＩＰアドレスであると、異なるＨＧＷ４の配下に同じプライベートＩＰアドレスを持つ端末が他にも存在する場合がある。そのため、抽出部３１１２は、ユーザ端末ＤＢ３１１５を参照して、ソースアドレスと端末ＩＤの組の情報を含む接続情報を特定し、最終的に通信規制の対象となる端末を特定する必要がある。

実行部３１１３は、制御部３１１１から端末ＩＤの情報を受け取ると、その端末ＩＤがヘッダのＳＤＰに書き込まれたＳＩＰ信号を廃棄し、制御部３１１１からソースアドレスの情報を受け取ると、そのソースアドレスがヘッダに書き込まれたＳＩＰ信号を廃棄する。また、制御部３１１１から通信規制を解除する旨の指示を受け取ると、通信規制対象のＳＩＰ信号の廃棄をやめる。

通知部３１１４は、制御部３１１１から端末ＩＤの情報を受け取ると、通信規制している旨のメッセージをその端末ＩＤ宛に送信する。

次に、本実施形態の通信システムの動作について説明する。

図３および図４は本実施形態の通信システムの動作手順を示すシーケンス図である。図３は動作モードが第１のモードの場合であり、図４は動作モードが第２のモードの場合である。ここでは、端末装置５ａが通信規制の原因となるＳＩＰ信号を発信する場合とする。ＳＳＥ２１を図３および図４に示すことを省略している。

はじめに、図３を参照して、動作モードが第１のモードの場合を説明する。

ユーザが端末装置５ｂを操作して、他網に接続された端末装置（不図示）に電話をかけると、端末装置５ｂは、送信元を示す情報として自分の端末ＩＤを記述したＳＤＰをヘッダに含むＩＮＶＩＴＥメッセージのＳＩＰ信号をＨＧＷ４に送信する（ステップＡ１）。ＨＧＷ４は、端末装置５ｂから受信したＳＩＰ信号のヘッダに、送信元を示す情報として自分のＩＰアドレスを書き込んでＳＳＥ２１を介してＳＳＣ３１に送信する（ステップＡ２）。

一方、端末装置５ａのユーザが正常でない利用の仕方で端末装置５ａを操作することで、端末装置５ａが通信規制の原因となるＳＩＰ信号をＨＧＷ４に送信する（ステップＡ３）。その際、端末装置５ａは送信元を示す情報として自分の端末ＩＤを記述したＳＤＰをＳＩＰ信号のヘッダに挿入する。ＨＧＷ４は、端末装置５ａから受信したＳＩＰ信号のヘッダに、送信元を示す情報として自分のＩＰアドレスを書き込んでＳＳＥ２１を介してＳＳＣ３１に送信する（ステップＡ４）。

ＳＳＣ３１の規制部３１１は、ＳＳＥ２１から複数のＳＩＰ信号を受信すると（ステップＡ５）、各ＳＩＰ信号のヘッダに記述されたソースアドレスとＳＤＰに記述された端末ＩＤとを読み出す。読み出したソースアドレスおよび端末ＩＤからなる組の情報に対応してＳＩＰ信号を分類し、規制情報に基づいて通信規制の原因となるＳＩＰ信号があるか否かを判定する。そして、通信規制の原因となるＳＩＰ信号があると、そのＳＩＰ信号の送信元を示す組の情報を含む接続情報をユーザ端末ＤＢ３１１５内で検索する。

続いて、規制部３１１は、その組の情報を含む接続情報をユーザ端末ＤＢ３１１５で見つけると、組の情報の端末ＩＤで特定される端末装置５ａを通信規制の対象とする（ステップＡ６）。そして、特定した端末装置５ａに対して通信規制を実行する（ステップＡ７）。ここでの通信規制とは、端末装置５ａから受信するＳＩＰ信号をその宛先に転送せず、廃棄することである。直接に端末装置５ａに対して処理を行うわけではないので、図３には、端末装置５ａに対して通信規制していることを破線で示している。

次に、図４を参照して、動作モードが第２のモードの場合を説明する。なお、ステップＢ１からＢ６までは、図３で説明したステップＡ１からＡ６までと同様な処理になるため、その説明を省略する。

ＳＳＣ３１の規制部３１１は、ステップＢ６で通信規制対象の端末装置５ａを特定すると、特定した端末装置５ａの上位装置であるＨＧＷ４に対して通信規制を実行する（ステップＢ７）。通信規制は、ＨＧＷ４から受信するＳＩＰ信号をその宛先に転送せず、廃棄することである。図３と同様の理由で図４には、ＨＧＷ４に対して通信規制していることを破線で示している。

続いて、規制部３１１は、ユーザ端末ＤＢ３１１５の接続情報を参照し、ＨＧＷ４に接続された端末装置を調べる。本実施形態では、ＨＧＷ４に端末装置５ａ，５ｂが接続されていることから、規制部３１１は、通信規制対象の端末装置５ａ以外の端末装置５ｂに対して、通信規制している旨のメッセージを送信する（ステップＢ８）。

本実施形態によれば、ソースアドレスおよび端末識別子の情報に基づいて通信規制対象となる端末装置を特定しているので、１つのソースアドレスのゲートウェイ装置の配下にある複数の端末装置について、端末装置毎にロックアウト制御を行うことが可能になる。

また、ソースアドレスのゲートウェイ装置に対してロックアウト制御を行った場合は、ロックアウトの原因となるＳＩＰ信号を送信していない端末装置に対して、通信規制状態にあることを通知することが可能になる。

また、１つの端末装置について複数種の端末ＩＤが接続情報に登録されていれば、ＳＩＰ信号のＳＤＰにいずれの端末ＩＤが書き込まれていても、端末を特定することが可能となる。

なお、上述の実施形態では、説明を簡単にするためにＳＳＥ２１、ＩＢＥ２２、ＳＳＣ３１、ＩＳＣ３２およびＨＧＷ４をそれぞれ１台としたが、各装置が複数設けられていてもよい。また、１台の装置が他の装置の機能を備えていてもよい。例えば、ＳＳＥ２１およびＳＳＣ３１を別々に設けるのではなく、ＳＳＥ２１およびＳＳＣ３１が一体になった装置を設けてもよい。

また、通知部３１１４、実行部３１１３および抽出部３１１２のそれぞれは専用の回路で構成してもよく、制御部３１１１と同様に、ＣＰＵがプログラムを実行することで構成されるものとしてもよい。さらに、規制部３１１内の通知部３１１４、実行部３１１３、抽出部３１１２および制御部３１１１について、これらの機能を１つにまとめた制御部としてもよい。

本実施形態の通信システムの一構成例を示すブロック図である。 図１に示したＳＳＣの一構成例を示すブロック図である。 本実施形態の通信システムの動作手順を示すシーケンス図である。 本実施形態の通信システムの別の動作手順を示すシーケンス図である。

符号の説明

１ ＮＧＮ
４ ＨＧＷ
３１ ＳＳＣ
３１１ 規制部

Claims (6)

1. ネットワークを介してゲートウェイ装置と接続されるサーバ装置であって、
   前記ネットワーク上で前記ゲートウェイ装置を特定するためのソースアドレスの情報と該ゲートウェイ装置に接続された複数の端末装置について端末装置間で異なる端末識別子の情報とを含む接続情報が格納された記憶部と、
   前記複数の端末装置のうちいずれかの端末装置から前記ゲートウェイ装置を介して接続要求信号を受信すると、該接続要求信号のヘッダから送信元を示すソースアドレスおよび端末識別子を読み出して送信元の前記端末装置を特定し、該接続要求信号が通信規制対象であると判定すると、読み出したソースアドレスおよび端末識別子からなる組の情報を含む接続情報を前記記憶部で検索し、該組の情報を含む接続情報があることを認識すると、該組の情報の端末識別子で特定される端末装置に対して通信規制を実行する制御部と、
   を有するサーバ装置。
2. 前記通信規制は、特定した端末装置から受信する前記接続要求信号を転送せずに廃棄するものである、請求項１記載のサーバ装置。
3. 前記ネットワークに複数の前記ゲートウェイ装置が接続され、
   前記記憶部に、複数の前記ゲートウェイ装置のそれぞれに対応する前記接続情報が格納された請求項１または２記載のサーバ装置。
4. ネットワークを介してゲートウェイ装置と接続されるサーバ装置による通信制御方法であって、
   前記ネットワーク上で前記ゲートウェイ装置を特定するためのソースアドレスの情報と該ゲートウェイ装置に接続された前記複数の端末装置について端末装置間で異なる端末識別子の情報とを含む接続情報を記憶部に予め格納し、
   前記複数の端末装置のうちいずれかの端末装置から前記ゲートウェイ装置を介して接続要求信号を受信すると、該接続要求信号のヘッダから送信元を示すソースアドレスおよび端末識別子を読み出して送信元の前記端末装置を特定し、
   前記接続要求信号が通信規制対象であると判定すると、読み出したソースアドレスおよび端末識別子からなる組の情報を含む接続情報を前記記憶部で検索し、
   検索の結果、前記組の情報を含む接続情報があることを認識すると、該組の情報の端末識別子で特定される端末装置に対して通信規制を実行する、通信制御方法。
5. 前記通信規制は、特定した端末装置から受信する前記接続要求信号を転送せずに廃棄するものである、請求項４記載の通信制御方法。
6. 前記ネットワークに複数の前記ゲートウェイ装置が接続されていると、複数の前記ゲートウェイ装置のそれぞれに対応する前記接続情報を前記記憶部に予め格納する請求項４または５記載の通信制御方法。

Images