JP2009260901A

JP2009260901A - Ｈｔｔｐおよびｈｔｔｐｓ通信を経由した各種全二重通信の実現手段

Info

Publication number: JP2009260901A
Application number: JP2008132500A
Authority: JP
Inventors: Akio Yamamoto; 明生山本
Original assignee: SHIMOUSA SYSTEMS KK
Current assignee: SHIMOUSA SYSTEMS KK
Priority date: 2008-04-20
Filing date: 2008-04-20
Publication date: 2009-11-05

Abstract

【課題】ＨＴＴＰおよびＨＴＴＰＳに準拠した通信以外は許可されない環境において、各種全二重通信を行いたい。
【解決手段】ＨＴＴＰおよびＨＴＴＰＳに準拠した通信以外は許可されない通信路部分の両側にプロトコル変換機構Ａとプロトコル変換機構Ｂを配備し、ＨＴＴＰおよびＨＴＴＰＳに準拠したプロトコルに変換する事により、各種全二重通信を可能にする。
【選択図】図３

Description

本発明は要求、応答モデルにしたがった通信プロトコルであるＨＴＴＰおよびＨＴＴＰＳ通信を中経路として用いながら、任意のタイミングで双方からデータを送信する事を可能とするしくみである。

近年、インターネットの為に策定されたＩＰ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ）がインターネットのみならず、企業内のネットワークでも広く活用されている。
ＲＦＣ７９１

また、現在ではＩＰを用いた通信のうち、Ｗｅｂシステムの為に考案されたＨＴＴＰ（ＨｙｐｅｒｔｅｘｔＴｒａｎｓｆｅｒＰｒｏｔｏｃｏｌ）、およびその暗号化通信方式であるＨＴＴＰＳ（ＨｙｐｅｒｔｅｘｔＴｒａｎｓｆｅｒＰｒｏｔｏｃｏｌＳｅｃｕｒｉｔｙ）が占める割合が大きくなってきた。
ＲＦＣ１９４５ＲＦＣ２０６８ＲＦＣ２６１６

このような状況の中、企業内やＩＳＰにおいてはＷｅｂプロキシサーバやアノマリ型侵入検知システムといった、特定の通信以外を許可しない中継器が増加している。

クライアントとサーバの間にＷｅｂリバースプロキシサーバが存在する場合、両者の間ではＨＴＴＰおよびＨＴＴＰＳに準拠した通信以外は許可されない。

クライアントとサーバの間にＷｅｂプロキシサーバが存在する場合も、両者の間ではＨＴＴＰおよびＨＴＴＰＳに準拠した通信以外は許可されない。

クライアントとサーバの間にアノマリ型侵入検知システムが存在する場合も、両者の間ではＨＴＴＰおよびＨＴＴＰＳに準拠した通信以外は許可されない。

また、上記の３つの状況のうち、複数の状況が重なる場合も同様である。

上記の状況にてＨＴＴＰおよびＨＴＴＰＳに準拠した通信以外が許可されない原因を以下に説明する。まず、１個の要求電文に対する応答は１個でなければならない。このため、リバースプロキシにおいてみられる動きとして、クライアントから２個の要求電文が連続して送られると、１個目の応答電文が返信されてから、はじめて２個目の要求電文がサーバへと送られる。また、１個の要求電文に対して２個以上の応答電文が連続して返信されるとアノマリ型侵入検知システムでは異常とみなし、接続を遮断するケースが存在する。このため、任意のタイミングで双方からデータを送信する事は困難である。

上記のいずれの状況においても、ＴＣＰ通信、ＵＤＰ通信、イーサネット通信をはじめとする各種全二重通信を可能にすることを本発明の課題とする。本発明における全二重通信とは、双方から任意のタイミングにてデータを送信できる通信の形態を指すものとする。

本発明では、図３の様に目的とする全二重通信本来のクライアントとの間で、目的とする通信方式が自由に利用できる位置にプロトコル変換機構Ａを設置。目的とする全二重通信本来のサーバとの間で、目的とする通信方式が自由に利用可能な位置にプロトコル変換機構Ｂを設置する事で、両変換機構間にＷｅｂリバースプロキシサーバ、Ｗｅｂプロキシサーバ、およびアノマリ型侵入検知システムが存在する場合にも各種全二重通信を可能にする。

プロトコル変換機構Ａとプロトコル変換機構Ｂの間では送信用と受信用各１つ以上の独立したＨＴＴＰセッションを確立する。送信用セッションではもっぱらクライアント側からサーバ側へのデータ送信を処理する。これに対し受信用セッションではもっぱらサーバ側からクライアント側へのデータ受信を処理する。

ＨＴＴＰ通信において通常は１電文の大きさはＨＴＴＰヘッダ内にて定義される為、いつ送信が完了するかわからない通信には向いていない。しかしながら、ＨＴＴＰ１．１にて定義されたｃｈｕｎｋｅｄ転送方式を利用すると、１電文の中にｃｈｕｎｋという塊を複数格納する事が可能となる。各ｃｈｕｎｋのサイズはその先頭に付加されたサイズ指示子によって行われ、最終的な１電文の大きさが分かるのはこのサイズ指示子が０である部分を読み取った時となるため、この方式を用いれば片方向通信に関しては任意のタイミングでデータを順次送信する事が可能となる。

本発明では、送信用セッション、受信用セッションともにデータ伝送に際してはＨＴＴＰ１．１にて定義されているｃｈｕｎｋｅｄ転送方式を利用する。図１は送信用セッションにおけるｃｈｕｎｋｅｄ転送方式の利用形態、また、図２は受信用セッションにおける転送方式の利用形態を説明している。受信用セッションではセッションの準備時に、ＨＴＴＰ要求ヘッダをプロトコル変換機構Ｂ側に送信し、以降、任意のタイミングでプロトコル変換機構Ｂ側からプロトコル変換機構Ａ側に送信する事が可能な状態を保持する。この転送方式はＨＴＴＰおよびＨＴＴＰＳに完全準拠している為、Ｗｅｂリバースプロキシ、Ｗｅｂプロキシサーバ、アノマリ型侵入検知システムによって通信が拒否、遮断される事はない。

最後に図３に示す様に、プロトコル変換機構Ａおよびプロトコル変換機構Ｂでは、それぞれＨＴＴＰ処理機構と反対側に各種全二重通信用のポートを設け、プロトコル変換を行う。これはＨＴＴＰの部分がＨＴＴＰＳになっても同様の構造となる。

本発明によりＨＴＴＰおよびＨＴＴＰＳのみ利用可能な通信路上で各種全二重通信を行う事が可能となるほか，ユーザ毎の利用可能通信種別や通信先サーバ（以降、サービスという）の管理を集約できる。

本件発明の具体的な実装においては、まずクライアント側にはＰＣ上にプロトコル変換機構Ａを小さなプログラムとして配備する。このためにはプログラムをインストールする方法の他、ＵＳＢメモリに格納して起動させるという方法もあり得る。

次に、サーバ側はＷｅｂリバースプロキシと同一のサーバマシン内、もしくは隣接するサーバ上にプロトコル変換機構Ｂを配備し、ここに各ユーザと利用可能サービスの対応表を持たせる事により、プロトコル変換機能の他にもアクセス管理の集約という役割を持たせる。

上記の方法により、図４の様に目的とする全二重通信本来のクライアントとサーバの間にＷｅｂプロキシサーバ、Ｗｅｂリバースプロキシサーバ、およびアノマリ型侵入検知システムが存在する環境においても目的とする全二重通信を中継可能とする。

本発明により、企業内ネットワークに設置された各種システムを社外から利用する際にＷｅｂリバースプロキシにおいて中経路を絞り込み、管理を集約できるようになる他、各種システムへの接続許可を接続アカウント毎に管理する機能もプロトコル変換機構Ｂ上に集約できる。

また、クライアント側にＷｅｂプロキシが設置されていて、これを経由しなければインターネット経由の通信ができないという場合にも本発明における通信方法を用いて通信を行う事が可能となるため、利用できる環境、できない環境の説明に掛かる管理コストも削減できる。

プロトコル変換機構Ａからプロトコル変換機構Ｂへの送信用セッションプロトコル変換機構Ｂからプロトコル変換機構Ａへの受信用セッションプロトコル変換機構を中心としたセッション概要図関連ノードを配置した全体構成図

Claims

サーバ設置側にはＷｅｂリバースプロキシが設置された環境において、ＨＴＴＰもしくはその暗号化通信であるＨＴＴＰＳを用いて、双方から任意のタイミングでデータを送信する事が可能な全二重通信を可能にするしくみ。
クライアント設置側にＷｅｂプロキシが設置された環境において、ＨＴＴＰもしくはその暗号化通信であるＨＴＴＰＳを用いて、双方から任意のタイミングでデータを送信する事が可能な全二重通信を可能にするしくみ。
伝送経路の中にアノマリ型ファイアウォールが設置された環境において、ＨＴＴＰもしくはその暗号化通信であるＨＴＴＰＳを用いて、双方から任意のタイミングでデータを送信する事が可能な全二重通信を可能にするしくみ。