JP2009532919A5 - - Google Patents

Claims (14)

1. アプリケーションを識別するためにネットワーク・アドレス、プロトコル、およびポート番号を使用するネットワーク・プロトコルにおける重複ソースを防止する方法であって、
   ａ）サーバでパケットを受信するステップと、
   ｂ）前記パケットがネットワーク・アドレス・ポート変換器（ＮＡＰＴ）によって変換されており且つＩＰｓｅｃカプセル化されたパケットを含むかどうかを判断するステップと、
   ｃ）前記パケットが変換されており且つＩＰｓｅｃカプセル化されたパケットを含むことに応じて、前記パケットの送信者に関する元の接続情報を取得するために前記パケットを処理し、そしてＮＡＰＴによって変換された接続情報と前記元の接続情報との間のアソシエーションのためのソース・ポート・マッピング・テーブル（ＳＰＭＴ）を検索するステップと、
   ｄ）ステップｃ）の結果が重複ソースであることを表すことに応じて、前記パケットを拒絶するステップであって、前記元の接続情報が、前記ＳＰＭＴにおいて合致し且つ前記パケット中に含まれる前記ＮＡＰＴによって変換された前記接続情報に前記ＳＰＭＴにおいて関連付けられていないことに応じて、前記重複ソースであることが表される、前記拒絶するステップと
   を含む、前記方法。
2. 前記ソース・ポート・マッピング・テーブルは、
   クライアントとサーバとの間のセキュリティ・アソシエーションが交渉される場合に作成されるＮＡＰＴホスト・エントリと、
   非重複ソース・パケットが重複ソースを検出するために使用される前記ソース・ポート・エントリと前記ＮＡＰＴホスト・エントリとの間のマッピングを備える既存のエントリがない場所から到着すると作成されるソース・ポート・エントリと
   を含む、請求項１に記載の方法。
3. 前記ソース・ポート・マッピング・テーブル内にＮＯ ＩＰＳＥＣ／ＮＡＰＴホスト・エントリを確立して、請求項１のステップｂ）を失敗したすべての受信パケットを示して、ソース・ポート・エントリを有しないすべての受信パケットを表して、ソース・ポート・エントリを有しないすべての受信パケットについてのソース・ポート・エントリを作成し、
   前記ソース・ポート・エントリをＮＯ ＩＰＳＥＣ／ＮＡＰＴホスト・エントリにマッピングし、
   前記ＮＯ ＩＰＳＥＣ／ＮＡＰＴホスト・エントリにマッピングされていない前記ソース・ポート・マッピング・テーブル内にソース・ポート・エントリを既に有する受信パケットのいずれかを拒絶するステップと
   をさらに含む、請求項２に記載の方法。
4. アプリケーションを識別するためにネットワーク・アドレス、プロトコル、およびポート番号を使用するネットワーク・プロトコルにおける重複ソースを防止する方法であって、
   ａ）サーバでパケットを受信するステップと、
   ｂ）前記パケットがＩＰｓｅｃカプセル化されたパケットかどうかを判断するステップと、
   ｃ）前記パケットがＩＰｓｅｃカプセル化されたパケットであることに応じて、前記パケットの送信パスがネットワーク・アドレス・ポート変換器（ＮＡＰＴ）を含むかどうかを判断するステップと、
   ｄ）前記送信パスがＮＡＰＴを含むことに応じて、前記ＩＰｓｅｃカプセル化されたパケットを復号化して、前記パケットの送信者に関する元のソース・ポート番号及び元のパケット・プロトコルを取得するステップと、
   ｅ）前記ＮＡＰＴソース・アドレスと、前記元のソース・ポートと、前記ＮＡＰＴソース・アドレスおよびポート番号に対する前記元のパケット・プロトコルとの間のアソシエーションのためのソース・ポート・マッピング・テーブル（ＳＰＭＴ）を検索するステップと、
   ｆ）前記パケット内に含まれるのとは異なる元のポート番号に対するアソシエーションがステップｅ）で見つかると、前記ＩＰｓｅｃカプセル化されたパケットを拒絶するステップと
   を含む、前記方法。
5. ステップｂ）は、ユーザ・データグラム・プロトコル（ＵＤＰ）ヘッダによってカプセル化されたカプセル化セキュリティ・ペイロード（ＥＳＰ）を含むかどうかを判断するステップをさらに含む、請求項４に記載の方法。
6. 前記カプセル化されたＵＤＰヘッダは、４５００以外のソース・ポート・番号と、４５０に等しい宛先ポート番号を含むかどうかを判断するステップをさらに含む、請求項４に記載の方法。
7. インターネット・ホストからのインターネット鍵交換（ＩＫＥ）メッセージに応答して、前記サーバにおける前記ＳＰＭＴ内に、前記ＮＡＰＴの前記ソース・アドレスと、前記ＮＡＰＴによって割り当てられた前記ソース・ポート番号とをそれぞれ含む複数のネットワーク・アドレス変換器（ＮＡＰＴ）ホスト・エントリを動的に構築するステップをさらに含む、請求項４に記載の方法。
8. ＩＰｓｅｃパケットが到着して処理されると、前記ＳＰＭＴ内に、ＮＡＰＴのソース・アドレスと、元のソース・ポート番号と、元のプロトコルとをそれぞれ含む複数のソース・ポート・エントリを動的に構築するステップと、前記ソース・ポート・エントリと前記ＳＰＭＴの前記ＮＡＰＴホスト・エントリとの間のアソシエーションを確立するステップとをさらに含む、請求項７に記載の方法。
9. 前記アソシエーションを確立するステップは、アソシエーションがないＩＰｓｅｃパケットが到着することに応じて、各アソシエーションを動的に確立するステップをさらに含む、請求項８に記載の方法。
10. 単一のホスト「ＮＯ ＩＰＳＥＣ／ＮＡＰＴ」エントリを前記ＳＰＭＴに追加して、ＥＳＰヘッダを含まないかまたはＮＡＰＴを通過していないすべてのパケットを関連付けるステップと、
    ＥＳＰヘッダを含まないかまたはＮＡＰＴを通過しておらず、且つアソシエーションを有しないパケットが到着することに応じて、前記ＳＰＭＴのソース・ポート・エントリと、前記「ＮＯ ＩＰＳＥＣ／ＮＡＰＴ」エントリとの間のアソシエーションを形成するステップと、
    前記「ＮＯ ＩＰＳＥＣ／ＮＡＰＴ」エントリをポイントしない前記合致ソース・ポート・エントリについて確立されたアソシエーションが既にあることに応じて、ＥＳＰヘッダを含まないかまたはＮＡＰＴを通過していないパケットを拒絶するステップと
    をさらに含む、請求項９に記載の方法。
11. 到着パケットの送信パスがＮＡＰＴを含まないか、前記到着パケットがＩＰｓｅｃパケットでないことに応じて、規則のセキュリティ・テーブルを検索して、前記パケットの拒絶または受け入れを司る合致規則を見つけるステップと、
    前記パケットがＩＰｓｅｃパケットであって前記合致規則がＩＰｓｅｃ処理を必要としないことに応じて、前記パケットを拒絶するステップと、
    前記パケットがＩＰｓｅｃパケットでなく且つ前記合致規則がＩＰｓｅｃ処理を必要とすることに応じて、前記パケットを拒絶するステップと
    をさらに含む、請求項４に記載の方法。
12. コンピュータに、請求項１〜１１のいずれか１項に記載の方法の各ステップを実行させるコンピュータ・プログラム。
13. アプリケーションを識別するためにネットワーク・アドレス、プロトコル、およびポート番号を使用するネットワーク・プロトコルにおける重複ソースを防止するための装置であって、
    ａ）サーバでパケットを受信するための手段と、
    ｂ）前記パケットがネットワーク・アドレス・ポート変換器（ＮＡＰＴ）によって変換されており且つＩＰｓｅｃカプセル化されたパケットを含むかどうかを判断するための手段と、
    ｃ）前記パケットが変換されており且つＩＰｓｅｃカプセル化されたパケットを含むことに応じて、前記パケットの送信者に関する元の接続情報を取得するために前記パケットを処理し、そしてＮＡＰＴによって変換された接続情報と前記元の接続情報との間のアソシエーションのためのソース・ポート・マッピング・テーブル（ＳＰＭＴ）を検索する手段と、
    ｄ）前記ＳＰＭＴが重複ソースであることを表すことに応じて、前記パケットを拒絶するための手段あって、前記元の接続情報が、前記ＳＰＭＴにおいて合致し且つ前記パケット中に含まれる前記ＮＡＰＴによって変換された前記接続情報に前記ＳＰＭＴにおいて関連付けられていないことに応じて、前記重複ソースであることが表される、前記拒絶するための手段と
    を備える、前記装置。
14. アプリケーションを識別するためにネットワーク・アドレス、プロトコル、およびポート番号を使用するネットワーク・プロトコルにおける重複ソースを防止するための装置であって、
    ａ）サーバでパケットを受信するための手段と、
    ｂ）前記パケットがＩＰｓｅｃカプセル化されたパケットかどうかを判断するための手段と、
    ｃ）前記パケットがＩＰｓｅｃカプセル化されたパケットであることに応じて、前記パケットの送信パスがネットワーク・アドレス・ポート変換器（ＮＡＰＴ）を含むかどうかを判断するための手段と、
    ｄ）前記送信パスがＮＡＰＴを含むことに応じて、前記ＩＰｓｅｃカプセル化されたパケットを復号化して、前記パケットの送信者に関する元のソース・ポート番号及び元のパケット・プロトコルを取得するための手段と、
    ｅ）前記ＮＡＰＴソース・アドレスと、前記元のソース・ポートと、前記ＮＡＰＴソース・アドレスおよびポート番号に対する前記元のパケット・プロトコルとの間のアソシエーションのためのソース・ポート・マッピング・テーブル（ＳＰＭＴ）を検索するための手段と、
    ｆ）前記パケット内に含まれるのとは異なる元のポート番号であるアソシエーションが見つかると、前記ＩＰｓｅｃカプセル化されたパケットを拒絶するための手段と
    を備える、前記装置。