JP2010056665A - ユーザ識別型リバースプロキシー装置、そのデータ中継方法、およびそのプログラム - Google Patents

Abstract

【課題】リバースプロキシー装置において、送信ユーザ毎に宛先ｗｅｂサーバを一意に指定する技術を提供する。
【解決手段】リバースプロキシー装置は、ホスト識別子変換手段と転送手段とを備える。ホスト識別子変換手段が、第一のネットワークから受信したハイパーテキスト転送プロトコルデータに記述された、ホスト識別子とディレクトリ識別子を含んで構成される宛先統一資源位置指定子２−１のうち、ディレクトリ識別子の内容に応じて宛先ホスト識別子を特定し、宛先統一資源位置指定子２−１に記述されたホスト識別子を、特定した宛先ホスト識別子に変換する。転送手段が、ホスト識別子が変換された宛先統一資源位置指定子２−２が記述されたハイパーテキスト転送プロトコルデータを、転送手段が第二のネットワークに転送する。
【選択図】図２

Description

本発明は、ＷＷＷ（World Wide Web）に代表されるようなハイパーテキスト転送プロトコルでデータ通信を行うインターネット通信技術を構成する技術である。特に、インターネット通信分野のうち、企業内に閉じたイントラネットから、企業外のＶＰＮ（Virtual Private Network）にセキュアにアクセスするためのＶＰＮ通信分野に属する。

従来のリバースプロキシー装置は、ユーザとｗｅｂサーバ間でのハイパーテキスト転送プロトコルによる中継装置に位置づけられ、主としてａｐａｃｈｅやｓｑｕｉｄと呼ばれるプログラムを用いて実現されている。

ユーザは、宛先統一資源位置指定子のホスト識別子にリバースプロキシー装置の識別子を記述して、リバースプロキシー装置宛にデータを送信する。リバースプロキシー装置は、自宛のホスト識別子を、実際のｗｅｂサーバのホスト識別子に変換して、データをｗｅｂサーバ宛に転送する。この際、データ中継毎に異なるｗｅｂサーバのホスト識別子に変換してデータ転送することで、複数のｗｅｂサーバ間での負荷分散も可能となる。

リバースプロキシー装置を用いることで、ユーザにはｗｅｂサーバのホスト識別子が隠蔽されるため、セキュリティ的にも効果があるとされている。

リバースプロキシー装置について記載された文献としては、例えば非特許文献１、２がある。

負荷分散制御アルゴリズムの性能評価と適用領域、Performance Evaluation of a Load Balancing Routing Algorithm for a Cache Server Array、巳波弘佳、熊谷和則、能上慎也、阿部威郎、電子情報通信学会技術研究報告、ＮＳ、ネットワークシステム、IEICE technical report、Ｖｏｌ．１０１、Ｎｏ．８（２００１０４１２）、ｐｐ．１５−２０、ＮＳ２００１−３、社団法人電子情報通信学会、ＩＳＳＮ：０９１３５６８５ 通知によるコンテンツ一斉公開機構を用いたＷＷＷクラスタシステム、西馬一郎、河合栄治、知念賢一、山口英、山本平一、情報処理学会論文誌、Transactions of Information Processing Society of Japan、Ｖｏｌ．４３、Ｎｏ．１１（２００２１１１５）、ｐｐ．３４３９−３４４７、社団法人情報処理学会、ＩＳＳＮ：０３８７５８０６

従来のリバースプロキシー装置では、転送先のｗｅｂサーバを複数指定することが可能であった。しかし、ユーザ毎に個別のｗｅｂサーバを用意しても、単一のリバースプロキシー装置において、送信ユーザ毎に宛先ｗｅｂサーバを一意に指定して転送することができなかった。

例えば、ネットワークの構成例として、第一のネットワークを企業のイントラネットと位置付けてユーザを配置し、第二のネットワークをアプリケーションサービスプロバイダのネットワークと位置づけてｗｅｂサーバを配置した上で、第一のネットワークと第二のネットワークをリバースプロキシー装置のみを介して相互接続する構成がある。この構成では、第一のネットワーク内では、第二のネットワーク内でのｗｅｂサーバの増設等にかかわらず、リバースプロキシー装置宛の統一資源位置指定子におけるホスト識別子とアドレスのみ管理しておけば良い。一方で、第二のネットワーク内では、第一のネットワークに影響を与えることなくｗｅｂサーバの増設が行える。

しかし、単一のリバースプロキシー装置において、送信ユーザ毎に宛先ｗｅｂサーバを一意に指定して転送することができなかったため、第二のネットワークでユーザ毎に個別のｗｅｂサーバを用意してサービス提供を行うことができなかった。そこで、本発明では、送信ユーザ毎に宛先ｗｅｂサーバを一意に指定することを解決すべき課題とする。

本明細書において開示される発明のうち、代表的なものの概要を簡単に説明すれば、以下のとおりである。

請求項１の発明では、リバースプロキシー装置に対して、ホスト識別子とディレクトリ識別子を含んで構成される宛先統一資源位置指定子のうち、ホスト識別子を変換する際に、ディレクトリ識別子の内容に応じて異なるホスト識別子を特定し変換する機能を付加することで、送信ユーザ毎に宛先ｗｅｂサーバを一意に指定することを実現する。

また、請求項２の発明では、ディレクトリ識別子からユーザ識別子を抽出した上で、ユーザ識別子から宛先ホスト識別子を特定することで、送信ユーザ毎に宛先ｗｅｂサーバを一意に指定することを実現する。

さらに、請求項３の発明では、変換テーブルを参照してユーザ識別子から宛先ホスト識別子を特定する。

さらに、請求項４の発明では、第一のネットワークおよび第二のネットワークへハイパーテキスト転送プロトコルデータを送出する際に、それぞれ異なるアドレス解決サーバを参照して宛先のアドレスを特定する機能を有することで、異なるネットワーク間をリバースプロキシー装置を介して相互接続した条件の下で、送信ユーザ毎に宛先ｗｅｂサーバを一意に指定することを実現する。

さらに、請求項５の発明は、請求項１の発明の内容を実現するデータ中継方法であり、請求項６の発明は、請求項１ないし４のうちいずれか１項に記載のリバースプロキシー装置として、コンピュータを機能させるためのプログラムである。

本発明により、単一のリバースプロキシー装置において、送信ユーザ毎に宛先ｗｅｂサーバを一意に指定して転送することが可能となる。

本発明の構成例について説明する。

図１は、本発明の実施形態のネットワーク構成を示す。１−１はネットワーク、１−２はＶＰＮ＃１、１−３はＶＰＮ＃２、１−４はＶＰＮ＃３である。１−５は本発明の実施形態のユーザ識別型リバースプロキシー装置である。１−６はユーザ＃１（より正確にはユーザ＃１の端末）、１−７はユーザ＃２（より正確にはユーザ＃２の端末）である。１−８はＤＮＳ＃１、１−９はＤＮＳ＃２、１−１０はＤＮＳ＃３である。ＤＮＳ＃１〜＃３はＤＮＳ（Domain Name System）サーバであり、ネームとＩＰ（Internet Protocol）アドレスの対応関係を管理している。１−１１はサーバ＃１、１−１２はサーバ＃２、１−１３はサーバ＃３、１−１４はサーバ＃４である。

この構成では、ネットワーク１−１がＶＰＮ＃１、ＶＰＮ＃２、およびＶＰＮ＃３で構成される。

ＶＰＮ＃１はユーザ＃１、ユーザ＃２、およびＤＮＳ＃１を収容する。ＶＰＮ＃２はサーバ＃１、サーバ＃２、およびＤＮＳ＃２を収容する。ＶＰＮ＃３はサーバ＃３、サーバ＃４、およびＤＮＳ＃３を収容する。

ＶＰＮ＃１はネットワークインタフェース＃１で、ＶＰＮ＃２はネットワークインタフェース＃２で、ＶＰＮ＃３はネットワークインタフェース＃３で、ユーザ識別型リバースプロキシー装置１−５とそれぞれ接続される。

また、これらには、ＶＰＮ＃１：ｖｐｎ１、ＶＰＮ＃２：ｖｐｎ２、ＶＰＮ＃３：ｖｐｎ３、ＤＮＳ＃１：ｄｎｓ１、ＤＮＳ＃２：ｄｎｓ２、ＤＮＳ＃３：ｄｎｓ３、ユーザ＃１：ｕｓｅｒ１、ユーザ＃２：ｕｓｅｒ２、サーバ＃１：ｓｅｒｖｅｒ１、サーバ＃２：ｓｅｒｖｅｒ２、サーバ＃３：ｓｅｒｖｅｒ３、サーバ＃４：ｓｅｒｖｅｒ４、ユーザ識別型リバースプロキシー装置１−５のネットワークインタフェース＃１：ｒ＿ｐｒｏｘｙ１、ユーザ識別型リバースプロキシー装置１−５のネットワークインタフェース＃２：ｒ＿ｐｒｏｘｙ２、ユーザ識別型リバースプロキシー装置１−５のネットワークインタフェース＃３：ｒ＿ｐｒｏｘｙ３とネームが付与されている。

ここで、ＤＮＳ＃１は、ＤＮＳ＃１：ｄｎｓ１、ユーザ＃１：ｕｓｅｒ１、ユーザ＃２：ｕｓｅｒ２、ユーザ識別型リバースプロキシー装置１−５のネットワークインタフェース＃１：ｒ＿ｐｒｏｘｙ１のネームとＩＰアドレスの対応関係を管理する。

ＤＮＳ＃２は、ＤＮＳ＃２：ｄｎｓ２、サーバ＃１：ｓｅｒｖｅｒ１、サーバ＃２：ｓｅｒｖｅｒ２、ユーザ識別型リバースプロキシー装置１−５のネットワークインタフェース＃２：ｒ＿ｐｒｏｘｙ２のネームとＩＰアドレスの対応関係を管理する。

ＤＮＳ＃３は、ＤＮＳ＃３：ｄｎｓ３、サーバ＃３：ｓｅｒｖｅｒ３、サーバ＃４：ｓｅｒｖｅｒ４、ユーザ識別型リバースプロキシー装置１−５のネットワークインタフェース＃３：ｒ＿ｐｒｏｘｙ３のネームとＩＰアドレスの対応関係を管理する。

図２は、ユーザ識別型リバースプロキシー装置１−５における宛先統一資源位置指定子の変換処理例である。この図は、上部に示す変換前の宛先統一資源位置指定子２−１と下部に示す変換後の宛先統一資源位置指定子２−２で構成される。

この例では、変換前の宛先統一資源位置指定子２−１において、アクセス手段識別子として、ｈｔｔｐ、ホスト識別子のうち、ユーザ識別型リバースプロキシー装置１−５の識別子として、ｒ＿ｐｒｏｘｙ１、ホスト識別子のうち、送信元ユーザの帰属するＶＰＮの識別子として、ｖｐｎ１、ディレクトリ識別子のうち、送信元ユーザの識別子として、ｕｓｅｒ１、ディレクトリ識別子のうち、宛先サーバ内でのディレクトリ識別子として、ｆｏｌｄｅｒ１／ｆｉｌｅ１、が指定されている。

また、変換後の宛先統一資源位置指定子２−２において、アクセス手段識別子として、ｈｔｔｐ、ホスト識別子のうち、宛先サーバの識別子として、ｓｅｒｖｅｒ１、 ホスト識別子のうち、宛先サーバの帰属するＶＰＮの識別子として、ｖｐｎ２、ディレクトリ識別子のうち、送信元ユーザの識別子として、ｕｓｅｒ１、ディレクトリ識別子のうち、宛先サーバ内でのディレクトリ識別子として、ｆｏｌｄｅｒ１／ｆｉｌｅ１、が指定されている。

図３に、変換テーブル３−１を示す。この変換テーブル３−１では、変換前としてのディレクトリ識別子のうち、送信元ユーザの識別子から変換後としての宛先サーバの識別子と宛先サーバの帰属するＶＰＮの識別子の組が導かれる。

例えば、変換前のｕｓｅｒ１からは、変換後のｓｅｒｖｅｒ１．ｖｐｎ２が、変換前のｕｓｅｒ２からは、変換後のｓｅｒｖｅｒ３．ｖｐｎ３が導かれる。ここで「．」は識別子同士の境界点を示す記号である。

図４に、本発明の実施形態のユーザ識別型リバースプロキシー装置１−５のシステム構成図を示す。

４−１は、ＶＰＮ＃１から受信したハイパーテキスト転送プロトコルデータに記述された、ホスト識別子とディレクトリ識別子を含んで構成される宛先統一資源位置指定子のうち、ディレクトリ識別子の内容に応じて宛先ホスト識別子を特定し、前記宛先統一資源位置指定子に記述されたホスト識別子を、特定した宛先ホスト識別子に変換するホスト識別子変換手段である。４−２は、ＶＰＮ＃１〜ＶＰＮ＃３へハイパーテキスト転送プロトコルデータを送出する際に、それぞれＤＮＳ＃１〜＃３を参照して宛先のアドレスを特定するアドレス解決手段である。４−３は、ホスト識別子が変換された宛先統一資源位置指定子が記述されたハイパーテキスト転送プロトコルデータを、ＶＰＮ＃１、ＶＰＮ＃２、ＶＰＮ＃３に転送する転送手段である。

３−１は、図３に示す変換テーブルである。変換テーブル３−１には、ユーザ識別子と宛先ホスト識別子の対応関係が登録される。ホスト識別子変換手段４−１は、宛先統一資源位置指定子のディレクトリ識別子からユーザ識別子を抽出し、抽出したユーザ識別子から変換テーブル３−１を参照して宛先ホスト識別子を特定する。

ユーザ識別型リバースプロキシー装置１−５が、図４に示す手段のほかに、通常のリバースプロキシー装置が備える手段を備えることはいうまでもない。

上述の構成における動作例について説明する。

ここでは、図１において、ユーザ＃１から、サーバ＃１のｆｏｌｄｅｒ１／ｆｉｌｅ１へハイパーテキスト転送プロトコルレイヤでアクセスする例について説明する。

ユーザ＃１は、図２に示す変換前の宛先統一資源位置指定子ｈｔｔｐ：／／ｒ＿ｐｒｏｘｙ１．ｖｐｎ１／ｕｓｅｒ１／ｆｏｌｄｅｒ１／ｆｉｌｅ１を付与したハイパーテキスト転送プロトコルデータを送信する。

この際、ホスト識別子ｒ＿ｐｒｏｘｙ１．ｖｐｎ１を元に、ＤＮＳ＃１を用いて、ユーザ識別型リバースプロキシー装置のＩＰアドレスを解決し、従来のＩＰデータの転送手段に基づいて、ユーザ識別型リバースプロキシー装置へ向けて該当データを送信する。

ユーザ識別型リバースプロキシー装置は、ネットワークインタフェース＃１において、ハイパーテキスト転送プロトコルデータを受信すると、ホスト識別子変換手段４−１が、図３の変換テーブル３−１を参照し、宛先統一資源位置指定子２−１のディレクトリ識別子のうち、送信元ユーザの識別子ｕｓｅｒ１から宛先サーバの識別子ｓｅｒｖｅｒ１と宛先サーバの帰属するＶＰＮの識別子ｖｐｎ２の組ｓｅｒｖｅｒ１．ｖｐｎ２を導く。この後、この識別子の組ｓｅｒｖｅｒ１．ｖｐｎ２を用いて、変換前のホスト識別子ｒ＿ｐｒｏｘｙ１．ｖｐｎ１を置換する。

この結果、図２の２−２に示すように、変換後の宛先統一資源位置指定子ｈｔｔｐ：／／ｓｅｒｖｅｒ１．ｖｐｎ２／ｕｓｅｒ１／ｆｏｌｄｅｒ１／ｆｉｌｅ１が生成される。

この後、生成した宛先統一資源位置指定子を付与したハイパーテキスト転送プロトコルデータを変換後の宛先統一資源位置指定子のホスト識別子の宛先サーバの帰属するＶＰＮの識別子ｖｐｎ２を元にネットワークインタフェース＃２を特定して、ここから送信する。

この際、アドレス解決手段４−２が、ホスト識別子ｓｅｒｖｅｒ１．ｖｐｎ２を元に、ＤＮＳ＃２を用いて、サーバ＃１のＩＰアドレスを解決し、従来のＩＰデータの転送手段４−３が、サーバ＃１へ向けて該当データを送信する。

サーバ＃１からユーザ＃１へ向けての応答データは、ユーザ識別型リバースプロキシー装置１−５が、リバースプロキシー装置と同様に動作することで、従来通りのシーケンスで転送される。

ここで、ユーザ識別型リバースプロキシー装置は、各ＶＰＮをＩＰレイヤで分離していることと、他ＶＰＮ宛のＩＰアドレスを１つに集約して見せることが大きな特徴となっている。

例えば、ＶＰＮ＃２内でサーバ＃５を増設した場合、ＤＮＳ＃２は新たにサーバ＃５のネームとＩＰアドレスの関係を整理する必要が生じるが、ＤＮＳ＃１は管理するネームとＩＰアドレスの関係を修正する必要がない。

このため、多数のＶＰＮを接続することが求められる場合、ユーザ識別型リバースプロキシー装置を介して、各ＶＰＮを接続することで、各ＶＰＮ内のＤＮＳにおけるネームとＩＰアドレスの関係の管理負荷が高まることを防止できる。

結果として多数のＶＰＮで構成される大規模なネットワークを容易に構築可能となる。

上述のように、本発明の実施形態によれば、単一のリバースプロキシー装置において、送信ユーザ毎に宛先ｗｅｂサーバを一意に指定して転送することが可能となる。このため、第一のネットワークにユーザを配置し、第二のネットワークにユーザ毎に個別のｗｅｂサーバを用意してサービス提供を行うことが可能となる。ここで、第一のネットワークと第二のネットワークは異なるホスト識別子およびアドレスで運用されていても良い。

この結果として、第一のネットワークを企業のイントラネットと位置付けてユーザを配置し、第二のネットワークをアプリケーションサービスプロバイダのネットワークと位置づけてｗｅｂサーバを配置した上で、第一のネットワークと第二のネットワークをリバースプロキシー装置のみを介して相互接続した場合に、第一のネットワーク内では、第二のネットワーク内でのｗｅｂサーバの増設等にかかわらず、リバースプロキシー装置宛の統一資源位置指定子におけるホスト識別子とアドレスのみ管理しておけば良いという効果が得られ、一方で、二のネットワーク内では、第一のネットワークに影響を与えることなくｗｅｂサーバの増設が行えるという効果が得られる。

本発明の実施形態のユーザ識別型リバースプロキシー装置は、コンピュータとプログラムで構成することができる。また、そのプログラムの一部または全部をハードウェアで構成してもよい。

以上、本発明者によってなされた発明を、前記実施形態に基づき具体的に説明したが、本発明は、前記実施形態に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。

本発明の実施形態のネットワーク構成を示す図である。 本発明の実施形態のユーザ識別型リバースプロキシー装置における宛先統一資源位置指定子の変換処理例を示す図である。 変換テーブルを示す図である。 本発明の実施形態のユーザ識別型リバースプロキシー装置のシステム構成図である。

符号の説明

１−１ ネットワーク
１−２ ＶＰＮ＃１
１−３ ＶＰＮ＃２
１−４ ＶＰＮ＃３
１−５ ユーザ識別型リバースプロキシー装置
１−６ ユーザ＃１
１−７ ユーザ＃２
１−８ ＤＮＳ＃１
１−９ ＤＮＳ＃２
１−１０ ＤＮＳ＃３
１−１１ サーバ＃１
１−１２ サーバ＃２
１−１３ サーバ＃３
１−１４ サーバ＃４
２−１ 変換前の統一資源位置指定子
２−２ 変換後の統一資源位置指定子
３−１ 変換テーブル
４−１ ホスト識別子変換手段
４−２ アドレス解決手段
４−３ 転送手段

Claims (6)

1. 第一のネットワークおよび第二のネットワークの間で、ハイパーテキスト転送プロトコルデータの中継を行うリバースプロキシー装置であって、
   第一のネットワークから受信したハイパーテキスト転送プロトコルデータに記述された、ホスト識別子とディレクトリ識別子を含んで構成される宛先統一資源位置指定子のうち、ディレクトリ識別子の内容に応じて宛先ホスト識別子を特定し、前記宛先統一資源位置指定子に記述されたホスト識別子を、特定した宛先ホスト識別子に変換するホスト識別子変換手段と、
   ホスト識別子が変換された宛先統一資源位置指定子が記述されたハイパーテキスト転送プロトコルデータを、第二のネットワークに転送する転送手段と、
   を有することを特徴とするリバースプロキシー装置。
2. 請求項１に記載のリバースプロキシー装置において、
   前記ホスト識別子変換手段は、ディレクトリ識別子からユーザ識別子を抽出し、抽出したユーザ識別子から宛先ホスト識別子を特定することを特徴とするリバースプロキシー装置。
3. 請求項２に記載のリバースプロキシー装置において、
   ユーザ識別子と宛先ホスト識別子の対応関係を登録する変換テーブルを備え、
   前記ホスト識別子変換手段は、前記変換テーブルを参照して、ユーザ識別子から宛先ホスト識別子を特定することを特徴とするリバースプロキシー装置。
4. 請求項１ないし３のうちいずれか１項に記載のリバースプロキシー装置において、
   第一のネットワークおよび第二のネットワークへハイパーテキスト転送プロトコルデータを送出する際に、それぞれ異なるアドレス解決サーバを参照して宛先のアドレスを特定するアドレス解決手段を有することを特徴とするリバースプロキシー装置。
5. 第一のネットワークおよび第二のネットワークの間で、ハイパーテキスト転送プロトコルデータの中継を行うリバースプロキシー装置におけるデータ中継方法であって、
   前記リバースプロキシー装置は、ホスト識別子変換手段と転送手段とを備え、
   前記ホスト識別子変換手段が、第一のネットワークから受信したハイパーテキスト転送プロトコルデータに記述された、ホスト識別子とディレクトリ識別子を含んで構成される宛先統一資源位置指定子のうち、ディレクトリ識別子の内容に応じて宛先ホスト識別子を特定し、前記宛先統一資源位置指定子に記述されたホスト識別子を、特定した宛先ホスト識別子に変換し、
   前記転送手段が、ホスト識別子が変換された宛先統一資源位置指定子が記述されたハイパーテキスト転送プロトコルデータを、第二のネットワークに転送する、
   ことを特徴とするデータ中継方法。
6. 請求項１ないし４のうちいずれか１項に記載のリバースプロキシー装置として、コンピュータを機能させるためのプログラム。

Images