JP2013171371A - パケットフィルタリング方法及び装置 - Google Patents

Abstract

【課題】インターネット接続サービスにおいて、ネットワークの応答性や信頼性の低下が少なく、かつ、ＵＲＬレベルのフィルタリングが可能なパケットフィルタリング方法及び装置を提供する。
【解決手段】ＤＮＳサーバ２１が、端末１０から送信されるドメイン名によって閲覧規制の検査が必要か否かを一次仕分けし、検査が不要なドメインについては接続先サーバのアドレスを応答することで端末１０から当該サーバに直接アクセスさせる。一方、検査が必要なドメインについては網内サーバ２２のアドレスを応答し、端末１０から閲覧要求を受信した網内サーバ２２は、ＵＲＬフィルタリングにより要求されたｗｅｂコンテンツの閲覧可否を判定し、閲覧可能と判定した場合は、当該ｗｅｂコンテンツに代理アクセスして、その応答結果を端末１０に転送する。
【選択図】図１

Description

本発明は、インターネット接続サービスの利用者が、児童ポルノサイトをはじめとする不適切サイトのコンテンツを閲覧できないようにする閲覧規制の技術に関する。

児童ポルノサイトをはじめとする不適切サイトの閲覧規制を行うことは、インターネット接続サービスを提供する通信事業者の義務となってきている。そのため、通信事業者にはネットワーク側にてコンテンツの閲覧規制を実施するＵＲＬ（Uniform Resource Locator）フィルタリング機能（パケットフィルタリング機能とも呼ばれる）を配備することが強く求められている。しかし、今後ますます増加するものと見込まれるｗｅｂアクセスのなかで、一般ユーザの閲覧にふさわしくない（フィルタリングすることが望ましい）コンテンツも増加していくことが容易に想像できる。そのため、多くの利用者からの閲覧要求を高速に処理しつつ、漏れのないＵＲＬフィルタリングを行うことが求められる。

ネットワーク側にて不適切サイトの閲覧規制を実施するための従来技術として、主に以下の４つがある（非特許文献１参照）。
（１）プロキシサーバを用いたコンテンツフィルタ
プロキシサーバによる代理アクセスを行い、閲覧先サイトから応答されるコンテンツを構成している文字データや画像データなどを解析して不適切なものがあれば、当該コンテンツをブロックする。
（２）ＵＲＬフィルタリング
ＤＰＩ（Deep Packet Inspection）装置等を用いて、閲覧を要求されたＵＲＬを文字列レベルで検査し、不適切なＵＲＬに対するアクセス要求をブロックする。
（３）ＤＮＳ（Domain Name System）ポイズニング／ブロッキング
ＤＮＳサーバにおいて、ブロッキング対象のドメイン名についての名前解決クエリに対して接続先のＩＰ（Internet Protocol）アドレスを応答しない。
（４）パケットドロップ
ルータ装置やファイアウォール装置により、接続規制の対象となるＩＰアドレスへの接続要求をブロックする。

"インターネット上での児童ポルノの流通に関する問題とその対策について"、[online]、平成21年3月、総合セキュリティ対策会議、[平成24年1月31日検索]、インターネット<URL:http://www.npa.go.jp/cyber/csmeeting/h20/pdf/pdf20.pdf>

しかしながら、前記従来技術には次のような課題が存在する。
（１）プロキシサーバを用いたコンテンツフィルタ
ネットワークの転送網上に装置を追加する必要があるため、ネットワークの応答性や信頼性が低下する。また、すべてのトラヒックがプロキシサーバを通過するため、検査の負荷が高い。
（２）ＵＲＬフィルタリング
ネットワークの転送網上に装置を追加する必要があるため、ネットワークの応答性や信頼性が低下する。また、すべてのトラヒックがＤＰＩ装置等を通過するため、検査の負荷が高い。
（３）ＤＮＳポイズニング／ブロッキング
ＩＰアドレスレベルでのフィルタとなり、ディレクトリ名まで考慮できないため、過剰にフィルタリングをする可能性がある。
（４）パケットドロップ
ＩＰアドレスレベルでのフィルタとなり、過剰にフィルタリングをする可能性がある。

本発明は、これら従来技術の課題を解決するためになされたものであり、ネットワークの応答性や信頼性の低下が少なく、かつ、ＵＲＬレベルのフィルタリングが可能なパケットフィルタリング方法及び装置を提供することを目的とする。

前記の目的を達成するために、本発明は、インターネット接続サービスにおいて、予め規制対象ＵＲＬが登録された規制対象ＵＲＬリストに基づいてｗｅｂコンテンツの閲覧規制を行うためのパケットフィルタリング方法であって、端末から送信される閲覧先のドメイン名に該当するｗｅｂサーバのＩＰアドレスを前記端末に応答するＤＮＳサーバが、前記規制対象ＵＲＬリストに登録されている規制対象ＵＲＬに含まれるドメイン名に対しては、前記規制対象ＵＲＬリストに基づいてＵＲＬフィルタリングを行う網内サーバのＩＰアドレスを前記端末に応答する第１のステップと、前記端末が、前記ＤＮＳサーバから応答される前記ＩＰアドレスを用いることで、閲覧先のＵＲＬを指定したｗｅｂコンテンツの閲覧要求を前記網内サーバに送信する第２のステップと、前記網内サーバが、前記閲覧先のＵＲＬと前記規制対象ＵＲＬリストを照合することにより閲覧先のｗｅｂコンテンツが規制対象であるか否かを判定し、当該ｗｅｂコンテンツが規制対象であると判定した場合は、当該ｗｅｂコンテンツは閲覧規制の対象である旨を前記端末に応答し、当該ｗｅｂコンテンツが規制対象でないと判定した場合は、当該ｗｅｂコンテンツを保有する閲覧先のｗｅｂサーバに代理アクセスして取得した当該ｗｅｂコンテンツのデータを前記端末に応答する第３のステップと、を含むものとした。

こうすることにより、ＤＮＳサーバにて閲覧規制の対象となる可能性があるドメインと、閲覧規制の対象外のドメインとの仕分けが行われ、閲覧規制の対象外のドメインに含まれるｗｅｂコンテンツは、各端末が直接閲覧先のサーバにアクセスして閲覧を行うので、途中に他の装置が介在することによるネットワークの応答性や信頼性の低下を抑止することができる。一方、閲覧規制の対象となる可能性があるｗｅｂコンテンツを最終的に閲覧規制の対象とする否かは、網内サーバにて閲覧先のＵＲＬと規制対象ＵＲＬリストとを照合することによりＵＲＬレベルで判定されるので、ＩＰアドレスレベルのフィルタリングのように過剰にフィルタリングされることがなくなる。

また、本発明の他のパケットフィルタリング方法は、前記第３のステップとして、前記網内サーバが、前記閲覧先のＵＲＬと前記規制対象ＵＲＬリストを照合することにより閲覧先のｗｅｂコンテンツが規制対象であるか否かを判定し、当該ｗｅｂコンテンツが規制対象であると判定した場合は、当該ｗｅｂコンテンツは閲覧規制の対象である旨を前記端末に応答し、当該ｗｅｂコンテンツが規制対象でないと判定した場合は、前記端末から自装置宛に送信された前記閲覧要求の宛先アドレスを当該ｗｅｂコンテンツを保有する閲覧先のｗｅｂサーバのＩＰアドレスに書き換えて当該閲覧先のｗｅｂサーバに前記閲覧要求を送信するものとし、さらに当該閲覧先のｗｅｂサーバが、当該ｗｅｂコンテンツのデータを前記端末に応答する第４のステップを含むものとした。

こうすることにより、網内サーバが端末から受信した閲覧要求に応答するための情報を保持しておく必要がなくなるので、網内サーバの低コスト化が可能となる。

また、本発明の他のパケットフィルタリング方法は、前記第３のステップとして、前記網内サーバが、前記閲覧先のＵＲＬと前記規制対象ＵＲＬリストを照合することにより閲覧先のｗｅｂコンテンツが規制対象であるか否かを判定し、当該ｗｅｂコンテンツが規制対象であると判定した場合は、当該ｗｅｂコンテンツは閲覧規制の対象である旨を前記端末に応答し、当該ｗｅｂコンテンツが規制対象でないと判定した場合は、当該ｗｅｂコンテンツを保有する閲覧先のｗｅｂサーバのＩＰアドレスを付して閲覧先がリダイレクトされた旨を前記端末に応答するものとし、前記第４のステップとして、前記端末が、応答された前記リダイレクト先のＩＰアドレスを用いることで、前記閲覧要求を当該閲覧先のｗｅｂサーバに再送して当該ｗｅｂコンテンツのデータを取得するものとした。

こうすることにより、網内サーバが端末から受信した閲覧要求に応答するための情報を保持しておく必要がなくなるので、網内サーバの低コスト化が可能となる。

また、本発明は、前記それぞれのパケットフィルタリング方法において、前記網内サーバが２台以上の構成となっているものとした。

こうすることにより、ネットワークの応答性や信頼性を向上させることができる。

また、本発明のパケットフィルタリング装置は、前記それぞれのパケットフィルタリング方法の前記第１のステップを実行する前記ＤＮＳサーバと、前記第３のステップを実行する前記網内サーバと、から構成される。

本発明によれば、ネットワークの応答性や信頼性の低下が少なく、かつ、ＵＲＬレベルのフィルタリングが可能なパケットフィルタリング方法及び装置を提供することができる。

本発明に係るパケットフィルタリング装置の接続構成例を示す図である。 パケットフィルタリング装置を２重化したときの接続構成例を示す図である。 ＤＮＳサーバが備えるアドレス情報テーブルの構成及びデータ例である。 透過型プロキシとしての網内サーバの機能構成例を示すブロック図である。 網内サーバが備える規制対象ＵＲＬリストの構成及びデータ例である。 網内サーバが備えるＩＰアドレス／ＦＱＤＮ対応テーブルの構成及びデータ例である。 網内サーバが備えるフロー情報保存テーブルの構成及びデータ例である。 透過型プロキシとしての網内サーバが端末からｗｅｂコンテンツの閲覧要求を受信したときの動作を示すフローチャートである。 透過型プロキシとしての網内サーバが閲覧先のｗｅｂサーバから閲覧応答を受信したときの動作を示すフローチャートである。 閲覧先のドメインが閲覧規制の検査対象外であるときの信号のやり取りの例を示すシーケンス図である。 閲覧先のドメインが閲覧規制の検査対象であったが、閲覧先のＵＲＬは閲覧規制の対象外であると判定されたときの信号のやり取りの例を示すシーケンス図である。 閲覧先のドメインが閲覧規制の検査対象であり、閲覧先のＵＲＬが閲覧規制の対象であると判定されたときの信号のやり取りの例を示すシーケンス図である。

以下、本発明の実施形態を適宜図面を参照して詳細に説明する。
図１は、本発明の実施形態に係るパケットフィルタリング装置の接続構成例を示す図である。図１に示すように、端末１０に対してインターネット３に接続されるｗｅｂサーバ３０との間のインターネット接続サービスを提供する事業者網２内に設置されるパケットフィルタリング装置２０は、両者が連携することでＵＲＬフィルタリング機能を提供するＤＮＳサーバ２１と網内サーバ２２とから構成される。図１において、ＥＲ（Edge Router）２３は端末１０と事業者網２との接続点に設置されるエッジルータ装置であり、ＧＷ（Gateway）２４は、事業者網２とインターネット３との接続点に設置されるゲートウェイ装置である。

ところで、インターネット接続サービスに用いられる通常のＤＮＳサーバは、端末１０から名前解決を依頼されたドメイン名（ＦＱＤＮ：Fully Qualified Domain Name）に該当する接続先サーバのＩＰアドレスを応答する機能を有しており、端末１０からあるｗｅｂコンテンツを閲覧する場合には、まず、閲覧したいｗｅｂコンテンツに付されているＵＲＬから抽出したドメイン名をＤＮＳサーバに送信して名前解決を依頼し、次に、ＤＮＳサーバから応答されるＩＰアドレス宛、すなわち当該ＩＰアドレスを有する接続先のｗｅｂサーバ３０宛に、当該ＵＲＬの閲覧要求を送信することによってｗｅｂコンテンツを取得する、という２つの手順が実行される。

一方、図１に示した本発明に係るＤＮＳサーバ２１は、閲覧規制の対象となるＵＲＬとして予め登録されている規制対象ＵＲＬの一覧から抽出されるドメイン名によって、閲覧先のｗｅｂサーバ３０を、健全で閲覧規制の検査が不要な規制対象外サーバ３０Ａと、健全性が疑わしく閲覧規制の検査が必要な規制対象サーバ３０Ｂとに一次仕分けする機能を有する。より詳しくは、名前解決を依頼されたドメイン名の配下に閲覧規制の対象となるｗｅｂコンテンツが存在するか否かを判定し、そのようなｗｅｂコンテンツが存在しない規制対象外サーバ３０Ａについては、前記した通常のＤＮＳサーバと同様に接続先となる規制対象外サーバ３０ＡのＩＰアドレスを応答する。他方、閲覧規制の対象となるｗｅｂコンテンツが１つでも配下に存在するため健全性が疑わしい規制対象サーバ３０Ｂについては、端末１０からの閲覧要求を接続先の規制対象サーバ３０ＢではなくＵＲＬフィルタリング機能を有する網内サーバ２２に送信させるために、網内サーバ２２のＩＰアドレスを応答する。

これにより、閲覧規制の対象となるｗｅｂコンテンツを含まない健全なドメインについてのｗｅｂコンテンツの閲覧は、従来の通常のＤＮＳサーバを用いたときと同様な手順によって、途中に他の装置を介在させることなく、端末１０と接続先のｗｅｂサーバ３０（規制対象外サーバ３０Ａ）との間で直接実行することができる。他方、閲覧規制の対象となるｗｅｂコンテンツを含み健全性が疑わしいドメインについてのｗｅｂコンテンツの閲覧時には、以下のようにして網内サーバ２２によるＵＲＬレベルのフィルタリングが行われることになる。

ＤＮＳサーバ２１からの応答にしたがって、端末１０から網内サーバ２２にＵＲＬの閲覧要求が送信されると、網内サーバ２２は、当該ＵＲＬと閲覧規制の対象となる規制対象ＵＲＬの一覧が予め登録されている規制対象ＵＲＬリストとを照合することにより、当該ＵＲＬで指定されるｗｅｂコンテンツの閲覧可否を判定し、閲覧可能な場合は、当該ｗｅｂコンテンツに代理アクセスしてその応答結果を送信元の端末１０に転送する。このとき、網内サーバ２２は透過型プロキシとして機能することになる。他方、当該ＵＲＬで指定されるｗｅｂコンテンツの閲覧を拒否する場合は、当該ｗｅｂコンテンツへの接続を拒否した旨を通知するｗｅｂページを端末１０に応答する。

また、図２の接続構成例のように、パケットフィルタリング装置２０を構成するＤＮＳサーバ２１をプライマリＤＮＳサーバ２１ＡとセカンダリＤＮＳサーバ２１Ｂとの２台構成にするのと同様に、網内サーバ２２もプライマリ網内サーバ２２Ａとセカンダリ網内サーバ２２Ｂとの２台構成とすることにより、ネットワークの応答性や信頼性を向上させることが可能である。なお、必ずしも両方のサーバを同時に多重化する必要はない。また、ＤＮＳサーバ２１側に複数の網内サーバ２２に対する負荷分散機能をもたせることにより、網内サーバ２２を３台以上の構成に多重化することも可能である。

以下、図５のデータ例に示すように、規制対象ＵＲＬとして「example1.jp/xxx.html」、「example1.jp/yyy.jpg」、「example3.jp/zzz.html」、・・が予め登録されており、ドメイン「example2.jp」は規制対象ＵＲＬを含まず、また「example1.jp/www.html」は規制対象ＵＲＬではないものと仮定して、パケットフィルタリング装置２０の動作を詳細に説明する。

図３は、ＤＮＳサーバ２１が備えるアドレス情報テーブルの構成及びデータ例である。図３に示すように、アドレス情報テーブル２１１には、ドメイン名（FQDN）、第１のＩＰアドレス（IP addr 1）、第２のＩＰアドレス（IP addr 2）などを属性としてもつエントリが複数登録されている。ここで、ドメイン名は、名前解決の対象となるドメインの名称であり、第１及び第２のＩＰアドレスは、当該ドメイン名に対して応答すべきプライマリ及びセカンダリの２つのＩＰアドレスである。

ここで、前記したように、規制対象ＵＲＬに含まれるドメイン名は「example1.jp」、「example3.jp」、・・であることから（図５参照）、図３に示すデータ例のように、これら規制対象ＵＲＬを配下に含むドメイン名に対しては、第１及び第２のＩＰアドレスとして、プライマリ及びセカンダリ網内サーバ２２Ａ，２２Ｂのアドレスである「192.0.2.253」及び「192.0.2.254」が割り当てられている。これにより、ＤＮＳサーバ２１は、これら不適切サイトの可能性があるドメイン名（FQDN）に対しては網内サーバ２２Ａまたは２２Ｂのアドレスを応答し、端末１０からの閲覧要求を網内サーバ２２に送信させる。

図４は、透過型プロキシとしての網内サーバ２２の機能構成例を示すブロック図である。図４に示すように、透過型プロキシとしての機能を有する網内サーバ２２は、規制対象ＵＲＬリスト２２１、ＩＰアドレス／ＦＱＤＮ対応テーブル２２２、ＵＲＬフィルタリング部２２３、ＨＴＴＰ Ｐｒｏｘｙ部２２４、及びフロー情報保存テーブル２２５を備えている。

規制対象ＵＲＬリスト２２１には、図５に示すように、ＵＲＬリスト作成事業者などから提供される閲覧規制ＵＲＬの一覧が予め登録される。ＩＰアドレス／ＦＱＤＮ対応テーブル２２２には、図６に示すように、不適切サイトの可能性があるドメイン名（FQDN）と、当該ドメイン名に該当する規制対象サーバ３０Ｂの第１のＩＰアドレス（IP addr 1）及び第２のＩＰアドレス（IP addr 2）などが対応付けられて保持される。なお、図６のデータ例は、「example1.jp」のドメインがＩＰアドレス「198.51.100.10」及び「198.51.100.11」に、「example3.jp」のドメインがＩＰアドレス「198.51.100.20」及び「198.51.100.21」に対応付けられ、当該ドメインのｗｅｂコンテンツがそれぞれ２つの規制対象サーバ３０Ｂに保有されている場合を示している。

ＵＲＬフィルタリング部２２３は、端末１０から閲覧を要求されたＵＲＬと規制対象ＵＲＬリスト２２１を照合することにより閲覧先のｗｅｂコンテンツが規制対象であるか否かを判定し、当該ｗｅｂコンテンツが規制対象であると判定した場合は、当該ｗｅｂコンテンツは閲覧規制の対象である旨を前記端末１０に応答し、当該ｗｅｂコンテンツが規制対象でないと判定した場合は、当該ｗｅｂコンテンツを代理アクセスするようＨＴＴＰ Ｐｒｏｘｙ部２２４に依頼する。

ＨＴＴＰ Ｐｒｏｘｙ部２２４は、ＵＲＬフィルタリング部２２３からの依頼に基づき、ＩＰアドレス／ＦＱＤＮ対応テーブル２２２から接続先の規制対象サーバ３０ＢのＩＰアドレスを取得して当該ｗｅｂコンテンツの代理アクセスを実行し、その応答結果を端末１０に転送する。

フロー情報保存テーブル２２５には、図７に示すように、ＨＴＴＰ Ｐｒｏｘｙ部２２４が閲覧要求の送信元となった端末１０に代理アクセスの応答結果を転送するために必要となる端末１０の送信元ＩＰアドレス（Src IP）及び送信元ポート番号（Src Port）、接続先ｗｅｂサーバへの宛先ＩＰアドレス（Dst IP）、並びに、元の閲覧要求に含まれていたＬ４以下のヘッダ情報（その他Header Parameter）などが、それぞれの閲覧要求ごとに対応付けられて、代理アクセスの応答結果の返送が完了するまで一時保存される。例えば、図７の１行目のエントリのデータ例は、送信元ＩＰアドレスが「203.0.113.1」の端末１０から送信元ポート番号「10000」にて送信された閲覧要求に対する応答結果を、当該端末１０に転送するための代理アクセスが、宛先ＩＰアドレス「198.51.100.10」の規制対象サーバ３０Ｂに対してなされた状態を表している。これらのエントリは、端末１０への応答結果の転送が完了した時点でフロー情報保存テーブル２２５から削除される。

続いて、図８及び図９のフローチャートを参照して、透過型プロキシとしての網内サーバ２２の動作について詳細に説明する。

図８は、透過型プロキシとして機能する網内サーバ２２が、端末１０からｗｅｂコンテンツの閲覧要求を受信したときの動作を示すフローチャートである。図８に示すように、網内サーバ２２は、端末１０からｗｅｂコンテンツの閲覧要求であるＨＴＴＰ要求を受信すると（ステップＳ８１）、ＵＲＬフィルタリング部２２３が、受信したＨＴＴＰ要求から閲覧先のｗｅｂコンテンツを示す要求ＵＲＬを抽出する（ステップＳ８２）。次に、ＵＲＬフィルタリング部２２３は、抽出した要求ＵＲＬが規制対象ＵＲＬリスト２２１（図８ではＵＲＬリストと略記。）に含まれるか否かを判定し（ステップＳ８３）、含まれない場合は（ステップＳ８３で「Ｎｏ」）ステップＳ８４に、含まれる場合は（ステップＳ８３で「Ｙｅｓ」）ステップＳ８７に処理を進める。

ステップＳ８４からステップＳ８６では、ＨＴＴＰ Ｐｒｏｘｙ部２２４は、ＵＲＬフィルタリング部２２３からの依頼に基づいて、接続規制の対象ではないと判定された要求ＵＲＬの代理アクセスを実行したのち、処理を終了する。そのために、まず、受信したＨＴＴＰ要求に含まれるヘッダ情報をフロー情報保存テーブル２２５にエントリを追加して保存し（ステップＳ８４）、次に、ＩＰアドレス／ＦＱＤＮ対応テーブル２２２から要求ＵＲＬのドメイン名に該当するＦＱＤＮをもつエントリを検索することにより接続先のＩＰアドレスを取得する（ステップＳ８５）。同時に、取得した接続先のＩＰアドレスを、ステップＳ８４にてフロー情報保存テーブル２２５に追加したエントリの宛先ＩＰアドレス（Dst IP）に登録しておく。そして、取得した接続先のＩＰアドレスを用いて接続先の規制対象サーバ３０Ｂに端末１０から受信したＨＴＴＰ要求を転送する（ステップＳ８６）。このとき、ＨＴＴＰ要求の送信元ＩＰアドレス（Src IP）の部分は、自身のサーバアドレスに設定し、元のＨＴＴＰ要求に含まれていた端末１０の送信元ＩＰアドレスを、ステップＳ８４にてフロー情報保存テーブル２２５に追加したエントリの送信元ＩＰアドレス（Src IP）に登録しておく。転送したＨＴＴＰ要求に対する応答処理については図９を用いて後記する。

一方、ステップＳ８７では、ＵＲＬフィルタリング部２２３は、要求ＵＲＬは接続規制の対象であると判定されたので、フィルタリングによる接続拒否を通知するｗｅｂページを端末１０に応答したのち、処理を終了する。

図９は、透過型プロキシとしての網内サーバ２２が接続先の規制対象サーバ３０Ｂから閲覧応答を受信したときの動作を示すフローチャートである。図９に示すように、透過型プロキシサーバとして機能する網内サーバ２２のＨＴＴＰ Ｐｒｏｘｙ部２２４は、接続先の規制対象サーバ３０ＢからＨＴＴＰ応答を受信すると（ステップＳ９１）、フロー情報保存テーブル２２５から当該サーバのアドレスを宛先ＩＰアドレス（Dst IP）とするエントリを検索し、当該フローの送信元の情報として送信元ＩＰアドレス（Src IP）及び送信元ポート番号（Src Port）を取得し（ステップＳ９２）、当該フローの送信元の端末１０に接続先の規制対象サーバ３０Ｂから受信したＨＴＴＰ応答を転送したのち（ステップＳ９３）、処理を終了する。

図１０は、閲覧先のドメインが閲覧規制の検査対象外であるときの信号のやり取りを示すシーケンス図である。図１０に示すように、端末１０からＤＮＳサーバ２１に閲覧規制の検査対象外のドメイン名についての名前解決要求である「ＤＮＳクエリ(example2.jp)」が送信されると、ＤＮＳサーバ２１から当該ドメイン名に該当する規制対象外サーバ３０ＡのＩＰアドレスを通知する「ＤＮＳ応答(198.51.100.5)」が、端末１０に返送される（図３参照）。次に、端末１０は、ＤＮＳサーバ２１から通知されたＩＰアドレス宛、つまり閲覧先のｗｅｂコンテンツを保有している規制対象外サーバ３０Ａ宛に、当該ｗｅｂコンテンツのＵＲＬを含む閲覧要求である「HTTP(GET example2.jp/vvv.html)」を送信し、当該規制対象外サーバ３０Ａから当該ｗｅｂコンテンツのデータが付された「HTTP(200 OK)」が、端末１０に返送される。

図１１は、閲覧先のドメインが閲覧規制の検査対象であったが、閲覧先のＵＲＬは閲覧規制の対象外であると判定されたときの信号のやり取りの例を示すシーケンス図である。図１１に示すように、端末１０からＤＮＳサーバ２１に閲覧規制の検査対象となるドメイン名についての名前解決要求である「ＤＮＳクエリ(example1.jp)」が送信されると、ＤＮＳサーバ２１から網内サーバ２２のＩＰアドレスを通知する「ＤＮＳ応答(192.0.2.253)」が、端末１０に返送される（図３参照）。次に、端末１０は、ＤＮＳサーバ２１から通知されたＩＰアドレス宛、つまり網内サーバ２２宛に、閲覧規制の対象ではないｗｅｂコンテンツのＵＲＬを含む閲覧要求である「HTTP(GET example1.jp/www.html)」を送信する。この閲覧要求を受信した網内サーバ２２は、閲覧先のＵＲＬを規制対象ＵＲＬリスト２２１と照合することにより、当該ＵＲＬは閲覧規制の対象ではないと判定し、当該閲覧要求を当該ｗｅｂコンテンツを保有する規制対象サーバ３０Ｂに代理送信して、当該規制対象サーバ３０Ｂから応答される当該ｗｅｂコンテンツのデータが付された「HTTP(200 OK)」を代理受信し、端末１０に転送する。

図１２は、閲覧先のドメインが閲覧規制の検査対象であり、閲覧先のＵＲＬが閲覧規制の対象であると判定されたときの信号のやり取りの例を示すシーケンス図である。図１２に示すように、端末１０からＤＮＳサーバ２１に閲覧規制の検査対象となるドメイン名についての名前解決要求である「ＤＮＳクエリ(example1.jp)」が送信されると、ＤＮＳサーバ２１から網内サーバ２２のＩＰアドレスを通知する「ＤＮＳ応答(192.0.2.253)」が、端末１０に返送される（図３参照）。次に、端末１０は、ＤＮＳサーバ２１から通知されたＩＰアドレス宛、つまり網内サーバ２２宛に、閲覧規制の対象となる当該ｗｅｂコンテンツのＵＲＬを含む閲覧要求である「HTTP(GET example1.jp/xxx.html)」（図５参照）を送信する。この閲覧要求を受信した網内サーバ２２は、閲覧先のＵＲＬを規制対象ＵＲＬリスト２２１と照合することにより、当該ＵＲＬは閲覧規制の対象であると判定し、フィルタリングによる接続拒否を通知するｗｅｂページを応答する「HTTP(200 OK)」を、端末１０に返送する。

以上、網内サーバ２２が端末１０からの閲覧要求を代理アクセスする透過型プロキシとして機能する場合についての動作を説明したが、網内サーバ２２が接続先の規制対象サーバ３０Ｂに端末１０から受信した閲覧要求に含まれる宛先ＩＰアドレスの部分を、自装置のＩＰアドレスから接続先の規制対象サーバ３０ＢのＩＰアドレスに書き換えて、当該規制対象サーバ３０Ｂに転送するようにしてもよい。そのような構成においては、規制対象サーバ３０Ｂから送信元の端末１０に直接応答が返送されることになるので、網内サーバ２２にはＨＴＴＰ Ｐｒｏｘｙ部２２４及びフロー情報保存テーブル２２５を備える必要がなく、網内サーバ２２の低コスト化を図ることができる。

あるいは、網内サーバ２２から接続先の規制対象サーバ３０Ｂに閲覧要求を送信するのではなく、閲覧を許可する場合は当該規制対象サーバ３０Ｂに接続先をリダイレクトするように、当該規制対象サーバ３０ＢのＩＰアドレスを端末１０に通知するようにしてもよい。そのような構成においては、送信元の端末１０から直接リダイレクト先の規制対象サーバ３０Ｂに閲覧要求を再送信してｗｅｂコンテンツを取得することになるので、網内サーバ２２にはＨＴＴＰ Ｐｒｏｘｙ部２２４及びフロー情報保存テーブル２２５を備える必要がなく、網内サーバ２２の低コスト化を図ることができる。

以上にて本発明を実施するための形態の説明を終えるが、本発明の実施の態様はこれに限られるものではなく、本発明の趣旨を逸脱しない範囲内で各種の変更が可能である。

２ 事業者網
３ インターネット
１０ 端末
２０ パケットフィルタリング装置
２１，２１Ａ，２１Ｂ ＤＮＳサーバ
２２，２２Ａ，２２Ｂ 網内サーバ
２３ エッジルータ装置（ＥＲ）
２４ ゲートウェイ装置（ＧＷ）
３０ ｗｅｂサーバ
３０Ａ 規制対象外サーバ（ｗｅｂサーバ）
３０Ｂ 規制対象サーバ（ｗｅｂサーバ）
２１１ アドレス情報テーブル（対応付けデータ）
２２１ 規制対象ＵＲＬリスト
２２２ ＩＰアドレス／ＦＱＤＮ対応テーブル
２２３ ＵＲＬフィルタリング部
２２４ ＨＴＴＰ Ｐｒｏｘｙ部
２２５ フロー情報保存テーブル

Claims (8)

1. インターネット接続サービスにおいて、予め規制対象ＵＲＬが登録された規制対象ＵＲＬリストに基づいてｗｅｂコンテンツの閲覧規制を行うためのパケットフィルタリング方法であって、
   端末から送信される閲覧先のドメイン名に該当するｗｅｂサーバのＩＰアドレスを前記端末に応答するＤＮＳサーバが、前記規制対象ＵＲＬリストに登録されている規制対象ＵＲＬに含まれるドメイン名に対しては、前記規制対象ＵＲＬリストに基づいてＵＲＬフィルタリングを行う網内サーバのＩＰアドレスを前記端末に応答する第１のステップと、
   前記端末が、前記ＤＮＳサーバから応答される前記ＩＰアドレスを用いることで、閲覧先のＵＲＬを指定したｗｅｂコンテンツの閲覧要求を前記網内サーバに送信する第２のステップと、
   前記網内サーバが、前記閲覧先のＵＲＬと前記規制対象ＵＲＬリストを照合することにより閲覧先のｗｅｂコンテンツが規制対象であるか否かを判定し、当該ｗｅｂコンテンツが規制対象であると判定した場合は、当該ｗｅｂコンテンツは閲覧規制の対象である旨を前記端末に応答し、当該ｗｅｂコンテンツが規制対象でないと判定した場合は、当該ｗｅｂコンテンツを保有する閲覧先のｗｅｂサーバに代理アクセスして取得した当該ｗｅｂコンテンツのデータを前記端末に応答する第３のステップと、
   を含むことを特徴とするパケットフィルタリング方法。
2. インターネット接続サービスにおいて、予め規制対象ＵＲＬが登録された規制対象ＵＲＬリストに基づいてｗｅｂコンテンツの閲覧規制を行うためのパケットフィルタリング方法であって、
   端末から送信される閲覧先のドメイン名に該当するｗｅｂサーバのＩＰアドレスを前記端末に応答するＤＮＳサーバが、前記規制対象ＵＲＬリストに登録されている規制対象ＵＲＬに含まれるドメイン名に対しては、前記規制対象ＵＲＬリストに基づいてＵＲＬフィルタリングを行う網内サーバのＩＰアドレスを前記端末に応答する第１のステップと、
   前記端末が、前記ＤＮＳサーバから応答される前記ＩＰアドレスを用いることで、閲覧先のＵＲＬを指定したｗｅｂコンテンツの閲覧要求を前記網内サーバに送信する第２のステップと、
   前記網内サーバが、前記閲覧先のＵＲＬと前記規制対象ＵＲＬリストを照合することにより閲覧先のｗｅｂコンテンツが規制対象であるか否かを判定し、当該ｗｅｂコンテンツが規制対象であると判定した場合は、当該ｗｅｂコンテンツは閲覧規制の対象である旨を前記端末に応答し、当該ｗｅｂコンテンツが規制対象でないと判定した場合は、前記端末から自装置宛に送信された前記閲覧要求の宛先アドレスを当該ｗｅｂコンテンツを保有する閲覧先のｗｅｂサーバのＩＰアドレスに書き換えて当該閲覧先のｗｅｂサーバに前記閲覧要求を送信する第３のステップと、
   当該閲覧先のｗｅｂサーバが、当該ｗｅｂコンテンツのデータを前記端末に応答する第４のステップと、
   を含むことを特徴とするパケットフィルタリング方法。
3. インターネット接続サービスにおいて、予め規制対象ＵＲＬが登録された規制対象ＵＲＬリストに基づいてｗｅｂコンテンツの閲覧規制を行うためのパケットフィルタリング方法であって、
   端末から送信される閲覧先のドメイン名に該当するｗｅｂサーバのＩＰアドレスを前記端末に応答するＤＮＳサーバが、前記規制対象ＵＲＬリストに登録されている規制対象ＵＲＬに含まれるドメイン名に対しては、前記規制対象ＵＲＬリストに基づいてＵＲＬフィルタリングを行う網内サーバのＩＰアドレスを前記端末に応答する第１のステップと、
   前記端末が、前記ＤＮＳサーバから応答される前記ＩＰアドレスを用いることで、閲覧先のＵＲＬを指定したｗｅｂコンテンツの閲覧要求を前記網内サーバに送信する第２のステップと、
   前記網内サーバが、前記閲覧先のＵＲＬと前記規制対象ＵＲＬリストを照合することにより閲覧先のｗｅｂコンテンツが規制対象であるか否かを判定し、当該ｗｅｂコンテンツが規制対象であると判定した場合は、当該ｗｅｂコンテンツは閲覧規制の対象である旨を前記端末に応答し、当該ｗｅｂコンテンツが規制対象でないと判定した場合は、当該ｗｅｂコンテンツを保有する閲覧先のｗｅｂサーバのＩＰアドレスを付して閲覧先がリダイレクトされた旨を前記端末に応答する第３のステップと、
   前記端末が、応答された前記リダイレクト先のＩＰアドレスを用いることで、前記閲覧要求を当該閲覧先のｗｅｂサーバに再送して当該ｗｅｂコンテンツのデータを取得する第４のステップと、
   を含むことを特徴とするパケットフィルタリング方法。
4. 請求項１から請求項３のいずれか一項に記載のパケットフィルタリング方法において、
   前記網内サーバが２台以上の構成となっている
   ことを特徴とするパケットフィルタリング方法。
5. インターネット接続サービスにおいて、予め規制対象ＵＲＬが登録された規制対象ＵＲＬリストに基づいてｗｅｂコンテンツの閲覧規制を行うためのパケットフィルタリング装置であって、
   端末から送信される閲覧先のドメイン名と当該ドメイン名に対して応答するＩＰアドレスとの対応付けデータを有し、前記対応付けデータのうち、前記規制対象ＵＲＬに含まれるドメイン名は、前記規制対象ＵＲＬリストに基づいてＵＲＬフィルタリングを行う網内サーバのＩＰアドレスに対応付けられており、前記対応付けデータを参照することで、前記端末から送信される閲覧先のドメイン名が前記規制対象ＵＲＬに含まれるドメイン名であるときは、前記網内サーバのＩＰアドレスを前記端末に応答するＤＮＳサーバと、
   前記端末から送信される、閲覧先のＵＲＬが指定されたｗｅｂコンテンツの閲覧要求を受信し、前記閲覧先のＵＲＬと前記規制対象ＵＲＬリストを照合することにより閲覧先のｗｅｂコンテンツが規制対象であるか否かを判定し、当該ｗｅｂコンテンツが規制対象であると判定した場合は、当該ｗｅｂコンテンツは閲覧規制の対象である旨を前記端末に応答し、当該ｗｅｂコンテンツが規制対象でないと判定した場合は、当該ｗｅｂコンテンツを保有する閲覧先のｗｅｂサーバに代理アクセスして取得した当該ｗｅｂコンテンツのデータを前記端末に応答する網内サーバと、
   を備えることを特徴とするパケットフィルタリング装置。
6. インターネット接続サービスにおいて、予め規制対象ＵＲＬが登録された規制対象ＵＲＬリストに基づいてｗｅｂコンテンツの閲覧規制を行うためのパケットフィルタリング装置であって、
   端末から送信される閲覧先のドメイン名と当該ドメイン名に対して応答するＩＰアドレスとの対応付けデータを有し、前記対応付けデータのうち、前記規制対象ＵＲＬに含まれるドメイン名は、前記規制対象ＵＲＬリストに基づいてＵＲＬフィルタリングを行う網内サーバのＩＰアドレスに対応付けられており、前記対応付けデータを参照することで、前記端末から送信される閲覧先のドメイン名が前記規制対象ＵＲＬに含まれるドメイン名であるときは、前記網内サーバのＩＰアドレスを前記端末に応答するＤＮＳサーバと、
   前記端末から送信される、閲覧先のＵＲＬが指定されたｗｅｂコンテンツの閲覧要求を受信し、前記閲覧先のＵＲＬと前記規制対象ＵＲＬリストを照合することにより閲覧先のｗｅｂコンテンツが規制対象であるか否かを判定し、当該ｗｅｂコンテンツが規制対象であると判定した場合は、当該ｗｅｂコンテンツは閲覧規制の対象である旨を前記端末に応答し、当該ｗｅｂコンテンツが規制対象でないと判定した場合は、前記端末から自装置宛に送信された前記閲覧要求の宛先アドレスを当該ｗｅｂコンテンツを保有する閲覧先のｗｅｂサーバのＩＰアドレスに書き換えて当該閲覧先のｗｅｂサーバに前記閲覧要求を送信する網内サーバと、
   を備えることを特徴とするパケットフィルタリング装置。
7. インターネット接続サービスにおいて、予め規制対象ＵＲＬが登録された規制対象ＵＲＬリストに基づいてｗｅｂコンテンツの閲覧規制を行うためのパケットフィルタリング装置であって、
   端末から送信される閲覧先のドメイン名と当該ドメイン名に対して応答するＩＰアドレスとの対応付けデータを有し、前記対応付けデータのうち、前記規制対象ＵＲＬに含まれるドメイン名は、前記規制対象ＵＲＬリストに基づいてＵＲＬフィルタリングを行う網内サーバのＩＰアドレスに対応付けられており、前記対応付けデータを参照することで、前記端末から送信される閲覧先のドメイン名が前記規制対象ＵＲＬに含まれるドメイン名であるときは、前記網内サーバのＩＰアドレスを前記端末に応答するＤＮＳサーバと、
   前記端末から送信される、閲覧先のＵＲＬが指定されたｗｅｂコンテンツの閲覧要求を受信し、前記閲覧先のＵＲＬと前記規制対象ＵＲＬリストを照合することにより閲覧先のｗｅｂコンテンツが規制対象であるか否かを判定し、当該ｗｅｂコンテンツが規制対象であると判定した場合は、当該ｗｅｂコンテンツは閲覧規制の対象である旨を前記端末に応答し、当該ｗｅｂコンテンツが規制対象でないと判定した場合は、当該ｗｅｂコンテンツを保有する閲覧先のｗｅｂサーバのＩＰアドレスを付して閲覧先がリダイレクトされた旨を前記端末に応答する網内サーバと、
   を備えることを特徴とするパケットフィルタリング装置。
8. 請求項５から請求項７のいずれか一項に記載のパケットフィルタリング装置において、
   前記網内サーバが２台以上の構成となっている
   ことを特徴とするパケットフィルタリング装置。

Images