JP2015173381A - 中継装置 - Google Patents

Abstract

【課題】Ｌ３ブリッジとして運用するホームゲートウェイ用中継装置に、スループットの低下を抑えながらＬＡＮ側からドメインによりアクセス可能にする。
【解決手段】ＬＡＮ側インターフェースから受信したＤＮＳクエリーパケットをＷＡＮ側インターフェースに転送するとともに、当該ＤＮＳクエリーパケットを解析して、当該中継装置自身を指定するＤＮＳクエリーパケットであれば、当該中継装置自身のＩＰアドレスを含むＤＮＳレスポンスをＤＮＳクエリーパケットの送信元アドレス宛に返送し、その返送に前後して、ＷＡＮ側インターフェースから受信した該当するＤＮＳレスポンスを遮断する。
【選択図】図９

Description

この発明は、一般家庭ＬＡＮとＷＡＮとを分けるホームゲートウェイとして利用可能な中継装置に関する。

現在、一般家庭でネットワークに接続する場合には、ネットワークへの接続部分においてホームゲートウェイを設け、このホームゲートウェイがＤＨＣＰサーバ機能やＮＡＰＴ機能といったルータとして機能させることが多い。また、光電話やＶＰＮといった種々のサービスが提供されるにつれて、ホームゲートウェイには多数の機能が実装されるようになっている。このため、事業者は開発機種を絞り込み、利用者との契約や設定に応じて、搭載している機能の一部又は全部を使用可能とすることがある。

利用者の契約によっては、ルータとして利用可能なホームゲートウェイ用中継装置を、Ｌ３スイッチとして動作させる設定で設置することもある。この場合、ＳＩＰサーバやＤＮＳサーバなどとして動作可能な機能を有していても、それらで用いるパケットをそのままブリッジすることになる。

このようなホームゲートウェイ用中継装置は、ＬＡＮ側の端末のｗｅｂブラウザからアクセスして、設定変更用のｗｅｂページを呼び出し、様々な設定変更を行える物が多い。この設定変更用ｗｅｂページの呼び出し方は、ＩＰｖ４環境ではhttp://192.168.0.1やhttp://192.168.1.1といったローカルＩＰアドレスを指定することが従来一般的に行われていた（非特許文献１）。

しかし、数字の羅列であるＩＰアドレスをアドレス欄に入力することはコンピュータに不慣れな利用者にとっては困難な場合も多い。このため、http://web.setup/や、http://（会社名）.setup/といった分かりやすいドメインネームを指定することでホームゲートウェイ自体のwebページを呼び出し可能にすることが行われている（例えば非特許文献２）。

http://windows.microsoft.com/ja-jp/windows/set-up-wireless-router http://buffalo.jp/support_s/buf9960/

しかしながら、一旦Ｌ３ブリッジとして設定した中継装置に対して、ＬＡＮ側の配下端末から設定画面のｗｅｂページを要求する場合にドメインネームでアドレスを指定しても失敗する場合がある。ドメインネームでのアクセスにあたって、配下端末はまずＤＮＳの名前を解決するために、ＤＮＳパケットを送信するが、Ｌ３ブリッジとなっている中継装置はこれをブリッジしてしまい、主に事業者が管理する上位のＤＮＳサーバに送られてしまう。上位のＤＮＳサーバは要求された中継装置の設定画面のドメイン情報を持っていないため、結果として中継装置を指定しようとするＤＮＳの名前を解決する要求に応じることはできない。このため、Ｌ３スイッチ化した中継装置自体を指定することができないため、ドメインネームにより設定画面を呼び出すことはできない。

これを解決するには、ＤＮＳサーバに個々のホームゲートウェイ用中継装置のドメイン情報を載せることでＤＮＳ解決を行うことが考えられる。しかし、ドメインに対して登録できるアドレスには数が限られており、ＤＮＳサーバに、返却しうる全てのホームゲートウェイ用中継装置のアドレスを登録することは、現実的ではない。

また、別の方法としては、ホームゲートウェイ用中継装置をＬ３ブリッジに設定する際に、実際にはプロキシとして動作するように設定することが考えられる。プロキシとすれば、ＤＮＳの名前の解決の要求に対して、ＤＮＳサーバとして振る舞うことができるので、配下端末から中継装置自身を指定するドメインネームの要求があった場合には自身のＩＰアドレスを返答することで、ドメインネームによるアクセスが可能となる。しかし、プロキシとして動作させるには、全てのパケットを一旦中継装置で終端し、再生成することになるので、スループットの低下は避けられず、中継装置の処理負荷も大きくなるため、装置の能力を上げなければならない場合もある。さらに、プロキシとして活動させてしまうのは、事業者の提供するサービスの区分上、より機能の多いサービスとの差別化を難しくしてしまうことにもなりかねない。

ところで、ドメインネームでのアクセスは不可能であるが、Ｌ３ブリッジ化しても多くの中継装置はＩＰアドレスを内部に保有しているため、ＩＰアドレスを直打ちして指定すれば設定画面のｗｅｂページを呼び出すことは可能である。だが、ＩＰｖ４でも初心者にとっては困難であったＩＰアドレスの直打ちによる指定は、可読性の低いＩＰｖ６アドレスが主流となった場合にはさらに困難になってしまう。

さらに他の方法としては、物理的な初期化を実行することでルータモードに切り替えることが出来る中継装置もあるが、その他ユーザが設定した設定値を含めて初期化されてしまうためユーザの利便性を損なうことが多い。

そこでこの発明は、ホームゲートウェイ用中継装置がＬ３スイッチとして働く際に、スループットをできるだけ低下させずに、ドメインネームによる自身宛の設定画面の要求に応答可能にして、利用者の利便性を向上させることを目的とする。

この発明は、
ＬＡＮ側インターフェースと、ＷＡＮ側インターフェースと、それらの間を中継するＬ３ブリッジ部とを有する中継装置であって、
ＬＡＮ側インターフェースから受信したＤＮＳクエリーパケットをＷＡＮ側インターフェースに転送するとともに、当該ＤＮＳクエリーパケットを解析し、解析した結果、当該中継装置自身を指定するＤＮＳクエリーパケットであれば、当該中継装置自身のＩＰアドレスを含むＤＮＳレスポンスをＤＮＳクエリーパケットの送信元アドレス宛に返送し、その返送に前後して、ＷＡＮ側インターフェースから受信する外部のＤＮＳサーバから返送された当該ＤＮＳクエリーパケットに対するＤＮＳレスポンスを遮断する、中継装置により上記の課題を解決したのである。

すなわち、ＤＮＳクエリーパケットが中継装置自身のアドレス解決を要求するものであれば、中継装置自身がＤＮＳサーバとして中継装置自身のＩＰアドレスを伝えることで、要求元が中継装置自身をドメイン名により指定することが可能になる。
一方で、パケットを全て止めた上で解析するのではなく、基本的に全てのパケットをＷＡＮ側に転送することで、スループットの低下を防ぐものとする。並行して、ＤＮＳクエリーパケットについてはパケットを内部にコピーすることで、その応答がＷＡＮ側インターフェースの先にあるＤＮＳサーバから戻ってくる間に、当該ＤＮＳクエリーパケットの解析と必要に応じた応答を進めてしまうことができる。そして、当該ＤＮＳクエリーパケットが中継装置自身を指定するものであれば、ＷＡＮ側インターフェースの先にあるＤＮＳサーバはＤＮＳレスポンスとしてエラーを返すが、これを中継装置が遮断することで、ＬＡＮ側の端末にエラー情報が届くことを防ぎ、中継装置自身が送ったＩＰアドレスのみが伝わることになる。

この発明を具体的に実現する形態としては、
ＬＡＮ側インターフェースと、ＷＡＮ側インターフェースと、それらの間を中継するＬ３ブリッジ部とを有する中継装置であって、
ＤＮＳクエリーパケットを処理するＤＮＳ処理部と、
中継装置を通過するＤＮＳクエリーパケットのうち、中継装置自身を指定したパケットのドメインを記録して、当該ＤＮＳクエリーパケットに対するＤＮＳレスポンスを遮断するロック状態である情報を保持するアドレスロックテーブルと、
上記アドレスロックテーブルにおいてロック状態にあるドメインの記録が一つも存在しなければ通過を許可する値とし、ロック状態にあるドメインの記録が一つ以上存在すれば通過を制限する値とするスイッチテーブルと、
を有する中継装置とし、
上記Ｌ３ブリッジ部は、
上記ＬＡＮ側インターフェースから受信したＤＮＳクエリーパケットを上記ＷＡＮ側インターフェースに転送するとともに、当該ＤＮＳクエリーパケットをコピーして上記ＤＮＳ処理部へ受け渡す、クエリー中継コピー手段と、
上記ＷＡＮ側インターフェースからＤＮＳレスポンスを受信した際に、当該ＤＮＳレスポンスに含まれるドメインが上記アドレスロックテーブルに記録されたロック状態である情報に該当すれば当該ＤＮＳレスポンスのパケットを破棄する該当パケット破棄手段と、
上記中継装置自身の名前の解決を要求するＤＮＳクエリーパケットの送信元アドレスへ、上記中継装置自身のアドレスを含むＤＮＳレスポンスを送信する自己アドレス通知手段と、
上記ＷＡＮ側インターフェースからＤＮＳレスポンスを受信した際に、上記スイッチテーブルを参照するスイッチ確認手段と、
上記スイッチテーブルが通過を許可する値であれば当該ＤＮＳレスポンスを速やかにＬ３ブリッジしてＬＡＮ側インターフェースに転送するスイッチ参照転送手段と、
を有し、
上記ＤＮＳ処理部は、
受け取ったＤＮＳクエリーパケットが中継装置自身のアドレスを解決するためのものであるか否かを判断するクエリー判断手段と、
上記クエリー判断手段で中継装置自身のアドレス解決のためであると判断されたＤＮＳクエリーパケットの送信元アドレスへ、中継装置自身のＩＰアドレスを含むＤＮＳの名前を解決するＤＮＳレスポンスを生成する自己アドレス指定手段と、
上記アドレスロックテーブルに、上記クエリー判断手段で中継装置自身のアドレス解決のためであると判断されたＤＮＳクエリーパケットのドメインを記録してロック状態とするロックドメイン記録手段と
上記アドレスロックテーブルの記録のうち、遮断の必要がなくなったドメインについて、上記ロック状態を解除するロック解除手段を有する
中継装置によって、実現可能である。

この発明により、ホームゲートウェイ用中継装置をＬ３スイッチとして使用する際にもスループットの低下を防ぎながら、端末からの容易な設定変更が可能となる。これにより、設置しておけばその後に当該中継装置が有する他の機能を使用するさらなるサービスを享受する契約への変更が容易にできるので、設置者にとっても事業者にとっても応用しやすくなる。

この発明にかかる中継装置の機能ブロックとＬＡＮ側ＷＡＮ側の構成を含んだ概要図 アドレスロックテーブルの例図 設定画面ドメインテーブルの例図 スイッチテーブルの例図 ＬＡＮ側から受信した際のＬ３ブリッジ部の処理フロー例図 ＬＡＮ側から受信した際のＤＮＳ処理部の処理フロー例図 ＷＡＮ側から受信した際のＬ３ブリッジ部の処理フロー例図 ＷＡＮ側から受信した際のＤＮＳ処理部の処理フロー例図 中継装置自身を指定するＤＮＳクエリーパケットを受信した際の処理例を示すシーケンス図 中継装置以外を指定するＤＮＳクエリーパケットを受信した際の処理例を示すシーケンス図

以下、この発明について具体的に説明する。
この発明は、ＬＡＮとＷＡＮとの間に設けられる中継装置である。基本的には一般家庭や小規模事業者などのＬＡＮにおいて用いられるホームゲートウェイとして利用可能な中継装置を対象とする。すなわち、大規模ネットワークで用いるような高度な演算能力を備えた中継装置ではない。中継装置としては、Ｌ３スイッチとして動作する際には、基本的にはルーティングやアドレス変換などの処理を行わないものである。ただし、これらの機能を備えたルータが設定変更によりＬ３スイッチとして動作するモードに切り替え可能である場合に、本発明にかかる中継装置に含まれる。このような設定変更をＬＡＮ側から行えるようにするための発明である。

この発明にかかる中継装置１の機能ブロック図を含む周囲のネットワーク構成図を図１に示す。家庭内ネットワークや小規模事業者ネットワークなどであるＬＡＮ５内には、中継装置１にアクセスして設定変更を行うことができるＨＴＴＰクライアント機能を有する端末２が設けられている。具体的には、ｗｅｂブラウザをインストールしたパソコンやタブレット、スマートフォンなどである。外部ネットワークであるＷＡＮ６は、通信事業者網やインターネットなどを含み、ネットワーク内のアクセスできる環境にＤＮＳサーバ３が設けられ、端末２がｗｅｂアクセスをする際に問い合わせ可能となっている。

また、ＬＡＮ５側、ＷＡＮ６側にその他の機器が設けられていてもよい。例えば、ＷＡＮ６側にエッジルータ７を介した上で外部ネットワークに接続されていても良い。この場合、実際には当該エッジルータ７によって区切られるＬＡＮ５内に中継装置１が存在することになる。以後、この状態を例にとり説明する。

中継装置１は、ＬＡＮ５に繋がるＬＡＮ側インターフェース２１と、ＷＡＮ６に繋がるＷＡＮ側インターフェース２２とを有し、その間を繋ぐＬ３ブリッジ部１１を有する。また、Ｌ３ブリッジ部１１からパケットを受け渡されるＤＮＳ処理部１２を有する。これらは、演算部（図示せず）によって実行されるプログラムでもよいし、又は当該機能を有するハードウェアにより実装するものでもよい。

また、中継装置１は記憶部１７を有する。記憶部１７自体は揮発性メモリでも不揮発性メモリでもよいが、この発明で用いる後述のテーブルには基本的に揮発性メモリを用いるとよい。記憶部１７には少なくとも一つのテーブルが設けられており、ＤＮＳ処理部１２及びＬ３ブリッジ部１１から参照又は書き換え可能である。

ＤＮＳ処理部１２は、中継装置１自体を指定するＤＮＳクエリーパケットを受け取ったときに、自身でＤＮＳの名前の解決をして端末２に返答するとともに、ＤＮＳサーバ３からの当該ＤＮＳクエリーパケットに対する応答であるＮｏＳｕｃｈＮａｍｅ応答パケットは端末２に送らずに自らで遮断する。このため、中継装置１自身を指定するパケットを受け取った際には、その内容を記憶部１７に記録しておき、Ｌ３ブリッジ部１１がＷＡＮ側インターフェース２２からの応答パケットを受け取ったときに、その記録を参照して必要に応じてパケットを遮断できるようにしておく。具体的には、記憶部１７に必要に応じたテーブルを作成する。

アドレスロックテーブル１４は、ＤＮＳクエリーパケットをＤＮＳ処理部１２が受け取った際に、そのＤＮＳクエリーパケットが中継装置１自身の有する画面を要求するドメインについて名前の解決を求めるものであった場合に、ＤＮＳサーバ３からのＮｏＳｕｃｈＮａｍｅ応答パケットを破棄するためのブロック対象アドレスを記載したテーブルである。このテーブルの例を図２に示す。受け取ったＤＮＳクエリーパケットの宛先であるＤＮＳサーバ３のアドレスと、リクエストされた中継装置１自身を示すドメインとの組み合わせについて、当該ドメインについて問い合わせたＤＮＳクエリーパケットが、Ｌ３ブリッジ部１１を通過した件数を、返答が来るまでカウントしておくロック回数と、タイムアウト時間であるタイマーとを有する。

このアドレスロックテーブル１４では、端末２が複数存在する場合など、複数のＤＮＳサーバ３に対してＤＮＳクエリーパケットが送られることがある。全てのＤＮＳサーバ３についてのリクエストをまとめても処理可能であるが、中継装置が指定した以外のＤＮＳサーバからのパケットであるか否かを速やかにＬ３レベルで判断して、効率的にパケットを処理するために、ＤＮＳサーバ３ごとにエントリを設けておく方が好ましい。
また、リクエストドメインは単数であることも多いが、例えば中継装置１が対応するサービスごとに異なるドメインを自身に割り当てる場合などには、複数種類のドメインが中継装置１自身を示すアドレスとしてテーブルに並ぶ。
さらに、画面表示に対してクリックが連発された場合や、複数の端末２から１分程度以下の短時間に中継装置１自身を指定するＤＮＳクエリーパケットが送信された場合など、同一のドメインについての問い合わせが並行して中継装置１を通過した場合に、それぞれのＤＮＳクエリーパケットに対してＤＮＳレスポンスが来るため、通過した当該ＤＮＳクエリーパケットに対するＤＮＳレスポンスのそれぞれをカウントしてロックの設定と解除ができるように、ロック回数をカウントしておくと好ましい。また、ＤＮＳクエリーパケットがＵＤＰで送られた場合、ＤＮＳサーバ３からの返答が無い場合もあるため、タイムアウトする時間を経過したらロックを解除できるようにしておく。このタイムアウト時刻は、例えば一のドメイン名について最後のリクエストが到着してから１分後にして、その時間を経過したらエントリを削除するという方式が挙げられる。また、予め定めた秒数をデクリメントしていく方式でもよい。

設定画面ドメインテーブル１３は、要求されたドメインが中継装置１自体を指すものであるか否かを参照するためのテーブルである。また、中継装置１自身を示すドメインが複数ある場合に、個々のドメインが指定することになる画面の種類を識別するためのテーブルである。この設定画面ドメインテーブル１３の例を図３に示す。ドメインが複数ある場合とは、大規模なWEBサーバを運用しているサービス事業者が複数のＨＴＴＰサーバーを提供している場合や、ホームゲートウェイのように単純にＨＴＴＰクライアントから指定された場合の一般用（図中「Ｎａｔｉｖｅ」で示す）に加えて、中継装置がＷｅｂサーバとして実行するＪａｖａ（登録商標）が提供する画面や、ルータライブラリ用のドメインなどが挙げられる。図３中では「Native」が一般用の画面（ページ）を呼び出すことを指示し、「Java」がJava専用の保持画面（ページ）を呼び出すことを指示するものである。これらのロケーションの違いを発揮させるには、例えば、端末に対して自己のアドレスを通知する際に指定されるべきポート番号を、Nativeであれば８０番ポートにし、Javaであれば8080番ポートを指定するといった形態で変更することにより、提供するＷｅｂページを変えることができる。この設定画面ドメインテーブル１３と、それに付随するポート番号などの設定を参照することにより、Native側からそれ以外のＷｅｂサーバ機能のアドレスを判別したり、逆に他のＷｅｂサーバ機能から、Native側の機能のアドレスを判別したりすることが可能となる。なお、中継装置１を示すドメインが一つだけである場合、図３のような区分を有するテーブルの代わりに、ドメインの値のみのテーブル、又は変数であればよい。

スイッチテーブル１５は、Ｌ３ブリッジ部１１がＤＮＳレスポンスをＷＡＮ側インターフェース２２から受信した際に、当該パケットを通過させるか、ＤＮＳ処理部１２の処理に引き渡すかを決定するテーブルである。その例を図４に示す。基本的には一項目のみであり、デフォルトは通過可能（図中「ＯＫ」で示す）である。また、１又は０の１ビットの変数として記録しておいてもよい。この項目は、アドレスロックテーブル１４のロック回数に対応しており、全てのドメインの記録のロック回数が０である場合には、ＤＮＳ処理部１２で処理する必要が無いので、通過可能となる。アドレスロックテーブル１４のテーブルを全て走査していると処理負荷が大きすぎるため、ロックがかかっていない場合はスイッチテーブル１５の値のみを参照することで通過可能とすることで、スループットを維持することができる。ＤＮＳ処理部１２がアドレスロックテーブル１４を参照して変更可能とし、Ｌ３ブリッジ部１１からは閲覧のみ可能にしておくとよい。または、通過可能の値となっているときは、無条件で通過させるようにしてもよい。

この発明にかかる中継装置１の実施形態例の処理フローを、図５以降のフロー例を用いて説明する。
まず（Ｓ１０１）、ＬＡＮ側インターフェース２１からパケットを受信したＬ３ブリッジ部１１は（Ｓ１０２）、取得したパケットのＬ３レイヤを確認するＬ３レイヤ確認手段１１６を実行する（Ｓ１０３）。このＬ３レイヤ確認手段として、次のＳ１０４及びＳ１０６を行う。まず、Ｌ３レイヤのアドレスが、中継装置１自身を示すＩＰアドレスであるか否かを判断する（Ｓ１０４）。中継装置１自身を示すＩＰアドレスであれば（Ｓ１０４−Ｙｅｓ）、下記の一連の手順を経てＤＮＳの名前の解決がされた後に直接に端末２からアクセスされたパケットであるため、ポート番号に応じて自身の各モジュールに引き渡して設定画面の選択及びその送信といったルーティング処理を行う（Ｓ１０５）。

一方、Ｌ３レイヤの宛先アドレスが中継装置１自身でない場合は（Ｓ１０４−Ｎｏ）、さらに、Ｌ３レイヤのプロトコル番号がＤＮＳか否かを確認する（Ｓ１０６）。ＤＮＳでなければ（Ｓ１０６−Ｎｏ）、Ｌ３ブリッジ部１１はそのまま中継して構わないため、ＷＡＮ側インターフェース２２にパケットを転送する（Ｓ１０８）。一方、Ｌ３レイヤのプロトコル番号がＤＮＳであった場合（Ｓ１０６−Ｙｅｓ）、すなわち、ＤＮＳクエリーパケットである場合は、ＤＮＳ処理部１２は当該パケットをコピーしてＤＮＳ処理部１２に受け渡す（Ｓ１０７）とともに、ＷＡＮ側インターフェース２２へ転送する（Ｓ１０８）クエリー中継コピー手段１１１を実行する。これにより、中継装置１としての転送は時間をかけずに行われる一方で、ＤＮＳクエリーパケットについては次のフローに記載のようにＤＮＳ処理部１２で処理する並行作業が可能となる。

次に、Ｓ１０７でＤＮＳクエリーパケットを受け渡されたＤＮＳ処理部１２での処理について図６のフロー例を用いて説明する。Ｌ３ブリッジ部１１からコピーされたＤＮＳクエリーパケットを受けとると（Ｓ１１２）、当該ＤＮＳクエリーパケットが中継装置１自身のアドレスを解決するためのものであるか否かを判断するクエリー判断手段１２１を実行する。具体的にはまず、当該ＤＮＳクエリーパケットの宛先ＩＰアドレスとドメインを抽出する（Ｓ１１３）。ここで、宛先ＩＰアドレスは、基本的には端末２が使用するＤＮＳサーバ３になる。抽出したドメインを、設定画面ドメインテーブル１３に記録されたドメインと比較する（Ｓ１１４）。なお、設定画面ドメインテーブル１３が無い場合は、この代わりに中継装置１を示すドメインを格納した固定の値を参照する。まとめて設定画面ドメインテーブル１３として説明する。このドメインが中継装置１の保持する画面を指定するものである場合には（Ｓ１１５−Ｙｅｓ）、Ｓ１１６以降の処理へ移る。該当しなければ（Ｓ１１５−Ｎｏ）、ＷＡＮ６上の他のサーバについてのＤＮＳの名前を解決するものであり、ＤＮＳサーバ３が応答できるものであるので、そこでＤＮＳ処理部１２の処理は終了する。ここまでがクエリー判断手段１２１である。

上記の抽出したドメインが該当する場合、当該ＤＮＳクエリーパケットがＤＮＳサーバ３に到達し、その応答によって返ってくるＤＮＳレスポンスを遮断する必要がある。そのために、遮断しなければならないＤＮＳサーバ３からのレスポンスに対応する情報を登録する、ロックドメイン記録手段１２３を実行する。具体的にはまず、当該ＤＮＳクエリーパケットの宛先ＩＰアドレスとドメインの組み合わせが、アドレスロックテーブル１４に登録済みのエントリに該当するか否かを判断する（Ｓ１１６）。
登録済みでなければ次に割り込みの処理として、アドレスロックテーブル１４に、登録済みのエントリが存在するか否かを判断する（Ｓ１１７）。もしエントリが一つも存在しなければ、デフォルトでは通過可能「ＯＫ」になっているスイッチテーブル１５の値を、通過制限「ＮＧ」へと変更する（Ｓ１１８）、スイッチＮＧ切替手段１２５を実行する。エントリが既に存在している場合は、スイッチテーブル１５の値は既に「ＮＧ」になっているので、そのまま次の処理へと進む。

なお、Ｓ１１７及びＳ１１８の組み合わせからなるスイッチＮＧ切替手段１２５は、Ｓ１１９との順序が前後しても良い。

次に、上記ロックドメイン記録手段１２３の具体的手続きとして、宛先ＩＰアドレス、すなわちＤＮＳサーバ３のアドレスと、要求しているドメインとを、アドレスロックテーブル１４に新たなエントリとして記録する（Ｓ１１９)。その上で、アドレスロックテーブル１４の当該エントリのロック回数を＋１し、ＤＮＳレスポンスが来たときには遮断できるように設定する（Ｓ１２０）。同時に、タイマーの数値を更新する。更新後の値は特に限定されないが、ＤＮＳクエリーパケットがＵＤＰである場合に、パケットが破棄されたと考えられる程度の時間であると好ましい。具体的には６０秒程度でよい。タイマーの設定としては、タイムアウトの時刻を登録・更新してもよいし、カウントされる秒数を１秒ごとにデクリメントしていく方式でもよい。

一方、Ｓ１１６において、既に同一のＩＰアドレスとドメインの組み合わせのエントリが存在するのであれば（Ｓ１１６−Ｙｅｓ）、同一のＤＮＳサーバ３への同一の問い合わせであるので、当該エントリのロック回数を＋１するとともにタイマーの数値を更新する（Ｓ１２０）。立て続けに複数の問い合わせがあった場合にこのような状態となる。インクリメントする処理とタイマーの更新処理自体は上記と同じである。

その上で、ＤＮＳ処理部１２は受け取ったＤＮＳクエリーパケットに対する応答として、中継装置１自身のＩＰアドレスを付与したＤＮＳレスポンスのパケットを生成する自己アドレス指定手段１２２を実行する。設定画面ドメインテーブル１３におけるロケーションが複数ある場合には、ポート番号など、その他の情報を付したパケットを生成するとよい。このＤＮＳレスポンスのパケットをＬ３ブリッジ部１１に受け渡すと、Ｌ３ブリッジ部１１は、元のＤＮＳクエリーパケットの送信元アドレスを宛先として、当該ＤＮＳレスポンスのパケットを送信する自己アドレス通知手段１１３を実行する（Ｓ１２１）。

このＤＮＳレスポンスを受けとった端末２は、中継装置１のＩＰアドレスに対してＨＴＴＰアクセスを行う。これを受け取った中継装置１は、内蔵するＨＴＴＰサーバ機能部（図示せず）により、設定画面ドメインテーブル１３にて定義したサービスに対応したｗｅｂページのデータを送信して、端末２からの設定変更を受け付け可能にする。

これと並行して、Ｌ３ブリッジ部１１が中継したＤＮＳクエリーパケットはＤＮＳサーバ３に到達する。このＤＮＳクエリーパケットが問い合わせるドメインが、ＤＮＳサーバ３で名前の解決を果たせるドメインであれば対応するＩＰアドレスを含むＤＮＳレスポンスを返すことができるが、中継装置１を示すものであれば、基本的にはＤＮＳの名前の解決が不可能であるドメイン名であるので、タイムアウトの後、ＮｏＳｕｃｈＮａｍｅパケットであるＤＮＳレスポンスを返す。

このＤＮＳレスポンスがＷＡＮ側インターフェース２２から返ってきたときの中継装置１の挙動を図７のフロー例を用いて説明する。まず（Ｓ２０１)、ＷＡＮ側インターフェース２２からパケットを受信すると（Ｓ２０２）、Ｌ３ブリッジ部１１はそのパケットのＬ３レイヤを確認する指定判別手段１１７を実行する（Ｓ２０３）。そのＬ３レイヤのアドレスが中継装置１自身を宛先とするものであれば（Ｓ２０４−Ｙｅｓ）、ブリッジせずにルーティング処理を行う（Ｓ２０５)。中継装置１自身を宛先とするものでなければ（Ｓ２０４−Ｎｏ）、ブリッジのための処理判断へと移る。

ここで、Ｌ３ブリッジ部１１は、スイッチテーブル１５の値を参照するスイッチ確認手段１１４を実行する（Ｓ２０６）。スイッチテーブル１５の値が通過可能（「ＯＫ」）であれば（Ｓ２０７−Ｙｅｓ）、その時点ではＤＮＳ処理部１２が遮断すべきＤＮＳレスポンスを待機しているわけではないので、Ｌ３ブリッジ部１１は当該パケットをそのままＬ３ブリッジしてＬＡＮ側インターフェース２１に転送するスイッチ参照転送手段１１５を実行する（Ｓ２１１）。スイッチテーブル１５の値が通過可能でない場合（Ｓ２０７−Ｎｏ）、当該パケットが破棄すべきものか否かをＤＮＳ処理部１２に問い合わせる破棄問合手段１１８を実行する（Ｓ２０８）。この問い合わせに対する処理は後述する。ＤＮＳ処理部１２から処理結果を通知されるまでは、当該パケットを保持したまま待機する（Ｓ２０９→Ｓ２１０）。予め定めた設定時間経過後までにＤＮＳ処理部１２から通知が来なければ、当該ＤＮＳレスポンスのパケットを破棄する該当パケット破棄手段１１２を実行する（Ｓ２１０→Ｓ２１２）。

なお、ＤＮＳ処理部１２から、当該パケットを破棄する旨の具体的な通知がＬ３ブリッジ部１１に伝達されるようにしてもよい。この場合、Ｓ２１０で待機することなく、通知が到達したらパケットを転送することなくそのまま終了させるという手順で該当パケット破棄手段１１２を実行する（Ｓ２１２）。

次に（Ｓ２２１）、Ｓ２０８で破棄問合手段１１８によるＤＮＳレスポンスを受け渡されたＤＮＳ処理部１２によるロック状態確認手段１２６の処理を図８のフローを用いて説明する。Ｌ３ブリッジ部１１より処理を引き継いだＤＮＳ処理部１２は、当該ＤＮＳレスポンスのパケットに含まれる送信元ＩＰアドレス及びドメインを抽出する（Ｓ２２３）。ここで送信元ＩＰアドレスとはＤＮＳサーバ３のアドレスである。その上でアドレスロックテーブル１４を確認し（Ｓ２２４）、抽出したＤＮＳサーバ３のアドレスとドメインの組み合わせがアドレスロックテーブル１４にあるか否かを判断する（Ｓ２２５）。

その組み合わせが存在していなければ（Ｓ２２５−Ｎｏ）、当該ＤＮＳレスポンスは中継装置１自身を指定したＤＮＳクエリーパケットに対する応答ではなく、ＷＡＮ６内のいずれかのサーバを指定したものであるため、そのまま遮断することなく転送して構わない。このため、Ｌ３ブリッジ部１１へ、通過させてよい旨の返答通知を送信する（Ｓ２２６→Ｓ２０９−Ｙｅｓ）。上記の通り、この返答通知を受けたＬ３ブリッジ部１１は保持していたパケットをＬＡＮ側インターフェース２１に転送し、端末２にＤＮＳレスポンスが届くことになる（Ｓ２１１)。

一方、上記の組み合わせが存在していれば（Ｓ２２５−Ｙｅｓ）、当該ＤＮＳレスポンスは、中継装置１自身のドメインを指定したＤＮＳクエリーパケットに対する応答であり、基本的にはＮｏＳｕｃｈＮａｍｅパケットである。この場合は、Ｌ３ブリッジ部１１に対して転送を認める旨の通知を出さない。ただし、遮断すべきＤＮＳレスポンスが返ってきたので、その遮断の役目を終えた分のロック状態の解除作業を行う。まず、アドレスロックテーブル１４から、当該組み合わせのエントリのロック回数を−１する（Ｓ２２７）。当該エントリのＤＮＳサーバ３及びドメインについて、もし待機しているＤＮＳレスポンスの数、すなわちＬ３ブリッジ部を先に通過したＤＮＳクエリーパケットが残り一つであった場合には、ロック回数が−１されて０になり、ロック状態が解除されるロック解除手段１２４が実行されることになる。

その上で、ＤＮＳ処理部１２は、アドレスロックテーブル１４の中に、ロック回数が０となっているエントリがあるか否かを確認する解除エントリ確認手段１２７を実行し（Ｓ２２８）、もし該当するエントリがあれば（Ｓ２２８−Ｙｅｓ）当該エントリを削除する（Ｓ２２９）。

さらに（Ｓ２２８−Ｎｏ）、アドレスロックテーブル１４のエントリのうち、終了時刻を記録する方式であればその時刻を経過しているものが存在しているか否か、残り時間をデクリメントする方式の場合はタイマーが０秒になっているものが存在しているか否かを確認するタイマー確認手段１２８を実行し（Ｓ２３０）、もし該当するエントリがあれば（Ｓ２３０−Ｙｅｓ）、当該エントリを削除する（Ｓ２３１）。

これらのテーブルの整理後に（Ｓ２３０−Ｎｏ）、アドレスロックテーブル１４にエントリがまだ存在するのであれば、Ｌ３ブリッジ部１１はまだＷＡＮ側インターフェースから受信したパケットを遮断するか否かの判断を継続しなければならないので（Ｓ２３２−Ｙｅｓ）、そのまま処理が終了する（Ｓ２３４）。一方、アドレスロックテーブル１４のエントリが全て削除されていれば（Ｓ２３２−Ｎｏ）、ＤＮＳレスポンスを遮断する必要がなくなったので、スイッチテーブル１５の通過の可否の値を通過可能な「ＯＫ」に変更する、スイッチ許可手段１２９を実行する（Ｓ２３３）。これにより、以後は新たなエントリがアドレスロックテーブル１４に追加されるまでは、Ｌ３ブリッジ部１１はＷＡＮ側インターフェース２２から受信した中継装置１を指定する以外のパケットについてそのままブリッジしてＬＡＮ側インターフェース２１に転送するスイッチ参照転送手段１１５を実行することになり、ブリッジとしてスループットを維持できるようになる。

いずれにしても、Ｌ３ブリッジ部１１に対してパケットの通過を認める旨の通知を出さなかった場合、Ｌ３ブリッジ部１１は、予め定められた時間のタイムアウトを待って（Ｓ２１０）、保留されているＤＮＳレスポンスのパケットは破棄される該当パケット破棄手段１１２を実行する。

なお、ＤＮＳ処理部１２は、Ｓ２２７に前後して、当該パケットを通過させずに破棄させる旨の通知をＬ３ブリッジ部１１に通知してもよい。この場合、Ｌ３ブリッジ部１１はタイムアウトを待つことなく、保持していた当該ＤＮＳレスポンスのパケットを破棄する該当パケット破棄手段１１２を実行する。

上記の一連の流れを図９及び図１０に示すシーケンス図により解説する。
まず端末２は、ＬＡＮ５を構成するエッジルータ７に対してRS(Router Solicitation)を送信し（Ｓ３０１）、エッジルータ７からRA(Router Advertisement)を受信する（Ｓ３０２）。次いでInformation Requestを送信して、ＤＮＳサーバ３のアドレスを含む応答をエッジルータから受信する。ここまでは中継装置１は単純にＬ３ブリッジとして作用し、パケットを素通しする。

次いで、端末２が中継装置１を指定するために、ＤＮＳクエリーパケットを送信する（Ｓ３１１）。ここでＬ３ブリッジ部１１は、Ｌ３レイヤ確認手段１１６でＤＮＳクエリーパケットと確認したら、ＷＡＮ側インターフェース２２（Ｓ３１２、Ｓ１０８）とＤＮＳ処理部１２（Ｓ３１３、Ｓ１０７）との両方に当該パケットを渡すクエリー中継コピー手段１１１を実行する。中継装置１を指定したＤＮＳクエリーパケットに対して、ＤＮＳ処理部１２は中継装置１自身のＩＰアドレスを含むＤＮＳレスポンスを生成してＬ３ブリッジ部１１に渡す（Ｓ３１４，Ｓ１２１）自己アドレス指定手段１２２を実行する。ＤＮＳレスポンスを受け取ったＬ３ブリッジ部１１は端末２へ当該ＤＮＳレスポンスを送信する自己アドレス通知手段１１３を実行する（Ｓ３１６、Ｓ１２１）。また、並行して、当該ＤＮＳサーバ３のアドレスと要求したドメインとをアドレスロックテーブル１４に登録してロック状態にするロックドメイン記録手段１２３を実行する（Ｓ３１５，Ｓ１１９，Ｓ１２０）。併せて、スイッチテーブル１５で通過を「ＮＧ」とするスイッチＮＧ切替手段１２５を実行する（Ｓ３１７、Ｓ１１８）。

中継装置１のＩＰアドレスを得た端末は、中継装置１の設定画面を呼び出すためにＨＴＴＰクライアントから当該ＩＰアドレスを指定したリクエストを送信する（Ｓ３２１）。このパケットはＩＰアドレスで直接に中継装置１を指定しているので、Ｌ３ブリッジ部１１はブリッジせずに、中継装置１の内部のＨＴＴＰサーバ１８にリクエストを受け渡す（Ｓ３２２）。ＨＴＴＰサーバ１８は設定画面ドメインテーブル１３で定義されたサービスに従って、対応するｗｅｂページのデータを生成してＬ３ブリッジ部１１に渡し（Ｓ３２５）、Ｌ３ブリッジ部１１はそのデータを端末２に送信する（Ｓ３２６）。以下図示しないが、当該ｗｅｂページのフォームを用いて中継装置１の設定を変更することができる。

一方、Ｓ３１２でＤＮＳサーバ３に送られたＤＮＳクエリーパケットについて、ＤＮＳサーバ３は当然にＤＮＳの名前の解決ができず、タイムアウトとなって、ＮｏＳｕｃｈＮａｍｅとなるＤＮＳレスポンスを返送する（Ｓ３３１）。Ｌ３ブリッジ部１１はこれを受信したら、スイッチテーブル１５を参照してこれを保留し、所定の時間が経過したり、破棄の指示を受け取ったら該当パケット破棄手段１１２を実行する。

なお、中継装置１以外についてＩＰアドレスを求めるＤＮＳクエリーパケット（Ｓ３５１）に対しては、クエリー中継コピー手段１１１が実行されるものの（Ｓ３５２，Ｓ３５３）、ＤＮＳ処理部１２でドメインを確認して、中継装置１自身でないことが確認されれば、アドレスロックテーブル１４やスイッチテーブル１５の更新が行われない。一方で、ＤＮＳサーバ３からＤＮＳレスポンスが返ってくる（Ｓ３５４）が、このときにスイッチ確認手段１１４を実行してスイッチテーブル１５が通過「ＯＫ」となっていれば、Ｌ３ブリッジ部１１はそのままＬＡＮ側インターフェースへと転送するスイッチ参照転送手段１１５を実行する。これによりＤＮＳの名前が解決され、端末２は外部のＨＴＴＰサーバにアクセスすることができ（Ｓ３５５，Ｓ３５６）、このときに中継装置１が障害となることはない。

１ 中継装置
２ 端末
３ ＤＮＳサーバ
５ ＬＡＮ
６ ＷＡＮ
７ エッジルータ
１１ Ｌ３ブリッジ部
１２ ＤＮＳ処理部
１３ 設定画面ドメインテーブル
１４ アドレスロックテーブル
１５ スイッチテーブル
１７ 記憶部
１８ ＨＴＴＰサーバ
２１ ＬＡＮ側インターフェース
２２ ＷＡＮ側インターフェース
１１１ クエリー中継コピー手段
１１２ 該当パケット破棄手段
１１３ 自己アドレス通知手段
１１４ スイッチ確認手段
１１５ スイッチ参照転送手段
１１６ Ｌ３レイヤ確認手段
１１７ 指定判別手段
１１８ 破棄問合手段
１２１ クエリー判断手段
１２２ 自己アドレス指定手段
１２３ ロックドメイン記録手段
１２４ ロック解除手段
１２５ スイッチＮＧ切替手段
１２６ ロック状態確認手段
１２７ 解除エントリ確認手段
１２８ タイマー確認手段
１２９ スイッチ許可手段

Claims (4)

1. ＬＡＮ側インターフェースと、ＷＡＮ側インターフェースと、それらの間を中継するＬ３ブリッジ部とを有する中継装置であって、
   ＬＡＮ側インターフェースから受信したＤＮＳクエリーパケットをＷＡＮ側インターフェースに転送するとともに、当該ＤＮＳクエリーパケットを解析し、解析した結果、当該中継装置自身を指定するＤＮＳクエリーパケットであれば、当該中継装置自身のＩＰアドレスを含むＤＮＳレスポンスをＤＮＳクエリーパケットの送信元アドレス宛に返送し、その返送に前後して、ＷＡＮ側インターフェースから受信する外部のＤＮＳサーバから返送された当該ＤＮＳクエリーパケットに対するＤＮＳレスポンスを遮断する中継装置。
2. ＤＮＳクエリーパケットを処理するＤＮＳ処理部と、
   上記中継装置を通過するＤＮＳクエリーパケットのうち、上記中継装置自身を指定したパケットのドメインを記録して、当該ＤＮＳクエリーパケットに対するＤＮＳレスポンスを遮断するロック状態である情報を保持するアドレスロックテーブルと、
   上記アドレスロックテーブルにおいてロック状態にあるドメインの記録が一つも存在しなければ通過を許可する値とし、ロック状態にあるドメインの記録が一つ以上存在すれば通過を制限する値とするスイッチテーブルと、
   を有し、
   上記Ｌ３ブリッジ部は、
   上記ＬＡＮ側インターフェースから受信したＤＮＳクエリーパケットを上記ＷＡＮ側インターフェースに転送するとともに、当該ＤＮＳクエリーパケットをコピーして上記ＤＮＳ処理部へ受け渡すクエリー中継コピー手段と、
   上記ＷＡＮ側インターフェースからＤＮＳレスポンスを受信した際に、当該ＤＮＳレスポンスに含まれるドメインが上記アドレスロックテーブルに記録されてロック状態である情報に該当すれば当該ＤＮＳレスポンスのパケットを破棄する該当パケット破棄手段と、
   上記中継装置自身の名前の解決を要求するＤＮＳクエリーパケットの送信元アドレスへ、上記中継装置自身のアドレスを含むＤＮＳレスポンスを送信する自己アドレス通知手段と、
   上記ＷＡＮ側インターフェースからＤＮＳレスポンスを受信した際に、上記スイッチテーブルを参照するスイッチ確認手段と、
   上記スイッチテーブルが通過を許可する値であれば当該ＤＮＳレスポンスをＬ３ブリッジしてＬＡＮ側インターフェースに転送するスイッチ参照転送手段と、
   を有し、
   上記ＤＮＳ処理部は、
   受け取ったＤＮＳクエリーパケットが上記中継装置自身のアドレスを解決するためのものであるか否かを判断するクエリー判断手段と、
   上記クエリー判断手段で上記中継装置自身のアドレス解決のためであると判断されたＤＮＳクエリーパケットの送信元アドレスへ、上記中継装置自身のＩＰアドレスを含むＤＮＳの名前を解決するＤＮＳレスポンスを生成する自己アドレス指定手段と、
   上記アドレスロックテーブルに、上記クエリー判断手段で中継装置自身のアドレス解決のためであると判断されたＤＮＳクエリーパケットのドメインを記録してロック状態とするロックドメイン記録手段と、
   上記アドレスロックテーブルの記録のうち、遮断の必要がなくなったドメインについて、上記ロック状態を解除するロック解除手段とを有する、
   請求項１に記載の中継装置。
3. ＬＡＮ側インターフェースと、ＷＡＮ側インターフェースと、それらの間を中継するＬ３ブリッジ部とを有する中継装置に対して、
   ＬＡＮ側インターフェースから受信したＤＮＳクエリーパケットをＷＡＮ側インターフェースに転送するとともに、当該ＤＮＳクエリーパケットをコピーして解析し、当該中継装置自身を指定するＤＮＳクエリーパケットであれば、当該中継装置自身のＩＰアドレスを含むＤＮＳレスポンスをＤＮＳクエリーパケットの送信元アドレス宛に返送すると共に、ＷＡＮ側インターフェースから受信した該当するＤＮＳレスポンスを遮断する、中継装置の運用方法。
4. ＬＡＮ側インターフェースとＷＡＮ側インターフェースと、その間を繋ぐＬ３ブリッジ部と、ＤＮＳクエリーパケットを処理するＤＮＳ処理部と、テーブルを記録可能な記憶部とを有する中継装置に対して、
   上記記憶部に、上記中継装置を通過するＤＮＳクエリーパケットのうち、中継装置自身を指定したパケットのドメインを記録して、それに対するＤＮＳレスポンスを遮断するロック状態である情報を保持するアドレスロックテーブルと、
   上記アドレスロックテーブルにおいてロック状態にあるドメインの記録が一つも存在しなければ通過を許可する値とし、ロック状態にあるドメインの記録が一つ以上存在すれば通過を制限する値とするスイッチテーブルと、
   を設け、
   上記Ｌ３ブリッジ部を
   上記ＬＡＮ側インターフェースから受信したＤＮＳクエリーパケットを上記ＷＡＮ側インターフェースに転送するとともに、当該ＤＮＳクエリーパケットをコピーして上記ＤＮＳ処理部へ受け渡すクエリー中継コピー手段と、
   上記ＷＡＮ側インターフェースからＤＮＳレスポンスを受信した際に、当該ＤＮＳレスポンスに含まれるドメインが上記アドレスロックテーブルに記録されてロック状態であれば当該ＤＮＳレスポンスのパケットを破棄する該当パケット破棄手段と、
   上記中継装置自身の名前の解決を要求するＤＮＳクエリーパケットの送信元へ、上記中継装置自身のアドレスを含むＤＮＳレスポンスを送信する自己アドレス通知手段と、
   上記ＷＡＮ側インターフェースからＤＮＳレスポンスを受信した際に、上記スイッチテーブルを参照するスイッチ確認手段と、
   上記スイッチテーブルが通過を許可する値であれば当該ＤＮＳレスポンスを速やかにＬ３ブリッジしてＬＡＮ側インターフェースに転送するスイッチ参照転送手段と、
   して機能させ、
   上記ＤＮＳ処理部を、
   受け取ったＤＮＳクエリーパケットが中継装置自身のアドレスを解決するためのものであるか否かを判断するクエリー判断手段と、
   上記クエリー判断手段で中継装置自身のアドレス解決のためであると判断されたＤＮＳクエリーパケットの送信元アドレスへ、ＤＮＳの名前を解決するＤＮＳレスポンスを生成する自己アドレス指定手段と、
   上記アドレスロックテーブルに、上記クエリー判断手段で中継装置自身のアドレス解決のためであると判断されたＤＮＳクエリーパケットのドメインを記録してロック状態とするロックドメイン記録手段と、
   上記アドレスロックテーブルの記録のうち、遮断の必要がなくなったドメインについて、上記ロック状態を解除するロック解除手段として機能させるためのプログラム。

Images