JP2018160843A - アドレス変換装置、情報処理システム及び情報処理システムの制御方法 - Google Patents

Abstract

【課題】ネットワークを介して提供するサービスのセキュリティを高めるための技術を提供する。
【解決手段】アドレス変換装置であるゲートウェイサーバ１は、第１の情報処理装置から、コンテンツの要求パケットを受信する受信部と、要求パケットに含まれる第１の送信元アドレスを、要求パケットの通信経路に対応する変換表を用いて第２の送信元アドレスに変換するアドレス変換部１００ａ〜１００ｃと、要求パケットを、コンテンツを提供するか否かを要求パケットに含まれる第２の送信元アドレスに基づき判定する第２の情報処理装置に送信する送信部とを有する。
【選択図】図１

Description

本発明は、アドレス変換装置、情報処理システム及び情報処理システムの制御方法に関する。

ＩａａＳ（Infrastructure as a Service）と呼ばれるクラウドサービスにおいては、コンピュータシステムを構築及び稼働させるための基盤がネットワークを介してユーザに提供される。基盤とは、例えば、コンピューティングリソース、ポータル、関連パッケージ及びコンピューティングリソースへのコンソール接続機能等である。

或るクラウドサービスにおいては、クラウドサービスを提供するサーバ（以下、サービスサーバと呼ぶ）に対して、ユーザの端末がグローバルＩＰ（Internet Protocol）アドレスを使用してインターネットを介してアクセスを行う。しかし、このようなサービス提供形態の場合、ユーザのＩＤ及びパスワードの盗難によって第三者によるなりすましが発生する可能性がある。また、サービスサーバへのアクセスに共通回線が使用されるため、第三者に対する情報漏洩が発生する可能性もある。

このような問題に関して、共通回線ではなく専用線を使用する技術が存在するが、専用線を使用すると異なるテナント間でユーザのプライベートＩＰアドレスが重複することがある。この場合、サービスサーバがＩＰアドレスによってユーザを識別することができず、クラウドサービスの提供に支障が発生する。

特開２０１２−２２２４６１号公報

本発明の目的は、１つの側面では、ネットワークを介して提供するサービスのセキュリティを高めるための技術を提供することである。

一態様に係るアドレス変換装置は、第１の情報処理装置から、コンテンツの要求パケットを受信する受信部と、要求パケットに含まれる第１の送信元アドレスを、要求パケットの通信経路に対応する変換表を用いて第２の送信元アドレスに変換する変換部と、要求パケットを、コンテンツを提供するか否かを要求パケットに含まれる第２の送信元アドレスに基づき判定する第２の情報処理装置に送信する送信部とを有する。

１つの側面では、ネットワークを介して提供するサービスのセキュリティを高めることができるようになる。

図１は、第１の実施の形態のシステム構成を示す図である。 図２は、第１の実施のアドレス変換部の機能ブロック図である。 図３は、ゲートウェイサーバのハードウエア構成図である。 図４は、第１の実施の変換表格納部に格納される変換表の一例を示す図である。 図５は、第１の実施のサービスサーバの機能ブロック図である。 図６は、サービスサーバのハードウエア構成図である。 図７は、第１の実施の照合データ格納部に格納されているデータの一例を示す図である。 図８は、コンテンツ格納部に格納されるデータの一例を示す図である。 図９は、第１の実施の形態のアドレス変換の具体例を示す図である。 図１０は、第１の実施の形態のシステムにおいて実行される処理の処理フローを示す図である。 図１１は、サービスサーバが実行する処理の処理フローを示す図である。 図１２は、サービスサーバがサービス申請に対する登録をする処理の処理フローを示す図である。 図１３は、第２の実施の形態のシステム構成を示す図である。 図１４は、ＶＳＷによる中継に使用される中継表の一例を示す図である。 図１５は、第２の実施のアドレス変換部の機能ブロック図である。 図１６は、第２の実施の変換表格納部に格納される変換表の一例を示す図である。 図１７は、仮想サービスサーバの機能ブロック図である。 図１８は、第２の実施の照合データ格納部に格納されているデータの一例を示す図である。 図１９は、情報処理装置のハードウエア構成図である。 図２０は、第２の実施の形態のシステムにおいて実行される処理の処理フローを示す図である。 図２１は、仮想サービスサーバがサービス申請に対する登録をする処理の処理フローを示す図である。 図２２は、第３の実施の形態のアドレス変換部の機能ブロック図である。 図２３は、アクセス制御データ格納部に格納されるデータの一例を示す図である。 図２４は、第３の実施の形態のシステムにおいて実行される処理の処理フローを示す図である。 図２５は、フィルタリング処理の処理フローを示す図である。

［実施の形態１］
図１は、第１の実施の形態のシステム構成を示す図である。サービスサーバ７は、ユーザの端末５ａ乃至５ｃに対してクラウドサービスを提供する物理サーバであり、端末５ａ乃至５ｃに提供するコンテンツ（例えば、パッチセットのデータやコンソール接続機能についてのデータ等）を管理する。

ゲートウェイサーバ１は、端末５ａ乃至５ｃとサービスサーバ７との間で転送されるパケットを中継する物理サーバであり、端末５ａ乃至５ｃの通信経路毎にアドレス変換部を有する。図１の例においては、アドレス変換部１００ａは通信経路１１ａに対応し、アドレス変換部１００ｂは通信経路１１ｂに対応し、アドレス変換部１００ｃは通信経路１１ｃに対応する。アドレス変換部１００ａ乃至１００ｃは、仮想サーバとして実現される。

端末５ａ乃至５ｃは、例えば専用線を介してサービスサーバ７との通信を行う。図１の例においては、端末５ａ乃至５ｃはそれぞれ異なるテナントに属しており、端末５ａの操作者はユーザ１であり、端末５ｂの操作者はユーザ２であり、端末５ｃの操作者はユーザ３である。

物理サーバ９ａ乃至９ｃは、クラウドサービスによって端末５ａ乃至５ｃに割り当てられる物理リソースを含み、物理サーバ９ａ乃至９ｃ上では仮想マシンが動作する。具体的には、端末５ａのユーザ１は物理サーバ９ａを利用し、端末５ｂのユーザ２は物理サーバ９ｂを利用し、端末５ｃのユーザ１は物理サーバ９ｃを利用する。

ルータ３ａ乃至３ｃは、端末５ａ乃至５ｃとサービスサーバ７との間で転送されるパケットを中継する中継装置である。図１において、破線より右側の部分はクラウドサービス環境に相当する。

なお、図１において端末の数は３であるが数に限定は無い。

図２は、アドレス変換部１００ａの機能ブロック図である。アドレス変換部１００ａは、変換部１０１と、変換表格納部１０３と、仮想的なポートに相当するＶＮＥＴ（Virtual Network）１０５と、仮想的なネットワークインタフェースカードに相当するＶＮＩＣ（Virtual Network Interface Card）１０７とを含む。

変換部１０１は、ＶＮＥＴ１０５を介して受信した要求パケットに含まれるＩＰアドレスを、変換表格納部１０３に格納されている変換表を用いて変換し、ＩＰアドレスが変換された要求パケットをＶＮＩＣ１０７に出力する。また、変換部１０１は、ＶＮＩＣ１０７を介して受信した応答パケットに含まれるＩＰアドレスを、変換表格納部１０３に格納されている変換表を用いて変換し、ＩＰアドレスが変換された応答パケットをＶＮＥＴ１０５に出力する。

変換部１０１、ＶＮＥＴ１０５及びＶＮＩＣ１０７は、図３におけるメモリ１５３に格納されたプログラムが図３におけるＣＰＵ（Central Processing Unit）１５１によって実行されることで実現される。変換表格納部１０３は、例えば、メモリ１５３又は図３におけるＨＤＤ（Hard Disk Drive）１５５に設けられる。

なお、アドレス変換部１００ｂ及びアドレス変換部１００ｃの機能ブロック構成はアドレス変換部１００ａの機能ブロック構成と同じである。但し、アドレス変換部１００ａ乃至１００ｃは、それぞれ異なる変換表を有している。

図４は、変換表格納部１０３に格納される変換表の一例を示す図である。変換表は、ＶＮＥＴ及びＶＮＩＣのそれぞれについて、変換前のＩＰアドレスと変換後のＩＰアドレスとを格納する。図４の例では、ＶＮＥＴ１０５を介して受信した要求パケットに含まれるＩＰアドレスは、１行目のエントリ又は２行目のエントリを用いて変換され、ＶＮＩＣ１０７を介して受信した応答パケットに含まれるＩＰアドレスは、３行目のエントリ又は４行目のエントリを用いて変換される。

図５は、サービスサーバ７の機能ブロック図である。サービスサーバ７は、サービス処理部７０１と、照合データ格納部７０３と、コンテンツ格納部７０５とを含む。サービス処理部７０１は、ゲートウェイサーバ１を介して端末５ａ乃至５ｃから受信した要求パケットに含まれるデータと、照合データ格納部７０３に格納されているデータとに基づき、要求パケットが真正のユーザの端末から受信した要求パケットであるか判定する。要求パケットが真正のユーザの端末から受信した要求パケットである場合、サービス処理部７０１は、コンテンツ格納部７０５から読み出したコンテンツを含む応答パケットを、要求パケットの送信元のユーザの端末に対して送信する。

なお、サービス処理部７０１は、図６におけるメモリ７５３に格納されたプログラムが図６におけるＣＰＵ７５１によって実行されることで実現される。照合データ格納部７０３及びコンテンツ格納部７０５は、例えば、メモリ７５３又は図６におけるＨＤＤ７５５に設けられる。

図７は、照合データ格納部７０３に格納されているデータの一例を示す図である。図７の例では、ユーザの識別情報（本実施の形態においては、アカウント名等のユーザアカウント情報）と、認証情報（本実施の形態においてはパスワード）と、変換後の送信元ＩＰアドレスとが格納される。ユーザの識別情報および認証情報は、端末へのログイン等に使用される。

図８（ａ）乃至図８（ｃ）は、コンテンツ格納部７０５に格納されるデータの一例を示す図である。図８（ａ）においては、ユーザ毎にポータルについてのデータが格納されている。図８（ｂ）においては、ユーザ毎にパッチについてのデータが格納されている。図８（ｃ）においては、ユーザ毎にコンソール接続についてのデータが格納されている。

図９は、第１の実施の形態のアドレス変換の具体例を示す図である。ここでは、図４に示した変換表を用いてアドレス変換が行われるとする。例えば、端末５ａが、送信元ＩＰアドレスが「１９２．１６８．０．１０」であり且つ宛先ＩＰアドレスが「１９２．１６８．０．１３０」である要求パケットを送信したとする。ゲートウェイサーバ１のアドレス変換部１００ａは、ＶＮＥＴ１０５を介して要求パケットを受信し、変換表格納部１０３に格納されている変換表を用いて送信元ＩＰアドレス及び宛先ＩＰアドレスを変換する。具体的には、送信元ＩＰアドレスは仮想サーバであるアドレス変換部１００ａのサービスサーバ側ＩＰアドレス「１７２．１６８．４．８」に変換され、宛先ＩＰアドレスは「１９２．１６８．０．１３０」から「１７２．１６８．４．２３０」に変換される。アドレスが変換された要求パケットは、サービスサーバ７に転送される。

サービスサーバ７は、受信した要求パケットに含まれる送信元ＩＰアドレス並びにユーザの識別情報及び認証情報を用いて照合を実行し、真正のユーザの端末から送信された要求パケットであることを確認する。真正のユーザの端末から送信された要求パケットであることが確認されると、サービスサーバ７は、要求されたコンテンツを含む応答パケットを送信する。応答パケットの送信元ＩＰアドレスは「１７２．１６８．４．２３０」であり、応答パケットの宛先ＩＰアドレスは「１７２．１６８．４．８」である。

ゲートウェイサーバ１のアドレス変換部１００ａは、ＶＮＩＣ１０７を介して応答パケットを受信し、変換表格納部１０３に格納されている変換表を用いて送信元ＩＰアドレス及び宛先ＩＰアドレスを変換する。具体的には、送信元ＩＰアドレスは仮想サーバであるアドレス変換部１００ａの端末側ＩＰアドレス「１９２．１６８．０．１３０」に変換され、宛先ＩＰアドレスは「１７２．１６８．４．８」から「１９２．１６８．０．１０」に変換される。

次に、図１０乃至図１２を用いて、第１の実施の形態において実行される処理について説明する。ここでは、端末５ａがコンテンツの要求パケットを送信するものとする。

端末５ａは、サービスサーバ７が管理するコンテンツの要求パケットを生成する。要求パケットは、ユーザの識別情報、認証情報、送信元ＩＰアドレス及び宛先ＩＰアドレス等を含む。そして、端末５ａは、生成した要求パケットを送信する（図１０：ステップＳ１）。

ゲートウェイサーバ１のアドレス変換部１００ａの変換部１０１は、ＶＮＥＴ１０５を介して、ステップＳ１において送信された要求パケットを受信する（ステップＳ３）。

変換部１０１は、ステップＳ３において受信した要求パケットの通信経路（ここでは、通信経路１１ａ）に対応する変換表を用いて、要求パケットに含まれる送信元ＩＰアドレス及び宛先ＩＰアドレスを変換する（ステップＳ５）。

変換部１０１は、変換後の送信元ＩＰアドレスと変換後の宛先ＩＰアドレスとを含む要求パケット（すなわち、送信元ＩＰアドレスと宛先ＩＰアドレスとが変換された要求パケット）を、ＶＮＩＣ１０７を介してサービスサーバ７に送信する（ステップＳ７）。

サービスサーバ７のサービス処理部７０１は、ゲートウェイサーバ１が送信した要求パケットを受信する（ステップＳ９）。

サービス処理部７０１は、受信した要求パケットに含まれるユーザの識別情報、認証情報及び変換後の送信元ＩＰアドレスの組合せと同じ組合せのエントリが照合データ格納部７０３に格納されているか判定する（ステップＳ１１）。

サービス処理部７０１は、照合が成功した場合（すなわち、対象の組合せと同じ組合せのエントリが照合データ格納部７０３に格納されている場合）、要求パケットに含まれる宛先ＩＰアドレスにて特定されるコンテンツを、コンテンツ格納部７０５から読み出す（ステップＳ１３）。

サービス処理部７０１は、ステップＳ１３において読み出したコンテンツを含む応答パケットを、要求パケットの送信元を宛先とし且つ要求パケットの宛先を送信元として送信する（ステップＳ１５）。応答パケットは、宛先ＩＰアドレスと同じＩＰアドレスを有するアドレス変換部（ここでは、アドレス変換部１００ａ）に転送される。

アドレス変換部１００ａの変換部１０１は、ＶＮＩＣ１０７を介して応答パケットを受信する。そして、変換部１０１は、応答パケットが送信される通信経路（ここでは、通信経路１１ａ）に対応する変換表を用いて、応答パケットに含まれる送信元ＩＰアドレス及び宛先ＩＰアドレスを変換する（ステップＳ１７）。

変換部１０１は、変換後の送信元ＩＰアドレスと変換後の宛先ＩＰアドレスとを含む応答パケット（すなわち、送信元ＩＰアドレスと宛先ＩＰアドレスとが変換された応答パケット）を、ＶＮＥＴ１０５を介して端末５ａに送信する（ステップＳ１８）。

そして、端末５ａは、ゲートウェイサーバ１からの応答パケットを受信する（ステップＳ１９）。

以上のように、第１の実施の形態においては、物理的な通信経路毎に、プロキシとして動作するアドレス変換部が設けられており、各アドレス変換部はそれぞれ異なる変換表を用いてアドレス変換を実行する。変換後の送信元ＩＰアドレスは、アドレス変換部のＩＰアドレスに相当する。このＩＰアドレスを用いれば、真正な通信経路からアクセスされたか否かを確認することができるので、不正アクセスを防止し、セキュリティを高めることができるようになる。

図１１は、ステップＳ９乃至Ｓ１５においてサービスサーバ７が実行する処理の詳細な処理フローを示す図である。

まず、サービスサーバ７のサービス処理部７０１は、ゲートウェイサーバ１が送信した要求パケットを受信する（図１１：ステップＳ２１）。

サービス処理部７０１は、受信した要求パケットに含まれるユーザの識別情報、認証情報及び変換後の送信元ＩＰアドレスを読み出す（ステップＳ２３）。

サービス処理部７０１は、ステップＳ２３において読み出したユーザの識別情報、認証情報及び変換後の送信元ＩＰアドレスの組合せと同じ組合せのエントリが照合データ格納部７０３に格納されているか判定する（ステップＳ２５）。

対象の組合せと同じ組合せのエントリが照合データ格納部７０３に格納されていない場合（ステップＳ２７：Ｎｏルート）、要求パケットの送信元の端末は真正のユーザの端末ではない可能性がある。そのため処理は終了する。

一方、対象の組合せと同じ組合せのエントリが照合データ格納部７０３に格納されている場合（ステップＳ２７：Ｙｅｓルート）、サービス処理部７０１は、以下の処理を実行する。具体的には、サービス処理部７０１は、ステップＳ２３において読み出したユーザの識別情報に対応するコンテンツであって要求パケットの宛先ＩＰアドレスにて特定されるコンテンツをコンテンツ格納部７０５から読み出す（ステップＳ２９）。

サービス処理部７０１は、ステップＳ２９において読み出されたコンテンツを含む応答パケットを、要求パケットの送信元ＩＰアドレスを宛先ＩＰアドレスとし且つ要求パケットの宛先ＩＰアドレスを送信元ＩＰアドレスとして、ゲートウェイサーバ１に送信する（ステップＳ３１）。そして処理は終了する。

図１２は、サービスサーバ７がサービス申請に対する登録をする処理の処理フローを示す図である。本処理は、例えば、サービスサーバ７にサービス申請データが登録されたときに実行される。

まず、サービス処理部７０１は、サービス申請データをサービスサーバ７のＨＤＤ７５５から読み出す（図１２：ステップＳ４１）。サービス申請データは、例えば、ユーザの識別情報、ユーザが属するテナントのＩＤ及び認証情報等を含む。

サービス処理部７０１は、サービス申請データに係るユーザの端末の通信経路に対応するアドレス変換部を、ゲートウェイサーバ１に生成させる（ステップＳ４３）。生成されたアドレス変換部の変換表は、他のアドレス変換部の変換表とは異なる。

サービス処理部７０１は、サービス申請データに含まれるユーザの識別情報及び認証情報と変換後の送信元ＩＰアドレス（すなわち、ステップＳ４３において生成されたアドレス変換部のサービスサーバ７側ＩＰアドレス）とを含むエントリを、照合データ格納部７０３に登録する（ステップＳ４５）。

サービス処理部７０１は、サービス申請データに係るユーザのコンテンツをユーザの識別情報に対応付けてコンテンツ格納部７０５に格納する（ステップＳ４７）。そして処理は終了する。

以上のような処理を実行すれば、クラウドサービスの提供を受ける新たなユーザの認証を適切に実行することができるようになる。

［実施の形態２］
第１の実施の形態においては物理的な通信経路毎にアドレス変換部が生成されるが、第２の実施の形態においては仮想的な通信経路毎にアドレス変換部が生成される。

図１３は、第２の実施の形態のシステム構成を示す図である。第２の実施の形態における情報処理装置２は、仮想化ソフトウエアであるハイパバイザ２３を実行し、ハイパバイザ２３上では仮想ゲートウェイサーバ２１及び仮想サービスサーバ２２が動作する。

ハイパバイザ２３は、仮想スイッチであるＶＳＷ（Virtual SWitch）２３１及び２３３と、仮想的なポートに相当するＶＮＥＴ２３２ａ乃至２３２ｅとを含む。ＶＮＥＴ２３２ｅは、仮想サービスサーバ２２に仮想的に接続される。

仮想ゲートウェイサーバ２１は、アドレス変換部２１０ａ乃至２１０ｃと、ＶＮＩＣ２１１ａ乃至２１１ｃとを含む。アドレス変換部２１０ａはＶＬＡＮ（Virtual Local Area Network） ＩＤが「１０」であるテナント１に対応しており、ＶＮＥＴ２３２ａからのパケットを受信する。アドレス変換部２１０ｂはＶＬＡＮ ＩＤが「２０」であるテナント２に対応しており、ＶＮＥＴ２３２ｂからのパケットを受信する。アドレス変換部２１０ｃはＶＬＡＮ ＩＤが「３０」であるテナント３に対応しており、ＶＮＥＴ２３２ｃからのパケットを受信する。ＶＮＥＴ２３２ａとアドレス変換部２１０ａとの間の通信経路２１２ａ、ＶＮＥＴ２３２ｂとアドレス変換部２１０ｂとの間の通信経路２１２ｂ、及びＶＮＥＴ２３２ｃとアドレス変換部２１０ｃとの間の通信経路２１２ｃは、仮想的な通信経路である。アドレス変換部２１０ａにおいてアドレスが変換されたパケットはＶＮＩＣ２１１ａから出力され、アドレス変換部２１０ｂにおいてアドレスが変換されたパケットはＶＮＩＣ２１１ｂから出力され、アドレス変換部２１０ｃにおいてアドレスが変換されたパケットはＶＮＩＣ２１１ｃから出力される。

端末５ｄ乃至５ｆは、同一のテナント（ここではテナント１）に属しており且つ同一のルータ（ここではルータ３ｄ）に接続される。端末５ｄの操作者はユーザ１１であり、端末５ｅの操作者はユーザ１２であり、端末５ｆの操作者はユーザ１３である。

物理サーバ９ｄは、クラウドサービスによって端末５ｄ乃至５ｆに割り当てられる物理リソースを含み、物理サーバ９ｄ上では仮想マシンが動作する。具体的には、端末５ｄ乃至５ｆのユーザは物理サーバ９ｄを利用する。

ルータ３ｄは、端末５ｄ乃至５ｆと情報処理装置２との間で転送されるパケットを中継する中継装置である。

なお、図１３において端末の数は３であるが数に限定は無い。

図１４は、ＶＳＷ２３１による中継に使用される中継表の一例を示す図である。ＶＳＷ２３１は、端末５ｄ乃至５ｆから受信したパケットからＶＬＡＮ ＩＤを読み出し、読み出したＶＬＡＮ ＩＤに対応するＶＮＥＴを中継表から特定する。そして、ＶＳＷ２３１は、特定されたＶＮＥＴにパケットを出力する。

図１５は、アドレス変換部２１０ａの機能ブロック図である。アドレス変換部２１０ａは、変換部２１０１と、変換表格納部２１０３とを含む。アドレス変換部２１０ａは、例えば仮想サーバとして実現される。

変換部２１０１は、ＶＮＥＴ２３２ａを介して受信した要求パケットに含まれるＩＰアドレスを、変換表格納部２１０３に格納されている変換表を用いて変換し、ＩＰアドレスが変換された要求パケットをＶＮＩＣ２１１ａに出力する。また、変換部２１０１は、ＶＮＩＣ２１１ａを介して受信した応答パケットに含まれるＩＰアドレスを、変換表格納部２１０３に格納されている変換表を用いて変換し、ＩＰアドレスが変換された応答パケットをＶＮＥＴ２３２ａに出力する。

なお、アドレス変換部２１０ｂ及びアドレス変換部２１０ｃの機能ブロック構成はアドレス変換部２１０ａの機能ブロック構成と同じである。但し、アドレス変換部２１０ａ乃至２１０ｃは、それぞれ異なる変換表を有している。

図１６は、変換表格納部２１０３に格納される変換表の一例を示す図である。変換表は、ＶＮＥＴ及びＶＮＩＣのそれぞれについて、変換前のＩＰアドレスと変換後のＩＰアドレスとを格納する。図１６の例では、ＶＮＥＴ２３２ａを介して受信した要求パケットに含まれるＩＰアドレスは、１行目から３行目までのエントリを用いて変換され、ＶＮＩＣ２１１ａを介して受信した応答パケットに含まれるＩＰアドレスは、４行目から６行目までのエントリを用いて変換される。

図１７は、仮想サービスサーバ２２の機能ブロック図である。仮想サービスサーバ２２は、サービス処理部２２０１と、照合データ格納部２２０３と、コンテンツ格納部２２０５とを含む。サービス処理部２２０１は、仮想ゲートウェイサーバ２１を介して端末５ｄ乃至５ｆから受信した要求パケットに含まれるデータと、照合データ格納部２２０３に格納されているデータとに基づき、要求パケットが真正のユーザの端末から受信した要求パケットであるか判定する。要求パケットが真正のユーザの端末から受信した要求パケットである場合、サービス処理部２２０１は、コンテンツ格納部２２０５から読み出したコンテンツを含む応答パケットを、要求パケットの送信元のユーザの端末に対して送信する。

図１８は、照合データ格納部２２０３に格納されているデータの一例を示す図である。図１８の例では、ユーザの識別情報（本実施の形態においては、アカウント名等のユーザアカウント情報）と、認証情報（本実施の形態においてはパスワード）と、ユーザが属するテナントの識別情報と、変換後の送信元ＩＰアドレスとが格納される。ユーザの識別情報および認証情報は、端末へのログイン等に使用される。

図１９は、情報処理装置２のハードウエア構成図である。情報処理装置２は、１又は複数のＣＰＵ２５１と、１又は複数のメモリ２５３と、１又は複数のＨＤＤ２５５とを有する。図１３に示したハイパバイザ２３、仮想ゲートウェイサーバ２１及び仮想サービスサーバ２２は、図１９に示したメモリ２５３にロードされたプログラムが図１９に示したＣＰＵ２５１によって実行されることで実現される。なお、変換表格納部２１０３、照合データ格納部２２０３及びコンテンツ格納部２２０５は、メモリ２５３又はＨＤＤ２５５に設けられる。

次に、図２０及び図２１を用いて、第２の実施の形態において実行される処理について説明する。ここでは、端末５ｄがコンテンツの要求パケットを送信するものとする。

端末５ｄは、仮想サービスサーバ２２が管理するコンテンツの要求パケットを生成する。要求パケットは、ユーザの識別情報、認証情報、テナントＩＤ、送信元ＩＰアドレス及び宛先ＩＰアドレス等を含む。そして、端末５ｄは、生成した要求パケットを情報処理装置２に送信する（図２０：ステップＳ５１）。

仮想ゲートウェイサーバ２１のアドレス変換部２１０ａの変換部２１０１は、ＶＮＥＴ２３２ａを介して、ステップＳ５１において送信された要求パケットを受信する（ステップＳ５３）。

変換部２１０１は、ステップＳ５３において受信した要求パケットに含まれるＶＬＡＮ ＩＤに対応する変換表を用いて、要求パケットに含まれる送信元ＩＰアドレス及び宛先ＩＰアドレスを変換する（ステップＳ５５）。

変換部２１０１は、変換後の送信元ＩＰアドレスと変換後の宛先ＩＰアドレスとを含む要求パケット（すなわち、送信元ＩＰアドレスと宛先ＩＰアドレスとが変換された要求パケット）を、ＶＮＩＣ２１１ａに出力する（ステップＳ５７）。

仮想サービスサーバ２２のサービス処理部２２０１は、ＶＮＩＣ２１１ａから出力された要求パケットを受信する（ステップＳ５９）。

サービス処理部２２０１は、受信した要求パケットに含まれるユーザの識別情報、認証情報、テナントＩＤ及び変換後の送信元ＩＰアドレスの組合せと同じ組合せのエントリが照合データ格納部２２０３に格納されているか判定する（ステップＳ６１）。

サービス処理部２２０１は、照合が成功した場合（すなわち、対象の組合せと同じ組合せのエントリが照合データ格納部２２０３に格納されている場合）、要求パケットに含まれるテナントＩＤに対応するコンテンツであって要求パケットに含まれる宛先ＩＰアドレスにて特定されるコンテンツを、コンテンツ格納部２２０５から読み出す（ステップＳ６３）。ステップＳ６３においては、要求パケットに含まれる宛先ＩＰアドレスにて特定されるコンテンツが読み出される。

サービス処理部２２０１は、ステップＳ６３において読み出したコンテンツを含む応答パケットを、要求パケットの送信元を宛先とし且つ要求パケットの宛先を送信元として送信する（ステップＳ６５）。応答パケットは、宛先ＩＰアドレスと同じＩＰアドレスを有するアドレス変換部（ここでは、アドレス変換部２１０ａ）に転送される。

アドレス変換部２１０ａの変換部２１０１は、ＶＮＩＣ２１１ａを介して応答パケットを受信する。そして、変換部２１０１は、応答パケットに含まれるＶＬＡＮ ＩＤに対応する変換表を用いて、応答パケットに含まれる送信元ＩＰアドレス及び宛先ＩＰアドレスを変換する（ステップＳ６７）。なお、図１６の４行目および５行目に示したように、１つの変換前ＩＰアドレスに対して複数の変換後ＩＰアドレスが対応付けられる場合がある。このような場合には、応答パケットに含まれるポートＩＤをさらに用いて、適切な変換後ＩＰアドレスが特定される。但し、ポートＩＤは一例であり、ポートＩＤ以外の情報（例えばセッションＩＤ）を用いてもよい。

変換部２１０１は、変換後の送信元ＩＰアドレスと変換後の宛先ＩＰアドレスとを含む応答パケット（すなわち、送信元ＩＰアドレスと宛先ＩＰアドレスとが変換された応答パケット）を、ＶＮＥＴ２３２ａに出力する（ステップＳ６８）。

そして、端末５ｄは、ＶＮＥＴ２３２ａから出力された応答パケットを受信する（ステップＳ６９）。

以上のように、第２の実施の形態においては、仮想的な通信経路毎に、プロキシとして動作するアドレス変換部が設けられており、各アドレス変換部はそれぞれ異なる変換表を用いてアドレス変換を実行する。変換後の送信元ＩＰアドレスは、アドレス変換部のＩＰアドレスに相当する。このＩＰアドレスを用いれば、真正な通信経路からアクセスされたか否かを確認することができるので、不正アクセスを防止し、セキュリティを高めることができるようになる。

図２１は、仮想サービスサーバ２２がサービス申請に対する登録をする処理の処理フローを示す図である。本処理は、例えば、仮想サービスサーバ２２にサービス申請データが登録されたときに実行される。

まず、サービス処理部２２０１は、サービス申請データを仮想サービスサーバ２２のＨＤＤ２５５から読み出す（図２１：ステップＳ７１）。サービス申請データは、例えば、ユーザの識別情報、ユーザが属するテナントのＩＤ、ＶＬＡＮ ＩＤ及び認証情報等を含む。

サービス処理部２２０１は、サービス申請データに含まれるＶＬＡＮ ＩＤに対応するアドレス変換部を、仮想ゲートウェイサーバ２１に生成させる（ステップＳ７３）。生成されたアドレス変換部の変換表は、他のアドレス変換部の変換表とは異なる。

サービス処理部２２０１は、サービス申請データに含まれるＶＬＡＮ ＩＤに対応するＶＮＥＴをハイパバイザ２３に生成させ、サービス申請データに含まれるＶＬＡＮ ＩＤに対応するＶＮＩＣを仮想ゲートウェイサーバ２１に生成させる（ステップＳ７５）。

サービス処理部２２０１は、ステップＳ７３において生成されたアドレス変換部に、ステップＳ７５において生成されたＶＮＥＴ及びＶＮＩＣを割り当てる（ステップＳ７７）。具体的には、アドレス変換部とＶＮＥＴとの間の仮想的な通信経路およびアドレス変換部とＶＮＩＣとの間の仮想的な通信経路が生成される。

サービス処理部２２０１は、サービス申請データに含まれるユーザの識別情報、認証情報及びテナントＩＤと変換後の送信元ＩＰアドレス（すなわち、ステップＳ７３において生成されたアドレス変換部の仮想サービスサーバ２２側ＩＰアドレス）とを含むエントリを、照合データ格納部２２０３に登録する（ステップＳ７９）。

サービス処理部２２０１は、サービス申請データに係るユーザが属するテナントのコンテンツを、テナントＩＤに対応付けてコンテンツ格納部２２０５に格納する（ステップＳ８１）。そして処理は終了する。

以上のような処理を実行すれば、仮想化技術により実現されたシステムが提供するクラウドサービスの新たなユーザの認証を、適切に実行することができるようになる。

［実施の形態３］
第３の実施の形態においては、アドレス変換部においてパケットのフィルタリングを行うことで、仮想サービスサーバ２２のコンテンツに対するアクセスが制限される。

第３の実施の形態におけるシステム構成の基本的な部分は第２の実施の形態におけるシステム構成と同じであるが、アドレス変換部の機能ブロック構成が異なる。図２２は、第３の実施の形態におけるアドレス変換部２１０ａの機能ブロック図である。アドレス変換部２１０ａは、変換部２１０１と、変換表格納部２１０３と、アクセス制御データ格納部２１０５とを含む。

変換部２１０１は、ＶＮＥＴ２３２ａを介して受信した要求パケットに含まれるＩＰアドレスを、変換表格納部２１０３に格納されている変換表を用いて変換し、ＩＰアドレスが変換された要求パケットをＶＮＩＣ２１１ａに出力する。また、変換部２１０１は、ＶＮＩＣ２１１ａを介して受信した応答パケットに含まれるＩＰアドレスを、変換表格納部２１０３に格納されている変換表を用いて変換し、ＩＰアドレスが変換された応答パケットをＶＮＥＴ２３２ａに出力する。また、変換部２１０１は、ＶＮＥＴ２３２ａを介して受信した要求パケットに含まれるプロトコルタイプの情報とアクセス制御データ格納部２１０５に格納されているデータとに基づき、要求パケットのフィルタリングを行う。

なお、アドレス変換部２１０ｂ及びアドレス変換部２１０ｃの機能ブロック構成はアドレス変換部２１０ａの機能ブロック構成と同じである。但し、アドレス変換部２１０ａ乃至２１０ｃは、それぞれ異なる変換表を有している。

図２３は、アクセス制御データ格納部２１０５に格納されるデータの一例を示す図である。図２３の例では、変換前の送信元ＩＰアドレスと、プロトコルタイプの情報と、アクセスが許可されるか否かを示すデータ（以下、アクセス制御データと呼ぶ）とが格納される。

図２４及び図２５を用いて、第３の実施の形態において実行される処理について説明する。ここでは、端末５ｄがコンテンツの要求パケットを送信するものとする。

端末５ｄは、仮想サービスサーバ２２が管理するコンテンツの要求パケットを生成する。要求パケットは、ユーザの識別情報、認証情報、テナントＩＤ、送信元ＩＰアドレス及び宛先ＩＰアドレス等を含む。そして、端末５ｄは、生成した要求パケットを情報処理装置２に送信する（図２４：ステップＳ９１）。

仮想ゲートウェイサーバ２１のアドレス変換部２１０ａの変換部２１０１は、ＶＮＥＴ２３２ａを介して、ステップＳ９１において送信された要求パケットを受信する（ステップＳ９３）。

そして、変換部２１０１は、フィルタリング処理を実行する（ステップＳ９５）。フィルタリング処理については、図２５を用いて説明する。

まず、変換部２１０１は、要求パケットから送信元ＩＰアドレス及びプロトコルタイプの情報を読み出す。そして、変換部２１０１は、要求パケットの送信元ＩＰアドレス及びプロトコルタイプに対応するアクセス制御データを、アクセス制御データ格納部２１０５から読み出す（図２５：ステップＳ１２１）。

変換部２１０１は、読み出したアクセス制御データに基づき、要求パケットのアクセスが許可されているか判定する（ステップＳ１２３）。要求パケットのアクセスが許可されている場合（ステップＳ１２３：Ｙｅｓルート）、処理は呼び出し元に戻る。

一方、要求パケットのアクセスが許可されていない場合（ステップＳ１２３：Ｎｏルート）、変換部２１０１は、要求パケットを廃棄する（ステップＳ１２５）。そして処理は終了する。

図２４の説明に戻り、変換部２１０１は、要求パケットのアクセスが許可されている場合、要求パケットに含まれるＶＬＡＮ ＩＤ（すなわち、仮想的な通信経路２１２ａ）に対応する変換表を用いて、要求パケットに含まれる送信元ＩＰアドレス及び宛先ＩＰアドレスを変換する（ステップＳ９７）。

変換部２１０１は、変換後の送信元ＩＰアドレスと変換後の宛先ＩＰアドレスとを含む要求パケット（すなわち、送信元ＩＰアドレスと宛先ＩＰアドレスとが変換された要求パケット）を、ＶＮＩＣ２１１ａに出力する（ステップＳ９９）。

仮想サービスサーバ２２のサービス処理部２２０１は、ＶＮＩＣ２１１ａから出力された要求パケットを受信する（ステップＳ１０１）。

サービス処理部２２０１は、受信した要求パケットに含まれるユーザの識別情報、認証情報、テナントＩＤ及び変換後の送信元ＩＰアドレスの組合せと同じ組合せのエントリが照合データ格納部２２０３に格納されているか判定する（ステップＳ１０３）。

サービス処理部２２０１は、照合が成功した場合（すなわち、対象の組合せと同じ組合せのエントリが照合データ格納部２２０３に格納されている場合）、要求パケットに含まれる宛先ＩＰアドレスにて特定されるコンテンツを、コンテンツ格納部２２０５から読み出す（ステップＳ１０５）。ステップＳ１０５においては、要求パケットに含まれるテナントＩＤに対応するコンテンツであって要求パケットに含まれる宛先アドレスにて特定されるコンテンツが読み出される。

サービス処理部２２０１は、ステップＳ１０５において読み出したコンテンツを含む応答パケットを、要求パケットの送信元を宛先とし且つ要求パケットの宛先を送信元として送信する（ステップＳ１０７）。応答パケットは、宛先ＩＰアドレスと同じＩＰアドレスを有するアドレス変換部（ここでは、アドレス変換部２１０ａ）に転送される。

アドレス変換部２１０ａの変換部２１０１は、ＶＮＩＣ２１１ａを介して応答パケットを受信する。そして、変換部２１０１は、応答パケットに含まれるＶＬＡＮ ＩＤ（ここでは、仮想的な通信経路２１２ａ）に対応する変換表を用いて、応答パケットに含まれる送信元ＩＰアドレス及び宛先ＩＰアドレスを変換する（ステップＳ１０９）。なお、図１６の４行目および５行目に示したように、１つの変換前ＩＰアドレスに対して複数の変換後ＩＰアドレスが対応付けられる場合がある。このような場合には、応答パケットに含まれるポートＩＤをさらに用いて、適切な変換後ＩＰアドレスが特定される。但し、ポートＩＤは一例であり、ポートＩＤ以外の情報（例えばセッションＩＤ）を用いてもよい。

変換部２１０１は、変換後の送信元ＩＰアドレスと変換後の宛先ＩＰアドレスとを含む応答パケット（すなわち、送信元ＩＰアドレスと宛先ＩＰアドレスとが変換された応答パケット）を、ＶＮＥＴ２３２ａに出力する（ステップＳ１１１）。

そして、端末５ｄは、ＶＮＥＴ２３２ａから出力された応答パケットを受信する（ステップＳ１１３）。

以上のように、第３の実施の形態によれば、たとえ不正アクセスの要求パケットが仮想サービスサーバ２２宛に送信されたとしても、アドレス変換部が要求パケットを排除するので、不正アクセスが発生することを防ぐことができる。

以上本発明の一実施の形態を説明したが、本発明はこれに限定されるものではない。例えば、上で説明したゲートウェイサーバ１、情報処理装置２及びサービスサーバ７の機能ブロック構成は実際のプログラムモジュール構成に一致しない場合もある。

また、上で説明した各テーブルの構成は一例であって、上記のような構成でなければならないわけではない。さらに、処理フローにおいても、処理結果が変わらなければ処理の順番を入れ替えることも可能である。さらに、並列に実行させるようにしても良い。

また、図面に示したＩＰアドレスの値は一例であって、上記のような値でなければならないわけではない。

また、実施の形態１においても、実施の形態３において説明したフィルタリング処理を実行してもよい。

以上述べた本発明の実施の形態をまとめると、以下のようになる。

本実施の形態の第１の態様に係るアドレス変換装置は、（Ａ）第１の情報処理装置から、コンテンツの要求パケットを受信する受信部（例えば、実施の形態におけるＶＮＥＴ１０５）と、（Ｂ）要求パケットに含まれる第１の送信元アドレスを、要求パケットの通信経路に対応する変換表を用いて第２の送信元アドレスに変換する変換部（例えば、実施の形態における変換部１０１）と、（Ｃ）要求パケットを、コンテンツを提供するか否かを要求パケットに含まれる第２の送信元アドレスに基づき判定する第２の情報処理装置に送信する送信部（例えば、実施の形態におけるＶＮＩＣ１０７）とを有する。

このような構成であれば、通信経路が異なれば異なった送信元アドレスに変換されるようになるので、真正の通信経路から受信した要求パケットとそれ以外の要求パケットとを第２の情報処理装置が区別できるようになる。これにより、コンテンツを提供するサービスのセキュリティを高めることができるようになる。

また、要求パケットは、第１の情報処理装置へのログインに用いられる識別情報（例えば操作者のユーザアカウント情報等）および認証情報（例えばパスワード）をさらに含んでもよい。そして、第２の情報処理装置はさらに、識別情報および認証情報に基づき、コンテンツを提供するか否かを判定してもよい。

第２の送信元アドレスが用いられるので、たとえ、識別情報および認証情報が盗まれたとしてもコンテンツに対する不正アクセスが行われることはない。

また、変換部は、（ｂ１）要求パケットの物理的な通信経路に対応する変換表を用いて、第１の送信元アドレスを第２の送信元アドレスに変換してもよい。

また、変換部は、（ｂ２）要求パケットの仮想的な通信経路に対応する変換表を用いて、第１の送信元アドレスを第２の送信元アドレスに変換してもよい。

物理的な通信経路を送信元毎に用意することできないケース等に対しても対処できるようになる。

また、受信部は、（ａ１）第２の情報処理装置からコンテンツを含む応答パケットを受信してもよい。そして、変換部は、（ｂ３）応答パケットに含まれる第１の宛先アドレスを、要求パケットの通信経路に対応する変換表を用いて第２の宛先アドレスに変換し、送信部は、（ｃ１）第２の宛先アドレスを含む応答パケットを、第１の情報処理装置に送信してもよい。

応答パケットが適切に送り返されるようになる。

また、変換部は、（ｂ４）要求パケットに含まれるプロトコル情報に基づき、要求パケットの送信元の端末がコンテンツにアクセスすることが許可されているか判定し、（ｂ５）要求パケットの送信元の端末がコンテンツにアクセスすることが許可されてない場合、要求パケットを廃棄してもよい。

第２の情報処理装置に要求パケットが到達する前の段階で不適切な要求パケットを廃棄できるようになる。

本実施の形態の第２の態様に係る情報処理システムは、（Ｄ）第１の情報処理装置（例えば、実施の形態における端末５ａ乃至５ｃ）と、（Ｅ）アドレス変換装置（例えば、実施の形態におけるゲートウェイサーバ１）と、（Ｆ）第２の情報処理装置（例えば、実施の形態におけるサービスサーバ７）とを有する。そして、アドレス変換装置は、（ｅ１）第１の情報処理装置から、コンテンツの要求パケットを受信する受信部（例えば、実施の形態におけるＶＮＥＴ１０５）と、（ｅ２）要求パケットに含まれる第１の送信元アドレスを、要求パケットの通信経路に対応する変換表を用いて第２の送信元アドレスに変換する変換部（例えば、実施の形態における変換部１０１）と、（ｅ３）要求パケットを、第２の情報処理装置に送信する送信部（例えば、実施の形態におけるＶＮＩＣ１０７）とを有する。そして、第２の情報処理装置は、（ｆ１）アドレス変換装置から受信した要求パケットに含まれる第２の送信元アドレスに基づき、コンテンツを提供するか否かを判定する判定部（例えば、実施の形態におけるサービス処理部７０１）を有する。

本実施の形態の第３の態様に係るアドレス変換方法は、（Ｇ）第１の情報処理装置から、コンテンツの要求パケットを受信し、（Ｈ）要求パケットに含まれる第１の送信元アドレスを、要求パケットの通信経路に対応する変換表を用いて第２の送信元アドレスに変換し、（Ｉ）要求パケットを、コンテンツを提供するか否かを第２の送信元アドレスに基づき判定する第２の情報処理装置に送信してもよい。

なお、上記方法による処理をプロセッサに行わせるためのプログラムを作成することができ、当該プログラムは、例えばフレキシブルディスク、ＣＤ−ＲＯＭ、光磁気ディスク、半導体メモリ、ハードディスク等のコンピュータ読み取り可能な記憶媒体又は記憶装置に格納される。尚、中間的な処理結果はメインメモリ等の記憶装置に一時保管される。

以上の実施例を含む実施形態に関し、さらに以下の付記を開示する。

（付記１）
第１の情報処理装置から、コンテンツの要求パケットを受信する受信部と、
前記要求パケットに含まれる第１の送信元アドレスを、前記要求パケットの通信経路に対応する変換表を用いて第２の送信元アドレスに変換する変換部と、
前記要求パケットを、前記コンテンツを提供するか否かを前記要求パケットに含まれる前記第２の送信元アドレスに基づき判定する第２の情報処理装置に送信する送信部と、
を有するアドレス変換装置。

（付記２）
前記要求パケットはさらに、前記第１の情報処理装置へのログインに用いられる識別情報および認証情報を含み、
前記第２の情報処理装置はさらに、
前記識別情報および認証情報に基づき、前記コンテンツを提供するか否かを判定する、
付記１記載のアドレス変換装置。

（付記３）
前記変換部は、
前記要求パケットの物理的な通信経路に対応する変換表を用いて、前記第１の送信元アドレスを前記第２の送信元アドレスに変換する、
付記１又は２記載のアドレス変換装置。

（付記４）
前記変換部は、
前記要求パケットの仮想的な通信経路に対応する変換表を用いて、前記第１の送信元アドレスを前記第２の送信元アドレスに変換する、
付記１又は２記載のアドレス変換装置。

（付記５）
前記受信部は、
前記第２の情報処理装置から前記コンテンツを含む応答パケットを受信し、
前記変換部は、
前記応答パケットに含まれる第１の宛先アドレスを、前記要求パケットの通信経路に対応する変換表を用いて第２の宛先アドレスに変換し、
前記送信部は、
前記第２の宛先アドレスを含む前記応答パケットを、前記第１の情報処理装置に送信する、
付記１又は２記載のアドレス変換装置。

（付記６）
前記変換部は、
前記要求パケットに含まれるプロトコル情報に基づき、前記要求パケットの送信元の端末が前記コンテンツにアクセスすることが許可されているか判定し、
前記要求パケットの送信元の端末が前記コンテンツにアクセスすることが許可されてない場合、前記要求パケットを廃棄する、
付記１乃至４のいずれか１つ記載のアドレス変換装置。

（付記７）
第１の情報処理装置と、アドレス変換装置と、第２の情報処理装置とを有する情報処理システムにおいて、
前記アドレス変換装置は、
前記第１の情報処理装置から、コンテンツの要求パケットを受信する受信部と、
前記要求パケットに含まれる第１の送信元アドレスを、前記要求パケットの通信経路に対応する変換表を用いて第２の送信元アドレスに変換する変換部と、
前記要求パケットを、前記第２の情報処理装置に送信する送信部と、
を有し、
前記第２の情報処理装置は、
前記アドレス変換装置から受信した前記要求パケットに含まれる前記第２の送信元アドレスに基づき、前記コンテンツを提供するか否かを判定する判定部
を有することを特徴とする情報処理システム。

（付記８）
第１の情報処理装置と、アドレス変換装置と、第２の情報処理装置とを有する情報処理システムの制御方法において、
前記アドレス変換装置は、前記第１の情報処理装置から、コンテンツの要求パケットを受信し、
前記アドレス変換装置は、前記要求パケットに含まれる第１の送信元アドレスを、前記要求パケットの通信経路に対応する変換表を用いて第２の送信元アドレスに変換し、
前記アドレス変換装置は、前記要求パケットを前記第２の情報処理装置に送信し、
前記第２の情報処理装置は、前記アドレス変換装置から受信した前記要求パケットに含まれる前記第２の送信元アドレスに基づき、前記コンテンツを提供するか否かを判定する、
処理を実行する、情報処理システムの制御方法。

１ ゲートウェイサーバ １００ａ，１００ｂ，１００ｃ アドレス変換部
１０１ 変換部 １０３ 変換表格納部
１０５ ＶＮＥＴ １０７ ＶＮＩＣ
１５１，２５１，７５１ ＣＰＵ １５３，２５３，７５３ メモリ
１５５，２５５，７５５ ＨＤＤ
３ａ，３ｂ，３ｃ ルータ ５ａ，５ｂ，５ｃ，５ｄ，５ｅ，５ｆ 端末
７ サービスサーバ ７０１ サービス処理部
７０３ 照合データ格納部 ７０５ コンテンツ格納部
９ａ，９ｂ，９ｃ，９ｄ 物理サーバ １１ａ，１１ｂ，１１ｃ 通信経路
２ 情報処理装置 ２１ 仮想ゲートウェイサーバ
２１０ａ，２１０ｂ，２１０ｃ アドレス変換部
２１０１ 変換部 ２１０３ 変換表格納部
２１０５ アクセス制御データ格納部
２１１ａ，２１１ｂ，２１１ｃ ＶＮＩＣ
２１２ａ，２１２ｂ，２１２ｃ 仮想的な通信経路
２２ 仮想サービスサーバ ２２０１ サービス処理部
２２０３ 照合データ格納部 ２２０５ コンテンツ格納部
２３ ハイパバイザ ２３１，２３３ ＶＳＷ
２３２ａ，２３２ｂ，２３２ｃ，２３２ｄ，２３２ｅ ＶＮＥＴ

Claims (8)

1. 第１の情報処理装置から、コンテンツの要求パケットを受信する受信部と、
   前記要求パケットに含まれる第１の送信元アドレスを、前記要求パケットの通信経路に対応する変換表を用いて第２の送信元アドレスに変換する変換部と、
   前記要求パケットを、前記コンテンツを提供するか否かを前記要求パケットに含まれる前記第２の送信元アドレスに基づき判定する第２の情報処理装置に送信する送信部と、
   を有するアドレス変換装置。
2. 前記要求パケットはさらに、前記第１の情報処理装置へのログインに用いられる識別情報および認証情報を含み、
   前記第２の情報処理装置はさらに、
   前記識別情報および認証情報に基づき、前記コンテンツを提供するか否かを判定する、
   請求項１記載のアドレス変換装置。
3. 前記変換部は、
   前記要求パケットの物理的な通信経路に対応する変換表を用いて、前記第１の送信元アドレスを前記第２の送信元アドレスに変換する、
   請求項１又は２記載のアドレス変換装置。
4. 前記変換部は、
   前記要求パケットの仮想的な通信経路に対応する変換表を用いて、前記第１の送信元アドレスを前記第２の送信元アドレスに変換する、
   請求項１又は２記載のアドレス変換装置。
5. 前記受信部は、
   前記第２の情報処理装置から前記コンテンツを含む応答パケットを受信し、
   前記変換部は、
   前記応答パケットに含まれる第１の宛先アドレスを、前記要求パケットの通信経路に対応する変換表を用いて第２の宛先アドレスに変換し、
   前記送信部は、
   前記第２の宛先アドレスを含む前記応答パケットを、前記第１の情報処理装置に送信する、
   請求項１又は２記載のアドレス変換装置。
6. 前記変換部は、
   前記要求パケットに含まれるプロトコル情報に基づき、前記要求パケットの送信元の端末が前記コンテンツにアクセスすることが許可されているか判定し、
   前記要求パケットの送信元の端末が前記コンテンツにアクセスすることが許可されてない場合、前記要求パケットを廃棄する、
   請求項１乃至４のいずれか１つ記載のアドレス変換装置。
7. 第１の情報処理装置と、アドレス変換装置と、第２の情報処理装置とを有する情報処理システムにおいて、
   前記アドレス変換装置は、
   前記第１の情報処理装置から、コンテンツの要求パケットを受信する受信部と、
   前記要求パケットに含まれる第１の送信元アドレスを、前記要求パケットの通信経路に対応する変換表を用いて第２の送信元アドレスに変換する変換部と、
   前記要求パケットを、前記第２の情報処理装置に送信する送信部と、
   を有し、
   前記第２の情報処理装置は、
   前記アドレス変換装置から受信した前記要求パケットに含まれる前記第２の送信元アドレスに基づき、前記コンテンツを提供するか否かを判定する判定部
   を有することを特徴とする情報処理システム。
8. 第１の情報処理装置と、アドレス変換装置と、第２の情報処理装置とを有する情報処理システムの制御方法において、
   前記アドレス変換装置は、前記第１の情報処理装置から、コンテンツの要求パケットを受信し、
   前記アドレス変換装置は、前記要求パケットに含まれる第１の送信元アドレスを、前記要求パケットの通信経路に対応する変換表を用いて第２の送信元アドレスに変換し、
   前記アドレス変換装置は、前記要求パケットを前記第２の情報処理装置に送信し、
   前記第２の情報処理装置は、前記アドレス変換装置から受信した前記要求パケットに含まれる前記第２の送信元アドレスに基づき、前記コンテンツを提供するか否かを判定する、
   処理を実行する、情報処理システムの制御方法。

Images