JP4226606B2 - COMMUNICATION DEVICE, COMMUNICATION METHOD, AND PROGRAM - Google Patents
COMMUNICATION DEVICE, COMMUNICATION METHOD, AND PROGRAM Download PDFInfo
- Publication number
- JP4226606B2 JP4226606B2 JP2006028193A JP2006028193A JP4226606B2 JP 4226606 B2 JP4226606 B2 JP 4226606B2 JP 2006028193 A JP2006028193 A JP 2006028193A JP 2006028193 A JP2006028193 A JP 2006028193A JP 4226606 B2 JP4226606 B2 JP 4226606B2
- Authority
- JP
- Japan
- Prior art keywords
- packet
- key code
- communication
- unit
- terminal device
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
- Small-Scale Networks (AREA)
Description
本発明は、通信相手を適切に制限するのに好適な通信装置、通信方法、ならびに、これらをコンピュータにて実現するプログラムに関する。 The present invention relates to a communication device, a communication method, and a program for realizing these on a computer, which are suitable for appropriately limiting communication partners.
従来から、家庭内LAN(Local Area Network)とインターネットとを中継する際に、アドレス変換やポート変換を行うルータ装置やゲートウェイ装置の技術が提案されている。このような技術は、たとえば、以下の文献に開示されている。
[特許文献1]には、開放型分散ネットワークに接続された資源に対するアクセス権管理にかかわる主体を、特定資源の利用を行うユーザと、ユーザの特定の特徴について証明、保証を行う検証者と、特定資源について、特定ユーザの利用可否を判断する権限付与者とに分離し、ユーザが、公開名、鍵および当該ユーザを特徴づける複数のプロファイル情報を保持し、検証者が、ユーザからの発行依頼を受けて、プロファイル情報の個々の内容を当該ユーザに発行し、権限付与者が、ユーザから資源利用要求があると、該ユーザにプロファイル情報の提示を要求し、提示されたプロファイル情報の内容を確認して、資源の利用可否を判断する技術が開示されている。 [Patent Document 1] describes a subject involved in access right management for resources connected to an open-type distributed network, a user who uses a specific resource, a verifier who proves and guarantees a specific feature of the user, The specific resource is separated from the authorized person who determines the availability of the specific user, the user holds the public name, key, and multiple profile information that characterizes the user, and the verifier requests the user to issue In response, the individual contents of the profile information are issued to the user, and when the authority grants a resource use request from the user, the user is requested to present the profile information, and the contents of the presented profile information are displayed. A technique for confirming and determining whether or not a resource can be used is disclosed.
[特許文献2]には、一方の暗号装置が、自装置を識別するための識別子(IPアドレス)を変更後、「変更前の識別子」と暗号用鍵および認証用鍵を用いて暗号化した「セキュリティアソシエーション開放」とを含むセキュリティアソシエーション切断通知を、通信相手である他方の暗号装置に対して送信し、他方の暗号装置が、上記暗号用鍵および上記認証用鍵を用いて当該セキュリティアソシエーション切断通知を復号し、相互認証を行い、旧セキュリティアソシエーションを切断する技術が開示されている。 In [Patent Document 2], one encryption device changed the identifier (IP address) for identifying the device itself, and then encrypted using the “identifier before change”, the encryption key, and the authentication key. A security association disconnect notification including “security association release” is transmitted to the other encryption device that is the communication partner, and the other encryption device disconnects the security association using the encryption key and the authentication key. A technique for decrypting the notification, performing mutual authentication, and disconnecting the old security association is disclosed.
このほか、ユニバーサルプラグアンドプレイ(UPnP;Universal Plug and Play)といった、ルータ装置やゲートウェイ装置が、インターネット側(グローバルネットワーク側)の通信ポートを開いて、NAT(Network Address Translation;「IPマスカレード」ともいう。)等のアドレス変換を行って家庭内LAN側の端末と外部端末との通信を可能にする技術も提案されている。
この際に、特定のIPアドレスを有する端末からの通信のみ、許可する「ホワイトリスト」や、特定のIPアドレスを有する端末からの通信を拒絶する「ブラックリスト」などを維持管理する技術も提案されている。
In addition, a router device or a gateway device, such as Universal Plug and Play (UPnP), opens a communication port on the Internet side (global network side), and is also called NAT (Network Address Translation; “IP Masquerade”). A technique for enabling communication between a terminal on the home LAN side and an external terminal by performing address conversion such as.
At this time, a technique for maintaining and managing a “white list” that permits only communication from a terminal having a specific IP address and a “black list” that rejects communication from a terminal having a specific IP address has also been proposed. ing.
しかしながら、UPnPなどの技術では、あるポートがある相手に対して開放されると、そのポートは任意の相手に対して開放されることとなってしまい、セキュリティ上の問題が生ずる。
特に、グローバルネットワークに対する通信口に対して動的にIPアドレスが割り振られる端末同士がインターネットを介したP2P(Peer To Peer)通信を行う等には、ホワイトリストやブラックリストを作ることができないため、許可される通信相手を適切に維持管理する必要がある。
However, in technologies such as UPnP, when a port is opened to a certain partner, the port is opened to an arbitrary partner, resulting in a security problem.
In particular, it is not possible to create a whitelist or blacklist for terminals that are dynamically assigned IP addresses to communication ports for the global network, such as P2P (Peer To Peer) communication via the Internet. Appropriate communication partners must be properly maintained.
したがって、グローバルネットワーク側の通信相手に対して、通信を許可するか否かを簡易に適切に制御する技術が強く求められている。
本発明は、上記のような課題を解決するもので、通信相手を適切に制限するのに好適な通信装置、通信方法、ならびに、これらをコンピュータにて実現するプログラムを提供することを目的とする。
Therefore, there is a strong demand for a technique for easily and appropriately controlling whether or not communication is permitted to a communication partner on the global network side.
SUMMARY OF THE INVENTION The present invention solves the above-described problems, and an object thereof is to provide a communication device, a communication method, and a program that realizes these on a computer, which are suitable for appropriately limiting communication partners. .
以上の目的を達成するため、本発明の原理にしたがって、下記の発明を開示する。 In order to achieve the above object, the following invention is disclosed in accordance with the principle of the present invention.
本発明の第1の観点にかかる通信装置は、生成部、送信部、判断部、許可部、受信部を備え、以下のように構成する。なお、本通信装置は、典型的にはルータ、ゲートウェイ、ファイアウォールなどの機器として機能するが、単独のコンピュータ上に本通信装置を構成し、当該コンピュータにおける通信相手を適切に制限することとしても良い。 A communication apparatus according to a first aspect of the present invention includes a generation unit, a transmission unit, a determination unit, a permission unit, and a reception unit, and is configured as follows. The communication apparatus typically functions as a device such as a router, a gateway, or a firewall. However, the communication apparatus may be configured on a single computer to appropriately limit communication partners in the computer. .
すなわち、生成部は、鍵符号を生成する。当該鍵符号は、典型的には、ランダムに生成される整数、整数列、文字、もしくは、文字列など、種々のものを採用することができる。この鍵符号によって、通信を行っても良い相手か否かを判断する。
一方、送信部は、生成された鍵符号を指定するパケットを、コンピュータ通信網を介して、通信を許可すべき相手に送信する。通信を許可すべき相手にこのパケットが到達すると、その相手は、パケット内の鍵符号を取得して、取得した鍵符号を指定して、通信許可を要求するパケットを、当該通信装置に送信してくる。
That is, the generation unit generates a key code. As the key code, various types such as a randomly generated integer, integer string, character, or character string can be adopted. Based on this key code, it is determined whether or not the other party is allowed to communicate.
On the other hand, the transmission unit transmits a packet designating the generated key code to a partner to which communication is to be permitted via the computer communication network. When this packet arrives at the other party to which communication is permitted, the other party acquires the key code in the packet, specifies the acquired key code, and sends a packet requesting communication permission to the communication device. Come.
そこで、判断部は、当該コンピュータ通信網から到来するパケットに、生成された鍵符号が指定されているか否かを判断する。一般に、コンピュータ通信網を介した通信においては、いわゆるバケツリレー方式による通信が行われるため、当該通信装置に到来したパケットの内容を、当該通信装置自身が受信して以降の処理を行うか、捨てるか、他の通信機器にたらい回しに送信するか、の判断を、パケットに含まれる宛先や送付経路設定に基づいて行っている。本発明では、この判断を行う際に、あわせて、パケットの内部に、先に生成した鍵符号が(バイト列として)含まれているか否かを判断する。 Therefore, the determination unit determines whether or not the generated key code is specified for the packet coming from the computer communication network. In general, in communication via a computer communication network, so-called bucket relay communication is performed, so that the content of the packet that has arrived at the communication device is received by the communication device itself, or the subsequent processing is performed or discarded. Whether or not to send the message to other communication devices is determined based on the destination included in the packet and the setting of the transmission route. In the present invention, when making this determination, it is also determined whether or not the previously generated key code is included (as a byte string) in the packet.
そして、当該到来したパケットに生成された鍵符号が指定されている場合、許可部は、当該到来したパケットの送信元との通信を許可する。本通信装置が生成した鍵符号は、通信を許可したい相手に対して送られたものであるから、当該鍵符号を指定したパケットの送信元は、割り符を持っていることになり、当該送信元からのパケットは、当該通信装置自身が処理することにする。 When the key code generated for the incoming packet is specified, the permission unit permits communication with the transmission source of the incoming packet. Since the key code generated by this communication device is sent to the other party that wants to allow communication, the transmission source of the packet specifying the key code has a tally, and the transmission The original packet is processed by the communication device itself.
そこで、受信部は、当該コンピュータ通信網から到来するパケットのうち、通信を許可された送信元から送信されたパケットを受信する。
たとえば、本通信装置がルータ等の場合は、許可した相手からのパケットの宛先がルータに接続されたLAN内であれば、LAN内に当該パケットを送り込むこととなる。一方、許可していない相手からのパケットの宛先がルータに接続されたLAN内であれば、当該パケットは捨てる、もしくは、接続を拒否することとして、適切に通信相手の制限を行う。
Therefore, the reception unit receives a packet transmitted from a transmission source that is permitted to communicate among packets arriving from the computer communication network.
For example, when this communication apparatus is a router or the like, if the destination of the packet from the permitted partner is within the LAN connected to the router, the packet is sent into the LAN. On the other hand, if the destination of the packet from the unauthorized party is within the LAN connected to the router, the packet is discarded or the communication partner is appropriately restricted by rejecting the connection.
本発明では、通信相手を任意の相手に開放したりはせずに、生成される鍵符号を割り符として用いることによりこの割り符を使っている送信元との通信を許可するので、本発明によれば、通信相手を適切に制限することができるようになる。 In the present invention, communication with a transmission source using this tally is permitted by using the generated key code as a tally without opening the communication partner to an arbitrary partner. According to this, communication partners can be appropriately restricted.
また、本発明の通信装置において、生成された鍵符号を指定するパケットには、当該通信装置において受信を行うポート番号がさらに指定され、受信部は、通信を許可された送信元から送信されたパケットのうち、当該指定されたポート番号を介するパケットを受信するように構成することができる。 In the communication device of the present invention, a port number for receiving in the communication device is further specified in the packet specifying the generated key code, and the receiving unit is transmitted from a transmission source permitted to communicate Of the packets, the packet can be received via the designated port number.
すなわち、送信元の制限付き開放を、ポート単位で行うのである。これにより、通信に用いるポート番号を動的に変化させることが可能となる。
本発明によれば、本通信装置をルータ等として機能させた場合にLAN内の複数のノートが同時に外部と通信するような状況でNAPT(Network Address Port Translation)などを用いるときであっても、ポートを開放することができ、通信相手の制限を適切に行うことができるようになる。
That is, the limited release of the transmission source is performed on a port basis. As a result, the port number used for communication can be dynamically changed.
According to the present invention, even when the NAPT (Network Address Port Translation) or the like is used in a situation where a plurality of notebooks in the LAN communicate with the outside at the same time when the communication apparatus functions as a router or the like, The port can be opened, and the communication partner can be appropriately restricted.
また、本発明の通信装置において、送信部は、当該鍵符号を指定するパケットを所定のサーバ装置に送信し、当該到来したパケットであって、生成された鍵符号が指定されるパケットの当該到来したパケットの送信元は、当該鍵符号を当該サーバ装置から知得して、当該パケットを当該通信装置に送信するように構成することができる。 In the communication device of the present invention, the transmission unit transmits a packet specifying the key code to a predetermined server device, and the arrival of the packet that has arrived and the generated key code is specified. The transmission source of the packet obtained can acquire the key code from the server device and transmit the packet to the communication device.
たとえば、通信対戦ゲームを実装する場合には、サーバ装置がある端末(のプレイヤー)と別の端末(のプレイヤー)とのマッチング(紹介)を行った後、当該端末同士がピアツーピアで直接通信し合う形態を取ることが多いが、本発明は、このような態様に対応するものである。 For example, when implementing an online battle game, after matching (introducing) a terminal (player) with a server device and another terminal (player), the terminals communicate directly with each other on a peer-to-peer basis. In many cases, the present invention corresponds to such an embodiment.
上記の例でいえば、一方の端末から、相手のマッチングを行うサーバ装置に鍵符号を送ると、サーバ装置がマッチング相手の端末にその鍵符号を伝達する。これによって、相手の端末が、鍵符号を指定したパケットを一方の端末に送信すると、このパケットの送信の向きの通信が可能となる。これを双方が行うことにより、双方向通信において通信相手を適切に制限するのである。
本発明によれば、通信相手を紹介するような固定されたサーバ装置に鍵符号を登録することで、当該サーバ装置が紹介する相手のみを通信相手として許可することができるようになる。
In the above example, when a key code is sent from one terminal to a server device that performs matching of the partner, the server device transmits the key code to the terminal of the matching partner. As a result, when the partner terminal transmits a packet specifying a key code to one terminal, communication in the direction of transmission of the packet becomes possible. By doing this, both parties appropriately limit communication partners in bidirectional communication.
According to the present invention, by registering a key code in a fixed server device that introduces a communication partner, only the partner introduced by the server device can be permitted as a communication partner.
また、本発明の通信装置は、取消部をさらに備え、当該取消部は、通信を許可された送信元から送信されたパケットを最後に受信してからの経過時間が所定の閾時間を超えると、当該送信元に対する通信の許可を取り消すように構成することができる。 In addition, the communication device of the present invention further includes a cancellation unit, and the cancellation unit, when the elapsed time from the last reception of a packet transmitted from a transmission source permitted to communicate exceeds a predetermined threshold time The communication permission for the transmission source can be revoked.
本発明は、上記発明の好適実施形態に係るもので、通信相手の許可に時間制限を設けるものであり、一旦通信を許可した相手であっても、一定時間が経過すれば、通信の許可を取り止めるものである。たとえば、上記の通信対戦の例では、ピアツーピアで通信対戦の一試合を行うのに十分な時間を閾時間とすれば良い。
本発明によれば、一旦通信を許可した相手であっても、一定時間が経過すればその許可が取り消されるので、ダイヤルアップ接続やDHCP(Dynamic Host Configuration Protocol)などにより、通信相手のIPアドレスが変化する場合であっても、本来許可すべきでない相手に通信を許可してしまう危険性を減らすことができる。
The present invention relates to a preferred embodiment of the above invention, and provides a time limit for permission of a communication partner. Even if the partner is permitted to communicate once, permission of communication is granted after a certain period of time. It is a thing to cancel. For example, in the example of the communication battle described above, a time sufficient for playing a communication battle in peer-to-peer may be set as the threshold time.
According to the present invention, even if the other party once permitted the communication, the permission is canceled after a certain period of time. Therefore, the IP address of the other party can be changed by dial-up connection or DHCP (Dynamic Host Configuration Protocol). Even if it changes, it is possible to reduce the risk of permitting communication to a party that should not be permitted.
また、本発明の通信装置は、取消部をさらに備え、当該鍵符号を生成してからの経過時間が所定の閾時間を超えると、当該送信元に対する通信の許可を取り消すように構成することができる。
本発明は、上記発明の好適実施形態に係るもので、鍵符号に有効期限を設けるものであり、一旦通信を許可した相手であっても、有効期限の後は、通信の許可を取り止めるものである。たとえば、上記の通信対戦の例では、ピアツーピアで通信対戦の一試合を行うのに十分な時間を閾時間とすれば良い。
In addition, the communication device of the present invention may further include a cancellation unit, and may be configured to cancel the communication permission for the transmission source when the elapsed time since the generation of the key code exceeds a predetermined threshold time. it can.
The present invention relates to a preferred embodiment of the invention described above, in which an expiration date is provided for the key code, and even if the other party once permitted communication, the permission of communication is canceled after the expiration date. is there. For example, in the example of the communication battle described above, a time sufficient for playing a communication battle in peer-to-peer may be set as the threshold time.
本発明によれば、一旦通信を許可した相手であっても、有効期限の後はその許可が取り消されるので、ダイヤルアップ接続やDHCP(Dynamic Host Configuration Protocol)などにより、通信相手のIPアドレスが変化する場合であっても、本来許可すべきでない相手に通信を許可してしまう危険性を減らすことができる。 According to the present invention, even if the other party once permitted the communication, the permission is canceled after the expiration date, so that the IP address of the other party changes due to dial-up connection or DHCP (Dynamic Host Configuration Protocol). Even in this case, it is possible to reduce the risk of permitting communication to a partner that should not be permitted.
また、本発明の通信装置において、許可部は、生成された鍵符号が指定されて到来したパケットの送信元の数があらかじめ定めた閾個数を超えると、当該新たに到来したパケットの送信元との通信を許可しないように構成することができる。
本発明は、上記発明の好適実施形態に係るもので、鍵符号が利用できる外部の送信元の個数に制限を設けるものであり、一定以上の送信元との通信は先着順で許可するが、それ以降の通信は許可しない、というものである。
Further, in the communication device of the present invention, the permission unit, when the generated key code is specified and the number of packet transmission sources that have arrived exceeds a predetermined threshold number, Can be configured not to permit communication.
The present invention relates to a preferred embodiment of the above invention, and sets a limit on the number of external transmission sources that can use a key code.Although communication with a certain number of transmission sources is permitted on a first-come-first-served basis, The subsequent communication is not permitted.
このとき、送信元の個数を数えるときの、送信元を区別する単位は、たとえば、送信元のIPアドレス、送信元のIPアドレスとポート番号の組合せ、送信元のMACアドレス、送信元の端末の識別番号などを採用することができる。
本発明によれば、通信の許可に必要な鍵符号を知得しているような相手であっても、一定の数以上からのアクセスがあった場合には、これを許可しないこととして、鍵符号が盗聴や傍受、漏曳した場合であっても、本来許可すべきない相手に通信を許可してしまう危険性を減らすことができる。
At this time, when counting the number of transmission sources, the unit for distinguishing the transmission source is, for example, the transmission source IP address, the combination of the transmission source IP address and the port number, the transmission source MAC address, the transmission source terminal An identification number or the like can be employed.
According to the present invention, even if the other party knows the key code necessary for permission of communication, if there is an access from a certain number or more, the key is not permitted. Even if the code is wiretapped, intercepted, or leaked, the risk of permitting communication to a party that should not be permitted can be reduced.
また、本発明の通信装置は、中継部をさらに備え、当該中継部は、受信されたパケットを、当該通信装置に接続される端末装置に中継するように構成することができる。
本発明は、上記発明の好適実施形態に係るもので、中継部が、NAT(Network Address Translation)やNAPTなどのIPマスカレード機能を有するように構成する場合に適用することができる。
本発明によれば、当該通信装置をルータ、ゲートウェイ、ファイアウォール等として機能させることができるようになる。
The communication device of the present invention further includes a relay unit, and the relay unit can be configured to relay the received packet to a terminal device connected to the communication device.
The present invention relates to a preferred embodiment of the present invention, and can be applied to a case where the relay unit is configured to have an IP masquerade function such as NAT (Network Address Translation) or NAPT.
According to the present invention, the communication device can function as a router, a gateway, a firewall, or the like.
本発明のその他の観点に係る通信方法は、生成部、送信部、判断部、許可部、受信部を備える通信装置にて実行され、生成工程、送信工程、判断工程、許可工程、受信工程を備え、以下のように構成する。
すなわち、生成工程では、生成部が、鍵符号を生成する。
一方、送信工程では、送信部が、生成された鍵符号を指定するパケットを、コンピュータ通信網を介して、通信を許可すべき相手に送信する。
A communication method according to another aspect of the present invention is executed by a communication device including a generation unit, a transmission unit, a determination unit, a permission unit, and a reception unit, and includes a generation step, a transmission step, a determination step, a permission step, and a reception step. And is configured as follows.
That is, in the generation process, the generation unit generates a key code.
On the other hand, in the transmission step, the transmission unit transmits a packet designating the generated key code to a partner to which communication should be permitted via the computer communication network.
さらに、判断工程では、判断部が、当該コンピュータ通信網から到来するパケットに、生成された鍵符号が指定されているか否かを判断する。
そして、許可工程では、許可部が、当該到来したパケットに生成された鍵符号が指定されている場合、当該到来したパケットの送信元との通信を許可する。
一方、受信工程では、受信部が、当該コンピュータ通信網から到来するパケットのうち、通信を許可された送信元から送信されたパケットを受信する。
Further, in the determination step, the determination unit determines whether or not the generated key code is specified for the packet coming from the computer communication network.
In the permission step, the permission unit permits communication with the transmission source of the arrived packet when the key code generated in the arrived packet is designated.
On the other hand, in the receiving step, the receiving unit receives a packet transmitted from a transmission source that is permitted to communicate among packets arriving from the computer communication network.
本発明のその他の観点に係るプログラムは、コンピュータを上記の通信装置として機能させ、コンピュータに上記の通信方法を実行させるように構成する。
また、本発明のプログラムは、コンパクトディスク、フレキシブルディスク、ハードディスク、光磁気ディスク、ディジタルビデオディスク、磁気テープ、半導体メモリ等のコンピュータ読取可能な情報記憶媒体に記録することができる。
上記プログラムは、プログラムが実行されるコンピュータとは独立して、コンピュータ通信網を介して配布・販売することができる。また、上記情報記憶媒体は、コンピュータとは独立して配布・販売することができる。
A program according to another aspect of the present invention is configured to cause a computer to function as the communication device and to cause the computer to execute the communication method.
The program of the present invention can be recorded on a computer-readable information storage medium such as a compact disk, flexible disk, hard disk, magneto-optical disk, digital video disk, magnetic tape, and semiconductor memory.
The above program can be distributed and sold via a computer communication network independently of the computer on which the program is executed. The information storage medium can be distributed and sold independently from the computer.
本発明によれば、通信相手を適切に制限するのに好適な通信装置、通信方法、ならびに、これらをコンピュータにて実現するプログラムを提供することができる。 ADVANTAGE OF THE INVENTION According to this invention, the communication apparatus suitable for restrict | limiting a communicating party appropriately, a communication method, and the program which implement | achieves these with a computer can be provided.
以下に本発明の実施形態を説明するが、以下に説明する実施形態は説明のためのものであり、本願発明の範囲を制限するものではない。したがって、当業者であればこれらの各要素もしくは全要素をこれと均等なものに置換した実施形態を採用することが可能であるが、これらの実施形態も本発明の範囲に含まれる。 Embodiments of the present invention will be described below, but the embodiments described below are for explanation and do not limit the scope of the present invention. Therefore, those skilled in the art can employ embodiments in which each or all of these elements are replaced with equivalent ones, and these embodiments are also included in the scope of the present invention.
図1は、本発明の実施形態の一つに係る通信装置が、プログラムを動作させることによって実現されるルータ装置の概要構成を示す模式図である。以下、本図を参照して説明する。 FIG. 1 is a schematic diagram showing a schematic configuration of a router device realized by a communication device according to one embodiment of the present invention operating a program. Hereinafter, a description will be given with reference to FIG.
ルータ装置101は、フラッシュEEPROM(Electrically Erasable Programmable Read Only Memory)102に記録されているプログラムを、CPU 103が実行することによって、各種の動作を行う。この際に、RAM(Random Access Memory)104が、一時的な記憶領域として利用される。
The
フラッシュEEPROM 102には、CPU 103が実行するプログラムのほか、各種の設定データが記憶されている。たとえば、通常のルータでは、通信相手として許可する端末のIPアドレスや、通信相手として拒絶する端末のIPアドレス等が、ホワイトリストやブラックリストとして、フラッシュEEPROM 102に記録される。 The flash EEPROM 102 stores various setting data in addition to programs executed by the CPU 103. For example, in a normal router, the IP address of a terminal permitted as a communication partner, the IP address of a terminal rejected as a communication partner, and the like are recorded in the flash EEPROM 102 as a white list or a black list.
ルータ装置101は、ネットワークインターフェースカード(NIC;Network Interface Card)LAN側NIC 105とWAN側NIC 106とを備えており、LANとWANの通信のゲートウェイとして機能する。たとえば、通常のNAPTルータとして機能する場合を考える。
LAN側NIC 105にパケットが到達したことが検知されると、CPU 103は、パケットの宛先を確認して、そのパケットがWANに送出すべきものか、それともLAN内の端末に送出すべきものかを識別する。
The
When it is detected that the packet has arrived at the LAN-side NIC 105, the CPU 103 confirms the destination of the packet and determines whether the packet should be sent to the WAN or to a terminal in the LAN. Identify
WANに送出すべきものである場合には、送信元端末のLAN内でのIPアドレスとポート番号とを、WAN側NIC 106のIPアドレスおよび動的に割り当てたポート番号に書き換えて、WAN側NIC 106を介して外部(典型的にはインターネット)に送出する。
If it is to be transmitted to the WAN, the IP address and port number in the LAN of the source terminal are rewritten with the IP address of the
一方、LAN内のいずれかの端末に送るべきものである場合には、LAN側NIC 105が宛先のLAN内でのIPアドレスの端末に、そのままパケットを送出する。
WAN側NIC 106は、逆向きに、上記と同様の処理を行う。
On the other hand, if it is to be sent to any terminal in the LAN, the LAN-side NIC 105 sends the packet as it is to the terminal having the IP address in the destination LAN.
The
上記のようなNAPT処理は、特に、ゲーム装置がLAN側に複数台接続されており、当該ゲーム装置にて同じゲームソフトが異なるユーザによって動作させられている場合に必要となる。
一般に、ゲームソフトが利用する通信ポートのポート番号は同じものが使用されるため、NATのみでは、複数台のゲーム装置をLAN側に接続した場合に対応できないからである。本実施形態に係るルータ装置101では、異なるLAN側IPアドレスを持つ端末が同じポート番号を用いてWAN側と通信しようとする場合には、WAN側IPアドレスとして両者に同じアドレスを割り当てる一方で、WAN側ポート番号は異なるものとして、アドレスおよびポート番号の変換を行い、適切にIPマスカレードを行う。
The NAPT process as described above is particularly necessary when a plurality of game devices are connected to the LAN side and the same game software is operated by different users on the game device.
In general, the same port number is used for the communication port used by the game software, so NAT alone cannot cope with a plurality of game devices connected to the LAN side. In the
このほか、ルータ装置101は、LAN側の端末からはウェブサーバとして機能するようにすることもできる。この場合、LAN側端末でLAN側NIC 105のIPアドレスにウェブブラウザからアクセスすることによって表示されるフォームに、各種の設定値を入力してルータ装置101にフォームを送信することにより、ルータ装置101のフラッシュEEPROM 102に保存される設定値が変更されるように構成するのが一般的である。
In addition, the
図2は、上記のルータ装置上に実現される通信装置の実施形態の概要構成を示す模式図である。以下、本図を参照して説明する。なお、本通信装置は、いわゆるルータとして機能するため、通常のルータ機器が構成される情報処理装置と同様のハードウェアの上で、以下に説明するような機能を果たすためのプログラムを実行することにより、実現される。 FIG. 2 is a schematic diagram showing a schematic configuration of an embodiment of a communication device realized on the router device. Hereinafter, a description will be given with reference to FIG. Since this communication device functions as a so-called router, a program for performing the functions described below is executed on the same hardware as the information processing device that constitutes a normal router device. Is realized.
さて、本実施形態の通信装置201は、生成部202、送信部203、判断部204、許可部205、受信部206、取消部207、中継部208を備える。本通信装置201は、上記のようにルータとして機能するため、LAN側の端末とWAN側のインターネットとの通信の仲立ちを、NAPTにより行う。NAPTに係るアドレスおよびポートの変換作業は、中継部208において行われるが、上記のようなフラッシュEEPROM 102に不揮発に記録されたホワイトリスト/ブラックリストのほか、ポート単位の有効期限付きの一時的なホワイトリストをRAM 104内に記録して、パケットの受け入れ中継をするか否かを決定する。
The
本実施形態の通信装置201は、上記のような一般的なルータ装置101の機能に新たな機能を追加するものであり、理解を容易にするため、以下では、通常のルータとは異なる機能に着目して説明する。これらの機能が実行される処理には、おおまかに分けて、LAN側からLAN側NIC 105にパケットが到達したときのLANパケット処理と、WAN側からWAN側NIC 106にパケットが到達したときのWANパケット処理の2つがある。これらの処理は、ルータ装置101の各部が、適宜上記の生成部202、送信部203、判断部204、許可部205、受信部206、中継部208として共働することによって実現されるものである。以下、順に説明する。なお、本図には、実施例2にて説明する取消部207も図示されている。
The
図3は、LANパケット処理の制御の流れを示すフローチャートである。以下、本図を参照して説明する。
LANパケット処理では、まず、ルータ装置101のLAN側NIC 105が、LAN内から送信されたパケットが到達したか否かを調べる(ステップS301)。到達していなければ(ステップS301;No)、待機して(ステップS302)から、ステップS301に戻る。この待機中には、他の処理をコルーチン的に実行することができる。また、NICが受信割り込み機能を有している場合には、受信割り込みによって、パケットの到達を検知することとしても良い。
FIG. 3 is a flowchart showing a control flow of LAN packet processing. Hereinafter, a description will be given with reference to FIG.
In the LAN packet processing, first, the LAN side NIC 105 of the
パケットが到達している場合(ステップS301;Yes)、当該パケットの宛先を調べる(ステップS303)。宛先が、LAN内の他の端末である場合には(ステップS303;LAN内)、そのパケットを宛先にたらい回しに中継して(ステップS304)、ステップS301に戻る。 If the packet has arrived (step S301; Yes), the destination of the packet is checked (step S303). If the destination is another terminal in the LAN (step S303; in the LAN), the packet is relayed to the destination (step S304), and the process returns to step S301.
一方、宛先が、当該ルータ装置101である場合(ステップS303;自身)、パケットの種類を調べる(ステップS306)。パケットの種類を調べる手法としては、ルータ装置101のどのポート番号を宛先としているかによって判断するのが一般的であるが、パケット内部に各種の情報を埋め込むこととして、ルータ装置101そのものに処理をさせることとしても良い。
On the other hand, when the destination is the router device 101 (step S303; self), the type of the packet is checked (step S306). As a method for examining the type of packet, it is common to determine which port number of the
ここでは、パケットの種類として、
(1)LAN側端末からの鍵符号生成要求パケット
(2)それ以外のパケット
の2種類を考える。
Here, as the packet type,
(1) Key code generation request packet from LAN side terminal (2) Consider two types of other packets.
それ以外のパケットである場合(ステップS306;それ以外)としては、HTTP(HyperText Transfer Protocol)に基づいてルータ装置101の設定を変更するための通信が行われる場合などが考えられるが、通常のルータと同様に、対応する処理を実行して(ステップS310)、ステップS301に戻る。
As another packet (step S306; other), a case where communication for changing the setting of the
一方、本発明に特徴的な、LAN側端末からの鍵符号生成要求パケットである場合(ステップS306;鍵要求)、CPU 103は、鍵符号生成要求パケットに指定されている以下の情報を吟味する。
(a)パケットの送信元のLAN側IPアドレス・ポート番号。
(b)鍵符号を送るべきサーバ装置のグローバルIPアドレス・ポート番号。これはパケットの直接の宛先ではなく、ルータ装置101がLAN側端末からの要求を受けて鍵符号を送信する際の宛先である。
On the other hand, if it is a key code generation request packet from the LAN side terminal, which is characteristic of the present invention (step S306; key request), the CPU 103 examines the following information specified in the key code generation request packet. .
(A) IP address and port number on the LAN side of the packet source.
(B) The global IP address / port number of the server device to which the key code is to be sent. This is not the direct destination of the packet, but the destination when the
ついで、生成部202が、当該LAN側IPアドレス・ポート番号(a)に対してランダムに鍵符号を生成する(ステップS307)。したがって、CPU 103が生成部202として機能する。
ここで生成される鍵符号は、ランダムに生成される整数、整数列、文字、もしくは、文字列など、種々のものを採用することができるが、より下層の通信レイヤにおけるパケットサイズ内に納まるような長さとすると、通信効率を高めることができる。
Next, the generation unit 202 randomly generates a key code for the LAN side IP address / port number (a) (step S307). Therefore, the CPU 103 functions as the generation unit 202.
Various key codes such as integers, integer strings, characters, or character strings that are randomly generated can be adopted as the key codes generated here, but they fit within the packet size in the lower communication layer. If the length is long, the communication efficiency can be increased.
また、あらかじめ定めた候補の中からいずれかを選択するような「ランダム」な決め方をしても良い。すなわち、鍵符号の候補が、定数としてあらかじめ所定の個数用意されており、その中からいずれかを、「ランダム」に決める、というものである。「ランダム」な決め方としては、通常の擬似乱数を用いるのでも良いし、現在時刻や使用しているネットワークカードのMACアドレス、IPアドレスなどを適宜種として参照することとしても良い。 Alternatively, a “random” determination method may be used in which any one of predetermined candidates is selected. That is, a predetermined number of key code candidates are prepared in advance as constants, and one of them is determined to be “random”. As a “random” determination method, a normal pseudo-random number may be used, or the current time, the MAC address of the network card being used, the IP address, or the like may be referred to as an appropriate seed.
さらに、送信部203が、生成された鍵符号を指定する鍵符号指定パケットを、WAN側NIC 106およびコンピュータ通信網を介して、通信を許可すべき相手であるサーバ装置(b)に送信する(ステップS308)。
この際には、パケットの送信元のIPアドレスとしては、WAN側NIC 106のIPアドレスを、パケットの送信元のポート番号としては、LAN側IPアドレス・ポート番号(a)に対してNAPTにより動的に割り当てられたWAN側IPポート番号(c)を指定することが望ましい。
Further, the transmission unit 203 transmits a key code designating packet for designating the generated key code to the server apparatus (b) which is a partner to which communication should be permitted, via the
At this time, the IP address of the
前述した通り、サーバ装置が通信対戦ゲームのマッチングサーバである場合には、鍵符号指定パケットに指定された以下の情報が、当該LAN側端末の対戦相手に伝達される。
(c)鍵符号の生成要求をしたLAN端末にNAPTによって割り当てられたWAN側IPアドレス(これは、WAN側NIC 106のIPアドレスに等しい。)とWAN側ポート番号。
(d)生成された鍵符号。
As described above, when the server device is a matching server for a communication battle game, the following information designated in the key code designation packet is transmitted to the opponent of the LAN side terminal.
(C) The WAN side IP address (which is equal to the IP address of the WAN NIC 106) and the WAN side port number assigned by the NAPT to the LAN terminal that has requested the key code generation.
(D) The generated key code.
この2つの情報を知得した端末は、後述するように、当該WAN側IPアドレス・ポート番号(c)宛に鍵符号(d)を含むパケットを送ることによって、鍵符号の生成要求をした端末との通信が許可されることとなる。 As will be described later, the terminal that has acquired these two pieces of information sends a packet including the key code (d) to the WAN-side IP address / port number (c), thereby requesting the generation of the key code. Communication with is allowed.
そして、RAM 104内に確保された鍵符号テーブルに、鍵符号の生成要求をした端末のLAN側IPアドレス・ポート番号(a)、当該端末のWAN側ポート番号(c)、生成された鍵符号(c)の3つ組を追加記録して(ステップS309)、ステップS301に戻る。
Then, in the key code table secured in the
このほか、ルータ装置101が、他の鍵符号生成サーバ装置に鍵符号の生成を依頼して、鍵符号を取得することとしても良い。この場合は、ルータ装置101と他の鍵符号生成サーバ装置とが共働して、生成部202として機能することとなる。また、鍵符号生成サーバ装置としては、上記のマッチングサーバなどを利用することもできる。
In addition, the
一方、到達したパケットの宛先がWAN側のグローバルIPアドレス・ポートである場合(ステップS303;外部)、当該パケットの送信元のLAN側IPアドレス・ポートに対してNAPTにより割り当てられたWAN側IPアドレス・ポートを、当該パケットの送信元フィールドに書き込んでNAPTを行い、当該書き変えがされたパケットをWAN側NIC 106を介して宛先に送信して(ステップS311)、ステップS301に戻る。NAPTにおけるIPアドレス・ポートの変換テーブルもRAM 104内に記憶されるが、これらのNAPT処理は一般的に行われているIPマスカレードの技術をそのまま適用することができる。
On the other hand, if the destination of the arrived packet is the global IP address / port on the WAN side (step S303; external), the WAN side IP address assigned by the NAPT to the source LAN side IP address / port of the packet The port is written in the transmission source field of the packet, NAPT is performed, the rewritten packet is transmitted to the destination via the WAN-side NIC 106 (step S311), and the process returns to step S301. The IP address / port conversion table in the NAPT is also stored in the
図4は、WANパケット処理の制御の流れを示すフローチャートである。以下、本図を参照して説明する。 FIG. 4 is a flowchart showing a control flow of WAN packet processing. Hereinafter, a description will be given with reference to FIG.
WANパケット処理では、まず、ルータ装置101のWAN側NIC 106が、WAN側(典型的にはインターネットである。)から送信されたパケットが到達したか否かを調べる(ステップS401)。到達していなければ(ステップS401;No)、待機して(ステップS402)から、ステップS401に戻る。この待機中には、他の処理をコルーチン的に実行することができる。また、LANパケット処理同様に、受信割り込みを利用しても良い。
In the WAN packet processing, first, the
パケットが到達している場合(ステップS401;Yes)、判断部204は、当該パケットの宛先を調べる(ステップS403)。宛先が、当該ルータ装置101のWAN側NIC 106のIPアドレス以外である場合(ステップS403;外部)、そのパケットを宛先にたらい回しに中継して(ステップS404)、ステップS401に戻る。
When the packet has arrived (step S401; Yes), the
一方、宛先が当該ルータ装置101のWAN側NIC 106のIPアドレスである場合(ステップS403;流入)、判断部204は、当該パケットの宛先となっているポート番号が、鍵符号テーブルにWAN側ポート番号として登録されているものであるか否かを調べ(ステップS405)、そうである場合(ステップS405;Yes)、判断部204は、RAM 104内に用意された鍵符号ホワイトリストに、当該パケットの送信元が登録されているか否かを調べる(ステップS406)。
このように、CPU 103は、WAN側NIC 106等と共働して判断部204として機能する。
On the other hand, when the destination is the IP address of the WAN-
In this way, the CPU 103 functions as the
ここで、RAM 104内に用意された鍵符号ホワイトリストとは、WAN側ポート番号と、当該WAN側ポートを介しての通信が許可された外部の機器(ステップS401において到達したパケットの送信元)のIPアドレス・ポート番号と、を対応付けて記憶するものである。
Here, the key code whitelist prepared in the
登録されていない場合(ステップS406;No)、判断部204は、鍵符号テーブルで当該WAN側ポート番号に対応付けて登録されている鍵符号が、パケットの中身に指定されているか否かを調べる(ステップS407)。
指定されていれば(ステップS407;Yes)、許可部205は、当該パケットの送信元のIPアドレス・ポート番号を、当該WAN側ポート番号に対応付けて、鍵符号ホワイトリストに追加登録して(ステップS408)、ステップS401に戻る。
このように、CPU 103は、RAM 104等と共働して許可部205として機能する。
If not registered (step S406; No), the
If specified (step S407; Yes), the permission unit 205 additionally registers the IP address / port number of the transmission source of the packet in association with the WAN port number in the key code white list ( Step S408) returns to Step S401.
Thus, the CPU 103 functions as the permission unit 205 in cooperation with the
なお、ある鍵符号について、鍵符号ホワイトリストに登録できる送信元の数に上限を設け、ステップS408においては先着順に登録ができることとし、それ以降の登録はできないようにしても良い。鍵符号が盗聴、傍受、漏曳などされてしまっても、通信を許可したくない相手をできるだけ避けることができるようになる。 Note that an upper limit may be set for the number of transmission sources that can be registered in the key code white list for a certain key code, and in step S408, registration may be performed on a first-come-first-served basis, and subsequent registration may be disabled. Even if the key code is eavesdropped, intercepted, leaked, etc., it is possible to avoid as much as possible other parties who do not want to allow communication.
なお、鍵符号ホワイトリストにおける送信元の区別の手法としては、当該送信元のIPアドレス・ポート番号を利用するのが典型的であるが、たとえば、あらかじめ割り当てられた識別番号やセッション番号を使用しても良いし、MACアドレスやCPU IDなどを利用することもできる。
一方、指定されていなければ(ステップS407;No)、そのままステップS401に戻り、当該送信元との通信に応答せずに拒否して、いわゆるStealthモードの振舞いをする。
As a technique for distinguishing the transmission source in the key code white list, the IP address / port number of the transmission source is typically used. For example, an identification number or a session number assigned in advance is used. Alternatively, a MAC address, a CPU ID, or the like can be used.
On the other hand, if not designated (step S407; No), the process returns to step S401 as it is, rejects without responding to the communication with the transmission source, and behaves in a so-called Stealth mode.
なお、ステップS408の後に、当該パケットを、後述するNAPTによりLAN側に流入させる処理を行ってからステップS401に戻るように構成することも可能である。 It is also possible to configure so that after step S408, the packet is processed to flow into the LAN side by NAPT described later, and then the process returns to step S401.
また、鍵符号をパケット内に指定する手法であるが、所定のフレーム構造を規定して、当該フレーム構造にしたがって鍵符号を格納することとしても良いし、単にバイト列として当該鍵符号がパケットの内容の部分列として含まれているか否かを確認するだけとしても良い。 The key code is specified in the packet, but a predetermined frame structure may be defined, and the key code may be stored according to the frame structure, or the key code may be simply stored as a byte string. It is only necessary to confirm whether or not it is included as a partial sequence of contents.
さて、ステップS406において、鍵符号ホワイトリストに、WAN側ポート番号とパケットの送信元のIPアドレス・ポート番号の組が登録されている場合(ステップS406;Yes)、受信部206は、当該パケットのLAN側への流入を受け付けるため、通常のNAPTにおけるIPアドレス・ポート変換テーブルや鍵符号テーブルを参照して、当該WAN側ポート番号に対応付けられるLAN側端末のLAN側IPアドレス・ポート番号(これが、宛先となる。)を取得し(ステップS409)、中継部208は、当該パケットの宛先を取得したLAN側IPアドレス・ポート番号に書き換えてNAPTを行い、当該書き換えがされたLAN側NIC 105を介して宛先の端末に送信して(ステップS410)、ステップS401に戻る。 In step S406, when the set of the WAN side port number and the packet transmission source IP address / port number is registered in the key code white list (step S406; Yes), the receiving unit 206 determines that the packet In order to accept the inflow to the LAN side, referring to the IP address / port conversion table or key code table in the normal NAPT, the LAN side IP address / port number of the LAN side terminal associated with the WAN side port number (this is (Step S409), the relay unit 208 rewrites the destination of the packet with the acquired LAN-side IP address and port number, performs NAPT, and rewrites the rewritten LAN-side NIC 105. To the destination terminal (step S410) and step S40. Back to.
また、ステップS405において、当該パケットの宛先となっているポート番号が、鍵符号テーブルにWAN側ポート番号として登録されているものでない場合(ステップS405;No)、通常のルータパケット処理を行って(ステップS411)、ステップS401に戻る。
通常のルータパケット処理としては、たとえば、通常のホワイトリストとブラックリストに基づく管理を行ったり、NAPTのIPアドレス・ポート変換テーブルに登録されている場合のみ、IPマスカレードによってLAN側にパケットを流入させたり、パケットを捨ててStealthモードとしたり、等、種々の手法を採用することができる。
In step S405, if the port number that is the destination of the packet is not registered as the WAN side port number in the key code table (step S405; No), normal router packet processing is performed ( Step S411) and return to Step S401.
For normal router packet processing, for example, only when management based on the normal white list and black list is performed, or when the IP address / port conversion table of NAPT is registered, packets are allowed to flow into the LAN side by IP masquerade. Various methods such as discarding the packet and setting the Stealth mode can be employed.
上記のように、CPU 103は、LAN側NIC 105やWAN側NIC 106と共働して、受信部206および中継部208として機能する。
As described above, the CPU 103 functions as the reception unit 206 and the relay unit 208 in cooperation with the LAN side NIC 105 and the
なお、上記の説明では、理解を容易にするため、パケットの受入の際のACK(ACKnowlegment)の返送については説明を省略しているが、Stealthモードにしない場合には、TCP/IP通信の基本技術に基づいて、ACKを返すようにするのが一般的である。 In the above description, for the sake of easy understanding, the description of the return of ACK (ACKnowlegment) upon receipt of a packet is omitted. However, when the mode is not set to the Stealth mode, the basics of TCP / IP communication are used. It is common to return an ACK based on the technology.
本実施形態によれば、通信相手を任意の相手に開放したりはせずに、ランダムに生成される鍵符号を割り符として用いることによりこの割り符を使っている送信元との通信を許可するので、本発明によれば、通信相手を適切に制限することができるようになる。 According to the present embodiment, communication with a transmission source using this tally is permitted by using a randomly generated key code as a tally without opening the communication partner to an arbitrary partner. Therefore, according to the present invention, communication partners can be appropriately restricted.
上記実施形態では、鍵符号を通知してきたWAN側の機器は、一旦鍵符号ホワイトリストに登録されると、そのまま登録され続けるものとしていたが、鍵符号そのものに有効期限を設けることも可能である。 In the above embodiment, the WAN-side device that has notified the key code is assumed to continue to be registered once registered in the key code white list. However, the key code itself may be provided with an expiration date. .
有効期限の設定方法としては、
(a)鍵符号を生成した時刻から(鍵符号テーブルに鍵符号が登録されてから)、所定の閾時間が経過した場合に無効となる。
(b)鍵符号ホワイトリストに通信を許可されたIPアドレスが登録されてから、所定の閾時間が経過した場合に無効となる。
(c)通信を許可されたIPアドレスからのパケットが最後に到達してから、所定の閾時間が経過した場合に無効となる。
等の手法が考えられる。
To set the expiration date,
(A) It becomes invalid when a predetermined threshold time elapses from the time when the key code is generated (after the key code is registered in the key code table).
(B) It becomes invalid when a predetermined threshold time elapses after the IP address permitted for communication is registered in the key code white list.
(C) It becomes invalid when a predetermined threshold time has elapsed since the packet from the IP address permitted to communicate finally arrived.
Such a method can be considered.
それぞれ、鍵符号テーブルや鍵符号ホワイトリストに、有効期限のフィールドを追加するとともに、(a)(b)では登録時に有効期限を設定し、(c)ではパケットの流入を受け入れるごとに有効期限を延長する。そして、ステップS302やステップS402の待機時間等に有効期限が過ぎた場合には、鍵符号テーブルや鍵符号ホワイトリストから、当該許可対象のデータを削除する処理を行う。
この場合、CPU 103がRAM 104と共働して取消部207として機能することとなる。
In each of the key code table and the key code white list, an expiration date field is added. In (a) and (b), an expiration date is set at the time of registration. In (c), an expiration date is set every time an inflow of a packet is accepted. Extend. Then, when the expiration date has passed in the standby time of step S302 or step S402, processing for deleting the data to be permitted is performed from the key code table or the key code white list.
In this case, the CPU 103 functions as the
本実施形態によれば、一旦通信を許可した相手であっても、一定時間が経過すればその許可が取り消されるので、ダイヤルアップ接続やDHCPなどにより、通信相手のIPアドレスが変化する場合であっても、本来許可すべきでない相手に通信を許可してしまう危険性を減らすことができる。 According to the present embodiment, even if the other party once permitted communication, the permission is canceled after a certain period of time, so the IP address of the other party may change due to dial-up connection or DHCP. However, it is possible to reduce the risk of permitting communication to a party that should not be permitted.
このほか、本通信装置201がルータ装置101上に実現されている場合には、取消部207が許可を取り消すタイミングとして、以下のような態様を考えることができる。
In addition, when the
すなわち、鍵符号に対して割り当てられたLAN側端末とのパケットのやりとりが、一定時間以上なければ、当該鍵符号テーブルや鍵符号ホワイトリストから、当該許可対象のデータを削除するのである。検出の手法としては、
(a)当該LAN側端末に対してパケットを送信したが、応答のアクノリッジが返ってこないままタイムアウトした場合。
(b)一定時間ごとにLAN内の状況を問い合わせるブロードキャストメッセージを送ることとしているときに、当該LAN側端末からの返答がないままタイムアウトした場合。
などが考えられる。
In other words, if there is no packet exchange with the LAN side terminal assigned to the key code for a predetermined time or longer, the data to be permitted is deleted from the key code table or key code white list. As a detection method,
(A) When a packet is transmitted to the LAN side terminal, but timeout occurs without a response acknowledge being returned.
(B) When a broadcast message inquiring about the status in the LAN is sent at regular intervals, and a timeout occurs without a response from the LAN side terminal.
And so on.
また、LAN側端末がソフトウェア的に通信装置201に鍵符号を無効にする旨の指示を出すこととしても良い。
Alternatively, the LAN side terminal may issue an instruction to invalidate the key code to the
たとえば、LAN側端末が送信元との通信の許可を個別に判断して、不要と思う相手の通信の許可を取り消す旨の指定をしたパケットを通信装置201に送信すると、取消部207が機能するものである。
For example, when the LAN side terminal individually determines the permission of communication with the transmission source and transmits to the communication apparatus 201 a packet designating that the communication permission of the other party that is considered unnecessary is cancelled, the
このほか、ソフトウェア的に電源をオフできるような機器の場合には、当該機器の電源が切れることを通知するようなパケットをLAN内にブロードキャストし、これをルータ装置101が知得すると、当該LAN側端末の鍵符号を無効にする、というものである。
In addition, in the case of a device whose power can be turned off by software, a packet notifying that the power of the device is turned off is broadcast in the LAN, and when the
上記実施形態では、通信装置201をルータ装置101上に実現することとしていたが、直接インターネットに接続されるような単独のコンピュータやゲーム装置を、本発明の通信装置201とすることも可能である。
In the above embodiment, the
この場合、コンピュータ等は、アプリケーションプログラムの制御に基づいて鍵符号を生成し、当該鍵符号を通信を許可したい相手に直接もしくはサーバ装置を介して間接的に送る。この場合、中継部208は不要であり、受信部206が受信したパケットをそのまま処理することとなる。 In this case, the computer or the like generates a key code based on the control of the application program, and sends the key code directly or indirectly via a server device to a party who wants to permit communication. In this case, the relay unit 208 is unnecessary, and the packet received by the receiving unit 206 is processed as it is.
また、上記実施形態と同様に、鍵符号を送ってきた相手のIPアドレス(やポート番号)を鍵符号ホワイトリストに登録することによって、通信機器の適切な制限を行うことができる。 Similarly to the above-described embodiment, by registering the IP address (or port number) of the partner that sent the key code in the key code white list, it is possible to appropriately limit the communication device.
なお、上記の実施形態では、NAPTを例にあげて説明したが、本発明の原理を適用するにあたっては、必ずしもポート番号に関する処理は必須ではない。何らかの形式で宛先が特定できれば十分であり、たとえば、IPアドレス単位やIPアドレス・ネットマスク単位で通信の許可の制御を行う態様においても、同様の処理を行うことが可能であり、これらの態様も本発明の範囲に含まれる。 In the above embodiment, the NAPT has been described as an example. However, when applying the principle of the present invention, the processing related to the port number is not necessarily required. It suffices if the destination can be specified in some form. For example, the same processing can be performed in an aspect in which communication permission is controlled in units of IP addresses or IP addresses / netmasks. It is included in the scope of the present invention.
以上説明したように、本発明によれば、通信相手を適切に制限するのに好適な通信装置、通信方法、ならびに、これらをコンピュータにて実現するプログラムを提供することができる。 As described above, according to the present invention, it is possible to provide a communication device, a communication method, and a program that realizes these on a computer, which are suitable for appropriately limiting communication partners.
101 ルータ装置
102 フラッシュEEPROM
103 CPU
104 RAM
105 LAN側NIC
106 WAN側NIC
201 通信装置
202 生成部
203 送信部
204 判断部
205 許可部
206 受信部
207 取消部
208 中継部
101 router device 102 flash EEPROM
103 CPU
104 RAM
105 LAN side NIC
106 WAN side NIC
DESCRIPTION OF
Claims (7)
当該端末装置から送信されたパケットを受信するLAN側受信部、
前記LAN側受信部により受信されたパケットが、鍵符号を送るべき宛先を指定する鍵符号生成要求パケットである場合、鍵符号を生成する生成部、
前記生成された鍵符号と、当該端末装置のWAN側ポート番号と、を指定する鍵符号指定パケットを、当該コンピュータ通信網内の当該鍵符号生成要求パケットに指定される宛先に送信する送信部、
当該コンピュータ通信網から到来する当該端末装置のWAN側ポート番号を宛先とするパケットに、前記生成された鍵符号が指定されているか否かを判断する判断部、
当該到来した当該端末装置のWAN側ポート番号を宛先とするパケットに前記生成された鍵符号が指定されている場合、当該到来したパケットの送信元との通信を許可する許可部、
当該コンピュータ通信網から到来するパケットのうち、前記通信を許可された送信元から送信された当該端末装置のWAN側ポート番号を宛先とするパケットを受信するWAN側受信部、
前記WAN側受信部により受信されたパケットを、当該端末装置に中継する中継部
を備えることを特徴とする通信装置。 A communication device that functions as a router that relays communication between a computer communication network and a terminal device,
LAN-side receiving unit that receives packets transmitted from the terminal device,
When the packet received by the LAN side receiving unit is a key code generation request packet for designating a destination to which a key code is to be sent, a generating unit that generates a key code;
A key code the generated, transmitting unit and the WAN side port number of the terminal device, the key code designated packet specifying a is transmitted to the destination specified in the key code generation request packets in the computer network,
A determination unit that determines whether or not the generated key code is specified in a packet addressed to the WAN side port number of the terminal device coming from the computer communication network;
When the generated key code is specified in a packet whose destination is the WAN side port number of the terminal device that has arrived, a permission unit that permits communication with the transmission source of the incoming packet,
Of the packets coming from the computer communication network, a WAN-side receiving unit that receives packets destined for the WAN-side port number of the terminal device transmitted from the transmission source permitted to communicate ,
A communication apparatus comprising: a relay unit that relays a packet received by the WAN side reception unit to the terminal device.
前記送信部は、当該鍵符号を指定する鍵符号指定パケットを所定のサーバ装置に送信し、
当該到来したパケットであって、前記生成された鍵符号が指定されるパケットの当該到来したパケットの送信元は、当該鍵符号を当該サーバ装置から知得して、当該パケットを当該通信装置に送信する
ことを特徴とする通信装置。 The communication device according to claim 1,
The transmitter transmits a key code designating packet for designating the key code to a predetermined server device;
The transmission source of the packet that has arrived in the packet in which the generated key code is specified, obtains the key code from the server device, and transmits the packet to the communication device. A communication device characterized by:
前記通信を許可された送信元から送信されたパケットを最後に受信してからの経過時間が所定の閾時間を超えると、当該送信元に対する通信の許可を取り消す取消部
をさらに備えることを特徴とする通信装置。 The communication device according to claim 1 or 2,
Canceling unit for canceling permission of communication to the transmission source when the elapsed time from the last reception of the packet transmitted from the transmission source permitted to perform communication exceeds a predetermined threshold time
A communication device further comprising:
当該鍵符号を生成してからの経過時間が所定の閾時間を超えると、当該送信元に対する通信の許可を取り消す取消部
をさらに備えることを特徴とする通信装置。 The communication device according to claim 1 or 2 ,
Cancellation unit that cancels communication permission for the sender if the elapsed time since the key code was generated exceeds a predetermined threshold time
A communication device further comprising:
前記許可部は、前記生成された鍵符号が指定されて到来したパケットの送信元の数があらかじめ定めた閾個数を超えると、当該新たに到来したパケットの送信元との通信を許可しない
ことを特徴とする通信装置。 The communication device according to claim 1 or 2 ,
The permission unit does not permit communication with the transmission source of the newly arrived packet when the number of transmission sources of the packet that has arrived by specifying the generated key code exceeds a predetermined threshold number. A communication device.
前記LAN側受信部が、当該端末装置から送信されたパケットを受信するLAN側受信工程、 LAN side receiving step in which the LAN side receiving unit receives a packet transmitted from the terminal device;
前記LAN側受信工程にて受信されたパケットが、鍵符号を送るべき宛先を指定する鍵符号生成要求パケットである場合、前記生成部が、鍵符号を生成する生成工程、 When the packet received in the LAN side reception step is a key code generation request packet for designating a destination to which a key code is to be sent, the generation unit generates a key code,
前記送信部が、前記生成された鍵符号と、当該端末装置のWAN側ポート番号と、を指定する鍵符号指定パケットを、当該コンピュータ通信網内の当該鍵符号生成要求パケットに指定される宛先に送信する送信工程、 The transmission unit sends a key code designating packet designating the generated key code and the WAN side port number of the terminal device to a destination designated in the key code generation request packet in the computer communication network. Sending process to send,
前記判断部が、当該コンピュータ通信網から到来する当該端末装置のWAN側ポート番号を宛先とするパケットに、前記生成された鍵符号が指定されているか否かを判断する判断工程、 A determination step of determining whether or not the generated key code is specified in a packet whose destination is the WAN side port number of the terminal device coming from the computer communication network;
当該到来した当該端末装置のWAN側ポート番号を宛先とするパケットに前記生成された鍵符号が指定されている場合、前記許可部が、当該到来したパケットの送信元との通信を許可する許可工程、 When the generated key code is specified in a packet whose destination is the WAN side port number of the terminal device that has arrived, the permission unit permits the communication with the transmission source of the arrived packet ,
前記WAN側受信部が、当該コンピュータ通信網から到来するパケットのうち、前記通信を許可された送信元から送信された当該端末装置のWAN側ポート番号を宛先とするパケットを受信するWAN側受信工程、 WAN side reception step of receiving, from the packet coming from the computer communication network, the packet destined for the WAN side port number of the terminal device transmitted from the transmission source permitted for the communication, from the WAN side reception unit ,
前記中継部が、前記WAN側受信工程にて受信されたパケットを、当該端末装置に中継する中継工程 Relay step in which the relay unit relays the packet received in the WAN side reception step to the terminal device
を備えることを特徴とする通信方法。 A communication method comprising:
当該端末装置から送信されたパケットを受信するLAN側受信部、 LAN-side receiving unit that receives packets transmitted from the terminal device,
前記LAN側受信部により受信されたパケットが、鍵符号を送るべき宛先を指定する鍵符号生成要求パケットである場合、鍵符号を生成する生成部、 When the packet received by the LAN side receiving unit is a key code generation request packet for designating a destination to which a key code is to be sent, a generating unit that generates a key code;
前記生成された鍵符号と、当該端末装置のWAN側ポート番号と、を指定する鍵符号指定パケットを、当該コンピュータ通信網内の当該鍵符号生成要求パケットに指定される宛先に送信する送信部、 A transmission unit for transmitting a key code designating packet for designating the generated key code and the WAN side port number of the terminal device to a destination designated by the key code generation request packet in the computer communication network;
当該コンピュータ通信網から到来する当該端末装置のWAN側ポート番号を宛先とするパケットに、前記生成された鍵符号が指定されているか否かを判断する判断部、 A determination unit that determines whether or not the generated key code is specified in a packet addressed to the WAN side port number of the terminal device coming from the computer communication network;
当該到来した当該端末装置のWAN側ポート番号を宛先とするパケットに前記生成された鍵符号が指定されている場合、当該到来したパケットの送信元との通信を許可する許可部、 When the generated key code is specified in a packet whose destination is the WAN side port number of the terminal device that has arrived, a permission unit that permits communication with the transmission source of the incoming packet,
当該コンピュータ通信網から到来するパケットのうち、前記通信を許可された送信元から送信された当該端末装置のWAN側ポート番号を宛先とするパケットを受信するWAN側受信部、 Of the packets coming from the computer communication network, a WAN-side receiving unit that receives packets destined for the WAN-side port number of the terminal device transmitted from the transmission source permitted to communicate,
前記WAN側受信部により受信されたパケットを、当該端末装置に中継する中継部 Relay unit that relays a packet received by the WAN side receiving unit to the terminal device
として機能させることを特徴とするプログラム。 A program characterized by functioning as
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2006028193A JP4226606B2 (en) | 2006-02-06 | 2006-02-06 | COMMUNICATION DEVICE, COMMUNICATION METHOD, AND PROGRAM |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2006028193A JP4226606B2 (en) | 2006-02-06 | 2006-02-06 | COMMUNICATION DEVICE, COMMUNICATION METHOD, AND PROGRAM |
Publications (2)
Publication Number | Publication Date |
---|---|
JP2007208887A JP2007208887A (en) | 2007-08-16 |
JP4226606B2 true JP4226606B2 (en) | 2009-02-18 |
Family
ID=38487903
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2006028193A Expired - Fee Related JP4226606B2 (en) | 2006-02-06 | 2006-02-06 | COMMUNICATION DEVICE, COMMUNICATION METHOD, AND PROGRAM |
Country Status (1)
Country | Link |
---|---|
JP (1) | JP4226606B2 (en) |
Families Citing this family (6)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP5166094B2 (en) * | 2008-03-27 | 2013-03-21 | 株式会社野村総合研究所 | Communication relay device, web terminal, mail server device, electronic mail terminal, and site check program |
US8549625B2 (en) * | 2008-12-12 | 2013-10-01 | International Business Machines Corporation | Classification of unwanted or malicious software through the identification of encrypted data communication |
JP5617108B2 (en) * | 2011-07-14 | 2014-11-05 | 岩▲崎▼ 哲夫 | Static NAT forming device, reverse proxy server, and virtual connection control device |
JP5620937B2 (en) * | 2012-03-29 | 2014-11-05 | 富士フイルム株式会社 | Control system, controlled device, and operation control method thereof |
JP2016148951A (en) * | 2015-02-10 | 2016-08-18 | 株式会社三菱東京Ufj銀行 | Transaction device, transaction method, and transaction system |
US10469477B2 (en) | 2015-03-31 | 2019-11-05 | Amazon Technologies, Inc. | Key export techniques |
-
2006
- 2006-02-06 JP JP2006028193A patent/JP4226606B2/en not_active Expired - Fee Related
Also Published As
Publication number | Publication date |
---|---|
JP2007208887A (en) | 2007-08-16 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
JP4246705B2 (en) | Home terminal device and communication system | |
JP4727126B2 (en) | Providing secure network access for short-range wireless computing devices | |
US8583912B2 (en) | Communication system of client terminals and relay server and communication method | |
RU2584752C2 (en) | Device and method for implementing data transmission network used for remote house control | |
KR100814400B1 (en) | apparatus and method of security communication in IPv4/IPv6 coordination network system | |
JP2009111437A (en) | Network system | |
US8935759B2 (en) | Apparatus and method for establishing a peer-to-peer communication session with a client device | |
JP4226606B2 (en) | COMMUNICATION DEVICE, COMMUNICATION METHOD, AND PROGRAM | |
JP2008153905A (en) | Network relay program, network relay device, communication system and network relay method | |
WO2011140235A2 (en) | Apparatus and method for establishing a peer-to-peer communication session with a host device | |
JP2006033206A (en) | Authentication system, hub, authentication method used for them and program thereof | |
Richardson et al. | Opportunistic encryption using the internet key exchange (ike) | |
US20060072618A1 (en) | Packet-sending communication apparatus with forwarding-address automatic-recognition function, communication system and programs thereof | |
JP2006109152A (en) | Connection requesting device, response device, connection management device and communication system for performing communication on network | |
JP4003634B2 (en) | Information processing device | |
JP4420057B2 (en) | Communication method, information processing system, and information processing apparatus | |
JP2007336401A (en) | Communication control device, authentication system, and communication control program | |
JP2008187686A (en) | Tunnel communication system, control device, and tunnel communication apparatus | |
JP2006352710A (en) | Packet repeating apparatus and program | |
JP3472098B2 (en) | Mobile computer device, relay device, and data transfer method | |
JP3964814B2 (en) | Data transmission apparatus, data transmission system, and data transmission control method | |
JP4261146B2 (en) | User authentication network communication system, program, and method | |
JP2007266863A (en) | Communication system, communication method, and program | |
JP2005130096A (en) | Communication apparatus, method, and program | |
Shvecov | NAT and Connections Management Facilities |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20080515 |
|
A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20080527 |
|
A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20080716 |
|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20081118 |
|
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20081126 |
|
FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20111205 Year of fee payment: 3 |
|
R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20121205 Year of fee payment: 4 |
|
FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20131205 Year of fee payment: 5 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
LAPS | Cancellation because of no payment of annual fees |