JP4342527B2

JP4342527B2 - パケット中継装置および方法

Info

Publication number: JP4342527B2
Application number: JP2006069386A
Authority: JP
Inventors: 高明小山; 英樹山内
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2006-03-14
Filing date: 2006-03-14
Publication date: 2009-10-14
Anticipated expiration: 2026-03-14
Also published as: JP2007251374A

Description

本発明は、異なるＩＰアドレスを用いる複数のＩＰパケット網間を接続したネットワーク間接続装置に関し、特に、ＩＰパケットのＩＰアドレス変換情報を隠蔽する技術に関する。

ＩＰパケット網におけるクライアントは、接続したいサーバのホスト名を用いてＤＮＳ(Domain
Name Server)サーバにＩＰアドレスを問い合わせ、ＤＮＳサーバから取得したＩＰアドレスを用いて通信を行う。従来技術であるＲＦＣ３０２２に従ったＩＰアドレス変換装置あるいはＤＮＳサーバは、プライベート網のＩＰアドレスの変換のみに対応している。

"ＮＡＴを用いた重複ネットワークアドレスの設定事例"、［ｏｎｌｉｎｅ］、ＴｅｃｈｎｉｃａｌＴｉｐｓ、［平成１８年１月２７日検索］、インターネット<URL:http://www.cisco.com/Japanese/warp/public/3/jp/service/info/tips/router/nat/nat_overlap.htm＞

しかしながら、このような従来のアドレス変換装置では、次のような問題点があった。

例えば、２つの企業間接続を想定した図６のように、Ａ社ネットワーク１００において、サーバ１０１〜１０Ｎ、ＤＮＳサーバ１１０、クライアント１２１が存在し、Ｂ社ネットワーク１５０において、サーバ１５１〜１５Ｎ、ＤＮＳサーバ１６０が存在し、Ａ社クライアント１２１のＩＰアドレスがＢ社ネットワーク１５０では別の端末用に利用され、Ｂ社サーバ１５１〜１５Ｎ、Ｂ社ＤＮＳサーバ１６０のＩＰアドレスが、Ａ社ネットワーク１００で別の端末用に利用されていた場合でも、Ａ社クライアント１２１からＢ社サーバ１５１に接続性を確保せねばならない。

Ａ社クライアント１２１が接続先ホスト名Ｂ社サーバ１５１をＤＮＳサーバ１１０またはＤＮＳサーバ１６０に問い合わせ、Ｂ社サーバ１５１のＢ社内アドレスではなく、Ａ社から接続可能なアドレスを通知してもらう必要がある。

このような場合には、Ｂ社ＤＮＳサーバ１６０に、予めＡ社クライアント１２１からの問い合わせに答えるための情報を登録しておくか、別にＤＮＳサーバを準備する必要がある。

しかし、他社情報であるＡ社に関するＩＰアドレスをＢ社ＤＮＳサーバ１６０に登録した場合には、他社のアドレス情報の蓄積先としてＤＮＳサーバ１６０を攻撃すれば全ての情報を得ることができ、さらに、Ａ社独自でアドレス変更を行った場合などもＢ社ＤＮＳサーバ１６０にも変更が必要となり管理コストに影響がある。

また、ＤＮＳサーバを接続点に別に準備した場合には、他社のアドレス変換情報の蓄積先としてＤＮＳサーバのＩＰアドレスが特定され、ここを攻撃されてアドレス変換情報が漏洩すれば、公開サーバ全てについて、公開アドレスと内部アドレスの対応が全て特定され、セキュリティ面で大変心配である。

これを解決させるには、アドレス変換情報がどこにあるかわからぬようにし、ＩＰパケット、ＤＮＳパケット両方について、ＩＰアドレスを持たずに自端末側、接続先側両方共にアドレス変換する技術が重要である。なお、ここで、ＤＮＳパケットとは、ＤＮＳサーバとアクセスするためのＩＰパケットであり、ＤＮＳペイロードを有するＩＰパケットのことをいう。

本発明は、このような課題を解決するためのものであり、アドレス変換情報がどこにあるかわからぬようにしながら、異なる複数のＩＰパケット網間で相互に送受信されるＩＰパケットのＩＰアドレス変換を行うことができるパケット中継装置および方法を提供することを目的とする。

上述した課題を解決するために、本発明のパケット中継装置自体は、ＩＰアドレスを持たず、他から見ると本発明のパケット中継装置の存在は隠蔽されている。このように本発明のパケット中継装置は、他から存在を隠蔽しつつ、ＩＰパケット網間を接続し、所定条件に基づきＩＰアドレス変換を行うためのＩＰアドレス変換条件リストを持ち、自パケット中継装置を通過するパケットのうち前記所定条件を満たすＩＰパケットまたはＤＮＳパケットの双方について、所定条件に従い、ＩＰアドレス変換を行い、所定条件の出力先であるＶＬＡＮまたはＶＣなどに出力するものである。

すなわち、本発明は、物理的または論理的に多重された複数の伝送路を収容し、ＩＰパケットまたはＤＮＳペイロードを有するＩＰパケットであるＤＮＳパケットのＩＰアドレスおよびポート番号の書き換えを行うパケット中継装置であって、本発明の特徴とするところは、発信側ネットワークおよび着信側ネットワークそれぞれのプライベート側ＩＰアドレスおよびポート番号とグローバル側ＩＰアドレスおよびポート番号との対応関係が記録されたＩＰアドレス変換条件リストと、到着したＩＰパケットのヘッダ内に、前記ＩＰアドレス変換条件リストにおいて、発信側ネットワークにおけるプライベート網からグローバル網向きのパケットであって発信側ネットワークのプライベート側ＩＰアドレスおよびポート番号に一致する情報が見出された場合、または、着信側ネットワークにおけるグローバル網からプライベート網向きのパケットであって着信側ネットワークのグローバル側ＩＰアドレスおよびポート番号に一致する情報が見出された場合には、これを発信側ネットワークのグローバル側ＩＰアドレスおよびポート番号、または、着信側ネットワークのプライベート側ＩＰアドレスおよびポート番号に書き換える手段と、到着したＩＰパケットがＤＮＳパケットであるか否かを判定するＤＮＳ判定手段と、到着したパケットがＤＮＳパケットであると前記ＤＮＳ判定手段が判定し、そのＤＮＳペイロード内に、前記ＩＰアドレス変換条件リストにおいて、発信側ネットワークにおけるプライベート網からグローバル網向きのパケットであって発信側ネットワークのプライベート側ＩＰアドレスに一致する情報が見出された場合、または、着信側ネットワークにおけるグローバル網からプライベート網向きのパケットであって着信側ネットワークのグローバル側ＩＰアドレスに一致する情報が見出された場合には、これを発信側ネットワークのグローバル側ＩＰアドレス、または、着信側ネットワークのプライベート側ＩＰアドレスに書き換える手段とを備えたところにある。

また、前記ＩＰアドレス変換条件リストに既に記録されているプライベート側ＩＰアドレス以外のプライベート側ＩＰアドレスを有するＩＰパケットまたはＤＮＳパケットが到着したときには、新規に当該プライベート側ＩＰアドレスに対応するグローバル側ＩＰアドレスを払い出す手段を備え、前記ＩＰアドレス変換条件リストは、前記払い出す手段により払い出された新規のプライベート側ＩＰアドレスおよびグローバル側ＩＰアドレスを追記する手段と、所定時間内に一度も利用されない前記対応関係についてはこれを削除する手段とを備えることができる。

これによれば、新規にクライアントが追加された場合や休止中のクライアントが有るなど、ネットワーク環境の変化に柔軟に対応することができる。

本発明をパケット中継方法の観点から見ることができる。すなわち、本発明は、物理的または論理的に多重された複数の伝送路を収容し、ＩＰパケットまたはＤＮＳペイロードを有するＩＰパケットであるＤＮＳパケットのＩＰアドレスおよびポート番号の書き換えを行うパケット中継装置が実行するパケット中継方法であって、本発明の特徴とするところは、発信側ネットワークおよび着信側ネットワークそれぞれのプライベート側ＩＰアドレスおよびポート番号とグローバル側ＩＰアドレスおよびポート番号との対応関係が記録されたＩＰアドレス変換条件リストを有し、到着したＩＰパケットのヘッダ内に、前記ＩＰアドレス変換条件リストにおいて、発信側ネットワークにおけるプライベート網からグローバル網向きのパケットであって発信側ネットワークのプライベート側ＩＰアドレスおよびポート番号に一致する情報が見出された場合、または、着信側ネットワークにおけるグローバル網からプライベート網向きのパケットであって着信側ネットワークのグローバル側ＩＰアドレスおよびポート番号に一致する情報が見出された場合には、これを発信側ネットワークのグローバル側ＩＰアドレスおよびポート番号、または、着信側ネットワークのプライベート側ＩＰアドレスおよびポート番号に書き換えるステップと、到着したＩＰパケットがＤＮＳパケットであるか否かを判定するＤＮＳ判定ステップと、到着したパケットがＤＮＳパケットであると前記ＤＮＳ判定ステップにより判定し、そのＤＮＳペイロード内に、前記ＩＰアドレス変換条件リストにおいて、発信側ネットワークにおけるプライベート網からグローバル網向きのパケットであって発信側ネットワークのプライベート側ＩＰアドレスに一致する情報が見出された場合、または、着信側ネットワークにおけるグローバル網からプライベート網向きのパケットであって着信側ネットワークのグローバル側ＩＰアドレスに一致する情報が見出された場合には、これを発信側ネットワークのグローバル側ＩＰアドレス、または、着信側ネットワークのプライベート側ＩＰアドレスに書き換えるステップとを実行するところにある。

また、前記ＩＰアドレス変換条件リストに既に記録されているプライベート側ＩＰアドレス以外のプライベート側ＩＰアドレスを有するＩＰパケットまたはＤＮＳパケットが到着したときには、新規に当該プライベート側ＩＰアドレスに対応するグローバル側ＩＰアドレスを払い出すステップと、前記払い出すステップにより払い出された新規のプライベート側ＩＰアドレスおよびグローバル側ＩＰアドレスを前記ＩＰアドレス変換条件リストに追記するステップと、所定時間内に一度も利用されない前記対応関係についてはこれを前記ＩＰアドレス変換条件リストから削除するステップとを実行することができる。

また、本発明をプログラムの観点から見ることができる。すなわち、本発明は、汎用の情報処理装置にインストールすることにより、その情報処理装置に、本発明のパケット中継装置に相応する機能を実現させるプログラムである。本発明のプログラムは記録媒体に記録されることにより、前記汎用の情報処理装置は、この記録媒体を用いて本発明のプログラムをインストールすることができる。あるいは、本発明のプログラムを保持するサーバからネットワークを介して直接前記情報処理装置に本発明のプログラムをインストールすることもできる。

これにより、汎用の情報処理装置を用いて、本発明のパケット中継装置を実現し、本発明のパケット中継方法を実行させることができる。また、前記記録媒体についても本発明の一つの観点として見ることができる。

本発明によれば、アドレス変換情報がどこにあるかわからぬようにしながら、異なる複数のＩＰパケット網間で相互に送受信されるＩＰパケットのＩＰアドレス変換を行うことができる。

（第一実施例）
第一実施例のパケット中継装置を図１、図２、図４、図５を参照して説明する。図１は本実施例のパケット中継装置が適用されるネットワーク構成を示す図である。図２は第一実施例のパケット中継装置のブロック構成図である。図４はＩＰアドレス変換条件リストの一例を示す図である。図５はＩＰアドレス変換テーブルの一例を示す図である。

以下、パケット網については、Ｅｔｈｅｒｎｅｔ（登録商標）上のＶＬＡＮまたはＡＴＭ上のＶＣにて形成されたＩＰ網を指すものであり、ＶＬＡＮ−ＩＤは、Ｅｔｈｅｒｎｅｔ上のＶＬＡＮにおけるＶＬＡＮ−ＩＤを、ＶＣはＡＴＭのＶＰＩ、ＶＣＩの対を指すものとする。

図１に示すように、パケット中継装置１３０は、サーバ１０１〜１０Ｎ、ＤＮＳサーバ１１０、クライアント１２１が接続されたＡ社パケット網と、サーバ１５１〜１５Ｎ、ＤＮＳサーバ１６０が接続されたＢ社パケット網のパケット網間に位置し、この２つのパケット網を接続し、１つの入力パケット網に対して１つの出力パケット網に出力する機能を有している。

クライアント１２１は、信号手順に従い、ＤＮＳサーバ１６０に接続してサーバ１５１のＩＰアドレスを入手し、サーバ１５１に接続する。

図２は、第一実施例のパケット中継装置２１０の処理を示している。第一実施例のパケット中継装置２１０は、図２に示すように、ＶＬＡＮまたはＡＴＭからの受信処理機能部として受信部２１１を有し、受信されたパケットを処理するメイン処理部２１２を有する。また、ＶＬＡＮまたはＡＴＭへの送信処理機能部として送信部２２２を有する。なお、メイン処理部２１２の下位機能は、以下のとおりである。

ＤＮＳパケット判定処理機能部としてＤＮＳパケット判定処理部２１３を有し、ＤＮＳパケットのペイロード内のアドレス変換処理機能部として発側ＤＮＳパケットアドレス変換処理部２１４、着側ＤＮＳパケットアドレス変換処理部２１６を有し、ＩＰパケットのアドレス変換処理機能部として発側アドレス変換処理部２１８および着側アドレス変換処理部２２０を有する。

また、発側ＤＮＳパケットアドレス変換処理部２１４、着側ＤＮＳパケットアドレス変換処理部２１６、発側アドレス変換部２１８、着側アドレス変換部２２０がアドレス変換処理に用いるＩＰアドレス変換条件リスト２１５、２１７を有し、さらに、発側アドレス変換処理部２１８および着側アドレス変換処理部２２０のアドレス変換処理に際し、新規にプライベート側ＩＰアドレスとグローバル側ＩＰアドレスとの対応関係を生成するためのＩＰアドレス変換テーブル２１９、２２１を有する。

なお、パケット網はＩＰ網の場合とする。出力機能は、Ｅｔｈｅｒｎｅｔ上のＶＬＡＮにおけるＶＬＡＮ−ＩＤの書き換えでもよいし、ＡＴＭにおけるＶＰＩ値、ＶＣＩ値の書き換えでもよいし、ＥｔｈｅｒｎｅｔまたはＡＴＭの出力先の物理線を変更する機能でもよい。また、パケット中継装置２１０は、入力のＶＬＡＮまたはＶＣに対して、予め決められたＶＬＡＮまたはＶＣに出力する機能を有しているものとする。

次に、第一実施例のパケット中継装置の動作を説明する。上述したように、パケット中継装置２１０は、受信部２１１、メイン処理部２１２、送信部２２２の３つの機能からなり、メイン処理部２１２は、発側ＤＮＳパケットアドレス変換処理部２１４、着側ＤＮＳパケットアドレス変換処理部２１６、発側アドレス変換処理部２１８、着側アドレス変換処理部２２０の４つの機能からなる。

パケット中継装置２１０にＩＰパケットが到着すると、受信部２１１は外部から受信したＩＰパケットと、受信ネットワークを識別するＶＬＡＮ−ＩＤまたはＶＣ、ならびに、受信ネットワークと対となる送信ネットワークのＶＬＡＮ−ＩＤまたはＶＣをメイン処理部２１２に渡す。

メイン処理部２１２では、ＤＮＳパケット判定処理部２１３によりＤＮＳパケット判定処理を実施し、ＤＮＳパケットと判定された場合に、発側ＤＮＳパケットアドレス変換処理部２１４と着側ＤＮＳパケットアドレス変換処理部２１６とによりＩＰパケットのＤＮＳペイロードにおけるＩＰアドレス変換を実行した後、発側アドレス変換処理部２１８と着側アドレス変換処理部２２０とによりＩＰパケットのヘッダにおけるＩＰアドレス変換を実行する。

ＤＮＳパケット判定処理部２１３では、受信したＩＰパケットのヘッダ情報と、予め決められたＤＮＳパケット判定条件とを照らし合わせ、条件が一致した場合にＤＮＳパケットと判定する。ＤＮＳパケットと判定されれば、受信ネットワークを識別するＶＬＡＮ−ＩＤまたはＶＣと、送信ネットワークを識別するＶＬＡＮ−ＩＤまたはＶＣと、受信したＩＰパケットの３つを発側ＤＮＳパケットアドレス変換処理部２１４に渡す。

ＤＮＳパケットでない場合は、受信ネットワークを識別するＶＬＡＮ−ＩＤまたはＶＣと、送信ネットワークを識別するＶＬＡＮ−ＩＤまたはＶＣと、受信したＩＰパケットを、発側アドレス変換処理部２１８に渡す。

ＤＮＳパケット判定条件は、特に指定がない場合には、プロトコルがＵＤＰ、かつ発信側または着信側ポート番号が５３（ＲＦＣ１０３５の４．２Ｔｒａｎｓｐｏｒｔ参照）となっていた場合にＤＮＳパケットと判定する。

ＩＰアドレス変換条件リスト２１５は、端末２０１が所属するネットワークの実際に払い出されているＩＰアドレスのプライベート側とグローバル側との対照表であり、ＩＰアドレス変換条件リスト２１７は、端末２３１が所属するネットワークの実際に払い出されているＩＰアドレスのプライベート側とグローバル側との対照表であり、図４に示す要素を持つアドレス変換表を指す。なお、ＩＰアドレス変換条件リストのエントリ（１行）は、所定時間内に、一度もＤＮＳパケット変換処理またはアドレス変換処理に利用されない場合には自動的に削除される。

ＩＰアドレス変換テーブル２１９は、端末２０１が所属するネットワークにおいて事前に設定されたアドレス変換テーブルであり、ＩＰアドレス変換テーブル２２１は、端末２３１が所属するネットワークにおいて事前に設定されたアドレス変換テーブルである。なお、当該テーブルの上位条件は、下位条件よりも優先される。ＩＰアドレス変換テーブルの一例を図５に示す。

発側ＤＮＳパケットアドレス変換処理部２１４では、受信ネットワークを識別するＶＬＡＮ−ＩＤまたはＶＣ用のＩＰアドレス変換条件リスト２１５を用いて、受信ＩＰパケットのＤＮＳペイロード中のＩＰアドレスと比較し、ＩＰアドレス変換条件リスト２１５のプライベート側ＩＰアドレスと一致するものがないかを探索し、一致するものがあればアドレス変換条件リスト２１５のグローバル側ＩＰアドレスに受信ＩＰパケットのＤＮＳペイロード中を書き換え、受信ＩＰパケット、受信ネットワークを識別するＶＬＡＮ−ＩＤまたはＶＣ、送信ネットワークを識別するＶＬＡＮ−ＩＤまたはＶＣの３種類を着側ＤＮＳパケットアドレス変換処理部２１６に渡す。前記比較の結果、一致するものが無ければ何の処理も行わない。

なお、ＩＰアドレス変換条件リスト２１５中に複数当てはまるプライベート側ＩＰアドレスがあった場合に、上位条件を優先する。

着側ＤＮＳパケットアドレス変換処理部２１６では、送信ネットワークを識別するＶＬＡＮ−ＩＤまたはＶＣ用のＩＰアドレス変換条件リスト２１７を用いて、受信ＩＰパケットのＤＮＳペイロード中のＩＰアドレスと比較し、ＩＰアドレス変換条件リスト２１７のグローバル側ＩＰアドレスと一致するものがないかを探索し、一致するものがあればＩＰアドレス変換条件リスト２１７のプライベート側ＩＰアドレスに受信ＩＰパケットのＤＮＳペイロード中を書き換え、受信ＩＰパケット、受信ネットワークを識別するＶＬＡＮ−ＩＤまたはＶＣ、送信ネットワークを識別するＶＬＡＮ−ＩＤまたはＶＣの３種類をＤＮＳパケット判定処理部２１３に返す。前記比較の結果、一致するものが無ければ何の処理も行わない。

ＤＮＳパケット判定処理部２１３では、着側ＤＮＳパケットアドレス変換処理部２１６から受信ＩＰパケット、受信ネットワークを識別するＶＬＡＮ−ＩＤまたはＶＣ、送信ネットワークを識別するＶＬＡＮ−ＩＤまたはＶＣの３種類を受け取ると、そのまま発側アドレス変換処理部２１８に渡す。

発側アドレス変換処理部２１８では、受信ネットワークを識別するＶＬＡＮ−ＩＤまたはＶＣ用のＩＰアドレス変換条件リスト２１５を用いて、受信ＩＰパケットのＩＰヘッダの発信元ＩＰアドレスとポート番号とを、ＩＰアドレス変換条件リスト２１５のプライベート側ＩＰアドレス、プライベート側ポート番号と比較し、一致するものがあれば、アドレス変換条件リスト２１５のグローバル側ＩＰアドレス、グローバル側ポート番号、ならびにアドレス変換種別にしたがって、受信ＩＰパケットの発信元ＩＰアドレスとポート番号とを書き換える。

また、ＩＰアドレス変換条件リスト２１５に一致しなかった場合は、ＩＰアドレス変換テーブル２１９を参照し、該当するものがあれば、そのアドレス変換種別（ＲＦＣ３０２２）にしたがってグローバル側ＩＰアドレスとグローバル側ポート番号とを払い出し、払い出した情報をＩＰアドレス変換条件リスト２１５に追加した上で、受信ＩＰパケットの発信元ＩＰアドレスとポート番号もグローバル側ＩＰアドレスとグローバル側ポート番号に書き換える。

着側アドレス変換処理部２２０では、受信ネットワークを識別するＶＬＡＮ−ＩＤまたはＶＣ用のＩＰアドレス変換条件リスト２１７を用いて、受信ＩＰパケットのＩＰヘッダの送信先ＩＰアドレスとポート番号とを、ＩＰアドレス変換条件リスト２１７のグローバル側ＩＰアドレス、グローバル側ポート番号と比較し、一致するものがあれば、ＩＰアドレス変換条件リスト２１７のプライベート側ＩＰアドレス、プライベート側ポート番号に受信ＩＰパケットの送信先ＩＰアドレスとポート番号とを書き換える。

また、ＩＰアドレス変換条件リスト２１７に一致しなかった場合は、ＩＰアドレス変換テーブル２２１を参照し、該当するものがあれば、そのアドレス変換種別（ＲＦＣ３０２２）にしたがってグローバル側ＩＰアドレスとグローバル側ポート番号とを払い出し、払い出した情報をＩＰアドレス変換条件リスト２１７に追加した上で、受信ＩＰパケットの送信先ＩＰアドレスとポート番号もグローバル側ＩＰアドレスとグローバル側ポート番号に書き換える。

以下、図１のクライアント１２１がＤＮＳサーバ１６０からサーバ１５１のＩＰアドレスを入手する手順ならびに、サーバ１５１へのアクセス手順を示す。クライアント１２１は、自身のプライベート側ＩＰアドレスからＤＮＳサーバ１６０のグローバル側ＩＰアドレスに対して、サーバ１５１のホスト名によるＩＰアドレス取得要求のＤＮＳパケットを送信する。

パケット中継装置では、ＤＮＳパケットと判定されるが、ＤＮＳパケットのペイロード中にＩＰアドレスがないため、ＤＮＳパケットアドレス変換処理は行われず、ＩＰパケットのヘッダ情報のみ、発信元はクライアント１２１のグローバル側ＩＰアドレスとグローバル側ポート番号に、送信先はＤＮＳサーバ１６０のプライベート側ＩＰアドレスとプライベート側ポート番号に変換され、ＤＮＳサーバ１６０に渡される。

ＤＮＳサーバ１６０では、サーバ１５１のホスト名から、サーバ１５１のプライベート側ＩＰアドレスを含んだＤＮＳの返答パケットをクライアント１２１のグローバル側ＩＰアドレスならびにグローバル側ポート番号に向けて返答する。パケット中継装置にて、ＤＮＳパケットと判定され、さらに、ＤＮＳパケットアドレス変換処理が行われ、ＤＮＳパケットのペイロード中にあるサーバ１５１のプライベート側ＩＰアドレスがグローバル側ＩＰアドレスに書き換わり、さらに、ＩＰパケットのヘッダ情報も、発信元がＤＮＳサーバ１６０のグローバル側ＩＰアドレスとグローバル側ポート番号に、送信先がクライアント１２１のプライベート側ＩＰアドレスとプライベート側ポート番号に書き換わり、クライアント１２１に返される。

クライアント１２１では、返答されたＤＮＳパケットのペイロード中にあるサーバ１５１のグローバル側ＩＰアドレスを用いて、接続要求を行い、パケット中継装置にて、ＩＰパケットのヘッダ情報の発信元ＩＰアドレスとポート番号、送信先ＩＰアドレスとポート番号が書き換わり、クライアント１２１とサーバ１５１の通信が成立する。

（第二実施例）
所定の通信において、図２の発側アドレス変換処理部２１８、着側アドレス変換処理部２２０は、受信ＩＰパケットのＩＰヘッダのアドレス変換だけでなく、ＨＴＴＰ、ＦＴＰ、ＳＩＰ、ＲＴＰ、ＲＴＣＰなどの上位レイヤのペイロード中のＩＰアドレスの変換機能があってもよい。

（第三実施例）
所定の通信において、図３のように、ＤＮＳパケットの判定処理ならびにアドレス変換処理が、ＩＰパケットのアドレス変換処理と分離していてもよいし、ＤＮＳパケットの判定処理ならびにアドレス変換処理も、発側と着側とが分離していてもよい。なお、ＩＰアドレス変換テーブル３１４と３３４とはそれぞれ同じデータを設定し、ＩＰアドレス変換テーブル３２４と３４４とはそれぞれ同じデータを設定する必要がある。また、図３では各装置３１０、３２０、３３０、３４０がＩＰアドレス変換テーブル３１４、３２４、３３４、３４４を持つが、ＩＰアドレス変換テーブル３１４と３３４とを同一のもの、ＩＰアドレス変換テーブル３２４と３４４とを同一のものとし、装置外にあってもよい。

なお、ＤＮＳパケットのアドレス変換処理については、ＩＰアドレス変換テーブル３１４、３２４、３３４、３４４における静的なアドレス変換種別であるｓｔａｔｉｃＮＡＴ、ｓｔａｔｉｃＮＡＰＴを参照することとする。

（第四実施例）
第四実施例は、汎用の情報処理装置にインストールすることにより、その情報処理装置に本実施例のパケット中継装置に相応する機能を実現させるプログラムである。このプログラムは、記録媒体に記録されて情報処理装置にインストールされ、あるいは通信回線を介して情報処理装置にインストールされることにより当該情報処理装置に、上記各実施例におけるパケット中継装置１３０、２１０、３１０、３２０、３３０、３４０にそれぞれ相応する機能を実現させることができる。

本発明によれば、アドレス変換情報がどこにあるかわからぬようにしながら、異なる複数のＩＰパケット網間で相互に送受信されるＩＰパケットのＩＰアドレス変換を行うことができるので、複数企業間におけるサーバ・クライアント通信の接続性を確保し、ＤＮＳサーバの管理コストを低減でき、さらにアドレス変換情報の流出を防ぐことができる。これにより、ネットワークユーザの利便性の向上に寄与することができる。

本実施例のパケット中継装置が適用されるネットワークの全体構成図。第一実施例のパケット中継装置のブロック構成図。第二実施例のパケット中継装置のブロック構成図。本実施例のＩＰアドレス変換条件リストの一例を示す図。本実施例のＩＰアドレス変換テーブルの一例を示す図。従来の異なる２社のネットワークを含むネットワークの構成図。

符号の説明

１００Ａ社ネットワーク
１０１〜１０ＮＡ社のサーバ
１１０Ａ社のＤＮＳサーバ
１２１Ａ社のクライアント
１３０、２１０パケット中継装置
１５０Ｂ社ネットワーク
１５１〜１５ＮＢ社のサーバ
１６０Ｂ社のＤＮＳサーバ
２０１、２３１、３０１、３５１端末
２１１受信部
２１２メイン処理部
２１３、３１２、３２２ＤＮＳパケット判定処理部
２１４発側ＤＮＳパケットアドレス変換処理部
２１５、２１７、３３３、３４３ＩＰアドレス変換条件リスト
２１、３２０着側ＤＮＳパケットアドレス変換処理部
２１８発側アドレス変換処理部
２１９、２２１、３１４、３２４、３３４、３４４ＩＰアドレス変換テーブル
２２０着側アドレス変換処理部
２２２送信部
３１０発側ＤＮＳパケットアドレス変換装置
３１１、３２１、３３１、３４１送受信部
３１３ＤＮＳパケット発側アドレス変換処理部
３２３ＤＮＳパケット着側アドレス変換処理部
３３０発側アドレス変換装置
３３２ＩＰパケット発側アドレス変換処理部
３４０着側アドレス変換装置
３４２ＩＰパケット着側アドレス変換処理部

Claims

ＶＬＡＮまたはＡＴＭ上のＶＣにて形成されるＩＰパケット網を複数収容してそれらの複数のＩＰパケット網間を接続し、ＩＰパケットまたはＤＮＳペイロードを有するＩＰパケットであるＤＮＳパケットのＩＰアドレスおよびポート番号の書き換えを行って、入力のＶＬＡＮまたはＶＣに対して予め決められたＶＬＡＮまたはＶＣへ出力するパケット中継装置であって、
ＶＬＡＮまたはＡＴＭからの受信処理を行う受信部と、
ＶＬＡＮまたはＡＴＭへの送信処理を行う送信部と、
受信ネットワークを識別するＶＬＡＮ−ＩＤまたはＶＣ毎および送信ネットワークを識別するＶＬＡＮ−ＩＤまたはＶＣ毎に設けられ、プライベート側ＩＰアドレスおよびポート番号とグローバル側ＩＰアドレスおよびポート番号との対応関係が記録されたＩＰアドレス変換条件リストと、
到着したＩＰパケットのヘッダ内に、前記ＩＰアドレス変換条件リストにおいて、送信ネットワークにおけるプライベート網からグローバル網向きのパケットであって送信ネットワークのプライベート側ＩＰアドレスおよびポート番号に一致する情報が見出された場合、または、受信ネットワークにおけるグローバル網からプライベート網向きのパケットであって受信ネットワークのグローバル側ＩＰアドレスおよびポート番号に一致する情報が見出された場合には、これを送信ネットワークのグローバル側ＩＰアドレスおよびポート番号、または、受信ネットワークのプライベート側ＩＰアドレスおよびポート番号に書き換える手段と、
到着したＩＰパケットがＤＮＳパケットであるか否かを判定するＤＮＳ判定手段と、
到着したパケットがＤＮＳパケットであると前記ＤＮＳ判定手段が判定し、そのＤＮＳペイロード内に、前記ＩＰアドレス変換条件リストにおいて、送信ネットワークにおけるプライベート網からグローバル網向きのパケットであって送信ネットワークのプライベート側ＩＰアドレスに一致する情報が見出された場合、または、受信ネットワークにおけるグローバル網からプライベート網向きのパケットであって受信ネットワークのグローバル側ＩＰアドレスに一致する情報が見出された場合には、これを送信ネットワークのグローバル側ＩＰアドレス、または、受信ネットワークのプライベート側ＩＰアドレスに書き換える手段と
を備え、
自分自身ではＩＰアドレスを持たずに前記複数のＩＰパケット網間で相互に送受信されるＩＰパケットのＩＰアドレス変換を行う
ことを特徴とするパケット中継装置。
前記ＩＰアドレス変換条件リストに既に記録されているプライベート側ＩＰアドレス以外のプライベート側ＩＰアドレスを有するＩＰパケットまたはＤＮＳパケットが到着したときには、新規に当該プライベート側ＩＰアドレスに対応するグローバル側ＩＰアドレスを払い出す手段を備え、
前記ＩＰアドレス変換条件リストは、
前記払い出す手段により払い出された新規のプライベート側ＩＰアドレスおよびグローバル側ＩＰアドレスを追記する手段と、
所定時間内に一度も利用されない前記対応関係についてはこれを削除する手段と
を備えた請求項１記載のパケット中継装置。
ＶＬＡＮまたはＡＴＭ上のＶＣにて形成されるＩＰパケット網を複数収容してそれらの複数のＩＰパケット網間を接続し、ＩＰパケットまたはＤＮＳペイロードを有するＩＰパケットであるＤＮＳパケットのＩＰアドレスおよびポート番号の書き換えを行って、入力のＶＬＡＮまたはＶＣに対して予め決められたＶＬＡＮまたはＶＣへ出力するパケット中継装置が実行するパケット中継方法であって、
前記パケット中継装置には、ＶＬＡＮまたはＡＴＭからの受信処理を行う受信部と、ＶＬＡＮまたはＡＴＭへの送信処理を行う送信部と、受信ネットワークを識別するＶＬＡＮ−ＩＤまたはＶＣ毎および送信ネットワークを識別するＶＬＡＮ−ＩＤまたはＶＣ毎に設けられ、プライベート側ＩＰアドレスおよびポート番号とグローバル側ＩＰアドレスおよびポート番号との対応関係が記録されたＩＰアドレス変換条件リストとを有し、
到着したＩＰパケットのヘッダ内に、前記ＩＰアドレス変換条件リストにおいて、送信ネットワークにおけるプライベート網からグローバル網向きのパケットであって送信ネットワークのプライベート側ＩＰアドレスおよびポート番号に一致する情報が見出された場合、または、受信ネットワークにおけるグローバル網からプライベート網向きのパケットであって受信ネットワークのグローバル側ＩＰアドレスおよびポート番号に一致する情報が見出された場合には、これを送信ネットワークのグローバル側ＩＰアドレスおよびポート番号、または、受信ネットワークのプライベート側ＩＰアドレスおよびポート番号に書き換えるステップと、
到着したＩＰパケットがＤＮＳパケットであるか否かを判定するＤＮＳ判定ステップと、
到着したパケットがＤＮＳパケットであると前記ＤＮＳ判定ステップにより判定し、そのＤＮＳペイロード内に、前記ＩＰアドレス変換条件リストにおいて、送信ネットワークにおけるプライベート網からグローバル網向きのパケットであって送信ネットワークのプライベート側ＩＰアドレスに一致する情報が見出された場合、または、受信ネットワークにおけるグローバル網からプライベート網向きのパケットであって受信ネットワークのグローバル側ＩＰアドレスに一致する情報が見出された場合には、これを送信ネットワークのグローバル側ＩＰアドレス、または、受信ネットワークのプライベート側ＩＰアドレスに書き換えるステップと
を実行し、
自分自身ではＩＰアドレスを持たずに前記複数のＩＰパケット網間で相互に送受信されるＩＰパケットのＩＰアドレス変換を行う
ことを特徴とするパケット中継方法。
前記ＩＰアドレス変換条件リストに既に記録されているプライベート側ＩＰアドレス以外のプライベート側ＩＰアドレスを有するＩＰパケットまたはＤＮＳパケットが到着したときには、新規に当該プライベート側ＩＰアドレスに対応するグローバル側ＩＰアドレスを払い出すステップと、
前記払い出すステップにより払い出された新規のプライベート側ＩＰアドレスおよびグローバル側ＩＰアドレスを前記ＩＰアドレス変換条件リストに追記するステップと、
所定時間内に一度も利用されない前記対応関係についてはこれを前記ＩＰアドレス変換条件リストから削除するステップと
を実行する請求項３記載のパケット中継方法。
汎用の情報処理装置にインストールすることにより、その情報処理装置に、請求項１または２記載のパケット中継装置に相応する機能を実現させるプログラム。
請求項５記載のプログラムが記録された前記情報処理装置が読取可能な記録媒体。