JP4372629B2

JP4372629B2 - Ｆｗ制御を行うｓｉｐ通信制御装置およびそのｆｗ制御方法

Info

Publication number: JP4372629B2
Application number: JP2004199275A
Authority: JP
Inventors: 純一郎黒木; 和仁林; 高穂柴田
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2004-07-06
Filing date: 2004-07-06
Publication date: 2009-11-25
Anticipated expiration: 2024-07-06
Also published as: JP2006025002A

Description

本発明は、アドレス体系の異なるネットワーク間においてＮＡＴ／ＦＷ(Network Address Translation/Fire Wall)装置と連携してＳＩＰ(Session Initiation Protocol)メッセージ内のＩＰアドレス変換と、ＦＷ(Fire Wall)を介してメディア送受信を行うため、ピンホールを登録することでＦＷ制御を行うＳＩＰ通信制御装置およびそのＦＷ制御方法に関する。

ＳＩＰはアプリケーションレイヤにもＩＰアドレス情報が記載されるため、ＧｌｏｂａｌＩＰアドレス、ＰｒｉｖａｔｅＩＰアドレスなどアドレス体系の異なるネットワーク間においてＳＩＰ通信を行うためには、ＮＡＴ装置により行われるネットワークレイヤのアドレス変換に加えて、ＳＩＰメッセージ内のアドレス変換を行う必要がある。その方法の一つとして、ＡＬＧ(Application Level Gateway)装置がＮＡＴ装置と連携することによりＳＩＰメッセージ内のアドレス変換を行なう方法が一般的に知られている。この方法を実現するためには、ＡＬＧ装置およびＮＡＴ装置で「Ｐｒｉｖａｔｅアドレス」と「変換後Ｇｌｏｂａｌアドレス」を効率良く管理する必要があるが、その詳細技術については非特許文献１「ＳＩＰアプリケーションレベルゲートウェイ（ＳＩＰ−ＡＬＧ）におけるアドレス変換エントリの管理方式に関する一考察」において紹介されている。

また、ＦＷ装置を介してＳＩＰ通信を行う場合、ＲＴＰ(Real-time Transport Protocol)を用いて行われるメディア通信については端末が任意に設定するＰｏｒｔ番号を用いて通信を行うため、ＦＷの通過が不可能となる。この問題を解決する一つの方法として、ＳＩＰメッセージのＳＤＰ(Session Description Protocol)部分を解析し、端末がＲＴＰの送受信に用いるＩＰアドレス、Ｐｏｒｔ番号のみを一時的に通過可能とするように、ＮＡＴ／ＦＷ装置を動的に制御するピンホール制御方式が一般的である。ここで、ＦＷ装置は通常ＮＡＴ機能も同時に動作させるケースが多いため、ＮＡＴ／ＦＷ装置に対してＡＬＧ装置からピンホールの制御をする詳細技術について非特許文献２「ＳＩＰアプリケーションレベルゲートウェイ（ＳＩＰ−ＡＬＧ）におけるファイアウォール制御方式に関する一検討」において紹介されている。

林和仁、柴田高穂、諏訪裕一、小幡洋昭、黒木純一郎、「ＳＩＰアプリケーションレベルゲートウェイ（ＳＩＰ−ＡＬＧ）におけるアドレス変換エントリの管理方式に関する一考察」、電子情報通信学会技術研究報告、ｖｏｌ．１０２、Ｎｏ．５１２、ＮＳ２００２−１８８、ｐ．２５−２８、Ｄｅｃ．２００２黒木純一郎、林和仁、諏訪裕一、柴田高穂、「ＳＩＰアプリケーションレベルゲートウェイ（ＳＩＰ−ＡＬＧ）におけるファイアウォール制御方式に関する一検討」、電子情報通信学会技術研究報告、ｖｏｌ．１０２、Ｎｏ．６９１、ＮＳ２００２−２４８、ｐ．１０５−１０８、Ｍａｒ．２００３

しかし、非特許文献１「ＳＩＰアプリケーションレベルゲートウェイ（ＳＩＰ−ＡＬＧ）におけるファイアウォール制御方式に関する一検討」において紹介されているような従来の方法では、ＡＬＧ装置は特に接続の形態（送受信端末の位置関係）まで意識してピンホール制御を行なっているわけではない。例えば、Ｇｌｏｂａｌネットワークに配備されたＳＩＰＳｅｒｖｅｒを経由して同一のＰｒｉｖａｔｅ側ネットワーク内の２端末で通信を行なう場合、すなわちＳＩＰシグナリングがＰｒｉｖａｔｅからＧｌｏｂａｌの方向でＮＡＴ／ＦＷ装置を経由してＳＩＰＳｅｒｖｅｒに到達し、その後ＧｌｏｂａｌからＰｒｉｖａｔｅの方向へ同一のＮＡＴ／ＦＷ装置を経由して折り返す場合、ＡＬＧ装置は接続の形態を意識しているわけではないため、ＮＡＴ／ＦＷ装置に対してピンホールの登録を行なってしまう。しかし、同一ネットワーク内の通信であるため、ＳＩＰＳｅｒｖｅｒを介する必要のない音声、映像のメディアについてはＰｒｉｖａｔｅ側のネットワーク内でルーティングされることとなり、その結果として不要なピンホールを登録してしまうこととなってしまい、セキュリティ上の懸念がある。本発明の目的は、よりセキュリティの高いＳＩＰ通信を可能とすると共に、ピンホールを開放するために必要となるＮＡＴ／ＦＷ装置のリソースを節約することを可能とする技術を提供することにある。

本発明のＦＷ制御を行うＳＩＰ通信制御装置は、ネットワークレイヤの送受信ＩＰアドレスとトランスポートレイヤの送受信ポート番号の組により、アクセス制御を行うファイアウォール（ＦＷ）機能、ならびに、「ＰｒｉｖａｔｅＩＰアドレス、Ｐｒｉｖａｔｅポート番号」と「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」の変換、およびそれらの逆変換を行うＮＡＴ(Network Address Translation)機能を配備した、ＮＡＴ／ＦＷ装置と連携して、ＳＩＰ(Session Initiation Protocol)メッセージ内のＩＰアドレス変換機能、ＳＤＰ(Session Description Protocol)の情報を管理しているデータベース、および、前記データベースに登録された情報に基づいてメディア送受信に用いるＩＰアドレス、ポート番号の組を前記ＮＡＴ／ＦＷ装置に登録することで前記ＩＰアドレス、ポート番号の組のメディア通信のみＦＷを通過させることを可能とするＦＷ制御機能を配備したＳＩＰ通信制御装置であって、前記メディア送受信に用いるＩＰアドレス、ポート番号を取得する際に、メッセージがＰｒｉｖａｔｅネットワークの端末からＧｌｏｂａｌネットワークに配備されたＳＩＰＳｅｒｖｅｒへ通過する際に取得した変換後「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」と、メッセージがＧｌｏｂａｌネットワークに配備されたＳＩＰＳｅｒｖｅｒからＰｒｉｖａｔｅネットワークの端末へ通過する際に取得した「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」を比較する手段と、前記変換後「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」と前記ＧｌｏｂａｌネットワークからＰｒｉｖａｔｅネットワークへ通過する際に取得した「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」が同一でない場合は、前記ＧｌｏｂａｌネットワークからＰｒｉｖａｔｅネットワークへ通過する際に取得した「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」の組を前記データベースに登録する手段と、前記変換後「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」と前記ＧｌｏｂａｌネットワークからＰｒｉｖａｔｅネットワークへ通過する際に取得した「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」が同一である場合は、前記ＧｌｏｂａｌネットワークからＰｒｉｖａｔｅネットワークへ通過する際に取得した「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」の組を前記データベースに登録しない手段と、を有することを特徴とする。

本発明のＳＩＰ通信制御装置におけるＦＷ制御方法は、ネットワークレイヤの送受信ＩＰアドレスとトランスポートレイヤの送受信ポート番号の組により、アクセス制御を行うファイアウォール（ＦＷ）機能、ならびに、「ＰｒｉｖａｔｅＩＰアドレス、Ｐｒｉｖａｔｅポート番号」と「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」の変換、およびそれらの逆変換を行うＮＡＴ(Network Address Translation)機能を配備した、ＮＡＴ／ＦＷ装置と連携して、ＳＩＰ(Session Initiation Protocol)メッセージ内のＩＰアドレス変換機能、ＳＤＰ(Session Description Protocol)の情報を管理しているデータベース、および、前記データベースに登録された情報に基づいてメディア送受信に用いるＩＰアドレス、ポート番号の組を前記ＮＡＴ／ＦＷ装置に登録することで前記ＩＰアドレス、ポート番号の組のメディア通信のみＦＷを通過させることを可能とするＦＷ制御機能を配備したＳＩＰ通信制御装置におけるＦＷ制御方法であって、前記メディア送受信に用いるＩＰアドレス、ポート番号を取得する際に、メッセージがＰｒｉｖａｔｅネットワークの端末からＧｌｏｂａｌネットワークに配備されたＳＩＰＳｅｒｖｅｒへ通過する際に取得した変換後「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」と、メッセージがＧｌｏｂａｌネットワークに配備されたＳＩＰＳｅｒｖｅｒからＰｒｉｖａｔｅネットワークの端末へ通過する際に取得した「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」を比較するステップと、前記変換後「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」と前記ＧｌｏｂａｌネットワークからＰｒｉｖａｔｅネットワークへ通過する際に取得した「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」が同一でない場合は、前記ＧｌｏｂａｌネットワークからＰｒｉｖａｔｅネットワークへ通過する際に取得した「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」の組を前記データベースに登録するステップと、前記変換後「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」と前記ＧｌｏｂａｌネットワークからＰｒｉｖａｔｅネットワークへ通過する際に取得した「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」が同一である場合は、前記ＧｌｏｂａｌネットワークからＰｒｉｖａｔｅネットワークへ通過する際に取得した「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」の組を前記データベースに登録しないステップと、を有することを特徴とする。

本発明に係るＳＩＰ通信制御装置を用いることで、従来のように同一ネットワーク内の通信で、メディアはネットワーク内をＮＡＴ／ＦＷ装置を経由することなく送受信しているにもかかわらず、ＮＡＴ／ＦＷ装置に対して不要なピンホールの登録を行なうということを抑止することが可能となる。その結果、よりセキュリティの高いＳＩＰ通信が可能となると共に、ピンホールを開放するために必要となるＮＡＴ／ＦＷ装置のリソースを節約することが可能となると期待できる。

以下に本発明の実施の形態として、ＳＩＰ通信制御装置およびＮＡＴ／ＦＷ装置を用いてアドレス体系の異なるネットワーク間においてＶｏＩＰ通信を行う場合を例に図１〜図４を用いて詳細に説明する。なお、ステップをＳと略記する。

図１は、本発明の実施形態のＳＩＰ通信制御装置およびＮＡＴ／ＦＷ装置を用いてＩＰアドレス体系の異なるネットワーク間においてＶｏＩＰ通信を行う際のシステムの全体構成の一例を説明するためのブロック図である。

図２は、本発明の実施形態のＳＩＰ通信制御装置およびＮＡＴ／ＦＷ装置を用いて、Ｇｌｏｂａｌネットワークに配備されたＳＩＰＳｅｒｖｅｒを経由して、Ｐｒｉｖａｔｅネットワークの端末と、Ｇｌｏｂａｌネットワークの端末間でＶｏＩＰ通信を行う場合の一般的な信号シーケンスおよびＳＩＰ通信制御装置の動作概要を説明するための図である。なお、図２に記載されるシーケンスは本発明の実施形態の説明に必要な部分だけを記載することにより簡略化している。

図３は、本発明の実施形態のＳＩＰ通信制御装置およびＮＡＴ／ＦＷ装置を用いて、Ｇｌｏｂａｌネットワークに配備されたＳＩＰＳｅｒｖｅｒを経由して、同一のＰｒｉｖａｔｅネットワークの端末間でＶｏＩＰ通信を行う場合の一般的な信号シーケンスおよびＳＩＰ通信制御装置の動作概要を説明するための図である。なお、図３に記載されるシーケンスは本発明の実施形態の説明に必要な部分だけを記載することにより簡略化している。

図４は、本発明の実施形態のＳＩＰ通信制御装置において、ＳＩＰメッセージを受信した後に、通信の経路を識別してピンホールを登録するか否かを判断する際の処理フローを示した図である。

本発明の実施形態のＳＩＰ通信制御装置およびＮＡＴ／ＦＷ装置が用いられるシステムの全体構成の一例を図１を用いて説明する。
ＳＩＰ通信制御装置１０は、ＮＡＴ／ＦＷ装置２０と接続されており、ＮＡＴ／ＦＷ装置２０はアドレス体系の異なるネットワーク、ネットワークＡ（Ｐｒｉｖａｔｅネットワーク）３０およびネットワークＢ（Ｇｌｏｂａｌネットワーク）３１を収容した構成となっている。

ＳＩＰ通信制御装置１０は情報処理部１００、データベース１１０により構成されており、情報処理部１００は通信経路識別機能１０１０を有するＦＷ制御機能１０１とＳＩＰメッセージ内のＩＰアドレス変換機能１０２を備え、データベース１１０はＳＤＰ情報管理テーブルを有しＳＤＰの情報を管理している。

ＮＡＴ／ＦＷ装置２０はＮＡＴ機能２１０およびＦＷ機能２００を有する。ここでＦＷ機能はＮＡＴ変換前のアドレス体系のネットワーク、ＮＡＴ変換前のアドレス体系のネットワークそれぞれに配備されている。

ネットワークＡ（Ｐｒｉｖａｔｅネットワーク）３０はスイッチ３０１を介して、ＩＰ電話端末Ａ３０２−ａ、ＩＰ電話端末Ｂ３０２−ｂと接続されており、またネットワークＢ（Ｇｌｏｂａｌネットワーク）３１はスイッチ３１１を介してＩＰ電話端末Ｃ３１３、およびＳＩＰＳｅｒｖｅｒ３１２と接続されている。

次に、本発明の実施形態における信号シーケンスおよびＳＩＰ通信制御装置の動作概要を説明する。以下の説明では煩雑さを避けるためＩＰアドレスの変換についてのみ説明するが、実際には、アドレス変換は「ＰｒｉｖａｔｅＩＰアドレス、Ｐｒｉｖａｔｅポート番号」と「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」の組について行われ、また、データベース１１０のＳＤＰ情報管理テーブル等への登録、メディア送受信に用いるＩＰアドレス、ポート番号の組としてのＮＡＴ／ＦＷ装置への登録もこれらの組によって行われる。

図２のシーケンス例および図４の処理フローを用いて、ＰｒｉｖａｔｅネットワークのＩＰ電話端末Ａ３０２−ａから発呼され、ＧｌｏｂａｌネットワークのＳＩＰＳｅｒｖｅｒ３１２を介して、ＧｌｏｂａｌネットワークのＩＰ電話端末Ｃ３１３に着信する場合のＳＩＰ通信制御装置１０およびＮＡＴ／ＦＷ装置２０の動作の説明を行う。図２の例では、ＩＰ電話端末Ａ３０２−ａのＰｒｉｖａｔｅＩＰアドレスは１９２．１６８．０．１であり、ＩＰ電話端末Ｃ３１３のＧｌｏｂａｌＩＰアドレスは１４０．０．０．１である。

ＩＰ電話端末Ａ３０２−ａから送信されたＩＮＶＩＴＥメッセージをＮＡＴ／ＦＷ装置２０において受信すると、ＮＡＴ／ＦＷ装置２０は、ネットワークレイヤのＩＰアドレス変換を行なった後、アプリケーションレイヤにおけるＳＩＰのアドレス変換を行う処理およびＦＷを制御するための処理のためＩＮＶＩＴＥメッセージをＳＩＰ通信制御装置１０へと転送する。ＳＩＰ通信制御装置１０では、ＩＮＶＩＴＥメッセージを受信すると、ＳＩＰメッセージ内のＩＰアドレス変換機能１０２により、ＮＡＴ／ＦＷ装置２０によって変換されたネットワークレイヤのＩＰアドレスに基づいて、ＳＩＰメッセージ内のＰｒｉｖａｔｅアドレスをＧｌｏｂａｌアドレスへと変換する（図４のＳ１０１、Ｓ１０２）。図２の例では、ＩＰ電話端末Ａ３０２−ａのＰｒｉｖａｔｅＩＰアドレス１９２．１６８．０．１をＧｌｏｂａｌＩＰアドレス１３０．０．０．１へ変換している（Ｓ１２１）。ＳＩＰのアドレス変換の詳細な方法については本出願人による関連特許出願の明細書、特願２００２−３３０３００号明細書「アドレス変換組の生存時間取得・計算を可能としたＡＬＧ装置」、特願２００２−３３２３００号明細書「ＡＰＩおよびそれを用いた通信」、特願２００２−３３３５４１号明細書「アプリケーションレイヤにおけるアドレス変換装置」、特願２００２−３２７０８５号明細書「ＩＰアドレス変換装置」、特願２００４−０１０４３０号明細書「複数ＮＡＴ／ＦＷ制御装置接続に対応したＳＩＰ−ＡＬＧの呼関連リソース管理方法及びそのＳＩＰ−ＡＬＧ」、特願２００４−００３９６７号明細書「ＳＩＰ−ＡＬＧの呼状態管理方法」に示されている。

次に、ピンホールを登録するため、ＦＷ制御機能１０１においてＳＤＰのＰｒｉｖａｔｅアドレスと、変換後Ｇｌｏｂａｌアドレスをデータベース１１０のＳＤＰ情報管理テーブルへと格納する（図４のＳ１０３）。図２の例では、ＩＰ電話端末Ａ３０２−ａのＰｒｉｖａｔｅＩＰアドレス（図２ではＬｏｃａｌと表記）１９２．１６８．０．１と変換後のＧｌｏｂａｌＩＰアドレス（図２では変換後Ｇｌｏｂａｌと表記）１３０．０．０．１がデータベース１１０のＳＤＰ情報管理テーブル（図２ではＳＤＰテーブルと表記）に保持される（Ｓ１２１）。なお、ピンホールとはＮＡＴ／ＦＷ装置２０のＦＷ機能２００に対するフィルタのことであり、ＦＷ機能２００は登録された送受信ＩＰアドレス、送受信ポート番号の組と一致したＩＰアドレス、ポート番号のパケットのみを通過させる。本実施形態においては、ＳＩＰ通信制御装置１０がＮＡＴ／ＦＷ装置２０のＦＷ機能２００にピンホールの登録を行い、メディア信号（主にＲＴＰ：Real Time Transport Protocol）をＩＰ電話端末Ａ３０２−ａ、ＩＰ電話端末Ｃ３１３間で送受信できるようにし、また、メディア信号の送受信が終了したときはピンホール削除を行う。ピンホールの登録方法については、本出願人による特願２００３−０４１３２８号明細書「ＳＩＰ通信制御装置」、特願２００３−０１０４３０号明細書「複数ＮＡＴ／ＦＷ装置接続に対応したＳＩＰ−ＡＬＧの呼関連リソース管理方法及びそのＳＩＰ−ＡＬＧ」に示されている。

ＳＩＰ通信制御装置１０でＳＩＰメッセージ内のアドレス変換が行われたＩＮＶＩＴＥメッセージは、ＮＡＴ／ＦＷ装置２０に戻され、ＳＩＰＳｅｒｖｅｒ３１２を経由し、ＧｌｏｂａｌのＩＰ電話端末Ｃ３１３に着信し、応答信号である２００ＯＫメッセージが生成される。ＩＮＶＩＴＥメッセージと同様に２００ＯＫメッセージも前記ＮＡＴ／ＦＷ装置２０から前記ＳＩＰ通信制御装置１０へと転送され、ＧｌｏｂａｌのＳＤＰ情報を取得する（図４のＳ１０４）。図２の例では、受信した２００ＯＫメッセージに記載されたＩＰ電話端末Ｃ３１３のＧｌｏｂａｌＩＰアドレス１４０．０．０．１を取得する（Ｓ１２２）。その後、Ｓ１２１でデータベース１１０のＳＤＰ情報管理テーブルへと格納した変換後ＧｌｏｂａｌアドレスとＳ１２２で取得したＧｌｏｂａｌアドレスを比較して同一か否か識別する（図４のＳ１０５）。ここで、２００ＯＫメッセージに記載されたＧｌｏｂａｌアドレスはＩＰ電話端末Ｃ３１３が設定したアドレスであるため、データベース１１０のＳＤＰ情報管理テーブルに格納されている変換後ＧｌｏｂａｌアドレスとＳ１２２で取得したＧｌｏｂａｌアドレスは同一とならず、Ｐｒｉｖａｔｅネットワーク、Ｇｌｏｂａｌネットワーク間の通信であると判断できるため、Ｇｌｏｂａｌアドレスをデータベース１１０のＳＤＰ情報管理テーブルへと格納する（図４のＳ２０１）。図２の例では、データベース１１０のＳＤＰ情報管理テーブルに保持されている変換後ＧｌｏｂａｌＩＰアドレスは１３０．０．０．１で、２００ＯＫメッセージに記載されたＧｌｏｂａｌＩＰアドレスは１４０．０．０．１であり、これらを比較すると同一ではないため、２００ＯＫメッセージに記載されたＩＰ電話端末Ｃ３１３のＧｌｏｂａｌＩＰアドレス１４０．０．０．１をＳＤＰ情報管理テーブルへ保持する（Ｓ１２３）。その後、従来の方法に基づき、必要に応じてＳＤＰ情報管理テーブルに保持（登録）された情報に基づいてピンホールの登録を行いメディアのＦＷ通過を可能とする（図４のＳ２０２）。図２の例では、ＳＩＰ通信制御装置１０は、ＳＤＰ情報管理テーブルに保持されているＩＰ電話端末Ａ３０２−ａのＰｒｉｖａｔｅＩＰアドレス（図２ではＬｏｃａｌと表記）１９２．１６８．０．１と変換後のＧｌｏｂａｌＩＰアドレス（図２では変換後Ｇｌｏｂａｌと表記）１３０．０．０．１と、ＩＰ電話端末Ｃ３１３のＧｌｏｂａｌＩＰアドレス（図２ではＧｌｏｂａｌと表記）１４０．０．０．１を、メディア送受信に用いるＩＰアドレス、ポート番号としてＮＡＴ／ＦＷ装置２０にピンホール登録し（Ｓ１２４）、ＩＰ電話端末Ａ３０２−ａに２００ＯＫメッセージを送信する。ＮＡＴ／ＦＷ装置２０は、ピンホール登録されたＩＰアドレス、ポート番号の組のメディア通信のみＦＷ機能２００を通過させ、それにより、ＩＰ電話端末Ａ３０２−ａとＩＰ電話端末Ｃ３１３との間のメディア通信が可能となる。

次に、図３のシーケンス例および図４の処理フローを用いて、ＰｒｉｖａｔｅネットワークのＩＰ電話端末Ａ３０２−ａから発呼され、ＧｌｏｂａｌネットワークのＳＩＰＳｅｒｖｅｒ３１２を経由し、折り返し、ＩＰ電話端末Ａ３０２−ａが属するＰｒｉｖａｔｅネットワークと同一ＰｒｉｖａｔｅネットワークのＩＰ電話端末Ｂ３０２−ｂに着信する場合のＳＩＰ通信制御装置１０およびＮＡＴ／ＦＷ装置２０の動作の説明を行う。ＩＰ電話端末Ａ３０２−ａとＩＰ電話端末Ｂ３０２−ｂは同一Ｐｒｉｖａｔｅネットワークに存在しており、図３の例では、ＩＰ電話端末Ａ３０２−ａのＰｒｉｖａｔｅＩＰアドレスは１９２．１６８．０．１であり、ＩＰ電話端末Ｂ３０２−ｂのＰｒｉｖａｔｅＩＰアドレスは１９２．１６８．０．２である。

ＳＩＰ通信制御装置１０において、ＩＰ電話端末Ａ３０２−ａから送信されたＩＮＶＩＴＥメッセージを受信し、ＳＩＰメッセージ内のＰｒｉｖａｔｅアドレスをＧｌｏｂａｌアドレスへと変換するところまでは、図２を用いて説明したＰｒｉｖａｔｅ、Ｇｌｏｂａｌ端末間の通信と同様であり、次のように処理がなされる。ＩＰ電話端末Ａ３０２−ａから送信されたＩＮＶＩＴＥメッセージをＮＡＴ／ＦＷ装置２０において受信すると、ＮＡＴ／ＦＷ装置２０は、ネットワークレイヤのＩＰアドレス変換を行なった後、アプリケーションレイヤにおけるＳＩＰのアドレス変換を行う処理およびＦＷを制御するための処理のためＩＮＶＩＴＥメッセージをＳＩＰ通信制御装置１０へと転送する。ＳＩＰ通信制御装置１０では、ＩＮＶＩＴＥメッセージを受信すると、ＳＩＰメッセージ内のＩＰアドレス変換機能１０２により、ＮＡＴ／ＦＷ装置２０によって変換されたネットワークレイヤのＩＰアドレスに基づいて、ＳＩＰメッセージ内のＰｒｉｖａｔｅアドレスをＧｌｏｂａｌアドレスへと変換する（図４のＳ１０１、Ｓ１０２）。図３の例では、ＩＰ電話端末Ａ３０２−ａのＰｒｉｖａｔｅＩＰアドレス１９２．１６８．０．１をＧｌｏｂａｌＩＰアドレス１３０．０．０．１へ変換している（Ｓ１３１）。次に、ピンホールを登録するため、ＦＷ制御機能１０１においてＳＤＰのＰｒｉｖａｔｅアドレスと、変換後Ｇｌｏｂａｌアドレスをデータベース１１０のＳＤＰ情報管理テーブルへと格納する（図４のＳ１０３）。図３の例では、ＩＰ電話端末Ａ３０２−ａのＰｒｉｖａｔｅＩＰアドレス（図３ではＬｏｃａｌと表記）１９２．１６８．０．１と変換後のＧｌｏｂａｌＩＰアドレス（図３では変換後Ｇｌｏｂａｌと表記）１３０．０．０．１がデータベース１１０のＳＤＰ情報管理テーブル（図３ではＳＤＰテーブルと表記）に保持される（Ｓ１３１）。

ＳＩＰ通信制御装置１０でＳＩＰメッセージ内のアドレス変換が行われたＩＮＶＩＴＥメッセージは、ＮＡＴ／ＦＷ装置２０に戻され、ＳＩＰＳｅｒｖｅｒ３１２経由後、着信先がＩＰ電話端末Ａ３０２−ａが属するＰｒｉｖａｔｅネットワークと同一Ｐｒｉｖａｔｅネットワークであるため、ＩＮＶＩＴＥメッセージは再度ＮＡＴ／ＦＷ装置２０およびＳＩＰ通信制御装置１０を経由して折り返す。ここで、Ｐｒｉｖａｔｅから変換された変換後ＧｌｏｂａｌはＰｒｉｖａｔｅへ逆変換されるが、ＦＷ制御機能１０１はＧｌｏｂａｌアドレスとして、変換後Ｇｌｏｂａｌアドレスを取得する（図４のＳ１０４、ただし、この場合は、受信したメッセージは、２００ＯＫメッセージではなく、ＳＩＰＳｅｒｖｅｒ３１２経由で戻ってきたＩＮＶＩＴＥメッセージである）。図３の例では、ＳＩＰＳｅｒｖｅｒ３１２経由で戻ってきたＩＮＶＩＴＥメッセージの送信元ＧｌｏｂａｌＩＰアドレスとして１３０．０．０．１を取得する（Ｓ１３２）。ここで、ＦＷ制御機能１０１内の通信経路識別機能１０１０において、変換後ＧｌｏｂａｌアドレスとＧｌｏｂａｌアドレスを比較して（図４のＳ１０５）、本ケースに示したように同一となる場合は、同一ネットワーク内の通信であると判断して、データベース１１０のＳＤＰ情報管理テーブルへと保持しない（図４のＳ１０６）。図３の例では、Ｓ１３１においてデータベース１１０のＳＤＰ情報管理テーブルに格納されたＩＰ電話端末Ａ３０２−ａの変換後ＧｌｏｂａｌＩＰアドレス１３０．０．０．１と、ＳＩＰＳｅｒｖｅｒ３１２経由で戻ってきたＩＮＶＩＴＥメッセージの送信元ＧｌｏｂａｌＩＰアドレス１３０．０．０．１とを比較し、同一であるためこのＩＰアドレスをデータベース１１０のＳＤＰ情報管理テーブルへ保持しない（Ｓ１３２）。

その後ＩＮＶＩＴＥメッセージはＩＰ電話端末Ｂ３０２−ｂに着信し、応答信号である２００ＯＫメッセージが生成される。ＩＰ電話端末Ｂで生成された応答信号２００ＯＫメッセージについても同様に、ＰｒｉｖａｔｅからＧｌｏｂａｌに変換する場合は、Ｐｒｉｖａｔｅアドレスと変換後Ｇｌｏｂａｌアドレスをデータベース１１０のＳＤＰ情報管理テーブルへと保持するが、ＧｌｏｂａｌからＰｒｉｖａｔｅの方向では変換後ＧｌｏｂａｌアドレスとＧｌｏｂａｌアドレスが同一となるためＳＤＰ情報管理テーブルへは保持しない。

以下、ＩＰ電話端末Ｂ３０２−ｂからの応答信号２００ＯＫメッセージの処理について詳細に説明する。

ＩＰ電話端末Ｂ３０２−ｂから送信された２００ＯＫメッセージをＮＡＴ／ＦＷ装置２０において受信すると、ＮＡＴ／ＦＷ装置２０は、ネットワークレイヤのＩＰアドレス変換を行なった後、アプリケーションレイヤにおけるＳＩＰのアドレス変換を行う処理およびＦＷを制御するための処理のため２００ＯＫメッセージをＳＩＰ通信制御装置１０へと転送する。ＳＩＰ通信制御装置１０では、２００ＯＫメッセージを受信すると、ＳＩＰメッセージ内のＩＰアドレス変換機能１０２により、ＮＡＴ／ＦＷ装置２０によって変換されたネットワークレイヤのＩＰアドレスに基づいて、ＳＩＰメッセージ内のＰｒｉｖａｔｅアドレスをＧｌｏｂａｌアドレスへと変換する（図４のＳ１０１、Ｓ１０２、ただし、この場合は、Ｓ１０１で受信したメッセージは、ＩＮＶＩＴＥメッセージではなく、ＩＰ電話端末Ｂ３０２−ｂからの応答信号である２００ＯＫメッセージである）。図３の例では、ＩＰ電話端末Ｂ３０２−ｂのＰｒｉｖａｔｅＩＰアドレス１９２．１６８．０．２をＧｌｏｂａｌＩＰアドレス１３０．０．０．２へ変換している（Ｓ１３３）。次に、ピンホールを登録するため、ＦＷ制御機能１０１においてＳＤＰのＰｒｉｖａｔｅアドレスと、変換後Ｇｌｏｂａｌアドレスをデータベース１１０のＳＤＰ情報管理テーブルへと格納する（図４のＳ１０３）。図３の例では、ＩＰ電話端末Ｂ３０２−ｂのＰｒｉｖａｔｅＩＰアドレス１９２．１６８．０．２と変換後のＧｌｏｂａｌＩＰアドレス１３０．０．０．２がデータベース１１０のＳＤＰ情報管理テーブルに保持される（Ｓ１３３）。

ＳＩＰ通信制御装置１０でＳＩＰメッセージ内のアドレス変換が行われた２００ＯＫメッセージは、ＮＡＴ／ＦＷ装置２０に戻され、ＳＩＰＳｅｒｖｅｒ３１２経由後、再度ＮＡＴ／ＦＷ装置２０およびＳＩＰ通信制御装置１０を経由して折り返す。ここで、Ｐｒｉｖａｔｅから変換された変換後ＧｌｏｂａｌはＰｒｉｖａｔｅへ逆変換されるが、ＦＷ制御機能１０１はＧｌｏｂａｌアドレスとして、変換後Ｇｌｏｂａｌアドレスを取得する（図４のＳ１０４）。図３の例では、ＳＩＰＳｅｒｖｅｒ３１２経由で戻された２００ＯＫメッセージの送信元ＧｌｏｂａｌＩＰアドレスとして１３０．０．０．２を取得する（Ｓ１３４）。ここで、ＦＷ制御機能１０１内の通信経路識別機能１０１０において、変換後ＧｌｏｂａｌアドレスとＧｌｏｂａｌアドレスを比較して（図４のＳ１０５）、同一ネットワーク内の通信であると判断して、データベース１１０のＳＤＰ情報管理テーブルへと保持しない（図４のＳ１０６）。図３の例では、Ｓ１３３においてデータベース１１０のＳＤＰ情報管理テーブルに格納されたＩＰ電話端末Ｂ３０２−ｂの変換後ＧｌｏｂａｌＩＰアドレス１３０．０．０．２と、ＳＩＰＳｅｒｖｅｒ３１２経由で戻された２００ＯＫメッセージの送信元ＧｌｏｂａｌＩＰアドレス１３０．０．０．２とを比較し、同一であるためこのＩＰアドレスをデータベース１１０のＳＤＰ情報管理テーブルへ保持しない（Ｓ１３４）。結局、情報が揃わないため、ＳＩＰ通信制御装置１０はＮＡＴ／ＦＷ装置２０にピンホール登録を行わない（Ｓ１３５）。ＮＡＴ／ＦＷ装置２０はＩＰ電話端末Ａ３０２−ａに２００ＯＫメッセージを送信する。ＩＰ電話端末Ａ３０２−ａとＩＰ電話端末Ｂ３０２−ｂは同一Ｐｒｉｖａｔｅネットワークに属してるため、ＮＡＴ／ＦＷ装置２０にピンホール登録がなされていなくても、メディア通信が可能である。

以上のような処理を追加することで、同一ネットワーク内の通信においてはデータベース１１０のＳＤＰ情報管理テーブルにＧｌｏｂａｌアドレスが保持されないため、ピンホール登録が行なわれず、不要なピンホールの開放を抑止することが可能となる。

以上説明したように、ピンホールを用いて不要なピンホールの登録を抑制する方法としては、ＰｒｉｖａｔｅからＧｌｏｂａｌ方向へ信号が通過する際に取得した「変換後Ｇｌｏｂａｌアドレス」と、ＧｌｄｂａｌからＰｒｉｖａｔｅ方向へ信号が通過する際に取得した「Ｇｌｏｂａｌアドレス」比較することが有効である。Ｇｌｏｂａｌネットワークに配備されたＳＩＰＳｅｒｖｅｒを経由して同一のＰｒｉｖａｔｅ側ネットワーク内の２端末で通信を行なう場合、すなわちＳＩＰＳｅｒｖｅｒで信号が折り返す場合は、「変換後Ｇｌｏｂａｌアドレス」と「Ｇｌｏｂａｌアドレス」は同一となるため、同一となる場合は「Ｇｌｏｂａｌアドレス」をＡＬＧ内部で管理するデータベースへと登録しないことで、「変換前Ｐｒｉｖａｔｅアドレス」「変換後Ｇｌｏｂａｌアドレス」「Ｇｌｏｂａｌアドレス」全ての情報が揃わなくなるためピンホールの登録を行なうことは無い。このような方法を用いることで、不要なピンホールの登録の抑制を行なうことが可能となる。

本実施形態のＳＩＰ通信制御装置１０、ＮＡＴ／ＦＷ装置２０はその機能を実現する手段を備えている。また、本実施形態のＳＩＰ通信制御装置１０、ＮＡＴ／ＦＷ装置２０はコンピュータとプログラムによっても実現できる。

以上、本発明者によってなされた発明を、前記実施形態に基づき具体的に説明したが、本発明は、前記実施形態に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。

本発明の実施形態のＳＩＰ通信制御装置およびＮＡＴ／ＦＷ装置を用いてＩＰアドレス体系の異なるネットワーク間においてＶｏＩＰ通信を行う際のシステムの全体構成の一例を説明するためのブロック図である。図２は、本発明の実施形態のＳＩＰ通信制御装置およびＮＡＴ／ＦＷ装置を用いて、Ｇｌｏｂａｌネットワークに配備されたＳＩＰＳｅｒｖｅｒを経由して、Ｐｒｉｖａｔｅネットワークの端末と、Ｇｌｏｂａｌネットワークの端末間でＶｏＩＰ通信を行う場合の一般的な信号シーケンスおよびＳＩＰ通信制御装置の動作概要を説明するための図である。図３は、本発明の実施形態のＳＩＰ通信制御装置およびＮＡＴ／ＦＷ装置を用いて、Ｇｌｏｂａｌネットワークに配備されたＳＩＰＳｅｒｖｅｒを経由して、同一のＰｒｉｖａｔｅネットワークの端末間でＶｏＩＰ通信を行う場合の一般的な信号シーケンスおよびＳＩＰ通信制御装置の動作概要を説明するための図である。図４は、本発明の実施形態のＳＩＰ通信制御装置において、ＳＩＰメッセージを受信した後に、通信の経路を識別してピンホールを登録するか否かを判断する際の処理フローを示した図である。

符号の説明

１０：ＳＩＰ通信制御装置
１００：情報処理部
１０１：ＦＷ制御機能
１０２：ＳＩＰメッセージ内のＩＰアドレス変換機能
１０１０：通信経路識別機能
２０：ＮＡＴ／ＦＷ装置
２００：ＦＷ機能
２１０：ＮＡＴ機能
３０：ネットワークＡ（Ｐｒｉｖａｔｅネットワーク）
３１：ネットワークＢ（Ｇｌｏｂａｌネットワーク）
３０１、３１１：スイッチ
３０２−ａ、３０２−ｂ、３１３：ＩＰ電話端末Ａ〜Ｃ
３１２：ＳＩＰＳｅｒｖｅｒ

Claims

ネットワークレイヤの送受信ＩＰアドレスとトランスポートレイヤの送受信ポート番号の組により、アクセス制御を行うファイアウォール（ＦＷ）機能、ならびに、「ＰｒｉｖａｔｅＩＰアドレス、Ｐｒｉｖａｔｅポート番号」と「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」の変換、およびそれらの逆変換を行うＮＡＴ(Network Address Translation)機能を配備した、ＮＡＴ／ＦＷ装置と連携して、
ＳＩＰ(Session Initiation Protocol)メッセージ内のＩＰアドレス変換機能、ＳＤＰ(Session Description Protocol)の情報を管理しているデータベース、および、前記データベースに登録された情報に基づいてメディア送受信に用いるＩＰアドレス、ポート番号の組を前記ＮＡＴ／ＦＷ装置に登録することで前記ＩＰアドレス、ポート番号の組のメディア通信のみＦＷを通過させることを可能とするＦＷ制御機能を配備したＳＩＰ通信制御装置であって、
前記メディア送受信に用いるＩＰアドレス、ポート番号を取得する際に、メッセージがＰｒｉｖａｔｅネットワークの端末からＧｌｏｂａｌネットワークに配備されたＳＩＰＳｅｒｖｅｒへ通過する際に取得した変換後「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」と、メッセージがＧｌｏｂａｌネットワークに配備されたＳＩＰＳｅｒｖｅｒからＰｒｉｖａｔｅネットワークの端末へ通過する際に取得した「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」を比較する手段と、
前記変換後「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」と前記ＧｌｏｂａｌネットワークからＰｒｉｖａｔｅネットワークへ通過する際に取得した「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」が同一でない場合は、前記ＧｌｏｂａｌネットワークからＰｒｉｖａｔｅネットワークへ通過する際に取得した「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」の組を前記データベースに登録する手段と、
前記変換後「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」と前記ＧｌｏｂａｌネットワークからＰｒｉｖａｔｅネットワークへ通過する際に取得した「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」が同一である場合は、前記ＧｌｏｂａｌネットワークからＰｒｉｖａｔｅネットワークへ通過する際に取得した「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」の組を前記データベースに登録しない手段と、
を有することを特徴とするＦＷ制御を行うＳＩＰ通信制御装置。
ネットワークレイヤの送受信ＩＰアドレスとトランスポートレイヤの送受信ポート番号の組により、アクセス制御を行うファイアウォール（ＦＷ）機能、ならびに、「ＰｒｉｖａｔｅＩＰアドレス、Ｐｒｉｖａｔｅポート番号」と「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」の変換、およびそれらの逆変換を行うＮＡＴ(Network Address Translation)機能を配備した、ＮＡＴ／ＦＷ装置と連携して、
ＳＩＰ(Session Initiation Protocol)メッセージ内のＩＰアドレス変換機能、ＳＤＰ(Session Description Protocol)の情報を管理しているデータベース、および、前記データベースに登録された情報に基づいてメディア送受信に用いるＩＰアドレス、ポート番号の組を前記ＮＡＴ／ＦＷ装置に登録することで前記ＩＰアドレス、ポート番号の組のメディア通信のみＦＷを通過させることを可能とするＦＷ制御機能を配備したＳＩＰ通信制御装置におけるＦＷ制御方法であって、
前記メディア送受信に用いるＩＰアドレス、ポート番号を取得する際に、メッセージがＰｒｉｖａｔｅネットワークの端末からＧｌｏｂａｌネットワークに配備されたＳＩＰＳｅｒｖｅｒへ通過する際に取得した変換後「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」と、メッセージがＧｌｏｂａｌネットワークに配備されたＳＩＰＳｅｒｖｅｒからＰｒｉｖａｔｅネットワークの端末へ通過する際に取得した「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」を比較するステップと、
前記変換後「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」と前記ＧｌｏｂａｌネットワークからＰｒｉｖａｔｅネットワークへ通過する際に取得した「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」が同一でない場合は、前記ＧｌｏｂａｌネットワークからＰｒｉｖａｔｅネットワークへ通過する際に取得した「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」の組を前記データベースに登録するステップと、
前記変換後「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」と前記ＧｌｏｂａｌネットワークからＰｒｉｖａｔｅネットワークへ通過する際に取得した「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」が同一である場合は、前記ＧｌｏｂａｌネットワークからＰｒｉｖａｔｅネットワークへ通過する際に取得した「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」の組を前記データベースに登録しないステップと、
を有することを特徴とするＳＩＰ通信制御装置におけるＦＷ制御方法。