JP4995177B2

JP4995177B2 - Ｎａｔ装置

Info

Publication number: JP4995177B2
Application number: JP2008284454A
Authority: JP
Inventors: 俊二今井
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2008-11-05
Filing date: 2008-11-05
Publication date: 2012-08-08
Anticipated expiration: 2028-11-05
Also published as: JP2010114585A

Description

この発明は、ＮＡＴ（ＮｅｔｗｏｒｋＡｄｄｒｅｓｓＴｒａｎｓｌａｔｉｏｎ）装置に関するものであり、特に、二重化されたＮＡＴ装置に対して動的にＮＡＴ情報を同期する方法を有するＮＡＴ装置に関するものである。

プライベートアドレス空間に属する装置は、プライベートアドレスしか割り当てられていないために、インターネットなどのグローバルアドレス空間に属する装置にアクセスすることができない。そこで、プライベートアドレス空間に属する装置がグローバルアドレス空間に属する装置にアクセスできるようにするため、プライベートアドレス空間に属する装置とグローバルアドレス空間に属する装置との間にＮＡＴ装置を配置し、プライベートアドレス空間に属する装置のプライベートアドレスを、ＮＡＴ装置が持つグローバルアドレスの一つに相互に変換するようにしている。例えば、ＮＡＴ装置は、プライベートアドレス空間に属する装置から発行されるＩＰパケットのヘッダ内のプライベートアドレスを、ＮＡＴ装置が保有するグローバルアドレスの中の任意の一つに変換して、インターネットに送出し、あるいは、インターネットから到着したＩＰパケットのヘッダ内のグローバルアドレスをプライベートアドレスに変換して、プライベートアドレス空間に送出する。この場合に、ＮＡＴ装置は、同時接続する接続数だけ、グローバルアドレスを保有している。ＮＡＴに用いられるＮＡＴ情報は、動的に変化し、装置内で管理される（例えば、特許文献１参照）。

特開２００４−７２４８０号公報

上述したＮＡＴ装置を二重化する場合には、二重化した装置間でＮＡＴ情報（アドレス変換を行うための変換情報）の同期が必要である。しかしながら、従来では、ＮＡＴ装置を二重化させようとした場合、同期情報を現用系ＮＡＴ装置で生成してこれを予備系ＮＡＴ装置に送信し、予備系ＮＡＴ装置にてＮＡＴ情報を復元することで現用系ＮＡＴ装置と予備系ＮＡＴ装置の同期を行っていた。このため、現用系ＮＡＴ装置側に予備系ＮＡＴ装置への同期情報通知負荷が発生してしまい、本来のＮＡＴ処理に影響が出てしまう問題があった。

この発明は上記のような課題を解決するためになされたもので、二重化したＮＡＴ装置としての性能向上を図ることのできるＮＡＴ装置を得ることを目的とする。

この発明に係るＮＡＴ装置は、プライベートアドレス空間に属する装置とグローバルアドレス空間に属する装置との間に位置し、これら装置間で送受信されるパケットのアドレス変換を行う二重化されたＮＡＴ装置であって、現用系ＮＡＴ装置は、アドレス変換を行うための変換情報を生成する際に、アドレス変換前後のパケットを予備系ＮＡＴ装置に転送するパケット転送部を備え、予備系ＮＡＴ装置は、現用系ＮＡＴ装置から受け取ったアドレス変換前後のパケットから変換情報を生成する変換情報生成部を備えたものである。

この発明のＮＡＴ装置は、現用系ＮＡＴ装置は、アドレス変換を行うための変換情報を生成する際に、アドレス変換前後のパケットを予備系ＮＡＴ装置に転送し、予備系ＮＡＴ装置は、受け取ったアドレス変換前後のパケットから変換情報を生成するようにしたので、現用系ＮＡＴ装置側の負荷が軽減され、二重化されたＮＡＴ装置の性能向上を図ることができる。

実施の形態１．
図１は、この発明の実施の形態１によるＮＡＴ装置を示す構成図である。
図示のＮＡＴ装置は、二重化されたＮＡＴ装置であり、現用系ＮＡＴ装置１００と予備系ＮＡＴ装置２００を備えている。これらの現用系ＮＡＴ装置１００および予備系ＮＡＴ装置２００は、プライベートアドレス空間に属する装置とグローバルアドレス空間に属する装置との間に位置し、これら装置間で送受信するパケットのアドレス変換を行う装置である。通信端末１は、プライベートアドレス空間のＬＡＮ内に位置する装置であり、ＷＡＮ２はグローバルアドレス空間のネットワークである。

現用系ＮＡＴ装置１００は、ハードウェア変換部１１０とソフトウェア変換部１２０を備えている。ハードウェア変換部１１０は、通信端末１からのプライベートアドレスをグローバルアドレスに変換したり、ＷＡＮ２を介して通信端末１宛に送られてくるパケットのグローバルアドレスを通信端末１のプライベートアドレスに変換するといったＮＡＴ処理を行う変換部であり、変換制御部１１１と変換情報格納部１１２とパケット転送部１１３とを備えている。変換制御部１１１は、例えばＬＳＩやＦＰＧＡ（ＦｉｅｌｄＰｒｏｇｒａｍｍａｂｌｅＧａｔｅＡｒｒａｙ）で構成され、変換情報格納部１１２に格納されている変換情報を用いて、ＮＡＴ処理を行う制御部である。変換情報格納部１１２は、図２に示すように、例えば、ＣＡＭ（ＣｏｎｔｅｎｔＡｄｄｒｅｓｓａｂｌｅＭｅｍｏｒｙ）からなる変換エントリテーブル２１と、その変換エントリテーブルで示す変換情報を示すＲＡＭ等からなる変換情報テーブル２２とを格納する。尚、図２はハードウェア変換部１１０の動作を示す説明図であるが、これについては後述する。また、パケット転送部１１３は、変換情報を生成する際に、ＮＡＴ変換前後のパケットを予備系ＮＡＴ装置２００に転送する機能を有している。
ソフトウェア変換部１２０は、変換情報格納部１１２に変換情報が存在しない場合にその変換情報を生成し、これを変換情報格納部１１２に設定する機能を有している。

予備系ＮＡＴ装置２００は、現用系ＮＡＴ装置１００と同様に、ハードウェア変換部２１０とソフトウェア変換部２２０とを備えると共に、変換情報生成部２３０を備えている。ハードウェア変換部２１０は、変換制御部２１１と変換情報格納部２１２とを備えており、これらの構成は、現用系ＮＡＴ装置１００の変換制御部１１１および変換情報格納部１１２と同様である。また、ソフトウェア変換部２２０についてもソフトウェア変換部１２０と基本的な構成は同様であるが、変換情報生成部２３０で生成された変換情報に基づいてハードウェア変換部２１０に変換情報を設定する構成が付加されている。変換情報生成部２３０は、例えばハードウェアで構成され、現用系ＮＡＴ装置１００のパケット転送部１１３によって転送されるＮＡＴ変換前後のパケットに基づいて変換情報を生成する機能部である。

尚、上記構成において、パケット転送部１１３は現用系ＮＡＴ装置１００にのみ設けられ、また、変換情報生成部２３０は予備系ＮＡＴ装置２００にのみ設けられているが、これは現用系、予備系の機能に基づいた構成を示しているだけであって、例えば、現用系ＮＡＴ装置１００が変換情報生成部２３０を備えていてもよい。

次に、実施の形態１の動作について説明する。
先ず、図２を用いてハードウェア変換部１１０による基本的なＮＡＴ処理について説明する。
通信端末１がＷＡＮ２側にパケットを送出すると（ローカルネットワーク→インターネット）、現用系ＮＡＴ装置１００は、通信端末１のソースＩＰアドレスとポート番号に基づいてグローバルＩＰアドレスに変換する。また、逆方向（インターネット→ローカルネットワーク）では、［あて先ＩＰアドレス・あて先ポート番号］をプライベートアドレスに変換する。ＩＰ通信では、［ソースアドレス、ポート／あて先アドレス、ポート］がセットでコネクション管理されるため、ＮＡＴ動作を行う場合には、ＩＰパケットヘッダから、あて先ＩＰアドレス、ソースＩＰアドレス、プロトコル（ＴＣＰ、ＵＤＰ、…）、あて先ポート番号、ソースポート番号を抽出し、コネクションを特定する情報を得る。これらの特定情報のキーとして、変換エントリテーブル２１を検索し、変換情報が存在すれば、その情報に従って、ＩＰアドレス・ポート番号の書き換え（＝ＮＡＴ動作）を行う。

具体的な動作としては、先ず、変換制御部１１１が、変換情報格納部１１２を参照して該当する変換情報を取得する。即ち、ＩＰヘッダを元に、変換エントリテーブル２１に変換情報があるかを検索する（図中（１））。変換エントリテーブル２１に該当する変換情報が存在した場合は、変換情報テーブル２２へのポインタを変換制御部１１１に出力する（図中（２））。これにより、変換制御部１１１は、変換情報テーブル２２から、ポインタで示される変換情報を取得し（図中（３））、変換情報に従ってＩＰアドレスをローカルアドレスからグローバルアドレスに書き換える（図中（４））。また、ＷＡＮ２側から通信端末１側へのパケットについては、変換情報に従って、グローバルアドレスの宛先ＩＰアドレスをローカルアドレスの宛先ＩＰアドレスに変換して通信端末１側に転送する（図中（５））。

次に、該当する変換情報が無い場合の動作について説明する。
通信端末１がＷＡＮ２側に初めてパケットを出力する場合、変換情報格納部１１２には該当する変換情報が存在しない。このような場合、変換制御部１１１は、受信したパケットをソフトウェア変換部１２０に転送する。また、パケット転送部１１３は、このパケットを予備系ＮＡＴ装置２００に転送する。
ソフトウェア変換部１２０では、プライベートＩＰアドレスをグローバルＩＰアドレスに対応付け、次回のＮＡＴ動作のために、これらの情報を変換制御部１１１の変換エントリテーブル２１と変換情報テーブル２２とに設定する。また、ソフトウェア変換部１２０からこれらの変換後のパケットが送出されると、パケット転送部１１３は、この変換後のパケットを予備系ＮＡＴ装置２００側に転送する。現用系ＮＡＴ装置１００では、このような動作により、次回以降のパケットについては、上述した変換エントリテーブル２１と変換情報テーブル２２とを用いた処理となる。

次に、予備系ＮＡＴ装置２００側の動作について説明する。
変換情報生成部２３０は、現用系ＮＡＴ装置１００から変換前後のパケットを受信・比較することで変換情報を抽出する。但し、現用系ＮＡＴ装置１００からの変換パケットが次々と送信されてくるため、変換前後のパケットとして異なるものを比較してしまうと、誤った情報となるため、以下のように識別を行う。

図３は、変換情報を得るための比較動作の説明図である。
（１）変換前ＩＰパケットについて、ソースＩＰ・ソースポート・あて先ＩＰ・あて先ポート・識別子を抽出し、該当パケット情報を、図３中の（ａ）に示す変換情報比較待ちキューに保持する。このキューに保持されているパケット情報は、現用系ＮＡＴ装置１００から送信されてくる変換後パケットによって抽出される変換パケット情報と比較するために待ち状態にされる。
（２）変換後ＩＰパケットについて、ソースＩＰ・ソースポート・あて先ＩＰ・あて先ポート・識別子を抽出し、該当パケット情報を、図３中の（ｂ）に示す変換情報取得待ちキューに保持する。このキューに保持されているパケット情報は、現用系ＮＡＴ装置１００から送信済みの上記（１）で待ちキューに入っている変換前パケット情報と比較される。
（３）上記（１）、（２）の情報を比較し、あて先ＩＰ・あて先ポート・識別子が同じである場合に、（１）で抽出した（ソースＩＰ・ソースポート）が（２）で抽出した（ソースＩＰ・ソースポート）に変換されたことを知ることが出来る。比較の結果、一致しない場合には、（１）の比較パケットは破棄し、次に受信した変換前パケットを用いて次の比較を行う。以後、この動作を繰り返す。

図３に示す例では、変換後パケット１に対して、変換前パケット１が比較対象として一致し、変換情報を得ることができる。次に、変換後パケット２に対して、変換前パケット２は比較対象として一致しないため破棄し、次に変換前パケット３と比較し、これが比較対象として一致するため、変換情報を得る。

変換情報生成部２３０で得られた変換情報はソフトウェア変換部２２０に転送され、ソフトウェア変換部２２０によって、ハードウェア変換部２１０の変換情報格納部２１２に設定される。尚、変換情報生成部２３０の生成した変換情報をソフトウェア変換部２２０を介して変換情報格納部２１２に設定するのは、変換情報格納部２１２における変換エントリテーブルや変換情報テーブルのソフトウェア変換部２２０によって管理しているためであるが、変換情報生成部２３０が直接変換情報格納部２１２に設定するよう構成してもよい。

以上の動作により、予備系ＮＡＴ装置２００においても現用系ＮＡＴ装置１００と同様の変換エントリテーブルや変換情報テーブルを持つことができ、現用系ＮＡＴ装置１００と予備系ＮＡＴ装置２００との変換情報の同期を行うことができる。

以上のように、実施の形態１のＮＡＴ装置によれば、プライベートアドレス空間に属する装置とグローバルアドレス空間に属する装置との間に位置し、これら装置間で送受信されるパケットのアドレス変換を行う二重化されたＮＡＴ装置であって、現用系ＮＡＴ装置は、アドレス変換を行うための変換情報を生成する際に、アドレス変換前後のパケットを予備系ＮＡＴ装置に転送するパケット転送部を備え、予備系ＮＡＴ装置は、現用系ＮＡＴ装置から受け取ったアドレス変換前後のパケットから変換情報を生成する変換情報生成部を備えたので、予備系ＮＡＴ装置は、自身で生成する変換情報に基づいて変換情報の更新を行うので、現用系ＮＡＴ装置から別途同期情報を通知しなくても済み、現用系ＮＡＴ装置側の負荷が軽減され、二重化されたＮＡＴ装置の性能向上を図ることができる。

実施の形態２．
実施の形態２は、二重化されたＮＡＴ装置の両方を現用系として並列動作させるようにしたものである。
図４は、実施の形態２のＮＡＴ装置の構成図である。
図において、ＮＡＴ装置１００ａ，１００ｂは、両方が現用系として並列動作するＮＡＴ装置であり、それぞれ、ハードウェア変換部１１０ａ，１１０ｂ、ソフトウェア変換部１２０ａ，１２０ｂ、変換情報生成部１３０ａ，１３０ｂを備えている。それぞれのハードウェア変換部１１０ａ，１１０ｂは、変換制御部１１１ａ，１１１ｂ、変換情報格納部１１２ａ，１１２ｂ、パケット転送部１１３ａ，１１３ｂを備えている。変換制御部１１１ａ，１１１ｂは、実施の形態１における変換制御部１１１や変換制御部２１１と同様である。また、変換情報格納部１１２ａ，１１２ｂは、変換情報格納部１１２や変換情報格納部２１２と同様である。更に、パケット転送部１１３ａ，１１３ｂは、パケット転送部１１３と同様である。

また、ソフトウェア変換部１２０ａ，１２０ｂは、実施の形態１のソフトウェア変換部１２０やソフトウェア変換部２２０と同様であり、変換情報生成部１３０ａ，１３０ｂは、変換情報生成部２３０と同様である。

このように構成されたＮＡＴ装置は、それぞれのＮＡＴ装置１００ａ，１００ｂで、変換情報が設定されていないパケットを受けた場合は、他方のＮＡＴ装置に対して変換前後のパケットを転送する。ここで、仮に、変換情報が設定されていないパケットを受けたＮＡＴ装置をＮＡＴ装置１００ａとし、他方のＮＡＴ装置をＮＡＴ装置１００ｂとすると、ＮＡＴ装置１００ｂは、実施の形態１の予備系ＮＡＴ装置２００の動作と同様に変換情報生成部１３０ｂで変換情報を生成し、ソフトウェア変換部１２０ｂによって変換情報を変換情報格納部１１２ｂに設定する。

このような動作を行うことにより、両方を現用系とした場合の変換情報の同期を確実に行うことができる。また、同期させるための情報を一方のＮＡＴ装置のみで作成するといったことがなく、同期のための負荷を分散させることができ、ＮＡＴ装置全体としての性能向上を図ることができる。

以上のように、実施の形態２のＮＡＴ装置によれば、プライベートアドレス空間に属する装置とグローバルアドレス空間に属する装置との間に位置し、これら装置間で送受信されるパケットのアドレス変換を行い、かつ、双方が現用系として並列に動作を行う二重化されたＮＡＴ装置であって、各現用系ＮＡＴ装置は、アドレス変換を行うための変換情報を生成する際に、アドレス変換前後のパケットを他の現用系ＮＡＴ装置に転送するパケット転送部と、他の現用系ＮＡＴ装置から受け取ったアドレス変換前後のパケットから変換情報を生成する変換情報生成部とを備えたので、各ＮＡＴ装置は自装置内で変換情報を生成することができるため、他のＮＡＴ装置のための同期情報を生成する必要がなく、並列動作するＮＡＴ装置の性能を向上させることができる。

この発明の実施の形態１によるＮＡＴ装置を示す構成図である。この発明の実施の形態１によるＮＡＴ装置の現用系ＮＡＴ装置の動作を示す説明図である。この発明の実施の形態１によるＮＡＴ装置の変換情報を生成する場合の比較動作を示す説明図である。この発明の実施の形態２によるＮＡＴ装置を示す構成図である。

符号の説明

１通信端末、２ＷＡＮ、２１変換エントリテーブル、２２変換情報テーブル、１００現用系ＮＡＴ装置、１１０，１１０ａ，１１０ｂ，２１０ハードウェア変換部、１１２，１１２ａ，１１２ｂ，２１２変換情報格納部、１１３，１１３ａ，１１３ｂパケット転送部、１３０ａ，１３０ｂ，２３０変換情報生成部、２００予備系ＮＡＴ装置。

Claims

プライベートアドレス空間に属する装置とグローバルアドレス空間に属する装置との間に位置し、これら装置間で送受信されるパケットのアドレス変換を行う二重化されたＮＡＴ装置であって、
現用系ＮＡＴ装置は、前記アドレス変換を行うための変換情報を生成する際に、当該アドレス変換前後のパケットを予備系ＮＡＴ装置に転送するパケット転送部を備え、
前記予備系ＮＡＴ装置は、前記現用系ＮＡＴ装置から受け取った前記アドレス変換前後のパケットから前記変換情報を生成する変換情報生成部を備えたＮＡＴ装置。
プライベートアドレス空間に属する装置とグローバルアドレス空間に属する装置との間に位置し、これら装置間で送受信されるパケットのアドレス変換を行い、かつ、双方が現用系として並列に動作を行う二重化されたＮＡＴ装置であって、
各現用系ＮＡＴ装置は、
前記アドレス変換を行うための変換情報を生成する際に、当該アドレス変換前後のパケットを他の現用系ＮＡＴ装置に転送するパケット転送部と、
他の現用系ＮＡＴ装置から受け取った前記アドレス変換前後のパケットから前記変換情報を生成する変換情報生成部とを備えたＮＡＴ装置。