JP5535254B2 - ネットワークシステム、端末識別方法、およびプログラム - Google Patents

Description

本発明は、ネットワークにおける通信制御技術に関し、特に、データを送信する端末を識別し、端末毎にトラフィック制御を行う通信制御に有効な技術に関する。

ＩＰ(Internet Protocol)を使用するネットワークは、送信元アドレス、宛先アドレスといったネットワーク内で固有なＩＰアドレスを用い、特定の端末のアドレスがネットワーク内のどの位置に存在するかをネットワーク全体で制御することによって端末間での通信が可能となっている。

この際、送信元アドレスは、送信した端末を識別する上で重要な情報となる。特にインターネット全体で一意に固有なアドレスをグローバルアドレスと呼び、このグローバルアドレスを用いた送信元アドレスは、世界中に広がるインターネット内で必ず１つの端末として識別することができる。

ＩＰアドレスは、原則ネットワーク内で重複は禁止されているが使用可能なアドレスが不足する場合、特定組織ネットワーク内でのみ利用可能なプライベートアドレスを利用することができる。

プライベートアドレスは、例えば、ＮＡＴ(ナット：Network Address Translation)などのアドレス変換技術を使用し、その技術を使用したアドレス変換装置の前後で１つ、もしくは複数のグローバルアドレスと複数のプライベートアドレスを紐付けることにより組織内外での通信を可能とする。

ＮＡＴによるアドレス変換が行われると、送信元アドレスはアドレス変換装置が付与する別のアドレスに変換され、場合によっては複数の組織内ネットワーク端末から送信されたパケットであっても同一の送信元アドレスが設定されることになる。

なお、この種のＩＰアドレスを用いた通信技術については、例えば、インターネット制御メッセージプロトコル(ICMP) を記載したものが知られている（例えば、非特許文献１参照）。

RFC791 INTERNET PROTOCOL DARPA INTERNET PROGRAM PROTOCOL SPECIFICATION,The Internet Engineering Task Force September 1981 Information Sciences Institute University of Southern California 4676 Admiralty Way Marina del Rey, California 90291

ところが、上記のような通信制御技術では、次のような問題点があることが本発明者により見い出された。

端末はネットワーク内で固有なＩＰアドレスを送信元アドレスとしてパケットに付与することで、送信者の識別に有用な情報を提供している。しかし、グローバルアドレスの不足によるプライベートアドレスの使用や、組織内ネットワークで使用しているネットワークアドレスを受信者に知られたくないなどの理由により、中継経路にアドレス変換装置を設置した場合、アドレス変換装置を中継したパケットは送信元アドレスが変更され、複数の端末が同一の送信元アドレスとなることが有り、送信元アドレスを使用した送信端末を識別することはできない。

ＩＰ層より上位層にて個別に端末識別符号を設定することで端末識別を行うことは可能であるが、それらにはそれぞれの機能を提供するソフトウエアや装置が端末に適用されている必要があり、工数、ならびにコストがかかってしまうという問題がある。

また、端末識別符号を設定した場合には、同一のシステム間でのみしか利用ができないために当該層を意識しなければ端末を識別することができず、複数の上位層を使用する場合に端末個々を認識することができないという問題がある。

本発明の目的は、ＩＰ層内のアドレス情報以外の情報を用いて固有端末の識別を行い、ネットワーク変換装置を介したネットワーク中継における端末を認証することのできる技術を提供することにある。

本発明の前記ならびにそのほかの目的と新規な特徴については、本明細書の記述および添付図面から明らかになるであろう。

本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、次のとおりである。

前述の目的を達成するために、本発明では、ＩＰパケットにおけるＩＰヘッダ内の情報のうち、送信元アドレスフィールド以外の情報を用いて、ＩＰパケットを送信する送信元のデータ端末を識別する仕組みを実現する。

本発明は、通信網を介してデータ通信を行うデータ端末であり、このデータ端末は、データ通信の際に送信されるＩＰパケットにおけるＩＰヘッダの情報のうち、このＩＰヘッダに含まれる送信元アドレスフィールドの情報以外を用いて、送信元のデータ端末を識別する端末識別情報を設定する端末識別情報設定部を有する。

また、本発明は、データ通信を行うデータ端末と、アドレス変換規則に基づいて、データ端末から送信されるＩＰパケットのＩＰヘッダ内にある送信元アドレスフィールドに設定されたアドレスを送信用アドレスに変換して送信するアドレス変換装置と、通信網に接続され、該アドレス変換装置が変換した送信アドレスを含むＩＰパケットを受信し、該ＩＰパケットに含まれるＩＰヘッダに格納された端末識別情報から、ＩＰパケットを通信網に中継するか否かを判定する端末識別装置とを有するネットワークシステムから構成される。

データ端末は、ＩＰヘッダの情報のうち、送信元アドレスフィールドの情報以外を用いて、送信元のデータ端末を識別する端末識別情報を設定する端末識別情報設定部を有する。

端末識別装置は、通信を許可するデータ端末であるかの情報である認証情報が格納された認証情報データベースと、ＩＰヘッダから端末識別情報設定部が設定した端末識別情報を抽出し、認証情報データベースに格納された認証情報との照合を行い、データ端末が通信許可の端末であるか否かを判定する端末識別認証部と、この端末識別認証部の判定結果に基づいて、ＩＰパケットの中継を行う送信制御部とを有する。

さらに、本発明は、ＩＰヘッダの情報のうち、送信元アドレスフィールドの情報以外を用いて、送信元のデータ端末を識別する端末識別情報を設定し、そのＩＰパケットに含まれるＩＰヘッダに格納された端末識別情報から、データ端末を識別するシステムによる方法や、前記システムとしてコンピュータシステムを機能させるプログラムにも適用することができる。

本願において開示される発明のうち、代表的なものによって得られる効果を簡単に説明すれば以下のとおりである。

（１）送信されるＩＰパケットの送信元アドレスが元のアドレスと異なっている環境であっても、送信元のデータ端末を識別し、認証することができる。

（２）また、アドレス変換装置への新たな機能などの追加を不要とすることができる。

本発明の一実施の形態によるデータ通信システムにおける構成の一例を示す説明図である。 図１のデータ通信システムに用いられるＩＰアドレスの形式の一例を示す説明図である。 図１のデータ通信システムに用いられるＩＰパケットフォーマットの一例を示す説明図である。 図１の組織内ネットワークに設けられたデータ端末、ＮＡＴ装置、および端末識別装置における構成の一例を示す説明図である。 図２の端末識別情報設定部における処理の一例を示すフローチャートである。 図２の端末識別情報設定部によるＩＰヘッダに端末識別情報を設定するフィールドの一例を示した説明図である。 送信アドレスが‘１９２．１６８．０１０．２５３’の場合における図２の端末識別情報の設定例を示した説明図である。 図２の端末識別装置の処理の一例を示したフローチャートである。

以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、実施の形態を説明するための全図において、同一の部材には原則として同一の符号を付し、その繰り返しの説明は省略する。

〈発明の概要〉
本発明の概要は、通信網（通信網１７）を介してデータ通信を行うデータ端末（データ端末１３，１４）である。

このデータ端末は、データ通信の際に送信されるＩＰパケットにおけるＩＰヘッダの情報のうち、該ＩＰヘッダに含まれる送信元アドレスフィールド（送信元アドレスフィールド４８）の情報以外を用いて、送信元のデータ端末を識別する端末識別情報を設定する端末識別情報設定部（端末識別情報設定部２１）を有する。

また、本発明の概要は、データ端末（データ端末１３，１４）、アドレス変換装置（ＮＡＴ装置１５）、および端末識別装置（端末識別装置１６）を有するネットワークシステム（組織内ネットワークシステム１１）である。

データ端末は、データ通信を行う。アドレス変換装置は、アドレス変換規則に基づいて、データ端末から送信されるＩＰパケットのＩＰヘッダ内にある送信元アドレスフィールドに設定されたアドレスを送信用アドレスに変換して送信する。

端末識別装置は、通信網に接続され、アドレス変換装置が変換した送信アドレスを含むＩＰパケットを受信し、該ＩＰパケットに含まれるＩＰヘッダに格納された端末識別情報から、ＩＰパケットを通信網に中継するか否かを判定する。

データ端末は、ＩＰヘッダの情報のうち、送信元アドレスフィールド（送信元アドレスフィールド４８）の情報以外を用いて、送信元のデータ端末を識別する端末識別情報を設定する端末識別情報設定部（端末識別情報設定部２１）を有する。

端末識別装置は、通信を許可するデータ端末であるかの情報である認証情報（通信許可端末識別情報）が格納された認証情報データベース（認証データベース３５）と、ＩＰヘッダから、端末識別情報設定部が設定した端末識別情報を抽出し、認証情報データベースに格納された認証情報との照合を行い、データ端末が通信許可の端末であるか否かを判定する端末識別認証部（端末識別部３１、端末認証部３２）と、該端末識別認証部の判定結果に基づいて、送信網へのＩＰパケットの中継処理を制御する送信制御部（送信制御部３３）とを有する。

さらに、本発明の概要は、コンピュータシステム（組織内ネットワークシステム１１）により、パケット通信の際に送信元アドレスが変換されたＩＰパケットの送信元のデータ端末（データ端末１３，１４）を識別する端末識別方法である。

この端末識別方法は、ＩＰパケットにおけるＩＰヘッダの情報のうち、該ＩＰヘッダに含まれる識別子フィールド（識別子フィールド４６）、およびＴＯＳ（Type Of Service）フィールド（ＴＯＳフィールド４５）に、端末識別情報を設定するステップと、識別子フィールド、およびＴＯＳフィールドに設定された端末識別情報を取得し、データ端末が認証されたデータ端末であるか否かを判定するステップとを有する。

また、本発明の概要は、コンピュータシステム（組織内ネットワークシステム１１）により、パケット通信の際に送信元アドレスが変換されたＩＰパケットの送信元のデータ端末（データ端末１３，１４）を識別するプログラムである。

このプログラムは、以下のステップを有する。

データ通信の際に送信されるＩＰパケットにおけるＩＰヘッダの情報のうち、該ＩＰヘッダに含まれる識別子フィールド（識別子フィールド４６）、およびＴＯＳフィールド（ＴＯＳフィールド４５）に端末識別情報を設定するステップと、識別子フィールド、およびＴＯＳフィールドに設定された端末識別情報を取得し、データ端末が認証されたデータ端末であるか否かを判定するステップとである。

以下、上記した概要に基づいて、実施の形態を詳細に説明する。

〈データ通信システムの構成例〉
データ通信システム１０について、図１を用いて説明する。図１は、データ通信システム１０における構成の一例を示す説明図である。

本実施の形態において、データ通信システム１０は、組織内ネットワークシステム１１、およびデータ端末１２から構成されている。組織内ネットワークシステム１１は、データ端末１３，１４、ＮＡＴ装置１５、ならびに端末識別装置１６から構成されている。

データ端末１３，１４は、ＮＡＴ装置１５にそれぞれ接続されており、該ＮＡＴ装置１５には、端末識別装置１６が接続されている。端末識別装置１６は、通信回線である通信網１７を介してデータ端末１２に接続されている。

〈データ通信システムの処理例〉
以下、図１のデータ通信システム１０における処理の流れを、図２のＩＰアドレスの形式の一例を示す説明図、および図３のＩＰパケットフォーマットの一例を示す説明図を用いて説明する。

データ端末１３、およびデータ端末１４は、データ通信を行う際に生成するＩＰパケットのＩＰヘッダ内に端末識別情報を埋め込み、送信データと共にＩＰパケットとして、ＮＡＴ装置１５から通信網１７を介してデータ端末１２に送信する。なお、図１では、組織内ネットワークシステム１１に２台のデータ端末を有し、通信網１７に１台のデータ端末が接続される構成としているが、これらデータ端末の数は、これに限定されるものではない。

ＮＡＴ装置１５は、アドレス変換規則に従い、データ端末１３、およびデータ端末１４から送信されたＩＰパケットのＩＰヘッダ内にある送信元アドレスフィールド４８（図３）に設定されたアドレスをＮＡＴ装置１５に設定された送信用アドレスに変更し、ＩＰパケットを送信する。

その際、データ端末１３、およびデータ端末１４が設定したＩＰヘッダ内の端末識別情報は、ＮＡＴ装置１５では変更されないため、該端末識別情報は、ＮＡＴ装置１５を越えて伝達する。

端末識別装置１６は、データ端末１３（，１４）が送信し、ＮＡＴ装置１５により送信アドレスが変換されたＩＰパケットを受信し、そのＩＰパケットのヘッダ内に格納された端末識別情報を取り出し、予め端末識別装置１６に設定されている通信許可端末識別情報との比較を行うことにより端末認証を行う。

端末識別装置１６は、データ端末１３の端末識別情報が通信網１７への送信が許可された端末であると識別した場合、データ端末１３（，１４）から送信されたＩＰパケットを通信網１７に中継する。

端末識別装置１６にデータ端末１３（，１４）の通信許可端末識別情報がない、もしくは通信網１７への送信が許可されない端末として設定されていた場合、データ端末１３（，１４）から送信されたＩＰパケットは、通信網１７に送信されることなく、端末識別装置１６によって廃棄される。

また、ＩＰパケットを優先的に処理する優先制御を行う必要がある場合、端末識別装置１６は、端末識別情報よりデータ端末を識別し、該端末識別装置１６に予め設定された優先制御情報に基づいて処理を行い、通信網１７に送信する。

通信網１７は、送信先アドレスにより通信経路を選択し、適切な経路を利用して送信データをデータ端末１２に中継する。データ端末１２は、受信したＩＰパケットの送信先アドレスが自端末であることを確認し、データの読み出しを行う。

これにより、データ端末１３、データ端末１４とデータ端末１２との間におけるデータ通信において、端末認証によりデータ端末１３の送信データのみがＮＡＴ装置１５を越えて送信されることを可能にする。

〈組織内ネットワークシステムの構成例〉
図４は、図１の組織内ネットワークシステム１１に設けられたデータ端末１３（，１４）、ＮＡＴ装置１５、および端末識別装置１６における構成の一例を示す説明図である。

データ端末１３（，１４）は、アプリケーション２０、端末識別情報設定部２１、ならびにパケット送信部２２を有する。端末識別情報設定部２１は、アプリケーション２０からのデータ送信、およびパケット生成要求が発生すると、ＩＰヘッダ情報をデータに付与しパケット化を行う。パケット送信部２２は、端末識別情報設定部２１がパケット化したデータを送信する。

データ端末１３（，１４）は、ＩＰアドレスによって通信を行うため、通信インタフェースにはＩＰアドレスが設定されている必要があるが、このＩＰアドレスはネットワーク内で固有であることが求められる。

図２に示すように、送信元アドレスであるＩＰアドレス４０は、例えば、３２ビット長のビット列にて表記され、８ビット毎に１つの区切りとして１０進数での表記で表すことが通例とされている。また、ＩＰアドレス４０は、ネットマスク４１と組み合わせることで、ネットワークアドレス４２やホストアドレス４３として区別される。

ＮＡＴ装置１５は、図４に示すように、パケット受信部２５、アドレス変換処理部２６、パケット送信部２７、変換用アドレスプール２８、および変換情報記録テーブル２９をそれぞれ有する。

パケット受信部２５は、パケット送信部２２が送信したパケット化したデータを受信する。アドレス変換処理部２６は、変換用アドレスプール２８に設定されたアドレスとＩＰヘッダ内の送信元アドレスフィールド４８（図３）の送信元アドレスとを入れ替え、パケット送信部２７に出力する。

変換情報記録テーブル２９は、使用済みの変換用アドレスを格納する。パケット送信部２７は、アドレス変換処理部２６から出力されたＩＰヘッダ情報と、パケット受信部２５から取得した元の送信データとに基づいて新たなパケットを生成し、端末識別装置１６に送信する。

端末識別装置１６は、パケット受信部３０、端末識別部３１、端末認証部３２、送信制御部３３、パケット送信部３４、認証データベース３５、ならびに優先制御設定情報データベース３６をそれぞれ有している。

パケット受信部３０は、データ端末１３（，１４）からの送信用のＩＰパケットを受信し、そのＩＰパケットのうち、ＩＰヘッダ情報のみを端末識別部３１に送信する。端末識別部３１は、入力されたＩＰヘッダ情報から端末識別情報を取り出し、認証対象パケットとして端末認証部３２に送信する。

端末認証部３２は、入力された認証対象パケットと認証データベース３５に格納されている認証データである通信許可端末識別情報との照合を行い、中継許可を指示する。送信制御部３３は、端末認証部３２が判定した中継許可の指示に基づいてパケットの中継を行う。

また、以下、図５、および図８に示す処理を行う各種機能は、たとえば、データ端末１３（，１４）、および端末識別装置１６にそれぞれ設けられたプログラム格納メモリ（図示せず）などに記憶されているプログラム形式のソフトウエアを該データ端末１３（，１４）、端末識別装置１６の図示しないＣＰＵ(Central Processing Unit)などがそれぞれ実行することにより実現する。

〈端末識別情報設定部の処理例〉
次に、データ端末１３（，１４）の端末識別情報設定部２１による端末識別情報設定の処理例を、図１〜図７を用いて説明する。

図５は、図２の端末識別情報設定部２１における処理の一例を示すフローチャートである。図６は、図２の端末識別情報設定部２１によるＩＰヘッダに端末識別情報を設定するフィールドの一例を示した説明図であり、図７は、送信アドレスが‘１９２．１６８．０１０．２５３’の場合における端末識別情報の設定例を示した説明図である。

端末識別情報設定部２１は、データ端末１３（，１４）に設定されたＩＰアドレスを取得し、その一部を使用することで端末識別情報を生成する。

ＩＰアドレス４０の下位ビット側は、図２に示すように、ホストアドレス４３を示しており、これは、ネットワークアドレス４２が異なっていれば、複数の端末で同一の値を取り得るものであるが、同一組織内のネットワークにおいて、ネットワークアドレス数＜ホスト数の関係が常に満たされるため、個別端末を表す情報としてホストアドレス４３のビット値を優先的に使用することが理にかなう。

ネットワークアドレス数＜ホスト数の関係が常に満たされる理由としては、ＩＰの仕様に１つのネットワーク内にはホストアドレス４３が全て‘０’で示され、ネットワークそれ自体を示すアドレスであるネットワークアドレス４２と、ホストアドレス４３が全て‘１’で示され、ネットワーク内全体の端末を示すアドレスであるブロードキャストアドレスの２つが存在し、１ネットワークアドレス／２ホストアドレスの関係が常に成り立つからである。

厳密には、ネットワークアドレスとブロードキャストアドレスは端末に設定することはできないが、ネットワークアドレス数＜ホスト数の関係は、このＩＰの仕様によって決まる。

また、ＩＰヘッダ内で端末識別情報を設定するために使用するフィールドは、図３に示すように、識別子フィールド４６の１６ビット長の上位８ビットとＴＯＳフィールド４５の８ビットをそれぞれ取得して使用する。

識別子フィールド４６は、１つのＩＰパケットが中継経路内でフラグメントされる場合に、受信した送信先端末が元のパケットを組み立てる際に同一パケットの断片かどうかを判断するために使用される。

現在のインターネットにおいて、中継経路内でのフラグメントは、中継装置の負荷となること、およびＰａｔｈＭＴＵ（maximum transmission unit）検出機能が利用されていることから、データ送信を行うデータ端末１３（，１４）がパケットを送信する時点で中継経路内でのフラグメントが不要な大きさに分割され、且つＤＦ(Don't Fragment) フラグが設定されていることが殆どであり、実質的にフラグメントが発生することは限られた環境においてのみとなっている。

フラグメントされていないパケットは、図３に示すフラグフィールド４７のＭＦ(More Flagment) ビットが‘０’に、フラグメントオフセットビットが‘０’に設定されているため、たとえ識別子フィールド４６が同一であってもそれぞれ別のパケットとして認識することができる。

しかし、インターネット制御メッセージプロトコルの仕様書であるＲＦＣ（Request For Comment）７９１では、識別子フィールド４６の値には、そのデータがインターネットシステム内に存在する間、送信元と送信先との間のプロトコルに対して一意な値を設定しなければならないとされているため、常に同一の値を使用することが禁止されている。

そこで、図６に示すように、識別子フィールドの上位８ビットフィールド５２のみを端末識別情報の設定として使用し、下位８ビットフィールド５３を逐次変更することで上位８ビットフィールド５２の端末識別情報と合わせて識別子と見せることで問題を回避する。

識別子フィールド４６（図３）の下位８ビットのみを変更した場合、取り得る値の識別子数は最大で２５６となる。例えば、通信速度が約１００Ｍｂｐｓの通信回線において使用した場合、最大で約１４８，８０９パケット／秒のパケットを送信することができる。この１００Ｍｂｐｓ程度の通信回線の帯域を全て使用した場合、識別子２５６個では、約１．７２ミリ秒で同一の識別子を使用することとなる。

ＴＯＳフィールド４５（図３）は、ＩＰパケットを中継経路内で優先／非優先的に処理したい場合に使用される。優先制御の方式としては、ＴＯＳフィールド４５を使用する以外に、図３に示す送信元アドレスフィールド４８、送信先アドレスフィールド５０などのアドレスを見て処理する方式や、同じく図３に示すデータフィールド４９内の上位層情報を識別して処理するものなどがあり、ＴＯＳフィールド４５がなければ必ずしも優先制御ができないこととならない。

端末識別後の送信時には、端末識別情報が不要となるため、その時点でＴＯＳフィールド４５に優先情報を設定することによって通信網１７における優先制御に対応する。

端末識別情報は、図６に示すように、識別子フィールドにおける上位８ビットフィールド５２の８ビットとＴＯＳフィールド５１の８ビットとの合計である１６ビットの値を利用するため、実際に個別端末として識別が可能なデータ端末台数は、理論上において６５，５３５台が上限となる。

図５において、まず、端末識別情報設定部２１は、データ端末１３（，１４）に設定されたＩＰアドレス（送信元アドレス）４０を取得する（ステップＳ１０１）。続いて、端末識別情報設定部２１は、ＩＰアドレス４０（図２）の情報である３２ビット長のうち、下位側のホストアドレスを含む１６ビットを８ビット単位で取得する（ステップＳ１０２）。

端末識別情報設定部２１は、ステップＳ１０２の処理において取得した８ビット単位に分割したアドレスのうち、下位側の８ビットを識別子フィールドの上位８ビットフィールド５２に設定（図６の点線矢印にて示す）し（ステップＳ１０３）、上位側の８ビットをＴＯＳフィールド５１に設定（図６の実線矢印にて示す）し（ステップＳ１０４)、これを端末識別情報とする。例えば、送信元アドレスが‘１９２．１６８．０１０．２５３’の場合には、図７に示すように端末識別情報が設定される。

なお、上位側８ビットをＴＯＳフィールド５１に設定する目的は、送信元アドレスフィールド４８における上位側８ビットは同一ネットワーク内では同じ値を取ることが多く、ＴＯＳフィールド５１によって優先制御を行う装置が間に設置されたとしても共通の優先度で処理されることを期待してである。端末識別情報を設定するフィールド以外は、通常のＩＰヘッダ設定処理により値を設定する（ステップ１０５）。

〈ＮＡＴ装置の処理例〉
続いて、ＮＡＴ装置１５の処理の一例について、図１、図３、および図４を用いて説明する。

送信データに対し、端末識別情報を付与して生成されたＩＰヘッダを持つＩＰパケットはデータ端末１３（，１４）のパケット送信部２２にて下位層のイーサネットフレームに置換され通信回線を経由してＮＡＴ装置１５に送信される。このＮＡＴ装置１５では、パケット受信部２５がＩＰパケットを受信し、ＩＰヘッダをアドレス変換処理部２６に送信する。

アドレス変換処理部２６は、変換用アドレスプール２８に設定されているアドレスとＩＰヘッダ内の送信元アドレスフィールド４８の送信元アドレスを入れ替えてパケット送信部２７に送付する。その際、使用済みの変換用アドレスは変換情報記録テーブル２９に記録される。

パケット送信部２７は、アドレス変換処理部２６から送られたＩＰヘッダ情報と、元の送信データをパケット受信部２５より取得して、新たなパケットを生成して端末識別装置１６に送信する。

次に、端末識別装置１６の処理の一例を、図４、図６、および図８を用いて説明する。図８は、端末識別装置１６の処理の一例を示したフローチャートである。

まず、パケット受信部３０は、ＩＰパケットを受信すると、ＩＰヘッダ情報のみを端末識別部３１に送信する。端末識別部３１は、取得したＩＰヘッダ情報から端末識別情報を取り出し（ステップＳ２０１）、認証対象パケットとして端末認証部３２に送信する。端末認証部３２は、端末識別情報に基づいてＩＰパケットの処理方法の判断を行う。

端末認証部３２は、認証データベース３５とＩＰパケット内の端末識別情報との照合を行う（ステップＳ２０２）。このステップＳ２０２の処理において、適合且つ通信許可の端末と認証した場合（ステップＳ２０３）、端末認証部３２は、送信制御部３３に対してＩＰパケットの中継許可を指示する。

送信制御部３３は、端末認証部３２から送られた指示に基づいてパケットの中継を行うが、この際、優先制御設定情報データベース３６に格納されている優先制御情報を確認し、優先制御を行う必要のあるＩＰパケットの場合、ＴＯＳフィールド５１に指定された値を設定する。

また、優先制御設定情報データベース３６に優先制御情報がない場合には、ＴＯＳフィールド５１を全て‘０’に設定した上でパケット送信部３４に転送し、通信網１７へＩＰパケットを送信する。

ステップＳ２０２の処理において、通信不可もしくは、認証データベース３５に存在しない端末識別情報であった場合、端末認証部３２は、送信制御部３３に対し、中継拒否とパケットの廃棄を指示する（ステップＳ２０４）。

それにより、本実施の形態によれば、中継経路内にＮＡＴ装置１５が存在し、データ端末１３，１４から送信されたＩＰパケットの送信元アドレスが元のアドレスと異なっている環境あっても、ＮＡＴ装置１５に新たな機能を追加適用せずとも送信元のデータ端末１３，１４を個別に識別し、認証を行うことが可能となる。

以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることはいうまでもない。

本発明は、ネットワークにおけるトラフィック制御技術に適している。

１０ データ通信システム
１１ 組織内ネットワークシステム
１２ データ端末
１３ データ端末
１４ データ端末
１５ ＮＡＴ装置
１６ 端末識別装置
１７ 通信網
２０ アプリケーション
２１ 端末識別情報設定部
２２ パケット送信部
２５ パケット受信部
２６ アドレス変換処理部
２７ パケット送信部
２８ 変換用アドレスプール
２９ 変換情報記録テーブル
３０ パケット受信部
３１ 端末識別部
３２ 端末認証部
３３ 送信制御部
３４ パケット送信部
３５ 認証データベース
３６ 優先制御設定情報データベース
４０ ＩＰアドレス
４１ ネットマスク
４２ ネットワークアドレス
４３ ホストアドレス
４５ ＴＯＳフィールド
４６ 識別子フィールド
４７ フラグフィールド
４８ 送信元アドレスフィールド
４９ データフィールド
５０ 送信先アドレスフィールド
５１ ＴＯＳフィールド
５２ 上位８ビットフィールド
５３ 下位８ビットフィールド

Claims (9)

1. データ通信を行うデータ端末と、
   パケット通信の際に送信元アドレスが変換されたＩＰパケットの送信元の前記データ端末を識別する識別装置と、
   を有し、
   前記識別装置は、前記ＩＰパケットにおけるＩＰヘッダの情報のうち、前記ＩＰヘッダに含まれる識別子フィールド、およびＴＯＳフィールドに、送信元の前記データ端末を識別する端末識別情報を設定し、前記識別子フィールド、および前記ＴＯＳフィールドに設定された前記端末識別情報を取得し、前記データ端末が認証されたデータ端末であるか否かを判定することを特徴とするネットワークシステム。
2. 請求項１記載のネットワークシステムにおいて、
   前記識別装置は、前記端末識別情報を設定する際に、前記ＩＰヘッダに含まれる送信元アドレスフィールドに設定されているアドレスの下位１６ビットを構成する下位側アドレスのうち、下位８ビットの情報を前記識別子フィールドの上位８ビットに設定し、前記下位側アドレスのうち、上位８ビットを前記ＴＯＳフィールドに設定することを特徴とするネットワークシステム。
3. 請求項１または２記載のネットワークシステムにおいて、
   前記識別装置は、前記データ端末が認証されたデータ端末であるか否かを判定する際に、前記ＩＰヘッダから、送信元の前記データ端末を識別する端末識別情報を設定する端末識別情報設定部が設定した端末識別情報を抽出し、抽出した前記端末識別情報と予め設定された通信を許可するデータ端末であるかを示す認証情報との照合を行い、前記データ端末が通信許可の端末であるか否かを判定することを特徴とするネットワークシステム。
4. コンピュータシステムにより、パケット通信の際に送信元アドレスが変換されたＩＰパケットの送信元のデータ端末を識別する端末識別方法であって、
   前記ＩＰパケットにおけるＩＰヘッダの情報のうち、前記ＩＰヘッダに含まれる識別子フィールド、およびＴＯＳフィールドに、送信元の前記データ端末を識別する端末識別情報を設定するステップと、
   前記識別子フィールド、および前記ＴＯＳフィールドに設定された前記端末識別情報を取得し、前記データ端末が認証されたデータ端末であるか否かを判定するステップとを有することを特徴とする端末識別方法。
5. 請求項４記載の端末識別方法において、
   前記端末識別情報を設定するステップは、
   前記ＩＰヘッダに含まれる送信元アドレスフィールドに設定されているアドレスの下位１６ビットを構成する下位側アドレスのうち、下位８ビットの情報を前記識別子フィールドの上位８ビットに設定し、前記下位側アドレスのうち、上位８ビットを前記ＴＯＳフィールドに設定することを特徴とする端末識別方法。
6. 請求項４または５記載の端末識別方法において、
   前記データ端末が認証されたデータ端末であるか否かを判定するステップは、
   前記ＩＰヘッダから、送信元の前記データ端末を識別する端末識別情報を設定する端末識別情報設定部が設定した端末識別情報を抽出し、抽出した前記端末識別情報と予め設定された通信を許可するデータ端末であるかを示す認証情報との照合を行い、前記データ端末が通信許可の端末であるか否かを判定することを特徴とする端末識別方法。
7. データ通信の際に送信されるＩＰパケットにおけるＩＰヘッダの情報のうち、前記ＩＰヘッダに含まれる識別子フィールド、およびＴＯＳフィールドに、送信元の前記データ端末を識別する端末識別情報を設定するステップと、
   前記識別子フィールド、および前記ＴＯＳフィールドに設定された前記端末識別情報を取得し、データ通信を行うデータ端末が認証されたデータ端末であるか否かを判定するステップとをコンピュータシステムに実行させることを特徴とするプログラム。
8. 請求項７記載のプログラムにおいて、
   前記端末識別情報を設定するステップは、
   前記ＩＰヘッダに含まれる送信元アドレスフィールドに設定されているアドレスの情報のうち、下位１６ビットを構成する下位側アドレスにおける下位８ビットの情報を前記識別子フィールドの上位８ビットに設定し、前記下位側アドレスのうち、上位８ビットを前記ＴＯＳフィールドに設定することを特徴とするプログラム。
9. 請求項７または８記載のプログラムにおいて、
   前記データ端末が認証されたデータ端末であるか否かを判定するステップは、
   前記ＩＰヘッダから、設定された前記端末識別情報を抽出し、抽出した前記端末識別情報と予め設定された通信を許可するデータ端末であるかを示す認証情報との照合を行い、前記データ端末が通信許可の端末であるか否かを判定することを特徴とするプログラム。

Images