JP5955811B2 - 管理装置、管理システム、管理方法及び管理プログラム - Google Patents

Description

本発明の実施形態は、管理装置、管理システム、管理方法及び管理プログラムに関する。

従来、インターネットを用いて通信を行う場合、通信を行う装置には、動的アドレス又は固定アドレスが割り当てられる。ここで、動的アドレスとは、例えば、インターネットに接続するごとに、装置に割り当てられるＩＰアドレスである。また、固定アドレスとは、例えば、動的アドレスに対して、長期間変更されないＩＰアドレスである。

ここで、サービスを提供するサーバにクライアントが通信を行う場合には、クライアントは、サーバに割り当てられたアドレスを指定することとなる。このため、サーバには、一般的に、固定アドレスが割り当てられる。これに対して、サーバは、クライアントのアドレスが通信を行う度に異なっていても、クライアント側から通信が開始されるため、全てのクライアントのアドレスを記憶しておく必要は無い。このため、クライアントには、一般的に、動的アドレスが割り当てられる。

ところで、サーバ側では、提供するサービスに対する通信とは異なる不要な通信を排除するために、ファイアウォール（防火壁）と呼ばれる機能をサーバとクライアントとの間に設置することがある。ファイアウォールは、通信パケットに記載される宛先や送信元のアドレス、ポート番号等を監視し、予め設定されたルールと比較することにより、ルールに適合する通信（或いは、適合しない通信）に対して、許可（ＡＣＣＥＰＴ)、廃棄（ＤＲＯＰ）、拒否（ＲＥＪＥＣＴ）等の制御を行う。例えば、サーバを外部攻撃から防御するためのファイアウォールにおいては、通信を許可する宛先となるサーバのアドレス及びポート番号をルールに指定して、指定したルールに適合する通信のみを許可し、適合しない通信に対しては、廃棄又は拒否する。このとき、ルールにおいて送信元のアドレスを指定する方法としては、次の２つの方法が考えられる。

第１の方法としては、サーバとの通信を許可するクライアントのアドレスを予め決めておく方法である。すなわち、サーバ側のファイアウォールに、予め決めたアドレスを送信元とする通信のみを許可し、他のアドレスからの通信を拒否するというルールを設定する方法である。

第２の方法としては、任意のアドレスを送信元とする通信を許可する方法である。すなわち、サーバ側のファイアウォールには、アドレスとして設定可能な全てのアドレスを送信元とする通信を許可しておくことで、実質的には、クライアントのアドレスによる通信の許可／拒否の制御を行わない方法である。この方法では、ファイアウォールとは別に、サーバへの通信を許可するクライアントを認証する装置を設置し、その装置によって特定のクライアントからの通信の可否を判断する。なお、この方法は、例えば、公開サーバ用のファイアウォールを設置する場合に用いられる。

中満英生、「決定版！Ｌｉｎｕｘ（登録商標）ファイアウォール徹底運用 ｉｐｔａｂｌｅｓ 自由自在」、Ｓｏｆｔｗａｒｅ Ｄｅｓｉｇｎ、技術評論社、２００３年１０月、第２２２号、ｐ．２６−３５ 山本真里子、猪俣敦夫、岡本栄司、「侵入検知システムを用いた動的ファイアウォールの提案と実装」、ＳＣＩＳ２００６、２００６年６月、３Ｂ４−３

しかしながら、従来技術では、不特定のアドレスからの通信を防ぎつつ、動的アドレスからの通信を確保することができないという問題があった。

例えば、上記の第１の方法により、ファイアウォールにルールが設定された場合には、予め決められたクライアントのアドレスを送信元とする通信のみが許可される。このため、クライアントに割り当てられた動的アドレスを送信元とする通信が許可されていたとしても、動的アドレスが更新されると、更新後のアドレスからの通信を確保することができなかった。具体的には、動的アドレスが更新された契機や更新後のアドレスをファイアウォール側で取得できず、更新後のアドレスからの通信を確保することができなかった。

また、上記の第２の方法により、ファイアウォールにルールが設定された場合には、アドレスとして設定可能な全てのアドレスを送信元とする通信を許可してしまう。このため、サーバが提供するサービスに対する通信とは異なる不要な通信を排除することができず、不特定のアドレスからの通信が許可されていた。

開示の実施形態は、上記に鑑みてなされたものであって、不特定のアドレスからの通信を防ぐとともに、動的アドレスからの通信を確保することができる管理装置、管理システム、管理方法及び管理プログラムを提供することを目的とする。

実施形態に係る管理装置は、取得部と、通信制御部とを備える。取得部は、サービスを利用する端末を識別するための識別情報と、前記端末に割り当てられたアドレスとを対応付けて記憶する記憶部から、前記端末に割り当てられたアドレスが登録又は更新されるごとに、当該端末の識別情報に対応するアドレスを取得する。通信制御部は、前記取得部によって取得されたアドレスを送信元とし、前記サービスを提供するサーバのアドレスを宛先とする通信を許可する。

図１は、第１の実施形態に係る管理装置を含むネットワークシステムの構成例を示す図である。 図２は、ＤＢサーバに記憶されるＭＧＲＩＤ記憶部の一例を示す図である。 図３は、ＤＢサーバに記憶されるアドレス記憶部の一例を示す図である。 図４は、第１の実施形態に係るＭＧＲの構成例を示すブロック図である。 図５は、第１の実施形態に係るネットワークシステムにおける処理の流れを示すシーケンス図である。 図６Ａは、ネットワークシステムにおいて送受信される情報の一例を示す図である。 図６Ｂは、ネットワークシステムにおいて送受信される情報の一例を示す図である。 図６Ｃは、ネットワークシステムにおいて送受信される情報の一例を示す図である。 図６Ｄは、ネットワークシステムにおいて送受信される情報の一例を示す図である。 図６Ｅは、ネットワークシステムにおいて送受信される情報の一例を示す図である。 図７は、第１の実施形態に係るＭＧＲの適用例について説明するための図である。 図８は、管理プログラムを実行するコンピュータを示す図である。

以下、図面を参照して、実施形態に係る管理装置、管理システム、管理方法及び管理プログラムを説明する。なお、この実施形態によりこの発明が限定されるものではない。

（第１の実施形態）
図１を用いて、第１の実施形態に係る管理装置を含むネットワークシステムの構成例について説明する。図１は、第１の実施形態に係る管理装置を含むネットワークシステムの構成例を示す図である。図１に示すように、第１の実施形態に係るネットワークシステムは、クライアント１０と、ゲートウェイ２０と、ファイアウォール３０と、サーバ４０と、ＤＨＣＰｖ６サーバ５０と、ＤＢサーバ６０と、ＭＧＲ１００とを含む。なお、第１の実施形態においては、ネットワークシステムがインターネットプロトコル・バージョン６（ＩＰｖ６）を用いて通信を行う場合を説明するが、これに限定されるものではない。本実施形態は、例えば、インターネットプロトコル・バージョン４（ＩＰｖ４）を用いて通信を行う場合にも適用可能である。

ここで、従来技術について説明する。従来のファイアウォール３０においては、送信元のアドレスを指定する方法としては、次の２つの方法が考えられる。

第１の方法としては、サーバとの通信を許可するクライアントのアドレスを予め決めておく方法である。具体的に、Ｌｉｎｕｘにおいてｉｐ６ｔａｂｌｅｓというファイアウォール機能を利用する場合には、ファイアウォール３０に設定されるルールは、「ｉｐ６ｔａｂｌｅｓ −Ａ ＩＮＰＵＴ −ｓ ＜送信元アドレス＞ −ｄ ＜宛先アドレス＞ −ｐ ｔｃｐ −ｄｐｏｒｔ ２２ −ｊ ＡＣＣＥＰＴ」と記述される。このルールは、送信元となるクライアント１０のアドレスと，宛先となるサーバ４０のアドレス及びサーバ４０の宛先ポート番号（ここでは２２）の組を指定し、これらの組が全て一致する通信を許可する設定である。

第２の方法としては、任意のアドレスを送信元とする通信を許可する方法である。具体的に、ｉｐ６ｔａｂｌｅｓを利用する場合には、ファイアウォール３０に設定されるルールは、「ｉｐ６ｔａｂｌｅｓ −Ａ ＩＮＰＵＴ −ｓ ＄ＡＮＹ −ｄ ＜宛先アドレス＞ −ｐ ｔｃｐ −ｄｐｏｒｔ ２２ −ｊ ＡＣＣＥＰＴ」と記述される。このルールは、送信元となるクライアント１０のアドレスに「＄ＡＮＹ」を指定する。この「＄ＡＮＹ」には、ＩＰｖ６においては「：：０」が設定され、ＩＰｖ４においては「０．０．０．０／０」が設定される。

しかしながら、上記の２つの方法では、不特定のアドレスからの通信を防ぎつつ、動的アドレスからの通信を確保することができなかった。

具体的には、上記の第１の方法により、ファイアウォールにルールが設定された場合には、予め決められたクライアントのアドレスを送信元とする通信のみが許可される。このため、クライアントに割り当てられた動的アドレスを送信元とする通信が許可されていたとしても、動的アドレスが更新されると、更新後のアドレスからの通信を確保することができなかった。

また、上記の第２の方法により、ファイアウォールにルールが設定された場合には、アドレスとして設定可能な全てのアドレスを送信元とする通信を許可してしまう。このため、サーバが提供するサービスに対する通信とは異なる不要な通信を排除することができず、不特定のアドレスからの通信が許可されていた。

そこで、第１の実施形態に係るＭＧＲ１００は、不特定のアドレスからの通信を防ぐとともに、動的アドレスからの通信を確保することができるように、構成されている。以下、図１を用いて、第１の実施形態に係るＭＧＲ１００を含むネットワークシステムについて、説明する。

図１に示す例では、クライアント１０及びゲートウェイ２０は、サービス利用者のネットワークに含まれる。また、ファイアウォール３０、サーバ４０及びＭＧＲ１００は、サーバ提供業者のネットワークに含まれる。また、ＤＨＣＰｖ６サーバ５０及びＤＢサーバ６０は、ネットワーク接続業者のネットワークに含まれる。サービス利用者のネットワーク、サーバ提供業者のネットワーク及びネットワーク接続業者のネットワークは、インターネット５を介して接続される。また、ＭＧＲ１００及びＤＢサーバ６０は、任意の通信方式によって接続される。ここで、任意の通信方式とは、例えば、ＭＧＲ１００及びＤＢサーバ６０の間を専用線で結ぶ方式や、インターネット上で情報を暗号化して送受信する方式等である。

クライアント１０は、後述のサーバ４０によって提供されるサービスを利用するサービス利用者（以下、単に利用者と表記する場合がある）によって利用される端末である。クライアント１０は、ゲートウェイ２０を介して他の装置との間で各種データ（パケット）の送受信を行う。

第１の実施形態において、クライアント１０には、ＤＨＣＰｖ６（Dynamic Host Configuration Protocol version 6）で用いられるＤＵＩＤ（DHCP Unique Identifier）が付与される。ここで、ＤＵＩＤは、ＤＨＣＰにおいてサーバ及びクライアントをそれぞれ識別するための識別情報であり、ＩＥＴＦ（Internet Engineering Task Force）のＲＦＣ（Request For Comment）３３１５によって定義される。一例としては、クライアント１０には、ＤＵＩＤ「０１−２３−４５−６７−８９−ＡＢ−・・・０１」が付与される。

なお、ＤＵＩＤは、「ＸＸ−ＸＸ−ＸＸ−ＸＸ−ＸＸ−ＸＸ−・・・ＸＸ」の様式で表される。ここで、「Ｘ」には、４ビットの１６進数表示である「０〜９，Ａ〜Ｆ」のいずれかが記載される。また、連結される「ＸＸ」の数は、１つのＤＵＩＤあたり最大１２８個である。

また、第１の実施形態において、クライアント１０は、後述のＤＨＣＰｖ６サーバ５０によって割り当てられた動的アドレスを用いて、インターネット５を介した通信を行う。
ここで、動的アドレスとは、クライアント１０がインターネット５に接続するごとに、クライアント１０に割り当てられるＩＰアドレスである。つまり、クライアント１０は、インターネット５に接続するごとに、ゲートウェイ２０を介してＤＨＣＰｖ６サーバ５０に対してアドレス割り当て要求を行う。このアドレス割り当て要求には、クライアント１０のＤＵＩＤが含まれる。そして、クライアント１０は、例えば、ＤＨＣＰｖ６サーバ５０によって割り当てられたアドレス「９９９９：４５６７：８９ＡＢ：０１２３：４５６７：８９ＡＢ：０１２３：４５６７／２４」を用いて、サーバ４０と通信を行う。

なお、アドレスは、「ＹＹＹＹ：ＹＹＹＹ：ＹＹＹＹ：ＹＹＹＹ：ＹＹＹＹ：ＹＹＹＹ：ＹＹＹＹ：ＹＹＹＹ／ＭＭ」の様式で表される。ここで、「Ｙ」には、４ビットの１６進数表示である「０〜９，Ａ〜Ｆ」のいずれかが記載される。また、「ＭＭ」には、アドレスプレフィックスのプレフィックス長を示すビット数の数字が記載される。

ゲートウェイ（Ｇａｔｅｗａｙ）２０は、クライアント１０とインターネット５上の他の装置との間で各種データ（パケット）を中継する中継装置である。

ファイアウォール３０は、サーバ提供業者のネットワーク内の装置と、インターネット５上の他の装置との間で行われる通信におけるパケットを監視する。具体的には、ファイアウォール３０は、後述のＭＧＲ１００によって予め設定されたルールに基づいて、サービスを提供するサーバ４０と、インターネット５上の他の装置との間のパケットの転送を制御する。

ここで、ファイアウォール３０に設定されるルールは、例えば、ｉｐ６ｔａｂｌｅｓによって設定される。具体例を挙げると、このルールは、「ｉｐ６ｔａｂｌｅｓ −Ａ ＩＮＰＵＴ −ｓ ＜送信元アドレス＞ −ｄ ＜宛先アドレス＞ −ｐ ｔｃｐ −ｄｐｏｒｔ ２２ −ｊ ＡＣＣＥＰＴ」と記述される。なお、ファイアウォール３０に設定されるルールは、後述のＭＧＲ１００によって登録及び変更される。

サーバ４０は、インターネット５上でサービスを提供するサーバ装置である。サーバ４０は、ファイアウォール３０を介して他の装置との間で各種データ（パケット）の送受信を行う。

第１の実施形態において、サーバ４０は、固定アドレスを用いて通信を行う。例えば、サーバ４０は、固定アドレス「１１１１：２２２２：３３３３：４４４４：５５５５：６６６６：７７７７：８８８８」を用いて、クライアント１０と通信を行う。

ＤＨＣＰｖ６サーバ５０は、インターネット５を利用する利用者に、インターネット５への接続サービスを提供する装置である。例えば、ＤＨＣＰｖ６サーバ５０は、ゲートウェイ２０からのアドレス割り当て要求に応じて、インターネット標準のＲＦＣ３３１５で規定されるＤＨＣＰｖ６機能を用いて利用者にアドレス（動的アドレス）を割り当てる。

具体的には、ＤＨＣＰｖ６サーバ５０は、ゲートウェイ２０からアドレス割り当て要求を受信する。このアドレス割り当て要求には、アドレスを割り当てるクライアント１０のＤＵＩＤが含まれる。ＤＨＣＰｖ６サーバ５０は、アドレス割り当て要求に含まれるＤＵＩＤを用いて、ゲートウェイ２０を識別し、動的アドレスを利用者のクライアント１０に割り当てる。ＤＨＣＰｖ６サーバ５０は、割り当てたアドレスをゲートウェイ２０に送信する。ゲートウェイ２０は、クライアント１０に割り当てられたアドレスをクライアント１０に付与する。

また、ＤＨＣＰｖ６サーバ５０は、動的アドレスを利用者のクライアント１０に割り当てた場合、クライアント１０のＤＵＩＤと、割り当てたアドレスとを対応付けて、ＤＢサーバ６０のアドレス記憶部６２に登録する。これにより、ＤＨＣＰｖ６サーバ５０は、クライアント１０に割り当てられたアドレスを、ＤＨＣＰｖ６サーバ５０とは異なる装置から参照できるようにする。なお、アドレス記憶部６２については、後述する。

ＤＢサーバ６０は、ＤＨＣＰｖ６サーバ５０によってクライアント１０に割り当てられたアドレスを管理する。例えば、ＤＢサーバ６０は、ＭＧＲＩＤ記憶部６１と、アドレス記憶部６２とを有する。

図２は、ＤＢサーバ６０に記憶されるＭＧＲＩＤ記憶部６１の一例を示す図である。図２に示すように、ＭＧＲＩＤ記憶部６１は、ＤＵＩＤと、ＭＧＲＩＤとを対応付けて記憶する。このうち、ＤＵＩＤは、サーバ４０への通信が許可されたクライアント１０のＤＵＩＤを示す。また、ＭＧＲＩＤは、該当のＤＵＩＤによって識別されるクライアント１０とサーバ４０との間に介在するファイアウォール３０を管理するＭＧＲ１００のＩＤを示す。

図３は、ＤＢサーバ６０に記憶されるアドレス記憶部６２の一例を示す図である。図３に示すように、アドレス記憶部６２は、ＤＵＩＤと、割り当てＩＰｖ６アドレスとを対応付けて記憶する。このうち、ＤＵＩＤは、ＤＨＣＰｖ６サーバ５０によってクライアント１０に割り当てられたＤＵＩＤを示す。また、割り当てＩＰｖ６アドレスは、ＤＨＣＰｖ６サーバ５０によってクライアント１０に現在割り当てられているＩＰｖ６アドレスを示す。図３に示す例では、アドレス記憶部６２は、ＤＵＩＤ「０１−２３−４５−６７−８９−ＡＢ−・・・０１」のクライアント１０に、現在、アドレス「９９９９：４５６７：８９ＡＢ：０１２３：４５６７：８９ＡＢ：０１２３：４５６７／２４」が割り当てられていることを記憶する。

また、ＤＢサーバ６０は、ＤＨＣＰｖ６サーバ５０によってアドレス記憶部６２が登録又は更新されると、クライアント１０のアドレスが変更されたことをＭＧＲ１００へ通知する。例えば、ＤＢサーバ６０は、クライアント１０のアドレスがアドレス記憶部６２に登録又は更新されると、アドレスが登録又は変更されたクライアント１０のＤＵＩＤ「０１−２３−４５−６７−８９−ＡＢ−・・・０１」をアドレス記憶部６２から取得する。続いて、ＤＢサーバ６０は、図２のＭＧＲＩＤ記憶部６１を参照し、取得したＤＵＩＤに対応するＭＧＲＩＤ「１」及び「２」を取得する。そして、ＤＢサーバ６０は、取得したＭＧＲＩＤ「１」及び「２」によってそれぞれ識別される２つのＭＧＲ１００に対して、クライアント１０のアドレス（動的アドレス）が登録又は更新された旨を示す変更通知を送信する。

ＭＧＲ１００は、ファイアウォール３０を管理する。例えば、ＭＧＲ１００は、サーバ４０と他の装置との間の通信を制御するルールをファイアウォール３０に設定することで、ファイアウォール３０におけるパケットの転送を制御する。なお、ＭＧＲ１００は、サーバ提供業者内のサーバ４０に対して通信を許可するクライアント１０のＤＵＩＤを記憶する。

図４は、第１の実施形態に係るＭＧＲ１００の構成例を示すブロック図である。図４に示すように、ＭＧＲ１００は、取得部１１０と、設定部１２０とを有する。

取得部１１０は、アドレス記憶部６２から、クライアント１０に割り当てられたアドレスが登録又は更新されるごとに、クライアント１０のＤＵＩＤに対応するアドレスを取得する。

例えば、取得部１１０は、ＤＢサーバ６０から送信されたアドレスの変更通知を受信する。この変更通知を受信すると、取得部１１０は、クライアントアドレスのクエリをＤＢサーバ６０に対して送信する。具体的には、取得部１１０は、受信した変更通知に含まれるＤＵＩＤを用いて、登録又は更新されたアドレスを要求するためのクエリを生成する。取得部１１０は、生成したクエリをＤＢサーバ６０に対して送信する。

設定部１２０は、取得部１１０によって取得されたアドレスを送信元とし、サーバ４０のアドレスを宛先とする通信を許可する設定を行う。なお、設定部１２０は、通信制御部の一例である。

例えば、設定部１２０は、ＤＢサーバ６０からクエリに対する応答を受信する。設定部１２０は、クエリに対する応答を受信すると、ファイアウォール３０の設定変更を行う。具体的には、設定部１２０は、受信した応答から、応答に書き込まれたアドレス「０１２３：４５６７：８９ＡＢ：０１２３：４５６７：８９ＡＢ：０１２３：４５６７／２４」を取得する。そして、設定部１２０は、取得したアドレスを送信元とし、サーバ４０のアドレスを宛先とする通信を許可する設定を、ファイアウォール３０に対して行う。より具体的には、設定部１２０は、取得したアドレスを送信元とし、サーバ４０のアドレスを宛先アドレス、サーバ４０のポート番号を宛先ポート番号（例えば、２２）として指定し、これらが全て一致する通信のみを許可する設定をファイアウォール３０に対して行う。この結果、ファイアウォール３０に設定されるルールは、例えば、「ｉｐ６ｔａｂｌｅｓ −Ａ ＩＮＰＵＴ −ｓ ０１２３：４５６７：８９ＡＢ：０１２３：４５６７：８９ＡＢ：０１２３：４５６７／２４ −ｄ １１１１：２２２２：３３３３：４４４４：５５５５：６６６６：７７７７：８８８８ −ｐ ｔｃｐ −ｄｐｏｒｔ ２２ −ｊ ＡＣＣＥＰＴ」となる。

図５及び図６Ａ〜図６Ｅを用いて、第１の実施形態に係るネットワークシステムにおける処理の流れを説明する。図５は、第１の実施形態に係るネットワークシステムにおける処理の流れを示すシーケンス図である。図６Ａ〜図６Ｅは、ネットワークシステムにおいて送受信される情報の一例を示す図である。

図５に示すように、ＭＧＲ１００は、サーバ４０への通信を許可するクライアント１０のＤＵＩＤをＤＢサーバ６０に登録する（ステップＳ１０１）。例えば、ＭＧＲ１００は、クライアント１０からサーバ４０のサービスを利用する旨の要求を受け付けた場合に、クライアント１０のＤＵＩＤを受信する。そして、ＭＧＲ１００は、図６Ａに示すように、受信したＤＵＩＤ「０１−２３−４５−６７−８９−ＡＢ−・・・０１」と、ＭＧＲ１００のＭＧＲＩＤ「１」とが対応付けられた情報を含むメッセージを、ＤＢサーバ６０へ送信する。ＤＢサーバ６０は、このメッセージを受信すると、メッセージに含まれるＤＵＩＤ「０１−２３−４５−６７−８９−ＡＢ−・・・０１」及びＭＧＲＩＤ「１」を、ＭＧＲＩＤ記憶部６１に登録する。なお、クライアント１０のＤＵＩＤは、例えば、サーバ４０のサービスを利用する旨の要求を利用者が入力する際に、当該要求とともに利用者によって入力される。また、クライアント１０からサーバ４０のサービスを利用する旨の要求が行われると、サーバ４０は、予め設定されたサーバ４０自身の固定アドレスと、ポート番号とを用いて、クライアント１０からの通信の待ち受けを開始する。

続いて、ゲートウェイ２０は、クライアント１０がインターネット５に接続する場合に、ＤＨＣＰｖ６サーバ５０に対してアドレス割り当て要求を送信する（ステップＳ１０２）。ＤＨＣＰｖ６サーバ５０は、ゲートウェイ２０からアドレス割り当て要求を受信すると、ＤＨＣＰｖ６機能を用いてクライアント１０にアドレスを割り当てる（ステップＳ１０３）。そして、ゲートウェイ２０は、割り当てられたアドレスをクライアント１０に付与する。

続いて、ＤＨＣＰｖ６サーバ５０は、クライアント１０に対して割り当てたアドレスを、ＤＢサーバ６０のアドレス記憶部６２に登録する（ステップＳ１０４）。例えば、ＤＨＣＰｖ６サーバ５０は、図６Ｂに示すように、アドレスを割り当てたクライアント１０のＤＵＩＤ「０１−２３−４５−６７−８９−ＡＢ−・・・０１」と、割り当てたアドレス（ＩＰｖ６アドレス）「０１２３：４５６７：８９ＡＢ：０１２３：４５６７：８９ＡＢ：０１２３：４５６７／２４」とが対応付けられた情報を含むメッセージを、ＤＢサーバ６０へ送信する。ＤＢサーバ６０は、このメッセージを受信すると、メッセージに含まれる情報を用いて、アドレス記憶部６２にアドレスを登録又は更新する。

ここで、アドレス記憶部６２に既にＤＵＩＤ「０１−２３−４５−６７−８９−ＡＢ−・・・０１」が登録済みである場合には、ＤＢサーバ６０は、このＤＵＩＤに対応する登録済みのアドレスを、メッセージに含まれるアドレスに更新する。具体例を挙げると、ＤＢサーバ６０は、アドレス記憶部６２に登録済みのアドレス「９９９９：４５６７：８９ＡＢ：０１２３：４５６７：８９ＡＢ：０１２３：４５６７／２４」を、メッセージに含まれるアドレス「０１２３：４５６７：８９ＡＢ：０１２３：４５６７：８９ＡＢ：０１２３：４５６７／２４」に更新する。

一方、アドレス記憶部６２にＤＵＩＤ「０１−２３−４５−６７−８９−ＡＢ−・・・０１」が未登録である場合には、ＤＢサーバ６０は、メッセージに含まれるＤＵＩＤ及びアドレスを、ＤＢサーバ６０のアドレス記憶部６２に新規に登録する。具体例を挙げると、ＤＢサーバ６０は、受信したメッセージに含まれるＤＵＩＤ「０１−２３−４５−６７−８９−ＡＢ−・・・０１」及びアドレス「０１２３：４５６７：８９ＡＢ：０１２３：４５６７：８９ＡＢ：０１２３：４５６７／２４」を、ＤＢサーバ６０のアドレス記憶部６２に登録する。

続いて、ＤＢサーバ６０は、ＤＨＣＰｖ６サーバ５０によってアドレス記憶部６２が登録又は更新されると、これを契機として、クライアントアドレスの変更通知をＭＧＲ１００へ送信する（ステップＳ１０５）。例えば、ＤＢサーバ６０は、クライアント１０のアドレスがアドレス記憶部６２に登録又は更新されると、アドレスが登録又は変更されたクライアント１０のＤＵＩＤ「０１−２３−４５−６７−８９−ＡＢ−・・・０１」をアドレス記憶部６２から取得する。続いて、ＤＢサーバ６０は、図２のＭＧＲＩＤ記憶部６１を参照し、取得したＤＵＩＤに対応するＭＧＲＩＤ「１」及び「２」を取得する。そして、ＤＢサーバ６０は、取得したＭＧＲＩＤ「１」及び「２」によってそれぞれ識別される２つのＭＧＲ１００に対して、クライアント１０のアドレス（動的アドレス）が登録又は更新された旨を示す変更通知を送信する。この変更通知は、図６Ｃに示すように、アドレスに変更のあったＤＵＩＤ「０１−２３−４５−６７−８９−ＡＢ−・・・０１」を含む。

ＭＧＲ１００は、アドレスの変更通知を受信すると、クライアントアドレスのクエリをＤＢサーバ６０に対して送信する（ステップＳ１０６）。例えば、ＭＧＲ１００は、受信した変更通知に含まれるＤＵＩＤを用いて、登録又は更新されたアドレスを要求するためのクエリを生成する。このクエリは、例えば、図６Ｄに示すように、アドレスを問い合わせるＤＵＩＤ「０１−２３−４５−６７−８９−ＡＢ−・・・０１」と、応答が書き込むアドレスとが対応付けられた情報を含む。なお、ここでは、応答が書き込むアドレスは、空欄である。ＭＧＲ１００は、生成したクエリをＤＢサーバ６０に対して送信する。

ＤＢサーバ６０は、アドレスのクエリを受信すると、受信したクエリに対する応答を行う（ステップＳ１０７）。例えば、ＤＢサーバ６０は、受信したクエリから、アドレスを問い合わせるＤＵＩＤ「０１−２３−４５−６７−８９−ＡＢ−・・・０１」を取得する。そして、ＤＢサーバ６０は、図３のアドレス記憶部６２を参照し、取得したＤＵＩＤに対応する割り当てＩＰｖ６アドレス「０１２３：４５６７：８９ＡＢ：０１２３：４５６７：８９ＡＢ：０１２３：４５６７／２４」を取得する。そして、ＤＢサーバ６０は、取得した割り当てＩＰｖ６アドレスを、図６Ｅに示すように、受信したクエリに書き込む。そして、ＤＢサーバ６０は、図６Ｅに示す応答をＭＧＲ１００へ送信する。

ＭＧＲ１００は、クエリに対する応答を受信すると、ファイアウォール３０の設定変更を行う（ステップＳ１０８）。例えば、ＭＧＲ１００は、受信した応答から、応答が書き込むアドレス「０１２３：４５６７：８９ＡＢ：０１２３：４５６７：８９ＡＢ：０１２３：４５６７／２４」を取得する。そして、ＭＧＲ１００は、取得したアドレスを送信元とし、サーバ４０のアドレスを宛先とする通信を許可する設定を、ファイアウォール３０に対して行う。具体的には、ＭＧＲ１００は、取得したアドレスを送信元とし、サーバ４０のアドレスを宛先アドレス、サーバ４０のポート番号を宛先ポート番号（例えば、２２）として指定し、これらが全て一致する通信のみを許可する設定をファイアウォール３０に対して行う。より具体的には、ファイアウォール３０に設定されるルールは、例えば、「ｉｐ６ｔａｂｌｅｓ −Ａ ＩＮＰＵＴ −ｓ ０１２３：４５６７：８９ＡＢ：０１２３：４５６７：８９ＡＢ：０１２３：４５６７／２４ −ｄ １１１１：２２２２：３３３３：４４４４：５５５５：６６６６：７７７７：８８８８ −ｐ ｔｃｐ −ｄｐｏｒｔ ２２ −ｊ ＡＣＣＥＰＴ」と記述される。

これ以降、クライアント１０のインターネット接続が切断され、ゲートウェイ２０がクライアント１０のアドレス割り当て要求を再度行う場合には、上述したステップＳ１０２からステップＳ１０８までの処理を繰り返し実行する。

上述してきたように、第１の実施形態に係るＭＧＲ１００は、ＤＢサーバ６０のアドレス記憶部６２から、クライアント１０に割り当てられたアドレスが登録又は更新されるごとに、クライアント１０のＤＵＩＤに対応するアドレスを取得する。そして、ＭＧＲ１００は、取得したアドレスを送信元とし、サーバ４０のアドレスを宛先とする通信を許可する設定を行う。このため、ＭＧＲ１００は、不特定のアドレスからの通信を防ぐとともに、動的アドレスからの通信を確保することができる。

例えば、ＭＧＲ１００は、不特定のアドレスからの通信を許可しないので、不特定のアドレスからの通信を防ぐことができる。また、例えば、ＭＧＲ１００は、クライアント１０に割り当てられたアドレスが登録又は更新されたことを契機として、登録又は更新された旨の変更通知をＤＢサーバ６０から受信する。このため、ＭＧＲ１００は、登録又は更新されたクライアント１０のアドレスを取得することができるので、クライアント１０の動的アドレスが登録又は更新された場合にも、ファイアウォール３０のルールを変更することができる。

ここで、第１の実施形態に係るＭＧＲ１００の適用例について説明する。図７は、第１の実施形態に係るＭＧＲ１００の適用例について説明するための図である。図７に示す例では、サーバが提供するサービスの一例として、ＶＰＮ（Virtual Private Network）サービスが提供される場合を示す。すなわち、サーバ提供業者は、図１のサーバ４０に代えて、ＶＰＮサービスを提供するＶＰＮサーバ４１を備え、サービス利用者は、図１のクライアント１０に代えて、ＶＰＮサービスを利用するＶＰＮクライアント１１を備える。また、ＶＰＮクライアント１１とＶＰＮサーバ４１との間は、トンネル等の仮想専用回線７で接続される。図７に示す例では、利用者は、ＶＰＮクライアント１１を用いてＶＰＮサーバ４１と通信を行うことで、ＶＰＮサーバ４１によって提供される仮想的なプライベート網を利用することができる。

（第２の実施形態）
さて、これまで本発明の実施形態について説明したが、本発明は上述した実施形態以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下では第４の実施形態として本発明に含まれる他の実施形態を説明する。

例えば、上記の実施形態では、サーバ提供業者とネットワーク接続業者とが、それぞれ別々の事業主体である場合を説明したが、これに限らず、サーバ提供業者とネットワーク接続業者とが同一の事業主体であっても良い。この場合、この事業主体のネットワークには、ファイアウォール３０と、サーバ４０と、ＤＨＣＰｖ６サーバ５０と、ＤＢサーバ６０と、ＭＧＲ１００とが含まれる。

また、例えば、各装置の分散・統合の具体的形態（例えば、図１の形態）は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的又は物理的に分散・統合することができる。一例を挙げると、ＭＧＲ１００にＤＢサーバ６０の機能を統合しても良い。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

また、本実施形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

また、上記実施形態において説明したＭＧＲ１００が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。例えば、第１の実施形態に係るＭＧＲ１００が実行する処理をコンピュータが実行可能な言語で記述した管理プログラムを作成することもできる。この場合、コンピュータが管理プログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかる管理プログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録された管理プログラムをコンピュータに読み込ませて実行することにより上記第一の実施形態と同様の処理を実現してもよい。以下に、図１に示したＭＧＲ１００と同様の機能を実現する管理プログラムを実行するコンピュータの一例を説明する。

図８は、管理プログラムを実行するコンピュータ１０００を示す図である。図８に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。

メモリ１０１０は、図８に例示するように、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図８に例示するように、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、図８に例示するように、ディスクドライブ１０４１に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブに挿入される。

ここで、図８に例示するように、ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記の管理プログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０３１に記憶される。

また、上記実施形態で説明した各種データは、プログラムデータとして、例えばメモリ１０１０やハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、各手順を実行する。

なお、管理プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、管理プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

１００ ＭＧＲ
１１０ 取得部
１２０ 設定部

Claims (6)

1. サービスを利用する端末に割り当てられたアドレスの登録又は更新を示す変更通知を、異なるネットワークに設けられたＤＢサーバから専用回線或いは暗号化通信を用いて受信するごとに、前記端末を識別するための識別情報と、前記端末に割り当てられたアドレスとを対応付けて記憶する前記ＤＢサーバの記憶部から、受信した前記変更通知に示された前記端末の識別情報に対応するアドレスを、前記専用回線或いは暗号化通信を用いて取得する取得部と、
   前記取得部によって取得されたアドレスを送信元とし、前記サービスを提供するサーバのアドレスを宛先とする通信を許可する通信制御部と
   を備えたことを特徴とする管理装置。
2. サーバ側ネットワークに設けられたサービスを提供するサーバと、当該サービスを利用する端末との間に介在されるファイアウォールと、当該ファイアウォールを管理する管理装置と、前記サーバ側ネットワークとは異なるネットワークに含まれるＤＢサーバと、を備えた管理システムであって、
   前記ＤＢサーバは、
   前記端末を識別するための識別情報と、前記端末に割り当てられたアドレスとを対応付けて記憶する記憶部を備え、
   前記端末に割り当てられたアドレスが登録又は更新されたことを契機として、前記端末に割り当てられたアドレスの登録又は更新を示す変更通知を、専用回線或いは暗号化通信を用いて前記管理装置に送信し、
   前記管理装置は、
   前記変更通知を受信するごとに、前記ＤＢサーバの記憶部から、前記専用回線或いは暗号化通信を用いて、受信した前記変更通知に示された前記端末の識別情報に対応するアドレスを取得する取得部と、
   前記ファイアウォールに対して、前記取得部によって取得されたアドレスを送信元とし、前記サービスを提供するサーバのアドレスを宛先とする通信を許可する設定を行う設定部と
   を備えたことを特徴とする管理システム。
3. 前記ＤＢサーバは、
   前記管理装置の識別情報と、前記管理装置によって通信を許可された端末の識別情報とを記憶する第２の記憶部
   をさらに有し、前記端末に対応する前記管理装置に、前記変更通知を送信することを特徴とする請求項２に記載の管理システム。
4. 前記端末と、前記サーバとは、仮想専用回線で接続されることを特徴とする請求項２または３に記載の管理システム。
5. サーバ側ネットワークに設けられたサービスを提供するサーバと、当該サービスを利用する端末との間に介在されるファイアウォールと、当該ファイアウォールを管理する管理装置と、前記サーバ側ネットワークとは異なるネットワークに設けられたＤＢサーバと、を備えた管理システムで実行される管理方法であって、
   前記ＤＢサーバは、前記端末を識別するための識別情報と、前記端末に割り当てられたアドレスとを対応付けて記憶する記憶部を有し、
   前記ＤＢサーバが、前記端末に割り当てられたアドレスが登録又は更新されたことを契機として、前記端末に割り当てられたアドレスの登録又は更新を示す変更通知を、専用回線或いは暗号化通信を用いて前記管理装置に送信する送信ステップと、
   前記管理装置が、前記変更通知を受信するごとに、前記ＤＢサーバの記憶部から、前記専用回線或いは暗号化通信を用いて、受信した前記変更通知に示された前記端末の識別情報に対応するアドレスを取得する取得ステップと、
   前記管理装置が、前記ファイアウォールに対して、前記取得ステップによって取得されたアドレスを送信元とし、前記サービスを提供するサーバのアドレスを宛先とする通信を許可する設定を行う設定ステップと
   を含むことを特徴とする管理方法。
6. サービスを利用する端末に割り当てられたアドレスの登録又は更新を示す変更通知を、異なるネットワークに設けられたＤＢサーバから専用回線或いは暗号化通信を用いて受信するごとに、前記端末を識別するための識別情報と、前記端末に割り当てられたアドレスとを対応付けて記憶する前記ＤＢサーバの記憶部から、受信した前記変更通知に示された前記端末の識別情報に対応するアドレスを、前記専用回線或いは暗号化通信を用いて取得する取得手順と、
   前記サービスを提供するサーバと前記端末との間に介在されるファイアウォールに対して、前記取得手順によって取得されたアドレスを送信元とし、前記サーバのアドレスを宛先とする通信を許可する設定を行う設定手順と
   をコンピュータに実行させることを特徴とする管理プログラム。

Images