JP6007458B2

JP6007458B2 - パケット受信方法、ディープ・パケット・インスペクション装置及びシステム

Info

Publication number: JP6007458B2
Application number: JP2015518769A
Authority: JP
Inventors: 郭　建成; 建成郭; 正▲剛▼ ▲尤▼
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2012-06-30
Filing date: 2012-06-30
Publication date: 2016-10-12
Anticipated expiration: 2032-06-30
Also published as: EP2869508A4; JP2015525991A; CN102884764A; US9578040B2; CN102884764B; WO2014000303A1; US20150103688A1; EP2869508A1

Description

本発明は通信の分野に関し、より詳細には、パケット受信方法、ディープ・パケット・インスペクション装置及びシステムに関する。

今日では、インターネットサービスはますます高度化してきたとともに、サービスの種類も徐々に増加しており、ユーザ端末は、ビデオウェブサイト及びゲームウェブサイトのようなウェブサイトにアクセスでき、そのようなウェブサイトは、無料であるか、又はオペレータの要求に対して有料であるかのいずれかであり、ユーザ端末は自分で要求にアクセスすることを選択できる。

一般に、ウェブサイトにアクセスするためにユーザによって使用されるサービスサーバは、ＩＰ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ：インターネット・プロトコル）アドレスに対応し、ユーザは、訪問ウェブサイトのドメイン名及び関連情報を搬送するパケットを送信することができ、一般に、ＤＰＩ（ＤｅｅｐＰａｃｋｅｔＩｎｓｐｅｃｔｉｏｎ：ディープ・パケット・インスペクション）装置がパケット情報に対するポリシーと一致する場合、ホストフィールドを含む完全なＵＲＬ（ＵｎｉｆｏｒｍＲｅｓｏｕｒｃｅＬｏｃａｔｉｏｎ：ユニフォーム・リソース・ロケーション）情報が使用される必要があり、そのことは既存のサービスサーバのパケット処理の原理とは異なり、従って、バグはＤＰＩ装置の検出において生じる可能性がある。例えば、サービスサーバがパス情報がホストフィールドによって提供されるパスと一致しているかどうかを判断することなく、すなわち、ユーザが無許可でホストフィールドを変更したかどうかを判断することなく、パス情報に基づいてアクセス結果を返すことができるように、サービスサーバは、単にパケットのＵＲＬ内のパス情報を検査し、ホストフィールドは検査しない。結果として、ユーザは無許可でパケットを変更することを介して、有料のサービスにアクセスすることに成功できるが、ＤＰＩ装置は、有料ウェブサイトに無料でアクセスするという不正の目的を達成するために、ユーザ端末がパケット内のホストフィールドを変更したかどうかを識別することはできない。

本発明の態様は、パケット受信方法、ディープ・パケット・インスペクション装置及びシステムを提供し、それらはディープ・パケット・インスペクション装置のパケットを識別するための能力を改善することができるとともに、不十分な識別によって引き起こされるバグの発生を防ぐことができる。

上述の目的を達成するために、本発明の態様は、以下のような技術的解決手段を提供する。

本発明の１つの態様は、パケット受信方法を提供し、前記方法は以下のステップを有する。

端末装置によって送信されるサービス要求のパケットのパケットを受信するステップであって、前記パケットは、前記端末装置を示す端末ドメイン名と前記端末装置のサービス要求のサービスサーバを示すサーバドメイン名とを搬送する、ステップ。

サービスサーバのインターネット・プロトコル（ＩＰ）アドレスを取得するために、前記受信されたサーバドメイン名を解決するステップ。

前記解決されたサービスサーバのＩＰアドレスが、事前に設定されたリスト内の、前記受信された端末ドメイン名に対応する事前に設定されたサービスサーバのＩＰアドレスに属さない場合、前記パケットを破棄するステップ。

本発明の他の態様は、ディープ・パケット・インスペクション（ＤＰＩ）装置を提供する。前記装置は、以下を有する。

端末装置によって送信されるサービス要求のパケットのパケットを受信するように構成される受信部であって、前記パケットは、前記端末装置を示す端末ドメイン名と前記端末装置の前記サービス要求のサービスサーバを示すサーバドメイン名とを搬送する、受信部。

サービスサーバのインターネット・プロトコル（ＩＰ）アドレスを取得するために、前記受信部によって受信された前記サーバドメイン名を解決するように構成される解決部。

前記解決部によって解決された前記サービスサーバのＩＰアドレスが、事前に設定されたリスト内の、前記受信された端末ドメイン名に対応する前記事前に設定されたサービスサーバのＩＰアドレスに属さない場合、前記パケットを破棄するように構成される処理部。

本発明のさらに他の態様はシステムを提供し、前記システムは以下を有する。

上述のようなＤＰＩ装置。

サービス要求のパケットを前記ＤＰＩ装置に送信するように構成される端末装置であって、前記パケットは、前記端末装置を示す端末ドメイン名と前記端末装置の前記サービス要求のサービスサーバを示すサーバドメイン名とを搬送する、端末装置。

本発明の態様によって提供されるパケット受信方法、ＤＰＩ装置及びシステムに基づくと、ＤＰＩ装置は端末装置によって送信されるサービス要求のパケットを受信し、パケットは、端末装置を示す端末ドメイン名とサービス要求によって要求されるサービスサーバを示すサーバドメイン名とを搬送し、サービスサーバのインターネット・プロトコル（ＩＰ）アドレスを取得するために、受信されたサーバドメイン名を解決し、サービスサーバのＩＰアドレスが、事前に設定されたリスト内の、端末ドメイン名に対応する事前に設定されたサービスサーバのＩＰアドレスに属さない場合、パケットを破棄する。このように、ＤＰＩ装置は、パケットのサービスサーバのＩＰアドレスが事前に設定されたサービスサーバのＩＰアドレスと一致しているかどうかを判断するために、パケットのサービスサーバのＩＰアドレスを、事前に設定されたリスト内の、端末装置の端末ドメイン名と対応する事前に設定されたサービスサーバのＩＰアドレスと比較することによって、パケットが正常か異常かを判断することができ、異常なパケットを破棄することができる。それによって、ＤＰＩ装置のパケットを識別するための能力を改善するとともに、不十分な識別によってＤＰＩ装置が異常なパケットを通常通り処理してしまう場合にバグが生じることを防ぐことができる。

本発明の実施形態又は従来技術に基づいて、技術的解決手段をより明確に説明するために、以下では、本発明の実施形態又は従来技術の説明において使用される添付図面を簡潔に説明する。明らかに、以下の添付図面は単に、本発明のいくつかの実施形態を説明するためのものであるとともに、他の図面は、当業者によって創造的努力なしにこれらの図面に基づいて取得されることができる。

図１は、本発明の実施形態に係るパケット受信方法の概略フローチャートである。図２は、本発明の実施形態に係る、真のパケットと無許可で変更されたパケットとの間の比較図である。図３は、本発明の他の実施形態に係るパケット受信方法の概略フローチャートである。図４は、本発明の実施形態に係るＤＰＩ装置の概略構成図である。図５は、本発明の他の実施形態に係るＤＰＩ装置の概略構成図である。図６は、本発明の実施形態に係るシステムの概略構成図である。

以下では、本発明の実施形態における添付図面を参照して、本発明の実施形態の技術的解決手段が、明確に且つ十分に説明される。明らかに、本明細書で説明される実施形態は、本発明の実施形態の一部でしかなく、本発明の実施形態の全てではない。いかなる創造的努力もなく本発明の実施形態に基づいて当業者によって得られる他の実施形態の全ては、本発明の保護範囲内に含まれるべきである。

本発明の実施形態は、図１に示されるようなパケット受信方法を提供し、前記方法は以下のステップを有する：

Ｓ１０１：ＤＰＩ装置は、端末装置によって送信されるサービス要求のパケットを受信し、パケットは、端末装置を示す端末ドメイン名と端末装置のサービス要求のサービスサーバを示すサーバドメイン名とを搬送する。

本実施形態における適切なネットワークは、ＴＣＰ／ＩＰ（ＴｒａｎｓｍｉｓｓｉｏｎＣｏｎｔｒｏｌＰｒｏｔｏｃｏｌ／ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ：伝送制御プロトコル／インターネット・プロトコル）を基準に通信及び接続を実行してもよく、そのようなネットワークにおいては、ネットワークに接続される端末装置及びサービスサーバの各々は、ネットワーク内の何万もの端末装置及びサービスサーバを区別するために、固有の識別子を有することは留意されるべきである。一般に、そのような固有の識別子は、文字のアドレス、すなわちドメイン名であってもよい。各端末装置及び各サービスサーバは自身の固有のドメイン名を有するため、端末装置は、端末装置がＤＰＩ装置にサービスを要求するとき、端末ドメイン名として自身のドメイン名をＤＰＩ装置に通知するだけでよく、ＤＰＩ装置は、端末ドメイン名によって端末装置を発見できるとともに、端末装置によって要求されたサービスを端末装置に転送又は提供することができる。さらに、端末装置は、サーバドメイン名として、サービスサーバのドメイン名をパケット内に書き込むことによって、サービス要求によって要求されたサービスサーバへのアクセスを実施することができる。

例示的には、端末装置は、ハイパーテキストマークアップ言語ドキュメント、画像、ビデオセグメント及びプログラムのような、ネットワーク上で利用可能なリソースにアクセスする必要がある。異なるウェブサイトをサポートするサービスサーバは、固有の識別ＩＤとして見なされるサーバドメイン名によって識別されることができる。端末装置がウェブサイトにアクセスする必要がある場合、端末装置はＵＲＬパケットを送信し、ＵＲＬパケット内には、ウェブサイトに対応するサービスサーバのサーバドメイン名が書き込まれている。サーバドメイン名は、端末装置によってアクセスされる必要があるウェブサイトに対応するサービスサーバの文字アドレスである。例えば、ユーザが端末装置を使用することによって、会社Ａのウェブサイトにアクセスする必要がある場合、ＵＲＬはwww.A.comのように書かれることができる。

Ｓ１０２：ＤＰＩ装置は、サービスサーバのＩＰアドレスを取得するために、受信されたサーバドメイン名を解決する。

さらに、ＤＰＩ装置は、ローカルクエリ、キャッシュクエリ及び反復クエリの方式で解決するような、ＤＮＳ（ＤｏｍａｉｎＮａｍｅＳｅｒｖｅｒ：ドメイン・ネーム・サービス）解決をサーバドメイン名に実行し、その結果、www.baidu.comやwww.google.comといった、ユーザによって容易に記憶されるドメイン名は、1.1.1.10や2.2.2.2といった、機械が認識可能なＩＰアドレスに変換されることができるとともに、機械が認識可能なＩＰアドレスは、サービスサーバのＩＰアドレスとして見なされる。それによって、ＤＰＩ装置は、端末装置がサービスサーバのＩＰアドレスを使用することによってサービスサーバにアクセスすることを助けることができるとともに、その後、サービスサーバは端末装置に対してサービスを提供することができる。

Ｓ１０３：ＤＰＩ装置によって解決されたサービスサーバのＩＰアドレスが、事前に設定されたリスト内の、受信された端末ドメイン名に対応する事前に設定されたサービスサーバのＩＰアドレスに属さない場合、ＤＰＩ装置はパケットを破棄する。

事前に設定されたリストは、表１に示されるように、前もってＤＰＩ装置内に事前に設定され、事前に設定されたリスト内では、各端末装置の端末ドメイン名が、端末装置のアクセス権限の下でアクセス可能なサービスサーバのＩＰアドレスと対応して提供されることは留意されるべきである。アクセス可能なサービスサーバのＩＰアドレスは、事前に設定されたサービスサーバのＩＰアドレスとして見なされる。１つの端末装置は、複数の事前に設定されたサービスサーバのＩＰアドレスに対応することができる。

例示的に、表１に示されるように、端末装置Ａの端末ドメイン名はwww.huawei.comであるとともに、端末装置Ａは、２つの事前に設定されたサービスサーバのうちどちらも有料でない限り、1.1.1.1及び2.2.2.20の２つの事前に設定されたサービスサーバにのみアクセスすることができる。端末装置Ｂの端末ドメイン名はwww.google.comであり、端末装置Ｂは、2.2.2.2にアクセスすることができ、このＩＰアドレスに対応する事前に設定されたサービスサーバは有料である。図２に示されるように、www.google.comに対応するＩＰアドレスが2.2.2.2である一方で、www.huawei.comに対応するＩＰアドレスが1.1.1.1である限りは、すなわち、端末装置Ａは無料でwww.huawei.comの事前に設定されたサービスサーバにのみアクセスできるが、www.google.comの事前に設定されたサービスサーバにアクセスすることができない。従来技術においては、しかしながら、パケット内のＵＲＬを処理する間、サービスサーバは、ホストフィールドを検査することなくＧＥＴリクエスト後のパスに注目するだけでよいとともに、パス情報がホストフィールドによって提供されるパスと一致するかどうかを判断することなくＧＥＴリクエスト後のパスに基づいてアクセス結果を返す。サービスサーバはホスト後のアドレスを読むだけであるとともに、その後、ホスト後のフィールドが無料でアクセス可能なウェブサイトに対する正しいフィールドであるかどうかをチェックすることなくアクセスする。結果として、端末装置Ａがホスト後のドメイン名をwww.google.comからwww.huawei.comに変更する場合、その後、端末装置Ａはwww.google.comに無料でアクセスすることができ、アクセス結果は、ＧＥＴ後のwww.huawei.comによって端末装置Ａに返されることができる。このようにして、ユーザはパケットを変更することを介して有料のサービスへのアクセスに成功することができるが、ＤＰＩ装置は、ユーザ端末が、有料ウェブサイトに無料でアクセスするという不正の目的を達成するために、パケット内のホストフィールドを変更したかどうかを識別することはできない。

本発明の実施形態に基づいて、ＤＰＩ装置は、端末装置Ａの端末ドメイン名www.huawei.com及び事前に設定されたサービスサーバとして見なされるそのアクセス可能なサービスサーバを、事前に設定されたリスト内に設定する。端末装置Ａのために解決することによって取得されるサーバドメイン名に対応するサービスサーバのＩＰアドレスが、端末ドメイン名www.huawei.comに対応する、すなわち、端末装置Ａに対応する表１内の事前に設定されたサービスサーバのＩＰアドレスに属さない場合、例えば、サーバドメイン名を解決することによって取得されたＩＰアドレスが、1.1.1.1又は2.2.2.20のどちらでもなく、2.2.2.2である場合、その後、パケットは異常であると考えられ、端末装置Ａが、無許可でパケットを変更することを介して、有料のサービスにアクセスすることに成功することを防止するために、異常なパケットは破棄される。サーバドメイン名を解決することによって取得されるＩＰアドレスが、1.1.1.1及び2.2.2.20の１つである、2.2.2.20である場合、その後、パケットは正常であると考えられ、サービスサーバがサービス要求に対応するサービスを端末装置Ａに提供するように、パケットによって要求されたサービス要求に基づいて、端末装置ＡとＩＰアドレスが2.2.2.20であるサービスサーバとの間の接続を確立する。

本発明の実施形態に基づくパケット受信方法では、ＤＰＩ装置は端末装置によって送信されるサービス要求のパケットを受信し、パケットは端末装置を示す端末ドメイン名とサービス要求によって要求されるサービスサーバを示すサーバドメイン名とを搬送し、サービスサーバのインターネット・プロトコル（ＩＰ）アドレスを取得するために、受信されたサーバドメイン名を解決し、サービスサーバのＩＰアドレスが事前に設定されたリスト内の端末ドメイン名に対応する事前に設定されたサービスサーバのＩＰアドレスに属さない場合、パケットを破棄する。このように、ＤＰＩ装置は、パケットのサービスサーバのＩＰアドレスが事前に設定されたサービスサーバのＩＰアドレスと一致しているかどうかを判断するために、パケットのサービスサーバのＩＰアドレスを、事前に設定されたリスト内の、端末装置の端末ドメイン名と対応する事前に設定されたサービスサーバのＩＰアドレスと比較することによって、パケットが正常か異常かを判断することができ、異常なパケットを破棄することができる。それによって、ＤＰＩ装置のパケットを識別するための能力を改善するとともに、不十分な識別によってＤＰＩ装置が異常なパケットを通常通り処理してしまう場合にバグが生じることを防ぐことができる。

本発明の他の実施形態に基づくパケット受信方法は、実施例としてＤＮＳ解決機能を有するゲートウェイ装置を挙げることによって説明され、ＤＮＳ解決機能を有する他の装置もまた、本発明の保護範囲内に含まれるべきである。図３に示されるように、前記方法は以下のステップを有してもよい。

Ｓ２０１：ゲートウェイ装置は、端末装置によって送信されるＤＮＳパケットを受信し、ＤＮＳパケットは、端末装置を示す端末ドメイン名と端末ドメイン名に対応する少なくとも１つのアクセス可能なサービスサーバの真のドメイン名とを搬送する。

前記ゲートウェイ装置は、アイドル時間中にＤＮＳクエリ要求を端末装置に送信してもよく、その結果、各端末装置は、ＤＮＳパケットをゲートウェイ装置に送信することが指摘されるべきである。又は、クエリ要求を送信することなく端末装置のＤＮＳパケットを受信するとき、ゲートウェイ装置はまた、ＤＮＳパケットに含まれて搬送される、端末装置を示す端末ドメイン名と端末ドメイン名に対応する少なくとも１つのアクセス可能なサービスサーバの真のドメイン名とを取得してもよい。

Ｓ２０２：ゲートウェイ装置は、少なくとも１つのアクセス可能なサービスサーバのＩＰアドレスを取得するために、受信された真のドメイン名を解決する。

前記ゲートウェイ装置は、無料でアクセスされることができるＩＰアドレスのような、端末装置がアクセスすることを許可されているサーバのＩＰアドレスを取得するために、真のドメイン名を解決することは留意されるべきである。

Ｓ２０３：ゲートウェイ装置は、解決された少なくとも１つのアクセス可能なサービスサーバのＩＰアドレスを事前に設定されたサービスサーバのＩＰアドレスとして見なし、端末ドメイン名と事前に設定されたリスト内の事前に設定されたサービスサーバのＩＰアドレスとの間の対応関係を設定する。

例示的に、ゲートウェイ装置は、端末ドメイン名HTTP/1.1\r\nと事前に設定されたリスト内の2.2.2.20及び1.1.1.1のような、端末装置Ａの解決されたアクセス可能なサービスサーバのＩＰアドレスとの間の対応関係を設定し、アクセス可能なサービスサーバのＩＰアドレスは、事前に設定されたサービスサーバのＩＰアドレスと呼ばれる。端末ドメイン名HTTP/1.2\r\nと事前に設定されたリスト内の2.2.2.2のような、端末装置Ｂの解決されたアクセス可能なサービスサーバのＩＰアドレスとの間の対応関係を設定し、アクセス可能なサービスサーバのＩＰアドレスは、事前に設定されたサービスサーバのＩＰアドレス等と呼ばれる。従って、事前に設定されたリストが確立され、その結果、ゲートウェイ装置はその後受信された端末ドメイン名に対応する端末装置Ａ又は端末装置Ｂによって要求されたサービスサーバがアクセス可能な範囲内にあるか否かを、リスト内の端末ドメイン名に対応する事前に設定されたサービスサーバのＩＰアドレスに基づいて判断することができる。

Ｓ２０１、Ｓ２０２及びＳ２０３がＳ２０６、Ｓ２０７又はＳ２０８より前に実行される限り、Ｓ２０１、Ｓ２０２、Ｓ２０３、Ｓ２０４及びＳ２０５間に順序関係はないことが留意されるべきである。

Ｓ２０４：ゲートウェイ装置は、端末装置によって送信されるサービス要求のパケットを受信し、パケットは、端末装置を示す端末ドメイン名と端末装置のサービス要求のサービスサーバを示すサーバドメイン名とを搬送する。

Ｓ２０５：ゲートウェイ装置は、サービスサーバのインターネット・プロトコル（ＩＰ）アドレスを取得するために、受信されたサーバドメイン名を解決する。

Ｓ２０５の後、解決されたサービスサーバのＩＰアドレスが、事前に設定されたリスト内の、受信された端末ドメイン名に対応する事前に設定されたサービスサーバのＩＰアドレスに属さない場合、その後ステップＳ２０６を実行し、解決されたサービスサーバのＩＰアドレスが、事前に設定されたリスト内の、受信された端末ドメイン名に対応する事前に設定されたサービスサーバのＩＰアドレスに属する場合、その後ゲートウェイ装置の要求に基づいてステップＳ２０７又はＳ２０８を実行することが留意されるべきである。

Ｓ２０６：ゲートウェイ装置はパケットを破棄する。

解決されたサービスサーバのＩＰアドレスが、事前に設定されたリスト内の、受信された端末ドメイン名に対応する事前に設定されたサービスサーバのＩＰアドレスに属さないため、ゲートウェイ装置は、パケットが悪意のある及び不正なパケット又は異常なパケットであると判断して、パケットを破棄することができ、具体的な方法は、上述の実施形態において開示されており、ここでは繰り返されない。

Ｓ２０７：ゲートウェイ装置は、端末装置とサービスサーバのＩＰアドレスに対応するサービスサーバとの間の接続を確立し、その結果、サービスサーバは端末装置のサービス要求に対応するサービスを端末装置に提供する。

解決されたサービスサーバのＩＰアドレスは、事前に設定されたリスト内の、受信された端末ドメイン名に対応する事前に設定されたサービスサーバのＩＰアドレスに属するため、すなわち、端末装置は、アクセス可能なサービスサーバに通常通りアクセスするだけでよいため、その後ゲートウェイ装置は、端末装置とサービスサーバとの間の接続を確立することができ、その結果、サービスサーバは、端末装置によって要求される、ビデオデータ又はオーディオデータのようなサービスを端末装置に提供することは留意されるべきである。

Ｓ２０８：ゲートウェイ装置は、端末装置の端末ドメイン名に基づいてサービス要求のサービスタイプを決定する。

例示的に、ゲートウェイ装置が端末装置によって送信される暗号化されたサービスタイプを識別する必要があるか、又は絶えず変化するＩＰアドレスを有する端末装置のサービスタイプを識別する必要がある場合、サービスタイプは端末ドメイン名と事前に設定されたリスト内の事前に設定されたサービスサーバのＩＰアドレスとを比較することによって取得されてもよい。すなわち、端末装置によって要求されるサービスが暗号化される場合、例えば、特定のダウンロードツール又は特定のメールツールが暗号化される場合、その後、ゲートウェイ装置はこれらの暗号化されたアプリケーションのＵＲＬのような特徴を解決することによって具体的なサービスアプリケーションのタイプを取得することはできないが、しかしながら、ゲートウェイは、全てのダウンロードツールを制限する必要がある。このとき、事前に設定されたリスト内の事前に設定されたサービスサーバのＩＰアドレスと端末装置のサービスサーバのＩＰアドレスが同じであることを判断した後、ゲートウェイ装置は自動的に、事前に設定されたリスト内の端末装置の端末ドメイン名に基づいて、サービスタイプを一致させる。端末装置Ａのサービスタイプが暗号化されたダウンロードツールであるとともに、端末装置Ｂのサービスタイプが暗号化されたメールツールである場合、その後、ゲートウェイ装置は、端末装置Ａのダウンロードを識別及び制限することができる。このようにして、解決中に、反認識ソフトウェアが検出されるため、サービスタイプは取得されることはできないとともに、暗号化されたサービスタイプは操作されることができないという状況が回避されることができる。

さらに、端末装置Ｂのサービスタイプが暗号化されたメールダウンロードであるとともに、サービスタイプが重要な特徴及び特定のＩＰアドレスを有しない場合、すなわち、ＩＰアドレスが動的な状態にあるとき、その後、事前に設定されたリスト内の事前に設定されたサービスサーバのＩＰアドレスと端末装置のサービスサーバのＩＰアドレスが同じであると事前に設定されたリストに基づいて判断したあと、ゲートウェイ装置は、事前に設定されたリスト内の端末装置Ｂの端末ドメイン名に基づいて端末装置Ｂを取得するとともに、従って、特定のサービスタイプを識別する。ドメイン名とサービスタイプとの間の対応関係がゲートウェイ装置内で構成される場合、例えば、ドメイン名www.gmail.comに対応するサービスタイプがEメールとして構成される場合、ゲートウェイ装置は、端末装置Ｂのサービスタイプは、端末ドメイン名www.gmail.comに基づいてメールであると判断することができる。

ステップＳ２０７又はステップＳ２０８のいずれかが、ゲートウェイ装置によって要求される異なる処理方式に基づいて実行されるように選択されてもよいことは留意されるべきである。具体的には、ゲートウェイ装置が、パケットが正常であることを判断する必要があるとともに端末装置とサービスサーバとの間の接続を確立する必要がある場合、ゲートウェイ装置はＳ２０７を実行する。ゲートウェイ装置がサービスタイプを知る必要がある場合、ゲートウェイ装置はＳ２０８を実行する。

本発明の実施形態に基づくパケット受信方法においては、ゲートウェイ装置は端末装置によって送信されるサービス要求のパケットを受信し、パケットは、端末装置を示す端末ドメイン名とサービス要求によって要求されるサービスサーバを示すサーバドメイン名とを搬送し、サービスサーバのインターネット・プロトコル（ＩＰ）アドレスを取得するために、受信されたサーバドメイン名を解決し、サービスサーバのＩＰアドレスが、事前に設定されたリスト内の、端末ドメイン名に対応する事前に設定されたサービスサーバのＩＰアドレスに属さない場合、パケットを破棄する。このように、ゲートウェイ装置は、パケットのサービスサーバのＩＰアドレスが事前に設定されたサービスサーバのＩＰアドレスと一致しているかどうかを判断するために、パケットのサービスサーバのＩＰアドレスを、事前に設定されたリスト内の、端末装置の端末ドメイン名と対応する事前に設定されたサービスサーバのＩＰアドレスと比較することによって、パケットが正常か異常かを判断することができ、異常なパケットを破棄することができる。それによって、ゲートウェイ装置のパケットを識別するための能力を改善するとともに、不十分な識別によってゲートウェイ装置が異常なパケットを通常通り処理してしまう場合にバグが生じることを防ぐことができる。

本発明の実施形態はＤＰＩ装置３０を提供し、ＤＰＩ装置３０は、図４に示されるように、以下を有する。

前記ＤＰＩ装置３０は、端末装置４０によって送信されるサービス要求のパケットを受信するように構成される受信部３０１を有し、パケットは、端末装置４０を示す端末ドメイン名と端末装置４０のサービス要求のサービスサーバを示すサーバドメイン名とを搬送する。

ＤＰＩ装置３０は、端末装置４０が、ここでは詳細に説明はされないが、サービス要求によって要求されるサービスを取得することができるように、端末装置４０と、受信部３０１によって受信される端末ドメイン名及びサーバドメイン名に基づいて端末装置４０によって要求されるサービスサーバとの間の接続を確立することができることは留意されるべきである。

前記ＤＰＩ装置３０は、サービスサーバのインターネット・プロトコル（ＩＰ）アドレスを取得するために、受信部３０１によって受信されたサーバドメイン名を解決するように構成される解決部３０２を有する。

前記解決部３０２は、ユーザによって容易に記憶されるドメイン名と機械が認識可能なＩＰアドレスとの間の相互変換を行うことができることは留意されるべきである。

前記ＤＰＩ装置３０は、解決部３０２によって解決されたサービスサーバのＩＰアドレスが、受信部３０１によって受信された端末ドメイン名に対応する、事前に設定されたリスト内の事前に設定されたサービスサーバのＩＰアドレスに属さない場合、パケットを破棄するように構成される処理部３０３を有する。

事前に設定されたリスト内の、受信部３０１によって受信された端末ドメイン名が、アクセス可能で、且つ端末ドメイン名に対応するべきサービスサーバ、すなわち、事前に設定されたリスト内に記録された事前に設定されたサービスサーバに対応しない場合、アクセスされたパケットは、悪意のある及び不正なパケット、及び有料ウェブサイトに無料でアクセスするためのパケットのような、異常なパケットであることを証明し、処理部３０３はパケットを破棄することは留意されるべきである。

前記処理部３０３はさらに、解決部３０２によって解決されたサービスサーバのＩＰアドレスが、受信部３０１によって受信された、事前に設定されたリスト内の、端末ドメイン名に対応する事前に設定されたサービスサーバのＩＰアドレスに属する場合、端末装置４０とサービスサーバのＩＰアドレスに対応するサービスサーバとの間の接続を確立するように構成され、その結果、サービスサーバは、端末装置４０のサービス要求に対応するサービスを、端末装置４０に提供する。あるいは、解決部３０２によって解決されたサービスサーバのＩＰアドレスが、受信部３０１によって受信された、事前に設定されたリスト内の、端末ドメイン名に対応する事前に設定されたサービスサーバのＩＰアドレスに属する場合、処理部３０３は、端末装置４０の端末ドメイン名に基づいて、サービス要求のサービスタイプを決定する。

さらに、ＤＰＩ装置３０は、図５に示されるように、以下をまた有する。

前記ＤＰＩ装置３０は、端末装置４０にＤＮＳクエリ要求を送信するように構成され、その結果、端末装置４０はＤＮＳパケットを送信する、送信部を有する。

前記受信部３０１がさらに端末装置４０によって送信されるＤＮＳパケットを受信するように構成される場合、ＤＮＳパケットは、端末ドメイン名と、端末ドメイン名に対応する少なくとも１つのアクセス可能なサービスサーバの真のドメイン名とを搬送する。

前記解決部３０２はさらに、少なくとも１つのアクセス可能なサービスサーバのＩＰアドレスを取得するために、受信部３０１によって受信された真のドメイン名を解決するように構成される。

このとき、処理部３０３は、受信部３０１によって受信された端末ドメイン名と、事前に設定されたリスト内の、解決部３０２によって解決された少なくとも１つのアクセス可能なサービスサーバのＩＰアドレスとの間の対応関係を設定し、少なくとも１つのアクセス可能なサービスサーバのＩＰアドレスは、事前に設定されたサービスサーバのＩＰアドレスとして見なされ、その結果、次の受信部３０１は、パケットによってアクセスされるべきサービスサーバのＩＰアドレスが、事前に設定されたリスト内の、端末ドメイン名に対応する、事前に設定されたサービスサーバのＩＰアドレスに対応しない場合、パケットに対する通常の処理を行うことを回避するために、サービス要求のパケットを受信した後、端末ドメイン名に基づいて、事前に設定されたリスト内における比較を実行する。

上述のＤＰＩ装置３０は、上述の方法の実施形態に対応するとともに、ＤＰＩ装置３０は、上述の方法の実施形態のステップにおいて適用されることができ、各ステップ内の具体的なアプリケーションは、上述の方法の実施形態を参照してもよいとともに、ここでは詳細に説明はされない。

本発明の実施形態はＤＰＩ装置３０を提供する。ＤＰＩ装置３０は端末装置４０によって送信されるサービス要求のパケットを受信し、パケットは端末装置４０を示す端末ドメイン名とサービス要求によって要求されるサービスサーバを示すサーバドメイン名とを搬送し、サービスサーバのインターネット・プロトコル（ＩＰ）アドレスを取得するために、受信されたサーバドメイン名を解決し、サービスサーバのＩＰアドレスが事前に設定されたリスト内の端末ドメイン名に対応する事前に設定されたサービスサーバのＩＰアドレスに属さない場合、パケットを破棄する。このように、ＤＰＩ装置３０は、パケットのサービスサーバのＩＰアドレスが事前に設定されたサービスサーバのＩＰアドレスと一致しているかどうかを判断するために、パケットのサービスサーバのＩＰアドレスを、事前に設定されたリスト内の、端末装置４０の端末ドメイン名と対応する事前に設定されたサービスサーバのＩＰアドレスと比較することによって、パケットが正常か異常かを判断することができ、異常なパケットを破棄することができる。それによって、ＤＰＩ装置３０のパケットを識別するための能力を改善するとともに、不十分な識別によってＤＰＩ装置が異常なパケットを通常通り処理してしまう場合にバグが生じることを防ぐことができる。

本発明の実施形態はシステムを提供し、図６に示されるように、以下を有する。

前記システムは、端末装置４０によって送信されるサービス要求のパケットを受信するように構成され、パケットは、端末装置４０を示す端末ドメイン名と、サービスサーバを示すサーバドメイン名とを搬送し；サービスサーバのインターネット・プロトコル（ＩＰ）アドレスを取得するために、受信されたサービスサーバのドメイン名を解決するように構成され；サービスサーバのＩＰアドレスが、事前に設定されたリスト内の、端末ドメイン名に対応する事前に設定されたサービスサーバのＩＰアドレスに属さない場合、パケットを破棄するように構成される、ＤＰＩ装置３０を有する。

前記システムは、サービス要求のパケットをＤＰＩ装置３０に送信するように構成される、端末装置４０を有する。

上述のＤＰＩ装置３０及び端末装置４０は、上述の方法の実施形態に対応し、ＤＰＩ装置３０及び端末装置４０は、上述の方法の実施形態のステップにおいて適用されることができ、各ステップ内の具体的なアプリケーションは、上述の方法の実施形態を参照してもよい。ＤＰＩ装置３０の具体的な構成と、端末及び上述の実施形態によって提供されるＤＰＩ装置の構成は同じであり、ここでは詳細に説明はされない。

本発明の実施形態に基づくシステムにおいて、ＤＰＩ装置３０は端末装置４０によって送信されるサービス要求のパケットを受信し、パケットは端末装置４０を示す端末ドメイン名とサービス要求によって要求されるサービスサーバを示すサーバドメイン名とを搬送し、サービスサーバのインターネット・プロトコル（ＩＰ）アドレスを取得するために、受信されたサーバドメイン名を解決し、サービスサーバのＩＰアドレスが事前に設定されたリスト内の端末ドメイン名に対応する事前に設定されたサービスサーバのＩＰアドレスに属さない場合、パケットを破棄する。このように、ＤＰＩ装置３０は、パケットのサービスサーバのＩＰアドレスが事前に設定されたサービスサーバのＩＰアドレスと一致しているかどうかを判断するために、パケットのサービスサーバのＩＰアドレスを、事前に設定されたリスト内の、端末装置４０の端末ドメイン名と対応する事前に設定されたサービスサーバのＩＰアドレスと比較することによって、パケットが正常か異常かを判断することができ、異常なパケットを破棄することができる。それによって、ＤＰＩ装置３０のパケットを識別するための能力を改善するとともに、不十分な識別によってＤＰＩ装置が異常なパケットを通常通り処理してしまう場合にバグが生じることを防ぐことができる。

上述の説明は、単に、本発明のいくつかの具体的な実施形態であるが、本発明の保護範囲を限定するものではない。本発明の技術範囲内で当業者によって容易に導出されることができるいかなる修正、変更又は置換は、本発明の保護範囲内に含まれるべきである。従って、本発明の保護範囲は、添付の特許請求の範囲に属する。

３０ＤＰＩ装置
４０端末装置
３０１受信部
３０２解決部
３０３処理部

Claims

パケット受信方法であって、
ディープ・パケット・インスペクション（ＤＰＩ）装置によって、端末装置によって送信されるサービス要求のパケットを受信するステップであって、前記パケットは、前記端末装置を示す端末ドメイン名と前記端末装置の前記サービス要求のサービスサーバを示すサーバドメイン名とを搬送する、ステップと、
前記ＤＰＩ装置によって、サービスサーバのインターネット・プロトコル（ＩＰ）アドレスを取得するために、前記受信されたサーバドメイン名を解決するステップと、
前記ＤＰＩ装置によって、前記サービスサーバのＩＰアドレスが、事前に設定されたリスト内の、前記受信された端末ドメイン名に対応する事前に設定されたサービスサーバのＩＰアドレスに属さない場合、前記パケットを破棄するステップと
を有するパケット受信方法。
前記解決されたサービスサーバのＩＰアドレスが、事前に設定されたリスト内の、前記受信された端末ドメイン名に対応する前記事前に設定されたサービスサーバのＩＰアドレスに属さない場合、前記パケットを破棄する前記ステップの前に、
前記端末装置によって送信されるドメイン・ネーム・システム（ＤＮＳ）パケットを受信するステップであって、前記ＤＮＳパケットは、前記端末ドメイン名と、前記端末ドメイン名に対応する少なくとも１つのアクセス可能なサービスサーバの真のドメイン名とを搬送する、ステップと、
少なくとも１つのアクセス可能なサービスサーバのＩＰアドレスを取得するために、前記受信された真のドメイン名を解決するステップと、
前記解決された少なくとも１つのアクセス可能なサービスサーバのＩＰアドレスを、前記事前に設定されたサービスサーバのＩＰアドレスとして見なすことによって、前記端末ドメイン名と前記事前に設定されたリスト内の前記事前に設定されたサービスサーバのＩＰアドレスとの間の対応関係を設定するステップと
をさらに有する、請求項１に記載のパケット受信方法。
前記端末装置によって送信される前記ＤＮＳパケットを受信する前記ステップの前に、
前記端末装置にＤＮＳクエリ要求を送信するステップであって、その結果、前記端末装置はＤＮＳパケットを送信する、ステップ
をさらに有する、請求項２に記載のパケット受信方法。
前記サービスサーバのＩＰアドレスを取得するために、前記受信されたサーバドメイン名を解決する前記ステップの後に、
前記解決されたサービスサーバのＩＰアドレスが、前記事前に設定されたリスト内の、前記受信された端末ドメイン名に対応する前記事前に設定されたサービスサーバのＩＰアドレスに属する場合、前記端末装置と、前記サービスサーバのＩＰアドレスに対応する前記サービスサーバとの間の接続を確立するステップ
をさらに有する、請求項１乃至３のいずれか１項に記載のパケット受信方法。
前記サービスサーバのＩＰアドレスを取得するために、前記受信されたサーバドメイン名を解決する前記ステップの後に、
前記解決されたサービスサーバのＩＰアドレスが、前記事前に設定されたリスト内の、前記受信された端末ドメイン名に対応する前記事前に設定されたサービスサーバのＩＰアドレスに属する場合、前記端末装置の前記端末ドメイン名と前記事前に設定されたリスト内の前記事前に設定されたサービスサーバのＩＰアドレスとを比較することによって、前記サービス要求のサービスタイプを決定するステップ
をさらに有する、請求項１乃至３のいずれか１項に記載のパケット受信方法。
ディープ・パケット・インスペクション（ＤＰＩ）装置であって、
端末装置によって送信されるサービス要求のパケットを受信するように構成される受信部であって、前記パケットは、前記端末装置を示す端末ドメイン名と前記端末装置の前記サービス要求のサービスサーバを示すサーバドメイン名とを搬送する、受信部と、
サービスサーバのインターネット・プロトコル（ＩＰ）アドレスを取得するために、前記受信部によって受信された前記サーバドメイン名を解決するように構成される解決部と、
前記解決部によって解決された前記サービスサーバのＩＰアドレスが、事前に設定されたリスト内の、前記受信された端末ドメイン名に対応する事前に設定されたサービスサーバのＩＰアドレスに属さない場合、前記パケットを破棄するように構成される処理部と
を有する、ＤＰＩ装置。
前記受信部はさらに、前記端末装置によって送信されるドメイン・ネーム・システム（ＤＮＳ）パケットを受信するように構成され、前記ＤＮＳパケットは、前記端末ドメイン名と、前記端末ドメイン名に対応する少なくとも１つのアクセス可能なサービスサーバの真のドメイン名とを搬送し、
前記解決部はさらに、少なくとも１つのアクセス可能なサービスサーバのＩＰアドレスを取得するために、前記受信部によって受信された前記真のドメイン名を解決するように構成され、
前記処理部はさらに、前記解決部によって解決された前記少なくとも１つのアクセス可能なサービスサーバのＩＰアドレスを、前記事前に設定されたサービスサーバのＩＰアドレスとして見なすとともに、前記端末ドメイン名と前記事前に設定されたリスト内の前記事前に設定されたサービスサーバのＩＰアドレスとの間の対応関係を設定するように構成される
請求項６に記載のＤＰＩ装置。
前記端末装置にＤＮＳクエリ要求を送信するように構成される、送信部
をさらに有する、請求項７に記載のＤＰＩ装置。
前記処理部はさらに、前記解決部によって解決された前記サービスサーバのＩＰアドレスが、前記受信部によって受信された、前記事前に設定されたリスト内の、前記受信された端末ドメイン名に対応する前記事前に設定されたサービスサーバのＩＰアドレスに属する場合、前記端末装置と、前記サービスサーバのＩＰアドレスに対応する前記サービスサーバとの間の接続を確立するように構成される
請求項６乃至８のいずれか１項に記載のＤＰＩ装置。
前記処理部はさらに、前記解決部によって解決された前記サービスサーバのＩＰアドレスが、前記受信部によって受信された、前記事前に設定されたリスト内の、前記受信された端末ドメイン名に対応する前記事前に設定されたサービスサーバのＩＰアドレスに属する場合、前記端末装置の前記端末ドメイン名と前記事前に設定されたリスト内の前記事前に設定されたサービスサーバのＩＰアドレスとを比較することによって、前記サービス要求のサービスタイプを決定するように構成される
請求項６又は８に記載のＤＰＩ装置。
請求項６乃至１０のいずれか１項に記載のＤＰＩ装置と、
サービス要求の前記パケットを前記ＤＰＩ装置に送信するように構成される端末装置であって、前記パケットは、前記端末装置を示す前記端末ドメイン名と前記端末装置の前記サービス要求の前記サービスサーバを示す前記サーバドメイン名とを搬送する、端末装置と
を有するシステム。