JP7158826B2 - 通信制御装置、通信制御システム及び通信制御方法 - Google Patents

Description

本発明は、通信制御装置、通信制御システム及び通信制御方法に関する。

近年において、いわゆるダイオードのように一方向への通信のみを許可することで、通信セキュリティの向上を図るデータダイオードシステム（片方向ゲートウェイシステム）が知られている。このデータダイオードシステムは、外部機器との間で通信を行う外部通信用プロキシサーバと、内部機器との間で通信を行う内部通信用プロキシサーバを有している。

内部通信用プロキシサーバは、内部機器に対してアクセスすることで、外部機器との通信に必要な情報を取得してデータベースに記憶する。また、外部通信用プロキシサーバは、外部通信用プロキシサーバのデータベースに、内部通信用プロキシサーバのデータベースのレプリケーションを記憶する。そして、外部通信用プロキシサーバは、外部機器からの要求に対して、内部通信用プロキシサーバのデータベースのレプリケーションに基づいて応答する。

一方、特許文献１（特開２０１５－１１５８３２号公報）に、多種多様なプロトコルの相違を吸収し、データの適切な中継処理を実現することを目的とした中継装置が開示されている。この中継装置が適用された通信システムは、外部機器との間の通信を行う外部用ＨＴＴＰサーバと、内部機器との間で通信を行う内部用ＨＴＴＰサーバを有する。外部用ＨＴＴＰサーバは、外部機器からメッセージが得られるとトランザクションを完結させる。中継装置は、外部用ＨＴＴＰサーバで得られたメッセージに所定のフィルタリング処理を施し、内部用ＨＴＴＰサーバに転送する。内部用ＨＴＴＰサーバは、新たにトランザクションを発生させて、中継装置から転送されたメッセージを内部機器に通知してトランザクションを完結する。

すなわち、特許文献１に開示されている通信システムは、外部機器と外部用ＨＴＴＰサーバの間で一つのトランザクションを完結させると共に、内部機器と内部用ＨＴＴＰサーバの間で一つのトランザクションを完結させる。そして、中継装置において、各ＨＴＴＰサーバの間におけるメッセージを中継して送受信する。

しかし、従来のデータダイオードシステムは、外部通信用プロキシサーバ及び内部通信用プロキシサーバの両方に、それぞれ上述のデータベースを設ける必要がある。このため、部品点数が多くなることで構成が複雑化し、システムの構築に要するコストが高くなる問題があった。

また、従来のデータダイオードシステムは、既存のネットワーク構成を大幅に変更する必要がある。すなわち、内部機器は、内部通信用プロキシサーバと通信を行うネットワーク構成に改変し、外部機器は、外部通信用プロキシサーバに対して要求を行うネットワーク構成に改変する必要がある。これは、データダイオードシステムを適用するには、既存のネットワークシステム全体を再構築する必要があることを意味する。

このため、従来のデータダイオードシステムは、既存のネットワークシステムに、途中から適用するには適していないシステムとなっていた。具体的には、例えば工場における生産工程の自動化を図るファクトリーオートメーションシステム（ＦＡシステム）に、従来のデータダイオードシステムを適用するには、ＦＡシステムを構築する段階（初期の段階）から適用することが必要となる。ＦＡシステムが構築された後に、途中から従来のデータダイオードシステムを適用することは、ＦＡシステム全体を再構築する必要があることから大変困難となる。

本発明は、上述の課題に鑑みてなされたものであり、内部ネットワークの通信セキュリティを強固にでき、既存のネットワークシステムに対しても簡単かつ安価に中途導入できるような通信制御装置、通信制御システム及び通信制御方法の提供を目的とする。

上述した課題を解決し、目的を達成するために、本発明は、外部ネットワークに接続された外部機器との間で通信を行うハードウェアで構成されたアウター通信部と、内部ネットワークに接続された内部機器との間で通信を行うハードウェアで構成されたインナー通信部と、アウター通信部が受信した内部機器宛のメッセージにセキュアなフィルタリング処理を施してインナー通信部に供給し、インナー通信部が受信した外部機器宛のメッセージにフィルタリング処理を施すことなく、又は、所定のフィルタリング処理を施して、アウター通信部に供給するハードウェアで構成された変換部と、を備え、変換部によるフィルタリング処理を介した、外部機器及び内部機器用の２つのセッションを同時に確立する双方向通信制御を行い、アウター通信部は、外部機器または当該外部機器と当該アウター通信部との間に設置されたルータから内部機器に宛てたアドレス解決要求に対し、通信制御装置の固有情報を返信し、インナー通信部は、予め所定の内部機器の識別情報を有しており、当該識別情報で示される所定の内部機器に合致しない内部機器からのアドレス解決要求には応答しないことを特徴とする。

本発明によれば、内部ネットワークの通信セキュリティを強固にでき、また、既存のネットワークシステムに対しても簡単かつ安価に中途導入できるという効果を奏する。

図１は、実施の形態の通信制御システムのシステム構成を示す図である。 図２は、実施の形態の通信制御システムの変形例となるシステム構成を示す図である。 図３は、実施の形態の通信制御システムの、さらなる変形例となるシステム構成を示す図である。 図４は、実施の形態の通信制御システムに設けられている通信制御装置のブロック図である。 図５は、実施の形態の通信制御システムに設けられている通信制御装置における、内部機器のＩＰアドレスの登録動作を説明するための図である。 図６は、実施の形態の通信制御システムに設けられている通信制御装置の動作を説明するためのシーケンス図である。

以下、実施の形態の通信制御システムの説明をする。

（システム構成）
まず、図１に実施の形態の通信制御システムのシステム構成図を示す。この図１に示すように通信制御システムは、インターネット等の外部ネットワーク１、及び、ＬＡＮ（Local Area Network）等の内部ネットワーク２を、ルータ３５を介して相互に通信可能に接続して構成されている。

外部ネットワーク１には、一つ又は複数の外部機器が接続されている。図１の例は、第１の外部機器１１及び第２の外部機器１２の計２つの外部機器が外部ネットワーク１に接続されている例である。第１の外部機器１１及び第２の外部機器１２は、外部ネットワーク１を介してルータ３５に接続されている。

内部ネットワーク２には、第１の通信制御装置２１、第２の通信制御装置２２、第１の内部機器３１、第２の内部機器３２、第３の内部機器３３及び第４の内部機器３４が接続されている。なお、この図１の例は、通信制御装置として第１の通信制御装置２１及び第２の通信制御装置２２の計２つの通信制御装置を設けた例であるが、一つ又は３つ以上の通信制御装置を設けてもよい。同様に、図１の例は、内部機器として第１～第４の内部機器３１～３４を設けた例であるが、一つ又は任意の複数の内部機器を設けてもよい。

第１の通信制御装置２１及び第２の通信制御装置２２は、ルータ３５及び外部ネットワーク１を介して各外部機器１１、１２に接続されている。また、第１の通信制御装置２１は、内部ネットワーク２を介して第１の内部機器３１及び第２の内部機器３２に接続されている。同様に、第２の通信制御装置２２は、内部ネットワーク２を介して第３の内部機器３３及び第４の内部機器３４に接続されている。なお、本実施形態ではルータ３５を有する構成について記載するが、これに限られない。例えば、外部機器１１、１２および内部機器３１、３２が同一のサブネット内に位置する場合は、ルータ３５は不要となる。

すなわち、内部ネットワーク２内の各内部機器３１～３４は、第１の通信制御装置２１又は第２の通信制御装置２２、及びルータ３５を介して、外部ネットワーク１の各外部機器１１、１２と接続されている。また、第１の通信制御装置２１は、第１の内部機器３１及び第２の内部機器３２に対する通信制御、及び、各外部機器１１、１２に対する通信制御を行い、第２の通信制御装置２２は、第３の内部機器３３及び第４の内部機器３４に対する通信制御、及び、各外部機器１１、１２に対する通信制御を行う。

（システム構成の変形例）
図１の例は、各通信制御装置２１、２２に、各内部機器３１～３４の通信制御を分担させる例である。しかし、図２に示すように一つの通信制御装置２１に全ての内部機器３１～３４を接続し、一つの通信制御装置２１が、全ての内部機器３１～３４の通信制御を行ってもよい。または、図３に示すように各通信制御装置２１、２２に、それぞれ全ての内部機器３１～３４を接続し、各通信制御装置２１、２２が、それぞれ全ての内部機器３１～３４の通信制御を行ってもよい。

（通信制御装置のハードウェア構成）
図４は、各通信制御装置２１、２２のハードウェア構成を示すブロック図である。なお、各通信制御装置２１、２２は、同じハードウェア構成であるため、以下、第１の通信制御装置２１のハードウェア構成を説明する。一例ではあるが、第１の通信制御装置２１は、ＴＣＰ／ＩＰ通信プロトコルに基づく通信を制御する通信制御装置となっており、アウターＴＯＥ４１、インナーＴＯＥ４２、及び、各ＴＯＥ４１、４２の間に設けられたフィルタ回路４３を有している。ＴＯＥは、「ＴＣＰ／ＩＰオフロードエンジンの略記である。ＴＣＰは、「Transmission Control Protocol」の略記であり、ＩＰは「Internet Protocol」の略記である。また、アウターＴＯＥ４１はアウター通信部の一例であり、インナーＴＯＥ４２はインナー通信部の一例であり、フィルタ回路４３は変換部の一例である。

フィルタ回路４３は、メッセージフィルタ部５１、セッション管理部５２、第１の送信ＦＩＦＯ（First In First Out）メモリ６１、第２の送信ＦＩＦＯメモリ６２、第１の受信ＦＩＦＯメモリ７１及び第２の受信ＦＩＦＯメモリ７２を有している。なお、ＦＩＦＯメモリに限らず、バッファメモリでも良い。

インナーＴＯＥ４２は、ＦＩＦＯインタフェース（ＦＩＦＯ Ｉ/Ｆ）８１及び第１の送信ＦＩＦＯメモリ６１を順に介してメッセージフィルタ部５１に接続されている。また、メッセージフィルタ部５１は、第２の送信ＦＩＦＯメモリ６２及びＦＩＦＯ Ｉ/Ｆ８２を順に介してアウターＴＯＥ４１に接続されている。同様に、アウターＴＯＥ４１は、ＦＩＦＯ Ｉ/Ｆ８３及び第１の受信ＦＩＦＯメモリ７１を順に介してメッセージフィルタ部５１に接続されている。また、メッセージフィルタ部５１は、第２の受信ＦＩＦＯメモリ７２及びＦＩＦＯ Ｉ/Ｆ８４を順に介してインナーＴＯＥ４２に接続されている。

セッション管理部５２は、制御Ｉ／Ｆ８５を介してメッセージフィルタ部５１に接続されている。また、セッション管理部５２は、制御Ｉ／Ｆ８５を介してメッセージフィルタ部５１に接続されている。また、セッション管理部５２は、設定Ｉ／Ｆ８６、セッション情報Ｉ／Ｆ８７及びセッション制御Ｉ／Ｆ８８を介してアウターＴＯＥ４１に接続されている。また、セッション管理部５２は、設定Ｉ／Ｆ８９、セッション情報Ｉ／Ｆ９０及びセッション制御Ｉ／Ｆ９１を介してインナーＴＯＥ４２に接続されている。

（通信制御装置の動作概要）
次に、図１に示す第１の通信制御装置２１を例として、通信制御装置の動作概要を説明する。第１の通信制御装置２１には、ＴＣＰ／ＩＰ通信の終端機能として、アウターＴＯＥ４１及びインナーＴＯＥ４２が設けられている。アウターＴＯＥ４１は、各外部機器１１、１２との間で通信を行う。この際、アウターＴＯＥ４１は、内部機器３１、３２に成り代わって、外部機器１１、１２と通信を行う。同様に、インナーＴＯＥ４２は、各内部機器３１、３２との間で通信を行う。この際、インナーＴＯＥ４２は、外部機器１１、１２に成り代わって、各内部機器３１、３２と通信を行う。

第１の通信制御装置２１は、このような、いわゆるプロキシサーバ装置的な動作を行う。しかし、通常のプロキシサーバ装置の場合、プロキシサーバ装置を通信相手として通信が行われる。これに対して第１の通信制御装置２１の場合、第１の通信制御装置２１宛てのアクセスではなく、外部機器１１、１２から内部機器３１、３２に対してアクセスがあった場合、アウターＴＯＥ４１が内部機器３１、３２に成り代わって、各外部機器１１、１２と通信を行う。また、第１の通信制御装置２１の場合、第１の通信制御装置２１宛てのアクセスではなく、内部機器３１、３２から外部機器１１、１２に対してアクセスがあった場合、インナーＴＯＥ４２が外部機器１１、１２に成り代わって、各内部機器３１、３２と通信を行う。

換言すると、外部機器１１、１２との間のＴＣＰ／ＩＰの通信プロトコルを終端するアウターＴＯＥ４１が、外部機器１１、１２からのメッセージを受信すると、アウターＴＯＥ４１は、外部機器１１、１２から受信したメッセージに対する受信応答を、内部機器３１、３２に成り代わって行う。フィルタ回路４３は、アウターＴＯＥ４１が受信し、第１の受信ＦＩＦＯメモリ７１を介して供給される外部機器１１、１２からのメッセージに対して、一部又は全部を削除し或いはメッセージの内容に従って改変する所定のフィルタリング処理を施す。これにより、フィルタ回路４３は、アウターＴＯＥ４１が受信した外部機器１１、１２からのメッセージを、内部機器用のセキュアなメッセージに変換し、第２の受信ＦＩＦＯメモリ７２を介してインナーＴＯＥ４２に供給する。インナーＴＯＥ４２は、各外部機器１１、１２に成り代わって、フィルタリング処理により形成されたセキュアなメッセージを用いて、第１の内部機器３１又は第２の内部機器３２との間でＴＣＰ／ＩＰ通信を実行する。

これに対して、内部機器３１、３２との間のＴＣＰ／ＩＰの通信プロトコルを終端するインナーＴＯＥ４２が、内部機器３１、３２からのメッセージを受信すると、インナーＴＯＥ４２は、内部機器３１、３２から受信したメッセージに対する受信応答を、外部機器１１、１２に成り代わって行う。フィルタ回路４３は、各内部機器３１、３２から第１の送信ＦＩＦＯメモリ６１を介してインナーＴＯＥ４２が受信したメッセージを、フィルタリング処理することなく、第２の送信ＦＩＦＯメモリ６２を介してアウターＴＯＥ４１に供給する。アウターＴＯＥ４１は、各内部機器３１、３２に成り代わって、第１の外部機器１１又は第２の外部機器１２との間でＴＣＰ／ＩＰ通信を実行する。

なお、この例では、フィルタ回路４３は、インナーＴＯＥ４２が受信した各内部機器３１、３２からのメッセージを、フィルタリング処理することなくアウターＴＯＥ４１に供給することとした。しかし、フィルタ回路４３は、インナーＴＯＥ４２が受信した各内部機器３１、３２に対して、一部又は全部を削除し或いはメッセージの内容に従って改変する所定のフィルタリング処理を施して外部機器用のメッセージを形成し、これをアウターＴＯＥ４１に供給してもよい。

（アウターＴＯＥ及びインナーＴＯＥに対する設定及び動作概要）
このような動作を実現するために、アウターＴＯＥ４１及びインナーＴＯＥ４２は、成り代わりの対象となる一つ又は複数の機器（成り代わり機器）のＩＰアドレス（識別情報）が登録される。アウターＴＯＥ４１及びインナーＴＯＥ４２に対しては、成り代わり機器のＩＰアドレス（ターゲットプロキシＩＰ）を、設定Ｉ／Ｆ８６、８９を介してアウターＴＯＥ４１及びインナーＴＯＥ４２に登録する。

図５は、アウターＴＯＥ４１及びインナーＴＯＥ４２に対する、成り代わり機器のＩＰアドレスの登録動作を示す模式図である。この図５に示すように、例えば第１の通信制御装置２１の起動時等に、メッセージフィルタ部５１がアウターＴＯＥ４１に対して第１の内部機器３１及び第２の内部機器３２のＩＰアドレスを、ターゲットプロキシＩＰとして登録する。アウターＴＯＥ４１に対してターゲットプロキシＩＰとして登録された第１の内部機器３１及び第２の内部機器３２のＩＰアドレスは、インナーＴＯＥ４２に対しては、コンプリメントプロキシＩＰとして登録される。

同様に、メッセージフィルタ部５１は、インナーＴＯＥ４２に対して第１の外部機器１１及び第２の外部機器１２のＩＰアドレスを、ターゲットプロキシＩＰとして登録する。インナーＴＯＥ４２に対してターゲットプロキシＩＰとして登録された第１の外部機器１１及び第２の外部機器１２のＩＰアドレスは、アウターＴＯＥ４１に対しては、コンプリメントプロキシＩＰとして登録される。

このようなターゲットプロキシＩＰの登録は、通信制御装置２１、２２毎に行われる。これにより、各通信制御装置２１、２２に、それぞれ登録したターゲットプロキシＩＰに対応する内部機器又は外部機器の通信制御を分担させることができる。なお、一つの通信制御装置に複数の内部機器の通信制御を行わせる場合、通信制御の対象となる全ての内部機器のＩＰアドレスを、一つの通信制御装置にターゲットプロキシＩＰとして登録すればよい。また、図３のように、１つの内部機器に対して複数の通信制御装置が接続されている場合は、いずれの通信制御装置を動作させるかを明確にする必要がある。これについては、後述するコンプリメントプロキシＩＰを用いた処理により対応できるようにする。よって、上述の場合に該当しなければ、コンプリメントプロキシＩＰの設定は、必要ではない。

また、アウターＴＯＥ４１及びインナーＴＯＥ４２は、登録されたターゲットプロキシＩＰを、ＴＣＰ（Transmission Control Protocol）セッションで用いる。具体的には、ＴＣＰの情報が格納されたプロトコルコントロールブロック（ＰＣＢ＿ＴＣＰ）内に、ローカル機器のローカルＩＰアドレスをセッション毎に登録するＩＰ登録フィールドを設ける。そして、このＩＰ登録フィールドに、セッション確立時に用いるローカルＩＰアドレスを登録する。

すなわち、アウターＴＯＥ４１及びインナーＴＯＥ４２は、後からＳＹＮ－ＡＣＫパケットを送信するパッシブオープン時には、ＳＹＮパケットの送信先ＩＰアドレスを、上述のローカルＩＰフィールドに登録する。また、アウターＴＯＥ４１及びインナーＴＯＥ４２は、先にＳＹＮパケットを送信するアクティブオープン時には、セッション管理部５２から指示されたＩＰアドレスをローカルＩＰフィールドに登録する。そして、アウターＴＯＥ４１及びインナーＴＯＥ４２は、送信ＴＣＰパケット作成時に、ＩＰ登録フィールドに登録されているローカルＩＰアドレスを送信元ＩＰアドレスに設定する。

また、アウターＴＯＥ４１及びインナーＴＯＥ４２は、成り代わり機器宛てのＡＲＰ（Address Resolution Protocol）リクエスト（アドレス解決要求）に対しては、ＡＲＰリプライにおいて、第１の通信制御装置２１自身の機器固有情報であるＭＡＣ（Media Access Control）アドレスを返信（アドレス解決応答）する。このようなＭＡＣアドレスの返信動作は、ＡＲＰパケット内のターゲットＩＰフィールドに、成り代わり機器のＩＰアドレス、すなわち上述のターゲットプロキシＩＰを有するＡＲＰパケットに対して行う。また、アウターＴＯＥ４１及びインナーＴＯＥ４２は、このようなＡＲＰリプライの際、送信元ＩＰフィールドに、成り代わり機器のＩＰアドレスであるターゲットＩＰアドレスを設定する。ＭＡＣアドレスとしては第１の通信制御装置２１自身のＭＡＣアドレスを設定しつつ、送信元ＩＰアドレスとしては成り代わり機器のＩＰアドレスを設定したうえでＡＲＰリプライすることで、成り代わり機器に成り代わって処理を行う。

また、本実施形態のように、外部ネットワークと内部ネットワークが同一のサブネットにない場合は、ルータ３５を介することになる。そうした場合には、アウターＴＯＥ４１及びインナーＴＯＥ４２には、設定Ｉ／Ｆ８６，８９を介してルータ３５のＩＰアドレスが登録される。アウターＴＯＥ４１及びインナーＴＯＥ４２は、ルータ３５のＩＰアドレスをターゲットＩＰアドレスとするＡＲＰリクエストに対しては、ＡＲＰリプライにおいて、第１の通信制御装置２１自身のＭＡＣアドレスを返信する。

また、インナーＴＯＥ４２は、ＡＲＰリクエストについてのＡＲＰパケットの送信元ＩＰフィールドに、第１の通信制御装置２１のアウターＴＯＥ４１が成り代わりを行う内部機器３１、３２のＩＰアドレス以外のＩＰアドレスが付されている場合、すなわち、送信元ＩＰフィールドに前述のコンプリメントプロキシＩＰ以外のＩＰアドレスが付されている場合、このＡＲＰリクエストは破棄する。すなわち、このＡＲＰリクエストには応答しない。図３のように、１つの内部機器に対して複数の通信制御装置が接続されている場合は、この動作により、いずれの通信制御装置を動作させるかが明確になる。

（アウターＴＯＥの動作）
次に、このような設定に基づくアウターＴＯＥ４１の動作を説明する。アウターＴＯＥ４１は、第１の外部機器１１又は第２の外部機器１２から第１の内部機器３１又は第２の内部機器３２宛てのＴＣＰセッションを、第１の内部機器３１及び第２の内部機器３２に成り代わって終端する。

アウターＴＯＥ４１は、いずれかの外部機器１１、１２から第１の内部機器３１又は第２の内部機器３２宛てのパケットを自局宛てと判断し、破棄することなく受信する。そして、アウターＴＯＥ４１は、第１の外部機器１１又は第２の外部機器１２との間で、第１の内部機器１０又は第２の内部機器１１に成り代わってＴＣＰセッションを確立する。この際、アウターＴＯＥ４１は、上述のように例えば第１の通信制御装置２１の起動時等に予め登録された第１の内部機器３１又は第２の内部機器３２のＩＰアドレス（ターゲットプロキシＩＰ）と一致するＩＰアドレスを送信先ＩＰフィールドに持つＳＹＮパケットを受信した場合、当該送信先ＩＰフィールドに示されるＩＰアドレスをローカルＩＰアドレスとして用いてＴＣＰセッションを確立する。

また、アウターＴＯＥ４１は、ルータ３５から（ルータ３５を有さない場合は外部機器から）第１の内部機器３１又は第２の内部機器３２宛てのＡＲＰリクエストに対し、第１の内部機器３１又は第２の内部機器３２に成り代わり、ＡＲＰリプライを返信する（プロキシＡＲＰ機能）。

（インナーＴＯＥの動作）
次に、上述の設定に基づくインナーＴＯＥ４２の動作を説明する。インナーＴＯＥ４２は、各外部機器１１、１２に成り代わって、各外部機器１１、１２と第１の内部機器３１又は第２の内部機器３２の間のＴＣＰ／ＩＰ通信を実行する。

すなわち、インナーＴＯＥ４２は、第１の内部機器３１又は第２の内部機器３２からいずれかの外部機器１１、１２宛てのパケットを自局宛てと判断し、破棄することなく受信処理する。また、インナーＴＯＥ４２は、第１の内部機器３１との間又は第２の内部機器３２との間で、第１の外部機器１１及び第２の外部機器１２に成り代わってＴＣＰセッションを確立する。この際、インナーＴＯＥ４２は、上述のように例えば第１の通信制御装置２１の起動時等に予め登録された第１の外部機器１１又は第２の外部機器１２のＩＰアドレス（ターゲットプロキシＩＰ）のいずれかと一致するＩＰアドレスであって、前述のセッション管理部５２が指定したＩＰアドレスをローカルＩＰアドレスとして用いてＴＣＰセッションを確立する。

また、インナーＴＯＥ４２は、第１の内部機器３１又は第２の内部機器３２からルータ３５宛てのＡＲＰリクエストに対して、ルータ３５に成り代わってＡＲＰリプライを行う（プロキシＡＲＰ機能）。但し、ＡＲＰリプライは、第１の通信制御装置２１内のアウターＴＯＥ４１の成り代わり機器である第１の内部機器３１又は第２の内部機器３２からのＡＲＰリクエストに対してのみ行う。

これにより、図３に示すように、第１の通信制御装置２１が第１の内部機器３１及び第２の内部機器３２の通信制御を担当し、第２の通信制御装置２２が第３の内部機器３３及び第４の内部機器３４の通信制御を担当するようにしたい場合であっても、各通信制御装置２１、２２は、それぞれ自分が担当している内部機器からのＡＲＰリクエストに対してのみＡＲＰリプライを行うことができる。これにより、要求される処理能力の増加が必要な場合においても、容易に通信制御装置を追加することでこれに対応することが可能となる。

なお、図１又は図２示すように、第１の通信制御装置２１（又は第２の通信制御装置２２）に対して全ての内部機器３１～３４が一意に割り当てられて接続されている場合は、インナーＴＯＥ４２は、接続された全ての内部機器からのＡＲＰリクエストに対してＡＲＰリプライを行う。

（通信制御装置の動作の詳細）
次に、図６を用いて、第１の通信制御装置２１の動作の詳細を説明する。図６は、第１の通信制御装置２１の動作を示すシーケンス図である。なお、第２の通信制御装置２２の動作は、第１の通信制御装置２１と同様であるため、省略する。ここでは、図１の例において、第１の外部機器１１から第１の内部機器３１への通信を行う例について説明する（外部ネットワークと内部ネットワークが同一のサブネットにない場合はルータ３５を介することとなるが、ここでは簡略化して説明する）。

まず、第１の外部機器１１によるＴＣＰセッションが確立される前に、第１の外部機器１１から第１の内部機器３１へのＡＲＰリクエストが行われる。すなわち、第１の外部機器１１は、ＡＲＰパケットのターゲットＩＰフィールド（送信先ＩＰフィールド）に第１の内部機器３１のＩＰアドレスを含めてブロードキャストする（ステップＳ１）。

次に、第１の通信制御装置２１のアウターＴＯＥ４１は、自身のターゲットプロキシＩＰに第１の内部機器３１のＩＰアドレスが含まれているため、第１の内部機器３１に成り代わって、ＡＲＰリプライを行う（ステップＳ２）。このとき、ＭＡＣアドレスは、第１の通信制御装置２１自身のものを送信する。また、送信元ＩＰフィールドに含めるＩＰアドレスは、ＡＲＰパケットのターゲットＩＰフィールドに含まれていたもの、すなわち、ここでは第１の内部機器３１のＩＰアドレスを送信する。

続いて、第１の外部機器１１は、ＴＣＰセッションの開始要求を行う。第１の外部機器１１は、第１の内部機器３１のＩＰアドレスと第１の通信制御装置２１のＭＡＣアドレスを用いて、ＴＣＰセッションの開始要求を行う（ステップＳ３）。すなわち、第１の外部機器１１は、送信先ＩＰフィールドに第１の内部機器３１のＩＰアドレスを含めたＳＹＮパケットを送信する。第１の通信制御装置２１のアウターＴＯＥ４１は、受信したＳＹＮパケットに含まれる第１の内部機器３１のＩＰアドレスが自身のターゲットプロキシＩＰに含まれていることを確認し、ＴＣＰセッションを確立する（ステップＳ４）。

このとき、ローカルＩＰアドレスとしてＳＹＮパケットの送信先ＩＰフィールドに含まれる第１の内部機器３１のＩＰアドレスを用いて、ＴＣＰセッションを確立する。そして、第１の外部機器１１は、確立したＴＣＰセッションにおいて、送信元ＩＰアドレスとして第１の外部機器１１のＩＰアドレスを、送信先ＩＰアドレスとして第１の内部機器３１のＩＰアドレスをそれぞれ設定して、メッセージを送信する（ステップＳ５）。

アウターＴＯＥ４１は、第１の外部機器１１のＩＰアドレス、第１の内部機器３１のＩＰアドレスがヘッダに設定された第１の外部機器１１からのメッセージを受信し、セッション情報とともに後段のフィルタ回路４３に供給する（ステップＳ６）。次に、フィルタ回路４３は、供給されたセッション情報とメッセージに基づき、インナーＴＯＥ４２に対する第１の内部機器３１へのＴＣＰセッションの確立要求を行う（ステップＳ７）。この処理を受け、インナーＴＯＥ４２は、第１の内部機器３１へＡＲＰリクエストを行う（ステップＳ８）。次に、第１の内部機器３１は、ＡＲＰパケットに自身のＩＰアドレスが含まれているため、ＡＲＰリプライを行う（ステップＳ９）。

第１の内部機器３１からのＡＲＰリプライを受け、インナーＴＯＥ４２は、フィルタ回路４３から受信したセッション情報をもとに、第１の内部機器３１に対してＴＣＰセッションの開始要求を行う（ステップＳ１０）。このとき、ＭＡＣアドレスは自身のものを用いる。そして、ローカルＩＰアドレスとしては、インナーＴＯＥ４２のターゲットプロキシＩＰに含まれ、かつセッション管理部５２が指定するＩＰアドレス、すなわちここでは第１の外部機器１１のＩＰアドレスを用いる。

第１の内部機器３１は、第１の外部機器１１に成り代わったインナーＴＯＥ４２と、ＴＣＰセッションを確立する（ステップＳ１１）。そして、インナーＴＯＥ４２は、フィルタ回路４３からフィルタリングされたメッセージの供給を受け（ステップＳ１２）、確立されたＴＣＰセッションにおいて、当該フィルタリングされたメッセージを、そのヘッダに送信元としての第１の外部機器１１のＩＰアドレスと送信先としての第１の内部機器３１のＩＰアドレスとを含めたうえで、第１の内部機器３１に宛てて送信する（ステップＳ１３）。

フィルタリングされたメッセージを受け取った第１の内部機器３１は、応答メッセージを作成し、既に確立されているＴＣＰセッションにおいて、インナーＴＯＥ４２に対して送信する（ステップＳ１４）。そして、インナーＴＯＥ４２は、受信した応答メッセージをフィルタ回路４３に供給し（ステップＳ１５）、フィルタ回路４３は、その応答メッセージを、フィルタリングせずにアウターＴＯＥ４１に供給する（ステップＳ１６）。なお、応答メッセージにおいても、フィルタ回路４３によるフィルタリングが行われる構成としても良い。そして、アウターＴＯＥ４１は、供給された応答メッセージを、既に確立しているＴＣＰセッションにおいて、第１の外部機器１１に送信する（ステップＳ１７）。

以上により、第１の内部機器３１は、送信元としての第１の外部機器１１からのメッセージを受け取っているように振る舞うにもかかわらず、フィルタリングされたセキュアなメッセージを受信することが可能となる。また、第１の内部機器３１は、応答として第１の外部機器１１へメッセージを送信する際にも、通信制御装置２１が存在しないかのように振る舞ってメッセージの送信を行うことができる。

なお、フィルタ回路４３におけるフィルタリングではメッセージがフィルタリングされることとしたが、メッセージの内容を解釈して、解釈した内容に応じた振る舞いをするようにしても良い。例えば、送信先ＩＰアドレスが変換されるものとしても良いし、メッセージの内容によって通信を遮断（ＴＣＰセッションを終了）する構成とすることもできる。

また、ルータ３５を利用する場合は、第１の外部機器１１に代えてルータ３５がＡＲＰリクエストおよびリプライの対象となる。また、ＡＲＰリクエストは特定のタイミングでしか行われないものとして説明したが、ＡＲＰのキャッシュ切れが発生した場合等、ＡＲＰリクエストは、ＴＣＰセッションの最中においても定期的に行われ得る。

本実施形態においては、ルータ３５を含む内部ネットワーク２内の機器の各ＩＰアドレスは、全て同じネットワークに接続されていることを意味するＩＰアドレスとなっている。しかしながら、アウターＴＯＥ４１とインナーＴＯＥ４２の間はネットワーク的に遮断されており、非ＩＰ区間となっている。よって、セキュアな通信が確保されることとなる。

また、本実施形態の通信制御装置２１、２２は、外部機器との通信においては内部機器に成り代わって通信し（内部機器のＩＰアドレスを用いて通信し）、また、内部機器との通信においては外部機器に成り代わって通信し（外部機器のＩＰアドレスを用いて通信し）、またＡＲＰパケットの処理においてもこの成り代わりの通信をサポートするように構成されている。アウターＴＯＥ４１とインナーＴＯＥ４２の間はネットワークが遮断されているにもかかわらず、内部機器および外部機器から見て、通信制御装置が存在しないかのように通信が実施できるため、既存のシステムに対しても安価にかつ中途導入しやすいものとなる。

（実施の形態の効果）
以上の説明から明らかなように、実施の形態の通信制御システムは、既存のネットワークに変更を加えることなく、既存のネットワークそのまま用いてセキュアな通信を可能とすることができる。このため、既存のネットワークシステムに対して、簡単に中途導入可能とすることができる。

また、実施の形態の通信制御システムは、既存のネットワークをそのまま用いることができるため、非常に安価に導入可能である。データダイオードシステムの場合、システムインテグレーション（ＳＩ：System Integration）も含め大変高価なシステムとなる。しかし、実施の形態の通信制御システムの場合、従来のデータダイオードシステムの十分の一又は数十分の一程度で安価に構築し導入可能とすることができる。

また、近年においては、インターネット通信プロトコル（ＩＰ）に基づいて通信を行う通信経路内に、ＩＰとは異なる通信プロトコルを用いて通信を行う非ＩＰ区間を設けることが、通信セキュリティ上の観点からも要望されている。実施の形態の通信制御システムの場合、外部から受信した情報を、アウターＴＯＥ４１で一旦終端するため、メッセージは伝達しつつも、ＩＰ情報の伝達はカットすることができる。

もう少し詳しく説明すると、実施の形態の通信制御システムの場合、第１の通信制御装置２１がフィルタ回路４３を有している。このフィルタ回路４３は、外部機器１１、１２から受信したメッセージを解釈し、この外部機器から受信したメッセージの一部又は全部を削除し或いはメッセージの内容に従って改変する所定のフィルタリング処理を施すことで、外部機器１１、１２から受信したメッセージに対して意味的に近い内部用メッセージを生成する。これにより、外部機器１１、１２から受信したメッセージをセキュアな内部用メッセージに変換してインナーＴＯＥ４２に供給することができる。

これは、ＩＰメッセージがそのまま伝達されるのではなく、ＩＰメッセージは一旦遮断され、フィルタ回路４３のフィルタリング処理により、問題の無いメッセージのみがインナーＴＯＥ４２に伝達されることを意味している。これにより、ＩＰ通信経路内に非ＩＰ区間を形成でき、上述の近年の要望に応えることができる。

ここで、汎用性のあるＯＳ（Operating System）で動作するセキュリティシステムをソフトウェアで構築することを考える。この場合、ＯＳのセキュリティホール及び構成等が周知であることから、悪意のあるアクセスからシステムを防御することは困難となる。特に、悪意のあるアクセスにより、社会的なインフラとなっているＩＯＴ（Internet of Things）が一斉にダウンした場合、これにより生ずる様々な損失は計り知れない。

しかし、実施の形態の通信制御システムは、ハードウェアで構成することで、ソフトウェアのセキュリティホールのような欠陥が存在しないため、悪意のあるアクセスからシステムを強力に防御できる。従って、社会的なインフラとなっているＩＯＴを、悪意のあるアクセスから強力に防御でき、ネットワーク社会のセキュリティに対して大きく貢献できる。

また、特許文献１（特開２０１５－１１５８３２号公報）に開示されている通信システムとの差異は、以下のようになる。特許文献１の場合、各ＨＴＴＰサーバでトランザクションを完結させる片方向通信システムである。これに対して、実施の形態の通信制御システムは、外部機器用及び内部機器用の２つのセッションを同時に確立し、メッセージを適宜フィルタリング処理しながら各セッションの間でメッセージを交換するセキュアな双方向通信システムである。そして、実施の形態の通信制御システムの場合、双方向通信が可能であるにもかかわらず、特許文献１の片方向通信システムと同等のセキュリティ性を実現している。実施の形態の通信制御システムと特許文献１に開示されている技術は、このような明らかな構成の差異があり、また、上述した特有の効果が得られることを付け加えておく。

（実施の形態の変形例）
上述の実施の形態は、一例として提示したものであり、本発明の範囲を限定することは意図していない。この新規な実施の形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことも可能である。

例えば、上述の実施の形態の説明では、通信制御システムは、ハードウェアで構成することとしたが、一部又は全部をソフトウェアで構成してもよい。上述のように、ハードウェアで構成することが好ましいものの、ソフトウェアによっても一定の効果を得ることが可能である。

また、上述の実施の形態では、外部機器１１、１２から内部機器３１、３２に対して送信するメッセージ及び内部機器３１、３２から外部機器１１、１２に対して送信するメッセージの両方にメッセージフィルタ部５１がフィルタリング処理を施すこととした。しかし、メッセージフィルタ部５１は、外部機器１１、１２から内部機器３１、３２に送信するメッセージに対してはフィルタリング処理を施すが、内部機器３１、３２から外部機器１１、１２に対して送信するメッセージには、フィルタリング処理を施すことなく、そのまま外部機器１１、１２側に送信してもよい。この場合でも、外部からの不正アクセスに対しては、上述のフィルタリング処理により強力に防御できるため、上述と同様の効果を得ることができる。

このような実施の形態及び実施の形態の変形は、発明の範囲や要旨に含まれると共に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

１ 外部ネットワーク
２ 内部ネットワーク
１１ 第１の外部機器
１２ 第２の外部機器
２１ 第１の通信制御装置
２２ 第２の通信制御装置
３１ 第１の内部機器
３２ 第２の内部機器
３３ 第３の内部機器
３４ 第４の内部機器
３５ ルータ
４１ アウターＴＯＥ
４２ インナーＴＯＥ
４３ フィルタ回路
５１ メッセージフィルタ部
５２ セッション管理部

特開２０１５－１１５８３２号公報

Claims (9)

1. 外部ネットワークに接続された外部機器との間で通信を行うハードウェアで構成されたアウター通信部と、
   内部ネットワークに接続された内部機器との間で通信を行うハードウェアで構成されたインナー通信部と、
   前記アウター通信部が受信した前記内部機器宛のメッセージにセキュアなフィルタリング処理を施して前記インナー通信部に供給し、前記インナー通信部が受信した前記外部機器宛のメッセージにフィルタリング処理を施すことなく、又は、所定のフィルタリング処理を施して、前記アウター通信部に供給するハードウェアで構成された変換部と、を備え、
   前記変換部による前記フィルタリング処理を介した、前記外部機器及び前記内部機器用の２つのセッションを同時に確立する双方向通信制御を行い、
   前記アウター通信部は、前記外部機器または当該外部機器と当該アウター通信部との間に設置されたルータから前記内部機器に宛てたアドレス解決要求に対し、通信制御装置の固有情報を返信し、
   前記インナー通信部は、予め所定の内部機器の識別情報を有しており、当該識別情報で示される所定の内部機器に合致しない内部機器からのアドレス解決要求には応答しないこと
   を特徴とする通信制御装置。
2. 前記アウター通信部は、成り代わり対象としての前記内部機器の識別情報を有しており、前記外部機器からのメッセージの送信先に成り代わり対象としての前記内部機器の識別情報が含まれている場合に、前記メッセージを受信すること
   を特徴とする請求項１に記載の通信制御装置。
3. 前記インナー通信部は、前記内部機器から前記外部機器に宛てたメッセージを受信し、
   前記変換部は、前記インナー通信部が受信した前記外部機器宛のメッセージの一部又は全部を変換し、もしくは前記インナー通信部が受信した前記外部機器宛のメッセージを変換せず、
   前記アウター通信部は、前記変換部を経由した前記外部機器宛のメッセージを前記外部機器に送信すること
   を特徴とする請求項１又は請求項２に記載の通信制御装置。
4. 前記インナー通信部は、成り代わり対象としての前記外部機器の識別情報を有しており、前記内部機器からのメッセージの送信先に成り代わり対象としての前記外部機器の識別情報が含まれている場合に、前記メッセージを受信すること
   を特徴とする請求項１乃至請求項３のうち、いずれか一項に記載の通信制御装置。
5. 前記変換部は、前記外部機器からのメッセージの送信先に含まれる前記内部機器の識別情報を変換すること
   を特徴とする請求項１乃至請求項４のうち、いずれか一項に記載の通信制御装置。
6. 前記変換部は、前記外部機器からのメッセージの内容に従って、当該メッセージの送信先に含まれる前記内部機器の識別情報を変換すること
   を特徴とする請求項５に記載の通信制御装置。
7. 前記変換部は、前記外部機器からのメッセージの内容に従って、前記アウター通信部からの通信を遮断すること
   を特徴とする請求項１乃至請求項６のうち、いずれか一項に記載の通信制御装置。
8. 外部ネットワーク内に、当該外部ネットワークに接続された外部機器と、
   内部ネットワーク内に、当該内部ネットワークに接続された内部機器と、
   請求項１乃至請求項７のうち、いずれか一項に記載の通信制御装置と、
   を有することを特徴とする通信制御システム。
9. ハードウェアで構成されたアウター通信部が、外部ネットワークに接続された外部機器との間で通信を行うアウター通信ステップと、
   ハードウェアで構成されたインナー通信部が、内部ネットワークに接続された内部機器との間で通信を行うインナー通信ステップと、
   ハードウェアで構成された変換部が、前記アウター通信ステップで前記アウター通信部が受信した前記内部機器宛のメッセージにセキュアなフィルタリング処理を施して前記インナー通信部に供給し、前記インナー通信ステップで前記インナー通信部が受信した前記外部機器宛のメッセージにフィルタリング処理を施すことなく、又は、所定のフィルタリング処理を施して、前記アウター通信部に供給する変換ステップと、を備え、
   前記変換部による前記フィルタリング処理を介した、前記外部機器及び前記内部機器用の２つのセッションを同時に確立する双方向通信制御を行い、
   前記アウター通信ステップは、前記外部機器または当該外部機器と当該アウター通信部との間に設置されたルータから前記内部機器に宛てたアドレス解決要求に対し、通信制御装置の固有情報を返信し、
   前記インナー通信ステップは、予め所定の内部機器の識別情報を有しており、当該識別情報で示される所定の内部機器に合致しない内部機器からのアドレス解決要求には応答しないこと
   を特徴とする通信制御方法。

Images