JPWO2012144527A1

JPWO2012144527A1 - ネットワークアクセスシステム

Info

Publication number: JPWO2012144527A1
Application number: JP2013511023A
Authority: JP
Inventors: 貴宏渡邉
Original assignee: Murakumo Corp
Current assignee: Murakumo Corp
Priority date: 2011-04-19
Filing date: 2012-04-18
Publication date: 2014-07-28
Anticipated expiration: 2032-04-18
Also published as: EP2701068A4; EP2701068A1; EP2701068B1; US20140047014A1; WO2012144527A1; JP5960690B2

Abstract

ロードバランサに鍵情報を保有させておき、ロードバランサが受信したＨＴＴＰリクエストに鍵情報で暗号化した暗号化サーバ特定情報を含めておき、リアルサーバからクライアント端末への応答メッセージおよび再度のＨＴＴＰリクエストに暗号化サーバ特定情報を含めさせて、ロードバランサが再度ＨＴＴＰリクエスト受信したときに前記鍵情報でサーバ特定情報を復号化して特定されたリアルサーバへのアクセスを実現することで、経由するロードバランサが異なってもセキュリティを確保しつつ、特定リアルサーバへのＨＴＴＰリクエストを可能にする。

Description

本発明は、ネットワークに接続されてロードバランサによってアクセスを振り分けられる２以上のリアルサーバの管理方法に関する。

クライアント端末のブラウザアプリケーションからネットワークを介してデータセンタを構成するリアルサーバにアクセスする際に、ＤＮＳ（ドメインネームサーバ）を用いたラウンドロビンによる複数リアルサーバへの振り分け技術が知られている（特許文献１：特開２００３−１１５８６２）。

このＤＮＳラウンドロビンでは、クライアント端末からのホスト名の問い合わせに対して、ＤＮサーバ（ＤＮＳ）にあらかじめ複数のＩＰアドレスを登録しておき、リアルサーバの負荷を分散する技術であるが、単純に複数のＩＰアドレス間を順次トグル指定するだけなので、必ずしもリアルサーバの均等分散が保証されるわけではなく、さらに近年の数十、数百のリアルサーバで構成されているリアルサーバ群のＩＰアドレスをＤＮＳに全て登録することはＩＰアドレスのリソース消費が激しく現実的ではないという問題があった。

そこで、リアルサーバ間の負荷をできるだけ均等分散させるために、ロードバランサを用いた負荷分散技術が知られている。

かかる技術では、ＤＮＳから通知されたＩＰアドレスに対してＨＴＴＰリクエストが到達したときに、ロードバランサが当該アクセスの振り分けを行うが、いずれのロードバランサがどのリアルサーバに振り分け処理を行ったとしても、同じ結果が得られる保証がなければならない。そのためには全てのリアルサーバ間で同期をとっておくことが望ましいが、同期処理のための負荷が大きいため現実的ではなかった。また、複数のリアルサーバの中からあらかじめ関係付けられた特定のリアルサーバ同士を同期しておくことも考えられるが、同期が確保されていないリアルサーバにアクセスしてしまったときには、同期が完了しているリアルサーバからデータのコピーを行ってからアクセスを許可しなければならない等、リアルサーバへのアクセス処理に遅延が生じる可能性があった。

これを解決するための方策として、セッション毎にロードバランサとリアルサーバとの組み合わせ（ペア）を各ロードバランサ内に記憶しておき、次回のセッションにおいても同じリアルサーバへのアクセスが確保されるような仕組みを実現することも考えられる。

しかしこのような方法であっても、指定されたロードバランサに障害が発生している場合に、前記組み合わせ情報そのものが取得できずに、所定のリアルサーバにアクセスできない場合もあることが懸念される。

特開２００３−１１５８６２号公報

本発明は、上記のような点に鑑みてなされたものであり、その第１の課題は、アクセスの際に経由するロードバランサがどれであっても、目的のリアルサーバへのアクセスが可能な技術を実現することにある。

そして、第２の課題は、前記リアルサーバへのアクセスがリアルサーバ情報のセキュリティを確保しつつ実現することにある。

本発明は、前記課題を解決するために以下の手段を採用した。

本発明の請求項１は、クライアント端末からネットワークを介して複数のリアルサーバで構成されたデータセンタへのアクセスを行うネットワークシステムであって、前記クライアント端末からのアクセス要求メッセージに基づいて複数のリアルサーバのいずれかのアクセス識別情報を前記クライアント端末に通知するＤＮサーバと、前記ＤＮサーバで指定されたアクセス識別情報を含むクライアント端末からのアクセス要求メッセージに基づいてクライアント端末との接続を振り分けるロードバランサとを有しており、前記ロードバランサは、前記クライアント端末からの前記アクセス識別情報を含む第１回目のアクセス要求メッセージで接続すべきリアルサーバを決定する処理と、前記で決定されたリアルサーバのサーバ特定情報を生成するとともに、このサーバ特定情報を前記アクセス識別情報の中に追加する処理と、前記で決定されたリアルサーバに前記アクセス要求メッセージを送信することで、前記クライアント端末と前記で決定されたリアルサーバへの接続を実現する処理とを実行し、前記で特定されたリアルサーバから前記サーバ特定情報を含む応答メッセージが前記ネットワークを介して前記クライアント端末に返信された後、前記クライアント端末から前記サーバ特定情報を付加したアクセス識別情報による第２回目のアクセス要求メッセージを受信すると、前記アクセス識別情報の中から前記サーバ特定情報を読み出して、このサーバ特定情報を用いて特定されたリアルサーバに対して前記アクセス要求メッセージを送信する処理と、を実行するネットワークアクセスシステムである。

本発明の請求項２は、前記アクセス識別情報はＨＴＴＰリクエストであり、前記クライアント端末からの第２回目のアクセス要求メッセージに付加されるアクセス識別情報中のリアルサーバ特定情報は、前記第１回目のリアルサーバからの応答メッセージによって前記クライアント端末内に蓄積されたクッキー情報から取得されることを特徴とする請求項１記載のネットワークアクセスシステムである。

本発明の請求項３は、前記ロードバランサは、前記ネットワークを介して前記クライアント端末から前記第１回目のアクセス要求メッセージを受信したときに、生成された前記サーバ特定情報を暗号化するとともにその復号鍵情報を保持し、暗号化サーバ特定情報をアクセス識別情報中に追加して前記で特定されたリアルサーバにアクセス要求メッセージを送信するとともに、前記で特定されたリアルサーバから前記暗号化サーバ特定情報を含む応答メッセージが前記ネットワークを介して前記クライアント端末に返信された後、前記クライアント端末から前記暗号化サーバ特定情報を付加したアクセス識別情報による第２回目のアクセス要求メッセージを受信すると、前記アクセス識別情報の中から前記暗号化サーバ特定情報を読み出して、自身が保持する復号鍵情報を用いて暗号化サーバ特定情報を復号化し、この復号化されたサーバ特定情報を用いて特定されたリアルサーバに対して前記アクセス要求メッセージを送信する処理と、を実行する請求項１記載のネットワークアクセスシステムである。

本発明の請求項４は、クライアント端末からネットワークを介して複数のリアルサーバで構成されたデータセンタへのアクセスを行うネットワークシステムのアクセス方法であって、ＤＮサーバで指定されたアクセス識別情報を含むクライアント端末からのアクセス要求メッセージに基づいてクライアント端末との接続を振り分けるロードバランサを有しており、前記ロードバランサが、前記クライアント端末からの前記アクセス識別情報を含む第１回目のアクセス要求メッセージで接続すべきリアルサーバを決定するステップと、前記で決定されたリアルサーバのサーバ特定情報を生成するとともに、このサーバ特定情報を前記アクセス識別情報の中に追加するステップと、前記で決定されたリアルサーバに対して前記アクセス要求メッセージを送信するステップと、前記で特定されたリアルサーバが、前記アクセス要求メッセージを受信して所定の処理を行った後に、前記サーバ特定情報を含む応答メッセージを前記ネットワークを介して前記クライアント端末に返信するステップと、前記クライアント端末が、前記特定されたリアルサーバからの応答メッセージ中のサーバ特定情報を自身の記憶装置に蓄積するステップと、前記クライアント端末が前記サーバ特定情報を付加したアクセス識別情報による第２回目のアクセス要求メッセージを送信するステップと、前記ロードバランサが、前記ネットワークを介して前記第２回目のアクセス要求メッセージを受信するステップと、前記ロードバランサが、前記第２回目のアクセス要求メッセージの中から前記アクセス識別情報の中から前記サーバ特定情報を読み出して、このサーバ特定情報を用いて特定されたリアルサーバに対して前記アクセス要求メッセージを送信するステップとを順次実行するネットワークシステムのアクセス方法である。

本発明の請求項５は、前記ロードバランサは、前記ネットワークを介して前記クライアント端末から前記第１回目のアクセス要求メッセージを受信したときに、生成された前記サーバ特定情報を暗号化するとともにその復号鍵情報を保持するステップと、暗号化サーバ特定情報をアクセス識別情報中に追加して前記で特定されたリアルサーバにアクセス要求メッセージを送信するステップと、前記で特定されたリアルサーバから前記暗号化サーバ特定情報を含む応答メッセージが前記ネットワークを介して前記クライアント端末に返信された後、前記クライアント端末から前記暗号化サーバ特定情報を付加したアクセス識別情報による第２回目のアクセス要求メッセージを受信すると、前記アクセス識別情報の中から前記暗号化サーバ特定情報を読み出して、自身が保持する復号鍵情報を用いて暗号化サーバ特定情報を復号化し、この復号化されたサーバ特定情報を用いて特定されたリアルサーバに対して前記アクセス要求メッセージを送信するステップとを順次実行する請求項４記載のネットワークシステムのアクセス方法である。

本発明の請求項６は、クライアント端末からネットワークを介して複数のリアルサーバで構成されたデータセンタへのアクセスを行うコンピュータ実行可能なネットワークシステムのアクセスプログラムであって、ＤＮサーバで指定されたアクセス識別情報を含むクライアント端末からのアクセス要求メッセージに基づいてクライアント端末との接続を振り分けるロードバランサを有しており、前記ロードバランサが、前記クライアント端末からの第１回目のアクセス要求メッセージで接続すべきリアルサーバを決定するステップと、前記で決定されたリアルサーバのサーバ特定情報を生成するとともに、このサーバ特定情報を前記アクセス識別情報の中に追加するステップと、前記で決定されたリアルサーバに対して前記アクセス要求メッセージを送信するステップと、前記で特定されたリアルサーバが、前記アクセス要求メッセージを受信して所定の処理を行った後に、前記サーバ特定情報を含む応答メッセージを前記ネットワークを介して前記クライアント端末に返信するステップと、前記クライアント端末が、前記特定されたリアルサーバからの応答メッセージ中のサーバ特定情報を自身の記憶装置に蓄積するステップと、前記クライアント端末が前記サーバ特定情報を付加したアクセス識別情報による第２回目のアクセス要求メッセージを送信するステップと、前記ロードバランサが、前記ネットワークを介して前記第２回目のアクセス要求メッセージを受信するステップと、前記ロードバランサが、前記第２回目のアクセス要求メッセージの中から前記アクセス識別情報の中から前記サーバ特定情報を読み出して、このサーバ特定情報を用いて特定されたリアルサーバに対して前記アクセス要求メッセージを送信するステップとを順次実行するコンピュータ実行可能なネットワークシステムのアクセスプログラムである。

本発明の請求項７は、前記ロードバランサは、前記ネットワークを介して前記クライアント端末から前記第１回目のアクセス要求メッセージを受信したときに、生成された前記サーバ特定情報を暗号化するとともにその復号鍵情報を保持するステップと、暗号化サーバ特定情報をアクセス識別情報中に追加して前記で特定されたリアルサーバにアクセス要求メッセージを送信するステップと、前記で特定されたリアルサーバから前記暗号化サーバ特定情報を含む応答メッセージが前記ネットワークを介して前記クライアント端末に返信された後、前記クライアント端末から前記暗号化サーバ特定情報を付加したアクセス識別情報による第２回目のアクセス要求メッセージを受信すると、前記アクセス識別情報の中から前記暗号化サーバ特定情報を読み出して、自身が保持する復号鍵情報を用いて暗号化サーバ特定情報を復号化し、この復号化されたサーバ特定情報を用いて特定されたリアルサーバに対して前記アクセス要求メッセージを送信するステップとを順次実行する請求項６記載のコンピュータ実行可能なネットワークシステムのアクセスプログラムである。

本発明によれば、アクセスの際に経由するロードバランサ如何によらずに目的のリアルサーバへのアクセスが可能な技術を実現できる。また、前記リアルサーバへのアクセスに際してリアルサーバ情報のセキュリティを確保できる。

本発明のネットワークシステムの全体構成を示すブロック図である実施形態のロードバランサ（ＬＢ）の内部構成を示すハードウエアブロック図である実施形態のロードバランサ（ＬＢ）の機能説明図である

図１は、本実施形態のネットワークシステムの全体構成を示すブロック図である。

同図において、クライアント端末（ＣＬ）は汎用的なパーソナルコンピュータであり、ネットワークアクセス（ＴＣＰ／ＩＰによる所謂インターネットアクセス）が可能であればいかなるものであってもよい。また、ｉＰｈｏｎｅ（アップル社の商標）、Ａｎｄｒｏｉｄ（グーグル社の商標）等のスマートフォン、ＰＤＡさらにはｉモード（ＮＴＴドコモ社の商標）であってもよい。

ＤＮサーバ（ＤＮＳ）は所謂ドメインネームサーバであり、クライアント端末からのホスト名の問い合わせ（１０１）に対して、対応したＩＰアドレスを返答する（１０２）機能を有している。

またデータセンタを構成するリアルサーバはたとえば通販サイトであり、複数のリアルサーバ（ＲＳ１〜５）で構成されている。

ロードバランサ（ＬＢ）は、図２に示すようにネットワーク（ＮＷ）とローカルネットワーク（ＬＮＷ）との間に介装されており、中央処理装置（ＣＰＵ）とメインメモリ（ＭＭ）を中心に、バス（ＢＵＳ）で接続された大規模記憶装置（ＨＤ）を有している。この大規模記憶装置（ＨＤ）には、オペレーティングシステム（ＯＳ）とともに、負荷分散プログラム（ＡＰＬ）や鍵情報（ＫＥＹ）、ユーザデータ（ＤＡＴＡ）等が登録されるようになっている。すなわち、中央処理装置（ＣＰＵ）がバス（ＢＵＳ）およびメインメモリ（ＭＭ）を介して前記負荷分散プログラム（ＡＰＬ）を読み込んでアクセスするリアルサーバ（ＲＳ１〜５）への振り分けを行うことにより、本実施形態の機能が実現されるようになっている。

ここで、ロードバランサ（ＬＢ）は図２に示すようなハードウエアで実現されている場合の他、いずれかのリアルサーバ（ＲＳ１〜５）内において仮想装置として、記憶装置上に設けられたものであってもよい。しかし、以下の説明では説明の便宜上ハードウエアで構成されている場合で説明する。

クライアント端末（ＣＬ）からホスト名の問い合わせ（１０１）があったときに、ＤＮサーバ（ＤＮＳ）は、当該ホスト名に対応したＩＰアドレスを前記クライアント端末（ＣＬ）に対して返信する（１０２）。

このとき、ＤＮサーバ（ＤＮＳ）は、指定されたホスト名（たとえば「ａｂｃ．ｃｏｍ」に対して、３つのロードバランサ（ＬＢ１〜３）のＩＰアドレス「ｘｘｘ１」（便宜上簡略な表記とした）、「ｘｘｘ２」、「ｘｘｘ３」が登録されており、ＤＮＳラウンドロビンによりセッション毎に順番に振り分けられてクライアント端末（ＣＬ）に通知される。

次にクライアント端末（ＣＬ）は、前記ＤＮサーバ（ＤＮＳ）から通知されたロードバランサ（ＬＢ１）のＩＰアドレス（ここでは「ｘｘｘ１」）にアクセス要求メッセージ（ＨＴＴＰリクエスト）を生成・送信する（１０３）。

ここで、図示は省略するが、ロードバランサ（ＬＢ１）は、前記クライアント端末（ＣＬ）からの第１回目のアクセス要求メッセージ（ＨＴＴＰリクエスト）を受け付けると、接続すべきリアルサーバ（たとえばＲＳ１）を決定し、このリアルサーバを特定するサーバ特定情報（たとえば、ＩＤ＝００１）を生成してこれをＨＴＴＰリクエストのリクエストヘッダに追記する。

そして、前記で決定されたリアルサーバ（ＲＳ１）に対して当該ＨＴＴＰリクエストを送信する。

かかるネットワークシステム構成において、ユーザはクライアント端末（ＣＬ）からネットワーク（ＮＷ）を介して個々のリアルサーバ（ＲＳ１〜ＲＳ５）を意識することなく、単にリアルサーバ群を総称するＵＲＬを指定するＨＴＴＰリクエストを送信するだけで当該通販サイトへのアクセスが可能となっている。

ここで、ネットワーク（ＮＷ）を介したＨＴＴＰリクエストを受信して各個別のリアルサーバ（ＲＳ１〜ＲＳ５）に振り分けるために負荷分散装置としてのロードバランサ（ＬＢ１〜ＬＢ３）が介装されている。そして、ロードバランサ（ＬＢ）で振り分けられたリアルサーバ（ＲＳ１）に対して、ＨＴＴＰリクエストが、ローカルネットワーク（ＬＮＷ）を介して送信されるようになっている。

次に、前記ＨＴＴＰリクエストを受信したリアルサーバ（ＲＳ１）が所定の処理（たとえば通販サイトにおける買い物かごへの商品の追加処理等）を行った後に、前記サーバ特定情報（ＩＤ＝００１）を含む応答メッセージ（ＨＴＴＰレスポンス）を前記ネットワーク（ＮＷ）を介して送信元のクライアント端末（ＣＬ）に返信する（１０４）。

クライアント端末（ＣＬ）では、受信した応答メッセージの中からサーバ特定情報（ＩＤ＝００１）を読み出して、これをクッキー（Ｃｏｏｋｉｅ）情報として自身の記憶装置に記憶させる。

次に、このクライアント端末（ＣＬ）が、再度この通販サイトに対してＨＴＴＰリクエストを送信するときに、前記クッキー情報からサーバ特定情報（ＩＤ＝００１）を読み出して、この情報をＨＴＴＰリクエストのリクエストヘッダに付加して送信する（１０５）。

この２回目のＨＴＴＰリクエスト（１０５）を受信したロードバランサ（たとえばＬＢ３）は、当対リクエストの中からサーバ特定情報（ＩＤ＝００１）を読み出して、このサーバ特定情報にしたがって、特定されたリアルサーバ（ＲＳ１）にＨＴＴＰリクエストを送信する。

このように本実施例によれば、第１回目のＨＴＴＰリクエスト（１０３）を受け付けたロードバランサ（ＬＢ１）がサーバ特定情報（ＩＤ＝００１）を生成し、このＨＴＴＰリクエストに追記する。そして、これを受信したリアルサーバ（ＲＳ１）もＨＴＴＰレスポンスにこのサーバ特定情報を含めてクライアント端末に対して返信する（１０４）。そして、クライアント端末（ＣＬ）が次のＨＴＴＰリクエスト（１０５）を生成する際にクッキー情報としてこのサーバ特定情報（ＩＤ＝００１）を含めることで、第１回目と異なるロードバランサ（ＬＢ２）がＨＴＴＰリクエストを処理する際にも、第１回目のアクセスと同じリアルサーバへのアクセスを実現することができる。

ところで、上記のようにサーバ特定情報（ＩＤ＝００１）を平文でＨＴＴＰリクエストに追記した場合、リアルサーバが第三者に特定される可能性がある。そこで、セキュリティを強化するために、本実施形態では図３に示す機能を付加している。

ロードバランサ（ＬＢ）は、前記クライアント端末からの第１回目のアクセス要求メッセージ（ＨＴＴＰリクエスト「ｈｔｔｐ：／／ｘｘｘ１」）（１０３）で接続すべきリアルサーバ（たとえばＲＳ１）を決定すると、このリアルサーバを特定するサーバ特定情報（たとえば、ＩＤ＝００１）を生成する点は前記と同様である。

次に、ロードバランサ（ＬＢ１）の中央処理装置（ＣＰＵ）は、鍵情報（ＫＥＹ）を読み出してこの鍵情報（ＫＥＹ）でサーバ特定情報を暗号化する（ＩＤ＝ＹＹＹ）。このとき用いられる鍵情報（ＫＥＹ）は、秘密鍵暗号による鍵情報であり、ロードバランサ（ＬＢ１〜３）のセットアップ時に設定し、全ロードバランサ間（ＬＢ１〜ＬＢ３）で共有しておくようにする。

ロードバランサ（ＬＢ１）で生成された暗号化サーバ特定情報（ＩＤ＝ＹＹＹ）は前記ＨＴＴＰリクエストのリクエストヘッダに付加される。すなわち、「ｈｔｔｐ：／／ｘｘｘ１」のリクエストラインに続くメッセージヘッダに「Ｘ‐Ｓｔｉｃｋｙ‐ＩＤ＝ＹＹＹ」が追加されてリアルサーバ（ＲＳ１）に送信される。

次に、前記ＨＴＴＰリクエストを受信したリアルサーバ（ＲＳ１）が所定の処理（たとえば通販サイトにおける買い物かごへの商品の追加処理等）を行った後に、前記暗号化サーバ特定情報（ＩＤ＝ＹＹＹ）をリクエストヘッダに書き込んだ応答メッセージ（ＨＴＴＰレスポンス）を前記ネットワーク（ＮＷ）を介して送信元のクライアント端末（ＣＬ）に返信する（１０４）。

クライアント端末（ＣＬ）では、受信した応答メッセージ（ＨＴＴＰレスポンス）の中から前記暗号化サーバ特定情報（ＩＤ＝ＹＹＹ）を読み出して、これをクッキー（Ｃｏｏｋｉｅ）情報として自身の記憶装置に記憶させる。

次に、このクライアント端末（ＣＬ）が、再度この通販サイトに対してＨＴＴＰリクエストを送信するときには、前記クッキー情報から暗号化サーバ特定情報（ＩＤ＝ＹＹＹ）を読み出して、この情報をＨＴＴＰリクエスト（１０５）「ｈｔｔｐ：ｘｘｘ１」のリクエストヘッダに「Ｘ‐Ｓｔｉｃｋｙ‐ＩＤ＝ＹＹＹ」を付加する。

このとき、クライアント端末（ＣＬ）は再度ホスト名をＤＮサーバ（ＤＮＳ）に問い合わせてもよい。このような場合、ＤＮＳラウンドロビン機能により別のロードバランサ（ＬＢ２）のＩＰアドレス（ｈｔｔｐ：ｘｘｘ３）を返信してくる可能性もある。

この場合であっても、クライアント端末は自身が保有するクッキー情報から前記暗号化サーバ特定情報を読み出して、その情報をＨＴＴＰリクエスト（１０５）「ｈｔｔｐ：ｘｘｘ３」のリクエストラインに続くメッセージヘッダに「Ｘ‐Ｓｔｉｃｋｙ‐ＩＤ＝ＹＹＹ」を付加する。

この２回目のＨＴＴＰリクエスト（１０５）を受信したロードバランサ（ここではＬＢ３）は当該ＨＴＴＰリクエストの中から暗号化サーバ特定情報（ＩＤ＝ＹＹＹ）を読み出して、前記ロードバランサ（ＬＢ１）と共有している鍵情報（ＫＥＹ）に基づいてこれを復号化する。この結果で得られたサーバ特定情報（ＩＤ＝００１）に基づいて、これで特定されたリアルサーバ（ＲＳ１）に対して前記ＨＴＴＰリクエストを送信する。このとき、暗号化サーバ特定情報（ＩＤ＝ＹＹＹ）はそのままＨＴＴＰリクエストのリクエストヘッダに含めておくことが望ましい。これにより第３回目以後のＨＴＴＰリクエストも特定されたリアルサーバ（ＲＳ１）に到達させることができるようになる。

このように本実施例によれば、第１回目のＨＴＴＰリクエスト（１０３）を受け付けたロードバランサ（ＬＢ１）がサーバ特定情報（ＩＤ＝００１）を生成し、これを暗号化して前記ＨＴＴＰリクエストに追記しておく。そして、リアルサーバ（ＲＳ１）は応答メッセージ（ＨＴＴＰレスポンス）にこの暗号化サーバ特定情報（ＩＤ＝ＹＹＹ）を含めるようにしてクライアント端末（ＣＬ）に返信しておく（１０４）。さらに、クライアント端末（ＣＬ）が次のＨＴＴＰリクエスト（１０５）を生成する際にはクッキー情報としてこの暗号化サーバ特定情報（ＩＤ＝ＹＹＹ）をそのリクエストヘッダに含めることで、第１回目のアクセス時のロードバランサ（ＬＢ１）とは異なるロードバランサ（ＬＢ３）が前記ＨＴＴＰリクエスト（１０５）を処理する際にも、そのロードバランサ（ＬＢ３）は、ロードバランサ間で共有している鍵情報を用いて複合化することでアクセスすべきリアルサーバ（ＲＳ１）を特定することができるようになっている。

しかも、暗号化サーバ特定情報（ＩＤ＝ＹＹＹ）は、ネットワーク（ＮＷ）においてもローカルネットワーク（ＬＮＷ）においても暗号化されたままの状態でＨＴＴＰリクエストおよび応答メッセージ（レスポンス）に含まれているため、第三者にアクセスすべきリアルサーバ（ＲＳ１）の情報が漏洩することなく、セキュリティの高いリアルサーバアクセスが可能となる。

以上、本発明を実施形態に基づいて説明したが、本発明は上記に限定されるものではない。たとえばクライアント端末（ＣＬ）において、暗号化サーバ特定情報（ＩＤ＝ＹＹＹ）をクッキー（Ｃｏｏｋｉｅ）情報として自身の記憶装置に登録させるようにしたが、必ずしもクッキーである必要はない。要するにリアルサーバ（ＲＳ１）からの暗号化サーバ特定情報を含む応答メッセージ（レスポンス）をクライアント端末（ＣＬ）が保持しておければよい。

また、クライアント端末からリアルサーバへのアクセスリクエストはＨＴＴＰリクエストを例として説明したが、これに限られず他の通信プロトコルでもよい。要するにクライアント端末が情報を保持することができて、この情報を付加したアクセス要求に基づいてロードバランサが当該情報を読み出して解釈できるものであれば如何なるものであっても
よい。

本発明は、通販サイト等の複数のリアルサーバで構成されるデータセンタにおけるネットワークアクセスに利用できる。

ＣＬクライアント端末
ＮＷネットワーク
ＬＢ１〜ＬＢ３ロードバランサ
ＬＮＷローカルネットワーク
ＲＳ１〜ＲＳ５リアルサーバ
ＣＰＵ中央処理装置
ＭＭメインメモリ
ＢＵＳバス
ＨＤ大規模記憶装置
ＯＳオペレーティングシステム
ＡＰＬ負荷分散アプリケーションプログラム
ＫＥＹ鍵情報
ＤＮＳドメインネームサーバ

Claims

クライアント端末からネットワークを介して複数のリアルサーバで構成されたデータセンタへのアクセスを行うネットワークシステムであって、
前記クライアント端末からのアクセス要求メッセージに基づいて複数のリアルサーバのいずれかのアクセス識別情報を前記クライアント端末に通知するＤＮサーバと、
前記ＤＮサーバで指定されたアクセス識別情報を含むクライアント端末からのアクセス要求メッセージに基づいてクライアント端末との接続を振り分けるロードバランサとを有しており、
前記ロードバランサは、前記クライアント端末からの前記アクセス識別情報を含む第１回目のアクセス要求メッセージで接続すべきリアルサーバを決定する処理と、
前記で決定されたリアルサーバのサーバ特定情報を生成するとともに、このサーバ特定情報を前記アクセス識別情報の中に追加する処理と、
前記で決定されたリアルサーバに前記アクセス要求メッセージを送信することで、前記クライアント端末と前記で決定されたリアルサーバへの接続を実現する処理とを実行し、
前記で特定されたリアルサーバから前記サーバ特定情報を含む応答メッセージが前記ネットワークを介して前記クライアント端末に返信された後、前記クライアント端末から前記サーバ特定情報を付加したアクセス識別情報による第２回目のアクセス要求メッセージを受信すると、前記アクセス識別情報の中から前記サーバ特定情報を読み出して、このサーバ特定情報を用いて特定されたリアルサーバに対して前記アクセス要求メッセージを送信する処理と、
を実行するネットワークアクセスシステム。
前記アクセス識別情報はＨＴＴＰリクエストであり、前記クライアント端末からの第２回目のアクセス要求メッセージに付加されるアクセス識別情報中のサーバ特定情報は、前記第１回目のリアルサーバからの応答メッセージによって前記クライアント端末内に蓄積されたクッキー情報から取得されることを特徴とする請求項１記載のネットワークアクセスシステム。
前記ロードバランサは、前記ネットワークを介して前記クライアント端末から前記第１回目のアクセス要求メッセージを受信したときに、生成された前記サーバ特定情報を暗号化するとともにその復号鍵情報を保持し、
暗号化サーバ特定情報をアクセス識別情報中に追加して前記で特定されたリアルサーバにアクセス要求メッセージを送信するとともに、
前記で特定されたリアルサーバから前記暗号化サーバ特定情報を含む応答メッセージが前記ネットワークを介して前記クライアント端末に返信された後、前記クライアント端末から前記暗号化サーバ特定情報を付加したアクセス識別情報による第２回目のアクセス要求メッセージを受信すると、
前記アクセス識別情報の中から前記暗号化サーバ特定情報を読み出して、自身が保持する復号鍵情報を用いて暗号化サーバ特定情報を復号化し、
この復号化されたサーバ特定情報を用いて特定されたリアルサーバに対して前記アクセス要求メッセージを送信する処理と、
を実行する請求項１記載のネットワークアクセスシステム。
クライアント端末からネットワークを介して複数のリアルサーバで構成されたデータセンタへのアクセスを行うネットワークシステムのアクセス方法であって、
ＤＮサーバで指定されたアクセス識別情報を含むクライアント端末からのアクセス要求メッセージに基づいてクライアント端末との接続を振り分けるロードバランサを有しており、
前記ロードバランサが、前記クライアント端末からの前記アクセス識別情報を含む第１回目のアクセス要求メッセージで接続すべきリアルサーバを決定するステップと、
前記で決定されたリアルサーバのサーバ特定情報を生成するとともに、このサーバ特定情報を前記アクセス識別情報の中に追加するステップと、
前記で決定されたリアルサーバに対して前記アクセス要求メッセージを送信するステップと、
前記で特定されたリアルサーバが、前記アクセス要求メッセージを受信して所定の処理を行った後に、前記サーバ特定情報を含む応答メッセージを前記ネットワークを介して前記クライアント端末に返信するステップと、
前記クライアント端末が、前記特定されたリアルサーバからの応答メッセージ中のサーバ特定情報を自身の記憶装置に蓄積するステップと、
前記クライアント端末が前記サーバ特定情報を付加したアクセス識別情報による第２回目のアクセス要求メッセージを送信するステップと、
前記ロードバランサが、前記ネットワークを介して前記第２回目のアクセス要求メッセージを受信するステップと、
前記ロードバランサが、前記第２回目のアクセス要求メッセージの中から前記アクセス識別情報の中から前記サーバ特定情報を読み出して、このサーバ特定情報を用いて特定されたリアルサーバに対して前記アクセス要求メッセージを送信するステップと
を順次実行するネットワークシステムのアクセス方法。
前記ロードバランサは、前記ネットワークを介して前記クライアント端末から前記第１回目のアクセス要求メッセージを受信したときに、生成された前記サーバ特定情報を暗号化するとともにその復号鍵情報を保持するステップと、
暗号化サーバ特定情報をアクセス識別情報中に追加して前記で特定されたリアルサーバにアクセス要求メッセージを送信するステップと、
前記で特定されたリアルサーバから前記暗号化サーバ特定情報を含む応答メッセージが前記ネットワークを介して前記クライアント端末に返信された後、前記クライアント端末から前記暗号化サーバ特定情報を付加したアクセス識別情報による第２回目のアクセス要求メッセージを受信すると、前記アクセス識別情報の中から前記暗号化サーバ特定情報を読み出して、自身が保持する復号鍵情報を用いて暗号化サーバ特定情報を復号化し、この復号化されたサーバ特定情報を用いて特定されたリアルサーバに対して前記アクセス要求メッセージを送信するステップと
を順次実行する請求項４記載のネットワークシステムのアクセス方法。
クライアント端末からネットワークを介して複数のリアルサーバで構成されたデータセンタへのアクセスを行うコンピュータ実行可能なネットワークシステムのアクセスプログラムであって、
ＤＮリアルサーバで指定されたアクセス識別情報を含むクライアント端末からのアクセス要求メッセージに基づいてクライアント端末との接続を振り分けるロードバランサを有しており、
前記ロードバランサが、前記クライアント端末からの第１回目のアクセス要求メッセージで接続すべきリアルサーバを決定するステップと、
前記で決定されたリアルサーバのサーバ特定情報を生成するとともに、このサーバ特定情報を前記アクセス識別情報の中に追加するステップと、
前記で決定されたリアルサーバに対して前記アクセス要求メッセージを送信するステップと、
前記で特定されたリアルサーバが、前記アクセス要求メッセージを受信して所定の処理を行った後に、前記サーバ特定情報を含む応答メッセージを前記ネットワークを介して前記クライアント端末に返信するステップと、
前記クライアント端末が、前記特定されたリアルサーバからの応答メッセージ中のサーバ特定情報を自身の記憶装置に蓄積するステップと、
前記クライアント端末が前記サーバ特定情報を付加したアクセス識別情報による第２回目のアクセス要求メッセージを送信するステップと、
前記ロードバランサが、前記ネットワークを介して前記第２回目のアクセス要求メッセージを受信するステップと、
前記ロードバランサが、前記第２回目のアクセス要求メッセージの中から前記アクセス識別情報の中から前記サーバ特定情報を読み出して、このサーバ特定情報を用いて特定されたリアルサーバに対して前記アクセス要求メッセージを送信するステップと
を順次実行するコンピュータ実行可能なネットワークシステムのアクセスプログラム。
前記ロードバランサは、前記ネットワークを介して前記クライアント端末から前記第１回目のアクセス要求メッセージを受信したときに、生成された前記サーバ特定情報を暗号化するとともにその復号鍵情報を保持するステップと、
暗号化サーバ特定情報をアクセス識別情報中に追加して前記で特定されたリアルサーバにアクセス要求メッセージを送信するステップと、
前記で特定されたリアルサーバから前記暗号化サーバ特定情報を含む応答メッセージが前記ネットワークを介して前記クライアント端末に返信された後、前記クライアント端末から前記暗号化サーバ特定情報を付加したアクセス識別情報による第２回目のアクセス要求メッセージを受信すると、前記アクセス識別情報の中から前記暗号化サーバ特定情報を読み出して、自身が保持する復号鍵情報を用いて暗号化サーバ特定情報を復号化し、この復号化されたサーバ特定情報を用いて特定されたリアルサーバに対して前記アクセス要求メッセージを送信するステップと
を順次実行する請求項６記載のコンピュータ実行可能なネットワークシステムのアクセスプログラム。