WO2006068024A1 - アドレス変換装置およびアドレス変換方法 - Google Patents

アドレス変換装置およびアドレス変換方法 Download PDF

Info

Publication number
WO2006068024A1
WO2006068024A1 PCT/JP2005/023030 JP2005023030W WO2006068024A1 WO 2006068024 A1 WO2006068024 A1 WO 2006068024A1 JP 2005023030 W JP2005023030 W JP 2005023030W WO 2006068024 A1 WO2006068024 A1 WO 2006068024A1
Authority
WO
WIPO (PCT)
Prior art keywords
address
global
network
private
packet
Prior art date
Application number
PCT/JP2005/023030
Other languages
English (en)
French (fr)
Inventor
Tomofumi Tamura
Yuji Hashimoto
Satoshi Iino
Kenichiro Iida
Atsushi Kamikura
Original Assignee
Matsushita Electric Industrial Co., Ltd.
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Matsushita Electric Industrial Co., Ltd. filed Critical Matsushita Electric Industrial Co., Ltd.
Priority to US11/722,324 priority Critical patent/US20100014521A1/en
Publication of WO2006068024A1 publication Critical patent/WO2006068024A1/ja

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/25—Mapping addresses of the same type
    • H04L61/2503—Translation of Internet protocol [IP] addresses
    • H04L61/2514—Translation of Internet protocol [IP] addresses between local and global IP addresses
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/25—Mapping addresses of the same type
    • H04L61/2503—Translation of Internet protocol [IP] addresses
    • H04L61/255—Maintenance or indexing of mapping tables
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/50—Address allocation
    • H04L61/5038—Address allocation for local use, e.g. in LAN or USB networks, or in a controller area network [CAN]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/08—Protocols for interworking; Protocol conversion
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/08—Protocols for interworking; Protocol conversion
    • H04L69/085—Protocols for interworking; Protocol conversion specially adapted for interworking of IP-based networks with other networks

Definitions

  • the present invention relates to an address translation device and an address translation method, and more particularly to an address translation device and an address translation method in a gateway or the like between a global network and a private network.
  • NAT Network address transfer
  • a proxy server is a relay device that terminates input data at the application layer level, and then assigns the IP address of the local server to the IP packet and transfers it to the transfer destination.
  • the HTTP protocol is used between the host and the Web server, and an HTTP proxy server is placed at the network boundary.
  • the HTTP proxy server terminates HTTP messages from the host at the application layer level.
  • the HTTP proxy server sets its own global IP address in the IP packet and forwards it to the Web server. Private from hosts in the global network The reverse of the above is performed for access to web servers in the network
  • Patent Document 1 Therefore, for example, a technique disclosed in Patent Document 1 has been considered as a method for realizing NAT to a private network and a global network without using a proxy server.
  • the network disclosed in Patent Document 1 is mainly composed of a private network 10, a global network 20, and 30 DMZs (Demilitized Zones).
  • PA1 force “PA5” indicates a private IP address
  • GA1 force 3 ⁇ 4 “GA5” indicates a global IP address.
  • the private network 10 includes a host 10a (private IP address "PA3") with a domain name "a.private.com”, and a D NS (Domain Name System) server 10b that manages the domain names of the hosts in the private network 10. (Private IP address “PA2”), and L2 — SWIOc.
  • the global network 20 is a DNS server that manages the IP public network 20a, the host 20b with the domain name “a.global.com” (global IP address “GA4”), and the domain names of the hosts in the global network 20. 20c (global IP address “085”).
  • the DMZ 30 that can be accessed from both the private network 10 and the global network 20 is an address translation / filtering device 30a (private IP address “PA1” and global IP address “GA1”) that performs address translation.
  • DNS server 30b global IP address “GA2” that performs name resolution for network 10 or global network 20
  • router 30c global IP address “GA3” that forwards IP packets to the global network
  • the host 10a in the private network 10 For example, access to the host 20b in the global network 20 is performed as shown in FIG.
  • the host 10a sends a name resolution request (DNS query) to the DNS server 10b for the domain name “a.global.com” of the host 20b. Since the domain name “a.global.com” is not registered in the DNS server 10b, a return query is made to the DNS server 30b in the DMZ 30. At that time, the source address and the destination address are converted from the private IP address to the global IP address by the address translation / filtering device 30a.
  • DNS query name resolution request
  • the DNS server 20c that has received the recursive query from the DNS server 30b via the router 30c and the IP public network 20a searches for “a.global.com” from the name-one-address table stored in its own server, Get the global IP address “GA4” of host 20b (name resolution). The DNS server 20c transfers the acquired global IP address “GA4” to the DNS server 30b.
  • the DNS server 30b associates the unused private IP address “PA5” with the global IP address “GA4” in the address management table held by the server itself, and performs the address conversion / filtering device 30a. Send the address registration request.
  • the address translation / filtering device 30a registers the private IP address “PA5” and the global IP address “GA4” in the address translation table held by itself, and transfers the address registration completion to the DNS server 30b.
  • the DNS server 30b transmits the private IP address “PA5” to the DNS server 10b in the private network 10 via the address translation / filtering device 30a.
  • the DNS server 10b transfers a DNS answer to the host 10a, and the host 10a starts access to the host 20b. That is, the host 10a transmits the IP packet to the address translation / filtering device 30a using the notified private IP address “PA 5” as the destination address.
  • the address translation / filtering device 30a translates the private IP address “PA5” of the destination address to the global IP address “GA4” based on the address translation table. Also, the address translation / filtering device 30a generates a port mapping for the source address “PA3”, registers it in the address translation table, and translates the source address / port into a global IP address Z port corresponding to the mapping. To do. Address translation.
  • the filtering device 30a transmits the IP packet subjected to NAT as described above to the host 20b of the global network 20. Thereafter, in communication from the host 10a of the private network 10 to the host 20b of the global network 20, Twice NAT (Twice) where both the source address and the destination address are converted based on the address conversion table in the address conversion / filtering device 30a. -NAT) is implemented.
  • a DMZ is provided between the private network and the global network, and Twice NAT is performed, so that the private network power can be improved without using a proxy server such as an HTTP proxy server or a SIP proxy server. Access to the global network becomes possible.
  • Patent Document 1 Japanese Unexamined Patent Application Publication No. 2004-304235
  • FIG. 3 is a sequence diagram showing an example of access from the host 20b in the global network 20 to the host 10a in the private network 10 in the network configuration of FIG.
  • the host 20b in the global network 20 transmits a DNS query to the DNS server 20c registered in advance in order to perform name resolution of the domain name “a.private.com” of the host 10a.
  • the DNS server 20c makes a recursive query to the DNS server 30b in the DMZ 30 because “a.private.com” is not registered in the name-one-address table held in its own server.
  • the DNS server 30b refuses name resolution because of the name query of the global network 20 power that knows that "a.private.com” is registered in the DNS server 10b in the private network 10. Forward error to server 20c. Then, the DNS server 20c transfers an error to the host 20b. Therefore, the host 20b in the global network 20 cannot access the host 10a in the private network 10.
  • access denial is performed in response to a name inquiry from the global network 20. If not, the ability to access the private network 10 from the global network 20 can be easily accessed by a third party, and security is compromised.
  • An object of the present invention is to enable access from the global network side to the private network side while maintaining security, and to realize mutual communication between the global network and the private network, and It is to provide an address translation method.
  • the address translation device is an address translation device provided between a first network including a packet transmission destination and a second network including a packet transmission source, the packet transmission destination Setting means for associating and setting a temporary address in the second network to an address in the first network, and a first transmission means for transmitting the set temporary address to the packet transmission source; Conversion means for converting a destination address and a transmission source address of a packet transmitted from the packet transmission source into an address in the first network; and a second unit for transmitting the packet after the address conversion to the packet transmission destination. And a second transmission means.
  • the address translation method is an address translation method between a first network including a packet transmission destination and a second network including a packet transmission source. Associating an address in the first network with a temporary address in the second network, setting the temporary address in the second network, transmitting the set temporary address to the packet source, and transmitting from the packet source A destination address and a source address of the packet to be converted to an address in the first network, and a step of transmitting the address-converted packet to the packet destination.
  • a temporary address is associated with the packet transmission destination, and the transmission source address and destination address of the packet transmitted from the packet transmission source to the temporary address are converted into addresses in the first network. Since the packet is sent to the packet destination, the address of the packet source can be concealed from the packet destination. The packet destination address can be concealed. Therefore, while maintaining security, access from the global network side to the private network side is possible, and mutual communication between the global network and the private network can be realized.
  • FIG. 1 is a diagram showing an example of a conventional network configuration
  • FIG. 2 Sequence diagram showing an example of access between a private network and a global network in a conventional network configuration
  • FIG. 4 is a diagram showing an example of a network configuration according to Embodiment 1 of the present invention.
  • FIG. 5 is a block diagram showing a configuration of the gateway device according to the first embodiment.
  • FIG. 6 is a diagram showing an example of a name-one address table according to the first embodiment.
  • FIG. 7 is a diagram showing an example of a private IP address management table according to the first embodiment.
  • FIG. 8 is a diagram showing an example of a global IP address management table according to the first embodiment.
  • FIG. 9 is a diagram showing an example of an address conversion table according to the first embodiment.
  • FIG. 10 is a flowchart showing processing of the table setting unit according to the first embodiment.
  • FIG. 11 is a flowchart showing processing of the Twice NAT processing unit according to the first embodiment.
  • FIG. 12 is a sequence diagram showing an example of access between the private network and the global network according to the first embodiment.
  • FIG. 13 is a sequence diagram showing another example of access between the private network and the global network according to Embodiment 1.
  • FIG. 14 is a block diagram showing a configuration of a gateway device according to Embodiment 2 of the present invention.
  • FIG. 15 shows an example of an SRV record according to the second embodiment.
  • FIG. 16 shows an example of an address management table according to the second embodiment.
  • FIG. 17 is a diagram showing an example of a port management table according to the second embodiment.
  • FIG. 18 is a diagram showing an example of an address conversion table according to the second embodiment.
  • FIG. 19 is a flowchart showing processing of the table setting unit according to the second embodiment.
  • FIG. 20 is a flowchart showing processing of a Twice NAT processing unit according to the second embodiment.
  • FIG. 21 is a sequence diagram showing an example of access between the private network and the global network according to the second embodiment.
  • FIG. 22 is a block diagram showing a configuration of a gateway device according to Embodiment 3 of the present invention.
  • FIG. 23 is a sequence diagram showing a table setting operation according to the third embodiment.
  • FIG. 24 is a sequence diagram showing an example of access between the private network and the global network according to the third embodiment.
  • FIG. 4 is a diagram showing an example of a network configuration according to Embodiment 1 of the present invention.
  • the network shown in FIG. 1 includes a private network 100, a global network 200, and a gateway device 300.
  • the private network 100 includes a host 100a (private IP address “PA3”) with a domain name “a.private.com” and a DNS server 100b (private IP address “PA2”) that manages the domain names of the hosts in the private network 100. )), And L2-SWIOOc.
  • the global network 200 includes an IP public network 200a, a host 200b with the domain name “a.global.com” (global IP address “GA4”), and a DNS server that manages the domain names of the hosts in the global network 200.
  • the gateway device 300 has a DNS proxy function and a Twice NAT function.
  • FIG. 5 is a block diagram showing a configuration of gateway apparatus 300 according to the present embodiment.
  • the gateway device 300 includes a private network interface unit. 301, reception identification unit 302, DNS message identification unit 303, name resolution unit 304, name address tape relay 305, DNS message generation unit 306, table setting unit 307, private IP address management table 308, global IP address management table 309, address conversion A tape relay 310, a Twice NAT processing unit 311, a transmission unit 312, a global network interface unit 313, a reception identification unit 314, and a transmission unit 315 are included.
  • the private network interface unit 301 is an interface with the private network 100.
  • the private network interface unit 301 outputs a signal received from the private network 100 to the reception identification unit 302, and outputs a signal output from the transmission unit 315 to the private network. ⁇ Send to 100.
  • the reception identifying unit 302 identifies whether or not the signal from the private network 100 is a DNS message related to name resolution, and forwards the DNS message to the DNS message identifying unit 303, while receiving a message other than the DNS message. Transfer to Twice NAT processing unit 311.
  • the DNS message identification unit 303 includes a name query including a domain name to which the packet is transferred, a matching message (hereinafter simply referred to as “name query, matching”) or a packet message.
  • name query including a domain name to which the packet is transferred
  • matching a matching message
  • address reply including the IP address of the forwarding destination
  • address reply is identified as being out of place, and the name reply and combination are forwarded to the name resolution unit 304. Transfer to table setting unit 307.
  • the name resolution unit 304 extracts a domain name included in the name query, searches for a domain name from the name-address table 305, and acquires an address corresponding to the domain name.
  • the name resolution unit 304 transfers the IP address information to the DNS message generation unit 306, and instructs the IP address information to be transferred to the name query transmission source as an address reply. To do.
  • the name resolution unit 304 instructs the DNS message generation unit 306 to transfer the name query and combination to another DNS server capable of name resolution.
  • the name-one address table 305 holds domain names and addresses in association with each other, and is referred to when name resolution is performed by the name resolution unit 304.
  • the address held in the name-address table 305 is the address conversion table 3 described later.
  • a private IP address (for example, “PA4J”) is associated with the domain name (for example, “a.global.com”) of the host of the global network 200 (for example, host 200b).
  • a global IP address (for example, “GA2”) is associated with a domain name (for example, “a.private.com”) of a host of the private network 100 (for example, host 100a).
  • the DNS message generation unit 306 generates a name inquiry or address reply message and transfers it to the designated transfer destination.
  • the table setting unit 307 determines the correspondence between the private IP address and the global IP address and registers it in the name-address table 305 and the address conversion table 310. The processing of the table setting unit 307 will be described in detail later.
  • the private IP address management table 308 is a list of private IP addresses that can be assigned to hosts (for example, the host 200b) of the global network 200, as shown in FIG. 7, for example. In other words, the private IP address management table 308 indicates whether each private IP address can be used (“No” if used for other mapping, “No” if used, “Yes” if used). ) Manage.
  • the global IP address management table 309 is a list of global IP addresses that can be assigned when address mapping is performed, for example, as shown in FIG. In other words, the global IP address management table 309 indicates whether each global IP address can be used (“No” if used for other mapping, “No” if used, and “Yes” if used). ) And manage.
  • the address conversion table 310 holds a private IP address and a global IP address in association with each other, and is referred to at the time of Twice NAT by the Twice NAT processing unit 311.
  • Twice NAT processing unit 311 converts both the source address and the destination address of messages other than DNS from private network 100 or global network 200 into a global IP address or a private IP address, and transmits to 311 Or, output to transmitter 315. The processing of the Twice NAT processing unit 311 will be described in detail later.
  • the transmission unit 312 transmits the signal output from the Twice NAT processing unit 311 to the global network.
  • the data is transmitted to the global network 200 via the single interface unit 313.
  • Global network interface unit 313 is an interface with global network 200, transmits a signal output from transmission unit 312 to global network 200, and receives a signal received from global network 200 as a reception identification unit. 3 Output to 14.
  • the reception identifying unit 314 identifies whether the signal from the global network 200 is a DNS message related to name resolution, and forwards the DNS message to the DNS message identifying unit 303, while receiving a message other than the DNS message. Transfer to Twice NAT processing unit 311.
  • Transmitting section 315 transmits the signal output from Twice NAT processing section 311 to private network 100 via private network interface section 301.
  • the table setting unit 307 receives an address reply from the DNS message from the DNS message identifying unit 303. Information is extracted from the address reply by the table setting unit 307 (ST1000), and it is determined whether or not the IP address included in the address reply is a global IP address (ST1100).
  • the table setting unit 307 selects an available private IP address from the private IP address management table 308, and the global IP address included in the address reply is selected.
  • the selected private IP address is assigned to the IP address (ST1200).
  • These global IP addresses and private IP addresses are associated with each other and registered in the address translation table 310 (ST1300).
  • the domain name corresponding to the global IP address and the selected private IP address are registered in the name-one address table 305 (ST1400).
  • the table setting unit 307 instructs the DNS message generation unit 306 to transfer the private IP address selected in ST1200 as an address reply to the DNS server 100b in the private network 100 (ST1500).
  • the table setting unit 307 selects an available global IP address from the global IP address management table 309, and assigns the selected global IP address to the private IP address included in the address response ( ST1600). Then, these private IP addresses and global IP addresses are associated with each other and registered in the address conversion table 310 (ST1700). Also, the domain name corresponding to the private IP address and the selected global IP address are registered in the name-one address table 305 (ST1800). Thereafter, the table setting unit 307 instructs the DNS message generation unit 306 to transfer the global IP address selected in ST1600 to the DNS server 200c in the global network 200 as an address reply (ST1 900).
  • a global IP address is assigned to a host (for example, the host 100a) in the private network 100, and the global The host in network 200 (for example, host 200b) is assigned a private IP address.
  • a message such as an IP packet other than the DNS message is input from the reception identification unit 302 or the reception identification unit 314 to the Twice NAT processing unit 311 (ST2000). Then, the source address and destination address of the IP packet are acquired by the twice NAT processing unit 311 (ST2010), and it is determined whether the IP packet transfer destination is the global network 200 or the private network 100. (ST2020).
  • Twice NAT processing section 311 searches for the destination address in address translation table 310 (ST2030), and determines the presence or absence of the destination address (ST2040). As a result, if the destination address is not registered in the address translation table 310, the packet is discarded (ST2120). If the destination address is registered in the address conversion table 310, the address conversion table 310 is referred to and the destination address is converted into a corresponding global IP address (ST2050). [0050] Thereafter, the source address is searched from address conversion table 310, and the presence or absence of the source address is determined (ST2060).
  • the source address is registered in the address translation table 310, the source address is converted to the corresponding global IP address (ST2070), and the 1? Packet is transferred to the transmitter 312 (three 2080).
  • the source address is not registered in the address translation table 310, the fact is notified to the table setting unit 307, and an available global IP address is selected from the global IP address management table 309 (ST2090).
  • the source address of the IP packet and the selected global IP address are associated with each other and registered in the address conversion table 310 (ST2100).
  • the Twice NAT processing unit 311 converts the source address to the selected global IP address (ST2110), and the IP packet is transferred to the transmission unit 312 (ST2080).
  • the forwarding destination is the private network 100 as a result of the semi-IJ setting of ST2020
  • the destination address is searched from the address translation table 310 by the Twice NAT processing unit 311 (ST2130), and the presence / absence of the destination address is determined. It is determined (ST2140). As a result, if the destination address is not registered in address translation table 310, the packet is discarded (ST2120). If the destination address is registered in the address conversion table 310, the address conversion table 310 is referred to, and the destination address is converted into the corresponding private IP address (ST2150).
  • the source address is searched from address conversion table 310, and the presence or absence of the source address is determined (ST2160).
  • the transmission source address is registered in the address conversion table 310, the transmission source address is converted into a corresponding private IP address (ST2170), and the IP packet is transferred to the transmission unit 315 (ST2180).
  • the source address is not registered in the address translation table 310, the fact is notified to the table setting unit 307, and an available private IP address is selected from the private IP address management table 308 (ST2190).
  • the source address of the IP packet and the selected private IP address are associated with each other and registered in the address conversion table 310 (ST2200).
  • the Twice NAT processing unit 311 converts the source address to the selected private IP address (ST2210), and forwards the IP packet to the transmission unit 315. (ST2180).
  • the host 100a in the private network 100 transmits a name resolution request (DNS query) 400 of the domain name “a.global.com” to the DNS server 100b in the private network 100.
  • DNS query name resolution request
  • the domain name “a.global.com” is registered in the DNS server 100b, so that the name query and the combination 401 are transmitted to the gateway device 300.
  • the name inquiry 401 is input to the name resolution unit 304 via the private network interface unit 301, the reception identification unit 302, and the DNS message identification unit 303 of the gateway device 300, and the name resolution unit 304 performs name resolution. Will be tried. That is, the domain name “a.global.com” is searched in the name-address table 305. Here, if the host 200b having the domain name “a.global.com” has been accessed from the private network 100 in the past, the name address table 305 corresponds to the domain name “a.global.com”. Since the private IP address is registered, this private IP address is returned to the host 100a.
  • the name inquiry is generated by the DNS message generation unit 306, and the name inquiry 402 is transferred to the DNS server 200c in the global network 200.
  • the D NS Sano 200c searches for “a.global.com” from the name-one address table stored in its own server, and obtains the global IP address “GA4”. After acquiring the global IP address, the DNS Sano 200c transfers the address reply 403 including the global IP address “GA4” to the gateway device 300.
  • the gateway apparatus 300 that has received the address reply 403 performs processing by the table setting unit 307 described above.
  • a usable private IP address “PA4” is selected from the private IP address management table 308 and is registered in the address conversion table 310 in association with the actual global IP address “GA4”.
  • the domain name “a.global.com” and the private IP address “PA4” are registered in the name-address table 305.
  • the DNS message generation unit 306 After the processing by the table setting unit 307 is completed, the DNS message generation unit 306 generates an address response including the private IP address “PA4”, and the address response 404 is transmitted from the transmission unit 315 to the private network interface unit 301. Sent to DNS server 100b via.
  • the DNS server 100b forwards the DNS reply 405 to the effect that the IP address of the domain name “a.global.com” is the private IP address “PA4” to the host 100a. Therefore, the actual global IP address “GA4” of the host 200b in the global network 200 is hidden from the host 100a and the DNS server 100b in the private network 100. Then, the host 100a transmits the IP packet 406 to the gateway device 300 with the source address as the private IP address “PA3” and the destination address as the private IP address “PA4”.
  • the gateway device 300 that has received the IP packet 406 performs processing by the Twice NAT processing unit 311 described above. That is, the address translation table 310 is referenced by the Twice NAT processing unit 311 and the private IP address “PA4” of the destination address is converted to the global IP address “GA4”.
  • the Twice NAT processing unit 311 generates an address mapping for the source address, and converts the source address “PA3” to the global IP address “GA1” corresponding to the mapping. In this way, after Twice NAT is performed in which both the destination address and the source address are converted to the global IP address, the IP packet 407 is transmitted to the host 200b in the global network 200. Therefore, for the host 200b in the global network 200, the actual private IP address “PA3” of the host 100a in the private network 100 is concealed.
  • the host 100a in the private network 100 changes to the global network 200.
  • the gateway device 300 performs Twice NAT based on the address translation table 310.
  • the host 200b in the global network 200 transmits a DNS query 450 related to the domain name “a.private.com” to the DNS server 200c in the global network 200.
  • the name inquiry 451 is transmitted to the gateway device 300.
  • Name inquiry 451 includes global network interface unit 313, reception identification unit
  • the name resolution unit 304 attempts name resolution.
  • the description is continued assuming that the domain name “a.private.com” is not registered in the name-one address table 305, as in the case of access from the private network 100 to the global network 200 described above.
  • the name query 452 generated by the DNS message generation unit 306 is transferred to the DNS server 100b in the private network 100.
  • the DNS server 100b searches for “a.private.com” from the name address table held in its own server, and obtains the private IP address “PA3”. After acquiring the private IP address, the DNS server 10 Ob transfers the address reply 45 3 including the private IP address “PA3” to the gateway device 300.
  • the gateway apparatus 300 that has received the address reply 453 performs processing by the table setting unit 307 described above. That is, an available global IP address “GA2” is selected from the global IP address management table 309, and is registered in the address conversion table 310 in association with the actual private IP address “PA3”. The domain name “a.private.com” and the global IP address “GA2” are registered in the name-address table 305.
  • the DNS message generating unit 306 After the processing by the table setting unit 307 is completed, the DNS message generating unit 306 generates an address reply including the global IP address “GA2”, and the address reply 454 is sent by the transmitting unit 3 12 is sent to the DNS server 200c via the global network interface unit 313.
  • the DNS server 200c forwards the DNS reply 455 to the host 200b indicating that the IP address of the domain name “a.private.com” is the global IP address “GA2”. Therefore, the actual private IP address “PA3” of the host 100a in the private network 100 is hidden from the host 200b and the DNS server 200c in the global network 200. Then, the host 200b transmits the IP packet 456 to the gateway device 300 with the source address as the global IP address “GA4” and the destination address as the global IP address “GA2”.
  • the gateway device 300 that has received the IP packet 456 performs processing by the Twice NAT processing unit 311 described above. That is, the Twis NAT processing unit 311 refers to the address translation tape node 310, and the global IP address “GA2” of the destination address is converted to the private IP address “PA3”. Also, the private IP address “PA4” that can be used as a private IP address corresponding to the source address is selected from the private IP address management table 308 by the Twice NAT processing unit 311, and the global IP address “Source IP address” GA4 ”and the selected private IP address“ PA4 ”are registered in the address conversion table 310, and the source address is converted to the private IP address“ PA4 ”.
  • Twice NAT based on the address translation table 310 is performed in the gateway device 300.
  • the gateway device when communication is performed between the global network and the private network, uses the IP address corresponding to the domain name at the time of name resolution in the network of the transmission source.
  • the IP address is converted to an unused IP address and the source address and destination address are Convert to an IP address in the destination network. This enables access from the global network side to the private network side while maintaining security that prevents actual IP addresses from being exchanged across each other's networks. Communication can be realized.
  • a feature of Embodiment 2 of the present invention is that a SRV (SeRVice) record capable of notifying a port number in addition to a name-address table is held, and a global IP address is used as an address reply to a name inquiry from a host in the global network.
  • SRV SeRVice
  • NAPT Network Address Port Transfer
  • FIG. 14 is a block diagram showing a configuration of gateway apparatus 300 according to the present embodiment.
  • the gateway device 300 includes a private network interface unit 301, a reception identification unit 302, a DNS message identification unit 303, a name resolution unit 304, an SRV record / name—address table 501, a DNS message generation unit 306, Has table setting unit 502, address management table 503, port management table 504, address translation table 505, Twice NAT processing unit 506, transmission unit 312, global network interface unit 313, reception identification unit 314, and transmission unit 315 is doing.
  • SRV record Z name-one address table 501 stores the SRV record shown in FIG. 15, for example, in the information of name-one address table 305 of the first embodiment.
  • SRV record is defined in RFC (Request For Comment) 2782 issued by IETF (The Internet Engineering Task Force), providing load balancing service, ensuring redundancy, and notifying service port number For this purpose, it is information necessary for the Internet other than the domain name and IP address.
  • _Service._ Name resolution is performed with Proto.Name. — Of Service._Proto.Name, _Service indicates the service name, and one specified in RFC1700 (for example, www for Web service) or one defined by itself can be used.
  • _Proto indicates the protocol name
  • Name indicates the domain name.
  • priority can be given to each entry registered in the SRV record by the priority (Priority) in the SRV record.
  • a port indicates a service port number
  • a target indicates a host name that provides a service. It is assumed that all port numbers registered in the gateway device 300 of this embodiment are global ports.
  • the table setting unit 502 determines the correspondence between the private IP address and the global IP address, registers it in the SRV record Z name—address table 501 and the address translation tape no. 505, and between the global port and the private port. Is determined and registered in the SRV record / name—address table 501 and address translation table 505. The processing of the table setting unit 502 will be described in detail later.
  • the address management table 503 is a list of private IP addresses that can be assigned to a host (for example, the host 200b) of the global network 200 as shown in FIG. 16, for example.
  • the private IP address management table 308 manages whether or not each private IP address can be used (“No” if used for other mapping, “No” if not used, “Yes”).
  • the port management table 504 is a list of global ports that can be assigned to the host of the private network 100 (for example, the host 100a). In other words, the port management table 504 manages the availability of each global port (“No” if used for other mapping, “No” if used, “Yes” if used). Less, the availability of each global port (“No” if used for other mapping, “No” if used, “Yes” if used). Less, “No” if used, “No” if used, “Yes” if used). Les
  • the address conversion table 505 holds a private IP address, a private port, a global IP address, and a global port in association with each other, and the Twis NAT processing unit 506 performs Twis NAT. Referenced when. Note that the private port and global port are registered in the address conversion table 505. If not, port conversion by the Twice NAT processing unit 506 is not performed.
  • Twice NAT processing unit 506 converts both the source address and destination address of messages other than DNS from private network 100 or global network 200 to a global IP address or a private IP address, and The private port is converted and output to the transmission unit 312 or the transmission unit 315.
  • the processing of the Twice NAT processing unit 506 will be described in detail later.
  • the IP address included in the address reply input to table setting section 502 is a global IP address (ST1100). If the IP address is a global IP address, an available private IP address selected from the address management table 503 is assigned to this global IP address (ST1200), and these global IP address and private IP address are assigned. And are registered in the address translation table 505 (ST1300). Further, the domain name corresponding to the global IP address and the selected private IP address are registered in the SRV record / name-address table 501 (ST3000). Thereafter, the table setting unit 502 sends an instruction to the DNS message generation unit 306 to transfer the address reply including the selected private IP address to the DNS server 10 Ob (ST1500).
  • the table setting unit 502 selects an available global port from the port management table 504, and the private address included in the address reply
  • the selected global port is assigned to the IP address and private port (hereinafter referred to as “private IP address / port”) (ST3100).
  • these private IP address Z port, the global IP address of gateway device 300, and the selected global port are associated with each other and registered in address translation table 505 (ST320 0).
  • the domain name corresponding to the private IP address, the global IP address of the gateway device 300, and the selected global port are the SRV record / name-one address.
  • the table setting unit 502 instructs the DNS message generation unit 306 to forward the global IP address of the gateway device 300 and the global port selected in ST3100 as an address reply to the DNS server 200c in the global network 200. (ST3 400).
  • the gateway device 300 has a gateway device in the private network 100 (for example, the host 100a). 300 global IP addresses and global ports are assigned, and a private IP address is assigned to a host (for example, host 200b) in the global network 200.
  • a message such as an IP packet other than the DNS message is input to the Twice NAT processing unit 506 from the reception identification unit 302 or the reception identification unit 314 (ST2000). Then, as in the first embodiment, the source address, source port, and destination address of the IP packet are acquired by the Twice NAT processing unit 506 (ST2010), and the transfer destination of the IP packet is determined (ST2020). If the IP packet transfer destination is global network 200, the presence / absence of a destination address in address conversion table 505 is determined (ST2040). As a result, if the destination address is not registered in the address translation table 505, the packet is discarded (ST2120). On the other hand, if the destination address is registered in the address translation table 505, the destination address is Converted to the corresponding global IP address (ST2 050).
  • the source address and source port are searched from address translation table 505, and the presence / absence of the source address and source port is determined (ST4000).
  • the source address and source port are registered in the address translation table 505, the source address and source port are converted to the corresponding global IP address and global port (ST4010), respectively, IP packet transferred to 312 (ST2080).
  • the source address and source port are not registered in the address translation table 500, this is notified to the table setting unit 502, and an available global port is selected from the port management table 504 (ST4020). ), The source port of the IP packet and the selected global port are associated with each other and registered in the address translation table 505 (ST4030).
  • Twice NAT processing ⁇ B506 converts the source address and source port to the global IP address of gateway device 300 and the selected global port (ST4040), respectively, and forwards the IP packet to transmitter 312. (ST2080).
  • the Twice NAT processing unit 506 searches the address translation table 505 for the destination address (ST2130) and determines whether the destination port exists. It is determined (ST4050). As a result, if the destination port is not registered in address translation table 505, the packet is discarded (ST2120). If the destination port is registered in address translation table 505, address translation table 505 is referred to, and the destination address and destination port are translated to the corresponding private IP address and private port (ST4060).
  • the private IP corresponding to the source address is stored. It is converted into an address (ST2170), and the IP packet is transferred to transmission section 315 (ST2180). If the source address is not registered in the address translation table 505, an available private IP address is assigned to the source address and registered, and then the source address is converted to this private IP address. (ST2210), the IP packet is transferred to transmission section 315 (ST2180).
  • the two networks In cross-access since both the destination address and the source address and the destination port or the source port are converted into the IP address and port in the packet transfer destination network in the gateway device 300, the two networks In cross-access, the actual IP address of the packet transfer destination can be concealed from the packet source host, and security can be improved.
  • access between the private network 100 and the global network 200 will be described.
  • the access from the private network 100 to the global network 200 according to the present embodiment is the same as in the first embodiment except that not only the source address but also the source port is converted to the global port. The explanation is omitted.
  • the host 200b in the global network 200 sends a DNS query about _361 ⁇ 06 ._? 1-01: 0 ⁇ & 111 ⁇ 2 "_www._tcp.private.com” to the DNS sano 2000 in the global network 200. Send 600.
  • “_Service._Proto.Name www • _tcp.private.com” is registered in the DNS server 200c, so that the name query and the combination 601 are transmitted to the gateway device 300.
  • the name inquiry 601 is input to the name resolution unit 304 via the global network interface unit 313, the reception identification unit 314, and the DNS message identification unit 303, and the name resolution unit 304 attempts name resolution.
  • the name resolution unit 304 attempts name resolution.
  • “Service._Proto.Name www._tcp.private.com” is not registered in the SRV record / name address table 501.
  • the name query 602 generated by the DNS message generation unit 306 is transferred to the DNS server 100b in the private network 100.
  • the DNS server 100b searches for “_www.tcp.private.com” from the name address table held in its own server, and obtains the private IP address “PA3” and the password “aaa”. After acquiring the private IP address / port, the DNS server 100b transfers the address / port answer 603 including the private IP address “PA3” and the private port “aaa” to the gateway device 300.
  • the gateway device 300 that has received the address Z port response 603 performs the processing by the table setting unit 502 described above. That is, the usable global port “ ⁇ ” is selected from the port management table 504, and the global IP address “GA1”, the actual private IP address “PA3”, and the private port “aaa” of the gateway device 300 are selected. And registered in the address conversion table 505.
  • SRV record Z name one add In the response tape 501 —Service.—Proto. Name “—www.—tcp.private.com” is registered in association with Grono IP address “GA1” and global port “xxx”.
  • the DNS message generation unit 306 After the processing by the table setting unit 502 is completed, the DNS message generation unit 306 generates an address reply including the global IP address "GA1" and the global port "xxx", and the address Z port reply 604 transmits it. Part 312 is sent to DNS Sano 200c via global network interface ⁇ 313. DNS sano 200c3 ⁇ 4; to host 200b _Service._Proto.Name "_www._tcp.private.com” IP address force possesso node IP address "0 8 1" and global port “xxx” Forward DNS reply 605. Therefore, for the host 200b and the DNS server 200c in the global network 200, the actual private IP address “PA3” and the private port “aaa” of the host 100a in the private network 100 are concealed. Then, the host 200b transmits the IP packet 606 to the gateway apparatus 300 with the source address as the global IP address “GA4”, the destination address as the global IP address “GA1”, and the destination port as the global port “xxx”.
  • the gateway device 300 that has received the IP packet 606 performs processing by the Twice NAT processing unit 506 described above. That is, the Twis NAT processing unit 506 refers to the address translation tape No. 505 force S, and the global IP address “GA1” of the destination address and the global report “ xxx ” of the destination port are the private IP address “PA3” and the private port, respectively. Converted to “aaa”. In addition, the private IP address “PA4” that can be used as the private IP address corresponding to the source address is selected from the address management table 503 by the Twice NAT processing unit 506, and the global IP address “GA4” that is the source address is selected.
  • the registered private IP address “PA4” is registered in the address conversion table 505, and the source address is converted to the private IP address “PA4”.
  • the IP packet 607 is transmitted to the host 100a in the private network 100. Therefore, the actual global IP address “GA 4” of the host 200b in the global network is hidden from the host 100a in the private network 100.
  • Twice NAT based on the address translation table 505 is performed in the gateway device 300.
  • the gateway device when communication is performed between the global network and the private network, transmits the IP address corresponding to the domain name at the time of name resolution in the source network.
  • the IP address is converted to an unused IP address in the network, and the source address and destination address are converted to the IP address in the packet transfer destination network when an IP packet is transmitted. This enables access from the global network side to the private network side while maintaining security that prevents actual IP addresses from being exchanged across each other's networks. Communication can be realized.
  • gateway device only one global IP address is assigned to the gateway device, and the global IP address is identified by the port included in the SRV record, so the gateway device occupies many IP addresses. Can be prevented.
  • Embodiment 3 of the present invention is that when a host in a private network has a plug and play function such as UPnP (universal plug and play) protocol, the gateway device automatically creates a port mapping. It is a point to do.
  • UPnP universal plug and play
  • the network configuration according to the present embodiment is the same as that shown in Fig. 4 (Embodiment 1), and a description thereof will be omitted.
  • the host 100a of the present embodiment is equipped with the UPnP protocol.
  • the global IP address “GA1” is assigned to the gateway device 300 of the present embodiment on the global network 200 side.
  • UPnP is standardized by an organization called UPnP Forumj to connect devices such as personal computers, personal computer peripherals, AV devices, and home appliances in the home via a network and provide mutual functions.
  • UPnP is based on technology standardized on the Internet, and is being studied with the aim of functioning without complicated operations and setting operations simply by connecting to a network.
  • UPnP is mainly Functions such as device detection, port mapping requests from devices in the LAN, and notification of global IP addresses.
  • FIG. 22 is a block diagram showing a configuration of gateway apparatus 300 according to the present embodiment.
  • the gateway device 300 includes a private network interface unit 301, a reception identification unit 701, a DNS message identification unit 303, a name resolution unit 304, an SRV record / name-address table 501 and a DNS message generation unit 306.
  • the reception identification unit 701 identifies whether the signal from the private network 100 is a DNS message force ⁇ UPnP message, or any other message, and the DNS message identification unit Transfer to 303, transfer UPnP message to UPnP processing unit 702, and transfer other messages to Twice NAT processing unit 506.
  • the UPnP processing unit 702 When the UPnP message is a port mapping request, the UPnP processing unit 702
  • a port mapping request including the private IP address / port of 100a is transmitted to the table setting unit 703.
  • the UPnP processing unit 702 receives the port mapping request response from the table setting unit 703, and transfers the UPnP message indicating the notified global port to the transmission unit 315.
  • the table setting unit 703 Upon receiving the port mapping request from the UPnP processing unit 702, the table setting unit 703 selects an available global port from the port management table 504, and the private IP address Z port and gateway device 300 included in the port mapping request. Register the global IP address and the selected global port in the address translation table 505. The table setting unit 703 registers the global IP address of the gateway device 300 and the selected global port in the SRV record / name-address table 501.
  • FIG. 23 shows the setting operation of the address translation table 505 and the SRV record / name-address table 501 in the gateway device 300 configured as described above. This will be described with reference to the sequence diagram.
  • the gateway device 300 is detected (device detection) by UPnP of the host 100a, and the port mapping request 800 is transmitted.
  • the gateway device 300 determines that the UPnP message received by the UPnP processing unit 702 is a port mapping request, and transfers the port mapping request 801 to the table setting unit 703.
  • the port mapping request 801 includes the private IP address “PA3” and the private port “aaa” of the host 100a.
  • the table setting unit 703 selects an available global port “xxx” from the port management table 504, and outputs the address translation table registration 802 to the address translation table 505. That is, the table setting unit 703 registers the private IP address “PA3”, the private port “aaa”, the global IP address “GA1” of the gateway device 300, and the selected port “xxx” in the address conversion table 505. .
  • the table setting unit 703 outputs the SRV record / name address table registration 803 to the SRV record / name-one address table 501. That is, the table setting unit 703 registers the global IP address “GA1” of the gateway device 300 and the selected port “xxx” in the SRV record / name-address table 501.
  • the table setting unit 703 outputs a port mapping request response 804 to the effect that port mapping is completed to the UPnP processing unit 702, and the port mapping from the UPnP processing unit 702. Request response 805 is forwarded to host 100a.
  • the host 100a periodically sends a port mapping confirmation request 806 to the gateway device 300, and the UPnP processing unit 702 of the gateway device 300 outputs the port mapping confirmation request 807 to the table setting unit 703.
  • the table setting unit 703 performs address translation table reference 808 and returns this result to the UPnP processing unit 702 as a port mapping confirmation response 809.
  • the UPnP processing unit 702 confirms whether or not the port mapping is set in the address translation table 505 by transferring the port mapping confirmation response 810 to the host 10 Oa.
  • the host 200b in the global network 200 sends a DNS S query regarding _361 ⁇ 06 ._? 1-01: 0 ⁇ & 111 ⁇ 2 "_www._tcp.private.com” to the DNS sano 2000 in the global network 200. Send 850.
  • “_Service._Proto.Name www • _tcp.private.com” is registered in the DNS server 200c, so that the name query and the matching 851 are transmitted to the gateway device 300.
  • the name inquiry 851 is input to the name resolution unit 304 via the global network interface unit 313, the reception identification unit 314, and the DNS message identification unit 303.
  • the address translation table 505 and the SRV record / name-one address table 501 are set in advance by UPnP with the host 100a in the private network 100, the name resolution unit 304 As a result, “_www._tcp.private.com” is retrieved from the SRV record / name—address table 501 and the private IP address “PA3” and the private port “aaa” are obtained.
  • the acquired private IP address “PA3” and private port “aaa” are referred to the address conversion table 505, and then to the global IP address “GA1” and the global port “xxx” of the gateway device 300. It is converted and sent to the DNS server 200c in the global network 200 as the address / port answer 852.
  • DNS server 200c goes to host 200b—Service.—Proto. Name “—www.—tcp.private.com” IP address power S Global IP address “GA1” and global port “xxx” Forward DNS reply 853. Therefore, the actual private IP address “PA3” and the private port “aaa” of the host 100a in the private network 100 are hidden from the host 200b and the D NS sano 200c in the global network 200. Then, the host 200b sends the IP packet 854 to the gateway device 300 with the source address as the global IP address “GA4”, the destination address as the global IP address “GA1”, and the destination port as the global port “xxx”. .
  • the destination address is the private IP address “PA3”
  • the destination port is the private port “aaa”
  • the source address is Each IP address is converted to a private IP address “PA4”, and an IP packet 855 is sent to the host 100a. Therefore, the actual global IP address “GA4” of the host 200b in the global network is hidden from the host 100a in the private network 100.
  • the gateway device when communication is performed between the global network and the private network, uses the IP address corresponding to the domain name at the time of name resolution at the source network.
  • the IP address is converted to an unused IP address in the network, and the source address and destination address are converted to the IP address in the packet transfer destination network when an IP packet is transmitted. This enables access from the global network side to the private network side while maintaining security that prevents actual IP addresses from being exchanged across each other's networks. Communication can be realized.
  • port mapping is created at the same time as a host in the private network is activated by UPnP, name resolution is performed in the gateway device even if there is no DNS server in the private network. be able to.
  • the number of hosts in the global network that can simultaneously access the private network depends on the number of private IP addresses that can be used by the gateway device. Similarly, the number of hosts in the global network that can be accessed simultaneously from the private network also depends on the number of private IP addresses that the gateway device can use.
  • the address translation device includes the first network including the packet transmission destination and the second network including the packet transmission source.
  • An address translation device provided in between, setting means for associating and setting a temporary address in the second network to an address in the first network of the packet destination; and a set temporary address
  • a second transmission means for transmitting the address-converted packet to the packet transmission destination.
  • a temporary address is associated with the packet destination, and the source address and destination address of the packet transmitted from the packet source to the temporary address are converted into addresses in the first network. Then, since the packet is transmitted to the packet transmission destination, the address of the packet transmission source can be concealed from the packet transmission destination and the address of the packet transmission destination can be concealed from the packet transmission source. Therefore, it is possible to access from the global network side to the private network side while maintaining security, and to realize mutual communication between the global network and the private network.
  • the setting means assigns the address of the own device in the second network to the temporary network.
  • a configuration is adopted in which the port number of the packet transmission destination is set in association with the temporary port number in the second network.
  • the temporary address is the address of the own device and the temporary port number is associated with the port number, the address can be identified by the port number, and a large number of finite addresses are occupied. This can be prevented.
  • the address translation device is the request message transmitted when the packet destination is activated in the second aspect, wherein the packet is the packet.
  • the packet is the packet.
  • a DNS server or the like is installed in the first network. Can also do name resolution.
  • the address translation method is the address translation between the first network including the packet transmission destination and the second network including the packet transmission source.
  • a temporary address is associated with a packet transmission destination, and the transmission source address and the destination address of a packet transmitted from the packet transmission source to the temporary address are converted into addresses in the first network. Then, since the packet is transmitted to the packet transmission destination, the address of the packet transmission source can be concealed from the packet transmission destination and the address of the packet transmission destination can be concealed from the packet transmission source. Therefore, it is possible to access from the global network side to the private network side while maintaining security, and to realize mutual communication between the global network and the private network.
  • the address translation device and address translation method of the present invention enable access from the global network side to the private network side while maintaining security, and can realize mutual communication between the global network and the private network.
  • Adwords at gateways between global networks and private networks This is useful as an address translation device and an address translation method.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Abstract

　セキュリティを維持しつつグローバルネットワーク側からプライベートネットワーク側へのアクセスを可能として、グローバルネットワークとプライベートネットワーク間の相互通信を実現する。テーブル設定部（３０７）は、プライベートＩＰアドレスとグローバルＩＰアドレス間の対応関係を決定し、アドレス変換テーブル（３１０）に登録する。アドレス変換テーブル（３１０）は、プライベートＩＰアドレスとグローバルＩＰアドレスを対応づけて保持している。トワイスＮＡＴ処理部（３１１）は、アドレス変換テーブル（３１０）を参照して、プライベートネットワーク（１００）またはグローバルネットワーク（２００）からのパケットの送信元アドレスおよび宛先アドレスの双方をグローバルＩＰアドレスまたはプライベートＩＰアドレスに変換して送信部（３１２）または送信部（３１５）へ出力する。

Description

明 細 書
アドレス変換装置およびアドレス変換方法
技術分野
[0001] 本発明は、アドレス変換装置およびアドレス変換方法に関し、特に、グローバルネッ トワークとプライベートネットワークとの間のゲートウェイなどにおけるアドレス変換装置 およびアドレス変換方法に関する。
背景技術
[0002] 現在、一般的なネットワークの構成においては、インターネットで使用可能なグロ一 バル IPアドレスによって構成されるグローバルネットワークと、グローバルネットワーク とは異なるアドレス空間によって構成される宅内ネットワークまたは企業ネットワークな どのプライベートネットワークとが混在している。プライベートネットワークでは、グロ一 バルネットワークでは使用されないプライベート IPアドレスが自由に使用される。
[0003] このようなネットワーク構成にぉレ、て、グローバルネットワークとプライベートネットヮ ークを跨る通信が行われる場合には、グローバルネットワークとプライベートネットヮー クの境界でプライベート IPアドレスとグローバル IPアドレスを相互に変換するアドレス 変換（Network Address Transfer： NAT)が必要となる。これによつて、例えばプライ ベートネットワーク内においてグローバル IPアドレスが割り当てられていないホストで も、グローバルネットワークへのアクセスが可能となる。
[0004] 上述した NATを実現するためには、例えばネットワークの境界にプロキシサーバを 配置する方法がある。プロキシサーバは、入力データをアプリケーションレイヤレベル で終端し、その後 IPパケットに自サーバの IPアドレスを付与して転送先に転送する中 継装置である。例えば、プライベートネットワーク内のホストからグローバルネットヮー ク内の Webサーバへのアクセスでは、ホストと Webサーバ間で HTTPプロトコルが使 用され、ネットワーク境界に HTTPプロキシサーバが配置される。 HTTPプロキシサ ーバは、ホストからの HTTPメッセージをアプリケーションレイヤレベルで終端する。 その後、 HTTPプロキシサーバは、自サーバのグローバル IPアドレスを IPパケットに 設定して、 Webサーバへ転送する。グローバルネットワーク内のホストからプライべ一 トネットワーク内の Webサーバへのアクセスについては、上記と逆の処理が行われる
[0005] し力し、上述したプロキシサーバによる NATでは、すべての IPパケットに対してァプ リケーシヨンレイヤレベルの中継を実施するため、プロキシサーバの負荷が大きくなる とともに、プロキシサーバの対象外のアプリケーションについては NATを実現するこ とができない。
[0006] そこで、プロキシサーバを用いることなぐプライベートネットワーク力、らグローバルネ ットワークへの NATを実現する方法として、例えば特許文献 1に開示された技術が考 えられている。
[0007] 以下、特許文献 1に開示された技術の概要について図 1および図 2を参照して説明 する。特許文献 1に開示されたネットワークは、図 1に示すように、主にプライべ一トネ ットワーク 10、グローバルネットワーク 20、および DMZ (DeMilitarized Zone :非武装 地域） 30力 構成されている。図 1において、「PA1」力 「PA5」はプライベート IPァ ドレスを示しており、「GA1」力 ¾「GA5」はグローバル IPアドレスを示している。
[0008] プライベートネットワーク 10は、ドメイン名「a.private.com」のホスト 10a (プライベート IPアドレス「PA3」）、プライベートネットワーク 10内のホストのドメイン名を管理する D NS (Domain Name System)サーバ 10b (プライベート IPアドレス「PA2」）、および L2 — SWIOcを有している。また、グローバルネットワーク 20は、 IP公衆網 20a、ドメイン 名「a.global.com」のホスト 20b (グローバル IPアドレス「GA4」）、およびグロ一バルネ ットワーク 20内のホストのドメイン名を管理する DNSサーバ 20c (グローバル IPァドレ ス「0八5」）を有している。
[0009] また、プライベートネットワーク 10およびグローバルネットワーク 20の双方からァクセ ス可能な DMZ30は、アドレス変換を行うアドレス変換'フィルタリング装置 30a (プライ ベート IPアドレス「PA1」およびグローバル IPアドレス「GA1」）、プライベートネットヮ ーク 10またはグローバルネットワーク 20の名前解決を行う DNSサーバ 30b (グロ一 バル IPアドレス「GA2」 )、グローバルネットワークへ IPパケットを転送するルータ 30c ( グローバル IPアドレス「GA3」 )、および L2— SW30dを有してレ、る。
[0010] 上記のようなネットワーク構成において、プライベートネットワーク 10内のホスト 10a 力らグローバルネットワーク 20内のホスト 20bへのアクセスは、例えば図 2に示すよう に行われる。
[0011] すなわち、まずホスト 10aは、ホスト 20bのドメイン名「a.global.com」について、 DNS サーバ 10bへ名前解決の依頼（DNSクエリ）を送信する。 DNSサーバ 10bには、ドメ イン名「a.global.com」が登録されていないため、 DMZ30内の DNSサーバ 30bへ再 帰問い合わせが行われる。その際、アドレス変換'フィルタリング装置 30aにて、送信 元アドレスおよび宛先アドレスは、プライベート IPアドレスからグローバル IPアドレスへ 変換される。ルータ 30cおよび IP公衆網 20aを介して DNSサーバ 30bからの再帰問 い合わせを受信した DNSサーバ 20cは、 自サーバに保持されている名前一アドレス テーブルから「a.global.com」を検索し、ホスト 20bのグローバル IPアドレス「GA4」を 取得する（名前解決）。 DNSサーバ 20cは、取得されたグローバル IPアドレス「GA4」 を DNSサーバ 30bへ転送する。
[0012] そして、 DNSサーバ 30bは、 自サーバに保持されているアドレス管理テーブルにお いて未使用のプライベート IPアドレス「PA5」をグローバル IPアドレス「GA4」に関連 付けて、アドレス変換'フィルタリング装置 30aヘアドレス登録依頼を送信する。ァドレ ス変換'フィルタリング装置 30aは、 自装置に保持されているアドレス変換テーブルに 、プライベート IPアドレス「PA5」とグローバル IPアドレス「GA4」を登録し、アドレス登 録完了を DNSサーバ 30bへ転送する。その後、 DNSサーノく 30bは、アドレス変換' フィルタリング装置 30aを介してプライベートネットワーク 10内の DNSサーバ 10bへ プライベート IPアドレス「PA5」を送信する。
[0013] DNSサーバ 10bは、ホスト 10aへ DNS回答を転送し、ホスト 10aは、ホスト 20bへの アクセスを開始する。すなわち、ホスト 10aは、通知されたプライベート IPアドレス「PA 5」を宛先アドレスとして、 IPパケットをアドレス変換'フィルタリング装置 30aへ送信す る。アドレス変換'フィルタリング装置 30aは、アドレス変換テーブルに基づいて、宛先 アドレスのプライベート IPアドレス「PA5」をグローバル IPアドレス「GA4」に変換する 。また、アドレス変換'フィルタリング装置 30aは、送信元アドレス「PA3」に対するポー トマッピングを生成してアドレス変換テーブルに登録し、送信元アドレス/ポートをそ のマッピングに対応するグローバル IPアドレス Zポートに変換する。アドレス変換.フ ィルタリング装置 30aは、上記のように NATが行われた IPパケットをグローバルネット ワーク 20のホスト 20bへ送信する。以後、プライベートネットワーク 10のホスト 10aから グローバルネットワーク 20のホスト 20bへの通信では、アドレス変換'フィルタリング装 置 30aにおいてアドレス変換テーブルに基づいた送信元アドレスおよび宛先アドレス 双方の変換が行われるトワイス NAT (Twice- NAT)が実施される。
[0014] このように、プライベートネットワークとグローバルネットワークの間に DMZを設け、ト ワイス NATが実施されることにより、 HTTPプロキシサーバや SIPプロキシサーバな どのプロキシサーバを用いなくてもプライベートネットワーク力、らグローバルネットヮー クへのアクセスが可能となる。
特許文献 1 :特開 2004— 304235号公報
発明の開示
発明が解決しょうとする課題
[0015] しかしながら、上記従来の技術においては、グローバルネットワークのホストからプラ ィベートネットワークのホストへのアクセスが拒否されるという問題がある。この問題に ついて、再び図 1のネットワーク構成を例に挙げて説明する。図 3は、図 1のネットヮー ク構成における、グローバルネットワーク 20内のホスト 20bからプライベートネットヮー ク 10内のホスト 10aへのアクセスの例を示すシーケンス図である。
[0016] グローバルネットワーク 20内のホスト 20bは、ホスト 10aのドメイン名「a.private.com」 の名前解決を行うため、事前に登録された DNSサーバ 20cへ DNSクエリを送信する 。 DNSサーバ 20cは、 自サーバに保持されている名前一アドレステーブルに「a.priva te.com」が登録されていないため、 DMZ30内の DNSサーバ 30bへ再帰問い合わせ を行う。 DNSサーバ 30bは、「a.private.com」がプライベートネットワーク 10内の DNS サーバ 10bに登録されていることを知っている力 グローバルネットワーク 20力 の名 前問い合わせのため、名前解決を拒否し、 DNSサーバ 20cへエラーを転送する。そ して、 DNSサーバ 20cは、ホスト 20bへエラーを転送する。したがって、グロ一バルネ ットワーク 20内のホスト 20bは、プライベートネットワーク 10内のホスト 10aへアクセス することができない。
[0017] また、グローバルネットワーク 20からの名前問い合わせに対して、アクセス拒否を行 わないようにすれば、グローバルネットワーク 20からプライベートネットワーク 10への アクセスが可能となる力 第三者が容易にプライベートネットワーク 10へ侵入すること ができてしまい、セキュリティが損なわれてしまう。
[0018] 本発明の目的は、セキュリティを維持しつつグローバルネットワーク側からプライべ ートネットワーク側へのアクセスを可能として、グローバルネットワークとプライべ一トネ ットワーク間の相互通信を実現できるアドレス変換装置およびアドレス変換方法を提 供することである。
課題を解決するための手段
[0019] 本発明に係るアドレス変換装置は、パケット送信先が含まれる第 1のネットワークお よびパケット送信元が含まれる第 2のネットワークの間に設けられるアドレス変換装置 であって、前記パケット送信先の前記第 1のネットワーク内におけるアドレスに前記第 2のネットワーク内における仮のアドレスを対応づけて設定する設定手段と、設定され た仮のアドレスを前記パケット送信元へ送信する第 1の送信手段と、前記パケット送 信元から送信されるパケットの宛先アドレスおよび送信元アドレスを前記第 1のネット ワーク内におけるアドレスへ変換する変換手段と、アドレス変換後のパケットを前記パ ケット送信先へ送信する第 2の送信手段と、を有する構成を採る。
[0020] 本発明に係るアドレス変換方法は、パケット送信先が含まれる第 1のネットワークお よびパケット送信元が含まれる第 2のネットワークの間におけるアドレス変換方法であ つて、前記パケット送信先の前記第 1のネットワーク内におけるアドレスに前記第 2の ネットワーク内における仮のアドレスを対応づけて設定するステップと、設定された仮 のアドレスを前記パケット送信元へ送信するステップと、前記パケット送信元から送信 されるパケットの宛先アドレスおよび送信元アドレスを前記第 1のネットワーク内にお けるアドレスへ変換するステップと、アドレス変換後のパケットを前記パケット送信先へ 送信するステップと、を有するようにした。
[0021] これらによれば、パケット送信先に仮のアドレスを対応づけ、パケット送信元から仮 のアドレス宛てに送信されたパケットの送信元アドレスおよび宛先アドレスを第 1のネ ットワーク内におけるアドレスへ変換してからパケット送信先へ送信するため、パケット 送信先に対してパケット送信元のアドレスを隠蔽できるとともにパケット送信元に対し てパケット送信先のアドレスを隠蔽できる。したがって、セキュリティを維持しつつグロ 一バルネットワーク側からプライベートネットワーク側へのアクセスを可能として、グロ 一バルネットワークとプライベートネットワーク間の相互通信を実現できる。
発明の効果
[0022] 本発明によれば、セキュリティを維持しつつグローバルネットワーク側からプライべ ートネットワーク側へのアクセスを可能として、グローバルネットワークとプライべ一トネ ットワーク間の相互通信を実現できる。
図面の簡単な説明
[0023] [図 1]従来のネットワーク構成の例を示す図
[図 2]従来のネットワーク構成におけるプライベートネットワークおよびグローバルネッ トワーク間のアクセスの一例を示すシーケンス図
[図 3]従来のネットワーク構成におけるプライベートネットワークおよびグローバルネッ トワーク間のアクセスの他の一例を示すシーケンス図
[図 4]本発明の実施の形態 1に係るネットワーク構成の例を示す図
[図 5]実施の形態 1に係るゲートウェイ装置の構成を示すブロック図
[図 6]実施の形態 1に係る名前一アドレステーブルの例を示す図
[図 7]実施の形態 1に係るプライベート IPアドレス管理テーブルの例を示す図
[図 8]実施の形態 1に係るグローバル IPアドレス管理テーブルの例を示す図
[図 9]実施の形態 1に係るアドレス変換テーブルの例を示す図
[図 10]実施の形態 1に係るテーブル設定部の処理を示すフロー図
[図 11]実施の形態 1に係るトワイス NAT処理部の処理を示すフロー図
[図 12]実施の形態 1に係るプライベートネットワークおよびグローバルネットワーク間 のアクセスの一例を示すシーケンス図
[図 13]実施の形態 1に係るプライベートネットワークおよびグローバルネットワーク間 のアクセスの他の一例を示すシーケンス図
[図 14]本発明の実施の形態 2に係るゲートウェイ装置の構成を示すブロック図
[図 15]実施の形態 2に係る SRVレコードの例を示す図
[図 16]実施の形態 2に係るアドレス管理テーブルの例を示す図 [図 17]実施の形態 2に係るポート管理テーブルの例を示す図
[図 18]実施の形態 2に係るアドレス変換テーブルの例を示す図
[図 19]実施の形態 2に係るテーブル設定部の処理を示すフロー図
[図 20]実施の形態 2に係るトワイス NAT処理部の処理を示すフロー図
[図 21]実施の形態 2に係るプライベートネットワークおよびグローバルネットワーク間 のアクセスの一例を示すシーケンス図
[図 22]本発明の実施の形態 3に係るゲートウェイ装置の構成を示すブロック図
[図 23]実施の形態 3に係るテーブル設定動作を示すシーケンス図
[図 24]実施の形態 3に係るプライベートネットワークおよびグローバルネットワーク間 のアクセスの一例を示すシーケンス図
発明を実施するための最良の形態
[0024] 以下、本発明の実施の形態について、図面を参照して詳細に説明する。
[0025] (実施の形態 1)
図 4は、本発明の実施の形態 1に係るネットワーク構成の例を示す図である。同図 に示すネットワークは、プライベートネットワーク 100、グローバルネットワーク 200、お よびゲートウェイ装置 300を有している。そして、プライベートネットワーク 100は、ドメ イン名「a.private.com」のホスト 100a (プライベート IPアドレス「PA3」）、プライベート ネットワーク 100内のホストのドメイン名を管理する DNSサーバ 100b (プライベート IP アドレス「PA2」）、および L2— SWIOOcを有している。また、グローバルネットワーク 200は、 IP公衆網 200a、ドメイン名「a.global.com」のホスト 200b (グローバル IPアド レス「GA4」）、およびグローバルネットワーク 200内のホストのドメイン名を管理する D NSサーバ 200c (グローバル IPアドレス「GA3」）を有している。さらに、ゲートウェイ装 置 300には、プライベートネットワーク 100側ではプライベート IPアドレス「PA1」が付 与されており、グローバルネットワーク 200側ではグローバル IPアドレス「GA1」、「G A2」、および「GA5」が付与されている。このゲートウェイ装置 300は、 DNSプロキシ 機能とトワイス NAT機能を実装している。
[0026] 図 5は、本実施の形態に係るゲートウェイ装置 300の構成を示すブロック図である。
図 5に示すように、ゲートウェイ装置 300は、プライベートネットワークインタフェース部 301、受信識別部 302、 DNSメッセージ識別部 303、名前解決部 304、名前 アド レステープノレ 305、 DNSメッセージ生成部 306、テーブル設定部 307、プライベート I Pアドレス管理テーブル 308、グローバル IPアドレス管理テーブル 309、アドレス変換 テープノレ 310、トワイス NAT処理部 311、送信部 312、グローバルネットワークインタ フェース部 313、受信識別部 314、および送信部 315を有している。
[0027] プライベートネットワークインタフェース部 301は、プライベートネットワーク 100との 間のインタフェースであり、プライベートネットワーク 100から受信する信号を受信識 別部 302へ出力するとともに、送信部 315から出力される信号をプライベートネットヮ ーク 100へ送信する。
[0028] 受信識別部 302は、プライベートネットワーク 100からの信号が名前解決に関する DNSメッセージであるか否かを識別し、 DNSメッセージを DNSメッセージ識別部 30 3へ転送する一方、 DNSメッセージ以外のメッセージをトワイス NAT処理部 311へ転 送する。
[0029] DNSメッセージ識別部 303は、 DNSメッセージがパケットの転送先のドメイン名を 含む名前問レ、合わせのメッセージ (以下、単に「名前問レ、合わせ」とレ、う）またはパケ ットの転送先の IPアドレスを含むアドレス回答のメッセージ (以下、単に「アドレス回答 」という）のレ、ずれであるかを識別し、名前問レ、合わせを名前解決部 304へ転送する 一方、アドレス回答をテーブル設定部 307へ転送する。
[0030] 名前解決部 304は、名前問い合わせに含まれるドメイン名を抽出し、名前-アドレ ステーブル 305からドメイン名を検索し、このドメイン名に対応するアドレスを取得する 。そして、名前解決部 304は、 IPアドレスを取得できた場合は、 DNSメッセージ生成 部 306へ IPアドレス情報を転送し、 IPアドレス情報をアドレス回答として名前問い合 わせの送信元へ転送することを指示する。一方、名前解決部 304は、 IPアドレスを取 得できなかった場合は、名前問レ、合わせを名前解決が可能な他の DNSサーバへ転 送することを DNSメッセージ生成部 306へ指示する。
[0031] 名前一アドレステーブル 305は、例えば図 6に示すように、ドメイン名とアドレスを対 応づけて保持しており、名前解決部 304による名前解決の際に参照される。なお、名 前—アドレステーブル 305に保持されるアドレスは、後述するアドレス変換テーブル 3 10に登録されているアドレスであり、グローバルネットワーク 200のホスト（例えばホス ト 200b)のドメイン名（例えば「a.global.com」）には、プライベート IPアドレス（例えば「 PA4J )が対応づけられ、プライベートネットワーク 100のホスト（例えばホスト 100a)の ドメイン名（例えば「a.private.com」）には、グローバル IPアドレス（例えば「GA2」）が 対応づけられる。
[0032] DNSメッセージ生成部 306は、名前問い合わせやアドレス回答のメッセージを生成 し、指示された転送先へ転送する。
[0033] テーブル設定部 307は、プライベート IPアドレスとグローバル IPアドレス間の対応関 係を決定し、名前—アドレステーブル 305およびアドレス変換テーブル 310に登録す る。テーブル設定部 307の処理については、後に詳述する。
[0034] プライベート IPアドレス管理テーブル 308は、例えば図 7に示すように、グローバル ネットワーク 200のホスト（例えばホスト 200b)に対して割り当て可能なプライベート IP アドレスのリストである。すなわち、プライベート IPアドレス管理テーブル 308は、各プ ライべート IPアドレスの使用可否 (他のマッピングに使用されている場合は「否」、使 用されてレ、なレ、場合は「可」 )を管理してレ、る。
[0035] グローバル IPアドレス管理テーブル 309は、例えば図 8に示すように、アドレスマツ ビングをする際に割り当て可能なグローバル IPアドレスのリストである。すなわち、グロ 一バル IPアドレス管理テーブル 309は、各グローバル IPアドレスの使用可否（他のマ ッビングに使用されてレ、る場合は「否」、使用されてレ、なレ、場合は「可」 )を管理してレヽ る。
[0036] アドレス変換テーブル 310は、例えば図 9に示すように、プライベート IPアドレスとグ ローバル IPアドレスを対応づけて保持しており、トワイス NAT処理部 311によるトワイ ス NATの際に参照される。
[0037] トワイス NAT処理部 311は、プライベートネットワーク 100またはグローバルネットヮ ーク 200からの DNS以外のメッセージの送信元アドレスおよび宛先アドレスの双方を グローバル IPアドレスまたはプライベート IPアドレスに変換して送信部 312または送 信部 315へ出力する。トワイス NAT処理部 311の処理については、後に詳述する。
[0038] 送信部 312は、トワイス NAT処理部 311から出力される信号をグローバルネットヮ 一クインタフエース部 313を介してグローバルネットワーク 200へ送信する。
[0039] グローバルネットワークインタフェース部 313は、グローバルネットワーク 200との間 のインタフェースであり、送信部 312から出力される信号をグローバルネットワーク 20 0へ送信するとともに、グローバルネットワーク 200から受信する信号を受信識別部 3 14へ出力する。
[0040] 受信識別部 314は、グローバルネットワーク 200からの信号が名前解決に関する D NSメッセージであるか否かを識別し、 DNSメッセージを DNSメッセージ識別部 303 へ転送する一方、 DNSメッセージ以外のメッセージをトワイス NAT処理部 311へ転 送する。
[0041] 送信部 315は、トワイス NAT処理部 311から出力される信号をプライベートネットヮ 一クインタフエース部 301を介してプライベートネットワーク 100へ送信する。
[0042] 次いで、テーブル設定部 307の処理について、図 10に示すフロー図を参照して説 明する。
[0043] テーブル設定部 307には、 DNSメッセージのうちアドレス回答が DNSメッセージ識 別部 303から入力される。このアドレス回答からテーブル設定部 307によって情報が 抽出され（ST1000)、アドレス回答に含まれる IPアドレスがグローバル IPアドレスで あるか否かが判定される（ST1100)。
[0044] IPアドレスがグローバル IPアドレスである場合は、テーブル設定部 307によって、プ ライべート IPアドレス管理テーブル 308から使用可能なプライベート IPアドレスが選 択され、アドレス回答に含まれていたグローバル IPアドレスに対して、選択されたプラ ィペート IPアドレスが割り当てられる（ST1200)。そして、これらのグローバル IPアド レスとプライベート IPアドレスとが対応づけられてアドレス変換テーブル 310に登録さ れる（ST1300)。また、グローバル IPアドレスに対応するドメイン名と選択されたプラ ィベート IPアドレスとが名前一アドレステーブル 305に登録される（ST1400)。その 後、テーブル設定部 307によって、 ST1200で選択されたプライベート IPアドレスを アドレス回答としてプライベートネットワーク 100内の DNSサーバ 100bへ転送するよ うに、 DNSメッセージ生成部 306へ指示が出される（ST1500)。
[0045] 一方、 ST1100の判定の結果、 IPアドレスがグローバル IPアドレスではない場合は 、テーブル設定部 307によって、グローバル IPアドレス管理テーブル 309から使用可 能なグローバル IPアドレスが選択され、アドレス回答に含まれていたプライベート IPァ ドレスに対して、選択されたグローバル IPアドレスが割り当てられる（ST1600)。そし て、これらのプライベート IPアドレスとグローバル IPアドレスとが対応づけられてアドレ ス変換テーブル 310に登録される（ST1700)。また、プライベート IPアドレスに対応 するドメイン名と選択されたグローバル IPアドレスとが名前一アドレステーブル 305に 登録される（ST1800)。その後、テーブル設定部 307によって、 ST1600で選択さ れたグローバル IPアドレスをアドレス回答としてグローバルネットワーク 200内の DNS サーバ 200cへ転送するように、 DNSメッセージ生成部 306へ指示が出される（ST1 900)。
[0046] このようにアドレス変換テーブル 310および名前一アドレステーブル 305が設定さ れることにより、ゲートウェイ装置 300において、プライベートネットワーク 100内のホス ト（例えばホスト 100a)にはグローバル IPアドレスが割り当てられ、グローバルネットヮ ーク 200内のホスト（例えばホスト 200b)にはプライベート IPアドレスが害割当てられた ことになる。
[0047] 次に、トワイス NAT処理部 311の処理について、図 11に示すフロー図を参照して 説明する。
[0048] トワイス NAT処理部 311には、 DNSメッセージ以外の IPパケットなどのメッセージ が受信識別部 302または受信識別部 314から入力される（ST2000)。そして、トワイ ス NAT処理部 311によって、 IPパケットの送信元アドレスおよび宛先アドレスが取得 され（ST2010)、 IPパケットの転送先がグローバルネットワーク 200であるかプライべ ートネットワーク 100であるかが判定される（ST2020)。
[0049] 転送先がグローバルネットワーク 200である場合は、トワイス NAT処理部 311によつ て、アドレス変換テーブル 310力も宛先アドレスが検索され（ST2030)、宛先アドレス の有無が判定される（ST2040)。この結果、宛先アドレスがアドレス変換テーブル 31 0に登録されていない場合は、パケットが廃棄される（ST2120)。また、宛先アドレス がアドレス変換テーブル 310に登録されている場合は、アドレス変換テーブル 310が 参照され、宛先アドレスが対応するグローバル IPアドレスに変換される（ST2050)。 [0050] その後、アドレス変換テーブル 310から送信元アドレスが検索され、送信元アドレス の有無が判定される（ST2060)。この結果、送信元アドレスがアドレス変換テーブル 310に登録されている場合は、送信元アドレスが対応するグローバル IPアドレスに変 換され（ST2070)、送信部 312へ1?パケットが転送される（3丁2080)。また、送信元 アドレスがアドレス変換テーブル 310に登録されていない場合は、その旨がテーブル 設定部 307へ通知され、グローバル IPアドレス管理テーブル 309から使用可能なグ ローバル IPアドレスが選択され（ST2090)、 IPパケットの送信元アドレスと選択され たグローバル IPアドレスとが対応づけられてアドレス変換テーブル 310に登録される（ ST2100)。さらに、トワイス NAT処理部 311によって、送信元アドレスが選択された グローバル IPアドレスに変換され（ST2110)、送信部 312へ IPパケットが転送される (ST2080)。
[0051] 一方、 ST2020の半 IJ定の結果、転送先がプライベートネットワーク 100である場合 は、トワイス NAT処理部 311によって、アドレス変換テーブル 310から宛先アドレスが 検索され (ST2130)、宛先アドレスの有無が判定される（ST2140)。この結果、宛先 アドレスがアドレス変換テーブル 310に登録されていない場合は、パケットが廃棄さ れる（ST2120)。また、宛先アドレスがアドレス変換テーブル 310に登録されている 場合は、アドレス変換テーブル 310が参照され、宛先アドレスが対応するプライべ一 ト IPアドレスに変換される（ST2150)。
[0052] その後、アドレス変換テーブル 310から送信元アドレスが検索され、送信元アドレス の有無が判定される（ST2160)。この結果、送信元アドレスがアドレス変換テーブル 310に登録されている場合は、送信元アドレスが対応するプライベート IPアドレスに 変換され、 （ST2170)、送信部 315へ IPパケットが転送される（ST2180)。また、送 信元アドレスがアドレス変換テーブル 310に登録されていない場合は、その旨がテー ブル設定部 307へ通知され、プライベート IPアドレス管理テーブル 308から使用可能 なプライベート IPアドレスが選択され（ST2190)、 IPパケットの送信元アドレスと選択 されたプライベート IPアドレスとが対応づけられてアドレス変換テーブル 310に登録さ れる（ST2200)。さらに、トワイス NAT処理部 311によって、送信元アドレスが選択さ れたプライベート IPアドレスに変換され（ST2210)、送信部 315へ IPパケットが転送 される（ST2180)。
[0053] このように、宛先アドレスおよび送信元アドレスの双方がゲートウェイ装置 300にお いてパケット転送先のネットワークにおける IPアドレスに変換されるため、 2つのネット ワークを跨ぐアクセスにおいては、パケット送信元のホストに対してパケット転送先の 実際の IPアドレスを隠蔽することができ、セキュリティを向上することができる。
[0054] 次に、プライベートネットワーク 100とグローバルネットワーク 200の間のアクセスに ついて説明する。まず、プライベートネットワーク 100からグローバルネットワーク 200 へのアクセスについて、図 12に示すシーケンス図を参照して説明する。
[0055] まず、プライベートネットワーク 100内のホスト 100aは、プライベートネットワーク 100 内の DNSサーバ 100bへドメイン名「a.global.com」の名前解決の依頼（DNSクエリ） 4 00を送信する。し力し、 DNSサーバ 100bには、ドメイン名「a.global.com」が登録され てレヽなレ、ため、ゲートウェイ装置 300へ名前問レ、合わせ 401が送信される。
[0056] 名前問い合わせ 401は、ゲートウェイ装置 300のプライベートネットワークインタフエ ース部 301、受信識別部 302、および DNSメッセージ識別部 303を経て名前解決部 304へ入力され、名前解決部 304にて名前解決が試みられる。すなわち、名前ーァ ドレステーブル 305においてドメイン名「a.global.com」が検索される。ここで、過去に プライベートネットワーク 100からドメイン名「a.global.com」のホスト 200bに対するァク セスが行われていれば、名前 アドレステーブル 305にドメイン名「a.global.com」と対 応するプライベート IPアドレスが登録されているため、このプライベート IPアドレスがホ スト 100aへ返送される。
[0057] 以下では、過去にホスト 200bに対するアクセスが行われておらず、ドメイン名「a.glo bal.com」が名前一アドレステーブル 305に登録されていないものとして説明を続ける 。この場合、 DNSメッセージ生成部 306によって名前問い合わせが生成され、グロ一 バルネットワーク 200内の DNSサーバ 200cへ名前問い合わせ 402が転送される。 D NSサーノ 200cは、 自サーバに保持されている名前一アドレステーブルから「a.globa l.com」を検索し、グローバル IPアドレス「GA4」を取得する。グローバル IPアドレス取 得後、 DNSサーノ 200cは、ゲートウェイ装置 300へグローバル IPアドレス「GA4」を 含むアドレス回答 403を転送する。 [0058] アドレス回答 403を受信したゲートウェイ装置 300は、上述したテーブル設定部 30 7による処理を行う。すなわち、プライベート IPアドレス管理テーブル 308から使用可 能なプライベート IPアドレス「PA4」が選択され、実際のグローバル IPアドレス「GA4」 に対応づけられて、アドレス変換テーブル 310に登録される。また、名前—アドレステ ーブノレ 305に、ドメイン名「a.global.com」とプライベート IPアドレス「PA4」が登録され る。
[0059] テーブル設定部 307による処理が終了した後、 DNSメッセージ生成部 306は、プラ ィベート IPアドレス「PA4」を含むアドレス回答を生成し、アドレス回答 404が送信部 3 15からプライベートネットワークインタフェース部 301を介して DNSサーバ 100bへ送 信される。 DNSサーバ 100bは、ホスト 100aへドメイン名「a.global.com」の IPアドレス がプライベート IPアドレス「PA4」である旨の DNS回答 405を転送する。したがって、 プライベートネットワーク 100内のホスト 100aおよび DNSサーバ 100bに対しては、 グローバルネットワーク 200内のホスト 200bの実際のグローバル IPアドレス「GA4」が 隠蔽されている。そして、ホスト 100aは、送信元アドレスをプライベート IPアドレス「P A3」、宛先アドレスをプライベート IPアドレス「PA4」として、 IPパケット 406をゲートゥ エイ装置 300へ送信する。
[0060] IPパケット 406を受信したゲートウェイ装置 300は、上述したトワイス NAT処理部 31 1による処理を行う。すなわち、トワイス NAT処理部 311によってアドレス変換テープ ル 310が参照され、宛先アドレスのプライベート IPアドレス「PA4」がグローバル IPァ ドレス「GA4」に変換される。また、トワイス NAT処理部 311によって、送信元アドレス に対するアドレスマッピングが生成され、送信元アドレス「PA3」がそのマッピングに 対応するグローバル IPアドレス「GA1」に変換される。このようにして、宛先アドレスお よび送信元アドレスの双方がグローバル IPアドレスに変換されるトワイス NATが行わ れた後、 IPパケット 407は、グローバルネットワーク 200内のホスト 200bへ送信される 。したがって、グローバルネットワーク 200内のホスト 200bに対しては、プライべ一トネ ットワーク 100内のホスト 100aの実際のプライベート IPアドレス「PA3」が隠蔽されて いる。
[0061] 以後、プライベートネットワーク 100内のホスト 100aからグローバルネットワーク 200 内のホスト 200bへの通信では、ゲートウェイ装置 300において、アドレス変換テープ ル 310に基づくトワイス NATが実施される。
[0062] 次に、上記のアクセスとは反対方向のアクセス、すなわち、グローバルネットワーク 2 00からプライベートネットワーク 100へのアクセスについて、図 13に示すシーケンス 図を参照して説明する。
[0063] まず、グローバルネットワーク 200内のホスト 200bは、グローバルネットワーク 200 内の DNSサーバ 200cへドメイン名「a.private.com」に関する DNSクエリ 450を送信 する。し力 、 DNSサーバ 200cには、ドメイン名「a.private.com」が登録されていない ため、ゲートウェイ装置 300へ名前問い合わせ 451が送信される。
[0064] 名前問い合わせ 451は、グローバルネットワークインタフェース部 313、受信識別部
314、および DNSメッセージ識別部 303を経て名前解決部 304へ入力され、名前解 決部 304にて名前解決が試みられる。ここでは、上述したプライベートネットワーク 10 0からグローバルネットワーク 200へのアクセスと同様に、ドメイン名「a.private.com」が 名前一アドレステーブル 305に登録されていないものとして説明を続ける。この場合 、 DNSメッセージ生成部 306によって生成された名前問い合わせ 452がプライべ一 トネットワーク 100内の DNSサーバ 100bへ転送される。 DNSサーバ 100bは、 自サ ーバに保持されてレ、る名前 アドレステーブルから「a.private.com」を検索し、プライ ペート IPアドレス「PA3」を取得する。プライベート IPアドレス取得後、 DNSサーバ 10 Obは、ゲートウェイ装置 300へプライベート IPアドレス「PA3」を含むアドレス回答 45 3を転送する。
[0065] アドレス回答 453を受信したゲートウェイ装置 300は、上述したテーブル設定部 30 7による処理を行う。すなわち、グローバル IPアドレス管理テーブル 309から使用可 能なグローバル IPアドレス「GA2」が選択され、実際のプライベート IPアドレス「PA3」 に対応づけられて、アドレス変換テーブル 310に登録される。また、名前—アドレステ ーブノレ 305に、ドメイン名「a.private.com」とグローバル IPアドレス「GA2」が登録され る。
[0066] テーブル設定部 307による処理が終了した後、 DNSメッセージ生成部 306は、グロ 一バル IPアドレス「GA2」を含むアドレス回答を生成し、アドレス回答 454が送信部 3 12からグローバルネットワークインタフェース部 313を介して DNSサーバ 200cへ送 信される。 DNSサーバ 200cは、ホスト 200bへドメイン名「a.private.com」の IPァドレ スがグローバル IPアドレス「GA2」である旨の DNS回答 455を転送する。したがって 、グローバルネットワーク 200内のホスト 200bおよび DNSサーバ 200cに対しては、 プライベートネットワーク 100内のホスト 100aの実際のプライベート IPアドレス「PA3」 が隠蔽されている。そして、ホスト 200bは、送信元アドレスをグローバル IPアドレス「G A4」、宛先アドレスをグローバル IPアドレス「GA2」として、 IPパケット 456をゲートゥヱ ィ装置 300へ送信する。
[0067] IPパケット 456を受信したゲートウェイ装置 300は、上述したトワイス NAT処理部 31 1による処理を行う。すなわち、トワイス NAT処理部 311によってアドレス変換テープ ノレ 310力参照され、宛先アドレスのグローバル IPアドレス「GA2」がプライベート IPァ ドレス「PA3」に変換される。また、トワイス NAT処理部 311によって、送信元アドレス に対応するプライベート IPアドレスとして使用可能なプライベート IPアドレス「PA4」が プライベート IPアドレス管理テーブル 308から選択され、送信元アドレスであるグロ一 バル IPアドレス「GA4」と選択されたプライベート IPアドレス「PA4」とがアドレス変換 テーブル 310に登録され、送信元アドレスがプライベート IPアドレス「PA4」に変換さ れる。このようにして、宛先アドレスおよび送信元アドレスの双方がプライベート IPアド レスに変換されるトワイス NATが行われた後、 IPパケット 457は、プライベートネットヮ ーク 100内のホスト 100aへ送信される。したがって、プライベートネットワーク 100内 のホスト 100aに対しては、グローバルネットワーク内のホスト 200bの実際のグローバ ル IPアドレス「GA4」が隠蔽されてレ、る。
[0068] 以後、グローバルネットワーク 200内のホスト 200b力もプライベートネットワーク 100 内のホスト 100aへの通信では、ゲートウェイ装置 300において、アドレス変換テープ ル 310に基づくトワイス NATが実施される。
[0069] 以上のように、本実施の形態によれば、グローバルネットワークとプライベートネット ワークの間の通信が行われる際、ゲートウェイ装置において、名前解決時にドメイン 名に対応する IPアドレスを送信元のネットワーク内における未使用の IPアドレスに変 換するとともに、 IPパケットの送信時に送信元アドレスおよび宛先アドレスをパケット 転送先のネットワーク内における IPアドレスに変換する。このため、互いのネットヮー クを越えて実際の IPアドレスがやり取りされることがなぐセキュリティを維持しつつグ ローバルネットワーク側からプライベートネットワーク側へのアクセスを可能として、グ ローバルネットワークとプライベートネットワーク間の相互通信を実現できる。
[0070] (実施の形態 2)
本発明の実施の形態 2の特徴は、名前—アドレステーブルに加えてポート番号の 通知が可能な SRV (SeRVice)レコードを保持し、グローバルネットワークのホストから の名前問い合わせへのアドレス回答としてグローバル IPアドレスおよびポートを通知 することにより、宛先アドレスの変換時に NATに代えて NAPT (Network Address Por t Transfer)を使用する点である。
[0071] 本実施の形態に係るネットワーク構成は、図 4 (実施の形態 1)と同様であるため、そ の説明を省略する。ただし、実施の形態 1と異なり、本実施の形態のゲートウェイ装置 300には、グローバルネットワーク 200側ではグローバル IPアドレス「GA1」のみが付 与されている。
[0072] 図 14は、本実施の形態に係るゲートウェイ装置 300の構成を示すブロック図である 。同図において、図 5と同じ部分には同じ符号を付し、その説明を省略する。図 14に 示すように、ゲートウェイ装置 300は、プライベートネットワークインタフェース部 301、 受信識別部 302、 DNSメッセージ識別部 303、名前解決部 304、 SRVレコード/名 前—アドレステーブル 501、 DNSメッセージ生成部 306、テーブル設定部 502、アド レス管理テーブル 503、ポート管理テーブル 504、アドレス変換テーブル 505、トワイ ス NAT処理部 506、送信部 312、グローバルネットワークインタフェース部 313、受 信識別部 314、および送信部 315を有している。
[0073] SRVレコード Z名前一アドレステーブル 501は、実施の形態 1の名前一アドレステ ーブノレ 305の情報にカロえ、例えば図 15に示す SRVレコードを保持している。ここで、 SRVレコードとは、 IETF (The Internet Engineering Task Force)によって発行された RFC (Request For Comment) 2782に規定されており、負荷分散サービスの提供、 冗長性の確保、およびサービスポート番号の通知という目的で、ドメイン名と IPァドレ ス以外のインターネットに必要な情報のことである。 SRVレコードによれば、 _Service._ Proto.Nameで名前解決が行われる。—Service._Proto.Nameのうち _Serviceはサービス 名を示し、 RFC1700に規定されたもの（例えば Webサービスの場合は www)や、独 自に定義したものを使用することができる。また、 _Protoはプロトコル名を示し、 Name はドメイン名を示している。例えば、 Webサービスを有する private.comの場合、 _Servi ce._Proto.Nameは、 _www._tcp.private.comとなる。また、 SRVレコードにおける優先度 (Priority)により、 SRVレコードに登録されている各エントリに対して優先度を付与す ること力 Sできる。また、ポート（port)はサービスポート番号を示し、ターゲット（Target) はサービスを提供するホスト名を示している。本実施の形態のゲートウェイ装置 300 に登録されてレ、るポート番号は、すべてグローバルポートであるものとする。
[0074] テーブル設定部 502は、プライベート IPアドレスとグローバル IPアドレス間の対応関 係を決定し、 SRVレコード Z名前—アドレステーブル 501およびアドレス変換テープ ノレ 505に登録するとともに、グローバルポートとプライベートポート間の対応関係を決 定し、 SRVレコード/名前—アドレステーブル 501およびアドレス変換テーブル 505 に登録する。テーブル設定部 502の処理については、後に詳述する。
[0075] アドレス管理テーブル 503は、例えば図 16に示すように、グローバルネットワーク 2 00のホスト（例えばホスト 200b)に対して割り当て可能なプライベート IPアドレスのリス トである。すなわち、プライベート IPアドレス管理テーブル 308は、各プライベート IP アドレスの使用可否 (他のマッピングに使用されている場合は「否」、使用されていな レ、場合は「可」 )を管理してレ、る。
[0076] ポート管理テーブル 504は、例えば図 17に示すように、プライベートネットワーク 10 0のホスト（例えばホスト 100a)に対して害 ijり当て可能なグローバルポートのリストであ る。すなわち、ポート管理テーブル 504は、各グローバルポートの使用可否（他のマツ ビングに使用されてレ、る場合は「否」、使用されてレ、なレ、場合は「可」 )を管理してレ、る
[0077] アドレス変換テーブル 505は、例えば図 18に示すように、プライベート IPアドレス、 プライベートポート、グローバル IPアドレス、およびグローバルポートを対応づけて保 持しており、トワイス NAT処理部 506によるトワイス NATの際に参照される。なお、ァ ドレス変換テーブル 505において、プライベートポートとグローバルポートが登録され ていない場合には、トワイス NAT処理部 506によるポートの変換は行われない。
[0078] トワイス NAT処理部 506は、プライベートネットワーク 100またはグローバルネットヮ ーク 200からの DNS以外のメッセージの送信元アドレスおよび宛先アドレスの双方を グローバル IPアドレスまたはプライベート IPアドレスに変換するとともに、グローバル ポートとプライベートポートの変換をして送信部 312または送信部 315へ出力する。ト ワイス NAT処理部 506の処理については、後に詳述する。
[0079] 次いで、テーブル設定部 502の処理について、図 19に示すフロー図を参照して説 明する。なお、同図において、図 10 (実施の形態 1)と同じ部分には同じ符号を付し、 その詳しい説明を省略する。
[0080] まず、実施の形態 1と同様に、テーブル設定部 502に入力されたアドレス回答に含 まれる IPアドレスがグローバル IPアドレスであるか否かが判定される（ST1100)。 IP アドレスがグローバル IPアドレスである場合は、このグローバル IPアドレスに対して、 アドレス管理テーブル 503から選択された使用可能なプライベート IPアドレスが割り 当てられ（ST1200)、これらのグローバル IPアドレスとプライベート IPアドレスとが対 応づけられてアドレス変換テーブル 505に登録される（ST1300)。また、グロ一ノくル I Pアドレスに対応するドメイン名と選択されたプライベート IPアドレスとが SRVレコード /名前—アドレステーブル 501に登録される（ST3000)。その後、テーブル設定部 5 02によって、選択されたプライベート IPアドレスを含むアドレス回答を DNSサーバ 10 Obへ転送するように、 DNSメッセージ生成部 306へ指示が出される（ST1500)。
[0081] 一方、 ST1100の判定の結果、 IPアドレスがグローバル IPアドレスではない場合は 、テーブル設定部 502によって、ポート管理テーブル 504から使用可能なグローバル ポートが選択され、アドレス回答に含まれていたプライベート IPアドレスおよびプライ ベートポート（以下、「プライベート IPアドレス/ポート」と表記する）に対して、選択さ れたグローバルポートが割り当てられる（ST3100)。そして、これらのプライベート IP アドレス Zポートとゲートウェイ装置 300のグローバル IPアドレスおよび選択されたグ ローバルポートとが対応づけられてアドレス変換テーブル 505に登録される（ST320 0)。また、プライベート IPアドレスに対応するドメイン名とゲートウェイ装置 300のグロ 一バル IPアドレスと選択されたグローバルポートとが SRVレコード/名前一アドレス テープ、ノレ 501に SRVレコードとして登録される（ST3300)。その後、テーブル設定 部 502によって、ゲートウェイ装置 300のグローバル IPアドレスおよび ST3100で選 択されたグローバルポートをアドレス回答としてグローバルネットワーク 200内の DNS サーバ 200cへ転送するように、 DNSメッセージ生成部 306へ指示が出される（ST3 400)。
[0082] このようにアドレス変換テーブル 505および SRVレコード Z名前一アドレステープ ノレ 501が設定されることにより、ゲートウェイ装置 300において、プライベートネットヮ ーク 100内のホスト（例えばホスト 100a)にはゲートウェイ装置 300のグローバル IPァ ドレスおよびグローバルポートが割り当てられ、グローバルネットワーク 200内のホスト (例えばホスト 200b)にはプライベート IPアドレスが割り当てられたことになる。
[0083] 次に、トワイス NAT処理部 506の処理について、図 20に示すフロー図を参照して 説明する。なお、同図において、図 11 (実施の形態 1)と同じ部分には同じ符号を付 し、その詳しい説明を省略する。
[0084] トワイス NAT処理部 506には、 DNSメッセージ以外の IPパケットなどのメッセージ が受信識別部 302または受信識別部 314から入力される（ST2000)。そして、実施 の形態 1と同様に、トワイス NAT処理部 506によって、 IPパケットの送信元アドレス、 送信元ポート、および宛先アドレスが取得され (ST2010)、 IPパケットの転送先が判 定され（ST2020)、 IPパケットの転送先がグローバルネットワーク 200である場合は、 アドレス変換テーブル 505における宛先アドレスの有無が判定される（ST2040)。こ の結果、宛先アドレスがアドレス変換テーブル 505に登録されていない場合は、パケ ットが廃棄される（ST2120)—方、宛先アドレスがアドレス変換テーブル 505に登録 されている場合は、宛先アドレスが対応するグローバル IPアドレスに変換される（ST2 050)。
[0085] その後、アドレス変換テーブル 505から送信元アドレスおよび送信元ポートが検索 され、送信元アドレスおよび送信元ポートの有無が判定される（ST4000)。この結果 、送信元アドレスおよび送信元ポートがアドレス変換テーブル 505に登録されている 場合は、送信元アドレスおよび送信元ポートがそれぞれ対応するグローバル IPァドレ スおよびグローバルポートに変換され（ST4010)、送信部 312へ IPパケットが転送さ れる（ST2080)。また、送信元アドレスおよび送信元ポートがアドレス変換テーブル 5 05に登録されていない場合は、その旨がテーブル設定部 502へ通知され、ポート管 理テーブル 504から使用可能なグローバルポートが選択され（ST4020)、 IPパケット の送信元ポートと選択されたグローバルポートとが対応づけられてアドレス変換テー ブノレ 505に登録される（ST4030)。さらに、トワイス NAT処理咅 B506によって、送信 元アドレスおよび送信元ポートがそれぞれゲートウェイ装置 300のグローバル IPアド レスおよび選択されたグローバルポートに変換され（ST4040)、送信部 312へ IPパ ケットが転送される（ST2080)。
[0086] 一方、 ST2020の半 IJ定の結果、転送先がプライベートネットワーク 100である場合 は、トワイス NAT処理部 506によって、アドレス変換テーブル 505から宛先アドレスが 検索され（ST2130)、宛先ポートの有無が判定される（ST4050)。この結果、宛先 ポートがアドレス変換テーブル 505に登録されていない場合は、パケットが廃棄され る（ST2120)。また、宛先ポートがアドレス変換テーブル 505に登録されている場合 は、アドレス変換テーブル 505が参照され、宛先アドレスおよび宛先ポートがそれぞ れ対応するプライベート IPアドレスおよびプライベートポートに変換される（ST4060)
[0087] その後、実施の形態 1と同様に、アドレス変換テーブル 505から送信元アドレスが検 索され、送信元アドレスがアドレス変換テーブル 505に登録されている場合は、送信 元アドレスが対応するプライベート IPアドレスに変換され、（ST2170)、送信部 315 へ IPパケットが転送される（ST2180)。また、送信元アドレスがアドレス変換テーブル 505に登録されていない場合は、使用可能なプライベート IPアドレスが送信元ァドレ スに割り当てられて登録された上で、送信元アドレスがこのプライベート IPアドレスに 変換され（ST2210)、送信部 315へ IPパケットが転送される（ST2180)。
[0088] このように、宛先アドレスおよび送信元アドレスの双方と宛先ポートまたは送信元ポ ートとがゲートウェイ装置 300においてパケット転送先のネットワークにおける IPァドレ スおよびポートに変換されるため、 2つのネットワークを跨ぐアクセスにおいては、パケ ット送信元のホストに対してパケット転送先の実際の IPアドレスを隠蔽することができ 、セキュリティを向上することができる。 [0089] 次に、プライベートネットワーク 100とグローバルネットワーク 200の間のアクセスに ついて説明する。本実施の形態に係るプライベートネットワーク 100からグローバル ネットワーク 200へのアクセスについては、送信元アドレスのみではなく送信元ポート がグローバルポートに変換される点を除いて実施の形態 1と同様であるため、その説 明を省略する。
[0090] したがって、以下ではグローバルネットワーク 200力 プライベートネットワーク 100 へのアクセスについて、図 21に示すシーケンス図を参照して説明する。
[0091] まず、グローバルネットワーク 200内のホスト 200bは、グローバルネットワーク 200 内の DNSサーノ 2000へ_361^06._?1-01：0^&11½「_www._tcp.private.com」に関する DN Sクエリ 600を送信する。し力し、 DNSサーノ 200cに fま、 _Service._Proto.Name www •_tcp.private.com」が登録されてレヽなレ、ため、ゲートウェイ装置 300へ名前問レ、合わ せ 601が送信される。
[0092] 名前問い合わせ 601は、グローバルネットワークインタフェース部 313、受信識別部 314、および DNSメッセージ識別部 303を経て名前解決部 304へ入力され、名前解 決部 304にて名前解決が試みられる。ここでは、—Service._Proto.Name www._tcp.pri vate.com」が SRVレコード/名前 アドレステーブル 501に登録されていないものと して説明を続ける。この場合、 DNSメッセージ生成部 306によって生成された名前問 い合わせ 602がプライベートネットワーク 100内の DNSサーバ 100bへ転送される。
DNSサーバ 100bは、 自サーバに保持されてレ、る名前 アドレステーブルから「_ww w._tcp. private.com」 検索し、プフィベート IPアドレス「PA3」およびプフづペートホー h「aaa」を取得する。プライベート IPアドレス/ポート取得後、 DNSサーバ 100bは、 ゲートウェイ装置 300へプライベート IPアドレス「PA3」およびプライベートポート「aaa 」を含むアドレス/ポート回答 603を転送する。
[0093] アドレス Zポート回答 603を受信したゲートウェイ装置 300は、上述したテーブル設 定部 502による処理を行う。すなわち、ポート管理テーブル 504から使用可能なグロ 一バルポート「χχχ」が選択され、ゲートウェイ装置 300のグローバル IPアドレス「GA1 」、実際のプライベート IPアドレス「PA3」、およびプライベートポート「aaa」に対応づ けられて、アドレス変換テーブル 505に登録される。また、 SRVレコード Z名前一アド レステープノレ 501に、—Service.— Proto. Name「― www.— tcp.private.com」とグローノくノレ IP アドレス「GA1」およびグローバルポート「xxx」とが対応づけられて登録される。
[0094] テーブル設定部 502による処理が終了した後、 DNSメッセージ生成部 306は、グロ 一バル IPアドレス「GA1」およびグローバルポート「xxx」を含むアドレス回答を生成し 、アドレス Zポート回答 604が送信部 312からグローバルネットワークインタフェース ^313を して DNSサーノ 200cへ i¾ fされる。 DNSサーノ 200c¾；、ホス卜 200b へ _Service._Proto.Name「_www._tcp.private.com」の IPアドレス力ダローノヽノレ IPァドレ ス「0八1」であり、グローバルポートが「xxx」である旨の DNS回答 605を転送する。し たがって、グローバルネットワーク 200内のホスト 200bおよび DNSサーバ 200cに対 しては、プライベートネットワーク 100内のホスト 100aの実際のプライベート IPアドレス 「PA3」およびプライベートポート「aaa」が隠蔽されている。そして、ホスト 200bは、送 信元アドレスをグローバル IPアドレス「GA4」、宛先アドレスをグローバル IPアドレス「 GA1」、宛先ポートをグローバルポート「xxx」として、 IPパケット 606をゲートウェイ装 置 300へ送信する。
[0095] IPパケット 606を受信したゲートウェイ装置 300は、上述したトワイス NAT処理部 50 6による処理を行う。すなわち、トワイス NAT処理部 506によってアドレス変換テープ ノレ 505力 S参照され、宛先アドレスのグローバル IPアドレス「GA1」および宛先ポートの グローバノレポート「xxx」がそれぞれプライベート IPアドレス「PA3」およびプライべ一 トポート「aaa」に変換される。また、トワイス NAT処理部 506によって、送信元アドレス に対応するプライベート IPアドレスとして使用可能なプライベート IPアドレス「PA4」が アドレス管理テーブル 503から選択され、送信元アドレスであるグローバル IPアドレス 「GA4」と選択されたプライベート IPアドレス「PA4」とがアドレス変換テーブル 505に 登録され、送信元アドレスがプライベート IPアドレス「PA4」に変換される。このように して、宛先アドレスおよび送信元アドレスの双方がプライベート IPアドレスに変換され るトワイス NATが行われた後、 IPパケット 607は、プライベートネットワーク 100内のホ スト 100aへ送信される。したがって、プライベートネットワーク 100内のホスト 100aに 対しては、グローバルネットワーク内のホスト 200bの実際のグローバル IPアドレス「G A4」が隠蔽されている。 [0096] 以後、グローバルネットワーク 200内のホスト 200b力 プライベートネットワーク 100 内のホスト 100aへの通信では、ゲートウェイ装置 300において、アドレス変換テープ ル 505に基づくトワイス NATが実施される。
[0097] 以上のように、本実施の形態によれば、グローバルネットワークとプライベートネット ワークの間の通信が行われる際、ゲートウェイ装置において、名前解決時にドメイン 名に対応する IPアドレスを送信元のネットワーク内における未使用の IPアドレスに変 換するとともに、 IPパケットの送信時に送信元アドレスおよび宛先アドレスをパケット 転送先のネットワーク内における IPアドレスに変換する。このため、互いのネットヮー クを越えて実際の IPアドレスがやり取りされることがなぐセキュリティを維持しつつグ ローバルネットワーク側からプライベートネットワーク側へのアクセスを可能として、グ ローバルネットワークとプライベートネットワーク間の相互通信を実現できる。
[0098] また、本実施の形態においては、ゲートウェイ装置にグローバル IPアドレスを 1つの み付与し、 SRVレコードに含まれるポートによってグローバル IPアドレスの識別を行う ため、多くの IPアドレスをゲートウェイ装置が占有することを防止することができる。
[0099] (実施の形態 3)
本発明の実施の形態 3の特徴は、プライベートネットワーク内のホストが UPnP (Uni versal Plug and Play)プロトコルなどのプラグアンドプレイの機能を搭載している場合 、ゲートウェイ装置において自動的にポートマッピングを作成する点である。
[0100] 本実施の形態に係るネットワーク構成は、図 4 (実施の形態 1)と同様であるため、そ の説明を省略する。ただし、実施の形態 1と異なり、本実施の形態のホスト 100aには 、 UPnPプロトコルが搭載されている。また、本実施の形態のゲートウェイ装置 300に は、実施の形態 2と同様に、グローバルネットワーク 200側ではグローバル IPアドレス 「GA1」のみが付与されている。
[0101] UPnPとは、家庭内のパソコン、パソコン周辺機器、 AV機器、および家電製品など の機器をネットワークを通じて接続し、相互に機能を提供しあうために「UPnP Forumj と呼ばれる団体によって規格化された技術仕様である。 UPnPは、インターネットで標 準となっている技術を基盤とし、ネットワークに接続するだけで、複雑な操作や設定 作業を伴うことなく機能することを目指して検討されている。また、 UPnPは、主にデ バイス検出、 LAN内の機器からのポートマッピング要求、およびグローバル IPァドレ スの通知などの機能を有する。
[0102] 図 22は、本実施の形態に係るゲートウェイ装置 300の構成を示すブロック図である 。同図において、図 5および図 14と同じ部分には同じ符号を付し、その説明を省略 する。図 22に示すように、ゲートウェイ装置 300は、プライベートネットワークインタフ エース部 301、受信識別部 701、 DNSメッセージ識別部 303、名前解決部 304、 SR Vレコード/名前—アドレステーブル 501、 DNSメッセージ生成部 306、テーブル設 定部 703、アドレス管理テーブル 503、ポート管理テーブル 504、アドレス変換テー ブノレ 505、トワイス NAT処理部 506、送信部 312、グローバルネットワークインタフエ ース部 313、受信識別部 314、送信部 315、および UPnP処理部 702を有している。
[0103] 受信識別部 701は、プライベートネットワーク 100からの信号が DNSメッセージであ る力 \ UPnPメッセージである力、、またはそれ以外のメッセージであるかを識別し、 D NSメッセージを DNSメッセージ識別部 303へ転送し、 UPnPメッセージを UPnP処 理部 702へ転送し、これら以外のメッセージをトワイス NAT処理部 506へ転送する。
[0104] UPnP処理部 702は、 UPnPメッセージがポートマッピング要求の場合には、ホスト
100aのプライベート IPアドレス/ポートを含むポートマッピング要求をテーブル設定 部 703へ送信する。また、 UPnP処理部 702は、テーブル設定部 703からポートマツ ビング要求応答を受信し、通知されたグローバルポートを示す UPnPメッセージを送 信部 315へ転送する。
[0105] テーブル設定部 703は、ポートマッピング要求を UPnP処理部 702から受信すると 、ポート管理テーブル 504から使用可能なグローバルポートを選択し、ポートマツピン グ要求に含まれるプライベート IPアドレス Zポート、ゲートウェイ装置 300のグローバ ル IPアドレス、および選択されたグローバルポートをアドレス変換テーブル 505に登 録する。また、テーブル設定部 703は、 SRVレコード/名前—アドレステーブル 501 に、ゲートゥヱイ装置 300のグローバル IPアドレスと選択されたグローバルポートを登 録する。
[0106] 次いで、上記のように構成されたゲートウェイ装置 300におけるアドレス変換テープ ル 505および SRVレコード/名前—アドレステーブル 501の設定動作を図 23に示 すシーケンス図を参照しながら説明する。
[0107] まず、ホスト 100aが起動されると、ホスト 100aの UPnPによって、ゲートウェイ装置 3 00が検出（デバイス検出）され、ポートマッピング要求 800が送信される。ゲートウェイ 装置 300は、 UPnP処理部 702にて受信した UPnPメッセージがポートマッピング要 求であると判断し、テーブル設定部 703へポートマッピング要求 801を転送する。こ のとき、ポートマッピング要求 801には、ホスト 100aのプライベート IPアドレス「PA3」 とプライベートポート「aaa」が含まれてレ、る。
[0108] テーブル設定部 703は、ポート管理テーブル 504から使用可能なグローバルポート 「xxx」を選択し、アドレス変換テーブル登録 802をアドレス変換テーブル 505へ出力 する。すなわち、テーブル設定部 703は、プライベート IPアドレス「PA3」、プライべ一 トポート「aaa」、ゲートウェイ装置 300のグローバル IPアドレス「GA1」、および選択し たポート「xxx」をアドレス変換テーブル 505に登録する。
[0109] また、テーブル設定部 703は、 SRVレコード/名前 アドレステーブル登録 803を SRVレコード/名前一アドレステーブル 501へ出力する。すなわち、テーブル設定 部 703は、ゲートウェイ装置 300のグローバル IPアドレス「GA1」と選択したポート「xx x」を SRVレコード/名前—アドレステーブル 501に登録する。
[0110] このようにしてポートマッピングが行われた後、テーブル設定部 703は、ポートマツピ ングが完了した旨のポートマッピング要求応答 804を UPnP処理部 702へ出力し、 U PnP処理部 702からポートマッピング要求応答 805がホスト 100aへ転送される。
[0111] 以後、ホスト 100aは、定期的にポートマッピング確認要求 806をゲートウェイ装置 3 00へ送信し、ゲートウェイ装置 300の UPnP処理部 702は、テーブル設定部 703へ ポートマッピング確認要求 807を出力し、テーブル設定部 703は、アドレス変換テー ブノレ参照 808を行って、この結果をポートマッピング確認応答 809として UPnP処理 部 702へ返送する。 UPnP処理部 702は、ポートマッピング確認応答 810をホスト 10 Oaへ転送することにより、ポートマッピングがアドレス変換テーブル 505に設定されて レ、るか否かを確認する。
[0112] 以上のような動作は、例えばプライベートネットワーク 100内のホストが新規にサー ビスを提供する場合に実施される。 [0113] 次に、グローバルネットワーク 200からプライベートネットワーク 100へのアクセスに ついて、図 24に示すシーケンス図を参照して説明する。
[0114] まず、グローバルネットワーク 200内のホスト 200bは、グローバルネットワーク 200 内の DNSサーノ 2000へ_361^06._?1-01：0^&11½「_www._tcp.private.com」に関する DN Sクエリ 850を送信する。し力し、 DNSサーノ 200cに fま、 _Service._Proto.Name www •_tcp.private.com」が登録されてレヽなレ、ため、ゲートウェイ装置 300へ名前問レ、合わ せ 851が送信される。
[0115] 名前問い合わせ 851は、グローバルネットワークインタフェース部 313、受信識別部 314、および DNSメッセージ識別部 303を経て名前解決部 304へ入力される。本実 施の形態においては、プライベートネットワーク 100内のホスト 100aとの間で UPnP によって、事前にアドレス変換テーブル 505および SRVレコード/名前一アドレステ 一ブル 501が設定されているため、名前解決部 304によって、 SRVレコード/名前 —アドレステーブル 501から「_www._tcp.private.com」が検索され、プライベート IPアド レス「PA3」およびプライベートポート「aaa」が取得される。
[0116] 取得されたプライベート IPアドレス「PA3」およびプライベートポート「aaa」は、ァドレ ス変換テーブル 505が参照されることにより、ゲートウェイ装置 300のグローバル IPァ ドレス「GA1」およびグローバルポート「xxx」へ変換され、アドレス/ポート回答 852と してグローバルネットワーク 200内の DNSサーバ 200cへ送信される。 DNSサーバ 2 00cは、ホスト 200bへ— Service.— Proto. Name「― www.— tcp.private.com」の IPアドレス力 S グローバル IPアドレス「GA1」であり、グローバルポートが「xxx」である旨の DNS回 答 853を転送する。したがって、グローバルネットワーク 200内のホスト 200bおよび D NSサーノ 200cに対しては、プライベートネットワーク 100内のホスト 100aの実際の プライベート IPアドレス「PA3」およびプライベートポート「aaa」が隠蔽されてレ、る。そ して、ホスト 200bは、送信元アドレスをグローバル IPアドレス「GA4」、宛先アドレスを グローバル IPアドレス「GA1」、宛先ポートをグローバルポート「xxx」として、 IPバケツ ト 854をゲートウェイ装置 300へ送信する。
[0117] 以後、実施の形態 2と同様のトワイス NAT処理が行われ、宛先アドレスがプライべ ート IPアドレス「PA3」、宛先ポートがプライベートポート「aaa」、および送信元ァドレ スがプライベート IPアドレス「PA4」にそれぞれ変換され、 IPパケット 855がホスト 100 aへ送信される。したがって、プライベートネットワーク 100内のホスト 100aに対しては 、グローバルネットワーク内のホスト 200bの実際のグローバル IPアドレス「GA4」が隠 蔽されている。
[0118] 以上のように、本実施の形態によれば、グローバルネットワークとプライベートネット ワークの間の通信が行われる際、ゲートウェイ装置において、名前解決時にドメイン 名に対応する IPアドレスを送信元のネットワーク内における未使用の IPアドレスに変 換するとともに、 IPパケットの送信時に送信元アドレスおよび宛先アドレスをパケット 転送先のネットワーク内における IPアドレスに変換する。このため、互いのネットヮー クを越えて実際の IPアドレスがやり取りされることがなぐセキュリティを維持しつつグ ローバルネットワーク側からプライベートネットワーク側へのアクセスを可能として、グ ローバルネットワークとプライベートネットワーク間の相互通信を実現できる。
[0119] また、本実施の形態においては、 UPnPによってプライベートネットワーク内のホスト が起動されると同時にポートマッピングが作成されるため、プライベートネットワーク内 に DNSサーバが無くてもゲートウェイ装置において名前解決を行うことができる。
[0120] なお、上記各実施の形態においては、グローバルネットワークからプライベートネッ トワークへのアクセス時には送信元アドレスのみが変換され、プライベートネットワーク 力 グローバルネットワークへのアクセス時には宛先のアドレスのみが変換されている 。したがって、上記各実施の形態においては、プライベートネットワークへ同時にァク セス可能なグローバルネットワーク内のホスト数は、ゲートウェイ装置が使用可能なプ ライべート IPアドレス数に依存する。また、プライベートネットワークから同時にァクセ ス可能なグローバルネットワーク内のホスト数も同様に、ゲートウェイ装置が使用可能 なプライベート IPアドレス数に依存する。
[0121] そこで、本発明においては、グローバルネットワークからプライベートネットワークへ のアクセス時に、送信元アドレスのみではなぐポートも変換するようにしても良レ、。ま た、プライベートネットワーク力、らグローバルネットワークへのアクセス時には、宛先ァ ドレスおよびポートを変換するようにしても良レ、。
[0122] これにより、プライベートネットワークからアクセス可能なグローバルネットワークのホ スト数、またはプライベートネットワークへアクセス可能なグローバルネットワークのホ スト数は、ゲートウェイ装置が使用可能なプライベート IPアドレスに依存しなくなる。
[0123] 以上説明したように、本実施の形態の第 1の態様に係るアドレス変換装置は、パケ ット送信先が含まれる第 1のネットワークおよびパケット送信元が含まれる第 2のネット ワークの間に設けられるアドレス変換装置であって、前記パケット送信先の前記第 1 のネットワーク内におけるアドレスに前記第 2のネットワーク内における仮のアドレスを 対応づけて設定する設定手段と、設定された仮のアドレスを前記パケット送信元へ送 信する第 1の送信手段と、前記パケット送信元から送信されるパケットの宛先アドレス および送信元アドレスを前記第 1のネットワーク内におけるアドレスへ変換する変換手 段と、アドレス変換後のパケットを前記パケット送信先へ送信する第 2の送信手段と、 を有する構成を採る。
[0124] この構成によれば、パケット送信先に仮のアドレスを対応づけ、パケット送信元から 仮のアドレス宛てに送信されたパケットの送信元アドレスおよび宛先アドレスを第 1の ネットワーク内におけるアドレスへ変換してからパケット送信先へ送信するため、パケ ット送信先に対してパケット送信元のアドレスを隠蔽できるとともにパケット送信元に対 してパケット送信先のアドレスを隠蔽できる。したがって、セキュリティを維持しつつグ ローバルネットワーク側からプライベートネットワーク側へのアクセスを可能として、グ ローバルネットワークとプライベートネットワーク間の相互通信を実現できる。
[0125] また、本実施の形態の第 2の態様に係るアドレス変換装置は、上記第 1の態様にお いて、前記設定手段は、 自装置の前記第 2のネットワーク内におけるアドレスを前記 仮のアドレスとするとともに、前記パケット送信先のポート番号に前記第 2のネットヮー ク内における仮のポート番号を対応づけて設定する構成を採る。
[0126] この構成によれば、仮のアドレスを自装置のアドレスとし、ポート番号に仮のポート 番号を対応づけるため、ポート番号によってアドレスの識別を行うことができ、有限の アドレスを多く占有することを防止することができる。
[0127] また、本実施の形態の第 3の態様に係るアドレス変換装置は、上記第 2の態様にお いて、前記パケット送信先が起動する際に送信する要求メッセージであって前記パケ ット送信先のポート番号に前記第 2のネットワーク内における仮のポート番号の対応 づけを要求する要求メッセージを受信する受信手段、をさらに有し、前記設定手段は 、前記要求メッセージが受信された時に前記パケット送信先のポート番号と前記仮の ポート番号とを設定する構成を採る。
[0128] この構成によれば、パケット送信先の起動時にパケット送信先のポート番号と仮の ポート番号とが対応づけられるため、第 1のネットワーク内に DNSサーバなどが設置 されてレ、なくても名前解決を行うことができる。
[0129] また、本実施の形態の第 4の態様に係るアドレス変換方法は、パケット送信先が含 まれる第 1のネットワークおよびパケット送信元が含まれる第 2のネットワークの間にお けるアドレス変換方法であって、前記パケット送信先の前記第 1のネットワーク内にお けるアドレスに前記第 2のネットワーク内における仮のアドレスを対応づけて設定する ステップと、設定された仮のアドレスを前記パケット送信元へ送信するステップと、前 記パケット送信元から送信されるパケットの宛先アドレスおよび送信元アドレスを前記 第 1のネットワーク内におけるアドレスへ変換するステップと、アドレス変換後のバケツ トを前記パケット送信先へ送信するステップと、を有するようにした。
[0130] この方法によれば、パケット送信先に仮のアドレスを対応づけ、パケット送信元から 仮のアドレス宛てに送信されたパケットの送信元アドレスおよび宛先アドレスを第 1の ネットワーク内におけるアドレスへ変換してからパケット送信先へ送信するため、パケ ット送信先に対してパケット送信元のアドレスを隠蔽できるとともにパケット送信元に対 してパケット送信先のアドレスを隠蔽できる。したがって、セキュリティを維持しつつグ ローバルネットワーク側からプライベートネットワーク側へのアクセスを可能として、グ ローバルネットワークとプライベートネットワーク間の相互通信を実現できる。
[0131] 本明糸田書は、 2004年 12月 22曰出願の特願 2004— 372328に基づく。その内容 は全てここに含めておく。
産業上の利用可能性
[0132] 本発明のアドレス変換装置およびアドレス変換方法は、セキュリティを維持しつつグ ローバルネットワーク側からプライベートネットワーク側へのアクセスを可能として、グ ローバルネットワークとプライベートネットワーク間の相互通信を実現でき、例えばグロ 一バルネットワークとプライベートネットワークとの間のゲートウェイなどにおけるァドレ ス変換装置およびアドレス変換方法などとして有用である。

Claims

請求の範囲
[1] パケット送信先が含まれる第 1のネットワークおよびパケット送信元が含まれる第 2の ネットワークの間に設けられるアドレス変換装置であって、
前記パケット送信先の前記第 1のネットワーク内におけるアドレスに前記第 2のネット ワーク内における仮のアドレスを対応づけて設定する設定手段と、
設定された仮のアドレスを前記パケット送信元へ送信する第 1の送信手段と、 前記パケット送信元から送信されるパケットの宛先アドレスおよび送信元アドレスを 前記第 1のネットワーク内におけるアドレスへ変換する変換手段と、
アドレス変換後のパケットを前記パケット送信先へ送信する第 2の送信手段と、 を有するアドレス変換装置。
[2] 前記設定手段は、
自装置の前記第 2のネットワーク内におけるアドレスを前記仮のアドレスとするととも に、前記パケット送信先のポート番号に前記第 2のネットワーク内における仮のポート 番号を対応づけて設定する
請求項 1記載のアドレス変換装置。
[3] 前記パケット送信先が起動する際に送信する要求メッセージであって前記パケット 送信先のポート番号に前記第 2のネットワーク内における仮のポート番号の対応づけ を要求する要求メッセージを受信する受信手段、をさらに有し、
前記設定手段は、
前記要求メッセージが受信された時に前記パケット送信先のポート番号と前記仮の ポート番号とを設定する
請求項 2記載のアドレス変換装置。
[4] パケット送信先が含まれる第 1のネットワークおよびパケット送信元が含まれる第 2の ネットワークの間におけるアドレス変換方法であって、
前記パケット送信先の前記第 1のネットワーク内におけるアドレスに前記第 2のネット ワーク内における仮のアドレスを対応づけて設定するステップと、
設定された仮のアドレスを前記パケット送信元へ送信するステップと、
前記パケット送信元から送信されるパケットの宛先アドレスおよび送信元アドレスを 前記第 1のネットワーク内におけるアドレスへ変換するステップと、 アドレス変換後のパケットを前記パケット送信先へ送信するステップと、 を有するアドレス変換方法。
PCT/JP2005/023030 2004-12-22 2005-12-15 アドレス変換装置およびアドレス変換方法 WO2006068024A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US11/722,324 US20100014521A1 (en) 2004-12-22 2005-12-15 Address conversion device and address conversion method

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2004-372328 2004-12-22
JP2004372328A JP2006180295A (ja) 2004-12-22 2004-12-22 アドレス変換装置およびアドレス変換方法

Publications (1)

Publication Number Publication Date
WO2006068024A1 true WO2006068024A1 (ja) 2006-06-29

Family

ID=36601624

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2005/023030 WO2006068024A1 (ja) 2004-12-22 2005-12-15 アドレス変換装置およびアドレス変換方法

Country Status (4)

Country Link
US (1) US20100014521A1 (ja)
JP (1) JP2006180295A (ja)
CN (1) CN101088264A (ja)
WO (1) WO2006068024A1 (ja)

Families Citing this family (27)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4954624B2 (ja) * 2006-07-18 2012-06-20 三菱電機株式会社 宅内中継装置および宅内中継システム
US8079077B2 (en) 2006-08-08 2011-12-13 A10 Networks, Inc. System and method for distributed multi-processing security gateway
US8332925B2 (en) 2006-08-08 2012-12-11 A10 Networks, Inc. System and method for distributed multi-processing security gateway
JP4769669B2 (ja) * 2006-09-07 2011-09-07 富士通株式会社 モバイルｉｐに準拠する移動通信システム、ホームエージェント、モバイルノード及び方法
US8339991B2 (en) * 2007-03-01 2012-12-25 Meraki, Inc. Node self-configuration and operation in a wireless network
JP2009053733A (ja) * 2007-08-23 2009-03-12 Sony Broadband Solution Corp プレゼンテーションシステム
JP5214402B2 (ja) * 2008-10-22 2013-06-19 沖電気工業株式会社 パケット転送装置、パケット転送方法、パケット転送プログラム及び通信装置
KR20120023134A (ko) * 2009-05-27 2012-03-12 닛본 덴끼 가부시끼가이샤 무선 ｌａｎ 액세스 포인트 장치, 이동 통신 단말기, 통신 방법 및 기록 매체
JP4635095B2 (ja) * 2009-06-30 2011-02-16 株式会社東芝 通信システムとそのサーバ装置
WO2011141993A1 (ja) * 2010-05-11 2011-11-17 株式会社チェプロ 双方向通信システムおよびこれに用いるサーバ装置
JP5587085B2 (ja) * 2010-07-27 2014-09-10 パナソニック株式会社 通信システム、制御装置及び制御プログラム
JP5542098B2 (ja) * 2011-06-27 2014-07-09 日本電信電話株式会社 経路制御装置、経路制御プログラム、経路制御方法及び経路制御システム
WO2013057773A1 (ja) * 2011-10-17 2013-04-25 富士通株式会社 プログラム、情報処理装置、および経路設定方法
CN102572014B (zh) * 2012-03-07 2015-12-02 华为终端有限公司 消息处理方法、装置和系统
US9118618B2 (en) 2012-03-29 2015-08-25 A10 Networks, Inc. Hardware-based packet editor
TWI535247B (zh) * 2012-04-10 2016-05-21 財團法人資訊工業策進會 用於網路位址轉換穿透的傳輸系統及傳輸方法
US9596286B2 (en) 2012-05-25 2017-03-14 A10 Networks, Inc. Method to process HTTP header with hardware assistance
US10021174B2 (en) 2012-09-25 2018-07-10 A10 Networks, Inc. Distributing service sessions
JP2015534769A (ja) 2012-09-25 2015-12-03 エイ１０ ネットワークス インコーポレイテッドＡ１０ Ｎｅｔｗｏｒｋｓ， Ｉｎｃ． データネットワークにおける負荷分散
JPWO2014142278A1 (ja) * 2013-03-14 2017-02-16 日本電気株式会社 制御装置、通信システム、通信方法及びプログラム
US10027761B2 (en) 2013-05-03 2018-07-17 A10 Networks, Inc. Facilitating a secure 3 party network session by a network device
US10020979B1 (en) 2014-03-25 2018-07-10 A10 Networks, Inc. Allocating resources in multi-core computing environments
US9806943B2 (en) 2014-04-24 2017-10-31 A10 Networks, Inc. Enabling planned upgrade/downgrade of network devices without impacting network sessions
SG10201910591PA (en) * 2014-06-30 2020-01-30 Cfph Llc Financial network
US9930004B2 (en) * 2015-10-13 2018-03-27 At&T Intellectual Property I, L.P. Method and apparatus for expedited domain name system query resolution
US10762559B2 (en) * 2016-04-15 2020-09-01 Adp, Llc Management of payroll lending within an enterprise system
JP6256773B2 (ja) * 2016-05-11 2018-01-10 アライドテレシスホールディングス株式会社 セキュリティシステム

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002141953A (ja) * 2000-11-06 2002-05-17 Sony Corp 通信中継装置、通信中継方法、および通信端末装置、並びにプログラム記憶媒体

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6608830B1 (en) * 1999-01-12 2003-08-19 Yamaha Corporation Router
JP4349766B2 (ja) * 2001-12-07 2009-10-21 株式会社日立製作所 アドレス変換装置
JP4077351B2 (ja) * 2003-03-28 2008-04-16 富士通株式会社 名前／アドレス変換装置
KR100550009B1 (ko) * 2003-11-13 2006-02-08 한국전자통신연구원 유비쿼터스 컴퓨팅을 위한 네트워크 장치 및 패킷 라우팅방법

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002141953A (ja) * 2000-11-06 2002-05-17 Sony Corp 通信中継装置、通信中継方法、および通信端末装置、並びにプログラム記憶媒体

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
SRISURESH P. ET AL.: "DNS extensions to Network Address Translators (DNS_ALG), RFC 2694", JETF STANDARD, September 1999 (1999-09-01), XP015008477 *

Also Published As

Publication number Publication date
US20100014521A1 (en) 2010-01-21
CN101088264A (zh) 2007-12-12
JP2006180295A (ja) 2006-07-06

Similar Documents

Publication Publication Date Title
WO2006068024A1 (ja) アドレス変換装置およびアドレス変換方法
JP5335886B2 (ja) ローカル・ネットワーク間でデータ・パケットを通信するための方法および装置
Bagnulo et al. DNS64: DNS extensions for network address translation from IPv6 clients to IPv4 servers
US7302496B1 (en) Arrangement for discovering a localized IP address realm between two endpoints
JP3965160B2 (ja) 相異なる私設網に位置したネットワーク装置間の通信を支援するネットワーク接続装置
JP4786747B2 (ja) ミドルボックスにおけるｉｐアドレス分散
US6591306B1 (en) IP network access for portable devices
US7411967B2 (en) Private network gateways interconnecting private networks via an access network
US8805977B2 (en) Method and system for address conflict resolution
TWI441493B (zh) 網路位址轉換的系統與方法
US20050066041A1 (en) Setting up a name resolution system for home-to-home communications
US20060153230A1 (en) IPv6 / IPv4 translator
JP4766976B2 (ja) ノード間接続方法及び装置
JP2004509517A (ja) ピア・ツー・ピア・アプリケーション通信を容易にするための方法および装置
JP2003188901A (ja) 通信システムおよび通信方法
WO2007100641A2 (en) Communication using private ip addresses of local networks
JP2003174466A (ja) アドレス変換装置、メッセージ処理方法および装置
JP2003087336A (ja) アドレス変換方法
CN110691150A (zh) 一种基于SDN的IPv4与IPv6互联方法及系统
JPH11252172A (ja) パケット生成方法およびその機能を有する情報処理装置並びにパケット生成プログラムを記録した記録媒体
Crocker Multiple address service for transport (mast): An extended proposal
CN112887452B (zh) 局域网间通信方法与系统、nat网关
JP4670979B2 (ja) パケット生成方法およびその機能を有する情報処理装置並びにパケット生成プログラムを記録した記録媒体
JP4349413B2 (ja) パケット生成方法およびその機能を有する情報処理装置並びにパケット生成プログラムを記録した記録媒体
KR101124635B1 (ko) ＩＰｖ４／ＩＰｖ６ 연동 게이트웨이

Legal Events

Date Code Title Description
AK Designated states

Kind code of ref document: A1

Designated state(s): AE AG AL AM AT AU AZ BA BB BG BR BW BY BZ CA CH CN CO CR CU CZ DE DK DM DZ EC EE EG ES FI GB GD GE GH GM HR HU ID IL IN IS KE KG KM KN KP KR KZ LC LK LR LS LT LU LV LY MA MD MG MK MN MW MX MZ NA NG NI NO NZ OM PG PH PL PT RO RU SC SD SE SG SK SL SM SY TJ TM TN TR TT TZ UA UG US UZ VC VN YU ZA ZM ZW

AL Designated countries for regional patents

Kind code of ref document: A1

Designated state(s): GM KE LS MW MZ NA SD SL SZ TZ UG ZM ZW AM AZ BY KG KZ MD RU TJ TM AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IS IT LT LU LV MC NL PL PT RO SE SI SK TR BF BJ CF CG CI CM GA GN GQ GW ML MR NE SN TD TG

121 Ep: the epo has been informed by wipo that ep was designated in this application
WWE Wipo information: entry into national phase

Ref document number: 11722324

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 200580044278.8

Country of ref document: CN

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 05816864

Country of ref document: EP

Kind code of ref document: A1