WO2013035309A1 - エージェント装置及び通信中継方法 - Google Patents

エージェント装置及び通信中継方法 Download PDF

Info

Publication number
WO2013035309A1
WO2013035309A1 PCT/JP2012/005601 JP2012005601W WO2013035309A1 WO 2013035309 A1 WO2013035309 A1 WO 2013035309A1 JP 2012005601 W JP2012005601 W JP 2012005601W WO 2013035309 A1 WO2013035309 A1 WO 2013035309A1
Authority
WO
WIPO (PCT)
Prior art keywords
dns
dns query
query packet
address
packet
Prior art date
Application number
PCT/JP2012/005601
Other languages
English (en)
French (fr)
Inventor
北村　浩
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to JP2013532442A priority Critical patent/JP5987832B2/ja
Publication of WO2013035309A1 publication Critical patent/WO2013035309A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/45—Network directories; Name-to-address mapping
    • H04L61/4505—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols
    • H04L61/4511—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols using domain name system [DNS]

Definitions

  • the present invention relates to a DNS (Domain Name System) query technology.
  • a client device that starts communication needs to acquire an IP address of a server device that is a communication partner.
  • the end user sees not the IP address but the name information of the server device such as FQDN (FullyFullQualified Domain Name).
  • FIG. 21 is a diagram showing the concept of pre-sequence.
  • the actual IP communication sequence is described as a main sequence.
  • the client device executes DNS (Domain Name System) name resolution processing as a pre-sequence before starting IP communication with the server.
  • DNS Domain Name System
  • Patent Documents 1, 2, and 3 Such a pre-sequence, that is, a technique relating to DNS name resolution is described in Patent Documents 1, 2, and 3 below.
  • the following Patent Document 1 describes a technique for properly using a plurality of name resolution mechanisms
  • Patent Document 2 listed below describes a technique for processing a DNS name query by a gateway device provided between a LAN terminal and a DNS server.
  • Patent Document 3 below describes a method in which a traffic management server returns IP information of an optimal service server to a client.
  • the pre-sequence described above has a great influence on the actual IP communication (main sequence). This is because the IP address acquired by the client apparatus in the pre-sequence not only determines the actual destination of IP communication but also determines the form and availability of the IP communication. Therefore, controlling the pre-sequence leads to controlling actual IP communication.
  • the client device may not be able to start IP communication efficiently. For example, when a client device transmits a DNS query packet in which a query type indicating an AAAA record is set even though the AAAA record for the communication partner device is not registered in the DNS, the client device Will freeze for a while because no reply is received from the DNS server.
  • the client device uses the IPv6 address obtained by the DNS query packet as the communication partner. And communication cannot be realized.
  • the present invention has been made in view of the above circumstances, and provides a technique for appropriately controlling a DNS query.
  • the first aspect relates to the agent device.
  • the agent device includes a capturing unit that captures a DNS query packet so that the DNS query packet is not received by the destination DNS server device, and the DNS query packet captured by analyzing the DNS query packet captured by the capturing unit.
  • a process determining unit that determines the process corresponding to the rejection process, and the DNS query packet whose process corresponding to the process determined by the process determining unit is determined to be the rejection process without transferring the DNS query packet to the DNS server.
  • a reply unit that sends back a negative response packet.
  • the second aspect relates to a communication relay method.
  • the communication relay method captures a DNS query packet so that it is not received by a destination DNS server device, and analyzes the captured DNS query packet to reject processing corresponding to the DNS query packet. This includes determining to process, and returning a negative response packet to the source of the DNS query packet without transferring the DNS query packet whose corresponding process is determined to be rejected to the DNS server.
  • a program that causes a computer to realize each configuration in the first aspect may be used, or a computer-readable recording medium that records such a program may be used.
  • This recording medium includes a non-transitory tangible medium.
  • FIG. 1 is a diagram conceptually illustrating a configuration example of an agent device according to the first embodiment.
  • FIG. 2 is a diagram conceptually illustrating an operation example of the agent device according to the first embodiment.
  • FIG. 3 is a diagram illustrating a first example (Permit_Node_by_IP) of the processing setting data.
  • FIG. 4 is a diagram illustrating a second example (Permit_Nodes_by_L2) of the processing setting data.
  • FIG. 5 is a diagram illustrating a third example (Deny_Nodes_by_IP) of the processing setting data.
  • FIG. 6 is a diagram illustrating a fourth example of processing setting data (Deny_Nodes_by_L2).
  • FIG. 1 is a diagram conceptually illustrating a configuration example of an agent device according to the first embodiment.
  • FIG. 2 is a diagram conceptually illustrating an operation example of the agent device according to the first embodiment.
  • FIG. 3 is a diagram illustrating a first example (Permit_Node_
  • FIG. 7 is a diagram illustrating a fifth example (A_Only) of the processing setting data.
  • FIG. 8 is a diagram illustrating a sixth example (AAAA_Only) of the processing setting data.
  • FIG. 9 is a diagram illustrating a seventh example of processing setting data (Hetero Deny (Homo_Permit)).
  • FIG. 10 is a diagram illustrating an eighth example (PTR_Deny6) of process setting data.
  • FIG. 11 is a diagram conceptually illustrating an operation example of the agent device according to the second embodiment.
  • FIG. 12 is a diagram illustrating a ninth example (Local_Answer (Answer_Replace)) of process setting data.
  • FIG. 13 is a diagram illustrating a tenth example (PTR_Local_Answer (PTR_Answer_Replace)) of process setting data.
  • FIG. 14 is a diagram conceptually illustrating a configuration example of the agent device according to the third embodiment.
  • FIG. 15 is a diagram conceptually illustrating an operation example of the agent device according to the third embodiment.
  • FIG. 16 is a diagram illustrating an eleventh example (Local_Query (Query_Replace)) of the processing setting data.
  • FIG. 17 is a diagram illustrating a twelfth example (Server_Set) of process setting data.
  • FIG. 18 is a diagram illustrating a thirteenth example (Server_Set_By_Query_Name) of the processing setting data.
  • FIG. 19 is a diagram illustrating a fourteenth example (PTR_Mapped6_to_4) of process setting data.
  • FIG. 20 is a diagram illustrating a fifteenth example (PTR_4_to_Mapped6) of process setting data.
  • FIG. 21 is a diagram showing the concept of pre-sequence.
  • FIG. 1 is a diagram conceptually illustrating a configuration example of an agent device 10 according to the first embodiment.
  • the agent device 10 is provided in the middle of the communication path 7 connecting the client device 1 and the DNS server device 5.
  • the middle of the communication path 7 means that any position on the communication path connecting the communication interface of the client device 1 to the communication interface of the DNS server device 5 may be used.
  • the agent device 10 may be provided separately from the client device 1 and the DNS server device 5 as illustrated in FIG. 1, or may be provided in the client device 1 or the DNS server device 5.
  • the client device 1 and the DNS server device 5 may be referred to as the client 1 and the DNS server 5 in some cases.
  • the agent device 10 includes a capture unit 11, a process determination unit 13, a reply unit 15, a relay unit 17, and the like.
  • Each of these processing units may be realized as at least one hardware component, or may be realized as at least one software component, individually or in a combination of a plurality of hardware components, It may be realized by a combination of software components.
  • a hardware component is a hardware circuit such as a field programmable gate array (FPGA), an application specific integrated circuit (ASIC), a gate array, a combination of logic gates, a signal processing circuit, an analog circuit, etc. is there.
  • the software component is realized by executing data (program) on one or more memories by one or more processors (for example, CPU (Central Processing Unit), DSP (Digital Signal Processor), etc.).
  • processors for example, CPU (Central Processing Unit), DSP (Digital Signal Processor), etc.
  • Software parts (fragments) such as tasks, processes and functions.
  • the agent device 10 includes a CPU, a memory, an input / output interface, and the like. Note that this embodiment does not limit the hardware configuration of the agent device 10.
  • the client device 1 is a general information processing terminal such as a PC (Personal Computer), a portable PC, a mobile phone, or the like.
  • the client device 1 only needs to have a general communication function that can access an arbitrary information server 9 or DNS server device 5 such as a WEB server and receive data.
  • a WEB system is used for an interface between the information server 9 and the client device 1.
  • the client device 1 performs IP communication with the DNS server device 5 and the information server 9 using a general communication function. Note that this embodiment does not limit the hardware configuration and functional configuration of the client device 1.
  • the client device 1 in the present embodiment executes the above-described pre-sequence in order to start access to the information server 9. Specifically, the client apparatus 1 acquires the IP address of the information server 9 from the DNS server apparatus 5 by executing the DNS forward lookup process as one of the name resolution processes. Similarly, the client device 1 acquires the FQDN (Fully Qualified Domain Name) of the information server 9 from the DNS server device 5 by executing the DNS reverse lookup process as one of the name resolution processes.
  • FQDN Frully Qualified Domain Name
  • the DNS server device 5 means any one of a general DNS server group. In the present embodiment, individual DNS server devices are not particularly distinguished. The present embodiment does not limit the hardware configuration and functional configuration of the DNS server device 5.
  • the capturing unit 11 captures a DNS query packet transmitted from the client device 1. This capture means that the packet data addressed to the DNS server device 5 is acquired and blocked by the agent device 10 so as not to reach the DNS server device 5. For example, the capture unit 11 captures, as a DNS query packet, a packet that is a UDP protocol and whose transmission destination port number is set to 53.
  • the process determining unit 13 determines the process corresponding to the DNS query packet by analyzing the DNS query packet captured by the capturing unit 11. Specifically, the process determining unit 13 is based on the source address set in the captured DNS query packet, the query type indicating the type of target information of the query, or the query name that is the key information of the query. The process corresponding to the DNS query packet is determined.
  • the transmission source address is an IP address or a MAC (Media Access Control Address) address (L2 address).
  • the process determined by the process determination unit 13 is permission or rejection.
  • the process determining unit 13 determines the process by the following method.
  • the permission process and the rejection process are front and back, either process may be determined by initiative, but in the following description, an example in which the rejection process is determined by initiative is shown.
  • the process determining unit 13 sets the process corresponding to the DNS query packet as a rejection process. decide.
  • the process determining unit 13 may determine that the process corresponding to the DNS query packet is a rejection process. Good.
  • the process determining unit 13 sets the process corresponding to the DNS query packet as a rejection process. decide.
  • the process determining unit 13 determines that the process corresponding to the DNS query packet is a rejection process. Also good.
  • the process determining unit 13 determines the process corresponding to the DNS query packet as a rejection process. Conversely, when a DNS query packet having a query type other than an AAAA record is captured, the process determining unit 13 may determine the process corresponding to the DNS query packet as a rejection process.
  • the process determining unit 13 identifies whether the address format of the source IP address is an IPv4 type or an IPv6 type, and based on the combination of the identified address format and query type, a DNS query packet Processing corresponding to the above may be determined. Specifically, the processing determination unit 13 captures a DNS query packet in which the address format is an IPv4 type and the query type indicates an AAAA record, and the address format is an IPv6 type and the query type is When a DNS query packet indicating an A record is captured, the process corresponding to the DNS query packet is determined as a rejection process.
  • the reply unit 15 returns a negative acknowledgment (NACK) packet to the transmission source of the DNS query packet whose corresponding process is determined to be the rejection process by the process determining unit 13.
  • NACK negative acknowledgment
  • the transmission source address of the DNS query packet is used as the transmission destination address of the negative acknowledgment packet.
  • the relay unit 17 sends the DNS query packet whose corresponding processing is determined to be permission processing by the processing determination unit 13 in the direction of the DNS server device 5.
  • FIG. 2 is a diagram conceptually illustrating an operation example of the agent device 10 according to the first embodiment.
  • the capture unit 11 of the agent device 10 captures the DNS query packet (S20). That is, the DNS query packet transmitted from the client device 1 does not reach the DNS server device 5.
  • the process determination unit 13 determines a process corresponding to the DNS query packet by analyzing the captured DNS query packet (S21). In this analysis, at least one of the source MAC address, source IP address, query type, and query name set in the DNS query packet is used.
  • the relay unit 17 sends the DNS query packet toward the DNS server device 5 (S22).
  • the DNS server device 5 extracts the IP address or FQDN requested by the DNS query packet, and transmits a response packet including the IP address or FQDN to the client device 1.
  • the client device 1 can acquire the IP address of the information server 9 by receiving the response packet corresponding to the DNS query packet, and can thus start communication with the information server 9 (main) sequence).
  • the relay unit 17 transmits a negative response to the client apparatus 1 that is the transmission source of the DNS query packet (S23).
  • the client device 1 cannot acquire the IP address of the information server 9 requested by the DNS query packet and cannot access the information server 9.
  • the DNS query packet transmitted from the client device 1 to the DNS server device 5 is captured, and the DNS query packet is analyzed. By this analysis, it is determined whether or not the DNS query packet is transferred to the DNS server device 5. When it is determined not to be transferred, a negative response is transmitted to the client apparatus 1 that is the transmission source.
  • the DNS query is filtered by the agent device 10 under a predetermined condition. According to this filtering, it is possible to appropriately select (authenticate) the client apparatus 1 that should return a DNS query response. Further, according to this filtering, the version of the IP address provided to the client device 1 can be appropriately selected. Furthermore, according to the fifth method described above, by identifying the version of the source IP address, the IP version supported by the client apparatus 1 of the source is specified, and conforms to the specified IP version. The IP address can be provided from the DNS server device 5. That is, according to the first embodiment, the DNS query can be appropriately controlled.
  • the client device 1 even if the DNS query is rejected by the agent device 10, a negative response is always returned, so the client device 1 immediately takes another response without freezing. Can do.
  • the process determining unit 13 holds process setting data as shown in FIGS. 3 to 10 and determines a process corresponding to the captured DNS query packet based on the contents of the process setting data. Good.
  • a transmission source L2 address (written as Client L2 Address), a transmission source IP address (written as Client IP Address), a query type, a query name, and action information (written as Action) are stored.
  • the process determining unit 13 matches the captured DNS query packet among a plurality of conditions using at least one of the source L2 address, source IP address, query type, and query name set in the process setting data.
  • the action information corresponding to the specified condition is determined as the process corresponding to the DNS query packet.
  • FIG. 3 is a diagram showing a first example of processing setting data (Permit_Node_by_IP).
  • the process determining unit 13 that refers to the process setting data of the first example determines the process corresponding to the DNS query packet in which the transmission source IP address indicates IP_A or IP_B as the permission process.
  • the action information “NR (NormalingResolving)” indicates that the captured DNS query packet is transferred to the DNS server device 5, and “SR.NoAnswer” indicates that the agent device 10 itself sends a negative response without transfer. It shows returning to the apparatus 1.
  • NR NormalResolving
  • SR.NoAnswer indicates that the agent device 10 itself sends a negative response without transfer. It shows returning to the apparatus 1.
  • the response is not returned to other clients. Can do.
  • FIG. 4 is a diagram showing a second example of processing setting data (Permit_Nodes_by_L2).
  • the process determining unit 13 that refers to the process setting data of the second example determines the process corresponding to the DNS query packet in which the source L2 address indicates MAC_X as the permission process. According to the second example, as long as only the MAC address of the client device 1 that should receive the DNS query response is set in this processing setting data, the response can be prevented from returning to other clients.
  • FIG. 5 is a diagram showing a third example of processing setting data (Deny_Nodes_by_IP).
  • the process determining unit 13 that refers to the process setting data of the third example determines that the process corresponding to the DNS query packet whose source IP address indicates IP_A or IP_B is the rejection process. According to the third example, as long as the IP address of the client device 1 that does not want to receive a DNS query response is set in this processing setting data, the response can be prevented from being returned to the client device 1. .
  • FIG. 6 is a diagram showing a fourth example of processing setting data (Deny_Nodes_by_L2).
  • the process determining unit 13 that refers to the process setting data of the fourth example determines that the process corresponding to the DNS query packet whose source L2 address indicates MAC_X is the rejection process. According to the fourth example, as long as the MAC address of the client apparatus 1 that does not want to receive a DNS query response is set in this processing setting data, the response can be prevented from being returned to the client apparatus 1. .
  • FIG. 7 is a diagram showing a fifth example (A_Only) of process setting data.
  • the process determination unit 13 that refers to the process setting data of the fifth example determines that the process corresponding to the DNS query packet whose query type indicates an A record is the permission process, and corresponds to the DNS query packet whose query type indicates an AAAA record.
  • the processing is determined to be rejection processing.
  • the IP address that should be returned in the DNS query response can be limited to IPv4 only.
  • FIG. 8 is a diagram showing a sixth example of processing setting data (AAAA_Only).
  • the process determination unit 13 that refers to the process setting data of the sixth example determines that the process corresponding to the DNS query packet whose query type indicates an A record is a rejection process, and corresponds to the DNS query packet whose query type indicates an AAAA record.
  • the process is determined to be a permission process.
  • the IP address that should be returned in the DNS query response can be limited to IPv6 only.
  • FIG. 9 is a diagram showing a seventh example of processing setting data (Hetero Deny (Homo_Permit)).
  • the process determination unit 13 referring to the process setting data of the seventh example determines the process corresponding to the DNS query packet in which the address format is the IPv4 type and the query type is AAAA record as the rejection process, and the address format is IPv4.
  • a process corresponding to a DNS query packet that is a type and whose query type indicates an A record is determined as a permission process.
  • the process determining unit 13 determines that the process corresponding to the DNS query packet whose address format is IPv6 type and whose query type is A record is rejection processing, whose address format is IPv6 type, and whose query type is The process corresponding to the DNS query packet indicating the AAAA record is determined as the permission process.
  • the source client device 1 When the IPv4 address is set as the source IP address of the DNS query packet, the source client device 1 does not necessarily have a protocol stack that supports IPv6, but always has a protocol stack that supports IPv4. It should be. Similarly, the IPv6 address is not always registered in the DNS server device 5 for the information server 9 that the client device 1 desires to communicate with. According to the seventh example, as described above, only the IPv4 address is returned to the client device 1 that issued the DNS query by IPv4, and only the IPv6 address is returned to the client device 1 that issued the DNS query by IPv6. Can be controlled.
  • the client apparatus 1 that has received the DNS query response cannot realize the IP communication using the IP address obtained by the query by the IP version supported by the protocol stack, It is possible to eliminate the inconvenience that the apparatus 5 freezes without receiving any reply.
  • FIG. 10 is a diagram showing an eighth example of process setting data (PTR_Deny6).
  • the process determination unit 13 that refers to the process setting data of the eighth example determines the process corresponding to the DNS query packet including “.ip6.arpa.” In the query name as a rejection process. According to the eighth example, reverse DNS lookup for an IPv6 address can be prohibited.
  • 3 to 10 are shown as separate examples, but may be combined as appropriate.
  • the fifth example, the sixth example, or the eighth example can be combined with any one of the first example to the fourth example.
  • the agent device 10 returns a negative response according to the filtering result of the DNS query. However, an original response other than the negative response may be returned.
  • the configuration of the agent device 10 in the second embodiment is the same as that in the first embodiment, but the processing in some processing units is different from that in the first embodiment.
  • the agent device 10 according to the second embodiment will be described focusing on the content different from the first embodiment.
  • the process determining unit 13 determines the process corresponding to the DNS query packet as the forced reply process.
  • the process determining unit 13 sends predetermined IP address data to the reply unit 15 together with the determined process content.
  • the process determination unit 13 may hold a plurality of combinations of predetermined FQDNs and predetermined IP address data in advance, and may determine IP address data to be sent to the reply unit 15 according to the combinations.
  • the process determination unit 13 determines the process corresponding to the DNS query packet as the forced reply process.
  • the process determination unit 13 sends a predetermined FQDN along with the determined process content to the reply unit 15.
  • the process determination unit 13 may hold a plurality of combinations of a predetermined reverse name and a predetermined FQDN in advance, and may determine the FQDN to be sent to the reply unit 15 according to this combination.
  • processing determination unit 13 may further perform filtering analysis as in the first embodiment after the analysis as described above, or a DNS query that has not been determined as the forced reply processing in the analysis as described above.
  • the processing corresponding to the packet may be uniformly determined as permission processing.
  • the reply unit 15 generates a response packet for the captured DNS query packet when the processing content sent from the process determination unit 13 indicates a forced reply process, and the response packet is sent to the client of the transmission source of the DNS query packet. A reply is sent to the device 1.
  • the reply unit 15 sets the IP address data or the FQDN transmitted from the processing determination unit 13 as resource data in the response packet.
  • FIG. 11 is a diagram conceptually illustrating an operation example of the agent device 10 according to the second embodiment.
  • the DNS query packet is captured by the capturing unit 11 (S111) and analyzed by the processing determining unit 13 as in the first embodiment. (S112).
  • the analysis processing in the process determining unit 13 is different from that in the first embodiment.
  • the process determining unit 13 determines the forced reply process when a predetermined FQDN is included in the query name set in the captured DNS query packet or when a predetermined reverse lookup name is included. In the example of FIG. 11, the process determination unit 13 determines a process corresponding to a DNS query packet other than the above as a permission process.
  • the reply unit 15 When the captured DNS query packet is for DNS forward lookup, and the determined process is a forced reply process, the reply unit 15 performs predetermined IP address data corresponding to the predetermined FQDN. Is generated as resource data, and this forward response packet is returned to the client device 1 that is the transmission source of the captured DNS query packet (S113). Further, when the captured DNS query packet is for DNS reverse lookup and the determined process is a forced reply process, the reply unit 15 performs a predetermined response corresponding to the predetermined reverse lookup name. A reverse response packet including the FQDN as resource data is generated, and this reverse response packet is returned to the client device 1 that is the transmission source of the captured DNS query packet (S113).
  • the relay unit 17 sends the DNS query packet toward the DNS server device 5 (S114).
  • the client device 1 that is the transmission source of the DNS query packet can acquire the IP address and can execute the main sequence. .
  • the agent device 10 sends the packet to the DNS server device 5. A response is returned to the client device 1 without relaying. At that time, the IP address or FQDN determined uniquely by the agent device 10 is set in the response.
  • the agent device 10 can control information (IP address and FQDN) to be provided to the client device 1 by the DNS query.
  • IP address and FQDN IP address and FQDN
  • the process corresponding to the captured DNS query packet may be determined based on the content of the process setting data similar to that in the first embodiment.
  • the processing setting data in the second embodiment will be described.
  • FIG. 12 is a diagram showing a ninth example of processing setting data (Local_Answer (Answer_Replace)).
  • the process determination unit 13 that refers to the process setting data of the ninth example determines the process corresponding to the DNS query packet whose query name indicates HOST_C as the forced reply process. At this time, the process determining unit 13 sends the IP address (Addr_C) to the reply unit 15 together with the fact that the forced reply process has been determined.
  • the action information “SR.Address (Addr_C)” indicates that the agent device 10 itself returns a forward response including the IP address (Addr_C) to the client device 1 without transferring the DNS query packet.
  • the agent device 10 does not depend on the processing of the DNS server device 5.
  • the forward DNS query can be controlled within a predetermined range.
  • FIG. 13 is a diagram showing a tenth example (PTR_Local_Answer (PTR_Answer_Replace)) of process setting data.
  • the process determining unit 13 that refers to the process setting data in the tenth example determines the process corresponding to the DNS query packet whose query name indicates Rev_Host_E as the forced reply process. At this time, the process determining unit 13 sends FQDN (Host_V) to the reply unit 15 together with the fact that the forced reply process has been determined.
  • the action information “SR.Name (Host_V)” indicates that the agent device 10 itself returns a reverse response including the FQDN (Host_V) to the client device 1 without transferring the DNS query packet.
  • the process does not depend on the process of the DNS server device 5.
  • the agent device 10 can control the reverse DNS query within a set range.
  • the agent device 10 may rewrite the contents of the DNS query packet when transferring the DNS query packet to the DNS server device 5 in the permission process.
  • the agent device 10 according to the third embodiment will be described focusing on the content different from the first embodiment and the second embodiment.
  • FIG. 14 is a diagram conceptually illustrating a configuration example of the agent device 10 according to the third embodiment.
  • the agent device 10 according to the third embodiment further includes a rewriting unit 19 in addition to the configurations of the first embodiment and the second embodiment.
  • the rewriting unit 19 is also realized by software components, hardware components, or a combination thereof.
  • the process determining unit 13 determines the process corresponding to the DNS query packet as a rewrite process.
  • the process determination unit 13 sends the rewrite information to the rewrite unit 19 together with the determined process content.
  • the original query name is rewritten to a predetermined rewriting query name held in advance.
  • the original query name is rewritten from the reverse name corresponding to the IPv4-mapped-IPv6 address to the reverse name corresponding to the IPv4 address.
  • the original query name is rewritten from the reverse name corresponding to the IPv4 address to the reverse name corresponding to the IPv4-mapped-IPv6 address.
  • the original transmission destination IP address is rewritten to a predetermined rewriting IP address held in advance.
  • the process determining unit 13 holds a plurality of combinations of a predetermined query name and a predetermined rewriting query name in advance, and performs predetermined rewriting to be sent to the rewriting unit 19 according to the combination. You may decide the query name. For example, when a DNS query packet for DNS forward lookup is captured, the predetermined rewrite query name is a predetermined FQDN string, and when a DNS query packet for reverse DNS lookup is captured. The predetermined rewrite query name is a predetermined reverse name character string.
  • the fourth rewriting method is the rewriting and agreement of the DNS query packet transfer destination.
  • Such rewriting of the transfer destination may be performed on all DNS query packets whose corresponding processing is determined to be permission processing or rewriting processing, or a specific DNS query packet in all the DNS query packets may be selected. It may be a target. In the latter case, the process determination unit 13 may select a DNS query packet for which the transfer destination is to be rewritten. For example, the process determination unit 13 determines the presence / absence of rewriting of the transfer destination and the IP address for rewriting for each query name set in the DNS query packet.
  • the process determination unit 13 holds in advance a predetermined rewrite IP address (at least one of IPv4 and IPv6) for specifying the DNS server device 5 that is desired to be a forcible transfer destination of the DNS query packet.
  • IP address for rewriting is determined from the list.
  • the process determining unit 13 sends information that can identify the rewriting method and data for rewriting as necessary to the rewriting unit 19 as the rewriting information.
  • the rewriting unit 19 regenerates the data of the captured DNS query packet based on the information obtained from the process determining unit 13 to generate a DNS query packet for transfer to the DNS server device 5.
  • the DNS query packet for transfer generated by the rewriting unit 19 is transmitted to the DNS server device 5 via the relay unit 17.
  • the rewrite unit 19 When the rewrite unit 19 obtains information indicating the first rewrite method from the process determination unit 13, the rewrite unit 19 similarly sends the original query name set in the captured DNS query packet from the process determination unit 13.
  • a DNS query packet for transfer is generated by rewriting to the rewritten query name.
  • the rewrite unit 19 obtains information indicating the fourth rewrite method from the process determination unit 13, the original transmission destination IP address set in the DNS query packet is similarly sent from the process determination unit 13.
  • a DNS query packet for transfer is generated.
  • the rewriting unit 19 generates a DNS query packet for transfer according to the version of the IP address for rewriting. Thereby, when the IP version of the captured DNS query packet is different from the selected IP version for rewriting, the packet format is converted.
  • the rewrite unit 19 When the rewrite unit 19 obtains information indicating the second rewrite method from the processing determination unit 13, the rewrite unit 19 sets the reverse name corresponding to the IPv4-mapped-IPv6 address set in the captured DNS query packet to IPv4. Convert to reverse name corresponding to address.
  • a method of generating a reverse name corresponding to this from an IPv6 address and a method of generating a reverse name corresponding to this from an IPv4 address are well known.
  • a technique for converting an IPv4-mapped-IPv6 address into an IPv4 address and a technique for converting an IPv4 address into an IPv4-mapped-IPv6 address are also well known.
  • the rewriting unit 19 converts the reverse name by combining known methods as described above.
  • the rewriting unit 19 rewrites the original query name (reverse lookup name corresponding to the IPv4-mapped-IPv6 address) set in the DNS query packet to the reverse lookup name corresponding to the IPv4 address thus converted.
  • the rewriting unit 19 sends the DNS query packet generated by this rewriting to the relay unit 17.
  • the rewriting unit 19 When the rewriting unit 19 obtains information indicating the third rewriting method from the processing determining unit 13, the rewriting unit 19 combines the well-known methods as described above with the IPv4 address set in the captured DNS query packet. The corresponding reverse name is converted into a reverse name corresponding to the IPv4-mapped-IPv6 address. The rewriting unit 19 rewrites the original query name (reverse name corresponding to the IPv4 address) set in the DNS query packet to the reverse name corresponding to the IPv4-mapped-IPv6 address thus converted. The rewriting unit 19 sends the DNS query packet generated by this rewriting to the relay unit 17.
  • FIG. 15 is a diagram conceptually illustrating an operation example of the agent device 10 according to the third embodiment.
  • the DNS query packet is captured by the capturing unit 11 (S151), as in the first and second embodiments, and the process is determined. It is analyzed by the unit 13 (S152).
  • the process determining unit 13 may determine the rewriting process independently of or in addition to the process contents determined in the first and second embodiments. .
  • the process determining unit 13 determines the process corresponding to the DNS query packet as a rewrite process.
  • the rewrite unit 19 rewrites the captured DNS query packet data according to the content determined by the process determination unit 13 to generate a DNS query packet for transfer to the DNS server device 5 ( S153).
  • the DNS query packet generated in this way is sent out by the relay unit 17 (S154).
  • the rewriting unit 19 When the rewriting unit 19 performs the fourth rewriting, that is, the rewriting of the transfer destination, the above is generated for the server device (reference numeral 5 # shown in FIG. 15) forcibly determined by the agent device 10.
  • a DNS query packet is transmitted (S155).
  • the content of the DNS query packet transmitted from the client device 1 is rewritten by the agent device 10.
  • the FQDN or reverse name is rewritten with predetermined data determined by the agent device 10.
  • DNS forward lookup or reverse DNS lookup is performed according to the DNS query packet whose contents are rewritten in this way.
  • the agent device 10 can control information (IP address and FQDN) to be provided to the client device 1 by the DNS query.
  • the destination IP address of the DNS query packet transmitted from the client device 1 is rewritten by the agent device 10.
  • the agent device 10 also determines the IP version in accordance with the DNS server device 5 that is the transfer destination. According to such an aspect, even if the DNS server device 5 is mistakenly specified by the client device 1, the DNS query packet can be delivered to the correct DNS server device 5.
  • the process corresponding to the captured DNS query packet may be determined based on the content of the process setting data similar to that in the first embodiment.
  • the processing setting data in the third embodiment will be described.
  • FIG. 16 is a diagram showing an eleventh example (Local_Query (Query_Replace)) of the processing setting data.
  • the process determination unit 13 referring to the process setting data of the eleventh example determines the process corresponding to the DNS query packet whose query name indicates Name_D as the rewrite process (first rewrite), and determines the rewrite query name as Name_U. To do.
  • the action information “NR.Name (Name_U)” indicates that the DNS query packet with the query name rewritten to Name_U is transferred to the DNS server device 5.
  • the originally set query name (Name_D) is rewritten to Name_U by the rewriting unit 19, and the rewritten DNS query packet is transferred to the DNS server device 5.
  • the communication partner information requested by the client device 1 using the DNS query packet can be forcibly changed to the predetermined communication partner information determined by the agent device 10. That is, the agent device 10 can control a partner with which the client device 1 starts communication.
  • FIG. 17 is a diagram showing a twelfth example (Server_Set) of processing setting data.
  • the process determination unit 13 referring to the process setting data of the twelfth example determines the process corresponding to all captured DNS query packets for forward lookup as the rewrite process (fourth rewrite), and rewrites the IP address. Is determined as Server_P.
  • the action information “NR. Server (Server_P)” indicates that a DNS query packet in which the destination IP address is rewritten to Server_P is transferred.
  • FIG. 18 is a diagram showing a thirteenth example (Server_Set_By_Query_Name) of process setting data.
  • the process determination unit 13 that refers to the process setting data of the thirteenth example corresponds to a DNS query packet including the domain name “.zone_q.com” in the query name among all captured DNS query packets for forward lookup.
  • the rewriting process (fourth rewriting) is determined, and the rewriting IP address is determined as Server_Q.
  • the transmission destination originally set is rewritten to Server_P or Server_Q by the rewriting unit 19, and the rewritten DNS query packet is transferred.
  • the agent device 10 can forcibly determine the DNS server to be searched first by ignoring the one set by the client device 1. Further, according to the thirteenth example, the agent device 10 can determine a DNS server to be searched first for each predetermined range of query names.
  • FIG. 19 is a diagram showing a 14th example of process setting data (PTR_Mapped6_to_4).
  • the process determination unit 13 that refers to the process setting data in the fourteenth example includes “.ff.ff. *. Ip6.arpa.” (*) In the query name in all captured DNS query packets for reverse lookup. Is a rewrite process (second rewrite). The process corresponding to the DNS query packet including one or more arbitrary characters) is determined. As a result, the originally set query name (reverse lookup name corresponding to the IPv4-mapped-IPv6 address) is rewritten to the reverse lookup name corresponding to the IPv4 address. As a result, the client apparatus 1 can acquire the FQDN included in the reverse name entry corresponding to the IPv4 address.
  • FIG. 20 is a diagram showing a fifteenth example (PTR_4_to_Mapped6) of process setting data.
  • the process determination unit 13 referring to the process setting data of the fifteenth example includes “* .in-addr.arpa.” (* Is one or more) in the query name among all captured DNS query packets for reverse lookup.
  • the processing corresponding to the DNS query packet including the arbitrary character of () is determined as the rewriting processing (third rewriting).
  • the originally set query name (reverse lookup name corresponding to the IPv4 address) is rewritten to a reverse lookup name corresponding to the IPv4-mapped-IPv6 address.
  • the client device 1 can acquire the FQDN included in the reverse name entry corresponding to the IPv4-mapped-IPv6 address.
  • the processing setting data shown in each of the above embodiments may be stored in a memory or the like in advance, or may be predetermined from the client device 1 that is a DNS query packet transmission source, the DNS server device 5, another server device, or the like. It may be generated or updated using information collected using communications. For example, the IP prefix list and the communication environment information of the client device 1 itself may be collected from the client device 1, and the contents of the processing setting data may be determined using the collected information.
  • the predetermined communication is communication such as ICMP (Internet Control Message Protocol), SNMP (Simple Network Management Protocol), or NIQ (Node Information Query), or unique communication.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

エージェント装置は、宛先のＤＮＳサーバ装置で受信されないようにＤＮＳクエリパケットを捕獲する捕獲部と、この捕獲部により捕獲されたＤＮＳクエリパケットを解析することにより、当該ＤＮＳクエリパケットに対応する処理を拒絶処理に決定する処理決定部と、この処理決定部により対応する処理が拒絶処理に決定されたＤＮＳクエリパケットの送信元に否定応答パケットを返信する返信部と、を備える。

Description

エージェント装置及び通信中継方法
　本発明は、ＤＮＳ（Domain Name System）クエリ技術に関する。
　現在、パーソナルコンピュータ（ＰＣ）、携帯電話等のような各種端末を用いて、インターネット等のネットワーク上に存在するサーバにアクセスすることにより、所望の情報やサービスを受けることができる環境が整っている。このような環境においてＩＰ通信を実行するにあたり、通信を開始するクライアント装置は、通信相手となるサーバ装置のＩＰアドレスを取得する必要がある。一方、エンドユーザが目にするのは、ＩＰアドレスではなく、ＦＱＤＮ（Fully Qualified Domain Name）のようなサーバ装置の名前情報である。
　従って、実際のＩＰ通信は、名前情報から通信相手のＩＰアドレスを取得するための名前解決処理が完了した後に、開始されると言っても過言ではない。以降、クライアント装置において通信相手のＩＰアドレスが取得されるまでの処理を、当該クライアント装置と通信相手装置との間で開始される実際のＩＰ通信シーケンスに対して、プレシーケンスと表記する場合もある。
　図２１は、プレシーケンスの概念を示す図である。図２１では、実際のＩＰ通信シーケンスがメインシーケンスと表記されている。図２１に示すように、クライアント装置は、サーバとＩＰ通信を開始するに先立って、プレシーケンスとして、ＤＮＳ（Domain Name System）の名前解決処理を実行する。
　このようなプレシーケンス、即ち、ＤＮＳ名前解決に関する技術が下記特許文献１、２及び３に記載されている。下記特許文献１には、複数の名前解決機構を使い分ける手法が記載され、下記特許文献２には、ＬＡＮ端末とＤＮＳサーバとの間に設けられたゲートウェイ装置がＤＮＳネーム問合せを処理する手法が記載され、下記特許文献３には、トラフィック管理サーバが最適なサービスサーバのＩＰ情報をクライアントに返す手法が記載されている。
特開２００５－９４４８５号公報 特開２００６－１０９３１６号公報 特表２００６－５２６３０１号公報
　上述したプレシーケンスは、実際のＩＰ通信（メインシーケンス）に大変大きな影響を与える。プレシーケンスにおいてクライアント装置に取得させるＩＰアドレスにより、実際のＩＰ通信の相手先が決まるだけでなく、当該ＩＰ通信の形態及び可否が決められるからである。従って、プレシーケンスを制御することは、実際のＩＰ通信を制御することに繋がる。
　ところが、従来、当該プレシーケンスにおいてクライアントからＤＮＳサーバ群へ出されるＤＮＳクエリの制御は実施されていなかった。ＤＮＳサーバは、受信されたＤＮＳクエリパケットに含まれる指定情報（データの種別やキー情報等）に対応するＩＰアドレスやＦＱＤＮ等が存在すれば、それら情報をリソースデータとして含むレスポンスパケットを素直に返していた。
　このような手法では、クライアント装置は、効率よくＩＰ通信を開始できない場合がある。例えば、クライアント装置が、通信相手装置のためのＡＡＡＡレコードがＤＮＳに登録されていないにも関わらず、ＡＡＡＡレコードを示すクエリタイプが設定されたＤＮＳクエリパケットを送信してしまった場合、当該クライアント装置は、ＤＮＳサーバから何ら返信をもらえないため暫くの間フリーズすることになる。
　逆に、通信相手装置のためのＡＡＡＡレコードがＤＮＳに登録されていたとしても、自身がＩＰｖ６をサポートするプロトコルスタックを持たない場合、当該クライアント装置は、ＤＮＳクエリパケットにより得たＩＰｖ６アドレスでは通信相手と通信を実現することはできない。
　更に、何ら制御されていない従来手法では、どんなクライアントであっても一律にレスポンスが送られているため、本来、情報を渡したくないクライアントに対しても、ＤＮＳの情報が送られてしまっていた。
　本発明は、上述の事情に鑑みてなされたものであり、ＤＮＳクエリを適切に制御する技術を提供する。
　本発明の各態様では、上述した課題を解決するために、それぞれ以下の構成を採用する。
　第１の態様は、エージェント装置に関する。第１の態様に係るエージェント装置は、宛先のＤＮＳサーバ装置で受信されないようにＤＮＳクエリパケットを捕獲する捕獲部と、この捕獲部により捕獲されたＤＮＳクエリパケットを解析することにより、当該ＤＮＳクエリパケットに対応する処理を拒絶処理に決定する処理決定部と、この処理決定部により対応する処理が拒絶処理に決定されたＤＮＳクエリパケットをＤＮＳサーバへ転送することなく、当該ＤＮＳクエリパケットの送信元に否定応答パケットを返信する返信部と、を備える。
　第２の態様は、通信中継方法に関する。第２の態様に係る通信中継方法は、宛先のＤＮＳサーバ装置で受信されないようにＤＮＳクエリパケットを捕獲し、捕獲されたＤＮＳクエリパケットを解析することにより、当該ＤＮＳクエリパケットに対応する処理を拒絶処理に決定し、対応する処理が拒絶処理に決定されたＤＮＳクエリパケットをＤＮＳサーバへ転送することなく、当該ＤＮＳクエリパケットの送信元に否定応答パケットを返信する、ことを含む。
　なお、本発明の他の態様としては、上記第１の態様における各構成をコンピュータに実現させるプログラムであってもよいし、このようなプログラムを記録したコンピュータが読み取り可能な記録媒体であってもよい。この記録媒体は、非一時的な有形の媒体を含む。
　上記各態様によれば、ＤＮＳクエリを適切に制御する技術を提供することができる。
　上述した目的、およびその他の目的、特徴および利点は、以下に述べる好適な実施の形態、およびそれに付随する以下の図面によってさらに明らかになる。
図１は、第１実施形態に係るエージェント装置の構成例を概念的に示す図である。 図２は、第１実施形態に係るエージェント装置の動作例を概念的に示す図である。 図３は、処理設定データの第１例（Permit_Node_by_IP）を示す図である。 図４は、処理設定データの第２例（Permit_Nodes_by_L2）を示す図である。 図５は、処理設定データの第３例（Deny_Nodes_by_IP）を示す図である。 図６は、処理設定データの第４例（Deny_Nodes_by_L2）を示す図である。 図７は、処理設定データの第５例（A_Only）を示す図である。 図８は、処理設定データの第６例（AAAA_Only）を示す図である。 図９は、処理設定データの第７例（Hetero Deny (Homo_Permit）を示す図である。 図１０は、処理設定データの第８例（PTR_Deny6）を示す図である。 図１１は、第２実施形態に係るエージェント装置の動作例を概念的に示す図である。 図１２は、処理設定データの第９例（Local_Answer(Answer_Replace)）を示す図である。 図１３は、処理設定データの第１０例（PTR_Local_Answer(PTR_Answer_Replace)）を示す図である。 図１４は、第３実施形態に係るエージェント装置の構成例を概念的に示す図である。 図１５は、第３実施形態に係るエージェント装置の動作例を概念的に示す図である。 図１６は、処理設定データの第１１例（Local_Query(Query_Replace)）を示す図である。 図１７は、処理設定データの第１２例（Server_Set）を示す図である。 図１８は、処理設定データの第１３例（Server_Set_By_Query_Name）を示す図である。 図１９は、処理設定データの第１４例（PTR_Mapped6_to_4）を示す図である。 図２０は、処理設定データの第１５例（PTR_4_to_Mapped6）を示す図である。 図２１は、プレシーケンスの概念を示す図である。
　以下、本発明の実施の形態について説明する。なお、以下に挙げる実施形態は例示であり、本発明は以下の実施形態の構成に限定されない。
　［第１実施形態］
　図１は、第１実施形態に係るエージェント装置１０の構成例を概念的に示す図である。
　エージェント装置１０は、クライアント装置１とＤＮＳサーバ装置５とを結ぶ通信経路７の途中に設けられる。当該通信経路７の途中とは、クライアント装置１の通信インタフェースからＤＮＳサーバ装置５の通信インタフェースまでを結ぶ通信経路上のいずれの位置であっても構わないことを意味する。例えば、エージェント装置１０は、図１に示すようにクライアント装置１とＤＮＳサーバ装置５とは別体として設けられてもよいし、クライアント装置１内又はＤＮＳサーバ装置５内に設けられてもよい。以降、クライアント装置１及びＤＮＳサーバ装置５をクライアント１及びＤＮＳサーバ５と表記する場合もある。
　エージェント装置１０は、捕獲部１１、処理決定部１３、返信部１５、中継部１７等を有する。これら各処理部は、個々に又は複数組み合わせられた状態で、少なくとも１つのハードウェア構成要素として実現されてもよいし、少なくとも１つのソフトウェア構成要素として実現されてもよいし、ハードウェア構成要素及びソフトウェア構成要素の組み合わせにより実現されてもよい。
　ハードウェア構成要素とは、例えば、フィールド・プログラマブル・ゲートアレイ（ＦＰＧＡ）、特定用途向け集積回路（ＡＳＩＣ）、ゲートアレイ、論理ゲートの組み合わせ、信号処理回路、アナログ回路等のようなハードウェア回路である。ソフトウェア構成要素とは、１又は複数のメモリ上のデータ（プログラム）が１又は複数のプロセッサ（例えば、ＣＰＵ（Central Processing Unit）、ＤＳＰ（Digital Signal Processor）等）で実行されることにより実現される、タスク、プロセス、関数のようなソフトウェア部品（断片）である。各処理部がソフトウェア構成要素として実現される場合には、エージェント装置１０は、ＣＰＵ、メモリ、入出力インタフェース等を有する。なお、本実施形態は、エージェント装置１０のハードウェア構成を限定しない。
　エージェント装置１０の各処理部の詳細については後述する。
　クライアント装置１は、ＰＣ（Personal Computer）、携帯型ＰＣ、携帯電話等のような一般的な情報処理端末である。クライアント装置１は、ＷＥＢサーバ等のような任意の情報サーバ９やＤＮＳサーバ装置５にアクセスしデータを受け得る一般的な通信機能を有するものであればよい。例えば、情報サーバ９とクライアント装置１との間のインタフェースにはＷＥＢシステムが利用される。クライアント装置１は、一般的な通信機能によりＤＮＳサーバ装置５及び情報サーバ９とＩＰ通信を行う。なお、本実施形態は、クライアント装置１のハードウェア構成及び機能構成を限定しない。
　本実施形態におけるクライアント装置１は、情報サーバ９へのアクセスを開始するために、上述のプレシーケンスを実行する。具体的には、クライアント装置１は、名前解決処理の１つとして、ＤＮＳ正引き処理を実行することにより、情報サーバ９のＩＰアドレスをＤＮＳサーバ装置５から取得する。同様に、クライアント装置１は、名前解決処理の１つとして、ＤＮＳ逆引き処理を実行することにより、情報サーバ９のＦＱＤＮ（Fully Qualified Domain Name）をＤＮＳサーバ装置５から取得する。
　ＤＮＳサーバ装置５は、一般的なＤＮＳサーバ群の中のいずれか１つを意味する。本実施形態では、特に個々のＤＮＳサーバ装置を区別しない。本実施形態は、ＤＮＳサーバ装置５のハードウェア構成及び機能構成を限定しない。
　〔エージェント装置１０の各処理部〕
　捕獲部１１は、クライアント装置１から送信されたＤＮＳクエリパケットを捕獲する。この捕獲とは、ＤＮＳサーバ装置５宛てのパケットのデータを取得し、かつ、ＤＮＳサーバ装置５に到達しないようにエージェント装置１０で遮断することを意味する。例えば、捕獲部１１は、ＵＤＰプロトコルであって、かつ、送信先ポート番号が５３に設定されたパケットをＤＮＳクエリパケットとして捕獲する。
　処理決定部１３は、捕獲部１１により捕獲されたＤＮＳクエリパケットを解析することにより、当該ＤＮＳクエリパケットに対応する処理を決定する。具体的には、処理決定部１３は、捕獲されたＤＮＳクエリパケットに設定されている送信元アドレス、クエリの対象情報の種類を示すクエリタイプ、又は、クエリのキー情報となるクエリ名に基づいて、当該ＤＮＳクエリパケットに対応する処理を決定する。送信元アドレスは、ＩＰアドレス又はＭＡＣ（Media Access Control address）アドレス（Ｌ２アドレス）である。第１実施形態では、処理決定部１３により決定される処理は、許可又は拒絶である。
　例えば、処理決定部１３は、以下のような手法により処理を決定する。なお、許可処理と拒絶処理とは表裏関係にあるため、どちらの処理が主導で決められてもよいが、以下の説明では、拒絶処理が主導で決定される例を示す。
　第１の手法では、所定のＩＰアドレスが送信元ＩＰアドレスフィールドに設定されているＤＮＳクエリパケットが捕獲された場合には、処理決定部１３は、そのＤＮＳクエリパケットに対応する処理を拒絶処理に決定する。また、所定のＩＰアドレス以外が送信元ＩＰアドレスフィールドに設定されているＤＮＳクエリパケットが捕獲された場合に、処理決定部１３は、そのＤＮＳクエリパケットに対応する処理を拒絶処理に決定してもよい。
　第２の手法では、所定のＭＡＣアドレスが送信元Ｌ２アドレスフィールドに設定されているＤＮＳクエリパケットが捕獲された場合には、処理決定部１３は、そのＤＮＳクエリパケットに対応する処理を拒絶処理に決定する。同様に、所定のＭＡＣアドレス以外が送信元Ｌ２アドレスフィールドに設定されているＤＮＳクエリパケットが捕獲された場合に、処理決定部１３は、そのＤＮＳクエリパケットに対応する処理を拒絶処理に決定してもよい。
　第３の手法では、クエリタイプがＡレコード以外を示すＤＮＳクエリパケットが捕獲された場合には、処理決定部１３は、そのＤＮＳクエリパケットに対応する処理を拒絶処理に決定する。逆に、クエリタイプがＡＡＡＡレコード以外を示すＤＮＳクエリパケットが捕獲された場合に、処理決定部１３は、そのＤＮＳクエリパケットに対応する処理を拒絶処理に決定してもよい。
　第４の手法では、クエリタイプがＰＴＲレコードを示し、かつ、クエリ名が所定ドメイン名（例えば、「．ｉｐ６．ａｒｐａ．」）を含むＤＮＳクエリパケットが捕獲された場合に、処理決定部１３は、そのＤＮＳクエリパケットに対応する処理を拒絶処理に決定する。
　更に、第５の手法として、処理決定部１３は、送信元ＩＰアドレスのアドレス形式がＩＰｖ４タイプかＩＰｖ６タイプかを識別し、識別されたアドレス形式とクエリタイプとの組み合わせに基づいて、ＤＮＳクエリパケットに対応する処理を決定するようにしてもよい。具体的には、処理決定部１３は、アドレス形式がＩＰｖ４タイプで、かつ、クエリタイプがＡＡＡＡレコードを示すＤＮＳクエリパケットが捕獲された場合、及び、アドレス形式がＩＰｖ６タイプで、かつ、クエリタイプがＡレコードを示すＤＮＳクエリパケットが捕獲された場合、当該ＤＮＳクエリパケットに対応する処理を拒絶処理に決定する。
　返信部１５は、処理決定部１３により、対応する処理が拒絶処理に決定されたＤＮＳクエリパケットの送信元に、否定応答（ＮＡＣＫ）パケットを返信する。この否定応答パケットの送信先アドレスには、当該ＤＮＳクエリパケットの送信元アドレスが利用される。
　中継部１７は、処理決定部１３により、対応する処理が許可処理に決定されたＤＮＳクエリパケットをＤＮＳサーバ装置５方向に送出する。
　〔動作例〕
　図２は、第１実施形態に係るエージェント装置１０の動作例を概念的に示す図である。
　クライアント装置１からＤＮＳサーバ装置５宛てにＤＮＳクエリパケットが送信されると、エージェント装置１０の捕獲部１１がそのＤＮＳクエリパケットを捕獲する（Ｓ２０）。即ち、クライアント装置１から送信されたＤＮＳクエリパケットは、ＤＮＳサーバ装置５まで到達しない。
　エージェント装置１０では、処理決定部１３が、捕獲されたＤＮＳクエリパケットを解析することにより、当該ＤＮＳクエリパケットに対応する処理を決定する（Ｓ２１）。この解析では、ＤＮＳクエリパケットに設定されている送信元ＭＡＣアドレス、送信元ＩＰアドレス、クエリタイプ、及びクエリ名の少なくとも１つが利用される。
　決定された処理が許可処理である場合に、中継部１７は、当該ＤＮＳクエリパケットをＤＮＳサーバ装置５方向に送出する（Ｓ２２）。これにより、ＤＮＳサーバ装置５は、ＤＮＳクエリパケットで要求されるＩＰアドレス又はＦＱＤＮを抽出し、このＩＰアドレス又はＦＱＤＮを含めたレスポンスパケットをクライアント装置１宛てに送信する。結果、クライアント装置１は、ＤＮＳクエリパケットに対応するレスポンスパケットを受信することにより、情報サーバ９のＩＰアドレスを取得することができ、ひいては、情報サーバ９との通信を開始することができる（メインシーケンス）。
　一方で、決定された処理が拒絶処理である場合には、中継部１７は、当該ＤＮＳクエリパケットの送信元であるクライアント装置１宛てに、否定応答を送信する（Ｓ２３）。これにより、クライアント装置１は、ＤＮＳクエリパケットで要求した情報サーバ９のＩＰアドレスを取得することができず、情報サーバ９にアクセスすることができない。
　〔第１実施形態における作用及び効果〕
　上述のように、第１実施形態におけるエージェント装置１０では、クライアント装置１からＤＮＳサーバ装置５宛てに送信されたＤＮＳクエリパケットが捕獲され、このＤＮＳクエリパケットが解析される。この解析により、ＤＮＳクエリパケットがＤＮＳサーバ装置５へ転送されるか否かが決定される。転送されないことが決定された場合、送信元のクライアント装置１へ否定応答が送信される。
　このように、第１実施形態では、エージェント装置１０においてＤＮＳクエリが所定条件でフィルタリングされる。このフィルタリングによれば、ＤＮＳクエリの応答を返すべきクライアント装置１を適切に取捨選択する（認証する）ことができる。また、このフィルタリングによれば、クライアント装置１に提供されるＩＰアドレスのバージョンを適切に選択することができる。更に、上述の第５の手法によれば、送信元ＩＰアドレスのバージョンを識別することにより、送信元のクライアント装置１がサポートしているＩＰバージョンを特定し、その特定されたＩＰバージョンに適合するＩＰアドレスがＤＮＳサーバ装置５から提供されるようにすることができる。即ち、第１実施形態によれば、ＤＮＳクエリを適切に制御することができる。
　一方で、第１実施形態によれば、エージェント装置１０でＤＮＳクエリが拒絶されたとしても、否定応答が必ず返信されるため、クライアント装置１は、フリーズすることなく即座に他の対応を取ることができる。
　ここで、上述の処理決定部１３における処理決定手法の具体例を実施例１として説明する。処理決定部１３は、図３から図１０に示すような、処理設定データを保持し、この処理設定データの内容に基づいて、捕獲されたＤＮＳクエリパケットに対応する処理を決定するようにしてもよい。処理設定データには、送信元Ｌ２アドレス（Client L2 Addressと表記）、送信元ＩＰアドレス（Client IP Addressと表記）、クエリタイプ、クエリ名、及び、アクション情報（Actionと表記）が格納される。処理決定部１３は、処理設定データに設定される、送信元Ｌ２アドレス、送信元ＩＰアドレス、クエリタイプ及びクエリ名の少なくとも１つを用いた複数の条件のうち、捕獲されたＤＮＳクエリパケットに合致する条件を特定し、この特定された条件に対応するアクション情報を、当該ＤＮＳクエリパケットに対応する処理に決定する。
　図３は、処理設定データの第１例（Permit_Node_by_IP）を示す図である。第１例の処理設定データを参照した処理決定部１３は、送信元ＩＰアドレスがＩＰ＿Ａ又はＩＰ＿Ｂを示すＤＮＳクエリパケットに対応する処理を許可処理に決定する。アクション情報の「ＮＲ（Normal Resolving）」は、捕獲されたＤＮＳクエリパケットをＤＮＳサーバ装置５へ転送することを示し、「ＳＲ．ＮｏＡｎｓｗｅｒ」は、転送することなくエージェント装置１０自身が否定応答をクライアント装置１へ返すことを示す。このような第１例によれば、ＤＮＳクエリの応答を受け取るべきクライアント装置１のＩＰアドレスのみをこの処理設定データに設定しさえすれば、それ以外のクライアントに当該応答が返らないようにすることができる。
　図４は、処理設定データの第２例（Permit_Nodes_by_L2）を示す図である。第２例の処理設定データを参照した処理決定部１３は、送信元Ｌ２アドレスがＭＡＣ＿Ｘを示すＤＮＳクエリパケットに対応する処理を許可処理に決定する。第２例によれば、ＤＮＳクエリの応答を受け取るべきクライアント装置１のＭＡＣアドレスのみをこの処理設定データに設定しさえすれば、それ以外のクライアントに当該応答が返らないようにすることができる。
　図５は、処理設定データの第３例（Deny_Nodes_by_IP）を示す図である。第３例の処理設定データを参照した処理決定部１３は、送信元ＩＰアドレスがＩＰ＿Ａ又はＩＰ＿Ｂを示すＤＮＳクエリパケットに対応する処理を拒絶処理に決定する。第３例によれば、ＤＮＳクエリの応答を受け取らせたくないクライアント装置１のＩＰアドレスをこの処理設定データに設定しさえすれば、そのクライアント装置１に当該応答が返らないようにすることができる。
　図６は、処理設定データの第４例（Deny_Nodes_by_L2）を示す図である。第４例の処理設定データを参照した処理決定部１３は、送信元Ｌ２アドレスがＭＡＣ＿Ｘを示すＤＮＳクエリパケットに対応する処理を拒絶処理に決定する。第４例によれば、ＤＮＳクエリの応答を受け取らせたくないクライアント装置１のＭＡＣアドレスをこの処理設定データに設定しさえすれば、そのクライアント装置１に当該応答が返らないようにすることができる。
　図７は、処理設定データの第５例（A_Only）を示す図である。第５例の処理設定データを参照した処理決定部１３は、クエリタイプがＡレコードを示すＤＮＳクエリパケットに対応する処理を許可処理に決定し、クエリタイプがＡＡＡＡレコードを示すＤＮＳクエリパケットに対応する処理を拒絶処理に決定する。第５例によれば、ＤＮＳクエリの応答で返すべきＩＰアドレスをＩＰｖ４のみに制限することができる。
　図８は、処理設定データの第６例（AAAA_Only）を示す図である。第６例の処理設定データを参照した処理決定部１３は、クエリタイプがＡレコードを示すＤＮＳクエリパケットに対応する処理を拒絶処理に決定し、クエリタイプがＡＡＡＡレコードを示すＤＮＳクエリパケットに対応する処理を許可処理に決定する。第６例によれば、ＤＮＳクエリの応答で返すべきＩＰアドレスをＩＰｖ６のみに制限することができる。
　図９は、処理設定データの第７例（Hetero Deny (Homo_Permit)）を示す図である。第７例の処理設定データを参照した処理決定部１３は、アドレス形式がＩＰｖ４タイプで、かつ、クエリタイプがＡＡＡＡレコードを示すＤＮＳクエリパケットに対応する処理を拒絶処理に決定し、アドレス形式がＩＰｖ４タイプで、かつ、クエリタイプがＡレコードを示すＤＮＳクエリパケットに対応する処理を許可処理に決定する。更に、処理決定部１３は、アドレス形式がＩＰｖ６タイプで、かつ、クエリタイプがＡレコードを示すＤＮＳクエリパケットに対応する処理を拒絶処理に決定し、アドレス形式がＩＰｖ６タイプで、かつ、クエリタイプがＡＡＡＡレコードを示すＤＮＳクエリパケットに対応する処理を許可処理に決定する。
　ＤＮＳクエリパケットの送信元ＩＰアドレスにＩＰｖ４アドレスが設定されている場合、送信元のクライアント装置１は、ＩＰｖ６をサポートするプロトコルスタックを持つとは限らないが、必ず、ＩＰｖ４をサポートするプロトコルスタックは持つはずである。また、そのようなクライアント装置１が通信相手に希望する情報サーバ９についても同様に、ＤＮＳサーバ装置５にＩＰｖ６アドレスが登録されているとは限らない。第７例によれば、上述のように、ＩＰｖ４によりＤＮＳクエリを出したクライアント装置１には、ＩＰｖ４アドレスのみが返され、ＩＰｖ６によりＤＮＳクエリを出したクライアント装置１には、ＩＰｖ６アドレスのみが返されるように制御することができる。
　従って、第７例によれば、ＤＮＳクエリの応答を受けたクライアント装置１が、プロトコルスタックのサポートするＩＰバージョンによって、クエリで得たＩＰアドレスを用いたＩＰ通信を実現できないといった不都合や、ＤＮＳサーバ装置５から何ら返信をもらえずフリーズするといった不都合を解消することができる。
　図１０は、処理設定データの第８例（PTR_Deny6）を示す図である。第８例の処理設定データを参照した処理決定部１３は、クエリ名に「．ｉｐ６．ａｒｐａ．」が含まれるＤＮＳクエリパケットに対応する処理を拒絶処理に決定する。第８例によれば、ＩＰｖ６アドレスに関するＤＮＳ逆引きを禁止することができる。
　図３から図１０は、別々の例としてそれぞれ示されたが、適宜、組み合わされてもよい。例えば、第５例、第６例又は第８例と、第１例から第４例のいずれか１つとは組み合わせることができる。
　［第２実施形態］
　上述の第１実施形態では、エージェント装置１０が、ＤＮＳクエリのフィルタリングの結果に応じて否定応答を返信したが、否定応答以外の独自のレスポンスを返信するようにしてもよい。第２実施形態におけるエージェント装置１０の構成は、第１実施形態と同様であるが、一部の処理部における処理が第１実施形態と異なる。以下、第２実施形態におけるエージェント装置１０について、第１実施形態と異なる内容を中心に説明する。
　処理決定部１３は、捕獲されたＤＮＳクエリパケットに設定されているクエリ名が所定のＦＱＤＮを示す場合に、当該ＤＮＳクエリパケットに対応する処理を強制返信処理に決定する。処理決定部１３は、決定された処理内容と共に、所定のＩＰアドレスデータを返信部１５に送る。処理決定部１３は、所定のＦＱＤＮと所定のＩＰアドレスデータとの組み合わせを複数予め保持し、この組み合わせに応じて、返信部１５に送るＩＰアドレスデータを決めてもよい。
　また、処理決定部１３は、捕獲されたＤＮＳクエリパケットに設定されているクエリ名が所定の逆引き名を示す場合に、当該ＤＮＳクエリパケットに対応する処理を強制返信処理に決定する。処理決定部１３は、決定された処理内容と共に、所定のＦＱＤＮを返信部１５に送る。処理決定部１３は、所定の逆引き名及び所定のＦＱＤＮの複数の組み合わせを予め保持し、この組み合わせに応じて、返信部１５に送るＦＱＤＮを決めてもよい。
　なお、処理決定部１３は、上述のような解析の後に、更に、第１実施形態のようなフィルタリング解析を行ってもよいし、上述のような解析で強制返信処理に決められなかったＤＮＳクエリパケットに対応する処理を一律に許可処理に決定してもよい。
　返信部１５は、処理決定部１３から送られた処理内容が強制返信処理を示す場合に、捕獲されたＤＮＳクエリパケットに対するレスポンスパケットを生成し、このレスポンスパケットをそのＤＮＳクエリパケットの送信元のクライアント装置１宛てに返信する。返信部１５は、そのレスポンスパケットに、リソースデータとして、処理決定部１３から送られたＩＰアドレスデータ又はＦＱＤＮを設定する。
　〔動作例〕
　図１１は、第２実施形態に係るエージェント装置１０の動作例を概念的に示す図である。クライアント装置１からＤＮＳサーバ装置５宛てにＤＮＳクエリパケットが送信されると、そのＤＮＳクエリパケットが、第１実施形態と同様に、捕獲部１１で捕獲され（Ｓ１１１）、処理決定部１３で解析される（Ｓ１１２）。第２実施形態では、処理決定部１３での解析処理が第１実施形態と異なる。
　処理決定部１３は、捕獲されたＤＮＳクエリパケットに設定されているクエリ名に所定のＦＱＤＮが含まれる場合、又は、所定の逆引き名が含まれる場合、強制返信処理に決定する。また、図１１の例では、処理決定部１３は、上記以外のＤＮＳクエリパケットに対応する処理を許可処理に決定する。
　捕獲されたＤＮＳクエリパケットがＤＮＳ正引きのためのものであり、かつ、決定された処理が強制返信処理である場合には、返信部１５は、上記所定のＦＱＤＮに対応する所定のＩＰアドレスデータをリソースデータとして含む正引きレスポンスパケットを生成し、この正引きレスポンスパケットを、捕獲されたＤＮＳクエリパケットの送信元のクライアント装置１に返信する（Ｓ１１３）。また、捕獲されたＤＮＳクエリパケットがＤＮＳ逆引きのためのものであり、かつ、決定された処理が強制返信処理である場合には、返信部１５は、上記所定の逆引き名に対応する所定のＦＱＤＮをリソースデータとして含む逆引きレスポンスパケットを生成し、この逆引きレスポンスパケットを、捕獲されたＤＮＳクエリパケットの送信元のクライアント装置１に返信する（Ｓ１１３）。
　一方、決定された処理が許可処理である場合には、中継部１７は、当該ＤＮＳクエリパケットをＤＮＳサーバ装置５方向に送出する（Ｓ１１４）。
　以上により、強制返信処理及び許可処理のどちらが実行された場合であっても、ＤＮＳクエリパケットの送信元であるクライアント装置１は、ＩＰアドレスを取得することができ、メインシーケンスを実施することができる。
　〔第２実施形態における作用及び効果〕
　上述のように、第２実施形態では、所定のＦＱＤＮ又は所定の逆引き名を指定したＤＮＳクエリ（正引き及び逆引き）に対しては、エージェント装置１０が、そのパケットをＤＮＳサーバ装置５に中継することなく、レスポンスをクライアント装置１に返信する。そのとき、エージェント装置１０により独自に決められたＩＰアドレス又はＦＱＤＮがそのレスポンスに設定される。
　従って、第２実施形態によれば、ＤＮＳクエリによりクライアント装置１に提供されるべき情報（ＩＰアドレスやＦＱＤＮ）をエージェント装置１０が制御することができる。これにより、例えば、クライアント装置１が誤ったＩＰアドレスやＦＱＤＮをＤＮＳクエリパケットに設定した場合であっても、エージェント装置１０の制御により、クライアント装置１は、適切な情報を得ることができ、その情報を用いて即座にＩＰ通信を開始することができる。
　第２実施形態における処理決定部１３においても、実施例１と同様の処理設定データの内容に基づいて、捕獲されたＤＮＳクエリパケットに対応する処理を決定するようにしてもよい。以下、第２実施形態における処理設定データの例を説明する。
　図１２は、処理設定データの第９例（Local_Answer(Answer_Replace)）を示す図である。第９例の処理設定データを参照した処理決定部１３は、クエリ名がＨＯＳＴ＿Ｃを示すＤＮＳクエリパケットに対応する処理を強制返信処理に決定する。このとき、処理決定部１３は、強制返信処理に決定された旨と共に、ＩＰアドレス（Ａｄｄｒ＿Ｃ）を返信部１５に送る。アクション情報の「ＳＲ．Ａｄｄｒｅｓｓ（Ａｄｄｒ＿Ｃ）」は、当該ＤＮＳクエリパケットを転送することなくエージェント装置１０自身がＩＰアドレス（Ａｄｄｒ＿Ｃ）を含む正引きレスポンスをクライアント装置１へ返すことを示す。
　第９例によれば、制御したいＦＱＤＮ文字列と、そのＦＱＤＮに対して返したいＩＰアドレスとを処理設定データに設定すれば、ＤＮＳサーバ装置５の処理に依存することなく、エージェント装置１０が、所定範囲で正引きＤＮＳクエリを制御することができる。
　図１３は、処理設定データの第１０例（PTR_Local_Answer(PTR_Answer_Replace)）を示す図である。第１０例の処理設定データを参照した処理決定部１３は、クエリ名がＲｅｖ＿Ｈｏｓｔ＿Ｅを示すＤＮＳクエリパケットに対応する処理を強制返信処理に決定する。このとき、処理決定部１３は、強制返信処理に決定された旨と共に、ＦＱＤＮ（Ｈｏｓｔ＿Ｖ）を返信部１５に送る。アクション情報の「ＳＲ．Ｎａｍｅ（Ｈｏｓｔ＿Ｖ）」は、当該ＤＮＳクエリパケットを転送することなくエージェント装置１０自身がＦＱＤＮ（Ｈｏｓｔ＿Ｖ）を含む逆引きレスポンスをクライアント装置１へ返すことを示す。
　第１０例によれば、制御したい逆引き名文字列と、その逆引き名文字列に対して返したいＦＱＤＮとを処理設定データに設定すれば、ＤＮＳサーバ装置５の処理に依存することなく、エージェント装置１０が、設定された範囲で逆引きＤＮＳクエリを制御することができる。
　［第３実施形態］
　更に、エージェント装置１０は、許可処理においてＤＮＳクエリパケットをＤＮＳサーバ装置５に転送する際に、そのＤＮＳクエリパケットの内容を書き換えるようにしてもよい。以下、第３実施形態におけるエージェント装置１０について、第１実施形態及び第２実施形態と異なる内容を中心に説明する。
　図１４は、第３実施形態に係るエージェント装置１０の構成例を概念的に示す図である。第３実施形態におけるエージェント装置１０は、第１実施形態及び第２実施形態の構成に加えて、書き換え部１９を更に有する。書き換え部１９についても、ソフトウェア構成要素、ハードウェア構成要素、又は、それらの組み合わせにより実現される。
　処理決定部１３は、捕獲されたＤＮＳクエリパケットに設定されているクエリ名が所定のクエリ名を示す場合に、そのＤＮＳクエリパケットに対応する処理を書き換え処理に決定する。処理決定部１３は、決定された処理内容と共に、書き換え情報を書き換え部１９に送る。
　第３実施形態では４つの書き換え方法が例示される。第１に、元のクエリ名が予め保持される所定の書き換え用クエリ名に書き換えられる形態である。第２に、元のクエリ名がＩＰｖ４－ｍａｐｐｅｄ－ＩＰｖ６アドレスに対応する逆引き名からＩＰｖ４アドレスに対応する逆引き名に書き換えられる形態である。第３に、元のクエリ名がＩＰｖ４アドレスに対応する逆引き名からＩＰｖ４－ｍａｐｐｅｄ－ＩＰｖ６アドレスに対応する逆引き名に書き換えられる形態である。第４に、元の送信先ＩＰアドレスが予め保持される所定の書き換え用ＩＰアドレスに書き換えられる形態である。
　第１の書き換え方法が取られる場合、処理決定部１３は、所定のクエリ名と所定の書き換え用クエリ名との組み合わせを予め複数保持し、この組み合わせに応じて、書き換え部１９に送る所定の書き換え用クエリ名を決めてもよい。例えば、ＤＮＳ正引きのためのＤＮＳクエリパケットが捕獲された場合には、所定の書き換え用クエリ名は、所定のＦＱＤＮ文字列となり、ＤＮＳ逆引きのためのＤＮＳクエリパケットが捕獲された場合には、所定の書き換え用クエリ名は、所定の逆引き名文字列となる。
　上記第４の書き換え方法は、ＤＮＳクエリパケットの転送先の書き換えと同意である。このような転送先の書き換えは、対応する処理が許可処理又は書き換え処理に決定された、全てのＤＮＳクエリパケットを対象としてもよいし、当該全てのＤＮＳクエリパケットの中の特定のＤＮＳクエリパケットを対象としてもよい。後者の場合には、転送先の書き換えを行うべきＤＮＳクエリパケットを処理決定部１３が選択するようにすればよい。例えば、処理決定部１３は、ＤＮＳクエリパケットに設定されているクエリ名毎に、転送先の書き換えの有無、及び、書き換え用のＩＰアドレスをそれぞれ決定する。処理決定部１３は、ＤＮＳクエリパケットの強制的転送先としたいＤＮＳサーバ装置５を特定するための、所定の書き換え用ＩＰアドレス（ＩＰｖ４及びＩＰｖ６の少なくとも一方）を予め保持し、この保持される情報の中から書き換え用のＩＰアドレスを決定する。
　処理決定部１３は、上記書き換え情報として、上記書き換え方法を識別可能な情報と、必要に応じて書き換え用のデータを書き換え部１９に送る。書き換え部１９は、処理決定部１３から得る情報に基づいて、捕獲されたＤＮＳクエリパケットのデータを書き換えることにより、ＤＮＳサーバ装置５へ転送するためのＤＮＳクエリパケットを生成する。書き換え部１９により生成された転送用のＤＮＳクエリパケットは、中継部１７を介してＤＮＳサーバ装置５へ送信される。
　書き換え部１９は、処理決定部１３から第１の書き換え方法を示す情報を得た場合には、捕獲されたＤＮＳクエリパケットに設定されていた元のクエリ名を、同様に処理決定部１３から送られる書き換え用のクエリ名に書き換えることにより、転送用のＤＮＳクエリパケットを生成する。
　書き換え部１９は、処理決定部１３から第４の書き換え方法を示す情報を得た場合には、ＤＮＳクエリパケットに設定されていた元の送信先ＩＰアドレスを、同様に処理決定部１３から送られる書き換え用のＩＰアドレスに書き換えることにより、転送用のＤＮＳクエリパケットを生成する。書き換え部１９は、書き換え用のＩＰアドレスのバージョンに応じて、転送用のＤＮＳクエリパケットを生成する。これにより、捕獲されたＤＮＳクエリパケットのＩＰバージョンと、選択された書き換え用のＩＰバージョンとが相違する場合には、パケットフォーマットが変換される。
　書き換え部１９は、処理決定部１３から第２の書き換え方法を示す情報を得た場合には、捕獲されたＤＮＳクエリパケットに設定されているＩＰｖ４－ｍａｐｐｅｄ－ＩＰｖ６アドレスに対応する逆引き名をＩＰｖ４アドレスに対応する逆引き名に変換する。ＩＰｖ６アドレスからこれに対応する逆引き名を生成する手法、及び、ＩＰｖ４アドレスからこれに対応する逆引き名を生成する手法は、周知である。更に、ＩＰｖ４－ｍａｐｐｅｄ－ＩＰｖ６アドレスをＩＰｖ４アドレスに変換する手法及びＩＰｖ４アドレスをＩＰｖ４－ｍａｐｐｅｄ－ＩＰｖ６アドレスに変換する手法もまた周知である。
　特に、ＩＰｖ４－ｍａｐｐｅｄ－ＩＰｖ６アドレスについて、その定義は、以下の参考文献１「2.5.5.2 IPv4-Mapped IPv6 Address」に記載されており、使用方法及び機能は、以下の参考文献２に記載されているため、ここでは詳細な説明は省略する。
　＜参考文献１＞R. Hinden, S. Deering, "IP Version 6 Addressing Architecture", February 2006, RFC4291 (http://www.ietf.org/rfc/rfc4291.txt)
　＜参考文献２＞M-K. Shin, et al., "Application Aspects of IPv6 Transition", March 2005, RFC4038 (http://www.ietf.org/rfc/rfc4038.txt)
　書き換え部１９は、上述のような周知手法を組み合わせることにより、上記逆引き名の変換を行う。書き換え部１９は、ＤＮＳクエリパケットに設定されていた元のクエリ名（ＩＰｖ４－ｍａｐｐｅｄ－ＩＰｖ６アドレスに対応する逆引き名）を、このように変換されたＩＰｖ４アドレスに対応する逆引き名に書き換える。書き換え部１９は、この書き換えにより生成されたＤＮＳクエリパケットを中継部１７に送る。
　書き換え部１９は、処理決定部１３から第３の書き換え方法を示す情報を得た場合には、上述のような周知手法を組み合わせることにより、捕獲されたＤＮＳクエリパケットに設定されているＩＰｖ４アドレスに対応する逆引き名をＩＰｖ４－ｍａｐｐｅｄ－ＩＰｖ６アドレスに対応する逆引き名に変換する。書き換え部１９は、ＤＮＳクエリパケットに設定されていた元のクエリ名（ＩＰｖ４アドレスに対応する逆引き名）を、このように変換されたＩＰｖ４－ｍａｐｐｅｄ－ＩＰｖ６アドレスに対応する逆引き名に書き換える。書き換え部１９は、この書き換えにより生成されたＤＮＳクエリパケットを中継部１７に送る。
　〔動作例〕
　図１５は、第３実施形態に係るエージェント装置１０の動作例を概念的に示す図である。クライアント装置１からＤＮＳサーバ装置５宛てにＤＮＳクエリパケットが送信されると、そのＤＮＳクエリパケットが、第１実施形態及び第２実施形態と同様に、捕獲部１１で捕獲され（Ｓ１５１）、処理決定部１３で解析される（Ｓ１５２）。第３実施形態では、処理決定部１３が、第１実施形態及び第２実施形態で決定される処理内容とは独立して、又は、その処理内容に加えて、書き換え処理を決定する場合がある。
　処理決定部１３は、捕獲されたＤＮＳクエリパケットに設定されているクエリ名が所定のクエリ名を示す場合に、そのＤＮＳクエリパケットに対応する処理を書き換え処理に決定する。
　続いて、書き換え部１９が、処理決定部１３により決定された内容に応じて、捕獲されたＤＮＳクエリパケットのデータを書き換えることにより、ＤＮＳサーバ装置５へ転送するためのＤＮＳクエリパケットを生成する（Ｓ１５３）。このように生成されたＤＮＳクエリパケットは、中継部１７により送出される（Ｓ１５４）。
　書き換え部１９により第４の書き換え、即ち、転送先の書き換えが行われた場合には、エージェント装置１０により強制的に決められたサーバ装置（図１５に示す符号５＃）宛てに、上記生成されたＤＮＳクエリパケットが送信される（Ｓ１５５）。
　〔第３実施形態における作用及び効果〕
　上述のように、第３実施形態では、クライアント装置１から送信されたＤＮＳクエリパケットの内容がエージェント装置１０により書き換えられる。例えば、ＦＱＤＮや逆引き名が、エージェント装置１０により決められた所定のデータに書き換えられる。結果、このようにその内容が書き換えられたＤＮＳクエリパケットに応じて、ＤＮＳ正引き又はＤＮＳ逆引きが行われる。
　従って、第３実施形態によれば、ＤＮＳクエリによりクライアント装置１に提供されるべき情報（ＩＰアドレスやＦＱＤＮ）をエージェント装置１０が制御することができる。
　更に、第３実施形態では、クライアント装置１から送信されたＤＮＳクエリパケットの送信先ＩＰアドレスがエージェント装置１０により書き換えられる。この書き換えでは、転送先のＤＮＳサーバ装置５に応じて、ＩＰバージョンについてもエージェント装置１０により決定される。このような態様によれば、クライアント装置１により間違ってＤＮＳサーバ装置５が指定された場合であっても、正しいＤＮＳサーバ装置５にそのＤＮＳクエリパケットを届けることができる。
　第３実施形態における処理決定部１３においても、実施例１と同様の処理設定データの内容に基づいて、捕獲されたＤＮＳクエリパケットに対応する処理を決定するようにしてもよい。以下、第３実施形態における処理設定データの例を説明する。
　図１６は、処理設定データの第１１例（Local_Query(Query_Replace)）を示す図である。第１１例の処理設定データを参照した処理決定部１３は、クエリ名がＮａｍｅ＿Ｄを示すＤＮＳクエリパケットに対応する処理を書き換え処理（第１の書き換え）に決定し、書き換え用クエリ名をＮａｍｅ＿Ｕに決定する。アクション情報の「ＮＲ．Ｎａｍｅ（Ｎａｍｅ＿Ｕ）」は、クエリ名がＮａｍｅ＿Ｕに書き換えられたＤＮＳクエリパケットをＤＮＳサーバ装置５に転送することを示す。
　結果、元々設定されていたクエリ名（Ｎａｍｅ＿Ｄ）が書き換え部１９によりＮａｍｅ＿Ｕに書き換えられ、この書き換えられたＤＮＳクエリパケットがＤＮＳサーバ装置５に転送される。第１１例によれば、クライアント装置１がＤＮＳクエリパケットで要求する通信相手の情報を、エージェント装置１０が決めた所定の通信相手の情報に強制的に変えることができる。即ち、エージェント装置１０は、クライアント装置１が通信を開始する相手を制御することができる。
　図１７は、処理設定データの第１２例（Server_Set）を示す図である。第１２例の処理設定データを参照した処理決定部１３は、捕獲された正引き用の全てのＤＮＳクエリパケットに対応する処理を書き換え処理（第４の書き換え）に決定し、書き換え用のＩＰアドレスをＳｅｒｖｅｒ＿Ｐに決定する。アクション情報の「ＮＲ．Ｓｅｒｖｅｒ（Ｓｅｒｖｅｒ＿Ｐ）」は、送信先ＩＰアドレスがＳｅｒｖｅｒ＿Ｐに書き換えられたＤＮＳクエリパケットを転送することを示す。
　図１８は、処理設定データの第１３例（Server_Set_By_Query_Name）を示す図である。第１３例の処理設定データを参照した処理決定部１３は、捕獲された正引き用の全てのＤＮＳクエリパケットの中の、クエリ名にドメイン名「.zone_q.com」を含むＤＮＳクエリパケットに対応する処理を書き換え処理（第４の書き換え）に決定し、書き換え用のＩＰアドレスをＳｅｒｖｅｒ＿Ｑに決定する。
　結果、元々設定されていた送信先が書き換え部１９によりＳｅｒｖｅｒ＿Ｐ又はＳｅｒｖｅｒ＿Ｑに書き換えられ、この書き換えられたＤＮＳクエリパケットが転送される。このように、第１２例及び第１３例によれば、最初に検索されるＤＮＳサーバをクライアント装置１により設定されたものを無視して、強制的にエージェント装置１０が決めることができる。更に、第１３例によれば、エージェント装置１０は、クエリ名の所定範囲毎に、最初に検索されるＤＮＳサーバを決めることができる。
　図１９は、処理設定データの第１４例（PTR_Mapped6_to_4）を示す図である。第１４例の処理設定データを参照した処理決定部１３は、捕獲された逆引き用の全てのＤＮＳクエリパケットの中の、クエリ名に「.ff.ff.＊.ip6.arpa.」（＊は１以上の任意の文字を意味する）を含むＤＮＳクエリパケットに対応する処理を書き換え処理（第２の書き換え）に決定する。これにより、元々設定されているクエリ名（ＩＰｖ４－ｍａｐｐｅｄ－ＩＰｖ６アドレスに対応する逆引き名）がＩＰｖ４アドレスに対応する逆引き名に書き換えられる。結果、クライアント装置１は、ＩＰｖ４アドレスに対応する逆引き名のエントリに含まれるＦＱＤＮを取得することができる。
　図２０は、処理設定データの第１５例（PTR_4_to_Mapped6）を示す図である。第１５例の処理設定データを参照した処理決定部１３は、捕獲された逆引き用の全てのＤＮＳクエリパケットの中の、クエリ名に「＊.in-addr.arpa.」（＊は１以上の任意の文字を意味する）を含むＤＮＳクエリパケットに対応する処理を書き換え処理（第３の書き換え）に決定する。これにより、元々設定されているクエリ名（ＩＰｖ４アドレスに対応する逆引き名）がＩＰｖ４－ｍａｐｐｅｄ－ＩＰｖ６アドレスに対応する逆引き名に書き換えられる。結果、クライアント装置１は、ＩＰｖ４－ｍａｐｐｅｄ－ＩＰｖ６アドレスに対応する逆引き名のエントリに含まれるＦＱＤＮを取得することができる。
　上述の各実施例で示した処理設定データは、予めメモリ等に保持されていてもよいし、ＤＮＳクエリパケットの送信元となるクライアント装置１や、ＤＮＳサーバ装置５、他のサーバ装置等から所定通信を用いて収集された情報を用いて生成又は更新されてもよい。例えば、クライアント装置１から、ＩＰプレフィックスリストやクライアント装置１自身の通信環境情報が収集され、この収集された情報を用いて、処理設定データの内容が決められるようにしてもよい。また、所定通信とは、例えば、ＩＣＭＰ（Internet Control Message Protocol）、ＳＮＭＰ（Simple Network Management Protocol）、ＮＩＱ（Node Information Query）等の通信や独自の通信である。
　なお、上述の説明で用いた複数のフローチャートでは、複数のステップ（処理）が順番に記載されているが、本実施形態で実行される処理ステップの実行順序は、その記載の順番に制限されない。本実施形態では、図示される処理ステップの順番を内容的に支障のない範囲で変更することができる。また、上述の各実施形態及び各変形例は、内容が相反しない範囲で組み合わせることができる。
　この出願は、２０１１年９月６日に出願された日本出願特願２０１１－１９３５５８号を基礎とする優先権を主張し、それら開示の全てをここに取り込む。

Claims (15)

  1. 　宛先のＤＮＳ（Domain Name System）サーバ装置で受信されないようにＤＮＳクエリパケットを捕獲する捕獲部と、
    　前記捕獲部により捕獲されたＤＮＳクエリパケットを解析することにより、当該ＤＮＳクエリパケットに対応する処理を拒絶処理に決定する処理決定部と、
    　前記処理決定部により対応する処理が拒絶処理に決定されたＤＮＳクエリパケットをＤＮＳサーバへ転送することなく、該ＤＮＳクエリパケットの送信元に否定応答パケットを返信する返信部と、
    　を備えるエージェント装置。
  2. 　前記処理決定部は、前記捕獲部により捕獲されたＤＮＳクエリパケットに設定されている送信元アドレス、クエリの対象情報の種類を示すクエリタイプ、又は、クエリのキー情報となるクエリ名に基づいて、当該ＤＮＳクエリパケットに対応する処理を決定する、
    　請求項１に記載のエージェント装置。
  3. 　前記処理決定部は、前記送信元アドレスに含まれる送信元ＩＰアドレスのアドレス形式がＩＰｖ４タイプかＩＰｖ６タイプかを識別し、識別されたアドレス形式と前記クエリタイプとの組み合わせに基づいて、前記ＤＮＳクエリパケットに対応する処理を決定する、
    　請求項２に記載のエージェント装置。
  4. 　前記処理決定部は、前記アドレス形式がＩＰｖ４タイプで、かつ、前記クエリタイプがＡＡＡＡレコードを示す場合、及び、前記アドレス形式がＩＰｖ６タイプで、かつ、前記クエリタイプがＡレコードを示す場合、前記ＤＮＳクエリパケットに対応する処理を拒絶処理に決定する、
    　請求項３に記載のエージェント装置。
  5. 　前記ＤＮＳクエリパケットに設定されている前記クエリ名を所定のＦＱＤＮ（Fully Qualified Domain Name）に書き換える書き換え部と、
    　前記書き換え部により書き換えられたＤＮＳクエリパケットをＤＮＳサーバ装置方向へ送出する中継部と、
    　を更に備え、
    　前記処理決定部は、前記捕獲部により捕獲されたＤＮＳクエリパケットに設定されている前記クエリ名に基づいて、当該ＤＮＳクエリパケットに対応する処理を書き換え処理に決定する、
    　請求項１から４のいずれか１項に記載のエージェント装置。
  6. 　前記捕獲部により捕獲されたＤＮＳクエリパケットに設定されている送信先ＩＰアドレスを、ＩＰバージョンが異なるＩＰアドレスに書き換える書き換え部と、
    　前記書き換え部により書き換えられたＤＮＳクエリパケットをＤＮＳサーバ装置へ送出する中継部と、
    　を更に備える請求項１から５のいずれか１項に記載のエージェント装置。
  7. 　前記捕獲部により捕獲されたＤＮＳクエリパケットのクエリ名に設定されているＩＰｖ４－ｍａｐｐｅｄ－ＩＰｖ６アドレスに対応する逆引き名をＩＰｖ４アドレスに対応する逆引き名に書き換える、又は、前記捕獲部により捕獲されたＤＮＳクエリパケットのクエリ名に設定されているＩＰｖ４アドレスに対応する逆引き名をＩＰｖ４－ｍａｐｐｅｄ－ＩＰｖ６アドレスに対応する逆引き名に書き換える書き換え部と、
    　前記書き換え部により書き換えられたＤＮＳクエリパケットをＤＮＳサーバ装置へ送出する中継部と、
    　を更に備える請求項１から６のいずれか１項に記載のエージェント装置。
  8. 　宛先のＤＮＳ（Domain Name System）サーバ装置で受信されないようにＤＮＳクエリパケットを捕獲し、
    　前記捕獲されたＤＮＳクエリパケットを解析することにより、当該ＤＮＳクエリパケットに対応する処理を拒絶処理に決定し、
    　対応する処理が拒絶処理に決定されたＤＮＳクエリパケットをＤＮＳサーバへ転送することなく、該ＤＮＳクエリパケットの送信元に否定応答パケットを返信する、
    　ことを含む通信中継方法。
  9. 　前記拒絶処理の決定は、前記捕獲されたＤＮＳクエリパケットに設定されている送信元アドレス、クエリの対象情報の種類を示すクエリタイプ、又は、クエリのキー情報となるクエリ名に基づいて、当該ＤＮＳクエリパケットに対応する処理を決定する、
    　請求項８に記載の通信中継方法。
  10. 　前記拒絶処理の決定は、前記送信元アドレスに含まれる送信元ＩＰアドレスのアドレス形式がＩＰｖ４タイプかＩＰｖ６タイプかを識別し、識別されたアドレス形式と前記クエリタイプとの組み合わせに基づいて、前記ＤＮＳクエリパケットに対応する処理を決定する、
    　請求項９に記載の通信中継方法。
  11. 　前記拒絶処理の決定は、前記アドレス形式がＩＰｖ４タイプで、かつ、前記クエリタイプがＡＡＡＡレコードを示す場合、及び、前記アドレス形式がＩＰｖ６タイプで、かつ、前記クエリタイプがＡレコードを示す場合、前記ＤＮＳクエリパケットに対応する処理を拒絶処理に決定する、
    　請求項１０に記載の通信中継方法。
  12. 　前記ＤＮＳクエリパケットに設定されている前記クエリ名を所定のＦＱＤＮ（Fully Qualified Domain Name）に書き換え、
    　前記書き換えられたＤＮＳクエリパケットをＤＮＳサーバ装置方向へ送出する、
    　ことを更に含み、
    　前記拒絶処理の決定は、前記捕獲されたＤＮＳクエリパケットに設定されている前記クエリ名に基づいて、当該ＤＮＳクエリパケットに対応する処理を書き換え処理に決定する、
    　請求項８から１１のいずれか１項に記載の通信中継方法。
  13. 　前記捕獲されたＤＮＳクエリパケットに設定されている送信先ＩＰアドレスを、ＩＰバージョンが異なるＩＰアドレスに書き換え、
    　前記書き換えられたＤＮＳクエリパケットをＤＮＳサーバ装置へ送出する、
    　ことを更に含む請求項８から１２のいずれか１項に記載の通信中継方法。
  14. 　前記捕獲されたＤＮＳクエリパケットのクエリ名に設定されているＩＰｖ４－ｍａｐｐｅｄ－ＩＰｖ６アドレスに対応する逆引き名をＩＰｖ４アドレスに対応する逆引き名に書き換える、又は、前記捕獲されたＤＮＳクエリパケットのクエリ名に設定されているＩＰｖ４アドレスに対応する逆引き名をＩＰｖ４－ｍａｐｐｅｄ－ＩＰｖ６アドレスに対応する逆引き名に書き換え、
    　前記書き換えられたＤＮＳクエリパケットをＤＮＳサーバ装置へ送出する、
    　ことを更に含む請求項８から１３のいずれか１項に記載の通信中継方法。
  15. 　コンピュータに、通信中継処理を実行させるエージェントプログラムにおいて、
    　前記通信中継処理が、
    　宛先のＤＮＳ（Domain Name System）サーバ装置で受信されないようにＤＮＳクエリパケットを捕獲し、
    　前記捕獲されたＤＮＳクエリパケットを解析することにより、当該ＤＮＳクエリパケットに対応する処理を拒絶処理に決定し、
    　対応する処理が拒絶処理に決定されたＤＮＳクエリパケットをＤＮＳサーバへ転送することなく、該ＤＮＳクエリパケットの送信元に否定応答パケットを返信する、
    　ことを含む、
    　エージェントプログラム。
PCT/JP2012/005601 2011-09-06 2012-09-04 エージェント装置及び通信中継方法 WO2013035309A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2013532442A JP5987832B2 (ja) 2011-09-06 2012-09-04 エージェント装置及び通信中継方法

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2011-193558 2011-09-06
JP2011193558 2011-09-06

Publications (1)

Publication Number Publication Date
WO2013035309A1 true WO2013035309A1 (ja) 2013-03-14

Family

ID=47831780

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2012/005601 WO2013035309A1 (ja) 2011-09-06 2012-09-04 エージェント装置及び通信中継方法

Country Status (2)

Country Link
JP (1) JP5987832B2 (ja)
WO (1) WO2013035309A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2018174469A (ja) * 2017-03-31 2018-11-08 西日本電信電話株式会社 Ｄｎｓサーバ、ｄｎｓサーバにおけるブラックリスト生成方法、ｄｎｓサーバに用いるブラックリスト生成プログラム

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001203762A (ja) * 2000-01-21 2001-07-27 Nec Corp Ｄｎｓサーバフィルタ
US7970878B1 (en) * 2005-11-16 2011-06-28 Cisco Technology, Inc. Method and apparatus for limiting domain name server transaction bandwidth

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001203762A (ja) * 2000-01-21 2001-07-27 Nec Corp Ｄｎｓサーバフィルタ
US7970878B1 (en) * 2005-11-16 2011-06-28 Cisco Technology, Inc. Method and apparatus for limiting domain name server transaction bandwidth

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2018174469A (ja) * 2017-03-31 2018-11-08 西日本電信電話株式会社 Ｄｎｓサーバ、ｄｎｓサーバにおけるブラックリスト生成方法、ｄｎｓサーバに用いるブラックリスト生成プログラム

Also Published As

Publication number Publication date
JP5987832B2 (ja) 2016-09-07
JPWO2013035309A1 (ja) 2015-03-23

Similar Documents

Publication Publication Date Title
US8194566B2 (en) Information processing device, and bubble packet transmission method and program
JP4327142B2 (ja) 情報処理システム、トンネル通信装置、トンネル通信方法、代理応答装置、及び代理応答方法
Davies Understanding ipv6
US8009670B2 (en) Communication system, information processor, intervening server, identification information transmitting server, communication method and program
US20050182829A1 (en) System for selecting a connectivity mechanism
US8582574B2 (en) Access device for preventing transmission of copyrighted content to external network and method for the same
US20160173326A1 (en) Network configuration using service identifier
US7701934B2 (en) System and method for managing devices within a private network via a public network
JP4712481B2 (ja) 通信方法および装置
US11683275B2 (en) Device and method for interconnecting two subnetworks
JP5850046B2 (ja) 通信装置、通信システム及び通信方法
EP3395049B1 (en) Router and method for connecting an ipv4 network and an ipv6 network
US20150032898A1 (en) Method for establishing a virtual community network connection and a system for implementing said method
US7873037B2 (en) Information processing device, information processing system, information processing method, and program
JP5987832B2 (ja) エージェント装置及び通信中継方法
JP5942997B2 (ja) エージェント装置及び通信中継方法
US20110235641A1 (en) Communication apparatus, method of controlling the communication apparatus,and program
JP2008060747A (ja) レイヤ２負荷分散システム、レイヤ２負荷分散装置及びそれらに用いるレイヤ２負荷分散方法
US20140229635A1 (en) Communication device, communication system, and communication method
Enghardt et al. TAPS Working Group A. Brunstrom, Ed. Internet-Draft Karlstad University Intended status: Informational T. Pauly, Ed. Expires: January 9, 2020 Apple Inc.
WO2015177924A1 (ja) 通信装置及び通信方法及びプログラム
Sumathi et al. An Experimental of IPv6 Address Assignment for Global Unicast Address Using NS-3
Madhavan NAT TRAVERSAL THROUGH TUNNELING
Aggarwal Implementation and Evaluation of ELK, an ARP scalability enhancement Computer Science Tripos, Part II Corpus Christi College
JP2005065204A (ja) パーソナルｉｐシステム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12829967

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2013532442

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 12829967

Country of ref document: EP

Kind code of ref document: A1