WO2013069161A1 - ルーティング方法およびネットワーク伝送装置 - Google Patents

ルーティング方法およびネットワーク伝送装置 Download PDF

Info

Publication number
WO2013069161A1
WO2013069161A1 PCT/JP2011/076116 JP2011076116W WO2013069161A1 WO 2013069161 A1 WO2013069161 A1 WO 2013069161A1 JP 2011076116 W JP2011076116 W JP 2011076116W WO 2013069161 A1 WO2013069161 A1 WO 2013069161A1
Authority
WO
WIPO (PCT)
Prior art keywords
address
network
format
routing
packet
Prior art date
Application number
PCT/JP2011/076116
Other languages
English (en)
French (fr)
Inventor
武仲　正彦
国一 松本
四ノ宮　大輔
高橋　裕
弘亮 坂井
Original Assignee
富士通株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 富士通株式会社 filed Critical 富士通株式会社
Priority to PCT/JP2011/076116 priority Critical patent/WO2013069161A1/ja
Priority to JP2013542795A priority patent/JP5790775B2/ja
Publication of WO2013069161A1 publication Critical patent/WO2013069161A1/ja
Priority to US14/244,033 priority patent/US9313130B2/en
Priority to US15/061,721 priority patent/US10009271B2/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/74—Address processing for routing
    • H04L45/745—Address table lookup; Address filtering
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/74—Address processing for routing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/72—Routing based on the source address
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L49/00—Packet switching elements
    • H04L49/15—Interconnection of switching modules

Definitions

  • the present invention relates to a routing method and a network transmission device.
  • intra-organizational networks such as LAN (Local Area Network) and Intranet are connected to a wide area network such as the Internet.
  • a plurality of intra-organizational networks that are physically separated may be connected via a wide area network using a communication technology such as a virtual private network (VPN).
  • VPN virtual private network
  • a firewall may be provided at the boundary between the intra-organization network and the wide area network.
  • Some firewalls perform layer 7 (application layer) protocol processing for inspecting communication contents in order to detect viruses and confidential information.
  • layer 7 application layer
  • a firewall that performs high-layer protocol processing tends to increase the load.
  • the load on the firewall increases and communication delay may increase.
  • a router that searches a domain name from the IP (Internet Protocol) address of a packet by a reverse query of DNS (Domain Name System) and routes the packet based on the retrieved domain name and domain name routing table is proposed.
  • DNS Domain Name System
  • a load balancer has been proposed in which a packet including an IP address registered in the white list is transferred to a white list server, and a packet including an IP address not registered in the white list is transferred to a normal server.
  • the services provided through the wide area network include highly reliable services such as a well-known Web search service and a well-known software vendor update service. Therefore, in order to reduce the load of inspecting communication, it is possible to change the transfer route between packets related to reliable services and other packets (for example, the former bypasses the firewall and the latter passes through the firewall). Conceivable. However, how to control such a transfer path with a communication device is a problem.
  • some services dynamically guide access from clients to a cache server. Since it is difficult to specify in advance the cache server that can be used for each service, it is difficult to determine whether the packet is related to a reliable service from only the low-layer address (for example, IP address) included in each packet. difficult.
  • IP address for example, IP address
  • the service provider and the cash server operator may be different.
  • a high-layer address for example, a host name including a domain name
  • the domain of the high-layer address is the business of the cache server. It may only show the person. For this reason, it is difficult to determine the reliability of the service from the result of the reverse query.
  • a method of extracting an original high layer address from the packet contents by performing high layer protocol processing for example, layer 7 HTTP (Hypertext Transfer Protocol) processing
  • high layer protocol processing for example, layer 7 HTTP (Hypertext Transfer Protocol) processing
  • this method uses a highly functional communication device, which is disadvantageous in terms of cost and load.
  • an object of the present invention is to provide a routing method and a network transmission device that can easily change a packet transfer path according to service reliability.
  • a routing method in a network transmission device connected to the first and second networks is provided.
  • the routing method when an address resolution inquiry is received from the client using the first format address, whether or not direct routing to the first network is possible is determined based on the first format address. If it is determined that direct routing to the first network is possible, the first network is inquired about address resolution of the first type address, and it is not determined that direct routing to the first network is possible. If so, it queries the second network for address resolution of the first type of address. An address reply including the address in the second format acquired from the first network or the second network by the address resolution inquiry is transmitted to the client.
  • the routing table is set so that packets destined for the second format address included in the obtained address reply are forwarded to the first network.
  • the routing table is set so that packets destined for the second format address included in the obtained address reply are forwarded to the second network.
  • a routing method in a network transmission apparatus connected to the first and second networks is provided.
  • an address response including a first format address designated by the client and a second format address, which is a response, is transferred to the client that made the address resolution inquiry.
  • Whether or not direct routing to the first network is possible is determined based on the first type address included in the address reply. If it is determined that direct routing to the first network is possible, the routing table is set so that packets destined for the second type of address included in the address reply are forwarded to the first network. If it is not determined that direct routing to the first network is possible, the routing table is set so that packets destined for the second format address included in the address reply are forwarded to the second network. To do.
  • a network transmission device connectable to the first and second networks.
  • the network transmission device includes a storage unit and a control unit.
  • the storage unit stores a routing table.
  • the control unit receives an address resolution inquiry from the client using the first format address, the control unit determines whether direct routing to the first network is possible based on the first format address, and sends the request to the first network. If it is determined that direct routing of the first network is possible, the first network is inquired about address resolution of the first type address, and if it is not determined that direct routing to the first network is possible, the second network The address resolution including the address in the second format is obtained from the first network or the second network, and the address is inquired for address resolution in the first network.
  • Packets destined for the second format address included in the reply are sent to the first network If the routing table is set to be forwarded to the network and the second network is inquired about address resolution, the packet addressed to the second type address included in the address reply is forwarded to the second network. Set the routing table to
  • a network transmission device connectable to the first and second networks.
  • the network transmission device includes a storage unit and a control unit.
  • the storage unit stores a routing table.
  • the control unit obtains an address response including the first format address designated by the client and the second format address specified by the client, and is included in the address response. Based on the address in the first format, it is determined whether direct routing to the first network is possible.
  • the address in the second format included in the address reply If it is determined that direct routing to the first network is possible, the address in the second format included in the address reply If the routing table is set so that packets destined to the first network are forwarded to the first network and it is not determined that direct routing to the first network is possible, the second format included in the address reply Set the routing table so that packets destined for the address are forwarded to the second network
  • FIG. 1 is a diagram illustrating a network transmission device according to the first embodiment.
  • the network transmission apparatus 10 according to the first embodiment is a communication apparatus that transfers a packet received from the client 3 to the networks 4 and 5.
  • the network transmission device 10 is, for example, a router located at the exit from the LAN to which the client 3 belongs to the network 4.
  • the network transmission apparatus 10 is a router that performs protocol processing of layer 3 (for example, IP layer) or less or layer 4 (for example, TCP (Transmission Control Protocol) layer) or less and does not perform protocol processing of layer 7 (application layer). Good.
  • the client 3 is, for example, a computer as a terminal device used by the user.
  • the network 4 is a wide area network such as the Internet, for example.
  • the network 5 is, for example, a LAN or an intranet having a firewall.
  • the network transmission apparatus 10 and the network 5 may be connected via a VPN formed in the network 4. For example, a packet transmitted by the client 3 bypasses the network 5 and is directly transferred to the network 4 or is transferred to the network 4 via the network 5.
  • the network transmission device 10 includes a storage unit 11, a control unit 12, and a transmission unit 13.
  • the storage unit 11 stores a routing table 11a.
  • the storage unit 11 may be a volatile storage device such as a RAM (Random Access Memory) or a non-volatile storage device such as a flash memory.
  • the routing table 11a is referred to when determining to which of the networks 4 and 5 the packet is to be transferred based on the destination address of the packet (address in the second format described later). In the routing table 11a, a destination address of a packet transferred to the network 4 may be described (white list method), or a destination address of a packet transferred to the network 5 may be described (black list method). .
  • the control unit 12 processes address resolution using an address resolution system such as DNS, and sets the routing table 11a using the result of address resolution.
  • the control unit 12 may be implemented using a processor such as a CPU (Central Processing Unit) and a memory storing a program, or may be implemented as hardware logic.
  • a processor such as a CPU (Central Processing Unit) and a memory storing a program, or may be implemented as hardware logic.
  • the control unit 12 acquires from the client 3 an address resolution inquiry in which an address in the first format (for example, a host name including a domain name) is designated.
  • the address in the first format is input from, for example, a Web browser executed on the client 3.
  • the control unit 12 determines whether the address in the first format specified by the address resolution inquiry is an address that may be routed directly to the network 4 (for example, the network 5 may not be routed).
  • the address that can be directly routed is, for example, an address indicating a reliable service. Whether direct routing is possible may be determined by referring to a list of reliable first format addresses prepared in advance (white list method), or a list of unreliable first format addresses prepared in advance. (Black list method).
  • the control unit 12 makes an inquiry to the network 4 when determining that direct routing to the network 4 is possible, and makes an inquiry to the network 5 when determining that direct routing to the network 4 is not possible.
  • An address for example, IP address
  • the control unit 12 controls to transfer the address reply including the address in the second format to the client 3.
  • the client 3 that has received the address reply can subsequently transmit a packet using the address in the second format as the destination address.
  • the control unit 12 determines that the address in the second format acquired by the inquiry to the network 4 is the address of the reliable communication partner, and determines the address in the second format acquired by the inquiry to the network 5 as follows: It is determined that the address is not a reliable communication partner. Then, the control unit 12 sets the routing table 11a based on the determination result. For example, when the routing table 11a is a white list method, the control unit 12 registers the second format address of the reliable communication partner (the second format address acquired from the network 4) in the routing table 11a. .
  • the transmission unit 13 transfers each packet received from the client 3 according to the routing table 11a stored in the storage unit 11 and the second format address included as a destination address in each packet.
  • the transmission unit 13 transfers a packet including the address in the second format determined as a reliable communication partner (the address in the second format acquired by inquiring the network 4) to the network 4.
  • the transmission unit 13 transfers to the network 5 a packet including the address in the second format (the address in the second format acquired by inquiring the network 5) that has not been determined to be a reliable communication partner.
  • a packet addressed to a reliable communication partner is transferred to the network 4 bypassing the network 5, and a packet not addressed to the reliable communication partner is transferred to the network 4 via the network 5.
  • the content of a packet is inspected by a firewall, and a packet with inappropriate content is blocked.
  • the network transmission device 10 transfers the packet addressed to the reliable communication partner to the network 4 without encapsulating it and can be trusted. Packets not addressed to the communication partner are encapsulated and transferred to the network 5.
  • the network transmission device 10 of the first embodiment it becomes easy to change the packet transfer route according to the reliability of the service.
  • the network transmission device 10 can designate a service that allows direct routing to the network 4 using the first-layer address of the higher layer. Therefore, unlike the case where only the low-layer second format address is used, this is effective for a service that dynamically guides the access from the client 3 to the cache server.
  • the network transmission apparatus 10 does not have to perform high layer protocol processing such as layer 7 HTTP processing on each packet, and may perform only layer 3 or lower or layer 4 or lower protocol processing. Therefore, the load of the protocol processing of the network transmission apparatus 10 can be reduced, and a high-cost communication apparatus need not be used as the network transmission apparatus 10.
  • the network transmission apparatus 10 is operated so that packets destined for a reliable communication partner bypass the firewall provided in the network 5 and other packets pass through the firewall. You can also. In this case, the firewall load can be reduced compared to the case where all packets from the client 3 to the network 4 are transferred to the firewall.
  • FIG. 2 is a diagram illustrating a network transmission apparatus according to the second embodiment.
  • the network transmission apparatus 20 according to the second embodiment includes a storage unit 21, a control unit 22, and a transmission unit 23.
  • the storage unit 21, the control unit 22, and the transmission unit 23 correspond to the storage unit 11, the control unit 12, and the transmission unit 13, respectively.
  • the storage unit 21 stores a routing table 21a.
  • the control unit 22 controls to transfer the address resolution inquiry transmitted from the client 3 to the network 4 or the network 5 (preferably, the network 5).
  • the control unit 22 controls to transfer an address answer corresponding to the address resolution inquiry to the client 3.
  • the address response includes a first format address (for example, a host name including a domain name) designated by the client 3 and a second format address (for example, an IP address) that is a response to the inquiry. Yes.
  • the control unit 22 determines whether the address of the first format included in the address reply is an address that may be routed directly to the network 4 (for example, it may not be routed through the network 5).
  • the address that can be directly routed is, for example, an address indicating a reliable service. Whether direct routing is possible may be determined by referring to a white list or black list relating to addresses prepared in the first format. If the control unit 22 determines that direct routing to the network 4 is possible, the control unit 22 determines that the address in the second format included in the address reply is an address of a reliable communication partner, and enables direct routing to the network 4. If not, the second format address is determined to be an address that is not a reliable communication partner.
  • control part 22 sets the routing table 21a based on the determination result. For example, when the routing table 21a is the white list method, the control unit 22 routes the second type address (corresponding to the first type address determined to be directly routable) of the reliable communication partner. Register in the table 21a.
  • the transmission unit 23 transfers each packet received from the client 3 according to the routing table 21a stored in the storage unit 21 and the second format address included as a destination address in each packet.
  • the transmission unit 23 transfers to the network 4 a packet including the address in the second format determined as a reliable communication partner (corresponding to the address in the first format determined to be directly routable).
  • the transmission unit 23 sends, to the network 5, a packet including an address in the second format that is not determined as a reliable communication partner (corresponding to the address in the first format that is not determined to be directly routable) Forward.
  • the network transmission device 20 of the second embodiment it becomes easy to change the packet transfer path according to the reliability of the service, as in the first embodiment. That is, the network transmission device 20 is also effective for a service that dynamically guides access from the client 3 to the cache server. Moreover, the load of the protocol processing of the network transmission device 20 can be reduced, and a high-cost communication device does not have to be used as the network transmission device 20. Further, the network transmission apparatus 20 can be operated so that packets addressed to a reliable communication partner bypass the firewall provided in the network 5 and other packets pass through the firewall.
  • FIG. 3 is a diagram illustrating a communication system according to the third embodiment.
  • an intranet of a company including a head office and a branch office is connected to the Internet.
  • the communication system includes a branch office LAN 31, a head office LAN 32, and the Internet 33.
  • the branch office LAN 31 and the head office LAN 32 are each connected to the Internet 33.
  • the branch office LAN 31 includes clients 41 and 42 and a router 100.
  • the head office LAN 32 includes a client 43, a file server 44, a firewall 51, and a DNS server 52.
  • the Internet 33 includes DNS servers 53 and 54, Web servers 61 and 62, and cache servers 63 and 64.
  • Clients 41, 42, and 43 are computers as terminal devices used by users.
  • the clients 41, 42, and 43 can access the Web servers 61 and 62 and the cache servers 63 and 64 on the Internet 33 using a Web browser.
  • the clients 41 and 42 can access the file server 44 via the Internet 33, and the client 43 can access the file server 44.
  • the file server 44 is a server computer that holds files used for operations at the head office or branch offices.
  • the firewall 51 is a communication device that monitors communication between an intranet including the branch office LAN 31 and the head office LAN 32 and the Internet 33.
  • the firewall 51 performs, for example, protocol processing of the application layer, and detects communications including illegal contents such as viruses and confidential information.
  • the firewall 51 may be called a proxy server.
  • the branch office LAN 31 and the head office LAN 32 are connected by a VPN (so-called Internet VPN) formed on the Internet 33.
  • VPN so-called Internet VPN
  • DNS servers 52, 53, and 54 are server computers that manage the correspondence between host names and IP addresses.
  • the DNS servers 52, 53, and 54 receive a DNS request (request) that includes a fully qualified domain name (FQDN) and sends back a DNS response (response) that includes an IP address corresponding to the FQDN.
  • the FQDN is a host name including a domain name.
  • the DNS servers 52, 53, and 54 make inquiries to other DNS servers. For example, when the DNS server 52 receives an inquiry about the IP address of the Web server 62 from the client 41, the DNS server 52 may make an inquiry to the DNS server 54.
  • the DNS server 53 is located near the branch office LAN 31, and the DNS server 54 is located near the head office LAN 32.
  • Web servers 61 and 62 are server computers that provide services such as a search service and a software update service. For example, in response to HTTP access from the clients 41, 42, and 43, the Web servers 61 and 62 transmit files such as HTML (HyperText Markup Language) documents and software programs.
  • the cache servers 63 and 64 are server computers that hold copies of files stored in the Web server 61. Access from the clients 41, 42, 43 to the Web server 61 may be guided to the cache servers 63, 64.
  • the cache server 63 is located near the branch office LAN 31, and the cache server 64 is located near the head office LAN 32.
  • Different FQDNs and IP addresses are assigned to the Web servers 61 and 62 and the cache servers 63 and 64, respectively.
  • the provider that provides services using the Web server 61 and the provider that operates the cache servers 63 and 64 may be different. Therefore, the domain name included in the FQDN of the Web server 61 may be different from the domain name included in the FQDN of the cache servers 63 and 64.
  • access to the Web server 61 can be guided to the cache servers 63 and 64 by the following method.
  • the domain names of the cache servers 63 and 64 are registered in the DNS server in charge of the Web server 61 as an FQDN of the Web server 61 (CNAME).
  • CNAME FQDN of the Web server 61
  • a domain name that is not its own domain is registered as an alias, so the DNS request is sent to the DNS server in charge of the cache servers 63 and 64.
  • Forward. The DNS server in charge of the cache servers 63 and 64 searches for a cache server physically close to the transmission source using the IP address of the transmission source of the DNS request, and returns the IP address of the cache server.
  • the clients 41, 42, and 43 are notified of the IP address of the cache server close to each client as the IP address corresponding to the FQDN of the Web server 61. Thereafter, the clients 41, 42, and 43 access a cache server close to each client instead of the Web server 61. Thereby, the load of the Web server 61 and the cache servers 63 and 64 can be distributed.
  • the router 100 is located at the boundary between the branch office LAN 31 and the Internet 33 and communicates with the head office LAN 32 and the Internet 33.
  • the router 100 may perform the protocol processing below the IP layer or the TCP layer on each packet, and does not need to perform the protocol processing at the application layer.
  • the router 100 may not have a firewall function.
  • the router 100 transfers a packet related to a predetermined reliable service among packets transmitted from the clients 41 and 42 to the Internet 33, bypassing the firewall 51 and directly transferred to the Internet 33. On the other hand, the router 100 transfers other packets to the firewall 51 using the Internet VPN.
  • the firewall 51 may terminate the VPN, or another communication device may terminate the VPN. Communication between the head office LAN 32 and the branch office LAN 31 may or may not pass through the firewall 51.
  • the head office LAN 32 is an example of the network 5 of the first embodiment
  • the Internet 33 is an example of the network 4 of the first embodiment
  • the router 100 is an example of the network transmission device 10 according to the first embodiment
  • the clients 41 and 42 are examples of the client 3 according to the first embodiment.
  • FIG. 4 is a block diagram illustrating a hardware example of the router.
  • the router 100 includes a CPU 101, a RAM 102, a memory 103, a management interface 104, a LAN interface 105, and a WAN (Wide Area Network) interface 106.
  • the CPU 101 is a processor that processes packets according to a program.
  • the CPU 101 reads a program and control data from the memory 103 and develops them in the RAM 102.
  • the RAM 102 is a volatile memory that temporarily stores part or all of the program and control data used by the CPU 101.
  • the memory 103 is a non-volatile memory that stores programs and control data, and is, for example, a flash memory. Note that the router 100 may include other types of storage devices instead of the RAM 102 and the memory 103.
  • the management interface 104 is a communication interface having a management port that can be connected to a management client.
  • the LAN interface 105 is a communication interface including a LAN port that can be connected to another communication device (for example, a layer 2 switch) of the branch office LAN 31.
  • the WAN interface 106 is a communication interface having a WAN port that can be connected to the Internet 33.
  • the LAN interface 105 and the WAN interface 106 transfer packets according to the control of the CPU 101.
  • the IP layer protocol processing including routing is executed by software, but may be executed by hardware. At least a part of the functions of the router 100 described below can be implemented as hardware logic.
  • FIG. 5 is a block diagram illustrating a software configuration example according to the third embodiment.
  • the router 100 includes an FQDN list storage unit 110, a management unit 120, a DNS processing unit 130, an IP address extraction unit 140, a routing table storage unit 150, and a routing unit 160.
  • the FQDN list storage unit 110 and the routing table storage unit 150 can be implemented as storage areas secured on the RAM 102 or the memory 103.
  • the management unit 120, the DNS processing unit 130, the IP address extraction unit 140, and the routing unit 160 can be implemented as modules of programs executed by the CPU 101.
  • the FQDN list storage unit 110 stores the FQDN list.
  • the FQDN list is a white list in which reliable services are specified using the FQDN.
  • a wild card (*) may be used to specify the FQDN. For example, when “* .aaa.bbb” is described in the FQDN list, “www.aaa.bbb” is determined as the FQDN registered in the FQDN list.
  • the management unit 120 changes the setting of the router 100 according to a command input from a client used by the administrator.
  • the command is input from the management interface 104 or the LAN interface 105.
  • the management unit 120 receives a command for adding an FQDN to the FQDN list and a command for deleting the FQDN from the FQDN list, and updates the FQDN list stored in the FQDN list storage unit 110.
  • the DNS processing unit 130 realizes a DNS relay function for transferring a DNS request and a DNS response between the clients 41 and 42 and the DNS servers 52, 53 and 54.
  • the router 100 is recognized as a DNS server by the clients 41 and 42 by the DNS relay function.
  • the DNS processing unit 130 includes a request reception unit 131, a transfer destination determination unit 132, an Internet transfer unit 133, and an intranet transfer unit 134.
  • the request accepting unit 131 accepts a DNS request from the clients 41 and 42, and returns a DNS response acquired from the Internet 33 or the head office LAN 32.
  • the transfer destination determination unit 132 determines whether the FQDN included in the DNS request is registered in the FQDN list stored in the FQDN list storage unit 110, that is, whether the FQDN is a reliable service.
  • the transfer destination determination unit 132 determines to transfer to the Internet 33 if it is a registered FQDN, and determines to transfer to the head office LAN 32 in other cases.
  • the Internet transfer unit 133 transfers a DNS request to a DNS server (for example, the DNS server 53) of the Internet 33 according to the determination result of the transfer destination determination unit 132, and acquires a DNS response from the DNS server. Also, the Internet transfer unit 133 outputs a DNS response to the IP address extraction unit 140.
  • the intranet transfer unit 134 transfers the DNS request to the DNS server 52 of the head office LAN 32 according to the determination result of the transfer destination determination unit 132, and obtains a DNS response from the DNS server 52.
  • the IP address extraction unit 140 acquires only the DNS response acquired from the Internet 33 out of the Internet 33 and the head office LAN 32 from the DNS processing unit 130.
  • the IP address extraction unit 140 extracts an IP address that is an answer to the inquiry from the DNS response, and writes the extracted IP address in the routing table stored in the routing table storage unit 150 as an IP address of a reliable communication partner.
  • the routing table storage unit 150 stores a routing table.
  • the routing table is a white list in which IP addresses of reliable communication partners are specified out of IP addresses used outside the branch office LAN 31 and the head office LAN 32.
  • the FQDN list and the routing table are defined as a white list, but may be a black list that describes unreliable addresses.
  • the routing unit 160 routes each packet based on the IP address included in the packet as a destination address.
  • the routing unit 160 refers to the routing table stored in the routing table storage unit 150 when determining the transfer destination of the packet transmitted from the clients 41 and 42 to the Internet 33.
  • the routing unit 160 directly transfers a packet addressed to the IP address (reliable communication partner) registered in the routing table to the Internet 33.
  • the routing unit 160 transfers a packet addressed to an IP address (not a reliable communication partner) registered in the routing table to the head office LAN 32 using the Internet VPN.
  • the routing unit 160 encapsulates the Internet VPN for the packet transmitted to the head office LAN 32, and decapsulates the Internet VPN for the packet acquired from the head office LAN 32 (decapsulation). That is, the routing unit 160 terminates the Internet VPN.
  • FIG. 6 is a diagram illustrating a format example of the DNS packet.
  • the DNS packet includes an IP header, a UDP (User Datagram Protocol) header, a DNS header, and a body.
  • the body of the DNS packet as the DNS request includes a query section.
  • the body of the DNS packet as the DNS response includes a question section, an answer section, an authority section, and an additional section.
  • the DNS header includes an ID (Identifier), a flag, the number of question records, the number of answer records, the number of authority records, and the number of additional records.
  • the ID is a 16-bit (2-byte) identifier for identifying a DNS transaction, and the same value is used for the DNS request and the corresponding DNS response.
  • the flag is a set of control bits including a bit for distinguishing between a DNS request and a DNS response.
  • the number of question records indicates the number of records included in the question section.
  • the number of answer records indicates the number of records included in the answer section.
  • the number of authority records indicates the number of records included in the authority section.
  • the number of additional records indicates the number of records included in the additional section.
  • Each record in the question section contains the host name, type and class.
  • the host name is the FQDN to be queried.
  • the type indicates what information is requested as an answer.
  • type “A” is designated.
  • the class is designated “IN” indicating the Internet.
  • Each record in the answer section includes the host name, type, class, valid time (TTL: Time To Live), data length and address.
  • the host name is the FQDN of the device having the answer section address. In some cases, such as when the IP addresses of the cache servers 63 and 64 are answered, the host name in the question section does not match the host name in the answer section. The meaning of type and class is the same as in the question section.
  • TTL is an effective time of the result of address resolution, and it is allowed to cache the result of address resolution until the effective time elapses.
  • the data length indicates the number of bytes in the address column.
  • the address is an answer to the inquiry, for example, an IP address.
  • the record of the authority section includes the FQDN of the DNS server having authority to manage the host name of the answer section.
  • the additional section record includes additional information other than the above, and includes, for example, the IP address of the DNS server described in the authority section.
  • FIG. 7 is a flowchart illustrating router control according to the third embodiment.
  • the client 41 transmits a DNS request.
  • the request reception unit 131 receives a DNS request.
  • Step S12 The transfer destination determination unit 132 extracts the FQDN from the DNS request, and collates the extracted FQDN with the FQDN list stored in the FQDN list storage unit 110.
  • the transfer destination determination unit 132 determines whether the FQDN extracted from the DNS request matches the FQDN list (registered in the FQDN list). If they match, it is determined that the FQDN is a reliable service, and the process proceeds to step S13. If they do not match, it is determined that the FQDN is not a reliable service, and the process proceeds to step S17.
  • the Internet transfer unit 133 transfers the DNS request to the DNS server (for example, the DNS server 53) of the Internet 33.
  • the Internet transfer unit 133 obtains a DNS response corresponding to the DNS request from the DNS server (for example, the DNS server 53) of the Internet 33.
  • Step S15 The IP address extraction unit 140 extracts an IP address from the DNS response and determines that the IP address is a reliable communication partner.
  • Step S16 The IP address extraction unit 140 registers the extracted IP address in the routing table stored in the routing table storage unit 150. Then, the process proceeds to step S19. In consideration of the case where the correspondence between the service and the IP address changes, such as when the cache server to be used changes, an IP address that has passed for a certain period of time after registration may be deleted from the routing table.
  • Step S17 The intranet transfer unit 134 transfers the DNS request to the DNS server 52 of the head office LAN 32.
  • a DNS packet as a DNS request is encapsulated for the Internet VPN and transmitted between the router 100 and the head office LAN 32.
  • the intranet transfer unit 134 acquires a DNS response corresponding to the DNS request from the DNS server 52 of the head office LAN 32.
  • the DNS packet as the DNS response is encapsulated for the Internet VPN and transmitted, like the DNS request.
  • the IP address included in the DNS response acquired from the head office LAN 32 is determined not to be an IP address of a reliable communication partner and is not registered in the routing table.
  • Step S19 The request reception unit 131 transfers the DNS response acquired from the Internet 33 or the head office LAN 32 to the client 41 that has transmitted the DNS request.
  • the processes in steps S15 and S16 and the process in step S19 may be performed in parallel or in reverse order.
  • FIG. 8 is a diagram illustrating an example of DNS processing according to the third embodiment.
  • the client 41 performs address resolution by DNS (DNS phase). Further, it is assumed that “* .aaa.bbb” is registered in the FQDN list 111 of the router 100.
  • the router 100 When the client 41 transmits a DNS request specifying “www.aaa.bbb”, the router 100 confirms that the specified FQDN is registered in the FQDN list 111. Then, the router 100 determines that the FQDN can be trusted, and transfers the DNS request to the DNS server 53 of the Internet 33. Upon receiving a DNS response including “65.xxx.xxx.130” from the DNS server 53, the router 100 determines that the IP address is reliable and registers it in the routing table 151. In addition, the router 100 transfers the received DNS response to the client 41.
  • the router 100 When the client 41 transmits a DNS request designating “www.ccc.ddd”, the router 100 confirms that the designated FQDN is not registered in the FQDN list 111. Then, the router 100 determines that the designated FQDN cannot be trusted, and transfers the DNS request to the DNS server 52 of the head office LAN 32.
  • the DNS server 52 makes an inquiry to the DNS server 54 on the Internet 33 and searches for an IP address, for example.
  • the router 100 receives a DNS response including “74.xxx.xxx.172” from the DNS server 52, and transfers the received DNS response to the client 41. At this time, the IP address is determined to be unreliable and is not registered in the routing table 151.
  • FIG. 9 is a diagram illustrating an example of packet transfer according to the third embodiment.
  • the client 41 transmits a packet to the Internet 33 using the result of the address resolution (packet transfer phase). Further, it is assumed that “65.xxx.xxx.130” is registered in the routing table 151 of the router 100.
  • the router 100 When the client 41 transmits a packet specifying “65.xxx.xxx.130” as the destination, the router 100 confirms that the destination IP address is registered in the routing table 151. Then, the router 100 determines that the IP address is reliable, and directly transfers the packet to the Internet 33 so as to bypass the firewall 51. For example, the packet is transferred to the cache server 63 that is the destination.
  • the router 100 When the client 41 transmits a packet specifying “74.xxx.xxx.172” as the destination, the router 100 confirms that the destination IP address is not registered in the routing table 151. Then, the router 100 determines that the IP address is not reliable, encapsulates the packet for the Internet VPN (via the Internet 33), and transfers the packet to the firewall 51 of the head office LAN 32. For example, the packet is inspected by the firewall 51 and then transferred to the Web server 62 that is the destination.
  • FIG. 10 is a first diagram illustrating an example of a communication sequence according to the third embodiment.
  • the service provided by the Web server 61 is designated as a reliable service and the client 41 uses the service.
  • access from the client 41 is guided to the cache server 63 close to the branch office LAN 31.
  • the DNS request bypasses the head office LAN 32 and is transferred to the DNS server 53 close to the branch office LAN 31.
  • the DNS server 53 searches for the IP address of the cache server 63 close to the branch office LAN 31 and returns a DNS response including the IP address to the client 41.
  • the client 41 recognizes that the IP address of the cache server 63 is an IP address corresponding to the FQDN specified by the DNS request, and transmits a packet including the IP address as a destination address. This packet transmitted by the client 41 bypasses the head office LAN 32 and is transferred to the cache server 63.
  • FIG. 11 is a second diagram illustrating an example of a communication sequence according to the third embodiment.
  • the service provided by the Web server 62 is not designated as a reliable service and the client 41 uses the service. However, it is assumed that access to the Web server 62 is not blocked by the firewall 51.
  • the DNS request is transferred to the DNS server 54 close to the head office LAN 32 via the Internet VPN and the head office LAN 32.
  • the DNS server 54 searches for the IP address of the Web server 62 and returns a DNS response including the IP address to the client 41 via the head office LAN 32 and the Internet VPN.
  • the client 41 extracts the IP address of the Web server 62 from the DNS response, and transmits a packet including the IP address as a destination address. This packet transmitted by the client 41 is transferred to the Web server 62 via the Internet VPN and the firewall 51 of the head office LAN 32.
  • the router 100 can designate a reliable service using a host name including a domain name. Therefore, unlike the case where only the IP address is used, even when the access of the clients 41 and 42 can be guided to the cache servers 63 and 64, it is possible to appropriately determine whether or not the packet is a reliable service.
  • the router 100 may not perform the application layer protocol processing on each packet, and may perform only the protocol processing below the IP layer or below the TCP layer. Therefore, the load of the protocol processing of the router 100 can be reduced, and it is not necessary to use an expensive communication device as the router 100.
  • the transfer path is controlled so that a reliable service packet bypasses the intranet firewall 51 and the other packets pass through the firewall 51. Therefore, the load on the firewall 51 can be reduced as compared with the case where all packets from the clients 41 and 42 to the Internet 33 are transferred to the firewall 51.
  • FIG. 12 is a block diagram illustrating a software configuration example according to the fourth embodiment.
  • the router 100a includes a DNS processing unit 170 instead of the DNS processing unit 130 of the router 100 according to the third embodiment.
  • the DNS processing unit 170 includes a request reception unit 171, an intranet transfer unit 172, and a question determination unit 173.
  • the request accepting unit 171 accepts a DNS request from the clients 41 and 42, and returns a DNS response acquired from the head office LAN 32.
  • the intranet transfer unit 172 transfers the DNS request received by the request reception unit 171 to the DNS server 52 of the head office LAN 32 and acquires a DNS response to the DNS request from the DNS server 52.
  • the question determination unit 173 extracts the FQDN (question section host name) designated by the clients 41 and 42 from the DNS response acquired by the intranet transfer unit 172.
  • the question determination unit 173 determines whether the extracted FQDN is registered in the FQDN list stored in the FQDN list storage unit 110, that is, whether the extracted FQDN is a reliable service FQDN. If it is a registered FQDN, the question determination unit 173 outputs a DNS response to the IP address extraction unit 140, and otherwise does not output to the IP address extraction unit 140.
  • the DNS request is transferred to the DNS server 52 of the head office LAN 32, but may be transferred to another predetermined DNS server.
  • FIG. 13 is a flowchart illustrating router control according to the fourth embodiment. Here, consider a case where the client 41 transmits a DNS request.
  • the request reception unit 171 receives a DNS request.
  • the intranet transfer unit 172 transfers the DNS request to the DNS server 52 of the head office LAN 32.
  • a DNS packet as a DNS request is encapsulated for the Internet VPN and transmitted between the router 100 and the head office LAN 32.
  • the intranet transfer unit 172 acquires a DNS response corresponding to the DNS request from the DNS server 52 of the head office LAN 32.
  • the DNS packet as the DNS response is encapsulated for the Internet VPN and transmitted, like the DNS request.
  • Step S24 The question determination unit 173 extracts the FQDN from the DNS response, and collates the extracted FQDN with the FQDN list stored in the FQDN list storage unit 110.
  • the question determination unit 173 determines whether the FQDN extracted from the DNS response matches the FQDN list (is registered in the FQDN list). If they match, it is determined that the FQDN is a reliable service, and the process proceeds to step S25. If not matched, it is determined that the FQDN is not a reliable service, and the process proceeds to step S27.
  • Step S25 The IP address extraction unit 140 extracts an IP address from the DNS response, and determines that the IP address is a reliable communication partner.
  • Step S ⁇ b> 26 The IP address extracting unit 140 registers the extracted IP address in the routing table stored in the routing table storage unit 150. Note that the IP address corresponding to the unreliable FQDN is not registered in the routing table.
  • Step S27 The request reception unit 171 transfers the DNS response to the client 41 that has transmitted the DNS request. Note that the processes in steps S24 to S26 and the process in step S27 may be executed in parallel or in reverse order.
  • FIG. 14 is a diagram illustrating an example of DNS processing according to the fourth embodiment.
  • the client 41 performs address resolution by DNS (DNS phase). Further, it is assumed that “* .aaa.bbb” is registered in the FQDN list 111 of the router 100a.
  • the router 100a transfers the DNS request to the DNS server 52 of the head office LAN 32.
  • the router 100 a receives from the DNS server 52 a DNS response including the FQDN specified by the DNS request and “65.xxx.xxx.131”, and transfers the received DNS response to the client 41.
  • the router 100a confirms that the FQDN included in the DNS response is registered in the FQDN list 111, and determines that the FQDN is reliable.
  • the router 100a determines that the IP address included in the DNS response can be trusted, and registers the IP address in the routing table 151.
  • the router 100a When the client 41 transmits a DNS request specifying “www.ccc.ddd”, the router 100a transfers the DNS request to the DNS server 52 of the head office LAN 32. The router 100 a receives from the DNS server 52 a DNS response including the FQDN specified by the DNS request and “74.xxx.xxx.172”, and transfers the received DNS response to the client 41. At this time, the router 100a confirms that the FQDN included in the DNS response is not registered in the FQDN list 111, and determines that the FQDN cannot be trusted. Then, the router 100a determines that the IP address included in the DNS response is not reliable, and does not register the IP address in the routing table 151.
  • FIG. 15 is a diagram illustrating an example of a communication sequence according to the fourth embodiment.
  • the service provided by the Web server 61 is designated as a reliable service and the client 41 uses the service.
  • access from the client 41 is guided to the cache server 64 close to the head office LAN 32.
  • the DNS request is transferred to the DNS server 54 close to the head office LAN 32 via the Internet VPN and the DNS server 52 of the head office LAN 32.
  • the DNS server 54 searches for the IP address of the cache server 64 close to the head office LAN 32, and sends a DNS response including the IP address via the DNS server 52 and the Internet VPN. Reply to client 41.
  • the client 41 recognizes that the IP address of the cache server 64 is an IP address corresponding to the FQDN specified by the DNS request, and transmits a packet including the IP address as a destination address. This packet transmitted by the client 41 bypasses the head office LAN 32 and is transferred to the cache server 64.
  • the router 100a can designate a reliable service using a host name including a domain name, and can appropriately determine whether the packet is related to a reliable service. Further, the router 100a can reduce the load of the protocol processing of the router 100a, and it is not necessary to use an expensive communication device as the router 100a. In addition, the transfer path can be controlled so that a reliable service packet bypasses the firewall 51, and the load on the firewall 51 can be reduced.
  • FIG. 16 is a diagram illustrating another communication sequence example.
  • a communication system in which the router 210 provided in the branch office LAN 31 transfers all packets from the clients 41 and 42 to the Internet 33 to the firewall 51 regardless of the destination address is considered (A).
  • the load on the router 210 is reduced, while the load on the firewall 51 of the head office LAN 32 is increased.
  • a communication system in which a firewall 220 having the same function as the firewall 51 is provided in the branch office LAN 31 and packets from the clients 41 and 42 to the Internet 33 are processed without being transferred to the firewall 51 is considered (B).
  • a highly functional communication device such as the firewall 220 is provided for each branch office, which is disadvantageous in terms of cost.
  • FIG. 17 is a diagram illustrating another example of packet transfer.
  • a communication system in which a router 230 that performs layer 7 protocol processing is provided in the branch office LAN 31, and the router 230 extracts a FQDN from a layer 7 session such as an HTTP session and performs routing according to the reliability of the FQDN ( A).
  • a layer 7 session such as an HTTP session
  • the router 230 extracts a FQDN from a layer 7 session such as an HTTP session and performs routing according to the reliability of the FQDN ( A).
  • it becomes easy to judge the reliability of the service but the load on the router 230 becomes large, and a highly functional communication device is provided for each branch office, which is disadvantageous in terms of cost.
  • the router 240 provided in the branch office LAN 31 converts the IP address, which is the destination address of each packet, into an FQDN by a reverse DNS inquiry, and performs routing of the packet according to the reliability of the converted FQDN A system is considered (B).
  • the IP address of the cache server is returned in response to the DNS forward query, the FQDN specified by the forward query and the FQDN acquired by the reverse query do not coincide with each other. It cannot be controlled properly.
  • the routers 100 and 100a can appropriately control the packet transfer path according to the reliability of the service.
  • the load on the firewall 51 of the head office LAN 32 can be reduced, and low-cost communication devices can be used as the routers 100 and 100a.

Abstract

　サービスの信頼性に応じてパケットの転送経路を変えることを容易に実現する。　アドレス解決の問い合わせで指定された第１の形式のアドレスが、ネットワーク（４）への直接のルーティングが可能なアドレスか否か判断する。可能と判断した場合、アドレス解決の問い合わせにより取得された第２の形式のアドレスを宛先とするパケットがネットワーク（４）に転送されるように、ルーティングテーブル（１１ａ）を設定する。可能と判断しなかった場合、取得された第２の形式のアドレスを宛先とするパケットがネットワーク（５）に転送されるように、ルーティングテーブル（１１ａ）を設定する。

Description

ルーティング方法およびネットワーク伝送装置
　本発明はルーティング方法およびネットワーク伝送装置に関する。
　現在、ＬＡＮ（Local Area Network）やイントラネットなどの組織内ネットワークの多くは、インターネットなどの広域ネットワークに接続されている。物理的に離れた複数の組織内ネットワークを、仮想プライベートネットワーク（ＶＰＮ：Virtual Private Network）などの通信技術を用いて、広域ネットワークを介して接続することもある。
　セキュリティの観点から、組織内ネットワークと広域ネットワークとの境界に、ファイアウォール（プロキシサーバと呼ぶものを含む）を設けることがある。ファイアウォールには、ウィルスや機密情報などを検出するため、通信の内容を検査するレイヤ７（アプリケーション層）のプロトコル処理を行うものもある。ただし、高レイヤのプロトコル処理を行うファイアウォールは、負荷が高くなりやすい。また、大規模な組織内ネットワークの通信を、１カ所のファイアウォールに集約して検査しようとすると、ファイアウォールの負荷が高くなり、通信の遅延が大きくなることがある。
　なお、ＤＮＳ（Domain Name System）の逆引き問い合わせによりパケットのＩＰ（Internet Protocol）アドレスからドメイン名を検索し、検索したドメイン名とドメイン名ルーティングテーブルとに基づいて、当該パケットをルーティングするルータが提案されている。また、ホワイトリストに登録されているＩＰアドレスを含むパケットを、ホワイトリスト用サーバに転送し、ホワイトリストに登録されていないＩＰアドレスを含むパケットを、通常サーバに転送するロードバランサが提案されている。
特開2005-223449号公報 特開2010-45617号公報
　ところで、広域ネットワークを介して提供されるサービスには、著名なＷｅｂ検索サービスや著名なソフトウェアベンダのアップデートサービスなど、信頼性の高いサービスも含まれる。そこで、通信を検査する負荷を軽減するため、信頼できるサービスに関するパケットとそれ以外のパケットとで転送経路を変える（例えば、前者はファイアウォールを迂回し後者はファイアウォールを経由するように転送する）ことが考えられる。しかし、このような転送経路の制御を、通信装置でどのように実現すればよいかが問題となる。
　例えば、サービスの中には、クライアントからのアクセスを動的にキャッシュサーバに誘導するものがある。各サービスで利用され得るキャッシュサーバを事前に特定することは難しいため、各パケットに含まれる低レイヤのアドレス（例えば、ＩＰアドレス）のみから、当該パケットが信頼できるサービスに関するものかを判断することは難しい。
　また、サービスを提供する事業者とキャッシュサーバを運営する事業者とが異なることがある。この場合、各パケットに含まれる低レイヤのアドレスから、逆引き問い合わせによって高レイヤのアドレス（例えば、ドメイン名を含むホスト名）を検索しても、その高レイヤのアドレスのドメインはキャッシュサーバの事業者を示すに過ぎないことがある。このため、逆引き問い合わせの結果からサービスの信頼性を判断することも難しい。
　また、パケットを振り分ける通信装置において、高レイヤのプロトコル処理（例えば、レイヤ７のＨＴＴＰ（Hypertext Transfer Protocol）処理）を行って、パケットの内容からオリジナルの高レイヤのアドレスを抽出する方法が考えられる。しかし、この方法では、高機能な通信装置を使用することになり、コストや負荷の点で不利となる。
　一側面では、本発明は、サービスの信頼性に応じてパケットの転送経路を変えることが容易に実現できるルーティング方法およびネットワーク伝送装置を提供することを目的とする。
　一側面によれば、第１および第２のネットワークに接続されたネットワーク伝送装置におけるルーティング方法が提供される。ルーティング方法では、クライアントから第１の形式のアドレスにより、アドレス解決の問い合わせを受信したとき、第１の形式のアドレスに基づき、第１のネットワークへの直接のルーティングの可否を判断する。第１のネットワークへの直接のルーティングが可能と判断した場合は、第１のネットワークに第１の形式のアドレスのアドレス解決を問い合わせ、第１のネットワークへの直接のルーティングが可能と判断しなかった場合は、第２のネットワークに第１の形式のアドレスのアドレス解決を問い合わせる。アドレス解決の問い合わせにより第１のネットワークまたは第２のネットワークより取得した第２の形式のアドレスを含むアドレス回答を、クライアントに送信する。第１のネットワークにアドレス解決を問い合わせた場合は、取得したアドレス回答に含まれる第２の形式のアドレスを宛先とするパケットは第１のネットワークに転送されるようにルーティングテーブルを設定する。第２のネットワークにアドレス解決を問い合わせた場合は、取得したアドレス回答に含まれる第２の形式のアドレスを宛先とするパケットは第２のネットワークに転送されるようにルーティングテーブルを設定する。
　また、一側面によれば、第１および第２のネットワークに接続されたネットワーク伝送装置におけるルーティング方法が提供される。ルーティング方法では、アドレス解決の問い合わせを行ったクライアントに転送される、クライアントが指定した第１の形式のアドレスと回答である第２の形式のアドレスとを含むアドレス回答を取得する。アドレス回答に含まれる第１の形式のアドレスに基づき、第１のネットワークへの直接のルーティングの可否を判断する。第１のネットワークへの直接のルーティングが可能と判断した場合は、アドレス回答に含まれる第２の形式のアドレスを宛先とするパケットが第１のネットワークに転送されるようにルーティングテーブルを設定する。第１のネットワークへの直接のルーティングが可能と判断しなかった場合は、アドレス回答に含まれる第２の形式のアドレスを宛先とするパケットが第２のネットワークに転送されるようにルーティングテーブルを設定する。
　また、一側面によれば、第１および第２のネットワークに接続可能なネットワーク伝送装置が提供される。ネットワーク伝送装置は、記憶部と制御部とを有する。記憶部は、ルーティングテーブルを記憶する。制御部は、クライアントから第１の形式のアドレスによりアドレス解決の問い合わせを受け付けたとき、第１の形式のアドレスに基づき第１のネットワークへの直接のルーティングの可否を判断し、第１のネットワークへの直接のルーティングが可能と判断した場合は第１のネットワークに第１の形式のアドレスのアドレス解決を問い合わせ、第１のネットワークへの直接のルーティングが可能と判断しなかった場合は第２のネットワークに第１の形式のアドレスのアドレス解決を問い合わせ、第１のネットワークまたは第２のネットワークから第２の形式のアドレスを含むアドレス回答を取得し、第１のネットワークにアドレス解決を問い合わせた場合はアドレス回答に含まれる第２の形式のアドレスを宛先とするパケットは第１のネットワークに転送されるようにルーティングテーブルを設定し、第２のネットワークにアドレス解決を問い合わせた場合はアドレス回答に含まれる第２の形式のアドレスを宛先とするパケットは第２のネットワークに転送されるようにルーティングテーブルを設定する。
　また、一側面によれば、第１および第２のネットワークに接続可能なネットワーク伝送装置が提供される。ネットワーク伝送装置は、記憶部と制御部とを有する。記憶部は、ルーティングテーブルを記憶する。制御部は、アドレス解決の問い合わせを行ったクライアントに転送されるクライアントが指定した第１の形式のアドレスと回答である第２の形式のアドレスとを含むアドレス回答を取得し、アドレス回答に含まれる第１の形式のアドレスに基づき第１のネットワークへの直接のルーティングの可否を判断し、第１のネットワークへの直接のルーティングが可能と判断した場合はアドレス回答に含まれる第２の形式のアドレスを宛先とするパケットが第１のネットワークに転送されるようにルーティングテーブルを設定し、第１のネットワークへの直接のルーティングが可能と判断しなかった場合はアドレス回答に含まれる第２の形式のアドレスを宛先とするパケットが第２のネットワークに転送されるようにルーティングテーブルを設定する。
　サービスの信頼性に応じてパケットの転送経路を変えることが容易に実現できる。
　本発明の上記および他の目的、特徴および利点は本発明の例として好ましい実施の形態を表す添付の図面と関連した以下の説明により明らかになるであろう。
第１の実施の形態のネットワーク伝送装置を示す図である。 第２の実施の形態のネットワーク伝送装置を示す図である。 第３の実施の形態の通信システムを示す図である。 ルータのハードウェア例を示すブロック図である。 第３の実施の形態のソフトウェア構成例を示すブロック図である。 ＤＮＳパケットのフォーマット例を示す図である。 第３の実施の形態のルータ制御を示すフローチャートである。 第３の実施の形態のＤＮＳ処理例を示す図である。 第３の実施の形態のパケット転送例を示す図である。 第３の実施の形態の通信シーケンス例を示す第１の図である。 第３の実施の形態の通信シーケンス例を示す第２の図である。 第４の実施の形態のソフトウェア構成例を示すブロック図である。 第４の実施の形態のルータ制御を示すフローチャートである。 第４の実施の形態のＤＮＳ処理例を示す図である。 第４の実施の形態の通信シーケンス例を示す図である。 他の通信シーケンス例を示す図である。 他のパケット転送例を示す図である。
　以下、本実施の形態を図面を参照して説明する。
　［第１の実施の形態］
　図１は、第１の実施の形態のネットワーク伝送装置を示す図である。第１の実施の形態のネットワーク伝送装置１０は、クライアント３から受信したパケットを、ネットワーク４，５に転送する通信装置である。
　ネットワーク伝送装置１０は、例えば、クライアント３の属するＬＡＮからネットワーク４への出口に位置するルータである。ネットワーク伝送装置１０は、レイヤ３（例えば、ＩＰ層）以下またはレイヤ４（例えば、ＴＣＰ（Transmission Control Protocol）層）以下のプロトコル処理を行い、レイヤ７（アプリケーション層）のプロトコル処理を行わないルータでもよい。
　クライアント３は、例えば、ユーザが使用する端末装置としてのコンピュータである。ネットワーク４は、例えば、インターネットなどの広域ネットワークである。ネットワーク５は、例えば、ファイアウォールを備えるＬＡＮやイントラネットである。ネットワーク伝送装置１０とネットワーク５は、ネットワーク４に形成したＶＰＮを介して接続されてもよい。例えば、クライアント３が送信したパケットが、ネットワーク５を迂回してネットワーク４に直接転送されるか、または、ネットワーク５を経由してネットワーク４に転送される。
　ネットワーク伝送装置１０は、記憶部１１、制御部１２および送信部１３を有する。
　記憶部１１は、ルーティングテーブル１１ａを記憶する。記憶部１１は、ＲＡＭ（Random Access Memory）などの揮発性記憶装置でもよいし、フラッシュメモリなどの不揮発性記憶装置でもよい。ルーティングテーブル１１ａは、パケットの宛先アドレス（後述する第２の形式のアドレス）に基づいて当該パケットをネットワーク４，５の何れに転送するか判断するときに参照される。ルーティングテーブル１１ａには、ネットワーク４に転送されるパケットの宛先アドレスを記載してもよいし（ホワイトリスト方式）、ネットワーク５に転送されるパケットの宛先アドレスを記載してもよい（ブラックリスト方式）。
　制御部１２は、ＤＮＳなどのアドレス解決システムを利用したアドレス解決を処理し、アドレス解決の結果を用いてルーティングテーブル１１ａを設定する。制御部１２は、ＣＰＵ（Central Processing Unit）などのプロセッサとプログラムを記憶するメモリとを用いて実装してもよいし、ハードウェアロジックとして実装してもよい。
　制御部１２は、クライアント３から、第１の形式のアドレス（例えば、ドメイン名を含むホスト名）が指定されたアドレス解決の問い合わせを取得する。第１の形式のアドレスは、例えば、クライアント３で実行されるＷｅｂブラウザから入力される。制御部１２は、アドレス解決の問い合わせで指定された第１の形式のアドレスが、ネットワーク４へ直接ルーティングしてよい（例えば、ネットワーク５を経由しなくてよい）アドレスか判断する。直接ルーティングが可能なアドレスは、例えば、信頼できるサービスを示すアドレスである。直接ルーティングの可否は、予め用意された信頼できる第１の形式のアドレスのリストを参照して判断してもよいし（ホワイトリスト方式）、予め用意された信頼できない第１の形式のアドレスのリストを参照して判断してもよい（ブラックリスト方式）。
　制御部１２は、ネットワーク４への直接ルーティングが可能と判断した場合はネットワーク４に問い合わせ、ネットワーク４への直接ルーティングが可能と判断しなかった場合はネットワーク５に問い合わせることで、第１の形式のアドレスに対応する第２の形式のアドレス（例えば、ＩＰアドレス）を取得する。制御部１２は、第２の形式のアドレスを含むアドレス回答をクライアント３に転送するよう制御する。アドレス回答を受信したクライアント３は、以降、第２の形式のアドレスを宛先アドレスとして用いてパケットを送信することができる。
　このとき、制御部１２は、ネットワーク４への問い合わせによって取得した第２の形式のアドレスを、信頼できる通信相手のアドレスと判定し、ネットワーク５への問い合わせによって取得した第２の形式のアドレスを、信頼できる通信相手でないアドレスと判定する。そして、制御部１２は、判定結果に基づいて、ルーティングテーブル１１ａを設定する。例えば、ルーティングテーブル１１ａがホワイトリスト方式である場合、制御部１２は、信頼できる通信相手の第２の形式のアドレス（ネットワーク４から取得した第２の形式のアドレス）を、ルーティングテーブル１１ａに登録する。
　送信部１３は、記憶部１１に記憶されたルーティングテーブル１１ａと、各パケットに宛先アドレスとして含まれる第２の形式のアドレスとに応じて、クライアント３から受信する各パケットを転送する。送信部１３は、信頼できる通信相手と判定された第２の形式のアドレス（ネットワーク４に問い合わせて取得した第２の形式のアドレス）を含むパケットをネットワーク４に転送する。一方、送信部１３は、信頼できる通信相手と判定されなかった第２の形式のアドレス（ネットワーク５に問い合わせて取得した第２の形式のアドレス）を含むパケットをネットワーク５に転送する。
　例えば、信頼できる通信相手宛てのパケットは、ネットワーク５を迂回してネットワーク４に転送され、信頼できる通信相手宛てでないパケットは、ネットワーク５を経由してネットワーク４に転送される。ネットワーク５では、例えば、ファイアウォールによりパケットの内容が検査され、不適切な内容のパケットが遮断される。ネットワーク伝送装置１０とネットワーク５とが仮想ネットワーク技術を用いて接続されている場合、例えば、ネットワーク伝送装置１０は、信頼できる通信相手宛てのパケットをカプセル化せずにネットワーク４に転送し、信頼できる通信相手宛てでないパケットをカプセル化してネットワーク５に転送する。
　第１の実施の形態のネットワーク伝送装置１０によれば、サービスの信頼性に応じてパケットの転送経路を変えることが容易になる。ネットワーク伝送装置１０では、高レイヤの第１の形式のアドレスを用いて、ネットワーク４への直接ルーティングを許容するサービスを指定することができる。よって、低レイヤの第２の形式のアドレスのみを用いる場合と異なり、クライアント３からのアクセスを動的にキャッシュサーバに誘導するサービスに対しても有効となる。
　また、ネットワーク伝送装置１０は、各パケットに対してレイヤ７のＨＴＴＰ処理などの高レイヤのプロトコル処理を行わなくてよく、レイヤ３以下またはレイヤ４以下のプロトコル処理のみ行うものであってもよい。よって、ネットワーク伝送装置１０のプロトコル処理の負荷を軽減でき、また、ネットワーク伝送装置１０として高コストな通信装置を使用しなくてもよい。
　また、クライアント３からネットワーク４へのパケットのうち、信頼できる通信相手宛てのパケットはネットワーク５に設けたファイアウォールを迂回し、それ以外のパケットはファイアウォールを通過するよう、ネットワーク伝送装置１０を運用することもできる。この場合、クライアント３からネットワーク４への全てのパケットをファイアウォールに転送する場合と比べて、ファイアウォールの負荷を軽減することができる。
　［第２の実施の形態］
　次に、第２の実施の形態を説明する。第１の実施の形態との差異を中心に説明し、第１の実施の形態と同様の事項については説明を省略する。
　図２は、第２の実施の形態のネットワーク伝送装置を示す図である。第２の実施の形態のネットワーク伝送装置２０は、記憶部２１、制御部２２および送信部２３を有する。記憶部２１、制御部２２および送信部２３は、それぞれ前述の記憶部１１、制御部１２および送信部１３に対応する。
　記憶部２１は、ルーティングテーブル２１ａを記憶する。
　制御部２２は、クライアント３が送信したアドレス解決の問い合わせを、ネットワーク４またはネットワーク５（好ましくは、ネットワーク５）に転送するよう制御する。また、制御部２２は、アドレス解決の問い合わせに対応するアドレス回答を、クライアント３に転送するよう制御する。アドレス回答には、クライアント３が指定した第１の形式のアドレス（例えば、ドメイン名を含むホスト名）と、問い合わせに対する回答である第２の形式のアドレス（例えば、ＩＰアドレス）とが含まれている。
　制御部２２は、アドレス回答に含まれる第１の形式のアドレスが、ネットワーク４へ直接ルーティングしてよい（例えば、ネットワーク５を経由しなくてよい）アドレスか判断する。直接ルーティングが可能なアドレスは、例えば、信頼できるサービスを示すアドレスである。直接ルーティングの可否は、予め用意された第１の形式のアドレスに関するホワイトリストまたはブラックリストを参照して判断してもよい。制御部２２は、ネットワーク４への直接ルーティングが可能と判断した場合は、アドレス回答に含まれる第２の形式のアドレスを信頼できる通信相手のアドレスと判定し、ネットワーク４への直接ルーティングが可能と判断しなかった場合は、第２の形式のアドレスを信頼できる通信相手でないアドレスと判定する。
　そして、制御部２２は、判定結果に基づいてルーティングテーブル２１ａを設定する。例えば、ルーティングテーブル２１ａがホワイトリスト方式の場合、制御部２２は、信頼できる通信相手の第２の形式のアドレス（直接ルーティングが可能と判断した第１の形式のアドレスに対応するもの）を、ルーティングテーブル２１ａに登録する。
　送信部２３は、記憶部２１に記憶されたルーティングテーブル２１ａと、各パケットに宛先アドレスとして含まれる第２の形式のアドレスとに応じて、クライアント３から受信する各パケットを転送する。送信部２３は、信頼できる通信相手と判定された第２の形式のアドレス（直接ルーティングが可能と判断した第１の形式のアドレスに対応するもの）を含むパケットをネットワーク４に転送する。一方、送信部２３は、信頼できる通信相手と判定されなかった第２の形式のアドレス（直接ルーティングが可能と判断しなかった第１の形式のアドレスに対応するもの）を含むパケットをネットワーク５に転送する。
　第２の実施の形態のネットワーク伝送装置２０によれば、第１の実施の形態と同様、サービスの信頼性に応じてパケットの転送経路を変えることが容易になる。すなわち、ネットワーク伝送装置２０は、クライアント３からのアクセスを動的にキャッシュサーバに誘導するサービスに対しても有効となる。また、ネットワーク伝送装置２０のプロトコル処理の負荷を軽減でき、また、ネットワーク伝送装置２０として高コストな通信装置を使用しなくてもよい。また、信頼できる通信相手宛てのパケットはネットワーク５に設けたファイアウォールを迂回し、それ以外のパケットはファイアウォールを通過するよう、ネットワーク伝送装置２０を運用することもできる。
　［第３の実施の形態］
　図３は、第３の実施の形態の通信システムを示す図である。第３の実施の形態は、本社と支社を含む企業のイントラネットが、インターネットに接続されている例を考える。
　第３の実施の形態の通信システムは、支社ＬＡＮ３１、本社ＬＡＮ３２およびインターネット３３を含む。支社ＬＡＮ３１と本社ＬＡＮ３２は、それぞれインターネット３３に接続されている。支社ＬＡＮ３１は、クライアント４１，４２およびルータ１００を備える。本社ＬＡＮ３２は、クライアント４３、ファイルサーバ４４、ファイアウォール５１およびＤＮＳサーバ５２を備える。インターネット３３は、ＤＮＳサーバ５３，５４、Ｗｅｂサーバ６１，６２およびキャッシュサーバ６３，６４を備える。
　クライアント４１，４２，４３は、ユーザが使用する端末装置としてのコンピュータである。クライアント４１，４２，４３は、Ｗｅｂブラウザを用いて、インターネット３３のＷｅｂサーバ６１，６２やキャッシュサーバ６３，６４にアクセスできる。また、クライアント４１，４２は、インターネット３３経由でファイルサーバ４４にアクセスでき、クライアント４３はファイルサーバ４４にアクセスできる。ファイルサーバ４４は、本社や支社の業務に使用されるファイルを保持するサーバコンピュータである。
　ファイアウォール５１は、支社ＬＡＮ３１および本社ＬＡＮ３２を含むイントラネットとインターネット３３の間の通信を監視する通信装置である。ファイアウォール５１は、例えば、アプリケーション層のプロトコル処理を行い、ウィルスや機密情報などの不正な内容を含む通信を検出する。ファイアウォール５１は、プロキシサーバと呼ばれるものであってもよい。ここで、支社ＬＡＮ３１と本社ＬＡＮ３２とは、インターネット３３上に形成したＶＰＮ（いわゆるインターネットＶＰＮ）で接続されている。後述するように、支社ＬＡＮ３１とインターネット３３との間のパケットは、所定の信頼できるサービスに関するパケットを除いて、本社ＬＡＮ３２のファイアウォール５１を経由する。
　ＤＮＳサーバ５２，５３，５４は、ホスト名とＩＰアドレスとの対応関係を管理するサーバコンピュータである。ＤＮＳサーバ５２，５３，５４は、完全修飾ドメイン名（ＦＱＤＮ：Full Qualified Domain Name）を含むＤＮＳ要求（リクエスト）を受信し、ＦＱＤＮに対応するＩＰアドレスを含むＤＮＳ応答（レスポンス）を返信する。ＦＱＤＮは、ドメイン名を含むホスト名である。ＤＮＳサーバ５２，５３，５４は、指定されたＦＱＤＮのアドレス解決を担当していない場合、他のＤＮＳサーバに問い合わせる。例えば、ＤＮＳサーバ５２は、クライアント４１からＷｅｂサーバ６２のＩＰアドレスの問い合わせを受けたとき、ＤＮＳサーバ５４に問い合わせることがある。なお、ＤＮＳサーバ５３は支社ＬＡＮ３１の近くに位置し、ＤＮＳサーバ５４は本社ＬＡＮ３２の近くに位置する。
　Ｗｅｂサーバ６１，６２は、検索サービスやソフトウェア更新サービスなどのサービスを提供するサーバコンピュータである。Ｗｅｂサーバ６１，６２は、例えば、クライアント４１，４２，４３からのＨＴＴＰアクセスに応じて、ＨＴＭＬ（HyperText Markup Language）文書やソフトウェアプログラムなどのファイルを送信する。キャッシュサーバ６３，６４は、Ｗｅｂサーバ６１に記憶されたファイルの複製を保持するサーバコンピュータである。クライアント４１，４２，４３からＷｅｂサーバ６１へのアクセスが、キャッシュサーバ６３，６４に誘導されることがある。なお、キャッシュサーバ６３は支社ＬＡＮ３１の近くに位置し、キャッシュサーバ６４は本社ＬＡＮ３２の近くに位置する。
　Ｗｅｂサーバ６１，６２およびキャッシュサーバ６３，６４には、互いに異なるＦＱＤＮとＩＰアドレスが付与される。Ｗｅｂサーバ６１を用いてサービスを提供する事業者とキャッシュサーバ６３，６４を運用する事業者とは、異なっていてもよい。よって、Ｗｅｂサーバ６１のＦＱＤＮに含まれるドメイン名とキャッシュサーバ６３，６４のＦＱＤＮに含まれるドメイン名とは、異なることがある。ここで、Ｗｅｂサーバ６１に対するアクセスを、以下のような方法で、キャッシュサーバ６３，６４に誘導することができる。
　Ｗｅｂサーバ６１を担当するＤＮＳサーバに、Ｗｅｂサーバ６１のＦＱＤＮの別名（ＣＮＡＭＥ）として、キャッシュサーバ６３，６４のドメイン名を登録しておく。Ｗｅｂサーバ６１を担当するＤＮＳサーバは、Ｗｅｂサーバ６１のＦＱＤＮを含むＤＮＳ要求を受信すると、別名として自ドメインでないドメイン名が登録されているため、キャッシュサーバ６３，６４を担当するＤＮＳサーバにＤＮＳ要求を転送する。キャッシュサーバ６３，６４を担当するＤＮＳサーバは、ＤＮＳ要求の送信元のＩＰアドレスを用いて送信元に物理的に近いキャッシュサーバを検索し、キャッシュサーバのＩＰアドレスを返信する。
　クライアント４１，４２，４３には、Ｗｅｂサーバ６１のＦＱＤＮに対応するＩＰアドレスとして、各クライアントに近いキャッシュサーバのＩＰアドレスが通知される。クライアント４１，４２，４３は、以降、Ｗｅｂサーバ６１に代えて、各クライアントに近いキャッシュサーバにアクセスすることになる。これにより、Ｗｅｂサーバ６１およびキャッシュサーバ６３，６４の負荷を分散させることができる。
　なお、このようなキャッシュサービスの一例として、Ａｋａｍａｉが挙げられる。キャッシュサービスは、次の文献にも記載されている。ホワイトペーパ「アカマイのアプリケーション高速化サービス：インターネットをビジネス対応アプリケーション・デリバリー・プラットフォームに変える」，Akamai Technologies，２００９年。ホワイトペーパ「アカマイによるウェブインフラの効率性向上　オンラインチャンネル戦略」，Akamai Technologies，２００９年。米国特許第６１０８７０３号明細書および第６５５３４１３号明細書。
　ルータ１００は、支社ＬＡＮ３１とインターネット３３との境界に位置し、本社ＬＡＮ３２およびインターネット３３と通信を行う。ルータ１００は、各パケットに対し、ＩＰ層以下またはＴＣＰ層以下のプロトコル処理を行えばよく、アプリケーション層のプロトコル処理を行わなくてよい。また、ルータ１００は、ファイアウォール機能を備えていなくてよい。ルータ１００は、クライアント４１，４２からインターネット３３へ送信されるパケットのうち、所定の信頼できるサービスに関するパケットを、ファイアウォール５１を迂回して直接インターネット３３に転送する。一方、ルータ１００は、それ以外のパケットを、インターネットＶＰＮを用いてファイアウォール５１に転送する。
　本社ＬＡＮ３２側では、ファイアウォール５１がＶＰＮを終端してもよいし、他の通信装置がＶＰＮを終端してもよい。本社ＬＡＮ３２と支社ＬＡＮ３１との間の通信は、ファイアウォール５１を経由するようにしてもよいし、経由しないようにしてもよい。
　なお、第３の実施の形態において、本社ＬＡＮ３２は、第１の実施の形態のネットワーク５の一例であり、インターネット３３は、第１の実施の形態のネットワーク４の一例である。また、ルータ１００は、第１の実施の形態のネットワーク伝送装置１０の一例であり、クライアント４１，４２は、第１の実施の形態のクライアント３の一例である。
　図４は、ルータのハードウェア例を示すブロック図である。ルータ１００は、ＣＰＵ１０１、ＲＡＭ１０２、メモリ１０３、管理インタフェース１０４、ＬＡＮインタフェース１０５およびＷＡＮ（Wide Area Network）インタフェース１０６を有する。
　ＣＰＵ１０１は、プログラムに従ってパケットを処理するプロセッサである。ＣＰＵ１０１は、メモリ１０３からプログラムや制御用データを読み出してＲＡＭ１０２に展開する。ＲＡＭ１０２は、ＣＰＵ１０１が使用するプログラムや制御用データの一部または全部を一時的に記憶する揮発性メモリである。メモリ１０３は、プログラムや制御用データを記憶する不揮発性メモリであり、例えば、フラッシュメモリである。なお、ルータ１００は、ＲＡＭ１０２やメモリ１０３に代えて、他の種類の記憶装置を備えていてもよい。
　管理インタフェース１０４は、管理用のクライアントと接続できる管理ポートを備える通信インタフェースである。ＬＡＮインタフェース１０５は、支社ＬＡＮ３１の他の通信装置（例えば、レイヤ２スイッチ）と接続できるＬＡＮポートを備える通信インタフェースである。ＷＡＮインタフェース１０６は、インターネット３３と接続できるＷＡＮポートを備える通信インタフェースである。ＬＡＮインタフェース１０５およびＷＡＮインタフェース１０６は、ＣＰＵ１０１の制御に従って、パケットを転送する。
　なお、第３の実施の形態では、ルーティングを含むＩＰ層のプロトコル処理をソフトウェアで実行することとしたが、ハードウェアで実行してもよい。以下に説明するルータ１００の機能の少なくとも一部を、ハードウェアロジックとして実装することもできる。
　図５は、第３の実施の形態のソフトウェア構成例を示すブロック図である。ルータ１００は、ＦＱＤＮリスト記憶部１１０、管理部１２０、ＤＮＳ処理部１３０、ＩＰアドレス抽出部１４０、ルーティングテーブル記憶部１５０およびルーティング部１６０を有する。ＦＱＤＮリスト記憶部１１０およびルーティングテーブル記憶部１５０は、ＲＡＭ１０２またはメモリ１０３上に確保する記憶領域として実装できる。管理部１２０、ＤＮＳ処理部１３０、ＩＰアドレス抽出部１４０およびルーティング部１６０は、ＣＰＵ１０１が実行するプログラムのモジュールとして実装できる。
　ＦＱＤＮリスト記憶部１１０は、ＦＱＤＮリストを記憶する。ＦＱＤＮリストは、信頼できるサービスを、ＦＱＤＮを用いて指定したホワイトリストである。ＦＱＤＮリストでは、ＦＱＤＮを指定するにあたって、ワイルドカード（＊）を使用してもよい。例えば、ＦＱＤＮリストに“＊．ａａａ．ｂｂｂ”と記載されている場合、“ｗｗｗ．ａａａ．ｂｂｂ”はＦＱＤＮリストに登録されているＦＱＤＮと判断される。
　管理部１２０は、管理者の使用するクライアントから入力されるコマンドに応じて、ルータ１００の設定を変更する。コマンドは、管理インタフェース１０４またはＬＡＮインタフェース１０５から入力される。管理部１２０は、ＦＱＤＮリストにＦＱＤＮを追加するコマンドやＦＱＤＮリストからＦＱＤＮを削除するコマンドを受け付け、ＦＱＤＮリスト記憶部１１０に記憶されたＦＱＤＮリストを更新する。
　ＤＮＳ処理部１３０は、クライアント４１，４２とＤＮＳサーバ５２，５３，５４の間で、ＤＮＳ要求やＤＮＳ応答を転送するＤＮＳリレー機能を実現する。ＤＮＳリレー機能により、ルータ１００は、クライアント４１，４２からＤＮＳサーバとして認識される。ＤＮＳ処理部１３０は、リクエスト受付部１３１、転送先判定部１３２、インターネット転送部１３３およびイントラネット転送部１３４を有する。
　リクエスト受付部１３１は、クライアント４１，４２からＤＮＳ要求を受け付け、インターネット３３または本社ＬＡＮ３２から取得したＤＮＳ応答を返信する。転送先判定部１３２は、ＤＮＳ要求に含まれるＦＱＤＮが、ＦＱＤＮリスト記憶部１１０に記憶されたＦＱＤＮリストに登録されたものか、すなわち、信頼できるサービスのＦＱＤＮであるか判断する。転送先判定部１３２は、登録されたＦＱＤＮである場合、インターネット３３に転送すると判定し、それ以外の場合、本社ＬＡＮ３２に転送すると判定する。
　インターネット転送部１３３は、転送先判定部１３２の判定結果に従って、ＤＮＳ要求をインターネット３３のＤＮＳサーバ（例えば、ＤＮＳサーバ５３）に転送し、当該ＤＮＳサーバからＤＮＳ応答を取得する。また、インターネット転送部１３３は、ＤＮＳ応答をＩＰアドレス抽出部１４０に出力する。イントラネット転送部１３４は、転送先判定部１３２の判定結果に従って、ＤＮＳ要求を本社ＬＡＮ３２のＤＮＳサーバ５２に転送し、ＤＮＳサーバ５２からＤＮＳ応答を取得する。
　ＩＰアドレス抽出部１４０は、インターネット３３および本社ＬＡＮ３２のうちインターネット３３から取得したＤＮＳ応答のみ、ＤＮＳ処理部１３０から取得する。ＩＰアドレス抽出部１４０は、問い合わせへの回答であるＩＰアドレスをＤＮＳ応答から抽出し、抽出したＩＰアドレスを、信頼できる通信相手のＩＰアドレスとしてルーティングテーブル記憶部１５０に記憶されたルーティングテーブルに書き込む。
　ルーティングテーブル記憶部１５０は、ルーティングテーブルを記憶する。ルーティングテーブルは、支社ＬＡＮ３１および本社ＬＡＮ３２の外で使用されるＩＰアドレスのうち、信頼できる通信相手のＩＰアドレスを指定したホワイトリストである。なお、第３の実施の形態では、ＦＱＤＮリストおよびルーティングテーブルを、ホワイトリストと定義したが、信頼できないアドレスを記載するブラックリストとしてもよい。
　ルーティング部１６０は、パケットに宛先アドレスとして含まれるＩＰアドレスに基づいて、各パケットのルーティングを行う。ルーティング部１６０は、クライアント４１，４２からインターネット３３へ伝送されるパケットの転送先を判定するとき、ルーティングテーブル記憶部１５０に記憶されたルーティングテーブルを参照する。ルーティング部１６０は、ルーティングテーブルに登録されたＩＰアドレス（信頼できる通信相手）宛てのパケットを、インターネット３３に直接転送する。一方、ルーティング部１６０は、ルーティングテーブルに登録されていないＩＰアドレス（信頼できる通信相手でないもの）宛てのパケットを、インターネットＶＰＮを用いて本社ＬＡＮ３２に転送する。
　なお、インターネット３３からクライアント４１，４２へ返信されるパケットの転送経路（復路）は、原則として、クライアント４１，４２からインターネット３３へのパケットの転送経路（往路）と同じになる。ルーティング部１６０は、本社ＬＡＮ３２に送信するパケットは、インターネットＶＰＮのカプセル化を行い、また、本社ＬＡＮ３２から取得するパケットは、インターネットＶＰＮのデカプセル化（カプセル化の解除）を行う。すなわち、ルーティング部１６０は、インターネットＶＰＮを終端する。
　図６は、ＤＮＳパケットのフォーマット例を示す図である。ＤＮＳパケットは、ＩＰヘッダ、ＵＤＰ（User Datagram Protocol）ヘッダ、ＤＮＳヘッダおよび本文を含む。ＤＮＳ要求としてのＤＮＳパケットの本文は、質問（Query）セクションを含む。ＤＮＳ応答としてのＤＮＳパケットの本文は、質問セクション、回答（Answer）セクション、権限（Authority）セクションおよび追加（Additional）セクションを含む。
　ＤＮＳヘッダは、ＩＤ（Identifier）、フラグ、質問レコード数、回答レコード数、権限レコード数および追加レコード数を含む。ＩＤは、ＤＮＳトランザクションを識別するための１６ビット（２バイト）の識別子であり、ＤＮＳ要求とそれに対応するＤＮＳ応答とで同じ値が用いられる。フラグは、ＤＮＳ要求かＤＮＳ応答かを区別するためのビットを含む制御用ビットの集合である。質問レコード数は、質問セクションに含まれるレコードの数を示す。回答レコード数は、回答セクションに含まれるレコードの数を示す。権限レコード数は、権限セクションに含まれるレコードの数を示す。追加レコード数は、追加セクションに含まれるレコードの数を示す。
　質問セクションの各レコードは、ホスト名、タイプおよびクラスを含む。ホスト名は、問い合わせ対象のＦＱＤＮである。タイプは、回答としてどのような情報が要求されているかを示す。ＦＱＤＮが示す装置のＩＰアドレスを問い合わせる正引き問い合わせでは、タイプ＝“Ａ”が指定される。クラスは、インターネットを示す“ＩＮ”が指定される。
　回答セクションの各レコードは、ホスト名、タイプ、クラス、有効時間（ＴＴＬ：Time To Live）、データ長およびアドレスを含む。ホスト名は、回答セクションのアドレスをもつ装置のＦＱＤＮである。キャッシュサーバ６３，６４のＩＰアドレスが回答される場合など、質問セクションのホスト名と回答セクションのホスト名とが一致しない場合がある。タイプおよびクラスの意味は、質問セクションと同様である。ＴＴＬは、アドレス解決の結果の有効時間であり、有効時間が経過するまではアドレス解決の結果をキャッシュしておくことが許容される。データ長は、アドレスの欄のバイト数を示す。アドレスは、問い合わせに対する回答であり、例えば、ＩＰアドレスである。
　権限セクションのレコードは、回答セクションのホスト名を管理する権限のあるＤＮＳサーバのＦＱＤＮを含む。追加セクションのレコードは、上記以外の追加情報を含み、例えば、権限セクションに記載されたＤＮＳサーバのＩＰアドレスを含む。
　図７は、第３の実施の形態のルータ制御を示すフローチャートである。ここでは、クライアント４１がＤＮＳ要求を送信した場合を考える。
　（ステップＳ１１）リクエスト受付部１３１は、ＤＮＳ要求を受け付ける。
　（ステップＳ１２）転送先判定部１３２は、ＤＮＳ要求からＦＱＤＮを抽出し、抽出したＦＱＤＮとＦＱＤＮリスト記憶部１１０に記憶されたＦＱＤＮリストとを照合する。転送先判定部１３２は、ＤＮＳ要求から抽出したＦＱＤＮがＦＱＤＮリストにマッチするか（ＦＱＤＮリストに登録されているものか）判断する。マッチする場合、信頼できるサービスのＦＱＤＮであると判断し、処理をステップＳ１３に進める。マッチしない場合、信頼できるサービスのＦＱＤＮではないと判断し、処理をステップＳ１７に進める。
　（ステップＳ１３）インターネット転送部１３３は、ＤＮＳ要求をインターネット３３のＤＮＳサーバ（例えば、ＤＮＳサーバ５３）に転送する。
　（ステップＳ１４）インターネット転送部１３３は、ＤＮＳ要求に対応するＤＮＳ応答を、インターネット３３のＤＮＳサーバ（例えば、ＤＮＳサーバ５３）から取得する。
　（ステップＳ１５）ＩＰアドレス抽出部１４０は、ＤＮＳ応答からＩＰアドレスを抽出し、信頼できる通信相手のＩＰアドレスであると判断する。
　（ステップＳ１６）ＩＰアドレス抽出部１４０は、ルーティングテーブル記憶部１５０に記憶されたルーティングテーブルに、抽出したＩＰアドレスを登録する。そして、処理をステップＳ１９に進める。なお、利用するキャッシュサーバが変わる場合など、サービスとＩＰアドレスの対応関係が変化する場合を考慮して、登録してから一定時間経過したＩＰアドレスは、ルーティングテーブルから削除するようにしてもよい。
　（ステップＳ１７）イントラネット転送部１３４は、ＤＮＳ要求を本社ＬＡＮ３２のＤＮＳサーバ５２に転送する。ＤＮＳ要求としてのＤＮＳパケットは、ルータ１００と本社ＬＡＮ３２との間で、インターネットＶＰＮ用にカプセル化されて伝送される。
　（ステップＳ１８）イントラネット転送部１３４は、ＤＮＳ要求に対応するＤＮＳ応答を、本社ＬＡＮ３２のＤＮＳサーバ５２から取得する。ＤＮＳ応答としてのＤＮＳパケットは、ＤＮＳ要求と同様、インターネットＶＰＮ用にカプセル化されて伝送される。なお、本社ＬＡＮ３２から取得したＤＮＳ応答に含まれるＩＰアドレスは、信頼できる通信相手のＩＰアドレスではないと判断され、ルーティングテーブルに登録されない。
　（ステップＳ１９）リクエスト受付部１３１は、インターネット３３または本社ＬＡＮ３２から取得したＤＮＳ応答を、ＤＮＳ要求を送信したクライアント４１に転送する。なお、インターネット３３にＤＮＳ要求を転送したとき、上記のステップＳ１５，Ｓ１６の処理とステップＳ１９の処理とは、並列に実行してもよいし、逆順に実行してもよい。
　図８は、第３の実施の形態のＤＮＳ処理例を示す図である。ここでは、クライアント４１がＤＮＳによりアドレス解決を行うとき（ＤＮＳフェーズ）を考える。また、ルータ１００のＦＱＤＮリスト１１１に、“＊．ａａａ．ｂｂｂ”が登録されているとする。
　クライアント４１が“ｗｗｗ．ａａａ．ｂｂｂ”を指定したＤＮＳ要求を送信すると、ルータ１００は、指定されたＦＱＤＮがＦＱＤＮリスト１１１に登録されていることを確認する。すると、ルータ１００は、当該ＦＱＤＮを信頼できると判断し、ＤＮＳ要求をインターネット３３のＤＮＳサーバ５３に転送する。ルータ１００は、ＤＮＳサーバ５３から“６５．ｘｘｘ．ｘｘｘ．１３０”を含むＤＮＳ応答を受信すると、当該ＩＰアドレスを信頼できると判定し、ルーティングテーブル１５１に登録する。また、ルータ１００は、受信したＤＮＳ応答をクライアント４１に転送する。
　クライアント４１が“ｗｗｗ．ｃｃｃ．ｄｄｄ”を指定したＤＮＳ要求を送信すると、ルータ１００は、指定されたＦＱＤＮがＦＱＤＮリスト１１１に登録されていないことを確認する。すると、ルータ１００は、指定されたＦＱＤＮを信頼できないと判断し、ＤＮＳ要求を本社ＬＡＮ３２のＤＮＳサーバ５２に転送する。ＤＮＳサーバ５２は、例えば、インターネット３３のＤＮＳサーバ５４に問い合わせて、ＩＰアドレスを検索する。ルータ１００は、ＤＮＳサーバ５２から“７４．ｘｘｘ．ｘｘｘ．１７２”を含むＤＮＳ応答を受信し、受信したＤＮＳ応答をクライアント４１に転送する。このとき、当該ＩＰアドレスは信頼できないと判定され、ルーティングテーブル１５１に登録されない。
　図９は、第３の実施の形態のパケット転送例を示す図である。ここでは、クライアント４１が上記のアドレス解決の結果を用いて、インターネット３３に対してパケットを送信するとき（パケット転送フェーズ）を考える。また、ルータ１００のルーティングテーブル１５１には、“６５．ｘｘｘ．ｘｘｘ．１３０”が登録されているとする。
　クライアント４１が“６５．ｘｘｘ．ｘｘｘ．１３０”を宛先に指定したパケットを送信すると、ルータ１００は、宛先のＩＰアドレスがルーティングテーブル１５１に登録されていることを確認する。すると、ルータ１００は、当該ＩＰアドレスを信頼できると判断し、パケットを、ファイアウォール５１を迂回するようにインターネット３３に直接転送する。パケットは、例えば、宛先であるキャッシュサーバ６３に転送される。
　クライアント４１が“７４．ｘｘｘ．ｘｘｘ．１７２”を宛先に指定したパケットを送信すると、ルータ１００は、宛先のＩＰアドレスがルーティングテーブル１５１に登録されていないことを確認する。すると、ルータ１００は、当該ＩＰアドレスを信頼できないと判断し、パケットを、インターネットＶＰＮ用にカプセル化して（インターネット３３を経由して）本社ＬＡＮ３２のファイアウォール５１に転送する。パケットは、例えば、ファイアウォール５１で検査された後、宛先であるＷｅｂサーバ６２に転送される。
　図１０は、第３の実施の形態の通信シーケンス例を示す第１の図である。ここでは、Ｗｅｂサーバ６１により提供されるサービスが信頼できるサービスに指定されており、クライアント４１が当該サービスを利用する場合を考える。ただし、クライアント４１からのアクセスは、支社ＬＡＮ３１に近いキャッシュサーバ６３に誘導される。
　クライアント４１がＷｅｂサーバ６１のＦＱＤＮを指定したＤＮＳ要求を送信すると、当該ＤＮＳ要求は、本社ＬＡＮ３２を迂回して、支社ＬＡＮ３１に近いＤＮＳサーバ５３に転送される。前述のようなキャッシュサービスの方法を用いて、ＤＮＳサーバ５３は、支社ＬＡＮ３１に近いキャッシュサーバ６３のＩＰアドレスを検索し、当該ＩＰアドレスを含むＤＮＳ応答をクライアント４１に返信する。
　クライアント４１は、キャッシュサーバ６３のＩＰアドレスを、ＤＮＳ要求で指定したＦＱＤＮに対応するＩＰアドレスであると認識し、当該ＩＰアドレスを宛先アドレスとして含むパケットを送信する。クライアント４１が送信するこのパケットは、本社ＬＡＮ３２を迂回して、キャッシュサーバ６３に転送される。
　図１１は、第３の実施の形態の通信シーケンス例を示す第２の図である。ここでは、Ｗｅｂサーバ６２により提供されるサービスが信頼できるサービスに指定されておらず、クライアント４１が当該サービスを利用する場合を考える。ただし、Ｗｅｂサーバ６２へのアクセスは、ファイアウォール５１で遮断されないものとする。
　クライアント４１がＷｅｂサーバ６２のＦＱＤＮを指定したＤＮＳ要求を送信すると、当該ＤＮＳ要求は、インターネットＶＰＮおよび本社ＬＡＮ３２を経由して、本社ＬＡＮ３２に近いＤＮＳサーバ５４に転送される。ＤＮＳサーバ５４は、Ｗｅｂサーバ６２のＩＰアドレスを検索し、当該ＩＰアドレスを含むＤＮＳ応答を、本社ＬＡＮ３２およびインターネットＶＰＮを経由してクライアント４１に返信する。
　クライアント４１は、ＤＮＳ応答からＷｅｂサーバ６２のＩＰアドレスを抽出し、当該ＩＰアドレスを宛先アドレスとして含むパケットを送信する。クライアント４１が送信するこのパケットは、インターネットＶＰＮおよび本社ＬＡＮ３２のファイアウォール５１を経由して、Ｗｅｂサーバ６２に転送される。
　第３の実施の形態の通信システムによれば、サービスの信頼性に応じてパケットの転送経路を変えることが容易になる。ルータ１００では、ドメイン名を含むホスト名を用いて信頼できるサービスを指定することができる。よって、ＩＰアドレスのみを用いる場合と異なり、クライアント４１，４２のアクセスがキャッシュサーバ６３，６４に誘導され得る場合でも、信頼できるサービスに関するパケットか否か適切に判断できる。
　また、ルータ１００は、各パケットに対してアプリケーション層のプロトコル処理を行わなくてよく、ＩＰ層以下またはＴＣＰ層以下のプロトコル処理のみ行うものであってもよい。よって、ルータ１００のプロトコル処理の負荷を軽減でき、また、ルータ１００として高コストな通信装置を使用しなくてもよい。
　また、クライアント４１，４２からインターネット３３へのパケットのうち、信頼できるサービスのパケットはイントラネットのファイアウォール５１を迂回し、それ以外のパケットはファイアウォール５１を通過するように、転送経路が制御される。よって、クライアント４１，４２からインターネット３３へのパケットの全てをファイアウォール５１に転送する場合と比べて、ファイアウォール５１の負荷を軽減できる。
　［第４の実施の形態］
　次に、第４の実施の形態を説明する。第３の実施の形態との差異を中心に説明し、第３の実施の形態と同様の事項については説明を省略する。第４の実施の形態の通信システムは、図３と同様のシステム構成として実現できる。ただし、第３の実施の形態のルータ１００に代えて、以下に説明するルータ１００ａが用いられる。
　図１２は、第４の実施の形態のソフトウェア構成例を示すブロック図である。ルータ１００ａは、第３の実施の形態のルータ１００のＤＮＳ処理部１３０に代えて、ＤＮＳ処理部１７０を有する。ＤＮＳ処理部１７０は、リクエスト受付部１７１、イントラネット転送部１７２および質問判定部１７３を有する。
　リクエスト受付部１７１は、クライアント４１，４２からＤＮＳ要求を受け付け、本社ＬＡＮ３２から取得したＤＮＳ応答を返信する。イントラネット転送部１７２は、リクエスト受付部１７１で受け付けたＤＮＳ要求を、本社ＬＡＮ３２のＤＮＳサーバ５２に転送し、ＤＮＳ要求に対するＤＮＳ応答をＤＮＳサーバ５２から取得する。
　質問判定部１７３は、イントラネット転送部１７２で取得したＤＮＳ応答から、クライアント４１，４２が指定したＦＱＤＮ（質問セクションのホスト名）を抽出する。質問判定部１７３は、抽出したＦＱＤＮがＦＱＤＮリスト記憶部１１０に記憶されたＦＱＤＮリストに登録されたものか、すなわち、信頼できるサービスのＦＱＤＮであるか判断する。質問判定部１７３は、登録されたＦＱＤＮである場合、ＤＮＳ応答をＩＰアドレス抽出部１４０に出力し、それ以外の場合、ＩＰアドレス抽出部１４０に出力しない。
　なお、第４の実施の形態では、ＤＮＳ要求を本社ＬＡＮ３２のＤＮＳサーバ５２に転送するようにしたが、他の所定のＤＮＳサーバに転送するようにしてもよい。
　図１３は、第４の実施の形態のルータ制御を示すフローチャートである。ここでは、クライアント４１がＤＮＳ要求を送信した場合を考える。
　（ステップＳ２１）リクエスト受付部１７１は、ＤＮＳ要求を受け付ける。
　（ステップＳ２２）イントラネット転送部１７２は、ＤＮＳ要求を本社ＬＡＮ３２のＤＮＳサーバ５２に転送する。ＤＮＳ要求としてのＤＮＳパケットは、ルータ１００と本社ＬＡＮ３２との間で、インターネットＶＰＮ用にカプセル化されて伝送される。
　（ステップＳ２３）イントラネット転送部１７２は、ＤＮＳ要求に対応するＤＮＳ応答を、本社ＬＡＮ３２のＤＮＳサーバ５２から取得する。ＤＮＳ応答としてのＤＮＳパケットは、ＤＮＳ要求と同様、インターネットＶＰＮ用にカプセル化されて伝送される。
　（ステップＳ２４）質問判定部１７３は、ＤＮＳ応答からＦＱＤＮを抽出し、抽出したＦＱＤＮとＦＱＤＮリスト記憶部１１０に記憶されたＦＱＤＮリストとを照合する。質問判定部１７３は、ＤＮＳ応答から抽出したＦＱＤＮがＦＱＤＮリストにマッチするか（ＦＱＤＮリストに登録されているものか）判断する。マッチする場合、信頼できるサービスのＦＱＤＮであると判断し、処理をステップＳ２５に進める。マッチしない場合、信頼できるサービスのＦＱＤＮではないと判断し、処理をステップＳ２７に進める。
　（ステップＳ２５）ＩＰアドレス抽出部１４０は、ＤＮＳ応答からＩＰアドレスを抽出し、信頼できる通信相手のＩＰアドレスであると判断する。
　（ステップＳ２６）ＩＰアドレス抽出部１４０は、ルーティングテーブル記憶部１５０に記憶されたルーティングテーブルに、抽出したＩＰアドレスを登録する。なお、信頼できないＦＱＤＮに対応するＩＰアドレスは、ルーティングテーブルに登録されない。
　（ステップＳ２７）リクエスト受付部１７１は、ＤＮＳ応答を、ＤＮＳ要求を送信したクライアント４１に転送する。なお、上記のステップＳ２４～Ｓ２６の処理とステップＳ２７の処理とは、並列に実行してもよいし、逆順に実行してもよい。
　図１４は、第４の実施の形態のＤＮＳ処理例を示す図である。ここでは、クライアント４１がＤＮＳによりアドレス解決を行うとき（ＤＮＳフェーズ）を考える。また、ルータ１００ａのＦＱＤＮリスト１１１に、“＊．ａａａ．ｂｂｂ”が登録されているとする。
　クライアント４１が“ｗｗｗ．ａａａ．ｂｂｂ”を指定したＤＮＳ要求を送信すると、ルータ１００ａは、ＤＮＳ要求を本社ＬＡＮ３２のＤＮＳサーバ５２に転送する。ルータ１００ａは、ＤＮＳサーバ５２から、ＤＮＳ要求で指定されたＦＱＤＮと“６５．ｘｘｘ．ｘｘｘ．１３１”とを含むＤＮＳ応答を受信し、受信したＤＮＳ応答をクライアント４１に転送する。このとき、ルータ１００ａは、ＤＮＳ応答に含まれるＦＱＤＮがＦＱＤＮリスト１１１に登録されていることを確認し、当該ＦＱＤＮを信頼できると判断する。すると、ルータ１００ａは、ＤＮＳ応答に含まれるＩＰアドレスを信頼できると判定し、当該ＩＰアドレスをルーティングテーブル１５１に登録する。
　クライアント４１が“ｗｗｗ．ｃｃｃ．ｄｄｄ”を指定したＤＮＳ要求を送信すると、ルータ１００ａは、ＤＮＳ要求を本社ＬＡＮ３２のＤＮＳサーバ５２に転送する。ルータ１００ａは、ＤＮＳサーバ５２から、ＤＮＳ要求で指定されたＦＱＤＮと“７４．ｘｘｘ．ｘｘｘ．１７２”とを含むＤＮＳ応答を受信し、受信したＤＮＳ応答をクライアント４１に転送する。このとき、ルータ１００ａは、ＤＮＳ応答に含まれるＦＱＤＮがＦＱＤＮリスト１１１に登録されていないことを確認し、当該ＦＱＤＮを信頼できないと判断する。すると、ルータ１００ａは、ＤＮＳ応答に含まれるＩＰアドレスを信頼できないと判定し、当該ＩＰアドレスをルーティングテーブル１５１に登録しない。
　なお、クライアント４１が上記のアドレス解決の結果を用いてパケットを送信するとき（パケット転送フェーズ）のルーティングは、第３の実施の形態の図９と同様である。
　図１５は、第４の実施の形態の通信シーケンス例を示す図である。ここでは、Ｗｅｂサーバ６１により提供されるサービスが信頼できるサービスに指定されており、クライアント４１が当該サービスを利用する場合を考える。ただし、クライアント４１からのアクセスは、本社ＬＡＮ３２に近いキャッシュサーバ６４に誘導される。
　クライアント４１がＷｅｂサーバ６１のＦＱＤＮを指定したＤＮＳ要求を送信すると、当該ＤＮＳ要求は、インターネットＶＰＮおよび本社ＬＡＮ３２のＤＮＳサーバ５２を経由して、本社ＬＡＮ３２に近いＤＮＳサーバ５４に転送される。前述のようなキャッシュサービスの方法を用いて、ＤＮＳサーバ５４は、本社ＬＡＮ３２に近いキャッシュサーバ６４のＩＰアドレスを検索し、当該ＩＰアドレスを含むＤＮＳ応答を、ＤＮＳサーバ５２およびインターネットＶＰＮを経由してクライアント４１に返信する。
　クライアント４１は、キャッシュサーバ６４のＩＰアドレスを、ＤＮＳ要求で指定したＦＱＤＮに対応するＩＰアドレスであると認識し、当該ＩＰアドレスを宛先アドレスとして含むパケットを送信する。クライアント４１が送信するこのパケットは、本社ＬＡＮ３２を迂回して、キャッシュサーバ６４に転送される。
　第４の実施の形態の通信システムによれば、第３の実施の形態と同様、サービスの信頼性に応じてパケットの転送経路を変えることが容易になる。ルータ１００ａでは、ドメイン名を含むホスト名を用いて信頼できるサービスを指定することができ、信頼できるサービスに関するパケットか否かを適切に判断できる。また、ルータ１００ａは、ルータ１００ａのプロトコル処理の負荷を軽減でき、また、ルータ１００ａとして高コストな通信装置を使用しなくてもよい。また、信頼できるサービスのパケットがファイアウォール５１を迂回するように転送経路を制御でき、ファイアウォール５１の負荷を軽減できる。
　次に、第３および第４の実施の形態と異なる他の通信システムの例を挙げる。
　図１６は、他の通信シーケンス例を示す図である。
　支社ＬＡＮ３１に設けたルータ２１０が、クライアント４１，４２からインターネット３３へのパケットを、宛先アドレスに関係なく全てファイアウォール５１に転送する通信システムが考えられる（Ａ）。この通信システムでは、ルータ２１０の負荷が軽減される一方、本社ＬＡＮ３２のファイアウォール５１の負荷が大きくなってしまう。
　また、支社ＬＡＮ３１に、ファイアウォール５１と同様の機能をもつファイアウォール２２０を設け、クライアント４１，４２からインターネット３３へのパケットを、ファイアウォール５１に転送せずに処理する通信システムも考えられる（Ｂ）。この通信システムでは、ファイアウォール５１の負荷が軽減される一方、支社毎にファイアウォール２２０のような高機能な通信装置を設けることになり、コストの点で不利となる。
　図１７は、他のパケット転送例を示す図である。
　支社ＬＡＮ３１に、レイヤ７のプロトコル処理を行うルータ２３０を設け、ルータ２３０が、ＨＴＴＰセッションなどのレイヤ７のセッションからＦＱＤＮを抽出し、ＦＱＤＮの信頼性に応じてルーティングを行う通信システムが考えられる（Ａ）。この通信システムでは、サービスの信頼性の判断が容易になる一方、ルータ２３０の負荷が大きくなり、また、支社毎に高機能な通信装置を設けることになるためコストの点で不利となる。
　また、支社ＬＡＮ３１に設けたルータ２４０が、各パケットの宛先アドレスであるＩＰアドレスを、ＤＮＳの逆引き問い合わせによってＦＱＤＮに変換し、変換されたＦＱＤＮの信頼性に応じて当該パケットのルーティングを行う通信システムが考えられる（Ｂ）。この通信システムは、ＤＮＳの正引き問い合わせに対しキャッシュサーバのＩＰアドレスが返される場合のように、正引き問い合わせで指定したＦＱＤＮと逆引き問い合わせにより取得されるＦＱＤＮとが一致しない場合、転送経路を適切に制御できない。
　これに対し、第３および第４の実施の形態の通信システムによれば、前述のように、ルータ１００，１００ａがサービスの信頼性に応じてパケットの転送経路を適切に制御できる。また、本社ＬＡＮ３２のファイアウォール５１の負荷を軽減でき、また、ルータ１００，１００ａとして低コストの通信装置を使用できる。
　上記については単に本発明の原理を示すものである。更に、多数の変形や変更が当業者にとって可能であり、本発明は上記に示し、説明した正確な構成および応用例に限定されるものではなく、対応する全ての変形例および均等物は、添付の請求項およびその均等物による本発明の範囲とみなされる。
　３　クライアント
　４，５　ネットワーク
　１０，２０　ネットワーク伝送装置
　１１，２１　記憶部
　１１ａ，２１ａ　ルーティングテーブル
　１２，２２　制御部
　１３，２３　送信部

Claims (9)

  1. 　第１および第２のネットワークに接続されたネットワーク伝送装置におけるルーティング方法であって、
    　クライアントから第１の形式のアドレスにより、アドレス解決の問い合わせを受信したとき、前記第１の形式のアドレスに基づき、前記第１のネットワークへの直接のルーティングの可否を判断し、
    　前記第１のネットワークへの直接のルーティングが可能と判断した場合は、前記第１のネットワークに前記第１の形式のアドレスのアドレス解決を問い合わせ、前記第１のネットワークへの直接のルーティングが可能と判断しなかった場合は、前記第２のネットワークに前記第１の形式のアドレスのアドレス解決を問い合わせ、
    　前記アドレス解決の問い合わせにより前記第１のネットワークまたは前記第２のネットワークより取得した第２の形式のアドレスを含むアドレス回答を、前記クライアントに送信し、
    　前記第１のネットワークに前記アドレス解決を問い合わせた場合は、取得した前記アドレス回答に含まれる前記第２の形式のアドレスを宛先とするパケットは前記第１のネットワークに転送されるようにルーティングテーブルを設定し、
    　前記第２のネットワークに前記アドレス解決を問い合わせた場合は、取得した前記アドレス回答に含まれる前記第２の形式のアドレスを宛先とするパケットは前記第２のネットワークに転送されるように前記ルーティングテーブルを設定する、
    　ルーティング方法。
  2. 　前記クライアントから受信するパケットに宛先として含まれる第２の形式のアドレスと前記ルーティングテーブルとに応じて当該パケットを転送する、請求の範囲第１項記載のルーティング方法。
  3. 　前記第１のネットワークに問い合わせて取得した前記第２の形式のアドレスを宛先とするパケットは、前記第２のネットワークを迂回するように前記第１のネットワークに転送され、前記第２のネットワークに問い合わせて取得した前記第２の形式のアドレスを宛先とするパケットの少なくとも一部は、前記第２のネットワークを経由して前記第１のネットワークに転送される、請求の範囲第１項記載のルーティング方法。
  4. 　前記第２のネットワークへは、前記第１のネットワーク上に形成した仮想ネットワークを経由してパケットを転送する、請求の範囲第１項記載のルーティング方法。
  5. 　１または複数の第１の形式のアドレスを示す情報を記憶する記憶部を参照して、前記アドレス解決の問い合わせで指定された第１の形式のアドレスが前記第１のネットワークへの直接のルーティングが可能なアドレスか判断する、請求の範囲第１項記載のルーティング方法。
  6. 　第１および第２のネットワークに接続されたネットワーク伝送装置におけるルーティング方法であって、
    　アドレス解決の問い合わせを行ったクライアントに転送される、前記クライアントが指定した第１の形式のアドレスと回答である第２の形式のアドレスとを含むアドレス回答を取得し、
    　前記アドレス回答に含まれる前記第１の形式のアドレスに基づき、前記第１のネットワークへの直接のルーティングの可否を判断し、
    　前記第１のネットワークへの直接のルーティングが可能と判断した場合は、前記アドレス回答に含まれる前記第２の形式のアドレスを宛先とするパケットが前記第１のネットワークに転送されるようにルーティングテーブルを設定し、
    　前記第１のネットワークへの直接のルーティングが可能と判断しなかった場合は、前記アドレス回答に含まれる前記第２の形式のアドレスを宛先とするパケットが前記第２のネットワークに転送されるように前記ルーティングテーブルを設定する、
    　ルーティング方法。
  7. 　前記クライアントから受信するパケットに宛先として含まれる第２の形式のアドレスと前記ルーティングテーブルとに応じて当該パケットを転送する、請求の範囲第６項記載のルーティング方法。
  8. 　第１および第２のネットワークに接続可能なネットワーク伝送装置であって、
    　ルーティングテーブルを記憶する記憶部と、
    　クライアントから第１の形式のアドレスによりアドレス解決の問い合わせを受け付けたとき、前記第１の形式のアドレスに基づき前記第１のネットワークへの直接のルーティングの可否を判断し、前記第１のネットワークへの直接のルーティングが可能と判断した場合は前記第１のネットワークに前記第１の形式のアドレスのアドレス解決を問い合わせ、前記第１のネットワークへの直接のルーティングが可能と判断しなかった場合は前記第２のネットワークに前記第１の形式のアドレスのアドレス解決を問い合わせ、前記第１のネットワークまたは前記第２のネットワークから第２の形式のアドレスを含むアドレス回答を取得し、前記第１のネットワークに前記アドレス解決を問い合わせた場合は前記アドレス回答に含まれる前記第２の形式のアドレスを宛先とするパケットは前記第１のネットワークに転送されるようにルーティングテーブルを設定し、前記第２のネットワークに前記アドレス解決を問い合わせた場合は前記アドレス回答に含まれる前記第２の形式のアドレスを宛先とするパケットは前記第２のネットワークに転送されるように前記ルーティングテーブルを設定する制御部と、
    　を有するネットワーク伝送装置。
  9. 　第１および第２のネットワークに接続可能なネットワーク伝送装置であって、
    　ルーティングテーブルを記憶する記憶部と、
    　アドレス解決の問い合わせを行ったクライアントに転送される前記クライアントが指定した第１の形式のアドレスと回答である第２の形式のアドレスとを含むアドレス回答を取得し、前記アドレス回答に含まれる前記第１の形式のアドレスに基づき前記第１のネットワークへの直接のルーティングの可否を判断し、前記第１のネットワークへの直接のルーティングが可能と判断した場合は前記アドレス回答に含まれる前記第２の形式のアドレスを宛先とするパケットが前記第１のネットワークに転送されるようにルーティングテーブルを設定し、前記第１のネットワークへの直接のルーティングが可能と判断しなかった場合は前記アドレス回答に含まれる前記第２の形式のアドレスを宛先とするパケットが前記第２のネットワークに転送されるように前記ルーティングテーブルを設定する制御部と、
    　を有するネットワーク伝送装置。
PCT/JP2011/076116 2011-11-11 2011-11-11 ルーティング方法およびネットワーク伝送装置 WO2013069161A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
PCT/JP2011/076116 WO2013069161A1 (ja) 2011-11-11 2011-11-11 ルーティング方法およびネットワーク伝送装置
JP2013542795A JP5790775B2 (ja) 2011-11-11 2011-11-11 ルーティング方法およびネットワーク伝送装置
US14/244,033 US9313130B2 (en) 2011-11-11 2014-04-03 Routing method and network transmission apparatus
US15/061,721 US10009271B2 (en) 2011-11-11 2016-03-04 Routing method and network transmission apparatus

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2011/076116 WO2013069161A1 (ja) 2011-11-11 2011-11-11 ルーティング方法およびネットワーク伝送装置

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US14/244,033 Continuation US9313130B2 (en) 2011-11-11 2014-04-03 Routing method and network transmission apparatus

Publications (1)

Publication Number Publication Date
WO2013069161A1 true WO2013069161A1 (ja) 2013-05-16

Family

ID=48288818

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2011/076116 WO2013069161A1 (ja) 2011-11-11 2011-11-11 ルーティング方法およびネットワーク伝送装置

Country Status (3)

Country Link
US (2) US9313130B2 (ja)
JP (1) JP5790775B2 (ja)
WO (1) WO2013069161A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10009265B2 (en) 2013-03-29 2018-06-26 Fujitsu Limited Communication control apparatus, communication control method, communication system, and recording medium
JP2019165339A (ja) * 2018-03-19 2019-09-26 株式会社リコー 経路制御装置、経路制御方法、およびプログラム

Families Citing this family (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9264400B1 (en) * 2013-12-02 2016-02-16 Trend Micro Incorporated Software defined networking pipe for network traffic inspection
TWI513239B (zh) * 2014-09-03 2015-12-11 Hon Hai Prec Ind Co Ltd 網路設備及其進行路由轉發的方法
US11099023B1 (en) 2016-01-05 2021-08-24 Open Invention Network Llc Intermediate navigation destinations
US20180077204A1 (en) * 2016-09-15 2018-03-15 Takeru Inoue Information processing terminal, communication system, information processing method, and recording medium
US10742595B2 (en) 2018-04-20 2020-08-11 Pulse Secure, Llc Fully qualified domain name-based traffic control for virtual private network access control
JP6766110B2 (ja) * 2018-09-20 2020-10-07 エヌ・ティ・ティ・コミュニケーションズ株式会社 制御装置、制御方法、及びプログラム
US11115387B2 (en) * 2019-02-04 2021-09-07 Cisco Technology, Inc. Method for policy-driven, classifying, and routing traffic using the domain name system
US11477028B2 (en) 2019-04-15 2022-10-18 Pulse Secure, Llc Preventing account lockout through request throttling
US10798051B1 (en) * 2019-05-23 2020-10-06 At&T Intellectual Property I, L.P. Filtering and organizing process for domain name system query collection
US11057340B2 (en) 2019-07-19 2021-07-06 Vmware, Inc. Per-application split-tunneled UDP proxy
US11190480B2 (en) * 2019-07-19 2021-11-30 Vmware, Inc. Transparently proxying connections based on hostnames
US10992579B2 (en) 2019-07-19 2021-04-27 Vmware, Inc. Per-application split-tunneled proxy
US11929980B1 (en) * 2023-05-22 2024-03-12 Uab 360 It Sharing domain name service resources in a mesh network

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH10150470A (ja) * 1996-11-05 1998-06-02 At & T Corp ワールドワイドウェブの要求と応答における接続管理情報の転送方法
JP2008512958A (ja) * 2004-09-13 2008-04-24 ユーティースターコム，インコーポレイテッド 無線アクセスゲートウェイのためのダイナミック・ファイアウォール機能
JP2011061774A (ja) * 2009-09-04 2011-03-24 Hitachi Ltd 無線通信システム及び方法

Family Cites Families (25)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4008049B2 (ja) * 1995-03-20 2007-11-14 富士通株式会社 アドレス送信装置、アドレス送信方法およびアドレス送信システム
US6108703A (en) 1998-07-14 2000-08-22 Massachusetts Institute Of Technology Global hosting system
US6324585B1 (en) * 1998-11-19 2001-11-27 Cisco Technology, Inc. Method and apparatus for domain name service request resolution
US6480508B1 (en) * 1999-05-12 2002-11-12 Westell, Inc. Router-based domain name system proxy agent using address translation
US7027582B2 (en) * 2001-07-06 2006-04-11 Telefonaktiebolaget L M Ericsson (Publ) Method and apparatus for resolving an entity identifier into an internet address using a domain name system (DNS) server and an entity identifier portability database
US20040139170A1 (en) * 2003-01-15 2004-07-15 Ming-Teh Shen Method and apparatus for management of shared wide area network connections
US7620732B2 (en) * 2003-11-18 2009-11-17 Kabushiki Kaisha Toshiba Apparatus for and method of setting communication path
JP3896361B2 (ja) * 2004-02-12 2007-03-22 株式会社東芝 通信経路設定装置、通信経路設定方法および通信経路設定プログラム
JP3902597B2 (ja) 2004-02-03 2007-04-11 Ｎｅｃアクセステクニカ株式会社 ルータ及びスタティックドメインネームルーティング
CN1998218A (zh) * 2004-02-19 2007-07-11 皇家飞利浦电子股份有限公司 初始化从第一计算机网络到第二计算机网络的通信会话
WO2005103960A1 (en) * 2004-04-20 2005-11-03 The Boeing Company Apparatus and method for redirecting unresolvable addresses using a local care-of ip address
US7730187B2 (en) * 2006-10-05 2010-06-01 Limelight Networks, Inc. Remote domain name service
US8935748B2 (en) * 2007-10-31 2015-01-13 Microsoft Corporation Secure DNS query
JP4931881B2 (ja) 2008-08-13 2012-05-16 日本電信電話株式会社 ホワイトリストを利用したサーバ割り当てシステムおよびその方法
US8910270B2 (en) * 2009-01-20 2014-12-09 Microsoft Corporation Remote access to private network resources from outside the network
US8103795B2 (en) * 2009-07-09 2012-01-24 International Business Machines Corporation TCP/IP host name resolution on a private network
US8966033B2 (en) * 2009-08-17 2015-02-24 At&T Intellectual Property I, L.P. Integrated proximity routing for content distribution
TWI388165B (zh) * 2009-11-02 2013-03-01 Ind Tech Res Inst 無線通訊系統、其封包交換的繞送方法、使用該繞送方法的室內基地台
US8560598B2 (en) * 2009-12-22 2013-10-15 At&T Intellectual Property I, L.P. Integrated adaptive anycast for content distribution
US9628439B2 (en) * 2010-08-12 2017-04-18 Donald E. Eastlake, III Systems and methods for managing network address information
US8694642B2 (en) * 2010-10-21 2014-04-08 Opendns, Inc. Selective proxying in domain name systems
US20120173760A1 (en) * 2010-12-30 2012-07-05 International Business Machines Corporation Domain name resolution for a hybrid cloud cluster
US9059884B2 (en) * 2011-01-20 2015-06-16 Openwave Mobility, Inc. Routing of IP traffic directed at domain names using DNS redirection
US9515988B2 (en) * 2011-10-26 2016-12-06 Aruba Networks, Inc. Device and method for split DNS communications
US9319377B2 (en) * 2011-10-26 2016-04-19 Hewlett-Packard Development Company, L.P. Auto-split DNS

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH10150470A (ja) * 1996-11-05 1998-06-02 At & T Corp ワールドワイドウェブの要求と応答における接続管理情報の転送方法
JP2008512958A (ja) * 2004-09-13 2008-04-24 ユーティースターコム，インコーポレイテッド 無線アクセスゲートウェイのためのダイナミック・ファイアウォール機能
JP2011061774A (ja) * 2009-09-04 2011-03-24 Hitachi Ltd 無線通信システム及び方法

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10009265B2 (en) 2013-03-29 2018-06-26 Fujitsu Limited Communication control apparatus, communication control method, communication system, and recording medium
JP2019165339A (ja) * 2018-03-19 2019-09-26 株式会社リコー 経路制御装置、経路制御方法、およびプログラム
JP7077697B2 (ja) 2018-03-19 2022-05-31 株式会社リコー 経路制御装置、経路制御方法、およびプログラム

Also Published As

Publication number Publication date
US20160191387A1 (en) 2016-06-30
US10009271B2 (en) 2018-06-26
US9313130B2 (en) 2016-04-12
JPWO2013069161A1 (ja) 2015-04-02
US20140211807A1 (en) 2014-07-31
JP5790775B2 (ja) 2015-10-07

Similar Documents

Publication Publication Date Title
JP5790775B2 (ja) ルーティング方法およびネットワーク伝送装置
EP1234246B1 (en) System and method for network access without reconfiguration
US6857009B1 (en) System and method for network access without reconfiguration
US7228359B1 (en) Methods and apparatus for providing domain name service based on a client identifier
US7624142B2 (en) System and method for processing packets according to user specified rules governed by a syntax
JP4902635B2 (ja) 接続転送
US7328237B1 (en) Technique for improving load balancing of traffic in a data network using source-side related information
US6816890B2 (en) Gateway apparatus with LAC function
US20050229243A1 (en) Method and system for providing Web browsing through a firewall in a peer to peer network
EP3080973B1 (en) Proxy interception
US20170034174A1 (en) Method for providing access to a web server
WO2022151867A1 (zh) 一种http转https双向透明代理的方法和装置
US7072979B1 (en) Wide area load balancing of web traffic
US7290050B1 (en) Transparent load balancer for network connections
JP2004080487A (ja) パケット転送装置、パケット転送方法解決サーバ、ｄｎｓサーバ、ネットワークシステム及びプログラム
JP2011077804A (ja) 通信装置およびその通信方法
JP2011077804A5 (ja)
US7249191B1 (en) Transparent bridge that terminates TCP connections
US7564848B2 (en) Method for the establishing of connections in a communication system
JP6007644B2 (ja) 通信装置、プログラムおよびルーティング方法
US6981056B1 (en) Wide area load balancing of web traffic
US20100023620A1 (en) Access controller
CN105939316A (zh) 报文转发方法以及装置
RU2706866C1 (ru) Способы, устройства, машиночитаемые носители и системы для установления сертифицированных соединений с терминалами в локальной сети
RU2690752C1 (ru) Способ, устройство, носители информации, считываемые с помощью компьютера, и система для построения соединений между клиентом и устройством-адресатом или терминалом

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11875515

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2013542795

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 11875515

Country of ref document: EP

Kind code of ref document: A1