WO2013076995A1 - ネットワークシステム及びセキュリティ装置 - Google Patents

ネットワークシステム及びセキュリティ装置 Download PDF

Info

Publication number
WO2013076995A1
WO2013076995A1 PCT/JP2012/007539 JP2012007539W WO2013076995A1 WO 2013076995 A1 WO2013076995 A1 WO 2013076995A1 JP 2012007539 W JP2012007539 W JP 2012007539W WO 2013076995 A1 WO2013076995 A1 WO 2013076995A1
Authority
WO
WIPO (PCT)
Prior art keywords
router
client
security device
advertisement
address
Prior art date
Application number
PCT/JP2012/007539
Other languages
English (en)
French (fr)
Inventor
健司 安
Original Assignee
パナソニック株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by パナソニック株式会社 filed Critical パナソニック株式会社
Publication of WO2013076995A1 publication Critical patent/WO2013076995A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]

Definitions

  • the present invention relates to a network system and a security device that can easily control network communication.
  • IPv4 communication a private network and the Internet cannot be directly communicated by using a private IP address and a global IP address, respectively.
  • the private network and the Internet can communicate with each other by converting a private IP address and a global IP address using NAT (Network Address Translation) technology (see Patent Document 1).
  • NAT Network Address Translation
  • IPv6 communication In IPv6 communication, a global IP address is also assigned to a terminal connected to an internal network inside the router. For this reason, it is possible to directly access the terminal of the internal network from the external network outside the router via the router.
  • IPv6 IPv6 communication
  • an object of the present invention is to provide a network system and a security device that can easily control network communication and improve network security in IPv6.
  • a router that relays communication between an internal network and an external network, a client connected to the internal network, and between the router and the client.
  • the security device changes the content of the router advertisement transmitted by the router so that the client sets the security device as a default gateway.
  • a router advertisement changing unit that transmits the router advertisement changed by the router advertisement changing unit to the client.
  • the security device can further include an address changing unit that changes a source address of a packet transmitted by the client to an address of the security device.
  • the router advertisement changing unit can change the priority of the changed router advertisement to high.
  • the router advertisement changing unit sets the lifetime of the router advertisement transmitted by the router to 0 when the priority of the router advertisement transmitted by the router is high. Can be changed.
  • the router advertisement changing unit transmits the router advertisement when the priority of the router advertisement transmitted by the router is high, medium, or low.
  • the MAC address of the router advertisement can be changed to the MAC address of the security device.
  • the security device is configured so that the address included in the neighbor request generated by the client in response to the router advertisement transmitted by the router is already in the internal network.
  • a neighbor advertisement generating unit that generates a neighbor advertisement indicating that the neighbor advertisement is assigned to the client, and a neighbor advertisement transmitting unit that transmits the neighbor advertisement generated by the neighbor advertisement generating unit to the client. it can.
  • the router advertisement changing unit sets an address to be assigned to the client so that direct communication between the client and the router is not possible. Can be provided.
  • the security device further includes a virtual private network processing unit that makes a virtual private network line registration request to a virtual private providing server that provides the virtual private network. be able to.
  • a router connected to an internal network changes the contents of a router advertisement transmitted to a client connected to the internal network so that the client sets itself as a default gateway.
  • the gist of the invention is a security device including a router advertisement changing unit and a router advertisement sending unit that transmits the router advertisement changed by the router advertisement changing unit to the client.
  • FIG. 1 is a schematic block diagram illustrating a basic configuration of a network system according to an embodiment of the present invention.
  • FIG. 2 is a schematic block diagram illustrating a basic logical configuration of security provided in the network system according to the embodiment of the present invention.
  • FIG. 3 is a sequence diagram for explaining the basic operation of the network system according to the embodiment of the present invention.
  • FIG. 4 is a sequence diagram illustrating the basic operation of the network system according to the embodiment of the present invention.
  • FIG. 5 is a sequence diagram illustrating the basic operation of the network system according to the embodiment of the present invention.
  • FIG. 6 is a schematic block diagram illustrating a basic logical configuration of security provided in a network system according to another embodiment of the present invention.
  • FIG. 7 is a schematic block diagram illustrating a basic configuration of a network system according to another embodiment of the present invention.
  • the network system includes a security device 1, a client 6, and a router 5 that are communicably connected to an internal network 4 that is a local area network.
  • a security device 1 relays communication between the internal network 4 and the Internet 3.
  • the security device 1 relays communication between the router 5 and the client 6.
  • the router 5, the client 6, and the security device 1 are connected to the internal network 4 by IPv6 communication.
  • the security device 1 receives a router advertisement (RA) periodically transmitted from the router 5, changes the contents of the RA, and transmits it to the client 6, thereby relaying communication between the router 5 and the client 6. To do.
  • RA router advertisement
  • the security device 1 includes an input / output control unit 11, a reception buffer unit 12, an RA detection unit 13, an RA change unit 14, and an RA transmission unit 16.
  • the input / output control unit 11 is an interface that controls transmission / reception of the security device 1.
  • the reception buffer unit 12 buffers communication data received by the input / output control unit 11 via the internal network 4.
  • RA detection unit 13, reception buffer unit 12 from the data buffer, the router 5 detects the RA R is RA which sent.
  • RA changing unit 14 changes the contents of the RA R where RA detection unit 13 detects the RA S.
  • the client 6 by receiving the RA S, to set the security device 1 as the default gateway.
  • the client 6 communicates with the router 5 via the security device 1.
  • the security device 1 functions as a firewall that monitors communication between the client 6 and the web server 7 and blocks unauthorized communication such as an attacker / malware 8 from the outside.
  • the security device 1 further includes an address changing unit 25 and a packet sending unit 26.
  • the address changing unit 25 acquires a packet transmitted from the client 6 to the outside from the reception buffer unit 12 and changes the transmission source address of the packet from the address of the client 6 to the address of the security device 1.
  • the packet sending unit 26 transmits the packet whose address has been changed by the address changing unit 25 to the destination address of the packet.
  • the address changing unit 25 changes the source address of the packet transmitted by the client 6 to the address of the security device 1, so that the packet returned from the router 5 is directly transmitted to the client 6. I can prevent it.
  • the address changing unit 25 generates a representative address associated with the address of the client 6 and sets it in the security device 1, and changes the source address of the packet transmitted by the client 6 to the generated representative address. Also good. Thereby, the address of the client 6 can be kept secret from the external network.
  • the address changing unit 25 may set the global address associated with the global address of the new subnet of the client 6 in the security device 1 and change the packet source address to the set global address. Good. Thereby, it is possible to make it appear to the external network that the communication path of the client 6 has not been changed.
  • the address changing unit 25 may set a global address associated with the private address of the client 6 in the security device 1 and change the packet source address to the set global address.
  • the association between the private address and the global address can be performed by the NAT 66. *
  • Router 5 as shown in FIG. 3, in step S1, broadcasts the RA R to the client 6 and the security device 1.
  • the RA can set the priority as one of the parameters “High”, “Middle”, or “Low”. Normally, RA R that is sent from the router 5, the priority is "medium”.
  • RA changing unit 14 sets the priority of the RA S to "high”.
  • step S ⁇ b> 2 the RA sending unit 16 broadcasts the RAS to the router 5 and the client 6.
  • the client 6 receives the RA S from the security device 1, the RA R received from the router 5, and overwrites the high priority RA S.
  • the security device 1 prevents the client 6 from setting the router 5 as the default gateway, and the client 6 sets the default gateway as the security device 1.
  • the RA can set a lifetime indicating the expiration date of the router as one of the parameters.
  • the RA is stipulated that if the lifetime is other than “0”, the gateway indicated by the RA is used. Therefore, if the priority of RA R is set to "high”, the security device 1 changes the lifetime of RA R to "0", by sending to the client 6, the default gateway of the client 6 Is prevented from being set in the router 5. Moreover, even after the client 6 has set the security device 1 as the default gateway, it can prevent the default gateway is changed to the router 5 by RA R.
  • Router 5 as shown in FIG. 4, in step S3, the broadcast periodically RA R.
  • RA changing unit 14 duplicates the RA R, only the lifetime generates RA C, which has been changed to "0".
  • RA sending unit 16 the RA C, the router 5, broadcast to client 6.
  • the client 6 receives the RA C from the security device 1 recognizes the RA R received from the router 5 immediately before as an invalid RA.
  • security device 1 without being influenced by the priority of RA R, can prevent the default gateway of the client 6 is set to the router 5.
  • RA changing portion 14 by changing the MAC address of the router 5 included in RA R a MAC address of the security device 1, the default gateway of the client 6 so as to prevent the set to the router 5 Also good.
  • RA changing unit 14 duplicates the RA R, generates a RA S that has changed only MAC address of the router 5 to the MAC address of the security device 1.
  • the client 6 receives the RA S from the security device 1 overwrites the RA R received from the router 5 just before the RA S.
  • security device 1 without being influenced by the priority of RA R, can prevent the default gateway of the client 6 is set to the router 5.
  • the router 5 sets the client 6 the security device 1 as the default gateway, even after the interruption of the security device 1 is satisfied, the router 5, periodically transmits an RA R.
  • Client 6, according to the RA R performs the generation of a new IP address, the generated IP address itself can be assigned to either order to confirm, neighbors request: Send (NS Neighbor Solicitation).
  • NS includes duplicate confirmation (DAD: Duplicate Address Detection) for confirming duplicate addresses.
  • the security device 1 includes an NS detection unit 21, an NA generation unit 22, and an NA transmission unit 23.
  • the NS detection unit 21 detects the NS transmitted by the client 6 from the data buffered by the reception buffer unit 12.
  • the NA generation unit 22 generates an NA indicating that the IP address indicated by the NS transmitted by the client 6 has already been assigned in the internal network 4.
  • the NA transmission unit 23 transmits the NA generated by the NA generation unit 22 to the client 6.
  • Router 5 as shown in FIG. 5, in step S5, broadcasts periodically RA R.
  • the client 6 in response to RA R, performs generation of a new IP address, broadcasts the NS performing duplication check of the generated IP address.
  • the NA generation unit 22 generates an NA indicating that the IP address generated by the client 6 has already been assigned.
  • the NA transmission unit 23 transmits the NA generated by the NA generation unit 22 to the client 6.
  • the client 6 When the client 6 receives the NA from the security device 1, the client 6 does not assign the generated IP address to itself and does not set the default gateway. As described above, the security device 1 can prevent the default gateway of the client 6 from being set in the router 5.
  • the RA changing unit 14 of the security device 1 has an address setting unit 15.
  • the address setting unit 15 sets the address assigned to the client 6 so that direct communication with the address used by the router 5 in the internal network 4 is not possible.
  • the address setting unit 15 performs processing to distribute the private prefix to the client 6 with respect to the global prefix address of the router 5.
  • the security device 1 performs mapping conversion between the private address and the global address using the NAT 66.
  • the address setting unit 15 may create a new subnet and process so as to distribute the global prefix of the new subnet to the client 6.
  • the security device 1 converts the new subnet into the subnet of the router 5 by NAT.
  • the address setting unit 15 may distribute the address to the client 6 using the prefix of the router 5 so that the security device 1 converts the representative address of the security device 1 by NAT. Thereby, the security device 1 can make the direct communication between the router 5 and the client 6 more difficult.
  • network communication can be easily controlled without requiring complicated settings, and network security can be improved.
  • VPN virtual private network communication
  • the security device 1a provided in the network system according to another embodiment of the present invention is different from the security device 1 in that it includes a VPN processing unit 31 as shown in FIG.
  • the network system includes a VPN providing server 9 and a security device 10a, a router 50, and a client connected to another internal network 40 via the Internet 3. 60 is different from the above-described embodiment.
  • Other configurations that are not described in the other embodiments are substantially the same as those of the above-described embodiments, and thus redundant description is omitted.
  • the VPN processing unit 31 of the security device 1 transmits a VPN line registration request to the VPN providing server 9.
  • the VPN providing server 9 issues a secure number to the security device 1.
  • the issued secure number is input from the client 60 connected to another internal network, and the VPN providing server 9 is inquired of the secure number via the security device 10a.
  • the VPN providing server 9 queries the secure number, the VPN providing server 9 establishes a VPN line between the client 6 and the client 60.
  • the internal networks 4 and 40 may be wired or wireless.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Abstract

　内部ネットワーク４と外部ネットワーク３の間の通信を中継するルータ５と、内部ネットワーク４に接続されたクライアント６と、ルータ５とクライアント６との間の通信を監視するセキュリティ装置１とを備えるネットワークシステムにおいて、セキュリティ装置１が、ルータ５が送信したルータ広告の内容を、クライアント６がセキュリティ装置１をデフォルトゲートウェイとして設定するように変更するルータ広告変更部１４と、ルータ広告変更部１４が変更したルータ広告をクライアント６に送信するルータ広告送出部１６とを備える。

Description

ネットワークシステム及びセキュリティ装置
　本発明は、ネットワークの通信を簡単に制御できるネットワークシステム及びセキュリティ装置に関する。
　ＩＰｖ４の通信において、プライベートネットワークとインターネットとは、それぞれプライベートＩＰアドレスとグローバルＩＰアドレス使用することにより直接通信できないようになっている。プライベートネットワークとインターネットとは、ＮＡＴ（Network Address Translation）技術によりプライベートＩＰアドレスとグローバルＩＰアドレスを変換することにより通信可能である（特許文献１参照）。
　ＩＰｖ６の通信では、ルータより内側の内部ネットワークに接続される端末にもグローバルＩＰアドレスが割り当てられる。この為、ルータより外側の外部ネットワークから、ルータを経由して直接内部ネットワークの端末にアクセスすることができてしまう。現在、ＩＰｖ６においてＮＡＴ機能を提供するルータはなく、外部との通信を制限するには、ルータ等においてフィルタリングの設定をする必要がある。
　一方、ＩＰｖ６における近隣者発見プロトコルのルータ広告（ＲＡ）を不正に利用して、他の端末がルータに成りすます問題が指摘されている。
特開２０００－５９４３０号公報
　ルータ等の中継装置におけるフィルタリングの設定は煩雑であり、一般的なユーザにとって正確にフィルタリングの設定を行うことは困難である。
　本発明は、上記問題点を鑑み、ＩＰｖ６において、ネットワークの通信を簡単に制御し、ネットワークのセキュリティを向上できるネットワークシステム及びセキュリティ装置を提供することを目的とする。
　上記目的を達成するために、本発明の第１の態様は、内部ネットワークと外部ネットワークの間の通信を中継するルータと、前記内部ネットワークに接続されたクライアントと、前記ルータと前記クライアントとの間の通信を監視するセキュリティ装置とを備えるネットワークシステムであることを要旨とし、前記セキュリティ装置は、前記ルータが送信したルータ広告の内容を、前記クライアントが前記セキュリティ装置をデフォルトゲートウェイとして設定するように変更するルータ広告変更部と、前記ルータ広告変更部が変更したルータ広告を前記クライアントに送信するルータ広告送出部とを備えることを特徴とする。
　また、本発明の第１の態様に係るネットワークシステムにおいては、前記セキュリティ装置は、前記クライアントが送信したパケットの送信元アドレスを前記セキュリティ装置のアドレスに変更するアドレス変更部を更に備えることができる。
　また、本発明の第１の態様に係るネットワークシステムにおいては、前記ルータ広告変更部は、前記変更されたルータ広告の優先度を高に変更することができる。
　また、本発明の第１の態様に係るネットワークシステムにおいては、前記ルータ広告変更部は、前記ルータが送信したルータ広告の優先度が高の場合、前記ルータが送信したルータ広告のライフタイムを０に変更することができる。
　また、本発明の第１の態様に係るネットワークシステムにおいては、前記ルータ広告変更部は、前記ルータが送信したルータ広告の優先度が高、中、低のいずれかの場合、前記ルータが送信したルータ広告のＭＡＣアドレスを、前記セキュリティ装置のＭＡＣアドレスに変更することができる。
　また、本発明の第１の態様に係るネットワークシステムにおいては、前記セキュリティ装置は、前記クライアントが、前記ルータが送信したルータ広告に応じて生成した近隣者要請に含まれるアドレスが、既に前記内部ネットワーク内に割り当てられている旨の近隣者広告を生成する近隣者広告生成部と、前記近隣者広告生成部が生成した近隣者広告を、前記クライアントに送信する近隣者広告送出部とを備えることができる。
　また、本発明の第１の態様に係るネットワークシステムにおいては、前記ルータ広告変更部は、前記クライアントに割り当てるアドレスを、前記クライアントと前記ルータとの直接の通信が不可なように設定するアドレス設定部を備えることができる。
　また、本発明の第１の態様に係るネットワークシステムにおいては、前記セキュリティ装置は、仮想プライベートネットワークを提供する仮想プライベート提供サーバに、仮想プライベートネットワーク回線の登録要求をする仮想プライベートネットワーク処理部を更に備えることができる。
　本発明の第２の態様は、内部ネットワークに接続されたルータが、前記内部ネットワークに接続されたクライアントに送信したルータ広告の内容を、前記クライアントが、自己をデフォルトゲートウェイとして設定するように変更するルータ広告変更部と、前記ルータ広告変更部が変更したルータ広告を前記クライアントに送信するルータ広告送出部とを備えるセキュリティ装置であることを要旨とする。
図１は、本発明の実施の形態に係るネットワークシステムの基本的な構成を説明する模式的なブロック図である。 図２は、本発明の実施の形態に係るネットワークシステムが備えるセキュリティの基本的な論理構成を説明する模式的なブロック図である。 図３は、本発明の実施の形態に係るネットワークシステムの基本的な動作を説明するシーケンス図である。 図４は、本発明の実施の形態に係るネットワークシステムの基本的な動作を説明するシーケンス図である。 図５は、本発明の実施の形態に係るネットワークシステムの基本的な動作を説明するシーケンス図である。 図６は、本発明の他の実施の形態に係るネットワークシステムが備えるセキュリティの基本的な論理構成を説明する模式的なブロック図である。 図７は、本発明の他の実施の形態に係るネットワークシステムの基本的な構成を説明する模式的なブロック図である。
　次に、図面を参照して、本発明の実施の形態を説明する。以下の図面の記載において、同一又は類似の部分には同一又は類似の符号を付している。但し、以下に示す実施の形態は、本発明の技術的思想を具体化するための装置や方法、及びこれらの装置を用いたシステムを例示するものであって、本発明の技術的思想は、下記の実施の形態に例示した装置や方法、及びこれらの装置を用いたシステムに特定するものでない。本発明の技術的思想は、請求の範囲に記載された技術的範囲内において、種々の変更を加えることができる。
（ネットワークシステム）
　本発明の実施の形態に係るネットワークシステムは、図１に示すように、それぞれ、ローカルエリアネットワークである内部ネットワーク４に通信可能に接続された、セキュリティ装置１と、クライアント６と、ルータ５とを備える。ルータ５は、内部ネットワーク４とインターネット３との間の通信を中継する。セキュリティ装置１は、ルータ５とクライアント６との間の通信を中継する。ルータ５、クライアント６、セキュリティ装置１は、それぞれＩＰｖ６の通信により内部ネットワーク４に接続される。
　セキュリティ装置１は、ルータ５から定期的に送信されるルータ広告（ＲＡ）を受信し、ＲＡの内容を変更してクライアント６に送信することで、ルータ５とクライアント６との間の通信を中継する。
　セキュリティ装置１は、図２に示すように、入出力制御部１１と、受信バッファ部１２と、ＲＡ検出部１３と、ＲＡ変更部１４と、ＲＡ送出部１６とを備える。入出力制御部１１は、セキュリティ装置１の送受信を制御するインターフェースである。受信バッファ部１２は、入出力制御部１１が内部ネットワーク４を介して受信した通信データをバッファリングする。ＲＡ検出部１３は、受信バッファ部１２がバッファリングしたデータから、ルータ５が送信したＲＡであるＲＡＲを検出する。ＲＡ変更部１４は、ＲＡ検出部１３が検出したＲＡＲの内容を変更しＲＡＳとする。ＲＡ変更部１４は、ＲＡＲに記述されたデフォルトゲートウェイを、セキュリティ装置１（自己）のアドレスに変更する。ＲＡ送出部１６は、ＲＡ変更部１４が変更したＲＡＳを、クライアント６に送信する。
　クライアント６は、ＲＡＳを受信することにより、セキュリティ装置１をデフォルトゲートウェイとして設定する。クライアント６は、セキュリティ装置１を介してルータ５と通信する。セキュリティ装置１は、クライアント６とウェブサーバ７等との通信を監視し、外部からの攻撃者／マルウェア８等の不正な通信を遮断するファイアウォールとして機能する。
　セキュリティ装置１は、アドレス変更部２５と、パケット送出部２６とを更に備える。アドレス変更部２５は、クライアント６が外部に宛てて送信したパケットを、受信バッファ部１２から取得し、パケットの送信元アドレスを、クライアント６のアドレスからセキュリティ装置１のアドレスに変更する。パケット送出部２６は、アドレス変更部２５が送信元アドレスを変更したパケットを、パケットの送信先アドレスに宛てて送信する。
　このように、セキュリティ装置１は、アドレス変更部２５が、クライアント６が送信したパケットの送信元アドレスをセキュリティ装置１のアドレスに変更するので、ルータ５から戻るパケットが、直接クライアント６に送信されることを阻止できる。
　アドレス変更部２５は、クライアント６のアドレスと紐付けされた代表アドレスを生成してセキュリティ装置１に設定し、クライアント６が送信したパケットの送信元アドレスを、生成した代表アドレスに変更するようにしてもよい。これにより、外部ネットワークに対してクライアント６のアドレスを秘匿することができる。
　また、アドレス変更部２５は、クライアント６の新たなサブネットのグローバルアドレスに紐付けされたグローバルアドレスをセキュリティ装置１に設定し、パケットの送信元アドレスを、設定したグローバルアドレスに変更するようにしてもよい。これにより、外部ネットワークに対して、クライアント６の通信路に変更がなかったように見せかけることができる。
　また、アドレス変更部２５は、クライアント６のプライベートアドレスに紐付けされたグローバルアドレスをセキュリティ装置１に設定し、パケットの送信元アドレスを、設定したグローバルアドレスに変更するようにしてもよい。プライベートアドレスとグローバルアドレスとの紐付けは、ＮＡＴ６６により行うことができる。　
　ルータ５は、図３に示すように、ステップＳ１において、ＲＡＲをクライアント６及びセキュリティ装置１にブロードキャストする。ＲＡは、パラメータの一つとして優先度を「高（Ｈｉｇｈ）」、「中（Ｍｉｄｄｌｅ）」、「低（Ｌｏｗ）」のいずれかに設定できる。通常、ルータ５から送信されるＲＡＲは、優先度が「中」となっている。ＲＡ変更部１４は、ＲＡＳの優先度を「高」に設定する。ステップＳ２において、ＲＡ送出部１６は、ＲＡＳを、ルータ５、クライアント６にブロードキャストする。
　クライアント６は、セキュリティ装置１からＲＡＳを受信すると、ルータ５から受信したＲＡＲを、優先度の高いＲＡＳに上書きする。このように、セキュリティ装置１は、クライアント６がルータ５をデフォルトゲートウェイとして設定されることを阻止し、クライアント６は、デフォルトゲートウェイをセキュリティ装置１として設定する。
　ＲＡは、パラメータの一つとしてルータの有効期限を示すライフタイムを設定できる。ＲＡは、ライフタイムが「０」以外であればＲＡが示すゲートウェイを使用するという規定になっている。そこで、ＲＡＲの優先度が「高」に設定されている場合、セキュリティ装置１は、ＲＡＲのライフタイムを「０」に変更して、クライアント６に送信することにより、クライアント６のデフォルトゲートウェイが、ルータ５に設定されることを阻止する。また、クライアント６がセキュリティ装置１をデフォルトゲートウェイとして設定した後においても、ＲＡＲによりデフォルトゲートウェイがルータ５に変更されることを阻止できる。
　ルータ５は、図４に示すように、ステップＳ３において、定期的にＲＡＲをブロードキャストする。ＲＡ変更部１４は、ＲＡＲを複製して、ライフタイムのみが「０」に変更されたＲＡＣを生成する。ステップＳ４において、ＲＡ送出部１６は、ＲＡＣを、ルータ５、クライアント６にブロードキャストする。
　クライアント６は、セキュリティ装置１からＲＡＣを受信すると、直前にルータ５から受信したＲＡＲを無効なＲＡとして認識する。このように、セキュリティ装置１は、ＲＡＲの優先度に影響されることなく、クライアント６のデフォルトゲートウェイがルータ５に設定されることを阻止できる。
　或いは、ＲＡ変更部１４は、ＲＡＲに含まれるルータ５のＭＡＣアドレスをセキュリティ装置１のＭＡＣアドレスに変更することにより、クライアント６のデフォルトゲートウェイがルータ５に設定されることを阻止するようにしてもよい。ＲＡ変更部１４は、ＲＡＲを複製し、ルータ５のＭＡＣアドレスのみをセキュリティ装置１のＭＡＣアドレスに変更されたＲＡＳを生成する。ＲＡ送出部１６は、ＲＡＳを、ルータ５、クライアント６にブロードキャストする。ＭＡＣアドレスの変更は、優先度が「高」、「中」、「低」のいずれの場合であってもよい。
　クライアント６は、セキュリティ装置１からＲＡＳを受信すると、直前にルータ５から受信したＲＡＲをＲＡＳに上書きする。このように、セキュリティ装置１は、ＲＡＲの優先度に影響されることなく、クライアント６のデフォルトゲートウェイがルータ５に設定されることを阻止できる。
　上述のように、クライアント６がセキュリティ装置１をデフォルトゲートウェイとして設定し、セキュリティ装置１の割り込みが成立した後においても、ルータ５は、定期的にＲＡＲを送信する。クライアント６は、ＲＡＲに応じて、新たなＩＰアドレスの生成を行い、生成したＩＰアドレスを自身に割り当て可能か確認する為、近隣者要請（ＮＳ：Neighbor Solicitation）を送信する。ＮＳは、重複アドレスを確認する重複確認（ＤＡＤ：Duplicate Address Detection）を含む。クライアント６は、他のノードから、生成したアドレスが重複する旨の近隣者広告（ＮＡ：Neighbor Advertisement）を受信しない場合、生成したアドレスを自身に割り当て、ＲＡＲが示すデフォルトゲートウェイに設定してしまう。
　これに対して、セキュリティ装置１は、ＮＳ検出部２１と、ＮＡ生成部２２と、ＮＡ送出部２３とを備える。ＮＳ検出部２１は、受信バッファ部１２がバッファリングしたデータから、クライアント６が送信したＮＳを検出する。ＮＡ生成部２２は、クライアント６が送信したＮＳが示すＩＰアドレスが、既に内部ネットワーク４内に割り当てられている旨のＮＡを生成する。ＮＡ送出部２３は、ＮＡ生成部２２が生成したＮＡを、クライアント６に送信する。
　ルータ５は、図５に示すように、ステップＳ５において、定期的にＲＡＲをブロードキャストする。ステップＳ６において、クライアント６は、ＲＡＲに応じて、新たなＩＰアドレスの生成を行い、生成したＩＰアドレスの重複確認を行うＮＳをブロードキャストする。ＮＡ生成部２２は、クライアント６が生成したＩＰアドレスが既に割り当てられている旨のＮＡを生成する。ステップＳ７において、ＮＡ送出部２３は、ＮＡ生成部２２が生成したＮＡを、クライアント６に送信する。
　クライアント６は、セキュリティ装置１からＮＡを受信すると、生成したＩＰアドレスを自身に割り当てず、デフォルトゲートウェイの設定も行わない。このように、セキュリティ装置１は、クライアント６のデフォルトゲートウェイがルータ５に設定されることを阻止できる。
　セキュリティ装置１のＲＡ変更部１４は、アドレス設定部１５を有する。アドレス設定部１５は、クライアント６に割り当てるアドレスを、ルータ５が内部ネットワーク４で使用するアドレスと直接の通信が不可なように設定する。
　例えば、アドレス設定部１５は、ルータ５のグローバルプレフィックスのアドレスに対して、クライアント６にプライベートプレフィックスを配布するよう処理する。セキュリティ装置１は、ＮＡＴ６６により、プライベートアドレスとグローバルアドレスとをマッピング変換する。
　また、アドレス設定部１５は、新たにサブネットを作成し、クライアント６に新たなサブネットのグローバルプレフィックスを配布するよう処理するようにしてもよい。セキュリティ装置１は、ＮＡＴにより、新たなサブネットをルータ５のサブネットに変換する。或いは、アドレス設定部１５は、ルータ５のプレフィックスでクライアント６にアドレスを配布し、セキュリティ装置１が、セキュリティ装置１の代表アドレスと、ＮＡＴにより変換するようにしてもよい。これにより、セキュリティ装置１は、ルータ５とクライアント６との間の直接的な通信を、より困難にすることができる。
　実施の形態に係るネットワークシステムによれば、セキュリティ装置１が、ルータ５とクライアント６との間に割り込むことにより、ネットワークの通信を、煩雑な設定不要で簡単に制御し、ネットワークのセキュリティを向上できる
（その他の実施の形態）
　上記のように、本発明は実施の形態によって記載したが、この開示の一部をなす論述及び図面は本発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施の形態、実施例及び運用技術が明らかとなろう。
　既に述べた実施の形態においては、インターネットを介して、他のセキュリティ装置と仮想プライベートネットワーク（ＶＰＮ）通信を行うようにしてもよい。すなわち、本発明のその他の実施の形態に係るネットワークシステムが備えるセキュリティ装置１ａは、図６に示すように、ＶＰＮ処理部３１を備える点で、セキュリティ装置１と異なる。
　本発明のその他の実施の形態に係るネットワークシステムは、図７に示すように、インターネット３を介して、ＶＰＮ提供サーバ９と、他の内部ネットワーク４０に接続されたセキュリティ装置１０ａ、ルータ５０、クライアント６０とを備える点において、既に述べた実施の形態と異なる。その他の実施の形態において説明しない他の構成は、既に述べた実施の形態と実質的に同様であるので、重複する説明を省略する。
　例えば、クライアント６からＶＰＮ構築の要求があると、セキュリティ装置１のＶＰＮ処理部３１は、ＶＰＮ提供サーバ９にＶＰＮ回線の登録要求を送信する。ＶＰＮ提供サーバ９は、セキュリティ装置１に対してセキュア番号を発行する。次いで、他の内部ネットワークに接続されるクライアント６０から、発行されたセキュア番号を入力し、セキュリティ装置１０ａを介して、ＶＰＮ提供サーバ９にセキュア番号の照会要求をする。ＶＰＮ提供サーバ９においてセキュア番号が照会されると、ＶＰＮ提供サーバ９により、クライアント６とクライアント６０との間でＶＰＮ回線が確立される。
　また、既に述べた実施の形態においては、内部ネットワーク４，４０は、有線であってもよく、無線であってもよい。
　上記の他、実施の形態を応用した構成等、本発明はここでは記載していない様々な実施の形態等を含むことは勿論である。したがって、本発明の技術的範囲は上記の説明から妥当な請求の範囲に係る発明特定事項によってのみ定められるものである。
　特願２０１１－２５４９６９号（出願日：２０１１年１１月２２日）の全内容は、ここに援用される。
　本発明によれば、ネットワークの通信を簡単に制御し、ネットワークのセキュリティを向上できるネットワークシステム及びセキュリティ装置を提供することができる。
　１，１ａ，１０ａ　セキュリティ装置
　３　インターネット
　４，４０　内部ネットワーク
　５，５０　ルータ
　６，６０　クライアント
　９　ＶＰＮ提供サーバ
　１４　ＲＡ変更部
　１５　アドレス設定部
　１６　ＲＡ送出部
　２２　ＮＡ生成部
　２３　ＮＡ送出部
　２５　アドレス変更部
　３１　ＶＰＮ処理部

Claims (9)

  1. 　内部ネットワークと外部ネットワークの間の通信を中継するルータと、前記内部ネットワークに接続されたクライアントと、前記ルータと前記クライアントとの間の通信を監視するセキュリティ装置とを備えるネットワークシステムであって、
    　前記セキュリティ装置は、
    　前記ルータが送信したルータ広告の内容を、前記クライアントが前記セキュリティ装置をデフォルトゲートウェイとして設定するように変更するルータ広告変更部と、
    　前記ルータ広告変更部が変更したルータ広告を前記クライアントに送信するルータ広告送出部と
    　を備えることを特徴とするネットワークシステム。
  2. 　前記セキュリティ装置は、前記クライアントが送信したパケットの送信元アドレスを前記セキュリティ装置のアドレスに変更するアドレス変更部を更に備えることを特徴とする請求項１に記載のネットワークシステム。
  3. 　前記ルータ広告変更部は、前記変更されたルータ広告の優先度を高に変更することを特徴とする請求項１または２に記載のネットワークシステム。
  4. 　前記ルータ広告変更部は、前記ルータが送信したルータ広告の優先度が高、中、低のいずれかの場合、前記ルータが送信したルータ広告のライフタイムを０に変更することを特徴とする請求項３に記載のネットワークシステム。
  5. 　前記ルータ広告変更部は、前記ルータが送信したルータ広告の優先度が高の場合、前記ルータが送信したルータ広告のＭＡＣアドレスを、前記セキュリティ装置のＭＡＣアドレスに変更することを特徴とする請求項３に記載のネットワークシステム。
  6. 　前記セキュリティ装置は、
    　前記クライアントが、前記ルータが送信したルータ広告に応じて生成した近隣者要請に含まれるアドレスが、既に前記内部ネットワーク内に割り当てられている旨の近隣者広告を生成する近隣者広告生成部と、
    　前記近隣者広告生成部が生成した近隣者広告を、前記クライアントに送信する近隣者広告送出部と
    　を備えることを特徴とする請求項１～５のいずれか１項に記載のネットワークシステム。
  7. 　前記ルータ広告変更部は、前記クライアントに割り当てるアドレスを、前記クライアントと前記ルータとの直接の通信が不可なように設定するアドレス設定部を備えることを特徴とする請求項１～６のいずれか１項に記載のネットワークシステム。
  8. 　前記セキュリティ装置は、仮想プライベートネットワークを提供する仮想プライベート提供サーバに、仮想プライベートネットワーク回線の登録要求をする仮想プライベートネットワーク処理部を更に備えることを特徴とする請求項１～７のいずれか１項に記載のネットワークシステム。　
  9. 　内部ネットワークに接続されたルータが、前記内部ネットワークに接続されたクライアントに送信したルータ広告の内容を、前記クライアントが、自己をデフォルトゲートウェイとして設定するように変更するルータ広告変更部と、
    　前記ルータ広告変更部が変更したルータ広告を前記クライアントに送信するルータ広告送出部と
    　を備えることを特徴とするセキュリティ装置。
PCT/JP2012/007539 2011-11-22 2012-11-22 ネットワークシステム及びセキュリティ装置 WO2013076995A1 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2011254969A JP2013110639A (ja) 2011-11-22 2011-11-22 ネットワークシステム及びセキュリティ装置
JP2011-254969 2011-11-22

Publications (1)

Publication Number Publication Date
WO2013076995A1 true WO2013076995A1 (ja) 2013-05-30

Family

ID=48469458

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2012/007539 WO2013076995A1 (ja) 2011-11-22 2012-11-22 ネットワークシステム及びセキュリティ装置

Country Status (2)

Country Link
JP (1) JP2013110639A (ja)
WO (1) WO2013076995A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2000041069A (ja) * 1998-03-26 2000-02-08 Hewlett Packard Co <Hp> クライアント構成方法
JP2006080879A (ja) * 2004-09-09 2006-03-23 Japan Science & Technology Agency 複合ノイズ発生器
JP2009267738A (ja) * 2008-04-24 2009-11-12 Nakayo Telecommun Inc 優先端末以外のデータ通信を低減する通信制御システム

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2000041069A (ja) * 1998-03-26 2000-02-08 Hewlett Packard Co <Hp> クライアント構成方法
JP2006080879A (ja) * 2004-09-09 2006-03-23 Japan Science & Technology Agency 複合ノイズ発生器
JP2009267738A (ja) * 2008-04-24 2009-11-12 Nakayo Telecommun Inc 優先端末以外のデータ通信を低減する通信制御システム

Also Published As

Publication number Publication date
JP2013110639A (ja) 2013-06-06

Similar Documents

Publication Publication Date Title
Carpenter et al. Connection of IPv6 domains via IPv4 clouds
KR100908320B1 (ko) IPv6 네트워크 내 호스트 차단 및 탐색방법
EP2750329B1 (en) Method and device for sending internet protocol packets
EP1712044A1 (en) Tunneling service method and system
JP2004229299A (ja) 相異なる私設網に位置したネットワーク装置間の通信を支援するネットワーク接続装置
JP2004357292A (ja) ＩＰ交換網上で伝達されるデータをＩＰｖ４ベースからＩＰｖ６ベースに変換するシステム
JP2006086800A (ja) ソースアドレスを選択する通信装置
CN112654049A (zh) 用于配置无线通信覆盖扩展系统的方法及实现所述方法的无线通信覆盖扩展系统
JP5857222B2 (ja) 無線ネットワークシステム、無線通信装置、及び、無線通信装置のプログラム
JP5241957B2 (ja) 加入者装置をＩＰｖ６対応のアグリゲーションネットワークに接続するための方法および装置
US9100433B2 (en) Communications control device, communications system, and program
JP4941117B2 (ja) サーバ装置、ネットワークシステム及びそれらに用いるネットワーク接続方法
JP2006352719A (ja) ネットワーク監視装置，ネットワーク監視方法，ネットワークシステム及びネットワーク監視方法及びネットワーク通信方法
JP2004357016A (ja) 特定アドレス使用制限装置
JP4895793B2 (ja) ネットワーク監視装置及びネットワーク監視方法
CN110445708B (zh) 一种融合网关内通信方法及系统
WO2009005212A1 (en) Ipv6 over ipv4 transition method and apparatus for improving performance of control server
Carpenter et al. RFC3056: Connection of IPv6 Domains via IPv4 Clouds
WO2013076995A1 (ja) ネットワークシステム及びセキュリティ装置
JP2005086256A (ja) トンネルゲートウェイ装置
Cisco AppleTalk Commands
Singh et al. IPv6 subnet model: the relationship between links and subnet prefixes
JP3616571B2 (ja) インターネット中継接続におけるアドレス解決方式
Sun et al. DHCPv4-over-DHCPv6 (DHCP 4o6) transport
JP2019009637A (ja) ネットワーク監視装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12852239

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 12852239

Country of ref document: EP

Kind code of ref document: A1