WO2017111404A1 - 보안 ip 통신 서비스를 제공하기 위한 장치, 방법 및 통신 시스템 - Google Patents

보안 ip 통신 서비스를 제공하기 위한 장치, 방법 및 통신 시스템 Download PDF

Info

Publication number
WO2017111404A1
WO2017111404A1 PCT/KR2016/014850 KR2016014850W WO2017111404A1 WO 2017111404 A1 WO2017111404 A1 WO 2017111404A1 KR 2016014850 W KR2016014850 W KR 2016014850W WO 2017111404 A1 WO2017111404 A1 WO 2017111404A1
Authority
WO
WIPO (PCT)
Prior art keywords
secure
terminal
destination
packet
communication service
Prior art date
Application number
PCT/KR2016/014850
Other languages
English (en)
French (fr)
Inventor
서경덕
김태균
이정일
장덕문
Original Assignee
주식회사 케이티
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority claimed from KR1020150185419A external-priority patent/KR101821794B1/ko
Priority claimed from KR1020150189064A external-priority patent/KR101893209B1/ko
Application filed by 주식회사 케이티 filed Critical 주식회사 케이티
Publication of WO2017111404A1 publication Critical patent/WO2017111404A1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming

Definitions

  • the present invention relates to an apparatus, a method and a communication system for providing a secure IP communication service.
  • terminals that want to use an Internet service use a service by accessing a public Internet network after being assigned a public IP address.
  • terminals using the Internet service There are various forms of terminals using the Internet service, and various forms such as POS terminals, CCTVs, and IoT terminals. These terminals may be used by individuals, but may be installed in a company grouped in a user group form.
  • a malicious third party may modify a service provided to a terminal through a public Internet network, change an IP address provided to the terminal, attack an IP address such as DDos, or assign a terminal bound in the form of a user group.
  • a store-type franchise that operates a POS, a company that requires a secure connection between headquarters, a branch, or a branch, a CCTV operating company or an organization may not provide a secure service.
  • traffic is encrypted or a separate VPN device is provided to provide a service.
  • a communication speed due to VPN header or traffic encryption is not guaranteed, and there is a disadvantage in that a cost is required for installing a separate device of high cost.
  • the present invention thus provides an IP communication service through a designated inter-group closed communication connection in a secure Internet network that provides a secure IP communication service that enables a closed inter-group communication connection in a public Internet network.
  • An apparatus, method, and communication system are provided.
  • the method for providing a secure IP communication service between a first terminal and a second terminal by an apparatus for providing a secure IP communication service which is one feature of the present invention for achieving the technical problem of the present invention
  • the apparatus for providing a secure IP communication service includes whether the first terminal and the second terminal are formed in a group based on a first security core IP and a second security core IP included in an IP packet transmitted from the first terminal. Confirming; And if the first terminal and the second terminal are formed in a group, forwarding the IP packet transmitted from the first terminal to the second terminal.
  • the method for providing a secure IP communication service to a terminal by another apparatus for providing a secure IP communication service which is another feature of the present invention for achieving the technical problem of the present invention
  • the secure IP communication service providing apparatus comprises: receiving an IP packet from the terminal to use a communication service through a second server located in a public Internet network; Based on the IP address of the second server included in the IP packet, the IP address of the first web server previously stored corresponding to the IP address of the second server in a secure DNS connected to the secure IP communication service providing apparatus. Checking if there is; And if there is an IP address of the first web server, the secure IP communication service providing apparatus, receiving information of a communication service provided by the second web server through a first web server and transmitting the received information to the terminal. .
  • An apparatus for providing a secure IP communication service for providing a secure IP communication service to a terminal which is another feature of the present invention for achieving the technical problem of the present invention
  • a first NAT for converting the first secure access IP of the source terminal into a first secure core IP included in the IP packet generated by the source terminal;
  • the source terminal and the destination are identified by confirming the first security core IP converted from the first NAT and the second security core IP of the destination terminal included in the IP packet from previously stored group mapping information.
  • Security group determination device for checking whether the terminal is included in the same group;
  • a second NAT for converting the second secure core IP to a second secure access IP.
  • Security IP communication system comprising a secure IP communication service providing apparatus for providing a secure IP communication service to a terminal which is another feature of the present invention for achieving the technical problem of the present invention
  • a secure IP gateway to verify that it belongs to a group.
  • An IP communication service providing apparatus for providing a secure IP communication service to a terminal which is another feature of the present invention for achieving the technical problem of the present invention
  • An IP change manager configured to store IP change management information and convert the first destination IP included in the IP packet transmitted from the first terminal into another IP according to the IP change management information;
  • a routing table manager configured to manage a routing table including addresses of a plurality of secure IPs for providing a secure IP communication service;
  • An IP processing unit which checks whether the destination IP which is not converted or converted by the IP change management unit is included in the routing table, and changes the first source IP included in the IP packet to a second source IP according to the verification result; And transmitting the IP packet to the second terminal through any one of public IP communication and secure IP communication, based on the second source IP changed by the IP processing unit and the destination IP not converted or converted by the IP change management unit. It includes a communication unit.
  • a method for providing an IP communication service between a first terminal and a second terminal by an apparatus for providing an IP communication service.
  • An IP communication system for providing an IP communication service to a terminal which is another feature of the present invention for achieving the technical problem of the present invention
  • the first IP and the second IP are allocated from the outside and receive control information, and either of the first IP or the second IP based on the destination IP included in the IP packet transmitted from the terminal and the destination IP.
  • An IP communication service providing apparatus for determining whether to transmit an IP packet in one of a first IP communication and a second IP communication according to a source IP converted into a second IP communication;
  • a control unit for transmitting the control information to the IP communication service providing apparatus;
  • a DHCP server for allocating and providing the first IP and the second IP to the IP communication service providing apparatus;
  • a first gateway that transmits the IP packet to a destination terminal when the IP communication service providing apparatus determines that the IP packet is to be transmitted through a first communication;
  • a second gateway that transmits the IP packet to a destination terminal when the IP communication service providing apparatus determines to transmit the IP packet through a second communication.
  • the present invention it is possible to easily set up a user group and to block access attempts from terminals not belonging to the group, thereby providing a secure Internet service.
  • both the public IP communication service and the secure IP communication service can be provided in a public network through an IP service providing device in which both dual IP security IP and public IP are allocated.
  • FIG. 1 is an exemplary diagram of an environment for providing a secure IP communication service according to a first embodiment of the present invention.
  • FIG. 2 is an exemplary diagram of a secure IP gateway according to a first embodiment of the present invention.
  • FIG. 3 is a flowchart illustrating a method for secure IP communication between grouped terminals according to the first embodiment of the present invention.
  • FIG 4 is an exemplary diagram of secure IP communication according to the first embodiment of the present invention.
  • FIG. 5 is an exemplary diagram of an environment for providing a secure IP communication service according to a second embodiment of the present invention.
  • FIG. 6 is an exemplary diagram of a communication system for providing a secure IP communication service according to a third embodiment of the present invention.
  • FIG. 7 is a structural diagram of a secure IP router according to a third embodiment of the present invention.
  • FIG. 8 is a flowchart illustrating an IP communication method according to a third embodiment of the present invention.
  • the method for providing a secure IP communication service between a first terminal and a second terminal by an apparatus for providing a secure IP communication service which is one feature of the present invention for achieving the technical problem of the present invention
  • the apparatus for providing a secure IP communication service includes whether the first terminal and the second terminal are formed in a group based on a first security core IP and a second security core IP included in an IP packet transmitted from the first terminal. Confirming; And if the first terminal and the second terminal are formed in a group, forwarding the IP packet transmitted from the first terminal to the second terminal.
  • a system for providing a secure IP communication service to a terminal by a secure IP communication service providing device for achieving the technical problem of the present invention
  • a secure IP gateway to verify that it belongs to a group.
  • An IP communication service providing apparatus for providing an IP communication service to a terminal which is another feature of the present invention for achieving the technical problem of the present invention
  • An IP change manager configured to store IP change management information and convert the first destination IP included in the IP packet transmitted from the first terminal into another IP according to the IP change management information;
  • a routing table manager configured to manage a routing table including addresses of a plurality of secure IPs for providing a secure IP communication service;
  • An IP processing unit which checks whether the destination IP which is not converted or converted by the IP change management unit is included in the routing table, and changes the first source IP included in the IP packet to a second source IP according to the verification result; And transmitting the IP packet to the second terminal through any one of public IP communication and secure IP communication, based on the second source IP changed by the IP processing unit and the destination IP not converted or converted by the IP change management unit. It includes a communication unit.
  • a method for providing an IP communication service between a first terminal and a second terminal by an apparatus for providing an IP communication service.
  • a terminal is a mobile station (MS), a mobile terminal (MT), a subscriber station (SS), a portable subscriber station (PSS), a user device (User). It may also refer to an Equipment (UE), an Access Terminal (AT), or the like, and may include all or some functions of a mobile terminal, a subscriber station, a portable subscriber station, a user device, and the like.
  • a service that enables a closed communication connection between a predetermined group in a public Internet network is referred to as a 'secure IP communication service', but is not necessarily limited thereto.
  • FIG. 1 is an exemplary diagram of an environment for providing a secure IP communication service according to a first embodiment of the present invention.
  • n terminals and the second terminal 20 are formed in one group, and the third terminal is a terminal not included in the group. It is assumed that each of the n terminals included in the group is referred to as the first terminal 10 and transmits an IP packet from the first terminal 10 to the second terminal 20.
  • the first terminal 10 and the third terminal may be a personal computer located in an internal network providing a secure IP communication service
  • the second terminal 20 may be a server located in an internal network.
  • the source IP which is an IP assigned to the first terminal 10
  • DHCP Dynamic Host Configuration Protocol
  • a destination IP which is an IP assigned to the second terminal 20. It is also assumed to be a secure IP.
  • Each terminal is also given a general IP, and a detailed description of how the DHCP server 60 generates and assigns a secure IP is omitted.
  • the core area that is, the IP used in the grouping apparatus 100 is referred to as a secure core IP.
  • the IP used between the access area, that is, between the first terminal 10 and the grouping device 100 and between the grouping device 100 and the second terminal 20 is referred to as a secure access IP. It is not limited in this way.
  • the L3 router 30 connected to the first terminal 10 is accompanied by an IP packet from the first terminal 10. It also receives a secure access IP (Secure Access IP) which is a source IP and a secure core IP corresponding to the destination IP.
  • a secure access IP Secure Access IP
  • the first terminal 10 already knows the security core IP, and the method of obtaining the security core IP of the second terminal 20 by the first terminal 10 can be performed through various methods. Detailed descriptions are omitted in the embodiments of the present invention.
  • the L3 router 30 checks whether the secure access IP for the first terminal 10 and the secure core IP for the second terminal 20 are included in the previously stored access control list (ACL).
  • ACL is a list of IPs allowed for the terminal to use the secure IP communication service, and a list of a plurality of secure access IPs and secure core IPs is stored.
  • the L3 router 30 blocks the IP packet transmitted from the first terminal 10 so as not to use the secure IP communication service. Control not to In addition to the function of determining whether to block the IP packet, the L3 router 30 also functions as a general L3 router 30, and details thereof are already known, and thus detailed descriptions thereof will be omitted.
  • DHCP server 60 is a device for allocating a secure IP address to the first terminal 10
  • the function of the DHCP server 60 and a method for allocating a secure IP address is known in the embodiment of the present invention will be described in detail. Omit.
  • the function of the first router 40 also performs the function of a general router, detailed description thereof will be omitted in the exemplary embodiment of the present invention.
  • the IP packet passing through the first router 40 flows into the secure IP gateway 110 located in the Internet network.
  • the secure IP gateway 110 performs a network address translation (NAT) for converting the secure access IP to the secure core IP or converting the secure core IP to the secure access IP.
  • NAT network address translation
  • the security IP gateway 110 determines whether the first terminal 10 for the source IP and the second terminal 20 having the destination IP are included in one group based on the group mapping information that is previously grouped and stored. Check it.
  • the secure IP gateway 110 blocks IP packets generated from terminals not set as a group from being delivered to the terminal having the destination IP.
  • the secure IP gateway 110 also functions as a general gateway. The structure of this secure IP gateway 110 will be described later.
  • the secure IP gateway 110 interworks with a CMS (Control & Management System) (hereinafter, referred to as a 'control unit' for convenience of description) 120.
  • CMS Control & Management System
  • the control unit 120 generates group mapping information for the terminals configured as a group in advance and provides the same to the secure IP gateway 110.
  • the group mapping information includes group identification information and security core IP information of each of the terminals belonging to the group.
  • control unit 120 receives security core IP information set in each of the terminals included in the group from the outside and generates the group as a group, and the method for generating a group is already known and a detailed description thereof will be omitted.
  • control unit 120 is physically separated and described as an example of interworking with the secure IP gateway 110, but the secure IP gateway 110 performs a function of the control unit 120 to perform the function of the secure IP gateway 110. It may be installed in the gateway 110. In this case, group mapping information is manually input from the outside to the secure IP gateway 110.
  • the secure IP gateway 110 is connected to the second router 50, and the IP packet passing through the second router 50 is delivered to the second terminal 20 as a destination.
  • the functions of the first router 40 and the second router 50 may perform various functions including general router functions, which will not be described in detail in the embodiment of the present invention.
  • FIG. 2 is an exemplary diagram of a secure IP gateway according to a first embodiment of the present invention.
  • the secure IP gateway 110 includes a first NAT 111, a security group determining apparatus 112, and a second NAT 113.
  • the first NAT 111 executes NAT to perform a NAT on the first secure access IP address, which is a source IP for the first terminal 10 that has transmitted the received IP packet. 1 Create a secure core converted to IP.
  • the security group determining apparatus 112 When the security group determining apparatus 112 receives an IP packet including a first security core IP, a second security core IP, and a packet from the first NAT 111, the security group determining apparatus 112 checks the group mapping information for the first security core IP. It is checked whether the first terminal 10 as the source terminal and the second terminal 20 as the destination terminal are the terminals grouped in the same group.
  • the group mapping information is received from the control unit 120 and stored in advance in the security group determining apparatus 112.
  • the group mapping information includes security core IP and group mapping identification information for each of a plurality of terminals included in the group. Included.
  • the security group determination apparatus 112 When the security group determination apparatus 112 confirms that the source terminal is not formed in the group, the security group determination apparatus 112 blocks transmission of the IP packet to be transmitted to the destination terminal.
  • the second NAT 113 When the second NAT 113 receives the IP packet passing through the security group determining apparatus 112, the second NAT 113 performs NAT with the second security access IP as the second security core IP included in the IP packet.
  • the security core IP and the security access IP that are converted when NAT is performed in the first NAT 111 and the second NAT 113 will be described with an example in which IPs generated by converting respective IPs are determined.
  • the first NAT 111, the security group determination unit 112 and the second NAT 113 is included in the secure IP gateway 110, but the first NAT (111) ),
  • the security group determination device 112 and the second NAT 113 may be included in the grouping device 100 as three components that are not included in the security IP gateway 110 but are physically independent.
  • the physically independent security group determining apparatus 112 receives the group mapping information from the controller 120 and checks whether the source terminal and the destination terminal are included in the same group.
  • first NAT 111, the security group determination device 112, and the second NAT 113 are illustrated as hardware components in the exemplary embodiment of the present invention, the first NAT 111, the security group determination device 112, and the second NAT 113 may be implemented as a program to be performed as a function.
  • the secure IP gateway 110 may perform a NAT function and a security group determination function.
  • the program may be driven to perform a corresponding function to components other than the secure IP gateway 110.
  • the arbitrary component may receive group mapping information, a group policy, and the like from the controller 120.
  • a method of performing IP communication between grouped terminals in the environment described above will be described with reference to FIG. 3. 3 illustrates only components necessary for secure IP communication, but is not necessarily limited thereto.
  • a source IP assigned to the first terminal 10 is referred to as a first security access IP
  • an IP generated by NAT performing the first security access IP is referred to as a first security core IP.
  • the destination IP assigned to the second terminal 200 is referred to as a second security core IP by generating a NAT to the second security access IP and the second security access IP address.
  • FIG. 3 is a flowchart illustrating a method for secure IP communication between grouped terminals according to the first embodiment of the present invention.
  • the first terminal 10 generates a first IP packet and uses the second secure core IP of the second terminal 20, which is a destination terminal to transmit the packet, to the L3 router 30. Transmit (S100).
  • the first IP packet includes a packet to be transmitted to the second terminal 20, a first secure access IP of the first terminal 10, and a second secure core IP of the second terminal 20.
  • the L3 router 30 checks whether the first secure access IP and the second secure core IP are previously authorized for secure IP communication or set in the ACL among the first IP packets received in step S100 (S101). ). In the ACL stored in the L3 router 30, a plurality of IP lists previously permitted for secure IP communication are stored. In the case of other IPs, the control is prevented from using the secure IP communication service.
  • step S101 when it is confirmed in step S101 that at least one of the first security access IP and the second security core IP is not set by the ACL, the L3 router 30 blocks the passage of the first IP packet. However, if both the first secure access IP and the second secure core IP correspond to IPs set in the ACL, the L3 router 30 forwards the first IP packet to the secure IP gateway 110 (S102).
  • the first NAT 111 of the secure IP gateway 110 converts the first secure access IP of the first IP packet received in step S102 into a first secure core IP through NAT execution (S103).
  • the first security core IP converted in step S103 is included in an IP packet, and the generated second IP packet is transmitted to the security group determining apparatus 112 (S104).
  • the security group determining apparatus 112 checks the group mapping information whether the first security core IP and the second security core IP included in the second IP packet are included in one group (S106). If the terminal 10 assigned the first security core IP does not belong to any group, or the first security core IP belongs to the group, but the terminal 20 assigned the second security core IP does not belong to the group. If it is confirmed that, the security group determination device 112 blocks the IP packet transmitted to the second terminal 20.
  • step S106 if the first security core IP and the second security core IP are set to belong to the same group, the security group determining apparatus 112 transmits the second IP packet to the second NAT 113. (S107).
  • the second NAT 113 converts the second secure access IP by executing NAT on the second secure core IP included in the second IP packet (S108).
  • the second secure access IP generated in step S108 is included in an IP packet instead of the second secure core IP, and a packet including the second secure access IP is generated as a third IP packet.
  • the generated third IP packet is transmitted to the second terminal 20 to which the second secure access IP is assigned (S109).
  • the second terminal 20 receives the third IP packet transmitted in step S109 and checks the packet transmitted from the first terminal 10 (S110). The response procedure notifying that the second terminal 20 has received the packet will reverse the procedure described in steps S100 to S109.
  • the second secure access IP of the second terminal 20 becomes the source IP
  • the first secure core IP of the first terminal 10 becomes the destination IP.
  • the second secure access IP, which is the source IP is converted to the second secure core IP at the second NAT 113
  • the first secure core IP, which is the destination IP is converted to the first secure access IP at the first NAT 111.
  • Other procedures are the same as those described above.
  • the secure IP communication described above will be described with reference to FIG. 4 by way of example.
  • the IP address referred to in FIG. 4 or the IP generated by translation is one example, and is not necessarily limited thereto.
  • FIG 4 is an exemplary diagram of secure IP communication according to the first embodiment of the present invention.
  • the security IP included in the ACL set in the L3 router 30 includes security access IPs from 169.208.0.1 to 169.208.0.254, and security core IPs from which these security access IPs are converted from 39.28.0.1 to 39.28. Corresponds to IPs up to 0.254.
  • the IP packet is blocked at the L3 router 30.
  • the secure IP gateway 110 specifies IPs generated by conversion between secure access IP and secure core IP. In other words, if the security access IP is 169.208.0.1, if the NAT is applied, it is converted to the security core IP of 39.28.0.1.
  • the secure core IP is not only generated from the secure access IP, but can also be translated from the generic IP used for public IP communication.
  • the secure IP gateway 110 also stores and manages the group mapping information set by the controller 120.
  • the group mapping information includes a plurality of security core IPs assigned to each of a plurality of terminals forming a group and group identification information.
  • the group identification information is # 01. 39.28.0.1 and 39.28 It is shown that two terminals with a secure core IP of .0.2 form a group.
  • the first terminal 10 shown in FIG. 4 wants to transmit a packet to the second terminal 20
  • the first terminal 10 is an IP packet to 39.28.0.2, which is a secure core IP of the second terminal 20.
  • the IP packet includes a packet to be transmitted to the second terminal 20, 169.208.0.1, which is a secure access IP of the first terminal 10, and 39.28.0.2, which is a secure core IP of the second terminal 20.
  • the L3 router 30 checks two IP information, 169.208.0.1 and 39.28.0.2, in the IP packet transmitted from the first terminal 10 and checks whether it is set in the ACL. Since both IPs are configured in the L3 router 30, the L3 router 30 forwards the IP packet to the secure IP gateway 110.
  • the first NAT 111 of the secure IP gateway 110 converts 169.208.0.1, the secure access IP of the first terminal 10 included in the IP packet, to 39.28.0.1, the secure core IP. Then, it is checked whether the converted 39.28.0.1 and the destination terminal, that is, 39.28.0.2 which is the security core IP for the second terminal 20 form a group. According to the group mapping information # 01, since the two terminals form a group, the IP packet is transmitted to the second terminal 20.
  • the second NAT 113 executes NAT on the security core IP 39.28.0.2 of the second terminal 20 included in the IP packet and converts the destination IP to 2.2.2.2.
  • the IP packet is delivered to the second terminal 20 having 2.2.2.2 as the IP address.
  • the terminal shown as the third terminal of Figure 4 attempts secure IP communication to the second terminal formed in a group. It is assumed that the third terminal is a terminal not included in the group, the security access IP of the third terminal is 169.208.0.3, and the security core IP changed when NAT is executed is 39.28.0.3.
  • the third terminal may attempt to transmit the IP packet in two forms. First, as shown in 1, it is assumed that communication starts with a source IP of 169.208.0.3 and a destination IP of 2.2.2.2, which is a public IP.
  • the L3 router 30 determines whether the two IPs are allowed for secure IP communication through the stored ACL. Check it. In this case, since the source IP is an allowed IP, but the destination IP 2.2.2.2 is an IP not allowed for secure IP communication according to the ACL, the L3 router 30 blocks the IP packet generated by the third terminal.
  • the L3 router 30 transfers the IP packet generated by the third terminal to the secure IP gateway 110 because both IPs 169.208.0.3 and 39.28.0.2 are allowed through the ACL.
  • the secure IP gateway 110 confirms that the third terminal is a terminal that does not belong to the group in the process of confirming the group mapping information. That is, when the source IP of the third terminal is changed to 39.28.0.3, which is the security core IP, through the first NAT 111, the terminal having the IP address of 39.28.0.3 does not belong to the group having the IP address 39.28.0.2. It can be seen. Accordingly, the secure IP gateway 110 blocks the transmitted IP packet.
  • the source IP of the third terminal may be 169.208.0.3 or the user may change the IP setting to 169.208.0.1 assigned to the first terminal and then transmit the IP packet.
  • the group mapping information stored in the security IP gateway 110 may be managed by including the unique identification information allocated to the terminal.
  • the secure IP gateway 110 may be designed to block the IP packet after receiving the unique identification information of the third terminal together with the changed secure access IP transmitted from the third terminal, comparing the previously stored information.
  • the secure IP gateway 110 performs user authentication through communication with the third terminal, if the corresponding user confirms that the user is the user of the first terminal 10, the IP packet 110 to be transmitted to the second terminal 20 may be transmitted. You can also do that.
  • Detailed description of an example in which the terminal with the changed security access IP is used as the source terminal will be omitted.
  • FIG. 5 is an exemplary diagram of an environment for providing a secure IP communication service according to a second embodiment of the present invention.
  • the environment for providing the secure IP communication service according to the second embodiment of the present invention is similar to the environment described with reference to FIG. 1.
  • a secure DNS 130, an in-house web server 140, an enterprise router 70, a proxy server 80, and an enterprise server 90 are additionally interworked with the secure IP gateway 110.
  • the secure DNS 130 stores the access address and the IP address of the company web server 140 so that the terminal 10 moves the access address to the company web server 140 to use the communication service. And when the corresponding address is raised to the secure IP gateway 110, and controls to be connected to the in-house web server 140
  • the company's web server 140 When the company's web server 140 receives a web access address from the secure IP gateway 110, the company's web server 140 receives information from an enterprise server 90 that provides a communication service at the web access address. At this time, the secure IP gateway 110 receives the information transmitted from the enterprise server 90 through the proxy server 80 and the corporate router 70 and delivers the information to the company web server 140. In addition, the company web server 140 provides the received information to the user of the terminal 10 through the secure IP gateway 110.
  • the functions of the secure DNS 130, the internal web server 140, the corporate router 70, the proxy server 80, and the corporate server 90 are the same as those of the general DNS, the web server, the router, and the proxy server, In the embodiments of the present invention, detailed descriptions are omitted. That is, the process of transmitting an IP packet from the terminal 10 to the secure IP gateway 110 is performed in the same manner as described in the first embodiment of the present invention.
  • the second terminal 10 may be the internal web server 140 of FIG. 5.
  • a closed communication service such as preventing access to an external site by using an in-house terminal at a preset time (for example, a designated working time) may be provided.
  • An example of a method of providing a secure IP communication service in an environment of providing a closed communication service is as follows.
  • the secure DNS 130 when an internal terminal attempting to access an IP communication transmits an IP packet with a destination IP address of 202.175.1.1, the terminal is connected to an enterprise server 90 that provides a communication service at the corresponding address.
  • the IP address 39.28.0.5 of the in-house web server 140 is stored together with 202.175.1.1 so that it is connected to the in-house web server 140 without being connected.
  • the secure IP gateway 110 checks whether there is an address set by the secure DNS 130 when an IP addressed to 202.175.1.1 is transmitted from the terminal 10. If there is a setting address, 202.175.1.1 transfers the IP packet to the company web server 140 without transmitting the IP packet to the corporate server 90 as the destination.
  • the company web server 140 checks the destination address from the IP packet transmitted from the secure IP gateway 110, and then the company web server 140 receives information from the corporate server 90, which is the destination address, to the terminal 10. to provide. Even if the terminal 10 in the environment providing the secure IP communication service generates an IP packet in order to use the communication service provided from a server connected to the general network, external information is not provided to the outside web. You can check through the server.
  • a service for providing a closed communication service to a terminal in a public Internet network is referred to as a 'secure IP communication service', but is not necessarily limited thereto.
  • an IP used to transmit an IP packet through IP communication in a public Internet network is referred to as a 'public IP' according to the type of IP.
  • the IP used to transmit an IP packet through secure IP communication is referred to as a 'secure IP'.
  • FIG. 6 is an exemplary diagram of a communication system for providing a secure IP communication service according to a third embodiment of the present invention.
  • an environment for providing a secure IP communication service transmits an IP packet to a second terminal 20 'which is a destination terminal for IP communication.
  • the first terminal 10 ' requests the IP allocation to the secure IP router 200 in order to transmit the IP packet.
  • the IP packet transmitted by the first terminal 10 ' includes a source IP of the first terminal 10', a destination IP of the second terminal 20 ', and a packet. It is assumed that the first terminal 10 'already knows the destination IP for the second terminal 20', and the method of obtaining the destination IP by the first terminal 10 'can be performed through various methods. In the embodiment of the present invention, detailed description is omitted.
  • the destination IP is any one of a public IP of the second terminal 20 'or a secure IP generated by the dynamic host configuration protocol (DHCP) server 60' through the public IP, and the DHCP server 60 'is a secure IP. Detailed description of how to generate and provide to the terminal is omitted.
  • the secure IP router 200 may include a control & management system (CMS) (hereinafter, referred to as a 'control unit' for convenience of description) 400, a first terminal 10 ′, a DHCP server 60 ′, and a gateway 500. And the secure IP gateway 300, and receives and updates control information from the control unit 400.
  • the control information includes IP change management information, routing table information, and security policy.
  • the IP change management information is reference information for determining whether to change to another IP by checking the destination IP included in the IP packet when the first terminal 10 'attempts to transmit the IP packet. That is, when the destination IP included in the IP packet is one of a plurality of specific destination IPs preset by the IP change management information, the destination IP is changed according to the IP change management information to generate the change destination IP.
  • the IP change management information includes a plurality of preset specific IPs among the plurality of IPs, and change IPs to be changed by performing NAT on the specific IPs.
  • the routing table information includes information of a plurality of secure IPs which are preset to transmit IP packets through secure IP communication.
  • the security policy includes preset communication blocking target information (eg, IP, port or protocol information).
  • preset communication blocking target information eg, IP, port or protocol information.
  • the secure IP router 100 compares the destination address included in the IP packet transmitted from the first terminal 10 'with the control information, and then executes NAT (Network Address Translation) to change the destination IP.
  • NAT Network Address Translation
  • the security IP router 200 compares the source IP and the destination IP of the first terminal 10 'that generated the IP packet with a previously stored security policy, and determines whether to block communication for transmitting the IP packet. You may decide.
  • the secure IP router 200 routes IP packets to be delivered using a public network or routes IP packets through a secure IP gateway according to the type of the source IP (public IP or secure IP) or the destination IP. do.
  • the secure IP router 200 requests an IP assignment for the secure IP router 200 itself to the DHCP server 60 ', or the secure IP router 200 assigns an IP of the first terminal 10'. It may be.
  • the secure IP router 200 may also perform a function of a general router, and a detailed description thereof will be omitted in the embodiment of the present invention.
  • This secure IP router 200 is referred to as an IP communication service providing apparatus in the embodiment of the present invention, the structure of the secure IP router 200 will be described later with reference to FIG.
  • the IP packet passing through the secure IP router 200 is delivered to either the secure IP gateway 300 or the gateway 500. That is, when providing a public IP communication service to the first terminal 10 ', the IP packet is delivered to the gateway 500, and when providing a secure IP communication service to the first terminal 10', the secure IP gateway. Forward the IP packet to 300.
  • the DHCP server 60 ' is connected to the secure IP router 200 and allocates a secure IP and a public IP for the secure IP router 200.
  • the method of allocating the secure IP address and the public IP address by the DHCP server 60 ' may be assigned through various methods, and thus detailed descriptions thereof will be omitted.
  • the secure IP gateway 300 is a gateway for providing a closed communication service in a public Internet network, and performs a separate function for providing a closed communication service as well as a function of a general gateway. To this end, the IP packet delivered to the secure IP gateway 300 is based on the security policy checked by the secure IP router 200 when the source IP of the first terminal 10 'that generated the IP packet is a secure IP or the secure IP router 200. The delivery to the secure IP gateway 300 will be described as an example, but is not necessarily limited thereto.
  • the controller 400 interworks with the secure IP gateway 300 and the secure IP router 200, and provides the IP change management information, the security policy, and the routing table information to the secure IP router 200.
  • the IP change management information, the security policy, and the routing table information are described as an example of being delivered to the secure IP router 200 at predetermined intervals, but are not necessarily limited thereto.
  • the gateway 500 is connected to the secure IP router 200 and the second terminal 20 ', and delivers the IP packet transmitted from the secure IP router 200 to the second terminal 20' through the public Internet network. do.
  • the IP packet delivered to the gateway 500 performs public IP communication according to a policy confirmed by the secure IP router 200 or when the source IP of the first terminal 10 ′ that generated the IP packet is a public IP or the security IP router 200.
  • it is described as being delivered to the gateway 500, but is not necessarily limited thereto.
  • the function of the gateway 500 is already known, and detailed description thereof will be omitted in the exemplary embodiment of the present invention.
  • the second terminal 20 ′ receives an IP packet transmitted through either the secure IP gateway 300 or the gateway 500.
  • FIG. 7 is a structural diagram of a secure IP router according to a third embodiment of the present invention.
  • the secure IP router 200 includes an IP address requester 201, an IP address allocator 202, an IP change manager 203, a routing table manager 204, and an IP processor 205. , A security policy management unit 206 and a communication unit 207.
  • the IP address request unit 201 requests the assignment of the own IP of the secure IP router 200 to the DHCP server 60 '. And it receives the assigned IP from the DHCP server 60 ', the IP assigned in the DHCP server 60' includes a public IP and a security IP.
  • the IP address assignment unit 202 When the IP address assignment unit 202 receives an IP allocation request for the first terminal 10 'from the first terminal 10', the IP address assignment unit 202 allocates the IP by a predetermined rule, such as the DHCP server 60 '. Give it.
  • a predetermined rule such as the DHCP server 60 '.
  • An IP assigned to the first terminal 10 ' is described as an example of a private IP, and the first terminal 10' transmits an IP packet to the secure IP router 200 using the allocated private IP.
  • the method of allocating the IP for the first terminal 10 'by the IP address allocator 202 may also be performed through various methods, and thus, the exemplary embodiment of the present invention is not limited to any one method.
  • the IP change management unit 203 receives, updates, and stores IP change management information transmitted according to a preset period from the control unit 400. Then, the destination IP included in the IP packet to be transmitted from the first terminal 10 'is checked, and it is checked whether the confirmed destination IP is an IP to be converted according to the control information.
  • the IP change management information includes a plurality of preset specific IPs and changed IPs to be changed by executing NAT on the specific IPs. Therefore, the IP change management unit 203 checks whether the destination IP corresponds to a specific IP, and does not convert the destination IP if the destination IP included in the IP packet does not correspond to the specific IP.
  • the destination IP changed through the IP change manager 203 may be a public IP or a secure IP.
  • the destination IP included in the IP packet is referred to as the first destination IP and the destination IP which has not been changed or changed through the IP change management unit 203 as the second destination IP.
  • the routing table manager 204 receives, updates, and stores routing table information transmitted according to a preset period from the controller 400.
  • the routing table information is a list of IPs previously allowed to use the secure IP communication service, and a list of a plurality of secure IPs is stored as a routing table.
  • the IP processing unit 205 checks the second destination IP output from the IP change management unit 203 and compares the second destination IP with routing table information stored in the routing table management unit 204. If the second destination IP is one of the secure IPs stored in the routing table, the IP processing unit 205 changes the source IP included in the IP packet to the secure IP assigned to the secure IP router 200.
  • the IP processing unit 205 changes the source IP included in the IP packet to the public IP assigned to the secure IP router 200.
  • the source IP of the first terminal 10 ′ included in the IP packet is referred to as a 'first source IP', and the IP processing unit 205 uses the secure IP router 200.
  • the source IP changed to either the public IP or the secure IP of) is referred to as a 'second source IP'.
  • the security policy manager 206 receives, updates, and stores the security policy transmitted according to a preset period from the controller 400.
  • the security policy includes previously set communication blocking target information (for example, IP, port or protocol information).
  • the security policy manager 206 receives the security policy from the controller 400 as an example, but may be set in advance.
  • the security policy management unit 206 is included in the IP packet transmitted from the IP processing unit 205, and information such as port information or protocol to which the second source IP, the second destination IP, or the IP packet is to be transmitted is information for blocking communication. Make sure it is included in the. It decides whether to block communication according to the checked security policy.
  • the communication unit 207 permits the transmission of the IP packet by the security policy management unit 206, the communication method of either secure IP communication or public IP communication based on the second source IP and the second destination IP included in the IP packet.
  • the IP packet is transmitted to the second terminal 20 ′ through.
  • a method of performing secure IP communication or public IP communication according to an IP address in a communication network including the secure IP router 200 described above will be described with reference to FIG. 8.
  • FIG. 8 is a flowchart illustrating an IP communication method according to a third embodiment of the present invention.
  • the secure IP router 200 requests an IP allocation for itself to the DHCP server 60 ′ (S200).
  • the DHCP server 606 allocates the public IP and the security IP of the secure IP router 200 according to the request of step S200, and delivers the public IP and the secure IP to the secure IP router 200 (S201).
  • the secure IP router 200 receives control information from the controller 400 according to a preset period (S202).
  • the control information includes IP change management information, routing table information, and security policy.
  • the secure IP router 200 When the first terminal 10 'connected to the secure IP router 200 requests IP allocation to the secure IP router 200 for IP communication with the second terminal 20' (S203), the secure IP router ( 200 generates a private IP for the first terminal 10 'and delivers it to the first terminal 10' (S204 and S205).
  • the method for generating the private IP for the first terminal 10 'by the secure IP router 200 in step S204 is generated according to a preset rule used when the DHCP server 60' generates the IP.
  • the first terminal 20 transmits an IP packet using the private IP received from the secure IP router 200 in step S205 (S206).
  • the IP packet includes the private IP of the first terminal 10 'as the first source IP, and the first destination IP and the packet for the second terminal 20'.
  • the method of obtaining the first destination IP for the second terminal 20 'by the first terminal 10' may be obtained through various methods, and a detailed description thereof will be omitted.
  • the IP change management unit 203 checks the first destination IP included in the IP packet received in step S206 (S207). Then, it is checked whether the checked first destination IP is an IP included in the IP change management information in the control information received in step S202 (S208).
  • the first destination IP is an IP included in the IP change management information
  • the first destination IP is changed to the second destination IP by performing NAT on the first destination IP (S209).
  • the changed second destination IP may be a secure IP or a public IP.
  • the first IP destination IP is set as the second destination IP.
  • the IP processor 205 compares the second destination IP generated by the IP change manager 203 with the routing table information stored in the routing table manager 204 and checks whether the second destination IP is a secure IP (S210). ).
  • the routing table contains addresses for secure IPs. In addition to the secure IP address, the routing table may include additional information.
  • the IP processing unit 205 uses the second destination IP identified in step S210 and the routing table managed by the routing table management unit 204, and when the second destination IP is a secure IP, the IP source server 205 uses the DHCP server 60. ') Is changed to the secure IP assigned to the secure IP router 200 to determine the second source IP. If the second destination IP is not included in the routing table, the public IP assigned to the secure IP router 200 is changed to the second source IP (S211). Through steps S210 and S211, the secure IP router 200 recognizes whether to transmit an IP packet through public IP communication or an IP packet through secure IP communication.
  • the security policy manager 206 determines whether to allow communication to transmit the IP packet based on the stored security policies (S212).
  • the security policy may be transmitted from the control unit 400 or may be set in advance in the secure IP router 200, and may be included in an IP packet transmitted from the IP processing unit 205 to store the second source IP or the second destination IP or IP packet. It is determined whether the communication is blocked by checking whether information such as port information or protocol of the first terminal 10 ′ to be transmitted is included in the communication blocking target information.
  • the communication unit 207 blocks the transmission of the IP packet (S213). However, if it is determined that the communication is allowed in step S212, the communication unit 207 transmits the IP packet to the second terminal 20 'over the public network (S214, S215), or the second terminal (through the secure IP gateway 300) 20 ') to transmit the IP packet (S216, S217).
  • the secure IP router 100 is 168.126.0.1 as the public IP allocated from the DHCP server 60 ', and the secure IP is 169.208.0.1.
  • the IP assigned to the first terminal 10 'by the secure IP router 200 is 192.168.0.1, and the public IP of the second terminal 20' is 2.2.2.2 and the secure IP is 39.28.0.2.
  • the routing table also contains secure access IPs from 169.208.0.1 to 169.208.0.254 as the IPs allowed for secure IP communication, and IPs from 39.28.0.1 to 39.28.0.254, the secure core IPs to which these secure access IPs are translated. Assume that it is defined as
  • 2.2.2.2 is stored as a specific IP in the IP change management information, and 2.2.2.2 is set to be converted to 39.28.0.2.
  • 2.2.2.2 which is a specific IP, is mentioned in the IP change management information, but is not limited thereto.
  • the IP packet received by the secure IP router 200 includes a first packet.
  • the source IP is 192.168.0.1
  • the first destination IP is 2.2.2.2
  • the packet is included.
  • the first source IP corresponds to a private IP assigned to the first terminal 10 '.
  • the IP change management unit 203 checks the first destination IP in the received IP packet. Since the first destination IP is included in the IP change management information, the IP change management unit 203 generates a second destination IP by converting 2.2.2.2, which is the first destination IP, to 39.28.0.2. When the second destination IP is generated, the IP processing unit 205 checks whether the second destination IP is included in the routing table set as an IP for secure IP communication.
  • the IP processing unit 205 confirms that the second destination IP is the secure IP. Accordingly, the IP processing unit 205 determines the second source IP by changing the first source IP set as the IP of the first terminal 10 'to 169.208.0.1, which is the security IP assigned to the secure IP router 200. do.
  • the second source IP included in the IP packet is 169.208.0.1
  • the second destination IP is 39.28.0.2
  • the IP packet can be transmitted to the second terminal 20 'through secure IP communication.
  • the security policy manager 206 determines whether to allow communication for the transmission of the IP packet according to a prestored security policy. If it is determined that the communication is allowed, the communication unit 207 transfers the communication to the second terminal 20 ′ through the secure IP gateway 300. Since the security policy is not limited to any one form, the description thereof is omitted in the embodiment.
  • security IP communication is described as an example, and public IP communication is described as an example.
  • the IP packet received by the secure IP router 200 has a first source IP of 192.168.0.1 and a first packet.
  • the destination IP is 202.175.1.1 and contains the packet.
  • the first source IP corresponds to a private IP assigned to the first terminal 10 '.
  • the IP change management unit 203 checks the first destination IP in the received IP packet. Since 202.175.1.1, the first destination IP, is not included in the IP change management information, the second destination IP is also determined to be 202.175.1.1.
  • the IP processing unit 205 checks whether the second destination IP is included in the routing table of the routing table management unit 204.
  • the IP processing unit 205 confirms that the second destination IP is a public IP.
  • the second source IP is determined by changing the first source IP set as the IP of the first terminal 10 'to 168.126.0.1 which is the public IP assigned to the secure IP router 100. Accordingly, the second source IP set in the IP packet is 168.126.0.1, the second destination IP is 202.175.1.1, and the IP packet can be transmitted to the second terminal 20 'through public IP communication.
  • the security policy management unit 206 determines whether to allow communication for the transmission of the IP packet according to the security policy stored in advance, and if it is determined to allow the communication, the communication unit ( 207 transmits to second terminal 20 ′ through gateway 500. Since the security policy is not limited to any one form, the description thereof is omitted in the embodiment.

Abstract

보안 IP 통신 서비스 제공 장치가 제1 단말과 제2 단말 사이에 보안 IP 통신 서비스를 제공하기 위하여, 보안 IP 통신 서비스 제공 장치는 제1 단말로부터 전송되는 IP 패킷에 포함된 제1 보안 코어 IP와 제2 보안 코어 IP를 토대로, 제1 단말과 제2 단말이 하나의 그룹으로 형성되어 있는지 확인하고, 제1 단말과 제2 단말이 그룹으로 형성되어 있으면 제1 단말로부터 전송된 IP 패킷을 제2 단말로 전달한다.

Description

보안 IP 통신 서비스를 제공하기 위한 장치, 방법 및 통신 시스템
본 발명은 보안 IP 통신 서비스를 제공하기 위한 장치, 방법 및 통신 시스템에 관한 것이다.
일반적으로 인터넷 서비스를 이용하고자 하는 단말들은 공중 IP 주소를 할당받은 후 공중 인터넷망에 접속하여 서비스를 이용한다. 인터넷 서비스를 이용하는 단말들은 다양한 형태가 있으며, POS 단말이나 CCTV, IoT 단말 등 다양한 형태가 있으며, 이들 단말들은 개인이 사용할 수도 있으나 사용자 그룹 형태로 묶여 기업 내에 설치될 수도 있다.
이때, 악의적인 제3자가 공중 인터넷망을 통해 단말에 제공되는 서비스를 변형시키거나 단말로 제공되는 IP 주소를 변경시키거나, DDos와 같은 IP 주소의 공격, 또는 사용자 그룹 형태로 묶인 단말에 할당된 IP 주소를 가로채는 경우에는, POS를 운영하는 매장형 프랜차이즈나 본사-지사/지점간 안전한 접속이 필요한 기업, CCTV 운영 기업이나 기관들은 안전한 서비스를 제공하지 못하는 문제점이 있다.
이를 위해, 트래픽을 암호화하거나 별도의 VPN 장비를 설치하여 서비스를 제공하고 있으나, VPN 헤더나 트래픽 암호화에 따른 통신 속도가 보장되지 않고, 고비용의 별도의 장비 설치에 따른 비용이 부과되는 단점이 있다.
이에 따라, 사용자 그룹을 외부에 노출시키지 않으면서도 별도의 VPN 장비 없이도 안전하게 인터넷 통신 환경의 제공이 요구되며, 사용자 그룹을 그룹핑하여 트래픽 암호화 없이도 통신 서비스를 이용할 수 있도록 하는 기술의 개발이 요구된다.
따라서, 본 발명은 따라서, 본 발명은 공중 인터넷 망에서 지정된 그룹간 폐쇄적인 통신 접속을 가능하게 하는 보안 IP 통신 서비스를 제공하는 보안 인터넷망에서 지정된 그룹간 폐쇄적인 통신 접속을 통해 IP 통신 서비스를 제공하기 위한 장치, 방법 및 통신 시스템을 제공한다.
상기 본 발명의 기술적 과제를 달성하기 위한 본 발명의 하나의 특징인 보안 IP 통신 서비스 제공 장치가 제1 단말과 제2 단말 사이에 보안 IP 통신 서비스를 제공하는 방법은,
상기 보안 IP 통신 서비스 제공 장치는 상기 제1 단말로부터 전송되는 IP 패킷에 포함된 제1 보안 코어 IP와 제2 보안 코어 IP를 토대로, 상기 제1 단말과 제2 단말이 하나의 그룹으로 형성되어 있는지 확인하는 단계; 및 상기 제1 단말과 제2 단말이 그룹으로 형성되어 있으면, 상기 제1 단말로부터 전송된 IP 패킷을 상기 제2 단말로 전달하는 단계를 포함한다.
상기 본 발명의 기술적 과제를 달성하기 위한 본 발명의 또 다른 특징인 보안 IP 통신 서비스 제공 장치가 단말에 보안 IP 통신 서비스를 제공하는 방법은,
상기 보안 IP 통신 서비스 제공 장치는 공중 인터넷 망에 위치한 제2 서버를 통해 통신 서비스를 이용하고자 하는 상기 단말로부터 IP 패킷을 수신하는 단계; 상기 IP 패킷에 포함되어 있는 상기 제2 서버의 IP 주소를 토대로, 상기 보안 IP 통신 서비스 제공 장치에 연결되어 있는 보안 DNS에 상기 제2 서버의 IP 주소에 대응되어 미리 저장된 제1 웹 서버의 IP 주소가 있는지 확인하는 단계; 및 상기 제1 웹 서버의 IP 주소가 있으면, 상기 보안 IP 통신 서비스 제공 장치는 제1 웹 서버를 통해 상기 제2 웹 서버에서 제공하는 통신 서비스의 정보를 수신하여 상기 단말로 전달하는 단계를 포함한다.
상기 본 발명의 기술적 과제를 달성하기 위한 본 발명의 또 다른 특징인 단말에 보안 IP 통신 서비스를 제공하는 보안 IP 통신 서비스 제공 장치는,
소스 단말이 생성한 IP 패킷에 포함되어 있는, 상기 소스 단말의 제1 보안 액세스 IP를 제1 보안 코어 IP로 변환하는 제1 NAT; 상기 제1 NAT에서 변환된 제1 보안 코어 IP와 상기 IP 패킷에 포함되어 있는 목적지 단말의 제2 보안 코어 IP를, 외부로부터 입력되어 미리 저장되어 있는 그룹 매핑 정보에서 확인하여, 상기 소스 단말과 목적지 단말이 동일한 그룹에 포함되어 있는지 확인하는 보안 그룹 판단 장치; 및 상기 제2 보안 코어 IP를 제2 보안 액세스 IP로 변환하는 제2 NAT를 포함한다.
상기 본 발명의 기술적 과제를 달성하기 위한 본 발명의 또 다른 특징인 단말에 보안 IP 통신 서비스를 제공하는 보안 IP 통신 서비스 제공 장치를 포함하는 보안 IP 통신 시스템은,
하나의 그룹으로 설정되어 있는 복수의 단말 각각에 할당되어 있는 보안 코어 IP들을 그룹으로 형성하여 그룹 매핑 정보를 생성하는 제어부; 및 단말에 할당된 보안 액세스 IP와 보안 코어 IP에 NAT를 실행하고, 보안 IP 통신 서비스의 이용을 위해 IP 패킷을 생성하는 소스 단말과, 상기 소스 단말이 생성한 IP 패킷을 수신할 목적지 단말이 동일한 그룹에 속해 있는지 확인하는 보안 IP 게이트웨이를 포함한다.
상기 본 발명의 기술적 과제를 달성하기 위한 본 발명의 또 다른 특징인 단말에 보안 IP 통신 서비스를 제공하는 IP 통신 서비스 제공 장치는,
IP 변경 관리 정보를 저장하고, 제1 단말로부터 전송되는 IP 패킷에 포함된 제1 목적지 IP를 상기 IP 변경 관리 정보에 따라 다른 IP로 변환을 수행할 수 있는 IP 변경 관리부; 보안 IP 통신 서비스를 제공하기 위한 복수의 보안 IP의 주소를 포함하는 라우팅 테이블을 관리하는 라우팅 테이블 관리부; 상기 IP 변경 관리부에서 변환 또는 변환되지 않은 목적지 IP가 상기 라우팅 테이블에 포함되는지 확인하고, 확인 결과에 따라 상기 IP 패킷에 포함되어 있는 제1 소스 IP를 제2 소스 IP로 변경하는 IP 처리부; 및 상기 IP 처리부에서 변경한 제2 소스 IP와 상기 IP 변경 관리부에서 변환 또는 변환되지 않은 목적지 IP를 토대로, IP 패킷을 공중 IP 통신 또는 보안 IP 통신 중 어느 하나의 통신을 통해 제2 단말로 전송하는 통신부를 포함한다.
상기 본 발명의 기술적 과제를 달성하기 위한 본 발명의 또 다른 특징인 IP 통신 서비스 제공 장치가 제1 단말과 제2 단말 사이에 IP 통신 서비스를 제공하는 방법은,
상기 제1 단말로부터 전송되는 IP 패킷에 포함된 제1 목적지 IP를 소정의 IP 변경 관리 정보에 따라 제2 목적지 IP로 변환 여부를 결정하는 단계; 제2 목적지 IP로 변환 결정된 경우 상기 변환된 제2 목적지 IP가 라우팅 테이블에 포함되는지 확인하고, 제2 목적지 IP로 변환되지 않은 경우 상기 제1 목적지 IP가 상기 라우팅 테이블에 포함되어 있는지 확인하는 단계; 상기 확인 결과에 따라 IP 패킷에 포함된 제1 소스 IP를 제2 소스 IP로 변경하는 단계; 및 변경된 제2 소스 IP와 목적지 IP를 토대로 상기 제1 단말에서 전송한 IP 패킷을 상기 제2 단말로 보안 IP 통신 또는 공중 IP 통신 중 어느 하나의 통신으로 전송하는 단계를 포함한다.
상기 본 발명의 기술적 과제를 달성하기 위한 본 발명의 또 다른 특징인 단말에 IP 통신 서비스를 제공하는 IP 통신 시스템은,
외부로부터 제1 IP 및 제2 IP를 할당 받고 제어 정보를 수신하며, 상기 단말로부터 전송되는 IP 패킷에 포함된 목적지 IP와, 상기 목적지 IP를 토대로 상기 제1 IP 또는 제2 IP 중 어느 하나의 IP로 변환되는 소스 IP에 따라, IP 패킷을 제1 IP 통신 또는 제2 IP 통신 중 어느 하나의 통신으로 전송할지 결정하는 IP 통신 서비스 제공 장치; 상기 IP 통신 서비스 제공 장치로 상기 제어 정보를 전달하는 제어부; 상기 IP 통신 서비스 제공 장치로 상기 제1 IP 및 제2 IP를 할당하여 제공하는 DHCP 서버; 상기 IP 통신 서비스 제공 장치가 상기 IP 패킷을 제1 통신을 통해 전송하는 것으로 결정하면, 상기 IP 패킷을 목적지 단말로 전송하는 제1 게이트웨이; 및 상기 IP 통신 서비스 제공 장치가 상기 IP 패킷을 제2 통신을 통해 전송하는 것으로 결정하면, 상기 IP 패킷을 목적지 단말로 전송하는 제2 게이트웨이를 포함한다.
본 발명에 따르면 사용자 그룹을 용이하게 설정하여, 그룹에 속하지 않는 단말로부터의 접속 시도를 차단할 수 있어 안전하게 인터넷 서비스를 제공할 수 있다.
또한, 듀얼 IP인 보안 IP와 공중 IP가 모두 할당된 IP 서비스 제공 장치를 통해 공중망에서 공중 IP 통신 서비스와 보안 IP 통신 서비스를 모두 제공할 수 있다.
도 1은 본 발명의 제1 실시예에 따른 보안 IP 통신 서비스를 제공하는 환경의 예시도이다.
도 2는 본 발명의 제1 실시예에 따른 보안 IP 게이트웨이의 예시도이다.
도 3은 본 발명의 제1 실시예에 따른 그룹핑된 단말 사이의 보안 IP 통신 방법에 대한 흐름도이다.
도 4는 본 발명의 제1 실시예에 따른 보안 IP 통신의 예시도이다.
도 5는 본 발명의 제2 실시예에 따른 보안 IP 통신 서비스를 제공하는 환경의 예시도이다.
도 6은 본 발명의 제3 실시예에 따른 보안 IP 통신 서비스를 제공하는 통신 시스템의 예시도이다.
도 7은 본 발명의 제3 실시예에 따른 보안 IP 라우터의 구조도이다.
도 8은 본 발명의 제3 실시예에 따른 IP 통신 방법에 대한 흐름도이다.
상기 본 발명의 기술적 과제를 달성하기 위한 본 발명의 하나의 특징인 보안 IP 통신 서비스 제공 장치가 제1 단말과 제2 단말 사이에 보안 IP 통신 서비스를 제공하는 방법은,
상기 보안 IP 통신 서비스 제공 장치는 상기 제1 단말로부터 전송되는 IP 패킷에 포함된 제1 보안 코어 IP와 제2 보안 코어 IP를 토대로, 상기 제1 단말과 제2 단말이 하나의 그룹으로 형성되어 있는지 확인하는 단계; 및 상기 제1 단말과 제2 단말이 그룹으로 형성되어 있으면, 상기 제1 단말로부터 전송된 IP 패킷을 상기 제2 단말로 전달하는 단계를 포함한다.
상기 본 발명의 기술적 과제를 달성하기 위한 본 발명의 또 다른 특징인 보안 IP 통신 서비스 제공 장치가 단말에 보안 IP 통신 서비스를 제공하는 시스템은,
하나의 그룹으로 설정되어 있는 복수의 단말 각각에 할당되어 있는 보안 코어 IP들을 그룹으로 형성하여 그룹 매핑 정보를 생성하는 제어부; 및 단말에 할당된 보안 액세스 IP와 보안 코어 IP에 NAT를 실행하고, 보안 IP 통신 서비스의 이용을 위해 IP 패킷을 생성하는 소스 단말과, 상기 소스 단말이 생성한 IP 패킷을 수신할 목적지 단말이 동일한 그룹에 속해 있는지 확인하는 보안 IP 게이트웨이를 포함한다.
상기 본 발명의 기술적 과제를 달성하기 위한 본 발명의 또 다른 특징인 단말에 IP 통신 서비스를 제공하는 IP 통신 서비스 제공 장치는,
IP 변경 관리 정보를 저장하고, 제1 단말로부터 전송되는 IP 패킷에 포함된 제1 목적지 IP를 상기 IP 변경 관리 정보에 따라 다른 IP로 변환을 수행할 수 있는 IP 변경 관리부; 보안 IP 통신 서비스를 제공하기 위한 복수의 보안 IP의 주소를 포함하는 라우팅 테이블을 관리하는 라우팅 테이블 관리부; 상기 IP 변경 관리부에서 변환 또는 변환되지 않은 목적지 IP가 상기 라우팅 테이블에 포함되는지 확인하고, 확인 결과에 따라 상기 IP 패킷에 포함되어 있는 제1 소스 IP를 제2 소스 IP로 변경하는 IP 처리부; 및 상기 IP 처리부에서 변경한 제2 소스 IP와 상기 IP 변경 관리부에서 변환 또는 변환되지 않은 목적지 IP를 토대로, IP 패킷을 공중 IP 통신 또는 보안 IP 통신 중 어느 하나의 통신을 통해 제2 단말로 전송하는 통신부를 포함한다.
상기 본 발명의 기술적 과제를 달성하기 위한 본 발명의 또 다른 특징인 IP 통신 서비스 제공 장치가 제1 단말과 제2 단말 사이에 IP 통신 서비스를 제공하는 방법은,
상기 제1 단말로부터 전송되는 IP 패킷에 포함된 제1 목적지 IP를 소정의 IP변경 관리 정보에 따라 제2 목적지 IP로 변환 여부를 결정하는 단계; 제2 목적지 IP로 변환 결정된 경우 상기 변환된 제2 목적지 IP가 라우팅 테이블에 포함되는지 확인하고, 제2 목적지 IP로 변환되지 않은 경우 상기 제1 목적지 IP가 상기 라우팅 테이블에 포함되어 있는지 확인하는 단계; 상기 확인 결과에 따라 IP 패킷에 포함된 제1 소스 IP를 제2 소스 IP로 변경하는 단계; 및 변경된 제2 소스 IP와 목적지 IP를 토대로 상기 제1 단말에서 전송한 IP 패킷을 상기 제2 단말로 보안 IP 통신 또는 공중 IP 통신 중 어느 하나의 통신으로 전송하는 단계를 포함한다.
아래에서는 첨부한 도면을 참고로 하여 본 발명의 실시예에 대하여 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자가 용이하게 실시할 수 있도록 상세히 설명한다. 그러나 본 발명은 여러 가지 상이한 형태로 구현될 수 있으며 여기에서 설명하는 실시예에 한정되지 않는다. 그리고 도면에서 본 발명을 명확하게 설명하기 위해서 설명과 관계없는 부분은 생략하였으며, 명세서 전체를 통하여 유사한 부분에 대해서는 유사한 도면 부호를 붙였다.
명세서 전체에서, 어떤 부분이 어떤 구성요소를 "포함"한다고 할 때, 이는 특별히 반대되는 기재가 없는 한 다른 구성요소를 제외하는 것이 아니라 다른 구성요소를 더 포함할 수 있는 것을 의미한다.
본 명세서에서 단말(terminal)은, 이동국(Mobile Station, MS), 이동 단말(Mobile Terminal, MT), 가입자국(Subscriber Station, SS), 휴대 가입자국(Portable Subscriber Station, PSS), 사용자 장치(User Equipment, UE), 접근 단말(Access Terminal, AT) 등을 지칭할 수도 있고, 이동 단말, 가입자국, 휴대 가입자 국, 사용자 장치 등의 전부 또는 일부의 기능을 포함할 수도 있다.
이하 도면을 참조로 하여, 본 발명의 실시예에 따른 보안 IP 통신 서비스를 제공하기 위한 장치 및 방법에 대해 설명한다. 본 발명의 실시예에서는 공중 인터넷 망에서 미리 지정된 그룹간에 폐쇄적인 통신 접속을 가능하게 하는 서비스를 '보안 IP 통신 서비스'라 지칭하나 반드시 이와 같이 한정되는 것은 아니다.
도 1은 본 발명의 제1 실시예에 따른 보안 IP 통신 서비스를 제공하는 환경의 예시도이다.
도 1에 대해 설명하기 앞서, n개의 단말들과 제2 단말(20)은 하나의 그룹으로 형성되어 있으며, 제3 단말은 그룹에 포함되지 않은 단말이라 가정한다. 그룹에 포함된 n개의 단말들 각각을 제1 단말(10)이라 지칭하며, 제1 단말(10)에서 제2 단말(20)로 IP 패킷을 송신한다고 가정한다.
여기서 제1 단말(10), 제3 단말은 보안 IP 통신 서비스를 제공하는 사내 망에 위치한 개인 컴퓨터 등이 될 수 있고, 제2 단말(20)은 사내 망에 위치한 서버가 될 수 있다. 그리고 제1 단말(10)에 부여된 IP인 소스 IP는 이후 설명할 DHCP(Dynamic Host Configuration Protocol) 서버(60)에 의해 생성된 보안 IP이고, 제2 단말(20)에 부여된 IP인 목적지 IP 역시 보안 IP라 가정한다. 각각의 단말에는 일반 IP도 부여되어 있으며, DHCP 서버(60)가 보안 IP를 생성하여 부여하는 방법에 대한 상세한 설명은 생략한다.
또한, 코어(Core) 영역 즉, 그룹핑 장치(100)에서 사용되는 IP를 보안 코어 IP(Secure Core IP)라 지칭한다. 그리고 액세스 영역, 즉 제1 단말(10)과 그룹핑 장치(100) 사이, 그룹핑 장치(100)와 제2 단말(20) 사이에서 사용되는 IP를 보안 액세스 IP(Secure Access IP)라 지칭하나, 반드시 이와 같이 한정되는 것은 아니다.
제1 단말(10)이 IP 패킷을 생성하여 목적지 IP인 보안 코어 IP로 IP 통신을 시작하면, 제1 단말(10)에 연결된 L3 라우터(30)는 제1 단말(10)로부터 IP 패킷과 함께, 소스 IP인 보안 액세스 IP(Secure Access IP) 및 목적지 IP에 대응하는 보안 코어 IP도 수신한다. 여기서 제1 단말(10)은 보안 코어 IP에 대해 이미 알고 있다고 가정하며, 제1 단말(10)이 제2 단말(20)의 보안 코어 IP를 획득하는 방법은 여러 방법을 통해 수행할 수 있으므로 본 발명의 실시예에서는 상세한 설명을 생략한다.
L3 라우터(30)는 제1 단말(10)에 대한 보안 액세스 IP와 제2 단말(20)에 대한 보안 코어 IP가, 미리 저장되어 있는 ACL(Access Control List)에 포함되어 있는지 확인한다. 여기서 ACL은 단말이 보안 IP 통신 서비스를 이용하기 위해 허용된 IP들에 대한 리스트로, 복수의 보안 액세스 IP들과 보안 코어 IP들에 대한 리스트가 저장되어 있다.
IP 패킷에 포함된 두 개의 IP 중 적어도 하나의 IP라도 ACL에 의해 허용되지 않은 IP라면, L3 라우터(30)는 제1 단말(10)로부터 전송되는 IP 패킷을 차단하여 보안 IP 통신 서비스를 이용하지 못하도록 제어한다. L3 라우터(30)는 IP 패킷의 차단여부를 결정하는 기능 이외에도, 일반적인 L3 라우터(30)로의 기능도 수행하며 이에 대한 사항은 이미 알려진 것으로 본 발명의 실시예에서는 상세한 설명을 생략한다.
L3 라우터(30)를 통과한 IP 패킷은 제1 라우터(40)로 전달되는데, 제1 라우터(40)에는 DHCP 서버(60)가 연결되어 있다. DHCP 서버(60)는 제1 단말(10)에 보안 IP 주소를 할당하는 장비로, DHCP 서버(60)의 기능이나 보안 IP 주소를 할당하는 방법은 이미 알려진 것으로 본 발명의 실시예에서는 상세한 설명을 생략한다. 그리고 제1 라우터(40)의 기능도 일반적인 라우터의 기능을 수행하므로, 본 발명의 실시예에서는 상세한 설명을 생략한다.
제1 라우터(40)를 통과한 IP 패킷은 인터넷 망에 위치한 보안 IP 게이트웨이(110)로 유입된다. 보안 IP 게이트웨이(110)는 보안 액세스 IP를 보안 코어 IP로 변환하거나, 보안 코어 IP를 보안 액세스 IP로 변환하는 NAT(Network Address Translation)를 수행한다. 또한, 보안 IP 게이트웨이(110)는 미리 그룹핑되어 저장되어 있는 그룹 매핑 정보를 토대로 소스 IP에 대한 제1 단말(10)과 목적지 IP를 갖는 제2 단말(20)이 하나의 그룹에 포함되어 있는지를 확인한다.
그리고 보안 IP 게이트웨이(110)는 그룹으로 설정되지 않은 단말에서 생성된 IP 패킷이 목적지 IP를 갖는 단말에 전달되지 않도록 차단하며, 이 외에도 일반적인 게이트웨이의 기능도 수행한다. 이러한 보안 IP 게이트웨이(110)의 구조는 이후 설명한다.
보안 IP 게이트웨이(110)는 CMS(Control & Management System)(이하, 설명의 편의를 위하여 '제어부'라 지칭함)(120)과 연동한다. 제어부(120)는 미리 그룹으로 설정된 단말들에 대한 그룹 매핑 정보를 생성하여 보안 IP 게이트웨이(110)에 제공한다. 그룹 매핑 정보는 그룹 식별 정보, 그룹에 속한 단말들 각각의 보안 코어 IP 정보들을 포함한다.
이를 위해 제어부(120)는 외부로부터 그룹에 포함되는 단말들 각각에 설정되어 있는 보안 코어 IP 정보를 수신하여 그룹으로 생성하며, 그룹 생성 방법은 이미 알려진 사항으로 상세한 설명을 생략한다. 본 발명의 실시예에서는 제어부(120)가 물리적으로 분리되어 보안 IP 게이트웨이(110)와 연동하는 것을 예로 하여 설명하나, 제어부(120)의 기능을 보안 IP 게이트웨이(110)가 수행하도록 프로그램으로 보안 IP 게이트웨이(110)에 설치될 수도 있다. 이 경우에는 외부로부터 수동으로 그룹 매핑 정보가 보안 IP 게이트웨이(110)로 입력된다.
보안 IP 게이트웨이(110)는 제2 라우터(50)와 연결되어 있으며, 제2 라우터(50)를 거친 IP 패킷은 목적지인 제2 단말(20)로 전달된다. 제1 라우터(40)와 제2 라우터(50)의 기능에는 일반적인 라우터 기능을 포함하여 여러 기능들을 수행할 수 있으며, 이에 대해서는 본 발명의 실시예에서는 상세한 설명을 생략한다.
이상의 환경에서 그룹핑 장치(100)에 포함되어 있는 보안 IP 게이트웨이(110)의 예에 대해 도 2를 참조로 설명한다.
도 2는 본 발명의 제1 실시예에 따른 보안 IP 게이트웨이의 예시도이다.
도 2에 도시된 바와 같이 보안 IP 게이트웨이(110)는 제1 NAT(111), 보안 그룹 판단 장치(112) 및 제2 NAT(113)를 포함한다.
제1 NAT(111)는 제1 라우터(40)로부터 IP 패킷을 수신하면, 수신한 IP 패킷을 전송한 제1 단말(10)에 대한 소스 IP인 제1 보안 액세스 IP 주소를 NAT를 실행하여 제1 보안 코어 IP로 변환 생성한다.
보안 그룹 판단 장치(112)는 제1 보안 코어 IP, 제2 보안 코어 IP 및 패킷을 포함하는 IP 패킷을 제1 NAT(111)로부터 수신하면, 제1 보안 코어 IP에 대한 그룹 매핑 정보를 확인하여 소스 단말인 제1 단말(10)과 목적지 단말인 제2 단말(20)이 동일한 그룹에 그룹핑된 단말인지 확인한다. 그룹 매핑 정보는 제어부(120)로부터 수신하여 보안 그룹 판단 장치(112)에 미리 저장되어 있는 것으로, 그룹 매핑 정보에는 그룹에 포함되어 있는 복수의 단말들 각각에 대한 보안 코어 IP와 그룹 매핑 식별 정보가 포함되어 있다.
보안 그룹 판단 장치(112)는 소스측 단말이 그룹에 형성되어 있지 않은 것으로 확인하면, 목적지 단말로 전송하고자 하는 IP 패킷의 전송을 차단한다.
제2 NAT(113)는 보안 그룹 판단 장치(112)를 통과한 IP 패킷을 수신하면, IP 패킷에 포함된 제2 보안 코어 IP를 제2 보안 액세스 IP로 NAT를 수행한다. 제1 NAT(111)와 제2 NAT(113)에서 NAT를 수행할 때 변환되는 보안 코어 IP와 보안 액세스 IP는 각각의 IP가 변환되어 생성되는 IP가 결정되어 있는 것을 예로 하여 설명한다.
본 발명의 실시예에서는 보안 IP 게이트웨이(110) 내에 제1 NAT(111), 보안 그룹 판단 장치(112) 및 제2 NAT(113)가 포함되는 형태로 예를 들어 설명하나, 제1 NAT(111), 보안 그룹 판단 장치(112) 및 제2 NAT(113)가 보안 IP 게이트웨이(110)에 포함되지 않고 물리적으로 독립된 세 개의 구성 요소로 그룹핑 장치(100)에 포함될 수도 있다. 이 경우, 물리적으로 독립된 보안 그룹 판단 장치(112)는 제어부(120)로부터 그룹 매핑 정보를 수신하여 소스측 단말과 목적지 단말이 동일한 그룹에 포함되어 있는지 확인하게 된다.
또한, 본 발명의 실시예에서는 제1 NAT(111), 보안 그룹 판단 장치(112) 및 제2 NAT(113)가 하드웨어적인 구성 요소로 도시하였으나, 프로그램 형태로 구현되어 기능으로 수행될 수도 있다. 프로그램 형태로 구현될 경우, 본 발명의 실시예에서와 같이 보안 IP 게이트웨이(110)가 NAT 기능과 보안 그룹 판단 기능을 수행할 수도 있다. 또는 보안 IP 게이트웨이(110)가 아닌 다른 구성 요소들에 해당 기능을 수행하도록 프로그램이 구동될 수도 있다.
만약 기능으로 임의의 구성 요소에 설치되는 경우에는, 보안 그룹 판단 기능을 수행하기 위해, 임의의 구성 요소는 제어부(120)로부터 그룹 매핑 정보와 그룹 정책 등을 수신할 수도 있다.
이상에서 설명한 환경에서 그룹핑된 단말 사이에 IP 통신을 수행하는 방법에 대해 도 3을 참조로 설명한다. 도 3에서는 보안 IP 통신을 위해 필요한 구성 요소들만을 도시하였으나, 반드시 이와 같이 한정되는 것은 아니다. 또한 제1 단말(10)에 할당된 소스 IP를 제1 보안 액세스 IP, 제1 보안 액세스 IP가 NAT를 실행하여 생성되는 IP를 제1 보안 코어 IP라 지칭한다. 그리고 제2 단말(200)에 할당된 목적지 IP를 제2 보안 액세스 IP, 제2 보안 액세스 IP 주소에 NAT를 실행하여 생성되는 IP를 제2 보안 코어 IP라 지칭한다.
도 3은 본 발명의 제1 실시예에 따른 그룹핑된 단말 사이의 보안 IP 통신 방법에 대한 흐름도이다.
도 3에 도시된 바와 같이, 제1 단말(10)이 제1 IP 패킷을 생성하고, 패킷을 전송할 목적지 단말인 제2 단말(20)의 제2 보안 코어 IP를 이용하여 L3 라우터(30)로 전송한다(S100). 이때, 제1 IP 패킷에는 제2 단말(20)로 전송할 패킷, 제1 단말(10)의 제1 보안 액세스 IP 및 제2 단말(20)의 제2 보안 코어 IP가 포함되어 있다.
L3 라우터(30)는 S100 단계에서 수신한 제1 IP 패킷 중, 제1 보안 액세스 IP와 제2 보안 코어 IP가 사전에 보안 IP 통신을 위해 허가된 IP인지, ACL에 설정되어 있는지 확인한다(S101). L3 라우터(30)에 저장되어 있는 ACL에는 보안 IP 통신을 위해 사전에 허가된 복수의 IP 리스트들이 저장되어 있으며, 이 외의 IP의 경우에는 보안 IP 통신 서비스를 이용하지 못하도록 제어하고 있다.
따라서, S101 단계에서 확인한 결과 제1 보안 액세스 IP와 제2 보안 코어 IP 중 적어도 하나의 IP가 ACL에 의해 설정되지 않은 것으로 확인하면, L3 라우터(30)는 제1 IP 패킷의 통과를 차단한다. 그러나, 제1 보안 액세스 IP와 제2 보안 코어 IP가 모두 ACL에 설정된 IP에 해당하면, L3 라우터(30)는 제1 IP 패킷을 보안 IP 게이트웨이(110)로 전달한다(S102).
보안 IP 게이트웨이(110)의 제1 NAT(111)는 S102 단계에서 수신한 제1 IP 패킷의 제1 보안 액세스 IP를 NAT 실행을 통해 제1 보안 코어 IP로 변환한다(S103). S103 단계에서 변환된 제1 보안 코어 IP는 IP 패킷에 포함되며, 이렇게 생성된 제2 IP 패킷이 보안 그룹 판단 장치(112)로 전달된다(S104).
보안 그룹 판단 장치(112)는 제2 IP 패킷에 포함되어 있는 제1 보안 코어 IP와 제2 보안 코어 IP가 하나의 그룹에 포함되어 있는지 그룹 매핑 정보를 확인한다(S106). 만약 제1 보안 코어 IP가 할당된 단말(10)이 어떠한 그룹에도 속해 있지 않거나, 제1 보안 코어 IP가 그룹에 속해 있으나 해당 그룹에 제2 보안 코어 IP가 부여된 단말(20)이 속해있지 않은 것으로 확인하면, 보안 그룹 판단 장치(112)는 제2 단말(20)로 전송되던 IP 패킷을 차단한다.
S106 단계에서 확인한 결과, 제1 보안 코어 IP와 제2 보안 코어 IP가 동일한 그룹에 속해 있는 것으로 설정되어 있다면, 보안 그룹 판단 장치(112)는 제2 IP 패킷을 제2 NAT(113)로 전달한다(S107). 제2 NAT(113)는 제2 IP 패킷에 포함되어 있는 제2 보안 코어 IP에 NAT를 실행하여 제2 보안 액세스 IP를 변환한다(S108).
S108 단계에서 생성된 제2 보안 액세스 IP는 제2 보안 코어 IP 대신 IP 패킷에 포함되며, 제2 보안 액세스 IP를 포함하는 패킷은 제3 IP 패킷으로 생성된다. 생성된 제3 IP 패킷은 제2 보안 액세스 IP가 할당되어 있는 제2 단말(20)로 전송된다(S109).
제2 단말(20)은 S109 단계에서 전송된 제3 IP 패킷을 수신하여, 제1 단말(10)로부터 전송된 패킷을 확인한다(S110). 제2 단말(20)이 패킷을 수신하였음을 알리는 응답 절차는 상기 S100 단계 내지 S109 단계에서 설명한 절차를 역으로 실행하게 된다.
응답 절차에서는 제2 단말(20)의 제2 보안 액세스 IP가 소스 IP가 되고, 제1 단말(10)의 제1 보안 코어 IP가 목적지 IP가 된다. 소스 IP인 제2 보안 액세스 IP는 제2 NAT(113)에서 제2 보안 코어 IP로 변환되고, 목적지 IP인 제1 보안 코어 IP는 제1 NAT(111)에서 제1 보안 액세스 IP로 변환된다. 이 외의, 다른 절차는 상기에서 설명한 절차와 동일하다.
이상에서 설명한 보안 IP 통신에 대해 도 4를 참조로 예를 들어 설명한다. 도 4에서 언급되는 IP 주소나 변환되어 생성된 IP는 하나의 예로, 반드시 이와 같이 한정되는 것은 아니다.
도 4는 본 발명의 제1 실시예에 따른 보안 IP 통신의 예시도이다.
도 4에 도시된 바와 같이, 제1 단말에 할당되어 있는 제1 보안 IP는 169.208.0.1이고, 제2 단말에 할당되어 있는 제2 보안 IP는 39.28.0.3이라 가정한다. 그리고, L3 라우터(30)에 설정되어 있는 ACL에 포함되어 있는 보안 IP는 169.208.0.1에서부터 169.208.0.254까지의 보안 액세스 IP와, 이들 보안 액세스 IP가 변환된 보안 코어 IP인 39.28.0.1에서부터 39.28.0.254까지의 IP들에 해당한다. 이 외의 IP를 소스 IP나 목적지 IP로 이용하는 경우, L3 라우터(30)에서 IP 패킷이 차단된다.
보안 IP 게이트웨이(110)에는 보안 액세스 IP와 보안 코어 IP 상호 변환에 따라 변환되어 생성된 IP들이 지정되어 있다. 즉, 보안 액세스 IP가 169.208.0.1인 경우 이를 NAT 적용할 경우 39.28.0.1의 보안 코어 IP로 변환된다. 보안 코어 IP는 보안 액세스 IP로부터만 생성되는 것이 아니라 공중 IP 통신을 위해 사용되는 일반 IP로부터도 변환될 수 있다.
즉, 도 4에 나타나 있는 바와 같이, 공중 IP가 2.2.2.2인 경우, 이에 NAT를 실행할 경우 39.28.0.2의 보안 코어 IP로 변환되도록 설정되어 있다. 이와 반대로, 보안 코어 IP에 NAT를 실행하면 보안 액세스 IP로 변환되기도 한다.
또한, 보안 IP 게이트웨이(110)에는 제어부(120)에서 설정한 그룹 매핑 정보도 저장, 관리한다. 그룹 매핑 정보에는 그룹을 형성하는 복수의 단말들 각각에 할당되어 있는 복수의 보안 코어 IP들과, 그룹 식별 정보가 포함되며, 도 4에서는 그룹 식별 정보를 #01이라 가정하였으며, 39.28.0.1과 39.28.0.2의 보안 코어 IP를 갖는 두 대의 단말이 하나의 그룹을 형성하는 것을 나타내었다.
도 4에 도시된 제1 단말(10)이 제2 단말(20)로 패킷을 전송하고자 할 때, 제1 단말(10)은 제2 단말(20)의 보안 코어 IP인 39.28.0.2로 IP 패킷을 생성하여 통신을 시작한다. IP 패킷에는 제2 단말(20)로 전송할 패킷, 제1 단말(10)의 보안 액세스 IP인 169.208.0.1, 제2 단말(20)의 보안 코어 IP인 39.28.0.2가 포함되어 있다.
L3 라우터(30)는 제1 단말(10)에서 전송된 IP 패킷에서 두 개의 IP 정보인 169.208.0.1과 39.28.0.2를 확인하여 ACL에 설정되어 있는지 확인한다. 두 IP 모두 L3 라우터(30)에 설정되어 있으므로, L3 라우터(30)는 IP 패킷을 보안 IP 게이트웨이(110)로 전달한다.
보안 IP 게이트웨이(110)의 제1 NAT(111)는 IP 패킷에 포함된 제1 단말(10)의 보안 액세스 IP인 169.208.0.1을 보안 코어 IP인 39.28.0.1로 변환한다. 그리고, 변환된 39.28.0.1과 목적지 단말 즉, 제2 단말(20)에 대한 보안 코어 IP인 39.28.0.2가 그룹을 형성하고 있는지 확인한다. 그룹 매핑 정보 #01에 따르면, 두 단말은 그룹을 형성하고 있으므로, IP 패킷이 제2 단말(20)로 전달되도록 한다.
이를 위해, 제2 NAT(113)는 IP 패킷에 포함되어 있는 제2 단말(20)의 보안 코어 IP 39.28.0.2에 NAT를 실행하여 목적지 IP인 2.2.2.2로 변환한다. 그리고 2.2.2.2를 IP 주소로 갖는 제2 단말(20)로 IP 패킷이 전달된다.
한편, 도 4의 제3 단말로 도시한 단말이, 그룹으로 형성된 제2 단말로 보안 IP 통신을 시도한다고 가정한다. 제3 단말은 그룹에 포함되지 않은 단말이며, 제 3 단말의 보안 액세스 IP는 169.208.0.3이고, NAT 실행 시 변경되는 보안 코어 IP는 39.28.0.3이라고 가정한다.
이때, 두 가지의 형태로 제3 단말이 IP 패킷의 전송을 시도할 수 있다. 먼저 ①에 나타낸 바와 같이, 소스 IP를 169.208.0.3으로 하고 목적지 IP를 공중 IP인 2.2.2.2로 하여 통신을 시작한다고 가정한다.
그러면, 생성된 IP 패킷에는 목적지 단말로 전송될 패킷과 169.208.0.3 및 2.2.2.2가 포함되어 있으므로, L3 라우터(30)는 저장되어 있는 ACL를 통해 두 IP가 보안 IP 통신을 위해 허용된 IP인지 확인한다. 이 경우 소스 IP는 허용된 IP이나, 목적지 IP인 2.2.2.2는 ACL에 따라 보안 IP 통신에 허용되지 않은 IP이므로, L3 라우터(30)는 제3 단말이 생성한 IP 패킷을 차단한다.
한편, ②에 나타낸 바와 같이, 소스 IP를 169.208.0.3으로 하고 목적지 IP를 보안 코어 IP인 39.28.0.2로 하여 통신을 시도한다고 가정한다. 그러면, L3 라우터(30)는 두 IP인 169.208.0.3과 39.28.0.2가 모두 ACL을 통해 허용된 IP이므로, 제3 단말이 생성한 IP 패킷을 보안 IP 게이트웨이(110)로 전달한다.
그러나, 보안 IP 게이트웨이(110)가 그룹 매핑 정보를 확인하는 과정에서 제3 단말이 그룹에 속하지 않은 단말인 것을 확인한다. 즉, 제1 NAT(111)를 통해 제3 단말의 소스 IP가 보안 코어 IP인 39.28.0.3으로 변경되면, IP 주소가 39.28.0.2인 그룹에는 39.28.0.3의 IP 주소를 갖는 단말이 속해 있지 않음을 알 수 있다. 따라서, 보안 IP 게이트웨이(110)는 전송되는 IP 패킷을 차단하게 된다.
이와 같이, 그룹에 속하지 않은 단말이 IP 통신을 시도하거나, ACL에 허용되지 않은 IP로 통신을 시도하는 경우 모두 L3 라우터(30) 또는 보안 IP 게이트웨이(110)에서 차단된다.
이 외에도 제3 단말의 사용자가 그룹으로 형성된 제1 단말의 사용자이나 외부에서 보안 IP 통신을 통해 그룹으로 설정된 제2 단말(20)로 패킷을 전송하고자 하는 경우가 있을 수 있다. 이때, 제3 단말의 소스 IP는 169.208.0.3이나 사용자가 제1 단말에 할당된 169.208.0.1로 IP 설정을 변경한 뒤 IP 패킷을 전송할 수도 있다.
이 경우, 시스템 설계에 따라 보안 IP 게이트웨이(110)에 저장된 그룹 매핑 정보에 보안 코어 IP 정보, 그룹 식별 정보 이외에 단말에 할당된 고유 식별 정보도 포함하여 관리하도록 할 수 있다.
그리고, 보안 IP 게이트웨이(110)는 제3 단말로부터 전송되는 변경된 보안 액세스 IP와 더불어 제3 단말의 고유 식별 정보도 함께 수신하여, 미리 저장된 정보와 비교한 후 IP 패킷을 차단하도록 설계할 수 있다. 또는 보안 IP 게이트웨이(110)가 제3 단말과의 통신을 통해 사용자 인증을 수행한 후, 해당 사용자가 제1 단말(10)의 사용자임을 확인하면 제2 단말(20)로 전송할 IP 패킷을 전송할 수 있도록 할 수도 있다. 보안 액세스 IP가 변경된 단말을 소스 단말로 하는 예에 대해서는 상세한 설명을 생략한다.
상기에서는 보안 IP 통신 서비스를 제공함에 있어 그룹에 속한 단말들 사이의 보안 IP 통신 서비스 제공 방법에 대해 설명하였다. 다음은 보안 IP 통신 서비스 제공 장치를 이용하여 폐쇄망에서 서비스를 제공하는 것과 같은 효과를 얻도록 하는 또 다른 실시예에 따라 보안 IP 통신 서비스를 제공하는 방법에 대해 도 5 및 도 6을 참조로 설명한다.
도 5는 본 발명의 제2 실시예에 따른 보안 IP 통신 서비스를 제공하는 환경의 예시도이다.
도 5에 도시된 바와 같이, 본 발명의 제2 실시예에 따라 보안 IP 통신 서비스를 제공하는 환경은 상기 도 1에서 설명한 환경과 유사하다. 다만, 도 5에서는 보안 IP 게이트웨이(110)에 보안 DNS(130), 사내 웹 서버(140), 기업 라우터(70), 프록시 서버(80) 및 기업 서버(90)가 추가로 연동한다.
보안 DNS(130)는 단말(10)이 통신 서비스를 이용하기 위하여 접속하는 주소를 사내 웹 서버(140)로 이동하도록, 접속 주소와 사내 웹 서버(140)의 IP 주소를 저장한다. 그리고 보안 IP 게이트웨이(110)로 해당 주소가 올라올 때, 사내 웹 서버(140)로 접속되도록 제어한다
사내 웹 서버(140)는 보안 IP 게이트웨이(110)로부터 웹 접속 주소를 수신하면, 해당 웹 접속 주소에서 통신 서비스를 제공하는 기업 서버(90)로부터 정보를 수신한다. 이때, 프록시 서버(80)와 기업 라우터(70)를 통해서 기업 서버(90)로부터 전송되는 정보를 보안 IP 게이트웨이(110)가 수신하여 사내 웹 서버(140)로 전달한다. 그리고, 사내 웹 서버(140)는 수신한 정보를 보안 IP 게이트웨이(110)를 통해 단말(10)의 사용자에게 제공한다.
이 외에 보안 DNS(130), 사내 웹 서버(140), 기업 라우터(70), 프록시 서버(80) 및 기업 서버(90)의 기능은 일반적인 DNS, 웹 서버, 라우터, 프록시 서버의 기능과 동일하므로, 본 발명의 실시예에서는 상세한 설명을 생략한다. 즉, 단말(10)에서 보안 IP 게이트웨이(110)까지 IP 패킷이 전송되는 과정은 상기 본 발명의 제1 실시예에서 설명한 절차와 동일하게 수행된다. 이때 제2 단말(10)은 도 5의 사내 웹 서버(140)가 될 수 있다.
이와 같이, 보안 IP 통신 서비스를 이용하기 위해 통신 환경에 위치한 단말(10)이 사외에서 제공하는 서비스를 이용하기 위해 접속을 시도하더라도, 접속 시도에 따른 패킷을 사외로 내보내지 않더라도 사외의 정보를 사내 웹 서버를 통해 확인할 수 있도록 한다. 또한, 미리 설정된 시간(예를 들어, 지정된 근무시간 등)에 사내 단말을 이용하여 외부의 사이트에 접속을 방지하는 등의 폐쇄적인 통신 서비스를 제공할 수도 있다.
이와 같이 폐쇄적인 통신 서비스를 제공하는 환경에서 보안 IP 통신 서비스를 제공하는 방법에 대해 예를 들어 설명하면 다음과 같다.
임의의 기업 내 사용자가 단말(10)을 이용하여 사외 기업 서버(90)에서 제공하는 통신 서비스를 이용하고자 한다고 가정한다. 이때, 사용자는 www.abc.com이라는 인터넷 주소를 입력하여, 해당 웹 서버인 기업 서버(90)에서 제공하는 정보를 획득하고자 한다고 가정하며, www.abc.com에 대한 IP 주소는 202.175.1.1이라 가정한다.
그리고 보안 DNS(130)에는 IP 통신을 위해 접속을 시도하는 사내 단말이 목적지 IP 주소를 202.175.1.1로 하여 IP 패킷을 전송하는 경우에는, 해당 주소에서 통신 서비스를 제공하는 기업 서버(90)로 단말이 접속되지 않고 사내 웹 서버(140)로 접속되도록 사내 웹 서버(140)의 IP 주소인 39.28.0.5가 202.175.1.1과 함께 저장된다.
즉, 보안 IP 게이트웨이(110)는 단말(10)로부터 202.175.1.1을 목적지로 하는 IP가 전달되면, 보안 DNS(130)에 의해 설정된 주소가 있는지 확인한다. 그리고 설정 주소가 있으면 202.175.1.1이 목적지인 기업 서버(90)로 IP 패킷을 전달하지 않고 사내 웹 서버(140)로 IP 패킷을 전달한다.
사내 웹 서버(140)는 보안 IP 게이트웨이(110)로부터 전달된 IP 패킷으로부터 목적지 주소를 확인한 후, 사내 웹 서버(140)가 목적지 주소인 기업 서버(90)로부터 정보를 수신하여 단말(10)에 제공한다. 이와 같이 보안 IP 통신 서비스를 제공하는 환경 내의 단말(10)이 일반적인 망에 연결된 서버로부터 제공하는 통신 서비스를 이용하기 위하여 IP 패킷을 생성한다 하더라도, 패킷이 외부로 나가지 않은 채 외부의 정보를 사내 웹 서버를 통해 확인할 수 있다.
다음은 본 발명의 또 다른 실시예에 따른 보안 IP 통신 서비스를 제공하는 장치 및 방법에 대해 설명한다. 본 발명의 또 다른 실시예에서는 공중 인터넷 망에서 단말에 폐쇄적인 통신 서비스를 제공하는 서비스를 '보안 IP 통신 서비스'라 지칭하나 반드시 이와 같이 한정되는 것은 아니다.
그리고 본 발명의 실시예에서는 IP의 종류에 따라 공중 인터넷 망에서 IP 통신을 통해 IP 패킷을 전송하는 데 사용되는 IP를 '공중 IP'라 지칭한다. 그리고 보안 IP 통신을 통해 IP 패킷을 전송하는 데 사용되는 IP를 '보안 IP'라 지칭한다.
도 6은 본 발명의 제3 실시예에 따른 보안 IP 통신 서비스를 제공하는 통신 시스템의 예시도이다.
도 6에 도시된 바와 같이 보안 IP 통신 서비스를 제공하기 위한 환경은, 제1 단말(10')이 IP 통신을 위해 IP 패킷을 목적지 단말인 제2 단말(20')로 전송한다고 가정한다. 여기서 제1 단말(10')은 IP 패킷을 전송하기 위하여 보안 IP 라우터(200)로 IP의 할당을 요청한다.
그리고 제1 단말(10')이 전송한 IP 패킷에는 제1 단말(10')의 소스 IP, 제2 단말(20')의 목적지 IP 및 패킷이 포함되어 있다. 제1 단말(10')은 제2 단말(20')에 대한 목적지 IP에 대해 이미 알고 있다고 가정하며, 제1 단말(10')이 목적지 IP를 획득하는 방법은 여러 방법을 통해 수행할 수 있으므로 본 발명의 실시예에서는 상세한 설명을 생략한다. 그리고 목적지 IP는 DHCP(Dynamic Host Configuration Protocol) 서버(60')가 제2 단말(20')의 공중 IP 또는 공중 IP를 통해 생성한 보안 IP 중 어느 하나이며, DHCP 서버(60')가 보안 IP를 생성하여 단말에 제공하는 방법의 상세한 설명은 생략한다.
보안 IP 라우터(200)는 CMS(Control & Management System)(이하, 설명의 편의를 위하여 '제어부'라 지칭함)(400), 제1 단말(10'), DHCP 서버(60'), 게이트웨이(500) 및 보안 IP 게이트웨이(300)와 연동하며, 제어부(400)로부터 제어 정보를 수신하여 갱신한다. 여기서 제어 정보는 IP 변경 관리 정보, 라우팅 테이블 정보 그리고 보안 정책을 포함한다.
여기서 IP 변경 관리 정보는, 제1 단말(10')이 IP 패킷의 전송을 시도할 때, IP 패킷에 포함된 목적지 IP를 확인하여 다른 IP로 변경할 지 여부를 결정하기 위한 기준 정보이다. 즉, IP 패킷에 포함된 목적지 IP가 IP 변경 관리 정보에 의해 미리 설정되어 있는 복수의 특정 목적지 IP 중 하나인 경우, 목적지 IP를 IP 변경 관리 정보에 따라 변경하여 변경 목적지 IP를 생성하도록 한다. 이를 위해, IP 변경 관리 정보는 복수의 IP들 중 미리 설정한 복수의 특정 IP들과, 특정 IP들에 NAT를 실행하여 변경할 변경 IP들이 포함되어 있다.
라우팅 테이블 정보는 보안 IP 통신을 통해 IP 패킷을 전송하도록 미리 설정되어 있는 복수의 보안 IP들의 정보가 포함되어 있다.
보안 정책은 사전에 미리 설정되어 있는 통신 차단 대상 정보(예를 들어, IP, 포트(port) 또는 프로토콜 정보 등)를 포함하고 있다. 통신 차단 대상 정보로 설정되어 있는 IP를 통해 IP 패킷의 전송이 시도되는 경우, 통신이 차단되도록 제어하는 기준 정보이다.
그리고 보안 IP 라우터(100)는 제1 단말(10')로부터 전송된 IP 패킷에 포함된 목적지 주소를 제어 정보와 비교한 후, NAT(Network Address Translation)를 실행하여 목적지 IP를 변경한다.
또한 보안 IP 라우터(200)는 IP 패킷을 생성한 제1 단말(10')의 소스 IP나 목적지 IP 등을 미리 저장되어 있는 보안 정책과 비교하여, IP 패킷을 전송하기 위한 통신을 차단할지 여부를 결정하기도 한다. 그리고, 보안 IP 라우터(200)는 소스 IP의 종류(공중 IP 또는 보안 IP)나 목적지 IP의 종류에 따라 공중망을 이용하여 IP 패킷이 전달되도록 라우팅하거나, 보안 IP 게이트웨이를 통해 IP 패킷이 전달되도록 라우팅한다.
또한, 보안 IP 라우터(200)는 DHCP 서버(60')로 보안 IP 라우터(200) 자신에 대한 IP 할당을 요청하거나, 보안 IP 라우터(200)가 제1 단말(10')의 IP를 할당할 수도 있다. 그리고 보안 IP 라우터(200)는 일반적인 라우터의 기능도 수행할 수 있으며, 본 발명의 실시예에서는 상세한 설명을 생략한다. 이러한 보안 IP 라우터(200)를 본 발명의 실시예에서는 IP 통신 서비스 제공 장치라 지칭하며, 보안 IP 라우터(200)의 구조는 도 7을 참조로 이후 설명한다.
보안 IP 라우터(200)를 통과한 IP 패킷은 보안 IP 게이트웨이(300) 또는 게이트웨이(500) 중 어느 하나로 전달된다. 즉, 제1 단말(10')에 공중 IP 통신 서비스를 제공하는 경우에는 게이트웨이(500)로 IP 패킷을 전달하고, 제1 단말(10')에 보안 IP 통신 서비스를 제공하는 경우에는 보안 IP 게이트웨이(300)로 IP 패킷을 전달한다.
DHCP 서버(60')는 보안 IP 라우터(200)와 연결되어 있으며, 보안 IP 라우터(200)에 대한 보안 IP와 공중 IP를 할당한다. DHCP 서버(60')가 보안 IP 주소와 공중 IP 주소를 할당하는 방법은 여러 방법을 통해 할당할 수 있으므로 본 발명의 실시예에서는 상세한 설명을 생략한다.
보안 IP 게이트웨이(300)는 공중 인터넷 망에서 폐쇄적인 통신 서비스를 제공하는 게이트웨이로, 일반적인 게이트웨이의 기능뿐만 아니라 폐쇄적인 통신 서비스를 제공하기 위한 별도의 기능을 수행한다. 이를 위해, 보안 IP 게이트웨이(300)로 전달되는 IP 패킷은, IP 패킷을 생성한 제1 단말(10')의 소스 IP가 보안 IP인 경우, 또는 보안 IP 라우터(200)에서 확인한 보안 정책을 토대로 보안 IP 게이트웨이(300)로 전달되는 것을 예로 하여 설명하나, 반드시 이와 같이 한정되는 것은 아니다.
제어부(400)는 보안 IP 게이트웨이(300) 및 보안 IP 라우터(200)와 연동하며, 보안 IP 라우터(200)로 IP 변경 관리 정보와 보안 정책, 그리고 라우팅 테이블 정보를 제공한다. IP 변경 관리 정보, 보안 정책 그리고 라우팅 테이블 정보는 미리 설정된 주기로 보안 IP 라우터(200)에 전달하는 것을 예로 하여 설명하나, 반드시 이와 같이 한정되는 것은 아니다.
게이트웨이(500)는 보안 IP 라우터(200) 및 제2 단말(20')과 연결되어 있으며, 보안 IP 라우터(200)로부터 전달되는 IP 패킷을 공중 인터넷 망을 통해 제2 단말(20')로 전달한다. 이를 위해, 게이트웨이(500)로 전달되는 IP 패킷은, IP 패킷을 생성한 제1 단말(10')의 소스 IP가 공중 IP인 경우 또는 보안 IP 라우터(200)에서 확인한 정책에 따라 공중 IP 통신을 통해 IP 패킷을 전달하는 것으로 결정한 경우 게이트웨이(500)로 전달되는 것을 예로 하여 설명하나, 반드시 이와 같이 한정되는 것은 아니다. 게이트웨이(500)의 기능은 이미 알려진 사항으로, 본 발명의 실시예에서는 상세한 설명을 생략한다.
제2 단말(20')은 보안 IP 게이트웨이(300) 또는 게이트웨이(500) 중 어느 하나의 게이트웨이를 통해 전송되는 IP 패킷을 수신한다.
이상에서는 보안 IP 통신을 공중망에서 제공하기 위해 필요한 구성 요소들만 도시하였으며, 도 6에 도시되지 않은 구성 요소들을 더 포함할 수 있다. 이상의 환경에서 보안 IP 라우터(200)의 구조에 대해 도 7을 참조로 설명한다.
도 7은 본 발명의 제3 실시예에 따른 보안 IP 라우터의 구조도이다.
도 2에 도시된 바와 같이, 보안 IP 라우터(200)는 IP 주소 요청부(201), IP 주소 할당부(202), IP 변경 관리부(203), 라우팅 테이블 관리부(204), IP 처리부(205), 보안 정책 관리부(206) 및 통신부(207)를 포함한다.
IP 주소 요청부(201)는 DHCP 서버(60')로 보안 IP 라우터(200) 자신의 IP의 할당을 요청한다. 그리고 DHCP 서버(60')로부터 할당된 IP를 수신하는데, DHCP 서버(60')에서 할당된 IP는 공중 IP와 보안 IP를 포함한다.
IP 주소 할당부(202)는 제1 단말(10')로부터 제1 단말(10')에 대한 IP 할당을 요청 받으면, DHCP 서버(60')와 같이 미리 정해진 규칙(Rule)에 의해 IP를 할당하여 준다. 제1 단말(10')에 할당되는 IP는 사설 IP 인 것을 예로 하여 설명하며, 제1 단말(10')은 할당된 사설 IP를 이용하여 보안 IP 라우터(200)로 IP 패킷을 전송한다. 그리고, IP 주소 할당부(202)가 제1 단말(10')에 대한 IP를 할당하는 방법 역시 여러 방법을 통해 수행될 수 있으므로 본 발명의 실시예에서는 어느 하나의 방법으로 한정하여 설명하지 않는다.
IP 변경 관리부(203)는 제어부(400)로부터 미리 설정된 주기에 따라 전송되는 IP 변경 관리 정보를 수신하여 갱신, 저장한다. 그리고 제1 단말(10')로부터 전송이 시도되는 IP 패킷에 포함되어 있는 목적지 IP를 확인하고, 확인한 목적지 IP가 제어 정보에 따라 변환 대상인 IP인지 확인한다.
IP 변경 관리 정보에는 미리 설정된 복수의 특정 IP들과, 특정 IP들에 NAT를 실행하여 변경할 변경 IP들이 포함되어 있다. 따라서, IP 변경 관리부(203)는 목적지 IP가 특정 IP에 해당하는지 확인하고, IP 패킷에 포함되어 있는 목적지 IP가 특정 IP에 해당하지 않는다면, 목적지 IP를 변환하지 않는다.
그러나, 특정 IP에 해당한다면 목적지 IP에 NAT를 실행하여 변경 목적지 IP로 변환한다. 여기서 IP 변경 관리부(203)를 통해 변경되는 목적지 IP는 공중 IP일 수도 있고 보안 IP일 수도 있다. 본 발명의 실시예에서는 설명의 편의를 위하여, IP 패킷에 포함되어 있는 목적지 IP를 제1 목적지 IP, IP 변경 관리부(203)를 통해 변경되거나 변경되지 않은 목적지 IP를 제2 목적지 IP라 지칭한다.
라우팅 테이블 관리부(204)는 제어부(400)로부터 미리 설정된 주기에 따라 전송되는 라우팅 테이블 정보를 수신하여 갱신, 저장한다. 라우팅 테이블 정보는 단말이 보안 IP 통신 서비스를 이용하고자 할 경우, 보안 IP 통신 서비스를 이용하기 위해 미리 허용된 IP들에 대한 리스트로, 복수의 보안 IP들에 대한 리스트가 라우팅 테이블로 저장되어 있다.
IP 처리부(205)는 IP 변경 관리부(203)에서 출력된 제2 목적지 IP를 확인하고, 제2 목적지 IP와 라우팅 테이블 관리부(204)에 저장되어 있는 라우팅 테이블 정보를 비교한다. 그리고 제2 목적지 IP가 라우팅 테이블로 저장된 보안 IP 중 하나이면, IP 처리부(205)는 IP 패킷에 포함되어 있는 소스 IP를 보안 IP 라우터(200)에 할당된 보안 IP로 변경한다.
그러나 제2 목적지 IP가 라우팅 테이블로 저장된 보안 IP가 아니면, IP 처리부(205)는 IP 패킷에 포함되어 있는 소스 IP를 보안 IP 라우터(200)에 할당되어 있는 공중 IP로 변경한다. 본 발명의 실시예에서는 설명의 편의를 위하여, IP 패킷에 포함되어 있던 제1 단말(10')의 소스 IP를 '제1 소스 IP'라 지칭하고, IP 처리부(205)에서 보안 IP 라우터(200)의 공중 IP 또는 보안 IP 중 어느 하나의 IP로 변경된 소스 IP를 '제2 소스 IP'라 지칭한다.
보안 정책 관리부(206)는 제어부(400)로부터 미리 설정된 주기에 따라 전송되는 보안 정책을 수신하여 갱신, 저장한다. 여기서 보안 정책은 사전에 미리 설정되어 있는 통신 차단 대상 정보(예를 들어, IP, 포트(port) 또는 프로토콜 정보 등)를 포함하고 있다. 본 발명의 실시예에서는 보안 정책 관리부(206)가 제어부(400)로부터 보안 정책을 수신하는 것을 예로 하여 설명하나, 미리 설정되어 있을 수도 있다.
또한, 보안 정책 관리부(206)는 IP 처리부(205)로부터 전달된 IP 패킷에 포함되어 제2 소스 IP나 제2 목적지 IP 또는 IP 패킷을 전송하고자 하는 포트 정보나 프로토콜 등의 정보가 통신 차단 대상 정보에 포함되는지 확인한다. 그리고 확인한 보안 정책에 따라 통신을 차단 여부를 결정한다.
통신부(207)는 보안 정책 관리부(206)에서 IP 패킷의 전송을 허용하면, IP 패킷에 포함되어 있는 제2 소스 IP와 제2 목적지 IP를 토대로 보안 IP 통신 또는 공중 IP 통신 중 어느 하나의 통신 방법을 통해 IP 패킷을 제2 단말(20')로 전달한다.
이상에서 설명한 보안 IP 라우터(200)를 포함하는 통신 망에서 IP 주소에 따라 보안 IP 통신 또는 공중 IP 통신을 수행하는 방법에 대해 도 8을 참조로 설명한다.
도 8은 본 발명의 제3 실시예에 따른 IP 통신 방법에 대한 흐름도이다.
도 8에 도시된 바와 같이, 보안 IP 라우터(200)는 DHCP 서버(60')로 자신에 대한 IP 할당을 요청한다(S200). DHCP 서버(606)는 S200 단계의 요청에 따라 보안 IP 라우터(200)의 공중 IP와 보안 IP를 할당하여 보안 IP 라우터(200)로 전달한다(S201). 그리고 보안 IP 라우터(200)는 제어부(400)로부터 제어 정보를 미리 설정한 주기에 따라 수신한다(S202). 여기서 제어 정보는 IP 변경 관리 정보, 라우팅 테이블 정보 및 보안 정책을 포함한다.
그리고 보안 IP 라우터(200)에 연결된 제1 단말(10')이 제2 단말(20')과의 IP 통신을 위해 보안 IP 라우터(200)로 IP 할당을 요청하면(S203), 보안 IP 라우터(200)는 제1 단말(10')에 대한 사설 IP를 생성하여 제1 단말(10')로 전달한다(S204, S205). 여기서 S204 단계에서 보안 IP 라우터(200)가 제1 단말(10')에 대한 사설 IP를 생성하는 방법은 DHCP 서버(60')가 IP를 생성할 때 이용하는 미리 설정된 규칙에 따라 생성한다.
제1 단말(20)은 S205 단계에서 보안 IP 라우터(200)로부터 수신한 사설 IP를 이용하여 IP 패킷을 전송한다(S206). 여기서 IP 패킷에는 제1 단말(10')의 사설 IP를 제1 소스 IP로, 제2 단말(20')에 대한 제1 목적지 IP 및 패킷이 포함된다. 제1 단말(10')이 제2 단말(20')에 대한 제1 목적지 IP를 획득하는 방법은 여러 방법을 통해 얻을 수 있으며, 본 발명의 실시예에서는 상세한 설명을 생략한다.
IP 변경 관리부(203)는 S206 단계에서 수신한 IP 패킷에 포함된 제1 목적지 IP를 확인한다(S207). 그리고 확인한 제1 목적지 IP가 S202 단계에서 수신한 제어 정보 내 IP 변경 관리 정보에 포함되어 있는 IP 인지 확인한다(S208).
만약 제1 목적지 IP가 IP 변경 관리 정보에 포함되어 있는 IP라면, 제1 목적지 IP에 NAT를 실행하여 제2 목적지 IP로 변경한다(S209). 여기서 변경된 제2 목적지 IP는 보안 IP일 수도 있고 공중 IP일 수도 있다. 그러나, S209 단계에서 확인한 결과 제1 목적지 IP가 IP 변경 관리 정보에 포함되어 있지 않은 IP라면, 제1 IP 목적지 IP를 제2 목적지 IP로 설정한다.
다음 IP 처리부(205)는 IP 변경 관리부(203)에서 생성된 제2 목적지 IP와 라우팅 테이블 관리부(204)에 저장되어 있는 라우팅 테이블 정보를 비교하여, 제2 목적지 IP가 보안 IP인지 확인한다(S210). 라우팅 테이블에는 보안 IP들에 대한 주소가 포함되어 있다. 라우팅 테이블에 보안 IP 주소 이외에 추가적인 정보가 포함될 수도 있다.
따라서, IP 처리부(205)는 S210 단계에서 확인한 제2 목적지 IP와 라우팅 테이블 관리부(204)가 관리하는 라우팅 테이블을 토대로, 제2 목적지 IP가 보안 IP인 경우에는 제1 소스 IP를 DHCP 서버(60')가 보안 IP 라우터(200)에 할당한 보안 IP로 변경하여 제2 소스 IP를 결정한다. 만약 제2 목적지 IP가 라우팅 테이블에 포함되어 있지 않은 IP라면, 보안 IP 라우터(200)에 할당되어 있는 공중 IP를 제2 소스 IP로 변경한다(S211). S210 단계 및 S211 단계를 통해, 보안 IP 라우터(200)는 공중 IP 통신으로 IP 패킷을 전송할지, 보안 IP 통신으로 IP 패킷을 전송할지 인식하게 된다.
이상의 절차를 통해 제2 소스 IP와 제2 목적지 IP가 결정되면, 보안 정책 관리부(206)는 저장된 보안 정책들을 토대로 IP 패킷을 전송할 통신을 허용할지 말지를 결정한다(S212). 보안 정책은 제어부(400)로부터 전송되거나 보안 IP 라우터(200)에 미리 설정되어 있을 수 있으며, IP 처리부(205)로부터 전달된 IP 패킷에 포함되어 제2 소스 IP나 제2 목적지 IP 또는 IP 패킷을 전송하고자 하는 제1 단말(10')의 포트 정보나 프로토콜 등의 정보가 통신 차단 대상 정보에 포함되어 있는지 확인하여 통신을 차단 여부를 결정한다.
S212 단계에서 통신 차단으로 결정되면, 통신부(207)는 IP 패킷의 전송을 차단한다(S213). 그러나, S212 단계에서 통신 허용으로 결정되면, 통신부(207)는 공중망을 통해 제2 단말(20')로 IP 패킷을 전송하거나(S214, S215), 보안 IP 게이트웨이(300)를 통해 제2 단말(20')로 IP 패킷을 전송한다(S216, S217).
이상의 절차에 대해 하나의 예를 들어 설명하면 다음과 같다.
보안 IP 라우터(100)가 DHCP 서버(60')로부터 할당 받은 공중 IP를 168.126.0.1이라 가정하고, 보안 IP를 169.208.0.1이라 가정한다. 그리고, 보안 IP 라우터(200)가 제1 단말(10')에 할당한 IP를 192.168.0.1이라 가정하고, 제2 단말(20')의 공중 IP는 2.2.2.2, 보안 IP는 39.28.0.2이라 가정한다.
또한, 라우팅 테이블에는 보안 IP 통신을 위해 허용된 IP로 169.208.0.1에서부터 169.208.0.254까지의 보안 액세스 IP와, 이들 보안 액세스 IP가 변환된 보안 코어 IP인 39.28.0.1에서부터 39.28.0.254까지의 IP들에 해당한다고 정의되어 있다고 가정한다.
그리고, IP 변경 관리 정보에는 특정 IP로 2.2.2.2가 저장되어 있고, 2.2.2.2는 39.28.0.2로 변환되도록 설정되어 있다고 가정한다. 본 발명의 실시예에서는 설명의 편의를 위하여 IP 변경 관리 정보에 특정 IP인 2.2.2.2에 대한 사항만 언급하고 있으나, 이와 같이 한정되는 것은 아니다.
이상에서 가정한 IP들을 예로 하여 설명하면, 제1 단말(10')이 목적지 IP를 2.2.2.2로 하여 IP 패킷 전송을 시도한다고 가정하면, 보안 IP 라우터(200)가 수신한 IP 패킷에는 제1 소스 IP가 192.168.0.1, 제1 목적지 IP가 2.2.2.2 그리고 패킷이 포함되어 있다. 여기서 제1 소스 IP는 제1 단말(10')에 할당된 사설 IP에 해당한다.
IP 변경 관리부(203)는 수신한 IP 패킷에서 제1 목적지 IP를 확인한다. 제1 목적지 IP가 IP 변경 관리 정보에 포함되어 있으므로, IP 변경 관리부(203)는 제1 목적지 IP인 2.2.2.2를 39.28.0.2로 변환하여 제2 목적지 IP를 생성한다. 제2 목적지 IP가 생성되면, IP 처리부(205)는 제2 목적지 IP가 보안 IP 통신을 위한 IP로 설정되어 있는 라우팅 테이블에 포함되어 있는지 확인한다.
제2 목적지 IP인 39.28.0.2는 보안 코어 IP에 해당하여 라우팅 테이블에 포함되어 있으므로, IP 처리부(205)는 제2 목적지 IP가 보안 IP임을 확인한다. 따라서, IP 처리부(205)는 제1 단말(10')의 IP로 설정되어 있는 제1 소스 IP를 보안 IP 라우터(200)에 할당된 보안 IP인 169.208.0.1로 변경하여 제2 소스 IP를 결정한다.
이에 따라 IP 패킷에 포함되어 있는 제2 소스 IP는 169.208.0.1, 제2 목적지 IP는 39.28.0.2가 되며, 보안 IP 통신을 통해 IP 패킷을 제2 단말(20')로 전송할 수 있게 된다. 제2 소스 IP와 제2 목적지 IP가 결정된 후, 보안 정책 관리부(206)는 미리 저장되어 있는 보안 정책에 따라 IP 패킷의 전송을 위한 통신을 허용할지 결정한다. 그리고 통신을 허용하는 것으로 결정하면 통신부(207)는 보안 IP 게이트웨이(300)를 통해 제2 단말(20')로 전달한다. 여기서 보안 정책을 어느 하나의 형태로 한정하지 않았으므로, 실시예에서도 이에 대한 설명을 생략한다.
상기에서는 보안 IP 통신을 예로 하여 설명한 것이고, 공중 IP 통신을 예로 하여 설명하면 다음과 같다. 제1 단말(10')이 제1 목적지 IP를 202.175.1.1로 하여 IP 패킷 전송을 시도한다고 가정하면, 보안 IP 라우터(200)가 수신한 IP 패킷에는 제1 소스 IP가 192.168.0.1, 제1 목적지 IP가 202.175.1.1 그리고 패킷이 포함되어 있다. 여기서 제1 소스 IP는 제1 단말(10')에 할당된 사설 IP에 해당한다.
IP 변경 관리부(203)는 수신한 IP 패킷에서 제1 목적지 IP를 확인한다. 제1목적지 IP인 202.175.1.1가 IP 변경 관리 정보에 포함되지 않으므로, 제2 목적지 IP 역시 202.175.1.1로 결정된다. IP 처리부(205)는 제2 목적지 IP가 라우팅 테이블 관리부(204)의 라우팅 테이블에 포함되어 있는지 확인한다.
상기 설정 사항에는 202.175.1.1이 라우팅 테이블에 포함되어 있지 않은 것으로 하였으므로, IP 처리부(205)는 제2 목적지 IP가 공중 IP임을 확인한다. 그리고 제1 단말(10')의 IP로 설정되어 있는 제1 소스 IP를 보안 IP 라우터(100)에 할당된 공중 IP인 168.126.0.1로 변경하여 제2 소스 IP를 결정한다. 이에 따라 IP 패킷에 설정되어 있는 제2 소스 IP는 168.126.0.1, 제2 목적지 IP는 202.175.1.1가 되며, 공중 IP 통신을 통해 IP 패킷을 제2 단말(20')로 전송할 수 있게 된다.
제2 소스 IP와 제2 목적지 IP가 결정된 후, 보안 정책 관리부(206)는 미리 저장되어 있는 보안 정책에 따라 IP 패킷의 전송을 위한 통신을 허용할지 결정하고, 통신을 허용하는 것으로 결정하면 통신부(207)는 게이트웨이(500)를 통해 제2 단말(20')로 전달한다. 여기서 보안 정책을 어느 하나의 형태로 한정하지 않았으므로, 실시예에서도 이에 대한 설명을 생략한다.
이상에서 본 발명의 실시예에 대하여 상세하게 설명하였지만 본 발명의 권리범위는 이에 한정되는 것은 아니고 다음의 청구범위에서 정의하고 있는 본 발명의 기본 개념을 이용한 당업자의 여러 변형 및 개량 형태 또한 본 발명의 권리범위에 속하는 것이다.

Claims (26)

  1. 보안 IP 통신 서비스 제공 장치가 제1 단말과 제2 단말 사이에 보안 IP 통신 서비스를 제공하는 방법에 있어서,
    상기 보안 IP 통신 서비스 제공 장치는 상기 제1 단말로부터 전송되는 IP 패킷에 포함된 제1 보안 코어 IP와 제2 보안 코어 IP를 토대로, 상기 제1 단말과 제2 단말이 하나의 그룹으로 형성되어 있는지 확인하는 단계; 및
    상기 제1 단말과 제2 단말이 그룹으로 형성되어 있으면, 상기 제1 단말로부터 전송된 IP 패킷을 상기 제2 단말로 전달하는 단계
    를 포함하는 보안 IP 통신 서비스 제공 방법.
  2. 제1항에 있어서,
    상기 하나의 그룹으로 형성되어 있는지 확인하는 단계 이전에,
    상기 제1 단말이 제1 IP 패킷을 생성하고, 제2 단말에 할당된 제2 보안 코어 IP를 이용하여 통신을 시작하는 단계;
    상기 통신 서비스 제공 장치와 연동하는 L3 라우터가 상기 제1 단말에 대한 제1 보안 액세스 IP와 상기 제2 보안 코어 IP가 보안 IP 통신을 위해 허가된 IP인지 확인하는 단계;
    제1 보안 액세스 IP와 제2 보안 코어 IP가 모두 허가된 IP라면, 상기 제1 IP 패킷을 상기 보안 IP 통신 서비스 제공 장치로 전달하는 단계; 및
    상기 제1 보안 액세스 IP 또는 제2 보안 코어 IP 중 적어도 하나의 IP가 허가된 IP가 아니라면, 상기 제1 IP 패킷을 차단하는 단계
    를 포함하는 보안 IP 통신 서비스 제공 방법.
  3. 제2항에 있어서,
    상기 L3 라우터는 보안 IP 통신을 위해 미리 설정된 ACL(Access Control List)을 이용하여 상기 제1 보안 액세스 IP와 제2 보안 코어 IP가 허가된 IP인지 확인하는 보안 IP 통신 서비스 제공 방법.
  4. 제2항에 있어서,
    상기 보안 IP 통신 서비스 제공 장치로 전달하는 단계 이후에,
    상기 보안 IP 통신 서비스 제공 장치는 수신한 제1 IP 패킷에 포함된 상기 제1 보안 액세스 IP에 NAT(Network Address Translation)를 실행하여 제1 보안 코어 IP로 변환하는 단계; 및
    상기 생성된 제1 보안 코어 IP와 제2 보안 코어 IP, 패킷을 포함하는 제2 IP 패킷을 생성하는 단계
    를 포함하는 보안 IP 통신 서비스 제공 방법.
  5. 제4항에 있어서,
    상기 하나의 그룹으로 형성되어 있는지 확인하는 단계는,
    상기 제1 단말에 대한 제1 보안 코어 IP와 제2 단말에 대한 제2 보안 코어 IP가 하나의 그룹에 포함되어 있는지 확인하는 단계;
    상기 제1 단말과 제2 단말이 하나의 그룹에 포함되어 있지 않으면, 상기 제2 IP 패킷을 차단하는 단계;
    상기 제1 단말과 제2 단말이 하나의 그룹에 포함되어 있으면, 상기 제2 단말의 제2 보안 코어 IP에 NAT를 실행하여 제2 단말에 대한 목적지 IP로 변환하는 단계; 및
    상기 제1 보안 코어 IP, 목적지 IP 및 패킷을 포함하는 제3 IP 패킷을 생성하는 단계
    를 포함하는 보안 IP 통신 서비스 제공 방법.
  6. 제1항에 있어서,
    상기 보안 IP 통신 서비스 제공 장치는 공중 인터넷 망에 위치한 제2 서버를 통해 통신 서비스를 이용하고자 하는 상기 단말로부터 IP 패킷을 수신하는 단계;
    상기 IP 패킷에 포함되어 있는 상기 제2 서버의 IP 주소를 토대로, 상기 보안 IP 통신 서비스 제공 장치에 연결되어 있는 보안 DNS에 상기 제2 서버의 IP 주소에 대응되어 미리 저장된 제1 웹 서버의 IP 주소가 있는지 확인하는 단계; 및
    상기 제1 웹 서버의 IP 주소가 있으면, 상기 보안 IP 통신 서비스 제공 장치는 제1 웹 서버를 통해 상기 제2 웹 서버에서 제공하는 통신 서비스의 정보를 수신하여 상기 단말로 전달하는 단계
    를 포함하는 보안 IP 통신 서비스 제공 방법.
  7. 제6항에 있어서,
    상기 단말로 전달하는 단계는,
    상기 보안 IP 통신 서비스 제공 장치는 상기 제2 웹 서버에서 제공하는 통신 서비스의 정보를 수신하여 상기 제1 웹 서버로 전달하는 단계; 및
    상기 제1 웹 서버는 상기 보안 IP 통신 서비스 제공 장치를 통해 수신한 정보를 상기 단말로 제공하는 단계
    를 포함하는 보안 IP 통신 서비스 제공 방법.
  8. 하나의 그룹으로 설정되어 있는 복수의 단말 각각에 할당되어 있는 보안 코어 IP들을 그룹으로 형성하여 그룹 매핑 정보를 생성하는 제어부; 및
    단말에 할당된 보안 액세스 IP와 보안 코어 IP에 NAT를 실행하고, 보안 IP 통신 서비스의 이용을 위해 IP 패킷을 생성하는 소스 단말과, 상기 소스 단말이 생성한 IP 패킷을 수신할 목적지 단말이 동일한 그룹에 속해 있는지 확인하는 보안 IP 게이트웨이
    를 포함하는 보안 IP 통신 시스템.
  9. 제8항에 있어서,
    상기 보안 IP 게이트웨이는,
    소스 단말이 생성한 IP 패킷에 포함되어 있는, 상기 소스 단말의 제1 보안 액세스 IP를 제1 보안 코어 IP로 변환하는 제1 NAT;
    상기 제1 NAT에서 변환된 제1 보안 코어 IP와 상기 IP 패킷에 포함되어 있는 목적지 단말의 제2 보안 코어 IP를, 외부로부터 입력되어 미리 저장되어 있는 그룹 매핑 정보에서 확인하여, 상기 소스 단말과 목적지 단말이 동일한 그룹에 포함되어 있는지 확인하는 보안 그룹 판단 장치; 및
    상기 제2 보안 코어 IP를 제2 보안 액세스 IP로 변환하는 제2 NAT
    를 포함하는 보안 IP 통신 시스템.
  10. 제9항에 있어서,
    상기 소스 단말이 생성한 IP 패킷을 수신하고, 수신한 IP 패킷에 포함되어 있는 목적지 단말의 상기 제2 보안 코어 IP와 상기 소스 단말의 제1 보안 액세스 IP를 토대로, 소스 단말과 목적지 단말에 각각 할당된 IP들이 보안 IP 통신 서비스를 제공하기 위해 허용된 IP인지 확인하는 L3 라우터
    를 더 포함하는 보안 IP 통신 시스템.
  11. 제10항에 있어서,
    공중 인터넷 망의 제1 웹 서버를 목적지로 하는 IP가 입력되면, 입력된 IP를 갖는 IP 패킷을 보안 IP 네트워크에 위치한 제2 웹 서버로 전달되도록, 상기 제1 웹 서버의 IP와 상기 제2 웹 서버의 IP가 대응되도록 설정하는 보안 DNS; 및
    상기 제1 웹 서버로부터 정보를 수신하여, 상기 제1 웹 서버에서 제공하는 정보를 상기 소스 단말로 전달하는 상기 제2 웹 서버
    를 더 포함하는 보안 IP 통신 시스템.
  12. 제9항에 있어서,
    상기 보안 그룹 판단 장치는,
    상기 소스 단말과 목적지 단말이 동일한 그룹에 속한 것으로 확인하면, 상기 IP 패킷을 제2 NAT로 전달하고,
    상기 소스 단말과 목적지 단말이 동일한 그룹에 속하지 않은 것으로 확인하면, 상기 IP 패킷을 차단하는 보안 IP 통신 시스템.
  13. 단말에 IP 통신 서비스를 제공하는 IP 통신 서비스 제공 장치에 있어서,
    IP 변경 관리 정보를 저장하고, 제1 단말로부터 전송되는 IP 패킷에 포함된 제1 목적지 IP를 상기 IP 변경 관리 정보에 따라 다른 IP로 변환을 수행할 수 있는 IP 변경 관리부;
    보안 IP 통신 서비스를 제공하기 위한 복수의 보안 IP의 주소를 포함하는 라우팅 테이블을 관리하는 라우팅 테이블 관리부;
    상기 IP 변경 관리부에서 변환 또는 변환되지 않은 목적지 IP가 상기 라우팅 테이블에 포함되는지 확인하고, 확인 결과에 따라 상기 IP 패킷에 포함되어 있는 제1 소스 IP를 제2 소스 IP로 변경하는 IP 처리부; 및
    상기 IP 처리부에서 변경한 제2 소스 IP와 상기 IP 변경 관리부에서 변환 또는 변환되지 않은 목적지 IP를 토대로, IP 패킷을 공중 IP 통신 또는 보안 IP 통신 중 어느 하나의 통신을 통해 제2 단말로 전송하는 통신부
    를 포함하는 보안 IP 통신 서비스 제공 장치.
  14. 제13항에 있어서,
    상기 IP 처리부는,
    상기 IP 변경 관리부에서 변환 또는 변환되지 않은 목적지 IP가 공중 IP이면 제1 단말에 할당된 IP인 제1 소스 IP를 상기 IP 통신 서비스 제공 장치에 할당된 공중 IP로 변경하여 제2 소스 IP로 생성하고,
    상기 변환 또는 변환되지 않은 목적지 IP가 보안 IP이면, 상기 제1 소스 IP를 상기 IP 통신 서비스 제공 장치에 할당된 보안 IP로 변경하여 제2 소스 IP로 생성하는 보안 IP 통신 서비스 제공 장치.
  15. 제13항에 있어서,
    상기 보안 IP 통신 서비스 제공 장치와 연동하는 DHCP(Dynamic Host Configuration Protocol) 서버로 상기 보안 IP 통신 서비스 제공 장치에 대한 IP의 할당을 요청하고, 상기 DHCP 서버로부터 공중 IP 및 보안 IP를 포함하는 IP를 수신하는 IP 주소 요청부; 및
    상기 IP 패킷을 전송하는 제1 단말로부터 IP 주소의 할당을 요청 받으면, 상기 제1 단말에 대한 제1 소스 IP를 생성하여 전달하는 IP 주소 할당부
    를 포함하는 보안 IP 통신 서비스 제공 장치.
  16. 제15항에 있어서,
    상기 통신부가 제2 단말로 상기 IP 패킷의 전송 허용 여부를 결정하도록 하는 보안 정책을 외부로부터 수신하여 관리하는 보안 정책 관리부
    를 더 포함하는 보안 IP 통신 서비스 제공 장치.
  17. 제15항에 있어서,
    상기 IP 통신 서비스 제공 장치로 제어 정보를 전달하는 제어부;
    상기 IP 통신 서비스 제공 장치로 상기 제1 IP 및 제2 IP를 할당하여 제공하는 상기 DHCP 서버;
    상기 IP 통신 서비스 제공 장치가 상기 IP 패킷을 제1 통신을 통해 전송하는 것으로 결정하면, 상기 IP 패킷을 목적지 단말로 전송하는 제1 게이트웨이; 및
    상기 IP 통신 서비스 제공 장치가 상기 IP 패킷을 제2 통신을 통해 전송하는 것으로 결정하면, 상기 IP 패킷을 목적지 단말로 전송하는 제2 게이트웨이
    를 포함하는 보안 IP 통신 서비스 제공 장치.
  18. IP 통신 서비스 제공 장치가 제1 단말과 제2 단말 사이에 IP 통신 서비스를 제공하는 방법에 있어서,
    상기 제1 단말로부터 전송되는 IP 패킷에 포함된 제1 목적지 IP를 소정의 IP변경 관리 정보에 따라 제2 목적지 IP로 변환 여부를 결정하는 단계;
    제2 목적지 IP로 변환 결정된 경우 상기 변환된 제2 목적지 IP가 라우팅 테이블에 포함되는지 확인하고, 제2 목적지 IP로 변환되지 않은 경우 상기 제1 목적지 IP가 상기 라우팅 테이블에 포함되어 있는지 확인하는 단계;
    상기 확인 결과에 따라 IP 패킷에 포함된 제1 소스 IP를 제2 소스 IP로 변경하는 단계; 및
    변경된 제2 소스 IP와 목적지 IP를 토대로 상기 제1 단말에서 전송한 IP 패킷을 상기 제2 단말로 보안 IP 통신 또는 공중 IP 통신 중 어느 하나의 통신으로 전송하는 단계
    를 포함하는 보안 IP 통신 서비스 제공 방법.
  19. 제18항에 있어서,
    상기 제2 목적지 IP로 변환 여부를 결정하는 단계는,
    상기 IP 변경 관리 정보는 미리 설정된 복수의 IP와 상기 복수의 IP를 변환할 복수의 변환 IP들이 각각 설정되어 있고,
    상기 제1 목적지 IP가 상기 IP 변경 관리 정보에 포함된 복수의 IP 중 하나이면, 상기 제1 목적지 IP에 대응되어 설정되어 있는 변환 IP를 제2 목적지 IP로 변환하는 것으로 결정하는 단계; 및
    상기 제1 목적지 IP가 상기 IP 변경 관리 정보에 포함되지 않으면, 상기 제1 목적지 IP를 제2 목적지 IP로 변환하지 않는 것으로 결정하는 단계;
    를 포함하는 보안 IP 통신 서비스 제공 방법.
  20. 제18항에 있어서,
    상기 제2 소스 IP로 변경하는 단계는,
    상기 제2 목적지 IP 또는 제2 목적지 IP로 변환되지 않은 제1 목적지 IP 중어느 하나인 목적지 IP가 상기 라우팅 테이블에 포함되어 있으면, 상기 목적지 IP가 보안 IP인 것으로 확인하는 단계; 및
    제1 단말의 사설 IP인 상기 제1 소스 IP를 상기 IP 통신 서비스 제공 장치에 할당된 보안 IP로 변경하여 제2 소스 IP를 생성하는 단계
    를 포함하는 보안 IP 통신 서비스 제공 방법.
  21. 제20항에 있어서,
    상기 제2 소스 IP로 변경하는 단계는,
    상기 목적지 IP가 상기 라우팅 테이블에 포함되어 있지 않으면, 상기 목적지 IP가 공용 IP인 것으로 확인하는 단계; 및
    상기 제1 소스 IP를 상기 IP 통신 서비스 제공 장치에 할당된 공중 IP로 변경하여 제2 소스 IP를 생성하는 단계
    를 더 포함하는 보안 IP 통신 서비스 제공 방법.
  22. 제18항에 있어서,
    상기 어느 하나의 통신으로 전송하는 단계는,
    상기 제2 소스 IP와, 제2 목적지 IP 또는 제2 목적지 IP로 변환되지 않은 제1 목적지 IP 중 어느 하나인 목적지 IP가 각각 보안 IP이면 상기 IP 패킷을 보안 IP 통신으로 상기 제2 단말에 전송하고,
    상기 제2 소스 IP와 목적지 IP가 각각 공중 IP이면 상기 IP 패킷을 공중 IP 통신으로 상기 제2 단말에 전송하는 보안 IP 통신 서비스 제공 방법.
  23. 제22항에 있어서,
    상기 어느 하나의 통신으로 전송하는 단계는,
    상기 제2 소스 IP와 목적지 IP를 미리 저장된 보안 정책과 비교하여, 통신 차단 여부를 결정하는 단계
    를 더 포함하는 보안 IP 통신 서비스 제공 방법.
  24. 제18항에 있어서,
    상기 제2 목적지 IP로 변환 여부를 결정하는 단계 이전에,
    상기 보안 IP 통신 서비스 제공 장치가 연동하는 DHCP 서버로 상기 보안 IP 통신 서비스 제공 장치에 대한 IP의 할당을 요청하는 단계; 및
    상기 DHCP 서버로부터 공중 IP 및 보안 IP를 포함하는 IP를 수신하는 단계
    를 포함하는 보안 IP 통신 서비스 제공 방법.
  25. 제24항에 있어서,
    상기 제2 목적지 IP로 변환 여부를 결정하는 단계 이전에,
    상기 제1 단말로부터 IP 할당을 요청 받는 단계; 및
    상기 제1 단말에 대한 사설 IP를 생성하여 상기 제1 단말로 제공하는 단계
    를 더 포함하는 보안 IP 통신 서비스 제공 방법.
  26. 제24항에 있어서,
    상기 제2 목적지 IP로 변환 여부를 결정하는 단계 이전에,
    상기 IP 통신 서비스 제공 장치와 연동하는 제어부로부터 IP 변경 관리 정보, 라우팅 테이블 정보 및 보안 정책을 포함하는 제어 정보를 수신하는 단계
    를 더 포함하는 보안 IP 통신 서비스 제공 방법.
PCT/KR2016/014850 2015-12-23 2016-12-19 보안 ip 통신 서비스를 제공하기 위한 장치, 방법 및 통신 시스템 WO2017111404A1 (ko)

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
KR10-2015-0185419 2015-12-23
KR1020150185419A KR101821794B1 (ko) 2015-12-23 2015-12-23 보안 ip 통신 서비스를 제공하기 위한 장치, 방법 및 통신 시스템
KR10-2015-0189064 2015-12-29
KR1020150189064A KR101893209B1 (ko) 2015-12-29 2015-12-29 Ip 통신 서비스를 제공하기 위한 장치, 방법 및 통신 시스템

Publications (1)

Publication Number Publication Date
WO2017111404A1 true WO2017111404A1 (ko) 2017-06-29

Family

ID=59090803

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2016/014850 WO2017111404A1 (ko) 2015-12-23 2016-12-19 보안 ip 통신 서비스를 제공하기 위한 장치, 방법 및 통신 시스템

Country Status (1)

Country Link
WO (1) WO2017111404A1 (ko)

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20020040102A (ko) * 2000-11-23 2002-05-30 박종섭 사설망 호스트에 서비스 서버 기능을 부여하는 장치 및 방법
US20070081530A1 (en) * 2003-09-11 2007-04-12 Yuji Nomura Packet relay apparatus
WO2009062504A1 (en) * 2007-11-13 2009-05-22 Tnm Farmguard Aps Secure communication between a client and devices on different private local networks using the same subnet addresses
JP2009163546A (ja) * 2008-01-08 2009-07-23 Nec Corp ゲートウェイ、中継方法及びプログラム
KR20100086640A (ko) * 2009-01-23 2010-08-02 (주) 위너스텍 공인 아이피를 갖지 않은 내부망의 여러 장치의 외부망과의통신 연결을 지원하는 단일칩 프로세서 및 그 제어방법

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20020040102A (ko) * 2000-11-23 2002-05-30 박종섭 사설망 호스트에 서비스 서버 기능을 부여하는 장치 및 방법
US20070081530A1 (en) * 2003-09-11 2007-04-12 Yuji Nomura Packet relay apparatus
WO2009062504A1 (en) * 2007-11-13 2009-05-22 Tnm Farmguard Aps Secure communication between a client and devices on different private local networks using the same subnet addresses
JP2009163546A (ja) * 2008-01-08 2009-07-23 Nec Corp ゲートウェイ、中継方法及びプログラム
KR20100086640A (ko) * 2009-01-23 2010-08-02 (주) 위너스텍 공인 아이피를 갖지 않은 내부망의 여러 장치의 외부망과의통신 연결을 지원하는 단일칩 프로세서 및 그 제어방법

Similar Documents

Publication Publication Date Title
WO2012091529A2 (ko) 단말기
WO2012141556A2 (en) Machine-to-machine node erase procedure
WO2023033585A1 (ko) 분산 게이트웨이 환경에 최적화된 터널링 및 게이트웨이 접속 시스템 및 그에 관한 방법
WO2016111600A1 (en) Mutual authentication between user equipment and an evolved packet core
WO2013025085A2 (en) Apparatus and method for supporting family cloud in cloud computing system
WO2023033586A1 (ko) Tcp 세션 제어에 기초하여 애플리케이션의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2015157942A1 (zh) 接入无线网络的装置及方法
WO2012044072A2 (ko) 융합형 네트워크에서 사용자 키를 할당하기 위한 방법
WO2015030270A1 (ko) 사용자 정보에 기반한, 도메인 네임 시스템 및 도메인 네임 서비스 방법
WO2021261728A1 (ko) 다기능을 가지는 보안 연결을 제공하는 보안 통신 장치 및 그 동작 방법
WO2021107256A1 (ko) 이종 사물인터넷 플랫폼 장치 간 상호 연동을 위한 인터페이스 제공 방법 및 이종 사물인터넷 플랫폼 장치 간 상호 연동을 위한 인터페이스 제공 시스템
WO2018101565A1 (ko) 네트워크 가상화 환경에서 보안 관리를 위한 구조
WO2023085793A1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2012091528A2 (ko) 신뢰도 있는 ａｐ를 선택할 수 있는 단말기 및 방법
WO2023085791A1 (ko) 컨트롤러 기반 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2023211124A1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2022235007A1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2023090755A1 (ko) 가상화 인스턴스의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2015194885A1 (ko) 클라이언트 경로 제어 시스템을 활용한 장애유발 클라이언트 검출 방법 및 시스템
WO2023177238A1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2022231304A1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2020222537A1 (ko) 1차 단말을 통하여 전용망에 접속하는 2차 단말의 전용망 접속을 제어하는 서버 및 그 1차 단말
WO2015002436A1 (en) Method and apparatus for optimizing data route in mobile communication system
WO2021020918A1 (ko) 논리적 내부 네트워크를 제공하는 방법, 이를 구현하는 모바일 단말 및 어플리케이션
WO2017111404A1 (ko) 보안 ip 통신 서비스를 제공하기 위한 장치, 방법 및 통신 시스템

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16879271

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 16879271

Country of ref document: EP

Kind code of ref document: A1