WO2018173099A1 - ゲートウェイ及び中継方法 - Google Patents

ゲートウェイ及び中継方法 Download PDF

Info

Publication number
WO2018173099A1
WO2018173099A1 PCT/JP2017/011114 JP2017011114W WO2018173099A1 WO 2018173099 A1 WO2018173099 A1 WO 2018173099A1 JP 2017011114 W JP2017011114 W JP 2017011114W WO 2018173099 A1 WO2018173099 A1 WO 2018173099A1
Authority
WO
WIPO (PCT)
Prior art keywords
packet
unit
authentication
source address
gateway
Prior art date
Application number
PCT/JP2017/011114
Other languages
English (en)
French (fr)
Inventor
正則 今川
Original Assignee
三菱電機株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社 filed Critical 三菱電機株式会社
Priority to JP2019506569A priority Critical patent/JPWO2018173099A1/ja
Priority to PCT/JP2017/011114 priority patent/WO2018173099A1/ja
Publication of WO2018173099A1 publication Critical patent/WO2018173099A1/ja

Links

Images

Definitions

  • the present invention relates to a gateway and a relay method, and more particularly to a gateway and a relay method that perform protocol conversion.
  • IPv4 Internet Protocol Version 4
  • the carrier (provider) side operates NAT (Network Address Translation) and distributes the local IPv4 address to the device side to deal with such a situation.
  • NAT Network Address Translation
  • IPv6 Internet Protocol Version 6
  • IPv4 Internet Protocol Version 6
  • the server to which the device is connected often remains IPv4, which is an obstacle to IPv6 migration.
  • RFC 6877-464XLAT describes an architecture in which a user-side device having an IPv4 address can connect to a provider-side server having an IPv4 address via the Internet corresponding to IPv6.
  • a CLAT customer-side translator
  • a PLAT provider-side translator
  • NAT64 conforming to RFC6146-Stateful NAT64 is used as a device for converting an IPv6 address into an IPv4 address.
  • the NAT 64 performs an operation similar to normal NAT.
  • the NAT 64 receives a packet from the IPv6 side, the NAT 64 creates a translation cache called a BIB (Binding Information Base) entry, records the original IPv6 address and the destination IPv4 address, and records the IPv6 header of the packet in the IPv4 header. Convert.
  • the NAT 64 receives a packet from the IPv4 side, if the corresponding cache for conversion exists, the original IPv6 address described in the cache is extracted, and the IPv4 header is converted into an IPv6 header. If there is no translation cache, the NAT 64 discards the received IPv4 packet.
  • the IPv6 side corresponds to the inside of the normal NAT
  • the IPv4 side corresponds to the outside.
  • the NAT 64 can receive packets from an unspecified number of IPv6 addresses. If there is no restriction on the IPv6 side, the NAT64 tries to convert to an IPv4 address without restriction, and therefore, in addition to the hardware resources such as the CPU (Central Processing Unit) and the memory of the NAT64, the IPv4 address resource is wasted. It will be. Even if resources are not wasted, NAT64 may be used as a platform when attacking other devices on the IPv4 side from the IPv6 Internet.
  • Patent Document 1 discloses authentication using the model names (manufacturer name and product model name) of electronic devices connected to the local network.
  • a router is described that does not translate private addresses in the local network into global addresses until successful.
  • Patent Document 2 describes a technique for authenticating a terminal connected to a local network and transmitting the packet of the terminal to the IPv4 network via the IPv6 network.
  • the authentication server authenticates the terminal connected to the local network, and when the authentication is successful, the customer edge router connecting the local network and the IPv6 network is connected to the IPv6 network.
  • the address of the border router that connects the network and the IPv4 network is notified as the end point address.
  • the customer edge router notified of the end point address encapsulates the IPv4 packet received from the terminal with the IPv6 header, and transmits the encapsulated IPv6 packet to the end point address.
  • the border router determines that the packet that has reached the end point address is a packet from a legitimate user, and performs decapsulation and transfer without performing authentication.
  • the router described in Patent Document 1 restricts access from the local network to the global network, and performs authentication using the model name of the electronic device, and obtains the model name of the electronic device. If it cannot, authentication cannot be performed.
  • the border router described in Patent Document 2 Since the border router described in Patent Document 2 does not receive an authentication result, it cannot dynamically block and release communication according to the authentication result. In the technique described in Patent Document 2, it is not premised that the IPv6 network is closed within a circuit provider or ISP (Internet Service Provide) and is open to the unspecified number. For this reason, the technique described in Patent Document 2 does not assume that the border router itself is attacked. Furthermore, as a protocol for communicating IPv4 packets via an IPv6 network, the technique described in Patent Document 2 is based on the assumption that tunneling is used, and the use of NAT is not considered. In addition, the authentication server described in Patent Document 2 has a first purpose of returning a communication destination address, and does not have an accounting concept such as start and stop of communication.
  • ISP Internet Service Provide
  • an object of the present invention is to allow only authorized devices to access the second network via the first network.
  • the gateway is connected to a first network corresponding to the first protocol and a second network corresponding to a second protocol different from the first protocol, and the first protocol And a gateway that performs protocol conversion between the second protocol, a filter information storage unit that stores filter information that can identify an authenticated source address, and the first network,
  • the first communication unit that receives the first packet corresponding to the first protocol and the first source address that is the source address of the first packet match the authenticated source address.
  • a conversion unit that converts the second packet into a second packet corresponding to the second protocol, and a second communication unit that transmits the second packet to the second network. To do.
  • a first packet corresponding to the first protocol is received from a first network corresponding to the first protocol, and a transmission source address of the first packet is The first packet is converted to a second packet corresponding to a second protocol different from the first protocol when the authenticated source address is matched, and the second packet is converted to the second packet It transmits to the 2nd network corresponding to a 2nd protocol, It is characterized by the above-mentioned.
  • FIG. 4 is a schematic diagram showing an IPv6 address converted from an IPv4 address in Embodiment 1.
  • FIG. (A) And (B) is a block diagram which shows the hardware structural example.
  • 6 is a block diagram schematically showing a communication system according to a first modification of the first embodiment.
  • FIG. 7 is a block diagram schematically showing a communication system according to a second modification of the first embodiment.
  • FIG. 7 is a block diagram schematically showing a communication system according to a third modification of the first embodiment.
  • FIG. 10 is a block diagram schematically showing a communication system according to a fourth modification example of the first embodiment.
  • 3 is a block diagram schematically showing a configuration of a communication system according to a second embodiment.
  • FIG. 10 is a block diagram schematically showing a configuration of a server gateway in the second embodiment.
  • FIG. 10 is a block diagram schematically showing a communication system according to a modified example of the second embodiment. It is a block diagram which shows roughly the structure of the server gateway in the modification of Embodiment 2.
  • FIG. FIG. 10 is a sequence diagram illustrating IPv6 filter control by an account protocol in the third embodiment.
  • FIG. 10 is a block diagram schematically showing a configuration of a communication system according to a fourth embodiment.
  • FIG. 10 is a block diagram schematically showing a configuration of a server gateway in a fourth embodiment.
  • FIG. 20 is a sequence diagram showing IPv6 filter control by an account protocol in the fourth embodiment.
  • 12 is a block diagram schematically showing a configuration of a communication system according to a modification of the fourth embodiment.
  • FIG. 10 is a block diagram schematically showing a configuration of a server gateway in a modification of the fourth embodiment.
  • FIG. 1 is a block diagram schematically showing a configuration of a communication system 100 according to the first embodiment.
  • the communication system 100 includes a device 110, an IoT gateway 120, a server gateway 130, and a server 150.
  • the IoT gateway 120 and the server gateway 130 are connected to the IPv6 Internet 101, which is the Internet compliant with IPv6, and the server gateway 130 and the server 150 are connected to the IPv4 Internet 102, which is the Internet compliant with IPv4.
  • IPv6 is also referred to as a first protocol, IPv4 as a second protocol, IPv6 Internet 101 as a first network, and IPv4 Internet 102 as a second network.
  • the device 110 performs communication according to IPv4.
  • the device 110 may be anything as long as it is connected to the network.
  • the device 110 is any information processing device such as a PC (Personal Computer), home appliances such as a television, a refrigerator, a washing machine, and an air conditioner, and a sensor device that detects physical quantities such as temperature, humidity, and speed.
  • the IoT gateway 120 performs protocol conversion between IPv4 and IPv6.
  • the IoT gateway 120 performs conversion between the private IPv4 address of the device 110 and the global IPv6 address by an address conversion technique compliant with RFC6145.
  • the server gateway 130 performs protocol conversion between IPv4 and IPv6.
  • the server gateway 130 performs conversion between a global IPv6 address and a global IPv4 address by using an address conversion technique compliant with RFC6146.
  • the method of relaying packets by the server gateway 130 is the relay method in the first embodiment.
  • the server 150 performs communication according to IPv4.
  • FIG. 2 is a block diagram schematically showing the configuration of the server gateway 130 in the first embodiment.
  • the server gateway 130 includes an IPv6 communication unit 131, a first INPUT filter unit 132, a filter table storage unit 133, an authentication processing unit 134, an authentication database (hereinafter referred to as an authentication DB) 135, an account database (hereinafter referred to as an account DB). 136), an address conversion unit 137, a BIB storage unit 138, a first OUTPUT filter unit 139, an IPv4 communication unit 140, a second INPUT filter unit 141, and a second OUTPUT filter unit 142.
  • the IPv6 communication unit 131 communicates with the IPv6 Internet 101.
  • the IPv6 communication unit 131 receives an IPv6 packet corresponding to IPv6 from the IPv6 Internet 101, and provides the IPv6 packet to the first INPUT filter unit 132.
  • the IPv6 packet received by the IPv6 communication unit 131 is also referred to as a first packet, and the IPv6 communication unit 131 is also referred to as a first communication unit.
  • the first INPUT filter unit 132 performs a filtering process on the IPv6 packet given from the IPv6 communication unit 131.
  • the first INPUT filter unit 132 is initially set so as not to pass all packets except for an authentication account packet that is a packet used for authentication and account creation.
  • the first INPUT filter unit 132 passes the authentication account packet unconditionally.
  • the IPv6 address that passes through the first INPUT filter unit 132 is registered in the filter table stored in the filter table storage unit 133. For this reason, the first INPUT filter unit 132 determines whether or not the source IPv6 address matches that registered in the filter table for IPv6 packets other than the authentication account packet, and passes only when they match. . Note that the first INPUT filter unit 132 discards the IPv6 packet if they do not match.
  • the authentication account packet that has passed through the first INPUT filter unit 132 is given to the authentication processing unit 134, and the IPv6 packet other than the authentication account packet that has passed through the first INPUT filter unit 132 is sent to the address conversion unit 137. Given. In addition, the first INPUT filter unit 132 prepares for an authentication and account attack (brute force attack, etc.) and does not pass the authentication account packet unconditionally, so that the authentication account packet is set to a predetermined reception rate or less. May be thinned out.
  • the first INPUT filter unit 132 is also simply referred to as a filter unit.
  • the filter table storage unit 133 stores a filter table for registering an IPv6 address that the first INPUT filter unit 132 passes when authentication is successful.
  • the IPv6 address registered in the filter table is an authenticated source address.
  • the filter table is also referred to as filter information
  • the filter table storage unit 133 is also referred to as a filter information storage unit.
  • the authentication processing unit 134 is a processing unit that performs authentication of the transmission source and creation of an account for communication with the transmission source based on the authentication account packet that has passed through the first INPUT filter unit 132.
  • Authentication protocols include, but are not limited to, RADIUS (Remote Authentication Dial In User Service), DIAMETER and TACACS +, which are successors of RADIUS.
  • the IoT gateway 120 When starting IPv6 communication with the server gateway 130, the IoT gateway 120 transmits an authentication request packet as an authentication account packet. As an option of the authentication request packet, identification information of the device 110 that is connected to the IoT gateway 120 and that is an IPv4 device to transmit a packet from now on is added. As this identification information, information obtained by converting the IPv4 address of the device 110 into an IPv6 address by the IoT gateway is used.
  • FIG. 3 is a schematic diagram showing an IPv6 address converted from the IPv4 address of the device 110.
  • the IPv6 address 160 includes an IPv6 prefix 160a and an interface identifier 160b.
  • the IPv6 prefix 160a indicates a position in the network. For this reason, in many cases, the IPv6 address 160 can specify the position of the IoT gateway 120 in the IPv6 Internet 101 using only the IPv6 prefix 160a.
  • the interface identifier 160b is used to identify individual devices in the local network.
  • An IPv4 address before being converted to an IPv6 address can be optionally added to the lower 32 bits of the interface identifier 160b. If an option cannot be added to the authentication request packet, the identification information (IPv4 address) of the device 110 may be omitted.
  • the authentication processing unit 134 when the authentication request packet is received from the first INPUT filter unit 132, the authentication processing unit 134 refers to the authentication DB 135 and determines whether or not the authentication is successful. For example, when the IPv6 address of the device 110 or the IoT gateway 120 is included in the authentication request packet, the authentication processing unit 134 determines whether authentication is successful for this IPv6 address. Then, the authentication processing unit 134 responds the determination result to the IoT gateway 120 via the second OUTPUT filter unit 142 and the IPv6 communication unit 131. For example, if the authentication is successful, the authentication processing unit 134 responds with an authentication success packet indicating the success of authentication, and if the authentication is not successful, returns an authentication failure packet indicating the authentication failure.
  • the authentication processing unit 134 releases the filter of the first INPUT filter unit 132 of the server gateway 130 when transmitting the authentication success packet to the IoT gateway 120.
  • a record that can specify the IPv6 address so as to pass the IPv6 address that is the source address of the device 110, which is added to the option of the authentication request packet (Item) is registered (added) to the filter table stored in the filter table storage unit 133.
  • the authentication processing unit 134 may release the filter of the first INPUT filter unit 132 of the server gateway 130 for the IPv6 address prefix of the IoT gateway 120 when authentication is successful.
  • the IPv6 address of the IoT gateway 120 can be obtained from the source address of the authentication request packet.
  • the authentication processing unit 134 registers the IPv6 prefix of the IoT gateway 120 that has been successfully authenticated in the filter table.
  • all IPv6 packets whose source IPv6 address is the IPv6 prefix pass through the first INPUT filter unit 132 of the server gateway 130.
  • packets from all the devices 110 that communicate via the IoT gateway 120 can pass through the server gateway 130.
  • the record registered in the filter table may indicate the IPv6 address itself, or may indicate the prefix of the IPv6 address.
  • the authentication DB 135 is an authentication data storage unit that stores authentication data that is authentication data. It is assumed that data predetermined according to the authentication protocol is stored as the authentication data.
  • the account DB 136 stores account information indicating the start, continuation, and stop of communication. For example, when communication with the IoT gateway 120 is started, the authentication processing unit 134 stores the communication start time in the account DB 136 in association with the IPv6 address of the IoT gateway 120 as account information, and continues communication. In this case, as account information, the communication continuation time (update time) is stored in the account DB 136 in association with the IPv6 address of the IoT gateway 120, and when the communication is stopped, the communication stop time is set as the account information. It is stored in the account DB 136 in association with the IPv6 address of the gateway 120.
  • the address conversion unit 137 Upon receiving an IPv6 packet other than the authentication account packet from the first INPUT filter unit 132, the address conversion unit 137 converts the IPv6 packet into an IPv4 packet. In other words, the address conversion unit 137 converts the IPv6 packet into an IPv4 packet when the source address of the IPv6 packet other than the authentication account packet matches the authenticated source address.
  • the converted IPv4 packet is also referred to as a second packet.
  • the source address of an IPv6 packet other than the authentication account packet is also referred to as a first source address.
  • the address conversion unit 137 converts an IPv6 packet into an IPv4 packet by converting a global IPv6 address and a global IPv4 address by an address conversion technique based on RFC6146.
  • the IPv4 address converted by the address conversion unit 137 is also referred to as a second transmission source address. Further, the address conversion unit 137 records an entry including the original IPv6 address and the destination IPv4 address in the BIB stored in the BIB storage unit 138 in accordance with RFC6146. The IPv4 packet converted in this way is given to the first OUTPUT filter unit 139.
  • the BIB storage unit 138 stores a BIB that conforms to RFC6146.
  • the authentication processing unit 134 may delete the related record in the filter table in conjunction with the deletion of the entry in the BIB.
  • the authentication processing unit 134 deletes the corresponding record from the filter table.
  • the first OUTPUT filter unit 139 performs a filtering process on the IPv4 packet given from the address translation unit 137.
  • the first OUTPUT filter unit 139 passes all the IPv4 packets and gives them to the IPv4 communication unit 140. For this reason, in Embodiment 1, the 1st OUTPUT filter part 139 does not need to be provided.
  • the IPv4 communication unit 140 performs communication with the IPv4 Internet 102. For example, the IPv4 communication unit 140 transmits the IPv4 packet given from the first OUTPUT filter unit 139 to the server 150.
  • the IPv4 communication unit 140 is also referred to as a second communication unit.
  • the second INPUT filter unit 141 performs a filtering process on the IPv4 packet given from the IPv4 communication unit 140.
  • the second INPUT filter unit 141 passes all IPv4 packets and gives them to the address translation unit 137. For this reason, in Embodiment 1, the 2nd INPUT filter part 141 does not need to be provided.
  • the second OUTPUT filter unit 142 performs a filtering process on the IPv6 packet given from the address conversion unit 137 and the authentication processing unit 134.
  • the second OUTPUT filter unit 142 passes all IPv6 packets and gives them to the IPv6 communication unit 131. For this reason, in Embodiment 1, the 2nd OUTPUT filter part 142 does not need to be provided.
  • IPv6 communication unit 131 One of the IPv6 communication unit 131, the first INPUT filter unit 132, the authentication processing unit 134, the address conversion unit 137, the first OUTPUT filter unit 139, the IPv4 communication unit 140, the second INPUT filter unit 141, and the second OUTPUT filter unit 142 described above.
  • FIG. 4A a part or all of a single circuit, a composite circuit, a programmed processor, a parallel programmed processor, an ASIC (Application Specific Integrated Circuits) or an FPGA (Field Programmable) (Gate Array) or the like.
  • the IPv6 communication unit 131, the first INPUT filter unit 132, the authentication processing unit 134, the address conversion unit 137, the first OUTPUT filter unit 139, the IPv4 communication unit 140, the second INPUT filter unit 141, and a part of the second OUTPUT filter unit 142 are
  • the memory 11 and a processor 12 such as a CPU (Central Processing Unit) that executes a program stored in the memory 11 may be used.
  • a program may be provided through a network, or may be provided by being recorded on a recording medium. That is, such a program may be provided as a program product.
  • the filter table storage unit 133, the authentication DB 135, and the account DB 136 can be configured by a nonvolatile memory (not shown).
  • the server gateway 130 which is a relay apparatus can be protected from an unspecified number of attacks.
  • the source IPv4 address recognized by the server 150 connected to the IPv4 Internet 102 is the IPv4 address of the server gateway 130, and the address information of the device 110 corresponding to IPv4 behind the IoT gateway 120. Is lost and the actual communication partner is unknown.
  • the account information can be used for analysis when a problem occurs later.
  • the server 150 is connected to the IPv4 Internet 102, but the first embodiment is not limited to such an example.
  • the server gateway 130 # 1 and the server 150 # 1 are installed at the same location, and the server gateway 130 # 1 and the server 150 # 1 are installed. May be connected via a LAN (Local Area Network) 103.
  • the address translation unit 137 # 1 (see FIG. 2) of the server gateway 130 # 1 translates the global IPv6 address and the local IPv4 address.
  • a device 110 # 1 that performs communication corresponding to IPv6 may be connected to the IPv6 Internet 101.
  • the destination IPv6 address when the device 110 # 1 connects to the server 150 is as shown in FIG.
  • the IPv6 prefix 160a of the upper bit specifies the IPv6 address prefix of the server gateway 130, and the IPv4 address of the server 150 to be connected to the lower bit IPv4 address.
  • the device 110 # 1 itself corresponding to IPv6 needs to have the authentication function of the server gateway 130 and the client function of the account.
  • the device 110 # 2 corresponding to IPv6 is connected to the IoT gateway 120 # 1 as in the communication system 100 # 3 shown in FIG. 7, the device 110 # 2 is connected to the server gateway.
  • the IoT gateway 120 # 1 has a function of performing processing corresponding to the DNS 64 in addition to the server gateway 130 authentication and account client functions.
  • the IoT gateway 120 # 1 relays the name resolution request when the device 110 # 2 compatible with IPv6 performs name resolution of the server 150 compatible with IPv4.
  • the IoT gateway 120 # 1 Upon receiving the name resolution response from the outside, the IoT gateway 120 # 1 rewrites the IPv4 address of the response result with the IPv6 address 160 in the format shown in FIG. 3, and transfers it to the device 110 # 2. That is, in the configuration shown in FIG. 7, the IoT gateway 120 # 1 performs the processing in the first embodiment, and the device 110 # 2 only needs to perform an operation according to the standard IPv6.
  • one server gateway 130 is provided, but the number of server gateways 130 in the first embodiment is not limited to one.
  • a plurality of server gateways 130A and 130B may be provided as in the communication system 100 # 4 illustrated in FIG. In such a case, it is assumed that the IoT gateway 120 # 2 knows the IPv6 addresses of the plurality of server gateways 130A and 130B in advance.
  • the IoT gateway 120 # 2 transmits an authentication request packet to the server gateway 130A before starting communication with the server gateway 130A. Even when the received authentication request packet is from the normal IoT gateway 120 # 2, the server gateway 130A is not able to manage the server because of the number of registered BIB entries, the number of registered filter tables, the CPU load, and the traffic volume. If it is determined that the load on the gateway 130A is high, a rejection response may be returned.
  • the IoT gateway 120 # 2 whose authentication request is rejected transmits the request to the other server gateway 130B. If there is no response from the server gateway 130A, the IoT gateway 120 # 2 retransmits the specified number of times, and if there is no response, the IoT gateway 120 # 2 transmits a request to the other server gateway 130B. If there is a success response from the server gateway 130B, the IoT gateway 120 # 2 starts communication with the server gateway 130B.
  • the order in which the IoT gateway 120 # 2 selects the server gateways 130A and 130B is preferably a random order in order to avoid load concentration.
  • FIG. 9 is a block diagram schematically showing a configuration of the communication system 200 according to the second embodiment.
  • the communication system 200 includes a device 110, an IoT gateway 120, a server gateway 230, a server 150, and an authentication server 270.
  • the communication system 200 according to the second embodiment is configured in the same manner as the communication system 100 according to the first embodiment except for the server gateway 230 and the authentication server 270.
  • the IoT gateway 120, the server gateway 230, and the authentication server 270 are connected to the IPv6 Internet 101, and the server gateway 230 and the server 150 are connected to the IPv4 Internet 102. Note that the method of relaying packets by the server gateway 230 is the relay method in the second embodiment.
  • FIG. 10 is a block diagram schematically showing the configuration of the server gateway 230 in the second embodiment.
  • the server gateway 230 includes an IPv6 communication unit 131, a first INPUT filter unit 132, a filter table storage unit 133, an authentication processing unit 234, an account DB 136, an address conversion unit 137, a BIB storage unit 138, and a first OUTPUT filter.
  • Unit 139, IPv4 communication unit 140, second INPUT filter unit 141, and second OUTPUT filter unit 142 is an IPv6 communication unit 131, a first INPUT filter unit 132, a filter table storage unit 133, an authentication processing unit 234, an account DB 136, an address conversion unit 137, a BIB storage unit 138, and a first OUTPUT filter.
  • Unit 139, IPv4 communication unit 140, second INPUT filter unit 141, and second OUTPUT filter unit 142 are examples of the filter.
  • the second INPUT filter unit 141 and the second OUTPUT filter unit 142 are configured in the same manner as the corresponding parts of the server gateway 130 in the first embodiment.
  • the authentication processing unit 234 Based on the authentication account packet that has passed through the first INPUT filter unit 132, the authentication processing unit 234 causes the authentication server 270 to perform authentication of the IoT gateway 120 and creates an account.
  • the account creation is the same as in the first embodiment. For example, when receiving the authentication request packet from the first INPUT filter unit 132, the authentication processing unit 234 transfers the authentication request packet to the authentication server 270 via the second OUTPUT filter unit 142 and the IPv6 communication unit 131.
  • the authentication server 270 refers to an authentication database (not shown) and determines whether or not the authentication is successful. For example, when the IPv6 address of the device 110 or the IoT gateway 120 is included in the authentication request packet, the authentication server 270 determines whether or not the authentication is successful for this IPv6 address. Then, the authentication server 270 responds to the server gateway 230 with the determination result. For example, if the authentication is successful, the authentication server 270 responds with an authentication success packet indicating the success of the authentication, and if the authentication fails, the authentication server 270 returns an authentication failure packet indicating the authentication failure.
  • the authentication processing unit 234 When the authentication processing unit 234 receives the authentication success packet and the authentication failure packet via the IPv6 communication unit 131 and the first INPUT filter unit 132, the authentication processing unit 234 sends these packets to the IoT through the second OUTPUT filter unit 142 and the IPv6 communication unit 131. Transmit to the gateway 120. Here, the authentication processing unit 234 releases the filter of the first INPUT filter unit 132 of the server gateway 230 when transmitting the authentication success packet to the IoT gateway 120.
  • the server gateway 230 can cause the external authentication server 270 to perform authentication processing.
  • the authentication server 270 is connected to the IPv6 Internet 101. However, like the communication system 200 # 1 shown in FIG. 11, the authentication server 270 # 1 is connected to the IPv4 Internet. 102 may be connected.
  • FIG. 12 is a block diagram schematically showing a configuration of server gateway 230 # 1 in a modification of the second embodiment.
  • the server gateway 230 # 1 includes an IPv6 communication unit 131, a first INPUT filter unit 132, a filter table storage unit 133, an authentication processing unit 234 # 1, an account DB 136, an address conversion unit 137, and a BIB storage unit 138.
  • the first OUTPUT filter unit 139, the IPv4 communication unit 140, the second INPUT filter unit 141, and the second OUTPUT filter unit 142 are provided.
  • the IPv4 communication unit 140, the second INPUT filter unit 141, and the second OUTPUT filter unit 142 are configured in the same manner as the corresponding parts of the server gateway 130 in the first embodiment.
  • the authentication processing unit 234 # 1 Upon receiving the authentication request packet from the first INPUT filter unit 132, the authentication processing unit 234 # 1 transfers the authentication request packet to the authentication server 270 # 1 via the first OUTPUT filter unit 139 and the IPv4 communication unit 140.
  • the authentication processing unit 234 # 1 receives the authentication success packet and the authentication failure packet via the IPv4 communication unit 140 and the second INPUT filter unit 141, the authentication processing unit 234 # 1 passes these packets to the second OUTPUT filter unit 142 and the IPv6 communication unit 131.
  • the authentication processing unit 234 # 1 releases the filter of the first INPUT filter unit 132 of the server gateway 230 when transmitting the authentication success packet to the IoT gateway 120.
  • Embodiment 3 In the first embodiment, when the authentication is successful, the filter of the first INPUT filter unit 132 of the server gateway 130 is released. In this case, there is a problem of when the release of the filter is canceled and the IPv6 packet from the designated IoT gateway 120 can be discarded. Therefore, in the third embodiment, a method for releasing a filter at the start of an account, not at the time of successful authentication will be described.
  • the communication system 300 according to the third embodiment includes a device 110, an IoT gateway 120, a server gateway 330, and a server 150.
  • the communication system 300 according to the third embodiment is configured in the same manner as the communication system 100 according to the first embodiment except for the server gateway 330.
  • the server gateway 330 in the third embodiment includes an IPv6 communication unit 131, a first INPUT filter unit 132, a filter table storage unit 133, an authentication processing unit 334, an authentication DB 135, An account DB 136, an address conversion unit 137, a BIB storage unit 138, a first OUTPUT filter unit 139, an IPv4 communication unit 140, a second INPUT filter unit 141, and a second OUTPUT filter unit 142 are provided.
  • the server gateway 330 in the third embodiment is configured in the same manner as the server gateway 130 in the first embodiment except for the authentication processing unit 334. Note that the method of relaying packets by the server gateway 330 is the relay method in the third embodiment.
  • the authentication processing unit 334 in the third embodiment performs authentication of the IoT gateway 120 and creation of an account based on the authentication account packet that has passed through the first INPUT filter unit 132, as in the authentication processing unit 134 in the first embodiment. Do. However, the authentication processing unit 334 according to the third embodiment performs the release of the filter of the first INPUT filter unit 132 and the stop of the release according to the start and stop of the account.
  • the authentication processing unit 334 can specify an IPv6 address that is a transmission source address of the start request packet. Is registered in the filter table. Then, when the account is stopped based on the account stop request packet, which is an authentication account packet, the authentication processing unit 334 displays a record corresponding to the IPv6 address that is the source address of the stop request packet. Delete from.
  • any authentication protocol used by the authentication processing unit 334 has an account function.
  • the authentication protocol account function records the start and stop of communication, and is generally used for communication metering.
  • FIG. 13 is a sequence diagram illustrating IPv6 filter control according to the account protocol in the third embodiment.
  • the IoT gateway 120 that has detected the start of communication with the external server 150 by the subordinate device 110 transmits an account protocol start request packet to the server gateway 330 (S10).
  • the server gateway 330 when the first INPUT filter unit 132 receives the start request packet via the IPv6 communication unit 131, the first INPUT filter unit 132 gives it to the authentication processing unit 334 (S11).
  • the authentication processing unit 334 records the start of communication in the account DB 136 in association with the identification information (S12).
  • the identification information of the account requester is the IPv6 address of the device 110 or the IPv6 address of the IoT gateway 120.
  • the authentication processing unit 334 that has successfully recorded the start of the account returns a success response packet to the IoT gateway 120 via the second OUTPUT filter unit 142 and the IPv6 communication unit 131 (S13). Also, the authentication processing unit 334 releases the filter of the first INPUT filter unit 132 by registering a record indicating identification information in the filter table stored in the filter table storage unit 133 (S14).
  • the IoT gateway 120 that has received the success response packet in response to the account start request packet converts the packet from the subordinate device 110 into an IPv6 packet, and starts relaying to the server gateway 330 (S15). While the communication of the device 110 continues, the IoT gateway 120 periodically transmits an account update request packet to the server gateway 330 (S16).
  • the server gateway 330 when the first INPUT filter unit 132 receives the update request packet via the IPv6 communication unit 131, it gives it to the authentication processing unit 334 (S17).
  • the authentication processing unit 334 records the continuation of communication corresponding to the requester identification information included in the update request packet in the account DB 136 (S18). Thereby, the release of the filter of the first INPUT filter unit 132 is maintained. Then, the authentication processing unit 334 returns a success response packet to the IoT gateway 120 via the second OUTPUT filter unit 142 and the IPv6 communication unit 131 (S19).
  • the IoT gateway 120 that determines that the communication from the subordinate device 110 has ended transmits an account stop request packet to the server gateway 330 (S20).
  • the server gateway 330 when the first INPUT filter unit 132 receives the stop request packet via the IPv6 communication unit 131, the first INPUT filter unit 132 gives it to the authentication processing unit 334 (S17).
  • the authentication processing unit 334 records the communication stop corresponding to the requester identification information included in the stop request packet in the account DB 136 (S22). Then, the authentication processing unit 334 returns a success response packet to the IoT gateway 120 via the second OUTPUT filter unit 142 and the IPv6 communication unit 131 (S23).
  • the authentication processing unit 334 deletes the record indicating the requester's identification information included in the stop request packet from the filter table stored in the filter table storage unit 133, so that the filter of the first INPUT filter unit 132 has the filter. Release is stopped (S24).
  • the authentication processing unit 334 records the corresponding account suspension in the account DB 136 to stop communication and cope with it.
  • the record indicating the identification information to be deleted is deleted from the filter table, and the release of the filter is stopped.
  • FIG. 14 is a block diagram schematically showing a configuration of a communication system 400 according to the fourth embodiment.
  • the communication system 400 includes a device 110, an IoT gateway 120, a server gateway 430, a server 150, and an account server 480.
  • the communication system 400 according to the fourth embodiment is configured in the same manner as the communication system 100 according to the first embodiment except for the server gateway 430 and the account server 480.
  • the IoT gateway 120, the server gateway 430, and the account server 480 are connected to the IPv6 Internet 101, and the server gateway 430 and the server 150 are connected to the IPv4 Internet 102. Note that the method of relaying packets by the server gateway 430 is the relay method in the fourth embodiment.
  • FIG. 15 is a block diagram schematically showing the configuration of the server gateway 430 in the fourth embodiment.
  • the server gateway 430 includes an IPv6 communication unit 131, a first INPUT filter unit 132, a filter table storage unit 133, an authentication processing unit 434, an authentication DB 135, an address conversion unit 137, a BIB storage unit 138, and a first OUTPUT filter.
  • Unit 139, IPv4 communication unit 140, second INPUT filter unit 141, and second OUTPUT filter unit 142 is an IPv6 communication unit 131, a first INPUT filter unit 132, a filter table storage unit 133, an authentication processing unit 434, an authentication DB 135, an address conversion unit 137, a BIB storage unit 138, and a first OUTPUT filter.
  • Unit 139, IPv4 communication unit 140, second INPUT filter unit 141, and second OUTPUT filter unit 142 are examples of the configuration of the server gateway 430.
  • the second INPUT filter unit 141 and the second OUTPUT filter unit 142 are configured in the same manner as the corresponding parts of the server gateway 130 in the first embodiment.
  • the authentication processing unit 434 performs authentication based on the authentication account packet that has passed through the first INPUT filter unit 132 and causes the account server 480 to manage the account in communication with the IoT gateway 120.
  • the authentication process is the same as in the first embodiment.
  • the authentication processing unit 434 may delete the related record in the filter table in conjunction with the deletion of the entry in the BIB.
  • the authentication processing unit 434 notifies the account server 480 via the second OUTPUT filter unit 142 and the IPv6 communication unit 131, and the account server 480 stops communication. Record.
  • FIG. 16 is a sequence diagram illustrating IPv6 filter control according to the account protocol in the fourth embodiment.
  • the IoT gateway 120 that has detected the start of communication with the external server 150 by the subordinate device 110 transmits an account protocol start request packet to the server gateway 430 (S30).
  • the server gateway 430 when the authentication processing unit 434 receives the start request packet via the IPv6 communication unit 131 and the first INPUT filter unit 132, the authentication processing unit 434 transmits it to the account server via the second OUTPUT filter unit 142 and the IPv6 communication unit 131. Transfer to 480 (S31).
  • the account server 480 records the start of communication in an account database (not shown) in association with the identification information (S32).
  • the identification information of the account requester is the IPv6 address of the device 110 or the IPv6 address of the IoT gateway 120.
  • the account server 480 having successfully recorded the account start returns a success response packet to the account start request to the server gateway 430 (S33).
  • the authentication processing unit 434 Upon receiving the success response packet via the IPv6 communication unit 131 and the first INPUT filter unit 132, the authentication processing unit 434 registers a record indicating identification information in the filter table stored in the filter table storage unit 133. The filter of the first INPUT filter unit 132 is released (S34). Then, the authentication processing unit 434 transfers the success response packet to the IoT gateway 120 via the second OUTPUT filter unit 142 and the IPv6 communication unit 131 (S35).
  • the IoT gateway 120 that has received the success response packet in response to the account start request packet converts the packet from the subordinate device 110 into an IPv6 packet and starts relaying to the server gateway 430 (S36).
  • the IoT gateway 120 While the communication of the device 110 continues, the IoT gateway 120 periodically transmits an account update request packet to the server gateway 430 (S37).
  • the authentication processing unit 434 Upon receiving the update request packet via the IPv6 communication unit 131 and the first INPUT filter unit 132, the authentication processing unit 434 maintains a record corresponding to the identification information in the filter table stored in the filter table storage unit 133. Thus, the release of the filter of the first INPUT filter unit 132 is maintained (S38). Then, the authentication processing unit 434 transfers the update request packet to the account server 480 via the second OUTPUT filter unit 142 and the IPv6 communication unit 131 (S39).
  • the account server 480 records the continuation of communication corresponding to the requester identification information included in the update request packet in the account database (S40). Then, the account server 480 returns a success response packet to the server gateway 430 (S41). Upon receiving the success response packet via the IPv6 communication unit 131 and the first INPUT filter unit 132, the authentication processing unit 434 of the server gateway 430 sends the success response packet via the second OUTPUT filter unit 142 and the IPv6 communication unit 131. The data is transferred to the IoT gateway 120 (S42).
  • the IoT gateway 120 that determines that the communication from the subordinate device 110 has ended transmits an account stop request packet to the server gateway 430 (S43).
  • the authentication processing unit 434 of the server gateway 430 includes the stop request packet from the filter table stored in the filter table storage unit 133.
  • the release of the filter of the first INPUT filter unit 132 is stopped by deleting the record indicating the requester identification information (S44).
  • the authentication processing unit 434 transfers the stop request packet to the account server 480 via the second OUTPUT filter unit 142 and the IPv6 communication unit 131 (S45).
  • the account server 480 records the communication stop corresponding to the identification information of the requester included in the stop request packet in the account database (S46). Then, the account server 480 transmits a success response packet to the stop request to the server gateway 430 (S47). Upon receiving the success response packet via the IPv6 communication unit 131 and the first INPUT filter unit 132, the authentication processing unit 434 of the server gateway 430 sends the success response packet via the second OUTPUT filter unit 142 and the IPv6 communication unit 131. The data is transferred to the IoT gateway 120 (S48).
  • the authentication processing unit 434 deletes the record indicating the corresponding identification information from the filter table and stops releasing the filter.
  • a stop request packet is transmitted to the account server 480 via the second OUTPUT filter unit 142 and the IPv6 communication unit 131.
  • the account can be managed by the external account server 480.
  • the account server 480 is connected to the IPv6 Internet 101. Like the communication system 400 # 1 shown in FIG. 17, the account server 480 # 1 is connected to the IPv4 Internet. 102 may be connected.
  • FIG. 18 is a block diagram schematically showing a configuration of server gateway 430 # 1 in a modification of the fourth embodiment.
  • the server gateway 430 # 1 includes an IPv6 communication unit 131, a first INPUT filter unit 132, a filter table storage unit 133, an authentication processing unit 434 # 1, an authentication DB 135, an address conversion unit 137, and a BIB storage unit 138.
  • the first OUTPUT filter unit 139, the IPv4 communication unit 140, the second INPUT filter unit 141, and the second OUTPUT filter unit 142 are provided.
  • the IPv4 communication unit 140, the second INPUT filter unit 141, and the second OUTPUT filter unit 142 are configured in the same manner as the corresponding parts of the server gateway 130 in the first embodiment.
  • the authentication processing unit 434 # 1 Upon receiving the account start request packet, the update request packet, and the stop request packet from the first INPUT filter unit 132, the authentication processing unit 434 # 1 accounts for these packets via the first OUTPUT filter unit 139 and the IPv4 communication unit 140. Transfer to server 480 # 1.
  • the authentication processing unit 434 # 1 When the authentication processing unit 434 # 1 receives the authentication success packet and the authentication failure packet via the IPv4 communication unit 140 and the second INPUT filter unit 141, the authentication processing unit 434 # 1 passes through the second OUTPUT filter unit 142 and the IPv6 communication unit 131. Are transferred to the IoT gateway 120.
  • the authentication processing unit 234 # 1 releases a filter by registering a record indicating identification information corresponding to the filter table.
  • the authentication processing unit 434 # 1 when transferring the update request packet, the authentication processing unit 434 # 1 maintains the release of the filter by maintaining a record indicating the corresponding identification information in the filter table. Furthermore, when transferring the stop request packet, the authentication processing unit 434 # 1 stops the release of the filter by deleting the record indicating the corresponding identification information in the filter table.
  • an external authentication server can be authenticated.

Abstract

サーバゲートウェイ（１３０）は、認証された送信元アドレスを特定することのできるフィルタテーブルを記憶するフィルタテーブル記憶部（１３３）と、ＩＰｖ６インターネットから、ＩＰｖ６に対応したＩＰｖ６パケットを受信するＩＰｖ６通信部（１３１）と、ＩＰｖ６パケットの送信元アドレスであるＩＰｖ６アドレスが、認証された送信元アドレスに一致するか否かを判断する第１ＩＮＰＵＴフィルタ部（１３２）と、そのＩＰｖ６アドレスが、認証された送信元アドレスに一致する場合に、ＩＰｖ６パケットを、ＩＰｖ４に対応したＩＰｖ４パケットに変換するアドレス変換部（１３７）と、ＩＰｖ４パケットをＩＰｖ４インターネットに送信するＩＰｖ４通信部（１４０）とを備える。

Description

ゲートウェイ及び中継方法
　本発明は、ゲートウェイ及び中継方法に関し、特に、プロトコルの変換を行うゲートウェイ及び中継方法に関する。
　ＩｏＴ（Ｉｎｔｅｒｎｅｔ　ｏｆ　Ｔｈｉｎｇｓ）により、従来インターネットに接続する必要のなかった多くの機器をインターネットに接続する必要がでてきている。一方で、通常、インターネット接続に使われているＩＰｖ４（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ　Ｖｅｒｓｉｏｎ　４）アドレスはすでに枯渇している。
　キャリア（プロバイダ）側で、ＮＡＴ（Ｎｅｔｗｏｒｋ　Ａｄｄｒｅｓｓ　Ｔｒａｎｓｌａｔｉｏｎ）を動作させ、機器側にはローカルＩＰｖ４アドレスを配布することで、このような状況に対処を行っているが、このような対処では、増大する一方の機器に対し、限界がある。
　そのため、インターネット接続は、ＩＰｖ４ではなく、アドレス空間が広大なＩＰｖ６（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ　Ｖｅｒｓｉｏｎ　６）を使用することが始まっている。一方で、機器が接続する先のサーバは、ＩＰｖ４のままの場合が多く、ＩＰｖ６移行への障害となっている。
　ＲＦＣ　６８７７－４６４ＸＬＡＴには、ＩＰｖ４アドレスを有する、ユーザ側の機器が、ＩＰｖ６に対応したインターネットを介して、ＩＰｖ４アドレスを有する、プロバイダ側のサーバに接続することのできるアーキテクチャが記載されている。
　ＲＦＣ　６８７７－４６４ＸＬＡＴによれば、ユーザ側に設置されたＣＬＡＴ（ｃｕｓｔｏｍｅｒ－ｓｉｄｅ　ｔｒａｎｓｌａｔｏｒ）が、ＲＦＣ６１４５に準拠したアドレス変換技術により、ユーザ側機器のプライベートＩＰｖ４アドレスを、グローバルＩＰｖ６アドレスに変換する。そして、プロバイダ側に設置されたＰＬＡＴ（ｐｒｏｖｉｄｅｒ－ｓｉｄｅ　ｔｒａｎｓｌａｔｏｒ）が、ＲＦＣ６１４６に準拠したアドレス変換技術により、グローバルＩＰｖ６アドレスを、グローバルＩＰｖ４アドレスに変換する。
　このようなアーキテクチャにより、ＩＰｖ６に対応したインターネットを介して、ＩＰｖ４アドレスしか割り当てられていない機器及びサーバ間の通信を行うことができる。
　なお、ユーザ側の機器にＩＰｖ６アドレスが割り当てられている場合でも、プロバイダ側には、ＩＰｖ６アドレスをＩＰｖ４アドレスに変換する装置が必要となる。
　ＩＰｖ６アドレスをＩＰｖ４アドレスに変換する装置としては、ＲＦＣ６１４６－Ｓｔａｔｅｆｕｌ　ＮＡＴ６４に準拠したＮＡＴ６４が使われる。ＮＡＴ６４は、通常のＮＡＴと似た動作を行う。ＮＡＴ６４は、ＩＰｖ６側からパケットを受け取ると、ＢＩＢ（Ｂｉｎｄｉｎｇ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｂａｓｅ）エントリと呼ばれる変換用のキャッシュを作成し、元のＩＰｖ６アドレスと変換先のＩＰｖ４アドレスを記録し、パケットのＩＰｖ６ヘッダをＩＰｖ４ヘッダに変換する。
　ＮＡＴ６４がＩＰｖ４側からパケットを受け取った場合、該当する変換用のキャッシュが存在すると、キャッシュに記述されている元のＩＰｖ６アドレスを取り出し、ＩＰｖ４ヘッダをＩＰｖ６ヘッダに変換する。変換キャッシュが存在しない場合、ＮＡＴ６４は、受け取ったＩＰｖ４パケットを破棄する。
　これは、ＩＰｖ６側が通常のＮＡＴの内側に相当し、ＩＰｖ４側が外側に相当する動作である。このような構成では、ＩＰｖ６側はインターネットであるため、ＮＡＴ６４は、不特定多数のＩＰｖ６アドレスからパケットを受信しうる。ＩＰｖ６側に制限をかけていない場合、ＮＡＴ６４は、無制限にＩＰｖ４アドレスへの変換を行おうとするため、ＮＡＴ６４のＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）及びメモリといったハードウェアリソースの他に、ＩＰｖ４アドレスリソースを浪費することになる。
　また、リソースを浪費しない場合でも、ＮＡＴ６４が、ＩＰｖ６インターネットからＩＰｖ４側の他の装置を攻撃する際の踏み台に利用されるおそれがある。
　以上のような、ＮＡＴを介したネットワークへの不正なアクセスを防止するために、特許文献１には、ローカルネットワークに接続された電子機器の型名（メーカ名及び製品型名）を用いた認証が成功するまで、ローカルネットワーク内のプライベートアドレスをグローバルアドレスへ変換しないルータが記載されている。
　また、特許文献２には、ローカルネットワークに接続された端末の認証を行い、その端末のパケットを、ＩＰｖ６ネットワークを経由して、ＩＰｖ４ネットワークに送信する技術が記載されている。
　特許文献２に記載されている技術では、認証サーバが、ローカルネットワークに接続された端末の認証を行い、認証に成功した場合には、ローカルネットワークとＩＰｖ６ネットワークとを接続するカスタマーエッジルータに、ＩＰｖ６ネットワークとＩＰｖ４ネットワークとを接続するボーダールータのアドレスを、終点アドレスとして通知する。終点アドレスが通知されたカスタマーエッジルータは、端末から受信したＩＰｖ４パケットをＩＰｖ６ヘッダでカプセル化して、カプセル化されたＩＰｖ６パケットを終点アドレス宛に送信する。ボーダールータは、終点アドレスに到達したパケットを正規ユーザからのパケットであると判断して、認証を行わずデカプセル化及び転送を行う。
特開２０１０－２８３５５３号公報 特開２０１２－１９１４５３号公報
　特許文献１に記載されたルータは、ローカルネットワークからグローバルネットワークへのアクセスを制限するものとなっており、また、電子機器の型名を用いて認証を行っており、電子機器の型名を取得できない場合には、認証を行うことができない。
　特許文献２に記載されたボーダールータは、認証結果を受け取らないため、認証結果に応じて通信の遮断及び解放を動的に行うことができない。
　また、特許文献２に記載された技術では、ＩＰｖ６ネットワークが、回線業者、ＩＳＰ（Ｉｎｔｅｒｎｅｔ　Ｓｅｒｖｉｃｅ　Ｐｒｏｂｉｄｅ）内で閉じており、不特定多数に公開されていることを前提としていない。そのため、特許文献２に記載された技術は、ボーダールータ自体が攻撃されることを想定していない。
　さらに、ＩＰｖ４パケットをＩＰｖ６ネットワーク経由で通信するプロトコルとして、特許文献２に記載された技術は、トンネリングを使用することを前提としており、ＮＡＴを用いることは考慮されていない。
　加えて、特許文献２に記載された認証サーバは、通信先アドレスを返すことを第１の目的としており、通信の開始及び停止といったアカウンティングの概念を持っていない。
　そこで、本発明は、許可された機器のみが、第１のネットワークを介して、第２のネットワークにアクセスすることができるようにすることを目的とする。
　本発明の一態様に係るゲートウェイは、第１のプロトコルに対応した第１のネットワーク及び当該第１のプロトコルとは異なる第２のプロトコルに対応した第２のネットワークに接続され、当該第１のプロトコル及び当該第２のプロトコルとの間でプロトコル変換を行うゲートウェイであって、認証された送信元アドレスを特定することのできるフィルタ情報を記憶するフィルタ情報記憶部と、前記第１のネットワークから、前記第１のプロトコルに対応した第１のパケットを受信する第１の通信部と、前記第１のパケットの送信元アドレスである第１の送信元アドレスが、前記認証された送信元アドレスに一致するか否かを判断するフィルタ部と、前記第１の送信元アドレスが、前記認証された送信元アドレスに一致する場合に、前記第１のパケットを、前記第２のプロトコルに対応した第２のパケットに変換する変換部と、前記第２のパケットを前記第２のネットワークに送信する第２の通信部と、を備えることを特徴とする。
　本発明の一態様に係る中継方法は、第１のプロトコルに対応した第１のネットワークから、当該第１のプロトコルに対応した第１のパケットを受信し、前記第１のパケットの送信元アドレスが、認証された送信元アドレスに一致する場合に、前記第１のパケットを、前記第１のプロトコルとは異なる第２のプロトコルに対応した第２のパケットに変換し、前記第２のパケットを前記第２のプロトコルに対応した第２のネットワークに送信することを特徴とする。
　本発明の一態様によれば、第１のネットワークから、第２のネットワークへのアクセスを制御することで、許可された機器のみが、第１のネットワークを介して、第２のネットワークにアクセスすることができる。
実施の形態１及び実施の形態３に係る通信システムの構成を概略的に示すブロック図である。 実施の形態１及び実施の形態３におけるサーバゲートウェイの構成を概略的に示すブロック図である。 実施の形態１においてＩＰｖ４アドレスから変換されたＩＰｖ６アドレスを示す概略図である。 （Ａ）及び（Ｂ）は、ハードウェア構成例を示すブロック図である。 実施の形態１の第１の変形例に係る通信システムを概略的に示すブロック図である。 実施の形態１の第２の変形例に係る通信システムを概略的に示すブロック図である。 実施の形態１の第３の変形例に係る通信システムを概略的に示すブロック図である。 実施の形態１の第４の変形例に係る通信システムを概略的に示すブロック図である。 実施の形態２に係る通信システムの構成を概略的に示すブロック図である。 実施の形態２におけるサーバゲートウェイの構成を概略的に示すブロック図である。 実施の形態２の変形例に係る通信システムを概略的に示すブロック図である。 実施の形態２の変形例におけるサーバゲートウェイの構成を概略的に示すブロック図である。 実施の形態３におけるアカウントプロトコルによるＩＰｖ６フィルタ制御を示すシーケンス図である。 実施の形態４に係る通信システムの構成を概略的に示すブロック図である。 実施の形態４におけるサーバゲートウェイの構成を概略的に示すブロック図である。 実施の形態４におけるアカウントプロトコルによるＩＰｖ６フィルタ制御を示すシーケンス図である。 実施の形態４の変形例に係る通信システムの構成を概略的に示すブロック部である。 実施の形態４の変形例におけるサーバゲートウェイの構成を概略的に示すブロック図である。
実施の形態１．
　図１は、実施の形態１に係る通信システム１００の構成を概略的に示すブロック図である。
　通信システム１００は、機器１１０と、ＩｏＴゲートウェイ１２０と、サーバゲートウェイ１３０と、サーバ１５０とを備える。
　ＩｏＴゲートウェイ１２０及びサーバゲートウェイ１３０は、ＩＰｖ６に準拠したインターネットであるＩＰｖ６インターネット１０１に接続されており、サーバゲートウェイ１３０及びサーバ１５０は、ＩＰｖ４に準拠したインターネットであるＩＰｖ４インターネット１０２に接続されている。
　ここでは、ＩＰｖ６を第１のプロトコル、ＩＰｖ４を第２のプロトコル、ＩＰｖ６インターネット１０１を第１のネットワーク及びＩＰｖ４インターネット１０２を第２のネットワークともいう。
　機器１１０は、ＩＰｖ４に従って通信を行う。機器１１０は、ネットワークに接続するものであれば、どのようなものであってもよい。例えば、機器１１０は、ＰＣ（Ｐｅｒｓｏｎａｌ　Ｃｏｍｐｕｔｅｒ）等の情報処理装置、テレビ、冷蔵庫、洗濯機及びエアコン等の家電機器、並びに、温度、湿度及び速度等の物理量を検出するセンサー機器といったあらゆるものである。
　ＩｏＴゲートウェイ１２０は、ＩＰｖ４とＩＰｖ６との間のプロトコル変換を行う。例えば、ＩｏＴゲートウェイ１２０は、ＲＦＣ６１４５に準拠したアドレス変換技術により、機器１１０のプライベートＩＰｖ４アドレスと、グローバルＩＰｖ６アドレスとの変換を行う。
　サーバゲートウェイ１３０は、ＩＰｖ４とＩＰｖ６との間のプロトコル変換を行う。例えば、サーバゲートウェイ１３０は、ＲＦＣ６１４６に準拠したアドレス変換技術により、グローバルＩＰｖ６アドレスと、グローバルＩＰｖ４アドレスとの変換を行う。なお、サーバゲートウェイ１３０でパケットを中継する方法が、実施の形態１における中継方法である。
　サーバ１５０は、ＩＰｖ４に従って通信を行う。
　図２は、実施の形態１におけるサーバゲートウェイ１３０の構成を概略的に示すブロック図である。
　サーバゲートウェイ１３０は、ＩＰｖ６通信部１３１と、第１ＩＮＰＵＴフィルタ部１３２と、フィルタテーブル記憶部１３３と、認証処理部１３４と、認証データベース（以下、認証ＤＢという）１３５と、アカウントデータベース（以下、アカウントＤＢという）１３６と、アドレス変換部１３７と、ＢＩＢ記憶部１３８と、第１ＯＵＴＰＵＴフィルタ部１３９と、ＩＰｖ４通信部１４０と、第２ＩＮＰＵＴフィルタ部１４１と、第２ＯＵＴＰＵＴフィルタ部１４２とを備える。
　ＩＰｖ６通信部１３１は、ＩＰｖ６インターネット１０１との間で通信を行う。例えば、ＩＰｖ６通信部１３１は、ＩＰｖ６インターネット１０１から、ＩＰｖ６に対応したＩＰｖ６パケットを受信し、そのＩＰｖ６パケットを第１ＩＮＰＵＴフィルタ部１３２に与える。
　ここでは、ＩＰｖ６通信部１３１で受信されたＩＰｖ６パケットを第１のパケットともいい、ＩＰｖ６通信部１３１を第１の通信部ともいう。
　第１ＩＮＰＵＴフィルタ部１３２は、ＩＰｖ６通信部１３１から与えられたＩＰｖ６パケットのフィルタリング処理を行う。
　例えば、第１ＩＮＰＵＴフィルタ部１３２には、認証及びアカウントの作成に使用されるパケットである認証アカウント用パケットを除く全てのパケットを通過させないように初期設定が行われている。第１ＩＮＰＵＴフィルタ部１３２は、認証アカウント用パケットについては、無条件に通過させる。
　そして、認証に成功した場合には、第１ＩＮＰＵＴフィルタ部１３２を通過させるＩＰｖ６アドレスがフィルタテーブル記憶部１３３に記憶されているフィルタテーブルに登録される。このため、第１ＩＮＰＵＴフィルタ部１３２は、認証アカウント用パケット以外のＩＰｖ６パケットについては、送信元ＩＰｖ６アドレスがフィルタテーブルに登録されたものと一致するか否かを判断し、一致する場合のみ、通過させる。なお、第１ＩＮＰＵＴフィルタ部１３２は、一致しない場合には、そのＩＰｖ６パケットを破棄する。
　なお、第１ＩＮＰＵＴフィルタ部１３２を通過した認証アカウント用パケットについては、認証処理部１３４に与えられ、第１ＩＮＰＵＴフィルタ部１３２を通過した、認証アカウント用パケット以外のＩＰｖ６パケットについては、アドレス変換部１３７に与えられる。
　また、第１ＩＮＰＵＴフィルタ部１３２は、認証及びアカウントの攻撃（ブルートフォース攻撃等）に備え、無条件に認証アカウント用パケットを通過させるのでなく、一定以下の受信レートになるように、認証アカウント用パケットを間引いてもよい。
　なお、第１ＩＮＰＵＴフィルタ部１３２を、単に、フィルタ部ともいう。
　フィルタテーブル記憶部１３３は、認証に成功した場合に、第１ＩＮＰＵＴフィルタ部１３２が通過させるＩＰｖ６アドレスを登録するフィルタテーブルを記憶する。フィルタテーブルに登録されているＩＰｖ６アドレスは、認証された送信元アドレスである。
　ここで、フィルタテーブルをフィルタ情報ともいい、フィルタテーブル記憶部１３３をフィルタ情報記憶部ともいう。
　認証処理部１３４は、第１ＩＮＰＵＴフィルタ部１３２を通過した認証アカウント用パケットに基づいて、その送信元の認証及びその送信元との通信するためのアカウントの作成を行う処理部である。
　認証プロトコルは、ＲＡＤＩＵＳ（Ｒｅｍｏｔｅ　Ａｕｔｈｅｎｔｉｃａｔｉｏｎ　Ｄｉａｌ　Ｉｎ　Ｕｓｅｒ　Ｓｅｒｖｉｃｅ）、ＲＡＤＩＵＳの後継であるＤＩＡＭＥＴＥＲ及びＴＡＣＡＣＳ＋等があるが、これらに限られない。
　ＩｏＴゲートウェイ１２０は、サーバゲートウェイ１３０とのＩＰｖ６通信を開始する際に、認証アカウント用パケットとして、認証要求パケットを送信する。
　認証要求パケットのオプションとして、ＩｏＴゲートウェイ１２０に接続されている、これからパケットを送信しようとするＩＰｖ４機器である機器１１０の識別情報が付加される。この識別情報として、機器１１０のＩＰｖ４アドレスをＩｏＴゲートウェイがＩＰｖ６アドレスに変換したものが使用される。
　図３は、機器１１０のＩＰｖ４アドレスから変換されたＩＰｖ６アドレスを示す概略図である。
　ＩＰｖ６アドレス１６０は、ＩＰｖ６プレフィックス１６０ａと、インタフェース識別子１６０ｂとを備える。
　ＩＰｖ６プレフィックス１６０ａは、ネットワークにおける位置を示す。このため、ＩＰｖ６アドレス１６０では、ＩＰｖ６プレフィックス１６０ａのみで、ＩｏＴゲートウェイ１２０のＩＰｖ６インターネット１０１における位置を特定できる場合が多い。
　インタフェース識別子１６０ｂは、ローカルネットワークにおいて、個々の機器を識別するために利用される。インタフェース識別子１６０ｂの下位３２ビットには、オプションとしてＩＰｖ６アドレスに変換される前のＩＰｖ４アドレスを付加することができる。
　なお、認証要求パケットにオプションを付加することができない場合は、機器１１０の識別情報（ＩＰｖ４アドレス）は省略されてもよい。
　図２に戻り、第１ＩＮＰＵＴフィルタ部１３２から認証要求パケットを受け取ると、認証処理部１３４は、認証ＤＢ１３５を参照して、認証成功か否かを判断する。例えば、認証要求パケットに、機器１１０又はＩｏＴゲートウェイ１２０のＩＰｖ６アドレスが含まれている場合には、認証処理部１３４は、このＩＰｖ６アドレスに対し、認証の成否を判断する。
　そして、認証処理部１３４は、その判断結果を、第２ＯＵＴＰＵＴフィルタ部１４２及びＩＰｖ６通信部１３１を介して、ＩｏＴゲートウェイ１２０に応答する。例えば、認証処理部１３４は、認証に成功した場合には、認証の成功を示す認証成功パケットを応答し、認証に失敗した場合には、認証の失敗を示す認証失敗パケットを応答する。
　認証処理部１３４は、認証成功パケットをＩｏＴゲートウェイ１２０に送信する際に、サーバゲートウェイ１３０の第１ＩＮＰＵＴフィルタ部１３２のフィルタを解放する。第１ＩＮＰＵＴフィルタ部１３２のフィルタを解放する際は、認証要求パケットのオプションに付加されている、機器１１０の送信元アドレスであるＩＰｖ６アドレスを通過させるように、そのＩＰｖ６アドレスを特定することのできるレコード（項目）をフィルタテーブル記憶部１３３に記憶されているフィルタテーブルに登録（追加）する。
　認証処理部１３４は、認証要求パケットにオプションが存在しない場合は、認証成功時に、ＩｏＴゲートウェイ１２０のＩＰｖ６アドレスのプレフィックスに対し、サーバゲートウェイ１３０の第１ＩＮＰＵＴフィルタ部１３２のフィルタを解放してもよい。ＩｏＴゲートウェイ１２０のＩＰｖ６アドレスは、認証要求パケットの送信元アドレスから入手できる。このような場合には、認証処理部１３４は、認証に成功したＩｏＴゲートウェイ１２０のＩＰｖ６ブレフィックスをフィルタテーブルに登録する。これにより、送信元のＩＰｖ６アドレスがこのＩＰｖ６プレフィックスであるような、全てのＩＰｖ６パケットが、サーバゲートウェイ１３０の第１ＩＮＰＵＴフィルタ部１３２を通過する。この場合には、ＩｏＴゲートウェイ１２０を介して通信を行う全ての機器１１０からのパケットが、サーバゲートウェイ１３０を通過できるようになる。
　言い換えると、フィルタテーブルに登録するレコードは、ＩＰｖ６アドレスそのものを示してもよく、ＩＰｖ６アドレスのプレフィックスを示してもよい。
　認証ＤＢ１３５は、認証用のデータである認証データを記憶する認証データ記憶部である。認証データとして、認証プロトコルに応じて予め定められたデータが記憶されているものとする。
　アカウントＤＢ１３６は、通信の開始、継続及び停止を示すアカウント情報を記憶する。例えば、認証処理部１３４は、ＩｏＴゲートウェイ１２０と通信を開始する場合には、アカウント情報として、通信の開始時刻をＩｏＴゲートウェイ１２０のＩＰｖ６アドレスに対応付けてアカウントＤＢ１３６に記憶させ、通信を継続する場合には、アカウント情報として、通信の継続時刻（更新時刻）をＩｏＴゲートウェイ１２０のＩＰｖ６アドレスに対応付けてアカウントＤＢ１３６に記憶させ、通信を停止する場合には、アカウント情報として、通信の停止時刻をＩｏＴゲートウェイ１２０のＩＰｖ６アドレスに対応付けてアカウントＤＢ１３６に記憶させる。
　アドレス変換部１３７は、第１ＩＮＰＵＴフィルタ部１３２から認証アカウント用パケット以外のＩＰｖ６パケットを受け取ると、ＩＰｖ６パケットをＩＰｖ４パケットに変換する。言い換えると、アドレス変換部１３７は、認証アカウント用パケット以外のＩＰｖ６パケットの送信元アドレスが認証された送信元アドレスと一致する場合に、ＩＰｖ６パケットをＩＰｖ４パケットに変換する。なお、変換されたＩＰｖ４パケットを第２のパケットともいう。また、認証アカウント用パケット以外のＩＰｖ６パケットの送信元アドレスを第１の送信元アドレスともいう。
　例えば、アドレス変換部１３７は、ＲＦＣ６１４６に準拠したアドレス変換技術により、グローバルＩＰｖ６アドレスと、グローバルＩＰｖ４アドレスとの変換を行うことで、ＩＰｖ６パケットをＩＰｖ４パケットに変換する。ここで、アドレス変換部１３７で変換されたＩＰｖ４アドレスを第２の送信元アドレスともいう。
　また、アドレス変換部１３７は、ＲＦＣ６１４６に従って、ＢＩＢ記憶部１３８に記憶されているＢＩＢに、元のＩＰｖ６アドレスと、変換先のＩＰｖ４アドレスとを含むエントリを記録する。
　このようにして変換されたＩＰｖ４パケットは、第１ＯＵＴＰＵＴフィルタ部１３９に与えられる。
　ＢＩＢ記憶部１３８は、ＲＦＣ６１４６に準拠したＢＩＢを記憶する。
　なお、通信中のパケットが一定時間途絶える場合、ＢＩＢ記憶部１３８に記憶されているＢＩＢの該当するエントリがタイムアウトする。この場合、第１ＩＮＰＵＴフィルタ部１３２におけるフィルタテーブルの登録も不要であるため、認証処理部１３４は、ＢＩＢにおけるエントリの削除に連動して、フィルタテーブルの関連するレコードを削除してもよい。
　言い換えると、アドレス変換部１３７が、ＩＰｖ６パケット及びＩＰｖ４パケットの間の変換を、予め定められた期間行わない場合に、認証処理部１３４は、対応するレコードをフィルタテーブルから削除する。
　第１ＯＵＴＰＵＴフィルタ部１３９は、アドレス変換部１３７から与えられたＩＰｖ４パケットのフィルタリング処理を行う。実施の形態１では、第１ＯＵＴＰＵＴフィルタ部１３９は、全てのＩＰｖ４パケットを通過させて、ＩＰｖ４通信部１４０に与える。このため、実施の形態１では、第１ＯＵＴＰＵＴフィルタ部１３９は、設けられていなくてもよい。
　ＩＰｖ４通信部１４０は、ＩＰｖ４インターネット１０２との間で通信を行う。例えば、ＩＰｖ４通信部１４０は、第１ＯＵＴＰＵＴフィルタ部１３９から与えられたＩＰｖ４パケットをサーバ１５０に送信する。
　ここでは、ＩＰｖ４通信部１４０を第２の通信部ともいう。
　第２ＩＮＰＵＴフィルタ部１４１は、ＩＰｖ４通信部１４０から与えられたＩＰｖ４パケットのフィルタリング処理を行う。実施の形態１では、第２ＩＮＰＵＴフィルタ部１４１は、全てのＩＰｖ４パケットを通過させて、アドレス変換部１３７に与える。このため、実施の形態１では、第２ＩＮＰＵＴフィルタ部１４１は、設けられていなくてもよい。
　第２ＯＵＴＰＵＴフィルタ部１４２は、アドレス変換部１３７及び認証処理部１３４から与えられたＩＰｖ６パケットのフィルタリング処理を行う。実施の形態１では、第２ＯＵＴＰＵＴフィルタ部１４２は、全てのＩＰｖ６パケットを通過させて、ＩＰｖ６通信部１３１に与える。このため、実施の形態１では、第２ＯＵＴＰＵＴフィルタ部１４２は、設けられていなくてもよい。
　以上に記載されたＩＰｖ６通信部１３１、第１ＩＮＰＵＴフィルタ部１３２、認証処理部１３４、アドレス変換部１３７、第１ＯＵＴＰＵＴフィルタ部１３９、ＩＰｖ４通信部１４０、第２ＩＮＰＵＴフィルタ部１４１及び第２ＯＵＴＰＵＴフィルタ部１４２の一部又は全部は、例えば、図４（Ａ）に示されているように、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ　Ｓｐｅｃｉｆｉｃ　Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔｓ）又はＦＰＧＡ（Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）等の処理回路１０で構成することができる。
　また、ＩＰｖ６通信部１３１、第１ＩＮＰＵＴフィルタ部１３２、認証処理部１３４、アドレス変換部１３７、第１ＯＵＴＰＵＴフィルタ部１３９、ＩＰｖ４通信部１４０、第２ＩＮＰＵＴフィルタ部１４１及び第２ＯＵＴＰＵＴフィルタ部１４２の一部は、例えば、図４（Ｂ）に示されているように、メモリ１１と、メモリ１１に格納されているプログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）等のプロセッサ１２とにより構成することもできる。このようなプログラムは、ネットワークを通じて提供されてもよく、また、記録媒体に記録されて提供されてもよい。即ち、このようなプログラムは、プログラムプロダクトとして提供されてもよい。
　なお、フィルタテーブル記憶部１３３、認証ＤＢ１３５及びアカウントＤＢ１３６は、図示しない不揮発性のメモリにより構成することができる。
　以上のように、実施の形態１によれば、ＩＰｖ６インターネット１０１からの不特定多数の接続を制御し、許可された機器１１０のみ、ＩＰｖ６インターネット１０１経由での通信を許可することができる。これにより、不特定多数の攻撃から、中継装置であるサーバゲートウェイ１３０を保護することができる。
　また、ＩＰｖ４インターネット１０２に接続されているサーバ１５０が認識する、送信元のＩＰｖ４アドレスは、サーバゲートウェイ１３０がもつＩＰｖ４アドレスとなり、ＩｏＴゲートウェイ１２０の背後にあるＩＰｖ４に対応している機器１１０のアドレス情報が喪失し、実際の通信相手が分からない、という問題がある。
　しかしながら、実施の形態１によれば、機器１１０のＩＰｖ４アドレスから変換されたＩＰｖ６アドレスが、アカウントログとしてアカウント情報に残るため、後日、アカウント情報を問題発生時の解析に使用することができる。
　図１においては、サーバ１５０は、ＩＰｖ４インターネット１０２に接続されているが、実施の形態１は、このような例に限定されるものではない。
　例えば、図５に示されている通信システム１００＃１のように、例えば、サーバゲートウェイ１３０＃１とサーバ１５０＃１とが同一拠点に設置されており、サーバゲートウェイ１３０＃１とサーバ１５０＃１とがＬＡＮ（Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）１０３で接続されていてもよい。
　このような場合には、サーバゲートウェイ１３０＃１のアドレス変換部１３７＃１（図２参照）は、グローバルＩＰｖ６アドレスと、ローカルＩＰｖ４アドレスとの変換を行う。
　また、図１は、ＲＦＣ６８７７－４６４ＸＬＡＴに準拠した通信システム１００が示されているが、実施の形態１は、ＲＦＣ６８７７－４６４ＸＬＡＴに準拠した通信システム１００に限定されない。
　例えば、図６に示されているように、ＩＰｖ６に対応した通信を行う機器１１０＃１が、ＩＰｖ６インターネット１０１に接続されていてもよい。
　このような場合、機器１１０＃１が、サーバ１５０に接続する際の宛先ＩＰｖ６アドレスは、図３に示されている通りである。例えば、上位ビットのＩＰｖ６プレフィックス１６０ａは、サーバゲートウェイ１３０のＩＰｖ６アドレスのプレフィックスが指定され、下位ビットのＩＰｖ４アドレスは、接続しようとするサーバ１５０のＩＰｖ４アドレスが指定される。
　また、図６に示されている通信システム１００＃２では、ＩＰｖ６に対応した機器１１０＃１自体が、サーバゲートウェイ１３０の認証及びアカウントのクライアント機能を持つ必要がある。
　但し、図７に示されている通信システム１００＃３のように、ＩＰｖ６に対応した機器１１０＃２が、ＩｏＴゲートウェイ１２０＃１に接続されている場合には、機器１１０＃２は、サーバゲートウェイ１３０の認証及びアカウントのクライアント機能を有する必要がない。このような場合、ＩｏＴゲートウェイ１２０＃１は、サーバゲートウェイ１３０の認証及びアカウントのクライアント機能を有する他、ＤＮＳ６４に対応した処理を行う機能を有する。言い換えると、ＩｏＴゲートウェイ１２０＃１は、ＩＰｖ６に対応した機器１１０＃２がＩＰｖ４に対応したサーバ１５０の名前解決を行う際に、ＩｏＴゲートウェイ１２０＃１が名前解決要求の中継を行う。外部からの名前解決応答を受け取ったＩｏＴゲートウェイ１２０＃１は、応答結果のＩＰｖ４アドレスを、図３に示されている形式のＩＰｖ６アドレス１６０に書き換え、機器１１０＃２に転送する。即ち、図７に示されている構成では、実施の形態１における処理をＩｏＴゲートウェイ１２０＃１が代行し、機器１１０＃２は、標準的なＩＰｖ６に従った動作を行うのみでよい。
　図１に示されている通信システム１００では、１つのサーバゲートウェイ１３０が備えられているが、実施の形態１におけるサーバゲートウェイ１３０の数は、１つに限定されるものではない。図８に示されている通信システム１００＃４のように、複数のサーバゲートウェイ１３０Ａ、１３０Ｂが備えられていてもよい。
　このような場合には、ＩｏＴゲートウェイ１２０＃２は、予め、これら複数のサーバゲートウェイ１３０Ａ、１３０ＢのＩＰｖ６アドレスを知っているものとする。
　そして、ＩｏＴゲートウェイ１２０＃２は、サーバゲートウェイ１３０Ａへの通信を開始するのに先立ち、認証要求パケットをサーバゲートウェイ１３０Ａへ送信する。
　サーバゲートウェイ１３０Ａは、受け取った認証要求パケットが正規のＩｏＴゲートウェイ１２０＃２からのものであった場合でも、ＢＩＢエントリの登録数、フィルタテーブルの登録数、ＣＰＵ負荷及び通信量等の事情から、サーバゲートウェイ１３０Ａの負荷が高いと判断した場合には、拒否応答を返してもよい。
　次に、認証要求が拒否されたＩｏＴゲートウェイ１２０＃２は、他のサーバゲートウェイ１３０Ｂに要求を送信する。なお、サーバゲートウェイ１３０Ａから応答がなかった場合は、ＩｏＴゲートウェイ１２０＃２は、規定回数再送を行い、全て応答がなかった場合、他のサーバゲートウェイ１３０Ｂに要求を送信する。
　そして、サーバゲートウェイ１３０Ｂから成功応答があった場合には、ＩｏＴゲートウェイ１２０＃２は、サーバゲートウェイ１３０Ｂに対し、通信を開始する。
　以上のような動作により、サーバゲートウェイ１３０Ａ、１３０Ｂの故障に備えた二重化と、負荷分散とを同時に行うことができる。
　ＩｏＴゲートウェイ１２０＃２がサーバゲートウェイ１３０Ａ、１３０Ｂを選択する順番は、負荷の集中を避けるため、ランダム順とするのが望ましい。
実施の形態２．
　実施の形態１においては、サーバゲートウェイ１３０において、ＩｏＴゲートウェイ１２０の認証を行っているが、外部の認証サーバに認証を行わせてもよい。
　図９は、実施の形態２に係る通信システム２００の構成を概略的に示すブロック図である。
　通信システム２００は、機器１１０と、ＩｏＴゲートウェイ１２０と、サーバゲートウェイ２３０と、サーバ１５０と、認証サーバ２７０とを備える。
　実施の形態２に係る通信システム２００は、サーバゲートウェイ２３０及び認証サーバ２７０を除いて、実施の形態１に係る通信システム１００と同様に構成されている。
　ＩｏＴゲートウェイ１２０、サーバゲートウェイ２３０及び認証サーバ２７０は、ＩＰｖ６インターネット１０１に接続されており、サーバゲートウェイ２３０及びサーバ１５０は、ＩＰｖ４インターネット１０２に接続されている。
　なお、サーバゲートウェイ２３０でパケットを中継する方法が、実施の形態２における中継方法である。
　図１０は、実施の形態２におけるサーバゲートウェイ２３０の構成を概略的に示すブロック図である。
　サーバゲートウェイ２３０は、ＩＰｖ６通信部１３１と、第１ＩＮＰＵＴフィルタ部１３２と、フィルタテーブル記憶部１３３と、認証処理部２３４と、アカウントＤＢ１３６と、アドレス変換部１３７と、ＢＩＢ記憶部１３８と、第１ＯＵＴＰＵＴフィルタ部１３９と、ＩＰｖ４通信部１４０と、第２ＩＮＰＵＴフィルタ部１４１と、第２ＯＵＴＰＵＴフィルタ部１４２とを備える。
　実施の形態２におけるサーバゲートウェイ２３０のＩＰｖ６通信部１３１、第１ＩＮＰＵＴフィルタ部１３２、フィルタテーブル記憶部１３３、アカウントＤＢ１３６、アドレス変換部１３７、ＢＩＢ記憶部１３８、第１ＯＵＴＰＵＴフィルタ部１３９、ＩＰｖ４通信部１４０、第２ＩＮＰＵＴフィルタ部１４１及び第２ＯＵＴＰＵＴフィルタ部１４２は、実施の形態１におけるサーバゲートウェイ１３０の対応する部分と同様に構成されている。
　認証処理部２３４は、第１ＩＮＰＵＴフィルタ部１３２を通過した認証アカウント用パケットに基づいて、ＩｏＴゲートウェイ１２０の認証を認証サーバ２７０に行わせるとともに、アカウントの作成を行う。アカウントの作成については、実施の形態１と同様である。
　例えば、第１ＩＮＰＵＴフィルタ部１３２から認証要求パケットを受け取ると、認証処理部２３４は、第２ＯＵＴＰＵＴフィルタ部１４２及びＩＰｖ６通信部１３１を介して、認証要求パケットを認証サーバ２７０へ転送する。
　認証サーバ２７０は、図示しない認証データベースを参照して、認証成功か否かを判断する。例えば、認証要求パケットに、機器１１０又はＩｏＴゲートウェイ１２０のＩＰｖ６アドレスが含まれている場合には、認証サーバ２７０は、このＩＰｖ６アドレスに対し、認証の成否を判断する。
　そして、認証サーバ２７０は、その判断結果を、サーバゲートウェイ２３０に応答する。例えば、認証サーバ２７０は、認証に成功した場合には、認証の成功を示す認証成功パケットを応答し、認証に失敗した場合には、認証の失敗を示す認証失敗パケットを応答する。
　認証処理部２３４は、ＩＰｖ６通信部１３１及び第１ＩＮＰＵＴフィルタ部１３２を介して、認証成功パケット及び認証失敗パケットを受け取ると、これらのパケットを第２ＯＵＴＰＵＴフィルタ部１４２及びＩＰｖ６通信部１３１を介して、ＩｏＴゲートウェイ１２０に送信する。
　ここで、認証処理部２３４は、認証成功パケットをＩｏＴゲートウェイ１２０に送信する際に、サーバゲートウェイ２３０の第１ＩＮＰＵＴフィルタ部１３２のフィルタを解放する。
　以上のように、実施の形態２においては、サーバゲートウェイ２３０は、認証処理を外部の認証サーバ２７０に行わせることができる。
　実施の形態２に係る通信システム２００においては、認証サーバ２７０がＩＰｖ６インターネット１０１に接続されているが、図１１に示されている通信システム２００＃１のように、認証サーバ２７０＃１がＩＰｖ４インターネット１０２に接続されていてもよい。
　図１２は、実施の形態２の変形例におけるサーバゲートウェイ２３０＃１の構成を概略的に示すブロック図である。
　サーバゲートウェイ２３０＃１は、ＩＰｖ６通信部１３１と、第１ＩＮＰＵＴフィルタ部１３２と、フィルタテーブル記憶部１３３と、認証処理部２３４＃１と、アカウントＤＢ１３６と、アドレス変換部１３７と、ＢＩＢ記憶部１３８と、第１ＯＵＴＰＵＴフィルタ部１３９と、ＩＰｖ４通信部１４０と、第２ＩＮＰＵＴフィルタ部１４１と、第２ＯＵＴＰＵＴフィルタ部１４２とを備える。
　実施の形態２の変形例におけるサーバゲートウェイ２３０＃１のＩＰｖ６通信部１３１、第１ＩＮＰＵＴフィルタ部１３２、フィルタテーブル記憶部１３３、アカウントＤＢ１３６、アドレス変換部１３７、ＢＩＢ記憶部１３８、第１ＯＵＴＰＵＴフィルタ部１３９、ＩＰｖ４通信部１４０、第２ＩＮＰＵＴフィルタ部１４１及び第２ＯＵＴＰＵＴフィルタ部１４２は、実施の形態１におけるサーバゲートウェイ１３０の対応する部分と同様に構成されている。
　認証処理部２３４＃１は、第１ＩＮＰＵＴフィルタ部１３２から認証要求パケットを受け取ると、第１ＯＵＴＰＵＴフィルタ部１３９及びＩＰｖ４通信部１４０を介して、認証要求パケットを認証サーバ２７０＃１へ転送する。
　また、認証処理部２３４＃１は、ＩＰｖ４通信部１４０及び第２ＩＮＰＵＴフィルタ部１４１を介して、認証成功パケット及び認証失敗パケットを受け取ると、これらのパケットを第２ＯＵＴＰＵＴフィルタ部１４２及びＩＰｖ６通信部１３１を介して、ＩｏＴゲートウェイ１２０に送信する。
　ここで、認証処理部２３４＃１は、認証成功パケットをＩｏＴゲートウェイ１２０に送信する際に、サーバゲートウェイ２３０の第１ＩＮＰＵＴフィルタ部１３２のフィルタを解放する。
　なお、実施の形態２においても、図５～図８を用いて説明した変形例を適用することができる。
実施の形態３．
　実施の形態１では、認証成功時に、サーバゲートウェイ１３０の第１ＩＮＰＵＴフィルタ部１３２のフィルタを解放している。この場合、フィルタの解放を解除し、指定されたＩｏＴゲートウェイ１２０からのＩＰｖ６パケットを破棄できるようにするのはいつか、という問題がある。
　そのため、実施の形態３では、認証成功時ではなく、アカウント開始時にフィルタを解放する方法を説明する。
　図１に示されているように、実施の形態３に係る通信システム３００は、機器１１０と、ＩｏＴゲートウェイ１２０と、サーバゲートウェイ３３０と、サーバ１５０とを備える。
　実施の形態３に係る通信システム３００は、サーバゲートウェイ３３０を除いて、実施の形態１に係る通信システム１００と同様に構成されている。
　図２に示されているように、実施の形態３におけるサーバゲートウェイ３３０は、ＩＰｖ６通信部１３１と、第１ＩＮＰＵＴフィルタ部１３２と、フィルタテーブル記憶部１３３と、認証処理部３３４と、認証ＤＢ１３５と、アカウントＤＢ１３６と、アドレス変換部１３７と、ＢＩＢ記憶部１３８と、第１ＯＵＴＰＵＴフィルタ部１３９と、ＩＰｖ４通信部１４０と、第２ＩＮＰＵＴフィルタ部１４１と、第２ＯＵＴＰＵＴフィルタ部１４２とを備える。
　実施の形態３におけるサーバゲートウェイ３３０は、認証処理部３３４を除いて、実施の形態１におけるサーバゲートウェイ１３０と同様に構成されている。
　なお、サーバゲートウェイ３３０でパケットを中継する方法が、実施の形態３における中継方法である。
　実施の形態３における認証処理部３３４は、実施の形態１における認証処理部１３４と同様に、第１ＩＮＰＵＴフィルタ部１３２を通過した認証アカウント用パケットに基づいて、ＩｏＴゲートウェイ１２０の認証及びアカウントの作成を行う。但し、実施の形態３における認証処理部３３４は、アカウントの開始と、その停止に応じて、第１ＩＮＰＵＴフィルタ部１３２のフィルタの解放と、その解放の停止とを行う。
　例えば、認証処理部３３４は、認証アカウント用パケットである、アカウントの開始要求パケットに基づいて、アカウントを作成した場合に、その開始要求パケットの送信元アドレスであるＩＰｖ６アドレスを特定することのできるレコードをフィルタテーブルに登録する。そして、認証処理部３３４は、認証アカウント用パケットである、アカウントの停止要求パケットに基づいて、アカウントを停止した場合に、その停止要求パケットの送信元アドレスであるＩＰｖ６アドレスに対応するレコードをフィルタテーブルから削除する。
　なお、認証処理部３３４が利用する認証プロトコルは、いずれも、アカウント機能を持っているものとする。認証プロトコルのアカウント機能は、通信開始と通信停止とを記録するもので、一般には通信の従量制課金に使われている。
　図１３は、実施の形態３におけるアカウントプロトコルによるＩＰｖ６フィルタ制御を示すシーケンス図である。
　配下の機器１１０による、外部のサーバ１５０への通信開始を検知したＩｏＴゲートウェイ１２０は、アカウントプロトコルの開始要求パケットをサーバゲートウェイ３３０に送信する（Ｓ１０）。
　サーバゲートウェイ３３０では、第１ＩＮＰＵＴフィルタ部１３２が、ＩＰｖ６通信部１３１を介して、開始要求パケットを受け取ると、それを認証処理部３３４に与える（Ｓ１１）。
　認証処理部３３４は、開始要求パケットに含まれる要求者の識別情報が正しい場合、識別情報に対応付けて通信の開始をアカウントＤＢ１３６に記録する（Ｓ１２）。アカウントの要求者の識別情報は、機器１１０のＩＰｖ６アドレス又はＩｏＴゲートウェイ１２０のＩＰｖ６アドレスである。
　アカウントの開始の記録に成功した認証処理部３３４は、第２ＯＵＴＰＵＴフィルタ部１４２及びＩＰｖ６通信部１３１を介して、成功応答パケットをＩｏＴゲートウェイ１２０に返す（Ｓ１３）。
　また、認証処理部３３４は、フィルタテーブル記憶部１３３に記憶されているフィルタテーブルに識別情報を示すレコードを登録することで、第１ＩＮＰＵＴフィルタ部１３２のフィルタを解放する（Ｓ１４）。
　アカウントの開始要求パケットに対して成功応答パケットを受け取ったＩｏＴゲートウェイ１２０は、配下の機器１１０からのパケットをＩＰｖ６パケットに変換し、サーバゲートウェイ３３０への中継を開始する（Ｓ１５）。
　機器１１０の通信が継続している間、ＩｏＴゲートウェイ１２０は、アカウントの更新要求パケットをサーバゲートウェイ３３０に定期的に送信する（Ｓ１６）。
　サーバゲートウェイ３３０では、第１ＩＮＰＵＴフィルタ部１３２が、ＩＰｖ６通信部１３１を介して、更新要求パケットを受け取ると、それを認証処理部３３４に与える（Ｓ１７）。
　認証処理部３３４は、更新要求パケットに含まれる要求者の識別情報に対応する通信の継続をアカウントＤＢ１３６に記録する（Ｓ１８）。これにより、第１ＩＮＰＵＴフィルタ部１３２のフィルタの解放が維持される。
　そして、認証処理部３３４は、第２ＯＵＴＰＵＴフィルタ部１４２及びＩＰｖ６通信部１３１を介して、成功応答パケットをＩｏＴゲートウェイ１２０に返す（Ｓ１９）。
　配下の機器１１０からの通信が終了したと判断したＩｏＴゲートウェイ１２０は、アカウントの停止要求パケットをサーバゲートウェイ３３０に送信する（Ｓ２０）。
　サーバゲートウェイ３３０では、第１ＩＮＰＵＴフィルタ部１３２が、ＩＰｖ６通信部１３１を介して、停止要求パケットを受け取ると、それを認証処理部３３４に与える（Ｓ１７）。
　認証処理部３３４は、停止要求パケットに含まれる要求者の識別情報に対応する通信の停止をアカウントＤＢ１３６に記録する（Ｓ２２）。
　そして、認証処理部３３４は、第２ＯＵＴＰＵＴフィルタ部１４２及びＩＰｖ６通信部１３１を介して、成功応答パケットをＩｏＴゲートウェイ１２０に返す（Ｓ２３）。
　また、認証処理部３３４は、フィルタテーブル記憶部１３３に記憶されているフィルタテーブルから、停止要求パケットに含まれる要求者の識別情報を示すレコードを削除することで、第１ＩＮＰＵＴフィルタ部１３２のフィルタの解放を停止する（Ｓ２４）。
　なお、アカウント開始後、一定時間、ＩｏＴゲートウェイ１２０からの更新要求パケットを受け取らない場合にも、認証処理部３３４は、対応するアカウントの停止をアカウントＤＢ１３６に記録して、通信を停止するとともに、対応する識別情報を示すレコードをフィルタテーブルから削除して、フィルタの解放を停止する。
　なお、実施の形態３においても、図５～図８を用いて説明した変形例を適用することができる。
実施の形態４．
　実施の形態３においては、サーバゲートウェイ３３０において、アカウントの管理を行っているが、外部のアカウントサーバにアカウントの管理を行わせてもよい。
　図１４は、実施の形態４に係る通信システム４００の構成を概略的に示すブロック図である。
　通信システム４００は、機器１１０と、ＩｏＴゲートウェイ１２０と、サーバゲートウェイ４３０と、サーバ１５０と、アカウントサーバ４８０とを備える。
　実施の形態４に係る通信システム４００は、サーバゲートウェイ４３０及びアカウントサーバ４８０を除いて、実施の形態１に係る通信システム１００と同様に構成されている。
　ＩｏＴゲートウェイ１２０、サーバゲートウェイ４３０及びアカウントサーバ４８０は、ＩＰｖ６インターネット１０１に接続されており、サーバゲートウェイ４３０及びサーバ１５０は、ＩＰｖ４インターネット１０２に接続されている。
　なお、サーバゲートウェイ４３０でパケットを中継する方法が、実施の形態４における中継方法である。
　図１５は、実施の形態４におけるサーバゲートウェイ４３０の構成を概略的に示すブロック図である。
　サーバゲートウェイ４３０は、ＩＰｖ６通信部１３１と、第１ＩＮＰＵＴフィルタ部１３２と、フィルタテーブル記憶部１３３と、認証処理部４３４と、認証ＤＢ１３５と、アドレス変換部１３７と、ＢＩＢ記憶部１３８と、第１ＯＵＴＰＵＴフィルタ部１３９と、ＩＰｖ４通信部１４０と、第２ＩＮＰＵＴフィルタ部１４１と、第２ＯＵＴＰＵＴフィルタ部１４２とを備える。
　実施の形態４におけるサーバゲートウェイ４３０のＩＰｖ６通信部１３１、第１ＩＮＰＵＴフィルタ部１３２、フィルタテーブル記憶部１３３、認証ＤＢ１３５、アドレス変換部１３７、ＢＩＢ記憶部１３８、第１ＯＵＴＰＵＴフィルタ部１３９、ＩＰｖ４通信部１４０、第２ＩＮＰＵＴフィルタ部１４１及び第２ＯＵＴＰＵＴフィルタ部１４２は、実施の形態１におけるサーバゲートウェイ１３０の対応する部分と同様に構成されている。
　認証処理部４３４は、第１ＩＮＰＵＴフィルタ部１３２を通過した認証アカウント用パケットに基づいて、認証を行うとともに、ＩｏＴゲートウェイ１２０との通信におけるアカウントの管理を、アカウントサーバ４８０に行わせる。認証処理については、実施の形態１と同様である。
　なお、通信中のパケットが一定時間途絶える場合、ＢＩＢ記憶部１３８に記憶されているＢＩＢの該当するエントリがタイムアウトする。この場合、第１ＩＮＰＵＴフィルタ部１３２におけるフィルタテーブルの登録も不要であるため、認証処理部４３４は、ＢＩＢにおけるエントリの削除に連動して、フィルタテーブルの関連するレコードを削除してもよい。フィルタテーブルから関連するレコードを削除した場合には、認証処理部４３４は、第２ＯＵＴＰＵＴフィルタ部１４２及びＩＰｖ６通信部１３１を介して、アカウントサーバ４８０にその通知を行い、アカウントサーバ４８０は、通信の停止を記録する。
　図１６は、実施の形態４におけるアカウントプロトコルによるＩＰｖ６フィルタ制御を示すシーケンス図である。
　配下の機器１１０による、外部のサーバ１５０への通信開始を検知したＩｏＴゲートウェイ１２０は、アカウントプロトコルの開始要求パケットをサーバゲートウェイ４３０に送信する（Ｓ３０）。
　サーバゲートウェイ４３０では、認証処理部４３４が、ＩＰｖ６通信部１３１及び第１ＩＮＰＵＴフィルタ部１３２を介して、開始要求パケットを受け取ると、第２ＯＵＴＰＵＴフィルタ部１４２及びＩＰｖ６通信部１３１を介して、それをアカウントサーバ４８０に転送する（Ｓ３１）。
　アカウントサーバ４８０は、開始要求パケットに含まれる要求者の識別情報が正しい場合、識別情報に対応付けて通信の開始を、図示しないアカウントデータベースに記録する（Ｓ３２）。アカウントの要求者の識別情報は、機器１１０のＩＰｖ６アドレス又はＩｏＴゲートウェイ１２０のＩＰｖ６アドレスである。
　アカウントの開始の記録に成功したアカウントサーバ４８０は、アカウントの開始要求に対する成功応答パケットをサーバゲートウェイ４３０に応答する（Ｓ３３）。
　認証処理部４３４は、ＩＰｖ６通信部１３１及び第１ＩＮＰＵＴフィルタ部１３２を介して、成功応答パケットを受け取ると、フィルタテーブル記憶部１３３に記憶されているフィルタテーブルに識別情報を示すレコードを登録することで、第１ＩＮＰＵＴフィルタ部１３２のフィルタを解放する（Ｓ３４）。
　そして、認証処理部４３４は、第２ＯＵＴＰＵＴフィルタ部１４２及びＩＰｖ６通信部１３１を介して、成功応答パケットをＩｏＴゲートウェイ１２０に転送する（Ｓ３５）。
　アカウントの開始要求パケットに対して成功応答パケットを受け取ったＩｏＴゲートウェイ１２０は、配下の機器１１０からのパケットを、ＩＰｖ６パケットに変換し、サーバゲートウェイ４３０への中継を開始する（Ｓ３６）。
　機器１１０の通信が継続している間、ＩｏＴゲートウェイ１２０は、アカウントの更新要求パケットをサーバゲートウェイ４３０に定期的に送信する（Ｓ３７）。
　認証処理部４３４は、ＩＰｖ６通信部１３１及び第１ＩＮＰＵＴフィルタ部１３２を介して、更新要求パケットを受け取ると、フィルタテーブル記憶部１３３に記憶されているフィルタテーブルにおいて、識別情報に対応するレコードを維持することで、第１ＩＮＰＵＴフィルタ部１３２のフィルタの解放を維持する（Ｓ３８）。
　そして、認証処理部４３４は、第２ＯＵＴＰＵＴフィルタ部１４２及びＩＰｖ６通信部１３１を介して、更新要求パケットをアカウントサーバ４８０に転送する（Ｓ３９）。
　アカウントサーバ４８０は、更新要求パケットに含まれる要求者の識別情報に対応する通信の継続をアカウントデータベースに記録する（Ｓ４０）。
　そして、アカウントサーバ４８０は、成功応答パケットをサーバゲートウェイ４３０に応答する（Ｓ４１）。
　サーバゲートウェイ４３０の認証処理部４３４は、ＩＰｖ６通信部１３１及び第１ＩＮＰＵＴフィルタ部１３２を介して、成功応答パケットを受け取ると、第２ＯＵＴＰＵＴフィルタ部１４２及びＩＰｖ６通信部１３１を介して、その成功応答パケットをＩｏＴゲートウェイ１２０に転送する（Ｓ４２）。
　配下の機器１１０からの通信が終了したと判断したＩｏＴゲートウェイ１２０は、アカウントの停止要求パケットをサーバゲートウェイ４３０に送信する（Ｓ４３）。
　サーバゲートウェイ４３０の認証処理部４３４は、ＩＰｖ６通信部１３１及び第１ＩＮＰＵＴフィルタ部１３２を介して、停止要求パケットを受け取ると、フィルタテーブル記憶部１３３に記憶されているフィルタテーブルから、停止要求パケットに含まれる要求者の識別情報を示すレコードを削除することで、第１ＩＮＰＵＴフィルタ部１３２のフィルタの解放を停止する（Ｓ４４）。
　また、認証処理部４３４は、第２ＯＵＴＰＵＴフィルタ部１４２及びＩＰｖ６通信部１３１を介して、その停止要求パケットをアカウントサーバ４８０に転送する（Ｓ４５）。
　アカウントサーバ４８０は、停止要求パケットに含まれる要求者の識別情報に対応する通信の停止をアカウントデータベースに記録する（Ｓ４６）。
　そして、アカウントサーバ４８０は、停止要求に対する成功応答パケットをサーバゲートウェイ４３０に送信する（Ｓ４７）。
　サーバゲートウェイ４３０の認証処理部４３４は、ＩＰｖ６通信部１３１及び第１ＩＮＰＵＴフィルタ部１３２を介して、成功応答パケットを受け取ると、第２ＯＵＴＰＵＴフィルタ部１４２及びＩＰｖ６通信部１３１を介して、その成功応答パケットをＩｏＴゲートウェイ１２０に転送する（Ｓ４８）。
　なお、アカウント開始後、一定時間、ＩｏＴゲートウェイ１２０からの更新要求パケットを受け取らない場合にも、認証処理部４３４は、対応する識別情報を示すレコードをフィルタテーブルから削除して、フィルタの解放を停止するとともに、第２ＯＵＴＰＵＴフィルタ部１４２及びＩＰｖ６通信部１３１を介して、停止要求パケットをアカウントサーバ４８０に送信する。
　以上のように、実施の形態４では、外部のアカウントサーバ４８０でアカウントの管理を行うことができる。
　実施の形態４に係る通信システム４００においては、アカウントサーバ４８０がＩＰｖ６インターネット１０１に接続されているが、図１７に示されている通信システム４００＃１のように、アカウントサーバ４８０＃１がＩＰｖ４インターネット１０２に接続されていてもよい。
　図１８は、実施の形態４の変形例におけるサーバゲートウェイ４３０＃１の構成を概略的に示すブロック図である。
　サーバゲートウェイ４３０＃１は、ＩＰｖ６通信部１３１と、第１ＩＮＰＵＴフィルタ部１３２と、フィルタテーブル記憶部１３３と、認証処理部４３４＃１と、認証ＤＢ１３５と、アドレス変換部１３７と、ＢＩＢ記憶部１３８と、第１ＯＵＴＰＵＴフィルタ部１３９と、ＩＰｖ４通信部１４０と、第２ＩＮＰＵＴフィルタ部１４１と、第２ＯＵＴＰＵＴフィルタ部１４２とを備える。
　実施の形態４の変形例におけるサーバゲートウェイ４３０＃１のＩＰｖ６通信部１３１、第１ＩＮＰＵＴフィルタ部１３２、フィルタテーブル記憶部１３３、認証ＤＢ１３５、アドレス変換部１３７、ＢＩＢ記憶部１３８、第１ＯＵＴＰＵＴフィルタ部１３９、ＩＰｖ４通信部１４０、第２ＩＮＰＵＴフィルタ部１４１及び第２ＯＵＴＰＵＴフィルタ部１４２は、実施の形態１におけるサーバゲートウェイ１３０の対応する部分と同様に構成されている。
　認証処理部４３４＃１は、第１ＩＮＰＵＴフィルタ部１３２からアカウントの開始要求パケット、更新要求パケット及び停止要求パケットを受け取ると、第１ＯＵＴＰＵＴフィルタ部１３９及びＩＰｖ４通信部１４０を介して、これらのパケットをアカウントサーバ４８０＃１に転送する。
　そして、認証処理部４３４＃１は、ＩＰｖ４通信部１４０及び第２ＩＮＰＵＴフィルタ部１４１を介して、認証成功パケット及び認証失敗パケットを受け取ると、第２ＯＵＴＰＵＴフィルタ部１４２及びＩＰｖ６通信部１３１を介して、これらのパケットをＩｏＴゲートウェイ１２０に転送する。
　ここで、認証処理部２３４＃１は、認証成功パケットをＩｏＴゲートウェイ１２０に送信する際に、フィルタテーブルに対応する識別情報を示すレコードを登録することで、フィルタを解放する。
　また、認証処理部４３４＃１は、更新要求パケットを転送する際に、フィルタテーブルにおいて対応する識別情報を示すレコードを維持することで、フィルタの解放を維持する。
　さらに、認証処理部４３４＃１は、停止要求パケットを転送する際に、フィルタテーブルにおいて対応する識別情報を示すレコードを削除することで、フィルタの解放を停止する。
　なお、実施の形態４においても、図５～図８を用いて説明した変形例を適用することができる。
　また、実施の形態４においても、実施の形態２のように、外部の認証サーバに認証を行わせることができる。
　１００，１００＃１，１００＃２，１００＃３，１００＃４，２００，２００＃１，３００，４００，４００＃１　通信システム、　１１０，１１０＃１，１１０＃２　機器、　１２０，１２０＃１，１２０＃２　ＩｏＴゲートウェイ、　１３０，１３０＃１，２３０，２３０＃１，３３０，４３０，４３０＃１　サーバゲートウェイ、　１３１　ＩＰｖ６通信部、　１３２　第１ＩＮＰＵＴフィルタ部、　１３３　フィルタテーブル記憶部、　１３４，２３４，２３４＃１，３３４，４３４，４３４＃１　認証処理部、　１３５　認証ＤＢ、　１３６　アカウントＤＢ、　１３７，１３７＃１　アドレス変換部、　１３８　ＢＩＢ記憶部、　１３９　第１ＯＵＴＰＵＴフィルタ部、　１４０　ＩＰｖ４通信部、　１４１　第２ＩＮＰＵＴフィルタ部、　１４２　第２ＯＵＴＰＵＴフィルタ部、　１５０，１５０＃１　サーバ、　２７０，２７０＃１　認証サーバ、　４８０，４８０＃１　アカウントサーバ、　１０　処理回路、　１１　メモリ、　１２　プロセッサ。

Claims (14)

  1. 　第１のプロトコルに対応した第１のネットワーク及び当該第１のプロトコルとは異なる第２のプロトコルに対応した第２のネットワークに接続され、当該第１のプロトコル及び当該第２のプロトコルとの間でプロトコル変換を行うゲートウェイであって、
    　認証された送信元アドレスを特定することのできるフィルタ情報を記憶するフィルタ情報記憶部と、
    　前記第１のネットワークから、前記第１のプロトコルに対応した第１のパケットを受信する第１の通信部と、
    　前記第１のパケットの送信元アドレスである第１の送信元アドレスが、前記認証された送信元アドレスに一致するか否かを判断するフィルタ部と、
    　前記第１の送信元アドレスが、前記認証された送信元アドレスに一致する場合に、前記第１のパケットを、前記第２のプロトコルに対応した第２のパケットに変換する変換部と、
    　前記第２のパケットを前記第２のネットワークに送信する第２の通信部と、を備えること
    　を特徴とするゲートウェイ。
  2. 　前記フィルタ部は、前記第１の送信元アドレスが、前記認証された送信元アドレスに一致しない場合には、前記第１のパケットを破棄すること
    　を特徴とする請求項１に記載のゲートウェイ。
  3. 　前記第１の通信部で受信された認証要求パケットに基づいて認証処理を行う処理部をさらに備え、
    　前記処理部は、前記認証要求パケットの送信元の認証に成功した場合には、前記認証された送信元アドレスとして、前記認証要求パケットの送信元アドレスを特定することのできる項目を前記フィルタ情報に追加すること
    　を特徴とする請求項１又は２に記載のゲートウェイ。
  4. 　前記第１の通信部で受信された認証要求パケットを、前記第１の通信部又は前記第２の通信部から、認証処理を行う認証サーバに転送する処理部をさらに備え、
    　前記処理部は、前記認証サーバにおいて前記認証要求パケットの送信元の認証に成功した場合には、前記認証された送信元アドレスとして、前記認証要求パケットの送信元アドレスを特定することのできる項目を前記フィルタ情報に追加すること
    　を特徴とする請求項１又は２に記載のゲートウェイ。
  5. 　前記項目は、前記認証要求パケットの前記送信元アドレスを示すこと
    　を特徴とする請求項３又は４に記載のゲートウェイ。
  6. 　前記項目は、前記認証要求パケットの前記送信元アドレスのプレフィックスを示すこと
    　を特徴とする請求項３又は４に記載のゲートウェイ。
  7. 　前記変換部は、前記第１のパケットを前記第２のパケットに変換する際に、前記第１の送信元アドレスを、前記第２のプロトコルに対応した送信元アドレスである第２の送信元アドレスに変換すること
    　を特徴とする請求項３から６の何れか一項に記載のゲートウェイ。
  8. 　前記変換部が前記第１の送信元アドレス及び前記第２の送信元アドレス間の変換を予め定められた期間行わない場合に、前記処理部は、前記項目を前記フィルタ情報から削除すること
    　を特徴とする請求項７に記載のゲートウェイ。
  9. 　前記第１の通信部で受信された、アカウントの開始要求パケットに基づいて当該アカウントを作成する処理部をさらに備え、
    　前記処理部は、前記開始要求パケットに基づいて前記アカウントを作成した場合に、前記認証された送信元アドレスとして、前記開始要求パケットの送信元アドレスを特定することのできる項目を前記フィルタ情報に追加すること
    　を特徴とする請求項１又は２に記載のゲートウェイ。
  10. 　前記第１の通信部で受信された、アカウントの開始要求パケットを、前記第１の通信部又は前記第２の通信部から、当該アカウントを管理するアカウントサーバに転送する処理部をさらに備え、
    　前記処理部は、前記アカウントサーバにおいて前記開始要求パケットに基づいて前記アカウントが作成された場合に、前記認証された送信元アドレスとして、前記開始要求パケットの送信元アドレスを特定することのできる項目を前記フィルタ情報に追加すること
    　を特徴とする請求項１又は２に記載のゲートウェイ。
  11. 　前記項目は、前記開始要求パケットの前記送信元アドレスを示すこと
    　を特徴とする請求項９又は１０に記載のゲートウェイ。
  12. 　前記項目は、前記開始要求パケットの前記送信元アドレスのプレフィックスを示すこと
    　を特徴とする請求項９又は１０に記載のゲートウェイ。
  13. 　前記処理部は、前記第１の通信部で受信された前記アカウントの停止要求パケットに基づいて、前記項目を前記フィルタ情報から削除すること
    　を特徴とする請求項９から１２の何れか一項に記載のゲートウェイ。
  14. 　第１のプロトコルに対応した第１のネットワークから、当該第１のプロトコルに対応した第１のパケットを受信し、
    　前記第１のパケットの送信元アドレスが、認証された送信元アドレスに一致する場合に、前記第１のパケットを、前記第１のプロトコルとは異なる第２のプロトコルに対応した第２のパケットに変換し、
    　前記第２のパケットを前記第２のプロトコルに対応した第２のネットワークに送信すること
    　を特徴とする中継方法。
PCT/JP2017/011114 2017-03-21 2017-03-21 ゲートウェイ及び中継方法 WO2018173099A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2019506569A JPWO2018173099A1 (ja) 2017-03-21 2017-03-21 ゲートウェイ及び中継方法
PCT/JP2017/011114 WO2018173099A1 (ja) 2017-03-21 2017-03-21 ゲートウェイ及び中継方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2017/011114 WO2018173099A1 (ja) 2017-03-21 2017-03-21 ゲートウェイ及び中継方法

Publications (1)

Publication Number Publication Date
WO2018173099A1 true WO2018173099A1 (ja) 2018-09-27

Family

ID=63585072

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2017/011114 WO2018173099A1 (ja) 2017-03-21 2017-03-21 ゲートウェイ及び中継方法

Country Status (2)

Country Link
JP (1) JPWO2018173099A1 (ja)
WO (1) WO2018173099A1 (ja)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004364141A (ja) * 2003-06-06 2004-12-24 Hitachi Communication Technologies Ltd Ｉｐアドレス変換装置およびパケット転送装置
JP2005197936A (ja) * 2004-01-06 2005-07-21 Kddi Corp 通信システム、登録装置及び通信装置
JP2007511971A (ja) * 2003-11-25 2007-05-10 ノキア コーポレイション Ｉｐアドレス結合に基づいてマルチメディアトラフィックをフィルタリングする方法及びシステム
US20090165091A1 (en) * 2006-07-19 2009-06-25 Ru Liang Method and system for network access and network connection device

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2016152549A (ja) * 2015-02-18 2016-08-22 株式会社日立製作所 ゲートウェイシステム

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004364141A (ja) * 2003-06-06 2004-12-24 Hitachi Communication Technologies Ltd Ｉｐアドレス変換装置およびパケット転送装置
JP2007511971A (ja) * 2003-11-25 2007-05-10 ノキア コーポレイション Ｉｐアドレス結合に基づいてマルチメディアトラフィックをフィルタリングする方法及びシステム
JP2005197936A (ja) * 2004-01-06 2005-07-21 Kddi Corp 通信システム、登録装置及び通信装置
US20090165091A1 (en) * 2006-07-19 2009-06-25 Ru Liang Method and system for network access and network connection device

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
BROCKNERS, F. ET AL.: "Diameter Network Address and Port Translation Control Application RFC6736", IETF, October 2012 (2012-10-01), pages 1 - 59, XP055545501 *

Also Published As

Publication number Publication date
JPWO2018173099A1 (ja) 2019-11-07

Similar Documents

Publication Publication Date Title
US8615604B2 (en) Information processing apparatus, information processing system and computer readable medium for maintaining communication while IP addresses change
JP5790827B2 (ja) 制御装置、制御方法、及び通信システム
EP1998506A1 (en) Virtual network connection apparatus, system, method for controlling connection of a virtual network and program
EP1753180B1 (en) Server for routing a connection to a client device
US6813715B2 (en) Method for accessing home-network using home-gateway and home-portal server and apparatus thereof
US8356169B2 (en) Encryption communication system, apparatus and method for allowing direct encryption communication with a plurality of nodes
JP3557056B2 (ja) パケット検査装置、移動計算機装置及びパケット転送方法
US7827601B2 (en) Method and apparatus for firewall traversal
US7855955B2 (en) Method for managing frames in a global-area communications network, corresponding computer-readable storage medium and tunnel endpoint
US20020046349A1 (en) Communication system using home gateway and access server for preventing attacks to home network
JP4909277B2 (ja) ネットワーク通信機器、ネットワーク通信方法、アドレス管理機器
US20120124660A1 (en) Virtual private network node information processing method, relevant device and system
US8601568B2 (en) Communication system for authenticating or relaying network access, relaying apparatus, authentication apparatus, and communication method
JP4290198B2 (ja) 信頼できるプロセスを許可する柔軟なネットワークセキュリティシステム及びネットワークセキュリティの方法
JP3864743B2 (ja) ファイアウォール装置、情報機器および情報機器の通信方法
CN104519077A (zh) 多媒体分享方法、注册方法、服务器及代理服务器
US9325518B2 (en) Controlling a device of a remote network from a local network
JP4713420B2 (ja) 通信システム、およびネットワーク機器の共有方法
WO2018173099A1 (ja) ゲートウェイ及び中継方法
JP3935823B2 (ja) Ｈｔｔｐセッション・トンネリング・システム、その方法、及びそのプログラム
JP2005217757A (ja) ファイアウオール管理システム、ファイアウオール管理方法、およびファイアウオール管理プログラム
KR100818977B1 (ko) 클라이언트 기기에 대한 접속을 라우팅 하기 위한서버
JP2002084326A (ja) 被サービス装置、センタ装置、及びサービス装置
JP2007104438A (ja) 宅外アクセスシステム、サーバ、および通信方法
KR101002142B1 (ko) 이종 ｉｐ 망 환경에서의 정보 서비스 제공 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17901897

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2019506569

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 17901897

Country of ref document: EP

Kind code of ref document: A1