JP2009200607A - アドレス変換装置及び方法 - Google Patents

Abstract

【課題】グローバルネットワークからの攻撃に対してセキュリティ強度を高めることができるようにする。
【解決手段】本発明のアドレス変換装置は、プライベートネットワークとグローバルネットワークとの間で通信されるパケットのアドレス情報を変換するアドレス変換装置において、入力パケットのヘッダ情報に基づいてフローを識別するフロー識別手段と、フロー識別手段により識別されたフローに対して、グローバルネットワークで用いるグローバルアドレス情報を割り当て、当該フローの終端を示すプライベートアドレス情報を対応付けたアドレス変換情報を作成するアドレス変換情報作成手段と、入力パケットのアドレス情報がアドレス変換情報に登録されている場合に、アドレス変換情報を参照して、当該アドレス情報を対応するアドレス情報に変換するアドレス変換手段とを備えることを特徴とする。
【選択図】 図１

Description

本発明は、アドレス変換装置及び方法に関し、例えば、ＩＰ（Internet Protocol）を用いたネットワークの境界におけるＩＰアドレス変換装置や方法に適用し得るものである。

従来、ＩＰアドレス変換は、ＩＰｖ４アドレス空間の不足を補うこと、また、セキュリティを確保すること、の大きく２つを目的として発明された技術である。

一般に、ＩＰアドレス変換は、プライベートアドレスで構成されるプライベートネットワークと、グローバルアドレスで構成されるグローバルネットワークの間に位置し、プライベートネットワークからグローバルネットワークへの通信の際に、プライベートアドレスとグローバルアドレスとを対応させ、ＩＰアドレスを変換することにより、双方向の通信を可能としている。

一方、グローバルネットワークからプライベートネットワークへの通信の場合、プライベートアドレスとグローバルアドレスとの対応関係が確立されていなければ、グローバルネットワーク内においてプライベートアドレスが到達不可能であるから、接続することができない。この特徴により、プライベートネットワークのセキュリティを確保することができる（ＲＦＣ３０２２）。

ＩＥＴＦ ＲＦＣ３０２２ Ｔｒａｄｉｔｉｏｎａｌ ＩＰ Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｏｒ ＩＥＴＦ ＲＦＣ２７６５ Ｓｔａｔｅｌｅｓｓ ＩＰ／ＩＣＭＰ Ｔｒａｎｓｌａｔｏｒ ＩＥＴＦ ＲＦＣ２７６６ Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ−Ｐｒｏｔｏｃｏｌ Ｔｒａｎｓｌａｔｉｏｎ

しかしながら、ＩＰアドレス変換方法のうちＮＡＴ（Network Address Translator）機能の場合、プライベートアドレスとグローバルアドレスとを１対１で対応させて行うものであるため、グローバルアドレスが分かってしまえば、グローバルネットワークにおいても同一ユーザとして識別可能であり、セキュリティ面で課題があった。

そこで、グローバルネットワークからの攻撃に対してセキュリティ強度を高めることができるアドレス変換装置及び方法が求められている。

かかる課題を解決するために、第１の本発明のアドレス変換装置は、プライベートネットワークとグローバルネットワークとの間で通信されるパケットのアドレス情報を変換するアドレス変換装置において、（１）入力パケットのヘッダ情報に基づいてフローを識別するフロー識別手段と、（２）フロー識別手段により識別されたフローに対して、グローバルネットワークで用いるグローバルアドレス情報を割り当て、当該フローの終端を示すプライベートアドレス情報を対応付けたアドレス変換情報を作成するアドレス変換情報作成手段と、（３）入力パケットのアドレス情報がアドレス変換情報に登録されている場合に、アドレス変換情報を参照して、当該アドレス情報を対応するアドレス情報に変換するアドレス変換手段とを備えることを特徴とする。

第２の本発明のアドレス変換方法は、プライベートネットワークとグローバルネットワークとの間で通信されるパケットのアドレス情報を変換するアドレス変換方法において、フロー識別手段、アドレス変換情報作成手段及びアドレス変換手段を備え、（１）フロー識別手段が、入力パケットのヘッダ情報に基づいてフローを識別するフロー識別工程と、（２）アドレス変換情報作成手段が、フロー識別手段により識別されたフローに対して、グローバルネットワークで用いるグローバルアドレス情報を割り当て、当該フローの終端を示すプライベートアドレス情報を対応付けたアドレス変換情報を作成するアドレス変換情報作成工程と、（３）アドレス変換手段が、入力パケットのアドレス情報がアドレス変換情報に登録されている場合に、アドレス変換情報を参照して、当該アドレス情報を対応するアドレス情報に変換するアドレス変換工程とを有することを特徴とする。

本発明によれば、グローバルネットワークからの攻撃に対してセキュリティ強度を高めることができる。

（Ａ）第１の実施形態
以下、本発明のＩＰアドレス変換装置、方法及びプログラムの第１の実施形態について図面を参照しながら説明する。

（Ａ−１）第１の実施形態の構成
図１は、第１の実施形態のネットワークの全体構成を示す全体構成図である。図１において、第１の実施形態のネットワーク１０は、プライベートネットワーク１Ａ、グローバルネットワーク２、プライベートネットワーク１Ｂ、ＩＰアドレス変換装置４Ａ及び４Ｂ、を少なくとも有して構成される。

グローバルネットワーク２は、例えばインターネットに代表されるような通信事業者が敷設した広域通信を行うためのネットワークであり、例えばＴＣＰ／ＩＰプロトコルを採用したネットワークを適用することができる。勿論、通信プロトコルは、ＴＣＰ／ＩＰに限定されるものではなく、広く適用することができる。

プライベートネットワーク１Ａ及びプライベートネットワーク１Ｂは、例えば企業内や家庭内で利用するネットワークであり、例えばＴＣＰ／ＩＰプロトコルを採用したネットワークを適用することができる。プライベートネットワーク１Ａとプライベートネットワーク１Ｂとはそれぞれ異なるネットワークであるものとする。また、プライベートネットワーク１Ａ及び１Ｂは、有線回線網、無線回線網、又はこれら回線網を結合させた通信網に適用し得るものである。

また、プライベートネットワーク１ＡにはＩＰアドレス変換装置４Ａが存在しており、このＩＰアドレス変換装置４Ａを介して、プライベートネットワーク１Ａはグローバルネットワーク２に接続する。同様に、プライベートネットワーク１ＢにもＩＰアドレス変換装置４Ｂが存在しており、このＩＰアドレス変換装置４Ｂを介して、プライベートネットワーク１Ｂはグローバルネットワーク２に接続する。

さらに、プライベートネットワーク１ＡにはＩＰ端末３Ａが接続されており、又プライベートネットワーク１ＢにはＩＰ端末３Ｂが接続されている。第１の実施形態では、ＩＰ端末３ＡとＩＰ端末３Ｂとの間で通信を行うものとし、図１におけるＩＰパケット５は、ＩＰ端末３ＡとＩＰ端末３Ｂとの間で授受されるＩＰパケットを示す。

ＩＰ端末３Ａ及びＩＰ端末３Ｂは、例えば、Ｗｅｂブラウジングやデータ転送などを行うための通信端末装置である。

ＩＰアドレス変換装置４Ａは、プライベートネットワーク１Ａとグローバルネットワーク２との間で通信されるＩＰパケットのＩＰアドレスを変換するための装置である。また、ＩＰアドレス変換装置４Ｂは、プライベートネットワーク１Ｂとグローバルネットワーク２との間で通信されるＩＰパケットのＩＰアドレスを変換するための装置である。

ＩＰアドレス変換装置４Ａ及びＩＰアドレス変換装置４Ｂは、入力されるＩＰパケットのフロー種別を識別し、その識別したＩＰフローに対してグローバルアドレスを割り当てるものである。

つまり、プライベートネットワークの同一のＩＰ端末を終端とするＩＰフローが複数ある場合に、ＩＰフロー毎にグローバルアドレスを割り当てることができるので、グローバルネットワーク２にはそれぞれ終端が異なるものと見せることができる。

また、グローバルネットワーク２から入力されたパケットに基づいてＩＰフローの識別ができないものについては、当該パケットを廃棄することができるので、セキュリティを高めることができる。

図２は、ＩＰアドレス変換装置４Ａ及びＩＰアドレス変換装置４Ｂの内部構成を示す機能ブロック図である。ここで、ＩＰアドレス変換装置４Ａ及びＩＰアドレス変換装置４Ｂはそれぞれ同じ内部構成を備えるものとし、図２ではＩＰアドレス変換装置４と示す。

図２に示すように、ＩＰアドレス変換装置４は、インタフェース１１、インタフェース１２、ＩＰアドレス変換部１３、ＩＰフロー識別部１４を少なくとも有する。

インタフェース１１は、プライベートネットワーク１Ａ又は１Ｂとの間でＩＰパケットの授受を行う、プライベートネットワーク１Ａ又は１Ｂ側のインタフェースである。つまり、インタフェース１１は、プライベートネットワーク１Ａ又は１Ｂから受信したＩＰパケットをＩＰアドレス変換部１３に与え、ＩＰアドレス変換部１３から受け取ったＩＰパケットをプライベートネットワーク１Ａ又は１Ｂに送信するものである。

インタフェース１２は、グローバルネットワーク２との間でＩＰパケットの授受を行う、グローバルネットワーク２側のインタフェースである。つまり、インタフェース１２は、グローバルネットワーク２から受信したＩＰパケットをＩＰアドレス変換部１３に与え、ＩＰアドレス変換部１３から受け取ったＩＰパケットをグローバルネットワーク２に送信するものである。

ＩＰフロー識別部１４は、インタフェース１１及びインタフェース１２から入力されるパケットが属するＩＰフローを識別し、そのＩＰフローを一意に識別するＩＰフロー識別子を付して管理するものである。ＩＰフローの識別方法としては、種々の方法を適用することができ、例えば、入力されるパケットのプロトコルヘッダ情報に基づいて、送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス、宛先ポート番号、プロトコル等を識別することによりフローを識別する方法を適用したり、又例えば連想メモリを用いて、さらに多くのプロトコルヘッダ項目の組み合わせで識別するフロー識別方法を適用することができる。

ＩＰアドレス変換部１３は、後述するＩＰアドレス変換情報１００を用いて、入力パケットのアドレス変換処理を実行するものである。

ここで、ＩＰアドレス変換情報１００は、入力パケットのＩＰフローに対してグローバル情報を対応付けた情報であって、当該ＩＰフローのプライベート情報とグローバル情報とを対応付けた情報である。

図３は、ＩＰアドレス変換情報１００の構成を示す構成図である。図３において、ＩＰアドレス変換情報１００は、ＩＰフロー識別子１０１、プライベート情報１０２、グローバル情報１０３とが対応付けられて構成されるものである。

ＩＰフロー識別子１０１は、ＩＰフローを識別するための識別子である。つまり、ＩＰアドレス変換部４Ａ及び４Ｂにおいて識別されたＩＰフローの識別子である。

プライベート情報１０２は、プライベートネットワーク１Ａ及び１ＢのＩＰ端末３Ａ及び３Ｂに存在するＩＰフロー終端点の情報であり、例えば、ＩＰフロー終端点を識別するためにＩＰフロー終端点のＩＰアドレス１１１と、ＴＣＰ／ＵＤＰ層におけるポート番号１１２で構成される。

グローバル情報１０３は、グローバルネットワーク２側へ見せるＩＰフロー終端点の情報であり、例えば、ＩＰフロー終端点を識別するためにＩＰフロー終端点のＩＰアドレス１２１と、ＴＣＰ／ＵＤＰ層におけるポート番号１２２で構成される。

図３において、ＩＰアドレス変換部１３は、例えば、終端点のプライベート情報１０２「ＩＰアドレス；10.0.0.1」及び「ポート番号；10001」について、「ＩＰフロー識別子；１」とし、これに対応するグローバル情報１０３として「ＩＰアドレス；200.0.0.1」及び「ポート番号；10001」を割り当てる。

また、ＩＰアドレス変換部１３は、終端点のプライベート情報１０２「ＩＰアドレス；10.0.0.1」及び「ポート番号；10002」について、「ＩＰフロー識別子；２」とし、これに対応するグローバル情報１０３として「ＩＰアドレス；200.0.0.2」及び「ポート番号；10002」を割り当てる。

そうすると、「ＩＰアドレス；10.0.0.1」である同一のＩＰ端末であっても、ポート番号が異なる「ＩＰフロー識別子；１」と「ＩＰフロー識別子；２」のフローに対して、それぞれ異なるグローバル情報を割り当てることができる。その結果、グローバルネットワークに対して、異なるＩＰ端末であると見せることができる。

（Ａ−２）第１の実施形態の動作
次に、第１の実施形態のアドレス変換処理の動作について図面を参照して説明する。

以下では、まず、ＩＰアドレス変換装置４において、プライベートネットワーク１Ａ又は１Ｂから入力したＩＰパケットをグローバルネットワーク２に転送する場合の動作を説明する。

図４は、ＩＰアドレス変換装置４において、インタフェース１１（プライベートネットワーク１Ａ又は１Ｂ）からインタフェース１２（グローバルネットワーク２）へＩＰパケットが転送されるときのＩＰアドレス変換動作を示すシーケンス図である。

プライベートネットワーク１Ａ又は１ＢからのＩＰパケットが、ＩＰアドレス変換装置４に与えられると、ＩＰパケットは、インタフェース１１を介して、ＩＰアドレス変換部１３に受信される（ステップ１０００）。

ＩＰアドレス変換部１３では、受信したＩＰパケットの送信元ＩＰアドレス及び送信元ポート番号が抽出される。そして、ＩＰアドレス変換情報１００を参照して、プライベート情報１０２のＩＰアドレス１１１及びポート番号１１２に、受信パケットの送信元ＩＰアドレス及び送信元ポート番号と一致するものがあるか否かが検索される（ステップ１００１）。

そして、一致するＩＰアドレス変換情報がない場合、ＩＰフロー識別部１４により当該受信パケットのＩＰフローが識別され、このＩＰフローのＩＰフロー識別子に対して、受信パケットから抽出した送信元ＩＰアドレス及び送信元ポート番号を対応付けると共に、ＩＰアドレスプールから取得したグローバル情報１０３のＩＰアドレス及びポート番号を対応付けて、当該受信パケットのＩＰアドレス変換情報をＩＰアドレス変換情報１００に登録する（ステップ１００２）。

ここで、ＩＰアドレスプールは、グローバルネットワーク２側で使用するＩＰアドレスのプールであり、例えばＩＰアドレスの範囲指定やプリフィックス指定等の方法を用いて情報として与えられているものとする。

また、ステップ１００１で一致するＩＰアドレス変換情報がある場合、又はステップ１００２でＩＰアドレス変換情報が登録された場合、ＩＰアドレス変換部１３により、ＩＰアドレス変換情報に基づくグローバル情報１０３のＩＰアドレス１０２が受信パケットの送信元ＩＰアドレスに、ポート番号１２２が送信元ポート番号にそれぞれ設定され、ＩＰアドレスが変換される（ステップ１００３）
そして、ＩＰアドレス変換部１３により変換されたＩＰパケットは、インタフェース１２を介して、グローバルネットワークに送信される（ステップ１００４）。

次に、ＩＰアドレス変換装置４において、グローバルネットワーク２から入力したＩＰパケットをプライベートネットワーク１Ａ又は１Ｂに転送する場合の動作を説明する。

図５は、ＩＰアドレス変換装置４において、インタフェース１２（グローバルネットワーク２）からインタフェース１１（プライベートネットワーク１Ａ又は１Ｂ）へＩＰパケットが転送されるときのＩＰアドレス変換動作を示すシーケンス図である。

まず、グローバルネットワーク２からのＩＰパケットが、ＩＰアドレス変換装置４に与えられると、ＩＰパケットは、インタフェース１２を介して、ＩＰアドレス変換部１３に受信される（ステップ１１００）。

このとき、ＩＰフロー識別部１４により当該受信パケットが属するフローが識別される。また、ＩＰアドレス変換部１３により、当該受信パケットの宛先ＩＰアドレス及び宛先ポート番号が抽出される。そして、ＩＰアドレス変換部１３によりＩＰアドレス変換情報１００が参照され、ＩＰフロー識別部１４により識別されたＩＰフロー識別子が存在し、かつ、プライベート情報１０２のＩＰアドレス１１１及びポート番号１１２に、受信パケットの送信元ＩＰアドレス及び送信元ポート番号と一致するものがあるか否かが検索される（ステップ１１０１）。

そして、ＩＰアドレス変換情報１００に登録がない場合、ＩＰアドレス変換部１３により到達不可と判断され、受信したＩＰパケットは廃棄される（ステップ１１０２）。

このとき、ＩＰアドレス変換装置４の適用箇所により、受信したＩＰパケットの送信元ＩＰアドレスに対し、ＩＣＭＰ到達不可能パケットを返却するようにしてもよい。

また、ＩＰアドレス変換情報１００に登録がある場合、ＩＰアドレス変換部１３により、検索したＩＰアドレス変換情報に基づくプライベート情報１０２のＩＰアドレス１１１が受信したＩＰパケットの宛先ＩＰアドレスに、ポート番号１１２が宛先ポート番号に、それぞれ設定され、ＩＰアドレスが変換される（ステップ１１０３）。

そして、ＩＰアドレス変換部１３により変換されたＩＰパケットは、インタフェース１１を介して、プライベートネットワーク１Ａ又は１Ｂに送信される（ステップ１１０４）。

（Ａ−３）第１の実施形態の効果
以上のように、第１の実施形態によれば、ＩＰフロー毎にグローバル情報を割り当てることで、プライべ−トネットワークの同一ＩＰ端末に終端するＩＰフローを、グローバルネットワークに対して異なるＩＰ端末に終端するＩＰフローとして見せることができる。その結果、グローバルネットワークからの攻撃に対するセキュリティ強度を高めることができる。

（Ｂ）他の実施形態
（Ｂ−１）第１の実施形態において、ＩＰアドレス変換部１３は、ＩＰアドレス変換情報１００の各ＩＰアドレス変換情報について、定期的にその利用状況を監視し、一定期間使用されない場合は削除するようにしてもよい。また、ＴＣＰ等のセッション（ＩＰフロー）の切断が検出できるものは、その情報を基に、該当するＩＰアドレス変換情報１００のＩＰアドレス変換情報を削除してもよい。

（Ｂ−２）第１の実施形態の動作の説明では、プライベートネットワークおよびグローバルネットワーク共にＩＰｖ４を例としているが、ＩＰｖ６−ＩＰｖ６，ＩＰｖ４−ＩＰｖ６，ＩＰｖ６−ＩＰｖ４、の組み合わせでも適用可能である。特にグローバルネットワークに、ＩＰアドレス空間に制限のないＩＰｖ６を用いる組み合わせにおいて大きな効果を発揮する。

（Ｂ−３）第１の実施形態において、アプリケーションによっては、複数のＩＰフローが同一ＩＰアドレスに終端することを前提にして動作するものもあるため、さらにＡＬＧ（アプリケーションレベルゲートウェイ）を実装し、従来のＩＰアドレス変換と第１の実施形態のアドレス変換装置４の動作とを使い分けることが望ましい。

第１の実施形態に係るネットワークの全体構成を示す全体構成図である。 第１の実施形態のＩＰアドレス変換装置の機能構成を示すブロック図である。 第１の実施形態のＩＰアドレス変換情報の構成を示す構成図である。 第１の実施形態において、プライベートネットワークからＩＰパケットをグローバルネットワークに転送する場合のＩＰアドレス変換動作を示すシーケンス図である。 第１の実施形態において、グローバルネットワークからＩＰパケットをプライベートネットワークに転送する場合のＩＰアドレス変換動作を示すシーケンス図である。

符号の説明

１Ａ及び１Ｂ…プライベートネットワーク、２…グローバルネットワーク、３Ａ及び３Ｂ…ＩＰ端末、４Ａ及び４Ｂ…ＩＰアドレス変換装置、１１…インタフェース（プライベートネットワーク側）、１２…インタフェース（グローバルネットワーク側）、１３…ＩＰアドレス変換部、１４…フロー識別部、１００…ＩＰアドレス変換情報。

Claims (4)

1. プライベートネットワークとグローバルネットワークとの間で通信されるパケットのアドレス情報を変換するアドレス変換装置において、
   入力パケットのヘッダ情報に基づいてフローを識別するフロー識別手段と、
   上記フロー識別手段により識別されたフローに対して、上記グローバルネットワークで用いるグローバルアドレス情報を割り当て、当該フローの終端を示すプライベートアドレス情報を対応付けたアドレス変換情報を作成するアドレス変換情報作成手段と、
   入力パケットのアドレス情報が上記アドレス変換情報に登録されている場合に、上記アドレス変換情報を参照して、当該アドレス情報を対応するアドレス情報に変換するアドレス変換手段と
   を備えることを特徴とするアドレス変換装置。
2. 上記グローバルネットワークから上記プライベートネットワークに転送するパケットが入力された場合、
   上記アドレス変換手段は、入力パケットの宛先アドレス情報を抽出し、この抽出した宛先アドレス情報が上記アドレス変換情報に登録されていない場合に、当該入力パケットを廃棄するものであることを特徴とする請求項１に記載のアドレス変換装置。
3. 上記プライベートアドレス情報が、上記プライベートネットワークでのＩＰアドレスとポート番号とを含むものであり、上記グローバルアドレス情報が、上記グローバルネットワークでのＩＰアドレスとポート番号とを含むものであることを特徴とする請求項１又は２に記載のアドレス変換装置。
4. プライベートネットワークとグローバルネットワークとの間で通信されるパケットのアドレス情報を変換するアドレス変換方法において、
   フロー識別手段、アドレス変換情報作成手段及びアドレス変換手段を備え、
   上記フロー識別手段が、入力パケットのヘッダ情報に基づいてフローを識別するフロー識別工程と、
   上記アドレス変換情報作成手段が、上記フロー識別手段により識別されたフローに対して、上記グローバルネットワークで用いるグローバルアドレス情報を割り当て、当該フローの終端を示すプライベートアドレス情報を対応付けたアドレス変換情報を作成するアドレス変換情報作成工程と、
   上記アドレス変換手段が、入力パケットのアドレス情報が上記アドレス変換情報に登録されている場合に、上記アドレス変換情報を参照して、当該アドレス情報を対応するアドレス情報に変換するアドレス変換工程と
   を有することを特徴とするアドレス変換方法。

Images