(57)【要約】      （修正有）【課題】ネットワークを介して提供するサービスのセキュリティを高めるための技術を提供する。【解決手段】アドレス変換装置であるゲートウェイサーバ１は、第１の情報処理装置から、コンテンツの要求パケットを受信する受信部と、要求パケットに含まれる第１の送信元アドレスを、要求パケットの通信経路に対応する変換表を用いて第２の送信元アドレスに変換するアドレス変換部１００ａ〜１００ｃと、要求パケットを、コンテンツを提供するか否かを要求パケットに含まれる第２の送信元アドレスに基づき判定する第２の情報処理装置に送信する送信部とを有する。【選択図】図１
2018160843.tif 000002
【特許請求の範囲】
【請求項１】
第１の情報処理装置から、コンテンツの要求パケットを受信する受信部と、
前記要求パケットに含まれる第１の送信元アドレスを、前記要求パケットの通信経路に対応する変換表を用いて第２の送信元アドレスに変換する変換部と、
前記要求パケットを、前記コンテンツを提供するか否かを前記要求パケットに含まれる前記第２の送信元アドレスに基づき判定する第２の情報処理装置に送信する送信部と、
を有するアドレス変換装置。
【請求項２】
前記要求パケットはさらに、前記第１の情報処理装置へのログインに用いられる識別情報および認証情報を含み、
前記第２の情報処理装置はさらに、
前記識別情報および認証情報に基づき、前記コンテンツを提供するか否かを判定する、
請求項１記載のアドレス変換装置。
【請求項３】
前記変換部は、
前記要求パケットの物理的な通信経路に対応する変換表を用いて、前記第１の送信元アドレスを前記第２の送信元アドレスに変換する、
請求項１又は２記載のアドレス変換装置。
【請求項４】
前記変換部は、
前記要求パケットの仮想的な通信経路に対応する変換表を用いて、前記第１の送信元アドレスを前記第２の送信元アドレスに変換する、
請求項１又は２記載のアドレス変換装置。
【請求項５】
前記受信部は、
前記第２の情報処理装置から前記コンテンツを含む応答パケットを受信し、
前記変換部は、
前記応答パケットに含まれる第１の宛先アドレスを、前記要求パケットの通信経路に対応する変換表を用いて第２の宛先アドレスに変換し、
前記送信部は、
前記第２の宛先アドレスを含む前記応答パケットを、前記第１の情報処理装置に送信する、
請求項１又は２記載のアドレス変換装置。
【請求項６】
前記変換部は、
前記要求パケットに含まれるプロトコル情報に基づき、前記要求パケットの送信元の端末が前記コンテンツにアクセスすることが許可されているか判定し、
前記要求パケットの送信元の端末が前記コンテンツにアクセスすることが許可されてない場合、前記要求パケットを廃棄する、
請求項１乃至４のいずれか１つ記載のアドレス変換装置。
【請求項７】
第１の情報処理装置と、アドレス変換装置と、第２の情報処理装置とを有する情報処理システムにおいて、
前記アドレス変換装置は、
前記第１の情報処理装置から、コンテンツの要求パケットを受信する受信部と、
前記要求パケットに含まれる第１の送信元アドレスを、前記要求パケットの通信経路に対応する変換表を用いて第２の送信元アドレスに変換する変換部と、
前記要求パケットを、前記第２の情報処理装置に送信する送信部と、
を有し、
前記第２の情報処理装置は、
前記アドレス変換装置から受信した前記要求パケットに含まれる前記第２の送信元アドレスに基づき、前記コンテンツを提供するか否かを判定する判定部
を有することを特徴とする情報処理システム。
【請求項８】
第１の情報処理装置と、アドレス変換装置と、第２の情報処理装置とを有する情報処理システムの制御方法において、
前記アドレス変換装置は、前記第１の情報処理装置から、コンテンツの要求パケットを受信し、
前記アドレス変換装置は、前記要求パケットに含まれる第１の送信元アドレスを、前記要求パケットの通信経路に対応する変換表を用いて第２の送信元アドレスに変換し、
前記アドレス変換装置は、前記要求パケットを前記第２の情報処理装置に送信し、
前記第２の情報処理装置は、前記アドレス変換装置から受信した前記要求パケットに含まれる前記第２の送信元アドレスに基づき、前記コンテンツを提供するか否かを判定する、
処理を実行する、情報処理システムの制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アドレス変換装置、情報処理システム及び情報処理システムの制御方法に関する。
【背景技術】
【０００２】
ＩａａＳ（Infrastructure as a Service）と呼ばれるクラウドサービスにおいては、コンピュータシステムを構築及び稼働させるための基盤がネットワークを介してユーザに提供される。基盤とは、例えば、コンピューティングリソース、ポータル、関連パッケージ及びコンピューティングリソースへのコンソール接続機能等である。
【０００３】
或るクラウドサービスにおいては、クラウドサービスを提供するサーバ（以下、サービスサーバと呼ぶ）に対して、ユーザの端末がグローバルＩＰ（Internet Protocol）アドレスを使用してインターネットを介してアクセスを行う。しかし、このようなサービス提供形態の場合、ユーザのＩＤ及びパスワードの盗難によって第三者によるなりすましが発生する可能性がある。また、サービスサーバへのアクセスに共通回線が使用されるため、第三者に対する情報漏洩が発生する可能性もある。
【０００４】
このような問題に関して、共通回線ではなく専用線を使用する技術が存在するが、専用線を使用すると異なるテナント間でユーザのプライベートＩＰアドレスが重複することがある。この場合、サービスサーバがＩＰアドレスによってユーザを識別することができず、クラウドサービスの提供に支障が発生する。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１２−２２２４６１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
本発明の目的は、１つの側面では、ネットワークを介して提供するサービスのセキュリティを高めるための技術を提供することである。
【課題を解決するための手段】
【０００７】
一態様に係るアドレス変換装置は、第１の情報処理装置から、コンテンツの要求パケットを受信する受信部と、要求パケットに含まれる第１の送信元アドレスを、要求パケットの通信経路に対応する変換表を用いて第２の送信元アドレスに変換する変換部と、要求パケットを、コンテンツを提供するか否かを要求パケットに含まれる第２の送信元アドレスに基づき判定する第２の情報処理装置に送信する送信部とを有する。
【発明の効果】
【０００８】
１つの側面では、ネットワークを介して提供するサービスのセキュリティを高めることができるようになる。
【図面の簡単な説明】
【０００９】
【図１】図１は、第１の実施の形態のシステム構成を示す図である。
【図２】図２は、第１の実施のアドレス変換部の機能ブロック図である。
【図３】図３は、ゲートウェイサーバのハードウエア構成図である。
【図４】図４は、第１の実施の変換表格納部に格納される変換表の一例を示す図である。
【図５】図５は、第１の実施のサービスサーバの機能ブロック図である。
【図６】図６は、サービスサーバのハードウエア構成図である。
【図７】図７は、第１の実施の照合データ格納部に格納されているデータの一例を示す図である。
【図８】図８は、コンテンツ格納部に格納されるデータの一例を示す図である。
【図９】図９は、第１の実施の形態のアドレス変換の具体例を示す図である。
【図１０】図１０は、第１の実施の形態のシステムにおいて実行される処理の処理フローを示す図である。
【図１１】図１１は、サービスサーバが実行する処理の処理フローを示す図である。
【図１２】図１２は、サービスサーバがサービス申請に対する登録をする処理の処理フローを示す図である。
【図１３】図１３は、第２の実施の形態のシステム構成を示す図である。
【図１４】図１４は、ＶＳＷによる中継に使用される中継表の一例を示す図である。
【図１５】図１５は、第２の実施のアドレス変換部の機能ブロック図である。
【図１６】図１６は、第２の実施の変換表格納部に格納される変換表の一例を示す図である。
【図１７】図１７は、仮想サービスサーバの機能ブロック図である。
【図１８】図１８は、第２の実施の照合データ格納部に格納されているデータの一例を示す図である。
【図１９】図１９は、情報処理装置のハードウエア構成図である。
【図２０】図２０は、第２の実施の形態のシステムにおいて実行される処理の処理フローを示す図である。
【図２１】図２１は、仮想サービスサーバがサービス申請に対する登録をする処理の処理フローを示す図である。
【図２２】図２２は、第３の実施の形態のアドレス変換部の機能ブロック図である。
【図２３】図２３は、アクセス制御データ格納部に格納されるデータの一例を示す図である。
【図２４】図２４は、第３の実施の形態のシステムにおいて実行される処理の処理フローを示す図である。
【図２５】図２５は、フィルタリング処理の処理フローを示す図である。
【発明を実施するための形態】
【００１０】
［実施の形態１］
図１は、第１の実施の形態のシステム構成を示す図である。サービスサーバ７は、ユーザの端末５ａ乃至５ｃに対してクラウドサービスを提供する物理サーバであり、端末５ａ乃至５ｃに提供するコンテンツ（例えば、パッチセットのデータやコンソール接続機能についてのデータ等）を管理する。
【００１１】
ゲートウェイサーバ１は、端末５ａ乃至５ｃとサービスサーバ７との間で転送されるパケットを中継する物理サーバであり、端末５ａ乃至５ｃの通信経路毎にアドレス変換部を有する。図１の例においては、アドレス変換部１００ａは通信経路１１ａに対応し、アドレス変換部１００ｂは通信経路１１ｂに対応し、アドレス変換部１００ｃは通信経路１１ｃに対応する。アドレス変換部１００ａ乃至１００ｃは、仮想サーバとして実現される。
【００１２】
端末５ａ乃至５ｃは、例えば専用線を介してサービスサーバ７との通信を行う。図１の例においては、端末５ａ乃至５ｃはそれぞれ異なるテナントに属しており、端末５ａの操作者はユーザ１であり、端末５ｂの操作者はユーザ２であり、端末５ｃの操作者はユーザ３である。
【００１３】
物理サーバ９ａ乃至９ｃは、クラウドサービスによって端末５ａ乃至５ｃに割り当てられる物理リソースを含み、物理サーバ９ａ乃至９ｃ上では仮想マシンが動作する。具体的には、端末５ａのユーザ１は物理サーバ９ａを利用し、端末５ｂのユーザ２は物理サーバ９ｂを利用し、端末５ｃのユーザ１は物理サーバ９ｃを利用する。
【００１４】
ルータ３ａ乃至３ｃは、端末５ａ乃至５ｃとサービスサーバ７との間で転送されるパケットを中継する中継装置である。図１において、破線より右側の部分はクラウドサービス環境に相当する。
【００１５】
なお、図１において端末の数は３であるが数に限定は無い。
【００１６】
図２は、アドレス変換部１００ａの機能ブロック図である。アドレス変換部１００ａは、変換部１０１と、変換表格納部１０３と、仮想的なポートに相当するＶＮＥＴ（Virtual Network）１０５と、仮想的なネットワークインタフェースカードに相当するＶＮＩＣ（Virtual Network Interface Card）１０７とを含む。
【００１７】
変換部１０１は、ＶＮＥＴ１０５を介して受信した要求パケットに含まれるＩＰアドレスを、変換表格納部１０３に格納されている変換表を用いて変換し、ＩＰアドレスが変換された要求パケットをＶＮＩＣ１０７に出力する。また、変換部１０１は、ＶＮＩＣ１０７を介して受信した応答パケットに含まれるＩＰアドレスを、変換表格納部１０３に格納されている変換表を用いて変換し、ＩＰアドレスが変換された応答パケットをＶＮＥＴ１０５に出力する。
【００１８】
変換部１０１、ＶＮＥＴ１０５及びＶＮＩＣ１０７は、図３におけるメモリ１５３に格納されたプログラムが図３におけるＣＰＵ（Central Processing Unit）１５１によって実行されることで実現される。変換表格納部１０３は、例えば、メモリ１５３又は図３におけるＨＤＤ（Hard Disk Drive）１５５に設けられる。
【００１９】
なお、アドレス変換部１００ｂ及びアドレス変換部１００ｃの機能ブロック構成はアドレス変換部１００ａの機能ブロック構成と同じである。但し、アドレス変換部１００ａ乃至１００ｃは、それぞれ異なる変換表を有している。
【００２０】
図４は、変換表格納部１０３に格納される変換表の一例を示す図である。変換表は、ＶＮＥＴ及びＶＮＩＣのそれぞれについて、変換前のＩＰアドレスと変換後のＩＰアドレスとを格納する。図４の例では、ＶＮＥＴ１０５を介して受信した要求パケットに含まれるＩＰアドレスは、１行目のエントリ又は２行目のエントリを用いて変換され、ＶＮＩＣ１０７を介して受信した応答パケットに含まれるＩＰアドレスは、３行目のエントリ又は４行目のエントリを用いて変換される。
【００２１】
図５は、サービスサーバ７の機能ブロック図である。サービスサーバ７は、サービス処理部７０１と、照合データ格納部７０３と、コンテンツ格納部７０５とを含む。サービス処理部７０１は、ゲートウェイサーバ１を介して端末５ａ乃至５ｃから受信した要求パケットに含まれるデータと、照合データ格納部７０３に格納されているデータとに基づき、要求パケットが真正のユーザの端末から受信した要求パケットであるか判定する。要求パケットが真正のユーザの端末から受信した要求パケットである場合、サービス処理部７０１は、コンテンツ格納部７０５から読み出したコンテンツを含む応答パケットを、要求パケットの送信元のユーザの端末に対して送信する。
【００２２】
なお、サービス処理部７０１は、図６におけるメモリ７５３に格納されたプログラムが図６におけるＣＰＵ７５１によって実行されることで実現される。照合データ格納部７０３及びコンテンツ格納部７０５は、例えば、メモリ７５３又は図６におけるＨＤＤ７５５に設けられる。
【００２３】
図７は、照合データ格納部７０３に格納されているデータの一例を示す図である。図７の例では、ユーザの識別情報（本実施の形態においては、アカウント名等のユーザアカウント情報）と、認証情報（本実施の形態においてはパスワード）と、変換後の送信元ＩＰアドレスとが格納される。ユーザの識別情報および認証情報は、端末へのログイン等に使用される。
【００２４】
図８（ａ）乃至図８（ｃ）は、コンテンツ格納部７０５に格納されるデータの一例を示す図である。図８（ａ）においては、ユーザ毎にポータルについてのデータが格納されている。図８（ｂ）においては、ユーザ毎にパッチについてのデータが格納されている。図８（ｃ）においては、ユーザ毎にコンソール接続についてのデータが格納されている。
【００２５】
図９は、第１の実施の形態のアドレス変換の具体例を示す図である。ここでは、図４に示した変換表を用いてアドレス変換が行われるとする。例えば、端末５ａが、送信元ＩＰアドレスが「１９２．１６８．０．１０」であり且つ宛先ＩＰアドレスが「１９２．１６８．０．１３０」である要求パケットを送信したとする。ゲートウェイサーバ１のアドレス変換部１００ａは、ＶＮＥＴ１０５を介して要求パケットを受信し、変換表格納部１０３に格納されている変換表を用いて送信元ＩＰアドレス及び宛先ＩＰアドレスを変換する。具体的には、送信元ＩＰアドレスは仮想サーバであるアドレス変換部１００ａのサービスサーバ側ＩＰアドレス「１７２．１６８．４．８」に変換され、宛先ＩＰアドレスは「１９２．１６８．０．１３０」から「１７２．１６８．４．２３０」に変換される。アドレスが変換された要求パケットは、サービスサーバ７に転送される。
【００２６】
サービスサーバ７は、受信した要求パケットに含まれる送信元ＩＰアドレス並びにユーザの識別情報及び認証情報を用いて照合を実行し、真正のユーザの端末から送信された要求パケットであることを確認する。真正のユーザの端末から送信された要求パケットであることが確認されると、サービスサーバ７は、要求されたコンテンツを含む応答パケットを送信する。応答パケットの送信元ＩＰアドレスは「１７２．１６８．４．２３０」であり、応答パケットの宛先ＩＰアドレスは「１７２．１６８．４．８」である。
【００２７】
ゲートウェイサーバ１のアドレス変換部１００ａは、ＶＮＩＣ１０７を介して応答パケットを受信し、変換表格納部１０３に格納されている変換表を用いて送信元ＩＰアドレス及び宛先ＩＰアドレスを変換する。具体的には、送信元ＩＰアドレスは仮想サーバであるアドレス変換部１００ａの端末側ＩＰアドレス「１９２．１６８．０．１３０」に変換され、宛先ＩＰアドレスは「１７２．１６８．４．８」から「１９２．１６８．０．１０」に変換される。
【００２８】
次に、図１０乃至図１２を用いて、第１の実施の形態において実行される処理について説明する。ここでは、端末５ａがコンテンツの要求パケットを送信するものとする。
【００２９】
端末５ａは、サービスサーバ７が管理するコンテンツの要求パケットを生成する。要求パケットは、ユーザの識別情報、認証情報、送信元ＩＰアドレス及び宛先ＩＰアドレス等を含む。そして、端末５ａは、生成した要求パケットを送信する（図１０：ステップＳ１）。
【００３０】
ゲートウェイサーバ１のアドレス変換部１００ａの変換部１０１は、ＶＮＥＴ１０５を介して、ステップＳ１において送信された要求パケットを受信する（ステップＳ３）。
【００３１】
変換部１０１は、ステップＳ３において受信した要求パケットの通信経路（ここでは、通信経路１１ａ）に対応する変換表を用いて、要求パケットに含まれる送信元ＩＰアドレス及び宛先ＩＰアドレスを変換する（ステップＳ５）。
【００３２】
変換部１０１は、変換後の送信元ＩＰアドレスと変換後の宛先ＩＰアドレスとを含む要求パケット（すなわち、送信元ＩＰアドレスと宛先ＩＰアドレスとが変換された要求パケット）を、ＶＮＩＣ１０７を介してサービスサーバ７に送信する（ステップＳ７）。
【００３３】
サービスサーバ７のサービス処理部７０１は、ゲートウェイサーバ１が送信した要求パケットを受信する（ステップＳ９）。
【００３４】
サービス処理部７０１は、受信した要求パケットに含まれるユーザの識別情報、認証情報及び変換後の送信元ＩＰアドレスの組合せと同じ組合せのエントリが照合データ格納部７０３に格納されているか判定する（ステップＳ１１）。
【００３５】
サービス処理部７０１は、照合が成功した場合（すなわち、対象の組合せと同じ組合せのエントリが照合データ格納部７０３に格納されている場合）、要求パケットに含まれる宛先ＩＰアドレスにて特定されるコンテンツを、コンテンツ格納部７０５から読み出す（ステップＳ１３）。
【００３６】
サービス処理部７０１は、ステップＳ１３において読み出したコンテンツを含む応答パケットを、要求パケットの送信元を宛先とし且つ要求パケットの宛先を送信元として送信する（ステップＳ１５）。応答パケットは、宛先ＩＰアドレスと同じＩＰアドレスを有するアドレス変換部（ここでは、アドレス変換部１００ａ）に転送される。
【００３７】
アドレス変換部１００ａの変換部１０１は、ＶＮＩＣ１０７を介して応答パケットを受信する。そして、変換部１０１は、応答パケットが送信される通信経路（ここでは、通信経路１１ａ）に対応する変換表を用いて、応答パケットに含まれる送信元ＩＰアドレス及び宛先ＩＰアドレスを変換する（ステップＳ１７）。
【００３８】
変換部１０１は、変換後の送信元ＩＰアドレスと変換後の宛先ＩＰアドレスとを含む応答パケット（すなわち、送信元ＩＰアドレスと宛先ＩＰアドレスとが変換された応答パケット）を、ＶＮＥＴ１０５を介して端末５ａに送信する（ステップＳ１８）。
【００３９】
そして、端末５ａは、ゲートウェイサーバ１からの応答パケットを受信する（ステップＳ１９）。
【００４０】
以上のように、第１の実施の形態においては、物理的な通信経路毎に、プロキシとして動作するアドレス変換部が設けられており、各アドレス変換部はそれぞれ異なる変換表を用いてアドレス変換を実行する。変換後の送信元ＩＰアドレスは、アドレス変換部のＩＰアドレスに相当する。このＩＰアドレスを用いれば、真正な通信経路からアクセスされたか否かを確認することができるので、不正アクセスを防止し、セキュリティを高めることができるようになる。
【００４１】
図１１は、ステップＳ９乃至Ｓ１５においてサービスサーバ７が実行する処理の詳細な処理フローを示す図である。
【００４２】
まず、サービスサーバ７のサービス処理部７０１は、ゲートウェイサーバ１が送信した要求パケットを受信する（図１１：ステップＳ２１）。
【００４３】
サービス処理部７０１は、受信した要求パケットに含まれるユーザの識別情報、認証情報及び変換後の送信元ＩＰアドレスを読み出す（ステップＳ２３）。
【００４４】
サービス処理部７０１は、ステップＳ２３において読み出したユーザの識別情報、認証情報及び変換後の送信元ＩＰアドレスの組合せと同じ組合せのエントリが照合データ格納部７０３に格納されているか判定する（ステップＳ２５）。
【００４５】
対象の組合せと同じ組合せのエントリが照合データ格納部７０３に格納されていない場合（ステップＳ２７：Ｎｏルート）、要求パケットの送信元の端末は真正のユーザの端末ではない可能性がある。そのため処理は終了する。
【００４６】
一方、対象の組合せと同じ組合せのエントリが照合データ格納部７０３に格納されている場合（ステップＳ２７：Ｙｅｓルート）、サービス処理部７０１は、以下の処理を実行する。具体的には、サービス処理部７０１は、ステップＳ２３において読み出したユーザの識別情報に対応するコンテンツであって要求パケットの宛先ＩＰアドレスにて特定されるコンテンツをコンテンツ格納部７０５から読み出す（ステップＳ２９）。
【００４７】
サービス処理部７０１は、ステップＳ２９において読み出されたコンテンツを含む応答パケットを、要求パケットの送信元ＩＰアドレスを宛先ＩＰアドレスとし且つ要求パケットの宛先ＩＰアドレスを送信元ＩＰアドレスとして、ゲートウェイサーバ１に送信する（ステップＳ３１）。そして処理は終了する。
【００４８】
図１２は、サービスサーバ７がサービス申請に対する登録をする処理の処理フローを示す図である。本処理は、例えば、サービスサーバ７にサービス申請データが登録されたときに実行される。
【００４９】
まず、サービス処理部７０１は、サービス申請データをサービスサーバ７のＨＤＤ７５５から読み出す（図１２：ステップＳ４１）。サービス申請データは、例えば、ユーザの識別情報、ユーザが属するテナントのＩＤ及び認証情報等を含む。
【００５０】
サービス処理部７０１は、サービス申請データに係るユーザの端末の通信経路に対応するアドレス変換部を、ゲートウェイサーバ１に生成させる（ステップＳ４３）。生成されたアドレス変換部の変換表は、他のアドレス変換部の変換表とは異なる。
【００５１】
サービス処理部７０１は、サービス申請データに含まれるユーザの識別情報及び認証情報と変換後の送信元ＩＰアドレス（すなわち、ステップＳ４３において生成されたアドレス変換部のサービスサーバ７側ＩＰアドレス）とを含むエントリを、照合データ格納部７０３に登録する（ステップＳ４５）。
【００５２】
サービス処理部７０１は、サービス申請データに係るユーザのコンテンツをユーザの識別情報に対応付けてコンテンツ格納部７０５に格納する（ステップＳ４７）。そして処理は終了する。
【００５３】
以上のような処理を実行すれば、クラウドサービスの提供を受ける新たなユーザの認証を適切に実行することができるようになる。
【００５４】
［実施の形態２］
第１の実施の形態においては物理的な通信経路毎にアドレス変換部が生成されるが、第２の実施の形態においては仮想的な通信経路毎にアドレス変換部が生成される。
【００５５】
図１３は、第２の実施の形態のシステム構成を示す図である。第２の実施の形態における情報処理装置２は、仮想化ソフトウエアであるハイパバイザ２３を実行し、ハイパバイザ２３上では仮想ゲートウェイサーバ２１及び仮想サービスサーバ２２が動作する。
【００５６】
ハイパバイザ２３は、仮想スイッチであるＶＳＷ（Virtual SWitch）２３１及び２３３と、仮想的なポートに相当するＶＮＥＴ２３２ａ乃至２３２ｅとを含む。ＶＮＥＴ２３２ｅは、仮想サービスサーバ２２に仮想的に接続される。
【００５７】
仮想ゲートウェイサーバ２１は、アドレス変換部２１０ａ乃至２１０ｃと、ＶＮＩＣ２１１ａ乃至２１１ｃとを含む。アドレス変換部２１０ａはＶＬＡＮ（Virtual Local Area Network） ＩＤが「１０」であるテナント１に対応しており、ＶＮＥＴ２３２ａからのパケットを受信する。アドレス変換部２１０ｂはＶＬＡＮ ＩＤが「２０」であるテナント２に対応しており、ＶＮＥＴ２３２ｂからのパケットを受信する。アドレス変換部２１０ｃはＶＬＡＮ ＩＤが「３０」であるテナント３に対応しており、ＶＮＥＴ２３２ｃからのパケットを受信する。ＶＮＥＴ２３２ａとアドレス変換部２１０ａとの間の通信経路２１２ａ、ＶＮＥＴ２３２ｂとアドレス変換部２１０ｂとの間の通信経路２１２ｂ、及びＶＮＥＴ２３２ｃとアドレス変換部２１０ｃとの間の通信経路２１２ｃは、仮想的な通信経路である。アドレス変換部２１０ａにおいてアドレスが変換されたパケットはＶＮＩＣ２１１ａから出力され、アドレス変換部２１０ｂにおいてアドレスが変換されたパケットはＶＮＩＣ２１１ｂから出力され、アドレス変換部２１０ｃにおいてアドレスが変換されたパケットはＶＮＩＣ２１１ｃから出力される。
【００５８】
端末５ｄ乃至５ｆは、同一のテナント（ここではテナント１）に属しており且つ同一のルータ（ここではルータ３ｄ）に接続される。端末５ｄの操作者はユーザ１１であり、端末５ｅの操作者はユーザ１２であり、端末５ｆの操作者はユーザ１３である。
【００５９】
物理サーバ９ｄは、クラウドサービスによって端末５ｄ乃至５ｆに割り当てられる物理リソースを含み、物理サーバ９ｄ上では仮想マシンが動作する。具体的には、端末５ｄ乃至５ｆのユーザは物理サーバ９ｄを利用する。
【００６０】
ルータ３ｄは、端末５ｄ乃至５ｆと情報処理装置２との間で転送されるパケットを中継する中継装置である。
【００６１】
なお、図１３において端末の数は３であるが数に限定は無い。
【００６２】
図１４は、ＶＳＷ２３１による中継に使用される中継表の一例を示す図である。ＶＳＷ２３１は、端末５ｄ乃至５ｆから受信したパケットからＶＬＡＮ ＩＤを読み出し、読み出したＶＬＡＮ ＩＤに対応するＶＮＥＴを中継表から特定する。そして、ＶＳＷ２３１は、特定されたＶＮＥＴにパケットを出力する。
【００６３】
図１５は、アドレス変換部２１０ａの機能ブロック図である。アドレス変換部２１０ａは、変換部２１０１と、変換表格納部２１０３とを含む。アドレス変換部２１０ａは、例えば仮想サーバとして実現される。
【００６４】
変換部２１０１は、ＶＮＥＴ２３２ａを介して受信した要求パケットに含まれるＩＰアドレスを、変換表格納部２１０３に格納されている変換表を用いて変換し、ＩＰアドレスが変換された要求パケットをＶＮＩＣ２１１ａに出力する。また、変換部２１０１は、ＶＮＩＣ２１１ａを介して受信した応答パケットに含まれるＩＰアドレスを、変換表格納部２１０３に格納されている変換表を用いて変換し、ＩＰアドレスが変換された応答パケットをＶＮＥＴ２３２ａに出力する。
【００６５】
なお、アドレス変換部２１０ｂ及びアドレス変換部２１０ｃの機能ブロック構成はアドレス変換部２１０ａの機能ブロック構成と同じである。但し、アドレス変換部２１０ａ乃至２１０ｃは、それぞれ異なる変換表を有している。
【００６６】
図１６は、変換表格納部２１０３に格納される変換表の一例を示す図である。変換表は、ＶＮＥＴ及びＶＮＩＣのそれぞれについて、変換前のＩＰアドレスと変換後のＩＰアドレスとを格納する。図１６の例では、ＶＮＥＴ２３２ａを介して受信した要求パケットに含まれるＩＰアドレスは、１行目から３行目までのエントリを用いて変換され、ＶＮＩＣ２１１ａを介して受信した応答パケットに含まれるＩＰアドレスは、４行目から６行目までのエントリを用いて変換される。
【００６７】
図１７は、仮想サービスサーバ２２の機能ブロック図である。仮想サービスサーバ２２は、サービス処理部２２０１と、照合データ格納部２２０３と、コンテンツ格納部２２０５とを含む。サービス処理部２２０１は、仮想ゲートウェイサーバ２１を介して端末５ｄ乃至５ｆから受信した要求パケットに含まれるデータと、照合データ格納部２２０３に格納されているデータとに基づき、要求パケットが真正のユーザの端末から受信した要求パケットであるか判定する。要求パケットが真正のユーザの端末から受信した要求パケットである場合、サービス処理部２２０１は、コンテンツ格納部２２０５から読み出したコンテンツを含む応答パケットを、要求パケットの送信元のユーザの端末に対して送信する。
【００６８】
図１８は、照合データ格納部２２０３に格納されているデータの一例を示す図である。図１８の例では、ユーザの識別情報（本実施の形態においては、アカウント名等のユーザアカウント情報）と、認証情報（本実施の形態においてはパスワード）と、ユーザが属するテナントの識別情報と、変換後の送信元ＩＰアドレスとが格納される。ユーザの識別情報および認証情報は、端末へのログイン等に使用される。
【００６９】
図１９は、情報処理装置２のハードウエア構成図である。情報処理装置２は、１又は複数のＣＰＵ２５１と、１又は複数のメモリ２５３と、１又は複数のＨＤＤ２５５とを有する。図１３に示したハイパバイザ２３、仮想ゲートウェイサーバ２１及び仮想サービスサーバ２２は、図１９に示したメモリ２５３にロードされたプログラムが図１９に示したＣＰＵ２５１によって実行されることで実現される。なお、変換表格納部２１０３、照合データ格納部２２０３及びコンテンツ格納部２２０５は、メモリ２５３又はＨＤＤ２５５に設けられる。
【００７０】
次に、図２０及び図２１を用いて、第２の実施の形態において実行される処理について説明する。ここでは、端末５ｄがコンテンツの要求パケットを送信するものとする。
【００７１】
端末５ｄは、仮想サービスサーバ２２が管理するコンテンツの要求パケットを生成する。要求パケットは、ユーザの識別情報、認証情報、テナントＩＤ、送信元ＩＰアドレス及び宛先ＩＰアドレス等を含む。そして、端末５ｄは、生成した要求パケットを情報処理装置２に送信する（図２０：ステップＳ５１）。
【００７２】
仮想ゲートウェイサーバ２１のアドレス変換部２１０ａの変換部２１０１は、ＶＮＥＴ２３２ａを介して、ステップＳ５１において送信された要求パケットを受信する（ステップＳ５３）。
【００７３】
変換部２１０１は、ステップＳ５３において受信した要求パケットに含まれるＶＬＡＮ ＩＤに対応する変換表を用いて、要求パケットに含まれる送信元ＩＰアドレス及び宛先ＩＰアドレスを変換する（ステップＳ５５）。
【００７４】
変換部２１０１は、変換後の送信元ＩＰアドレスと変換後の宛先ＩＰアドレスとを含む要求パケット（すなわち、送信元ＩＰアドレスと宛先ＩＰアドレスとが変換された要求パケット）を、ＶＮＩＣ２１１ａに出力する（ステップＳ５７）。
【００７５】
仮想サービスサーバ２２のサービス処理部２２０１は、ＶＮＩＣ２１１ａから出力された要求パケットを受信する（ステップＳ５９）。
【００７６】
サービス処理部２２０１は、受信した要求パケットに含まれるユーザの識別情報、認証情報、テナントＩＤ及び変換後の送信元ＩＰアドレスの組合せと同じ組合せのエントリが照合データ格納部２２０３に格納されているか判定する（ステップＳ６１）。
【００７７】
サービス処理部２２０１は、照合が成功した場合（すなわち、対象の組合せと同じ組合せのエントリが照合データ格納部２２０３に格納されている場合）、要求パケットに含まれるテナントＩＤに対応するコンテンツであって要求パケットに含まれる宛先ＩＰアドレスにて特定されるコンテンツを、コンテンツ格納部２２０５から読み出す（ステップＳ６３）。ステップＳ６３においては、要求パケットに含まれる宛先ＩＰアドレスにて特定されるコンテンツが読み出される。
【００７８】
サービス処理部２２０１は、ステップＳ６３において読み出したコンテンツを含む応答パケットを、要求パケットの送信元を宛先とし且つ要求パケットの宛先を送信元として送信する（ステップＳ６５）。応答パケットは、宛先ＩＰアドレスと同じＩＰアドレスを有するアドレス変換部（ここでは、アドレス変換部２１０ａ）に転送される。
【００７９】
アドレス変換部２１０ａの変換部２１０１は、ＶＮＩＣ２１１ａを介して応答パケットを受信する。そして、変換部２１０１は、応答パケットに含まれるＶＬＡＮ ＩＤに対応する変換表を用いて、応答パケットに含まれる送信元ＩＰアドレス及び宛先ＩＰアドレスを変換する（ステップＳ６７）。なお、図１６の４行目および５行目に示したように、１つの変換前ＩＰアドレスに対して複数の変換後ＩＰアドレスが対応付けられる場合がある。このような場合には、応答パケットに含まれるポートＩＤをさらに用いて、適切な変換後ＩＰアドレスが特定される。但し、ポートＩＤは一例であり、ポートＩＤ以外の情報（例えばセッションＩＤ）を用いてもよい。
【００８０】
変換部２１０１は、変換後の送信元ＩＰアドレスと変換後の宛先ＩＰアドレスとを含む応答パケット（すなわち、送信元ＩＰアドレスと宛先ＩＰアドレスとが変換された応答パケット）を、ＶＮＥＴ２３２ａに出力する（ステップＳ６８）。
【００８１】
そして、端末５ｄは、ＶＮＥＴ２３２ａから出力された応答パケットを受信する（ステップＳ６９）。
【００８２】
以上のように、第２の実施の形態においては、仮想的な通信経路毎に、プロキシとして動作するアドレス変換部が設けられており、各アドレス変換部はそれぞれ異なる変換表を用いてアドレス変換を実行する。変換後の送信元ＩＰアドレスは、アドレス変換部のＩＰアドレスに相当する。このＩＰアドレスを用いれば、真正な通信経路からアクセスされたか否かを確認することができるので、不正アクセスを防止し、セキュリティを高めることができるようになる。
【００８３】
図２１は、仮想サービスサーバ２２がサービス申請に対する登録をする処理の処理フローを示す図である。本処理は、例えば、仮想サービスサーバ２２にサービス申請データが登録されたときに実行される。
【００８４】
まず、サービス処理部２２０１は、サービス申請データを仮想サービスサーバ２２のＨＤＤ２５５から読み出す（図２１：ステップＳ７１）。サービス申請データは、例えば、ユーザの識別情報、ユーザが属するテナントのＩＤ、ＶＬＡＮ ＩＤ及び認証情報等を含む。
【００８５】
サービス処理部２２０１は、サービス申請データに含まれるＶＬＡＮ ＩＤに対応するアドレス変換部を、仮想ゲートウェイサーバ２１に生成させる（ステップＳ７３）。生成されたアドレス変換部の変換表は、他のアドレス変換部の変換表とは異なる。
【００８６】
サービス処理部２２０１は、サービス申請データに含まれるＶＬＡＮ ＩＤに対応するＶＮＥＴをハイパバイザ２３に生成させ、サービス申請データに含まれるＶＬＡＮ ＩＤに対応するＶＮＩＣを仮想ゲートウェイサーバ２１に生成させる（ステップＳ７５）。
【００８７】
サービス処理部２２０１は、ステップＳ７３において生成されたアドレス変換部に、ステップＳ７５において生成されたＶＮＥＴ及びＶＮＩＣを割り当てる（ステップＳ７７）。具体的には、アドレス変換部とＶＮＥＴとの間の仮想的な通信経路およびアドレス変換部とＶＮＩＣとの間の仮想的な通信経路が生成される。
【００８８】
サービス処理部２２０１は、サービス申請データに含まれるユーザの識別情報、認証情報及びテナントＩＤと変換後の送信元ＩＰアドレス（すなわち、ステップＳ７３において生成されたアドレス変換部の仮想サービスサーバ２２側ＩＰアドレス）とを含むエントリを、照合データ格納部２２０３に登録する（ステップＳ７９）。
【００８９】
サービス処理部２２０１は、サービス申請データに係るユーザが属するテナントのコンテンツを、テナントＩＤに対応付けてコンテンツ格納部２２０５に格納する（ステップＳ８１）。そして処理は終了する。
【００９０】
以上のような処理を実行すれば、仮想化技術により実現されたシステムが提供するクラウドサービスの新たなユーザの認証を、適切に実行することができるようになる。
【００９１】
［実施の形態３］
第３の実施の形態においては、アドレス変換部においてパケットのフィルタリングを行うことで、仮想サービスサーバ２２のコンテンツに対するアクセスが制限される。
【００９２】
第３の実施の形態におけるシステム構成の基本的な部分は第２の実施の形態におけるシステム構成と同じであるが、アドレス変換部の機能ブロック構成が異なる。図２２は、第３の実施の形態におけるアドレス変換部２１０ａの機能ブロック図である。アドレス変換部２１０ａは、変換部２１０１と、変換表格納部２１０３と、アクセス制御データ格納部２１０５とを含む。
【００９３】
変換部２１０１は、ＶＮＥＴ２３２ａを介して受信した要求パケットに含まれるＩＰアドレスを、変換表格納部２１０３に格納されている変換表を用いて変換し、ＩＰアドレスが変換された要求パケットをＶＮＩＣ２１１ａに出力する。また、変換部２１０１は、ＶＮＩＣ２１１ａを介して受信した応答パケットに含まれるＩＰアドレスを、変換表格納部２１０３に格納されている変換表を用いて変換し、ＩＰアドレスが変換された応答パケットをＶＮＥＴ２３２ａに出力する。また、変換部２１０１は、ＶＮＥＴ２３２ａを介して受信した要求パケットに含まれるプロトコルタイプの情報とアクセス制御データ格納部２１０５に格納されているデータとに基づき、要求パケットのフィルタリングを行う。
【００９４】
なお、アドレス変換部２１０ｂ及びアドレス変換部２１０ｃの機能ブロック構成はアドレス変換部２１０ａの機能ブロック構成と同じである。但し、アドレス変換部２１０ａ乃至２１０ｃは、それぞれ異なる変換表を有している。
【００９５】
図２３は、アクセス制御データ格納部２１０５に格納されるデータの一例を示す図である。図２３の例では、変換前の送信元ＩＰアドレスと、プロトコルタイプの情報と、アクセスが許可されるか否かを示すデータ（以下、アクセス制御データと呼ぶ）とが格納される。
【００９６】
図２４及び図２５を用いて、第３の実施の形態において実行される処理について説明する。ここでは、端末５ｄがコンテンツの要求パケットを送信するものとする。
【００９７】
端末５ｄは、仮想サービスサーバ２２が管理するコンテンツの要求パケットを生成する。要求パケットは、ユーザの識別情報、認証情報、テナントＩＤ、送信元ＩＰアドレス及び宛先ＩＰアドレス等を含む。そして、端末５ｄは、生成した要求パケットを情報処理装置２に送信する（図２４：ステップＳ９１）。
【００９８】
仮想ゲートウェイサーバ２１のアドレス変換部２１０ａの変換部２１０１は、ＶＮＥＴ２３２ａを介して、ステップＳ９１において送信された要求パケットを受信する（ステップＳ９３）。
【００９９】
そして、変換部２１０１は、フィルタリング処理を実行する（ステップＳ９５）。フィルタリング処理については、図２５を用いて説明する。
【０１００】
まず、変換部２１０１は、要求パケットから送信元ＩＰアドレス及びプロトコルタイプの情報を読み出す。そして、変換部２１０１は、要求パケットの送信元ＩＰアドレス及びプロトコルタイプに対応するアクセス制御データを、アクセス制御データ格納部２１０５から読み出す（図２５：ステップＳ１２１）。
【０１０１】
変換部２１０１は、読み出したアクセス制御データに基づき、要求パケットのアクセスが許可されているか判定する（ステップＳ１２３）。要求パケットのアクセスが許可されている場合（ステップＳ１２３：Ｙｅｓルート）、処理は呼び出し元に戻る。
【０１０２】
一方、要求パケットのアクセスが許可されていない場合（ステップＳ１２３：Ｎｏルート）、変換部２１０１は、要求パケットを廃棄する（ステップＳ１２５）。そして処理は終了する。
【０１０３】
図２４の説明に戻り、変換部２１０１は、要求パケットのアクセスが許可されている場合、要求パケットに含まれるＶＬＡＮ ＩＤ（すなわち、仮想的な通信経路２１２ａ）に対応する変換表を用いて、要求パケットに含まれる送信元ＩＰアドレス及び宛先ＩＰアドレスを変換する（ステップＳ９７）。
【０１０４】
変換部２１０１は、変換後の送信元ＩＰアドレスと変換後の宛先ＩＰアドレスとを含む要求パケット（すなわち、送信元ＩＰアドレスと宛先ＩＰアドレスとが変換された要求パケット）を、ＶＮＩＣ２１１ａに出力する（ステップＳ９９）。
【０１０５】
仮想サービスサーバ２２のサービス処理部２２０１は、ＶＮＩＣ２１１ａから出力された要求パケットを受信する（ステップＳ１０１）。
【０１０６】
サービス処理部２２０１は、受信した要求パケットに含まれるユーザの識別情報、認証情報、テナントＩＤ及び変換後の送信元ＩＰアドレスの組合せと同じ組合せのエントリが照合データ格納部２２０３に格納されているか判定する（ステップＳ１０３）。
【０１０７】
サービス処理部２２０１は、照合が成功した場合（すなわち、対象の組合せと同じ組合せのエントリが照合データ格納部２２０３に格納されている場合）、要求パケットに含まれる宛先ＩＰアドレスにて特定されるコンテンツを、コンテンツ格納部２２０５から読み出す（ステップＳ１０５）。ステップＳ１０５においては、要求パケットに含まれるテナントＩＤに対応するコンテンツであって要求パケットに含まれる宛先アドレスにて特定されるコンテンツが読み出される。
【０１０８】
サービス処理部２２０１は、ステップＳ１０５において読み出したコンテンツを含む応答パケットを、要求パケットの送信元を宛先とし且つ要求パケットの宛先を送信元として送信する（ステップＳ１０７）。応答パケットは、宛先ＩＰアドレスと同じＩＰアドレスを有するアドレス変換部（ここでは、アドレス変換部２１０ａ）に転送される。
【０１０９】
アドレス変換部２１０ａの変換部２１０１は、ＶＮＩＣ２１１ａを介して応答パケットを受信する。そして、変換部２１０１は、応答パケットに含まれるＶＬＡＮ ＩＤ（ここでは、仮想的な通信経路２１２ａ）に対応する変換表を用いて、応答パケットに含まれる送信元ＩＰアドレス及び宛先ＩＰアドレスを変換する（ステップＳ１０９）。なお、図１６の４行目および５行目に示したように、１つの変換前ＩＰアドレスに対して複数の変換後ＩＰアドレスが対応付けられる場合がある。このような場合には、応答パケットに含まれるポートＩＤをさらに用いて、適切な変換後ＩＰアドレスが特定される。但し、ポートＩＤは一例であり、ポートＩＤ以外の情報（例えばセッションＩＤ）を用いてもよい。
【０１１０】
変換部２１０１は、変換後の送信元ＩＰアドレスと変換後の宛先ＩＰアドレスとを含む応答パケット（すなわち、送信元ＩＰアドレスと宛先ＩＰアドレスとが変換された応答パケット）を、ＶＮＥＴ２３２ａに出力する（ステップＳ１１１）。
【０１１１】
そして、端末５ｄは、ＶＮＥＴ２３２ａから出力された応答パケットを受信する（ステップＳ１１３）。
【０１１２】
以上のように、第３の実施の形態によれば、たとえ不正アクセスの要求パケットが仮想サービスサーバ２２宛に送信されたとしても、アドレス変換部が要求パケットを排除するので、不正アクセスが発生することを防ぐことができる。
【０１１３】
以上本発明の一実施の形態を説明したが、本発明はこれに限定されるものではない。例えば、上で説明したゲートウェイサーバ１、情報処理装置２及びサービスサーバ７の機能ブロック構成は実際のプログラムモジュール構成に一致しない場合もある。
【０１１４】
また、上で説明した各テーブルの構成は一例であって、上記のような構成でなければならないわけではない。さらに、処理フローにおいても、処理結果が変わらなければ処理の順番を入れ替えることも可能である。さらに、並列に実行させるようにしても良い。
【０１１５】
また、図面に示したＩＰアドレスの値は一例であって、上記のような値でなければならないわけではない。
【０１１６】
また、実施の形態１においても、実施の形態３において説明したフィルタリング処理を実行してもよい。
【０１１７】
以上述べた本発明の実施の形態をまとめると、以下のようになる。
【０１１８】
本実施の形態の第１の態様に係るアドレス変換装置は、（Ａ）第１の情報処理装置から、コンテンツの要求パケットを受信する受信部（例えば、実施の形態におけるＶＮＥＴ１０５）と、（Ｂ）要求パケットに含まれる第１の送信元アドレスを、要求パケットの通信経路に対応する変換表を用いて第２の送信元アドレスに変換する変換部（例えば、実施の形態における変換部１０１）と、（Ｃ）要求パケットを、コンテンツを提供するか否かを要求パケットに含まれる第２の送信元アドレスに基づき判定する第２の情報処理装置に送信する送信部（例えば、実施の形態におけるＶＮＩＣ１０７）とを有する。
【０１１９】
このような構成であれば、通信経路が異なれば異なった送信元アドレスに変換されるようになるので、真正の通信経路から受信した要求パケットとそれ以外の要求パケットとを第２の情報処理装置が区別できるようになる。これにより、コンテンツを提供するサービスのセキュリティを高めることができるようになる。
【０１２０】
また、要求パケットは、第１の情報処理装置へのログインに用いられる識別情報（例えば操作者のユーザアカウント情報等）および認証情報（例えばパスワード）をさらに含んでもよい。そして、第２の情報処理装置はさらに、識別情報および認証情報に基づき、コンテンツを提供するか否かを判定してもよい。
【０１２１】
第２の送信元アドレスが用いられるので、たとえ、識別情報および認証情報が盗まれたとしてもコンテンツに対する不正アクセスが行われることはない。
【０１２２】
また、変換部は、（ｂ１）要求パケットの物理的な通信経路に対応する変換表を用いて、第１の送信元アドレスを第２の送信元アドレスに変換してもよい。
【０１２３】
また、変換部は、（ｂ２）要求パケットの仮想的な通信経路に対応する変換表を用いて、第１の送信元アドレスを第２の送信元アドレスに変換してもよい。
【０１２４】
物理的な通信経路を送信元毎に用意することできないケース等に対しても対処できるようになる。
【０１２５】
また、受信部は、（ａ１）第２の情報処理装置からコンテンツを含む応答パケットを受信してもよい。そして、変換部は、（ｂ３）応答パケットに含まれる第１の宛先アドレスを、要求パケットの通信経路に対応する変換表を用いて第２の宛先アドレスに変換し、送信部は、（ｃ１）第２の宛先アドレスを含む応答パケットを、第１の情報処理装置に送信してもよい。
【０１２６】
応答パケットが適切に送り返されるようになる。
【０１２７】
また、変換部は、（ｂ４）要求パケットに含まれるプロトコル情報に基づき、要求パケットの送信元の端末がコンテンツにアクセスすることが許可されているか判定し、（ｂ５）要求パケットの送信元の端末がコンテンツにアクセスすることが許可されてない場合、要求パケットを廃棄してもよい。
【０１２８】
第２の情報処理装置に要求パケットが到達する前の段階で不適切な要求パケットを廃棄できるようになる。
【０１２９】
本実施の形態の第２の態様に係る情報処理システムは、（Ｄ）第１の情報処理装置（例えば、実施の形態における端末５ａ乃至５ｃ）と、（Ｅ）アドレス変換装置（例えば、実施の形態におけるゲートウェイサーバ１）と、（Ｆ）第２の情報処理装置（例えば、実施の形態におけるサービスサーバ７）とを有する。そして、アドレス変換装置は、（ｅ１）第１の情報処理装置から、コンテンツの要求パケットを受信する受信部（例えば、実施の形態におけるＶＮＥＴ１０５）と、（ｅ２）要求パケットに含まれる第１の送信元アドレスを、要求パケットの通信経路に対応する変換表を用いて第２の送信元アドレスに変換する変換部（例えば、実施の形態における変換部１０１）と、（ｅ３）要求パケットを、第２の情報処理装置に送信する送信部（例えば、実施の形態におけるＶＮＩＣ１０７）とを有する。そして、第２の情報処理装置は、（ｆ１）アドレス変換装置から受信した要求パケットに含まれる第２の送信元アドレスに基づき、コンテンツを提供するか否かを判定する判定部（例えば、実施の形態におけるサービス処理部７０１）を有する。
【０１３０】
本実施の形態の第３の態様に係るアドレス変換方法は、（Ｇ）第１の情報処理装置から、コンテンツの要求パケットを受信し、（Ｈ）要求パケットに含まれる第１の送信元アドレスを、要求パケットの通信経路に対応する変換表を用いて第２の送信元アドレスに変換し、（Ｉ）要求パケットを、コンテンツを提供するか否かを第２の送信元アドレスに基づき判定する第２の情報処理装置に送信してもよい。
【０１３１】
なお、上記方法による処理をプロセッサに行わせるためのプログラムを作成することができ、当該プログラムは、例えばフレキシブルディスク、ＣＤ−ＲＯＭ、光磁気ディスク、半導体メモリ、ハードディスク等のコンピュータ読み取り可能な記憶媒体又は記憶装置に格納される。尚、中間的な処理結果はメインメモリ等の記憶装置に一時保管される。
【０１３２】
以上の実施例を含む実施形態に関し、さらに以下の付記を開示する。
【０１３３】
（付記１）
第１の情報処理装置から、コンテンツの要求パケットを受信する受信部と、
前記要求パケットに含まれる第１の送信元アドレスを、前記要求パケットの通信経路に対応する変換表を用いて第２の送信元アドレスに変換する変換部と、
前記要求パケットを、前記コンテンツを提供するか否かを前記要求パケットに含まれる前記第２の送信元アドレスに基づき判定する第２の情報処理装置に送信する送信部と、
を有するアドレス変換装置。
【０１３４】
（付記２）
前記要求パケットはさらに、前記第１の情報処理装置へのログインに用いられる識別情報および認証情報を含み、
前記第２の情報処理装置はさらに、
前記識別情報および認証情報に基づき、前記コンテンツを提供するか否かを判定する、
付記１記載のアドレス変換装置。
【０１３５】
（付記３）
前記変換部は、
前記要求パケットの物理的な通信経路に対応する変換表を用いて、前記第１の送信元アドレスを前記第２の送信元アドレスに変換する、
付記１又は２記載のアドレス変換装置。
【０１３６】
（付記４）
前記変換部は、
前記要求パケットの仮想的な通信経路に対応する変換表を用いて、前記第１の送信元アドレスを前記第２の送信元アドレスに変換する、
付記１又は２記載のアドレス変換装置。
【０１３７】
（付記５）
前記受信部は、
前記第２の情報処理装置から前記コンテンツを含む応答パケットを受信し、
前記変換部は、
前記応答パケットに含まれる第１の宛先アドレスを、前記要求パケットの通信経路に対応する変換表を用いて第２の宛先アドレスに変換し、
前記送信部は、
前記第２の宛先アドレスを含む前記応答パケットを、前記第１の情報処理装置に送信する、
付記１又は２記載のアドレス変換装置。
【０１３８】
（付記６）
前記変換部は、
前記要求パケットに含まれるプロトコル情報に基づき、前記要求パケットの送信元の端末が前記コンテンツにアクセスすることが許可されているか判定し、
前記要求パケットの送信元の端末が前記コンテンツにアクセスすることが許可されてない場合、前記要求パケットを廃棄する、
付記１乃至４のいずれか１つ記載のアドレス変換装置。
【０１３９】
（付記７）
第１の情報処理装置と、アドレス変換装置と、第２の情報処理装置とを有する情報処理システムにおいて、
前記アドレス変換装置は、
前記第１の情報処理装置から、コンテンツの要求パケットを受信する受信部と、
前記要求パケットに含まれる第１の送信元アドレスを、前記要求パケットの通信経路に対応する変換表を用いて第２の送信元アドレスに変換する変換部と、
前記要求パケットを、前記第２の情報処理装置に送信する送信部と、
を有し、
前記第２の情報処理装置は、
前記アドレス変換装置から受信した前記要求パケットに含まれる前記第２の送信元アドレスに基づき、前記コンテンツを提供するか否かを判定する判定部
を有することを特徴とする情報処理システム。
【０１４０】
（付記８）
第１の情報処理装置と、アドレス変換装置と、第２の情報処理装置とを有する情報処理システムの制御方法において、
前記アドレス変換装置は、前記第１の情報処理装置から、コンテンツの要求パケットを受信し、
前記アドレス変換装置は、前記要求パケットに含まれる第１の送信元アドレスを、前記要求パケットの通信経路に対応する変換表を用いて第２の送信元アドレスに変換し、
前記アドレス変換装置は、前記要求パケットを前記第２の情報処理装置に送信し、
前記第２の情報処理装置は、前記アドレス変換装置から受信した前記要求パケットに含まれる前記第２の送信元アドレスに基づき、前記コンテンツを提供するか否かを判定する、
処理を実行する、情報処理システムの制御方法。
【符号の説明】
【０１４１】
１  ゲートウェイサーバ    １００ａ，１００ｂ，１００ｃ  アドレス変換部
１０１  変換部    １０３  変換表格納部
１０５  ＶＮＥＴ    １０７  ＶＮＩＣ
１５１，２５１，７５１  ＣＰＵ    １５３，２５３，７５３  メモリ
１５５，２５５，７５５  ＨＤＤ
３ａ，３ｂ，３ｃ  ルータ    ５ａ，５ｂ，５ｃ，５ｄ，５ｅ，５ｆ  端末
７  サービスサーバ    ７０１  サービス処理部
７０３  照合データ格納部    ７０５  コンテンツ格納部
９ａ，９ｂ，９ｃ，９ｄ  物理サーバ    １１ａ，１１ｂ，１１ｃ  通信経路
２  情報処理装置    ２１  仮想ゲートウェイサーバ
２１０ａ，２１０ｂ，２１０ｃ  アドレス変換部
２１０１  変換部    ２１０３  変換表格納部
２１０５  アクセス制御データ格納部
２１１ａ，２１１ｂ，２１１ｃ  ＶＮＩＣ
２１２ａ，２１２ｂ，２１２ｃ  仮想的な通信経路
２２  仮想サービスサーバ    ２２０１  サービス処理部
２２０３  照合データ格納部    ２２０５  コンテンツ格納部
２３  ハイパバイザ    ２３１，２３３  ＶＳＷ
２３２ａ，２３２ｂ，２３２ｃ，２３２ｄ，２３２ｅ  ＶＮＥＴ
【図１】
2018160843.tif 000003
【図２】
2018160843.tif 000004
【図３】
2018160843.tif 000005
【図４】
2018160843.tif 000006
【図５】
2018160843.tif 000007
【図６】
2018160843.tif 000008
【図７】
2018160843.tif 000009
【図８】
2018160843.tif 000010
【図９】
2018160843.tif 000011
【図１０】
2018160843.tif 000012
【図１１】
2018160843.tif 000013
【図１２】
2018160843.tif 000014
【図１３】
2018160843.tif 000015
【図１４】
2018160843.tif 000016
【図１５】
2018160843.tif 000017
【図１６】
2018160843.tif 000018
【図１７】
2018160843.tif 000019
【図１８】
2018160843.tif 000020
【図１９】
2018160843.tif 000021
【図２０】
2018160843.tif 000022
【図２１】
2018160843.tif 000023
【図２２】
2018160843.tif 000024
【図２３】
2018160843.tif 000025
【図２４】
2018160843.tif 000026
【図２５】
2018160843.tif 000027