(57)【要約】【課題】IPパケットの中継を行うネットワークに、パケットの発信者であるユーザを認証するための情報を提供する名前解決・認証方法及び装置に関し、まず、ユーザIPパケットが経由するネットワークに関連付けると共に、さらに、これを用いてネットワークにおけるユーザ認証及びサービス認証を行う。【解決手段】自装置100が管理するFQDNと自装置100のIPアドレスとを示す広報801を、隣接DNSサーバ宛に送出し、受信した広報801に示される該FQDNと隣接DNSサーバ100のIPアドレスとを対応付けてFQDNデータベース81に登録すると共に、広報801を次の隣接DNSサーバに転送する。また、認証された送信元IPアドレス83aを予め登録しておき、名前解決要求802をFQDNデータベース81に基づいて決定される経路で転送し、要求802に含まれる送信元IPアドレスが認証されていないとき、要求802を廃棄する。【選択図】      図１ 
2005086700.tif 000002
【特許請求の範囲】
【請求項１】
IPパケットを中継する複数のネットワークの各々に設けられた名前解決・認証装置間における名前解決・認証方法であって、
隣接する名前解決・認証装置のIPアドレスを登録する第１ステップと、
自装置が管理するFQDNと自装置のIPアドレスとを示すアドバンスドDNS広報を、該IPアドレスの隣接装置宛に送出する第２ステップと、
受信した該アドバンスドDNS広報に示されたFQDNが登録されていないとき、該受信したアドバンスドDNS広報に示された該FQDNと該IPアドレスとを対応付けて登録する第３ステップと、
を有することを特徴とした名前解決・認証方法。
【請求項２】
請求項１において、
該第３ステップは、さらに、受信した該アドバンスドDNS広報に示された該FQDN及び該IPアドレスが対応付けられて登録されていないとき、該受信したアドバンスドDNS広報のIPアドレスを自装置のIPアドレスに置き換えたアドバンスドDNS広報を、該IPアドレスの隣接装置宛に転送することを特徴とした名前解決・認証方法。
【請求項３】
IPパケットを中継する複数のネットワークの各々に設けられた名前解決・認証装置であって、
隣接する名前解決・認証装置のIPアドレスを登録した隣接アドバンスドDNSデータベースと、
自装置が管理するFQDNと自装置のIPアドレスとを示すアドバンスドDNS広報を、該隣接アドバンスドDNSデータベースに登録されたIPアドレスの装置宛に送出するアドバンスドDNS広報送出部と、
FQDNデータベースと、
受信した該アドバンスドDNS広報に示されたFQDNが該FQDNデータベースに登録されていないとき、該受信したアドバンスドDNS広報に示された該FQDNと該IPアドレスとを対応付けて該FQDNデータベースに登録するアドバンスドDNS広報処理部と、
を備えたことを特徴とする名前解決・認証装置。
【請求項４】
請求項３において、
該アドバンスドDNS広報処理部は、さらに、受信した該アドバンスドDNS広報に示された該FQDN及び該IPアドレスが対応付けられて該FQDNデータベースに登録されていないとき、該受信したアドバンスドDNS広報のIPアドレスを自装置のIPアドレスに置き換えたアドバンスドDNS広報を該隣接アドバンスドDNSデータベースに登録されたIPアドレスの装置宛に転送することを特徴とした名前解決・認証装置。
【請求項５】
請求項３において、
該アドバンスドDNS広報は、さらに、自分自身が経由した名前解決・認証装置数を含み、
該FQDNデータベースには、さらに、該経由数が該FQDNに対応付けられて登録されており、
該アドバンスドDNS広報処理部は、さらに、該アドバンスドDNS広報が示す経由数及び該FQDNデータベースに登録された該経由数に基づき、該アドバンスドDNS広報の該FQDNを該FQDNデータベースに登録するか否か、該アドバンスドDNS広報を転送するか否かを決定することを特徴とした名前解決・認証装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は名前解決・認証方法及び装置に関し、特にIPネットワークにおいて、パケットの中継を行うネットワークに、パケットの発信者であるユーザを認証するための情報を提供する名前解決・認証方法及び装置に関するものである。
【０００２】
近年、通信技術の発達に伴い、伝送される情報量は益々増大している一方、許可されていないユーザによるネットワークへの不正アクセスも増大している。このセキュリティの問題を解決するためには、認証が益々重要になって来ている。
【背景技術】
【０００３】
DNSシステム(Domain Name System)
IP通信を行う場合には送信元端末のユーザは、一般的に宛先をホスト名で指定する。このホスト名をIPアドレスに変換するためにDNSシステム(以下、DNSサーバと称することがある。）が用いられている。
【０００４】
DNSシステムは、TCP/IPネットワーク環境において、ホスト名から、対応するIPアドレスを取得できるようにするサービスを提供すること、すなわち“名前解決”を提供するシステムである。DNSシステムは、ホスト名とIPアドレスの対応関係を記述したデータベースを管理しており、クライアントからの要求に応じて、ホスト名からそのIPアドレスを参照できるようにするものである。これによりユーザは、憶え難く、分かり難いIPアドレスではなく、ホストの名前を指定してネットワークにアクセスできるようになる。
【０００５】
DNSシステムは分散データベースであり、「ドメイン・ツリー」と呼ばれる構成により、膨大な数の名前/IPアドレスの解決を実現している。
【０００６】
図13は、ドメイン・ツリーを示しており、ルート・ノード700の下にトップレベル・ドメイン階層を構成するjpドメインDNSサーバ710_1、comドメインDNSサーバ710_2、netドメインDNSサーバ710_3、‥‥がある。そして、例えば、jpドメインDNSサーバ710_1の下に、coドメインDNSサーバ720_1、neドメインDNSサーバ720_2、adドメインDNSサーバ720_3、‥‥がある。
【０００７】
さらに、例えば、coドメインDNSサーバ720_1の下に、“atmarkit”サーバ730があり、この“atmarkit”サーバ730の下に、“forum”サーバ740があり、この“forum”の下にホスト情報“host(192.X.X.Y”)740_1a”、“www(192.X.X.X）740_1b”、‥‥がある。
【０００８】
例えば、ドメインネーム＝“www.forum.atmarkit.co.jp”からIPアドレス＝“192.X.X.X”を検索する名前解決は、以下の順で行われる。
【０００９】
ステップT10：jpDNSサーバ710_1がco.jpDNSサーバ720_1を検索する。
【００１０】
ステップT11：co.jpDNSサーバ720_1がatmarkit.co.jpDNSサーバ730を検索する。
【００１１】
ステップT12：atmarkit.co.jpDNSサーバ730がforum.atmarkit.co.jpDNSサーバ740を検索する。
【００１２】
ステップT13：forum.atmarkit.co.jpDNSサーバ740がwww.forum.atmarkit.co.jp＝IPアドレス“www192.X.X.X”を検索する。この結果、www.forum.atmarkit.co.jpのIPアドレス“www192.X.X.X”を解決したことになる。
【００１３】
ネットワークにおける認証
IPネットワーク上での認証は、IPネットワーク上での、任意のユーザによる一定の手続きの正当性を任意のサービス提供者及び中継網の事業者が認めた場合に、該サービスを該ユーザに提供することが好ましい。
【００１４】
まず、IPネットワーク上での認証をユーザと事業者の観点から次の(1)〜(3)に分類することができる。
【００１５】
(1)送受信者間認証：IPパケットの送受信者間で行われる認証。現状、Eコマースなどアプリケーションレイヤで行われているユーザ認証。
【００１６】
(2)ユーザ−ネットワーク事業者間認証：IPパケットの中継に関するサービスを正当なユーザに提供するために、ネットワーク事業者とユーザとの間で行われるネットワークレイヤでの認証。例えば、ダイアルアップやADSLのユーザがISP(InternetService Provider)やADSL事業者とでインターネット接続時にユーザIDとパスワード入力で実現されている認証。
【００１７】
(3)ネットワーク事業者間認証：ネットワーク事業者同士間で行われるネットワークレイヤでの認証。例えば、ネットワーク事業者間でやり取りされる経路制御情報の認証。
【００１８】
ここで、名前解決・認証方法及び装置における認証を、(2)のユーザ−ネットワーク事業者間認証に絞って議論を進めることにする。
【００１９】
このネットワーク事業者を次の(1)〜(3)に分類することができる。
【００２０】
(1)ユーザ収容網：ユーザ(ユーザ端末)に対し、自網との契約に基づいたアクセスの可否を判断した上で、接続を提供する網。
【００２１】
(2)中継網：ユーザ収容網からサービス提供者網までパケットを中継する網。本明細書では中継網は事業者単位とするため、複数の中継網が存在することを前提とする。
【００２２】
(3)サービス提供者網：パケットが終端されるネットワーク装置(例えば、Webサーバ等)を有する網。
【００２３】
図14は、ユーザ収容網、中継網、及びサービス提供者網の接続例を示している。ユーザ端末310を収容したユーザ収容網300、中継網400_1〜400_3、及びWebサーバ510を有するサービス提供者網500が直列接続されている。ユーザ端末310は、契約に基づきアクセス可能になったユーザ収容網300に接続し、パケットを送出する。このパケットは中継網400_1〜400_3、及びサービス提供者網500を経由してWebサーバ510で終端される。
【００２４】
なお、上記のネットワーク事業者の分類(1)〜(3)は、あくまで、パケット転送上の分類であり、ビジネス上は同一事業者が上記分類の複数の役割を兼ねることもある。例えば、ユーザ収容サービスとWebサーバ設置サービスをA社が提供している場合、A社はユーザ収容網にもなり得るし、サービス提供者網にもなり得る。
【００２５】
図15は、ネットワークレイヤにおける認証に関する従来の技術をまとめたものであり、認証技術として、PPPoE(PPP over Ethernet（登録商標）)、認証ゲートウェイ、及びRSVP/LDP認証がある。
【００２６】
同図には、各技術の「利用例」、「普及度」、及び「適用される網(ユーザ収容網、中継網、及びサービス提供者網)」が示されている。
【００２７】
PPPoEは、Ethernet（登録商標）等のネットワーク上でダイヤルアップ接続(PPP接続)のような利用者のユーザ名、パスワードのチェックを行うための規格であり、ADSLの契約ユーザの認証に利用される。認証ゲートウェイは、ユーザがネットワークを利用する前に認証を受けることを強制してセキュリティを確保する技術であり、ホットスポットにおける無線LANのユーザ認証に利用されている。
【００２８】
RSVP/LDP認証は、MPLS事業者間の認証技術であり、事業者間にまたがったMPLS中継網同士の認証を行うものであり、ユーザ認証ではない。
【００２９】
これらの従来技術は、特定の網（ユーザ収容網や中継網）に閉じた認証を対象としている。
【００３０】
また、認証を行う従来のネットワークシステム例として、サーバ装置とクライアント装置で構成された個別ネットワークの１又は複数をネットワーク接続用装置に接続し、このネットワーク接続用装置の複数をバックボーン・ネットワークに接続し、このバックボーン・ネットワークにネットワーク管理装置を設け、この管理装置にバックボーン・ネットワーク全体の制御機能を持たせるネットワークシステムがある(特許文献１参照)。
【００３１】
このネットワークシステムにおける認証は、ネットワーク管理装置内に設けた利用者認証サーバが行う。すなわち、利用者認証サーバは、個別ネットワーク内の利用者が他の個別ネットワークにおけるサービス又はバックボーン・ネットワークサービスの要求を行うことが許容されるか否かを判別する。そして、利用者認証サーバは、正当な利用者と認証したときには、利用者証明書を利用者が属する個別ネットワークを収容したネットワーク接続装置に送出する。
【００３２】
ネットワーク接続装置は、利用者証明書に基づいて、利用者のサービス要求を管理する。すなわち、ネットワーク接続装置は、自分自身が収容する個別ネットワーク内の利用者が他のネットワーク又はバックボーンネットワークに対するサービス要求を受信したとき、サービス要求を送出した利用者が認証を受けているか否かの登録をした利用者毎の管理テーブルに基づき判断される。
【００３３】
この認証システムでは、単に利用者自身が属する個別ネットワーク以外の他の個別ネットワーク又はバックボーン・ネットワークにサービス要求を行い得るか否かを認証するものであり、すなわち、パケットを他の個別ネットワーク及びバックボーン・ネットワークに中継するか否かの認証を行うものである。
【特許文献１】特開平9-64870号公報
【発明の開示】
【発明が解決しようとする課題】
【００３４】
上述した従来のユーザ認証技術では、ネットワーク事業者毎の認証のみが実現されており、複数のネットワーク事業者にまたがってネットワークレイヤでユーザ認証を行う手法はない。これは、従来の中継網やサービス提供者網が、宛先IPアドレスに基づいた、「Anywhere-to-Anywhere」なパケット中継のみを提供しており、このためネットワーク事業者にとってはユーザ収容網において、ユーザを接続させるべきか否か（すなわち、パケット中継をするべきか否か）という選択肢しかないためである。
【００３５】
パケットの送信元から宛先までの「End-to-End」という視点では、各ネットワーク事業者はパケットを宛先アドレスに基づいて中継することのみを行っており、ユーザ認証は、例えばWebブラウザ上でのパスワード入力など、アプリケーションでの送受信者間認証で実現されている。
【００３６】
この結果、下記の問題(1)及び(2)が生じる。
【００３７】
(1)ネットワークレベルでのEnd-to-Endのサービスが提供できない。例えば、帯域制御をユーザに提供することが困難である。
【００３８】
(2)IPパケットとしては宛先端末に到着している、言い換えれば、不要なパケットも宛先端末に到着している。従って、ネットワークレベルでの攻撃にノードが晒されることを回避できない。
【００３９】
問題解決の前提
この問題(1)及び(2)を解決するための複数のネットワーク事業者にまたがった「End-to-End」なネットワークレベルで必要とする認証(識別)を以下に定義する。
【００４０】
(1)ユーザ識別：サービスを受けるユーザをネットワーク上で特定できること。
【００４１】
(2)サービス識別：サービスの提供者及び受けようとするサービスを特定できること。
【００４２】
上記の認証(1)及び(2)を実現する上での制約条件(1)及び(2)を以下に示す。
【００４３】
(1)ネットワーク事業者はアプリケーションレベルでの認証を行わずにパケット転送を行うことは従来通りとし、パケットフロー毎に自社のネットワークリソースの提供量を決定する。
【００４４】
(2)認証の粒度はネットワーク事業者単位とする。すなわち、認証を行う最小単位は、ネットワーク事業者とする。
【００４５】
上記の認証の定義(1)及び(2)やそれを実現する上での制約条件(1)及び(2)を考慮して、ネットワーク事業者の種類に関係なく、認証に必要な情報(パケット)をユーザ収容網300からサービス提供者網500まで伝播/通知するための手法を以下に述べる。なお、認証アルゴリズムや認証の結果として提供されるサービスそのものには言及しない。
【００４６】
まず、IPネットワークでは、アドレスは一意に割り振られているため、送信元IPアドレスが判ればユーザの特定を行うことが可能となる。FQDN(FullyQualified Domain Name：完全修飾ドメイン名)はサービスを識別するために付与されることが一般的である。例えば、”www.Abc.com”は、“Abc”が提供するWebサービスである。
【００４７】
そこで、ユーザ識別子を送信元IPアドレス(以下、Src-IPと称することがある。)とし、サービス識別子をFQDNから名前解決によって得た宛先IPアドレス(以下、Dst-IPと称することがある。)とする。
【００４８】
次に、ネットワーク事業者及びユーザの立場から、上記の問題点(1)及び(2)を解決するための事業者要件(1)〜(3)及びユーザ要件を以下に示す。
【００４９】
事業者要件(1)：フロー識別のための認証をユーザパケットが流れ始める前に行えること。
【００５０】
事業者要件(2)：ルータに動的にフロー識別設定が行えること。
【００５１】
事業者要件(3)：ユーザパケット送信に先立って、ユーザ/サービス識別子の識別が行えること。
【００５２】
すなわち、ネットワーク事業者は、何らかの手段により伝播されて来たユーザ識別子及びサービス識別子に基づいて認証を行い、その結果を動的にルータのフロー識別に反映する。このフロー識別により、ルータは特定のユーザ識別子とサービス識別子の組み合わせを検出し、認証許可者への特定のサービスを提供する。
【００５３】
また、ユーザの立場からは、経由する中継網はIPの経路情報によって決定されているため、ユーザがユーザ収容網、中継網、サービス提供者収容網毎に認証を行うのは困難である。したがってユーザ要件は下記のとおりとなる。
【００５４】
ユーザ要件：一度のユーザ認証手順で、サービス提供者までに経由するネットワーク全ての認証を可能とすること。
【００５５】
課題
ここで、ネットワーク事業者要件(1)〜(3)を満たす可能性のある従来技術として、ユーザ端末からのパケット送信に先立ってネットワークに対して行われるネゴシエーション手法である上述したDNSシステムに着目する。
【００５６】
DNSシステムを用いて、上述したネットワーク要件(1)〜(3)及びユーザ要件を満たしながら、ユーザとサービスの認証を行うためには次の課題(1)及び(2)がある。
【００５７】
課題(1)：ドメイン・ツリーはユーザIPパケットが経由する中継網とは独立している。
【００５８】
課題(2)：DNSシステムでは名前解決要求を出したノードを識別する手段がない。すなわち、DNSサーバ間のパケットには問い合わせ元のユーザ端末のIPアドレス(ユーザ識別子)は付与されない。
【００５９】
したがって、本発明は、IPネットワークにおいて、IPパケットの中継を行うネットワーク事業者に、パケットの発信者であるユーザを認証するための情報を提供する名前解決・認証方法及び装置において、まず、ユーザIPパケットが経由するネットワークに関連付けた名前解決方法及び装置を実現することを課題とし、次に、この名前解決方法及び装置に基づきネットワークにおけるユーザ認証及びサービス認証を行うことを課題とする。
【課題を解決するための手段】
【００６０】
上記の課題で述べたように、まず、ユーザIPパケットが経由するネットワークに関連付けた名前解決方法を述べ、その後、この方法に基づき、ネットワークにおけるユーザ認証及びサービス認証を行う方法を述べる。
【００６１】
なお、以後、例えば、名前解決要求及び名前解決応答を、それぞれ従来のものと区別するためアドバンスド名前解決要求及びアドバンスド名前解決応答と称する。
【００６２】
上記の課題を解決するため、本発明の名前解決・認証装置方法は、IPパケットを中継する複数のネットワークの各々に設けられた名前解決・認証装置間における名前解決・認証方法であって、隣接する名前解決・認証装置のIPアドレスを登録する第１ステップと、自装置が管理するFQDNと自装置のIPアドレスとを示すアドバンスドDNS広報を、該IPアドレスの隣接装置宛に送出する第２ステップと、  受信した該アドバンスドDNS広報に示されたFQDNが登録されていないとき、該受信したアドバンスドDNS広報に示された該FQDNと該IPアドレスとを対応付けて登録する第３ステップとを有することを特徴としている。
【００６３】
すなわち、第１ステップにおいて、隣接する名前解決・認証装置(以下、従来の装置と区別するため“アドバンスドDNS(Domain Name System)サーバ”と称することがある。)のIPアドレスが、例えば、隣接アドバンスドDNSデータベースに登録される。第２ステップにおいて、自装置が管理するFQDN(FullyQualified Domain Name：完全修飾ドメイン名)と自装置のIPアドレスと含むアドバンスドDNS広報を、隣接アドバンスドDNSデータベースに登録されているIPアドレスの隣接する名前解決・認証装置宛に送出する。
【００６４】
第３ステップにおいて、隣接する名前解決・認証装置から受信したアドバンスドDNS広報のFQDNが、例えば、FQDNデータベースに登録されていないとき、受信したアドバンスドDNS広報に示されるFQDNと名前解決・認証装置(以下、次DNSと略称することがある。)のIPアドレスとを、FQDNデータベースに登録する。
【００６５】
これにより、名前解決・認証装置は、自装置が管理するFQDNと自装置のIPアドレスをアドバンスドDNS広報を用いて隣接する名前解決・認証装置に広報することができる。そして、隣接する名前解決・認証装置は、FQDNデータベースに登録されたIPアドレスの名前解決・認証装置に対して、登録されたFQDNの名前解決要求を行えば名前解決が可能になる。
【００６６】
また、上記の本発明において、該第３ステップは、さらに、受信した該アドバンスドDNS広報に示された該FQDN及び該IPアドレスが対応付けられて登録されていないとき、該受信したアドバンスドDNS広報のIPアドレスを自装置のIPアドレスに置き換えたアドバンスドDNS広報を、該IPアドレスの隣接装置宛に転送することが可能である。
【００６７】
すなわち、例えば、隣接する名前解決・認証装置からアドバンスドDNS広報を受信した名前解決・認証装置は、アドバンスドDNS広報のIPアドレスを自装置のIPアドレスに置き換えたアドバンスドDNS広報を別の隣接する名前解決・認証装置に転送する。
【００６８】
これにより、FQDNが同じアドバンスドDNS広報を同一の名前解決・認証装置に転送することがなくなる。また、名前解決・認証装置が、順次、アドバンスドDNS広報を転送することにより、後述するFQDNのアドバンスド名前解決要求を伝送する経路情報がFQDNデータベースに登録されることになる。
【００６９】
この結果、アドバンスド名前解決要求を、FQDNデータベースの該FQDNに対応するIPアドレスに、順次、転送することにより、名前解決要求を、アドバンスドDNS広報の伝送経路を逆向きに辿って該FQDNのアドバンスド名前解決をする名前解決・認証装置に転送することが可能になる。
【００７０】
また、上記の本発明において、該アドバンスドDNS広報が、さらに、自分自身が経由した名前解決・認証装置数を含み、該第３ステップにて、さらに、該経由数を該FQDNに対応付けられて登録し、該アドバンスドDNS広報が示す経由数及び登録された該経由数に基づき、該アドバンスドDNS広報の該FQDNを登録するか否か、該アドバンスドDNS広報を転送するか否かを決定する第４ステップを、さらに有することが可能である。
【００７１】
すなわち、第４ステップにて、アドバンスドDNS広報が示す経由数及び登録された該経由数に基づき、アドバンスドDNS広報のFQDNに関する情報を登録するか否か、該アドバンスドDNS広報を転送するか否かを決定することができる。例えば、“アドバンスドDNS広報の経由数”＞“登録された経由数”のとき、登録せず、アドバンスドDNS広報の転送も行わない。
【００７２】
これにより、例えば、アドバンスドDNS広報が転送された最短経路情報を、例えば、FQDNデータベースに登録することが可能になる。また、アドバンスドDNS広報が転送された複数の経路情報を、例えば、FQDNデータベースに登録することも可能になる。
【００７３】
また、上記の本発明において、認証した送信元IPアドレスを予め登録する第５ステップと、受信したアドバンスド名前解決要求に示された送信元IPアドレスが、該認証した送信元IPアドレスとして登録されているとき、アドバンスド名前解決要求に含まれる該送信元IPアドレスと該アドバンスド名前解決要求を転送した隣接の名前解決・認証装置のIPアドレスと対応付けて登録する第６ステップと  をさらに有することができる。
【００７４】
すなわち、予め認証した送信元IPアドレス(ユーザのIPアドレス、すなわち、ユーザ識別子)が登録されている。
【００７５】
第６ステップにて、受信したアドバンスド名前解決要求に示された送信元IPアドレスが、例えば、認証許可送信元IPアドレスデータベースに登録されているとき、アドバンスド名前解決要求に含まれる該送信元IPアドレスと、アドバンスド名前解決要求を送信した隣接の名前解決・認証装置のIPアドレスとを対応付けて、例えばフロー識別エントリデータベースに登録する。
【００７６】
これにより、フロー識別エントリデータベースに登録された該送信元IPアドレスに基づくフロー識別を行うことで、このフローの認証をすることが可能になる。
【００７７】
また、隣接の名前解決・認証装置のIPアドレスを辿ることにより、例えば、アドバンスド名前解決要求に対するアドバンスド名前解決応答を、アドバンスド名前解決要求を送出したユーザに転送することが可能になる。
【００７８】
また、上記の本発明において、受信した名前解決要求を変換した該アドバンスド名前解決要求を作成する第７ステップを、第６ステップの前にさらに有することができる。
【００７９】
すなわち、第７ステップにて、従来の名前解決要求を受信し、この要求の例えば送信元のIPアドレス(ユーザ識別子)を付加したアドバンスド名前解決要求を作成し、この要求を第６ステップに与える。
【００８０】
これにより、従来の名前解決要求も本発明の名前解決・認証装置で処理することが可能になる。
【００８１】
また、上記の本発明において、該第６ステップは、受信した該アドバンスド名前解決要求に示された送信元IPアドレスが該認証登録された送信元IPアドレスでない、アドバンスド名前解決要求を廃棄することができる。
【００８２】
これにより、認証されていない送信元IPアドレスのユーザ端末からのアドバンスド名前解決要求の受信を例えば拒否することが可能になる。
【００８３】
また、上記の本発明において、該アドバンスド名前解決要求に対するアドバンスド名前解決応答を受信し、この応答に示されたFQDNのIPアドレスも、該フロー識別エントリデータベースの該送信元IPアドレスに対応付けて登録し、該アドバンスド名前解決応答を該フロー識別エントリデータベースに登録された該IPアドレスの隣接装置宛てに転送する第８ステップをさらに有することが可能である。
【００８４】
すなわち、第８ステップにて、アドバンスド名前解決要求に対するアドバンスド名前解決応答を受信し、この応答に含まれるFQDNのIPアドレス(サービス識別子)も、例えばフロー識別エントリデータベースの送信元IPアドレス(ユーザ識別子)に対応付けて登録する。そして、アドバンスド名前解決応答を、例えば、フロー識別エントリデータベースに登録されたIPアドレスの隣接名前解決・認証装置宛に転送する。
【００８５】
この結果、アドバンスド名前解決要求に含まれる送信元IPアドレス、アドバンスド名前解決要求を送信した隣接の名前解決・認証装置のIPアドレス(前DNSのIPアドレス)、及びアドバンスド名前解決応答に含まれるFQDNの解決されたIPアドレスが対応付けられて登録される。
【００８６】
このフロー識別エントリデータベースに基づいて、FQDNのIPアドレス(サービス識別子)及び送信元IPアドレス(ユーザ識別子：ユーザ端末のIPアドレス)に基づくフロー識別を行うとともに、このフローの認証をすることが可能になる。
【００８７】
また、上記の本発明において、該アドバンスド名前解決応答を名前解決応答に変換して従来の端末に転送する第９ステップを有することができる。
【００８８】
これにより、例えば、従来のユーザ端末に名前解決応答を返送することが可能になる。
【００８９】
さらに、上記の本発明において、自装置が属するネットワークの外部ゲートウェイルータのIPアドレスを予め登録する第１０ステップと、該登録された外部ゲートウェイルータに、該FQDNのIPアドレス及び該送信元IPアドレスの中の少なくとも一方の設定を行う第１１ステップとをさらに有することができる。
【００９０】
すなわち、外部ゲートウェイルータには、データベース自装置が属するネットワーク(自ドメイン)の外部ゲートウェイルータのIPアドレスが、予め登録されている。第１１ステップにて、例えば、フロー識別エントリデータベースのフロー識別エントリ(FQDNのIPアドレス及び送信元IPアドレス、又はFQDNのIPアドレス、又は送信元IPアドレス)を検索し、検索したフロー識別エントリを外部ゲートウェイルータIPアドレスデータベースに登録された外部ゲートウェイルータに設定する。
【００９１】
これにより、外部ゲートウェイルータは、フロー識別エントリに基づき、自分自身が属するネットワークが認証しないパケットフローを廃棄又はネットワーク内への入力阻止することが可能になる。
上述した課題で述べたように、まず、ユーザIPパケットが経由するネットワークに関連付けた名前解決装置を実現する手段を述べ、その後、この装置を用いたネットワークにおけるユーザ認証及びサービス認証を述べる。
【００９２】
上記の課題を解決するため、本発明の名前解決・認証装置装置は、IPパケットを中継する複数のネットワークの各々に設けられた名前解決・認証装置であって、  隣接する名前解決・認証装置のIPアドレスを登録した隣接アドバンスドDNSデータベースと、自装置が管理するFQDNと自装置のIPアドレスとを示すアドバンスドDNS広報を、該隣接アドバンスドDNSデータベースに登録されたIPアドレスの装置宛に送出するアドバンスドDNS広報送出部と、FQDNデータベースと、受信した該アドバンスドDNS広報に示されたFQDNが該FQDNデータベースに登録されていないとき、該受信したアドバンスドDNS広報に示された該FQDNと該IPアドレスとを対応付けて該FQDNデータベースに登録するアドバンスドDNS広報処理部と  を備えたことを特徴としている。
【００９３】
すなわち、隣接アドバンスドDNS(Domain Name System)データベースには、隣接する名前解決・認証装置(以下、アドバンスドDNSサーバと称することがある。)のIPアドレスが登録されている。アドバンスドDNS広報送出部は、自装置のIPアドレスと自装置が管理するFQDNとを示すアドバンスドDNS広報を、隣接アドバンスドDNSデータベースに登録された隣接するIPアドレスの名前解決・認証装置宛に送出する。
【００９４】
アドバンスドDNS広報処理部は、受信したアドバンスドDNS広報のFQDNがFQDNデータベースに登録されていないとき、該受信したアドバンスドDNS広報に示されたFQDN及びIPアドレス(すなわち、隣接の名前解決・認証装置のIPアドレス。以下、次DNSと略称することがある。)を対応付けてFQDNデータベースに登録する。
【００９５】
これにより、名前解決・認証装置は、自装置が管理するFQDNと自装置のIPアドレスをアドバンスドDNS広報を用いて隣接する名前解決・認証装置に広報することができる。そして、隣接する名前解決・認証装置は、FQDNデータベースに登録されたIPアドレスの名前解決・認証装置に対して、登録されたFQDNの名前解決要求を行えば名前解決が可能になる。
【００９６】
また、上記の本発明において、該アドバンスドDNS広報処理部は、さらに、受信した該アドバンスドDNS広報に示された該FQDN及び該IPアドレスが対応付けられて該FQDNデータベースに登録されていないとき、該受信したアドバンスドDNS広報のIPアドレスを自装置のIPアドレスに置き換えたアドバンスドDNS広報を該隣接アドバンスドDNSデータベースに登録されたIPアドレスの装置宛に転送することが可能である。
【００９７】
すなわち、隣接する名前解決・認証装置からアドバンスドDNS広報を受信した名前解決・認証装置は、アドバンスドDNS広報のIPアドレスを自装置のIPアドレスに置き換えたアドバンスドDNS広報を別の隣接する名前解決・認証装置に転送する。
【００９８】
これにより、FQDNが同じアドバンスドDNS広報を同一の名前解決・認証装置に転送することがなくなる。また、名前解決・認証装置が、順次、アドバンスドDNS広報を転送することにより、後述するFQDNのアドバンスド名前解決要求を伝送する経路情報がFQDNデータベースに登録されることになる。
【００９９】
この結果、アドバンスド名前解決要求を、FQDNデータベースの該FQDNに対応するIPアドレスに、順次、転送することにより、名前解決要求を、アドバンスドDNS広報の伝送経路を逆向きに辿って該FQDNの名前解決をする名前解決・認証装置に転送することが可能になる。
【０１００】
また、上記の本発明において、該アドバンスドDNS広報は、さらに、自分自身が経由した名前解決・認証装置数を含み、該FQDNデータベースには、さらに、該経由数が該FQDNに対応付けられて登録されており、該アドバンスドDNS広報処理部は、さらに、該アドバンスドDNS広報が示す経由数及び該FQDNデータベースに登録された該経由数に基づき、該アドバンスドDNS広報の該FQDNを該FQDNデータベースに登録するか否か、該アドバンスドDNS広報を転送するか否かを決定することが可能である。
【０１０１】
すなわち、アドバンスドDNS広報処理部は、アドバンスドDNS広報が示す経由数及びFQDNデータベースに登録された該経由数に基づき、アドバンスドDNS広報のFQDNに関する情報をFQDNデータベースに登録するか否か、該アドバンスドDNS広報を転送するか否かを決定することができる。例えば、“アドバンスドDNS広報の経由数”＞“登録された経由数”のとき、FQDNデータベースに登録せず、アドバンスドDNS広報の転送も行わない。
【０１０２】
これにより、例えば、アドバンスドDNS広報が転送された最短経路情報をFQDNデータベースに登録することが可能になる。また、アドバンスドDNS広報が転送された複数の経路情報をFQDNデータベースに登録することも可能になる。
【０１０３】
また、上記の本発明において、認証した送信元IPアドレスを予め登録した認証許可送信元IPアドレスデータベースと、フロー識別エントリデータベースと、  受信したアドバンスド名前解決要求に示された送信元IPアドレスが、該認証許可送信元IPアドレスデータベースに登録されているとき、アドバンスド名前解決要求に含まれる該送信元IPアドレスと該アドバンスド名前解決要求を転送した隣接の名前解決・認証装置のIPアドレスと対応付けて該フロー識別エントリデータベースに登録するアドバンスド名前解決要求処理部とをさらに備えることができる。
【０１０４】
すなわち、名前解決・認証装置は、さらに、認証許可送信元IPアドレスデータベース、フロー識別エントリデータベース、及びアドバンスド名前解決要求処理部を備えている。認証許可送信元IPアドレスデータベースには、予め認証した送信元IPアドレス(ユーザのIPアドレス、すなわち、ユーザ識別子)が登録されている。
【０１０５】
アドバンスド名前解決要求処理部は、受信したアドバンスド名前解決要求に示された送信元IPアドレスが、該認証許可送信元IPアドレスデータベースに登録されているとき、アドバンスド名前解決要求に含まれる該送信元IPアドレスと、アドバンスド名前解決要求を送信した隣接の名前解決・認証装置のIPアドレスとを対応付けてフロー識別エントリデータベースに登録する。
【０１０６】
これにより、フロー識別エントリデータベースに登録された該送信元IPアドレスに基づくフロー識別を行うことで、このフローの認証をすることが可能になる。
【０１０７】
また、隣接の名前解決・認証装置のIPアドレスを辿ることにより、例えば、アドバンスド名前解決要求に対するアドバンスド名前解決応答を、アドバンスド名前解決要求を送出したユーザに転送することが可能になる。
【０１０８】
また、上記の本発明において、受信した名前解決要求を変換したアドバンスド名前解決要求を作成して該アドバンスド名前解決要求処理部に与えるアドバンスド名前解決要求作成部をさらに備えることが可能である。
【０１０９】
すなわち、アドバンスド名前解決要求作成部は、従来の名前解決要求を受信し、この要求の例えば送信元のIPアドレス(ユーザ識別子)を付加したアドバンスド名前解決要求を作成して該アドバンスド名前解決要求処理部に与える。
【０１１０】
これにより、従来の名前解決要求も本発明の名前解決・認証装置は、処理することが可能になる。
【０１１１】
また、上記の本発明において、アドバンスド名前解決要求処理部は、受信した該アドバンスド名前解決要求に示された送信元IPアドレスが該認証許可送信元IPアドレスデータベースに登録されていないとき、アドバンスド名前解決要求を廃棄することができる。
【０１１２】
これにより、認証されていない送信元IPアドレスのユーザ端末からのアドバンスド名前解決要求の受信を例えば拒否することが可能になる。
【０１１３】
また、上記の本発明において、該アドバンスド名前解決要求に対するアドバンスド名前解決応答を受信し、この応答に示されたFQDNのIPアドレスも、該フロー識別エントリデータベースの該送信元IPアドレスに対応付けて登録し、該アドバンスド名前解決応答を該フロー識別エントリデータベースに登録された該IPアドレスの隣接装置宛てに転送するアドバンスド名前解決応答処理部を、さらに備えることが可能である。
【０１１４】
すなわち、アドバンスド名前解決応答処理部は、アドバンスド名前解決要求に対するアドバンスド名前解決応答を受信し、この応答に含まれるFQDNのIPアドレス(サービス識別子)も、フロー識別エントリデータベースの送信元IPアドレス(ユーザ識別子)に対応付けて登録する。そして、アドバンスド名前解決応答処理部は、アドバンスド名前解決応答をフロー識別エントリデータベースに登録されたIPアドレスの隣接名前解決・認証装置宛に転送する。
【０１１５】
この結果、フロー識別エントリデータベースには、アドバンスド名前解決要求に含まれる送信元IPアドレス、アドバンスド名前解決要求を送信した隣接の名前解決・認証装置のIPアドレス(前DNSのIPアドレス)、及びアドバンスド名前解決応答に含まれるFQDNの解決されたIPアドレスが対応付けられて登録される。
【０１１６】
このフロー識別エントリデータベースに基づいて、FQDNのIPアドレス(サービス識別子)及び送信元IPアドレス(ユーザ識別子：ユーザ端末のIPアドレス)に基づくフロー識別を行うとともに、このフローの認証をすることが可能になる。
【０１１７】
また、上記の本発明において、アドバンスド名前解決応答処理部が、該アドバンスド名前解決応答を名前解決応答に変換し、この応答を該フロー識別エントリデータベースに登録された該IPアドレスの隣接装置宛てに転送することができる。これにより、例えば、従来のユーザ端末に名前解決応答を返送することが可能になる。
【０１１８】
さらに、上記の本発明において、自装置が属するネットワークの外部ゲートウェイルータのIPアドレスが予め登録された外部ゲートウェイルータIPアドレスデータベースをさらに備え、該アドバンスド名前解決応答処理部が、外部ゲートウェイルータIPアドレスデータベースに登録された外部ゲートウェイルータに、該フロー識別エントリデータベースに登録された該FQDNのIPアドレス及び送信元IPアドレスの中の少なくとも一方の設定を行うことが可能である。
【０１１９】
すなわち、外部ゲートウェイルータは、データベース自装置が属するネットワーク(自ドメイン)の外部ゲートウェイルータのIPアドレスが、予め登録されている。アドバンスド名前解決要求処理部は、該フロー識別エントリデータベースのフロー識別エントリ(FQDNのIPアドレス及び送信元IPアドレス、又はFQDNのIPアドレス、又は送信元IPアドレス)を検索し、検索したフロー識別エントリを外部ゲートウェイルータIPアドレスデータベースに登録された外部ゲートウェイルータに設定する。
【０１２０】
これにより、外部ゲートウェイルータは、フロー識別エントリに基づき、自分自身が属するネットワークが認証しないパケットフローを廃棄又はネットワーク内への入力阻止することが可能になる。
【発明の効果】
【０１２１】
以上説明したように、本発明に係る名前解決・認証方法及び装置によれば、ユーザIPパケットが経由するネットワークに関連付けた名前解決方法及び装置を実現することが可能になる。さらに、この名前解決方法及び装置を用いることでネットワークにおけるユーザ認証及びサービス認証を行うことが可能になる。
【０１２２】
すなわち、FQDNを広報することでDNSシステムを用いたサービス認証を実現し、ユーザ端末の送信元IPアドレスを名前解決要求メッセージに付与することで送信元ユーザの認証を実現する。また、FQDNの中継可否を経由したDNS数で最短経路で広報メッセージを広報することが可能なる。また、ルータにフロー識別情報を動的に設定することでユーザIPパケットの認証が可能なる。さらに、従来のDNSのメッセージとの互換性を保つことが可能になる。
【発明を実施するための最良の形態】
【０１２３】
図１は、本発明の名前解決・認証方法を適用した名前解決・認証装置(以下、アドバンスドDNSサーバ又は単にサーバと称することがある。)100の実施例を示している。このアドバンスドDNSサーバ100は、データベース部80、通信終端部10、DNSパケット種別識別部20、アドバンスドDNS広報(Advanced DNS Notification)メッセージ(以下、アドバンスドDNS広報)801を処理するアドバンスドDNS広報処理部30、アドバンスド名前解決要求(Advanced DNS Request)メッセージ(以下、アドバンスド名前解決要求)802を処理するアドバンスド名前解決要求処理部40、アドバンスド名前解決応答(Advanced DNS Reply)メッセージ(以下、アドバンスド名前解決応答)803を処理するアドバンスド名前解決応答処理部50、アドバンスド名前解決要求作成部60、及びコマンドインタフェース70で構成されている。
【０１２４】
データベース部80は、FQDNデータベース81、隣接アドバンスドDNSデータベース82、認証許可送信元IPアドレスデータベース83、外部ゲートウェイルータIPアドレスデータベース84、及びフロー識別エントリデータベース85で構成されている。
【０１２５】
FQDNデータベース81：アドバンスドDNS広報801に基づき作成されるデータベースであり、FQDN81a、次DNS81b、及び経由数81cのフィールドを有する。
【０１２６】
アドバンスド名前解決要求802(後述する図2(2)参照。)は、自分自身内のFQDN802bをキーに検索された、FQDNデータベース81のFQDN81aに対応する次DNS81bが示すIPアドレスのアドバンスドDNSサーバ100に転送される。
【０１２７】
隣接アドバンスドDNSデータベース82：ネットワーク的に隣接しているアドバンスドDNSサーバ100のIPアドレス82a，…が登録されたデータベースである。アドバンスドDNS広報801は、データベース82に登録されているIPアドレスのアドバンスドDNSサーバ100に転送される。
【０１２８】
認証許可送信元IPアドレスデータベース83：「ユーザ識別子」として、認証を許可するIPアドレス(すなわち、ユーザ端末のIPアドレス、以下、Src-IPと称することがある。)83a，…が登録されたデータベースである。受信したアドバンスド名前解決要求802の送信元IPアドレス802d(すなわち、「ユーザ識別子」、図2(2)参照。)が、データベース83に存在するか否かを検索し、存在すれば、要求802は認証許可されたことになる。そして、認証許可されたアドバンスド名前解決要求802のFQDN802bをキーに、FQDNデータベース81が検索され、ヒットしたFQDN81aに対応した「次DNS81bに示されるIPアドレスの隣接アドバンスドDNSサーバ100」に要求802が転送される。
【０１２９】
外部ゲートウェイルータIPアドレスデータベース84：自ドメイン(自装置が属するネットワーク)の外部ゲートウェイルータ520のIPアドレスが予め登録されたデータベースである。
【０１３０】
フロー識別エントリデータベース85：外部ゲートウェイルータ520に設定する/設定したフロー識別情報を有するデータベースであり、宛先IPアドレス(すなわち、サービス提供するサーバのIPアドレス、以下、Dst-IPと称することがある。)85a、送信元IPアドレス(以下、Src-IPと称することがある。)85b、及び前DNS85cを含んでいる。
【０１３１】
Src-IP85b及び前DNS85cには、それぞれ、アドバンスド名前解決要求802内のSrc-IP802d及び前DNS802cが登録され、Dst-IP85aには、アドバンスド名前解決応答803(後述する図2(3)参照。)内の名前解決されたIPアドレス803bが登録される。この中のDst-IP85a(サービス識別子)及びSrc-IP85b(ユーザ識別子)が、外部ゲートウェイルータ530(後述する図4参照。)にフロー識別のエントリとして設定される。
【０１３２】
通信終端部10は、ネットワーク600からの通信を電気的に終端し、ネットワーク600から受信した情報をパケット(メッセージ)800として、DNSパケット種別識別部20へ渡す。また、通信終端部10は、パケット(メッセージ)801〜803，805，806を電気的にネットワーク600へ送信する。
【０１３３】
DNSパケット種別識別部20は、メッセージ800の識別を行う。すなわち、アドバンスドDNS広報801、アドバンスド名前解決要求802、アドバンスド名前解決応答803、及び従来の名前解決要求804を識別する。
【０１３４】
アドバンスドDNS広報処理部30は、アドバンスドDNS広報801を処理するものであり、エントリ作成部31及び次DNS決定部32で構成されている。
【０１３５】
エントリ作成部31：FQDNデータベース81のエントリを作成する。既に同一FQDNに対して、エントリが存在する場合には次の処理(1)又は(2)を行う。
【０１３６】
(1)受信したアドバンスドDNS広報801の経由DNS数801d(図2(1)参照。)がデータベース81のエントリより少ない場合、広報801の情報で上書きし、次DNS決定部32に広報801を与える。
【０１３７】
(2)受信したアドバンスドDNS広報801の経由DNS数801dがデータベース81のエントリより大きい場合、広報801を廃棄する。
【０１３８】
次DNS決定部32：隣接アドバンスドDNSデータベース82から広報801を転送先のアドバンスドDNSサーバ100のIPアドレス82a，…を取得し、このIPアドレスに広報801を転送する。
【０１３９】
アドバンスド名前解決要求処理部40は、アドバンスド名前解決要求802を処理するものであり、送信元アドレス認証部41、フロー識別エントリ作成部42、宛先/送信元ドメイン判定部43、名前解決部(アドバンスド名前解決応答作成部)44、及び次DNS決定部45で構成されている。
【０１４０】
送信元アドレス認証部41：アドバンスド名前解決要求802内の送信元IPアドレス802d(図2(2)参照。)をキーに認証許可送信元IPアドレスデータベース83内のIPアドレス83a，…を検索し、合致するエントリの有無を確認し、次の処理(1)又は(2)を行う。
【０１４１】
(1)合致したエントリが有る場合、認証に成功したものとし、要求802をフロー識別エントリ作成部42に渡す。
【０１４２】
(2)合致したエントリが無い場合、要求802を廃棄する。
【０１４３】
フロー識別エントリ作成部42：フロー識別エントリデータベース85のエントリを作成し、要求802を宛先/送信元ドメイン判定部43に渡す。
【０１４４】
宛先/送信元ドメイン判定部43：要求802のFQDN802b(図2(2)参照。)が、自アドバンスドDNSサーバ100が送出したアドバンスドDNS広報801のFQDN801b(図2(1)参照。)に対するアドバンスド名前解決要求802か否かを判定する。すなわち、判定部43は、自アドバンスドDNSサーバ100が要求802のFQDN802bに示されるドメイン名の名前解決を行うサービス提供者網500(後述する図４、又は図13参照。)に含まれるサーバ100か否かを判定する。
【０１４５】
名前解決部(アドバンスド名前解決応答作成部)44：自サーバ100が要求802のFQDN802bの名前解決を行うサーバ100である場合、アドバンスド名前解決要求802に対する名前解決の処理を行い、アドバンスド名前解決応答803を作成し、この応答803をアドバンスド名前解決応答処理部50に与える。
【０１４６】
次DNS決定部45：自サーバ100が要求802のFQDN802bの名前解決を行わないサーバ100である場合、要求802のFQDN802bをキーとしてFQDNデータベース81を検索し、対応する次DNS81bに示されるIPアドレスのサーバ100にアドバンスド名前解決要求802を転送する。なお、次DNS決定部45の検索対象のデータベース81は、次DNS決定部32の検索対象のデータベース82とは異なったものである。
【０１４７】
アドバンスド名前解決応答処理部50は、アドバンスド名前解決応答803を処理するものであり、フロー識別エントリ追記部51、ルータ設定部52、自ドメイン宛判定部53、及び名前解決応答変換部54で構成されている。
【０１４８】
フロー識別エントリ追記部51：アドバンスド名前解決応答803に含まれるSrc-IP803dをキーにフロー識別エントリデータベース85を検索し、ヒットミスした場合は応答803を廃棄する。
【０１４９】
ヒットした場合、追記部51は、ヒットしたSrc-IP803dに対応する前DNS85cを獲得すると共に、応答803に含まれる解決されたIPアドレス803bをデータベース85のDst-IP85aに書き込んだ後、応答803をルータ設定部52に与える。
【０１５０】
ルータ設定部52：外部ゲートウェイルータIPアドレスデータベース84から、自ドメインの外部ゲートウェイルータ530のIPアドレスを獲得する。さらに、フロー識別エントリデータベース85を検索し、このデータベース85に登録されたフロー識別エントリ(Dst-IP＝“A1”，Src-IP＝“M2”)を、外部ゲートウェイルータ530に設定するためのフロー識別設定信号806をルータ530に送信した後、自ドメイン宛判定部53へ応答803を送る。
【０１５１】
自ドメイン宛判定部53：フロー識別エントリ追記部51で検索した”前DNS”のIPアドレスが自ネットワーク事業者の有するIPアドレスか否かを判定する。自ネットワーク事業者の有するIPアドレスである場合(自ドメイン)、次の送信先はユーザ端末（名前解決要求の送信元）であると判断し、応答803を名前解決応答変換部54に与える。
【０１５２】
自ドメイン宛判定部53は、自ネットワーク事業者の有するIPアドレスでない場合(他ドメイン)、“前DNS”のIPアドレスのサーバ100へ応答803を転送する。
【０１５３】
名前解決応答変換部54：、アドバンスド名前解決応答803から従来の(解決したIPアドレスを含む名前解決応答805を作成し、この名前解決応答805を、アドバンスド名前解決応答803のSrc-IP803dに示されるIPアドレス(ユーザ端末のIPアドレス)宛で送信する。
【０１５４】
アドバンスド名前解決要求作成部60は、従来の名前解決要求804からアドバンスド名前解決要求802を作成する。このアドバンスド名前解決要求802は、アドバンスド名前解決要求処理部40で処理される。
【０１５５】
コマンドインタフェース70は、アドバンスドDNSサーバ100のコンソールとの間で入出力を扱う機能ブロックであり、データベース部80の内のデータベース81〜84の設定820〜823を行う。
【０１５６】
図２は、本発明の名前解決・認証装置100間で送受信される３つのメッセージ例を示しており、３つのメッセージは、同図(1)〜(3)にそれぞれ示すアドバンスドDNS広報801、アドバンスド名前解決要求802、及びアドバンスド名前解決応答803である。
【０１５７】
アドバンスドDNS広報801は、例えば、サービス提供者網のアドバンスドDNSサーバ100_1から隣接のアドバンスドDNSサーバ100_2に配布され、さらに、このサーバ100_2から隣接のアドバンスドDNSサーバ100_3に配布される(図４参照。)。すなわち、アドバンスドDNS広報801は、ネットワーク事業者の物理的な接続関係に基づいて、配布される。
【０１５８】
より具体的に言うと、アドバンスドDNS広報801は、同図(1)に示すとおり、アドバンスドDNS広報801であることを示す識別子が設定されるメッセージ種別801a、サービスの提供をするサーバ510のFQDN801b、広報801を送信又は転送したアドバンスドDNSサーバ100のIPアドレスを示す次DNS801c、及び広報801が経由したアドバンスドDNSサーバ100の数を示す経由DNS数801dで構成されている。
【０１５９】
アドバンスド名前解決要求802は、本名前解決・認証装置において、名前解決を要求するメッセージであり、従来の名前解決要求のようにドメイン・ツリー(図15参照。)を辿らず、アドバンスドDNS広報801の次DNS801cに基づき設定された、各アドバンスドDNSサーバ100のFQDNデータベース81の“次DNS81b”を辿りながら転送される。
【０１６０】
すなわち、アドバンスド名前解決要求802は、ユーザ収容網300のアドバンスドDNSサーバ100からサービス提供者網500のアドバンスドDNSサーバ100まで、アドバンスドDNS広報801の配布経路を逆順に辿って転送される。
【０１６１】
より具体的に言うと、アドバンスド名前解決要求802は、同図(2)に示すとおり、
アドバンスド名前解決要求802であることを示す識別子が設定されるメッセージ種別802a、従来の名前解決要求に含まれる情報(例えば、解決するFQDN等)802b、要求802を送信又は転送した前段のアドバンスドDNSサーバ100のIPアドレスを示す前DNS802c、及び名前解決の要求をしているユーザ端末310のIPアドレスを示す送信元IPアドレス(Src-IP)802dで構成されている。
【０１６２】
より具体的に言うと、アドバンスド名前解決応答803は、同図(3)に示すとおり、アドバンスド名前解決応答803であることを示す識別子が設定されるメッセージ種別803a、従来の名前解決応答805に含まれる情報(例えば、解決されたIPアドレス)803b、サービス提供者網500のアドバンスドDNSサーバ100の認証結果803c、及び要求802のSrc-IP802dと同じSrc-IP803dで構成されている。
【０１６３】
アドバンスド名前解決応答803は、アドバンスド名前解決要求802で要求したFQDN801bの名前解決を示すIPアドレスを有するメッセージである。そして、応答803は、要求802内の“前DNS802c”に基づき設定されたフロー識別エントリデータベース85の“前DNS85c”を辿りながら転送される。
【０１６４】
図３は、名前解決・認証装置100の全体動作手順例を示している。まず、この手順をステップS100，S110、並びに破線又は一点鎖線で囲んだステップT100〜T800について以下に概略的に説明する。
【０１６５】
ステップS100，S110：名前解決・認証装置100において、DNSパケット種別識別部20(図１参照。)は、ネットワーク600から通信終端部10を経由して受信したパケット800の識別を行い、(1)アドバンスドDNS広報801、(2)アドバンスド名前解決要求802、(3)アドバンスド名前解決応答803、(4)従来の名前解決要求804、及び(5)その他の名前解決に係しないパケット890に分類する。
【０１６６】
なお、DNSパケット種別識別部20は、広報801、要求802、及び応答803を、それぞれのメッセージ種別801a〜803a(図２参照。)に基づいて識別する。
【０１６７】
DNSパケット種別識別部20は、それぞれ、受信したアドバンスドDNS広報801、アドバンスド名前解決要求802、アドバンスド名前解決応答803、及び名前解決要求804を、アドバンスドDNS広報処理部30、アドバンスド名前解決要求処理部40、アドバンスド名前解決応答処理部50、及びアドバンスド名前解決要求作成部60に与える。
【０１６８】
また、DNSパケット種別識別部20は、パケット890を従来のパケット処理部(図１に図示せず。)に与える。
【０１６９】
ステップT100，T200：アドバンスドDNS広報処理部30は、受信したアドバンスドDNS広報801に示されるFQDN801bをFQDNデータベース81に登録し、必要があれば次の名前解決・認証装置100に転送する。この詳細な動作手順は後述する。
【０１７０】
ステップT300：アドバンスド名前解決要求作成部60は、受信した従来の名前解決要求804をアドバンスド名前解決要求802に変換し、この要求802は、アドバンスド名前解決要求処理部40に与えられて処理される。この詳細な動作手順は後述する。
【０１７１】
ステップT400：アドバンスド名前解決要求処理部40は、受信したアドバンスド名前解決要求802に示される送信元IPアドレス802dが認証されている場合(すなわち、認証許可送信元IPアドレスデータベース83に登録されている場合)、送信元IPアドレス802dをフロー識別子としてフロー識別エントリデータベース85に登録した後、要求802を次の名前解決・認証装置100に転送する。この詳細な動作手順は後述する。
【０１７２】
ステップT500：アドバンスド名前解決要求処理部40は、受信したアドバンスド名前解決要求802に示される送信元IPアドレス802dが認証許可送信元IPアドレスデータベース83に登録されている場合、送信元IPアドレス802dをフロー識別子としてフロー識別エントリデータベース85に登録した後、要求802が、次アドバンスドDNSサーバ100に対する名前解決要求である場合、要求802を解決したアドバンスド名前解決応答803を作成して返送する。この詳細な動作手順は後述する。
【０１７３】
ステップT600：アドバンスド名前解決要求処理部40は、送信元IPアドレス802dが認証されていない場合、要求802を廃棄する。この詳細な動作手順は後述する。
【０１７４】
ステップT700，T800：アドバンスド名前解決応答処理部50は、受信したアドバンスド名前解決応答803に示される解決されたIPアドレスをフロー識別子としてフロー識別エントリデータベース85に登録すると共に、このデータベース85のエントリを外部ゲートウェイルータに設定する。
【０１７５】
さらに、アドバンスド名前解決応答処理部50は、データベース85から検索した前DNS85cのIPアドレスが自ネットワークのIPアドレスでない場合、応答803を前DNSに転送する。前DNS85cのIPアドレスが自ネットワークのIPアドレスである場合、アドバンスド名前解決応答803を従来の名前解決応答805に変換してユーザ端末310に転送する。この詳細な動作手順は後述する。
【０１７６】
図４は、アドバンスドDNS広報801の配布動作手順例を示している。同図では、アドバンスドDNS広報801が配布されるネットワーク例として、サービス提供者網500−中継網400_1−中継網400_2−ユーザ収容網300が縦列接続され、さらに、縦列接続されたサービス提供者網500−中継網400_3−…−中継網400_5−ユーザ収容網300が並列接続されているネットワークが示されている。
【０１７７】
サービス提供者網500、中継網400_1〜中継網400_3、中継網400_5、及びユーザ収容網300には、それぞれ、サーバ(名前解決・認証装置)100_1、サーバ100_2，100_3、サーバ100_4，100_5、サーバ100_7，…、サーバ100_12，…、及びサーバ100_6が含まれている。以下、サーバ100_1〜100_12をサーバ100で総称することがある。
【０１７８】
また、サービス提供者網500、中継網400_1〜中継網400_3、…、中継網400_5、及びユーザ収容網300には、それぞれ、外部ゲートウェイルータ520_1及び内部ゲートウェイルータ530_1、ルータ520_2，520_3，530_2，及び530_3、ルータ520_4，520_5，530_4，及び530_5、ルータ520_7及び530_7、ルータ520_12及び530_12、並びにルータ520_6，530_6が含まれている。以下、ルータ520_1〜520_12、及びルータ530_1〜530_12を、それぞれ、ルータ520、ルータ530で総称することがある。
【０１７９】
サービス提供元サーバ510のFQDN(＝A.b.com)を管理するアドバンスドDNSサーバ100_1は、それぞれ、FQDN801bを含むアドバンスドDNS広報801_1，801_6(図２参照。)を、隣接アドバンスドDNSデータベース82_1に登録されたIPアドレス(＝D2，X2)のアドバンスドDNSサーバ100_2，100_7に配布する。
【０１８０】
なお、図１には、アドバンスドDNS広報801を配布する機能部は、図示されていない。
【０１８１】
アドバンスドDNS広報801の受信動作(ステップT100)：FQDNの登録
図５は、アドバンスドDNSサーバ100_2，100_7が、それぞれ、アドバンスドDNS広報801_1，801_7を受信したときの動作手順例を示しいる。サーバ100_2におけるこの動作手順例を、以下に説明する。
【０１８２】
ステップS100，S110：アドバンスドDNS広報801は、通信終端部10及びDNSパケット種別識別部20を経由して、アドバンスドDNS広報処理部30のエントリ作成部31に与えられる。
【０１８３】
ステップS120〜S140：エントリ作成部31は、アドバンスドDNS広報801に含まれるFQDN801b＝“A.b.com”がFQDNデータベース81_2(図４参照。)にエントリ(登録)されているか否かを検索し、登録されていない場合、それぞれ、アドバンスドDNS広報801のFQDN801b、次DNS(前段のアドバンスドDNSサーバ、又は送信元DNSサーバと称することがある。)801c、及び経由DNS数801d＝“0”を１だけインクリメントした値を、FQDNデータベース81_2のFQDN81a、次DNS81b、及び経由数81cに登録(書込)する(検索/書込810)。この後、エントリ作成部31は、アドバンスドDNS広報801を次DNS決定部32に与える。
【０１８４】
アドバンスドDNS広報801の転送動作：
ステップS150〜S160：次DNS決定部32は、隣接アドバンスドDNSデータベース82_2に登録されたIPアドレス＝“B2，F2(図４参照。)”のアドバンスドDNSサーバ100の中のアドバンスドDNS広報801を送信して来たアドバンスドDNSサーバ100_1以外のIPアドレス＝“F2”のアドバンスドDNSサーバ100_3にアドバンスドDNS広報801_3を通信終端部10経由で転送する。
【０１８５】
このとき、次DNS決定部32は、アドバンスドDNS広報801_2の次DNS(送信元DNS)801c及び経由DNS数801dに、それぞれ“自装置のIPアドレス”＝“D2”、及び受信したアドバンスドDNS広報801_1の経由DNS数801d＝“0”を“1”だけインクリメントした“1”を設定する。
【０１８６】
同様に、サーバ100_3は、受信したアドバンスドDNS広報801_2をアドバンスドDNS広報801_3としてサーバ100_4に転送し、サーバ100_4は、アドバンスドDNS広報801_3をアドバンスドDNS広報801_4としてサーバ100_5に転送し、さらに、サーバ100_5は、アドバンスドDNS広報801_4をアドバンスドDNS広報801_5としてサーバ100_6に転送する。
【０１８７】
この結果、アドバンスドDNSサーバ100_6のFQDNデータベース81_6には、FQDN81a＝“A.b.com”、次DNS81b＝“J2”、及び経由数81c＝“5”が登録されることになる。
【０１８８】
同様に、ステップT100の処理で、アドバンスドDNSサーバ100_7〜100_12は、順次、アドバンスドDNS広報801_7〜801_12をアドバンスドDNSサーバ100_8〜100_12，100_6に転送する。
【０１８９】
アドバンスドDNS広報801の受信動作(ステップT200)：アドバンスドDNS広報801の廃棄
ステップS100：アドバンスドDNSサーバ100_6において、エントリ作成部31は、通信終端部10及びDNSパケット種別識別部20を経由してアドバンスドDNS広報801_12を受信する。
【０１９０】
ステップS110〜S130，S170：エントリ作成部31は、アドバンスドDNS広報801_12のFQDN801b＝“A.b.com”がFQDNデータベース81_6のFQDN81aにエントリされているので、広報801_12の経由DNS数801d＝“6”とFQDNデータベース81_6の経由数81c＝“5”とを比較し、経由DNS数801d＝“6”＞経由数81c＝“5”であるので、アドバンスドDNS広報801_12を廃棄する。
【０１９１】
この結果、サーバ100_1とサーバ100_6との間の最短経路に関する情報が、サーバ100_6のFQDNデータベース81_6に登録されたことになる。また、不要な広報がネットワークに伝送されることが無くなる。
【０１９２】
図６は、アドバンスド名前解決要求802の送信シーケンス例を示しており、この例では、アドバンスド名前解決要求802は、図４のアドバンスドDNS広報801で確立されたサーバ100_1からサーバ100_6への最短経路を逆に辿って伝送される。
【０１９３】
また、サーバ100_1〜100_6の認証許可送信元IPアドレスデータベース83_1〜83_6には、例えば、コマンドインタフェース70(図１参照。)を経由して予め認証を許可するユーザ端末群、すなわちIPアドレス群＝“M2”(図６参照。)が登録されている。
【０１９４】
なお、同図には、最短経路に関係するサーバ100_1〜100_6のみが図示され、図４に示したサーバ100_7〜100_12は図示されていない。また、図４に示した隣接アドバンスドDNSデータベース82_1〜82_6は、要求802の伝送には関与しないので図示されていない。
【０１９５】
従来の名前解決要求804の受信及びアドバンスド名前解決要求802送信動作(ステップT300)
図７は、IPアドレス＝“M2”のユーザ端末310_1が送出した従来の名前解決要求804_1を受信したアドバンスドDNSサーバ100_6の動作手順例を示している。この動作手順例を以下に説明する。
【０１９６】
図６において、ユーザ端末310_1は、名前解決要求804_1(FQDN804a＝“A.b.com”，Src-IP804b＝“M2”)を送出し、これをサーバ100_6が受信する。
【０１９７】
ステップS100，S110：図７において、サーバ100_6のアドバンスド名前解決要求作成部60(図１参照。)は、通信終端部10及び識別部20を経由して名前解決要求804_1を受信する。
【０１９８】
ステップS500：要求作成部60は、名前解決要求804_1からアドバンスド名前解決要求802(FQDN802b＝“A.b.com”，前DNS802c＝“L2(＝自サーバ100_6のIPアドレス)”，Src-IP802d＝“M2(＝ユーザ端末310_1のIPアドレス)”、図2(2)参照。)を作成し、この要求802をフロー識別エントリ作成部42に与える(図１参照。)。なお、前DNS802c及びSrc-IP802dは従来の名前解決要求に無かった情報である。
【０１９９】
ステップS220：作成部42は、アドバンスド名前解決要求802の前DNS802c＝“L2”とSrc-IP802d＝“M2”とを対応付けてフロー識別エントリデータベース85_6の前DNS85c、及びSrc-IP85bにそれぞれ登録(検索/書込813)した後、要求802を宛先/送信元ドメイン判定部43に与える。
【０２００】
ステップS230：判定部43は、要求802が自サーバ100が管理するドメイン名に対する名前解決要求であるか否か、すなわち、自サーバ100が送出したアドバンスドDNS広報801のFQDN801bに対するアドバンスド名前解決要求802か否かを判定する。
【０２０１】
判定部43は、自サーバ100が管理するドメイン名の名前解決要求でないので(その他)、要求802を次DNS決定部45に与える。
【０２０２】
ステップS240：次DNS決定部45は、要求802のFQDN802b＝“A.b.com”をキーとして、FQDNデータベース81を検索814する。
【０２０３】
ステップS250：“A.b.com”にヒットする(図６のFQDNデータベース81_6のFQDN81a参照。)。そこで、次DNS決定部45は、アドバンスド名前解決要求802_1(FQDN802b＝“A.b.com”，前DNS802c＝自サーバにIPアドレス“L2”，送信元IPアドレス802d＝ユーザ端末のIPアドレス“M2”)を作成する。
【０２０４】
さらに、次DNS決定部45は、FQDNデータベース81から、ヒットした“A.b.com”に対応する次DNS81b＝“J2(サーバ100_5のIPアドレス)”を取得し(検索814)、このサーバ100_5宛にアドバンスド名前解決要求802_1を、通信終端部10を経由して転送する(図６参照。)。
【０２０５】
アドバンスド名前解決要求802の転送動作(ステップT400)
図８は、サーバ100_5(図６参照。)におけるアドバンスド名前解決要求802_1の処理動作手順例を示している。この手順例を以下に説明する。
【０２０６】
ステップS100，S110：送信元アドレス認証部41は、通信終端部10及びDNSパケット種別識別部20を経由してアドバンスド名前解決要求802_1(以下、符号802を用いる。)を受信する。
【０２０７】
ステップS200：認証部41は、要求802の送信元IPアドレス(Src-IP)802d＝“M2”をキーとして認証許可送信元IPアドレスデータベース83を検索する。
【０２０８】
ステップS210：認証部41は、“M2”がデータベース83内のエントリ＝“M2”にヒットしたので、送信元のユーザ端末310_1(送信元IPアドレス＝“M2”)は認証されていると判断し、フロー識別エントリ作成部42に要求802を与える。
【０２０９】
ステップS220：作成部42は、要求802の前DNS802c＝“L2”と送信元IPアドレス802d＝“M2”とを対応付けてフロー識別エントリデータベース85_5(図６参照。)に登録(検索/書込813)した後、要求802を宛先/送信元ドメイン判定部43に与える。
【０２１０】
ステップS230：判定部43は、要求802が自サーバ100が管理するドメイン名に対する名前解決要求であるか否かを判定し、自サーバ100が管理するドメイン名の名前解決要求でないので(その他であるので)、要求802を次DNS決定部45に与える。
【０２１１】
ステップS240：次DNS決定部45は、要求802のFQDN802b＝“A.b.com”をキーとして、FQDNデータベース81_5を検索814する。
【０２１２】
ステップS250：“A.b.com”にヒットしたので(同図のFQDNデータベース81_5のFQDN81a参照。)、次DNS決定部45は、要求802_2(前DNS802c＝自サーバのIPアドレス“J2”，送信元IPアドレス802d＝ユーザ端末のIPアドレス“M2”、図２参照。)を作成する。
【０２１３】
そして、次DNS決定部45は、FQDNデータベース81からヒットした“A.b.com”に対応する次DNS81b＝“H2(サーバ100_4のIPアドレス)”を取得し、このサーバ100_4宛にアドバンスド名前解決要求802_2を、通信終端部10を経由して転送する(図６参照。)。
【０２１４】
サーバ100_4〜100_2においても同様の転送動作が行われ、アドバンスド名前解決要求802_3〜802_5(図６参照。)が、それぞれ、サーバ100_3〜100_1に転送される。
【０２１５】
アドバンスド名前解決要求802の受信動作例(ステップT500)
図９は、サーバ100_1におけるアドバンスド名前解決要求802_5の処理動作手順例を示している。この手順例を以下に説明する。
【０２１６】
ステップS100，S110：送信元アドレス認証部41(図１参照。)は、通信終端部10及びDNSパケット種別識別部20を経由してアドバンスド名前解決要求802_5(以下、符号802を用いる。)を受信する。
【０２１７】
ステップS200，S210：認証部41は、要求802の送信元IPアドレス(Src-IP)802d＝“M2”をキーとしてデータベース83_1を検索し、ヒットしたので、フロー識別エントリ作成部42に要求802を与える。
【０２１８】
ステップS220：作成部42は、それぞれ、要求802の前DNS802c＝“D2”と送信元IPアドレス802d＝“M2”とを対応付けてフロー識別エントリデータベース85_1の前DNS85c及びSrc-IP85bに登録した後、要求802を宛先/送信元ドメイン判定部43に与える。
【０２１９】
ステップS230：判定部43は、要求802が自サーバ100が管理するドメイン名に対する名前解決要求であるか否かを判定し、自サーバ100が管理するドメイン名に対する名前解決要求であるので、要求802を名前解決部44に与える。
【０２２０】
ステップS260：名前解決部44は、要求802のFQDN802b＝“A.b.com”をキーとして、FQDNデータベース81を検索815する。
【０２２１】
ステップS270：FQDN81a＝“A.b.com”にヒットしたので(図６のFQDNデータベース81_1参照。)、名前解決部44は、要求802に対するアドバンスド名前解決応答803(図2(3)参照。)を作成する。
【０２２２】
すなわち、名前解決部44は、応答803(解決されたIPアドレス803b＝“A.b.comのIPアドレス“A1””，認証結果803c＝“認証OK”，送信元IPアドレス803d＝“M2”)を作成する。
【０２２３】
これにより、アドバンスド名前解決要求802に対するアドバンスド名前解決応答803が作成されたことになる。さらに、名前解決部44は、応答803をフロー識別エントリ追記部51に与える。
【０２２４】
ステップS300〜S320：追記部51は、応答803内の送信元IPアドレス803d＝“M2”をキーに、フロー識別エントリデータベース85のSrc-IP85bを検索し、ヒットするので、対応した前DNS85cのIPアドレス＝“D2”を応答803の宛先とする。
【０２２５】
ステップS330：さらに、追記部51は、ヒットしたエントリのDst-IP85aにアドバンスド名前解決応答803内の解決したIPアドレス＝“A1”を登録(検索/書込816)した後、応答803をルータ設定部52に与える。
【０２２６】
ステップS340：ルータ設定部52は、外部ゲートウェイルータIPアドレスデータベース84_1(図示せず。)から、自ドメインの外部ゲートウェイルータ520_1のIPアドレス＝“B3”得る。
【０２２７】
ステップS350〜360：さらに、ルータ設定部52は、応答803内の送信元IPアドレス803d＝“M2”をキーにフロー識別エントリデータベース85を検索し、送信元IPアドレス803d＝“M2”に対応するフロー識別エントリ(Dst-IP＝“A1”，Src-IP＝“M2”)を含むフロー識別設定信号806を外部ゲートウェイルータ520_1に送信した後、応答803を自ドメイン宛判定部53に与える。
【０２２８】
これにより、外部ゲートウェイルータ520_1にフロー識別情報(A1，M2)が登録されたことになる。
【０２２９】
ステップS370，S380：判定部53は、フロー識別エントリ追記部51で検索した“前DNS”のIPアドレス“D2”が、自ネットワーク事業者の有するIPアドレスではないので、通信終端部10経由でアドバンスド名前解決応答803を送出する。
【０２３０】
これにより、アドバンスド名前解決応答803が、サーバ100_6に向けて送出されたことになる。この応答803が、ユーザ端末310_1に伝送される手順は後述する。
【０２３１】
以上の説明では、ユーザ収容網300、中継網400_1，400_2、及びサービス提供者網500が共に、ユーザ端末310_1、すなわち、IPアドレス＝“M2”を認証した場合のアドバンスド名前解決要求802の伝送手順例を示した。
【０２３２】
アドバンスド名前解決要求802の受信動作例(ステップT600)：認証不許可処理
次に、中継網400_2が認証していないアドレス＝“M4”を有するユーザ端末310_2(図６参照。)が、送出した名前解決要求804_2の処理手順例を以下に示す。
【０２３３】
図６において、ユーザ端末310_2は、名前解決要求804_2(FQDN804a＝“A.b.com”，Src-IP804b＝“M4”)を送出し、これをサーバ100_6が受信する。
【０２３４】
サーバ100_6が、名前解決要求804_2を受信したときの処理動作手順例は、図７に示した、サーバ100_6がユーザ端末310_1から受信した名前解決要求804_1を処理する動作手順例(ステップT300)と同様である。
【０２３５】
ステップS100，S110：アドバンスド名前解決要求作成部60(図１参照。)は、通信終端部10及び識別部20を経由して名前解決要求804_2を受信する。
【０２３６】
ステップS500：要求作成部60は、名前解決要求804_2からアドバンスド名前解決要求802_6(FQDN802b＝“A.b.com”，前DNS802c＝“L2”，Srs-IP802d＝“M4”)を作成しフロー識別エントリ作成部42に与える。
【０２３７】
ステップS220：作成部42は、名前解決要求804の送信元IPアドレス(Src-IP)＝“M4”をフロー識別エントリデータベース85_6の前DNS85c、及びSrc-IP85bにそれぞれ登録した後、アドバンスド名前解決要求802を宛先/送信元ドメイン判定部43に与える。
【０２３８】
ステップS230：判定部43は、要求802が自サーバ100が管理するドメイン名の名前解決要求でないので、要求802を次DNS決定部45に与える。
【０２３９】
ステップS240，S250：次DNS決定部45は、要求802のFQDN802b＝“A.b.com”をキーとして、FQDNデータベース81を検索814し、ヒットしたので(図６のFQDNデータベース81_6のFQDN81a参照。)、要求802_6(FQDN802b＝“A.b.com”，前DNS802c＝自サーバのIPアドレス“L2”，送信元IPアドレス802d＝ユーザ端末のIPアドレス＝“M4”)を作成する。
【０２４０】
この要求802_6を、次DNS決定部45は、FQDNデータベース81から取得した次DNS81b＝“J2”のIPアドレスのサーバ100_5宛に通信終端部10を経由して転送する(図６参照。)。
【０２４１】
図８のステップT600(破線で囲った部分)は、サーバ100_5における要求802_6の受信処理動作例を示している。この動作例を以下に説明する。
【０２４２】
ステップS100，S110：送信元アドレス認証部41(図１参照。)は、通信終端部10及び識別部20を経由してアドバンスド名前解決要求802_6(以下、符号802で略称する)を受信する。
【０２４３】
ステップS200，S210：認証部41(図１参照。)は、アドバンスド名前解決要求802内の送信元IPアドレス802d＝“M4”をキーとして、認証許可送信元IPアドレスデータベース83を検索812する。中継網400_2はIPアドレス＝“M4”を認証していないので、認証部41は“M4”の検索812でミスヒットする。
【０２４４】
ステップS215：認証部41は、アドバンスド名前解決要求802を廃棄する。
【０２４５】
これにより、中継網400_2は、認証していないIPアドレス＝“M4”のユーザ端末310_2からのアドバンスド名前解決要求802の送信を許可しない。したがって、アドバンスド名前解決要求802に対するアドバンスド名前解決応答803も返送されず、フロー識別エントリデータベース85に、後述するフロー識別がエントリされない。
【０２４６】
この結果、中継網400_2を経由した、ユーザ端末310_2とサービス提供元サーバ510との間のパケット転送は行われない。
【０２４７】
アドバンスド名前解決応答803の受信動作例(ステップT700)
図10は、図６で示したサーバ100_1から送出されたアドバンスド名前解決応答803_1の送信動作手順例を示している。この動作手順例を以下に説明する。
【０２４８】
サーバ100_1から送出されたアドバンスド名前解決応答803_1は、順次、サーバ100_2〜サーバ100_6でアドバンスド名前解決応答803_2〜803_5、及び名前解決応答805に変換されてサーバ100_3〜サーバ100_6及びユーザ端末310_1に伝送される。
【０２４９】
また、サーバ100_2〜100_6は、それぞれ、アドバンスド名前解決応答803_1〜803_5を受信したとき、自ドメインの外部ゲートウェイルータ520_2〜520_6にフロー識別設定信号(Dst-IP＝“A1”，Src-IP＝“M2”)806_2〜806_6を与える。
【０２５０】
図11は、サーバ100_2において、アドバンスド名前解決応答803_1を受信処理する動作手順例を示しており、この動作手順例を以下に説明する。
【０２５１】
アドバンスド名前解決応答803の転送及び外部ゲートウェイへのフロー識別情報の設定(ステップT800)
ステップS100，S200：フロー識別エントリ追記部51は、通信終端部10及びDNSパケット種別識別部20を経由して、アドバンスド名前解決応答803_1(解決されたIPアドレス803b＝“A1”，認証結果803c＝“認証OK”，Src-IP803d＝“M2”)を受信する。
【０２５２】
ステップS300〜S320：フロー識別エントリ追記部51は、受信した応答803_1のSrc-IP803d＝“M2”をキーとして、フロー識別エントリデータベース85_2を検索816し(図1及び図10参照。)、ヒットした“M2”に対応する前DNS85c＝“F2”を次の転送先の宛先とする。
【０２５３】
ステップS330：さらに、フロー識別エントリ追記部51は、データベース85のヒットしたエントリに応答803内の解決されたIPアドレス(Dst-IP)803b＝“A1”を登録(書込816)した後、応答803をルータ設定部52に与える。
【０２５４】
ステップS340：ルータ設定部52は、外部ゲートウェイルータIPアドレスデータベース84から、自ドメインの外部ゲートウェイルータ520_2のIPアドレス＝“D1”を獲得(検索818)する。
【０２５５】
ステップS350，S360：さらに、ルータ設定部52は、アドバンスド名前解決応答803内の送信元IPアドレス＝“M2”をキーとして、データベース85の検索817を行い、検索されたフロー識別エントリ(Dst-IP＝“A1”，Src-IP＝“M2”)を含むフロー識別設定信号806_2を、IPアドレス＝“D1”の外部ゲートウェイルータ520_2宛て送出した後、応答803を自ドメイン宛判定部53に与える。
【０２５６】
外部ゲートウェイルータ520_2は、認証されたフロー識別情報(Dst-IP＝“A1”，Src-IP＝“M2”)521として保持する。
【０２５７】
ステップS370：自ドメイン宛判定部53は、追記部51で検索した前DNS85c＝“F2”が、自ネットワークが有するユーザ端末のIPアドレスでないので、アドバンスド名前解決応答803_2をIPアドレス＝“F2(＝前DNS85c)”のサーバ100_3に通信終端部10を経由して転送する。
【０２５８】
同様に、サーバ100_3〜100_5は、順次、アドバンスド名前解決応答803_2〜803_4を受信して、サーバ100_4〜100_6にアドバンスド名前解決応答803_3〜803_5を与える。
【０２５９】
また、同様に、サーバ100_3〜100_5は、外部ゲートウェイルータ520_3〜520_5にフロー識別設定信号806_3〜806_5を与え、外部ゲートウェイルータ520_3〜520_5は、認証されたフロー識別情報(Dst-IP＝“A1”，Src-IP＝“M2”)521を保持する。
【０２６０】
アドバンスド名前解決応答803/名前解決応答805変換及び外部ゲートウェイへのフロー識別情報の設定(ステップT800)
また、図11は、サーバ100_6が、受信したアドバンスド名前解決応答803_5を処理する動作手順例(一点鎖線で囲まれたステップT800参照。)も示している。この動作手順例を以下に説明する。
【０２６１】
ステップS100，S200，S300〜S360：上述したサーバ100_2〜100_5におけるアドバンスド名前解決応答803_1〜803_4の受信処理動作手順例と同様であり、
データベース85_6のDst-IP85a＝“A1”が設定され、外部ゲートウェイルータ520_6にフロー識別情報(Dst-IP＝“A1”，Src-IP＝“M2”)521が保持される。
【０２６２】
ステップS370，S400，S410：追記部51で検索した前DNSのIPアドレスが自ネットワークの有するユーザ端末のIPアドレスである場合、名前解決応答変換部54は、アドバンスド名前解決応答803を従来の名前解決応答805(Dst-IP＝“A1”)に変換し、この名前解決応答805を通信終端部10を経由して、ユーザ端末310_1に転送する。
【０２６３】
これにより、ユーザ端末310_1は、名前解決要求804_1(図６参照。)に対する名前解決応答805を、ユーザ端末310_1を認証する中継網400_1，400_2を経由して受信したことになる。
【０２６４】
IPパケットの伝送
図12は、ユーザ端末310_1が、送出したIPパケット810(宛先IPアドレス810b＝“A1”，送信元IPアドレス810c＝“M2”)の伝送動作シーケンス例を示している。この動作シーケンス例を以下に説明する。
【０２６５】
ステップT900：ユーザ端末310_1が、送出したIPパケット810(宛先IPアドレス810b＝“A1”，送信元IPアドレス810c＝“M2”)を送出する。
【０２６６】
ステップT910：外部ゲートウェイルータ520_6は、IPパケット810を受信し、このIPパケット810のフロー識別を行う、すなわち、フロー識別情報521を参照して、フロー(宛先IPアドレス810b＝“A1”，送信元IPアドレス810c＝“M2”)が登録されているので、IPパケット810は認証されたものと認識し、IPパケットを次の外部ゲートウェイルータ520_5に転送する。
【０２６７】
ステップT920〜T950：同様に、外部ゲートウェイルータ520_5〜520_2は、順次、受信したIPパケット810を、フロー識別情報521を参照して、IPパケット810は認証されたものと認識し、IPパケットを次の外部ゲートウェイルータ520_4〜520_1に転送する。
【０２６８】
ステップT960：外部ゲートウェイルータ520_1は、受信したIPパケット810を、フロー識別情報521を参照して、IPパケット810は認証されたものと認識し、IPパケットをサービス提供元サーバ510に転送する。
【０２６９】
これにより、IPパケット810は、認証されたユーザ収容網300、中継網400_2，中継網400_1、及びサービス提供者網500を経由してサービス提供元サーバ510に転送されたことになる。
（付記１）
IPパケットを中継する複数のネットワークの各々に設けられた名前解決・認証装置間における名前解決・認証方法であって、
隣接する名前解決・認証装置のIPアドレスを登録する第１ステップと、
自装置が管理するFQDNと自装置のIPアドレスとを示すアドバンスドDNS広報を、該IPアドレスの隣接装置宛に送出する第２ステップと、
受信した該アドバンスドDNS広報に示されたFQDNが登録されていないとき、該受信したアドバンスドDNS広報に示された該FQDNと該IPアドレスとを対応付けて登録する第３ステップと、
を有することを特徴とした名前解決・認証方法。
（付記２）上記の付記１において、
該第３ステップは、さらに、受信した該アドバンスドDNS広報に示された該FQDN及び該IPアドレスが対応付けられて登録されていないとき、該受信したアドバンスドDNS広報のIPアドレスを自装置のIPアドレスに置き換えたアドバンスドDNS広報を、該IPアドレスの隣接装置宛に転送することを特徴とした名前解決・認証方法。
（付記３）上記の付記１において、
該アドバンスドDNS広報が、さらに、自分自身が経由した名前解決・認証装置数を含み、
該第３ステップにて、さらに、該経由数を該FQDNに対応付けられて登録し、
該アドバンスドDNS広報が示す経由数及び登録された該経由数に基づき、該アドバンスドDNS広報の該FQDNを登録するか否か、該アドバンスドDNS広報を転送するか否かを決定する第４ステップを、
さらに有することを特徴とした名前解決・認証方法。
（付記４）上記の付記１において、
認証した送信元IPアドレスを予め登録する第５ステップと、
受信したアドバンスド名前解決要求に示された送信元IPアドレスが、該認証した送信元IPアドレスとして登録されているとき、アドバンスド名前解決要求に含まれる該送信元IPアドレスと該アドバンスド名前解決要求を転送した隣接の名前解決・認証装置のIPアドレスと対応付けて登録する第６ステップと、
をさらに有することを特徴とした名前解決・認証方法。
（付記５）上記の付記４において、
受信した名前解決要求を変換した該アドバンスド名前解決要求を作成する第７ステップを、第６ステップの前にさらに有することを特徴とした名前解決・認証方法。
（付記６）上記の付記４において、
該第６ステップは、受信した該アドバンスド名前解決要求に示された送信元IPアドレスが該認証登録された送信元IPアドレスでない、アドバンスド名前解決要求を廃棄することを特徴とした名前解決・認証方法。
（付記７）上記の付記４において、
該アドバンスド名前解決要求に対するアドバンスド名前解決応答を受信し、この応答に示されたFQDNのIPアドレスも、該フロー識別エントリデータベースの該送信元IPアドレスに対応付けて登録し、該アドバンスド名前解決応答を該フロー識別エントリデータベースに登録された該IPアドレスの隣接装置宛てに転送する第８ステップを、さらに有することを特徴とした名前解決・認証方法。
（付記８）上記の付記７において、
該アドバンスド名前解決応答を名前解決応答に変換して従来の端末に転送する第９ステップを、有することを特徴とした名前解決・認証方法。
（付記９）上記の付記７において、
自装置が属するネットワークの外部ゲートウェイルータのIPアドレスを予め登録する第１０ステップと、
該登録された外部ゲートウェイルータに、該FQDNのIPアドレス及び該送信元IPアドレスの中の少なくとも一方の設定を行う第１１ステップと、
をさらに有することを特徴とした名前解決・認証方法。
（付記１０）
IPパケットを中継する複数のネットワークの各々に設けられた名前解決・認証装置であって、
隣接する名前解決・認証装置のIPアドレスを登録した隣接アドバンスドDNSデータベースと、
自装置が管理するFQDNと自装置のIPアドレスとを示すアドバンスドDNS広報を、該隣接アドバンスドDNSデータベースに登録されたIPアドレスの装置宛に送出するアドバンスドDNS広報送出部と、
FQDNデータベースと、
受信した該アドバンスドDNS広報に示されたFQDNが該FQDNデータベースに登録されていないとき、該受信したアドバンスドDNS広報に示された該FQDNと該IPアドレスとを対応付けて該FQDNデータベースに登録するアドバンスドDNS広報処理部と、
を備えたことを特徴とする名前解決・認証装置。
（付記１１）上記の付記１０において、
該アドバンスドDNS広報処理部は、さらに、受信した該アドバンスドDNS広報に示された該FQDN及び該IPアドレスが対応付けられて該FQDNデータベースに登録されていないとき、該受信したアドバンスドDNS広報のIPアドレスを自装置のIPアドレスに置き換えたアドバンスドDNS広報を該隣接アドバンスドDNSデータベースに登録されたIPアドレスの装置宛に転送することを特徴とした名前解決・認証装置。
（付記１２）上記の付記１０において、
該アドバンスドDNS広報は、さらに、自分自身が経由した名前解決・認証装置数を含み、
該FQDNデータベースには、さらに、該経由数が該FQDNに対応付けられて登録されており、
該アドバンスドDNS広報処理部は、さらに、該アドバンスドDNS広報が示す経由数及び該FQDNデータベースに登録された該経由数に基づき、該アドバンスドDNS広報の該FQDNを該FQDNデータベースに登録するか否か、該アドバンスドDNS広報を転送するか否かを決定することを特徴とした名前解決・認証装置。
（付記１３）上記の付記１０において、
認証した送信元IPアドレスを予め登録した認証許可送信元IPアドレスデータベースと、
フロー識別エントリデータベースと、
受信したアドバンスド名前解決要求に示された送信元IPアドレスが、該認証許可送信元IPアドレスデータベースに登録されているとき、アドバンスド名前解決要求に含まれる該送信元IPアドレスと該アドバンスド名前解決要求を転送した隣接の名前解決・認証装置のIPアドレスと対応付けて該フロー識別エントリデータベースに登録するアドバンスド名前解決要求処理部と、
をさらに備えたことを特徴とする名前解決・認証装置。
（付記１４）上記の付記１３において、
受信した名前解決要求を変換したアドバンスド名前解決要求を作成して該アドバンスド名前解決要求処理部に与えるアドバンスド名前解決要求作成部をさらに備えたことを特徴とする名前解決・認証装置。
（付記１５）上記の付記１３において、
アドバンスド名前解決要求処理部は、受信した該アドバンスド名前解決要求に示された送信元IPアドレスが該認証許可送信元IPアドレスデータベースに登録されていないとき、アドバンスド名前解決要求を廃棄することを特徴とした名前解決・認証装置。
（付記１６）上記の付記１３において、
該アドバンスド名前解決要求に対するアドバンスド名前解決応答を受信し、この応答に示されたFQDNのIPアドレスも、該フロー識別エントリデータベースの該送信元IPアドレスに対応付けて登録し、該アドバンスド名前解決応答を該フロー識別エントリデータベースに登録された該IPアドレスの隣接装置宛てに転送するアドバンスド名前解決応答処理部を、さらに備えたことを特徴とする名前解決・認証装置。
（付記１７）上記の付記１６において、
アドバンスド名前解決応答処理部が、該アドバンスド名前解決応答を名前解決応答に変換し、この応答を該フロー識別エントリデータベースに登録された該IPアドレスの隣接装置宛てに転送することを特徴とした名前解決・認証装置。
（付記１８）上記の付記１６において、
自装置が属するネットワークの外部ゲートウェイルータのIPアドレスが予め登録された外部ゲートウェイルータIPアドレスデータベースをさらに備え、
該アドバンスド名前解決応答処理部が、外部ゲートウェイルータIPアドレスデータベースに登録された外部ゲートウェイルータに、該フロー識別エントリデータベースに登録された該FQDNのIPアドレス及び送信元IPアドレスの中の少なくとも一方の設定を行うことを特徴とした名前解決・認証装置。
【図面の簡単な説明】
【０２７０】
【図１】本発明に係る名前解決・認証装置の実施例を示したブロック図である。
【図２】本発明に係る名前解決・認証装置間で送受信されるメッセージ例を示した図である。
【図３】本発明に係る名前解決・認証装置の全体動作手順例を示したフローチャート図である。
【図４】本発明に係る名前解決・認証装置間で送受信されるアドバンスドDNS広報の処理動作手順(転送処理T100及び廃棄処理T200)例を示したシーケンス図である。
【図５】本発明に係る名前解決・認証装置におけるアドバンスドDNS広報の処理手順(転送処理T100及び廃棄処理T200)例を示したフローチャート図である。
【図６】本発明に係る名前解決・認証装置間で送受信されるアドバンスド名前解決要求処理動作手順(名前解決要求変換処理T300、転送処理T400、応答処理T500、及び認証拒否処理T600)例を示したシーケンス図である。
【図７】本発明に係る名前解決・認証装置間で送受信される名前解決要求/アドバンスド名前解決要求変換処理(T300)動作手順例を示したフローチャート図である。
【図８】本発明に係る名前解決・認証装置におけるアドバンスド名前解決要求の処理動作手順例(転送処理T400及び認証拒否処理T600)を示したフローチャート図である。
【図９】本発明に係る名前解決・認証装置におけるアドバンスド名前解決要求に対するアドバンスド名前解決応答処理(T500)動作手順例を示したフローチャート図である。
【図１０】本発明に係る名前解決・認証装置におけるアドバンスド名前解決応答の転送処理(T700)及びアドバンスド名前解決応答/名前解決応答変換処理(T800)の動作手順例を示したシーケンス図である。
【図１１】本発明に係る名前解決・認証装置におけるアドバンスド名前解決応答の転送処理(T700)及びアドバンスド名前解決応答/名前解決応答変換処理(T800)の動作手順例を示したフローチャート図である。
【図１２】本発明に係る名前解決・認証装置におけるIPパケット転送処理手順(T900〜T920)例を示したシーケンス図である。
【図１３】一般的なドメイン・ツリーを示したブロック図である。
【図１４】一般的なユーザ収容網、中継網、及びサービス提供者網の接続例を示したブロック図である。
【図１５】従来の認証用技術をまとめた図である。
【符号の説明】
【０２７１】
100，100_1〜100_12  名前解決・認証装置、アドバンスドDNSサーバ
10  通信終端部                    20  DNSパケット種別識別部
30  アドバンスドDNS広報処理部     31  エントリ作成部
32  次DNS決定部
40  アドバンスド名前解決要求処理部
41  送信元アドレス認証部          42  フロー識別エントリ作成部
43  宛先/送信元ドメイン判定部
44  名前解決部、アドバンスド名前解決応答作成部
45  次DNS決定部
50  アドバンスド名前解決応答処理部
51  フロー識別エントリ追記部      52  ルータ設定部
53  自ドメイン宛判定部            54  名前解決応答変換部
60  アドバンスド名前解決要求作成部
70  コマンドインタフェース        80  データベース部
81，81_1〜81_12  FQDNデータベース 81a  FQDN
81b  次DNS                        81c  経由数
82，82_1〜82_12  隣接アドバンスドDNSデータベース
82a，…  IPアドレス
83，83_1〜82_6  認証許可送信元IPアドレスデータベース
83a，…  送信元IPアドレス、Src-IP
84  外部ゲートウェイルータIPアドレスデータベース
84a，…  IPアドレス
85，85_1〜85_6  フロー識別エントリデータベース
85a  宛先IPアドレス、Dst-IP       85b  送信元IPアドレス、Src-IP
85c  前DNS
300  ユーザ収容網                 310，310_1，310_2  ユーザ端末
400，400_1〜400_5  中継網         500  サービス提供者網
510  Webサーバ、サービス提供元サーバ
520，520_1〜520_12  外部ゲートウェイルータ
521  フロー識別情報
530，530_1〜530_12  内部ゲートウェイルータ
600  ネットワーク                 800  パケット
801，801_1〜801_12  アドバンスドDNS広報
801a  メッセージ種別              801b  FQDN
801c  次DNS                       801d  経由DNS数
802，802_1〜802_6  アドバンスド名前解決要求
802a  メッセージ種別              802b  従来のDNS要求の情報、FQDN
802c  前DNS                       802d  送信元IPアドレス、Src-IP
803，803_1〜803_5  アドバンスド名前解決応答
803a  メッセージ種別
803b  解決されたIPアドレス、従来の名前解決応答の情報
803c  認証結果                    803d  送信元IPアドレス、Src-IP
804，804_1，804_2  名前解決要求
804a  FQDN                        804b  Src-IP
805  名前解決応答                 805a  Dst-IP
806，806_1〜806_6  フロー識別設定信号
810，813，816  検索/書込
811，812，814，815，817，818  検索
820〜823  設定                    890  パケット
A1〜Z1，A2〜Z2，B3〜Z3，C4，K4，M4  IPアドレス
A.b.com  ドメイン名
図中、同一符号は同一又は相当部分を示す。
【図１】
2005086700.tif 000003
【図２】
2005086700.tif 000004
【図３】
2005086700.tif 000005
【図４】
2005086700.tif 000006
【図５】
2005086700.tif 000007
【図６】
2005086700.tif 000008
【図７】
2005086700.tif 000009
【図８】
2005086700.tif 000010
【図９】
2005086700.tif 000011
【図１０】
2005086700.tif 000012
【図１１】
2005086700.tif 000013
【図１２】
2005086700.tif 000014
【図１３】
2005086700.tif 000015
【図１４】
2005086700.tif 000016
【図１５】
2005086700.tif 000017