(57)【要約】【課題】事前登録を行うことなく、ＩＰｓｅｃ通信を行う端末で他のプロトコル等に対応していなくても、１つのグローバルアドレスにより複数のＩＰｓｅｃ通信を行わせることができるアドレス変換方法及びその装置を提供する。【解決手段】アドレス変換部１４は、アクセス制御部１３からの、ＷＡＮ上の端末からのｈｔｔｐｓセッションにより認証されたユーザから指定された該端末のＩＰアドレスをソースＩＰアドレスとするアドレス変換ルールの追加要求によりアドレス変換ルールをデータベース部１６に記憶されているアドレス変換テーブルに追加する。また、ＬＡＮ内の端末から受信したＩＰｓｅｃのパケットに対応するアドレス変換ルールが登録されていない場合、該パケットの送信元ＩＰアドレスと宛先ＩＰアドレスによるＩＰｓｅｃパケットのアドレス変換ルールをアドレス変換テーブルに追加する。【選択図】図１
2007006109.tif 000002
【特許請求の範囲】
【請求項１】
アドレス変換ルールが登録されるデータベースを有し、ローカルなネットワークとグローバルなネットワークとを相互に接続するアドレス変換装置を用いて、前記ローカルなネットワークで使用されるアドレスと前記グローバルなネットワークで使用されるアドレスとを相互に変換するアドレス変換方法であって、
前記アドレス変換装置は、
前記グローバルなネットワークの端末から受信したセッションを受け付け、該端末のアドレスを送信元とするパケットに対するアドレス変換ルールをデータベースに追加登録し、
前記ローカルなネットワークの端末からＩＰｓｅｃ通信の開始を示すパケットを受信したときに、該パケットの宛先アドレス及び送信元アドレスのＩＰｓｅｃパケットに対するアドレス変換ルールが前記データベースに登録されていなければ、該宛先アドレス及び送信元アドレスのＩＰｓｅｃパケットに対するアドレス変換ルールを前記データベースに追加登録し、
前記ローカルなネットワークで使用されるアドレスと前記グローバルなネットワークで使用されるアドレスとを、前記データベースに登録されているアドレス変換ルールに基づいて相互に変換する
ことを特徴とするアドレス変換方法。
【請求項２】
前記アドレス変換装置は、前記セッションの切断時に、前記セッションにより追加されたアドレス変換ルールを前記データベースから削除する
ことを特徴とする請求項１に記載のアドレス変換方法。
【請求項３】
ローカルなネットワークとグローバルなネットワークとを相互に接続し、前記ローカルなネットワークで使用されるアドレスと前記グローバルなネットワークで使用されるアドレスとを相互に変換するアドレス変換装置であって、
前記ローカルなネットワークで使用されるアドレスとグローバルなネットワークで使用されるアドレスとを、データベースに登録されているアドレス変換ルールに基づいて相互に変換するアドレス変換手段と、
前記データベースと、
前記グローバルなネットワークの端末から受信したセッションを受け付け、該端末のアドレスを送信元とするパケットに対するアドレス変換ルールを前記データベースに追加登録する手段と、
前記ローカルなネットワークの端末からＩＰｓｅｃ通信の開始を示すパケットを受信したときに、該パケットの宛先アドレス及び送信元アドレスのＩＰｓｅｃパケットに対するアドレス変換ルールが前記データベースに登録されていなければ、該宛先アドレス及び送信元アドレスのＩＰｓｅｃパケットに対するアドレス変換ルールを前記データベースに追加登録する手段とを備えている
ことを特徴とするアドレス変換装置。
【請求項４】
前記セッションの切断時に、前記セッションにより追加されたアドレス変換ルールを前記データベースから削除する手段を有する
ことを特徴とする請求項３に記載のアドレス変換装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、インターネットとローカルエリアネットワーク（ＬＡＮ）とを相互に接続し、インターネットで使われるアドレスとＬＡＮで使われるアドレスとを相互変換して、インターネットで使われる１つのアドレスによりＬＡＮ内の複数の端末がインターネットへアクセスできるようにするアドレス変換方法及びその装置に関する。
【背景技術】
【０００２】
従来、インターネットで使われる１つ（場合によっては複数）のアドレス（グローバルアドレス）を、ＬＡＮ内で使用されるアドレス（プライベートアドレス）しか持たない複数の端末で共有して、該複数の端末がインターネットにアクセスできるようにするアドレス変換装置（ＮＡＴ（Network Address Translator）装置）が知られている。
【０００３】
また、インターネット側からのアクセスを、ＴＣＰ（Transmission Control Protocol）またはＵＤＰ（User Datagram Protocol）の宛先のポート番号により端末装置に振り分けることにより、同時に複数の端末がインターネットにアクセスできるようにするものもある。
【０００４】
このようなアドレス変換装置によりインターネットと接続されたＬＡＮ内の端末が、インターネット上の端末とＩＰｓｅｃ（Security Architecture for Internet Protocol）により通信する場合、ＩＰｓｅｃではポート番号が無いので、１つのグローバルアドレスに対して１つの端末を割り当てることしかできず、１つのグローバルアドレスを複数の端末で利用することができなかった。
【０００５】
このような問題を解決するため、ＩＰｓｅｃのパケットをＵＤＰのパケットにカプセル化して送るようにしたものもある（例えば、特許文献１参照）。
【特許文献１】特開2002-232450号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、このような従来のアドレス変換装置では、ＩＰｓｅｃ通信を行う双方でＵＤＰパケットへのカプセル化に対応している必要があり、ＵＤＰパケットへのカプセル化に対応していない端末とは通信することができなかった。
【０００７】
本発明は、上記の問題点に鑑み、事前登録を行うことなく、ＩＰｓｅｃ通信を行う端末で他のプロトコル等に対応していなくても、１つのグローバルアドレスにより複数のＩＰｓｅｃ通信を行わせることができるアドレス変換方法及びその装置を提供することを目的とする。
【課題を解決するための手段】
【０００８】
上記課題を解決するため、本発明のアドレス変換方法は、アドレス変換ルールが登録されるデータベースを有し、ローカルなネットワークとグローバルなネットワークとを相互に接続するアドレス変換装置を用いて、前記ローカルなネットワークで使用されるアドレスと前記グローバルなネットワークで使用されるアドレスとを相互に変換するアドレス変換方法であって、前記アドレス変換装置は、前記グローバルなネットワークの端末から受信したセッションを受け付け、該端末のアドレスを送信元とするパケットに対するアドレス変換ルールをデータベースに追加登録し、前記ローカルなネットワークの端末からＩＰｓｅｃ通信の開始を示すパケットを受信したときに、該パケットの宛先アドレス及び送信元アドレスのＩＰｓｅｃパケットに対するアドレス変換ルールが前記データベースに登録されていなければ、該宛先アドレス及び送信元アドレスのＩＰｓｅｃパケットに対するアドレス変換ルールを前記データベースに追加登録し、
前記ローカルなネットワークで使用されるアドレスと前記グローバルなネットワークで使用されるアドレスとを、前記データベースに登録されているアドレス変換ルールに基づいて相互に変換することを特徴とする。
【０００９】
また、上記課題を解決するため、本発明のアドレス変換装置は、ローカルなネットワークとグローバルなネットワークとを相互に接続し、前記ローカルなネットワークで使用されるアドレスと前記グローバルなネットワークで使用されるアドレスとを相互に変換するアドレス変換装置であって、前記ローカルなネットワークで使用されるアドレスとグローバルなネットワークで使用されるアドレスとを、データベースに登録されているアドレス変換ルールに基づいて相互に変換するアドレス変換手段と、前記データベースと、前記グローバルなネットワークの端末から受信したセッションを受け付け、該端末のアドレスを送信元とするパケットに対するアドレス変換ルールを前記データベースに追加登録する手段と、前記ローカルなネットワークの端末からＩＰｓｅｃ通信の開始を示すパケットを受信したときに、該パケットの宛先アドレス及び送信元アドレスのＩＰｓｅｃパケットに対するアドレス変換ルールが前記データベースに登録されていなければ、該宛先アドレス及び送信元アドレスのＩＰｓｅｃパケットに対するアドレス変換ルールを前記データベースに追加登録する手段とを備えていることを特徴とする。
【００１０】
本発明により、グローバルなネットワークとローカルなネットワークとの間の通信においてアドレス変換する際に、グローバルなネットワークから受信したパケットに対する送信元アドレスに対応したアドレス変換ルールが追加されて適用される。したがって、送信元アドレスが異なっていれば、同じプロトコルやポート番号でも異なる変換ルールが適用される。さらに、ローカルなネットワークの端末からのＩＰｓｅｃ通信の開始を示すパケット（ＩＫＥの最初のパケットや最初のＩＰｓｅｃパケット）により、該パケットの宛先アドレス及び送信元アドレスのＩＰｓｅｃパケットに対するアドレス変換ルールが追加され適用される。したがって、ローカルなネットワークの端末から開始されるＩＰｓｅｃ通信のアドレス変換ルールは自動的に登録される。
【００１１】
また、前記セッションの切断時には、前記セッションにより追加されたアドレス変換ルールを削除するとよい。
【００１２】
これにより、セッションの切断時にはアドレス変換ルールが削除され、変更した設定による誤ったアクセスを防ぐことができる。
【発明の効果】
【００１３】
本発明によれば、グローバルなネットワークの端末からのセッションにより該端末のアドレスを送信元とするパケットに対するアドレス変換ルールを追加しているので、送信元アドレスが異なっているパケットには異なったアドレス変換ルールを適用させることができ、同じポート番号で複数のサーバを公開したり、ポート番号の無いプロトコルで同時に複数の通信を行わせたりすることができる。
【００１４】
また、ローカルなネットワークの端末からのＩＰｓｅｃパケットを受信したとき、該パケットに対するアドレス変換ルールが登録されていなければ、該パケットに対するアドレス変換ルールを追加しているので、ローカルなネットワークの端末から開始されるＩＰｓｅｃ通信のアドレス変換ルールを自動的に登録することができ、事前のアドレス変換ルールの登録無しにＩＰｓｅｃ通信を行わせることができる。
【発明を実施するための最良の形態】
【００１５】
以下、本発明の一実施形態を図面を参照して説明する。
【００１６】
図１は本発明の一実施形態のアドレス変換装置を示すブロック図である。
【００１７】
図１において、１は本実施形態のアドレス変換装置で、インターネット等のグローバルなネットワークとローカルエリアネットワーク（ＬＡＮ）との間に介在されてこれらに接続され、インターネットなどのＷＡＮ（Wide Area Network）とのパケットの送受信を行うＷＡＮ側ネットワークインターフェース部１１と、ローカルなネットワークであるＬＡＮとのパケットの送受信を行うＬＡＮ側ネットワークインターフェース部１２と、ＷＡＮ側ネットワークインターフェース部１１およびＬＡＮ側ネットワークインターフェース部１２が受信したパケットを分析してアクセス制御を行うアクセス制御部１３と、アクセス制御部１３で通過が許可されたパケットおよびＬＡＮ内からＷＡＮ側へ送信されるパケットを分析してアドレス変換を行うアドレス変換部１４と、アクセス制御部１３の要求によりユーザの認証処理を行う認証処理部１５と、アクセス制御のためのデータやアドレス変換のためのデータ及び認証のデータを蓄えているデータベース部１６とを備えている。
【００１８】
このアドレス変換装置１は、ファイアウォール機能を備えており、アクセス制御部１３は、データベース部１６に記憶されている図２に示すようなアクセス制御テーブルに基づいて、ＷＡＮ側ネットワークインターフェース部１１で受信したパケットをＬＡＮ側ネットワークインターフェース部１２を介してＬＡＮ側に送信するか否かを決定している。
【００１９】
図２に示すアクセス制御テーブルにおいて、「ソースＩＰアドレス」の列は、ＷＡＮ側ネットワークインターフェース部１１で受信したパケットの送信元ＩＰアドレスを示し、「プロトコル、ソースポート番号」の列は、ＷＡＮ側ネットワークインターフェース部１１で受信したパケットのプロトコル名および該プロトコルでポート番号を使用する場合の送信元ポート番号を示し、「ディスティネーションＩＰアドレス」の列は、ＷＡＮ側ネットワークインターフェース部１１で受信したパケットの宛先ＩＰアドレスを示し、「プロトコル、ディスティネーションポート番号」の列は、ＷＡＮ側ネットワークインターフェース部１１で受信したパケットのプロトコル名および該プロトコルでポート番号を使用する場合の宛先ポート番号を示し、「動作」の列は、ＷＡＮ側ネットワークインターフェース部１１で受信したパケットの送信元および宛先が、当該行のそれぞれの値に一致したときに、そのパケットに対して行われる動作を示している。
【００２０】
なお、「プロトコル、ソースポート番号」および「プロトコル、ディスティネーションポート番号」の列で使用されるプロトコル名として、予め設定されてたプロトコル名とポート番号に対応付けられたプロトコル名を使用することができる。
【００２１】
例えば、図２に示すアクセス制御テーブルの１行目では、送信元ＩＰアドレス、ポート番号に関係なく、宛先ＩＰアドレスが「111.111.111.2」でかつプロトコル名が「ｈｔｔｐ（HyperText Transport Protocol、例えばＴＣＰ（Transmission Control Protocol）の８０）」であるパケットは、ＬＡＮ側に送信される（accept）。
【００２２】
同様に、図２に示すアクセス制御テーブルの２行目では、送信元ＩＰアドレスが「123.123.123.1」で、宛先ＩＰアドレスが「111.111.111.2」でかつプロトコル名が「ｓｓｈ（Secure SHell、例えばＴＣＰの２２）」であるパケットは、ＬＡＮ側に送信され、３行目では、全てのパケットが廃棄される（drop）。
【００２３】
アクセス制御部１３は、このようなアクセス制御テーブルの上の行から順に、受信したパケットが一致するか否かを検証し、一致すれば指定された動作を行い、そのパケットに対する処理は終了する。すなわち、図２に示したアクセス制御テーブルでは、上の行に設定された条件がより優先的に処理される条件となっている。
【００２４】
また、このアドレス変換装置１は、データベース部１６に、図３に示すようなアドレス変換テーブルを記憶しており、アドレス変換部１４は、このテーブルに基づいて、ＷＡＮ側ネットワークインターフェース部１１で受信しアクセス制御部１３を通過したパケットのディスティネーションＩＰアドレスをＬＡＮの内部のＩＰアドレスに変換して、ＬＡＮ側ネットワークインターフェース部１２を介してＬＡＮ側に送信する。
【００２５】
また、ＬＡＮ側ネットワークインターフェース部１２で受信したパケットのソースＩＰアドレスをＷＡＮのＩＰアドレス（グローバルアドレス）に変換して、アクセス制御部１３に出力し、アクセス制御部１３で許可されたパケットがＷＡＮ側ネットワークインターフェース部１１を介してＷＡＮ側に送信される。
【００２６】
図３に示すアドレス変換テーブルにおいて、「ソースＩＰアドレス」の列は、ＷＡＮ側ネットワークインターフェース部１１で受信したパケットの送信元ＩＰアドレスを示し、「ディスティネーションＩＰアドレス」の列は、ＷＡＮ側ネットワークインターフェース部１１で受信したパケットの宛先ＩＰアドレスを示し、「プロトコル、ディスティネーションポート番号」の列は、ＷＡＮ側ネットワークインターフェース部１１で受信したパケットのプロトコル名および該プロトコルでポート番号を使用する場合の宛先ポート番号を示し、「内部ＩＰアドレス」の列は、ＷＡＮ側ネットワークインターフェース部１１で受信したパケットの送信元および宛先が、当該行のそれぞれの値に一致したときに、そのパケットの宛先ＩＰアドレスに設定するＬＡＮのプライベートアドレスを示し、「プロトコルおよびポート番号」の列は、ＷＡＮ側ネットワークインターフェース部１１で受信したパケットの送信元および宛先が、当該行のそれぞれの値に一致したときに、そのパケットの宛先ポート番号に設定するポート番号を示している。
【００２７】
例えば、図３に示すアドレス変換テーブルの１行目では、送信元ＩＰアドレスに関係なく、宛先ＩＰアドレスが「111.111.111.2」でかつ宛先ポート番号が「ＴＣＰの80（ｈｔｔｐ）」であるパケットは、宛先ＩＰアドレスを「192.168.100.5」に書き替えられ、宛先ポート番号はそのままでＬＡＮ側に送信される。
【００２８】
同様に、図３に示すアドレス変換テーブルの２行目では、送信元ＩＰアドレスが「123.123.123.1」で、宛先ＩＰアドレスが「111.111.111.2」でかつ宛先ポート番号が「ＴＣＰの２２（SSH）」であるパケットは、宛先ＩＰアドレスを「192.168.100.5」に書き替えられ、宛先ポート番号はそのままでＬＡＮ側に送信される。
【００２９】
このように設定することで、ＷＡＮ側からの特定ポートまたはポートを持たないプロトコルへのアクセスをＬＡＮ内の端末に振り分けることができる。
【００３０】
また、アドレス変換部１４は、このようなアドレス変換テーブルの上の行から順に、受信したパケットが一致するか否かを検証し、一致すれば指定された動作を行い、そのパケットに対する処理は終了する。すなわち、図３のアドレス変換テーブルでは、上の行に設定された条件がより優先的に処理される条件となっている。
【００３１】
また、図３に示したアドレス変換テーブルの状態は、初期状態で、通信中の端末が無い状態のものであり、ＬＡＮ内に存在する端末からの通信要求により、また後述するＷＡＮ側の端末からの要求により、アドレス変換ルールが追加されて、ＷＡＮ側からＬＡＮ内へのパケット、ＬＡＮ内からＷＡＮ側へのパケットのそれぞれのアドレスが図３のアドレス変換テーブルに従って変換されて送信される。
【００３２】
このアドレス変換装置１は、ＷＡＮ側の端末からの要求により、図２のアクセス制御テーブルにアクセス制御ルールを追加し、図３のアドレス変換テーブルにアドレス変換ルールを追加できるようになっている。
【００３３】
具体的には、アクセス制御部１３は、自装置のグローバルアドレス宛のｈｔｔｐs（HyperText Transfer Protocol Security）のアクセス要求パケットをＷＡＮ側ネットワークインターフェース部１１を介して受信すると、送信元の端末とＳＳＬ（Secure Socket Layer）セッションの確立を行い、セッションが正常に確立されれば、セッション確立時に取得した送信元端末のＩＰアドレスを記憶し、ユーザの認証を行うためにユーザの識別情報とパスワードを入力させるＨＴＭＬファイルを暗号化して要求元の端末に対してＷＡＮ側ネットワークインターフェース部１１を介して送信する。
【００３４】
要求元の端末から、暗号化されたユーザの識別情報とパスワードを受信すると、アクセス制御部１３は、復号化を行い、ユーザの識別情報とパスワードを認証処理部１５に送信しユーザの認証を要求する。
【００３５】
認証処理部１５は、ユーザの識別情報とパスワードを受信すると、データベース部１６に蓄積しているユーザの情報から、受信したユーザ識別情報と一致する識別情報を持つユーザを検索し、一致するユーザが見つかれば、蓄積しているそのユーザのパスワードと受信したパスワードを比較し、これらが一致していれば、認証正常通知をアクセス制御部１３に送信する。一致するユーザが見つからなかったり、パスワードが一致しなかった場合は、認証異常通知をアクセス制御部１３に送信する。
【００３６】
アクセス制御部１３は、認証処理部１５から認証正常通知を受信すると、アクセスしたいサーバのＬＡＮ内部のプライベートアドレスやプロトコルやポート番号などを入力させるＨＴＭＬファイルを暗号化して要求元の端末に対してＷＡＮ側ネットワークインターフェース部１１を介して送信する。
【００３７】
要求元の端末から、暗号化されたプライベートアドレスやプロトコルやポート番号を受信すると、アクセス制御部１３は、復号化を行い、データベース部１６に蓄積しているアクセス制御テーブルに、記憶しているｈｔｔｐｓのアクセス要求パケットの送信元ＩＰアドレスを「ソースＩＰアドレス」とし、受信したプロトコル、ポート番号を「プロトコル、ディスティネーションポート番号」としたアクセス制御ルールを追加し、アドレス変換部１４に対して、ｈｔｔｐｓのアクセス要求パケットの送信元ＩＰアドレス、受信したプライベートアドレス、プロトコル、ポート番号とともにアドレス変換ルールの追加を要求する。
【００３８】
アドレス変換部１４は、アドレス変換ルールの追加要求を受けると、データベース部１６に蓄積しているアドレス変換テーブルに、ｈｔｔｐｓのアクセス要求パケットの送信元ＩＰアドレスを「ソースＩＰアドレス」とし、受信したプライベートアドレス、プロトコル、ポート番号を「内部ＩＰアドレス」、「プロトコル、ディスティネーションポート番号」としたアドレス変換ルールを追加する。
【００３９】
例えば、送信元ＩＰアドレスが111.222.234.123の端末からの、ｈｔｔｐｓのアクセス要求パケットにより、宛先ＩＰアドレス111.111.111.2の宛先ポート番号が「ＴＣＰの２２」のパケットの宛先ＩＰアドレスを内部ＩＰアドレス192.168.100.4に書き替えるようにする場合、アクセス制御テーブルは、図４に示すように、図２に示したアクセス制御テーブルの一番上の行に、ｈｔｔｐｓによりアクセスしてきた端末のアクセス制御ルールを追加したものとされる。また、アドレス変換テーブルは、図５に示すように、図３に示したアドレス変換テーブルの一番上の行に、ｈｔｔｐｓによりアクセスしてきた端末のアドレス変換ルールを追加したものとされる。
【００４０】
これにより、送信元ＩＰアドレスが111.222.234.123の宛先ＩＰアドレス111.111.111.2の宛先ポート番号が「ＴＣＰの２２」のパケットは、アクセス制御部１３を通過し、アドレス変換部１４で宛先ＩＰアドレスを192.168.100.4に書き替えられてＬＡＮに送信され、送信元ＩＰアドレスが123.123.123.1の宛先ＩＰアドレス111.111.111.2の宛先ポート番号が「ＴＣＰの２２」のパケットは、アクセス制御部１３を通過し、アドレス変換部１４で宛先ＩＰアドレスを192.168.100.5に書き替えられてＬＡＮに送信され、それ以外の送信元ＩＰアドレスの宛先ポート番号が「ＴＣＰの２２」のパケットは、アクセス制御部１３で廃棄される。
【００４１】
その後、アクセス制御部１３は、端末に対して、認証が正常でアドレス変換が設定された旨と、変換先のＬＡＮ内部のプライベートアドレスとプロトコルとポート番号などを表示するＨＴＭＬファイルを暗号化して端末に送信する。
【００４２】
端末では、アドレス変換装置１から送信されたＨＴＭＬファイルを受信して復号化し、これを表示することにより、設定されたアドレス変換の情報を確認することができる。
【００４３】
このようにしてアクセス制御ルール及びアドレス変換ルールを設定し、ＬＡＮ内の端末との通信を行ったユーザが、通信を終了するときは、アドレス変換装置１から受信したＨＴＭＬファイルで表示された画面から、通信の終了のボタンを選択するか、ＨＴＭＬファイルを表示しているブラウザを閉じるか、或いはＨＴＭＬファイルを表示している端末を終了する。
【００４４】
アドレス変換装置１のアクセス制御部１３は、通信終了のパケットを受信したり、端末からの信号が一定時間送信されてこないことによりブラウザが閉じられたことや端末が終了されたことを検出すると、図４のように書き替えたアクセス制御テーブルを、図２のような元の状態に戻し、アドレス変換部１４に対して、ソースＩＰアドレス、ディスティネーションＩＰアドレス、プロトコルの情報を添えて、この通信が終了したことを通知する。
【００４５】
アドレス変換部１４は、通信の終了の通知を受けると、図５のように書き替えたアドレス変換テーブルを、図３のような元の状態に戻す。
【００４６】
このように、本実施形態においては、ｈｔｔｐｓでアクセスしてきた端末のＩＰアドレスをソースＩＰアドレスとして、指定されたアドレス変換ルールをアドレス変換テーブルに設定し、それに伴うアクセス制御ルールをアクセス制御テーブルに設定しているので、ソースＩＰアドレスも含んだ条件によりアドレス変換ルールを設定することができ、同じポート番号でもソースＩＰアドレスにより別々のサーバへ振り分けたり、ポート番号の無いプロトコルでもソースＩＰアドレスにより別々の端末と通信を行わせたりすることができる。
【００４７】
なお、本実施形態においては、ｈｔｔｐｓのアクセスによりアドレス変換ルール、アクセス制御ルールの追加を受け付けるようにしたが、ｈｔｔｐやＳＩＰ（Session Initiation Protocol）やｓｓｈやｔｅｌｎｅｔなどを使ってもよい。
【００４８】
前述した構成よりなるアドレス変換装置１は、ＬＡＮ内の端末からＩＰｓｅｃ通信の最初のパケットを受信したときに、宛先ＩＰアドレスと送信元ＩＰアドレス（プライベートアドレス）とのアドレス変換ルールをアドレス変換テーブルに追加することで、ＬＡＮ内の複数の端末がアドレス変換装置１を通してＩＰｓｅｃ通信を行うことができるようになっている。
【００４９】
これについて、図６に示すように、インターネット４を介して通信可能な第１のアドレス変換装置１ａと第２のアドレス変換装置１ｂの、それぞれに接続されたＬＡＮ２，３内の端末間のＩＰｓｅｃ通信の場合について説明する。
【００５０】
まず、ＬＡＮ３内の端末３ａは、第１のアドレス変換装置１ａに接続されたＬＡＮ２内の端末２ａとＩＰｓｅｃ通信をするのに必要なアドレス変換ルールを第１のアドレス変換装置１ａに追加するため、上述したように、第１のアドレス変換装置１ａに対してｈｔｔｐｓのアクセス要求パケットを送信する。
【００５１】
第１のアドレス変換装置１ａは、ｈｔｔｐｓのアクセス要求パケットを受信すると、送信元の端末３ａとＳＳＬセッションの確立を行い、ユーザの認証を行い、認証されれば、アクセスしたいサーバのＬＡＮ２内部のプライベートアドレスやプロトコルやポート番号などを入力させるＨＴＭＬファイルを要求元の端末３ａに送信する。
【００５２】
端末３ａは、受信したＨＴＭＬファイルを表示して、利用者（ユーザ）にアクセス先の情報を入力させる。この場合、接続したい端末２ａのプライベートＩＰアドレス192.168.100.2と、プロトコルとしてＩＰｓｅｃが入力される。
【００５３】
端末３ａは、入力されたプライベートアドレスとプロトコルを第１のアドレス変換装置１ａに送信する。
【００５４】
第１のアドレス変換装置１ａは、端末３ａからプライベートアドレスとプロトコルを受信すると、データベース部１６に蓄積しているアクセス制御テーブルに、記憶しているｈｔｔｐｓのアクセス要求パケットの送信元ＩＰアドレス（第２のアドレス変換装置１ｂのＩＰアドレス111.222.234.123）を「ソースＩＰアドレス」とし、「プロトコル、ソースポート番号」および「プロトコル、ディスティネーションポート番号」としてＩＰｓｅｃとした図７に示すようなアクセス制御ルールと、記憶しているｈｔｔｐｓのアクセス要求パケットの送信元ＩＰアドレスを「ソースＩＰアドレス」とし、「ディスティネーションＩＰアドレス」として自装置のグローバルアドレス211.250.250.100、「プロトコル、ディスティネーションポート番号」としてＩＰｓｅｃ、内部ＩＰアドレスとして192.168.100.2とした図８に示すようなアドレス変換ルールをアドレス変換テーブルに追加する。
【００５５】
そして、端末３ａが最初のＩＰｓｅｃパケットを、第２のアドレス変換装置１ｂを通して送信するために、第２のアドレス変換装置１ｂに送信すると、第２のアドレス変換装置１ｂのアドレス変換部１４は、端末３ａから受信したパケットがＩＰｓｅｃパケットであるので、このＩＰｓｅｃ通信に関するアドレス変換ルールがアドレス変換テーブルに登録されているか否かを調べるため、宛先ＩＰアドレス、送信元ＩＰアドレスを読み出し、アドレス変換テーブルにこの宛先ＩＰアドレスがソースＩＰアドレスとして、かつ送信元ＩＰアドレスが内部ＩＰアドレスとして登録されたＩＰｓｅｃのアドレス変換ルールが有るか否かを検索する。
【００５６】
検索の結果、この条件に合致するアドレス変換ルールがあれば、アドレス変換部１４は、送信元ＩＰアドレスをそのアドレス変換ルールのディスティネーションＩＰアドレスのアドレスに書き換え、書き換えたパケットをアクセス制御部１３を通してＷＡＮ側ネットワークインターフェース部１１を介して送信する。
【００５７】
この条件に合致するアドレス変換ルールが無ければ、宛先ＩＰアドレスを「ソースＩＰアドレス」とし、「ディスティネーションＩＰアドレス」を自装置のＩＰアドレス（この場合、111.222.234.123）として、「プロトコル、ディスティネーションポート番号」としてＩＰｓｅｃ、送信元ＩＰアドレス（この場合、192.168.20.2）を「内部ＩＰアドレス」とした図９に示すようなアドレス変換ルールをアドレス変換テーブルに追加する。
【００５８】
そして、アドレス変換部１４は、アクセス制御部１３に対して、送信元ＩＰアドレスが211.250.250.100で、宛先ＩＰアドレスが111.222.234.123のＩＰｓｅｃパケットの通過を許可するようなアクセス制御ルールの追加を要求する。
【００５９】
アクセス制御部１３は、アドレス変換部１４からアクセス制御ルールの追加を要求されると、「ソースＩＰアドレス」を211.250.250.100、「ディスティネーションＩＰアドレス」を111.222.234.123、「プロトコル、ソースポート番号」および「プロトコル、ディスティネーションポート番号」をＩＰｓｅｃ、動作をacceptとした図１０に示すようなアクセス制御ルールをアクセス制御テーブルに追加する。
【００６０】
また、アドレス変換部１４は、アクセス制御部１３のアクセス制御ルールの追加が終わると、受信したパケットの送信元ＩＰアドレスを自装置のグローバルＩＰアドレス（この場合、111.222.234.123）に書き換え、書き換えたパケットをアクセス制御部１３を通してＷＡＮ側ネットワークインターフェース部１１を介して送信する。
【００６１】
以降、端末２ａと端末３ａとの間でＩＰｓｅｃによる通信が行われる。
【００６２】
そして、ＩＰｓｅｃによる通信が終了したら、端末３ａの利用者が、第１のアドレス変換装置１ａから受信したＨＴＭＬファイルで表示された画面から、通信の終了のボタンを選択するか、ＨＴＭＬファイルを表示しているブラウザを閉じるか、或いはＨＴＭＬファイルを表示している端末を終了する。
【００６３】
第１のアドレス変換装置１ａのアクセス制御部１３は、通信終了のパケットを受信したり、端末３ａからの信号が一定時間送信されてこないことによりブラウザが閉じられたことや端末が終了されたことを検出すると、図７のように追加したアクセス制御ルールを削除し、アドレス変換部１４にソースＩＰアドレス111.222.234.123、ディスティネーションＩＰアドレス211.250.250.100、プロトコルＩＰｓｅｃの通信が終了したことを通知する。
【００６４】
第１のアドレス変換装置１ａのアドレス変換部１４は、通信の終了の通知を受けると、当該ソースＩＰアドレス、ディスティネーションＩＰアドレス、プロトコルに対応して図８のように追加したアドレス変換ルールを削除する。
【００６５】
第２のアドレス変換装置１ｂのアクセス制御部１３は、通信終了のパケットを受信したり、端末３ａから信号が一定時間送信されないことによりブラウザが閉じられたことや端末が終了されたことを検出すると、図１０のように追加したアクセス制御ルールを削除し、アドレス変換部１４にソースＩＰアドレス211.250.250.100、ディスティネーションＩＰアドレス111.222.234.123、プロトコルＩＰｓｅｃの通信が終了したことを通知する。
【００６６】
第２のアドレス変換装置１ｂのアドレス変換部１４は、通信の終了の通知を受けると、当該ソースＩＰアドレス、ディスティネーションＩＰアドレス、プロトコルの図９のように追加したアドレス変換ルールを削除する。
【００６７】
このように、本実施形態においては、ソースＩＰアドレスも含んだ条件によりアドレス変換ルールを設定しているので、同じポート番号でもソースＩＰアドレスにより別々のサーバへ振り分けたり、ポート番号の無いプロトコルでもソースＩＰアドレスにより別々の端末と通信を行わせたりすることができる。
【００６８】
また、ＬＡＮ側から受信したＩＰｓｅｃのパケットの宛先ＩＰアドレスと送信元ＩＰアドレスの組のアドレス変換ルールが登録されていない場合、該宛先ＩＰアドレスと送信元ＩＰアドレスによるＩＰｓｅｃパケットのアドレス変換ルールを登録しているので、ＬＡＮ内の端末から開始されるＩＰｓｅｃ通信のアドレス変換ルールは自動的に登録され、事前にアドレス変換ルールの登録を行うことなくＩＰｓｅｃ通信を行うことができる。
【００６９】
また、図１１及び図１２に示すように、ＩＰｓｅｃの通信を行う端末が複数台あるときにも通信を矛盾なく行うことができる。即ち、図１１に示す構成では、図６の構成に加えてインターネット４にはＩＰアドレスが222.111.123.234である第３のアドレス変換装置１ｃを介してＬＡＮ５が接続され、ＬＡＮ５内にはプライベートＩＰアドレスが192.168.50.2の端末５ａと、プライベートＩＰアドレスが192.168.50.3の端末５ｂが存在する。
【００７０】
このような環境で、ＬＡＮ２内の端末２ａがＬＡＮ３内の端末３ａとＩＰｓｅｃ通信を行い、ＬＡＮ２内の端末２ｂがＬＡＮ５内の端末５ａとＩＰｓｅｃ通信を行う場合は、第１のアドレス変換装置１ａは、上記と同様の手順により、記憶しているｈｔｔｐｓのアクセス要求パケットの送信元ＩＰアドレスを「ソースＩＰアドレス」とし、「ディスティネーションＩＰアドレス」として自装置のグローバルアドレス211.250.250.100、「プロトコル、ディスティネーションポート番号」としてＩＰｓｅｃ、内部ＩＰアドレスとして192.168.100.2及び192.168.100.3とした図１２に示すようなアドレス変換ルールをアドレス変換テーブルに追加する。これにより複数台の端末が同時にＩＰｓｅｃ通信を行うことができる。
【００７１】
なお、本実施形態においては、ＷＡＮ側の端末の認証をアドレス変換装置１で行うようにしたが、ＷＡＮ上のサーバを経由させ、該サーバにより認証を行わせ、該サーバからの要求によりアドレス変換装置１においてアクセス制御ルール及びアドレス変換ルールを追加或いは削除するようにしてもよい。
【００７２】
このようにすることにより、ＷＡＮ上からステルス（アクセス可能なプロトコルやポート番号を隠蔽して）で運用することができる。
【００７３】
また、本実施形態においては、ＩＰｓｅｃ通信の最初のパケットによりアドレス変換ルール及びアクセス制御ルールを追加したが、ＩＰｓｅｃ通信の開始を示すパケットによりアドレス変換ルールとアクセス制御ルールを追加するようにしてもよく、或いはＩＫＥ（Internet Key Exchange）の最初のパケットなどによりアドレス変換ルールとアクセス制御ルールを追加するようにしてもよい。
【図面の簡単な説明】
【００７４】
【図１】本発明の一実施形態のアドレス変換装置を示すブロック図
【図２】本発明の一実施形態のアドレス変換装置のアクセス制御テーブルを示す図
【図３】本発明の一実施形態のアドレス変換装置のアドレス変換テーブルを示す図
【図４】本発明の一実施形態のアドレス変換装置のアクセス制御ルール追加後のアクセス制御テーブルを示す図
【図５】本発明の一実施形態のアドレス変換装置のアドレス変換ルール追加後のアドレス変換テーブルを示す図
【図６】本発明の一実施形態のアドレス変換装置の使用例を示すネットワーク構成図
【図７】本発明の一実施形態のアドレス変換装置間のＩＰｓｅｃ通信における受側のアドレス変換装置で追加されるアクセス制御ルールを示す図
【図８】本発明の一実施形態のアドレス変換装置間のＩＰｓｅｃ通信における受側のアドレス変換装置で追加されるアドレス変換ルールを示す図
【図９】本発明の一実施形態のアドレス変換装置間のＩＰｓｅｃ通信における発側のアドレス変換装置で追加されるアドレス変換ルールを示す図
【図１０】本発明の一実施形態のアドレス変換装置間のＩＰｓｅｃ通信における発側のアドレス変換装置で追加されるアクセス制御ルールを示す図
【図１１】本発明の一実施形態のアドレス変換装置の使用例を示すネットワーク構成図
【図１２】本発明の一実施形態のアドレス変換装置間のＩＰｓｅｃ通信における受側のアドレス変換装置で追加されるアドレス変換ルールを示す図
【符号の説明】
【００７５】
１１…ＷＡＮ側ネットワークインターフェース部、１２…ＬＡＮ側ネットワークインターフェース部、１３…アクセス制御部、１４…アドレス変換部、１５…認証処理部、１６…データベース部、１ａ…第１のアドレス変換装置、１ｂ…第２のアドレス変換装置、１ｃ…第３のアドレス変換装置、２，３，５…ＬＡＮ、４…インターネット、２ａ，２ｂ，３ａ，３ｂ，５ａ，５ｂ…端末。
【図１】
2007006109.tif 000003
【図２】
2007006109.tif 000004
【図３】
2007006109.tif 000005
【図４】
2007006109.tif 000006
【図５】
2007006109.tif 000007
【図６】
2007006109.tif 000008
【図７】
2007006109.tif 000009
【図８】
2007006109.tif 000010
【図９】
2007006109.tif 000011
【図１０】
2007006109.tif 000012
【図１１】
2007006109.tif 000013
【図１２】
2007006109.tif 000014