(57)【要約】【課題】サイト外ネットワークのクライアントからサイト内ネットワークのサーバへの通信にステートフルインスペクションを適用できるようにする。【解決手段】通信制御装置３５は、サイト外ネットワーク２００における端末装置２５からサイト内ネットワーク１００におけるサーバ装置１５へのサーバ名を特定したアクセス要求に対して生成されたサーバアドレスと端末装置２５のアドレスとを対でアクセスコントロールリスト（ＡＣＬ）３２に登録するとともに、端末装置２５にサーバアドレスを送信する名前解決部３１と、サイト外ネットワーク２００における端末装置からのサイト内ネットワーク１００に対する通信について、当該端末装置のアドレスと対になるサーバアドレスがアクセスコントロールリスト３２に登録されている場合に、当該端末装置とサーバ装置１５との通信を許可する通信制御部３３とを備えている。【選択図】図５
2009272659.tif 000002
【特許請求の範囲】
【請求項１】
サイト外ネットワークからサイト内ネットワークへの通信を監視する通信制御装置であって、
サイト外ネットワークにおける端末装置からサイト内ネットワークにおけるサーバ装置へのサーバ名を特定したアクセス要求に対して生成されたサーバアドレスと当該端末装置のアドレスとを対でアクセスコントロールリストに登録するとともに、当該端末装置に前記サーバアドレスを送信する名前解決部と、
サイト外ネットワークにおける端末装置からのサイト内ネットワークに対する通信について、当該端末装置のアドレスと対になるサーバアドレスが前記アクセスコントロールリストに登録されている場合に、当該端末装置と前記サーバ装置との通信を許可する通信制御部とを備えた
ことを特徴とする通信制御装置。
【請求項２】
通信制御部は、端末装置のアドレスと対になるサーバアドレスがアクセスコントロールリストに登録されていない場合に、当該端末装置とサーバ装置との通信を許可しない
請求項１記載の通信制御装置。
【請求項３】
通信制御部は、通信制御部が許可した通信のセッションが終了するときに、アクセスコントロールリストからサーバアドレスと端末装置のアドレスとの対を削除する
請求項１または請求項２記載の通信制御装置。
【請求項４】
名前解決部は、端末装置からのアクセス要求に対してサーバアドレスを生成する
請求項１から請求項３のうちのいずれか１項に記載の通信制御装置。
【請求項５】
通信制御装置は、サイト内ネットワークにおけるゲートウェイ装置である
請求項１から請求項４のうちのいずれか１項に記載の通信制御装置。
【請求項６】
サイト外ネットワークからサイト内ネットワークへの通信を監視する通信制御方法であって、
サイト外ネットワークにおける端末装置からサイト内ネットワークにおけるサーバ装置へのサーバ名を特定したアクセス要求に対してサーバアドレスを生成し、
生成したサーバアドレスと端末装置のアドレスとを対でアクセスコントロールリストに登録するとともに、端末装置に前記サーバアドレスを送信し、
サイト外ネットワークにおける端末装置からのサイト内ネットワークに対する通信について、当該端末装置のアドレスと対になるサーバアドレスが前記アクセスコントロールリストに登録されているか否か確認し、
サーバアドレスが前記アクセスコントロールリストに登録されている場合に、当該端末装置と前記サーバ装置との通信を許可する
ことを特徴とする通信制御方法。
【請求項７】
端末装置のアドレスと対になるサーバアドレスがアクセスコントロールリストに登録されていない場合に、当該端末装置とサーバ装置との通信を許可しない
請求項６記載の通信制御方法。
【請求項８】
許可した通信のセッションが終了するときに、アクセスコントロールリストからサーバアドレスと端末装置のアドレスとの対を削除する
請求項６または請求項７記載の通信制御方法。
【請求項９】
サイト外ネットワークからサイト内ネットワークへの通信を監視する通信制御装置とサービスを提供するためのサーバ装置とがサイト内ネットワークに設けられた通信システムであって、
前記通信制御装置は、
サイト外ネットワークにおける端末装置から前記サーバ装置へのサーバ名を特定したアクセス要求に対して生成されたサーバアドレスと当該端末装置のアドレスとを対でアクセスコントロールリストに登録するとともに、当該端末装置に前記サーバアドレスを送信する名前解決部と、
サイト外ネットワークにおける端末装置からのサイト内ネットワークに対する通信について、当該端末装置のアドレスと対になるサーバアドレスが前記アクセスコントロールリストに登録されている場合に、当該端末装置と前記サーバ装置との通信を許可する通信制御部とを含む
ことを特徴とする通信システム。
【請求項１０】
通信制御部は、端末装置のアドレスと対になるサーバアドレスがアクセスコントロールリストに登録されていない場合に、当該端末装置とサーバ装置との通信を許可しない
請求項９記載の通信システム。
【請求項１１】
通信制御部は、通信制御部が許可した通信のセッションが終了するときに、アクセスコントロールリストからサーバアドレスと端末装置のアドレスとの対を削除する
請求項９または請求項１０記載の通信システム。
【請求項１２】
サーバ装置は、端末装置からのアクセス要求に対してサーバアドレスを生成して通信制御装置に送信する
請求項９から請求項１１のうちのいずれか１項に記載の通信システム。
【請求項１３】
名前解決部は、端末装置からのアクセス要求に対してサーバアドレスを生成する
請求項９から請求項１１のうちのいずれか１項に記載の通信システム。
【請求項１４】
通信制御装置は、サイト内ネットワークにおけるゲートウェイ装置である
請求項９から請求項１３のうちのいずれか１項に記載の通信システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、サイト内ネットワークにおいて、サイト外ネットワークからサイト内ネットワークへの通信を監視する通信制御装置、通信制御方法および通信システムに関する。
【背景技術】
【０００２】
ファイアウォールを実現するためのパケットフィルタリング方法として、セッション用のポートのみをダイナミックにオープンするダイナミックフィルタリングがある。また、ダイナミックフィルタリング技術を改良したものとして、ステートフルインスペクション技術がある（例えば、特許文献１参照）。ステートフルインスペクションは、過去の通信やアプリケーションから導き出される状態の情報に応じて、新しい通信の接続要求に対する通信制御の判断が下される。通信制御の判断は、例えば、パケットフィルタリングに関する判断である。また、ステートフルインスペクションの一例が、非特許文献１に記載されている。
【０００３】
【特許文献１】特開２００７−２２１２４０号公報（段落０００２）
【非特許文献１】「ＩＤＳ入門  Ｓｎｏｒｔ＆Ｔｒｉｐｗｉｒｅｎｏ基礎と実践」、日吉  龍、技術評論社、２００４年４月２５日、ｐｐ．１０７−１０９
【発明の開示】
【発明が解決しようとする課題】
【０００４】
非特許文献１に記載されているようなステートフルインスペクションを、サイト内ネットワークにおいて、サイト外ネットワークに対するデータの出入口に設置されるゲートウェイ装置（以下、ゲートウェイという。）に適用した場合について説明する。
【０００５】
図６に示すようにサイト内ネットワーク１００におけるクライアント（クライアント装置）２０がサイト外ネットワーク２００におけるサーバ装置（以下、サーバという。）３０と通信する際に、ゲートウェイ１０においてサイト外ネットワーク２００におけるサーバ３０からサイト内ネットワーク１００への通信を許可するようにフィルタ設定を変更する。なお、サイト内ネットワーク１００において、クライアント２０とゲートウェイ１０とはＬＡＮ４０を介して通信を行う。
【０００６】
そして、サイト内ネットワーク１００におけるクライアント２０とサイト外ネットワーク２００におけるサーバ３０との通信が終了すると、ゲートウェイ１０は、サイト外ネットワーク２００におけるサーバ３０からサイト内ネットワーク１００におけるクライアント２０への通信を許可しないようにフィルタ設定を変更する。
【０００７】
図６に示すように、ゲートウェイ１０は、サイト内ネットワーク１００からサイト外ネットワーク２００への通信（矢印Ａ，Ｂ参照）を基に、自装置が備えているアクセスコントロールリスト（ＡＣＬ）に通信許可の登録を行い、その後、サイト外ネットワーク２００からの通信（矢印Ｃ，Ｄ参照）に関して、アクセスコントロールリストを確認することによって、通信を許可するか否か判断する。
【０００８】
図６に示されたステートフルインスペクションでは、サイト内ネットワーク１００におけるクライアント２０からサイト外ネットワーク２００におけるサーバ３０への接続を契機としてゲートウェイ１０において得られた通信パケット等から得た情報を基に、アクセスコントロールリストにクライアントアドレスとサーバアドレスとのペア情報等が登録される。そして、アクセスコントロールリストの登録内容にもとづいて、その後に開始されるサイト外ネットワーク２００におけるサーバ３０からサイト内ネットワーク１００におけるクライアント１０への通信を制御する。なお、サイト内ネットワーク１００とは、ゲートウェイ１０の管理下にあるネットワークである。また、サイト外ネットワーク２００は、ゲートウェイ１０の管理外のネットワークのことである。
【０００９】
図６に示されたステートフルインスペクションでは、サイト内ネットワーク１００からサイト外ネットワーク２００への接続を契機として通信制御を開始するので、サイト外ネットワーク２００におけるクライアント（図６において図示せず）からサイト内ネットワーク１００におけるサーバ（図６において図示せず）への接続に対する通信にステートフルインスペクションを適用することはできない。
【００１０】
そこで、本発明は、サイト外ネットワークのクライアントからサイト内ネットワークのサーバへの通信にステートフルインスペクションを適用できるようにした通信制御装置、通信制御方法および通信システムを提供することを目的とする。
【課題を解決するための手段】
【００１１】
本発明による通信制御装置は、サイト外ネットワークからサイト内ネットワークへの通信を監視する通信制御装置であって、サイト外ネットワークにおける端末装置からサイト内ネットワークにおけるサーバ装置へのサーバ名を特定したアクセス要求に対して生成されたサーバアドレスと当該端末装置のアドレスとを対でアクセスコントロールリストに登録するとともに、当該端末装置にサーバアドレスを送信する名前解決部と、サイト外ネットワークにおける端末装置からのサイト内ネットワークに対する通信について、当該端末装置のアドレスと対になるサーバアドレスがアクセスコントロールリストに登録されている場合に、当該端末装置とサーバ装置との通信を許可する通信制御部とを備えたことを特徴とする。
【００１２】
本発明による通信制御方法は、サイト外ネットワークからサイト内ネットワークへの通信を監視する通信制御方法であって、サイト外ネットワークにおける端末装置からサイト内ネットワークにおけるサーバ装置へのサーバ名を特定したアクセス要求に対してサーバアドレスを生成し、生成したサーバアドレスと端末装置のアドレスとを対でアクセスコントロールリストに登録するとともに、端末装置にサーバアドレスを送信し、サイト外ネットワークにおける端末装置からのサイト内ネットワークに対する通信について、当該端末装置のアドレスと対になるサーバアドレスがアクセスコントロールリストに登録されているか否か確認し、サーバアドレスがアクセスコントロールリストに登録されている場合に、当該端末装置とサーバ装置との通信を許可することを特徴とする。
【００１３】
本発明による通信システムは、サイト外ネットワークからサイト内ネットワークへの通信を監視する通信制御装置とサービスを提供するためのサーバ装置とがサイト内ネットワークに設けられた通信システムであって、通信制御装置は、サイト外ネットワークにおける端末装置からサーバ装置へのサーバ名を特定したアクセス要求に対して生成されたサーバアドレスと当該端末装置のアドレスとを対でアクセスコントロールリストに登録するとともに、当該端末装置にサーバアドレスを送信する名前解決部と、サイト外ネットワークにおける端末装置からのサイト内ネットワークに対する通信について、当該端末装置のアドレスと対になるサーバアドレスがアクセスコントロールリストに登録されている場合に、当該端末装置とサーバ装置との通信を許可する通信制御部とを含むことを特徴とする。
【発明の効果】
【００１４】
本発明によれば、サイト外ネットワークのクライアントからサイト内ネットワークのサーバへの通信にステートフルインスペクションを適用できる。
【発明を実施するための最良の形態】
【００１５】
以下、本発明の実施形態を図面を参照して説明する。
【００１６】
実施形態１．
図１は、本発明による通信制御装置を含む通信システムの第１の実施形態を示す説明図である。図１に示す通信システムには、サイト内ネットワーク１００およびサイト外ネットワーク２００が含まれ、サイト内ネットワーク１００において、サイト外ネットワーク２００との通信のための通信制御装置としてのゲートウェイ３が設置されている。また、図１には、サイト内ネットワーク１００におけるサーバ１と、サイト外ネットワーク２００におけるクライアント２とが示されている。また、サイト内ネットワーク１００において、サーバ１とゲートウェイ３とはＬＡＮ４０を介して通信を行う。
【００１７】
図２は、サイト内ネットワーク１００におけるサーバ１およびゲートウェイ３の内部構成例を示すブロック図である。図２に示すように、サーバ１は、ローカルサイトサーバ１１とメインサービス１２とを含む。ローカルサイトサーバ１１は、ゲートウェイ３からのアドレス生成の要求に応じて、動的にサーバアドレス（例えば、ＩＰアドレス）を生成し、生成したサーバアドレスをゲートウェイ３に送信する機能を有する。なお、ローカルサイトサーバ１１は、サーバアドレスを生成すると、サイト内ネットワーク１００内に存在する他のサーバやネットワーク装置のアドレスと重複していないか否か確認し、重複がなければそのサーバアドレスをサーバ１の新たなサーバアドレスとする。
【００１８】
メインサービス１２は、サーバ１の主要機能であり、クライアント２からのアクセス要求すなわちサービス要求に応じて、クライアント２に提供されるサービスである。実際には、サーバ装置におけるソフトウェア等で実現されるサービス提供を行うブロックがメインサービス１２を提供する。なお、サーバアドレスは、ローカルサイトサーバ１１によって動的に生成されるが、メインサービス１２を提供するブロックが、メインサービス１２の提供が終了するとサーバアドレスを削除する。
【００１９】
本実施形態では、サービス提供を行うブロックがいかなるサービスを提供するかを問わない。すなわち、任意のサービスを提供するメインサービス１２について本発明による通信制御装置および通信制御方法を適用することができる。また、図２に示された構成では、サーバ１において、ローカルサイトサーバ１１の機能とメインサービス１２とが実現されているが、ローカルサイトサーバ１１の機能と、メインサービス１２を提供するサーバ装置とが、別装置で実現されてもよい。
【００２０】
クライアント２は、ＰＣ（パーソナルコンピュータ）やＰＤＡ（Personal Digital Assistant）等の端末装置であり、インターネットやネットワークに等に接続する機能（Ｅｔｈｅｒｎｅｔ（登録商標）やワイヤレスＬＡＮ等）を有している。すなわち、インターネットやネットワーク上のサービスを利用可能な端末である。クライアント２は、インターネット等の通信ネットワークを介してサーバ１におけるメインサービス１２を利用する。
【００２１】
ゲートウェイ３は、名前解決部３１と、ＡＣＬ（アクセスコントロールリスト）３２と、通信制御部３３とを含む。名前解決部３１は、クライアント２からサーバ名の名前解決要求を受けたことに応じて、クライアント２にサーバアドレスを送信する機能を有している。具体的には、名前解決部３１は、クライアント２からサーバ名の名前解決要求を受けると、サーバ１におけるローカルサイトサーバ１１にアドレス生成要求を行う。そして、ローカルサイトサーバ１１からサーバアドレスを取得してクライアント２に提供する機能を有している。
【００２２】
名前解決部３１は、名前解決要求を行ったクライアント２のクライアントアドレス（例えば、ＩＰアドレス）と、アドレス生成要求に応じてローカルサイトサーバ１１から返送されたサーバアドレスをペアにして、ＡＣＬ（アクセスコントロールリスト）３２に登録する。ＡＣＬ３２はクライアントアドレスとサーバアドレスとのペア、およびポート等の情報を記録しているデータベースである。通信制御部３３は、ＡＣＬ３２の情報を基にサイト外ネットワーク２００におけるクライアント２からサイト内ネットワーク１００のサーバ１への通信を制御する機能を有している。すなわち、通信制御部３３は、クライアントアドレスとサーバアドレスとのペアやポート等の情報とマッチしていれば通信を許可し、マッチしていなければ通信を許可しない。
【００２３】
サイト内ネットワーク１００は、ゲートウェイ３によって保護されているネットワークである。すなわち、ゲートウェイ３は、サイト外ネットワーク２００からの不正アクセス等からサイト内ネットワーク１００を守る。
【００２４】
次に、図１の説明図および図３のシーケンス図を参照して本発明の第１の実施形態の動作を説明する。
【００２５】
サイト外ネットワーク２００のクライアント２は、名前解決によるアドレス取得のために、ゲートウェイ３に、サイト内ネットワーク１００のサーバ１のサーバ名（例えば、FQDN（Fully Qualified Domain Name ）や、LDAP（Lightweight Directory Access Protocol ）のDN（Distinghished Name）等）により、アドレス取得要求（名前解決要求）を送信する（ステップＡ１：図１における矢印Ａも参照）。
【００２６】
ゲートウェイ３の名前解決部３１は、クライアント２のアドレス取得要求を受信すると、サーバ名にもとづいてサーバ１を特定し、サーバ１のローカルサイトサーバ１１に、クライアント２用のサーバアドレス生成要求を送信する（ステップＡ２：図１における矢印Ｂも参照）。ゲートウェイの名前解決部３１とサーバ１のローカルサイトサーバ１１とは、サーバアドレス生成要求の送受信を行う際に、サイト内ネットワークでのみ到達可能なローカルアドレスを用いて通信する。また、名前解決部３１は、クライアント２のクライアントアドレスを記憶しておく。
【００２７】
サーバ１のローカルサイトサーバ１１は、ゲートウェイ３の名前解決部３１から、サーバアドレス生成要求を受けると、サーバアドレスを生成する（ステップＡ３）。なお、ローカルサイトサーバ１１は、生成されるサーバアドレスが特定のアドレスに偏らないようにサーバアドレスを生成する。すなわち、ランダムなサーバアドレスを生成する。
【００２８】
また、サーバ１のローカルサイトサーバ１１は、サーバアドレスをサーバ１に付与する際に、サイト内ネットワーク１００に接続している他のサーバやネットワーク装置のアドレスと、ステップＡ３の処理で生成したアドレスが重複しているか否か確認する（ステップＡ４）。アドレスが重複していた場合には、再度ステップＡ３の処理を実行してサーバアドレスを生成する。
【００２９】
サーバ１のローカルサイトサーバ１１は、サイト内ネットワーク１００でのアドレス重複がないことを確認できると、サーバ１にサーバアドレスを付与する（ステップＡ５）。サーバ１にクライアント２用のサーバアドレスが付与されると、サーバアドレスによって、メインサービス１２を提供するブロックへの着信が可能になる。
【００３０】
サーバ１のローカルサイトサーバ１１は、サーバアドレスを付与した後に、ゲートウェイ３の名前解決部３１にサーバアドレスを送る（ステップＡ６：図１における矢印Ｃも参照）。
【００３１】
ゲートウェイ３の名前解決部３１は、ステップＡ２の処理で記憶したクライアント２のクライアントアドレスと、サーバアドレスとのペアをＡＣＬ３２に登録する（ステップＡ７）。ＡＣＬ３２に登録したアドレスのペアは、パケットのクライアントアドレス（ソースアドレス）とサーバアドレス（ディスティネーションアドレス）とが一致していればゲートウェイ３が通信を許可するために使われる。なお、名前解決部３１は、サーバ１１のポート番号等のポートの情報もＡＣＬ３２に登録する。
【００３２】
そして、ゲートウェイ３の名前解決部３１は、クライアント２にサーバアドレスを送信する（ステップＡ８：図１における矢印Ｄも参照）。また、サーバ１１のポート番号等のポートの情報もクライアント２に送信するようにしてもよい。ゲートウェイ３の名前解決部３１は、ステップＡ７の処理によって、サイト内ネットワーク１００側からクライアント２に対して送信したデータをセッションログとして保存したことになる。
【００３３】
その後、クライアント２は、セッションを切断しない状態で、サーバアドレスを用いてサーバ１のメインサービス１２にサービス要求を送信する（ステップＡ９）。
【００３４】
ゲートウェイ３の通信制御部３３は、クライアント２からサーバ１のメインサービス１２へのサービス要求のパケットを通過させてよいかどうか確認する。具体的には、クライアント２が送信したクライアントアドレス（ソースアドレス）とペアになっているサーバアドレス（ディスティネーションアドレス）がＡＣＬに登録されているか否か確認する。ＡＣＬ３２にクライアントアドレスとサーバアドレスのペアが登録されていれば、通信制御部３３は、通信を許可すると判断してメインサービス１２を提供するブロック宛のサービス要求のパケットを通す（ステップＡ１１：図１における矢印Ｅも参照）。ＡＣＬ３２に登録されていなければ、メインサービス１２を提供するブロック宛のサービス要求のパケットを廃棄する（ステップＡ１０）。よって、通信制御部３３は、名前解決部３１が保存したセッションログと矛盾しないパケットを通過させることになる。なお、通信制御部３３は、ＡＣＬ３２に登録されているポート情報も参照して、通信を許可するか否か判断してもよい。
【００３５】
サーバ１のメインサービス１２を提供するブロックは、クライアント２からのサービス要求を受信すると、提供サービスとなるデータを、ゲートウェイ３を経由してクライアント２に送信する（ステップＡ１２：図１における矢印Ｆも参照）。
【００３６】
クライアント２は、サーバ１のメインサービス１２を提供するブロックからサービスとなるデータを受信した後に、サービス終了通知（例えば、ＴＣＰのFIN パケット）をサーバ１に送信する（ステップＡ１３）。
【００３７】
ゲートウェイ３の通信制御部３３は、クライアント２からのサーバ１へのサービス終了通知のパケットを検出すると、サービス終了通知のパケットをサイト内ネットワーク１００に通すとともに、ＡＣＬ３２のクライアントアドレスとサーバアドレスとのペアの情報を削除する（ステップＡ１４）。ＡＣＬ３２からクライアント２のクライアントアドレスとサーバ１のサーバアドレスのペアの情報を削除することによって、その後、クライアント２からサーバ１のメインサービス１２を提供するブロックに通信があった場合に通信パケットを通すことを許可しないようにする。
【００３８】
サーバ１のメインサービス１２を提供するブロックは、クライアントからのサービス終了通知を受けてサービスを終了する。そして、メインサービス１２を提供するブロックは、サーバアドレスを削除する（ステップＡ１５）。
【００３９】
本実施形態は、クライアントからの通信の度に、サーバ１のサーバアドレスが変化する環境において特に有効である。本実施形態では、サイト外サーバ２００のあるクライアントがメインサービス１２を要求する場合に、サービスの要求のためのセッション（具体的には、アドレス取得要求（名前解決要求）に関する通信から開始されるセッション）においてのみ有効なサーバアドレス（アドレスＸとする。）を生成し（ステップＡ１〜Ａ５参照）、サービスを要求したクライアントへの応答に関してセッションログを保存し（ステップＡ７参照）、保存されているセッションログと矛盾しない実際のサービス要求のみが受け付けられる（ステップＡ１０，Ａ１１参照）。そのセッションが終了すると、そのセッション中に有効であったサーバアドレスは削除されるので（ステップＡ，１４，Ａ１５参照）、別セッションで、アドレスＸに対してサービス要求されても、その要求は受け付けられない。
【００４０】
実施形態２．
次に、本発明の第２の実施形態を説明する。第２の実施形態における機器構成は、図２に示された構成と同じである。しかし、第２の実施形態では、ゲートウェイ３が、サーバアドレスを生成する。
【００４１】
図４のシーケンス図を参照して本発明の第２の実施形態の動作を説明する。図４に示すステップＢ１，Ｂ７〜Ｂ１５の処理は、図３に示すステップＡ１，Ａ７〜Ａ１５の処理と同じである。よって、以下、主として、ステップＢ２〜Ｂ６の処理を説明する。
【００４２】
ゲートウェイ３の名前解決部３１は、クライアント２のアドレス取得要求を受信すると（ステップＢ１）、要求を行ったクライアント２のクライアントアドレスを記憶するとともに、サーバアドレスを生成する（ステップＢ２）。なお、名前解決部３１は、生成されるサーバアドレスが特定のアドレスに偏らないようにサーバアドレスを生成する。
【００４３】
また、ゲートウェイ３の名前解決部３１は、サーバアドレスをサーバ１に付与する際に、サイト内ネットワーク１００に接続している他のサーバやネットワーク装置のアドレスと、ステップＢ２の処理で生成したアドレスが重複しているか否か確認する（ステップＢ３）。アドレスが重複していた場合には、再度ステップＢ２の処理を実行してサーバアドレスを生成する。名前解決部３１は、ステップＢ３の処理で、例えばＤＡＤ（Duplicate Address Detection ）技術を用いてアドレスの重複を検出する。
【００４４】
名前解決部３１は、生成したサーバアドレスを付与することを要求するために、サーバ１のサイトローカルサーバ１１に、生成したサーバアドレスを含むサーバアドレス付与要求を送信する（ステップＢ４）。
【００４５】
サーバ１のサイトローカルサーバ１１は、名前解決部３１からのサーバアドレス付与要求を受けて、サーバ１にサーバアドレスを付与する（ステップＢ５）。そして、ローカルサーバ１１は、サーバアドレスを付与すると、サーバアドレス付与完了をゲートウェイ３の名前解決部３１に送信する（ステップＢ６）。
【００４６】
その後、サーバ１およびゲートウェイ３は、第１の実施形態の場合（ステップＡ７〜Ａ１５）と同様に処理を実行する（ステップＢ７〜Ｂ１５）。
【００４７】
本実施形態でも、サイト外サーバ２００のあるクライアントがメインサービス１２を要求する場合に、サービスの要求のためのセッション（具体的には、アドレス取得要求（名前解決要求）に関する通信から開始されるセッション）においてのみ有効なサーバアドレス（アドレスＸとする。）を生成し（ステップＢ１〜Ｂ５参照）、サービスを要求したクライアントへの応答に関してセッションログを保存し（ステップＢ７参照）、保存されているセッションログと矛盾しない実際のサービス要求のみが受け付けられる（ステッＢ１０，Ｂ１１参照）。そのセッションが終了すると、そのセッション中に有効であったサーバアドレスは削除されるので（ステップＢ１４，Ｂ１５参照）、別セッションで、アドレスＸに対してサービス要求されても、その要求は受け付けられない。
【００４８】
以上に説明したように、上記の各実施形態では、サイト外ネットワーク２００のクライアント２からサイト内ネットワーク１００のサーバ１への通信にステートフルインスペクションを適用できる。名前解決の手段を用いて、名前解決後のサーバアドレスを用いてアクセスコントロールリストを動的に作ることができるからである。
【００４９】
図５は、本発明による通信制御装置の主要構成を示すブロック図である。図５に示すように、本発明では、通信制御装置３５は、サイト外ネットワーク２００における端末装置２５（上記の各実施形態におけるクライアント２に相当）からサイト内ネットワーク１００におけるサーバ装置１５へのサーバ名を特定したアクセス要求に対して生成されたサーバアドレスと端末装置２５のアドレスとを対でアクセスコントロールリスト（ＡＣＬ）３２に登録するとともに、端末装置２５にサーバアドレスを送信する名前解決部３１と、サイト外ネットワーク２００における端末装置（端末装置２５とは限らない。）からのサイト内ネットワーク１００に対する通信について、当該端末装置のアドレスと対になるサーバアドレスがアクセスコントロールリスト３２に登録されている場合に、当該端末装置とサーバ装置１５との通信を許可する通信制御部３３とを備えている。
【００５０】
また、通信制御部３３は、端末装置のアドレスと対になるサーバアドレスがアクセスコントロールリスト３２に登録されていない場合には、端末装置とサーバ装置１５との通信を許可しない。そして、通信制御部３３は、通信制御部３３が許可した通信のセッションが終了するときに、アクセスコントロールリスト３２からサーバアドレスと端末装置１５のアドレスとの対を削除する。
【００５１】
また、サーバアドレスは、サーバ装置１５によって生成されてもよいし、通信制御装置３５において生成されてもよい。
【産業上の利用可能性】
【００５２】
本発明を、ファイアウォールやリモートアクセスといった、正しい機器からの通信のみ外部ネットワークから内部ネットワークに通過させるような通信用途に適用できる。
【図面の簡単な説明】
【００５３】
【図１】本発明による通信制御装置を含む通信システムの第１の実施形態を示す説明図である。
【図２】サイト内ネットワークにおけるサーバおよびゲートウェイの内部構成例を示すブロック図である。
【図３】第１の実施形態の動作を説明するためのシーケンス図である。
【図４】第２の実施形態の動作を説明するためのシーケンス図である。
【図５】本発明による通信制御装置の主要構成を示すブロック図である。
【図６】ステートフルインスペクションを適用可能な通信システムの一例を示す説明図である。
【符号の説明】
【００５４】
１      サーバ（サーバ装置）
２      クライアント（クライアント装置）
３      ゲートウェイ
１０    ゲートウェイ
１１    ローカルサーバ
１２    メインサービス
１５    サーバ装置
２０    クライアント（クライアント装置）
２５    端末装置
３０    サーバ（サーバ装置）
３１    名前解決部
３２    アクセスコントロールリスト（ＡＣＬ）
３３    通信制御部
３５    通信制御装置
４０    ＬＡＮ
１００  サイト内ネットワーク
２００  サイト外ネットワーク
【図１】
2009272659.tif 000003
【図２】
2009272659.tif 000004
【図３】
2009272659.tif 000005
【図４】
2009272659.tif 000006
【図５】
2009272659.tif 000007
【図６】
2009272659.tif 000008