JP3758482B2 - ネットワーク間通信セキュリティプログラムを記録した媒体および装置 - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明はドメインネーム要求解決によるネットワーク間通信におけるセキュリティ確保を実現するネットワーク間通信セキュリティプログラムを記録した媒体および装置に関する。
【０００２】
【従来の技術】
送信元端末のアドレスにより通信の可否を判断する方法は従来から、行なわれている。
【０００３】
例えば、図２に示すようなネットワークにおいて、端末Ｍ−１１と端末Ｎ−１１間の通信だけを行いたい場合、ファイアウォールＭ−１４で、送信元ＩＰアドレスＮ−１１をネットワークＭに通過許可させ、ファイアウォールＮ−１４において、送信元ＩＰアドレスＭ−１１をネットワークＮに通過許可させ、上記それぞれのファイアウォールにおいて、その他の端末の通信を不許可とすることにより、セキュリティを確保することが可能である。
【０００４】
ネットワークＭ、ネットワークＮのどちらか一方もしくは、両方がプライベートアドレスである場合、送信元ＩＰアドレスはゲートウェイにおいてグローバルアドレスに変換された後、送信先ネットワークへ到達する。
【０００５】
このような環境において、端末Ｍ−１１と端末Ｎ−１１間の通信だけを行ないたい場合、ファイアウォールＭ−１４において、送信元アドレスとしてグローバルアドレスに変換後のＮ−１１のＩＰアドレスをネットワークＭに通過許可させ、ファイアウォールＮ−１４において、送信元アドレスとしてグローバルアドレスに変換後のＭ−１１のＩＰアドレスをネットワークＮに通過許可させ、上記それぞれのファイアウォールにおいて、その他の端末の通信を不許可とすることにより、セキュリティを確保することが可能である。
【０００６】
このような、プライベートアドレスからグローバルアドレスへ変換を実施するネットワーク構成において、送信元ＩＰアドレスによりセキュリティを確保するためには、送信元端末のプライべートＩＰアドレスとその端末がグローバルネットワークに通信する際に変換されるグローバルアドレスとが、固定的に関係付けられている必要がある。
【０００７】
これは、プライベートアドレスをグローバルアドレスへ変換する方式として、グローバルアドレスの動的割当を利用する場合においても同様であり、その端末についてはアドレスの対応付けを固定的に行なう必要がある。
【０００８】
【発明が解決しようとする課題】
セキュリティを確保するためにグローバルアドレスとプライベートアドレスとの対応を固定的に関連付けると、グローバルネットワークへ接続する端末の台数分だけグローバルアドレスが必要となり、グローバルネットワークを利用する端末の台数が制限されてしまう。
【０００９】
グローバルアドレスの動的割当を実施している場合においても、セキュリティを確保する端末の台数分については固定的にアドレスを関連付ける必要があり、グローバルネットワーク利用端末の制限という点では同様の問題である。
【００１０】
このようにプライベートアドレスの端末をグローバルネットワークに接続して通信させるときにセキュリティを確保するためには、静的あるいは動的に対応させたグローバルアドレスが通信相手から見たとき固定している必要があり、限られたグローバルアドレスの数が不足するということが課題でありその解決策が求められていた。
【００１１】
本発明はこのような点にかんがみて、プライベートアドレスの端末をグローバルネットワークに接続して通信させるときにセキュリティを確保する手段を提供することを目的とする。
【００１２】
【課題を解決するための手段】
上記の課題は下記の如くに構成された、外部ネットワーク端末との通信の可否を判断するネットワーク間通信セキュリティプログラムを記録した媒体および装置によって解決される。
【００１３】
図１は、本発明の構成図である。
【００１４】
図において、１は通信の可否を判断する対象の端末を識別するドメインネームを記憶した端末ドメインネーム記憶手段であり、２は受信したパケットの送信元ＩＰ（Internet Protocol ）アドレスに基づきＤＮＳ（Domain Names System ）サーバに送信元端末のドメインネームを問い合わせるドメインネーム問い合わせ手段であり、３は問い合わせて得られたドメインネームにより端末ドメインネーム記憶手段に記憶されたドメインネームを検索して通信の可否を判断する通信可否判断手段である。
【００１５】
すなわち、ネットワークの入口のファイアウォールとなるゲートウェイに到来する通信パケットの送信元ＩＰアドレスをあらかじめ設定して記憶したＩＰアドレスと比較することにより通信の可否を確認する従来技術に加えて、本発明では上記ＩＰアドレスで通信の可否が判断できない場合にも、ドメインネーム問い合わせ手段２により、送信元ネットワークのＤＮＳに送信元の端末のドメインネームを問い合わせて、ドメインネームにより送信元端末を認識し、通信可否判断手段３が、あらかじめ端末ドメインネーム記憶手段１に記憶したドメインネームと比較して通信の可否を判断するようにしている。
【００１６】
特に、送信元端末がプライベートアドレスで管理されたネットワークの端末であってインターネット上でユニークなアドレスであるグローバルアドレスを動的に割り当てられて送信されたパケットであっても、上記のような仕組みにより送信元端末の確認を行なうので通信の可否を判断することができる。
【００１７】
【発明の実施の形態】
図２には本発明の実施の形態の構成図を示す。
【００１８】
本実施の形態においては、パーソナルコンピューター、ワークステーション等の汎用的な目的で使用される計算機上で実行するコンピュータプログラムにより実現する形態を示す。
【００１９】
本発明のネットワーク間通信セキュリティ装置は、処理装置、主記憶装置、補助記憶装置、入出力装置などから構成される計算機上で、コンピュータプログラムを実行して実現される。また、コンピュータプログラムは、フロッピーディスクやＣＤ−ＲＯＭ等の可搬型媒体やネットワーク接続された他の計算機の主記憶装置や補助記憶装置等に格納されて提供される。本発明の記録媒体は、上記可搬型媒体、主記憶装置、補助記憶装置に該当する。
【００２０】
提供されたコンピュータプログラムは、可搬型媒体から直接計算機の主記憶装置にロードされ、または、可搬型媒体から一旦補助記憶装置にコピーまたはインストール後に、主記憶装置にロードされて実行する。また、ネットワーク接続された他の装置に格納されて提供された場合も、他の装置からネットワークを経由して受信後に、補助記憶装置にコピー、主記憶装置にロードされ実行するものである。
【００２１】
本発明の実施の形態は、ファイアウォールに関する。外部ネットワークから内部ネットワークに対する通信の可否を制御するファイアウォールにおいて、通信可否の判定基準として端末のドメインネームを保持し、外部からの通信要求があったとき、送信元端末のドメインネームを要求し、その回答から送信元端末のドメインネームを識別し、通信可否の判定を行なうようにしている。
【００２２】
特に、本実施の形態は、自ネットワークを独自のプライベートアドレスによって管理する端末が、グローバルアドレスによって管理されるインターネットを介して、他の独自のプライベートアドレスによって管理されるネットワークの端末と通信するように構成するネットワークであって、着信側ネットワークの入口において、自ネットワーク内への通信可否を判定するファイアウォールを示す。
【００２３】
ここに示す各ファイアウォールによって管理されたネットワーク内部には、外部からのＤＮＳ要求に対して回答を行なう機能を有している。また、ネットワーク内の各端末にはグローバルネットワーク全体でユニークなホスト名、すなわち、ＤＮＳ形式に従ってネットワークのドメイン名とホスト名からなるドメインネームが与えられている。
【００２４】
図２の構成を説明する。ネットワークＭ、ネットワークＮはプライベートアドレスが割り当てられたネットワークであり、グローバルアドレスを割り当てられたネットワークを介して接続されている。Ｍ−１１、Ｍ−１２およびＮ−１１、Ｎ−１２は各ネットワークのプライベートアドレスが付与された端末であり、Ｍ−１３、Ｎ−１３はネットワーク内部の名前解決を実施する内側ＤＮＳサーバ、Ｍ−１４、Ｎ−１４はネットワークのセキュリティを確保するためのファイアウォールとアドレス変換機能を兼ね備えたゲートウェイ、Ｍ−１５、Ｎ−１５はネットワーク外部からのアドレス解決要求に対して内部端末のグローバルアドレスを返答するとともに、内部からの要求に対して外部グローバルアドレスを解決する外側ＤＮＳサーバである。
【００２５】
本発明の実施の形態には、セキュリティを確保するためのファイアウォールであるＭ−１４、Ｎ−１４において、自ネットワークへの通信要求に対して、送信元端末のドメイン名を要求し、その回答を識別して通信の可否を判定するものを示す。
【００２６】
ファイアウォールＭ−１４、Ｎ−１４のグローバルネットワーク接続のポートと、いわゆる非武装地帯 (ＤＭＺ:DeMilitarized Zone)接続のポートには固定的に割り当てられたグローバルアドレスが付与され、内部ネットワーク接続のポートはプライベートアドレスが付与されている。
【００２７】
外側ＤＮＳサーバＭ−１５、Ｎ−１５にはグローバルアドレスが付与されている。内側ＤＮＳサーバＭ−１３、Ｎ−１３、端末Ｍ−１１、Ｍ−１２、およびＮ−１１、Ｎ−１２にはプライベートアドレスが付与されている。
【００２８】
各端末Ｍ−１１、Ｍ−１２およびＮ−１１、Ｎ−１２にはそれらが属するネットワークのＤＮＳサーバのアドレスが登録されている。
【００２９】
内側ＤＮＳサーバＭ−１３、Ｎ−１３には自ネットワークのドメインネームと外側ＤＮＳサーバのグローバルアドレスが登録されている。
【００３０】
ゲートウェイＭ−１４、Ｎ−１４のアドレス変換部は、従来技術における構成のものと同様にＩＰアドレスの変換を行い、さらに、外部からの送信要求に対し、内部プライベートアドレスに対応するグローバルアドレスを付与する機能を有し、上記ゲートウェイのファイアウォール部は送信元端末識別機能として従来技術の送信元ＩＰアドレスによるチェック機能の他に送信元ドメインネームをチェックする機能を有する。
【００３１】
以下に図２に示すネットワークＮのプライベートアドレスで管理された端末Ｎ−１１からグローバルアドレスで管理されるインターネットを経由してやはりプライベートアドレスで管理されるネットワークＭの端末Ｍ−１１に通信する時のパケットの動き、受信側ファイアウォールＭ−１４に設けられたテーブル内のデータの動きとをあわせて通信のセキュリティの確保の動作を説明する。
【００３２】
図３はテーブルの構成図であり、（ａ）は通信可否判定テーブル（以下説明ではテーブルＡという）と（ｂ）はドメインネーム問い合わせ中管理テーブル（説明ではテーブルＢと呼ぶ）を示し、ともに受信側ネットワークＭのゲートウェイＭ−１４のファイアウォール機能として備えるものである。同様のテーブルはそれぞれのファイアウォールに備えられ、同様に通信の管理、セキュリティの確保に使用される。
【００３３】
テーブルＡはパケットを送信されたネットワークの入口にあるファイアウォールが、従来技術によるセキュリティ確保を行なうために備える通信を可とする相手端末のＩＰアドレスのテーブルとは別に、本発明の実施において追加して備えたテーブルであり、あらかじめ通信を可とする相手端末のドメインネームを記憶するようにしたテーブルである。各ドメインネームに対応して送信元端末のＩＰアドレスが判明したときにそれを記憶するように構成されている。例えば、図３（ａ）に示すように送信元端末ドメインネームが「ｎｏ．ｐｑｒ．ｓｔ」は通信可能な状態で、送信元端末のＩＰアドレスは「１３０．１．１．１」であることを示している。
【００３４】
テーブルＢは送信されて来たパケットのＩＰアドレスを持つ端末のドメインネームを問い合わせているときに、問い合わせに答えたパケットが送信されて来たときに、回答のパケットであることを確認するために問い合わせ中ＩＰアドレスを一時記憶するものである。例として、図３（ｂ）に示してある「１３０．１．．２．１」、「１３３．５．１．２」などは現在それぞれのドメインネームを相手のネットワークのＤＮＳサーバに問い合わせている状態であることを示している。
【００３５】
図４〜図６の通信開始の動作フローチャートの流れに沿って端末Ｎ−１１から端末Ｍ−１１に向けて通信開始するときの動作の説明を行なう。送信先の端末もプライベートアドレスで管理されておりＭ−１１のドメインネームを入力して処理が始まる。ステップＳ４１からステップＳ４８は通常行なわれる処理であるが、ドメインネームで指定された相手端末のＩＰアドレスを得る処理を示している。
【００３６】
ステップＳ４１では、入力されたドメインネームをもとに、データ送信端末Ｎ−１１が送信先端末Ｍ−１１のアドレスを内部ＤＮＳサーバＮ−１３に問い合わせる。
【００３７】
ステップＳ４２では、Ｎ−１３は外部ＤＮＳサーバＮ−１５に対し送信先端末Ｍ−１１のアドレスを問い合わせる。
【００３８】
ステップＳ４３においては、Ｎ−１５は送信先ドメインのＤＮＳサーバＭ−１５に対し、アドレス要求パケットを送信する。
【００３９】
ステップＳ４４は、Ｍ−１４はＮ−１５のＩＰアドレスで通信可と判定するものとしている。すなわち、ゲートウェイのセキュリティ機能として外部ネットワークから到来したアドレス要求パケットについてもセキュリティ確保を行なうがここでは従来技術によりＮ−１５についてはそのＩＰアドレスが別途保持されていてそれに基づいて確認されるものとした。これも、後に説明するようにあらかじめＩＰアドレスが登録されていない場合にもセキュリティの確保を行なうためにドメインネームで確認することもできる。
【００４０】
ステップＳ４５では、通過してきたパケットを受け取ったＤＮＳサーバＭ−１５はゲートウェイＭ−１４に対してＭ−１１のグローバルアドレス割当を指示する。
【００４１】
ステップＳ４６では、Ｍ−１４はＭ−１１に対してグローバルアドレスを付与して、そのアドレスをＭ−１５に回答する。
【００４２】
ステップＳ４７では、Ｍ−１５はＭ−１１のアドレスをＮ−１５へ回答し、ステップＳ４８で、Ｎ−１５はＮ−１３にＭ−１１のアドレスを回答する。
【００４３】
このようにして、送信元の端末Ｎ−１１は送信先の相手端末Ｍ−１１のＩＰアドレスを知ることができる。以降、Ｎ−１１はこのアドレスを用いてＭ−１１にパケットを送り出すことができる。しかし、各ネットワークは外部から送信されてくるパケットについてセキュリティを確保するようにしているので、ＩＰアドレスが分かって通信を開始してもファイアウォールのチェックを受けなければならない。図５および図６のフローチャートによってファイアウォールＭ−１４における本発明の実施の形態の動作を説明する。
【００４４】
ステップＳ５１において、データ送信端末Ｎ−１１が、判明した送信先端末Ｍ−１１のアドレスを用いて通信パケットをＭ−１１に送信する。
【００４５】
ステップＳ５２で、まず、ネットワークＭのファイアウォールＭ−１４は従来技術で送信元Ｎ−１１のアドレスの通信可否判定を行なう。ＯＫであれば、直ちにステップＳ６４以降に示すように通信パケットを通過させる。
【００４６】
従来技術の通信可否を判定するＩＰアドレスが設定されていないときには、ステップＳ５３に進み、テーブルＡにＩＰアドレスが登録済かを調べる。すなわち、テーブルＡには後で説明するように送信元ドメインネームに対応する送信元ＩＰアドレスが判明したときにはそれが記憶されるようになっており、このＩＰアドレスが登録されているときにはステップＳ６４に進みファイアウォールは通信パケットを通過させる。
【００４７】
テーブルＡにＩＰアドレスが登録されていないときには、ステップＳ５４で、このパケットの送信元アドレスは調査中であるか否かを、テーブルＢに記憶されているアドレス情報を調べることで判定する。
【００４８】
調査中の送信元アドレスでないとき、すなわち、ドメインネームを調べることで送信元を確認する必要のあるものであると判断したときには、ステップＳ５５で、送信元アドレスが調査中である旨テーブルＢに記憶し、ステップＳ５６で、送信元アドレスに基づいてドメインネームの逆引きを要求することにより、送信元アドレスのドメインネームを尋ねステップＳ５１でその回答を待つようにしている。
【００４９】
ステップＳ５４で調査中のアドレスを持ったパケットであったときには、ステップＳ５７でその内容が逆引きＤＮＳ解決の回答のパケットかを確認し、そうでないときはエラーとしてパケットを破棄してステップＳ５１において次のパケットを待つ。
【００５０】
逆引きＤＮＳ解決の回答のパケットであったときには、ステップＳ６１でテーブルＢに記憶した該当の送信元アドレスをクリアし調査中の状態を取り消す。
【００５１】
ステップＳ６２では、送信元のドメインネームが分かったので、それがあらかじめテーブルＡに設定して記憶されている通信可能な端末を示すドメインネームと一致するか調べる。一致するものがないときにはステップＳ６７でパケットを廃棄して終了する。
【００５２】
一致が確認できたときにはステップＳ６３で、送信元パケットのアドレスをテーブルＡの該当のドメインネームに対応させて記憶する。このようにして、テーブルＡに記憶されたＩＰアドレスは他のネットワークから受信したパケットの送信元ＩＰアドレスと比較することにより通信可否のセキュリティチェックが可能となる。
【００５３】
ステップＳ６４ではセキュリティの確認ができた場合にはその通信パケットを通過させて宛先の端末に届けられる。
【００５４】
以後、上記と同様の処理により各受信したパケットはセキュリティを確保した上で宛先の端末に届けられる。ステップＳ６５では、無通信などを検出して通信を終了するまで繰り返されることを示している。
【００５５】
通信の終了を確認するとステップＳ６６で、テーブルＡに記憶されていた通信終了の相手端末のＩＰアドレスをクリアする。さらに、フローチャートには記していないが、ファイアウォールＭ−１４は通信の終了を検知して、割り当てられているグローバルアドレスを開放するとともに、これを外部ドメインネームサーバＭ−１５に通知することになる。
【００５６】
上記説明において、通信の可否を判定するときテーブルに設定したＩＰアドレスあるいは相手端末のドメインネームは通信を可とするものを記憶するようにしたが、逆に通信を否とするものを設定して可否を判定してもよい。
【００５７】
また、他のネットワークに備えられた外向きのＤＮＳサーバからのアドレス解決要求のパケットについては従来技術による登録されたＩＰアドレスの照合により通信の確認をしたが、上記説明したと同様にドメインネームの確認を用いてもよい。
【００５８】
さらに、上記説明は自ネットワークおよび相手ネットワークともプライベートアドレスを使用して管理されたネットワークであることを前提としたが、いずれも、グローバルアドレスを持ったネットワークの端末であっても同様に機能するものである。
【００５９】
以上のような仕組みを利用することにより、企業間の自由な接続がそれぞれの安全なネットワーク運用を確保しながら実現できる。例えば、複数の企業ネットワークの監視サービスを実施している会社が、リモートメンテナンス等他社のネットワークに属している端末に通信する際に、ファイアウォールで外部ネットワークからの通信を制限している場合、ドメインネームを登録して通信を許可された端末は、プライベートアドレスで管理されている監視サービス会社のネットワークからその時々に割り当てられたグローバルアドレスで通信しても本発明の機能を搭載したファイアウォールを通過することができる。同様に、各企業独自のネットワークを構築している場合でも、セキュリティ確保しながら企業間の各種商取引が自由に構築できる手段として有効となるものである。
【００６０】
【発明の効果】
以上の説明から明らかなように本発明によれば送信元端末をそのドメインネームで認識することにより、グローバルアドレス不足を解決するために、プライベートアドレスで管理された端末を通信の開始時に動的にグローバルアドレスを割り当てる場合でも通信の可否を判定してセキュリティを確保することができるので、各企業が構築したそれぞれのネットワークをインターネットで接続した自由なネットワークの構成が可能となり、安全で便利なネットワーク社会の発展に寄与する、という工業的、経済的効果が得られる。
【図面の簡単な説明】
【図１】 本発明の構成図
【図２】 本発明の実施の形態の構成図
【図３】 テーブルの構成図
【図４】 通信開始の動作フローチャート（その１）
【図５】 通信開始の動作フローチャート（その２）
【図６】 通信開始の動作フローチャート（その３）
【符号の説明】
１ 端末ドメインネーム記憶手段
２ ドメインネーム問い合わせ手段
３ 通信可否判断手段

Claims (3)

1. 外部ネットワーク端末との通信の可否を判断するネットワーク間通信セキュリティプログラムを記録した媒体であって、コンピュータを、
   通信の可否を判断する対象の端末を識別するドメインネームおよび対応するＩＰアドレスを記憶する端末ドメインネーム記憶手段、
   受信したパケットの送信元ＩＰアドレスにより上記端末ドメインネーム記憶手段に記憶された送信元ＩＰアドレスを検索して一致するものが見つからなかったときにはＤＮＳサーバに送信元端末のドメインネームを問い合わせるドメインネーム問い合わせ手段、
   問い合わせて得られたドメインネームにより端末ドメインネーム記憶手段に記憶されたドメインネームを検索して一致するものが見つかったときには該端末ドメインネームに対応させて上記問い合わせた送信元ＩＰアドレスを記憶させ、上記端末ドメインネーム記憶手段に送信元ＩＰアドレスあるいは送信元端末のドメインネームのいずれかに一致するものが見つかったか否かに基づき通信の可否を判断する通信可否判断手段、
   として機能させるためのネットワーク間通信セキュリティプログラムを記録したコンピュータ読み取り可能な記録媒体。
2. 上記受信したパケットは、プライベートアドレスで管理されたネットワークの端末が動的に割り当てられたグローバルアドレスを送信元ＩＰアドレスとして送信したパケットであることを特徴とする請求項１記載のネットワーク間通信セキュリティプログラムを記録したコンピュータ読み取り可能な記録媒体。
3. 外部ネットワーク端末との通信の可否を判断するネットワーク間通信セキュリティ装置であって、
   通信の可否を判断する対象の端末を識別するドメインネームおよび対応するＩＰアドレスを記憶する端末ドメインネーム記憶手段と、
   受信したパケットの送信元ＩＰアドレスにより上記端末ドメインネーム記憶手段に記憶された送信元ＩＰアドレスを検索して一致するものが見つからなかったときにはＤＮＳサーバに送信元端末のドメインネームを問い合わせるドメインネーム問い合わせ手段と、
   問い合わせて得られたドメインネームにより端末ドメインネーム記憶手段に記憶されたドメインネームを検索して一致するものが見つかったときには該端末ドメインネームに対応させて上記問い合わせた送信元ＩＰアドレスを記憶させ、上記端末ドメインネーム記憶手段に送信元ＩＰアドレスあるいは送信元端末のドメインネームのいずれかに一致するものが見つかったか否かに基づき通信の可否を判断する通信可否判断手段と、
   を備えることを特徴とするネットワーク間通信セキュリティ装置。

Images