JP2011175383A - アドレス集約システム、及びメッセージ送信元認証方法 - Google Patents

Abstract

【課題】アドレス集約機能が備えられた通信ネットワークにおいて、メッセージに含まれる送信元アドレスを用いたメッセージ送信元認証を行う。
【解決手段】アドレス集約システムにおいて、ライン番号とクライアント識別子とを対応付けて格納した格納手段と、ライン番号を付加したクライアントからのアドレス割り当て要求をアドレス割り当て装置に転送する手段と、前記アドレス割り当て装置から、前記ライン番号と、割り当てられたクライアントアドレスとを受信し、当該クライアントアドレスを、前記ライン番号に対応付けて前記格納手段に格納する手段と、クライアントから、送信元アドレスとクライアント識別子とを含むメッセージを受信し、前記格納手段から、当該クライアント識別子に対応するクライアントアドレスを取得し、当該クライアントアドレスと、前記送信元アドレスとを照合することにより、メッセージ送信元の認証を行う手段とを備える。
【選択図】図１

Description

本発明は、クライアントが送信したメッセージの正当性を確認するための認証を行う技術に関するものであり、特に、ロードバランサ等のアドレス集約装置が備えられた通信ネットワークにおいて、メッセージ送信元の認証を行う技術に関するものである。

クライアントとサーバからなるクライアントサーバシステムにおいて、サーバの負荷低減のために、複数のサーバを備え、ロードバランサによりクライアントからの要求を各サーバに振り分ける技術がある。一般に、このようなロードバランサは、どのクライアントがどのサーバに割り当てられているかを示すテーブル情報であるコネクションテーブルを保持している。

また、多数のTCPコネクションが設定されるサーバの負荷低減のために、TCPコネクション集約を行うロードバランサもある（例えば、非特許文献１に開示された装置）。TCPコネクション集約機能を持つロードバランサでは、クライアントからのTCPコネクションをロードバランサが受け付け、サーバとロードバランサ間では少数のTCPコネクションが設定され、ロードバランサがクライアントから受け付けたメッセージを、このTCPコネクションを用いてサーバへ転送する。クライアントからのコネクションと、集約されたコネクションとの対応情報は前述のコネクションテーブルに保持される。

さて、クライアントからメッセージを受信し、種々のサービスを提供するサーバにおいては、一般に、メッセージ送信元の認証が行われる。

メッセージ送信元の認証では、例えば、サーバ側で、クライアントのアドレスと、名前等のクライアント識別子とを予め取得、保持しておき、クライアントから受信するメッセージに含まれる送信元アドレス及びクライアント識別子が、予め保持しておいたものと一致するか否かを判定する処理が行われる。

ITmedia 井上猛雄, もう1つのWAN高速化、「AFE」って何だ？ (2/3), http://www.itmedia.co.jp/enterprise/articles/0706/25/news007_2.html (2010年１月１２日検索)

前述したロードバランサでは、クライアントから送信されるメッセージの送信元アドレス及びポートが、複数のクライアントに共通のアドレス及びポートに変換（集約）される。以降、このような機能をアドレス集約機能と呼び、アドレス集約機能を備えたロードバランサのような装置を、アドレス集約装置と呼ぶことにする。

ロードバランサからアドレス集約後のメッセージを受信するサーバは、メッセージに含まれる送信元アドレスを用いて送信元認証を行うことができない。そのため、サーバは偽のクライアント識別子を用いて他のクライアントに偽装したクライアントからのメッセージを受理してしまうことを防止できないという問題がある。

本発明は上記の点に鑑みてなされたものであり、アドレス集約機能が備えられた通信ネットワークにおいて、メッセージに含まれる送信元アドレスを用いたメッセージ送信元認証を行うことを可能とするための技術を提供することを目的とする。

上記の課題を解決するために、本発明は、通信ネットワークに接続される複数のクライアントから受信するメッセージの送信元アドレスを、当該複数のクライアントに共通のアドレスに集約する機能を有するアドレス集約システムであって、クライアント毎に、クライアントアドレスとクライアント識別子とを対応付けて格納した認証情報格納手段と、クライアントから、送信元アドレスとクライアント識別子とを含むメッセージを受信し、前記認証情報格納手段から、当該クライアント識別子に対応するクライアントアドレスを取得し、当該クライアントアドレスと、前記送信元アドレスとを照合することにより、メッセージ送信元の認証を行う送信元認証手段とを備えることを特徴とするアドレス集約システムとして構成される。

また、本発明は、通信ネットワークに接続される複数のクライアントから受信するメッセージの送信元アドレスを、当該複数のクライアントに共通のアドレスに集約する機能を有するアドレス集約システムであって、クライアント毎に、ライン番号とクライアント識別子とを対応付けて格納した認証情報格納手段と、クライアントから受信するアドレス割り当て要求に基づき、当該クライアントのライン番号を取得し、当該ライン番号を付加したアドレス割り当て要求をアドレス割り当て装置に転送するアドレス要求転送手段と、前記アドレス割り当て装置から、前記ライン番号と、割り当てられたクライアントアドレスとを受信し、当該クライアントアドレスを、前記ライン番号に対応付けて前記認証情報格納手段に格納するアドレス情報設定手段と、クライアントから、送信元アドレスとクライアント識別子とを含むメッセージを受信し、前記認証情報格納手段から、当該クライアント識別子に対応するクライアントアドレスを取得し、当該クライアントアドレスと、前記送信元アドレスとを照合することにより、メッセージ送信元の認証を行う送信元認証手段とを備えることを特徴とするアドレス集約システムとして構成してもよい。

また、本発明は、通信ネットワークに接続される複数のクライアントから受信するメッセージの送信元アドレスを、当該複数のクライアントに共通のアドレスに集約する機能を有するアドレス集約システムであって、前記アドレス集約システムは、クライアント毎に、ライン番号とクライアント識別子とを対応付けて格納した格納手段を備えるアドレス割り当て装置に接続されており、クライアントから受信するアドレス割り当て要求に基づき、当該クライアントのライン番号を取得し、当該ライン番号を付加したアドレス割り当て要求をアドレス割り当て装置に転送するアドレス要求転送手段と、前記アドレス割り当て装置から、割り当てられたクライアントアドレスと、当該クライアントアドレスに対応するクライアントのクライアント識別子とを受信し、当該クライアントアドレスと当該クライアント識別子とを、認証情報格納手段に格納するアドレス情報設定手段と、クライアントから、送信元アドレスとクライアント識別子とを含むメッセージを受信し、前記認証情報格納手段から、当該クライアント識別子に対応するクライアントアドレスを取得し、当該クライアントアドレスと、前記送信元アドレスとを照合することにより、メッセージ送信元の認証を行う送信元認証手段とを備えることを特徴とするアドレス集約システムとして構成することもできる。

前記アドレス集約システムは、メッセージ通過制御手段を更に備えてもよく、当該メッセージ通過制御手段は、前記アドレス集約システムに接続された受付制御装置から、前記クライアントアドレスが割り当てられたクライアントからのメッセージを通過させる制御を行うための制御情報を受信し、当該制御情報に基づき、当該メッセージを通過させるための設定を行う。

また、前記アドレス集約システムは、当該アドレス集約システムに接続された受付制御装置により変換後クライアントアドレスの通知を受けたアドレス割り当て装置から、又は、前記受付制御装置から、前記変換後クライアントアドレスの通知を受け、当該変換後クライアントアドレスを、前記クライアントアドレスに対応付けて前記認証情報格納手段に格納し、前記送信元認証手段は、前記認証情報格納手段に格納されたクライアントアドレスと、前記変換後クライアントアドレスとを用いてメッセージ送信元の認証を行うようにしてもよい。

本発明によれば、アドレス集約システムは、受信するメッセージに含まれる送信元アドレスを用いたメッセージ送信元認証を行うことが可能となり、サーバが偽のクライアント識別子を用いて他のクライアントに偽装したクライアントからのメッセージを受理してしまうことを防止できるようになる。

第１の実施の形態におけるシステム構成図である。 アドレス集約装置２の機能構成図である。 認証情報格納部１１に格納される情報の例を示す図である。 本発明の実施の形態に係る基本的な処理の流れを示すシーケンスチャートである。 実施形態１−１におけるシーケンスチャートである。 実施形態１−２におけるシーケンスチャートである。 第２の実施の形態におけるシステム構成図である。 エッジ装置１０１の機能構成図である。 アドレス集約装置１０２の機能構成図である。 認証情報格納部１３１に格納される情報の例を示す図である。 実施形態２−１におけるシーケンスチャートである。 実施形態２−２におけるシーケンスチャートである。

以下、図面を参照して本発明の実施の形態を説明する。

（第１の実施の形態）
まず、本発明の第１の実施の形態を説明する。第１の実施の形態は、ライン番号とクライアント識別子を、予め保持しておく場所に応じて２つの例に分けられ、これらを実施形態１−１、実施形態１−２として説明する。

＜実施形態１−１＞
図１に、実施形態１−１における通信システムの構成図を示す。図１に示すように、実施形態１−１における通信システムは、アドレス集約装置１、アドレス割り当て装置２、サーバ３、及び各クライアント４を有する。また、図１には、複数のクライアント４を配下に持つゲートウェイ５も示されている。

アドレス集約装置１は、例えば前述したロードバランサのようなアドレス集約機能を有する装置である。アドレス割り当て装置２は、例えばNASS（network attachment subsystem）、DHCP（dynamic host configuration protocol）のようなアドレス割り当て機能を備えた装置であり、払い出したアドレス等の情報を格納するアドレス払い出し情報格納部２１を有する。

サーバ３は、例えばSIPのセッション制御を行うSIPサーバ（例えばP-CSCFなど)や、その他のアプリケーションサーバである。クライアント４は、通信ネットワークを介して通信可能なPC、電話端末、携帯端末等(例えばUE、SIP UAなど)である。ゲートウェイ５は、例えば、複数のクライアント４を収容して、外部と通信を行う装置である。

図１における各装置は、通信ネットワーク（本実施形態ではIPネットワーク）に接続されており、図中、各装置を結ぶ線は、当該装置間で、通信ネットワークを介して通信を行うことを示している。第２の実施の形態でも同様である。

図２に、アドレス集約装置１の機能構成図を示す。図２に示すように、アドレス集約装置１は、認証情報格納部１１、アドレス要求転送部１２、アドレス情報設定部１３、送信元認証部１４、アドレス集約機能部１５を備えている。

認証情報格納部１１は、本発明に係る送信元認証を行うための認証情報を格納する格納部である。図３に、認証情報格納部１１に格納されるテーブル情報の例を示す。図３に示すように、認証情報格納部１１には、ライン番号、クライアント識別子、クライアントアドレスが対応付けて格納される。ここで、ライン番号とは、クライアントが接続される物理的あるいは論理的なラインの番号(VLAN_ID、MACアドレス、物理的な直収ポート等、物理的な接続先に一意に紐付いている識別情報)である。クライアント識別子は、SIP URI等のクライアントを識別する識別子である。クライアントアドレスは、クライアントに割り当てられるIPアドレスである。

実施形態１−１では、ライン番号とクライアント識別子が、システム管理者等により、予め認証情報格納部１１に格納されている。

図２に戻り、アドレス要求転送部１２は、クライアント４から送信されるアドレス割り当て要求をアドレス割り当て装置２に転送したり、アドレス割り当て装置２からのアドレス割り当て応答をクライアント４に転送したりする機能部である。アドレス情報設定部１３は、認証情報格納部１１にアドレス情報等を格納するための機能部である。送信元認証部１４は、認証情報格納部１１を参照することにより、メッセージの送信元クライアントの認証を行う機能部である。これらの機能部の動作詳細については、後の動作説明において説明する。

アドレス集約機能部１５は、アドレス集約を行うロードバランサ機能等のアドレス集約装置本体の機能を有する機能部である。

アドレス集約装置１は、CPU、及びメモリ等を有する一般的なコンピュータ（もしくはルータ等の通信装置）に、各機能部の機能を奏するプログラムを搭載することにより実現できる。また、アドレス集約装置１は、１つの装置で実現する必要はなく、複数の装置をネットワーク接続して構成してもよい。例えば、アドレス要求転送部１２を別装置としてもよい。更に、サーバ３とアドレス割り当て装置２を１つの装置で構成してもよい。なお、アドレス集約装置は、１つの装置で構成される場合も、複数の装置で構成される場合も、アドレス集約システムと呼ぶことができる。

次に、システムの動作について説明する。ここでは、実施形態１−１におけるシステムの動作を説明する前に、まず、第１、第２の実施の形態を包含する本発明に係る基本的な処理動作について、図４のシーケンスチャートを参照して説明する。図４に示すシーケンスの前提として、アドレス集約装置２における認証情報格納部１１には、クライアント毎に、クライアントアドレスとクライアント識別子とが対応付けて格納されているものとする。クライアントアドレスとクライアント識別子とが対応付けて認証情報格納部１１に格納されるまでの処理方法の例については、実施形態１−１〜実施形態２−２において説明されるが、これらの実施形態で説明する処理方法に限定されるわけではない。

図４に示すように、まず、アドレス集約装置２は、クライアント４から、送信元アドレスとクライアント識別子とを含むメッセージを受信する（ステップ１０００）。

続いて、アドレス集約装置２は、認証情報格納部１１から、上記メッセージに含まれているクライアント識別子を用いて認証情報格納部１１を検索し、当該クライアント識別子に対応するクライアントアドレスを認証情報格納部１１から取得する（ステップ１１００）。

そして、アドレス集約装置２は、認証情報格納部１１から取得したクライアントアドレスと、メッセージに含まれている送信元アドレスとを照合することにより、メッセージ送信元の認証を行う（ステップ１２００）。ここで、照合の結果、両者が一致する場合（認証に成功した場合）に、メッセージはサーバ３に送信される（ステップ１３００）。

次に、図５を参照して、実施形態１−１におけるシステムの動作について説明する。本例では、特定のクライアント４が、アドレス集約装置１に対して直接メッセージを送信する場合を示している。クライアントがゲートウェイ５を介して通信する場合は、アドレス集約装置１は、ゲートウェイ５に対して認証を行うことになる。

図５において、まず、クライアント４は、クライアントアドレスを取得するために、アドレス割り当て装置２に対してアドレス割り当て要求を送信する（ステップ１）。アドレス割り当て要求は、アドレス集約装置１を経由する。

アドレス割り当て要求を受信したアドレス集約装置１におけるアドレス要求転送部１２は、当該アドレス割り当て要求に対応するライン番号を取得し、アドレス割り当て要求にライン番号を付加する（ステップ２）。そして、アドレス要求転送部１２は、ライン番号が付加されたアドレス割り当て要求をアドレス割り当て装置２に送信する（ステップ３）。
アドレス割り当て要求を受信したアドレス割り当て装置２は、アドレス割り当て要求に付加されているライン番号を取得するとともに、クライアントに割り振るためのクライアントアドレスを未使用のものから一つ選ぶ（ステップ４）。
そして、アドレス割り当て装置２は、選んだクライアントアドレスと、取得したライン番号とを対応付けてアドレス払い出し情報格納部２１に格納する（ステップ５）。
その後、アドレス割り当て装置２は、クライアント４に対し、このクライアントアドレスとライン番号とを含むアドレス割り当て応答を送信する（ステップ６）。
アドレス割り当て応答は、アドレス集約装置１により受信される。アドレス割り当て応答を受信したアドレス集約装置１のアドレス情報設定部１３は、アドレス割り当て応答に含まれるライン番号に基づき認証情報格納部１１を検索し、当該ライン番号に対応付けて、クライアントアドレスを認証情報格納部１１に格納する（ステップ７）。これにより、認証情報格納部１１には、クライアントアドレスと、予め格納されていたクライアント識別子とが対応付けられることになる。そして、アドレス集約装置１は、アドレス割り当て応答をクライアント４に転送する（ステップ８）。

その後、クライアント４は、サーバ３に対してサービスを要求するメッセージ（すなわち、メッセージを含むIPパケット）を送信する（ステップ９）。このメッセージは、例えば、SIPの接続要求メッセージである。このメッセージには、アドレス割り当て応答により通知されたクライアントアドレスが、送信元アドレスとして、ヘッダ部分（IPパケットのヘッダの意味も含む）に含まれている。また、メッセージのヘッダ部分には、クライアント識別子が含まれている。

上記メッセージは、まず、アドレス集約装置１により受信される。メッセージを受信したアドレス集約装置１の送信元認証部１４は、クライアント４の認証を行う。ここでは、メッセージから送信元アドレスとクライアント識別子を取得し、このクライアント識別子をキーに認証情報格納部１１を検索して、当該クライアント識別子に対応付けて格納されているクライアントアドレスを取得する（ステップ１０）。
そして、送信元認証部１４は、メッセージから取得した送信元アドレスと、認証情報格納部１１から取得したクライアントアドレスとを照合し、同一のものであれば、当該メッセージが正しい送信元から送信されたと判断し、認証成功と認識し、同一のものでなければ当該メッセージのクライアント識別子が偽装されていると判断する（ステップ１１）。
認証に成功した場合、メッセージはサーバ３に送信される（ステップ１２）。なお、ローカルルーチングテーブルやＥＮＵＭ等の情報に基づいて、もしくはサーバの負荷状況に応じて適切なサーバを選択し、選択したサーバにメッセージを送信してもよい。認証に失敗した場合には、例えば、アドレス集約装置１からクライアント４に対してエラーメッセージが送信される。

＜実施形態１−２＞
次に、実施形態１−２について説明する。実施形態１−１では、ライン番号とクライアント識別子とを、予めアドレス集約装置１の認証情報格納部１１に格納しておいたが、実施形態１−２では、ライン番号とクライアント識別子とを、予めアドレス割り当て装置２のアドレス払い出し情報格納部２１に格納しておく。
実施形態１−２におけるシステム構成は、図１、図２に示した実施形態１−１におけるシステム構成と同様である。ただし、各格納部に格納される情報の内容等は実施形態１−１と異なる。図６に、実施形態１−２におけるシーケンスチャートを示す。図６を参照して、実施形態１−２のシステムの動作を、実施形態１−１と異なる点を中心に説明する。

図６のステップ１〜４は、実施形態１−１のステップ１〜４と同じである。

ステップ２５において、アドレス割り当て装置１は、アドレス割り当て要求に付加されていたライン番号に基づきアドレス払い出し情報格納部２１を検索し、予め格納されているライン番号に対応付けて、ステップ４で選んだクライアントアドレスをアドレス払い出し情報格納部２１に格納する。これにより、アドレス払い出し情報格納部２１において、クライアントアドレスとクライアント識別子とが対応付けられたことになる。
その後、アドレス割り当て装置２は、アドレス払い出し情報格納部２１から、ステップ４で選んだクライアントアドレスと、当該クライアントアドレスに対応付けて格納されているクライアント識別子とを取得し、これらを含むアドレス割り当て応答を送信する（ステップ２６）。
アドレス割り当て応答は、アドレス集約装置１により受信される。アドレス割り当て応答を受信したアドレス集約装置１におけるアドレス情報設定部１３は、アドレス割り当て応答に含まれるクライアントアドレスとクライアント識別子とを認証情報格納部１１に格納する（ステップ２７）。そして、アドレス集約装置１は、クライアントアドレスを含むアドレス割り当て応答をクライアント４に転送する（ステップ８）。これ以降の処理は、実施形態１−１と同じである。

なお、上記の処理では、アドレス集約装置１においてライン番号を格納していないが、これを格納してもよい。その場合、ステップ２で、ライン番号を認証情報格納部１１に格納しておき、ステップ２６にて、ライン番号、クライアント識別子、及びクライアントアドレスがアドレス割り当て装置２からアドレス集約装置１に送信され、アドレス集約装置１のアドレス情報設定部１３は、ステップ２で格納したライン番号と、アドレス割り当て装置２から受信したライン番号とが一致することを確認して、当該ライン番号に対応付けて、クライアント識別子とクライアントアドレスとを認証情報格納部１１に格納する。

（第２の実施の形態）
次に、本発明の第２の実施の形態について説明する。第２の実施の形態でも、ライン番号とクライアント識別子とを予め保持しておく場所に応じて２つの例に分けられ、これらを実施形態２−１、実施形態２−２として説明する。

＜実施形態２−１＞
図７に、実施形態２−１における通信システムの構成図を示す。図７に示すように、実施形態２−１における通信システムは、エッジ装置１０１、アドレス集約装置１０２、アドレス割り当て装置１０３、サーバ１０４、受付制御装置１０５ 及び各クライアント１０６を有する。また、図７には、複数のクライアントを配下に持つゲートウェイ１０７も示されている。

実施形態２−１におけるアドレス割り当て装置１０３、サーバ１０４、クライアント１０６、ゲートウェイ１０７は、第１の実施の形態における各装置と同様の機能を有する。ただし、アドレス割り当て装置１０３は、後述するピンホール制御要求送信等、受付制御装置１０５との間で制御通信を行う機能を有している。

本実施の形態における受付制御装置１０５は、エッジ装置１０１に対して通過制御（アクセス制御）のための設定制御を行う機能を持った装置である。また、受付制御装置１０５は、例えばRACS（resource and admission control subsystem）やRACF（resource and admission control function）等の帯域管理制御機能を備えてもよい。

エッジ装置１０１は、例えばエッジルータ等の通信装置であり、アクセス網とコア網とを接続し、通過制御、帯域制御、優先制御等を行う装置である。

図８に、エッジ装置１０１の機能構成図を示す。図８に示すように、エッジ装置１０１は、アドレス要求転送部１２１、通過制御設定部１２２、通過制御部１２３、及び、通過制御設定情報格納部１２４を備える。

アドレス要求転送部１２１は、第１の実施の形態におけるアドレス要求転送部１２と同様の機能を有する機能部であり、クライアント１０６から送信されるアドレス割り当て要求をアドレス割り当て装置１０３に転送したり、アドレス割り当て装置１０３からのアドレス割り当て応答をクライアント１０６に転送したりする。

通過制御設定部１２２は、受付制御装置１０５から制御情報を受けて、特定のアドレスを持ったIPパケットのみ通過させたり、送信元アドレスやポート番号を変換するための設定をしたりといった通過制御のための設定を行い、設定情報を通過制御設定情報格納部１２４に格納する。通過制御部１２３は、通過制御設定情報格納部１２４に格納された情報を参照することにより、パケットの通過制御（NAPT等のアドレス／ポート変換含む）を実行する機能部である。

アドレス集約装置１０２は、前述したロードバランサのようなアドレス集約機能を有する装置である。

図９に、アドレス集約装置１０２の機能構成図を示す。図９に示すように、アドレス集約装置１０２は、認証情報格納部１３１、アドレス情報設定部１３２、送信元認証部１３３、アドレス要求転送部１３４、アドレス集約機能部１３５を備える。これらの機能部は、第１の実施の形態における対応する機能部と基本的に同様の機能を有するものである。ただし、アドレス要求転送部１３４は、ライン番号付加を行わず、ライン番号が付加されたアドレス割り当て要求の転送を行う。詳細については後の動作説明のところで説明する。

図１０に、本実施形態における認証情報格納部１３１が格納するテーブル情報の例を示す。図１０に示すように、認証情報格納部１３１には、ライン番号、クライアント識別子、クライアントアドレス１、クライアントアドレス２が対応付けて格納される。クライアントアドレス１は、アドレス割り当て装置１０３によりクライアント４に割り当てられるアドレスであり、クライアントアドレス２は、受付制御機能により、クライアントアドレス１から変換されることになるアドレスである。

実施形態２−１では、ライン番号とクライアント識別子が、システム管理者等により、予め認証情報格納部１３１に格納されている。

本実施の形態においても、アドレス集約装置１０２は、CPU、及びメモリ等を有する一般的なコンピュータ（もしくはルータ等の通信装置）に、各機能部の機能を奏するプログラムを搭載することにより実現できる。また、アドレス集約装置１０２は、１つの装置で実現する必要はなく、複数の装置をネットワーク接続して構成してもよい。また、アドレス割り当て装置１０３と受付制御装置１０５を１つの装置で構成したり、アドレス割り当て装置１０３と受付制御装置１０５とサーバ１０４を１つの装置で構成することも可能である。

次に、図１１を参照して、実施形態２−１におけるシステムの動作について説明する。本例でも、特定のクライアント１０６が、アドレス集約装置１０２に対して直接メッセージを送信する場合を示している。クライアント１０６がゲートウェイ１０７を介して通信する場合は、アドレス集約装置１０２は、ゲートウェイ１０７に対して認証を行うことになる。

図１１において、まず、クライアント１０６は、クライアントアドレスを取得するために、アドレス割り当て装置１０３に対してアドレス割り当て要求を送信する（ステップ１０１）。

クライアント１０６から送信されたアドレス割り当て要求は、エッジ装置１０１により受信される。アドレス割り当て要求を受信したエッジ装置１０１のアドレス要求転送部１２１は、当該アドレス割り当て要求に対応するライン番号を取得し、アドレス割り当て要求にライン番号を付加する（ステップ１０２）。そして、エッジ装置１０１のアドレス要求転送部１２１は、ライン番号が付加されたアドレス割り当て要求をアドレス割り当て装置１０３に向けて送信する（ステップ１０３）。アドレス割り当て要求は、アドレス集約装置１０２が受信し、アドレス集約装置１０２のアドレス要求転送部１３４により中継され、アドレス割り当て装置１０３に送信される（ステップ１０４）。
アドレス割り当て要求を受信したアドレス割り当て装置１０３は、アドレス割り当て要求に付加されているライン番号を取得するとともに、クライアント１０６に割り振るためのクライアントアドレスを未使用のものから一つ選ぶ（ステップ１０５）。
そして、アドレス割り当て装置１０３は、選んだクライアントアドレスと、取得したライン番号とを対応付けてアドレス払い出し情報格納部１１１に格納する（ステップ１０６）。
その後、アドレス割り当て装置１０３は、クライアント１０６に対し、選択したクライアントアドレスとライン番号とを含むアドレス割り当て応答を送信する（ステップ１０７）。
アドレス割り当て応答は、まず、アドレス集約装置１０２により受信される。アドレス割り当て応答を受信したアドレス集約装置１０２におけるアドレス情報設定部１３２は、アドレス割り当て応答に含まれるライン番号に基づき認証情報格納部１３１を検索し、当該ライン番号に対応付けて、クライアントアドレスを認証情報格納部１３１に格納する（ステップ１０８）。これにより、認証情報格納部１３１には、クライアントアドレスと、クライアント識別子とが対応付けられることになる。そして、アドレス集約装置１０３は、アドレス割り当て応答をクライアント１０６に転送する（ステップ１０９）。アドレス割り当て応答は、エッジ装置１０１を経由して、クライアント１０６に送信される。

一方、ステップ１０４においてアドレス割り当て要求を受信し、クライアントアドレスを抽出したアドレス割り当て装置１０３は、受付制御装置１０５に対し、クライアントアドレスを記載したピンホール制御要求を送信する（ステップ１１０）。なお、本実施の形態において、ピンホール制御は、特定のアドレス及びポート番号を送信元とするIPパケットを通過させるようエッジ装置１０１を設定制御することである。また、本実施形態のピンホール制御では、NAPTもしくはNATとしてアドレス／ポート番号変換制御も行う。もちろん、このような制御は一例に過ぎず、ピンホール制御として他の様々な制御を行うことが可能である。例えば、アドレス／ポートだけではなく、Mediaの種類や帯域幅も通過制御の条件に含めてもよい。また、送信元のアドレス／ポートだけではなく、送信先のアドレス／ポートも通過制御の条件に含めてもよい。

受付制御装置１０５は、帯域に余裕がある場合、またはサービスポリシーに基づき、ピンホール制御要求を受け付け(CAC(Call Admission Control)など)、アドレス割り当て装置１０３にて割り当てられたクライアントアドレス（以降、これをクライアントアドレス１とする）と、クライアントポート番号（クライアントポート番号１とする）とを記載したピンホール制御要求をエッジ装置１０１に向けて送信する（ステップ１１１）。このクライアントポート番号１は、例えば、クライアント１０６の通信用に予め定めておいたポート番号である。

ピンホール制御要求を受信したエッジ装置１０１の通過制御設定部１２２は、クライアントアドレス1とクライアントポート番号1を送信元とするメッセージ（IPパケット）を通過させる設定を行うとともに、クライアント１０６から受信したメッセージ（IPパケット）を外側（コア網側）に送出する際に、メッセージ（IPパケット）の送信元アドレス及びポート番号を、クライアントアドレス1とクライアントポート番号1から、クライアントアドレス2とクライアントポート番号2に変換するための設定を行う（ステップ１１２）。更に、エッジ装置１０１において、コア網から受信するクライアントアドレス2とクライアントポート番号2を送信元とするメッセージについては、クライアントアドレス2とクライアントポート番号2をクライアントアドレス1とクライアントポート番号1に変換してクライアント１０６に送信するための設定も行ってよい。

エッジ装置１０１は、クライアントアドレス1と、変換後のアドレスになるクライアントアドレス2とを含むピンホール制御応答を受付制御装置１０５に返す（ステップ１１３）。

受付制御装置１０５は、また、クライアントアドレス1とクライアントアドレス2とを含むピンホール制御応答をアドレス割り当て装置１０３に送信する（ステップ１１４）。

クライアントアドレス1とクライアントアドレス2とを含む情報を受信したアドレス割り当て装置１０３は、既に格納されているクライアントアドレス１に対応付けて、クライアントアドレス２をアドレス払い出し情報格納部１１１に格納する（ステップ１１５）。これにより、アドレス払い出し情報格納部１１１において、ライン番号と、クライアントアドレス１と、クライアントアドレス２とが対応付けられることになる。

次に、アドレス割り当て装置１０３は、アドレス集約装置１０２に対してライン番号とクライアントアドレス２とを含む情報（もしくは、クライアントアドレス１とクライアントアドレス2とを含む情報でもよい）を通知する（ステップ１１６）。アアドレス集約装置１０２のアドレス情報設定部１３２は、受信したライン番号（もしくはクライアントアドレス１）に基づき認証情報格納部１３１を検索し、当該ライン番号（もしくはクライアントアドレス１）に対応付けて、クライアントアドレス２を認証情報格納部１３１に格納する（ステップ１１７）。これにより、アドレス集約装置１０２の認証情報格納部１３１において、ライン番号と、クライアント識別子と、クライアントアドレス１と、クライアントアドレス２とが対応付けられることになる。

なお、ステップ１１６のように、アドレス割り当て装置１０３が、クライアントアドレス２を含む情報をアドレス集約装置１０２に通知することに代えて、ステップ１１３にてクライアントアドレス１とクライアントアドレス２を含むピンホール制御応答を受信した受付制御装置１０５が、クライアントアドレス１とクライアントアドレス２とを含む情報をアドレス集約装置１０２に送信することとしてもよい。この場合も、当該情報を受信したアドレス集約装置１０２において、クライアントアドレス２は、ライン番号、クライアント識別子、及びクライアントアドレス１と対応付けて認証情報格納部１３１に格納される。

その後、クライアント１０６は、サーバ１０４に向けてサービスを要求するメッセージを送信する（ステップ１１８）。このメッセージは、例えばSIPのINVITEメッセージである。このメッセージを含むIPパケットのヘッダには、送信元アドレス（IPパケットのヘッダの送信元アドレスを送信元アドレスAとする）として、アドレス割り当て応答により通知されたクライアントアドレス１が含まれる。また、メッセージのヘッダ部にも、送信元アドレス（メッセージのヘッダ部の送信元アドレスを送信元アドレスBとする)としてクライアントアドレス１が含まれる。また、メッセージのヘッダ部分には、クライアント識別子も含まれている。

クライアント１０６から送信されたメッセージを含むIPパケットを受信したエッジ装置１０１における通過制御部１２３は、パケットの送信元アドレス／ポート番号が、通過可能なアドレス／ポートとして通過制御設定情報格納部１２４に登録されていることを確認して、パケットの通過を許可する。また、通過制御部１２３は、アドレス変換を行い、送信元アドレスAは、クライアントアドレス１からクライアントアドレス２に変換され（ステップ１１９）、変換を受けたメッセージ（IPパケット）がアドレス集約装置１０２に送信される（ステップ１２０）。

メッセージを含むIPパケットを受信したアドレス集約装置１０２の送信元認証部１３３は、メッセージを送信したクライアント１０６の認証を行う。ここでは、まず、送信元認証部１３３は、受信したメッセージを含むIPパケットから送信元アドレスAを取得するとともに、メッセージのヘッダ部に含まれる送信元アドレスBと送信元クライアント識別子を取得する（ステップ１２１）。また、送信元認証部１３３は、クライアント識別子をキーにして、認証情報格納部１３１を検索して、クライアントアドレス1及びクライアントアドレス2を取得する。

そして、送信元アドレスAとクライアントアドレス1を照合するとともに、送信元アドレスAとクライアントアドレス2とを照合し、いずれかで一致するか否かを判定する（ステップ１２２）。本例では、送信元アドレスAはアドレス変換を受けているため、送信元アドレスAは、クライアントアドレス2に一致すると判定される。

更に、送信元認証部１３３は、送信元アドレスBと、クライアントアドレス1とを照合し、一致するか否かを判定する（ステップ１２３）。本例では、一致すると判定される。

送信元アドレスAの判定（ステップ１２２）と送信元アドレスBの判定（ステップ１２３）の両方の判定で一致するとの判定結果が得られた場合、受信したメッセージは正しい送信元から送信されたと認証され、メッセージはサーバ１０４に転送される（ステップ１２４）。本実施形態でも、ローカルルーチングテーブルやＥＮＵＭ等の情報に基づいて、もしくはサーバの負荷状況に応じて適切なサーバを選択し、選択したサーバにメッセージを送信してもよい。

もし、送信元アドレスAの判定（ステップ１２２）と送信元アドレスBの判定（ステップ１２３）のいずれか又は両方で一致しないと判定された場合は、認証に失敗したことになり、当該メッセージのクライアント識別子が偽装されていると認識し、例えばクライアント１０６にエラーメッセージが送信される。

＜実施形態２−２＞
次に、実施形態２−２について説明する。実施形態２−１では、ライン番号とクライアント識別子とを、予めアドレス集約装置１０２の認証情報格納部１３１に格納しておいたが、実施形態２−２では、ライン番号とクライアント識別子とを、予めアドレス割り当て装置１０３のアドレス払い出し情報格納部１１１に格納しておく。
実施形態２−２におけるシステム構成は、図７〜図９に示した実施形態２−１におけるシステム構成と同様である。ただし、各格納部に格納される情報の内容等は実施形態２−１と異なる。

図１２に、実施形態２−２における動作のシーケンスチャートを示す。図１２を参照して、実施形態２−２のシステムの動作を、実施形態２−１と異なる点を中心に説明する。

図１２のステップ１０１〜１０５は、実施形態２−１のステップ１０１〜１０５と同じである。

ステップ２０６において、アドレス割り当て装置１０３は、アドレス割り当て要求に付加されていたライン番号に基づきアドレス払い出し情報格納部１１１を検索し、予め格納されているライン番号に対応付けて、ステップ１０５で選んだクライアントアドレスをアドレス払い出し情報格納部１１１に格納する。これにより、クライアントアドレスとクライアント識別子とが対応付けられてアドレス払い出し情報格納部１１１に格納されたことになる。

アドレス割り当て装置１０３は、アドレス払い出し情報格納部１１１から、ステップ１０５で選んだクライアントアドレスと、当該クライアントアドレスに対応付けて格納されているクライアント識別子とを取得し、これらを含むアドレス割り当て応答をアドレス集約装置１０２に送信する（ステップ２０７）。

アドレス割り当て応答を受信したアドレス集約装置１０２のアドレス情報設定部１３２は、アドレス割り当て応答に含まれるクライアントアドレスとクライアント識別子とを認証情報格納部１３１に格納する（ステップ２０８）。これにより、認証情報格納部１３１には、クライアントアドレスと、クライアント識別子とが対応付けられることになる。そして、アドレス集約装置１０２は、クライアントアドレスを含むアドレス割り当て応答をクライアント１０６に転送する（ステップ１０９）。アドレス割り当て応答は、エッジ装置１０１を経由して、クライアント１０６に送信される。以降の処理は、基本的に実施形態２−１と同じである。

なお、上記の処理では、アドレス集約装置１０２においてライン番号を格納していないが、これを格納してもよい。その場合、ステップ１０３で、ライン番号を認証情報格納部１３１に格納しておき、ステップ２０７にて、ライン番号、クライアント識別子、及びクライアントアドレスがアドレス割り当て装置１０３からアドレス集約装置１０２に送信され、アドレス集約装置１０２では、ステップ１０３で格納したライン番号と、アドレス割り当て装置１０３から受信したライン番号とが一致することを確認して、当該ライン番号に対応付けて、クライアント識別子とクライアントアドレスとを認証情報格納部１３１に格納する。

なお、第１の実施の形態では、受付制御装置を示していないが、第１の実施の形態においても、第２の実施の形態にように受付制御装置を備え、アドレス集約装置１に、通過制御機能を備えてもよい。その場合、例えば、アドレス割り当て装置２は、受付制御装置に対して、クライアントからのメッセージの受付（通過）を許可するよう、クライアントアドレスを提示して要求する。それを受けた受付制御装置は、アドレス集約装置１の通過制御機能に対して、クライアントアドレスを通知して、クライアントからのメッセージを受け付ける（通過させる）よう制御を行う。

上記のように、本発明の実施の形態で説明した技術によれば、ライアント-サーバ間に阿アドレス変換機能が存在し、サーバが受信するメッセージの送信元アドレスが変化してしまう場合においても、サーバに代わってアドレス変換装置の認証機能部分がメッセージの送信元認証を行うので、メッセージの正当性を認証することが可能になる。

また、クライアントから送信されるメッセージは、通過制御機能による特定送信元アドレスからのメッセージを受け付けるか否かの判断、及び、アドレス集約装置による、送信元アドレスと、クライアント識別子の確認による送信元の認証、の二段階の検査を受けてサーバに転送されるため、高度なセキュリティを確保することが可能となる。

本発明は、上記の実施の形態に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。

１ アドレス集約装置
２ アドレス割り当て装置
３ サーバ
４ クライアント
５ ゲートウェイ
１１ 認証情報格納部
１２ アドレス要求転送部
１３ アドレス情報設定部
１４ 送信元認証部
１５ アドレス集約機能部
２１ アドレス払い出し情報格納部
１０１ エッジ装置
１０２ アドレス集約装置
１０３ アドレス割り当て装置
１０４ サーバ
１０５ 受付制御装置
１０６ クライアント
１０７ ゲートウェイ
１１１ アドレス払い出し情報格納部
１２１ アドレス要求転送部
１２２ 通過制御設定部
１２３ 通過制御部
１２４ 通過制御設定情報格納部
１３１ 認証情報格納部
１３２ アドレス情報設定部
１３３ 送信元認証部
１３４ アドレス要求転送部
１３５ アドレス集約機能部

Claims (10)

1. 通信ネットワークに接続される複数のクライアントから受信するメッセージの送信元アドレスを、当該複数のクライアントに共通のアドレスに集約する機能を有するアドレス集約システムであって、
   クライアント毎に、クライアントアドレスとクライアント識別子とを対応付けて格納した認証情報格納手段と、
   クライアントから、送信元アドレスとクライアント識別子とを含むメッセージを受信し、前記認証情報格納手段から、当該クライアント識別子に対応するクライアントアドレスを取得し、当該クライアントアドレスと、前記送信元アドレスとを照合することにより、メッセージ送信元の認証を行う送信元認証手段と
   を備えることを特徴とするアドレス集約システム。
2. 通信ネットワークに接続される複数のクライアントから受信するメッセージの送信元アドレスを、当該複数のクライアントに共通のアドレスに集約する機能を有するアドレス集約システムであって、
   クライアント毎に、ライン番号とクライアント識別子とを対応付けて格納した認証情報格納手段と、
   クライアントから受信するアドレス割り当て要求に基づき、当該クライアントのライン番号を取得し、当該ライン番号を付加したアドレス割り当て要求をアドレス割り当て装置に転送するアドレス要求転送手段と、
   前記アドレス割り当て装置から、前記ライン番号と、割り当てられたクライアントアドレスとを受信し、当該クライアントアドレスを、前記ライン番号に対応付けて前記認証情報格納手段に格納するアドレス情報設定手段と、
   クライアントから、送信元アドレスとクライアント識別子とを含むメッセージを受信し、前記認証情報格納手段から、当該クライアント識別子に対応するクライアントアドレスを取得し、当該クライアントアドレスと、前記送信元アドレスとを照合することにより、メッセージ送信元の認証を行う送信元認証手段と
   を備えることを特徴とするアドレス集約システム。
3. 通信ネットワークに接続される複数のクライアントから受信するメッセージの送信元アドレスを、当該複数のクライアントに共通のアドレスに集約する機能を有するアドレス集約システムであって、
   前記アドレス集約システムは、クライアント毎に、ライン番号とクライアント識別子とを対応付けて格納した格納手段を備えるアドレス割り当て装置に接続されており、
   クライアントから受信するアドレス割り当て要求に基づき、当該クライアントのライン番号を取得し、当該ライン番号を付加したアドレス割り当て要求をアドレス割り当て装置に転送するアドレス要求転送手段と、
   前記アドレス割り当て装置から、割り当てられたクライアントアドレスと、当該クライアントアドレスに対応するクライアントのクライアント識別子とを受信し、当該クライアントアドレスと当該クライアント識別子とを、認証情報格納手段に格納するアドレス情報設定手段と、
   クライアントから、送信元アドレスとクライアント識別子とを含むメッセージを受信し、前記認証情報格納手段から、当該クライアント識別子に対応するクライアントアドレスを取得し、当該クライアントアドレスと、前記送信元アドレスとを照合することにより、メッセージ送信元の認証を行う送信元認証手段と
   を備えることを特徴とするアドレス集約システム。
4. 前記アドレス集約システムは、メッセージ通過制御手段を更に備え、
   当該メッセージ通過制御手段は、前記アドレス集約システムに接続された受付制御装置から、前記クライアントアドレスが割り当てられたクライアントからのメッセージを通過させる制御を行うための制御情報を受信し、当該制御情報に基づき、当該メッセージを通過させるための設定を行う
   ことを特徴とする請求項１ないし３のうちいずれか１項に記載のアドレス集約システム。
5. 前記アドレス集約システムは、当該アドレス集約システムに接続された受付制御装置により変換後クライアントアドレスの通知を受けたアドレス割り当て装置から、又は、前記受付制御装置から、前記変換後クライアントアドレスの通知を受け、当該変換後クライアントアドレスを、前記クライアントアドレスに対応付けて前記認証情報格納手段に格納し、
   前記送信元認証手段は、前記認証情報格納手段に格納されたクライアントアドレスと、前記変換後クライアントアドレスとを用いてメッセージ送信元の認証を行う
   ことを特徴とする請求項１ないし３のうちいずれか１項に記載のアドレス集約システム。
6. 通信ネットワークに接続される複数のクライアントから受信するメッセージの送信元アドレスを、当該複数のクライアントに共通のアドレスに集約する機能を有するアドレス集約システムが実行するメッセージ送信元認証方法であって、
   前記アドレス集約システムは、クライアント毎に、クライアントアドレスとクライアント識別子とを対応付けて格納した認証情報格納手段を備えており、
   クライアントから、送信元アドレスとクライアント識別子とを含むメッセージを受信し、前記認証情報格納手段から、当該クライアント識別子に対応するクライアントアドレスを取得し、当該クライアントアドレスと、前記送信元アドレスとを照合することにより、メッセージ送信元の認証を行う送信元認証ステップ
   を備えることを特徴とするメッセージ送信元認証方法。
7. 通信ネットワークに接続される複数のクライアントから受信するメッセージの送信元アドレスを、当該複数のクライアントに共通のアドレスに集約する機能を有するアドレス集約システムが実行するメッセージ送信元認証方法であって、
   前記アドレス集約システムは、クライアント毎に、ライン番号とクライアント識別子とを対応付けて格納した認証情報格納手段を備えており、
   クライアントから受信するアドレス割り当て要求に基づき、当該クライアントのライン番号を取得し、当該ライン番号を付加したアドレス割り当て要求をアドレス割り当て装置に転送するアドレス要求転送ステップと、
   前記アドレス割り当て装置から、前記ライン番号と、割り当てられたクライアントアドレスとを受信し、当該クライアントアドレスを、前記ライン番号に対応付けて前記認証情報格納手段に格納するアドレス情報設定ステップと、
   クライアントから、送信元アドレスとクライアント識別子とを含むメッセージを受信し、前記認証情報格納手段から、当該クライアント識別子に対応するクライアントアドレスを取得し、当該クライアントアドレスと、前記送信元アドレスとを照合することにより、メッセージ送信元の認証を行う送信元認証ステップと
   を備えることを特徴とするメッセージ送信元認証方法。
8. 通信ネットワークに接続される複数のクライアントから受信するメッセージの送信元アドレスを、当該複数のクライアントに共通のアドレスに集約する機能を有するアドレス集約システムが実行するメッセージ送信元認証方法であって、
   前記アドレス集約システムは、クライアント毎に、ライン番号とクライアント識別子とを対応付けて格納した格納手段を備えるアドレス割り当て装置に接続されており、
   クライアントから受信するアドレス割り当て要求に基づき、当該クライアントのライン番号を取得し、当該ライン番号を付加したアドレス割り当て要求をアドレス割り当て装置に転送するアドレス要求転送ステップと、
   前記アドレス割り当て装置から、割り当てられたクライアントアドレスと、当該クライアントアドレスに対応するクライアントのクライアント識別子とを受信し、当該クライアントアドレスと当該クライアント識別子とを、前記アドレス集約システムにおける認証情報格納手段に格納するアドレス情報設定ステップと、
   クライアントから、送信元アドレスとクライアント識別子とを含むメッセージを受信し、前記認証情報格納手段から、当該クライアント識別子に対応するクライアントアドレスを取得し、当該クライアントアドレスと、前記送信元アドレスとを照合することにより、メッセージ送信元の認証を行う送信元認証ステップと
   を備えることを特徴とするメッセージ送信元認証方法。
9. 前記アドレス集約システムは、メッセージ通過制御手段を更に備え、
   当該メッセージ通過制御手段は、前記アドレス集約システムに接続された受付制御装置から、前記クライアントアドレスが割り当てられたクライアントからのメッセージを通過させる制御を行うための制御情報を受信し、当該制御情報に基づき、当該メッセージを通過させるための設定を行う
   ことを特徴とする請求項６ないし８のうちいずれか１項に記載のメッセージ送信元認証方法。
10. 前記アドレス集約システムは、当該アドレス集約システムに接続された受付制御装置により変換後クライアントアドレスの通知を受けたアドレス割り当て装置から、又は、前記受付制御装置から、前記変換後クライアントアドレスの通知を受け、当該変換後クライアントアドレスを、前記クライアントアドレスに対応付けて前記認証情報格納手段に格納し、
    前記送信元認証ステップにおいて、前記アドレス集約システムは、前記認証情報格納手段に格納されたクライアントアドレスと、前記変換後クライアントアドレスとを用いてメッセージ送信元の認証を行う
    ことを特徴とする請求項６ないし８のうちいずれか１項に記載のメッセージ送信元認証方法。

Images