JP2013255167A - 中継装置 - Google Patents

Abstract

【課題】ＩＰｖ４の環境であっても導入可能で、他の機器の変更を必要とせずにそれ単独で成立し、中継装置にも適用可能な、匿名性の高い通信装置の保護を達成する。
【解決手段】通信装置に、ＩＰアドレスを保持する論理インターフェースを複数作成して通信装置が物理的に有する一のネットワークインターフェースに割り当てる論理インターフェース生成部と、時間間隔を空けて、優先すべき論理インターフェースを変更する論理インターフェース管理部とを設けさせる。
【選択図】図１

Description

この発明は、環境で中継装置それ自体の匿名性を確保した中継装置に関する。

インターネットと通信するＩＰアドレスを有する通信装置を外部からの不正アクセスから守る方法としては、ＮＡＴ（ＮｅｔｗｏｒｋＡｄｄｒｅｓｓＴｒａｎｓｌａｔｉｏｎ）や、匿名アドレスなどがある。

このうち、ＮＡＴは多くのＩＰｖ４中継装置が具備している機能である。中継装置自身は外部ネットワークからグローバルアドレスを割り当てられる一方で、配下の端末には中継装置自身がローカルアドレスを割り当てる。それら端末が外部ネットワークと通信する際には、その通信を中継するにあたり、ＩＰアドレスを自身のグローバルアドレスに変更するとともに、その対応をＮＡＴテーブルに記録しておく。レスポンスが返ってきたときには、中継装置宛の通信を受信し、前記ＮＡＴテーブルの記録に従って自身の配下の端末宛にアドレスを変更して中継する。これにより、端末へはインターネットから直接に通信することができないので、端末を不正なアクセスから守ることができる。

一方、匿名アドレスはＩＰｖ６で規格化されている技術である（非特許文献１）。ＩＰｖ６ではＮＡＴを使用せず、端末がアドレスをそのままにインターネットに接続する。このため、従来のＮＡＴでは端末をインターネットからの不正アクセスから守ることができない。そこで、ＩＰｖ６のアドレスの中に乱数的要素を持たせ、それを定期的に変更したアドレスを中継装置が端末に割り振ることで、端末が同じアドレスを使い続けないようにし、アドレスを指定しての攻撃を受けないようにすることができる。

このＩＰｖ６の匿名アドレスを用いた例が特許文献１に記載されている。ＦＡＸ送信にＳＭＴＰ（ＳｉｍｐｌｅＭａｉｌＴｒａｎｓｆｅｒＰｒｏｔｏｃｏｌ）を用いる、インターネットを介した別個のＬＡＮ内に設けられた端末間の通信にあたって、ＩＰｖ６のステートレス自動構成を拡張するＲＦＣ３０４１の既定に従って、匿名性を有する匿名アドレスを生成すると共に、かつ有効期限が経過した匿名アドレスを削除して、匿名アドレスを管理している。

また、特許文献２には、ＴＣＰセッションを確立したまま端末（マイグレータ）を移動させ、ＩＰアドレスを変更することが記載されている。

特開２０１０−１４１４７３号公報 特開２００５−２１８１１１号公報

ＲＦＣ３０４１

しかしながら、匿名アドレスはＩＰｖ６に固有の技術なのでＩＰｖ４環境では利用することができない。また、匿名アドレスを生成するといっても、プレフィックスは同一であるために、中継装置までパケットが到達してしまうので、中継装置に対するＤＯＳ（Denial of Service attack）攻撃などを回避することはできなかった。

また、特許文献１及び２の技術は端末のIPアドレスを変更するものであり、端末への通信を中継する中継装置自体に匿名性を与えることはできなかった。さらに、特許文献２の技術では、端末（マイグレータ）だけでなく、TCPセッションを確立している相手方のサーバ（非マイグレータ）にも機能を追加する必要があり、実際には導入できる状況が限られていた。

そこでこの発明は、ＩＰｖ６環境だけでなく、ＩＰｖ４の環境であっても導入可能で、他の機器の変更を必要とせずにそれ単独で成立し、中継装置にも適用可能な、匿名性の高い通信装置の保護を目的とする。

この発明は、IPアドレスを保持する論理インターフェースを複数作成して、通信装置が物理的に有する一のネットワークインターフェースに割り当てる論理インターフェース生成部と、時間間隔を空けて、優先すべき論理インターフェースを変更する論理インターフェース管理部とを有する通信装置とすることで、上記の課題を解決したものである。ここで論理インターフェースを割り当てるネットワークインターフェースは、脅威が送信されてくるおそれのある外部のネットワークに繋がる、すなわちＷＡＮ側のネットワークインターフェースである。

すなわち、少なくとも一時的に論理インターフェースを複数存在させる。前記論理インターフェースを時間経過とともに新しく生成又は更新して、それが有するＩＰアドレスを新しくし、新しい前記論理インターフェースを上位の優先順位として利用して通信を行うように優先順位を変更していく。優先的に使用する前記論理インターフェースが変更されれば、それ以降に発生する新たな通信は、優先順位が上位に設定された新しい前記論理インターフェースによって実施される。このように新たな通信を取り扱う最新の論理インターフェースを次々と取り替えることにより、新たな通信に対してはＩＰアドレスが刻々と変化していくため、中継装置自身を外部ネットワークから攻撃のターゲットとして捉えることが困難になり、匿名性を高めることが出来る。

これを実現する具体的な通信装置のうち、特にユーザ端末と外部ネットワークとの間に設ける中継装置の構成は、
外部ネットワークに通じる一の物理的なネットワークインターフェースと、
そのネットワークインターフェースに割り当てる一のＩＰアドレスを有する論理インターフェースを、所定の時間間隔を空けて次々と生成する論理インターフェース生成部と、
生成された複数の前記論理インターフェースのうち存続しているものについて新たな通信に用いる優先順位を管理する論理インターフェース管理部と、
それぞれの前記論理インターフェースを用いて通信する際のＮＡＴ変換又はＮＡＰＴ変換のルールを管理する接続追跡テーブルと、
それらの接続追跡テーブル及び前記論理インターフェースの優先順位を元に、パケットのルーティングを行うルーティング機能部とを有すればよい。

一方で、上記ルーティング機能部は、既に優先順位が下位となった古い前記論理インターフェースで実施されていた通信のセッション情報が、前記接続追跡テーブルに残っていた場合、そのセッションを用いて実施される通信は、その優先順位が下位となった古い前記論理インターフェースで実施するようにするとよい。つまり、必要なセッションが生きている間は、その論理インターフェースを残しておく。これにより、セッション途中で中継装置のＩＰアドレスが変更になって相手方のサーバが中継装置を見失い端末との通信が途絶することを、防ぐことができる。

また、この発明にかかる中継装置は、過去に生成された前記論理インターフェースに割り当てられたＩＰアドレスの履歴を記録する履歴テーブルを有するものとし、
上記論理インターフェース生成部又は上記論理インターフェース管理部が、前記履歴テーブルに履歴が残るＩＰアドレスの使用を避けるようにすると、中継装置が割り振られるＩＰアドレスが偶然に過去に使用したものと同一になって、匿名性が低下することを抑制できる。そのような履歴が残るＩＰアドレスの使用を避ける方法としては、前記中継装置にＩＰアドレスを割り当てるＤＨＣＰサーバやＰＰＰｏＥの認証サーバなどであるアドレス付与サーバから払い出されたそのＩＰアドレスを論理インターフェースに登録させずに一旦廃棄し、新たなＩＰアドレスの払い出しを要求するとよい。これにより、アドレス付与サーバ自体に特殊な変更を施す必要なく、使用するＩＰアドレスの回避が可能となる。

さらに、この発明にかかる中継装置は、新たに生成又は更新された前記論理インターフェースに最優先の優先順位を割り当てるタイミングを管理する切替タイマを有するとよい。この切替タイマによって所定の時間を定められて定期的に実行する手順は、前記論理インターフェースの生成又は更新そのものであってもよいし、予め生成又は更新しておいた前記論理インターフェースに最優先の優先順位を割り当てるものでもよいが、消費リソースを抑えるという観点では、切替タイマのタイミングで論理インターフェースを生成又は更新して確立することが望ましい。

さらにまた、上記論理インターフェース管理部は、優先順位が低くなった古い前記論理インターフェースに括り付けられた前記接続追跡テーブル内のセッション情報が、全てタイムアウトして削除されているか否かを確認する。全て削除されていたら、上記論理インターフェース管理部がその古くなった前記論理インターフェースを削除する論理インターフェース削除機能を実行するか、又は、ＩＰアドレスを付与しなおして更新する論理インターフェース更新機能を上記論理インターフェース生成部に実行させるとよい。ただし、その時点で不要であれば、削除することで選択肢を減らし、ルーティングなどの処理を少しでも高速化する方が望ましい。いずれにせよ、削除又はＩＰアドレスの更新により、古いＩＰアドレスを有する前記論理インターフェースが必要以上に持続して、外部からのターゲットとして残り続ける事態を防ぐことができる。

この発明により、ＩＰｖ６環境だけでなく、ＩＰｖ４環境でも中継装置それ自体に十分に高い匿名性を与えることができ、中継装置と、それに接続された端末を、外部ネットワークからの不正アクセスから保護することができる。

さらに、最近ではＩＰアドレスと個人を結びつけて個人の行動が追跡される場合があるが、本発明を利用するとＩＰアドレスが定期的に変更されるので個人の行動をＩＰアドレスで追いかけることができなくなり、個人情報保護の点からも匿名性が高まる。

この発明にかかる中継装置の機能ブロック図及び周辺構成図 （ａ）中継装置が用いる接続追跡テーブルの例図、（ｂ）（ａ）の概念図 ユーザ端末からの通信を中継する際のルーティング機能部の動作フロー例図 上限値Ｑの論理インターフェースで運用する生成更新動作フロー例図 ＰＰＰｏＥを用いて論理インターフェースにアドレスを割り当てる際のフロー例図

以下、この発明について具体的な実施形態の例を挙げて詳細に説明する。
図１は、この発明にかかる中継装置１０の機能ブロック図及びそれと通信する装置について示す構成図である。

中継装置１０は、ユーザ端末２０とで構成されるローカルネットワーク２１と、外部ネットワーク３０との間にある中継装置であり、例えば家庭用ルータなどのホームゲートウェイのようなゲートウェイとして機能する装置である。外部ネットワーク３０に繋がる物理的なネットワークインターフェース１１（ＷＡＮ側ネットワークインターフェース）を少なくとも一つ有し、かつ、ローカルネットワーク２１を構成するユーザ端末２０に繋がる物理的なネットワークインターフェース１２（ＬＡＮ側ネットワークインターフェース）を少なくとも一つ有する。これらのネットワークインターフェース１１，１２は、1000BASE-T/100BASE-TX/10BASE-TなどのＥｔｈｅｒｎｅｔ規格の有線ネットワーク端子でもよいし、ＩＥＥＥ８０２．１１ａ，ｂ，ｇ，ｎ等の無線ネットワークアンテナでもよいし、それらの両方であってもよい。ただし、基本的にはＷＡＮ側のネットワークインターフェース１１は一つで十分であり、その一つのネットワークインターフェース１１に、後述する複数の論理インターフェースが割り当てられることで、本発明の効果を発揮する。

上記のユーザ端末２０は、パソコン、スマートフォン、タブレット端末など、ＴＣＰ／ＩＰ通信を行う端末であれば特に限定されない。これらと中継装置１０との間のローカルネットワーク２１は、ＩＰｖ４環境の場合、ローカルアドレスを用いることが一般的である。ＩＰｖ６の場合はプレフィックスに従って個々のユーザ端末２０にアドレスが割り振られる。

上記の外部ネットワーク３０とは、中継装置１０がアドレスを管理していないネットワークであり、例えばインターネットが挙げられる。

外部ネットワーク３０には、中継装置１０に対してＩＰアドレスを割り当てる機能を有するアドレス付与サーバ３１がある。中継装置１０が一般的なホームゲートウェイである場合には、ユーザ端末２０や中継装置１０の管理者である家主が契約したプロバイダが管理するＰＰＰｏＥ（Point-to-point protocol over Ethernet）やＬ２ＴＰ（Layer 2 Tunneling Protocol）の認証サーバの他に、ＤＨＣＰ（Dynamic Host Configuration Protocol）サーバでもよい。なお、中継装置１０がＩＰｖ４の場合、割り当てられるＩＰアドレスはグローバルアドレスとなるのが一般的である。ＩＰｖ６の場合、ＤＨＣＰｖ６ならばグローバルアドレスとなり、ＩＰｖ６ＣＰならばリンクローカルアドレスが割り振られるのが一般的である。

中継装置１０は、本発明の実施のために次のような構成を有する。
そのネットワークインターフェース１１（ＷＡＮ側）に割り当てる一のＩＰアドレスを有する論理インターフェース５１（５１ａ、５１ｂ、５１ｃ……）を、所定の時間間隔を空けて生成又は更新する論理インターフェース生成部４１と、
生成された複数の前記論理インターフェースのうち存続しているものについて新たなセッションに用いる優先順位を管理する論理インターフェース管理部４２と、
それぞれの前記論理インターフェースを用いて通信する際の、ＮＡＴ変換やＮＡＰＴ変換、ルーティングといったアドレスやポートなどのパケット変換のルールを管理する接続追跡テーブル４３と、
接続追跡テーブル４３及びそれぞれの論理インターフェース５１の優先順位を元に、パケットのルーティングを行うルーティング機能部４４とを少なくとも有する。

上記の論理インターフェース５１とは、付与した一のＩＰアドレスに対応し、１つの物理インターフェースをソフトウェアの上から複数のインターフェースとして利用するために、物理インターフェース上にソフトウェアによって生成されたソフトウェア上のインターフェースである。

論理インターフェース生成部４１は、中継装置１０のオペレーティングシステム上に、物理的なネットワークインターフェース１１をソフトウェアの上から複数のインターフェースとして扱うための論理インターフェース５１を生成又は更新し、ＩＰアドレスを割り当てて登録する論理インターフェース生成手段を実行する。これは、新たな論理インターフェース５１を生成させる場合と、既にある論理インターフェース５１のＩＰアドレスを廃棄してから登録しなおして新たな論理インターフェースとして更新させる場合との両方がある。上記の論理インターフェース生成手段が新たな論理インターフェース５１を生成する場合で、なおかつ、同時に存在できる論理インターフェース５１の数に上限が設けられており、なおかつ、既に存在する論理インターフェース５１の数が予め設定された上限に達している場合には、既に使用しなくなった論理インターフェース５１を破棄することで論理インターフェースの数を上限未満にした上で、新たな論理インターフェース５１を生成する。

また、論理インターフェース５１を生成する際にはそれと同時に、その論理インターフェース５１で通信するセッションの情報を記録してルーティングの際に参照する接続追跡テーブル４３（ａ，ｂ，ｃ……）を確保すると好ましい。この接続追跡テーブル４３は中継装置１０全体で一つのテーブルを複数の論理インターフェースが共有してもよい。その場合には、接続追跡テーブル４３はどの論理インターフェースに該当するかを判断する項目を有しているとよい。また、どの項目に該当するかを、ＷＡＮ側で受信するパケットの宛先アドレスから判断できるアルゴリズムを搭載させておいてもよい。

それぞれの論理インターフェース５１が割り当てられるＩＰアドレスは、上記の外部ネットワーク３０に設けられたアドレス付与サーバ３１によって払い出される。アドレス付与サーバ３１にとっては、Ｌ２以下のレイヤでは、この中継装置１０はネットワークインターフェース１１のＭＡＣアドレスがそのまま認識され、ルータ等の機器が一つ繋がっているだけのように認識される。一方、ＩＰ以上のレイヤでは、中継装置１０のネットワークインターフェース１１がハブとなり、そのハブに個々の論理インターフェース５１として複数のルータが接続され動作しているものと認識される。従って、論理インターフェース５１を切り替えるという挙動は、このＩＰ以上のレイヤにおいては、複数の中継装置が接続と切断を繰り返していることに合わせて、ＩＰアドレスの割り当てを行うに等しいため、アドレス付与サーバ３１自体は従来の動作を行うだけでよく、この発明の実施のために外部ネットワーク３０側で新たな作業を行う必要はない。

上記の論理インターフェース管理部４２は、新たに生成又は更新された論理インターフェース５１（ａ，ｂ，ｃ……）に最優先の優先順位を割り当てるべく更新する。具体的には、更新された論理インタフェース５１（a, b, c……）が最優先の経路となるようにルーティング機能部４４が有するルーティングテーブル（図示せず）を変更する。このルーティングテーブルとは、ルーティング機能部４４がパケットの宛先アドレス毎にどのインターフェースを用いるかを指定しているものである。この発明で利用する場合、この指定されるインターフェースが論理インターフェース５１となる。
ただしこの発明では、パケットを受け取った際には前記ルーティングテーブルより先にまず接続追跡テーブル４３を優先して確認する。接続追跡テーブル４３に履歴が無い新たな通信先との通信であれば、前記ルーティングテーブルを参照して最優先の優先順位を割り当てられた論理インターフェース５１がどれかを確認してそれを指定する。以後、既に通信を開始してセッションが確立されている通信先との通信であれば、接続追跡テーブル４３にその履歴が残っていることになるので、接続追跡テーブル４３を確認して履歴がある通信先との通信であれば、前記ルーティングテーブルが指定する優先順位の指定を無視して、接続追跡テーブル４３に対応する論理インターフェース５１でそのパケットを取り扱う。

中継装置１０は、上記の優先順位を割り当てるべく更新するタイミングを管理する切替タイマ４６を有するとよい。切替タイマ４６は、中継装置１０が有する時計機能（図示せず）を利用し、一定間隔で新たな論理インターフェース５１を最優先の優先順位とする。

上記優先順位とは、新たなセッションが生じたときに、或いは外部からセッションとして未登録のアドレス及びポートからのアクセスがあった場合に、どの論理インターフェース５１（例えば５１ｃ）を使用するかの順位であり、基本的には最優先のもののみが用いられる。ただし、最新ではない論理インターフェース５１（例えば５１ａ、５１ｂ）についても、当該論理インターフェース５１を送信先とするエントリが接続追跡テーブル４３（例えば４３ａ、４３ｂ）に存在する場合には、その論理インターフェース５１を用いて通信を続ける。最新ではない論理インターフェース５１が複数存続している場合には、ルーティング機能部４４は、その優先順位の高いものから、該当するセッションが存在しているかを、それぞれの論理インターフェースに対応する接続追跡テーブル４３を検索して有無を判断していくとよい。すなわち、最優先の優先順位である論理インターフェース５１以外は、基本的には既にあるセッションを継続させるためにある。ただし、３つ以上の論理インターフェース５１を生成する場合には、更新順序を管理する点から、新しいものから順に高い優先順位を付けるようにしておくとよい。

なお、論理インターフェース生成部４１と論理インターフェース管理部４２とは、必ずしも独立していなくてもよく、それぞれの機能を発揮する一つの機能部であってもよい。

上記の接続追跡テーブル４３は、中継装置１０が通信を中継するにあたりＮＡＴ変換やＮＡＰＴ変換、ルーティングなどの管理を行う際に参照するためのテーブルである。中継装置１０が元々ルーティング機能を有するルータである場合には一般に有しているテーブルであるが、本発明では少なくとも論理インターフェース５１ごとのセッションを識別できることが必要である。具体的には、一つのテーブルの中に、論理インターフェース５１を識別する項目を有するか、又は論理インターフェース５１毎に別々のテーブルを設けるか、いずれかの方式にするとよい。そのテーブルの中身はルータのメーカーやソフトウェアによるため形式は特に限定されないが、一例となるＮＡＰＴ変換する場合のテーブルを図２（ａ）に、その際のアドレスとポート番号の概念図を図２（ｂ）に示す。テーブルの左半分に記載されているLAN側の情報は、中継装置１０がLAN側から受信するパケットの情報である。そして、テーブルの右半分に記載されているWAN側の情報は、中継装置がLAN側から受信したパケットをNAT変換してWAN側へ送信した場合に、WAN側から返ってくる応答パケットの情報である。すなわち、ＬＡＮ側送信元アドレス、ＬＡＮ側宛先アドレス、ＬＡＮ側送信元ポート番号、ＬＡＮ側宛先ポート番号が、それぞれ中継装置１０がＬＡＮ側から受信するパケットの情報であり、ＷＡＮ側送信元アドレス、ＷＡＮ側宛先アドレス、ＷＡＮ側送信元ポート番号、ＷＡＮ側宛先ポート番号はそれぞれ中継装置１０が外部サーバ３２に対して送信したパケットに対して外部サーバ３２が返してくる応答パケットの情報となる。従って、中継装置１０がＬＡＮ側から受信したパケットをＷＡＮ側へ送信するパケットのアドレスは、図２（ａ）のＷＡＮ側情報とは宛先と送信元のアドレスが逆になる。

また、上記のルーティング機能部４４は、上記の接続追跡テーブル４３を参照して、中継装置１０が中継する通信について、ＮＡＴ変換、又はＮＡＰＴ変換、ルーティングを行う。また、接続追跡テーブル４３に記録されていない通信、すなわち、ユーザ端末２０側から送信された新たな通信セッションに対しては、前記ルーティングテーブルを参照して最優先の優先順位を有する、すなわち最も更新又は生成が新しい論理インターフェース５１によって通信を中継するようにする。
そしてまたこの発明においては、既に優先順位が下位となった古い論理インターフェース５１（ａ，ｂ，ｃ……）で実施されている通信のセッション情報がいずれかの接続追跡テーブル４３（ａ、ｂ、ｃ……）に残っている場合、そのセッションを用いて実施される通信は、その優先順位が下位となった古い論理インターフェース５１で引き続き実施するようにする。

さらに、中継装置１０は、過去に生成された論理インターフェース５１に割り当てられたＩＰアドレスの履歴を記録する履歴テーブル４５を有するとよい。テーブルへの登録は、論理インターフェース生成部４１又は論理インターフェース管理部４２が、新たに論理インターフェース５１を生成又は更新するたびに、そのＩＰアドレスを登録するアドレス記録手段を実行するとよい。図１では、論理インターフェース生成部４１が論理インターフェース管理部４２にＩＰアドレスを通知して、論理インターフェース管理部４２がアドレス記録手段を実行する形態を記載している。また、この登録の前又は後に、上記論理インターフェース生成部４１又は上記論理インターフェース管理部４２は、登録しようとする新たなＩＰアドレスが、履歴テーブル４５に記録されたものであるか否かをチェックする履歴検索手段を実行し、該当した場合には、生成した論理インターフェース５１のＩＰアドレスを廃棄し、新たなＩＰアドレスを割り当てるようにアドレス付与サーバ３１に要求する。これにより、以前に使用したＩＰアドレスと同じＩＰアドレスを使ってしまうことで過去の記録を元にした攻撃の標的となることを、回避することができる。
なお、登録されたＩＰアドレスが延々と更新され続けることを防ぐため、アドレス記録手段の実行後に実行するよりも、アドレスを払い出されてからアドレス記録手段の実行前に履歴検索手段を実行する方がより好ましい。

上記の履歴テーブル４５の中身は、単純にＩＰアドレスを順に記録するだけでもよいし、使用開始日時や使用終了日時の項目を有していてもよい。処理負荷の点からは、ＩＰアドレスのみとするのが好ましい。また、ＩＰアドレスの記録個数の上限や記録期間の制限を設けておき、制限を超えた古いデータについては、論理インターフェース管理部４２がそれらを削除する履歴削除手段を実行するとよい。十分に古い過去に用いられたＩＰアドレスであれば、再び使用してもセキュリティリスクはほとんどないと考えられるからである。

次に、この発明を実施する際のフロー例を図３〜５を用いて説明する。
図３は、ユーザ端末２０からの通信を中継する際のルーティング機能部の動作フロー例を示す。ｑはその時点における論理インターフェースの数であり、ｉは優先順位についての変数である。ｘは当該優先順位の論理インターフェース又は接続追跡テーブルについてのａ，ｂ，ｃ……以降の記号のいずれかを意味する。

仮に、論理インターフェース５１が３つ存在している場合であって、優先順位の第１位が（すなわち最優先であるものが）論理インターフェース５１ｃで、第２位が論理インターフェース５１ｂ、第３位が論理インターフェース５１ａである場合を想定する。それよりも論理インターフェース５１が多い場合は、図中のチェック部分が同様に増えることになる。なお、以下のフローは接続追跡テーブル４３が論理インターフェース５１ごとに独立している場合を想定して記載している。一つの接続追跡テーブル４３を全ての論理インターフェース５１が共有する場合、以下のフローにおける個々の接続追跡テーブル４３（ａ，ｂ，ｃ……）が、一つに統合された接続追跡テーブル４３のレコードのうちの個々の論理インターフェース５１に対応するレコードの集合に対応することとなる。またその場合、接続追跡テーブル４３をいちいち生成するのではなく、対応する論理インターフェース５１を識別できる項目を設けて、一つの接続追跡テーブル４３に書き込むこととなる。

まず中継装置１０は（Ｓ１０１）、ユーザ端末２０からの通信をＬＡＮ側のネットワークインターフェース１２で受けると、ルーティング機能部４４に受け渡す（Ｓ１０２）。
ここで、優先順位が最優先、すなわち第１位（ｉ＝１）の接続追跡テーブル４３ｘ（仮に４３ｃとなる。）を確認し（Ｓ１０４）、受信したパケットに該当するエントリが存在するか否かを調べる該当接続追跡テーブル検索手段を実行する（Ｓ１０５）。後述するように、既に一つ以上のパケットが送られた送信先への、二つめ以降のパケットであれば、いずれかの接続追跡テーブル４３（ａ、ｂ、ｃ……）に送信先ＩＰアドレスとポート番号とが登録されている。そこで、いずれの接続追跡テーブル４３に存在するかを順にチェックする（Ｓ１０５）。存在が確認できれば（Ｓ１０５→Ｙｅｓ）、そのパケットは当該接続追跡テーブル４３ｘを用いる論理インターフェース５１ｘを用いて、既にセッションが開始されたパケットの続きであるので、当該順位の接続追跡テーブル４３ｘに既に登録済みのルールに従って、ルーティング機能部４４はパケットを変換し（Ｓ１１１）、当該順位の論理インターフェース５１ｘからパケットを外部ネットワーク３０へ送信する（Ｓ１１２）。すなわち、このパケットは古い論理インターフェース５１ｘに割り当てられたＩＰアドレスを送信元ＩＰアドレスとして送信される。この送信元ＩＰアドレスは、接続追跡テーブルにおけるＷＡＮ側宛先アドレスに当たる。上記の図２（ａ）のテーブルでは、中継装置１０に返ってくる際の状況で送信元か宛先かを記載しているからである。

なお、接続追跡テーブル４３が論理インターフェース５１ごとに分かれているのではなく、一つである場合には、接続追跡テーブル４３の、当該順位の論理インターフェース５１に対応する項目を有するレコードの中に（Ｓ１０４に対応）、受信パケットに該当するエントリが存在するか否かを確認することになる（Ｓ１０５に対応）。

一方、上記の該当接続追跡テーブル検索手段を実行しても、当該接続追跡テーブル４３ｂにエントリが見つからなければ、それが最下位の優先順位を有する接続追跡テーブル４３ｘでなければ（Ｓ１０６→Ｎｏ）、次の（Ｓ１０３、ｉに＋１）優先順位の接続追跡テーブル４３ｘ（仮に４３ｂとなる）に対して該当接続追跡テーブル検索手段を実行する（Ｓ１０４，Ｓ１０５）。以上を、最下位の優先順位を有する接続追跡テーブル４３まで検索する（Ｓ１０３〜Ｓ１０６）。該当するエントリが見つかれば、その接続追跡テーブル４３ｘに従って、パケットを変換し（Ｓ１１１）、当該論理インターフェース５１ｘからパケットをＷＡＮ側のネットワークインターフェースへ送信する（Ｓ１１２）。

なお、二つの論理インターフェース５１（ａ，ｂ）を更新して交互に用いる場合は、Ｓ１０６から戻る工程は必要なく、優先順位が低い接続追跡テーブル４３を探して見つからなければ、すぐに優先順位が高い（第１位の）接続追跡テーブルを確認すればよい。

最下位の優先順位を有する接続追跡テーブル４３まで検索しても見つからなければ（Ｓ１０５→Ｎｏ、ｉ＝ｑに到達しておりＳ１０６→Ｙｅｓ）、それは新たなセッションのパケットであるので、優先順位第１位の接続追跡テーブル４３ｘ（仮に４３ｃ）に、新たなエントリを追加する（Ｓ１２３）。その上で、追加したエントリに従ってルーティング機能部４４がパケットを変換し（Ｓ１２４）、優先順位第１位である論理インターフェース５１ｘ（仮に５１ｃ）からパケットをＷＡＮ側のネットワークインターフェースへ送信する（Ｓ１２５）。このパケットも、最新の論理インターフェース５１ｃに割り当てられたＩＰアドレスを送信元ＩＰアドレスとして送信される。

こうして中継された上り方向の通信に対する返答である下り方向の通信は、予め定めた論理インターフェース５１ｘ（ａ、ｂ、ｃ……）のＩＰアドレス宛に送り返されてくるので、その宛先アドレスであるＩＰアドレスを有する論理インターフェース５１ｘを通して、それに対応する接続追跡テーブル４３の記載に従って中継処理して、ユーザ端末２０へ届けられる。

次に、論理インターフェース管理部４２及び論理インターフェース生成部４１による論理インターフェース５１の生成更新動作フローについて図４を用いて説明する。生成可能な論理インターフェースの最大数をＱ、その時点における論理インターフェースの数をｑ、順位についての変数をｉとする。例えば、論理インターフェース５１ａと５１ｂとを交互に最優先として使う場合はＱ＝２となる。

まず（Ｓ４０１、ｑ＝０が初期値）、最初に第一の論理インターフェース５１を生成する（Ｓ４０２）。具体的には、ＰＰＰｏＥのセッション確立やＤＨＣＰの要求などを行ってアドレス付与サーバ３１から発行された新たなＩＰアドレスを論理インターフェース５１ｘに付与し、更新されたＩＰアドレスを有する論理インターフェース５１ｘを生成させる。これにより、ｑが＋１されて１となる（Ｓ４０３）。なお、この論理インターフェース５１ｘの生成手順自体は後述する図５のフローのようになり、アドレスが履歴テーブル４５の記録と重複する場合は払い出しを受け直すこととなる。このとき、対になる接続追跡テーブル４３ｘも同時に生成する。その上で、生成した論理インターフェース５１ｘを最優先のものとし（Ｓ４０４）、切替タイマ４６を設定する（Ｓ４０５）。

ｉ＝ｑ（最初はｉ＝１）とし（Ｓ４０６）、ここでは論理インターフェース５１が１なので（Ｓ４０７→Ｙｅｓ）、切替タイマ４６の時間経過を待つ（Ｓ４２１→Ｎｏ→Ｓ４２２＝Ｓ４２７→Ｓ４０６ループ）。切替タイマ４６に設定した時間が経過したら（Ｓ４２１→Ｙｅｓ）、この時点では論理インターフェース５１ｘの生成数の限界に達していないので（Ｓ４２３→Ｙｅｓ→Ｓ４２５＝Ｓ４２６）、第二の論理インターフェース５１を生成する（Ｓ４０２）。これにより論理インターフェース５１の数は２となる（Ｓ４０３）。その上で新しい方の論理インターフェース５１を最優先とし（Ｓ４０４）、切替タイマ４６を再び設定する（Ｓ４０５）。

ｉ＝２であり（Ｓ４０６、Ｓ４０７→Ｎｏ）、優先順位が第２位の接続追跡テーブル４３ｘ（すなわち、先に生成した方の論理インターフェース５１ｘ）に対応する接続追跡テーブルを確認する（Ｓ４１１）。この古い接続追跡テーブル４３ｘに有効なエントリが残っていなければ（Ｓ４１２→Ｎｏ）、その論理インターフェース５１ｘを対になる接続追跡テーブル４３ｘごと削除する（Ｓ４１３，Ｓ４１４でｑ＝１に）。具体的には、ＰＰＰｏＥの場合はセッションの切断を行い、ＤＨＣＰであればＩＰアドレスの廃棄となる。これによりｉ＝１となり（Ｓ４１５→Ｓ４０７→Ｙｅｓ）切替タイマの満了を待つ（Ｓ４２１）。

有効なエントリが残っていれば（Ｓ４１２→Ｙｅｓ）、論理インターフェース５１ｘを削除しない（Ｓ４１３を通過せずにＳ４１５でｉ＝１→Ｓ４０７→Ｙｅｓ）。ただし、切替タイマの満了を待つまで（Ｓ４２１→Ｓ４２２＝Ｓ４２７）、有効なエントリのチェックを行う（Ｓ４０６でｉ＝ｑ＝２→Ｓ４０７→Ｎｏ→Ｓ４１１→Ｓ４１２からループ）。

切替タイマが満了したら（Ｓ４２１→Ｙｅｓ）、その時点での論理インターフェース５１ｘの数ｑが上限数Ｑに到達しているか否かを判断する（Ｓ４２３）。到達していなければ（Ｓ４２３→Ｙｅｓ→Ｓ４２５＝Ｓ４２６）、新たな論理インターフェース５１ｘを生成し（Ｓ４０２→Ｓ４０３）、その最新の論理インターフェース５１ｘを優先順位第１位に設定して、切替タイマを設定する（Ｓ４０５）。

切替タイマが満了しても（Ｓ４２１→Ｙｅｓ）、上限数Ｑに到達しているのであれば（Ｓ４２３→Ｎｏ→Ｓ４２４＝Ｓ４２７）、削除できる論理インターフェース５１ｘが生じるまでチェックを繰り返す（Ｓ４０６→Ｓ４０７→Ｎｏ→Ｓ４１１→Ｓ４１２から、Ｓ４１５→Ｓ４０７→Ｎｏ→Ｓ４１１→Ｓ４１２のループ）。セッションが終了して、削除できる論理インターフェース５１ｘが生じたら（Ｓ４１２→Ｎｏ）、それを削除する（Ｓ４１３→Ｓ４１４）。この削除は、Ｑが３以上のときは、優先順位が最下位の論理インターフェースから順にまとめて行われることもある（Ｓ４０７→Ｎｏならば他の論理インターフェース５１ｘに対応する接続追跡テーブル４３ｘも引き続いて確認）。チェックと削除が終わったら（Ｓ４０７→Ｙｅｓ）、既に切替タイマは満了しており（Ｓ４２１→Ｙｅｓ）、ｑは限界数Ｑより小さくなっているので（Ｓ４２３→Ｙｅｓ→Ｓ４２５＝Ｓ４２６）、論理インターフェース５１ｘを生成し（Ｓ４０２→Ｓ４０３）、その最新の論理インターフェース５１ｘを優先順位第１位に設定して、切替タイマを設定する（Ｓ４０５）。

なお、Ｑが３以上の場合であって、既にｑが３以上の場合、切替タイマの満了までの間に（Ｓ４２１→Ｎｏ）、最下位の優先順位に対応する接続追跡テーブル４３ｘから順に上位の接続追跡テーブル４３ｘについて連続してチェックし、削除できる論理インターフェース５１ｘがあれば連続して削除していくこととなる（Ｓ４１１→Ｓ４１２。その後、Ｓ４１５でｉ−１されて一つ優先順位が上位の接続追跡テーブル４３ｘについてＳ４１１→Ｓ４１２）。古い論理インターフェース５１ほど、エントリが残っていない可能性が高くなり、優先して削除しておくことが望ましいためである。

なお、切替タイマ４６で設定される時間は、次の更新までの周期を設定するものである。この値は任意であり、匿名性を確保するのに適した周期で新たな論理インターフェース５１ｘを生成できる値であるとよい。ネットワークの使用頻度にもよるが、１日一回程度は更新すると好ましい。ただし、頻繁に更新しすぎると、ＰＰＰｏＥやＤＨＣＰなどの認証を行うサーバ側の負荷が大きくなりすぎるので注意が必要である。また、タイマを設定からの時間として指定するのではなく、特定の時刻に発動するようにしてもよい。例えば、一日のうちでセッション数が最も少なくなると考えられる未明に毎日定期的に実行できるように設定すると、中継装置１０やアドレス付与サーバ３１に掛かる負荷も少なく、かつユーザ端末２０の利用者にかかる不便も最小限で済むので好ましい。

上記のうち、新たな論理インターフェース５１ａの生成手順（Ｓ４０２）を、アドレスを付与する認証にＰＰＰｏＥを用いる場合の例について、図５のフローを用いて説明する。まず（Ｓ３０１）、論理インターフェース生成部４１が、アドレス付与サーバ３１（ここではＰＰＰｏＥサーバにあたる）に対して、ＰＰＰｏＥの接続を開始する（Ｓ３０３）。アドレス付与サーバ３１からＩＰアドレスが払い出されたら、論理インターフェース管理部４２は履歴テーブル４５にそのＩＰアドレスが存在しているか否かを検索する履歴確認手段を実行する（Ｓ３０４）。アドレス付与サーバ３１から払い出されたＩＰアドレスが、履歴テーブル４５に存在していれば、それは近い時期に既に使用したＩＰアドレスであるので、重複を避けるため、論理インターフェース生成部４１は、アドレス付与サーバ３１に対して、ＩＰアドレスの再払い出し要求を行う（Ｓ３０６→Ｓ３０５）。履歴テーブル４５に該当するＩＰアドレスが無ければ、少なくともしばらくは割り当てられていなかったＩＰアドレスであるので、十分に匿名性を確保できるので、論理インターフェース生成部４１はそのＩＰアドレスを論理インターフェース５１に割り当てて、ＰＰＰｏＥの接続手順を完了させる（Ｓ３０７）。その上で、論理インターフェース管理部４２は、履歴テーブル４５に、新たに論理インターフェース５１に割り当てられたそのＩＰＯアドレスを、履歴テーブル４５に追加する（Ｓ３０８）。その後（Ｓ３０９）、図４に示すように、新たなＩＰアドレスを付与された論理インターフェース５１が、優先順位が最上位であるように変更されて使用される（Ｓ４０４）。

論理インターフェース５１へのアドレス付与が、ＰＰＰｏＥではなくＤＨＣＰの場合は、ＰＰＰｏＥの切断の代わりにＩＰアドレスやその他の割り当てられる情報を一旦廃棄し、ＰＰＰｏＥの接続を開始する（Ｓ３０３）代わりに、ＤＨＣＰによるアドレス取得処理を行う。この場合のアドレス付与サーバ３１はＤＨＣＰサーバとなる。

一方、図４に示す論理インターフェース５１の生成更新動作フローでは、Ｓ４１２に示す、残存エントリ数のチェックを省いて、切替タイマ４６の設定時間が経過したら、強制的に論理インターフェース５１を更新してもよい。図４のフローでは、ユーザ端末２０が継続的なセッションを保持し続ける通信を行っている限り、切替タイマ４６の設定時間が経過しても更新できない。そこで、切替タイマ４６が切れる時間を、通信がほとんど不要になる深夜未明などに設定しておき、強制的にセッションを切断しても実害がほとんど無いように抑制しながら匿名性を確保することができる。

なお、論理インターフェース５１ｘの上限数Ｑを３以上として、３つ以上の論理インターフェース５１ｘを使い分け可能とする場合、論理インターフェース５１ｘ一つあたりに保持するセッション数が少なくなるので、すべての論理インターフェース５１ｘがセッションを保持し続けるような事態には陥りにくく、結果としてセッションの保持がなくなりやすくなるので、結果として論理インターフェース５１ｘの廃棄がしやすくなり、新たな論理インターフェース５１ｘの生成もし易くなる。

なお、上記の論理インターフェース５１ｘをその都度生成するのではなく、２つの論理インターフェース５１ａ，ｂを保持しつつ、交互にＩＰアドレスを更新して使用する場合には、図５のような生成フローの直前に、それまでの論理インターフェース５１ｘで用いていたＩＰアドレスを廃棄する工程は挿入される（Ｓ３０１とＳ３０３との間に相当）。具体的には、ＰＰＰｏＥであればセッションを切断することとなる。ＤＨＣＰならば設定されたＩＰアドレスを削除してから、Ｓ３０３の代わりにＤＨＣＰサーバであるアドレス付与サーバ３１に問い合わせを行うこととなる。

なお、図４のような論理インターフェース５１の数に関わりなく、上記の切替タイマ４６の代わりに、それぞれの接続追跡テーブル４３ごとのセッション数をカウントし、セッション数が予め定めた上限値を上回った段階で切替を行うようにしてもよい。単純に時間経過によるのではなく、ネットワークの利用頻度が高くなったときのみ頻繁にＩＰアドレスを変えることができるので、使用状況に応じて匿名性を上げることが出来る。

１０ 中継装置
１１ ネットワークインターフェース
１２ ネットワークインターフェース
２０ ユーザ端末
２１ ローカルネットワーク
３０ 外部ネットワーク
３１ アドレス付与サーバ
３２ 外部サーバ
４１ 論理インターフェース生成部
４２ 論理インターフェース管理部
４３、４３ａ、４３ｂ、４３ｃ、４３ｘ 接続追跡テーブル
４４ ルーティング機能部
４５ 履歴テーブル
４６ 切替タイマ
５１，５１ａ，５１ｂ，５１ｃ、５１ｘ 論理インターフェース

Claims (4)

1. ＩＰアドレスを保持する論理インターフェースを複数作成して、通信装置が物理的に有する一のネットワークインターフェースに割り当てる論理インターフェース生成部と、時間間隔を空けて、優先すべき論理インターフェースを変更する論理インターフェース管理部とを有する通信装置。
2. 前記通信装置が、ユーザ端末と外部ネットワークとの間にある中継装置であって、
   外部ネットワーク側のネットワークインターフェースに割り当てる一のＩＰアドレスを有する前記論理インターフェースを、所定の時間間隔を空けて生成又は更新する前記論理インターフェース生成部と、
   存続している複数の前記論理インターフェースのうち新たなセッションに用いる最優先の優先順位を、最も新しく生成又は更新された上記論理インターフェースに割り当てる工程を、時間間隔を空けて行う前記論理インターフェース管理部と、
   それぞれの前記論理インターフェースを用いて通信する際のアドレスを含むパケット変換のルールを管理する接続追跡テーブルと、
   前記接続追跡テーブル及び前記論理インターフェースの優先順位を元に、パケットのルーティングを行うルーティング機能部とを有する、請求項１に記載の通信装置。
3. 過去に前記論理インターフェースに割り当てられたＩＰアドレスの履歴を記録する履歴テーブルを有し、
   前記論理インターフェース生成部は、新たに生成又は更新させる論理インターフェースにＩＰアドレスを登録するにあたり、前記履歴テーブルに記録が残るＩＰアドレスを回避する、請求項２に記載の通信装置。
4. 所定の時間間隔又は時刻を定めることができる切替タイマを有し、
   前記論理インターフェース管理部は、前記切替タイマが定めるタイミングで前記優先順位の割り当てを行う、請求項２又は３に記載の通信装置。

Images