ホーム > 特許ランキング > 古河電気工業株式会社
知財求人 - 知財ポータルサイト「IP Force」
▶ 古河電気工業株式会社の特許一覧 ▶ 古河ネットワークソリューション株式会社の特許一覧
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2022153317
(43)【公開日】2022-10-12
(54)【発明の名称】中継装置及びローカルブレイクアウトの転送方法
(51)【国際特許分類】
H04L 61/4511 20220101AFI20221004BHJP
H04L 45/302 20220101ALI20221004BHJP
H04L 45/02 20220101ALI20221004BHJP
H04L 67/564 20220101ALI20221004BHJP
【ＦＩ】
H04L61/4511
H04L45/302
H04L45/02
H04L67/564
【審査請求】有
【請求項の数】10
【出願形態】ＯＬ
(21)【出願番号】P 2022049249
(22)【出願日】2022-03-25
(31)【優先権主張番号】P 2021055745
(32)【優先日】2021-03-29
(33)【優先権主張国・地域又は機関】JP
(71)【出願人】
【識別番号】000005290
【氏名又は名称】古河電気工業株式会社
(71)【出願人】
【識別番号】505173245
【氏名又は名称】古河ネットワークソリューション株式会社
(74)【代理人】
【識別番号】100114292
【弁理士】
【氏名又は名称】来間 清志
(74)【代理人】
【識別番号】100205659
【弁理士】
【氏名又は名称】齋藤 拓也
(72)【発明者】
【氏名】池浦 晃至
(72)【発明者】
【氏名】菊池 正
(72)【発明者】
【氏名】横山 栄司
(72)【発明者】
【氏名】小林 康宏
【テーマコード（参考）】
5K030
【Ｆターム（参考）】
5K030GA01
5K030KA05
5K030LB05
5K030MD07
(57)【要約】
【課題】ローカルブレイクアウトを行わない場合に、性能が劣化せず、リソースの消費量が大きくならない中継装置を提供すること。また、ローカルブレイクアウトを行う場合にも、プロキシサーバのユーザ認証機能やフィルタリング機能を使用すること。
【解決手段】ルータ４２は、端末４１がプロキシサーバ４４宛てに送信するＣＯＮＮＥＣＴメソッドのＨｏｓｔを、ＬＢＯプロファイルに記録されているドメイン名と比較することにより、ローカルブレイクアウトを行うか否か決定する。ローカルブレイクアウトを行う場合には、ルータ４２は、端末４１が送信したパケットの送信元のＩＰアドレスとＰＯＲＴ番号、及び宛先のＩＰアドレスとＰＯＲＴ番号を書き換える。
【選択図】図６
【解決手段】ルータ４２は、端末４１がプロキシサーバ４４宛てに送信するＣＯＮＮＥＣＴメソッドのＨｏｓｔを、ＬＢＯプロファイルに記録されているドメイン名と比較することにより、ローカルブレイクアウトを行うか否か決定する。ローカルブレイクアウトを行う場合には、ルータ４２は、端末４１が送信したパケットの送信元のＩＰアドレスとＰＯＲＴ番号、及び宛先のＩＰアドレスとＰＯＲＴ番号を書き換える。
【選択図】図６
【特許請求の範囲】
【請求項1】
端末がプロキシサーバを介して通信する環境において、通過する通信を参照して、接続先のドメイン名を検出する検出部と、
前記検出したドメイン名に基づいて、特定の処理を行うか否か判定する判定部とを備えることを特徴とする中継装置。
前記検出したドメイン名に基づいて、特定の処理を行うか否か判定する判定部とを備えることを特徴とする中継装置。
【請求項2】
前記通過する通信は、端末がプロキシサーバヘ送信するＣＯＮＮＥＣＴメソッドであることを特徴とする請求項１に記載の中継装置。
【請求項3】
前記通過する通信は、端末がプロキシサーバヘ送信するＧＥＴメソッドであることを特徴とする請求項１に記載の中継装置。
【請求項4】
前記通過する通信は、端末が外部ウェブサイトへ送信するＳＳＬ／ＴＬＳのＣｌｉｅｎｔ Ｈｅｌｌｏであることを特徴とする請求項１に記載の中継装置。
【請求項5】
前記特定の処理を実行する処理部を備え、
前記処理部は、前記特定の処理として、ローカルブレイクアウト、パケットの廃棄、パケットの書き換え、パケット情報の保存、ＱｏＳ機能の少なくとも１つ以上の処理を実行することを特徴とする請求項１に記載の中継装置。
前記処理部は、前記特定の処理として、ローカルブレイクアウト、パケットの廃棄、パケットの書き換え、パケット情報の保存、ＱｏＳ機能の少なくとも１つ以上の処理を実行することを特徴とする請求項１に記載の中継装置。
【請求項6】
前記処理部は、前記ローカルブレイクアウトの処理を行う時に、ＴＣＰセッションの接続、又はローカルブレイクアウト経路の登録の処理を行うことを特徴とする請求項５に記載の中継装置。
【請求項7】
前記処理部は、前記ローカルブレイクアウトの処理を行う時に、前記端末が前記プロキシサーバ宛てに送信するパケットの送信元のＩＰアドレス及びＰＯＲＴ番号を前記中継装置のＩＰアドレス及びＰＯＲＴ番号に書き換え、前記パケットの宛先のＩＰアドレス及びＰＯＲＴ番号を前記接続先のＩＰアドレス及びＰＯＲＴ番号に書き換えて、前記接続先へ送信する請求項６に記載の中継装置。
【請求項8】
前記処理部は、前記接続先のタイムスタンプと前記プロキシサーバのタイムスタンプの差分を前記中継装置に登録しておき、前記ローカルブレイクアウト時に前記接続先が送信するパケットのタイムスタンプを前記差分により更新する請求項６に記載の中継装置。
【請求項9】
前記処理部は、前記端末のＭＳＳ情報を前記接続先に通知する請求項６に記載の中継装置。
【請求項10】
前記処理部は、前記接続先のウインドウスケールと前記プロキシサーバのウインドウスケールの差分を前記中継装置に登録しておき、前記ローカルブレイクアウト時に前記接続先が送信するパケットのウインドウサイズを前記差分により更新する請求項６に記載の中継装置。
【請求項11】
前記処理部は、前記ローカルブレイクアウトの処理を行う時に、前記端末と前記プロキシサーバ間の通信におけるシーケンス番号及び確認応答番号と、前記中継装置と前記接続先間の通信におけるシーケンス番号及び確認応答番号の差分を前記中継装置に登録し、その後、前記端末又は前記接続先が送信したパケットのシーケンス番号及び確認応答番号を前記登録した差分に従って書き換える請求項６に記載の中継装置。
【請求項12】
前記処理部は、ＩＰヘッダのチェックサム以外の部分を書き換えた後に、ＩＰヘッダのチェックサムを更新する請求項７に記載の中継装置。
【請求項13】
前記処理部は、ＴＣＰヘッダのチェックサム以外の部分を書き換えた後に、ＴＣＰヘッダのチェックサムを更新する請求項７－１１のいずれか一項に記載の中継装置。
【請求項14】
端末がプロキシサーバを介して通信する環境において、中継装置を通過する通信を前記中継装置が参照して、接続先のドメイン名を検出し、
前記検出したドメイン名に基づいて、特定の処理を行うか否か判定することを特徴とする特定の処理の処理方法。
前記検出したドメイン名に基づいて、特定の処理を行うか否か判定することを特徴とする特定の処理の処理方法。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、ネットワークのローカルブレイクアウト技術に関する。
【背景技術】
【0002】
一般に企業内の拠点にあるコンピュータを、企業外のネットワークと接続する際には、本社のデータセンターのコンピュータを介して接続している。これは、企業外のネットワークに存在する危険な接続先を、本社のデータセンターのコンピュータにより検出して、接続させないようにするためである。
【0003】
図１は、このような接続の概念図である。１１は企業外のネットワークである。１２は本社にあるデータセンターである。１３～１５は、拠点のコンピュータである。拠点のコンピュータは、本社のデータセンター１２を介して、企業外のネットワーク１１に接続されている。
しかしながら、近年、Ｍｉｃｒｏｓｏｆｔ３６５（登録商標）（以下、「Ｍ３６５」ということもある。）等のＳａａＳ（Ｓｏｆｔｗａｒｅ ａｓ ａ Ｓｅｒｖｉｃｅ）へのアクセスが増大している。このため、企業内ネットワークが圧迫されていることが、問題となっている。
しかしながら、近年、Ｍｉｃｒｏｓｏｆｔ３６５（登録商標）（以下、「Ｍ３６５」ということもある。）等のＳａａＳ（Ｓｏｆｔｗａｒｅ ａｓ ａ Ｓｅｒｖｉｃｅ）へのアクセスが増大している。このため、企業内ネットワークが圧迫されていることが、問題となっている。
【0004】
この問題を解決する一方法として、特許文献１に記載されているように、ローカルブレイクアウト（Ｌｏｃａｌ Ｂｒｅａｋ Ｏｕｔ：以下、「ＬＢＯ」ということもある。）という技術が知られている。
図２は、ＬＢＯの原理を説明する図である。１１～１５は、図１と同じものを意味する。ＬＢＯでは、拠点コンピュータにおいて、接続先が安全か否か判定し、安全な接続先であるならば、本社のデータセンター１２を介さずに、直接、外部のネットワーク１１に接続する（図２の点線）。
図２は、ＬＢＯの原理を説明する図である。１１～１５は、図１と同じものを意味する。ＬＢＯでは、拠点コンピュータにおいて、接続先が安全か否か判定し、安全な接続先であるならば、本社のデータセンター１２を介さずに、直接、外部のネットワーク１１に接続する（図２の点線）。
【0005】
図３は、既存のＬＢＯの手順を示す図である。
３１はドメイン名をＩＰアドレスに変換するＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）サーバである。３２はルータである。ルータ３２は、安全なドメイン名、すなわちＬＢＯを行うべきドメイン名の表を持っている。以下、この表をＬＢＯプロファイル３７と呼ぶ。３３はインターネットゲートウェイである。３４は閉域網である。３５はインターネット網である。３６はパソコン等の端末である。
３１はドメイン名をＩＰアドレスに変換するＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）サーバである。３２はルータである。ルータ３２は、安全なドメイン名、すなわちＬＢＯを行うべきドメイン名の表を持っている。以下、この表をＬＢＯプロファイル３７と呼ぶ。３３はインターネットゲートウェイである。３４は閉域網である。３５はインターネット網である。３６はパソコン等の端末である。
【0006】
図３の動作を説明する。
ステップＳ３０１：端末３６が、ドメイン名を含むＵＲＬ又はメールアドレスを送信する。
ステップＳ３０２：ルータ３２は受信したＵＲＬ又はメールアドレスのドメイン名をＤＮＳサーバ３１へ送信する。
ステップＳ３０３：ＤＮＳサーバ３１は、受信したドメイン名をＩＰアドレスに変換し、受信したドメイン名とともにルータ３２へ返信する。
ステップＳ３０４：ルータ３２はＤＮＳサーバ３１から受信したドメイン名を、ＬＢＯプロファイル３７と比較し、ＬＢＯを行うか否か決定する。
ステップＳ３０１：端末３６が、ドメイン名を含むＵＲＬ又はメールアドレスを送信する。
ステップＳ３０２：ルータ３２は受信したＵＲＬ又はメールアドレスのドメイン名をＤＮＳサーバ３１へ送信する。
ステップＳ３０３：ＤＮＳサーバ３１は、受信したドメイン名をＩＰアドレスに変換し、受信したドメイン名とともにルータ３２へ返信する。
ステップＳ３０４：ルータ３２はＤＮＳサーバ３１から受信したドメイン名を、ＬＢＯプロファイル３７と比較し、ＬＢＯを行うか否か決定する。
【0007】
ステップＳ３０５：ＤＮＳサーバ３１から受信したドメイン名が、ＬＢＯプロファイル３７に記録されているドメイン名と一致せず、ルータ３２がＬＢＯを行わないと決定した場合は、従来どおり、インターネットゲートウェイ３３経由で、インターネット網３５に接続する。
ステップＳ３０６：ＤＮＳサーバ３１から受信したドメイン名が、ＬＢＯプロファイル３７に記録されているドメイン名と一致して、ルータ３２がＬＢＯを行うと決定した場合は、ＤＮＳサーバ３１から受信したＩＰアドレスをＬＢＯ経路として登録する。
ステップＳ３０７：登録したＬＢＯ経路に従って、インターネット網３５に直接、接続する。
ステップＳ３０６：ＤＮＳサーバ３１から受信したドメイン名が、ＬＢＯプロファイル３７に記録されているドメイン名と一致して、ルータ３２がＬＢＯを行うと決定した場合は、ＤＮＳサーバ３１から受信したＩＰアドレスをＬＢＯ経路として登録する。
ステップＳ３０７：登録したＬＢＯ経路に従って、インターネット網３５に直接、接続する。
【0008】
特許文献２では、ＤＮＳサーバへ問い合わせた結果、接続先が直接インターネットへ転送したい接続先であった場合は、問い合わせ結果のＩＰアドレスを宛先とする経路情報をルーティングテーブルに登録することで、拠点内からの該当の接続先に対する通信を本社経由でなく、直接インターネットへ転送するようにしている。
【0009】
また、特許文献３には、端末上で稼働するアプリケーションがサーバにデータの送信を要求するリクエストパケットの受信が、中継装置のＴＣＰ管理部において検知された場合に、前記中継装置の判定部が、前記リクエストパケットを解析し、前記解析の結果に基づいて前記リクエストパケットを送信する、前記中継装置と前記サーバとを接続する第２のネットワークの複数の通信経路を切り替えるか否かを判定することが記載されている。
【0010】
図４、及び図５は、内部ネットワークと外部ネットワークの境界にプロキシサーバを有する場合の、従来のＬＢＯを説明する図である。図４は、ＬＢＯを行う場合の図である。図５は、ＬＢＯを行わない場合の図である。このプロキシサーバを有する場合の従来のＬＢＯの動作については、非特許文献１の第１６－１７頁に詳しく説明されている。
４１はパソコン等の端末である。４２はルータである。４３はＤＮＳサーバである。４４はプロキシサーバである。４５は外部ウェブサイトである。プロキシサーバ４４は、図１のデータセンター１２にあってもよいし、拠点１４に存在してもよい。
４１はパソコン等の端末である。４２はルータである。４３はＤＮＳサーバである。４４はプロキシサーバである。４５は外部ウェブサイトである。プロキシサーバ４４は、図１のデータセンター１２にあってもよいし、拠点１４に存在してもよい。
【0011】
図４の動作を説明する。
ステップＳ４０１：端末４１は、宛先ＩＰをプロキシサーバとして、ＴＣＰの３ウェイハンドシェイク手順の同期パケットを送信する。
ステップＳ４０２：ルータ４２は、ＴＣＰの３ウェイハンドシェイク手順の同期ＡＣＫパケットを返す。
ステップＳ４０３：端末４１は、ＴＣＰの３ウェイハンドシェイク手順のＡＣＫパケットを送信する。これにより、ＴＣＰの３ウェイハンドシェイク手順が完了する。端末４１は、Ｈｏｓｔを「microsoft365.com」として、ＨＴＴＰのＣＯＮＮＥＣＴメソッドを送信する。
ステップＳ４０１：端末４１は、宛先ＩＰをプロキシサーバとして、ＴＣＰの３ウェイハンドシェイク手順の同期パケットを送信する。
ステップＳ４０２：ルータ４２は、ＴＣＰの３ウェイハンドシェイク手順の同期ＡＣＫパケットを返す。
ステップＳ４０３：端末４１は、ＴＣＰの３ウェイハンドシェイク手順のＡＣＫパケットを送信する。これにより、ＴＣＰの３ウェイハンドシェイク手順が完了する。端末４１は、Ｈｏｓｔを「microsoft365.com」として、ＨＴＴＰのＣＯＮＮＥＣＴメソッドを送信する。
【0012】
ステップＳ４０４：ルータ４２は、「microsoft365.com」がＬＢＯプロファイルに記録されているドメイン名と一致するので、ＬＢＯを行うことを決定する。
ステップＳ４０５：ルータ４２は、「microsoft365.com」をＤＮＳサーバ４３に送信して、「microsoft365.com」のＩＰアドレスを取得する。
ステップＳ４０６：ルータ４２は、プロキシサーバ４４を介さずに、外部ウェブサイト４５に、ＴＣＰの３ウェイハンドシェイク手順の同期パケットを送信する。
ステップＳ４０５：ルータ４２は、「microsoft365.com」をＤＮＳサーバ４３に送信して、「microsoft365.com」のＩＰアドレスを取得する。
ステップＳ４０６：ルータ４２は、プロキシサーバ４４を介さずに、外部ウェブサイト４５に、ＴＣＰの３ウェイハンドシェイク手順の同期パケットを送信する。
【0013】
ステップＳ４０７：外部ウェブサイト４５は、ＴＣＰの３ウェイハンドシェイク手順の同期ＡＣＫパケットを返す。
ステップＳ４０８：ルータ４２は、ＴＣＰの３ウェイハンドシェイク手順のＡＣＫパケットを外部ウェブサイト４５へ送信する。これにより、ルータ４２と外部ウェブサイト４５との間のＴＣＰの３ウェイハンドシェイク手順が完了する。ルータ４２は、端末４１とルータ４２の間のＴＣＰセッションと、ルータ４２と外部ウェブサイト４５の間のＴＣＰセッションとを変換して通信する。
ステップＳ４０８：ルータ４２は、ＴＣＰの３ウェイハンドシェイク手順のＡＣＫパケットを外部ウェブサイト４５へ送信する。これにより、ルータ４２と外部ウェブサイト４５との間のＴＣＰの３ウェイハンドシェイク手順が完了する。ルータ４２は、端末４１とルータ４２の間のＴＣＰセッションと、ルータ４２と外部ウェブサイト４５の間のＴＣＰセッションとを変換して通信する。
【0014】
図５は、内部ネットワークと外部ネットワークの境界にプロキシサーバを有する場合であるが、図４のＳ４０４において、ＨｏｓｔがＬＢＯプロファイルのドメイン名と一致せず、ＬＢＯを行わない場合の図である。４１～４５は、図４のものと同じである。
【0015】
図５の動作を説明する。
ステップＳ５０１：端末４１は、宛先ＩＰをプロキシサーバとして、ＴＣＰの３ウェイハンドシェイク手順の同期パケットを送信する。
ステップＳ５０２：ルータ４２は、ＴＣＰの３ウェイハンドシェイク手順の同期ＡＣＫパケットを返す。
ステップＳ５０３：端末４１は、ＴＣＰの３ウェイハンドシェイク手順のＡＣＫパケットを送信する。これにより、ＴＣＰの３ウェイハンドシェイク手順が完了する。端末４１は、Ｈｏｓｔを「aaa.net」として、ＨＴＴＰのＣＯＮＮＥＣＴメソッドを送信する。
ステップＳ５０１：端末４１は、宛先ＩＰをプロキシサーバとして、ＴＣＰの３ウェイハンドシェイク手順の同期パケットを送信する。
ステップＳ５０２：ルータ４２は、ＴＣＰの３ウェイハンドシェイク手順の同期ＡＣＫパケットを返す。
ステップＳ５０３：端末４１は、ＴＣＰの３ウェイハンドシェイク手順のＡＣＫパケットを送信する。これにより、ＴＣＰの３ウェイハンドシェイク手順が完了する。端末４１は、Ｈｏｓｔを「aaa.net」として、ＨＴＴＰのＣＯＮＮＥＣＴメソッドを送信する。
【0016】
ステップＳ５０４：ルータ４２は、「aaa.net」がＬＢＯプロファイルに記録されたドメイン名と一致しないので、ＬＢＯを行わないことを決定する。
ステップＳ５０５：ルータ４２は、宛先ＩＰをプロキシサーバ４４として、ＴＣＰの３ウェイハンドシェイク手順の同期パケットを送信する。
ステップＳ５０５：ルータ４２は、宛先ＩＰをプロキシサーバ４４として、ＴＣＰの３ウェイハンドシェイク手順の同期パケットを送信する。
【0017】
ステップＳ５０６：プロキシサーバ４４は、ＴＣＰの３ウェイハンドシェイク手順の同期ＡＣＫパケットを返す。
ステップＳ５０７：ルータ４２は、ＴＣＰの３ウェイハンドシェイク手順のＡＣＫパケットをプロキシサーバ４４へ送信する。これにより、ルータ４２とプロキシサーバ４４との間のＴＣＰの３ウェイハンドシェイク手順が完了する。ルータ４２は、Ｈｏｓｔを「aaa.net」として、ＨＴＴＰのＣＯＮＮＥＣＴメソッドを送信する。
ステップＳ５０８：プロキシサーバ４４は、ルータ４２とプロキシサーバ４４の間のＴＣＰセッションと、プロキシサーバ４４と外部ウェブサイト４５の間のＴＣＰセッションを変換して通信する。
ステップＳ５０７：ルータ４２は、ＴＣＰの３ウェイハンドシェイク手順のＡＣＫパケットをプロキシサーバ４４へ送信する。これにより、ルータ４２とプロキシサーバ４４との間のＴＣＰの３ウェイハンドシェイク手順が完了する。ルータ４２は、Ｈｏｓｔを「aaa.net」として、ＨＴＴＰのＣＯＮＮＥＣＴメソッドを送信する。
ステップＳ５０８：プロキシサーバ４４は、ルータ４２とプロキシサーバ４４の間のＴＣＰセッションと、プロキシサーバ４４と外部ウェブサイト４５の間のＴＣＰセッションを変換して通信する。
【先行技術文献】
【特許文献】
【0018】
【特許文献1】特開２０１９－０５７８０１号公報（段落番号０００２－０００３）
【特許文献2】特許第５７９０７７５号公報
【特許文献3】特許第５９１３２５８号公報
【非特許文献】
【0019】
【非特許文献1】ｊｕｎｉｐｅｒ．ＮＥＴＷＯＲＫＳ、“プロキシ環境でも容易に導入可能 エンタープライズＳＤ－ＷＡＮとは”、第１１－１７頁、［ｏｎｌｉｎｅ］、２０１９年９月２４日、［２０２１年２月１９日検索］、インターネット、＜https://www.juniper.net/assets/jp/jp/local/pdf/additional-resources/osaka-seminar-sd-wan-handsout.pdf＞
【発明の概要】
【発明が解決しようとする課題】
【0020】
図５の従来例ではステップＳ５０１～Ｓ５０３により、端末４１とルータ４２の間のＴＣＰセッションを確立しているので、ステップＳ５０８の状態においても、ルータ４２は、端末４１とルータ４２の間のＴＣＰセッションと、ルータ４２とプロキシサーバ４４の間のＴＣＰセッションとを変換している。この変換を行うため、性能が劣化し、リソースの消費量が多くなるという問題を含んでいる。
また、図４の従来例において、ＬＢＯを行う場合には、プロキシサーバ４４を利用していないので、プロキシサーバ４４のユーザ認証機能やフィルタリング機能を使用できていないという問題を含んでいる。
また、特許文献３では、リクエストパケットを解析し、前記解析の結果に基づいて前記リクエストパケットを送信する、中継装置とサーバとを接続する第２のネットワークの複数の通信経路を切り替えるか否かを判定しているが、特許文献３は、端末がプロキシサーバを介して通信する環境ではない。
また、図４の従来例において、ＬＢＯを行う場合には、プロキシサーバ４４を利用していないので、プロキシサーバ４４のユーザ認証機能やフィルタリング機能を使用できていないという問題を含んでいる。
また、特許文献３では、リクエストパケットを解析し、前記解析の結果に基づいて前記リクエストパケットを送信する、中継装置とサーバとを接続する第２のネットワークの複数の通信経路を切り替えるか否かを判定しているが、特許文献３は、端末がプロキシサーバを介して通信する環境ではない。
【0021】
本発明は、端末がプロキシサーバを介して通信する環境において、ＬＢＯを行わない場合に、性能が劣化せず、且つリソースの消費量が多くならないようにすることを目的とする。
また、本発明は、ＬＢＯを行う場合に、プロキシサーバのユーザ認証機能やフィルタリング機能を使用することを目的とする。
また、本発明は、ＬＢＯを行う場合に、プロキシサーバのユーザ認証機能やフィルタリング機能を使用することを目的とする。
【課題を解決するための手段】
【0022】
本発明者らは、ルータを通過する通信を当該ルータが覗き見するように構成することにより、ＬＢＯを行わない場合に、性能が劣化せず、且つリソースの消費量が多くならないようにすることができることを見出し、本発明を完成するに至った。
【0023】
［１］ 端末がプロキシサーバを介して通信する環境において、通過する通信を参照して、接続先のドメイン名を検出する検出部と、前記検出したドメイン名に基づいて、特定の処理を行うか否か判定する判定部とを備えることを特徴とする中継装置。
［２］ 前記通過する通信は、端末がプロキシサーバヘ送信するＣＯＮＮＥＣＴメソッドであることを特徴とする上記［１］に記載の中継装置。
［３］ 前記通過する通信は、端末がプロキシサーバヘ送信するＧＥＴメソッドであることを特徴とする上記［１］に記載の中継装置。
［４］ 前記通過する通信は、端末が外部ウェブサイトヘ送信するＳＳＬ／ＴＬＳのＣｌｉｅｎｔ Ｈｅｌｌｏであることを特徴とする上記［１］に記載の中継装置。
［５］ 前記特定の処理を実行する処理部を備え、前記処理部は、前記特定の処理として、ローカルブレイクアウト、パケットの廃棄、パケットの書き換え、パケット情報の保存、ＱｏＳ機能の少なくとも１つ以上の処理を実行することを特徴とする上記［１］に記載の中継装置。
［６］ 前記処理部は、前記ローカルブレイクアウトの処理を行う時に、ＴＣＰセッションの接続、又はブレイクアウト経路の登録の処理を行うことを特徴とする上記［５］に記載の中継装置。
［７］ 前記処理部は、前記ローカルブレイクアウトの処理を行う時に、前記端末が前記プロキシサーバ宛てに送信するパケットの送信元のＩＰアドレス及びＰＯＲＴ番号を前記中継装置のＩＰアドレス及びＰＯＲＴ番号に書き換え、前記パケットの宛先のＩＰアドレス及びＰＯＲＴ番号を前記接続先のＩＰアドレス及びＰＯＲＴ番号に書き換えて、前記接続先へ送信する上記［６］に記載の中継装置。
［８］ 前記処理部は、前記接続先のタイムスタンプと前記プロキシサーバのタイムスタンプの差分を前記中継装置に登録しておき、前記ローカルブレイクアウト時に前記接続先が送信するパケットのタイムスタンプを前記差分により更新する上記［６］に記載の中継装置。
［９］ 前記処理部は、前記端末のＭＳＳ情報を前記接続先に通知する上記［６］に記載の中継装置。
［１０］ 前記処理部は、前記接続先のウインドウスケールと前記プロキシサーバのウインドウスケールの差分を前記中継装置に登録しておき、前記ローカルブレイクアウト時に前記接続先が送信するパケットのウインドウサイズを前記差分により更新する上記［６］に記載の中継装置。
［１１］ 前記処理部は、前記ローカルブレイクアウトの処理を行う時に、前記端末と前記プロキシサーバ間の通信におけるシーケンス番号及び確認応答番号と、前記中継装置と前記接続先間の通信におけるシーケンス番号及び確認応答番号の差分を前記中継装置に登録し、その後、前記端末又は前記接続先が送信したパケットのシーケンス番号及び確認応答番号を前記登録した差分に従って書き換える上記［６］に記載の中継装置。
［１２］ 前記処理部は、ＩＰヘッダのチェックサム以外の部分を書き換えた後に、ＩＰヘッダのチェックサムを更新する上記［７］に記載の中継装置。
［１３］ 前記処理部は、ＴＣＰヘッダのチェックサム以外の部分を書き換えた後に、ＴＣＰヘッダのチェックサムを更新する上記［７］－［１１］のいずれか一に記載の中継装置。
［１４］ 端末がプロキシサーバを介して通信する環境において、中継装置を通過する通信を前記中継装置が参照して、接続先のドメイン名を検出し、前記検出したドメイン名に基づいて、特定の処理を行うか否か判定することを特徴とするローカルブレイクアウトの転送方法。
［２］ 前記通過する通信は、端末がプロキシサーバヘ送信するＣＯＮＮＥＣＴメソッドであることを特徴とする上記［１］に記載の中継装置。
［３］ 前記通過する通信は、端末がプロキシサーバヘ送信するＧＥＴメソッドであることを特徴とする上記［１］に記載の中継装置。
［４］ 前記通過する通信は、端末が外部ウェブサイトヘ送信するＳＳＬ／ＴＬＳのＣｌｉｅｎｔ Ｈｅｌｌｏであることを特徴とする上記［１］に記載の中継装置。
［５］ 前記特定の処理を実行する処理部を備え、前記処理部は、前記特定の処理として、ローカルブレイクアウト、パケットの廃棄、パケットの書き換え、パケット情報の保存、ＱｏＳ機能の少なくとも１つ以上の処理を実行することを特徴とする上記［１］に記載の中継装置。
［６］ 前記処理部は、前記ローカルブレイクアウトの処理を行う時に、ＴＣＰセッションの接続、又はブレイクアウト経路の登録の処理を行うことを特徴とする上記［５］に記載の中継装置。
［７］ 前記処理部は、前記ローカルブレイクアウトの処理を行う時に、前記端末が前記プロキシサーバ宛てに送信するパケットの送信元のＩＰアドレス及びＰＯＲＴ番号を前記中継装置のＩＰアドレス及びＰＯＲＴ番号に書き換え、前記パケットの宛先のＩＰアドレス及びＰＯＲＴ番号を前記接続先のＩＰアドレス及びＰＯＲＴ番号に書き換えて、前記接続先へ送信する上記［６］に記載の中継装置。
［８］ 前記処理部は、前記接続先のタイムスタンプと前記プロキシサーバのタイムスタンプの差分を前記中継装置に登録しておき、前記ローカルブレイクアウト時に前記接続先が送信するパケットのタイムスタンプを前記差分により更新する上記［６］に記載の中継装置。
［９］ 前記処理部は、前記端末のＭＳＳ情報を前記接続先に通知する上記［６］に記載の中継装置。
［１０］ 前記処理部は、前記接続先のウインドウスケールと前記プロキシサーバのウインドウスケールの差分を前記中継装置に登録しておき、前記ローカルブレイクアウト時に前記接続先が送信するパケットのウインドウサイズを前記差分により更新する上記［６］に記載の中継装置。
［１１］ 前記処理部は、前記ローカルブレイクアウトの処理を行う時に、前記端末と前記プロキシサーバ間の通信におけるシーケンス番号及び確認応答番号と、前記中継装置と前記接続先間の通信におけるシーケンス番号及び確認応答番号の差分を前記中継装置に登録し、その後、前記端末又は前記接続先が送信したパケットのシーケンス番号及び確認応答番号を前記登録した差分に従って書き換える上記［６］に記載の中継装置。
［１２］ 前記処理部は、ＩＰヘッダのチェックサム以外の部分を書き換えた後に、ＩＰヘッダのチェックサムを更新する上記［７］に記載の中継装置。
［１３］ 前記処理部は、ＴＣＰヘッダのチェックサム以外の部分を書き換えた後に、ＴＣＰヘッダのチェックサムを更新する上記［７］－［１１］のいずれか一に記載の中継装置。
［１４］ 端末がプロキシサーバを介して通信する環境において、中継装置を通過する通信を前記中継装置が参照して、接続先のドメイン名を検出し、前記検出したドメイン名に基づいて、特定の処理を行うか否か判定することを特徴とするローカルブレイクアウトの転送方法。
【発明の効果】
【0024】
本発明によれば、ルータを通過する通信を当該ルータが覗き見するように構成するので、ＬＢＯを行わない場合に、性能が劣化せず、且つリソースの消費量が多くならないようにすることができる。
【図面の簡単な説明】
【0025】
【図1】拠点のコンピュータが、データセンターを経由して企業外のネットワークに接続される図である。
【図2】ＬＢＯの原理を説明する図である。
【図3】既存のＬＢＯの手順を示す図である。
【図4】従来、プロキシサーバを有する場合に、ＬＢＯを行う図である。
【図5】従来、プロキシサーバを有する場合に、ＬＢＯを行わない図である。
【図6】本発明の実施形態における、ＬＢＯを行う図である。
【図7】本発明の実施形態における、ＬＢＯを行わない図である。
【図8】本発明の実施形態におけるＬＢＯを行う場合のセッション情報の変換の詳細を説明する図である。
【図9】本発明の実施形態におけるＬＢＯを行う場合のセッション情報の変換の詳細を説明する図である。
【図10】本発明の実施形態におけるＬＢＯを行う場合のセッション情報の変換の詳細を説明する図である。
【図11】本発明の実施形態におけるシーケンス番号と確認応答番号の書き換えを説明する図である。
【図12】本発明の実施形態におけるシーケンス番号と確認応答番号の書き換えを説明する図である。
【図13】本発明の実施形態おけるタイムスタンプの変換の詳細を説明する図である。
【図14】本発明の実施形態おけるＭＳＳ情報の通知の詳細を説明する図である。
【図15】本発明の実施形態おけるスケールサイズの変換の詳細を説明する図である。
【図16】本発明の実施形態おけるルータの内部構造を説明する図である。
【図17】本社及び支社の端末がＬＢＯを行わない場合の通信経路を示す図である。
【図18】本社及び支社の端末がＬＢＯを行う場合の通信経路を示す図である。
【発明を実施するための形態】
【0026】
以下、図６、及び図７を用いて、本発明の実施形態について説明する。
図６は、本発明の実施形態において、ＬＢＯを行う場合の図である。４１～４５は、図４のものと同じである。
ステップＳ６０１：ＴＣＰの３ウェイハンドシェイク手順により、端末４１とプロキシサーバ４４間のＴＣＰセッションを確立する。ルータ４２は、端末４１とプロキシサーバ４４間の通信を覗き見して、ＴＣＰパラメータを取得する。
図６は、本発明の実施形態において、ＬＢＯを行う場合の図である。４１～４５は、図４のものと同じである。
ステップＳ６０１：ＴＣＰの３ウェイハンドシェイク手順により、端末４１とプロキシサーバ４４間のＴＣＰセッションを確立する。ルータ４２は、端末４１とプロキシサーバ４４間の通信を覗き見して、ＴＣＰパラメータを取得する。
【0027】
ステップＳ６０２：端末４１は、Ｈｏｓｔを「microsoft365.com」として、ＨＴＴＰのＣＯＮＮＥＣＴメソッドをプロキシサーバ４４へ送信する。ルータ４２は、この通信を覗き見して、Ｈｏｓｔが「microsoft365.com」であることを検出する。ルータ４２は、検出した「microsoft365.com」をＬＢＯプロファイルと照合して、「microsoft365.com」がＬＢＯプロファイルに記録されているドメイン名と一致することを判定する。これにより、ＬＢＯを行うことが決定される。
ステップＳ６０３：ルータ４２は、ＤＮＳサーバ４３を用いて、ドメイン名をＩＰアドレスに変換する。
ステップＳ６０４：ルータ４２は、ＩＰアドレスをＬＢＯ経路として登録してもよい。
ステップＳ６０３：ルータ４２は、ＤＮＳサーバ４３を用いて、ドメイン名をＩＰアドレスに変換する。
ステップＳ６０４：ルータ４２は、ＩＰアドレスをＬＢＯ経路として登録してもよい。
【0028】
ステップＳ６０５：ルータ４２は、外部ウェブサイト４５へＴＣＰの３ウェイハンドシェイク手順の同期パケットを送信する。
ステップＳ６０６：ルータ４２は、外部ウェブサイト４５との間で、ＴＣＰセッションを確立する。
ステップＳ６０７：ルータ４２は、端末４１にＣＯＮＮＥＣＴ Ｅｓｔａｂを送信する。
ステップＳ６０８：ルータ４２は、端末４１とプロキシサーバ４４との間のＴＣＰセッションと、ルータ４２と外部ウェブサイト４５との間のＴＣＰセッションとを変換してブレイクアウト先に送信する。
ステップＳ６０６：ルータ４２は、外部ウェブサイト４５との間で、ＴＣＰセッションを確立する。
ステップＳ６０７：ルータ４２は、端末４１にＣＯＮＮＥＣＴ Ｅｓｔａｂを送信する。
ステップＳ６０８：ルータ４２は、端末４１とプロキシサーバ４４との間のＴＣＰセッションと、ルータ４２と外部ウェブサイト４５との間のＴＣＰセッションとを変換してブレイクアウト先に送信する。
【0029】
図７は、本発明の実施形態において、ＬＢＯを行わない場合の図である。４１～４５は、図４のものと同じである。
ステップＳ７０１：ＴＣＰの３ウェイハンドシェイク手順により、端末４１とプロキシサーバ４４間のＴＣＰセッションを確立する。ルータ４２は、端末４１とプロキシサーバ４４間の通信を覗き見して、ＴＣＰパラメータを取得する。
ステップＳ７０１：ＴＣＰの３ウェイハンドシェイク手順により、端末４１とプロキシサーバ４４間のＴＣＰセッションを確立する。ルータ４２は、端末４１とプロキシサーバ４４間の通信を覗き見して、ＴＣＰパラメータを取得する。
【0030】
ステップＳ７０２：端末４１は、Ｈｏｓｔを「aaa.com」として、ＨＴＴＰのＣＯＮＮＥＣＴメソッドをプロキシサーバ４４へ送信する。ルータ４２は、この通信を覗き見して、Ｈｏｓｔが「aaa.com」であることを検出する。ルータ４２は、検出した「aaa.com」をＬＢＯプロファイルと照合して、「aaa.com」がＬＢＯプロファイルに記録されているドメイン名と一致しないことを判定する。これにより、ＬＢＯを行わないことが決定される。
ステップＳ７０３：プロキシサーバ４４は、ＤＮＳサーバ４３を用いて、ドメイン名をＩＰアドレスに変換する。
ステップＳ７０３：プロキシサーバ４４は、ＤＮＳサーバ４３を用いて、ドメイン名をＩＰアドレスに変換する。
【0031】
ステップＳ７０４：プロキシサーバ４４は、外部ウェブサイト４５との間で、ＴＣＰセッションを確立する。
ステップＳ７０５：プロキシサーバ４４は、端末４１にＣＯＮＮＥＣＴ Ｅｓｔａｂを送信する。
ステップＳ７０６：プロキシサーバ４４は、端末４１とプロキシサーバ４４との間のＴＣＰセッションと、プロキシサーバ４４と外部ウェブサイト４５との間のＴＣＰセッションとを変換して通信する。
ステップＳ７０５：プロキシサーバ４４は、端末４１にＣＯＮＮＥＣＴ Ｅｓｔａｂを送信する。
ステップＳ７０６：プロキシサーバ４４は、端末４１とプロキシサーバ４４との間のＴＣＰセッションと、プロキシサーバ４４と外部ウェブサイト４５との間のＴＣＰセッションとを変換して通信する。
【0032】
以上のように、本発明では、端末とプロキシサーバとの間の通信をルータが覗き見して、外部ウェブサイトのドメイン名を検出するので、ルータで端末からのＴＣＰセッションを終端することがなく、したがって、性能が劣化し、リソースの消費量が多くなるという問題が生じない。
また、本発明では、ＬＢＯを行う場合にもプロキシサーバを利用するので、プロキシサーバからのＣＯＮＮＥＣＴ Ｅｓｔａｂを中継の判断材料に使用でき、これによりプロキシサーバのユーザ認証機能やフィルタリング機能を使用することができる。
また、本発明では、ＬＢＯを行う場合にもプロキシサーバを利用するので、プロキシサーバからのＣＯＮＮＥＣＴ Ｅｓｔａｂを中継の判断材料に使用でき、これによりプロキシサーバのユーザ認証機能やフィルタリング機能を使用することができる。
【0033】
本発明の実施形態では、ＣＯＮＮＥＣＴメソッドを参照してドメイン名を検出したが、参照の対象は、ＣＯＮＮＥＣＴメソッドに限らない。ＨＴＴＰのＧＥＴメソッドを参照して、ドメイン名を検出してもよい。
【0034】
また、図７のようにプロキシサーバを経由する接続としておいて、ＳＳＬ／ＴＬＳのＣｌｉｅｎｔ ＨｅｌｌｏのＳＮＩオプションをルータが参照して、接続先がＬＢＯを行うべき外部ウェブサイトであることが判明した後に、ルータが図２の点線のように接続替えすることとしてもよい。
【0035】
本発明の実施形態では、ＣＯＮＮＥＣＴメソッドを参照して検出したドメイン名に基づいて、ＬＢＯを行うか否かを決定したが、検出したドメイン名に基づいて、パケットの廃棄、パケットの書き換え、パケット情報の保存、ＱｏＳ機能（優先制御や帯域制御）の少なくとも１つ以上の処理を行うか否かを決定してもよい。
【0036】
また、検出したドメイン名をＤＮＳサーバによりＩＰアドレスに変換し、そのＩＰアドレスに基づいて外部ウェブサイトへのＴＣＰセッションの接続を行うこととしているが、追加で、そのＩＰアドレスをＬＢＯ経路として登録してもよい。
【0037】
以上、端末４１からプロキシサーバ４４に送信されるパケットをルータ４２が覗き見することにより、ＬＢＯを行うか否か判定する方法について説明した。
以下では、図６のステップＳ６０８にてルータ４２により行われる、端末４１とプロキシサーバ４４との間のＴＣＰセッションと、ルータ４２と外部ウェブサイト４５との間のＴＣＰセッションとの変換の詳細について説明する。
以下では、図６のステップＳ６０８にてルータ４２により行われる、端末４１とプロキシサーバ４４との間のＴＣＰセッションと、ルータ４２と外部ウェブサイト４５との間のＴＣＰセッションとの変換の詳細について説明する。
【0038】
図８～図１０は、三枚の図で一連の処理の流れを示しており、図６の処理の詳細を示す図である。
ステップＳ８０１：端末４１は、プロキシサーバ４４へＳＹＮパケットを送信する。
ステップＳ８０２：プロキシサーバ４４は、端末４１へＳＹＮ／ＡＣＫパケットを送信する。
ステップＳ８０３：端末４１は、プロキシサーバ４４へＡＣＫパケットを送信する。
ステップＳ８０４：ルータ４２は、ステップＳ８０１～ステップＳ８０３の間に送信されるパケットを覗き見して、端末４１とプロキシサーバ４４間のＴＣＰセッション（以下、「ＴＣＰセッション１」という。）のセッション情報を取得する。
ステップＳ８０１：端末４１は、プロキシサーバ４４へＳＹＮパケットを送信する。
ステップＳ８０２：プロキシサーバ４４は、端末４１へＳＹＮ／ＡＣＫパケットを送信する。
ステップＳ８０３：端末４１は、プロキシサーバ４４へＡＣＫパケットを送信する。
ステップＳ８０４：ルータ４２は、ステップＳ８０１～ステップＳ８０３の間に送信されるパケットを覗き見して、端末４１とプロキシサーバ４４間のＴＣＰセッション（以下、「ＴＣＰセッション１」という。）のセッション情報を取得する。
【0039】
ステップＳ８０５：端末４１が、プロキシサーバ４４へＣＯＮＮＥＣＴメソッドを送信する。
ステップＳ８０６：ルータ４２は、コントロールプレーン４２２でＣＯＮＮＥＣＴメソッドを覗き見して、その結果、ＬＢＯを行うべきであると判断する。
ステップＳ８０７：ルータ４２は、ＤＮＳサーバ４３へ照会する。
ステップＳ８０８：ＤＮＳサーバ４３は、ルータ４２へ外部ウェブサイト４５のＩＰアドレスを返す。
ステップＳ８０６：ルータ４２は、コントロールプレーン４２２でＣＯＮＮＥＣＴメソッドを覗き見して、その結果、ＬＢＯを行うべきであると判断する。
ステップＳ８０７：ルータ４２は、ＤＮＳサーバ４３へ照会する。
ステップＳ８０８：ＤＮＳサーバ４３は、ルータ４２へ外部ウェブサイト４５のＩＰアドレスを返す。
【0040】
ステップＳ８０９：プロキシサーバ４４は、端末４１宛てのＣＯＮＮＥＣＴ Ｅｓｔａｂを送信する。
ステップＳ８１０：ルータ４２は、端末４１宛てのＣＯＮＮＥＣＴ Ｅｓｔａｂを受信し、端末には送信せずに、端末４１宛てのＣＯＮＮＥＣＴ Ｅｓｔａｂを保持する。
ステップＳ８１０：ルータ４２は、端末４１宛てのＣＯＮＮＥＣＴ Ｅｓｔａｂを受信し、端末には送信せずに、端末４１宛てのＣＯＮＮＥＣＴ Ｅｓｔａｂを保持する。
【0041】
図９では、次の動作を行う。
ステップＳ９０１：ルータ４２は、コントロールプレーン４２２で、外部ウェブサイト４５へＳＹＮパケットを送る。
ステップＳ９０２：外部ウェブサイト４５は、ルータ４２へＳＹＮ／ＡＣＫパケットを送信する。
ステップＳ９０３：ルータ４２は、外部ウェブサイト４５へＡＣＫパケットを送る。
ステップＳ９０１：ルータ４２は、コントロールプレーン４２２で、外部ウェブサイト４５へＳＹＮパケットを送る。
ステップＳ９０２：外部ウェブサイト４５は、ルータ４２へＳＹＮ／ＡＣＫパケットを送信する。
ステップＳ９０３：ルータ４２は、外部ウェブサイト４５へＡＣＫパケットを送る。
【0042】
ステップＳ９０４：ルータ４２は、ステップＳ９０１～Ｓ９０３により、外部ウェブサイト４５との間にＴＣＰセッション（以下、このＴＣＰセションを「ＴＣＰセッション２」という。）を確立した。
ステップＳ９０５：ルータ４２は、ＴＣＰセッション１とＴＣＰセッション２との変換テーブル（９７０と９８０）を作成する。
ステップＳ９０６：ルータ４２は、ＴＣＰセッション１とＴＣＰセッション２との変換テーブル（９７０と９８０）を、データプレーン４２１に登録する。
ステップＳ９０５：ルータ４２は、ＴＣＰセッション１とＴＣＰセッション２との変換テーブル（９７０と９８０）を作成する。
ステップＳ９０６：ルータ４２は、ＴＣＰセッション１とＴＣＰセッション２との変換テーブル（９７０と９８０）を、データプレーン４２１に登録する。
【0043】
ＴＣＰセッション１において端末４１が送信するパケットの送信元欄には、端末４１のＩＰアドレスとＰＯＲＴ番号が格納されている。これを、ルータ４２は、ＴＣＰセッション２では、ルータ４２のＩＰアドレスとＰＯＲＴ番号に書き換える。また、ＴＣＰセッション１において端末４１が送信するパケットの宛先欄には、プロキシサーバ４４のＩＰアドレスとＰＯＲＴ番号が格納されている。これを、ルータ４２は、ＴＣＰセッション２では、外部ウェブサイト４５のＩＰアドレスとＰＯＲＴ番号に書き換える。
逆方向の外部ウェブサイト４５からルータ４２宛てのパケットも、同様に、データプレーン４２１においてＩＰアドレスとＰＯＲＴ番号の書き換えを行う。
逆方向の外部ウェブサイト４５からルータ４２宛てのパケットも、同様に、データプレーン４２１においてＩＰアドレスとＰＯＲＴ番号の書き換えを行う。
【0044】
ステップＳ９０７：ルータ４２は、ステップＳ８１０において保持した端末４１宛てのＣＯＮＮＥＣＴ Ｅｓｔａｂを、端末４１へ転送する。
ステップＳ９０８：ルータ４２は、プロキシサーバ４４との間のＴＣＰセッション１を切断して、リソースを解放する。
ステップＳ９０８：ルータ４２は、プロキシサーバ４４との間のＴＣＰセッション１を切断して、リソースを解放する。
【0045】
図１０では、次の動作を行う。
ステップＳ１００１：端末４１は、ＣＬＩＥＮＴ Ｈｅｌｌｏを送信する。
ステップＳ１００２：ルータ４２は、データプレーン４２１で、ステップＳ９０６で説明したＴＣＰセッション１とＴＣＰセッション２間のＩＰアドレスとＰＯＲＴ番号の書き換えを行う。
ステップＳ１００１：端末４１は、ＣＬＩＥＮＴ Ｈｅｌｌｏを送信する。
ステップＳ１００２：ルータ４２は、データプレーン４２１で、ステップＳ９０６で説明したＴＣＰセッション１とＴＣＰセッション２間のＩＰアドレスとＰＯＲＴ番号の書き換えを行う。
【0046】
図８～図１０で説明した処理の結果、ルータ４２では、ＴＣＰセッションの変換を行うが、ＴＣＰセッションを管理していない。このため、ルータ４２では、プロトコル処理を行う必要がない。
また、ルータ４２では、データプレーン４２１でＴＣＰセッションの変換を行うので、コントロールプレーン４２２でＴＣＰセッションを終端する方式と比べると性能面で有利である。
また、ルータ４２では、データプレーン４２１でＴＣＰセッションの変換を行うので、コントロールプレーン４２２でＴＣＰセッションを終端する方式と比べると性能面で有利である。
【0047】
以上の説明において、図８～図１０を用いて、ＬＢＯを行う場合のＩＰアドレスとＰＯＲＴ番号の書き換えについて説明してきた。
しかし、ＬＢＯを行う場合には、ＩＰアドレスとＰＯＲＴ番号の他に、シーケンス番号及び確認応答番号（以下では「Ａｃｋ番号」という。）の書き換えを行うことも必要である。以下、説明する。
しかし、ＬＢＯを行う場合には、ＩＰアドレスとＰＯＲＴ番号の他に、シーケンス番号及び確認応答番号（以下では「Ａｃｋ番号」という。）の書き換えを行うことも必要である。以下、説明する。
【0048】
図１１、図１２を使用して、ＬＢＯを行う場合のシーケンス番号及び確認応答番号（以下では「Ａｃｋ番号」という。）の書き換えについて説明する。
ＴＣＰヘッダには、シーケンス番号及びＡｃｋ番号のフィールドがある。
図１１のステップＳ１１０１からＳ１１０３までは、よく知られた３ウェイハンドシェイクの手順であるから説明を省略する。ステップＳ１１０４において、端末４１は１２０バイトのデータを送信する。
ＴＣＰヘッダには、シーケンス番号及びＡｃｋ番号のフィールドがある。
図１１のステップＳ１１０１からＳ１１０３までは、よく知られた３ウェイハンドシェイクの手順であるから説明を省略する。ステップＳ１１０４において、端末４１は１２０バイトのデータを送信する。
【0049】
ステップＳ１１０５では、プロキシサーバ４４は、「相手から受信したＡｃｋ番号（２０００１）」をシーケンス番号とする。ステップＳ１１０５では、プロキシサーバ４４は、「相手から受信したシーケンス番号（１０００１）」に「受信したデータサイズの値（１２０）」を加えた「１０１２１」を、Ａｃｋ番号とする。
【0050】
ステップＳ１１０６で、ルータ４２は、外部ウェブサイト４５との間で３ウェイハンドシェイクを開始する。ステップＳ１１０６～Ｓ１１０８の３ウェイハンドシェイクは、ステップＳ１１０５までの通信とは別に行われるから、ステップＳ１１０５のシーケンス番号及びＡｃｋ番号と、ステップＳ１１０８のシーケンス番号及びＡｃｋ番号との間には、関連性がない。したがって、例えば、仮に、ステップＳ１１０９の後に、端末４１が送信するパケットを、そのまま外部ウェブサイト４５に届けると、外部ウェブサイト４５は、ＴＣＰの規則に従っていないシーケンス番号及びＡｃｋ番号を含むパケットを受信することになる。
【0051】
よって、図１１のＡの時点において、端末４１とプロキシサーバ４４間の通信と、ルータ４２と外部ウェブサイト４５間の通信との、シーケンス番号の差分及びＡｃｋ番号の差分をルータ４２に登録しておく。そして、以後の通信において、ルータ４２が、シーケンス番号の書き換え及びＡｃｋ番号の書き換えを行うこととする。
【0052】
ステップＳ１１０９の後に端末４１が送信する際には、端末４１は、「相手から受信したＡｃｋ番号（１０１２１）」をシーケンス番号とする。また、端末４１は、「相手から受信したシーケンス番号（２０００１）」に「受信したデータサイズの値（３９）」を加えた「２００４０」を、Ａｃｋ番号とする。図１１の左下隅にこの内容を記載してある。
【0053】
ルータ４２は、図１１の左下隅に記載した内容を把握しているので、図１１の左下隅に記載した内容と、ステップＳ１１０８のシーケンス番号及びＡｃｋ番号との差分を取って、差分テーブル１１７０を作成する。具体的には、ステップＳ１１０８のシーケンス番号（３０００１）と図１１の左下隅のシーケンス番号（１０１２１）の差分（１９８８０）が、「上りのシーケンス番号の差分」となる。また、ステップＳ１１０８のＡｃｋ番号（４０００１）と図１１の左下隅のＡｃｋ番号（２００４０）の差分（１９９６１）が、「上りのＡｃｋ番号の差分」となる。
【0054】
図１２の図のステップＳ１２０１において、端末４１が５１７バイトのデータを送信する際には、ステップＳ１２０２において、ルータ４２が、シーケン番号（１０１２１）に差分の「１９８８０」を加える。また、ルータ４２が、Ａｃｋ番号（２００４０）に差分の「１９９６１」を加える。このようにして、ステップＳ１２０３において、外部ウェブサイト４５は、ＴＣＰの規則に従ったシーケンス番号及びＡｃｋ番号を含むパケットを受信する。
【0055】
図１２のステップＳ１２０４では、外部ウェブサイト４５は、「相手から受信したＡｃｋ番号（４０００１）」をシーケンス番号とする。また、外部ウェブサイト４５は、「相手から受信したシーケンス番号（３０００１）」に「受信したデータサイズの値（５１７）」を加えた「３０５１８」を、Ａｃｋ番号とする。
【0056】
ＴＣＰのシーケンス番号とＡｃｋ番号に関する規則により、下りのシーケンス番号の差分は、上りのＡｃｋ番号の差分に等しい。また、下りのＡｃｋ番号の差分は、上りのシーケンス番号の差分に等しい。
【0057】
よって、ステップＳ１２０５において、ルータ４２は、ステップＳ１２０４のシーケンス番号（４０００１）から上りのＡｃｋ番号の差分（１９９６１）を減じた「２００４０」を書き換え後のシーケンス番号とする。
また、ステップＳ１２０５において、ルータ４２は、ステップＳ１２０４のＡｃｋ番号（３０５１８）から上りのシーケンス番号の差分（１９８８０）を減じた「１０６３８」を書き換え後のシーケンス番号とする。
また、ステップＳ１２０５において、ルータ４２は、ステップＳ１２０４のＡｃｋ番号（３０５１８）から上りのシーケンス番号の差分（１９８８０）を減じた「１０６３８」を書き換え後のシーケンス番号とする。
【0058】
仮に、プロキシサーバ４４が、ステップＳ１２０１のパケットを受信した場合には、プロキシサーバ４４は、以下の動作を行う。プロキシサーバ４４は、「相手から受信したＡｃｋ番号（２００４０）」をシーケンス番号とする。また、プロキシサーバ４４は、「相手から受信したシーケンス番号（１０１２１）」に「受信したデータサイズの値（５１７）」を加えた「１０６３８」を、Ａｃｋ番号とする。以上のシーケンス番号とＡｃｋ番号は、ステップＳ１２０６のシーケンス番号とＡｃｋ番号と同じである。したがって、本発明の実施形態により、端末４１が、ＴＣＰの規則に従ったシーケンス番号及びＡｃｋ番号を含むパケットを受信することを確認できる。
【0059】
ところで、ＴＣＰヘッダには、オプションというフィールドが用意されている。このオプションというフィールドは、ＴＣＰ通信の性能を向上させるために種々の使い方がある。次に、オプション番号とともに、オプションの種類の一部を拳げる。
０．End Of Option List
１．No Operation
２．MSS（Maximum Segment Size：最大セグメントサイズ）
３．Window Scale
４．SACK（Selective ACKnowledge）Permitted
５．SACK
８．Time Stamp
０．End Of Option List
１．No Operation
２．MSS（Maximum Segment Size：最大セグメントサイズ）
３．Window Scale
４．SACK（Selective ACKnowledge）Permitted
５．SACK
８．Time Stamp
【0060】
オプションフィールドは、複数のオプションのために使用することもできる。以下、タイムタンプのオプションが有効な場合と、ＭＳＳのオプションが有効な場合と、ウインドウスケールのオプションが有効な場合のそれぞれについて、ＴＣＰセッション１とＴＣＰセッション２の間の変換処理について説明する。
【0061】
図１３は、オプションフィールドをタイムタンプとして用いた場合について、ＴＣＰセッション１とＴＣＰセッション２の間の変換処理について説明する図である。
パケットが遅延した場合、同じシーケンス番号を持つ前のパケットが存在することがある。ＴＣＰには、ＰＡＷＳ（Protection Against Wrapped Sequence number（重複したシーケンス番号に対する保護））という機能があり、受信側は、同じシーケンス番号を持つパケットが２つ存在する場合、タイムスタンプを見て、古いタイムスタンプを持つパケットを破棄する。したがって、タイムスタンプについては正しく受信側に伝えられる必要がある。
パケットが遅延した場合、同じシーケンス番号を持つ前のパケットが存在することがある。ＴＣＰには、ＰＡＷＳ（Protection Against Wrapped Sequence number（重複したシーケンス番号に対する保護））という機能があり、受信側は、同じシーケンス番号を持つパケットが２つ存在する場合、タイムスタンプを見て、古いタイムスタンプを持つパケットを破棄する。したがって、タイムスタンプについては正しく受信側に伝えられる必要がある。
【0062】
ステップＳ１３０１：端末４１とプロキシサーバ４４は、ＴＣＰセッション１のＳＹＮ、ＳＹＮ／ＡＣＫでタイムスタンプを通知する。
ステップＳ１３０２：ルータ４２は、端末４１とプロキシサーバ４４間のパケットを覗き見して、端末４１のタイムスタンプ情報をルータ４２に反映させておく。この反映処理により、端末４１のタイムスタンプとルータ４２のタイムスタンプの差分を零にしておくことができる。ルータ４２は、この端末４１のタイムスタンプとルータ４２のタイムスタンプの差分が零であることを登録しておく。
ステップＳ１３０２：ルータ４２は、端末４１とプロキシサーバ４４間のパケットを覗き見して、端末４１のタイムスタンプ情報をルータ４２に反映させておく。この反映処理により、端末４１のタイムスタンプとルータ４２のタイムスタンプの差分を零にしておくことができる。ルータ４２は、この端末４１のタイムスタンプとルータ４２のタイムスタンプの差分が零であることを登録しておく。
【0063】
ステップＳ１３０３：ルータ４２と外部ウェブサイト４５は、ＴＣＰセッション２のＳＹＮ、ＳＹＮ／ＡＣＫでタイムスタンプを通知する。これにより、ルータ４２は、外部ウェブサイト４５のタイムスタンプとプロキシサーバ４４のタイムスタンプとの差分を把握することができる。ルータ４２は、この外部ウェブサイト４５のタイムスタンプとプロキシサーバ４４のタイムスタンプとの差分を登録しておく。ここでは、仮に、この外部ウェブサイト４５のタイムスタンプとプロキシサーバ４４のタイムスタンプとの差分が「１００」であったとする。
【0064】
ステップＳ１３０４：ルータ４２は、ＴＣＰセッション１とＴＣＰセッション２との間の変換テーブル（１３７０と１３８０）を作成する。
ステップＳ１３０５：ルータ４２は、ＴＣＰセッション１とＴＣＰセッション２との間の変換テーブル（１３７０と１３８０）をデータプレーン４２１に登録する。
ステップＳ１３０５：ルータ４２は、ＴＣＰセッション１とＴＣＰセッション２との間の変換テーブル（１３７０と１３８０）をデータプレーン４２１に登録する。
【0065】
ステップＳ１３０６：ルータ４２のデータプレーン４２１は、外部ウェブサイト４５からのＴＣＰパケットのタイムスタンプ（＝２０００）を、登録しておいた外部ウェブサイト４５のタイムスタンプとプロキシサーバ４４のタイムスタンプとの差分（１００）により更新する。つまり、外部ウェブサイト４５のタイムスタンプ（＝２０００）を、プロキシサーバ４４のタイムスタンプ（＝２１００）に書き換えるわけである。
ステップＳ１３０７：ルータ４２のデータプレーン４２１は、更新後のタイムスタンプ＝２１００のパケットを端末４１へ送信する。
ステップＳ１３０７：ルータ４２のデータプレーン４２１は、更新後のタイムスタンプ＝２１００のパケットを端末４１へ送信する。
【0066】
ステップＳ１３０８：ルータ４２のデータプレーン４２１は、端末４１からのＴＣＰパケットのタイムスタンプ（＝１００）を、登録しておいた端末４１のタイムスタンプとルータ４２のタイムスタンプの差分（＝０）により更新する。なお、「更新する」といっても、差分が零であるから、実際には更新する処理を省くことができる。又は、別の方法として、ステップＳ１３０２の反映処理を行わず、零でない、端末４１のタイムスタンプとルータ４２のタイムスタンプの差分を登録しておき、ステップＳ１３０８では、更新処理を行うこととしてもよい。
ステップＳ１３０９：ルータ４２のデータプレーン４２１は、更新後のタイムスタンプ＝１００のパケットを外部ウェブサイト４５へ送信する。
これにより、例えばステップＳ１３０６とＳ１３０７では、外部ウェブサイト４５のタイムスタンプを、プロキシサーバ４４のタイムスタンプに変換することができる。
ステップＳ１３０９：ルータ４２のデータプレーン４２１は、更新後のタイムスタンプ＝１００のパケットを外部ウェブサイト４５へ送信する。
これにより、例えばステップＳ１３０６とＳ１３０７では、外部ウェブサイト４５のタイムスタンプを、プロキシサーバ４４のタイムスタンプに変換することができる。
【0067】
図１４は、オプションフィールドをＭＳＳとして用いた場合について、ＭＳＳ情報の通知を説明する図である。ＭＳＳ（Maximum Segment Size：最大セグメントサイズ）は、１パケット当たりどれくらいのサイズなら受け入れられるかを表す。
ステップＳ１４０１：端末４１とプロキシサーバ４４は、ＴＣＰセッション１のＳＹＮ、ＳＹＮ／ＡＣＫでＭＳＳを通知する。
ステップＳ１４０２：ルータ４２は、端末４１とプロキシサーバ４４間のパケットを覗き見して、端末４１のＭＳＳ情報をルータ４２に反映させておく。この反映処理により、ルータ４２は端末４１のＭＳＳを登録しておく。
ステップＳ１４０１：端末４１とプロキシサーバ４４は、ＴＣＰセッション１のＳＹＮ、ＳＹＮ／ＡＣＫでＭＳＳを通知する。
ステップＳ１４０２：ルータ４２は、端末４１とプロキシサーバ４４間のパケットを覗き見して、端末４１のＭＳＳ情報をルータ４２に反映させておく。この反映処理により、ルータ４２は端末４１のＭＳＳを登録しておく。
【0068】
ステップＳ１４０３：ルータ４２と外部ウェブサイト４５は、ＴＣＰセッション２のＳＹＮ、ＳＹＮ／ＡＣＫでＭＳＳを通知する。このとき、ルータ４２は、外部ウェブサイト４５に端末４１のＭＳＳを通知する。
ステップＳ１４０４：外部ウェブサイト４５から送信されるパケットの大きさは、端末４１のＭＳＳよりも小さいから、端末４１が受信できないという現象は起きない。
ステップＳ１４０４：外部ウェブサイト４５から送信されるパケットの大きさは、端末４１のＭＳＳよりも小さいから、端末４１が受信できないという現象は起きない。
【0069】
図１５は、オプションフィールドをウインドウスケールとして用いた場合について、ＴＣＰセッション１とＴＣＰセッション２の間の変換処理について説明する図である。
ＴＣＰヘッダには、オプションとしてではなく、元々、ウインドウサイズというフィールドが設けられている。ウインドウサイズは、ＡＣＫ無しにどのくらいのＴＣＰペイロードを受信できるかを表す。オプションフィールドをウインドウスケールとして用いた場合には、ウインドウスケールとして通知した値の数だけ、ウインドウサイズをビットシフトすることができる。
ＴＣＰヘッダには、オプションとしてではなく、元々、ウインドウサイズというフィールドが設けられている。ウインドウサイズは、ＡＣＫ無しにどのくらいのＴＣＰペイロードを受信できるかを表す。オプションフィールドをウインドウスケールとして用いた場合には、ウインドウスケールとして通知した値の数だけ、ウインドウサイズをビットシフトすることができる。
【0070】
ステップＳ１５０１：端末４１とプロキシサーバ４４は、ＴＣＰセッション１のＳＹＮ、ＳＹＮ／ＡＣＫでウインドウスケールを通知する。
ステップＳ１５０２：ルータ４２は、端末４１とプロキシサーバ４４間のパケットを覗き見して、端末４１のウインドウスケールをルータ４２に反映させておく。この反映処理により、端末４１のウインドウスケールとルータ４２のウインドウスケールの差分を零にしておくことができる。ルータ４２は、この端末４１のウインドウスケールとルータ４２のウインドウスケールの差分が零であることを登録しておく。
ステップＳ１５０２：ルータ４２は、端末４１とプロキシサーバ４４間のパケットを覗き見して、端末４１のウインドウスケールをルータ４２に反映させておく。この反映処理により、端末４１のウインドウスケールとルータ４２のウインドウスケールの差分を零にしておくことができる。ルータ４２は、この端末４１のウインドウスケールとルータ４２のウインドウスケールの差分が零であることを登録しておく。
【0071】
ステップＳ１５０３：ルータ４２と外部ウェブサイト４５は、ＴＣＰセッション２のＳＹＮ、ＳＹＮ／ＡＣＫでウインドウスケールを通知する。これにより、ルータ４２は、外部ウェブサイト４５のウインドウスケールとプロキシサーバ４４のウインドウスケールとの差分を把握することができる。ルータ４２は、この外部ウェブサイト４５のウインドウスケールとプロキシサーバ４４のウインドウスケールとの差分を登録しておく。ここでは、仮に、外部ウェブサイト４５のウインドウスケールが「６」であり、プロキシサーバ４４のウインドウスケールが「２」であったとする。この時、ルータ４２は、それらの差分「４」を登録しておく。
【0072】
ステップＳ１５０４：ルータ４２は、ＴＣＰセッション１とＴＣＰセッション２との間の変換テーブル（１５７０と１５８０）を作成する。
ステップＳ１５０５：ルータ４２は、ＴＣＰセッション１とＴＣＰセッション２との間の変換テーブル（１５７０と１５８０）をデータプレーン４２１に登録する。
ステップＳ１５０５：ルータ４２は、ＴＣＰセッション１とＴＣＰセッション２との間の変換テーブル（１５７０と１５８０）をデータプレーン４２１に登録する。
【0073】
ステップＳ１５０６：ルータ４２のデータプレーン４２１は、外部ウェブサイト４５からのＴＣＰパケットのウインドウサイズ（＝２６１）を、登録しておいた外部ウェブサイト４５のウインドウスケールとプロキシサーバ４４のウインドウスケールとの差分（４：２の４乗＝１６）により更新する。
ステップＳ１５０７：ルータ４２のデータプレーン４２１は、更新後のウインドウサイズ＝４１７６のパケットを端末４１へ送信する。
ステップＳ１５０７：ルータ４２のデータプレーン４２１は、更新後のウインドウサイズ＝４１７６のパケットを端末４１へ送信する。
【0074】
Ｓ１５０１でのやり取りにより、端末４１は、通信相手のウインドウスケールは「２」であると認識している。しかし、端末４１が認識している通信相手のウインドウスケール「２」と、端末４１が送信するデータを受け取る外部ウェブサイト４５のウインドウスケール「６」との間には、「４」の差分が存在する。よって、ウインドウサイズの方を差分により更新しておけば、外部ウェブサイト４５がＡＣＫ無しに受け取ることができる正しいデータ量が、端末４１に伝わるわけである。
【0075】
ステップＳ１５０８：ルータ４２のデータプレーン４２１は、端末４１からのＴＣＰパケットのウインドウサイズ（＝３２７６８）を、登録しておいた端末４１のタイムスタンプとルータ４２のタイムスタンプの差分（＝０）により更新する。
ステップＳ１５０９：ルータ４２のデータプレーン４２１は、更新後のタイムスタンプ＝３２７６８のパケットを外部ウェブサイト４５へ送信する。
ステップＳ１５０９：ルータ４２のデータプレーン４２１は、更新後のタイムスタンプ＝３２７６８のパケットを外部ウェブサイト４５へ送信する。
【0076】
このように構成することにより、ステップＳ１５０６とＳ１５０７では、外部ウェブサイト４５のウインドウサイズを、適切な値に修正して端末４１へ伝えることができる。
【0077】
ＴＣＰヘッダには、チェックサムのフィールドがある。このＴＣＰヘッダのチェックサムの値は、ＴＣＰヘッダの他の部分とデータ部分の値によって決まる。したがって、上述のように、送信元ＰＯＲＴ番号、宛先ＰＯＲＴ番号、シーケンス番号、Ａｃｋ番号、ウインドウサイズ、オプションフィールド等を書き換えた際には、連動してＴＣＰヘッダのチェックサムも更新しておく必要がある。
また、ＩＰヘッダにも、チェックサムのフィールドがある。このＩＰヘッダのチェックサムの値は、ＩＰヘッダの他の部分の値によって決まる。したがって、上述のように、送信元ＩＰアドレス、宛先ＩＰアドレスを書き換えた際には、連動してＩＰヘッダのチェックサムも更新しておく必要がある。
また、ＩＰヘッダにも、チェックサムのフィールドがある。このＩＰヘッダのチェックサムの値は、ＩＰヘッダの他の部分の値によって決まる。したがって、上述のように、送信元ＩＰアドレス、宛先ＩＰアドレスを書き換えた際には、連動してＩＰヘッダのチェックサムも更新しておく必要がある。
【0078】
図１６は、本発明の実施形態おけるルータ４２の内部構造を説明する図である。中継装置としてのルータ４２は、検出部１６０１、判定部１６０２、及び処理部１６０３を備える。
検出部１６０１は、端末４１がプロキシサーバ４４を介して通信する環境において、通過する通信を参照して接続先のドメイン名を検出する。通過する通信は、端末４１がプロキシサーバ４４へ送信するＣＯＮＮＥＣＴメソッドであり、通過する通信を参照することはこのＣＯＮＮＥＣＴメソッドを覗き見することを意味する。
判定部１６０２は、ＬＢＯプロファイル３７を参照し、検出部１６０１が検出したドメイン名に基づいて特定の処理としてＬＢＯを行うか否かを判定する。
処理部１６０３は、ＬＢＯの処理を実行する。
検出部１６０１は、端末４１がプロキシサーバ４４を介して通信する環境において、通過する通信を参照して接続先のドメイン名を検出する。通過する通信は、端末４１がプロキシサーバ４４へ送信するＣＯＮＮＥＣＴメソッドであり、通過する通信を参照することはこのＣＯＮＮＥＣＴメソッドを覗き見することを意味する。
判定部１６０２は、ＬＢＯプロファイル３７を参照し、検出部１６０１が検出したドメイン名に基づいて特定の処理としてＬＢＯを行うか否かを判定する。
処理部１６０３は、ＬＢＯの処理を実行する。
【0079】
図１７は、本社及び支社の端末がＬＢＯを行わない場合の通信経路を説明する図である。図１７の支社は、図１の拠点１３～１４に相当する。プロキシサーバ１７０６は、本社側に設置されている。
支社の端末Ａは、ＶＰＮ（Virtual Private Network）を介して、一旦、本社側に接続される。
支社の端末がＬＢＯを行わない場合は、端末Ａ１７０１⇒ルータＡ１７０２⇒ＶＰＮ１７０３⇒ルータＢ１７０４⇒プロキシサーバ１７０６⇒インターネット１７０７⇒ＤＮＳサーバ１７０８又は外部ウェブサイト１７０９の経路で通信する。
本社の端末がＬＢＯを行わない場合は、端末Ｂ１７０５⇒ルータＢ１７０４⇒プロキシサーバ１７０６⇒インターネット１７０７⇒ＤＮＳサーバ１７０８又は外部ウェブサイト１７０９の経路で通信する。
支社の端末Ａは、ＶＰＮ（Virtual Private Network）を介して、一旦、本社側に接続される。
支社の端末がＬＢＯを行わない場合は、端末Ａ１７０１⇒ルータＡ１７０２⇒ＶＰＮ１７０３⇒ルータＢ１７０４⇒プロキシサーバ１７０６⇒インターネット１７０７⇒ＤＮＳサーバ１７０８又は外部ウェブサイト１７０９の経路で通信する。
本社の端末がＬＢＯを行わない場合は、端末Ｂ１７０５⇒ルータＢ１７０４⇒プロキシサーバ１７０６⇒インターネット１７０７⇒ＤＮＳサーバ１７０８又は外部ウェブサイト１７０９の経路で通信する。
【0080】
図１８は、本社及び支社の端末がＬＢＯを行う場合の通信経路を説明する図である。
支社の端末がＬＢＯを行う場合は、ＶＰＮ１７０３及びプロキシサーバ１７０６を使用しない。支社の端末Ａは、端末Ａ１７０１⇒ルータＡ１７０２⇒インターネット１７０７⇒ＤＮＳサーバ１７０８又は外部ウェブサイト１７０９の経路で通信する。
本社の端末がＬＢＯを行う場合は、プロキシサーバ１７０６を使用しない。本社の端末Ｂは、端末Ｂ１７０５⇒ルータＢ１７０４⇒インターネット１７０７⇒ＤＮＳサーバ１７０８又は外部ウェブサイト１７０９の経路で通信する。
支社の端末がＬＢＯを行う場合は、ＶＰＮ１７０３及びプロキシサーバ１７０６を使用しない。支社の端末Ａは、端末Ａ１７０１⇒ルータＡ１７０２⇒インターネット１７０７⇒ＤＮＳサーバ１７０８又は外部ウェブサイト１７０９の経路で通信する。
本社の端末がＬＢＯを行う場合は、プロキシサーバ１７０６を使用しない。本社の端末Ｂは、端末Ｂ１７０５⇒ルータＢ１７０４⇒インターネット１７０７⇒ＤＮＳサーバ１７０８又は外部ウェブサイト１７０９の経路で通信する。
【0081】
図１８では、支社の端末ＡがＬＢＯを行う場合に、ルータＡ１７０２においてＬＢＯを行った。しかし、支社側のルータＡ１７０２をＬＢＯ非対応のルータとし、本社側のルータＢ１７０４においてＬＢＯを行わせる方式を採用することもできる。この方式でＬＢＯを行う場合には、支社の端末Ａは、端末Ａ１７０１⇒ルータＡ１７０２⇒ＶＰＮ１７０３⇒ルータＢ１７０４⇒インターネット１７０７⇒ＤＮＳサーバ１７０８又は外部ウェブサイト１７０９の経路で通信する。
このように構成すれば、複数の支社側のルータはＬＢＯ非対応とし、本社側の１台のルータのみをＬＢＯ対応とすればよいので、経費削減に繋がる。
このように構成すれば、複数の支社側のルータはＬＢＯ非対応とし、本社側の１台のルータのみをＬＢＯ対応とすればよいので、経費削減に繋がる。
【0082】
以上、本実施形態について説明したが、本発明はかかる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。
【符号の説明】
【0083】
１１ 企業外のネットワーク
１２ データセンター
１３～１５ 拠点のコンピュータ
３１ ＤＮＳサーバ
３２ ルータ
３３ インターネットゲートウェイ
３４ 閉域網
３５ インターネット網
３６ 端末
３７ ＬＢＯプロファイル
４１ 端末
４２ ルータ
４３ ＤＮＳサーバ
４４ プロキシサーバ
４５ 外部ウェブサイト
４２１ データプレーン
４２２ コントロールプレーン
１１７０ 差分テーブル
１６０１ 検出部
１６０２ 判定部
１６０３ 処理部
１７０１ 端末Ａ
１７０２ ルータＡ
１７０３ ＶＰＮ
１７０４ ルータＢ
１７０５ 端末Ｂ
１７０６ プロキシサーバ
１７０７ インターネット網
１７０８ ＤＮＳサーバ
１７０９ 外部ウェブサイト
１２ データセンター
１３～１５ 拠点のコンピュータ
３１ ＤＮＳサーバ
３２ ルータ
３３ インターネットゲートウェイ
３４ 閉域網
３５ インターネット網
３６ 端末
３７ ＬＢＯプロファイル
４１ 端末
４２ ルータ
４３ ＤＮＳサーバ
４４ プロキシサーバ
４５ 外部ウェブサイト
４２１ データプレーン
４２２ コントロールプレーン
１１７０ 差分テーブル
１６０１ 検出部
１６０２ 判定部
１６０３ 処理部
１７０１ 端末Ａ
１７０２ ルータＡ
１７０３ ＶＰＮ
１７０４ ルータＢ
１７０５ 端末Ｂ
１７０６ プロキシサーバ
１７０７ インターネット網
１７０８ ＤＮＳサーバ
１７０９ 外部ウェブサイト
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】
【図16】
【図17】
【図18】
【手続補正書】
【提出日】2022-08-24
【手続補正1】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項1】
端末がプロキシサーバを介して通信する環境において、通過する通信を覗き見して、接続先のドメイン名を検出する検出部と、
前記検出したドメイン名と予め保持しているドメイン名リストとを比較し、比較した結果に基づいて、ローカルブレイクアウトを行うか否か判定する判定部と、
ローカルブレイクアウトの処理を実行する処理部とを備えることを特徴とする中継装置であって、
前記通過する通信は、前記端末が前記プロキシサーバへ送信するＣＯＮＮＥＣＴメソッド、前記端末が前記プロキシサーバへ送信するＧＥＴメソッド、又は前記端末が外部ウェブサイトへ送信するＳＳＬ／ＴＬＳのＣｌｉｅｎｔ Ｈｅｌｌｏである、中継装置。
前記検出したドメイン名と予め保持しているドメイン名リストとを比較し、比較した結果に基づいて、ローカルブレイクアウトを行うか否か判定する判定部と、
ローカルブレイクアウトの処理を実行する処理部とを備えることを特徴とする中継装置であって、
前記通過する通信は、前記端末が前記プロキシサーバへ送信するＣＯＮＮＥＣＴメソッド、前記端末が前記プロキシサーバへ送信するＧＥＴメソッド、又は前記端末が外部ウェブサイトへ送信するＳＳＬ／ＴＬＳのＣｌｉｅｎｔ Ｈｅｌｌｏである、中継装置。
【請求項2】
前記処理部は、前記ローカルブレイクアウトの処理を行う時に、ＴＣＰセッションの接続、又はローカルブレイクアウト経路の登録の処理を行うことを特徴とする請求項１に記載の中継装置。
【請求項3】
前記処理部は、前記ローカルブレイクアウトの処理を行う時に、前記端末が前記プロキシサーバ宛てに送信するパケットの送信元のＩＰアドレス及びＰＯＲＴ番号を前記中継装置のＩＰアドレス及びＰＯＲＴ番号に書き換え、前記パケットの宛先のＩＰアドレス及びＰＯＲＴ番号を前記接続先のＩＰアドレス及びＰＯＲＴ番号に書き換えて、前記接続先へ送信する請求項２に記載の中継装置。
【請求項4】
前記処理部は、前記接続先のタイムスタンプと前記プロキシサーバのタイムスタンプの差分を前記中継装置に登録しておき、前記ローカルブレイクアウト時に前記接続先が送信するパケットのタイムスタンプを前記差分により更新する請求項２に記載の中継装置。
【請求項5】
前記処理部は、前記端末のＭＳＳ情報を前記接続先に通知する請求項２に記載の中継装置。
【請求項6】
前記処理部は、前記接続先のウインドウスケールと前記プロキシサーバのウインドウスケールの差分を前記中継装置に登録しておき、前記ローカルブレイクアウト時に前記接続先が送信するパケットのウインドウサイズを前記差分により更新する請求項２に記載の中継装置。
【請求項7】
前記処理部は、前記ローカルブレイクアウトの処理を行う時に、前記端末と前記プロキシサーバ間の通信におけるシーケンス番号及び確認応答番号と、前記中継装置と前記接続先間の通信におけるシーケンス番号及び確認応答番号の差分を前記中継装置に登録し、その後、前記端末又は前記接続先が送信したパケットのシーケンス番号及び確認応答番号を前記登録した差分に従って書き換える請求項２に記載の中継装置。
【請求項8】
前記処理部は、ＩＰヘッダのチェックサム以外の部分を書き換えた後に、ＩＰヘッダのチェックサムを更新する請求項３に記載の中継装置。
【請求項9】
前記処理部は、ＴＣＰヘッダのチェックサム以外の部分を書き換えた後に、ＴＣＰヘッダのチェックサムを更新する請求項３－７のいずれか一項に記載の中継装置。
【請求項10】
端末がプロキシサーバを介して通信する環境において、中継装置を通過する通信を前記中継装置が覗き見して、接続先のドメイン名を検出し、
前記検出したドメイン名と予め保持しているドメイン名リストとを比較し、比較した結果に基づいて、ローカルブレイクアウトを行うか否か判定するローカルブレイクアウトの転送方法であって、
前記通過する通信は、前記端末が前記プロキシサーバへ送信するＣＯＮＮＥＣＴメソッド、前記端末が前記プロキシサーバへ送信するＧＥＴメソッド、又は前記端末が外部ウェブサイトへ送信するＳＳＬ／ＴＬＳのＣｌｉｅｎｔ Ｈｅｌｌｏである、ローカルブレイクアウトの転送方法。
前記検出したドメイン名と予め保持しているドメイン名リストとを比較し、比較した結果に基づいて、ローカルブレイクアウトを行うか否か判定するローカルブレイクアウトの転送方法であって、
前記通過する通信は、前記端末が前記プロキシサーバへ送信するＣＯＮＮＥＣＴメソッド、前記端末が前記プロキシサーバへ送信するＧＥＴメソッド、又は前記端末が外部ウェブサイトへ送信するＳＳＬ／ＴＬＳのＣｌｉｅｎｔ Ｈｅｌｌｏである、ローカルブレイクアウトの転送方法。