NAT環境に対応したDNS·SDN連携型動的ファイアウォールシステム

摘要

近年，組織外ネットワークから組織内ホストへ不正アクセスが後を絶たず，その対策は急務である．対策の一つとしてファイアウォール製品が広く用いられているが，線密な検査を行うと負荷が高くなり，スループットの低下を招く．これを回避するためには，管理者が信頼できる通信相手とそれ以外の相手を手動で設定する必要がある．我々はこれまでに，問い合わせ元のクライアントに応じて，動的にファイアウォールの検査内容を決定するシステムを提案した．この手法は，通信の殆どが，事前にDNSによる名前解決を行う点に着目し，DNSキャッシュサーバにクライアントのIPアドレスを通知する機構を組み込むことで実現した．しかし，NATルータを用いた環境では，クライアントのIPアドレスがグローバルIP アドレスに変換されて通信を行った場合，検査内容の決定が不可能になるという問題があった．本論文では，DNSキャッシュサーバから通知されるクライアントのIPアドレスを，変換後のグローバルIPアドレスに書換える機能を実装することで，NATルータを用いた環境に対応する手法について述べる．