WO2004071038A1 - ファイアウォール装置 - Google Patents

ファイアウォール装置 Download PDF

Info

Publication number
WO2004071038A1
WO2004071038A1 PCT/JP2004/001124 JP2004001124W WO2004071038A1 WO 2004071038 A1 WO2004071038 A1 WO 2004071038A1 JP 2004001124 W JP2004001124 W JP 2004001124W WO 2004071038 A1 WO2004071038 A1 WO 2004071038A1
Authority
WO
WIPO (PCT)
Prior art keywords
user
filtering
user terminal
firewall
individual
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2004/001124
Other languages
English (en)
French (fr)
Inventor
Kazuhiko Nagata
Taisuke Oka
Ryoichi Suzuki
Takashi Ikegawa
Hiroyuki Ichikawa
Tadashi Ishikawa
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NTT Inc
Original Assignee
Nippon Telegraph and Telephone Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph and Telephone Corp filed Critical Nippon Telegraph and Telephone Corp
Priority to EP04708074A priority Critical patent/EP1592189A4/en
Priority to JP2005504855A priority patent/JP3852017B2/ja
Priority to US10/544,483 priority patent/US7735129B2/en
Publication of WO2004071038A1 publication Critical patent/WO2004071038A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks

Definitions

  • firewall also called FW
  • the security policy is a combination of address; protocol type, port number, direction, pass / fail, or other conditions, and forms one rule.
  • firewalls can be divided into three types according to their installation locations.
  • the source IP address [a. a.a.a] is used as a search key to refer to the distribution management table 201 to search for the virtual firewall ID 202 associated with the source IP address [a.a.a.a].
  • the bucket 22 1 is distributed to the virtual firewall end wall 202.
  • the destination IP address b.b.b.b.b is used as a search key to refer to the distribution management table 201, and the destination IP address A virtual firewall ID 203 associated with b.b.b.b is searched, and the packet 222 is allocated to the virtual firewall 203.
  • This conventional technology is mainly applied to data centers and the like, in which a fixed user ID is used. Therefore, the user ID can be registered in the distribution management table 201 in advance. is there.
  • the user ID (user IP address) is granted only when the connection between the user terminal and the network is established. Specifically, it is provided for the first time when a PPP (Point to Point Protocol) session is established. Also, the user IP address is generally variable.
  • the other is to maintain the security policy 15 outside the firewall 10 and distribute this security policy to multiple firewalls 10 as shown in Figs. 5, 6, and 7. You.
  • Japanese Patent Application Laid-Open No. 2002-54044,077 shows application to terminal-based firewalls.
  • “Distributed Firewal ls” (Nov. 1999, Special Issue on Security, ISSN 1044-63971)) shows its application to CPE-based firewalls.
  • the accommodated network or terminal dynamically connects / disconnects or changes the accommodated NW-based firewall in the NW-based firewall, there is no way to maintain the security policy inside the firewall. It is not useful because the firewall must maintain all the security policies regarding the network or terminal that may be accommodated by the firewall regardless of the connection or disconnection of the network or terminal.
  • Means for holding a user ID to be assigned to the user terminal
  • the search processing time can be prevented from becoming unnecessarily long.
  • the above-mentioned filtering ID is further divided into an individual filtering ID and a common filtering ID, and a filtering policy for each user is described in an individual filtering table, and is shared by a plurality of users. Filtering policies that can be used can be described in the common filtering table.
  • the third object is a firewall device that is installed between a plurality of user terminals and a network and performs packet filtering for a plurality of user terminals.
  • a distribution management table that manages user terminal information, a common filtering table ID, and an individual filtering table ID, a communication method with an authentication server that determines whether a user terminal can be connected, and a common filtering that is linked to the user Means of communication with an identifier management server that manages table IDs and individual filtering table IDs;
  • the filtering device comprises:
  • a connection request to which authentication information including a user name is added is received from a user terminal, the user name is held, and the held user name is notified to an authentication server.
  • the common filtering table ID received from the identifier management server, the individual filtering table ID, and the user terminal information are associated with each other and described in the distribution management table,
  • the firewall device of the present invention divides the security policy into an individual security policy and a common security policy, always keeps the common security policy in the firewall device, and starts the connection of the network or the terminal only with the individual security policy. Since it can be loaded at any time, the amount of security policy to be loaded can be reduced.
  • the firewall device of the present invention can connect the device for distributing the security policy and the device whose identifier is checked to all the firewall devices, and can load the security policy. Even if the network connection is started or disconnected by changing the firewall device that accommodates the terminal, the firewall device can load the security policy appropriately.
  • FIG. 3 is a block diagram showing another example of a conventional firewall device.
  • FIG. 7 is a block diagram showing another example of a conventional firewall device that holds a security policy externally.
  • FIG. 9 is a sequence diagram illustrating an operation of the firewall device according to the embodiment 11.
  • FIG. 13 is a diagram illustrating an example of the distribution management table according to the first to fourth embodiments.
  • FIG. 15 is a sequence diagram illustrating an operation of the firewall device according to the embodiment 15;
  • FIG. 16 is a diagram illustrating an example of the distribution management table according to the first embodiment.
  • FIG. 17 is a block diagram illustrating a schematic configuration of the firewall device according to the embodiment 2-1 of the present invention.
  • FIG. 23 is a diagram illustrating a state in which the IP address of the distribution management table according to the embodiment 2-3 is registered.
  • FIG. 27 is a sequence diagram illustrating an operation of the firewall device according to the second to fifth embodiments.
  • FIG. 39 is a diagram showing details of the distribution management table in the initial state in the firewall device shown in FIG. 34.
  • FIG. 43 is a diagram illustrating an example of a sequence illustrating the operation of the network model in FIG.
  • FIG. 58 is a diagram showing details of the security policy table in the security policy server shown in FIG. 50.
  • FIG. 59 is a diagram showing an example of a sequence showing the operation of the network model in FIG. 50.
  • the terminal 111 of user #a makes a network connection to the internet 110 and then performs IP communication with the terminal 113 of the connection partner.
  • LCP Link Control Protocol
  • the firewall apparatus 1 0 0 extracts the user name # a transmitted from the user terminal 1 1 1, to hold the user name # a (process point 1 5 0).
  • the firewall device 100 exchanges NCP (Network Control Protocol) information between the user terminal 111 and the firewall device 100 (143).
  • NCP Network Control Protocol
  • user IP address Ri feed [a. a. a. a ] to the user terminal 1 1 1, the user terminal 1 1 1 recognizes that the own user IP address power S [a. a. a. a].
  • ⁇ b terminal 1 1 2 is connected to the Internet 1 110 via the network, and then performs IP communication with the connection partner terminal 1 13.
  • the packet transmitted and received by the server is distributed to the virtual firewall 103, and the passing or discarding process is applied according to the filtering rule according to the security policy determined by the user #b.
  • the firewall device 100 sends an authentication error notification 643 to the user terminal 111, and Establishment of PPP The process ends. At this time, the firewall device 100 does not perform any processing on the distribution management table 101.
  • the terminal 111 of the firewall service unregistered user #c connects to the Internet 110 via the network in the example 11-11, and then performs IP communication with the connection partner terminal 113. It is shown. Note that the user #c who is not registered as a firewall service has no user name and virtual firewall registered in the distribution management table 101_3, but has access to the Internet 110 via the terminal 114. The user enjoys the communication service, and the user name and password are registered in the RAD IUS server 130.
  • the firewall apparatus 1000 Upon receiving the notification of the user IP address 142, the firewall apparatus 1000 receives the user IP address [cc.c.] to be assigned to the user terminal described in the notification of the user IP address 142. c. c]. Then, using the user name as a search key, a search is performed for the user name #c in the distribution management table 101-3, but since the user name #c does not exist, the user IP address [c ⁇ c c. c] is not registered in the distribution management table 101-3.
  • the firewall device 100 exchanges NCP information between the user terminal 114 and the firewall device 100 (144), and the user IP address [ c. c. c. c] is sent to the user terminal 114, and the user terminal 114 recognizes that the own user IP address power is S [c. c. c. c].
  • a PPP connection is established between the user terminal and the network. Then, from the user terminal 1 1 4 to the connection partner terminal 1 When the firewall device 100 receives the bucket 12 1 sent to 13, the distribution is managed using [c.c.c.c] described as the source IP address as a search key. As a result of referring to Table 101, it is found that the source IP address is not registered.
  • the virtual firewall to be distributed is described as virtual firewall 104, as shown at the bottom of the distribution management table 101-3 shown in Fig. 11. Therefore, the bucket 122 is allocated to the virtual firewall 104 for the unregistered user (processing point 152).
  • the distribution management table 101 is referred to using the destination user IP address [c.c.c.c] as a search key.
  • the packet 122 is distributed to the virtual firewall 104 for an unregistered user (processing point 1553).
  • a fourth embodiment of the present invention will be described with reference to FIG. 8, FIG. 13 and FIG. In this example, the conditions are the same as in Example 1_3.
  • the terminal 114 of the unregistered user #c of the fire service #c connects to the Internet 110 via the network, and then connects to the terminal 1 1 3 This shows the form in which IP and communication are performed.
  • the firewall service unregistered user #c has no user name and virtual firewall registered in the distribution management table 101-4, but the communication service to the Internet 110 through the terminal 114 is not available.
  • the user name and password are registered in the RAD I US server 130.
  • the firewall apparatus 100 Upon receiving the user IP address notification 144, the firewall apparatus 100 receives the user IP address [c.c.c] to be assigned to the user terminal described in the user IP address notification 142. . c].
  • the firewall device 100 exchanges NCP information between the user terminal 114 and the firewall device 100 (144).
  • ⁇ C. C. C] is sent to the user terminal 114, and the user terminal 114 recognizes that it has its own user IP address power S [c. C. C. C].
  • a PPP connection is established between the user terminal and the network.
  • the destination user IP address [c.c.c.c]
  • the virtual firewall 104 for processing has no filtering rules described in the same way as in the embodiment 13 and allows all packets to pass unconditionally, or is common to all unregistered users. Describes the filtering rules.
  • the packet is discarded as shown at the bottom of the distribution management table 101-4 shown in FIG.
  • a malicious user sends a large number of buckets having an IP address not assigned to any user due to an IP spoofing attack or the like, these packets are sent to the firewall device 100. Can be discarded.
  • Embodiment 15 of the present invention will be described with reference to FIG. 8, FIG. 15 and FIG.
  • the terminal 1 15 of the firewall service unregistered user #d is connected to the Internet 110 via the network in the embodiment 1-11, and then performs IP communication with the connection partner terminal 1 13 It shows a form.
  • user #d is originally a user who should be registered in the firewall service, but in this example, the administrator of the firewall device 100 has forgotten to register it in the distribution management table 101-5, or The user name #d is not registered correctly in the distribution management table 101-5 due to reasons such as incorrect registration.
  • the user name #d and password are correctly registered in the RADUS Server 130.
  • the operations up to the notification of the user IP address 144 are the same as those in the embodiment 1-1, and the description is omitted.
  • the firewall apparatus 1000 Upon receiving the user IP address notification 142, the firewall apparatus 1000 sends the user IP address [d.d.d to be assigned to the user terminal described in the user IP address notification 142. . d]. Then, the user name #d is searched for the distribution management table 101-5 using the user name as a search key, but the user name #d does not exist. If the user name does not exist, the firewall device 100 transmits an authentication error notification 943 to the user terminal 115, and ends the PPP establishment processing.
  • the user IP address is assigned for the first time when the connection between the user terminal and the network is established, as in the always-on service, and the value of the user IP address is provided.
  • the dynamic user identifier supporting firewall device of the present invention has a virtual firewall for each user.
  • the firewall device does not perform any processing on the distribution management table when the user name or password sent from the user is incorrect and an authentication error notification is sent from the RADIUS server. Send an authentication error notification to the user terminal. This allows sorting when network connections are rejected. Management table search and registration processing can be eliminated, and the remaining processing power can be focused on other processing.
  • the firewall devices of Embodiments 13 and 14 can also accommodate user terminals of users who do not enjoy the firewall service. It is possible to eliminate the hassle of replacing the physical connection that occurs each time the user enjoys the service.
  • the transmission / reception bucket of the unregistered user is automatically distributed to the virtual firewall for the unregistered user.
  • the number of items registered in the distribution management table can be limited to registered users who are currently establishing a network connection, which contributes to shortening the search time.
  • the unregistered user is registered in the distribution management table, and the transmission / reception packet of the unregistered user is explicitly distributed to the virtual firewall for the unregistered user. If it is not registered, it will discard the packet. If a malicious user sends out a large number of packets with IP addresses that are not assigned to any of the ITs by IP spoofing attacks, the firewall will fail. These c in the device. The packet can be discarded.
  • Embodiments 13 and 14 can be properly used depending on the application.
  • Embodiment 11 The firewall device of Example 5 is used when the administrator of the firewall device forgets to register the user name and the virtual firewall in the distribution management table or registers the virtual firewall incorrectly. However, communication that should no longer be established can be forcibly terminated from the viewpoint of security.
  • Example 11 By the operation shown in the example 1 and the like, for a communication mode in which the user IP address and the virtual firewall ID cannot be previously correlated, the authentication information for network connection from the user terminal is used and the operation is performed.
  • the user IP address can be associated with the virtual firewall ID, and a filtering rule according to a security policy defined by the user can be applied to a bucket transmitted or received by the user terminal.
  • the number of accommodated users is several hundred to several thousand, whereas in the case of a constant connection service, the number of accommodated users is several tens to several hundred thousand.
  • the issue to provide a virtual firewall device for always-on service is to improve the number of multiplexed users.
  • the always-on service has a large number of multiplexed users, if the serviceability of providing an independent security policy for each user is ensured, the total number of filtering rules increases in proportion to the number of multiplexed users.
  • each user's filtering rules include Since some rules are common to many users, the rules are duplicated and inefficient when viewed from the perspective of the entire firewall. As a result, the amount of filtering tables increases.
  • Embodiments 2_1 to 2-7 describe a firewall device that improves the number of multiplexed users and realizes an efficient filtering table.
  • FIG. 17 is a block diagram illustrating a schematic configuration of a firewall device according to the embodiment 2-1 of the present invention.
  • FIG. 18 is a diagram illustrating a configuration of a filtering table in a virtual firewall according to the embodiment. is there.
  • the network connection method from the user is PPP (Point to Point Protocol), and the authentication communication is RADUS.
  • the firewall device 300 includes a plurality of virtual firewalls (302, 303, ..., 304).
  • each virtual firewall (302, 303) has a plurality of filtering tables (561, 562, 556) specified by the filtering ID. 3) exists, and each filtering table (561, 562, 563) describes one or more independent filtering policies for each user.
  • the security policy defined by the user #a and the user #b is stored in the virtual firewall 302
  • the security policy defined by the user #d is stored in the virtual firewall 303.
  • the user #a enters the filtering table 561 in the virtual firewall 302 with a filtering ID of ⁇ .
  • User #d is in the filtering table 562 with the filtering ID j3, and user #d is in the filtering table 563 with the filtering ID ⁇ in the virtual firewall 303.
  • Each security policy is described.
  • the distribution management table 301 user names, virtual firewall IDs, and filtering IDs that can be set in advance are registered.
  • the user name #a the correspondence between the virtual firewall ID (302) and the filtering ID (a), the user name #b, the virtual firewall ID (3
  • FIG. 19 is a sequence diagram showing the operation of the firewall device of this embodiment.
  • LCP Link Control Protocol
  • the firewall unit 3000 extracts the user name #a transmitted from the user terminal 311, and extracts the user name #a. It is retained (processing point 850 in FIG. 19).
  • the authentication information (user name and password) is notified to the RAD IUS server 330 (841 in FIG. 19).
  • the firewall device 300 Upon being authenticated by the RAD IUS server 330 and receiving the response (842 in Fig. 19), the firewall device 300 sends the user IP address to be assigned to the user terminal described in the response. Hold. Let this user IP address be [a.a.a.a]. Then, using the user name #a as a search key, the user IP address [a.a.a.a] is registered in the line where the user name is described as #a in the distribution management table 301 ( The processing point 851 in Fig. 19 and the distribution management table 301-2 in Fig. 19). At the same time, the firewall device 300 exchanges NCP (Network Control Protocol) information between the user terminal 311 and the firewall device 300 (843). The IP address [a.a.a.a] is sent to the user terminal 311. The user terminal 311 recognizes that the own user IP address is S [a.a.a.a].
  • NCP Network Control Protocol
  • a PPP connection is established between the user terminal 311 and the Internet 310.
  • the bucket 3 22 to which the filtering ID has been assigned is described in the filtering table 561 having the filtering ID ⁇ in the distributed virtual firewall 302. Passing or discarding is applied according to the filtering rules that follow the security policy of user #a.
  • the packet 3 2 4 to which the filtering ID is assigned is a filtering rule according to the security policy of the user #a described in the filtering table 56 1 having the filtering ID ⁇ in the distributed virtual firewall 302. In accordance with this, transit or disposal is applied.
  • User # b's terminal 3 1 2 is connected to Internet 3 10
  • the filtering According to the filtering rule according to the security policy of the user #b described in Table 562, the passing or discarding processing is applied.
  • each virtual firewall (302, 303, 304) has a plurality of independent filtering. Negative policy can be managed, and the number of multiplexed users can be improved.
  • the search processing time can be prevented from becoming unnecessarily long.
  • the firewall device according to the embodiment 2-2 of the present invention is different from the firewall device according to the above-described embodiment 2-1 in that the firewall device is not provided with a virtual firewall.
  • the firewall device of the present embodiment will be described focusing on differences from the firewall device of the above-described Embodiment 2-1.
  • the network connection method from the user is PPP
  • the authentication communication is RADIUS.
  • FIG. 20 is a block diagram showing a schematic configuration of a firewall device according to Embodiment 2-2 of the present invention.
  • the firewall device 300 of this embodiment has a plurality of filtering tables (561, 562) specified by the filtering IDs, and each filtering table has Indicates an independent filtering policy for each user.
  • the user #a has the filtering ID of ⁇ .
  • Each security policy is described in the filtering table 562 with the filtering ID j3 in the filtering table 561 of the user #b.
  • the distribution management table 301 user names and filtering IDs that can be set in advance are registered.
  • the distribution management table 301 the correspondence between the user name #a and the filtering ID ⁇ and the correspondence between the user name #b and the filtering ID] 3 are registered.
  • the filtering ID cannot be given to the packet from each user.
  • the terminal 311 of the user #a makes a network connection to the Internet 310, and then performs IP communication with the connection partner terminal 313.
  • FIG. 21 is a sequence diagram showing the operation of the firewall device of the present embodiment.
  • a PPP connection is established between the user terminal 311 and the Internet 310. Thereafter, when the firewall device 300 receives the bucket 3 21 transmitted from the user terminal 3 11 1 to the connection partner terminal 3 13 3, the source IP address and The [a.a.a.a] described as a search key is used to search the distribution management table (301-1-2 in FIG. 21), and is described in the [a.a.a.a] row.
  • Bucket DOO 3 2 2 the filtering ID been given, according to the filter-rings ID is filtering table 5 6 1 user # a security policy to the slave U filtering rules that are described in the alpha, passing or discarding process is applied Is done.
  • the terminal 312 of the user #b makes a network connection to the Internet 310 and then performs IP communication with the connection partner terminal 313, the bucket transmitted and received by the terminal 312 The packet is passed or discarded according to the filtering rules according to the security policy of user #b described in the filtering table 562.
  • the firewall device uses the filtering ID as the individual filtering ID and the common filtering ID. This is different from the firewall device of the embodiment 2-1 described above in that it is divided into two.
  • the schematic configuration of the firewall device of the embodiment 2-3 is the same as that of FIG. Also in this embodiment, the network connection method from the user is PPP and the authentication communication is RAD IUS.
  • the filtering ID of the above-described embodiment 2-1 is further divided into an individual filtering ID and a common filtering ID, and the filtering policy for each user is described in the individual filtering table.
  • filtering policies that can be shared by multiple users are described in the common filtering table.
  • the distribution management table 301 shown in FIG. 17 and the distribution management table (301-1-1) shown in FIG. 19 correspond to the distribution management table 6001 shown in FIG.
  • the distribution management table (3 01-2) shown in FIG. 19 is replaced with the distribution management table 1101 in FIG.
  • FIG. 24 is a diagram showing a configuration of a filtering table in a virtual firewall of the firewall device of the present embodiment.
  • the firewall device 300 of the present embodiment has a plurality of virtual firewalls (3 , 3 0 4) c. Further, as shown in FIG. 24, each virtual firewall (3 0 2, 3 0 3) has an individual filtering ID. There are multiple filtering tables (561, 562, 563) specified and multiple filtering tables (571, 572) specified by a common filtering ID.
  • Each user's individual filtering policy is an individual filtering policy.
  • the filtering policy that can be shared by multiple users is described in the common filtering table (571, 572). I have.
  • the distribution management table 61 manages the user name, the virtual firewall ID, the individual filtering ID, and the common filtering ID.
  • the security policy defined by the user #a and the user #b is stored in the virtual firewall 302
  • the security policy defined by the user #d is stored in the virtual firewall 303
  • the user #a The individual filtering policy of a in the virtual firewall 302 is in the individual filtering table 561 with the filtering ID ⁇
  • the individual filtering policy of user #b is the individual filtering policy with the filtering ID j3.
  • the individual filtering policy of the user #d is described in the individual filtering table 563 with the filtering ID of ⁇ in the filtering table 562.
  • the user # a and user # b is filtering ID are also applied filtering Ngupori sheet according to the common filtering table 5 7 1 I.
  • the filtering policy described in the common filtering table 572 with the filtering ID of II is also applied.
  • distribution management table 600 user names, virtual firewall IDs, individual filtering IDs, and common filtering IDs that can be set in advance are registered.
  • the correspondence between the user name #a , the virtual firewall ID (302), the individual filtering ID (a) and the common filtering ID (I), the user name #b, the virtual name Firewall ID (302), individual filtering Correspondence of ID ( ⁇ ) and common filtering ID (I), user name #d, virtual firewall ID (303), individual filtering ID () and common filtering ID (II) are registered.
  • the terminal 311 of the user #a makes a network connection to the Internet 310, and then performs IP communication with the connection partner terminal 313.
  • a PPP connection is established between the user terminal 311 and the Internet 310.
  • the firewall device 300 receives a packet 3 21 transmitted from the user terminal 3 11 1 to the connection partner terminal 3 13, the source IP address of the packet is received.
  • an individual filtering ID of ⁇ and a common filtering ID of I are given (processing point 852 in FIG. 19).
  • the packet 32 2 to which the individual filtering ID and the common filtering ID are assigned is used in the virtual firewall 302 as the individual filtering table 56 6 having the individual filtering ID. Passing or discarding is performed according to the filtering rules according to the security policy of user #a described in 1.
  • the packet 322 will be replaced by the common filtering table 567 whose common filtering ID is I. According to the filtering policy described in 1, passing or discarding is performed.
  • the bucket 32 4 provided with the individual filtering ID and the common filtering ID is based on the security policy of the user #a described in the individual filtering table 56 1 having the individual filtering ID ⁇ , and according to the filtering rules. Passage or disposal is performed. If there is no rule to be applied to the filtering policy described in the individual filtering table 561, the packet 324 will be replaced with the common filtering ID with the common filtering ID of I. In accordance with the filtering policy described in the staples 571, passing or disposal is performed.
  • the introduction of the common filtering ID and the common filtering table enables efficient management of the filtering policy.
  • the individual filtering table and the common filtering table according to the present embodiment can be introduced even in the embodiment in which the virtual firewall is not used in the embodiment 2-2.
  • the filtering management ID is replaced with the individual filtering ID and the common filtering ID similar to the embodiment in the distribution management table, and the filtering table is replaced with the filtering table.
  • An individual filtering table and a common filtering table similar to those of the embodiment are provided.
  • the firewall device according to the present embodiment is different from the firewall device according to the above-described embodiments 2-1 and 221 in that the user name or password sent from the user #a is incorrect, or the like.
  • This is an embodiment in a case where the combination of the user name and the password sent by the notification of the password does not match the combination of the user name and the password registered in the RADIUS server 330.
  • the operation of the firewall device of Embodiment 2-4 will be described with reference to FIG.
  • FIG. 25 is a sequence diagram illustrating the operation of the firewall device according to the embodiment 2-4. '
  • the firewall device 300 does not perform any processing on the distribution management table 301.
  • the firewall device according to the embodiment 2-5 of the present invention is the same as the firewall device according to the embodiment 2-1 described above, except that the terminal 314 of the firewall service unregistered user #c is connected to the internet 310.
  • This is an embodiment of an embodiment in which a network connection is made, and then IP communication is performed with a connection partner terminal 3 13.
  • FIG. 26 is a diagram showing the contents of the distribution management table of this embodiment.
  • firewall service unregistered user #c has no user name and virtual firewall registered in the distribution management table (301--3), but has access to the Internet 310 through terminal 314.
  • the user enjoys the communication service, and the user name and password are registered in the RAD IUS server 330.
  • FIG. 27 is a sequence diagram showing the operation of the firewall device of the present embodiment.
  • the firewall device 300 Upon receiving the notification of the user IP address (3422 in FIG. 27), the firewall device 300 sends the user IP address [c ⁇ ⁇ ⁇ ⁇ ] to be given to the user terminal described in the notification of the user IP address.
  • a PPP connection is established between the user terminal 314 and the Internet 310. Thereafter, when the firewall device 300 receives a packet 3221 transmitted from the user terminal 314 to the connection partner terminal 313, the packet 3221 is described as the source IP address [c. As a result of searching the distribution management table (301-3) using C.C.C] as a search key, it is found that the source IP address is not registered.
  • the virtual firewall to be distributed is the virtual firewall 304, as shown in the bottom line of the distribution management table (301--3) shown in Fig. 26. Since it is described, the packet 3 21 is distributed to the virtual firewall 304 for unregistered users (processing point 35 2 in FIG. 27).
  • An authentication-linked distributed firewall device (hereinafter simply referred to as a firewall device) 501 is a user terminal (502-1-1) used by a user (515-1-1) that starts a connection by authentication. And a user terminal (502-2) used by a user (515-2), and is connected to an external network (for example, the Internet) 503.
  • an authentication server 506 including a user terminal information unit 514 that holds a pool table including user terminal information to be given to the user terminal at the time of authentication.
  • the authentication server is, for example, a remote authentication dial-in user service (RAIDUS) sano force s edible g.
  • RAIDUS remote authentication dial-in user service
  • the user terminal information stored in the user terminal information section 5 14 Can use the IP address assigned to the user terminal.
  • connection start sequence of the user (5 1 5—1) will be described.
  • the user (5 15—1) transmits the user name (user 5 15—1) and password ( ⁇ ) to the firewall device 501 via the user terminal (1 in FIG. 40). 1—1, 1 1—2).
  • the available user terminal information (IP-1) whose in-use flag is “0” is extracted from the pool table of the user terminal information section 514, the extracted usable flag is set to “1”, and the authentication is performed.
  • the extracted user terminal information (IP-1) is notified to the firewall device 501 (11-6, 11-7 in Fig. 40).
  • the firewall device 501 holds the received user terminal information (IP-1), connects the user terminal information to the line to which the user terminal is connected (11-18 in FIG. 40), and stores the held user name.
  • the user (user 5-15-1) is transmitted to the identifier management server 505 (11-19 in FIG. 40).
  • the firewall device 501 holds the received individual filtering table ID (individual 510-1), and receives the received common filtering table ID (common 509) and the individual filtering table ID (individual 51 1). 0-1) and the held user terminal information (IP-1) are written into the distribution management table 507 shown in FIG. 39 (11-1-12 in FIG. 40).
  • the firewall device 501 writes the retained individual filtering table ID (individual 510-1) into the identification information of the individual filtering table area 510, and also receives the received individual security policy (notice 1). _ 1 ⁇ 1 1 m) security Write to the policy area (11--16 in Figure 40).
  • an authentication success notification including the held user terminal information (IP-1) is sent to the user terminal (502-1) (11-1-17 in Fig. 40). .
  • the firewall device 501 of the present embodiment performs filtering processing on the packets transmitted from both directions on the user terminal side and the external network side, and transfers the packets.
  • the area of the individual filtering table area 510 and the area of the distribution management table 507 are used, and during disconnection, this area is not used, so that the individual firewall of the firewall device 501 is not used. If the contents of the routing table area 501 and the distribution management table 507 are held for the number of user terminals connected simultaneously, Because it is good, it is possible to reduce the capacity of the security policy to be held.
  • a firewall device 1221 and a user terminal 122 connected to the firewall device 1201 are newly added to the network model shown in FIG. Be added.
  • a user (5 15-1) can be connected to the firewall device 1 201, and the firewall device 1 201 is connected to the external network 503 and the security policy server 504. It is connected to the identifier management server 505 and the authentication server 506.
  • the firewall device 1221 has a distribution management table 1227 that holds information linking the user terminal information attached to the reception bucket and an identifier indicating a table for filtering the reception bucket, and the actual filtering is performed. It has a firewall section 128 for performing the following.
  • FIG. 44 is a block diagram illustrating a schematic configuration of the firewall device according to the third embodiment of the present invention and a network model in which the firewall device according to the third embodiment of the present invention is used.
  • FIG. 12 is a diagram showing an example of a firewall, in which a communication part with the identifier management server 505 is deleted, and a sequence with the identifier management table 512 held inside the firewall device 501 is newly added. This is different from the sequence shown in FIG.
  • This embodiment is different from the above-described embodiment in that the security policy table 511, which is held in the security policy server 504 and associates a user name with an individual security policy, is held inside the firewall device 501. This is different from Example 3-1.
  • the firewall device 501 since the firewall device 501 must maintain the security policy table 511 including the individual security policies of all the users that may be accommodated, the memory capacity of the firewall device 501 The number of users that can be accommodated, or the number of users that can be accommodated decreases, and an identifier management table 512 containing various identifiers of all the users that can be accommodated must be maintained. Therefore, the memory capacity of the fire wall device 501 is further required, or the number of users that can be accommodated is further reduced, but without communication with the security policy server and the identifier management server, Operation becomes possible.
  • the firewall device 2001 connects to the external network 2003 via the contract network 1 (for example, ISP; Internet Service Provider) (2016-1-1), and establishes this connection by authentication.
  • Terminal (200-2-1) used by the user (201-5-1) that initiates the connection and connects to the external network 203 through the contract network 2 (2016-1). It accommodates the user terminal (2002-2) used by the user (2015-2) that starts this connection by authentication.
  • the firewall device 2001 includes a user terminal information section that holds a user authentication information (20 13 -2) and a pool table including user terminal information to be assigned to the user terminal at the time of authentication.
  • the firewall device 2001 includes a virtual firewall (2014-1-1, 2014-2) for filtering the user packet information and the received packet attached to the received packet, and a filtering device. It has a distribution management table 2007 that links identifiers that point to tables.
  • the firewall unit 2008 has a firewall unit 2008 that performs networking.
  • the firewall unit 2008 is associated with a user terminal connected to the external network 2003 via the contract network 1 (201-16-1).
  • a virtual firewall 1 (20 14-1) that filters buckets, and a bucket related to a user terminal connected to the external network 200 3 via the contract network 2 (20 16-2) It has a virtual firewall 2 (201-4-2) that performs filtering.
  • the virtual firewall 1 (2 0 1 4—1) uses a common filtering table (2 0 0 1) that holds a security policy common to a plurality of users who perform filtering by the virtual firewall 1 (20 1 4—1). 9-1), and an individual filtering table area (2010-1), which is an area for holding security policy for each individual user.
  • the individual filtering table area (2100_1) is divided into an area for writing identification information and an area for writing a security policy associated with the area for writing this identification information.
  • the virtual firewall 2 (20 14—2) also has a common filtering table (20 09—2) and an individual filtering table area (20 1 0—2). -2), and the individual filtering table area (2010-10-2) is divided into an area for writing identification information and an area for writing a security policy associated with the area for writing this identification information.
  • FIG. 51 is a diagram showing the details of the authentication information (201 13-1) in the authentication server 1 shown in FIG. 50.
  • FIG. 52 is a diagram showing the user terminal in the authentication server 1 shown in FIG. It is a figure which shows the detail of the pool table hold
  • FIG. 53 shows the authentication information in the authentication server 2 shown in FIG.
  • FIG. 54 is a diagram showing details of (201-13-2), and FIG. 54 is a pool table held in the user terminal information section (201-4-2) in the authentication server 2 shown in FIG. It is a figure which shows the detail of.
  • FIG. 55 is a diagram showing the user name transmitted to the firewall device 2001 via the user (2005-1-1) power S and the user terminal (2002-1-1).
  • FIG. 4 is a diagram showing a user name transmitted by the user (2015-2) to the firewall device 201 via the user terminal (2002-2).
  • FIG. 57 is a diagram showing the details of the identifier management table 201 in the identifier management server shown in FIG. 50.
  • FIG. 58 is a diagram showing the security policy in the security policy server shown in FIG.
  • FIG. 3 is a diagram showing details of a table 201.
  • FIG. 59 and FIG. 60 are diagrams showing an example of a sequence showing the operation of the network model of FIG. 50, in which the user (210-5-1) enters the contract network 1 (210-16— 1), the connection to the external network 2003 and then the disconnection sequence, and the user (2015-12) sends the sequence via the contract network 2 (2016-1-2). This shows a sequence for disconnecting after connecting to the external network 2003 through the network.
  • the user (2 0 1 5—1) sends the user name (user 2 0 1 5—1—2 0 1) to the firewall device 200 through the user terminal (200 2—1). 6-1) and the password ( ⁇ ) are transmitted (21-1-1, 21-2 in Fig. 59).
  • the firewall unit 2001 which has received this user name (user 201-1-1) and the password ( ⁇ ), receives the first half of the user name (user 201-1-1). ) (Fig. 59, 2 1-3), and from the second half of the user name (2 0 16-1), Server 1 (2006-1—1), and sends the first half of the user name (user 2015-1) and password ( ⁇ (Fig. 59-2). 14) .
  • the authentication server 1 searches the first half (user 201-5-1) of the received user and the password ( ⁇ ) for the authentication information (201-3-1) and determines that authentication is possible. (2 1-5 in Fig. 59), and available user terminal information (IP-1) whose busy flag is "0" from the pool table of the user terminal information section (2 0 4 1). Is extracted (2 1-6 in Fig. 59), the extracted usable flag is set to "1", and the user terminal information (IP-1) is notified to the firewall device 2001 together with the authentication approval notification ( 2 1-7 in Figure 59).
  • the firewall device 2001 holds the received user terminal information (IP-1) (21-8 in FIG. 59), and stores the received user terminal information (IP-1) and the user terminal (2002-1-1). ) Connects the line to be connected, and transmits the first half (user 201-5-1) of the retained user name to the identifier management server 2005 (2119 in FIG. 59).
  • the identifier management server 20005 searches the identifier management table 201 based on the first half of the received user name (user 201-1-1).
  • the first half of the user name (user 201 — 1), the virtual firewall ID (virtual 201 4-1), the common filtering table ID (common 2009-1), and the individual filtering table ID (20 1 0-1) is extracted (21-1-10 in FIG. 59), and this identifier is transmitted to the firewall device 2001 (21-1-11 in FIG. 59).
  • the firewall device 2001 retains the received individual filtering table ID (individual 201 0—1), and receives the received virtual firewall ID (virtual 201 4—1) and the common filter.
  • the routing table ID (common 209—1), the individual filtering table ID (individual 210 0—1), and the held user terminal information (IP_l) are stored in the distribution management table 20 07 (Fig. 59, 21-1 2).
  • the first half of the retained user name (user 201-5-1) is transmitted to the security policy server 2004 (21-13 in FIG. 59).
  • the security policy server 204 searches the security policy table 201 held based on the first half (user 201-5-1) of the received user name, and searches the first half of the user name (user 201-5). -1) Extracts the individual security policy (Rule 11-1 to Rule 11-m) associated with (1) and sends it to the firewall device 200 (Fig. 59). 2 1— 1 5).
  • the firewall device 2001 writes the retained individual filtering table ID (individual 2101—1) into the identification information area of the individual filtering table area (21010—1).
  • the individual security policy is written to the security policy area (21--16 in Fig. 59).
  • an authentication success notification including the held user terminal information (IP-1) is notified to the user terminal (2002-1) (21-1-17 in Fig. 59).
  • the user terminal (2002-1) When a packet is transferred from the user terminal (2002-1) to the external network 203, the user terminal (2002-1) receives the user terminal information (IP1) received at the end of the connection start sequence. Own The packet is given to the bucket and forwarded to the firewall device 200 (21-1-18 in Fig. 59).
  • IP1 user terminal information
  • the firewall device 2001 extracts the user terminal information (IP-1) from the received bucket, searches the distribution management table 2007 using the user terminal information (IP-1) as a key, and searches for the virtual firewall. Extract the ID (virtual 20 14-1), common filtering table ID (20 9 9-1), and individual filtering table ID (20 1 0-1) (Fig.
  • the received packet is distributed to the virtual firewall 1 (2 0 14-1) indicated by the extracted virtual firewall ID (virtual 20 1 4—1), and the extracted virtual firewall Of the filtering table of the virtual firewall indicated by (virtual 20 14—1), the extracted common filtering table ID (common 20 09—1) and the individual filtering table ID (individual 20 1 0)
  • the packet is passed through the contract network 1 (20 16-1) to the external network.
  • the data is transferred to the network 203 (21-22 in Fig. 59).
  • a bucket addressed to the user terminal (2002-1-1) is received from the external network 2003 via the contract network 1 (2016-1) (see 21-1 in FIG. 59). 3)
  • the packet from the external network 203 has the user terminal information (IP-1) as the destination address.
  • the firewall device 2001 extracts the user terminal information (IP-1) from the received bucket toll (21-2-4 in FIG. 59), and transmits the information from the user terminal (2002-1-1) to the outside. After filtering the packets (21-25, 21-26 in Fig. 59) by the same sequence as the packet to the network 2003, Transfer the bucket to (200 2-1).
  • the firewall device 2001 of the present embodiment performs filtering processing on packets transmitted from both directions of the user terminal side and the external network side, and transmits the packets.
  • a disconnection request is notified from the user (201-5-1) to the firewall unit 2001 via the user terminal (200-2-1) (21-28, Fig. 59). 2 1—2 9).
  • the virtual firewall ID (virtual 2104-1-1) and the individual filtering table are obtained from the entry related to the user terminal information (IP-1) in the distribution management table 20007. After extracting the IDs (individual 210-1-0), delete this entry (21-30 in Fig. 59).
  • the extracted individual filter In the individual filtering table area (201-10-1) of the virtual firewall 1 (201-4-1) indicated by the extracted virtual firewall ID (virtual 2104-1-1), the extracted individual filter The identification information on which the security table ID (individual 201 1 0-1) is written and the security policy area related thereto are deleted (2 1- 3 1 in Fig. 59).
  • the user terminal information (IP-1) derived upon receiving the disconnection request is transmitted to the authentication server 1 (2006-1) (see 21 in FIG. 59).
  • the authentication server 1 (20 06—1) receives the received user terminal information (
  • the in-use flag of the entry in the Boolean table of the user terminal information section (210-4-1) associated with IP-1) is reset to "0" (2 1-3 3 in Fig. 59).
  • connection start sequence, communication sequence, and disconnection sequence of the user are also implemented by the same means as the user (2015-1) (see Fig. 60-2). 1—34 ⁇ 2 1—66 6).
  • the firewall device 2001 operates as a plurality of firewalls, and the user is authenticated by the individual authentication server (2006-1—2, 2006-2) for each firewall. For each firewall, it is possible to connect to an external network 203 via a contract network (210-16-1, 200-16-2) and to load a security policy for each user. It becomes possible.
  • the security policy server (504, 204) and the identifier management server (505, 205) have only one power S.
  • Each firewall device in the example may be connectable to two security policy servers having the same security policy table or two security policy servers having the same identifier management table.
  • the accommodating network or terminal dynamically connects and disconnects, or retains when the accommodated firewall device is changed. It is possible to keep the security policy capacity optimal, and it is possible to reduce the amount of security policy loaded on the firewall device.
  • the device can be realized, for example, by mounting a program for executing the processing described in each embodiment on a computer system having a communication device.
  • the computer system includes, for example, as shown in FIG. 61, a CPU 600, a memory 61, a node disk 61, an input / output device 603, and a communication device 604. I have.
  • the data held in the processing of each embodiment is held, for example, in the memory 601.
  • a communication device 604 is used as a communication means with another server. Note that a router and the like are also included in the above computer system.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

複数の仮想ファイアウォールを有し、各仮想ファイアウォールはそれぞれ独立したフィルタリングポリシを有するファイアウォール装置において、ユーザ名と仮想ファイアウォールＩＤを管理する振分け管理テーブルと、ユーザ端末からのネットワーク接続のための認証情報を受信すると、それに記載されているユーザ名を保持する手段と、認証情報を認証サーバに通知する手段と、前記認証サーバから、認証応答を受信すると、その応答に記載されている前記ユーザ端末に付与すべきユーザＩＤを保持する手段とを備え、前記ユーザＩＤを前記ユーザ名と対応付けて前記振分け管理テーブルに登録するように構成される。　

Description

P T/JP2004/001124
明細書 ファイアウォール装置 技術分野
この発明は、 ィンターネッ トなどの外部ネッ トワークに接続す るユーザを保護するためのファイアウォール装置に関する。
背景技術
自己の端末、 または、 自己のネッ トワークのセキュリティを高 める手段の 1つと して、 ファイアウォール （F Wとも称する） が ある。
ファイアウォールは、 セキュリティを高めたい自己の端末また は自己のネッ トワーク と外部ネッ トワークとの間に配置され、 予 め決められたセキュリティポリシに従い、 外部ネッ トワークから 自己の端末またはネッ トワークに向かうパケッ ト、 または、 自己 の端末またはネッ トワークから外部ネッ トワークへ向かうパケッ トに対して、 通過が可能かどうかを判断し、 可能な場合は、 当該 パケッ トを通過させ、 可能でない場合は、 当該パケッ トを破棄す るフィルタリング処理を実施する。
セキュリティポリシは、 ア ドレス； プロ トコル種別、 ポート番 号、 方向、 通過の可否、 または他の条件を結びつけ、 1つのルー ルと し、 当該ルールを複数まとめたものである。
また、 ファイアウォールは設置場所により、 3つに区分するこ とができる。
1つは、 図 1に示すように、 ファイアウォール 1 0を自己の端 末内部に保持するもの （以下、 端末ベースファイアウォールと称 する） で、 自己の端末 1 1を外部ネッ トワーク （例えば、 インタ 一ネッ ト） 1 2から守るために利用されている。 もう 1つは、 図 2に示すように、 ファイアウォール 1 0を自己 のネットワーク 1 3のエツジに設置され、 外部ネットワーク 1 2 に接続するもの （以下、 C P Eベースファイアウォールと称する ) で、 自己のネッ トワーク 1 3を外部ネッ トワーク 1 2から守る ために利用される。
もう 1つは、 図 3に示すように、 ファイアウォール 1 0が、 独 立のポリシで運用されるセキュリティを高めたいネッ トワーク 1 3または端末 1 1を複数収容し、 外部ネッ トワーク 1 2に接続す る位置に設置されるもの （以下、 N Wベースファイアウォールと 称する） で、 個々のネッ トワーク 1 3または端末 1 1を外部ネッ トワーク 1 2から守るために利用される。
常時接続ユーザが增加するとともに、 セキュリティの必要性が 高まる中、 セキュリティ知識が不十分なユーザに対し、 低コス ト でスキル不足を解消するセキュリティサービスを提供することが 求められているという観点からは、 上記のファイアウォールのう ち、 ネッ トワーク側にファイアウォールを配備する N Wベースフ アイァウォールが有効である。 ·
すなわち、 NWベースファイアウォールにより、 収容ユーザの 集約による経済化と、 アウ トソーシングによるユーザ稼動の軽減 が期待される。 ただし、 セキュリティポリシをユーザ毎に提供す る必要もあり.、 本方法によるファイアウォールでは、 1台の物理 的なファイアウォールにユーザ毎の仮想ファイアウォールを構築 するアーキテクチャが求められる。
従来技術の仮想ファイアウォールの構築法を図 4に示す。 従来 技術によるユーザの端末あるいはサーバ、 またはユーザのネッ ト ワークと仮想ファイアウォールとの割り当ては、 固定的なユーザ I Dと仮想ファイアウォール I Dとを対応させることにより実現 する。
ここで固定的なユーザ I Dとは、 ユーザの端末やサーバが属す るネッ トワークの VLAN— ' I Dやユーザの端末やサーバの I P ァドレスである。 図 4では、 ユーザ # aのサーバ 2 1 1の I Pァ ドレス [ a . a . a . a] 、 ユーザ # bのサーバ 2 1.2の I Pァ ドレス [b . b . b . b] を、 それぞれ固定的なユーザ I Dとし て、 また、 これらをそれぞれ仮想ファイアウォール I D 2 0 2お ょぴ 20 3と対応づけ、 振分け管理テーブル 20 1に事前に登録 される。
そして例えば、 サーバ 2 1 1 とユーザ # aの接続相手端末 2 1 3 との間の通信において、 サーバ 2 1 1から送信されるバケツ ト 2 2 1に対し、 その送信元 I Pア ドレス [a . a . a . a ] を検 索キーとして振分け管理テーブル 20 1を参照し、 該送信元 I P ア ドレス [a . a . a . a] と対応付けられている仮想ファイア ウォール I D 2 0 2を検索し、 該バケツ ト 2 2 1を仮想ファィ了 ウォール 20 2に振り分ける。 また、 接続相手端末 2 1 3から送 信されるバケツ ト 22 2に対し、 その宛先 I Pア ドレス b . b . b . bを検索キーとして振分け管理テーブル 20 1を参照し、 該 宛先 I Pア ドレス b . b . b . bと対応付けられている仮想ファ ィァウォール I D 20 3を検索し、 該パケッ ト 2 2 2を仮想ファ ィァウォール 20 3に振り分ける。
仮想ファイアウォール 20 2、 2 0 3には、 それぞれユーザ # a、 ユーザ # bが定めるセキュリティポリシに従うフィルタリン グルールが記載されており、 このルールに従い、 パケッ ト 2 2 1 および 2 2 2は通過あるいは廃棄処理される。 これによつて不正 ァクセス者からのサーバ 2 1 1に対する攻撃パケッ トをフィルタ リングすることができる。
この従来技術は、 主にデータセンタ等を適用先としており、 そ こでは固定的なユーザ I Dを用いているため、 ユーザ I Dを振分 け管理テーブル 2 0 1に事前に登録することが可能である。
なお、 上記の従来技術に関連する先行技術文献として、 「デー 4 001124
4 タセンタにおけるセキュアなコンテンツ · フィルタリング方式の 検討」 （電子情報通信学会ソサイエティ大会 （2002) B-6-38 20 02. 8· 20発行） がある。
また、 ユーザ毎のセキュリティ通信を設定するもう 1つの従来 技術として、 「セキュリティ通信方法、 通信システム及びその装 置」 （特開 2 0 0 1— 2 9 8 4 4 9号公報） がある。 しかし本従 来技術は、 主に I P S e c通信を想定しており、 そこで定義され るユーザ毎のセキュリティ通信とは、 通信に用いる認証アルゴリ ズムゃ暗号化アルゴリズムの強度を、 ユーザの要求に応じ決定す るというものにすぎず、 不正アクセスからの攻撃パケットをブイ ルタリングする機能とは異なる。
ユーザが利用する常時接続サービスにおいては、 ユーザ I D ( ユーザ I Pアドレス） はユーザ端末とネッ トワークとの接続が確 立されるときに初めて付与される。 具体的には、 P P P (Point to Point Protocol) セッションの確立時に初めて付与される。 また、 ユーザ I Pアドレスは一般に可変である。
従って、 上記の従来技術における仮想ファイアウォールを常時 接続サービスに適用しようとしても、 振分け管理テーブルにユー ザ I Pァドレスを事前登録することができないので、 従来技術に おける仮想ファイアウォールを常時接続サービスに適用すること は困難である。
また、 常時接続サービスの場合、 データセンタ等への適用の場 合と比較し、 収容ユーザ数が断然に多いことから、 N Wベースの ファイアウォール装置に多重に収容するユーザ数を増大させるこ とが求められている。
さて、 ファイアウォールの配置場所という観点とは別に、 ファ ィァウォールをセキュリティポリシの保持方法の観点から分類す ると以下の 2つに分類することができる。
1つは、 セキュリティポリシをファイアウォール内部に保持す るものであり、 通常のファイアウォールはこの方法が用いられて いる。
もう 1つは、 図 5、 図 6、 図 7に示すように、 セキュリティポ リシ 1 5をファイアウォール 1 0の外部に保持し、 複数のファィ ァウォール 1 0に、 このセキュリティポリシを配布するものであ る。
先に示したどの種類のファイアウォール （端末べ一スフアイァ ウォール、 C P Eベースファイアウォーノレ、 あるいは、 N Wベー スファイアウォール） も、 その多くはセキュリティポリシをファ ィァウォール内部に保持するものである。
しかし、 セキュリティポリシを分配する方法を用いるファイア ウォールに関しても、 特表 2 0 0 2— 5 4 4 6 0 7号公報により、 端末ベースファイアウォールへの適用が示されており、 また、 文 献 ( 「Di stributed Firewal ls」 （Nov. 1999， Special Issue on S ecurity, ISSN 1044-63971) ) により、 C P Eベースファイアゥ オールへの適用が示されている。
また、 N Wベースファイアウォールにおいても、 収容するネッ トワークまたは端末が静的に接続される場合は、 C P Eベースフ アイァウォールと同様に考えられる。
しかし、 N Wベースファイアウォールで、 収容するネッ トヮー クまたは端末が動的に接続、 切断を行い、 または、 収容される N Wベースファイアウォールを変更する場合においては、 ファイア ウォール内部にセキュリティポリシを保持する方法は、 ネッ トヮ ークまたは端末の接続、 切断に関係無く、 ファイアウォールが収 容する可能性のあるネッ トワークまたは端末に関するセキュリテ ィポリシを全て保持しなければならないため有用でない。
よって、 このような環境では、 ネッ トワークまたは端末の接続、 あるいは切断に合わせ、 保持するセキュリティポリシ容量を最適 に保つ手段を有する N Wベースファィァウォール装置が必要にな P T脑 04/001124
6 る。
また、 NWベースファイアウォーノレには、 複数のネッ トワーク または端末が接続されるため、 前記のネッ トワークまたは端末の 接続に合わせてセキュリティポリシをロードする手段を有する N Wベースファイアウォールでは、 多量のセキュリティポリシを口 ードする場合があり、 この場合、 N Wベースファイアウォールの C P Uは、 ロード用の処理が大きくなり、 フィルタリングおよび 転送用の処理ができず、 フィルタリングおよび転送性能に影響を 及ぼす。
また、 セキュリティポリシを配布する装置においても、 配布量 が装置性能を超えた場合、 セキュリティポリシを配布できなくな る。
さらに、 セキュリティポリシの配布に用いられている回線にお いても、 配布量が回線容量を超えた場合、 セキュリティポリシの 廃棄または遅延が生じることになる。
従って、 配布するセキュリティポリシ量を抑える手段を有する N Wベースファイアウォール装置が必要になる。 発明の開示
本発明の第 1の目的は、 事前にユーザ I Dと仮想ファイアゥォ ール I Dとの対応付けができない通信形態に対してもサービス提 供可能なファイアゥオール装置を提供することである。
また、 本発明の第 2の目的は、 収容するユーザ多重数を増大さ せることのできるフアイァウォール装置を提供することである。 更に、 本発明の第 3の目的は、 収容するネッ トワークまたは端 末の接続または切断に応じて必要なセキュリティポリシを保持ま たは破棄することを可能にし、 且つ、 ロードするセキュリティポ リシ量を軽減することが可能なファイアウォール装置を提供する ことである。 上記の第 1の目的は、 複数の仮想ファイアウォールを有し、 各 仮想ファイアウォールはそれぞれ独立したフィルタリングポリシ を有するファイアウォール装置であって、
ユーザ名と仮想ファイアウォール I Dを管理する振分け管理テ ーブノレと、
ユーザ端末からのネッ トワーク接続のための認証情報を受信す ると、 それに記載されているユーザ名を保持する手段と、
認証情報を認証サーバに通知する手段と、
前記認証サーバから、 認証応答を受信すると、 その応答に記載 されている前記ユーザ端末に付与すべきユーザ I Dを保持する手 段とを備え、
前記ユーザ I Dを前記ユーザ名と対応付けて前記振分け管理テ 一ブルに登録するファイアウォール装置により達成できる。
本発明によれば、 事前にユーザ I Dと仮想ファイアウォール I Dとの対応付けができない通信形態に対しても、 ユーザ端末から のネッ トワーク接続のための認証情報を利用し、 動的にユーザ I Dと仮想ファイアウォール I Dとを対応付けることができる。 そ して、 そのユーザ I Dのユーザ端末が送信あるいは受信するパケ ッ に対し、 そのユーザ端末に対応するセキュリティポリシに従 うフィルタ リ ングルールを適用することができる。
また、 上記の第 2の目的は、 ユーザ名と、 ユーザ I Dと、 ブイ ルタリング I Dとを対応付けて管理する振分け管理テーブルと、 前記フィルタリング I Dによって特定され、 それぞれ独立した フィルタ リ ングポリ シを有するフィルタ リ ングテーブルと、 ネッ トワーク接続開始時に、 ユーザ端末から発行される、 ユー ザ名が記載された認証情報を受信し、 当該ユーザ名を保持する手 段と、
前記認証情報を認証サーバに通知する手段と、
前記認証サーバから認証応答を受信し、 その認証応答に記載さ 01124
8 れている前記ユーザ端末に付与すべきユーザ I Dを保持する手段 とを備え、
前記ユーザ〗 Dを前記ユーザ名と対応付けて前記振分け管理テ 一プルに登録するファイアウォール装置によって達成できる。
本発明によれば、 フィルタリ ング I Dを導入し、 ユーザ毎のフ ィルタ リ ングポリシをフィルタリ ング I Dによって識別するので、 例えば、 各仮想ファイアウォールに複数の独立したフィルタリ ン グポリシを管理することができ、 ユーザ多重数を向上させること ができる。
また、 ユーザ毎のパケッ トの検索範囲は、 付与されたフィルタ リ ング I Dの値と一致するテーブルのみを検索対象とするため、 検索処理時間が不必要に長くなるのを抑制することができる。
また、 本願発明では、 前述のフィルタリ ング I Dを、 さらに個 別フィルタリング I Dと共通フィルタリ ング I Dに 2分化し、 各 ユーザ個別のフィルタリ ングポリシは個別フィルタリ ングテープ ルに記載し、 複数のユーザにて共通化することが可能なフィルタ リ ングポリシは共通フィルタリングテーブルに記載することもで きる。
これにより、 例えば、 1 0ユーザが 2つの同じフィルタリ ング ルールを利用している場合、 従来技術を適用すると、 合計 2 0ル ールがフィルタリ ングテーブルに記載されるのに対し、 本発明に よれば、 2ルールのみブイルタリ ングテーブルに記載すればよの で、 フィルタリ ングポリシの管理を効率的に行うことが可能とな る。
上記の第 3の目的は、 複数のユーザ端末とネッ トワークの間に 設置され、 複数のュ一ザ端末に対するパケッ トフィルタリ ングを 実施するファイアウォール装置であって、
各ユーザ毎のセキュリティポリシを保持する個別フィルタリ ン グテープノレと、 P T/JP2004/001124
9 複数のユーザに共通するセキュリティポリシを保持する共通フ ィルタリ ングテーブルと、
ユーザ端末情報と、 共通フィルタリ ングテーブル I Dと、 個別 フィルタリングテーブル I Dとを管理する振分け管理テーブルと、 ユーザ端末が接続可能かを判断する認証サーバとの通信手段と、 ユーザと結び付けられた共通ブイルタリ ングテーブル I D、 お よび個別フィルタリングテーブル I Dを管理する識別子管理サー パとの通信手段と、
前記個別ブイルタリ ングテーブルに書込まれるユーザ固有のセ キユリティポリシとユーザとの関係を管理するセキュリティポリ シ管理サーバとの通信手段とを備え、
前記フィルタリ ング装置は、
ネッ トワーク接続開始時に、 ユーザ端末から、 ユーザ名を含む 認証情報が付加された接続要求を受信し、 当該ユーザ名を保持し、 保持したユーザ名を認証サーバに通知し、
前記認証サーバから受信した認証応答に付随するユーザ端末情 報を保持し、
前記ユーザ名を、 前記識別子管理サーバと前記セキュリティポ リシサーバに通知し、
前記識別子管理サーバから受信した共通フィルタリ ングテープ ル I D、 および個別フィルタリ ングテーブル I Dと、 ユーザ端末 情報とを対応付けて前記振分け管理テーブルに記述し、
前記セキュリティポリシサーバから受信したポリシ情報と、 前 記個別フィルタリ ングテーブル I Dとを、 前記個別フィルタリ ン グテーブルに書込むファイアウォール装置により達成できる。
本発明によれば、 ネッ トワークまたは端末の接続開始に合わせ 必要なセキュリティポリシをロードすることが可能になる。
また、 ネッ トワーク接続開始時にセキュリティポリシを書込む 領域を示す識別子と、 認証により接続開始するネッ トワークまた T JP2004/001124
10 は端末に付与されるユーザ端末情報を結び付けておき、 接続切断 時に、 切断するネッ トワークまたは端末のユーザ端末情報を元に、 識別子を調べ、 識別子に示される領域のセキュリティポリシを破 棄するので、 ネッ トワークまたは端末の接続切断に合わせセキュ リティポリシを破棄することが可能になる。
また、 本発明のファイアウォール装置は、 セキュリティポリシ を個別セキュリティポリシと、 共通セキュリティポリシとに分け、 共通セキュリティポリシは常にファイアウォール装置に保持して おき、 個別セキュリティポリシのみを、 ネッ トワークまたは端末 の接続開始時にロードすることができるので、 ロードするセキュ リティポリシ量を軽減することが可能になる。
また、 本発明のファイアウォール装置は、 セキュリティポリシ を配布する装置と、 前述の識別子が調べられる装置を全てのファ ィァウォール装置と接続し、 前述のセキュリティポリシのロード を行うことができるので、 ネッ トワークまたは端末が収容される ファイアウォール装置を変更してネッ トワーク接続開始、 あるい は切断を行っても、 ファイアウォール装置は適切にセキュリティ ポリシをロードすることが可能になる。 図面の簡単な説明
図 1は、 従来のファイアウォール装置の一例を示すブロック'図 である。
図 2は、 従来のフアイァウォール装置の他の例を示すブロック 図である。
図 3は、 従来のファイアウォール装置の他の例を示すブロック 図である。
図 4は、 従来技術における仮想ファイアウォール構築法を示す 図である。
図 5は、 従来の、 セキュリティポリシを外部に保持するフアイ ァウォール装置の一例を示すブロック図である。
図 6は、 従来の、 セキュリティポリシを外部に保持するフアイ ァウォール装置の他の例を示すブロック図である。
図 7は、 従来の、 セキュリティポリシを外部に保持するフアイ ァウォール装置の他の例を示すブロック図である。
図 8は、 本発明の実施例 1一 1におけるファイアウォール装置 の構成を示す図である。
図 9は、 実施例 1一 1におけるファイアウォール装置の動作を 示すシーケンス図である。
図 1 0は、 実施例 1一 2におけるファイアウォール装置の動作 を示すシーケンス図である。
図 1 1は、 実施例 1一 3における振分け管理テーブルの例を示 す図である。
図 1 2は、 実施例 1— 3におけるファイアウォール装置の動作 を示すシーケンス図である。
図 1 3は、 実施例 1一 4における振分け管理テーブルの例を示 す図である。
図 1 4は、 実施例 1一 4におけるファイアウォール装置の動作 を示すシーケンス図である。
図 1 5は、 実施例 1一 5におけるファイアウォール装置の動作 を示すシーケンス図である。
図 1 6は、 実施例 1一 5における振分け管理テーブルの例を示 す図である。
図 1 7は、 本発明の実施例 2— 1のファイアウォール装置の概 略構成を示すブロック図である。
図 1 8は、 実施例 2— 1のファイアウォール装置の仮想フアイ ァウォール内のフィルタリングテーブルの構成を示す図である。 図 1 9は、 実施例 2— 1のファイアウォール装置の動作を示す シーケンス図である。 図 2 0は、 実施例 2— 2のファイアウォール装置の概略構成を 示すブロック図である。
図 2 1は、 実施例 2— 2のファイアウォール装置の動作を示す シーケンス図である。
図 2 2は、 実施例 2— 3の振分け管理テーブルの初期状態を示 す図である。
図 2 3は、 実施例 2— 3の振分け管理テーブルの I Pアドレス が登録された状態を示す図である。
図 2 4は、 実施例 2 - 3のファイアウォール装置の仮想フアイ ァウォール内のフィルタリングテーブルの構成を示す図である。 図 2 5は、 実施例 2— 4のファイアウォール装置の動作を示す シーケンス図である。
図 2 6は、 実施例 2— 5の振分け管理テーブルの内容を示す図 である。
図 2 7は、 実施例 2— 5のファイアウォール装置の動作を示す シーケンス図である。
図 2 8は、 実施例 2 _ 6 の振分け管理テーブルの内容を示す図 である。
図 2 9は、 実施例 2 — 6のファイアウォール装置の動作を示す シーケンス図である。
図 3 0は、 実施例 2— 7の振分け管理テーブルの内容を示す図 である。
図 3 1は、 実施例 2— 7のファイアウォール装置の動作を示す シーケンス図である。
図 3 2は、 フィルタリングテーブルの内容を示す図である。
図 3 3は、 個別フィルタリングテーブルの内容を示す図である。 図 3 4は、 本発明の実施例 3— 1のファイアウォール装置の概 略構成と、 そのファイアウォール装置が使用されるネッ トワーク モデ /レを示すプロック図である。 図 3 5は、 図 3 4に示す認証サーバ内の認証情報の詳細を示す 図である。
図 3 6は、 図 3 4に示す認証サーバ内のユーザ端末情報部に保 持されるプールテーブルの詳細を示す図である。
図 3 7は、 図 3 4に示す識別子管理サーバ内の識別子管理テー ブルの詳細を示す図である。
図 3 8は、 図 3 4に示すセキュリティポリシサーバ内のセキュ リティポリシテーブルの詳細を示す図である。
図 3 9は、 図 3 4に示すファイアウォール装置内の初期状態の 振分け管理テーブルの詳細を示す図である。
図 4 0は、 図 3 4のネッ トワークモデルの動作を示すシーケン スの一例を示す図である。
図 4 1は、 図 3 4のネッ トワークモデルの動作を示すシーケン スの一例を示す図である。
図 4 2は、 実施例 3 _ 2のファイアウォール装置の概略構成と、 そのファイアウォール装置が使用されるネットワークモデルを示 すプロック図である。
図 4 3は、 図 4 2のネッ トワークモデルの動作を示すシーケン スの一例を示す図である。
図 4 4は、 実施例 3 _ 3のファイアウォール装置の概略構成と、 そのファイアウォール装置が使用されるネットワークモデルを示 すブロック図である。
図 4 5は、 図 4 4のネッ トワークモデルの動作を示すシーケン スの一例を示す図である。
図 4 6は、 実施例 3— 4のファイアウォール装置の概略構成と、 そのファイアウォール装置が使用されるネットワークモデルを示 すブロック図である。
図 4 7は、 図 4 6のネッ トワークモデルの動作を示すシーケン スの一例を示す図である。 図 4 8は、 実施例 3— 5のファイアウォール装置の概略構成と、 そのファイアウォール装置が使用されるネッ トワークモデルを示 すブロック図である。
図 4 9は、 図 4 8のネッ トワークモデルの動作を示すシーケン スの一例を示す図である。
図 5 0は、 実施例 3— 6のファイアウォール装置の概略構成と、 そのファイアウォール装置が使用されるネッ トワークモデルを示 すプロック図である。
図 5 1は、 図 5 0に示す認証サーバ 1内の認証情報の詳細を示 す図である。
図 5 2は、 図 5 0に示す認証サーバ 1内のユーザ端末情報部に 保持されるプールテーブルの詳細を示す図である。
図 5 3は、 図 5 0に示す認証サーバ 2内の認証情報の詳細を示 す図である。
図 5 4は、 図 5 0に示す認証サーバ 2内のユーザ端末情報部に 保持されるプールテーブルの詳細を示す図である。
図 5 5は、 図 5 0に示すユーザ （2 0 1 5— 1 ) 力 S、 ユーザ端 末 （2 0 0 2— 1 ) を介してファイアウォール装置に送信するュ 一ザ名を示す図である。
図 5 6は、 図 5 0に示すユーザ （2 0 1 5— 2 ) 力 ユーザ端 末 （ 2 0 0 2— 2 ) を介してファイアウォール装置に送信するュ 一ザ名を示す図である。
図 5 7は、 図 5 0に示す識別子管理サーバ内の識別子管理テー ブルの詳細を示す図である。
図 5 8は、 図 5 0に示すセキュリティポリシサーバ内のセキュ リティポリシテーブルの詳細を示す図である。
図 5 9は、 図 5 0のネッ トワークモデルの動作を示すシーケン スの一例を示す図である。
図 6 0は、 図 5 0のネッ トワークモデルの動作を示すシーケン スの一例を示す図である。
図 6 1 は、 コンピュータシステムの構成例を示す図である。 発明を実施するための最良の形態
以下、 図面を参照して本発明の各実施例を説明する。
(実施例 1一 1〜実施例 1一 5 )
[実施例 1一 1 ]
まず、 本発明の実施例 1 _ 1を図 8および図 9を用いて説明す る。 本例では、 ユーザからのネッ トワーク接続方式は P P P、 認 証用通信は R A D I U Sとする。
ファイアウォール装置 1 0 0は、 ユーザ毎に仮想ファイアゥォ ールを具備している。 例えば、 ユーザ # aのセキュリティポリシ が適用され、 ユーザ # a の端末 1 1 1を保護する仮想ファイアゥ オール 1 0 2、 ユーザ # bのセキュ リティポリ シが適用され、 ュ 一ザ # b の端末 1 1 2を保護する仮想ファイアウォール 1 0 3力 S、 ファイアウォール装置 1 0 0内に存在する。
また、 振分け管理テーブル 1 0 1には、 事前に設定可能なユー ザ名おょぴ仮想ファイアウォール I Dが登録されている。 すなわ ち振分け管理テーブル 1 0 1には、 ユーザ名 # a と仮想ファイア ウォール I D 1 0 2、 ユーザ名 # b と仮想フアイァウォール I D 1 0 3との対応付けが登録されている。 ただし、 各ユーザ端末の ユーザ I Dとなるユーザ I Pァドレスは未確定のため、 この時点 では登録することができない （振分け管理テーブル 1 0 1— 1の 状態） 。
本例ではユーザ # a の端末 1 1 1がィンターネッ ト 1 1 0にネ ッ トワーク接続し、 その後、 接続相手端末 1 1 3と I P通信を行 うものとする。 まず、 ユーザ端末 1 1 1からのネッ トワーク接続 要求として、 ユーザ端末 1 1 1 とファイアウォール装置 1 0 0と の間で L C P (Link Control Protocol) の情報がやり とりされ る （1 3 9 ) 。 この後行われる認証情報のやり と り 1 4 0により、 ファイアウォール装置 1 0 0はユーザ端末 1 1 1から送信される ユーザ名 # aを抽出し、 ユーザ名 # aを保持する （処理ポイント 1 5 0) 。
そして認証情報 （ユーザ名おょぴパスワード） を RAD I U S サーバ 1 3 0に通知する （ 1 4 1 ) 。 RAD I U Sサーバ 1 3 0 にて認証され、 その応答 1 4 2を受信すると、 ファイアウォール 装置 1 0 0はその応答 1 4 2に記載されているユーザ端末に付与 すべきユーザ I pァドレスを保持する。 このユーザ I Pアドレス を [ a . a . a . a ] とする。 そして、 ユーザ名 # aを検索キー として、 振分け管理テーブル 1 0 1の中のユーザ名が # a と記載 されている行にこのユーザ I Pアドレス [ a . a . a . a ] を登 録する （処理ボイント 1 5 1。 振分け管理テーブル 1 0 1 — 2の 状態） 。
また、 ファイアウォール装置 1 0 0は、 これと同時に、 NC P (Network Control Protocol) の情報をユーザ端末 1 1 1 とファ ィァウォール装置 1 0 0との間でやり とりする （ 1 4 3 ) 中で、 ユーザ I Pアドレス [ a . a . a . a ] をユーザ端末 1 1 1に送 り、 ユーザ端末 1 1 1は自ユーザ I Pアドレス力 S [ a . a . a . a ] であると認識する。
NC Pが終了後、 ユーザ端末とネッ トワークとの間で P P P接 続が確立される。 その後、 ユーザ端末 1 1 1から接続相手端末 1 1 3に向け送信されるバケツ ト 1 2 1を、 ファイアウォール装置 1 0 0が受信すると、 その送信元 I Pアドレスとして記載される [ a . a . a . a ] を検索キーとして振分け管理テーブル 1 0 1 を参照し、 [ a . a . a . a ] の行に記載されている仮想フアイ ァウォール I D = 1 0 2を抽出し、 該パケッ ト 1 2 1を仮想ファ ィァウォール 1 0 2に振り分ける （処理ポィント 1 5 2 ) 。 これ により、 パケッ ト 1 2 1は、 ユーザ # aが定めるセキュリティポ リシに従うフィルタリングルールに従い、 通過あるいは廃棄処 a が適用される。
また、 通信相手端末 1 1 3からユーザ端末 1 1 1に向け送信さ れるパケッ ト 1 2 2をフアイァウォール装置 1 0 0が受信すると、 その宛先 I Pア ドレスとして記載される [ a . a . a . a ] を検 索キーと して振分け管理テーブル 1 0 1を参照し、 [ a . a . a . a ] の行に記載されている仮想ファイアウォール I D = 1 0 2を 抽出し、 該バケツ ト 1 2 2を仮想ファイアウォール 1 0 2に振り 分ける （処理ボイント 1 5 3) 。 これにより、 パケッ ト 1 2 2は、 ユーザ # aが定めるセキュリティポリシに従うフィルタリングル ールに従い、 通過あるいは廃棄処理が適用される。
ユーザ: |φ bの端末 1 1 2がィンターネッ ト 1 1 0にネッ トヮ一 ク接続し、 その後、 接続相手端末 1 1 3 と I P通信を行う場合も、 同様の手順により、 端末 1 1 2が送受信するパケッ トは仮想ファ ィァウォール 1 0 3に振り分けられ、 ユーザ # bが定めるセキュ リティポリシに従うフィルタリングルールに従い、 通過あるいは 廃棄処理が適用される。
[実施例 1一 2]
本発明の実施例 1一 2を、 図 1 0を用い説明する。 本例は、 実 施例 1一 1において、 ユーザ # aから送られるユーザ名あるいは パスヮードに誤りがあるなどの理由により、 ユーザ名およびパス ヮードの通知 1 4 1によって送られたユーザ名とパスヮードの組 合せが、 RAD I USサーバ 1 3 0に登録されているユーザ名と パスヮードの組合せと一致しない場合を示すものである。
なお、 L C P 1 3 9からユーザ名おょぴパスワー ドの通知 1 4 1の処理は実施例 1一 1 と同様であるため、 説明を省略する。
前述の理由により、 RAD I USサーバ 1 3 0からの認証エラ 一通知 6 42が送られると、 ファイアウォール装置 1 0 0は、 ュ 一ザ端末 1 1 1に認証エラー通知 6 4 3を送信し、 P P Pの確立 処理を終了する。 このときファイアウォール装置 1 0 0は、 振分 け管理テーブル 1 0 1には何も処理を行わない。
[実施例 1一 3]
本発明の第 3の実施例を、 図 8、 図 1 1および図 1 2を用い説 明する。 本例は、 実施例 1一 1において、 ファイアウォールサー ビス未登録ユーザ # cの端末 1 1 4が、 インターネッ ト 1 1 0に ネットワーク接続し、 その後、 接続相手端末 1 1 3と I P通信を 行う形態を示すものである。 なお、 ファイアウォールサービス未 登録ユーザ # cは、 振分け管理テーブル 1 0 1 _ 3には、 ユーザ 名おょぴ仮想ファイアウォールの登録はないが、 端末 1 1 4を通 じてインターネッ ト 1 1 0への通信サービスは享受しており、 R AD I U Sサーバ 1 3 0にユーザ名およびパスヮードが登録され ている。
図 1 2において、 ユーザ I Pァドレスの通知 1 4 2までの動作 は、 実施例 1— 1 と同様であり、 説明は省略する。
ユーザ I Pア ドレスの通知 1 4 2を受信すると、 ファイアゥォ ール装置 1 0 0はユーザ I Pァドレスの通知 1 4 2に記載されて いるユーザ端末に付与すべきユーザ I pア ドレス [ c . c . c . c ] を保持する。 そして、 ユーザ名を検索キーとして、 振分け管 理テーブル 1 0 1— 3に対し、 ユーザ名 # cの検索を行うが、 ュ 一ザ名 # cは存在しないため、 ユーザ I Pア ドレス [ c · c . c . c ] を振分け管理テーブル 1 0 1— 3には登録しない。
また、 ファイアウォール装置 1 0 0は、 これと同時に、 NC P の情報をユーザ端末 1 1 4とファイアウォール装置 1 0 0との間 でやり と りする （ 1 4 3) 中で、 ユーザ I Pア ドレス [ c . c . c . c ] をユーザ端末 1 1 4に送り、 ユーザ端末 1 1 4は自ユー ザ I Pア ドレス力 S [c . c . c . c ] であると認識する。
NC Pが終了後、 ユーザ端末とネッ トワークとの間で P P P接 続が確立される。 その後、 ユーザ端末 1 1 4から接続相手端末 1 1 3に向け送信されるバケツ ト 1 2 1を、 ファイアウォール装置 1 0 0が受信すると、 その送信元 I Pア ドレスと して記載される [ c . c . c . c ] を検索キーとして振分け管理テーブル 1 0 1 を参照した結果、 該送信元 I Pァドレスが登録されていないこと が判明する。
該送信元 I Pァドレスが登録されていない場合、 図 1 1に示す 振分け管理テーブル 1 0 1— 3の最下行にあるように、 振り分け るべき仮想ファイアウォールは仮想ファイアウォール 1 0 4と記 載されているため、 該バケツ ト 1 2 1を未登録ユーザ用の仮想フ アイァウォール 1 0 4に振り分ける （処理ボイント 1 5 2 ) 。 同様にして、 通信相手端末 1 1 3から送信されるパケッ ト 1 2 2に対しても、 その宛先ユーザ I Pァドレス [ c . c . c . c ] を検索キーとして振分け管理テーブル 1 0 1を参照した結果、 該 宛先 I Pァドレスが登録されていないことが判明すると、 該パケ ッ ト 1 2 2を未登録ユーザ用の仮想フアイァウォール 1 0 4に振 り分ける （処理ポィント 1 5 3 ) 。
なお、 未登録ユーザ用の仮想ファイアウォール 1 0 4は、 フィ ルタリングルールが記載されず、 全てのバケツ トを無条件に通過 させる、 あるいは、 未登録ユーザ全員に共通なフィルタリングル ールが記載されている。
[実施例 1 一 4 ]
本発明の第 4の実施例を、 図 8、 図 1 3およぴ図 1 4を用い説 明する。 本例は、 実施例 1 _ 3と同様の条件であり、 ファイアゥ オールサービス未登録ユーザ # cの端末 1 1 4が、 ィンターネッ ト 1 1 0にネッ トワーク接続し、 その後、 接続相手端末 1 1 3 と I P.通信を行う形態を示すものである。 なお、 ファイアウォール サービス未登録ユーザ # cは、 振分け管理テーブル 1 0 1 — 4に は、 ユーザ名おょぴ仮想ファイアウォールの登録はないが、 端末 1 1 4を通じてインターネッ ト 1 1 0への通信サービスは享受し ており、 RAD I USサーバ 1 3 0にユーザ名おょぴパスワード が登録されている。
図 1 4において、 ユーザ I Pァ ドレスの通知 1 4 2までの動作 は、 実施例 1一 1 と同様であり、 説明は省略する。
ユーザ I Pア ドレスの通知 1 4 2を受信すると、 ファイアゥォ ール装置 1 00はユーザ I Pァ ドレスの通知 1 4 2に記載されて いるユーザ端末に付与すべきユーザ I Pア ドレス [c . c . c . c ] を保持する。 そして、 ユーザ名を検索キーとして、 振分け管 理テーブル 1 0 1— 4に対し、 ユーザ名 # cの検索を行うが、 ュ 一ザ名 # cは存在しない。 ユーザ名が存在しない場合、 図 1 3に 示すように、 ユーザ I Pア ドレス [ c . c . c . c ] および未登 録ユーザ用の仮想ファイアウォール 1 04の I D= 1 04を振分 け管理テーブル 1 0 1— 4に登録する。
また、 ファイアウォール装置 1 0 0は、 これと同時に、 NC P の情報をユーザ端末 1 1 4とファイアウォール装置 1 0 0との間 でやり とりする （1 4 3) 中で、 ユーザ I Pア ドレス [ c · c . c . c] をユーザ端末 1 1 4に送り、 ユーザ端末 1 1 4は自ユー ザ I. Pア ドレス力 S [ c . c . c . c ] であると認識する。
N C Pが終了後、 ユーザ端末とネッ トワークとの間で P P P接 続が確立される。 その後、 ユーザ端末 1 1 4から接続相手端末 1 1 3に向け送信されるパケッ ト 1 2 1を、 ファイアウォール装置 1 00が受信すると、 その送信元 I Pア ドレスとして記載される [ c . c . c . c ] を検索キーとして振分け管理テーブル 1 0 1 を参照し、 該送信元 I Pア ドレスと対応付けられている仮想ファ ィァウォール I D = 1 04を検索し、 該パケッ ト 1 2 1を未登録 ユーザ用の仮想ファイアウォール 1 04に振り分ける （処理ポィ ント 1 5 2 ) 。
同様にして、 通信相手端末 1 1 3から送信されるバケツ ト 1 2 2に対しても、 その宛先ユーザ I Pア ドレス [c . c . c . c ] を検索キーとして振分け管理テーブル 1 0 1 — 4を参照し、 該送 信元 I Pア ドレスと対応付けられている仮想ファイアウォール I D = 1 0 4を検索し、 該バケツ ト 1 2 2を未登録ユーザ用の仮想 ファイアウォール 1 0 4に振り分ける （処理ボイント 1 5 3 ) 。 なお、 未登録ユーザ用の仮想ファイアウォール 1 0 4は実施例 1 一 3と同様、 フィルタ リ ングルールが記載されず、 全てのパケ ッ トを無条件に通過させる、 あるいは、 未登録ユーザ全員に共通 なフィルタ リ ングルールが記載されている。
また、 該送信元 I Pァドレスが登録されていない場合、 図 1 3 に示す振分け管理テーブル 1 0 1 — 4の最下行にあるように、 パ ケッ トを廃棄する。 これによつて、 ある悪意ユーザが IP Spoofin g攻撃などにより、 どのユーザにも付与されていない I Pァドレ スを持つバケツ トを大量に送出した場合に、 ファイアウォール装 置 1 0 0にてこれらのパケッ トを廃棄することができる。
[実施例 1一 5 ]
本発明の実施例 1一 5を、 図 8、 図 1 5および図 1 6を用い説 明する。 本例は、 実施例 1一 1において、 ファイアウォールサ ビス未登録ユーザ # dの端末 1 1 5が、 ィンターネッ ト 1 1 0に ネッ トワーク接続し、 その後、 接続相手端末 1 1 3と I P通信を 行う形態を示すものである。 なお、 ユーザ # dは本来、 ファイア ウォールサービスに登録されるべきユーザであるが、 本例では、 ファイアウォール装置 1 0 0の管理者が振分け管理テーブル 1 0 1 - 5にその登録をし忘れたあるいは誤った登録を行ったなどの 理由により、 ユーザ名 # dが振分け管理テーブル 1 0 1— 5に正 しく登録されていない形態となっている。 なお、 R A D I U Sサ ーバ 1 3 0には正しくユーザ名 # dおよびパスヮードが登録され ている。
図 1 5において、 ユーザ I Pァドレスの通知 1 4 2までの動作 は、 実施例 1 _ 1 と同様であり、 説明は省略する。 ユーザ I Pア ドレスの通知 1 4 2を受信すると、 ファイアゥォ ール装置 1 0 0はユーザ I Pァドレスの通知 1 4 2に記載されて いるユーザ端末に付与すべきユーザ I Pア ドレス [ d . d . d . d ] を保持する。 そして、 ユーザ名を検索キーとして、 振分け管 理テーブル 1 0 1— 5に対し、 ユーザ名 # dの検索を行うが、 ュ 一ザ名 # dは存在しない。 ユーザ名が存在しない場合、 ファイア ウォール装置 1 0 0は、 ユーザ端末 1 1 5に認証エラー通知 9 4 3を送信し、 P P Pの確立処理を終了する。
(実施例 1一：！〜 1 一 5の効果）
実施例 1— 1 のファイアウォール装置は、 常時接続サービスの ようにユーザ I Pア ドレスが、 ユーザ端末とネッ トワークとの接 続が確立されるときに初めて付与され、 かつ、 ユーザ I Pァドレ スの値が可変である場合に対し、 動的に振分け管理テーブルにュ 一ザ I Pァドレスを登録する手段を有する。 また、 本発明の動的 ユーザ識別子対応ファイアウォール装置は、 ユーザ毎に仮想ファ ィァウォールを有する。
これにより、 事前にユーザ I Pア ドレスと仮想ファイアウォー ル I Dとの対応付けができない通信形態に対し、 ユーザ端末から のネッ トワーク接続のための認証情報を利用し、 動的にユーザ I Pアドレスと仮想ファイアウォール I Dとを対応づけ、 該ユーザ 端末が送信あるいは受信するバケツ トに対し、 該ユーザが定める セキュリティポリシに従うフィルタリングルールを適用すること ができる。 また、 収容ユーザの集約による経済化と、 アウ トソー シングによるユーザ稼動の軽減を可能とする。
また、 実施例 1 一 2のファイアウォール装置は、 ユーザから送 られるユーザ名あるいはパスヮードに誤りがあり、 R A D I U S サーバからの認証エラー通知が送られる場合に、 振分け管理テー ブルには何も処理を行わず、 ユーザ端末に認証エラー通知を送信 する。 これにより、 ネッ トワーク接続が拒絶される場合の振分け 管理テーブル検索および登録処理を排除し、 その分余った処理能 力を、 他の処理に注力することができる。
また、 実施例 1一 3および実施例 1一 4のファイアウォール装 置は、 フアイァウォールサービスを享受しないユーザのユーザ端 末も収容することができ、 本ファイアウォールサービスを享受し ない各ユーザが、 サービスを享受する度に発生する物理的な接続 の収容替えの煩わしさを排除することができる。
さらに、 実施例 1一 3に示す手段の場合、 未登録ユーザを振分 け管理テーブルに登録させず、 未登録ユーザの送受信バケツ トを 自動的に未登録ユーザ用の仮想ファイアウォールに振り分けるた め、 振分け管理テーブルに登録される件数は、 現在ネッ トワーク 接続確立中の登録ユーザに限ることができ、 検索時間の短縮に貢 献する。
一方、 実施例 1一 4に示す手段の場合、 未登録ユーザを振分け 管理テーブルに登録させ、 未登録ユーザの送受信パケッ トを陽に 未登録ユーザ用の仮想ファイアウォールに振分け、 また、 振分け 管理テーブルに登録されていない場合は、 パケッ トを廃棄するた め、 ある悪意ユーザが IP Spoofing攻撃などにより、どのユ ITに も付与されていない IPアドレスを持つハ°ケットを大量に送出した場合 に、ファイアウォール装置にてこれらのハ。ケットを廃棄することがで きる。
このように実施例 1一 3と実施例 1一 4の各手段は、 用途によ り使い分けられる。
実施例 1一 5のファイアウォール装置は、 ファイアウォール装 置の管理者が振分け管理テーブルに対し、 ユーザ名おょぴ仮想フ アイァウォールの登録をし忘れたあるいは誤った登録を行った場 合に対し、 セキュリティの観点から、 もはや成立してはいけない 通信を、 強制的に終了させることが出来る。
(実施例 2— 1〜実施例 2— 7 ) 次に、 実施例 2— 1〜実施例 2— 7について説明する。
実施例 1一 1等に示した動作により、 事前にユーザ I Pァドレ スと仮想ファイアウォール I Dとの対応付けができない通信形態 に対し、 ユーザ端末からのネッ トワーク接続のための認証情報を 利用し、 動的にユーザ I Pア ドレスと仮想フアイァウォール I D とを対応付け、 該ユーザ端末が送信あるいは受信するバケツトに 対し、 該ユーザが定めるセキュリティポリシに従うフィルタリン グルールを適用することができる。
ただし、 常時接続サービスの場合、 データセンタ等への適用の 場合と比較し、 収容ユーザ数が断然に多い。
想定される規模として、 データセンタの場合、 収容ユーザ数は 数百〜数千であるのに対し、 常時接続サービスの場合、 収容ユー ザ数は数万〜数十万規模となる。
現在、 装置化され、 サービスとして導入されている信頼性の高 い仮想ファイアウォール装置の多くは、 データセンタ向けに開発 されており、 実際に収容できるユーザ数は前述の通り、 数百〜数 千となっている。
収容ユーザ数の規模は異なるものの、 常時接続サービス向けの 仮想ファイアウォール装置を開発するにあたり、 開発の効率化や 既存技術の活用の観点から、 前記データセンタ向け仮想ファイア ウォール装置を土台に流用開発や追加開発する手法が極めて有効 となる。
したがって、 常時接続サービス向けの仮想ファイアウォール装 置を提供するための課題は、 ユーザ多重数の向上にある。
また、 常時接続サービスではユーザ多重数が多いため、 ユーザ 毎に独立のセキュリティポリシを提供するサービス性を確保する 場合、 フィルタリングルールの合計数もユーザ多重数に比例し、 多くなる。
しかし実際のところ、 各ユーザのフィルタリングルールには、 多くのユーザに共通するルールもあるため、 ファイアウォール装 置全体の観点から見た場合に、 ルールの重複となり非効率である。 その結果、 フィルタリ ングテーブル量の増大に繋がる。
以上のように常時接続サービス向けの仮想ファイアウォール装 置を開発するには、 ユーザ多重数の向上とフィルタリ ングテープ ルの効率化が課題となる。
実施例 2 _ 1〜実施例 2— 7では、 ユーザ多重数を向上させ、 かつ、 フィルタリ ングテーブルの効率化を実現するファイアゥォ ール装置について説明する。
[実施例 2— 1 ]
図 1 7は、 本発明の実施例 2— 1のファイアウォール装置の概 略構成を示すブロック図であり、 図 1 8は、 本実施例の仮想ファ ィァウォール内のフィルタリ ングテーブルの構成を示す図である。 なお、 本実施例では、 ユーザからのネッ トワーク接続方式は P P P (Point to point Protocol) 、 認証用通信は R A D I U S とする。
ファイアウォール装置 3 0 0は、 複数の仮想ファイアウォール ( 3 0 2， 3 0 3 , …， 3 0 4 ) を具備する。
さらに、 図 1 8に示すように、 各仮想ファイアウォール （ 3 0 2， 3 0 3 ) には、 それぞれ、 フィルタリ ング I Dによって特定 される複数のフィルタリ ングテーブル （ 5 6 1， 5 6 2， 5 6 3 ) が存在し、 各フィルタリングテーブル （ 5 6 1， 5 6 2 , 5 6 3 ) には、 各ユーザの独立した 1つ以上のフィルタリ ングポリシ が記載される。
本実施例では、 ユーザ # a とユーザ # bが定めるセキュリティ ポリシが仮想ファイアウォール 3 0 2に、 ユーザ # dが定めるセ キユリティポリシが仮想ファイアウォール 3 0 3に格納される。
さらに、 ユーザ # aは、 仮想ファイアウォール 3 0 2の中で、 フィルタリング I Dが αのブイルタリ ングテーブル 5 6 1に、 ュ 一ザ # bはフィルタリ ング I Dが j3のフィルタリ ングテーブル 5 6 2に、 ユーザ # dは仮想フアイァウォール 3 0 3の中で、 フィ ルタリ ング I Dが γのフィルタリ ングテーブル 5 6 3に、 それぞ れのセキュリティポリシが記載されている。
ここで、 ユーザ # a とユーザ # b とを同じ仮想ファイアウォー ル 3 0 2に収容するのは、 例えば、 ユーザ # a とユーザ # bの共 通すべきフィルタリ ングポリシが同じである場合や、 仮想フアイ ァウォールがィンターネッ トプロバイダ毎に構築されており、 ュ 一ザ # a とユーザ # b とが同じインターネッ トプロバイダに属す る場合、 等の理由が挙げられる。
振分け管理テーブル 3 0 1には、 事前に設定可能なユーザ名、 仮想ファイアウォール I Dおよびフィルタリ ング I Dが登録され ている。
すなわち、 振分け管理テーブル 3 0 1には、 ユーザ名 # a、 仮 想ファイアウォール I D ( 3 0 2 ) およびフィルタリ ング I D ( a ) の対応付け、 ユーザ名 # b、 仮想ファイアウォール I D ( 3
0 2 ) およびフィルタリ ング I D ( β ) の対応付け、 ユーザ名 # d、 仮想ファイアウォール I D ( 3 0 3 ) およびフィルタリ ング
I D ( γ ) の対応付けが登録される。
ただし、 各ユーザ端末のユーザ I Dとなるユーザ I Ρア ドレス は未確定のため、 この時点では登録することができない （図 1 9 に示す振分け管理テーブル 3 0 1 — 1の状態） 。
ユーザ I Ρァ ドレスが振分け管理テーブル 3 0 1に登録されな い限り、 各ユーザからのバケツ トをそれぞれの仮想ファイアゥォ 一ルに振分けること、 フィルタリ ング I Dの付与を行うことがで きない。
本実施例ではユーザ # aの端末 3 1 1がィンターネッ ト 3 1 0 にネッ トワーク接続し、 その後、 接続相手端末 3 1 3 と I P通信 を行う ものとする。 以下、 図 1 9を用いて、 本実施例のファイアウォール装置の動 作について説明する。 なお、 図 1 9は、 本実施例のファイアゥォ ール装置の動作を示すシーケンス図である。
まず、 ユーザ端末 3 1 1からのネッ トワーク接続要求として、 ユーザ端末 3 1 1 とファイアウォール装置 3 0 0との間で L C P (Link Control Protocol) の情報がやり とり される （図 1 9の 8 3 9 ) o
この後行われる認証情報のやり と り （図 1 9の 8 4 0 ) により、 ファイアウォール装置 3 0 0は、 ユーザ端末 3 1 1から送信され るユーザ名 # aを抽出し、 ユーザ名 # aを保持する （図 1 9の処 理ポィント 8 5 0 ) 。
そして認証情報 （ユーザ名およびパスワード） を、 RAD I U Sサーバ 3 3 0に通知する （図 1 9の 8 4 1 ) 。
RAD I U Sサーバ 3 3 0にて認証され、 その応答を受信する と （図 1 9の 8 4 2 ) 、 ファイアウォール装置 3 0 0はその応答 に記載されているユーザ端末に付与すべきユーザ I Pア ドレスを 保持する。 このユーザ I Pア ドレスを [ a . a . a . a ] とする。 そして、 ユーザ名 # aを検索キーとして、 振分け管理テーブル 3 0 1の中のユーザ名が # a と記載されている行に、 このユーザ I Pアドレス [ a . a . a . a ] を登録する （図 1 9の処理ポィ ント 8 5 1、 図 1 9の振分け管理テーブル 3 0 1 — 2の状態） 。 また、 ファイアウォール装置 3 0 0は、 これと同時に、 N C P (Network Control Protocol) の情報をユーザ端末 3 1 1 とファ ィァウォール装置 3 0 0との問でやり とりする （ 8 4 3 ) 中で、 ユーザ I Pアドレス [ a . a . a . a ] をユーザ端末 3 1 1に送 り、 ユーザ端末 3 1 1は自ユーザ I Pアドレス力 S [ a . a . a . a ] であると認識する。
N C Pが終了後、 ユーザ端末 3 1 1 とィンターネッ ト 3 1 0と の間で P P P接続が確立される。 その後、 ユーザ端末 3 1 1から接続相手端末 3 1 3に向け送信 されるパケッ ト 3 2 1を、 ファイアウォール装置 3 0 0が受信す ると、 その送信元 I Pア ドレスとして記載される [ a . a . a . a ] を検索キーとして振分け管理テーブル （図 1 9の 3 0 1 — 2 ) を検索し、 [ a . a . a . a ] の行に記載されている仮想ファ ィァウォーノレ I D ( I D = 3 0 2 ) 、 フィルタリ ング I D ( I D = a ) を抽出し、 当該パケッ ト 3 2 1を仮想ファイアウォール 3 0 2に振り分けるとともに、 当該パケッ ト 3 2 1に、 aのフィル タリング I Dを付与する （図 1 9の処理ポィント 8 5 2 ) 。
フィルタリング I Dを付与されたバケツ ト 3 2 2は、 図 1 8に 示すように、 振り分けられた仮想ファイアウォール 3 0 2内にお いて、 フィルタリ ング I Dが αのフィルタリ ングテーブル 5 6 1 に記載されているユーザ # aのセキュリティポリシに従うフィル タリングルールに従い、 通過あるいは廃棄処理が適用される。
また、 通信相手端末 3 1 3からユーザ端末 3 1 1に向け送信さ れるバケツ ト 3 2 3をファイアウォール装置 3 0 0が受信すると、 その宛先 I Pア ドレスとして記載される [ a . a . a . a ] を検 索キーとして、 振分け管理テーブル （図 1 9の 3 0 1 — 2 ) を検 索し、 [ a . a . a . a ] の行に記載されている仮想ファイアゥ オール I D ( I D = 3 0 2 ) 、 フィルタリ ング I D ( I D = α ) を抽出し、 当該パケッ ト 3 2 3を仮想ファイアウォール 3 0 2に 振り分けるとともに、 当該パケッ ト 3 2 3に、 αのフィルタリ ン グ I Dを付与する （図 1 9の処理ポィント 8 5 3 ) 。
フィルタリング I Dを付与されたパケッ ト 3 2 4は、 振り分け られた仮想ファイアウォール 3 0 2内において、 フィルタリング I Dが αのフィルタリ ングテーブル 5 6 1に記載されているユー ザ # aのセキュリティポリシに従うフィルタリングルールに従い、 通過あるいは廃棄処理が適用される。
ユーザ # bの端末 3 1 2がィンターネッ ト 3 1 0にネッ トヮ一 ク接続し、 その後、 接続相手端末 3 1 3 と I P通信を行う場合も、 同様の手順により、 端末 3 1 2が送受信するバケツ トは仮想ファ ィァウォール 3 0 2に振り分けられ、 その後、 フィルタリ ングテ 一ブル 5 6 2に記載されているユーザ # bのセキュリティポリシ に従うフィルタ リングルールに従い、 通過あるいは廃棄処理が適 用される。
以上説明したように、 本実施の形態では、 フィルタリ ング I D ( a , β , y ) を導入することにより、 各仮想ファイアウォール ( 3 0 2 , 3 0 3， 3 0 4 ) に複数の独立したフィルタリ ングポ リシを管理することができ、 ユーザ多重数を向上させることがで さる。
また、 ユーザ毎のパケッ トの検索範囲は、 付与されたフィルタ リ ング I Dの値と一致するテーブルのみを検索対象とするため、 検索処理時間が不必要に長くなるのを抑制することができる。
[実施例 2 — 2 ]
本発明の実施例 2 - 2のファイアウォール装置は、 仮想フアイ ァウォールを備えていない点で、 前述の実施例 2 — 1のファイア ウォール装置と相異する。
以下、 本実施例のファイアウォール装置について、 前述の実施 例 2 — 1のファイアウォール装置との相異点を中心に説明する。 なお、 実施例においても、 ユーザからのネッ トワーク接続方式 は P P P、 認証用通信は R A D I U S とする。
図 2 0は、 本発明の実施例 2 — 2のファイアウォール装置の概 略構成を示すプロック図である。
図 2 0に示すよ うに、 本実施例のファイアウォール装置 3 0 0 は、 フィルタリ ング I Dによって特定される複数のフィルタリ ン グテーブル （ 5 6 1， 5 6 2 ) を有し、 各フィルタリ ングテープ ルには、 各ユーザの独立したフィルタリ ングポリシが記載される。 本実施例では、 ユーザ # aはフィルタリ ング I Dが αのフィル タ リングテーブル 5 6 1に、 ユーザ # bはフィルタリング I Dが j3のフィルタリ ングテーブル 5 6 2に、 それぞれのセキュリティ ポリシが記載されている。
振分け管理テーブル 3 0 1には、 事前に設定可能なユーザ名お よびフィルタリ ング I Dが登録されている。
すなわち振分け管理テーブル 3 0 1には、 ユーザ名 # aおよび フィルタリ ング I D αの対応付け、 ユーザ名 # bおよびフィル タリング I D ]3の対応付けが登録される。
ただし、 各ユーザ端末のユーザ I Dとなるユーザ I Pアドレス は未確定のため、 この時点では登録することができない （図 2 1 に示す振分け管理テーブル 3 0 1— 1の状態） 。
ユーザ I Pァドレスが振分け管理テーブル 3 0 1に登録されな い限り、 各ユーザからのパケッ トに対し、 フィルタリ ング I Dの 付与を行うことができない。
本実施例ではユーザ # aの端末 3 1 1がィンターネッ ト 3 1 0 にネッ トワーク接続し、 その後、 接続相手端末 3 1 3 と I P通信 を行うものとする。
以下、 図 2 1を用いて、 本実施例のファイアウォール装置の動 作について説明する。 なお、 図 2 1は、 本実施例のファイアゥォ ール装置の動作を示すシーケンス図である。
ユーザ端末 3 1 1 とファイアウォール装置 3 0 0 との間での L C Pの情報のやり と り （図 2 1の 8 3 9 ) から、 ユーザ端末 3 1 1 とファイアウォール装置 3 0 0 との間での N C Pの情報をやり と り （図 2 1の 8 4 3 ) までの動作は、 実施例 2— 1 と同様であ るので、 再度の説明は省略する。
N C Pが終了後、 ユーザ端末 3 1 1 とィンターネッ ト 3 1 0 と の間で P P P接続が確立される。 その後、 ユーザ端末 3 1 1から 接続相手端末 3 1 3に向け送信されるバケツ ト 3 2 1を、 フアイ ァウォール装置 3 0 0が受信すると、 その送信元 I Pアドレスと して記載される [ a . a . a . a ] を検索キーとして振分け管理 テーブル （図 2 1 の 3 0 1 — 2 ) を検索し、 [ a . a . a . a ] の行に記載されているフィルタリ ング I D ( 1 Ό = a ) を抽出し、 当該バケツ ト 3 2 1に対し、 αのブイルタリ ング I Dを付与する (図 2 1 の処理ポィント 8 5 2 ) 。
フィルタリング I Dを付与されたバケツ ト 3 2 2は、 フィルタ リ ング I Dが αのフィルタリ ングテーブル 5 6 1に記載されてい るユーザ # aのセキュリティポリシに従ぅフィルタリングルール に従い、 通過あるいは廃棄処理が適用される。
また、 通信相手端末 3 1 3からユーザ端末 3 1 1に向け送信さ れるパケッ ト 3 2 3をフアイァウォール装置 3 0 0が受信すると、 その宛先 I Pア ドレスと して記載される [ a . a . a . a ] を検 索キーと して振分け管理テーブル （図 2 1の 3 0 1 — 2 ) を検索 し、 [ a . a . a . a ] の行に記載されているフィルタリ ング I D ( I D = α ) を抽出し、 当該パケッ ト 3 2 3に対して、 αのフ ィルタリ ング I Dを付与する （図 2 1の処理ポィント 8 5 3 ) 。 フィルタリング I Dを付与されたバケツ ト 3 2 4は、 フィルタ リ ング I Dが αのフィルタリ ングテーブル 5 6 1に記載されてい るユーザ # aのセキュリティポリシに従うフィルタリ ングルール に従い、 通過あるいは廃棄処理が適用される。
ユーザ # bの端末 3 1 2がインターネッ ト 3 1 0にネッ トヮー ク接続し、 その後、 接続相手端末 3 1 3 と I P通信を行う場合も、 同様の手順により、 端末 3 1 2が送受信するバケツ トはフィルタ リ ングテーブル 5 6 2に記載されているユーザ # bのセキユリテ ィポリシに従うフィルタリ ングルールに従い、 通過あるいは廃棄 処理が適用される。
[実施例 2 — 3 ]
本発明の実施例 2 — 3のファイアウォール装置は、 フィルタリ ング I Dを、 個別フィルタリ ング I Dと共通フィルタリング I D に 2分化した点で、 前述の実施例 2— 1のファイアウォール装置 と相異する。
以下、 本実施例のファイアウォール装置について、 前述の実施 例 2— 1のファイアウォール装置との相違点を中心に説明する。
なお、 本実施例 2— 3のファイアウォール装置の概略構成は、 図 1 7と同じである。 また、 本実施例においても、 ユーザからの ネッ トワーク接続方式は P P P、 認証用通信は RAD I USとす る。
本実施例のファイアウォール装置では、 前述の実施例 2— 1の フィルタリ ング I Dを、 さらに個別フィルタリング I Dと共通フ ィルタリ ング I Dに 2分化し、 各ユーザ個別のフィルタリ ングポ リシは個別フィルタリ ングテーブルに記載し、 複数のユーザにて 共通化することが可能なフィルタリ ングポリシは共通フィルタリ ングテーブルに記載する。
したがって、 本実施例において、 図 1 7に示す振分け管理テー ブル 3 0 1およぴ図 1 9に示す振分け管理テーブル （3 0 1— 1 ) は、 図 2 2に示す振分け管理テーブル 6 0 1に置き換えられ、 図 1 9に示す振分け管理テーブル （3 0 1— 2) は、 図 2 3の振 分け管理テーブル 1 1 0 1に置き換えられる。
また、 図 24は、 本実施例のファイアウォール装置の仮想ファ ィァウォール内のフィルタリ ングテーブルの構成を示す図である c 本実施の形態のファイアウォール装置 3 0 0は、 複数の仮想フ アイァウォール （ 3 0 2， 3 0 3， …， 3 0 4) を具備している c さらに、 図 24に示すように、 各仮想ファイアウォール （3 0 2， 3 0 3 ) にはそれぞれ、 個別フィルタ リ ング I Dによって特 定される複数のフィルタリングテーブル （ 5 6 1， 5 6 2， 5 6 3) 、 および共通フィルタ リ ング I Dによって特定される複数の フィルタリングテーブル （ 5 7 1 , 5 7 2 ) が存在する。
各ユーザ個別のフィルタリ ングポリシは個別フィルタリ ングテ 一ブル （ 5 6 1， 5 6 2， 5 6 3 ) に、 複数のユーザにて共通化 することが可能なフィルタリ ングポリシは共通フィルタリングテ 一ブル （ 5 7 1， 5 7 2 ) に記載されている。
また、 これに伴い、 図 2 2に示すように振分け管理テーブル 6 0 1は、 ユーザ名、 仮想ファイアウォール I D、 個別フィルタリ ング I Dおよぴ共通フィルタリング I Dを管理する。
本実施例では、 ユーザ # a とユーザ # bが定めるセキュリティ ポリシが仮想ファイアウォール 3 0 2に、 ユーザ # dが定めるセ キユリティポリシが仮想ファイアウォール 3 0 3に格納されてお り、 さらに、 ユーザ # a の個別フィルタ リ ングポリシは仮想ファ ィァウォール 3 0 2の中で、 フィルタリ ング I Dが αの個別ブイ ルタリ ングテーブル 5 6 1に、 ユーザ # bの個別フィルタリ ング ポリシはブイルタリング I Dが j3の個別フィルタリ ングテーブル 5 6 2に、 ユーザ # dの個別フィルタリ ングポリシは仮想フアイ ァウォール 3 0 3の中で、 フィルタリ ング I Dが γの個別フィル タリングテーブル 5 6 3に、 それぞれ記載されている。
また、 ユーザ # a とユーザ # bは、 フィルタリ ング I Dが I の 共通フィルタリ ングテーブル 5 7 1に記載のフィルタリ ングポリ シも適用される。
同様に、 ユーザ # dは、 フィルタ リ ング I Dが II の共通フィ ルタリ ングテーブル 5 7 2に記載のブイルタリ ングポリシも適用 される。
振分け管理テーブル 6 0 1には、 事前に設定可能なユーザ名、 仮想ファイアウォール I D、 個別フィルタリ ング I Dおよぴ共通 フィルタリ ング I Dが登録されている。
すなわち振分け管理テーブル 6 0 1には、 ユーザ名 # a、 仮想 ファイアウォール I D ( 3 0 2 ) 、 個別フィルタリ ング I D ( a ) および共通フィルタ リ ング I D ( I ) の対応付け、 ユーザ名 # b、 仮想ファイアウォール I D ( 3 0 2 ) 、 個別フィルタリ ング I D ( β ) および共通フィルタリング I D ( I ) の対応付け、 ュ 一ザ名 # d、 仮想ファィァウォール I D ( 3 0 3 ) 、 個別フィル タリング I D ( ) および共通フィルタリング I D (II) の対応 付けが登録される。
ただし、 各ユーザ端末のユーザ I Dとなるユーザ I Pア ドレス は未確定のため、 この時点では登録することができない （図 2 2 の振分け管理テーブル 6 0 1の状態） 。
ユーザ I Pァドレスが振分け管理テーブル 6 0 1に登録されな い限り、 各ユーザからのパケッ トをそれぞれの仮想ファイアゥォ 一ルに振分けること、 個別フィルタリング I Dおよび共通フィル タリング I Dの付与を行うことができない。
本実施例では、 ユーザ # aの端末 3 1 1がィンターネッ ト 3 1 0にネッ トワーク接続し、 その後、 接続相手端末 3 1 3と I P通 信を行うものとする。
以下、 図 1 9を用いて、 本実施例のファイアウォール装置の動 作について説明する。
ユーザ端末 3 1 1 とフアイァウォール装置 3 0 0との間での L C Pの情報のやり とりから、 ユーザ端末 3 1 1 とファイアウォー ル装置 3 0 0 との間での N C Pの情報をやり とりまでの動作は、 実施例 2 _ 1 と同様であるので、 再度の説明は省略する。
N C Pが終了後、 ユーザ端末 3 1 1 とィンターネッ ト 3 1 0と の問で P P P接続が確立される。 その後、 図 1 7に示すように、 ユーザ端末 3 1 1から接続相手端末 3 1 3に向け送信されるパケ ッ ト 3 2 1をファイアウォール装置 3 0 0が受信すると、 その送 信元 I Pア ドレスとして記載される [ a . a . a . a ] を検索キ 一として振分け管理テーブル 1 1 0 1を検索し、 [ a . a . a . a ] の行に記載されている仮想ファイアウォール I D ( I D = 3 0 2 ) 、 個別フィルタリング I D ( I D = α ) および共通フィル タリング I D ( I D = I ) を抽出し、 当該パケッ ト 3 2 1を仮想 フアイァウォール 3 0 2に振り分けるとともに、 αの個別ブイル タリ ング I D、 および I の共通フィルタリ ング I Dを付与する （ 図 1 9の処理ポィン ト 8 5 2 ) 。
個別フィルタリング I Dおよび共通フィルタリ ング I Dが付与 されたパケッ ト 3 2 2は、 図 2 4に示すように、 仮想ファイアゥ オール 3 0 2内において、 個別フィルタリ ング I Dがひの個別フ ィルタリ ングテーブル 5 6 1に記載されたユーザ # aのセキユリ ティポリシに従うフィルタリ ングルールに従い、 通過あるいは廃 棄処理が行われる。
もし個別フィルタリ ングテーブル 5 6 1に記載のフィルタリ ン グポリシに、 適用すべきルールが存在しなかった場合、 パケッ ト 3 2 2は、 次に、 共通フィルタリ ング I Dが Iの共通フィルタリ ングテーブル 5 7 1に記載されたフィルタリングポリシに従い、 通過あるいは廃棄処理が行われる。
また、 通信相手端末 3 1 3からユーザ端末 3 1 1に向け送信さ れるパケッ ト 3 2 3をファイアウォール装置 3 0 0が受信すると、 その宛先 I Pア ドレスとして記載される [ a . a . a . a ] を検 索キーとして振分け管理テ ブル 1 1 0 1を検索し、 [ a . a . a . a ] の行に記載されている仮想ファイアウォール I D ( I D = 3 0 2 ) 、 個別フィルタリ ング I D ( I D = α ) およぴ共通フ ィルタリ ング I D ( I D = I ) を抽出し、 当該パケッ ト 3 2 3を 仮想ファイアウォール 3 0 2に振り分けるとともに、 αの個別フ ィルタリング I Dおよび I の共通フィルタリ ング I Dを付与する (図 1 9の処理ポィン ト 8 5 3 ) 。
個別フィルタリング I Dおよび共通フィルタリ ング I Dが付与 されたバケツ ト 3 2 4は、 個別フィルタリ ング I Dが αの個別フ ィルタリングテーブル 5 6 1に記載されたユーザ # aのセキュリ ティポリシに従ぅフィルタリ ングルールに従い、 通過あるいは廃 棄処理が行われる。 もし個別フィルタリ ングテーブル 5 6 1に記載されたブイルタ リ ングポリシに、 適用すべきルールが存在しなかった場合、 パケ ッ ト 3 2 4は、 次に、 共通フィルタリ ング I Dが I の共通フィル タ リ ングテープル 5 7 1に記載されたフィルタリ ングポリシに従 い、 通過あるいは廃棄処理が行われる。
以上説明したように、 本実施例によれば、 例えば、 1 0ユーザ が 2つの同じフィルタリ ングルールを利用している場合、 従来技 術を適用すると、 合計 2 0ルールがフィルタリ ングテーブルに記 載されるのに対し、 本実施例では、 2ルールのみフィルタリ ング テーブルに記載すればよいことになる。
すなわち、 共通フィルタリ ング I Dおよび共通フィルタリ ング テーブルの導入により、 フィルタリ ングポリシを効率的に管理す ることが可能となる。
なお、 実施例 2— 2における仮想フアイァウォールを用いない 形態においても、 本実施例における個別フィルタリ ングテーブル、 共通フィルタリングテーブルを導入することが可能である。 その 場合、 実施例 2— 2において、 フィルタリ ング I Dに代えて、 振 り分け管理テーブルに本実施例と同様の個別フィルタリ ング I D と共通フィルタリング I Dを設け、 また、 フィルタリングテープ ルに代えて、 本実施例と同様の個別フィルタリングテーブルと共 通フィルタリ ングテーブルを備える。
[実施例 2— 4 ]
本実施例のファイアウォール装置は、 前述の実施例 2— 1、 2 一 2のファイアウォール装置において、 ユーザ # aから送られる ユーザ名あるいはパスワードに誤りがあるなどの理由により、 ュ 一ザ名おょぴパスヮードの通知によって送られたユーザ名とパス ヮードの組合せが、 R A D I U Sサーバ 3 3 0に登録されている ユーザ名とパスヮー ドの組合せと一致しない場合の実施の形態で ある。 実施例 2— 4のファイアウォール装置の動作を、 図 2 5を用い て説明する。 なお、 図 2 5は、 実施例 2— 4のファイアウォール 装置の動作を示すシーケンス図である。 '
また、 L C P (図 2 5の 3 3 9) からユーザ名おょぴパスヮー ドの通知 （図 2 5の 3 4 1 ) の処理は、 実施例 2— 1 と同様であ るので、 再度の説明は省略する。
前述の理由により、 R AD I U Sサーバ 3 3 0へのユーザ名お ょぴパスワードの通知 （図 2 5の 34 1 ) に対する応答として、 RAD I USサーバ 3 3 0からの認証エラー通知が送られると (図 2 5の 1 24 2) 、 ファイアウォール装置 3 0 0は、 ユーザ 端末 3 1 1に認証エラー通知を送信し （図 2 5の 1 24 3) 、 P P Pの確立処理を終了する。
このときファイアウォール装置 3 00は、 振分け管理テーブル 3 0 1には何も処理を行わない。
[実施例 2— 5]
本発明の実施例 2— 5のフアイァウォール装置は、 前述の実施 例 2— 1のファイアウォール装置において、 ファイアウォールサ 一ビス未登録ユーザ # cの端末 3 1 4が、 ィンターネッ ト 3 1 0 にネッ トワーク接続し、 その後、 接続相手端末 3 1 3と I P通信 を行う形態の実施の形態である。
本実施例 2— 5のファイアウォール装置の概略構成は、 図 1 7 と同じであり、 図 2 6は、 本実施例の振分け管理テーブルの内容 を示す図である。
なお、 ファイアウォールサービス未登録ユーザ # cは、 振分け 管理テーブル （3 0 1— 3) には、 ユーザ名おょぴ仮想ファイア ウォールの登録はないが、 端末 3 1 4を通じてインターネッ ト 3 1 0への通信サービスは享受しており、 RAD I U Sサーバ 3 3 0にユーザ名およびパスヮードが登録されている。
以下、 図 2 7を用いて、 本実施例のファイアウォール装置の動 作について説明する。 なお、 図 2 7は、 本実施例のファイアゥォ ール装置の動作を示すシーケンス図である。
図 2 7において、 L C P (図 2 7の 3 3 9 ) 力 ら、 ユーザ I P ア ドレスの通知 （図 2 7の 3 4 2 ) までの動作は、 実施例 2 — 1 と同じであるので、 再度の説明は省略する。
ユーザ I Pア ドレスの通知 （図 2 7の 3 4 2 ) を受信すると、 ファイアウォール装置 3 0 0は、 ユーザ I Pァドレスの通知に記 載されているユーザ端末に付与すべきユーザ I Pア ドレス [ c ·
C . C . C ] を保持する。
そして、 ユーザ名を検索キーとして、 振分け管理テーブル （ 3 0 1 - 3 ) に対し、 ユーザ名 # cの検索を行うが、 ユーザ名 # c は存在しないため、 ユーザ I Pア ドレス [ c · c . c . c ] を振 分け管理テーブル （3 0 1 — 3 ) には登録しない。
また、 ファイアウォール装置 3 0 0は、 これと同時に、 N C P の情報をユーザ端末 3 1 4とファイアウォール装置 3 0 0 との間 でやり とりする （図 2 7の 3 4 3 ) 中で、 ユーザ I Pァドレス [ c . c . c . c ] をユーザ端末 3 1 4に送り、 ユーザ端末 3 1 4は自ユーザ I Pア ドレス力 S [ c . c . c . c ] であると認識す る。
N C Pが終了後、 ユーザ端末 3 1 4とィンターネッ ト 3 1 0と の間で P P P接続が確立される。 その後、 ユーザ端末 3 1 4から 接続相手端末 3 1 3に向け送信されるパケッ ト 3 2 1を、 フアイ ァウォール装置 3 0 0が受信すると、 その送信元 I Pアドレスと して記載される [ c . C . C . C ] を検索キーとして振分け管理 テーブル （3 0 1 — 3 ) を検索した結果、 該送信元 I Pア ドレス が登録されていないことが判明する。
該送信元 I Pァドレスが登録されていない場合、 図 2 6に示す 振分け管理テーブル （3 0 1 — 3 ) の最下行にあるように、 振分 けるべき仮想ファイアウォールは仮想ファイアウォール 3 0 4と 記載されているため、 該パケッ ト 3 2 1を未登録ユーザ用の仮想 ファイアウォール 3 0 4に振り分ける （図 2 7の処理ポィント 3 5 2 ) o
同様にして、 通信相手端末 3 1 3から送信されるパケッ ト 3 2 3に対しても、 その宛先ユーザ I Pア ドレス [ c . c . c . c ] を検索キーとして振分け管理テーブル （3 0 1 — 3 ) を検索した 結果、 該宛先 I Pァドレスが登録されていないことが判明すると 当該パケッ ト 3 2 3を未登録ユーザ用の仮想ファイアウォール 3 0 4に振り分ける （図 2 7の処理ポイント 3 5 3 ) 。
なお、 未登録ユーザ用の仮想ファイアウォール 3 0 4は、 フィ ルタリングルールが記載されず、 全てのバケツ トを無条件に通過 させる、 あるいは、 未登録ユーザ全員に共通なフィルタリングル ールが記載されている。
なお、 本実施例のファイアウォール装置は、 前述の実施例 2 — 2のファイアウォール装置にも適用可能である。 この場合に、 フ アイァウォールサービス未登録ユーザ # cの端末 3 1 4からのパ ケッ ト、 フアイァウォールサービス未登録ユーザ # c の端末 3 1 4宛のバケツ トは、 図 2 0に示す迂回ルート 3 0 5を通過する。
[実施例 2 — 6 ]
本発明の実施例 2 _ 6のファイアウォール装置は、 前述の実施 例 2 — 5のファイアウォール装置と同様の条件であり、 ファイア ウォールサービス未登録ユーザ # cの端末 3 1 4が、 インターネ ッ ト 3 1 0にネッ トワーク接続し、 その後、 接続相手端末 3 1 3 と I P通信を行う形態である。
本実施例のファイアウォール装置の概略構成は、 図 1 7と同じ であり、 図 2 8は、 本実施例の振分け管理テーブルの内容を示す 図である。
なお、 ファイアウォールサービス未登録ユーザ # cは、 振分け 管理テーブル （ 3 0 1 — 4 ) には、 ユーザ名おょぴ仮想ファイア ウォールの登録はないが、 端末 3 1 4を通じてインターネッ ト 3 1 0への通信サービスは享受しており、 R AD I U Sサーバ 3 3 0にユーザ名おょぴパスヮードが登録されている。
以下、 図 2 9を用いて、 本実施例のファイアウォール装置の動 作について説明する。 なお、 図 2 9は、 本実施例のファイアゥォ ール装置の動作を示すシーケンス図である。
図 2 9において、 L C P (図 2 9 の 3 3 9 ) 力 ら、 ユーザ I P ァ ドレスの通知 （図 2 9の 3 4 2 ) までの動作は、 実施例 2 — 1 と同じであるので、 再度の説明は省略する。
ユーザ I Pア ドレスの通知 （図 2 9の 3 4 2 ) を受信すると、 ファイアウォール装置 3 0 0は、 ユーザ I Pァドレスの通知に記 載されているユーザ端末に付与すべきユーザ I Pア ドレス [ c .
C . C . C ] を保持する。
そして、 ユーザ名を検索キーとして、 振分け管理テーブル （3 0 1 - 4 ) に対し、 ユーザ名 # c の検索を行うが、 ユーザ名 # c は存在しない。
ユーザ名が存在しない場合、 図 2 8に示すように、 ユーザ I P ア ドレス [ c . c . c . c ] および未登録ユーザ用の仮想フアイ ァウォール 3 0 4の I D ( I D = 3 0 4 ) を振分け管理テーブル ( 3 0 1 - 4 ) に登録する。
また、 ファイアウォール装置 3 0 0は、 これと同時に、 N C P の情報をユーザ端末 3 1 4とファイアウォール装置 3 0 0との間 でやり とりする （図 2 9の 3 4 3 ) 中で、 ユーザ I Pア ドレス [ c . c . c . c ] をユーザ端末 3 1 4に送り、 ユーザ端末 3 1 4 は自ユーザ I Pア ドレス力 S [ c . c . c . c ] であると認識する c N C Pが終了後、 ユーザ端末 3 1 4とインターネッ ト 3 1 0と の間で P P P接続が確立される。 その後、 ユーザ端末 3 1 4から 接続相手端末 3 1 3に向け送信されるバケツ ト 3 2 1を、 フアイ ァウォール装置 3 0 0が受信すると、 その送信元 I Pア ドレスと して記載される [ C . C . C . C ] を検索キーとして振分け管理 テーブル (3 0 1 - 4) を検索し、 当該送信元 I Pア ドレスと対 応付けられている仮想ファイアウォール I D ( I D= 3 04) を 抽出し、 当該バケツ ト 3 2 1を未登録ユーザ用の仮想ファイアゥ オール 3 04に振り分ける （図 2 9の処理ポィン ト 3 5 2 ) 。 同様にして、 通信相手端末 3 1 3から送信されるバケツ ト 3 2 3に対しても、 その宛先ユーザ I Pア ドレス [ c . c . c . c ] を検索キーとして振分け管理テーブル （3 0 1— 4) を検索し、 当該送信先 I Pア ドレスと対応付けられている仮想ファイアゥォ ール I D ( I D = 3 04 ) を抽出し、 当該パケッ ト 3 2 3を未登 録ユーザ用の仮想フアイァウォール 3 04に振り分ける （図 2 9 の処理ポィン ト 3 5 3 ) 。
なお、 未登録ユーザ用の仮想ファイアウォール 3 04は、 前述 の実施例 2— 5 と同様、 フィルタリングルールが記載されず、 全 てのパケッ トを無条件に通過させる、 あるいは、 未登録ユーザ全 員に共通なブイルタリングルールが記載されている。
また、 送信元 I Pア ドレスが登録されていない場合、 図 2 8に 示す振分け管理テーブル 30 1 4の最下行にあるように、 パケッ トを廃棄する。
これよつて、 ある悪意ユーザが IP Spoofing攻撃などにより、 どのユーザにも付与されていない I pァドレスを持つバケツ トを 大量に送出した場合に、 ファイアウォール装置 3 00にてこれら のバケツ トを廃棄することができる。
なお、 本実施例のファイアウォール装置は、 前述の実施例 2— 2のファイアウォール装置にも適用可能である。
この場合に、 振分け管理テーブル （3 0 1— 4) には、 ユーザ I Pア ドレス [ c . c . c . c] および未登録ユーザ用のフィル タリング I Dを登録する。 そして、 ファイアウォールサービス未 登録ユーザ # cの端末 3 14からのパケッ ト、 ファイアウォール サービス未登録ユーザ # cの端末 3 1 4宛のパケッ トは、 図 20 に示す迂回ルート 30 5を通過する。
[実施例 2— 7]
本発明の実施例 2— 7のファイアウォール装置は、 前述の実施 例 2— 1のファイアウォール装置において、 ファイアウォールサ 一ビス未登録ユーザ # dの端末 3 1 5が、 ィンターネッ ト 3 1 0 にネッ トワーク接続し、 その後、 接続相手端末 3 1 3と I P通信 を行う形態を示すものである。
本実施例のファイアウォール装置の概略構成は、 図 1 7と同じ であり、 図 3 0は、 本実施例の振分け管理テーブルの内容を示す 図である。
なお、 ユーザ # dは本来、 ファイアウォールサービスに登録さ れるべきユーザであるが、 本実施例では、 ファイアウォール装置 3 00の管理者が振分け管理テーブル （3 0 1— 5) にその登録 をし忘れた、 あるいは誤った登録を行ったなどの理由により、 ュ 一ザ名 # dが振分け管理テーブル （3 0 1— 5) に正しく登録さ れていない形態となっている。
なお、 RAD I U Sサーバ 3 3 0には正しくユーザ名 # dおよ ぴパスヮードが登録されている。
以下、 図 3 1を用いて、 本実施例のファイアウォール装置の動 作について説明する。 なお、 図 3 1は、 本実施例のファイアゥォ ール装置の動作を示すシーケンス図である。
図 3 1において、 L C P (図 3 1の 3 3 9) 力 ら、 ユーザ I P 了 ドレスの通知 （図 3 1の 34 2) までの動作は、 前述の実施例 2— 1 と同じであるので、 再度の説明は省略する。
ユーザ I Pア ドレスの通知 （図 3 1の 3 4 2) を受信すると、 ファイアウォール装置 3 00は、 ユーザ I Pァドレスの通知に記 載されているユーザ端末に付与すべきユーザ I Pア ドレス [d. d . d . d] を保持する。 そして、 ユーザ名を検索キーとして、 振分け管理テーブル （ 3 0 1 - 5 ) に対し、 ユーザ名 # dの検索を行うが、 ユーザ名 # d は存在しない。
ユーザ名が存在しない場合、 ファイアウォール装置 3 0 0は、 ユーザ端末 3 1 5に認証エラー通知 （図 3 1 の 1 7 4 3 ) を送信 し、 P P Pの確立処理を終了する。
なお、 本実施の形態のファイアウォール装置は、 前述の実施例 2 - 2のファイアウォール装置にも適用可能である。
一般にフィルタリ ングテーブルは、 図 3 2に示すように、 ユー ザ端末側や接続相手先端末側の I Pァドレス、 ユーザ端末側や接 続相手先端末側のポート番号などを元に作成する。
前述の通り、 常時接続サービスの場合、 ユーザ端末側 I Pア ド レスは、 P P Pの接続毎に変化する。
したがって、 図 3 2のフィルタリ ングテーブル 1 9 6 1内に登 録すべきユーザ端末側 I Pア ドレスは、 P P Pの接続毎に動的に 設定する必要があり、 その設定処理量はルール数に比例して大き くなる。
それに対し、 図 3 3に示す本発明に基づく個別フィルタリ ング テーブルは、 振分け管理テーブル 2 0 0 1にて、 バケツ トに個別 フィルタリング I Dを付与し、 個別フィルタリ ングテーブル 2 0 6 1では、 ユーザ端末側 I Pァ ドレスの代わりに個別フィルタリ ング I Dを用いる。
個別フィルタリ ング I Dは、 ユーザ端末側 I Pァドレスの値に 依存せず、 固定値であるため、 P P Pの接続を何度繰り返しても. 個別フィルタリングテーブル 2 0 6 1には全く影響がない。
P P Pの接続毎にユーザ端末側 I Pァドレスが変動することに よって影響を及ぼす箇所は、 振分け管理テーブル 2 0 0 1のユー ザ端末側 I Pア ドレスと個別フィルタリング I Dの対応付け部分 のみであり、 これは個別フィルタリ ングテーブル 2 0 6 1のルー ル数に依存せず、 1行のみの変更ですむ。
このよ う にフィルタ リ ング I Dの導入は、 フィルタ リ ング装置 内部の処理量の抑制にも貢献する。
また、 本発明の共通フィルタ リ ング I Dの導入により、 複数の ユーザにて共通化することが可能なフィルタリングポリシを 1つ にまとめ、 該当ユーザ全てに共通的にフィルタリングテーブルを 提供することができるため、 ファイアウォール装置全体のフィル タリングテーブル量の削減に貢献する。
(実施例 2— 1〜 2— 7の効果）
実施例 2 _ 1〜 2— 7のフィルタ リ ング装置によれば、 ユーザ 多重数を向上させ、 かつ、 フィルタリングテーブルの効率化を実 現することが可能となる。
(実施例 3— 1〜 3— 6 )
以下、 図面を参照して実施例 3 — 1〜 3 _ 6を詳細に説明する, [実施例 3— 1 ]
図 3 4は、 本発明の実施例 3— 1の認証連携型分散ファイアゥ オール装置の概略構成と、 本発明の実施例 3 - 1の認証連携型分 散ファイアウォール装置が使用されるネッ トワークモデルを示す ブロック図である。
認証連携型分散ファイアウォール装置 （以下、 単に、 ファイア ウォール装置という。 ） 5 0 1は、 認証により接続を開始するュ 一ザ （5 1 5— 1 ) が使用するユーザ端末 （ 5 0 2— 1 ) と、 ュ 一ザ （ 5 1 5— 2 ) が使用するユーザ端末 （ 5 0 2— 2 ) を収容 し、 外部ネットワーク （例えば、 インターネット） 5 0 3に接続 されている。
また、 ファイアウォール装置 5 0 1は、 ユーザ固有のセキユリ ティポリシを保持するセキュリティポリシテーブル 5 1 1を備え るセキュリティポリシサーバ 5 0 4、 およびファイアウォール装 置 5 0 1へ配布する識別子を保持する識別子管理テーブル 5 1 2 を備える識別子管理サーバ 5 0 5と接続されている。
さらに、 ファイアウォール装置 5 0 1は、 ユーザの認証情報 5
1 3と、 認証時にユーザ端末に付与するユーザ端末情報から成る プールテーブルを保持するユーザ端末情報部 5 1 4を備える認証 サーバ 5 0 6とも接続されている。
ここで、 前記認証サーバは、 例えば、 RA I DU S (Remote A uthentication Dial-in User Service) サーノ 力 s使用可食 gであり . また、 ユーザ端末情報部 5 1 4に格納されるユーザ端末情報は、 ユーザ端末に付与される I Pァドレスが使用可能である。
さらに、 ユーザ端末 （5 0 2— 1， 5 0 2 - 2 ) からネッ トヮ ークへの接続は P P P (Point to Point Protocol) を使用し、 認証には P A P (Password Authentication Protocol) 、 または.
CHA P (Challenge Handshake Authentication Protocol) 力 S 使用可能である。
また、 ファイアウォール装置 5 0 1は、 受信パケットに付属し ているユーザ端末情報と、 受信パケッ トをフィルタリ ングするフ ィルタリングテーブルを指し示す識別子とを結びつける振分け管 理テーブル 5 0 7と、 実際のフィルタリングを行うファイアゥォ ール部 5 0 8を有している。
さらに、 ファイアウォール部 5 0 8は、 ユーザ （ 5 1 5— 1 ) とユーザ （ 5 1 5 — 2 ) に共通するセキュリティポリシを保持す る共通フィルタリ ングテ一プル 5 0 9 と、 ユーザ （ 5 1 5 — 1 ) . または、 ユーザ （ 5 1 5 — 2 ) の個別セキュリティボリシを保持 するための領域である個別フィルタリングテーブル領域を有する, この個別フィルタリ ングテーブル領域 5 1 0は、 識別情報を書 き込む領域と、 この識別情報を書き込む領域と結び付けられたセ キユリティポリシを書込む領域に分かれている。
図 3 5は、 図 3 4に示す認証サーバ内の認証情報 5 1 3の詳細 を示す図、 図 3 6は、 図 3 4に示す認証サーバ内のユーザ端末情 報部 5 1 4に保持されるプールテーブルの詳細を示す図である。 また、 図 3 7は、 図 34に示す識別子管理サーバ内の識別子管 理テーブル 5 1 2の詳細を示す図、 図 3 8は、 図 34に示すセキ ユリチイポリシサーバ内のセキュリティポリシテーブル 5 1 1の 詳細を示す図、 図 3 9は、 図 34に示すフアイァウォール装置内 の初期状態の振分け管理テーブルの詳細を示す図である。
図 40、 図 4 1は、 図 34のネッ トワークモデルの動作を示す シーケンスの一例を示す図であり、 ユーザ （ 5 1 5— 1 ) が外部 ネッ トワーク 5 0 3へ接続後、 切断し、 その後、 ユーザ （ 5 1 5 一 2) が外部ネッ トワーク 5 03へ接続後、 切断を行うシ一ケン スを示したものである。
始めに、 ユーザ （5 1 5— 1) の接続開始シーケンスについて 説明する。
まず、 ユーザ （ 5 1 5— 1 ) はユーザ端末を介して、 ファイア ウォール装置 5 0 1に、 ユーザ名 （ユーザ 5 1 5— 1 ) とパスヮ ー ド （ α ) を送信する （図 40の 1 1— 1， 1 1— 2) 。
このユーザ名 （ユーザ 5 1 5— 1 ) とパスワー ド （α) を受信 したファイアウォール装置 5 0 1は、 ユーザ名 （ユーザ 5 1 5— 1 ) を保持 （図 4 0の 1 1 _ 3 ) するとともに、 認証サーバ 5 0 6へユーザ名 （ユーザ 5 1 5— 1 ) とパスヮード （ α ) を送信す る （図 40の 1 1— 4) 。
認証サーバ 5 0 6では、 受信したユーザ名 （ユーザ 5 1 5— 1 ) とパスワード （α;) から認証情報 5 1 3を検索し、 認証可能と 判定する （図 40の 1 1— 5) 。
また、 ユーザ端末情報部 5 1 4のプールテーブルから使用中フ ラグが 「0」 である使用可能なユーザ端末情報 （ I P— 1 ) を抽 出し、 抽出した使用可能フラグを 「 1」 にし、 認証了承通知とと もに、 抽出したユーザ端末情報 （ I P— 1 ) をファイアウォール 装置 5 0 1通知する （図 40の 1 1— 6， 1 1— 7) 。 ファイアウォール装置 50 1は、 受信したユーザ端末情報 （ I P— 1 ) を保持し、 このユーザ端末情報とユーザ端末が接続する 回線を結びつける （図 4 0の 1 1一 8) とともに、 前記保持した ユーザ名 （ユーザ 5 1 5— 1 ) を識別子管理サーバ 5 0 5に送信 する （図 40の 1 1一 9) 。
識別子管理サーバ 5 0 5は、 受信したユーザ名 （ユーザ 5 1 5 - 1 ) を元に識別子管理テーブル 5 1 2を検索し、 ユーザ名に結 ぴつられた共通フィルタリングテーブル I D (共通 5 0 9 ) と個 別フィルタリングテーブル I D (個別 5 1 0— 1 ) を抽出し、 フ アイァウォール装置 5 0 1へこの識別子 （共通 5 0 9， 個別 5 1 0— 1 ) を送信する （図 40の 1 1一 1 0、 1 1— 1 1 ) 。
ファイアウォール装置 50 1は、 受信した個別フィルタリ ング テーブル I D (個別 5 1 0— 1 ) を保持するとともに、 受信した 共通フィルタリ ングテーブル I D (共通 5 0 9 ) と、 個別フィル タリングテーブル I D (個別 5 1 0— 1 ) と、 保持しているユー ザ端末情報 （ I P—1 ) とを、 図 3 9に示す振分け管理テーブル 5 0 7に書き込む （図 4 0の 1 1— 1 2) 。
また、 保持しているユーザ名 （ユーザ 5 1 5— 1 ) をセキユリ ティポリシサーバ 5 04へ送信する （図 4 0の 1 1一 1 3) 。 セキュリティポリシサーバ 5 04は、 受信したユーザ名 （ユー ザ 5 1 5— 1 ) を元に、 保持するセキュリティポリシテーブル 5 1 2を検索し、 ユーザ名と結び付けられた個別セキュリティポリ シ （ルール 1— 1〜ルール 1 _m) を抽出し （図 40の 1 1— 1 4 ) 、 ファイアウォール装置 5 0 1へ送信する （図 40の 1 1 _ 1 5 ) 。
ファイアウォール装置 50 1は、 保持している個別フィルタリ ングテーブル I D (個別 5 1 0— 1 ) を個別フィルタリ ングテー プル領域 5 1 0の識別情報に書込むとともに、 受信した個別セキ ユリティポリシ （ノレ一ノレ 1 _ 1〜ノレ一ノレ 1一 m) をセキュリティ ポリ シ領域へ書き込む （図 4 0の 1 1一 1 6) 。
この一連の処理を実施後、 保持しているユーザ端末情報 （ I P 一 1 ) を含む認証成功通知をユーザ端末 （ 5 0 2— 1 ) へ通知す る （図 4 0の 1 1一 1 7 ) 。
以上で接続開始シーケンスが終了し、 これにより、 ユーザ （ 5 1 5— 1 ) は、 ユーザ端末 （ 5 0 2— 1 ) を介して外部ネッ トヮ ーク 5 0 3 と接続可能になる。
次に、 ユーザ端末 （ 5 0 2— 1 ) と外部ネッ トワーク 5 0 3 と の通信シーケンスについて説明する。
ユーザ端末 （ 5 0 2— 1 ) から外部ネッ トワーク 5 0 3へパケ ッ トを転送する場合、 ユーザ端末 （ 5 0 2— 1 ) は接続開始シー ケンスの最後に受けたユーザ端末情報 （ I P— 1 ) を自身のア ド レスと し、 当該ァ ドレスをパケッ トに付与してファイアウォール 装置 5 0 1へ転送する （図 4 0の 1 1 — 1 8 ) 。
ファイアウォール装置 5 0 1は、 受信したパケッ トからユーザ 端末情報 （ I P— 1 ) を抽出し、 このユーザ端末情報 （ I P— 1 ) をキーにして、 振分け管理テーブル 5 0 7を検索し、 共通フィ ルタリ ングテーブル I D (共通 5 0 9 ) と個別フィルタリ ングテ 一ブル I.D (個別 5 1 0— 1 ) を抽出する （図 4 0の 1 1一 1 9 ) o '
次に、 ファイアウォール部 5 0 8において、 抽出した共通フィ ルタリ ングテーブル I D (共通 5 0 9 ) と、 個別フィルタリ ング テーブル I D (個別 5 1 0— 1 ) で示されるフィルタリ ングテー ブルを用い、 パケッ トをフィルタリ ング （図 4 0の 1 1 — 2 0、 1 1 - 2 1 ) した後、 外部ネッ トワーク 5 0 3へ転送する （図 4 0の 1 1— 2 2 ) 。
また、 外部ネッ トワーク 5 0 3からユーザ端末 （ 5 0 2— 1 ) に対するパケッ トを受信し （図 4 0の 1 1 — 2 3 ) 、 ユーザ端末 ( 5 0 2 - 1 ) に転送する場合、 外部ネッ トワーク 5 0 3からの パケッ トには、 宛先ア ドレスとしてユーザ端末情報 （ I P— 1 ) が付与されているので、 ファイアウォール装置 5 0 1は、 受信し たパケッ トから、 このユーザ端末情報 （ I P— 1 ) を抽出し （図 4 0の 1 1— 24) 、 前述したユーザ端末 （ 5 0 2— 1 ) から外 部ネッ トワーク 5 0 3へ転送するパケッ トと同様のシーケンスに より、 パケッ トをフィルタリング (図 40の 1 1一 2 5、 1 1 - 2 6) した後、 ユーザ端末 （ 5 0 2— 1 ) へパケッ トを転送する (図 40の 1 1一 2 7) 。
本実施例のファイアウォール装置 5 0 1は、 以上の処理により， ユーザ端末側おょぴ外部ネッ トワーク側の両方向から送信される バケツ トに対するフィルタリング処理を行い、 パケッ トを転送す る。
次に、 ユーザ （ 5 1 5— 1 ) からの切断シーケンスについて説 明する。
切断時には、 ユーザ （5 1 5— 1 ) からユーザ端末 （ 5 0 2— 1 ) を介して、 切断要求がファイアウォール装置 5 0 1へ通知さ れる （図 40の 1 1— 2 8、 1 1— 2 9) 。
ファイアウォール装置 5 0 1は、 切断要求を受信すると、 受信 した回線を調べ、 接続開始シーケンス時に、 結びつけたユーザ端 末情報 （ I P_1 ) を導き出す。
このユーザ端末情報を元に、 振分け管理テーブル 5 0 7のユー ザ端末情報 （ I P_l ) と関連するェントリから個別フィルタリ ングテーブル I D (個別 5 1 0— 1 ) を抽出後、 このエントリを 削除する （図 40の 1 1一 3 0) 。
ファイアウォール部 50 8の個別フィルタリングテーブル領域 5 1 0の中で、 抽出した個別フィルタリングテーブル I D (個別 5 1 0 - 1 ) が記された識別情報とそれに関連するセキュリティ ポリシ領域を削除する （図 40の 1 1— 3 1 ) 。
また、 導き出したユーザ端末情報 （ I P— 1 ) を認証サーバ 5 0 6に送信し （図 40の 1 1一 3 2) 、 認証サーバ 5 0 6は、 受 信したユーザ端末情報が関連するユーザ端末情報部 5 1 4のブー ルテーブルのエントリの使用中フラグを 「 0」 に戻す （図 40の
1 1 - 3 3) 。
このように、 接続シーケンスで変更した各種テーブル内容を接 続前の状態に戻し、 切断シーケンスが終了する。
続いて、 ユーザ （5 1 5— 2) の接続開始シーケンス、 通信シ ーケンス、 切断シーケンスともユーザ （ 5 1 5— 1 ) と同様の手 段をと り、 実施される （図 4 1の 1 1 _ 3 4〜 1 1一 6 6) 。
ユーザ （ 5 1 5— 2) のシーケンスの特徴としては、 ユーザ ( 5 1 5 - 1 ) の切断シーケンスにより、 ユーザ （5 1 5— 1 ) に関する情報は、 ファイアウォール装置 5 0 1の振分け管理テー ブル 5 0 7、 個別フィルタリ ングテーブル領域 5 1 0にないため、 同じ領域にユーザ （5 1 5— 2) に関する情報を書込むことがで き、 また、 ユーザ端末 （5 1 5— 1 ) が使用したユーザ端末情報 ( I P— 1 ) も使用可能であり、 ユーザ端末情報が、 ユーザ （ 5 1 5 - 1 ) と同じユーザ端末情報 （ I P— 1 ) であっても、 ユー ザ （ 5 1 5— 2) 用のセキュリティポリシでフィルタリ ングする ことができる点である。
これにより、 本発明が解決しょう とする課題の内、 個別フィル タリングテープル領域 5 1 0、 共通フィルタリングテーブル 5 0 9を用い、 個別ブイルタリングテーブル領域 5 1 0に書込むセキ ユリティポリシのみロードすることで、 口一ド負荷を軽減するこ とが可能となる。
また、 ユーザ端末が接続中のみ、 個別フィルタ リ ングテーブル 領域 5 1 0と振分け管理テーブル 5 0 7の領域を使用し、 切断中 は、 この領域を使用しないことで、 ファイアウォール装置 50 1 の個別ブイルタリ ングテーブル領域 5 1 0と振分け管理テーブル 5 0 7の内容を、 同時に接続するユーザ端末数分だけ保持すれば 良いので、 保持するセキュリティポリシの容量を少なくすること が可能となる。
また、 接続毎に付与されるユーザ端末情報とセキュリティポリ シを関連付けることで、 過去の別ユーザ端末のユーザ端末情報と 重複しても、 使用ユーザに対応したフィルタリングを実施するこ とが可能となる。
[実施例 3— 2 ]
図 4 2は、 本発明の実施例 3— 2のフアイァウォール装置の概 略構成と、 本発明の実施例 3— 2のファイアゥォール装置が使用 されるネッ トワークモデルを示すブロック図である。
図 4 2に示すネッ トワークモデルでは、 図 3 4に示すネッ トヮ ークモデルに、 ファイアウォール装置 1 2 0 1 と、 このファイア ウォール装置 1 2 0 1に接続するユーザ端末 1 2 0 2が新たに追 加される。
また、 このファイアウォール装置 1 2 0 1に、 ユーザ （5 1 5 - 1 ) が接続可能であり、 さらに、 ファイアウォール装置 1 2 0 1は、 外部ネッ トワーク 5 0 3と、 セキュリティポリシサーバ 5 0 4と、 識別子管理サーバ 5 0 5と、 認証サーバ 5 0 6 とに接続 される。
ファイアウォール装置 1 2 0 1は、 受信バケツ トに付属してい るユーザ端末情報と受信バケツトをフィルタリングするテーブル を指し示す識別子を結びつける情報を保持する振分け管理テープ ル 1 2 0 7を有し、 実際のフィルタリングを行うファイアウォー ル部 1 2 0 8を有している。
さらに、 ファイアゥオール部 1 2 0 8は、 ユーザ （5 1 5— 1 ) を含めた複数のユーザに共通するセキュリティポリシを保持す る共通フィルタリングテーブル 1 2 0 9と、 ユーザ （5 1 5— 1 ) の個別セキュリティポリシを保持するための領域である個別フ ィルタリングテーブル領域 1 2 1 0を有している。 この個別フィルタ リ ングテーブル領域 1 2 1 0は、 識別情報を 書き込む領域とセキュリティポリシを書込む領域に分かれている 図 4 3は、 図 4 2のネッ トワークモデルの動作を示すシーケン スの一例を示す図であり、 図 4 0で示すシーケンスの後、 ユーザ ( 5 1 5 - 1 ) 力 S、 ファイアウォール装置 1 2 0 1に接続するュ 一ザ端末 1 2 0 2から再度外部ネッ トワーク 5 0 3へ接続し、 通 信を行い、 切断するシーケンスを示したものである。
図 4 3の 1 2— 1〜 1 2— 3 3に示す、 ユーザ （5 1 5— 1 ) 力 S、 ユーザ端末 1 2 0 2へ移動し、 再接続を行う接続シーケンス. 通信を行うシーケンス、 および切断をシーケンスは、 図 4 0に示 すファイアウォール装置 5 0 1で行うシーケンスと同様であるの で、 再度の説明は省略する。
また、 ファイアウォール装置 1 2 0 1に、 セキュリティポリシ サーバ 5 0 4から送信される、 ユーザ （5 1 5 — 1 ) 用の個別セ キユリティポリシも、 識別子管理サーバ 5 0 5から送信される各 種識別子も、 図 4 0において、 ファイアウォール装置 5 0 1に送 信される情報と同じである。
これにより、 本実施例では、 ユーザが、 収容されるファイアゥ オール装置を変更しても、 このユーザに対応したセキュリティポ リシを適用することが可能となる。
[実施例 3 — 3 ]
図 4 4は、 本発明の実施例 3— 3のファイアウォール装置の概 略構成と、 本発明の実施例 3— 3のファイアウォール装置が使用 されるネッ トワークモデルを示すブロック図である。
本実施例は、 識別子管理サーバ 5 0 5に保持される、 ユーザ名 と各種識別子を対応付ける識別子管理テーブル 5 1 2を、 フアイ ァウォール装置 5 0 1の内部に保持する点で、 前述の実施例 3 — 1 と相異する。
図 4 5は、 図 4 4のネットワークモデルの動作を示すシーケン スの一例を示す図であり、 識別子管理サーバ 5 0 5との通信部分 が削除され、 新たに、 ファイアウォール装置 5 0 1の内部に保持 される識別子管理テーブル 5 1 2とのシーケンスが付加されてい る点で、 図 40に示すシーケンスと相異する。
図 40のシーケンスからの変更部分のシーケンスは、 図 4 5の 1 1 - 8において、 認証サーバ 5 0 6から受信したユーザ情報を 保持し、 ユーザ端末 （ 5 0 2— 1 ) の接続回線とこのユーザ情報 を結びつけた後、 図 4 5の 1 1— 3で保持したユーザ名を検索キ 一とし、 識別子管理テーブル 5 1 2を検索し、 共通フィルタリ ン グテーブル I D、 個別フィルタリ ングテーブル I Dを抽出 （図 4 5の 1 5— 9 , 1 5— 1 0， 1 5— 1 1 ) する点である。
本実施例では、 ファイアウォール装置 5 0 1が、 収容する可能 性のある全ユーザの各種識別子を含む識別子管理テーブル 5 1 2 を保持しなければ成らなくなるため、 ファイアウォール装置 5 0 1のメモリ容量が余分に必要になるか、 または、 収容可能なユー ザ数が減少するが、 識別子管理サーバと通信を行うこと無く、 動 作が可能となる。
[実施例 3— 4]
図 4 6は、 本発明の実施例 3— 4のファイアウォール装置の概 略構成と、 本発明の実施例 3— 4のファイアウォール装置が使用 されるネッ トワークモデルを示すプロック図である。
本実施例は、 セキュリティポリシサーバ 5 04に保持される、 ユーザ名と個別セキュリティポリシを対応付けるセキュリティポ リシテーブル 5 1 1を、 フアイァウォール装置 5 0 1の内部に保 持する点で、 前述の実施例 3— 1 と相異する。
図 4 7は、 図 4 6のネッ トワークモデルの動作を示すシーケン スの一例を示す図であり、 セキュリティポリシサーバ 5 04との 通信部分が削除され、 新たに、 ファイアウォール装置 5 0 1の内 部に保持されるセキュリティポリシテーブル 5 1 1 とのシーケン スが付加されている点で、 図 40に示すシーケンスと相異する。 図 40のシーケンスからの変更部分のシーケンスは、 図 4 7の 1 1 - 1 2で振分け管理テーブル 5 0 7に各種識別子を書き込ん だ後に、 図 4 7の 1 1— 3で保持したユーザ名を検索キーとし、 セキュリティポリシテーブル 5 1 1を検索し、 ユーザ名に対応し たセキュリティポリシを抽出 （図 4 7の 1 7— 1 3， 1 7 - 1 4, 1 7 - 1 5) する点である。
本実施例では、 ファイアウォール装置 5 0 1が、 収容する可能 性のある全ユーザの個別セキュリティポリシを含むセキュリティ ポリシテーブル 5 1 1を保持しなければ成らなくなるため、 ファ ィァウォール装置 50 1のメモリ容量が余分に必要になる力 、 ま たは、 収容可能なユーザ数が減少するが、 セキュリティポリシサ ーパと通信を行うこと無く、 動作が可能となる。
[実施例 3— 5]
図 4 8は、 本発明の実施例 3— 5のファイアウォール装置の概 略構成と、 本発明の実施例 3― 5のファイアウォール装置が使用 されるネッ トワークモデルを示すブロック図である。
本実施例は、 セキユリティポリシサーバ 5 04に保持される、 ユーザ名と個別セキュリティポリシを対応付けるセキュリティポ リシテーブル 5 1 1 と、 識別子管理サーバ 50 5に保持される、 ユーザ名と各種識別子を対応付ける識別子管理テーブル 5 1 2と を、 ファイアウォール装置 5 0 1の内部に保持する点で、 前述の 実施例 3— 1 と相異する。
図 4 9は、 図 48のネットワークモデルの動作を示すシーケン スの一例を示す図であり、 セキュリティポリシサーバ 5 04との 通信部分と識別子管理サーバ 5 0 5との通信部分が削除され、 新 たに、 ファイアウォール装置 5 0 1の内部に保持されるセキュリ ティポリシテーブル 5 1 1 と、 識別子管理テーブル 5 1 2のシー ケンスが付加された点で、 図 40に示すシーケンスと相異する。 図 4 0のシーケンスからの変更部分のシーケンスは、 図 4 9の 1 1— 8において、 認証サーバ 5 0 6から受信したユーザ情報を 保持し、 ユーザ端末 （5 0 2— 1 ) の接続回線とこのユーザ情報 を結びつけた後、 図 4 9の 1 1— 3で保持したユーザ名を検索キ 一とし、 識別子管理テーブル 5 1 2を検索し、 共通フィルタリン グテーブル I D、 個別フィルタリングテーブル I Dを抽出 （図 4 9の 1 9一 9， 1 9— 1 0， 1 9— 1 1 ) する点と、 図 4 9の 1 1 - 1 2で振分け管理テーブル 5 0 7に各種識別子を書き込んだ 後に、 図 4 9の 1 1一 3で保持したユーザ名を検索キーとし、 セ キユリティポリシテーブル 5 1 1を検索し、 ユーザ名に対応した セキュリティポリシを抽出 （図 4 9の 1 9一 1 3， 1 9 - 1 4 , 1 9 - 1 5 ) する点である。
本実施例では、 ファイアウォール装置 5 0 1が、 収容する可能 性のある全ユーザの個別セキュリティポリシを含むセキュリティ ポリシテーブル 5 1 1を保持しなければ成らなくなるため、 ファ ィァウォール装置 5 0 1のメモリ容量が余分に必要になる力 、 ま たは、 収容可能なユーザ数が減少し、 および、 収容する可能性の ある全ユーザの各種識別子を含む識別子管理テーブル 5 1 2を保 持しなければ成らなくなるため、 ファイアゥオール装置 5 0 1の メモリ容量がさらに余分に必要になるか、 または、 収容可能なュ 一ザ数がさらに減少するが、 セキュリティポリシサーバ、 識別子 管理サーバと通信を行うこと無く、 動作が可能となる。
[実施例 3— 6]
図 5 0は、 本発明の実施例 3— 6のファイアウォール装置の概 略構成と、 本発明の実施例 3— 6のファイアウォール装置が使用 されるネッ トワークモデルを示すブロック図である。
ファイアウォール装置 2 0 0 1は、 契約ネッ トワーク 1 (例え ば、 I S P ； Internet Service Provider) ( 2 0 1 6— 1 ) を 介して外部ネッ トワーク 2 0 0 3に接続し、 認証によりこの接続 を開始するユーザ （2 0 1 5— 1) が使用するユーザ端末 （ 20 0 2 - 1 ) と、 契約ネッ トワーク 2 (20 1 6 - 2) を介して外 部ネッ トワーク 20 0 3に接続し、 認証によりこの接続を開始す るユーザ （2 0 1 5— 2) が使用するユーザ端末 （20 0 2— 2) を収容する。
また、 ファイアウォール装置 20 0 1は、 ユーザ固有のセキュ リティポリシを保持するセキュリティポリシテーブル 2 0 1 1を 有するセキュリティポリシサーバ 2 004、 および、 ファイアゥ オール装置 2 0 0 1へ配布する識別子を保持する識別子管理テー プル 20 1 2を有する識別子管理サーバ 2 0 0 5とも接続されて いる。
さらに、 ファイアウォール装置 2 0 0 1は、 ユーザの認証情報 (20 1 3 - 1 ) と、 認証時にユーザ端末に付与するユーザ端末 情報から成るプールテーブルを保持しているユーザ端末情報部 (20 1 4 - 1 ) を有し、 契約ネッ トワーク 1を介して外部ネッ トワークに接続するユーザを認証する認証サーバ 1 ( 20 0 6— 1 ) とも接続されている。
さらに、 ファイアウォール装置 2 00 1は、 ユーザの認証情報 (20 1 3 - 2) と、 認証時にユーザ端末に付与するユーザ端末 情報から成るプールテーブルを保持しているユーザ端末情報部
(20 1 4 - 2) を有し、 契約ネッ トワーク 2を介して外部ネッ トワークに接続するユーザを認証する認証サーバ 2 ( 20 0 6 - 2 ) とも接続されている。
また、 フアイァウォール装置 20 0 1は、 受信パケッ トに付属 しているユーザ端末情報と受信バケツトをフィルタ リ ングする仮 想ファイアウォール （ 20 1 4— 1， 20 1 4 - 2) と、 フィル タリングテーブルを指し示す識別子を結びつける振分け管理テー ブル 20 0 7を有している。
さらに、 ファイアウォール装置 2 00 1は、 実際のフィルタリ ングを行うファイアウォール部 2 0 0 8を有し、 このファイアゥ オール部 20 0 8は、 契約ネッ トワーク 1 (2 0 1 6— 1 ) を介 して外部ネッ トワーク 200 3と接続す ユーザ端末に関係する バケツ トのフィルタリングを行う仮想ファイアウォール 1 ( 20 1 4 - 1 ) と、 契約ネットワーク 2 ( 2 0 1 6 - 2) を介して外 部ネッ トワーク 200 3と接続するユーザ端末に関係するバケツ トのフィルタリ ングを行う仮想ファイアウォール 2 (2 0 1 4 - 2 ) を有している。
仮想ファイアゥオール 1 ( 2 0 1 4— 1 ) は、 仮想フアイァゥ オール 1 ( 20 1 4— 1 ) により、 フィルタリングを行う複数の ユーザに共通するセキュリティポリシが保持される共通フィルタ リングテーブル （ 20 0 9— 1 ) と、 個別ユーザ毎のセキユリテ ィポリシを保持する領域である個別フィルタリングテーブル領域 ( 20 1 0 - 1 ) を有している。
また、 個別フィルタリングテーブル領域 （ 2 0 1 0 _ 1 ) は、 識別情報を書き込む領域と、 この識別情報を書き込む領域と結び 付けられたセキュリティポリシを書き込む領域に分かれている。 仮想ファイアウォール 1 ( 2 0 1 4— 1 ) と同様に、 仮想ファ ィァウォール 2 ( 20 1 4 - 2) も、 共通フィルタリングテープ' ル （ 20 0 9— 2 ) と、 個別フィルタリ ングテープル領域 （ 20 1 0 - 2) とを有し、 個別フィルタリングテーブル領域 （20 1 0 - 2) は、 識別情報を書き込む領域と、 この識別情報を書き 込む領域と結び付けられたセキュリティポリシを書き込む領域に 分かれている。
図 5 1は、 図 5 0に示す認証サーバ 1内の認証情報 （ 20 1 3 - 1 ) の詳細を示す図であり、 図 5 2は、 図 5 0に示す認証サー バ 1内のユーザ端末情報部 （ 2 0 1 4— 1 ) に保持されるプール テーブルの詳細を示す図である。
同様に、 図 5 3は、 図 5 0に示す認証サーバ 2内の認証情報 ( 2 0 1 3 - 2 ) の詳細を示す図であり、 図 5 4は、 図 5 0に示 す認証サーバ 2内のユーザ端末情報部 （2 0 1 4— 2 ) に保持さ れるプールテーブルの詳細を示す図である。
図 5 5は、 ユーザ （2 0 1 5— 1 ) 力 S、 ユーザ端末 （ 2 0 0 2 — 1 ) を介してファイアウォール装置 2 0 0 1に送信するユーザ 名を示す図であり、 図 5 6は、 ユーザ （2 0 1 5 — 2 ) が、 ユー ザ端末 （ 2 0 0 2— 2 ) を介してファィァウォール装置 2 0 0 1 に送信するユーザ名を示す図である。
図 5 7は、 図 5 0に示す識別子管理サーバ内の識別子管理テー ブル 2 0 1 2の詳細を示す図であり、 図 5 8は、 図 5 0に示すセ キユリティポリシサーバ内のセキュリティポリシテーブル 2 0 1 1の詳細を示す図である。
図 5 9、 図 6 0は、 図 5 0のネッ トワークモデルの動作を示す シーケンスの一例を示す図であり、 ユーザ ( 2 0 1 5 - 1 ) が、 契約ネッ トワーク 1 ( 2 0 1 6 — 1 ) を介して、 外部ネッ トヮ一 ク 2 0 0 3へ接続後、 切断するシーケンスと、 ユーザ ( 2 0 1 5 一 2 ) が、 契約ネッ トワーク 2 ( 2 0 1 6 - 2 ) を介して外部ネ ッ トワーク 2 0 0 3へ接続後、 切断するシーケンスを示すもので ある。
始めに、 ユーザ （20 1 5— 1 ) の接続開始シーケンスについ て説明する。
まず、 ユーザ （2 0 1 5— 1 ) は、 ユーザ端末 （ 2 0 0 2— 1 ) を介して、 ファイアウォール装置 2 0 0 1に、 ユーザ名 （ユー ザ 2 0 1 5 — 1— 2 0 1 6— 1 ) とパスヮード （ α ) を送信する (図 5 9の 2 1 — 1， 2 1 - 2 ) 。
このユーザ名 （ユーザ 2 0 1 5— 1一 2 0 1 6 — 1 ) とパスヮ ード （α ) を受信したファイアウォール装置 2 0 0 1は、 ユーザ 名の前半部 （ユーザ 2 0 1 5 — 1 ) を保持 （図 5 9の 2 1 — 3 ) するとともに、 ユーザ名の後半部 （2 0 1 6 — 1 ) から、 認証サ ーバ 1 ( 20 0 6— 1 ) へ認証情報を送信することを決定し、 ュ 一ザ名の前半部 （ユーザ 20 1 5 - 1 ) とパスヮード （ο を送 信する （図 5 9の 2 1— 4) 。
認証サーバ 1 ( 20 03— 1 ) では、 受信したユーザの前半部 (ユーザ 2 0 1 5 - 1 ) とパスワード （《) から認証情報 （20 1 3 - 1 ) を検索し、 認証可能と判定する （図 5 9の 2 1— 5 ) , また、 ユーザ端末情報部 （2 0 1 4— 1 ) のプールテーブルか ら使用中フラグが 「0」 である使用可能なユーザ端末情報 （ I P —1 ) を抽出し （図 5 9の 2 1— 6) 、 抽出した使用可能フラグ を 「 1」 にし、 認証了承通知とともに、 このユーザ端末情報 （ I P— 1 ) をファイアウォール装置 2 0 0 1へ通知する （図 5 9の 2 1 - 7) 。
ファイアウォール装置 20 0 1は、 受信したユーザ端末情報 （ I P— 1 ) を保持し （図 5 9の 2 1— 8) 、 このユーザ端末情報 ( I P— 1 ) と、 ユーザ端末 （ 20 0 2— 1 ) が接続する回線を 結びつけるとともに、 保持したユーザ名の前半部 （ユーザ 20 1 5— 1 ) を識別子管理サーバ 20 0 5に送信する （図 5 9の 2 1 一 9) 。
識別子管理サーバ 2 00 5は、 受信したユーザ名の前半部 （ュ 一ザ 2 0 1 5— 1 ) を元に識別子管理テーブル 2 0 1 2を検索し. ユーザ名の前半部 （ユーザ 20 1 5— 1 ) に結ぴつられた仮想フ アイァウォール I D (仮想 2 0 1 4 - 1 ) と、 共通フィルタリン グテーブル I D (共通 200 9— 1 ) と、 個別フィルタリングテ 一ブル I D (個別 20 1 0— 1 ) を抽出し （図 5 9の 2 1— 1 0 ) 、 ファイアウォール装置 2 00 1へこの識別子を送信する (図 5 9の 2 1— 1 1 ) 。
ファイアウォール装置 200 1は、 受信した個別フィルタリ ン グテーブル I D (個別 20 1 0— 1 ) を保持すると伴に、 受信し た仮想ファイアウォール I D (仮想 20 1 4— 1 ) と、 共通フィ ルタリ ングテーブル I D (共通 200 9— 1 ) と、 個別フィルタ リ ングテーブル I D (個別 2 0 1 0— 1 ) と、 保持しているユー ザ端末情報 （ I P_l ) を、 振分け管理テーブル 20 0 7に書き 込む （図 5 9の 2 1— 1 2) 。
また、 保持しているユーザ名の前半部 （ユーザ 2 0 1 5 - 1 ) をセキュリティポリシサーバ 2004へ送信する （図 5 9の 2 1 — 1 3) 。
セキュリティポリシサーバ 20 04は、 受信したユーザ名の前 半部 （ユーザ 20 1 5— 1 ) を元に、 保持するセキュリティポリ シテーブル 20 1 1を検索し、 ユーザ名の前半部 （ユーザ 20 1 5 - 1 ) と結び付けられた個別セキュリティポリシ (ルール 1一 1〜ルール 1一 m) を抽出し （図 5 9の 2 1— 1 4) 、 ファイア ウォール装置 2 0 0 1へ送信する （図 5 9の 2 1— 1 5) 。
ファイアウォール装置 20 0 1は、 保持している個別フィルタ リングテーブル I D (個別 2 0 1 0— 1 ) を個別フィルタリング テーブル領域 （ 2 0 1 0— 1 ) の識別情報領域に書込むと ともに. 受信した個別セキュリティポリシをセキュリティポリシ領域へ書 き込む （図 5 9の 2 1— 1 6 ) 。
この一連の処理を実施後、 保持しているユーザ端末情報 ·（ I P —1 ) を含む認証成功通知をユーザ端末 （ 200 2— 1 ) へ通知 する （図 5 9の 2 1— 1 7) 。
以上で接続開始シーケンスが終了し、 これにより、 ユーザ （2 0 1 5 - 1 ) は、 ユーザ端末 （ 200 2— 1 ) を介して外部ネッ トワーク 20 0 3と接続可能になる。
次に、 ユーザ端末 （ 200 2— 1 ) と外部ネッ トワーク 20 0 3との通信シーケンスについて説明する。
ユーザ端末 ( 20 0 2— 1 ) から外部ネッ トワーク 20 0 3へ パケッ トを転送する場合、 ユーザ端末 （20 0 2— 1 ) は接続開 始シーケンスの最後に受けたユーザ端末情報 （ I P 1 ) を自身 のア ドレスとして、 バケツ トに付与してファイアウォール装置 2 0 0 1へ転送する （図 5 9の 2 1— 1 8) 。
ファイアウォール装置 20 0 1は、 受信したバケツ トからユー ザ端末情報 （ I P— 1 ) を抽出し、 このユーザ端末情報 （ I P— 1 ) をキーに、 振分け管理テーブル 200 7を検索し、 仮想ファ ィァウォール I D (仮想 20 1 4— 1 ) と、 共通フィルタリ ング テーブル I D (共通 20 0 9— 1 ) と、 個別フィルタリ ングテ一 ブル I D (個別 20 1 0— 1 ) を抽出する （図 5 9の 2 1— 1 9 次に、 受信したパケッ トを、 抽出した仮想ファイアウォール I D (仮想 20 1 4— 1 ) で示される仮想ファイアウォール 1 ( 2 0 1 4 - 1 ) へ振分けるとともに、 抽出した仮想ファイアウォー ル （仮想 20 1 4— 1 ) で示される仮想フアイァウォールのフィ ルタリ ングテーブルの内、 抽出した共通フィルタリ ングテーブル I D (共通 20 0 9— 1 ) と、 個別フィルタリ ングテーブル I D (個別 20 1 0— 1 ) で示されるフィルタリ ングテーブルを用い パケッ トをフィルタリ ング （図 5 9の 2 1— 20， 2 1 - 2 1 ) した後、 契約ネッ トワーク 1 (20 1 6— 1 ) を介して、 外部ネ ッ トワーク 20 0 3へ転送する （図 5 9の 2 1— 2 2) 。
また、 外部ネッ トワーク 2 00 3から契約ネッ トワーク 1 ( 2 0 1 6 - 1 ) を介して、 ユーザ端末 （ 20 0 2— 1 ) 宛のバケツ トを受信し （図 5 9の 2 1— 2 3) 、 ユーザ端末 （ 2 0 0 2— 1 ) へ転送する場合、 外部ネッ トワーク 20 0 3からのパケッ トに は、 宛先ァドレスと してユーザ端末情報 （ I P— 1 ) が付与され ており、 ファイアウォール装置 20 0 1は、 受信したバケツ トカ らこのユーザ端末情報 （ I P— 1 ) を抽出し （図 5 9の 2 1— 2 4) 、 前述したユーザ端末 （ 2 0 0 2— 1 ) から外部ネッ トヮ一 ク 20 0 3へのパケッ トと同様のシーケンスにより、 パケッ トを フィルタリング （図 5 9の 2 1— 2 5， 2 1— 2 6) した後、 ュ 一ザ端末. ( 2 0 0 2 - 1 ) へバケツ トを転送する （図 5 9の 2 1
— 2 7) 。
本実施例のファイアウォール装置 20 0 1は、 以上の処理によ り、 ユーザ端末側および外部ネッ トワーク側の両方向から送信さ れるパケッ トに対するフィルタリング処理を行い、 パケッ トを転 送する。
次に、 ユーザ （20 1 5— 1 ) からの切断シーケンスについて 説明する。
切断時には、 ユーザ （20 1 5— 1 ) からユーザ端末 （ 2 0 0 2— 1 ) を介して、 切断要求がファイアウォール装置 2 0 0 1へ 通知される （図 5 9の 2 1— 2 8， 2 1— 2 9) 。
ファイアウォール装置 20 0 1は、 切断要求を受信すると、 受 信した回線を調べ、 接続開始シーケンス時に、 結びつけたユーザ 端末情報 （ I P— 1 ) を導き出す。
このユーザ端末情報 （ I P— 1 ) を元に、 振分け管理テーブル 2 00 7のユーザ端末情報 （ I P— 1 ) と関連するェントリから 仮想ファイアウォール I D (仮想 2 0 1 4— 1 ) と個別フィルタ リングテーブル I D (個別 2 0 1 0— 1 ) を抽出後、 このェント リを削除する （図 5 9の 2 1— 3 0) 。
次に、 抽出した仮想ファイアウォール I D (仮想 2 0 1 4— 1 ) で示される仮想ファイアウォール 1 (20 1 4— 1 ) の個別 フィルタリングテープル領域 （ 20 1 0— 1 ) の中で、 抽出した 個別フィルタリ ングテーブル I D (個別 20 1 0— 1 ) が記され た識別情報とそれに関連するセキュリティポリシ領域を削除する (図 5 9の 2 1— 3 1 ) 。
また、 切断要求を受信して導き出したユーザ端末情報 （ I P— 1 ) を認証サーバ 1 ( 20 0 6— 1 ) に送信する （図 5 9の 2 1
— 3 2) 。
認証サーバ 1 ( 20 0 6— 1 ) は、 受信したユーザ端末情報 （ I P— 1 ) が関連するユーザ端末情報部 （ 2 0 1 4— 1 ) のブー ルテーブルのェントリの使用中フラグを 「 0」 に戻す （図 5 9の 2 1 - 3 3) 。
このよ う に、 接続シーケンスで変更した各種テーブル内容を接 続前の状態に戻し、 切断シーケンスが終了する。
また、 ユーザ （2 0 1 5— 2) の接続開始シーケンス、 通信シ ーケンス、 切断シーケンスも、 ユーザ （ 2 0 1 5— 1 ) と同様の 手段をと り、 実施される （図 6 0の 2 1— 3 4〜 2 1— 6 6 ) 。
このように、 本実施例では、 ファイアウォール装置 2 0 0 1を 複数のファイアウォールとして動作させ、 ファイアウォール毎に. 個別認証サーバ （2 0 0 6— 1， 2 0 0 6 - 2 ) でユーザを認証 し、 フアイァウォール毎に、 契約ネッ トワーク （2 0 1 6— 1， 2 0 1 6 - 2) を介して外部ネッ トワーク 2 0 0 3に接続でき、 且つ、 ユーザ毎にセキュリティポリシをロードすることが可能と なる。
なお'、 前述の説明では、 セキュリティポリシサーバ （ 5 0 4， 2 0 0 4 ) 、 および、 識別子管理サーバ （ 5 0 5， 2 0 0 5 ) 力 S 一台の場合について説明したが、 本実施例の各ファイアウォール 装置を、 同じセキュリティポリシテーブルを有する 2台のセキュ リティポリシサーバ、 あるいは、 同じ識別子管理テーブルを有す る 2台のセキュリティポリシサーバと接続可能としてもよい。
(実施例 3— 1〜 3— 6の効果）
実施例 3— 1〜 3— 6のファイアウォール装置によれば、 収容 するネッ トワークまたは端末が、 動的に接続、 切断を行い、 ある いは、 収容されるファイアウォール装置を変更する場合に、 保持 するセキュリティポリシ容量を最適に保つことが可能になり、 フ アイァウォール装置にロードするセキュリティポリシ量を軽減す ることが可能となる。
なお、 これまでに説明した各実施例におけるファイアウォール 装置は、 例えば、 通信装置を備えたコンピュータシステムに、 各 実施例において説明した処理を実行するプログラムを搭載するこ とにより実現できる。 当該コンピュータシステムは、 例えば、 図 6 1に示すよ う に、 C PU 6 0 0、 メモリ 6 0 1、 ノヽー ドディス ク 6 0 1、 入出力装置 6 0 3、 通信装置 6 0 4を備えている。 各 実施例の処理において保持されるデータは、 例えばメモリ 6 0 1 に保持される。 また、 他のサーバとの通信手段として通信装置 6 0 4が用いられる。 なお、 ルータなども上記のコンピュータシス テムに含まれるものである。
なお、 本発明は、 上記の実施例に限定されることなく、 特許請 求の範囲内で種々変更 ·応用が可能である。

Claims

請求の範囲
1 . 複数の仮想ファイアウォールを有し、 各仮想ファイアゥォ ールはそれぞれ独立したフィルタリングポリシを有するファイア ウォール装置であって、
ユーザ名と仮想ファイアウォール I Dを管理する振分け管理テ ーブノレと、
ユーザ端末からのネッ トワーク接続のための認証情報を受信す ると、 それに記載されているユーザ名を保持する手段と、
認証情報を認証サーバに通知する手段と、
前記認証サーバから、 認証応答を受信すると、 その応答に記載 されている前記ユーザ端末に付与すべきユーザ I Dを保持する手 段とを備え、
前記ユーザ I Dを前記ユーザ名と対応付けて前記振分け管理テ 一ブルに登録することを特徴とするファイアウォール装置。
2 . 前記ファイアウォール装置は、
前記ユーザ端末とネッ トワークとの接続が確立された後に、 前 記ユーザ端末から送信されるバケツ トに対し、 その送信元ユーザ
I Dを検索キーとして前記振分け管理テーブルを参照し、 該送信 元ユーザ I Dと対応付けられている仮想ファイアウォール I Dを 検索し、 該バケツ トを該仮想ファイアウォール I Dを有する仮想 ファイアウォールに振り分け、
前記ユーザ端末の通信相手端末から送信されるバケツ トに対し その宛先ユーザ I Dを検索キーとして前記振分け管理テーブルを 参照し、 該宛先ユーザ I Dと対応付けられている仮想ファイアゥ オール I Dを検索し、 該パケッ トを該仮想ファイアウォール I D を有する仮想ファイアウォールに振り分ける
請求項 1に記載のファイアウォール装置。
3 . 前記認証サーバは、 ネッ トワーク接続要求をするユーザの 認証を行い、
前記ユーザ端末に付与すべきユーザ I Dは前記ユーザ端末に通 5 知され、
前記ユーザ端末は、 前記ユーザ I Dの通知によってはじめてュ 一ザ I Dが付与される請求項 1に記載のファイアウォール装置。
4 . 前記認証サーバからの認証応答が認証エラーのとき、 前記0 振分け管理テーブルに前記ユーザ I Dを登録せず、 前記ユーザ端 末に認証エラーを通知する請求項 1に記載のファイアウォール装
5 . 前記ユーザ端末からのネッ トワーク接続のための認証情報5 に記載されているユーザ名が、 前記振分け管理テーブルに登録さ れていない場合、 前記認証サーバからの認証応答に記載されるュ 一ザ I Dを前記振分け管理テーブルに登録せず、
前記ユーザ端末とネッ トワークとの接続が確立された後に、 前 記ユーザ I Dに対応する前記ユーザ端末から送信されるバケツ ト ひ を未登録ユーザ用の仮想ファイアウォールに振り分け、
前記ユーザ I Dに対応する前記ユーザ端末の通信相手端末から 送信されるバケツ トを未登録ユーザ用の仮想ファイアウォールに 振り分ける請求項 1に記載のフアイァゥォール装置。 5
6 . 前記ユーザ端末からのネッ トワーク接続のための認証情報 に記載されているユーザ名が、 前記振分け管理テーブルに登録さ れていない場合、 前記認証サーバからの認証応答に記載されるュ 一ザ I Dおよぴ未登録ユーザ用の仮想ファイアウォール I Dを前 記振分け管理テーブルに登録する請求項 1に記載のファイアゥォ ール装置。
7 . 前記ユーザ端末からのネッ トワーク接続のための認証情報 に記載されているユーザ名が、 前記振分け管理テーブルに登録さ れていない場合、 前記ユーザ端末に認証エラーを通知する請求項 1に記載のファイアウォール装置。
8 . 前記認証サーバは R a d i u sサーバであり、 前記ユーザ I Dはユーザ I Pァドレスであり、 前記ネッ トワークはインター ネッ トであり、 前記ユーザ端末からネッ トワーク接続は P P P
( Point to Po int Protocol) を用レヽる ft ：¾ 1なレヽし 7のうち いずれか 1項に記載のファイアウォール装置。
9 . ユーザ名と、 ユーザ I Dと、 フィルタリ ング I Dとを対応 付けて管理する振分け管理テーブルと、
前記フィルタリング I Dによって特定され、 それぞれ独立した フィルタリングポリシを有するフィルタリ ングテーブルと、 ネッ トワーク接続開始時に、 ユーザ端末から発行される、 ユー ザ名が記載された認証情報を受信し、 当該ユーザ名を保持する手 段と、
前記認証情報を認証サーバに通知する手段と、
前記認証サーバから認証応答を受信し、 その認証応答に記載さ れている前記ユーザ端末に付与すべきユーザ I Dを保持する手段 とを備え、
前記ユーザ I Dを前記ユーザ名と対応付けて前記振分け管理テ 一プルに登録することを特徴とするファイアウォール装置。
1 0 . 前記ユーザ端末とネッ トワークとの接続が確立された後 に、 前記ユーザ端末から送信されるパケッ トに対して、 その送信 元ユーザ I Dを検索キーとして前記振分け管理テーブルを検索し. 当該送信元ユーザ I Dと対応付けられるフィルタリング I Dを抽 出し、 前記ユーザ端末から送信されるパケッ トに対して、 前記抽 出したフィルタリング I Dを付与し、
前記ユーザ端末の通信相手端末から送信されるパケッ トに対し ては、 その宛先ユーザ I Dを検索キーとして前記振分け管理テー ブルを検索し、 当該宛先ユーザ I Dと対応付けられるフィルタリ ング I Dを抽出し、 前記ユーザ端末の通信相手端末から送信され るバケツ トに対して、 前記抽出したフィルタリング I Dを付与し. フィルタリング I Dが付与されたバケツ トを、 前記付与された フィルタリング I Dによって特定されるフィルタリングテーブル に記載されたフィルタリングポリシに従い、 通過あるいは廃棄す る請求項 9に記載のファイアウォール装置。
1 1 . ユーザ名と、 ユーザ I Dと、 個別フィルタリング I Dと 共通フィルタリング I Dとを対応付けて管理する振分け管理テー ブルと、
前記個別フィルタリング I Dと対応付けられた個別フィルタリ ングテープノレと、
前記共通フィルタリング I Dと対応付けられた共通フィルタリ ングテープノレと、
ネッ トワーク接続開始時に、 ユーザ端末から発行される、 ユー ザ名が記載された認証情報を受信し、 当該ユーザ名を保持する手 段と、
前記認証情報を認証サーバに通知する手段と、
前記認証サーバから認証応答を受信し、 その認証応答に記載さ れている前記ユーザ端末に付与すべきユーザ I Dを保持する手段 とを備え、
前記ユーザ I Dを前記ユーザ名と対応付けて前記振分け管理テ 一ブルに登録することを特徴とするファイアウォール装置。
1 2 . 前記ファイアウォール装置は、
前記ユーザ端末とネッ トワークとの接続が確立された後に、 前 記ユーザ端末から送信されるバケツ トに対して、 その送信元ユー ザ I Dを検索キーと して前記振分け管理テーブルを検索し、 当該 送信元ユーザ I Dと対応付けられる個別フィルタリング I Dおよ ぴ共通フィルタリ ング I Dを抽出し、 前記ユーザ端末から送信さ れるバケツ トに対して、 前記抽出した個別フィルタリ ング I Dお ょぴ共通ブイルタリ ング I Dを付与し、
前記ユーザ端末の通信相手端末から送信されるバケツ トに対し ては、 その宛先ユーザ I Dを検索キーと して前記振分け管理テー ブルを検索し、 当該宛先ユーザ I Dと対応付けられる個別フィル タリ ング I Dおよび共通フィルタリ ング I Dを抽出し、 前記ユー ザ端末の通信相手端末から送信されるバケツ トに対して、 前記抽 出した個別フィルタリ ング I Dおよび共通フィルタリ ング I Dを 付与し、
個別フィルタリ ング I Dおよび共通フィルタリ ング I Dが付与 されたバケツ トを、 前記付与された個別フィルタリ ング I Dによ つて特定される個別フィルタリングテーブルに記載のフィルタリ ングポリシ、 および、 前記付与された共通フィルタリング I Dに よって特定される共通フィルタリ ングテーブルに記載のフィルタ リングポリシに従い、 通過あるいは廃棄する請求項 1 1に記載の ファイアウォール装置。
1 3 . 前記ファイアウォール装置は、
ネッ トワーク接続開始時に、 ユーザ端末から発行される認証情報 に含まれているユーザ名が、 前記振分け管理テーブルに登録され ていない場合に、 前記認証サーバからの認証応答に記載されるュ 一ザ I Dを前記振分け管理テーブルに登録せず、
前記ユーザ I Dに対応する前記ユーザ端末から送信されるパケ ッ トまたは当該ユーザ端末の通信相手端末から送信されるバケツ トを、 未登録ユーザ用のフィルタリングポリシに従い処理する請 求項 9に記載のファイアウォール装置。
1 4 . 前記ファイアウォール装置は、
ネッ トワーク接続開始時に、 前記ユーザ端末から発行される認 証情報に記載されているユーザ名が、 前記振分け管理テーブルに 登録されていない場合に、 前記認証サーバから認証応答に記載さ れているユーザ I Dと、 未登録ユーザ用のフィルタリング I Dを 前記振分け管理テーブルに登録する請求項 9に記載のファィァゥ オール装置。
1 5 . ユーザ名と、 ユーザ I Dと、 仮想ファイアウォール I D と、 フィルタリ ング I Dとを対応付けて管理する振分け管理テー ブルと、
前記仮想ファイアウォール I Dによって特定され、 前記フィル タリング I Dによって特定される少なく とも 1つのフィルタリン グテーブルを有する複数の仮想ファイアウォールと、
ネッ トワーク接続開始時に、 ユーザ端末から発行される、 ユー ザ名が記載された認証情報を受信し、 当該ユーザ名を保持する手 段と、
前記認証情報を認証サーバに通知する手段と、
前記認証サーバから、 認証応答を受信し、 その認証応答に記載 されている前記ユーザ端末に付与すべきユーザ I Dを保持する手 段とを備え、
前記ユーザ I Dを前記ユーザ名に対応付けて前記振分け管理テ 一プルに登録することを特徴とするフィルタリング装置。
1 6 . 前記フィルタリング装置は、
前記ユーザ端末とネッ トワークとの接続が確立された後に、 前 記ユーザ端末から送信されるバケツ トに対して、 その送信元ユー ザ I Dを検索キーとして前記振分け管理テーブルを検索し、 該送 信元ユーザ I Dと対応付けられる仮想ファイアウォール I Dおよ ぴフィルタリング I Dを抽出し、 前記ユーザ端末から送信される バケツ トを、 前記抽出した仮想ファイアウォール I Dで特定され る仮想ファイアウォールに振り分けるとともに、 前記ユーザ端末 から送信されるパケッ トに対して、 前記抽出したフィルタリング I Dを付与し、
前記ユーザ端末の通信相手端末から送信されるバケツ トに対し ては、 その宛先ユーザ I Dを検索キーとして前記振分け管理テー ブルを検索し、 該宛先ユーザ I Dと対応付けられる仮想ファイア ウォール I Dおよびフィルタリング I Dを抽出し、 前記ユーザ端 末の通信相手端末から送信されるバケツトを、 前記抽出した仮想 ファイアウォール I Dで特定される仮想ファイアウォールに振り 分けるとともに、 前記ユーザ端末の通信相手端末から送信される バケツ トに対して、 前記抽出したフィルタリング I Dを付与し、 フィルタリング I Dが付与されたバケツ トを、 前記振り分けら れた仮想ファイアウォール内において、 前記付与されたフィルタ リング I Dによって特定されるフィルタリングテーブルに記載さ れたフィルタリングポリシに従い、 通過あるいは廃棄する請求項 1 5に記載のファイアウォール装置。
1 7 . ユーザ名と、 ユーザ I Dと、 仮想ファイアウォール I D と、 個別フィルタリング I Dと、 共通フィルタリング I Dとを対 応付けて管理する振分け管理テーブルと、
前記個別フィルタリング I Dに対応する個別フィルタリングテ 一ブルと、 前記共通フィルタリング I Dに対応する共通フィルタ リングテーブルとを有する仮想ファイアウォールと、
ネッ トワーク接続開始時に、 ユーザ端末から発行される、 ユー ザ名が記載された認証情報を受信し、 当該ユーザ名を保持する手 段と、
前記認証情報を認証サーバに通知する手段と、
前記認証サーバから、 認証応答を受信し、 その認証応答に記載 されている前記ユーザ端末に付与すべきユーザ I Dを保持する手 段とを備え、
前記ユーザ I Dを前記ユーザ名に対応付けて前記振分け管理テ 一ブルに登録することを特徴とするファイアウォール装置。
1 8 . 前記ファイアウォール装置は、
前記ユーザ端末とネッ トワークとの接続が確立された後に、 前 記ユーザ端末から送信されるバケツ トに対して、 その送信元ユー ザ I Dを検索キーとして前記振分け管理テーブルを検索し、 当該 送信元ユーザ I Dと対応付けられる仮想ファイアウォール I D、 個別フィルタリング I Dおよび共通フィルタリング I Dを抽出し. 前記ユーザ端末から送信されるパケッ トを、 前記抽出した仮想フ アイァウォール I Dで特定される仮想ファイアウォールに振り分 けるとともに、 前記ユーザ端末から送信されるバケツ トに対して. 前記抽出した個別フィルタリング I Dおよび共通フィルタリング
I Dを付与し、
前記ユーザ端末の通信相手端末から送信されるバケツ トに対し. その宛先ユーザ I Dを検索キーとして前記振分け管理テーブルを 検索し、 当該宛先ユーザ I Dと対応付けられる仮想ファイアゥォ ール I D、 個別フィルタリング I Dおよぴ共通フイルクリ ング I Dを抽出し、 前記ユーザ端末の通信相手端末から送信されるパケ ッ トを、 前記仮想ファイアウォール I Dで特定される仮想フアイ ァウォールに振り分けるとともに、 前記ユーザ端末の通信相手端 末から送信されるバケツ トに対して、 前記抽出した個別フィルタ リング I Dおよぴ共通フィルタリング I Dを付与し、
前記個別フィルタリング I Dおよび共通フィルタリング I Dが 付与されたパケッ トを、 前記振り分けられた仮想ファイアウォー ル内において、 前記付与された個別フィルタリング I Dによって 特定される個別フィルタリ ングテーブルに記載のフィルタリング ポリシ、 および、 前記付与された共通フィルタリ ング I Dによつ て特定される共通ブイルタリングテーブルに記載のフィルタリ ン グポリシに従い、 通過あるいは廃棄する請求項 1 7に記載のファ ィァウォール装置。
1 9 . 前記ファイアウォール装置は、
ネッ トワーク接続開始時に、 ユーザ端末から発行される認証情 報に含まれているユーザ名が、 前記振分け管理テーブルに登録さ れていない場合に、 前記認証サーバからの認証応答に記載される ユーザ I Dを前記振分け管理テーブルに登録せず、
前記ユーザ I Dに対応する前記ユーザ端末から送信されるパケ ッ ト、 または前記ユーザ I Dに対応する前記ユーザ端末の通信相 手端末から送信されるパケッ トを、 未登録ユーザ用のフィルタリ ングポリシに従って処理する請求項 1 5に記載のファイアウォー ル装置。
2 0 . 前記ファイアウォール装置は、
ネッ トワーク接続開始時に、 前記ユーザ端末から発行される認 証情報に記載されているユーザ名が、 前記振分け管理テーブルに 登録されていない場合に、 前記認証サーバから認証応答に記載さ れているユーザ I Dと、 未登録ユーザ用の仮想ファイアウォール I Dを前記振分け管理テーブルに登録する請求項 1 5に記載のフ ァィァウォール装置 (
2 1 . 前記ファイアウォール装置は、
前記認証サーバからの認証応答が認証エラーのとき、 前記振分 け管理テーブルに前記ユーザ I Dを登録せず、 前記ユーザ端末に 認証エラーを通知する請求項 9に記載のファイアウォール装置。
2 2 . 前記ファイアウォール装置は、
ネッ トワーク接続開始時に、 前記ユーザ端末から発行される認 証情報に記載されているユーザ名が、 前記振分け管理テーブルに 登録されていない場合に、 前記ユーザ端末に認証エラーを通知す る請求項 9に記載のファイアウォール装置。
2 3 . 前記ブイルタリ ングテーブルは、 そのフィルタリ ングポ リシの要素として、 前記ユーザ端末に付与すべきユーザ I Dを含 まない請求項 9ないし請求項 2 2のうちいずれか 1項に記載のフ アイァウォール装置。
2 4 . 前記認証サーバは R A D I U Sサーバであり、 前記ユー ザ I Dはユーザ I Pア ドレスであり、 前記ネッ トワークはインタ ーネッ トであり、 前記ユーザ端末からのネットワーク接続は P P Pを用いる請求項 9ないし請求項 2 3のうちいずれか 1項に記載 のファイアウォール装置。
2 5 . 複数のユーザ端末とネッ トワークの間に設置され、 複数 のユーザ端末に対するバケツ トフィルタリングを実施するフアイ ァウォール装置であって、
各ユーザ毎のセキュリティポリシを保持する個別フィルタリ ン グテーブルと、 複数のユーザに共通するセキュリティポリシを保持する共通フ ィルタリ ングテーブルと、
ユーザ端末情報と、 共通フィルタリングテーブル I Dと、 個別 フィルタリ ングテーブル I Dとを管理する振分け管理テーブルと、 ュ ザ端末が接続可能かを判断する認証サーバとの通信手段と、 ュ一ザと結び付けられた共通フィルタリ ングテーブル I D、 お よび個別フィルタリ ングテーブル I Dを管理する識別子管理サー バとの通信手段と、
前記個別フィルタリ ングテーブルに書込まれるユーザ固有のセ キユリティポリシとユーザとの関係を管理するセキュリティポリ シ管理サーバとの通信手段とを備え、
前記フィルタリ ング装置は、
ネッ トワーク接続開始時に、 ユーザ端末から、 ユーザ名を含む 認証情報が付加された接続要求を受信し、 当該ユーザ名を保持し、 保持したユーザ名を認証サーバに通知し、
前記認証サーバから受信した認証応答に付随するユーザ端末情 報を保持し、
前記ユーザ名を、 前記識別子管理サーバと前記セキュリティポ リシサーバに通知し、
前記識別子管理サーバから受信した共通フィルタリ ングテープ ル I D、 および個別フィルタリングテーブル I Dと、 ユーザ端末 情報とを対応付けて前記振分け管理テーブルに記述し、
前記セキュリティポリシサーバから受信したポリシ情報と、 前 記個別フィルタリ ングテーブル I Dとを、 前記個別フィルタリ ン グテーブルに書込むことを特徴とするファイアウォール装置。
2 6 . 前記ファイアウォール装置は、
前記接続要求を発行したユーザ端末とネッ トワークとの接続が 確立された後に、 当該ユーザ端末から送信されるパケッ ト、 また は、 当該ユーザ端末宛のパケッ トを受信し、
受信したバケツ トに含まれるユーザ端末情報を検索キーと して- 前記振分け管理テーブルを参照し、 当該ユーザ端末情報と対応付 けられる共通フィルタリ ングテープル I D、 および個別フィルタ リ ングテーブル I Dを抽出し、
前記受信したパケッ トを、 抽出した共通フィルタ リ ングテープ ル I Dに対応する共通フィルタリ ングテーブル、 および個別フィ ルタリ ングテーブル I Dに対応する個別フィルタリ ングテーブル によりフィルタリ ングする請求項 2 5に記載のファイアウォール 装置。
2 7 . 前記ファイアウォール装置は、
ネッ トワークとの接続切断時に、 ユーザ端末から切断要求を受 信し、 前記ユーザ端末情報を検索キーに、 前記振分け管理テープ ルを参照し、 当該ユーザ端末情報と対応付けられるェントリから 個別フィルタリ ングテーブル I Dを抽出するとともに、 当該ユー ザ端末情報と対応付けられるェントリを無効にし、
前記抽出した個別フィルタリングテーブル I Dに対応する個別 フィルタリ ングテーブルの内容を無効にする請求項 2 5に記載の ファイアウォール装置。
2 8 . 複数のユーザ端末とネッ トワークの間に設置され、 複数 のユーザ端末に対するバケツ トフィルタリ ングを実施するフアイ ァウォール装置であって、
複数のユーザに対して、 バケツ トフィルタリングを実施する少 なく とも 1つの仮想ファイアウォールと、
ユーザ毎のセキュリティポリシを保持する少なく とも 1つの個 別フィルタリングテーブルと、
複数のユーザに共通するセキュリティポリシを保持する少なく とも 1つの共通フィルタリ ングテーブルと、
ユーザ端末情報、 仮想ファイアウォール I D、 共通フィルタリ ングテーブル I D、 個別フィルタリ ングテーブル I Dを管理する 振分け管理テーブルと、
ユーザ端末が接続可能かを判断する認証サーバとの通信手段と、 ユーザと結び付けられた仮想ファィァウォール I D、 共通フィ ルタリングテーブル I D、 および個別フィルタリ ングテーブル I Dを管理する識別子管理サーバとの通信手段と、
前記個別フィルタリ ングテーブルに書込まれるユーザ固有のセ キユリティポリシとユーザとの関係を管理するセキュリティポリ シ管理サーバとの通信手段とを備え、
前記フィルタリ ング装置は、
ネッ トワーク接続開始時に、 ユーザ端末から、 ユーザ名を含む 認証情報が付加された接続要求を受信し、 当該ユーザ名を保持し、 保持したユーザ名を認証サーバに通知し、
前記認証サーバから受信した認証応答に付随するユーザ端末情 報を保持し、
前記ユーザ名を、 前記識別子管理サーバとセキュリティポリシ サーバに通知し、
前記識別子管理サーバから受信した仮想ファイアウォール I D , 共通フィルタリ ングテーブル I D、 および個別フィルタリ ングテ 一ブル I Dと、 前記ユーザ端末情報とを対応付けて前記振分け管 理テーブルに記述し、
前記セキユリティポリ シサーバから受信したポリシ情報と、 前 記個別フィルタ リ ングテーブル I Dとを、 前記仮想ファイアゥォ ール I Dで示される前記仮想ファイアウォールの個別フィルタリ ングテーブルに書込むことを特徴とするファイアウォール装置。
2 9 . 前記ファイアウォール装置は、 前記接続要求を発行したユーザ端末とネッ トワークとの接続が 確立された後に、 当該ユーザ端末から送信されるパケッ ト、 また は、 当該ユーザ端末宛のパケッ トを受信し、
受信したバケツ トに含まれるユーザ端末情報を検索キーと して 前記振分け管理テーブルを参照し、 当該ユーザ端末情報と対応付 けられる仮想ファイアウォール I D、 共通フィルタリ ングテープ ル I D、 および個別フィルタリ ングテーブル I Dを抽出し、 前記受信したバケツ トを、 前記抽出した仮想ファイアウォール I Dに示される仮想ファイアウォールへ振分けるとともに、 当該 バケツ トを、 前記抽出した共通フィルタリ ングテーブル I Dに対 応するフィルタリングテーブル、 および個別フィルタリ ングテ一 ブル I Dに対応する個別フィルタリ ングテーブルによりフィルタ リ ングする請求項 2 8に記載のファイアウォール装置。
3 0 . 前記ファイアウォール装置は、
ネッ トワークとの接続切断時に、 ユーザ端末から切断要求を受 信し、 前記保持したユーザ端末情報を検索キーに、 前記振分け管 理テーブルを参照し、 当該ユーザ端末情報と対応付けられるェン ト リから仮想ファイアウォール I Dと個別フィルタリ ングテープ ル I Dを抽出するとともに、 当該ユーザ端末情報と対応付けられ るエント リを無効し、
抽出した仮想ファイアウォール I Dに対応する仮想ファイアゥ オール内に保持される、 前記個別フィルタリングテーブル I Dに 対応する個別フィルタリ ングテーブルの内容を無効にする請求項 2 8に記載のファイアウォール装置。
3 1 . 前記仮想ファイアウォールは、 前記ネッ トワークと接続 される契約ネッ トワークと 1対 1で対応付けられており、
前記ファイアウォール装置は、 前記仮想ファイアウォール数分 の前記契約ネッ トワークを収納する請求項 2 8に記載のファイア ウォール装置。
3 2 . 前記認証サーバは、 前記契約ネッ トワーク毎に複数設け られ、
前記ユーザ端末から発行される接続要求に含まれるユーザ名か ら認証を行う認証サーバを決定し、 認証処理を行う請求項 3 1に 記載のファイアウォール装置。
3 3 . 前記セキュリティポリシサーバは、 ユーザ名と、 少なく とも 1つのセキュリティポリシが対応付けられたセキュリティポ リシテーブルを有し、
前記ファイアウォール装置は、 同じセキュリティポリシテープ ルを有する少なく とも 1台のセキュリティポリシサーバと通信す る請求項 2 5に記載のファイアウォール装置。
3 4 . 前記識別子管理サーバは、 ユーザ名と、 共通フィルタリ ングテーブル I Dと、 個別フィルタリングテーブル I Dとが対応 付けられた識別子管理テーブルを有し、
前記ファイアウォール装置は、 同じ識別子管理テーブルを有す る少なく とも 1台の識別子管理サーバと通信する請求項 2 5に記 載のファイアウォール装置。
3 5 . 前記識別子管理サーバは、 ユーザ名と、 仮想ファイアゥ オール I Dと、 共通フィルタリ ングテーブル I Dと、 個別フィル タリングテーブル I Dとが対応付けられた識別子管理テーブルを 有し、
前記ファイアウォール装置は、 同じ識別子管理テーブルを有す る少なく とも 1台の識別子管理サーバと通信することを特徴とす る請求項 2 8に記載のファイア。ウォール装置。
3 6 . 複数のユーザ端末とネッ トワークの間に設置され、 複数の ユーザ端末に対するパケッ トフィルタリ ングを実施するファイア ウォール装置であって、
各ユーザ毎のセキュリティポリシを保持する個別フィルタリン グテープノレと、
複数のユーザに共通するセキュリティポリシを保持する共通フ イノレタリ ングテーブルと、
ユーザ名と、 少なく とも 1つのセキュリティポリシが対応付け られたセキュリティポリシテーブルと、
ユーザ端末情報と、 共通フィルタリ ングテーブル I Dと、 個別 フィルタリ ングテーブル I Dとを管理する振分け管理テーブルと、 ユーザ端末が接続可能かを判断する認証サーバとの通信手段と、 ユーザと結び付けられた共通フィルタ リ ングテーブル I D、 お ょぴ個別フィルタリ ングテーブル I Dを管理する識別子管理サー パとの通信手段とを備え、
前記フィルタリング装置は、
ネッ トワーク接続開始時に、 ユーザ端末から、 ユーザ名を含む 認証情報が付加された接続要求を受信し、 当該ユーザ名を保持し、 保持したユーザ名を認証サーバに通知し、
前記認証サーバから受信した認証応答に付随するユーザ端末情 報を保持し、
前記ユーザ名を、 前記識別子管理サーバに通知し、
前記識別子管理サーバから受信した共通フィルタリングテープ ル I D、 および個別フィルタリ ングテーブル I Dと、 ユーザ端末 情報とを対応付けて前記振分け管理テーブルに記述し、
前記保持したユーザ名をキーに、 前記セキュリティポリシテー ブルを参照し、 当該ユーザ名と対応付けられたポリシ情報を抽出 し、 当該抽出したポリシ情報と、 前記個別フィルタ リ ングテープ ル I Dとを、 前記個別フィルタリ ングテーブルに書込むことを特 徴とするファイアウォール装置。
3 7 . 複数のユーザ端末とネッ トワークの間に設置され、 複数 のユーザ端末に対するバケツ トフィルタリ ングを実施するフアイ ァウォール装置であって、
各ユーザ毎のセキュリティポリシを保持する個別フィルタリ ン グテーブルと、
複数のユーザに共通するセキュリティポリシを保持する共通フ ィルタリ ングテ一ブノレと、
ユーザ端末情報と、 共通フィルタリ ングテーブル I Dと、 個別 フィルタリ ングテーブル I Dとを管理する振分け管理テーブルと、 ユーザ名と、 共通フィルタリ ングテーブル I Dと、 個別フィル タリ ングテーブル I Dとが対応付けられた識別子管理テーブルと、 ユーザ端末が接続可能かを判断する認証サーバとの通信手段と、 前記個別ブイルタリ ングテーブルに書込まれるユーザ固有のセ キユリティポリ シとユーザとの関係を管理するセキュリティポリ シ管理サーバとの通信手段とを備え、
前記フィルタリ ング装置は、
ネッ トワーク接続開始時に、 ユーザ端末から、 ユーザ名を含む 認証情報が付加された接続要求を受信し、 当該ユーザ名を保持し、 保持したユーザ名を認証サーバに通知し、
前記認証サーバから受信した認証応答に付随するユーザ端末情 報を保持し、
前記ユーザ名を、 前記セキュリティポリシサーバに通知し、 前記保持したユーザ名をキーに、 前記識別子管理テーブルを参 照し、 当該ユーザ名と対応付けられた共通フィルタリ ングテープ ル I D、 および個別フィルタリングテーブル I Dを抽出し、 当該 抽出した共通フィルタリ ングテーブル I D、 および個別フィルタ リングテーブル I Dと、 ユーザ端末情報とを対応付けて前記振分 け管理テーブルに記述し、
前記セキュリティポリシサーバから受信したポリシ情報と、 前 記個別フィルタリ ングテーブル I Dとを、 前記個別フィルタリ ン グテーブルに書込むことを特徴とするファイアウォール装置。
3 8 . 複数のユーザ端末とネッ トワークの間に設置され、 複数 のユーザ端末に対するバケツ トフィルタリ ングを実施するフアイ ァウォール装置であって、
各ュ"ザ毎のセキュリティポリシを保持する個別フィルタリ ン グテープ/レと、
複数のユーザに共通するセキュリティポリシを保持する共通フ ィルタリ ングテーブルと、
ユーザ端末情報と、 共通フィルタリ ングテーブル I Dと、 個別 フィルタリ ングテーブル I Dとを管理する振分け管理テーブルと、 ユーザ名と、 少なく とも 1つのセキュリティポリシが対応付け られたセキュリティポリシテーブルと、
ユーザ名と、 共通フィルタリ ングテーブル I Dと、 個別フィル タリ ングテーブル I Dとが対応付けられた識別子管理テーブルと、 ユーザ端末が接続可能かを判断する認証サーバとの通信手段と を備え、
前記フィルタリング装置は、
ネッ トワーク接続開始時に、 ユーザ端末から、 ユーザ名を含む 認証情報が付加された接続要求を受信し、 当該ユーザ名を保持し、 保持したユーザ名を認証サーバに通知し、
前記認証サーバから受信した認証応答に付随するユーザ端末情 報を保持し、
前記保持したユーザ名をキーに、 前記識別子管理テーブルを参 照し、 当該ユーザ名と対応付けられた共通フィルタリ ングテープ ル I D、 および個別フィルタ リ ングテーブル I Dを抽出し、 当該 抽出した共通フィルタ リ ングテーブル I D、 および個別フィルタ リ ングテーブル I Dと、 ユーザ端末情報とを対応付けて前記振分 け管理テーブルに記述し、
前記保持したユーザ名をキーに、 前記セキュリティポリシテー ブルを参照し、 当該ユーザ名と対応付けられたポリシ情報を抽出 し、 当該抽出したポリシ情報と、 前記個別フィルタリングテープ ル I Dとを、 前記個別フィルタリ ングテーブルに書込むことを特 徴とするファイアウォール装置。
3 9 . 複数のユーザ端末とネッ トワークの間に設置され、 複数 のユーザ端末に対するバケツ トフィルタリ ングを実施するフアイ ァウォール装置であって、
複数のユーザに対して、 バケツ トフィルタリ ングを実施する少 なく とも 1つの仮想フアイァウォールと、
ユーザ毎のセキュリティポリシを保持する少なく とも 1つの個 別フィルタリ ングテープルと、
複数のユーザに共通するセキュリティポリシを保持する少なく とも 1つの共通ブイノレタリ ングテーブルと、
ユーザ端末情報、 仮想ファイアウォール I D、 共通フィルタリ ングテーブル I D、 個別ブイルタリ ングテーブル I Dを管理する 振分け管理テーブルと、
ユーザ名と、 少なく とも 1つのセキュリティポリシが対応付け られたセキュリティポリシテーブルと、
ユーザ端末が接続可能かを判断する認証サーバとの通信手段と ユーザと結び付けられた仮想ファイアウォール I D、 共通フィ ルタリ ングテーブル I D、 および個別フィルタリ ングテーブル I Dを管理する識別子管理サーバとの通信手段とを備え、 前記フィルタリング装置は、
ネッ トワーク接続開始時に、 ユーザ端末から、 ユーザ名を含む 認証情報が付加された接続要求を受信し、 当該ユーザ名を保持し. 保持したユーザ名を認証サーバに通知し、
前記認証サーバから受信した認証応答に付随するユーザ端末情 報を保持し、
前記ユーザ名を、 前記識別子管理サーバに通知し、
前記識別子管理サーバから受信した仮想ファイアウォール I D . 共通フィルタリ ングテーブル I D、 および個別フィルタリ ングテ 一ブル I Dと、 前記ユーザ端末情報とを対応付けて前記振分け管 理テーブルに記述し、
前記保持したユーザ名をキーに、 前記セキュリティポ.リシテー ブルを参照し、 当該ユーザ名と対応付けられたポリシ情報を抽出 し、 当該抽出したポリシ情報と、 前記個別フィルタリ ングテープ ル I Dとを、 前記仮想ファイアウォール I Dで示される前記仮想 ファイアウォールの個別フィルタリングテーブルに書込むことを 特徴とするファイアウォール装置。
4 0 . 複数のユーザ端末とネッ トワークの間に設置され、 複数 のユーザ端末に対するバケツ トフィルタリングを実施するフアイ ァウォール装置であって、
複数のユーザに対して、 バケツ トフィルタリングを実施する少 なく とも 1つの仮想ファイアウォールと、
ユーザ毎のセキュリティポリシを保持する少なく とも 1つの個 別フィルタリングテーブルと、
複数のユーザに共通するセキュリティポリシを保持する少なく とも 1つの共通フイノレタリ ングテーブルと、
ユーザ端末情報、 仮想ファイアウォール I D、 共通フィルタリ ングテーブル I D、 個別フィルタリングテーブル I Dを管理する 振分け管理テーブルと、
ユーザ名と、 仮想ファイアウォール I Dと、 共通フィルタリン グテーブル I Dと、 個別フィルタリ ングテーブル I Dとが対応付 けられた識別子管理テーブルと、
ユーザ端末が接続可能かを判断する認証サーバとの通信手段と . 前記個別フィルタリ ングテーブルに書込まれるユーザ固有のセ キユリティポリシとユーザとの関係を管理するセキュリティポリ シ管理サーバとの通信手段とを備え、
前記フィルタリ ング装置は、
ネッ トワーク接続開始時に、 ユーザ端末から、 ユーザ名を含む 認証情報が付加された接続要求を受信し、 当該ユーザ名を保持し. 保持したユーザ名を認証サーバに通知し、
前記認証サーバから受信した認証応答に付随するユーザ端末情 報を保持し、
前記ユーザ名を、 前記セキュリティポリシサーバに通知し、 前記保持したユーザ名をキーに、 前記識別子管理テーブルを参 照し、 当該ユーザ名と対応付けられた仮想ファイアウォール I D . 共通フィルタリ ングテーブル I D、 およぴ個別フィルタリングテ 一ブル I Dを抽出し、 当該抽出した仮想ファイアウォール I D、 共通フィルタリ ングテーブル I D、 およぴ個別フィルタ リングテ 一ブル I Dと、 前記ユーザ端末情報とを対応付けて前記振分け管 理テーブルに記述し、
前記セキュリティポリシサーバから受信したポリシ情報と、 前 記個別フィルタリ ングテーブル I Dとを、 前記仮想ファイアゥォ ール I Dで示される前記仮想ファイアウォールの個別フィルタリ ングテーブルに書込むことを特徴とするファイアウォール装置。
4 1 . 複数のユーザ端末とネッ トワークの間に設置され、 複数 のユーザ端末に対するバケツ トフィルタリ ングを実施するフアイ ァウォール装置であって、
複数のユーザに対して、 バケツ トフィルタリングを実施する少 なく とも 1つの仮想ファイアウォールと、
ユーザ毎のセキュリティポリシを保持する少なく とも 1つの個 別フィルタリ ングテーブルと、
複数のユーザに共通するセキュリティポリシを保持する少なく とも 1つの共通フィルタリングテーブルと、
ユーザ端末情報、 仮想ファイアウォール I D、 共通フィルタリ ングテーブル I D、 個別フィルタリ ングテーブル I Dを管理する 振分け管理テーブルと、
ユーザ名と、 少なく とも 1つのセキュリティポリシが対応付け られたセキュリティポリシテーブルと、
ユーザ名と、 仮想ファイアウォール I Dと、 共通フィルタリ ン グテーブル I Dと、 個別ブイルタリ ングテーブル I Dとが対応付 けられた識別子管理テーブルと、
ユーザ端末が接続可能かを判断する認証サーバとの通信手段と を備え、
前記フィルタリング装置は、
ネッ トワーク接続開始時に、 ユーザ端末から、 ユーザ名を含む 認証情報が付加された接続要求を受信し、 当該ユーザ名を保持し. 保持したユーザ名を認証サーバに通知し、
前記認証サーバから受信した認証応答に付随するユーザ端末情 報を保持し、
前記保持したユーザ名をキーに、 前記識別子管理テーブルを参 照し、 当該ユーザ名と対応付けられた仮想ファイアウォール I D . 共通フィルタリ ングテーブル I D、 およぴ個別フィルタリングテ 一プル I Dを抽出し、 当該抽出した仮想ファイアウォール I D、 共通フィルタリ ングテーブル I D、 および個別フィルタリ ングテ 一ブル I Dと、 前記ユーザ端末情報とを対応付けて前記振分け管 理テーブルに記述し、
前記保持したユーザ名をキーに、 前記セキュリティポリシテー ブルを参照し、 当該ユーザ名と対応付けられたポリシ情報を抽出 し、 当該抽出したポリシ情報と、 前記個別フィルタ リ ングテープ ル I Dとを、 前記仮想ファイアウォール I Dで示される前記仮想 ファイアウォールの個別フィルタリングテーブルに書込むことを 特徴とするファイアウォール装置。
4 2 . 前記認証サーバは、 R A I D U Sサーバであり、 前記ュ 一ザ端末情報は、 ユーザ端末に付与される I Pァドレスであり、 前記ユーザ端末からネッ トワークへの接続は P P Pであり、 認証 には、 P A P、 または、 C H A Pを用いる請求項 2 5ないし請求 項 4 1のうちいずれか 1項に記載のファイアウォール装置。
PCT/JP2004/001124 2003-02-05 2004-02-04 ファイアウォール装置 Ceased WO2004071038A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
EP04708074A EP1592189A4 (en) 2003-02-05 2004-02-04 FIREWALL DEVICE
JP2005504855A JP3852017B2 (ja) 2003-02-05 2004-02-04 ファイアウォール装置
US10/544,483 US7735129B2 (en) 2003-02-05 2004-02-04 Firewall device

Applications Claiming Priority (6)

Application Number Priority Date Filing Date Title
JP2003027828 2003-02-05
JP2003-027828 2003-02-05
JP2003044770 2003-02-21
JP2003-044770 2003-02-21
JP2003-045222 2003-02-24
JP2003045222 2003-02-24

Publications (1)

Publication Number Publication Date
WO2004071038A1 true WO2004071038A1 (ja) 2004-08-19

Family

ID=32854102

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2004/001124 Ceased WO2004071038A1 (ja) 2003-02-05 2004-02-04 ファイアウォール装置

Country Status (4)

Country Link
US (1) US7735129B2 (ja)
EP (1) EP1592189A4 (ja)
JP (1) JP3852017B2 (ja)
WO (1) WO2004071038A1 (ja)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101888374A (zh) * 2010-05-19 2010-11-17 山东中创软件商用中间件股份有限公司 基于内嵌的对响应内容进行缓存过滤的方法、装置及系统
JP2012070225A (ja) * 2010-09-24 2012-04-05 Hitachi Cable Ltd ネットワーク中継装置及び転送制御システム
US20230283640A1 (en) * 2022-03-07 2023-09-07 Recolabs Ltd. Systems and methods for assigning security policies to files and/or records

Families Citing this family (37)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7475424B2 (en) * 2004-09-02 2009-01-06 International Business Machines Corporation System and method for on-demand dynamic control of security policies/rules by a client computing device
US7917944B2 (en) 2004-12-13 2011-03-29 Alcatel Lucent Secure authentication advertisement protocol
WO2006090465A1 (ja) * 2005-02-24 2006-08-31 Fujitsu Limited 接続支援装置およびゲートウェイ装置
CN100563246C (zh) 2005-11-30 2009-11-25 华为技术有限公司 一种基于ip的语音通信边界安全控制系统及方法
JP4545085B2 (ja) * 2005-12-08 2010-09-15 富士通株式会社 ファイアウォール装置
US8234361B2 (en) * 2006-01-13 2012-07-31 Fortinet, Inc. Computerized system and method for handling network traffic
US8024787B2 (en) * 2006-05-02 2011-09-20 Cisco Technology, Inc. Packet firewalls of particular use in packet switching devices
US8151337B2 (en) * 2006-06-30 2012-04-03 Microsoft Corporation Applying firewalls to virtualized environments
US8055760B1 (en) * 2006-12-18 2011-11-08 Sprint Communications Company L.P. Firewall doctor
US8127347B2 (en) * 2006-12-29 2012-02-28 02Micro International Limited Virtual firewall
FR2915598A1 (fr) * 2007-04-27 2008-10-31 France Telecom Procede de filtrage de flots indesirables en provenance d'un terminal presume malveillant
US8635686B2 (en) * 2007-05-25 2014-01-21 Apple Inc. Integrated privilege separation and network interception
US7853992B2 (en) * 2007-05-31 2010-12-14 Microsoft Corporation Configuring security mechanisms utilizing a trust system
US8984620B2 (en) * 2007-07-06 2015-03-17 Cyberoam Technologies Pvt. Ltd. Identity and policy-based network security and management system and method
US9069599B2 (en) * 2008-06-19 2015-06-30 Servicemesh, Inc. System and method for a cloud computing abstraction layer with security zone facilities
US20140201017A1 (en) 2008-06-19 2014-07-17 Servicemesh, Inc. Systems and methods for providing repeated use of computing resources
KR101018435B1 (ko) * 2008-08-14 2011-02-28 한국전자통신연구원 사용자 단말기의 보안 관리 장치 및 방법
US9531670B2 (en) * 2009-11-30 2016-12-27 Iwebgate Technology Limited System and method for network virtualization and security using computer systems and software
US20110131648A1 (en) * 2009-11-30 2011-06-02 Iwebgate Technology Limited Method and System for Digital Communication Security Using Computer Systems
FR2958478B1 (fr) * 2010-04-02 2012-05-04 Sergio Loureiro Procede de securisation de donnees et/ou des applications dans une architecture informatique en nuage
US8904511B1 (en) * 2010-08-23 2014-12-02 Amazon Technologies, Inc. Virtual firewalls for multi-tenant distributed services
JP5824911B2 (ja) 2011-06-29 2015-12-02 富士通株式会社 情報処理装置、情報処理プログラムおよび管理方法
US8887263B2 (en) * 2011-09-08 2014-11-11 Mcafee, Inc. Authentication sharing in a firewall cluster
US8763106B2 (en) 2011-09-08 2014-06-24 Mcafee, Inc. Application state sharing in a firewall cluster
EP2575313A1 (en) * 2011-09-27 2013-04-03 NorCom Information Technology AG Morphing firewall
US9100366B2 (en) * 2012-09-13 2015-08-04 Cisco Technology, Inc. Early policy evaluation of multiphase attributes in high-performance firewalls
RU2552135C2 (ru) * 2013-09-09 2015-06-10 Общество с ограниченной ответственностью "СмартТелеМакс" Устройство защиты от атак для сетевых систем
CN103973673B (zh) * 2014-04-09 2017-11-03 汉柏科技有限公司 划分虚拟防火墙的方法和设备
US9497165B2 (en) * 2015-03-26 2016-11-15 International Business Machines Corporation Virtual firewall load balancer
US9641485B1 (en) * 2015-06-30 2017-05-02 PacketViper LLC System and method for out-of-band network firewall
US10051075B1 (en) * 2015-09-09 2018-08-14 Google Llc Systems and methods for maintaining an asynchronous communication via an intermediary
KR102333028B1 (ko) * 2017-10-19 2021-11-29 삼성에스디에스 주식회사 방화벽 정책 제어 장치 및 방법
US10728218B2 (en) * 2018-02-26 2020-07-28 Mcafee, Llc Gateway with access checkpoint
KR102667260B1 (ko) 2018-09-19 2024-05-21 삼성전자주식회사 패킷을 필터링하는 전자 장치 및 그 작동 방법
US11343228B2 (en) * 2020-05-13 2022-05-24 Arbor Networks, Inc. Automatically configuring clustered network services
US12506732B2 (en) * 2022-09-16 2025-12-23 Cisco Technology, Inc. System, method, and computer-readable storage media for authenticating an endpoint device
CN116032575B (zh) * 2022-12-16 2025-08-12 北京青云科技集团股份有限公司 一种改变防火墙实例容量的方法、装置、设备及存储介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2002003220A2 (en) * 2000-07-05 2002-01-10 Ernst & Young Llp Method and apparatus for providing computer services
JP2002094508A (ja) * 2000-09-13 2002-03-29 Nippon Telegr & Teleph Corp <Ntt> 仮想プライベートネットワーク間通信における接続管理方法及びその装置
JP2002544607A (ja) * 1999-05-06 2002-12-24 ウォッチガード テクノロジーズ インコーポレイテッド マネージャデバイスから複数のネットワークセキュリティデバイスを管理する方法

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7272625B1 (en) * 1997-03-10 2007-09-18 Sonicwall, Inc. Generalized policy server
US6408336B1 (en) * 1997-03-10 2002-06-18 David S. Schneider Distributed administration of access to information
US6442588B1 (en) * 1998-08-20 2002-08-27 At&T Corp. Method of administering a dynamic filtering firewall
US6615357B1 (en) * 1999-01-29 2003-09-02 International Business Machines Corporation System and method for network address translation integration with IP security
US6463474B1 (en) * 1999-07-02 2002-10-08 Cisco Technology, Inc. Local authentication of a client at a network device
US7181766B2 (en) * 2000-04-12 2007-02-20 Corente, Inc. Methods and system for providing network services using at least one processor interfacing a base network
JP2001298449A (ja) 2000-04-12 2001-10-26 Matsushita Electric Ind Co Ltd セキュリティ通信方法、通信システム及びその装置
US6931437B2 (en) * 2000-04-27 2005-08-16 Nippon Telegraph And Telephone Corporation Concentrated system for controlling network interconnections
US7093280B2 (en) * 2001-03-30 2006-08-15 Juniper Networks, Inc. Internet security system
WO2003021978A1 (en) * 2001-08-10 2003-03-13 Strix Systems, Inc. Virtual linking using a wireless device
US7313606B2 (en) * 2001-11-27 2007-12-25 The Directv Group, Inc. System and method for automatic configuration of a bi-directional IP communication device
JP3776821B2 (ja) * 2002-03-28 2006-05-17 富士通株式会社 アドレスアクセスシステム及び方法
EP1395015B1 (en) * 2002-08-30 2005-02-02 Errikos Pitsos Method, gateway and system for transmitting data between a device in a public network and a device in an internal network

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002544607A (ja) * 1999-05-06 2002-12-24 ウォッチガード テクノロジーズ インコーポレイテッド マネージャデバイスから複数のネットワークセキュリティデバイスを管理する方法
WO2002003220A2 (en) * 2000-07-05 2002-01-10 Ernst & Young Llp Method and apparatus for providing computer services
JP2002094508A (ja) * 2000-09-13 2002-03-29 Nippon Telegr & Teleph Corp <Ntt> 仮想プライベートネットワーク間通信における接続管理方法及びその装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP1592189A4 *

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101888374A (zh) * 2010-05-19 2010-11-17 山东中创软件商用中间件股份有限公司 基于内嵌的对响应内容进行缓存过滤的方法、装置及系统
JP2012070225A (ja) * 2010-09-24 2012-04-05 Hitachi Cable Ltd ネットワーク中継装置及び転送制御システム
US20230283640A1 (en) * 2022-03-07 2023-09-07 Recolabs Ltd. Systems and methods for assigning security policies to files and/or records

Also Published As

Publication number Publication date
US7735129B2 (en) 2010-06-08
US20060143699A1 (en) 2006-06-29
JPWO2004071038A1 (ja) 2006-06-01
EP1592189A4 (en) 2012-05-23
EP1592189A1 (en) 2005-11-02
JP3852017B2 (ja) 2006-11-29

Similar Documents

Publication Publication Date Title
WO2004071038A1 (ja) ファイアウォール装置
JP4327408B2 (ja) 仮想プライベートボリューム方式及びシステム
JP5398410B2 (ja) ネットワークシステム，パケット転送装置，パケット転送方法及びコンピュータプログラム
CN100521650C (zh) 包转发装置以及接入网系统
JP4587446B2 (ja) ネットワークシステム、並びにスイッチ装置及び経路管理サーバ及びそれらの制御方法、及び、コンピュータプログラム及びコンピュータ可読記憶媒体
JP4105722B2 (ja) 通信装置
CN100466527C (zh) 通信设备
US20090122798A1 (en) Ip network system and its access control method, ip address distributing device, and ip address distributing method
JP4290198B2 (ja) 信頼できるプロセスを許可する柔軟なネットワークセキュリティシステム及びネットワークセキュリティの方法
JPH11205388A (ja) パケットフィルタ装置、認証サーバ、パケットフィルタリング方法及び記憶媒体
CN1647451B (zh) 用于在网络环境中监视信息的装置、方法和系统
US20060109850A1 (en) IP-SAN network access control list generating method and access control list setup method
CN101160839A (zh) 接入控制方法、接入控制系统以及分组通信装置
EP1563664A1 (en) Management of network security domains
US9716688B1 (en) VPN for containers and virtual machines in local area networks
CN100471183C (zh) 防火墙装置
JP4873960B2 (ja) アプリケーションサーバ機能を促進するための方法およびアプリケーションサーバ機能を含むアクセスノード
JP2010239591A (ja) ネットワークシステム、中継装置、およびネットワーク制御方法
CN105871749A (zh) 一种基于路由器的网络访问控制方法、系统及相关设备
JP5261432B2 (ja) 通信システム、パケット転送方法、ネットワーク交換装置、アクセス制御装置、及びプログラム
JP2012070225A (ja) ネットワーク中継装置及び転送制御システム
JP4827868B2 (ja) ネットワーク接続制御システム、ネットワーク接続制御プログラムおよびネットワーク接続制御方法
JP3953963B2 (ja) 認証機能付きパケット通信装置、ネットワーク認証アクセス制御サーバ、および分散型認証アクセス制御システム
JP2002208946A (ja) 経路情報通知方法、ｖｐｎサービス及びエッジルータ装置
JP3965774B2 (ja) ネットワークシステム

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 2005504855

Country of ref document: JP

AK Designated states

Kind code of ref document: A1

Designated state(s): AE AG AL AM AT AU AZ BA BB BG BR BW BY BZ CA CH CN CO CR CU CZ DE DK DM DZ EC EE EG ES FI GB GD GE GH GM HR HU ID IL IN IS JP KE KG KP KR KZ LC LK LR LS LT LU LV MA MD MG MK MN MW MX MZ NA NI NO NZ OM PG PH PL PT RO RU SC SD SE SG SK SL SY TJ TM TN TR TT TZ UA UG US UZ VC VN YU ZA ZM ZW

AL Designated countries for regional patents

Kind code of ref document: A1

Designated state(s): BW GH GM KE LS MW MZ SD SL SZ TZ UG ZM ZW AM AZ BY KG KZ MD RU TJ TM AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IT LU MC NL PT RO SE SI SK TR BF BJ CF CG CI CM GA GN GQ GW ML MR NE SN TD TG

121 Ep: the epo has been informed by wipo that ep was designated in this application
ENP Entry into the national phase

Ref document number: 2006143699

Country of ref document: US

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 10544483

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 2004708074

Country of ref document: EP

Ref document number: 20048036915

Country of ref document: CN

WWP Wipo information: published in national office

Ref document number: 2004708074

Country of ref document: EP

WWP Wipo information: published in national office

Ref document number: 10544483

Country of ref document: US