(57)【特許請求の範囲】
【請求項１】
複数のユーザ網間接続を行うネットワークに設置されるファイアウォール装置であって、
個々のユーザ網と接続する複数のインタフェースと、
ユーザ網間毎に独立したファイアウォール機能を提供する複数のファイアウォール機能部と、
各インタフェースを複数のファイアウォール機能部のいずれかに対応付ける対応付け機能部とを備えた
ことを特徴とする集中型ファイアウォール装置。
【請求項２】
対応付け機能部は、各インタフェースとこれらに対応するファイアウォール機能部との関係を管理するテーブルを有し、該テーブルに基づいて各インタフェースを複数のファイアウォール機能部のいずれかに対応付けることを特徴とする請求項１記載の集中型ファイアウォール装置。
【請求項３】
対応付け機能部は、各インタフェースとこれらに対応するファイアウォール機能部との関係を管理するテーブルと、通信を受信したインタフェースに対応するファイアウォール機能部を前記テーブルから検索し、その識別子を通信に付与する識別子付与機能部と、付与された識別子に対応するファイアウォール機能部へ通信を送るファイアウォール識別機能部と、ファイアウォール機能部からの通信に付与された識別子に対応するインタフェースを前記テーブルから検索し、該当インタフェースへ通信を出力する出力インタフェース機能部とからなることを特徴とする請求項１記載の集中型ファイアウォール装置。
【請求項４】
ファイアウォール機能を提供するソフトウェアを複数のプロセスとして同時に動作させることにより、複数のファイアウォール機能部を実現することを特徴とする請求項１乃至３いずれか記載の集中型ファイアウォール装置。
【請求項５】
ユーザ網間の接続の許可または拒否を設定するファイアウォールテーブルにファイアウォール機能部を識別する識別子を設けることにより、一つのファイアウォール機能を複数のファイアウォール機能部として動作させることを特徴とする請求項１乃至３いずれか記載の集中型ファイアウォール装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、通信のセキュリティ確保のためのファイアウォール装置に関するものである。
【０００２】
【従来の技術】
従来より、あるユーザ網に所属するユーザが通信におけるセキュリティを確保しながらその外部または別のユーザ網との間で通信を行う場合、ファイアウォールと呼ばれるセキュリティ機能を用いて通信を行っていた。
【０００３】
従来のファイアウォール装置は、装置毎に単一のファイアウォール機能を有するため、異なるユーザ網間毎に個別に装置を設置する必要があった。
【０００４】
図１は、従来のファイアウォール装置を用いたネットワークシステムの一例を示すもので、図中、１はネットワーク、１１，１２，１３，１４はユーザ網（ＵＳＥＲ＃１，ＵＳＥＲ＃２，ＵＳＥＲ＃３，ＵＳＥＲ＃４）、２１，２２，２３，２４は各ユーザ網１１，１２，１３，１４に接続されたユーザ端末（ＴＥ＃１，ＴＥ＃２，ＴＥ＃３，ＴＥ＃４）、３１はネットワーク１に設置された、ユーザ網１１−１２間のファイアウォール装置（ＦＷ＃０１）、３２はネットワーク１に設置された、ユーザ網１３−１４間のファイアウォール装置（ＦＷ＃０２）である。なお、通常、各ユーザ網には複数のユーザ端末が接続されるが、図面では１つのみ示した。
【０００５】
ユーザ網１１は、ユーザ網１２とファイアウォール装置３１経由で接続され、ファイアウォール装置３１の設定で許可された通信のみ実行可能である。これにより、ユーザ網１１及び１２は各々のセキュリティを確保しつつ、通信を行うことができる。
【０００６】
同様に、ユーザ網１３は、ユーザ網１４とファイアウォール装置３２経由で接続され、ファイアウォール装置３２の設定で許可された通信のみ実行可能である。これにより、ユーザ網１３及び１４は各々のセキュリティを確保しつつ、通信を行うことができる。
【０００７】
ユーザ網１１及び１２は、ユーザ網１３及び１４と全く通信を行わない。従って、セキュリティを確保するため、ユーザ網１１及び１２と、ユーザ網１３及び１４とは接続しない。
【０００８】
ファイアウォール装置３１及び３２を単一のファイアウォール装置で実現すると、ファイアウォール装置の内部で、本来、通信のないユーザ間の通信が混じるため、セキュリティを確保することが困難になる。このため、ファイアウォール装置３１及び３２は別々の装置として実現する必要があった。
【０００９】
【発明が解決しようとする課題】
エクストラネットの普及等に伴い、ネットワークを利用するユーザが増加すると、外部との通信または異なるユーザ網間の通信の数も増加する。この場合、個別にファイアウォール装置を設置すると、多数の装置を導入することになり、装置コストが増大するという問題があった。また、別々に設置された多数の装置を管理する必要があり、管理が煩雑になるという問題があった。
【００１０】
本発明の目的は、セキュリティを確保した複数のユーザ網間通信を１台の装置で実行可能とすることにより、コストの低減及び管理の省力化を実現できる集中型ファイアウォール装置を提供することにある。
【００１１】
【課題を解決するための手段】
本発明では、前記課題を解決するため、複数のユーザ網間接続を行うネットワークに設置されるファイアウォール装置であって、個々のユーザ網と接続する複数のインタフェースと、ユーザ網間毎に独立したファイアウォール機能を提供する複数のファイアウォール機能部と、各インタフェースを複数のファイアウォール機能部のいずれかに対応付ける対応付け機能部とを備えたことを特徴とする集中型ファイアウォール装置を提案する。
【００１２】
本発明によれば、各インタフェースに接続されたユーザ網を、対応付け機能部により、予め対応付けられたファイアウォール機能部に接続することができ、これによってユーザ網が多数ある場合においても、ユーザ網毎に個別に装置を必要とせず、１台の装置で複数のユーザ網間通信が実現可能となる。
【００１３】
【発明の実施の形態】
図２は、本発明の集中型ファイアウォール装置を用いたネットワークシステムの一例を示すもので、図中、従来例と同一構成部分は同一符号をもって表す。即ち、１はネットワーク、１１，１２，１３，１４はユーザ網（ＵＳＥＲ＃１，ＵＳＥＲ＃２，ＵＳＥＲ＃３，ＵＳＥＲ＃４）、２１，２２，２３，２４は各ユーザ網１１，１２，１３，１４に接続されたユーザ端末（ＴＥ＃１，ＴＥ＃２，ＴＥ＃３，ＴＥ＃４）、４０はネットワーク１に設置された集中型ファイアウォール装置である。
【００１４】
集中型ファイアウォール装置４０は、ユーザ網１１−１２間のファイアウォール機能部（ＦＷ＃１）４１及びユーザ網１３−１４間のファイアウォール機能部（ＦＷ＃２）を備えている。ファイアウォール機能部４１及び４２は、インタフェースは異なるが、１台の装置内の機能部として実現される。
【００１５】
ユーザ網１１は、ユーザ網１２とファイアウォール機能部４１経由で接続され、ファイアウォール機能部４１の設定で許可された通信のみ実行可能である。これにより、ユーザ網１１及び１２は各々のセキュリティを確保しつつ、通信を行うことができる。
【００１６】
同様に、ユーザ網１３は、ユーザ網１４とファイアウォール機能部４２経由で接続され、ファイアウォール機能部４２の設定で許可された通信のみ実行可能である。これにより、ユーザ網１３及び１４は各々のセキュリティを確保しつつ、通信を行うことができる。
【００１７】
ユーザ網１１及び１２は、ユーザ網１３及び１４と全く通信を行わない。従って、セキュリティを確保するため、ユーザ網１１及び１２と、ユーザ網１３及び１４とは接続しない。
【００１８】
図３は、本発明の集中型ファイアウォール装置の実施の形態の一例を示すもので、図中、Ａ，Ｂ，Ｃ，Ｄはそれぞれユーザ網１１，ユーザ網１２，ユーザ網１３，ユーザ網１４が接続されるインタフェース、４１，４２はファイアウォール機能部、４３は各インタフェースＡ〜Ｄをファイアウォール機能部４１，４２に対応付けるＩ／Ｆ−ＦＷ対応付け機能部である。
【００１９】
複数のインタフェースＡ〜Ｄは、複数のユーザ網を接続するために使用する。
【００２０】
複数のファイアウォール機能部４１，４２は、ユーザ網間毎に独立したファイアウォール機能を提供するために使用する。複数のファイアウォール機能部４１，４２は、同一装置内においてファイアウォール機能を提供するソフトウェアを複数のプロセスとして同時に動作させることにより、実現可能である。また、ユーザ網間の接続の許可または拒否を設定するファイアウォールテーブルにおいて、検索キーにファイアウォール機能部を識別する識別子及び方向を追加することにより、一つの前記プロセスを複数のファイアウォール機能部として動作させることも可能である。
【００２１】
図４は、Ｉ／Ｆ−ＦＷ対応付け機能部の詳細を示すもので、予め設定した、入力及び出力インタフェースとこれらに対応するファイアウォール機能部との関係を管理するファイアウォール機能管理テーブル４３１と、通信を受信したインタフェースに対応するファイアウォール機能部をテーブル４３１から検索し、その識別子を通信に付与する識別子付与機能部４３２と、付与された識別子に対応するファイアウォール機能部へ通信を送るファイアウォール識別機能部４３３と、ファイアウォール機能部からの通信に付与された識別子に対応するインタフェースをテーブル４３１から検索し、該当インタフェースへ通信を出力する出力インタフェース識別機能部４３４とからなっている。
【００２２】
図５は、Ｉ／Ｆ−ＦＷ対応付け機能部の動作例を示すものである。
【００２３】
ユーザ網から通信を受信すると、識別子付与機能部４３２がファイアウォール機能管理テーブル４３１を検索し、通信を受信した入力インタフェース、例えばＡに対応するファイアウォール機能識別子及び方向、ここではＦＷ＃１及びＩ／Ｆ＃１→Ｉ／Ｆ＃２を取得し、これを通信に付与して、ファイアウォール識別機能部４３３に送信する。
【００２４】
ファイアウォール識別機能部４３３は、通信に付与された前記ファイアウォール機能識別子及び方向に基づき、通信を対応するファイアウォール機能部４１（ＦＷ＃１）に送信する。
【００２５】
出力インタフェース識別機能部４３４は、ファイアウォール機能部４１（ＦＷ＃１）で処理された通信を受け取ると、ファイアウォール機能管理テーブル４３１を検索し、該通信に付与されたファイアウォール機能識別子及び方向に対応する出力インタフェース、ここではＢを取得し、この出力インタフェースＢに送信する。
【００２６】
図６は、ファイアウォール機能管理テーブルの一例を示すものである。本テーブルは集中型ファイアウォール装置に設定され、入力及び出力インタフェースとこれらに対応するファイアウォール機能部との関係を管理する。このテーブルにより、集中型ファイアウォール装置は、インタフェースによってユーザ網を識別し、異なるユーザ網間の通信を別々に処理することが可能となる。また、異なるユーザが重複したネットワークアドレスを使用している場合に、通信を受信したインタフェースにより、ユーザを識別することが可能になる。
【００２７】
図７は、ファイアウォールテーブルの一例を示すもので、本テーブルは集中型ファイアウォール装置に設定され、ファイアウォール機能管理テーブルで設定されたファイアウール機能部毎にファイアウォールを設定する。このテーブルにより、各ユーザ網間の接続の許可または拒否の設定が可能になる。
【００２８】
テーブルの項目にファイアウォール機能識別子及び方向を追加することにより、一つのプロセスを複数のファイアウォール機能部として動作させることができる。ファイアウォールテーブルにファイアウォール機能識別子及び方向の項目を設け、通信に付与されたファイアウォール機能識別子及び方向を検索キーとして検索することにより、通信に対するファイアウォール動作を決定することができる。異なるユーザ網からの通信は、ネットワークアドレスが同一であっても、入力インタフェースの違いにより異なるファイアウォール機能識別子が付与されるため、独立なファイアウォールとして動作できる。
【００２９】
【発明の効果】
以上説明したように、本発明によれば、ユーザ網が多数ある場合においても、ユーザ網毎に個別に装置を必要とせず、１台の装置により複数のユーザ網間接続を実現でき、低コストで容易に管理可能なユーザ網間接続を実現できる。
【図面の簡単な説明】
【図１】従来のファイアウォール装置を用いたネットワークシステムの一例を示す構成図
【図２】本発明の集中型ファイアウォール装置を用いたネットワークシステムの一例を示す構成図
【図３】本発明の集中型ファイアウォール装置の実施の形態の一例を示す構成図
【図４】Ｉ／Ｆ−ＦＷ対応付け機能部の詳細を示す構成図
【図５】Ｉ／Ｆ−ＦＷ対応付け機能部の動作例を示す図
【図６】ファイアウォール機能管理テーブルの一例を示す図
【図７】ファイアウォールテーブルの一例を示す図
【符号の説明】
１：ネットワーク、１１〜１４：ユーザ網（ＵＳＥＲ＃１〜ＵＳＥＲ＃４）、２１〜２４：ユーザ端末（ＴＥ＃１〜ＴＥ＃４）、４０：集中型ファイアウォール装置、４１，４２：ファイアウォール機能部（ＦＷ＃１，ＦＷ＃２）、４３：Ｉ／Ｆ−ＦＷ対応付け機能部、４３１：ファイアウォール機能管理テーブル、４３２：識別子付与機能部、４３３：ファイアウォール識別機能部、４３４：出力インタフェース識別機能部、Ａ〜Ｄ：インタフェース。
【図１】
0003557152.tif 000002
【図２】
0003557152.tif 000003
【図３】
0003557152.tif 000004
【図４】
0003557152.tif 000005
【図５】
0003557152.tif 000006
【図６】
0003557152.tif 000007
【図７】
0003557152.tif 000008