(57)【特許請求の範囲】
【請求項１】
ネットワーク上の通信端末間に置かれたフィルタリング機能を有する中継装置に於いて、
両通信端末間の通信をフィルタリングすることを、該通信端末アドレスによるセション開設方向で規定する定義手段と、
該中継装置に入力されたパケットから該セション開設方向を認識し、これを記憶管理するセション管理手段と、
セション開設後の通信について、前記セション管理手段と前記定義手段とによりフィルタリングの是非を決めるフィルタリング手段と
を備えたことを特徴とする中継装置。
【請求項２】
請求項１記載の中継装置に於いて、セション開設と方向の認識手段として、セションが切断されている状態に於いて、パケット内アドレスの組が逆向きの二つのパケットで、両パケットの通過時刻の差が一定時間内の場合、後に通過の逆向きパケットを応答パケットと認識し、初めのパケットの通過方向にセション開設したと見做すことを特徴とする中継装置。
【請求項３】
請求項２記載の中継装置に於いて、セション開設と方向の認識手段として、セション開始制御パケットで認識することを特徴とする中継装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
情報化の進展に伴い各種ネットワークの出現、広域化、高度化には目を見張るものがあり、ネットワークの接続管理、情報の管理は益々その重要度を増している。本発明はこれ等ネットワーク上の通信又は情報に対するセキュリティ機能に関するものである。
【０００２】
【発明が解決しようとする課題】
図１０に示すような構成で中で、従来の中継装置においては、外部からの不法な侵入などを防ぐためのフィルタリング手段１２１  として、ネットワーク上の送受信情報の基本ブロック（  パケット）  である各パケット内の送信元アドレスと受信先アドレスの組の方向（  上りと下り）  を対象に処理していた。従って例えば外部から内部（  上りと仮定）  へのネットワーク進入を防ぐために，或る外部のアドレスを送信元アドレスとしてフィルタリング（  上りの片方向通信をフィルタリング）  すると、当該外部からのパケットはすべてフィルタリングされてしまう為、宛先である内部受信先アドレスへはパケットが届かず、結果として外部からのアクセス侵入が防御出来る反面、内部のネットワークから当該外部へアクセスした場合にも、前記と同様、一義的に外部からのパケットがフィルタリング（  上りの片方向通信をフィルタリング）  されてしまう為、下りのパケットは相手先へ届くが、上りのパケットが送信元へ届かず、結果として相互の通信が不可能となり、外部情報の入手も出来ないという課題が発生する。
【０００３】
又、ネットワークの接続の際、各種のプロトコルが存在し、その接続には手順の調査、確認から運用テストに至るまで、多くの作業工数を要する上、前記のようなフィルタリングに付いてもシステム上考慮する必要があり、特に非公開のプロトコルでは、その対応が一層大変となる。
【０００４】
この様な課題に対処するため、各種のプロトコルに対応が可能で、しかも一方の利用者端末からアクセスした場合は、相手先端末との間で、双方向の通常の送受信（  前記従来の上りと下りの通信）  を可能としつつ、逆に他方の利用者端末からアクセスした場合は、双方向の送受信とも通信不能とする様なフィルタリング機能を有する装置が望まれる。
【０００５】
【課題を解決するための手段】
図１は本発明の原理図である。
先ず図１  に於いて、本発明に於けるフィルタリングの意味を明確にしておく。本発明に於けるフィルタリングでは、前記発明が解決しようとする課題の項で記した様に、通信端末間の双方向通信を可能とするか否かのフィルタリングを表しており、図１  に於いて、フィルタリングする場合はパケットは▲１▼、▲２▼ともフィルタリング装置で破棄される結果、双方向通信が不能となり、逆にフィルタリングしない場合は▲１▼、▲２▼とも相手先へ届き、双方向通信が可能となる。
【０００６】
そこで上記の課題は下記の如くに構成された中継装置（  以下フィルタリング装置と称する）によって解決される。即ち、ネットワーク上の通信端末間に置かれた中継用のフィルタリング装置に於いて、両通信端末間の通信をフィルタリングすることを、該通信端末アドレスによるセション開設方向で規定する定義手段と、該中継装置に入力されたパケットから該セション開設方向を認識し、これを記憶管理するセション管理手段と、セション開設後の通信について、前記セション管理手段と前記定義手段とによりフィルタリングの是非を決めるフィルタリング手段とを備えることによりセション開設方向によるフィルタリングを可能とすると同時に、前記セション管理手段により各種プロトコルにも対処可能とする。
【０００７】
【発明の実施の形態】
図１  に於いて、ネットワーク上の通信端末１０と通信端末１１との間で、フィルタリング装置  ２０  を介して通信を行うシステムを用いて本発明を説明する。
【０００８】
通信端末１０から通信端末１１へ送信されたパケット  ３０  は送信元アドレス  ａ，  受信先アドレス  ｂを持って、逆に通信端末  ｂから通信端末  ａへ送信されたパケット  ３１  は送信元アドレス  ｂ，  受信先アドレス  ａを持ってフィルタリング装置  ２０  を通過する。フィルタリング装置は目的のフィルタリングを行う為、図５  、図６  、図７  に示すようなテーブルを持っている。
【０００９】
図５  はセション開設の検出を行う為のテーブルで、パケット管理一時テーブルと呼び、送信元アドレス、受信先アドレス、最新パケットの通過時刻ｔａ，ｔｂ（内蔵時計によりセット）  を記憶している。
【００１０】
図６  は開設したセションを記憶・管理するテーブルで、セション管理テーブルと呼び、セション開設元アドレス、セション開設先アドレス、最新パケット（  逆向きパケットも含む）  通過時からの経過時間ｔｓ（  内蔵タイマにより計時）  を記憶している。
【００１１】
図７  はフィルタリングしたいセション開設方向を初期設定するテーブルで、セションフィルタリングテーブルと呼び、セション開設元アドレス又はアドレス群、セション開設先アドレス又はアドレス群を記憶している。
【００１２】
先ず、実施形態１  として、図２  は前記の動作を概念的にフローチャート化した概略動作説明図である。先ずステップ４０で、図７  に示すようなセションフィルタリングテーブルに、フィルタ（  破棄）  したいセション開設の方向をアドレス又はアドレス群（  連続アドレスの場合）  で定義、初期設定しておく。
【００１３】
ステップ４１から運用状態に入り通信動作が開始し、フィルタリング装置にパケット入力が始まる。ステップ４２，４３  はセションが開設される迄の処理で、ステップ４２に於いて図５  に示すようなパケット管理一時テーブルによりセションの開設とその方向の検出処理が行われる。
【００１４】
セション開設が検出されるとステップ４３で、図６  に示すようなセション管理テーブルにセションの確立として登録され、セションの終了まで保持される。
次にステップ４４，４５  では、前記のステップ４３でセションの開設後登録されている間の双方向通信についてフィルタ是非を決める処理を行う。
【００１５】
ステップ４４に於いて、セション管理テーブル上の当該セション方向を基に、図７  のセションフィルタリングテーブル（  ステップ４０で初期設定）  に同方向のセションが存在するかをチェックすることにより入力データのフィルタ（  破棄）  是非を決定し、その結果ステップ４５でデータのフィルタリング又は中継の処理を行う。
【００１６】
以下図３  、図４  に於いて、その動作フローを図５  、図６  、図７  の各テーブルと併せて詳しく説明する。
図３  は、セションが開設される迄の動作フローチャートである。
ステップ５０でフィルタリング装置にパケット（  送信元アドレス  ｂ，  受信先アドレス  ａと仮定）  が入力されるとステップ  ５１  で先ず、セション管理テーブルにパケット内のアドレスの組（  逆向きも含む）  が登録されているか、即ち、セションが既に開設されているかがチェックされ、登録がされていない、即ち、セションが開設されていない場合ステップ５２以降のセションの開設とその方向の検出処理に移る。
【００１７】
ステップ５２はセションの確立／  未確立をチェックする処理である。
図５  のパケット管理一時テーブルに於いて、セションが切断されている状態で、パケット内アドレスの組で逆向きパケットの通過時刻との差（ｔｂ−ｔａ）  が一定時間ｙ  より小さい場合、その逆向きパケットは応答パケットと認識、初めのパケットの通過方向にセション開設が確立したと見て、ステップ  ５３  でパケット管理一時テーブルより当アドレスの組を削除した後、ステップ  ５４  でセション管理テーブルに登録する。（  本ケースではａ  からｂ  の方向へセション開設）  。
【００１８】
尚ステップ  ５２  で（ｔｂ−ｔａ）  がｙ  より大きい場合はステップ  ５５  でセション開設不成立としてパケット管理一時テーブルを更新する。ここ迄がセションの確立される迄の処理であるが、このセション確立の検出手段により、パケットの内容に依らず二つの逆向きパケットの時間差によりセションの確立を認識するため、非公開でパケットの内容が不明確なプロトコルにも対応可能となる。
【００１９】
次に図４  のセションの開設後の動作フローチャートにより、フィルタリング処理の説明をする。
セションが開設された時、セション確立状況を管理する図６  のセション管理テーブルに、セション開設元アドレス，  セション開設先アドレス及び最新パケット（  逆向きパケットも含む）  通過時からの経過時間ｔｓが記録、登録されている。
【００２０】
ステップ６０では、既にセションが開設されている状態で、セション管理テーブルの最新パケット通過時からの経過時間ｔｓが一定時間ｘ  と比較され、小さい場合はセションの継続と言うことでステップ  ６１  で最新パケット経過時間を零クリアした後ステップ  ６２  のセションフィルタリングテーブルによるチェックに移る。
【００２１】
セションフィルタリングテーブルにセション管理テーブルと同方向のセションアドレスが登録されている場合は、そのパケットをフィルタすると言うことで、ステップ６３でそのパケットは破棄され、未登録の場合はステップ  ６４  でそのまま中継処理される。
【００２２】
本ケースでは、セション管理テーブルのセション方向（ａ→ｂ）、セションフィルタリングテーブルのセション方向（ｂ→ａ）で異方向のため、フィルタされず中継処理される例である。
【００２３】
尚、ステップ６０で一定時間ｘ  より大きい場合はセションの終了と見なし、ステップ６５でセション管理テーブルより削除される。ここ迄がセション開設後のフィルタリング処理である。
【００２４】
次に実施形態２  として、セション開設方向の認識を図８  のように送信元アドレス  ８０  、受信先アドレス  ８１  、セション開始識別情報８２などの情報を持ったプロトコル毎のセション開始制御パケットにより行う方法を以下述べる。
【００２５】
各プロトコル毎に、決められたセション開始制御パケット（  例えばＴＣＰ／ＩＰであればＳＹＮ  パケット）  が存在するが、プロトコルが公開されている場合は、そのセション開始制御パケットを認識してセション方向を検出、前記実施形態１  で述べた図６  のセション管理テーブルに登録して以下実施形態１  と同様の処理によりパケットのフィルタリング処理を行う。
【００２６】
実施形態３  として、前記実施形態１  及び実施形態２  に於いて図４  のステップ６２の処理でセションフィルタリングテーブルによりフィルターされ、ステップ  ６３  でパケットが破棄された場合に、その破棄履歴を記憶管理する図９  の様な破棄パケットテーブルをフィルタリング装置  ２０  に設け、図４  のステップ６５処理により破棄したパケットのセション開設元アドレス  ９０  をこの破棄パケットテーブルに登録し、破棄回数  ９１  をカウント管理する事により、不正アクセス端末への警告などの管理を行う事が出来る。本ケース例では、ｂ  が開設元アドレスである。
【００２７】
【発明の効果】
ネットワーク通信に於いて、情報の共有化は有意義であるが、中には秘密情報、プライバシー保護を必要とする情報など第三者から保護したいという事が度々起こるが、本発明は、この様なネットワーク上のセキュリティ機能の必要性から生まれたもので、外部ヘのアクセスは堅持しつつ、外部からの侵入を防御・管理し情報の安全を守りたい場合等に活用される。
【００２８】
又、当該セション確立の検出手段により、各種プロトコルへの対応が可能となり著しい工業的効果が期待出来る。
【図面の簡単な説明】
【図１  】本発明の原理図
【図２  】本発明の概略動作説明図
【図３  】本発明のセション開設迄の動作フローチャート
【図４  】本発明のセション開設後の動作フローチャート
【図５  】本発明のパケット管理一時テーブル
【図６  】本発明のセション管理テーブル
【図７  】本発明のセションフィルタリングテーブル
【図８  】セション開始制御パケット
【図９  】本発明の破棄パケットテーブル
【図１０】従来のフィルタリング構成図
【符号の説明】
１０、１１  通信端末
２０  中継（  フィルタリング）  装置
２１    フィルタリング定義手段
２２    セション開設方向認識・記憶手段
２３    セション開設方向フィルタ手段
▲１▼、▲２▼  中継（  フィルタリング）  装置から送信先へのパケット伝送
３０、３１  パケット
４０〜４５  動作ステップ
５０〜５５  動作ステップ
６０〜６５  動作ステップ
８０  送信元アドレス
８１  受信先アドレス
８２  セション開始識別情報
９０  破棄パケットセション開設元アドレス
９１  破棄回数
１２１  フィルタリング手段
【図１】
0003593762.tif 000002
【図２】
0003593762.tif 000003
【図３】
0003593762.tif 000004
【図４】
0003593762.tif 000005
【図５】
0003593762.tif 000006
【図６】
0003593762.tif 000007
【図７】
0003593762.tif 000008
【図８】
0003593762.tif 000009
【図９】
0003593762.tif 000010
【図１０】
0003593762.tif 000011