(57)【要約】  【課題】パケットフィルタのフィルタリングルールの変更を容易にする。  【解決手段】利用者端末１１からのフィルタリング装置１５のフィルタリングルール変更要求を受け、ネットワークの経路情報１４に基づいて利用者端末１１から転送先までの転送に必要なフィルタリング装置１５を選択し、選択されたフィルタリング装置１５のフィルタリングルールを、フィルタリング装置制御装置１３より、変更要求に応じて変更する。【選択図】図１
2006148532.tif 000002
【特許請求の範囲】
【請求項１】
利用者端末からパケットデータを、前記パケットデータをフィルタリング制御するフィルタリング装置を有するネットワークを介して、転送先まで転送するパケットフィルタ制御方法において、
前記利用者端末からの前記フィルタリング装置のフィルタリングルール変更要求を受け、前記ネットワークの経路情報に基づいて前記利用者端末から前記転送先までの転送に必要なフィルタリング装置を選択し、選択されたフィルタリング装置のフィルタリングルールを、前記変更要求に応じて変更することを特徴とするパケットフィルタ制御方法。
【請求項２】
利用者端末からパケットデータを、前記パケットデータをフィルタリング制御するフィルタリング装置を有するネットワークを介して、転送先まで転送するパケットフィルタ制御方法において、
前記利用者端末からの前記フィルタリング装置のフィルタリングルール変更要求を受け、前記ネットワークの経路情報に基づいて前記利用者端末から前記転送先までの転送に必要な一つのフィルタリング装置を選択し、選択されたフィルタリング装置は自身のフィルタリングルールを前記変更要求に応じて変更するとともに、経路情報に基づいて前記転送経路上の次のフィルタリング装置を探し、変更を要するフィルタリング装置のフィルタリングルールを変更し、以降、最後のフィルタリング装置に到るまで同様な処理を実行することを特徴とするパケットフィルタ制御方法。
【請求項３】
複数の前記フィルタリング装置の前記変更は、前記経路情報に基づいて集中的に管理されることを特徴とする請求項１に記載のパケットフィルタ制御方法。
【請求項４】
前記利用者端末が正当なユーザであるか否かを判断し、正当なユーザである場合にのみフィルタリングルールの変更要求を可能にすることを特徴とする請求項１乃至３のいずれかに記載のパケットフィルタ制御方法。
【請求項５】
前記フィルタリング装置の設定変更要求が正当か否か判断し、正当な変更要求の場合のみにフィルタリングルールの変更を行うことを特徴とする請求項１乃至４のいずれかに記載のパケットフィルタ制御方法。
【請求項６】
前記利用者端末には、処理の完了又はエラーを通知することを特徴とする請求項１乃至５のいずれかに記載のパケットフィルタ制御方法。
【請求項７】
複数の利用者端末が接続されたネットワークの異なる経路を介して１つの利用者端末から転送先へパケットデータを転送して通信する際のフィルタリング装置を制御するパケットフィルタ制御装置において、
前記利用者端末に接続され該利用者端末が正当なユーザであるか否かを判断し、正当なユーザの場合に証明書を発行する認証装置と、前記パケットデータが転送される経路に関する経路情報と、前記利用者端末からの要求により、該経路情報に基づいて必要なフィルタリング装置のフィルタリングルールを変更するフィルタリング制御装置とを備えることを特徴とするパケットフィルタ制御装置。
【請求項８】
前記フィルタリング装置は、パケットデータをフィルタリングするパケットフィルタと共に経路上の次のフィルタリング装置を探し出す次ノード検出装置を含むことを特徴とする請求項７に記載のパケットフィルタ制御装置。
【請求項９】
前記フィルタリング装置には、パケットフィルタリング装置位置データベースが接続され、該パケットフィルタリング装置位置データベースおよび前記経路情報に基づきフィルタリングルールを変更することを特徴とする請求項７又は８に記載のパケットフィルタ制御装置。
【請求項１０】
複数の前記フィルタリング装置の前記変更は、前記経路情報に基づいて集中的に管理するフィルタリング装置集中制御装置により実行されることを特徴とする請求項７乃至９のいずれかに記載のパケットフィルタ制御装置。
【請求項１１】
請求項１乃至６の何れかの方法において実行する処理をコンピュータに実行させるためのプログラムとして記録したことを特徴とする記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はパケット通信技術に関し、特にネットワークに接続されている複数の利用者端末のうち１つの利用者端末から他の利用者端末へ、このネットワークを構成する複数の通信経路を介してパケット状のデータを転送する際のパケットフィルタ制御方法、装置及び記録媒体に関する。
【背景技術】
【０００２】
情報化時代にあっては、網目状に張り巡らされたネットワークのノードに多数の利用者端末が接続され、またはサーバ等が接続され、これらの利用者端末間、利用者端末とサーバ間のデータは、所定の大きさ及びフォーマットのパケット（Packet）に分割され、各パケットデータはネットワークを構成する種々の経路（回線）のうち空き経路を介して発信者利用端末から宛先利用者端末へ転送される。
【０００３】
パケットフィルタ又はパケットフィルタリング（Packet Filtering）は、ブリッジ、ルーター、ゲートウエイ等で、パケットの宛先アドレス又は送信元アドレスと宛先アドレスの組み合わせを調べて、通過させてよいパケットと（通過を）阻止すべきパケットとを区別することを意味する。パケットフィルタにより、余分なトラフィックが生じることを抑制すると共に通信のセキュリティを維持する。
【０００４】
従来のパケットフィルタリングの制御は、利用者端末からのログインに応答する形で、当該利用者端末と送信先の情報に基づいてネットワーク内のすべてのフィルタリング装置の制御態様を自動的に設定している。
【発明の開示】
【発明が解決しようとする課題】
【０００５】
従来のパケットフィルタでは、ユーザがパケットフィルタの設定変更を世給する際に、予め保存されているデータに基づいて静的に全てのパケットフィルタの設定を変更してしまう。そのため、ネットワーク上の様々な場所から様々な場所へ通信を行なう場合に、ユーザが利用するサービスに応じて動的（ダイナミック）に必要最低限のフィルタリングルールの変更を行なうことは困難であり、高い通信の安全性（セキュリティ）の確保ができないという課題があった。
【０００６】
本発明は、従来技術の上述した課題に鑑みなされたものであり、斯かる課題を克服又は軽減する、即ち利用者端末がパケットフィルタの設定変更を要求した際に、ユーザが利用するサービスによって動的に必要最低限の設定変更を行う又は利用者端末と転送先間に存在するパケットフィルタのみの設定変更を行うパケットフィルタ制御方法、装置及び記録媒体を提供することを主たる目的とする。
【課題を解決するための手段】
【０００７】
前述の課題を解決するため本発明によるパケットフィルタ制御方法、装置及び記録媒体は次のような特徴的な構成を採用している。
【０００８】
（１）利用者端末からパケットデータを、前記パケットデータをフィルタリング制御するフィルタリング装置を有するネットワークを介して、転送先まで転送するパケットフィルタ制御方法において、
前記利用者端末からの前記フィルタリング装置のフィルタリングルール変更要求を受け、前記ネットワークの経路情報に基づいて前記利用者端末から前記転送先までの転送に必要なフィルタリング装置を選択し、選択されたフィルタリング装置のフィルタリングルールを、前記変更要求に応じて変更するパケットフィルタ制御方法。
（２）利用者端末からパケットデータを、前記パケットデータをフィルタリング制御するフィルタリング装置を有するネットワークを介して、転送先まで転送するパケットフィルタ制御方法において、
前記利用者端末からの前記フィルタリング装置のフィルタリングルール変更要求を受け、前記ネットワークの経路情報に基づいて前記利用者端末から前記転送先までの転送に必要な一つのフィルタリング装置を選択し、選択されたフィルタリング装置は自身のフィルタリングルールを前記変更要求に応じて変更するとともに、経路情報に基づいて前記転送経路上の次のフィルタリング装置を探し、変更を要するフィルタリング装置のフィルタリングルールを変更し、以降、最後のフィルタリング装置に到るまで同様な処理を実行するパケットフィルタ制御方法。
（３）複数の前記フィルタリング装置の前記変更は、前記経路情報に基づいて集中的に管理される上記（１）のパケットフィルタ制御方法。
（４）前記利用者端末が正当なユーザであるか否かを判断し、正当なユーザである場合にのみフィルタリングルールの変更要求を可能にする上記（１）乃至（３）のいずれかのパケットフィルタ制御方法。
（５）前記フィルタリング装置の設定変更要求が正当か否か判断し、正当な変更要求の場合のみにフィルタリングルールの変更を行う上記（１）乃至（４）のいずれかのパケットフィルタ制御方法。
（６）前記利用者端末には、処理の完了又はエラーを通知する上記（１）乃至（５）のいずれかのパケットフィルタ制御方法。
（７）複数の利用者端末が接続されたネットワークの異なる経路を介して１つの利用者端末から転送先へパケットデータを転送して通信する際のフィルタリング装置を制御するパケットフィルタ制御装置において、
前記利用者端末に接続され該利用者端末が正当なユーザであるか否かを判断し、正当なユーザの場合に証明書を発行する認証装置と、前記パケットデータが転送される経路に関する経路情報と、前記利用者端末からの要求により、該経路情報に基づいて必要なフィルタリング装置のフィルタリングルールを変更するフィルタリング制御装置とを備えるパケットフィルタ制御装置。
（８）前記フィルタリング装置は、パケットデータをフィルタリングするパケットフィルタと共に経路上の次のフィルタリング装置を探し出す次ノード検出装置を含む上記（７）のパケットフィルタ制御装置。
（９）前記フィルタリング装置には、パケットフィルタリング装置位置データベースが接続され、該パケットフィルタリング装置位置データベース及び前記経路情報に基づきフィルタリングルールを変更する上記（７）又は（８）のパケットフィルタ制御装置。
（１０）複数の前記フィルタリング装置の前記変更は、前記経路情報に基づいて集中的に管理するフィルタリング装置集中制御装置により実行される上記（７）乃至（９）のいずれかのパケットフィルタ制御装置。
（１１）上記（１）乃至（６）の何れかの方法において実行する処理をコンピュータに実行させるためのプログラムとして記録した記録媒体。
【発明の効果】
【０００９】
本発明のパケットフィルタ制御方法、装置及び記録媒体によると、次の如き実用上の顕著な効果が得られる。即ち、パケットが通過するパケットフィルタ装置のみにフィルタリングルールの変更の要求が可能である。その理由は、経路情報を参照して、経路上に存在するフィルタリング装置を探し出しているためである。
換言すると、各フィルタリング装置がフィルタリングルールを変更するべき次のフィルタリング装置を探し出す機能を有するので、各フィルタリング装置を制御する集中管理装置は必要なく、利用者端末と集中管理装置間の接続性を考慮する必要がないためである。
【実施例１】
【００１０】
以下、本発明によるパケットフィルタ制御方法、装置及び記録媒体の好適実施例の構成及び動作を、添付図面を参照して詳細に説明する。
【００１１】
先ず、パケットフィルタ制御装置のブロック図を示す図１を参照して本発明によるパケットフィルタ制御装置の基本原理を説明する。このパケットフィルタ制御装置１０は、利用者端末１１、認証装置１２、フィルタリング装置制御装置１３、経路情報１４及びフィルタリング装置１５により構成されている。
【００１２】
このパケットフィルタ制御装置１０では、利用者端末１１から送出された認証データに基づいて認証装置１２により認証されたとき、利用者端末１１からフィルタリング装置制御装置１３に対するフィルタリングルールの変更要求がフィルタリング装置制御装置１３に送出される。フィルタリング装置制御装置１３は、ネットワーク内のデータ伝達経路情報である経路情報１４を参照して、当該利用者端末１１から転送先までのデータ転送経路上に存在するフィルタリング装置１５（通常、複数）を選定して、これらフィルタリング装置１５のフィルタリングルール（フィルタリング制御態様）を変更する。こうすることにより、利用者端末１１から転送先までの転送経路に対するフィルタリング装置１５を、利用端末に対応して設定可能となる。
【００１３】
次に、図２は、本発明によるパケットフィルタ制御装置の第１実施例の構成を示す機能ブロック図である。図２に示すパケットフィルタ制御装置２０は、フィルタリング装置１５、認証装置２２、承認装置２８、利用者端末２１及びパケットフィルタリング装置位置データベース１６により構成されている。そして、フィルタリング装置１５は、パケットをフィルタリングするパケットフィルタ１５１及び経路上の次のフィルタリング装置を検出（又は探索）する次ノード検出装置１５２を含んでいる。
【００１４】
ここで、フィルタリング装置１５に含まれているパケットフィルタ１５１は、設定されたルールに基づいてパケットの転送及び廃棄を行う。また、次ノード検出装置１５２は、経路情報及びパケットフィルタリング装置位置データベース１６に基づき、次にフィルタリングルールを変更するべきフィルタリング装置を検出又は探し出す。
【００１５】
図３のフローチャートを参照して、図２に示すパケットフィルタ制御装置２０の動作を詳細に説明する。
【００１６】
先ず、利用者端末２１は、認証装置２２に接続して認証を行う（ステップＡ１）。認証装置２２は、接続してきた利用者（即ち、利用者端末２１）が正規ユーザか否か、即ち正規の利用者であるか否かを判断する（ステップＡ２）。不正な利用者である場合（ステップＡ２：Ｎｏ）には、利用者端末２１にエラーを通知して処理を終了する（ステップＡ３）。一方、正規の利用者である場合（ステップＡ２：Ｙｅｓ）には、利用者端末２１に証明書を発行する（ステップＡ４）。
【００１７】
そこで、利用者端末２１は、設定を要求するフィルタリングルールに受け取った証明書を付加して、フィルタリング装置１５に送信する（ステップＡ５）。フィルタリング装置１５は、受け取ったフィルタリングルールに付加されている証明書を以って、承認装置２８に自身のフィルタリングルールを変更するための承認を請求する（ステップＡ６）。承認装置２８は、受け取った証明書からフィルタリングルールの変更要求が正当か否かを判断する（ステップＡ７）。証明書が不正である場合（ステップＡ７：Ｎｏ）には、その要求は棄却され、利用者端末２１にその旨のエラーが通知されて処理を終了する（ステップＡ３）。
一方、証明書が正当である場合（ステップＡ７：Ｙｅｓ）には、その設定変更要求は承認され、フィルタリング装置１５は、自身のフィルタリングルールを変更する（ステップＡ８）。
【００１８】
フィルタリング装置１５は、自身のフィルタリングルールを変更後、自身が持つ経路情報及びパケットフィルタリング装置位置データベース１６を参照し、経路上の次のフィルタリング装置を探す（ステップＡ９）。そして、更にフィルタリングルールを変更するべきフィルタリング装置が存在するか否かを調べる（ステップ１０）。経路上にフィルタリングルールを変更するべきフィルタリング装置がまだ存在する場合（ステップＡ１０：Ｎｏ）には、そのフィルタリング装置に証明書を付加したフィルタリングルール変更要求を送信し、上述したステップＡ５へ戻り、ステップＡ５からステップＡ９の処理を繰り返す。一方、自身が経路上の最後のフィルタリング装置である場合（ステップＡ１０：Ｙｅｓ）には、利用者端末２１に処理の完了を通知して処理を終了する（ステップＡ１１）。
【実施例２】
【００１９】
次に、図４を参照して本発明によるパケットフィルタ制御装置の第２実施例を説明する。尚、上述した第１実施例の構成要素に対応する構成要素には、説明の便宜上同様の参照符号を使用する。
【００２０】
このパケットフィルタ制御装置４０は、利用者端末４１、認証装置４２、経路情報４４、フィルタリング装置４５、パケットフィルタリング装置位置データベース４６及びフィルタリング装置集中制御装置４７により構成されている。
【００２１】
第２実施例のパケットフィルタ制御装置４０の上述した第１実施例のパケットフィルタ制御装置１０との主要相違点は、第１実施例では、フィルタリング装置制御装置は各フィルタリング装置が有していたが、第２実施例ではフィルタリング装置制御機能を有する１つの集中管理装置、即ちフィルタリング装置集中制御装置４７が、経路上に存在する各フィルタリング装置４５のフィルタリングルールを変更する。その他の構成及び動作は、上述の第１実施例の場合と同様であるので、詳細説明は省略する。
【００２２】
上記処理をコンピュータに実行させるためのプログラムは記憶媒体に格納される。
【００２３】
以上、本発明によるパケットフィルタ制御方法、装置及び記録媒体の好適実施例の構成及び動作を詳述した。しかし、斯かる実施例は、本発明の単なる例示に過ぎず、何ら本発明を限定するものではないことに留意されたい。本発明の要旨を逸脱することなく、特定用途に応じて種々の変形変更が可能であること、当業者には容易に理解できよう。また、本発明は、セキュリティポリシの厳しい企業イントラネットの内外から当該イントラネットの中に存在するホストに接続するといった用途に好適であることが理解できよう。
【図面の簡単な説明】
【００２４】
【図１】本発明によるパケットフィルタ制御装置の基本構成を示す機能ブロック図である。
【図２】本発明によるパケットフィルタ制御装置の第１実施例の構成を示す機能ブロック図である。
【図３】図２に示すパケットフィルタ制御装置の動作を説明するフローチャートである。
【図４】本発明によるパケットフィルタ制御装置の第２実施例の構成を示す機能ブロック図である。
【符号の説明】
【００２５】
１０、２０、４０  パケットフィルタ制御装置
１１、２１、４１  利用者端末
１２、２２  認証装置
１４、４４  経路情報
１５、４５  フィルタリング装置
１６、４６  パケットフィルタリング装置位置データベース
１５１  パケットフィルタ
１５２  次ノード検出装置
【図１】
2006148532.tif 000003
【図２】
2006148532.tif 000004
【図３】
2006148532.tif 000005
【図４】
2006148532.tif 000006