(57)【要約】【課題】  網内の中継装置にてカプセル化または暗号化されたパケットが、ファイアウォール装置を通過できるようにする。【解決手段】  中継装置と前記情報通信端末との間でカプセル化または暗号化した通信形態を持つＩＰ通信網と、前記中継装置と前記情報通信端末の間に設置されて、前記情報通信端末へのパケットあるい前記情報通信端末からのパケットに対して前記情報通信端末毎の要求条件に応じたパケットフィルタリングを行うファイアウォール装置とを備えたフィルタリングシステムであって、前記ファイアウォール装置は、前記情報通信端末毎のパケット転送に係わるフィルタリングポリシを保持する手段１を有し、前記情報通信端末毎に予め決められたフィルタリングポリシを、前記ＩＰ網側から前記手段１に設定する手段２と、前記中継装置によるカプセル化または暗号化されたパケット転送に係わるフィルタリングポリシを、前記ＩＰ網側から前記手段１に設定する手段３とを有する。【選択図】        図１
2006115058.tif 000002
【特許請求の範囲】
【請求項１】
情報通信端末と、
網内に中継装置を有し、前記中継装置と前記情報通信端末との間でカプセル化または暗号化した通信形態を持つＩＰ通信網と、
前記中継装置と前記情報通信端末の間に設置されて、前記情報通信端末へのパケットあるい前記情報通信端末からのパケットに対して前記情報通信端末毎の要求条件に応じたパケットフィルタリングを行うファイアウォール装置とを備えたフィルタリングシステムであって、
前記ファイアウォール装置は、前記情報通信端末毎のパケット転送に係わるフィルタリングポリシを保持する手段１を有し、
前記情報通信端末毎に予め決められたフィルタリングポリシを、前記ＩＰ網側から前記手段１に設定する手段２と、
前記中継装置によるカプセル化または暗号化されたパケット転送に係わるフィルタリングポリシを、前記ＩＰ網側から前記手段１に設定する手段３とを有することを特徴とするフィルタリングシステム。
【請求項２】
前記情報通信端末毎に予め決められたフィルタリングポリシを、前記情報通信端末側から前記手段１に設定する手段４を有することを特徴とする請求項１に記載のフィルタリングシステム。
【請求項３】
前記ファイアウォール装置は、前記中継装置においてカプセル化の際に付与されたＩＰヘッダに対して、前記手段３により設定されたフィルタリングポリシを適用してパケットにフィルタリング処理を実行するとともに、前記中継装置によりカプセル化されたパケットのＩＰヘッダに対して、前記手段２により設定されたフィルタリングポリシを適用してパケットにフィルタリング処理を実行することを特徴とする請求項１または請求項２に記載のフィルタリングシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、フィルタリングシステムに係り、特に、ＩＰ通信網に接続する情報通信端末利用者に対して、ＩＰ通信網内において利用者毎に異なる条件でのフィルタリングサービスを提供するための技術に関する。
【背景技術】
【０００２】
近年、インタネット利用は爆発的に普及しているものの、自端末のインストールや設定作業を苦手とするユーザも多く、それが新しいサービスの普及を阻害する要因になり得る。
この問題を解決する方法として、アウトソーシングによるサービス提供があり、このアウトソーシングサービスの一つとして、ネツトワークベースファイアウォールサービスがある。
ネットワークベースファイアウォールは、多数の情報通信端末を１台のファイアウォール（以下、ＦＷという）装置に収容することにより、コストの低下を図ることが可能であり、その方法として、仮想ＦＷを用いる方法がある。
この方法は、一台のＦＷ装置上に複数の仮想ＦＷを構築し、各情報提供者にそれぞれの仮想ＦＷおよびそれぞれのフィルタリングポリシを割り当てることにより、複数の情報提供者で一台のファイアウォール装置を利用する方法である。
【０００３】
なお、本願発明に関連する先行技術文献としては以下のものがある。
【非特許文献１】「データセンタにおけるセキュアなコンテンツ・フィルタリング方式の検討」（電子情報通信学会ソサイティ大会（2002）B-6-38）
【発明の開示】
【発明が解決しようとする課題】
【０００４】
前述のＦＷ装置では、仮想ＦＷに、外部から送られるパケットに対して、フィルタリングポリシ（パケットを廃棄する条件あるいはパケットを通過させる条件）が設定され、パケットを受信するとパケットヘッダの内容をチェックすることで、このフィルタリングポリシに該当するか否かを判断し、パケットの廃棄、通過を行っている。
このような方法の揚合、ＩＰネットワーク内の装置によりパケットヘッダの一部やデータ部が暗号化されている場合や、ＩＰネットワーク内の装置によりパケットがカプセル化されている場合に、ＦＷ装置ではヘッダ情報や内部のデータが意味不明のためチェックできない、あるいは、本来のパケットヘッダの位置に別のパケットヘッダがあるため、正しいヘッダ情報を読み取れなくなる。
このため、すべてのパケットが廃棄されることになり、パケットは、ＦＷ装置を通過することができない。
特に、ユーザが意図的に暗号化やカプセル化を行う場合は、事前にファイアウォール装置にそれを前提としたフィルタリングポリシを設定することで前述の問題は解決できるが、ネットワーク事業者がユーザの意図とは独立に暗号化、カプセル化を行う場合は、事前にＦＷ装置にフィルタリングポリシを設定することができず、通信ができないという問題点があった。
【０００５】
本発明は、前記従来技術の問題点を解決するためになされたものであり、本発明の目的は、フィルタリングシステムにおいて、網内の中継装置にてカプセル化または暗号化されたパケットが、ファイアウォール装置を通過することが可能となる技術を提供することにある。
本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述及び添付図面によって明らかにする。
【課題を解決するための手段】
【０００６】
本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、下記の通りである。
前述の目的を達成するために、本発明は、情報通信端末と、網内に中継装置を有し、前記中継装置と前記情報通信端末との間でカプセル化または暗号化した通信形態を持つＩＰ通信網と、前記中継装置と前記情報通信端末の間に設置されて、前記情報通信端末へのパケットあるいは前記情報通信端末からのパケットに対して前記情報通信端末毎の要求条件に応じたパケットフィルタリングを行うファイアウォール装置とを備えたフィルタリングシステムであって、前記ファイアウォール装置は、前記情報通信端末毎のパケット転送に係わるフィルタリングポリシを保持する手段１を有し、前記情報通信端末毎に予め決められたフィルタリングポリシを、前記ＩＰ網側から前記手段１に設定する手段２と、前記中継装置によるカプセル化または暗号化されたパケット転送に係わるフィルタリングポリシを、前記ＩＰ網側から前記手段１に設定する手段３とを有することを特徴とする。
また、本発明は、前記情報通信端末毎に予め決められたフィルタリングポリシを、前記情報通信端末側から前記手段１に設定する手段４を有することを特徴とする。
また、本発明は、前記ファイアウォール装置が、前記中継装置においてカプセル化の際に付与されたＩＰヘッダに対して、前記手段３により設定されたフィルタリングポリシを適用してパケットにフィルタリング処理を実行するとともに、前記中継装置によりカプセル化されたパケットのＩＰヘッダに対して、前記手段２により設定されたフィルタリングポリシを適用してパケットにフィルタリング処理を実行することを特徴とする。
【発明の効果】
【０００７】
本願において開示される発明のうち代表的なものによって得られる効果を簡単に説明すれば、下記の通りである。
本発明のフィルタリングシステムによれば、網内の中継装置にてカプセル化または暗号化されたパケットが、ファイアウォール装置を通過することが可能となる。
【発明を実施するための最良の形態】
【０００８】
以下、図面を参照して本発明の実施例を詳細に説明する。
図１は、本発明の実施例のフィルタリングシステムの概略構成を示すブロック図である。
同図において、１は、ファイアウォール（以下、ＦＷという）装置、１１，１２は、仮想ファイアウォール（以下、仮想ＦＷという）、２は、ＩＰ通信網、３１，３２は、情報通信端末、４１，４２は、通信相手端末、５は、中継装置、６は、ＩＰ通信網２内に配置されＦＷ（１１，１２）にフィルタリングポリシを設定する設定手段（１）、７は、ＦＷ（１１，１２）に予め決められたフィルタリングポリシを設定する設定手段（２）である。
ＦＷ装置１は、ＩＰ通信網２に設置され、ファイアウォールサービス利用者として、情報通信端末３１や情報通信端末３２など多くの情報提供者が利用する端末を収容している。
情報提供者は、ＦＷ装置１内の仮想ＦＷ（１１，１２）に情報提供者毎にフィルタリングポリシを設定しており、一例として、情報通信端末３１を利用する情報提供者のフィルタリングポリシを図２に示す。
この図２に示すフィルタリングポリシは、ＩＰ通信網２内に配置された設定手段（２）７、あるいは、情報通信端末側に配置された設定手段（２）７１により、仮想ＦＷ（１１，１２）に設定される。なお、設定手段（２）７１は、情報通信端末とは独立に設けても良く、あるいは、情報通信端末内に設けてもよい。
通信相手端末４１あるいは通信相手端末４２から情報通信端末３１への通信の内、カプセル化あるいは暗号化処理を行う中継装置５を経由しない通信相手端末４１あるいは通信相手端末４２からのパケットに対しては、仮想ＦＷ１１にて情報提供者毎のフィルタリングポリシ（図２に示すフィルタリングポリシ）を用いてフィルタリング処理を行う。
図２に示すフィルタリングポリシより、仮想ＦＷ１１は、中継装置５を経由しない通信相手端末４１からのパケットに対しては、パケットをそのまま情報通信端末３１へ転送し、中継装置５を経由しない通信相手端末４２からのパケットに対してはパケット廃棄処理を行う。
【０００９】
通信相手端末４１から送信され中継装置５にて、RFC 2473 記載のGeneric Packet Tunneling in IPv6の方法を用いてカプセル化されたパケットの仮想ＦＷ１１でのフィルタリング処理について、以下詳しく説明する。
なお、本実施例では、ＩＰ通信網がＩＰｖ６に対応したネットワークであると仮定して説明を行う。また、以下では、カプセル化されたパケットのＩＰヘッダを内側のＩＰヘッダ、中継装置５でのカプセル化の際に付与されたＩＰヘッダを外側のＩＰヘッダと呼び説明を行う。
まず、仮想ＦＷ１１に、図２に示す情報提供者毎のフィルタリングポリシに加えて、図３に示すカプセル化されたパケットの転送に係わるフィルタリングポリシを設定することにより、図４に示すカプセル化パケットにも対応した情報提供者毎のフィルタリングポリシを作成および設定する。
この図３に示すフィルタリングポリシは、ＩＰ通信網２内に配置された設定手段（１）６により、仮想ＦＷ（１１，１２）に設定される。図２に示すフィルタリングポリシに追加されたフィルタリングポリシは、外側のＩＰヘッダ用のフィルタリングポリシとして図３に示すフィルタリングポリシを用い、内側のＩＰヘッダ用のフィルタリングポリシとして図２に示すフィルタリングポリシを用いるものである。
中継装置５にてカプセル化された通信相手端末４１からのパケットに対して、仮想ＦＷ１１では、図５に示すような処理を行う。
【００１０】
始めに、外側のＩＰヘッダの送信元端末ＩＰアドレス、宛先端末ＩＰアドレスおよび拡張ヘッダに対して、仮想ＦＷ１１にてカプセル化パケットにも対応した情報提供者毎のフィルタリングポリシ（図４に示すフィルタリングポリシ）を用いてフィルタリング処理を行う（ステップ１０１、ステップ１０２）。
本実施例のカプセル化パケットは、外側のＩＰヘッダの送信元ＩＰアドレスが中継装置５であるため、図４に示すフィルタリングポリシにおいて、仮想ＦＷ１１の通過が許可される。
次に、トンネルＩＰｖ６拡張ヘッダがあるか否かを判断する（ステップ１０３）。本実施例のパケットは、送信元ＩＰアドレスが中継装置５のＩＰアドレスであり、拡張ヘッダの中にトンネルＩＰｖ６拡張ヘッダ（Nextヘッダ：４１）が含まれるため、内側のＩＰヘッダに対してもフィルタリング処理を行う。
内側のＩＰヘッダに対しても外側のＩＰヘッダと同様に、内側のＩＰヘッダの送信元端末ＩＰアドレス、宛先端末ＩＰアドレスおよび拡張ヘッダに対して、仮想ＦＷ１１にてカプセル化パケットにも対応した情報提供者毎のフィルタリングポリシ（図４に示すフィルタリングポリシ）を用いてフィルタリング処理を行う（ステップ１０４、１０５）。
本実施例のカプセル化パケットは、通信相手端末４１からのパケットであるため、図４に示すフィルタリングポリシにおいて、仮想ＦＷ１１の通過が許可され、通信情報端末３１に転送される。
【００１１】
通信相手端末４１から送信され中継装置５にて、IPsecを用いて暗号化されたパケットの仮想ＦＷ１１でのフィルタリング処理について、以下詳しく説明する。なお、本例では、ＩＰ通信網がＩＰｖ６に対応したネットワークであると仮定して説明を行う。
まず、仮想ＦＷ１１に、図２に示す情報提供者毎のフィルタリングポリシに加えて、図６に示す暗号化されたパケットの転送に係わるフィルタリングポリシを設定することにより、図７に示す暗号化パケットにも対応した情報提供者毎のフィルタリングポリシを作成および設定する。この図６に示すフィルタリングポリシは、ＩＰ通信網２内に配置された設定手段（１）６により、仮想ＦＷ（１１，１２）に設定される。
中継装置５にて暗号化された通信相手端末４１からのパケットに対して、仮想ＦＷ１１では、図８のような処理を行う。
ＩＰヘッダの送信元端末ＩＰアドレス、宛先端末ＩＰアドレスおよび拡張ヘッダに対して、仮想ＦＷ１１にて暗号化パケットにも対応した情報提供者毎のフィルタリングポリシ（図７に示すフィルタリングポリシ）を用いてフィルタリング処理を行う（ステップ１１１、ステップ１１２）。
本実施例のパケットは、送信元ＩＰアドレスが中継装置５のＩＰアドレスであり、拡張ヘッダの中にＥＳＰヘッダ（Nextヘッダ：５２）が含まれるため、暗号化パケットにも対応した情報提供者毎のフィルタリングポリシ（図７に示すフィルタリングポリシ）において、仮想ＦＷ１１の通過が許可され、通信情報端末３１に転送される。
【００１２】
なお、中継装置５にて暗号化されて転送されるパケットの通信相手が通信相手端末４１であるかどうかは、従来技術を中継装置に実装することで対処可能である。
ここで、ＩＰ通信網側の中継装置５の例として、カプセル化装置を列挙したが、他のＩＰ通信網の装置を用いても、処理の本質は変わらないことを記述する。
以上説明したように、本実施例によれば、ＩＰ通信網の内部でカプセル化または暗号化が行われた場合は、ＩＰ網内からパケットを通過させるために、例えば、暗号方式、暗号キー、本来チェックすべきパケットヘッダ情報の位置などの情報や新たな通過条件が、ＦＷ装置に設定され、パケットのフィルタリングポリシが自動的に変更されるため、従来では通過することができなかったパケットが通過できるようになり、通信が可能となる。
以上、本発明者によってなされた発明を、前記実施例に基づき具体的に説明したが、本発明は、前記実施例に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。
【図面の簡単な説明】
【００１３】
【図１】本発明の実施例のフィルタリングシステムの概略構成を示すブロック図である。
【図２】情報通信端末３１のフィルタリングポリシを示す図である。
【図３】カプセル化されたパケットの転送に係わるフィルタリングポリシを示す図である。
【図４】情報通信端末３１のフィルタリングポリシに、カプセル化パケット用のフィルタリングポリシを追加したときのフィルタリングポリシを示す図である。
【図５】中継装置にてカプセル化されたパケットに対する処理手順を示すフローチャートである。
【図６】暗号化されたパケットの転送に係わるフィルタリングポリシを示す図である。
【図７】情報通信端末３１のフィルタリングポリシに、暗号化パケット用のフィルタリングポリシを追加したときのフィルタリングポリシを示す図である。
【図８】中継装置にて暗号化されたパケットに対する処理手順を示すフローチャートである。
【符号の説明】
【００１４】
１  ファイアウォール装置
２  ＩＰ通信網
５  カプセル化装置
６  設定手段（１）
７，７１  設定手段（２）
１１，１２  仮想ファイアウォール
３１，３２  情報通信端末
４１，４２  通信相手端末
【図１】
2006115058.tif 000003
【図２】
2006115058.tif 000004
【図３】
2006115058.tif 000005
【図４】
2006115058.tif 000006
【図５】
2006115058.tif 000007
【図６】
2006115058.tif 000008
【図７】
2006115058.tif 000009
【図８】
2006115058.tif 000010