(57)【要約】【課題】  外部ネットワークに移動した移動端末と内部ネットワークの通信相手との通信の簡素化を図る。【解決手段】  移動端末（10）が属する内部ネットワーク（200）に対するパケットのフィルタリングを行うファイアウォール装置（30）に、移動端末の位置情報の登録に関連付けられた制御パケットを通過させることを設定する。移動端末は、外部ネットワーク（100）に接続されたとき自端末の位置情報を含む制御パケットを通信相手となる通信装置（40）に宛てて送信する。通信装置は、ファイアウォール装置から転送された移動端末からの制御パケットに含まれる位置情報を登録し、その位置情報をファイアウォール装置へ通知する。ファイアウォール装置は、通知された位置情報に基づき移動端末の位置情報を更新し、移動端末および通信装置間のパケットの通過許可を設定する。【選択図】      図１
2006211222.tif 000002
【特許請求の範囲】
【請求項１】
移動端末が属する内部ネットワークに対するパケットのフィルタリングをフィルタ情報に基づき実行するファイアウォール装置に、前記内部ネットワークおよび外部ネットワーク間にて交信されるパケットのうち前記移動端末の位置情報の登録に関連付けられた制御パケットを通過させることをフィルタ情報として設定し、
前記移動端末が、外部ネットワークに接続されたとき該外部ネットワークにおける自端末の位置情報を含む制御パケットを通信相手となる前記内部ネットワークの通信装置に宛てて送信し、
前記ファイアウォール装置が、前記移動端末から送信された制御パケットを前記フィルタ情報に基づき前記通信装置へ転送し、
前記通信装置が、前記ファイアウォール装置から転送された制御パケットに含まれる位置情報を登録し該登録した位置情報を前記ファイアウォール装置へ通知し、
前記ファイアウォール装置が、前記通信装置から通知された位置情報に基づき前記フィルタ情報における前記移動端末の位置情報を更新し且つ該移動端末および前記通信装置間のパケットの通過許可を設定することを特徴とするフィルタリング方法。
【請求項２】
前記移動端末が、前記通信装置へ送信すべき制御パケットに当該位置情報の有効期間を設定し、
前記通信装置が、前記移動端末の位置情報を登録するとき前記有効期間を登録し、該有効期間が過ぎたとき有効期間が過ぎたことを前記ファイアウォール装置へ通知し、
前記ファイアウォール装置が、前記通信装置から前記通知を受けたとき前記移動端末および前記通信装置間の前記通過許可の設定を削除することを特徴とする請求項１記載のフィルタリング方法。
【請求項３】
移動端末と、該移動端末が属する内部ネットワークに対するパケットのフィルタリングをフィルタ情報に基づき実行するファイアウォール装置と、前記内部ネットワークに存在し且つ前記移動端末の通信相手となる通信装置とを備え、
前記移動端末は、外部ネットワークに接続されたとき該外部ネットワークにおける自端末の位置情報を含む制御パケットを前記通信装置に宛てて送信する手段を有し、
前記通信装置は、前記移動端末の位置情報を記憶する手段と、前記移動端末から送信された制御パケットに基づき前記移動端末の位置情報を登録する手段と、登録した位置情報を前記ファイアウォール装置へ通知する手段とを有し、
前記ファイアウォール装置は、前記フィルタリングを行う手段と、前記内部ネットワークおよび外部ネットワーク間にて交信されるパケットのうち前記移動端末の位置情報の登録に関連付けられた制御パケットを通過させることを示すフィルタ情報を記憶する手段と、前記通信装置から通知される位置情報に基づき前記フィルタ情報を更新する手段とを有し、
前記ファイアウォール装置は、前記通信装置から前記移動端末の位置情報として外部ネットワークの位置情報を通知されたとき、前記フィルタ情報に前記移動端末および前記通信装置間のパケットの通過許可を設定することを特徴とするファイアウォールシステム。
【請求項４】
前記移動端末は、前記通信装置へ送信すべき制御パケットに当該位置情報の有効期間を設定し、
前記通信装置は、前記制御パケットに基づき当該位置情報の有効期間を登録し、該登録した有効期間が過ぎたとき有効期間が過ぎたことを前記ファイアウォール装置へ通知し、
前記ファイアウォール装置は、前記通信装置から前記通知を受けたとき前記移動端末および前記通信装置間の前記通過許可の設定を削除することを特徴とする請求項３記載のファイアウォールシステム。
【請求項５】
移動端末が属する内部ネットワークに接続され且つ前記移動端末の通信相手となる通信装置であって、
前記移動端末の位置情報を記憶する手段と、前記移動端末の位置情報を含む制御パケットに基づき前記移動端末の位置情報を登録する手段と、登録した位置情報を前記内部ネットワークに対するパケットのフィルタリングを行うファイアウォール装置へ通知する手段とを有することを特徴とする通信装置。
【請求項６】
前記制御パケットに当該位置情報の有効期間が設定されているとき該有効期間を登録し、該登録した有効期間が過ぎたとき有効期間が過ぎたことを前記ファイアウォール装置へ通知することを特徴とする請求項５記載の通信装置。
【請求項７】
コンピュータを、請求項５又は６記載の通信装置として機能させることを特徴とするプログラム。
【請求項８】
移動端末が属する内部ネットワークに対するパケットのフィルタリングをフィルタ情報に基づき実行するファイアウォール装置であって、
前記フィルタリングを行う手段と、前記内部ネットワークおよび外部ネットワーク間にて交信されるパケットのうち前記移動端末の位置情報の登録に関連付けられた制御パケットを通過させることを示すフィルタ情報を記憶する手段と、前記内部ネットワークの通信装置から通知される位置情報に基づき前記フィルタ情報を更新する手段とを有し、
前記通信装置から前記移動端末の位置情報として外部ネットワークの位置情報を通知されたとき、前記フィルタ情報に前記移動端末および前記通信装置間のパケットの通過許可を設定することを特徴とするファイアウォール装置。
【請求項９】
前記通信装置から前記移動端末の位置情報の有効期間が過ぎたことを通知されたとき前記移動端末および前記通信装置間の前記通過許可の設定を削除することを特徴とする請求項８記載のファイアウォール装置。
【請求項１０】
コンピュータを、請求項８又は９記載のファイアウォール装置として機能させることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信ネットワークに対する不正なパケットの流入を阻止するファイアウォール機能のフィルタリング方法に関し、特に、通信ネットワークの内外を移動する移動端末に対処するためのフィルタリング方法に関する。
【背景技術】
【０００２】
従来、通信ネットワークに対し外部から不正なパケットが流入することを防止するために、保護対象のネットワークと他のネットワークとの間にファイアウォールなる機能を配備することが知られている。この機能を具備するファイアウォール装置は、外部から到来したパケットのソースアドレス、宛先アドレス及びプロトコル番号等の情報に基づきパケット通過の可否を決定するパケットフィルタリングを行い、これにより不正なパケットの流入を阻止する。
【０００３】
ところで、上述のファイアウォール装置により守られた内部ネットワークにホームリンクを持つ移動端末は、移動により外部のネットワークに接続した場合、移動後の通信相手が内部ネットワークの通信装置となることがある。この場合、移動端末は、ファイアウォール装置を介して通信相手と交信することとなるが、移動端末が外部ネットワークから送信するパケットの通過許可を予めファイアウォール装置に設定していない限り、移動端末からのパケットはファイアウォール装置でのフィルタリングにより破棄される。
【０００４】
そこで、移動端末が任意の時点で外部ネットワークへ移動することを考慮し、外部へ移動し得る全ての移動端末に関連するパケットを通過させるよう、予めファイアウォール装置に設定することが考えられる。しかしながら、そうすると、フィルタリングの排他性が低下することにより、不正なパケットが流入し易くなるという不都合が生じる。
【０００５】
移動端末が外部ネットワークへ移動することに伴う上述のような不都合を解消するための手法として、例えば、後述の特許文献１に記載のものがある。特許文献１に記載のファイアウォールは、内部ネットワークに対し外部ネットワークの移動端末からアクセスがあった際に、その移動端末が内部ネットワークから移動した端末であるか否かを判断し、そうである場合に、同端末の内部ネットワークに対する通信を許可するようにフィルタを設定する。フィルタ設定後、移動端末から送信されるパケットがＩＰトンネルを経て内部ネットワークに到達すると、このパケットは、内部ネットワークのホームエージェントを介して通信相手の内部ホストに届けられる。
【特許文献１】特開平１０−０７０５７６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
上述の特許文献１に記載の手法によれば、外部ネットワークに移動した移動端末からのパケットがファイアウォール装置にて破棄されることを回避できるが、移動端末から内部ネットワークの通信相手に宛てて送信されたパケットは、常にホームエージェントを経由して届けられることから、例えば、経由するパスに輻輳や障害が発生した場合、通信相手へのパケットが遅延あるいは消失するおそれがある。
【０００７】
本発明は、上記課題に鑑みてなされたものであり、ファイアウォール装置のフィルタリング設定を動的に行うと共に、このファイアウォール装置を介した移動端末および通信相手間の通信の簡素化を図る手法を提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明に係るフィルタリング方法は、移動端末が属する内部ネットワークに対するパケットのフィルタリングをフィルタ情報に基づき実行するファイアウォール装置に、前記内部ネットワークおよび外部ネットワーク間にて交信されるパケットのうち前記移動端末の位置情報の登録に関連付けられた制御パケットを通過させることをフィルタ情報として設定し、前記移動端末が、外部ネットワークに接続されたとき該外部ネットワークにおける自端末の位置情報を含む制御パケットを通信相手となる前記内部ネットワークの通信装置に宛てて送信し、前記ファイアウォール装置が、前記移動端末から送信された制御パケットを前記フィルタ情報に基づき前記通信装置へ転送し、前記通信装置が、前記ファイアウォール装置から転送された制御パケットに含まれる位置情報を登録し該登録した位置情報を前記ファイアウォール装置へ通知し、前記ファイアウォール装置が、前記通信装置から通知された位置情報に基づき前記フィルタ情報における前記移動端末の位置情報を更新し且つ該移動端末および前記通信装置間のパケットの通過許可を設定するという方法である。
【０００９】
本発明に係るファイアウォールシステムは、移動端末と、該移動端末が属する内部ネットワークに対するパケットのフィルタリングをフィルタ情報に基づき実行するファイアウォール装置と、前記内部ネットワークに存在し且つ前記移動端末の通信相手となる通信装置とを備え、前記移動端末は、外部ネットワークに接続されたとき該外部ネットワークにおける自端末の位置情報を含む制御パケットを前記通信装置に宛てて送信する手段を有し、前記通信装置は、前記移動端末の位置情報を記憶する手段と、前記移動端末から送信された制御パケットに基づき前記移動端末の位置情報を登録する手段と、登録した位置情報を前記ファイアウォール装置へ通知する手段とを有し、前記ファイアウォール装置は、前記フィルタリングを行う手段と、前記内部ネットワークおよび外部ネットワーク間にて交信されるパケットのうち前記移動端末の位置情報の登録に関連付けられた制御パケットを通過させることを示すフィルタ情報を記憶する手段と、前記通信装置から通知される位置情報に基づき前記フィルタ情報を更新する手段とを有し、前記ファイアウォール装置は、前記通信装置から前記移動端末の位置情報として外部ネットワークの位置情報を通知されたとき、前記フィルタ情報に前記移動端末および前記通信装置間のパケットの通過許可を設定する。
【発明の効果】
【００１０】
本発明によれば、外部ネットワークに移動した移動端末と内部ネットワークの通信装置とがパケットを交信するにあたり、移動端末の位置情報を管理するホームエージェントを利用することが不要となる。これにより、ファイアウォール装置による動的なフィルタリングを実現するうえでの通信の簡素化が可能となる。
【発明を実施するための最良の形態】
【００１１】
以下、本発明の実施形態について図面を用いて詳細に説明する。図１は、本発明に係るファイアウォールシステムの構成を示すブロック図である。本実施形態のシステム１０１は、インターネットのような通信ネットワーク１００にファイアウォール装置３０を介して接続されたサブネットワークである通信ネットワーク２００を備える。通信ネットワーク２００には、この通信ネットワーク２００に自己のホームリンク１０Ａが存在する移動端末１０と、移動端末１０の位置情報を管理する位置管理サーバ２０と、ファイアウォール装置３０に接続されたネットワークノードである通信装置４０及び通信装置５０とが接続されている。
【００１２】
図２に、システム１０１における各構成要素の内部構成を示す。移動端末１０は、機能構成としてモビリティ処理部１１を有する。モビリティ処理部１１は、移動端末１０の移動に伴う位置登録処理をサポートするプロトコルに基づき、後述する位置登録メッセージの送信および位置登録応答メッセージの受信を行う。上記プロトコルとしては、例えば、従来知られたモバイルＩＰ（Mobile IP）を適用することができる。位置登録メッセージは、移動端末１０の位置情報を通知するために使用するメッセージであり、また、位置登録応答メッセージは、位置登録メッセージの処理結果を移動端末１０へ通知するために使用するメッセージである。本実施形態では、移動端末１０の位置情報の登録に関連するこれらのメッセージを制御パケットとして取り扱う。
【００１３】
ファイアウォール装置３０は、パケットフィルタ処理部３１と、フィルタ情報３２を保持するＩＰフィルタデータベース３３と、位置情報受信部３４とを有する。フィルタ情報３２は、パケットに格納されているソースアドレス、あて先アドレス、プロトコル番号などの情報と、そのパケットに対する処理形式（通過許可又は破棄）とが関連付けられた情報である。パケットフィルタ処理部３１は、ファイアウォール装置３０が受信したパケットのフィルタリングを行う機能を果たし、ＩＰフィルタデータベース３３のフィルタ情報３２を参照してパケットの通過許可又は破棄を行う。位置情報受信部３４は、位置管理サーバ２０または通信装置４０から通知される移動端末１０の位置情報に基づきフィルタ情報３２を更新する。
【００１４】
通信装置４０は、移動端末１０の通信相手となり得るコンピュータ装置であり、モビリティ処理部４１と、位置情報テーブル４２を有するデータベース４３と、位置情報通知部４４とを有する。モビリティ処理部４１は、移動端末１０の移動に伴う位置登録処理をサポートする上述のモバイルＩＰのようなプロトコルに基づき、後述する位置登録メッセージの受信および位置登録応答メッセージの送信を行い、また、移動端末１０の位置情報を位置情報テーブル４２へ登録する処理を行う。ここで、位置情報とは、移動端末１０のアドレス情報及びその有効期間など、通信装置４０が移動端末１０の位置を把握するための制御パラメータである。位置情報通知部４３は、登録された位置情報をファイアウォール装置３０の位置情報受信部３３へ通知する機能を果たす。
【００１５】
位置管理サーバ２０は、移動端末１０の現在位置を管理する、いわゆるホームエージェントとしての機能を果たし、通信装置４０が有する上述の構成要素と同様なものを備える。すなわち、モビリティ処理部２１と、位置情報テーブル２２を保持するデータベース２３と、位置情報通知部２４とを備える。通信装置５０は、上述のモバイルＩＰのようなプロトコルを処理する機能を有しないコンピュータ装置であり、外部ネットワークに移動した移動端末１０との交信は、位置管理サーバ２０を介して行う。
【００１６】
以下、本実施形態の動作手順を説明する。移動端末１０がホームリンク１０Ａに接続されている初期状態では、ファイアウォール装置３０のフィルタ情報３２に、移動端末１０に関連付けられた制御パケットを通過させ、それ以外のパケットは通過させないとの設定を、予めネットワーク管理者などにより行う。ここで、図１に矢印にて示すように、通信ネットワーク２００の移動端末１０が、外部ネットワークである通信ネットワーク１００へ移動し、この通信ネットワーク１００から内部ネットワークの通信装置４０を通信相手として交信する手順を説明する。
【００１７】
移動端末１０は、自端末が外部ネットワークに移動したことをモビリティ処理部１１により検知したとき、通信相手である通信装置４０を宛先とした位置登録メッセージを作成して送信する（ステップＳ１）。この位置登録メッセージは、ファイアウォール装置３０を介して通信装置４０へ直接的に送信する制御パケットであり、外部ネットワークとなる通信ネットワーク１００における移動端末１０の位置情報およびその有効期間の情報を含む。移動端末１０から送信されたメッセージは、ネットワーク１００を経由してファイアウォール装置３０に到達する。
【００１８】
ファイアウォール装置３０のパケットフィルタ処理部３１は、ＩＰフィルタデータベース３３のフィルタ情報３２を参照し（ステップＳ２）、受信した位置登録メッセージを通過させるか否かを判定する。ここで位置登録メッセージとは、上述したように、制御パケットの一種であり、この制御パケットの通過許可は予めフィルタ情報３２に設定されていることから、パケットフィルタ処理部３１は、受信した位置登録メッセージを通過させると判定し通信装置４０へ転送する（ステップＳ３）。
【００１９】
通信装置４０は、ファイアウォール装置３０から転送された位置登録メッセージを受信すると、モビリティ処理部４１が、それが有効なメッセージであることを確認したうえで、メッセージに記述されている移動端末１０の位置情報とその有効期間とをデータベース４３の位置情報テーブル４２に登録する（ステップＳ４）。さらに、位置情報を登録した旨を示す位置登録応答メッセージをファイアウォール装置３０を介して移動端末１０へ送信する（ステップＳ５、Ｓ６）。
【００２０】
一方、通信装置４０のデータベース４３は、モビリティ処理部４１による位置情報の登録があったとき、または、登録されている位置情報の有効期間が過ぎたとき、その旨をファイアウォール装置３０へ通知するよう位置情報通知部４４へ要求する（ステップＳ７）。位置情報通知部４４は、データベース４３から上述の要求を受けたとき、登録された位置情報または有効期限が過ぎたことを示す情報をファイアウォール装置３０へ通知する（ステップＳ８）。
【００２１】
ファイアウォール装置３０の位置情報受信部３４は、通信装置４０から通知された情報に基づきＩＰフィルタデータベース３３のフィルタ情報３２を更新する（ステップＳ９）。具体的には、上記通知が移動端末１０の位置情報の登録を示す場合、その位置情報をソースアドレスとし通信装置４０のアドレスを宛先アドレスとするパケットを通過させるよう設定する。この設定以降、ファイアウォール装置３０は、制御パケットに限らず、外部ネットワークの移動端末１０から内部ネットワークの通信装置４０に宛てて送信されたパケットを通過させる。
【００２２】
また、上記メッセージが位置情報の有効期間切れを示すものである場合は、フィルタ情報３２における当該位置情報に関連した設定、すなわち外部ネットワークの移動端末１０から内部ネットワークの通信装置４０へのパケットの通過許可の設定を削除する。これにより、有効期間以降に、外部ネットワークから移動端末１０に成りすまして送信された不正なパケットの侵入を阻止することができる。
【００２３】
上記説明した実施形態によれば、外部ネットワークに移動した移動端末１０と、内部ネットワークの通信装置４０との間で交信するにあたり、移動端末１０が移動した旨を通信装置４０からファイアウォール装置３０へ通知させることにより、フィルタ情報３２の更新を行うことから、移動端末１０及び通信装置４０間の交信にホームエージェントとしての位置管理サーバ２０を経由することは不要となる。これにより、ファイアウォール装置３０を介した交信の経路を簡素化することができ、簡素化された分、両者間でパケットを速やかに交信させることができる。
【００２４】
なお、図１のシステム１０１において、外部ネットワークに移動した移動端末１０が内部ネットワークの通信装置５０と交信する場合は、位置管理サーバ２０が、ホームエージェントとしてファイアウォール装置３０のフィルタ情報３２を更新する。この手順の概略的な流れを図２に点線の矢印にて示す。すなわち、移動端末１０が、自端末の移動を検知したことにより位置登録メッセージを位置管理サーバ２０に宛てて送信すると、ファイアウォール装置３０がフィルタ情報３２に基づき位置登録メッセージの通過許可を行い、メッセージを位置管理サーバ２０へ転送する。
【００２５】
位置管理サーバ２０は、転送された位置登録メッセージに含まれる移動端末１０のアドレス情報とその有効期間とを位置情報テーブル２２に登録し、位置登録応答メッセージを移動端末１０に宛てて送信する。また、位置管理サーバ２０は、上記説明した通信装置４０の位置情報通知部４４と同様に、位置情報テーブル２２に位置情報の登録があったとき、または、位置情報の有効期間が過ぎたときに、その旨をファイアウォール装置３０へ通知する。そして、ファイアウォール装置３０の位置情報受信部３３が、通知された情報に基づきフィルタ情報３２を更新する。
【００２６】
上記の処理により、フィルタ情報３２に、外部ネットワークの移動端末１０から内部ネットワークに対するパケットの通過許可が設定される。この設定後、移動端末１０は、内部ネットワークの通信装置５０と交信するとき、自端末のホームアドレスであるホームリンク１０Ａのアドレスをソースアドレスとし、通信装置５０のアドレスを宛先とするパケットを、宛先に気付アドレス（care-of-address）を設定したパケットでカプセル化して送信する。気付アドレスには位置管理サーバ２０のアドレスを設定する。
【図面の簡単な説明】
【００２７】
【図１】本発明に係るファイアウォールシステムの実施形態の構成を示すブロック図である。
【図２】実施形態の構成要素の機能構成を示すブロック図である。
【符号の説明】
【００２８】
１０１  システム
１００、２００  通信ネットワーク
１０、５０  移動端末
２０  位置管理サーバ
３０  ファイアウォール装置
４０  通信装置
１１、２１、４１、５１  モビリティ処理部
２２、４２  位置情報テーブル
２３、４３  データベース
２４、４４  位置情報通知部
【図１】
2006211222.tif 000003
【図２】
2006211222.tif 000004