(57)【要約】【課題】リクエストパケットとこのパケットに対応する応答パケットとが異なるＦＷを経由する場合においても、通信を確立できる通信システム、ファイアウォール及び通信方法を提供する。【解決手段】ネットワーク間に並列に複数のファイアウォール４（ＦＷ）を有する通信システム１において、記憶装置３により、セッション情報を受けて格納し、複数のＦＷ４により、通信要求通知を受け、この通信要求通知に対応するセッション情報を記憶装置３に出力し、当該通信要求通知を通過させ、応答通知を受け、自身のＦＷ４がこの応答通知に対応する通信要求通知を通過させていた場合に、当該応答通知を通過させ、自身のＦＷ４がこの応答通知に対応する通信要求通知を通過させていなかった場合、記憶装置３に当該通信要求通知に対応するセッション情報が格納されている場合に、当該応答通知を通過させる。【選択図】      図1
2015156567.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク間に並列に複数のファイアウォール（ＦＷ）を有する通信システムにおいて、
セッション情報を受けて格納する記憶装置と、
通信要求通知を受け、この通信要求通知に対応する前記セッション情報を前記記憶装置に出力し、当該通信要求通知を通過させ、応答通知を受け、自身のＦＷがこの応答通知に対応する通信要求通知を通過させていた場合に、当該応答通知を通過させ、自身のＦＷがこの応答通知に対応する通信要求通知を通過させていなかった場合、前記記憶装置に当該通信要求通知に対応する前記セッション情報が格納されている場合に、当該応答通知を通過させる複数のＦＷと、
を備えたことを特徴とする通信システム。
【請求項２】
第一のネットワークを介して第一の装置から受けた前記通信要求通知を、複数の前記ＦＷのうちの、第一のルーチング情報に基づいて指定された前記ＦＷに送信し、この送信に応じて前記通信要求通知に対応する前記応答通知を、複数の前記ＦＷのうちのいずれかのＦＷから受けて前記第一のネットワークを介して前記第一の装置に送信する第一のスイッチと、
前記ＦＷから前記通信要求通知を受け、第二のネットワークを介して前記通信要求通知の送信先の第二の装置へ送信し、この送信に応じて前記第二のネットワークを介して当該送信先の第二の装置から前記通信要求通知の応答通知を受け、複数の前記ＦＷのうちの、第二のルーチング情報に基づいて指定されたＦＷに送信する第二のスイッチと、
を更に備えたことを特徴とする請求項１記載の通信システム。
【請求項３】
複数の前記ファイアウォールは、インターネットを含む外部ネットワークと、ローカルエリアネットワークを含む内部ネットワークとの間に設定される、ことを特徴とする請求項１記載の通信システム。
【請求項４】
前記セッション情報は、前記通信要求通知及び前記応答通知の宛先アドレス、送信元アドレス、宛先ポート、送信元ポートを示す情報を含む、ことを特徴とする請求項１、２、又は３記載の通信システム。
【請求項５】
ネットワーク間に設定されたファイアウォール（ＦＷ）であって、
セッション情報を受けて格納する記憶部と、
通信要求通知を受け、この通信要求通知に対応するセッション情報を前記記憶部に格納するとともに外部の記憶装置に格納し、当該通信要求通知を通過させ、応答通知を受け、この応答通知に対応する通信要求通知のセッション情報が前記記憶部に格納されている場合、当該応答通知を通過させ、当該セッション情報が前記記憶部に格納されていない場合、外部の前記記憶装置に当該セッション情報が格納されている場合に、当該応答通知を通過させる制御部と、
を備えたことを特徴とするファイアウォール。
【請求項６】
ネットワーク間に並列に複数のファイアウォール（ＦＷ）を有する通信システムの通信方法において、
前記ＦＷにより、通信要求通知を受け、この通信要求通知に対応するセッション情報を記憶装置に格納し、
当該通信要求通知を通過させ、応答通知を受け、自身のＦＷがこの応答通知に対応する通信要求通知を通過させていた場合に、当該応答通知を通過させ、
自身のＦＷがこの応答通知に対応する通信要求通知を通過させていなかった場合、前記記憶装置に当該通信要求通知に対応する前記セッション情報が格納されている場合に、当該応答通知を通過させる、ことを特徴とする通信方法。
【請求項７】
第一のスイッチにより、第一のネットワークを介して第一の装置から受けた前記通信要求通知を、複数の前記ＦＷのうちの第一のルーチング情報に基づいて指定されたＦＷに送信し、
第二のスイッチにより、当該ＦＷから前記通信要求通知を受け、第二のネットワークを介して前記通信要求通知の送信先の第二の装置へ送信し、
この送信に応じて前記第二のネットワークを介して前記送信先の第二の装置から前記通信要求通知の応答通知を受け、複数の前記ＦＷのうちの第二のルーチング情報に基づいて指定されたＦＷに送信し、
第一のスイッチにより、当該ＦＷから前記応答通知を受けて前記第一のネットワークを介して前記第一の装置に送信する、
ことを特徴とする請求項６記載の通信方法。
【請求項８】
複数の前記ファイアウォールは、インターネットを含む外部ネットワークと、ローカルエリアネットワークを含む内部ネットワークとの間に設定される、ことを特徴とする請求項１記載の通信方法。
【請求項９】
前記セッション情報は、前記通信要求通知及び前記応答通知の宛先アドレス、送信元アドレス、宛先ポート、送信元ポートを示す情報を含む、ことを特徴とする請求項６、７、又は８記載の通信方法。
【請求項１０】
ネットワーク間に設定されたファイアウォール（ＦＷ）の通信方法であって、
通信要求通知を受け、この通信要求通知に対応するセッション情報を記憶部に格納するとともに外部の記憶装置に格納し、
当該通信要求通知を通過させ、応答通知を受け、この応答通知に対応する通信要求通知のセッション情報が前記記憶部に格納されている場合、当該応答通知を通過させ、
当該セッション情報が前記記憶部に格納されていない場合、外部の前記記憶装置に当該セッション情報が格納されている場合に、当該応答通知を通過させる、
ことを特徴とするファイアウォールの通信方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信システム、ファイアウォール及び通信方法に関し、メンテナンス時においても通信を確立することができる通信システム、ファイアウォール及び通信方法に関する。
【背景技術】
【０００２】
容量の大きい高速通信等の普及により、通信トラフィックが増大するにつれ、外部ネットワークとの境界に設置されるファイアウォールのトラフィック処理能力が通信性能のボトルネックとなってきている。このような状況に対応するため、複数のファイアウォールを外部ネットワークとの境界に設置し、各ファイアウォールに負荷を分散させて通信性能のボトルネックを回避している。
【０００３】
複数のファイアウォールに負荷を分散させる技術が特許文献１に開示されている。特許文献１に開示の負荷分散装置を備えた通信システムは、図５に示すように、ロードバランサ（Ａ）１０（ＬＢ（Ａ））、複数のファイアウォール１２（ＦＷ（Ａ）からＦＷ（Ｃ））、ロードバランサ（Ｂ）１１（ＬＢ（Ｂ））、を備える。ＬＢ（Ａ）１０は、インターネットを介してノード（Ａ）から送信されたパケットを受け、このパケットをＦＷ（Ａ）１２からＦＷ（Ｃ）１２のいずれかのＦＷ１２に振り分ける。また、ＬＢ（Ｂ）１１は、ＦＷ１２から受信したパケットをネットワークを介してノード（Ｂ）に送信する。ＦＷ１２は、条件にしたがって、受信したパケットを通過または破棄する。
【０００４】
次に、特許文献１に開示の通信システムにおけるリクエストパケットの振り分けから応答パケットの振り分けまでの処理の流れを説明する。図６は、パケットの振り分け処理のフローチャートである。ここでは、ノード（Ａ）がリクエストパケット（通信要求）をノード（Ｂ）に送信し、ノード（Ｂ）からリクエストパケットに対する応答である応答パケットを受信する場合について説明する。
【０００５】
ステップＣ１では、ＬＢ（Ａ）１０は、インターネットを介してノード（Ａ）から送信されたリクエストパケットを受信し、任意の負荷分散アルゴリズムに従って決定した振り分け先のＦＷ１２（例えばＦＷ（Ａ））に送信する。
【０００６】
ステップＣ２では、ＦＷ（Ａ）１２は、リクエストパケットを受信し、このパケットを通過させるか否か判定する。すなわち、リクエストパケットに含まれる送信元アドレスや送信元ポートなどの情報が予め定められた条件を満たしているか否かを判定する。判定した結果が、条件を満たしていることを示す場合は、ステップＣ４へ進む。
判定した結果が、条件を満たしていないことを示す場合は、ステップＣ３へ進む。
【０００７】
ステップＣ３では、ＦＷ（Ａ）１２は、リクエストパケットを破棄し、終了する。
【０００８】
ステップＣ４では、ＦＷ（Ａ）１２は、ＬＢ（Ｂ）１１にリクエストパケットを送信する。
【０００９】
ステップＣ５では、ＦＷ（Ａ）１２は、リクエストパケットに関するセッション情報を格納し、ＬＢ（Ａ）１０、ＬＢ（Ｂ）１１に、このセッション情報を送信する。セッション情報とは、リクエストパケットの振り分け先のＦＷ１２、リクエストパケットの宛先アドレス、送信元アドレス、宛て先ポート、送信元ポートを含む。
【００１０】
ステップＣ６では、ＬＢ（Ａ）１０、及びＬＢ（Ｂ）１１は、ＦＷ（Ａ）１２からセッション情報を受信し、それぞれ格納する。これにより、ノード（Ｂ）からノード（Ａ）へのパケットの振り分け先がＦＷ（Ａ）１２であることを示すセッション情報がＬＢ（Ａ）１０、及びＬＢ（Ｂ）１１に格納されることになる。
【００１１】
ステップＣ７では、ＬＢ（Ｂ）１１は、リクエストパケットを受信し、このリクエストパケットをネットワークを介してノード（Ｂ）に送信する。
【００１２】
ステップＣ８では、ＬＢ（Ｂ）１１は、リクエストパケットに対応する応答パケットをネットワークを介してノード（Ｂ）から受信し、この応答パケットの属性に対応するセッション情報に応じた振り分け先のＦＷ１２を検索する。そして、応答パケットをこの検索した振り分け先のＦＷ１２（ＦＷ（Ａ））に振り分ける。応答パケットの属性とは、応答パケットに含まれる情報である宛先アドレス、送信元アドレス、宛先ポート、送信元ポート等を示す。
【００１３】
ステップＣ９では、ＦＷ（Ａ）１２は、応答パケットを受信し、応答パケットを通過させるか否か判定する。すなわち、応答パケットに関するセッション情報が格納されているか否かを調べる。調べた結果が、このセッション情報が格納されていることを示す場合は、ステップＣ１１へ進む。調べた結果が、このセッション情報が格納されていないことを示す場合は、ステップＣ１０へ進む。
【００１４】
ステップＣ１０では、ＦＷ（Ａ）１２は、応答パケットを破棄し、終了する。
【００１５】
ステップＣ１１では、ＦＷ（Ａ）１２は、ＬＢ（Ａ）１０に応答パケットを送信する。
【００１６】
ステップＣ１２では、ＬＢ（Ａ）１０は、ＦＷ（Ａ）１２から応答パケットを受信し、この応答パケットをインターネットを介してノード（Ａ）に送信する。
【先行技術文献】
【特許文献】
【００１７】
【特許文献１】特開２０００−３３０８９７号公報
【発明の概要】
【発明が解決しようとする課題】
【００１８】
上述した、特許文献１に開示の通信システムは、リクエストパケットを受けたＦＷが、自身のＦＷを示す情報を振り分け先のＦＷを示す情報として含んだ、このパケットのセッション情報をＬＢ（Ｂ）に通知する。そして、ＬＢ（Ｂ）が、リクエストパケットに対応する応答パケットを受け、通知されたＦＷを示す情報に対応するＦＷにこの応答パケットを送信する。このことにより、リクエストパケットが通過したＦＷにこのリクエストパケットに対応する応答パケットを通過するようにしている。この場合、ＦＷ（Ａ）を通過したリクエストパケットのセッション情報と応答パケットのセッション情報は同一なのでこの応答パケットは廃棄されずにＦＷ（Ａ）を通過する。また、ＦＷ（Ａ）を通過したリクエストパケットのセッション情報と応答パケットのセッション情報が異なる場合には、この応答パケットを廃棄する。
【００１９】
このように、特許文献１に開示の通信システムは、ＬＢにより、どのＦＷを使用して通信の要求（リクエストパケット）とこの要求に対応する応答（応答パケット）を通過させるかを管理している。このため、ＦＷの使用を管理している機器であるＬＢをメンテナンスする場合等、ＬＢが正常に稼働しない可能性があるときには、ＬＢは、リクエストパケットとこのパケットに対応する応答パケットを同一のＦＷに振り分けることができないおそれがある。このような場合には、リクエストパケットとこのパケットに対応する応答パケットは異なるＦＷを経由するおそれがある。リクエストパケットと応答パケットが異なるＦＷを経由する場合には、この応答パケットはＦＷにて廃棄されるので、通信が確立できないという問題がある。
【００２０】
本発明の目的は、上記課題を解決して、ネットワーク内をメンテナンスする場合等、何かしらの原因で、リクエストパケットとこのパケットに対応する応答パケットとが異なるＦＷを経由する場合においても、通信を確立できる通信システム、ファイアウォール及び通信方法を提供することである。
【課題を解決するための手段】
【００２１】
本発明の通信システムは、ネットワーク間に並列に複数のファイアウォール（ＦＷ）を有する通信システムにおいて、セッション情報を受けて格納する記憶装置と、通信要求通知を受け、この通信要求通知に対応する前記セッション情報を前記記憶装置に出力し、当該通信要求通知を通過させ、応答通知を受け、自身のＦＷがこの応答通知に対応する通信要求通知を通過させていた場合に、当該応答通知を通過させ、自身のＦＷがこの応答通知に対応する通信要求通知を通過させていなかった場合、前記記憶装置に当該通信要求通知に対応する前記セッション情報が格納されている場合に、当該応答通知を通過させる複数のＦＷと、を備えている。
【００２２】
本発明のファイアウォールは、ネットワーク間に設定されたファイアウォール（ＦＷ）であって、セッション情報を受けて格納する記憶部と、通信要求通知を受け、この通信要求通知に対応するセッション情報を前記記憶部に格納するとともに外部の記憶装置に格納し、当該通信要求通知を通過させ、応答通知を受け、この応答通知に対応する通信要求通知のセッション情報が前記記憶部に格納されている場合、当該応答通知を通過させ、当該セッション情報が前記記憶部に格納されていない場合、外部の前記記憶装置に当該セッション情報が格納されている場合に、当該応答通知を通過させる制御部と、を備えている。
【００２３】
本発明の第一の通信方法は、ネットワーク間に並列に複数のファイアウォール（ＦＷ）を有する通信システムの通信方法において、前記ＦＷにより、通信要求通知を受け、この通信要求通知に対応するセッション情報を記憶装置に格納し、当該通信要求通知を通過させ、応答通知を受け、自身のＦＷがこの応答通知に対応する通信要求通知を通過させていた場合に、当該応答通知を通過させ、自身のＦＷがこの応答通知に対応する通信要求通知を通過させていなかった場合、前記記憶装置に当該通信要求通知に対応する前記セッション情報が格納されている場合に、当該応答通知を通過させる、ようにしている。
【００２４】
本発明の第二の通信方法は、ネットワーク間に設定されたファイアウォール（ＦＷ）の通信方法であって、通信要求通知を受け、この通信要求通知に対応するセッション情報を記憶部に格納するとともに外部の記憶装置に格納し、当該通信要求通知を通過させ、応答通知を受け、この応答通知に対応する通信要求通知のセッション情報が前記記憶部に格納されている場合、当該応答通知を通過させ、当該セッション情報が前記記憶部に格納されていない場合、外部の前記記憶装置に当該セッション情報が格納されている場合に、当該応答通知を通過させる、ようにしている。
【発明の効果】
【００２５】
本発明によれば、ネットワーク内をメンテナンスする場合等、何かしらの原因で、リクエストパケットとこのパケットに対応する応答パケットとが異なるＦＷを経由する場合においても、通信を確立できる通信システム、ファイアウォール及び通信方法を提供することができる。
【図面の簡単な説明】
【００２６】
【図１】本発明の第１の実施の形態に係る通信システムの一例を示す図である。
【図２】本発明の第２の実施の形態に係る通信システムの一例を示す図である。
【図３】本発明の第２の実施の形態に係る通信システムの通常状態における動作の一例を示すフローチャートである。
【図４】本発明の第２の実施の形態に係る通信システムのメンテンス時における動作の一例を示すフローチャートである。
【図５】関連技術における通信システムの一例を示す図である。
【図６】関連技術における通信システムの動作の一例を示すフローチャートである。
【図７】本発明の第１の実施の形態に係る通信システムのファイアウォールの一例を示す図である。
【発明を実施するための形態】
【００２７】
次に、本発明の実施の形態について図面を参照して説明する。
（第１の実施の形態）
図１は、本発明の第１の実施の形態に係る通信システムの一例を示す図である。
【００２８】
本実施の形態に係る通信システム１は、記憶装置３（データベース、ＤＢ）と、複数のファイアウォール４（ＦＷ）とにより構成される。本通信システム１は、ネットワーク間に並列に複数のＦＷ４を有する。
【００２９】
ＤＢ３は、セッション情報を受けて格納する。
【００３０】
複数のＦＷ４のそれぞれのＦＷ４は、通信要求通知（通信要求パケット）を受け、この通信要求パケットに対応するセッション情報をＤＢ３に出力し、この通信要求パケットを通過させる。そして、応答通知（応答パケット）を受け、自身のＦＷ４がこの応答パケットに対応する通信要求パケットを通過させていた場合に、この応答パケットを通過させる。自身のＦＷ４がこの応答パケットに対応する通信要求パケットを通過させていなかった場合、ＤＢ３にこの通信要求パケットに対応するセッション情報が格納されている場合に、この応答パケットを通過させる。
【００３１】
次に、本実施の形態に係る通信システムの動作を説明する。
【００３２】
複数のＦＷ４のそれぞれのＦＷ４は、一方のネットワークを介して送信されてきた通信要求パケットを受けた場合、制御部８（本発明の第１の実施の形態に係る通信システムのファイアウォールの一例を示す図７を参照）により、このパケットに含まれる送信元アドレスや送信元ポートなどの情報が所定の条件を満たしているか否かを調べる。そして、所定の条件を満たしている場合、この通信要求パケットを通過させ、他方のネットワークへ送信する。所定の条件を満たしていない場合、このパケットを廃棄する。
【００３３】
そして、制御部８は、この通信要求パケットのセッション情報を自身のＦＷ４の記憶部７（図７を参照）へ格納するとともに、ＤＢ３に出力しＤＢ３に格納させる。セッション情報は、パケットの宛先アドレス、送信元アドレス、宛先ポート、送信元ポートを示す情報を含む。
【００３４】
複数のＦＷ４のそれぞれのＦＷ４は、他方のネットワークを介して送信されてきた応答パケットを受けた場合、制御部８により、自身のＦＷ４がこの応答パケットに対応する通信要求パケットを通過させていたか否かを調べる。すなわち、記憶部７に格納したセッション情報のうちにこの応答パケットに対応するセッション情報があるか否かを調べる。この応答パケットに対応する通信要求パケットを通過させていた場合、すなわち、記憶部７にこの応答パケットに対応するセッション情報がある場合には、この応答パケットを通過させ一方のネットワークへ送信する。自身のＦＷ４がこの応答パケットに対応する通信要求パケットを通過させていなかった場合は、ＤＢ３にこの通信要求パケットに対応するセッション情報が格納されているか否かを調べる。そして、ＤＢ３にこの通信要求パケットに対応するセッション情報が格納されている場合に、この応答パケットを通過させる。ＤＢ３にこの通信要求パケットに対応するセッション情報が格納されていない場合、この応答パケットを廃棄する。
【００３５】
このように、本発明の第１の実施の形態によれば、ＤＢにＦＷを通過した通信要求パケットのセッション情報を格納する。そして、この通信要求パケットとこのパケットに対応する応答パケットとが異なるＦＷを経由したときに、ＦＷがＤＢを検索してこの通信要求パケットのセッション情報を確認することにより対応する応答パケットを通過させる。
【００３６】
このため、ネットワーク内をメンテナンスする場合等、何かしらの原因で、通信要求パケットとこのパケットに対応する応答パケットとが異なるＦＷを経由しても、ＦＷはこの応答パケットを通過させるので、通信を確立することができる。
（第２の実施の形態）
図２は、本発明の第２の実施の形態に係る通信システムの一例を示す図である。
【００３７】
本第２の実施の形態は、第１の実施の形態に第一のスイッチと第二のスイッチを加えて第１の実施の形態をより具体化したものである。したがって、主に第１の実施の形態と相違する部分について説明する。
【００３８】
本実施の形態に係る通信システム２は、記憶装置３（データベース、ＤＢ）と、複数のファイアウォール４（ＦＷ）と、第一のスイッチ５と、第二のスイッチ６とにより構成される。複数のＦＷ４は、例えばＦＷ（Ａ）、ＦＷ（Ｂ）、ＦＷ（Ｃ）である。
【００３９】
第一のスイッチ５は、インターネットを含む外部ネットワーク（第一のネットワーク）と、複数のＦＷとの間に設定される。第一のスイッチ５は、外部ネットワークを介して第一の装置から受けた通信要求パケットを、複数のＦＷのうちの、自身のスイッチに設定された第一のルーチング情報に基づいて指定されたＦＷに送信する。そして、この送信に応じて通信要求パケットに対応する応答パケットを、複数のＦＷのうちのいずれかのＦＷから受けて外部ネットワークを介して第一の装置に送信する。
【００４０】
第二のスイッチ６は、複数のＦＷと、ローカルエリアネットワークを含む内部ネットワーク（第二のネットワーク）との間に設定される。第二のスイッチ６は、複数のＦＷのうちのいずれかのＦＷから通信要求パケットを受け、内部ネットワークを介してこの通信要求パケットの送信先の第二の装置へ送信する。そして、この送信に応じて内部ネットワークを介して第二の装置からこの通信要求パケットの応答パケットを受け、この応答パケットを、複数のＦＷのうちの、自身のスイッチに設定された第二のルーチング情報に基づいて指定されたＦＷに送信する。
【００４１】
第一の装置、及び第二の装置は、パーソナルコンピュータ、サーバ、携帯電話、携帯端末等の情報処理装置である。
【００４２】
次に、本発明の第２の実施の形態に係る通信システムの動作を図３、図４を参照して詳細に説明する。
【００４３】
図３は、本発明の第２の実施の形態に係る通信システムの通常状態における動作の一例を示すフローチャートである。
【００４４】
図４は、本発明の第２の実施の形態に係る通信システムのメンテンス時における動作の一例を示すフローチャートである。
【００４５】
ここでは、第一の装置が、通信要求パケットを第二の装置に送信し、第二の装置から通信要求パケットに対する応答である応答パケットを受信する一例を説明する。パケットの構成は、宛先アドレス、送信元アドレス、宛先ポート、送信元ポートを含む。
【００４６】
最初に、図３を使用して、通常状態における通信システム２の動作を説明する。
【００４７】
図３のステップＳ１では、第一の装置が、外部ネットワークを介して第二の装置に向けて通信要求パケットを送信する。通信要求パケットの送信元アドレスは第一の装置のアドレスであり、通信要求パケットの宛先アドレスは第二の装置のアドレスである。
【００４８】
図３のステップＳ２では、第一のスイッチ５が、外部ネットワークを介して第一の装置から通信要求パケットを受信する。そして、第一のルーティング情報により指定されたＦＷに送信する。ルーティング情報は、送信元アドレスと宛先アドレスに応じてネクストホップ（例えばＦＷ）を指定する。
【００４９】
ここでは、例えば、第一のルーティング情報の送信元アドレス、宛先アドレス、及びネクストホップが、第一の装置のアドレス、第二の装置のアドレス、及びＦＷ（Ａ）４にそれぞれ予め設定されている。すると、受信した通信要求パケットの送信元アドレスは第一の装置のアドレスであり、宛先アドレスは第二の装置のアドレスであるので、第一のルーティング情報に基づき、通信要求パケットは、ネクストホップで示されたＦＷ（Ａ）４に送信される。
【００５０】
図３のステップＳ３では、ＦＷ（Ａ）４が、通信要求パケットを受信し、通信要求パケットが所定の条件を満たしているか否かを調べる。そして、所定の条件を満たしていない場合、ステップＳ４へ進む。所定の条件を満たしている場合、ステップＳ５へ進む。
【００５１】
図３のステップＳ４では、ＦＷ（Ａ）４は、この通信要求パケットを廃棄し、終了する。
【００５２】
図３のステップＳ５では、ＦＷ（Ａ）４は、この通信要求パケットを通過させ、第二のスイッチ６へ送信する。
【００５３】
図３のステップＳ６では、ＦＷ（Ａ）４は、この通信要求パケットのセッション情報を自身のＦＷへ格納するとともに、ＤＢ３に出力してＤＢ３に格納する。セッション情報は、パケットの宛先アドレス、パケットの送信元アドレス、パケットの宛先ポート、パケットの送信元ポートを含む。
【００５４】
図３のステップＳ７では、第二のスイッチ６が、ＦＷ（Ａ）４から通信要求パケットを受信し、この通信要求パケットを、この通信要求パケットの宛先アドレスの示す第二の装置へ、内部ネットワークを介して送信する。
【００５５】
図３のステップＳ８では、第二のスイッチ６は、ステップＳ７で送信した通信要求パケットに対応する応答パケットを内部ネットワークを介して第二の装置から受信する。この応答パケットの送信元アドレスは第二の装置のアドレスであり、応答パケットの宛先アドレスは第一の装置のアドレスである。そして、この応答パケットを第二のルーティング情報により指定されたネクストホップに送信する。
【００５６】
ここでは、例えば、第二のルーティング情報の送信元アドレス、宛先アドレス、及びネクストホップが、第二の装置のアドレス、第一の装置のアドレス、及びＦＷ（Ａ）４にそれぞれ予め設定されている。受信した応答パケットの送信元アドレスは第二の装置のアドレスであり、宛先アドレスは第一の装置のアドレスであるので、第二のルーティング情報に基づき、応答パケットは、ネクストホップで示されたＦＷ（Ａ）４に送信される。
【００５７】
このように、この通常状態における動作では、第一のルーティング情報と第二のルーティング情報をステップＳ２，Ｓ８に示すように設定することにより、第一の装置から第二の装置へ送信される通信要求パケット、及び第二の装置から第一の装置へ送信される応答パケットは、ＦＷ（Ａ）４を通ることになる。すなわち、第一の装置と第二の装置との通信はＦＷ（Ａ）４を使用して行われることになる。
【００５８】
図３のステップＳ９では、ＦＷ（Ａ）４が、応答パケットを受信し、応答パケットが所定の条件を満たしているか否かを調べる。そして、所定の条件を満たしていない場合、ステップＳ１０へ進む。所定の条件を満たしている場合、ステップＳ１１へ進む。
【００５９】
図３のステップＳ１０では、ＦＷ（Ａ）４は、この応答パケットを廃棄し、終了する。
【００６０】
図３のステップＳ１１は、ＦＷ（Ａ）４は、自身のＦＷがこの応答パケットに対応する通信要求パケットを通過させていたか否かを調べる。すなわち、自身に格納したセッション情報のうちにこの応答パケットに対応するセッション情報があるか否かを調べる。この応答パケットに対応する通信要求パケットを通過させていた場合には、この応答パケットを通過させ第一のスイッチ５へ送信する。
【００６１】
この通常状態における動作では、ステップＳ６で、ＦＷ（Ａ）４は、この応答パケットに対している通信要求パケットのセッション情報を自身のＦＷへ格納しているので、この応答パケットを通過させ第一のスイッチ５へ送信する。
【００６２】
図３のステップＳ１２では、第一のスイッチ５が、ＦＷ（Ａ）４から応答パケットを受信し、応答パケットの宛先アドレスの示す第一の装置へ、外部ネットワークを介して送信する。これにより、第一の装置と第二の装置の通信が確立する。
【００６３】
次に、図４を使用して、メンテナンス時における通信システム２の動作を説明する。
【００６４】
通常状態における動作では、図３のステップＳ２、Ｓ８のように第一のルーティング情報と第二のルーティング情報が設定され、第一の装置と第二の装置との通信はＦＷ（Ａ）４を経由して行われている。そして、不具合、故障、修理、検査、あるいは、単なる使用するＦＷの変更等の、何らかの事情で、このＦＷ（Ａ）４経由の通信をＦＷ（Ｂ）４経由の通信に切り替える必要が発生したとする。この場合のメンテナンスの内容は、第一のルーティング情報と第二のルーティング情報とのネクストホップをＦＷ（Ａ）４からＦＷ（Ｂ）４に切り替えることである。
【００６５】
そして、例えば、最初に、メンテナンスの担当者等は、第二のスイッチ６内の第二のルーティング情報のネクストホップをＦＷ（Ａ）４からＦＷ（Ｂ）４に切り替える。次に、第一のスイッチ５内の第一のルーティング情報のネクストホップをＦＷ（Ａ）４からＦＷ（Ｂ）４に切り替える。この切り替えの間に、第二のルーティング情報のネクストホップはＦＷ（Ａ）４からＦＷ（Ｂ）４に切り替わったが、まだ、第一のルーティング情報のネクストホップは、ＦＷ（Ａ）４からＦＷ（Ｂ）４に切り替えていない状態が発生する。
【００６６】
このような状態のときに、第一の装置から、第二の装置へ通信要求パケットを送信した場合の通信システム２の動作について説明する。
【００６７】
図４のステップＡ１から、ステップＡ７は、図３のステップＳ１から、ステップＳ７と同じである。
【００６８】
図４のステップＡ８では、第二のスイッチ６は、ステップＡ７で送信した通信要求パケットに対応する応答パケットを内部ネットワークを介して第二の装置から受信する。この応答パケットの送信元アドレスは第二の装置のアドレスであり、応答パケットの宛先アドレスは第一の装置のアドレスである。そして、この応答パケットを第二のルーティング情報により指定されたネクストホップに送信する。
【００６９】
このとき、メンテナンス作業により、第二のルーティング情報のネクストホップはＦＷ（Ａ）４からＦＷ（Ｂ）４に変更されているので、応答パケットは、ネクストホップで示されたＦＷ（Ｂ）４に送信される。
【００７０】
図４のステップＡ９では、ＦＷ（Ｂ）４が、応答パケットを受信し、応答パケットが所定の条件を満たしているか否かを調べる。そして、所定の条件を満たしていない場合、ステップＡ１０へ進む。所定の条件を満たしている場合、ステップＡ１１へ進む。
【００７１】
図４のステップＡ１０では、ＦＷ（Ｂ）４は、この応答パケットを廃棄し、終了する。
【００７２】
図４のステップＡ１１では、ＦＷ（Ｂ）４は、自身のＦＷがこの応答パケットに対応する通信要求パケットを通過させていたか否かを調べる。すなわち、自身に格納したセッション情報のうちにこの応答パケットに対応するセッション情報があるか否かを調べる。調べた結果が、応答パケットに対応するセッション情報がないことを示す場合は、ステップＡ１２へ進む。一方、調べた結果が、応答パケットに対応するセッション情報があることを示す場合は、ステップＡ１４へ進む。
【００７３】
このメンテナンス時における通信システム２の動作では、ステップＡ６で、ＦＷ（Ａ）４が、この応答パケットに対応している通信要求パケットのセッション情報を自身のＦＷへ格納している。このため、ＦＷ（Ｂ）４は、この応答パケットに対応するセッション情報を格納していないので、ステップＡ１２へ進む。
【００７４】
図４のステップＡ１２では、ＦＷ（Ｂ）４は、ＤＢ３に、この応答パケットに対応している通信要求パケットのセッション情報が格納されているか否かを調べる。調べた結果が、応答パケットに対応するセッション情報があることを示す場合は、ステップＡ１４へ進む。一方、調べた結果が、応答パケットに対応するセッション情報がないことを示す場合は、ステップＡ１３へ進む。
【００７５】
このメンテナンス時における通信システム２の動作では、ステップＡ６で、ＦＷ（Ａ）４が、この応答パケットに対応している通信要求パケットのセッション情報をＤＢ３に格納している。このため、ＤＢ３にこの応答パケットに対応するセッション情報が格納されているので、ステップＡ１４へ進む。
【００７６】
図４のステップＡ１３では、ＦＷ（Ｂ）４は、この応答パケットを廃棄し、終了する。
【００７７】
図４のステップＡ１４では、ＦＷ（Ｂ）４は、この応答パケットを通過させ第一のスイッチ５へ送信する。
【００７８】
図４のステップＡ１５では、第一のスイッチ５が、ＦＷ（Ｂ）４から応答パケットを受信し、応答パケットの宛先アドレスの示す第一の装置へ、外部ネットワークを介して送信する。これにより、第一の装置と第二の装置の通信が確立する。このように、通信要求パケットと、応答パケットが異なるＦＷを通過しても、通信を確立することができる。また、第一のルーティング情報と第二のルーティング情報との内容を一斉に変える等メンテナンスに必要な手続きを一斉に行わなくても、通信を停めることなくメンテナンスを行うことができる。
【００７９】
上記の説明では、第一のルーティング情報と第二のルーティング情報とのネクストホップをＦＷ（Ａ）４からＦＷ（Ｂ）４に切り替える場合における通信システム２の動作を説明した。しかし、この場合にこだわることなく、第一のルーティング情報と第二のルーティング情報との内容が、通常状態時における内容と異なる状態が発生する場合において、上記発明を適用することができる。
【００８０】
このように、本発明の第２の実施の形態によれば、ＤＢにＦＷを通過した通信要求パケットのセッション情報を格納する。そして、この通信要求パケットとこのパケットに対応する応答パケットとが異なるＦＷを経由したときに、ＦＷがＤＢを検索してこの通信要求パケットのセッション情報を確認することにより対応する応答パケットを通過させる。このため、ネットワーク内をメンテナンスする場合等、何かしらの原因で、通信要求パケットとこのパケットに対応する応答パケットとが異なるＦＷを経由しても、通信を確立することができる。
【符号の説明】
【００８１】
１、２  通信システム
３  記憶装置、データベース、ＤＢ
４  ファイアウォール、ＦＷ、ＦＷ（Ａ）、ＦＷ（Ｂ）、ＦＷ（Ｃ）
５  第一のスイッチ
６  第二のスイッチ
７  記憶部
８  制御部
１０  ロードバランサ（Ａ）、ＬＢ（Ａ）
１１  ロードバランサ（Ｂ）、ＬＢ（Ｂ）
１２  ファイアウォール、ＦＷ、ＦＷ（Ａ）、ＦＷ（Ｂ）、ＦＷ（Ｃ）
【図１】
2015156567.tif 000003
【図２】
2015156567.tif 000004
【図３】
2015156567.tif 000005
【図４】
2015156567.tif 000006
【図５】
2015156567.tif 000007
【図６】
2015156567.tif 000008
【図７】
2015156567.tif 000009