(57)【要約】【課題】トンネリング技術を利用し、前段に特定の装置を置く必要が無く、一ファイアウォールが担当する処理単位を複数サーバから単一サーバ内の情報群まで自由に設定することを可能にし、振分けに利用する振分けテーブルのエントリ容量を増加させないファイアウォール処理を多重化する装置を提供する。【解決手段】端末との通信に用いられるトンネルの識別子の一部をファイアウォール処理への振分けに使用し、且、このトンネル識別子の一部に、サーバとの通信で用いられる仮想網識別子の値を適用することで、ファイアウォール処理を多重化する装置の前段に、特定の装置を置く必要が無く、且、一ファイアウォールが担当する処理単位を複数サーバから単一サーバ内の情報単位まで自由に設定することを可能にし、且、振分けに利用する振分けテーブルのエントリ容量を増加させないようにすることを可能にする。【選択図】        図１
2004187208.tif 000002
【特許請求の範囲】
【請求項１】
パケット通信網を介して、コンテンツヘアクセスを要求する複数の端末と、要求されたコンテンツを配信するサーバと、該パケット通信網と該サーバ間に設置され、該パケット通信網を介して、端末とはトンネルを利用したパケット通信を実施し、サーバとは仮想網を利用したパケット通信を実施し、各サーバ単位、若しくは、複数のサーバ単位、若しくは、サーバ内の情報群単位にファイアウォール処理を実施するファイアウォール多重装置からなるコンテンツ配信システムにおけるファイアウォール多重装置であって、
前記パケット通信網を介して端末からのＩＰパケットを送受信するユーザ側インターフェース部と、
前記、サーバからのＩＰパケットを送受信するサーバ側インターフェース部と、サーバ単位、若しくは、複数のサーバ単位、若しくは、サーバ内の情報群単位にファイアウォール処理を実施する仮想ファイアウォールを複数含むファイアウォール部と、
端末、Ｗｅｂサーバからのパケットのヘッダ情報と、該パケットを処理する仮想ファイアウォールを示す識別子とが、対応付けられた振分けテーブルを記憶している記憶部と、
前記ファイアウォール部に接続し、端末、サーバからのパケットのヘッダ情報を元に、前記記憶部を参照することにより、該ヘッダ情報を含むパケットの送り先仮想ファイアウォールを決定し、該決定に従い前記ファイアウォール部内の仮想ファイアウォールへパケットを送るパケット振分け部と、
前記ユーザ側インタフェース部と前記ファイアウォール部と前記パケット振分け部に接続し、前記ユーザ側インターフェース部を介して、端末との間に、トンネルを確立し、前記ファイアウォール部の仮想ファイアウォールからのパケットを該当するトンネルを介して端末へ送信し、端末からのパケットを受信し、該受信パケットのヘッダ情報に含まれ、該パケットの転送に使用されたトンネルを示すトンネル識別子の一部を、該パケットとともに、パケット処理部へ送るトンネル処理部と、
前記トンネル処理部と記憶部に接続し、トンネル確立時の認証処理を実施するとともに、認証結果を参照し、トンネル識別子として使用する情報をトンネル処理部へ応答する認識処理部と、
前記サーバ側インターフェース部と前記ファイアウォール部と前記パケット処理部に接続し、前記ファイアウォール部の仮想ファイアウォール毎に対応付けられた仮想網を利用し、前記サーバ側インターフェース部を介して、前記ファイアーウォール部の仮想ファイアウォールからのパケットを該当する仮想網でサーバへ転送し、端末からのパケットを受信し、該受信パケットのヘッダ情報に含まれ、転送に利用された仮想網の識別子を、該パケットとともに、パケット処理部へ送る仮想網処理部を備えることを特徴とするファイアウォール多重装置。
【請求項２】
トンネル処理部は、認証処理の後、該認証を元に端末との通信で使用するトンネルを作成し、トンネル識別子を決定し、
該トンネル識別子が、トンネル処理部においては、パケット送信時には、パケット受信端末に対し、該パケット転送で使用したトンネルを通知するために使用され、パケット受信時には、受信パケットのヘッダに付与され、該受信パケットが利用したトンネルを識別するために使用されるとともに、該トンネル識別子の一部が仮想ファイアウォールと対応付けられたファイアウォール識別子として利用され、
パケット振分け部では、該受信パケットのファイアウォール識別子を仮想ファイアウォールに振分けるための検索キーとして使用し、該パケットを振分けることを特徴とする請求項１記載のファイアウォール多重装置におけるパケット振分け方法。
【請求項３】
トンネル識別子において、該トンネル識別子内の仮想ファイアウォールに対応付けられたファイアウォール識別子が、サーバ側からのパケットを仮想ファイアウォールに振分けるために使用される仮想識別子と同一であり、
記憶部における、振分けテーブルのエントリが、該ファイアウォール識別子と同一である仮想網識別子と仮想ファイアウォール識別子の組から成ることを特徴とし、請求項２記載の振分け方法を実現する請求項１記載のファイアウォール多重装置。
【請求項４】
認証部は、トンネル処理部から送られてくる認証情報を元に、認証処理を行うとともに、認証確認が取れた場合は、認証端末、若しくは認証ユーザからのパケットを処理する仮想ファイアウォールを解決し記憶部を参照し、該仮想ファイアウォールに対応付けられたファイアウォール識別子を取得し、該ファイアウォール識別子をトンネル識別子の一部として使用するために、認証結果とともに、トンネル処理部に返答することを特徴とする請求項２記載の振分け方法を実現する請求項１記載のファイアウォール多重装置。
【請求項５】
仮想ファイアウォールは、単一のサーバ、若しくは、複数のサーバ、若しくは、単一のサーバ内のホストに対してファイアウォール処理をするとともに、単一のサーバ内のホストに対するファイアウォール処理においては、端末から送られるパケット内に示されたホスト情報を元に、該ホスト以外のホストヘのアクセスを要求するパケットを受けた場合は、該パケットの送信に使用されたトンネルを削除するようにトンネル処理部へ命令し、該トンネルを削除することを特徴とする請求項１記載のファイアウォール多重装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、複数の端末、サーバ間のパケット通信におけるファイアウォール処理を多重化し、複数のファイアウォールを単一の装置で実現するシステムにおいて、各パケットを各ファイアウォールヘ振分ける方式に関するものである。
【０００２】
【従来の技術】
従来、パケット通信網を介したＷｅｂコンテンツに関するパケット通信では、コンテンツを保持するサーバをデータセンタに集約して配置し、一括して運用、保守を行うことによる管理負荷の軽減化とデータセンタへの入出制限による物理的セキュリティ強化が図られている。また、ネットワークを介した通信に関するセキュリティ強化のため、各サーバの前段にはファイアウォール装置が設置されている。
【０００３】
また、上記ファイアウォール装置もコスト低減化のため、複数のファイアウォール処理を単一の装置で実現するファイアウォール多重化装置が考案されている。
【０００４】
従来のファイアウォール多重化装置では、パケットを各ファイアウォール処理（以下、仮想ファイアウォールと称する）への振分け方法として、端末側から（以下、上り側と称する）のパケット、Ｗｅｂサーバから（以下、下り側と称する）のパケットとも、仮想網を識別する仮想網識別子による方法がある。該方法は、上り側、下り側とも同一方法を使用することにより、振分けの際に参照する振分けテーブルに同一のテーブルが利用できる。
【０００５】
また、仮想網により、グループ化することにより、仮想ファイアウォールの処理単位粒度を調整できる。例えば、複数Ｗｅｂサーバを同一の仮想網に含め、単一のグループとすることで、該仮想網に属するＷｅｂサーバ単位で単一の仮想ファイアウォール処理を実現することが可能であったり、単一Ｗｅｂサーバ内に複数のホストが存在する場合などは、各ホスト毎に仮想網を割当てることで、各ホスト単位での仮想ファイアウォール処理を実現することが可能であったりする。このような点から、ファイアウォール多重化装置での仮想ファイアウォール振分けには仮想網識別子が用いられている。
【０００６】
なお、前記従来技術は、ベンダ製品のヒアリング等から導き出したものであり、該当する文献は所有していない。また、ファイアウォール多重装置およびパケット振分け方法に関する従来技術をＰＬＩＮＳＥＳで検索したが、本発明と同様な技術は発見できなかった。したがって、先行技術文献名は記載できない。
【０００７】
【発明が解決しようとする課題】
しかし、仮想網識別子による仮想ファイアウォールへのパケット振分け方法の場合、上り側パケットを仮想網識別子により仮想ファイアウォールに振分けるためには、ファイアウォール多重装置の前段に位置し、パケット毎に該パケットの属する仮想網へ仮想網入り口装置が必要になる。
【０００８】
通常の該入り口装置の場合、宛先アドレス、または、入力ポートから仮想網を解決し、該仮想網へパケットを転送するが、この機能では、仮想ファイアウォール処理粒度の調整に制限が発生する。
【０００９】
例えば、単一Ｗｅｂサーバ内のホスト毎に仮想ファイアウォール処理を実施することは、不可能である。これは、仮想網の解決に宛先アドレスを用いる場合は、単一Ｗｅｂサーバの宛先アドレスは単一であり、ホストの識別を行うことが出来ず、また、該仮想網入り口装置での仮想網の解決に入力ポートを用いる場合は、該ポートに収容される端末からのアクセスはすべて単一のホストへ転送され、ホストの選択ができないことを意味するものである。
【００１０】
また、宛先アドレスによる仮想網の解決では、サブネットの異なる複数サーバの仮想ファイアウォール処理を実現するには、仮想網入り口装置のエントリ資源を無駄使いすることになる。これは、サブネット毎にエントリが必要になるためである。
【００１１】
このように、ファイアウォール多重装置の機能は、前段に設置される仮想網入り口装置の機能に依存してしまう。
【００１２】
本発明は、上記事情に鑑みてなされたものであり、その目的とするところは、パケット通信網を介して、端末とファイアウォール多重装置がパケット通信を行う際に、セキュリティを保つために、トンネリング技術によリパケット通信を行う場合は、上記ファイアウォール多重装置の機能制限を与えることなく、且、上り側、下り側に同一の振分けテーブルを使用することを可能とし、且、上記、仮想網入り口装置を必要とすることがないファイアウォール多重装置および振分け方法を提供することにある。
【００１３】
【課題を解決するための手段】
上記目的を達成するために、請求項１及び請求項２の発明により、本発明のファイアウォール多重化装置は、端末との間で、トンネリング技術によリパケット転送を実現するトンネル処理部を有し、上り側パケットの振分けを、前記トンネル処理部により、構築されたトンネルを利用することで実現する。具体的には、トンネルの識別に利用される各パケットのヘッダ部に付与されたトンネル識別子の一部にファイアウォール識別子を用いることで実現する。これにより、該ファイアウォール多重装置の前段に入り口装置を設置する必要が無く、上り側パケットを該当する仮想ファイアウォールヘ振分けることが可能となる。
【００１４】
また、請求項１及び請求項３の発明により、上記トンネル識別子の一部にファイアウォール識別子として、下り側パケットの振分けに利用する仮想網識別子、と同一の値を利用することにより、振分けに利用する振分けテーブルを、上り側、下り側で同一とすることが可能になる。
【００１５】
さらに、請求項１及び請求項４の発明により、端末との間にトンネルを張り、パケット転送を実現するトンネル処理部に加え、トンネル確立時に、認証を行う認証処理部を備え、該認証結果を元に、仮想ファイアウォール処理粒度を決定することにより、前段に設置される仮想網入り口装置の機能による、仮想ファイアウォール処理粒度の制限を受けること無く、上り側パケットを適切な粒度で仮想ファイアウォールヘ振分けることが可能になる。
【００１６】
さらに、請求項１及び請求項５の発明により、仮想ファイアウォールで異なるホスト宛のパケットを受信時に、該パケット転送用のトンネルを削除することにより、単一Ｗｅｂサーバ内のホストごとに仮想ファイアウォールを割当てるような、仮想ファイアウォール処理の粒度が細かい場合に、単一端末がアクセスするホストを切替ることが可能になる。
【００１７】
【発明の実施の形態】
以下、図面に基いて本発明の一実施形態を説明する。
【００１８】
図１は、本発明の一実施形態におけるファイアウォール多重装置２０の内部機能を示すブロック構成図であり、図１のファイアウォール部１１は、トンネル処理部１５、仮想網処理部１７、パケット振分け部１８と接続し、Ｗｅｂサーバ単位、または、複数のＷｅｂサーバ単位、または、単一Ｗｅｂサーバのホスト単位にファイアウォール処理を実施する仮想ファイアウォール１２を複数収容している。
【００１９】
また、ユーザ側インターフェース部１３は、トンネル処理部１５と接続し、端末とのパケット通信におけるパケットをインターネットを介して送受信するインターフェースであり、サーバ側インターフェース部１４は、仮想網処理部１７と接続し、データセンタ内のＷｅｂサーバとのパケット通信におけるパケットを送受信するインターフェースである。
【００２０】
また、トンネル処理部１５は、前記のファイアウォール部１１、ユーザ側インターフェース部１３、に加え認証処理部１６、パケット振分け部１８と接続し、端末とのパケット通信の際に利用するトンネルの確立と、該トンネルを利用したパケット通信と、パケット振分けに利用するファイアウォール識別子を端末からの各パケットから抽出し、パケット振分け部１８へ通知する処理を行う。トンネル確立の際には、認証処理部１６から通知された、仮想ファイアウォール識別子を含むトンネル識別子で示されるトンネルを確立する。
【００２１】
また、認証処理部１６は、前記のトンネル処理部１５に加え、記憶部１９と接続し、トンネル処理部１５においてトンネル確立時に、行われる認証処理と、該認証処理の結果から記憶部１９を参照してファイアウォール識別子を決定し、認証処理を実施する。
【００２２】
また、仮想網処理部１７は、前記のファイアウォール１１、サーバ側インターフェース部１４に加え、パケット処理部と接続し、Ｗｅｂサーバと仮想網としてＶＬＡＮを利用することで、ＶＬＡＮ通信を行うとともに、パケット振分けに利用するファイアウォール識別子にあたる仮想網識別子としてＶＬＡＮ−ＩＤをパケットから抽出し、パケット振分け部１８へ通知する処理を行う。
【００２３】
また、パケット振分け部１８は、前記のファイアウォール部１１、トンネル処理部１５、仮想網処理部１７に加え、記憶部１９と接続し、トンネル処理部１５、または、仮想網処理部１７から送られてくるパケットを、該パケットと一緒に送られてくるファイアウォール識別子を元に、記憶部１９を参照して、該パケットを該当する仮想ファイアウォール１２を解決し、ファイアウォール部内の該当する仮想ファイアウォール１２へ、該パケットを送る処理を行う。
【００２４】
また、記憶部１９は、前記の認証処理部１６、パケット振分け部１８と接続し、認証処理部１６から送られてくる仮想ファイアウォール情報を元に、保持する振分けテーブルを検索し、ヒットしたファイアウォール識別子を認証処理部１６へ応答し、パケット振分け部１８から送られてくるファイアウォール識別子を元に、保持する振分けテーブルを検索し、ヒットした仮想ファイアウォール情報を該パケット振分け部１８へ応答する処理を行う。
【００２５】
また、図２は、図１で示されるファイアウォール多重装置の動作を示すネットワークモデルの一実施形態を示す図であり、ファイアウォール多重装置２０は、データセンタ２２内のＷｅｂサーバ２６との間でＶＬＡＮを利用したパケット通信を行い、また、パケット通信網としてインターネット２１を想定し、該インターネット２１を介して端末２３との間でトンネリング技術を利用し、パケット通信用トンネル２９を確立し、パケット通信を実施する。
【００２６】
また、Ｗｅｂサーバ２６のＩＰアドレスはＩＰ．αであり、該Ｗｅｂサーバ内には、管理者が異なる２つのホスト、ホストＡ２７とホストＢ２８が存在する。また、端末２３は、ホストＡとホストＢの両方にアクセスが許可されたユーザ名がユーザＸのユーザ２４により、操作されている。
【００２７】
また、ホストＡ、または、ホストＢのアドレス解決を行うＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｅｒｖｉｃｅ  Ｓｅｒｖｅｒ）がインターネット２１には接続されている。
【００２８】
また、図１で示した仮想ファイアウォール１２の内、仮想ファイアウォール１２−１はホストＡに関連するパケットのファイアウォール処理を実施し、仮想ファイアウォール１２−２はホストＢに関連するパケットのファイアウォール処理を実施しているとする。
【００２９】
また、図３は、図１で示した認証処理部１６で保持される認証テーブルの一例であり、該認証テーブルに保存されるエントリは、テーブルユーザ名、パスワード、仮想ファイアウォール情報から構成されており、現在、図２のネットワークモデルでの動作説明に必要であるエントリが示されており、ホストＡの認証のため、ユーザ名がユーザＸ、パスワードがパスワードＡ、仮想ファイアウォール情報が仮想ファイアウォール１２−１であるエントリと、ホストＢの認証のため、ユーザ名がユーザＸ、パスワードがパスワードＢ、仮想ファイアウォール情報が仮想ファイアウォール１２−２であるエントリが保存されている。
【００３０】
また、図４は、図１で示した記憶部１９で保持される振分けテーブルの一例であり、該振分けテーブルに保存されるエントリは、ファイアウォール識別子、仮想ファイアウォール情報から構成されており、現在、図２のネットワークモデルでの動作説明に必要であるエントリが示されており、仮想ファイアウォール１２−１への振分けのため、ファイアウォール識別子がＶＬＡＮ１、仮想ファイアウォール情報が仮想ファイアウォール１２−１であるエントリと、仮想ファイアウォール１２−２への振分けのため、ファイアウォール識別子がＶＬＡＮ２、仮想ファイアウォール情報が仮想ファイアウォール１２−２であるエントリが保存されている。図４からもわかるとおり、ファイアウォール識別子はＶＬＡＮ−ＩＤである１２ビットの値が用いられる。
【００３１】
また、図５は、図１で示したトンネル処理部１５がトンネル確立時に、認証処理部１６からの通知を元に、トンネルの識別に利用するトンネル識別子の一例を示すものであり、該例では、トンネルとしてＩＰＳｅｃを利用した場合のトンネル識別子にあたるＳＰＩ（Ｓｅｃｕｒｉｔｙ  Ｐａｒａｍｅｔｅｒｓ  Ｉｎｄｅｘ）を示したものである。該ＳＰＩはトンネル識別のため、端末間とのパケット転送の際に各パケットのＩＰＳｅｃヘッダ部に有り、３２ビットのフィールドから成る。このＳＩＰフィールドの上位１２ビットには、トンネル確立時に認証処理部から通知されたファイアウォール識別子が挿入されており、下位２０ビットはトンネル確立時にトンネル処理部が任意に決定した値である。
【００３２】
図６は、図２で示されたネットワークモデルの動作を示したシーケンス図の一例であり、ユーザ２４がホストＡ２７にアクセス後、同一Ｗｅｂサーバ２６上にあるホストＢ２８にアクセスするシーケンスを示したものである。
【００３３】
ファイアウォール多重装置２０の構成は図１で示すものであり、各部で保持されるテーブルは図３及び図４で示したエントリを保持するものとする。また、端末、ファイアウォール多重装置間の通信にはＩＰＳｅｃが使用され、該ＩＰＳｅｃパケットヘッダのＳＰＩフィールドは、図５で示した構成となる。以下に、図６のシーケンスを示す。
【００３４】
ユーザ２４は、ホストＡへのアクセスを端末２３に対して要求する。端末２３は、ホストＡのアドレスを解決するためＤＮＳ２５ヘアドレス解決要求を出す。ＤＮＳ２５は、ホストＡのアドレスを解決し、該アドレスであるＩＰ．αを端末２３へ応答する。端末２３は、該アドレスヘアクセスするため、ファイアウォール多重装置２０のトンネル処理部１５との間でＩＰＳｅｃトンネル確立を試み、Ｐｈａｓｅ１として、トンネル処理部１５との間に制御信号用トンネルを確立、その後、トンネル処理部１５からの認証要求を受ける。端末２３は、該要求を元にユーザ２４ヘユーザ名とパスワードを要求する。ユーザ２４、ユ−ザ名としてユーザＸ、パスワードとしてパスワード１を端末２３に通知する。端末２３は該通知をトンネル処理部１５へ通知する。
【００３５】
該通知を受けたトンネル処理部１５は、該通知を認証処理部１６へ該通知を認証情報として送り、認証要求を出す。該認証要求を受けた認証処理部１６は、図３で示す認証テーブルを参照し、仮想ファイアウォール１２−１へのアクセスが可能と判断し、ファイアウォール識別子の解決のため、記憶部１９へ仮想ファイアウォール情報を送る。
【００３６】
該仮想ファイアウォール情報を受けた記憶部１９は、図４で示す振分けテーブルを参照し、ファイアウォール識別子であるＶＬＡＮ１を解決し、該ファイアウォール識別子を認証処理部１６へ応答する。該ファイアウォール識別子を受けた認証処理部１６は、トンネル処理部１５へ認証済みを知らせると同時に該ファイアウォール識別子を応答する。
【００３７】
該ファイアウォール識別子を受けたトンネル処理部１５は、トンネル識別子であるＳＰＩの上位１２ビットを該ファイアウォール識別子であるＶＬＡＮ１とするパケット通信用トンネル２９を端末２３との間に確立する。
【００３８】
端末２３は、確立されたパケット通信用トンネル２９を使用しＷｅｂサーバ２６との間にＴＣＰコネクションを張る。この際、ファイアウォール多重装置２０は、端末２３からのパケットの場合、まず、トンネル処理部１５で、該パケットのヘッダに含まれるＳＰＩフィールドの上位１２ビットに埋められたファイアウォール識別子であるＶＬＡＮ１を抽出し、該パケットとともにパケット振分け部へ、該ファイアウォール識別子を送り、パケット振分け部では、該ファイアウォール識別子を元に、図４で示した振分けテーブルを参照し、振分け先が仮想ファイアウォール１２−１であることを解決し、該パケットを仮想ファイアウォール１２−１へ送る、仮想ファイアウォール１２−１は、該パケットをファイアウォール処理し、仮想網処理部１７へ送る、該パケットを受けた仮想網処理部１７では、仮想ファイアウォール１２−１からのパケットであることより、ＶＬＡＮ−ＩＤをＶＬＡＮ１として該パケットをＷｅｂサーバ２６へ転送するように動作し、また、パケットがＷｅｂサーバ２６の場合、まず、パケットを受信した仮想網処理部１７は、該パケットのヘッダに含まれ、値がＶＬＡＮ１であるＶＬＡＮ−ＩＤをファイアウォール識別子として、該パケットとともにパケット振分け部１８へ送り、パケット振分け部１８では上記動作と同様の動作をし、該パケットを仮想ファイアウォール１２−１へ送る、仮想ファイアウォール１２−１も上記動作と同様の動作をし、該パケットをトンネル処理部１５へ送る、トンネル処理部１５では該パケットが仮想ファイアウォール１２−１からのものであり、宛先が端末２３であることより、パケット通信用トンネル２９を利用して端末ヘパケットを送信するように動作する。
【００３９】
端末２３とＷｅｂサーバ２６間でＴＣＰコネクションが確立されると、端末２３はホストＡ２７へＨＴＴＰリクエストを送信する。この際、ファイアウォール多重化装置２０は、上記ＴＣＰコネクション確立時の端末２３からのパケット受信時と同様に動作し、上記ＨＴＴＰリクエストを受けたＷｅｂサーバは該ＨＴＴＰリクエストの乗っていたパケットのＶＬＡＮ−ＩＤがＶＬＡＮ１であることより、ホストＡ２７へ該ＨＴＴＰリクエストを送る。
【００４０】
上記、ＨＴＴＰリクエストを受けたホストＡ２７は、該ＨＴＴＰリクエストを処理し、その結果をＨＴＴＰレスポンスとして端末２３へ返す。この際、ファイアウォール多重化装置２０は、上記ＴＣＰコネクション確立時のＷｅｂサーバ２６からのパケット受信時と同様に動作し、端末２３は該ＨＴＴＰレスポンスを受信することができる。
【００４１】
このように、端末２３は、ホストＡ２７との通信を確立できる。
【００４２】
では、次に、上記通信終了の状態で、ユーザ２４がホストＢ２８へのアクセスを要求するような、同一Ｗｅｂサーバ内のホスト間での通信切替についてのシーケンスを示す。
【００４３】
ユーザ２４は、ホストＢ２８へのアクセスを端末に対して要求する。該要求を受けた端末２３は、上記ホストＡ２７へのアクセス時と同様ＤＮＳ２５を利用してアドレスを解決する。この時、解決されるアドレスは上記ホストＡ２７の場合と同様ＩＰ．αである。
【００４４】
次に端末２３は、アドレスＩＰ．α宛のパケット通信用トンネルが既にあることにより、該パケット通信用トンネルを利用して、ホストＢ２８へのＨＴＴＰリクエストを送信する。
【００４５】
該パケットを送信したファイアウォール多重装置２０は、上記ホストＡへのアクセス時のＴＣＰコネクション確立の場合の端末２３からのパケット受信時と同様に動作するが、仮想ファイアウォール１２−１は、該パケットがホストＢ２８へのリクエストであり、該リクエストを破棄すると同時にトンネル処理部１５へ該パケットのためのパケット通信用トンネル２９を削除することを要求する。
【００４６】
該要求を受けたトンネル処理部１５が該パケット通信用トンネル２９を破棄する。
【００４７】
一方、端末２３側のＴＣＰでは、上記ＨＴＴＰリクエストに用いたＴＣＰパケットの確認応答が返ってこないため、再度送信を試みようとするが、パケット転送用トンネル２９が無いため、まず、再度該パケット転送用トンネル２９の確立を試みる。
【００４８】
その際、上記のホストＡ２７へのアクセス時と同様の処理が行われ、ユーザ名とパスワードの要求に対して、ユーザ２４がユーザ名としてユーザＸ、パスワードとしてパスワード２を入力することにより、今度はＳＰＩ上位１２ビットにＶＬＮＡ２の値を持つパケット通信用トンネル２９が確立される。
【００４９】
この新たに確立されたトンネル通信用トンネル２９を用い、前記のＴＣＰ再送が実施される。
【００５０】
該ＨＴＴＰリクエストを乗せ再送されるＴＣＰは、ＳＰＩの上位１２ビットがＶＬＡＮ２のＩＰＳｅＣトンネルを通じて送信されるため、適切な仮想ファイアウォールである仮想ファイアウォール１２−２を通りホストＢ２８へ送信される。該ＨＴＴＰリクエストのレスポンスも、上記ホストＡ２７への場合と同様に処理され、端末２３で受信することが可能になる。
【００５１】
尚、前述した実施形態は本発明の一具体例であって、本発明が上記実施形態のみに限定されることはない、
【００５２】
【発明の効果】
以上、説明したように本発明のファイアウォール多重装置によれば、端末からのパケットを仮想ファイアウォールに振分ける際に、該パケット通信に利用するトンネルの識別情報を用いることで、従来必要であった、ファイアウォール多重装置の前段に仮想網入り口装置を設置する必要がなくなる。
【００５３】
また、該トンネルの識別情報の一部のみを、ファイアウォール識別子として、仮想ファイアウォールと括りつけにし、該括りつけになるファイアウォール識別子を認証により決定することで、一仮想ファイアウォールが担当するファイアウォール処理の単位を複数サーバから単一サーバ内の一ホストまで、任意の粒度に変更することが出来るようになる。
【００５４】
これにより、従来、前段の装置の機能に依存していた、仮想ファイアウォールのファイアウォール処理単位の粒度を前段の仮想網入り口装置の機能に依存すること無く設定することが可能となる。
【００５５】
また、前述の、端末からのパケットを振分ける際に使用するトンネル識別情報の一部を、サーバ側の振分けに利用する仮想網識別子と同じ値を用いることで、振分けに利用するテーブルを１つに集約することが可能になり、これにより、端末からのパケットとサーバからのパケットの振分け方法に異なる方法を用いても、従来と、同じ振分けテーブル容量で、振分け処理を実現することが可能となる。
【図面の簡単な説明】
【図１】本発明の一実施形態におけるファイアウォール多重装置を示す図である。
【図２】本発明におけるファイアウォール多重装置の動作を示すネットワークモデルの一例を示す図である。
【図３】本発明における認証処理部で保持される認証テーブルの一例を示す図である。
【図４】本発明における記憶部で保持される振分けテーブルの一例を示す図である。
【図５】本発明におけるトンネルの識別に利用するトンネル識別子の一例を示す図である。
【図６】本発明における一実施形態の動作を示したシーケンス図である。
【符号の説明】
１１…ファイアウォール部、１２−１〜１２−２…仮想ファイアウォール、１３…ユーザ側インターフェース部、１４…サーバ側インターフェース部、１５…トンネル処理部、１６…認証処理部、１７…仮想網処理部、１８…パケット振分け部、１９…記憶部、２０…ファイアウォール多重装置、２１…インターネット、２２…データセンタ、２３…端末、２４…ユーザ、２５…ＤＮＳ、２６…Ｗｅｂサーバ、２７…ホストＡ、２８…ホストＢ、２９…パケット転送用トンネル。
【図１】
2004187208.tif 000003
【図２】
2004187208.tif 000004
【図３】
2004187208.tif 000005
【図４】
2004187208.tif 000006
【図５】
2004187208.tif 000007
【図６】
2004187208.tif 000008