(57)【要約】【課題】加入者端末をインターネットやプロバイダネットワーク等へ接続するたびに付与されるＩＰアドレスが動的に変化する状況において、加入者端末間のファイアウォールを動的に制御し、通信を許可されていない第３者からの加入者端末への攻撃を防止することを目的とする。【解決手段】プロバイダネットワーク１８上に、新たにセキュリティ管理装置１７を追加し、このセキュリティ管理装置１７で加入者端末１１，１２が現在の使用中のＩＰアドレス、ホスト名、接続先のセキュリティ通信装置１３，１４の位置の対応関係を把握し、加入者端末１１，１２間のセキュリティポリシーに応じて、必要なファイアウォール設定を加入端末者１１，１２が接続中のセキュリティ通信装置１３，１４ごとに施す。【選択図】      図１
2004357234.tif 000002
【特許請求の範囲】
【請求項１】
加入者のアカウント、認証パスワード、ホスト名を一元的に管理して加入者の認証を行う認証サーバと、ホストのＩＰアドレスを動的に変化させると共に、変化後のＩＰアドレスと前記ホストの名称の対応付けの登録を行うダイナミックＤＮＳサーバと、プロバイダネットワークを介して前記認証サーバ及びダイナミックＤＮＳサーバに接続可能であり、加入者端末からのＰＰＰセッション開設要求に応答して、前記認証サーバに加入者認証を問い合わせると共に、前記ダイナミックＤＮＳサーバにより対応付けの登録を行ったＩＰアドレスを送信元とし、他の加入者端末のホスト名を宛先として通信可能にするセキュリティ通信装置とを有するネットワーク接続システムに追加使用される装置であって、
前記セキュリティ通信装置からのネットワーク接続状態変更通知を受けることで更新可能であり、前記加入者端末からネットワークへの接続状態を示したネットワーク接続状態管理テーブルと、
予め加入者より通知された加入者間の通信許可ポリシーを示した加入者間ポリシー管理テーブルと、
前記セキュリティ通信装置からの加入者端末のネットワークへの接続状態の変更通知に応じて、前記ネットワーク状態管理テーブル及び前記加入者間ポリシー管理テーブルを参照して、前記セキュリティ通信装置へ配布するファイアウォール設定を動的に決定するファイアウォール決定手段と、
前記ファイアウォール決定手段によって決定したファイアウォール設定を前記セキュリティ通信装置へ配布するファイアウォール設定配布手段と、
を有することを特徴とするセキュリティ管理装置。
【請求項２】
請求項１に記載のネットワーク接続システムを構成するセキュリティ通信装置は、
前記加入者端末からのＰＰＰの切断要求受信、又はタイムアウトを検知する機能をもち、前記ダイナミックＤＮＳサーバへホストの名称登録解除を通知後、前記セキュリティ管理装置へネットワーク接統状態の変更を通知することを特徴とする。
【請求項３】
請求項２に記載のセキュリティ通信装置は、前記セキュリティ管理装置の指示により、ＰＰＰセッション単位のパケットフィルタリング処理を廃止することを特徴とする。
【請求項４】
加入者のアカウント、認証パスワード、ホスト名を一元的に管理して加入者の認証を行う認証サーバと、ホストのＩＰアドレスを動的に変化させると共に、変化後のＩＰアドレスと前記ホストの名称の対応付けの登録を行うダイナミックＤＮＳサーバと、プロバイダネットワークを介して前記認証サーバ及びダイナミックＤＮＳサーバに接続可能であり、加入者端末からのＰＰＰセッション開設要求に応答して、前記認証サーバに加入者認証を問い合わせると共に、前記ダイナミックＤＮＳサーバにより対応付けの登録を行ったＩＰアドレスを送信元とし、他の加入者端末のホスト名を宛先として通信可能にするセキュリティ通信装置とを有するネットワーク接続システムに追加使用されるセキュリティ管理装置により、前記セキュリティ通信装置のファイアウォール設定を行う方法であって、
前記セキュリティ管理装置は、
前記セキュリティ通信装置からのネットワーク接続状態変更通知を受けることで更新可能であり、前記加入者端末からネットワークへの接続状態を示したネットワーク接続状態管理テーブルと、
予め加入者より通知された加入者間の通信許可ポリシーを示した加入者間ポリシー管理テーブルと、
を有した状態で、
前記セキュリティ管理装置が、
前記セキュリティ通信装置からの加入者端末のネットワークへの接続状態の変更通知に応じて、前記ネットワーク状態管理テーブル及び前記加入者間ポリシー管理テーブルを参照して、前記セキュリティ通信装置へ配布するファイアウォール設定を動的に決定するファイアウォール決定ステップと、
前記ファイアウォール決定ステップによって決定したファイアウォール設定を前記セキュリティ通信装置へ配布するファイアウォール設定配布ステップと、
を実行することを特徴とするファイアウォール設定方法。
【請求項５】
請求項４に記載のネットワーク接続システムを構成するセキュリティ通信装置は、
前記加入者端末からのＰＰＰの切断要求を受信する切断要求受信ステップ、又は、タイムアウトを検知する検知ステップを実行し、
更に、前記ダイナミックＤＮＳサーバへホストの名称登録解除を通知する登録解除ステップと、
前記セキュリティ管理装置へネットワーク接統状態の変更を通知する変更通知ステップと
を実行することを特徴とする。
【請求項６】
請求項５に記載の前記セキュリティ通信装置は、前記セキュリティ管理装置の指示により、ＰＰＰセッション単位のパケットフィルタリング処理を廃止する廃止ステップを実行することを特徴とする。
【請求項７】
請求項４に記載のセキュリティ管理装置に、上記各ステップを実行させることを特徴としたファイアウォール設定用プログラム。
【請求項８】
請求項５又は６に記載のセキュリティ通信装置に、上記各ステップを実行させることを特徴としたファイアウォール設定用プログラム。
【請求項９】
請求項７又は８に記載のファイアウォール設定用プログラムを記録したことを特徴とした、コンピュータ読み取り可能なファイアウォール設定用記録媒体。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、セキュリティ通信方法に係わり、特にインターネット接続に付与されるＩＰアドレスが接続のたびに変化する加入者端末間のセキュリティを管理する装置に関するものである。
【０００２】
【従来の技術】
従来、インターネットに接続中の移動体端末から、ホームネットワークへのアクセス制御方法が提案されている（例えば、特許文献１参照）。この方法により、特定の移動体端末のみがホームネットワークに接続可能となり、ホームネットワークの外部ネットワークに対するセキュリティが向上する。
【０００３】
【特許文献１】
特開１９９８−７０５７６号公報
【０００４】
【発明が解決しようとする課題】
しかし、上記従来の発明には、以下に示す２つの問題点が存在する。
【０００５】
まず、第１の問題点は、従来の方法では、ホームネットワークの外部ネットワークからのセキュリティが向上するが、ホームネットワークに接続する移動体端末自体の外部ネットワークからのセキュリティ向上は考慮していないということである。その理由は、ホームネットワークに接続中の移動体端末に対しては特にファイアウォールを設けていないため、第３者からの攻撃を抑えることができないからである。
【０００６】
また、第２の問題点は、従来の方法では、ホームネットワークのＩＰアドレスがインターネットに接続するたびに動的に変化する場合を想定しておらず、また、接続先がホームネットワークに限らずに、移動体端末である場合の通信についても特に想定していない。その理由は、ホームネットワークに対しては固定ＩＰのアドレスが付与されていない形態が現実に想定される。このような場合にも外部ネットワークからのセキュリティを守りつつ、許可された端末からのみ通信させなければならない。また、通信相手がお互いに移動体端末である形態についても、お互いの移動体端末のセキュリティを守りつつ通信させたい。
【０００７】
本発明は上述した事情を鑑みてなされたものであり、加入者端末をインターネットやプロバイダネットワーク等へ接続するたびに付与されるＩＰアドレスを動的に変化させるための加入者端末間のファイアウォールを動的に制御し、通信を許可されていない第３者からの加入者端末への攻撃を防止することを目的とする。
【０００８】
【課題を解決するための手段】
上記目的を達成するため、請求項１に係る発明は、  加入者のアカウント、認証パスワード、ホスト名を一元的に管理して加入者の認証を行う認証サーバと、ホストのＩＰアドレスを動的に変化させると共に、変化後のＩＰアドレスと前記ホストの名称の対応付けの登録を行うダイナミックＤＮＳサーバと、プロバイダネットワークを介して前記認証サーバ及びダイナミックＤＮＳサーバに接続可能であり、加入者端末からのＰＰＰセッション開設要求に応答して、前記認証サーバに加入者認証を問い合わせると共に、前記ダイナミックＤＮＳサーバにより対応付けの登録を行ったＩＰアドレスを送信元とし、他の加入者端末のホスト名を宛先として通信可能にするセキュリティ通信装置とを有するネットワーク接続システムに追加使用される装置であって、前記セキュリティ通信装置からのネットワーク接続状態変更通知を受けることで更新可能であり、前記加入者端末からネットワークへの接続状態を示したネットワーク接続状態管理テーブルと、予め加入者より通知された加入者間の通信許可ポリシーを示した加入者間ポリシー管理テーブルと、前記セキュリティ通信装置からの加入者端末のネットワークへの接続状態の変更通知に応じて、前記ネットワーク状態管理テーブル及び前記加入者間ポリシー管理テーブルを参照して、前記セキュリティ通信装置へ配布するファイアウォール設定を動的に決定するファイアウォール決定手段と、前記ファイアウォール決定手段によって決定したファイアウォール設定を前記セキュリティ通信装置へ配布するファイアウォール設定配布手段と、を有することを特徴とするセキュリティ管理装置である。
【０００９】
ここで、「加入者間ポリシー管理テーブル」の属性値は、例えば、送信元ホスト名、送信先ホスト名、通信プロトコル、送信元ポート番号、送信先ポート番号、ＩＣＭＰタイプ、ＩＣＭＰコードである（以下、同様）。
【００１０】
また、「ネットワーク接続状態管理テーブル」の属性値は、例えば、加入者端末のホスト名、割り当てＩＰアドレス、接続先のセキュリティ通信装置のＩＰアドレスである（以下、同様）。
【００１１】
請求項２に係る発明は、請求項１に記載のネットワーク接続システムを構成するセキュリティ通信装置は、前記加入者端末からのＰＰＰの切断要求受信、又はタイムアウトを検知する機能をもち、前記ダイナミックＤＮＳサーバへホストの名称登録解除を通知後、前記セキュリティ管理装置へネットワーク接統状態の変更を通知することを特徴とする。
【００１２】
請求項３に係る発明は、請求項２に記載のセキュリティ通信装置は、前記セキュリティ管理装置の指示により、ＰＰＰセッション単位のパケットフィルタリング処理を廃止することを特徴とする。
【００１３】
請求項４に係る発明は、加入者のアカウント、認証パスワード、ホスト名を一元的に管理して加入者の認証を行う認証サーバと、ホストのＩＰアドレスを動的に変化させると共に、変化後のＩＰアドレスと前記ホストの名称の対応付けの登録を行うダイナミックＤＮＳサーバと、プロバイダネットワークを介して前記認証サーバ及びダイナミックＤＮＳサーバに接続可能であり、加入者端末からのＰＰＰセッション開設要求に応答して、前記認証サーバに加入者認証を問い合わせると共に、前記ダイナミックＤＮＳサーバにより対応付けの登録を行ったＩＰアドレスを送信元とし、他の加入者端末のホスト名を宛先として通信可能にするセキュリティ通信装置とを有するネットワーク接続システムに追加使用されるセキュリティ管理装置により、前記セキュリティ通信装置のファイアウォール設定を行う方法であって、前記セキュリティ管理装置は、前記セキュリティ通信装置からのネットワーク接続状態変更通知を受けることで更新可能であり、前記加入者端末からネットワークへの接続状態を示したネットワーク接続状態管理テーブルと、予め加入者より通知された加入者間の通信許可ポリシーを示した加入者間ポリシー管理テーブルと、を有した状態で、前記セキュリティ管理装置が、前記セキュリティ通信装置からの加入者端末のネットワークへの接続状態の変更通知に応じて、前記ネットワーク状態管理テーブル及び前記加入者間ポリシー管理テーブルを参照して、前記セキュリティ通信装置へ配布するファイアウォール設定を動的に決定するファイアウォール決定ステップと、前記ファイアウォール決定ステップによって決定したファイアウォール設定を前記セキュリティ通信装置へ配布するファイアウォール設定配布ステップと、を実行することを特徴とするファイアウォール設定方法である。
【００１４】
請求項５に係る発明は、請求項４に記載のネットワーク接続システムを構成するセキュリティ通信装置は、前記加入者端末からのＰＰＰの切断要求を受信する切断要求受信ステップ、又は、タイムアウトを検知する検知ステップを実行し、更に、前記ダイナミックＤＮＳサーバへホストの名称登録解除を通知する登録解除ステップと、前記セキュリティ管理装置へネットワーク接統状態の変更を通知する変更通知ステップとを実行することを特徴とする。
【００１５】
請求項６に係る発明は、請求項５に記載の前記セキュリティ通信装置は、前記セキュリティ管理装置の指示により、ＰＰＰセッション単位のパケットフィルタリング処理を廃止する廃止ステップを実行することを特徴とする。
【００１６】
請求項７に係る発明は、請求項４に記載のセキュリティ管理装置に、上記各ステップを実行させることを特徴としたファイアウォール設定用プログラムである。
【００１７】
ここで、本発明における「プログラム」とは、コンピュータによる処理に適した命令の順番付けられた列からなるものをいい、コンピュータのＨＤ（Ｈａｒｄ  Ｄｉｓｋ）、ＣＤ−ＲＷ等にインストールされているものや、ＣＤ−ＲＯＭ、ＤＶＤ、ＦＤ、半導体メモリ、コンピュータのＨＤＤ等の各種記録媒体に記録されているものや、インターネット等の外部ネットワークを介して配信されるものも含まれる（以下、同様）。
【００１８】
請求項８に係る発明は、請求項５又は６に記載のセキュリティ通信装置に、上記各ステップを実行させることを特徴としたファイアウォール設定用プログラムである。
【００１９】
請求項９に係る発明は、請求項７又は８に記載のファイアウォール設定用プログラムを記録したことを特徴とした、コンピュータ読み取り可能なファイアウォール設定用記録媒体である。
【００２０】
ここで、本発明における「記録媒体」とは、上記コンピュータで上記各ステップを実行させるためのプログラムの読み取りに使用することができればよく、情報を媒体の物理的特性を利用してどのように記録するか等の物理的な記録方法には依存しない。例えば、ＦＤ（Ｆｌｅｘｉｂｌｅ  Ｄｉｓｋ）、ＣＤ−ＲＯＭ（Ｒ，ＲＷ）（Ｃｏｍｐａｃｔ  Ｄｉｓｃ  Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ（ＣＤ  Ｒｅｃｏｒｄａｂｌｅ，ＣＤ  Ｒｅｗｒｉｔａｂｌｅ））、ＤＶＤ−ＲＯＭ（ＲＡＭ，Ｒ，ＲＷ）（Ｄｉｇｉｔａｌ  Ｖｅｒｓａｔｉｌｅ  Ｄｉｓｋ  Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ（ＤＶＤ  Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ，ＤＶＤ  Ｒｅｃｏｒｄａｂｌｅ，ＤＶＤ  Ｒｅｗｒｉｔａｂｌｅ））、半導体メモリ、ＭＯ（Ｍａｇｎｅｔｏ  Ｏｐｔｉｃａｌ  Ｄｉｓｋ）、ＭＤ（Ｍｉｎｉ  Ｄｉｓｋ）、磁気テープ等が該当する。
【００２１】
【発明の実施の形態】
以下、図１を用いて、本発明の一実施形態について説明する。
【００２２】
図１は、加入者端末と外部ネットワーク等を接続させるための通信インフラストラクチャ（Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）を示した図である。
【００２３】
図１に示すように、ネットワーク接続システム１は、既存の加入者端末１１，１２同士を接続したり、加入者端末１１，１２等をインターネット１９等の外部ネットワーク１９と接続をするシステムであり、プロバイダネットワーク１８により、セキュリティ通信装置１３，１４、認証サーバ１５、ダイナミックＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）サーバ１６、及び、セキュリティ管理装置１７を接続した構成となっている。
【００２４】
そして、加入者のネットワークへ接続状況（ホスト名、付与アドレス、セキュリティ通信装置位置）をセキュリティ通信装置１３，１４よりセキュリティ管理装置１７に通知することで、セキュリティ管理装置１７が加入者の接続状況を一元的に監視する。
【００２５】
また、加入者のプロバイダネットワーク１８への新規接続、離脱の変化に伴い、あらかじめ加入者より指定された加入者端末１１，１２間のセキュリティポリシーを元に、セキュリティ管理装置１７から、加入者端末１１，１２が現在接続中のセキュリティ通信装置１３，１４にファイアウォール処理の動作を指示し、加入者端末１１，１２からの上り、下りのトラフィックについて許可された通信のみを通過させる。このことで意図しない第３の加入者からの端末攻撃を防ぐことが可能である。
【００２６】
このように、ネットワーク接続システム１上に新たにセキュリティ管理装置１７を設け、このセキュリティ管理装置１７が、複数の加入者端末１１，１２等のネットワーク接続状況を一元的に監視することで、個々の加入者ごとに必要なファイアウォールのパラメータである、送信アドレス、宛先アドレスを決定することがきる。
【００２７】
また、セキュリティ管理装置１７が、ファイアウォール設定をセキュリティ通信装置１３，１４に通知し、セキュリティ通信装置１３，１４上でファイアウォール機能を動作させることで、加入者端末１１，１２側にファイアウォールシステムを設けなくてもプロバイダネットワーク１８側からの第３者からの攻撃を抑えることが可能である。
【００２８】
【実施例】
以下、図面を用いて、本発明の一実施形態を具体的に示した実施例について説明する。
【００２９】
上記の如く、ネットワーク接続システム１は、図１に示すように、既存の加入者端末１１，１２同士を接続したり、加入者端末１１，１２等を外部ネットワークとしてのインターネット１９と接続をするシステムであり、閉域ネットワークとしてのプロバイダネットワーク１８により、セキュリティ通信装置１３，１４、認証サーバ１５、ダイナミックＤＮＳサーバ１６、及び、セキュリティ管理装置１７を接続した構成となっている。
【００３０】
尚、上記加入者端末１１，１２、セキュリティ通信装置１３，１４、認証サーバ１５、ダイナミックＤＮＳサーバ１６、セキュリティ管理装置１７は、何れもコンピュータにより構築されており、それぞれに、それぞれのステップ（機能）を実行させるためのプログラムが記録されている。また、これらのプログラムは、ＣＤ−ＲＯＭ等の記録媒体に記録して流通させることが可能である。
【００３１】
このうち、加入者端末１１，１２は、ＰＰＰ（Ｐｏｉｎｔ−ｔｏ−ｐｏｉｎｔ  Ｐｒｏｔｏｃｏｌ）のセッション開設要求をセキュリティ通信装置１３，１４へそれぞれ送信し、ＰＰＰのセッション処理で得られたＩＰアドレスを送信元とし、他の加入者端末のホスト名（実際にはダイナミックＤＮＳサーバ１６により解決されたＩＰアドレス）を宛先として通信を行う機能を持った端末である。
【００３２】
また、認証サーバ１５は、セキュリティ通信装置１３，１４からネットワーク的に到達可能な位置に存在し、加入者のアカウント、認証パスワード、ホスト名を一元的に管理する装置である。また、加入者端末１１，１２が、それぞれ新規にセキュリティ通信装置１３，１４にＰＰＰ接続する際には、加入者アカウントの認証を行う。
【００３３】
また、ダイナミックＤＮＳサーバ１６は、セキュリティ通信装置１３，１４からネットワーク的に到達可能な位置に存在し、加入者端末１１，１２がプロバイダネットワーク１８へ接続時にダイナミックＤＮＳサーバ１６を参照することが可能である。ダイナミックＤＮＳサーバ１６は、ホストのＩＰアドレスが動的に変化する状況にも対応したＤＮＳサーバであり、本実施形態では、セキュリティ通信装置１３，１４からの指示により、ホスト名とＩＰアドレスの対応付けの登録を実行する。
【００３４】
また、セキュリティ通信装置１３，１４は、プロバイダネットワーク１８の端に位置し、複数のＰＰＰセッションを終端する機能を持つ装置である。また、セキュリティ管理装置１７に加入者のネットワークへの接続状況を通知する機能を持ち、さらにセキュリティ管理装置１７から通知されたファイアウォールの設定に従い、加入者端末１１，１２とセキュリティ通信装置１３，１４間を流れるトラフィックについてＰＰＰセッション単位でフィルタリング処理を実行する。
【００３５】
また、セキュリティ管理装置１７は、プロバイダネットワーク１８上に位置し、プロバイダネットワーク１８上に存在する全セキュリティ通信装置１３，１４等と通信可能である必要性がある。特に、セキュリティ管理装置１７には、図６に示すような、加入者のネットワーク接続状況を一元的に管理するネットワーク接続状態管理テーブルが構築されている。このテーブルの一つのタップルは、現在ネットワークに接続中の加入者端末のホスト名（Ｈｏｓｔ）、割り当てＩＰアドレス（Ａｓｓｉｇｎｅｄ  ＩＰ  Ａｄｄｒｅｓｓ）、接続先のセキュリティ通信装置のＩＰアドレス（Ａｃｃｅｓｓ  Ｓｅｒｖｅｒ  Ａｄｄｒｅｓｓ）の３つの属性値からなる。このテーブルの作成は、セキュリティ通信装置１３，１４からの情報に基づいて作成される。
【００３６】
さらに、セキュリティ管理装置１７には、図７に示すような、加入者間の通信許可ポリシーを一元的に管理する加入者間ポリシー管理テーブルが構築されている。このテーブルの一つのタップルは、属性値として、送信元ホスト名（Ｓｏｕｒｃｅ  Ｈｏｓｔ）、送信先ホスト名（Ｄｅｓｔｉｎａｔｉｏｎ  Ｈｏｓｔ）、プロトコル（Ｐｒｏｔｏｃｏｌ）、送信元ポート番号（Ｓｏｕｒｃｅ  Ｐｏｒｔ）、送信先ポート番号（Ｄｅｓｔｉｎａｔｉｏｎ  Ｐｏｒｔ）、ＩＣＭＰタイプ（ＩＣＭＰ  Ｔｙｐｅ）、ＩＣＭＰコード（ＩＣＭＰ  Ｃｏｄｅ）からなる。このテーブルは、予め加入者から通知された情報をもとに作成されて、セキュリティ管理装置１７に投入される。ただし、Ｓｏｕｒｃｅ  Ｈｏｓｔ，Ｄｅｓｔｉｎａｔｉｏｎ  Ｈｏｓｔの属性値については、拡張機能として、固定ＩＰアドレス値を付与することが可能である。この場合は、インターネット１９上のある特定のグローバルアドレスを指す。
【００３７】
続いて、図２乃至図５を用いて、本実施形態の動作について説明する。
【００３８】
セキュリティ通信装置１３，１４は、加入者端末１１，１２からそれぞれ新規ＰＰＰセッション要求受信時に、図２のフローに従って動作する。
【００３９】
まず、第１に新規ＰＰＰセッション要求受信時に（ステップＳ１）、認証サーバ１５へ問合せを行う（ステップＳ２）。第２に、認証サーバ１５に正常に受理された場合（ＯＫ）、セキュリティ通信装置１３，１４でプールされているＩＰアドレスの中から未使用であるアドレスを割出し、認証サーバ５から得られたホスト名とこのセキュリティ通信装置１３，１４にて割出したＩＰアドレスとの対応をダイナミックＤＮＳサーバ１６に通知し登録を行う（ステップＳ３）。
【００４０】
次に、セキュリティ通信装置１３は、セキュリティ管理装置１７へ加入者端末１１，１２の新規ネットワーク接続状況の通知（処理種別：ａｄｄ）を行い（ステップＳ４）、その際得られたファイアウォール設定に基づいてファイアウォール処理をＰＰＰセッション単位に追加し（ステップＳ５）、さらにＰＰＰセッション開設処理を完了させる動作を行う（ステップＳ６）。
【００４１】
また加えて、セキュリティ通信装置１３，１４は、加入者端末１１，１２からのそれぞれのＰＰＰセッション切断要求受信時、あるいはＰＰＰセッションのタイムアウト検知時に、図３のフローに従って動作する。
【００４２】
まず、加入者端末１１，１２から、それぞれのＰＰＰセッション切断要求、あるいはＰＰＰセッションのタイムアウト検知が行われると（ステップＳ１１）、セキュリティ通信装置１３，１４は、認証サーバ１５へ加入者離脱を通知後（ステップＳ１２）、ダイナミックＤＮＳサーバ１６へホスト名の登録解除を指示し、今まで割り当てていたアドレスを開放する（ステップＳ１３）。
【００４３】
次に、セキュリティ管理装置１７へ加入者端末１１，１２のプロバイダネットワーク１８からの離脱を通知（処理種別：ｄｅｌｅｔｅ）する（ステップＳ１４）。その際にセキュリティ管理装置１７より得られたファイアウォール設定の削除指示に基づき、その処理を実行し（ステップＳ１５）、さらにＰＰＰセッションの切断処理を完了させる動作を行う（ステップＳ１６）。
【００４４】
一方、セキュリティ管理装置１７の動作手順は次の通りである。
【００４５】
セキュリティ管理装置１７において、セキュリティ通信装置１３，１４からのａｄｄ処理要求を受信することで、セキュリティ通信装置１３，１４よりポリシーの問合せ要求があった場合には（ステップＳ２１）、第１に、その種類（処理種別：ａｄｄ  ｄｅ１ｅｔｅ）に応じて、ネットワーク接続状態管理テーブル更新フェーズを実行する（ステップＳ２２）。ここでは、セキュリティ通信装置１３より受信した内容に従い、ネットワーク接続状態管理テーブルに１タップルを追加する。
【００４６】
第２に、セキュリティ管理装置１７は、配布ポリシー作成フェーズを実行する（ステップＳ２３）。ここでは、セキュリティ通信装置１３，１４へ配布すべき設定の作成を行う。詳細には、まず受信したホスト名をキーとして、図７に示すような、加入者間ポリシー管理テーブルより全てのタップルを抜き出す（▲１▼）。この時、Ｓｏｕｒｃｅ  Ｈｏｓｔ，Ｄｅｓｔｉｎａｔｉｏｎ  Ｈｏｓｔのいずれかの属性値において新規追加されたホスト名と一致するものすべてが対象となる。この抜き出されたタップルのうち、Ｓｏｕｒｃｅ  Ｈｏｓｔ、Ｄｅｓｔｉｎａｔｉｏｎ  Ｈｏｓｔの属性値がいずれもネットワーク状態管理テーブル（図６）に値として存在した場合に（注：拡張機能としてＳｏｕｒｃｅ  Ｈｏｓｔ，Ｄｅｓｔｉｎａｔｉｏｎ  ＨｏｓｔにＩＰアドレスの固定値を設定することが可能であるが、その場合、その属性値が一致しているかどうかのチェックは省く）、そのタップルをさらに抜き出し、Ｓｏｕｒｃｅ  Ｈｏｓｔ→Ｓｏｕｒｃｅ  Ａｄｄｒｅｓｓ，Ｄｅｓｔｉｎａｔｉｏｎ  Ｈｏｓｔ→Ｄｅｓｔｉｎａｔｉｏｎ  Ａｄｄｒｅｓｓの変換を行う（▲２▼）。そして、さらにＳｏｕｒｃｅ  Ｈｏｓｔ，Ｄｅｓｔｉｎａｔｉｏｎ  Ｈｏｓｔに対応するＡｃｃｅｓｓ  Ｓｅｒｖｅｒ  Ａｄｄｒｅｓｓの属性値をネットワーク状態管理テーブル（図６）より求め、それらをそれぞれＳｏｕｒｃｅ  Ａｃｃｅｓｓ  Ｓｅｒｖｅｒ  Ａｄｄｒｅｓｓ，Ｄｅｓｔｉｎａｔｉｏｎ  Ａｃｃｅｓｓ  Ｓｅｒｖｅｒ  Ａｄｄｒｅｓｓという名の属性値として加えて、図８に示すような、新たなテーブルを作成する（▲３▼）。以上が配布ポリシー作成フェーズとなる。
【００４７】
第３に、セキュリティ管理装置１７は、ポリシー配付通知フェーズを実行する（ステップＳ２３）。ここでは、セキュリティ通信装置１３，１４に必要となるポリシーの配布を実際に実行するフェーズである。詳細には、上記ステップＳ２３の配布ポリシー作成フェーズで得られたテーブルの各タップルを、各タップルのＳｏｕｃｃｅ  Ａｃｃｅｓｓ  Ｓｅｒｖｅｒ  Ａｄｄｒｅｓｓ，Ｄｅｓｔｉｎａｔｉｏｎ  Ａｃｃｅｓｓ  Ｓｅｒｖｅｒ  Ａｄｄｒｅｓｓで示される両方のセキュリティ通信装置１３，１４へ配布することで処理を完了する。以上がａｄｄ処理要求を受信した場合のセキュリティ管理装置の動作となる。
【００４８】
次に、図５を用いて、セキュリティ管理装置１７で、セキュリティ通信装置１３，１４よりｄｅ１ｅｔｅ処理要求を受信した場合（ステップＳ３１）の処理について説明する。
【００４９】
セキュリティ管理装置１７は、第１に配布ポリシー作成フェーズを実行する（ステップＳ３２）。このフェーズでは、セキュリティ通信装置１３，１４に配布すべき設定の作成を行うが、手順は、ａｄｄ処理要求を受信した場合の配布ポリシー作成フェーズの手順と同様となる。
【００５０】
第２に、ネットワーク接続状態管理テーブル更新フェーズを実行する（ステップＳ３３）。ここでは、セキュリティ通信装置１３，１４より受信した内容に従い、ネットワーク状態管理テーブルから１タップルを削除する。
【００５１】
第３に、ポリシー配布通知フェーズを実行する（ステップＳ３４）。ここでは、上記ステップＳ３２で示した配布ポリシー作成フェーズで作成したテーブルの各タップルを、各タップルのＳｏｕｒｃｅ  Ａｃｃｅｓｓ  Ｓｅｒｖｅｒ  Ａｄｄｒｅｓｓ，Ｄｅｓｔｉｎａｔｉｏｎ  Ａｃｃｅｓｓ  Ｓｅｒｖｅｒ  Ａｄｄｒｅｓｓで示される両方のセキュリティ通信装置１３，１４へ配布し、ファイアウォール設定の廃止を要求する。以上がｄｅ１ｅｔｅ処理要求を受信した場合のセキュリティ管理装置１７の動作となる。
【００５２】
以上説明したように本実施形態によれば、加入者は自分の端末や相手の端末のＩＰアドレスを知ることなく、加入者間のセキュリティポリシー（通信許可規則）をホスト名レベルでセキュリティ管理装置１７に通知するだけで通信時の自端末のセキュリティを向上させることができる。その理由は、プロバイダネットワーク１８側にあるセキュリティ管理装置１７で加入者端末１１，１２が現在の使用中のＩＰアドレス、ホスト名、接続先のセキュリティ通信装置１３，１４の位置の対応関係を把握し、加入者端末１１，１２間のセキュリティポリシーに応じて、必要なファイアウォール設定を加入端末者１１，１２が接続中のセキュリティ通信装置１３，１４ごとに施すことができるためである。
【００５３】
また、加入者端末１１，１２に特別なファイアウォールシステムを導入することなく加入者間のセキュリティを向上させることができる。その理由は、ＰＰＰを終端するセキュリティ通信装置１３，１４にて加入者端末１１，１２とプロバイダネットワーク１８間を流れるトラフィックのフィルタリングを行うため、加入者端末１１、１２には特別なファイアウォールシステムを導入する必要がないからである。
【００５４】
【発明の効果】
以上説明したように本実施形態によれば、ネットワーク接続システムに新たにセキュリティ管理装置を設け、このセキュリティ管理装置が、加入者端末のネットワーク接続状況を一元的に監視することで、個々の加入者ごとに必要なファイアウォールのパラメータである、送信アドレス、宛先アドレスを決定することがきる。また、セキュリティ管理装置が、ファイアウォール設定をセキュリティ通信装置に通知し、セキュリティ通信装置上でファイアウォール機能を動作させることで、加入者端末側にファイアウォールシステムを設けなくてもプロバイダネットワーク側からの第３者からの攻撃を抑えることが可能であるという効果を奏する。
【図面の簡単な説明】
【図１】本発明の加入者端末と外部ネットワーク等を接続させるための通信インフラストラクチャを示した図。
【図２】加入者端末が新規ＰＰＰセッション接続時の本セキュリティ通信装置の処理フローチャートである。
【図３】加入者端末とのＰＰＰセッションが切断時、タイムアウト時の本セキュリティ通信装置の処理フローチャートである。
【図４】加入者端末が新規ＰＰＰセッション接続時の本セキュリティ管理装置の処理フローチャートである。
【図５】加入者端末とのＰＰＰセッションが切断時、タイムアウト時の本セキュリティ管理装置の処理フローチャートである。
【図６】ネットワーク接続状態管理テーブルの例。
【図７】加入者間ポリシー管理テーブルの例。
【図８】ネットワーク接続状態管理テーブルと加入者間ポリシー管理テーブルから抽出され、セキュリティ通信装置に配布される配布ポリシーテーブルの例。
【符号の説明】
１  ネットワーク接続システム
１１  加入者端末
１２  加入者端末
１３  セキュリティ通信装置
１４  セキュリティ通信装置
１５  認証サーバ
１６  ダイナミックＤＮＳサーバ
１７  セキュリティ管理装置
１８  プロバイダネットワーク
１９  インターネット
【図１】
2004357234.tif 000003
【図２】
2004357234.tif 000004
【図３】
2004357234.tif 000005
【図４】
2004357234.tif 000006
【図５】
2004357234.tif 000007
【図６】
2004357234.tif 000008
【図７】
2004357234.tif 000009
【図８】
2004357234.tif 000010