(57)【要約】【課題】アクセス許可のポート数の増加によるファイアウォールのセキュリティの低下を防止する。【解決手段】ファイアウォールの両側に中継システムを配置し、その中継システム間でコネクションを確立する。その確立したコネクション上でアプリケーションパケットを中継することによりアプリケーションのコネクションを統合し、ファイアウォールに設定するアクセス許可のポート番号の数を減らす。【選択図】　図１
2004048520.tif 000002
【特許請求の範囲】
【請求項１】
予め指定されたポート以外のポートに対するアクセスを拒否するファイアウォールを介して通信を行うネットワーク環境でのポートアクセス制御システムにおいて、通信パケットをラッピングすることにより、使用するコネクションを統合してファイアウォールに設定するポートを少なくとも１つにする第１の手段と、ラッピングに使用するコネクションのポートを動的に切替える第２の手段とを有することを特徴とするポートアクセス制御システム。
【請求項２】
請求項１のポートアクセス制御システムにおいて、通信パケットのラッピングに使用するコネクションの制御は、使用するポート番号およびポート番号を選択する手段と、切替え契機と切替え単位が定義されたポート定義リストと、コネクション確立からの経過時間、切替え時刻、不正パケット数またはラッピングした通信パケット数に従って通信パケットのラッピングに使用するコネクションのポートを動的に切替える手段で行うことを特徴とするポートアクセス制御システム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ポートの制御を行うポートアクセス制御システムに係り、予め設定されたポート以外のポートに対するアクセスを拒否するファイアウォールを介して内部ネットワークと外部ネットワーク間での接続を制御するポートアクセス制御システムに関する。
【０００２】
【従来の技術】
予め設定されたポート以外のポートに対するアクセスを拒否するファイアウォールを介して通信を行うネットワーク環境において、従来は使用する製品やプロトコルに対応したポート番号を、ファイアウォールにおいて固定的にアクセスを許可する必要があった。
【０００３】
また、例えば、特開２０００−３４９８２１号公報に記載されているように、オペレーティングシステムから動的に割当てられたポートをファイアウォールに通知し、ファイアウォールにおいて通知したポートのアクセスの許可および拒否を切替えていた。
【０００４】
【発明が解決しようとする課題】
上記従来技術では、ファイアウォールを介して通信を行う場合、使用する製品が多くなるとファイアウォールに設定するアクセス許可のポート数が多くなる。
【０００５】
その結果、ファイアウォールにより遮られるデータが少なくなり、また、ファイアウォールに設定するポート番号は製品毎に固定であるため、第三者による不正進入、運用妨害といった攻撃を受ける危険が高くなり、ファイアウォールのセキュリティが低下するという課題がある。
【０００６】
本発明の目的は、上記従来技術の課題を解決するために、ファイアウォールに設定するポートの数を少なくし、更に、設定されたポートを動的に切替えることで、第三者に検知されにくくし、ファイアウォールのセキュリティを向上させたポートアクセス制御システムを提供することにある。
【０００７】
【課題を解決するための手段】
上記目的を達成するため、ファイアウォールの両側に中継システムを設置し、その中継システム間で確立したコネクションを使用してアプリケーションパケット（ＩＰヘッダ含む）を転送する（ラッピング）ことによりアプリケーションのコネクションを統合し、ファイアウォールに設定するアクセス許可のポートの数を減らす。
【０００８】
更に、中継システムは切替え契機（例えば時間など）により、中継システム間で確立しているアプリケーションパケットの転送に使用するコネクションのポートの切替えを行う。
【０００９】
中継システムは、コネクションの切替え完了後、切替え先のコネクションを使用してラッピング通信を続行する。
【００１０】
【発明の実施の形態】
以下、本発明の実施の形態を、図面により詳細に説明する。
【００１１】
図１は、本発明のポートアクセス制御システムを設けたネットワークのシステム構成例を示すブロック図である。
【００１２】
図１において、端末１，端末２，端末３，端末１４はＦＴＰ、ｔｅｌｎｅｔなどの通信を行うアプリケーションを有し、アプリケーションサーバ又はアプリケーションクライアントとして動作する。
【００１３】
中継システム４は、内部ネットワークに属してポート制御システム７を備え、アプリケーションパケットのラッピング制御を行うラッピング制御部７１と、アプリケーションパケットのラッピングに使用するコネクションを制御するコネクション制御部７２と、そのコネクションが使用するポート７２ａ，７２ｂの制御を行うポート処理部７２１と、ネットワークと直接データの送受信を行うパッケト送受信制御部８とを有している。
【００１４】
また、中継システム５は外部ネットワークに属してポート制御システム９を備え、アプリケーションパケットのラッピング制御を行うラッピング制御部９１と、アプリケーションパケットのラッピングに使用するコネクションを制御するコネクション制御部９２と、ネットワークと直接データの送受信を行うパケット送受信制御部１０とを有している。
【００１５】
また、中継システム１５は、中継システム５と同等の機能を有し、ポート制御システム１６と、ラッピング制御部１６１と、コネクション制御部１６２と、パケット送受信制御部１７とを有している。
【００１６】
ファイアウォール６は、中継システム４（内部ネットワーク）と中継システム５（外部ネットワーク）および中継システム１５（外部ネットワーク）との間に設けられ、外部ネットワークからのアクセス許可を管理する。
【００１７】
特に本実施例のファイアウォール６は、ポートのアクセス許可を制御する許可制御処理部１１１と、ポートのアクセス許可取消しを制御する許可取消制御処理部１１３とからなるポート制御部１１を有し、中継システム４と中継システム５および中継システム１５との間でのコネクション確立（以降、中継システム４と中継システム５および中継システム１５の間に確立されるコネクションのことを統合コネクションと呼ぶ）を可能にしている。
【００１８】
以下、ラッピング通信に係わる処理動作を説明する。
【００１９】
図２は、図１における中継システム間での端末のアプリケーションパケットのラッピングに係わる処理動作例を示すフローチャートである。図３および図４は、ラッピング処理を行う際に使用するラッピング定義リストの例を示す図である。図５および図６は、ラッピングに使用する統合コネクションの情報が定義されている接続情報リストの例を示す図である。図１０は、データの流れとフォーマットを示すシーケンス図である。
【００２０】
また、ラッピングとは、ＩＰトンネリングのことであり、図１０に示すように、端末間の通信パケットＤ１，Ｄ２，Ｄ３（ＩＰおよび、ＴＣＰ，ＵＤＰ，ＩＣＭＰヘッダなどを含む）をユーザデータとして扱い、中継システム間で送受信するＩＰパケットＤ４，Ｄ５で包み込むことである。
【００２１】
図２において、既に、図１の中継システム４と中継システム５の間に、中継システム５から中継システム４のポート７２ａの値Ａに対し統合コネクションＡが確立されており、また、中継システム４と中継システム１５の間に、中継システム１５から中継システム４のポート７２ａの値Ａに対し統合コネクションＣが確立されており、ポート７２ａの値Ａはファイアウォール６において、アクセスが許可されているものとする。
【００２２】
また、端末１（ＩＰアドレス：１２８．１．１．１０）と端末２（ＩＰアドレス：１７２．１．１．１０）の間で、端末２から端末１のポート番号１００００に対してＴＣＰプロトコルを用いた通信を行うものとする。
【００２３】
端末１と端末２間の通信において、中継システム５は、端末２から端末１宛のアプリケーションパケットを、パケット送受信制御部１０により受信し、ポート制御システム９に渡す。ラッピング制御部９１は、パケット送受信制御部１０から渡されたアプリケーションパケット（ネットワークから直接受信したアプリケーションパケット）か、コネクション制御部９２から渡されたデータ（コネクションから受信したユーザデータ）のどちらであるかの受信種別判定処理を行う。
【００２４】
ラッピング制御部９１における受信種別判定（ステップＳ２０１）において、パケット送受信制御部１０から渡されたアプリケーションパケット（ネットワークから直接受信したアプリケーションパケット）の場合は、ラッピング定義リスト９１ａを元にラッピング判定（ステップＳ２０２）が行われる。
【００２５】
ラッピング定義リスト９１ａには、図３に示すように、ＩＰアドレス、ポート番号、プロトコルタイプ、接続情報番号等の情報からなるラッピング要否が定義されている。ラッピング定義リスト９１ａの接続情報番号は、ラッピングに使用する統合コネクション情報が定義されている接続情報リスト９２ｃの接続情報番号と対応付けられている。接続情報リスト９２ｃは、図５に示すように、接続情報番号、ＩＰアドレス、ポート番号などの情報が定義されている。
【００２６】
ラッピング要否判定（ステップＳ２０２）では、パケット送受信制御部１０から渡されたアプリケーションパケットのＩＰおよびＴＣＰ・ＵＤＰ・ＩＣＭＰヘッダ部の情報とラッピング定義リスト９１ａの内容を比較し、ラッピングの要否を判定する。
【００２７】
ここでパケット送受信制御部１０から渡されたアプリケーションパケットは、端末２から端末１のポート番号１００００宛てのＴＣＰパケットである。そのため、送信先ＩＰアドレスが１２８．１．１．１０、ＴＣＰプロトコル、送信先ポート番号１００００であり、ラッピング定義リスト９１ａ（図３）の定義番号１の情報と一致するため、ラッピングが必要と判定する。もしラッピング定義リストに一致する情報が定義されていない場合は、ラッピング不要と判定し、アプリケーションパケットをそのままパケット送受信制御部１０からＩＰ転送（ステップＳ２０３）する。
【００２８】
ラッピングする場合、アプリケーションパケットに付加情報を付与（ステップＳ２０４）する。付加情報は、例えば図１０のＤ６のように、バージョン番号Ｄ７やラッピングしたアプリケーションパケットの長さＤ８およびチェックサム値Ｄ９などである。
【００２９】
次に、付加情報を付与したアプリケーションパケットを中継するための統合コネクションを選択（ステップＳ２０５）する。統合コネクションの選択（ステップＳ２０５）は、ラッピング定義リスト９１ａ（図３）の接続情報番号により、決定される。
【００３０】
ラッピング判定（ステップＳ２０２）により、ラッピング定義リスト９１ａ（図３）の定義番号１が該当情報であるため、ラッピングに使用する統合コネクションは接続情報番号１になる。接続情報番号に対応した統合コネクションの情報は、接続情報リスト９２ｃに定義されている。
【００３１】
使用する統合コネクションが決定したら、ラッピング制御部９１は、付加情報を付与したアプリケーションパケットと接続情報番号１をコネクション制御部９２に渡す。コネクション制御部９２は、接続情報リスト９２ｃから接続情報番号１に対応した統合コネクションの情報（統合コネクションＡ１２）を取得する。コネクション制御部９２は、ラッピング制御部９１より渡された付加情報を付与されたアプリケーションパケットをユーザデータとして、接続情報番号１に対応した統合コネクション（統合コネクションＡ１２）上で中継（ステップＳ２０６）する。
【００３２】
中継システム４において、コネクション制御部７２で受信したデータは、接続情報リスト７２ｃ（図６）に定義されている受信に使用した統合コネクション（統合コネクションＡ１２）の接続情報番号１と共にラッピング制御部７１に渡される。
【００３３】
ラッピング制御部７１は、ラッピング制御部９１と同様にパケット送受信制御部８とコネクション制御部７２のどちらから渡されたパケットであるかの受信種別判定（ステップＳ２０１）を行う。
【００３４】
ラッピング制御部７１における受信種別判定（ステップＳ２０１）において、コネクション制御部７２から渡されたデータ（コネクションから受信したユーザデータ）の場合は、付加情報の検証（ステップＳ２０７）が行われる。付加情報の検証（ステップＳ２０７）は、ラッピング制御部９１で付与（ステップＳ２０４）された付加情報の内容（バージョン番号、ラッピングしたアプリケーションパケットの長さ、チェックサムなど）の正誤判定を行う。
【００３５】
この検証において、不正と判断（チェックサム不正など）したパケットは破棄する（ステップＳ２１１）。検証が成功した場合、受信データから付加情報を取り除き、アプリケーションパケットを取り出す（ステップＳ２０８）。
【００３６】
応答パケットのラッピングも行うため、受信データからアプリケーションパケットを取り出した後、取り出したアプリケーションパケットの応答情報を、ラッピング定義リスト７１ａに追加する（ステップＳ２０９）。
【００３７】
取り出したアプリケーションパケットは、端末２から端末１のポート番号１００００宛てのＴＣＰパケットであるため、その応答パケットは送信先と送信元の情報が逆になったパケットである。そのため、ラッピング定義リスト７１ａに追加する情報は、宛先ＩＰアドレスが１７２．１．１．１０、ＴＣＰプロトコル、送信元ポート番号１００００、コネクション制御部７２から渡された接続情報番号１である。
【００３８】
情報を追加したラッピング定義リスト７１ａは図４のようになる。また、既に定義されている場合は、情報を追加しない。
【００３９】
ラッピング定義リスト７１ａに情報を追加した後、取り出したアプリケーションパケットは、パケット送受信制御部８から、端末１へＩＰ転送（ステップＳ２１０）する。
【００４０】
また、端末１から端末２宛のパケットおよび、端末３から端末１宛、端末１から端末３宛のパケットも同様な手順で処理する。端末アプリケーションが複数のポート番号を使用しても、ファイアウォールに設定するアクセス許可のポート番号は７２ａの値Ａのみの１つで良い。
【００４１】
次に、統合コネクション切替えに係わる処理動作例を説明する。
【００４２】
図９は、図１における中継システム４と中継システム５間および中継システム４と中継システム１５間の統合コネクションの確立・切断・切替えに係わる処理動作例を示すフローチャートである。図８は、統合コネクション切替え時に使用されるポート定義リストの例を示す図である。図６および図７は、ラッピングに使用する統合コネクションの情報が定義されている接続情報リストの例を示す図である。
【００４３】
図９において、図１のポート制御システム９（外部ネットワーク側）およびポート制御システム１６（外部ネットワーク側）は、ポート制御システム７（内部ネットワーク側）のポート７２ａの値Ａに対し、コネクションの確立要求を行う（ステップＳ３１４）。
【００４４】
中継システム４では、ポート制御システム７がポート７２ａの値Ａで他中継システムからのコネクション確立要求を待っており（ステップＳ３０１）、ポート制御システム９およびポート制御システム１６からの要求により統合コネクションＡ１２および統合コネクションＣ１８が確立される（ステップＳ３０２）。
【００４５】
以降、この統合コネクションＡ１２および統合コネクションＣ１８を用いて端末アプリケーションのパケットを中継（ラッピング）する（ステップＳ３０３）。
【００４６】
また、ポート制御システム７は、コネクション切替えの契機待ち（ステップＳ３０４）もする。コネクション切替え契機の情報は、ポート定義リスト７２１ａに定義されている。ポート定義リスト７２１ａには、図８に示すような、コネクション確立からの経過時間・切替え時刻・不正パケット数・ラッピングした通信パケット数などの切替え契機や切替え単位、更に使用するポート番号リストとその選択手段などが定義されている。
【００４７】
ここで、統合コネクション確立から６０分経過したとする。統合コネクション確立から６０分経過した場合は、ポート定義リスト７２１ａ（図８）の項番１に該当するため、コネクション切替え契機が発生する。
【００４８】
コネクション切替えの契機が発生したら、ポート定義リスト７２１ａ（図８）に従い、統合コネクション切替え後に使用するポート番号を取得する（ステップＳ３０５）。
【００４９】
統合コネクション確立から６０分経過した場合の情報は、図８の項番１であるため、統合コネクション切替え後に使用するポート番号は、使用ポート番号リストから昇順に取得する。そのため、現在の統合コネクションのポート番号Ａの次に定義されている値Ｂが、次に使用するポート番号の値として選択される。このポート番号Ｂが、ポート７２ｂの値Ｂになる。また、ポート定義リスト７２１ａに定義されている他の切替え契機の場合も同様に、選択手段に従って、使用ポート番号リストから統合コネクション切替え後のポート番号を取得する。
【００５０】
さらに、ポート制御システム７は、ポート処理部７２１により、ポート７２ｂの値Ｂに対し、外部ネットワークからのアクセスを許可するように、ファイアウォール６に要求する（ステップＳ３０６）。
【００５１】
ファイアウォール６は、この要求に基づき、ポート制御部１１において、許可制御処理部１１１を起動し、要求されたポートの値Ｂを、アクセス許可するものとしてテーブル１１２に記憶する。この結果、ファイアウォール６は、要求のあったポートの値Ｂに対し、外部ネットワークからのアクセスを許可する。
【００５２】
この状態で、既に確立されている統合コネクションＡ１２および統合コネクションＣ１８を使い、ポート７２ｂの値Ｂをポート制御システム９およびポート制御システム１６に通知（ステップＳ３０７）し、ポート７２ｂの値Ｂで相手ポート制御システムからのコネクション確立要求を待つ（ステップＳ３０８）。
【００５３】
ポート制御システム９およびポート制御システム１６は、この通知を受信し（ステップＳ３１５）、ポート７２ｂの値Ｂに対し、コネクションの確立を要求（ステップＳ３１６）し、新しい統合コネクションＢ１３および統合コネクションＤ１９を確立（ステップＳ３０９）する。
【００５４】
ポート制御システム９およびポート制御システム１６は、端末アプリケーションのパケットの中継に使用する統合コネクションを、統合コネクションＡ１２および統合コネクションＣ１８から統合コネクションＢ１３および統合コネクションＤ１９に切替え（ステップＳ３１０）、接続情報リスト９２ｃおよび接続情報リスト１６２ｃの統合コネクション情報を更新し、切替え完了をポート制御システム７通知する（ステップＳ３１７）。
【００５５】
ポート制御システム７は、統合コネクション切替え完了待ち（ステップＳ３１１）をしており、切替え完了通知を受信すると、切替え前に使用していた統合コネクションＡ１２および統合コネクションＣ１８の切断（ステップＳ３１２）を行うと共に、接続情報リスト７２ｃの統合コネクション情報を更新する。この更新により、接続情報リスト７２ｃの内容は図６から図７のようになる。
【００５６】
統合コネクション切断（ステップＳ３１２）後、ポート制御システム７は、ポート処理部７２１により、ポート７２ａの値Ａに対する外部ネットワークからのアクセス許可の取消し要求を、ファイアウォール６に対して行う（ステップＳ３１３）。
【００５７】
この要求に基づき、ファイアウォール６は、ポート制御部１１において、許可取消制御処理部１１３を起動し、ポートの値Ａに対するアクセス許可をテーブル１１２の記憶から消去する。この結果、ファイアウォール６は、以降のポートの値Ａに対する外部ネットワークからのアクセスを拒否する。
【００５８】
以降、端末アプリケーションのパケットの中継は、統合コネクションＢ１３および統合コネクションＤ１９を使用して行われ（ステップＳ３１０）、切替え契機が発生する度に、ステップＳ３０３以降の処理を行い、統合コネクションが切替えられる。
【００５９】
このように、本実施例においては、端末アプリケーションが使用するポートの値に関わらず、ファイアウォール６は、その時点でポート制御システムがパケットの中継に使用している統合コネクション用のポートのみを使用して、外部ネットワークからのアクセスを許可することができる。
【００６０】
以上、説明したように、本実施例のポートアクセス制御システムでは、ファイアウォールの両側に中継システムを配置し、端末アプリケーションのパケットをその中継システム間で確立したコネクション上で中継し、更に中継に使用するコネクションを動的に切替える。また、中継システムで使用するポートをファイアウォールに通知し、そのポートに対する外部ネットワークからのアクセスの許可・拒否を行わせる。
【００６１】
このようにして、端末アプリケーションのパケットが使用するポート番号の数だけ、ファイアウォールに常時アクセス許可を与えなくても通信が行えるようになる。
【００６２】
また、中継に使用するコネクションのポートを動的に切替えることにより、ファイアウォールに設定されているアクセス許可のポート番号を第三者に検知されにくくなる。
【００６３】
なお、本発明は、本実施例に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能である。
【００６４】
例えば、図９で示した例では、ポート制御システムが切替え契機を認知し、切替え後のポート番号を選択しているが、ファイアウォールが切替え契機を認知し、切替え後のポート番号を選択し、ポート制御システムに通知することでも良く、ポート制御システムで切替えを認知した後、使用できるポート番号をファイアウォールに問い合わせることでも良い。
【００６５】
また、切替え後に使用するポート番号の選択方法は、予め決められた一定範囲からランダムに選択しても良いし、決められた値を順番通りに選択していくことでも良い。
【００６６】
【発明の効果】
以上説明したように、本発明によれば、ファイアウォールを介して通信を行う場合に、各製品に対応した複数のポート番号のアクセス許可をファイアウォールに設定しておく必要がなく、ファイアウォールに設定したアクセス許可のポート番号を第三者に検知されにくくすることができ、ファイアウォールのセキュリティ低下を防ぐという効果が得られる。
【図面の簡単な説明】
【図１】本発明のポート制御システムを設けたネットワークのシステム構成例を示すブロック図である。
【図２】ポート制御システム間での端末アプリケーションパケットのラッピングに係わる処理動作例を示すフローチャートである。
【図３】ラッピング制御部で使用されるラッピング定義リスト（その１）の構成例を示す図である。
【図４】ラッピング制御部で使用されるラッピング定義リスト（その２）の構成例を示す図である。
【図５】接続情報番号に対応した統合コネクションの情報が定義されている接続情報リスト（その１）を示す図である。
【図６】接続情報番号に対応した統合コネクションの情報が定義されている接続情報リスト（その２）を示す図である。
【図７】接続情報番号に対応した統合コネクションの情報が定義されている接続情報リスト（その３）を示す図である。
【図８】ポート処理部で使用されるポート定義リストの構成を示す図である。
【図９】ポート制御システム間のコネクションの確立・切断・切り換えに係わる処理動作例を示すフローチャートである。
【図１０】端末間のパケットの流れとフォーマットを示す図である。
【符号の説明】
１，２，３，１４　端末
４，５，１５　中継システム（ゲートウェイ）
６　ファイアウォール
７　ポート制御システム（内部ネットワーク側）
９，１６　ポート制御システム（外部ネットワーク側）
７１，９１，１６１　ラッピング制御部
７１ａ，９１ａ，１６１ａ：ラッピング定義リスト
７２，９２，１６２　コネクション制御部
７２ａ，７２ｂ，９２ａ，９２ｂ，１６２ａ，１６２ｂ　ポート
７２ｃ，９２ｃ，１６２ｃ　接続情報リスト
７２１　ポート処理部
７２１ａ　ポート定義リスト
８，１０，１７　パケット送受信制御部
１１　ポート処理部
１１１　許可制御処理部
１１２　テーブル
１１３　許可取消制御処理部
１２，１３，１８，１９　コネクション
【図１】
2004048520.tif 000003
【図２】
2004048520.tif 000004
【図３】
2004048520.tif 000005
【図４】
2004048520.tif 000006
【図５】
2004048520.tif 000007
【図６】
2004048520.tif 000008
【図７】
2004048520.tif 000009
【図８】
2004048520.tif 000010
【図９】
2004048520.tif 000011
【図１０】
2004048520.tif 000012