(57)【要約】【課題】  ネットワークの本来の機能を犠牲にすることなく、通信セキュリティの保護を強化する。【解決手段】  端末が接続することのできるネットワーク上のネットワーク接続点は、端末に関連付けられたセキュリティポリシーを有する。このセキュリティポリシーに従って、ネットワークと端末との間における通信が制御される。セキュリティポリシーは、端末から取得した個人フィルタ、サービスポリシーサーバから取得したサービスフィルタ、ドメインポリシーサーバから取得したドメインフィルタの少なくともいずれか一により構成される。【選択図】      図１
2004185622.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク接続点を含むネットワークと、
前記ネットワーク接続点を介して前記ネットワークと通信を行う端末とを有し、
前記ネットワーク接続点は、前記端末に関するセキュリティポリシーを有しており、前記ネットワークと前記端末との間の通信を前記セキュリティポリシーに従って制御する
ことを特徴とするネットワークシステム。
【請求項２】
端末が接続することのできるネットワーク接続点を有するネットワークにおける通信のセキュリティを保護する方法であって、
サービスポリシーサーバから前記ネットワーク接続点へサービスフィルタを送信するステップと、
ドメインポリシーサーバから前記ネットワーク接続点へドメインフィルタを送信するステップと、
前記端末から前記ネットワーク接続点へ個人フィルタを送信するステップと、
前記サービスフィルタ、前記ドメインフィルタ、および前記個人フィルタを統合して統合フィルタテーブルを生成するステップと、
前記ネットワーク接続点において、前記統合フィルタテーブルに従って、前記ネットワークと前記端末との間における通信トラフィックに対しフィルタ処理を行うステップと
を有することを特徴とする通信セキュリティ保護方法。
【請求項３】
第１のネットワーク接続点および第２のネットワーク接続点を有するネットワークにおける通信のセキュリティを保護する方法であって、
端末から前記第１のネットワーク接続点へ個人フィルタを送信するステップと、
前記第１のネットワーク接続点から前記第２の接続点へ前記個人フィルタを転送するステップと、
前記第２のネットワーク接続点において、前記個人フィルタに従って、前記ネットワークと前記端末との間における通信トラフィックに対しフィルタ処理を行うステップと
を有することを特徴とする通信セキュリティ保護方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はネットワーク・ファイアウォール装置に関するものであって、特に、ネットワーク接続点に設けられるファイアウォール装置に階層的アクセスフィルタ機能を提供する方法およびシステムに関する。
【背景技術】
【０００２】
ネットワークファイアウォールとは、ユーザおよびネットワーク自体を不正アクセスや悪意のある攻撃等から守るためのアクセス制御システムのことである。従来のファイアウォールはネットワークのゲートウェイに実装され、ゲートウェイを通過するトラフィックをセキュリティポリシーに従ってフィルタリング処理を行う。従来は、ファイアウォールの導入により、ネットワークをファイアウォールの内部と外部とに分けている。ここで、一般的に内部トラフィックといえば、内部ネットワークに接続されたユーザの間における通信のことを指す。この内部トラフィックはファイアウォールを通過することができないので、セキュリティポリシーが及ばない。従って、従来のファイアウォールでは、ファイアウォールの内側のシステムを守ることはできない。従来のファイアワールがしばしば境界ファイアウォールと呼ばれるのは、このような理由による。
【０００３】
今日においては、多数のネットワークにアクセスするユーザも多い。例えば、通信端末を携帯して、自宅のネットワーク、社内ネットワーク、空港のネットワーク、インタ−ネットカフェのネットワーク等に接続することが一般的に行われている。中には、悪意を持ってインターネットカフェのネットワークに端末を接続するユーザもいる。従来のファイアウォールはファイアウォールの内側のユーザは信頼がおけるという仮定の下に設計されていたが、上記のような状況を鑑みれば、この仮定はもはや通用しなくなっていると言うべきである。
【０００４】
従来のファイアウォールにおいては、ネットワークゲートウェイのようなネットワークの中心となる装置において、ネットワーク管理者がセキュリティポリシーの定義および実行を行っている。すなわち、ユーザが異ればアクセス設定や要求等が異なり得るにもかかわらず、ユーザには使用している端末においてどのトラフィックが有効か無効かを決定する権限は与えられていない。このようなネットワーク管理者が決定するネットワークに一律に適用されるセキュリティポリシーでは、ユーザごとの要求に答えることはできない。
【０００５】
例えば、企業内ネットワークにおいては、いわゆるエンタプライズゲートウェイにおいてエンタープライズファイアウォールが実装されるが、ユーザが自分の端末の接続先をその企業内ネットワークから他のネットワークへ変更する場合、そのユーザのセキュリティは全く保護されない。更に、企業内ファイアウォールのセキュリティポリシーは、仮想プライベートネットワーク（ＶＰＮ）等がある場合を除き、ファイアウォールの外部から内部へのアクセスを遮断する。
【０００６】
このような背景の下、端末あるいはネットワークインタフェースカード毎のセキュリティを考慮に入れた、いわゆる分散ファイアウォール技術が提案されている。この分散ファイアウォール技術は、基本的には、各端末の周辺にファイアウォールを設けることによって実行される。このようにすれば、共通のネットワークに接続しているユーザのセキュリティの保護を一応は図ることはできる。
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかしながら、分散ファイアウォール技術には、以下に示す解決できない問題がある。第１は、不正なパケットはどこかの端末に到達するまでは破棄されないため、特に無線ネットワークにおいて貴重なネットワーク帯域が無駄に消費される、という問題である。第２は、分散ファイアウォールの制御ではファイアウォールの制御は各端末に依存せざるを得ない、という問題である。第３は、ネットワーク使用料の徴収にあたり、端末ユーザの申告に基づいて行わなければならない、という問題である。
【０００８】
本発明は、以上説明した事情に鑑みてなされたものであって、ネットワークの本来の機能を犠牲にすることなく、通信セキュリティの保護を強化することを目的とする。
【課題を解決するための手段】
【０００９】
本発明に係るネットワークシステムは、ネットワークへのアクセスを提供するためのネットワーク接続点を有するネットワーク、およびネットワーク接続点に接続された端末を含む。ネットワーク接続点は、端末に関連付けられたセキュリティポリシーを有し、ネットワークと端末との間の通信をセキュリティーポリシーに従って制御する。
【００１０】
端末は、個人フィルタをネットワーク接続点に送信してもよい。ネットワーク接続点は個人フィルタをセキュリティポリシーに組み込んでもよい。個人フィルタは、端末ユーザによって定義されるものであってもよいし、あるいはデフォルト状態においてはネットワーク管理者によって定義されていてもよい。
【００１１】
また、前記ネットワークシステムは、ネットワークに接続されたドメインポリシーサーバを含んでいてもよい。この場合、ドメインポリシーサーバをドメインフィルタを備えて構成し、ドメインポリシーサーバはこのドメインフィルタをネットワーク接続点に送信し、ネットワーク接続点はこのドメインフィルタをセキュリティポリシーに組み込んでもよい。あるいは、ネットワーク接続点をドメインフィルタを備えて構成し、このネットワーク接続点がドメインフィルタをセキュリティポリシーに組み込むこととしてもよい。
【００１２】
また、前記ネットワークシステムは、ネットワークに接続されたサービスポリシーサーバを含んでいてもよい。サービスポリシーサーバは、サービスフィルタを備えていてもよい。この場合において、サービスポリシーサーバはサービスフィルタをネットワーク接続点に送信し、ネットワーク接続点はサービスフィルタをセキュリティポリシーに組み込んでもよい。
【００１３】
本発明はまた、ネットワークにおいて通信のセキュリティを確保する方法を提供する。本発明に係る方法は、サービスフィルタをサービスポリシ−サーバからネットワーク接続点へ送信するステップと、個人フィルタを端末からネットワーク接続点へ送信するステップと、サービスフィルタおよび個人フィルタを統合して統合フィルタテーブルを生成するステップと、ネットワーク接続点において統合フィルタテーブルに従って通信トラフィックを制御するステップと、を備える。
【００１４】
また、好ましい態様において、本発明に係る方法は、個人フィルタを端末から第１のネットワーク接続点へ送信するステップと、個人フィルタを第１のネットワーク接続点から第２のネットワーク接続点へ送信するステップと、第２のネットワーク接続点において個人フィルタに従って通信トラフィックをフィルタリングするステップとを備える。
【発明の効果】
【００１５】
本発明によれば、ネットワークの本来の機能を犠牲にすることなく、通信セキュリティの保護が強化される。
【発明を実施するための最良の形態】
【００１６】
本発明は、ネットワークのセキュリティを確保するためのシステムを提供する。本システムにおいては、端末がネットワークにアクセスする地点（以下、ネットワーク接続点；ＮＥＰという）において、パケットをフィルタリングする。パケットのフィルタリングは、セキュリティポリシーに従って行われる。セキュリティポリシーはその一部を端末で定義し、その他の一部を一または複数のネットワーク管理者が定義することができる。なお、ここでいう「パケット」とは、データパケット（データグラム）、その他ネットワークを流れるメッセージのことを指す。また、セキュリティポリシーに従ってフィルタリングされるパケットは、端末宛のものであってもよいし、逆に端末から送出されるものであってもよい。本発明の方法は、どのようなＮＥＰにも仮想的に実装することができる。
【００１７】
ＮＥＰにおいてパケットをフィルタリングするため、ネットワークから送信された全ての不正なパケットから端末を保護することができる。更に、不正なパケットはＮＥＰと端末との間を流れないため、パケットネットワーク帯域の消費を最小限にすることができる。ネットワークが、ＮＥＰと端末との間の接続が無線接続やダイヤルアップ接続等の限られた貴重な帯域を利用する接続形態を有する場合には、最終ホップにおける帯域消費の減少は特に重要となる。
【００１８】
＜フィルタ構成＞
本発明のシステムにおいては、セキュリティポリシーに従ってパケットがフィルタリングされる。具体的には、セキュリティポリシーは複数のフィルタの集合体として実装され得る。これらのフィルタは、一または複数のフィルタテーブルに格納される。各フィルタは、送信元アドレス、相手先アドレス、送信元ポート、相手先ポート、プロトコル、パケット寿命、および処理内容の計７つの要素から構成される。あるいは、各フィルタは７つの要素全てではなく、その一部のみを有していてもよい。例えば、送信元アドレスのみ、または相手先アドレスのみを有していてもよい。フィルタテーブルに格納されているフィルタは、ＸＭＬ（extended markup language）等の汎用の高級言語によって指定することができる。このフィルタテーブルの一例を表１に示す。
【００１９】
【表１】
2004185622.tif 000003
【００２０】
表１の各行は、それぞれのフィルタに対応している。第１列はパケットの送信元アドレスを表す。第２列はパケットの送信先アドレスを表す。送信元アドレスおよび送信先アドレスは、例えば、ＩＰアドレス、ＭＡＣ（media access control）アドレス、あるいは電話番号等であるが、端末を特定できるものであれば何でもよい。
【００２１】
第３列はパケットの送信元ポートを表す。第４列はパケットの送信先ポートを表す。送信元ポートおよび送信先ポートは、例えば、ＴＣＰ（transmission control protocol）、ＵＤＰ（user datagram protocol）、ＳＡＰ（service access port）等のポート番号である。ポートの種類は上述したものに限らず、端末の接続場所を特定するためのポートであればどのようのものであっても構わない。なお、上述のＳＡＰポートは、ＴＣＰやＵＤＰとは異なる種類の、階層の高い論理ポートである。ＳＡＰは、一または複数のＴＣＰポートまたはＵＤＰポート、あるいはビデオ・オン・デマンド等のデータ通信サービスを特定するためのＩＰフロー上にマッピングされることが可能であるため、ＳＡＰを利用すれば複数のポートを用いた統合的な通信を行うことができる。
【００２２】
第５列は、フィルタ処理の対象となるプロトコルを表わす。プロトコルの種類としては、例えば、ＩＰ（internet protocol）プロトコル、イーサネット、ＮｅｔＢＩＯＳ（network basic input output system）、ＮｅｔＢＥＵＩ（NetBIOS Extended User Interface）ＩＰＸ（Internet Packet Exchange）、ＡｐｐｌｅＴａｌｋ、ＤＥＣＮｅｔ等が適用可能である。あるいは、ＧＰＲＳ（general packet radio service）、ＧＳＭ（global system for mobile communications）、ＴＤＭＡ（time division multiple access）方式やＣＤＭＡ（code division multiple access）方式で用いられるデジタル移動通信用のプロトコルであってもよい。
【００２３】
第６列は、フィルタの有効期限（lifetime）を表している。各フィルタは、無期限の有効期限、デフォルトで設定された有効期限、および指定された有効期限のいずれかを持つ。有効期限が無期限の場合、フィルタの解除処理が行われるまでそのフィルタは作用し続けることを意味する。無期限を指定するには、例えば、負の値をもって行うことができる。デフォルトでの有効期限は、有効期限未指定の新たなフィルタが導入された場合に設定されるものである。この場合における有効期限の指定は、ユーザまたはネットワーク管理者のどちらが行ってもよい。
【００２４】
第７列は、上述した第１〜第５列に規定される条件を満たすパケットに対して行うフィルタ処理の内容を表す。具体的には、「許可」、「拒否」、「拒絶」、または「保留」である。処理内容が「許可」である場合、上記条件を満たす全てのパケットを通過させる。「拒否」である場合、上記条件を満たす全てのパケットを通過させず、自動的に（すなわちユーザに何も通知することなく）、破棄する。「拒絶」である場合も、上記条件を満たす全てのパケットを通過させないことに変わりはないが、ユーザに対しパケットが拒絶された旨を通知する点において相違する。
【００２５】
また、「保留」とは、予期せぬパケット（未知の通信トラフィック）または所定の理由により特別の処理の行わなければいけないパケットに対して行う処理である。フィルタに「保留」が設定されている場合、送信元アドレスと送信先アドレスと当該パケットのポートとを含むアクセス通知メッセージがＮＥＰに送信される。このアクセス通知メッセージは、ＮＥＰから、当該フィルタの所有者に関連付けられたポリシーサーバおよび端末のうち少なくともいずれか一方に送信される。ここで、例えば、端末はユーザと関連付けられ、ドメインポリシーサーバはドメインの管理者と関連付けられている。
【００２６】
ところで、パケットには、「保留」属性を持つ２つ以上のフィルタの条件に適合するものが存在し得る。このようなパケットに関しては、関連する全てのポリシーサーバまたは端末に対しアクセス通知メッセージを送信する。このようなパケットは、全てのポリシーサーバまたは端末が当該パケットの通過を許可するまで遮断される。ここで、ポリシーサーバは、アクセス通知メッセージに対し自動的に応答する構成であってもよい。これに対し端末は、ユーザ識別に基いて当該パケットに対し許可または拒否するためのフィルタを自動的に生成する。このフィルタは個人フィルタテーブルに格納される。あるいは、同じ条件を含むアクセス通知メッセージを再度受け取った場合に自動的に応答するように、応答メッセージを端末に格納することとしてもよい。
【００２７】
端末のセキュリティポリシーは、その一部を当該端末のユーザが決定し、残りのネットワーク管理者が決定する。更に、セキュリティポリシーは、複数のユーザと複数の管理者とによって決定されてもよい。また、本実施例形態においては、一つの端末に関し、３つ、４つ、５つ等の複数のエンティティ（ネットワーク上の構成要素）によって生成された複数のフィルタが設定される。
【００２８】
以下の図に示すように、３つのエンティティ、すなわち端末ユーザ、ネットワークサービスプロバイダ、およびドメイン管理者は、各々フィルタを有している。ネットワークサービスプロバイダは、ユーザにネットワーク上のサービスへのアクセスを有料で提供する。ドメイン管理者は、ユーザにネットワークへのアクセスを提供する。この際、ドメイン管理者は、ネットワークサービスプロバイダを通じて間接的に料金を徴収してもよいし、ユーザから直接徴収してもよい。
【００２９】
フィルタの所有者は当該フィルタを変更若しくは削除することができることとしてもよい。更に、フィルタの所有者は階層的に構成されていてもよい。この場合、高いレベルの許可をもつフィルタの所有者は、低いレベルの許可をもつ所有者のフィルタに対し変更や削除を行うことができる。一例として、ユーザよりもネットワークサービスプロバイダの方が、高いレベルの許可が与えられることが考えられる。
【００３０】
以下では、ユーザによって生成されたフィルタの集合体を個人フィルタテーブルと称する。この個人フィルタテーブルには、当該ユーザによって指定された所望の通信保護を実現させるためのフィルタが含まれる。フィルタの一例としては、送信されてきた全ての「ｐｉｎｇ」パケットを遮断するフィルタが挙げられる。そして、この個人フィルタテーブルは端末に格納されていてもよい。ユーザがフィルタの生成、削除、変更を行う際には２段階の処理が行われる。第１に、端末は、自端末に格納されている個人フィルタテーブルのコピーを更新する。第２に、端末は、ＮＥＰに格納されている個人フィルタテーブルのコピーを更新する。具体的には、端末は更新メッセージをＮＥＰに送信し、続いてＮＥＰは当該ＮＥＰに格納されている個人フィルタテーブルのコピーを更新する。
【００３１】
ドメイン管理者によって生成されるフィルタの集合をドメインフィルタテーブルと称する。このドメインフィルタテーブルは、ドメイン管理者によって指定されるフィルタから構成され、当該ドメインに属する全ての端末に係る通信の保護を目的としている。例えば、ドメインフィルタテーブルには、トロイの木馬タイプの「Back Orifice」のデフォルトでのリスニングポートである「３１３３７」の送信先ポート番号のパケットを全て遮断する機能を有するフィルタが含まれている。
【００３２】
ネットワークサービスプロバイダによって生成されるフィルタの集合をサービスフィルタテーブルと称する。サービスフィルタテーブルは、ネットワークサービスプロバイダによって、ユーザとネットワークサービスプロバイダとの間で結ばれたサービス契約に基づいて指定されたフィルタを有する。例えば、電子メールは利用できるがＷＷＷ（World Wide Web）サイトへのアクセスは利用できないという契約の場合は、サービスフィルタテーブルには、ユーザ端末から送信された、相手先ポート番号８０番を指定するパケットを遮断するフィルタが含まれる。
【００３３】
一つの端末に係る全てのフィルタの集合体を統合フィルタテーブルと称する。この統合フィルタテーブルは、上述した３つのフィルタ、すなわちサービスフィルタテーブルに含まれているフィルタ、ドメインフィルタテーブルに含まれているフィルタ、および個人フィルタテーブルに含まれているフィルタから構成される。統合フィルタテーブルの一例を表２に示す。
【００３４】
【表２】
2004185622.tif 000004
【００３５】
表２に示すように、統合フィルタテーブルはフィルタの集合体であって、各フィルタの所有者が示されている。表２の第１行は、端末のユーザが所有しているフィルタを表す。第２列は、当該ユーザと契約しているサービスプロバイダが所有するフィルタを表し、第３および第４列は、ドメイン管理者が所有するフィルタを表す。統合フィルタテーブルは、フィルタの所有者を表す第１列を除けば、表１に示したフィルタテーブルと同様の構成である。
【００３６】
＜ネットワーク構成＞
図１は、ネットワークシステム１００の構成を示すブロック図である。ネットワークシステム１００は、一または複数の端末が他の一または複数の端末と通信を行うコンピュータ環境であればどのようなものであってもよい。図１に示すネットワークシステム１００の構成は一例に過ぎない。ネットワークシステム１００には、端末１０２、ネットワーク１０６、ホームドメイン１１０、第１フォーリンドメイン１２０、第２フォーリンドメイン１３０、および相手端末１０４が含まれている。ここで、図ではネットワークシステム１００の構成要素は直接的に接続されているかのように描かれているが、これは単に通信路を分かりやすく描くためであって、構成要素が間接的に接続されていてもよいし地域的に離れていてもよいことは言うまでもない。
【００３７】
端末１０２は、相手端末１０４と第１フォーリンドメイン１２０およびネットワーク１０６を介して通信を行う。なお、端末１０２と相手端末１０４との間では継続中の通信があってもよい。ネットワーク１０６は、例えば、インターネット、ＷＡＮ（wide area network）、またはＬＡＮ（local area network）等である。ネットワーク１０６が基幹ネットワークであるのに対し、ドメイン１２０および１３０はアクセスネットワークである。ドメイン１２０および１３０は、例えば、８０２．１１ａ／ｂ規格のネットワーク、ＬＡＮ、ＷＡＮ、衛星ネットワーク、Ｂｌｕｅｔｏｏｔｈ（登録商標）等である。
【００３８】
端末１０２および相手端末１０４は、デスクトップコンピュータ、サーバ、ラップトップコンピュータ、ＰＤＡ（personal digital assistants）、ポケットＰＣ、携帯電話機等の通信機器である。また、クライアント端末、サーバ、ピア・ツー・ピア通信端末のいずれかを問わない。ここで、ピア・ツー・ピア通信にあっては、ＶｏＩＰ、ビデオ会議システム、テキストメッセージ交換、ファイル共有、ビデオ・オーディオストリーミング送受信等の一対一の通信が含まれる。また、端末１０２および相手端末１０４間の接続形態は、有線接続・無線接続を問わない。なお、端末１０２および１０４は、動作指示を記憶するためのメモリを有する。
【００３９】
ホームドメイン１１０は、端末１０２に対しネットワークサービスを提供するネットワークサービスプロバイダによって運営されるドメインである。このドメイン１１０は、端末１０２と対応付けられていることからホームドメイン１１０と称される。このホームドメイン１１０は、ＡＡＡ （認証（authentication）、許可（authorization）、アカウンティング（accounting））サーバ１１４、ルータ１１２、およびサービスポリシーサーバ１１６を含む。
【００４０】
ＡＡＡサーバ１１４は、プログラムコードや動作命令を記憶するためのメモリを有する。ＡＡＡサーバ１１４は、端末１０２に対する「ホーム」ＡＡＡサーバとなる。ＡＡＡサーバ１１４は、端末１０２が他のネットワークドメインにアクセスする権限を有するか否かについての認証を行う。ＡＡＡサーバ１１４は、端末１０２の認証、許可、料金に関する情報を有する認証サーバであってもよい。すなわち、端末１０２の信頼性および同一性は、ＡＡＡサーバ１１４によって検証される。更に、端末１０２にネットワーク等のリソースにアクセスする権限が付与されているか否かはＡＡＡサーバ１１４によって判断される。
【００４１】
端末１０２のアクセス権限についての認証が完了すると、ＡＡＡサーバ１１４は、端末１０２が使用するリソースを決定する。例えば、ＡＡＡサーバ１１４は、端末１０２によるネットワークアクセスに関する通信量を算定する。端末１０２が使用するリソースに関する情報は、外部リソースからＡＡＡサーバ１１４に提供されてもよい。
【００４２】
ルータ１１２はパケットのルーティングを行う。具体的には、ルータ１１２は、受信したパケットの転送先となるネットワークノードを決定する。ここでネットワークノードとは、端末、ゲートウェイ、ブリッジ、他のルータ等である。ルータ１１２により、他のサブネットワークまたはドメインに接続し、ホームドメイン１１０と他のドメインとの間でパケットのルーティングを行うことができる。
【００４３】
サービスポリシーサーバ１１６は、ホームドメイン１１０のセキュリティポリシーを格納する。これに加えて、ホームドメイン１１０に関連付けられた各端末のサービスフィルタテーブルを格納する。サービスポリシーサーバ１１６は、ＮＥＰからの要求に対する応答処理を行う。例えば、端末がＮＥＰに対して自端末の認証を要求すると、当該ＮＥＰは当該端末のサービスフィルタテーブルをサービスポリシーサーバ１１６に対して要求する。なお、サービスポリシーサーバ１１６は、ＡＡＡサーバ１１４に組み込まれていてもいいし、あるいはサービスポリシーサーバ１１６と同じ場所にあってもよい。
【００４４】
ドメイン１２０および１３０は、各々サービスプロバイダによって運営されるドメインである。図１に示すように、端末１０２は、最初は元ドメイン１２０のＮＥＰ１２２に関連付けられているが、その後、新ドメイン１３０のＮＥＰ１３２に関連付けられるものとする。「元」および「新」という語は、一つのドメイン（元ドメイン）から他のドメイン（新ドメイン）へ端末１０２が移動する際にドメインを両ドメインを区別するために用いられる。端末１０２がホームドメイン１１０から元のホームドメイン１２０へ移動する場合、さらには任意の２つのドメイン間を移動する場合も同様である。
【００４５】
ドメイン１２０および１３０は、当初は、端末１０２に関する情報を持っていなくともよい。この場合は、ドメイン１２０および１３０は、ＡＡＡ サーバ１１４を利用して端末１０２の認証を行った後、ネットワーク１０６へのアクセスを許可する。端末が使用するネットワークリソースは、ＡＡＡ サーバ１１４に代わってドメイン１２０および１３０が決定してもよい。ＮＥＰ１２２または１３２の所有者は、使用帯域または使用時間ではなく、使用されるサービスアクセスポート（ＳＡＰ）に基づいてネットワーク接続料金を課してもよい。また、料金の詳細は各ＳＡＰによって異なっていてもよい。
【００４６】
ルータ１２４および１３４は、ルータ１１２と同様な方法でパケットのルーティングを行う。同様に、ドメインポリシーサーバ１２６および１３６は、それぞれドメイン１２０および１３０に対応するセキュリティポリシーを格納する。ＮＥＰ１２２および１３２は、各々仮想的なネットワーク接続点であってもよい。例えば、ＮＥＰ１２２および１３２は、無線ＬＡＮ（ＷＬＡＮ）におけるアクセスポイント、イーサーネット(登録商標）におけるハブ、あるいはインターネットサービスプロバイダ（ＩＳＰ）、ビジネスエンタープライズ、その他のダイアルアップネットワークにおけるＰＰＰ（point-to-point protocol）サーバである。ＮＥＰの機能モジュールを図２に示す。
【００４７】
図２は、ＮＥＰ１２２、１３２、および端末１０２の機能モジュールを示したブロック図である。端末１０２は、ＧＵＩ（graphical user interface）２２６、アクセス通知受信部２２２、および端末規則管理部２２４の、３つの主要な機能モジュールから構成される。ユーザは、ＧＵＩ２２６を用いて対話的に、所定のアクセスに対する許可・拒否を規定した所望の個人フィルタを設定することができる。ユーザは、個人フィルタテーブルに格納されているフィルタの内容の確認および変更を行うことができる。
【００４８】
また、個人フィルタテーブルに格納されているフィルタの有効期限が間もなく切れるというときに、ＧＵＩ２２６を介して、ユーザにその旨を通知することとしてもよい。さらに、このフィルタの有効期限を更新するか否かをユーザに尋ねてもよい。フィルタの有効期限が切れた後ユーザから何の反応もない場合、またはユーザがフィルタの有効期限の更新を望まない場合、フィルタテーブル更新メッセージが端末１０２からＮＥＰ１２２または１３２に送信され、当該フィルタが削除される。
【００４９】
アクセス通知受信部２２２は、現在端末が接続しているＮＥＰ（１２２または１３２）からのアクセス通知メッセージを待つ。アクセス通知受信部２２２は、アクセス通知メッセージを受信すると、ＧＵＩ２２６を用いて、受信した予期せぬ通信トラフィックに対する処理として、許可、拒否、拒絶のいずれを行うべきかをユーザに訊ねる。端末規則管理部２２４は、個人フィルタテーブル内のフィルタの維持および更新を行う。個人フィルタテーブルは、端末１０２毎ではなくユーザ毎に設定される。
【００５０】
同じく図２に示すように、ＮＥＰ１２２および１３２の各々は、４つの主要な機能要素を有している。すなわち、アクセス通知モジュール２０２、ＮＥＰ規則管理部２０４、ＡＡＡクライアント２０６、およびパケットフィルタ／カウンタ部２０８である。アクセス通知モジュール２０２は端末１０２へのあらゆるアクセスを検出し、その旨をフィルタの所有者に通知する。例えば、「保留」が設定されたフィルタの条件を満たすパケットまたは予期せぬパケットがＮＥＰ１２２または１３２のネットワークドライバ２１０にて受信された場合である。この場合、アクセス通知モジュール２０２は、アクセス通知メッセージをフィルタの所有者、端末１０２、あるいはその他好適なエンティティへ送信し、端末１０２からの応答に応じて端末１０２へのアクセスに対して許可、拒否、または拒絶の処理を行う。
【００５１】
ＡＡＡクライアントサーバ２０６は、ＡＡＡサーバ１１４と通信を行い、端末１０２の認証および端末１０２に対するネットワーク１０６へのアクセス権限の付与を行う。加えて、ＡＡＡクライアントサーバ２０６は、端末１０２に係るドメインフィルタテーブルおよびサービスフィルタテーブルを、それぞれドメインポリシーサーバ１２６（または１３６）およびサービスポリシーサーバ１１６からダウンロードする。上記のドメインフィルタテーブルとして、全ての端末１０２に共通するエンティティを含んだドメインフィルタテーブルを一つ設ける構成であってもよい。この場合、所定のネットワーク管理者が設定することになる。また、ＡＡＡクライアントサーバ２０６は、課金を行うために、端末１０２が使用するネットワークリソースに関する情報をＡＡＡサーバ１１４に逐次通知してもよい。
【００５２】
端末規則管理部２２４は、端末１０２の個人フィルタテーブルをダウンロードする。端末規則管理部２２４は、更に、ドメインフィルタテーブルおよびサービスフィルタテーブルをＡＡＡクライアント２０６から受信する。端末規則管理部２２４は、更に個人フィルタテーブル、サービスフィルタテーブル、およびドメインフィルタテーブルを端末１０２の統合フィルタテーブルに組み込む。
【００５３】
パケットフィルタ／カウンタ部２０８は、統合フィルタテーブル内のフィルタに従ってパケットのフィルタリングを行う。パケットフィルタ／カウンタ部２０８は、ユーザが所有するフィルタよりもネットワーク管理者が所有するフィルタを優先して適用する。加えて、ホームドメイン１１０の管理者が所有するフィルタをドメイン１２０および１３０の管理者が所有するフィルタに優先して適用する。さらに、パケットフィルタ／カウンタ部２０８は、課金を行うため、パケットをカウントし、端末１０２が使用するネットワークリソースを決定する。
【００５４】
ＮＥＰ１２２および１３２の各々は、フィルタを、それぞれＮＥＰ１２２または１３２のオペレーティングシステム上で実行されるファイアウォールツールが解釈可能な言語に翻訳する。例えば、ＮＥＰ１２２または１３２のオペレーティングシステムはＦｒｅｅＢＳＤまたはＬｉｎｕｘであって、それぞれＩＰＦＷおよびＩＰＣＨＡＩＮを備えている。このようなシステムにおいて、論理構造としてのフィルタを実際のネットワークの物理的接続形態に適合するように変換するのである。
【００５５】
図３は、サービスポリシーサーバ１１６、ドメインポリシーサーバ１２６、端末規則管理部２２４、およびＮＥＰ規則管理部２０４の間における相互作用を表したブロック図である。まず、端末１０２はが元ドメイン１２０のＮＥＰ１２２に接続すると、ＮＥＰ１２２は端末１０２のユーザ用の統合フィルタテーブル３３２を生成する。なお、統合フィルタテーブル３３２の生成および各種フィルタテーブルのダウンロードの順番は問わない。
【００５６】
まず、ＮＥＰ１２２のＮＥＰ規則管理部２０４は、サービスフィルタテーブル３０２をサービスポリシーサーバ１１６からダウンロードする。次に、ＮＥＰ規則管理部２０４はドメインポリシーサーバ１２６からドメインフィルタテーブル３１２をダウンロードする。ここで、ドメインフィルタテーブル３１２は必ずしもユーザ毎に設定されているとは限らないため、ＮＥＰ規則管理部２０４はドメインフィルタテーブル３１２のコピーを格納しておくのが好ましい。あるいは、ドメインフィルタテーブル３１２はＮＥＰ１２２にのみ格納されていてもよい。この場合はドメインポリシーサーバ１２６を設ける必要はない。最後に、ＮＥＰ規則管理部２０４は、当該ユーザの個人フィルタテーブル３２２を端末１０２の端末規則管理部２２４からダウンロードする。
【００５７】
再び図１に戻り、端末１０２が接続を元ドメイン１２０から新ドメイン１３０に変更する場合を考える。この変更に伴って、ＮＥＰ１２２に格納される個人フィルタテーブル３２２およびサービスフィルタテーブル３０２は、同図に示すように、ＮＥＰ１３２に直接転送される。この転送によって、端末１０２とＮＥＰ１３２との間の貴重な帯域が奪われることはない。一方ドメインフィルタテーブルに関しては、上述したようにユーザ毎に生成されるわけではないので、ＮＥＰ１３２は既に当該ドメインフィルタテーブルを有している場合がある。このような場合は、ドメインフィルタテーブル３１２を転送する必要はない。統合フィルタテーブル３３２内の全てのフィルタが取得できればよい。なお、サービスフィルタテーブル３０２に関しては、サービスポリシーサーバ１１６から取得するようにしてもよい。
【００５８】
＜通信メッセージ構成＞
以下、フィルタテーブルの定義および転送の際に行う通信メッセージの好適な態様について説明する。ただし、以下の態様はあくまで例示であり、本発明はこれに限定されるものではない。なお、通信メッセージが第三者によって改変または盗聴されることのないよう、好適な暗号化技術を用いるのが好ましい。
【００５９】
端末１０２とＮＥＰ１２２との間、および元ＮＥＰ１２２と新ＮＥＰ１３２との間におけるフィルタテーブルの転送のために、６つの通信メッセージの授受が行われる。以下に、各通信メッセージの機能およびフォーマットを詳説する。ここでは、各メッセージはＵＤＰデータグラムを用い、また、転送およびアップロードの間は暗号化によりセキュリティが確保されているものとする。ＮＥＰ１２２および１３２、端末１０２は、各通信メッセージを受信するとその信頼性をチェックする。
【００６０】
第１のメッセージはフィルタテーブルアップロード要求メッセージである。このメッセージのフォーマットを表３に示す。後述するように、表３の第４番目のフィールドは上記６つの通信メッセージに共通するものである。
【００６１】
【表３】
2004185622.tif 000005
【００６２】
第１番目のフィールドにはＩＰヘッダが格納される。第２番目のフィールドはＵＤＰヘッダが格納される。第３番目のフィールドには２バイトの情報として表されるコマンドが格納される。これら３つのフィールドは、上記６つのメッセージの全てが有している項目である。第４番目のフィールド（ＳＥＱ）には、２バイトで表された、通信シーケンスにおける当該メッセージのシーケンス番号が格納される。
【００６３】
このフィルタテーブルアップロード要求メッセージにおいては、ＣＭＤフィールドに格納される値は「０」または「１」である。「１」が格納されている場合、ＮＥＰ１３２は端末１０２から個人フィルタテーブル３２２を取得してアップロードすべき旨を規定する。これに対し、「０」が格納されている場合、ＮＥＰ１３２は端末１０２またはＮＥＰ１２２のいずれかから個人フィルタテーブル３２２を取得しアップロードすべき旨を規定する。
【００６４】
まず、端末１０２は、有線若しくは無線によりＮＥＰと物理接続を行う。このとき、端末１０２がＮＥＰ１２２を介してネットワーク１０６にアクセスする権限があるか否かに関する認証を行ってもよい。ＮＥＰ１２２は、個人フィルタテーブル３２２を取得するために、フィルタテーブルアップロード要求メッセージを端末１０２に送信する。この取得が行われるのは認証中または認証後のいずれでもよい。
【００６５】
第２のメッセージは、表４に示すフィルタテーブル更新メッセージである。端末１０２およびＮＥＰ１２２は、まず、セキュリティ・アソシエーション（相互認証）を確立する。その後、端末１０２がフィルタテーブルアップロード要求メッセージをＮＥＰ規則管理部２０４から受信すると、端末１０２は、フィルタテーブル更新メッセージを送信して、個人フィルタテーブル３２２のＮＥＰ１２２へのアップロードまたは更新を行う。端末１０２は、後述するＮＥＰ１２２からのフィルタテーブル更新応答メッセージを待つ。なお、フィルタテーブル更新応答メッセージを受信しない場合は、受信するまでアップロード作業を所定の回数だけ繰り返すこととしてもよい。
【００６６】
【表４】
2004185622.tif 000006
【００６７】
ＳＥＱフィールドには、２バイトで表されるフィルタテーブル更新メッセージのシーケンス番号が格納される。フィルタテーブルフィールドには、表１において説明したフィルタテーブルと同様の構造をもつフィルタが格納される。このフィルタテーブル更新メッセージにおいては、ＣＭＤフィールドの値は「２」、「３」、「４」、「５」のいずれかの値をとる。
【００６８】
ＣＭＤフィールドの値が「２」の場合は、「アップロード」コマンドを意味する。この取得コマンドは、ＮＥＰ１２２に対し、上記フィルタテーブルフィールドに格納されているフィルタを抽出しアップロードせよという指示を意味する。個人フィルタテーブル３２２が既にＮＥＰ１２２に存在する場合は、ＮＥＰ１２２は個人フィルタテーブル３２２を丸ごと当該メッセージに含まれるフィルタに置き換える。
【００６９】
ＣＭＤフィールドの値が「３」である場合は「追加」コマンドを意味する。追加コマンドは、ＮＥＰ１２２に対し、当該メッセージに含まれるフィルタテーブルフィールドに格納されているフィルタを、ＮＥＰ１２２が有する個人フィルタテーブル３２２に加えよ、という命令である。フィルタ言語の規則が順序に敏感である場合は、ＮＥＰ１２２の有する個人フィルタテーブル３２２の先頭に新たなフィルタを加える。
【００７０】
ＣＭＤフィールドの値が「４」の場合は、「削除」コマンドを意味する。削除コマンドとは、ＮＥＰ１２２に対し当該メッセージのフィルタテーブルフィールドに格納されるフィルタを個人フィルタテーブル３２２から削除せよ、という命令である。ＣＭＤフィールドの値が「５」の場合は、「全削除」コマンドを意味する。全削除コマンドとは、ＮＥＰ１２２に対し、ＮＥＰが有する個人フィルタテーブル３２２から全てのフィルタを削除せよ、という命令である。この全削除コマンドの場合、当該メッセージに含まれるフィルタテーブルに格納されているフィルタには無関係である。ＮＥＰ１２２が全削除コマンドを実行すると、ＮＥＰ１２２に格納されている端末１０２のステータスは「未登録」に変更される。
【００７１】
第３のメッセージは、表５に示すフィルタテーブル更新応答メッセージである。フィルタテーブル更新応答メッセージにおいては、ＣＭＤ フィールドには「６」が格納される。ステータスフィールドには、受信の失敗、成功に応じてそれぞれ「０」または「１」が格納される。ＳＥＱフィールドの値は、対応するフィルタテーブル更新メッセージからコピーされる。
【００７２】
【表５】
2004185622.tif 000007
【００７３】
具体的には、まず端末１０２に対して、ＮＥＰ１２２を介してネットワーク１０６にアクセスする権限があるか否かについて認証を行う。認証が完了すると、端末１０２に対するステータス「未登録」がＮＥＰ１２２のメモリに格納される。ステータス「未登録」は、ＮＥＰ１２２は端末１０２に係るフィルタテーブルを持っていないことを意味する。その後、ＮＥＰ１２２がフィルタテーブル更新メッセージを受信し、端末１０２に係る個人フィルタテーブル３２２またはサービスフィルタテーブル３０２をアップロードする。この後、ＮＥＰ１２２は、「取得済み」ステータスにあることを示すフィルタテーブル更新応答メッセージを、端末１０２またはサービスポリシーサーバ１１６へ適宜送信する。同様に、全削除コマンドを実行すると、端末１０２に関するステータス「未登録」がＮＥＰ１２２のメモリに格納され、後続のフィルタテーブル更新応答メッセージにステータス「未登録」が含まれることになる。
【００７４】
第４メッセージは、表６に示すフィルタテーブル再アップロードメッセージである。この場合、ＣＭＤフィールドには「７」が格納される。ＳＥＱフィールドには通信シーケンスにおける当該メッセージのシーケンス番号が格納される。ｏＮＥＰアドレスフィールドには元ＮＥＰ１２２のアドレスが格納される。
【００７５】
【表６】
2004185622.tif 000008
【００７６】
端末１０２が新ドメイン１３０に移行すると、新ＮＥＰ１３２（ｎＮＥＰ）は、上述したフィルタテーブルアップロード要求メッセージを端末１０２に送信する。端末１０２は、このメッセージの応答として、新ＮＥＰ１３２に対しフィルタテーブル再アップロードメッセージを送信する。このメッセージは、新ＮＥＰ１３２に対し、個人フィルタテーブル３２２を、端末１０２からではなく元ＮＥＰ１２２（ｏＮＥＰ）からダウンロードするよう指示するものである。これにより、ＮＥＰ１２２と１３２との間の接続をスムーズにすることができる。フィルタテーブル再アップロードメッセージを受信すると、新ＮＥＰ１３２は、フィルタテーブルアップロード要求メッセージを元ＮＥＰ１２２へ送信する。
【００７７】
第５のメッセージはフィルタテーブル転送メッセージである。フィルタテーブル転送メッセージのフォーマットは、表３に示したアップロード要求メッセージと同じである。しかしながら、ＣＭＤフィールドには「７」が格納されている点において相違する。
【００７８】
新ＮＥＰ１３２は、フィルタテーブル再アップロードメッセージを受信すると、フィルタテーブル転送メッセージを元ＮＥＰ１２２へ送信する。元ＮＥＰ１２２は、当該フィルタテーブル転送メッセージを受信すると、フィルタテーブルを転送するためにフィルタテーブル更新メッセージを新ＮＥＰ１３２へ送信する。
【００７９】
第６のメッセージは、表７に示すアクセス通知メッセージである。このアクセス通知メッセージにおいては、ＣＭＤフィールドには「８」または「９」が格納される。端末１０２が所有するフィルタが「保留」を指定している場合は、ＣＭＤフィールドの値は「９」となる。一方、ドメイン管理者（ホームドメイン管理者を含む）が所有するフィルタに「保留」が指定されている場合は、ＣＭＤフィールドは「８」となる。また、ＳＥＱフィールドには当該メッセージのシーケンス番号が格納される。
【００８０】
【表７】
2004185622.tif 000009
【００８１】
「先頭パケット」フィールドには、未知のトラフィックにおける先頭のパケットのコピーが格納される。ここで、未知のトラフィックとは、端末１０２の統合フィルタテーブル３３２に規定されたどの条件にも適合しない、あるいは「保留」処理を規定しているフィルタのフィルタリング条件に適合するパケットの集合のことである。
【００８２】
＜システムの一般的動作＞
ＮＥＰ１２２および１３２は、以下のようにして端末１０２を不正なパケットから保護する。まず、ＮＥＰ１２２および１３２は各々、端末１０２宛のパケットまたは端末１０２から送出されるパケットを受信したとする。すると、ＮＥＰ１２２および１３２は、アクセス通知メッセージを端末１０２を送信する。端末１０２、または「保留」を規定しているフィルタの他の所有者は、先頭パケットフィールドを参照して、当該トラフィックの後続のパケットについて、許可、拒否、拒絶、または「保留」のいずれかの処理を行うべきかを決定する。
【００８３】
端末１０２は、アクセス通知メッセージを受信すると、当該トラフィックに対して行うべき処理を示すフィルタテーブル更新メッセージを、ＮＥＰ１２２または１３２へ送信する。ここで、ＮＥＰが端末１０２からの応答を待っている間、ＮＥＰ１２２または１３２は当該トラフィックに係るパケットをバッファリングしてもよいし廃棄してもよい。所定の時間が経過してもなお応答が得られない場合は、ＮＥＰ１２２または１３２は当該トラフィックに係る全パケットを廃棄する。
【００８４】
図４は、端末１０２が最初にＮＥＰ１２２に接続したときに行われる統合フィルタテーブル３３２の初期化処理を示すシーケンス図である。なお、授受されるメッセージは、盗聴を防ぐために暗号化される。まずステップＳ４０２において、端末１０２およびＮＥＰ１２２の間で相互認証が行われる。ステップＳ４０４において、ＡＡＡサーバ１１４は、端末１０２がネットワーク１０６へのアクセス権限を有してるか否かについての認証を行う。端末１０２のステータスが「未登録」である場合は、ステップＳ４０６において、ＮＥＰ１２２はサービスフィルタテーブル３０２をサービスポリシーサーバ１１６からダウンロードする。ステップＳ４０８において、ＮＥＰ１２２は、ドメインフィルタテーブル３１２がＮＥＰ１２２に格納されていない場合は、ドメインポリシーサーバ１２６からドメインフィルタテーブル３１２をダウンロードする。サービスフィルタテーブル３０２およびドメインフィルタテーブル３１２のダウンロードが完了すると、ＮＥＰ１２２に格納される端末１０２のステータスは「登録済」に更新される。
【００８５】
ステップＳ４１０において、ＮＥＰ１２２はフィルタテーブルアップロード要求メッセージを端末１０２に送信する。ステップＳ４１２において、端末１０２はこれに対する応答として、フィルタテーブル更新メッセージを送信する。フィルタテーブル更新メッセージにおいて「１」が指定されている場合は、「アップロード」コマンドを表す。ステップＳ４１４において、ＮＥＰ１２２はフィルタテーブル更新応答メッセージを端末１０２に送信する。
【００８６】
図５は、端末１０２がドメイン１２０から１３０に移行したときに、元ＮＥＰ１２２から新ＮＥＰ１３２へ一または複数のフィルタテーブルを転送する際に行われる処理を示したシーケンス図である。ステップＳ５０２〜Ｓ５０８における新ＮＥＰ１３２と端末１０２との間の通信内容は、ステップＳ４０２〜Ｓ４０８におけるものと同様である。続いて、ステップＳ５１０において、新ＮＥＰ１３２と元ＮＥＰ１２２との間で未だ相互認証が行われていない場合は、相互認証を行う。相互認証に失敗した場合は、新ＮＥＰ１３２は、ＣＭＤフィールドを「１」に設定したフィルタテーブルアップロード要求メッセージを送信して個人フィルタテーブル３２２を端末１０２からダウンロードする。さらに、新ＮＥＰ１３２はサービスポリシーサーバ１１６からサービスフィルタテーブル３０２をダウンロードする（図示は省略）。
【００８７】
ステップＳ５１２において、新ＮＥＰ１３２は、フィルタテーブルアップロード要求メッセージを端末１０２に送信する。ステップＳ５１４において、端末１０２はフィルタテーブルアップロード変更メッセージを送信する。ステップＳ５１６において、新ＮＥＰ１３２はフィルタテーブルアップロード要求メッセージを元ＮＥＰ１２２に送信する。ステップＳ５１８において、元ＮＥＰ１２２は新ＮＥＰ１３２へ「２」（すなわち「アップロード」）が指定されたフィルタテーブル更新メッセージを送信する。新ＮＥＰ１３２は、フィルタテーブル更新メッセージを受信すると、自身が登録している端末１０２のステータスを「登録済」に変更する。ステップＳ５２０において、元ＮＥＰ１２２はフィルタテーブル更新応答メッセージを新ＮＥＰ１３２へ送信し、元ＮＥＰ１２２に格納されている端末１０２に係る全てのフィルタを消去する。
【００８８】
図６は、端末１０２またはサービスポリシーサーバ１１６に対し未知のトラフィックがあった旨を通知する際の処理を表すシーケンス図である。まず、端末１０２に通知する場合は、まずステップＳ６０２において、ＮＥＰ１２２または１３２はアクセス通知メッセージを送信する。端末１０２は、個人フィルタテーブル３２２を新たなフィルタに更新する。続いて、ステップＳ６０４において、端末１０２はＮＥＰ１２２または１３２に対し、「追加」コマンドを表す値「２」が設定されたフィルタテーブル更新メッセージを送信する。フィルタテーブル更新メッセージは、当該未知のトラフィックに対する許可・不許可を示す当該新たなフィルタを含んでいる。ステップＳ６０６において、ＮＥＰ１２２または１３２は、フィルタテーブル更新応答メッセージを端末１０２へ送信する。
【００８９】
一方、サービスポリシーサーバに対し未知のトラフィックがある旨を通知する際の処理は、図６に示すステップＳ６１２〜Ｓ６１６に表されるが、これは上述したステップＳ６０２〜６０６と同様である。具体的には、ポリシーサーバ１１６がアクセス通知メッセージを受信すると、当該未知のトラフィックに係るパケットを解析し、ユーザがアクセスしているサービスがサービス契約によって許可されているものか否かを判定する。この判定に基づいて、サービスポリシーサーバ１１６は未知のトラフィックを許可すべきか拒絶すべきかを決定し、サービスフィルタテーブル３０２を更新する。
【００９０】
また、端末１０２およびサービスポリシーサーバ１１６の両方へ未知のトラフィックの存在を通知してもよい。この場合において、通知メッセージを端末１０２およびポリシーサーバ１１６へ送信する順序は任意である。また、第１のアクセス通知メッセージに対する応答を待ってから第２番目のアクセス通知を送信する必要もない。しかしながら、ネットワーク構成によってはメッセージを同期して送信する方がよい場合もある。例えば、端末１０２が無線通信端末である場合は、使用する無線通信帯域を最小限に抑えるため、アクセス通知メッセージをまず最初に有線接続されたサービスポリシーサーバ１１６へ送信することが望ましい。そして、サービスポリシーサーバ１１６から「許可」応答を受信した後、次のアクセス通知メッセージを無線端末１０２へ送信する。あるいは、ネットワークを流れるパケットを遮断するための時間を最小にする必要がある場合には、アクセス通知メッセージを端末１０２とサービスポリシーサーバ１１６とに対し同時に送信するのが好ましい。
【００９１】
セキュリティポリシーの実行にあたり、端末１０２と接続しているＮＥＰ１２２または１３２は、到来するパケットおよび送出されるパケットをチェックし、各パケットに対しフィルタリングを行う。ＮＥＰ１２２および１３２はまず、ドメインフィルタおよびサービスフィルタを含む、管理者所有のフィルタを適用する。次に、ＮＥＰ１２２および１３２は、送出されるパケットに対しては送信者の個人フィルタを適用し、到来するパケットに対しては受信者のフィルタを適用する。到来するパケットおよび送出されるパケットの各々に対して、４つの処理内容のいずれかが実行されることになる。すなわち、「許可」の場合はパケットを通す。「拒絶」の場合は、パケットを廃棄し、通知メッセージをユーザに送信する。「拒否」の場合は、ユーザへの通知無しにパケットを廃棄する。また、パケットが「保留」フィルタの条件を満たす場合は、図６に示すように、ＮＥＰ１２２および１３２はユーザに対しアクセス通知メッセージを送信する
【００９２】
ＮＥＰ１２２および１３２は、各々デフォルトのフィルタを有している。そのフィルタリング処理の内容は、以下にような通信処理を実現するものであるのが好ましい。すなわち、まず端末１０２に対し、ＮＥＰ１２２（または１３２）、ＡＡＡサーバ１１４、その他の認証サーバと通信を行うことを許可する。次に、端末１０２に対し、ＮＥＰ１２２または１３２とを上記の各種メッセージによる通信を許可する。最後に、端末１０２に対し、他のポート、およびローカルルーティングの実行に必要なアドレス解決プロトコル（ＡＲＰ）等のプロトコルを用いて通信を行うことを許可する。
【００９３】
各端末１０２のデフォルトの個人フィルタテーブル３２２は、ユーザ毎に設定されてもよい。デフォルトのサービスフィルタテーブル３０２は、ホームドメイン１１０の管理者によって、好ましくはユーザおよびサービスプロバイダ間の契約に従って設定される。デフォルトのドメインフィルタテーブル３１２は、元ドメイン１２０または新ドメイン１３０の管理者によって設定される。
【００９４】
＜システムの具体的動作例＞
本発明に係るシステムの動作の具体例を以下に示す。まず、第１の例においては、端末１０２が個人フィルタテーブル３３２を自発的に更新する。ここで、端末１０２はＦＴＰサーバにファイルをアップロードしようとしているものとする。端末１０２のユーザは、端末１０２とＦＴＰサーバとの間のＦＴＰ通信を有効にしさえすればよい。端末１０２におけるＦＴＰクライアントは、ＴＣＰポート２１番を指定するＦＴＰサーバのアドレスと端末１０２のアドレスとを送受信先として指定している全てのパケットを許可するように、個人フィルタテーブル３２２を変更する。そして、端末１０２は、自発的に、変更されたフィルタをＮＥＰ１２２または１３２へ送信する。
【００９５】
第２の例としては、個人フィルタテーブル中のフィルタを用いて未知のトラフィックから端末１０２を保護する。端末１０２は、個人フィルタテーブル３２２に格納された、未知のトラフィックに対して「保留」処理を行うフィルタを有している。以下、悪意を持った相手端末１０４が端末１０２とＴＣＰコネクションを確立しようとしている場合を考える。具体的には、相手端末１０４は端末１０２のネットワーク帯域を占有しようと試みる。相手端末１０４から送信された悪意のあるパケット（未知のトラフィック）がＮＥＰ１２２または１３２に到達すると、ＮＥＰ１２２または１３２はアクセス通知メッセージを端末１０２に送信する。端末１０２は、当該アクセス通知メッセージに基づいてこの未知のトラフィックを許可するか拒否するか否か、および個人フィルタテーブル３２２を更新するか否かを決定する。
【００９６】
第３の例としては、端末１０２宛の通信トラフィックをサービスポリシーサーバ１１６によって制御する場合である。例えば、端末１０２がpay-per-view方式で動画を提供するメディアサーバであって、相手端末１０４はこの動画をダウンロードする場合である。メディアサーバの所有者は、サービスプロバイダと間で、動画のダウンロードによる収益を共有する旨の契約を取り交わすことができる。例えば、メディアサーバの所有者は、サービスプロバイダが所有するユーザデータベースを参照できるようにする。このようにすれば、メディアサーバの所有者は、ユーザ契約およびユーザ情報を格納するためのデータベースを持たずに、課金処理を行うことが可能となる。
【００９７】
具体的には、端末１０２は個人フィルタテーブル３２２内のフィルタを、所定のマルチメディアダウンロード用ポートを使って全ての端末から到来するパケットを許可するように設定する。そして、サービスフィルタテーブル３０２に格納されるフィルタを、そのようなトラフィックに対しては「保留」処理を行うように設定する。サービスポリシーサーバ１１６は、ＮＥＰ１２２または１３２からアクセス通知メッセージを受信すると、アクセスを行っているユーザが当該動画に対して料金を支払っているか、あるいはサービス契約に規定される他の条件を満たしているかを判定する。全ての条件が満たされていれば、サービスポリシーサーバ１１６はＮＥＰ１２２または１３２に格納されているサービスフィルタテーブル３０２に当該トラフィックを許可するフィルタを追加する。
【００９８】
第４の例としては、端末１０２およびサービスポリシーサーバ１１６の両方により未知のトラフィックを制御する。今、端末１０２のユーザは、他のユーザとピア・ツー・ピアのネットワークゲームを楽しみたいとする。この場合、当該ゲーム用のポートに対して適用すべき、個人フィルタテーブル３２２内のフィルタを「保留」に設定する。更に、当該ゲーム用のポートに対して適用すべきサービスフィルタテーブル３０２内のフィルタを「保留」に設定する。これは、異なるゲームが異なればコストも異なり得るという事情に配慮したものである。
【００９９】
外部ユーザが、端末１０２においてゲームを実行しようとすると、端末１０２とサービスポリシーサーバ１１６との両方に通知がなされる。サービスポリシーサーバ１１６は、サービス契約に基づいてそのゲームを許可または拒否するかを決定する。端末１０２は、当該外部ユーザの認証結果に基づいて、当該ゲームに係るトラフィックを許可もしくは拒否を決定する。端末１０２およびサービスポリシーサーバ１１６の両方が当該ゲームのトラフィックを許可することを決定すると、当該ゲームを行うことが可能となる。
【０１００】
以上、本発明の実施形態について説明したが、本発明はこれらに限定されるものではなく、本発明の範囲を逸脱しない限りにおいて種々の変形等を行うことが可能であることは言うまでもない。
【図面の簡単な説明】
【０１０１】
【図１】本発明に係るネットワークシステムの機能ブロック図である。
【図２】ネットワーク接続点の機能モジュールおよび端末の機能モジュールを示したブロック図である。
【図３】サービスポリシーサーバ、ドメインポリシーサーバ、端末管理部およびネットワーク接続点管理部の間の相互作用を表したブロック図である。
【図４】端末が最初にネットワーク接続点に接続する際に統合フィルタテーブルを初期化する処理を表したシーケーンス図である。
【図５】端末が新たなドメインに移動する際に１以上のフィルタテーブルを元のネットワーク接続点から新たなネットワーク接続点変換へ移行するための処理を表したシーケンス図である。
【図６】端末またはサービスポリシーサーバに対し、未知のトラフィックの到来を通知する際の処理を表したシーケンス図である。
【符号の説明】
【０１０２】
１００・・・ネットワークシステム、１０２、１０４・・・端末、１０６・・・ネットワーク、１１０、１２０、１３０・・・ドメイン、１１２、１２４、１３４・・・ルータ、１１４・・・ＡＡＡサーバ、１１６・・・サービスポリシーサーバ、１２２、１３２・・・ＮＥＰ、１２６、１３６・・・ドメインポリシーサーバ、２０２・・・アクセス通知モジュール、２０４・・・ＮＥＰ規則管理部、２０６・・・ＡＡＡクライアント、２０８・・・パケットフィルタ／カウンタ部、２１０・・・ネットワークドライバ、２２２・・・アクセス通知受信部、２２４・・・端末規則管理部、２２６・・・ＧＵＩ、３０２・・・サービスフィルタテーブル、３１２・・・ドメインフィルタテーブル、３２２・・・個人フィルタテーブル、３３２・・・統合フィルタテーブル。
【図１】
2004185622.tif 000010
【図２】
2004185622.tif 000011
【図３】
2004185622.tif 000012
【図４】
2004185622.tif 000013
【図５】
2004185622.tif 000014
【図６】
2004185622.tif 000015