(57)【要約】【課題】  ＵＰｎＰの通信プロトコルを用いてユーザ端末から簡単にファイアウォールを操作する。【解決手段】  利用者端末３ｉは、まず、ディスカバリ・サーチを行い（ステップＳ１０）、ファイアウォール１のアドレス情報をディスカバリ・サーチレスポンスとして受け取る（ステップＳ２０）。次に、利用者端末３ｉは、ファイアウォール１が備える機能説明を求めるディスクリプション・リクエストを行い（ステップＳ３０）、機能情報をディスクリプション・レスポンスとして受け取る（ステップＳ４０）。該機能情報の中に、ＷＡＮ側接続機能が含まれる場合には、ファイアウォール１に対してアクセス制御コマンドであるアクションリクエストを送信する（ステップＳ５０）。これにより、ファイアウォール１は、アクションリクエストに基づいたアクセス制御をし、制御の結果をアクションレスポンスとして返す（ステップＳ６０）。【選択図】      図２
2005228001.tif 000002
【特許請求の範囲】
【請求項１】
ＵＰｎＰ（Universal Plug and Play）の通信プロトコルを用いて利用者端末と相互に通信可能であり、前記利用者端末からの操作命令を受けてＷＡＮ側インターフェースのフィルタ制御を行うファイアウォールであって、
前記ファイアウォールのアドレス情報を求める検索要求を前記利用者端末から受信する検索要求受信手段と、
前記検索要求に対して、前記ファイアウォールのアドレス情報を前記利用者端末に送信する検索結果送信手段と、
前記アドレス情報に従って前記利用者端末から前記ファイアウォールの機能に関する情報を求める機能要求を受信する機能要求受信手段と、
ＷＡＮ側接続機能を含む前記機能に関する情報を前記利用者端末に送信する機能情報送信手段と、
前記利用者端末から、前記ＷＡＮ側インターフェースのフィルタ設定に関する情報を受信するフィルタ設定情報受信手段と、
前記フィルタ設定に関する情報に従って、前記ＷＡＮ側インターフェースの通信制御を行うファイアウォール制御手段と、
を有することを特徴とするファイアウォール。
【請求項２】
前記フィルタ設定に関する情報は、アドレス、ポート番号、プロトコル、通信方向およびフィルタの開け閉めに関する情報のうち少なくとも１以上を指定したフィルタルールを追加又は削除するコマンド情報であることを特徴とする請求項１記載のファイアウォール。
【請求項３】
ＵＰｎＰ（Universal Plug and Play）の通信プロトコルを用いて相互に通信可能なファイアウォールに、該ファイアウォールのＷＡＮ側インターフェースのフィルタ制御命令を送る利用者端末が読み取り可能なファイアウォール操作プログラムであって、
前記ファイアウォールのアドレス情報を求める検索要求をブロードキャスト又はマルチキャストで送信する検索要求送信ステップと、
前記ファイアウォールのアドレス情報を受信する検索結果受信ステップと、
前記ファイアウォールのアドレス情報に従って前記ファイアウォールの機能に関する情報を求める機能要求を送信する機能要求送信ステップと、
前記ファイアウォールから機能に関する情報を受信する機能情報受信ステップと、
受信した機能に関する情報にＷＡＮ側接続機能が含まれる場合には、ＷＡＮ側インターフェースのフィルタ設定に関する情報を前記ファイアウォールに送信するフィルタ設定情報送信ステップと、
を前記利用者端末に実行させることを特徴とするファイアウォール操作プログラム。
【請求項４】
前記フィルタ設定に関する情報は、アドレス、ポート番号、プロトコル、通信方向およびフィルタの開け閉めに関する情報のうち少なくとも１以上を指定したフィルタルールを追加又は削除するコマンド情報であることを特徴とする請求項３記載のファイアウォール操作プログラム。
【請求項５】
利用者端末と、該利用者端末とＵＰｎＰ（Universal Plug and Play）の通信プロトコルを用いて相互に通信可能なファイアウォールと、を備え、前記利用者端末からの操作命令を受けて前記ファイアウォールのＷＡＮ側インターフェースのフィルタ制御を行うファイアウォール操作システムであって、
前記ファイアウォールは、
前記ファイアウォールのアドレス情報を求める検索要求を前記利用者端末から受信する検索要求受信手段と、
前記検索要求に対して、前記ファイアウォールのアドレス情報を前記利用者端末に送信する検索結果送信手段と、
前記アドレス情報に従って前記利用者端末から前記ファイアウォールの機能に関する情報を求める機能要求を受信する機能要求受信手段と、
ＷＡＮ側接続機能を含む前記機能に関する情報を前記利用者端末に送信する機能情報送信手段と、
前記利用者端末から、前記ＷＡＮ側インターフェースのフィルタ設定に関する情報を受信するフィルタ設定情報受信手段と、
前記フィルタ設定に関する情報に従って、前記ＷＡＮ側インターフェースの通信制御を行うファイアウォール制御手段と、
を有することを特徴とするファイアウォール操作システム。
【請求項６】
前記フィルタ設定に関する情報は、アドレス、ポート番号、プロトコル、通信方向およびフィルタの開け閉めに関する情報のうち少なくとも１以上を指定したフィルタルールを追加又は削除するコマンド情報であることを特徴とする請求項５記載のファイアウォール操作システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＵＰｎＰ（Universal Plug and Play）の通信プロトコルによりファイアウォールのアクセス制御を行うファイアウォール操作技術に関する。
【背景技術】
【０００２】
従来、ファイアウォールに対しては、ネットワーク管理者がファイアウォール操作端末（操作専用端末）から直接、ファイアウォールに対する通過許可・不許可のルールを設定するのが一般的である。従って、ファイアウォールは、ユーザが用いる利用者端末からの操作指示を受け付けないことが多い。
【０００３】
また、操作指示を受け付けるとしても、ファイアウォールの設定はファイアウォール毎に異なるため、ユーザが用いる利用者端末には、操作対象となるファイアウォール専用のソフトウェアが必要であり、該ソフトウェアによりはじめてファイアウォール操作が可能となる。
【０００４】
一方、ＵＰｎＰの通信プロトコルによって、ネットワークに接続されているネットワーク機器同士を接続しようとする動きがある。これは、ＵＰｎＰという汎用的な通信プロトコルを用いれば、ネットワーク機器に複雑な設定をすることなく、簡単にネットワーク機器同士を接続でき、これにより、ユーザは専門的スキルを持たなくてもネットワーク機器を利用することができるようになるものである。また、ネットワーク機器の設定・検出を標準化することで、各メーカの開発負担を減らすということ効果も奏するものである。
【０００５】
例えば、ＮＡＴ（Network Address Translation）の操作に関しては、このＵＰｎＰの通信プロトコルを用いることが広く普及しており、既に多くの実装されたネットワーク機器が存在している。
【０００６】
尚、この出願に関連する先行技術文献情報としては、次のものがある。
【非特許文献１】ＩＴＥＦ（The Internet Engineering Task Force）、“Middlebox Communication (midcom)”、[Online]、［平成１６年１月２６日検索］、インターネット＜ＵＲＬ： http://www.ietf.org/internet-drafts/draft-ietf-midcom-protocol-eval-06.txt＞
【非特許文献２】ＵＰｎＰ  Ｆｏｒｕｍ、“Internet Gateway Device (IGD) V 1.0”、[Online]、［平成１６年１月２６日検索］、インターネット＜ＵＲＬ： http://www.ietf.org/internet-drafts/draft-ietf-midcom-protocol-eval-06.txt＞
【発明の開示】
【発明が解決しようとする課題】
【０００７】
上述したように、ユーザが用いる利用者端末からは、ファイアウォールに対して通過許可・不許可のルールを簡単に設定できないという課題がある。また、ＵＰｎＰの通信プロトコルにおいて、ＮＡＴ操作に対する取り決めは存在するが、ファイアウォール操作については具体的な取り決めが存在しないので、ファイアウォール操作に関しても汎用的な取り決めが求められていた。
【０００８】
本発明は、上記の課題を解決するためになされたものであり、ＵＰｎＰの通信プロトコルを用いて利用者端末から簡単に操作可能なファイアウォール、ファイアウォール操作プログラムおよびファイアウォール操作システムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
上記目的を達成するため、請求項１記載の本発明は、ＵＰｎＰ（Universal Plug and Play）の通信プロトコルを用いて利用者端末と相互に通信可能であり、前記利用者端末からの操作命令を受けてＷＡＮ側インターフェースのフィルタ制御を行うファイアウォールであって、前記ファイアウォールのアドレス情報を求める検索要求を前記利用者端末から受信する検索要求受信手段と、前記検索要求に対して、前記ファイアウォールのアドレス情報を前記利用者端末に送信する検索結果送信手段と、前記アドレス情報に従って前記利用者端末から前記ファイアウォールの機能に関する情報を求める機能要求を受信する機能要求受信手段と、ＷＡＮ側接続機能を含む前記機能に関する情報を前記利用者端末に送信する機能情報送信手段と、前記利用者端末から、前記ＷＡＮ側インターフェースのフィルタ設定に関する情報を受信するフィルタ設定情報受信手段と、前記フィルタ設定に関する情報に従って、前記ＷＡＮ側インターフェースの通信制御を行うファイアウォール制御手段と、
を有することを特徴とする。
【００１０】
ここで、ＷＡＮ側接続機能とは、ＷＡＮＩＰＣｏｎｎｅｃｔｉｏｎ、ＷＡＮＰＰＰＣｏｎｎｅｃｔｉｏｎなどの機能をいう。尚、この定義は、以下の発明においても同様である。
【００１１】
請求項２記載の本発明は、請求項１記載の発明において、前記フィルタ設定に関する情報は、アドレス、ポート番号、プロトコル、通信方向およびフィルタの開け閉めに関する情報のうち少なくとも１以上を指定したフィルタルールを追加又は削除するコマンド情報であることを特徴とする。
【００１２】
請求項３記載の本発明は、ＵＰｎＰ（Universal Plug and Play）の通信プロトコルを用いて相互に通信可能なファイアウォールに、該ファイアウォールのＷＡＮ側インターフェースのフィルタ制御命令を送る利用者端末が読み取り可能なファイアウォール操作プログラムであって、前記ファイアウォールのアドレス情報を求める検索要求をブロードキャスト又はマルチキャストで送信する検索要求送信ステップと、前記ファイアウォールのアドレス情報を受信する検索結果受信ステップと、前記ファイアウォールのアドレス情報に従って前記ファイアウォールの機能に関する情報を求める機能要求を送信する機能要求送信ステップと、前記ファイアウォールから機能に関する情報を受信する機能情報受信ステップと、受信した機能に関する情報にＷＡＮ側接続機能が含まれる場合には、ＷＡＮ側インターフェースのフィルタ設定に関する情報を前記ファイアウォールに送信するフィルタ設定情報送信ステップと、を前記利用者端末に実行させることを特徴とする。
【００１３】
請求項４記載の本発明は、請求項３記載の発明において、前記フィルタ設定に関する情報は、アドレス、ポート番号、プロトコル、通信方向およびフィルタの開け閉めに関する情報のうち少なくとも１以上を指定したフィルタルールを追加又は削除するコマンド情報であることを特徴とする。
【００１４】
請求項５記載の本発明は、利用者端末と、該利用者端末とＵＰｎＰ（Universal Plug and Play）の通信プロトコルを用いて相互に通信可能なファイアウォールと、を備え、前記利用者端末からの操作命令を受けて前記ファイアウォールのＷＡＮ側インターフェースのフィルタ制御を行うファイアウォール操作システムであって、前記ファイアウォールは、前記ファイアウォールのアドレス情報を求める検索要求を前記利用者端末から受信する検索要求受信手段と、前記検索要求に対して、前記ファイアウォールのアドレス情報を前記利用者端末に送信する検索結果送信手段と、前記アドレス情報に従って前記利用者端末から前記ファイアウォールの機能に関する情報を求める機能要求を受信する機能要求受信手段と、ＷＡＮ側接続機能を含む前記機能に関する情報を前記利用者端末に送信する機能情報送信手段と、前記利用者端末から、前記ＷＡＮ側インターフェースのフィルタ設定に関する情報を受信するフィルタ設定情報受信手段と、前記フィルタ設定に関する情報に従って、前記ＷＡＮ側インターフェースの通信制御を行うファイアウォール制御手段と、を有することを特徴とする。
【００１５】
請求項６記載の本発明は、請求項５記載の発明において、前記フィルタ設定に関する情報は、アドレス、ポート番号、プロトコル、通信方向およびフィルタの開け閉めに関する情報のうち少なくとも１以上を指定したフィルタルールを追加又は削除するコマンド情報であることを特徴とする。
【発明の効果】
【００１６】
本発明によれば、ＵＰｎＰの通信プロトコルを用いてユーザが用いる利用者端末から簡単にファイアウォールの設定を操作することができる。
【００１７】
これにより、ＵＰｎＰという広く普及している汎用的な通信プロトコルにより、ファイアウォールを操作することができるので、ファイアウォール操作の標準化を図ることができ、ベンダ間の互換性を確立させることができる。
【発明を実施するための最良の形態】
【００１８】
以下、本発明の実施の形態を図面を用いて説明する。
【００１９】
図１は、本発明の実施の形態に係るファイアウォール操作システム１０が適用される通信システム全体のネットワーク構成図である。図１に示すように、ファイアウォール１の内側は、ＬＡＮ（Local Area Network）２に接続され、ＬＡＮ２には、ユーザが利用する利用者端末３ｉ（ｉ＝ａ，ｂ，…，ｎ）が接続され、ファイアウォール操作システム１０が構築されている。一方、ファイアウォール１の外側は、ＷＡＮ（Wide Area Network）4に接続され、ＷＡＮ４には、利用者端末３ｉの通信相手である利用者端末５ｉ（ｉ＝ａ，ｂ，…，ｎ）およびサーバ６が接続されている。
【００２０】
本発明は、このようなシステム構成において、利用者端末３ｉがＵＰｎＰの通信プロトコルを用いてファイアウォール１のアクセス制御を行うことにより、ＷＡＮ４側に存在する通信相手との通信を制御するものである。
【００２１】
図２は、本実施の形態に係るファイアウォール１と利用者端末３ｉとのＵＰｎＰ通信のやりとりを示すシーケンス図である。
【００２２】
尚、本実施の形態においては、前提としてファイアウォール１には、ファイアウォール１の内側から外側の通信に関しては通信を許可しているが、ファイアウォール１の外側から内側からの通信は許可されていない（但し、サーバ６から通信は許可されているものとする）という設定がされているものとする。そして、このような設定の下、利用者端末５ｉから利用者端末３ｉに対して通信を行う場合には、利用者端末５ｉは、利用者端末３ｉのアドレスが登録されているサーバ６に問い合わせて利用者端末３ｉのアドレスを把握するとともに、利用者端末５ｉから利用者端末３ｉへのパケット通過許可を、サーバ６を介して利用者端末３ｉに求めるものとする。つまり、以下におけるファイアウォール１と利用者端末３ｉとの通信のやりとりは、利用者端末５ｉから利用者端末３ｉへの通信を許可する設定をファイアウォール１に対して行うものである。
【００２３】
利用者端末３ｉは、まず、ディスカバリ・サーチを行う（ステップＳ１０）。これは、利用者端末３ｉが、ファイアウォール１がネットワーク上どこに存在するかというアドレス検索をブロードキャスト又はマルチキャストの通信により行うものである。
【００２４】
次に、ディスカバリ・サーチを受けたファイアウォール１は、利用者端末３ｉに自己のアドレス情報をディスカバリ・サーチレスポンスとして返す（ステップＳ２０）。
【００２５】
これにより、利用者端末３ｉはファイアウォール１のアドレスがわかるので、ファイアウォール１に対してディスクリプション・リクエストを行う（ステップＳ３０）。これは、ファイアウォール１が備える機能の機能説明を求めるものである。
【００２６】
利用者端末３ｉより機能説明を求められたファイアウォール１は、利用者端末３ｉに自己が備える機能をディスクリプション・レスポンスとして返信する（ステップＳ４０）。
【００２７】
ここで、本発明はファイアウォール１のアクセス制御を行うにあたり、ＷＡＮ側インターフェースを操作するものであり、ＷＡＮ側接続機能（具体的には、WANIPconnection、WANPPPconnectionなど）を有するファイアウォール１に対して適用されるものである。
【００２８】
従って、利用者端末３ｉは受信したファイアウォール１の機能情報の中に、上述したＷＡＮ側接続機能が含まれる場合には、ファイアウォール１に対してアクションリクエストを行う（ステップＳ５０）。これは、ファイアウォール１に対するアクセス制御コマンドを送信するものであり、具体的には、利用者端末５ｉから利用者端末３ｉへのパケット通過許可をファイアウォール１に与えるものである。
【００２９】
そして、ファイアウォール１は、アクションリクエストに基づいたアクセス制御をし、制御の結果をアクションレスポンスとして返す（ステップＳ６０）。これ以降は、利用者端末５ｉから利用者端末３ｉに対して所望の通信を行うものである。
【００３０】
尚、上述したように、この通信のやりとり全体は、ＵＰｎＰの通信プロトコルに沿っているものであり、ファイアウォール１に対する制御が行われるアクションリクエスト（ステップＳ５０）のステップが、従来に比べて改良されたものである。即ち、ＵＰｎＰのポートマッピング要求対応機能を改良して、ファイアウォール１を操作するようにしたものである。
【００３１】
また、上述したファイアウォール操作システム１０の動作における前提条件およびアクションリクエストの内容は、一例を示したものであり、本発明が適用される場面に応じて種々のパターンが想定されるものである。例えば、事前の通信相手間のネゴシエーションとしては、サーバ６を介さない場合も考えられるし、また、暗号化に関する方式を取り決める場合も考えられる。
【００３２】
以下、アクションリクエストについて具体的に説明する。
【００３３】
図３は、ファイアウォール１に対するアクセス制御コマンドの一例を示している。図３（ａ）は、新たにパケットフィルタのルールを追加するコマンドであり、図３（ｂ）は、フィルタルールを削除するコマンドである。ここで、引数として、ファイアウォール１のＷＡＮ側およびＬＡＮ側のアドレスおよびポート番号、並びにプロトコル種別、通信方向、通信可・不可の別などを指示することができ、これにより、アドレス、ポート番号、プロトコル種別、および通過させる方向などを総合的に加味したファイアウォール１のアクセス制御が可能となる。
【００３４】
図４は、ステップＳ５０のアクションリクエストおよびステップＳ６０のアクションレスポンスの一例である。図４によれば、ＩＰアドレスが3ffe：ffff：5678：：1であるＷＡＮ側の利用者端末５ｉと、ＩＰアドレスが3ffe：ffff：1234：：1であるＬＡＮ側の利用者端末３ｉと、の間でプロトコルがＥＳＰ（Encapsulated Security Payload）である通信を双方向で許可しようとする命令を利用者端末３ｉがファイアウォール１に対して指示している。尚、図４においては、本発明をＩＰｖ６（Internet Protocol Version 6）のアドレスに適用しているが、本発明は、ＩＰｖ４（Internet Protocol Version 4）であっても、ＬＡＮ側のアドレスがグローバルアドレスであれば適用できるものである。
【００３５】
従って、本実施の形態によれば、ＵＰｎＰの通信プロトコルを用いてＷＡＮ側インターフェースのフィルタ制御を行い、ファイアウォール１を操作するので、ユーザが用いる利用者端末３ｉから簡単にファイアウォール１の設定を操作することができる。
【００３６】
特に、利用者端末３ｉにおいては、ＵＰｎＰに対応したＯＳ（Operating System）が広く普及しているので、本発明を既存の利用者端末にそのまま適用できるという効果がある。また、利用者端末３ｉからの操作が可能となるので、利用者端末３ｉ上のアプリケーションプログラムと連携して、ファイアウォール１を操作することも可能となる。
【００３７】
さらには、汎用的な通信プロトコルにより、ファイアウォールを操作することができるので、ファイアウォール操作の標準化を図ることができ、ベンダ間の互換性を確立させることができる。
【００３８】
尚、本実施の形態に係る利用者端末３ｉの動作は、利用者端末３ｉに格納されたプログラムを実行することにより実現される。そして、このプログラムは、ハードディスク、フレキシブルディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ−ＲＯＭなどのコンピュータ読み取り可能な記録媒体に記録することも、通信ネットワークを介して配信することも可能である。
【００３９】
以上、本発明の実施の形態について説明してきたが、本発明の要旨を逸脱しない範囲において、本発明の実施の形態に対して種々の変形や変更を施すことができる。例えば、本実施の形態においては、ファイアウォール１をＬＡＮ２とＷＡＮ４との間に配置したが、本発明はこのようなシステム構成に限定されず、ＬＡＮ２の各セグメントの境界に配置してもよいものである。この場合には、所定のセグメント内にある利用者端末をＬＡＮ側の利用者端末３ｉ、該セググメントの外にある利用者端末をＷＡＮ側の利用者端末５ｉとすれば上記実施の形態と同様の作用をするものである。
【図面の簡単な説明】
【００４０】
【図１】本発明の実施の形態に係るファイアウォール操作システムが適用される通信システムの概略構成図である。
【図２】本発明の実施の形態に係るファイアウォールと利用者端末間の通信を説明するシーケンス図である。
【図３】本発明の実施の形態に係るファイアウォール操作のコマンドの一例を説明する図である。
【図４】本発明の実施の形態に係るファイアウォールと利用者端末間の通信のアクションリクエストおよびアクションレスポンスの一例を説明する図である。
【符号の説明】
【００４１】
１  ファイアウォール
２  ＬＡＮ
３  利用者端末
４  ＷＡＮ
５  利用者端末
６  サーバ
１０  ファイアウォール操作システム
【図１】
2005228001.tif 000003
【図２】
2005228001.tif 000004
【図３】
2005228001.tif 000005
【図４】
2005228001.tif 000006