(57)【要約】【課題】ネットワークノード装置で複数のフィルタ技術を組み合わせて実施する場合において、動的フィルタリングに対応し、構成定義入力の負荷が軽く、ネットワークノード装置内での学習情報をフィルタリングに用いることが可能で、さらにフィルタリングの例外処理や複数のプロトコル自動連動フィルタの同時動作を実現することを可能にする。【解決手段】ネットワークノード装置内で1 つのサブネットを複数のVLAN に分割して構築し、ネットワークノード装置内でそれぞれのVLAN を接続する。それぞれのVLANで異なるプロトコル自動連動フィルタを動かすことにより、複数のプロトコル自動連動フィルタを同時動作させる。【選択図】  図１
2007129283.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに接続されたデータ転送装置であって、データを送受信するインタフェースと、該インタフェースから受信したデータに対して転送制御処理を行う転送制御処理部を備えており、上記転送制御処理部は出力された上記データを上記インタフェースに送信し、上記インターフェースは上記転送制御処理部から上記データを受信すると該データを再度上記転送制御処理部に送信することにより、上記データに対する上記転送制御処理を複数回実施することを特徴とするデータ転送装置。
【請求項２】
請求項1 に記載のデータ転送装置であって、上記転送制御処理部は上記インタフェースから受信したデータに対してフィルタ処理を行うフィルタ処理部を備えており、上記転送制御処理において上記フィルタ処理を実施することにより上記フィルタ処理を複数回実施することを特徴とするデータ転送装置。
【請求項３】
請求項1 に記載のデータ転送装置であって、上記インタフェースは上記転送制御処理部から受信したデータを上記転送制御処理部へ送信するループバック機構を備えることを特徴とするデータ転送装置。
【請求項４】
請求項３に記載のデータ転送装置であって、上記インタフェースは上記ループバック機構を動作させることにより、仮想インタフェースとして動作することを備えることを特徴とするデータ転送装置。
【請求項５】
請求項４ に記載のデータ転送装置であって、上記仮想インタフェースは、転送制御処理部から物理ポートと同等に認識される複数の仮想的なポートを備え、かつ該データ転送装置は、該複数の仮想的なポート間の接続情報を記憶するメモリを備えており、上記仮想インタフェースは、上記転送制御処理部から受信したデータを上記複数の仮想的なポートのうちの一の仮想的なポートに送信し、上記仮想的なポート間の接続情報を参照して該複数の仮想的なポートのうちの他の仮想的なポートから受信することにより上記ループバック機構を実現し，上記転送制御処理部に送信することを特徴とするデータ転送装置。
【請求項６】
請求項５記載のデータ転送装置であって、上記転送制御処理部は受信したデータの入力ポートと該データが属するＶＬＡＮのＶＬＡＮ識別子とが対応づけられたＶＬＡＮ管理情報を保持するメモリを有し、上記転送制御処理部は、上記仮想インタフェース内の上記複数の仮想的なポートのうち、上記ＶＬＡＮ管理情報により決定される上記受信データの属するＶＬＡＮと上記受信データの宛先アドレスとに基づいて決定された上記仮想的なポートへ、上記受信データを送信することを特徴とするデータ転送装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、インターネットにおける通信制御技術に関し、特にネットワークアクセス制御技術に関する。
【背景技術】
【０００２】
インターネットにおけるネットワーク攻撃手段の多様化やネットワークアクセス権限の複雑化に伴い、ネットワーク装置におけるパケットフィルタリング手法は質及び量の両面において複雑化している。質的な複雑さはパケットフィルタリングを行う条件の多様化に起因している。量的な複雑さはパケットフィルタリングエントリ数の多さに起因している。
【０００３】
しかしながら、特にこうしたネットワークセキュリティ対策を必要とする企業網では、ネットワーク運用経費削減も同時に大きな課題となっている。そのためパケットフィルタリング自動設定に対するニーズが高まっている。
【０００４】
ネットワーク運用経費削減要求は同時に、1 つのIPサブネットでユーザ収容するフラットなネットワーク構成の採用につながることも多い。こうした構成では、IPサブネットを分割し、IP サブネット間を接続するルータでIP サブネット単位のフィルタをかける、という従来手法を適用することが困難である。IP サブネットを構成するスイッチにてフィルタをかける必要がある。
【０００５】
IP サブネットを構成するスイッチにて、上述のような質量両面で複雑なパケットフィルタリングを実現するために、これまでいくつもの実現方式が開発されてきた。これらの実現方式は大きく、VLAN 制御方式、フィルタリング条件自動配布方式、プロトコル自動連動フィルタリング方式の3 つに分類できる。
【０００６】
VLAN 制御方式は、VLAN 通信の制御により、通信範囲を制御する方法である。Private-VLAN(非特許文献1) や、オーバーラップポート(非特許文献2) が代表例である。
【０００７】
Private-VLAN は1 つのIP サブネットを異なる3 つのVLAN から構成する技術である。具体的には、所属端末同士が直接通信できないisolated-VLAN、所属端末同士が直接通信できるcommunity-VLAN、そしてこれら2 つのVLAN を収容するprimary-VLANの3 つである。primary-VLAN から他の2 つのVLAN への通信は可能であるが、isolated-VLAN とcommunity-VLANとはprimary-VLANを介して通信することができない。従って端末をPrivate-VLAN 内の適切なVLAN に所属させることにより、通信範囲を制限することができる。
【０００８】
オーバーラップポートは、1 つのポートを複数のVLAN に所属させる技術である。VLAN 間の直接通信は、複数のVLAN に所属するポートを経由する場合のみ可能である。従って端末を接続するポートを複数のVLAN に所属させるか否かにより、端末からの通信範囲を制限することができる。
【０００９】
フィルタリング条件自動配布方式は、外部サーバからスイッチに対してフィルタリングルールを自動配布することにより、フィルタを自動設定する方式である。NETCONF(非特許文献3 参照) の他、特許文献1 や特許文献2 など多数の方法が提案されている。
【００１０】
プロトコル自動連動フィルタリング方式は、スイッチにおいて、経路制御プロトコル、アドレス配布プロトコルなどと連動して、フィルタを自動設定する方式である。DHCP SnoopingおよびIP Source Guard(非特許文献4 参照)、認証VLAN(非特許文献5) が代表例である。
【００１１】
【非特許文献１】"Private VLANs: Addressing VLAN scalability and security issues in a multi-client environment", http://www.ietf.org/internet-drafts/draft-sanjib-private-vlan-03.txt
【００１２】
【非特許文献２】"GS4000・GS3000 ソフトウェアマニュアル解説書Vol.1 (Ver 08-06, 08-07 対応)", http://www.hitachi.co.jp/Prod/comp/network/manual/switch/gs4k/080607/HTML/KAISETSU/INDEX.HTM
【非特許文献３】"NETCONF Configuration Protocol", http://www.ietf.org/internet-draft/draft-ietf-netconf-proto-09.txt
【非特許文献４】"Configuring DHCP Snooping and IP Source Guard", http://www.cisco.com/univercd/cc/td/doc/product/lan/cat4000/12_1_19/config/dhcp.pdf
【非特許文献５】"Authenticated VLANs", http://www.ind.alcatel.com/library/techbrief/TB_Authenticated_VLAN.pdf
【特許文献１】特開2002-281093号公報
【特許文献２】特開2001-168913号公報
【発明の開示】
【発明が解決しようとする課題】
【００１３】
VLAN 制御方式は、VLAN内の通信範囲をON/OFFのみで制御する技術である。通信範囲を物理ポートなど静的なトポロジーに基づき決定するため、動的なフィルタリング条件を指定できないことが課題である。
【００１４】
フィルタリング条件自動配布方式は、全てのフィルタリング条件を外部から自動配布することにより、質的な多様性に対応できる方式である。しかしながら、構成定義配布自体が負荷になることや、スイッチ内部でしか学習できない情報(例：経路情報) を用いたフィルタリング条件を配布できないことが課題である。
【００１５】
プロトコル自動連動フィルタリング方式は、スイッチ内でプロトコル情報に基づきフィルタリング条件を生成する方式である。そのため、上述の3 つの課題(動的フィルタリングへの対応、構成定義入力の負荷、学習可能情報の不足) といった課題は解決可能である。しかしながら例外処理対応(例：装置管理用端末からのパケットは、フィルタ設定に関わらず通過させる) や複数のプロトコル自動連動フィルタの同時動作が難しいという課題がある。
【課題を解決するための手段】
【００１６】
本発明では、プロトコル自動連動フィルタリング方式の2 つの課題を、以下の手段により解決する。
【００１７】
本発明では、スイッチ内で1 つのサブネットを複数のVLAN に分割して構築し、スイッチ内でそれぞれのVLAN を接続する。それぞれのVLAN で異なるプロトコル自動連動フィルタリング方式を動かすことにより、複数のプロトコル自動連動フィルタを同時動作させる。
【００１８】
さらにあるVLAN 内で受信したトラフィックを隣接VLAN へ中継する際、特定のパターンにマッチしたトラフィックのみを通常とは異なるVLAN へ中継させることにより、例外処理対応を実現する。
【００１９】
複数のVLAN 間を物理ケーブルを用いて接続した場合には、スイッチのスループットがその物理ケーブルの通信容量によって制限されるという課題がある。またVLAN 間接続に物理ポートが消費される課題もある。
【００２０】
これらの課題を解決するため、スイッチ内に仮想的なポートを設け、その仮想的なポート間の仮想的接続性を定義する。その仮想的なポートを適切なVLAN に所属させることにより、上述の2 つの課題は回避できる。
【発明の効果】
【００２１】
本発明では、スイッチ内で複数のプロトコル自動連動フィルタが独立に動作する。従って、複数のプロトコル自動連動フィルタを同時動作させた時の相互干渉(例：片方のフィルタが承認したフローが、もう片方のフィルタでは否認された場合の処理) を気にすることなく、プロトコル自動連動フィルタを実現することができる。
【００２２】
またプロトコル自動連動フィルタの例外処理を、プロトコルの種類に関わらずVLAN 間中継の例外処理として実現しているため、個々のプロトコル自動連動フィルタにおいて個別に例外処理を実現する手間を避けることができる。
【００２３】
仮想的なポート及び仮想的ポート間の接続性を定義することにより、VLAN 間の接続性を物理ポートの消費無しで実現できる。特に高速物理インタフェースのポート単価は高価であるため、物理ポート消費無しに本発明を実現することは、ポート単価削減に効果的である。
【発明を実施するための最良の形態】
【００２４】
まず図1 にて本発明の対象となる装置構成を説明する。ネットワークノード装置111 は、インタフェース121、仮想インタフェース122、パケット中継部123,124、バックプレーン125、経路制御部126 から構成される。インタフェース121 には、物理回線が接続される物理ポート131,132,…  が存在する。
【００２５】
本発明の対象である仮想ポートは、装置内の仮想インタフェース122 として実現される。仮想インタフェース122 には、装置内部から物理ポートと同等に認識される仮想ポート141,…  及び装置から仮想インタフェースに転送されたパケットを装置内に折り返し転送する折り返し処理用プロセッサ151 及び折り返し処理用メモリ152 が存在する。折り返し処理用メモリの中には仮想ポート間の接続を示すポート接続表153 がある。
【００２６】
パケット中継部123,124 には、パケット中継処理用プロセッサ161,162 及びパケット中継処理用メモリ163,164が存在し、パケット中継処理用メモリ163,164 の中には、受信パケットとVLAN の対応を示すVLAN 管理表171,172、各VLAN におけるフィルタ処理を示すフィルタ表173,174、パケットの転送先を示す経路表175,176がある。
【００２７】
図2 に示すように、VLAN 管理表ではVLAN 検索条件に基づいてパケットの所属するVLAN が管理される。VLAN 検索条件としては、入力ポート、IEEE802.1Qタグ、送信元L2 アドレス、プロトコルなどがある。
【００２８】
図3 に示すように、フィルタ表ではフィルタ検索条件に基づいてパケットに対するフィルタ処理が管理される。フィルタ検索条件としては、入力ポート、VLAN、送信元L2 アドレス、宛先L2 アドレス、プロトコル、送信元L3 アドレス、宛先L3 アドレスなどがある。フィルタ処理としては、入力ポートとL2アドレス、L3アドレスの対応が正しいパケットを通すIP Source GuardやARPメッセージのL2アドレスとL3アドレスの対応が正しいパケットを通すARP Inspectionなどがある。
【００２９】
図4 に示すように、経路表では経路検索条件に基づいてパケットに対する出力ポートが管理される。経路検索条件としては、入力ポート、VLAN、送信元L2 アドレス、宛先L2 アドレスなどがある。
【００３０】
図5 に示すように、ポート接続表では仮想ポート間の接続、即ちある仮想ポートから出力したパケットが入力される仮想ポートが管理される。このポート接続表を参照することにより、装置内でパケットを折り返すことができる。
【００３１】
図1 の物理ポート131 にパケットが入力されると、パケット中継部123 内のパケット中継処理用プロセッサ161 においてVLAN 管理表175 に基づきパケットの所属するVLAN が決定される。この決定されたVLAN に基づきフィルタ表173 及び経路表171 が検索され、パケット中継部123 からバックプレーン125 を経て適切なポートにパケットが中継される。この出力ポートが仮想ポートである場合には、ポート接続表153 に従い再度仮想ポートからパケットが装置内に入力され、パケットの所属VLAN 決定及びフィルタ処理、経路検索が実施される。
【００３２】
このため、図6 のように装置内に複数のVLAN 定義し、これらのVLAN を階層的に接続し各VLAN にフィルタ処理を定義することにより、複数のフィルタ処理を階層的に実施することが可能となる。
【００３３】
以下、図7 を用いて具体的な例を示す。
図7 ではネットワークノード装置211 に、接続ポート及びアドレスが固定である装置管理用端末212、DHCP 未対応な端末213、DHCP 対応な端末214 が接続されている。このネットワークノード装置211 にはVLAN 1、VLAN 2、VLAN 3 が構成されており、VLAN 1 ではIP Source Guard、VLAN 2 ではARP Inspection、VLAN 3 ではQoS の各フィルタが定義されている。IP Source Guard 及びARP Inspection はプロトコル自動連動フィルタの一種である。
【００３４】
図8 に図7 の装置管理用端末212、DHCP 未対応端末213、DHCP 対応端末214 のL2 アドレス及びL3 アドレスの具体例を示す。
【００３５】
図9 に図7 のVLAN 構成でのVLAN 管理表の具体例を示す。この例でのVLAN 1、VLAN 2、VLAN 3 は、IEEE802.1Q タグ及び送信元L2 アドレス、プロトコルをVLAN 判定に用いないポートVLAN である。
【００３６】
図10 にVLAN 1 のフィルタ表の具体例を示す。フィルタ表の1 行目は図7 の装置管理用端末212 に関するIP Source Guard の例外的なフィルタ要素である。物1a              に接続されている装置管理用端末は、ポート及びL2,L3アドレスが完全に固定されているため、その他のポートとは異なりプロトコルに依らないフィルタ要素となっている。また、6-8行目は図7のDHCP未対応端末213に関する静的なフィルタ要素であり、9-11行目はDHCPによる動的なフィルタ要素である。
【００３７】
図11 にVLAN 2 のフィルタ表の具体例を示す。フィルタ表の1,2 列目は図7 のDHCP 未対応端末213 に関するARP Inspectionの静的なフィルタ要素であり、その他はDHCPによる動的なフィルタ要素である。
【００３８】
図12 にVLAN 3 のフィルタ表の具体例を示す。このフィルタ表にはQoS に関するフィルタ要素が示されている。
【００３９】
図13 に図7 のVLAN構成での経路表の具体例を示す。
【００４０】
図14 に図7 のVLAN 構成でのポート接続表の具体例を示す。
【００４１】
ここで図7 のDHCP 対応端末214 から外部ネットワークに対して送信されるパケットの処理を考える。このパケットは、物理ポート物1c からネットワークノード装置211 に入力され、図9 のVLAN 管理表によりVLAN 1 と判定され、図10 のVLAN 1 のフィルタ表と図13 の経路表により仮想ポート仮1b から出力される。仮1b から出力されたパケットは図14 のポート接続表により仮想ポート仮2a から入力される。仮想ポート仮2a から入力されたパケットは、図9 のVLAN 管理表によりVLAN 2 と判定され、図11 のVLAN 2 のフィルタ表と図13 の経路表により仮想ポート仮2b から出力される。仮2b から出力されたパケットは図14 のポート接続表により仮想ポート仮3b から入力される。仮想ポート仮3b から入力されたパケットは、図9 のVLAN管理表によりVLAN 3 と判定され、図12 のVLAN 3のフィルタ表と図13 の経路表により物理ポート物3aから出力される。
【００４２】
このように各VLAN でのIP Source Guard、ARP Inspection、QoS の各フィルタ処理は各VLAN 内で独立に設定され、動作する。従って、各フィルタの相互干渉を意識することなくプロトコル自動連動フィルタを実現できる。
【図面の簡単な説明】
【００４３】
【図１】装置構成図。
【図２】VLAN 管理表。
【図３】フィルタ表。
【図４】経路表。
【図５】ポート接続表。
【図６】VLAN 階層化フィルタの概念図。
【図７】VLAN 階層化フィルタの具体例の概念図。
【図８】各サーバ，端末のL2，L3 アドレスの具体例を表す表。
【図９】VLAN 管理表の具体例。
【図１０】VLAN 1 のフィルタ表の具体例。
【図１１】VLAN 2 のフィルタ表の具体例。
【図１２】VLAN 3 のフィルタ表の具体例。
【図１３】経路表の具体例。。
【図１４】ポート接続表の具体例。
【符号の説明】
【００４４】
111ネットワークノード装置
121インタフェース
122仮想インタフェース
123、124パケット中継装置
125バックプレーン
126経路制御部
131、132 物理ポート
141 仮想ポート
151折り返し処理用プロセッサ
152折り返し処理用メモリ
153ポート接続表
161、162パケット中継処理用プロセッサ
163、164パケット中継処理用メモリ
171、172経路表
173、174フィルタ表
175、176VLAN 管理表
211ネットワークノード装置
212DHCP サーバ
213DHCP 未対応端末
214DHCP 対応端末
215外部ネットワーク。
【図１】
2007129283.tif 000003
【図２】
2007129283.tif 000004
【図３】
2007129283.tif 000005
【図４】
2007129283.tif 000006
【図５】
2007129283.tif 000007
【図６】
2007129283.tif 000008
【図７】
2007129283.tif 000009
【図８】
2007129283.tif 000010
【図９】
2007129283.tif 000011
【図１０】
2007129283.tif 000012
【図１１】
2007129283.tif 000013
【図１２】
2007129283.tif 000014
【図１３】
2007129283.tif 000015
【図１４】
2007129283.tif 000016