JP3852017B2 - ファイアウォール装置 - Google Patents

Description

この発明は、インターネットなどの外部ネットワークに接続するユーザを保護するためのファイアウォール装置に関する。

自己の端末、または、自己のネットワークのセキュリティを高める手段の１つとして、ファイアウォール（ＦＷとも称する）がある。

ファイアウォールは、セキュリティを高めたい自己の端末または自己のネットワークと外部ネットワークとの間に配置され、予め決められたセキュリティポリシに従い、外部ネットワークから自己の端末またはネットワークに向かうパケット、または、自己の端末またはネットワークから外部ネットワークヘ向かうパケットに対して、通過が可能かどうかを判断し、可能な場合は、当該パケットを通過させ、可能でない場合は、当該パケットを破棄するフィルタリング処理を実施する。

セキュリティポリシは、アドレス、プロトコル種別、ポート番号、方向、通過の可否、または他の条件を結びつけ、１つのルールとし、当該ルールを複数まとめたものである。

また、ファイアウォールは設置場所により、３つに区分することができる。

１つは、図１に示すように、ファイアウォール１０を自己の端末内部に保持するもの（以下、端末ベースファイアウォールと称する）で、自己の端末１１を外部ネットワーク（例えば、インターネット）１２から守るために利用されている。

もう１つは、図２に示すように、ファイアウォール１０を自己のネットワーク１３のエッジに設置され、外部ネットワーク１２に接続するもの（以下、ＣＰＥベースファイアウォールと称する）で、自己のネットワーク１３を外部ネットワーク１２から守るために利用される。

もう１つは、図３に示すように、ファイアウォール１０が、独立のポリシで運用されるセキュリティを高めたいネットワーク１３または端末１１を複数収容し、外部ネットワーク１２に接続する位置に設置されるもの（以下、ＮＷベースファイアウォールと称する）で、個々のネットワーク１３または端末１１を外部ネットワーク１２から守るために利用される。

常時接続ユーザが増加するとともに、セキュリティの必要性が高まる中、セキュリティ知識が不十分なユーザに対し、低コストでスキル不足を解消するセキュリティサービスを提供することが求められているという観点からは、上記のファイアウォールのうち、ネットワーク側にファイアウォールを配備するＮＷベースファイアウォールが有効である。

すなわち、ＮＷベースファイアウォールにより、収容ユーザの集約による経済化と、アウトソーシングによるユーザ稼動の軽減が期待される。ただし、セキュリティポリシをユーザ毎に提供する必要もあり、本方法によるファイアウォールでは、１台の物理的なファイアウォールにユーザ毎の仮想ファイアウォールを構築するアーキテクチャが求められる。

従来技術の仮想ファイアウォールの構築法を図４に示す。従来技術によるユーザの端末あるいはサーバ、またはユーザのネットワークと仮想ファイアウォールとの割り当ては、固定的なユーザＩＤと仮想ファイアウォールＩＤとを対応させることにより実現する。

ここで固定的なユーザＩＤとは、ユーザの端末やサーバが属するネットワークのＶＬＡＮ−ＩＤやユーザの端末やサーバのＩＰアドレスである。図４では、ユーザ＃ａのサーバ２１１のＩＰアドレス［ａ．ａ．ａ．ａ］、ユーザ♯ｂのサーバ２１２のＩＰアドレス［ｂ．ｂ．ｂ．ｂ］を、それぞれ固定的なユーザＩＤとして、また、これらをそれぞれ仮想ファイアウォールＩＤ２０２および２０３と対応づけ、振分け管理テーブル２０１に事前に登録される。

そして例えば、サーバ２１１とユーザ＃ａの接続相手端末２１３との間の通信において、サーバ２１１から送信されるパケット２２１に対し、その送信元ＩＰアドレス［ａ．ａ．ａ．ａ］を検索キーとして振分け管理テーブル２０１を参照し、該送信元ＩＰアドレス［ａ．ａ．ａ．ａ］と対応付けられている仮想ファイアウォールＩＤ２０２を検索し、該パケット２２１を仮想ファイアウォール２０２に振り分ける。また、接続相手端末２１３から送信されるパケット２２２に対し、その宛先ＩＰアドレスｂ．ｂ．ｂ．ｂを検索キーとして振分け管理テーブル２０１を参照し、該宛先ＩＰアドレスｂ．ｂ．ｂ．ｂと対応付けられている仮想ファイアウォールＩＤ２０３を検索し、該パケット２２２を仮想ファイアウォール２０３に振り分ける。

仮想ファイアウォール２０２、２０３には、それぞれユーザ＃ａ、ユーザ＃ｂが定めるセキュリティポリシに従うフィルタリングルールが記載されており、このルールに従い、パケット２２１および２２２は通過あるいは廃棄処理される。これによって不正アクセス者からのサーバ２１１に対する攻撃パケットをフィルタリングすることができる。

この従来技術は、主にデータセンタ等を適用先としており、そこでは固定的なユーザＩＤを用いているため、ユーザＩＤを振分け管理テーブル２０１に事前に登録することが可能である。

なお、上記の従来技術に関連する先行技術文献として、「データセンタにおけるセキュアなコンテンツ・フィルタリング方式の検討」（電子情報通信学会ソサイエティ大会（2002）B-6-38 2002.8.20発行）がある。

また、ユーザ毎のセキュリティ通信を設定するもう１つの従来技術として、「セキュリティ通信方法、通信システム及びその装置」（特開２００１−２９８４４９号公報）がある。しかし本従来技術は、主にＩＰＳｅｃ通信を想定しており、そこで定義されるユーザ毎のセキュリティ通信とは、通信に用いる認証アルゴリズムや暗号化アルゴリズムの強度を、ユーザの要求に応じ決定するというものにすぎず、不正アクセスからの攻撃パケットをフィルタリングする機能とは異なる。

ユーザが利用する常時接続サービスにおいては、ユーザＩＤ（ユーザＩＰアドレス）はユーザ端末とネットワークとの接続が確立されるときに初めて付与される。具体的には、ＰＰＰ（Point to Point Protocol）セッションの確立時に初めて付与される。また、ユーザＩＰアドレスは一般に可変である。

従って、上記の従来技術における仮想ファイアウォールを常時接続サービスに適用しようとしても、振分け管理テーブルにユーザＩＰアドレスを事前登録することができないので、従来技術における仮想ファイアウォールを常時接続サービスに適用することは困難である。

また、常時接続サービスの場合、データセンタ等への適用の場合と比較し、収容ユーザ数が断然に多いことから、ＮＷベースのファイアウォール装置に多重に収容するユーザ数を増大させることが求められている。

さて、ファイアウォールの配置場所という観点とは別に、ファイアウォールをセキュリティポリシの保持方法の観点から分類すると以下の２つに分類することができる。

１つは、セキュリティポリシをファイアウォール内部に保持するものであり、通常のファイアウォールはこの方法が用いられている。

もう１つは、図５、図６、図７に示すように、セキュリティポリシ１５をファイアウォール１０の外部に保持し、複数のファイアウォール１０に、このセキュリティポリシを配布するものである。

先に示したどの種類のファイアウォール（端末ベースファイアウォール、ＣＰＥベースファイアウォール、あるいは、ＮＷベースファイアウォール）も、その多くはセキュリティポリシをファイアウォール内部に保持するものである。

しかし、セキュリティポリシを分配する方法を用いるファイアウォールに関しても、特表２００２−５４４６０７号公報により、端末ベースファイアウォールへの適用が示されており、また、文献（「Distributed FirewalIs」（Nov.1999, Special lssue on Security, ISSN l044-63971））により、ＣＰＥべースファイアウォールへの適用が示されている。

また、ＮＷベースファイアウォールにおいても、収容するネットワークまたは端末が静的に接続される場合は、ＣＰＥベースファイアウォールと同様に考えられる。

しかし、ＮＷベースファイアウォールで、収容するネットワークまたは端末が動的に接続、切断を行い、または、収容されるＮＷベースファイアウォールを変更する場合においては、ファイアウォール内部にセキュリティポリシを保持する方法は、ネットワークまたは端末の接続、切断に関係無く、ファイアウォールが収容する可能性のあるネットワークまたは端末に関するセキュリティポリシを全て保持しなければならないため有用でない。

よって、このような環境では、ネットワークまたは端末の接続、あるいは切断に合わせ、保持するセキュリティポリシ容量を最適に保つ手段を有するＮＷベースファイアウォール装置が必要になる。

また、ＮＷベースファイアウォールには、複数のネットワークまたは端末が接続されるため、前記のネットワークまたは端末の接続に合わせてセキュリティポリシをロードする手段を有するＮＷベースファイアウォールでは、多量のセキュリティポリシをロードする場合があり、この場合、ＮＷベースファイアウォールのＣＰＵは、ロード用の処理が大きくなり、フィルタリングおよび転送用の処理ができず、フィルタリングおよび転送性能に影響を及ぼす。

また、セキュリティポリシを配布する装置においても、配布量が装置性能を超えた場合、セキュリティポリシを配布できなくなる。

さらに、セキュリティポリシの配布に用いられている回線においても、配布量が回線容量を超えた場合、セキュリティポリシの廃棄または遅延が生じることになる。

従って、配布するセキュリティポリシ量を抑える手段を有するＮＷベースファイアウォール装置が必要になる。
特開２００１−２９８４４９号公報 特表２００２−５４４６０７号公報 「データセンタにおけるセキュアなコンテンツ・フィルタリング方式の検討」（電子情報通信学会ソサイエティ大会（2002）B-6-38 2002.8.20発行） 「Distributed FirewalIs」（Nov.1999,Special lssue on Security,ISSN l044-63971）

本発明の第１の目的は、事前にユーザＩＤと仮想ファイアウォールＩＤとの対応付けができない通信形態に対してもサービス提供可能なファイアウォール装置を提供することである。

また、本発明の第２の目的は、収容するユーザ多重数を増大させることのできるファイアウォール装置を提供することである。

更に、本発明の第３の目的は、収容するネットワークまたは端末の接続または切断に応じて必要なセキュリティポリシを保持または破棄することを可能にし、且つ、ロードするセキュリティポリシ量を軽減することが可能なファイアウォール装置を提供することである。

上記の第１の目的は、複数の仮想ファイアウォールを有し、各仮想ファイアウォールはそれぞれ独立したフィルタリングポリシを有するファイアウォール装置であって、
ユーザ名と仮想ファイアウォールＩＤを管理する振分け管理テーブルと、
ユーザ端末からのネットワーク接続のための認証情報を受信すると、それに記載されているユーザ名を保持する手段と、
認証情報を認証サーバに通知する手段と、
前記認証サーバから、認証応答を受信すると、その応答に記載されている前記ユーザ端末に付与すべきユーザＩＤを保持する手段とを備え、
前記ユーザＩＤを前記ユーザ名と対応付けて前記振分け管理テーブルに登録するファイアウォール装置により達成できる。

本発明によれば、事前にユーザＩＤと仮想ファイアウォールＩＤとの対応付けができない通信形態に対しても、ユーザ端末からのネットワーク接続のための認証情報を利用し、動的にユーザＩＤと仮想ファイアウォールＩＤとを対応付けることができる。そして、そのユーザＩＤのユーザ端末が送信あるいは受信するパケットに対し、そのユーザ端末に対応するセキュリティポリシに従うフィルタリングルールを適用することができる。

また、上記の第２の目的は、ユーザ名と、ユーザＩＤと、フィルタリングＩＤとを対応付けて管理する振分け管理テーブルと、
前記フィルタリングＩＤによって特定され、それぞれ独立したフィルタリングポリシを有するフィルタリングテーブルと、
ネットワーク接続開始時に、ユーザ端末から発行される、ユーザ名が記載された認証情報を受信し、当該ユーザ名を保持する手段と、
前記認証情報を認証サーバに通知する手段と、
前記認証サーバから認証応答を受信し、その認証応答に記載されている前記ユーザ端末に付与すべきユーザＩＤを保持する手段とを備え、
前記ユーザＩＤを前記ユーザ名と対応付けて前記振分け管理テーブルに登録するファイアウォール装置によって達成できる。

本発明によれば、フィルタリングＩＤを導入し、ユーザ毎のフィルタリングポリシをフィルタリングＩＤによって識別するので、例えば、各仮想ファイアウォールに複数の独立したフィルタリングポリシを管理することができ、ユーザ多重数を向上させることができる。

また、ユーザ毎のパケットの検索範囲は、付与されたフィルタリングＩＤの値と一致するテーブルのみを検索対象とするため、検索処理時間が不必要に長くなるのを抑制することができる。

また、本願発明では、前述のフィルタリングＩＤを、さらに個別フィルタリングＩＤと共通フィルタリングＩＤに２分化し、各ユーザ個別のフィルタリングポリシは個別フィルタリングテーブルに記載し、複数のユーザにて共通化することが可能なフィルタリングポリシは共通フィルタリングテーブルに記載することもできる。

これにより、例えば、１０ユーザが２つの同じフィルタリングルールを利用している場合、従来技術を適用すると、合計２０ルールがフィルタリングテーブルに記載されるのに対し、本発明によれば、２ルールのみフィルタリングテーブルに記載すればよので、フィルタリングポリシの管理を効率的に行うことが可能となる。

上記の第３の目的は、複数のユーザ端末とネットワークの間に設置され、複数のユ一ザ端末に対するパケットフィルタリングを実施するファイアウォール装置であって、
各ユーザ毎のセキュリティポリシを保持する個別フィルタリングテーブルと、
複数のユーザに共通するセキュリティポリシを保持する共通フィルタリングテーブルと、
ユーザ端末情報と、共通フィルタリングテーブルＩＤと、個別フィルタリングテーブルＩＤとを管理する振分け管理テーブルと、
ユーザ端末が接続可能かを判断する認証サーバとの通信手段と、
ユーザと結び付けられた共通フィルタリングテーブルＩＤ、および個別フィルタリングテーブルＩＤを管理する識別子管理サーバとの通信手段と、
前記個別フィルタリングテーブルに書込まれるユーザ固有のセキュリティポリシとユーザとの関係を管理するセキュリティポリシ管理サーバとの通信手段とを備え、
前記ファイアウォール装置は、
ネットワーク接続開始時に、ユーザ端末から、ユーザ名を含む認証情報が付加された接続要求を受信し、当該ユーザ名を保持し、保持したユーザ名を認証サーバに通知し、
前記認証サーバから受信した認証応答に付随するユーザ端末情報を保持し、
前記ユーザ名を、前記識別子管理サーバと前記セキュリティポリシサーバに通知し、
前記識別子管理サーバから受信した共通フィルタリングテーブルＩＤ、および個別フィルタリングテーブルＩＤと、ユーザ端末情報とを対応付けて前記振分け管理テーブルに記述し、
前記セキュリティポリシサーバから受信したポリシ情報と、前記個別フィルタリングテーブルＩＤとを、前記個別フィルタリングテーブルに書込むファイアウォール装置により達成できる。

本発明によれば、ネットワークまたは端末の接続開始に合わせ必要なセキュリティポリシをロードすることが可能になる。

また、ネットワーク接続開始時にセキュリティポリシを書込む領域を示す識別子と、認証により接続開始するネットワークまたは端末に付与されるユーザ端末情報を結び付けておき、接続切断時に、切断するネットワークまたは端末のユーザ端末情報を元に、識別子を調べ、識別子に示される領域のセキュリティポリシを破棄するので、ネットワークまたは端末の接続切断に合わせセキュリティポリシを破棄することが可能になる。

また、本発明のファイアウォール装置は、セキュリティポリシを個別セキュリティポリシと、共通セキュリティポリシとに分け、共通セキュリティポリシは常にファイアウォール装置に保持しておき、個別セキュリティポリシのみを、ネットワークまたは端末の接続開始時にロードすることができるので、ロードするセキュリティポリシ量を軽減することが可能になる。

また、本発明のファイアウォール装置は、セキュリティポリシを配布する装置と、前述の識別子が調べられる装置を全てのファイアウォール装置と接続し、前述のセキュリティポリシのロードを行うことができるので、ネットワークまたは端末が収容されるファイアウォール装置を変更してネットワーク接続開始、あるいは切断を行っても、ファイアウォール装置は適切にセキュリティポリシをロードすることが可能になる。

以下、図面を参照して本発明の各実施例を説明する。

（実施例１−１〜実施例１−５）
［実施例１−１］
まず、本発明の実施例１−１を図８および図９を用いて説明する。本例では、ユーザからのネットワーク接続方式はＰＰＰ、認証用通信はＲＡＤＩＵＳとする。

ファイアウォール装置１００は、ユーザ毎に仮想ファイアウォールを具備している。例えば、ユーザ＃ａのセキュリティポリシが適用され、ユーザ＃ａの端末１１１を保護する仮想ファイアウォール１０２、ユーザ♯ｂのセキュリティポリシが適用され、ユーザ♯ｂの端末１１２を保護する仮想ファイアウォール１０３が、ファイアウォール装置１００内に存在する。

また、振分け管理テーブル１０１には、事前に設定可能なユーザ名および仮想ファイアウォールＩＤが登録されている。すなわち振分け管理テーブル１０１には、ユーザ名＃ａと仮想ファイアウォールＩＤ１０２、ユーザ名♯ｂと仮想ファイアウォールＩＤ１０３との対応付けが登録されている。ただし、各ユーザ端末のユーザＩＤとなるユーザＩＰアドレスは未確定のため、この時点では登録することができない（振分け管理テーブル１０１−１の状態）。

本例ではユーザ＃ａの端末１１１がインターネット１１０にネットワーク接続し、その後、接続相手端末１１３とＩＰ通信を行うものとする。まず、ユーザ端末１１１からのネットワーク接続要求として、ユーザ端末１１１とファイアウォール装置１００との間でＬＣＰ（Link Control Protocol）の情報がやりとりされる（１３９）。この後行われる認証情報のやりとり１４０により、ファイアウォール装置１００はユーザ端末１１１から送信されるユーザ名＃ａを抽出し、ユーザ名＃ａを保持する（処理ポイント１５０）。

そして認証情報（ユーザ名およびパスワード）をＲＡＤＩＵＳサーバ１３０に通知する（１４１）。ＲＡＤＩＵＳサーバ１３０にて認証され、その応答１４２を受信すると、ファイアウォール装置１００はその応答１４２に記載されているユーザ端末に付与すべきユーザＩＰアドレスを保持する。このユーザＩＰアドレスを［ａ．ａ．ａ．ａ］とする。そして、ユーザ名＃ａを検索キーとして、振分け管理テーブル１０１の中のユーザ名が＃ａと記載されている行にこのユーザＩＰアドレス［ａ．ａ．ａ．ａ］を登録する（処理ポイント１５１。振分け管理テーブル１０１−２の状態）。

また、ファイアウォール装置１００は、これと同時に、ＮＣＰ（Network Control Protocol）の情報をユーザ端末１１１とファイアウォール装置１００との間でやりとりする（１４３）中で、ユーザＩＰアドレス［ａ．ａ．ａ．ａ］をユーザ端末１１１に送り、ユーザ端末１１１は自ユーザＩＰアドレスが［ａ．ａ．ａ．ａ］であると認識する。

ＮＣＰが終了後、ユーザ端末とネットワークとの間でＰＰＰ接続が確立される。その後、ユーザ端末１１１から接続相手端末１１３に向け送信されるパケット１２１を、ファイアウォール装置１００が受信すると、その送信元ＩＰアドレスとして記載される［ａ．ａ．ａ．ａ］を検索キーとして振分け管理テーブル１０１を参照し、［ａ．ａ．ａ．ａ］の行に記載されている仮想ファイアウォールＩＤ＝１０２を抽出し、該パケット１２１を仮想ファイアウォール１０２に振り分ける（処理ポイント１５２）。これにより、パケット１２１は、ユーザ＃ａが定めるセキュリティポリシに従うフィルタリングルールに従い、通過あるいは廃棄処理が適用される。

また、通信相手端末１１３からユーザ端末１１１に向け送信されるパケット１２２をファイアウォール装置１００が受信すると、その宛先ＩＰアドレスとして記載される［ａ．ａ．ａ．ａ］を検索キーとして振分け管理テーブル１０１を参照し、［ａ．ａ．ａ．ａ］の行に記載されている仮想ファイアウォールＩＤ＝１０２を抽出し、該パケット１２２を仮想ファイアウォール１０２に振り分ける（処理ポイント１５３）。これにより、パケット１２２は、ユーザ＃ａが定めるセキュリティポリシに従うフィルタリングルールに従い、通過あるいは廃棄処理が適用される。

ユーザ♯ｂの端末１１２がインターネット１１０にネットワーク接続し、その後、接続相手端末１１３とＩＰ通信を行う場合も、同様の手順により、端末１１２が送受信するパケットは仮想ファイアウォール１０３に振り分けられ、ユーザ♯ｂが定めるセキュリティポリシに従うフィルタリングルールに従い、通過あるいは廃棄処理が適用される。

［実施例１−２］
本発明の実施例１−２を、図１０を用い説明する。本例は、実施例１−１において、ユーザ＃ａから送られるユーザ名あるいはパスワードに誤りがあるなどの理由により、ユーザ名およびパスワードの通知１４１によって送られたユーザ名とパスワードの組合せが、ＲＡＤＩＵＳサーバ１３０に登録されているユーザ名とパスワードの組合せと一致しない場合を示すものである。

なお、ＬＣＰ１３９からユーザ名およびパスワードの通知１４１の処理は実施例１−１と同様であるため、説明を省略する。

前述の理由により、ＲＡＤＩＵＳサーバ１３０からの認証エラー通知６４２が送られると、ファイアウォール装置１００は、ユーザ端末１１１に認証エラー通知６４３を送信し、ＰＰＰの確立処理を終了する。このときファイアウォール装置１００は、振分け管理テーブル１０１には何も処理を行わない。

［実施例１−３］
本発明の第３の実施例を、図８、図１１および図１２を用い説明する。本例は、実施例１−１において、ファイアウォールサービス未登録ユーザ♯ｃの端末１１４が、インターネット１１０にネットワーク接続し、その後、接続相手端末１１３とＩＰ通信を行う形態を示すものである。なお、ファイアウォールサービス未登録ユーザ♯ｃは、振分け管理テーブル１０１−３には、ユーザ名および仮想ファイアウォールの登録はないが、端末１１４を通じてインターネット１１０への通信サービスは享受しており、ＲＡＤＩＵＳサーバ１３０にユーザ名およびパスワードが登録されている。
図１２において、ユーザＩＰアドレスの通知１４２までの動作は、実施例１−１と同様であり、説明は省略する。

ユーザＩＰアドレスの通知１４２を受信すると、ファイアウォール装置１００はユーザＩＰアドレスの通知１４２に記載されているユーザ端末に付与すべきユーザＩＰアドレス［ｃ．ｃ．ｃ．ｃ］を保持する。そして、ユーザ名を検索キーとして、振分け管理テーブル１０１−３に対し、ユーザ名♯ｃの検索を行うが、ユーザ名♯ｃは存在しないため、ユーザＩＰアドレス［ｃ．ｃ．ｃ．ｃ］を振分け管理テーブル１０１−３には登録しない。

また、ファイアウォール装置１００は、これと同時に、ＮＣＰの情報をユーザ端末１１４とファイアウォール装置１００との間でやりとりする（１４３）中で、ユーザＩＰアドレス［ｃ．ｃ．ｃ．ｃ］をユーザ端末１１４に送り、ユーザ端末１１４は自ユーザＩＰアドレスが［ｃ．ｃ．ｃ．ｃ］であると認識する。

ＮＣＰが終了後、ユーザ端末とネットワークとの間でＰＰＰ接続が確立される。その後、ユーザ端末１１４から接続相手端末１１３に向け送信されるパケット１２１を、ファイアウォール装置１００が受信すると、その送信元ＩＰアドレスとして記載される［ｃ．ｃ．ｃ．ｃ］を検索キーとして振分け管理テーブル１０１を参照した結果、該送信元ＩＰアドレスが登録されていないことが判明する。

該送信元ＩＰアドレスが登録されていない場合、図１１に示す振分け管理テーブル１０１−３の最下行にあるように、振り分けるべき仮想ファイアウォールは仮想ファイアウォール１０４と記載されているため、該パケット１２１を未登録ユーザ用の仮想ファイアウォール１０４に振り分ける（処理ポイント１５２）。

同様にして、通信相手端末１１３から送信されるパケット１２２に対しても、その宛先ユーザＩＰアドレス［ｃ．ｃ．ｃ．ｃ］を検索キーとして振分け管理テーブル１０１を参照した結果、該宛先ＩＰアドレスが登録されていないことが判明すると、該パケット１２２を未登録ユーザ用の仮想ファイアウォール１０４に振り分ける（処理ポイント１５３）。

なお、未登録ユーザ用の仮想ファイアウォール１０４は、フィルタリングルールが記載されず、全てのパケットを無条件に通過させる、あるいは、未登録ユーザ全員に共通なフィルタリングルールが記載されている。

［実施例１−４］
本発明の第４の実施例を、図８、図１３および図１４を用い説明する。本例は、実施例１−３と同様の条件であり、ファイアウォールサービス未登録ユーザ♯ｃの端末１１４が、インターネット１１０にネットワーク接続し、その後、接続相手端末１１３とＩＰ通信を行う形態を示すものである。なお、ファイアウォールサービス未登録ユーザ♯ｃは、振分け管理テーブル１０１−４には、ユーザ名および仮想ファイアウォールの登録はないが、端末１１４を通じてインターネット１１０への通信サービスは享受しており、ＲＡＤＩＵＳサーバ１３０にユーザ名およびパスワードが登録されている。
図１４において、ユーザＩＰアドレスの通知１４２までの動作は、実施例１−１と同様であり、説明は省略する。

ユーザＩＰアドレスの通知１４２を受信すると、ファイアウォール装置１００はユーザＩＰアドレスの通知１４２に記載されているユーザ端末に付与すべきユーザＩＰアドレス［ｃ．ｃ．ｃ．ｃ］を保持する。そして、ユーザ名を検索キーとして、振分け管理テーブル１０１−４に対し、ユーザ名♯ｃの検索を行うが、ユーザ名♯ｃは存在しない。ユーザ名が存在しない場合、図１３に示すように、ユーザＩＰアドレス［ｃ．ｃ．ｃ．ｃ］および未登録ユーザ用の仮想ファイアウォール１０４のＩＤ＝１０４を振分け管理テーブル１０１−４に登録する。

また、ファイアウォール装置１００は、これと同時に、ＮＣＰの情報をユーザ端末１１４とファイアウォール装置１００との間でやりとりする（１４３）中で、ユーザＩＰアドレス［ｃ．ｃ．ｃ．ｃ］をユーザ端末１１４に送り、ユーザ端末１１４は自ユーザＩＰアドレスが［ｃ．ｃ．ｃ．ｃ］であると認識する。

ＮＣＰが終了後、ユーザ端末とネットワークとの間でＰＰＰ接続が確立される。その後、ユーザ端末１１４から接続相手端末１１３に向け送信されるパケット１２１を、ファイアウォール装置１００が受信すると、その送信元ＩＰアドレスとして記載される［ｃ．ｃ．ｃ．ｃ］を検索キーとして振分け管理テーブル１０１を参照し、該送信元ＩＰアドレスと対応付けられている仮想ファイアウォールＩＤ＝１０４を検索し、該パケット１２１を未登録ユーザ用の仮想ファイアウォール１０４に振り分ける（処理ポイント１５２）。

同様にして、通信相手端末１１３から送信されるパケット１２２に対しても、その宛先ユーザＩＰアドレス［ｃ．ｃ．ｃ．ｃ］を検索キーとして振分け管理テーブル１０１−４を参照し、該送信宛先ＩＰアドレスと対応付けられている仮想ファイアウォールＩＤ＝１０４を検索し、該パケット１２２を未登録ユーザ用の仮想ファイアウォール１０４に振り分ける（処理ポイント１５３）。

なお、未登録ユーザ用の仮想ファイアウォール１０４は実施例１−３と同様、フィルタリングルールが記載されず、全てのパケットを無条件に通過させる、あるいは、未登録ユーザ全員に共通なフィルタリングルールが記載されている。

また、該送信元ＩＰアドレスが登録されていない場合、図１３に示す振分け管理テーブル１０１−４の最下行にあるように、パケットを廃棄する。これによって、ある悪意ユーザがIP Spoofing攻撃などにより、どのユーザにも付与されていないＩＰアドレスを持つパケットを大量に送出した場合に、ファイアウォール装置１００にてこれらのパケットを廃棄することができる。

［実施例１−５］
本発明の実施例１−５を、図８、図１５および図１６を用い説明する。本例は、実施例１−１において、ファイアウォールサービス未登録ユーザ♯ｄの端末１１５が、インターネット１１０にネットワーク接続し、その後、接続相手端末１１３とＩＰ通信を行う形態を示すものである。なお、ユーザ♯ｄは本来、ファイアウォールサービスに登録されるべきユーザであるが、本例では、ファイアウォール装置１００の管理者が振分け管理テーブル１０１−５にその登録をし忘れたあるいは誤った登録を行ったなどの理由により、ユーザ名♯ｄが振分け管理テーブル１０１−５に正しく登録されていない形態となっている。なお、ＲＡＤＩＵＳサーバ１３０には正しくユーザ名♯ｄおよびパスワードが登録されている。
図１５において、ユーザＩＰアドレスの通知１４２までの動作は、実施例１−１と同様であり、説明は省略する。

ユーザＩＰアドレスの通知１４２を受信すると、ファイアウォール装置１００はユーザＩＰアドレスの通知１４２に記載されているユーザ端末に付与すべきユーザＩＰアドレス［ｄ．ｄ．ｄ．ｄ］を保持する。そして、ユーザ名を検索キーとして、振分け管理テーブル１０１−５に対し、ユーザ名♯ｄの検索を行うが、ユーザ名♯ｄは存在しない。ユーザ名が存在しない場合、ファイアウォール装置１００は、ユーザ端末１１５に認証エラー通知９４３を送信し、ＰＰＰの確立処理を終了する。

（実施例１−１〜１−５の効果）
実施例１−１のファイアウォール装置は、常時接続サービスのようにユーザＩＰアドレスが、ユーザ端末とネットワークとの接続が確立されるときに初めて付与され、かつ、ユーザＩＰアドレスの値が可変である場合に対し、動的に振分け管理テーブルにユーザＩＰアドレスを登録する手段を有する。また、本発明の動的ユーザ識別子対応ファイアウォール装置は、ユーザ毎に仮想ファイアウォールを有する。

これにより、事前にユーザＩＰアドレスと仮想ファイアウォールＩＤとの対応付けができない通信形態に対し、ユーザ端末からのネットワーク接続のための認証情報を利用し、動的にユーザＩＰアドレスと仮想ファイアウォールＩＤとを対応づけ、該ユーザ端末が送信あるいは受信するパケットに対し、該ユーザが定めるセキュリティポリシに従うフィルタリングルールを適用することができる。また、収容ユーザの集約による経済化と、アウトソーシングによるユーザ稼動の軽減を可能とする。

また、実施例１−２のファイアウォール装置は、ユーザから送られるユーザ名あるいはパスワードに誤りがあり、ＲＡＤＩＵＳサーバからの認証エラー通知が送られる場合に、振分け管理テーブルには何も処理を行わず、ユーザ端末に認証エラー通知を送信する。これにより、ネットワーク接続が拒絶される場合の振分け管理テーブル検索および登録処理を排除し、その分余った処理能力を、他の処理に注力することができる。

また、実施例１−３および実施例１−４のファイアウォール装置は、ファイアウォールサービスを享受しないユーザのユーザ端末も収容することができ、本ファイアウォールサービスを享受しない各ユーザが、サービスを享受する度に発生する物理的な接続の収容替えの煩わしさを排除することができる。

さらに、実施例１−３に示す手段の場合、未登録ユーザを振分け管理テーブルに登録させず、未登録ユーザの送受信パケットを自動的に未登録ユーザ用の仮想ファイアウォールに振り分けるため、振分け管理テーブルに登録される件数は、現在ネットワーク接続確立中の登録ユーザに限ることができ、検索時間の短縮に貢献する。

一方、実施例１−４に示す手段の場合、未登録ユーザを振分け管理テーブルに登録させ、未登録ユーザの送受信パケットを陽に未登録ユーザ用の仮想ファイアウォールに振分け、また、振分け管理テーブルに登録されていない場合は、パケットを廃棄するため、ある悪意ユーザがIP Spoofing攻撃などにより、どのユーザにも付与されていないＩＰアドレスを持つパケットを大量に送出した場合に、ファイアウォール装置にてこれらのパケットを廃棄することができる。

このように実施例１−３と実施例１−４の各手段は、用途により使い分けられる。

実施例１−５のファイアウォール装置は、ファイアウォール装置の管理者が振分け管理テーブルに対し、ユーザ名および仮想ファイアウォールの登録をし忘れたあるいは誤った登録を行った場合に対し、セキュリティの観点から、もはや成立してはいけない通信を、強制的に終了させることが出来る。

（実施例２−１〜実施例２−７）
次に、実施例２−１〜実施例２−７について説明する。

実施例１−１等に示した動作により、事前にユーザＩＰアドレスと仮想ファイアウォールＩＤとの対応付けができない通信形態に対し、ユーザ端末からのネットワーク接続のための認証情報を利用し、動的にユーザＩＰアドレスと仮想ファイアウォールＩＤとを対応付け、該ユーザ端末が送信あるいは受信するパケットに対し、該ユーザが定めるセキュリティポリシに従うフィルタリングルールを適用することができる。

ただし、常時接続サービスの場合、データセンタ等への適用の場合と比較し、収容ユーザ数が断然に多い。

想定される規模として、データセンタの場合、収容ユーザ数は数百〜数千であるのに対し、常時接続サービスの場合、収容ユーザ数は数万〜数十万規模となる。

現在、装置化され、サービスとして導入されている信頼性の高い仮想ファイアウォール装置の多くは、データセンタ向けに開発されており、実際に収容できるユーザ数は前述の通り、数百〜数千となっている。

収容ユーザ数の規模は異なるものの、常時接続サービス向けの仮想ファイアウォール装置を開発するにあたり、開発の効率化や既存技術の活用の観点から、前記データセンタ向け仮想ファイアウォール装置を土台に流用開発や追加開発する手法が極めて有効となる。

したがって、常時接続サービス向けの仮想ファイアウォール装置を提供するための課題は、ユーザ多重数の向上にある。

また、常時接続サービスではユーザ多重数が多いため、ユーザ毎に独立のセキュリティポリシを提供するサービス性を確保する場合、フィルタリングルールの合計数もユーザ多重数に比例し、多くなる。

しかし実際のところ、各ユーザのフィルタリングルールには、多くのユーザに共通するルールもあるため、ファイアウォール装置全体の観点から見た場合に、ルールの重複となり非効率である。その結果、フィルタリングテーブル量の増大に繋がる。

以上のように常時接続サービス向けの仮想ファイアウォール装置を開発するには、ユーザ多重数の向上とフィルタリングテーブルの効率化が課題となる。

実施例２−１〜実施例２−７では、ユーザ多重数を向上させ、かつ、フィルタリングテーブルの効率化を実現するファイアウォール装置について説明する。

［実施例２−１］
図１７は、本発明の実施例２−１のファイアウォール装置の概略構成を示すブロック図であり、図１８は、本実施例の仮想ファイアウォール内のフィルタリングテーブルの構成を示す図である。

なお、本実施例では、ユーザからのネットワーク接続方式はＰＰＰ（Point to point Protocol）、認証用通信はＲＡＤＩＵＳとする。

ファイアウォール装置３００は、複数の仮想ファイアウォール（３０２，３０３，…，３０４）を具備する。

さらに、図１８に示すように、各仮想ファイアウォール（３０２，３０３）には、それぞれ、フィルタリングＩＤによって特定される複数のフィルタリングテーブル（５６１，５６２，５６３）が存在し、各フィルタリングテーブル（５６１，５６２，５６３）には、各ユーザの独立した１つ以上のフィルタリングポリシが記載される。

本実施例では、ユーザ＃ａとユーザ＃ｂが定めるセキュリティポリシが仮想ファイアウォール３０２に、ユーザ＃ｄが定めるセキュリティポリシが仮想ファイアウォール３０３に格納される。

さらに、ユーザ＃ａは、仮想ファイアウォール３０２の中で、フィルタリングＩＤがαのフィルタリングテーブル５６１に、ユーザ＃ｂはフィルタリングＩＤがβのフィルタリングテーブル５６２に、ユーザ＃ｄは仮想ファイアウォール３０３の中で、フィルタリングＩＤがγのフィルタリングテーブル５６３に、それぞれのセキュリティポリシが記載されている。

ここで、ユーザ＃ａとユーザ＃ｂとを同じ仮想ファイアウォール３０２に収容するのは、例えば、ユーザ＃ａとユーザ＃ｂの共通すべきフィルタリングポリシが同じである場合や、仮想ファイアウォールがインターネットプロバイダ毎に構築されており、ユーザ＃ａとユーザ＃ｂとが同じインターネットプロバイダに属する場合、等の理由が挙げられる。

振分け管理テーブル３０１には、事前に設定可能なユーザ名、仮想ファイアウォールＩＤおよびフィルタリングＩＤが登録されている。

すなわち、振分け管理テーブル３０１には、ユーザ名＃ａ、仮想ファイアウォールＩＤ（３０２）およびフィルタリングＩＤ（α）の対応付け、ユーザ名＃ｂ、仮想ファイアウォールＩＤ（３０２）およびフィルタリングＩＤ（β）の対応付け、ユーザ名＃ｄ、仮想ファイアウォールＩＤ（３０３）およびフィルタリングＩＤ（γ）の対応付けが登録される。

ただし、各ユーザ端末のユーザＩＤとなるユーザＩＰアドレスは未確定のため、この時点では登録することができない（図１９に示す振分け管理テーブル３０１−１の状態）。

ユーザＩＰアドレスが振分け管理テーブル３０１に登録されない限り、各ユーザからのパケットをそれぞれの仮想ファイアウォールに振分けること、フィルタリングＩＤの付与を行うことができない。

本実施例ではユーザ＃ａの端末３１１がインターネット３１０にネットワーク接続し、その後、接続相手端末３１３とＩＰ通信を行うものとする。

以下、図１９を用いて、本実施例のファイアウォール装置の動作について説明する。なお、図１９は、本実施例のファイアウォール装置の動作を示すシーケンス図である。

まず、ユーザ端末３１１からのネットワーク接続要求として、ユーザ端末３１１とファイアウォール装置３００との間でＬＣＰ（Link Control Protocol）の情報がやりとりされる（図１９の８３９）。

この後行われる認証情報のやりとり（図１９の８４０）により、ファイアウォール装置３００は、ユーザ端末３１１から送信されるユーザ名＃ａを抽出し、ユーザ名＃ａを保持する（図１９の処理ポイント８５０）。

そして認証情報（ユーザ名およびパスワード）を、ＲＡＤＩＵＳサーバ３３０に通知する（図１９の８４１）。

ＲＡＤＩＵＳサーバ３３０にて認証され、その応答を受信すると（図１９の８４２）、ファイアウォール装置３００はその応答に記載されているユーザ端末に付与すべきユーザＩＰアドレスを保持する。このユーザＩＰアドレスを［ａ．ａ．ａ．ａ］とする。

そして、ユーザ名＃ａを検索キーとして、振分け管理テーブル３０１の中のユーザ名が＃ａと記載されている行に、このユーザＩＰアドレス［ａ．ａ．ａ．ａ］を登録する（図１９の処理ポイント８５１、図１９の振分け管理テーブル３０１−２の状態）。

また、ファイアウォール装置３００は、これと同時に、ＮＣＰ（Network Control Protocol）の情報をユーザ端末３１１とファイアウォール装置３００との問でやりとりする（８４３）中で、ユーザＩＰアドレス［ａ．ａ．ａ．ａ］をユーザ端末３１１に送り、ユーザ端末３１１は自ユーザＩＰアドレスが［ａ．ａ．ａ．ａ］であると認識する。

ＮＣＰが終了後、ユーザ端末３１１とインターネット３１０との間でＰＰＰ接続が確立される。

その後、ユーザ端末３１１から接続相手端末３１３に向け送信されるパケット３２１を、ファイアウォール装置３００が受信すると、その送信元ＩＰアドレスとして記載される［ａ．ａ．ａ．ａ］を検索キーとして振分け管理テーブル（図１９の３０１−２）を検索し、［ａ．ａ．ａ．ａ］の行に記載されている仮想ファイアウォールＩＤ（ＩＤ＝３０２）、フィルタリングＩＤ（ＩＤ＝α）を抽出し、当該パケット３２１を仮想ファイアウォール３０２に振り分けるとともに、当該パケット３２１に、αのフィルタリングＩＤを付与する（図１９の処理ポイント８５２）。

フィルタリングＩＤを付与されたパケット３２２は、図１８に示すように、振り分けられた仮想ファイアウォール３０２内において、フィルタリングＩＤがαのフィルタリングテーブル５６１に記載されているユーザ＃ａのセキュリティポリシに従うフィルタリングルールに従い、通過あるいは廃棄処理が適用される。

また、通信相手端末３１３からユーザ端末３１１に向け送信されるパケット３２３をファイアウォール装置３００が受信すると、その宛先ＩＰアドレスとして記載される［ａ．ａ．ａ．ａ］を検索キーとして、振分け管理テーブル（図１９の３０１−２）を検索し、［ａ．ａ．ａ．ａ］の行に記載されている仮想ファイアウォールＩＤ（ＩＤ＝３０２）、フィルタリングＩＤ（ＩＤ＝α）を抽出し、当該パケット３２３を仮想ファイアウォール３０２に振り分けるとともに、当該パケット３２３に、αのフィルタリングＩＤを付与する（図１９の処理ポイント８５３）。

フィルタリングＩＤを付与されたパケット３２４は、振り分けられた仮想ファイアウォール３０２内において、フィルタリングＩＤがαのフィルタリングテーブル５６１に記載されているユーザ＃ａのセキュリティポリシに従うフィルタリングルールに従い、通過あるいは廃棄処理が適用される。

ユーザ＃ｂの端末３１２がインターネット３１０にネットワーク接続し、その後、接続相手端末３１３とＩＰ通信を行う場合も、同様の手順により、端末３１２が送受信するパケットは仮想ファイアウォール３０２に振り分けられ、その後、フィルタリングテーブル５６２に記載されているユーザ＃ｂのセキュリティポリシに従うフィルタリングルールに従い、通過あるいは廃棄処理が適用される。

以上説明したように、本実施の形態では、フィルタリングＩＤ（α，β，γ）を導入することにより、各仮想ファイアウォール（３０２，３０３，３０４）に複数の独立したフィルタリングポリシを管理することができ、ユーザ多重数を向上させることができる。

また、ユーザ毎のパケットの検索範囲は、付与されたフィルタリングＩＤの値と一致するテーブルのみを検索対象とするため、検索処理時間が不必要に長くなるのを抑制することができる。

［実施例２−２］
本発明の実施例２−２のファイアウォール装置は、仮想ファイアウォールを備えていない点で、前述の実施例２−１のファイアウォール装置と相異する。

以下、本実施例のファイアウォール装置について、前述の実施例２−１のファイアウォール装置との相異点を中心に説明する。

なお、実施例においても、ユーザからのネットワーク接続方式はＰＰＰ、認証用通信はＲＡＤＩＵＳとする。

図２０は、本発明の実施例２−２のファイアウォール装置の概略構成を示すブロック図である。

図２０に示すように、本実施例のファイアウォール装置３００は、フィルタリングＩＤによって特定される複数のフィルタリングテーブル（５６１，５６２）を有し、各フィルタリングテーブルには、各ユーザの独立したフィルタリングポリシが記載される。

本実施例では、ユーザ＃ａはフィルタリングＩＤがαのフィルタリングテーブル５６１に、ユーザ＃ｂはフィルタリングＩＤがβのフィルタリングテーブル５６２に、それぞれのセキュリティポリシが記載されている。

振分け管理テーブル３０１には、事前に設定可能なユーザ名およびフィルタリングＩＤが登録されている。

すなわち振分け管理テーブル３０１には、ユーザ名＃ａおよびフィルタリングＩＤ αの対応付け、ユーザ名＃ｂおよびフィルタリングＩＤ
βの対応付けが登録される。

ただし、各ユーザ端末のユーザＩＤとなるユーザＩＰアドレスは未確定のため、この時点では登録することができない（図２１に示す振分け管理テーブル３０１−１の状態）。

ユーザＩＰアドレスが振分け管理テーブル３０１に登録されない限り、各ユーザからのパケットに対し、フィルタリングＩＤの付与を行うことができない。

本実施例ではユーザ＃ａの端末３１１がインターネット３１０にネットワーク接続し、その後、接続相手端末３１３とＩＰ通信を行うものとする。

以下、図２１を用いて、本実施例のファイアウォール装置の動作について説明する。なお、図２１は、本実施例のファイアウォール装置の動作を示すシーケンス図である。

ユーザ端末３１１とファイアウォール装置３００との間でのＬＣＰの情報のやりとり（図２１の８３９）から、ユーザ端末３１１とファイアウォール装置３００との間でのＮＣＰの情報をやりとり（図２１の８４３）までの動作は、実施例２−１と同様であるので、再度の説明は省略する。

ＮＣＰが終了後、ユーザ端末３１１とインターネット３１０との間でＰＰＰ接続が確立される。その後、ユーザ端末３１１から接続相手端末３１３に向け送信されるパケット３２１を、ファイアウォール装置３００が受信すると、その送信元ＩＰアドレスとして記載される［ａ．ａ．ａ．ａ］を検索キーとして振分け管理テーブル（図２１の３０１−２）を検索し、［ａ．ａ．ａ．ａ］の行に記載されているフィルタリングＩＤ（ＩＤ＝α）を抽出し、当該パケット３２１に対し、αのフィルタリングＩＤを付与する（図２１の処理ポイント８５２）。

フィルタリングＩＤを付与されたパケット３２２は、フィルタリングＩＤがαのフィルタリングテーブル５６１に記載されているユーザ＃ａのセキュリティポリシに従うフィルタリングルールに従い、通過あるいは廃棄処理が適用される。

また、通信相手端末３１３からユーザ端末３１１に向け送信されるパケット３２３をファイアウォール装置３００が受信すると、その宛先ＩＰアドレスとして記載される［ａ．ａ．ａ．ａ］を検索キーとして振分け管理テーブル（図２１の３０１−２）を検索し、［ａ．ａ．ａ．ａ］の行に記載されているフィルタリングＩＤ（ＩＤ＝α）を抽出し、当該パケット３２３に対して、αのフィルタリングＩＤを付与する（図２１の処理ポイント８５３）。

フィルタリングＩＤを付与されたパケット３２４は、フィルタリングＩＤがαのフィルタリングテーブル５６１に記載されているユーザ＃ａのセキュリティポリシに従うフィルタリングルールに従い、通過あるいは廃棄処理が適用される。

ユーザ＃ｂの端末３１２がインターネット３１０にネットワーク接続し、その後、接続相手端末３１３とＩＰ通信を行う場合も、同様の手順により、端末３１２が送受信するパケットはフィルタリングテーブル５６２に記載されているユーザ＃ｂのセキュリティポリシに従うフィルタリングルールに従い、通過あるいは廃棄処理が適用される。

［実施例２−３］
本発明の実施例２−３のファイアウォール装置は、フィルタリングＩＤを、個別フィルタリングＩＤと共通フィルタリングＩＤに２分化した点で、前述の実施例２−１のファイアウォール装置と相異する。

以下、本実施例のファイアウォール装置について、前述の実施例２−１のファイアウォール装置との相違点を中心に説明する。

なお、本実施例２−３のファイアウォール装置の概略構成は、図１７と同じである。また、本実施例においても、ユーザからのネットワーク接続方式はＰＰＰ、認証用通信はＲＡＤＩＵＳとする。

本実施例のファイアウォール装置では、前述の実施例２−１のフィルタリングＩＤを、さらに個別フィルタリングＩＤと共通フィルタリングＩＤに２分化し、各ユーザ個別のフィルタリングポリシは個別フィルタリングテーブルに記載し、複数のユーザにて共通化することが可能なフィルタリングポリシは共通フィルタリングテーブルに記載する。

したがって、本実施例において、図１７に示す振分け管理テーブル３０１および図１９に示す振分け管理テーブル（３０１−１）は、図２２に示す振分け管理テーブル６０１に置き換えられ、図１９に示す振分け管理テーブル（３０１−２）は、図２３の振分け管理テーブル１１０１に置き換えられる。

また、図２４は、本実施例のファイアウォール装置の仮想ファイアウォール内のフィルタリングテーブルの構成を示す図である。

本実施の形態のファイアウォール装置３００は、複数の仮想ファイアウォール（３０２，３０３，…，３０４）を具備している。

さらに、図２４に示すように、各仮想ファイアウォール（３０２，３０３）にはそれぞれ、個別フィルタリングＩＤによって特定される複数のフィルタリングテーブル（５６１，５６２，５６３）、および共通フィルタリングＩＤによって特定される複数のフィルタリングテーブル（５７１，５７２）が存在する。

各ユーザ個別のフィルタリングポリシは個別フィルタリングテーブル（５６１，５６２，５６３）に、複数のユーザにて共通化することが可能なフィルタリングポリシは共通フィルタリングテーブル（５７１，５７２）に記載されている。

また、これに伴い、図２２に示すように振分け管理テーブル６０１は、ユーザ名、仮想ファイアウォールＩＤ、個別フィルタリングＩＤおよび共通フィルタリングＩＤを管理する。

本実施例では、ユーザ＃ａとユーザ＃ｂが定めるセキュリティポリシが仮想ファイアウォール３０２に、ユーザ＃ｄが定めるセキュリティポリシが仮想ファイアウォール３０３に格納されており、さらに、ユーザ＃ａの個別フィルタリングポリシは仮想ファイアウォール３０２の中で、フィルタリングＩＤがαの個別フィルタリングテーブル５６１に、ユーザ＃ｂの個別フィルタリングポリシはフィルタリングＩＤがβの個別フィルタリングテーブル５６２に、ユーザ＃ｄの個別フィルタリングポリシは仮想ファイアウォール３０３の中で、フィルタリングＩＤがγの個別フィルタリングテーブル５６３に、それぞれ記載されている。

また、ユーザ＃ａとユーザ＃ｂは、フィルタリングＩＤがＩの共通フィルタリングテーブル５７１に記載のフィルタリングポリシも適用される。

同様に、ユーザ＃ｄは、フィルタリングＩＤがIIの共通フィルタリングテーブル５７２に記載のフィルタリングポリシも適用される。

振分け管理テーブル６０１には、事前に設定可能なユーザ名、仮想ファイアウォールＩＤ、個別フィルタリングＩＤおよび共通フィルタリングＩＤが登録されている。

すなわち振分け管理テーブル６０１には、ユーザ名＃ａ、仮想ファイアウォールＩＤ（３０２）、個別フィルタリングＩＤ（α）および共通フィルタリングＩＤ（Ｉ）の対応付け、ユーザ名＃ｂ、仮想ファイアウォールＩＤ（３０２）、個別フィルタリングＩＤ（β）および共通フィルタリングＩＤ（Ｉ）の対応付け、ユーザ名＃ｄ、仮想ファイアウォールＩＤ（３０３）、個別フィルタリングＩＤ（γ）および共通フィルタリングＩＤ（II）の対応付けが登録される。

ただし、各ユーザ端末のユーザＩＤとなるユーザＩＰアドレスは未確定のため、この時点では登録することができない（図２２の振分け管理テーブル６０１の状態）。

ユーザＩＰアドレスが振分け管理テーブル６０１に登録されない限り、各ユーザからのパケットをそれぞれの仮想ファイアウォールに振分けること、個別フィルタリングＩＤおよび共通フィルタリングＩＤの付与を行うことができない。

本実施例では、ユーザ＃ａの端末３１１がインターネット３１０にネットワーク接続し、その後、接続相手端末３１３とＩＰ通信を行うものとする。

以下、図１９を用いて、本実施例のファイアウォール装置の動作について説明する。

ユーザ端末３１１とファイアウォール装置３００との間でのＬＣＰの情報のやりとりから、ユーザ端末３１１とファイアウォ一ル装置３００との間でのＮＣＰの情報をやりとりまでの動作は、実施例２−１と同様であるので、再度の説明は省略する。

ＮＣＰが終了後、ユーザ端末３１１とインターネット３１０との問でＰＰＰ接続が確立される。その後、図１７に示すように、ユーザ端末３１１から接続相手端末３１３に向け送信されるパケット３２１をファイアウォール装置３００が受信すると、その送信元ＩＰアドレスとして記載される［ａ．ａ．ａ．ａ］を検索キーとして振分け管理テーブル１１０１を検索し、［ａ．ａ．ａ．ａ］の行に記載されている仮想ファイアウォールＩＤ（ＩＤ＝３０２）、個別フィルタリングＩＤ（ＩＤ＝α）および共通フィルタリングＩＤ（ＩＤ＝Ｉ）を抽出し、当該パケット３２１を仮想ファイアウォール３０２に振り分けるとともに、αの個別フィルタリングＩＤ、およびＩの共通フィルタリングＩＤを付与する（図１９の処理ポイント８５２）。

個別フィルタリングＩＤおよび共通フィルタリングＩＤが付与されたパケット３２２は、図２４に示すように、仮想ファイアウォール３０２内において、個別フィルタリングＩＤがαの個別フィルタリングテーブル５６１に記載されたユーザ＃ａのセキュリティポリシに従うフィルタリングルールに従い、通過あるいは廃棄処理が行われる。

もし個別フィルタリングテーブル５６１に記載のフィルタリングポリシに、適用すべきルールが存在しなかった場合、パケット３２２は、次に、共通フィルタリングＩＤがＩの共通フィルタリングテーブル５７１に記載されたフィルタリングポリシに従い、通過あるいは廃棄処理が行われる。

また、通信相手端末３１３からユーザ端末３１１に向け送信されるパケット３２３をファイアウォール装置３００が受信すると、その宛先ＩＰアドレスとして記載される［ａ．ａ．ａ．ａ］を検索キーとして振分け管理テーブル１１０１を検索し、［ａ．ａ．ａ．ａ］の行に記載されている仮想ファイアウォールＩＤ（ＩＤ＝３０２）、個別フィルタリングＩＤ（ＩＤ＝α）および共通フィルタリングＩＤ（ＩＤ＝Ｉ）を抽出し、当該パケット３２３を仮想ファイアウォール３０２に振り分けるとともに、αの個別フィルタリングＩＤおよびＩの共通フィルタリングＩＤを付与する（図１９の処理ポイント８５３）。

個別フィルタリングＩＤおよび共通フィルタリングＩＤが付与されたパケット３２４は、個別フィルタリングＩＤがαの個別フィルタリングテーブル５６１に記載されたユーザ＃ａのセキュリティポリシに従うフィルタリングルールに従い、通過あるいは廃棄処理が行われる。

もし個別フィルタリングテーブル５６１に記載されたフィルタリングポリシに、適用すべきルールが存在しなかった場合、パケット３２４は、次に、共通フィルタリングＩＤがＩの共通フィルタリングテーブル５７１に記載されたフィルタリングポリシに従い、通過あるいは廃棄処理が行われる。

以上説明したように、本実施例によれば、例えば、１０ユーザが２つの同じフィルタリングルールを利用している場合、従来技術を適用すると、合計２０ルールがフィルタリングテーブルに記載されるのに対し、本実施例では、２ルールのみフィルタリングテーブルに記載すればよいことになる。

すなわち、共通フィルタリングＩＤおよび共通フィルタリングテーブルの導入により、フィルタリングポリシを効率的に管理することが可能となる。

なお、実施例２−２における仮想ファイアウォールを用いない形態においても、本実施例における個別フィルタリングテーブル、共通フィルタリングテーブルを導入することが可能である。その場合、実施例２−２において、フィルタリングＩＤに代えて、振り分け管理テーブルに本実施例と同様の個別フィルタリングＩＤと共通フィルタリングＩＤを設け、また、フィルタリングテーブルに代えて、本実施例と同様の個別フィルタリングテーブルと共通フィルタリングテーブルを備える。

［実施例２−４］
本実施例のファイアウォール装置は、前述の実施例２−１、２−２のファイアウォール装置において、ユーザ＃ａから送られるユーザ名あるいはパスワードに誤りがあるなどの理由により、ユーザ名およびパスワードの通知によって送られたユーザ名とパスワードの組合せが、ＲＡＤＩＵＳサ一バ３３０に登録されているユーザ名とパスワードの組合せと一致しない場合の実施の形態である。

実施例２−４のファイアウォール装置の動作を、図２５を用いて説明する。なお、図２５は、実施例２−４のファイアウォール装置の動作を示すシーケンス図である。

また、ＬＣＰ（図２５の３３９）からユーザ名およびパスワードの通知（図２５の３４１）の処理は、実施例２−１と同様であるので、再度の説明は省略する。

前述の理由により、ＲＡＤＩＵＳサーバ３３０へのユーザ名およびパスワードの通知（図２５の３４１）に対する応答として、ＲＡＤＩＵＳサーバ３３０からの認証エラー通知が送られると（図２５の１２４２）、ファイアウォール装置３００は、ユーザ端末３１１に認証エラー通知を送信し（図２５の１２４３）、ＰＰＰの確立処理を終了する。

このときファイアウォール装置３００は、振分け管理テーブル３０１には何も処理を行わない。

［実施例２−５］
本発明の実施例２−５のファイアウォール装置は、前述の実施例２−１のファイアウォール装置において、ファイアウォールサービス未登録ユーザ＃ｃの端末３１４が、インターネット３１０にネットワーク接続し、その後、接続相手端末３１３とＩＰ通信を行う形態の実施の形態である。

本実施例２−５のファイアウォール装置の概略構成は、図１７と同じであり、図２６は、本実施例の振分け管理テーブルの内容を示す図である。

なお、ファイアウォールサービス未登録ユーザ＃ｃは、振分け管理テーブル（３０１−３）には、ユーザ名および仮想ファイアウォールの登録はないが、端末３１４を通じてインターネット３１０への通信サービスは享受しており、ＲＡＤＩＵＳサーバ３３０にユーザ名およびパスワードが登録されている。

以下、図２７を用いて、本実施例のファイアウォール装置の動作について説明する。なお、図２７は、本実施例のファイアウォール装置の動作を示すシーケンス図である。

図２７において、ＬＣＰ（図２７の３３９）から、ユーザＩＰアドレスの通知（図２７の３４２）までの動作は、実施例２−１と同じであるので、再度の説明は省略する。

ユーザＩＰアドレスの通知（図２７の３４２）を受信すると、ファイアウォール装置３００は、ユーザＩＰアドレスの通知に記載されているユーザ端末に付与すべきユーザＩＰアドレス［ｃ．ｃ．ｃ．ｃ］を保持する。

そして、ユーザ名を検索キーとして、振分け管理テーブル（３０１−３）に対し、ユーザ名＃ｃの検索を行うが、ユーザ名＃ｃは存在しないため、ユーザＩＰアドレス［ｃ．ｃ．ｃ．ｃ］を振分け管理テーブル（３０１−３）には登録しない。

また、ファイアウォール装置３００は、これと同時に、ＮＣＰの情報をユーザ端末３１４とファイアウォール装置３００との間でやりとりする（図２７の３４３）中で、ユーザＩＰアドレス［ｃ．ｃ．ｃ．ｃ］をユーザ端末３１４に送り、ユーザ端末３１４は自ユーザＩＰアドレスが［ｃ．ｃ．ｃ．ｃ］であると認識する。

ＮＣＰが終了後、ユーザ端末３１４とインターネット３１０との間でＰＰＰ接続が確立される。その後、ユーザ端末３１４から接続相手端末３１３に向け送信されるパケット３２１を、ファイアウォール装置３００が受信すると、その送信元ＩＰアドレスとして記載される［ｃ．ｃ．ｃ．ｃ］を検索キーとして振分け管理テーブル（３０１−３）を検索した結果、該送信元ＩＰアドレスが登録されていないことが判明する。

該送信元ＩＰアドレスが登録されていない場合、図２６に示す振分け管理テーブル（３０１−３）の最下行にあるように、振分けるべき仮想ファイアウォールは仮想ファイアウォール３０４と記載されているため、該パケット３２１を未登録ユーザ用の仮想ファイァウォール３０４に振り分ける（図２７の処理ポイント３５２）。

同様にして、通信相手端末３１３から送信されるパケット３２３に対しても、その宛先ユーザＩＰアドレス［ｃ．ｃ．ｃ．ｃ］を検索キーとして振分け管理テーブル（３０１−３）を検索した結果、該宛先ＩＰアドレスが登録されていないことが判明すると、当該パケット３２３を未登録ユーザ用の仮想ファイアウォール３０４に振り分ける（図２７の処理ポイント３５３）。

なお、未登録ユーザ用の仮想ファイアウォール３０４は、フィルタリングルールが記載されず、全てのパケットを無条件に通過させる、あるいは、未登録ユーザ全員に共通なフィルタリングルールが記載されている。

なお、本実施例のファイアウォール装置は、前述の実施例２−２のファイアウォール装置にも適用可能である。この場合に、ファイアウォールサービス未登録ユーザ＃ｃの端末３１４からのパケット、ファイアウォールサービス未登録ユーザ＃ｃの端末３１４宛のパケットは、図２０に示す迂回ルート３０５を通過する。

［実施例２−６］
本発明の実施例２−６のファイアウォール装置は、前述の実施例２−５のファイアウォール装置と同様の条件であり、ファイアウォールサービス未登録ユーザ＃ｃの端末３１４が、インターネット３１０にネットワーク接続し、その後、接続相手端末３１３とＩＰ通信を行う形態である。

本実施例のファイアウォール装置の概略構成は、図１７と同じであり、図２８は、本実施例の振分け管理テーブルの内容を示す図である。

なお、ファイアウォールサービス未登録ユーザ＃ｃは、振分け管理テーブル（３０１−４）には、ユーザ名および仮想ファイアウォールの登録はないが、端末３１４を通じてインターネット３１０への通信サービスは享受しており、ＲＡＤＩＵＳサーバ３３０にユーザ名およびパスワードが登録されている。

以下、図２９を用いて、本実施例のファイアウォール装置の動作について説明する。なお、図２９は、本実施例のファイアウォール装置の動作を示すシーケンス図である。

図２９において、ＬＣＰ（図２９の３３９）から、ユーザＩＰアドレスの通知（図２９の３４２）までの動作は、実施例２−１と同じであるので、再度の説明は省略する。

ユーザＩＰアドレスの通知（図２９の３４２）を受信すると、ファイアウォール装置３００は、ユーザＩＰアドレスの通知に記載されているユーザ端末に付与すべきユーザＩＰアドレス［ｃ．ｃ．ｃ．ｃ］を保持する。

そして、ユーザ名を検索キーとして、振分け管理テーブル（３０１−４）に対し、ユーザ名＃ｃの検索を行うが、ユーザ名＃ｃは存在しない。

ユーザ名が存在しない場合、図２８に示すように、ユーザＩＰアドレス［ｃ．ｃ．ｃ．ｃ］および未登録ユーザ用の仮想ファイアウォール３０４のＩＤ（ＩＤ＝３０４）を振分け管理テーブル（３０１−４）に登録する。

また、ファイアウォール装置３００は、これと同時に、ＮＣＰの情報をユーザ端末３１４とファイアウォール装置３００との間でやりとりする（図２９の３４３）中で、ユーザＩＰアドレス［ｃ．ｃ．ｃ．ｃ］をユーザ端末３１４に送り、ユーザ端末３１４は自ユーザＩＰアドレスが［ｃ．ｃ．ｃ．ｃ］であると認識する。

ＮＣＰが終了後、ユーザ端末３１４とインターネット３１０との間でＰＰＰ接続が確立される。その後、ユーザ端末３１４から接続相手端末３１３に向け送信されるパケット３２１を、ファイアウォール装置３００が受信すると、その送信元ＩＰアドレスとして記載される［ｃ．ｃ．ｃ．ｃ］を検索キーとして振分け管理テーブル（３０１−４）を検索し、当該送信元ＩＰアドレスと対応付けられている仮想ファイアウォールＩＤ（ＩＤ＝３０４）を抽出し、当該パケット３２１を未登録ユーザ用の仮想ファイアウォール３０４に振り分ける（図２９の処理ポイント３５２）。

同様にして、通信相手端末３１３から送信されるパケット３２３に対しても、その宛先ユーザＩＰアドレス［ｃ．ｃ．ｃ．ｃ］を検索キーとして振分け管理テーブル（３０１−４）を検索し、当該送信先ＩＰアドレスと対応付けられている仮想ファイアウォールＩＤ（ＩＤ＝３０４）を抽出し、当該パケット３２３を未登録ユーザ用の仮想ファイアウォール３０４に振り分ける（図２９の処理ポイント３５３）。

なお、未登録ユーザ用の仮想ファイアウォール３０４は、前述の実施例２−５と同様、フィルタリングルールが記載されず、全てのパケットを無条件に通過させる、あるいは、未登録ユーザ全員に共通なフィルタリングルールが記載されている。

また、送信元ＩＰアドレスが登録されていない場合、図２８に示す振分け管理テーブル３０１４の最下行にあるように、パケットを廃棄する。

これよって、ある悪意ユーザがIP Spoofing攻撃などにより、どのユーザにも付与されていないＩＰアドレスを持つパケットを大量に送出した場合に、ファイアウォール装置３００にてこれらのパケットを廃棄することができる。

なお、本実施例のファイアウォール装置は、前述の実施例２−２のファイアウォール装置にも適用可能である。

この場合に、振分け管理テーブル（３０１−４）には、ユーザＩＰアドレス［ｃ．ｃ．ｃ．ｃ］および未登録ユーザ用のフィルタリングＩＤを登録する。そして、ファイアウォールサービス未登録ユーザ＃ｃの端末３１４からのパケット、ファイアウォールサービス未登録ユーザ＃ｃの端末３１４宛のパケットは、図２０に示す迂回ルート３０５を通過する。

［実施例２−７］
本発明の実施例２−７のファイアウォール装置は、前述の実施例２−１のファイアウォール装置において、ファイアウォールサービス未登録ユーザ＃ｄの端末３１５が、インターネット３１０にネットワーク接続し、その後、接続相手端末３１３とＩＰ通信を行う形態を示すものである。

本実施例のファイアウォール装置の概略構成は、図１７と同じであり、図３０は、本実施例の振分け管理テーブルの内容を示す図である。

なお、ユーザ＃ｄは本来、ファイアウォールサービスに登録されるべきユーザであるが、本実施例では、ファイアウォール装置３００の管理者が振分け管理テーブル（３０１−５）にその登録をし忘れた、あるいは誤った登録を行ったなどの理由により、ユーザ名＃ｄが振分け管理テーブル（３０１−５）に正しく登録されていない形態となっている。

なお、ＲＡＤＩＵＳサーバ３３０には正しくユーザ名＃ｄおよびパスワードが登録されている。

以下、図３１を用いて、本実施例のファイアウォール装置の動作について説明する。なお、図３１は、本実施例のファイアウォール装置の動作を示すシーケンス図である。

図３１において、ＬＣＰ（図３１の３３９）から、ユーザＩＰアドレスの通知（図３１の３４２）までの動作は、前述の実施例２−１と同じであるので、再度の説明は省略する。

ユーザＩＰアドレスの通知（図３１の３４２）を受信すると、ファイアウォール装置３００は、ユーザＩＰアドレスの通知に記載されているユーザ端末に付与すべきユーザＩＰアドレス［ｄ．ｄ．ｄ．ｄ］を保持する。

そして、ユーザ名を検索キーとして、振分け管理テーブル（３０１−５）に対し、ユーザ名＃ｄの検索を行うが、ユーザ名＃ｄは存在しない。

ユーザ名が存在しない場合、ファイアウォール装置３００は、ユーザ端末３１５に認証エラー通知（図３１の１７４３）を送信し、ＰＰＰの確立処理を終了する。

なお、本実施の形態のファイアウォール装置は、前述の実施例２−２のファイアウォール装置にも適用可能である。

一般にフィルタリングテーブルは、図３２に示すように、ユーザ端末側や接続相手先端末側のＩＰアドレス、ユーザ端末側や接続相手先端末側のポート番号などを元に作成する。

前述の通り、常時接続サービスの場合、ユーザ端末側ＩＰアドレスは、ＰＰＰの接続毎に変化する。

したがって、図３２のフィルタリングテーブル１９６１内に登録すべきユーザ端末側ＩＰアドレスは、ＰＰＰの接続毎に動的に設定する必要があり、その設定処理量はルール数に比例して大きくなる。

それに対し、図３３に示す本発明に基づく個別フィルタリングテーブルは、振分け管理テーブル２００１にて、パケットに個別フィルタリングＩＤを付与し、個別フィルタリングテーブル２０６１では、ユーザ端末側ＩＰアドレスの代わりに個別フィルタリングＩＤを用いる。

個別フィルタリングＩＤは、ユーザ端末側ＩＰアドレスの値に依存せず、固定値であるため、ＰＰＰの接続を何度繰り返しても、個別フィルタリングテーブル２０６１には全く影響がない。

ＰＰＰの接続毎にユーザ端末側ＩＰアドレスが変動することによって影響を及ぼす箇所は、振分け管理テーブル２００１のユーザ端末側ＩＰアドレスと個別フィルタリングＩＤの対応付け部分のみであり、これは個別フィルタリングテーブル２０６１のルール数に依存せず、１行のみの変更ですむ。

このようにフィルタリングＩＤの導入は、フィルタリング装置内部の処理量の抑制にも貢献する。

また、本発明の共通フィルタリングＩＤの導入により、複数のユーザにて共通化することが可能なフィルタリングポリシを１つにまとめ、該当ユーザ全てに共通的にフィルタリングテーブルを提供することができるため、ファイアウォール装置全体のフィルタリングテーブル量の削減に貢献する。

（実施例２−１〜２−７の効果）
実施例２−１〜２−７のフィルタリング装置によれば、ユーザ多重数を向上させ、かつ、フィルタリングテーブルの効率化を実現することが可能となる。

（実施例３−１〜３−６）
以下、図面を参照して実施例３−１〜３−６を詳細に説明する。

［実施例３−１］
図３４は、本発明の実施例３−１の認証連携型分散ファイアウォール装置の概略構成と、本発明の実施例３−１の認証連携型分散ファイアウォール装置が使用されるネットワークモデルを示すブロック図である。

認証連携型分散ファイアウォール装置（以下、単に、ファイアウォール装置という。）５０１は、認証により接続を開始するユーザ（５１５−１）が使用するユーザ端末（５０２−１）と、ユーザ（５１５−２）が使用するユーザ端末（５０２−２）を収容し、外部ネットワーク（例えば、インターネット）５０３に接続されている。

また、ファイアウォール装置５０１は、ユーザ固有のセキュリティポリシを保持するセキュリティポリシテーブル５１１を備えるセキュリティポリシサーバ５０４、およびファイアウォール装置５０１へ配布する識別子を保持する識別子管理テーブル５１２を備える識別子管理サーバ５０５と接続されている。

さらに、ファイアウォール装置５０１は、ユーザの認証情報５１３と、認証時にユーザ端末に付与するユーザ端末情報から成るプールテーブルを保持するユーザ端末情報部５１４を備える認証サーバ５０６とも接続されている。

ここで、前記認証サーバは、例えば、ＲＡＩＤＵＳ（Remote Authentication Dial-in User Service）サーバが使用可能であり、また、ユーザ端末情報部５１４に格納されるユーザ端末情報は、ユーザ端末に付与されるＩＰアドレスが使用可能である。

さらに、ユーザ端末（５０２−１，５０２−２）からネットワークヘの接続はＰＰＰ（Point to Point Protoco1）を使用し、認証にはＰＡＰ（Password Authentication Protocol）、または、ＣＨＡＰ（Challenge Handshake Authentication Protocol）が使用可能である。

また、ファイアウォール装置５０１は、受信パケットに付属しているユーザ端末情報と、受信パケットをフィルタリングするフィルタリングテーブルを指し示す識別子とを結びつける振分け管理テーブル５０７と、実際のフィルタリングを行うファイアウォール部５０８を有している。

さらに、ファイアウォール部５０８は、ユーザ（５１５−１）とユーザ（５１５−２）に共通するセキュリティポリシを保持する共通フィルタリングテーブル５０９と、ユーザ（５１５−１）、または、ユーザ（５１５−２）の個別セキュリティボリシを保持するための領域である個別フィルタリングテーブル領域を有する。

この個別フィルタリングテーブル領域５１０は、識別情報を書き込む領域と、この識別情報を書き込む領域と結び付けられたセキュリティポリシを書込む領域に分かれている。

図３５は、図３４に示す認証サーバ内の認証情報５１３の詳細を示す図、図３６は、図３４に示す認証サーバ内のユーザ端末情報部５１４に保持されるプールテーブルの詳細を示す図である。

また、図３７は、図３４に示す識別子管理サーバ内の識別子管理テーブル５１２の詳細を示す図、図３８は、図３４に示すセキュリティポリシサーバ内のセキュリティポリシテーブル５１１の詳細を示す図、図３９は、図３４に示すファイアウォール装置内の初期状態の振分け管理テーブルの詳細を示す図である。

図４０、図４１は、図３４のネットワークモデルの動作を示すシーケンスの一例を示す図であり、ユーザ（５１５−１）が外部ネットワーク５０３へ接続後、切断し、その後、ユーザ（５１５−２）が外部ネットワーク５０３へ接続後、切断を行うシーケンスを示したものである。

始めに、ユーザ（５１５−１）の接続開始シーケンスについて説明する。

まず、ユーザ（５１５−１）はユーザ端末を介して、ファイアウォール装置５０１に、ユーザ名（ユーザ５１５−１）とパスワード（α）を送信する（図４０の１１−１，１１−２）。

このユーザ名（ユーザ５１５−１）とパスワード（α）を受信したファイアウォール装置５０１は、ユーザ名（ユーザ５１５−１）を保持（図４０の１１−３）するとともに、認証サーバ５０６ヘユーザ名（ユーザ５１５−１）とパスワード（α）を送信する（図４０の１１−４）。

認証サーバ５０６では、受信したユーザ名（ユーザ５１５−１）とパスワード（α）から認証情報５１３を検索し、認証可能と判定する（図４０の１１−５）。

また、ユーザ端末情報部５１４のプールテーブルから使用中フラグが「０」である使用可能なユーザ端末情報（ＩＰ＿１）を抽出し、抽出した使用可能フラグを「１」にし、認証了承通知とともに、抽出したユーザ端末情報（ＩＰ＿１）をファイアウォール装置５０１通知する（図４０の１１−６，１１−７）。

ファイアウォール装置５０１は、受信したユーザ端末情報（ＩＰ＿１）を保持し、このユーザ端末情報とユーザ端末が接続する回線を結びつける（図４０の１１−８）とともに、前記保持したユーザ名（ユーザ５１５−１）を識別子管理サーバ５０５に送信する（図４０の１１−９）。

識別子管理サーバ５０５は、受信したユーザ名（ユーザ５１５−１）を元に識別子管理テーブル５１２を検索し、ユーザ名に結びつられた共通フィルタリングテーブルＩＤ（共通５０９）と個別フィルタリングテーブルＩＤ（個別５１０−１）を抽出し、ファイアウォール装置５０１へこの識別子（共通５０９，個別５１０−１）を送信する（図４０の１１−１０、１１−１１）。

ファイアウォール装置５０１は、受信した個別フィルタリングテーブルＩＤ（個別５１０−１）を保持するとともに、受信した共通フィルタリングテーブルＩＤ（共通５０９）と、個別フィルタリングテーブルＩＤ（個別５１０−１）と、保持しているユーザ端末情報（ＩＰ＿１）とを、図３９に示す振分け管理テーブル５０７に書き込む（図４０の１１−１２）。

また、保持しているユーザ名（ユーザ５１５−１）をセキュリティポリシサーバ５０４へ送信する（図４０の１１−１３）。

セキュリティポリシサーバ５０４は、受信したユーザ名（ユーザ５１５−１）を元に、保持するセキュリティポリシテーブル５１２を検索し、ユーザ名と結び付けられた個別セキュリティポリシ（ルール１−１〜ルール１−ｍ）を抽出し（図４０の１１−１４）、ファイアウォール装置５０１へ送信する（図４０の１１−１５）。

ファイアウォール装置５０１は、保持している個別フィルタリングテーブルＩＤ（個別５１０−１）を個別フィルタリングテーブル領域５１０の識別情報に書込むとともに、受信した個別セキュリティポリシ（ルール１−１〜ルール１−ｍ）をセキュリティポリシ領域へ書き込む（図４０の１１−１６）。

この一連の処理を実施後、保持しているユーザ端末情報（ＩＰ＿１）を含む認証成功通知をユーザ端末（５０２−１）へ通知する（図４０の１１−１７）。

以上で接続開始シーケンスが終了し、これにより、ユーザ（５１５−１）は、ユーザ端末（５０２−１）を介して外部ネットワーク５０３と接続可能になる。

次に、ユーザ端末（５０２−１）と外部ネットワーク５０３との通信シーケンスについて説明する。

ユーザ端末（５０２−１）から外部ネットワーク５０３ヘパケットを転送する場合、ユーザ端末（５０２−１）は接続開始シーケンスの最後に受けたユーザ端末情報（ＩＰ＿１）を自身のアドレスとし、当該アドレスをパケットに付与してファイアウォール装置５０１へ転送する（図４０の１１−１８）。

ファイアウォール装置５０１は、受信したパケットからユーザ端末情報（ＩＰ＿１）を抽出し、このユーザ端末情報（ＩＰ＿１）をキーにして、振分け管理テーブル５０７を検索し、共通フィルタリングテーブルＩＤ（共通５０９）と個別フィルタリングテーブルＩＤ（個別５１０−１）を抽出する（図４０の１１−１９）。

次に、ファイアウォール部５０８において、抽出した共通フィルタリングテーブルＩＤ（共通５０９）と、個別フィルタリングテーブルＩＤ（個別５１０−１）で示されるフィルタリングテーブルを用い、パケットをフィルタリング（図４０の１１−２０、１１−２１）した後、外部ネットワーク５０３へ転送する（図４０の１１−２２）。

また、外部ネットワーク５０３からユーザ端末（５０２−１）に対するパケットを受信し（図４０の１１−２３）、ユーザ端末（５０２−１）に転送する場合、外部ネットワーク５０３からのパケットには、宛先アドレスとしてユーザ端末情報（ＩＰ＿１）が付与されているので、ファイアウォール装置５０１は、受信したパケットから、このユーザ端末情報（ＩＰ＿１）を抽出し（図４０の１１−２４）、前述したユーザ端末（５０２−１）から外部ネットワーク５０３へ転送するパケットと同様のシーケンスにより、パケットをフィルタリング（図４０の１１−２５、１１−２６）した後、ユーザ端末（５０２−１）ヘパケットを転送する（図４０の１１−２７）。

本実施例のファイアウォール装置５０１は、以上の処理により、ユーザ端末側および外部ネットワーク側の両方向から送信されるパケットに対するフィルタリング処理を行い、パケットを転送する。

次に、ユーザ（５１５−１）からの切断シーケンスについて説明する。

切断時には、ユーザ（５１５−１）からユーザ端末（５０２−１）を介して、切断要求がファイアウォール装置５０１へ通知される（図４０の１１−２８、１１−２９）。

ファイアウォール装置５０１は、切断要求を受信すると、受信した回線を調べ、接続開始シーケンス時に、結びつけたユーザ端末情報（ＩＰ＿１）を導き出す。

このユーザ端末情報を元に、振分け管理テーブル５０７のユーザ端末情報（ＩＰ＿１）と関連するエントリから個別フィルタリングテーブルＩＤ（個別５１０−１）を抽出後、このエントリを削除する（図４０の１１−３０）。

ファイアウォール部５０８の個別フィルタリングテーブル領域５１０の中で、抽出した個別フィルタリングテーブルＩＤ（個別５１０−１）が記された識別情報とそれに関連するセキュリティポリシ領域を削除する（図４０の１１−３１）。

また、導き出したユーザ端末情報（ＩＰ＿１）を認証サーバ５０６に送信し（図４０の１１−３２）、認証サーバ５０６は、受信したユーザ端末情報が関連するユーザ端末情報部５１４のプールテーブルのエントリの使用中フラグを「０」に戻す（図４０の１１−３３）。

このように、接続シーケンスで変更した各種テーブル内容を接続前の状態に戻し、切断シーケンスが終了する。

続いて、ユーザ（５１５−２）の接続開始シーケンス、通信シーケンス、切断シーケンスともユーザ（５１５−１）と同様の手段をとり、実施される（図４１の１１−３４〜１１−６６）。

ユーザ（５１５−２）のシーケンスの特徴としては、ユーザ（５１５−１）の切断シーケンスにより、ユーザ（５１５−１）に関する情報は、ファイアウォール装置５０１の振分け管理テーブル５０７、個別フィルタリングテーブル領域５１０にないため、同じ領域にユーザ（５１５−２）に関する情報を書込むことができ、また、ユーザ端末（５１５−１）が使用したユーザ端末情報（ＩＰ＿１）も使用可能であり、ユーザ端末情報が、ユーザ（５１５−１）と同じユーザ端末情報（ＩＰ＿１）であっても、ユーザ（５１５−２）用のセキュリティポリシでフィルタリングすることができる点である。

これにより、本発明が解決しようとする課題の内、個別フィルタリングテーブル領域５１０、共通フィルタリングテーブル５０９を用い、個別フィルタリングテーブル領域５１０に書込むセキュリティポリシのみロードすることで、ロード負荷を軽減することが可能となる。

また、ユーザ端末が接続中のみ、個別フィルタリングテーブル領域５１０と振分け管理テーブル５０７の領域を使用し、切断中は、この領域を使用しないことで、ファイアウォール装置５０１の個別フィルタリングテーブル領域５１０と振分け管理テーブル５０７の内容を、同時に接続するユーザ端末数分だけ保持すれば良いので、保持するセキュリティポリシの容量を少なくすることが可能となる。

また、接続毎に付与されるユーザ端末情報とセキュリティポリシを関連付けることで、過去の別ユーザ端末のユーザ端末情報と重複しても、使用ユーザに対応したフィルタリングを実施することが可能となる。

［実施例３−２］
図４２は、本発明の実施例３−２のファイアウォール装置の概略構成と、本発明の実施例３−２のファイアウォール装置が使用されるネットワークモデルを示すブロック図である。

図４２に示すネットワークモデルでは、図３４に示すネットワークモデルに、ファイアウォール装置１２０１と、このファイアウォール装置１２０１に接続するユーザ端末１２０２が新たに追加される。

また、このファイアウォール装置１２０１に、ユーザ（５１５−１）が接続可能であり、さらに、ファイアウォール装置１２０１は、外部ネットワーク５０３と、セキュリティポリシサーバ５０４と、識別子管理サーバ５０５と、認証サーバ５０６とに接続される。

ファイアウォール装置１２０１は、受信パケットに付属しているユーザ端末情報と受信パケットをフィルタリングするテーブルを指し示す識別子を結びつける情報を保持する振分け管理テーブル１２０７を有し、実際のフィルタリングを行うファイアウォール部１２０８を有している。

さらに、ファイアウォール部１２０８は、ユーザ（５１５−１）を含めた複数のユーザに共通するセキュリティポリシを保持する共通フィルタリングテーブル１２０９と、ユーザ（５１５−１）の個別セキュリティポリシを保持するための領域である個別フィルタリングテーブル領域１２１０を有している。

この個別フィルタリングテーブル領域１２１０は、識別情報を書き込む領域とセキュリティポリシを書込む領域に分かれている。

図４３は、図４２のネットワークモデルの動作を示すシーケンスの一例を示す図であり、図４０で示すシーケンスの後、ユーザ（５１５−１）が、ファイアウォール装置１２０１に接続するユーザ端末１２０２から再度外部ネットワーク５０３へ接続し、通信を行い、切断するシーケンスを示したものである。

図４３の１２−１〜１２−３３に示す、ユーザ（５１５−１）が、ユーザ端末１２０２へ移動し、再接続を行う接続シーケンス、通信を行うシーケンス、および切断をシーケンスは、図４０に示すファイアウォール装置５０１で行うシーケンスと同様であるので、再度の説明は省略する。

また、ファイアウォール装置１２０１に、セキュリティポリシサーバ５０４から送信される、ユーザ（５１５−１）用の個別セキュリティポリシも、識別子管理サーバ５０５から送信される各種識別子も、図４０において、ファイアウォール装置５０１に送信される情報と同じである。

これにより、本実施例では、ユーザが、収容されるファイアウォール装置を変更しても、このユーザに対応したセキュリティポリシを適用することが可能となる。

［実施例３−３］
図４４は、本発明の実施例３−３のファイアウォール装置の概略構成と、本発明の実施例３−３のファイアウォール装置が使用されるネットワークモデルを示すブロック図である。

本実施例は、識別子管理サーバ５０５に保持される、ユーザ名と各種識別子を対応付ける識別子管理テーブル５１２を、ファイアウォール装置５０１の内部に保持する点で、前述の実施例３−１と相異する。

図４５は、図４４のネットワークモデルの動作を示すシーケンスの一例を示す図であり、識別子管理サーバ５０５との通信部分が削除され、新たに、ファイアウォール装置５０１の内部に保持される識別子管理テーブル５１２とのシーケンスが付加されている点で、図４０に示すシーケンスと相異する。

図４０のシーケンスからの変更部分のシーケンスは、図４５の１１−８において、認証サーバ５０６から受信したユーザ情報を保持し、ユーザ端末（５０２−１）の接続回線とこのユーザ情報を結びつけた後、図４５の１１−３で保持したユーザ名を検索キーとし、識別子管理テーブル５１２を検索し、共通フィルタリングテーブルＩＤ、個別フィルタリングテーブルＩＤを抽出（図４５の１５−９，１５−１０，１５−１１）する点である。

本実施例では、ファイアウォール装置５０１が、収容する可能性のある全ユーザの各種識別子を含む識別子管理テーブル５１２を保持しなければ成らなくなるため、ファイアウォール装置５０１のメモリ容量が余分に必要になるか、または、収容可能なユーザ数が減少するが、識別子管理サーバと通信を行うこと無く、動作が可能となる。

［実施例３−４］
図４６は、本発明の実施例３−４のファイアウォール装置の概略構成と、本発明の実施例３−４のファイアウォール装置が使用されるネットワークモデルを示すブロック図である。

本実施例は、セキュリティポリシサーバ５０４に保持される、ユーザ名と個別セキュリティポリシを対応付けるセキュリティポリシテーブル５１１を、ファイアウォール装置５０１の内部に保持する点で、前述の実施例３−１と相異する。

図４７は、図４６のネットワークモデルの動作を示すシーケンスの一例を示す図であり、セキュリティポリシサーバ５０４との通信部分が削除され、新たに、ファイアウォール装置５０１の内部に保持されるセキュリティポリシテーブル５１１とのシーケンスが付加されている点で、図４０に示すシーケンスと相異する。

図４０のシーケンスからの変更部分のシーケンスは、図４７の１１−１２で振分け管理テーブル５０７に各種識別子を書き込んだ後に、図４７の１１−３で保持したユーザ名を検索キーとし、セキュリティポリシテーブル５１１を検索し、ユーザ名に対応したセキュリティポリシを抽出（図４７の１７−１３，１７−１４，１７−１５）する点である。

本実施例では、ファイアウォール装置５０１が、収容する可能性のある全ユーザの個別セキュリティポリシを含むセキュリティポリシテーブル５１１を保持しなければ成らなくなるため、ファイアウォール装置５０１のメモリ容量が余分に必要になるか、または、収容可能なユーザ数が減少するが、セキュリティポリシサーバと通信を行うこと無く、動作が可能となる。

［実施例３−５］
図４８は、本発明の実施例３−５のファイアウォール装置の概略構成と、本発明の実施例３−５のファイアウォール装置が使用されるネットワークモデルを示すブロック図である。

本実施例は、セキュリティポリシサーバ５０４に保持される、ユーザ名と個別セキュリティポリシを対応付けるセキュリティポリシテーブル５１１と、識別子管理サーバ５０５に保持される、ユーザ名と各種識別子を対応付ける識別子管理テーブル５１２とを、ファイアウォール装置５０１の内部に保持する点で、前述の実施例３−１と相異する。

図４９は、図４８のネットワークモデルの動作を示すシーケンスの一例を示す図であり、セキュリティポリシサーバ５０４との通信部分と識別子管理サーバ５０５との通信部分が削除され、新たに、ファイアウォール装置５０１の内部に保持されるセキュリティポリシテーブル５１１と、識別子管理テーブル５１２のシーケンスが付加された点で、図４０に示すシーケンスと相異する。

図４０のシーケンスからの変更部分のシーケンスは、図４９の１１−８において、認証サーバ５０６から受信したユーザ情報を保持し、ユーザ端末（５０２−１）の接続回線とこのユーザ情報を結びつけた後、図４９の１１−３で保持したユーザ名を検索キーとし、識別子管理テーブル５１２を検索し、共通フィルタリングテーブルＩＤ、個別フィルタリングテーブルＩＤを抽出（図４９の１９−９，１９−１０，１９−１１）する点と、図４９の１１−１２で振分け管理テーブル５０７に各種識別子を書き込んだ後に、図４９の１１−３で保持したユーザ名を検索キーとし、セキュリティポリシテーブル５１１を検索し、ユーザ名に対応したセキュリティポリシを抽出（図４９の１９−１３，１９−１４，１９−１５）する点である。

本実施例では、ファイアウォール装置５０１が、収容する可能性のある全ユーザの個別セキュリティポリシを含むセキュリティポリシテーブル５１１を保持しなければ成らなくなるため、ファイアウォール装置５０１のメモリ容量が余分に必要になるか、または、収容可能なユーザ数が減少し、および、収容する可能性のある全ユーザの各種識別子を含む識別子管理テーブル５１２を保持しなければ成らなくなるため、ファイアウォール装置５０１のメモリ容量がさらに余分に必要になるか、または、収容可能なユーザ数がさらに減少するが、セキュリティポリシサーバ、識別子管理サーバと通信を行うこと無く、動作が可能となる。

［実施例３−６］
図５０は、本発明の実施例３−６のファイアウォール装置の概略構成と、本発明の実施例３−６のファイアウォール装置が使用されるネットワークモデルを示すブロック図である。

ファイアウォール装置２００１は、契約ネットワーク１（例えば、ＩＳＰ；Internet Service Provider）（２０１６−１）を介して外部ネットワーク２００３に接続し、認証によりこの接続を開始するユーザ（２０１５−１）が使用するユーザ端末（２００２−１）と、契約ネットワーク２（２０１６−２）を介して外部ネットワーク２００３に接続し、認証によりこの接続を開始するユーザ（２０１５−２）が使用するユーザ端末（２００２−２）を収容する。

また、ファイアウォール装置２００１は、ユーザ固有のセキュリティポリシを保持するセキュリティポリシテーブル２０１１を有するセキュリティポリシサーバ２００４、および、ファイアウォール装置２００１へ配布する識別子を保持する識別子管理テーブル２０１２を有する識別子管理サーバ２００５とも接続されている。

さらに、ファイアウォール装置２００１は、ユーザの認証情報（２０１３−１）と、認証時にユーザ端末に付与するユーザ端末情報から成るプールテーブルを保持しているユーザ端末情報部（２０１４−１）を有し、契約ネットワーク１を介して外部ネットワークに接続するユーザを認証する認証サーバ１（２００６−１）とも接続されている。

さらに、ファイアウォール装置２００１は、ユーザの認証情報（２０１３−２）と、認証時にユーザ端末に付与するユーザ端末情報から成るプールテーブルを保持しているユーザ端末情報部（２０１４−２）を有し、契約ネットワーク２を介して外部ネットワークに接続するユーザを認証する認証サーバ２（２００６−２）とも接続されている。

また、ファイアウォール装置２００１は、受信パケットに付属しているユーザ端末情報と受信パケットをフィルタリングする仮想ファイアウォール（２０１４−１，２０１４−２）と、フィルタリングテーブルを指し示す識別子を結びつける振分け管理テーブル２００７を有している。

さらに、ファイアウォール装置２００１は、実際のフィルタリングを行うファイアウォール部２００８を有し、このファイアウォール部２００８は、契約ネットワーク１（２０１６−１）を介して外部ネットワーク２００３と接続するユーザ端末に関係するパケットのフィルタリングを行う仮想ファイアウォール１（２０１４−１）と、契約ネットワーク２（２０１６−２）を介して外部ネットワーク２００３と接続するユーザ端末に関係するパケットのフィルタリングを行う仮想ファイアウォール２（２０１４−２）を有している。

仮想ファイアウォール１（２０１４−１）は、仮想ファイアウォール１（２０１４−１）により、フィルタリングを行う複数のユーザに共通するセキュリティポリシが保持される共通フィルタリングテーブル（２００９−１）と、個別ユーザ毎のセキュリティポリシを保持する領域である個別フィルタリングテーブル領域（２０１０−１）を有している。

また、個別フィルタリングテーブル領域（２０１０−１）は、識別情報を書き込む領域と、この識別情報を書き込む領域と結び付けられたセキュリティポリシを書き込む領域に分かれている。

仮想ファイアウォール１（２０１４−１）と同様に、仮想ファイアウォール２（２０１４−２）も、共通フィルタリングテーブル（２００９−２）と、個別フィルタリングテーブル領域（２０１０−２）とを有し、個別フィルタリングテーブル領域（２０１０−２）は、識別情報を書き込む領域と、この識別情報を書き込む領域と結び付けられたセキュリティポリシを書き込む領域に分かれている。

図５１は、図５０に示す認証サーバ１内の認証情報（２０１３−１）の詳細を示す図であり、図５２は、図５０に示す認証サーバ１内のユーザ端末情報部（２０１４−１）に保持されるプールテーブルの詳細を示す図である。

同様に、図５３は、図５０に示す認証サーバ２内の認証情報（２０１３−２）の詳細を示す図であり、図５４は、図５０に示す認証サーバ２内のユーザ端末情報部（２０１４−２）に保持されるプールテーブルの詳細を示す図である。

図５５は、ユーザ（２０１５−１）が、ユーザ端末（２００２−１）を介してファイアウォール装置２００１に送信するユーザ名を示す図であり、図５６は、ユーザ（２０１５−２）が、ユーザ端末（２００２−２）を介してファイアウォール装置２００１に送信するユーザ名を示す図である。

図５７は、図５０に示す識別子管理サーバ内の識別子管理テーブル２０１２の詳細を示す図であり、図５８は、図５０に示すセキュリティポリシサーバ内のセキュリティポリシテーブル２０１１の詳細を示す図である。

図５９、図６０は、図５０のネットワークモデルの動作を示すシーケンスの一例を示す図であり、ユーザ（２０１５−１）が、契約ネットワーク１（２０１６−１）を介して、外部ネットワーク２００３へ接続後、切断するシーケンスと、ユーザ（２０１５−２）が、契約ネットワーク２（２０１６−２）を介して外部ネットワーク２００３へ接続後、切断するシーケンスを示すものである。

始めに、ユーザ（２０１５−１）の接続開始シーケンスについて説明する。

まず、ユーザ（２０１５−１）は、ユーザ端末（２００２−１）を介して、ファイアウォール装置２００１に、ユーザ名（ユーザ２０１５−１＿２０１６−１）とパスワード（α）を送信する（図５９の２１−１，２１−２）。

このユーザ名（ユーザ２０１５−１＿２０１６−１）とパスワード（α）を受信したファイアウォール装置２００１は、ユーザ名の前半部（ユーザ２０１５−１）を保持（図５９の２１−３）するとともに、ユーザ名の後半部（２０１６−１）から、認証サーバ１（２００６−１）へ認証情報を送信することを決定し、ユーザ名の前半部（ユーザ２０１５−１）とパスワード（α）を送信する（図５９の２１−４）。

認証サーバ１（２００３−１）では、受信したユーザの前半部（ユーザ２０１５−１）とパスワード（α）から認証情報（２０１３−１）を検索し、認証可能と判定する（図５９の２１−５）。

また、ユーザ端末情報部（２０１４−１）のプールテーブルから使用中フラグが「０」である使用可能なユーザ端末情報（ＩＰ＿１）を抽出し（図５９の２１−６）、抽出した使用可能フラグを「１」にし、認証了承通知とともに、このユーザ端末情報（ＩＰ＿１）をファイアウォール装置２００１へ通知する（図５９の２１−７）。

ファイアウォール装置２００１は、受信したユーザ端末情報（ＩＰ＿１）を保持し（図５９の２１−８）、このユーザ端末情報（ＩＰ＿１）と、ユーザ端末（２００２−１）が接続する回線を結びつけるとともに、保持したユーザ名の前半部（ユーザ２０１５−１）を識別子管理サーバ２００５に送信する（図５９の２１−９）。

識別子管理サーバ２００５は、受信したユーザ名の前半部（ユーザ２０１５−１）を元に識別子管理テーブル２０１２を検索し、ユーザ名の前半部（ユーザ２０１５−１）に結びつられた仮想ファイアウォールＩＤ（仮想２０１４−１）と、共通フィルタリングテーブルＩＤ（共通２００９−１）と、個別フィルタリングテーブルＩＤ（個別２０１０−１）を抽出し（図５９の２１−１０）、ファイアウォール装置２００１へこの識別子を送信する（図５９の２１−１１）。

ファイアウォール装置２００１は、受信した個別フィルタリングテーブルＩＤ（個別２０１０−１）を保持すると伴に、受信した仮想ファイアウォールＩＤ（仮想２０１４−１）と、共通フィルタリングテーブルＩＤ（共通２００９−１）と、個別フィルタリングテーブルＩＤ（個別２０１０−１）と、保持しているユーザ端末情報（ＩＰ＿１）を、振分け管理テーブル２００７に書き込む（図５９の２１−１２）。

また、保持しているユーザ名の前半部（ユーザ２０１５−１）をセキュリティポリシサーバ２００４へ送信する（図５９の２１−１３）。

セキュリティポリシサーバ２００４は、受信したユーザ名の前半部（ユーザ２０１５−１）を元に、保持するセキュリティポリシテーブル２０１１を検索し、ユーザ名の前半部（ユーザ２０１５−１）と結び付けられた個別セキュリティポリシ（ルール１−１〜ルール１−ｍ）を抽出し（図５９の２１−１４）、ファイアウォール装置２００１へ送信する（図５９の２１−１５）。

ファイアウォール装置２００１は、保持している個別フィルタリングテーブルＩＤ（個別２０１０−１）を個別フィルタリングテーブル領域（２０１０−１）の識別情報領域に書込むとともに、受信した個別セキュリティポリシをセキュリティポリシ領域へ書き込む（図５９の２１−１６）。

この一連の処理を実施後、保持しているユーザ端末情報（ＩＰ＿１）を含む認証成功通知をユーザ端末（２００２−１）へ通知する（図５９の２１−１７）。

以上で接続開始シーケンスが終了し、これにより、ユーザ（２０１５−１）は、ユーザ端末（２００２−１）を介して外部ネットワーク２００３と接続可能になる。

次に、ユーザ端末（２００２−１）と外部ネットワーク２００３との通信シーケンスについて説明する。

ユーザ端末（２００２−１）から外部ネットワーク２００３ヘパケットを転送する場合、ユーザ端末（２００２−１）は接続開始シーケンスの最後に受けたユーザ端末情報（ＩＰ＿１）を自身のアドレスとして、パケットに付与してファイアウォール装置２００１へ転送する（図５９の２１−１８）。

ファイアウォール装置２００１は、受信したパケットからユーザ端末情報（ＩＰ＿１）を抽出し、このユーザ端末情報（ＩＰ＿１）をキーに、振分け管理テーブル２００７を検索し、仮想ファイアウォールＩＤ（仮想２０１４−１）と、共通フィルタリングテーブルＩＤ（共通２００９−１）と、個別フィルタリングテーブルＩＤ（個別２０１０−１）を抽出する（図５９の２１−１９）。

次に、受信したパケットを、抽出した仮想ファイアウォールＩＤ（仮想２０１４−１）で示される仮想ファイアウォール１（２０１４−１）ヘ振分けるとともに、抽出した仮想ファイアウォール（仮想２０１４−１）で示される仮想ファイァウォールのフィルタリングテーブルの内、抽出した共通フィルタリングテーブルＩＤ（共通２００９−１）と、個別フィルタリングテーブルＩＤ（個別２０１０−１）で示されるフィルタリングテーブルを用いパケットをフィルタリング（図５９の２１−２０，２１−２１）した後、契約ネットワーク１（２０１６−１）を介して、外部ネットワーク２００３へ転送する（図５９の２１−２２）。

また、外部ネットワーク２００３から契約ネットワーク１（２０１６−１）を介して、ユーザ端末（２００２−１）宛のパケットを受信し（図５９の２１−２３）、ユーザ端末（２００２−１）ヘ転送する場合、外部ネットワーク２００３からのパケットには、宛先アドレスとしてユーザ端末情報（ＩＰ＿１）が付与されており、ファイアウォール装置２００１は、受信したパケットからこのユーザ端末情報（ＩＰ＿１）を抽出し（図５９の２１−２４）、前述したユーザ端末（２００２−１）から外部ネットワーク２００３へのパケットと同様のシーケンスにより、パケットをフィルタリング（図５９の２１−２５，２１−２６）した後、ユーザ端末（２００２−１）ヘパケットを転送する（図５９の２１−２７）。

本実施例のファイアウォール装置２００１は、以上の処理により、ユーザ端末側および外部ネットワーク側の両方向から送信されるパケットに対するフィルタリング処理を行い、パケットを転送する。

次に、ユーザ（２０１５−１）からの切断シーケンスについて説明する。

切断時には、ユーザ（２０１５−１）からユーザ端末（２００２−１）を介して、切断要求がファイアウォール装置２００１へ通知される（図５９の２１−２８，２１−２９）。

ファイアウォール装置２００１は、切断要求を受信すると、受信した回線を調べ、接続開始シーケンス時に、結びつけたユーザ端末情報（ＩＰ＿１）を導き出す。

このユーザ端末情報（ＩＰ＿１）を元に、振分け管理テーブル２００７のユーザ端末情報（ＩＰ＿１）と関連するエントリから仮想ファイアウォールＩＤ（仮想２０１４−１）と個別フィルタリングテーブルＩＤ（個別２０１０−１）を抽出後、このエントリを削除する（図５９の２１−３０）。

次に、抽出した仮想ファイアウォールＩＤ（仮想２０１４−１）で示される仮想ファイアウォール１（２０１４−１）の個別フィルタリングテーブル領域（２０１０−１）の中で、抽出した個別フィルタリングテーブルＩＤ（個別２０１０−１）が記された識別情報とそれに関連するセキュリティポリシ領域を削除する（図５９の２１−３１）。

また、切断要求を受信して導き出したユーザ端末情報（ＩＰ＿１）を認証サーバ１（２００６−１）に送信する（図５９の２１−３２）。

認証サーバ１（２００６−１）は、受信したユーザ端末情報（ＩＰ＿１）が関連するユーザ端末情報部（２０１４−１）のプールテーブルのエントリの使用中フラグを「０」に戻す（図５９の２１−３３）。

このように、接続シーケンスで変更した各種テーブル内容を接続前の状態に戻し、切断シーケンスが終了する。

また、ユーザ（２０１５−２）の接続開始シーケンス、通信シーケンス、切断シーケンスも、ユーザ（２０１５−１）と同様の手段をとり、実施される（図６０の２１−３４〜２１−６６）。

このように、本実施例では、ファイアウォール装置２００１を複数のファイアウォールとして動作させ、ファイアウォール毎に、個別認証サーバ（２００６−１，２００６−２）でユーザを認証し、ファイアウォール毎に、契約ネットワーク（２０１６−１，２０１６−２）を介して外部ネットワーク２００３に接続でき、且つ、ユーザ毎にセキュリティポリシをロードすることが可能となる。

なお、前述の説明では、セキュリティポリシサーバ（５０４，２００４）、および、識別子管理サーバ（５０５，２００５）が一台の場合について説明したが、本実施例の各ファイアウォール装置を、同じセキュリティポリシテーブルを有する２台のセキュリティポリシサーバ、あるいは、同じ識別子管理テーブルを有する２台のセキュリティポリシサーバと接続可能としてもよい。

（実施例３−１〜３−６の効果）
実施例３−１〜３−６のファイアウォール装置によれば、収容するネットワークまたは端末が、動的に接続、切断を行い、あるいは、収容されるファイアウォール装置を変更する場合に、保持するセキュリティポリシ容量を最適に保つことが可能になり、ファイアウォール装置にロードするセキュリティポリシ量を軽減することが可能となる。

なお、これまでに説明した各実施例におけるファイアウォール装置は、例えば、通信装置を備えたコンピュータシステムに、各実施例において説明した処理を実行するプログラムを搭載することにより実現できる。当該コンピュータシステムは、例えば、図６１に示すように、ＣＰＵ６００、メモリ６０２、ハードディスク６０１、入出力装置６０３、通信装置６０４を備えている。各実施例の処理において保持されるデータは、例えばメモリ６０２に保持される。また、他のサーバとの通信手段として通信装置６０４が用いられる。なお、ルータなども上記のコンピュータシステムに含まれるものである。

なお、本発明は、上記の実施例に限定されることなく、特許請求の範囲内で種々変更・応用が可能である。

図１は、従来のファイアウォール装置の一例を示すブロック図である。 図２は、従来のファイアウォール装置の他の例を示すブロック図である。 図３は、従来のファイアウォール装置の他の例を示すブロック図である。 図４は、従来技術における仮想ファイアウォール構築法を示す図である。 図５は、従来の、セキュリティポリシを外部に保持するファイアウォール装置の一例を示すブロック図である。 図６は、従来の、セキュリティポリシを外部に保持するファイアウォール装置の他の例を示すブロック図である。 図７は、従来の、セキュリティポリシを外部に保持するファイアウォール装置の他の例を示すブロック図である。 図８は、本発明の実施例１−１におけるファイアウォール装置の構成を示す図である。 図９は、実施例１−１におけるファイアウォール装置の動作を示すシーケンス図である。 図１０は、実施例１−２におけるファイアウォール装置の動作を示すシーケンス図である。 図１１は、実施例１−３における振分け管理テーブルの例を示す図である。 図１２は、実施例１−３におけるファイアウォール装置の動作を示すシーケンス図である。 図１３は、実施例１−４における振分け管理テーブルの例を示す図である。 図１４は、実施例１−４におけるファイアウォール装置の動作を示すシーケンス図である。 図１５は、実施例１−５におけるファイアウォール装置の動作を示すシーケンス図である。 図１６は、実施例１−５における振分け管理テーブルの例を示す図である。 図１７は、本発明の実施例２−１のファイアウォール装置の概略構成を示すブロック図である。 図１８は、実施例２−１のファイアウォール装置の仮想ファイアウォール内のフィルタリングテーブルの構成を示す図である。 図１９は、実施例２−１のファイアウォール装置の動作を示すシーケンス図である。 図２０は、実施例２−２のファイアウォール装置の概略構成を示すブロック図である。 図２１は、実施例２−２のファイアウォール装置の動作を示すシーケンス図である。 図２２は、実施例２−３の振分け管理テーブルの初期状態を示す図である。 図２３は、実施例２−３の振分け管理テーブルのＩＰアドレスが登録された状態を示す図である。 図２４は、実施例２−３のファイアウォール装置の仮想ファイアウォール内のフィルタリングテーブルの構成を示す図である。 図２５は、実施例２−４のファイアウォール装置の動作を示すシーケンス図である。 図２６は、実施例２−５の振分け管理テーブルの内容を示す図である。 図２７は、実施例２−５のファイアウォール装置の動作を示すシーケンス図である。 図２８は、実施例２−６の振分け管理テーブルの内容を示す図である。 図２９は、実施例２−６のファイアウォール装置の動作を示すシーケンス図である。 図３０は、実施例２−７の振分け管理テーブルの内容を示す図である。 図３１は、実施例２−７のファイアウォール装置の動作を示すシーケンス図である。 図３２は、フィルタリングテーブルの内容を示す図である。 図３３は、個別フィルタリングテーブルの内容を示す図である。 図３４は、本発明の実施例３−１のファイアウォール装置の概略構成と、そのファイアウォール装置が使用されるネットワークモデルを示すブロック図である。 図３５は、図３４に示す認証サーバ内の認証情報の詳細を示す図である。 図３６は、図３４に示す認証サーバ内のユーザ端末情報部に保持されるプールテーブルの詳細を示す図である。 図３７は、図３４に示す識別子管理サーバ内の識別子管理テーブルの詳細を示す図である。 図３８は、図３４に示すセキュリティポリシサーバ内のセキュリティポリシテーブルの詳細を示す図である。 図３９は、図３４に示すファイアウォール装置内の初期状態の振分け管理テーブルの詳細を示す図である。 図４０は、図３４のネットワークモデルの動作を示すシーケンスの一例を示す図である。 図４１は、図３４のネットワークモデルの動作を示すシーケンスの一例を示す図である。 図４２は、実施例３−２のファイアウォール装置の概略構成と、そのファイアウォール装置が使用されるネットワークモデルを示すブロック図である。 図４３は、図４２のネットワークモデルの動作を示すシーケンスの一例を示す図である。 図４４は、実施例３−３のファイアウォール装置の概略構成と、そのファイアウォール装置が使用されるネットワークモデルを示すブロック図である。 図４５は、図４４のネットワークモデルの動作を示すシーケンスの一例を示す図である。 図４６は、実施例３−４のファイアウォール装置の概略構成と、そのファイアウォール装置が使用されるネットワークモデルを示すブロック図である。 図４７は、図４６のネットワークモデルの動作を示すシーケンスの一例を示す図である。 図４８は、実施例３−５のファイアウォール装置の概略構成と、そのファイアウォール装置が使用されるネットワークモデルを示すブロック図である。 図４９は、図４８のネットワークモデルの動作を示すシーケンスの一例を示す図である。 図５０は、実施例３−６のファイアウォール装置の概略構成と、そのファイアウォール装置が使用されるネットワークモデルを示すブロック図である。 図５１は、図５０に示す認証サーバ１内の認証情報の詳細を示す図である。 図５２は、図５０に示す認証サーバ１内のユーザ端末情報部に保持されるプールテーブルの詳細を示す図である。 図５３は、図５０に示す認証サーバ２内の認証情報の詳細を示す図である。 図５４は、図５０に示す認証サーバ２内のユーザ端末情報部に保持されるプールテーブルの詳細を示す図である。 図５５は、図５０に示すユーザ（２０１５−１）が、ユーザ端末（２００２−１）を介してファイアウォール装置に送信するユーザ名を示す図である。 図５６は、図５０に示すユーザ（２０１５−２）が、ユーザ端末（２００２−２）を介してファイアウォール装置に送信するユーザ名を示す図である。 図５７は、図５０に示す識別子管理サーバ内の識別子管理テーブルの詳細を示す図である。 図５８は、図５０に示すセキュリティポリシサーバ内のセキュリティポリシテーブルの詳細を示す図である。 図５９は、図５０のネットワークモデルの動作を示すシーケンスの一例を示す図である。 図６０は、図５０のネットワークモデルの動作を示すシーケンスの一例を示す図である。 図６１は、コンピュータシステムの構成例を示す図である。

Claims (42)

1. 複数の仮想ファイアウォールを有し、各仮想ファイアウォールはそれぞれ独立したフィルタリングポリシを有するファイアウォール装置であって、
   ユーザ名と仮想ファイアウォールＩＤを管理する振分け管理テーブルと、
   ユーザ端末からのネットワーク接続のための認証情報を受信すると、それに記載されているユーザ名を保持する手段と、
   認証情報を認証サーバに通知する手段と、
   前記認証サーバから、認証応答を受信すると、その応答に記載されている前記ユーザ端末に付与すべきユーザＩＤを保持する手段とを備え、
   前記ユーザＩＤを前記ユーザ名と対応付けて前記振分け管理テーブルに登録することを特徴とするファイアウォール装置。
2. 前記ファイアウォール装置は、
   前記ユーザ端末とネットワークとの接続が確立された後に、前記ユーザ端末から送信されるパケットに対し、その送信元ユーザＩＤを検索キーとして前記振分け管理テーブルを参照し、該送信元ユーザＩＤと対応付けられている仮想ファイアウォールＩＤを検索し、該パケットを該仮想ファイアウォールＩＤを有する仮想ファイアウォールに振り分け、
   前記ユーザ端末の通信相手端末から送信されるパケットに対し、その宛先ユーザＩＤを検索キーとして前記振分け管理テーブルを参照し、該宛先ユーザＩＤと対応付けられている仮想ファイアウォールＩＤを検索し、該パケットを該仮想ファイアウォールＩＤを有する仮想ファイアウォールに振り分ける
   請求項１に記載のファイアウォール装置。
3. 前記認証サーバは、ネットワーク接続要求をするユーザの認証を行い、
   前記ユーザ端末に付与すべきユーザＩＤは前記ユーザ端末に通知され、
   前記ユーザ端末は、前記ユーザＩＤの通知によってはじめてユーザＩＤが付与される請求項１に記載のファイアウォール装置。
4. 前記認証サーバからの認証応答が認証エラーのとき、前記振分け管理テーブルに前記ユーザＩＤを登録せず、前記ユーザ端末に認証エラーを通知する請求項１に記載のファイアウォール装置。
5. 前記ユーザ端末からのネットワーク接続のための認証情報に記載されているユーザ名が、前記振分け管理テーブルに登録されていない場合、前記認証サーバからの認証応答に記載されるユーザＩＤを前記振分け管理テーブルに登録せず、
   前記ユーザ端末とネットワークとの接続が確立された後に、前記ユーザＩＤに対応する前記ユーザ端末から送信されるパケットを未登録ユーザ用の仮想ファイアウォールに振り分け、
   前記ユーザＩＤに対応する前記ユーザ端末の通信相手端末から送信されるパケットを未登録ユーザ用の仮想ファイアウォールに振り分ける請求項１に記載のファイアウォール装置。
6. 前記ユーザ端末からのネットワーク接続のための認証情報に記載されているユーザ名が、前記振分け管理テーブルに登録されていない場合、前記認証サーバからの認証応答に記載されるユーザＩＤおよび未登録ユーザ用の仮想ファイアウォールＩＤを前記振分け管理テーブルに登録する請求項１に記載のファイアウォール装置。
7. 前記ユーザ端末からのネットワーク接続のための認証情報に記載されているユーザ名が、前記振分け管理テーブルに登録されていない場合、前記ユーザ端末に認証エラーを通知する請求項１に記載のファイアウォール装置。
8. 前記認証サーバはＲａｄｉｕｓサーバであり、前記ユーザＩＤはユーザＩＰアドレスであり、前記ネットワークはインターネットであり、前記ユーザ端末からネットワーク接続はＰＰＰ（Point to Point Protocol）を用いる請求項１ないし７のうちいずれか１項に記載のファイアウォール装置。
9. ユーザ名と、ユーザＩＤと、フィルタリングＩＤとを対応付けて管理する振分け管理テーブルと、
   前記フィルタリングＩＤによって特定され、それぞれ独立したフィルタリングポリシを有するフィルタリングテーブルと、
   ネットワーク接続開始時に、ユーザ端末から発行される、ユーザ名が記載された認証情報を受信し、当該ユーザ名を保持する手段と、
   前記認証情報を認証サーバに通知する手段と、
   前記認証サーバから認証応答を受信し、その認証応答に記載されている前記ユーザ端末に付与すべきユーザＩＤを保持する手段とを備え、
   前記ユーザＩＤを前記ユーザ名と対応付けて前記振分け管理テーブルに登録することを特徴とするファイアウォール装置。
10. 前記ユーザ端末とネットワークとの接続が確立された後に、前記ユーザ端末から送信されるパケットに対して、その送信元ユーザＩＤを検索キーとして前記振分け管理テーブルを検索し、当該送信元ユーザＩＤと対応付けられるフィルタリングＩＤを抽出し、前記ユーザ端末から送信されるパケットに対して、前記抽出したフィルタリングＩＤを付与し、
    前記ユーザ端末の通信相手端末から送信されるパケットに対しては、その宛先ユーザＩＤを検索キーとして前記振分け管理テーブルを検索し、当該宛先ユーザＩＤと対応付けられるフィルタリングＩＤを抽出し、前記ユーザ端末の通信相手端末から送信されるパケットに対して、前記抽出したフィルタリングＩＤを付与し、
    フィルタリングＩＤが付与されたパケットを、前記付与されたフィルタリングＩＤによって特定されるフィルタリングテーブルに記載されたフィルタリングポリシに従い、通過あるいは廃棄する請求項９に記載のファイアウォール装置。
11. ユーザ名と、ユーザＩＤと、個別フィルタリングＩＤと、共通フィルタリングＩＤとを対応付けて管理する振分け管理テーブルと、
    前記個別フィルタリングＩＤと対応付けられた個別フィルタリングテーブルと、
    前記共通フィルタリングＩＤと対応付けられた共通フィルタリングテーブルと、
    ネットワーク接続開始時に、ユーザ端末から発行される、ユーザ名が記載された認証情報を受信し、当該ユーザ名を保持する手段と、
    前記認証情報を認証サーバに通知する手段と、
    前記認証サーバから認証応答を受信し、その認証応答に記載されている前記ユーザ端末に付与すべきユーザＩＤを保持する手段とを備え、
    前記ユーザＩＤを前記ユーザ名と対応付けて前記振分け管理テーブルに登録することを特徴とするファイアウォール装置。
12. 前記ファイアウォール装置は、
    前記ユーザ端末とネットワークとの接続が確立された後に、前記ユーザ端末から送信されるパケットに対して、その送信元ユーザＩＤを検索キーとして前記振分け管理テーブルを検索し、当該送信元ユーザＩＤと対応付けられる個別フィルタリングＩＤおよび共通フィルタリングＩＤを抽出し、前記ユーザ端末から送信されるパケットに対して、前記抽出した個別フィルタリングＩＤおよび共通フィルタリングＩＤを付与し、
    前記ユーザ端末の通信相手端末から送信されるパケットに対しては、その宛先ユーザＩＤを検索キーとして前記振分け管理テーブルを検索し、当該宛先ユーザＩＤと対応付けられる個別フィルタリングＩＤおよび共通フィルタリングＩＤを抽出し、前記ユーザ端末の通信相手端末から送信されるパケットに対して、前記抽出した個別フィルタリングＩＤおよび共通フィルタリングＩＤを付与し、
    個別フィルタリングＩＤおよび共通フィルタリングＩＤが付与されたパケットを、前記付与された個別フィルタリングＩＤによって特定される個別フィルタリングテーブルに記載のフィルタリングポリシ、および、前記付与された共通フィルタリングＩＤによって特定される共通フィルタリングテーブルに記載のフィルタリングポリシに従い、通過あるいは廃棄する請求項１１に記載のファイアウォール装置。
13. 前記ファイアウォール装置は、
    ネットワーク接続開始時に、ユーザ端末から発行される認証情報に含まれているユーザ名が、前記振分け管理テーブルに登録されていない場合に、前記認証サーバからの認証応答に記載されるユーザＩＤを前記振分け管理テーブルに登録せず、
    前記ユーザＩＤに対応する前記ユーザ端末から送信されるパケットまたは当該ユーザ端末の通信相手端末から送信されるパケットを、未登録ユーザ用のフィルタリングポリシに従い処理する請求項９に記載のファイアウォール装置。
14. 前記ファイアウォール装置は、
    ネットワーク接続開始時に、前記ユーザ端末から発行される認証情報に記載されているユーザ名が、前記振分け管理テーブルに登録されていない場合に、前記認証サーバから認証応答に記載されているユーザＩＤと、未登録ユーザ用のフィルタリングＩＤを前記振分け管理テーブルに登録する請求項９に記載のファイアウォール装置。
15. ユーザ名と、ユーザＩＤと、仮想ファイアウォールＩＤと、フィルタリングＩＤとを対応付けて管理する振分け管理テーブルと、
    前記仮想ファイアウォールＩＤによって特定され、前記フィルタリングＩＤによって特定される少なくとも１つのフィルタリングテーブルを有する複数の仮想ファイアウォールと、
    ネットワーク接続開始時に、ユーザ端末から発行される、ユーザ名が記載された認証情報を受信し、当該ユーザ名を保持する手段と、
    前記認証情報を認証サーバに通知する手段と、
    前記認証サーバから、認証応答を受信し、その認証応答に記載されている前記ユーザ端末に付与すべきユーザＩＤを保持する手段とを備え、
    前記ユーザＩＤを前記ユーザ名に対応付けて前記振分け管理テーブルに登録することを特徴とするフィルタリング装置。
16. 前記フィルタリング装置は、
    前記ユーザ端末とネットワークとの接続が確立された後に、前記ユーザ端末から送信されるパケットに対して、その送信元ユーザＩＤを検索キーとして前記振分け管理テーブルを検索し、該送信元ユーザＩＤと対応付けられる仮想ファイアウォールＩＤおよびフィルタリングＩＤを抽出し、前記ユーザ端末から送信されるパケットを、前記抽出した仮想ファイアウォールＩＤで特定される仮想ファイアウォールに振り分けるとともに、前記ユーザ端末から送信されるパケットに対して、前記抽出したフィルタリングＩＤを付与し、
    前記ユーザ端末の通信相手端末から送信されるパケットに対しては、その宛先ユーザＩＤを検索キーとして前記振分け管理テーブルを検索し、該宛先ユーザＩＤと対応付けられる仮想ファイアウォールＩＤおよびフィルタリングＩＤを抽出し、前記ユーザ端末の通信相手端末から送信されるパケットを、前記抽出した仮想ファイアウォールＩＤで特定される仮想ファイアウォールに振り分けるとともに、前記ユーザ端末の通信相手端末から送信されるパケットに対して、前記抽出したフィルタリングＩＤを付与し、
    フィルタリングＩＤが付与されたパケットを、前記振り分けられた仮想ファイアウォール内において、前記付与されたフィルタリングＩＤによって特定されるフィルタリングテーブルに記載されたフィルタリングポリシに従い、通過あるいは廃棄する請求項１５に記載のファイアウォール装置。
17. ユーザ名と、ユーザＩＤと、仮想ファイアウォールＩＤと、個別フィルタリングＩＤと、共通フィルタリングＩＤとを対応付けて管理する振分け管理テーブルと、
    前記個別フィルタリングＩＤに対応する個別フィルタリングテーブルと、前記共通フィルタリングＩＤに対応する共通フィルタリングテーブルとを有する仮想ファイアウォールと、
    ネットワーク接続開始時に、ユーザ端末から発行される、ユーザ名が記載された認証情報を受信し、当該ユーザ名を保持する手段と、
    前記認証情報を認証サーバに通知する手段と、
    前記認証サーバから、認証応答を受信し、その認証応答に記載されている前記ユーザ端末に付与すべきユーザＩＤを保持する手段とを備え、
    前記ユーザＩＤを前記ユーザ名に対応付けて前記振分け管理テーブルに登録することを特徴とするファイアウォール装置。
18. 前記ファイアウォール装置は、
    前記ユーザ端末とネットワークとの接続が確立された後に、前記ユーザ端末から送信されるパケットに対して、その送信元ユーザＩＤを検索キーとして前記振分け管理テーブルを検索し、当該送信元ユーザＩＤと対応付けられる仮想ファイアウォールＩＤ、個別フィルタリングＩＤおよび共通フィルタリングＩＤを抽出し、前記ユーザ端末から送信されるパケットを、前記抽出した仮想ファイアウォールＩＤで特定される仮想ファイアウォールに振り分けるとともに、前記ユーザ端末から送信されるパケットに対して、前記抽出した個別フィルタリングＩＤおよび共通フィルタリングＩＤを付与し、
    前記ユーザ端末の通信相手端末から送信されるパケットに対し、その宛先ユーザＩＤを検索キーとして前記振分け管理テーブルを検索し、当該宛先ユーザＩＤと対応付けられる仮想ファイアウォールＩＤ、個別フィルタリングＩＤおよび共通フィルタリングＩＤを抽出し、前記ユーザ端末の通信相手端末から送信されるパケットを、前記仮想ファイアウォールＩＤで特定される仮想ファイアウォールに振り分けるとともに、前記ユーザ端末の通信相手端末から送信されるパケットに対して、前記抽出した個別フィルタリングＩＤおよび共通フィルタリングＩＤを付与し、
    前記個別フィルタリングＩＤおよび共通フィルタリングＩＤが付与されたパケットを、前記振り分けられた仮想ファイアウォール内において、前記付与された個別フィルタリングＩＤによって特定される個別フィルタリングテーブルに記載のフィルタリングポリシ、および、前記付与された共通フィルタリングＩＤによって特定される共通フィルタリングテーブルに記載のフィルタリングポリシに従い、通過あるいは廃棄する請求項１７に記載のファイアウォール装置。
19. 前記ファイアウォール装置は、
    ネットワーク接続開始時に、ユーザ端末から発行される認証情報に含まれているユーザ名が、前記振分け管理テーブルに登録されていない場合に、前記認証サーバからの認証応答に記載されるユーザＩＤを前記振分け管理テーブルに登録せず、
    前記ユーザＩＤに対応する前記ユーザ端末から送信されるパケット、または前記ユーザＩＤに対応する前記ユーザ端末の通信相手端末から送信されるパケットを、未登録ユーザ用のフィルタリングポリシに従って処理する請求項１５に記載のファイアウォール装置。
20. 前記ファイアウォール装置は、
    ネットワーク接続開始時に、前記ユーザ端末から発行される認証情報に記載されているユーザ名が、前記振分け管理テーブルに登録されていない場合に、前記認証サーバから認証応答に記載されているユーザＩＤと、未登録ユーザ用の仮想ファイアウォールＩＤを前記振分け管理テーブルに登録する請求項１５に記載のファイアウォール装置。
21. 前記ファイアウォール装置は、
    前記認証サーバからの認証応答が認証エラーのとき、前記振分け管理テーブルに前記ユーザＩＤを登録せず、前記ユーザ端末に認証エラーを通知する請求項９に記載のファイアウォール装置。
22. 前記ファイアウォール装置は、
    ネットワーク接続開始時に、前記ユーザ端末から発行される認証情報に記載されているユーザ名が、前記振分け管理テーブルに登録されていない場合に、前記ユーザ端末に認証エラーを通知する請求項９に記載のファイアウォール装置。
23. 前記フィルタリングテーブルは、そのフィルタリングポリシの要素として、前記ユーザ端末に付与すべきユーザＩＤを含まない請求項９ないし請求項２２のうちいずれか１項に記載のファイアウォール装置。
24. 前記認証サーバはＲＡＤＩＵＳサーバであり、前記ユーザＩＤはユーザＩＰアドレスであり、前記ネットワークはインターネットであり、前記ユーザ端末からのネットワーク接続はＰＰＰを用いる請求項９ないし請求項２３のうちいずれか１項に記載のファイアウォール装置。
25. 複数のユーザ端末とネットワークの間に設置され、複数のユ一ザ端末に対するパケットフィルタリングを実施するファイアウォール装置であって、
    各ユーザ毎のセキュリティポリシを保持する個別フィルタリングテーブルと、
    複数のユーザに共通するセキュリティポリシを保持する共通フィルタリングテーブルと、
    ユーザ端末情報と、共通フィルタリングテーブルＩＤと、個別フィルタリングテーブルＩＤとを管理する振分け管理テーブルと、
    ユーザ端末が接続可能かを判断する認証サーバとの通信手段と、
    ユーザと結び付けられた共通フィルタリングテーブルＩＤ、および個別フィルタリングテーブルＩＤを管理する識別子管理サーバとの通信手段と、
    前記個別フィルタリングテーブルに書込まれるユーザ固有のセキュリティポリシとユーザとの関係を管理するセキュリティポリシ管理サーバとの通信手段とを備え、
    前記ファイアウォール装置は、
    ネットワーク接続開始時に、ユーザ端末から、ユーザ名を含む認証情報が付加された接続要求を受信し、当該ユーザ名を保持し、保持したユーザ名を認証サーバに通知し、
    前記認証サーバから受信した認証応答に付随するユーザ端末情報を保持し、
    前記ユーザ名を、前記識別子管理サーバと前記セキュリティポリシサーバに通知し、
    前記識別子管理サーバから受信した共通フィルタリングテーブルＩＤ、および個別フィルタリングテーブルＩＤと、ユーザ端末情報とを対応付けて前記振分け管理テーブルに記述し、
    前記セキュリティポリシサーバから受信したポリシ情報と、前記個別フィルタリングテーブルＩＤとを、前記個別フィルタリングテーブルに書込むことを特徴とするファイアウォール装置。
26. 前記ファイアウォール装置は、
    前記接続要求を発行したユーザ端末とネットワークとの接続が確立された後に、当該ユーザ端末から送信されるパケット、または、当該ユーザ端末宛のパケットを受信し、
    受信したパケットに含まれるユーザ端末情報を検索キーとして、前記振分け管理テーブルを参照し、当該ユーザ端末情報と対応付けられる共通フィルタリングテーブルＩＤ、および個別フィルタリングテーブルＩＤを抽出し、
    前記受信したパケットを、抽出した共通フィルタリングテーブルＩＤに対応する共通フィルタリングテーブル、および個別フィルタリングテーブルＩＤに対応する個別フィルタリングテーブルによりフィルタリングする請求項２５に記載のファイアウォール装置。
27. 前記ファイアウォール装置は、
    ネットワークとの接続切断時に、ユーザ端末から切断要求を受信し、前記ユーザ端末情報を検索キーに、前記振分け管理テーブルを参照し、当該ユーザ端末情報と対応付けられるエントリから個別フィルタリングテーブルＩＤを抽出するとともに、当該ユーザ端末情報と対応付けられるエントリを無効にし、
    前記抽出した個別フィルタリングテーブルＩＤに対応する個別フィルタリングテーブルの内容を無効にする請求項２５に記載のファイアウォール装置。
28. 複数のユーザ端末とネットワークの間に設置され、複数のユ一ザ端末に対するパケットフィルタリングを実施するファイアウォール装置であって、
    複数のユーザに対して、パケットフィルタリングを実施する少なくとも１つの仮想ファイアウォールと、
    ユーザ毎のセキュリティポリシを保持する少なくとも１つの個別フィルタリングテーブルと、
    複数のユーザに共通するセキュリティポリシを保持する少なくとも１つの共通フィルタリングテーブルと、
    ユーザ端末情報、仮想ファイアウォールＩＤ、共通フィルタリングテーブルＩＤ、個別フィルタリングテーブルＩＤを管理する振分け管理テーブルと、
    ユーザ端末が接続可能かを判断する認証サーバとの通信手段と、
    ユーザと結び付けられた仮想ファイアウォールＩＤ、共通フィルタリングテーブルＩＤ、および個別フィルタリングテーブルＩＤを管理する識別子管理サーバとの通信手段と、
    前記個別フィルタリングテーブルに書込まれるユーザ固有のセキュリティポリシとユーザとの関係を管理するセキュリティポリシ管理サーバとの通信手段とを備え、
    前記ファイアウォール装置は、
    ネットワーク接続開始時に、ユーザ端末から、ユーザ名を含む認証情報が付加された接続要求を受信し、当該ユーザ名を保持し、保持したユーザ名を認証サーバに通知し、
    前記認証サーバから受信した認証応答に付随するユーザ端末情報を保持し、
    前記ユーザ名を、前記識別子管理サーバとセキュリティポリシサーバに通知し、
    前記識別子管理サーバから受信した仮想ファイアウォールＩＤ、共通フィルタリングテーブルＩＤ、および個別フィルタリングテーブルＩＤと、前記ユーザ端末情報とを対応付けて前記振分け管理テーブルに記述し、
    前記セキュリティポリシサーバから受信したポリシ情報と、前記個別フィルタリングテーブルＩＤとを、前記仮想ファイアウォールＩＤで示される前記仮想ファイアウォールの個別フィルタリングテーブルに書込むことを特徴とするファイアウォール装置。
29. 前記ファイアウォール装置は、
    前記接続要求を発行したユーザ端末とネットワークとの接続が確立された後に、当該ユーザ端末から送信されるパケット、または、当該ユーザ端末宛のパケットを受信し、
    受信したパケットに含まれるユーザ端末情報を検索キーとして、前記振分け管理テーブルを参照し、当該ユーザ端末情報と対応付けられる仮想ファイアウォールＩＤ、共通フィルタリングテーブルＩＤ、および個別フィルタリングテーブルＩＤを抽出し、
    前記受信したパケットを、前記抽出した仮想ファイアウォールＩＤに示される仮想ファイアウォールヘ振分けるとともに、当該パケットを、前記抽出した共通フィルタリングテーブルＩＤに対応する共通フィルタリングテーブル、および個別フィルタリングテーブルＩＤに対応する個別フィルタリングテーブルによりフィルタリングする請求項２８に記載のファイアウォール装置。
30. 前記ファイアウォール装置は、
    ネットワークとの接続切断時に、ユーザ端末から切断要求を受信し、前記保持したユーザ端末情報を検索キーに、前記振分け管理テーブルを参照し、当該ユーザ端末情報と対応付けられるエントリから仮想ファイアウォールＩＤと個別フィルタリングテーブルＩＤを抽出するとともに、当該ユーザ端末情報と対応付けられるエントリを無効し、
    抽出した仮想ファイアウォールＩＤに対応する仮想ファイアウォール内に保持される、前記個別フィルタリングテーブルＩＤに対応する個別フィルタリングテーブルの内容を無効にする請求項２８に記載のファイアウォール装置。
31. 前記仮想ファイアウォールは、前記ネットワークと接続される契約ネットワークと１対１で対応付けられており、
    前記ファイアウォール装置は、前記仮想ファイアウォール数分の前記契約ネットワークを収納する請求項２８に記載のファイアウォール装置。
32. 前記認証サーバは、前記契約ネットワーク毎に複数設けられ、
    前記ユーザ端末から発行される接続要求に含まれるユーザ名から認証を行う認証サーバを決定し、認証処理を行う請求項３１に記載のファイアウォール装置。
33. 前記セキュリティポリシサーバは、ユーザ名と、少なくとも１つのセキュリティポリシが対応付けられたセキュリティポリシテーブルを有し、
    前記ファイアウォール装置は、同じセキュリティポリシテーブルを有する少なくとも１台のセキュリティポリシサーバと通信する請求項２５に記載のファイアウォール装置。
34. 前記識別子管理サーバは、ユーザ名と、共通フィルタリングテーブルＩＤと、個別フィルタリングテーブルＩＤとが対応付けられた識別子管理テーブルを有し、
    前記ファイアウォール装置は、同じ識別子管理テーブルを有する少なくとも１台の識別子管理サーバと通信する請求項２５に記載のファイアウォール装置。
35. 前記識別子管理サーバは、ユーザ名と、仮想ファイアウォールＩＤと、共通フィルタリングテーブルＩＤと、個別フィルタリングテーブルＩＤとが対応付けられた識別子管理テーブルを有し、
    前記ファイアウォール装置は、同じ識別子管理テーブルを有する少なくとも１台の識別子管理サーバと通信することを特徴とする請求項２８に記載のファイアウォール装置。
36. 複数のユーザ端末とネットワークの間に設置され、複数のユ一ザ端末に対するパケットフィルタリングを実施するファイアウォール装置であって、
    各ユーザ毎のセキュリティポリシを保持する個別フィルタリングテーブルと、
    複数のユーザに共通するセキュリティポリシを保持する共通フィルタリングテーブルと、
    ユーザ名と、少なくとも１つのセキュリティポリシが対応付けられたセキュリティポリシテーブルと、
    ユーザ端末情報と、共通フィルタリングテーブルＩＤと、個別フィルタリングテーブルＩＤとを管理する振分け管理テーブルと、
    ユーザ端末が接続可能かを判断する認証サーバとの通信手段と、
    ユーザと結び付けられた共通フィルタリングテーブルＩＤ、および個別フィルタリングテーブルＩＤを管理する識別子管理サーバとの通信手段とを備え、
    前記ファイアウォール装置は、
    ネットワーク接続開始時に、ユーザ端末から、ユーザ名を含む認証情報が付加された接続要求を受信し、当該ユーザ名を保持し、保持したユーザ名を認証サーバに通知し、
    前記認証サーバから受信した認証応答に付随するユーザ端末情報を保持し、
    前記ユーザ名を、前記識別子管理サーバに通知し、
    前記識別子管理サーバから受信した共通フィルタリングテーブルＩＤ、および個別フィルタリングテーブルＩＤと、ユーザ端末情報とを対応付けて前記振分け管理テーブルに記述し、
    前記保持したユーザ名をキーに、前記セキュリティポリシテーブルを参照し、当該ユーザ名と対応付けられたポリシ情報を抽出し、当該抽出したポリシ情報と、前記個別フィルタリングテーブルＩＤとを、前記個別フィルタリングテーブルに書込むことを特徴とするファイアウォール装置。
37. 複数のユーザ端末とネットワークの間に設置され、複数のユ一ザ端末に対するパケットフィルタリングを実施するファイアウォール装置であって、
    各ユーザ毎のセキュリティポリシを保持する個別フィルタリングテーブルと、
    複数のユーザに共通するセキュリティポリシを保持する共通フィルタリングテーブルと、
    ユーザ端末情報と、共通フィルタリングテーブルＩＤと、個別フィルタリングテーブルＩＤとを管理する振分け管理テーブルと、
    ユーザ名と、共通フィルタリングテーブルＩＤと、個別フィルタリングテーブルＩＤとが対応付けられた識別子管理テーブルと、 ユーザ端末が接続可能かを判断する認証サーバとの通信手段と、
    前記個別フィルタリングテーブルに書込まれるユーザ固有のセキュリティポリシとユーザとの関係を管理するセキュリティポリシ管理サーバとの通信手段とを備え、
    前記ファイアウォール装置は、
    ネットワーク接続開始時に、ユーザ端末から、ユーザ名を含む認証情報が付加された接続要求を受信し、当該ユーザ名を保持し、保持したユーザ名を認証サーバに通知し、
    前記認証サーバから受信した認証応答に付随するユーザ端末情報を保持し、
    前記ユーザ名を、前記セキュリティポリシサーバに通知し、
    前記保持したユーザ名をキーに、前記識別子管理テーブルを参照し、当該ユーザ名と対応付けられた共通フィルタリングテーブルＩＤ、および個別フィルタリングテーブルＩＤを抽出し、当該抽出した共通フィルタリングテーブルＩＤ、および個別フィルタリングテーブルＩＤと、ユーザ端末情報とを対応付けて前記振分け管理テーブルに記述し、
    前記セキュリティポリシサーバから受信したポリシ情報と、前記個別フィルタリングテーブルＩＤとを、前記個別フィルタリングテーブルに書込むことを特徴とするファイアウォール装置。
38. 複数のユーザ端末とネットワークの間に設置され、複数のユ一ザ端末に対するパケットフィルタリングを実施するファイアウォール装置であって、
    各ユーザ毎のセキュリティポリシを保持する個別フィルタリングテーブルと、
    複数のユーザに共通するセキュリティポリシを保持する共通フィルタリングテーブルと、
    ユーザ端末情報と、共通フィルタリングテーブルＩＤと、個別フィルタリングテーブルＩＤとを管理する振分け管理テーブルと、
    ユーザ名と、少なくとも１つのセキュリティポリシが対応付けられたセキュリティポリシテーブルと、
    ユーザ名と、共通フィルタリングテーブルＩＤと、個別フィルタリングテーブルＩＤとが対応付けられた識別子管理テーブルと、 ユーザ端末が接続可能かを判断する認証サーバとの通信手段とを備え、
    前記ファイアウォール装置は、
    ネットワーク接続開始時に、ユーザ端末から、ユーザ名を含む認証情報が付加された接続要求を受信し、当該ユーザ名を保持し、保持したユーザ名を認証サーバに通知し、
    前記認証サーバから受信した認証応答に付随するユーザ端末情報を保持し、
    前記保持したユーザ名をキーに、前記識別子管理テーブルを参照し、当該ユーザ名と対応付けられた共通フィルタリングテーブルＩＤ、および個別フィルタリングテーブルＩＤを抽出し、当該抽出した共通フィルタリングテーブルＩＤ、および個別フィルタリングテーブルＩＤと、ユーザ端末情報とを対応付けて前記振分け管理テーブルに記述し、
    前記保持したユーザ名をキーに、前記セキュリティポリシテーブルを参照し、当該ユーザ名と対応付けられたポリシ情報を抽出し、当該抽出したポリシ情報と、前記個別フィルタリングテーブルＩＤとを、前記個別フィルタリングテーブルに書込むことを特徴とするファイアウォール装置。
39. 複数のユーザ端末とネットワークの間に設置され、複数のユ一ザ端末に対するパケットフィルタリングを実施するファイアウォール装置であって、
    複数のユーザに対して、パケットフィルタリングを実施する少なくとも１つの仮想ファイアウォールと、
    ユーザ毎のセキュリティポリシを保持する少なくとも１つの個別フィルタリングテーブルと、
    複数のユーザに共通するセキュリティポリシを保持する少なくとも１つの共通フィルタリングテーブルと、
    ユーザ端末情報、仮想ファイアウォールＩＤ、共通フィルタリングテーブルＩＤ、個別フィルタリングテーブルＩＤを管理する振分け管理テーブルと、
    ユーザ名と、少なくとも１つのセキュリティポリシが対応付けられたセキュリティポリシテーブルと、
    ユーザ端末が接続可能かを判断する認証サーバとの通信手段と、
    ユーザと結び付けられた仮想ファイアウォールＩＤ、共通フィルタリングテーブルＩＤ、および個別フィルタリングテーブルＩＤを管理する識別子管理サーバとの通信手段とを備え、
    前記ファイアウォール装置は、
    ネットワーク接続開始時に、ユーザ端末から、ユーザ名を含む認証情報が付加された接続要求を受信し、当該ユーザ名を保持し、保持したユーザ名を認証サーバに通知し、
    前記認証サーバから受信した認証応答に付随するユーザ端末情報を保持し、
    前記ユーザ名を、前記識別子管理サーバに通知し、
    前記識別子管理サーバから受信した仮想ファイアウォールＩＤ、共通フィルタリングテーブルＩＤ、および個別フィルタリングテーブルＩＤと、前記ユーザ端末情報とを対応付けて前記振分け管理テーブルに記述し、
    前記保持したユーザ名をキーに、前記セキュリティポリシテーブルを参照し、当該ユーザ名と対応付けられたポリシ情報を抽出し、当該抽出したポリシ情報と、前記個別フィルタリングテーブルＩＤとを、前記仮想ファイアウォールＩＤで示される前記仮想ファイアウォールの個別フィルタリングテーブルに書込むことを特徴とするファイアウォール装置。
40. 複数のユーザ端末とネットワークの間に設置され、複数のユ一ザ端末に対するパケットフィルタリングを実施するファイアウォール装置であって、
    複数のユーザに対して、パケットフィルタリングを実施する少なくとも１つの仮想ファイアウォールと、
    ユーザ毎のセキュリティポリシを保持する少なくとも１つの個別フィルタリングテーブルと、
    複数のユーザに共通するセキュリティポリシを保持する少なくとも１つの共通フィルタリングテーブルと、
    ユーザ端末情報、仮想ファイアウォールＩＤ、共通フィルタリングテーブルＩＤ、個別フィルタリングテーブルＩＤを管理する振分け管理テーブルと、
    ユーザ名と、仮想ファイアウォールＩＤと、共通フィルタリングテーブルＩＤと、個別フィルタリングテーブルＩＤとが対応付けられた識別子管理テーブルと、
    ユーザ端末が接続可能かを判断する認証サーバとの通信手段と、
    前記個別フィルタリングテーブルに書込まれるユーザ固有のセキュリティポリシとユーザとの関係を管理するセキュリティポリシ管理サーバとの通信手段とを備え、
    前記ファイアウォール装置は、
    ネットワーク接続開始時に、ユーザ端末から、ユーザ名を含む認証情報が付加された接続要求を受信し、当該ユーザ名を保持し、保持したユーザ名を認証サーバに通知し、
    前記認証サーバから受信した認証応答に付随するユーザ端末情報を保持し、
    前記ユーザ名を、前記セキュリティポリシサーバに通知し、
    前記保持したユーザ名をキーに、前記識別子管理テーブルを参照し、当該ユーザ名と対応付けられた仮想ファイアウォールＩＤ、共通フィルタリングテーブルＩＤ、および個別フィルタリングテーブルＩＤを抽出し、当該抽出した仮想ファイアウォールＩＤ、共通フィルタリングテーブルＩＤ、および個別フィルタリングテーブルＩＤと、前記ユーザ端末情報とを対応付けて前記振分け管理テーブルに記述し、
    前記セキュリティポリシサーバから受信したポリシ情報と、前記個別フィルタリングテーブルＩＤとを、前記仮想ファイアウォールＩＤで示される前記仮想ファイアウォールの個別フィルタリングテーブルに書込むことを特徴とするファイアウォール装置。
41. 複数のユーザ端末とネットワークの間に設置され、複数のユ一ザ端末に対するパケットフィルタリングを実施するファイアウォール装置であって、
    複数のユーザに対して、パケットフィルタリングを実施する少なくとも１つの仮想ファイアウォールと、
    ユーザ毎のセキュリティポリシを保持する少なくとも１つの個別フィルタリングテーブルと、
    複数のユーザに共通するセキュリティポリシを保持する少なくとも１つの共通フィルタリングテーブルと、
    ユーザ端末情報、仮想ファイアウォールＩＤ、共通フィルタリングテーブルＩＤ、個別フィルタリングテーブルＩＤを管理する振分け管理テーブルと、
    ユーザ名と、少なくとも１つのセキュリティポリシが対応付けられたセキュリティポリシテーブルと、
    ユーザ名と、仮想ファイアウォールＩＤと、共通フィルタリングテーブルＩＤと、個別フィルタリングテーブルＩＤとが対応付けられた識別子管理テーブルと、
    ユーザ端末が接続可能かを判断する認証サーバとの通信手段とを備え、
    前記ファイアウォール装置は、
    ネットワーク接続開始時に、ユーザ端末から、ユーザ名を含む認証情報が付加された接続要求を受信し、当該ユーザ名を保持し、保持したユーザ名を認証サーバに通知し、
    前記認証サーバから受信した認証応答に付随するユーザ端末情報を保持し、
    前記保持したユーザ名をキーに、前記識別子管理テーブルを参照し、当該ユーザ名と対応付けられた仮想ファイアウォールＩＤ、共通フィルタリングテーブルＩＤ、および個別フィルタリングテーブルＩＤを抽出し、当該抽出した仮想ファイアウォールＩＤ、共通フィルタリングテーブルＩＤ、および個別フィルタリングテーブルＩＤと、前記ユーザ端末情報とを対応付けて前記振分け管理テーブルに記述し、
    前記保持したユーザ名をキーに、前記セキュリティポリシテーブルを参照し、当該ユーザ名と対応付けられたポリシ情報を抽出し、当該抽出したポリシ情報と、前記個別フィルタリングテーブルＩＤとを、前記仮想ファイアウォールＩＤで示される前記仮想ファイアウォールの個別フィルタリングテーブルに書込むことを特徴とするファイアウォール装置。
42. 前記認証サーバは、ＲＡＤＩＵＳサーバであり、前記ユーザ端末情報は、ユーザ端末に付与されるＩＰアドレスであり、前記ユーザ端末からネットワークヘの接続はＰＰＰであり、認証には、ＰＡＰ、または、ＣＨＡＰを用いる請求項２５ないし請求項４１のうちいずれか１項に記載のファイアウォール装置。

Images