JP2000253038A - ファイアウオール装置 - Google Patents

Abstract

(57)【要約】 【課題】セキュリテイを向上させ、かつトラッフィクを
軽くしたファイアウオール装置を提供する。 【解決手段】イントラネット内のクライアントに選択さ
れ、かつプロキシー／キャッシュサーバとして用いられ
るホストコンピュータ３、４、５から転送されてくる接
続要求中でＦＱＤＮ形式のアドレスを判別して、デフォ
ルトルートはホストコンピュータ３、４、５側に向けら
れてインターネット側とは直接接続されず、かつプロキ
シーサーバーとして用いられるホストコンピュータ２に
よってルーチングを行わせ、インターネットへの接続を
デフォルトルートはインターネット側に向けられ、ホス
トコンピュータ２からのみ接続され、かつプロキシー／
キャッシュサーバーとして用いられるホストコンピュー
タ１にて行わせるようにした。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明はインターネットとイ
ントラネット間に設けられてデータを保護するファイア
ウオール装置に関する。

【０００２】

【従来の技術】従来のこの種のファイアウオール装置
は、例えば図５、図６に示すように構成されている。

【０００３】図５に示す従来のファイアウオール装置の
場合、イントラネット内のクライアント２５はホストコ
ンピュータ２３をプロキシーサーバーとして用いて、フ
ァイアウオールゲートウエイを構成するホストコンピュ
ータ２２を越えて、プロキシー／キャッシュサーバーと
して用いたホストコンピュータ２１に接続してからイン
ターネットにアクセスするように構成される。符号２４
はルータを示し、符号２６はネットワークを示してい
る。

【０００４】ホストコンピュータ２２では、通過できる
アドレスとポート番号が制限されており、ホストコンピ
ュータ２２では一般にホストコンピュータ２３のアドレ
スからのみインターネット側のホストコンピュータ２１
へ接続できるようになっていて、ファイアウオール装置
を構成している。

【０００５】図６に示す従来のファイアウオール装置の
場合、図５に示すファイアウオール装置よりも簡単にな
っていて、ホストコンピュータ２３が省略されており、
イントラネット内のクライアント２５は全てインターネ
ット接続を行うためにホストコンピュータ２１をプロキ
シー／キャッシュサーバーとして使用する。

【０００６】

【発明が解決しようとする課題】しかし、上記のように
構成した図５に示すファイアウオール装置では、次のよ
うな問題点がある。（ａ）ホストコンピュータ２３に多
数のクライアントの接続要求が生じ、プロキシーサーバ
ーの負荷を重くし、イントラネット側のトラフィックが
集中する。この結果、ルーチングが複雑になる。また、
ＩＰアドレスを用いたセキュリティの維持が難しくな
る。

【０００７】さらに、（ｂ）ホストコンピュータ２２に
トラフィックが集中する。（ｃ）拡張性が少なく、イン
トラネット側の規模が大きくなったとき、トラフィック
管理が困難になる。

【０００８】図６に示すファイアウール装置では、構成
は簡単になっており、イントラネット内のクライアント
は全てインターネット接続を行うためにホストコンピュ
ータ２１をプロキシー／キャッシュサーバーとして使用
するため、ホストコンピュータ２２は内部の全てのクラ
イアントからホストコンピュータ２１に接続できるよう
にする必要があり、次のような問題点を有する。

【０００９】（ａ）セキュリティを実現する為に、グロ
ーバルなネットワークアドレスは一般的に大量に取得で
きず、イントラネット内のホストコンピュータのアドレ
スは全てプライベートアドレスにする必要がある。
（ｂ）全てのクライアントをホストコンピュータ２１や
２２のアクセス制御に登録する必要があるため、ホスト
コンピュータ２２のアクセス制御の設定が複雑になる。
（ｃ）イントラネット側のネットワークの規模が大きく
なった場合、図５の例よりもルーチングがむずかしくな
り、トラフィックの影響を大きく受けてネットワークの
効率を下げる。（ｄ）さらに、拡張性が図５に示すの場
合よりも低い。

【００１０】本発明は、セキュリテイを向上させ、かつ
トラフィックを軽くすることができるファイアウオール
装置を提供することを目的とする。

【００１１】

【課題を解決するための手段】本発明のファイアウオー
ル装置は、イントラネット内部のクライアントが接続を
行い、オートプロキシーによってクライアントに選択さ
れ、かつプロキシー／キャッシュサーバとして用いられ
る複数の第１のホストコンピュータと、第１のホストコ
ンピュータから転送されてくる接続要求中でＦＱＤＮ形
式のアドレスを判別してルーチングを行い、デフォルト
ルートは第１のホストコンピュータ側に向けられてイン
ターネット側とは直接接続されず、かつサーバーとして
用いられるときはプロキシーサーバーとして用いられる
第２のホストコンピュータと、デフォルトルートはイン
ターネット側に向けられ、第２のホストコンピュータか
らのみ接続され、かつサーバーとして用いられるときは
プロキシー／キャッシュサーバーとして用いられる第３
のホストコンピュータとを備えたことを特徴とする。

【００１２】本発明のファイアウオール装置によれば、
第１のホストコンピュータのプロキシー／キャッシュサ
ーバの記憶内容がクライアントからの要求内容とヒット
することが多くなり、第３のホストコンピュータからイ
ンターネットに接続されることは減少し、第２のホスト
コンピュータを通過するデータ量は減少して、トラッフ
ィクは軽減される。また、第２のホストコンピュータは
ＦＱＤＮを用いてルーチングを切り替える為に、ネーム
サービスはイントラネット側のみで完結していればよ
く、イントラネット内部のドメインをインターネット側
から知られる危険はなく、セキュリティが向上される。

【００１３】

【発明の実施の形態】以下、本発明にかかるファイアウ
オール装置を実施の形態によって説明する。

【００１４】図１は本発明の実施の一形態にかかるファ
イアウオール装置の構成を示すブロック図であり、図２
は本発明の実施の一形態にかかるファイアウオール装置
におけるルーチングを示す模式図である。

【００１５】本発明の実施の一形態にかかるファイアウ
オール装置は、図１に示すように３層に構成してある。

【００１６】最下層の第３層目Ａには、イントラネット
内のクライアントと接続するホストコンピュータ３〜５
が設けてあり、プロトコルやルーチングの管理を行わせ
る。ホストコンピュータ３〜５をサーバーとして用いる
ときはプロキシー／キャッシュサーバーとして用い、こ
れらのプロキシー／キャッシュサーバーはオートプロキ
シー機能を使用し、クライアントが任意に選択する。さ
らに、これらのプロキシー／キャッシュサーバーはさら
に後記する上位のホストコンピュータ２へスタテイック
に中継されている。

【００１７】第２層目Ｂには、ホストコンピュータ２が
設けてあり、ホストコンピュータ２をサーバーとして用
いるときはプロキシーサーバーとして用いる。ホストコ
ンピュータ２を設けた理由は、ホストコンピュータ３、
４、５からの接続要求を後記のホストコンピュータ１へ
中継するためであり、また、ファイアウオールの機能と
してアクセス制御を行うためである。プロキシーサーバ
の中継は他のサブドメインのｈｔｔｐサーバーへアクセ
スするために、他のプロキシーサーバーへの中継も行
う。

【００１８】第１層目Ｃには、ホストコンピュータ１が
設けてあり、ホストコンピュータ１をサーバーとして用
いるときはプロキシー／キャッシュサーバーとして用い
る。ホストコンピュータ１はイントラネットからの要求
は受付、インターネットからの接続はできないようにア
クセス制御を行い、キャッシュ用のデイスクメモリを持
つている。

【００１９】上記のような３層構成にしたのは、ファイ
アウオールの構成と、他のドメインとのルーテイングを
行う必要のためでもある。

【００２０】なお、図１において符号６〜８はルータを
示し、ルータ６はインターネット接続を行うためのルー
タである。図２において符号９はクライアントを示し、
符号１１および３１はそれぞれホストコンピュータ１の
キャッシュ用デイスクメモリ、ホストコンピュータ３、
４、５のキャッシュ用デイスクを示している。

【００２１】さらに説明する。ホストコンピュータ１
は、サーバーとして用いるときはプロキシー／キャッシ
ュサーバとして用い、デフォルトのルーチングはルータ
６に向けてあり、プロキシー／キャッシュサーバーへの
接続は、ホストコンピュータ２からのみ接続できるよう
にアクセス制御がかけてある。

【００２２】ホストコンピュータ２は、キャッシュを持
っていない。ホストに対する負担を軽くするためにホス
トコンピュータ３、４、５等から転送されてくる接続要
求の中で、ＩＰアドレスによる表現ではなくＦＱＤＮ
（フルリー、クオリファイド、ドメイン、ネーム）形式
のアドレスを判断し、インターネット側もしくは別のサ
ブドメインへのルーチングを行う。例えば、ｆｏｏ．ｂ
ａｒ．ｃｏｍ以外のｂａｒ．ｃｏｍというドメイン宛の
接続は別のドメインへ、ｂａｒ．ｃｏｍ以外のドメイン
への要求はホストコンピュータ１へ接続を行う。

【００２３】なお、ホストコンピュータ２へはホストコ
ンピュータ３、４、５のいずれかのみが接続できるよう
にアクセス制御を行い、デフォルトルートは内部に向け
られ、インターネット側からはこのホストコンピュータ
３、４、５に接続はできない。

【００２４】ホストコンピュータ３、４、５は、プロキ
シー／キャッシュサーバーであり、各々キャッシュの機
能を持っている。内部のネットワークに属するクライア
ントはこれらホストコンピュータ３、４、５のプロキシ
ー／キャッシュサーバーを次のような基準ルールで選択
して接続を行い、各サーバーのディスクやネットワーク
の負担を軽くしている。

【００２５】クライアントによるホストコンピュータ
３、４、５のプロキシー／キャッシュサーバーの切替基
準ルールは、接続要求をしているＵＲＬキャラクターを
論理加算しさらに３で割り（３台のプロキシー／キャッ
シュサーバーを使用した場合）、剰余でホストコンピュ
ータ３、ホストコンピュータ４、またはホストコンピュ
ータ５を選択する。また、例えば、その過程でホストコ
ンピュータ３が選択されたが、ホストコンピュータ３が
動作停止している場合はホストコンピュータ４に、さら
にホストコンピュータ４が停止している場合はホストコ
ンピュータ５を使用するようにプロキシーの切り替えの
ルールが定めてある。具体的な切り替えはクライアント
へ供給されているプログラムでブラウザが実施する。

【００２６】そこで、本発明の実施の一形態にかかるフ
ァイアウオール装置では、インターネット接続を行うと
き、ホストコンピュータ３、４、５をプロキシー／キャ
ッシュサーバーとして用い、キャッシュのヒット率をあ
げることができて、ホストコンピュータ２を介してホス
トコンピュータ１への接続要求が減少し、ホストコンピ
ュータ１、２の負担が軽減され、ホストコンピュータ２
に対するトラフィックが軽減される。

【００２７】次に、ホストコンピュータ１、３、４およ
び５に充分大きな記憶容量のキャッシュサーバー用のデ
ィスクメモリ１１、３１を設け、さらに、各々のホスト
コンピュータ１、３、４および５では同時に開くことが
できるファイルの数を充分大きくし、要求の待ち時間を
短くしキャッシュのパラメータを調整し一度に上記のプ
ロキシーサーバーであるホストコンピュータ１への要求
を出す大きさを大きくすることによりヒット率が向上
し、インターネットへの接続要求が減少し、トラフィッ
クが軽減された。

【００２８】この結果、各週における実線、破線および
一点鎖線で示すホストコンピュータ３、４、５における
ヒット率の変化は、図３に示すように本発明の実施の一
形態にかかるファイアウオール装置を用いた第２週目か
ら増加し、一点差線で示すホストコンピュータ１に対す
るインターネットへの接続要求は第２週目から減少して
いる。図４は、さらに第６週目を加えたときの例を示し
ている。図３および図４において、二点差線はホストコ
ンピュータにおけるヒット率を示している。

【００２９】また、上記したように、オートプロキシー
の実装にあたり、クライアントは要求したプロキシー／
キャッシュサーバーが動作を停止している場合、次のプ
ロキシー／キャッシュサーバーへ要求を自動的に切り替
えるようにプログラムすることにより、この切り替え時
には、多少時間はかかるが、次のタイミングからは通常
どうりになる。

【００３０】キャッシュサーバー用のディスクメモリを
ホストコンピュータ３、４、５に分割し、また、オート
プロキシーしてプロキシーサーバーを切り換える効果に
より、一つのページを読むときに一般に複数のＵＲＬへ
の要求が出されるが、この要求を複数のプロキシー／キ
ャッシュサーバーで処理されるためディスクの待ち時間
を低減することができ、また一台のプロキシー／キャッ
シュサーバーへ上記のような複数のＵＲＬの要求が集中
しないため、ディスクメモリやネットワークへの負担が
軽くなり一台のホストコンピュータにて行うより速度が
改善される。

【００３１】また、ホストコンピュータ１とホストコン
ピュータ３、４、５との２段のキャッシュを行っている
ために、見かけ上の速度が向上する。これは、まず、ホ
ストコンピュータ３、４、５のプロキシー／キャッシュ
サーバーに要求されたデータが残されている確率が高く
なり、ホストコンピュータ３、４、５のプロキシー／キ
ャッシュサーバー間での中継を行い、ホストコンピュー
タ１のプロキシー／キャッシュサーバーがオブジェクト
を取り込む時は一度に大量のオブジェクトを要求するよ
うにし、ホストコンピュータ３、４、５のプロキシー／
キャッシュサーバーではホストコンピュータ１のプロキ
シー／キャッシュサーバーに対して小さな量で分割して
処理し、一回にセッションをはっている時間を短くし他
の目的に使用するセッションをはりやすくすることで、
ホストコンピュータ１とホストコンピュータ２、３、４
のプロキシー／キャッシュサーバー間のネットワークの
負担を少なくしているためである。

【００３２】インターネットとの間でネームサービスを
交換しないため、セキュリティは改善される。さらにホ
ストコンピュータ２を通過するデータ量が減少し、セキ
ュリティ面のみでなくトラフィックを大幅に少なくする
ことができ、ホストコンピュータ１とホストコンピュー
タ３、４、５の間の接続が円滑になる。

【００３３】

【発明の効果】以上説明したように本発明にかかるファ
イアウオール装置によれば、第２のホストコンピュータ
はＦＱＤＮを用いてルーチングを切り替える為に、ネー
ムサービスはイントラネット側のみで完結していればよ
く、イントラネット内部のドメインをインターネット側
から知られる危険はなく、セキュリティが改善される。

【００３４】また、本発明にかかるファイアウオール装
置によれば、第２のホストコンピュータのスイッチ機能
を用いることで別のサブドメインとのプロキシー／キャ
ッシュサーバーの中継を任意に作成できる拡張性を持
つ。中継を行う事でサブドメイン間のルーチングを簡単
にし、トラフィックを軽くする事ができる。

【００３５】さらに、本発明にかかるファイアウオール
装置によれば、第２のホストコンピュータのアクセス制
御はイントラネット側の第１のホストコンピュータのみ
の接続を許可するため、またインターネット側の第３の
ホストコンピュータも第２のホストコンピュータを通過
したプロトコルのみの接続を許可するためセキュリティ
が改善される。

【００３６】さらにまた、本発明にかかるファイアウオ
ール装置によれば、イントラネット側のプロキシー／キ
ャッシュサーバーは分散されているため、負荷を分散す
る事ができると共に、何れかが動作を停止しても動作し
ているイントラネット側のプロキシー／キャッシュサー
バーが代行し全くインターネット接続がでないというこ
とは少なくなる。

【００３７】また、本発明にかかるファイアウオール装
置によれば、イントラネット側の第１のホストコンピュ
ータさらに下にプロキシー／キャッシュサーバーを設け
中継を行う事でさらにネットワークを拡張する事ができ
て、その実施によってトラフィックやルーチングの管理
が容易になる。

【００３８】また、本発明にかかるファイアウオール装
置によれば、イントラネット側とインターネット側にプ
ロキシー／キャッシュサーバーとして用いる第１、第３
のホストコンピュータを設けているために、第２のホス
トコンピュータにかかるトラフィックを軽減することが
できる。ネットワークは拡張や変更が行われていき、そ
れに従いルーチングもトラフィックも変わってきても、
本発明にかかるファイアウオール装置では、機能分担が
なされているために、容易にネットワークを拡張しなが
らセキュルテイを維持することが可能となる。

【図面の簡単な説明】

【図１】本発明の実施の一形態にかかるファイアウオー
ル装置の構成を示すブロック図である。

【図２】本発明の実施の一形態にかかるファイアウオー
ル装置におけるルーチングを示す模式図である。

【図３】本発明の実施の一形態にかかるファイアウオー
ル装置の作用の説明に供する説明図である。

【図４】本発明の実施の一形態にかかるファイアウオー
ル装置の作用の説明に供する説明図である。

【図５】従来のファイアウオール装置の構成を示すブロ
ック図である。

【図６】従来の他のファイアウオール装置の構成を示す
ブロック図である。

【符号の説明】

１〜５ ホストコンピュータ ６〜８ ルータ １１および３１ デイスクメモリ ２６ ネットワーク

───────────────────────────────────────────────────── フロントページの続き Ｆターム(参考） 5B082 GA11 HA08 5B089 GA01 GA19 GA21 GA31 GB01 HA10 KA07 KA17 KB06 KG08 5K030 HA08 HC01 HC14 HD03 HD06 JT06 LB05 LD11 LD20 5K033 AA03 AA08 CB06 CB08 DA06 DB12 DB14 DB16 DB18 9A001 BB03 CC08 JJ25 KK31 LZ03

Claims (1)

【特許請求の範囲】
1. 【請求項１】イントラネット内部のクライアントが接続
   を行い、オートプロキシーによってクライアントに選択
   され、かつプロキシー／キャッシュサーバとして用いら
   れる複数の第１のホストコンピュータと、 第１のホストコンピュータから転送されてくる接続要求
   中でＦＱＤＮ形式のアドレスを判別してルーチングを行
   い、デフォルトルートは第１のホストコンピュータ側に
   向けられてインターネット側とは直接接続されず、かつ
   サーバーとして用いられるときはプロキシーサーバーと
   して用いられる第２のホストコンピュータと、 デフォルトルートはインターネット側に向けられ、第２
   のホストコンピュータからのみ接続され、かつサーバー
   として用いられるときはプロキシー／キャッシュサーバ
   ーとして用いられる第３のホストコンピュータとを備え
   たことを特徴とするファイアウオール装置。