JP2001249866A

JP2001249866A - ファイアウォール機能を分散させたネットワーク、ファイアウォール分散機能を有するファイアウォールサーバ、及びファイアウォール機能を有するエッジノード

Info

Publication number: JP2001249866A
Application number: JP2000059747A
Authority: JP
Inventors: Hitoshi Yamada; 仁山田; Takeshi Kawasaki; 健川崎; Yutaka Ezaki; 裕江崎
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2000-03-06
Filing date: 2000-03-06
Publication date: 2001-09-14

Abstract

(57)【要約】【課題】ファィアウォール機能をネットワークにおい
て分散させる。【解決手段】ファィアウォール機能をネットワークを
構成する複数のエッジノードへ予め分散させて実現す
る。ファイアウォールサーバの負荷が高くなった場合
に、特定のエッジノードへフィルタリングルールの少な
くとも一部を分配し、特定のエッジノードは分配を受け
たフィルタリングルールを用いてフィルタリング処理を
行うように構成する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、インターネットに
おいてネットワークのセキュリティを高めるための機能
であるファイアウォールを実現するための方式に関す
る。特に、サービスプロバイダが提供するサービスであ
る仮想プライベート網 (VPN: Virtual Private Networ
k)サービスにおいて、企業の私的ネットワークとなるVP
Nをインターネットに接続する際に、VPNのセキュリティ
を保つために必要なファイアウォール機能を有するエッ
ジノード、ファイアウォールサーバ、及びファィアウォ
ール機能を分散させたネットワークに関する。

【０００２】近年、企業の事業所が各地に分散してきて
おり、企業にとっては離れた事業所間をつなぐネットワ
ークがほしいという要求がある。このとき、公衆のネッ
トワークを利用して、仮想的な企業の私的ネットワーク
をVPNとして、サービスプロバイダが提供するのがVPNサ
ービスである。このVPNをインターネットと接続する際
に、VPNに侵入しようとするなどの不正なアクセスを防
ぐために、ファイアウォール機能を提供する必要があ
る。

【０００３】

【従来の技術】図6は、従来におけるファイアウォール
機能を有するネットワークを示す図である。

【０００４】図6において、10０は複数のノードから構
成されるサービスプロバイダのネットワークであり、説
明に必要な主なノートだけを示している。ネットワーク
１００は、エッジノード４０、５０を介して他のサービ
スプロバイダの網であるインターネット２００へ接続さ
れる。サービスプロバイダのネットワーク10０は、A社
の事業所1と事業所2にVPN1を、B社の事業所1と事業所2
にVPN2をそれぞれ提供する。

【０００５】ファイアウォールサーバ６０は、ＶＰＮ１
とＶＰＮ２への不正アクセスを防止するためにＶＰＮ１
とＶＰＮ２に対して共通に設けられ、ここで集中的にフ
ァイアウォールの処理を行う。ＶＰＮ１又はＶＰＮ２に
収容される端末とインターネット２００の間でやり取り
されるパケットはすべてファイアウォールサーバ６０を
経由する。ファイアウォールサーバ６０は、入力パケッ
トに対してフィルタリング機能を実行する。パケットフ
ィルタリング機能は、パケットごとにパケットのヘッダ
情報を参照して、あらかじめ設定されたパケットフィル
タリングルールに基づいて、パケットを許可して転送す
るか、拒否して廃棄するかを決める機能である。ヘッダ
情報は、送信元/宛先のＩＰアドレス、送信元／宛先の
ＴＣＰ／ＵＤＰポート番号などを参照する。

【０００６】ファイアウォールサーバ６０は、A社のＶ
ＰＮ１パケットフィルタリングルール７１とＢ社のＶＰ
Ｎ２に対するパケットフィルタリングルール７２を有し
ている。パケットフィルタリングルール７１、７２は、
パケットのヘッダ情報を特定し、そのヘッダ情報を持つ
パケットを許可するか拒否するかを順番に記述したもの
である。ａは送信元ＩＰアドレス、ｂは宛先ＩＰアドレ
ス、ｃは送信元ポート番号、ｄは宛先ポート番号、ｅは
許可／許否の処理内容を示している。尚、Ｂ社のルール
の詳細は省略している。

【０００７】Ａ社のパケットフィルタリングルール７１
は、ＶＰＮ１からインターネット２００へ向かう（ＯＵ
Ｔ方向）パケットに対して、送信元ＩＰアドレスがホス
トＨ１のＩＰパケットは拒否し、それ以外のパケットは
許可する。また、インターネット２００からＶＰＮ１へ
向かう（ＩＮ方向）パケットに対して、宛先ＩＰアドレ
スがホストＨ２かつ宛先ポート番号８０のパケットは許
可し、それ以外は拒否する。このパケットフィルタリン
グ機能により、ＶＰＮ１に対する不正なアクセスを防ぐ
ことができる。

【０００８】

【発明が解決しようとする課題】従来の技術では、ファ
イアウォールサーバ６０でＶＰＮ１及びＶＰＮ２に対す
るＩＰパケットのフィルタリング処理を集中的に行うた
め、ファイアウォールサーバ６０には大量のパケットを
高速に処理することが要求される。

【０００９】しかし、ファイアウォールサーバ６０の処
理にも限界があるため、過度のパケットが送られて来た
り、パケットフィルタリング機能によって多くのパケッ
トが廃棄されたりして、負荷が高くなると処理が追いつ
かなくなり、最悪の場合にはファイアウォールサーバ６
０がダウンしてサービスが停止してしまう可能性もあ
る。

【００１０】また、パケットフィルタリング機能によっ
て廃棄されるパケットが多くなる結果、サービスプロバ
イダのネットワーク１００内に不要なパケットが多くな
るという問題も生じる。

【００１１】本発明は、このような問題点に鑑みてなさ
れたものであり、パケットのフィルタリング機能の負荷
分散を実現することを目的とする。更に、ファイアウォ
ールサーバの負荷が高くなった場合にエッジノードへフ
ァイアウォール機能の負荷を分散できることを目的とす
る。

【００１２】

【課題を解決するための手段】本発明のネットワークで
は、ファイアウォール機能をネットワークの複数のエッ
ジノードへ静的に分散する。すなわち、インターネット
と接続されるエッジノード又は仮想プライベート網を収
容するエッジノードのうちの複数のエッジノードが、仮
想プライベート網に収容される端末からインターネット
へ向かうパケットの転送の許否、又はインターネットか
ら仮想プライベート網に収容される端末へ向かうパケッ
トの転送の許否をフィルタリングルールに基づいて制御
するファィアウォール機能を有する。

【００１３】また、本発明のネットワークでは、ファィ
アウォール機能をネットワークのエッシノードに動的に
分散する。すなわち、本発明のファイアウォールサーバ
は、所定の条件が発生したときに、ネットワークを構成
する複数のエッジノードのうちの少なくとも１つのエッ
ジノードへ、フィルタリングルールの少なくとも一部を
分散させる機能を有する。ファィアウォールサーバは、
負荷を高くしているパケットを送ってくるエッジノード
を特定できる場合には、このエッジノードへフィルタリ
ングルールの少なくとも一部を分配させるように構成す
る。また、ファィアウォールサーバは、負荷を高くする
フィルタリングルールを特定できる場合には、フィルタ
リングルールとの関係で決定されるエッジノードへフィ
ルタリングルールを分配させるように構成してもよい。
本発明のエッジノードは、ファイアウォールサーバから
フィルタリングルールを受け取り、受け取ったフィルタ
リングルールに基づいて、仮想プライベート網に収容さ
れる端末からのインターネットへのパケット転送の許
否、又はインターネットから仮想プライベート網に収容
される端末へのパケット転送の許否を制御するファィア
ウォール機能を有する。また、本発明のエッジノード
は、ファイアウォールサーバに設定されるフィルタリン
グルールと同じフィルタリングルールを、機能の有効の
有無を示す情報と共に予め記憶し、ファィアウォールサ
ーバから分配されるフィルタリングルールを特定するた
めの情報を受けてその機能を有効とし、機能が有効を示
すフィルタリングルールに基づいてアクセスの許否を制
御するファィアウォール機能を有する構成としてもよ
い。

【００１４】更に、パケットフィルタリングルールの分
配によって、すべてのパケットフィルタリングルールが
分配されたエッジノードを通過したパケットは、ファイ
アウォールサーバの処理を不要とさせるために、ファイ
アウォールサーバの処理を必要としないパケットに対し
てマーキングする構成としてもよいし、あるいはファイ
アウォールサーバの処理を必要としないパケットを直接
エッジノードへ転送する構成としてもよい。

【００１５】また更に、本発明におけるファィアウォー
ルサーバと、インターネットに接続される第１のエッジ
ノードと、及び仮想プライベート網を構成する第２のエ
ッジノードの有するテーブルは、各フィルタリングルー
ルと複数のＶＰＮを識別するためのＶＰＮ−ＩＤと対応
させて設定される。

【００１６】

【作用】本発明のネットワークにファイアウォール機能
を静的に分散する方式では、各エッジノードが、仮想プ
ライベート網に収容される端末からインターネットへ向
かうパケットの転送の許否、又はインターネットから仮
想プライベート網に収容される端末へ向かうパケットの
転送の許否を行う。

【００１７】また、本発明のネットワークにファイアウ
ォール機能を動的に分散する方式では、ファイアウォー
ルサーバのフィルタリング処理の負荷が所定の条件を超
えると、特定のエッジノードへフィルタリング機能を分
散させる。この特定のエッジノードは、ファィアウォー
ルサーバから分散されたフィルタリングルールを受け取
ると、その後、受け取ったルールを用いて、仮想プライ
ベート網に収容される端末からインターネットへ向かう
パケットの転送の許否、又はインターネットから仮想プ
ライベート網に収容される端末へ向かうパケットの転送
の許否を行う。エッジノードにおいてすべてのルールに
ついてフィルタリング処理がなされたパケットを、ファ
ィアウォールサーバはマーキングにより識別してフィル
タリング処理を不要とする。また、ファイアウォールサ
ーバの処理を必要としないパケットは、ファィアウォー
ルサーバを経由することなく、直接エッジノードへ転送
される。

【００１８】

【発明の実施の形態】本発明の実施例として、ファィア
ウォール機能を複数のエッジノードに予め静的に分散す
る方式と、ファイアウォールサーバの負荷に応じてファ
ィアウォール機能をエッジノードへ動的に分散する方式
とを示す。

【００１９】図１はファイアウォール機能を静的に分散
する方式の実施例である。図１において、図６と同じも
のは同一の符号が付してあるが、各エッジノード１０〜
５０はファイアウォール機能を有しているノードである
点で従来のものと異なる。ネットワーク１００はコネク
ションを設定することができるネットワークであり、例
えばフレームリレー網のＤＬＣＩ、ＡＴＭ網のＶＣ、Ｍ
ＰＬＳのラベル等を用いてＶＰＮ毎に論理的なコネクシ
ョンを設定できるものである。各エッジノード１０〜５
０は、ネットワーク１００がフレームリレー網で構成さ
れる場合にはＩＰパケット処理機能を有するフレームリ
レー交換機であり、ＡＴＭ網で構成される場合にはＩＰ
パケット処理機能を有するＡＴＭ交換機であり、ＭＰＬ
Ｓで構成される場合にはＩＰパケット処理機能を有する
ラベル交換機である。

【００２０】図１では、ＶＰＮ１，ＶＰＮ２からインタ
ーネット２００へ向かう（ＯＵＴ方向）パケットに対す
るルールを、対応する事業所と接続されている各エッジ
ノード１０〜３０へ予め設定する。また、インターネッ
ト２００から各ＶＰＮ１、ＶＰＮ２へ向かう（ＩＮ方
向）パケットに対するルールを、インターネット２００
と接続されているエッジノード４０、５０へ予め設定す
る。

【００２１】具体的には、インターネット２００へ接続
されるエッジノード４０、５０は、Ａ社とＢ社のＩＮ方
向のパケットフィルタリングルール８１を有しており、
これを用いながらインターネット２００からＶＰＮ１又
はＶＰＮ２へ向かうパケットのフィルタリング処理を行
う。また、Ａ社の事業所１を収容するエッジノード１０
はＡ社のＯＵＴ方向のパケットフィルタリングルール８
２を、Ｂ社の事業所２を収容するエッジノード３０はＢ
社のＯＵＴ方向のパケットフィルタリングルール８４
を、Ａ社の事業所２とＢ社の事業所１の双方を収容する
エッジノード２０はＡ社とＢ社のＯＵＴ方向のフィルタ
リングルール８３をそれぞれ有しており、これらを用い
ながらＶＰＮ１又はＶＰＮ２からインターネット２００
へ向かうパケットのフィルタリング処理を行う。

【００２２】このように、ＩＮ方向のフィルタリング機
能をインターネット２００と接続されるエッジノードへ
分配しているため、フィルタリングルールにより廃棄さ
れるようなパケットがネットワーク１００に入ることを
予め防ぐことができる。また、ＯＵＴ方向のフィルタリ
ング機能を各企業の事業所を収容するエッジノードへ分
配しているため、フィルタリングルールにより廃棄され
るようなパケットがＶＰＮからネットワーク１００に出
ることを予め防ぐことができる。この結果、ネットワー
ク１００においてフィルタリング機能を効果的に分散さ
せることができ、ひいてはパケットの廃棄、パケットフ
ィルタリング機能のダウン等の問題を少なくすることが
できる。

【００２３】図２はファイアウォール機能を動的に分散
する方式の第一の実施例である。図2において、図６と
同じものは同一の符号が付してあるが、エッジノード１
０〜５０は、後述するようなファイアウォール機能を有
するノードである点で図１、図６のものと異なり、ファ
イアウォールサーバ６０は、後述するようなフィルタリ
ングルール分散機能を有するサーバである点で図６のも
のと異なる。エッジノード１０〜５０には、最初はパケ
ットフィルタリングルールは設定されておらず、所定の
条件になったときにファイアウォールサーバ６０が特定
のエッジノードにルールを渡すことで、ファイアウォー
ル機能をエッジノードへ分散する。この所定の条件とし
てはサーバの負荷が高くなった場合が考えられる。サー
バの負荷を示す指標パラメータとしては、単位時間あた
りに入力するデータ量またはパケット数、単位時間あた
りに廃棄されるパケット数、あるルールにより廃棄され
るパケット数、あるエッジノードから転送されて廃棄さ
れるパケット数等が考えられ、これらの値があるしきい
値を超えた場合にサーバの負荷が高くなったと判断す
る。

【００２４】図３は、ファイアウォール機能を動的に分
散する方式の第二の実施例である。エッジノード１０〜
５０は、ファイアウォールサーバ６０が有するパケット
フィルタリングルールと同じものを予めコピーして持っ
ている点で、図２のものと異なる。エッジノード１０〜
５０のパケットフィルタリングルールの機能は最初は無
効となっている。ファイアウォール６０は、各エッジノ
ードと同じように、ネットワーク１００がフレームリレ
ー網で構成される場合にはＩＰパケット処理機能を有す
るフレームリレー交換機であり、ＡＴＭ網で構成される
場合にはＩＰパケット処理機能を有するＡＴＭ交換機で
あり、ＭＰＬＳで構成される場合にはＩＰパケット処理
機能を有するラベル交換機である。ファィアウォールサ
ーバ６０は、図２で説明したような所定の条件になった
ときにファイアウォールサーバ６０から特定のルールを
有効にさせる指示をエッジノードへ送る。エッジノード
は、この指示を受けて初めて当該ルールに関するファィ
アウォール機能を有効とする。

【００２５】尚、図２、３のフィルタリングルールのテ
ーブル９１〜９６は、複数のＶＰＮを識別するためのＶ
ＰＮ−ＩＤを有している。このため、ファイアウォール
サーバや各エッジノードでＶＰＮごとに異なるパケット
フィルタリングルールを１つのテーブル上に設定するこ
とが可能になる。ネットワーク１００の外側から入って
くるパケット、すなわちエッジノート１０〜３０が各事
業所から受信するパケットに対してはコネクション又は
ポート番号を識別してＶＰＮ−ＩＤを取得する。また、
ファィアウォールサーバ６０は、ネットワーク１００内
を通ってきたパケットに対してパケットに記された識別
子（例えば、ATMセルのＶＰＩ／ＶＣＩやＭＰＬＳのラ
ベルなどの一部または全部）によって直接または間接的
にＶＰＮ−ＩＤを取得する。

【００２６】次に、図２，３におけるファイアウォール
サーバの分散処理フローの例を２つ示す。

【００２７】図４は、ファイアウォールサーバの分散処
理フローの第一の実施例であり、単位時間あたりに入力
するパケット数を負荷の指標パラメータとしたときに一
定時間毎に行う処理内容の例を示している。ファイアウ
ォールサーバ６０は、各ポートから入力してくるパケッ
ト数を測定している（ステップ１１）。入力パケット数
がしきい値に達した場合（ステップ１２でＹｅｓ）、サ
ーバが過負荷状態であると判断してフィルタリングルー
ルの分配を行う。分配すべきルールを決定するため、パ
ケットを多く送ってきて負荷を大きくしているエッジノ
ードを特定できるかを調べる（ステップ１３）。例え
ば、パケットが多く入力してくるポートを使用している
コネクションがある場合には、当該コネクションの相手
先であるエッジノートを特定することができる。このコ
ネクションは、ネットワーク１００がフレームリレー網
のときはＤＬＣＩ、ＡＴＭ網のときはＶＰＩ及び又はＶ
ＣＩ、ラベル網のときはラベルである。もしエッジノー
ドを特定できる場合には、その特定されたエッジノード
と対応するルールを決定（ステップ１４）して、エッジ
ノードへルールを分配する（ステップ１７）。他方、パ
ケットを多く送ってくるエッジノードが特定できない場
合（ステップ１３でＮｏ）には、次に、送信元が特定可
能なルールがあるか否かを判断する（ステップ１５）。
送信元が特定できる場合（ステップ１５でＹＥＳ）に
は、その送信元が特定可能なルールと対応するエッジノ
ードへ分散することを決定（ステップ１６）し、エッジ
ノードへ分配を実行する（ステップ１７）。送信元が特
定できない場合（ステップ１５でＮＯ）には、ルールの
分配は行わない。

【００２８】図５は、ファイアウォールサーバ６０の分
散処理フローの第二の実施例であり、あるルールによっ
て廃棄されるパケット数を負荷の指標パラメータとした
ときの例を示している。ファイアウォールサーバ６０
は、一定時間ごとに各ルールごとの廃棄パケット数を測
定する（ステップ２１）。あるルールによって廃棄され
るパケット数がしきい値を超えるルールがある場合（ス
テップ２２でＹＥＳ）には、廃棄パケット数がしきい値
を超えたルールと対応するエッジノードを決定し（ステ
ップ２３）、そのルールを対応するエッジノードに分配
する（ステップ２４）。

【００２９】以下、図２〜５を用いながら本発明の実施
例の動作を説明する。

【００３０】図２は、ファイアウォールサーバ６０の負
荷を高くしているパケットをエッジノード４０が送り、
エッジノード４０が特定できる場合を示している。ファ
イアウォールサーバ６０が図４に示すソフトを持ってい
る場合、パケットを多く送っているエッジノード４０を
特定し（図４のステップ１３）、ＩＮ方向のすべてのル
ールをエッジノード４０へ分配することを決定する（図
４のステップ１４）。そして、ＩＮ方向のルールすべて
をコピーし、特殊パケットを用いてエッジノード４０に
対してルールを分配する（図４のステップ１７）。エッ
ジノード４０はルールを受信すると、内部のメモリにル
ールを書き込んで保持する。その後、エッジノード４０
はパケット受信時にメモリ内のルールを参照してパケッ
トのヘッタ情報と一致するルールの検索を行い、その結
果でパケットを転送するか廃棄するかを決定する。パケ
ットを転送する場合には、パケットのヘッダ内にＶＰＮ
−ＩＤを挿入する。エッジノード４０からパケットの転
送を受けたファイアウォールサーバ６０は、ＶＰＮ−Ｉ
Ｄとパケットのヘッタ情報（送信元ＩＰアドレス、宛て
先ＩＰアドレス、送信元ポート番号、宛先ポート番号）
に基づいてフィルタリング処理を行う。

【００３１】また、図２のようにＶＰＮ１のＩＮ方向の
フィルタリングルールすべてをエッジノードで処理する
場合には、エッジノードにフィルタリング処理がすべて
完了していることを示すビットをパケットにマーキング
させるようにし、ファィアウォールサーバ６０ではこの
マーキングを検出してフィルタリング処理を行わず、パ
ケットを転送するようにしてもよい。更には、図２のよ
うにＶＰＮ１のＩＮ方向のフィルタリングルールすべて
をエッジノードで処理する場合には、ファィアウォール
サーバ６０を経由させる必要がないため、エッジノード
４０からＶＰＮ１内のいずれかのノード（もちろんエッ
ジノード１０、２０であってもよい）へのダイレクトな
コネクションを使ってパケットを転送するようにしても
よい。

【００３２】尚、インターネット２００からエッジノー
ド５０を介してネットワーク１００へ入力してくるパケ
ットについては、従来どおりファイアウォールサーバ６
０にてファイアウォール処理がなされる。

【００３３】図３は、ホストＨ１からのインターネット
２００へ向かうパケットが多い場合を示している。ファ
イアウォールサーバ６０が図５に示すソフトを持ってい
る場合、パケットの廃棄数がしきい値を超えると（図５
のステップ２２でＹＥＳ）、廃棄パケット数がしきい値
を超えたルール（「送信元アドレスがＨ１で許否」）を
特定し、これに対応するエッジノードを決定する（図５
のステップ２３）。このエッジノード決定に際して、フ
ァイアウォールサーバ６０は、各企業の端末がどのエッ
ジノードに収容されるのかを示す図示省略のテーブルを
使用する。エッジノード１０がホストＨ１の端末を収容
していると判明すると、ファイアウォールサーバ６０は
エッジノード１０へ該当ルールを分配するために、該当
ルールを有効にさせる指示を指示パケットで送る（図５
のステップ２４）。エッジノード１０は指示パケットを
受信すると、パケットフィルタリングテーブルにおける
該当ルールの機能を有効とする。その結果、ホストＨ１
からインターネット２００へ向かうパケットは、その後
エッジノード１０でフィルタリング処理される。

【００３４】尚、エッジノードにすべてのフィルタリン
グ処理が分配されているときには、そのエッジノードを
通過したパケットはファィアウォールサーバ６０の処理
が不要になる。このため、すでに説明したように、パケ
ットにマーキングして転送してファィアウォールサーバ
での処理を省略させるようにしてもよいし、あるいはイ
ンターネットに接続されるエッジノード４０、５０への
ダイレクトなコネクションを使ってパケットをファイア
ウォールサーバ６０を経由することなく転送するように
してもよい。

【００３５】

【発明の効果】以上説明したように、本発明によれば、
ファイアウォール機能をエッジノードに分散させること
により、従来はサーバに集中していた処理負荷をエッジ
ノードに分散させることができる。また、エッジノード
のパケットフィルタリング機能によって、不要なパケッ
トをネットワークの入り口で廃棄する事ができるので、
ネットワーク内に不要なパケットが流れ込むこともなく
なる。サービスプロバイダの提供するネットーワクの状
態を良好に保つことが可能になる。

【００３６】更に、請求項３の発明によれば、サーバは
負荷を高くしている原因となっているエッジノードにて
パケットのフィルタリング処理を行うことができるため
とても効果的である。また、請求項４の発明によれば、
多くのパケットを廃棄させているパケットフィルタリン
グルールを適切なエッジノードでフィルタリング処理さ
せるためとても効果的である。更に、請求項７〜９の発
明によれば、ファィアウォールサーバでの無駄なフィル
タリング処理を省略でき、ファィアウォールサーバの負
荷の軽減に一層効果的である。また、更に、請求項１１
〜１３の発明によれば、フィルタリングルールのための
テーブルを複数のＶＰＮに対して共通に持たせることが
可能となるという効果がある。

【図面の簡単な説明】

【図１】図１は、ファイアウォール機能を静的に分散す
る方式の実施例である。

【図２】図２は、ファイアウォール機能を動的に分散す
る方式の第一の実施例である。

【図３】図３は、ファイアウォール機能を動的に分散す
る方式の第二の実施例である。

【図４】図４は、ファイアウォールサーバの分散処理フ
ローの第一の実施例である。

【図５】図５は、ファイアウォールサーバの分散処理フ
ローの第二の実施例である。

【図６】図6は、従来におけるファイアウォール機能を
有するネットワークを示す図である。

───────────────────────────────────────────────────── フロントページの続き (72)発明者江崎裕神奈川県川崎市中原区上小田中４丁目１番１号富士通株式会社内Ｆターム(参考） 5B089 GA11 GA31 HA10 HB19 KA06 KB06 KB13 KC15 KC28 5J104 AA01 NA21 PA07 5K030 GA13 HA08 HB29 HC01 HD01 JA11 KX24 LB09 MA01 MA12 MB02 5K033 AA03 CC01 DA05 DA06 DB18 EA03 9A001 CC07 JJ25 JJ27 LL03

Claims

【特許請求の範囲】

【請求項１】インターネットと接続可能な仮想プライベ
ート網を含むネットワークにおいて、前記インターネットと接続されるエッジノード、又は前
記仮想プライベート網を収容する複数のエッジノードの
うちの複数のエッジノードに、前記仮想プライベート網
に収容される端末から前記インターネットへ向かうパケ
ットの転送の許否、又は前記インターネットから前記仮
想プライベート網に収容される端末へ向かうパケットの
転送の許否をフィルタリングルールに基づいて制御する
構成としたことを特徴とするファィアウォール機能を分
散させたネットワーク。
【請求項２】インターネットと接続可能な仮想プライベ
ート網を含むネットワークに設けられ、前記仮想プライ
ベート網に収容される端末から前記インターネットへの
パケット転送の許否、又は前記インターネットから前記
仮想プライベート網に収容される端末へのパケット転送
の許否をフィルタリングルールに基づいて制御するファ
イアウォール機能を有するサーバにおいて、所定の条件が発生したときに、前記ネットワークを構成
する複数のエッジノードのうちの少なくとも１つのエッ
ジノードへ、前記フィルタリングルールの少なくとも一
部を分散させることを特徴とするファィアウォールサー
バ。
【請求項３】負荷を高くしているパケットを送ってくる
エッジノードを特定できる場合、前記エッジノードへ前
記フィルタリングルールの少なくとも一部を分配させる
ことを特徴とした請求項２に記載のファィアウォールサ
ーバ。
【請求項４】負荷を高くするフィルタリングルールを特
定できる場合、前記フィルタリングルールとの関係で決
定されるエッジノードへ前記フィルタリングルールを分
配させることを特徴とした請求項２に記載のファィアウ
ォールサーバ。
【請求項５】請求項２乃至４のいずれかに記載のファイ
アウォールサーバと同じネットワークに収容され、前記
ファイアウォールサーバから前記フィルタリングルール
を受け取り、受け取った前記フィルタリングルールに基
づいて、前記仮想プライベート網に収容される端末から
の前記インターネットへのパケット転送の許否、又は前
記インターネットから前記仮想プライベート網に収容さ
れる端末へのパケット転送の許否を制御することを特徴
とするエッジノード。
【請求項６】インターネットと接続可能な仮想プライベ
ート網に収容される端末から前記インターネットへのパ
ケット転送の許否、又は前記インターネットから前記仮
想プライベート網に収容される端末へのパケット転送の
許否をフィルタリングルールに基づいて制御するファイ
アウォールサーバと同じネットワークに収容されるエッ
ジノードにおいて、前記ファイアウォールサーバに設定されるフィルタリン
グルールと同じフィルタリングルールを、機能の有効の
有無を示す情報と共に予め記憶する手段と、前記ファィアウォールサーバから分配される前記フィル
タリングルールを特定するための情報を受けてその機能
を有効とする手段と、機能が有効を示すフィルタリングルールに基づいて前記
アクセスの許否を制御することを特徴とするエッジノー
ド。
【請求項７】前記パケットフィルタリングルールの分配
によって、すべてのパケットフィルタリングルールが分
配されたエッジノードを通過したパケットは、ファイア
ウォールサーバの処理を不要とさせることを特徴とする
請求項５又は６に記載のエッジノード。
【請求項８】ファイアウォールサーバの処理を不要とさ
せるために、ファイアウォールサーバの処理を必要とし
ないパケットに対してマーキングすることを特徴とする
請求項７に記載のエッジノード。
【請求項９】ファイアウォールサーバの処理を不要とさ
せるために、ファイアウォールサーバの処理を必要とし
ないパケットを前記ファィアウォールサーバを経由する
ことなく直接エッジノードへ転送することを特徴とする
請求項７に記載のエッジノード。
【請求項１０】インターネットと接続可能な複数の仮想
プライベート網を構築したネットワークに収容され、前
記仮想プライベート網に収容される端末から前記インタ
ーネットへのパケット転送の許否、又は前記インターネ
ットから前記仮想プライベート網に収容される端末への
パケット転送の許否をフィルタリングルールに基づいて
制御するファイアウォールサーバと、前記インターネッ
トに接続される第１のエッジノードと、前記仮想プライ
ベート網を構成する第２のエッジノードとから構成され
るネットーワにおいて、前記ファイアウォールサーバは、所定の条件が発生した
ときに第１のエッジノード又は第２のエッジノードへ、
前記フィルタリングルールの少なくとも一部を分散する
ように構成し、第１のエッジノード又は第２のエッジノ
ードにおいて分散された前記フィルタリングルールの処
理を行うようにしたことを特徴とするファィアウォール
機能を分散させたネットワーク。
【請求項１１】前記ファィアウォールサーバ、第１のエ
ッジノード、及び第２のエッジノードの有する前記フィ
ルタリングルールは複数のＶＰＮを識別するためのＶＰ
Ｎ−ＩＤと共に同一のテーブルとして構成されることを
特徴とした請求項１０に記載のファィアウォール機能を
分散させたネットワーク。
【請求項１２】第２のエッジノードは、前記ネットワー
クの外側から入ってくるパケットに対して、コネクショ
ン番号又はポート番号に対応してＶＰＮ−ＩＤを取得す
ることを特徴とする請求項１１に記載のファィアウォー
ル機能を分散させたネットワーク。
【請求項１３】前記ファイアウォールサーバは、前記ネ
ットワーク内を通ってきたパケットに対して、パケット
に記された識別子によって直接または間接的にＶＰＮ−
ＩＤを取得することを特徴とする請求項１１に記載のフ
ァィアウォール機能を分散させたネットワーク。