JP2002108729A

JP2002108729A - ネットワーク接続装置及び同装置に適用されるファイアウォール制御プログラムを記憶したコンピュータ読み取り可能な記憶媒体

Info

Publication number: JP2002108729A
Application number: JP2000301313A
Authority: JP
Inventors: Hideaki Hirayama; 秀昭平山
Original assignee: Toshiba Corp
Current assignee: Toshiba Corp
Priority date: 2000-09-29
Filing date: 2000-09-29
Publication date: 2002-04-12

Abstract

(57)【要約】【課題】インターネット環境においてＣ／Ｓ型のアプリ
ケーションを、安全に運用できるようにする。【解決手段】コネクション許可設定部４２は、ネットワ
ーク接続装置が属するネットワークセグメント上のクラ
イアント側ノードから当該ノードのＩＰアドレスとポー
ト番号とを含むコネクション許可設定要求Ｒ１を受け
て、そのＩＰアドレスとポート番号を含む情報をテーブ
ル４１に登録する。コネクション要求処理部４７は、任
意のネットワークセグメント上のサーバ側ノードからタ
ーゲットとなるノードアドレスとポート番号を含む他の
ネットワークセグメントへのコネクション要求Ｒ２を受
けて、その要求中のノードアドレスとポート番号との組
を含む情報がテーブル４１に存在するか否かをコネクシ
ョン許可判定部４３を用いて判定し、存在するときはそ
の要求を許可し、当該テーブル４１上の情報を無効化す
る。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、複数のネットワー
クセグメントを有するコンピュータネットワークシステ
ムに適用されて、異なるネットワークセグメント間を接
続するためのネットワーク接続装置に係り、特に外部か
らの不正侵入を防ぐのに好適なファイアウォール制御機
能を有するネットワーク接続装置及び同装置に適用され
るファイアウォール制御プログラムを記憶したコンピュ
ータ読み取り可能な記憶媒体に関する。

【０００２】

【従来の技術】従来、クライアント／サーバ型（Ｃ／Ｓ
型）のアプリケーション（アプリケーションプログラ
ム）は、主としてイントラネットの環境で利用されてい
た。

【０００３】Ｃ／Ｓ型のアプリケーションでは、サーバ
プロセスがサーバポートを開設し、クライアントプロセ
スからの接続要求を待ち受ける。そして、クライアント
プロセスから、ＴＣＰ／ＩＰ（Transmission Control P
rotocol/Internet Protocol）と呼ばれるプロトコルに
よるコネクション要求が発行されると、両プロセスの間
に通信路（仮想回線）が張られ、以降、その通信路を用
いて両プロセスが通信を行う。

【０００４】このようなＣ／Ｓ型のアプリケーション
を、インターネットの環境で利用する場合にはセキュリ
ティ上の問題が生じる。通常、インターネットの環境で
は、外部からの不正侵入を防ぐためにネットワーク接続
装置にファイアウォールを設置する。ファイアウォール
で外部からの不正侵入をどのように防ぐかは、ファイア
ウォールで守る計算機群の運用ポリシに基づき個々に設
定を行うことで決定される。

【０００５】一般的なポリシとして、ＨＴＴＰ（Hyper
Text Transfer Protocol）等の特定プロトコル以外のＴ
ＣＰ／ＩＰプロトコルによる外部からのコネクション要
求は拒絶するというものがある。

【０００６】この場合、Ｃ／Ｓ型のアプリケーションを
インターネット環境で利用すると、クライアントプロセ
スからのＴＣＰ／ＩＰプロトコルによるコネクション要
求は、ファイアウォールによって拒絶されてしまう。

【０００７】なお、ここでのＴＣＰ／ＩＰプロトコル
は、以下に述べるように狭義のＴＣＰ／ＩＰプロトコル
である。例えば、ＨＴＴＰやＦＴＰ（File Transfer Pr
otocol）といったプロトコルは、ＴＣＰ／ＩＰプロトコ
ルの上に乗った上位レイヤのプロトコルである。それゆ
え、広義には、ＨＴＴＰやＦＴＰも、ＴＣＰ／ＩＰプロ
トコルに含まれる。しかし、ここではＴＣＰ／ＩＰプロ
トコルと表現した場合、それはＨＴＴＰやＦＴＰといっ
た特定プロトコルを上位レイヤに持つＴＣＰ／ＩＰプロ
トコルは含まないものとする。このような狭義のＴＣＰ
／ＩＰプロトコルという表現は、一般に用いられてい
る。

【０００８】

【発明が解決しようとする課題】上記したように従来の
技術にあっては、Ｃ／Ｓ型のアプリケーションを、イン
ターネットの環境で利用する場合には、クライアントプ
ロセスからのＴＣＰ／ＩＰによるコネクション要求がフ
ァイアウォールによって拒絶されてしまう。このため従
来は、サーバプロセスがコネクションを待ち受けるポー
トに関しては、外部からのコネクションを許可するよう
に設定しなければならず、その結果、セキュリティホー
ルが発生するという問題があった。

【０００９】本発明は上記事情を考慮してなされたもの
でその目的は、インターネット環境においてＣ／Ｓ（ク
ライアント／サーバ）型のアプリケーションを、安全に
運用できるようにすることにある。

【００１０】

【課題を解決するための手段】本発明は、複数のネット
ワークセグメントを有するコンピュータネットワークシ
ステム内に上記各ネットワークセグメント毎に設けら
れ、当該ネットワークセグメントと他のネットワークセ
グメントとの間を接続するネットワーク接続装置におい
て、コネクション要求先のノードアドレスとポート番号
とを含むコネクション許可情報を保持するコネクション
許可情報保持手段と、上記ネットワーク接続装置が属す
るネットワークセグメント上のクライアント側ノードか
ら与えられる当該ノードのノードアドレスとポート番号
とを含むコネクション許可設定要求を受けて、当該ノー
ドアドレスとポート番号とにより特定されるポートへの
コネクションを許可するための当該ノードアドレスとポ
ート番号とを含むコネクション許可情報を上記コネクシ
ョン許可情報保持手段に設定するコネクション許可設定
手段と、任意のネットワークセグメント上のサーバ側ノ
ードから与えられるターゲットとなるノードアドレスと
ポート番号とを含む他のネットワークセグメントへのコ
ネクション要求を受け、当該要求中のノードアドレスと
ポート番号との組を含むコネクション許可情報が上記コ
ネクション許可情報保持手段に存在するか否かを判定
し、存在すると判定した場合には上記コネクション要求
を許可し、存在しないと判定した場合には上記コネクシ
ョン要求を拒絶するコネクション要求処理手段と、この
コネクション要求処理手段によって上記コネクション要
求が許可される際に、当該コネクション要求中のノード
アドレスとポート番号との組を含むコネクション許可情
報保持手段上のコネクション許可情報を無効化するコネ
クション許可取消手段とを備えたことを特徴とする。

【００１１】このような構成においては、クライアント
側のノード（上で動作するクライアントプロセス）から
のコネクション許可設定要求により、当該ノードに開設
されたポートを指定するノードアドレスとポート番号と
を含むコネクション許可情報を上記コネクション許可情
報保持手段（コネクション許可テーブル）に設定登録す
ることで、その後、クライアント側のノード（上で動作
するクライアントプロセス）との間で協調動作する、当
該クライアント側のノードが属するネットワークセグメ
ントとは異なるネットワークセグメントに属するサーバ
側のノード（上で動作するサーバプロセス）から、上記
ポートを指定するノードアドレスとポート番号とを含む
コネクション要求が出された場合に、そのコネクション
要求を許可することができる。この際、コネクション許
可情報保持手段に登録された、上記ポートを指定するノ
ードアドレスとポート番号とを含むコネクション許可情
報は無効化（例えばクリア）されるため、その後上記ポ
ートを指定するノードアドレスとポート番号とを含むコ
ネクション要求が到来しても、そのコネクション要求は
許可されない。つまり、コネクション許可設定要求によ
り指定されたノードアドレスとポート番号（とにより特
定されるポート）へのコネクション要求は、１回のみし
か許可されず、以降は拒絶される。これにより、外部か
らの不正侵入が起きる可能性を極めて低い確率に抑えな
がら、外部から張られるコネクション要求を許可するこ
とが可能になる。

【００１２】ここで、上記コネクション許可情報保持手
段に設定されるコネクション許可情報にタイムアウト時
刻（の情報）を含めると共に、上記コネクション許可取
消手段に代えて、上記コネクション許可情報保持手段を
定期的に探索し、当該コネクション許可情報保持手段に
保持されているコネクション許可情報のうちタイムアウ
ト時刻を経過したコネクション許可情報を無効化するコ
ネクション許可定期取消手段を備える構成とすることも
可能である。

【００１３】このような構成においては、コネクション
許可情報保持手段を対象とする定期的な探索でタイムア
ウト時刻を経過したコネクション許可情報が検出された
場合、当該コネクション許可情報は無効化される。つま
り、コネクション許可設定要求により指定されたノード
アドレスとポート番号（とにより特定されるポート）へ
のコネクション要求は一時的に許可されるだけであり、
タイムアウト時刻を経過したことが検出された以降は拒
絶される。これにより、外部からの不正侵入が起きる可
能性を極めて低い確率に抑えながら、外部から張られる
コネクション要求を許可することが可能になる。この効
果は、上記コネクション許可取消手段と上記コネクショ
ン許可定期取消手段とを併用するならば、一層顕著とな
る。なお、上記タイムアウト時刻を決定するには、例え
ばコネクション許可設定要求中にタイムアウト時間（つ
まりタイムアウトとするまでの時間）の情報を含め、コ
ネクション許可設定要求を受け付けた時刻に、このタイ
ムアウト時間を加算すればよい。

【００１４】また、コネクション要求処理手段によりコ
ネクション要求が許可された結果コネクションが確立さ
れた後の通信の制御手段として、コネクションが確立さ
れた経路上の通信は全て許可する手段、或いは当該経路
上のコネクション要求以外の通信は全て許可する手段を
備えるとよい。

【００１５】また、上記コネクション許可設定要求、コ
ネクション要求及びコネクション許可情報に、上記コネ
クション許可設定要求に対しては要求元となり上記コネ
クション要求に対しては要求先となるノードのノードア
ドレスとポート番号とに加えて、上記コネクション要求
の要求元ノードのノードアドレスを含め、コネクション
要求処理手段が上記コネクション要求を受けた場合に、
当該コネクション要求中のコネクション要求先のノード
アドレスとポート番号及びコネクション要求元のノード
アドレスを含むコネクション許可情報が上記コネクショ
ン許可情報保持手段に存在することをもって、当該コネ
クション要求を許可する構成とするならば、外部からの
不正侵入が起きる可能性をより一層低い確率に抑えるこ
とが可能となる。

【００１６】また、コネクション要求処理手段によって
コネクション要求が許可された時点から一定時間内に、
当該コネクション要求と要求先のノードアドレスとポー
ト番号とが同一の新たなコネクション要求が到来した場
合に、当該コネクション要求処理手段にて新たなコネク
ション要求を拒絶すると共に、現在設定されている当該
ノードアドレスとポート番号とにより特定されるポート
へのコネクションを切断する構成としても、外部からの
不正侵入が起きる可能性をより一層低い確率に抑えるこ
とが可能となる。

【００１７】また、コネクション要求処理手段によって
コネクション要求が許可された結果、当該コネクション
要求の要求先のノードアドレスとポート番号との間にコ
ネクションが設定されている状態で、当該コネクション
要求と要求先のノードアドレスとポート番号とが同一の
新たなコネクション要求が到来した場合に、当該新たな
コネクション要求を拒絶すると共に、当該設定されてい
るコネクションを切断する構成としても、外部からの不
正侵入が起きる可能性をより一層低い確率に抑えること
が可能となる。

【００１８】また、上記ノードアドレスとしては、例え
ばＩＰ（インターネットプロトコル）アドレスが適用可
能である。

【００１９】また本発明のネットワーク接続装置は、コ
ネクション要求のみでなく、全てのデータ通信を対象に
制御するために、データ通信要求先のノードアドレスと
ポート番号とを含むデータ通信許可情報を保持するデー
タ通信許可情報保持手段と、上記ネットワーク接続装置
が属するネットワークセグメント上のクライアント側ノ
ードから与えられる当該ノードのノードアドレスとポー
ト番号とを含むデータ通信許可設定要求を受けて、当該
ノードアドレスとポート番号とにより特定されるポート
へのデータ通信を許可するための当該ノードアドレスと
ポート番号とを含むデータ通信許可情報を上記データ通
信許可情報保持手段に設定するデータ通信許可設定手段
と、任意のネットワークセグメント上のサーバ側ノード
から与えられるターゲットとなるノードアドレスとポー
ト番号とを含む他のネットワークセグメントへのデータ
通信要求を受け、当該要求中のノードアドレスとポート
番号との組を含むデータ通信許可情報が上記データ通信
許可情報保持手段に存在するか否かを判定し、存在する
と判定した場合には上記データ通信要求を許可し、存在
しないと判定した場合には上記データ通信要求を拒絶す
るデータ通信要求処理手段と、このデータ通信要求処理
手段によって上記データ通信要求が許可される際に、当
該データ通信要求中のノードアドレスとポート番号との
組を含むデータ通信許可情報保持手段上のデータ通信許
可情報を無効化するデータ通信許可取消手段とを備えた
ことを特徴とする。

【００２０】このような構成においては、クライアント
側のノードからのデータ通信許可設定要求により指定さ
れたノードアドレスとポート番号へのデータ通信要求
は、１回のみしか許可されず、以降は拒絶される。これ
により、外部からの不正侵入が起きる可能性を極めて低
い確率に抑えながら、外部からのデータ通信要求を許可
することが可能になる。

【００２１】ここで、上記データ通信許可情報保持手段
に設定されるデータ通信許可情報にタイムアウト時刻を
含めると共に、上記データ通信許可取消手段に代えて、
次の手段、即ち上記データ通信許可情報保持手段を定期
的に探索し、当該データ通信許可情報保持手段に保持さ
れているデータ通信許可情報のうちタイムアウト時刻を
経過したデータ通信許可情報を無効化するデータ通信許
可定期取消手段を備える構成とするならば、データ通信
許可設定要求により指定されたノードアドレスとポート
番号へのデータ通信要求は一時的に許可されるだけであ
り、タイムアウト時刻を経過したことが検出された以降
は拒絶される。これによっても、外部からの不正侵入が
起きる可能性を極めて低い確率に抑えながら、外部から
のデータ通信要求を許可することが可能になる。この効
果は、上記データ通信許可取消手段と上記データ通信許
可定期取消手段とを併用するならば、一層顕著となる。

【００２２】以上に述べたネットワーク接続装置に係る
本発明は、当該装置の制御（ファイアウォール制御）機
能に着目すると、当該装置にその機能に相当する手順を
実行させるための（または当該装置にその機能を実現さ
せるための、または当該装置をその機能を持つ手段とし
て機能させるための）ファイアウォール制御プログラム
を記憶したコンピュータ読み取り可能な記憶媒体として
捉えることも可能である。

【００２３】また、ネットワーク接続装置に係る本発明
は、当該装置の制御（ファイアウォール制御）機能に相
当する手順に着目すると、当該手順を備えたファイアウ
ォール制御方法として捉えることも可能である。

【００２４】

【発明の実施の形態】以下、本発明の実施の形態につき
図面を参照して説明する。

【００２５】［第１の実施形態］図１は本発明の第１の
実施形態に係るネットワーク接続装置を適用したコンピ
ュータネットワークシステムのシステム構成を示すブロ
ック図である。図１のシステムでは、複数、例えば４つ
のネットワークセグメント１０ａ，１０ｂ，１０ｃ，１
０ｄが、ネットワーク接続装置１０２ａ，１０２ｂ，１
０２ｃ，１０２ｄによりワイドエリアネットワーク（以
下、ＷＡＮと称する）１１を介して相互接続されてい
る。

【００２６】各ネットワーク接続装置１０２ｉ（ｉ＝ａ
〜ｄ）は、ネットワークセグメント１０ｉと他のネット
ワークセグメントとの間の通信を許可／拒絶するファイ
アウォール制御機能を有する。

【００２７】ネットワークセグメント１０ｉ（ｉ＝ａ〜
ｄ）は、ローカルエリアネットワーク（以下、ＬＡＮと
称する）１０１ｉを有している。このＬＡＮ１０１ｉに
は、複数のノード（ノード装置）、例えば３台のノード
Ｎｉ１〜Ｎｉ３がネットワーク接続装置１０２ｉと共に
接続されている。ノードＮｉｊ（ｊ＝１〜３）はクライ
アント計算機、或いはＷＷＷ（World Wide Web）サーバ
などに用いられるサーバ計算機等である。

【００２８】図１のシステムでは、ＷＡＮ１１がインタ
ーネット環境であるとすると、ＷＷＷサーバをなすノー
ドＮｉｊ（サーバ計算機）は、当該ノードＮｉｊが属す
るネットワークセグメント１０ｉのネットワーク接続装
置１０２ｉによって実現されるファイアウォールで保護
されている。このファイアウォールは、汎用通信プロト
コルによるリクエストとしての例えばＨＴＴＰリクエス
トの受け付けは許可していて、それを当該リクエストで
指定されたノード（ＷＷＷサーバ）に送っている。

【００２９】図１のシステムでは、あるノード上のクラ
イアントプロセスとあるノード上のサーバプロセスとの
間にコネクション（仮想回線）を設定するのに特別の仕
組みを適用している。そこでこの仕組みについて、図２
を参照して説明する。

【００３０】まず図２においては、図１中のノードＮａ
１，Ｎｂ１，Ｎｃ１が、クライアントプロセス（クライ
アントアプリケーション）２０１ａ，２０１ｂ，２０１
ｃを実装（インストール）したクライアント計算機であ
ることを想定している。また、図１中のノードＮｄ１
が、ＷＷＷサーバ２０３と、クライアントプロセス２０
１ａ，２０１ｂ，２０１ｃからの要求に応じて当該クラ
イアントプロセスと協調動作するサーバプロセス（サー
バアプリケーション）２０４とを実装したサーバ計算機
であることも想定している。

【００３１】図２では、基本的には、クライアントプロ
セス２０１ａ，２０１ｂ，２０１ｃからサーバプロセス
２０４にコネクションを張るのではなく、サーバプロセ
ス２０４からクライアントプロセス２０１ａ，２０１
ｂ，２０１ｃにコネクションを張るようにしている。

【００３２】ここでは、従来のＣ／Ｓ型のアプリケーシ
ョンとは異なり、クライアントプロセス２０１ａ（２０
１ｂ，２０１ｃ）は、サーバプロセス２０４へのコネク
ション実行要求をＨＴＴＰプロトコルで矢印２１ａ（２
１ｂ，２１ｃ）で示すようにＷＷＷサーバ２０３に送
る。このとき、クライアントプロセス２０１ａ（２０１
ｂ，２０１ｃ）は、サーバプロセス２０４側からコネク
ションを張るためのクライアントポート２０２ａ（２０
２ｂ，２０２ｃ）を開設し、そのクライアントポート番
号をクライアント計算機であるノードＮａ１（Ｎｂ１，
Ｎｃ１）のノードアドレスとしてのＩＰアドレスと共
に、コネクション実行要求に付加して、ＷＷＷサーバ２
０３に送る。

【００３３】ＷＷＷサーバ２０３は、クライアントプロ
セス２０１ａ（２０１ｂ，２０１ｃ）から受け取ったコ
ネクション実行要求を矢印２２で示すようにサーバプロ
セス２０４に渡す。

【００３４】サーバプロセス２０４は受け取ったコネク
ション実行要求に付加されているＩＰアドレス及びクラ
イアントポート番号をもとに、当該ＩＰアドレスのノー
ドＮａ１（Ｎｂ１，Ｎｃ１）の当該ポート番号のクライ
アントポート２０２ａ（２０２ｂ，２０２ｃ）に対し
て、矢印２３ａ（２３ｂ，２３ｃ）で示すようにＴＣＰ
／ＩＰプロトコルでコネクション要求を行う。なお、こ
のような仕組みは、特願２０００−１６３５７４号に記
載されている。

【００３５】図２の仕組みを１つのクライアントプロセ
スに着目して簡略化し、クライアント側とサーバ側にそ
れぞれファイアウォールを加えた構成を図３に示す。ま
ず、（図２中のクライアントプロセス２０１ａ，２０１
ｂ，２０１ｃに相当する）クライアントプロセス２０１
が実行されるクライアント計算機をなすノード（Ｎｉ
ｊ）は、そのノードが属するネットワークセグメント
（１０ｉ）に設けられたネットワーク接続装置（１０２
ｉ）が有するファイアウォール（クライアント側ファイ
アウォール）３０１で外部（他のネットワークセグメン
ト）からの不正侵入を防いでいる。

【００３６】同様にＷＷＷサーバ２０３及びサーバプロ
セス２０４が実行されるサーバ計算機をなすノード（Ｎ
ｄ１）は、そのノードが属するネットワークセグメント
（１０ｄ）に設けられたネットワーク接続装置（１０２
ｄ）が有するファイアウォール（サーバ側ファイアウォ
ール）３０２で外部（他のネットワークセグメント）か
らの不正侵入を防いでいる。

【００３７】このようなファイアウォールの環境設定の
中、クライアントプロセス２０１はコネクション実行要
求をＨＴＴＰプロトコルで矢印３１で示すようにＷＷＷ
サーバ２０３に送る。

【００３８】この場合のコネクション実行要求はＨＴＴ
Ｐプロトコルであるので、クライアント側ファイアウォ
ール３０１とサーバ側ファイアウォール３０２のいずれ
においても通過が許可され、無事にＷＷＷサーバ２０３
に到達する。ＷＷＷサーバ２０３に到達したコネクショ
ン実行要求は、矢印３２で示すようにサーバプロセス２
０４に送られる。

【００３９】ＷＷＷサーバ２０３経由でコネクション実
行要求を受け取ったサーバプロセス２０４は、当該要求
に付加されているＩＰアドレス及びクライアントポート
番号をもとに、当該ＩＰアドレスのノードの当該ポート
番号のクライアントポートに対して、矢印３３で示すよ
うにＴＣＰ／ＩＰプロトコルでコネクション要求を出
す。

【００４０】このコネクション要求は、サーバ側ファイ
アウォール３０２にとっては外部に対してコネクション
（アウトバウンドコネクション）を張る要求なので、当
該ファイアウォール３０２では通過が許可される。

【００４１】しかし、クライアント側ファイアウォール
３０１にとっては、上記コネクション要求は外部から内
部に対してコネクション（インバウンドコネクション）
を張られる要求なので、従来であれば当該ファイアウォ
ール３０１では通過が拒絶される。

【００４２】本実施形態のネットワーク接続装置１０２
ｉは、このようなクライアント側ファイアウォールに適
用して、外部から（内部に対して）張られるコネクショ
ン要求を安全に許可する仕組みを実現するものである。

【００４３】以下、ネットワーク接続装置１０２ｉのフ
ァイアウォール制御部の構成について、図４のブロック
構成図を参照して説明する。図３中のクライアントプロ
セス２０１は、サーバプロセス２０４との間にコネクシ
ョンを設定する必要がある場合、同図に示したようにコ
ネクション実行要求をＷＷＷサーバ２０３経由で当該サ
ーバプロセス２０４に送る。クライアントプロセス２０
１は、このコネクション実行要求を送出するのに先立
ち、図４に示すようにコネクション許可設定要求Ｒ１を
ネットワーク接続装置１０２ｉに出しておく。このコネ
クション許可設定要求Ｒ１には、上記コネクション実行
要求と同様に、クライアント側のノード（クライアント
計算機）のＩＰアドレスとクライアントプロセス２０１
が開設したクライアントポートのポート番号とが付され
る他に、タイムアウト時間（の情報）も付されている。

【００４４】クライアントプロセス２０１からのコネク
ション許可設定要求Ｒ１は、コネクション許可設定部４
２によって処理され、指定されたＩＰアドレスとポート
番号との組（を含むコネクション許可情報）がコネクシ
ョン許可テーブル４１のエントリに登録される。このエ
ントリには、登録時刻とタイムアウト時間とから決定さ
れるタイムアウト時刻（の情報）も（コネクション許可
情報の一部として）同時に設定される。このタイムアウ
ト時刻は、指定時間以内に外部から、当該タイムアウト
時刻と共に同一エントリに登録されているＩＰアドレス
とポート番号とにより指定されるポート（クライアント
ポート）にコネクション要求が到来しなかった場合に、
当該エントリを無効化するために利用される。

【００４５】このエントリの無効化処理は、タイマ４５
で定期的に起動されるコネクション許可定期リセット部
４６が、コネクション許可テーブル４１を探索してい
き、タイムアウト時刻を経過しているエントリを削除し
ていくことで実現される。

【００４６】一方、クライアントプロセス２０１からＷ
ＷＷサーバ２０３経由でコネクション実行要求が送られ
たサーバプロセス２０４は、当該要求に付されているＩ
Ｐアドレス及びクライアントポート番号をもとに、当該
ＩＰアドレスのノードの当該ポート番号のクライアント
ポートに対してＴＣＰ／ＩＰプロトコルでコネクション
要求Ｒ２を送る。このコネクション要求Ｒ２は、サーバ
側ファイアウォール（３０２）にとっては外部に対して
コネクションを張る要求なので後述するように通過が許
可され、クライアント側ファイアウォール（３０１）を
なすクライアント側のネットワーク接続装置１０２ｉ
（のファイアウォール制御部）に送られる。

【００４７】すると、サーバプロセス２０４からのコネ
クション要求Ｒ２は、図４のネットワーク接続装置１０
２ｉのコネクション要求処理部４７で受け取られる。コ
ネクション要求処理部４７は、受け取ったコネクション
要求Ｒ２を以下に述べるようにして許可或いは拒絶す
る。

【００４８】まずコネクション要求処理部４７は、受け
取ったコネクション要求Ｒ２がこの例のように“外部か
らコネクションを張られる要求”であった場合は、許可
するか拒絶するかをコネクション許可判定部４３に問い
合わせる。なお、コネクション要求Ｒ２を受け取ったコ
ネクション要求処理部４７が、サーバ側ファイアウォー
ル（３０２）を実現するネットワーク接続装置１０２ｉ
であった場合には、当該コネクション要求処理部４７
は、受け取ったコネクション要求Ｒ２が“外部にコネク
ションを張る要求”であることから、そのコネクション
要求Ｒ２の通過を許可する。

【００４９】コネクション許可判定部４３は、コネクシ
ョン要求処理部４７からの問い合わせを受けると、当該
コネクション要求処理部４７で受け取られたコネクショ
ン要求Ｒ２に付されているＩＰアドレスとポート番号の
組が、コネクション許可テーブル４１に登録されている
か否かを調べる。

【００５０】そしてコネクション許可判定部４３は、上
記ＩＰアドレスとポート番号との組が登録されていた場
合には「許可」を、登録されていなかった場合には「拒
絶」を判定して、その判定結果をコネクション要求処理
部４７に通知する。更にコネクション許可判定部４３
は、「許可」と判定した場合には、コネクション許可リ
セット部４４により、コネクション要求Ｒ２に付されて
いたＩＰアドレスとポート番号との組からなるエントリ
をコネクション許可テーブル４１から削除させる。つま
り、コネクション要求Ｒ２中のＩＰアドレスとポート番
号との組がコネクション許可テーブル４１内のエントリ
に登録されていたために、当該コネクション要求Ｒ２が
許可される場合、このエントリ（の登録情報）が無効化
される。

【００５１】これにより特定のＩＰアドレスのポート番
号へのコネクション要求は、１回のみしか許可されない
ことになる。

【００５２】これらの動作により、クライアント側のフ
ァイアウォール３０１では、通常は外部（サーバプロセ
ス２０４側）から張られるＴＣＰ／ＩＰプロトコルのコ
ネクション要求は拒絶されるが、クライアントプロセス
２０１が事前にコネクション許可設定要求Ｒ１を出して
おくことで、指定されたＩＰアドレスの指定されたポー
トへのコネクション要求Ｒ２のみ一時的に許可されるよ
うになる。

【００５３】しかも、この一時的に許可されているコネ
クション要求Ｒ２が１つ到来したら、当該コネクション
要求Ｒ２により示されるＩＰアドレス／ポートへのコネ
クション要求許可はリセットされる。

【００５４】更に、コネクション要求Ｒ２が一時的に許
可されたＩＰアドレス／ポートへの新たなコネクション
要求が到来しなくても、タイムアウト時刻を経過したな
らばコネクション要求許可はリセットされる。

【００５５】よって、ネットワーク接続装置１０２ｉの
ファイアウォール制御部では、外部からの不正侵入が起
きる可能性を極めて低い確率に抑えながら、外部から張
られるコネクション要求を許可することが可能になる。

【００５６】次に、図４中のコネクション許可設定部４
２の処理の流れの詳細を図５のフローチャートを参照し
て説明する。まずコネクション許可設定部４２は、クラ
イアントプロセス２０１から、ＩＰアドレス、ポート番
号及びタイムアウト時間が付されているコネクション許
可設定要求Ｒ１を受け取る（ステップＳ１）。

【００５７】するとコネクション許可設定部４２は、ク
ライアントプロセス２０１から受け取ったコネクション
許可設定要求Ｒ１に付されているタイムアウト時間を現
在時刻に加算することでタイムアウト時刻を決定し、当
該要求Ｒ１に付されているＩＰアドレスとポート番号と
決定したタイムアウト時刻との組を、コネクション許可
テーブル４１内のエントリに登録する（ステップＳ
２）。

【００５８】次に、図４中のコネクション許可判定部４
３の処理の流れの詳細を図６のフローチャートを参照し
て説明する。まずコネクション許可判定部４３は、コネ
クション要求処理部４７で受け取られたコネクション要
求Ｒ２に付されているＩＰアドレスとポート番号との組
が、コネクション許可テーブル４１に登録されているか
否かを調べるために、当該テーブル４１を探索する（ス
テップＳ１１）。そしてコネクション許可判定部４３
は、コネクション許可テーブル４１の探索の結果から、
コネクション要求されたＩＰアドレスとポート番号との
組がコネクション許可テーブル４１に登録されているか
否かを判定する（ステップＳ１２）。

【００５９】もし、上記ＩＰアドレスとポート番号との
組が登録されていない場合、コネクション許可判定部４
３は「コネクション要求を拒絶する」と判定し、その判
定結果をコネクション要求処理部４７に通知する（ステ
ップＳ１３）。

【００６０】これに対し、上記ＩＰアドレスとポート番
号との組が登録されている場合は、コネクション許可判
定部４３はまず、コネクション許可リセット部４４に対
し、“コネクション要求されたＩＰアドレスとポート番
号との組からなるエントリ”をコネクション許可テーブ
ル４１から削除するように指示する（ステップＳ１
４）。そしてコネクション許可判定部４３は、「コネク
ション要求を許可する」と判定する（ステップＳ１
５）。

【００６１】次に、図４中のコネクション許可リセット
部４４の処理の流れの詳細を図７のフローチャートを参
照して説明する。まずコネクション許可リセット部４４
は、コネクション許可判定部４３からＩＰアドレスとポ
ート番号との組を含むコネクション許可リセット要求を
受け取る（ステップＳ２１）。

【００６２】するとコネクション許可リセット部４４
は、コネクション許可テーブル４１から、上記受け取っ
たコネクション許可リセット要求により指定されたＩＰ
アドレスとポート番号との組からなるエントリを削除す
る（ステップＳ２２）。

【００６３】次に、図４中のコネクション許可定期リセ
ット部４６の処理の流れの詳細を図８のフローチャート
を参照して説明する。まずコネクション許可定期リセッ
ト部４６は、タイマ４５で一定時間が計測されるのを待
つ（ステップＳ３１）。

【００６４】そして一定時間が経過すると、コネクショ
ン許可定期リセット部４６はコネクション許可テーブル
４１の全エントリを１エントリずつ探索する（ステップ
Ｓ３２）。コネクション許可定期リセット部４６は１回
の探索毎に、新たに探索可能なエントリはないか否か、
つまり全てのエントリを探索し終えたか否かを判定し
（ステップＳ３３）、全エントリの探索をし終えたと判
定したならば、ステップＳ３１に戻って再び一定時間の
経過を待つ。

【００６５】これに対し、全てのエントリを探索し終え
ていないと判定した場合には、コネクション許可定期リ
セット部４６は、現在時刻が、上記ステップＳ３２で探
索できたエントリに登録されているタイムアウト時刻を
経過しているか否かを判定する（ステップＳ３４）。

【００６６】もし、現在時刻がタイムアウト時刻を経過
していない場合は、コネクション許可定期リセット部４
６は何もする必要がないので、ステップＳ３２に戻っ
て、次のエントリを探索する。

【００６７】これに対し、現在時刻がタイムアウト時刻
を経過している場合は、コネクション許可定期リセット
部４６は当該タイムアウト時刻が登録されているエント
リをコネクション許可テーブル４１から削除する（ステ
ップＳ３５）。その後、コネクション許可定期リセット
部４６はステップＳ３２に戻って、次のエントリを探索
する。

【００６８】次に、図４中のコネクション要求処理部４
７の処理の流れの詳細を図９のフローチャートを参照し
て説明する。まずコネクション要求処理部４７は、サー
バプロセス２０４から送られるＩＰアドレスとポート番
号との組を含むコネクション要求Ｒ２を受け取る（ステ
ップＳ４１）。

【００６９】するとコネクション要求処理部４７は、受
け取ったコネクション要求Ｒ２が、“外部からコネクシ
ョンを張られる要求”であるか否かを判定する（ステッ
プＳ４２）。もし、“外部からコネクションを張られる
要求”でない場合は、コネクション許可判定部４３はコ
ネクション要求Ｒ２の通過を許可する（ステップＳ４
３）。

【００７０】これに対し、“外部からコネクションを張
られる要求”である場合は、コネクション要求処理部４
７はコネクション許可判定部４３に対し、コネクション
要求Ｒ２で指定されたＩＰアドレスとポート番号との組
がコネクション許可テーブル４１に登録されているか否
かを問い合わせ、その問い合わせに対する判定結果の通
知を待つ（ステップＳ４４）。

【００７１】コネクション要求処理部４７は、上記問い
合わせに対してコネクション許可判定部４３から判定結
果が通知されると、その判定結果に基づいて指定のＩＰ
アドレスとポート番号との組がコネクション許可テーブ
ル４１に登録されているか否かを判定する（ステップＳ
４５）。

【００７２】もし、登録されていないと判定された場
合、コネクション要求処理部４７はコネクション許可判
定部４３でコネクション要求の拒絶が判定されたものと
して、上記受け取ったコネクション要求Ｒ２の通過を拒
絶する（ステップＳ４６）。

【００７３】これに対し、登録されていると判定された
場合は、コネクション要求処理部４７はコネクション許
可判定部４３でコネクション要求の許可が判定されたも
のとして、上記受け取ったコネクション要求Ｒ２の通過
を許可する（ステップＳ４７）。

【００７４】以上、ネットワーク接続装置１０２ｉのフ
ァイアウォール制御部における、コネクションが張られ
る（設定される）までのファイアウォール制御について
詳述した。

【００７５】以下では、コネクションが張られた後の通
信について簡単に説明する。まず、コネクションが張ら
れた後の通信をどう扱うかについては、以下の２通りが
考えられる。（ａ）コネクションが張られているポートを管理し、既
にコネクションが張られているＩＰアドレス／ポートに
対する通信は許可する。（ｂ）コネクション要求以外の通信は全て許可する。

【００７６】（ａ）の方法に比べ、（ｂ）の方法はコネ
クション要求以外の通信は全て許可してしまうので、安
全性が低いように見える。しかし実際には、通信路（仮
想回線）が確立されていない限り、データ通信は行え
ず、本実施形態のネットワーク接続装置１０２ｉによっ
てコネクション要求の不正侵入を防いでいるため、
（ｂ）の安全性も（ａ）と同等である。

【００７７】［第２の実施形態］前記第１の実施形態で
は、ネットワーク接続装置１０２ｉ（のファイアウォー
ル制御部）によりコネクション要求のみを制御する場合
について説明したが、これに限るものではなく、全ての
データ通信についてのファイアウォール制御に適用する
ことも可能である。

【００７８】そこで、コネクション要求のみでなく、全
てのデータ通信を対象にファイアウォール制御を行う本
発明の第２の実施形態に係るネットワーク接続装置につ
いて図面を参照して説明する。

【００７９】図１０は本発明の第２の実施形態に係るネ
ットワーク接続装置のファイアウォール制御部のブロッ
ク構成を示す。図１０において、データ通信許可設定要
求Ｒ１１は図３中のコネクション許可設定要求Ｒ１に相
当する。このデータ通信許可設定要求Ｒ１１は、（図３
中のクライアントプロセス２０１に相当する）クライア
ントプロセスが（図３中のサーバプロセス２０４に相当
する）サーバプロセスとの間でデータ通信を行いたい場
合に、当該クライアントプロセスから、クライアント側
のネットワーク接続装置のファイアウォール制御部に出
される。このクライアントプロセスからのデータ通信許
可設定要求Ｒ１２は、データ通信許可設定部１４２よっ
て処理され、指定されたＩＰアドレスとポート番号の組
（を含むデータ通信許可情報）が（図３中のコネクショ
ン許可テーブル４１に相当する）データ通信許可テーブ
ル１４１に登録される。このデータ通信許可テーブル１
４１のエントリには、登録時刻とタイムアウト時間とか
ら決定されるタイムアウト時刻（の情報）も（データ通
信許可情報の一部として）同時に設定される。このタイ
ムアウト時刻は、指定時間以内に外部から、当該タイム
アウト時刻と同一エントリに登録されているＩＰアドレ
スとポート番号とにより指定されるポート（クライアン
トポート）にデータ通信要求が到来しなかった場合に、
当該エントリを無効化するために利用される。

【００８０】このエントリの無効化処理は、タイマ１４
５で定期的に起動されるデータ通信許可定期リセット部
１４６が、データ通信許可テーブル１４１を探索してい
き、タイムアウト時刻を経過しているエントリを削除し
ていくことで実現される。

【００８１】さて、クライアントプロセスは、データ通
信許可設定要求Ｒ１２を出した後、前記第１の実施形態
におけるコネクション実行要求に相当するデータ通信実
行要求をＨＴＴＰプロトコルによりＷＷＷサーバに送
り、当該ＷＷＷサーバによりデータ通信相手となるサー
バプロセスに転送させる。サーバプロセスはクライアン
トプロセスからのデータ通信実行要求をＷＷＷサーバ経
由で受け取ると、当該要求に付されているＩＰアドレス
及びクライアントポート番号をもとに、当該ＩＰアドレ
スのノードの当該ポート番号のクライアントポートに対
してＴＣＰ／ＩＰプロトコルで（図４中のコネクション
要求Ｒ２に相当する）データ通信要求Ｒ１２を送る。こ
のデータ通信要求Ｒ１２は、サーバ側ファイアウォール
にとっては外部にデータ通信を行う要求なので通過が許
可され、クライアント側ファイアウォールをなすクライ
アント側のネットワーク接続装置のファイアウォール制
御部に送られる。

【００８２】すると、サーバプロセスからのデータ通信
要求Ｒ１２はデータ通信要求処理部１４７で受け取られ
る。データ通信要求処理部１４７は受け取ったデータ通
信要求Ｒ１２を許可或いは拒絶する。データ通信要求処
理部１４７は、受け取ったデータ通信要求Ｒ１２がこの
例と異なって“外部にデータ通信を行う要求”であった
場合には、当該データ通信要求Ｒ１２の通過を許可す
る。これに対し、データ通信要求Ｒ１２がこの例のよう
に“外部からデータ通信が行われる要求”であった場合
は、許可するか拒絶するかをデータ通信許可判定部１４
３に問い合わせる。

【００８３】データ通信許可判定部１４３は、データ通
信要求処理部１４７からの問い合わせを受けると、当該
データ通信要求処理部１４７で受け取られたデータ通信
要求Ｒ１２に付されているＩＰアドレスとポート番号の
組が、データ通信許可テーブル１４１登録されているか
否かを調べる。

【００８４】そしてデータ通信許可判定部１４３は、上
記ＩＰアドレスとポート番号との組が登録されていた場
合には「許可」を、登録されていなかった場合には「拒
絶」を判定して、その判定結果をデータ通信要求処理部
１４７に通知する。更にデータ通信許可判定部１４３
は、「許可」と判定した場合には、データ通信許可リセ
ット部１４４により、データ通信要求Ｒ１２に付されて
いたＩＰアドレスとポート番号との組を含むエントリを
データ通信許可テーブル１４１から削除させる。つま
り、データ通信要求Ｒ１２中のＩＰアドレスとポート番
号との組がデータ通信許可テーブル１４１内のエントリ
に登録されていたために、当該データ通信要求Ｒ１２が
許可される場合、このエントリ（の登録情報）が削除さ
れる。

【００８５】これにより特定のＩＰアドレスのポート番
号へのデータ通信要求は、１回のみしか許可されないこ
とになる。

【００８６】以上に述べた図４（図１０）の構成におけ
るコネクション許可設定部４２、コネクション許可判定
部４３、コネクション許可リセット部４４、コネクショ
ン許可定期リセット部４６及びコネクション要求処理部
４７（データ通信許可設定部１４２、データ通信許可判
定部１４３、データ通信許可リセット部１４４、データ
通信許可定期リセット部１４６及びデータ通信要求処理
部１４７）の処理機能は、ＣＤ−ＲＯＭ等の記憶媒体に
記憶されているファイアウォール制御プログラムをネッ
トワーク接続装置１０２ｉにインストールして当該ネッ
トワーク接続装置１０２ｉにて読み取り実行することで
実現される。なお、このプログラムが通信媒体を介して
ダウンロードされるものであっても構わない。

【００８７】なお、前記第１（第２）の実施形態におい
ては、コネクション許可設定要求Ｒ１（データ通信許可
設定要求Ｒ１１）には、タイムアウト時間の他に、クラ
イアント計算機のＩＰアドレス、即ちサーバ計算機上の
サーバプロセスからみた場合にはコネクション要求先
（データ通信要求先）のＩＰアドレスとポート番号とが
付加されているものとして説明したが、コネクション要
求Ｒ２（データ通信要求Ｒ１２）を発行する側、つまり
コネクション要求元（データ通信要求元）のＩＰアドレ
スを更に付加するようにしても構わない。この場合、コ
ネクション要求Ｒ２（データ通信要求Ｒ１２）にも、コ
ネクション要求先（データ通信要求先）のＩＰアドレス
とポート番号に加えてコネクション要求元（データ通信
要求元）のＩＰアドレスを付加し、コネクション許可判
定部４３（データ通信許可判定部１４３）では、コネク
ション要求先（データ通信要求先）のＩＰアドレスとポ
ート番号だけでなく、コネクション要求元（データ通信
要求元）のＩＰアドレスも一致することをもってコネク
ション（データ通信）の許可判定を行うとよい。

【００８８】また前記第１の実施形態では、許可された
コネクションが張られている間に、コネクション先のク
ライアントポートを指すＩＰアドレス／ポート番号に対
するコネクション要求が到来した場合の扱いについて特
に考慮されていなかったが、このようなコネクション要
求は不正侵入であるとコネクション要求処理部４７がみ
なして、当該コネクション要求を拒絶すると共に、既に
張られている、そのＩＰアドレス／ポート番号で指定さ
れるクライアントポートとの間のコネクションをリセッ
ト（切断）してしまうことも可能である。

【００８９】また前記第１の実施形態では、コネクショ
ン要求に対してコネクションが許可されてから一定時間
の間に、コネクション先のクライアントポートを指すＩ
Ｐアドレス／ポート番号に対するコネクション要求が到
来した場合の扱いについて特に考慮されていなかった
が、このようなコネクション要求は不正侵入であるとコ
ネクション要求処理部４７がみなして、当該コネクショ
ン要求を拒絶すると共に、既に張られている、そのＩＰ
アドレス／ポート番号で指定されるクライアントポート
との間のコネクションをリセット（切断）してしまうこ
とも可能である。

【００９０】また、前記第１（第２）の実施形態では、
ネットワーク接続装置におけるファイアウォール制御
を、“外部から張られるコネクション要求”（“外部か
らデータ通信が行われる要求”）に適用するものとして
説明したが、“外部に張るコネクション要求”（“外部
にデータ通信を行う要求”）にも適用可能である。

【００９１】更に、前記第１（第２）の実施形態では、
ＴＣＰ／ＩＰプロトコルのコネクション要求（データ通
信要求）に対して適用するものとして説明したが、ＴＣ
Ｐ／ＩＰプロトコル以外のプロトコルに対しても適用可
能である。

【００９２】なお、本発明は、上記各実施形態に限定さ
れるものではなく、実施段階ではその要旨を逸脱しない
範囲で種々に変形することが可能である。更に、上記実
施形態には種々の段階の発明が含まれており、開示され
る複数の構成要件における適宜な組み合わせにより種々
の発明が抽出され得る。例えば、実施形態に示される全
構成要件から幾つかの構成要件が削除されても、発明が
解決しようとする課題の欄で述べた課題が解決でき、発
明の効果の欄で述べられている効果が得られる場合に
は、この構成要件が削除された構成が発明として抽出さ
れ得る。

【００９３】

【発明の効果】以上詳述したように本発明によれば、ク
ライアント側ノードからのコネクション許可設定要求
（またはデータ通信許可設定要求）により指定されたノ
ードアドレスとポート番号とを含む情報を設定登録して
おき、この設定されたノードアドレスとポート番号への
サーバ側ノードからのコネクション要求（データ通信要
求）を一時的に許可する構成としたので、外部からの不
正侵入が起きる可能性を極めて低い確率に抑えながら、
外部から張られるコネクション要求（または外部からの
データ通信要求）を許可することができる。これによ
り、インターネット環境においてＣ／Ｓ型のアプリケー
ションを、セキュリティ上安全に実行することができ
る。

【図面の簡単な説明】

【図１】本発明の第１の実施形態に係るネットワーク接
続装置を適用したコンピュータネットワークシステムの
システム構成を示すブロック図。

【図２】同第１の実施形態で適用される、クライアント
プロセスとサーバプロセスとの間にコネクションを設定
する仕組みを説明するための図。

【図３】図２の仕組みを１つのクライアントプロセスに
着目して簡略化し、クライアント側とサーバ側にそれぞ
れファイアウォールを加えた構成を示す図。

【図４】図１中のネットワーク接続装置のファイアウォ
ール制御部のブロック構成を示す図。

【図５】図４中のコネクション許可設定部の処理の流れ
を説明するためのフローチャート。

【図６】図４中のコネクション許可判定部の処理の流れ
を説明するためのフローチャート。

【図７】図４中のコネクション許可リセット部の処理の
流れを説明するためのフローチャート。

【図８】図４中のコネクション許可定期リセット部の処
理の流れを説明するためのフローチャート。

【図９】図４中のコネクション要求処理部の処理の流れ
を説明するためのフローチャート。

【図１０】本発明の第２の実施形態に係るネットワーク
接続装置のファイアウォール制御部のブロック構成を示
す図。

【符号の説明】

１０ａ〜１０ｄ…ネットワークセグメント１１…ＷＡＮ（ワイドエリアネットワーク）４１…コネクション許可テーブル（コネクション許可情
報保持手段）４２…コネクション許可設定部４３…コネクション許可判定部４４…コネクション許可リセット部（コネクション許可
取消手段）４５，１４５…タイマ４６…コネクション許可定期リセット部（コネクション
許可定期取消手段）４７…コネクション要求処理部１０１ａ〜１０１ｄ…ＬＡＮ（ローカルエリアネットワ
ーク）１４１…データ通信許可テーブル（データ通信許可情報
保持手段）１４２…データ通信許可設定部１４３…データ通信許可判定部１４４…データ通信許可リセット部（データ通信許可取
消手段）１４６…データ通信許可定期リセット部（データ通信許
可定期取消手段）１４７…データ通信要求処理部２０１，２０１ａ〜２０１ｃ…クライアントプロセス２０２ａ〜２０２ｃ…クライアントポート２０３…ＷＷＷサーバ２０４…サーバプロセス３０１，３０２…ファイアウォールＮａ１〜Ｎａ３，Ｎｂ１〜Ｎｂ３，Ｎｃ１〜Ｎｃ３，Ｎ
ｄ１〜Ｎｄ３…ノードＲ１…コネクション許可設定要求Ｒ２…コネクション要求Ｒ１１…データ通信許可設定要求Ｒ１２…データ通信要求

Claims

【特許請求の範囲】

【請求項１】少なくとも１つのノードが接続されたネ
ットワークセグメントを複数有するコンピュータネット
ワークシステム内に前記各ネットワークセグメント毎に
設けられ、当該ネットワークセグメントと他のネットワ
ークセグメントとの間を接続するネットワーク接続装置
において、コネクション要求先のノードアドレスとポート番号とを
含むコネクション許可情報を保持するコネクション許可
情報保持手段と、前記ネットワーク接続装置が属する前記ネットワークセ
グメント上のクライアント側ノードから与えられる当該
ノードのノードアドレスとポート番号とを含むコネクシ
ョン許可設定要求を受けて、当該ノードアドレスとポー
ト番号とにより特定されるポートへのコネクションを許
可するための当該ノードアドレスとポート番号とを含む
コネクション許可情報を前記コネクション許可情報保持
手段に設定するコネクション許可設定手段と、任意のネットワークセグメント上のサーバ側ノードから
与えられるターゲットとなるノードアドレスとポート番
号とを含む他のネットワークセグメントへのコネクショ
ン要求を受け、当該要求中の前記ノードアドレスとポー
ト番号との組を含む前記コネクション許可情報が前記コ
ネクション許可情報保持手段に存在するか否かを判定
し、存在すると判定した場合には前記コネクション要求
を許可し、存在しないと判定した場合には前記コネクシ
ョン要求を拒絶するコネクション要求処理手段と、前記コネクション要求処理手段によって前記コネクショ
ン要求が許可される際に、当該コネクション要求中の前
記ノードアドレスとポート番号との組を含む前記コネク
ション許可情報保持手段上の前記コネクション許可情報
を無効化するコネクション許可取消手段とを具備するこ
とを特徴とするネットワーク接続装置。
【請求項２】少なくとも１つのノードが接続されたネ
ットワークセグメントを複数有するコンピュータネット
ワークシステム内に前記各ネットワークセグメント毎に
設けられ、当該ネットワークセグメントと他のネットワ
ークセグメントとの間を接続するネットワーク接続装置
において、コネクション要求先のノードアドレスとポート番号とタ
イムアウト時刻とを含むコネクション許可情報を保持す
るコネクション許可情報保持手段と、前記ネットワーク接続装置が属する前記ネットワークセ
グメント上のクライアント側ノードから与えられる当該
ノードのノードアドレスとポート番号とを含むコネクシ
ョン許可設定要求を受けて、当該ノードアドレスとポー
ト番号とにより特定されるポートへのコネクションを許
可するための当該ノードアドレスとポート番号とタイム
アウト時刻とを含むコネクション許可情報を前記コネク
ション許可情報保持手段に設定するコネクション許可設
定手段と、任意のネットワークセグメント上のサーバ側ノードから
与えられるターゲットとなるノードアドレスとポート番
号とを含む他のネットワークセグメントへのコネクショ
ン要求を受け、当該要求中の前記ノードアドレスとポー
ト番号との組を含む前記コネクション許可情報が前記コ
ネクション許可情報保持手段に存在するか否かを判定
し、存在すると判定した場合には前記コネクション要求
を許可し、存在しないと判定した場合には前記コネクシ
ョン要求を拒絶するコネクション要求処理手段と、前記コネクション許可情報保持手段を定期的に探索し、
当該コネクション許可情報保持手段に保持されている前
記コネクション許可情報のうち前記タイムアウト時刻を
経過したコネクション許可情報を無効化するコネクショ
ン許可定期取消手段とを具備することを特徴とするネッ
トワーク接続装置。
【請求項３】少なくとも１つのノードが接続されたネ
ットワークセグメントを複数有するコンピュータネット
ワークシステム内に前記各ネットワークセグメント毎に
設けられ、当該ネットワークセグメントと他のネットワ
ークセグメントとの間を接続するネットワーク接続装置
において、コネクション要求先のノードアドレスとポート番号とタ
イムアウト時刻とを含むコネクション許可情報を保持す
るコネクション許可情報保持手段と、前記ネットワーク接続装置が属する前記ネットワークセ
グメント上のクライアント側ノードから与えられる当該
ノードのノードアドレスとポート番号とを含むコネクシ
ョン許可設定要求を受けて、当該ノードアドレスとポー
ト番号とにより特定されるポートへのコネクションを許
可するための当該ノードアドレスとポート番号とタイム
アウト時刻とを含むコネクション許可情報を前記コネク
ション許可情報保持手段に設定するコネクション許可設
定手段と、任意のネットワークセグメント上のサーバ側ノードから
与えられるターゲットとなるノードアドレスとポート番
号とを含む他のネットワークセグメントへのコネクショ
ン要求を受け、当該要求中の前記ノードアドレスとポー
ト番号との組を含む前記コネクション許可情報が前記コ
ネクション許可情報保持手段に存在するか否かを判定
し、存在すると判定した場合には前記コネクション要求
を許可し、存在しないと判定した場合には前記コネクシ
ョン要求を拒絶するコネクション要求処理手段と、前記コネクション要求処理手段によって前記コネクショ
ン要求が許可される際に、当該コネクション要求中の前
記ノードアドレスとポート番号との組を含む前記コネク
ション許可情報保持手段上の前記コネクション許可情報
を無効化するコネクション許可取消手段と、前記コネクション許可情報保持手段を定期的に探索し、
当該コネクション許可情報保持手段に保持されている前
記コネクション許可情報のうちタイムアウト時刻を経過
したコネクション許可情報を無効化するコネクション許
可定期取消手段とを具備することを特徴とするネットワ
ーク接続装置。
【請求項４】前記コネクション要求処理手段により前
記コネクション要求が許可された結果コネクションが確
立された経路上の通信は全て許可する手段を更に具備す
ることを特徴とする請求項１乃至請求項３のいずれかに
記載のネットワーク接続装置。
【請求項５】前記コネクション要求処理手段により前
記コネクション要求が許可された結果コネクションが確
立された経路上のコネクション要求以外の通信は全て許
可する手段を更に具備することを特徴とする請求項１乃
至請求項３のいずれかに記載のネットワーク接続装置。
【請求項６】前記コネクション許可設定要求、前記コ
ネクション要求及び前記コネクション許可情報は、前記
コネクション許可設定要求に対しては要求元となり前記
コネクション要求に対しては要求先となるノードのノー
ドアドレスとポート番号とに加えて、前記コネクション
要求の要求元ノードのノードアドレスを含んでおり、前記コネクション要求処理手段は、前記コネクション要
求を受けた場合、当該コネクション要求中の前記コネク
ション要求先のノードアドレスとポート番号及び前記コ
ネクション要求元のノードアドレスを含む前記コネクシ
ョン許可情報が前記コネクション許可情報保持手段に存
在することをもって、前記コネクション要求を許可する
ことを特徴とする請求項１乃至請求項３のいずれかに記
載のネットワーク接続装置。
【請求項７】前記コネクション要求処理手段は、前記
コネクション要求処理手段によって前記コネクション要
求が許可された時点から一定時間内に、当該コネクショ
ン要求と要求先のノードアドレスとポート番号とが同一
のコネクション要求が到来した場合、当該到来したコネ
クション要求を拒絶すると共に、現在設定されている当
該ノードアドレスとポート番号とにより特定されるポー
トへのコネクションを切断することを特徴とする請求項
１乃至請求項３のいずれかに記載のネットワーク接続装
置。
【請求項８】前記コネクション要求処理手段は、前記
コネクション要求処理手段によって前記コネクション要
求が許可された結果、当該コネクション要求の要求先の
ノードアドレスとポート番号とにより特定されるポート
との間にコネクションが設定されている状態で、当該コ
ネクション要求と要求先のノードアドレスとポート番号
とが同一のコネクション要求が到来した場合、当該到来
したコネクション要求を拒絶すると共に、当該設定され
ているコネクションを切断することを特徴とする請求項
１乃至請求項３のいずれかに記載のネットワーク接続装
置。
【請求項９】少なくとも１つのノードが接続されたネ
ットワークセグメントを複数有するコンピュータネット
ワークシステム内に前記各ネットワークセグメント毎に
設けられ、当該ネットワークセグメントと他のネットワ
ークセグメントとの間を接続するネットワーク接続装置
において、データ通信要求要求先のノードアドレスとポート番号と
を含むデータ通信許可情報を保持するデータ通信許可情
報保持手段と、前記ネットワーク接続装置が属する前記ネットワークセ
グメント上のクライアント側ノードから与えられる当該
ノードのノードアドレスとポート番号とを含むデータ通
信許可設定要求を受けて、当該ノードアドレスとポート
番号とにより特定されるポートへのデータ通信を許可す
るための当該ノードアドレスとポート番号とを含むデー
タ通信許可情報を前記データ通信許可情報保持手段に設
定するデータ通信許可設定手段と、任意のネットワークセグメント上のサーバ側ノードから
与えられるターゲットとなるノードアドレスとポート番
号とを含む他のネットワークセグメントへのデータ通信
要求を受け、当該要求中の前記ノードアドレスとポート
番号との組を含む前記データ通信許可情報が前記データ
通信許可情報保持手段に存在するか否かを判定し、存在
すると判定した場合には前記データ通信要求を許可し、
存在しないと判定した場合には前記データ通信要求を拒
絶するデータ通信要求処理手段と、前記データ通信要求処理手段によって前記データ通信要
求が許可される際に、当該データ通信要求中の前記ノー
ドアドレスとポート番号との組を含む前記データ通信許
可情報保持手段上の前記データ通信許可情報を無効化す
るデータ通信許可取消手段とを具備することを特徴とす
るネットワーク接続装置。
【請求項１０】少なくとも１つのノードが接続されたネ
ットワークセグメントを複数有するコンピュータネット
ワークシステム内に前記各ネットワークセグメント毎に
設けられ、当該ネットワークセグメントと他のネットワ
ークセグメントとの間を接続するネットワーク接続装置
において、データ通信要求先のノードアドレスとポート番号とタイ
ムアウト時刻とを含むデータ通信許可情報を保持するデ
ータ通信許可情報保持手段と、前記ネットワーク接続装置が属する前記ネットワークセ
グメント上のクライアント側ノードから与えられる当該
ノードのノードアドレスとポート番号とを含むデータ通
信許可設定要求を受けて、当該ノードアドレスとポート
番号とにより特定されるポートへのデータ通信を許可す
るための当該ノードアドレスとポート番号とタイムアウ
ト時刻とを含むデータ通信許可情報を前記データ通信許
可情報保持手段に設定するデータ通信許可設定手段と、任意のネットワークセグメント上のサーバ側ノードから
与えられるターゲットとなるノードアドレスとポート番
号とを含む他のネットワークセグメントへのデータ通信
要求を受け、当該要求中の前記ノードアドレスとポート
番号との組を含む前記データ通信許可情報が前記データ
通信許可情報保持手段に存在するか否かを判定し、存在
すると判定した場合には前記データ通信要求を許可し、
存在しないと判定した場合には前記データ通信要求を拒
絶するデータ通信要求処理手段と、前記データ通信許可情報保持手段を定期的に探索し、当
該データ通信許可情報保持手段に保持されている前記デ
ータ通信許可情報のうちタイムアウト時刻を経過したデ
ータ通信許可情報を無効化するデータ通信許可定期取消
手段とを具備することを特徴とするネットワーク接続装
置。
【請求項１１】少なくとも１つのノードが接続された
ネットワークセグメントを複数有するコンピュータネッ
トワークシステム内に前記各ネットワークセグメント毎
に設けられ、当該ネットワークセグメントと他のネット
ワークセグメントとの間を接続するネットワーク接続装
置において、データ通信要求先のノードアドレスとポート番号とタイ
ムアウト時刻とを含むデータ通信許可情報を保持するデ
ータ通信許可情報保持手段と、前記ネットワーク接続装置が属する前記ネットワークセ
グメント上のクライアント側ノードから与えられる当該
ノードのノードアドレスとポート番号とを含むデータ通
信許可設定要求を受けて、当該ノードアドレスとポート
番号とにより特定されるポートへのデータ通信を許可す
るための当該ノードアドレスとポート番号とタイムアウ
ト時刻とを含むデータ通信許可情報を前記データ通信許
可情報保持手段に設定するデータ通信許可設定手段と、任意のネットワークセグメント上のサーバ側ノードから
与えられるターゲットとなるノードアドレスとポート番
号とを含む他のネットワークセグメントへのデータ通信
要求を受け、当該要求中の前記ノードアドレスとポート
番号との組を含む前記データ通信許可情報が前記データ
通信許可情報保持手段に存在するか否かを判定し、存在
すると判定した場合には前記データ通信要求を許可し、
存在しないと判定した場合には前記データ通信要求を拒
絶するデータ通信要求処理手段と、前記データ通信要求処理手段によって前記データ通信要
求が許可される際に、当該データ通信要求中の前記ノー
ドアドレスとポート番号との組を含む前記データ通信許
可情報保持手段上の前記データ通信許可情報を無効化す
るデータ通信許可取消手段と、前記データ通信許可情報保持手段を定期的に探索し、当
該データ通信許可情報保持手段に保持されている前記デ
ータ通信許可情報のうちタイムアウト時刻を経過したデ
ータ通信許可情報を無効化するデータ通信許可定期取消
手段とを具備することを特徴とするネットワーク接続装
置。
【請求項１２】少なくとも１つのノードが接続された
ネットワークセグメントを複数有するコンピュータネッ
トワークシステム内に前記各ネットワークセグメント毎
に設けられ、当該ネットワークセグメントと他のネット
ワークセグメントとの間を接続するネットワーク接続装
置に、前記ネットワーク接続装置が属する前記ネットワークセ
グメント上のクライアント側ノードから当該ノードのノ
ードアドレスとポート番号とを含むコネクション許可設
定要求を受けた場合に、当該ノードアドレスとポート番
号とにより特定されるポートへのコネクションを許可す
るための当該ノードアドレスとポート番号とを含むコネ
クション許可情報をコネクション許可情報保持手段に設
定するステップと、任意のネットワークセグメント上のサーバ側ノードから
ターゲットとなるノードアドレスとポート番号とを含む
他のネットワークセグメントへのコネクション要求を受
けた場合に、当該要求中の前記ノードアドレスとポート
番号との組を含む前記コネクション許可情報が前記コネ
クション許可情報保持手段に存在するか否かを判定する
ステップと、前記コネクション要求中の前記ノードアドレスとポート
番号との組を含む前記コネクション許可情報が前記コネ
クション許可情報保持手段に存在すると判定された場合
には当該コネクション要求を許可し、存在しないと判定
された場合には当該コネクション要求を拒絶するステッ
プと、前記コネクション要求中の前記ノードアドレスとポート
番号との組を含む前記コネクション許可情報が前記コネ
クション許可情報保持手段に存在すると判定された場
合、前記コネクション許可情報保持手段上の当該コネク
ション許可情報を無効化するステップとを実行させるた
めのファイアウォール制御プログラムを記憶したコンピ
ュータ読み取り可能な記憶媒体。
【請求項１３】少なくとも１つのノードが接続された
ネットワークセグメントを複数有するコンピュータネッ
トワークシステム内に前記各ネットワークセグメント毎
に設けられ、当該ネットワークセグメントと他のネット
ワークセグメントとの間を接続するネットワーク接続装
置に、前記ネットワーク接続装置が属する前記ネットワークセ
グメント上のクライアント側ノードから当該ノードのノ
ードアドレスとポート番号とを含むコネクション許可設
定要求を受けた場合に、当該ノードアドレスとポート番
号とにより特定されるポートへのコネクションを許可す
るための当該ノードアドレスとポート番号とタイムアウ
ト時刻とを含むコネクション許可情報をコネクション許
可情報保持手段に設定するステップと、任意のネットワークセグメント上のサーバ側ノードから
ターゲットとなるノードアドレスとポート番号とを含む
他のネットワークセグメントへのコネクション要求を受
けた場合に、当該要求中の前記ノードアドレスとポート
番号との組を含む前記コネクション許可情報が前記コネ
クション許可情報保持手段に存在するか否かを判定する
ステップと、前記コネクション要求中の前記ノードアドレスとポート
番号との組を含む前記コネクション許可情報が前記コネ
クション許可情報保持手段に存在すると判定された場合
には当該コネクション要求を許可し、存在しないと判定
された場合には当該コネクション要求を拒絶するステッ
プと、前記コネクション許可情報保持手段を定期的に探索し、
当該コネクション許可情報保持手段に保持されている前
記コネクション許可情報のうち前記タイムアウト時刻を
経過したコネクション許可情報を無効化するステップと
を実行させるためのファイアウォール制御プログラムを
記憶したコンピュータ読み取り可能な記憶媒体。