JP2003505934A - 安全なネットワーク・スイッチ - Google Patents

Abstract

(57)【要約】 ネットワーク内におけるパケットのフローを制御する手段を有する安全なネットワーク。一実施形態では、このネットワークは、ＬＡＮスイッチで共に結合された複数のネットワーク装置を含む。各ネットワーク装置は、ＬＡＮのポートに物理的に接続されている。各ポートは、そのポートに到着するパケットの少なくとも一部分を受け取り、そのパケットがそのポートを通過して宛先アドレスに経路指定されることが許可されているかどうかを判定するパケット・フィルタを有する。フィルタは、パターン照合または他の技法を使用して、パケットが該当のアクセス規則を満たすかどうかを判定することができる。アクセス規則は、システム管理者によって決定され、フィルタによって実装するためにＬＡＮスイッチにダウンロードされる。各フィルタは、異なる１組のアクセス規則を実装することができ、また、選択されたネットワーク装置に対するアクセス・レベルを設定するため、または特定の装置を分離するために管理者がこのフィルタを使用することができる。

Description

【発明の詳細な説明】

【０００１】 （発明の背景） （１． 発明の分野） 本発明は、コンピュータ・ネットワークに関し、より詳細には、個々のコンピ
ュータとネットワークのその他の部分の間におけるアクセスを制御するため、ネ
ットワーク内のＬＡＮスイッチを介して伝送されるデータ・パケットをフィルタ
リングする手段に関する。

【０００２】 （２． 関連技術の説明） コンピュータ技術の急速な進展とその技術のコストの低下により、コンピュー
タおよびコンピュータ・ネットワークが広汎に使用されるようになってきた。同
様に、組織は、自らのネットワークの外部のコンピュータとの通信をますます利
用している。例えば、組織は、研究を行うため、電子メールを送るため、また１
つのロケーションから別のロケーションにファイルを転送するためにＷｏｒｌｄ
Ｗｉｄｅ Ｗｅｂに対するアクセスを必要とする。同様に、マーケティング・
キャンペーンを行うため、情報を配布するため、または企業と潜在的顧客の間の
接触ポイントを確立するためにウェブ・ページが使用される。このように、組織
の自らのネットワークの外部にあるコンピュータ・システムおよびコンピュータ
・ネットワークにますます接触しているため、セキュリティがますます大きな関
心事となっている。外部エンティティに対してネットワークを解放しておくので
、無許可のアクセスやそのネットワークに対する攻撃など、不正行為のための多
くの機会を提供する。

【０００３】 セキュリティの心配が高まるにつれ、企業がその内部ネットワークと他の外部
ネットワークの間にファイアウォールを実装することがますます一般的になって
いる。実際、ファイアウォールは、一般的に、インターネットに接続されている
どの企業ネットワークにとっても必需品であると考えられている。ファイアウォ
ールは、会社または企業が使用するネットワークと外部ネットワークの間の障壁
の役割を果たしている。ファイアウォールは、すべてのデータが内部ネットワー
クに入るにはまずそこを通過しなければならない検査ポイントとして働く。デー
タは、ファイアウォールに達すると、検査されて、内部ネットワークに対するア
クセスが許可される１つまたは複数の規則を満たしているかどうかが判定される
。これらの規則は、システム管理者によってファイアウォール内にプログラムさ
れている。ファイアウォールは、多くの無許可のアクセスを防ぐ、またはネット
ワークの外部から試みられる可能性がある攻撃さえ防ぐ便利な方法である。ファ
イアウォールは、通常、企業ネットワークと外部ネットワークの間にある唯一の
通信回線上に実装される。かくして、システム管理者は、到着パケットをそこで
自らが検査し、アクセス規則を実施し、無許可の活動を監視する中央ポイントを
有することになる。

【０００４】 ファイアウォールは、多くのセキュリティの利点を提供するが、欠点も有して
いる。そのような１つの欠点は、一度、無許可のアクセスがシステムに対して行
われると、ファイアウォールは、そのアクセスによって引き起こされる可能性が
ある損害を抑えるためにはどうすることもできないことである。また、ファイア
ウォールは、単にそのファイアウォールの裏をかくアクセスを防止することもで
きない。例えば、ある企業ネットワーク・ユーザに、そのネットワークから外部
システムに直接にダイヤルすることが許されている場合、この接続を介して通過
するデータは検査されず、ファイアウォール・アクセス規則が適用されない。ま
た、ファイアウォールは、ネットワーク・ユーザが外部ソースからウイルスに感
染したフロッピー（登録商標）・ディスクを持ち込み、それをネットワーク上に
ロードすることに対しても、何もできない。ウイルスがネットワーク上の１つの
コンピュータに感染した場合、そのウイルスは、ファイアウォールを通過する必
要なしにネットワークのその他の部分に広がることができる。さらに、ファイア
ウォールは、そのファイアウォール内にある敵意のあるマシンの侵入によって引
き起こされる可能性がある損害も防ぐことができない。

【０００５】 （発明の概要） 前述した問題の１つまたはいくつかが、本発明の様々な実施態様によって解決
できる。本発明は、企業用コンピュータ・ネットワーク内で、そのネットワーク
内のデータ・パケットのフローを制御する手段を実装する。（本明細書で使用す
る「企業用」とは、ビジネスまたは企業が使用するネットワークを意味する。こ
れは、参照ポイントを示すためであり、特定のタイプのネットワークを示すこと
を表すものではない。）これらの手段は、企業ネットワークとインターネットな
どの外部ネットワークの間だけのパケット・フローを制御するファイアウォール
とは独立して実装される。したがって、無許可のパケットがファイアウォールを
破った、またはどのようにか裏をかいた場合でさえ、それらのパケットが企業ネ
ットワーク上の装置に影響を与えるのを本発明によって防止することができる。

【０００６】 一実施態様では、いくつかのコンピュータが、ＬＡＮ（ローカル・エリア・ネ
ットワーク）スイッチによってネットワーク内で互いに結合される。（特に指定
がなければ、本明細書でネットワークと関連して使用する「コンピュータ」とい
う用語は、ネットワークに接続することが可能であり、またパケットを送信およ
び／または受信するように構成された任意の装置、例えば、ワークステーション
、プリンタ、ファイル・サーバ、モデム・サーバ、ルータ等を指す。同様に、「
ＬＡＮスイッチ」という用語は、スイッチ、ルータ、ハブなど、ネットワーク上
の装置に関する任意のタイプのインターフェース装置を指す。）ＬＡＮスイッチ
は、いくつかの物理ポートを有し、コンピュータのそれぞれが、これらのポート
の１つに接続されている。パケット・フィルタが、これらのポートのそれぞれに
関連している。パケット・フィルタは、ポートを通って関連するコンピュータに
出入りすることが許可されるタイプのパケットと許可されないタイプのパケット
を決める。パケットがポートの１つによって受信されたとき、関連するフィルタ
を使用し、そのパケットを宛先のコンピュータに伝送すべきか、それとも他の何
らかの処置をとるべきかを（例えば、パケット照合により）判定する。この代替
処置は、そのパケットをドロップすること、そのパケットを別のポートに再経路
指定すること、または単にそのパケットのことをシステム管理者に通知すること
から成ることが可能である。これにより、ポートを使って、そのそれぞれの回線
およびそこに結合されているコンピュータに対するアクセスを物理的に制御する
ことができる。

【０００７】 一実施態様では、パケット・フィルタは、パケットの通常の処理（例えば、ア
ドレス指定）と並行してパケットを走査する。この通常処理の典型は、パケット
に関する宛先アドレスを決定することである。フィルタは、パケット照合（パケ
ット内のあるフィールドを所定パターンと比較すること）を行い、そのパケット
が許可されているかどうかを判定することができる。パケットが許可されていな
いと判定された場合、フィルタは信号をＬＡＮスイッチに送り、そのパケットが
ＬＡＮスイッチを超える前にドロップまたは再経路指定できるようにする。通常
の処理と並行してパケット・フィルタリングを行うことにより、ネットワーク内
のオーバーヘッドおよび遅延が最小限に抑えられる。

【０００８】 一実施態様では、各パケット・フィルタは、ＬＡＮスイッチ上で動作するソフ
トウェア・エグゼクティブによってプログラムされる。ネットワーク管理者は、
それぞれのパケット・フィルタごとに許可をダウンロードすることができる。ネ
ットワーク管理者は、これにより、ファイアウォール内におけるのと同様にポー
トのそれぞれでアクセスを制御することができる。パケットは各ポートで独立に
フィルタリングされるので、ネットワーク管理者は、各コンピュータごとに異な
るようにアクセス規則を構成することができる。これにより、ネットワーク管理
者は、異なるユーザのクラスを組織したり、または個々のコンピュータをネット
ワークの他の部分から分離することさえできる。

【０００９】 本発明の他の目的および利点は、以下の詳細な説明を読み、添付の図面を参照
すれば明らかになるであろう。

【００１０】 本発明には、様々な変更態様および代替の形態があり得るが、その特定の実施
形態を図面に例として示し、本明細書で詳細に説明する。ただし、図面およびそ
の詳細な説明は、本発明を開示する特定の形態のみに限定するものではない。そ
うではなくて、本発明は、添付の特許請求の範囲によって定義される本発明の趣
旨および範囲に含まれるすべての変更形態、等価形態、および代替形態をカバー
する。

【００１１】 （好ましい実施形態の詳細な説明） 本発明の一実施形態を以下に詳細に説明する。この実施形態は、相互接続され
たコンピュータのネットワーク内で実装される。コンピュータのそれぞれは、Ｌ
ＡＮスイッチを介してこのネットワークに接続されている。（本明細書で使用す
る「ＬＡＮスイッチ」は、パケットをネットワーク内のコンピュータに転送する
任意の装置を意味する。）ＬＡＮスイッチは、コンピュータが接続されるいくつ
かのポートを有する。ネットワーク上のコンピュータの１つにパケットが送られ
るとき、そのパケットは、まず、ＬＡＮスイッチに送られる。ＬＡＮスイッチは
、そのパケットを処理し、そのパケットが通常に経路指定される場合、次にどこ
に送るべきかを判定する。

【００１２】 この通常の経路指定に加えて、ＬＡＮスイッチはパケットを検査し、それが通
常に経路指定すべきかどうかを判定する必要がある。したがって、ＬＡＮスイッ
チは、各ポートにフィルタを含む。フィルタは、パケット内のあるビットの状態
に対して適用される。特定のコンピュータまたは一群のコンピュータを宛先とす
るパケット内で特定の状態は許可されるが、他の状態は許可されない。ビットが
許可された状態にある場合、そのパケットは、宛先コンピュータに通常の形で経
路指定される。ビットが許可されない状態にある場合、そのパケットは通常の形
で経路指定されない。例えば、そのパケットは、単にドロップされたり、または
別のコンピュータに再経路指定されるであろう。別の例としては、宛先コンピュ
ータにパケットを経路指定し、そのパケットをシステム管理者に通知するように
してもよい。

【００１３】 一実施形態では、ＬＡＮスイッチは、フィルタを制御するソフトウェア・エグ
ゼクティブを実行する。システム管理者は、ソフトウェア・エグゼクティブを使
用し、各コンピュータごとにフィルタを構成する。フィルタを個々に構成し、異
なるコンピュータに異なるアクセス規則を対応させるようにすることができる。
システム管理者は、これにより、ネットワーク・リソースに対して異なるアクセ
ス・レベルを有するいくつかの群にコンピュータを組織化したり、あるコンピュ
ータに対する特定の処置を制限し、または個々のコンピュータに特定して関係す
る問題に対処するためにそれらのコンピュータを分離することもできる。

【００１４】 図１は、コンピュータ・ネットワーク１０を示すブロック図である。ネットワ
ーク１０は、いくつかのコンピュータ１２〜１４を含み、そのそれぞれがＬＡＮ
スイッチ１１に結合されている。コンピュータは、ポート１５〜１７を介してＬ
ＡＮスイッチに結合されている。また、ネットワーク１０は、コンピュータ２２
および２３も含み、これらは、第２のＬＡＮスイッチ２１および関連ポート２４
〜２６を介してＬＡＮスイッチ１１に結合されている。ネットワーク１０は、Ｌ
ＡＮスイッチ１１、ポート１９、およびファイアウォール２１を介して外部ネッ
トワークに結合されている。多くの場合、外部ネットワークは、インターネット
である。異なるタイプの多くのネットワーク装置が当分野の技術者には知られて
おり、コンピュータ１２〜１４および２２、２３に加えて、またはそれらの代り
に任意のそのような装置をネットワークに結合することができる。さらに、ネッ
トワーク１０は多くの可能なネットワーク構成のうちの１つであり、本発明はそ
れらの可能な構成のどの構成にも実装することが可能である。ネットワーク１０
は、それ自体、いくつかのネットワークを備えることが可能である。例えば、図
１は、２つの下位ネットワークから構成され、その一方は、ＬＡＮスイッチ１１
およびコンピュータ１２〜１４によって形成され、他方は、ＬＡＮスイッチ２１
およびコンピュータ２２、２３によって形成されているネットワークを示す。

【００１５】 コンピュータ１２〜１４は、パケット交換プロトコルを使用して互いに通信す
ることができ、また他のネットワーク上のコンピュータと通信することができる
。（前述したとおり、「コンピュータ」は、様々なタイプのネットワーク装置を
含む。）パケット交換プロトコルは、２つのコンピュータ間で送られる情報がパ
ケットに分割されることを必要とする。次に、これらのパケットがコンピュータ
間で伝送される。これは、情報をまずパケット化せずに伝送することのできるコ
ンピュータ間の専用接続を確立する回線交換プロトコルとは対照的である。パケ
ット交換プロトコルを使用するネットワークは、２つのコンピュータ間で、物理
接続ではなく仮想接続を確立することができる。仮想接続では、中間回線がパケ
ットの伝送専用である必要はない。したがって、情報のパケット化により、その
回線をふさいで他のコンピュータ間の通信を妨げることなしに、多くの中間ネッ
トワークを介して情報を送ることが可能となる。

【００１６】 ２つのコンピュータ間で伝送される情報は、パケットに分割されるので、送信
元と宛先の間のコンピュータは、パケットをどこに送るかを判定する何らかの方
策を有していなければならない。多くのネットワークでは、ＩＰ（インターネッ
ト・プロトコル）アドレスまたはＴＣＰ／ＩＰ（トランスポート制御プロトコル
／インターネット・プロトコル）アドレスが使用される。ＩＰアドレスは、ピリ
オドで分離された４バイトを含む（例えば、「０１２．１２３．２３４．００１
」）。このアドレスは、特定のコンピュータを指定すること、または特定のネッ
トワークを指定することができる。後者の場合には、ネットワークが、パケット
をネットワーク上の正しい装置に正しく経路指定する手段を提供することになる
。ＴＣＰプロトコルはＩＰプロトコルよりもわずかに高いレベルに存在し、メッ
セージ内のバイトのすべてが宛先装置で受信されることを確保する手段を備えて
いる。ＴＣＰプロトコルは、あるメッセージ内のバイトを順序付け、損失したバ
イトの再伝送を行う。

【００１７】 図２は、送信元コンピュータ４０から宛先コンピュータ４１に至るパスを形成
する一連の相互接続されたコンピュータ（つまりネットワーク）を示す。この図
では、送信元コンピュータおよび宛先コンピュータは、それぞれ、別の装置４２
、４３を介して他方のコンピュータに接続されているように描かれている。この
議論では、装置４２および４３はファイアウォールであると想定する。こられの
装置は、他の実施形態では、ＬＡＮスイッチやコンピュータなど他の装置とする
こともできる。破線は、送信元ネットワーク４４と宛先ネットワーク４５の境界
を示している。送信元コンピュータ４０がパケットを別のコンピュータに送りた
とき、このパケットは、通常、いくつかの中間コンピュータ５１〜５５によって
経路指定される。これらの中間コンピュータは、通常、ルータである。（「ルー
タ」は、特定のタイプのパケット転送装置を指すのに使われる場合があるが、本
明細書で使用するこの用語は、コンピュータ間でパケットを経路指定または転送
する働きをする任意の装置を意味する。）これらのルータはパケットの宛先アド
レスを検査し、そのパケットが送られる次のルータを決定する。このプロセスが
メッセージ内の各パケットごとに反復される。通常、このプロセスは、各パケッ
トごとに独立に行われ、単一のメッセージに対応するパケットがいくつかの異な
る経路上で送信元コンピュータから宛先コンピュータまで伝送できるようになる
。例えば、１つのパケットが、送信元ネットワークから５４、５３、５５を介し
て宛先ネットワークに渡され、別のパケットが、５１から５２を介して４５まで
渡されることがある。パケットは宛先ネットワークに到着すると、宛先コンピュ
ータに向けられる。宛先コンピュータで、パケットは元のメッセージに再構成さ
れる。

【００１８】 パケットは、この場合はファイアウォールを使用している宛先ネットワークに
到達したときは、まずファイアウォールを通過しないと宛先コンピュータに送る
ことができない。ファイアウォールは、通常、ネットワークに到着したパケット
を検査し、それらのパケットがネットワーク内で配布されることが許可されてい
るかどうかを判定するタスクを専用に行うコンピュータである。ファイアウォー
ルは、様々な技法を使用し、無許可のパケットがネットワークにアクセスするの
を防止することができる。これらの技法には、パケット・フィルタの使用、アプ
リケーション・ゲートウェイの使用、および回線レベル・ゲートウェイの使用が
含まれる。ファイアウォールは、望ましくないアクセスからシステムを保護する
際に非常に有効となり得るが、この保護は絶対確実ではなく、ネットワーク内に
無許可のパケットが導入される可能性がある。パケットが一旦ファイアウォール
を破ると、ファイアウォールは、そのパケットがネットワーク内で自由に伝送さ
れるのを防止するのには全く無力である。また、ファイアウォールは、ネットワ
ーク内のユーザが、電話回線を介して外部にダイヤルしたり、または可搬媒体（
例えば、フロッピー・ディスク）を使用してネットワーク上に無許可のファイル
をダウンロードしたりすることによってファイアウォールを回避するのを防止す
ることができない。したがって、この実施形態では、ネットワーク内部のトラフ
ィックのすべてがそれを介して経路指定される、１つまたは複数のＬＡＮスイッ
チ内に本発明が実装される。

【００１９】 パケットは、ファイアウォールを通過した後、ＬＡＮスイッチによってネット
ワーク上の適切なコンピュータに経路指定されなければならない。ＬＡＮスイッ
チは、そのパケットを受け取ったとき、それを処理し、他の経路指定装置内にお
ける場合と同じ様にそのパケットの宛先アドレスを決定しなければならない。パ
ケットを経路指定することに加えて、ＬＡＮスイッチは、ファイアウォールの機
能と同様の働きをし、あるパケットを拒否または再経路指定し、また別のパケッ
トが通過するのを許可する。ＬＡＮスイッチは、これにより、ネットワーク内の
パケットのフローを制御する。ネットワーク上のコンピュータは、スイッチを介
して互いに接続されているので、それが接続されている各コンピュータへの、ま
たそこからのパケット・フローを制御することができる。したがって、無許可の
パケットが（ファイアウォールの裏をかくことにより、またはそれを破ることに
より）ファイアウォールを通過した場合でも、パケットは、ＬＡＮスイッチのア
クセス規則を満たさないと、ネットワーク内の１つの装置から別の装置に伝送さ
れることができない。

【００２０】 図３ａは、パケット・フィルタリングＬＡＮスイッチの１つのポートを示す機
能ブロック図である。ＬＡＮスイッチ３０は、パケットを処理し、ネットワーク
上でのそのそれぞれの宛先を決定するための回路３１を含む。また、ＬＡＮスイ
ッチ３０は、パケットを検査し、それらがその宛先に経路指定されることが許可
されているかどうかを判定するフィルタ回路３２も含む。フィルタリングが分散
式であるため（フィルタリングは、ＬＡＮスイッチの各ポートで行われる）、フ
ィルタ回路３２は、ファイアウォール内で実装されるものよりも簡単なアクセス
規則を実装することができる。言い換えれば、各フィルタが単一のコンピュータ
に対するアクセスを制御するので、そのコンピュータに関係のある規則だけを実
装すればよい。これらの単純化されたアクセス規則は、多くの点で、ファイアウ
ォールのアクセス規則と同じ程度に有効である。というのは、単一のフィルタ内
で実装する規則は、そのフィルタに関連する単一のコンピュータに合せて調整す
ることができるからである。また、フィルタリングが分散式であるため、ネット
ワークが容易にスケーラブルになる。言い換えれば、ネットワークにコンピュー
タが追加されるにつれ、それに対応するフィルタを追加してフィルタリング作業
負荷を処理する。ＬＡＮスイッチのポート間にフィルタリングを分散させると、
ネットワーク内で大量のトラフィックをフィルタリングすることが可能となる。
（ネットワーク内部に集中式ファイアウォール型システムを実装すると、パフォ
ーマンスが低下する可能性がある。ファイアウォールは、ネットワークに入るま
たはそこから出るパケットをフィルタリングするのにより適しており、これらの
パケットは、一般に、ネットワーク内部におけるよりもずっと少ない量のトラフ
ィックを含む。）

【００２１】 図３ａに示すとおり、ＬＡＮスイッチのポートに到達する到着パケットは、ア
ドレス処理回路３１とフィルタリング回路３２の両方に送付される。（他の実施
形態は、フィルタリング回路３２に対して、パケットの一部分だけ（例えば、パ
ケット・ヘッダ）を送るようにすることも企図される。）この図は、ポート３０
から出てコンピュータに向うものとしてパケットを描いているが、このシステム
は、発信パケットまたは到着パケットのどちらにも適用することができる。パケ
ットは、通常のアドレス処理と並列してフィルタリングされる。この結果、フィ
ルタリングを行うのに必要な時間が、通常のアドレス処理に必要とされる時間と
重なり合う。したがって、フィルタリングに関連するオーバーヘッドが低減され
る。（パケットのフィルタリングは、図３ｂおよび３ｃに示すとおり、アドレス
処理と直列に行うこともできるが、これは、より高いオーバーヘッドをもたらし
、したがって、好ましい実施形態ではない。図３ｂおよび３ｃは、アドレス回路
の前または後に直列フィルタ回路を配置できることを示している。）

【００２２】 アドレス処理回路３１は、その出力をスイッチング回路３３に提供する。スイ
ッチング回路３３は、本発明がなければ、アドレス処理回路３１からの宛先アド
レスを使用してパケットをその宛先に送ることになる。ただし、パケットの送付
は、フィルタリング回路３２の出力によって条件付けられる。フィルタリング回
路３２は、パケットに適切な規則を適用し、信号をスイッチング回路３３に提供
する。パケットがその宛先に送られることが許可されている場合、それに対応す
る信号がスイッチング回路３３に入力され、パケットは、通常のように宛先に転
送される。パケットが許可されていない場合、異なる信号がフィルタリング回路
３２によって生成される。この信号を受信すると、スイッチング回路３３は、な
んらかの代替の処置をとる。この代替の処置は、無許可のパケットの存在に関連
する適切な処置なら何でもよく、そのパケットをドロップすること、そのパケッ
トを代替の宛先に再経路指定すること、システム管理者に通知すること、または
同様の処置を含むことが可能である。無許可のパケットに対して選択される処置
は、パケットの特定の宛先、パケットのタイプ、そのパケットに関連するアプリ
ケーションまたは他の情報に応じて変わることも可能である。

【００２３】 各ポートでのアドレス回路およびフィルタリング回路は、通常、ポートのスル
ープットを最大にするために最小限に抑えられているので、ＬＡＮスイッチ内の
ＣＰＵ（図３ｄ参照）にいくつかの複雑な動作が委ねられる。例えば、フィルタ
回路は、通常、パターン照合を行うのに十分であるが、より高度のフィルタリン
グ規則の実装はその能力を超えている。フィルタ回路は、ポート３０のうちの１
つで、自らの認識しない、または適切にフィルタリングできないパケットを受け
取った場合、そのパケットを処理のためにＣＰＵ３５に送ることができる。次に
、ＣＰＵ３５は、そのそれぞれのポートから適切な信号をフィルタ回路またはス
イッチング回路に送り、パケットを処理することができる。また、ポート内の回
路は、パケットの処理に関して行うことができる処置（例えば、パケットの転送
またはドロップ）が制限されていることもあり、より複雑な処置をＣＰＵに委ね
てもよい。

【００２４】 図４は、ＬＡＮスイッチの動作を示す流れ図である。この図は、本発明の一実
施形態におけるＬＡＮスイッチの動作をまとめて示したものである。パケットを
ＬＡＮスイッチのポートが受け取ると６０、その宛先アドレスを決定するための
処理６１と、そのパケットがポートのアクセス規則を満たすかどうかの判定６２
を行うためのフィルタリングを同時に行う。パケットがアクセス規則を満たし６
３、転送されることが許可されている場合、パケットがフィルタリングされなか
った場合と同じように、ＬＡＮスイッチはパケットをその宛先に転送する６４。
パケットがアクセス規則を満たさず６３、したがって許可されない場合、そのパ
ケットはドロップされる６５。別の実施形態では、様々な方法で無許可のパケッ
トを処理することができる。例えば、それらのパケットを代替の宛先に再経路指
定することができ、あるいは、それらのパケットを宛先アドレスにあるコンピュ
ータに転送し、そのパケットの通知をシステム管理者に送ることがもできる。

【００２５】 一実施形態では、ＬＡＮスイッチ内のフィルタリング回路は、プログラマブル
である。ネットワーク管理者が、フィルタ内で適用されるべきアクセス規則を決
定し、それらの規則をそのフィルタ内にプログラミングする。これらのフィルタ
リング規則は、パケットのヘッダ内の情報に基づく。この情報が使用されるのは
、それがパケットの通常の転送で入手可能だからである。この情報には、ＩＰ送
信元アドレスおよびＩＰ宛先アドレス、カプセル化されたプロトコル（例えば、
ＴＣＰ）、ＴＣＰ／ＩＰ送信元ポートおよびＴＣＣＰ／ＩＰ宛先ポート、ＩＣＭ
Ｐ（インターネット制御メッセージ・プロトコル）メッセージ型、ならびにパケ
ットの到着インターフェースおよび発信インターフェースが含まれるであろう。
フィルタリング規則は、様々なタイプおよび実装形態のものでよい。例えば、規
則は、サービス依存型（例えば、あるコンピュータにだけ到着ＦＴＰセッション
を許可する）でも、サービス非依存型（内部ＩＰアドレスを有するが、外部ポー
ト上に現れるパケットはドロップする）でもよい。

【００２６】 一実施形態では、フィルタは、Ｊａｖａ（登録商標）プログラミング言語を使
用して実装される。Ｊａｖａがこの実装形態のために選択されるのは、多くのプ
ラットフォーム用のＪａｖａ仮想マシンが存在し、したがって、Ｊａｖａアプリ
ケーションがこれら多くのプラットフォーム上で動作できるからである。したが
って、Ｊａｖａベースのフィルタリング・アプリケーションは、ある程度のプラ
ットフォーム中立性および／またはベンダ中立性を有する。（ただし、フィルタ
リング・アプリケーションは、適切な任意のプログラミング言語を使用できるこ
とが企図される。）この実装形態では、ソフトウェア・エグゼクティブがフィル
タリング回路３２内で実行される。ソフトウェア・エグゼクティブは、システム
管理者が規則を実装するためのフレームワークを提供するアプリケーションであ
る。システム管理者は、ＬＡＮスイッチに入ってくるパケットにどの規則が適用
されるべきかを決め、またソフトウェア・エグゼクティブと協働してこれらの規
則を実装するＪａｖａアプレットを構成する。（アプレットは、小さいＪａｖａ
アプリケーションである。）Ｊａｖａアプレットは、ネットワーク上にあるコン
ピュータのうちの１つからＬＡＮスイッチに、システム管理者によってダウンロ
ードされる。次に、パケットがフィルタリングされなければならないとき、この
アプレットがソフトウェア・エグゼクティブによって呼び出される。

【００２７】 本発明の様々な実施形態により、ユーザは、本発明を組み込んでいないネット
ワーク内で見られる問題を克服することができる。例えば、前述したとおり、送
信元コンピュータから宛先コンピュータに経路指定されたパケットは、それらの
コンピュータ間にあるいくつかのネットワークを横断しなければならない可能性
がある。パケットのうちの１つがこれらのネットワークのうちの１つに到着する
たびに毎回、ネットワーク（すなわち、ネットワーク内のルータ）は、そのパケ
ットのアドレス情報を読み取り、さらなる転送のためにそのパケットが送られる
先の中間装置を決定しなければならない。パケットがどこに送られるべきかの決
定は、他のコンピュータから経路指定装置に提供される情報に基づく。これらの
コンピュータのうち１つが、経路指定装置に不正確な情報を提供した場合、パケ
ットは、間違って経路指定される可能性がある。

【００２８】 特定のアドレスを有するが、そのアドレスとは異なるアドレスを有すると他の
装置にブロードキャストするコンピュータは珍しいことではない。ルータが、こ
の情報によって、宛先コンピュータに至る最短経路が、この誤ったアドレスをブ
ロードキャストするコンピュータを通ると判定することがある。その場合、ルー
タは、提供された誤ったアドレスを使用してこのコンピュータにパケットを転送
する。しかし、誤った情報をブロードキャストしたコンピュータは、パケットが
転送されたアドレスを認識せず、そのパケットを単にドロップすることになる。
このシナリオでは、誤ったアドレス情報をブロードキャストしたコンピュータは
、実質的に、転送されたパケットが単にその中で消失するデッドエンドまたは「
ブラックホール」を作成したことになる。

【００２９】 システム管理者は、この問題に気付いた場合、さらなるパケットが失われるの
を防止するため、ネットワークのその他の部分からこの違反するコンピュータを
分離したいと望む可能性がある。本発明の一実施形態では、システム管理者は、
どの到着パケットまたは発信パケットもＬＡＮスイッチの関連するポートを通過
することが許可されないように、このコンピュータに関連するフィルタを構成す
ることができる。システム管理者は、これにより、そのコンピュータが誤ったア
ドレス情報を送るのを防止し、またパケットがそのコンピュータに渡されて失わ
れることも防止する。違反するコンピュータを分離するこの方法はまた、そのコ
ンピュータに対する物理アクセスを必要としないという利点も有する。この分離
は、そのコンピュータに関連するフィルタの再構成によって達せられる。コンピ
ュータが鍵のかかった部屋または建物内にある状況では、これが、そのコンピュ
ータを分離するための唯一の手段である可能性がある。

【００３０】 別の例として、多くの会社は、様々なプロジェクトに関して作業を行うのに下
請け業者を雇う。この作業には、会社のネットワーク上のコンピュータの使用、
またはそれに対するアクセスを必要とするソフトウェア開発、設計分析、または
他のタスクが含まれる可能性がある。しかし、会社は、下請け業者によって行わ
れるタスクに関連しないアプリケーションまたはデータに、これらの下請け業者
がアクセスを有するのを望まないであろう。本発明の一実施形態では、システム
管理者は、機密のデータまたは機密のアプリケーションに対するアクセスを防止
するように、下請け業者が使用するコンピュータに関連するフィルタを構成する
ことができる。例えば、センシティブなデータを含むコンピュータに関連するフ
ィルタは、下請け業者が使用するあるコンピュータから受け取ったパケットをド
ロップするように構成することができる。同様に、これらのコンピュータにパケ
ットが送られるのを防止するようにフィルタを構成することもできる。ＬＡＮス
イッチ上のフィルタを適切に構成することにより、システム管理者は、下請け業
者、従業員、幹部、または他のシステム・ユーザに対して様々な特権レベルを設
定することができる。

【００３１】 本発明を特定の実施形態に関連して説明してきたが、これらの実施形態は例示
したものであり、本発明の範囲はそれだけに限定されていないことを理解された
い。記載した実施形態に対するどのような変形、変更、追加、および改良も可能
である。これらの変形、変更、追加、および改良は、頭記の特許請求の範囲に詳
述する本発明の範囲内に含まれることが可能である。

【図面の簡単な説明】

【図１】 本発明の一実施形態におけるコンピュータ・ネットワークを示すブロック図で
ある。

【図２】 送信元コンピュータから宛先コンピュータに至るまでパケットが通過するパス
を示す流れ図である。

【図３ａ】 本発明の一実施形態におけるパケット・フィルタリングＬＡＮスイッチの１つ
のポートを示す機能ブロック図である。

【図３ｂ】 本発明の代替実施形態におけるパケット・フィルタリングＬＡＮスイッチの１
つのポートを示す機能ブロック図である。

【図３ｃ】 本発明の代替実施形態におけるパケット・フィルタリングＬＡＮスイッチの１
つのポートを示す機能ブロック図である。

【図３ｄ】 本発明の一実施形態におけるパケット・フィルタリングＬＡＮスイッチのＣＰ
Ｕおよび複数のポートを示すブロック図である。

【図４】 本発明の一実施形態におけるＬＡＮスイッチの動作を示す流れ図である。

【手続補正書】特許協力条約第３４条補正の翻訳文提出書

【提出日】平成１３年３月１０日（２００１．３．１０）

【手続補正１】

【補正対象書類名】明細書

【補正対象項目名】特許請求の範囲

【補正方法】変更

【補正の内容】

【特許請求の範囲】

───────────────────────────────────────────────────── フロントページの続き (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ， ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，Ｉ Ｔ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＧＷ，ＭＬ， ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＧＭ，Ｋ Ｅ，ＬＳ，ＭＷ，ＭＺ，ＳＤ，ＳＬ，ＳＺ，ＴＺ，ＵＧ ，ＺＷ)，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ，ＭＤ， ＲＵ，ＴＪ，ＴＭ)，ＡＥ，ＡＧ，ＡＬ，ＡＭ，ＡＴ， ＡＵ，ＡＺ，ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，ＢＺ，Ｃ Ａ，ＣＨ，ＣＮ，ＣＲ，ＣＵ，ＣＺ，ＤＥ，ＤＫ，ＤＭ ，ＤＺ，ＥＥ，ＥＳ，ＦＩ，ＧＢ，ＧＤ，ＧＥ，ＧＨ， ＧＭ，ＨＲ，ＨＵ，ＩＤ，ＩＬ，ＩＮ，ＩＳ，ＪＰ，Ｋ Ｅ，ＫＧ，ＫＰ，ＫＲ，ＫＺ，ＬＣ，ＬＫ，ＬＲ，ＬＳ ，ＬＴ，ＬＵ，ＬＶ，ＭＡ，ＭＤ，ＭＧ，ＭＫ，ＭＮ， ＭＷ，ＭＸ，ＭＺ，ＮＯ，ＮＺ，ＰＬ，ＰＴ，ＲＯ，Ｒ Ｕ，ＳＤ，ＳＥ，ＳＧ，ＳＩ，ＳＫ，ＳＬ，ＴＪ，ＴＭ ，ＴＲ，ＴＴ，ＴＺ，ＵＡ，ＵＧ，ＵＺ，ＶＮ，ＹＵ， ＺＡ，ＺＷ (72)発明者 オーキン，ケン アメリカ合衆国・95070・カリフォルニア 州・サラトガ・ソベイ ロード・14880 (72)発明者 ラドゥケル，ウィリアム アメリカ合衆国・94304・カリフォルニア 州・パロ アルト・アレクシス ドライ ブ・3111 Ｆターム(参考） 5K030 GA15 HA08 HD03 HD06 LB05

Claims (20)

【特許請求の範囲】
1. 【請求項１】 複数のポートを有するネットワーク・インターフェース装置
   と、 前記ポートに結合された複数のネットワーク装置と、 各フィルタが前記ポートのうちの対応する１つに結合されて前記ポートのうち
   の前記１つに到着するデータ・パケットを受信する複数のフィルタとを備える安
   全なコンピュータ・ネットワークであって、 前記各フィルタは、前記データ・パケットを検査して前記データ・パケットが
   １組のアクセス規則を満たすかどうかを判定するように構成され、 前記各フィルタはさらに、前記データ・パケットが前記１組のアクセス規則を
   満たすかどうかを示す信号を前記ネットワーク・インターフェース装置に伝達す
   るように構成され、 前記ネットワーク・インターフェース装置が、前記各パケットが前記１組のア
   クセス規則を満たさないことを前記信号が示す前記データ・パケットのそれぞれ
   に関して、所定の処置をとるように構成されているネットワーク。
2. 【請求項２】 前記安全なネットワークと外部ネットワークの間にファイア
   ウォールをさらに備える請求項１に記載の安全なネットワーク。
3. 【請求項３】 前記ネットワーク・インターフェース装置が、前記パケット
   に対して処理を行い、前記処理は、各パケットを検査して対応する宛先アドレス
   を決定することを含む請求項１に記載の安全なネットワーク。
4. 【請求項４】 前記各フィルタは、前記ネットワーク・インターフェース装
   置によって行われる前記処理と並行して前記データ・パケットを検査するように
   構成されている請求項３に記載の安全なネットワーク。
5. 【請求項５】 前記各フィルタは、前記パケットに対するパケット照合を行
   うことにより、前記データ・パケットが１組のアクセス規則を満たすかどうかを
   判定するように構成されている請求項４に記載の安全なネットワーク。
6. 【請求項６】 前記所定の処置が、前記パケットをドロップすること、前記
   パケットを再経路指定すること、および前記パケットを報告することから成る一
   群の処置から選択される請求項１に記載の安全なネットワーク。
7. 【請求項７】 前記ネットワーク・インターフェース装置は、ソフトウェア
   ・エグゼクティブを実行するように構成され、前記フィルタの前記アクセス規則
   は、前記ネットワーク・インターフェース装置上で実行される前記ソフトウェア
   ・エグゼクティブにダウンロードされるプログラム・コードに従って設定される
   請求項１に記載の安全なネットワーク。
8. 【請求項８】 前記フィルタのうち第１のフィルタは、第１の１組のアクセ
   ス規則に従って前記ネットワーク装置のうち第１の装置に対するアクセスを提供
   し、前記フィルタのうち第２のフィルタは、第２の１組のアクセス規則に従って
   前記ネットワーク装置のうちの第２の装置に対するアクセスを提供し、前記第１
   の１組のアクセス規則は、前記第２の１組のアクセス規則とは異なる請求項１に
   記載の安全なネットワーク。
9. 【請求項９】 前記ネットワーク・インターフェース装置がＬＡＮスイッチ
   を備える請求項１に記載の安全なネットワーク。
10. 【請求項１０】 コンピュータ・ネットワーク内の装置間でアクセスを制御
    する方法であって、前記装置のそれぞれは、ＬＡＮスイッチの対応するポートに
    結合され、前記装置との通信が前記装置への、またそこからの情報パケットの伝
    送によって実現され、 各パケットを前記各パケットが前記ＬＡＮスイッチの前記ポートのうち１つに
    到着したときに検査すること、 前記各パケットが１つまたは複数のポート・アクセス規則を満たすかどうかを
    判定すること、 前記各パケットが前記１つまたは複数のポート・アクセス規則を満たす場合、
    前記各パケットを前記各パケットに関連する宛先アドレスに経路指定すること、
    および 前記各パケットが前記１つまたは複数のポート・アクセス規則を満たさない場
    合、所定の処置をとることを含む方法。
11. 【請求項１１】 前記各パケットが前記１つまたは複数のポート・アクセス
    規則を満たすかどうかを判定することと並行して、前記各パケットに関する経路
    指定情報を決定することをさらに含む請求項１０に記載の方法。
12. 【請求項１２】 前記所定の処置が、前記パケットをドロップすること、前
    記パケットを再経路指定すること、および前記パケットを報告することから成る
    一群の処置から選択される請求項１１に記載の方法。
13. 【請求項１３】 前記各パケットが前記１つまたは複数のポート・アクセス
    規則を満たすかどうかを判定することが、前記各パケットを１つまたは複数の所
    定ビット・パターンと照合して前記パターンが前記各パケットと一致するかどう
    かを判定することを含む請求項１２に記載の方法。
14. 【請求項１４】 前記ポート・アクセス規則は、前記装置のうち第１の装置
    に関連する第１の１組のポート・アクセス規則と、前記装置のうち第２の装置と
    関連する第２の１組のポート・アクセス規則とを含む請求項１２に記載の方法。
15. 【請求項１５】 ファイアウォールで前記パケットのうちの１つまたは複数
    を検査して前記１つまたは複数のパケットが１つまたは複数のファイアウォール
    ・アクセス規則を満たすかどうかを判定することを含む請求項１２に記載の方法
    。
16. 【請求項１６】 安全なコンピュータ・ネットワーク内でパケットの伝送を
    制御するためのＬＡＮスイッチであって、 それぞれが対応するネットワーク装置に結合されるように構成された複数のポ
    ートと、 それぞれが前記複数のポートのうち対応する１つに結合され、１つまたは複数
    のアクセス規則を満たすパケットを通過させ、前記１つまたは複数のアクセス規
    則を満たさないパケットの通過を妨げるように構成された複数のフィルタとを備
    えたスイッチ。
17. 【請求項１７】 前記フィルタのそれぞれが、前記複数のポートのうち第１
    のサブセットに関する第１の１組のアクセス規則と、前記複数のポートのうち第
    ２のサブセットに関する第２の１組のアクセス規則とを実装するようにシステム
    管理者によってプログラム可能である請求項１６に記載のＬＡＮスイッチ。
18. 【請求項１８】 前記複数のポートのそれぞれが、 前記パケットに関連する宛先アドレスを決定するように構成されたアドレス処
    理回路と、 前記パケットを経路指定するように構成されたスイッチング回路とを備える請
    求項１６に記載のＬＡＮスイッチ。
19. 【請求項１９】 前記フィルタのそれぞれは、前記パケットが前記アクセス
    規則を満たすかどうかを示す信号を生成し、前記信号を前記対応するポートの前
    記スイッチング回路に提供するように構成され、 前記スイッチング回路は、前記アクセス規則が満たされたことを前記信号が示
    す場合、前記パケットを前記宛先アドレスに経路指定し、また前記アクセス規則
    が満たされなかったことを前記信号が示す場合、代替の処置をとるように構成さ
    れている請求項１８に記載のＬＡＮスイッチ。
20. 【請求項２０】 前記代替の処置が、前記パケットをドロップすること、前
    記パケットを代替の宛先に経路指定すること、および前記パケットの通知を伝送
    することから成る一群から選択される請求項１９に記載のＬＡＮスイッチ。