JP2005020222A - Security gateway router apparatus and session table management method - Google Patents

Security gateway router apparatus and session table management method Download PDF

Info

Publication number
JP2005020222A
JP2005020222A JP2003180473A JP2003180473A JP2005020222A JP 2005020222 A JP2005020222 A JP 2005020222A JP 2003180473 A JP2003180473 A JP 2003180473A JP 2003180473 A JP2003180473 A JP 2003180473A JP 2005020222 A JP2005020222 A JP 2005020222A
Authority
JP
Japan
Prior art keywords
session
return direction
return
session table
communication packet
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2003180473A
Other languages
Japanese (ja)
Other versions
JP4131203B2 (en
Inventor
Masaru Shizume
大 鎮目
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NEC Corp
Original Assignee
NEC Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NEC Corp filed Critical NEC Corp
Priority to JP2003180473A priority Critical patent/JP4131203B2/en
Publication of JP2005020222A publication Critical patent/JP2005020222A/en
Application granted granted Critical
Publication of JP4131203B2 publication Critical patent/JP4131203B2/en
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Images

Abstract

<P>PROBLEM TO BE SOLVED: To improve the processing after the session is established in a security gateway router apparatus. <P>SOLUTION: A start direction session lookup section B-3 searches for return direction ACLT-4 at production of a start direction session table T-2 to judge the propriety of production of a return direction session table T-1. A session manager process C-1 receives processing of a start direction communication packet when the production of the return direction session table T-1 is judged and generates the start direction session table T-2 and the return direction session table T-1. A return direction ACL lookup process C-4 searches the return direction ACLT-4 in cooperation with the session manager process C-1. <P>COPYRIGHT: (C)2005,JPO&NCIPI

Description

【０００１】
本発明はセキュリティゲートウェイルータ装置およびセッションテーブル管理方法に関し、特にセッションテーブルを用いて動的ＮＡＴ／ＮＡＰＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ／Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｐｏｒｔ Ｔｒａｎｓｌａｔｉｏｎ）機能および動的パケットフィルタ機能を実現するセキュリティゲートウェイルータ装置およびセッションテーブル管理方法に関する。
【０００２】
【従来の技術】
ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）ネットワークにおいてＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）等の内部ネットワークとＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）等の外部ネットワークとの間に配備されるセキュリティゲートウェイルータ装置では、動的パケットフィルタ機能（ファイヤウォール機能），動的ＮＡＴ／ＮＡＰＴ（ネットワークアドレス／ポート変換）機能，ロードバランス（負荷分散）機能等の複数の機能が同時に要求される。
【０００３】
従来、これらの機能は、各々の装置または機能ブロックにより各々のセッションテーブル（レイヤ４レベルでの通信を管理するテーブル）を利用して実現されている。
【０００４】
図６は、従来のセキュリティゲートウェイルータ装置の一例を示すブロック図である。このセキュリティゲートウェイルータ装置は、戻り方向動的ＮＡＴ／ＮＡＰＴ部Ｄ−１と、戻り方向ＡＣＬ（ＡＣＣＥＳＳ ＣｏｎｔｒｏＬ Ｌｉｓｔ）ルックアップ部Ｄ−２と、戻り方向動的パケットフィルタ部Ｄ−３と、戻り方向ルータ部Ｄ−４と、開始方向ルータ部Ｅ−１と、開始方向動的パケットフィルタ部Ｅ−２と、開始方向ＡＣＬルックアップ部Ｅ−３と、開始方向動的ＮＡＴ／ＮＡＰＴ部Ｅ−４と、ＮＡＴ／ＮＡＰＴセッションマネージャプロセスＦ−１と、動的フィルタセッションマネージャプロセスＦ−２と、戻り方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−１と、戻り方向ＡＣＬＵ−２と、戻り方向フィルタセッションテーブルＵ−３と、開始方向フィルタセッションテーブルＵ−５と、開始方向ＡＣＬＵ−６と、開始方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−７とから構成されている。
【０００５】
次に、この従来のセキュリティゲートウェイルータ装置の動作について、図７のフローチャートを参照しながら説明する。
【０００６】
開始方向ルータ部Ｅ−１は、開始方向通信パケットの転送先を解決する。通信セッションは、開始方向ルータ部Ｅ−１により送信側プロセスに転送されてくる。
【０００７】
次に、開始方向動的パケットフィルタ部Ｅ−２は、開始方向フィルタセッションテーブルＵ−５を検索して（ステップＳ１０２）、開始方向通信パケットの通過可否を判断する。ここで、通信セッションの最初のパケット受信時には、開始方向フィルタセッションテーブルＵ−５にセッションエントリは存在しない。この場合、開始方向動的パケットフィルタ部Ｅ−２は、開始方向セッションテーブルＵ−２の検索の結果、セッションエントリ無しと判定し（ステップＳ１０３でノー）、ソフトウェアプロセスへパケット処理を引き渡す。具体的には、動的パケットフィルタセッションマネージャプロセスＦ−２がパケット処理を引き取る。
【０００８】
動的パケットフィルタセッションマネージャプロセスＦ−２は、動的パケットフィルタ機能が適用される場合（ステップＳ１１３でイエス）、ステート監視制御を行う（ステップＳ１１４）。
【０００９】
次に、動的パケットフィルタセッションマネージャプロセスＦ−２は、開始方向フィルタセッションテーブルＵ−５と、戻り方向通信を予測し評価して戻り方向フィルタセッションテーブルＵ−３とを生成してセッションエントリを登録する（ステップＳ１１５およびステップＳ１１６）。ここで、戻り方向通信パケットは、開始方向通信パケットのＩＰヘッダおよびＬ４ヘッダの転送先（Ｄｅｓｔｉｎａｔｉｏｎ）と転送元（Ｓｏｕｒｃｅ）とを逆転させたものとなる。例えば、開始方向通信パケットのヘッダがＩＰＤＡ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ｄｅｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓ）＝Ｂ，ＩＰＳＡ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ｓｏｕｒｃｅ Ａｄｄｒｅｓｓ）＝ａ，Ｐｒｏｔｏｃｏｌ＝ＴＣＰ，Ｌ４ＤＰ（Ｌａｙｅｒ ４ Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔ）＝ｄ，Ｌ４ＳＰ（Ｌａｙｅｒ ４ Ｓｏｕｒｃｅ Ｐｏｒｔ）＝ｃである場合、戻り方向通信パケットのヘッダはＩＰＤＡ＝ａ，ＩＰＳＡ＝Ｂ，Ｐｒｏｔｏｃｏｌ＝ＴＣＰ，Ｌ４ＤＰ＝ｃ，Ｌ４ＳＰ＝ｄとなる。
【００１０】
次に、開始方向ＡＣＬルックアップ部Ｅ−３は、開始方向ＡＣＬＵ−６の検索を行い、最初の開始方向通信パケットの送信可否を判断する（ステップＳ１０１）。（動的パケットフィルタ部Ｅ−２より先に処理してもよい）。
【００１１】
続いて、開始方向動的ＮＡＴ／ＮＡＰＴ部Ｅ−４は、必要に応じて送信可能な開始方向通信パケットに対して動的ＮＡＴ／ＮＡＰＴ処理を施す。最初の開始方向通信パケットに関しては、ネットワークアドレス／ポートが割り当てられていないため、開始方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−７にセッションエントリが無い（ステップＳ１０３でノー）。この際、開始方向動的ＮＡＴ／ＮＡＰＴ部Ｅ−４は、開始方向動的パケットフィルタ部Ｅ−２と同様な手順で、ソフトウェアプロセスであるＮＡＴ／ＮＡＰＴセッションマネージャプロセスＦ−１へ処理を引き渡す。
【００１２】
ＮＡＴ／ＮＡＰＴセッションマネージャプロセスＦ−１は、動的ＮＡＴ／ＮＡＰＴ機能の対象であれば（ステップＳ１１１でイエス）、ネットワークアドレス／ポートの割当てを行う（ステップＳ１１２）。
【００１３】
次に、ＮＡＴ／ＮＡＰＴセッションマネージャプロセスＦ−１は、開始方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−７および戻り方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−１を生成してセッションエントリを登録する（ステップＳ１１５およびステップＳ１１６）。開始方向通信パケットに関しては、ＩＰＳＡおよびＬ４ＳＰが変換されることになるため、開始方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−７は、ＩＰＤＡ＝Ｂ，ＩＰＳＡ＝ａ，Ｐｒｏｔｏｃｏｌ＝ＴＣＰ，Ｌ４ＤＰ＝ｄ，Ｌ４ＳＰ＝ｃで登録される。この際、開始方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−７から開始方向通信パケットのＮＡＴ／ＮＡＰＴ処理指示が検索可能なように設定する。ハードウェアは、開始方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−７を検索してネットワークアドレス／ポート変換を実施する。また、戻り方向通信パケットは、グローバルベースの通信に対する戻りであるため、ＩＰＤＡ＝Ａ，ＩＰＳＡ＝Ｂ，Ｐｒｏｔｏｃｏｌ＝ＴＣＰ，Ｌ４ＤＰ＝ｃ，Ｌ４ＳＰ＝ｄとなり、戻り方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−１より戻り方向通信パケットに対するＮＡＴ／ＮＡＰＴ指定がなされる。
【００１４】
最初の開始方向通信パケットが処理されると、開始方向フィルタセッションテーブルＵ−５および開始方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−７，ならびに戻り方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−１および戻り方向フィルタセッションテーブルＵ−３のセッションエントリが登録され、次の開始方向通信パケットからは開始方向フィルタセッションテーブルＵ−５および開始方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−７のセッションエントリ有りと判断され（ステップＳ１０３でイエス）、ハードウェアによる転送が行われる。
【００１５】
詳しくは、開始方向動的ＮＡＴ／ＮＡＰＴ部Ｅ−４は、開始方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−７より動的ＮＡＴ／ＮＡＰＴ情報を取得し（ステップＳ１０４）、動的ＮＡＴ／ＮＡＰＴ機能の対象であれば（ステップＳ１０５でイエス）、動的ＮＡＴ／ＮＡＰＴのエディット処理を行う（ステップＳ１０６）。
【００１６】
次に、開始方向動的パケットフィルタ部Ｅ−２は、開始方向フィルタセッションテーブルＵ−５よりステート情報を取得し（ステップＳ１０７）、動的パケットフィルタ対象であれば（Ｓ１０８でイエス）、ステートチェックおよび更新処理を行う（ステップＳ１０９）。
【００１７】
その後、開始方向動的ＮＡＴ／ＮＡＰＴ部Ｅ−４は、開始方向通信パケットを送信する（ステップＳ１１０）。
【００１８】
一方、戻り方向通信パケットについては、まず始めに、戻り方向ＡＣＬルックアップ部Ｄ−２が、グローバルアドレスベースで戻り方向ＡＣＬＵ−２の検索を行う（ステップＳ２０１）。戻り方向動的ＮＡＴ／ＮＡＰＴ部Ｄ−１の手前で戻り方向通信パケットに対してグローバルアドレスベース（受信時のパケット情報）にて戻り方向ＡＣＬＵ−２の検索が実施される。
【００１９】
戻り方向通信パケットで戻り方向ＮＡＴ／ＮＡＴＰセッションテーブルＵ−１のセッションエントリが無い場合は（ステップＳ２０３でノー）、戻り方向動的ＮＡＴ／ＮＡＰＴ部Ｄ−１は、この戻り方向通信パケットを拒否する（ステップＳ２０４）。
【００２０】
次に、戻り方向動的ＮＡＴ／ＮＡＰＴ部Ｄ−１は、戻り方向通信パケットに対してネットワークアドレス／ポート変換を行う。開始方向通信パケットが送信された際に戻り方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−１のセッションエントリが登録されているため（ステップＳ２０３でイエス）、戻り方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−１を検索して戻り方向動的ＮＡＴ／ＮＡＰＴ部Ｄ−１のアクションを解決する。戻り方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−１を検索すると、通信開始時に登録済みのセッションエントリにヒットする。ここには、開始方向通信に対して払い出したネットワークアドレス／ポートが戻り方向通信に対しても設定されている。具体的には、ＮＡＴ／ＮＡＰＴ実行，変換アドレス，および変換ポートがアクションテーブルに設定される。
【００２１】
戻り方向ＮＡＴ／ＮＡＴＰセッションテーブルＵ−１にセッションエントリがある場合は（ステップＳ２０３でイエス）、戻り方向動的ＮＡＴ／ＮＡＰＴ部Ｄ−１は、戻り方向通信パケットについてネットワークアドレス／ポート変換を行う。
【００２２】
詳しくは、戻り方向動的ＮＡＴ／ＮＡＰＴ部Ｄ−１は、戻り方向セッションテーブルＵ−１より動的ＮＡＴ／ＮＡＰＴ情報を取得し（ステップＳ２０５）、動的ＮＡＴ／ＮＡＰＴの対象であれば（ステップＳ２０６でイエス）、動的ＮＡＴ／ＮＡＰＴのエディット処理を行う（ステップＳ２０７）。
【００２３】
次に、戻り方向ＡＣＬルックアップ部Ｄ−２は、プライベートアドレスに変換した形で戻り方向ＡＣＬＵ−２の検索を実行する（ステップＳ２０８）。この際、戻り方向ＡＣＬＵ−２の検索は、ポリシールーティング，ＱｏＳ（Ｑｕａｌｉｔｙ ｏｆ Ｓｅｒｖｉｃｅ）クラス識別等のために使用されるため、プライベートアドレスベースでの戻り方向ＡＣＬＵ−２の検索が必要となる。
【００２４】
続いて、戻り方向動的パケットフィルタ部Ｄ−３は、戻り方向フィルタセッションテーブルＵ−３よりステート情報を取得し（ステップＳ２０９）、動的パケットフィルタ対象であれば（Ｓ２１０でイエス）、ステートチェックおよび更新処理を行う（ステップＳ２１１）。
【００２５】
その後、戻り方向ルータ部Ｄ−４は、転送先を解決し、戻り方向通信パケットを転送する（ステップＳ２１２）。
【００２６】
戻り方向通信パケットに関しては、あらかじめ戻り方向ＡＣＬＵ−４の検索等が先頭の開始方向通信パケットに関して完了しているので、その結果が反映された戻り方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−１を検索するのみで処理を行うことが可能となる。
【００２７】
【発明が解決しようとする課題】
しかしながら、上述した従来のセキュリティゲートウェイルータ装置には、ハードウェアによる実現を考慮する場合、次のような課題がある。
【００２８】
第１の課題は、戻り方向ＮＡＴ／ＮＡＰＴセッションテーブルおよび戻り方向フィルタセッションテーブルという２つのセッションテーブルを使用しているので、セッションテーブルの検索回数が複数回となるために処理性能が低下するということである。
【００２９】
第２の課題は、動的ＮＡＴ／ＮＡＰＴ機能がある戻り方向通信についてセッションテーブルの検索に加え、戻り方向通信パケットに対する戻り方向ＡＣＬの検索処理が全戻り方向通信パケットについて必要になるために処理負荷が高いということである。
【００３０】
第３の課題は、動的ＮＡＴ／ＮＡＰＴ機能および動的パケットフィルタ機能の戻り方向通信について同一インタフェースからの戻りのみしか許可できないということである。ここで、インタフェースとは、ルータなどの通信装置のもつ外部インタフェース（物理回線，論理回線）を意味する。
【００３１】
本発明の目的は、セッション確立後の処理性能を向上させるようにしたセキュリティゲートウェイルータ装置を提供することにある。
【００３２】
また、本発明の他の目的は、複数インタフェースからの戻り方向通信パケットを許容するセキュリティゲートウェイルータ装置を提供することにある。
【００３３】
【課題を解決するための手段】
本発明のセキュリティゲートウェイルータ装置は、セッションテーブルを用いて動的ＮＡＴ／ＮＡＰＴ機能および動的パケットフィルタ機能を実現するセキュリティゲートウェイルータ装置において、開始方向セッションテーブルの生成時に戻り方向ＡＣＬを検索し戻り方向セッションテーブルの生成の可否を判断する開始方向セッションルックアップ部と、新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除するセッションマネージャプロセスと、前記セッションマネージャプロセスと連携して開始方向ＡＣＬを検索する開始方向ＡＣＬルックアッププロセスと、前記セッションマネージャプロセスと連携して戻り方向ＡＣＬを検索する戻り方向ＡＣＬルックアッププロセスと、戻り方向通信パケットについて戻り方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する戻り方向セッションルックアップ部とを有することを特徴とする。
【００３４】
また、本発明のセキュリティゲートウェイルータ装置は、セッションテーブルを用いて動的ＮＡＴ／ＮＡＰＴ機能および動的パケットフィルタ機能を実現するセキュリティゲートウェイルータ装置において、開始方向セッションテーブルの生成時に戻り方向ＡＣＬを検索し戻り方向セッションテーブルの生成の可否を判断する開始方向セッションルックアップ部と、新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除するセッションマネージャプロセスと、前記セッションマネージャプロセスと連携して開始方向ＡＣＬを検索する開始方向ＡＣＬルックアッププロセスと、前記セッションマネージャプロセスと連携して戻り方向ＡＣＬを検索する戻り方向ＡＣＬルックアッププロセスと、前記セッションマネージャプロセスと連携して戻り方向通信パケットの転送先を解決するルーティングプロセスと、戻り方向通信パケットについて戻り方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する戻り方向セッションルックアップ部とを有することを特徴とする。
【００３５】
さらに、本発明のセキュリティゲートウェイルータ装置は、開始方向通信パケットの転送先を解決する開始方向ルータ部と、開始方向通信パケットについて開始方向ＡＣＬを検索する開始方向ＡＣＬルックアップ部と、開始方向通信パケットについて開始方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する開始方向セッションルックアップ部と、開始方向通信パケットの通過可否を判断する開始方向動的パケットフィルタ部と、開始方向通信パケットについて動的にネットワークアドレス／ポート変換を行う開始方向動的ＮＡＴ／ＮＡＰＴ部と、新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除するセッションマネージャプロセスと、前記セッションマネージャプロセスと連携してネットワークアドレス／ポート割当てを行うＮＡＴ／ＮＡＰＴマネージャプロセスと、前記セッションマネージャプロセスと連携して開始方向ＡＣＬを検索する開始方向ＡＣＬルックアッププロセスと、前記セッションマネージャプロセスと連携して戻り方向ＡＣＬを検索する戻り方向ＡＣＬルックアッププロセスと、前記セッションマネージャプロセスと連携して戻り方向通信パケットの通過可否を判断する動的パケットフィルタマネージャプロセスと、戻り方向通信パケットについて戻り方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する戻り方向セッションルックアップ部と、前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットについてネットワークアドレス／ポート変換を行う戻り方向動的ＮＡＴ／ＮＡＰＴ部と、前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの通過可否を判断する戻り方向動的パケットフィルタ部と、前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの転送先を解決する戻り方向ルータ部とを有することを特徴とする。
【００３６】
さらに、本発明のセキュリティゲートウェイルータ装置は、開始方向通信パケットの転送先を解決する開始方向ルータ部と、開始方向通信パケットについて開始方向ＡＣＬを検索する開始方向ＡＣＬルックアップ部と、開始方向通信パケットについて開始方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する開始方向セッションルックアップ部と、開始方向通信パケットの通過可否を判断する開始方向動的パケットフィルタ部と、開始方向通信パケットについてネットワークアドレス／ポートの割り当てを行う開始方向動的ＮＡＴ／ＮＡＰＴ部と、新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除するセッションマネージャプロセスと、前記セッションマネージャプロセスと連携してネットワークアドレス／ポートの割当てを行うＮＡＴ／ＮＡＰＴマネージャプロセスと、前記セッションマネージャプロセスと連携して開始方向ＡＣＬを検索する開始方向ＡＣＬルックアッププロセスと、前記セッションマネージャプロセスと連携して戻り方向ＡＣＬを検索する戻り方向ＡＣＬルックアッププロセスと、前記セッションマネージャプロセスと連携して戻り方向通信パケットの通過可否を判断する動的パケットフィルタマネージャプロセスと、前記セッションマネージャプロセスと連携して戻り方向通信パケットの転送先を解決するルーティングプロセスと、前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットについてネットワークアドレス／ポート変換を行う戻り方向動的ＮＡＴ／ＮＡＰＴ部と、前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの通過可否を判断する戻り方向動的パケットフィルタ部と、前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの転送先を解決する戻り方向ルータ部とを有することを特徴とする。
【００３７】
さらにまた、本発明のセキュリティゲートウェイルータ装置は、前記戻り方向セッションテーブルが、セッションエントリとして、ＩＰＤＡ，ＩＰＳＡ，プロトコル，Ｌ４ＤＰおよびＬ４ＳＰを保持するとともに、ＮＡＴ／ＮＡＰＴアクショテーブルをリンクすることを特徴とする。
【００３８】
また、本発明のセキュリティゲートウェイルータ装置は、前記戻り方向セッションテーブルの生成時において、戻り方向通信が予測し評価される外部インタフェースを複数管理可能なインタフェースグループを定義することにより、複数インタフェースからの戻り方向通信パケットの管理を可能とすることを特徴とする。
【００３９】
一方、本発明のセッションテーブル管理方法は、セッションテーブルを用いて動的ＮＡＴ／ＮＡＰＴ機能および動的パケットフィルタ機能を実現するセキュリティゲートウェイルータ装置のセッションテーブル管理方法において、開始方向セッションルックアップ部により開始方向セッションテーブルの生成時に戻り方向ＡＣＬを検索し戻り方向セッションテーブルの生成の可否を判断する工程と、セッションマネージャプロセスにより新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除する工程と、前記セッションマネージャプロセスと連携して開始方向ＡＣＬルックアッププロセスにより開始方向ＡＣＬを検索する工程と、前記セッションマネージャプロセスと連携して戻り方向ＡＣＬルックアッププロセスにより戻り方向ＡＣＬを検索する工程と、戻り方向セッションルックアップ部により戻り方向通信パケットについて戻り方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する工程とを含むことを特徴とする。
【００４０】
また、本発明のセッションテーブル管理方法は、セッションテーブルを用いて動的ＮＡＴ／ＮＡＰＴ機能および動的パケットフィルタ機能を実現するセキュリティゲートウェイルータ装置のセッションテーブル管理方法において、開始方向セッションルックアップ部により開始方向セッションテーブルの生成時に戻り方向ＡＣＬを検索し戻り方向セッションテーブルの生成の可否を判断する工程と、セッションマネージャプロセスにより新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除する工程と、開始方向ＡＣＬルックアッププロセスにより前記セッションマネージャプロセスと連携して開始方向ＡＣＬを検索する工程と、戻り方向ＡＣＬルックアッププロセスにより前記セッションマネージャプロセスと連携して戻り方向ＡＣＬを検索する工程と、前記セッションマネージャプロセスと連携してルーティングプロセスにより戻り方向通信パケットの転送先を解決する工程と、戻り方向セッションルックアップ部により戻り方向通信パケットについて戻り方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する工程とを含むことを特徴とする。
【００４１】
さらに、本発明のセッションテーブル管理方法は、開始方向ルータ部により開始方向通信パケットの転送先を解決する工程と、開始方向ＡＣＬルックアップ部により開始方向通信パケットについて開始方向ＡＣＬを検索する工程と、開始方向セッションルックアップ部により開始方向通信パケットについて開始方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する工程と、開始方向動的パケットフィルタ部により開始方向通信パケットの通過可否を判断する工程と、開始方向動的ＮＡＴ／ＮＡＰＴ部により開始方向通信パケットについて動的にネットワークアドレス／ポート変換を行う工程と、セッションマネージャプロセスにより新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除する工程と、前記セッションマネージャプロセスと連携してＮＡＴ／ＮＡＰＴマネージャプロセスによりネットワークアドレス／ポート割当てを行う工程と、前記セッションマネージャプロセスと連携して開始方向ＡＣＬルックアッププロセスにより開始方向ＡＣＬを検索する工程と、前記セッションマネージャプロセスと連携して戻り方向ＡＣＬルックアッププロセスにより戻り方向ＡＣＬを検索する工程と、前記セッションマネージャプロセスと連携して動的パケットフィルタマネージャプロセスにより戻り方向通信パケットの通過可否を判断する工程と、戻り方向セッションルックアップ部により戻り方向通信パケットについて戻り方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する工程と、戻り方向動的ＮＡＴ／ＮＡＰＴ部により前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットについてネットワークアドレス／ポート変換を行う工程と、戻り方向動的パケットフィルタ部により前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの通過可否を判断する工程と、戻り方向ルータ部により前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの転送先を解決する工程とを含むことを特徴とする。
【００４２】
さらにまた、本発明のセッションテーブル管理方法は、開始方向ルータ部により開始方向通信パケットの転送先を解決する工程と、開始方向ＡＣＬルックアップ部により開始方向通信パケットについて開始方向ＡＣＬを検索する工程と、開始方向セッションルックアップ部により開始方向通信パケットについて開始方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する工程と、開始方向動的パケットフィルタ部により開始方向通信パケットの通過可否を判断する工程と、開始方向動的ＮＡＴ／ＮＡＰＴ部により開始方向通信パケットについてネットワークアドレス／ポートの割り当てを行う工程と、セッションマネージャプロセスにより新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除する工程と、前記セッションマネージャプロセスと連携してＮＡＴ／ＮＡＰＴマネージャプロセスによりネットワークアドレス／ポートの割当てを行う工程と、前記セッションマネージャプロセスと連携して開始方向ＡＣＬルックアッププロセスにより開始方向ＡＣＬを検索する工程と、前記セッションマネージャプロセスと連携して戻り方向ＡＣＬルックアッププロセスにより戻り方向ＡＣＬを検索する工程と、前記セッションマネージャプロセスと連携して動的パケットフィルタマネージャプロセスにより戻り方向通信パケットの通過可否を判断する工程と、前記セッションマネージャプロセスと連携してルーティングプロセスにより戻り方向通信パケットの転送先を解決する工程と、戻り方向動的ＮＡＴ／ＮＡＰＴ部により前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットについてネットワークアドレス／ポート変換を行う工程と、戻り方向動的パケットフィルタ部により前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの通過可否を判断する工程と、戻り方向ルータ部により前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの転送先を解決する工程とを含むことを特徴とする。
【００４３】
また、本発明のセッションテーブル管理方法は、前記戻り方向セッションテーブルが、セッションエントリとして、ＩＰＤＡ，ＩＰＳＡ，プロトコル，Ｌ４ＤＰおよびＬ４ＳＰを保持するとともに、ＮＡＴ／ＮＡＰＴアクショテーブルをリンクすることを特徴とする。
【００４４】
さらに、本発明のセッションテーブル管理方法は、前記戻り方向セッションテーブルの生成時において、戻り方向通信が予測し評価される外部インタフェースを複数管理可能なインタフェースグループを定義することにより、複数インタフェースからの戻り方向通信パケットの管理を可能とすることを特徴とする。
【００４５】
本発明のセキュリティゲートウェイルータ装置は、動的ＮＡＴ／ＮＡＰＴや動的パケットフィルタ等に使用されるセッションテーブルを生成して登録する際に、あらかじめ戻り方向ＡＣＬを検索しておくことにより、無駄なセッションテーブルを生成しないこと、また、戻り方向ＡＣＬの検索処理を削減できることを特徴としている。さらに、セッションテーブル検索の際にインタフェースをグルーピングし、インタフェースグループＩＤを用いて管理することにより、複数インタフェースからの戻り方向通信を制御可能としている特徴がある。詳しくは、セッションテーブル検索キーにインタフェース番号を含めると、そのインタフェースからの受信時のみにセッションエントリが見つかる。この場合、戻り方向通信はインタフェース番号で表されるインタフェースからのみしか許可できない。ここで、インタフェースをグルーピングしてインタフェースグループＩＤを割り当てる。このインタフェースグループＩＤをインタフェース番号の代わりに割り当てれば、グループに属するインタフェースから受信したものがヒットする。
【００４６】
【発明の実施の形態】
以下、本発明の実施の形態について図面を参照しながら詳細に説明する。
【００４７】
［第１の実施の形態］
図１は、本発明の第１の実施の形態に係るセキュリティゲートウェイルータ装置の構成を示すブロック図である。本実施の形態に係るセキュリティゲートウェイルータ装置は、戻り方向セッションルックアップ部Ａ−１と、戻り方向動的ＮＡＴ／ＮＡＰＴ部Ａ−２と、戻り方向動的パケットフィルタ部Ａ−３と、戻り方向ルータ部Ａ−４と、開始方向ルータ部Ｂ−１と、開始方向ＡＣＬルックアップ部Ｂ−２と、開始方向セッションルックアップ部Ｂ−３と、開始方向動的パケットフィルタ部Ｂ−４と、開始方向動的ＮＡＴ／ＮＡＰＴ部Ｂ−５と、セッションマネージャプロセスＣ−１と、ＮＡＴ／ＮＡＰＴマネージャプロセスＣ−２と、開始方向ＡＣＬルックアッププロセスＣ−３と、戻り方向ＡＣＬルックアッププロセスＣ−４と、動的パケットフィルタマネージャプロセスＣ−５と、戻り方向セッションテーブルＴ−１と、開始方向セッションテーブルＴ−２と、開始方向ＡＣＬＴ−３と、戻り方向ＡＣＬＴ−４とから構成されている。
【００４８】
動的ＮＡＴ／ＮＡＰＴ機能または動的パケットフィルタ機能を適用する際の開始方向通信について開始方向通信パケットの受信インタフェース（またはインタフェースグループ）を内部ネットワークと定義する。また、開始方向通信パケットの送信インタフェース（またはインタフェースグループ）を外部ネットワークと定義する。
【００４９】
セキュリティゲートウェイルータ装置は、パケットをＩＰレイヤでスイッチする機能を有する。また、セキュリティゲートウェイルータ装置は、静的パケットフィルタ機能を有しており、ＡＣＬの設定によりパケット通過の可否を設定可能となっているのが、一般的である。静的パケットフィルタ機能は、ユーザがあらかじめパケットフローを特定して通過可否を指定する機能である。これに対して、動的パケットフィルタ機能は、あるトリガパケット（開始方向通信パケット）に対して動的にフィルタを行う機能である。静的パケットフィルタ機能にて拒否されても、動的パケットフィルタ機能で許可されると、そのパケットの通過を許可する。また、静的パケットフィルタ機能にて許可されても、動的パケットフィルタ機能で拒否されると、そのパケットの通過は拒否される。すなわち、動的パケットフィルタ機能が静的パケットフィルタ機能に優先する関係となっている。
【００５０】
このＡＣＬによる静的パケットフィルタ機能は、開始方向通信パケットに対するもの，および戻り方向通信パケットに対するものの２種類が設定可能となっている。さらに、開始方向ＡＣＬＴ−３および戻り方向ＡＣＬＴ−４は、パケットフィルタのみではなく、ポリシールーティング，ＱｏＳクラス識別，ＩＰｓｅｃポリシー識別のためにも使用される。
【００５１】
戻り方向セッションテーブルＴ−１は、開始方向通信セッションに対する戻り方向通信セッションを処理するためのテーブルである。最初の開始方向通信パケットが外部ネットワークへ転送されると同時に、戻り方向セッションテーブルＴ−１のセッションエントリが生成される。
【００５２】
図２を参照すると、戻り方向セッションテーブルＴ−１をセッション情報（ＩＰＤＡ，ＩＰＳＡ，Ｐｒｏｔｏｃｏｌ，Ｌ４等）で検索すると、ＮＡＴ／ＮＡＰＴアクショテーブルが得られる。これは、戻り方向セッションテーブルＴ−１からポインタで指される場合や、もしくは戻り方向セッションテーブルＴ−１に含まれる場合のどちらでもよい。ここでは、戻り方向セッションテーブルＴ−１にＮＡＴ／ＮＡＰＴアクションテーブルが含まれているとして考える。ＮＡＴ／ＮＡＰＴ動作設定とは、ＮＡＴまたはＮＡＰＴの処理指示，変換するアドレス，およびポート情報が設定される。開始方向通信のＮＡＴでは、転送元がＮＡＴされる。
【００５３】
開始方向セッションテーブルＴ−２は、開始方向通信パケットを処理するためのテーブルである。内部ネットワークから外部ネットワークへ向けて最初の開始方向通信パケットが許可され転送される際に生成される。開始方向セッションテーブルＴ−２も、戻り方向セッションテーブルＴ−１と同様の構成を持つ（図２参照）。
【００５４】
開始方向ルータ部Ｂ−１は、開始方向通信パケットのルーティングを実行（転送先を解決）する機能ブロックである。
【００５５】
開始方向ＡＣＬルックアップ部Ｂ−２は、開始方向通信パケットの通過可否のポリシー，動的ＮＡＴ／ＮＡＰＴ適用のポリシーなどの、ユーザにより設定されたルールを開始方向ＡＣＬＴ−３から検索する機能ブロックである。
【００５６】
開始方向セッションルックアップ部Ｂ−３は、開始方向通信パケットの通過可否を判断するために、開始方向セッションテーブルＴ−２を検索してセッションエントリの有無の判断を行い、セッションエントリ有りの場合はそれに付随する情報を取得する機能ブロックである。開始方向セッションテーブルＴ−２でセッションエントリの有無が評価されるが、セッションエントリ有りの場合は、開始方向セッションテーブルＴ−２からフィルタアクションテーブル（動作設定テーブル）およびＮＡＴ／ＮＡＰＴアクションテーブル（動作設定テーブル）がリンクされる。ここでは、これらを含めたテーブルを開始方向セッションテーブルＴ−２と呼ぶ。セッションテーブル検索キーがセッション情報（ＩＰＤＡ，ＩＰＳＡ，Ｐｒｏｔｏｃｏｌ，Ｌ４ＳＰ，Ｌ４ＤＰ等）でそれから得られる情報が、ＮＡＴ動作，フィルタ動作設定となる。ＮＡＴ／ＮＡＰＴアクションテーブルは、具体的には、アクションコード，変換アドレスおよび変換ポートからなる。アクションコードには、ＮＡＴする，ＮＡＰＴする，またはＮＡＴ／ＮＡＰＴしないを設定する。変換アドレスには、ＷＡＮへの送信側ではＩＰＳＡをここに設定されたアドレスに書き換えること，およびＷＡＮからの受信側ではＩＰＤＡをここに設定されたアドレスに書き換えることを設定する。変換ポートは、ＮＡＰＴ／ＮＡＰＴの際に有効となり、ＷＡＮへの送信側ではＬ４ＳＰをここに設定されたポート番号に書き換えること，およびＷＡＮからの受信側ではＬ４ＤＰ（Ｌａｙｅｒ ４ Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔ）をここに設定されたポート番号に書き換えることを設定する。
【００５７】
開始方向動的パケットフィルタ部Ｂ−４は、開始方向通信パケットについて開始方向セッションテーブルＴ−２を検索することにより得られた情報を元に動的に開始方向通信パケットの通過可否を判断する機能ブロックである。
【００５８】
開始方向動的ＮＡＴ／ＮＡＰＴ部Ｂ−５は、開始方向セッションテーブルＴ−２の検索により得られた情報を元に動的にネットワークアドレス／ポート変換を行う機能ブロックである。
【００５９】
戻り方向セッションルックアップ部Ａ−１は、戻り方向通信パケットについて戻り方向セッションテーブルＴ−１を検索してセッションエントリの有無を判断し、セッションエントリ有りの場合はそれに付随する情報を取得する機能ブロックである。
【００６０】
戻り方向動的ＮＡＴ／ＮＡＰＴ部Ａ−２は、戻り方向通信パケットについて戻り方向セッションテーブルＴ−１の検索により得られた情報に基づいて動的ＮＡＴ／ＮＡＰＴの処理（ネットワークアドレス／ポート変換）を行う機能ブロックである。
【００６１】
戻り方向動的パケットフィルタ部Ａ−３は、戻り方向通信パケットについて戻り方向セッションテーブルＴ−１の検索により得られた情報に基づいて動的に戻り方向通信パケットの通過可否を判断する機能ブロックである。
【００６２】
戻り方向ルータ部Ａ−４は、戻り方向通信パケットの転送先を解決する機能ブロックである。
【００６３】
セッションマネージャプロセスＣ−１は、新規セッションに関して、戻り方向セッションテーブルＴ−１および開始方向セッションテーブルＴ−２を生成し、また終了セッションに関して戻り方向セッションテーブルＴ−１および開始方向セッションテーブルＴ−２を削除するソフトウェアプロセスである。最初の開始方向通信パケットの受信時には、セッションテーブル生成要求がハードウェアより送られてくる。また、セッションマネージャプロセスＣ−１は、ＮＡＴ／ＮＡＰＴマネージャプロセスＣ−２，開始方向ＡＣＬルックアッププロセスＣ−３，戻り方向ＡＣＬルックアッププロセスＣ−４，および動的パケットフィルタマネージャプロセスＣ−５と連携して動作する。
【００６４】
ＮＡＴ／ＮＡＰＴマネージャプロセスＣ−２は、戻り方向動的ＮＡＴ／ＮＡＰＴ部Ａ−２のネットワークアドレス／ポート割当てを行うソフトウェアプロセスである。
【００６５】
開始方向ＡＣＬルックアッププロセスＣ−３は、開始方向通信パケットについて、開始方向ＡＣＬＴ−３に基づくパケットフィルタを行うソフトウェアプロセスである。（ただし、開始方向側ハードウェアで機能をサポートしている場合は不要になる。）
【００６６】
戻り方向ＡＣＬルックアッププロセスＣ−４は、開始方向通信パケットに対する戻り方向通信パケットについて戻り方向ＡＣＬＴ−４に基づくパケットフィルタ，ポリシールーティング，ＱｏＳポリシー，ＩＰｓｅｃ（ＩＰ Ｓｅｃｕｒｉｔｙ Ｐｒｏｔｏｃｏｌ）ポリシー等のフロー検索を行うソフトウェアプロセスである。（戻り方向側ハードウェアで機能をサポートしている場合でも必要である。）
【００６７】
動的パケットフィルタマネージャプロセスＣ−５は、戻り方向動的パケットフィルタ部Ａ−３および開始方向動的パケットフィルタ部Ｂ−４を管理するためのソフトウェアプロセスである。
【００６８】
以上、第１の実施の形態に係るセキュリティゲートウェイルータ装置の構成を述べたが、ＮＡＴ／ＮＡＰＴ機能，動的パケットフィルタ機能，ポリシールーティング機能，ルータ機能，ＡＣＬ検索は、当業者にとってよく知られており、また本発明とは直接関係しないので、その詳細な説明を省略する。
【００６９】
次に、このように構成された第１の実施の形態に係るセキュリティゲートウェイルータ装置の動作について、図３に示すフローチャートを参照しながら説明する。ここでは、ＮＡＴ／ＮＡＰＴ有りセッションの開設時の動作について説明する。
【００７０】
初期状態においては、開始方向セッションテーブルＴ−１および戻り方向セッションテーブルＴ−２には、セッションエントリは無い。
【００７１】
開始方向ルータ部開Ｂ−１は、開始方向通信パケットの転送先を解決する。
【００７２】
次に、開始方向ＡＣＬルックアップ部Ｂ−２は、開始方向ＡＣＬＴ−３の検索を行い、最初の開始方向通信パケットの送信可否を判断する。
【００７３】
最初に、開始方向通信パケットを受信した際、開始方向セッションルックアップ部Ｂ−３は、開始方向セッションテーブルＴ−２を検索しセッションエントリ無しと判断し、ハードウェアプロセスからソフトウェアプロセスのセッションマネージャプロセスＣ−１に開始方向通信パケット処理を引き渡す。
【００７４】
セッションマネージャプロセスＣ−１は、開始方向通信パケットについて、開始方向ＡＣＬＴ−３による評価，ネットワークアドレス／ポート割当て，通過可否判断を行えるように、それぞれのソフトウェアプロセスに処理を依頼する。セッションマネージャプロセスＣ−１は、処理結果を受け取り、セッションテーブル生成の要否を判断する。
【００７５】
さらに、セッションマネージャプロセスＣ−１は、予測される戻り方向通信の形で戻り方向通信パケットを受信すべきインタフェースに適用された戻り方向ＡＣＬＴ−４を評価し、許可された場合のみ戻り方向セッションテーブルＴ−１を生成する。ここで、“受信すべきインタフェース”は、セキュリティゲートウェイルータ装置がもつ論理的な受信回線を示す。これは、外部インタフェースであり、Ｅｔｈｅｒｎｅｔ（登録商標），ＰＯＳ（Ｐａｃｋｅｔ Ｏｖｅｒ Ｓｏｎｅｔ），ＡＴＭ（Ａｓｙｎｃｈｒｏｎｏｕｓ Ｔｒａｎｓｆｅｒ Ｍｏｄｅ）等の回線において、物理回線もしくはＶＣ（Ｖｉｒｔｕａｌ Ｃｈａｎｎｅｌ），ＶＬＡＮ（Ｖｉｒｔｕａｌ ＬＡＮ）のような論理回線を示す。
【００７６】
戻り方向動的ＮＡＴ／ＮＡＰＴ部Ａ−２との併用においても、開始方向通信パケットの受信時の形（内部アドレスベース）で戻り方向通信を予測し評価する。戻り方向ＡＣＬＴ−４は、ＩＰパケットフィルタの他にポリシールーティング，ＩＰｓｅｃポリシー解決等にも使用されるため、これらの処理を開始方向通信の最初の１パケットのみに実施することにより、その後の戻り方向通信パケットについて戻り方向ＡＣＬＴ−４の検索をする必要がなくなる。
【００７７】
まず、動的ＮＡＴ／ＮＡＰＴ機能が適用される場合、通信が開始される方向は、プライベートネットワークからグローバルネットワークへ送信される方向となる。開始方向動的ＮＡＴ／ＮＡＰＴ部Ｂ−５は、セッションが開始される際にネットワークアドレス／ポートを割り当てることにより有限なグローバルアドレスをシェアして使うことになる。
【００７８】
ここで、開始方向セッションテーブルＴ−２および戻り方向セッションテーブルＴ−１のへのセッションエントリ登録方法を、図３のフローチャートを参照して説明する。
【００７９】
最初の開始方向通信パケットを受信した際は、開始方向セッションテーブルＴ−２のセッションエントリはまだ存在しない。この場合、開始方向セッションテーブルＴ−２の検索の結果（ステップＳ１０２）、セッションエントリ無しと判断される（ステップＳ１０３でノー）。セッションエントリ無しの開始方向通信パケットは、ソフトウェアプロセスのセッションマネージャプロセスＣ−１に渡され、開始方向通信パケットであるためにセッションの開設を行う必要がある。
【００８０】
セッションマネージャプロセスＣ−１は、開始方向通信パケットについて開始方向セッションテーブルＴ−２のセッションエントリを作成する。
【００８１】
詳しくは、セッションマネージャプロセスＣ−１は、動的ＮＡＴ／ＮＡＰＴ機能が適用される場合（ステップＳ１１１でイエス）、ＮＡＴ／ＮＡＰＴマネージャプロセスＣ−２と連携してネットワークアドレス／ポートを割り当てる（ステップＳ１１２）。
【００８２】
次に、セッションマネージャプロセスＣ−１は、動的パケットフィルタ機能が適用される場合（ステップＳ１１３でイエス）、動的パケットフィルタマネージャプロセスＣ−５と連携してステート監視制御を行う（ステップＳ１１４）。
【００８３】
続いて、セッションマネージャプロセスＣ−１は、開始方向セッションテーブルＴ−２および戻り方向セッションテーブルＴ−１を変換後（ステップＳ１１７）、開始方向ＡＣＬルックアッププロセスＣ−３および戻り方向ＡＣＬルックアッププロセスＣ−４と連携して開始方向ＡＣＬＴ−３および戻り方向ＡＣＬＴ−４を検索して、開始方向通信用セッションおよび戻り方向用セッションを開始方向セッションテーブルＴ−２および戻り方向セッションテーブルＴ−１に登録する（ステップＳ１１５およびステップＳ１１６）。この際、戻り方向ＡＣＬＴ−４の検索を変換前の形で実行し、その結果を戻り方向セッションテーブルＴ−１へ反映する。ただし、戻り方向通信で拒否されるパケットについては、セッションを登録しないことにする。
【００８４】
最初の開始方向通信パケットが処理されると、開始方向セッションテーブルＴ−２および戻り方向セッションテーブルＴ−１のセッションエントリが登録され、次の開始方向パケットからは開始方向セッションテーブルＴ−２のセッションエントリ有りと判断され（ステップＳ１０３でイエス）、ハードウェアによる転送が行われる。
【００８５】
詳しくは、開始方向セッションルックアップ部Ｂ−３は、開始方向セッションテーブルＴ−２より動的ＮＡＴ／ＮＡＰＴ情報を取得し（ステップＳ１０４）、動的ＮＡＴ／ＮＡＰＴ機能の対象であれば（ステップＳ１０５でイエス）、動的ＮＡＴ／ＮＡＰＴ情報のエディット処理を行う（ステップＳ１０６）。
【００８６】
次に、開始方向動的パケットフィルタ部Ｂ−４は、開始方向セッションテーブルＴ−２よりステート情報を取得し（ステップＳ１０７）、動的パケットフィルタ対象であれば（Ｓ１０８でイエス）、ステートチェックおよび更新処理を行う（ステップＳ１０９）。
【００８７】
この後、開始方向動的ＮＡＴ／ＮＡＰＴ部Ｂ−５は、開始方向通信パケットを送信する（ステップＳ１１０）。
【００８８】
一方、戻り方向通信パケットに関しては、あらかじめ戻り方向ＡＣＬＴ−４の検索等が先頭の開始方向通信パケットに関して完了しているので、その結果が反映された戻り方向セッションテーブルＴ−１を検索するのみで処理を行うことが可能となる。
【００８９】
詳しくは、戻り方向通信パケットがあると、戻り方向セッションルックアップ部Ａ−１は、戻り方向ＡＣＬＴ−４を検索し（ステップＳ２０１）、戻り方向セッションテーブルＴ−１を検索し（ステップＳ２０２）、セッションエントリがなければ（ステップＳ２０３でノー）、戻り方向通信パケットを拒否する（ステップＳ２０４）。
【００９０】
セッションエントリがあれば（ステップＳ２０３でイエス）、戻り方向動的ＮＡＴ／ＮＡＰＴ部Ａ−１は、戻り方向セッションテーブルＴ−１より動的ＮＡＴ／ＮＡＰＴ情報を取得し（ステップＳ２０４）、動的ＮＡＴ／ＮＡＰＴ機能の対象であれば（ステップＳ２０５でイエス）、動的ＮＡＴ／ＮＡＰＴ情報のエディット処理を行う（ステップＳ２０６）。
【００９１】
次に、戻り方向動的パケットフィルタ部Ａ−３は、戻り方向セッションテーブルＴ−１よりステート情報を取得し（ステップＳ２０９）、動的パケットフィルタ対象であれば（Ｓ２１０でイエス）、ステートチェックおよび更新処理を行う（ステップＳ２１１）。
【００９２】
その後、戻り方向ルータ部Ａ−４は、戻り方向通信パケットの転送先を解決し、戻り方向通信パケットを転送する（ステップＳ２１２）。
【００９３】
第１の実施の形態によれば、戻り方向通信パケットの変換後、ＡＣＬ検索により動的ＮＡＴ／ＮＡＰＴ変換後のフローの転送先（Ｄｅｓｔｉｎａｔｉｏｎ）と転送元（Ｓｏｕｒｃｅ）とを反転した形で戻り、インタフェースのＡＣＬを検索して、その結果を戻り方向セッションテーブルＴ−１に登録しておく。このため、戻り方向通信パケットでは、戻り方向セッションテーブルＴ−１でヒットしたならば、戻りＡＣＬＴ−４を検索する必要がなくなる。
【００９４】
また、開始方向セッションテーブルＴ−２および戻り方向セッションテーブルＴ−１の作成時に戻り方向通信を予測し評価して戻り方向ＡＣＬＴ−４等の検索処理を実行しているので、戻り方向通信に対するハードウェアによるパケット処理としては戻り方向セッションテーブルＴ−１の検索処理のみに負荷を低減できる。これにより、戻り方向通信パケットの処理においては、戻り方向動的ＮＡＴ／ＮＡＰＴ部Ａ−２での変換後の戻り方向ＡＣＬＴ−４の検索処理を削減することができるため、ハードウェアによるパケット転送能力を向上することが可能である。
【００９５】
さらに、戻り方向セッションテーブルＴ−１の生成時において、戻り方向通信が予測し評価される外部インタフェースを複数管理可能なインタフェースグループを定義することにより、複数インタフェースからの戻り方向通信パケットの管理を可能としている。例えば、セキュリティゲートウェイルータ装置のインタフェースが＃１〜＃６まである場合、外部インタフェースが＃１，＃２で、ＬＡＮ側インタフェースが＃３，＃４で、ＤＭＺ（ＤｅＭｉｌｉｔａｒｉｚｅｄ Ｚｏｎｅ）側インタフェースが＃５，＃６であったとすると、これらを種別ごとにグルーピングする。すなわち、グループ＃１（インタフェース＃１，＃２），グループ＃２（インタフェース＃３，＃４），グループ＃３（インタフェース＃５，＃６）というようにする。
【００９６】
また、インタフェースをインタフェースグループとして管理しているので、開始方向通信の送信インタフェース以外のインタフェースから戻ってきた戻り方向通信パケットであってもインタフェースグループが同一ならば処理可能となり、外部インタフェースを複数定義できる。ここで、企業ネットワークのエッジに置かれファイアウォールとして利用されることを想定すると、外部インタフェースは、企業からインターネットへ接続するインタフェース（回線）を指す。現在では、ＰＰＰｏＥ（Ｐｏｉｎｔ−ｔｏ−Ｐｏｉｎｔ Ｐｒｏｔｏｃｏｌ ｏｖｅｒ Ｅｔｈｅｒｎｅｔ（登録商標））やＦＴＴＨ（Ｆｉｂｅｒ Ｔｏ Ｔｈｅ Ｈｏｍｅ）が主流と考えられる。
【００９７】
［第２の実施の形態］
図４を参照すると、本発明の第２の実施の形態に係るセキュリティゲートウェイルータ装置は、図１に示した第１の実施の形態に係るセキュリティゲートウェイルータ装置に対して、ソフトウェアプロセスとしてルーティングプロセスＣ−６を追加した構成となっている。したがって、対応する部分には同一符号を付してそれらの詳しい説明を省略する。
【００９８】
第２の実施の形態に係るセキュリティゲートウェイルータ装置では、さらにルーティング検索についてもあらかじめ行うことにより、戻り方向ルータ部Ａ−４におけるルーティング検索処理も削減している。ルーティングプロセスＣ−６は、転送先を解決するソフトウェアプロセスであり、戻り方向ルータ部Ａ−４と同等の動作をソフトウェアで行うものである。
【００９９】
本発明の第２の実施の形態として、その基本的構成は上記の通りであるが、動的ＮＡＴ／ＮＡＰＴと同時に動作するのが、動的パケットフィルタだけでなく、ポリシールーティング，ＱｏＳクラス識別，ＩＰｓｅｃポリシー検索といったようにパケットヘッダにより検索が必要となる機能であれば効果がある。
【０１００】
セッションマネージャプロセスＣ−１は、開始方向セッションテーブルＴ−２および戻り方向セッションテーブルＴ−１を変換後（ステップＳ１１７）、ルーティングプロセスＣ−６と連携して戻り方向通信に対するルーティングテーブル（図示せず）を検索して転送先情報も戻り方向セッションテーブルＴ−１に関連付ける。詳しくは、開始方向のフローがわかれば、戻り方向のフローがわかるので、開始方向通信パケットを送信する際に、あらかじめ戻り方向のフロー（ソースとディスティネーションとを反転）で戻り方向通信パケットを受信するインタフェース（ＷＡＮへ出て行った場合はＷＡＮインタフェース）に適用されている戻り方向ＡＣＬＴ−４を検索する。戻り方向ＡＣＬＴ−４の検索にてフィルタ結果が得られた場合は、その結果を戻り方向セッションテーブルＴ−１にリンクさせる。動的ＮＡＴ／ＮＡＰＴ処理も同様にリンクさせる。さらに、ポリシールーティングのＡＣＬや、ルーティングテーブルを検索することにより、転送先インタフェースの情報を得ておき、これも戻り方向セッションテーブルＴ−１にリンクさせておく。ルーティングテーブルから得られるのは、転送先インタフェース（戻り方向ルータ部Ａ−４のインタフェース）になる。
【０１０１】
この後、セッションマネージャプロセスＣ−１は、開始方向ＡＣＬルックアッププロセスＣ−３および戻り方向ＡＣＬルックアッププロセスＣ−４と連携して開始方向ＡＣＬＴ−３および戻り方向ＡＣＬＴ−４を検索して、開始方向通信用セッションおよび戻り方向用セッションを開始方向セッションテーブルＴ−２および戻り方向セッションテーブルＴ−１に登録する（ステップＳ１１５およびステップＳ１１６）。
【０１０２】
次に、このように構成された第２の実施の形態に係るセキュリティゲートウェイルータ装置の動作について、第１の実施の形態に係るセキュリティゲートウェイルータ装置の動作との相違する点を中心に、図５に示すフローチャートを参照しながら簡単に説明する。
【０１０３】
第２の実施の形態によれば、開始方向通信パケットが到着し、セッションエントリを生成して開始方向セッションテーブルＴ−２に登録する際に、戻り方向ＡＣＬＴ−４のみでなく戻り方向通信に対するルーティングテーブル（図示せず）を検索し転送先情報も戻り方向セッションテーブルＴ−１に関連付けておくことにより、戻り方向ルータ部Ａ−４での転送先検索処理を削減でき、ハードウェアがパケット毎に行う処理負荷を低減できるという効果が得られる。
【０１０４】
【発明の効果】
以上説明したように、本発明においては、以下のような効果を奏する。
【０１０５】
第１の効果は、セッションテーブル作成時に戻り方向通信を予測し評価してＡＣＬ等の検索処理を実行しているので、戻り方向通信に対するハードウェアによるパケット処理としてはセッションテーブル検索処理のみに負荷を低減できることである。
【０１０６】
第２の効果は、インタフェースをインタフェースグループとして管理しているので、開始方向通信の送信インタフェース以外のインタフェースから戻ってきたパケットであってもグループが同一ならば処理可能となり、外部インタフェースを複数定義できることである。
【図面の簡単な説明】
【図１】本発明の第１の実施の形態に係るセキュリティゲートウェイルータ装置の構成を示すブロック図である。
【図２】図１中の戻り方向セッションテーブルおよび開始方向セッションテーブルのセッション情報およびそれにリンクされたＮＡＴ／ＮＡＰＴアクショテーブル等を示す図である。
【図３】第１の実施の形態に係るセキュリティゲートウェイルータ装置の動作を示すフローチャートである。
【図４】本発明の第２の実施の形態に係るセキュリティゲートウェイルータ装置の構成を示すブロック図である。
【図５】第２の実施の形態に係るセキュリティゲートウェイルータ装置の動作を示すフローチャートである。
【図６】従来のセキュリティゲートウェイルータ装置の構成を示すブロック図である。
【図７】従来のセキュリティゲートウェイルータ装置の動作を示すフローチャートである。
【符号の説明】
Ａ−１ 戻り方向セッションルックアップ部
Ａ−２ 戻り方向動的ＮＡＴ／ＮＡＰＴ部
Ａ−３ 動的パケットフィルタ部
Ａ−４ 戻り方向ルータ部
Ｂ−１ 開始方向ルータ部
Ｂ−２ 開始方向パケットフィルタ部
Ｂ−３ 開始方向セッションルックアップ部
Ｂ−４ 開始方向動的パケットフィルタ部
Ｂ−５ 開始方向動的ＮＡＴ／ＮＡＰＴ部
Ｃ−１ セッションマネージャプロセス
Ｃ−２ ＮＡＴ／ＮＡＰＴマネージャプロセス
Ｃ−３ ＡＣＬルックアッププロセス
Ｃ−４ ＡＣＬルックアッププロセス
Ｃ−５ 動的パケットフィルタマネージャプロセス
Ｃ−６ ルーティングプロセス
Ｔ−１ 戻り方向セッションテーブル
Ｔ−２ 開始方向セッションテーブル
Ｔ−３ 開始方向ＡＣＬ
Ｔ−４ 戻り方向ＡＣＬ[0001]
The present invention relates to a security gateway router apparatus and a session table management method, and more particularly to a security gateway router apparatus that implements a dynamic NAT / NAPT (Network Address Translation / Network Address Port Translation) function and a dynamic packet filter function using a session table, and The present invention relates to a session table management method.
[0002]
[Prior art]
In a security gateway router device deployed between an internal network such as a LAN (Local Area Network) and an external network such as a WAN (Wide Area Network) in an IP (Internet Protocol) network, a dynamic packet filter function (firewall function) ), A dynamic NAT / NAPT (network address / port conversion) function, a load balance (load distribution) function, and the like are required at the same time.
[0003]
Conventionally, these functions are realized by using each session table (table for managing communication at the layer 4 level) by each device or function block.
[0004]
FIG. 6 is a block diagram showing an example of a conventional security gateway router device. This security gateway router device includes a return direction dynamic NAT / NAPT unit D-1, a return direction ACL (ACCESS Control List) D-2, a return direction dynamic packet filter unit D-3, and a return direction. Router unit D-4, start direction router unit E-1, start direction dynamic packet filter unit E-2, start direction ACL lookup unit E-3, and start direction dynamic NAT / NAPT unit E-4 A NAT / NAPT session manager process F-1, a dynamic filter session manager process F-2, a return direction NAT / NAPT session table U-1, a return direction ACLU-2, and a return direction filter session table U-. 3, start direction filter session table U-5, start direction ACLU-6, start And a direction NAT / NAPT session table U-7 Prefecture.
[0005]
Next, the operation of this conventional security gateway router device will be described with reference to the flowchart of FIG.
[0006]
The start direction router unit E-1 resolves the transfer destination of the start direction communication packet. The communication session is transferred to the transmitting side process by the start direction router unit E-1.
[0007]
Next, the start direction dynamic packet filter unit E-2 searches the start direction filter session table U-5 (step S102), and determines whether or not the start direction communication packet can pass. Here, when the first packet of the communication session is received, there is no session entry in the start direction filter session table U-5. In this case, the start direction dynamic packet filter unit E-2 determines that there is no session entry as a result of the search of the start direction session table U-2 (No in step S103), and hands over the packet process to the software process. Specifically, the dynamic packet filter session manager process F-2 takes over the packet processing.
[0008]
When the dynamic packet filter function is applied (Yes in Step S113), the dynamic packet filter session manager process F-2 performs state monitoring control (Step S114).
[0009]
Next, the dynamic packet filter session manager process F-2 generates a return direction filter session table U-3 by predicting and evaluating the start direction filter session table U-5 and the return direction communication to generate a session entry. Registration is performed (step S115 and step S116). Here, the return direction communication packet is obtained by reversing the transfer destination (Destination) and transfer source (Source) of the IP header and L4 header of the start direction communication packet. For example, the header of the start direction communication packet is IPDA (Internet Protocol Destination Address) = B, IPSA (Internet Protocol Source Address) = a, Protocol = TCP, L4DP (Layer 4 Destination Port) = d, L4P4 = C, the header of the return direction communication packet is IPDA = a, IPSA = B, Protocol = TCP, L4DP = c, L4SP = d.
[0010]
Next, the start direction ACL lookup unit E-3 searches for the start direction ACLU-6 and determines whether or not the first start direction communication packet can be transmitted (step S101). (The processing may be performed before the dynamic packet filter unit E-2).
[0011]
Subsequently, the start direction dynamic NAT / NAPT unit E-4 performs dynamic NAT / NAPT processing on the start direction communication packet that can be transmitted as necessary. Since the network address / port is not assigned to the first start direction communication packet, there is no session entry in the start direction NAT / NAPT session table U-7 (No in step S103). At this time, the start direction dynamic NAT / NAPT unit E-4 hands over the processing to the NAT / NAPT session manager process F-1, which is a software process, in the same procedure as the start direction dynamic packet filter unit E-2.
[0012]
If the NAT / NAPT session manager process F-1 is a target of the dynamic NAT / NAPT function (Yes in Step S111), the network address / port allocation is performed (Step S112).
[0013]
Next, the NAT / NAPT session manager process F-1 generates a start direction NAT / NAPT session table U-7 and a return direction NAT / NAPT session table U-1, and registers a session entry (Step S115 and Step S116). ). Since IPSA and L4SP are converted for the start direction communication packet, the start direction NAT / NAPT session table U-7 has IPDA = B, IPSA = a, Protocol = TCP, L4DP = d, L4SP = c. It is registered with. At this time, the start direction NAT / NAPT session table U-7 is set so that the NAT / NAPT processing instruction of the start direction communication packet can be retrieved. The hardware searches the start direction NAT / NAPT session table U-7 to perform network address / port conversion. Further, since the return direction communication packet is a return for global-based communication, IPDA = A, IPSA = B, Protocol = TCP, L4DP = c, L4SP = d, and from the return direction NAT / NAPT session table U-1. NAT / NAPT designation is made for the return direction communication packet.
[0014]
When the first start direction communication packet is processed, the start direction filter session table U-5 and the start direction NAT / NAPT session table U-7, and the return direction NAT / NAPT session table U-1 and the return direction filter session table U -3 is registered, it is determined that there are session entries in the start direction filter session table U-5 and the start direction NAT / NAPT session table U-7 from the next start direction communication packet (Yes in step S103). Transfer by hardware is performed.
[0015]
Specifically, the start direction dynamic NAT / NAPT unit E-4 obtains dynamic NAT / NAPT information from the start direction NAT / NAPT session table U-7 (step S104), and the dynamic NAT / NAPT function is the target. If there is (Yes in Step S105), dynamic NAT / NAPT editing processing is performed (Step S106).
[0016]
Next, the start direction dynamic packet filter unit E-2 acquires state information from the start direction filter session table U-5 (step S107), and if it is a dynamic packet filter target (Yes in S108), the state check And an update process is performed (step S109).
[0017]
Thereafter, the start direction dynamic NAT / NAPT unit E-4 transmits a start direction communication packet (step S110).
[0018]
On the other hand, for the return direction communication packet, first, the return direction ACL lookup unit D-2 searches for the return direction ACLU-2 on a global address basis (step S201). The return direction ACLU-2 is searched for the return direction communication packet on the global address base (packet information at the time of reception) before the return direction dynamic NAT / NAPT unit D-1.
[0019]
If there is no session entry in the return direction NAT / NATP session table U-1 in the return direction communication packet (No in step S203), the return direction dynamic NAT / NAPT unit D-1 rejects this return direction communication packet. (Step S204).
[0020]
Next, the return direction dynamic NAT / NAPT unit D-1 performs network address / port conversion on the return direction communication packet. Since the session entry of the return direction NAT / NAPT session table U-1 is registered when the start direction communication packet is transmitted (Yes in step S203), the return direction NAT / NAPT session table U-1 is searched. The action of the return direction dynamic NAT / NAPT unit D-1 is solved. When the return direction NAT / NAPT session table U-1 is searched, a registered session entry is hit at the start of communication. Here, the network address / port assigned for the start direction communication is also set for the return direction communication. Specifically, NAT / NAPT execution, translation address, and translation port are set in the action table.
[0021]
If there is a session entry in the return direction NAT / NATP session table U-1 (Yes in step S203), the return direction dynamic NAT / NAPT unit D-1 performs network address / port conversion on the return direction communication packet.
[0022]
Specifically, the return direction dynamic NAT / NAPT unit D-1 acquires dynamic NAT / NAPT information from the return direction session table U-1 (step S205), and if it is a target of dynamic NAT / NAPT (step S205). Dynamic NAT / NAPT edit processing is performed (Yes in S206).
[0023]
Next, the return direction ACL lookup unit D-2 performs a search for the return direction ACLU-2 in a form converted into a private address (step S208). At this time, since the search for the return direction ACLU-2 is used for policy routing, QoS (Quality of Service) class identification, etc., it is necessary to search for the return direction ACLU-2 on a private address basis.
[0024]
Subsequently, the return direction dynamic packet filter unit D-3 obtains the state information from the return direction filter session table U-3 (step S209), and if it is the target of the dynamic packet filter (Yes in S210), the state check And an update process is performed (step S211).
[0025]
Thereafter, the return direction router unit D-4 resolves the transfer destination and transfers the return direction communication packet (step S212).
[0026]
As for the return direction communication packet, since the search of the return direction ACLU-4 and the like have been completed in advance for the first start direction communication packet, only the return direction NAT / NAPT session table U-1 reflecting the result is searched. Can be processed.
[0027]
[Problems to be solved by the invention]
However, the above-described conventional security gateway router device has the following problems when considering implementation by hardware.
[0028]
The first problem is that since two session tables, that is, a return direction NAT / NAPT session table and a return direction filter session table, are used, the number of times the session table is searched is reduced, resulting in a decrease in processing performance. It is.
[0029]
The second problem is that, in addition to the search of the session table for the return direction communication having the dynamic NAT / NAPT function, the return direction ACL search process for the return direction communication packet is required for all the return direction communication packets. Is high.
[0030]
The third problem is that only return from the same interface is permitted for return direction communication of the dynamic NAT / NAPT function and the dynamic packet filter function. Here, the interface means an external interface (physical line, logical line) of a communication device such as a router.
[0031]
An object of the present invention is to provide a security gateway router device that improves processing performance after session establishment.
[0032]
Another object of the present invention is to provide a security gateway router device that allows return direction communication packets from a plurality of interfaces.
[0033]
[Means for Solving the Problems]
The security gateway router apparatus of the present invention searches a return direction ACL when generating a start direction session table in a security gateway router apparatus that implements a dynamic NAT / NAPT function and a dynamic packet filter function using a session table, and returns the return direction. A start direction session lookup unit for determining whether or not a session table can be generated, the return direction session table and the start direction session table for a new session, and the return direction session table and the start direction session table for an end session. A session manager process to be deleted, a start direction ACL lookup process for searching for a start direction ACL in cooperation with the session manager process, and the session A return direction ACL lookup process that searches the return direction ACL in cooperation with the manager process, and a return direction session look that searches the return direction session table for return direction communication packets and obtains information associated with the session entry. And an up portion.
[0034]
The security gateway router device of the present invention searches the return direction ACL when the start direction session table is generated in the security gateway router device that implements the dynamic NAT / NAPT function and the dynamic packet filter function using the session table. A start direction session lookup unit for determining whether or not to generate a return direction session table; and generating the return direction session table and the start direction session table for a new session, and generating the return direction session table and the start direction session for an end session A session manager process for deleting a table; a start direction ACL lookup process for searching for a start direction ACL in cooperation with the session manager process; A return direction ACL lookup process for searching for a return direction ACL in cooperation with a session manager process, a routing process for solving a transfer destination of a return direction communication packet in cooperation with the session manager process, and a return direction for the return direction communication packet It is characterized by having a return direction session lookup unit that searches the session table and obtains information accompanying it when there is a session entry.
[0035]
Furthermore, the security gateway router device of the present invention includes a start direction router unit that resolves a transfer destination of the start direction communication packet, a start direction ACL lookup unit that searches the start direction ACL for the start direction communication packet, and a start direction communication packet. A start direction session lookup unit that searches the start direction session table for the session direction and obtains accompanying information when there is a session entry, a start direction dynamic packet filter unit that determines whether or not the start direction communication packet can pass, and a start A start direction dynamic NAT / NAPT unit that dynamically performs network address / port conversion for the direction communication packet, and generates the return direction session table and the start direction session table for a new session, and the return direction for an end session A session manager process that deletes the session table and the start direction session table, a NAT / NAPT manager process that performs network address / port assignment in cooperation with the session manager process, and a start direction ACL in cooperation with the session manager process A start direction ACL lookup process for searching for a return direction, a return direction ACL lookup process for searching for a return direction ACL in cooperation with the session manager process, and a determination as to whether or not a return direction communication packet can be passed in cooperation with the session manager process. Dynamic packet filter manager process to perform and search the return direction session table for return direction communication packets, and if there is a session entry, obtain the accompanying information A return direction session lookup unit, a return direction dynamic NAT / NAPT unit that performs network address / port conversion on a return direction communication packet based on information obtained by searching the return direction session table, and the return direction session A return direction dynamic packet filter that determines whether or not a return direction communication packet can pass based on information obtained by searching the table; and a return direction communication packet based on information obtained by searching the return direction session table. And a return direction router for resolving the transfer destination.
[0036]
Furthermore, the security gateway router device of the present invention includes a start direction router unit that resolves a transfer destination of the start direction communication packet, a start direction ACL lookup unit that searches the start direction ACL for the start direction communication packet, and a start direction communication packet. A start direction session lookup unit that searches the start direction session table for the session direction and obtains accompanying information when there is a session entry, a start direction dynamic packet filter unit that determines whether or not the start direction communication packet can pass, and a start A start direction dynamic NAT / NAPT section for assigning a network address / port for a direction communication packet, and generating the return direction session table and the start direction session table for a new session, and the return direction for an end session A session manager process that deletes the session table and the start direction session table, a NAT / NAPT manager process that allocates a network address / port in cooperation with the session manager process, and a start direction in cooperation with the session manager process A start direction ACL lookup process for searching for an ACL, a return direction ACL lookup process for searching for a return direction ACL in cooperation with the session manager process, and whether or not a return direction communication packet can be passed in cooperation with the session manager process. A dynamic packet filter manager process for determining; a routing process for resolving a transfer destination of a return direction communication packet in cooperation with the session manager process; and the return direction A return direction dynamic NAT / NAPT unit that performs network address / port conversion on a return direction communication packet based on information obtained by searching the session table, and information obtained by searching the return direction session table. A return direction dynamic packet filter unit that determines whether or not a return direction communication packet can pass; and a return direction router unit that resolves a transfer destination of the return direction communication packet based on information obtained by searching the return direction session table. It is characterized by having.
[0037]
Furthermore, the security gateway router device of the present invention is characterized in that the return direction session table holds IPDA, IPSA, protocol, L4DP and L4SP as session entries and links a NAT / NAPT action table. .
[0038]
Further, the security gateway router device of the present invention defines an interface group capable of managing a plurality of external interfaces for which return direction communication is predicted and evaluated at the time of generating the return direction session table. It is possible to manage directional communication packets.
[0039]
On the other hand, the session table management method of the present invention is started by a session lookup unit in the start direction in the session table management method for a security gateway router device that implements a dynamic NAT / NAPT function and a dynamic packet filter function using a session table. A step of searching for a return direction ACL when generating a direction session table to determine whether or not to generate a return direction session table; and generating a return direction session table and a start direction session table for a new session by a session manager process; Deleting the return direction session table and the start direction session table with respect to the start direction ACL lookup profile in cooperation with the session manager process. A search for a start direction ACL by a session, a step of searching for a return direction ACL by a return direction ACL lookup process in cooperation with the session manager process, and a return direction session for a return direction communication packet by a return direction session lookup unit. And a step of searching the table and acquiring information accompanying it when there is a session entry.
[0040]
In addition, the session table management method of the present invention is started by the start direction session lookup unit in the session table management method of the security gateway router device that implements the dynamic NAT / NAPT function and the dynamic packet filter function using the session table. A step of searching for a return direction ACL when generating a direction session table to determine whether or not to generate a return direction session table; and generating a return direction session table and a start direction session table for a new session by a session manager process; Deleting the return direction session table and the start direction session table with respect to the session manager process by a start direction ACL lookup process. Searching for the start direction ACL in cooperation with the session manager process, searching for the return direction ACL in cooperation with the session manager process by a return direction ACL lookup process, and return direction by the routing process in cooperation with the session manager process Including a step of resolving the transfer destination of the communication packet, and a step of searching the return direction session table for the return direction communication packet by the return direction session lookup unit and acquiring the accompanying information when there is a session entry. Features.
[0041]
Further, the session table management method of the present invention includes a step of resolving a transfer destination of the start direction communication packet by the start direction router unit, a step of searching the start direction ACL for the start direction communication packet by the start direction ACL lookup unit, Searching the start direction session table for the start direction communication packet by the start direction session lookup unit and obtaining the accompanying information if there is a session entry, and passing the start direction communication packet by the start direction dynamic packet filter unit Determining whether it is possible, dynamically performing network address / port conversion on the start direction communication packet by the start direction dynamic NAT / NAPT unit, and the return direction session table and the new session by the session manager process. Creating the start direction session table, deleting the return direction session table and the start direction session table for the end session, and performing network address / port assignment by the NAT / NAPT manager process in cooperation with the session manager process Searching for a start direction ACL by a start direction ACL lookup process in cooperation with the session manager process; and searching for a return direction ACL by a return direction ACL lookup process in cooperation with the session manager process; Determining whether or not a return direction communication packet can be passed by a dynamic packet filter manager process in cooperation with the session manager process; and a return direction session look-up The search section searches the return direction communication packet for the return direction communication packet and if there is a session entry, obtains the accompanying information, and the return direction dynamic NAT / NAPT section obtains it by searching the return direction session table. A step of performing network address / port conversion on the return direction communication packet based on the received information, and passing of the return direction communication packet based on the information obtained by searching the return direction session table by the return direction dynamic packet filter unit And a step of resolving a transfer destination of the return direction communication packet based on information obtained by searching the return direction session table by the return direction router unit.
[0042]
Furthermore, the session table management method of the present invention includes a step of resolving a transfer destination of the start direction communication packet by the start direction router unit, and a step of searching the start direction ACL for the start direction communication packet by the start direction ACL lookup unit. , A process of searching the start direction session table for the start direction communication packet by the start direction session lookup unit and acquiring the accompanying information when there is a session entry, and the start direction communication packet of the start direction communication packet by the start direction dynamic packet filter unit A step of determining passability, a step of assigning a network address / port for a start direction communication packet by a start direction dynamic NAT / NAPT unit, and the return direction session table for a new session by a session manager process And generating the start direction session table, deleting the return direction session table and the start direction session table for the end session, and assigning a network address / port by the NAT / NAPT manager process in cooperation with the session manager process , Searching for a start direction ACL by a start direction ACL lookup process in cooperation with the session manager process, and searching for a return direction ACL by a return direction ACL lookup process in cooperation with the session manager process. Determining whether a return direction communication packet is allowed to pass by a dynamic packet filter manager process in cooperation with the session manager process; and A return direction communication packet based on information obtained by searching the return direction session table by a return direction dynamic NAT / NAPT unit and resolving a transfer destination of the return direction communication packet by a routing process in cooperation with the host process. A step of performing network address / port conversion, a step of determining whether or not a return direction communication packet can pass based on information obtained by searching the return direction session table by a return direction dynamic packet filter unit, and a return direction router unit And resolving the transfer destination of the return direction communication packet based on the information obtained by searching the return direction session table.
[0043]
Also, the session table management method of the present invention is characterized in that the return direction session table holds IPDA, IPSA, protocol, L4DP and L4SP as session entries and links a NAT / NAPT action table.
[0044]
Furthermore, the session table management method of the present invention defines an interface group capable of managing a plurality of external interfaces for which return direction communication is predicted and evaluated at the time of generating the return direction session table. It is possible to manage directional communication packets.
[0045]
The security gateway router device of the present invention searches for the return direction ACL in advance when generating and registering a session table used for dynamic NAT / NAPT, dynamic packet filter, etc. It is characterized in that a table is not generated and search processing in the return direction ACL can be reduced. Furthermore, there is a feature that it is possible to control return direction communication from a plurality of interfaces by grouping interfaces at the time of session table search and managing using interface group IDs. Specifically, when an interface number is included in the session table search key, a session entry is found only when receiving from the interface. In this case, return direction communication can be permitted only from the interface represented by the interface number. Here, the interface is grouped and an interface group ID is assigned. If this interface group ID is assigned instead of the interface number, the one received from the interface belonging to the group is hit.
[0046]
DETAILED DESCRIPTION OF THE INVENTION
Hereinafter, embodiments of the present invention will be described in detail with reference to the drawings.
[0047]
[First Embodiment]
FIG. 1 is a block diagram showing a configuration of a security gateway router apparatus according to the first embodiment of the present invention. The security gateway router device according to the present embodiment includes a return direction session lookup unit A-1, a return direction dynamic NAT / NAPT unit A-2, a return direction dynamic packet filter unit A-3, and a return direction. Router unit A-4, Start direction router unit B-1, Start direction ACL lookup unit B-2, Start direction session lookup unit B-3, Start direction dynamic packet filter unit B-4, Start direction dynamic NAT / NAPT unit B-5, session manager process C-1, NAT / NAPT manager process C-2, start direction ACL lookup process C-3, and return direction ACL lookup process C- 4, dynamic packet filter manager process C-5, return direction session table T-1, and start direction session table And Le T-2, the start direction ACLT-3, and a return direction ACLT-4 Prefecture.
[0048]
The reception interface (or interface group) of the start direction communication packet is defined as an internal network for start direction communication when applying the dynamic NAT / NAPT function or the dynamic packet filter function. Also, the transmission interface (or interface group) of the start direction communication packet is defined as an external network.
[0049]
The security gateway router device has a function of switching packets at the IP layer. Further, the security gateway router device generally has a static packet filter function, and it is generally possible to set whether or not a packet can be passed by setting an ACL. The static packet filter function is a function in which a user specifies a packet flow in advance and designates whether or not to pass. On the other hand, the dynamic packet filter function is a function that dynamically filters a certain trigger packet (starting direction communication packet). Even if it is rejected by the static packet filter function, the packet is allowed to pass if it is permitted by the dynamic packet filter function. Further, even if the packet is permitted by the static packet filter function, if the packet is rejected by the dynamic packet filter function, the passage of the packet is rejected. That is, the dynamic packet filter function has a priority over the static packet filter function.
[0050]
The static packet filter function by ACL can be set to two types for a start direction communication packet and for a return direction communication packet. Furthermore, the start direction ACLT-3 and the return direction ACLT-4 are used not only for packet filtering but also for policy routing, QoS class identification, and IPsec policy identification.
[0051]
The return direction session table T-1 is a table for processing a return direction communication session for the start direction communication session. At the same time when the first start direction communication packet is transferred to the external network, a session entry of the return direction session table T-1 is generated.
[0052]
Referring to FIG. 2, a NAT / NAPT action table is obtained by searching the return direction session table T-1 with session information (IPDA, IPSA, Protocol, L4, etc.). This may be either the case where the pointer is pointed from the return direction session table T-1 or the case where it is included in the return direction session table T-1. Here, it is assumed that a NAT / NAPT action table is included in the return direction session table T-1. In the NAT / NAPT operation setting, a NAT or NAPT processing instruction, an address to be converted, and port information are set. In the start direction communication NAT, the transfer source is NATed.
[0053]
The start direction session table T-2 is a table for processing start direction communication packets. It is generated when the first start direction communication packet is permitted and transferred from the internal network to the external network. The start direction session table T-2 has the same configuration as the return direction session table T-1 (see FIG. 2).
[0054]
The start direction router unit B-1 is a functional block that executes routing of the start direction communication packet (solves the transfer destination).
[0055]
The start direction ACL lookup unit B-2 is a functional block that searches the start direction ACLT-3 for rules set by the user, such as a policy for determining whether or not the start direction communication packet can pass and a policy for applying dynamic NAT / NAPT. is there.
[0056]
The start direction session lookup unit B-3 searches the start direction session table T-2 to determine whether there is a session entry in order to determine whether or not the start direction communication packet can be passed. It is a functional block that acquires information associated therewith. The presence or absence of a session entry is evaluated in the start direction session table T-2. If there is a session entry, the filter action table (operation setting table) and the NAT / NAPT action table (operation setting) are started from the start direction session table T-2. Table) is linked. Here, a table including these is referred to as a start direction session table T-2. The session table search key is session information (IPDA, IPSA, Protocol, L4SP, L4DP, etc.), and information obtained therefrom is NAT operation and filter operation setting. Specifically, the NAT / NAPT action table includes an action code, a conversion address, and a conversion port. The action code is set to NAT, NAPT, or NAT / NAPT. In the translation address, the IPSA is rewritten to the address set here on the transmission side to the WAN, and the IPDA is rewritten to the address set here on the reception side from the WAN. The conversion port is valid at the time of NAPT / NAPT. On the transmission side to WAN, L4SP is rewritten to the port number set here, and on the reception side from WAN, L4DP (Layer 4 Destination Port) is set here. Set to rewrite to the specified port number.
[0057]
The start direction dynamic packet filter unit B-4 dynamically determines whether or not the start direction communication packet can be passed based on information obtained by searching the start direction session table T-2 for the start direction communication packet. It is a block.
[0058]
The start direction dynamic NAT / NAPT unit B-5 is a functional block that dynamically performs network address / port conversion based on information obtained by searching the start direction session table T-2.
[0059]
The return direction session lookup unit A-1 searches the return direction session table T-1 for the return direction communication packet to determine the presence or absence of a session entry, and if there is a session entry, obtains information associated therewith. It is.
[0060]
The return direction dynamic NAT / NAPT unit A-2 performs dynamic NAT / NAPT processing (network address / port conversion) based on information obtained by searching the return direction session table T-1 for the return direction communication packet. This is a functional block to be performed.
[0061]
The return direction dynamic packet filter unit A-3 is a functional block that dynamically determines whether or not the return direction communication packet can pass based on information obtained by searching the return direction session table T-1 for the return direction communication packet. is there.
[0062]
The return direction router unit A-4 is a functional block that resolves the transfer destination of the return direction communication packet.
[0063]
The session manager process C-1 generates a return direction session table T-1 and a start direction session table T-2 with respect to the new session, and a return direction session table T-1 and a start direction session table T-2 with respect to the end session. Is a software process that deletes When receiving the first start direction communication packet, a session table generation request is sent from the hardware. The session manager process C-1 includes a NAT / NAPT manager process C-2, a start direction ACL lookup process C-3, a return direction ACL lookup process C-4, and a dynamic packet filter manager process C-5. Works in conjunction.
[0064]
The NAT / NAPT manager process C-2 is a software process that performs network address / port assignment of the return direction dynamic NAT / NAPT unit A-2.
[0065]
The start direction ACL lookup process C-3 is a software process that performs packet filtering based on the start direction ACLT-3 for the start direction communication packet. (However, this is not necessary if the start side hardware supports the function.)
[0066]
The return direction ACL lookup process C-4 performs a flow search for the return direction communication packet for the start direction communication packet, such as a packet filter, policy routing, QoS policy, IPsec (IP Security Protocol) policy based on the return direction ACLT-4. It is a software process. (Needed even if the return side hardware supports the function.)
[0067]
The dynamic packet filter manager process C-5 is a software process for managing the return direction dynamic packet filter unit A-3 and the start direction dynamic packet filter unit B-4.
[0068]
The configuration of the security gateway router apparatus according to the first embodiment has been described above. The NAT / NAPT function, the dynamic packet filter function, the policy routing function, the router function, and the ACL search are well known to those skilled in the art. In addition, since it is not directly related to the present invention, detailed description thereof is omitted.
[0069]
Next, the operation of the security gateway router apparatus according to the first embodiment configured as described above will be described with reference to the flowchart shown in FIG. Here, the operation when a session with NAT / NAPT is established will be described.
[0070]
In the initial state, there are no session entries in the start direction session table T-1 and the return direction session table T-2.
[0071]
The start direction router part open B-1 resolves the transfer destination of the start direction communication packet.
[0072]
Next, the start direction ACL lookup unit B-2 searches for the start direction ACLT-3 and determines whether or not the first start direction communication packet can be transmitted.
[0073]
First, when the start direction communication packet is received, the start direction session lookup unit B-3 searches the start direction session table T-2 to determine that there is no session entry, and from the hardware process to the session manager process of the software process. Deliver the start direction communication packet processing to C-1.
[0074]
The session manager process C-1 requests each software process to process the start direction communication packet so that the start direction ACLT-3 can perform evaluation, network address / port assignment, and pass / fail judgment. The session manager process C-1 receives the processing result and determines whether it is necessary to generate a session table.
[0075]
In addition, the session manager process C-1 evaluates the return direction ACLT-4 applied to the interface that should receive the return direction communication packet in the form of the expected return direction communication, and only if permitted, the return direction session table. T-1 is generated. Here, “interface to be received” indicates a logical reception line of the security gateway router device. This is an external interface, and in a line such as Ethernet (registered trademark), POS (Packet Over Sonet), ATM (Asynchronous Transfer Mode), etc., a logical line such as a physical line, VC (Virtual Channel), or VLAN (Virtual LAN). Indicates a line.
[0076]
Even in the combined use with the return direction dynamic NAT / NAPT unit A-2, the return direction communication is predicted and evaluated in the form (internal address base) when the start direction communication packet is received. Since the return direction ACLT-4 is used for policy routing, IPsec policy resolution, etc. in addition to the IP packet filter, by performing these processes only on the first packet of the start direction communication, the return direction thereafter There is no need to search the return direction ACLT-4 for the communication packet.
[0077]
First, when the dynamic NAT / NAPT function is applied, the direction in which communication is started is the direction in which the private network transmits to the global network. The start direction dynamic NAT / NAPT unit B-5 shares and uses a finite global address by assigning a network address / port when a session is started.
[0078]
Here, a session entry registration method for the start direction session table T-2 and the return direction session table T-1 will be described with reference to the flowchart of FIG.
[0079]
When the first start direction communication packet is received, there is no session entry in the start direction session table T-2 yet. In this case, as a result of the search of the start direction session table T-2 (Step S102), it is determined that there is no session entry (No in Step S103). The start direction communication packet without a session entry is passed to the session manager process C-1 of the software process, and since it is a start direction communication packet, it is necessary to open a session.
[0080]
Session manager process C-1 creates a session entry in start direction session table T-2 for the start direction communication packet.
[0081]
Specifically, when the dynamic NAT / NAPT function is applied (Yes in step S111), the session manager process C-1 allocates a network address / port in cooperation with the NAT / NAPT manager process C-2 (step S112). ).
[0082]
Next, when the dynamic packet filter function is applied (Yes in step S113), the session manager process C-1 performs state monitoring control in cooperation with the dynamic packet filter manager process C-5 (step S114). .
[0083]
Subsequently, the session manager process C-1 converts the start direction session table T-2 and the return direction session table T-1 (step S117), and then starts the start direction ACL lookup process C-3 and the return direction ACL lookup process. The start direction ACLT-3 and the return direction ACLT-4 are searched in cooperation with C-4, and the start direction communication session and the return direction session are stored in the start direction session table T-2 and the return direction session table T-1. Registration is performed (step S115 and step S116). At this time, the search of the return direction ACLT-4 is executed in the form before conversion, and the result is reflected in the return direction session table T-1. However, a session is not registered for a packet rejected in return direction communication.
[0084]
When the first start direction communication packet is processed, session entries of the start direction session table T-2 and the return direction session table T-1 are registered, and the session of the start direction session table T-2 is started from the next start direction packet. It is determined that there is an entry (Yes in step S103), and hardware transfer is performed.
[0085]
Specifically, the start direction session lookup unit B-3 acquires dynamic NAT / NAPT information from the start direction session table T-2 (step S104), and if it is a target of the dynamic NAT / NAPT function (step S105). Yes), the dynamic NAT / NAPT information is edited (step S106).
[0086]
Next, the start direction dynamic packet filter unit B-4 obtains the state information from the start direction session table T-2 (step S107), and if it is a dynamic packet filter target (Yes in S108), the state check and Update processing is performed (step S109).
[0087]
Thereafter, the start direction dynamic NAT / NAPT unit B-5 transmits a start direction communication packet (step S110).
[0088]
On the other hand, for the return direction communication packet, since the search of the return direction ACLT-4 and the like have been completed in advance for the first start direction communication packet, it is only necessary to search the return direction session table T-1 reflecting the result. Processing can be performed.
[0089]
Specifically, when there is a return direction communication packet, the return direction session lookup unit A-1 searches the return direction ACLT-4 (step S201), searches the return direction session table T-1 (step S202), and If there is no session entry (No in step S203), the return direction communication packet is rejected (step S204).
[0090]
If there is a session entry (Yes in step S203), the return direction dynamic NAT / NAPT unit A-1 acquires dynamic NAT / NAPT information from the return direction session table T-1 (step S204), and the dynamic NAT. If it is the target of the / NAPT function (Yes in step S205), the dynamic NAT / NAPT information is edited (step S206).
[0091]
Next, the return direction dynamic packet filter unit A-3 acquires the state information from the return direction session table T-1 (step S209), and if it is a target of the dynamic packet filter (Yes in S210), the state check and Update processing is performed (step S211).
[0092]
Thereafter, the return direction router unit A-4 resolves the transfer destination of the return direction communication packet and transfers the return direction communication packet (step S212).
[0093]
According to the first embodiment, after the return direction communication packet is converted, the transfer destination (Destination) and the transfer source (Source) of the flow after dynamic NAT / NAPT conversion are reversed by ACL search, The ACL of the interface is searched and the result is registered in the return direction session table T-1. Therefore, in the return direction communication packet, if there is a hit in the return direction session table T-1, there is no need to search the return ACLT-4.
[0094]
Further, since the return direction communication is predicted and evaluated when the start direction session table T-2 and the return direction session table T-1 are created, and search processing such as the return direction ACLT-4 is executed. As a packet process by hardware, the load can be reduced only to the search process of the return direction session table T-1. Thereby, in the processing of the return direction communication packet, the search processing of the return direction ACLT-4 after the conversion in the return direction dynamic NAT / NAPT unit A-2 can be reduced. It is possible to improve.
[0095]
Furthermore, when generating the return direction session table T-1, it is possible to manage return direction communication packets from multiple interfaces by defining an interface group that can manage multiple external interfaces for which return direction communication is predicted and evaluated. It is said. For example, when the security gateway router device has interfaces # 1 to # 6, the external interface is # 1, # 2, the LAN side interface is # 3, # 4, and the DMZ (DeMilitized Zone) side interface is # 5. If it is # 6, these are grouped by type. That is, group # 1 (interfaces # 1, # 2), group # 2 (interfaces # 3, # 4), group # 3 (interfaces # 5, # 6), and so on.
[0096]
Since interfaces are managed as interface groups, return direction communication packets returned from an interface other than the start direction communication interface can be processed if the interface group is the same, and multiple external interfaces can be defined. . Here, assuming that the network is placed at the edge of the corporate network and used as a firewall, the external interface refers to an interface (line) connecting the corporate to the Internet. At present, PPPoE (Point-to-Point Protocol over Ethernet (registered trademark)) and FTTH (Fiber To The Home) are considered to be mainstream.
[0097]
[Second Embodiment]
Referring to FIG. 4, the security gateway router apparatus according to the second embodiment of the present invention is a routing process C as a software process with respect to the security gateway router apparatus according to the first embodiment shown in FIG. It has a configuration with -6 added. Accordingly, corresponding parts are denoted by the same reference numerals, and detailed description thereof is omitted.
[0098]
In the security gateway router device according to the second embodiment, the routing search processing in the return direction router unit A-4 is also reduced by performing the routing search in advance. The routing process C-6 is a software process for resolving the transfer destination, and performs an operation equivalent to that of the return direction router unit A-4 by software.
[0099]
As the second embodiment of the present invention, the basic configuration is as described above, but it is not only the dynamic packet filter that operates simultaneously with the dynamic NAT / NAPT, but also policy routing, QoS class identification, Any function that needs to be searched by a packet header such as IPsec policy search is effective.
[0100]
The session manager process C-1 converts the start direction session table T-2 and the return direction session table T-1 (step S117), and then cooperates with the routing process C-6 to provide a routing table for return direction communication (not shown). ) And the transfer destination information is also associated with the return direction session table T-1. Specifically, if you know the flow in the start direction, you can know the flow in the return direction, so when sending the start direction communication packet, receive the return direction communication packet with the flow in the return direction (invert source and destination) in advance. The return direction ACLT-4 applied to the interface to be used (or the WAN interface when exiting to the WAN) is searched. When a filter result is obtained in the search for the return direction ACLT-4, the result is linked to the return direction session table T-1. The dynamic NAT / NAPT process is similarly linked. Further, by retrieving the policy routing ACL and the routing table, information on the transfer destination interface is obtained, and this is also linked to the return direction session table T-1. What is obtained from the routing table is the transfer destination interface (interface of the return direction router unit A-4).
[0101]
Thereafter, the session manager process C-1 searches the start direction ACLT-3 and the return direction ACLT-4 in cooperation with the start direction ACL lookup process C-3 and the return direction ACL lookup process C-4. The start direction communication session and the return direction session are registered in the start direction session table T-2 and the return direction session table T-1 (steps S115 and S116).
[0102]
Next, with respect to the operation of the security gateway router apparatus according to the second embodiment configured as described above, the difference from the operation of the security gateway router apparatus according to the first embodiment will be mainly described with reference to FIG. This will be briefly described with reference to the flowchart shown in FIG.
[0103]
According to the second embodiment, when a start direction communication packet arrives, when a session entry is generated and registered in the start direction session table T-2, routing for return direction communication as well as the return direction ACLT-4 is performed. By searching a table (not shown) and associating the transfer destination information with the return direction session table T-1, transfer destination search processing in the return direction router unit A-4 can be reduced, and the hardware can be used for each packet. The effect that the processing load to perform can be reduced is acquired.
[0104]
【The invention's effect】
As described above, the present invention has the following effects.
[0105]
The first effect is that the search process such as ACL is executed by predicting and evaluating the return direction communication at the time of creating the session table. Therefore, as the packet processing by hardware for the return direction communication, only the session table search process is loaded. It can be reduced.
[0106]
The second effect is that the interfaces are managed as an interface group, so that packets returned from an interface other than the sending interface for start direction communication can be processed if the group is the same, and a plurality of external interfaces can be defined. It is.
[Brief description of the drawings]
FIG. 1 is a block diagram showing a configuration of a security gateway router apparatus according to a first embodiment of the present invention.
FIG. 2 is a diagram showing session information of a return direction session table and a start direction session table in FIG. 1, a NAT / NAPT action table linked thereto, and the like.
FIG. 3 is a flowchart showing an operation of the security gateway router apparatus according to the first embodiment.
FIG. 4 is a block diagram showing a configuration of a security gateway router apparatus according to a second embodiment of the present invention.
FIG. 5 is a flowchart showing an operation of the security gateway router apparatus according to the second embodiment.
FIG. 6 is a block diagram showing a configuration of a conventional security gateway router device.
FIG. 7 is a flowchart showing the operation of a conventional security gateway router device.
[Explanation of symbols]
A-1 Return direction session lookup section
A-2 Return direction dynamic NAT / NAPT section
A-3 Dynamic packet filter section
A-4 Return direction router
B-1 Start direction router
B-2 Start direction packet filter section
B-3 Start direction session lookup section
B-4 Start direction dynamic packet filter part
B-5 Starting direction dynamic NAT / NAPT part
C-1 Session Manager Process
C-2 NAT / NAPT manager process
C-3 ACL lookup process
C-4 ACL lookup process
C-5 Dynamic Packet Filter Manager Process
C-6 Routing process
T-1 Return direction session table
T-2 Start direction session table
T-3 Start direction ACL
T-4 Return direction ACL

Claims (12)

セッションテーブルを用いて動的ＮＡＴ／ＮＡＰＴ機能および動的パケットフィルタ機能を実現するセキュリティゲートウェイルータ装置において、
開始方向セッションテーブルの生成時に戻り方向ＡＣＬを検索し戻り方向セッションテーブルの生成の可否を判断する開始方向セッションルックアップ部と、
新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除するセッションマネージャプロセスと、
前記セッションマネージャプロセスと連携して開始方向ＡＣＬを検索する開始方向ＡＣＬルックアッププロセスと、
前記セッションマネージャプロセスと連携して戻り方向ＡＣＬを検索する戻り方向ＡＣＬルックアッププロセスと、
戻り方向通信パケットについて戻り方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する戻り方向セッションルックアップ部と
を有することを特徴とするセキュリティゲートウェイルータ装置。In a security gateway router device that implements a dynamic NAT / NAPT function and a dynamic packet filter function using a session table,
A start direction session lookup unit that searches the return direction ACL when generating the start direction session table and determines whether the return direction session table can be generated;
A session manager process that generates the return direction session table and the start direction session table for a new session and deletes the return direction session table and the start direction session table for an end session;
A start direction ACL lookup process for searching for a start direction ACL in cooperation with the session manager process;
A return direction ACL lookup process for retrieving a return direction ACL in cooperation with the session manager process;
A security gateway router apparatus comprising: a return direction session lookup unit that searches a return direction session table for a return direction communication packet and obtains information associated therewith when there is a session entry. セッションテーブルを用いて動的ＮＡＴ／ＮＡＰＴ機能および動的パケットフィルタ機能を実現するセキュリティゲートウェイルータ装置において、
開始方向セッションテーブルの生成時に戻り方向ＡＣＬを検索し戻り方向セッションテーブルの生成の可否を判断する開始方向セッションルックアップ部と、
新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除するセッションマネージャプロセスと、
前記セッションマネージャプロセスと連携して開始方向ＡＣＬを検索する開始方向ＡＣＬルックアッププロセスと、
前記セッションマネージャプロセスと連携して戻り方向ＡＣＬを検索する戻り方向ＡＣＬルックアッププロセスと、
前記セッションマネージャプロセスと連携して戻り方向通信パケットの転送先を解決するルーティングプロセスと、
戻り方向通信パケットについて戻り方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する戻り方向セッションルックアップ部と
を有することを特徴とするセキュリティゲートウェイルータ装置。In a security gateway router device that implements a dynamic NAT / NAPT function and a dynamic packet filter function using a session table,
A start direction session lookup unit that searches the return direction ACL when generating the start direction session table and determines whether the return direction session table can be generated;
A session manager process that generates the return direction session table and the start direction session table for a new session and deletes the return direction session table and the start direction session table for an end session;
A start direction ACL lookup process for searching for a start direction ACL in cooperation with the session manager process;
A return direction ACL lookup process for retrieving a return direction ACL in cooperation with the session manager process;
A routing process that resolves the transfer destination of the return direction communication packet in cooperation with the session manager process;
A security gateway router apparatus comprising: a return direction session lookup unit that searches a return direction session table for a return direction communication packet and obtains information associated therewith when there is a session entry. 開始方向通信パケットの転送先を解決する開始方向ルータ部と、
開始方向通信パケットについて開始方向ＡＣＬを検索する開始方向ＡＣＬルックアップ部と、
開始方向通信パケットについて開始方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する開始方向セッションルックアップ部と、
開始方向通信パケットの通過可否を判断する開始方向動的パケットフィルタ部と、
開始方向通信パケットについて動的にネットワークアドレス／ポート変換を行う開始方向動的ＮＡＴ／ＮＡＰＴ部と、
新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除するセッションマネージャプロセスと、
前記セッションマネージャプロセスと連携してネットワークアドレス／ポート割当てを行うＮＡＴ／ＮＡＰＴマネージャプロセスと、
前記セッションマネージャプロセスと連携して開始方向ＡＣＬを検索する開始方向ＡＣＬルックアッププロセスと、
前記セッションマネージャプロセスと連携して戻り方向ＡＣＬを検索する戻り方向ＡＣＬルックアッププロセスと、
前記セッションマネージャプロセスと連携して戻り方向通信パケットの通過可否を判断する動的パケットフィルタマネージャプロセスと、
戻り方向通信パケットについて戻り方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する戻り方向セッションルックアップ部と、
前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットについてネットワークアドレス／ポート変換を行う戻り方向動的ＮＡＴ／ＮＡＰＴ部と、
前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの通過可否を判断する戻り方向動的パケットフィルタ部と、
前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの転送先を解決する戻り方向ルータ部と
を有することを特徴とするセキュリティゲートウェイルータ装置。A start direction router that resolves the transfer destination of the start direction communication packet; and
A start direction ACL lookup unit for searching the start direction ACL for the start direction communication packet;
Search the start direction session table for the start direction communication packet, and if there is a session entry, start direction session lookup unit to obtain the accompanying information;
A start direction dynamic packet filter unit for determining whether or not a start direction communication packet can pass;
A start direction dynamic NAT / NAPT unit that dynamically performs network address / port conversion for the start direction communication packet;
A session manager process that generates the return direction session table and the start direction session table for a new session and deletes the return direction session table and the start direction session table for an end session;
A NAT / NAPT manager process that performs network address / port assignment in cooperation with the session manager process;
A start direction ACL lookup process for searching for a start direction ACL in cooperation with the session manager process;
A return direction ACL lookup process for retrieving a return direction ACL in cooperation with the session manager process;
A dynamic packet filter manager process that determines whether or not a return direction communication packet can pass in cooperation with the session manager process;
A return direction session lookup section that searches the return direction session table for a return direction communication packet and obtains information associated with the session entry; and
A return direction dynamic NAT / NAPT unit for performing network address / port conversion on a return direction communication packet based on information obtained by searching the return direction session table;
A return direction dynamic packet filter unit that determines whether or not a return direction communication packet can pass based on information obtained by searching the return direction session table;
A security gateway router apparatus comprising: a return direction router unit that resolves a transfer destination of a return direction communication packet based on information obtained by searching the return direction session table. 開始方向通信パケットの転送先を解決する開始方向ルータ部と、
開始方向通信パケットについて開始方向ＡＣＬを検索する開始方向ＡＣＬルックアップ部と、
開始方向通信パケットについて開始方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する開始方向セッションルックアップ部と、
開始方向通信パケットの通過可否を判断する開始方向動的パケットフィルタ部と、
開始方向通信パケットについてネットワークアドレス／ポートの割り当てを行う開始方向動的ＮＡＴ／ＮＡＰＴ部と、
新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除するセッションマネージャプロセスと、
前記セッションマネージャプロセスと連携してネットワークアドレス／ポートの割当てを行うＮＡＴ／ＮＡＰＴマネージャプロセスと、
前記セッションマネージャプロセスと連携して開始方向ＡＣＬを検索する開始方向ＡＣＬルックアッププロセスと、
前記セッションマネージャプロセスと連携して戻り方向ＡＣＬを検索する戻り方向ＡＣＬルックアッププロセスと、
前記セッションマネージャプロセスと連携して戻り方向通信パケットの通過可否を判断する動的パケットフィルタマネージャプロセスと、
前記セッションマネージャプロセスと連携して戻り方向通信パケットの転送先を解決するルーティングプロセスと、
前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットについてネットワークアドレス／ポート変換を行う戻り方向動的ＮＡＴ／ＮＡＰＴ部と、
前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの通過可否を判断する戻り方向動的パケットフィルタ部と、
前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの転送先を解決する戻り方向ルータ部と
を有することを特徴とするセキュリティゲートウェイルータ装置。A start direction router that resolves the transfer destination of the start direction communication packet; and
A start direction ACL lookup unit for searching the start direction ACL for the start direction communication packet;
Search the start direction session table for the start direction communication packet, and if there is a session entry, start direction session lookup unit to obtain the accompanying information;
A start direction dynamic packet filter unit for determining whether or not a start direction communication packet can pass;
A start direction dynamic NAT / NAPT unit for assigning a network address / port for a start direction communication packet;
A session manager process that generates the return direction session table and the start direction session table for a new session and deletes the return direction session table and the start direction session table for an end session;
A NAT / NAPT manager process for allocating network addresses / ports in cooperation with the session manager process;
A start direction ACL lookup process for searching for a start direction ACL in cooperation with the session manager process;
A return direction ACL lookup process for retrieving a return direction ACL in cooperation with the session manager process;
A dynamic packet filter manager process that determines whether or not a return direction communication packet can pass in cooperation with the session manager process;
A routing process that resolves the transfer destination of the return direction communication packet in cooperation with the session manager process;
A return direction dynamic NAT / NAPT unit for performing network address / port conversion on a return direction communication packet based on information obtained by searching the return direction session table;
A return direction dynamic packet filter unit that determines whether or not a return direction communication packet can pass based on information obtained by searching the return direction session table;
A security gateway router apparatus comprising: a return direction router unit that resolves a transfer destination of a return direction communication packet based on information obtained by searching the return direction session table. 前記戻り方向セッションテーブルが、セッションエントリとして、ＩＰＤＡ，ＩＰＳＡ，プロトコル，Ｌ４ＤＰおよびＬ４ＳＰを保持するとともに、ＮＡＴ／ＮＡＰＴアクショテーブルをリンクすることを特徴とする請求項１，請求項２，請求項３または請求項４記載のセキュリティゲートウェイルータ装置。The return direction session table holds IPDA, IPSA, protocol, L4DP, and L4SP as session entries, and links a NAT / NAPT action table. The security gateway router device according to claim 4. 前記戻り方向セッションテーブルの生成時において、戻り方向通信が予測し評価される外部インタフェースを複数管理可能なインタフェースグループを定義することにより、複数インタフェースからの戻り方向通信パケットの管理を可能とすることを特徴とする請求項１，請求項２，請求項３，請求項４または請求項５記載のセキュリティゲートウェイルータ装置。It is possible to manage return direction communication packets from a plurality of interfaces by defining an interface group capable of managing a plurality of external interfaces for which return direction communication is predicted and evaluated when the return direction session table is generated. 6. The security gateway router device according to claim 1, 2, 3, 4 or 5. セッションテーブルを用いて動的ＮＡＴ／ＮＡＰＴ機能および動的パケットフィルタ機能を実現するセキュリティゲートウェイルータ装置のセッションテーブル管理方法において、
開始方向セッションルックアップ部により開始方向セッションテーブルの生成時に戻り方向ＡＣＬを検索し戻り方向セッションテーブルの生成の可否を判断する工程と、
セッションマネージャプロセスにより新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除する工程と、
前記セッションマネージャプロセスと連携して開始方向ＡＣＬルックアッププロセスにより開始方向ＡＣＬを検索する工程と、
前記セッションマネージャプロセスと連携して戻り方向ＡＣＬルックアッププロセスにより戻り方向ＡＣＬを検索する工程と、
戻り方向セッションルックアップ部により戻り方向通信パケットについて戻り方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する工程と
を含むことを特徴とするセッションテーブル管理方法。In a session table management method for a security gateway router device that implements a dynamic NAT / NAPT function and a dynamic packet filter function using a session table,
A step of searching the return direction ACL when generating the start direction session table by the start direction session lookup unit and determining whether or not the return direction session table can be generated;
Generating the return direction session table and the start direction session table for a new session by a session manager process and deleting the return direction session table and the start direction session table for an end session;
Retrieving a start direction ACL by a start direction ACL lookup process in cooperation with the session manager process;
Retrieving a return direction ACL by a return direction ACL lookup process in cooperation with the session manager process;
A session table management method comprising: a step of searching a return direction communication table for a return direction communication packet by a return direction session lookup unit, and acquiring information associated therewith when there is a session entry. セッションテーブルを用いて動的ＮＡＴ／ＮＡＰＴ機能および動的パケットフィルタ機能を実現するセキュリティゲートウェイルータ装置のセッションテーブル管理方法において、
開始方向セッションルックアップ部により開始方向セッションテーブルの生成時に戻り方向ＡＣＬを検索し戻り方向セッションテーブルの生成の可否を判断する工程と、
セッションマネージャプロセスにより新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除する工程と、
開始方向ＡＣＬルックアッププロセスにより前記セッションマネージャプロセスと連携して開始方向ＡＣＬを検索する工程と、
戻り方向ＡＣＬルックアッププロセスにより前記セッションマネージャプロセスと連携して戻り方向ＡＣＬを検索する工程と、
前記セッションマネージャプロセスと連携してルーティングプロセスにより戻り方向通信パケットの転送先を解決する工程と、
戻り方向セッションルックアップ部により戻り方向通信パケットについて戻り方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する工程と
を含むことを特徴とするセッションテーブル管理方法。In a session table management method for a security gateway router device that implements a dynamic NAT / NAPT function and a dynamic packet filter function using a session table,
A step of searching the return direction ACL when generating the start direction session table by the start direction session lookup unit and determining whether or not the return direction session table can be generated;
Generating the return direction session table and the start direction session table for a new session by a session manager process and deleting the return direction session table and the start direction session table for an end session;
Retrieving a start direction ACL in cooperation with the session manager process by a start direction ACL lookup process;
Retrieving a return direction ACL in cooperation with the session manager process by a return direction ACL lookup process;
Resolving a transfer destination of a return direction communication packet by a routing process in cooperation with the session manager process;
A session table management method comprising: a step of searching a return direction communication table for a return direction communication packet by a return direction session lookup unit, and acquiring information associated therewith when there is a session entry. 開始方向ルータ部により開始方向通信パケットの転送先を解決する工程と、
開始方向ＡＣＬルックアップ部により開始方向通信パケットについて開始方向ＡＣＬを検索する工程と、
開始方向セッションルックアップ部により開始方向通信パケットについて開始方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する工程と、
開始方向動的パケットフィルタ部により開始方向通信パケットの通過可否を判断する工程と、
開始方向動的ＮＡＴ／ＮＡＰＴ部により開始方向通信パケットについて動的にネットワークアドレス／ポート変換を行う工程と、
セッションマネージャプロセスにより新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除する工程と、
前記セッションマネージャプロセスと連携してＮＡＴ／ＮＡＰＴマネージャプロセスによりネットワークアドレス／ポート割当てを行う工程と、
前記セッションマネージャプロセスと連携して開始方向ＡＣＬルックアッププロセスにより開始方向ＡＣＬを検索する工程と、
前記セッションマネージャプロセスと連携して戻り方向ＡＣＬルックアッププロセスにより戻り方向ＡＣＬを検索する工程と、
前記セッションマネージャプロセスと連携して動的パケットフィルタマネージャプロセスにより戻り方向通信パケットの通過可否を判断する工程と、
戻り方向セッションルックアップ部により戻り方向通信パケットについて戻り方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する工程と、
戻り方向動的ＮＡＴ／ＮＡＰＴ部により前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットについてネットワークアドレス／ポート変換を行う工程と、
戻り方向動的パケットフィルタ部により前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの通過可否を判断する工程と、
戻り方向ルータ部により前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの転送先を解決する工程と
を含むことを特徴とするセッションテーブル管理方法。Resolving the transfer destination of the start direction communication packet by the start direction router unit;
Searching the start direction communication packet for the start direction communication packet by the start direction ACL lookup unit;
A step of searching a start direction session table for a start direction communication packet by a start direction session lookup unit and acquiring information accompanying it when there is a session entry;
Determining whether or not the start direction communication packet can be passed by the start direction dynamic packet filter unit;
Dynamically performing network address / port conversion for the start direction communication packet by the start direction dynamic NAT / NAPT unit;
Generating the return direction session table and the start direction session table for a new session by a session manager process and deleting the return direction session table and the start direction session table for an end session;
Network address / port assignment by a NAT / NAPT manager process in cooperation with the session manager process;
Retrieving a start direction ACL by a start direction ACL lookup process in cooperation with the session manager process;
Retrieving a return direction ACL by a return direction ACL lookup process in cooperation with the session manager process;
Determining whether a return direction communication packet can be passed by a dynamic packet filter manager process in cooperation with the session manager process;
A step of searching the return direction session table for the return direction communication packet by the return direction session lookup unit and obtaining information accompanying it when there is a session entry;
Performing a network address / port conversion on a return direction communication packet based on information obtained by searching the return direction session table by a return direction dynamic NAT / NAPT unit;
Determining whether or not a return direction communication packet can pass based on information obtained by searching the return direction session table by a return direction dynamic packet filter unit;
Resolving the transfer destination of the return direction communication packet based on the information obtained by the search of the return direction session table by the return direction router unit. 開始方向ルータ部により開始方向通信パケットの転送先を解決する工程と、
開始方向ＡＣＬルックアップ部により開始方向通信パケットについて開始方向ＡＣＬを検索する工程と、
開始方向セッションルックアップ部により開始方向通信パケットについて開始方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する工程と、
開始方向動的パケットフィルタ部により開始方向通信パケットの通過可否を判断する工程と、
開始方向動的ＮＡＴ／ＮＡＰＴ部により開始方向通信パケットについてネットワークアドレス／ポートの割り当てを行う工程と、
セッションマネージャプロセスにより新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除する工程と、
前記セッションマネージャプロセスと連携してＮＡＴ／ＮＡＰＴマネージャプロセスによりネットワークアドレス／ポートの割当てを行う工程と、
前記セッションマネージャプロセスと連携して開始方向ＡＣＬルックアッププロセスにより開始方向ＡＣＬを検索する工程と、
前記セッションマネージャプロセスと連携して戻り方向ＡＣＬルックアッププロセスにより戻り方向ＡＣＬを検索する工程と、
前記セッションマネージャプロセスと連携して動的パケットフィルタマネージャプロセスにより戻り方向通信パケットの通過可否を判断する工程と、
前記セッションマネージャプロセスと連携してルーティングプロセスにより戻り方向通信パケットの転送先を解決する工程と、
戻り方向動的ＮＡＴ／ＮＡＰＴ部により前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットについてネットワークアドレス／ポート変換を行う工程と、
戻り方向動的パケットフィルタ部により前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの通過可否を判断する工程と、
戻り方向ルータ部により前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの転送先を解決する工程と
を有することを特徴とするセッションテーブル管理方法。Resolving the transfer destination of the start direction communication packet by the start direction router unit;
Searching the start direction communication packet for the start direction communication packet by the start direction ACL lookup unit;
A step of searching a start direction session table for a start direction communication packet by a start direction session lookup unit and acquiring information accompanying it when there is a session entry;
Determining whether or not the start direction communication packet can be passed by the start direction dynamic packet filter unit;
Assigning a network address / port for the start direction communication packet by the start direction dynamic NAT / NAPT unit;
Generating the return direction session table and the start direction session table for a new session by a session manager process and deleting the return direction session table and the start direction session table for an end session;
Assigning a network address / port by a NAT / NAPT manager process in cooperation with the session manager process;
Retrieving a start direction ACL by a start direction ACL lookup process in cooperation with the session manager process;
Retrieving a return direction ACL by a return direction ACL lookup process in cooperation with the session manager process;
Determining whether a return direction communication packet can be passed by a dynamic packet filter manager process in cooperation with the session manager process;
Resolving a transfer destination of a return direction communication packet by a routing process in cooperation with the session manager process;
Performing a network address / port conversion on a return direction communication packet based on information obtained by searching the return direction session table by a return direction dynamic NAT / NAPT unit;
Determining whether or not a return direction communication packet can pass based on information obtained by searching the return direction session table by a return direction dynamic packet filter unit;
And a step of resolving the transfer destination of the return direction communication packet based on the information obtained by searching the return direction session table by the return direction router unit. 前記戻り方向セッションテーブルが、セッションエントリとして、ＩＰＤＡ，ＩＰＳＡ，プロトコル，Ｌ４ＤＰおよびＬ４ＳＰを保持するとともに、ＮＡＴ／ＮＡＰＴアクショテーブルをリンクすることを特徴とする請求項７，請求項８，請求項９または請求項１０記載のセッションテーブル管理方法。The return direction session table holds IPDA, IPSA, protocol, L4DP, and L4SP as session entries, and links a NAT / NAPT action table. The session table management method according to claim 10. 前記戻り方向セッションテーブルの生成時において、戻り方向通信が予測し評価される外部インタフェースを複数管理可能なインタフェースグループを定義することにより、複数インタフェースからの戻り方向通信パケットの管理を可能とすることを特徴とする請求項７，請求項８，請求項９，請求項１０または請求項１１記載のセッションテーブル管理方法。It is possible to manage return direction communication packets from a plurality of interfaces by defining an interface group capable of managing a plurality of external interfaces for which return direction communication is predicted and evaluated when the return direction session table is generated. 12. The session table management method according to claim 7, 8, 8, 9, 10 or 11.
JP2003180473A 2003-06-25 2003-06-25 Security gateway router device and session table management method Expired - Fee Related JP4131203B2 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2003180473A JP4131203B2 (en) 2003-06-25 2003-06-25 Security gateway router device and session table management method

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2003180473A JP4131203B2 (en) 2003-06-25 2003-06-25 Security gateway router device and session table management method

Publications (2)

Publication Number Publication Date
JP2005020222A true JP2005020222A (en) 2005-01-20
JP4131203B2 JP4131203B2 (en) 2008-08-13

Family

ID=34181448

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2003180473A Expired - Fee Related JP4131203B2 (en) 2003-06-25 2003-06-25 Security gateway router device and session table management method

Country Status (1)

Country Link
JP (1) JP4131203B2 (en)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010011206A (en) * 2008-06-27 2010-01-14 Mitsubishi Electric Corp Gateway device and packet filtering method
US9824107B2 (en) 2006-10-25 2017-11-21 Entit Software Llc Tracking changing state data to assist in computer network security

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9824107B2 (en) 2006-10-25 2017-11-21 Entit Software Llc Tracking changing state data to assist in computer network security
JP2010011206A (en) * 2008-06-27 2010-01-14 Mitsubishi Electric Corp Gateway device and packet filtering method

Also Published As

Publication number Publication date
JP4131203B2 (en) 2008-08-13

Similar Documents

Publication Publication Date Title
JP3465620B2 (en) Virtual private network construction system
US8054804B2 (en) Method of and system for support of user devices roaming between routing realms by a single network server
JP4919608B2 (en) Packet transfer device
JP3717836B2 (en) Dynamic load balancer
EP1535449B1 (en) System and method for dynamic simultaneous connection to multiple service providers
CN107046506B (en) Message processing method, flow classifier and service function example
JPWO2005027438A1 (en) Packet relay device
WO2007031593A1 (en) Routing data packets from a multihomed host
JP4077351B2 (en) Name / address converter
KR101358775B1 (en) User access method, system, and access server, access device
US11463357B2 (en) Method and system for propagating network traffic flows between end points based on service and priority policies
US7870246B1 (en) System, method, and computer program product for platform-independent port discovery
JP3858884B2 (en) Network access gateway, network access gateway control method and program
US20130246603A1 (en) System, method, and computer program product for automatic router discovery
KR100964860B1 (en) Device and method for address mapping
JP4131203B2 (en) Security gateway router device and session table management method
Cisco Configuring IP Addressing
Cisco Configuring IP Addressing
Cisco Configuring IP Addressing
Cisco Configuring IP Addressing
Cisco Configuring IP
Stott Snmp-based layer-3 path discovery
US11824738B2 (en) Network traffic flooding for unknown data-link to transport mapping scenarios
JP5152835B2 (en) Multiple access device
KR100881418B1 (en) Apparatus and method of network address translation

Legal Events

Date Code Title Description
RD01 Notification of change of attorney

Free format text: JAPANESE INTERMEDIATE CODE: A7421

Effective date: 20050124

RD01 Notification of change of attorney

Free format text: JAPANESE INTERMEDIATE CODE: A7421

Effective date: 20050314

A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20060518

RD01 Notification of change of attorney

Free format text: JAPANESE INTERMEDIATE CODE: A7421

Effective date: 20070118

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20080404

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20080430

A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20080513

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20110606

Year of fee payment: 3

R150 Certificate of patent or registration of utility model

Free format text: JAPANESE INTERMEDIATE CODE: R150

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20110606

Year of fee payment: 3

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20120606

Year of fee payment: 4

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20120606

Year of fee payment: 4

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20130606

Year of fee payment: 5

LAPS Cancellation because of no payment of annual fees