JP2005027218A - パケット経路制御装置およびファイアウォール負荷軽減方法 - Google Patents

Abstract

【課題】 ファイアウォールのパケット処理の負荷を軽減する。
【解決手段】 ファイアウォール３０（３０ａ〜３０ｎ）のパケットの処理負荷を軽減するため、パケット経路制御装置１Ｂを、１以上のファイアウォール３０（３０ａ〜３０ｎ）への出力インターフェースおよび１以上のファイアウォール３０（３０ａ〜３０ｎ）からの入力インターフェース１５１ａ〜１５１ｎと、ファイアウォール３０（３０ａ〜３０ｎ）から受信したパケットに関する情報を取得するパケットヘッダ情報抽出部６ａ〜６ｂと、この情報に基づき各パケットの出力先に関する情報を編集するカットスルー情報設定部５と、各パケットの出力先に関する情報を格納するフォワーディング部１０と、この出力先に関する情報に基づきパケットを出力するスイッチ２とを備える構成とした。
【選択図】 図１

Description

本発明は、ファイアウォールの負荷軽減に資するパケット経路制御装置およびファイアウォール負荷軽減方法に関する。

企業内のローカルエリアネットワーク（ＬＡＮ）をインターネットからの不正侵入を保護するために、企業内ＬＡＮとインターネットとの間にファイアウォールを設置することが行われている。
例えば、企業内ＬＡＮとインターネットとの間に要求される接続数に対して、１つのファイアウォールで処理できる接続数が少ない場合等には、複数のファイアウォールを並列に設置するネットワークシステムが構築される。

このようなシステムにより、ファイアウォール全体として所定の接続処理能力を担保できるが、特定のファイアウォールに負荷が集中すると、そのファイアウォールで処理できる許容限度を超えてしまうおそれがある。このため、複数のファイアウォールを並列的に用いるシステムでは、各ファイアウォールの接続負荷を考慮する必要がある。
そこで、各ファイアウォールの接続負荷を軽減するため、ネットワーク内の各ファイアウォールの負荷を管理する装置を設置し、負荷の低いファイアウォールを選択して、ファイアウォールの負荷を分散（軽減）する技術がある（特許文献１参照）。
特開２０００−３３０８９７号公報（［００１９］〜［００３７］）

しかし、従来技術のような方法は、ファイアウォールの負荷を軽減するために接続数に応じたファイアウォールを設置する必要があり、利用者のコスト負担が大きい。特に、大規模なネットワークに適したファイアウォールは、個人向けのファイアウォールに比べて高価であり、それを複数設置することは利用者のコストの負担が大きくなる。

そこで、本発明では、前記した問題を解決するパケット経路制御装置およびファイアウォール負荷軽減方法を提供することを課題とする。

前記課題を解決するため、本発明の請求項１に係る発明は、ファイアウォールのパケットの処理負荷を軽減するパケット経路制御装置であって、１以上のファイアウォールへの出力インターフェースおよび１以上のファイアウォールからの入力インターフェースと、前記ファイアウォールから受信したパケットに関する情報を取得するパケットヘッダ情報抽出部と、この情報に基づき各パケットの出力先に関する情報を編集するカットスルー情報選択部と、前記各パケットの出力先に関する情報を格納するフォワーディング部と、この出力先に関する情報に基づき、パケットを出力するスイッチとを備えることを特徴とする。

この構成によれば、ルータ（パケット経路制御装置）は、各ネットワークから受信したパケットを、いったんファイアウォールを経由させてから受信する。そして、このルータは、ファイアウォールを経由して受信した（戻って来た）パケットに関する情報、すなわちファイアウォールで破棄されなかったパケットに関する情報を取得するので、この情報に基づきパケットの出力先に関する情報をフォワーディング部に設定することで、戻って来たパケットと同じ特徴を有する後続のパケットは、ファイアウォールを経由しないようにすることができる。したがって、ファイアウォールのパケット処理の負荷を軽減することができる。

請求項２に係る発明は、ファイアウォールのパケットの処理負荷を軽減するパケット経路制御装置であって、１以上のファイアウォールへの出力インターフェースおよび１以上のファイアウォールからの入力インターフェースと、前記ファイアウォールから受信したパケットに関する情報を取得するパケットヘッダ情報抽出部と、前記ファイアウォールに送信したパケットに関する情報を取得し、前記ファイアウォールから受信したパケットに関する情報と照合するパケットヘッダ情報照合部と、前記照合結果に基づき各パケットの出力先に関する情報を作成するカットスルー情報選択部と、前記各パケットの出力先に関する情報を格納するフォワーディング部と、この出力先に関する情報に基づき、パケットを出力または破棄するスイッチとを備えることを特徴とする。
を特徴とする。

請求項６に係る発明は、パケットの経路制御によりファイアウォールのパケットの処理負荷を軽減する方法であって、パケット経路制御装置が、ファイアウォールへ出力されたパケットに関する情報を取得するステップと、前記ファイアウォールから入力されたパケットに関する情報を取得するステップと、前記ファイアウォールへ出力されたパケットに関する情報から、前記ファイアウォールから入力されたパケットに関する情報を除外した差分の情報である破棄パケットに関する情報を作成するステップと、前記パケット経路制御装置が受信したパケットのうち、前記破棄パケットに関する情報に適合するパケットを破棄するステップとを備えることを特徴とする。

この構成によれば、ルータ（パケット経路制御装置）は、ファイアウォールで破棄されたパケットに関する情報を取得するので、このパケットと同じ特徴を有する後続のパケットは、ファイアウォールを経由せず、このルータで破棄することができる。したがって、ファイアウォールがパケットを処理する負荷、特にパケットの破棄の処理負担を軽減することができる。

請求項３に係る発明は、請求項１または請求項２に記載のパケット経路制御装置パケットの出力先に関する情報が、前記パケットの送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス、宛先ポート番号、プロトコル番号のうち少なくとも１の項目を含んで構成されることを特徴とする。

この構成によれば、前記パケットの送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス、宛先ポート番号、プロトコル番号といったＩＰパケットのヘッダ情報に含まれている情報に基づいて、各パケットの出力先を設定（指示）することができる。

請求項４に係る発明は、請求項１から請求項３のいずれか１項に記載のパケット経路制御装置の前記カットスルー情報選択部が、ファイアウォールから受信したパケットに関する情報により、各パケットの特徴となる情報を選択し、この特徴となる情報に基づき各パケットの出力先に関する情報を編集することを特徴とする。

この構成によれば、ファイアウォールから戻って来たパケットに関する情報（ヘッダ情報）をそのままパケットの出力先の情報（カットスルーの情報）とせず、パケットヘッダ情報抽出部から抽出された情報を選択し、編集することができるので、抽出された情報の中から必要な情報のみをパケットの出力先の情報として設定することができる。また、この情報の編集にあたり、パケットに関する情報（ヘッダ情報）からパケットの特徴となる情報、例えばヘッダ情報のポート番号等を、ファイアウォールを経由させないパケットの共通する特徴として設定することも可能となる。

請求項５に係る発明は、請求項１から請求項４のいずれか１項に記載のパケット経路制御装置の前記フォワーディング部のパケットの出力先に関する各情報のそれぞれが、情報の種類に対して予め決められた所定時間ごとに消去されることを特徴とする。

この構成によれば、フォワーディング部のパケットの出力先に関する情報（フォワーディングテーブルの情報）は、その情報の種類に対して予め決められた所定時間ごとに消去されるので、例えば、ファイアウォールのセキュリティポリシー（パケット破棄のルール）が変更されたにも拘わらず、ルータ（パケット経路制御装置）がいつまでも過去のセキュリティポリシーに基づいたパケットのフォワーディング（出力先の決定）やフィルタリングを行うのを防ぐことができる。すなわち、ファイアウォールのセキュリティポリシーが変更された場合に、フォワーディング部のフォワーディングテーブルもこれに速やかに対応できるようにすることにより、ルータ（経路制御装置）のファイアウォールのセキュリティポリシーに同調したパケットのフォワーディング（出力先の決定）やフィルタリング処理を可能とする。
ここで、情報の種類は、例えばパケットの送信元ＩＰアドレスや、プロトコルといったパケットの特徴を表す項目により分類されたものであり、所定時間とは、後記する実施の形態では、フォワーディングテーブル内のタイマ値である。

請求項１、請求項３および請求項４に係る発明によれば、ルータ（経路制御装置）がパケットを受信し、このパケットが一度ファイアウォールを通過すると、そのパケットと同じ特徴を有する後続パケットはファイアウォールを経由せず、直接各ネットワーク（ＬＡＮ等）に転送されるので、ファイアウォールのパケット処理の負荷（ファイアウォールに入力される総トラフィック量）を軽減することができる。
また、各ファイアウォールのパケット処理の負荷を軽減することで、多数のファイアウォールを設置しなくとも、必要とされる処理能力を担保でき、ファイアウォール設置にかかるコストを軽減できる。

請求項２および請求項６に係る発明によれば、ファイアウォールが破棄したパケットと同じ特徴を有するパケットは、それ以後ファイアウォールを通ることなく、ルータ内で破棄するので、各ファイアウォールのパケット処理の負荷、特にパケットの破棄の負担を軽減することができる。
また、各ファイアウォールのパケット処理の負荷を軽減することで、多数のファイアウォールを設置しなくとも、必要とされる処理能力を担保でき、ファイアウォール設置にかかるコストを低減できる。

請求項５に係る発明によれば、ルータ（経路制御装置）は、ファイアウォールのセキュリティポリシーに同調したパケットのフォワーディング（出力先の決定）やフィルタリング処理を行うことができるので、ファイアウォールのパケット処理の負荷を軽減することができる。また、多数のファイアウォールを設置しなくとも、必要とされる処理能力を担保でき、ファイアウォール設置にかかるコストを低減できる。

次に、本発明の実施の形態について、図面を参照して詳細に説明する。
まず、本発明の実施の形態の基本的構成および処理手順について説明し、その後、特徴的構成を第１の実施の形態および第２の実施の形態として説明する。

＜基本的構成＞
図３は、本発明の実施の形態の基本的構成となるルータ（パケット経路制御装置）１Аと、ルータ１Аに接続される複数のファイアウォール３０（３０ａ〜３０ｎ）を示した図である。
ルータ１Ａおよびファイアウォール３０（３０ａ〜３０ｎ）の構成およびパケットの処理手順を、図３を用いて説明する。
なお、二点鎖線の矢印は各種制御情報（抽出されたヘッダ情報やフォワーディングテーブルへの設定情報）の流れを示し、実線の矢印は、制御対象となるパケットの流れを示す。

ルータ１Аは、受信したＩＰパケット（以下パケットと略す）のヘッダ情報を読み込み、パケットを所定のネットワーク、ファイアウォール３０（３０ａ〜３０ｎ）、またはインターネットへ送信（転送）する機能を有する。

したがって、ルータ１Ａは、インターネットからパケットを受信する入力インターフェース１００と、インターネット側へパケットを送信する出力インターフェース１０１と、パケットのヘッダ情報等を読み込んで各パケットの出力先を指定するフォワーディング部１０と、フォワーディング部１０のフォワーディングテーブルの設定を行うためのフォワーディングテーブル設定部９と、このフォワーディングテーブル設定部９に各種情報を入力する設定インターフェース９００と、指定された出力先にパケットをスイッチ（出力）するスイッチ２と、ファイアウォール３０（３０ａ〜３０ｎ）へパケットを送信する出力インターフェース１５０（１５０ａ〜１５０ｎ）と、ファイアウォール３０（３０ａ〜３０ｎ）からのパケットを受信する入力インターフェース１５１（１５１ａ〜１５１ｎ）と、パケットを各ネットワーク（ＬＡＮ等）に出力するための出力インターフェース２００（２００ａ〜２００ｎ）と、各ネットワーク（ＬＡＮ等）からパケットを受信する入力インターフェース２０１（２０１ａ〜２０１ｎ）とを含んで構成される。

ファイアウォール３０（３０ａ〜３０ｎ）は、ルータ１Аから送信されたパケットのヘッダ情報等を参照し、所定のルールに適合するパケットを破棄し、破棄しなかったパケットを、ルータ１Аに出力する（戻す）機能を有する。
ここで所定のルールとは、例えば「パケットのプロトコルがＵＤＰ（User Datagram Protocol）で、ポート番号５３とポート番号１２３以外であった場合は、このパケットをすべて破棄する」といったルールである。

以下、図３を参照して、ルータ１Аとファイアウォール３０（３０ａ〜３０ｎ）のパケットの処理手順を、ルータ１Ａがインターネット側からパケットを受信した場合を例に説明する。

ルータ１Аは、入力インターフェース１００で、インターネットから送信されてくるパケットを受信する。そして、フォワーディング部１０が、フォワーディング部１０内のフォワーディングテーブルの内容を参照して、受信したパケットに出力インターフェース１５０（１５０ａ〜１５０ｎ）を指定するデータを付加する。

スイッチ２は、フォワーディング部１０から出力されたパケットを受信し、このパケットに付加された出力インターフェース１５０（１５０ａ〜１５０ｎ）を指定するデータを参照して、このパケットを出力インターフェース１５０（１５０ａ〜１５０ｎ）へスイッチする。
そして、出力インターフェース１５０（１５０ａ〜１５０ｎ）は、このパケットをファイアウォール３０（３０ａ〜３０ｎ）へ出力する。

ファイアウォール３０（３０ａ〜３０ｎ）は、ルータ１Аからパケットを受信すると、所定のルールを参照して、ルータ１Аへ出力すべきパケットはルータ１Аへ出力し、その他のパケットは破棄する。

ルータ１Аの入力インターフェース１５１（１５１ａ〜１５１ｎ）は、ファイアウォール３０（３０ａ〜３０ｎ）から、ファイアウォール３０（３０ａ〜３０ｎ）を通過したパケットを受信する。そして、このパケットを、フォワーディング部１０へ出力する。

フォワーディング部１０は、フォワーディング部１０に格納されたフォワーディングテーブルの情報を参照して、受信したパケットに出力インターフェース２００（２００ａ〜２００ｎ）を指定するデータを付加する。

ここで、フォワーディングテーブルは、スイッチ２のパケットの出力先（スイッチ先）を指定する情報であり、フォワーディング部１０内の記憶媒体に記憶されているものである。
フォワーディングテーブルは、例えば、パケットの送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス、宛先ポート番号、プロトコル番号、ＩＰパケットのスイッチ出力端子、パケットの有効時間であるタイマ値等を含んで構成される。

このフォワーディングテーブルの情報は、このルータ１Аのオペレータが、フォワーディングテーブル設定部９を介して設定できるものとする。具体的には、オペレータは所定のオペレーションサポートシステム（ＯＳＳ）を用いて、設定インターフェース９００からフォワーディングテーブル設定部９に設定情報の入力を行う。

スイッチ２は、フォワーディング部１０から出力されたパケットを受信し、このパケットに付加された出力先に関するデータを参照して、このパケットを出力インターフェース２００（２００ａ〜２００ｎ）へスイッチする。そして、出力インターフェース２００（２００ａ〜２００ｎ）は、ネットワーク（ＬＡＮ等）を介して各クライアントにパケットを送信する。

以上、本実施の形態の基本的構成であるルータ１Ａおよびファイアウォール３０（３０ａ〜３０ｎ）のパケット処理手順について説明した。

＜第１の実施の形態＞
次に、本発明の第１の実施の形態について図１を用いて説明する。前記説明した基本的構成と同様の構成要素は、同じ符号を付して説明を省略する。

図１は、本発明の第１の実施の形態であるルータ１Ｂの構成を示した図である。
本実施の形態のルータ１Ｂは、ファイアウォール３０（３０ａ〜３０ｎ）で破棄されなかった（通過できた）パケットのヘッダ情報を記録しておき、このヘッダ情報と同じ特徴を有するヘッダ情報を有するパケットについては、直接各ネットワーク（ＬＡＮ等）に送信する、すなわちファイアウォール３０（３０ａ〜３０ｎ）への出力をカットスルーすることを特徴とする。

したがって、ルータ１Ｂは、前記した基本的構成であるルータ１Ａに、パケットのヘッダ情報を抽出するパケットヘッダ情報抽出部６ａ〜６ｎと、ファイアウォールをカットスルーさせるパケットの特徴に関する情報を選択するカットスルー情報選択部５とを付加した構成となっている。
なお、パケットのヘッダ情報とは、パケットの送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス、宛先ポート番号、プロトコル番号等を含んで構成され、パケットの先頭に付加されている情報である。

パケットヘッダ情報抽出部６ａ〜６ｎは、ファイアウォール３０（３０ａ〜３０ｎ）を通過したパケットのヘッダ情報を抽出し、カットスルー情報選択部５の図示しない記憶手段に記録する。

カットスルー情報選択部５は、ファイアウォールを経由させない（カットスルーさせる）パケットに関する情報（特徴）を作成する手段である。
すなわち、カットスルー情報選択部５は、パケットヘッダ情報抽出部６ａ〜６ｎから抽出されたヘッダ情報を所定のルールを用いて選択、編集し、カットスルーさせるパケットの特徴となる情報を作成する。そして、この情報を、フォワーディングテーブル設定部９を介してフォワーディング部１０に出力し、フォワーディングテーブルを書き換える。

カットスルーさせるパケットの特徴となる情報とは、パケットヘッダ情報抽出部６ａ〜６ｎから抽出されたヘッダ情報、すなわちファイアウォール３０（３０ａ〜３０ｎ）を通過したパケットのヘッダ情報から作成されるもので、例えば、「パケットの送信元ＩＰアドレスが『２２１．０３８．２０４．０７０』で、プロトコルが『ＵＤＰ』」といった情報である。

ここで、カットスルー情報選択部５がヘッダ情報を選択、編集するためのルールは、予め設定されたものでもよいが、オペレータが設定インターフェース９００を介し、ＯＳＳにより設定や書き換えができるものとする。なお、このルールは、カットスルー情報選択部５内に記憶されているものとする。

例えば、オペレータは、カットスルー情報選択部５に、パケットヘッダ情報抽出部６ａ〜６ｎから抽出されたヘッダ情報のうち、ポート番号「６９」のヘッダ情報のみを選択してフォワーディングテーブル設定部９に出力するよう設定することもできる。すなわち、ファイアウォール３０（３０ａ〜３０ｎ）を通過したパケットのうち、送信元ポート番号「６９」のパケットのみをカットスルーするよう設定することもできる。

ここで、本実施の形態のルータ１Ｂ内のフォワーディングテーブルについて説明する。
表１は、フォワーディングテーブルを例示したものである。
前記したとおり、フォワーディングテーブルは、スイッチ２の出力先を指定する情報であり、表１に例示されるように、パケットの送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス、宛先ポート番号、プロトコル番号、ＩＰパケットのスイッチ出力端子、各パケットの有効時間であるタイマ値などを含んで構成される。

例えば、表１の１行目の情報は、送信元ＩＰアドレスが「２２１．０３８．２０４．０６３」、送信元ポート番号が「６９」で、宛先ＩＰアドレスが「０９０．１３４．００６．１９７」で、宛先ポート番号が「１０２５」であり、プロトコル番号が「１７」（ＵＤＰ）であるパケットのスイッチ出力端子は、「＃２」であることを示している。
これらの情報は、オペレータがフォワーディングテーブル設定部９を介して、手動で設定することもできる。

また、カットスルー情報選択部５は、図示しないタイマを持ち、フォワーディング部１０のフォワーディングテーブルに記述された情報を、その情報の種類に対して予め決められた所定時間ごとに消去する。このようにすることで、ファイアウォール３０（３０ａ〜３０ｎ）のセキュリティポリシーが変更された場合、フォワーディングテーブルもこれに速やかに対応することができる。
なお、前記した所定時間（消去するタイミング）は、オペレータがＯＳＳを用いて設定することができ、各パケットの消去されるタイミング（有効時間）は、フォワーディングテーブルの「タイマ値」に記述される。

フォワーディングテーブル設定部９は、前記したカットスルーさせるパケットの特徴となる情報をフォワーディング部１０のフォワーディングテーブルに書き込む。
例えば、カットスルー情報選択部５で設定されたルールが、「カットスルーさせるパケットの特徴は、ファイアウォール３０（３０ａ〜３０ｎ）を通過できたパケットで、ヘッダ情報のパケットの送信元ＩＰアドレスと、送信元ポート番号と、宛先ＩＰアドレスと、宛先ポート番号と、プロトコル番号とがすべて共通するパケット」というルールであった場合、フォワーディングテーブル設定部９は、これらの要素に関するヘッダ情報をフォワーディング部１０のフォワーディングテーブルに書き込む。

このフォワーディングテーブルの情報に基づき、フォワーディング部１０はインターネット側から来たパケットのうち、ファイアウォール３０（３０ａ〜３０ｎ）を通過したデータ（パケット）と同じ特徴のヘッダ情報を有するパケットについては、ファイアウォール３０（３０ａ〜３０ｎ）を経由せず、出力インターフェース２００ａ〜２００ｎへ直接送信する。すなわちファイアウォール３０（３０ａ〜３０ｎ）をカットスルーさせる。

具体的には、フォワーディングテーブルには、当初（パケットがルータ１Ｂで受信されたとき）、表２に例示されるようにＩＰパケットスイッチ出力端子が「＃２」と書かれていたものを、このパケットがファイアウォール３０（３０ａ〜３０ｎ）を通過すると、表３に示されるように、ＩＰパケットスイッチ出力端子を「＃５」（出力インターフェース２００ａ）に書き換える。

このようにして、ファイアウォール３０（３０ａ〜３０ｎ）が一度通過できたパケットと同じ特徴を有するパケットは、前記したフォワーディングテーブルに基づきスイッチ（出力）されるので、それ以後はファイアウォール３０（３０ａ〜３０ｎ）を通ることなく、ルータ１Ｂから直接各ネットワーク（ＬＡＮ等）に転送される。
例えば、このルータ１Ｂでストリーミングデータを受信した場合、このデータの先頭パケットが一度ファイアウォール３０（３０ａ〜３０ｎ）を通過すると、そのパケットに後続するパケットは、ファイアウォール３０（３０ａ〜３０ｎ）を経由せず、直接各ネットワーク（ＬＡＮ等）に転送されるので、各ファイアウォールのパケット処理の負荷を軽減することができる。
このようなルータは、送信されてくるデータがストリーミングデータなど容量の多いデータである場合や、ファイアウォール３０（３０ａ〜３０ｎ）の処理能力が低い場合にも有効である。
また、各ファイアウォールのパケット処理の負荷を軽減することで、多数のファイアウォールを設置しなくとも、必要とされる処理能力を担保でき、ファイアウォール設置にかかるコストを軽減できる。

＜第２の実施の形態＞
図２は、本発明の第２の実施の形態であるルータ１Ｃの構成を示した図である。
以下、第２の実施の形態を、図２を参照して説明する。前記した基本的構成と第１の実施の形態と同様の構成要素は、同じ符号を付して説明を省略する。

本実施の形態のルータ１Ｃは、ファイアウォール３０（３０ａ〜３０ｎ）へ向かったパケットのヘッダ情報を記憶しておき、この情報に基づいて、インターネットから受信したパケットのうち、このパケットと同じ特徴を有するパケットはルータ１Ｃ内で破棄し、各ネットワーク（ＬＡＮ等）には送信しない機能を有する。

したがって、本実施の形態のルータ１Ｃは、第１の実施の形態のルータ１Ｂに、ファイアウォール３０（３０ａ〜３０ｎ）へ向かったパケットのヘッダ情報を記憶するパケットヘッダ情報照合部７ａ〜７ｎを付加した構成となっている。

パケットヘッダ情報照合部７ａ〜７ｎは、ルータ１Ｃからファイアウォール３０（３０ａ〜３０ｎ）へ向かったパケットに関する情報を記憶しておき、ファイアウォール３０（３０ａ〜３０ｎ）から戻って来たパケットに関する情報と照合することで、ファイアウォール３０（３０ａ〜３０ｎ）で破棄されたパケットのヘッダ情報を取得する。したがって、パケットヘッダ情報照合部７ａ〜７ｎは、ファイアウォール３０（３０ａ〜３０ｎ）へ向かったパケットのヘッダ情報を記憶する図示しない記憶手段および照合手段を備えるものとする。

図４は、ルータ１Ｃのパケットの処理手順を示したフローチャートである。
ルータ１Ｃのパケットの処理手順を、図２を参照しつつ、図４のフローチャートを用いて説明する。ここでは、ルータ１Ｃがインターネット側からパケットを受信した場合を例として説明する。

ステップＳ１０１では、ルータ１Ｃは、インターネット側からパケット（データ）を受信し始めると、パケットヘッダ情報照合部７ａ〜７ｎが、ファイアウォール３０（３０ａ〜３０ｎ）へスイッチ（出力）されたパケットのヘッダ情報を取得して記録する。

ステップＳ１０２では、パケットヘッダ情報照合部７ａ〜７ｎは、パケットヘッダ情報抽出部６ａ〜６ｎからファイアウォール３０（３０ａ〜３０ｎ）を通過してきたパケットのヘッダ情報を取得する。

ステップＳ１０３では、パケットヘッダ情報照合部７ａ〜７ｎは、ステップＳ１０１で記録したファイアウォール３０（３０ａ〜３０ｎ）へスイッチされたパケットのヘッダ情報と、ステップＳ１０２で取得したファイアウォール３０（３０ａ〜３０ｎ）を通過してきたパケットのヘッダ情報とを照合する。

ステップＳ１０４では、パケットヘッダ情報照合部７ａ〜７ｎは、ステップＳ１０１で記録したパケットのヘッダ情報からファイアウォール３０（３０ａ〜３０ｎ）を通過してきたパケットのヘッダ情報を除いた差分の情報、すなわちファイアウォール３０（３０ａ〜３０ｎ）で破棄されたパケットのヘッダ情報をカットスルー情報選択部５へ出力する。

ステップＳ１０５では、カットスルー情報選択部５が、所定のルールに基づき、パケットヘッダ情報照合部７ａ〜７ｎから転送されたヘッダ情報を編集し、この情報をフォワーディングテーブル設定部９へ出力する。

ここで、前記した所定のルールは、第１の実施の形態のルータ１Ｂのように、オペレータが設定できるものとする。以下では、オペレータが、カットスルー情報選択部５に、送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス、宛先ポート番号、プロトコル番号、ＩＰパケットのスイッチ出力端子がすべて一致（共通）するパケットをカットスルーするように設定したとして説明する。

ステップＳ１０６では、フォワーディングテーブル設定部９は、前記した設定により、フォワーディング部１０のフォワーディングテーブルを、前記したヘッダ情報を有するパケット、すなわち送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス、宛先ポート番号、プロトコル番号がすべて一致するパケットは、パケットの破棄用スイッチ出力端子（架空のスイッチ出力端子）にスイッチするよう書き換える。表４に、書き換えられたフォワーディングテーブルを例示する。

このようにして、以降、ルータ１Ｃで受信したパケットのうち、フォワーディングテーブルに書かれた情報、すなわち送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス、宛先ポート番号、プロトコル番号がすべて一致（適合）するパケットは、フォワーディング部１０でパケットの破棄用スイッチ出力端子（表４のＩＰパケットスイッチ出力端子「＃０」）にスイッチされる。すなわち、これらのパケットは、スイッチ２内で破棄され、ファイアウォール３０（３０ａ〜３０ｎ）には出力されない。

このように、ファイアウォール３０（３０ａ〜３０ｎ）が破棄したパケットと同じ特徴を有するヘッダ情報を有するパケットは、それ以後ファイアウォール３０（３０ａ〜３０ｎ）を通ることなく、ルータ１Ｃで破棄するので、各ファイアウォールのパケット処理の負荷、特にパケットの破棄の負担を軽減することができる。
このようなルータ１Ｃは、ファイアウォール３０（３０ａ〜３０ｎ）の処理能力が低い場合、あるいは各パケットのステートに関する情報までチェックしてパケットをフィルタリングするステートフル・パケット・インスペクション方式のファイアウォールを利用する場合にも有効である。
また、各ファイアウォールのパケット処理の負荷を軽減することで、多数のファイアウォールを設置しなくとも、必要とされる処理能力を担保でき、ファイアウォール設置にかかるコストを軽減できる。

なお、本発明は前記した各実施の形態に限定されるものではなく、本発明の要旨を変更しない範囲で広く応用可能である。例えば、各実施の形態では、ルータがインターネット側からパケットを受信した場合を例に説明したが、各ネットワーク（ＬＡＮ等）側からパケットを送信する場合も同様にファイアウォールをカットスルーすることができる。
また、カットスルー情報選択部５に記憶（蓄積）されたヘッダ情報を編集するためのルールやフォワーディング部１０のフォワーディングテーブルの情報は、ファイアウォール３０（３０ａ〜３０ｎ）に設定されたパケット破棄のルールが変更されたときは、カットスルー情報選択部５がこれをすべて消去するようにしてもよい。
すなわち、カットスルー情報選択部５は、所定時間ごとに出力インターフェース１５０ａ〜１５０ｎを介して、ファイアウォール３０（３０ａ〜３０ｎ）に設定されたパケット破棄のルールに関するデータを取得し、これを図示しない記憶手段に記憶する。そして、ファイアウォール３０（３０ａ〜３０ｎ）から取得したパケット破棄のルールが、以前記憶したルールとは異なるルールであった場合、カットスルー情報選択部５が、カットスルー情報選択部５に記憶（蓄積）されたヘッダ情報を編集するためのルールやフォワーディング部１０のフォワーディングテーブルの情報を消去する。このようにすることで、ファイアウォール側でセキュリティポリシー（パケット破棄のルール）の変更があった場合も、ルータ側はこれに速やかに対応できる。

本発明の第１の実施の形態であるルータの構成を示した図である。 本発明の第２の実施の形態であるルータの構成を示した図である。 本発明の第１の実施の形態と第２の実施の形態の基本的構成要素となるルータと、ファイアウォールの構成を示した図である。 本発明の第２の実施の形態であるルータの処理手順を示したフローチャートである。

符号の説明

１Ｂ，１Ｃ ルータ（パケット経路制御装置）
２ スイッチ
５ カットスルー情報選択部
６ａ〜６ｎ パケットヘッダ情報抽出部
７ａ〜７ｎ パケットヘッダ情報照合部
１０ フォワーディング部
３０（３０ａ〜３０ｎ）ファイアウォール
１５０ａ〜１５０ｎ 出力インターフェース
１５１ａ〜１５１ｎ 入力インターフェース

Claims (6)

1. ファイアウォールのパケットの処理負荷を軽減するパケット経路制御装置であって、
   １以上のファイアウォールへの出力インターフェースおよび１以上のファイアウォールからの入力インターフェースと、
   前記ファイアウォールから受信したパケットに関する情報を取得するパケットヘッダ情報抽出部と、
   この情報に基づき各パケットの出力先に関する情報を編集するカットスルー情報選択部と、
   前記各パケットの出力先に関する情報を格納するフォワーディング部と、
   この出力先に関する情報に基づき、パケットを出力するスイッチと、
   を備えることを特徴とするパケット経路制御装置。
2. ファイアウォールのパケットの処理負荷を軽減するパケット経路制御装置であって、
   １以上のファイアウォールへの出力インターフェースおよび１以上のファイアウォールからの入力インターフェースと、
   前記ファイアウォールから受信したパケットに関する情報を取得するパケットヘッダ情報抽出部と、
   前記ファイアウォールに送信したパケットに関する情報を取得し、前記ファイアウォールから受信したパケットに関する情報と照合するパケットヘッダ情報照合部と、
   前記照合結果に基づき各パケットの出力先に関する情報を作成するカットスルー情報選択部と、
   前記各パケットの出力先に関する情報を格納するフォワーディング部と、
   この出力先に関する情報に基づき、パケットを出力または破棄するスイッチと、
   を備えることを特徴とするパケット経路制御装置。
3. 前記各パケットの出力先に関する情報が、前記パケットの送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス、宛先ポート番号、プロトコル番号のうち少なくとも１の項目を含んで構成されることを特徴とする請求項１または請求項２に記載のパケット経路制御装置。
4. 前記カットスルー情報選択部が、前記ファイアウォールから受信したパケットに関する情報により、各パケットの特徴となる情報を選択し、この特徴となる情報に基づき各パケットの出力先に関する情報を編集することを特徴とする請求項１から請求項３のいずれか１項に記載のパケット経路制御装置。
5. 前記フォワーディング部の各パケットの出力先に関する情報のそれぞれが、情報の種類に対して予め決められた所定時間ごとに消去されることを特徴とする請求項１から請求項４のいずれか１項に記載のパケット経路制御装置。
6. パケットの経路制御によりファイアウォールのパケットの処理負荷を軽減する方法であって、
   パケット経路制御装置が、
   ファイアウォールへ出力されたパケットに関する情報を取得するステップと、
   前記ファイアウォールから入力されたパケットに関する情報を取得するステップと、
   前記ファイアウォールへ出力されたパケットに関する情報から、前記ファイアウォールから入力されたパケットに関する情報を除外した差分の情報である破棄パケットに関する情報を作成するステップと、
   前記パケット経路制御装置が受信したパケットのうち、前記破棄パケットに関する情報に適合するパケットを破棄するステップと
   を備えることを特徴とするファイアウォール負荷軽減方法。

Images