JP2005217757A - ファイアウオール管理システム、ファイアウオール管理方法、およびファイアウオール管理プログラム - Google Patents

Abstract

【課題】 柔軟性、利便性、迅速性を高める。
【解決手段】 ファイアウオール管理システムにおいて、複数の第１グループユーザに関するユーザ情報を蓄積しておくユーザ情報蓄積部と、各第１グループユーザがサーバ装置を利用して提供する複数のサーバ機能に対する第２グループユーザからのアクセスに関して、ファイアウオール装置が実行するアクセス制御設定を管理するファイアウオール装置管理部とを備え、ファイアウオール装置管理部はユーザ情報をもとに個々の第１グループユーザからのアクセス制御設定に関する要求を識別し、その要求に応じてアクセス制御設定を変化させることで、ファイアウオール装置が実行する各サーバ機能へのアクセス制御を変化させる。
【選択図】 図１

Description

本発明はファイアウオール管理システム、ファイアウオール管理方法、およびファイアウオール管理プログラムに関し、例えば、ホスティングサービスやハウジングサービスを利用する場合などのファイアウオール設定に適用して好適なものである。

ファイアウオールの管理に関する従来技術としては、下記の特許文献１に記載されたものがある。

特許文献１の技術では、相互に関連を有する複数のファイアウオールのあいだで、アクセス制御設定の内容を整合させ、設定内容に矛盾が生じないようにすることができる。設定内容に矛盾があると、本来、許可されるはずの通信がいずれかのファイアウオールによって遮断されたり、反対に、本来、遮断されるはずの通信がすべてのファイアウオールを通過してしまったりすることが起こり得るが、特許文献１はこれを防止するものである。

一方、ホスティングサービスは、ホスティングサービスを提供するホスティング事業者が運用するＬＡＮ（ローカルエリアネットワーク）内に設置したサーバ装置に、ホスティングサービスを利用してＷｅｂページをエンドユーザに提供しようとするホスティングサービス利用者のためのＷｅｂサーバ機能を搭載し、その管理を行うものである。

ホスティングサービス利用者の側からすると、自身でＷｅｂサーバを運用してエンドユーザにＷｅｂページを提供する場合に比べ、ホスティングサービスを利用すれば、Ｗｅｂサーバの運用、管理、保守などのための手間やコストの負担を無くすことができる利点がある。多くの場合、自身でＷｅｂサーバの運用を行うケースに比べて、ホスティングサービスを利用したケースのほうがはるかに低コストである。

反対に、ホスティング事業者のほうでは、個々のホスティングサービス利用者から得られる利益は少なくても、多数のホスティングサービス利用者にホスティングサービスを利用させることによって利益を蓄積することで十分な収益を上げることができる。そのため、１台のサーバ装置を、多数のホスティングサービス利用者のためのＷｅｂサーバとして利用している。
特開２０００−２１６７８０号公報

ところで、ホスティングサービスでは、前記Ｗｅｂサーバに対する多数のエンドユーザからのアクセスが同じファイアウオール経由で実行されるため、当該ファイアウオールにおけるアクセス制御設定に個々のホスティングサービス利用者の要望を反映させることは難しい。このことは、ホスティングサービス利用者の立場からすると、ホスティングサービスの柔軟性や利便性が低いことにつながる。

例えば、あるホスティングサービス利用者（Ｕ１とする）があるエンドユーザ（ＥＵ１とする）から自身がホスティングサービスを利用して提供するＷｅｂサーバ（ＷＳ１とする）へのアクセスを禁止したいと望んだとしても、他のホスティングサービス利用者（Ｕ２とする）がそのエンドユーザＥＵ１から自身がホスティングサービスを利用して提供するＷｅｂサーバ（ＷＳ２とする）へのアクセスを許可したいと望むこともあるから、ホスティング事業者は全ホスティングサービス利用者の要望に矛盾なく応えることが難しい。

上述した特許文献１の技術も、このようなアクセス制御設定を可能にするものではない。

なお、ホスティング事業者が多くのホスティングサービス利用者からの要望を取りまとめ、できるだけ多数のホスティングサービス利用者がある程度、満足できる共通のアクセス制御設定をファイアウオールに施す方法も考えられる。

しかしこの方法では、ホスティングサービス利用者には要望を提出する負担が発生する上、必ずしも自身が提出した要望を完全に充足するアクセス制御設定が施されるとは限らず、また、自身が提出した要望がどの程度、充足されたのかを知ることも必ずしも容易ではないのでホスティングサービスに対する不透明感が残って満足感が得にくく、利便性が低下する可能性が高い。

さらにホスティング事業者の側からすると、要望の取りまとめに多大な手数がかかり、要望に対応したアクセス制御設定を迅速に施すことが難しい。

かかる課題を解決するために、第１の本発明では、第１グループに属するユーザである第１グループユーザが、第２グループに属するユーザである第２グループユーザに対して、自身のサーバ機能に第１のネットワーク経由でアクセスさせるため、当該サーバ機能を第２のネットワーク内に設置されたサーバ装置に搭載した上、そのサーバ装置に関する管理を所定の管理者に委託する場合、当該第１のネットワークと第２のネットワークの境界に配置するファイアウオール装置を管理するファイアウオール管理システムにおいて、（１）複数の前記第１グループユーザに関するユーザ情報を蓄積しておくユーザ情報蓄積部と、（２）各第１グループユーザが前記サーバ装置を利用して提供する複数のサーバ機能に対する前記第２グループユーザからのアクセスに関して、前記ファイアウオール装置がアクセス制御設定に基づいて実行するアクセス制御を管理するファイアウオール装置管理部とを備え、（３）当該ファイアウオール装置管理部は前記ユーザ情報をもとに個々の第１グループユーザからのアクセス制御設定に関する要求を識別し、その要求に応じて前記アクセス制御設定を変化させることで、前記ファイアウオール装置が実行する各サーバ機能へのアクセス制御を変化させることを特徴とする。

また、第２の本発明では、第１グループに属するユーザである第１グループユーザが、第２グループに属するユーザである第２グループユーザに対して、自身のサーバ機能に第１のネットワーク経由でアクセスさせるため、当該サーバ機能を第２のネットワーク内に設置されたサーバ装置に搭載した上、そのサーバ装置に関する管理を所定の管理者に委託する場合、当該第１のネットワークと第２のネットワークの境界に配置するファイアウオール装置を管理するファイアウオール管理方法において、（１）複数の前記第１グループユーザに関するユーザ情報をユーザ情報蓄積部に蓄積しておき、（２）ファイアウオール装置管理部が、各第１グループユーザが前記サーバ装置を利用して提供する複数のサーバ機能に対する前記第２グループユーザからのアクセスに関して、前記ファイアウオール装置がアクセス制御設定に基づいて実行するアクセス制御を管理し、（３）しかも当該ファイアウオール装置管理部は、前記ユーザ情報をもとに個々の第１グループユーザからのアクセス制御設定に関する要求を識別し、その要求に応じて前記アクセス制御設定を変化させることで、前記ファイアウオール装置が実行する各サーバ機能へのアクセス制御を変化させることを特徴とする。

さらに、第３の本発明では、第１グループに属するユーザである第１グループユーザが、第２グループに属するユーザである第２グループユーザに対して、自身のサーバ機能に第１のネットワーク経由でアクセスさせるため、当該サーバ機能を第２のネットワーク内に設置されたサーバ装置に搭載した上、そのサーバ装置に関する管理を所定の管理者に委託する場合、当該第１のネットワークと第２のネットワークの境界に配置するファイアウオール装置を管理するファイアウオール管理プログラムにおいて、コンピュータに、（１）複数の前記第１グループユーザに関するユーザ情報を蓄積しておくユーザ情報蓄積機能と、（２）各第１グループユーザが前記サーバ装置を利用して提供する複数のサーバ機能に対する前記第２グループユーザからのアクセスに関して、前記ファイアウオール装置がアクセス制御設定に基づいて実行するアクセス制御を管理するファイアウオール装置管理機能とを実現させ、（３）当該ファイアウオール装置管理機能は前記ユーザ情報をもとに個々の第１グループユーザからのアクセス制御設定に関する要求を識別し、その要求に応じて前記アクセス制御設定を変化させることで、前記ファイアウオール装置が実行する各サーバ機能へのアクセス制御を変化させることを特徴とする。

本発明によれば、柔軟性や利便性を高め、迅速にアクセス制御設定の変更を行うことができる。

（Ａ）実施形態
以下、本発明にかかるファイアウオール管理システム、ファイアウオール管理方法、およびファイアウオール管理プログラムの実施形態について説明する。

（Ａ−１）実施形態の構成
本実施形態にかかる通信システム１０の全体構成例を図１に示す。なお、当該通信システム１０中に、図示しないサーバ類（例えば、ＤＮＳサーバなど）が存在していてもよいことは当然である。

図１において、当該通信システム１０は、インターネット１１と、ＬＡＮ１２〜１４と、ファイアウオール（ＦＷ）装置２０〜２２と、ネットワーク装置群２３と、サーバ装置２５〜３０と、操作端末３１〜３３とを備えている。

このうちインターネット１１は各ユーザＵ１、Ｕ２，ＥＵ１などが操作する操作端末３１〜３３とＬＡＮ１２を接続するためのネットワークである。本発明の構成上、この部分にインターネットを用いることは必ずしも必須の要件ではないが、ここではインターネットを想定する。

操作端末３１〜３３は通常のパーソナルコンピュータやワークステーションであってよい。この操作端末３１〜３３には各種のクライアント機能が搭載されていてよいが、本実施形態では主としてＷｅｂの利用を想定するため、少なくともＷｅｂブラウザは搭載している必要がある。

操作端末３１はＷｅｂブラウザＢＲ１を搭載し、操作端末３２はＷｅｂブラウザＢＲ２を搭載し、操作端末３３はＷｅｂブラウザＢＥ１を搭載しているものとする。また、操作端末３１はユーザＵ１によって操作され、操作端末３２はユーザＵ２によって操作され、操作端末３３はユーザＥＵ１によって操作される。また、操作端末３１のＩＰアドレスをＰＡ３１とし、操作端末３２のＩＰアドレスをＰＡ３２とし、操作端末３３のＩＰアドレスをＰＡ３３とする。

通信システム１０におけるユーザは大きく２つに分けることができる。その１つは、ホスティング事業者ＨＥ１のホスティングサービスを利用して自身が作成したＷｅｂページを提供するユーザ（前記ホスティングサービス利用者、すなわちサービス利用ユーザ）であり、もう１つは、そのＷｅｂページにアクセスして閲覧するユーザ（エンドユーザ）である。

必ずしもホスティングサービス利用者の全員が本実施形態で特徴的なパーソナル・ファイアウオール・サービスの契約を行わなくてもよいが、ここでは、全員が契約を行うものとする。この場合、ホスティングサービス利用者（前記サービス利用者）はそのままパーソナル・ファイアウオール・サービス利用者でもある。パーソナル・ファイアウオール・サービスは、前記サービス利用ユーザが後述するファイアウオール管理装置２４を操作することにより、ＬＡＮ１２内のファイアウオール装置（例えば、２１）に関するアクセス制御設定（後述するパケットフィルタの設定）を自身の望むものに変更できることをサービス内容とする。

ユーザＵ１とＵ２はこのサービス利用ユーザに該当し、ユーザＥＵ１はこのエンドユーザに該当する。図１の例では、サービス利用ユーザを二人、エンドユーザを一人だけ図示しているが、実際にはいずれのユーザも多数となるのが普通である。

また、サービス利用ユーザは予めＬＡＮ１２内にそのユーザ情報を登録してあるが、基本的にエンドユーザのほうはそのような登録を行っていない。したがって多数である点は同じでも、サービス利用ユーザは特定多数、エンドユーザは不特定多数となる。

なお、ホスティング事業者ＨＥ１の具体例としては、例えば、ＩＳＰ（インターネットサービスプロバイダ）やＳＩ（システムインテグレータ）などがある。

前記サーバ装置２５〜３０は、通常のワークステーションやパーソナルコンピュータであってよい。

前記ホスティングは、厳密にはハウジング（あるいはコロケーション）などと区別して用いられる用語であるが、本実施形態では、エンドユーザからのアクセスが同じファイアウオール装置（例えば、２１）を経由して複数のサービス利用ユーザのＷｅｂページ（例えば、ＷｅｂサーバＷＳ１とＷＳ２が提供するＷｅｂページ）に到達する点が重要であり、この点では、ホスティングもハウジング等も基本的に同じであるから、以下では特に必要な場合を除き、そのような厳密な区別は行わないものとする。したがって本実施形態で用いる「ホスティング」には、ハウジングなども含まれ得る。

ハウジングには１台のサーバ装置をただ１つのＷｅｂサーバとしてのみ用いる場合を含むが、以下では主として、バーチャルホスト機能を用いるケースについて説明する。

サービス利用ユーザ（例えば、Ｕ１，Ｕ２）が自身が作成したＷｅｂページをホスティングサービスを利用してエンドユーザに提供するということは、ＬＡＮ１２内のいずれかのサーバ装置（例えば、２７）に、各サービス利用ユーザが自身のための仮想的なホスト（仮想Ｗｅｂサーバ）を持つことを意味する。多くのＷｅｂサーバソフトは、このような仮想的なＷｅｂサーバを実現するための機能（バーチャルホスト機能）を標準で装備している。

バーチャルホスト機能は、実際には１台のサーバ装置を、見かけ上（エンドユーザからみて）多数のＷｅｂサーバとしてはたらかせる機能のことである。したがって、例えば、エンドユーザＥＵ１がＷｅｂブラウザＢＥ１に、あるＵＲＬ（例えば、ＵＲＬ１）を入力してＷｅｂサーバＷＳ１が提供するＷｅｂページを閲覧したときと、別なＵＲＬ（例えば、ＵＲＬ２）を入力してＷｅｂサーバＷＳ２が提供するＷｅｂページを閲覧したときは、物理的には同じサーバ装置２７が機能しているが、エンドユーザからみた場合、２つの独立したサーバ装置が存在しているかのように見える。

なお、このバーチャルホスト機能の実現法はサーバ装置（例えば、２７）に対するＩＰアドレスの付与の観点で２つに分けることができる。

その第１は、当該サーバ装置２７に１つのＩＰアドレスのみを付与する方法であり、第２は、バーチャルホスト（仮想Ｗｅｂサーバ）の数と同数のＩＰアドレスを付与する方法である。

このうち第１の方法では、ＤＮＳサーバの別名の機能を用いて、複数のドメイン名（ＵＲＬのパス名などを除いた文字列）が１つのＩＰアドレスに対応付けられるようにしておく必要があるものの、ＩＰアドレスの節約の観点で有利である。また、第１の方法を用いる場合、エンドユーザＥＵ１のＷｅｂブラウザＢＥ１は、サーバ装置２７のホスト名や仮想Ｗｅｂサーバ（ＷＳ１またはＷＳ２）のドメイン名をサーバ装置２７側に伝える機能を持つ必要がある。具体的には、ＷｅｂブラウザＢＥ１が送信するＨＴＴＰリクエストメッセージのなかに、サーバ装置２７のホスト名や仮想Ｗｅｂサーバ（ＷＳ１またはＷＳ２）のドメイン名を収容して届ける機能である。このような機能は、新しいバージョン（ＨＴＴＰ／１．１）のＷｅｂブラウザなら装備しているが、古いバージョン（ＨＴＴＰ／１．０など）のＷｅｂブラウザは装備していない。

第２の方法は、ＩＰアドレスの消費量は多いものの、ＤＮＳサーバへの登録も通常のものでよいし、エンドユーザのＷｅｂブラウザのバージョンにも制約はなく、ファイアウオール装置（例えば、２１）の管理も容易になる利点がある。

本実施形態におけるバーチャルホスト機能は、主として、この第２の方法によって実現するものとする。

第２の方法によって実現するとき、ＬＡＮ１２内の各サーバ装置（例えば、前記サーバ装置２７）には、搭載している仮想Ｗｅｂサーバの数と同数のＮＩＣ（Network Interface Card）が装着され、サーバ装置２７のＯＳ（オペレーティングシステム）が持つ複数ＩＰアドレス設定機能により仮想Ｗｅｂサーバの数と同数のＩＰアドレスが付与される。例えば、前記サーバ装置２７に２つの仮想Ｗｅｂサーバ（ＷＳ１とＷＳ２）が搭載されているものとすると、当該サーバ装置２７には、前記仮想ＷｅｂサーバＷＳ１のためのＩＰアドレスＰＡ１と、仮想ＷｅｂサーバＷＳ２のためのＩＰアドレスＰＡ２が付与されることになる。

後述するように、本実施形態の構成上、サービス利用ユーザであるＵ１やＵ２が操作する操作端末３１や３２のＩＰアドレスが変動しても特段、問題はないが、ファイアウオール装置（２１など）においてＯＳＩ参照モデルのネットワーク層やトランスポート層の制御情報（ＩＰアドレスやポート番号）を利用してＩＰパケットのフィルタリングを行うパケットフィルタリング方式を有効に活用するには、エンドユーザであるＥＵ１が操作する操作端末３３のＩＰアドレス（ＰＡ３３）は固定されていることが前提となる。ただしサービス利用ユーザ（例えば、Ｕ１）が自身の操作端末を用い、エンドユーザとしていずれかのＷｅｂページ（例えば、ＷＳ２が提供するＷｅｂページ）にアクセスすることもあり得るので、その意味では、操作端末３１、３２のＩＰアドレス（ＰＡ３１，ＰＡ３２）も固定されていることが望ましい。

前記ＬＡＮ１２内に設置されるサーバ装置の数は６つより多くてもよく、少なくてもよいが、図１では、当該ＬＡＮ１２内に６つのサーバ装置２５〜３０が設置されている。各サーバ装置２５〜３０が提供するサーバの種類は、必ずしもＷｅｂサーバに限る必要はなく、メールサーバやＦＴＰサーバなどもあり得るが、ここではＷｅｂサーバを想定する。

６つのサーバ装置２５〜３０のなかには、前記バーチャルホスト機能によって１台で複数の仮想Ｗｅｂサーバとして機能するサーバ装置２７のような装置だけでなく、１台で１つのＷｅｂサーバとして機能するサーバ装置が混在していてもよい。前記ハウジングの場合には、このようなサーバ装置もあり得る。

前記ＬＡＮ１２内には３つのファイアウオール装置２０〜２２が設置されているが、本実施形態の原理を説明する上では、ＬＡＮ１２内のファイアウオール装置は１つでよい。

ただし実際のホスティングサービスでは、特定のサービス利用ユーザのために専用線を用意することなどもあり得る。例えば、前記ハウジングの場合には、サービス利用ユーザがＬＡＮ１２内に持ち込んだ１台のサーバ装置（例えば、２５）のため、インターネット１１へのアクセス回線として専用線（例えば、ＡＣ３）を用意すること等もあり得る。

また、ＬＡＮ１２内に多くのサーバ装置を設置する場合には、１つのアクセス回線では帯域が不足するため、複数のアクセス回線を用意することが必要となる可能性もある。そのようなケースでは、図１のように３つのアクセス回線ＡＣ１〜ＡＣ３が必要となることもある。アクセス回線に十分な帯域を確保しておかないと、アクセス回線の帯域不足が原因となって応答時間（エンドユーザの操作端末（例えば、３３）がＨＴＴＰリクエストメッセージを送信してからＨＴＴＰレスポンスメッセージを受信するまでの時間）が長くなる可能性があるからである。

アクセス回線が複数用意された場合、図１に示したように、アクセス回線ごとにファイアウオール装置を設けることがあり得る。これにより、負荷が分散され、ファイアウオール装置自体の処理遅延が原因となって、前記応答時間が長くなる可能性を低減できる。

各ファイアウオール装置自体の機能は３つのファイアウオール装置２０〜２２のすべてが同じであってよいが、以下の説明では、主として、３つのファイアウオール装置２０〜２２のうちの１つであるファイアウオール装置２１に注目する。任意のエンドユーザ（その一人がＥＵ１）からのサーバ装置２７へのアクセスは、前記仮想サーバＷＳ１へのアクセスも、仮想サーバＷＳ２へのアクセスも含め、当該ファイアウオール装置２１を経由して行われるものとする。

ファイアウオール装置２１のフィルタリング方式としては、いわゆるステートフルインスペクションや、アプリケーションレベルゲートウエイ方式を用いることも可能であるが、ここでは主として、前記ＩＰアドレスとポート番号をもとにＩＰパケットを中継するか否かを決める前述のパケットフィルタリング方式を用いるものとする。

パケットフィルタリング方式では、ファイアウオール装置２１があるＩＰパケット（例えば、ＰＫ１）を中継するか、遮断するかを、そのＩＰパケットのヘッダに含まれる４つの情報に基づいて決定する。この４つの情報は、ＩＰヘッダに含まれる宛先ＩＰアドレス、送信元ＩＰアドレス、トランスポート層ヘッダ（ＴＣＰヘッダまたはＵＤＰヘッダ）に含まれる宛先ポート番号、送信元ポート番号である。

図１中、ＰＫ１とＰＫ２はＩＰパケットを示しており、パケットＰＫ１は操作端末３３から送信されインターネット１１やファイアウオール装置２１などを経由して、サーバ装置２７に届けられるパケットである。前記ＨＴＴＰリクエストメッセージはこのパケットＰＫ１に収容して届けられる。

エンドユーザＥＵ１がＷｅｂブラウザＢＥ１で前記ＵＲＬ１を指定した場合、周知のＤＮＳシステムによる名前解決の過程を経て操作端末３３から送信される当該パケットＰＫ１には、宛先ＩＰアドレスとして前記ＰＡ１が記述され、送信元ＩＰアドレスとして自操作端末３３のＩＰアドレスであるＰＡ３３が記述されている。また、当該パケットＰＫ１の宛先ポート番号としては通常、ＨＴＴＰに対応するウエルノウンポート番号である８０番が記述され、送信元ポート番号の値はウエルノウンポート番号と重複しない範囲から、その都度、異なる値をＷｅｂブラウザＢＥ１が決めて記述する。

また、パケットＰＫ２は、前記サーバ装置２７が送信し、ファイアウオール装置２１，インターネット１１などを経由して操作端末３３へ届けられるパケットである。前記ＨＴＴＰレスポンスメッセージはこのパケットＰＫ２に収容して届けられる。

当該パケットＰＫ２が、前記パケットＰＫ１に対する応答として仮想ＷｅｂサーバＷＳ１（または、ＷＳ２）およびサーバ装置２７が送信するパケットであるものとすると、当該パケットＰＫ２のヘッダ情報は、前記パケットＰＫ１と対称的な関係にある。

すなわち、当該パケットＰＫ２の宛先ＩＰアドレスとしては前記ＰＡ３３が、送信元ＩＰアドレスとしては前記ＰＡ１（ＷＳ２が送信する場合には、ＰＡ２）が、宛先ポート番号としては、前記パケットＰＫ１に送信元ポート番号として記述されていたものと同じポート番号が、送信元ポート番号としては前記８０番がそれぞれ記述される。

したがって、例えば、ファイアウオール装置２１のアクセス制御設定（パケットフィルタの設定）として、ＬＡＮ１２の外から内へ向かうパケットについて、その送信元ＩＰアドレスがＰＡ３３のものは遮断する旨の設定がしてあった場合には、前記パケットＰＫ１はファイアウオール装置２１で遮断されるため、ＬＡＮ１２の内部に入ることができず、サーバ装置２７へも届かない。

また、前記パケットフィルタの設定としては、例えば、ＬＡＮ１２の外から内へ向かうパケットについて、その送信元ＩＰアドレスがＰＡ３３で宛先ポート番号が８０番のものを遮断する旨の設定を行うこともできる。この場合、操作端末３３からウエルノウンポート番号が８０番以外の通信アプリケーションへのアクセスは許可される。例えば、ウエルノウンポート番号が８０番以外の通信アプリケーション（例えば、ウエルノウンポート番号が１１０番のメールサーバ（ＰＯＰ３サーバ）など）がいずれかのサーバ装置２５〜３０に搭載されていたとすると、操作端末３３からそのサーバ装置へのアクセスは可能となる。

ＬＡＮ１２の内から外へ向かうパケット（例えば、ＰＫ２）に対しても同様なパケットフィルタの設定を行うことが可能である。例えば、ＬＡＮ１２内のいずれかのサーバを踏み台として図示しない第３者のサーバなどにＤｏＳ攻撃を行うことを防ぐ場合などに、このような設定が必要になることがある。

ネットワーク装置群２３は、１または複数のネットワーク機器を示している。具体的には、当該ネットワーク装置群２３にはルータやレイヤ２スイッチなどのネットワーク機器が該当し、ＬＡＮ１２内における各装置間でフレーム（ＩＰパケットを収容しているＭＡＣフレーム）やパケットの中継を行う。

ファイアウオール（ＦＷ）管理装置２４は、本実施形態に特徴的な構成要素であり、ファイアウオール装置２１を含む各ファイアウオール装置２０〜２２のアクセス制御設定などを管理する装置である。

管理者Ａ１は、当該ファイアウオール管理装置２４を介して、ＬＡＮ１２やファイアウオール装置２０〜２２の管理を行う権限を持つ管理者である。ファイアウオール管理装置２４がそのためのユーザインタフェースを持つ場合、当該管理者Ａ１は（ネットワークを経由することなく）直接、当該ファイアウオール管理装置２４を操作して、前記管理を実行することもできる。必要に応じて、ネットワーク（例えば、インターネット１１やＩＳＤＮ網など）を経由して、管理者Ａ１がファイアウオール管理装置２４を操作する構成としてもよい。

前記サービス利用ユーザＵ１，Ｕ２も、ファイアウオール管理装置２４を操作することにより、前記パケットフィルタの設定を自身の望むものに変更することが可能である。ただし各サービス利用ユーザが変更する権限を持つのは、自身が作成したＷｅｂページを提供する仮想Ｗｅｂサーバに関するパケットフィルタ設定だけである。例えば、サービス利用ユーザＵ１の場合、自身が作成、提供するＷｅｂページに対応する仮想ＷｅｂサーバであるＷＳ１，すなわち、ＩＰアドレスがＰＡ１のパケットフィルタの設定のみ変更することができる。

このパケットフィルタには、ＬＡＮ１２の外から内へ向かう宛先ＩＰアドレスがＰＡ１（宛先ポート番号が８０番）のパケットに対するパケットフィルタと、ＬＡＮ１２の内から外へ向かう送信元ＩＰアドレスがＰＡ１（送信元ポート番号が８０番）のパケットに対するパケットフィルタが含まれる。

ただし、適切な管理を遂行できるようにするため、管理者Ａ１には、各サービス利用ユーザ（例えば、Ｕ１）が行った設定に反しても、自身の判断ですべてのパケットフィルタの設定を変更できる権限を与えておくことが望ましい。あるサービス利用ユーザ（例えば、Ｕ１）によるパケットフィルタの設定が不適切である場合、その影響範囲がそのサービス利用ユーザの仮想Ｗｅｂサーバ（ここでは、ＷＳ１）のみに局限されるのであればよいが実際には必ずしもそうではないからである。

例えば、サービス利用ユーザ（例えば、Ｕ１）によるパケットフィルタの設定が不適切であるためにそのサービス利用ユーザの仮想Ｗｅｂサーバ（ここでは、ＷＳ１）が外部からのＤｏＳ攻撃にさらされた場合、同じサーバ装置（ここでは、２７）に搭載されている他の仮想Ｗｅｂサーバ（ここでは、ＷＳ２）や、当該ＬＡＮ１２内の他のサーバ装置（例えば、２５など）にも、当該ＤｏＳ攻撃の影響が波及することがあり、管理者Ａ１はそのような影響を予防したり、最小限度に抑える必要がある。

なお、エンドユーザ（例えば、ＥＵ１）が前記パケットフィルタの設定を変更することは確実に禁止する必要があることは当然である。そのような変更が可能であるということは、実質的に、ファイアウオール装置２１が存在しないことに等しいからである。

前記ファイアウオール管理装置２４の内部構成例を図２に示す。

（Ａ−１−１）ファイアウオール管理装置の内部構成例
図２において、当該ファイアウオール管理装置２４は、ユーザＩ／Ｆ部４０と、管理者Ｉ／Ｆ部４１と、ＦＷ設定制御部４２と、ＦＷ装置情報データベース４３と、ユーザ情報データベース４４と、ユーザＦＷ設定情報データベース４５と、ＦＷ設定部４６とを備えている。

このうちユーザＩ／Ｆ部４０は、前記サービス利用ユーザ（例えば、Ｕ１）に対してユーザインタフェースを提供する部分である。

具体的には、例えば当該ユーザＩ／Ｆ部４０は、前記パケットフィルタの設定を変更したり、自身が行った設定の内容を確認したりするための設定用Ｗｅｂページ（設定画面）を、サービス利用ユーザ（例えば、Ｕ１）の操作端末（例えば、３１）上のＷｅｂブラウザ（例えば、ＢＲ１）に送信し、その設定用Ｗｅｂページにサービス利用ユーザが入力した内容に応じて、パケットフィルタの設定を変更することになる。このような設定用Ｗｅｂページは、いわゆるフォームの仕組みを利用して提供することができる。

この場合、ユーザＩ／Ｆ部４０はＷｅｂサーバ機能を持つことになる。

また、当該ユーザＩ／Ｆ部４０は、真にサービス利用ユーザである者にのみ、その権限の範囲内に限ってパケットフィルタの設定や設定内容の確認を許容するため、ユーザ認証に対応する機能を備える必要がある。これによって、前記エンドユーザ（例えば、ＥＵ１）がパケットフィルタの設定を変更することを確実に防止できる。また、あるサービス利用ユーザ（例えば、Ｕ１）が他のサービス利用ユーザ（例えば、Ｕ２）の行ったパケットフィルタの設定を閲覧したり、その設定内容を変更したりすることも防止できる。

ただしユーザ認証には、予めファイアウオール管理装置２４内に登録してあるユーザ情報（例えば、ユーザＩＤやパスワードなど）の照合などが必要となるため、当該ユーザＩ／Ｆ部４０単独では行えず、ファイアウオール管理装置２４内の他の構成要素（４２など）との連携が必要となる。この点は、上述したパケットフィルタの設定内容を確認したり変更したりする場合も同様である。

なお、このようなユーザ認証などを行うため、ファイアウオール装置（例えば、２０）のパケットフィルタには、サービス利用ユーザ（例えば、Ｕ１）とのあいだの通信を許可する旨の設定を行っておく必要があることは当然である。

具体的なユーザ認証の方法には様々なものがあり得る。例えば、前記設定用Ｗｅｂページ（または、その前に閲覧させるサービス利用ユーザ用のトップページや所定の認証用Ｗｅｂページなど）で、ユーザＩＤやパスワードを入力させることによってユーザ認証を行うこともできる。

また、公開鍵系の暗号など暗号技術を利用して、ユーザ認証を行うことも可能である。そのために、例えばＳＳＬなどを活用してもよい。操作端末（例えば、１３）とユーザＩ／Ｆ部４０のあいだの通信をＳＳＬで行った上で、ユーザＩＤやパスワードを入力させれば、真に、公開鍵と対をなす秘密鍵を持っていて、なおかつ、正しいユーザＩＤとパスワードを入力できるユーザのみ正当と認めることになり、二重にユーザの正当性を検証することができるため、セキュリティ強度は比較的高まる。この場合、アプリケーション層ではＨＴＴＰＳプロトコルによる通信が行われることになる。

管理者Ｉ／Ｆ部４１も、管理者Ａ１向けである点を除き、基本的に当該ユーザＩ／Ｆ部４０と同様な機能を持つ。

ただし管理者によっては、ＷｅｂページなどのＧＵＩ（グラフィカル・ユーザ・インタフェース）よりも、ＴｅｌｎｅｔなどのＣＬＩ（コマンド・ライン・インタフェース）を提供することも望ましい。

上述したように、管理者Ａ１は、インターネット１１ではなく、ＩＳＤＮ網などを経由して当該管理者Ｉ／Ｆ部４１にアクセスする構成としてもよい。

ＦＷ設定制御部４２は、当該ＦＷ管理装置２４内で中心的な機能をはたす部分である。前記ユーザ認証や、ユーザ認証の結果がＯＫであった場合に行うパケットフィルタの設定変更などは、このＦＷ設定制御部４２の制御のもとで実行される。ＦＷ設定制御部４２は、各種データベース４３〜４５を操作するため、データベース管理システム（ＤＢＭＳ）を搭載している。

ユーザ情報データベース４４は、ユーザ情報を蓄積するデータベースである。パケットフィルタの設定を変更する権限を持つ管理者Ａ１やサービス利用ユーザＵ１，Ｕ２に関するユーザ情報がここに登録されている。

ユーザ情報データベース４４には１または複数のテーブルが格納され得るが、その主体は、ユーザ情報テーブルＴＢ１である。ユーザ情報テーブルＴＢ１には、前記パーソナル・ファイアウオール・サービスの提供を受けるサービス利用ユーザに関するユーザ情報が登録される。

ユーザ情報テーブルＴＢ１の構成例は図３に示す通りである。

図３に示すように、当該ユーザ情報テーブルＴＢ１は、データ項目として、ユーザＩＤと、パスワードと、サーバＩＰアドレスとを備えている。

このうちユーザＩＤは、各ユーザ（管理者およびサービス利用ユーザ）を少なくともファイアウオール管理装置２４内で一意に識別できる識別子である。

パスワードは、各ユーザが予め登録した文字列である。

正当なユーザ（例えば、Ｕ１）が、前記認証用Ｗｅｂページなどに自身のユーザＩＤとパスワードを入力して送信してきた場合、入力されたユーザＩＤを検索キーとして当該ユーザ情報テーブルＴＢ１を検索し、検索結果としてユーザ情報テーブルＴＢ１に登録してあるパスワードを得て、前記認証用Ｗｅｂページに入力されたパスワードとそのパスワードが一致すれば、認証結果はＯＫとなる。したがって、ユーザＩＤとパスワードの双方が正しくなければ、認証結果はＮＧとなる。

サーバＩＰアドレスは、前記仮想ＷｅｂサーバのＩＰアドレスである。

したがって、ユーザが例えばサービス利用ユーザＵ１である場合、そのユーザＩＤには、サーバＩＰアドレスとして、前記ＰＡ１が対応付けられることになる。また、ユーザが例えば管理者Ａ１である場合には、すべてのサーバ（ＷＳ１，ＷＳ２を含む）のＩＰアドレスが当該サーバＩＰアドレスとして登録されることになる。もちろん、この場合などには、すべてのサーバのＩＰアドレスを効率的に指定できるように、正規表現を利用して記述を簡略化できるようにしておくとよい。

ユーザＦＷ設定情報データベース４５には１または複数のテーブルが格納され得るが、その主体は、ユーザＦＷ設定情報テーブルＴＢ２である。ユーザＦＷ設定情報テーブルＴＢ２の構成例は図４に示す通りである。

図４に示すように、当該ユーザＦＷ設定情報テーブルＴＢ２は、データ項目として、送信元ＩＰアドレスと、宛先ＴＣＰポート番号と、ＦＷ動作とを備えている。

このうち送信元ＩＰアドレスは、上述したパケット（例えば、ＰＫ１など）の送信元ＩＰアドレスを記述する。多くのＩＰアドレスを効率的に記述できるように、正規表現を用いてもよいことは、これも同様である。

なお、図４に示したユーザＦＷ設定情報テーブルＴＢ２は、個々のサービス利用ユーザが設定するパケットフィルタに対応するテーブルである。また当該ユーザＦＷ設定情報テーブルＴＢ２は、上述したパケットＰＫ１のように、ＬＡＮ１２の外から内へ向かうパケットを対象としたパケットフィルタに相当するものであるから、データ項目として、宛先ＩＰアドレスは用意されていない。この方向のパケットの場合、宛先ＩＰアドレスは仮想ＷｅｂサーバのＩＰアドレスであり、個々のサービス利用ユーザ（例えば、Ｕ１）にとっては、前記ユーザ認証の結果がＯＫとなった時点で確定しているからである。例えば、サービス利用ユーザＵ１にとっては、仮想ＷｅｂサーバＷＳ１のＩＰアドレスである前記ＰＡ１が、当該宛先ＩＰアドレスである。

したがって、前記踏み台とされないようにすること等を目的として、ＬＡＮ１２の内から外へ向かうパケット（例えば、ＰＫ２）のためのパケットフィルタを設定する場合、そのパケットフィルタに対応するテーブルでは、図４と逆に、データ項目として、送信元ＩＰアドレスを省くことができる。

宛先ＴＣＰポート番号は、上述した宛先ポート番号に対する。

仮想Ｗｅｂサーバの場合、宛先ＴＣＰポート番号として通常、上述した８０番が記述される。Ｗｅｂで使用されるアプリケーション層プロトコルであるＨＴＴＰは、トランスポート層のプロトコルでＴＣＰを用いることが前提であるため、上述したトランスポート層ヘッダはＴＣＰヘッダであり、宛先ポート番号も宛先ＴＣＰポート番号となる。

ＦＷ動作は、受け取ったパケットのヘッダ情報に応じてファイアウオール装置２１が実行するフィルタリング動作を示している。

許可は、そのパケットを中継し通過させることを指し、遮断は、通過させないことを指す。もし必要ならば、単に遮断するだけでなく、アクセスを拒否する旨のメッセージをアクセス元の端末（例えば、３３）へ返送するようにしてもよいが、そのような場合のＦＷ動作は、拒否となる。

ＦＷ装置情報データベース４３には多数のテーブルが格納され得るが、その主体は、ＦＷ設定情報テーブルＴＢ３と、ＦＷ装置情報テーブルＴＢ４である。

このうちＦＷ設定情報テーブルＴＢ３は、各サービス利用ユーザ（Ｕ１やＵ２）が設定したパケットフィルタ（ここでは、ＬＡＮ１２の外から内へ向かうパケットを対象としたパケットフィルタ）の内容を統合した結果として得られるパケットフィルタを示している。したがってこのＦＷ設定情報テーブルＴＢ３は、ファイアウオール装置２１のアクセス制御設定そのものを表しており、対象となるファイアウオール装置２１に設定しておけばよい。このため、当該テーブルＴＢ３は、必ずしもデータベースの形でファイアウオール装置２１の外部に記憶しておく必要はないが、ここでは、ＦＷ装置情報データベース４３中にも格納しておくものとする。

当該ＦＷ設定情報テーブルＴＢ３の構成例は図５に示す通りである。

図５に示すように、当該ＦＷ設定情報テーブルＴＢ３は、データ項目として、送信元ＩＰアドレスと、宛先ＩＰアドレスと、宛先ＴＣＰポート番号と、ＦＷ動作とを備えている。

このうち送信元ＩＰアドレスと、宛先ＴＣＰポート番号と、ＦＷ動作については、図４に示したユーザＦＷ設定情報テーブルＴＢ２と同じであるので、その詳しい説明は省略する。

当該ＦＷ設定情報テーブルＴＢ３には、前記ユーザＦＷ設定情報テーブルＴＢ２で省略されていた宛先ＩＰアドレスが、データ項目として用意されている。この宛先ＩＰアドレスは、内向きのパケット（前記パケットＰＫ１など）の宛先を仮想Ｗｅｂサーバのレベルまで特定（例えば、ＷＳ１宛てであるか、ＷＳ２宛てであるかを特定）するために必要となる。

前記ＦＷ装置情報テーブルＴＢ４は、前記ファイアウオール装置２０〜２２を外形的に管理するためのテーブルである。

当該ＦＷ装置情報テーブルＴＢ４の構成例は図６に示す通りである。

図６に示すように、当該ＦＷ装置情報テーブルＴＢ４は、データ項目として、ＦＷ装置ＩＰアドレスと、ＦＷ装置種別と、ユーザＩＤとを備えている。

このうちユーザＩＤは、図３に示したユーザ情報テーブルＴＢ１のユーザＩＤと同じである。あるサービス利用ユーザ（例えば、Ｕ１）から、パケットフィルタの設定の変更要求を受け取った場合、ＦＷ設定制御部４２は、そのサービス利用ユーザに対応するファイアウオール装置を特定した上で、該当するファイアウオール装置（例えば、２１）と通信（設定用通信）を行って、その変更要求の内容を実際のファイアウオール装置の設定に反映させる必要がある。

ファイアウオール装置とサービス利用ユーザの対応関係は１対１のこともあり得るが、多くの場合、１対多であり、１つのファイアウオール装置（例えば、２１）に多数のサービス利用ユーザ（すなわち、多数の仮想Ｗｅｂサーバ（例えば、ＷＳ１とＷＳ２））が対応付けられる。

また、アクセス回線（例えば、ＡＣ２）と各ファイアウオール装置２０〜２２のあいだに負荷分散装置を配置して、内向きのパケット（例えば、ＰＫ１）を各ファイアウオール装置に振り分ける構成を取る場合などを除き、同じ仮想Ｗｅｂサーバ（例えば、ＷＳ１）が複数のファイアウオール装置（例えば、２１と２２）に対応付けられることもない。

ＦＷ装置ＩＰアドレスは、ＬＡＮ１２内で各ファイアウオール装置を一意に指定するためのＩＰアドレスである。これまで説明したＩＰアドレス（例えば、ＰＡ３１、ＰＡ３３，ＰＡ１など）はすべて、グローバルな範囲で一意なグローバルＩＰアドレスであるが、このＦＷ装置ＩＰアドレスは、ＬＡＮ１２内においてＦＷ管理装置２４と、各ファイアウオール装置（例えば、２１）とのあいだの設定用通信に使用するだけであるので、グローバルな範囲で一意である必要はなく、プライベートＩＰアドレスなどを利用することが可能である。

また、ファイアウオール装置の仕様によっては、ＯＳＩ参照モデルのネットワーク層のプロトコルとしてＩＰプロトコル以外の通信プロトコルを用いて、ＦＷ管理装置２４とファイアウオール装置（例えば、２１）のあいだの設定用通信を行うこともあり得る。その場合などには、ＩＰアドレス以外の識別子が使用される可能性がある。ここで、設定用通信に用いる通信プロトコルを設定プロトコルと呼ぶ。

なお、ファイアウオール装置によっては、前記パケット（例えば、ＰＫ１やＰＫ２）を送受するポートとは別に、設定専用のポート（コンソールポート）を搭載し、パケットフィルタの設定などは当該コンソールポートで受け付ける構成を取る場合もあり得る。そのようなケースでは、ファイアウオール装置（例えば、２１）とＦＷ管理装置２４をつなぐ伝送路そのものが物理的に独立しているため、識別子が不要な可能性もある。

ＦＷ装置種別は、各ファイアウオール装置（例えば、２１）の機種などを特定するための情報である。

ファイアウオール装置は、ベンダの相違により、また、ベンダが同じであっても機種の相違により、前記設定プロトコルが相違し得るから、ＦＷ装置種別を登録しておく必要がある。必要に応じて、当該ＦＷ装置種別には、バージョン情報なども含まれ得る。

複数ベンダ、複数機種のファイアウオール装置に対応するため、ＦＷ管理装置２４は、複数の設定プロトコルを処理する機能（複数の設定プロトコルモジュール）を搭載する必要がある。

ＦＷ設定制御部４２は、サービス利用ユーザ（例えば、Ｕ１）からパケットフィルタの設定の変更要求を受けた場合、そのサービス利用ユーザＵ１のユーザＩＤを検索キーとしてＦＷ装置情報テーブルＴＢ４を検索すれば、検索結果として該当するファイアウオール装置（例えば、２１）のＩＰアドレスとそのファイアウオール装置２１の種別（種別情報）を得ることができるので、該当する設定プロトコルを特定することができる。

ＦＷ設定制御部４２に接続されているＦＷ設定部４６は、ＦＷ設定制御部４２からの制御に応じて、各ファイアウオール装置（例えば、２１）のパケットフィルタの設定変更のための前記設定用通信を実行する部分である。当該ＦＷ設定部４６はその内部に複数のＦＷ設定部（図示の例では、４６Ａと４６Ｂ）を備えている。

各ＦＷ設定部４６Ａ、４６Ｂは上述した設定プロトコルモジュールに相当する。

図示の例では、ファイアウオール装置２０と２１は設定プロトコルが同じなので、同一のＦＷ設定部４６Ａと設定用通信を行うが、ファイアウオール装置２２はこれらと設定プロトコルが異なるため、別のＦＷ設定部４６Ｂと設定用通信を行うことになる。

ただし、設定プロトコルに限らず、パケットフィルタの構成に関する仕様（一例として、パケットフィルタをバイナリ形式で記述するか、テキスト形式で記述するか等）なども、個々のファイアウオール装置ごとに相違する可能性があるため、ＦＷ設定部（例えば、４６Ａ）は、このような仕様（前記設定プロトコルもこのような仕様の一例である）にも対応する機能を持つことが望ましい。

以下、上記のような構成を有する本実施形態の動作について説明する。

（Ａ−２）実施形態の動作
前提として、ユーザＵ１やＵ２はホスティング事業者ＨＥ１と契約（ホスティングサービス契約）を結び、自身が作成したＷｅｂページを提供するための仮想ＷｅｂサーバＷＳ１，ＷＳ２をサーバ装置２７上に有しているものとする。

また、ホスティングサービス契約を結んだとき、またはその後で、前記サービス利用ユーザ全員（Ｕ１，Ｕ２も含む）が、パーソナル・ファイアウオール・サービス契約を結んだものとする。

パーソナル・ファイアウオール・サービスを提供するには、上述したユーザ認証を行う必要があるため、ユーザ認証に必要な各種のユーザ情報（例えば、ユーザＩＤやパスワードなど）を、前記サービス利用ユーザからＬＡＮ１２（ホスティング事業者ＨＥ１）へ通知しておく必要がある。この通知は、書類や記憶媒体を郵送することによって行ってもよいが、ネットワーク（例えば、インターネット１１）経由の通信によって行うこともできる。

通知を受けると、管理者Ａ１などが、前記管理者Ｉ／Ｆ部４１を介してＦＷ管理装置２４にアクセスし、前記ユーザ情報データベース４４内のユーザ情報テーブルＴＢ１に通知を受けたユーザ情報を登録する。なお、本実施形態の構成上、各サービス利用ユーザは、自身の作成したＷｅｂページを提供する仮想Ｗｅｂサーバ（例えば、ＷＳ１）のＩＰアドレスを知る必要はない。したがってサーバＩＰアドレス（例えば、ＰＡ１など）は管理者Ａ１が自由に決めることができ、決めたあとでも管理上の必要に応じてサービス利用ユーザに通知することなく適宜、変更することが可能である。

ユーザ情報の登録が完了すると、サービス利用ユーザはいつでも、前記ユーザＩ／Ｆ部４０を介してＦＷ管理装置２４にアクセスし、前記ユーザ認証を受けたあと、パケットフィルタの設定を確認したり、変更したりすることが可能であるため、透明性が高く、迅速性、柔軟性および利便性に優れている。

ただし上述したように、各サービス利用ユーザが確認、変更する権限を持つのは、自身が作成したＷｅｂページを提供する仮想Ｗｅｂサーバに関するパケットフィルタ設定だけである。例えば、サービス利用ユーザＵ１の場合、自身が提供するＷｅｂページに対応する仮想ＷｅｂサーバであるＷＳ１，すなわち、ＩＰアドレスがＰＡ１のパケットフィルタの設定のみ確認、変更することができる。

ここで、ＩＰアドレスＰＡ１とサービス利用ユーザＵ１が行ったパケットフィルタ設定との対応付けは、ＦＷ設定制御部４２が自動的に行うため、サービス利用ユーザＵ１は当該ＩＰアドレスＰＡ１を知らなくてもパケットフィルタの設定や設定内容の確認を行うことができる。

ＦＷ設定制御部４２は、前記ユーザ認証の過程で操作端末３１から受け取るユーザＩＤを検索キーとして、前記ユーザ情報データベース４４に格納されているユーザ情報テーブルＴＢ１を検索し、検索結果としてサーバＩＰアドレス（ここでは、Ｕ１に対応するＰＡ１）を得ることができるため、ユーザＩＤとサーバＩＰアドレスとの対応関係を把握することが可能である。

前記権限の範囲内である限り、パケットフィルタの設定をどのように行うかは、サービス利用ユーザ（例えば、Ｕ１）の自由であるが、ここでは、サービス利用ユーザＵ１が前記エンドユーザＥＵ１から仮想ＷｅｂサーバＷＳ１へ送信されるパケットを遮断するような設定を行ったものとする。このパケットはこの時点までファイアウオール装置２１の通過を許可していたものである。

この場合、サービス利用ユーザＵ１は、例えば上述したように、ＬＡＮ１２の外から内へ向かうパケットについて、その送信元ＩＰアドレスがＰＡ３３で宛先ポート番号が８０番のものを遮断する旨の設定を行えばよい。

この設定内容は、前記データベース４３内のＦＷ設定情報テーブルＴＢ３に反映されるとともに、前記設定用通信により、該当するファイアウオール装置（ここでは、２１）の設定に反映される。

ＦＷ管理装置２４が当該設定用通信を行うために、前記データベース４３内のＦＷ装置情報テーブルＴＢ４を検索し、この検索結果に応じて設定プロトコルに対応するＦＷ設定部（ここでは、４６Ａ）を特定すると、当該ＦＷ設定部４６Ａが該当するファイアウオール装置２１と設定用通信を行い、サービス利用ユーザＵ１が要求したパケットフィルタの設定が、実際のファイアウオール装置２１の設定に反映されることになる。

この反映のあとエンドユーザＥＵ１が操作端末３３を用いて仮想ＷｅｂサーバＷＳ１にアクセスしようとしても、そのアクセスのために送信したパケット（宛先ＩＰアドレスがＰＡ１、送信元ＩＰアドレスがＰＡ３３、宛先ポート番号が８０番のパケットＰＫ１）がこれまでのようにファイアウオール装置２１を越えることができないため、サービス利用ユーザＵ１の望むアクセス制御が即座に実現される。サービス利用ユーザＵ１がパケットフィルタの設定の変更を要求してから、その要求内容が反映されるまでの間、管理者Ａ１が介在する必要はないため、管理者Ａ１の負担もまったくない。

一方、サービス利用ユーザＵ２は同じエンドユーザＥＵ１から仮想ＷｅｂサーバＷＳ２へのアクセスを許可する旨のパケットフィルタ設定を行ったものとする。このアクセスのためのパケットはこの時点までファイアウオール装置２１で遮断していたものである。この設定の内容は、前記サービス利用ユーザＵ１によるパケットフィルタの設定変更の場合と同様の手順で、ファイアウオール装置２１の設定に反映される。
この反映のあとエンドユーザＥＵ１が操作端末３３を用いて仮想ＷｅｂサーバＷＳ２にアクセスするため、パケット（例えば、宛先ＩＰアドレスがＰＡ２、送信元ＩＰアドレスがＰＡ３３、宛先ポート番号が８０番のパケットＰＫ１）を送信すると、当該パケットＰＫ１はこれまでと異なりファイアウオール装置２１で遮断されることなく中継され、さらにネットワーク装置群２３による中継を経て、サーバ装置２７に搭載されている宛先の仮想ＷｅｂサーバＷＳ２へ到達する。

このように本実施形態では、各サービス利用ユーザＵ１，Ｕ２が、同じエンドユーザＥＵ１からのアクセスに対して異なるパケットフィルタ設定を行った場合でも、矛盾なく、各サービス利用ユーザＵ１、Ｕ２の意思を反映したアクセス制御を実行することが可能である。

なお、ここではバーチャルホスト機能を利用して、同じサーバ装置２７上に搭載された仮想ＷｅｂサーバＷＳ１，ＷＳ２へのアクセスを例に説明したが、１つのサーバ装置（例えば、２５）が１つのＷｅｂサーバを搭載する場合に行う各サーバ装置へのアクセスに対するアクセス制御でもまったく同じである。

（Ａ−３）実施形態の効果
本実施形態によれば、柔軟性や利便性を高く、迅速にパケットフィルタ設定の変更を行うことができる。

また、サービス利用ユーザ（例えば、Ｕ１）は、いつでも、パケットフィルタの設定内容を確認したり、設定の変更を行うことができ、変更の内容はただちにファイアウオール装置（例えば、２１）の設定に反映されるため、サービスの透明性も高い。

（Ｂ）他の実施形態
図１に示したＬＡＮ１２のネットワーク構成は、図示したものに限定する必要がないことは当然である。

また、上記実施形態ではＩＰアドレスを各装置（操作端末やサーバ装置）に付与するものとしたが、このような付与は、直接、そのＩＰアドレスをその装置に設定することのみを意味しないことは当然である。ネットワーク機器などが持つＮＡＴ機能などにより、各装置とＩＰアドレスのあいだに同様な対応付けが実現されれば足りるからである。

さらに、上記実施形態ではホスティング事業者が提供するホスティングサービスを例に説明したが、本発明はホスティングサービス以外にも適用可能である。

例えば、１つの企業のネットワーク内で、その企業のある部門（例えば、営業部）と別な部門（例えば、技術開発部）が提供するＷｅｂページをバーチャルホスト機能を利用して提供すること等もあり得るし、そのようなＷｅｂページを提供する機能を持つ１または複数台のＷｅｂサーバ装置を所定の部門（例えば、情報システム部など）が一括管理する構成もあり得る。この場合、前記ホスティング事業者ＨＥ１は情報システム部に置き換えて考える必要がある。

なお、本発明は、Ｗｅｂサーバ以外のサーバについても適用可能であることはすでに説明した通りである。

また、上記実施形態では、バーチャルホスト機能の実現法として、１つのサーバ装置（例えば、２７）にバーチャルホスト（仮想Ｗｅｂサーバ）の数と同数のＩＰアドレスを付与する第２の方法を用いたが、ファイアウオール装置（例えば、２１）がアプリケーションレベルゲートウエイである場合などには、１つのサーバ装置（例えば、２７）に１つのＩＰアドレスのみを付与する第１の方法を用いることができる可能性がある。

例えば、アプリケーションレベルゲートウエイの場合、その仕様によっては、ＩＰパケット（例えば、ＰＫ１）に収容されているＨＴＴＰリクエストメッセージ中に含まれる仮想Ｗｅｂサーバ（ＷＳ１またはＷＳ２）のドメイン名などを解釈することも可能であるので、宛先ＩＰアドレスが同じであっても、ドメイン名にもとづいて仮想Ｗｅｂサーバを識別（例えば、前記ＷＳ１とＷＳ２を識別）することができるからである。

そして、アプリケーションレベルゲートウエイが実行するアクセス制御の内容に、ユーザからの設定に依存して変化するオプションがある場合などには、前記パケットフィルタの設定を変更させたように、サービス利用ユーザにその設定を変更させることもできる。

なお、上記実施形態ではＩＰアドレス（パケットの送信元ＩＰアドレス）に基づいてエンドユーザを識別したが、実際には、例えば、ダイヤルアップＩＰ接続でアクセスしてくるエンドユーザや、プロキシ経由でアクセスしてくるエンドユーザの場合などには、アクセスのたびに送信元ＩＰアドレスが変動する可能性があって送信元ＩＰアドレスでエンドユーザを特定することは難しい。ただし、アプリケーションレベルゲートウエイの場合には、送信元ＩＰアドレスでアクセス元のユーザを特定することなく、アクセスの仕方に対して制限をかけることもできる。

また、前記インターネット１１を他のネットワークに置き換えた構成を取る場合など、ＯＳＩ参照モデルのネットワーク層のプロトコルは必ずしもＩＰプロトコルである必要はない。一例として、ＩＰＸプロトコルを使用できる可能性もある。

また、上記実施形態では、各テーブルＴＢ１〜ＴＢ４につき、具体的なデータ項目を列挙してその構成を図示したが、各テーブルの構成は必ずしも図示した通りのものである必要はない。

以上の説明でハードウエア的に実現した機能の大部分はソフトウエア的に実現することができ、ソフトウエア的に実現した機能のほとんど全てはハードウエア的に実現することが可能である。

実施形態にかかる通信システムの全体構成例を示す概略図である。 実施形態で使用するファイアウオール管理装置の構成例を示す概略図である。 実施形態で使用するユーザ情報テーブルの構成例を示す概略図である。 実施形態で使用するユーザＦＷ設定情報テーブルの構成例を示す概略図である。 実施形態で使用するＦＷ設定情報テーブルの構成例を示す概略図である。 実施形態で使用するＦＷ装置情報テーブルの構成例を示す概略図である。

符号の説明

１０…通信システム、１１…インターネット、１２〜１４…ＬＡＮ、２０〜２２…ＦＷ装置、２３…ネットワーク装置群、２４…ＦＷ管理装置、２５〜３０…サーバ装置、３１〜３３…操作端末、４０…ユーザＩ／Ｆ部、４１…管理者Ｉ／Ｆ部、４２…ＦＷ設定制御部、４３…ＦＷ装置情報データベース、４４…ユーザ情報データベース、４５…ユーザＦＷ設定情報データベース、４６…ＦＷ設定部、ＴＢ１〜ＴＢ４…テーブル、ＰＫ１、ＰＫ２…パケット、ＢＲ１、ＢＲ２，ＢＥ１…Ｗｅｂブラウザ、Ｕ１，Ｕ２…サービス利用ユーザ、ＥＵ１…エンドユーザ、Ａ１…管理者、ＷＳ１、ＷＳ２…仮想Ｗｅｂサーバ、ＰＡ１，ＰＡ２，ＰＡ３１〜ＰＡ３３…ＩＰアドレス。

Claims (4)

1. 第１グループに属するユーザである第１グループユーザが、第２グループに属するユーザである第２グループユーザに対して、自身のサーバ機能に第１のネットワーク経由でアクセスさせるため、当該サーバ機能を第２のネットワーク内に設置されたサーバ装置に搭載した上、そのサーバ装置に関する管理を所定の管理者に委託する場合、当該第１のネットワークと第２のネットワークの境界に配置するファイアウオール装置を管理するファイアウオール管理システムにおいて、
   複数の前記第１グループユーザに関するユーザ情報を蓄積しておくユーザ情報蓄積部と、
   各第１グループユーザが前記サーバ装置を利用して提供する複数のサーバ機能に対する前記第２グループユーザからのアクセスに関して、前記ファイアウオール装置がアクセス制御設定に基づいて実行するアクセス制御を管理するファイアウオール装置管理部とを備え、
   当該ファイアウオール装置管理部は前記ユーザ情報をもとに個々の第１グループユーザからのアクセス制御設定に関する要求を識別し、その要求に応じて前記アクセス制御設定を変化させることで、前記ファイアウオール装置が実行する各サーバ機能へのアクセス制御を変化させることを特徴とするファイアウオール管理システム。
2. 請求項１のファイアウオール管理システムにおいて、
   前記ファイアウオール装置が複数存在する場合、各ファイアウオール装置に関する属性情報であるファイアウオール情報を蓄積しておくファイアウオール情報蓄積部と、
   各ファイアウオール装置の仕様に対応する１または複数の仕様対応部とを備え、
   前記ファイアウオール装置管理部は、
   第１グループユーザからの前記要求に応じてファイアウオール装置のアクセス制御設定を変化させるとき、前記ファイアウオール情報をもとに該当するファイアウオール装置の仕様に対応する仕様対応部を特定し、その仕様対応部を介して当該ファイアウオール装置におけるアクセス制御設定の変更を実現することを特徴とするファイアウオール管理システム。
3. 第１グループに属するユーザである第１グループユーザが、第２グループに属するユーザである第２グループユーザに対して、自身のサーバ機能に第１のネットワーク経由でアクセスさせるため、当該サーバ機能を第２のネットワーク内に設置されたサーバ装置に搭載した上、そのサーバ装置に関する管理を所定の管理者に委託する場合、当該第１のネットワークと第２のネットワークの境界に配置するファイアウオール装置を管理するファイアウオール管理方法において、
   複数の前記第１グループユーザに関するユーザ情報をユーザ情報蓄積部に蓄積しておき、
   ファイアウオール装置管理部が、各第１グループユーザが前記サーバ装置を利用して提供する複数のサーバ機能に対する前記第２グループユーザからのアクセスに関して、前記ファイアウオール装置がアクセス制御設定に基づいて実行するアクセス制御を管理し、
   しかも当該ファイアウオール装置管理部は、前記ユーザ情報をもとに個々の第１グループユーザからのアクセス制御設定に関する要求を識別し、その要求に応じて前記アクセス制御設定を変化させることで、前記ファイアウオール装置が実行する各サーバ機能へのアクセス制御を変化させることを特徴とするファイアウオール管理方法。
4. 第１グループに属するユーザである第１グループユーザが、第２グループに属するユーザである第２グループユーザに対して、自身のサーバ機能に第１のネットワーク経由でアクセスさせるため、当該サーバ機能を第２のネットワーク内に設置されたサーバ装置に搭載した上、そのサーバ装置に関する管理を所定の管理者に委託する場合、当該第１のネットワークと第２のネットワークの境界に配置するファイアウオール装置を管理するファイアウオール管理プログラムにおいて、コンピュータに、
   複数の前記第１グループユーザに関するユーザ情報を蓄積しておくユーザ情報蓄積機能と、
   各第１グループユーザが前記サーバ装置を利用して提供する複数のサーバ機能に対する前記第２グループユーザからのアクセスに関して、前記ファイアウオール装置がアクセス制御設定に基づいて実行するアクセス制御を管理するファイアウオール装置管理機能とを実現させ、
   当該ファイアウオール装置管理機能は前記ユーザ情報をもとに個々の第１グループユーザからのアクセス制御設定に関する要求を識別し、その要求に応じて前記アクセス制御設定を変化させることで、前記ファイアウオール装置が実行する各サーバ機能へのアクセス制御を変化させることを特徴とするファイアウオール管理プログラム。

Images