JP2005505175A - Ｌ２装置でのレイヤ３／レイヤ７・ファイアウォール実施方法及び装置 - Google Patents

Abstract

パケット交換通信システムにおいてパケットを転送するための方法及び装置である。受信した各パケットに対して、この受信パケットを検査するかどうかを判定するためのコントローラ（２０４）と、前記コントローラ（２０４）によって識別されたパケットをゾーン固有のポリシーを使用して検査しフィルタリングするように動作可能な検査装置（２１０）と、検査したパケットをＬ２プロトコルを使用してＬ２ヘッダ情報にしたがって転送するためのＬ２コントローラ（２３０）とを備えるＬ２装置（１０６）を含むシステム（１００）が提供される。
【選択図】図２ａ

Description

【背景】
【０００１】
本発明は一般にデータルーティングシステムに関し、より詳細にはネットワーク上で安全な通信を提供するための方法及び装置に関する。
【０００２】
パケット交換通信システムは、複数のユーザを接続する１つ以上のスイッチ又はルータのネットワークを含む。パケットは、パケット交換通信システムにおける転送の基本単位である。ユーザは個人のユーザ端末か又は別のネットワークである。
【０００３】
レイヤ２（Ｌ２）スイッチは、データ又は制御情報を含むパケットをあるポートで受信し、そのパケット内に含まれる媒体アクセス接続（ＭＡＣ）アドレスに基づいて、当該パケットを別のポートにスイッチするスイッチング装置である。従来のＬ２スイッチは、パケット内に含まれるレイヤ２（Ｌ２）ヘッダ情報を評価して特定のパケットのための適切な出力ポートを決定することによって、このスイッチング機能を実行する。Ｌ２スイッチは、ＭＡＣアドレスを出力ポートにマップしたテーブルを含む。ＭＡＣアドレスが未知の場合（即ち、テーブルに対応するエントリがない場合）、パケット交換通信システムの別のコンポーネントがＭＡＣアドレスを認識している（そして当該パケットを送るＬ２スイッチに情報を戻してテーブルを更新する）ことを期待して、対応するパケットを全ての出力ポートに同報通信する。他の種類のＬ２装置は、ブリッジを含む。
【０００４】
ルータは、データ又は制御情報を含むパケットをあるポートで受信し、そのパケットに含まれる宛先情報に基づいて、当該パケットを宛先への次のホップへとルートするスイッチング装置である。従来のルータは、パケットに含まれるレイヤ３（Ｌ３）ヘッダ情報を評価してその特定のパケットのための次のホップを決定することによって、このスイッチング機能を実行する。レイヤ３情報は、パケットの意図する宛先に関連付けられたＩＰアドレス（及び発信元アドレス）を含む。
【０００５】
ユーザを連結するネットワークは、イントラネット、即ちローカルエリアネットワーク（ＬＡＮ）といった１つ以上のプライベートサーバを接続するネットワークである。或いは、ネットワークはインターネットなどのパブリックネットワークでもよく、そのネットワークではデータパケットは信頼されていない通信リンクを介して渡される。ネットワーク構造は、パブリックネットワークとプライベートネットワークとの組合せを含むことができる。例えば、各端末を有する２つ又はそれより多いＬＡＮを、インターネットなどのパブリックネットワークを用いて連結することができる。パブリックネットワークとプライベートネットワークをリンクさせたり異なるネットワークを連結させたりする場合に、データセキュリティの問題が生じることがある。例えばパブリックネットワークとプライベートネットワークとのリンクを含む従来のパケット交換通信システムは典型的に、ネットワークアクセス制御とデータの完全性を保証するためのセキュリティ手段を含む。
【０００６】
各パケットのセキュリティを保証するために、パケット交換通信システムは暗号化／解読サービスを含むことができる。信頼されているネットワーク（又はネットワークの一部）を離れる前に各パケットを暗号化し、そのパケットが信頼されていない（例えば、パブリック）ネットワーク（又はその一部）を介して転送される際のデータ損失の可能性が最小になるようにする。宛先又は通信システムの別の信頼されている部分（例えば、宛先の直前のファイアウォール）でパケットを受信すると、このパケットを解読し、引き続いてその意図する宛先へと送る。暗号化及び解読を使用することによって、信頼されていない通信リンクによって分離されているユーザ間に仮想プライベートネットワーク（ＶＰＮ）を形成することができる。
【０００７】
通信システムのパブリック部分を介して転送されるデータのセキュリティに関する問題の他に、プライベートネットワークとパブリックネットワークとのインタフェースに設けられるゲートウェイからの侵入に対して、ネットワークのプライベート部分を保護しなければならない。ファイアウォールは、パブリックネットワークから受信したパケットをスクリーニングするために、パブリックネットワークとプライベートネットワークとの間にインラインで連結できる装置である。ファイアウォールは、ポリシー及びフィルタリング機能を実施するために使用可能な特定の種類のＬ３／Ｌ４装置である。ファイアウォールは、受信パケットの検査、フィルタリング、認証、暗号化、解読、又はその他の方法による操作のために１つ以上のエンジンを含むことができる。従来のファイアウォールは、処理中の所与のパケットの発信元及び宛先に関連付けられたＩＰアドレスを含むＬ３及びＬ４ヘッダ情報を使用する。受信パケットは検査され、その後所与のドメインに関連付けられたポリシーにしたがって送られたりドロップされたりする。
【概要】
【０００８】
一態様では、本発明はパケット交換通信システムにおけるＬ２装置を提供する。このパケット交換通信システムは複数のゾーンを有し、各ゾーンは別々のセキュリティドメインを表し、関連するゾーンを出入りするパケットを検査するために使用する関連するポリシーを有する。Ｌ２装置は、第１のセキュリティゾーンに含まれる端末ユニットに連結される少なくとも１つのポートと、第２のセキュリティゾーンに含まれる端末ユニットに連結される少なくとも１つのポートと、受信した各パケットに対して、この受信パケットを別のゾーンへ向けるかどうかを判定するコントローラと、ゾーン固有のポリシーを使用してインターゾーンパケットを検査しフィルタリングするように動作可能なファイアウォールエンジンと、Ｌ２スイッチングエンジンとを含む。このＬ２スイッチングエンジンは、Ｌ２装置を通過する全てのイントラゾーンパケットを、ＭＡＣアドレスと対応するポートのテーブルを使用してポートへと直ちにルートし、ファイアウォールエンジンによる検査後も保持されているインターゾーンパケットのみをポートへとルートするように動作可能である。
【０００９】
別の態様では、本発明はパケット交換通信システムにおけるＬ２装置を提供する。このＬ２装置は、受信した各パケットに対して、この受信パケットをイントラゾーン又はインターゾーンのどちらに転送するかを判定するためのコントローラと、インターゾーンパケットをゾーン固有のポリシーを使用して検査しフィルタリングするように動作可能なファイアウォールエンジンと、Ｌ２装置を通過する全てのイントラゾーンパケットを、ＭＡＣアドレスと対応するポートのテーブルを使用してポートへと直ちにルートし、ファイアウォールエンジンによる検査後も保持されているインターゾーンパケットのみをポートへとルートするように動作可能なＬ２スイッチングエンジンとを含む。
【００１０】
別の態様では、本発明はパケット交換通信システムにおけるＬ２装置を提供し、このＬ２装置は、受信した各パケットに対して、この受信パケットをインターゾーンに転送するかどうかを判定するためのコントローラと、インターゾーンパケットを、Ｌ２プロトコルを使用してルートする前に、ゾーン固有のポリシーを使用して検査しフィルタリングするように動作可能なファイアウォールエンジンとを含む。
【００１１】
別の態様では、本発明はパケット交換通信システムにおけるＬ２装置を提供し、このＬ２装置は、受信した各パケットに対して、この受信パケットをインターゾーンに転送するかどうかを判定するためのコントローラと、インターゾーンパケットを、Ｌ２プロトコルを使用してルートする前に、ゾーン固有のポリシーを使用して検査しフィルタリングするように動作可能な検査装置とを含む。
【００１２】
別の態様では、本発明はパケット交換通信システムにおけるＬ２装置を提供し、このＬ２装置は、受信した各パケットに対して、この受信パケットを検査するかどうかを判定するコントローラと、該コントローラによって識別されたパケットをゾーン固有のポリシーを使用して検査しフィルタリングするように動作可能な検査装置と、検査したパケットを、Ｌ２プロトコルを使用してＬ２ヘッダ情報にしたがって転送するためのＬ２コントローラとを含む。
【００１３】
本発明の態様は、以下の特徴のうちの１つ以上を含むことができる。検査装置は、レイヤ３ファイアウォール装置、レイヤ４ファイアウォール装置及びレイヤ７ファイアウォール装置を含むファイアウォールであり得る。検査装置は、レイヤ２ヘッダ情報以外のレイヤ情報に基づいてフィルタリングするファイアウォールであり得る。コントローラは、セキュリティゾーン間を渡される各パケットを判定することができ、検査装置はインターゾーントラフィックのみを処理する。コントローラは単一のセキュリティゾーンに留まる各パケットを判定することができ、検査装置はイントラゾーンパケットを直ちにルートする。この装置は、所与のパケットのレイヤ２ヘッダのＭＡＣアドレスを使用してトラフィックをルートし、そのパケットがルートされる装置の出口を決定することができる。
【００１４】
この装置は、検査されるパケットを記憶するための記憶要素と、装置を通過するようにパケットを転送するためのＬ２コントローラとを含むことができ、このＬ２コントローラは、所与のパケットを転送するための出口を、この所与のパケット中のその宛先ＭＡＣアドレスを使用して決定するステップと、ＭＡＣアドレスと関連する出口ノードのマッピングを含むＭＡＣアドレステーブルとを含む。記憶要素は、第１の部分及び第２の部分を含むことができる。第１の部分は、装置を通過するように転送されるパケットを記憶させることができ、第２の部分は検査待ちのパケットを記憶させることができる。この装置は、Ｌ２スイッチ又はＬ２ブリッジであり得る。
【００１５】
別の態様では、本発明は通信ネットワークにおいてパケットを転送する方法を提供し、この方法は、Ｌ２装置でパケットを受信するステップと、受信パケットをインターゾーンに転送するかどうかを判定するステップと、インターゾーンパケットを、Ｌ２プロトコルを使用してルートする前に、ゾーン固有のポリシーを使用して検査しフィルタリングするステップとを含む。
【００１６】
別の態様では、本発明は通信ネットワークにおいてパケットを転送する方法を提供し、この方法は、Ｌ２装置でパケットを受信するステップと、受信パケットを検査するかどうかを判定するステップと、識別したパケットを、Ｌ２プロトコルを使用してＬ２装置を通過するように転送する前に、ゾーン固有のポリシーを使用して検査しフィルタリングするステップとを含む。
【００１７】
別の態様では、本発明は通信ネットワークにおいてパケットをスイッチするための方法を提供し、この方法は、Ｌ２装置のインタフェースでパケットを受信するステップと、受信パケットに関連付けられた宛先ＭＡＣアドレスが既知であるかどうかを判定し、既知でない場合、この受信パケットをＬ２装置のいずれかのポートに転送せずに所定の時間だけ保持するステップと、未知のＭＡＣアドレスを含むプローブパケットを形成するステップと、このプローブパケットを、受信したインタフェースを除く全てのインタフェースに同報通信するステップとを含む。
【００１８】
本発明の態様は、以下の特徴のうちの１つ以上を含むことができる。プローブパケットは、ＩＰヘッダに活動時間（ＴＴＬ）フィールドを含むことができ、この方法は、未知のＭＡＣアドレスを有しプローブセルを受信した下流ノードが期限切れのメッセージをＬ２装置に戻すように、ＴＴＬフィールドの値を設定するステップを含むことができる。この方法は、所定の時間の満了後にパケットをドロップするステップを含むことができる。ＭＡＣアドレスが未知の場合、このパケットをドロップすることができる。この方法は、同報通信インタフェースの１つから応答を受信するステップと、未知だったＭＡＣアドレスが応答したインタフェースに関連付けられたことを示すようにテーブルを更新するステップとを含むことができる。
【００１９】
別の態様では、本発明は、各ユーザ側に暗号化サービス及び解読サービスを必要とせずに、ユーザ間の安全な通信を提供する方法を提供する。この方法は、第１のユーザ及び第２のユーザを識別するステップと、通信ネットワークにわたって、第１のユーザ及び第２のユーザを２つ又はそれより多いＬ２装置を介して連結するステップと、第１のユーザと第２のユーザとの通信のための仮想プライベートネットワークを指定するステップとを含む。仮想プライベートネットワークは、ネットワーク上の第１のＬ２装置と第２のＬ２装置との間に画成される。この方法は、第１のＬ２装置又は第２のＬ２装置のいずれかでパケットを受信するステップと、受信パケットが仮想プライベートネットワークに関連付けられるかどうかを判定するステップと、識別したパケットを、Ｌ２プロトコルを使用してＬ２装置を通過するように転送する前に、ローカルな暗号化サービス及び解読サービスを使用して必要に応じて暗号化及び解読するステップとを含む。
【００２０】
本発明の態様は、以下の特徴のうちの１つ以上を含むことができる。判定ステップは、パケットに関連付けられた宛先ＭＡＣアドレスを使用して仮想プライベートネットワークを識別するステップを含むことができる。
【００２１】
別の態様では、本発明は、各ユーザ側に暗号化サービス及び解読サービスを必要とせずに、ユーザ間の安全な通信を提供するための仮想プライベートネットワークを提供する。仮想プライベートネットワークは、通信ネットワークにわたって第１のユーザと第２のユーザとを連結させる第１のＬ２装置及び第２のＬ２装置を含み、これら第１のＬ２装置及び第２のＬ２装置のそれぞれは、受信パケットが仮想プライベートネットワークに関連付けられるかどうかを判定するスクリーニングメカニズムと、Ｌ２プロトコルを使用してＬ２装置を通過するようにパケットを転送する前に、仮想プライベートネットワークに関連付けられたこのパケットに対して作動する暗号化サービス及び解読サービスとを含む。
【００２２】
本発明の態様は、以下の利点のうちの１つ以上を含むことができる。ネットワーク又は端末の構造を変える必要なく、単一の装置内に複数のセキュリティゾーンを形成できるパケット交換通信システムが提供される。各ゾーン間では、端末ユニットは、Ｌ２スイッチングや以下に説明するようなレイヤ７までのセキュリティフィルタリングに気づかずに（しかしこの利点は受けている）、他の端末ユニットと通信することができる。Ｌ２スイッチ及びファイアウォールの機能性を含むパケット交換通信システムが提供される。パケット交換通信システムは、全てのイントラゾーン通信に対してＭＡＣアドレスに基づいて送信／フィルタリングを行うＩＥＥＥ ８０２．１Ｑ ＶＬＡＮ Ｌ２の従来のスイッチとして作動する。パケット交換通信システムによって、所与のセキュリティゾーン内の多数のポート間のＬ２スイッチングが可能になる。Ｌ２スイッチはまた、ＴＣＰステイトフル検査、ｓｙｎ−ａｔｔａｃｋ保護、ポリシーベースの制御、負荷分散及び各データストリームに対する他の機能性を含むレイヤ７までのセキュリティファイアウォール保護を、インターゾーン又はイントラゾーントラフィックのために必要に応じて提供する。一実施形態では、多数のＩＥＥＥ ８０２．１Ｑ ＶＬＡＮベースのＬ２透過ドメインを含むようにパケット交換通信システムを構成することができる。ユーザは、それぞれがファイアウォール制御に対して固有のポリシーを有する多数のＶＬＡＮを形成することができる。さらに、遠隔クライアントをＬ２ドメインに接続するＶＰＮトンネル機能のための方法が提供される。この方法は、ゾーンにわたる情報の同報通信、及び処理中のＭＡＣアドレスが認識されていない場合の１つ以上のセキュリティ制約の侵害に対する保護のために提供される。この方法は、プローブパケットを同報通信して未知のＭＡＣ宛先のトポロジー情報を発見するステップを含む。
【００２３】
本発明の１つ以上の実施形態の詳細を、添付図面と以下の記述で説明する。本発明の他の特徴、目的及び利点は、この記述及び図面並びに特許請求の範囲から明らかになるであろう。
【００２４】
種々の図面において、同一参照符号は同一要素を示す。
【詳細な説明】
【００２５】
図１を参照すると、パケット交換通信ネットワーク１００は、複数のゾーン１０４に構成され、１つ以上のスイッチ１０６によって連結された複数の端末ユニット１０２を含む。
【００２６】
一実施形態では、各端末ユニット１０２は独立型のコンピュータ（例えば、パーソナルコンピュータ、ラップトップ又はワークステーション）の形態である。或いは、１つ以上の端末ユニットは、パーソナルデジタルアシスタント（ＰＤＡ）、ウェブパッド、双方向ページャ、携帯電話又は通信若しくは演算環境における他の端末若しくは遠隔装置の形態でもよい。一実施形態では、各端末は別のネットワーク又は端末ユニットのグループ（例えば、ＬＡＮ又はサーバのプール）へのゲートウェイである。
【００２７】
各ゾーン１０４は、通信システムのセキュリティドメインを表している。各セキュリティドメインは、別々のポリシー、トラフィック監理、アカウンティング並びに管理用の定義及び機能を含むことができる。セキュリティポリシー、トラフィック監理及び他のフィルタリング機能をゾーン間で、またゾーン内で実施することができる。一実施形態では、セキュリティポリシーはゾーン間で実施され、その一方でイントラゾーンの通信はセキュリティの制約を受けない。一実施形態では、ゾーンがオーバーラップしている。ゾーンがオーバーラップしている場合、親ゾーンに関連付けられたポリシーが、１つ以上のサブゾーンに関連付けられたポリシーのスーパーセット（それぞれが全体的なポリシーのサブセットを含む）となることができる。或いは、親ゾーンに関連付けられたポリシーは各サブゾーンのポリシーとは切り離されていて、これと異なるものでもよい。例えば一実施形態では、ゾーンは１つ以上のサブゾーンを含むことができ、各サブゾーンはポリシーの別々のセットを含む。
【００２８】
一実施形態では、各ゾーンは物理的境界又は通信システムの他のセグメンテーションに関連付けられる。或いは、特定の端末ユニットをゾーンに割り当てることによって、ビジネス構造におけるグルーピング又はコンビネーションを表してもよい（例えば、ビジネスの組織における種々の機能エンティティを分離するために使用するゾーン）。或いは、ゾーンは物理的境界と特に関係がなくてもよい。各ゾーンの端末ユニット間、及びゾーン内の端末ユニット間の通信は、スイッチ１０６に関して以下に説明するプロトコルにしたがって制御される。
【００２９】
スイッチ１０６は種々の種類であってよい。一実施形態では、各スイッチ１０６はレイヤ２（Ｌ２）装置として構成され、複数のポートを有する。このポートで通信ネットワークからのパケットを受信し、Ｌ２プロトコルにしたがって転送する。各スイッチ１０６は、受信パケットのスイッチングを決定するために使用する媒体アクセス接続（ＭＡＣ）テーブルを含む。ＭＡＣテーブルは、ＭＡＣアドレスをスイッチ１０６のポートに関連付ける。パケットは、各スイッチ１０６のポートに到着すると、所与のパケット内に含まれるＬ２ヘッダ情報にしたがって処理される。パケットは、ＭＡＣアドレスに応じてＭＡＣテーブルで指定された適切な出力ポートへとスイッチされる。
【００３０】
セキュリティドメインの制約を実施するために、１つ以上のスイッチ１０６が構成される。例えば、１つ以上のスイッチ１０６をＬ２ファイアウォール使用可能セキュリティスイッチ（以下「セキュリティスイッチ」とする）として構成する。図２を参照すると、セキュリティスイッチ２００は複数のポート２０２、スイッチ構造２２０及びＬ２コントローラ２３０を含む。各ポート２０２は、バス２０６によってセキュリティコントローラ２０４に連結されている。セキュリティコントローラ２０４は１つ以上の記憶要素２０８に連結されている。一実施形態では（図示せず）、各ポート２０２が別々のセキュリティコントローラ２０４及び記憶要素２０８に関連付けられる。或いは、セキュリティコントローラの機能性を、（図示するように）単一の又は少ない数のセキュリティコントローラユニットに結合させることもできる。さらに、全てのポート２０２に関連付けられたパケットを（図示するように）単一の記憶要素２０８に記憶させることもできる。セキュリティスイッチ２００はまたファイアウォール装置２１０も含み、このファイアウォール装置はセキュリティバス２１１によって（各）記憶要素２０８に連結されている。
【００３１】
Ｌ２コントローラ２３０は、Ｌ２スイッチングプロトコルをサポートする。パケットは直接処理されるか（例えば、イントラゾーンパケット）又は以下により詳細に説明するように（例えばインターゾーンパケットの場合は）セキュリティスクリーニングの後に処理される。Ｌ２コントローラ２３０には、ＭＡＣテーブル２３５が関連付けられる。ＭＡＣテーブル２３５は複数のエントリを含み、各エントリはＭＡＣアドレスとこれに関連付けられたポート２０２のインジケータを含む。スイッチ構造２２０は、記憶要素２０８から各ポート２０２へのトラフィックを、バス２２１を使用してＬ２コントローラ２３０の制御下でルートするために使用される。
【００３２】
記憶要素２０８は２つの部分に区分される。第１の部分２１５は、ポート２０２から受信した、セキュリティスクリーニングされていないパケットを記憶するために使用される。例えば一実施形態では、同じセキュリティゾーン（例えば、イントラゾーンのトラフィック）の端末ユニットから受信したパケットはセキュリティスクリーニングされない。スクリーニングされないパケットは、直接Ｌ２コントローラ２３０で処理され、Ｌ２プロトコルにしたがってＭＡＣテーブル２３５で指定されたポートに送られる。第２の部分２１７は、ファイアウォール装置２１０によってスクリーニングされるパケットを記憶するために使用される。
【００３３】
セキュリティコントローラ２０４は、スクリーニングエンジン２４０を含む。スクリーニングエンジン２４０は、各ポート２０２から受信した各パケットを調べ、セキュリティスクリーニングを実行するかどうかを判定する。一実施形態では、スクリーニングエンジン２４０は各パケットのＬ２ヘッダを調べ、スクリーニングに基づいてそのパケットを記憶要素２０８の第１の部分２１５又は第２の部分２１７のいずれかに送る。Ｌ２ヘッダは宛先ＭＡＣアドレスを含み、このアドレスはＭＡＣテーブル２３５を使用して装置の出口にマップされる。入口及び出口のそれぞれには、セキュリティゾーン識別子が関連付けられる。セキュリティゾーン識別子は、ポート識別子（ｉｄ）によって索引が付けられたゾーン識別子のテーブル（図示せず）に記憶させることができる。スクリーニングエンジン２４０は、処理中のパケットに関連付けられたセキュリティゾーン識別子（処理中のパケットのヘッダの宛先ＭＡＣアドレスを使用してＭＡＣテーブルから出口を識別することによって決定される）と、そのパケットが受信された装置のポートに関連付けられたセキュリティゾーン識別子とを比較する。この比較に基づいて、スクリーニングエンジン２４０はそのパケットを別のゾーンへ向けるかどうか（即ち、イントラゾーン通信とインターゾーン通信のどちらを構築するか）を判定することができる。
【００３４】
パケットのスクリーニングは、各端末ユニットに関する知識の有る無しに関わらず可能である。セキュリティスイッチ２００には、ユーザインタフェース（図示せず）と１つ以上のセキュリティゾーンを構築するための関連する管理ツール（図示せず）が関連付けられる。一実施形態では、セキュリティゾーンは受信したパケットのＬ２ヘッダに含まれる宛先ＭＡＣアドレスに基づいて決定される。より具体的に言うと、各出口はセキュリティゾーンに割り当てられ、このゾーンに関連付けられたセキュリティゾーン識別子を有することができる。或いは、セキュリティスイッチ２００の異なるポートに連結された複数のユーザのためにセキュリティゾーンを形成することもできる。例えば、３つのポートを含むようにセキュリティスイッチ２００を構成することができ、そこでは、これらのポートのうちの最初の２つに関連付けられた端末ユニットが第１のゾーンに割り当てられ、第３のポートに関連付けられた端末ユニットが第２のゾーンに割り当てられる。他の構造も可能である。ゾーンの割り当て及び区分を以下により詳細に説明する。ユーザインタフェースによって、管理者又はユーザはセキュリティスイッチ２００を構成することができる。複数のセキュリティゾーンを形成し１つ以上のインタフェースを各ゾーンに関連付けるように、セキュリティスイッチ２００を構成することができる。そして、パケットがセキュリティスイッチ２００を通過したときにこのパケットを検査又はそうでなければスクリーニングするためのポリシーを確立することができる。
【００３５】
ファイアウォール装置２０８は、セキュリティスイッチ２００を通るようにパケットをルートする前にパケットスクリーニングを実行するための複数のエンジンを含む。ファイアウォール装置２０８は、ファイアウォールエンジン２７０、これに関連するポリシー２７１、認証エンジン２７２、暗号化エンジン２７４、解読エンジン２７６及びファイアウォールコントローラ２７８を含む。
【００３６】
ファイアウォールコントローラ２７８は、記憶要素２０８の第２の部分２１７からパケットを抽出する。ファイアウォールコントローラ２７８は、ファイアウォール装置内のパケットの分布と各エンジン間の調整を監督する。各パケットは、１つ以上の考慮すべき事項に基づくポリシーにしたがって評価され処理される。例えば、発信元、宛先又はその両方に基づいてパケットをスクリーニングすることができる。１つ以上のポリシー２７１をファイアウォールエンジン２７０で検索して使用することで、パケットを検査する。パケットの検査には、暗号化サービス、解読サービス及び認証サービスも必要になる。暗号化エンジン２７２、解読エンジン２７４及び認証エンジン２７６のうちの１つ以上を、ファイアウォールコントローラ２７８によって検査プロセスの一部として起動させることができる。さらに、仮想プライベートネットワーク終端サービス、セッションの設定並びに種々の他のトラフィック監理及びセキュリティ関連機能を含めた他のサービスを提供することができる。スクリーニングサービスの例を以下により詳細に説明する。検査の後、パケットを必要に応じてネットワークに送ったりドロップしたりすることができる。一実施形態では、送られるべき（例えば、検査に通った）パケットを必要に応じて準備し（例えば、暗号化し）、そして記憶要素２０８の第１の部分２１５へと送る。或いは、パケットを記憶要素２０８の第２の部分２１７へと戻し、スクリーニングされたものとしてマークしてもよい。一実施形態では、スクリーニングされたパケットはＬ２コントローラ２３０で処理するための待ち行列に送られる。そしてスクリーニングされたパケットはＬ２コントローラ２３０で処理され、従来のＬ２処理プロトコルにしたがって適切な出力ポートへとスイッチされる。
【００３７】
複数のセキュリティゾーンを形成するように各セキュリティスイッチ２００を構成することができる。例えば、セキュリティスイッチ２００を有する通信ネットワークを図２ｂに示す。通信ネットワークは、３つのゾーンを有するＶＬＡＮ構造である。セキュリティスイッチ２００は、ユーザインタフェースと、各セキュリティゾーンを形成し、ポリシー及び各ゾーンを画成し管理するための他の基準を指定するための管理用制御メカニズムとを含む。セキュリティスイッチ２００によって実施されるセキュリティゾーンは、エンドユーザには見えなくてもよい。即ち、セキュリティドメインに関連付けられた全ての動作パラメータの仕様を含めて、セキュリティゾーンをセキュリティスイッチ２００に確立することができる。各ゾーンのユーザは、ゾーンの構造に気づかずに他のユーザと従来の方法で通信することができる。例えば、暗号化サービス及び解読サービスを含む仮想プライベートネットワークを、各エンドユーザ側の実際の暗号化及び解読サポートを必要とせずに、ユーザ間で形成することができる（例えば、暗号化サービス及び解読サービスを２人のユーザ間に配置された安全なスイッチに設けることができる）。したがって、システムの管理者は、第１のセキュリティゾーンの遠隔ユーザと第２のセキュリティゾーンの別のユーザとの間に仮想プライベートネットワークを形成することができ、そのネットワークでは、各ユーザはＶＰＮサービスに気づかず、暗号化サービス又は解読サービスをローカルに含める必要がない。一実施形態では、管理者が用意したＶＰＮサービスを同じゾーンの遠隔ユーザに対して指定する。
【００３８】
或いは、ユーザがセキュリティ構造に気づき、他のユーザに転送されるパケットにインジケータ（例えば、ゾーン識別子）を含めてもよい。各ユーザは自身のカスタムＬ２ゾーンと、ネットワークセキュリティ要件のためのインターゾーンポリシーを定義することができる。例えば図２ｂに示すセキュリティスイッチ２００は、ｖ１−ｔｒｕｓｔゾーン、ｖ１−ｕｎｔｒｕｓｔゾーン及びｖ１−ｄｍｚゾーンを含むＶＬＡＮを表している。Ｖ１−ｔｒｕｓｔは、ユーザ２９１及びユーザ２９２を含めた２人のユーザを含むゾーンを画成する。Ｖ１−ｕｎｔｒｕｓｔは、単一のユーザ２９３を含むゾーンを画成する。Ｖ１−ｄｍｚは、ユーザ２９１、２９２及び２９４の３人のユーザを含むゾーンを画成する。これら３つのゾーン間の通信のために、別々のポリシーを実施することができる。例えばユーザ２９１とユーザ２９２との間のイントラゾーンの通信には検査は必要ないため、この通信はセキュリティスイッチ２００によって従来のＬ２プロトコルにしたがって処理される。ユーザ２９１からユーザ２９３への通信では、Ｖ１−ｔｒｕｓｔとＶ１−ｕｎｔｒｕｓｔとの間の通信のためにセキュリティシステムの設計者（例えば、ユーザ２９１、２９２又はこれらユーザの管理者）によって定義された検査プロセスを起動させる。同様に、ユーザ２９４とユーザ２９１との間の通信では、Ｖ１−ｄｍｚとＶ１−ｔｒｕｓｔとの間の通信のための検査プロセス（例えば、可能性としてはより小さなスクリーン）を起動させる。
【００３９】
多数のインタフェースが各ゾーン内で実施可能である。イントラゾーンのトラフィックの場合、セキュリティスイッチ２００は、所与のパケットを宛先ＭＡＣアドレスに基づいて送る典型的なＬ２ブリッジのように作動する。一実施形態では、イントラゾーンのトラフィックにはファイアウォール保護メカニズムを適用しない。
【００４０】
インターゾーンのトラフィックの場合、標準的なファイアウォール検査（上述のようなポリシーの検査、ＴＣＰステイトフル検査などを含む）が各入力パケットに対して実行される。全ての場合において、出口インタフェースはそのインタフェースで既に学習済みの宛先ＭＡＣアドレスによって決定される。
パケットの流れ
【００４１】
図３を参照すると、セキュリティスイッチ２００によって起動される、パケットを処理するための方法３００が示されている。説明するこの方法は、ステップを実行する特定のハードウェア要素を特に参照して構成したものではない。例示的なハードウェア構造は上に示した。しかしながらこの方法を、他の構造を有するＬ２スイッチで実施することもできる。この方法は、パケットの受信（３０２）から始まる。パケットは評価されて検査するかどうかを判定する（３０４）。検査する場合、このパケットを必要に応じて前処理し（３０５）、１つ以上のポリシーを検索する（３０６）。パケットの前処理には、解読サービス及び認証サービスが含まれる。ポリシーの検索には、そのパケットが転送されるゾーンの識別が含まれる。ゾーン間を移動するパケットを、セキュリティポリシーを使用して検査することができる。イントラゾーンの通信は検査しなくてもよい。一実施形態では、イントラゾーンの通信に対してポリシーを実行することもできる。ポリシーの検索には、ＭＡＣテーブルにおける受信パケットのＭＡＣ宛先アドレスのＭＡＣルックアップを行って、ＭＡＣアドレスに関連付けられた出口と当然ながらセキュリティゾーンを判定することが含まれる。パケットの入口及び出口に関連付けられたセキュリティゾーンを比較して、パケットを別のゾーンに渡すかどうかを判定する。検査を行うと仮定すると、適切なポリシーが（即ち、入口識別子及び出口識別子並びにそれぞれのセキュリティゾーンに基づいて）検索される。その後パケットを検査する（３０８）。パケットの検査には、必要に応じてパケットをスクリーニングしたりドロップしたりすることが含まれる。パケットをネットワークに送ろうとする場合（３０９）、必要に応じて後処理動作を起動する（３１０）。或いは、パケットはドロップされる（３１１）。後処理動作には、セッションの設定、暗号化及び他の機能が含まれる。その後、パケットをステップ３１２から始まる従来のＬ２プロトコルにしたがって処理する。
【００４２】
ステップ３１２では、パケットは検査に通った状態か又は検査を必要としなかった状態のいずれかである。どちらの場合においても、Ｌ２ヘッダ情報が抽出されてパケットに関連付けられたＭＡＣアドレスを判定する。ＭＡＣアドレスのルックアップが実行され（３１４）、パケットは適切な出力ポートへとルートされる（３１６）。そして処理が終了する。
【００４３】
再度図２を参照して、本発明のハードウェアの一実施形態に関して処理ステップを説明する。パケットはポート２０２で受信される。各パケットはバス２０５でセキュリティコントローラ２０４へと転送され、また該セキュリティコントローラ２０４を通るようにルートされ、記憶バス２０９を経て記憶要素２０８に記憶される。セキュリティコントローラ２０４は各パケットを評価して検査が必要かどうか判定し、このパケットを記憶装置２０８の適切な部分へと送る。検査されないパケット（即ち、記憶装置２０８の第１の部分２１５に記憶されたパケット）は、Ｌ２コントローラ２３０によって処理される。Ｌ２コントローラ２３０が使用可能になると、パケットが取り出されて処理され、そのパケットが送られるべきポートを決定する。Ｌ２コントローラ２３０はパケットに関連付けられたＭＡＣアドレスを評価し、ＭＡＣテーブル２３５を使用してルーティングのためにポートを決定する。Ｌ２コントローラ２３０による処理の後、決定された出力ポート２０２へとルートするために、パケットはスイッチ構造２２０への適切なリンクへと送られる。
【００４４】
検査されるパケットは、セキュリティコントローラ２０４によって記憶要素２０８の第２の部分２１７へと転送される。ファイアウォールエンジン２１０が使用可能になると、パケットが取り出されて処理され、パケットを検査するのに使用するセキュリティポリシーを決定する。ファイアウォールエンジン２７０は、パケットに関連付けられたＩＰアドレスを評価し、必要に応じてトラフィックの制御及び監理機能を実施する。送られるべき（即ち、検査に通った）パケットは、記憶要素２０８に戻される。その後パケットは、決定された出力ポート２０２へとルートするために、スイッチ構造２２０への適切なリンクへと送られる。他のパケットはドロップされるかそうでなければ所与のセキュリティゾーンに対して定義されたポリシーにしたがって処理される。
【００４５】
上述したように、ファイアウォール装置２１０の検査に通った全てのパケット及び検査をする必要のない全てのパケットが、Ｌ２コントローラ２３０によって従来のＬ２プロトコルにしたがって処理される。一実施形態では、Ｌ２コントローラによるパケットの処理をセキュリティゾーンを維持するように変更する。より具体的に言うと、上述のように、従来のＬ２スイッチは認識されていないＭＡＣアドレスを有するパケットを全てのポートに同報通信する。この種の同報通信は、通信ネットワークの所与のゾーンに適した１つ以上のセキュリティポリシーを当然侵害するおそれがある。したがって、一実施形態では、テストパケットを各ポートに同報通信する。テストパケットの同報通信について、図４に関連させてより詳細に説明する。
【００４６】
図４を参照すると、Ｌ２コントローラによってパケットを処理するための方法４００が示されており、この方法は処理されるパケットを受信するステップ（４０２）を含む。このパケットのＭＡＣアドレスを抽出する（４０４）。抽出されたＭＡＣアドレスに対応するエントリをＭＡＣアドレステーブルで見つけるチェックを行う（４０６）。一致するものが見つかった場合（４０７）、そのパケットを一致したエントリに関連付けられた出力ポートへとルートする（４０８）。一致するものが見つからなかった場合（４１０）、そのパケットをドロップする。一実施形態では、一致しなかったＭＡＣアドレスに関する情報を受信することを期待して、パケットを所与の時間だけ単に保持する。一致するものが見つからなかった場合、プローブパケットを形成する（４１２）。プローブパケットは、処理中のパケット（即ち、元の入力パケット）に関連付けられたＭＡＣアドレスを含む。一実施形態では、プローブパケットは、１に設定されたＩＰ ＴＴＬフィールドを有する「ＩＣＭＰ ＰＩＮＧ」パケットである。各パケットは、ＭＡＣアドレスを見つけられなかった入力パケットと同じＭＡＣアドレス（Ｌ２）と発信元／宛先ＩＰ（Ｌ３）を含む。次いでプローブパケットを全てのポートに同報通信する（４１４）。セキュリティ装置のポートのいずれかで応答を受信したかどうかをチェックする（４１６）。ＩＣＭＰ ＰＩＮＧパケットによって、元の入力パケットを受信し送ることになっていた正しいゲートウェイが、「ＩＣＭＰ ＴＴＬ期限切れ」のメッセージパケットによってこの装置のＬ２コントローラに応答する。この期限切れパケットから、システムは受信したＭＡＣアドレスに関連付けられた適切な出口／ゾーンを識別することができる。この方法によって、元の入力パケットの情報が漏れないことが保証される。（受信ポートに連結されている装置が識別されたＭＡＣアドレスを有するパケットを処理するように構成されていることを示す）応答を受信すると、ＭＡＣテーブルは、そのＭＡＣアドレスを有するエントリ及び応答を受信したポートを示すポート識別子を含むように更新される（４１８）。そしてこのプロセスは終了する。
【００４７】
本発明の多数の実施形態を説明してきた。しかしながら、本発明の趣旨及び範囲を逸脱しない限り、種々の変更を行うことができることが理解されるであろう。例えば、Ｌ３レイヤレベルでスクリーニングするという点から、ファイアウォール装置を説明してきた。或いは、レイヤ７（Ｌ７）処理まで及びそれを含んでいるレイヤを含む他のレベルで他のスクリーニングを起動させることもできる。したがって、他の実施形態も以下の特許請求の範囲内にある。
【図面の簡単な説明】
【００４８】
【図１】Ｌ２ファイアウォール使用可能スイッチを含むパケット交換通信システムのブロック図である。
【図２ａ】Ｌ２ファイアウォール使用可能スイッチの概略図である。
【図２ｂ】単一のセキュリティスイッチによって区分された複数のゾーンを含む例示的な通信ネットワークを示す。
【図３】図２ａのセキュリティスイッチにおけるパケットの処理方法の流れ図である。
【図４】図２ａのセキュリティスイッチにおける未認識パケットの処理方法の流れ図である。

Claims (27)

1. それぞれが別々のセキュリティドメインを表し、関連するゾーンを出入りするパケットの検査に用いられる関連するポリシーを有する複数のゾーンを有するパケット交換通信システムにおけるレイヤ２装置であって、
   第１のセキュリティゾーンに含まれる端末ユニットに連結される少なくとも１つのポートと、
   第２のセキュリティゾーンに含まれる端末ユニットに連結される少なくとも１つのポートと、
   受信した各パケットに対して、前記受信パケットを別のゾーンへ向けるかどうかを判定するコントローラと、
   インターゾーンパケットをゾーン固有のポリシーを使用して検査しフィルタリングするファイアウォールエンジンと、
   前記レイヤ２装置を通過する全てのイントラゾーンパケットを、ＭＡＣアドレスと対応するポートのテーブルを使用してポートへと直ちに転送するレイヤ２スイッチングエンジンとを備え、
   前記ファイアウォールエンジンによる検査後も保持されているインターゾーンパケットのみをポートへ転送する、
   レイヤ２装置。
2. それぞれが別々のセキュリティドメインを表し、関連するゾーンを出入りするパケットの検査に用いられる関連するポリシーを有する複数のゾーンを有するパケット交換通信システムにおけるレイヤ２装置であって、
   受信した各パケットに対して、前記受信パケットをイントラゾーン又はインターゾーンのどちらへ転送するかを判定するコントローラと、
   インターゾーンパケットをゾーン固有のポリシーを使用して検査しフィルタリングするファイアウォールエンジンと、
   レイヤ２スイッチングエンジンとを備え、前記レイヤ２スイッチングエンジンは、
   前記レイヤ２装置を通過する全てのイントラゾーンパケットを、ＭＡＣアドレスと対応するポートのテーブルを使用してポートへと直ちにルートし、
   前記ファイアウォールエンジンによる検査後も保持されているインターゾーンパケットのみをポートへルートするように動作可能な
   レイヤ２装置。
3. それぞれが別々のセキュリティドメインを表す複数のゾーンを有するパケット交換通信システムにおけるレイヤ２装置であって、
   受信した各パケットに対して、前記受信パケットをインターゾーンに転送するかどうかを判定するコントローラと、
   インターゾーンパケットを、レイヤ２プロトコルを使用してルートする前に、ゾーン固有のポリシーを使用して検査しフィルタリングするファイアウォールエンジンと、
   を備えるレイヤ２装置。
4. それぞれが別々のセキュリティドメインを表す複数のゾーンを有するパケット交換通信システムにおけるレイヤ２装置であって、
   受信した各パケットに対して、前記受信パケットをインターゾーンに転送するかどうかを判定するコントローラと、
   インターゾーンパケットを、レイヤ２プロトコルを使用してルートする前に、ゾーン固有のポリシーを使用して検査しフィルタリングする検査装置と、
   を備えるレイヤ２装置。
5. それぞれが別々のセキュリティドメインを表す複数のゾーンを有するパケット交換通信システムにおけるレイヤ２装置であって、
   受信した各パケットに対して、前記受信パケットを検査するかどうかを判定するコントローラと、
   前記コントローラによって識別されたパケットをゾーン固有のポリシーを使用して検査しフィルタリングする検査装置と、
   検査したパケットを、レイヤ２プロトコルを使用してレイヤ２ヘッダ情報にしたがって転送するレイヤ２コントローラと、
   を備えるレイヤ２装置。
6. 前記検査装置がファイアウォールである、請求項５記載の装置。
7. 前記検査装置がレイヤ３ファイアウォール装置である、請求項５記載の装置。
8. 前記検査装置がレイヤ４ファイアウォール装置である、請求項５記載の装置。
9. 前記検査装置がレイヤ７ファイアウォール装置である、請求項５記載の装置。
10. 前記検査装置が、レイヤ２ヘッダ情報以外のレイヤ情報に基づいてフィルタリングするファイアウォールである、請求項５記載の装置。
11. 前記コントローラはセキュリティゾーン間を渡される各パケットを判定し、前記検査装置はインターゾーントラフィックのみを処理する、請求項５記載の装置。
12. 前記コントローラは単一のセキュリティゾーンに留まる各パケットを判定し、前記検査装置はイントラゾーンパケットを直ちに転送する、請求項５記載の装置。
13. 前記装置は、所与のパケットのレイヤ２ヘッダのＭＡＣアドレスを使用して、そのパケットを転送する前記装置の出口を決定する、請求項１２記載の装置。
14. 検査されるパケットを記憶する記憶要素と、
    装置を通過するようにパケットを転送するレイヤ２コントローラとをさらに備え、前記レイヤ２コントローラは、
    所与のパケットを転送するための出口を、前記所与のパケット中のその宛先ＭＡＣアドレスを使用して決定するステップと、
    ＭＡＣアドレスと関連する出口ノードのマッピングを含むＭＡＣアドレステーブルと、
    を含む、請求項５記載の装置。
15. 前記記憶要素は第１の部分及び第２の部分を含み、前記第１の部分は前記装置を通過するように転送されるパケットを記憶し、前記第２の部分は検査待ちのパケットを記憶する、請求項１４記載の装置。
16. 前記装置がレイヤ２スイッチである、請求項５記載の装置。
17. 前記装置がレイヤ２ブリッジである、請求項５記載の装置。
18. それぞれが別々のセキュリティドメインを表す複数のゾーンを含む通信ネットワークにおいてパケットを転送する方法であって、
    レイヤ２装置でパケットを受信するステップと、
    前記受信パケットをインターゾーンに転送するかどうかを判定するステップと、
    インターゾーンパケットを、レイヤ２プロトコルを使用してルートする前に、ゾーン固有のポリシーを使用して検査しフィルタリングするステップと、
    を含む方法。
19. それぞれが別々のセキュリティドメインを表す複数のゾーンを含む通信ネットワークにおいてパケットを転送する方法であって、
    レイヤ２装置でパケットを受信するステップと、
    前記受信パケットを検査するかどうかを判定するステップと、
    識別したパケットを、レイヤ２プロトコルを使用して前記レイヤ２装置を通過するように転送する前に、ゾーン固有のポリシーを使用して検査しフィルタリングするステップと、
    を含む方法。
20. それぞれが別々のセキュリティドメインを表す複数のゾーンを含む通信ネットワークにおいてパケットをスイッチする方法であって、
    レイヤ２装置のインタフェースでパケットを受信するステップと、
    前記受信パケットに関連付けられた宛先ＭＡＣアドレスが既知であるかどうかを判定し、既知でない場合、
    前記受信パケットを前記レイヤ２装置のいずれのポートへも転送せずに所定の時間だけ保持するステップと、
    未知のＭＡＣアドレスを含むプローブパケットを形成するステップと、
    前記プローブパケットを、前記受信インタフェースを除く全てのインタフェースに同報通信するステップと、
    を含む方法。
21. 前記プローブパケットはＩＰヘッダに活動時間（ＴＴＬ）フィールドを含み、
    前記方法は、前記未知のＭＡＣアドレスを有し前記プローブパケットを受信した下流ノードが期限切れのメッセージを前記レイヤ２装置に戻すように、前記ＴＴＬフィールドの値を設定するステップを含む、請求項２０記載の方法。
22. 前記所定の時間の満了後に前記パケットをドロップするステップをさらに含む、請求項２０記載の方法。
23. 前記ＭＡＣアドレスが未知である場合、前記パケットをドロップする、請求項２０記載の方法。
24. 同報通信インタフェースの１つから応答を受信するステップと、
    未知だったＭＡＣアドレスが応答したインタフェースに関連付けられたことを示すようにテーブルを更新するステップとをさらに含む、請求項２０記載の方法。
25. 各ユーザ側に暗号化サービス及び解読サービスを必要とせずに、ユーザ間の安全な通信を提供する方法であって、
    第１のユーザ及び第２のユーザを識別するステップと、
    通信ネットワークにわたって、前記第１のユーザと前記第２のユーザとを２つ以上のレイヤ２装置を介して連結するステップと、
    前記ネットワークの第１のレイヤ２装置と第２のレイヤ２装置との間に画成される、前記第１のユーザと前記第２のユーザとの通信のための仮想プライベートネットワークを指定するステップと、
    前記第１のレイヤ２装置又は前記第２のレイヤ２装置のいずれかでパケットを受信するステップと、
    前記受信パケットが前記仮想プライベートネットワークに関連付けられるかどうかを判定するステップと、
    識別したパケットを、レイヤ２プロトコルを使用して前記レイヤ２装置を通過するように転送する前に、ローカルな暗号化サービス及び解読サービスを使用して必要に応じて暗号化し、また解読するステップとを含む方法。
26. 前記判定ステップが、前記パケットに関連付けられた宛先ＭＡＣアドレスを使用して仮想プライベートネットワークを識別するステップを含む、請求項２５記載の方法。
27. 各ユーザ側に暗号化サービス及び解読サービスを必要とせずに、ユーザ間の安全な通信を提供する仮想プライベートネットワークであって、
    通信ネットワークにわたって第１のユーザと第２のユーザとを連結する第１のレイヤ２装置及び第２のレイヤ２装置を備え、前記第１のレイヤ２装置及び第２のレイヤ２装置のそれぞれは、
    受信パケットが前記仮想プライベートネットワークに関連付けられるかどうかを判定するスクリーニングメカニズムと、
    レイヤ２プロトコルを使用して前記レイヤ２装置を通過するようにパケットを転送する前に、前記仮想プライベートネットワークに関連付けられたこのパケットに対して作動する暗号化サービス及び解読サービスと、を含む
    仮想プライベートネットワーク。

Images