JP2006054770A - ファイアウォール装置 - Google Patents

Abstract

【課題】 低コストで通信の負荷分散が可能なファイアウォール装置を実現する。
【解決手段】 通信の負荷分散を行いながら外部からの不正なアクセスを防止するファイアウォール装置において、第１及び第２のネットワークに相互に接続される第１のファイアウォールと、第１及び第３のネットワークに相互に接続される第２のファイアウォールとを備え、第１若しくは第２のファイアウォールが、第２若しくは第３のネットワークからパケットを受信した場合は第１のネットワークを介して予め設定されているルーティング設定に基づき第２若しくは第１のファイアウォールに転送し、第２若しくは第１のファイアウォールからパケットを受信した場合は予め設定されているルーティング設定に基づき第２若しくは第３のネットワークに転送する。
【選択図】 図１

Description

本発明は、組織内部のネットワークとインターネット等の外部のネットワークとの間に設置され通信の負荷分散を行いながら外部からの不正なアクセスを防止するファイアウォール装置に関し、特に低コストで通信の負荷分散が可能なファイアウォール装置に関する。

従来の組織内部のネットワークとインターネット等の外部のネットワークとの間に設置され通信の負荷分散を行いながら外部からの不正なアクセスを防止するファイアウォール装置に関連する先行技術文献としては次のようなものがある。

特開２０００−１３２４７３号公報 特開２０００−３３０８９７号公報 特開２００１−２４９８６６号公報

図１２はこのような従来の通信の負荷分散を行わないファイアウォールを用いたネットワークシステムの一例を示す構成ブロック図である。図１２において１は通過する通信パケットの内容を検査して通過の許可／拒否を判断するファイアウォール、２はサーバ、３及び４はコンピュータ、１００はインターネット等の外部のネットワーク、１０１及び１０２はイントラネット等の組織内部のネットワークである。

ファイアウォール１は外部のネットワーク１００に相互に接続されると共に内部のネットワーク１０１及び１０２とも相互に接続される。サーバ２はネットワーク１０１に相互に接続され、コンピュータ３及び４はネットワーク１０２に相互に接続される。

ここで、図１２に示すネットワークシステムにおけるファイアウォール１の動作を図１３を用いて説明する。図１３は通信パケットの流れを説明する説明図である。

図１３中”ＴＤ０１”及び”ＴＤ０２”に示すように、外部のネットワーク１００から伝播してくる通信パケットは必ずファイアウォールを介して内部のネットワーク１０１及び１０２に転送される。

この時、ファイアウォール１は通過する通信パケットの内容を検査して、通過を許可されていない通信パケットの通過を図１３中”ＤＤ０１”に示すように遮断して不正なアクセスの防止等を行う。

図１２に示すような従来のネットワークシステムでは、ファイアウォール１を伝播する通信パケットの数が多い場合には、ファイアウォール１が過負荷になって処理能力の低下が生じる恐れがある。

このため、従来では複数のファイアウォールを用いて通信の負荷分散を行っている。図１４はこのような従来の通信の負荷分散を行なうファイアウォール装置の一例を示す構成ブロック図である。

図１４において５，９，１０及び１１はネットワークからの通信パケットを管理し複数のファイアウォールに負荷分散させて通信パケットを転送するロードバランサ等の負荷分散手段、６，７及び８は通過する通信パケットの内容を検査して通過の許可／拒否を判断するファイアウォール、１０３はインターネット等の外部のネットワークである。また、５，６，７，８，９，１０及び１１はファイアウォール装置（図示せず。）を構成している。

負荷分散手段５は外部のネットワーク１０３に相互に接続されると共にファイアウォール６，７及び８に相互に接続される。負荷分散手段９は図１４中”ＮＴ１１”に示す内部のネットワークに相互に接続されると共にファイアウォール６，７及び８に相互に接続される。

また、負荷分散手段１０は図１４中”ＮＴ１２”に示す内部のネットワークに相互に接続されると共にファイアウォール６，７及び８に相互に接続される。負荷分散手段１１は図１４中”ＮＴ１３”に示す内部のネットワークに相互に接続されると共にファイアウォール６，７及び８に相互に接続される。

ここで、図１４に示す従来例の動作を図１５、図１６、図１７、図１８及び図１９を用いて説明する。図１５及び図１９は負荷分散手段５，９，１０及び１１の動作を説明するフロー図、図１７はファイアウォール６，７及び８の動作を説明するフロー図、図１６及び図１８は通信パケットの流れ等を説明する説明図である。

図１５中”Ｓ００１”において負荷分散手段５は、ネットワーク１０３からパケットを受信したか否かを判断し、もし、ネットワーク１０３からパケットを受信したと判断した場合には、図１５中”Ｓ００２”において負荷分散手段５は、負荷を考慮してファイアウォール６〜８の中で最適なファイアウォールを選択し、図１５中”Ｓ００３”において負荷分散手段５は、選択されたファイアウォールに受信したパケットを転送する。

例えば、図１６中”ＴＳ２１”に示すようにネットワーク１０３から”ＴＣＰ ＳＹＮパケット（以下、単にパケットと呼ぶ。）”を受信した場合には、負荷分散手段５は、負荷を考慮してファイアウォール６〜８の中で最適なファイアウォール６選択し、図１６中”ＴＰ２１”に示すように負荷分散手段５は、選択されたファイアウォール６に受信したパケットを転送する。

一方、図１７中”Ｓ１０１”においてファイアウォール６は、負荷分散手段５からパケットを受信したか否かを判断し、もし、負荷分散手段５からパケットを受信したと判断した場合には、図１７中”Ｓ１０２”においてファイアウォール６は、受信したパケットを検査して通過を許可するか否かを判断する。

もし、図１７中”Ｓ１０２”において受信したパケットを検査した結果、当該パケットの通過を拒否すると判断した場合には、図１７中”Ｓ１０３”においてファイアウォール６は、パケットの通過を拒否する。

一方、もし、図１７中”Ｓ１０２”において受信したパケットを検査した結果、当該パケットの通過を許可すると判断した場合には、図１７中”Ｓ１０４”においてファイアウォール６は、セッションテーブルにセッション情報（ＩＰアドレス、ＴＣＰヘッダのフラグ、シーケンス番号、ポート番号等）を記録して内容を更新する。

例えば、図１６中”ＲＴ２１”に示すようにファイアウォール６は、自らのセッションテーブルにセッション情報（ＩＰアドレス、ＴＣＰヘッダのフラグ、シーケンス番号、ポート番号等）を記録して内容を更新する。

また、図１７中”Ｓ１０５”においてファイアウォール６は、受信したパケットを通過させ送信先のネットワークに接続された負荷分散手段に転送する。

例えば、図１８中”ＴＰ３１”に示すようにファイアウォール６は、受信したパケットを通過させ図１８中”ＮＴ１３”に示す送信先のネットワークに接続された負荷分散手段１１に転送する。

さらに、図１７中”Ｓ１０６”においてファイアウォール６は、並列の配置されたファイアウォール７及び８間でセッションテーブルの同期を行い、図１７中”Ｓ１０４”のステップでファイアウォール６のセッションテーブルに記録されたセッション情報を共有する。これは、当該パケットに対する応答パケットが負荷分散手段によって必ずファイアウォール６に転送されるかわからないためである。

例えば、図１８中”ＳＹ３１”及び”ＳＹ３２”に示すようにファイアウォール６は、並列に設置されたファイアウォール７及び８間でセッションテーブルの同期を行い、ファイアウォール６のセッションテーブルに記録されたセッション情報を共有する。

最後に、図１９中”Ｓ２０１”において負荷分散手段１１は、ファイアウォールからパケットを受信したか否かを判断し、もし、ファイアウォールからパケットを受信したと判断した場合には、図１９中”Ｓ２０２”において負荷分散手段１１は、受信したパケットを接続されているネットワークに転送する。

例えば、図１８中”ＴＰ３２”に示すように負荷分散手段１１は、受信したパケットを図１８中”ＮＴ１３”に示す接続されているネットワークに転送する。

また、当該パケット（ＴＣＰ ＳＹＮパケット）に対する”ＴＣＰ ＳＹＮ／ＡＣＫパケット（以下、単に応答パケットと呼ぶ。）”が図１８中”ＮＴ１３”に示すネットワークから負荷分散手段１１に送信されてきた場合には、負荷分散手段１１は図１５に示すフロー図に従って動作してファイアウォール６〜８から負荷を考慮して最適なファイアウォールを選択して応答パケットを選択したファイアウォールに転送させる。

そして、このような応答パケットを受信したファイアウォールは図１７に示すフロー図に従って動作して応答パケットを負荷分散手段５に転送させ、応答パケットを受信した負荷分散手段５は図１９に示すフロー図に従って動作してネットワーク１０３に応答パケットを転送する。

この時、各ファイアウォール６〜８は、それぞれセッションテーブルを同期しているので、各々のセッションテーブルには当該応答パケットに対応する先のパケットのセッション情報が記録されているので何の問題もなく受信した応答パケットをネットワーク１０３に接続された負荷分散手段５に転送することができる。

この結果、複数台のファイアウォールを並列に設置して接続された各ネットワークに接続された負荷分散手段が当該ネットワークからパケットを受信した場合には、負荷を考慮して最適なファイアウォールを選択してネットワークから受信したパケットを選択したファイアウォールに転送し、ファイアウォールからパケットを受信した場合には、負荷分散手段が受信したパケットを接続されているネットワークに転送することにより、通信パケットの負荷分散を行うことが可能なファイアウォール装置を実現することができる。

しかし、図１４に示す従来例では、複数台のファイアウォールとは別個に接続されるネットワーク数と同数の負荷分散手段を設ける必要性があり、コスト高になってしまうといった問題点があった。

また、複数台のファイアウォールを物理的に並列に接続する必要性があり、ケーブル接続が非常に複雑になってしまうといった問題点があった。

また、実際にパケットが流れるまでパケットがどのファイアウォールを通過するかが予測困難であるため不具合発生時の原因箇所の調査が難しくなるといった問題点があった。

また、各ファイアウォール間でセッションテーブルの同期を行う必要性があるので、各ファイアウォール間の同期処理が複雑になり、ファイアウォールの処理能力低下の要因となってしまうといった問題点があった。

さらに、あるファイアウォールに新たなインターフェースを増設する場合には、並列接続されている全てのファイアウォールに同じインターフェースを増設する必要性が生じてしまい煩雑であり、インターフェースの増設に伴い通信負荷が増加してファイアウォールの処理能力低下の要因となってしまうといった問題点があった。
従って本発明が解決しようとする課題は、低コストで通信の負荷分散が可能なファイアウォール装置を実現することにある。

このような課題を達成するために、本発明のうち請求項１記載の発明は、
通信の負荷分散を行いながら外部からの不正なアクセスを防止するファイアウォール装置において、
第１及び第２のネットワークに相互に接続される第１のファイアウォールと、前記第１及び第３のネットワークに相互に接続される第２のファイアウォールとを備え、前記第１若しくは前記第２のファイアウォールが、前記第２若しくは前記第３のネットワークからパケットを受信した場合は前記第１のネットワークを介して予め設定されているルーティング設定に基づき前記第２若しくは前記第１のファイアウォールに転送し、前記第２若しくは前記第１のファイアウォールからパケットを受信した場合は予め設定されているルーティング設定に基づき前記第２若しくは前記第３のネットワークに転送することにより、負荷分散手段を用いることなく低コストで通信の負荷分散が可能になる。

請求項２記載の発明は、
請求項１記載の発明であるファイアウォール装置において、
前記第１のネットワークに相互に接続されると共に前記第１及び前記第２のファイアウォールの設定情報を集中管理して必要に応じて前記第１及び前記第２のファイアウォールに配信する管理サーバを備えたことにより、ファイアウォールの台数が多くなっても管理サーバに必要とする設定情報を記憶させておけば良いので保守性が向上することになる。

請求項３記載の発明は、
請求項１記載の発明であるファイアウォール装置において、
前記第１のネットワークに相互に接続されると共に前記第１及び前記第２のファイアウォールにおける各種ログを収集して蓄積する管理サーバを備えたことにより、各ファイアウォールにおいて不具合が発生した場合に原因の解析を容易にすることができる。

請求項４記載の発明は、
請求項１記載の発明であるファイアウォール装置において、
前記第１のファイアウォールと前記第２のネットワークとの間、前記第２のファイアウォールと前記第３のネットワークとの間にそれぞれ設けられる第１及び第２のスイッチと、前記第１のネットワークに相互に接続されると共に前記第１若しくは前記第２のファイアウォールの不具合を検出した場合には、不具合が発生したファイアウォールを切断し前記第２若しくは前記第３のネットワークに接続して処理を代行するバックアップ用のファイアウォールとを備えことにより、各ファイアウォールに不具合が生じた場合であっても処理停止することなく継続動作が可能となる。

請求項５記載の発明は、
請求項１記載の発明であるファイアウォール装置において、
前記第１若しくは前記第２のファイアウォールが、
前記第２若しくは前記第３のネットワークからパケットを受信したと判断した場合に、受信したパケットを検査して通過を許可するか否かを判断し、前記パケットの通過を拒否すると判断した場合には前記パケットの通過を拒否し、前記パケットの通過を許可すると判断した場合にはセッションテーブルにセッション情報を記録して内容を更新し、前記パケットを通過させると共に前記第１のネットワークを介して予め設定されているルーティング設定に基づき前記第２若しくは前記第１のファイアウォールに転送することにより、負荷分散手段を用いることなく低コストで通信の負荷分散が可能になる。

請求項６記載の発明は、
請求項１記載の発明であるファイアウォール装置において、
前記第１若しくは前記第２のファイアウォールが、
前記第２若しくは前記第３のネットワークからパケットを受信したと判断した場合に、受信したパケットを検査して通過を許可するか否かを判断し、前記パケットの通過を拒否すると判断した場合には前記パケットの通過を拒否し、前記パケットの通過を許可すると判断した場合には前記パケットを通過させると共に前記第１のネットワークを介して予め設定されているルーティング設定に基づき前記第２若しくは前記第１のファイアウォールに転送し、セッションテーブルにセッション情報を記録して内容を更新することにより、負荷分散手段を用いることなく低コストで通信の負荷分散が可能になる。

請求項７記載の発明は、
請求項１記載の発明であるファイアウォール装置において、
前記第１若しくは前記第２のファイアウォールが、
前記第１のネットワークを介してパケットを受信したと判断した場合には、セッションテーブルにセッション情報を記録して内容を更新し、前記パケットを通過させると共に予め設定されているルーティング設定に基づき前記第２若しくは前記第３のネットワークに転送することにより、負荷分散手段を用いることなく低コストで通信の負荷分散が可能になる。

請求項８記載の発明は、
請求項１記載の発明であるファイアウォール装置において、
前記第１若しくは前記第２のファイアウォールが、
前記第１のネットワークを介してパケットを受信したと判断した場合には、前記パケットを通過させると共に予め設定されているルーティング設定に基づき前記第２若しくは前記第３のネットワークに転送し、セッションテーブルにセッション情報を記録して内容を更新することにより、負荷分散手段を用いることなく低コストで通信の負荷分散が可能になる。

請求項９記載の発明は、
請求項１乃至請求項８のいずれかに記載の発明であるファイアウォール装置において、
前記バックアップ用のファイアウォール並びに前記第１及び前記第２のファイアウォールが、
ＣＰＵボードに通過する通信パケットの内容を検査して通過の許可／拒否を判断するファイアウォール機能を搭載したものであることにより、負荷分散手段を用いることなく低コストで通信の負荷分散が可能になる。また、ファイアウォールの台数が多くなっても管理サーバに必要とする設定情報を記憶させておけば良いので保守性が向上することになる。また、各ファイアウォールにおいて不具合が発生した場合に原因の解析を容易にすることができる。さらに、各ファイアウォールに不具合が生じた場合であっても処理停止することなく継続動作が可能となる。

請求項１０記載の発明は、
請求項２若しくは請求項３記載の発明であるファイアウォール装置において、
前記管理サーバが、
記憶手段を備えたＣＰＵボードで構成されることにより、ファイアウォールの台数が多くなっても管理サーバに必要とする設定情報を記憶させておけば良いので保守性が向上することになる。また、各ファイアウォールにおいて不具合が発生した場合に原因の解析を容易にすることができる。

本発明によれば次のような効果がある。
請求項１，５，６，７，８及び請求項９の発明によれば、
複数台のファイアウォールのそれぞれの背面側のネットワーク端子を１つのネットワークに相互に接続されると共に複数台のファイアウォールの正面側のネットワーク端子を複数のネットワークに接続させ、ネットワーク側からパケットを受信した場合はネットワークを介して予め設定されているルーティング設定に基づき他のファイアウォールに転送し、他のファイアウォールからパケットを受信した場合は予め設定されているルーティング設定に基づきネットワークに転送することにより、負荷分散手段を用いることなく低コストで通信の負荷分散が可能になる。

また、請求項２，９及び請求項１０の発明によれば、管理サーバが各ファイアウォールのルーティングの設定変更等の設定情報を集中管理して必要に応じて各ファイアウォールに配信することにより、ファイアウォールの台数が多くなっても管理サーバに必要とする設定情報を記憶させておけば良いので保守性が向上することになる。

また、請求項３，９及び請求項１０の発明によれば、ネットワークで接続される各ファイアウォールにおけるシステム上のログやセキュリティ上のログ等の各種ログを収集して記憶手段に適宜蓄積することにより、各ファイアウォールにおいて不具合が発生した場合に原因の解析を容易にすることができる。

また、請求項４及び請求項９の発明によれば、バックアップ用のファイアウォールを備え、正常動作時にはネットワークを介して各ファイアウォールの動作を監視して、各ファイアウォールの不具合を検出した場合には、不具合が発生したファイアウォールを切断してバックアップ用のファイアウォールが処理を代行することにより、各ファイアウォールに不具合が生じた場合であっても処理停止することなく継続動作が可能となる。

以下本発明を図面を用いて詳細に説明する。図１は本発明に係る通信の負荷分散を行なうファイアウォール装置の一実施例を示す構成ブロック図である。

図１において１２は通信経路が記述されたルーティングテーブルに従ってパケットを送信先のネットワークまで中継するルータ、１３は各ファイアウォールの設定情報の保管管理やログの記録を行うハードディスク等の記憶手段を備えたＣＰＵ（Central Processing Unit）ボードで構成される管理サーバ、１４，１５，１６及び１７はＣＰＵボードに通過する通信パケットの内容を検査して通過の許可／拒否を判断するファイアウォール機能を搭載したファイアウォール、１８はＣＰＵボードに通過する通信パケットの内容を検査して通過の許可／拒否を判断するファイアウォール機能を搭載したバックアップ用のファイアウォール、１９，２０，２１及び２２は２つの分岐入出力端子を有し複数のケーブルを束ねるスイッチ、１０４はインターネット等の外部のネットワーク、１０５はファイアウォール及び管理サーバが接続されるネットワークである。

また、１３，１４，１５，１６，１７，１８，１９，２０，２１及び２２はファイアウォール装置（図示せず。）を構成している。

ルータ１２は外部のネットワーク１０４に相互に接続されると共にスイッチ１９の入出力端子に相互に接続される。同様に、図１中”ＮＴ４１”に示す内部のネットワークはスイッチ２０の入出力端子に、図１中”ＮＴ４２”に示す内部のネットワークはスイッチ２１の入出力端子に、図１中”ＮＴ４３”に示す内部のネットワークはスイッチ２２の入出力端子にそれぞれ相互に接続される。

スイッチ１９の一方の分岐入出力端子はファイアウォール１４の正面側のネットワーク端子に相互に接続される。同様に、スイッチ２０の一方の分岐入出力端子はファイアウォール１５の正面側のネットワーク端子に、スイッチ２１の一方の分岐入出力端子はファイアウォール１６の正面側のネットワーク端子に、スイッチ２２の一方の分岐入出力端子はファイアウォール１７の正面側のネットワーク端子にそれぞれ相互に接続される。

また、スイッチ１９，２０，２１及び２２の他方の分岐入出力端子はファイアウォール１８の４つのネットワーク端子にそれぞれ相互に接続される。さらに、管理サーバ１３、ファイアウォール１４，１５，１６，１７及びバックアップ用のファイアウォール１８の背面側のネットワーク端子はそれぞれネットワーク１０５に相互に接続される。

ここで、図１に示す実施例の動作を図２、図３、図４、図５、図６、図７、図８及び図９を用いて説明する。図２及び図５はファイアウォールの動作を説明するフロー図、図３、図４、図６、図７、図８及び図９は通信パケットの流れ等を説明する説明図である。

図２中”Ｓ３０１”においてファイアウォールは、スイッチ（或いは、ルータ及びスイッチ）を介してネットワークから”ＴＣＰ ＳＹＮパケット（以下、単にパケットと呼ぶ。）”を受信したか否かを判断し、もし、ネットワークからパケットを受信したと判断した場合には、図２中”Ｓ３０２”においてファイアウォールは、受信したパケットを検査して通過を許可するか否かを判断する。

もし、図２中”Ｓ３０２”において受信したパケットを検査した結果、当該パケットの通過を拒否すると判断した場合には、図３中”Ｓ３０３”においてファイアウォールは、パケットの通過を拒否する。

一方、もし、図２中”Ｓ３０２”において受信したパケットを検査した結果、当該パケットの通過を許可すると判断した場合には、図２中”Ｓ３０４”においてファイアウォールは、セッションテーブルにセッション情報（ＩＰアドレス、ＴＣＰヘッダのフラグ、シーケンス番号、ポート番号等）を記録して内容を更新する。

例えば、図３中”ＴＳ５１”に示すようにネットワーク１０４からルータ１２及びスイッチ１９を介してパケットを受信し、受信したパケットを検査した結果、当該パケットの通過を許可すると判断した場合には、ファイアウォール１４は、図４中”ＲＴ６１”に示すように自らのセッションテーブルにセッション情報（ＩＰアドレス、ＴＣＰヘッダのフラグ、シーケンス番号、ポート番号等）を記録して内容を更新する。

また、図２中”Ｓ３０５”においてファイアウォールは、受信したパケットを通過させると共にネットワーク１０５を介して予め設定されているルーティング設定に基づき他のファイアウォールに転送する。

例えば、図４中”ＴＰ６１”に示すようにファイアウォール１４は、受信したパケットを通過させると共にネットワーク１０５を介して予め設定されているルーティング設定に基づきファイアウォール１５に転送する。

一方、図５中”４０１”においてファイアウォールは他のファイアウォールからネットワーク１０５を介してパケットを受信したか否かを判断し、もし、ネットワーク１０５を介して他のファイアウォールからパケットを受信したと判断した場合には、図５中”Ｓ４０２”においてファイアウォールは、セッションテーブルにセッション情報（ＩＰアドレス、ＴＣＰヘッダのフラグ、シーケンス番号、ポート番号等）を記録して内容を更新する。

例えば、図４中”ＴＰ６１”に示すようにパケットを受信した場合には、ファイアウォール１５は、図６中”ＲＴ７１”に示すように自らのセッションテーブルにセッション情報（ＩＰアドレス、ＴＣＰヘッダのフラグ、シーケンス番号、ポート番号等）を記録して内容を更新する。

また、図５中”Ｓ４０３”においてファイアウォールは、受信したパケットを通過させると共にスイッチ（或いは、ルータ及びスイッチ）を介して予め設定されているルーティング設定に基づき接続されているネットワークに転送する。

例えば、図６中”ＴＰ７１”に示すようにファイアウォール１５は、受信したパケットを通過させると共にスイッチ２０を介して予め設定されているルーティング設定に基づき図６中”ＮＴ４１”に示すネットワークに転送する。

このように、パケットの転送に際しては、予め設定されているルーティング設定に基づき必要なファイアウォール、上述の説明ではファイアウォール１４及び１５が動作するもののファイアウォール装置を構成する他のファイアウォール１６及び１７は動作せずリソースが全く消費されないことがわかる。

言い換えれば、各ファイアウォールは自らが担当（接続されている）するネットワークを通過するパケットのみの転送にかかわるだけで、他のネットワークを通過するパケットに関しては何ら処理を行うことがないので、従来例のように負荷分散手段を用いることなく通信の負荷分散を行うことが可能になる。

一方、当該パケット（ＴＣＰ ＳＹＮパケット）に対する”ＴＣＰ ＳＹＮ／ＡＣＫパケット（以下、単に応答パケットと呼ぶ。）が、図６中”ＮＴ４１”に示すネットワークから送信されてきた場合を説明する。

例えば、図７中”ＴＳ８１”に示すように図７中”ＮＴ４１”に示すようなネットワークからスイッチ２０を介してパケットを受信し、受信したパケットを検査した結果、当該パケットの通過を許可すると判断した場合には、ファイアウォール１５は、図７中”ＲＴ８１”に示すように自らのセッションテーブルにセッション情報（ＩＰアドレス、ＴＣＰヘッダのフラグ、シーケンス番号、ポート番号等）を記録して内容を更新する。

そして、例えば、図８中”ＴＰ９１”に示すようにファイアウォール１５は、受信したパケットを通過させると共にネットワーク１０５を介して予め設定されているルーティング設定に基づきファイアウォール１４に転送する。

例えば、図８中”ＴＰ９１”に示すようにパケットを受信した場合には、ファイアウォール１４は、図８中”ＲＴ９１”に示すように自らのセッションテーブルにセッション情報（ＩＰアドレス、ＴＣＰヘッダのフラグ、シーケンス番号、ポート番号等）を記録して内容を更新する。

そして、例えば、図９中”ＴＰ１０１”に示すようにファイアウォール１４は、受信したパケットを通過させると共にスイッチ１９及びルータ１２を介して予め設定されているルーティング設定に基づきネットワーク１０４に転送する。

この結果、複数台のファイアウォールのそれぞれの背面側のネットワーク端子を１つのネットワーク１０５に相互に接続されると共に複数台のファイアウォールの正面側のネットワーク端子をスイッチ等を介して複数のネットワークに接続させ、ネットワーク側からパケットを受信した場合はネットワーク１０５を介して予め設定されているルーティング設定に基づき他のファイアウォールに転送し、他のファイアウォールからパケットを受信した場合はスイッチ等を介して予め設定されているルーティング設定に基づきネットワークに転送することにより、負荷分散手段を用いることなく低コストで通信の負荷分散が可能になる。

また、複数台のファイアウォールを物理的に並列に接続する必要性がないので、ケーブル接続が単純になり、パケットがどのファイアウォールを通過するかが明確であるため不具合発生時の原因箇所の調査が容易になる。

また、各ファイアウォールは予め設定されているルーティング設定に基づき個々に独立して動作するので、各ファイアウォール間でのセッションテーブルの同期処理が不要になり、ファイアウォールの処理能力低下を抑制することが可能になる。

さらに、各ファイアウォールは個々に独立しているので、ファイアウォール装置に新たなインターフェースを増設する場合であっても個々のファイアウォールに同じインターフェースを増設する必要はなくなる。

また、バックアップ用のファイアウォール１８の動作を図１０を用いて説明する。図１０は障害発生時の通信パケットの流れ等を説明する説明図である。

例えば、図１〜図９の説明のようにファイアウォール１４がネットワーク１０５を介してファイアウォール１５にパケットを転送する場合において、図１０中”ＦＡ１１１”に示すようにファイアウォール１５に不具合が生じた場合を想定する。

バックアップ用のファイアウォール１８は、正常動作時にはネットワーク１０５を介して各ファイアウォール１４〜１７の動作を監視して、各ファイアウォール１４〜１７の不具合を検出した場合には、不具合が発生したファイアウォールを切断してファイアウォール１８が処理を代行する。

例えば、図１０中”ＦＡ１１１”に示すようなファイアウォール１５の不具合を検出した場合、バックアップ用のファイアウォール１８は、不具合が発生したファイアウォール１５を切断して処理を代行する。

すなわち、図１０中”ＰＨ１１１”に示すようにネットワーク１０４から送信されてきたパケットは、ルータ１２及びスイッチ１９を介してファイアウォール１４で受信され、ファイアウォール１４からネットワーク１０５を介してバックアップ用のファイアウォール１８に転送される。

そして、図１０中”ＰＨ１１１”に示すようにネットワーク１０３から送信されてきたパケットは、バックアップ用のファイアウォール１８からスイッチ２０を介して図１０中”ＮＴ４１”に示すネットワークに転送される。

この結果、バックアップ用のファイアウォール１８を備え、正常動作時にはネットワーク１０５を介して各ファイアウォール１４〜１７の動作を監視して、各ファイアウォール１４〜１７の不具合を検出した場合には、不具合が発生したファイアウォールを切断してファイアウォール１８が処理を代行することにより、各ファイアウォールに不具合が生じた場合であっても処理停止することなく継続動作が可能となる。

また、管理サーバ１３の動作を図１１を用いて説明する。図１１は情報設定時の情報の流れ等を説明する説明図である。

各ファイアウォール１４〜１７の動作に必要なルーティング設定等の設定情報は管理サーバ１３の記憶手段に保管管理され、ルーティングの設定変更等の必要に応じて管理サーバ１３から上述の設定情報がネットワーク１０５を介して各ファイアウォール１４〜１７に配信されて設定される。

例えば、ルーティングの設定変更等が必要となった場合、図１１中”ＳＩ１２１”に示すように管理サーバ１３は新しい設定情報をネットワーク１０５を介して各ファイアウォール１４〜１７に配信する。一方、各ファイアウォール１４〜１７では配信された新しい設定情報を設定して動作を開始する。

この結果、管理サーバ１３が各ファイアウォール１４〜１７のルーティングの設定変更等の設定情報を集中管理して必要に応じて各ファイアウォール１４〜１７に配信することにより、ファイアウォールの台数が多くなっても管理サーバ１３に必要とする設定情報を記憶させておけば良いので保守性が向上することになる。

また、管理サーバ１３は、必要に応じてネットワーク１０５で接続される各ファイアウォール１４〜１７におけるシステム上のログやセキュリティ上のログ等の各種ログを収集して記憶手段に適宜蓄積しておいても構わない。

この場合には、蓄積された各種ログの内容を解析することにより、各ファイアウォール１４〜１７において不具合が発生した場合に原因の解析を容易にすることができる。

なお、図１に示す実施例においては説明の簡単のために、ルータ１２、管理サーバ１３及びバックアップ用のファイアウォール１８を例示しているが、勿論、これらは必須の構成要素ではなく省略しても構わない。

また、バックアップ用のファイアウォール１８を用いない場合にはスイッチ１９，２０，２１及び２２もまた不要である。

また、図１に示す実施例では４つのファイアウォール１４，１５，１６及び１７を例示して説明しているが、勿論、ファイアウォールの数は２台以上であれば何ら限定されるものではなく、接続されるネットワークの数に応じて使用するファイアウォールの台数を適宜増減させても構わない。

また、各ファイアウォール１４〜１７は前述の説明ように独立して動作しているが、各ファイアウォール１４〜１７で構成されるファイアウォール装置（或いは、各ファイアウォール１４〜１７に管理サーバ１３及びバックアップ用のファイアウォール１８を加えたファイアウォール装置）は、１台のファイアウォールと等価に取り扱うことが可能になる。

また、図２或いは図５に示すフロー図においては”セッションテーブルの更新”の後に”パケットの転送”を行うステップになっているが、勿論、”パケットの転送”の後に”セッションテーブルの更新”を行うステップであっても構わない。

また、図１に示す実施例では説明の簡単のために、背面側のネットワーク端子や正面側のネットワーク端子といった表現をしているが、特にこの形態に限定されるものではなく、１つのファイアウォールに２系統のネットワーク（各ファイアウォールが共通に接続されるネットワーク１０５及び転送先のネットワーク）が接続される構成であればどのような形態であっても構わない。

また、スイッチ１９，２０，２１及び２２は複数のケーブルを束ねる目的で使用されており、スイッチの代わりにリピータハブ等を用いて複数のケーブルを接続しても構わない。

本発明に係る通信の負荷分散を行なうファイアウォール装置の一実施例を示す構成ブロック図である。 ファイアウォールの動作を説明するフロー図である。 通信パケットの流れ等を説明する説明図である。 通信パケットの流れ等を説明する説明図である。 ファイアウォールの動作を説明するフロー図である。 通信パケットの流れ等を説明する説明図である。 通信パケットの流れ等を説明する説明図である。 通信パケットの流れ等を説明する説明図である。 通信パケットの流れ等を説明する説明図である。 障害発生時の通信パケットの流れ等を説明する説明図である。 情報設定時の情報の流れ等を説明する説明図である。 従来の通信の負荷分散を行わないファイアウォールの一例を示す構成ブロック図である。 通信パケットの流れを説明する説明図である。 従来の通信の負荷分散を行なうファイアウォール装置を用いたネットワークシステムの一例を示す構成ブロック図である。 負荷分散手段の動作を説明するフロー図である。 通信パケットの流れ等を説明する説明図である ファイアウォールの動作を説明するフロー図である。 通信パケットの流れ等を説明する説明図である 負荷分散手段の動作を説明するフロー図である。

符号の説明

１，６，７，８，１４，１５，１６，１７，１８ ファイアウォール
２ サーバ
３，４ コンピュータ
５，９，１０，１１ 負荷分散手段
１２ ルータ
１３ 管理サーバ
１９，２０，２１，２２ スイッチ
１００，１０１，１０２，１０３，１０４，１０５ ネットワーク

Claims (10)

1. 通信の負荷分散を行いながら外部からの不正なアクセスを防止するファイアウォール装置において、
   第１及び第２のネットワークに相互に接続される第１のファイアウォールと、
   前記第１及び第３のネットワークに相互に接続される第２のファイアウォールとを備え、
   前記第１若しくは前記第２のファイアウォールが、
   前記第２若しくは前記第３のネットワークからパケットを受信した場合は前記第１のネットワークを介して予め設定されているルーティング設定に基づき前記第２若しくは前記第１のファイアウォールに転送し、前記第２若しくは前記第１のファイアウォールからパケットを受信した場合は予め設定されているルーティング設定に基づき前記第２若しくは前記第３のネットワークに転送することを特徴とするファイアウォール装置。
2. 前記第１のネットワークに相互に接続されると共に前記第１及び前記第２のファイアウォールの設定情報を集中管理して必要に応じて前記第１及び前記第２のファイアウォールに配信する管理サーバ
   を備えたことを特徴とする
   請求項１記載のファイアウォール装置。
3. 前記第１のネットワークに相互に接続されると共に前記第１及び前記第２のファイアウォールにおける各種ログを収集して蓄積する管理サーバ
   を備えたことを特徴とする
   請求項１記載のファイアウォール装置。
4. 前記第１のファイアウォールと前記第２のネットワークとの間、前記第２のファイアウォールと前記第３のネットワークとの間にそれぞれ設けられる第１及び第２のスイッチと、
   前記第１のネットワークに相互に接続されると共に前記第１若しくは前記第２のファイアウォールの不具合を検出した場合には、不具合が発生したファイアウォールを切断し前記第２若しくは前記第３のネットワークに接続して処理を代行するバックアップ用のファイアウォールと
   を備えことを特徴とする
   請求項１記載のファイアウォール装置。
5. 前記第１若しくは前記第２のファイアウォールが、
   前記第２若しくは前記第３のネットワークからパケットを受信したと判断した場合に、受信したパケットを検査して通過を許可するか否かを判断し、
   前記パケットの通過を拒否すると判断した場合には前記パケットの通過を拒否し、
   前記パケットの通過を許可すると判断した場合にはセッションテーブルにセッション情報を記録して内容を更新し、
   前記パケットを通過させると共に前記第１のネットワークを介して予め設定されているルーティング設定に基づき前記第２若しくは前記第１のファイアウォールに転送することを特徴とする
   請求項１記載のファイアウォール装置。
6. 前記第１若しくは前記第２のファイアウォールが、
   前記第２若しくは前記第３のネットワークからパケットを受信したと判断した場合に、受信したパケットを検査して通過を許可するか否かを判断し、
   前記パケットの通過を拒否すると判断した場合には前記パケットの通過を拒否し、
   前記パケットの通過を許可すると判断した場合には前記パケットを通過させると共に前記第１のネットワークを介して予め設定されているルーティング設定に基づき前記第２若しくは前記第１のファイアウォールに転送し、
   セッションテーブルにセッション情報を記録して内容を更新することを特徴とする
   請求項１記載のファイアウォール装置。
7. 前記第１若しくは前記第２のファイアウォールが、
   前記第１のネットワークを介してパケットを受信したと判断した場合には、セッションテーブルにセッション情報を記録して内容を更新し、
   前記パケットを通過させると共に予め設定されているルーティング設定に基づき前記第２若しくは前記第３のネットワークに転送することを特徴とする
   請求項１記載のファイアウォール装置。
8. 前記第１若しくは前記第２のファイアウォールが、
   前記第１のネットワークを介してパケットを受信したと判断した場合には、前記パケットを通過させると共に予め設定されているルーティング設定に基づき前記第２若しくは前記第３のネットワークに転送し、
   セッションテーブルにセッション情報を記録して内容を更新することを特徴とする
   請求項１記載のファイアウォール装置。
9. 前記バックアップ用のファイアウォール並びに前記第１及び前記第２のファイアウォールが、
   ＣＰＵボードに通過する通信パケットの内容を検査して通過の許可／拒否を判断するファイアウォール機能を搭載したものであることを特徴とする
   請求項１乃至請求項８のいずれかに記載のファイアウォール装置。
10. 前記管理サーバが、
    記憶手段を備えたＣＰＵボードで構成されることを特徴とする
    請求項２若しくは請求項３記載のファイアウォール装置。
    

Images