JP2006067314A - アクセス制御リスト生成装置およびアクセス制御リスト生成方法 - Google Patents

Abstract

【課題】 サーバが移転してＩＰアドレスが変わった場合も、状況に応じてアクセス制御リストの内容を変更する。
【解決手段】 アクセス制御リスト１を管理するアクセス制御リスト管理サーバと、アクセス制御リストを用いてパケットをフィルタリングするモバイルファイアウォールとを備え、アクセス制御リスト管理サーバにおいて管理されるアクセス制御リストの各項目のうち動的に設定が可能な項目を、モバイルファイアウォールにおいて実際にパケットをフィルタリングするための項目に変換する変換手段１２と、動的に設定が可能な項目としてドメイン名を指定した場合、ＤＮＳに問い合わせを行なうＤＮＳアクセス部１３と、動的に設定が必要な項目の変更を監視する監視手段１４,１５とを備える。
【選択図】 図５

Description

本発明は、ＩＰ移動通信網におけるモバイルファイアウォールのアクセス制御リストに関し、より詳しくは、アクセス制御リストの内容を動的に変更するアクセス制御リスト生成装置およびアクセス制御リスト生成方法に関する。

移動通信網においてパケットをフィルタリングするモバイルファイアウォールは、アクセス制御リストを保持し、移動機に対するファイアウォール機能の適用を可能とする。アクセス制御リストは、ＩＰパケットのフィルタでのパケットの通過・廃棄を決定するためのパターンマッチ表で、多くのモバイルファイアフォールに実装されている。モバイルファイアフォールはまた、移動通信網上の目的アドレスまでの転送経路を選択するルータ内に配置されている場合が多い。

アクセス制御リストには、例えばＩＰアドレスなどが記述され、ＴＣＰ／ＩＰ通信では、ＩＰアドレスはその端末が属しているネットワークのポリシーやアドレス設定情報によって割り振られるので、端末が移動して所属するネットワークが変わると、それに応じてＩＰアドレスも変更になり、移動前に張ったセッションを継続することは基本的にできない。確かにＤＨＣＰを利用して動的にＩＰアドレスを割り振るようにすれば、同じ端末を別のネットワークに持っていても、Ｗｅｂの閲覧や電子メールなどを利用することは可能であるが、端末自体が異なるネットワーク間を任意に移動しながら１対１で途切れることなく通信するようなケースでは使用することはできない。これは、異なるネットワークへ移動するたびに新しいＩＰアドレスを取得しなければならないためで、結果としてそれまでのセッションが切断されてしまうからである。

上述したモバイルファイアウォールの従来例として、特許文献１には、ホームエージェント装置と複数のファイアウォール装置と移動機とを備えた通信制御装置が記載されている。この装置は、移動機が例えばファイアウォール装置に接続すると、ファイアウォール装置は、移動機の識別情報及び設定ファイルをホームエージェント装置から受信し、設定ファイルを使用して、移動機用のファイアウォールを選定し、このファイアウォールに設定されているフィルタリング条件に基づいて通信拒否の判定を行なう。具体的には、移動機を接続可能な複数のファイアウォール装置と、当該移動機の識別情報と対応付けて格納する格納手段と、前記移動機の接続先のファイアウォール装置を検知したことに伴い、前記移動機の識別情報に対応するファイアウォール設定情報を、前記ファイアウォール装置宛に送信する送信手段とを備える。

また、特許文献２には、パケットのフィルタリングを高速かつ高度に行なう通信制御装置が記載されている。ルータが備える入力フィルタは、パケットタイプ判定部とＪＡＶＡ（登録商標）プロセッサとを有する。パケットタイプ判定部は、パケットに適用可能なプロトコルの種別であるパケットタイプを判定する。ＪＡＶＡ（登録商標）プロセッサは、パケットタイプ判定部により判定されたパケットタイプに対応するバイトコードを選択し、このバイトコードを選択し、このバイトコードを使用して前記パケットの通過可否を判定する。具体的には、パケットのフィルタリングを行なう通信制御装置において、前記パケットに適用可能なバイトコードを使用して、当該パケットの通過可否を判定する通過判定手段を備える。

また、アクセス制御リストを動的に変更する方法として、特許文献３には、ファイル名やレイアウトを動的に設定又は変更できるようにして、ファイル定義情報が別ファイルとして設けられているため、所定のパラメータを参照して指定されたファイル名のファイルにアクセスすることにより、ファイル名やレコード項目のレイアウトを動的に設定または変更することが記載されている。
特願２００２−３４６２７１号公報 特願２００２−３４６２７９号公報 特開２００２−１９５８４６号公報

しかしながら、上述した特許文献１および２に記載した従来のモバイルファイアウォールは、アクセス制御リストが固定的であり、状況に応じて動的に変えることができなかった。特に、ＤＮＳサーバやメールサーバなどのサーバを指定して、通信を許可する場合に、従来のアクセス制御リストは、当該通信を具体的なＩＰアドレスやポート番号で指定していたため、サーバが移転などを行い、ＩＰアドレスやポート番号が変わった場合のサーバ収容の全ユーザがアクセス制御リストの変更を強いられたり、負荷分散などでサーバ複数のＩＰアドレスを使用している場合に、記述が複雑になるという問題があった。

また、上述した特許文献３に記載したアクセス制御リストを動的に変更する方法では、ＩＰアドレスを移動などに合わせて動的に割り当てる場合に、移動先で一時的に割り当てられたアドレス（気付アドレス）をアクセス制御リストに反映させて、気付アドレスを直接用いた通信を行えるようにすることができなかった。
本発明は、上述した事情に鑑みてなされたものであって、モバイルファイアウォールにおいて状況に応じて動的に変更可能なアクセス制御リスト生成装置およびアクセス制御リスト生成方法を提供することを目的としている。

上記課題を解決するために、請求項１記載のアクセス制御リスト生成装置は、
移動機を有するユーザによるセキュリティ設定のためのアクセス制御リストを管理するアクセス制御リスト管理サーバと、前記アクセス制御リスト管理サーバから転送されるアクセス制御リストを用いてパケットをフィルタリングするモバイルファイアウォールとからなる移動通信網において、前記モバイルファイアウォールにおいて実際にパケットをフィルタリングするためのアクセス制御リストを生成するアクセス制御リスト生成装置であって、前記アクセス制御リスト管理サーバから転送されるアクセス制御リストのうち動的に設定が可能な項目を前記モバイルファイアウォールにおいて実際にパケットをフィルタリングするための項目に変換する変換手段を備えたことを特徴とする。この構成によれば、サーバが移転してＩＰアドレスが変わった場合でも、アクセス制御リストの変更が不要になり、状況に応じて動的に変更が可能なアクセス制御リストを生成できる。

また、請求項２記載のアクセス制御リスト生成装置は、請求項１において、前記モバイルファイアウォールは、前記動的に設定が必要な項目の変更を監視する監視手段を備え、前記監視手段で得られた情報を前記変換手段に渡すことを特徴とする。この構成によれば、アクセス制御リストの内容が変更した場合にその都度その変更を監視することができ、状況に応じて動的に変更が可能なアクセス制御リストを生成できる。

また、請求項３記載のアクセス制御リスト生成装置は、請求項１において、前記変換手段は、前記動的に設定が可能な項目として前記ユーザのドメイン名を指定した場合、最新の情報を得るためにＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）に問い合わせを行なうＤＮＳアクセス部を備えたことを特徴とする。この構成によれば、アクセス制御リストのドメイン名を状況に応じて動的に変更することができ、状況に応じて動的に変更が可能なアクセス制御リストを生成できる。

また、請求項４記載のアクセス制御リスト生成方法は、移動機を有するユーザによるセキュリティ設定のためのアクセス制御リストを管理するアクセス制御リスト管理サーバから前記アクセス制御リストをモバイルファイアウォールに転送し、モバイルファイアウォールにおいて実際にパケットをフィルタリングするためのアクセス制御リストを生成するアクセス制御リスト生成方法であって、前記アクセス制御リスト管理サーバにおいて管理されるアクセス制御リストの各項目のうち動的に設定が可能な項目を明示する明示ステップと、前記明示ステップにおいて明示された前記動的に設定が可能な項目を前記モバイルファイアウォールにおいて実際にパケットをフィルタリングするための項目に変換する変換ステップと、を含むことを特徴とする。この構成によれば、サーバが移転してＩＰアドレスが変わった場合でも、アクセス制御リストの変更が不要になり、状況に応じて動的に変更が可能なアクセス制御リストを生成できる。

また、請求項５記載のアクセス制御リスト生成方法は、請求項４において、前記モバイルファイアウォールにおいて前記動的に設定が必要な項目の変更を監視する監視ステップを含み、前記監視ステップにおいて得られた情報を前記変換ステップに渡すことを特徴とする。この構成によれば、アクセス制御リストの内容が変更した場合にその都度その変更を監視することができ、状況に応じて動的に変更が可能なアクセス制御リストを生成できる。

また、請求項６記載のアクセス制御リスト生成方法は、請求項４において、前記変換ステップにおいて前記動的に設定が可能な項目として前記ユーザのドメイン名が指定されている場合、最新の情報を得るためにＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）に問い合わせを行なうことを特徴とする。この構成によれば、アクセス制御リストのドメイン名を状況に応じて動的に変更することができ、状況に応じて動的に変更が可能なアクセス制御リストを生成できる。

以上説明したように、本発明においては、ネットワークで管理しているアクセス制御リストで、動的に設定が必要な項目をドメイン名やキーワードで明示する。モバイルファイアウォールは、アクセス制御リストを得ると、動的に設定が必要な項目を具体的なＩＰアドレスやポート番号に書き換え、パケットのフィルタをする。動的設定項目は、適切な間隔で再検査し、必要に応じて書き換える。

従って、アクセス制御リストの内容を状況に応じて動的に変えることが可能になり、サーバが移転してＩＰアドレスが変わった場合も、アクセス制御リストの変更が不要になり、負荷分散等でサーバが複数のＩＰアドレスを使用している場合も、記述が簡単になり、これにより、誤りが減り、移動に合わせて動的に割当てられたＩＰアドレスでの通信のフィルタリングを行なえるようになる。

以下、図面を参照して本発明のアクセス制御リスト生成装置の実施形態について詳細に説明する。
図１は、本発明の実施形態に係るアクセス制御リスト生成システムの構成を示す概略ブロック図である。
同図に示すように、このシステムは、アクセス制御リスト２と、ルータ３と、インタフェース７と、パケットスイッチ４と、入力フィルタ５と、出力フィルタ６とを備える。
アクセス制御リスト２は、ＩＰアドレスやポート番号などを指定してパケット通過の可否を設定するための対応テーブルであり、アクセスしてきた条件ごとの動作を規定し、ルータ３の入力フィルタ５に実装されている。

ルータ３は、ルーティング機能を持ち、ネットワーク上の目的アドレスまでの転送経路を選択する。具体的には、隣接する機器同士が経路情報を交換し、最適経路を計算し、ルーティングテーブルを生成する。このルーティングテーブルに基づいて入力されたパケットを適切なポートから送出する。
インタフェース７は、ルータ３と他の機器とを接続するための装置であり、ルータ３の両端に配置され、パケットをルータ３に入力したり出力したりする。
パケットスイッチ４は、パケットを交換するスイッチであり、データを小包にしたパケットをネットワーク上で伝送または交換するスイッチである。

入力フィルタ５および出力フィルタ６は、パケットスイッチ４に入力されたり出力されたりするパケットをフィルタリングする。すなわち、ファイアウォールの一種で、アクセス制御リスト２に記述されている送信者／受信者のＩＰアドレスやＴＣＰ／ＵＤＰポート番号を基にパケットをフィルタリングする。これらＩＰパケットの入力フィルタ５および出力フィルタ６は、各インタフェース７の入口や出口に配置される。

アクセス制御リスト２は、通常、各行が１つのパターンとなっている。実装によって記述方法は異なるが、図１に示した例では、最初の項目（左端の列）が、パケットを捨てる（ｄｅｎｙ）か通過させる（ｐｅｒｍｉｔ）か、次の項目（左から２番目の列）が、ＩＰパケットの上位層プロトコルの指定（ＩＰと指定している場合は、上位層が何でも良いことを示す）、次の項目（左から３番目の列）が、ＩＰパケットのソースアドレスとソースポート番号（ソースポート番号は省略可能、ソースアドレスをａｎｙとした場合はソースアドレスが何でも良いことを示す）、最後の項目（右端の列）が、ＩＰパケットの宛先アドレスとオプションの宛先ポート番号（宛先ポート番号は省略可能、宛先アドレスをａｎｙとした場合は宛先アドレスが何でも良いことを示す）を示している。

より詳細に説明すると、最初の項目では、第１行および第２行が「ｄｅｎｙ」となっているのでパケットを捨て、第３行〜第７行は「ｐｅｒｍｉｔ」となっているのでパケットを通過させる。
次の項目では、第１行および第２行が「ｉｐ」と指定されているので、上位層はなんでもよく、第３行〜第７行が順に「ｔｃｐ」,「ｏｓｐｆ」, 「ｏｓｐｆ」, 「ｏｓｐｆ」,「ｕｄｐ」, 「ｕｄｐ」,「ｉｃｍｐ」と、その上位層プロトコルが指定されている。

３番目の項目では、第１行目が「１０．０．０．０／８」と記述されているので、ＩＰパケットのソースアドレスが「１０．０．０．０／８」であることを示し、第２行および第３行が「ａｎｙ」と記述されているので、ソースアドレスは何でも良く、第４〜第６行が「２０２．２４５．１８４．０／２４」と記述されているので、ＩＰパケットのソースアドレスが「２０２．２４５．１８４．０／２４」であることを示している。第７行〜第９行目「ａｎｙ」と記述されているので、ソースアドレスが何でも良いことを示している。

最後の項目では、第１行に「ａｎｙ」と記述されているので、宛先アドレスが何でも良いことを示し、第２行に「２０２．２４５．１８４．２５５」と記述されているので、宛先アドレスが「２０２．２４５．１８４．２５５」であることを示し、第３行に「２０２．２４５．１８４．０／２４」と記述されているので、宛先アドレスが「２０２．２４５．１８４．０／２４」であることを示し、第４行に「２０２．２４５．１８４．３」と記述されているので、宛先アドレスが「２０２．２４５．１８４．３」であることを示し、第５行に「２２４．０．０．５」と記述されているので、宛先アドレスが「２２４．０．０．５」であることを示し、第６行に「２２４．０．０．６」と記述されているので、宛先アドレスが「２２４．０．０．６」であることを示し、第７行に「２０２．２４５．１８４．０／２４」と記述されているので、宛先アドレスが「２０２．２４５．１８４．０／２４」であることを示し、第８行に「２０２．２４５．１８４．４９」と記述されているので、宛先アドレスが「２０２．２４５．１８４．４９」であることを示し、第９行に「２０２．２４５．１８４．０／２４」と記述されているので、宛先アドレスが「２０２．２４５．１８４．０／２４」であることを示している。

次に、ルータ３は、インタフェース７から入力されるパケットに対し入力フィルタ５を適用し、出力されるパケットに対し出力フィルタ６を適用する。すなわち、１つのインタフェース７に、入力用のアクセス制御リストと出力用のアクセス制御リストとの２つを設定する。アクセス制御リスト２をＩＰパケットと比較する際には、ＩＰパケットをアクセス制御リスト２の上から順に比較し、最初に一致した行の指定により切り捨てる（ｄｅｎｙ）か通過させる（ｐｅｒｍｉｔ）かを決定する。

図２は、本発明の実施形態に係るアクセス制御リスト生成システムの動作を示す概略図である。
まず、ユーザは、アクセス制御リストの設定を行い、ＩＰ移動通信網を介してアクセス制御リスト管理サーバ８に対してセキュリティ設定の登録を行なう（ステップＳ１）。ユーザは予め何らかの方法（手入力や適切なファイルのＤＬ（ダウンロード）など）で、自己所有端末のアクセス制御リストを設定しておき、ネットワーク側に配置されたアクセス制御リスト管理サーバ８で管理する。

次に、アクセス制御リスト管理サーバ８は、ユーザ毎のアクセス制御リスト１を生成する（ステップＳ２）。このアクセス制御リストは、図１に示した入力フィルタ５に設定されているアクセス制御リストとは異なるので、アクセス制御リスト１とする。アクセス制御リスト１は、動的に設定が必要な項目をドメイン名またはキーワードで明示しておき、モバイルファイアウォール１０においてこの動的に設定が必要な項目をＩＰアドレスまたはポート番号に置き換え、パケットのフィルタリングを行なう。これにより、アクセス制御リスト１を状況に応じて動的に変えることができる。

すなわち、ユーザが使用する移動通信端末９ａが９ｂに移動（ハンドオーバ）した場合、これに追従してモバイルファイアウォール１０ａも１０ｂに移動する（ステップＳ３）。アクセス制御リスト１は、必要に応じてモバイルファイアウォール１０ｂに転送され（ステップＳ４）、ユーザ個別のアクセス制御リスト２に従ってパケットのフィルタリングを行なう（ステップＳ５）。その際、モバイルファイアウォール１０ｂは、移動通信端末９ｂが接続しているルータ３上にあるＩＰパケットの入力フィルタ５を用いる。
このようにして、モバイルファイアウォール１０ａ，１０ｂは、動的に設定が必要な項目を具体的なＩＰアドレスまたはポート番号に書き換え、パケットのフィルタリングをした後、この動的設定項目を適切な間隔で再検査し、必要に応じて書き換える。

図３は、本発明の実施形態に係るアクセス制御リスト生成システムの機能構成を示す機能ブロック図である。
このシステムは、移動機を有するユーザによるセキュリティ設定のためのアクセス制御リストを管理するアクセス制御リスト管理サーバ８と、アクセス制御リスト管理サーバから８転送されるアクセス制御リストを用いてパケットをフィルタリングするモバイルファイアウォール１０ａ，１０ｂとを備え、モバイルファイアウォール１０ａ，１０ｂにおいて実際にパケットをフィルタリングするためのアクセス制御リストを生成する。

本実施形態は、特に、アクセス制御リスト管理サーバ８において管理されるアクセス制御リストの各項目のうち動的に設定が可能な項目を明示する明示部１１と、明示部１１によって明示された動的に設定が可能な項目をモバイルファイアウォール８において実際にパケットをフィルタリングするための項目に変換する変換部１２とを備える。また、モバイルファイアウォール８は、動的に設定が必要な項目の変更を監視するＤＨＣＰ監視部１４およびＰＰＰ監視部１５を備え、ＤＨＣＰ監視部１４およびＰＰＰ監視部１５で得られた情報を変換部１２に渡す。変換部１２は、動的に設定が可能な項目としてユーザのドメイン名が指定されている場合、最新の情報を得るためにＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）に問い合わせを行なうＤＮＳアクセス部１３を備える。
なお、本発明のアクセス制御リスト生成装置は、上述したアクセス制御リスト生成システムにおいて、変換部１２と、監視部１４,１５と、ＤＮＳアクセス部１３とからなり、本実施形態においてはモバイルファイアウォール内に配置されている。

図４は、本発明の実施形態に係るアクセス制御リスト生成方法を示すシーケンス図である。
この方法は、まず、移動機を有するユーザによるセキュリティ設定のためのアクセス制御リストをアクセス制御リスト管理サーバ８に転送し（ステップＳ４１）、アクセス制御リスト管理サーバにてユーザ毎のアクセス制御リストを生成する（ステップＳ４２）。その際、アクセス制御リスト管理サーバにおいて管理されるアクセス制御リストの各項目のうち動的に設定が可能な項目を明示する（ステップＳ４３）。次に、アクセス制御リスト管理サーバ８からアクセス制御リストをモバイルファイアウォール１０ａ,１０ｂに転送し（ステップＳ４４）、モバイルファイアウォール１０ａ,１０ｂにおいて実際にパケットをフィルタリングするためのアクセス制御リストを生成する。このとき、ステップＳ４３において明示された動的に設定が可能な項目をモバイルファイアウォール１０ａ,１０ｂにおいて実際にパケットをフィルタリングするための項目に変換する（ステップＳ４５）。また、モバイルファイアウォール１０ａ,１０ｂにおいて動的に設定が必要な項目の変更を監視する（ステップＳ４６）。また、ステップＳ４５において、動的に設定が可能な項目としてユーザのドメイン名が指定されている場合、最新の情報を得るためにＤＮＳに問い合わせを行なう。

図５は、本発明の実施形態に係るアクセス制御リスト生成システムにおいて、アクセス制御リストを記述する際に、動的に設定する項目を明示する方法を示す概略ブロック図である。
同図に示すように、アクセス制御リスト管理サーバ８（図２を参照）は、ユーザ毎のアクセス制御リスト１を保持し、アクセス制御リスト１は、ルータ３においてパケットフィルタ装置としての変換部１２においてＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）アクセス部１３,ＤＨＣＰ（Ｄｉｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）監視部１４,ＰＰＰ（Ｐｏｉｎｔ−ｔｏ−Ｐｏｉｎｔ Ｐｒｏｔｏｃｏｌ）監視部１５を介してアクセス制御リスト２に変換され、モバイルファイアウォール１０ａ,１０ｂ（図２を参照）に保持される。

同図に示すように、アクセス制御リスト管理サーバ８が保持するアクセス制御リスト１の設定内容は、以下のように記述されている。
permit tcp <dynamicaddress> <dns a mail example.jp> pop3 established
permit tcp <dynamicaddress> <dns a mail example.jp> smtp established
permit udp <dynamicaddress> <dns srv sip example.jp>
permit udp <dynamicaddress> <dhcp option dns servers> dns

また、モバイルファイアウォール１０a,１０ｂが保持するアクセス制御リスト２の設定内容は、以下のように記述されている。
permit tcp 192.0.2.1 192.0.2.111 110 established
permit tcp 192.0.2.1 192.0.2.26 25 established
permit udp 192.0.2.1 192.0.2.61 5060
permit udp 192.0.2.1 192.0.2.62 5060
permit udp 192.0.2.1 192.0.2.54 53

ここで、アクセス制御リスト管理サーバ８では、アクセス制御リスト１に記述する際に、動的に設定する項目を明示するが、その方法を（１）ユーザが使用するメールサーバの場合、（２）ユーザが動的に取得するＩＰアドレスの場合、（３）ユーザが動的に取得するサーバアドレスの場合、（４）マクロ機能によるグループ指定一括動的自動設定の場合、（５）他の設定ファイルを取り込む場合、に分けて説明する。

（１）ユーザが使用するメールサーバなど
ユーザが使用するメールサーバなどは、ユーザがＩＰアドレスを知らなかったり、サーバ管理者の都合でＩＰアドレスが変更することがある。その際、ユーザはドメイン名を知っているので、アクセス制御リストでＩＰアドレスを明示する代わりにドメイン名を指定することができる。ドメイン名からＩＰアドレスへの変換は、ＤＮＳのＡレコードまたはＡＡＡＡレコードを使用するので、記号＜＞を用いて、＜ｄｎｓ ａ ドメイン名＞という書き方をする。
［例］：
permit top 192.0.2.1 <dns amail.example.jp>pop3 established
permit top 192.0.2.1 <dns amail.example.jp>smtp established

このようなアクセス制御リスト１を得たモバイルファイアウォール１０は、ＤＮＳの問い合わせを行い、ドメイン名をＩＰアドレスに変換し、実際にＩＰパケットフィルタに使用するアクセス制御リスト２にする。また、ＤＮＳの情報のＴＴＬ（有効な秒数）を記憶し、期限切れになる前にＤＮＳ問い合わせを行い、最新情報に保つようにする。ＤＮＳは、同じドメイン名に複数のレコードを記述でき、この場合、ＤＮＳ問い合わせに複数の答えが返ってくる。ＤＮＳの問い合わせの結果、複数のＩＰアドレスが帰ってきた場合、モバイルファイアウォール１０は、行をＩＰアドレスの数だけ複製し、各行にそれぞれのＩＰアドレスを設定する。

なお、ＩＰｖ６アドレスを使用する場合は、上記の＜ｄｎｓ ａ ドメイン名＞が＜ｄｎｓ ａａａａ ドメイン名＞に変わる。
ＤＮＳのＳＲＶレコードでは、サーバアドレスとサーバポート番号の両方を指定できる。この場合、ドメイン名からＩＰアドレスとポート番号への変換を、ここでは＜ｄｎｓ ｓｒｖ ドメイン名＞という書き方をする。
［例］
permit udp 192.0.2.1<dns srv sip.example.jp>

（２）ユーザが動的に取得するＩＰアドレス
ユーザが動的にネットワークから割り当てを受ける場合、予めユーザはアクセス制御リストでＩＰアドレスを明示できない。ここでは、＜ｄｙｎａｍｉｃａｄｄｒｅｓｓ＞と指定する。
［例］
permit udp 192.0.2.1<dynamicaddress>any dns

アドレス割当は、通常、モバイルファイアウォール１０が配置されたルータ３を通して、ＰＰＰかＤＨＣＰのプロトコルで割当てられる。モバイルファイアウォール１０は、この割当てアドレスを記憶し、アクセス制御リスト１の該当部分を書き換え、実際にＩＰパケットフィルタに使用するアクセス制御リスト２にする。

ＩＰｖ６のアドレス自動設定などで、移動通信端末９ａ側でアドレスを生成する場合、モバイルファイアウォール１０はその移動通信端末９ａの使用するアドレスを得る必要がある。これは、一般的には端末とネットワークの間の認証プログラムの実行や、端末番号とＩＰアドレスの対応付けを確認するＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）やＮＤ（Ｎｅｉｇｈｂｅｒ Ｄｉｓｃｏｖｅｒｙ）により得ることができる。

（３）ユーザが動的に取得するサーバアドレス
ユーザが使用するＤＮＳサーバのアドレスなどは、ＰＰＰやＤＨＣＰにより、ネットワーク内のサーバからルータ３を経由して移動通信端末９ａに通知される。このため、予めユーザは、アクセス制御リスト１でＩＰアドレスを明示することはできない。ここでは、＜ｄｈｃｐ ＤＨＣＰオプション＞と指定する。
［例］
permit udp 192.0.2.1<dhcp option dns servers> dns

モバイルファイアウォール１０は、ＰＰＰやＤＨＣＰのプロトコル動作を監視し、オプションの割当てを記憶し、アクセス制御リスト１の該当部分を書き換え、実際にＩＰパケットフィルタに使用するアクセス制御リスト２にする。複数のサーバＩＰアドレスが指定された場合、モバイルファイアウォール１０は、行をＩＰアドレスの数だけ複製し、各行にそれぞれのＩＰアドレスを設定する。

（４）マクロ機能によるグループ指定一括動的自動設定
ユーザがアクセス制御リスト１を設定するにあたり、１つの通信相手識別子（ドメイン名など）が何度も出てくるケースが多く、これらをユーザがいちいち登録することは非常に面倒な作業である。また、項目（１）の機能（ドメイン名の動的アドレス変換）によりアドレスを直接指定する必要が無いため簡単に設定できるようになってはいるが、それでも、長いドメイン名を扱うことは人間が不得意とするところである。これを解決するために、マクロ機能による端末指定およびグループ指定を可能とする。

アクセス制御リスト１は、プロトコルやポート番号や通信相手ごとに指定する必要があるため、同じドメイン名を指定することが多い。しかし、ユーザ個別に持つモバイルファイアウォール１０のアクセス制御リスト２では、通信相手（例えば、父）を指定するために、ドメイン名（ｔａｒｏ．ｙａｍａｄａ．ｙｏｋｏｓｕｋａ．ｋａｎａｇａｗａ．ｊｐ）のようにインターネット空間において一意である必要は無く、当該ユーザの空間としてＦＡＴＨＥＲのように簡易に指定できる方が便利である。これをマクロを用いて以下のように設定できるようにする。

〔例〕
define FATHER taro.yamada.yokosuka.kanagawa.jp
define MOTHER hanako.yamada.yokosuka.kanagawa.jp
define BROTHER kenji.yamada.yokosuka.kanagawa.jp
define SISTER aiko.yamada.yokosuka.kanagawa.jp

さらにこのマクロ機能を用いて、次のようなグループ指定（例えば、家族）ができるようにする。
〔例〕
define FAMILY {FATHER MOTHER BROTHER SISTER}

これにより、以下のようなグループという概念を用いたアクセス制御リスト１の設定が可能となる。
〔例〕
permit tcp FAMILY <dynamicaddress> telnet
この機能により、アクセス制御リスト１に記入する内容が格段に減ることが期待される。

（５） 他の設定ファイルの取り込み
モバイルファイアウォール１０のサービス提供事業者等が一定の設定例をまとめた設定パターンファイルを提供したり、ユーザがアクセスファイルの固定的な部分を別ファイルとして管理できるように、アクセス制御リスト１に他の設定ファイルの取り込み機能を導入する。記述例は、以下のとおりである。
〔例〕
include “pattern1.acl”

ユーザによる利用例としては、項目（４）のマクロ部分のみを別ファイルとして記述することなどが考えられる。これにより、項目（４）の例のＦＡＭＩＬＹの設定を家族で使いまわすことが可能になる。
上記の記述方式は、一例であり、同等の能力を持つその他の記述方式を用いても構わない。

なお、上述したアクセス制御リスト生成システムにおいて、変換部１２および監視部１４,１５とからなるアクセス制御リスト生成装置は、モバイルファイアウォール内に配置されているが、モバイルファイアウォールがルータに配置されている場合、当該ルータ内に配置されてもよいし、モバイルファイアウォールまたはルータとは別に独立したサーバ内に配置され、変換された結果をモバイルファイアフォールまたはルータに通知するように構成しても良い。

図６は、本発明の他の実施形態におけるアクセス制御リストのサーバの内容設定およびモバイルファイアウォールの設定内容と、他のサーバの内部構成を示す概略ブロック図である。
本実施形態では、アクセス制御リスト生成装置は、モバイルファイアウォールまたはルータとは別に独立したサーバ内に配置された例である。

アクセス制御リスト管理サーバ８において管理されるアクセス制御リストの各項目のうち動的に設定が可能な項目を実際にパケットをフィルタリングするための項目に変換する変換部１２、動的に設定が必要な項目の変更を監視するＤＨＣＰ監視部１４およびＰＰＰ監視部１５、およびＤＮＳアクセス部１３は、モバイルファイアウォールまたはルータとは、別のサーバ内に配置され、アクセス制御リストは、変換部１２で変換された後、モバイルファイアウォールに転送される。
なお、アクセス制御リストの内容については、図５で前述したものと同様であるので省略する。

以上説明したように、本発明により、アクセス制御リストの内容を、状況に応じて動的に変えることが可能になり、サーバが移転してＩＰアドレスが変わった場合も、アクセス制御リストの変更が不要になり、負荷分散等でサーバが複数のＩＰアドレスを使用している場合も、記述が簡単になり、従って、誤りが減り、移動に合わせて動的に割当てられたＩＰアドレスでの通信のフィルタリングを行なえるようになる。

本発明の実施形態に係るアクセス制御リスト生成システムの構成を示す概略ブロック図である。 本発明の実施形態に係るアクセス制御リスト生成システムの動作を示す概略図である。 本発明の実施形態に係るアクセス制御リスト生成システムの機能構成を示す機能ブロック図である。 本発明の実施形態に係るアクセス制御リスト生成方法を示すシーケンス図である。 本発明の実施形態におけるアクセス制御リストのサーバの内容設定およびモバイルファイアウォールの設定内容と、ルータの内部構成を示す概略ブロック図である。 本発明の他の実施形態におけるアクセス制御リストのサーバの内容設定およびモバイルファイアウォールの設定内容と、他のサーバの内部構成を示す概略ブロック図である。

符号の説明

１…第１のアクセス制御リスト（サーバ側）、２…第２のアクセス制御リスト（ファイアウォール側）、３…ルータ、４…パケットスイッチ、５…入力フィルタ、６…出力フィルタ、７…インタフェース、８…アクセス制御リスト管理サーバ、９ａ，９ｂ…移動機（移動通信端末）、１０ａ,１０ｂ…モバイルファイアウォール、１１…明示部、１２…変換部、１３…ＤＮＳアクセス部、１４…ＤＨＣＰ監視部、１５…ＰＰＰ監視部

Claims (6)

1. 移動機を有するユーザによるセキュリティ設定のためのアクセス制御リストを管理するアクセス制御リスト管理サーバと、前記アクセス制御リスト管理サーバから転送されるアクセス制御リストを用いてパケットフィルタリングするモバイルファイアウォールとからなる移動通信網において、前記モバイルファイアウォールにおいて実際にパケットフィルタリングするためのアクセス制御リストを生成するアクセス制御リスト生成装置であって、
   前記アクセス制御リスト管理サーバから転送されるアクセス制御リストのうち動的に設定が可能な項目を前記モバイルファイアウォールにおいて実際にパケットフィルタリングするための項目に変換する変換手段を備えたことを特徴とするアクセス制御リスト生成装置。
2. 前記モバイルファイアウォールは、前記動的に設定が必要な項目の変更を監視する監視手段を備え、前記監視手段で得られた情報を前記変換手段に渡すことを特徴とする請求項１記載のアクセス制御リスト生成装置。
3. 前記変換手段は、前記動的に設定が可能な項目として前記ユーザのドメイン名が指定されている場合、最新の情報を得るためにＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）に問い合わせを行なうＤＮＳアクセス部を備えたことを特徴とする請求項１記載のアクセス制御リスト生成装置。
4. 移動機を有するユーザによるセキュリティ設定のためのアクセス制御リストを管理するアクセス制御リスト管理サーバから前記アクセス制御リストをモバイルファイアウォールに転送し、モバイルファイアウォールにおいて実際にパケットフィルタリングするためのアクセス制御リストを生成するアクセス制御リスト生成方法であって、
   前記アクセス制御リスト管理サーバにおいて管理されるアクセス制御リストの各項目のうち動的に設定が可能な項目を明示する明示ステップと、
   前記明示ステップにおいて明示された前記動的に設定が可能な項目を前記モバイルファイアウォールにおいて実際にパケットフィルタリングするための項目に変換する変換ステップと、
   を含むことを特徴とするアクセス制御リスト生成方法。
5. 前記モバイルファイアウォールにおいて前記動的に設定が必要な項目の変更を監視する監視ステップを含み、前記監視ステップにおいて得られた情報を前記変換ステップに渡すことを特徴とする請求項４記載のアクセス制御リスト生成方法。
6. 前記変換ステップにおいて前記動的に設定が可能な項目として前記ユーザのドメイン名が指定されている場合、最新の情報を得るためにＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）に問い合わせを行なうことを特徴とする請求項４記載のアクセス制御リスト生成方法。

Images