JP2009278635A

JP2009278635A - ステートフル・インスペクションを備えるファイアウォール

Info

Publication number: JP2009278635A
Application number: JP2009160789A
Authority: JP
Inventors: Patrick Culbert; カルバート，パトリック
Original assignee: Firebridge Systems Pty Ltd
Current assignee: Firebridge Systems Pty Ltd
Priority date: 2002-05-01
Filing date: 2009-07-07
Publication date: 2009-11-26
Also published as: WO2003094464A1; US7512781B2; AUPS214802A0; US20060085849A1; EP1500250A4; JP2005532713A; EP1500250A1

Abstract

【課題】既存のインフラを変更することのないセキュリティ・デバイスを提供する。
【解決手段】内部ネットワークを出入りするパケット・フローを制御するためのネットワーク・セキュリティ・デバイスであって、上記デバイスは第１及び第２のネットワーク・カードとステートフル・インスペクション・ファイアウォールとを含み、パケットが流入する間に、第１のネットワーク・カードは各パケットを既存のセッションの一部であるかないかを検査するためにファイアウォールへ転送し、ｉ）上記パケットが既存のセッションの一部であれば、第２のネットワーク・カードへかつ内部ネットワークへ転送され、ｉｉ）上記パケットが既存のセッションの一部でなければ、これは上記パケットが上記ネットワークへ受容可能であるか否かを決定するルールセットと比較される。
【選択図】図２

Description

本発明はネットワーク・セキュリティ・デバイスに関し、より特定的にはステートフル・インスペクションのファイアウォール・ブリッジに関する。

多くのネットワーク・サービスはセキュリティホールとなり得ることが判明しており、そのためのツールは、初心者向けのものさえ広く入手可能となっている。危険な情報がない場合でも、サーバまたはネットワークの一時的なブラックアウトは、何時間にも及ぶ作業の喪失及びされたビジネスの機会の逸失を意味する場合がある。

企業はインターネットへ接続することが可能であり、ダイアルアップを介してｉｓｄｎ及びリースされた回線でデータを交換することができる。さらに従業員には、リモート・アクセス・オプションが提供される可能性もある。その上、着信するあらゆる接続は発信する接続も保有しているように思われる。

どんなコンピュータ・ネットワークも、完全に安全であるわけではない。あらゆる鎖錠と同様に、人間が作ったものであれば、それは人間によって破られる可能性がある。ちょっとしたセキュリティ対策でも、そうでなければ厄介ごとをもたらすほとんどのアマチュアを排除することができる。これに対して大規模なサイトは、ちょっとしたセキュリティ対策で甘んじるべきではない。

セキュリティは高価である。専用のハードウェア及びソフトウェアは、専門知識を頼む、雇うまたは作り上げるかすることによって購入され、インストールされ、設定されかつ保全されなければならない。既存のインフラに対しては、さらなるハードウェアを必要とする、または中断時間を発生させる変更を実施しなければならない場合が多い。

用語解説
ブリッジ
データ・リンク層情報を基礎としてネットワーク・セグメント間でトラフィックを転送するデバイス。これらのセグメントは、共通のネットワーク層アドレスを保有する。

ファイアウォール
特にインターネット接続及びダイアルイン回線である外部ネットワークへのサービスに使用される、その上に特別なセキュリティ予防策を有する専用のゲートウェイ・マシン。その意図は、その背後に隠されたより管理の緩いマシン群をクラッカから保護することにある。典型的なファイアウォールは、重要データを保有しない安価なマイクロプロセッサ・ベースのユニット・マシンであり、モデム及び公衆ネットワーク・ポートをその上に有するが、残りのクラスタに対する慎重に監視された接続は１つしかない。

ルータ
ネットワーク間でパケットを転送するデバイス。転送の決定は、ネットワーク層情報と、ルーティング・プロトコルによって構成される場合の多いルーティング・テーブルとを基礎として行われる。

パケット
ネットワーク上で送信されるデータ・ユニット。「パケット」はＯＳＩプロトコル・スタックの任意の層におけるデータ・ユニットを記述するために使用される総称であるが、最も正確にはアプリケーション層のデータ・ユニット（「アプリケーション・プロトコル・データ・ユニット」、ＡＰＤＵ）を記述するために使用される。

ステートフル・インスペクション
ステートフル・インスペクション・プログラムは、接続を開始する全パケットをファイアウォール・ルールベースに照らして順次精査する。パケットが受容されることなく任意のルールを通過すれば、そのパケットは拒否される。接続が受容されれば、そのセッションはファイアウォールのステートフル・インスペクション・テーブルへ入る。そのセッションがテーブルに存在しかつそのパケットがそのセッションの一部であれば、パケットは受容される。パケットがセッションの一部でなければ、これはドロップされる。パケットは悉くルールベースと比較され、マッチング・ルールを基礎として決定が下される。

ルールベース
どのパケットがネットワークを介して認可され、または否認されるかを決定するルールセット。

ＨＴＭＬ：ハイパーテキスト・マークアップ言語
これは、ＷＷＷページを記述するために使用される言語である。

インターネット上のワールドワイドウェブ・サーバ上のコンテンツ及び他の文書へのハイパーテキスト・リンクを指定するために使用されるタグ・ベースのＡＳＣＩＩ言語。そして任意のオペレーティング・システム（ハードウェア・プラットフォーム、モニタ解像度、他）用に作られるブラウザを使用して作成された文書を見る、かつ他の文書を表示するリンクを辿ることができる。

ネットワーク・インタフェース・カード（ネットワーク・カード）
ＰＣにインストールされる、ＰＣがＬＡＮ上で通信することを有効化するＬＡＮアダプタ（プリンタ基板）の名称。この用語は、ＩＢＭＰＣ及びトークン・リングのユーザにより共用されている。

ＩＰアドレス
ネットワーク層のプロトコルは全てアドレス・フォーマットを保有し、ＴＣＰ／ＩＰプロトコルの３２ビットＩＰアドレスの場合、アドレスは「１９９．１２．１．１」の形式になる。これはドット付き１０進数と呼ばれ、４つに区切られた各々は０乃至２５５の１０進数であってＩＰアドレスの８ビットを表し、そのネットワーク上の特定ホストを指定する。

ＩＰアドレス全体に対して３２ビットしか存在せず、またネットワークによっては他のネットワークより遙かに多数のホストを有するものがある（かつ遙かに少数のネットワークもある）ことから、異なるアドレス等級が存在する。これらは、異なるビット数をアドレスのネットワーク及びホスト部分に割り当てる。

ＤＭＺ：非武装地帯
敵対する両者間の戦闘が防止されている区域をいう軍事用語。

ＤＭＺイーサネットは、異なる団体によって制御されるネットワークとコンピュータとを接続する。これらは、外的なものである場合も、内的なものである場合もある。外部のＤＭＺイーサネットは、地域ネットワークを内部ネットワークにルータでリンクする。内部のＤＭＺイーサネットは、ローカル・ノードを地域ネットワークにルータでリンクする。

現行技術
ファイアウォール及びセキュリティ・ソフトウェアは、多くの異なるタイプが周知である。これらは、３つの範疇に分類されることが可能である。（ここでは、単一のホーム・コンピュータを保護するパーソナル・ファイアウォールについては考慮しない。）
・プロキシを基礎とするもの：ファイアウォール・サーバ上の異なるネットワーク・インタフェースに物理的に接続しているシステム間のアプリケーション−プロキシとして機能する。アプリケーション−プロキシは、ファイアウォールの一方の側に存在するエンティティがファイアウォールのもう一方の側のエンティティを相手とする場合にそのアプリケーション・レベルでのエージェントまたは代理として作用する。インタフェース間にこの仕切りを保持しかつ継続的にプロトコルを点検することにより、極めて安全な環境が提供される。これは、ＣＰＵ時間にとっては厳しいものであり、大容量サイトにおいては問題点となる可能性がある。
・ステートフル・インスペクション：ファイアウォールが接続を開始するパケットを受信するときはいつも、そのパケットはファイアウォール・ルールベースに照らして順次精査される。パケットが受容されることなく任意のルールを通過すれば、そのパケットは拒否される。接続が受容されれば、そのセッションは、メモリ内に位置づけられるファイアウォールのステートフル・インスペクション・テーブルへ入る。これに続くパケットは悉く、このステートフル・インスペクション・テーブルと比較される。そのセッションがテーブルに存在しかつそのパケットがそのセッションの一部であれば、パケットは受容される。パケットがセッションの一部でなければ、これはドロップされる。あらゆる単一のパケットがルールベースと比較されるわけではないことから、これによりシステム・パフォーマンスが向上される。
・パケット・フィルタ：パケットは悉くルールベースと比較され、１つまたは複数のマッチング・ルールを基礎として決定が下される。

高性能ファイアウォールのほとんどは、上述の技術を組合せたもの、または混合したものを提供する。周知の例は全て、それらが技術的にはルータであり、各ネットワーク・インタフェース上に異なるサブネットを保有する必要があることにおいて共通している。

ルータ対ブリッジ
ルータは、ネットワーク間でパケットを転送するデバイスである。ルータは、異なるネットワークを認識しかつそこへ到達する方法を認識している。これが、周知の全ての商用ファイアウォールによって現時点で使用されている技術である。これは、ファイアウォールの異なる側にあるホストは異なるネットワーク・アドレスを保有しなければならず、そうでなければトラフィックは絶対にそのファイアウォールで終了しないことを含意する。ネットワークの変更は、ダイアルイン・デバイス上で、及びＬＡＮ上でも必要とされる。

ブリッジは、データ・リンク層情報を基礎としてネットワーク・セグメント間でトラフィックを転送するデバイスである。これは、ＭＡＣアドレスを基礎として作動する。

本発明は、企業がそのダイアルイン・サーバの保護を希望するという現実的状況から発生した。このサーバは、従業員及び第三者には既にネットワーク接続性を供給している。新たな第三者企業はアクセスを必要としていたが、その企業が不確かなインターネット接続を有することは周知であった。

任意の種類の従来型ファイアウォールの実装は、ダイアルイン・サーバのアドレス指定スキームを再構成しかつリモート企業と変更を調整することを意味していたと思われる。

従って、既存のインフラを変更する必要のないセキュリティ・デバイスに対するニーズが存在する。

また、完全に透明なファイアウォールも必要とされている。本発明によるシステムは、ネットワークの論理部分ではないことからトレースルートには絶対に表れない。さらに本発明は、ファイアウォールにＩＰアドレスを割り当てることなく実装されることが可能である。これは、コンソール・アクセスでの設定を意味するが、結果的に得られるセキュリティ・デバイスにはアドレスがない。

内部ネットワークを出入りするパケット・フローを制御するためのネットワーク・セキュリティ・デバイスであって、上記デバイスは第１及び第２のネットワーク・カードとステートフル・インスペクション・ファイアウォールとを含み、パケットが流入する間に、上記第１のネットワーク・カードは各パケットを上記パケットが既存のセッションの一部であるかないかを決定する検査のために上記ファイアウォールへ転送し、
（ｉ）上記パケットが既存のセッションの一部であれば、これは上記第２のネットワーク・カードへかつ上記内部ネットワークへ転送され、
（ｉｉ）上記パケットが既存のセッションの一部でなければ、これは上記パケットが上記ネットワークへ受容可能であるか受容可能でないかを決定するルールセットと比較され、
（ａ）上記パケットが受容可能であれば、これは上記第２のネットワーク・カードへかつ上記内部ネットワークへ転送されかつ上記セッションは上記ステートフル・インスペクション・テーブルへ入れられ、
（ｂ）上記パケットが受容可能でなければ、これはドロップされて消失し、
パケットが流出する間に、アウトバウンド・パケットは上記第２のネットワーク・カードを通過し、ここでこれが既存のセッションの一部であるかないかを決定するために検査され、そうであればこれは上記デバイスを出るために上記第１のネットワーク・カードへ転送され、そうでなければこれは上記ルールセットと比較され、上記パケットが受容可能であればこれは上記デバイスを出るために上記第１のネットワーク・カードへ転送され、受容可能でなければこれはドロップされて消失する。

本発明のシステムが構成される方法を示すフローチャートである。ネットワーク・トラフィックが本発明のシステムを介して内部ネットワークへ入る方法を示すフローチャートである。内部ネットワーク・トラフィックが本発明のシステムを通過して外界へ入る方法を示すフローチャートである。ユーザにパケット濾波ルールセットに対する編集制御を供給するグラフィック・ユーザ・インタフェースを示したものである。

本発明の実装には、例えば下記のものが必要である。
ハードウェア
最低２００Ｍｈｚのプロセッサ
最低６４ＭＢのＲＡＭ
容量６４ＭＢのソリッドステート・ハードドライブ１基
３×ネットワーク・カード１０／１００／１０００
電源を収容したケース及びシステム構成用入力デバイスを有するＬＣＤパネル
ビデオカードを使用しないことによる、デバッギング及び起動情報用シリアル・ポート
ソフトウェア
ＬｉｎｕｘＫｅｒｎｅｌバージョン２．４．ｘ
Ａｐａｃｈｅウェブ・サーバ１．３．２２ｍｏｄ＿ｐｅｒｌｍｏｄ＿ＳＳＬ
Ｐｅｒｌバージョン５．６．１
ＯｐｅｎＳＳＨ＋ＯｐｅｎＳＳＬ
ＧＮＵツール及びＳＹＳＶＬｉｎｕｘＯＳの実行に必要なユーティリティ
ｍｏｄ＿ｐｅｒｌ、ＨＴＭＬ及びＣＳＳを使用するウェブ・インタフェース

インストールは、上述の「ハードウェア」セクションに列挙されたハードウェアを使用してコンピュータを生成することにより達成される。本発明は、ファイアウォール構成及びシステム監視を含む構成インタフェースを含む。

図１に、ファイアウォール構成をフローチャート形式で示す。インタフェース１０は、ルールセットを含む共通ゲートウェイ・インタフェース（５０）を介して操作されるプレーン・テキスト構成ファイル（２０）を使用する。構成ファイル２０は、ＨＴＭＬインタフェースを介してアクセスされるＰｅｒｌスクリプトによって操作され、次にＰｅｒｌスクリプトによってカーネル・ルール４０に翻訳される（３０）。

以下、好適な管理インタフェース及びファイアウォール構成ファイルについて説明する。

本システムは、
（ｉ）ユーザにＣＰＵ上のカレント負荷を知らせる負荷ステータスと、
（ｉｉ）ユーザにディスク・スペース利用のカレント・レベルを知らせるディスク・スペース・ステータスと、
（ｉｉｉ）ユーザにユーザがファイアウォール構成に加えた変更がファイアウォールに反映されているかどうかを知らせる構成ステータスと、を監視する。

本システムはまた、パケットが認可されたか拒否されたかを監視しかつログする。

図２に示すように、情報の内向きのフローは、ワールド７０からのパケット・フローを含む。各パケットは、第１のネットワーク・カード８０を通過する。パケットは次に、それが既存のセッションの一部であるかどうかを確認するために検査される（９０）。パケットは、既存のセッションの一部であれば（１００）受容され（１１０）、次に第２のネットワーク・カード１２０へ転送され、さらに内部ネットワーク（６０）へと転送される。

パケットが既存のセッションの一部でなければ（１３０）、これはルールセットと比較される。パケットが受容されれば（１１０）、これは次に第２のネットワーク・カード１２０へ転送され、さらに内部ネットワーク６０へと転送される。このセッションは次にステートフル・インスペクション・テーブルに入れられ、このセッションの一部であるパケットはどれも次に第２のネットワーク・カード１２０へ転送され、さらにネットワーク６０へと転送される。パケットが拒否される（１５０）か、そのセッションの一部でなければ、これはドロップされ（１６０）、つまりは消失する。ログは、パケットに発生したことを記録することができる。

図３に示すように、ネットワーク６０から外向きへのパケットは第２のネットワーク・カード１２０を通過する。パケットは次に、それが既存のセッションの一部であるかどうかを確認するために検査される（９０）。パケットは、既存のセッションの一部であれば（１００）受容され（１１０）、次に第１のネットワーク・カード８０へ転送され、さらにワールド７０へと転送される。

パケットが既存のセッションの一部でなければ、これは次にルールセットと比較される。パケットが受容されれば（１１０）、これは次に第１のネットワーク・カード８０へ転送され、さらにワールド７０へと転送される。このセッションは次にステートフル・インスペクション・テーブルに入れられ、このセッションの一部であるパケットはどれも次に第１のネットワーク・カード８０へ転送され、さらにワールド７０へと転送される。パケットが拒否されれば（１５０）、これはドロップされ（１６０）、つまりは消失する。ログは、パケットに発生したことを記録することができる。

下記のテーブルは、本発明の特徴を他の２つの市販製品と比較したものである。

ＦｉｒｅｗａｌｌＩ及びＲａｐｔｏｒは実行可能となる前にオペレーティング・システムを有する別々のコンピュータを必要とし、よって他の２種のファイアウォールとはかなり異なる。

本発明は、３つのネットワーク・カードを使用する。最初の２つのネットワーク・カード８０、１１０は、割り当てられたＩＰアドレスを保有しない。第３のネットワーク・カードは、ファイアウォールを構成するためにのみ使用されるダミー内部ＩＰアドレスを有する管理インタフェースである。これは、ファイアウォールのオペレーションには全く使用されず、よってＩＰアドレスを保有しない。

これは、本発明と市場における任意の周知ファイアウォールとの最大の相違である。本発明的解法は、ＩＰアドレスを使用しないことからネットワークの論理部分ではない。これは、本解法が検出され得ないこと、及び既存のインタフェースの接続を外してこれを間にプラグで接続するだけで実装され得ることを意味する。他のネットワーク再構成は、一切不要である。この点で、本発明は完全に独自的である。

Ｆｉｒｅｂｏｘ（商標）は、３つのネットワーク・カードを使用し、かつ３つの関連ＩＰアドレスを必要とする。これは、この製品のインストールのためにネットワークが再構成される必要のあることを意味する。

ＦｉｒｅｗａｌｌＩ（商標）＆Ｒａｐｔｏｒ（商標）は、２つのネットワーク・カードを使用し、かつ２つの関連ＩＰアドレスを必要とする。これは、これらの製品のインストールのためにネットワークが再構成される必要のあることを意味する。

本発明はパケットをチェックし、次にこれをブリッジするが、これは完全に透明である。Ｆｉｒｅｂｏｘ（商標）はパケットをチェックし、これをルーティングする。

FｉｒｅｗａｌｌＩ（商標）及びＲａｐｔｏｒ（商標）はパケットをチェックし、これをルーティングする。Ｒａｐｔｏｒ（商標）は要求をチェックし、これをプロキシする。

３種のファイアウォールは全て、パケットをチェックする。１つの重要な相違点は、本発明はパケットをルーティングではなくブリッジすることである。

図４に示すように、ルールセット９０は、グラフィック・ユーザ・インタフェース２００を介して編集されることが可能である。全てのルール２１０には、順番が与えられる。この順番は、いつでも変更されることが可能である。ルール２１０は、コンピュータにより一度に１つずつ順番にチェックされる。パケットが１つのルール２１０を満たせば、これはそのルールによって決定された通りにアクションされ２３０、満たさなければデフォルト・ルールへと進む。ルールセットは、パケット・ソース２２０と、宛先２４０と、関連サービス２５０と、ロギング要件等のオプション２６０とを考慮する。グラフィック・ボタンは、簡単なユーザ編集または削除を提供する２７０、２８０。

次に、好適な管理インタフェース及びファイアウォール構成ファイルについて説明する。

ＣＧＩインタフェースはｍｏｄ＿ｐｅｒｌを使用し、かつ２つのファイル・タイプ、即ちユーザがウェブブラウザにおいて何を見るかに対処する＊．ｃｇｉファイルと、ユーザ入力をチェックし、かつ構成ファイルを操作する関数を含む＊−ｌｉｂ．ｐｌファイルとを区別する。静的なｈｔｍｌファイル、画像及びカスケーディング・スタイルシートが存在し、動的なコンテンツ及びプレゼンテーション用のフレームワークとして使用される。

下記のファイルは、構成ファイルの操作に使用される。
／
− ｆｂ−ｃｇｉｌｉｂ．ｐｌ（全スクリプトにより使用される汎用関数）
− ｉｐｃａｌｃ−ｌｉｂ．ｐｌ（ｉｐ計算機ライブラリ）
− ｉｐｃａｌｃ．ｃｇｉ（ｉｐ計算機プレゼンテーション）
＊ブリッジビュー（これは、読取り専用バージョンを含む）
− ｖｗｇｒｏｕｐｓ．ｃｇｉ
− ｖｗｎｅｔｏｂｊｅｃｔ．ｃｇｉ
− ｖｗｒｕｌｅｓ．ｃｇｉ
− ｖｗｓｅｒｖｉｃｅｓ．ｃｇｉ
＊ｆｗ
− ｆｗｃｏｎｆ−ｌｉｂ．ｐｌ（ルールに従ってｉｐチェーン互換構成を書き込む）
− ｆｗｃｏｎｆ．ｃｇｉ（構成を起動／ロールバックする）
− ｇｒｏｕｐｓ−ｌｉｂ．ｐｌ（グループ・ファイルを操作する）
− ｇｒｏｕｐｓ．ｃｇｉ（グループ・ファイルのプレゼンテーション）
− ｎｅｔｏｂｊｅｃｔｓ−ｌｉｂ．ｐｌ（ネットワーク・オブジェクト・ファイルを操作する）
− ｎｅｔｏｂｊｅｃｔｓ．ｃｇｉ（ネットワーク・オブジェクト・ファイルのプレゼンテーション）
− ｒｕｌｅｓ−ｌｉｂ．ｐｌ（ルール・ファイルを操作する）
− ｒｕｌｅｓ．ｃｇｉ（ルール・ファイルのプレゼンテーション）
− ｓｅｒｖｉｃｅｓ−ｌｉｂ．ｐｌ（サービス・ファイルを操作する）
− ｓｅｒｖｉｃｅｓ．ｃｇｉ（サービス・ファイルのプレゼンテーション）
＊ｌｏｇｖｗ
− ｌｏｇｖｗ．ｃｇｉ（カレント・ログ・ファイルを見る）
＊オプション
− ｆｂｇｃｏｎｆ−ｌｉｂ．ｐｌ（グローバル構成オプションを操作する）
− ｆｂｇｃｏｎｆ．ｃｇｉ（グローバル構成オプションのプレゼンテーション）
＊ステータス
− ｃｏｎｆｓｔａｔｕｓ．ｃｇｉ（カレント構成がアクティブと同一であるかどうかをチェックする）
− ｌｏａｄｓｔａｔｕｓ．ｃｇｉ（ボックス・ロードをチェックする）
＊ウィザード
− ｗｉｚａｒｄ．ｃｇｉ（ルール及び関連オブジェクトの漸次的生成）

ファイアブリッジは、下記の構成ファイルを使用する。
Ａｃｔｉｏｎｓ（ルールに関する可能アクション）
ｎｒ：ａｃｔｉｏｎ
ｆｂｇｃｆｇ（グローバル構成オプション）
ｏｐｔｉｏｎ＝ｖａｌｕｅ（真または偽）
ｆｂｒｕｌｅｓ（数字によるルール）
ｎｒ：ａｌｌｏｗ／ｄｅｎｙ：ｓｏｕｒｃｅ−ｎａｍｅ：ｄｅｓｔｉｎａｔｉｏｎ−ｎａｍｅ：ｓｅｒｖｉｃｅ−ｎａｍｅ：ａｃｔｉｏｎ−ｎｒ：ｃｏｍｍｅｎｔ（ソース／宛先／サービスはグループ名であることに注意）
ｇｒｏｕｐｓ（グループ）
ｎａｍｅ：ｔｙｐｅ：ｍｅｍｂｅｒ−ｎａｍｅ，ｍｅｍｂｅｒ−ｎａｍｅ，ｍｅｍｂｅｒ−ｎａｍｅ：ｃｏｍｍｅｎｔ
ｎｅｔｏｂｊｅｃｔｓ（ネットワーク・エンティティ）
ｎａｍｅ：ａｄｄｒｅｓｓ／ｍａｓｋ
ｐｒｏｔｏｃｏｌｓ（数字によるｉｐプロトコル）
ｎｒ：ｎａｍｅ：ｃｏｍｍｅｎｔ
ｎａｍｅ：ｄｅｓｃｒｉｐｔｉｏｎ：ｐｒｏｔｏｃｏｌ−ｎｒ：ｓｏｕｒｃｅ−ｐｏｒｔ：ｄｅｓｔｉｎａｔｉｏｎ−ｐｏｒｔ（ポートはダッシュで分離されたレンジであることが可能である。例：１０２４−６５５３５）

ファイアブリッジは、その構成に下記のディレクトリを使用する。
／ｕｓｒ／ｌｏｃａｌ／ｆｉｒｅｂｒｉｄｇｅ／ｆｗｃｏｎｆｉｇ／ａｃｔｉｖｅ
／ｕｓｒ／ｌｏｃａｌ／ｆｉｒｅｂｒｉｄｇｅ／ｆｗｃｏｎｆｉｇ／ｃｏｎｆｉｇ

システムは、ブートされると、物理的に／ｖａｒｒａｍドライブ上で活動する．／ａｃｔｉｖｅから．／ｃｏｎｆｉｇまでのファイルを書き込む（上記名称へのシンボリック・リンク）。ユーザがファイアウォールに変更を加えると、これらが．／ｃｏｎｆｉｇディレクトリに記録される。ユーザは、全ての変更に満足すると、管理インタフェース内のａｃｔｉｖａｔｅｃｏｎｆｉｇを選択する。

次にシステムは、．／ｃｏｎｆｉｇから全ファイルを取り出して．／ａｃｔｉｖｅ内のファイルに上書きする。次にこれはｉｐチェーン互換出力の生成を開始し、所望に応じてグループを複数のルールに翻訳する。全てのルールが首尾良く書き込まれると、これらはｉｐチェーンにおいて起動される。

或いは、ユーザはロールバックを選択することも可能であり、これが選択されるとシステムは．／ａｃｔｉｖｅからファイルを取り出して．／ｃｏｎｆｉｇに上書きする。

Claims

受容可能なデータパケットをデータリンク層上で伝送するステートフル・インスペクション・ファイアウォール・セキュリティ・デバイスであって、前記デバイスは、
外部ネットワークに接続され、公的にルーティング可能なＩＰアドレスが割り当てられていない第１のネットワーク・カードと、
内部ネットワークに接続され、公的にルーティング可能なＩＰアドレスが割り当てられていない第２のネットワーク・カードと、
前記第１及び第２のネットワーク・カードに接続されたステートフル・インスペクション・ファイアウォールとを含み、
（ｉ）前記ファイアウォールは、前記内部及び外部ネットワークのうち一方のネットワークから他方のネットワークへと、データリンク層上を通過して伝送されるデータパケットが、受容可能であるか否かを決定し、
（ｉｉ）前記ファイアウォールは、受容可能なデータパケットを、前記内部及び外部ネットワークのうち一方のネットワークから他方のネットワークへと、データリンク層上を通過して伝送し、
前記ステートフル・インスペクション・ファイアウォール・セキュリティ・デバイスは、前記内部又は外部ネットワーク上の他の装置を再構成する必要なく、前記内部及び外部ネットワークの間に透過的に挿入可能なように適合する、デバイス。
前記ファイアウォールが、受容可能なデータパケットを決定し、前記内部及び外部ネットワークのうち一方のネットワークから他方のネットワークへと、データリンク層上を通過して伝送する、請求項１に記載のステートフル・インスペクション・ファイアウォール・セキュリティ・デバイスであって、
前記外部ネットワークから前記内部ネットワークへとパケットが流入する間、前記ファイアウォールに保存されたステートフル・インスペクション・テーブルを調べることによって、パケットが既存のセッションの一部であるか否かを決定する検査を行うために、前記第１のネットワーク・カードは、各パケットを前記ファイアウォールへと転送し、
（ｉ）もしパケットが既存のセッションの一部ならば、前記パケットはデータリンク層を通って前記第２のネットワーク・カードへと転送され、さらに前記パケットは前記内部ネットワークへと転送され、
（ｉｉ）もしパケットが既存のセッションの一部でなければ、前記パケットは前記内部ネットワークへ受容可能であるか否かを決定するルールセットと比較され、
（ａ）前記パケットが受容可能ならば、前記パケットはデータリンク層を通って前記第２のネットワーク・カードへと転送され、さらに前記パケットは前記内部ネットワークへと転送され、セッションが前記ステートフル・インスペクション・テーブルへ入れられ、
（ｂ）前記パケットが受容可能でなければ、前記パケットはドロップされて消失し、
前記内部ネットワークから前記外部ネットワークへとパケットが流出する間、流出するパケットは、前記第２のネットワーク・カードを通過して前記ファイアウォールへ向かい、前記流出するパケットは、前記流出するパケットが既存のセッションの一部であるか否かを決定するために検査され、もし前記流出するパケットが既存のセッションの一部ならば、前記流出するパケットは、前記第１のネットワーク・カードへ転送され、前記デバイスを出て前記外部ネットワークへと転送され、もし前記流出するパケットが既存のセッションの一部でなければ、前記流出するパケットは前記ルールセットと比較され、前記流出するパケットが受容可能ならば、前記流出するパケットはデータリンク層を通って前記第１のネットワーク・カードへ転送され、前記デバイスを出て前記外部ネットワークへと転送され、受容可能でなければ、前記流出するパケットはドロップされて消失する、デバイス。
ネットワーク上で前記デバイスを構成するために使用される公的にルーティングされないプライベートＩＰアドレスを有する管理インタフェースである第３のネットワーク・カードをさらに含む請求項１記載のデバイス。
前記デバイスが、ルータ及びハブ又はサーバ・マシンの、いかなるルーティングされるアドレス又はＩＰアドレスをも再構成することなく、前記ルータと、前記ハブ又はサーバ・マシンとの間に挿入可能である請求項１記載のデバイス。
前記デバイスが、実装するための別個のコンピュータを必要としない請求項１記載のデバイス。
前記デバイスが、ＨＴＭＬインタフェースを有する一般的なウェブブラウザを用いて上記ファイアウォールとの通信が可能である機器設定装置から構成可能である請求項１記載のデバイス。
前記デバイスが、前記デバイスを供給されるＨＴＭＬインタフェースを有する一般的なウェブブラウザを用いて前記ファイアウォールとの通信が可能である機器設定装置によって構成される請求項１記載のデバイス。
負荷ステータスを供給しかつユーザにＣＰＵ上のカレント負荷が何であるかのグラフィック通知を供給するための負荷モニタをさらに備える請求項１記載のデバイス。
ユーザが前記ファイアウォール構成に加えた変更が前記ファイアウォールに反映されているかどうかのグラフィック通知をユーザに供給する構成ステータス・モニタをさらに備える請求項１記載のデバイス。
パケットが認可されたか拒否されたかのグラフィック表示を供給するモニタ及びログをさらに備える請求項１記載のデバイス。
追加のソフトウェアを何らインストールすることなく、ＨＴＭＬブラウザを有し、前記デバイスがネットワークされる任意のコンピュータから構成されることが可能であるように構成用のＨＴＭＬインタフェースをさらに備える請求項１記載のデバイス。
ネットワーク上の装置を再構成することなく、前記ネットワークにおいてステートフル・インスペクション・ファイアウォール・フィルタリングを提供する方法であって、
（ｉ）ステートフル・インスペクション・ファイアウォール・デバイスが挿入されるネットワークの２つの部分の間の点を選ぶことにより、内部ネットワーク及び外部ネットワークを定義し、
（ｉｉ）ステートフル・インスペクション・ファイアウォール・デバイスを前記ネットワークに挿入し、前記デバイスは、少なくとも、外部ネットワークに接続され、公的にルーティング可能なＩＰアドレスが割り当てられていない第１のネットワーク・カードと、内部ネットワークに接続され、公的にルーティング可能なＩＰアドレスが割り当てられていない第２のネットワーク・カードと、前記第１及び第２のネットワーク・カードに接続されたステートフル・インスペクション・ファイアウォールとを含み、前記ファイアウォールは、前記内部及び外部ネットワークのうち一方のネットワークから他方のネットワークへと、データリンク層上を通過して伝送されるデータパケットが受容可能であるか否かを決定し、前記ファイアウォールは、受容可能なデータパケットを、前記内部及び外部ネットワークのうち一方のネットワークから他方のネットワークへと、データリンク層上を通過して伝送する方法。
前記外部ネットワークから前記ファイアウォールへとデータパケットが流入する間、前記第1のネットワーク・カードは、第３のネットワーク・カードを使用することなく、ステートフル・インスペクション・テーブルを調べることによって、パケットが既存のセッションの一部であるか否かを決定する検査を行うために、各パケットを前記ファイアウォールへと転送し、
（ｉ）もしパケットが既存のセッションの一部ならば、前記パケットはデータリンク層を通って前記第２のネットワーク・カードへと転送され、さらに前記パケットは前記内部ネットワークへと転送され、
（ｉｉ）もしパケットが既存のセッションの一部でなければ、前記パケットは前記内部ネットワークへ受容可能であるか否かを決定するルールセットと比較され、
（ａ）前記パケットが受容可能ならば、前記パケットはデータリンク層を通って前記第２のネットワーク・カードへと転送され、さらに前記パケットは前記内部ネットワークへと転送され、セッションが前記ステートフル・インスペクション・テーブルへ入れられ、
（ｂ）前記パケットが受容可能でなければ、前記パケットはドロップされて消失し、
前記内部ネットワークから前記外部ネットワークへとパケットが流出する間、流出するパケットは、前記第３のネットワーク・カードを使用することなく、前記第２のネットワーク・カードを通過して前記ファイアウォールへ向かい、前記流出するパケットは、前記流出するパケットが既存のセッションの一部であるか否かを決定するために検査され、もし前記流出するパケットが既存のセッションの一部ならば、前記流出するパケットは、前記第１のネットワーク・カードへ転送され、前記デバイスを出て前記外部ネットワークへと転送され、もし前記流出するパケットが既存のセッションの一部でなければ、前記流出するパケットは前記ルールセットと比較され、前記流出するパケットが受容可能ならば、前記流出するパケットはデータリンク層を通って前記第１のネットワーク・カードへ転送され、前記デバイスを出て前記外部ネットワークへと転送され、受容可能でなければ、前記流出するパケットはドロップされて消失するように、前記ステートフル・インスペクション・ファイアウォール・デバイスが、データパケットの検査を行う請求項１２記載の方法。
前記ステートフル・インスペクション・ファイアウォール・デバイスが第３のネットワークを備え、前記第３のネットワーク・カードがプライベートＩＰアドレスを有すことにより、前記デバイスが当該第３ネットワーク・インタフェースをこえてアドレス指定され得る、請求項１２又は１３記載の方法。
前記第３のネットワーク・カードのプライベートＩＰアドレスを介してアクセスされるとき、前記デバイスは、前記第３のネットワーク・カード上のＨＴＭＬインタフェースを介して管理されるように適合する、請求項１４記載の方法。
前記デバイスが、ルータと、サーバ又はハブとの間で、ネットワークに挿入される、請求項１２記載の方法。
前記ルータが前記外部ネットワークに設置され、前記サーバ又はハブが前記内部ネットワークに設置される、請求項１６記載の方法。