JP2012044283A - 通信制御システム、並びに、アクセス受付装置及びプログラム、並びに、通信制御装置及びプログラム - Google Patents

Abstract

【課題】 ネットワーク間の通信制御処理を効率的に行うことができる。
【解決手段】 本発明は、複数のネットワーク間の通信を制御する通信制御システムに関する。そして、通信制御システムは、通信制御装置とアクセス受付装置とを備え、通信制御装置は、通信制御の内容を記述したポリシー情報を１又は複数記憶する手段と、アクセス受付装置から通知されるポリシー情報を登録する手段とを有し、アクセス受付装置は、第１のネットワークに属する第１の通信装置から、第２のネットワークに属する第２の通信装置へのアクセス要求を受付ける手段と、第１の通信装置と第２の通信装置との間の通信に係るポリシー情報を作成して、通信制御装置に通知する手段とを有することを特徴とする。
【選択図】 図１

Description

本発明は、通信制御システム、並びに、アクセス受付装置及びプログラム、並びに、通信制御装置及びプログラムに関し、例えば、ＩＰｖ６に対応したネットワークに設置されるファイアウォールに適用し得る。

家庭やオフィス等で、インターネットに接続する際には、内部網と外部網の境界にファイアウォール等の通信制御を行う装置を設置することにより、内部網と外部網のそれぞれに配置されたクライアントの端末とサーバが、それぞれの通信の方向に応じて、安全かつ高性能に通信を行うことができる。

また、近年ＩＰｖ６に対応したファイアウォールも普及しつつあり、従来のＩＰｖ６に対応したファイアウォール装置としては、例えば、特許文献１に記載の装置がある。

特許公開２００３−１１５８８０号公報

しかしながら、従来のＩＰｖ６に対応したファイアウォール装置等の通信制御装置では、外部網からの接続のためにセキュリティ通信の認証処理やＩＰｖ６アドレス変換処理等を行う際に、転送処理に十分な性能を確保できないという課題があった。

そのため、ネットワーク間の通信制御処理を効率的に行うことができる、通信制御システム、並びに、アクセス受付装置及びプログラム、並びに、通信制御装置及びプログラムが望まれている。

第１の本発明は、複数のネットワーク間の通信を制御する通信制御システムにおいて、（１）通信制御装置と、アクセス受付装置とを備え、（２）上記通信制御装置は、（２−１）当該通信制御装置が、上記ネットワーク間の通信に対して行う通信制御の内容を記述したポリシー情報を１又は複数記憶するポリシー記憶手段と、（２−２）上記アクセス受付装置から通知されるポリシー情報を、上記ポリシー記憶手段に登録するポリシー情報登録手段とを有し、（３）上記アクセス受付装置は、（３−１）第１のネットワークに属する第１の通信装置から、第２のネットワークに属する第２の通信装置へのアクセス要求を受付ける受付手段と、（３−２）上記第１の通信装置と、上記第２の通信装置との間の通信に係るポリシー情報を作成して、上記通信制御装置に通知するポリシー情報通知手段とを有することを特徴とする。

第２の本発明は、複数のネットワーク間の通信を制御する通信制御システムを構成するアクセス受付装置であって、（１）第１のネットワークに属する第１の通信装置から、第２のネットワークに属する第２の通信装置へのアクセス要求を受付ける受付手段と、（２）上記第１の通信装置と、上記第２の通信装置との間の通信に係るポリシー情報を作成し、上記通信制御システムで上記ネットワークの間の通信を制御する通信制御装置に、作成したポリシー情報を通知するポリシー情報通知手段とを有することを特徴とする。

第３の本発明のアクセス受付プログラムは、（１）複数のネットワーク間の通信を制御する通信制御システムを構成するアクセス受付装置に搭載されたコンピュータを、（２）第１のネットワークに属する第１の通信装置から、第２のネットワークに属する第２の通信装置へのアクセス要求を受付ける受付手段と、（３）上記第１の通信装置と、上記第２の通信装置との間の通信に係るポリシー情報を作成し、上記通信制御システムで上記ネットワークの間の通信を制御する通信制御装置に、作成したポリシー情報を通知するポリシー情報通知手段として機能させることを特徴とする。

第４の本発明は、複数のネットワーク間の通信を制御する通信制御システムを構成する通信制御装置において、（１）当該通信制御装置が、上記ネットワーク間の通信に対して行う通信制御の内容を記述したポリシー情報を１又は複数記憶するポリシー記憶手段と、（２）上記通信制御システムで、第１のネットワークに属する第１の通信装置から、第２のネットワークに属する第２の通信装置へのアクセス要求を受付け、受付けたアクセス要求に基づいて、上記第１の通信装置と上記第２の通信装置との間の通信に係るポリシー情報を生成するアクセス受付装置から通知されるポリシー情報を、上記ポリシー記憶手段に登録するポリシー情報登録手段とを有することを特徴とする。

第５の本発明の通信制御プログラムは、（１）複数のネットワーク間の通信を制御する通信制御システムを構成する通信制御装置に搭載されたコンピュータを、（２）当該通信制御装置が、上記ネットワーク間の通信に対して行う通信制御の内容を記述したポリシー情報を１又は複数記憶するポリシー記憶手段と、（３）上記通信制御システムで、第１のネットワークに属する第１の通信装置から、第２のネットワークに属する第２の通信装置へのアクセス要求を受付け、受付けたアクセス要求に基づいて、上記第１の通信装置と上記第２の通信装置との間の通信に係るポリシー情報を生成するアクセス受付装置から通知されるポリシー情報を、上記ポリシー記憶手段に登録するポリシー情報登録手段として機能させることを特徴とする。

本発明によれば、ネットワーク間の通信制御処理を効率的に行うことができる。

実施形態に係るネットワークシステムの全体構成を示すブロック図である。 実施形態に係るファイアウォール装置の機能的構成について示した説明図である。 実施形態に係るポータルＷｅｂ装置の機能的構成について示した説明図である。 実施形態に係るポリシー表の内容例について示した説明図である。 実施形態に係るリダイレクト表の内容例について示した説明図である。 実施形態に係るファイアウォールシステムの動作例について示したシーケンス図（１）である。 実施形態に係るファイアウォールシステムの動作例について示したシーケンス図（２）である。

（Ａ）主たる実施形態
以下、本発明による通信制御システム、並びに、アクセス受付装置及びプログラム、並びに、通信制御装置及びプログラムの一実施形態を、図面を参照しながら詳述する。なお、この実施形態のアクセス受付装置及び通信制御装置は、ポータルＷｅｂ装置及びファイアウォール装置である。

（Ａ−１）実施形態の構成
図１は、この実施形態のネットワークシステム１の全体構成を示すブロック図である。

ネットワークシステム１には、内部網Ｎ１と外部網Ｎ２が配置されている。そして、内部網Ｎ１と外部網Ｎ２との間は、通信制御システム１０で隔てられており、内部網Ｎ１と外部網Ｎ２との間の通信は、通信制御システム１０を介して行われるものとする。

また、ネットワークシステム内には、管理端末４０、３台のサーバ５０−１〜５０−３、及び３台の端末６０−１〜６０−３が配置されているものとする。なお、それぞれのネットワークに配置される端末やサーバ等の通信装置の数や種類は限定されないものである。

内部網Ｎ１には、管理端末４０、サーバ５０−１、サーバ５０−２、及び端末６０−３が配置されているものとする。また、外部網Ｎ２には、端末６０−１、端末６０−２、及びサーバ５０−３が配置されているものとする。

この実施形態では、例として、内部網Ｎ１及び外部網Ｎ２では、ＩＰｖ６が採用されているものとする。また、サーバ５０−１、サーバ５０−２、端末６０−３には、それぞれ、内部網Ｎ１のアドレス空間に属する、ＩＰｖ６のアドレスＶ６ａ、Ｖ６ｂ、Ｖ６ｃが付与されているものとする。さらに、端末６０−１、端末６０−２、サーバ５０−３には、それぞれ外部網Ｎ２のアドレス空間に属するＩＰｖ６のアドレスＶ６ｐ、Ｖ６ｑ、Ｖ６ｒが付与されているものとする。

また、通信制御システム１０は、ポータルＷｅｂ装置２０及びファイアウォール装置３０を有しており、ポータルＷｅｂ装置２０とファイアウォール装置３０は連携して動作している。

ポータルＷｅｂ装置２０は、通信制御システム１０において、端末６０からサーバ５０へのアクセス要求を受付ける処理等を行う。そして、ポータルＷｅｂ装置２０は、端末６０に対する認証処理や、ファイアウォール装置３０経由でサーバ５０にアクセスするためのリダイレクト先を端末６０に通知する処理や、端末６０からのアクセス要求に係る静的ポリシーを作成してファイアウォール装置３０に通知する等の処理を行う。

ファイアウォール装置３０は、内部網Ｎ１と外部網Ｎ２との間の通信を制御するものであり、ここでは、後述するポリシー表３０７ａの内容にしたがって受信したパケットを処理（導通、廃棄等）する。また、ファイアウォール装置３０は、ポータルＷｅｂ装置２０から通知される静的ポリシーを、ポリシー表３０７ａに設定し、ポリシー表３０７ａの内容に従ってポータルＷｅｂ装置２０へのアクセス要求に係る通信を導通させる処理等を行うものとする。

サーバ５０と端末６０との間の通信に用いるプロトコルは限定されないものであるが、以下では、サーバ５０と端末６０との間ではＨＴＴＰ（Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）により通信が行われるものとして説明する。また、ネットワークシステム１では、外部網Ｎ２に配置された端末６０は、内部網Ｎ１に配置されているサーバ５０へアクセスする際には、ポータルＷｅｂ装置２０へＨＴＴＰを用いてアクセス要求を行う。そして、外部網Ｎ２に配置された端末６０は、ポータルＷｅｂ装置２０から、リダイレクト先のＵＲＬが通知されると、そのＵＲＬを用いて、ファイアウォール装置３０経由で、内部網Ｎ１に配置されているサーバ５０にアクセスするものとする。

図１において、Ｉｎ側は、ファイアウォール装置３０の内部網Ｎ１側のアクセスを示し、Ｏｕｔ側は、外部網Ｎ２側のアクセスを示している。

また、ポータルＷｅｂ装置２０は、外部網Ｎ２に接続しており、外部網Ｎ２に属するＩＰｖ６アドレスであるＶ６ｘが付与されているものとする。なお、図１に示すＩＰｖ６アドレスは、全てグローバルアドレスであるものとする。

図２は、ファイアウォール装置３０内部の機能的構成について示した説明図である。

ファイアウォール装置３０は、管理部３０１、１ｓｔパケット処理部３０２、ポリシー接続監視部３０３、Ｉｎ側送受信部３０４、Ｉｎ側Ｌ２フレーム処理部３０５、Ｉｎ側ＩＰｖ６処理部３０６、ポリシー検索部３０７、Ｏｕｔ側ＩＰｖ６処理部３０８、Ｏｕｔ側Ｌ２フレーム処理部３０９、及びＯｕｔ側送受信部３１０を有している。

ファイアウォール装置３０は、ＣＰＵ、ＲＯＭ、ＲＡＭ、ＥＥＰＲＯＭ、ハードディスクなどのプログラムの実行構成、及び、他の通信装置と通信をするためのインタフェースを有する情報処理装置（１台に限定されず、複数台を分散処理し得るようにしたものであっても良い。）に、実施形態の通信制御プログラム等をインストールすることにより構築しても良く、その場合でも機能的には上述の図２のように示すことができる。

管理部３０１は、ファイアウォール装置３０内の各部への制御や、ポータルＷｅｂ装置２０との連携（ポリシー設定等）等を行う。なお、管理部３０１において、ポータルＷｅｂ装置２０との連携は、管理系送受信部３０１ａを用いて行うものとする。

Ｉｎ側送受信部３０４は、内部網Ｎ１と接続するためのインタフェースである。また、Ｏｕｔ側送受信部３１０は、外部網Ｎ２と接続するためのインタフェースである。

Ｉｎ側Ｌ２フレーム処理部３０５、Ｏｕｔ側Ｌ２フレーム処理部３０９は、ファイアウォール装置３０が送受信するフレーム（イーサネット（登録商標）フレーム）の処理を行うものである。Ｉｎ側Ｌ２フレーム処理部３０５は、Ｉｎ側送受信部３０４が送受信するフレームの処理を行い、Ｏｕｔ側Ｌ２フレーム処理部３０９は、Ｏｕｔ側送受信部３１０が送受信するフレームの処理を行う。

Ｉｎ側ＩＰｖ６処理部３０６、Ｏｕｔ側ＩＰｖ６処理部３０８は、ファイアウォール装置３０が送受信するフレームについて、ＩＰｖ６に係る処理を行うものである。Ｉｎ側ＩＰｖ６処理部３０６、Ｏｕｔ側ＩＰｖ６処理部３０８は、例えば、ファイアウォール装置３０が受信するフレームについてＩＰｖ６のヘッダチェック等を行う。Ｉｎ側ＩＰｖ６処理部３０６は、Ｉｎ側送受信部３０４が送受信するフレームの処理を行い、Ｏｕｔ側ＩＰｖ６処理部３０８は、Ｏｕｔ側送受信部３１０が送受信するフレームの処理を行う。

なお、Ｉｎ側送受信部３０４、Ｏｕｔ側送受信部３１０、Ｉｎ側Ｌ２フレーム処理部３０５、Ｏｕｔ側Ｌ２フレーム処理部３０９、Ｉｎ側ＩＰｖ６処理部３０６、及びＯｕｔ側ＩＰｖ６処理部３０８は、既存のファイアウォール装置と同様のものを適用することができる。

ポリシー検索部３０７は、Ｏｕｔ側ＩＰｖ６処理部３０８又はＩｎ側ＩＰｖ６処理部３０６から与えられたパケットについて、後述するポリシー表３０７ａの内容に従った処理を行う。

１ｓｔパケット処理部３０２は、内部網Ｎ１を起点として外部網Ｎ２ヘアクセスするそれぞれのセッションにおいて、内部網Ｎ１側から送信された最初のパケットに対して、所定の項目の識別子を抽出し、ポリシー表３０７ａに動的ポリシーを設定するものである。

１ｓｔパケット処理部３０２は、例えば、ポリシー表３０７ａに示す５タプル（ＤＡ、ＳＡ、ＰＩＤ、Ｄｐ、Ｓｐ）の識別子を抽出して、ポリシー表３０７ａに設定する動的ポリシーを生成する。なお、「ＤＡ」は宛先アドレス（Ｄｅｓｔｉｎａｔｉｏｎ Ａｄｒｅｓｓ）、「ＳＡ」は送信元アドレス（Ｓｏｕｒｃｅ Ａｄｒｅｓｓ）、ＰＩＤはプロトコル識別子（Ｐｒｏｔｏｃｏｌ ＩＤｅｎｔｉｆｉｅｒ）、「Ｄｐ」は宛先ポート「Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔ」、Ｓｐは送信元ポート「Ｓｏｕｒｃｅ Ｐｏｒｔ」をそれぞれ示している。

ポリシー接続監視部３０３は、ポリシー表３０７ａの統計情報から各ポリシーに適合するパケットの導通状態を監視し、通信が終了したセッションに係るポリシーを、ポリシー表３０７ａから削除する。

図３は、ポータルＷｅｂ装置２０内部の機能的構成について示した説明図である。

ポータルＷｅｂ装置２０は、管理部２０１、送受信部２０２、Ｌ２フレーム処理部２０３、ＩＰｖ６処理部２０４、Ｗｅｂサーバ機能部２０５、リダイレクト／端末認証処理部２０６、リダイレクト表２０６ａ、及びポリシー作成／設定処理部２０７を有している。

ポータルＷｅｂ装置２０は、上述のファイアウォール装置３０と同様の情報処理装置に、実施形態のアクセス受付プログラム等をインストールすることにより構築しても良く、その場合でも機能的には上述の図３のように示すことができる。

管理部２０１は、ポータルＷｅｂ装置２０内の各部への制御（データ設定等）や、ファイアウォール装置３０及び管理端末４０との連携（ポリシー設定等）を行う。

ファイアウォール装置３０及び管理端末４０との連携との連携は、管理系送受信部２０１ａにより行われる。

送受信部２０２は、外部網Ｎ２と接続するためのインタフェースである。送受信部２０２には、上述のＶ６ｘのＩＰアドレスが付与されている。

Ｌ２フレーム処理部２０３は、ポータルＷｅｂ装置２０が送受信するフレーム（イーサネットフレーム）の処理を行うものである。

ＩＰｖ６処理部２０４は、ポータルＷｅｂ装置２０が送受信するフレームについて、ＩＰｖ６に係る処理を行うものである。

送受信部２０２、Ｌ２フレーム処理部２０３及びＩＰｖ６処理部２０４は、例えば、既存のＷｅｂサーバ（ＨＴＴＰサーバ）等の装置と同様のものを適用することができる。

Ｗｅｂサーバ機能部２０５は、ＨＴＴＰプロトコルの処理等を行う。Ｗｅｂサーバ機能部２０５は、例えば、端末６０から受信したＨＴＴＰのパケット（信号）を解析したり、端末６０へ応答するＨＴＴＰのパケット（信号）の生成等を行う。また、Ｗｅｂサーバ機能部２０５は、端末６０から、アクセス要求があった場合に、リダイレクト先の検索処理や認証処理等をリダイレクト／端末認証処理部２０６に依頼する。

リダイレクト／端末認証処理部２０６は、管理端末４０によりあらかじめ登録されているリダイレクト表２０６ａを用いて、ポータルＷｅｂ装置２０にアクセス要求してきた端末６０の認証を行い、さらにリダイレクト先のＵＲＬを検索し、Ｗｅｂサーバ機能部２０５を介して端末６０に返答する。リダイレクト表２０６ａの詳細については、後述する。

ポリシー作成／設定処理部２０７は、リダイレクト／端末認証処理部２０６で認証が成功した端末６０から送信されたアクセス要求に係るパケットから、上述の５タプル（ＤＡ、ＳＡ、ＰＩＤ、Ｄｐ、Ｓｐ）の識別子を抽出して、ポリシー表３０７ａに設定する静的ポリシーを生成する。そして、ポリシー作成／設定処理部２０７が作成した静的ポリシーは、管理部２０１（管理系送受信部２０１ａ）を通じて、ファイアウォール装置３０に与えられ設定される。

管理端末４０は、ユーザの操作に応じて、ポータルＷｅｂ装置２０におけるリダイレクト表２０６ａの内容を編集する装置である。管理端末４０で、ユーザに操作させるインタフェースの形式は限定されないものであるが、例えば、ＧＵＩ（メニュー操作等）の形式を用いるようにしても良いし、コマンドラインの形式を用いるようにしても良い。また、管理端末４０の機能を、ポータルＷｅｂ装置２０側に持たせるようにしてもよい。なお、図３において、図示は省略しているが、ポータルＷｅｂ装置２０は、内部網Ｎ１に接続するインタフェースを別途備えて、管理端末４０と接続しているものとする。

図４は、ポリシー表３０７ａの内容例について示した説明図である。

ポリシー表３０７ａには、それぞれのデータ（行）について「Ｎｏ」、「Ｉｎ／Ｏｕｔ」、「ＤＡ」、「ＳＡ」、「ＰＩＤ」、「Ｄｐ」、「Ｓｐ」、「アクション」、及び「統計情報」の項目の情報が格納されている。

「Ｎｏ」の項目は、ポリシー表３０７ａにおける当該データの識別番号を示している。

「Ｉｎ／Ｏｕｔ」の項目は、当該データが対象とするパケットの方向を示している。「Ｉｎ／Ｏｕｔ」の項目が「Ｉｎ」の場合には、当該データがＩｎ側からのパケット（内部網Ｎ１から外部網Ｎ２への方向のパケット）を対象としていることを示している。また、「Ｉｎ／Ｏｕｔ」の項目が「Ｏｕｔ」の場合には、Ｏｕｔ側からのパケット（外部網Ｎ２から内部網Ｎ１への方向のパケット）を対象としていることを示している。

「ＤＡ」、「ＳＡ」、「ＰＩＤ」、「Ｄｐ」、及び「Ｓｐ」の項目は、当該データが対象とするパケットの識別子を示している。なお、それぞれの識別子の記述において、「＊」は、文字数不定のワイルドカードを示す記号であるものとする。

「アクション」は、当該データが対象とするパケット（すなわち、当該データのパケット識別子に一致するパケット）に対する、ファイアウォール装置３０の処理内容を示している。例えば、図４では、「アクション」の項目が「導通許可」である場合には、当該データが対象とするパケットを導通（通過）させることを示し、「アクション」の項目が「導通不可」である場合には、当該ポリシーが対象とするパケットを導通（通過）させない（廃棄等を行う）ことを示す。

「統計情報」の項目は、当該データが対象とするパケットが導通した数を示すカウンタである。

例として、図４では、ポリシーＰ１に対応するデータとして、Ｎｏが１、２の組のデータが登録されている。また、ポリシーＰ２に対応するデータとしてＮｏが、３、４の組のデータが登録されている。さらに、ポリシーＰ３に対応するデータとしてＮｏが、５、６の組のデータが登録されている。さらにまた、ポリシーＰｎ−１に対応するデータとしてＮｏがｎ−１のデータが登録されている。また、ポリシーＰｎに対応するデータとしてＮｏがｎのデータが登録されている。

なお、ポリシーＰ１、Ｐ２は、ポータルＷｅｂ装置２０により設定された静的ポリシーであり、ポリシーＰ３は、１ｓｔパケット処理部３０２により設定された動的ポリシーであるものとする。また、ポリシーＰｎ−１、Ｐｎは、予め設定されているポリシーであるものとする。

ポリシー検索部３０７では、検索対照のパケットの処理について、適用するデータ（行）をポリシー表３０７ａから検索する際に、Ｎｏが１のデータ（行）から順番に検索を行い、適合するデータ（行）が検出された場合には、検索を終了して、検出したデータ（行）の処理（アクションの項目に記述された処理）の適用を決定する。

ポリシーＰｎ−１（Ｎｏがｎ−１のデータ）は、内部網Ｎ１から外部網Ｎ２へのパケットで、Ｎｏが１からｎ−２までのいずれのポリシーにも適合しなかったパケットに適用するポリシーである。ポリシーＰｎ−１（Ｎｏがｎ−１のデータ）では、該当するパケットに対するアクションとして、１ｓｔパケット処理部３０２へ送信する処理を行う「１ｓｔパケット処理」が記述されている。

ポリシーＰｎ（Ｎｏがｎのデータ）は、外部網Ｎ２から内部網Ｎ１へのパケットで、Ｎｏが１からｎ−１までのいずれのポリシーにも適合しなかったパケットに適用するポリシーである。ポリシーＰｎ（Ｎｏがｎのデータ）では、該当するパケットに対するアクションとして、「導通不可」が記述されおり、廃棄されることになる。

図５は、リダイレクト表２０６ａの内容例について示した説明図である。

リダイレクト表２０６ａの内容は、管理端末４０からの制御に応じて、ポータルＷｅｂ装置２０のリダイレクト／端末認証処理部２０６により編集されるものであり、該当するサーバアドレスを直書きしたＵＲＬがリダイレクト先となり、リダイレクトＵＲＬとして登録されている。

リダイレクト表２０６ａには、それぞれのデータ（行）について「Ｎｏ」、「ＩＤ」、「パスワード」、「リダイレクトＵＲＬ」の項目の情報が格納されている。

「Ｎｏ」の項目は、リダイレクト表２０６ａにおける当該データの識別番号を示している。

「ポータルＵＲＬ」の項目は、当該データのポータルＵＲＬ（端末からアクセスを受ける際のＵＲＬ）を示している。

「リダイレクトＵＲＬ」の項目は、当該データのポータルＵＲＬに対応するリダイレクト先のＵＲＬを示している。

「ＩＤ」、「パスワード」の項目は、端末から、当該データに係るＵＲＬへのアクセスを受け付ける際のＩＤ及びパスワードを示している。ここでは、説明を簡易にするため、ポータルＷｅｂ装置２０における端末６０への認証は、単にＩＤとパスワードを用いた認証であるものとするが、認証方法は限定されず、例えば、電子署名による証明書を用いた認証処理を用いるようにしても良い。

（Ａ−２）実施形態の動作
次に、以上のような構成を有するこの実施形態の通信制御システム１０の動作を説明する。

図６、図７は、通信制御システム１０の動作の例について示したシーケンス図である。

[リダイレクト表の登録]
まず、ここでは、ユーザにより管理端末４０が操作され、ポータルＷｅｂ装置２０のリダイレクト表２０６ａへ、サーバ５０−１、５０−２のデータが登録されたものとする（Ｓ１０１〜Ｓ１０３）。

ここでは、リダイレクト表２０６ａにおいて、サーバ５０−１のポータルＵＲＬは「http://www.sample.com/a/」、リダイレクトＵＲＬは「http://[Ｖ６ａ]/」（上述の通り、[Ｖ６ａ]は、サーバ５０−１のＩＰアドレスを示すものである）、ＩＤは「ｐ１２３」、「パスワードは「ｘｘｘｘ」であるものとする。また、リダイレクト表２０６ａにおいて、サーバ５０−２のポータルＵＲＬは「http://www.sample.com/b/」、リダイレクトＵＲＬは「http://[Ｖ６ｂ]/」（上述の通り、[Ｖ６ｂ]は、サーバ５０−２のＩＰアドレスを示すものである）、ＩＤは「ｑ４５６」、パスワードは「ｙｙｙｙ」であるものとする。

そして、ステップＳ１０３の処理後のリダイレクト表２０６ａの内容は、図５に示す内容であるものとする。図５では、Ｎｏが１のデータがサーバ５０−１のデータであり、Ｎｏが２のデータがサーバ５０−２のデータとなっている。

[端末６０−１とサーバ５０−１との間の通信]
そして、その後、端末６０−１から、ポータルＷｅｂ装置２０へ、ＨＴＴＰを用いて、サーバ５０−１のポータルＵＲＬ（http://www.sample.com/a/）に対するアクセス要求が送信されたものとする（Ｓ１０４）。なお、ステップＳ１０４では、端末６０−１から、ポータルＵＲＬに対するアクセス要求と、当該ポータルＵＲＬにアクセスするための認証情報（ＩＤ及びパスワード）も送信されたものとするが、別途ポータルＷｅｂ装置２０から端末へ認証情報の要求（例えば、ログイン画面の送信等）に応じて、端末側から送信するようにしても良く、端末から認証情報を送信するタイミングは限定されないものである。

そして、ポータルＷｅｂ装置２０は、リダイレクト表２０６ａから、ポータルＵＲＬ（http://www.sample.com/a/）に対応するＩＤ及びパスワード（ｐ１２３及びｘｘｘｘ）を取得して、端末６０−１から取得した認証情報と照合し、認証を行う（Ｓ１０５）。

ステップＳ１０５では、端末６０−１から取得した認証情報（ＩＤ及びパスワード）と、リダイレクト表２０６ａに登録された内容は一致し、端末６０−１に対する認証は成功したものとして以降の説明を行う。なお、ステップＳ１０５で、端末６０−１に対する認証が失敗した場合には、端末６０−１からのアクセス要求を受付けない（例えば、アクセス拒否を示すパケットを返答したり、アクセス要求を無視する）。

そして、ポータルＷｅｂ装置２０は、リダイレクト表２０６ａを検索して、ポータルＵＲＬ（http://www.sample.com/a/）に対応する、リダイレクトＵＲＬ（http://[Ｖ６ａ]/）を取得する（Ｓ１０６）。

また、ポータルＷｅｂ装置２０は、ファイアウォール装置３０のポリシー表３０７ａに設定するためのポリシーとして、端末６０−１とサーバ５０−１との間のＨＴＴＰ通信を許可する静的ポリシー（上述の図４におけるポリシーＰ１に相当）を作成し（Ｓ１０７）、ファイアウォール装置３０に送信する。そして、ファイアウォール装置３０では、ポータルＷｅｂ装置２０から受信したポリシーを、ポリシー表３０７ａに設定する（Ｓ１０８）。

さらに、ポータルＷｅｂ装置２０は、端末６０−１へ、ポータルＵＲＬへのアクセス要求に対する応答として、上述のステップＳ１０６で取得した端末６０−１へ、リダイレクトＵＲＬ（http://[Ｖ６ａ]/）を応答する（Ｓ１０９）。

ポータルＷｅｂ装置２０からリダイレクトＵＲＬ（http://[Ｖ６ａ]/）の応答を受けると、端末６０−１は、そのリダイレクトＵＲＬ（「http://[Ｖ６ａ]/」）へＨＴＴＰを用いてアクセス要求を送信し（Ｓ１１０）、そのアクセス要求に対する返答が、サーバ５０−１から端末６０−１に送信される（Ｓ１１１）。そして、その後、端末６０−１とサーバ５０−１との間のＨＴＴＰ通信が開始する。

なお、端末６０−１から、サーバ５０−１への通信経路は、ファイアウォール装置３０を経由するように、外部網Ｎ２のルータ、及び又は、端末６０−１に設定されているものとする。また、上述のステップＳ１１０、Ｓ１１１の時点では、ポリシー表３０７ａには、上述のポリシーＰ１が既に設定されているため、端末６０−１とサーバ５０−１との間のＨＴＴＰ通信のパケットは、ファイアウォール装置３０を通過することができる。

そして、その後、サーバ５０−１と端末６０−１との間の通信が終了すると、ポリシー接続監視部３０３により、ポリシー表３０７ａ上のポリシーＰ１も削除されることになる（Ｓ１１２）。

ポリシー接続監視部３０３が、ポリシーＰ１に係る通信（サーバ５０−１と端末６０−１との間の通信）が終了したことを検知する手段は限定されないものであるが、例えば、ポリシー表３０７ａにおいて、ポリシーＰ１のデータで、統計情報の項目のカウンタを監視し、所定時間カウンタ値が増加しない場合に、通信が終了したと検知するようにしても良い。また、サーバ５０−１又は端末６０−１から、ファイアウォール装置３０が、ポリシーＰ１に係るセッションについてセッション終了を示す制御情報を含むパケットを受信した場合に、ポリシーＰ１に係る通信が終了したと検知するようにしても良い。

[端末６０−２とサーバ５０−２との間の通信]
そして、その後、端末６０−２から、ポータルＷｅｂ装置２０へ、ＨＴＴＰを用いて、サーバ５０−２のポータルＵＲＬ（http://www.sample.com/b/）に対するアクセス要求と認証情報（ＩＤ及びパスワード）とが送信されたものとする（Ｓ１１３）。

そして、ポータルＷｅｂ装置２０では、リダイレクト表２０６ａから、ポータルＵＲＬ（http://www.sample.com/b/）に対応するＩＤ及びパスワード（「ｑ４５６」及び「ｙｙｙｙ」）が取得され、端末６０−２から取得した認証情報と照合され、認証が成功したものとする（Ｓ１１４）。

そして、ポータルＷｅｂ装置２０は、リダイレクト表２０６ａを検索して、ポータルＵＲＬ（http://www.sample.com/b/）に対応する、リダイレクトＵＲＬ（http://[Ｖ６ｂ]/）を取得する（Ｓ１１５）。

また、ポータルＷｅｂ装置２０は、ファイアウォール装置３０のポリシー表３０７ａに設定するためのポリシーとして、端末６０−２とサーバ５０−２との間のＨＴＴＰ通信を許可する静的ポリシー（上述の図４におけるポリシーＰ２に相当）を作成し（Ｓ１１６）、ファイアウォール装置３０に送信する。そして、ファイアウォール装置３０では、ポータルＷｅｂ装置２０から受信したポリシーを、ポリシー表３０７ａに設定する（Ｓ１１７）。

さらに、ポータルＷｅｂ装置２０は、端末６０−２へ、ポータルＵＲＬへのアクセス要求に対する応答として、上述のステップＳ１１５で取得した端末６０−２へ、リダイレクトＵＲＬ（http://[Ｖ６ｂ]/）を応答する（Ｓ１１８）。

ポータルＷｅｂ装置２０からリダイレクトＵＲＬ（http://[Ｖ６ｂ]/、サーバ５０−２）の応答を受けると、端末６０−２は、そのリダイレクトＵＲＬ（「http://[Ｖ６ｂ]/」、サーバ５０−２）へＨＴＴＰを用いてアクセス要求を送信し（Ｓ１１９）、そのアクセス要求に対する返答が、サーバ５０−２から端末６０−２に送信されたものとする（Ｓ１２０）。

そして、その後、サーバ５０−２と端末６０−２との間のセッションが終了すると、ポリシー表３０７ａ上のポリシーＰ２も削除されることになる（Ｓ１２１）。

[端末６０−３とサーバ５０−３との間の通信]
そして、その後、内部網Ｎ１に配置された端末６０−３から、外部網Ｎ２に配置されたサーバ５０−３へ、ＨＴＴＰを用いたアクセス要求が送信されたものとする（Ｓ１２２）。

端末６０−３から、サーバ５０−３への通信経路は、ファイアウォール装置３０を経由するように、内部網Ｎ１内のルータ、及び又は、端末６０−１に設定されているものとする。

ステップＳ１２２の時点では、端末６０−３とサーバ５０−３との間のＨＴＴＰ通信を導通させるポリシーは、ポリシー表３０７ａには記載されていないものとすると、ファイアウォール装置３０のポリシー検索部３０７では、端末６０−３から送信されたアクセス要求のパケットに対して、上述の図４に示すポリシーＰｎ−１が適用され（Ｎｏが１からｎ−２までのいずれのポリシーにも適合しないためポリシーＰｎ−１が適用される）、当該パケットは１ｓｔパケット処理部３０２に送られる。そして、当該パケットは、ファイアウォール装置３０から宛先であるサーバ５０−３へ向けて送出される。

そして、１ｓｔパケット処理部３０２は、与えられたパケットのヘッダを参照し、端末６０−３とサーバ５０−３との間のＨＴＴＰ通信を導通させる動的ポリシー（上述の図４に示すポリシーＰ３）を作成して、ポリシー表３０７ａに設定する（Ｓ１２３）。

そして、端末６０−３からのアクセス要求を受信したサーバ５０−３は、端末６０−３へ、そのアクセス要求に対する応答のパケットを送信し（Ｓ１２４）、サーバ５０−３と端末６０−３とのＨＴＴＰ通信が開始したものとする。

ステップＳ１２４の時点では、上述のステップＳ１２３により、ポリシー表３０７ａにポリシーＰ３が設定されているため、サーバ５０−３から端末６０−３へのパケットは、ファイアウォール装置３０を導通することができる。

そして、その後、サーバ５０−３と端末６０−３との間のセッションが終了すると、ポリシー表３０７ａ上のポリシーＰ３も削除されることになる（Ｓ１２５）。

（Ａ−３）実施形態の効果
この実施形態によれば、以下のような効果を奏することができる。

通信制御システム１０では、外部網Ｎ２から内部網Ｎ１へのアクセスにおいて、端末認証及び静的ポリシー作成を行うポータルＷｅｂ装置２０と、端末６０とサーバ５０間の転送処理を行うファイアウォール装置３０が分離することで、ファイアウォール装置３０転送処理において十分な性能を確保できる。

また、通信制御システム１０では、内部網Ｎ１が大規模化した場合（例えば、配置される端末等の通信装置が増加した場合）には、転送処理を担保するファイアウォール装置３０を増強することで拡張性を確保できる。

さらに、通信制御システム１０では、外部網Ｎ２からのアクセスにおいて、端末６０の認証方式を変更するなど、メンテナンスを行う場合にポータルＷｅｂ装置２０のみを対象にできることで、転送処理を行うファイアウォール装置３０への影響を回避できる。

さらにまた、通信制御システム１０では、外部網Ｎ２の認証されない端末６０に対して、公開するＩＰｖ６アドレスをポータルＷｅｂ装置２０のみとすることがでる。これにより、ファイアウォール装置３０を直接的に脅威の対象となりにくくさせることができる。また、ＤｏＳ攻撃（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ ａｔｔａｃｋ）等が発生した場合、内部網Ｎ１から外部網Ｎ２へのアクセスヘの影響を回避できる。

（Ｂ）他の実施形態
本発明は、上記の実施形態に限定されるものではなく、以下に例示するような変形実施形態も挙げることができる。

（Ｂ−１）上記の実施形態では、通信制御システム１０には、内部網Ｎ１と外部網Ｎ２の２つのネットワークのみが接続されているが、３つ以上のネットワークを接続するようにしても良い。例えば、通信制御システム１０に、一つの内部網と、複数の外部網を接続するようにしても良い。

（Ｂ−２）上記の実施形態において、ポータルＷｅｂ装置２０から端末６０へリダイレクト先のＵＲＬを通知し、端末６０では通知されたＵＲＬを用いてサーバ５０へアクセスをしている。しかし、端末６０側で予めリダイレクト先のＵＲＬが把握されている場合には、ポータルＷｅｂ装置２０から端末６０へリダイレクト先のＵＲＬを通知する必要はない。

（Ｂ−３）上記の実施形態では、端末６０とサーバ５０との間では、ＨＴＴＰを用いた通信を行うものとして説明したが、適用するプロトコルは限定されないものであり、例えば、ＦＴＰ（Ｆｉｌｅ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）や、ＨＴＴＰＳ（ＨＴＴＰ Ｏｖｅｒ Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）等であっても良い。

（Ｂ−４）上記の実施形態では、通信制御システム１０はＩＰｖ６に対応するものとして説明したが、対応するプロトコルの種類は限定されないものであり、例えば、ＩＰｖ４等であっても良い。

（Ｂ−５）上記の実施形態では、本発明の通信制御装置をファイアウォール装置に適用した例について説明したが、その他の通信制御を行うネットワーク装置に適用するようにしても良い。例えば、図４に示すようなポリシー表に基づいて、通信制御処理（パケットフィルタリング等）を行うネットワーク装置（例えば、ルータ等）に本発明の通信制御装置を適用するようにしても良い。

１…ネットワークシステム、１０…通信制御システム、２０…ポータルＷｅｂ装置、３０…ファイアウォール装置、３０１…管理部、３０１ａ…管理系送受信部、３０２…１ｓｔパケット処理部、３０３…ポリシー接続監視部、３０４…Ｉｎ側送受信部、３０５…Ｉｎ側Ｌ２フレーム処理部、３０６…Ｉｎ側ＩＰｖ６処理部、３０７…ポリシー検索部、３０７ａ…ポリシー表、３０８…Ｏｕｔ側ＩＰｖ６処理部、３０９…Ｏｕｔ側Ｌ２フレーム処理部、３１０…Ｏｕｔ側送受信部、２０…ポータルＷｅｂ装置、２０１…管理部、２０１ａ…管理系送受信部、２０２…送受信部、２０３…Ｌ２フレーム処理部、２０４…ＩＰｖ６処理部、２０５…Ｗｅｂサーバ機能部、２０６…リダイレクト／端末認証処理部、２０６ａ…リダイレクト表、２０７…ポリシー作成／設定処理部、４０…管理端末、５０、サーバ５０−１〜５０−３…サーバ、６０、６０−１〜６０−３…端末、Ｎ１…内部網、Ｎ２…外部網。

Claims (8)

1. 複数のネットワーク間の通信を制御する通信制御システムにおいて、
   通信制御装置と、アクセス受付装置とを備え、
   上記通信制御装置は、
   当該通信制御装置が、上記ネットワーク間の通信に対して行う通信制御の内容を記述したポリシー情報を１又は複数記憶するポリシー記憶手段と、
   上記アクセス受付装置から通知されるポリシー情報を、上記ポリシー記憶手段に登録するポリシー情報登録手段とを有し、
   上記アクセス受付装置は、
   第１のネットワークに属する第１の通信装置から、第２のネットワークに属する第２の通信装置へのアクセス要求を受付ける受付手段と、
   上記第１の通信装置と、上記第２の通信装置との間の通信に係るポリシー情報を作成して、上記通信制御装置に通知するポリシー情報通知手段とを有する
   ことを特徴とする通信制御システム。
2. 上記アクセス受付装置は、上記第１の通信装置から認証情報が与えられると、その認証情報に基づいて認証処理を行う認証処理手段をさらに備え、
   上記受付手段は、上記認証処理手段による認証処理が成功した場合にのみ、上記第１の通信装置からのアクセス要求を受付ける
   ことを特徴とする請求項１に記載の通信制御システム。
3. 上記アクセス受付装置は、
   当該アクセス受付装置がアクセス要求を受付けるアクセス先のアクセス先識別情報ごとに、対応するリダイレクト先のリダイレクト先識別情報を記憶するリダイレクト先記憶手段と、
   上記リダイレクト先記憶手段が記憶している内容を検索して、上記第１の通信装置から受付けたアクセス要求に含まれるアクセス先識別情報に対応するリダイレクト先識別情報を取得し、上記第１の通信装置へ通知するリダイレクト先通知手段と
   を有することを特徴とする請求項１又は２に記載の通信制御システム。
4. 上記アクセス受付装置は、
   当該アクセス受付装置がアクセス要求を受付けるアクセス先のアクセス先識別情報ごとに、対応する認証情報を記憶する認証情報記憶手段をさらに備え、
   上記認証処理手段は、上記認証情報記憶手段が記憶している内容を検索して、上記第１の通信装置から受付けたアクセス要求に含まれるアクセス先識別情報に対応する認証情報を取得し、取得した認証情報と、上記第１の通信装置から与えられた認証情報とを照合することにより、上記認証処理を行う
   ことを特徴とする請求項２に記載の通信制御システム。
5. 複数のネットワーク間の通信を制御する通信制御システムを構成するアクセス受付装置であって、
   第１のネットワークに属する第１の通信装置から、第２のネットワークに属する第２の通信装置へのアクセス要求を受付ける受付手段と、
   上記第１の通信装置と、上記第２の通信装置との間の通信に係るポリシー情報を作成し、上記通信制御システムで上記ネットワークの間の通信を制御する通信制御装置に、作成したポリシー情報を通知するポリシー情報通知手段と
   を有することを特徴とするアクセス受付装置。
6. 複数のネットワーク間の通信を制御する通信制御システムを構成するアクセス受付装置に搭載されたコンピュータを、
   第１のネットワークに属する第１の通信装置から、第２のネットワークに属する第２の通信装置へのアクセス要求を受付ける受付手段と、
   上記第１の通信装置と、上記第２の通信装置との間の通信に係るポリシー情報を作成し、上記通信制御システムで上記ネットワークの間の通信を制御する通信制御装置に、作成したポリシー情報を通知するポリシー情報通知手段と
   して機能させることを特徴とするアクセス受付プログラム。
7. 複数のネットワーク間の通信を制御する通信制御システムを構成する通信制御装置において、
   当該通信制御装置が、上記ネットワーク間の通信に対して行う通信制御の内容を記述したポリシー情報を１又は複数記憶するポリシー記憶手段と、
   上記通信制御システムで、第１のネットワークに属する第１の通信装置から、第２のネットワークに属する第２の通信装置へのアクセス要求を受付け、受付けたアクセス要求に基づいて、上記第１の通信装置と上記第２の通信装置との間の通信に係るポリシー情報を生成するアクセス受付装置から通知されるポリシー情報を、上記ポリシー記憶手段に登録するポリシー情報登録手段と
   を有することを特徴とする通信制御装置。
8. 複数のネットワーク間の通信を制御する通信制御システムを構成する通信制御装置に搭載されたコンピュータを、
   当該通信制御装置が、上記ネットワーク間の通信に対して行う通信制御の内容を記述したポリシー情報を１又は複数記憶するポリシー記憶手段と、
   上記通信制御システムで、第１のネットワークに属する第１の通信装置から、第２のネットワークに属する第２の通信装置へのアクセス要求を受付け、受付けたアクセス要求に基づいて、上記第１の通信装置と上記第２の通信装置との間の通信に係るポリシー情報を生成するアクセス受付装置から通知されるポリシー情報を、上記ポリシー記憶手段に登録するポリシー情報登録手段と
   して機能させることを特徴とする通信制御プログラム。

Images