JP2013034096A - アクセス制御システム、端末装置、中継装置及びアクセス制御方法 - Google Patents

Abstract

【課題】クライアント端末のセキュリティを向上させるとともに、クライアント端末の負荷を軽減することが可能なアクセス制御システムを提供する。
【解決手段】アクセス制御システムは、端末装置１０と中継装置２０を備え、端末装置１０は、当該端末装置に対するアクセスポリシーを設定するパーソナルファイアウォール設定部１１と、設定されたアクセスポリシーを含む連携パケットを送信する送信部１２とを備え、中継装置２０は、連携パケットを受信する受信部２１と、受信された連携パケットに含まれるアクセスポリシーに基づいて、端末装置１０とネットワーク３０間のアクセス制御を行うファイアウォール連携部２２と、を備えるものである。
【選択図】図１

Description

本発明は、アクセス制御システム、端末装置、中継装置及びアクセス制御方法に関し、特に、端末装置とネットワーク間のアクセス制御を行うアクセス制御システム、端末装置、中継装置及びアクセス制御方法に関する。

近年、不正なアクセスからクライアント端末（端末装置とも言う）を守るため、コンピュータ単位でアクセスを制御するパーソナルファイアウォールや、単一または全ユーザで共通的なポリシーを用いてアクセスを制御するファイアウォールが広く利用されている。

そのような中、近年の省電力化により、ノートパソコンや携帯電話端末・スマートフォン、ＰＤＡなどのモバイル端末のようなクライアント端末において、消費電力抑制に伴い大幅な性能向上が鈍化状況にある一方で、クライアント端末の絶対数増加に伴い増加が懸念される不正アクセスへのセキュリティ強化の要望はより強まっている。

例えば、クライアント端末では、ソフトウェアを用いることでパーソナルファイアウォール機能が実現されている。パーソナルファイアウォール機能では、クライアント端末とネットワーク間のアクセス制御について、クライアント端末を使用するユーザが用途に応じて自由に設定変更することができる。

図１７は、パーソナルファイアウォール機能を用いた関連するアクセス制御システムの構成及び動作を示している。この関連するアクセス制御システムでは、複数のクライアント端末９００ａ，９００ｂ（いずれかをクライアント端末９００とも言う）が、Ｌ２スイッチ９１０を介してルータ／スイッチ９２０に接続されている。さらに、ルータ／スイッチ９２０は、インターネット９３０に接続されている。

なお、各クライアント端末９００は、それぞれ別々のＶＬＡＮに属しており、クライアント端末９００ａはＶＬＡＮ＝１に属し、クライアント端末９００ｂはＶＬＡＮ＝Ｎに属している。

図１７（ａ）は、ダウンストリーム時のアクセス動作を示している。ダウンストリームとは、クライアント端末がインターネット等のネットワークからパケット等を受信する際のデータの流れのことである。ここでは、不正アクセス端末９４０からクライアント端末９００ａに対し不正アクセスが行われ、正常アクセス端末９５０からクライアント端末９００ｂに対し正常アクセスが行われている。なお、不正アクセスとは、ファイアウォールの設定により不正であると判断されるアクセスであり、正常アクセスとは、ファイアウォールの設定により正常であると判断されるアクセスである。

不正アクセス端末９４０が、不正アクセスであるパケットをインターネット９３０を介して、ルータ／スイッチ９２０へ送信する。ルータ／スイッチ９２０では、パケット処理部９２１が、受信したパケットをＬ２スイッチ９１０を介してクライアント端末９００ａへ送信する。このときルータ／スイッチ９２０は、ルーティングテーブルに基づいてパケットの転送処理を行うため、不正アクセス端末９４０から受信したパケットを、ＶＬＡＮ＝１のパケットとしてクライアント端末９００ａへ送信する。

クライアント端末９００ａは、ＶＬＡＮ＝１のパケットを受信すると、パーソナルファイアウォール処理部９０１が、受信したパケットについて、アクセスの許可／不許可を判定する。例えば、不正アクセス端末９４０から受信したパケットのヘッダ情報等が不正であればアクセス不許可と判定され、受信したパケットが破棄（廃棄）される。

また、正常アクセス端末９５０が、正常アクセスであるパケットをルータ／スイッチ９２０へ送信し、ルータ／スイッチ９２０のパケット処理部９２１が、受信したパケットをＶＬＡＮ＝Ｎのパケットとしてクライアント端末９００ｂへ送信する。

クライアント端末９００ｂは、ＶＬＡＮ＝Ｎのパケットを受信すると、パーソナルファイアウォール処理部９０１が、受信したパケットについて、アクセスの許可／不許可を判定する。例えば、正常アクセス端末９５０から受信したパケットのヘッダ情報等が正常であればアクセス許可と判定され、受信したパケットがクライアント端末９００ｂのアプリケーション等で処理される。

図１７（ｂ）は、アップストリーム時のアクセス動作を示している。アップストリームとは、クライアント端末がインターネット等のネットワークへパケット等を送信する際のデータの流れのことである。ここでは、クライアント端末９００ａからインターネット９３０に対し不正アクセスが行われ、クライアント端末９００ｂからインターネット９３０に対し正常アクセスが行われている。

クライアント端末９００ａが、アプリケーション等から不正アクセスであるパケットをインターネット９３０へ送信しようとすると、パーソナルファイアウォール処理部９０１が、このパケットについて、アクセスの許可／不許可を判定する。例えば、送信しようとするパケットのヘッダ情報等が不正であればアクセス不許可と判定され、クライアント端末９００ａからパケットが送信されずに破棄される。

また、クライアント端末９００ｂが、アプリケーション等から正常アクセスであるパケットをインターネット９３０へ送信しようとすると、パーソナルファイアウォール処理部９０１が、このパケットについて、アクセスの許可／不許可を判定する。例えば、送信しようとするパケットのヘッダ情報等が正常であればアクセス許可と判定され、クライアント端末９００ｂからパケットが送信される。送信されたパケットは、Ｌ２スイッチ９１０、ルータ／スイッチ９２０を介してインターネット９３０へ送信される。

このように、関連するアクセス制御システムでは、クライアント端末のパーソナルファイアウォール処理部において、ファイアウォールを設定し、設定に基づきパケットをフィルタリングすることで、アクセス制御を行っている。

なお、ファイアウォールに関連する文献として、例えば、特許文献１〜４が知られている。特許文献１には、ファイアウォール装置とルータが連携することにより、不正アクセスを制御する不正アクセス制御装置が記載されている。特許文献２には、パーソナルファイアウォール機能を有するＯＳや端末の状態に依存せずに動作するファイアウォール装置が記載され、ユーザ端末から遠隔制御センタを経由して、ユーザ端末ごとに設置されたファイアウォール装置の設定を行っている。特許文献３には、複数のファイアウォール処理を単一の装置で実現するファイアウォール多重装置が記載されている。特許文献４には、ネットワーク機器のパケットフィルタリングルールを、ネットワーク機器が備えるＧＵＩを用いて設定することが記載されている。

特開２００５−１９７８２３号公報 特開２００５−１８２６４０号公報 特開２００４−１８７２０８号公報 特開２００９−９４５１号公報

上記のように、図１７のような関連するアクセス制御システムでは、クライアント端末に備えられたパーソナルファイアウォール処理部において、アクセス制御を行っている。

このように、ファイアウォール機能をクライアント端末に具備し処理を行うと、全パケットを端末で受信して転送・破棄処理を行うため、多量の不正アクセス受信時や端末内のプログラムによる不許可通信の送信時には、クライアント端末の処理に大きな負荷がかかり、クライアント端末のその他の機能へ影響を与える可能性が考えられる。

特に、省電力を優先させた性能のクライアント端末では、不正アクセスに対するパーソナルファイアウォール機能にＣＰＵ性能が大きく割かれた場合に、本来の使用用途の処理に支障をきたすことが懸念される。

このため、関連するアクセス制御システムでは、クライアント端末のセキュリティを向上させるためにパーソナルファイアウォール機能を実現しようとすると、クライアント端末への負荷が増大するという問題があった。

本発明の目的は、上述した課題を解決するアクセス制御システム、端末装置、中継装置及びアクセス制御方法を提供することにある。

本発明に係るアクセス制御システムは、端末装置とネットワークとの間に接続される中継装置を備えたアクセス制御システムであって、前記端末装置は、当該端末装置に対するアクセスポリシーを設定するパーソナルファイアウォール設定部と、前記設定されたアクセスポリシーを含む連携パケットを前記中継装置へ送信する送信部と、を備え、前記中継装置は、前記端末装置から送信された連携パケットを受信する受信部と、前記受信された連携パケットに含まれるアクセスポリシーに基づいて、前記端末装置と前記ネットワーク間のアクセス制御を行うファイアウォール連携部と、を備えるものである。

本発明に係る端末装置は、中継装置を介してネットワークに接続される端末装置であって、当該端末装置に対するアクセスポリシーを設定するパーソナルファイアウォール設定部と、前記設定されたアクセスポリシーを前記中継装置のアクセス制御に適用するため、前記設定されたアクセスポリシーを含む連携パケットを前記中継装置へ送信する送信部と、を備えるものである。

本発明に係る中継装置は、端末装置とネットワークとの間に接続される中継装置であって、前記端末装置に設定されたアクセスポリシーを含む連携パケットを、前記端末装置から受信する受信部と、前記受信された連携パケットに含まれるアクセスポリシーに基づいて、前記端末装置と前記ネットワーク間のアクセス制御を行うファイアウォール連携部と、を備えるものである。

本発明に係るアクセス制御方法は、端末装置とネットワークとの間に接続される中継装置を備えたシステムのアクセス制御方法であって、前記端末装置は、当該端末装置に対するアクセスポリシーを設定し、前記設定されたアクセスポリシーを含む連携パケットを前記中継装置へ送信し、前記中継装置は、前記端末装置から送信された連携パケットを受信し、前記受信された連携パケットに含まれるアクセスポリシーに基づいて、前記端末装置と前記ネットワーク間のアクセス制御を行うものである。

本発明によれば、クライアント端末のセキュリティを向上させるとともに、クライアント端末の負荷を軽減することが可能なアクセス制御システム、端末装置、中継装置及びアクセス制御方法を提供することができる。

本発明に係るアクセス制御システムの特徴を説明するための構成図である。 本発明に係るアクセス制御システムの特徴を説明するための構成図である。 本発明の実施の形態１に係るアクセス制御システムの構成を説明するための構成図である。 本発明の実施の形態１に係るアクセス制御システムで用いるパケットフォーマットを説明するための図である。 本発明の実施の形態１に係るアクセス制御システムで用いるフィルタリングテーブルの構成を説明するための図である。 本発明の実施の形態１に係るアクセス制御システムの動作を説明するためのフローチャートである。 本発明の実施の形態１に係るアクセス制御システムの動作を説明するためのシーケンス図である。 本発明の実施の形態１に係るアクセス制御システムにおけるフィルタリングテーブルの変更動作を説明するための図である。 本発明の実施の形態１に係るアクセス制御システムにおけるフィルタリングテーブルの変更動作を説明するための図である。 本発明の実施の形態１に係るアクセス制御システムの動作を説明するためのフローチャートである。 本発明の実施の形態１に係るアクセス制御システムの動作を説明するためのシーケンス図である。 本発明の実施の形態１に係るアクセス制御システムの動作を説明するためのシーケンス図である。 本発明の実施の形態２に係るアクセス制御システムの構成を説明するための構成図である。 本発明の実施の形態３に係るアクセス制御システムの構成を説明するための構成図である。 本発明の実施の形態３に係るアクセス制御システムの動作を説明するためのフローチャートである。 本発明の実施の形態３に係るアクセス制御システムの動作を説明するためのシーケンス図である。 関連するアクセス制御システムの構成図である。

（本発明の特徴）
本発明の実施の形態の説明に先立って、本発明の特徴についてその概要を説明する。

図１は、本発明の特徴を示すアクセス制御システムの構成例である。図に示されるように、このアクセス制御システムは、端末装置１０と、端末装置１０とネットワーク３０の間に接続される中継装置２０とから構成されている。そして、端末装置１０は、端末装置１０に対するアクセスポリシーを設定するパーソナルファイアウォール設定部１１と、パーソナルファイアウォール設定部１１により設定されたアクセスポリシーを含む連携パケット１３を中継装置へ送信する送信部１２とを備え、中継装置２０は、端末装置１０から送信された連携パケット１３を受信する受信部２１と、受信された連携パケット１３に含まれるアクセスポリシーに基づいて、端末装置１０とネットワーク３０間のアクセス制御を行うファイアウォール連携部２２とを備えることを、本発明の主な特徴としている。

なお、アクセスポリシーとは、ファイアウォールのアクセス条件を設定する設定情報であって、パケットのフィルタリング条件などである。アクセスポリシーや設定情報と言う場合、複数のアクセス条件の情報を意味する場合もあるし、一つのアクセス条件の情報を意味する場合もある。このアクセスポリシーを端末装置１０と中継装置２０とで連携するために連携パケットが送受信される。連携するとは、端末装置１０と中継装置２０とが同じ情報を設定もしくは記憶することであり、情報を共有もしくは情報を同期することである。

さらに、図２を用いて、本発明の特徴を示すアクセス制御システムの動作について説明する。図２では、図１の構成に対し、Ｌ２スイッチ２００が追加され、ネットワークとしてインターネット３００が接続されている。また、図２は、図１の連携パケット１３の送受信により、端末装置１０に設定されたアクセスポリシーが、中継装置２０に設定されている状態、つまり、ファイアウォールの設定が連携されている状態の動作を示している。

図に示されるように、このアクセス制御システムでは、複数の端末装置１０ａ，１０ｂ（いずれかを端末装置１０とも言う）が、Ｌ２スイッチ２００を介して中継装置２０に接続されている。さらに、中継装置２０は、ここではインターネット３００に接続されている。

なお、各端末装置１０は、それぞれ別々のＶＬＡＮに属しており、端末装置１０ａはＶＬＡＮ＝１に属し、端末装置１０ｂはＶＬＡＮ＝Ｎに属している。すなわち、端末装置１０ａは、ＶＬＡＮ＝１のパケットのみ送受信し、端末装置１０ｂは、ＶＬＡＮ＝Ｎのパケットのみ送受信する。

図２（ａ）は、ダウンストリーム時のアクセス動作を示しており、不正アクセス端末３０１から端末装置１０ａに対し不正アクセスが行われ、正常アクセス端末３０２から端末装置１０ｂに対し正常アクセスが行われている。

不正アクセス端末３０１が、不正アクセスであるパケットをインターネット３００を介して、中継装置２０へ送信する。中継装置２０では、ファイアウォール連携部２２が、受信したパケットについて、連携パケットで設定したアクセスポリシーに従いアクセスの許可／不許可を判定する。例えば、不正アクセス端末３０１から受信したパケットのヘッダ情報等が不正であればアクセス不許可と判定され、受信したパケットが破棄される。この場合、端末装置１０ａへパケットは転送されない。

また、正常アクセス端末３０２が、正常アクセスであるパケットをインターネット３００を介して中継装置２０へ送信する。中継装置２０では、ファイアウォール連携部２２が、受信したパケットについて、アクセスの許可／不許可を判定する。例えば、不正アクセス端末３０１から受信したパケットのヘッダ情報等が正常であればアクセス許可と判定され、このパケットをＶＬＡＮ＝ＮのパケットとしてＬ２スイッチ２００を介して端末装置１０ｂへ転送する。

端末装置１０ｂは、ＶＬＡＮ＝Ｎのパケットを受信すると、受信したパケットがアプリケーション等で処理される。中継装置２０でアクセス条件を判定しているため、端末装置１０ｂでは、アクセス条件の判定は不要である。

図２（ｂ）は、アップストリーム時のアクセス動作を示しており、端末装置１０ａからインターネット３００に対し不正アクセスが行われ、端末装置１０ｂからインターネット３００に対し正常アクセスが行われている。

端末装置１０ａが、アプリケーション等から不正アクセスであるパケットを中継装置２０へ送信する。端末装置１０ａでは、アクセス条件を判定しないため、このパケットは、そのまま送信され、Ｌ２スイッチ２００を介して中継装置２０により受信される。

中継装置２０では、ファイアウォール連携部２２が、受信したパケットについて、連携パケットで設定したアクセスポリシーに従いアクセスの許可／不許可を判定する。例えば、端末装置１０ａから受信したパケットのヘッダ情報等が不正であればアクセス不許可と判定され、受信したパケットが破棄される。この場合、インターネット３００へパケットは転送されない。

また、端末装置１０ｂが、アプリケーション等から正常アクセスであるパケットを中継装置２０へ送信する。中継装置２０は、このパケットをそのまま受信し、ファイアウォール連携部２２が、受信したパケットについて、アクセスの許可／不許可を判定する。例えば、端末装置１０ｂから受信したパケットのヘッダ情報等が正常であればアクセス許可と判定され、このパケットをインターネット３００へ転送する。

このように、本発明では、端末装置のセキュリティを向上させるとともに、端末装置の負荷を軽減するために、端末装置のパーソナルファイアウォール機能を外部装置に集約させる。この外部装置は新たな装置ではなく、既存のネットワーク上に存在するルータまたはスイッチ等の中継装置である。

具体的には、端末装置と中継装置の制御部（パーソナルファイアウォール設定部及びファイアウォール連携部）の間で連携することで、端末装置で必要とするパーソナルファイアウォール設定に基づき、中継装置へパケットフィルタリング等のアクセスポリシー設定を自動的に行い、接続されている配下の端末装置のパーソナルファイアウォール機能をネットワーク機器に集約させる。

これにより、既存のネットワーク構成に装置を追加することなく、端末装置の要求通りのフィルタリングが即時実現され、端末装置の処理負荷も低減させることができる。また、ネットワーク機器のハードウェア処理による高速パケットフィルタリング処理およびセキュリティ向上、さらには、ルータまたはスイッチ配下におけるダウンストリーム通信量の不正通信量の大幅低減が可能となり、ネットワーク上の不要通信を削減することができる。

また、パーソナルファイアウォール設定を外部装置へ更新する場合に、より高いセキュリティを確保した認証手段が必要である。このため、図１及び図２では省略しているが、連携して設定更新する場合、該当端末以外に不正に設定変更されないように、中継装置での認証を経た上で設定し連携するものとする。例えば、一般的な認証方法でユーザＩＤに相当する情報をＶＬＡＮ−ＩＤに使用する。さらに、一般的な認証で用いられるパスワードに相当する認証情報には、設定変更前のアクセスポリシーをハッシュ関数により算出したハッシュ値を使用する。これにより、文字列が長い認証情報では解読難度を高め、設定変更後には変更されることで認証情報の長期変更無しである状態を低減させる仕組みの一つとなり、セキュリティ向上を図ることができる。さらに、パスワードに相当する認証情報は、中継装置で動作上必須情報であるアクセスポリシーの設定情報から適宜算出するため、特別に認証情報を管理する必要がなく、格納メモリ使用量の抑制が可能である。

さらに、中継装置における破棄または転送パケット数の統計情報を、定期的に端末装置と同期させることで、端末装置でパーソナルファイアウォールの動作状況を確認することも可能である。

なお、上記の特許文献１は、ファイアウォール装置とルータの自動制御に関するものであり、クライアント端末側で自由に設定変更したい場合は管理者を通して設定変更が行われるため、変更適用の即時性は損なわれる場合が考えられる。さらに、ファイアウォール装置およびルータ間での認証には一般的なアカウント・パスワードによる認証のため、認証情報漏えい時の予防策を行うことが望ましい。

また、上記の特許文献２は、既存のネットワーク構成機器に追加して、遠隔制御センタおよび端末ごとのファイアウォール装置が必要であり、ネットワーク構成の変更が必要となる。さらに、設定更新時のユーザ承認については、認証する手段は不明瞭であり、高いセキュリティを考慮した認証手段が必要と考えられる。

さらに、上記の特許文献４では、ルール更新するには、使用者または管理者によるネットワーク機器へのアクセスが必須であるが、本発明では自端末とルータやスイッチを連携させているため、利用者はネットワーク機器への特別なアクセスは不要であり、機器の管理を意識する必要がない。

（本発明の実施の形態１）
次に、本発明の実施の形態１について図面を参照して詳細に説明する。まず、図３を用いて、本発明の実施の形態１に係るアクセス制御システムの構成について説明する。

図に示されるように、このアクセス制御システムでは、クライアント端末１が、Ｌ２スイッチ２００を介してルータ／スイッチ１００に接続されている。さらに、ルータ／スイッチ１００は、インターネット３００に接続されている。なお、図３では、図１及び図２と同様の構成については、同じ符号が付されており、クライアント端末１は、図１及び図２の端末装置１０に対応し、ルータ／スイッチ１００は、図１及び図２の中継装置２０に対応している。インターネット３００は、ネットワークの一例であり、例えば、クライアント端末１及びＬ２スイッチ２００が内部ネットワーク（ローカルネットワーク）を構成し、インターネット３００は外部ネットワーク（グローバルネットワーク）を構成する。

クライアント端末１は、パーソナルコンピュータ等の端末装置であり、ルータ／スイッチ１００を介して、インターネット３００上の通信装置と通信を行う。また、クライアント端末１は、ＣＰＵ（Central Processing Unit）２、入出力デバイス３、記録用デバイス４、およびＮＩＣ（Network Interface Card）５により構成される。

ＣＰＵ２は、各種演算を行い、クライアント端末１の各機能を制御する制御部である。例えば、ＣＰＵ２は、プログラム６１，６２などの各種プログラム処理や、後述するようなハッシュ計算を行う。さらに、ＣＰＵ２上では、パーソナルファイアウォール処理部６３が動作する。

パーソナルファイアウォール処理部６３は、パーソナルファイアウォールに必要な情報を管理する。ここでは、フィルタリング条件等の設定情報６４や、設定情報６４に基づいてパケットが転送／破棄された統計である転送／破棄統計情報６５を管理する。

なお、クライアント端末１の各機能は、記録用デバイス４やその他のメモリ等に格納されたプログラムをＣＰＵ２上で実行し、種々のデータを処理することにより実現される。例えば、図１のパーソナルファイアウォール設定部１１は、主に、ＣＰＵ２により実現され、送信部１２は、主に、ＮＩＣ５により実現されるが、必要に応じて他の構成も使用される。

入出力デバイス３は、ユーザとの入出力を行うデバイスであり、キーボードや表示装置等である。記録用デバイス４は、プログラムや種々のデータを記録する記録装置であり、ハードディスクやメモリ等である。ＮＩＣ５は、所定のネットワークに接続するためのインターフェースであり、ＬＡＮケーブルを介してＬ２スイッチ２００と接続可能なＬＡＮカード等である。

また、Ｌ２スイッチ２００は、レイヤ２スイッチであり、クライアント端末１とルータ／スイッチ１００との間で送受信されるパケットを、主にレイヤ２のヘッダ情報に基づき中継する中継装置である。例えば、Ｌ２スイッチ２００は、パケットヘッダに含まれるＭＡＣアドレス及びＶＬＡＮ−ＩＤに基づいて、転送ポートを特定し、必要に応じてレイヤ２ヘッダを変更して、パケットの転送を行う。なお、Ｌ２スイッチ２００を介さずに、クライアント端末１とルータ／スイッチ１００とを直接接続してもよい。

また、ルータ／スイッチ１００は、ルータまたはレイヤ３スイッチであり、Ｌ２スイッチ２００を介したクライアント端末１とインターネット３００との間で送受信されるパケットを、主にレイヤ３のヘッダ情報に基づき中継する中継装置である。すなわち、ルータ／スイッチ１００は、クライアント端末１及びＬ２スイッチ２００が含まれる第１のネットワーク（内部ネットワーク）と、インターネット３００である第２のネットワーク（外部ネットワーク）とを接続するネットワーク中継装置である。例えば、ルータ／スイッチ１００は、ルーティングテーブルを参照し、パケットヘッダに含まれるＩＰアドレスに基づいて、転送ポートを特定し、必要に応じてレイヤ３及びレイヤ２ヘッダを変更して、パケットの転送を行う。さらに、本実施形態のルータ／スイッチ１００は、クライアント端末１のアクセス制御を行うため、フィルタリングテーブルを参照しパケットのフィルタリングも行う。

ルータ／スイッチ１００は、ＣＰＵ１０１と複数のインタフェースカード１０２から構成されている。ルータ／スイッチ１００には、スロット数Ｎの複数のスロット（Ｓｌｏｔ）１〜Ｎが設けられており、この各スロットに、インタフェースカード１０２が挿入されている。インタフェースカード１０２間は、バックプレーン１０８を介して接続され、インタフェースカード１０２とＣＰＵ１０１は、制御用バス１１０を介して接続されている。

ＣＰＵ１０１は、各種演算を行い、ルータ／スイッチ１００の各機能を制御する制御部である。例えば、ＣＰＵ１０１は、各プログラムを実行し、装置全体の管理、インタフェースカード１０２の制御、後述するような認証のためのハッシュ計算や認証処理を行う。

インタフェースカード１０２は、Ｎポート（Ｐｏｒｔ）分の複数の回線ポート１１１、転送エンジン１０３、ルーティングテーブル１０４、フィルタリングテーブル１０５により構成されている。

回線ポート１１１は、所定のネットワークに接続するための接続ポートであり、ＬＡＮケーブルを介してＬ２スイッチ２００やインターネット３００と接続可能なＬＡＮポート等である。ここでは、Ｐｏｒｔ１の回線ポート１１１がＬ２スイッチ２００に接続され、ＰｏｒｔＮの回線ポート１１１がインターネット３００に接続されている。

転送エンジン１０３は、回線ポート１１１で送受信されるパケットの転送を制御する転送制御部であり、パケット処理部１０６及びフィルタリング処理部１０７を有している。

ルーティングテーブル１０４は、転送先の情報を格納するテーブルであり、ＩＰアドレスやネットワークアドレスと回線ポートとが関連付けられている。パケット処理部１０６は、このルーティングテーブル１０４を参照し、回線ポート１１１が受信したパケットのヘッダ情報に基づき、転送先の回線ポート１１１を特定し、パケットの転送を行う。

フィルタリングテーブル１０５は、クライアント端末１のアクセス制御を行うため、パケットの転送／破棄の判断に用いられる情報であり、後述のように、パケットの転送を許可するＩＰアドレス等や統計情報が格納されている。フィルタリング処理部１０７は、このフィルタリングテーブル１０５を参照し、回線ポート１１１が受信したパケットのヘッダ情報に基づき、フィルタリングテーブル１０５に登録されているヘッダ情報と一致するパケットは転送し、一致しない場合は不許可通信としてパケットを破棄する。

なお、ルータ／スイッチ１００の各機能は、ＣＰＵ１０１及び転送エンジン１０３により実現される。例えば、図１のパーソナルファイアウォール設定部１１は、主に、ＣＰＵ１０１及び転送エンジン１０３により実現され、受信部２１は、主に、回線ポート１１１により実現されるが、必要に応じて他の構成も使用される。

次に、図４を用いて、本発明の実施の形態１のアクセス制御システムで用いるパケットフォーマットについて説明する。

図に示されるように、このパケットフォーマット４００では、パケットの先頭から順に、ＭＡＣアドレスやＶＬＡＮ−ＩＤ４０６を含むＥｔｈｅｒｎｅｔ（登録商標）ヘッダ４０１、ＩＰアドレスを含むＩＰヘッダ４０２、ＴＣＰ／ＵＤＰヘッダ４０３、必要なデータを含むデータ部４０４、ＦＣＳ（Frame Check Sequence）４０５が配置される。

このＥｔｈｅｒｎｅｔヘッダ４０１〜ＦＣＳ４０５までのフォーマットは、一般的なＬＡＮパケットのフォーマットであり、クライアント端末１及びインターネット３００では、このフォーマットに従いデータ部４０４に任意のデータを含むパケットが送受信されている。

本実施形態では、さらに、クライアント端末１とルータ／スイッチ１００との間で連携を図るため、連携パケットのフォーマットとして、データ部４０４のフォーマットを規定する。すなわち、連携パケットでは、データ部４０４に、パケット識別子４０７、種別４０８、変更前設定値のハッシュ値４０９（単にハッシュ値４０９とも言う）、設定情報または統計情報のデータ列４１０（単にデータ列４１０とも言う）が格納される。パケット識別子４０７には、「１」が設定変更、「２」が設定閲覧、「３」が統計情報として設定される。種別４０８には、「１」が要求、「２」が応答、「３」が完了通知として設定される。パケット識別子４０７と種別４０８に設定する値の組み合わせにより、「設定変更要求」、「設定変更応答」など、連携パケットのメッセージ内容が特定される。

次に、図５を用いて、本発明の実施の形態１のアクセス制御システムで用いるフィルタリングテーブルの構成について説明する。

このテーブルは、ルータ／スイッチ１００に記憶されるフィルタリングテーブル１０５である。フィルタリングテーブル１０５は、クライアント端末１ごとに、複数の設定情報（フィルタリング条件）と統計情報が格納される。本実施形態では、クライアント端末１とルータ／スイッチ１００とで設定情報を連携するため、このフィルタリングテーブル１０５と同じ内容のデータが、クライアント端末１にも記憶されている。すなわち、フィルタリングテーブル１０５の情報は、クライアント端末１の設定情報６４及び転送／破棄統計情報６５に対応している。

図に示されるように、フィルタリングテーブル１０５は、管理ＩＤ、ＶＬＡＮ−ＩＤ、宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート番号、送信元ポート番号、ＴＣＰ／ＵＤＰ種別、統計情報から構成されている。

このうち、図５（ａ）で示される、管理ＩＤ、ＶＬＡＮ−ＩＤ、宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート番号、送信元ポート番号、ＴＣＰ／ＵＤＰ種別が、クライアント端末１の設定情報６４に対応しており、図５（ｂ）で示される、統計情報が、クライアント端末１の転送／破棄統計情報６５に対応している。

管理ＩＤは、設定情報ごとに割り当てられ、各設定情報を識別するための識別情報である。例えば、管理ＩＤは、クライアント端末１で設定情報を設定する際に割り当てられる。すなわち、管理ＩＤとＶＬＡＮ−ＩＤにより、一つの設定情報が特定される。

ＶＬＡＮ−ＩＤは、ＶＬＡＮを識別する識別情報であり、本実施形態では、クライアント端末ごとにＶＬＡＮ−ＩＤが設定されているため、クライアント端末を識別する識別情報でもある。ＶＬＡＮ−ＩＤにより、端末を識別することで、端末のＩＰアドレス等が変更されても、端末を識別することができる。

宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート番号、送信元ポート番号、ＴＣＰ／ＵＤＰ種別は、パケットのＩＰヘッダ及びＴＣＰ／ＵＤＰヘッダに含まれている情報であり、パケットをフィルタリングするための具体的な条件である。ここでは、このフィルタリング条件は、パケットのアクセスを許可する条件であり、宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート番号、送信元ポート番号、ＴＣＰ／ＵＤＰ種別の条件に一致するパケットはアクセス許可（転送許可）となり、この条件に一致しないパケットはアクセス不許可（転送不可）となる。なお、フィルタリングテーブル１０５にパケットのアクセスを不許可とする条件を記憶してもよい。また、許可する条件であるのか、不許可とする条件であるのかを識別する情報を記憶してもよい。

なお、ＩＰアドレスとして、サーバＡや端末１と記載されているが、サーバや端末の名称でもよいし、具体的なアドレスの数値でもよい。また、ポート番号として、ＦＴＰやＨＴＴＰＳと記載されているが、ポート名称でもよいし、具体的なポート番号の数値でもよい。ＴＣＰ／ＵＤＰ種別として、ＴＣＰやＵＤＰと記載されているが、プロトコル名称でもよいし、具体的なプロトコル番号の数値でもよく、さらに他のプロトコル種別を記憶してもよい。

また、各欄に「＊」と記載した場合には、該当する項目について全ての内容を許可することを意味する。例えば、ポート番号が「＊」の場合、全てのポート番号が許可される。

統計情報は、パケットのアクセス制御の履歴、つまり、アクセス許可／不許可を判定しパケットを転送／破棄した回数である。すなわち、設定情報ごとに統計情報がカウントされ、フィルタリング条件に一致し転送されたパケットの数、どのフィルタリング条件にも一致せずに破棄されたパケットの数が格納される。

次に、図６〜図９を用いて、本発明の実施の形態１のアクセス制御システムにおけるパーソナルファイアウォールの設定動作について説明する。

図６のフローチャートに示すように、クライアント端末１は、パーソナルファイアウォールの設定変更を開始する（Ｓ１０１）。クライアント端末１において、パーソナルファイアウォールの設定が変更された場合に、この処理が開始される。パーソナルファイアウォールの設定変更には、設定情報の内容の変更や、設定情報の追加等が含まれる。例えば、ユーザが設定情報を変更もしくは追加した場合や、ＤＨＣＰにより端末自身のＩＰアドレスが設定もしくは変更された場合等である。

次いで、クライアント端末１は、クライアント端末１の設定情報からハッシュ値を算出する（Ｓ１０２）。クライアント端末１は、パーソナルファイアウォール処理部６３が管理している設定情報６４をもとにハッシュ値を算出する。後述するように、このハッシュ値は、変更前の設定情報から算出された値であり、統計情報以外の全設定情報をもとにハッシュ関数によって算出される。

次いで、クライアント端末１は、連携パケットを生成し、生成した連携パケットをルータ／スイッチ１００へ送信する（Ｓ１０３）。クライアント端末１は、Ｓ１０２で算出したハッシュ値を含む設定変更の要求を連携パケットにより送信するため、図４に示したパケットフォーマットに則り連携パケットを生成する。すなわち、パケットフォーマット４００のパケット識別子４０７に設定変更を示す「１」を設定し、種別４０８に要求を示す「１」を設定し、ハッシュ値４０９に算出したハッシュ値を設定し、データ列４１０に変更後の設定情報を設定する。また、連携パケットは、クライアント端末１に設定されているＶＬＡＮ−ＩＤが含まれ、ルータ／スイッチ１００のＣＰＵ１０１宛に送信するため、宛先ＩＰアドレスにはルータ／スイッチ１００のＩＰアドレスが設定される。

次いで、ルータ／スイッチ１００は、該当ＶＬＡＮ−ＩＤの設定情報のハッシュ値を算出する（Ｓ１０４）。ルータ／スイッチ１００のＣＰＵ１０１は、連携パケットを受信すると、クライアント端末１の識別情報であるＶＬＡＮ−ＩＤを連携パケットのＥｔｈｅｒｎｅｔヘッダから抽出する。そして、ＣＰＵ１０１は、転送エンジン１０３を介してフィルタリングテーブル１０５を参照し、該当ＶＬＡＮ−ＩＤの設定情報を抽出し、Ｓ１０２のクライアント端末１と同様にハッシュ値を算出する。なお、初めてクライアント端末１を接続した場合には、フィルタリングテーブル１０５は設定されていないため、初期状態のフィルタリングテーブル１０５によりハッシュ値が算出される。したがって、クライアント端末１とルータ／スイッチ１００とで、初期状態のときの設定情報の内容を同じにしておく必要がある。

次いで、ルータ／スイッチ１００は、該当ＶＬＡＮ−ＩＤのハッシュ値を比較する（Ｓ１０５）。ルータ／スイッチ１００は、クライアント端末１の連携パケットを認証するため、Ｓ１０３でクライアント端末１から送信されたハッシュ値と、Ｓ１０４でルータ／スイッチ１００が算出したハッシュ値とを比較する。

Ｓ１０５において、ハッシュ値が一致した場合、ルータ／スイッチ１００は、フィルタリングテーブルを更新する（Ｓ１０６）。ルータ／スイッチ１００のＣＰＵ１０１は、ハッシュ値の一致により連携パケットの認証が成功したため、転送エンジン１０３を経由してフィルタリングテーブル１０５の対象箇所を、連携パケットによって受信した変更後の設定情報により更新する。

Ｓ１０６でフィルタリングテーブルが更新されると、ルータ／スイッチ１００は、連携パケットにより更新完了をクライアント端末１へ送信する（Ｓ１０７）。ルータ／スイッチ１００は、設定変更の完了通知を連携パケットにより送信するため、図４に示したパケットフォーマットに則り連携パケットを生成する。すなわち、パケットフォーマット４００のパケット識別子４０７に設定変更を示す「１」を設定し、種別４０８に完了通知を示す「３」を設定する。

また、Ｓ１０５において、ハッシュ値が不一致の場合、ルータ／スイッチ１００は、認証失敗を端末へ送信する（Ｓ１０８）。ルータ／スイッチ１００は、ハッシュ値の不一致により連携パケットの認証が失敗したため、設定変更の認証失敗を連携パケットにより送信するため、図４に示したパケットフォーマットに則り連携パケットを生成する。すなわち、パケットフォーマット４００のパケット識別子４０７に設定変更を示す「１」を設定し、種別４０８に応答を示す「２」を設定し、その他、エラーメッセージであることを示す情報を設定する。

次いで、クライアント端末１は、連携パケットを受信する（Ｓ１０９）。クライアント端末１は、Ｓ１０７の完了通知、または、Ｓ１０８の認証失敗を連携パケットにより受信する。例えば、ルータ／スイッチ１００から完了通知を受信した場合、パーソナルファイアウォールの設定変更処理が成功により終了し、ルータ／スイッチ１００から認証失敗を受信した場合、パーソナルファイアウォールの設定変更処理が失敗により終了する。

図７のシーケンス図は、パーソナルファイアウォールの設定動作について、クライアント端末１及びルータ／スイッチ１００の各構成における具体的な動作の流れを示している。

まず、クライアント端末１において、ＣＰＵ２が、パーソナルファイアウォールの設定を変更すると（５０１）、パーソナルファイアウォール処理部６３は、ハッシュ値を算出して連携パケットを生成し、生成した連携パケットをルータ／スイッチ１００のＣＰＵ１０１へ送信する（５０２）。

ルータ／スイッチ１００では、ＣＰＵ１０１が、連携パケットを受信すると、連携パケットのＶＬＡＮ−ＩＤからフィルタリングテーブル１０５を参照し、ハッシュ値を算出する（５０３）。ＣＰＵ１０１は、受信した連携パケットのハッシュ値と算出したハッシュ値を比較して認証を行う（５０４）。認証失敗の場合、ＣＰＵ１０１は、認証エラーを連携パケットによりクライアント端末１へ送信する（５０５）。

また、認証成功の場合、ＣＰＵ１０１は、受信した連携パケットの設定情報によりフィルタリングテーブル１０５を更新し（５０６）、更新完了の連携パケットをクライアント端末１へ送信する（５０７）。

図８のイメージ図は、フィルタリングテーブルが更新される具体例を示しており、ユーザ等がパーソナルファイアウォールの設定を変更した場合の例である。

図８（ａ）は、変更前のフィルタリングテーブル１０５を示し、図８（ｂ）は、変更後のフィルタリングテーブル１０５を示している。ここでは、フィルタリングテーブル１０５において、クライアント端末１の許可アクセス先（宛先ＩＰアドレス及び送信元ＩＰアドレス）がサーバＡからサーバＣへ変更され、管理ＩＤが１と３の設定情報が変更されている。

図８の範囲１０５ａは、本実施形態で認証情報としてハッシュ値の算出に用いるデータの範囲である。範囲１０５ａのように、対象のＶＬＡＮ−ＩＤを含む、統計情報を除く全ての管理ＩＤの設定情報、ここでは、管理ＩＤが１〜４の設定情報から、ハッシュ関数によりハッシュ値を算出する。すなわち、フィルタリングテーブルのデータのうち、設定情報である管理ＩＤ、ＶＬＡＮ−ＩＤ、宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート番号、送信元ポート番号、ＴＣＰ／ＵＤＰ種別について、認証するＶＬＡＮ−ＩＤを含む全ての設定情報を１つのハッシュキーとして、ハッシュ関数に与えて演算し、ハッシュ値を求める。なお、ハッシュ関数は、設定情報に基づいた一意のハッシュ値が算出でき、かつ、設定情報よりもデータ列の短いハッシュ値を算出できる関数であれば任意の関数でよい。

例えば、ここでは、図８（ａ）の設定変更前のフィルタリングテーブルについて、管理ＩＤ１〜４の設定情報を順に並べた、「１、１、サーバＡのＩＰアドレス、端末１のＩＰアドレス・・・、２、１、サーバＢのＩＰアドレス、端末１のＩＰアドレス・・・、３、１、端末１のＩＰアドレス、サーバＡのＩＰアドレス・・・、４、１、端末１のＩＰアドレス、サーバＢのＩＰアドレス・・・、」のデータ列がキーとしてハッシュ値を算出する。

クライアント端末１は、このハッシュ値、および変更対象を含む管理ＩＤの変更後の設定情報を含む連動パケットを生成しルータ／スイッチ１００へ送信する。ここでは、サーバＡのＩＰアドレスをサーバＣのＩＰアドレスに変更するため、この変更対象を含む範囲１０５ｂで示される管理ＩＤ１，３の設定情報が連携パケットに含まれる。具体的には、管理ＩＤ１，３の変更後の設定情報を順に並べて、「１、１、サーバＣのＩＰアドレス、端末１のＩＰアドレス・・・、３、１、端末１のＩＰアドレス、サーバＣのＩＰアドレス・・・」が連携パケットのデータ列となる。

この連動パケットを受信したルータ／スイッチ１００は、フィルタリングテーブル１０５の範囲１０５ａ内の設定情報によりハッシュ値を算出し、受信したハッシュ値との比較により認証を行う。認証完了後、連携パケットに含まれる設定情報をフィルタリングテーブル１０５へ設定し、クライアント端末の管理情報と同じ内容に更新させる。すなわち、図８（ｂ）に示すように、受信した管理ＩＤ１，３の設定情報を、範囲１０５ｂに書き込み、フィルタリングテーブルを更新する。これにより、フィルタリングテーブル１０５のサーバＡのＩＰアドレスがサーバＣのＩＰアドレスに変更される。

図９のイメージ図は、フィルタリングテーブルが更新される具体例を示しており、ＤＨＣＰサーバによりクライアント端末のＩＰアドレスの設定が変更された場合の例である。

図９（ａ）は、変更前のフィルタリングテーブル１０５を示し、図９（ｂ）は、変更後のフィルタリングテーブル１０５を示している。ここでは、フィルタリングテーブル１０５において、クライアント端末１のＩＰアドレスが、端末１から端末１'に変更され、全ての管理ＩＤ１〜４の設定情報が変更されている。

ＩＰアドレスが固定値ではなくＤＨＣＰによる払い出されたＩＰアドレスの場合は、回線ポートの切断／接続後に変更となる可能性がある。ＩＰアドレスが変更となった場合は、図６のフローチャートに従い、該当ＶＬＡＮ−ＩＤの全ての設定情報についてＩＰアドレス更新を行う。クライアント端末１は、ＩＰアドレスの端末１が端末１'に変更されると、全ての変更対象を含む設定情報をデータ部に盛り込んで生成した連動パケットをクライアント端末１からルータ／スイッチ１００へ送信する。

連携パケットのハッシュ値については、図８と同じように、図９の範囲１０５ｃの全ての設定情報に基づき算出する。そして、変更後の全ての管理ＩＤ１〜４の設定情報を順に並べて、「１、１、サーバＣのＩＰアドレス、端末１'のＩＰアドレス・・・、２、１、サーバＢのＩＰアドレス、端末１'のＩＰアドレス・・・、３、１、端末１'のＩＰアドレス、サーバＣのＩＰアドレス・・・、４、１、端末１'のＩＰアドレス、サーバＢのＩＰアドレス・・・」が連携パケットのデータ列となる。

その後、ルータ／スイッチ１００では、ハッシュ値による認証が完了した後に、フィルタリングテーブル１０５について、図９（ｂ）に示すように、範囲１０５ｃの全ての設定情報が更新される。これにより、フィルタリングテーブル１０５のＩＰアドレスが、端末１から端末１'に変更される。

次に、図１０〜図１２を用いて、本発明の実施の形態１のアクセス制御システムにおけるパケットの転送／破棄動作について説明する。

図１０のフローチャートに示すように、ルータ／スイッチ１００は、外部から回線ポートによりパケットを受信する（Ｓ２０１）。ルータ／スイッチ１００の回線ポート１１１は、装置の外部であるクライアント端末１またはインターネット３００からパケットを受信する。

次いで、ルータ／スイッチ１００は、パケットからＶＬＡＮ−ＩＤ、ＩＰヘッダおよびＴＣＰ／ＵＤＰヘッダを抽出する（Ｓ２０２）。ルータ／スイッチ１００の転送エンジン１０３では、パケット処理部１０６が、受信したパケットについて、図４で示したパケットフォーマット４００に則り、Ｅｔｈｅｒｎｅｔヘッダ４０１のＶＬＡＮ−ＩＤ４０６、ＩＰヘッダ４０２、ＴＣＰ／ＵＤＰヘッダ４０３を抽出する。

次いで、ルータ／スイッチ１００は、該当ＶＬＡＮ−ＩＤで抽出したフィルタリングテーブルの登録情報と比較する（Ｓ２０３）。ルータ／スイッチ１００の転送エンジン１０３では、パケット処理部１０６もしくはフィルタリング処理部１０７が、フィルタリングテーブル１０５に登録されている登録情報を参照し、受信パケットのＶＬＡＮ−ＩＤに該当する設定情報（フィルタリング条件）を抽出する。そして、パケットの転送許可／不許可を判定するため、フィルタリングテーブルの設定情報と、受信パケットのＩＰヘッダ及びＴＣＰ／ＵＤＰヘッダとを比較する。

なお、受信したパケットにＶＬＡＮ−ＩＤが含まれていない場合には、ＩＰアドレスに基づいてフィルタリングテーブルの設定情報を抽出してもよい。例えば、インターネット３００を介して送受信するパケットには、ＶＬＡＮ−ＩＤは含まれていない場合がある。

Ｓ２０３において、フィルタリングテーブルの登録情報と一致し、転送許可の場合、ルータ／スイッチ１００は、ルーティングテーブルを参照し宛先回線ポートへパケットを転送する（Ｓ２０４）。フィルタリングテーブル１０５の設定情報と受信パケットのＩＰヘッダ及びＴＣＰ／ＵＤＰヘッダとが一致した場合、ルータ／スイッチ１００の転送エンジン１０３では、パケット処理部１０６が、ルーティングテーブル１０４を参照し、受信パケットの宛先ＩＰアドレスに対応する宛先回線ポートを決定し、宛先回線ポートからパケットを送信する。このとき、必要に応じて、ＩＰアドレスやポート番号の変換、ＶＬＡＮ−ＩＤの設定等も行う。

また、Ｓ２０３において、フィルタリングテーブルの登録情報と不一致であり、転送不許可の場合、ルータ／スイッチ１００は、パケットを破棄する（Ｓ２０５）。フィルタリングテーブル１０５の登録情報と受信パケットのＩＰヘッダ及びＴＣＰ／ＵＤＰヘッダとが不一致の場合、ルータ／スイッチ１００の転送エンジン１０３では、パケット処理部１０６もしくはフィルタリング処理部１０７が、受信したパケットを破棄する。この場合、パケットが破棄されるため、パケットは回線ポートから転送されない。

次いで、ルータ／スイッチ１００は、フィルタリングテーブルの統計情報を更新する（Ｓ２０６）。Ｓ２０４においてパケットを転送、または、Ｓ２０５においてパケットを破棄すると、ルータ／スイッチ１００の転送エンジン１０３では、パケット処理部１０６もしくはフィルタリング処理部１０７が、フィルタリングテーブル１０５を参照し、該当する統計情報を更新する。すなわち、フィルタリングテーブル１０５の設定情報に該当する場合、該当する設定情報の統計情報のカウンタをインクリメントする。フィルタリングテーブル１０５のいずれの設定情報にも該当しない場合、破棄カウンタをインクリメントする。

次いで、ルータ／スイッチ１００は、回線ポートから装置外部へパケットを送信する（Ｓ２０７）。Ｓ２０４においてパケットを回線ポートへ転送した場合、回線ポート１１１では、外部のクライアント端末１またはインターネット３００へ向けてパケットを送信する。

また、本実施形態では、フィルタリングテーブル１０５の統計情報についても、クライアント端末１とルータ／スイッチ１００とで連携する。具体的には、通常運用時において、クライアント端末１が一定期間ごとにフィルタリングの転送／破棄パケット数の統計情報の要求を行い、受信したルータ／スイッチ１００のＣＰＵ１０１が転送エンジン１０３経由でフィルタリングテーブル１０５より統計情報を収集し、クライアント端末１へ送信する。クライアント端末１は、ルータ／スイッチ１００から受信した統計情報を、パーソナルファイアウォールの転送／破棄統計情報６５に格納することで、統計情報の連携を図る。

図１１のシーケンス図は、ルータ／スイッチ１００における、ダウンストリーム時のパケット転送・破棄動作について、各構成の具体的な動作の流れを示している。

まず、ルータ／スイッチ１００において、ＰｏｒｔＮの回線ポート１１１が、インターネット３００からパケットを受信し、受信したパケットを転送エンジン１０３に転送する（５１１）。転送エンジン１０３は、フィルタリングテーブル１０５を参照し、フィルタリングテーブル１０５に登録された設定情報と受信パケットのヘッダとを比較する（５１２）。転送エンジン１０３は、フィルタリングテーブルとパケットヘッダとを比較することにより転送許可／不許可を判定する（５１３）。

フィルタリングテーブルとパケットヘッダとが一致せず転送不許可の場合、転送エンジン１０３は、パケットを破棄して、統計情報の破棄カウンタを更新する（５１４）。また、フィルタリングテーブルとパケットヘッダが一致し転送許可の場合、転送エンジン１０３は、ルーティングテーブルを参照して、パケットの宛先ＩＰアドレスから転送先ポートを特定し（５１５）、宛先回線ポートであるＰｏｒｔ１の回線ポート１１１を介して、クライアント端末１へパケットを送信する（５１６）。さらに、転送エンジン１０３は、フィルタリングテーブル１０５の一致した設定情報に対応する統計情報を更新する（５１７）。

図１２のシーケンス図は、ルータ／スイッチにおける、アップストリーム時のパケット転送・破棄動作について、各部構成の具体的な動作の流れを示している。

まず、クライアント端末１において、ＣＰＵ２が、パケットをルータ／スイッチ１００へ送信する（５２１）。

ルータ／スイッチ１００では、Ｐｏｒｔ１の回線ポート１１１が、クライアント端末１からパケットを受信し、受信したパケットを転送エンジン１０３に転送する（５２２）。転送エンジン１０３は、フィルタリングテーブル１０５を参照し、フィルタリングテーブル１０５に登録された設定情報と受信パケットのヘッダとを比較する（５２３）。転送エンジン１０３は、フィルタリングテーブルとパケットヘッダとを比較することにより転送許可を判定する（５２４）。

フィルタリングテーブルとパケットヘッダとが一致せず転送不許可の場合、転送エンジン１０３は、パケットを破棄して、統計情報の破棄カウンタを更新する（５２５）。また、フィルタリングテーブルとパケットヘッダが一致し転送許可の場合、転送エンジン１０３は、ルーティングテーブルを参照して、パケットの宛先ＩＰアドレスから転送先ポートを特定し（５２６）、宛先回線ポートであるＰｏｒｔＮの回線ポート１１１を介して、インターネット３００へパケットを送信する（５２７）。さらに、転送エンジン１０３は、フィルタリングテーブル１０５の一致した設定情報に対応する統計情報を更新する（５２８）。

以上説明したように、本実施形態においては、以下に記載するような効果を奏する。

第１の効果は、パーソナルファイアウォールの設定情報をルータやスイッチに連携することで、パーソナルファイアウォール機能をルータやスイッチへ集約しているため、端末ごとにファイアウォール専用装置を追加することなく、クライアント端末の負荷を大幅に軽減でき、クライアント端末へ不正パケットが到達しないため、端末のセキュリティを向上することができることである。

第２の効果は、クライアント端末とルータやスイッチとが連携する際に、ルータやスイッチにおける認証処理で、変更前の設定情報のハッシュ値を認証情報として用いることで、パスワードに相当する認証情報の解読難度を高め、認証情報の長期に変更無しの状態を低減することで情報のセキュリティを向上させ、さらに格納メモリ使用量を抑制できることである。

第３の効果は、不正パケットを直近のルータやスイッチでフィルタリングしているので、ルータまたはスイッチ配下での不要なダウンストリーム通信を削減できることである。

（本発明の実施の形態２）
次に、本発明の実施の形態２について説明する。図１３は、本発明の実施の形態２に係るアクセス制御システムの構成を示している。

実施の形態１では、クライアント端末１とＬ２スイッチの間を有線により接続していたが、図１３の本発明の実施の形態２では、クライアント端末１とＬ２スイッチの間を無線により接続している。その他の構成については、実施の形態１と同様である。

すなわち、本発明の実施の形態２に係るアクセス制御システムでは、クライアント端末１が、Ｌ２スイッチに代えて、無線ＬＡＮ用Ｌ２スイッチ２０１を介してルータ／スイッチ１００に接続されている。クライアント端末１とＬ２スイッチ２０１間を無線ＬＡＮにより接続するため、クライアント端末１は、有線用のＮＩＣ５に代えて無線ＮＩＣ６を備えている。

なお、本実施形態では、無線ＬＡＮを用いるため、実施の形態１のＶＬＡＮ−ＩＤの代わりにＳＳＩＤを用いることも可能である。また、無線ＬＡＮ用Ｌ２スイッチ２０１とクライアント端末１との間は、例えば、無線ＬＡＮにより接続されているが、Ｂｌｕｅｔｏｏｔｈ（登録商標）や赤外線通信など任意の無線通信方式により接続してもよい。また、Ｌ２スイッチとルータ／スイッチ間を無線で接続してもよい。

以上のように、本実施形態のように、Ｌ２スイッチとクライアント端末間を無線により接続した場合でも、実施の形態１と同様に、クライアント端末の負荷を軽減できるとともに、端末のセキュリティを向上することができ、ルータ／スイッチの認証のセキュリティを向上させることができ、不要な通信を削減することができる。

（本発明の実施の形態３）
次に、本発明の実施の形態３について説明する。図１４は、本発明の実施の形態３に係るアクセス制御システムの構成を示している。

本実施形態のアクセス制御システムは、実施の形態１と比べて、クライアント端末１のパーソナルファイアウォールで使用するリソースをさらに低減させるため、主にパーソナルファイアウォールの構成が異なっている。その他の構成については、実施の形態１と同様である。

すなわち、図１４に示されるように、クライアント端末１のパーソナルファイアウォール処理部６３は、ハッシュ値専用領域６３ａと一時格納用領域６３ｂを有し、ハッシュ値専用領域６３ａには、設定情報のハッシュ値６６を格納し、一時格納用領域６３ｂには、設定情報６４及び転送／破棄統計情報６５が一時的に格納される。ここでは、クライアント端末１で常時保有する情報は設定変更前の情報のハッシュ値のみとし、設定情報および統計情報は保有せず、必要に応じてルータ／スイッチ１００から取得することとする。

パケットの転送／破棄時の動作は実施の形態１と同様であるため、パーソナルファイアウォールの設定変更時の動作について図１５及び図１６を用いて説明する。

図１５に示されるように、まず、クライアント端末１は、パーソナルファイアウォールの設定変更を開始し（Ｓ３０１）、格納されているハッシュ値を読み出す（Ｓ３０２）。クライアント端末１は、パーソナルファイアウォール処理部６３のハッシュ値専用領域６３ａに格納しているハッシュ値６６を読み出す。

次いで、クライアント端末１は、情報閲覧要求の連携パケットを生成し、ルータ／スイッチ１００へ送信する（Ｓ３０３）。クライアント端末１は、設定情報をルータ／スイッチ１００から入手するため、情報閲覧要求の連携パケットを生成する。図４のパケットフォーマット４００に則り、パケット識別子４０７を「２」の情報閲覧に設定し、種別４０８を「１」の要求に設定し、ハッシュ値４０９に読み出したハッシュ値を設定する。

情報閲覧要求を送信すると、ルータ／スイッチ１００は、フィルタリングテーブル１０５を参照し、受信パケットのＶＬＡＮ−ＩＤに該当する設定情報を抽出し、ハッシュ値の算出・比較を行い、認証成功した場合、ＶＬＡＮ−ＩＤに該当する設定情報をクライアント端末１へ送信する。また、認証失敗時は、認証エラーの連携パケットがクライアント端末１へ送信される。

次いで、クライアント端末１は、一時格納用領域６３ｂを確保し、設定情報を格納する（Ｓ３０４）。ルータ／スイッチ１００から設定情報が送信されると、クライアント端末１は、パーソナルファイアウォール処理部６３に設定情報６４を一時記憶するため、一時格納用領域６３ｂを確保し、一時格納用領域６３ｂにルータ／スイッチ１００から受信した設定情報を格納する。

次いで、クライアント端末１は、設定変更要求の連携パケットを生成し、ルータ／スイッチ１００へ送信する（Ｓ３０５）。クライアント端末１は、一時格納用領域６３ｂに格納した設定情報を変更し、ハッシュ値専用領域６３ａのハッシュ値と変更した設定情報のデータ列を含む連携パケットを生成する。

次いで、ルータ／スイッチ１００は、該当ＶＬＡＮ−ＩＤの設定情報のハッシュ値を算出し（Ｓ３０６）、ルータ／スイッチ１００は、該当ＶＬＡＮ−ＩＤのハッシュ値を比較する（Ｓ３０７）。

Ｓ３０７において、該当ＶＬＡＮ−ＩＤが一致した場合、ルータ／スイッチ１００のフィルタリングテーブル１０５を更新し（Ｓ３０８）、連携パケットにより更新完了を端末へ送信する（Ｓ３０９）。また、Ｓ３０７において、該当ＶＬＡＮ−ＩＤのハッシュ値が不一致の場合、ルータ／スイッチ１００は認証失敗をクライアント端末へ送信する（Ｓ３１０）。

次いで、クライアント端末１は、ルータ／スイッチ１００から、更新完了または認証失敗の連携パケットを受信する（Ｓ３１１）。クライアント端末１は、Ｓ３０９で送信された設定完了通知、または、Ｓ３１０で送信された認証失敗をルータ／スイッチ１００から受信する。

次いで、クライアント端末１は、設定情報内容からハッシュ値を算出し格納する（Ｓ３１２）。クライアント端末１は、更新完了通知を受信すると、一時格納用領域６３ｂに格納されている、変更後の設定情報をもとにハッシュ値を算出し、算出したハッシュ値をハッシュ値専用領域６３ａに格納する。このハッシュ値は、新たに変更前のハッシュ値となり、次回の変更時に使用される。

次いで、クライアント端末１は、一時格納領域を解放する（Ｓ３１３）。クライアント端末１は、設定情報の更新が完了したため、一時格納用領域６３ｂを解放する。これにより不要となった設定情報等が削除される。なお、統計情報を連携する場合についても、設定情報と同様に、クライアント端末１が、ルータ／スイッチ１００から定期的に統計情報を取得する際に、一時格納用領域６３ｂを確保し、転送／破棄統計情報６５に格納する。そして、統計情報が不要になった場合に一時格納用領域６３ｂを解放する。

図１６のシーケンス図は、パーソナルファイアウォールの設定動作について、クライアント端末１及びルータ／スイッチ１００の各構成における具体的な動作の流れを示している。

まず、クライアント端末１において、ＣＰＵ２が、パーソナルファイアウォールのハッシュ値専用領域６３ａからハッシュ値を読み出す（６０１）。パーソナルファイアウォール処理部６３は、読み出したハッシュ値により連携パケットを生成し、生成した連携パケットをルータ／スイッチ１００のＣＰＵ１０１へ送信する（６０２）。

ルータ／スイッチ１００のＣＰＵ１０１では、連携パケットを受信すると、連携パケットのＶＬＡＮ−ＩＤからフィルタリングテーブルを参照し、ハッシュ値を算出する（６０３）。ＣＰＵ１０１は、受信した連携パケットのハッシュ値と算出したハッシュ値を比較して認証を行い（６０４）、認証失敗の場合、ＣＰＵ１０１は、認証エラーを連携パケットによりクライアント端末１へ送信する（６０５）。また、認証成功の場合、ＣＰＵ１０１は、フィルタリングテーブルの設定情報を含む連携パケットを送信する（６０６）。

クライアント端末１では、ＣＰＵ２が、ルータ／スイッチ１００から連携パケットを受信すると、一時格納用領域６３ｂを確保し（６０５）、パーソナルファイアウォール処理部６３は、一時格納用領域６３ｂに受信した設定情報を格納し、一時格納用領域６３ｂの設定情報を変更する（６０８）。パーソナルファイアウォール処理部６３は、ハッシュ値と変更した設定情報により連携パケットを生成し、生成した連携パケットをルータ／スイッチ１００のＣＰＵ１０１へ送信する（６０９）。

ルータ／スイッチ１００のＣＰＵ１０１では、連携パケットを受信すると、連携パケットのＶＬＡＮ−ＩＤからフィルタリングテーブルを参照し、ハッシュ値を算出する（６１０）。ＣＰＵ１０１は、受信した連携パケットのハッシュ値と算出したハッシュ値を比較して再度認証を行う（６１１）。

認証失敗の場合、ＣＰＵ１０１は、認証エラーを連携パケットによりクライアント端末１へ送信する（６１２）。また、認証成功の場合、ＣＰＵ１０１は、受信した連携パケットの設定情報によりフィルタリングテーブルを更新し（６１１）、更新完了の連携パケットを送信する（６１２）。

クライアント端末１のＣＰＵ２は、変更後の設定情報によりハッシュ値を算出し、算出したハッシュ値をハッシュ値専用領域６３ａに格納する（６１５）。ＣＰＵ２は、不要になった一時格納用領域６３ｂを解放する（６１６）。

以上のように、本実施形態のように、実施の形態１と同様に、クライアント端末の負荷を軽減できるとともに、端末のセキュリティを向上することができ、ルータ／スイッチの認証のセキュリティを向上させることができ、不要な通信を削減することができる。

また、本実施形態では、クライアント端末で常時保有する情報は設定変更前の情報のハッシュ値のみとし、設定情報および統計情報は保有せず、必要に応じてルータ／スイッチから取得することとする。クライアント端末の設定情報及び転送／破棄情報を一時格納用領域とすることにより、クライアント端末のパーソナルファイアウォールで使用するリソースをさらに低減することができる。

なお、本発明は上記実施の形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。上記の例では、クライアント端末と連携する装置としてルータ／スイッチについて説明したが、クライアント端末のファイアウォールを集約できればよく、ゲートウェイ等であってもよい。フィルタリング条件として、アプリケーション等上位レイヤの情報を考慮してもよいし、時間等の他のパラメータによりアクセス制御してもよい。１つのＶＬＡＮに１つのクライアント端末としたが、１つのＶＬＡＮに複数のクライアント端末を含めてもよい。この場合、ルータ／スイッチが連携した設定情報をＶＬＡＮ内の全ての端末に配信し、ＶＬＡＮ内の全ての端末と、ルータ／スイッチとで連携を図る。

１ クライアント端末
３ 入出力デバイス
４ 記録用デバイス
１０，１０ａ，１０ｂ 端末
１１ パーソナルファイアウォール設定部
１２ 送信部
１３ 連携パケット
２０ 中継装置
２１ 受信部
２２ ファイアウォール連携部
３０ ネットワーク
６１，６２ プログラム
６３ パーソナルファイアウォール処理部
６３ａ ハッシュ値専用領域
６３ｂ 一時格納用領域
６４ 設定情報
６５ 転送／破棄統計情報
６６ 設定情報のハッシュ値
１００ ルータ／スイッチ
１０２ インタフェースカード
１０３ 転送エンジン
１０４ ルーティングテーブル
１０５ フィルタリングテーブル
１０６ パケット処理部
１０７ フィルタリング処理部
１０８ バックプレーン
１１０ 制御用バス
１１１ 回線ポート
２００ Ｌ２スイッチ
２０１ 無線ＬＡＮ用Ｌ２スイッチ
３００ インターネット
３０１ 不正アクセス端末
３０２ 正常アクセス端末
４００ パケットフォーマット
４０１ Ｅｔｈｅｒｎｅｔヘッダ
４０２ ＩＰヘッダ
４０３ ＴＣＰ／ＩＰヘッダ
４０４ データ部
４０５ ＦＣＳ
４０６ ＶＬＡＮ−ＩＤ
４０７ パケット識別子
４０８ 種別
４０９ 変更前設定のハッシュ値
４１０ 設定情報または統計情報のデータ列

Claims (10)

1. 端末装置とネットワークとの間に接続される中継装置を備えたアクセス制御システムであって、
   前記端末装置は、
   当該端末装置に対するアクセスポリシーを設定するパーソナルファイアウォール設定部と、
   前記設定されたアクセスポリシーを含む連携パケットを前記中継装置へ送信する送信部と、を備え、
   前記中継装置は、
   前記端末装置から送信された連携パケットを受信する受信部と、
   前記受信された連携パケットに含まれるアクセスポリシーに基づいて、前記端末装置と前記ネットワーク間のアクセス制御を行うファイアウォール連携部と、を備える、
   アクセス制御システム。
2. 前記送信部は、前記アクセスポリシーが設定変更された場合に、前記連携パケットを送信する、請求項１に記載のアクセス制御システム。
3. 前記中継装置は、前記受信された連携パケットを認証する認証部を備え、
   前記ファイアウォール連携部は、前記連携パケットが認証された場合、前記アクセスポリシーに基づきアクセス制御を行う、請求項１または２に記載のアクセス制御システム。
4. 前記送信部は、設定変更前の前記アクセスポリシーに基づいた認証情報と、設定変更後の前記アクセスポリシーとを前記連携パケットに含めて送信し、
   前記認証部は、前記ファイアウォール連携部に設定されているアクセスポリシーと前記連携パケットに含まれる認証情報とに基づいて認証を行う、請求項３に記載のアクセス制御システム。
5. 前記端末装置は、前記設定変更前のアクセスポリシーまたは前記設定変更後のアクセスポリシーを記憶するアクセスポリシー記憶部と、前記認証情報を記憶する認証情報記憶部とを備え、
   前記アクセスポリシー記憶部は、前記アクセスポリシーの設定変更時、または、前記アクセスポリシーに基づいて前記認証情報を算出する時に、一時的に記憶領域を確保する、請求項４に記載のアクセス制御システム。
6. 前記アクセスポリシーは、パケットの転送を許可するかどうか判定するためのフィルタリング条件である、請求項１乃至５のいずれか一項に記載のアクセス制御システム。
7. 前記ファイアウォール連携部は、前記アクセス制御の履歴である統計情報を記憶し、
   前記パーソナルファイアウォール設定部は、定期的に前記統計情報を取得する、請求項１乃至６のいずれか一項に記載のアクセス制御システム。
8. 中継装置を介してネットワークに接続される端末装置であって、
   当該端末装置に対するアクセスポリシーを設定するパーソナルファイアウォール設定部と、
   前記設定されたアクセスポリシーを前記中継装置のアクセス制御に適用するため、前記設定されたアクセスポリシーを含む連携パケットを前記中継装置へ送信する送信部と、を備える、
   端末装置。
9. 端末装置とネットワークとの間に接続される中継装置であって、
   前記端末装置に設定されたアクセスポリシーを含む連携パケットを、前記端末装置から受信する受信部と、
   前記受信された連携パケットに含まれるアクセスポリシーに基づいて、前記端末装置と前記ネットワーク間のアクセス制御を行うファイアウォール連携部と、を備える、
   中継装置。
10. 端末装置とネットワークとの間に接続される中継装置を備えたシステムのアクセス制御方法であって、
    前記端末装置は、
    当該端末装置に対するアクセスポリシーを設定し、
    前記設定されたアクセスポリシーを含む連携パケットを前記中継装置へ送信し、
    前記中継装置は、
    前記端末装置から送信された連携パケットを受信し、
    前記受信された連携パケットに含まれるアクセスポリシーに基づいて、前記端末装置と前記ネットワーク間のアクセス制御を行う、
    アクセス制御方法。

Images