JP2014526739A - ファイアウォールクラスターにおける認証共有 - Google Patents

Abstract

ファイアウォールクラスターシステムが、３つ以上のノードを有するファイアウォールクラスターにおいて接続を受信し、この接続に関連付けられたユーザーデータを特定し、このユーザーデータをファイアウォールクラスター内の少なくとも別のノードと共有するように動作可能な第１のノードを備える。
【選択図】図２

Description

本発明は、包括的にはファイアウォール動作に関し、より詳細には、１つの実施形態において、本発明はファイアウォールクラスターにおける認証共有に関する。

［関連出願の相互参照］
本出願は、２０１１年９月８日に出願された米国特許出願第ｌ３／２２７，８４８号の優先権を主張する。この米国特許出願は、引用することにより本明細書の一部をなす。

［制限付き著作権放棄］
本特許文書の開示の一部は、著作権保護の請求がなされた題材を含む。著作権所有者は、米国特許庁及び商標局のファイル又は記録に見られるように、いかなる者による特許文書又は特許開示のファクシミリ再生に対しても異議はないが、他のいかなる権利についてもそれらの権利の全てを留保する。

コンピューターが有益なツールである所以は主に、コンピューターが他のコンピューターシステムと通信し、コンピューターネットワークを介して情報を取り出すことが可能なことにある。ネットワークは通常、コンピューター間で情報を転送する能力をコンピューターに与える、配線、光ファイバー、無線、又は他のデータ送信手段によってリンクされた、相互接続されたコンピューター群を含む。インターネットは、おそらく最もよく知られたコンピューターネットワークであり、数百万人の人々が、ウェブページを閲覧するか、電子メールを送信するか、又は他のコンピューター間通信を実行すること等によって、数百万個の他のコンピューターにアクセスすることを可能にする。

しかし、インターネットは規模が非常に大きく、インターネットユーザーの関心に非常に多様性があるので、悪意のあるユーザー又は迷惑ユーザー（prankster）が、他のユーザーに危険を課すように他のユーザーのコンピューターと通信することを試みることは珍しくない。例えば、ハッカーは企業のコンピューターにログインして、情報を盗むか、削除するか又は変更するように試みる場合がある。コンピューターウィルス又はトロイの木馬プログラムが他のコンピューターに配信されるか、又は多数のコンピューターユーザーによって知らずにダウンロード若しくは実行される場合がある。さらに、企業等の組織内のコンピューターユーザーは時折、ファイル共有プログラムを実行するか、又は企業のネットワーク内から企業秘密をインターネットに送信する等の認可されていないネットワーク通信を実行しようと試みる場合がある。

これらの理由及び他の理由により、多くの企業、団体、及び更にはホームユーザーが、自身のローカルネットワークとインターネットとの間でネットワークファイアウォール又は同様のデバイスを用いる。ファイアウォールは通常、通過するネットワークトラフィックを調査するコンピューター化されたネットワークデバイスであり、１組の規則に基づいて所望のネットワークトラフィックの通過を許可する。

ファイアウォールは、ＴＣＰ／ＩＰパケット又は他のネットワークプロトコルパケット等の通信パケットを観察し、ソースネットワークアドレス及び宛先ネットワークアドレス、いずれのポートが用いられているか、及び接続の状態又は履歴等の特性を検査することによってフィルタリング機能を実行する。ファイアウォールによっては、特定のアプリケーションに対し行き来するパケットも検査するものもあるし、保護されたユーザーと外部のネットワーク化されたコンピューターとの間の選択されたネットワーク要求を処理及び転送することによってプロキシデバイスとして働くものもある。

ファイアウォールは通常、ファイアウォール内のネットワークトラフィックを検査すること等によって、様々なポート、ソケット及びプロトコル間の接続を監視することにより、ネットワーク情報のフローを制御する。ソケット、ポート、アプリケーション及び他の情報に基づく規則を用いて、データを選択的にフィルタリングするか又は通過させ、ネットワークアクティビティのログをとる。ファイアウォール規則は通常、ネットワークトラフィックの或る特定のタイプを識別するように構成される。これらのタイプとしては、禁止されるか、又は、或る特定の他の制限が適用されるべき種類のトラフィックであり、ファイル共有プログラムに用いられることがわかっているポート上のトラフィックをブロックする一方で従来のＦＴＰポートを介して受信されるいかなるトラフィックもウィルススキャンすること、或る特定のアプリケーション又はユーザーがいくつかのタスクを実行することをブロックする一方で他のユーザーがそのようなタスクを実行することを可能にすること、及び共通のＩＰアドレスからの異なるポートに対する反復クエリ等の既知の攻撃パターンに基づいてトラフィックをブロックすること等である。

しかし、ファイアウォールが、複数のコンピューターシステムにわたって分散されたときにそのような接続を管理する能力は、接続の知識が通常、接続をハンドリングするシステムにしか記憶されないという点で限られている。したがって、クラスターにおける改善されたファイアウォール分散が所望されている。

本発明の様々な例示的な実施形態が、第１のノードを備えるファイアウォールクラスターシステムを備え、この第１のノードは、３つ以上のノードを有するファイアウォールクラスターにおいて接続を受信し、この接続に関連付けられたユーザーデータを特定し、このユーザーデータをファイアウォールクラスター内の少なくとも別のノードと共有するように動作可能である。別のノードは、アプリケーション状態データを用いて、第１のノードが故障した場合等に接続の処理を継続するか、又は負荷分散を提供することができる。

本発明のいくつかの実施形態を実施するのに用いることができるような、ファイアウォールを含む例示的なネットワークを示す図である。

本発明のいくつかの実施形態を実施するのに用いることができるような、複数のファイアウォールノードを含むファイアウォールクラスターを含む例示的なネットワークを示す図である。

本発明の例示的な実施形態に従う、ファイアウォールクラスター内の共有されたユーザーパスポート情報の使用を示すフローチャートである。

本発明の例示的な実施形態の以下の詳細な説明において、図示及び説明のために特定の実施例が参照される。これらの実施例は、当業者が本発明を実施することを可能にするのに十分詳細に説明され、本発明を様々な目的又は実施形態にどのように適用することができるかを示す役割を果たす。本発明の他の実施形態が存在し、これらは本発明の範囲内にあり、本発明の主題又は範囲から逸脱することなく、論理的変更、機械的変更、電気的変更及び他の変更を行うことができる。しかしながら、本明細書において説明される本発明の様々な実施形態の特徴及び制限は、それらが組み込まれる例示的な実施形態に必須なものであり、発明を全体として制限するものではなく、本発明、本発明の要素、動作及び用途へのいかなる言及も、本発明を全体として制限するものではなく、これらの例示的な実施形態を定義する役割のみを果たす。したがって、以下の詳細な説明は本発明の範囲を制限せず、本発明の範囲は添付の特許請求の範囲によってのみ定義される。

図１は、１０１におけるインターネット等の公衆ネットワークと、プライベートネットワーク１０２と、１０３に示される、ファイアウォール及び侵入保護機能を提供するように動作可能なコンピューターネットワークデバイスとを備える通常のコンピューターネットワーク環境を示している。この特定の例において、コンピューターネットワークデバイス１０３は、インターネットとプライベートネットワークとの間に位置決めされ、プライベートネットワークと公衆ネットワークとの間のトラフィックフローを調整する。

ネットワークデバイス１０３は、様々な実施形態において、ファイアウォールデバイスであり、侵入保護デバイスであり、又はその双方として機能する。ネットワークデバイス内のファイアウォールデバイス又はモジュールは、ネットワークパケットの調査、及び１組のファイアウォールフィルタリング規則を満たすネットワークパケットのドロップ又は拒否等の様々なネットワークフロー制御機能を提供する。上記で説明したように、ファイアウォールは通常、ＴＣＰ／ＩＰパケット又は他のネットワークプロトコルパケット等の通信パケットを観察し、ソースネットワークアドレス及び宛先ネットワークアドレス、いずれのポートが用いられているか、及び接続の状態又は履歴等の特性を検査することによってフィルタリング機能を実行する。ファイアウォールによっては、いずれのアプリケーションが接続を確立したかを特定するためにパケットも検査するものもあるし、保護されたユーザーと外部のネットワーク化されたコンピューターとの間の選択されたネットワーク要求を処理及び転送することによってプロキシデバイスとして働くものもある。ファイアウォールは多くの場合に、望ましくないトラフィックの「シグネチャ」又は他の特性を用いて、有害であるとみなされるか又は他の形で望ましくないトラフィックを検出しブロックする。

ファイアウォールは通常、１組の規則を用いてトラフィックをフィルタリングし、ネットワークデータの任意の特定の要素に関して行われることが、その特定のデータにどのように規則の組が適用されるかに依拠するようにする。例えば、ポート６３４６への全てのトラフィックをブロックする規則は、保護されたネットワーク内のサーバー上のそのポートに向けられた着信トラフィックをブロックするが、同じサーバーの異なるポート番号に向かう他のデータはブロックしない。同様に、Ｓｈａｒｅａｚａ等のファイル共有プログラムから発信されたトラフィックをブロックする規則は、トラフィックにおけるパターンを用いて、ポート６３４６上のＳｈａｒｅａｚａトラフィックをブロックするが、ポート６３４６上の他のトラフィックは許可する。

しかし、大型のシステム又は複雑なシステム等の、ファイアウォールが複数のコンピューター又はノードにわたって分散されたシステムとして実施される環境では、複数のノードが接続を共有する能力は、接続に関するソケット情報、アプリケーション情報、ユーザー情報等のような、接続に関する各ノードの情報に限定される。したがって、本発明のいくつかの実施形態は、クラスターファイアウォール内の他のシステムと、ユーザー又は他のそのような接続データ等の状態情報を共有し、ファイアウォールクラスター内の複数のノードが同じ接続を処理することを可能にするメカニズムを提供する。これによって、システム間で接続の担当を移すことによって負荷分散を行い、クラスター内のノードの故障を、そのノードの接続を別のマシンに移すことによって管理し、他のそのような機能を実行する能力がクラスターに与えられる。

１つのそのような例において、ファイアウォール又は侵入保護システムは、ファイアウォールを通って流れる処理トラフィックを共有するノードのクラスター又は接続された群として実装される。図２は、本発明のいくつかの実施形態を実施するのに用いることができるような、分散ファイアウォールを有するネットワークを示している。ここで、インターネット２０１等のネットワークは、ファイアウォール２０３によって内部ネットワーク２０２に結合される。ファイアウォール２０３は、負荷分散及び他のファイアウォール管理機能等の機能を実行することができる着信トラフィックモジュール２０４及び発信トラフィックモジュール２０５を含む。ファイアウォール又は侵入保護規則はファイアウォールノード２０６において適用され、これらのファイアウォールノードは図示されるようにネットワーク接続によって互いに接続される。

ここで、示される５つのノードはそれぞれ、インターネット２０１と内部ネットワーク２０２との間を流れるトラフィックを選択的に許可又はブロックする規則をトラフィックに適用するように動作可能な、ファイアウォール又は関連するソフトウェアのインスタンスを実行する別個のコンピューターシステムを備える。代替の実施形態では、ノード１、ノード２及びノード３等のいくつかのノードがファイアウォールアプリケーションを実行する一方、４及び５等の他のノードは侵入保護システム（ＩＰＳ）アプリケーションを実行する。ノード２０４及び２０５は、ファイアウォールノード２０６にルーティングされるトラフィックの負荷分散等の機能の実行を担当し、これらのノードが、単一ノードの場合よりも高いスループット能力を提供するように効率的にともに機能することができることを確保する。

いくつかのファイアウォール実施形態は、ポート、ＩＰ及び他のそのような規則をデータストリームに単に適用することを超える、複雑な接続識別機能を実行する。例えば、いくつかのファイアウォールの例は、ファイアウォールに対するユーザー認証を用いることによって、又はＭｉｃｒｏｓｏｆｔドメインサーバーログオン若しくはファイアウォールによって読み取ることができる他のユーザー証明書等の間接的な認証を用いることによって、ユーザーを特定の接続と関連付けるユーザー「パスポート」を含む。このパスポートは、識別されたユーザーを、特定のＩＰアドレス、ＭＡＣアドレス又は他の識別子と関連付け、ユーザーから到来する接続を、そのユーザーに属するものとして識別することができるようにする。

次に、ファイアウォールにおいて、ユーザーに基づくフィルタリングを行うことができる。例えば、ファイアウォールは、アリスが管理グループのメンバーである一方、ボブは従業員グループのメンバーであるが管理グループのメンバーではないことを知っている場合がある。双方のユーザーがコンピューターにログオンし、ビデオ会議に参加するためにＳｋｙｐｅを実行し、ファイアウォールは、双方のユーザーが、外部のベンダー又は顧客とビデオ会議を行う等のために、Ｓｋｙｐｅを用いてファイアウォールを通してビデオ会議トラフィックを送信することを許可されると判断する。

ボブは、Ｓｋｙｐｅを用いてファイルを送信することを試み、ファイアウォールは、管理グループのメンバーのみがＳｋｙｐｅを用いてファイルをアウトバウンド送信することを許可する規則を適用する。ファイアウォールは、ボブの接続に関連付けられたユーザーパスポート及びＩＰアドレス情報を用いて、ボブがファイルを送信しようと試みている者であることを特定し、したがってボブのファイルをブロックする。次に、アリスがＳｋｙｐｅを用いて同じファイルの送信を試行し、アリスの接続に関連付けられたパスポートは、アリスを接続に関連付けられたユーザーとして識別し、ファイルの送信が許可される。

しかし、ファイアウォールが複数のノードにわたって分散されている場合、各ノードが同じファイアウォール規則を有する一方、接続を管理するノードしかユーザー名及び接続のＩＰアドレス（又はパスポート）等のユーザー情報を知らないという点で、接続に適切な規則を適用することはより困難である。

したがって、本発明のいくつかの実施形態は、ユーザーパスポート情報をマルチキャストすること、又はユーザーパスポート情報を配信するためにマスターノード送信すること等によって、ファイアウォールクラスター内のノード間でユーザーパスポート情報を配信することを含む。

図３は、本発明の例示的な実施形態に従う、ファイアウォールクラスターにおける共有されたユーザーパスポート情報の使用を示すフローチャートである。３０１において、ローカルネットワーク２０２内のコンピューターとインターネット２０１との間でリンクが開始される。ノード間のリンクはノード１によって処理される。３０２において、ネットワーク接続が確立されるとすぐに、ノード１がＭｉｃｒｏｓｏｆｔドメインサーバーログイン等からユーザーパスポート情報を取り出すか、又はユーザーがファイアウォールに直接ログインする。次に、３０３において、ファイアウォールノード１は、接続に関するこのユーザーパスポートデータを他のノードと共有し、３０４において、このユーザーパスポートデータを用いて、ユーザー固有の規則をファイアウォールに適用する。

３０５において、ノード１が故障し、３０６において、接続がノード２にリダイレクトされる。ノード２は、ノード１から接続に関するユーザーパスポートデータを以前に受信しているので、３０８において、ノード２は、ユーザー固有の規則を接続に適用することを含む、データストリームのフィルタリングを再開することができる。

この例は、ノードが故障した後に、ノードが接続のフィルタリングをどのように再開することができるかを示しているが、負荷分散、又は様々なタスクへのノードの再割当て等の用途で、分散ファイアウォールクラスター内で接続を一のノードから別のノードへと移すのに、同様の方法を用いることができる。

１つのそのような例では、ファイアウォールノード１が故障するのではなく、２つの侵入保護システムノード（図示せず）の一方である侵入保護システムノードが故障する。システムは、ファイアウォールサービスを提供するノード数と、侵入保護を提供するノード数との間で或る特定のバランスを維持することを所望し、この例では、侵入保護システムは、その２つのノードのうちの一方が故障したとき、機能の半分を失っている。したがって、システムは、故障した侵入保護ノードに置き換わるようにファイアウォールノード１を再割当てし、その結果、図２に示すように、以前にファイアウォールノード１によって処理されていた接続は、ファイアウォールノード２〜５にわたって再分散される。

これらの例は、ファイアウォールクラスター内でユーザーパスポートデータを共有することによって、ファイアウォールクラスター内の負荷分散、フェイルオーバー及び他の機能をどのように容易にし、ファイアウォールクラスターにおけるネットワークトラフィックのユーザーに基づくフィルタリングをより扱いやすく信頼性の高いものにすることができるかを示している。

本明細書において、特定の実施形態が示され、説明されたが、当業者であれば、同じ目的を果たすように計算された任意の構成を、示された特定の実施形態に置き換えることができることを理解するであろう。本出願は、本明細書に説明した本発明の例示的な実施形態の任意の適応又は変形を包含するように意図される。本発明は特許請求の範囲及びその等価物の全範囲によってのみ限定されることが意図される。

上記で説明したように、動作方法及び或る特定の方式で構成されるファイアウォールが開示されている。例えば、ファイアウォールクラスターを動作させる方法は、３つ以上のノードを有するファイアウォールクラスターの第１のノードにおいて接続を受信することと、この接続に関連付けられたユーザーデータを特定することと、このユーザーデータを、ファイアウォールクラスター内の少なくとも別のノードと共有することとを含むことができる。さらに、ファイアウォールクラスターは、接続を受信した後であるが、ユーザーデータを共有する前に、受信した接続に関する接続情報をファイアウォールクラスター内の少なくとも別のノードと共有することができる。ユーザーデータは、ユーザーの識別情報及び接続のＩＰアドレスを含むことができる。共有することは、ユーザーデータを、ファイアウォールクラスター内の他のノードにブロードキャストすること、又はユーザーデータをマスターノードに送信することを含むことができる。マスターノードは、ユーザーデータをファイアウォールクラスター内の他のノードにブロードキャストするように構成することもできる。オプションで、ファイアウォールクラスターは、接続に関連付けられた共有されたユーザーデータを用いて、第１のノードの故障時に別のノードにおいて接続をフィルタリングすることもできるし、別のノードにおいて接続をフィルタリングし、ファイアウォールクラスターにおける負荷分散を提供することもできる。

ボブは、Ｓｋｙｐｅを用いてファイルを送信することを試み、ファイアウォールは、管理グループのメンバーのみがＳｋｙｐｅを用いてファイルをアウトバウンド送信することを許可する規則を適用する。ファイアウォールは、ボブの接続に関連付けられたパスポートのユーザ情報及びＩＰアドレス情報を用いて、ボブがファイルを送信しようと試みている者であることを特定し、したがってボブのファイルをブロックする。次に、アリスがＳｋｙｐｅを用いて同じファイルの送信を試行し、アリスの接続に関連付けられたパスポートは、アリスを接続に関連付けられたユーザーとして識別し、ファイルの送信が許可される。

Claims (19)

1. ファイアウォールクラスターを動作させる方法であって、
   ３つ以上のノードを有する前記ファイアウォールクラスターの第１のノードにおいて接続を受信することと、
   前記接続に関連付けられたユーザーデータを特定することと、
   前記ユーザーデータを、前記ファイアウォールクラスター内の少なくとも１つの別のノードと共有することと、を含む、ファイアウォールクラスターを動作させる方法。
2. 前記接続を受信した後であって、前記ユーザーデータを共有する前に、受信した前記接続に関する接続情報を前記ファイアウォールクラスター内の少なくとも１つの別のノードと共有することを更に含む、請求項１に記載のファイアウォールクラスターを動作させる方法。
3. 前記ユーザーデータは、前記ユーザーの識別情報及び前記接続のＩＰアドレスを含む、請求項１又は２に記載のファイアウォールクラスターを動作させる方法。
4. 前記ユーザーデータを共有することは、前記ユーザーデータを、前記ファイアウォールクラスター内の前記別のノードにブロードキャストすることを含む、請求項１〜３のいずれか１項に記載のファイアウォールクラスターを動作させる方法。
5. 前記ユーザーデータを共有することは、前記ユーザーデータをマスターノードに送信することを含む、請求項１〜４のいずれか１項に記載のファイアウォールクラスターを動作させる方法。
6. 前記マスターノードが、前記ユーザーデータを前記ファイアウォールクラスター内の他のノードにブロードキャストすることを更に含む、請求項５に記載のファイアウォールクラスターを動作させる方法。
7. 前記接続に関連付けられ共有された前記ユーザーデータを用いて、前記第１のノードの故障時に別のノードにおいて前記接続をフィルタリングすることを更に含む、請求項１〜６のいずれか１項に記載のファイアウォールクラスターを動作させる方法。
8. 前記接続に関連付けられ共有された前記ユーザーデータを用いて、別のノードにおいて前記接続をフィルタリングし、前記ファイアウォールクラスターにおける負荷分散を提供することを更に含む、請求項１〜７のいずれか１項に記載のファイアウォールクラスターを動作させる方法。
9. ファイアウォールクラスターであって、
   ３つ以上のノードを有する前記ファイアウォールクラスターにおいて接続を受信し、前記接続に関連付けられたユーザーデータを特定し、前記ユーザーデータを、前記ファイアウォールクラスター内の少なくとも１つの別のノードと共有するように動作可能な第１のノードを備える、ファイアウォールクラスター。
10. 前記第１のノードは更に、前記接続を受信した後であって、前記ユーザーデータを共有する前に、受信した前記接続に関する接続情報を前記ファイアウォールクラスター内の少なくとも１つの別のノードと共有するように動作可能である、請求項９に記載のファイアウォールクラスター。
11. 前記ユーザーデータは、ユーザーの識別情報及び前記接続に関連付けられたＩＰアドレスを含む、請求項９又は１０に記載のファイアウォールクラスター。
12. 前記ユーザーデータを共有することは、前記ユーザーデータを、前記ファイアウォールクラスター内の前記別のノードにブロードキャストすることを含む、請求項９〜１１のいずれか１項に記載のファイアウォールクラスター。
13. マスターノードを更に備え、
    前記ユーザーデータを共有することは、前記ユーザーデータを前記マスターノードに送信することを含む、請求項９〜１２のいずれか１項に記載のファイアウォールクラスター。
14. 前記マスターノードは更に、前記ユーザーデータを前記ファイアウォールクラスター内の他のノードにブロードキャストするように動作可能である、請求項１３に記載のファイアウォールクラスター。
15. 前記接続に関連付けられ共有された前記ユーザーデータを用いて、前記第１のノードの故障時に別のノードにおいて前記接続をフィルタリングするように動作可能な第２のノードを更に備える、請求項９〜１４のいずれか１項に記載のファイアウォールクラスター。
16. 前記接続に関連付けられ共有された前記ユーザーデータを用いて別のノードにおいて前記接続をフィルタリングし、前記ファイアウォールクラスターにおける負荷分散を提供するように動作可能な第２のノードを更に備える、請求項９〜１５のいずれか１項に記載のファイアウォールクラスター。
17. ファイアウォールクラスターを動作させる方法であって、
    ３つ以上のノードを有する前記ファイアウォールクラスターの第１のノードにおいて接続を受信することと、
    受信した前記接続に関する接続データを、前記ファイアウォールクラスター内の少なくとも１つの別のノードと共有することと、
    前記接続に関連付けられたユーザーデータを特定することと、
    前記接続に関連付けられた前記ユーザーデータを、前記ファイアウォールクラスター内の２つ以上の別のノードと共有することと、を含む、ファイアウォールクラスターを動作させる方法。
18. 前記共有されたユーザーデータを用いて、前記第１のノードの故障時に別のノードにおいて前記接続をフィルタリングすることを更に含む、請求項１７に記載のファイアウォールクラスターを動作させる方法。
19. 共有された前記ユーザーデータを用いて、別のノードにおいて前記接続をフィルタリングし、前記ファイアウォールクラスターにおける負荷分散を提供することを更に含む、請求項１７又は１８に記載のファイアウォールクラスターを動作させる方法。

Images