JP4131203B2 - セキュリティゲートウェイルータ装置およびセッションテーブル管理方法 - Google Patents
セキュリティゲートウェイルータ装置およびセッションテーブル管理方法 Download PDFInfo
- Publication number
- JP4131203B2 JP4131203B2 JP2003180473A JP2003180473A JP4131203B2 JP 4131203 B2 JP4131203 B2 JP 4131203B2 JP 2003180473 A JP2003180473 A JP 2003180473A JP 2003180473 A JP2003180473 A JP 2003180473A JP 4131203 B2 JP4131203 B2 JP 4131203B2
- Authority
- JP
- Japan
- Prior art keywords
- session
- return direction
- return
- session table
- communication packet
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Description
【０００１】
本発明はセキュリティゲートウェイルータ装置およびセッションテーブル管理方法に関し、特にセッションテーブルを用いて動的ＮＡＴ／ＮＡＰＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ／Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｐｏｒｔ Ｔｒａｎｓｌａｔｉｏｎ）機能および動的パケットフィルタ機能を実現するセキュリティゲートウェイルータ装置およびセッションテーブル管理方法に関する。
【０００２】
【従来の技術】
ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）ネットワークにおいてＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）等の内部ネットワークとＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）等の外部ネットワークとの間に配備されるセキュリティゲートウェイルータ装置では、動的パケットフィルタ機能（ファイヤウォール機能），動的ＮＡＴ／ＮＡＰＴ（ネットワークアドレス／ポート変換）機能，ロードバランス（負荷分散）機能等の複数の機能が同時に要求される。
【０００３】
従来、これらの機能は、各々の装置または機能ブロックにより各々のセッションテーブル（レイヤ４レベルでの通信を管理するテーブル）を利用して実現されている。
【０００４】
図６は、従来のセキュリティゲートウェイルータ装置の一例を示すブロック図である。このセキュリティゲートウェイルータ装置は、戻り方向動的ＮＡＴ／ＮＡＰＴ部Ｄ−１と、戻り方向ＡＣＬ（ＡＣＣＥＳＳ ＣｏｎｔｒｏＬ Ｌｉｓｔ）ルックアップ部Ｄ−２と、戻り方向動的パケットフィルタ部Ｄ−３と、戻り方向ルータ部Ｄ−４と、開始方向ルータ部Ｅ−１と、開始方向動的パケットフィルタ部Ｅ−２と、開始方向ＡＣＬルックアップ部Ｅ−３と、開始方向動的ＮＡＴ／ＮＡＰＴ部Ｅ−４と、ＮＡＴ／ＮＡＰＴセッションマネージャプロセスＦ−１と、動的フィルタセッションマネージャプロセスＦ−２と、戻り方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−１と、戻り方向ＡＣＬＵ−２と、戻り方向フィルタセッションテーブルＵ−３と、開始方向フィルタセッションテーブルＵ−５と、開始方向ＡＣＬＵ−６と、開始方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−７とから構成されている。
【０００５】
次に、この従来のセキュリティゲートウェイルータ装置の動作について、図７のフローチャートを参照しながら説明する。
【０００６】
開始方向ルータ部Ｅ−１は、開始方向通信パケットの転送先を解決する。通信セッションは、開始方向ルータ部Ｅ−１により送信側プロセスに転送されてくる。
【０００７】
次に、開始方向動的パケットフィルタ部Ｅ−２は、開始方向フィルタセッションテーブルＵ−５を検索して（ステップＳ１０２）、開始方向通信パケットの通過可否を判断する。ここで、通信セッションの最初のパケット受信時には、開始方向フィルタセッションテーブルＵ−５にセッションエントリは存在しない。この場合、開始方向動的パケットフィルタ部Ｅ−２は、開始方向セッションテーブルＵ−２の検索の結果、セッションエントリ無しと判定し（ステップＳ１０３でノー）、ソフトウェアプロセスへパケット処理を引き渡す。具体的には、動的パケットフィルタセッションマネージャプロセスＦ−２がパケット処理を引き取る。
【０００８】
動的パケットフィルタセッションマネージャプロセスＦ−２は、動的パケットフィルタ機能が適用される場合（ステップＳ１１３でイエス）、ステート監視制御を行う（ステップＳ１１４）。
【０００９】
次に、動的パケットフィルタセッションマネージャプロセスＦ−２は、開始方向フィルタセッションテーブルＵ−５と、戻り方向通信を予測し評価して戻り方向フィルタセッションテーブルＵ−３とを生成してセッションエントリを登録する（ステップＳ１１５およびステップＳ１１６）。ここで、戻り方向通信パケットは、開始方向通信パケットのＩＰヘッダおよびＬ４ヘッダの転送先（Ｄｅｓｔｉｎａｔｉｏｎ）と転送元（Ｓｏｕｒｃｅ）とを逆転させたものとなる。例えば、開始方向通信パケットのヘッダがＩＰＤＡ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ｄｅｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓ）＝Ｂ，ＩＰＳＡ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ｓｏｕｒｃｅ Ａｄｄｒｅｓｓ）＝ａ，Ｐｒｏｔｏｃｏｌ＝ＴＣＰ，Ｌ４ＤＰ（Ｌａｙｅｒ ４ Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔ）＝ｄ，Ｌ４ＳＰ（Ｌａｙｅｒ ４ Ｓｏｕｒｃｅ Ｐｏｒｔ）＝ｃである場合、戻り方向通信パケットのヘッダはＩＰＤＡ＝ａ，ＩＰＳＡ＝Ｂ，Ｐｒｏｔｏｃｏｌ＝ＴＣＰ，Ｌ４ＤＰ＝ｃ，Ｌ４ＳＰ＝ｄとなる。
【００１０】
次に、開始方向ＡＣＬルックアップ部Ｅ−３は、開始方向ＡＣＬＵ−６の検索を行い、最初の開始方向通信パケットの送信可否を判断する（ステップＳ１０１）。（動的パケットフィルタ部Ｅ−２より先に処理してもよい）。
【００１１】
続いて、開始方向動的ＮＡＴ／ＮＡＰＴ部Ｅ−４は、必要に応じて送信可能な開始方向通信パケットに対して動的ＮＡＴ／ＮＡＰＴ処理を施す。最初の開始方向通信パケットに関しては、ネットワークアドレス／ポートが割り当てられていないため、開始方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−７にセッションエントリが無い（ステップＳ１０３でノー）。この際、開始方向動的ＮＡＴ／ＮＡＰＴ部Ｅ−４は、開始方向動的パケットフィルタ部Ｅ−２と同様な手順で、ソフトウェアプロセスであるＮＡＴ／ＮＡＰＴセッションマネージャプロセスＦ−１へ処理を引き渡す。
【００１２】
ＮＡＴ／ＮＡＰＴセッションマネージャプロセスＦ−１は、動的ＮＡＴ／ＮＡＰＴ機能の対象であれば（ステップＳ１１１でイエス）、ネットワークアドレス／ポートの割当てを行う（ステップＳ１１２）。
【００１３】
次に、ＮＡＴ／ＮＡＰＴセッションマネージャプロセスＦ−１は、開始方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−７および戻り方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−１を生成してセッションエントリを登録する（ステップＳ１１５およびステップＳ１１６）。開始方向通信パケットに関しては、ＩＰＳＡおよびＬ４ＳＰが変換されることになるため、開始方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−７は、ＩＰＤＡ＝Ｂ，ＩＰＳＡ＝ａ，Ｐｒｏｔｏｃｏｌ＝ＴＣＰ，Ｌ４ＤＰ＝ｄ，Ｌ４ＳＰ＝ｃで登録される。この際、開始方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−７から開始方向通信パケットのＮＡＴ／ＮＡＰＴ処理指示が検索可能なように設定する。ハードウェアは、開始方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−７を検索してネットワークアドレス／ポート変換を実施する。また、戻り方向通信パケットは、グローバルベースの通信に対する戻りであるため、ＩＰＤＡ＝Ａ，ＩＰＳＡ＝Ｂ，Ｐｒｏｔｏｃｏｌ＝ＴＣＰ，Ｌ４ＤＰ＝ｃ，Ｌ４ＳＰ＝ｄとなり、戻り方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−１より戻り方向通信パケットに対するＮＡＴ／ＮＡＰＴ指定がなされる。
【００１４】
最初の開始方向通信パケットが処理されると、開始方向フィルタセッションテーブルＵ−５および開始方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−７，ならびに戻り方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−１および戻り方向フィルタセッションテーブルＵ−３のセッションエントリが登録され、次の開始方向通信パケットからは開始方向フィルタセッションテーブルＵ−５および開始方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−７のセッションエントリ有りと判断され（ステップＳ１０３でイエス）、ハードウェアによる転送が行われる。
【００１５】
詳しくは、開始方向動的ＮＡＴ／ＮＡＰＴ部Ｅ−４は、開始方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−７より動的ＮＡＴ／ＮＡＰＴ情報を取得し（ステップＳ１０４）、動的ＮＡＴ／ＮＡＰＴ機能の対象であれば（ステップＳ１０５でイエス）、動的ＮＡＴ／ＮＡＰＴのエディット処理を行う（ステップＳ１０６）。
【００１６】
次に、開始方向動的パケットフィルタ部Ｅ−２は、開始方向フィルタセッションテーブルＵ−５よりステート情報を取得し（ステップＳ１０７）、動的パケットフィルタ対象であれば（Ｓ１０８でイエス）、ステートチェックおよび更新処理を行う（ステップＳ１０９）。
【００１７】
その後、開始方向動的ＮＡＴ／ＮＡＰＴ部Ｅ−４は、開始方向通信パケットを送信する（ステップＳ１１０）。
【００１８】
一方、戻り方向通信パケットについては、まず始めに、戻り方向ＡＣＬルックアップ部Ｄ−２が、グローバルアドレスベースで戻り方向ＡＣＬＵ−２の検索を行う（ステップＳ２０１）。戻り方向動的ＮＡＴ／ＮＡＰＴ部Ｄ−１の手前で戻り方向通信パケットに対してグローバルアドレスベース（受信時のパケット情報）にて戻り方向ＡＣＬＵ−２の検索が実施される。
【００１９】
戻り方向通信パケットで戻り方向ＮＡＴ／ＮＡＴＰセッションテーブルＵ−１のセッションエントリが無い場合は（ステップＳ２０３でノー）、戻り方向動的ＮＡＴ／ＮＡＰＴ部Ｄ−１は、この戻り方向通信パケットを拒否する（ステップＳ２０４）。
【００２０】
次に、戻り方向動的ＮＡＴ／ＮＡＰＴ部Ｄ−１は、戻り方向通信パケットに対してネットワークアドレス／ポート変換を行う。開始方向通信パケットが送信された際に戻り方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−１のセッションエントリが登録されているため（ステップＳ２０３でイエス）、戻り方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−１を検索して戻り方向動的ＮＡＴ／ＮＡＰＴ部Ｄ−１のアクションを解決する。戻り方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−１を検索すると、通信開始時に登録済みのセッションエントリにヒットする。ここには、開始方向通信に対して払い出したネットワークアドレス／ポートが戻り方向通信に対しても設定されている。具体的には、ＮＡＴ／ＮＡＰＴ実行，変換アドレス，および変換ポートがアクションテーブルに設定される。
【００２１】
戻り方向ＮＡＴ／ＮＡＴＰセッションテーブルＵ−１にセッションエントリがある場合は（ステップＳ２０３でイエス）、戻り方向動的ＮＡＴ／ＮＡＰＴ部Ｄ−１は、戻り方向通信パケットについてネットワークアドレス／ポート変換を行う。
【００２２】
詳しくは、戻り方向動的ＮＡＴ／ＮＡＰＴ部Ｄ−１は、戻り方向セッションテーブルＵ−１より動的ＮＡＴ／ＮＡＰＴ情報を取得し（ステップＳ２０５）、動的ＮＡＴ／ＮＡＰＴの対象であれば（ステップＳ２０６でイエス）、動的ＮＡＴ／ＮＡＰＴのエディット処理を行う（ステップＳ２０７）。
【００２３】
次に、戻り方向ＡＣＬルックアップ部Ｄ−２は、プライベートアドレスに変換した形で戻り方向ＡＣＬＵ−２の検索を実行する（ステップＳ２０８）。この際、戻り方向ＡＣＬＵ−２の検索は、ポリシールーティング，ＱｏＳ（Ｑｕａｌｉｔｙ ｏｆ Ｓｅｒｖｉｃｅ）クラス識別等のために使用されるため、プライベートアドレスベースでの戻り方向ＡＣＬＵ−２の検索が必要となる。
【００２４】
続いて、戻り方向動的パケットフィルタ部Ｄ−３は、戻り方向フィルタセッションテーブルＵ−３よりステート情報を取得し（ステップＳ２０９）、動的パケットフィルタ対象であれば（Ｓ２１０でイエス）、ステートチェックおよび更新処理を行う（ステップＳ２１１）。
【００２５】
その後、戻り方向ルータ部Ｄ−４は、転送先を解決し、戻り方向通信パケットを転送する（ステップＳ２１２）。
【００２６】
戻り方向通信パケットに関しては、あらかじめ戻り方向ＡＣＬＵ−４の検索等が先頭の開始方向通信パケットに関して完了しているので、その結果が反映された戻り方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−１を検索するのみで処理を行うことが可能となる。
【００２７】
【発明が解決しようとする課題】
しかしながら、上述した従来のセキュリティゲートウェイルータ装置には、ハードウェアによる実現を考慮する場合、次のような課題がある。
【００２８】
第１の課題は、戻り方向ＮＡＴ／ＮＡＰＴセッションテーブルおよび戻り方向フィルタセッションテーブルという２つのセッションテーブルを使用しているので、セッションテーブルの検索回数が複数回となるために処理性能が低下するということである。
【００２９】
第２の課題は、動的ＮＡＴ／ＮＡＰＴ機能がある戻り方向通信についてセッションテーブルの検索に加え、戻り方向通信パケットに対する戻り方向ＡＣＬの検索処理が全戻り方向通信パケットについて必要になるために処理負荷が高いということである。
【００３０】
第３の課題は、動的ＮＡＴ／ＮＡＰＴ機能および動的パケットフィルタ機能の戻り方向通信について同一インタフェースからの戻りのみしか許可できないということである。ここで、インタフェースとは、ルータなどの通信装置のもつ外部インタフェース（物理回線，論理回線）を意味する。
【００３１】
本発明の目的は、セッション確立後の処理性能を向上させるようにしたセキュリティゲートウェイルータ装置を提供することにある。
【００３２】
また、本発明の他の目的は、複数インタフェースからの戻り方向通信パケットを許容するセキュリティゲートウェイルータ装置を提供することにある。
【００３３】
【課題を解決するための手段】
本発明のセキュリティゲートウェイルータ装置は、セッションテーブルを用いて動的ＮＡＴ／ＮＡＰＴ機能および動的パケットフィルタ機能を実現するセキュリティゲートウェイルータ装置において、開始方向セッションテーブルの生成時に戻り方向ＡＣＬを検索し戻り方向セッションテーブルの生成の可否を判断する開始方向セッションルックアップ部と、新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除するセッションマネージャプロセスと、前記セッションマネージャプロセスと連携して開始方向ＡＣＬを検索する開始方向ＡＣＬルックアッププロセスと、前記セッションマネージャプロセスと連携して戻り方向ＡＣＬを検索する戻り方向ＡＣＬルックアッププロセスと、戻り方向通信パケットについて戻り方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する戻り方向セッションルックアップ部とを有することを特徴とする。
【００３４】
また、本発明のセキュリティゲートウェイルータ装置は、セッションテーブルを用いて動的ＮＡＴ／ＮＡＰＴ機能および動的パケットフィルタ機能を実現するセキュリティゲートウェイルータ装置において、開始方向セッションテーブルの生成時に戻り方向ＡＣＬを検索し戻り方向セッションテーブルの生成の可否を判断する開始方向セッションルックアップ部と、新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除するセッションマネージャプロセスと、前記セッションマネージャプロセスと連携して開始方向ＡＣＬを検索する開始方向ＡＣＬルックアッププロセスと、前記セッションマネージャプロセスと連携して戻り方向ＡＣＬを検索する戻り方向ＡＣＬルックアッププロセスと、前記セッションマネージャプロセスと連携して戻り方向通信パケットの転送先を解決するルーティングプロセスと、戻り方向通信パケットについて戻り方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する戻り方向セッションルックアップ部とを有することを特徴とする。
【００３５】
さらに、本発明のセキュリティゲートウェイルータ装置は、開始方向通信パケットの転送先を解決する開始方向ルータ部と、開始方向通信パケットについて開始方向ＡＣＬを検索する開始方向ＡＣＬルックアップ部と、開始方向通信パケットについて開始方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する開始方向セッションルックアップ部と、開始方向通信パケットの通過可否を判断する開始方向動的パケットフィルタ部と、開始方向通信パケットについて動的にネットワークアドレス／ポート変換を行う開始方向動的ＮＡＴ／ＮＡＰＴ部と、新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除するセッションマネージャプロセスと、前記セッションマネージャプロセスと連携してネットワークアドレス／ポート割当てを行うＮＡＴ／ＮＡＰＴマネージャプロセスと、前記セッションマネージャプロセスと連携して開始方向ＡＣＬを検索する開始方向ＡＣＬルックアッププロセスと、前記セッションマネージャプロセスと連携して戻り方向ＡＣＬを検索する戻り方向ＡＣＬルックアッププロセスと、前記セッションマネージャプロセスと連携して戻り方向通信パケットの通過可否を判断する動的パケットフィルタマネージャプロセスと、戻り方向通信パケットについて戻り方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する戻り方向セッションルックアップ部と、前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットについてネットワークアドレス／ポート変換を行う戻り方向動的ＮＡＴ／ＮＡＰＴ部と、前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの通過可否を判断する戻り方向動的パケットフィルタ部と、前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの転送先を解決する戻り方向ルータ部とを有することを特徴とする。
【００３６】
さらに、本発明のセキュリティゲートウェイルータ装置は、開始方向通信パケットの転送先を解決する開始方向ルータ部と、開始方向通信パケットについて開始方向ＡＣＬを検索する開始方向ＡＣＬルックアップ部と、開始方向通信パケットについて開始方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する開始方向セッションルックアップ部と、開始方向通信パケットの通過可否を判断する開始方向動的パケットフィルタ部と、開始方向通信パケットについてネットワークアドレス／ポートの割り当てを行う開始方向動的ＮＡＴ／ＮＡＰＴ部と、新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除するセッションマネージャプロセスと、前記セッションマネージャプロセスと連携してネットワークアドレス／ポートの割当てを行うＮＡＴ／ＮＡＰＴマネージャプロセスと、前記セッションマネージャプロセスと連携して開始方向ＡＣＬを検索する開始方向ＡＣＬルックアッププロセスと、前記セッションマネージャプロセスと連携して戻り方向ＡＣＬを検索する戻り方向ＡＣＬルックアッププロセスと、前記セッションマネージャプロセスと連携して戻り方向通信パケットの通過可否を判断する動的パケットフィルタマネージャプロセスと、前記セッションマネージャプロセスと連携して戻り方向通信パケットの転送先を解決するルーティングプロセスと、前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットについてネットワークアドレス／ポート変換を行う戻り方向動的ＮＡＴ／ＮＡＰＴ部と、前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの通過可否を判断する戻り方向動的パケットフィルタ部と、前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの転送先を解決する戻り方向ルータ部とを有することを特徴とする。
【００３７】
さらにまた、本発明のセキュリティゲートウェイルータ装置は、前記戻り方向セッションテーブルが、セッションエントリとして、ＩＰＤＡ，ＩＰＳＡ，プロトコル，Ｌ４ＤＰおよびＬ４ＳＰを保持するとともに、ＮＡＴ／ＮＡＰＴアクショテーブルをリンクすることを特徴とする。
【００３８】
また、本発明のセキュリティゲートウェイルータ装置は、前記戻り方向セッションテーブルの生成時において、戻り方向通信が予測し評価される外部インタフェースを複数管理可能なインタフェースグループを定義することにより、複数インタフェースからの戻り方向通信パケットの管理を可能とすることを特徴とする。
【００３９】
一方、本発明のセッションテーブル管理方法は、セッションテーブルを用いて動的ＮＡＴ／ＮＡＰＴ機能および動的パケットフィルタ機能を実現するセキュリティゲートウェイルータ装置のセッションテーブル管理方法において、開始方向セッションルックアップ部により開始方向セッションテーブルの生成時に戻り方向ＡＣＬを検索し戻り方向セッションテーブルの生成の可否を判断する工程と、セッションマネージャプロセスにより新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除する工程と、前記セッションマネージャプロセスと連携して開始方向ＡＣＬルックアッププロセスにより開始方向ＡＣＬを検索する工程と、前記セッションマネージャプロセスと連携して戻り方向ＡＣＬルックアッププロセスにより戻り方向ＡＣＬを検索する工程と、戻り方向セッションルックアップ部により戻り方向通信パケットについて戻り方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する工程とを含むことを特徴とする。
【００４０】
また、本発明のセッションテーブル管理方法は、セッションテーブルを用いて動的ＮＡＴ／ＮＡＰＴ機能および動的パケットフィルタ機能を実現するセキュリティゲートウェイルータ装置のセッションテーブル管理方法において、開始方向セッションルックアップ部により開始方向セッションテーブルの生成時に戻り方向ＡＣＬを検索し戻り方向セッションテーブルの生成の可否を判断する工程と、セッションマネージャプロセスにより新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除する工程と、開始方向ＡＣＬルックアッププロセスにより前記セッションマネージャプロセスと連携して開始方向ＡＣＬを検索する工程と、戻り方向ＡＣＬルックアッププロセスにより前記セッションマネージャプロセスと連携して戻り方向ＡＣＬを検索する工程と、前記セッションマネージャプロセスと連携してルーティングプロセスにより戻り方向通信パケットの転送先を解決する工程と、戻り方向セッションルックアップ部により戻り方向通信パケットについて戻り方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する工程とを含むことを特徴とする。
【００４１】
さらに、本発明のセッションテーブル管理方法は、開始方向ルータ部により開始方向通信パケットの転送先を解決する工程と、開始方向ＡＣＬルックアップ部により開始方向通信パケットについて開始方向ＡＣＬを検索する工程と、開始方向セッションルックアップ部により開始方向通信パケットについて開始方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する工程と、開始方向動的パケットフィルタ部により開始方向通信パケットの通過可否を判断する工程と、開始方向動的ＮＡＴ／ＮＡＰＴ部により開始方向通信パケットについて動的にネットワークアドレス／ポート変換を行う工程と、セッションマネージャプロセスにより新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除する工程と、前記セッションマネージャプロセスと連携してＮＡＴ／ＮＡＰＴマネージャプロセスによりネットワークアドレス／ポート割当てを行う工程と、前記セッションマネージャプロセスと連携して開始方向ＡＣＬルックアッププロセスにより開始方向ＡＣＬを検索する工程と、前記セッションマネージャプロセスと連携して戻り方向ＡＣＬルックアッププロセスにより戻り方向ＡＣＬを検索する工程と、前記セッションマネージャプロセスと連携して動的パケットフィルタマネージャプロセスにより戻り方向通信パケットの通過可否を判断する工程と、戻り方向セッションルックアップ部により戻り方向通信パケットについて戻り方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する工程と、戻り方向動的ＮＡＴ／ＮＡＰＴ部により前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットについてネットワークアドレス／ポート変換を行う工程と、戻り方向動的パケットフィルタ部により前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの通過可否を判断する工程と、戻り方向ルータ部により前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの転送先を解決する工程とを含むことを特徴とする。
【００４２】
さらにまた、本発明のセッションテーブル管理方法は、開始方向ルータ部により開始方向通信パケットの転送先を解決する工程と、開始方向ＡＣＬルックアップ部により開始方向通信パケットについて開始方向ＡＣＬを検索する工程と、開始方向セッションルックアップ部により開始方向通信パケットについて開始方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する工程と、開始方向動的パケットフィルタ部により開始方向通信パケットの通過可否を判断する工程と、開始方向動的ＮＡＴ／ＮＡＰＴ部により開始方向通信パケットについてネットワークアドレス／ポートの割り当てを行う工程と、セッションマネージャプロセスにより新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除する工程と、前記セッションマネージャプロセスと連携してＮＡＴ／ＮＡＰＴマネージャプロセスによりネットワークアドレス／ポートの割当てを行う工程と、前記セッションマネージャプロセスと連携して開始方向ＡＣＬルックアッププロセスにより開始方向ＡＣＬを検索する工程と、前記セッションマネージャプロセスと連携して戻り方向ＡＣＬルックアッププロセスにより戻り方向ＡＣＬを検索する工程と、前記セッションマネージャプロセスと連携して動的パケットフィルタマネージャプロセスにより戻り方向通信パケットの通過可否を判断する工程と、前記セッションマネージャプロセスと連携してルーティングプロセスにより戻り方向通信パケットの転送先を解決する工程と、戻り方向動的ＮＡＴ／ＮＡＰＴ部により前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットについてネットワークアドレス／ポート変換を行う工程と、戻り方向動的パケットフィルタ部により前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの通過可否を判断する工程と、戻り方向ルータ部により前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの転送先を解決する工程とを含むことを特徴とする。
【００４３】
また、本発明のセッションテーブル管理方法は、前記戻り方向セッションテーブルが、セッションエントリとして、ＩＰＤＡ，ＩＰＳＡ，プロトコル，Ｌ４ＤＰおよびＬ４ＳＰを保持するとともに、ＮＡＴ／ＮＡＰＴアクショテーブルをリンクすることを特徴とする。
【００４４】
さらに、本発明のセッションテーブル管理方法は、前記戻り方向セッションテーブルの生成時において、戻り方向通信が予測し評価される外部インタフェースを複数管理可能なインタフェースグループを定義することにより、複数インタフェースからの戻り方向通信パケットの管理を可能とすることを特徴とする。
【００４５】
本発明のセキュリティゲートウェイルータ装置は、動的ＮＡＴ／ＮＡＰＴや動的パケットフィルタ等に使用されるセッションテーブルを生成して登録する際に、あらかじめ戻り方向ＡＣＬを検索しておくことにより、無駄なセッションテーブルを生成しないこと、また、戻り方向ＡＣＬの検索処理を削減できることを特徴としている。さらに、セッションテーブル検索の際にインタフェースをグルーピングし、インタフェースグループＩＤを用いて管理することにより、複数インタフェースからの戻り方向通信を制御可能としている特徴がある。詳しくは、セッションテーブル検索キーにインタフェース番号を含めると、そのインタフェースからの受信時のみにセッションエントリが見つかる。この場合、戻り方向通信はインタフェース番号で表されるインタフェースからのみしか許可できない。ここで、インタフェースをグルーピングしてインタフェースグループＩＤを割り当てる。このインタフェースグループＩＤをインタフェース番号の代わりに割り当てれば、グループに属するインタフェースから受信したものがヒットする。
【００４６】
【発明の実施の形態】
以下、本発明の実施の形態について図面を参照しながら詳細に説明する。
【００４７】
［第１の実施の形態］
図１は、本発明の第１の実施の形態に係るセキュリティゲートウェイルータ装置の構成を示すブロック図である。本実施の形態に係るセキュリティゲートウェイルータ装置は、戻り方向セッションルックアップ部Ａ−１と、戻り方向動的ＮＡＴ／ＮＡＰＴ部Ａ−２と、戻り方向動的パケットフィルタ部Ａ−３と、戻り方向ルータ部Ａ−４と、開始方向ルータ部Ｂ−１と、開始方向ＡＣＬルックアップ部Ｂ−２と、開始方向セッションルックアップ部Ｂ−３と、開始方向動的パケットフィルタ部Ｂ−４と、開始方向動的ＮＡＴ／ＮＡＰＴ部Ｂ−５と、セッションマネージャプロセスＣ−１と、ＮＡＴ／ＮＡＰＴマネージャプロセスＣ−２と、開始方向ＡＣＬルックアッププロセスＣ−３と、戻り方向ＡＣＬルックアッププロセスＣ−４と、動的パケットフィルタマネージャプロセスＣ−５と、戻り方向セッションテーブルＴ−１と、開始方向セッションテーブルＴ−２と、開始方向ＡＣＬＴ−３と、戻り方向ＡＣＬＴ−４とから構成されている。
【００４８】
動的ＮＡＴ／ＮＡＰＴ機能または動的パケットフィルタ機能を適用する際の開始方向通信について開始方向通信パケットの受信インタフェース（またはインタフェースグループ）を内部ネットワークと定義する。また、開始方向通信パケットの送信インタフェース（またはインタフェースグループ）を外部ネットワークと定義する。
【００４９】
セキュリティゲートウェイルータ装置は、パケットをＩＰレイヤでスイッチする機能を有する。また、セキュリティゲートウェイルータ装置は、静的パケットフィルタ機能を有しており、ＡＣＬの設定によりパケット通過の可否を設定可能となっているのが、一般的である。静的パケットフィルタ機能は、ユーザがあらかじめパケットフローを特定して通過可否を指定する機能である。これに対して、動的パケットフィルタ機能は、あるトリガパケット（開始方向通信パケット）に対して動的にフィルタを行う機能である。静的パケットフィルタ機能にて拒否されても、動的パケットフィルタ機能で許可されると、そのパケットの通過を許可する。また、静的パケットフィルタ機能にて許可されても、動的パケットフィルタ機能で拒否されると、そのパケットの通過は拒否される。すなわち、動的パケットフィルタ機能が静的パケットフィルタ機能に優先する関係となっている。
【００５０】
このＡＣＬによる静的パケットフィルタ機能は、開始方向通信パケットに対するもの，および戻り方向通信パケットに対するものの２種類が設定可能となっている。さらに、開始方向ＡＣＬＴ−３および戻り方向ＡＣＬＴ−４は、パケットフィルタのみではなく、ポリシールーティング，ＱｏＳクラス識別，ＩＰｓｅｃポリシー識別のためにも使用される。
【００５１】
戻り方向セッションテーブルＴ−１は、開始方向通信セッションに対する戻り方向通信セッションを処理するためのテーブルである。最初の開始方向通信パケットが外部ネットワークへ転送されると同時に、戻り方向セッションテーブルＴ−１のセッションエントリが生成される。
【００５２】
図２を参照すると、戻り方向セッションテーブルＴ−１をセッション情報（ＩＰＤＡ，ＩＰＳＡ，Ｐｒｏｔｏｃｏｌ，Ｌ４等）で検索すると、ＮＡＴ／ＮＡＰＴアクショテーブルが得られる。これは、戻り方向セッションテーブルＴ−１からポインタで指される場合や、もしくは戻り方向セッションテーブルＴ−１に含まれる場合のどちらでもよい。ここでは、戻り方向セッションテーブルＴ−１にＮＡＴ／ＮＡＰＴアクションテーブルが含まれているとして考える。ＮＡＴ／ＮＡＰＴ動作設定とは、ＮＡＴまたはＮＡＰＴの処理指示，変換するアドレス，およびポート情報が設定される。開始方向通信のＮＡＴでは、転送元がＮＡＴされる。
【００５３】
開始方向セッションテーブルＴ−２は、開始方向通信パケットを処理するためのテーブルである。内部ネットワークから外部ネットワークへ向けて最初の開始方向通信パケットが許可され転送される際に生成される。開始方向セッションテーブルＴ−２も、戻り方向セッションテーブルＴ−１と同様の構成を持つ（図２参照）。
【００５４】
開始方向ルータ部Ｂ−１は、開始方向通信パケットのルーティングを実行（転送先を解決）する機能ブロックである。
【００５５】
開始方向ＡＣＬルックアップ部Ｂ−２は、開始方向通信パケットの通過可否のポリシー，動的ＮＡＴ／ＮＡＰＴ適用のポリシーなどの、ユーザにより設定されたルールを開始方向ＡＣＬＴ−３から検索する機能ブロックである。
【００５６】
開始方向セッションルックアップ部Ｂ−３は、開始方向通信パケットの通過可否を判断するために、開始方向セッションテーブルＴ−２を検索してセッションエントリの有無の判断を行い、セッションエントリ有りの場合はそれに付随する情報を取得する機能ブロックである。開始方向セッションテーブルＴ−２でセッションエントリの有無が評価されるが、セッションエントリ有りの場合は、開始方向セッションテーブルＴ−２からフィルタアクションテーブル（動作設定テーブル）およびＮＡＴ／ＮＡＰＴアクションテーブル（動作設定テーブル）がリンクされる。ここでは、これらを含めたテーブルを開始方向セッションテーブルＴ−２と呼ぶ。セッションテーブル検索キーがセッション情報（ＩＰＤＡ，ＩＰＳＡ，Ｐｒｏｔｏｃｏｌ，Ｌ４ＳＰ，Ｌ４ＤＰ等）でそれから得られる情報が、ＮＡＴ動作，フィルタ動作設定となる。ＮＡＴ／ＮＡＰＴアクションテーブルは、具体的には、アクションコード，変換アドレスおよび変換ポートからなる。アクションコードには、ＮＡＴする，ＮＡＰＴする，またはＮＡＴ／ＮＡＰＴしないを設定する。変換アドレスには、ＷＡＮへの送信側ではＩＰＳＡをここに設定されたアドレスに書き換えること，およびＷＡＮからの受信側ではＩＰＤＡをここに設定されたアドレスに書き換えることを設定する。変換ポートは、ＮＡＰＴ／ＮＡＰＴの際に有効となり、ＷＡＮへの送信側ではＬ４ＳＰをここに設定されたポート番号に書き換えること，およびＷＡＮからの受信側ではＬ４ＤＰ（Ｌａｙｅｒ ４ Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔ）をここに設定されたポート番号に書き換えることを設定する。
【００５７】
開始方向動的パケットフィルタ部Ｂ−４は、開始方向通信パケットについて開始方向セッションテーブルＴ−２を検索することにより得られた情報を元に動的に開始方向通信パケットの通過可否を判断する機能ブロックである。
【００５８】
開始方向動的ＮＡＴ／ＮＡＰＴ部Ｂ−５は、開始方向セッションテーブルＴ−２の検索により得られた情報を元に動的にネットワークアドレス／ポート変換を行う機能ブロックである。
【００５９】
戻り方向セッションルックアップ部Ａ−１は、戻り方向通信パケットについて戻り方向セッションテーブルＴ−１を検索してセッションエントリの有無を判断し、セッションエントリ有りの場合はそれに付随する情報を取得する機能ブロックである。
【００６０】
戻り方向動的ＮＡＴ／ＮＡＰＴ部Ａ−２は、戻り方向通信パケットについて戻り方向セッションテーブルＴ−１の検索により得られた情報に基づいて動的ＮＡＴ／ＮＡＰＴの処理（ネットワークアドレス／ポート変換）を行う機能ブロックである。
【００６１】
戻り方向動的パケットフィルタ部Ａ−３は、戻り方向通信パケットについて戻り方向セッションテーブルＴ−１の検索により得られた情報に基づいて動的に戻り方向通信パケットの通過可否を判断する機能ブロックである。
【００６２】
戻り方向ルータ部Ａ−４は、戻り方向通信パケットの転送先を解決する機能ブロックである。
【００６３】
セッションマネージャプロセスＣ−１は、新規セッションに関して、戻り方向セッションテーブルＴ−１および開始方向セッションテーブルＴ−２を生成し、また終了セッションに関して戻り方向セッションテーブルＴ−１および開始方向セッションテーブルＴ−２を削除するソフトウェアプロセスである。最初の開始方向通信パケットの受信時には、セッションテーブル生成要求がハードウェアより送られてくる。また、セッションマネージャプロセスＣ−１は、ＮＡＴ／ＮＡＰＴマネージャプロセスＣ−２，開始方向ＡＣＬルックアッププロセスＣ−３，戻り方向ＡＣＬルックアッププロセスＣ−４，および動的パケットフィルタマネージャプロセスＣ−５と連携して動作する。
【００６４】
ＮＡＴ／ＮＡＰＴマネージャプロセスＣ−２は、戻り方向動的ＮＡＴ／ＮＡＰＴ部Ａ−２のネットワークアドレス／ポート割当てを行うソフトウェアプロセスである。
【００６５】
開始方向ＡＣＬルックアッププロセスＣ−３は、開始方向通信パケットについて、開始方向ＡＣＬＴ−３に基づくパケットフィルタを行うソフトウェアプロセスである。（ただし、開始方向側ハードウェアで機能をサポートしている場合は不要になる。）
【００６６】
戻り方向ＡＣＬルックアッププロセスＣ−４は、開始方向通信パケットに対する戻り方向通信パケットについて戻り方向ＡＣＬＴ−４に基づくパケットフィルタ，ポリシールーティング，ＱｏＳポリシー，ＩＰｓｅｃ（ＩＰ Ｓｅｃｕｒｉｔｙ Ｐｒｏｔｏｃｏｌ）ポリシー等のフロー検索を行うソフトウェアプロセスである。（戻り方向側ハードウェアで機能をサポートしている場合でも必要である。）
【００６７】
動的パケットフィルタマネージャプロセスＣ−５は、戻り方向動的パケットフィルタ部Ａ−３および開始方向動的パケットフィルタ部Ｂ−４を管理するためのソフトウェアプロセスである。
【００６８】
以上、第１の実施の形態に係るセキュリティゲートウェイルータ装置の構成を述べたが、ＮＡＴ／ＮＡＰＴ機能，動的パケットフィルタ機能，ポリシールーティング機能，ルータ機能，ＡＣＬ検索は、当業者にとってよく知られており、また本発明とは直接関係しないので、その詳細な説明を省略する。
【００６９】
次に、このように構成された第１の実施の形態に係るセキュリティゲートウェイルータ装置の動作について、図３に示すフローチャートを参照しながら説明する。ここでは、ＮＡＴ／ＮＡＰＴ有りセッションの開設時の動作について説明する。
【００７０】
初期状態においては、開始方向セッションテーブルＴ−１および戻り方向セッションテーブルＴ−２には、セッションエントリは無い。
【００７１】
開始方向ルータ部開Ｂ−１は、開始方向通信パケットの転送先を解決する。
【００７２】
次に、開始方向ＡＣＬルックアップ部Ｂ−２は、開始方向ＡＣＬＴ−３の検索を行い、最初の開始方向通信パケットの送信可否を判断する。
【００７３】
最初に、開始方向通信パケットを受信した際、開始方向セッションルックアップ部Ｂ−３は、開始方向セッションテーブルＴ−２を検索しセッションエントリ無しと判断し、ハードウェアプロセスからソフトウェアプロセスのセッションマネージャプロセスＣ−１に開始方向通信パケット処理を引き渡す。
【００７４】
セッションマネージャプロセスＣ−１は、開始方向通信パケットについて、開始方向ＡＣＬＴ−３による評価，ネットワークアドレス／ポート割当て，通過可否判断を行えるように、それぞれのソフトウェアプロセスに処理を依頼する。セッションマネージャプロセスＣ−１は、処理結果を受け取り、セッションテーブル生成の要否を判断する。
【００７５】
さらに、セッションマネージャプロセスＣ−１は、予測される戻り方向通信の形で戻り方向通信パケットを受信すべきインタフェースに適用された戻り方向ＡＣＬＴ−４を評価し、許可された場合のみ戻り方向セッションテーブルＴ−１を生成する。ここで、“受信すべきインタフェース”は、セキュリティゲートウェイルータ装置がもつ論理的な受信回線を示す。これは、外部インタフェースであり、Ｅｔｈｅｒｎｅｔ（登録商標），ＰＯＳ（Ｐａｃｋｅｔ Ｏｖｅｒ Ｓｏｎｅｔ），ＡＴＭ（Ａｓｙｎｃｈｒｏｎｏｕｓ Ｔｒａｎｓｆｅｒ Ｍｏｄｅ）等の回線において、物理回線もしくはＶＣ（Ｖｉｒｔｕａｌ Ｃｈａｎｎｅｌ），ＶＬＡＮ（Ｖｉｒｔｕａｌ ＬＡＮ）のような論理回線を示す。
【００７６】
戻り方向動的ＮＡＴ／ＮＡＰＴ部Ａ−２との併用においても、開始方向通信パケットの受信時の形（内部アドレスベース）で戻り方向通信を予測し評価する。戻り方向ＡＣＬＴ−４は、ＩＰパケットフィルタの他にポリシールーティング，ＩＰｓｅｃポリシー解決等にも使用されるため、これらの処理を開始方向通信の最初の１パケットのみに実施することにより、その後の戻り方向通信パケットについて戻り方向ＡＣＬＴ−４の検索をする必要がなくなる。
【００７７】
まず、動的ＮＡＴ／ＮＡＰＴ機能が適用される場合、通信が開始される方向は、プライベートネットワークからグローバルネットワークへ送信される方向となる。開始方向動的ＮＡＴ／ＮＡＰＴ部Ｂ−５は、セッションが開始される際にネットワークアドレス／ポートを割り当てることにより有限なグローバルアドレスをシェアして使うことになる。
【００７８】
ここで、開始方向セッションテーブルＴ−２および戻り方向セッションテーブルＴ−１のへのセッションエントリ登録方法を、図３のフローチャートを参照して説明する。
【００７９】
最初の開始方向通信パケットを受信した際は、開始方向セッションテーブルＴ−２のセッションエントリはまだ存在しない。この場合、開始方向セッションテーブルＴ−２の検索の結果（ステップＳ１０２）、セッションエントリ無しと判断される（ステップＳ１０３でノー）。セッションエントリ無しの開始方向通信パケットは、ソフトウェアプロセスのセッションマネージャプロセスＣ−１に渡され、開始方向通信パケットであるためにセッションの開設を行う必要がある。
【００８０】
セッションマネージャプロセスＣ−１は、開始方向通信パケットについて開始方向セッションテーブルＴ−２のセッションエントリを作成する。
【００８１】
詳しくは、セッションマネージャプロセスＣ−１は、動的ＮＡＴ／ＮＡＰＴ機能が適用される場合（ステップＳ１１１でイエス）、ＮＡＴ／ＮＡＰＴマネージャプロセスＣ−２と連携してネットワークアドレス／ポートを割り当てる（ステップＳ１１２）。
【００８２】
次に、セッションマネージャプロセスＣ−１は、動的パケットフィルタ機能が適用される場合（ステップＳ１１３でイエス）、動的パケットフィルタマネージャプロセスＣ−５と連携してステート監視制御を行う（ステップＳ１１４）。
【００８３】
続いて、セッションマネージャプロセスＣ−１は、開始方向セッションテーブルＴ−２および戻り方向セッションテーブルＴ−１を変換後（ステップＳ１１７）、開始方向ＡＣＬルックアッププロセスＣ−３および戻り方向ＡＣＬルックアッププロセスＣ−４と連携して開始方向ＡＣＬＴ−３および戻り方向ＡＣＬＴ−４を検索して、開始方向通信用セッションおよび戻り方向用セッションを開始方向セッションテーブルＴ−２および戻り方向セッションテーブルＴ−１に登録する（ステップＳ１１５およびステップＳ１１６）。この際、戻り方向ＡＣＬＴ−４の検索を変換前の形で実行し、その結果を戻り方向セッションテーブルＴ−１へ反映する。ただし、戻り方向通信で拒否されるパケットについては、セッションを登録しないことにする。
【００８４】
最初の開始方向通信パケットが処理されると、開始方向セッションテーブルＴ−２および戻り方向セッションテーブルＴ−１のセッションエントリが登録され、次の開始方向パケットからは開始方向セッションテーブルＴ−２のセッションエントリ有りと判断され（ステップＳ１０３でイエス）、ハードウェアによる転送が行われる。
【００８５】
詳しくは、開始方向セッションルックアップ部Ｂ−３は、開始方向セッションテーブルＴ−２より動的ＮＡＴ／ＮＡＰＴ情報を取得し（ステップＳ１０４）、動的ＮＡＴ／ＮＡＰＴ機能の対象であれば（ステップＳ１０５でイエス）、動的ＮＡＴ／ＮＡＰＴ情報のエディット処理を行う（ステップＳ１０６）。
【００８６】
次に、開始方向動的パケットフィルタ部Ｂ−４は、開始方向セッションテーブルＴ−２よりステート情報を取得し（ステップＳ１０７）、動的パケットフィルタ対象であれば（Ｓ１０８でイエス）、ステートチェックおよび更新処理を行う（ステップＳ１０９）。
【００８７】
この後、開始方向動的ＮＡＴ／ＮＡＰＴ部Ｂ−５は、開始方向通信パケットを送信する（ステップＳ１１０）。
【００８８】
一方、戻り方向通信パケットに関しては、あらかじめ戻り方向ＡＣＬＴ−４の検索等が先頭の開始方向通信パケットに関して完了しているので、その結果が反映された戻り方向セッションテーブルＴ−１を検索するのみで処理を行うことが可能となる。
【００８９】
詳しくは、戻り方向通信パケットがあると、戻り方向セッションルックアップ部Ａ−１は、戻り方向ＡＣＬＴ−４を検索し（ステップＳ２０１）、戻り方向セッションテーブルＴ−１を検索し（ステップＳ２０２）、セッションエントリがなければ（ステップＳ２０３でノー）、戻り方向通信パケットを拒否する（ステップＳ２０４）。
【００９０】
セッションエントリがあれば（ステップＳ２０３でイエス）、戻り方向動的ＮＡＴ／ＮＡＰＴ部Ａ−１は、戻り方向セッションテーブルＴ−１より動的ＮＡＴ／ＮＡＰＴ情報を取得し（ステップＳ２０４）、動的ＮＡＴ／ＮＡＰＴ機能の対象であれば（ステップＳ２０５でイエス）、動的ＮＡＴ／ＮＡＰＴ情報のエディット処理を行う（ステップＳ２０６）。
【００９１】
次に、戻り方向動的パケットフィルタ部Ａ−３は、戻り方向セッションテーブルＴ−１よりステート情報を取得し（ステップＳ２０９）、動的パケットフィルタ対象であれば（Ｓ２１０でイエス）、ステートチェックおよび更新処理を行う（ステップＳ２１１）。
【００９２】
その後、戻り方向ルータ部Ａ−４は、戻り方向通信パケットの転送先を解決し、戻り方向通信パケットを転送する（ステップＳ２１２）。
【００９３】
第１の実施の形態によれば、戻り方向通信パケットの変換後、ＡＣＬ検索により動的ＮＡＴ／ＮＡＰＴ変換後のフローの転送先（Ｄｅｓｔｉｎａｔｉｏｎ）と転送元（Ｓｏｕｒｃｅ）とを反転した形で戻り、インタフェースのＡＣＬを検索して、その結果を戻り方向セッションテーブルＴ−１に登録しておく。このため、戻り方向通信パケットでは、戻り方向セッションテーブルＴ−１でヒットしたならば、戻りＡＣＬＴ−４を検索する必要がなくなる。
【００９４】
また、開始方向セッションテーブルＴ−２および戻り方向セッションテーブルＴ−１の作成時に戻り方向通信を予測し評価して戻り方向ＡＣＬＴ−４等の検索処理を実行しているので、戻り方向通信に対するハードウェアによるパケット処理としては戻り方向セッションテーブルＴ−１の検索処理のみに負荷を低減できる。これにより、戻り方向通信パケットの処理においては、戻り方向動的ＮＡＴ／ＮＡＰＴ部Ａ−２での変換後の戻り方向ＡＣＬＴ−４の検索処理を削減することができるため、ハードウェアによるパケット転送能力を向上することが可能である。
【００９５】
さらに、戻り方向セッションテーブルＴ−１の生成時において、戻り方向通信が予測し評価される外部インタフェースを複数管理可能なインタフェースグループを定義することにより、複数インタフェースからの戻り方向通信パケットの管理を可能としている。例えば、セキュリティゲートウェイルータ装置のインタフェースが＃１〜＃６まである場合、外部インタフェースが＃１，＃２で、ＬＡＮ側インタフェースが＃３，＃４で、ＤＭＺ（ＤｅＭｉｌｉｔａｒｉｚｅｄ Ｚｏｎｅ）側インタフェースが＃５，＃６であったとすると、これらを種別ごとにグルーピングする。すなわち、グループ＃１（インタフェース＃１，＃２），グループ＃２（インタフェース＃３，＃４），グループ＃３（インタフェース＃５，＃６）というようにする。
【００９６】
また、インタフェースをインタフェースグループとして管理しているので、開始方向通信の送信インタフェース以外のインタフェースから戻ってきた戻り方向通信パケットであってもインタフェースグループが同一ならば処理可能となり、外部インタフェースを複数定義できる。ここで、企業ネットワークのエッジに置かれファイアウォールとして利用されることを想定すると、外部インタフェースは、企業からインターネットへ接続するインタフェース（回線）を指す。現在では、ＰＰＰｏＥ（Ｐｏｉｎｔ−ｔｏ−Ｐｏｉｎｔ Ｐｒｏｔｏｃｏｌ ｏｖｅｒ Ｅｔｈｅｒｎｅｔ（登録商標））やＦＴＴＨ（Ｆｉｂｅｒ Ｔｏ Ｔｈｅ Ｈｏｍｅ）が主流と考えられる。
【００９７】
［第２の実施の形態］
図４を参照すると、本発明の第２の実施の形態に係るセキュリティゲートウェイルータ装置は、図１に示した第１の実施の形態に係るセキュリティゲートウェイルータ装置に対して、ソフトウェアプロセスとしてルーティングプロセスＣ−６を追加した構成となっている。したがって、対応する部分には同一符号を付してそれらの詳しい説明を省略する。
【００９８】
第２の実施の形態に係るセキュリティゲートウェイルータ装置では、さらにルーティング検索についてもあらかじめ行うことにより、戻り方向ルータ部Ａ−４におけるルーティング検索処理も削減している。ルーティングプロセスＣ−６は、転送先を解決するソフトウェアプロセスであり、戻り方向ルータ部Ａ−４と同等の動作をソフトウェアで行うものである。
【００９９】
本発明の第２の実施の形態として、その基本的構成は上記の通りであるが、動的ＮＡＴ／ＮＡＰＴと同時に動作するのが、動的パケットフィルタだけでなく、ポリシールーティング，ＱｏＳクラス識別，ＩＰｓｅｃポリシー検索といったようにパケットヘッダにより検索が必要となる機能であれば効果がある。
【０１００】
セッションマネージャプロセスＣ−１は、開始方向セッションテーブルＴ−２および戻り方向セッションテーブルＴ−１を変換後（ステップＳ１１７）、ルーティングプロセスＣ−６と連携して戻り方向通信に対するルーティングテーブル（図示せず）を検索して転送先情報も戻り方向セッションテーブルＴ−１に関連付ける。詳しくは、開始方向のフローがわかれば、戻り方向のフローがわかるので、開始方向通信パケットを送信する際に、あらかじめ戻り方向のフロー（ソースとディスティネーションとを反転）で戻り方向通信パケットを受信するインタフェース（ＷＡＮへ出て行った場合はＷＡＮインタフェース）に適用されている戻り方向ＡＣＬＴ−４を検索する。戻り方向ＡＣＬＴ−４の検索にてフィルタ結果が得られた場合は、その結果を戻り方向セッションテーブルＴ−１にリンクさせる。動的ＮＡＴ／ＮＡＰＴ処理も同様にリンクさせる。さらに、ポリシールーティングのＡＣＬや、ルーティングテーブルを検索することにより、転送先インタフェースの情報を得ておき、これも戻り方向セッションテーブルＴ−１にリンクさせておく。ルーティングテーブルから得られるのは、転送先インタフェース（戻り方向ルータ部Ａ−４のインタフェース）になる。
【０１０１】
この後、セッションマネージャプロセスＣ−１は、開始方向ＡＣＬルックアッププロセスＣ−３および戻り方向ＡＣＬルックアッププロセスＣ−４と連携して開始方向ＡＣＬＴ−３および戻り方向ＡＣＬＴ−４を検索して、開始方向通信用セッションおよび戻り方向用セッションを開始方向セッションテーブルＴ−２および戻り方向セッションテーブルＴ−１に登録する（ステップＳ１１５およびステップＳ１１６）。
【０１０２】
次に、このように構成された第２の実施の形態に係るセキュリティゲートウェイルータ装置の動作について、第１の実施の形態に係るセキュリティゲートウェイルータ装置の動作との相違する点を中心に、図５に示すフローチャートを参照しながら簡単に説明する。
【０１０３】
第２の実施の形態によれば、開始方向通信パケットが到着し、セッションエントリを生成して開始方向セッションテーブルＴ−２に登録する際に、戻り方向ＡＣＬＴ−４のみでなく戻り方向通信に対するルーティングテーブル（図示せず）を検索し転送先情報も戻り方向セッションテーブルＴ−１に関連付けておくことにより、戻り方向ルータ部Ａ−４での転送先検索処理を削減でき、ハードウェアがパケット毎に行う処理負荷を低減できるという効果が得られる。
【０１０４】
【発明の効果】
以上説明したように、本発明においては、以下のような効果を奏する。
【０１０５】
第１の効果は、セッションテーブル作成時に戻り方向通信を予測し評価してＡＣＬ等の検索処理を実行しているので、戻り方向通信に対するハードウェアによるパケット処理としてはセッションテーブル検索処理のみに負荷を低減できることである。
【０１０６】
第２の効果は、インタフェースをインタフェースグループとして管理しているので、開始方向通信の送信インタフェース以外のインタフェースから戻ってきたパケットであってもグループが同一ならば処理可能となり、外部インタフェースを複数定義できることである。
【図面の簡単な説明】
【図１】本発明の第１の実施の形態に係るセキュリティゲートウェイルータ装置の構成を示すブロック図である。
【図２】図１中の戻り方向セッションテーブルおよび開始方向セッションテーブルのセッション情報およびそれにリンクされたＮＡＴ／ＮＡＰＴアクショテーブル等を示す図である。
【図３】第１の実施の形態に係るセキュリティゲートウェイルータ装置の動作を示すフローチャートである。
【図４】本発明の第２の実施の形態に係るセキュリティゲートウェイルータ装置の構成を示すブロック図である。
【図５】第２の実施の形態に係るセキュリティゲートウェイルータ装置の動作を示すフローチャートである。
【図６】従来のセキュリティゲートウェイルータ装置の構成を示すブロック図である。
【図７】従来のセキュリティゲートウェイルータ装置の動作を示すフローチャートである。
【符号の説明】
Ａ−１ 戻り方向セッションルックアップ部
Ａ−２ 戻り方向動的ＮＡＴ／ＮＡＰＴ部
Ａ−３ 動的パケットフィルタ部
Ａ−４ 戻り方向ルータ部
Ｂ−１ 開始方向ルータ部
Ｂ−２ 開始方向パケットフィルタ部
Ｂ−３ 開始方向セッションルックアップ部
Ｂ−４ 開始方向動的パケットフィルタ部
Ｂ−５ 開始方向動的ＮＡＴ／ＮＡＰＴ部
Ｃ−１ セッションマネージャプロセス
Ｃ−２ ＮＡＴ／ＮＡＰＴマネージャプロセス
Ｃ−３ ＡＣＬルックアッププロセス
Ｃ−４ ＡＣＬルックアッププロセス
Ｃ−５ 動的パケットフィルタマネージャプロセス
Ｃ−６ ルーティングプロセス
Ｔ−１ 戻り方向セッションテーブル
Ｔ−２ 開始方向セッションテーブル
Ｔ−３ 開始方向ＡＣＬ
Ｔ−４ 戻り方向ＡＣＬ
本発明はセキュリティゲートウェイルータ装置およびセッションテーブル管理方法に関し、特にセッションテーブルを用いて動的ＮＡＴ／ＮＡＰＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ／Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｐｏｒｔ Ｔｒａｎｓｌａｔｉｏｎ）機能および動的パケットフィルタ機能を実現するセキュリティゲートウェイルータ装置およびセッションテーブル管理方法に関する。
【０００２】
【従来の技術】
ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）ネットワークにおいてＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）等の内部ネットワークとＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）等の外部ネットワークとの間に配備されるセキュリティゲートウェイルータ装置では、動的パケットフィルタ機能（ファイヤウォール機能），動的ＮＡＴ／ＮＡＰＴ（ネットワークアドレス／ポート変換）機能，ロードバランス（負荷分散）機能等の複数の機能が同時に要求される。
【０００３】
従来、これらの機能は、各々の装置または機能ブロックにより各々のセッションテーブル（レイヤ４レベルでの通信を管理するテーブル）を利用して実現されている。
【０００４】
図６は、従来のセキュリティゲートウェイルータ装置の一例を示すブロック図である。このセキュリティゲートウェイルータ装置は、戻り方向動的ＮＡＴ／ＮＡＰＴ部Ｄ−１と、戻り方向ＡＣＬ（ＡＣＣＥＳＳ ＣｏｎｔｒｏＬ Ｌｉｓｔ）ルックアップ部Ｄ−２と、戻り方向動的パケットフィルタ部Ｄ−３と、戻り方向ルータ部Ｄ−４と、開始方向ルータ部Ｅ−１と、開始方向動的パケットフィルタ部Ｅ−２と、開始方向ＡＣＬルックアップ部Ｅ−３と、開始方向動的ＮＡＴ／ＮＡＰＴ部Ｅ−４と、ＮＡＴ／ＮＡＰＴセッションマネージャプロセスＦ−１と、動的フィルタセッションマネージャプロセスＦ−２と、戻り方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−１と、戻り方向ＡＣＬＵ−２と、戻り方向フィルタセッションテーブルＵ−３と、開始方向フィルタセッションテーブルＵ−５と、開始方向ＡＣＬＵ−６と、開始方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−７とから構成されている。
【０００５】
次に、この従来のセキュリティゲートウェイルータ装置の動作について、図７のフローチャートを参照しながら説明する。
【０００６】
開始方向ルータ部Ｅ−１は、開始方向通信パケットの転送先を解決する。通信セッションは、開始方向ルータ部Ｅ−１により送信側プロセスに転送されてくる。
【０００７】
次に、開始方向動的パケットフィルタ部Ｅ−２は、開始方向フィルタセッションテーブルＵ−５を検索して（ステップＳ１０２）、開始方向通信パケットの通過可否を判断する。ここで、通信セッションの最初のパケット受信時には、開始方向フィルタセッションテーブルＵ−５にセッションエントリは存在しない。この場合、開始方向動的パケットフィルタ部Ｅ−２は、開始方向セッションテーブルＵ−２の検索の結果、セッションエントリ無しと判定し（ステップＳ１０３でノー）、ソフトウェアプロセスへパケット処理を引き渡す。具体的には、動的パケットフィルタセッションマネージャプロセスＦ−２がパケット処理を引き取る。
【０００８】
動的パケットフィルタセッションマネージャプロセスＦ−２は、動的パケットフィルタ機能が適用される場合（ステップＳ１１３でイエス）、ステート監視制御を行う（ステップＳ１１４）。
【０００９】
次に、動的パケットフィルタセッションマネージャプロセスＦ−２は、開始方向フィルタセッションテーブルＵ−５と、戻り方向通信を予測し評価して戻り方向フィルタセッションテーブルＵ−３とを生成してセッションエントリを登録する（ステップＳ１１５およびステップＳ１１６）。ここで、戻り方向通信パケットは、開始方向通信パケットのＩＰヘッダおよびＬ４ヘッダの転送先（Ｄｅｓｔｉｎａｔｉｏｎ）と転送元（Ｓｏｕｒｃｅ）とを逆転させたものとなる。例えば、開始方向通信パケットのヘッダがＩＰＤＡ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ｄｅｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓ）＝Ｂ，ＩＰＳＡ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ｓｏｕｒｃｅ Ａｄｄｒｅｓｓ）＝ａ，Ｐｒｏｔｏｃｏｌ＝ＴＣＰ，Ｌ４ＤＰ（Ｌａｙｅｒ ４ Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔ）＝ｄ，Ｌ４ＳＰ（Ｌａｙｅｒ ４ Ｓｏｕｒｃｅ Ｐｏｒｔ）＝ｃである場合、戻り方向通信パケットのヘッダはＩＰＤＡ＝ａ，ＩＰＳＡ＝Ｂ，Ｐｒｏｔｏｃｏｌ＝ＴＣＰ，Ｌ４ＤＰ＝ｃ，Ｌ４ＳＰ＝ｄとなる。
【００１０】
次に、開始方向ＡＣＬルックアップ部Ｅ−３は、開始方向ＡＣＬＵ−６の検索を行い、最初の開始方向通信パケットの送信可否を判断する（ステップＳ１０１）。（動的パケットフィルタ部Ｅ−２より先に処理してもよい）。
【００１１】
続いて、開始方向動的ＮＡＴ／ＮＡＰＴ部Ｅ−４は、必要に応じて送信可能な開始方向通信パケットに対して動的ＮＡＴ／ＮＡＰＴ処理を施す。最初の開始方向通信パケットに関しては、ネットワークアドレス／ポートが割り当てられていないため、開始方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−７にセッションエントリが無い（ステップＳ１０３でノー）。この際、開始方向動的ＮＡＴ／ＮＡＰＴ部Ｅ−４は、開始方向動的パケットフィルタ部Ｅ−２と同様な手順で、ソフトウェアプロセスであるＮＡＴ／ＮＡＰＴセッションマネージャプロセスＦ−１へ処理を引き渡す。
【００１２】
ＮＡＴ／ＮＡＰＴセッションマネージャプロセスＦ−１は、動的ＮＡＴ／ＮＡＰＴ機能の対象であれば（ステップＳ１１１でイエス）、ネットワークアドレス／ポートの割当てを行う（ステップＳ１１２）。
【００１３】
次に、ＮＡＴ／ＮＡＰＴセッションマネージャプロセスＦ−１は、開始方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−７および戻り方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−１を生成してセッションエントリを登録する（ステップＳ１１５およびステップＳ１１６）。開始方向通信パケットに関しては、ＩＰＳＡおよびＬ４ＳＰが変換されることになるため、開始方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−７は、ＩＰＤＡ＝Ｂ，ＩＰＳＡ＝ａ，Ｐｒｏｔｏｃｏｌ＝ＴＣＰ，Ｌ４ＤＰ＝ｄ，Ｌ４ＳＰ＝ｃで登録される。この際、開始方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−７から開始方向通信パケットのＮＡＴ／ＮＡＰＴ処理指示が検索可能なように設定する。ハードウェアは、開始方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−７を検索してネットワークアドレス／ポート変換を実施する。また、戻り方向通信パケットは、グローバルベースの通信に対する戻りであるため、ＩＰＤＡ＝Ａ，ＩＰＳＡ＝Ｂ，Ｐｒｏｔｏｃｏｌ＝ＴＣＰ，Ｌ４ＤＰ＝ｃ，Ｌ４ＳＰ＝ｄとなり、戻り方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−１より戻り方向通信パケットに対するＮＡＴ／ＮＡＰＴ指定がなされる。
【００１４】
最初の開始方向通信パケットが処理されると、開始方向フィルタセッションテーブルＵ−５および開始方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−７，ならびに戻り方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−１および戻り方向フィルタセッションテーブルＵ−３のセッションエントリが登録され、次の開始方向通信パケットからは開始方向フィルタセッションテーブルＵ−５および開始方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−７のセッションエントリ有りと判断され（ステップＳ１０３でイエス）、ハードウェアによる転送が行われる。
【００１５】
詳しくは、開始方向動的ＮＡＴ／ＮＡＰＴ部Ｅ−４は、開始方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−７より動的ＮＡＴ／ＮＡＰＴ情報を取得し（ステップＳ１０４）、動的ＮＡＴ／ＮＡＰＴ機能の対象であれば（ステップＳ１０５でイエス）、動的ＮＡＴ／ＮＡＰＴのエディット処理を行う（ステップＳ１０６）。
【００１６】
次に、開始方向動的パケットフィルタ部Ｅ−２は、開始方向フィルタセッションテーブルＵ−５よりステート情報を取得し（ステップＳ１０７）、動的パケットフィルタ対象であれば（Ｓ１０８でイエス）、ステートチェックおよび更新処理を行う（ステップＳ１０９）。
【００１７】
その後、開始方向動的ＮＡＴ／ＮＡＰＴ部Ｅ−４は、開始方向通信パケットを送信する（ステップＳ１１０）。
【００１８】
一方、戻り方向通信パケットについては、まず始めに、戻り方向ＡＣＬルックアップ部Ｄ−２が、グローバルアドレスベースで戻り方向ＡＣＬＵ−２の検索を行う（ステップＳ２０１）。戻り方向動的ＮＡＴ／ＮＡＰＴ部Ｄ−１の手前で戻り方向通信パケットに対してグローバルアドレスベース（受信時のパケット情報）にて戻り方向ＡＣＬＵ−２の検索が実施される。
【００１９】
戻り方向通信パケットで戻り方向ＮＡＴ／ＮＡＴＰセッションテーブルＵ−１のセッションエントリが無い場合は（ステップＳ２０３でノー）、戻り方向動的ＮＡＴ／ＮＡＰＴ部Ｄ−１は、この戻り方向通信パケットを拒否する（ステップＳ２０４）。
【００２０】
次に、戻り方向動的ＮＡＴ／ＮＡＰＴ部Ｄ−１は、戻り方向通信パケットに対してネットワークアドレス／ポート変換を行う。開始方向通信パケットが送信された際に戻り方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−１のセッションエントリが登録されているため（ステップＳ２０３でイエス）、戻り方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−１を検索して戻り方向動的ＮＡＴ／ＮＡＰＴ部Ｄ−１のアクションを解決する。戻り方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−１を検索すると、通信開始時に登録済みのセッションエントリにヒットする。ここには、開始方向通信に対して払い出したネットワークアドレス／ポートが戻り方向通信に対しても設定されている。具体的には、ＮＡＴ／ＮＡＰＴ実行，変換アドレス，および変換ポートがアクションテーブルに設定される。
【００２１】
戻り方向ＮＡＴ／ＮＡＴＰセッションテーブルＵ−１にセッションエントリがある場合は（ステップＳ２０３でイエス）、戻り方向動的ＮＡＴ／ＮＡＰＴ部Ｄ−１は、戻り方向通信パケットについてネットワークアドレス／ポート変換を行う。
【００２２】
詳しくは、戻り方向動的ＮＡＴ／ＮＡＰＴ部Ｄ−１は、戻り方向セッションテーブルＵ−１より動的ＮＡＴ／ＮＡＰＴ情報を取得し（ステップＳ２０５）、動的ＮＡＴ／ＮＡＰＴの対象であれば（ステップＳ２０６でイエス）、動的ＮＡＴ／ＮＡＰＴのエディット処理を行う（ステップＳ２０７）。
【００２３】
次に、戻り方向ＡＣＬルックアップ部Ｄ−２は、プライベートアドレスに変換した形で戻り方向ＡＣＬＵ−２の検索を実行する（ステップＳ２０８）。この際、戻り方向ＡＣＬＵ−２の検索は、ポリシールーティング，ＱｏＳ（Ｑｕａｌｉｔｙ ｏｆ Ｓｅｒｖｉｃｅ）クラス識別等のために使用されるため、プライベートアドレスベースでの戻り方向ＡＣＬＵ−２の検索が必要となる。
【００２４】
続いて、戻り方向動的パケットフィルタ部Ｄ−３は、戻り方向フィルタセッションテーブルＵ−３よりステート情報を取得し（ステップＳ２０９）、動的パケットフィルタ対象であれば（Ｓ２１０でイエス）、ステートチェックおよび更新処理を行う（ステップＳ２１１）。
【００２５】
その後、戻り方向ルータ部Ｄ−４は、転送先を解決し、戻り方向通信パケットを転送する（ステップＳ２１２）。
【００２６】
戻り方向通信パケットに関しては、あらかじめ戻り方向ＡＣＬＵ−４の検索等が先頭の開始方向通信パケットに関して完了しているので、その結果が反映された戻り方向ＮＡＴ／ＮＡＰＴセッションテーブルＵ−１を検索するのみで処理を行うことが可能となる。
【００２７】
【発明が解決しようとする課題】
しかしながら、上述した従来のセキュリティゲートウェイルータ装置には、ハードウェアによる実現を考慮する場合、次のような課題がある。
【００２８】
第１の課題は、戻り方向ＮＡＴ／ＮＡＰＴセッションテーブルおよび戻り方向フィルタセッションテーブルという２つのセッションテーブルを使用しているので、セッションテーブルの検索回数が複数回となるために処理性能が低下するということである。
【００２９】
第２の課題は、動的ＮＡＴ／ＮＡＰＴ機能がある戻り方向通信についてセッションテーブルの検索に加え、戻り方向通信パケットに対する戻り方向ＡＣＬの検索処理が全戻り方向通信パケットについて必要になるために処理負荷が高いということである。
【００３０】
第３の課題は、動的ＮＡＴ／ＮＡＰＴ機能および動的パケットフィルタ機能の戻り方向通信について同一インタフェースからの戻りのみしか許可できないということである。ここで、インタフェースとは、ルータなどの通信装置のもつ外部インタフェース（物理回線，論理回線）を意味する。
【００３１】
本発明の目的は、セッション確立後の処理性能を向上させるようにしたセキュリティゲートウェイルータ装置を提供することにある。
【００３２】
また、本発明の他の目的は、複数インタフェースからの戻り方向通信パケットを許容するセキュリティゲートウェイルータ装置を提供することにある。
【００３３】
【課題を解決するための手段】
本発明のセキュリティゲートウェイルータ装置は、セッションテーブルを用いて動的ＮＡＴ／ＮＡＰＴ機能および動的パケットフィルタ機能を実現するセキュリティゲートウェイルータ装置において、開始方向セッションテーブルの生成時に戻り方向ＡＣＬを検索し戻り方向セッションテーブルの生成の可否を判断する開始方向セッションルックアップ部と、新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除するセッションマネージャプロセスと、前記セッションマネージャプロセスと連携して開始方向ＡＣＬを検索する開始方向ＡＣＬルックアッププロセスと、前記セッションマネージャプロセスと連携して戻り方向ＡＣＬを検索する戻り方向ＡＣＬルックアッププロセスと、戻り方向通信パケットについて戻り方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する戻り方向セッションルックアップ部とを有することを特徴とする。
【００３４】
また、本発明のセキュリティゲートウェイルータ装置は、セッションテーブルを用いて動的ＮＡＴ／ＮＡＰＴ機能および動的パケットフィルタ機能を実現するセキュリティゲートウェイルータ装置において、開始方向セッションテーブルの生成時に戻り方向ＡＣＬを検索し戻り方向セッションテーブルの生成の可否を判断する開始方向セッションルックアップ部と、新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除するセッションマネージャプロセスと、前記セッションマネージャプロセスと連携して開始方向ＡＣＬを検索する開始方向ＡＣＬルックアッププロセスと、前記セッションマネージャプロセスと連携して戻り方向ＡＣＬを検索する戻り方向ＡＣＬルックアッププロセスと、前記セッションマネージャプロセスと連携して戻り方向通信パケットの転送先を解決するルーティングプロセスと、戻り方向通信パケットについて戻り方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する戻り方向セッションルックアップ部とを有することを特徴とする。
【００３５】
さらに、本発明のセキュリティゲートウェイルータ装置は、開始方向通信パケットの転送先を解決する開始方向ルータ部と、開始方向通信パケットについて開始方向ＡＣＬを検索する開始方向ＡＣＬルックアップ部と、開始方向通信パケットについて開始方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する開始方向セッションルックアップ部と、開始方向通信パケットの通過可否を判断する開始方向動的パケットフィルタ部と、開始方向通信パケットについて動的にネットワークアドレス／ポート変換を行う開始方向動的ＮＡＴ／ＮＡＰＴ部と、新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除するセッションマネージャプロセスと、前記セッションマネージャプロセスと連携してネットワークアドレス／ポート割当てを行うＮＡＴ／ＮＡＰＴマネージャプロセスと、前記セッションマネージャプロセスと連携して開始方向ＡＣＬを検索する開始方向ＡＣＬルックアッププロセスと、前記セッションマネージャプロセスと連携して戻り方向ＡＣＬを検索する戻り方向ＡＣＬルックアッププロセスと、前記セッションマネージャプロセスと連携して戻り方向通信パケットの通過可否を判断する動的パケットフィルタマネージャプロセスと、戻り方向通信パケットについて戻り方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する戻り方向セッションルックアップ部と、前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットについてネットワークアドレス／ポート変換を行う戻り方向動的ＮＡＴ／ＮＡＰＴ部と、前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの通過可否を判断する戻り方向動的パケットフィルタ部と、前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの転送先を解決する戻り方向ルータ部とを有することを特徴とする。
【００３６】
さらに、本発明のセキュリティゲートウェイルータ装置は、開始方向通信パケットの転送先を解決する開始方向ルータ部と、開始方向通信パケットについて開始方向ＡＣＬを検索する開始方向ＡＣＬルックアップ部と、開始方向通信パケットについて開始方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する開始方向セッションルックアップ部と、開始方向通信パケットの通過可否を判断する開始方向動的パケットフィルタ部と、開始方向通信パケットについてネットワークアドレス／ポートの割り当てを行う開始方向動的ＮＡＴ／ＮＡＰＴ部と、新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除するセッションマネージャプロセスと、前記セッションマネージャプロセスと連携してネットワークアドレス／ポートの割当てを行うＮＡＴ／ＮＡＰＴマネージャプロセスと、前記セッションマネージャプロセスと連携して開始方向ＡＣＬを検索する開始方向ＡＣＬルックアッププロセスと、前記セッションマネージャプロセスと連携して戻り方向ＡＣＬを検索する戻り方向ＡＣＬルックアッププロセスと、前記セッションマネージャプロセスと連携して戻り方向通信パケットの通過可否を判断する動的パケットフィルタマネージャプロセスと、前記セッションマネージャプロセスと連携して戻り方向通信パケットの転送先を解決するルーティングプロセスと、前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットについてネットワークアドレス／ポート変換を行う戻り方向動的ＮＡＴ／ＮＡＰＴ部と、前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの通過可否を判断する戻り方向動的パケットフィルタ部と、前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの転送先を解決する戻り方向ルータ部とを有することを特徴とする。
【００３７】
さらにまた、本発明のセキュリティゲートウェイルータ装置は、前記戻り方向セッションテーブルが、セッションエントリとして、ＩＰＤＡ，ＩＰＳＡ，プロトコル，Ｌ４ＤＰおよびＬ４ＳＰを保持するとともに、ＮＡＴ／ＮＡＰＴアクショテーブルをリンクすることを特徴とする。
【００３８】
また、本発明のセキュリティゲートウェイルータ装置は、前記戻り方向セッションテーブルの生成時において、戻り方向通信が予測し評価される外部インタフェースを複数管理可能なインタフェースグループを定義することにより、複数インタフェースからの戻り方向通信パケットの管理を可能とすることを特徴とする。
【００３９】
一方、本発明のセッションテーブル管理方法は、セッションテーブルを用いて動的ＮＡＴ／ＮＡＰＴ機能および動的パケットフィルタ機能を実現するセキュリティゲートウェイルータ装置のセッションテーブル管理方法において、開始方向セッションルックアップ部により開始方向セッションテーブルの生成時に戻り方向ＡＣＬを検索し戻り方向セッションテーブルの生成の可否を判断する工程と、セッションマネージャプロセスにより新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除する工程と、前記セッションマネージャプロセスと連携して開始方向ＡＣＬルックアッププロセスにより開始方向ＡＣＬを検索する工程と、前記セッションマネージャプロセスと連携して戻り方向ＡＣＬルックアッププロセスにより戻り方向ＡＣＬを検索する工程と、戻り方向セッションルックアップ部により戻り方向通信パケットについて戻り方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する工程とを含むことを特徴とする。
【００４０】
また、本発明のセッションテーブル管理方法は、セッションテーブルを用いて動的ＮＡＴ／ＮＡＰＴ機能および動的パケットフィルタ機能を実現するセキュリティゲートウェイルータ装置のセッションテーブル管理方法において、開始方向セッションルックアップ部により開始方向セッションテーブルの生成時に戻り方向ＡＣＬを検索し戻り方向セッションテーブルの生成の可否を判断する工程と、セッションマネージャプロセスにより新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除する工程と、開始方向ＡＣＬルックアッププロセスにより前記セッションマネージャプロセスと連携して開始方向ＡＣＬを検索する工程と、戻り方向ＡＣＬルックアッププロセスにより前記セッションマネージャプロセスと連携して戻り方向ＡＣＬを検索する工程と、前記セッションマネージャプロセスと連携してルーティングプロセスにより戻り方向通信パケットの転送先を解決する工程と、戻り方向セッションルックアップ部により戻り方向通信パケットについて戻り方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する工程とを含むことを特徴とする。
【００４１】
さらに、本発明のセッションテーブル管理方法は、開始方向ルータ部により開始方向通信パケットの転送先を解決する工程と、開始方向ＡＣＬルックアップ部により開始方向通信パケットについて開始方向ＡＣＬを検索する工程と、開始方向セッションルックアップ部により開始方向通信パケットについて開始方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する工程と、開始方向動的パケットフィルタ部により開始方向通信パケットの通過可否を判断する工程と、開始方向動的ＮＡＴ／ＮＡＰＴ部により開始方向通信パケットについて動的にネットワークアドレス／ポート変換を行う工程と、セッションマネージャプロセスにより新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除する工程と、前記セッションマネージャプロセスと連携してＮＡＴ／ＮＡＰＴマネージャプロセスによりネットワークアドレス／ポート割当てを行う工程と、前記セッションマネージャプロセスと連携して開始方向ＡＣＬルックアッププロセスにより開始方向ＡＣＬを検索する工程と、前記セッションマネージャプロセスと連携して戻り方向ＡＣＬルックアッププロセスにより戻り方向ＡＣＬを検索する工程と、前記セッションマネージャプロセスと連携して動的パケットフィルタマネージャプロセスにより戻り方向通信パケットの通過可否を判断する工程と、戻り方向セッションルックアップ部により戻り方向通信パケットについて戻り方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する工程と、戻り方向動的ＮＡＴ／ＮＡＰＴ部により前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットについてネットワークアドレス／ポート変換を行う工程と、戻り方向動的パケットフィルタ部により前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの通過可否を判断する工程と、戻り方向ルータ部により前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの転送先を解決する工程とを含むことを特徴とする。
【００４２】
さらにまた、本発明のセッションテーブル管理方法は、開始方向ルータ部により開始方向通信パケットの転送先を解決する工程と、開始方向ＡＣＬルックアップ部により開始方向通信パケットについて開始方向ＡＣＬを検索する工程と、開始方向セッションルックアップ部により開始方向通信パケットについて開始方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する工程と、開始方向動的パケットフィルタ部により開始方向通信パケットの通過可否を判断する工程と、開始方向動的ＮＡＴ／ＮＡＰＴ部により開始方向通信パケットについてネットワークアドレス／ポートの割り当てを行う工程と、セッションマネージャプロセスにより新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除する工程と、前記セッションマネージャプロセスと連携してＮＡＴ／ＮＡＰＴマネージャプロセスによりネットワークアドレス／ポートの割当てを行う工程と、前記セッションマネージャプロセスと連携して開始方向ＡＣＬルックアッププロセスにより開始方向ＡＣＬを検索する工程と、前記セッションマネージャプロセスと連携して戻り方向ＡＣＬルックアッププロセスにより戻り方向ＡＣＬを検索する工程と、前記セッションマネージャプロセスと連携して動的パケットフィルタマネージャプロセスにより戻り方向通信パケットの通過可否を判断する工程と、前記セッションマネージャプロセスと連携してルーティングプロセスにより戻り方向通信パケットの転送先を解決する工程と、戻り方向動的ＮＡＴ／ＮＡＰＴ部により前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットについてネットワークアドレス／ポート変換を行う工程と、戻り方向動的パケットフィルタ部により前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの通過可否を判断する工程と、戻り方向ルータ部により前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの転送先を解決する工程とを含むことを特徴とする。
【００４３】
また、本発明のセッションテーブル管理方法は、前記戻り方向セッションテーブルが、セッションエントリとして、ＩＰＤＡ，ＩＰＳＡ，プロトコル，Ｌ４ＤＰおよびＬ４ＳＰを保持するとともに、ＮＡＴ／ＮＡＰＴアクショテーブルをリンクすることを特徴とする。
【００４４】
さらに、本発明のセッションテーブル管理方法は、前記戻り方向セッションテーブルの生成時において、戻り方向通信が予測し評価される外部インタフェースを複数管理可能なインタフェースグループを定義することにより、複数インタフェースからの戻り方向通信パケットの管理を可能とすることを特徴とする。
【００４５】
本発明のセキュリティゲートウェイルータ装置は、動的ＮＡＴ／ＮＡＰＴや動的パケットフィルタ等に使用されるセッションテーブルを生成して登録する際に、あらかじめ戻り方向ＡＣＬを検索しておくことにより、無駄なセッションテーブルを生成しないこと、また、戻り方向ＡＣＬの検索処理を削減できることを特徴としている。さらに、セッションテーブル検索の際にインタフェースをグルーピングし、インタフェースグループＩＤを用いて管理することにより、複数インタフェースからの戻り方向通信を制御可能としている特徴がある。詳しくは、セッションテーブル検索キーにインタフェース番号を含めると、そのインタフェースからの受信時のみにセッションエントリが見つかる。この場合、戻り方向通信はインタフェース番号で表されるインタフェースからのみしか許可できない。ここで、インタフェースをグルーピングしてインタフェースグループＩＤを割り当てる。このインタフェースグループＩＤをインタフェース番号の代わりに割り当てれば、グループに属するインタフェースから受信したものがヒットする。
【００４６】
【発明の実施の形態】
以下、本発明の実施の形態について図面を参照しながら詳細に説明する。
【００４７】
［第１の実施の形態］
図１は、本発明の第１の実施の形態に係るセキュリティゲートウェイルータ装置の構成を示すブロック図である。本実施の形態に係るセキュリティゲートウェイルータ装置は、戻り方向セッションルックアップ部Ａ−１と、戻り方向動的ＮＡＴ／ＮＡＰＴ部Ａ−２と、戻り方向動的パケットフィルタ部Ａ−３と、戻り方向ルータ部Ａ−４と、開始方向ルータ部Ｂ−１と、開始方向ＡＣＬルックアップ部Ｂ−２と、開始方向セッションルックアップ部Ｂ−３と、開始方向動的パケットフィルタ部Ｂ−４と、開始方向動的ＮＡＴ／ＮＡＰＴ部Ｂ−５と、セッションマネージャプロセスＣ−１と、ＮＡＴ／ＮＡＰＴマネージャプロセスＣ−２と、開始方向ＡＣＬルックアッププロセスＣ−３と、戻り方向ＡＣＬルックアッププロセスＣ−４と、動的パケットフィルタマネージャプロセスＣ−５と、戻り方向セッションテーブルＴ−１と、開始方向セッションテーブルＴ−２と、開始方向ＡＣＬＴ−３と、戻り方向ＡＣＬＴ−４とから構成されている。
【００４８】
動的ＮＡＴ／ＮＡＰＴ機能または動的パケットフィルタ機能を適用する際の開始方向通信について開始方向通信パケットの受信インタフェース（またはインタフェースグループ）を内部ネットワークと定義する。また、開始方向通信パケットの送信インタフェース（またはインタフェースグループ）を外部ネットワークと定義する。
【００４９】
セキュリティゲートウェイルータ装置は、パケットをＩＰレイヤでスイッチする機能を有する。また、セキュリティゲートウェイルータ装置は、静的パケットフィルタ機能を有しており、ＡＣＬの設定によりパケット通過の可否を設定可能となっているのが、一般的である。静的パケットフィルタ機能は、ユーザがあらかじめパケットフローを特定して通過可否を指定する機能である。これに対して、動的パケットフィルタ機能は、あるトリガパケット（開始方向通信パケット）に対して動的にフィルタを行う機能である。静的パケットフィルタ機能にて拒否されても、動的パケットフィルタ機能で許可されると、そのパケットの通過を許可する。また、静的パケットフィルタ機能にて許可されても、動的パケットフィルタ機能で拒否されると、そのパケットの通過は拒否される。すなわち、動的パケットフィルタ機能が静的パケットフィルタ機能に優先する関係となっている。
【００５０】
このＡＣＬによる静的パケットフィルタ機能は、開始方向通信パケットに対するもの，および戻り方向通信パケットに対するものの２種類が設定可能となっている。さらに、開始方向ＡＣＬＴ−３および戻り方向ＡＣＬＴ−４は、パケットフィルタのみではなく、ポリシールーティング，ＱｏＳクラス識別，ＩＰｓｅｃポリシー識別のためにも使用される。
【００５１】
戻り方向セッションテーブルＴ−１は、開始方向通信セッションに対する戻り方向通信セッションを処理するためのテーブルである。最初の開始方向通信パケットが外部ネットワークへ転送されると同時に、戻り方向セッションテーブルＴ−１のセッションエントリが生成される。
【００５２】
図２を参照すると、戻り方向セッションテーブルＴ−１をセッション情報（ＩＰＤＡ，ＩＰＳＡ，Ｐｒｏｔｏｃｏｌ，Ｌ４等）で検索すると、ＮＡＴ／ＮＡＰＴアクショテーブルが得られる。これは、戻り方向セッションテーブルＴ−１からポインタで指される場合や、もしくは戻り方向セッションテーブルＴ−１に含まれる場合のどちらでもよい。ここでは、戻り方向セッションテーブルＴ−１にＮＡＴ／ＮＡＰＴアクションテーブルが含まれているとして考える。ＮＡＴ／ＮＡＰＴ動作設定とは、ＮＡＴまたはＮＡＰＴの処理指示，変換するアドレス，およびポート情報が設定される。開始方向通信のＮＡＴでは、転送元がＮＡＴされる。
【００５３】
開始方向セッションテーブルＴ−２は、開始方向通信パケットを処理するためのテーブルである。内部ネットワークから外部ネットワークへ向けて最初の開始方向通信パケットが許可され転送される際に生成される。開始方向セッションテーブルＴ−２も、戻り方向セッションテーブルＴ−１と同様の構成を持つ（図２参照）。
【００５４】
開始方向ルータ部Ｂ−１は、開始方向通信パケットのルーティングを実行（転送先を解決）する機能ブロックである。
【００５５】
開始方向ＡＣＬルックアップ部Ｂ−２は、開始方向通信パケットの通過可否のポリシー，動的ＮＡＴ／ＮＡＰＴ適用のポリシーなどの、ユーザにより設定されたルールを開始方向ＡＣＬＴ−３から検索する機能ブロックである。
【００５６】
開始方向セッションルックアップ部Ｂ−３は、開始方向通信パケットの通過可否を判断するために、開始方向セッションテーブルＴ−２を検索してセッションエントリの有無の判断を行い、セッションエントリ有りの場合はそれに付随する情報を取得する機能ブロックである。開始方向セッションテーブルＴ−２でセッションエントリの有無が評価されるが、セッションエントリ有りの場合は、開始方向セッションテーブルＴ−２からフィルタアクションテーブル（動作設定テーブル）およびＮＡＴ／ＮＡＰＴアクションテーブル（動作設定テーブル）がリンクされる。ここでは、これらを含めたテーブルを開始方向セッションテーブルＴ−２と呼ぶ。セッションテーブル検索キーがセッション情報（ＩＰＤＡ，ＩＰＳＡ，Ｐｒｏｔｏｃｏｌ，Ｌ４ＳＰ，Ｌ４ＤＰ等）でそれから得られる情報が、ＮＡＴ動作，フィルタ動作設定となる。ＮＡＴ／ＮＡＰＴアクションテーブルは、具体的には、アクションコード，変換アドレスおよび変換ポートからなる。アクションコードには、ＮＡＴする，ＮＡＰＴする，またはＮＡＴ／ＮＡＰＴしないを設定する。変換アドレスには、ＷＡＮへの送信側ではＩＰＳＡをここに設定されたアドレスに書き換えること，およびＷＡＮからの受信側ではＩＰＤＡをここに設定されたアドレスに書き換えることを設定する。変換ポートは、ＮＡＰＴ／ＮＡＰＴの際に有効となり、ＷＡＮへの送信側ではＬ４ＳＰをここに設定されたポート番号に書き換えること，およびＷＡＮからの受信側ではＬ４ＤＰ（Ｌａｙｅｒ ４ Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔ）をここに設定されたポート番号に書き換えることを設定する。
【００５７】
開始方向動的パケットフィルタ部Ｂ−４は、開始方向通信パケットについて開始方向セッションテーブルＴ−２を検索することにより得られた情報を元に動的に開始方向通信パケットの通過可否を判断する機能ブロックである。
【００５８】
開始方向動的ＮＡＴ／ＮＡＰＴ部Ｂ−５は、開始方向セッションテーブルＴ−２の検索により得られた情報を元に動的にネットワークアドレス／ポート変換を行う機能ブロックである。
【００５９】
戻り方向セッションルックアップ部Ａ−１は、戻り方向通信パケットについて戻り方向セッションテーブルＴ−１を検索してセッションエントリの有無を判断し、セッションエントリ有りの場合はそれに付随する情報を取得する機能ブロックである。
【００６０】
戻り方向動的ＮＡＴ／ＮＡＰＴ部Ａ−２は、戻り方向通信パケットについて戻り方向セッションテーブルＴ−１の検索により得られた情報に基づいて動的ＮＡＴ／ＮＡＰＴの処理（ネットワークアドレス／ポート変換）を行う機能ブロックである。
【００６１】
戻り方向動的パケットフィルタ部Ａ−３は、戻り方向通信パケットについて戻り方向セッションテーブルＴ−１の検索により得られた情報に基づいて動的に戻り方向通信パケットの通過可否を判断する機能ブロックである。
【００６２】
戻り方向ルータ部Ａ−４は、戻り方向通信パケットの転送先を解決する機能ブロックである。
【００６３】
セッションマネージャプロセスＣ−１は、新規セッションに関して、戻り方向セッションテーブルＴ−１および開始方向セッションテーブルＴ−２を生成し、また終了セッションに関して戻り方向セッションテーブルＴ−１および開始方向セッションテーブルＴ−２を削除するソフトウェアプロセスである。最初の開始方向通信パケットの受信時には、セッションテーブル生成要求がハードウェアより送られてくる。また、セッションマネージャプロセスＣ−１は、ＮＡＴ／ＮＡＰＴマネージャプロセスＣ−２，開始方向ＡＣＬルックアッププロセスＣ−３，戻り方向ＡＣＬルックアッププロセスＣ−４，および動的パケットフィルタマネージャプロセスＣ−５と連携して動作する。
【００６４】
ＮＡＴ／ＮＡＰＴマネージャプロセスＣ−２は、戻り方向動的ＮＡＴ／ＮＡＰＴ部Ａ−２のネットワークアドレス／ポート割当てを行うソフトウェアプロセスである。
【００６５】
開始方向ＡＣＬルックアッププロセスＣ−３は、開始方向通信パケットについて、開始方向ＡＣＬＴ−３に基づくパケットフィルタを行うソフトウェアプロセスである。（ただし、開始方向側ハードウェアで機能をサポートしている場合は不要になる。）
【００６６】
戻り方向ＡＣＬルックアッププロセスＣ−４は、開始方向通信パケットに対する戻り方向通信パケットについて戻り方向ＡＣＬＴ−４に基づくパケットフィルタ，ポリシールーティング，ＱｏＳポリシー，ＩＰｓｅｃ（ＩＰ Ｓｅｃｕｒｉｔｙ Ｐｒｏｔｏｃｏｌ）ポリシー等のフロー検索を行うソフトウェアプロセスである。（戻り方向側ハードウェアで機能をサポートしている場合でも必要である。）
【００６７】
動的パケットフィルタマネージャプロセスＣ−５は、戻り方向動的パケットフィルタ部Ａ−３および開始方向動的パケットフィルタ部Ｂ−４を管理するためのソフトウェアプロセスである。
【００６８】
以上、第１の実施の形態に係るセキュリティゲートウェイルータ装置の構成を述べたが、ＮＡＴ／ＮＡＰＴ機能，動的パケットフィルタ機能，ポリシールーティング機能，ルータ機能，ＡＣＬ検索は、当業者にとってよく知られており、また本発明とは直接関係しないので、その詳細な説明を省略する。
【００６９】
次に、このように構成された第１の実施の形態に係るセキュリティゲートウェイルータ装置の動作について、図３に示すフローチャートを参照しながら説明する。ここでは、ＮＡＴ／ＮＡＰＴ有りセッションの開設時の動作について説明する。
【００７０】
初期状態においては、開始方向セッションテーブルＴ−１および戻り方向セッションテーブルＴ−２には、セッションエントリは無い。
【００７１】
開始方向ルータ部開Ｂ−１は、開始方向通信パケットの転送先を解決する。
【００７２】
次に、開始方向ＡＣＬルックアップ部Ｂ−２は、開始方向ＡＣＬＴ−３の検索を行い、最初の開始方向通信パケットの送信可否を判断する。
【００７３】
最初に、開始方向通信パケットを受信した際、開始方向セッションルックアップ部Ｂ−３は、開始方向セッションテーブルＴ−２を検索しセッションエントリ無しと判断し、ハードウェアプロセスからソフトウェアプロセスのセッションマネージャプロセスＣ−１に開始方向通信パケット処理を引き渡す。
【００７４】
セッションマネージャプロセスＣ−１は、開始方向通信パケットについて、開始方向ＡＣＬＴ−３による評価，ネットワークアドレス／ポート割当て，通過可否判断を行えるように、それぞれのソフトウェアプロセスに処理を依頼する。セッションマネージャプロセスＣ−１は、処理結果を受け取り、セッションテーブル生成の要否を判断する。
【００７５】
さらに、セッションマネージャプロセスＣ−１は、予測される戻り方向通信の形で戻り方向通信パケットを受信すべきインタフェースに適用された戻り方向ＡＣＬＴ−４を評価し、許可された場合のみ戻り方向セッションテーブルＴ−１を生成する。ここで、“受信すべきインタフェース”は、セキュリティゲートウェイルータ装置がもつ論理的な受信回線を示す。これは、外部インタフェースであり、Ｅｔｈｅｒｎｅｔ（登録商標），ＰＯＳ（Ｐａｃｋｅｔ Ｏｖｅｒ Ｓｏｎｅｔ），ＡＴＭ（Ａｓｙｎｃｈｒｏｎｏｕｓ Ｔｒａｎｓｆｅｒ Ｍｏｄｅ）等の回線において、物理回線もしくはＶＣ（Ｖｉｒｔｕａｌ Ｃｈａｎｎｅｌ），ＶＬＡＮ（Ｖｉｒｔｕａｌ ＬＡＮ）のような論理回線を示す。
【００７６】
戻り方向動的ＮＡＴ／ＮＡＰＴ部Ａ−２との併用においても、開始方向通信パケットの受信時の形（内部アドレスベース）で戻り方向通信を予測し評価する。戻り方向ＡＣＬＴ−４は、ＩＰパケットフィルタの他にポリシールーティング，ＩＰｓｅｃポリシー解決等にも使用されるため、これらの処理を開始方向通信の最初の１パケットのみに実施することにより、その後の戻り方向通信パケットについて戻り方向ＡＣＬＴ−４の検索をする必要がなくなる。
【００７７】
まず、動的ＮＡＴ／ＮＡＰＴ機能が適用される場合、通信が開始される方向は、プライベートネットワークからグローバルネットワークへ送信される方向となる。開始方向動的ＮＡＴ／ＮＡＰＴ部Ｂ−５は、セッションが開始される際にネットワークアドレス／ポートを割り当てることにより有限なグローバルアドレスをシェアして使うことになる。
【００７８】
ここで、開始方向セッションテーブルＴ−２および戻り方向セッションテーブルＴ−１のへのセッションエントリ登録方法を、図３のフローチャートを参照して説明する。
【００７９】
最初の開始方向通信パケットを受信した際は、開始方向セッションテーブルＴ−２のセッションエントリはまだ存在しない。この場合、開始方向セッションテーブルＴ−２の検索の結果（ステップＳ１０２）、セッションエントリ無しと判断される（ステップＳ１０３でノー）。セッションエントリ無しの開始方向通信パケットは、ソフトウェアプロセスのセッションマネージャプロセスＣ−１に渡され、開始方向通信パケットであるためにセッションの開設を行う必要がある。
【００８０】
セッションマネージャプロセスＣ−１は、開始方向通信パケットについて開始方向セッションテーブルＴ−２のセッションエントリを作成する。
【００８１】
詳しくは、セッションマネージャプロセスＣ−１は、動的ＮＡＴ／ＮＡＰＴ機能が適用される場合（ステップＳ１１１でイエス）、ＮＡＴ／ＮＡＰＴマネージャプロセスＣ−２と連携してネットワークアドレス／ポートを割り当てる（ステップＳ１１２）。
【００８２】
次に、セッションマネージャプロセスＣ−１は、動的パケットフィルタ機能が適用される場合（ステップＳ１１３でイエス）、動的パケットフィルタマネージャプロセスＣ−５と連携してステート監視制御を行う（ステップＳ１１４）。
【００８３】
続いて、セッションマネージャプロセスＣ−１は、開始方向セッションテーブルＴ−２および戻り方向セッションテーブルＴ−１を変換後（ステップＳ１１７）、開始方向ＡＣＬルックアッププロセスＣ−３および戻り方向ＡＣＬルックアッププロセスＣ−４と連携して開始方向ＡＣＬＴ−３および戻り方向ＡＣＬＴ−４を検索して、開始方向通信用セッションおよび戻り方向用セッションを開始方向セッションテーブルＴ−２および戻り方向セッションテーブルＴ−１に登録する（ステップＳ１１５およびステップＳ１１６）。この際、戻り方向ＡＣＬＴ−４の検索を変換前の形で実行し、その結果を戻り方向セッションテーブルＴ−１へ反映する。ただし、戻り方向通信で拒否されるパケットについては、セッションを登録しないことにする。
【００８４】
最初の開始方向通信パケットが処理されると、開始方向セッションテーブルＴ−２および戻り方向セッションテーブルＴ−１のセッションエントリが登録され、次の開始方向パケットからは開始方向セッションテーブルＴ−２のセッションエントリ有りと判断され（ステップＳ１０３でイエス）、ハードウェアによる転送が行われる。
【００８５】
詳しくは、開始方向セッションルックアップ部Ｂ−３は、開始方向セッションテーブルＴ−２より動的ＮＡＴ／ＮＡＰＴ情報を取得し（ステップＳ１０４）、動的ＮＡＴ／ＮＡＰＴ機能の対象であれば（ステップＳ１０５でイエス）、動的ＮＡＴ／ＮＡＰＴ情報のエディット処理を行う（ステップＳ１０６）。
【００８６】
次に、開始方向動的パケットフィルタ部Ｂ−４は、開始方向セッションテーブルＴ−２よりステート情報を取得し（ステップＳ１０７）、動的パケットフィルタ対象であれば（Ｓ１０８でイエス）、ステートチェックおよび更新処理を行う（ステップＳ１０９）。
【００８７】
この後、開始方向動的ＮＡＴ／ＮＡＰＴ部Ｂ−５は、開始方向通信パケットを送信する（ステップＳ１１０）。
【００８８】
一方、戻り方向通信パケットに関しては、あらかじめ戻り方向ＡＣＬＴ−４の検索等が先頭の開始方向通信パケットに関して完了しているので、その結果が反映された戻り方向セッションテーブルＴ−１を検索するのみで処理を行うことが可能となる。
【００８９】
詳しくは、戻り方向通信パケットがあると、戻り方向セッションルックアップ部Ａ−１は、戻り方向ＡＣＬＴ−４を検索し（ステップＳ２０１）、戻り方向セッションテーブルＴ−１を検索し（ステップＳ２０２）、セッションエントリがなければ（ステップＳ２０３でノー）、戻り方向通信パケットを拒否する（ステップＳ２０４）。
【００９０】
セッションエントリがあれば（ステップＳ２０３でイエス）、戻り方向動的ＮＡＴ／ＮＡＰＴ部Ａ−１は、戻り方向セッションテーブルＴ−１より動的ＮＡＴ／ＮＡＰＴ情報を取得し（ステップＳ２０４）、動的ＮＡＴ／ＮＡＰＴ機能の対象であれば（ステップＳ２０５でイエス）、動的ＮＡＴ／ＮＡＰＴ情報のエディット処理を行う（ステップＳ２０６）。
【００９１】
次に、戻り方向動的パケットフィルタ部Ａ−３は、戻り方向セッションテーブルＴ−１よりステート情報を取得し（ステップＳ２０９）、動的パケットフィルタ対象であれば（Ｓ２１０でイエス）、ステートチェックおよび更新処理を行う（ステップＳ２１１）。
【００９２】
その後、戻り方向ルータ部Ａ−４は、戻り方向通信パケットの転送先を解決し、戻り方向通信パケットを転送する（ステップＳ２１２）。
【００９３】
第１の実施の形態によれば、戻り方向通信パケットの変換後、ＡＣＬ検索により動的ＮＡＴ／ＮＡＰＴ変換後のフローの転送先（Ｄｅｓｔｉｎａｔｉｏｎ）と転送元（Ｓｏｕｒｃｅ）とを反転した形で戻り、インタフェースのＡＣＬを検索して、その結果を戻り方向セッションテーブルＴ−１に登録しておく。このため、戻り方向通信パケットでは、戻り方向セッションテーブルＴ−１でヒットしたならば、戻りＡＣＬＴ−４を検索する必要がなくなる。
【００９４】
また、開始方向セッションテーブルＴ−２および戻り方向セッションテーブルＴ−１の作成時に戻り方向通信を予測し評価して戻り方向ＡＣＬＴ−４等の検索処理を実行しているので、戻り方向通信に対するハードウェアによるパケット処理としては戻り方向セッションテーブルＴ−１の検索処理のみに負荷を低減できる。これにより、戻り方向通信パケットの処理においては、戻り方向動的ＮＡＴ／ＮＡＰＴ部Ａ−２での変換後の戻り方向ＡＣＬＴ−４の検索処理を削減することができるため、ハードウェアによるパケット転送能力を向上することが可能である。
【００９５】
さらに、戻り方向セッションテーブルＴ−１の生成時において、戻り方向通信が予測し評価される外部インタフェースを複数管理可能なインタフェースグループを定義することにより、複数インタフェースからの戻り方向通信パケットの管理を可能としている。例えば、セキュリティゲートウェイルータ装置のインタフェースが＃１〜＃６まである場合、外部インタフェースが＃１，＃２で、ＬＡＮ側インタフェースが＃３，＃４で、ＤＭＺ（ＤｅＭｉｌｉｔａｒｉｚｅｄ Ｚｏｎｅ）側インタフェースが＃５，＃６であったとすると、これらを種別ごとにグルーピングする。すなわち、グループ＃１（インタフェース＃１，＃２），グループ＃２（インタフェース＃３，＃４），グループ＃３（インタフェース＃５，＃６）というようにする。
【００９６】
また、インタフェースをインタフェースグループとして管理しているので、開始方向通信の送信インタフェース以外のインタフェースから戻ってきた戻り方向通信パケットであってもインタフェースグループが同一ならば処理可能となり、外部インタフェースを複数定義できる。ここで、企業ネットワークのエッジに置かれファイアウォールとして利用されることを想定すると、外部インタフェースは、企業からインターネットへ接続するインタフェース（回線）を指す。現在では、ＰＰＰｏＥ（Ｐｏｉｎｔ−ｔｏ−Ｐｏｉｎｔ Ｐｒｏｔｏｃｏｌ ｏｖｅｒ Ｅｔｈｅｒｎｅｔ（登録商標））やＦＴＴＨ（Ｆｉｂｅｒ Ｔｏ Ｔｈｅ Ｈｏｍｅ）が主流と考えられる。
【００９７】
［第２の実施の形態］
図４を参照すると、本発明の第２の実施の形態に係るセキュリティゲートウェイルータ装置は、図１に示した第１の実施の形態に係るセキュリティゲートウェイルータ装置に対して、ソフトウェアプロセスとしてルーティングプロセスＣ−６を追加した構成となっている。したがって、対応する部分には同一符号を付してそれらの詳しい説明を省略する。
【００９８】
第２の実施の形態に係るセキュリティゲートウェイルータ装置では、さらにルーティング検索についてもあらかじめ行うことにより、戻り方向ルータ部Ａ−４におけるルーティング検索処理も削減している。ルーティングプロセスＣ−６は、転送先を解決するソフトウェアプロセスであり、戻り方向ルータ部Ａ−４と同等の動作をソフトウェアで行うものである。
【００９９】
本発明の第２の実施の形態として、その基本的構成は上記の通りであるが、動的ＮＡＴ／ＮＡＰＴと同時に動作するのが、動的パケットフィルタだけでなく、ポリシールーティング，ＱｏＳクラス識別，ＩＰｓｅｃポリシー検索といったようにパケットヘッダにより検索が必要となる機能であれば効果がある。
【０１００】
セッションマネージャプロセスＣ−１は、開始方向セッションテーブルＴ−２および戻り方向セッションテーブルＴ−１を変換後（ステップＳ１１７）、ルーティングプロセスＣ−６と連携して戻り方向通信に対するルーティングテーブル（図示せず）を検索して転送先情報も戻り方向セッションテーブルＴ−１に関連付ける。詳しくは、開始方向のフローがわかれば、戻り方向のフローがわかるので、開始方向通信パケットを送信する際に、あらかじめ戻り方向のフロー（ソースとディスティネーションとを反転）で戻り方向通信パケットを受信するインタフェース（ＷＡＮへ出て行った場合はＷＡＮインタフェース）に適用されている戻り方向ＡＣＬＴ−４を検索する。戻り方向ＡＣＬＴ−４の検索にてフィルタ結果が得られた場合は、その結果を戻り方向セッションテーブルＴ−１にリンクさせる。動的ＮＡＴ／ＮＡＰＴ処理も同様にリンクさせる。さらに、ポリシールーティングのＡＣＬや、ルーティングテーブルを検索することにより、転送先インタフェースの情報を得ておき、これも戻り方向セッションテーブルＴ−１にリンクさせておく。ルーティングテーブルから得られるのは、転送先インタフェース（戻り方向ルータ部Ａ−４のインタフェース）になる。
【０１０１】
この後、セッションマネージャプロセスＣ−１は、開始方向ＡＣＬルックアッププロセスＣ−３および戻り方向ＡＣＬルックアッププロセスＣ−４と連携して開始方向ＡＣＬＴ−３および戻り方向ＡＣＬＴ−４を検索して、開始方向通信用セッションおよび戻り方向用セッションを開始方向セッションテーブルＴ−２および戻り方向セッションテーブルＴ−１に登録する（ステップＳ１１５およびステップＳ１１６）。
【０１０２】
次に、このように構成された第２の実施の形態に係るセキュリティゲートウェイルータ装置の動作について、第１の実施の形態に係るセキュリティゲートウェイルータ装置の動作との相違する点を中心に、図５に示すフローチャートを参照しながら簡単に説明する。
【０１０３】
第２の実施の形態によれば、開始方向通信パケットが到着し、セッションエントリを生成して開始方向セッションテーブルＴ−２に登録する際に、戻り方向ＡＣＬＴ−４のみでなく戻り方向通信に対するルーティングテーブル（図示せず）を検索し転送先情報も戻り方向セッションテーブルＴ−１に関連付けておくことにより、戻り方向ルータ部Ａ−４での転送先検索処理を削減でき、ハードウェアがパケット毎に行う処理負荷を低減できるという効果が得られる。
【０１０４】
【発明の効果】
以上説明したように、本発明においては、以下のような効果を奏する。
【０１０５】
第１の効果は、セッションテーブル作成時に戻り方向通信を予測し評価してＡＣＬ等の検索処理を実行しているので、戻り方向通信に対するハードウェアによるパケット処理としてはセッションテーブル検索処理のみに負荷を低減できることである。
【０１０６】
第２の効果は、インタフェースをインタフェースグループとして管理しているので、開始方向通信の送信インタフェース以外のインタフェースから戻ってきたパケットであってもグループが同一ならば処理可能となり、外部インタフェースを複数定義できることである。
【図面の簡単な説明】
【図１】本発明の第１の実施の形態に係るセキュリティゲートウェイルータ装置の構成を示すブロック図である。
【図２】図１中の戻り方向セッションテーブルおよび開始方向セッションテーブルのセッション情報およびそれにリンクされたＮＡＴ／ＮＡＰＴアクショテーブル等を示す図である。
【図３】第１の実施の形態に係るセキュリティゲートウェイルータ装置の動作を示すフローチャートである。
【図４】本発明の第２の実施の形態に係るセキュリティゲートウェイルータ装置の構成を示すブロック図である。
【図５】第２の実施の形態に係るセキュリティゲートウェイルータ装置の動作を示すフローチャートである。
【図６】従来のセキュリティゲートウェイルータ装置の構成を示すブロック図である。
【図７】従来のセキュリティゲートウェイルータ装置の動作を示すフローチャートである。
【符号の説明】
Ａ−１ 戻り方向セッションルックアップ部
Ａ−２ 戻り方向動的ＮＡＴ／ＮＡＰＴ部
Ａ−３ 動的パケットフィルタ部
Ａ−４ 戻り方向ルータ部
Ｂ−１ 開始方向ルータ部
Ｂ−２ 開始方向パケットフィルタ部
Ｂ−３ 開始方向セッションルックアップ部
Ｂ−４ 開始方向動的パケットフィルタ部
Ｂ−５ 開始方向動的ＮＡＴ／ＮＡＰＴ部
Ｃ−１ セッションマネージャプロセス
Ｃ−２ ＮＡＴ／ＮＡＰＴマネージャプロセス
Ｃ−３ ＡＣＬルックアッププロセス
Ｃ−４ ＡＣＬルックアッププロセス
Ｃ−５ 動的パケットフィルタマネージャプロセス
Ｃ−６ ルーティングプロセス
Ｔ−１ 戻り方向セッションテーブル
Ｔ−２ 開始方向セッションテーブル
Ｔ−３ 開始方向ＡＣＬ
Ｔ−４ 戻り方向ＡＣＬ
Claims (12)
- セッションテーブルを用いて動的ＮＡＴ／ＮＡＰＴ機能および動的パケットフィルタ機能を実現するセキュリティゲートウェイルータ装置において、
開始方向セッションテーブルの生成時に戻り方向ＡＣＬを検索し戻り方向セッションテーブルの生成の可否を判断する開始方向セッションルックアップ部と、
新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除するセッションマネージャプロセスと、
前記セッションマネージャプロセスと連携して開始方向ＡＣＬを検索する開始方向ＡＣＬルックアッププロセスと、
前記セッションマネージャプロセスと連携して戻り方向ＡＣＬを検索する戻り方向ＡＣＬルックアッププロセスと、
戻り方向通信パケットについて戻り方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する戻り方向セッションルックアップ部と
を有することを特徴とするセキュリティゲートウェイルータ装置。 - セッションテーブルを用いて動的ＮＡＴ／ＮＡＰＴ機能および動的パケットフィルタ機能を実現するセキュリティゲートウェイルータ装置において、
開始方向セッションテーブルの生成時に戻り方向ＡＣＬを検索し戻り方向セッションテーブルの生成の可否を判断する開始方向セッションルックアップ部と、
新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除するセッションマネージャプロセスと、
前記セッションマネージャプロセスと連携して開始方向ＡＣＬを検索する開始方向ＡＣＬルックアッププロセスと、
前記セッションマネージャプロセスと連携して戻り方向ＡＣＬを検索する戻り方向ＡＣＬルックアッププロセスと、
前記セッションマネージャプロセスと連携して戻り方向通信パケットの転送先を解決するルーティングプロセスと、
戻り方向通信パケットについて戻り方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する戻り方向セッションルックアップ部と
を有することを特徴とするセキュリティゲートウェイルータ装置。 - 開始方向通信パケットの転送先を解決する開始方向ルータ部と、
開始方向通信パケットについて開始方向ＡＣＬを検索する開始方向ＡＣＬルックアップ部と、
開始方向通信パケットについて開始方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する開始方向セッションルックアップ部と、
開始方向通信パケットの通過可否を判断する開始方向動的パケットフィルタ部と、
開始方向通信パケットについて動的にネットワークアドレス／ポート変換を行う開始方向動的ＮＡＴ／ＮＡＰＴ部と、
新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除するセッションマネージャプロセスと、
前記セッションマネージャプロセスと連携してネットワークアドレス／ポート割当てを行うＮＡＴ／ＮＡＰＴマネージャプロセスと、
前記セッションマネージャプロセスと連携して開始方向ＡＣＬを検索する開始方向ＡＣＬルックアッププロセスと、
前記セッションマネージャプロセスと連携して戻り方向ＡＣＬを検索する戻り方向ＡＣＬルックアッププロセスと、
前記セッションマネージャプロセスと連携して戻り方向通信パケットの通過可否を判断する動的パケットフィルタマネージャプロセスと、
戻り方向通信パケットについて戻り方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する戻り方向セッションルックアップ部と、
前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットについてネットワークアドレス／ポート変換を行う戻り方向動的ＮＡＴ／ＮＡＰＴ部と、
前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの通過可否を判断する戻り方向動的パケットフィルタ部と、
前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの転送先を解決する戻り方向ルータ部と
を有することを特徴とするセキュリティゲートウェイルータ装置。 - 開始方向通信パケットの転送先を解決する開始方向ルータ部と、
開始方向通信パケットについて開始方向ＡＣＬを検索する開始方向ＡＣＬルックアップ部と、
開始方向通信パケットについて開始方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する開始方向セッションルックアップ部と、
開始方向通信パケットの通過可否を判断する開始方向動的パケットフィルタ部と、
開始方向通信パケットについてネットワークアドレス／ポートの割り当てを行う開始方向動的ＮＡＴ／ＮＡＰＴ部と、
新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除するセッションマネージャプロセスと、
前記セッションマネージャプロセスと連携してネットワークアドレス／ポートの割当てを行うＮＡＴ／ＮＡＰＴマネージャプロセスと、
前記セッションマネージャプロセスと連携して開始方向ＡＣＬを検索する開始方向ＡＣＬルックアッププロセスと、
前記セッションマネージャプロセスと連携して戻り方向ＡＣＬを検索する戻り方向ＡＣＬルックアッププロセスと、
前記セッションマネージャプロセスと連携して戻り方向通信パケットの通過可否を判断する動的パケットフィルタマネージャプロセスと、
前記セッションマネージャプロセスと連携して戻り方向通信パケットの転送先を解決するルーティングプロセスと、
前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットについてネットワークアドレス／ポート変換を行う戻り方向動的ＮＡＴ／ＮＡＰＴ部と、
前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの通過可否を判断する戻り方向動的パケットフィルタ部と、
前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの転送先を解決する戻り方向ルータ部と
を有することを特徴とするセキュリティゲートウェイルータ装置。 - 前記戻り方向セッションテーブルが、セッションエントリとして、ＩＰＤＡ，ＩＰＳＡ，プロトコル，Ｌ４ＤＰおよびＬ４ＳＰを保持するとともに、ＮＡＴ／ＮＡＰＴアクショテーブルをリンクすることを特徴とする請求項１，請求項２，請求項３または請求項４記載のセキュリティゲートウェイルータ装置。
- 前記戻り方向セッションテーブルの生成時において、戻り方向通信が予測し評価される外部インタフェースを複数管理可能なインタフェースグループを定義することにより、複数インタフェースからの戻り方向通信パケットの管理を可能とすることを特徴とする請求項１，請求項２，請求項３，請求項４または請求項５記載のセキュリティゲートウェイルータ装置。
- セッションテーブルを用いて動的ＮＡＴ／ＮＡＰＴ機能および動的パケットフィルタ機能を実現するセキュリティゲートウェイルータ装置のセッションテーブル管理方法において、
開始方向セッションルックアップ部により開始方向セッションテーブルの生成時に戻り方向ＡＣＬを検索し戻り方向セッションテーブルの生成の可否を判断する工程と、
セッションマネージャプロセスにより新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除する工程と、
前記セッションマネージャプロセスと連携して開始方向ＡＣＬルックアッププロセスにより開始方向ＡＣＬを検索する工程と、
前記セッションマネージャプロセスと連携して戻り方向ＡＣＬルックアッププロセスにより戻り方向ＡＣＬを検索する工程と、
戻り方向セッションルックアップ部により戻り方向通信パケットについて戻り方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する工程と
を含むことを特徴とするセッションテーブル管理方法。 - セッションテーブルを用いて動的ＮＡＴ／ＮＡＰＴ機能および動的パケットフィルタ機能を実現するセキュリティゲートウェイルータ装置のセッションテーブル管理方法において、
開始方向セッションルックアップ部により開始方向セッションテーブルの生成時に戻り方向ＡＣＬを検索し戻り方向セッションテーブルの生成の可否を判断する工程と、
セッションマネージャプロセスにより新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除する工程と、
開始方向ＡＣＬルックアッププロセスにより前記セッションマネージャプロセスと連携して開始方向ＡＣＬを検索する工程と、
戻り方向ＡＣＬルックアッププロセスにより前記セッションマネージャプロセスと連携して戻り方向ＡＣＬを検索する工程と、
前記セッションマネージャプロセスと連携してルーティングプロセスにより戻り方向通信パケットの転送先を解決する工程と、
戻り方向セッションルックアップ部により戻り方向通信パケットについて戻り方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する工程と
を含むことを特徴とするセッションテーブル管理方法。 - 開始方向ルータ部により開始方向通信パケットの転送先を解決する工程と、
開始方向ＡＣＬルックアップ部により開始方向通信パケットについて開始方向ＡＣＬを検索する工程と、
開始方向セッションルックアップ部により開始方向通信パケットについて開始方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する工程と、
開始方向動的パケットフィルタ部により開始方向通信パケットの通過可否を判断する工程と、
開始方向動的ＮＡＴ／ＮＡＰＴ部により開始方向通信パケットについて動的にネットワークアドレス／ポート変換を行う工程と、
セッションマネージャプロセスにより新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除する工程と、
前記セッションマネージャプロセスと連携してＮＡＴ／ＮＡＰＴマネージャプロセスによりネットワークアドレス／ポート割当てを行う工程と、
前記セッションマネージャプロセスと連携して開始方向ＡＣＬルックアッププロセスにより開始方向ＡＣＬを検索する工程と、
前記セッションマネージャプロセスと連携して戻り方向ＡＣＬルックアッププロセスにより戻り方向ＡＣＬを検索する工程と、
前記セッションマネージャプロセスと連携して動的パケットフィルタマネージャプロセスにより戻り方向通信パケットの通過可否を判断する工程と、
戻り方向セッションルックアップ部により戻り方向通信パケットについて戻り方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する工程と、
戻り方向動的ＮＡＴ／ＮＡＰＴ部により前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットについてネットワークアドレス／ポート変換を行う工程と、
戻り方向動的パケットフィルタ部により前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの通過可否を判断する工程と、
戻り方向ルータ部により前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの転送先を解決する工程と
を含むことを特徴とするセッションテーブル管理方法。 - 開始方向ルータ部により開始方向通信パケットの転送先を解決する工程と、
開始方向ＡＣＬルックアップ部により開始方向通信パケットについて開始方向ＡＣＬを検索する工程と、
開始方向セッションルックアップ部により開始方向通信パケットについて開始方向セッションテーブルを検索してセッションエントリ有りの場合はそれに付随する情報を取得する工程と、
開始方向動的パケットフィルタ部により開始方向通信パケットの通過可否を判断する工程と、
開始方向動的ＮＡＴ／ＮＡＰＴ部により開始方向通信パケットについてネットワークアドレス／ポートの割り当てを行う工程と、
セッションマネージャプロセスにより新規セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを生成し、終了セッションに関して前記戻り方向セッションテーブルおよび前記開始方向セッションテーブルを削除する工程と、
前記セッションマネージャプロセスと連携してＮＡＴ／ＮＡＰＴマネージャプロセスによりネットワークアドレス／ポートの割当てを行う工程と、
前記セッションマネージャプロセスと連携して開始方向ＡＣＬルックアッププロセスにより開始方向ＡＣＬを検索する工程と、
前記セッションマネージャプロセスと連携して戻り方向ＡＣＬルックアッププロセスにより戻り方向ＡＣＬを検索する工程と、
前記セッションマネージャプロセスと連携して動的パケットフィルタマネージャプロセスにより戻り方向通信パケットの通過可否を判断する工程と、
前記セッションマネージャプロセスと連携してルーティングプロセスにより戻り方向通信パケットの転送先を解決する工程と、
戻り方向動的ＮＡＴ／ＮＡＰＴ部により前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットについてネットワークアドレス／ポート変換を行う工程と、
戻り方向動的パケットフィルタ部により前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの通過可否を判断する工程と、
戻り方向ルータ部により前記戻り方向セッションテーブルの検索により得られた情報に基づいて戻り方向通信パケットの転送先を解決する工程と
を有することを特徴とするセッションテーブル管理方法。 - 前記戻り方向セッションテーブルが、セッションエントリとして、ＩＰＤＡ，ＩＰＳＡ，プロトコル，Ｌ４ＤＰおよびＬ４ＳＰを保持するとともに、ＮＡＴ／ＮＡＰＴアクショテーブルをリンクすることを特徴とする請求項７，請求項８，請求項９または請求項１０記載のセッションテーブル管理方法。
- 前記戻り方向セッションテーブルの生成時において、戻り方向通信が予測し評価される外部インタフェースを複数管理可能なインタフェースグループを定義することにより、複数インタフェースからの戻り方向通信パケットの管理を可能とすることを特徴とする請求項７，請求項８，請求項９，請求項１０または請求項１１記載のセッションテーブル管理方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003180473A JP4131203B2 (ja) | 2003-06-25 | 2003-06-25 | セキュリティゲートウェイルータ装置およびセッションテーブル管理方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003180473A JP4131203B2 (ja) | 2003-06-25 | 2003-06-25 | セキュリティゲートウェイルータ装置およびセッションテーブル管理方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2005020222A JP2005020222A (ja) | 2005-01-20 |
| JP4131203B2 true JP4131203B2 (ja) | 2008-08-13 |
Family
ID=34181448
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003180473A Expired - Fee Related JP4131203B2 (ja) | 2003-06-25 | 2003-06-25 | セキュリティゲートウェイルータ装置およびセッションテーブル管理方法 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP4131203B2 (ja) |
Families Citing this family (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US9824107B2 (en) | 2006-10-25 | 2017-11-21 | Entit Software Llc | Tracking changing state data to assist in computer network security |
| JP5153480B2 (ja) * | 2008-06-27 | 2013-02-27 | 三菱電機株式会社 | ゲートウェイ装置およびパケットフィルタリング方法 |
-
2003
- 2003-06-25 JP JP2003180473A patent/JP4131203B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2005020222A (ja) | 2005-01-20 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US8054804B2 (en) | Method of and system for support of user devices roaming between routing realms by a single network server | |
| JP3465620B2 (ja) | 仮想私設網構築システム | |
| JP4919608B2 (ja) | パケット転送装置 | |
| EP1535449B1 (en) | System and method for dynamic simultaneous connection to multiple service providers | |
| JP3717836B2 (ja) | ダイナミック・ロード・バランサ | |
| US7260648B2 (en) | Extension of address resolution protocol (ARP) for internet protocol (IP) virtual networks | |
| JP2004013778A (ja) | セキュアストレージシステム | |
| EP1932295A1 (en) | Routing data packets from a multihomed host | |
| JP4077351B2 (ja) | 名前／アドレス変換装置 | |
| US11463357B2 (en) | Method and system for propagating network traffic flows between end points based on service and priority policies | |
| KR101358775B1 (ko) | 사용자 액세스 방법, 시스템, 및 액세스 서버, 액세스 장치 | |
| US7870246B1 (en) | System, method, and computer program product for platform-independent port discovery | |
| JP3858884B2 (ja) | ネットワークアクセスゲートウェイ及びネットワークアクセスゲートウェイの制御方法並びにプログラム | |
| KR100964860B1 (ko) | 주소 매핑 장치 및 방법 | |
| US20130246603A1 (en) | System, method, and computer program product for automatic router discovery | |
| JP4131203B2 (ja) | セキュリティゲートウェイルータ装置およびセッションテーブル管理方法 | |
| Cisco | Configuring IP Addressing | |
| Cisco | Configuring IP Addressing | |
| Cisco | Configuring IP Addressing | |
| Stott | Snmp-based layer-3 path discovery | |
| US20240223501A1 (en) | Method and system for propagating network traffic flows between end points based on service and priority policies | |
| US11824738B2 (en) | Network traffic flooding for unknown data-link to transport mapping scenarios | |
| KR100881418B1 (ko) | 네트워크 주소변환 장치 및 방법 | |
| JP5152835B2 (ja) | 多重アクセス装置 | |
| JP2003087329A (ja) | 統合情報通信システム |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| RD01 | Notification of change of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7421 Effective date: 20050124 |
|
| RD01 | Notification of change of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7421 Effective date: 20050314 |
|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20060518 |
|
| RD01 | Notification of change of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7421 Effective date: 20070118 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20080404 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20080430 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20080513 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110606 Year of fee payment: 3 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110606 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120606 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120606 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130606 Year of fee payment: 5 |
|
| LAPS | Cancellation because of no payment of annual fees |