JP4271478B2 - 中継装置及びサーバ - Google Patents
中継装置及びサーバ Download PDFInfo
- Publication number
- JP4271478B2 JP4271478B2 JP2003103760A JP2003103760A JP4271478B2 JP 4271478 B2 JP4271478 B2 JP 4271478B2 JP 2003103760 A JP2003103760 A JP 2003103760A JP 2003103760 A JP2003103760 A JP 2003103760A JP 4271478 B2 JP4271478 B2 JP 4271478B2
- Authority
- JP
- Japan
- Prior art keywords
- unit
- flow
- storage unit
- packet
- value
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0227—Filtering policies
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
- H04L69/16—Implementation or adaptation of Internet protocol [IP], of transmission control protocol [TCP] or of user datagram protocol [UDP]
- H04L69/163—In-band adaptation of TCP data exchange; In-band control procedures
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L1/00—Arrangements for detecting or preventing errors in the information received
- H04L1/0001—Systems modifying transmission characteristics according to link quality, e.g. power backoff
- H04L1/0015—Systems modifying transmission characteristics according to link quality, e.g. power backoff characterised by the adaptation strategy
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L1/00—Arrangements for detecting or preventing errors in the information received
- H04L1/12—Arrangements for detecting or preventing errors in the information received by using return channel
- H04L1/16—Arrangements for detecting or preventing errors in the information received by using return channel in which the return channel carries supervisory signals, e.g. repetition request signals
- H04L1/1607—Details of the supervisory signal
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
- H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
- H04L69/16—Implementation or adaptation of Internet protocol [IP], of transmission control protocol [TCP] or of user datagram protocol [UDP]
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Information Transfer Between Computers (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、アクセス制御方法、中継装置、サーバに関するものである。
【０００２】
【従来の技術】
まず本明細書において、保護すべき情報又はそれを管理するサーバが存在する位置を、内部といい、この内部に対して、ネットワークを経由して通信する位置を、外部という。
【０００３】
さて、アクセス制御（ファイアーウォール、パケットフィルタリングとも呼ばれる）は、次のような不正アクセスから、内部を保護するために使用される。即ち、この不正アクセスとしては、外部から内部へ不正侵入すること、外部から内部のサービスを妨害すること、内部の機密情報を外部へ持ち出すことなどがある。このアクセス制御を担当する機器は、サービスを提供するサーバ自身や、このサーバへの通信を中継する中継装置（例えば、ルータ等）の、いずれかまたは両方である。
【０００４】
従来のアクセス制御に関する先行文献として、特許文献１〜３がある。
【０００５】
また、代表的なネットワークプロトコルであるＴＣＰ／ＩＰにおける帯域制御、ＩＰＳｅｃ、ＩＰｖ６のＦｌｏｗＬａｂｅｌに関する先行文献として、非特許文献１〜３がある。
【０００６】
（問題点１）Ｐ２Ｐ通信への対応
従来のアクセス制御では、基本的に、パケットを伝送するか破棄するかの、二者択一の制御が行われる。
【０００７】
したがって、サーバが、完全に公開されているサービス、例えば、インターネットからのアクセス可能なＷＥＢサービス等、を提供しているときには、このサーバへのパケットを、基本的に伝送するようにすればよい。
【０００８】
一方、サーバが、固定的な範囲にアクセスが制限されるサービス、例えば、社内のネットワーク内にアクセスが限定されるファイル共有サービス等、を提供しているときには、この固定的な範囲外からのパケットを、全て破棄してしまえばよい。
【０００９】
しかしながら、サーバが、出張等により社内から社外へ移動した社員が所有するコンピュータに対して、メールサービスを提供するような場合、以上のアクセス制御では対応できない。なぜなら、このような場合、社員が所有するコンピュータのアドレスやポート番号等は、社員が社内から社外へ移動すると、変更されてしまうからである。
【００１０】
このような課題に対し、特許文献１〜３では、いくつかの提案がなされている。ところが、これらによっても、Ｐ２Ｐ通信への対応が、不十分である。
【００１１】
これらの文献では、内部から外部へパケットが伝送されると、パケットの伝送／破棄を判定する際、その逆向きのパケットを、伝送させるように、アクセス制御の判定条件を動的に変更している。これにより、外部と内部とで双方向の通信を行うこととしている。
【００１２】
しかしながら、このような技術では、内部から外部へ向けてパケットが伝送されない限り、双方向の通信はできない。つまり、はじめに外部から内部へパケットを伝送してから双方向の通信を行おうとしても、それは不可能である。
【００１３】
（問題点２）ＤＯＳ攻撃に対する脆弱性
問題点１に対し、特定の条件を満たすパケットを、中継可能なように静的に判定条件を設定することも考えられる。しかしながら、現状のＩＳＰ、ホットスポット等では、端末のアドレス等がＤＨＣＰ等で動的に設定されるため、このような特定の条件を定めることは、事実上不可能に近い。
【００１４】
また、このような設定を行うと、悪意を持つ者が、中継可能な条件を満たすパケットを偽造してサーバを攻撃する、ＤＯＳ（Ｄｅｎｅａｌ Ｏｆ Ｓｅｒｖｉｃｅ）の発生を防止できない。
【００１５】
特許文献３では、ＤＯＳ攻撃等の不正アクセスの対し、トラフィックシェーピングを用いて、使用帯域を制御している。しかしながら、不正アクセスによるパケットと、正当なアクセスパケットとが、混在して流れている場合、正当なアクセスによる通信の帯域を、不当に制限してしまう結果となるし、シェーピングの対象を、不正アクセスによるパケットのみに、限定することは、非常に難しい。
（問題点３）暗号化への対応
従来のアクセス制御では、伝送／破棄の判定に、パケット内の情報を参照している。ところが、第三者による盗聴を防ぐために、パケットを暗号化した場合、アクセス制御において、パケット内の情報が参照できないため、伝送／破棄の判定ができなくなってしまう。
【特許文献１】
特開平８−４４６４２号公報
【特許文献２】
特表平１０−５０４１６８号公報
【特許文献３】
特開２０００−１２４９５５号公報
【非特許文献１】
文献名：「インターネットＱｏＳ」、共著：Ｐａｕｌ Ｆｅｒｇｕｓｏｎ、Ｇｅｏｔｔ Ｈｕｓｔｏｎ、監訳：戸田巌、発行日：平成１２年５月５日
【非特許文献２】
文献名：ＲＦＣ２４０１ 「ＩＰ Ｅｎｃａｐｓｕｌａｔｉｎｇ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄ（ＥＳＰ）」、共著：Ｓ．Ｋｅｎｔ、Ｒ．Ａｔｋｉｎｓｏｎ、発行日：１９９８年１１月
【非特許文献３】
文献名：ＲＦＣ２４６０ 「Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ， Ｖｅｒｓｉｏｎ６（ＩＰｖ６） Ｓｐｅｃｉｆｉｃａｔｉｏｎ」、共著：Ｓ．Ｄｅｅｒｉｎｇ、Ｒ．Ｈｉｎｄｅｎ、発行日：１９９８年１１月
【発明が解決しようとする課題】
そこで本発明は、より柔軟なアクセス制御を行え、パケットの暗号化に対応できる、アクセス制御方法及びその関連技術を提供することを目的とする。
【００１６】
【課題を解決するための手段】
請求項１記載の中継装置は、外部ネットワーク側に接続される第１の通信部と、内部ネットワーク側に接続される第２の通信部と、第１の通信部及び第２の通信部を介して伝送されるパケットに係るフローを定義する情報と、該当するフローについての帯域の閾値と、該当するフローについての帯域の測定値とを、関連付けて記憶する記憶部と、記憶部に記憶されたフローを定義する情報にしたがって、パケットのフローを分類する分類部と、分類されたフローについて帯域を測定し、測定値を記憶部に格納する測定部と、分類されたフローについて、記憶部に格納された帯域の測定値と閾値とを大小比較し、伝送の許否を判定する判定部と、判定部により伝送を許可されたパケットを、第１の通信部及び／又は第２の通信部を介して送信する帯域制御部とを備え、記憶部における帯域の閾値は、内部ネットワークのサーバが、外部ネットワークの端末からの接続を許可するまで、接続を制限する値に設定され、内部ネットワークのサーバがこの接続を許可すると、より接続の制限を緩和する値に変更される。
【００２０】
請求項２記載のサーバは、内部ネットワーク側に接続される通信部と、通信部を介して伝送されるパケットに係るフローを定義する情報と、該当するフローについての帯域の閾値と、該当するフローについての帯域の測定値とを、関連付けて記憶する記憶部と、記憶部に記憶されたフローを定義する情報にしたがって、パケットのフローを分類する分類部と、分類されたフローについて帯域を測定し、測定値を記憶部に格納する測定部と、分類されたフローについて、記憶部に格納された帯域の測定値と閾値とを大小比較し、伝送の許否を判定する判定部と、判定部により伝送を許可されたパケットを、通信部を介して送信する帯域制御部とを備え、記憶部における帯域の閾値は、内部ネットワークのサーバが、外部ネットワークの端末からの接続を許可するまで、接続を制限する値に設定され、内部ネットワークのサーバがこの接続を許可すると、より接続の制限を緩和する値に変更される。
【００２２】
請求項３記載のサーバでは、外部ネットワークの端末からの接続を許可するまで、記憶部における帯域の閾値を小さな値に設定し、この接続を許可すると、記憶部における帯域の閾値をより大きな値に変更する。
【００２４】
請求項４記載のサーバでは、記憶部に格納された情報を変更した際、その旨を中継装置へ通知する。
【００２８】
この構成により、サーバが独自に情報を変更したような場合、サーバから中継装置へ通知がなされ、サーバと中継装置における、アクセス制御の整合性をとり、通信システム全体として、統一性のあるアクセス制御を実施できる。
【００２９】
【発明の実施の形態】
以下、図面を参照しながら、本発明の実施の形態を説明する。図１は、本発明の一実施の形態における通信システムの構成図、図２は同中継装置のブロック図、図５は同ＷＥＢサーバのブロック図である。
【００３０】
図１に示すように、この通信システムは、中継装置６の上側に図示される外部ネットワーク７と、下側に図示される内部ネットワーク１とを有する。
【００３１】
内部ネットワーク１には、ＬＡＮケーブル２が敷設され、ＬＡＮケーブル２には、中継装置６の他、内部ネットワーク１に属する、ＷＥＢサーバ３、社内メールサーバ４、社内ＤＢサーバ５及びその他のクライアント端末（図示せず）が接続される。
【００３２】
中継装置６は、ネットワーク網８とＬＡＮケーブル２の両方に接続されている。
【００３３】
また、外部ネットワーク７には、ネットワーク網８があり、端末９は、ＷＥＢサーバ３によるＷＥＢサービスを受けることのみを許されている。一方、端末１０は、内部ネットワーク１を利用する会社の社員が、出張先へ持参したコンピュータであり、端末１０には、ＷＥＢサーバ３と、社内メールサーバ４によるサービスを受けることが許されている。
【００３４】
なお、社内ＤＢサーバ５のサービスは、内部ネットワーク１の内部のみで利用でき、内部ネットワーク１外のアクセスは禁止されている。
【００３５】
ここで、端末９がＷＥＢサーバ３のサービスの利用を許可され、また、社内メールサーバ４のサービスの利用を禁止されるという、形態は、伝送／廃棄という二者択一的な、従来のアクセス制御で対応可能であるため、この点についての説明は省略する。
【００３６】
本発明で取り上げる問題は、社内メールサーバ４を不正アクセスから保護しながら、端末１０に社内メールサーバ４を利用させることである。
【００３７】
次に、図２を用いて、中継装置６について詳しく説明する。まず、制御部６０は、中継装置６の各構成要素を制御する。
【００３８】
通信部６１は、外部ネットワーク７のネットワーク網８に接続される。また、通信部６２は、内部ネットワーク１のＬＡＮケーブル２に接続される。
【００３９】
記憶部６７は、メモリなどの記憶媒体から構成される。そして、図３（ａ）に示すように、端末１０の接続が許可される前の状態において、記憶部６７は、通信部６１、６２を介して伝送されるパケットに係るフローを定義する情報（送信元についてのアドレス及びポート番号、宛先についてのアドレス及びポート番号）と、該当するフローについての帯域（本形態では、毎秒あたりのパケット数を用いる）の閾値ＴＨと、該当するフローについての帯域の測定値Ｖｎとを、フロー番号毎に、関連付けて記憶する。
【００４０】
また、記憶部６７には、接続を許可しうるフローが、予め定義されており、記憶部６７に定義されたフローと全く関係ないフローは、不正アクセスとして、排除される。
【００４１】
なお、記憶部６７の内容の遷移は、簡単にまとめて言うと、記憶部６７における帯域の閾値ＴＨは、内部ネットワーク１の社内メールサーバ４が、外部ネットワーク７の端末１０からの接続を許可するまで、小さな値に設定され、社内メールサーバ４がこの接続を許可すると、より大きな値に変更されるものである。
【００４２】
また、図３（ａ）に示すように、本形態では、フロー番号１〜４の、合計４つのフローが定義されている。フロー番号１は、社内ＤＢサーバ５のサービスに関するものであり、外部ネットワーク７のどのアドレスからも、アクセスできない（閾値ＴＨ＝０）ものである。
【００４３】
フロー番号２は、内部ネットワーク１に属する端末（サーバ又はクライアント端末）から外部ネットワーク７へ出てゆくサービスに関するものであり、内部ネットワーク１のどのアドレスからアクセスしても、自由にアクセスできる（閾値ＴＨ＝∞）ものである。
【００４４】
フロー番号３は、ＷＥＢサーバ３のサービスに関するものであり、外部ネットワーク７のどのアドレスからアクセスしても、自由にアクセスできる（閾値ＴＨ＝∞）ものである。
【００４５】
フロー番号４は、社内メールサーバ４のサービスに関するものであり、外部ネットワーク７のどのアドレスからアクセスしても、一定条件下でアクセスできる（閾値ＴＨ＝１０）ものである。しかも、このアクセスは、プロトコル種別が、パスワード送信に関するＰＯＰに限定される。
【００４６】
後述するように、社内メールサーバ４にアクセスしようとする、端末１０は、フロー番号４に従うパケットを、社内メールサーバ４に一定条件下で送信し、社内メールサーバ４が、その通信を許可する明示的なパケット（ＳＹＮ−ＡＣＫフラグがオンになっているパケット）を発行した後に、この条件が大幅に緩和されるようになっている。
【００４７】
図２において、分類部６３は、記憶部６７に記憶されたフローを定義する情報にしたがって、パケットのフローを分類する。
【００４８】
測定部６４は、分類されたフローについて帯域を測定し、測定値を、記憶部６７において、該当するフロー番号の「測定値」のフィールドに格納する。
【００４９】
判定部６５は、分類されたフローについて、記憶部６７に格納された帯域の測定値Ｖｎと閾値ＴＨとを大小比較し、Ｖｎ≦ＴＨであれば、伝送するという判定を下し、そうでなければ廃棄するという判定を下す。
【００５０】
なお以下、説明を簡単にするために、判定部６５は、「伝送する」という判定と、「廃棄する」という判定との、２種類の判定のみをなすものとする。しかし、廃棄はしないが伝送を遅らせたり、パケットの優先度を変更したりする判定を下すようにすることもでき、このようにしても、本発明に包含される。
【００５１】
帯域制御部６６には、判定部６５により伝送すると判定されたパケットが、セットされ、帯域制御部６６は、その帯域制御のルールに従って、パケットを帯域制御部６６自体において廃棄しない限り、通信部６１、６２から順次送信する。
【００５２】
本形態の帯域制御部６６における帯域制御方式は、任意である。例えば、ＦＩＦＯ、ＲＥＤ、ＲＩＯ等のキューイング、ＰＱ、ＷＲＲ等のスケジューラ等を自由に選択して使用できる。
【００５３】
次に、図５を用いて、社内メールサーバ４について詳しく説明する。まず、制御部４０は、社内メールサーバ４の各構成要素を制御する。通信部４１は、ＬＡＮケーブル２に接続される。
【００５４】
記憶部４８は、メモリなどの記憶媒体から構成され、中継装置６の記憶部６７と同様の内容を持つ。但し、一時的に、記憶部４８の内容と、記憶部６７の内容が、一致しなくなることがあるが、この情報の不整合は、後述する変更通知により、直ちに解消されるようになっている。勿論、記憶部４８の遷移は、記憶部６７の遷移と基本的に同じである。
【００５５】
アプリケーション部４２は、社内メールサーバ４としての機能を実現するための、（メールサービス）アプリケーションを実行するものである。
【００５６】
暗号処理部４３は、暗号化されたパケットを復号する。この暗号化されたパケットに係る、アクセス制御に使用する情報は、通信部４１を介して、中継装置６へ通知される。
【００５７】
ここで、ＩＰ−Ｓｅｃ等により暗号化されたパケットでは、アクセス制御において、パケットを分類するために必要な情報までが、暗号化されてしまう。そのため、パケットの分類が、不完全になる。アクセス制御で必要となる情報は、暗号化されたパケットを復号できる、送信元または宛先の社内メールサーバ４でしか取得できない。
【００５８】
ＴＣＰ／ＩＰのバージョン６のＩＰでは、このような暗号化されたパケットが複数混在した場合にも、パケットを分類可能とするためにフローラベルが導入されている。しかしながら、フローラベルから暗号化されている送受信ポート番号等との関係を判定できるのは、送受信端末のみである。
【００５９】
そこで、本形態では、社内メールサーバ４に暗号処理部４３を設け、復号したパケットから、アクセス制御の分類に必要な情報が得られたら、これを、社内メールサーバ４のみで持つのではなく、中継装置６に通知し、中継装置６の分類処理と、社内メールサーバ４の分類処理の整合性を確保している。
【００６０】
図５において、分類部４４、測定部４５、判定部４６、帯域制御部４７は、図２の分類部６３、測定部６４、判定部６５、帯域制御部６６と、同様のものである。
【００６１】
即ち、分類部４４は、記憶部４８に記憶されたフローを定義する情報にしたがって、パケットのフローを分類する。
【００６２】
測定部４５は、分類されたフローについて帯域を測定し、測定値を、記憶部４８において、該当するフロー番号の「測定値」のフィールドに格納する。
【００６３】
判定部４６は、分類されたフローについて、記憶部４８に格納された帯域の測定値Ｖｎと閾値ＴＨとを大小比較し、Ｖｎ≦ＴＨであれば、伝送するという判定を下し、そうでなければ廃棄するという判定を下す。
【００６４】
帯域制御部４７には、判定部４５により伝送すると判定されたパケットが、セットされ、帯域制御部４７は、その帯域制御のルールに従って、パケットを帯域制御部４７自体において廃棄しない限り、通信部４１から順次送信する。
【００６５】
本形態の帯域制御部４７における帯域制御方式は、任意である。例えば、ＦＩＦＯ、ＲＥＤ、ＲＩＯ等のキューイング、ＰＱ、ＷＲＲ等のスケジューラ等を自由に選択して使用できる。
【００６６】
（変更通知）
さて、パケット交換の通信においては、接続要求とそれに対する明示的な接続許可を通知するコネクション型通信と、接続要求とそれに対する明示的な接続許可を通知しないコネクションレス型通信の二つの方式がある。
【００６７】
現在最も普及しているインターネットの通信プロトコルであるＴＣＰ／ＩＰにおいては、コネクション型通信としてＴＣＰが、コネクションレス型通信にはＵＤＰがある。
【００６８】
またＴＣＰおよびＵＤＰでは、一組の端末（この端末には、サーバを含む。）間で複数の通信を独立して行えるように、端末は、通信毎にポート番号を割当てる。
【００６９】
したがって、中継装置６の分類部６３は、送受信アドレスと送受信ポート、そしてＴＣＰかＵＤＰかを示す上位プロトコル種別を参照することで、複数の通信を分類可能となる。
【００７０】
コネクション型通信であるＴＣＰでは、接続を要求するパケット（ＴＣＰフラグ内のＳＹＮフラグがオンになっているパケット）を受信した社内メールサーバ４は、接続を許可する場合には接続を許可するパケット（ＳＹＮ−ＡＣＫフラグがオンになっているパケットやＡＣＫフラグがオンとなっているパケット）を送信する。
【００７１】
一方、社内メールサーバ４は、接続を許可しない場合、接続を許可しないこと示すパケット（ＴＣＰフラグ内のＦＩＮフラグがオンとなっているパケット）を送信する。
【００７２】
ＴＣＰ／ＩＰにおいて、接続を許可しないことを明示的に示すには、ＴＣＰのＦＩＮパケット以外に、ＩＣＭＰのＤｅｓｔｉｎａｔｉｏｎ Ｕｎｒｅａｃｈａｂｌｅを応答することによってもよい。これは、ＴＣＰおよびＵＤＰに共通で利用可能である。
【００７３】
なお、接続を要求するパケットや、接続を許可する／許可しないといった明示的なパケットを、送受信しないコネクションレス型通信である、ＵＤＰにおいては、送受信アドレスおよび送受信ポート番号の組み合わせが一致するパケットをの送受信をトリガにするとよい。
【００７４】
コネクションレス型通信においては、接続の要求・接続の許可・接続の不許可を明示するパケットの送受信が行われないため、アクセス制御の判定が正確でなくなる可能性がある。
【００７５】
本形態では、社内メールサーバ４が、中継装置６の意向とは無関係に、端末１０へ明示的な接続の許可を行った場合、社内メールサーバ４から中継装置６へ変更通知を発行して、中継装置６上の記憶部６７を、社内メールサーバ４の記憶部４８と一致させることにしている。
【００７６】
この通知をうまく利用すれば、中継装置６でアクセス制御に関する全ての情報を保持しなければならかった従来の方式に対し、アクセス制御に関する情報を、中継装置６と社内メールサーバ４とで、分散して保持することもできるようになる。中継装置６上の情報の量及び処理負担を削減できる。また中継装置６では、実際には既に通信されなくなったフローに関する情報を保持しなくても足りるようになるから、一層処理負担を軽減できる。
【００７７】
また、この変更通知により、社内メールサーバ４の帯域制御の処理内容と、中継装置６の帯域制御の処理内容の整合性を、確保できる。
【００７８】
これにより、社内メールサーバ４から中継装置６へ届いたパケットが、帯域不足のために、中継装置６で破棄されたり、逆に、中継装置６から外向きの帯域が必要以上に確保されて、他のフローが要する帯域が圧迫されるような事態を、回避できる。
【００７９】
（帯域制御）
パケット交換ネットワークでは、その仕組みの制約上、パケットの送信側でしか帯域制御が行えない。
【００８０】
従って、社内メールサーバ４から中継装置６へのパケットに関しては、社内メールサーバ４側でしか帯域制御を行えず、中継装置６から社内メールサーバ４へのパケットに関しては、中継装置６側でしか帯域制御を行えない。
【００８１】
そこで、本形態では、外部からの不正なアクセスに対する応答によって、社内メールサーバ４の帯域を不正使用されることを防ぐため、帯域制御部を、中継装置６と社内メールサーバ４の両方に設けている。
【００８２】
次に、図４を参照しながら、中継装置６の動作を説明する。まず、ステップ１にて、制御部６０は、通信部６１または通信部６２にパケットが到着するのを待つ。
【００８３】
到着したら、ステップ２にて、このパケットが、社内メールサーバ４からの変更通知でないかどうかチェックする。もしそうなら、制御部６０は、ステップ３にて、変更通知のとおり、記憶部６７の内容を更新する。これにより、記憶部６７の内容と、記憶部４８の内容の整合性が担保される。
【００８４】
変更通知でなければ、ステップ４にて、制御部６０は、分類部６３に分類を命ずる。すると、分類部６３は、このパケットに該当するフローが、記憶部６７に存在するかどうかチェックする。
【００８５】
存在すれば、ステップ５にて、分類部６３は、そのフローの各値（送信元及び宛先に関するアドレス及びポート番号等）が確定しているかどうかチェックする。因みに、分類部６３は、図３に矢印で示しているように、フロー番号が大きいものの順に、検討を行う。ここで、確定していない場合とは、図３に「＊」で示したように、値が未定の場合である。
【００８６】
確定していなければ、分類部６３は、ステップ６にて、新しいエントリ（フロー番号は、現在最大のものに「１」を足した番号となる）を追加し、パケットから得られた各値（送信元及び宛先に関するアドレス及びポート番号等）をセットして、ステップ７へ処理を移す。確定していれば、新たなフローを追加する必要はないので、分類部６３は、ステップ５からステップ７へ処理を移す。
【００８７】
ステップ４にて、該当フローがなければ、これは不正アクセスの可能性があるため、分類部６３は、分類を中止してその旨制御部６０に報告する。この報告を受けた制御部６０は、即座にステップ１０へ処理を移し、このパケットを廃棄する。
【００８８】
さて、ステップ７では、測定部６４が該当フローの伝送速度を測定し、その測定値Ｖｎが、該当フローの測定値のフィールドにセットされる。
【００８９】
次に、ステップ８では、判定部６５が、該当フローの測定値Ｖｎと閾値ＴＨとを、大小比較し、判定部６５は、Ｖｎ≦ＴＨであれば「伝送する」と判定し、パケットが帯域制御部６６に出力される。この後、帯域制御部６６は、その帯域制御方式に従って、パケットを自身で廃棄しない限り、順次、通信部６１または通信部６２から出力する。
【００９０】
一方、そうでなければ、判定部６５は、「廃棄する」と判定し、パケットは帯域制御部６６に出力されることなく、廃棄される。
【００９１】
そして、ステップ１以降の処理が、処理が終了するまで繰り返される（ステップ１１）。
【００９２】
次に、図６を用いて、社内メールサーバ４の動作を説明する。まず、ステップ３１にて、制御部４０は、変更フラグに初期値としての「ＯＦＦ」をセットする。このフラグは、社内メールサーバ４がそれ自身の判断で、記憶部４８の内容を変更したかどうかを示すフラグであり、「ＯＮ」なら変更したことを、「ＯＦＦ」なら変更していないことを表す。そして、「ＯＮ」なら記憶部４８の内容と、記憶部６７の内容に相違があることになるので、しかるべきタイミング（ステップ４６）で、中継装置６へ変更通知を発行することとしている。
【００９３】
さてステップ３２にて、制御部４０は、通信部４１にパケットが到着するのを待つ。到着するまでは、ステップ３３にて、制御部４０は、アプリケーション部４２による処理を実施する。
【００９４】
到着したら、ステップ３４にて、このパケットが、暗号化されたものでないかどうかチェックする。もしそうなら、制御部４０は、ステップ３５にて、暗号処理部４３にこのパケットを復号させてから、ステップ３６へ処理を移す。暗号化されていなければ、制御部４０は、ステップ３４からステップ３６へ処理を移す。
【００９５】
次に、ステップ３６にて、制御部４０は、分類部４４に分類を命ずる。すると、分類部４４は、このパケットに該当するフローが、記憶部４８に存在するかどうかチェックする。
【００９６】
存在すれば、ステップ３７にて、分類部４４は、そのフローの各値（送信元及び宛先に関するアドレス及びポート番号等）が確定しているかどうかチェックする。因みに、分類部４４も、分類部６３と同様に、図３に矢印で示しているように、フロー番号が大きいものの順に、検討を行う。ここで、確定していない場合とは、図３に「＊」で示したように、値が未定の場合である。
【００９７】
確定していなければ、分類部４４は、ステップ３８にて、新しいエントリ（フロー番号は、現在最大のものに「１」を足した番号となる）を追加し、パケットから得られた各値（送信元及び宛先に関するアドレス及びポート番号等）をセットする。また、これにより、記憶部４８が記憶部６７と一致しなくなった可能性があるため、変更フラグを「ＯＮ」とする。
【００９８】
そして、ステップ３９へ処理を移す。ステップ３９では、分類部４４は、端末１０に接続を許可するＳＹＮ−ＡＣＫのフラグをオンにしたパケットを、送信するかどうか、制御部４０に確認する。送信するのなら、該当フローの一定条件を緩和するため、ステップ４０にて、記憶部４８において、該当フローの閾値ＴＨに、∞（自由に通信を認める）の値をセットし、ステップ４１へ処理を移す。送信しないなら、分類部４４は、ステップ３９からステップ４１へ処理を移る。
【００９９】
さて、ステップ３７にて、値が確定していれば、新たなフローを追加する必要はないので、分類部４４は、ステップ３７からステップ４１へ処理を移す。
【０１００】
ステップ３６にて、該当フローがなければ、これは不正アクセスの可能性があるため、分類部４４は、分類を中止してその旨制御部４０に報告する。この報告を受けた制御部４０は、即座にステップ４４へ処理を移し、このパケットを廃棄する。
【０１０１】
さて、ステップ４１では、測定部４５が該当フローの伝送速度を測定し、その測定値Ｖｎが、該当フローの測定値のフィールドにセットされる。
【０１０２】
次に、ステップ４２では、判定部４６が、該当フローの測定値Ｖｎと閾値ＴＨとを、大小比較し、判定部４６は、Ｖｎ≦ＴＨであれば「伝送する」と判定し、パケットが帯域制御部４７に出力される。この後、帯域制御部４７は、その帯域制御方式に従って、パケットを自身で廃棄しない限り、順次、通信部４１から出力する。
【０１０３】
一方、そうでなければ、判定部４６は、「廃棄する」と判定し、パケットは帯域制御部４７に出力されることなく、廃棄される。
【０１０４】
そして、ステップ３２以降の処理が、処理が終了するまで繰り返される（ステップ４８）。
【０１０５】
次に、図７、図３を用いて、端末１０が一定条件下で社内メールサーバ４との接続要求をするための通信を開始し、それが認められ、条件が緩和され、通信が円滑に行われるまでの処理の流れを説明する。
【０１０６】
まず、図７の時刻ｔ１において、端末１０が、社内メールサーバ４にＳＹＮフラグがオンとなったパケット（アカウント、パスワード等の認証情報を含む情報）を、ＰＯＰプロトコルにしたがい送信する。このとき、記憶部４８、記憶部６７の内容は、図３（ａ）に示すとおりである。
【０１０７】
このパケットは、フロー番号４に属するものであるため、このフローの測定値Ｖ４が閾値ＴＨ以下であるとき、通信が許可される。
【０１０８】
ところが、時刻ｔ１前後では、測定値Ｖ４が閾値ＴＨを超えていたため、通信は失敗し、時刻ｔ２において、社内メールサーバ４から端末１０へＦＩＮフラグがオンになったパケットが返される。
【０１０９】
そこで、端末１０は、パケットの伝送速度を下げて、時刻ｔ３にて、再度、ＳＹＮフラグをオンにしたパケットを、社内メールサーバ４へ送信する。すると、上記一定条件が満たされて、時刻ｔ４において、社内メールサーバ４から端末１０へ接続を許可するパケット（ＳＹＮ−ＡＣＫフラグがオンになったパケット）が返される。
【０１１０】
このとき、記憶部４８の内容は、一旦、図３（ｂ）に示すように、変化する。即ち、フロー番号４の内容を、複写した新たなエントリ（フロー番号５）が作成され、端末１０のアドレス及びポート番号等の各値がセットされる。
【０１１１】
さらに、図３（ｃ）に示すように、接続を許可したフロー番号について、閾値ＴＨが１０から∞に拡大され、条件が緩和される。そして、この変更は、社内メールサーバ４から中継装置６へ変更通知により知らされ、記憶部６７の内容も、図３（ｃ）の内容と一致する。
【０１１２】
しかるのち、時刻ｔ５以降において、広い帯域による円滑な通信が実行される。
【０１１３】
さらに、時刻ｔ９において、端末１０は、今度は、メールサービスそのものを受けるため、社内メールサーバ４にＳＹＮフラグがオンとなったパケット（パスワードを含む情報）を、ＭＡＩＬプロトコルにしたがい送信する。
【０１１４】
すると、図３（ｄ）に示すように、社内メールサーバ４が、新たなエントリ（フロー番号６）を追加し、ＭＡＩＬプロトコルによる通信が実行される。勿論、このときの記憶部４８の変更は、直ちに、中継装置６へ通知され、記憶部４８の変更内容は、すぐに記憶部６７に反映される。
【０１１５】
【発明の効果】
本発明によれば、伝送／破棄といった二者択一的なアクセス制御ではなく、他の正当なアクセスの通信に支障のないように制御された帯域の範囲内において、より柔軟なアクセス制御を行える。
【０１１６】
また、内部ネットワークのサーバから、中継装置へ通知を行うことにより、従来のアクセス制御では、正確な判定が困難であったコネクションレス型通信や暗号化された通信に対しても、アクセス制御に関する判定を、正確に実施できる。
【図面の簡単な説明】
【図１】本発明の一実施の形態における通信システムの構成図
【図２】同中継装置のブロック図
【図３】（ａ）同記憶部の遷移説明図
（ｂ）同記憶部の遷移説明図
（ｃ）同記憶部の遷移説明図
（ｄ）同記憶部の遷移説明図
【図４】同中継装置のフローチャート
【図５】同サーバのブロック図
【図６】同サーバのフローチャート
【図７】同パケット伝送を示すタイムチャート
【符号の説明】
１ 内部ネットワーク
２ ＬＡＮケーブル
３ ＷＥＢサーバ
４ 社内メールサーバ
５ 社内ＤＢサーバ
６ 中継装置
７ 外部ネットワーク
８ ネットワーク網
９、１０ 端末
４０、６０ 制御部
４１、６１、６２ 通信部
４２ アプリケーション部
４３ 暗号処理部
４４、６３ 分類部
４５、６４ 測定部
４６、６５ 判定部
４７、６６ 帯域制御部
４８、６７ 記憶部
【発明の属する技術分野】
本発明は、アクセス制御方法、中継装置、サーバに関するものである。
【０００２】
【従来の技術】
まず本明細書において、保護すべき情報又はそれを管理するサーバが存在する位置を、内部といい、この内部に対して、ネットワークを経由して通信する位置を、外部という。
【０００３】
さて、アクセス制御（ファイアーウォール、パケットフィルタリングとも呼ばれる）は、次のような不正アクセスから、内部を保護するために使用される。即ち、この不正アクセスとしては、外部から内部へ不正侵入すること、外部から内部のサービスを妨害すること、内部の機密情報を外部へ持ち出すことなどがある。このアクセス制御を担当する機器は、サービスを提供するサーバ自身や、このサーバへの通信を中継する中継装置（例えば、ルータ等）の、いずれかまたは両方である。
【０００４】
従来のアクセス制御に関する先行文献として、特許文献１〜３がある。
【０００５】
また、代表的なネットワークプロトコルであるＴＣＰ／ＩＰにおける帯域制御、ＩＰＳｅｃ、ＩＰｖ６のＦｌｏｗＬａｂｅｌに関する先行文献として、非特許文献１〜３がある。
【０００６】
（問題点１）Ｐ２Ｐ通信への対応
従来のアクセス制御では、基本的に、パケットを伝送するか破棄するかの、二者択一の制御が行われる。
【０００７】
したがって、サーバが、完全に公開されているサービス、例えば、インターネットからのアクセス可能なＷＥＢサービス等、を提供しているときには、このサーバへのパケットを、基本的に伝送するようにすればよい。
【０００８】
一方、サーバが、固定的な範囲にアクセスが制限されるサービス、例えば、社内のネットワーク内にアクセスが限定されるファイル共有サービス等、を提供しているときには、この固定的な範囲外からのパケットを、全て破棄してしまえばよい。
【０００９】
しかしながら、サーバが、出張等により社内から社外へ移動した社員が所有するコンピュータに対して、メールサービスを提供するような場合、以上のアクセス制御では対応できない。なぜなら、このような場合、社員が所有するコンピュータのアドレスやポート番号等は、社員が社内から社外へ移動すると、変更されてしまうからである。
【００１０】
このような課題に対し、特許文献１〜３では、いくつかの提案がなされている。ところが、これらによっても、Ｐ２Ｐ通信への対応が、不十分である。
【００１１】
これらの文献では、内部から外部へパケットが伝送されると、パケットの伝送／破棄を判定する際、その逆向きのパケットを、伝送させるように、アクセス制御の判定条件を動的に変更している。これにより、外部と内部とで双方向の通信を行うこととしている。
【００１２】
しかしながら、このような技術では、内部から外部へ向けてパケットが伝送されない限り、双方向の通信はできない。つまり、はじめに外部から内部へパケットを伝送してから双方向の通信を行おうとしても、それは不可能である。
【００１３】
（問題点２）ＤＯＳ攻撃に対する脆弱性
問題点１に対し、特定の条件を満たすパケットを、中継可能なように静的に判定条件を設定することも考えられる。しかしながら、現状のＩＳＰ、ホットスポット等では、端末のアドレス等がＤＨＣＰ等で動的に設定されるため、このような特定の条件を定めることは、事実上不可能に近い。
【００１４】
また、このような設定を行うと、悪意を持つ者が、中継可能な条件を満たすパケットを偽造してサーバを攻撃する、ＤＯＳ（Ｄｅｎｅａｌ Ｏｆ Ｓｅｒｖｉｃｅ）の発生を防止できない。
【００１５】
特許文献３では、ＤＯＳ攻撃等の不正アクセスの対し、トラフィックシェーピングを用いて、使用帯域を制御している。しかしながら、不正アクセスによるパケットと、正当なアクセスパケットとが、混在して流れている場合、正当なアクセスによる通信の帯域を、不当に制限してしまう結果となるし、シェーピングの対象を、不正アクセスによるパケットのみに、限定することは、非常に難しい。
（問題点３）暗号化への対応
従来のアクセス制御では、伝送／破棄の判定に、パケット内の情報を参照している。ところが、第三者による盗聴を防ぐために、パケットを暗号化した場合、アクセス制御において、パケット内の情報が参照できないため、伝送／破棄の判定ができなくなってしまう。
【特許文献１】
特開平８−４４６４２号公報
【特許文献２】
特表平１０−５０４１６８号公報
【特許文献３】
特開２０００−１２４９５５号公報
【非特許文献１】
文献名：「インターネットＱｏＳ」、共著：Ｐａｕｌ Ｆｅｒｇｕｓｏｎ、Ｇｅｏｔｔ Ｈｕｓｔｏｎ、監訳：戸田巌、発行日：平成１２年５月５日
【非特許文献２】
文献名：ＲＦＣ２４０１ 「ＩＰ Ｅｎｃａｐｓｕｌａｔｉｎｇ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄ（ＥＳＰ）」、共著：Ｓ．Ｋｅｎｔ、Ｒ．Ａｔｋｉｎｓｏｎ、発行日：１９９８年１１月
【非特許文献３】
文献名：ＲＦＣ２４６０ 「Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ， Ｖｅｒｓｉｏｎ６（ＩＰｖ６） Ｓｐｅｃｉｆｉｃａｔｉｏｎ」、共著：Ｓ．Ｄｅｅｒｉｎｇ、Ｒ．Ｈｉｎｄｅｎ、発行日：１９９８年１１月
【発明が解決しようとする課題】
そこで本発明は、より柔軟なアクセス制御を行え、パケットの暗号化に対応できる、アクセス制御方法及びその関連技術を提供することを目的とする。
【００１６】
【課題を解決するための手段】
請求項１記載の中継装置は、外部ネットワーク側に接続される第１の通信部と、内部ネットワーク側に接続される第２の通信部と、第１の通信部及び第２の通信部を介して伝送されるパケットに係るフローを定義する情報と、該当するフローについての帯域の閾値と、該当するフローについての帯域の測定値とを、関連付けて記憶する記憶部と、記憶部に記憶されたフローを定義する情報にしたがって、パケットのフローを分類する分類部と、分類されたフローについて帯域を測定し、測定値を記憶部に格納する測定部と、分類されたフローについて、記憶部に格納された帯域の測定値と閾値とを大小比較し、伝送の許否を判定する判定部と、判定部により伝送を許可されたパケットを、第１の通信部及び／又は第２の通信部を介して送信する帯域制御部とを備え、記憶部における帯域の閾値は、内部ネットワークのサーバが、外部ネットワークの端末からの接続を許可するまで、接続を制限する値に設定され、内部ネットワークのサーバがこの接続を許可すると、より接続の制限を緩和する値に変更される。
【００２０】
請求項２記載のサーバは、内部ネットワーク側に接続される通信部と、通信部を介して伝送されるパケットに係るフローを定義する情報と、該当するフローについての帯域の閾値と、該当するフローについての帯域の測定値とを、関連付けて記憶する記憶部と、記憶部に記憶されたフローを定義する情報にしたがって、パケットのフローを分類する分類部と、分類されたフローについて帯域を測定し、測定値を記憶部に格納する測定部と、分類されたフローについて、記憶部に格納された帯域の測定値と閾値とを大小比較し、伝送の許否を判定する判定部と、判定部により伝送を許可されたパケットを、通信部を介して送信する帯域制御部とを備え、記憶部における帯域の閾値は、内部ネットワークのサーバが、外部ネットワークの端末からの接続を許可するまで、接続を制限する値に設定され、内部ネットワークのサーバがこの接続を許可すると、より接続の制限を緩和する値に変更される。
【００２２】
請求項３記載のサーバでは、外部ネットワークの端末からの接続を許可するまで、記憶部における帯域の閾値を小さな値に設定し、この接続を許可すると、記憶部における帯域の閾値をより大きな値に変更する。
【００２４】
請求項４記載のサーバでは、記憶部に格納された情報を変更した際、その旨を中継装置へ通知する。
【００２８】
この構成により、サーバが独自に情報を変更したような場合、サーバから中継装置へ通知がなされ、サーバと中継装置における、アクセス制御の整合性をとり、通信システム全体として、統一性のあるアクセス制御を実施できる。
【００２９】
【発明の実施の形態】
以下、図面を参照しながら、本発明の実施の形態を説明する。図１は、本発明の一実施の形態における通信システムの構成図、図２は同中継装置のブロック図、図５は同ＷＥＢサーバのブロック図である。
【００３０】
図１に示すように、この通信システムは、中継装置６の上側に図示される外部ネットワーク７と、下側に図示される内部ネットワーク１とを有する。
【００３１】
内部ネットワーク１には、ＬＡＮケーブル２が敷設され、ＬＡＮケーブル２には、中継装置６の他、内部ネットワーク１に属する、ＷＥＢサーバ３、社内メールサーバ４、社内ＤＢサーバ５及びその他のクライアント端末（図示せず）が接続される。
【００３２】
中継装置６は、ネットワーク網８とＬＡＮケーブル２の両方に接続されている。
【００３３】
また、外部ネットワーク７には、ネットワーク網８があり、端末９は、ＷＥＢサーバ３によるＷＥＢサービスを受けることのみを許されている。一方、端末１０は、内部ネットワーク１を利用する会社の社員が、出張先へ持参したコンピュータであり、端末１０には、ＷＥＢサーバ３と、社内メールサーバ４によるサービスを受けることが許されている。
【００３４】
なお、社内ＤＢサーバ５のサービスは、内部ネットワーク１の内部のみで利用でき、内部ネットワーク１外のアクセスは禁止されている。
【００３５】
ここで、端末９がＷＥＢサーバ３のサービスの利用を許可され、また、社内メールサーバ４のサービスの利用を禁止されるという、形態は、伝送／廃棄という二者択一的な、従来のアクセス制御で対応可能であるため、この点についての説明は省略する。
【００３６】
本発明で取り上げる問題は、社内メールサーバ４を不正アクセスから保護しながら、端末１０に社内メールサーバ４を利用させることである。
【００３７】
次に、図２を用いて、中継装置６について詳しく説明する。まず、制御部６０は、中継装置６の各構成要素を制御する。
【００３８】
通信部６１は、外部ネットワーク７のネットワーク網８に接続される。また、通信部６２は、内部ネットワーク１のＬＡＮケーブル２に接続される。
【００３９】
記憶部６７は、メモリなどの記憶媒体から構成される。そして、図３（ａ）に示すように、端末１０の接続が許可される前の状態において、記憶部６７は、通信部６１、６２を介して伝送されるパケットに係るフローを定義する情報（送信元についてのアドレス及びポート番号、宛先についてのアドレス及びポート番号）と、該当するフローについての帯域（本形態では、毎秒あたりのパケット数を用いる）の閾値ＴＨと、該当するフローについての帯域の測定値Ｖｎとを、フロー番号毎に、関連付けて記憶する。
【００４０】
また、記憶部６７には、接続を許可しうるフローが、予め定義されており、記憶部６７に定義されたフローと全く関係ないフローは、不正アクセスとして、排除される。
【００４１】
なお、記憶部６７の内容の遷移は、簡単にまとめて言うと、記憶部６７における帯域の閾値ＴＨは、内部ネットワーク１の社内メールサーバ４が、外部ネットワーク７の端末１０からの接続を許可するまで、小さな値に設定され、社内メールサーバ４がこの接続を許可すると、より大きな値に変更されるものである。
【００４２】
また、図３（ａ）に示すように、本形態では、フロー番号１〜４の、合計４つのフローが定義されている。フロー番号１は、社内ＤＢサーバ５のサービスに関するものであり、外部ネットワーク７のどのアドレスからも、アクセスできない（閾値ＴＨ＝０）ものである。
【００４３】
フロー番号２は、内部ネットワーク１に属する端末（サーバ又はクライアント端末）から外部ネットワーク７へ出てゆくサービスに関するものであり、内部ネットワーク１のどのアドレスからアクセスしても、自由にアクセスできる（閾値ＴＨ＝∞）ものである。
【００４４】
フロー番号３は、ＷＥＢサーバ３のサービスに関するものであり、外部ネットワーク７のどのアドレスからアクセスしても、自由にアクセスできる（閾値ＴＨ＝∞）ものである。
【００４５】
フロー番号４は、社内メールサーバ４のサービスに関するものであり、外部ネットワーク７のどのアドレスからアクセスしても、一定条件下でアクセスできる（閾値ＴＨ＝１０）ものである。しかも、このアクセスは、プロトコル種別が、パスワード送信に関するＰＯＰに限定される。
【００４６】
後述するように、社内メールサーバ４にアクセスしようとする、端末１０は、フロー番号４に従うパケットを、社内メールサーバ４に一定条件下で送信し、社内メールサーバ４が、その通信を許可する明示的なパケット（ＳＹＮ−ＡＣＫフラグがオンになっているパケット）を発行した後に、この条件が大幅に緩和されるようになっている。
【００４７】
図２において、分類部６３は、記憶部６７に記憶されたフローを定義する情報にしたがって、パケットのフローを分類する。
【００４８】
測定部６４は、分類されたフローについて帯域を測定し、測定値を、記憶部６７において、該当するフロー番号の「測定値」のフィールドに格納する。
【００４９】
判定部６５は、分類されたフローについて、記憶部６７に格納された帯域の測定値Ｖｎと閾値ＴＨとを大小比較し、Ｖｎ≦ＴＨであれば、伝送するという判定を下し、そうでなければ廃棄するという判定を下す。
【００５０】
なお以下、説明を簡単にするために、判定部６５は、「伝送する」という判定と、「廃棄する」という判定との、２種類の判定のみをなすものとする。しかし、廃棄はしないが伝送を遅らせたり、パケットの優先度を変更したりする判定を下すようにすることもでき、このようにしても、本発明に包含される。
【００５１】
帯域制御部６６には、判定部６５により伝送すると判定されたパケットが、セットされ、帯域制御部６６は、その帯域制御のルールに従って、パケットを帯域制御部６６自体において廃棄しない限り、通信部６１、６２から順次送信する。
【００５２】
本形態の帯域制御部６６における帯域制御方式は、任意である。例えば、ＦＩＦＯ、ＲＥＤ、ＲＩＯ等のキューイング、ＰＱ、ＷＲＲ等のスケジューラ等を自由に選択して使用できる。
【００５３】
次に、図５を用いて、社内メールサーバ４について詳しく説明する。まず、制御部４０は、社内メールサーバ４の各構成要素を制御する。通信部４１は、ＬＡＮケーブル２に接続される。
【００５４】
記憶部４８は、メモリなどの記憶媒体から構成され、中継装置６の記憶部６７と同様の内容を持つ。但し、一時的に、記憶部４８の内容と、記憶部６７の内容が、一致しなくなることがあるが、この情報の不整合は、後述する変更通知により、直ちに解消されるようになっている。勿論、記憶部４８の遷移は、記憶部６７の遷移と基本的に同じである。
【００５５】
アプリケーション部４２は、社内メールサーバ４としての機能を実現するための、（メールサービス）アプリケーションを実行するものである。
【００５６】
暗号処理部４３は、暗号化されたパケットを復号する。この暗号化されたパケットに係る、アクセス制御に使用する情報は、通信部４１を介して、中継装置６へ通知される。
【００５７】
ここで、ＩＰ−Ｓｅｃ等により暗号化されたパケットでは、アクセス制御において、パケットを分類するために必要な情報までが、暗号化されてしまう。そのため、パケットの分類が、不完全になる。アクセス制御で必要となる情報は、暗号化されたパケットを復号できる、送信元または宛先の社内メールサーバ４でしか取得できない。
【００５８】
ＴＣＰ／ＩＰのバージョン６のＩＰでは、このような暗号化されたパケットが複数混在した場合にも、パケットを分類可能とするためにフローラベルが導入されている。しかしながら、フローラベルから暗号化されている送受信ポート番号等との関係を判定できるのは、送受信端末のみである。
【００５９】
そこで、本形態では、社内メールサーバ４に暗号処理部４３を設け、復号したパケットから、アクセス制御の分類に必要な情報が得られたら、これを、社内メールサーバ４のみで持つのではなく、中継装置６に通知し、中継装置６の分類処理と、社内メールサーバ４の分類処理の整合性を確保している。
【００６０】
図５において、分類部４４、測定部４５、判定部４６、帯域制御部４７は、図２の分類部６３、測定部６４、判定部６５、帯域制御部６６と、同様のものである。
【００６１】
即ち、分類部４４は、記憶部４８に記憶されたフローを定義する情報にしたがって、パケットのフローを分類する。
【００６２】
測定部４５は、分類されたフローについて帯域を測定し、測定値を、記憶部４８において、該当するフロー番号の「測定値」のフィールドに格納する。
【００６３】
判定部４６は、分類されたフローについて、記憶部４８に格納された帯域の測定値Ｖｎと閾値ＴＨとを大小比較し、Ｖｎ≦ＴＨであれば、伝送するという判定を下し、そうでなければ廃棄するという判定を下す。
【００６４】
帯域制御部４７には、判定部４５により伝送すると判定されたパケットが、セットされ、帯域制御部４７は、その帯域制御のルールに従って、パケットを帯域制御部４７自体において廃棄しない限り、通信部４１から順次送信する。
【００６５】
本形態の帯域制御部４７における帯域制御方式は、任意である。例えば、ＦＩＦＯ、ＲＥＤ、ＲＩＯ等のキューイング、ＰＱ、ＷＲＲ等のスケジューラ等を自由に選択して使用できる。
【００６６】
（変更通知）
さて、パケット交換の通信においては、接続要求とそれに対する明示的な接続許可を通知するコネクション型通信と、接続要求とそれに対する明示的な接続許可を通知しないコネクションレス型通信の二つの方式がある。
【００６７】
現在最も普及しているインターネットの通信プロトコルであるＴＣＰ／ＩＰにおいては、コネクション型通信としてＴＣＰが、コネクションレス型通信にはＵＤＰがある。
【００６８】
またＴＣＰおよびＵＤＰでは、一組の端末（この端末には、サーバを含む。）間で複数の通信を独立して行えるように、端末は、通信毎にポート番号を割当てる。
【００６９】
したがって、中継装置６の分類部６３は、送受信アドレスと送受信ポート、そしてＴＣＰかＵＤＰかを示す上位プロトコル種別を参照することで、複数の通信を分類可能となる。
【００７０】
コネクション型通信であるＴＣＰでは、接続を要求するパケット（ＴＣＰフラグ内のＳＹＮフラグがオンになっているパケット）を受信した社内メールサーバ４は、接続を許可する場合には接続を許可するパケット（ＳＹＮ−ＡＣＫフラグがオンになっているパケットやＡＣＫフラグがオンとなっているパケット）を送信する。
【００７１】
一方、社内メールサーバ４は、接続を許可しない場合、接続を許可しないこと示すパケット（ＴＣＰフラグ内のＦＩＮフラグがオンとなっているパケット）を送信する。
【００７２】
ＴＣＰ／ＩＰにおいて、接続を許可しないことを明示的に示すには、ＴＣＰのＦＩＮパケット以外に、ＩＣＭＰのＤｅｓｔｉｎａｔｉｏｎ Ｕｎｒｅａｃｈａｂｌｅを応答することによってもよい。これは、ＴＣＰおよびＵＤＰに共通で利用可能である。
【００７３】
なお、接続を要求するパケットや、接続を許可する／許可しないといった明示的なパケットを、送受信しないコネクションレス型通信である、ＵＤＰにおいては、送受信アドレスおよび送受信ポート番号の組み合わせが一致するパケットをの送受信をトリガにするとよい。
【００７４】
コネクションレス型通信においては、接続の要求・接続の許可・接続の不許可を明示するパケットの送受信が行われないため、アクセス制御の判定が正確でなくなる可能性がある。
【００７５】
本形態では、社内メールサーバ４が、中継装置６の意向とは無関係に、端末１０へ明示的な接続の許可を行った場合、社内メールサーバ４から中継装置６へ変更通知を発行して、中継装置６上の記憶部６７を、社内メールサーバ４の記憶部４８と一致させることにしている。
【００７６】
この通知をうまく利用すれば、中継装置６でアクセス制御に関する全ての情報を保持しなければならかった従来の方式に対し、アクセス制御に関する情報を、中継装置６と社内メールサーバ４とで、分散して保持することもできるようになる。中継装置６上の情報の量及び処理負担を削減できる。また中継装置６では、実際には既に通信されなくなったフローに関する情報を保持しなくても足りるようになるから、一層処理負担を軽減できる。
【００７７】
また、この変更通知により、社内メールサーバ４の帯域制御の処理内容と、中継装置６の帯域制御の処理内容の整合性を、確保できる。
【００７８】
これにより、社内メールサーバ４から中継装置６へ届いたパケットが、帯域不足のために、中継装置６で破棄されたり、逆に、中継装置６から外向きの帯域が必要以上に確保されて、他のフローが要する帯域が圧迫されるような事態を、回避できる。
【００７９】
（帯域制御）
パケット交換ネットワークでは、その仕組みの制約上、パケットの送信側でしか帯域制御が行えない。
【００８０】
従って、社内メールサーバ４から中継装置６へのパケットに関しては、社内メールサーバ４側でしか帯域制御を行えず、中継装置６から社内メールサーバ４へのパケットに関しては、中継装置６側でしか帯域制御を行えない。
【００８１】
そこで、本形態では、外部からの不正なアクセスに対する応答によって、社内メールサーバ４の帯域を不正使用されることを防ぐため、帯域制御部を、中継装置６と社内メールサーバ４の両方に設けている。
【００８２】
次に、図４を参照しながら、中継装置６の動作を説明する。まず、ステップ１にて、制御部６０は、通信部６１または通信部６２にパケットが到着するのを待つ。
【００８３】
到着したら、ステップ２にて、このパケットが、社内メールサーバ４からの変更通知でないかどうかチェックする。もしそうなら、制御部６０は、ステップ３にて、変更通知のとおり、記憶部６７の内容を更新する。これにより、記憶部６７の内容と、記憶部４８の内容の整合性が担保される。
【００８４】
変更通知でなければ、ステップ４にて、制御部６０は、分類部６３に分類を命ずる。すると、分類部６３は、このパケットに該当するフローが、記憶部６７に存在するかどうかチェックする。
【００８５】
存在すれば、ステップ５にて、分類部６３は、そのフローの各値（送信元及び宛先に関するアドレス及びポート番号等）が確定しているかどうかチェックする。因みに、分類部６３は、図３に矢印で示しているように、フロー番号が大きいものの順に、検討を行う。ここで、確定していない場合とは、図３に「＊」で示したように、値が未定の場合である。
【００８６】
確定していなければ、分類部６３は、ステップ６にて、新しいエントリ（フロー番号は、現在最大のものに「１」を足した番号となる）を追加し、パケットから得られた各値（送信元及び宛先に関するアドレス及びポート番号等）をセットして、ステップ７へ処理を移す。確定していれば、新たなフローを追加する必要はないので、分類部６３は、ステップ５からステップ７へ処理を移す。
【００８７】
ステップ４にて、該当フローがなければ、これは不正アクセスの可能性があるため、分類部６３は、分類を中止してその旨制御部６０に報告する。この報告を受けた制御部６０は、即座にステップ１０へ処理を移し、このパケットを廃棄する。
【００８８】
さて、ステップ７では、測定部６４が該当フローの伝送速度を測定し、その測定値Ｖｎが、該当フローの測定値のフィールドにセットされる。
【００８９】
次に、ステップ８では、判定部６５が、該当フローの測定値Ｖｎと閾値ＴＨとを、大小比較し、判定部６５は、Ｖｎ≦ＴＨであれば「伝送する」と判定し、パケットが帯域制御部６６に出力される。この後、帯域制御部６６は、その帯域制御方式に従って、パケットを自身で廃棄しない限り、順次、通信部６１または通信部６２から出力する。
【００９０】
一方、そうでなければ、判定部６５は、「廃棄する」と判定し、パケットは帯域制御部６６に出力されることなく、廃棄される。
【００９１】
そして、ステップ１以降の処理が、処理が終了するまで繰り返される（ステップ１１）。
【００９２】
次に、図６を用いて、社内メールサーバ４の動作を説明する。まず、ステップ３１にて、制御部４０は、変更フラグに初期値としての「ＯＦＦ」をセットする。このフラグは、社内メールサーバ４がそれ自身の判断で、記憶部４８の内容を変更したかどうかを示すフラグであり、「ＯＮ」なら変更したことを、「ＯＦＦ」なら変更していないことを表す。そして、「ＯＮ」なら記憶部４８の内容と、記憶部６７の内容に相違があることになるので、しかるべきタイミング（ステップ４６）で、中継装置６へ変更通知を発行することとしている。
【００９３】
さてステップ３２にて、制御部４０は、通信部４１にパケットが到着するのを待つ。到着するまでは、ステップ３３にて、制御部４０は、アプリケーション部４２による処理を実施する。
【００９４】
到着したら、ステップ３４にて、このパケットが、暗号化されたものでないかどうかチェックする。もしそうなら、制御部４０は、ステップ３５にて、暗号処理部４３にこのパケットを復号させてから、ステップ３６へ処理を移す。暗号化されていなければ、制御部４０は、ステップ３４からステップ３６へ処理を移す。
【００９５】
次に、ステップ３６にて、制御部４０は、分類部４４に分類を命ずる。すると、分類部４４は、このパケットに該当するフローが、記憶部４８に存在するかどうかチェックする。
【００９６】
存在すれば、ステップ３７にて、分類部４４は、そのフローの各値（送信元及び宛先に関するアドレス及びポート番号等）が確定しているかどうかチェックする。因みに、分類部４４も、分類部６３と同様に、図３に矢印で示しているように、フロー番号が大きいものの順に、検討を行う。ここで、確定していない場合とは、図３に「＊」で示したように、値が未定の場合である。
【００９７】
確定していなければ、分類部４４は、ステップ３８にて、新しいエントリ（フロー番号は、現在最大のものに「１」を足した番号となる）を追加し、パケットから得られた各値（送信元及び宛先に関するアドレス及びポート番号等）をセットする。また、これにより、記憶部４８が記憶部６７と一致しなくなった可能性があるため、変更フラグを「ＯＮ」とする。
【００９８】
そして、ステップ３９へ処理を移す。ステップ３９では、分類部４４は、端末１０に接続を許可するＳＹＮ−ＡＣＫのフラグをオンにしたパケットを、送信するかどうか、制御部４０に確認する。送信するのなら、該当フローの一定条件を緩和するため、ステップ４０にて、記憶部４８において、該当フローの閾値ＴＨに、∞（自由に通信を認める）の値をセットし、ステップ４１へ処理を移す。送信しないなら、分類部４４は、ステップ３９からステップ４１へ処理を移る。
【００９９】
さて、ステップ３７にて、値が確定していれば、新たなフローを追加する必要はないので、分類部４４は、ステップ３７からステップ４１へ処理を移す。
【０１００】
ステップ３６にて、該当フローがなければ、これは不正アクセスの可能性があるため、分類部４４は、分類を中止してその旨制御部４０に報告する。この報告を受けた制御部４０は、即座にステップ４４へ処理を移し、このパケットを廃棄する。
【０１０１】
さて、ステップ４１では、測定部４５が該当フローの伝送速度を測定し、その測定値Ｖｎが、該当フローの測定値のフィールドにセットされる。
【０１０２】
次に、ステップ４２では、判定部４６が、該当フローの測定値Ｖｎと閾値ＴＨとを、大小比較し、判定部４６は、Ｖｎ≦ＴＨであれば「伝送する」と判定し、パケットが帯域制御部４７に出力される。この後、帯域制御部４７は、その帯域制御方式に従って、パケットを自身で廃棄しない限り、順次、通信部４１から出力する。
【０１０３】
一方、そうでなければ、判定部４６は、「廃棄する」と判定し、パケットは帯域制御部４７に出力されることなく、廃棄される。
【０１０４】
そして、ステップ３２以降の処理が、処理が終了するまで繰り返される（ステップ４８）。
【０１０５】
次に、図７、図３を用いて、端末１０が一定条件下で社内メールサーバ４との接続要求をするための通信を開始し、それが認められ、条件が緩和され、通信が円滑に行われるまでの処理の流れを説明する。
【０１０６】
まず、図７の時刻ｔ１において、端末１０が、社内メールサーバ４にＳＹＮフラグがオンとなったパケット（アカウント、パスワード等の認証情報を含む情報）を、ＰＯＰプロトコルにしたがい送信する。このとき、記憶部４８、記憶部６７の内容は、図３（ａ）に示すとおりである。
【０１０７】
このパケットは、フロー番号４に属するものであるため、このフローの測定値Ｖ４が閾値ＴＨ以下であるとき、通信が許可される。
【０１０８】
ところが、時刻ｔ１前後では、測定値Ｖ４が閾値ＴＨを超えていたため、通信は失敗し、時刻ｔ２において、社内メールサーバ４から端末１０へＦＩＮフラグがオンになったパケットが返される。
【０１０９】
そこで、端末１０は、パケットの伝送速度を下げて、時刻ｔ３にて、再度、ＳＹＮフラグをオンにしたパケットを、社内メールサーバ４へ送信する。すると、上記一定条件が満たされて、時刻ｔ４において、社内メールサーバ４から端末１０へ接続を許可するパケット（ＳＹＮ−ＡＣＫフラグがオンになったパケット）が返される。
【０１１０】
このとき、記憶部４８の内容は、一旦、図３（ｂ）に示すように、変化する。即ち、フロー番号４の内容を、複写した新たなエントリ（フロー番号５）が作成され、端末１０のアドレス及びポート番号等の各値がセットされる。
【０１１１】
さらに、図３（ｃ）に示すように、接続を許可したフロー番号について、閾値ＴＨが１０から∞に拡大され、条件が緩和される。そして、この変更は、社内メールサーバ４から中継装置６へ変更通知により知らされ、記憶部６７の内容も、図３（ｃ）の内容と一致する。
【０１１２】
しかるのち、時刻ｔ５以降において、広い帯域による円滑な通信が実行される。
【０１１３】
さらに、時刻ｔ９において、端末１０は、今度は、メールサービスそのものを受けるため、社内メールサーバ４にＳＹＮフラグがオンとなったパケット（パスワードを含む情報）を、ＭＡＩＬプロトコルにしたがい送信する。
【０１１４】
すると、図３（ｄ）に示すように、社内メールサーバ４が、新たなエントリ（フロー番号６）を追加し、ＭＡＩＬプロトコルによる通信が実行される。勿論、このときの記憶部４８の変更は、直ちに、中継装置６へ通知され、記憶部４８の変更内容は、すぐに記憶部６７に反映される。
【０１１５】
【発明の効果】
本発明によれば、伝送／破棄といった二者択一的なアクセス制御ではなく、他の正当なアクセスの通信に支障のないように制御された帯域の範囲内において、より柔軟なアクセス制御を行える。
【０１１６】
また、内部ネットワークのサーバから、中継装置へ通知を行うことにより、従来のアクセス制御では、正確な判定が困難であったコネクションレス型通信や暗号化された通信に対しても、アクセス制御に関する判定を、正確に実施できる。
【図面の簡単な説明】
【図１】本発明の一実施の形態における通信システムの構成図
【図２】同中継装置のブロック図
【図３】（ａ）同記憶部の遷移説明図
（ｂ）同記憶部の遷移説明図
（ｃ）同記憶部の遷移説明図
（ｄ）同記憶部の遷移説明図
【図４】同中継装置のフローチャート
【図５】同サーバのブロック図
【図６】同サーバのフローチャート
【図７】同パケット伝送を示すタイムチャート
【符号の説明】
１ 内部ネットワーク
２ ＬＡＮケーブル
３ ＷＥＢサーバ
４ 社内メールサーバ
５ 社内ＤＢサーバ
６ 中継装置
７ 外部ネットワーク
８ ネットワーク網
９、１０ 端末
４０、６０ 制御部
４１、６１、６２ 通信部
４２ アプリケーション部
４３ 暗号処理部
４４、６３ 分類部
４５、６４ 測定部
４６、６５ 判定部
４７、６６ 帯域制御部
４８、６７ 記憶部
Claims (5)
- 外部ネットワーク側に接続される第１の通信部と、
内部ネットワーク側に接続される第２の通信部と、
前記第１の通信部及び前記第２の通信部を介して伝送されるパケットに係るフローを定義する情報と、該当するフローについての帯域の閾値と、該当するフローについての帯域の測定値とを、関連付けて記憶する記憶部と、
前記記憶部に記憶されたフローを定義する情報にしたがって、パケットのフローを分類する分類部と、
分類されたフローについて帯域を測定し、測定値を前記記憶部に格納する測定部と、
分類されたフローについて、前記記憶部に格納された帯域の測定値と閾値とを大小比較し、伝送の許否を判定する判定部と、
前記判定部により伝送を許可されたパケットを、前記第１の通信部及び／又は前記第２の通信部を介して送信する帯域制御部とを備え、
前記記憶部における帯域の閾値は、内部ネットワークのサーバが、外部ネットワークの端末からの接続を許可するまで、接続を制限する値に設定され、内部ネットワークのサーバがこの接続を許可すると、より接続の制限を緩和する値に変更される、中継装置。 - 内部ネットワーク側に接続される通信部と、
前記通信部を介して伝送されるパケットに係るフローを定義する情報と、該当するフローについての帯域の閾値と、該当するフローについての帯域の測定値とを、関連付けて記憶する記憶部と、
前記記憶部に記憶されたフローを定義する情報にしたがって、パケットのフローを分類する分類部と、
分類されたフローについて帯域を測定し、測定値を前記記憶部に格納する測定部と、
分類されたフローについて、前記記憶部に格納された帯域の測定値と閾値とを大小比較し、伝送の許否を判定する判定部と、
前記判定部により伝送を許可されたパケットを、前記通信部を介して送信する帯域制御部とを備え、
前記記憶部における帯域の閾値は、内部ネットワークのサーバが、外部ネットワークの端末からの接続を許可するまで、接続を制限する値に設定され、内部ネットワークのサーバがこの接続を許可すると、より接続の制限を緩和する値に変更される、サーバ。 - 外部ネットワークの端末からの接続を許可するまで、前記記憶部における帯域の閾値を小さな値に設定し、この接続を許可すると、前記記憶部における帯域の閾値をより大きな値に変更する、請求項２記載のサーバ。
- 前記記憶部に格納された情報を変更した際、その旨を中継装置へ通知する、請求項２から３のいずれか記載のサーバ。
- 暗号化されたパケットを復号する暗号処理部を備え、
この暗号化されたパケットに係る、アクセス制御に使用する情報を、前記中継装置へ通知する、請求項４記載のサーバ。
Priority Applications (4)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003103760A JP4271478B2 (ja) | 2003-04-08 | 2003-04-08 | 中継装置及びサーバ |
| TW93104426A TWI335160B (en) | 2003-04-08 | 2004-02-23 | Access-controlling method, pepeater, and sever |
| US10/809,481 US7698452B2 (en) | 2003-04-08 | 2004-03-26 | Access-controlling method, repeater, and server |
| CNB2004100333311A CN100418329C (zh) | 2003-04-08 | 2004-04-02 | 存取控制方法、中继装置和服务器 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003103760A JP4271478B2 (ja) | 2003-04-08 | 2003-04-08 | 中継装置及びサーバ |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2004312416A JP2004312416A (ja) | 2004-11-04 |
| JP4271478B2 true JP4271478B2 (ja) | 2009-06-03 |
Family
ID=33466768
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003103760A Expired - Fee Related JP4271478B2 (ja) | 2003-04-08 | 2003-04-08 | 中継装置及びサーバ |
Country Status (4)
| Country | Link |
|---|---|
| US (1) | US7698452B2 (ja) |
| JP (1) | JP4271478B2 (ja) |
| CN (1) | CN100418329C (ja) |
| TW (1) | TWI335160B (ja) |
Families Citing this family (10)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP4280245B2 (ja) * | 2005-03-04 | 2009-06-17 | 日本電信電話株式会社 | フラッド攻撃防御方法および装置 |
| US20070002736A1 (en) * | 2005-06-16 | 2007-01-04 | Cisco Technology, Inc. | System and method for improving network resource utilization |
| EP1770915A1 (en) | 2005-09-29 | 2007-04-04 | Matsushita Electric Industrial Co., Ltd. | Policy control in the evolved system architecture |
| US8060075B2 (en) * | 2007-04-02 | 2011-11-15 | Yahoo! Inc. | Mobile addressability with mapping of phone numbers to dynamic IP addresses |
| US20100127835A1 (en) * | 2008-11-26 | 2010-05-27 | Sandisk Il Ltd. | Method and apparatus for selectively facilitating access to rfid data |
| US20110289548A1 (en) * | 2010-05-18 | 2011-11-24 | Georg Heidenreich | Guard Computer and a System for Connecting an External Device to a Physical Computer Network |
| CN102325094A (zh) * | 2011-06-07 | 2012-01-18 | 许本勇 | 一种中继装置的控制方法 |
| US20130176893A1 (en) * | 2012-01-05 | 2013-07-11 | General Electric Company | Loop Containment Enhancement |
| CN103906032B (zh) * | 2012-12-31 | 2018-05-11 | 华为技术有限公司 | 设备到设备通信方法、模块及终端设备 |
| US20170085475A1 (en) * | 2015-09-23 | 2017-03-23 | Qualcomm Incorporated | Configurable and scalable bus interconnect for multi-core, multi-threaded wireless baseband modem architecture |
Family Cites Families (15)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5606668A (en) | 1993-12-15 | 1997-02-25 | Checkpoint Software Technologies Ltd. | System for securing inbound and outbound data packet flow in a computer network |
| US5835726A (en) * | 1993-12-15 | 1998-11-10 | Check Point Software Technologies Ltd. | System for securing the flow of and selectively modifying packets in a computer network |
| IL114182A (en) | 1995-06-15 | 2003-03-12 | Checkpoint Software Techn Ltd | Method for controlling computer network security |
| US6111883A (en) * | 1996-07-12 | 2000-08-29 | Hitachi, Ltd. | Repeater and network system utilizing the same |
| US6321272B1 (en) * | 1997-09-10 | 2001-11-20 | Schneider Automation, Inc. | Apparatus for controlling internetwork communications |
| JP3309961B2 (ja) | 1998-10-19 | 2002-07-29 | 日本電気株式会社 | トラフィックシェーピングによるネットワークアタック防御システム |
| JP2001057554A (ja) | 1999-08-17 | 2001-02-27 | Yoshimi Baba | クラッカー監視システム |
| US7260635B2 (en) * | 2000-03-21 | 2007-08-21 | Centrisoft Corporation | Software, systems and methods for managing a distributed network |
| GB2366888A (en) * | 2000-04-14 | 2002-03-20 | Ibm | Restricting data access to data in data processing systems |
| US6826662B2 (en) * | 2001-03-22 | 2004-11-30 | Sony Computer Entertainment Inc. | System and method for data synchronization for a computer architecture for broadband networks |
| US20020077801A1 (en) * | 2001-06-29 | 2002-06-20 | Superwings, Inc. | Facilited remote console and terminal emulator |
| JP3645844B2 (ja) | 2001-09-12 | 2005-05-11 | 日本電気株式会社 | 中継接続方式およびネットワークレベル認証サーバおよびゲートウェイ装置および情報サーバおよびプログラム |
| CN1204500C (zh) * | 2002-06-27 | 2005-06-01 | 威盛电子股份有限公司 | 直接存储器存取控制器及直接存储器存取的控制方法 |
| US6996818B2 (en) * | 2002-11-22 | 2006-02-07 | Bitfone Corporation | Update system for facilitating software update and data conversion in an electronic device |
| US7260840B2 (en) * | 2003-06-06 | 2007-08-21 | Microsoft Corporation | Multi-layer based method for implementing network firewalls |
-
2003
- 2003-04-08 JP JP2003103760A patent/JP4271478B2/ja not_active Expired - Fee Related
-
2004
- 2004-02-23 TW TW93104426A patent/TWI335160B/zh not_active IP Right Cessation
- 2004-03-26 US US10/809,481 patent/US7698452B2/en not_active Expired - Fee Related
- 2004-04-02 CN CNB2004100333311A patent/CN100418329C/zh not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| TWI335160B (en) | 2010-12-21 |
| TW200421778A (en) | 2004-10-16 |
| CN100418329C (zh) | 2008-09-10 |
| US20050226256A1 (en) | 2005-10-13 |
| US7698452B2 (en) | 2010-04-13 |
| CN1536848A (zh) | 2004-10-13 |
| JP2004312416A (ja) | 2004-11-04 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US10652210B2 (en) | System and method for redirected firewall discovery in a network environment | |
| US7441262B2 (en) | Integrated VPN/firewall system | |
| Bellovin | Distributed firewalls | |
| US7552323B2 (en) | System, apparatuses, methods, and computer-readable media using identification data in packet communications | |
| US8904514B2 (en) | Implementing a host security service by delegating enforcement to a network device | |
| US9602485B2 (en) | Network, network node with privacy preserving source attribution and admission control and device implemented method therfor | |
| EP1775910B1 (en) | Application layer ingress filtering | |
| US8578149B2 (en) | TCP communication scheme | |
| CN103875226A (zh) | 用于网络环境中主机发起的防火墙发现的系统和方法 | |
| US10375118B2 (en) | Method for attribution security system | |
| Thornburgh | Adobe's Secure Real-Time Media Flow Protocol | |
| AU2003294304B2 (en) | Systems and apparatuses using identification data in network communication | |
| GB2583112A (en) | Efficient protection for an IKEv2 device | |
| JP4271478B2 (ja) | 中継装置及びサーバ | |
| US8386783B2 (en) | Communication apparatus and communication method | |
| Alhaj | Performance Evaluation of Secure Data Transmission Mechanism (SDTM) for Cloud Outsourced Data and Transmission Layer Security (TLS) | |
| Schwenk | The Internet | |
| Mostafa et al. | Specification, implementation and performance evaluation of the QoS‐friendly encapsulating security payload (Q‐ESP) protocol | |
| Abhiram Shashank et al. | Secure Intrusion Detection System for MANETs Using Triple-DES Algorithm | |
| Shiraishi et al. | A security protocol intended to ease QoS management in IP networks | |
| Al-Haj et al. | Performance Evaluation of Secure Call Admission Control (SCAC) and Secure Socket Layer (SSL) | |
| Liu | Mitigating Denial-of-Service Flooding Attacks with Source Authentication | |
| WO2003050999A1 (en) | Integrated security gateway apparatus and operating method thereof |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20060217 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20071109 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20071127 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20080125 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20080616 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20080811 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20090203 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20090225 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120306 Year of fee payment: 3 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 4271478 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120306 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130306 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130306 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20140306 Year of fee payment: 5 |
|
| LAPS | Cancellation because of no payment of annual fees |