JP4332033B2 - Ｌ２装置でのレイヤ３／レイヤ７・ファイアウォール実施方法及び装置 - Google Patents

Description

背景

本発明は一般にデータルーティングシステムに関し、より詳細にはネットワーク上で安全な通信を提供するための方法及び装置に関する。

パケット交換通信システムは、複数のユーザを接続する１つ以上のスイッチ又はルータのネットワークを含む。パケットは、パケット交換通信システムにおける転送の基本単位である。ユーザは個人のユーザ端末か又は別のネットワークである。

レイヤ２（Ｌ２）スイッチは、データ又は制御情報を含むパケットをあるポートで受信し、そのパケット内に含まれる媒体アクセス接続（ＭＡＣ）アドレスに基づいて、当該パケットを別のポートにスイッチするスイッチング装置である。従来のＬ２スイッチは、パケット内に含まれるレイヤ２（Ｌ２）ヘッダ情報を評価して特定のパケットのための適切な出力ポートを決定することによって、このスイッチング機能を実行する。Ｌ２スイッチは、ＭＡＣアドレスを出力ポートにマップしたテーブルを含む。ＭＡＣアドレスが未知の場合（即ち、テーブルに対応するエントリがない場合）、パケット交換通信システムの別のコンポーネントがＭＡＣアドレスを認識している（そして当該パケットを送るＬ２スイッチに情報を戻してテーブルを更新する）ことを期待して、対応するパケットを全ての出力ポートに同報通信する。他の種類のＬ２装置は、ブリッジを含む。

ルータは、データ又は制御情報を含むパケットをあるポートで受信し、そのパケットに含まれる宛先情報に基づいて、当該パケットを宛先への次のホップへとルートするスイッチング装置である。従来のルータは、パケットに含まれるレイヤ３（Ｌ３）ヘッダ情報を評価してその特定のパケットのための次のホップを決定することによって、このスイッチング機能を実行する。レイヤ３情報は、パケットの意図する宛先に関連付けられたＩＰアドレス（及び発信元アドレス）を含む。

ユーザを連結するネットワークは、イントラネット、即ちローカルエリアネットワーク（ＬＡＮ）といった１つ以上のプライベートサーバを接続するネットワークである。或いは、ネットワークはインターネットなどのパブリックネットワークでもよく、そのネットワークではデータパケットは信頼されていない通信リンクを介して渡される。ネットワーク構造は、パブリックネットワークとプライベートネットワークとの組合せを含むことができる。例えば、各端末を有する２つ又はそれより多いＬＡＮを、インターネットなどのパブリックネットワークを用いて連結することができる。パブリックネットワークとプライベートネットワークをリンクさせたり異なるネットワークを連結させたりする場合に、データセキュリティの問題が生じることがある。例えばパブリックネットワークとプライベートネットワークとのリンクを含む従来のパケット交換通信システムは典型的に、ネットワークアクセス制御とデータの完全性を保証するためのセキュリティ手段を含む。

各パケットのセキュリティを保証するために、パケット交換通信システムは暗号化／解読サービスを含むことができる。信頼されているネットワーク（又はネットワークの一部）を離れる前に各パケットを暗号化し、そのパケットが信頼されていない（例えば、パブリック）ネットワーク（又はその一部）を介して転送される際のデータ損失の可能性が最小になるようにする。宛先又は通信システムの別の信頼されている部分（例えば、宛先の直前のファイアウォール）でパケットを受信すると、このパケットを解読し、引き続いてその意図する宛先へと送る。暗号化及び解読を使用することによって、信頼されていない通信リンクによって分離されているユーザ間に仮想プライベートネットワーク（ＶＰＮ）を形成することができる。

通信システムのパブリック部分を介して転送されるデータのセキュリティに関する問題の他に、プライベートネットワークとパブリックネットワークとのインタフェースに設けられるゲートウェイからの侵入に対して、ネットワークのプライベート部分を保護しなければならない。ファイアウォールは、パブリックネットワークから受信したパケットをスクリーニングするために、パブリックネットワークとプライベートネットワークとの間にインラインで連結できる装置である。ファイアウォールは、ポリシー及びフィルタリング機能を実施するために使用可能な特定の種類のＬ３／Ｌ４装置である。ファイアウォールは、受信パケットの検査、フィルタリング、認証、暗号化、解読、又はその他の方法による操作のために１つ以上のエンジンを含むことができる。従来のファイアウォールは、処理中の所与のパケットの発信元及び宛先に関連付けられたＩＰアドレスを含むＬ３及びＬ４ヘッダ情報を使用する。受信パケットは検査され、その後所与のドメインに関連付けられたポリシーにしたがって送られたりドロップされたりする。

概要

一態様では、本発明はパケット交換通信システムにおけるＬ２装置を提供する。このパケット交換通信システムは複数のゾーンを有し、各ゾーンは別々のセキュリティドメインを表し、関連するゾーンを出入りするパケットを検査するために使用する関連するポリシーを有する。Ｌ２装置は、第１のセキュリティゾーンに含まれる端末ユニットに連結される少なくとも１つのポートと、第２のセキュリティゾーンに含まれる端末ユニットに連結される少なくとも１つのポートと、受信した各パケットに対して、この受信パケットを別のゾーンへ向けるかどうかを判定するコントローラと、ゾーン固有のポリシーを使用してインターゾーンパケットを検査しフィルタリングするように動作可能なファイアウォールエンジンと、Ｌ２スイッチングエンジンとを含む。このＬ２スイッチングエンジンは、Ｌ２装置を通過する全てのイントラゾーンパケットを、ＭＡＣアドレスと対応するポートのテーブルを使用してポートへと直ちにルートし、ファイアウォールエンジンによる検査後も保持されているインターゾーンパケットのみをポートへとルートするように動作可能である。

別の態様では、本発明はパケット交換通信システムにおけるＬ２装置を提供する。このＬ２装置は、受信した各パケットに対して、この受信パケットをイントラゾーン又はインターゾーンのどちらに転送するかを判定するためのコントローラと、インターゾーンパケットをゾーン固有のポリシーを使用して検査しフィルタリングするように動作可能なファイアウォールエンジンと、Ｌ２装置を通過する全てのイントラゾーンパケットを、ＭＡＣアドレスと対応するポートのテーブルを使用してポートへと直ちにルートし、ファイアウォールエンジンによる検査後も保持されているインターゾーンパケットのみをポートへとルートするように動作可能なＬ２スイッチングエンジンとを含む。

別の態様では、本発明はパケット交換通信システムにおけるＬ２装置を提供し、このＬ２装置は、受信した各パケットに対して、この受信パケットをインターゾーンに転送するかどうかを判定するためのコントローラと、インターゾーンパケットを、Ｌ２プロトコルを使用してルートする前に、ゾーン固有のポリシーを使用して検査しフィルタリングするように動作可能なファイアウォールエンジンとを含む。

別の態様では、本発明はパケット交換通信システムにおけるＬ２装置を提供し、このＬ２装置は、受信した各パケットに対して、この受信パケットをインターゾーンに転送するかどうかを判定するためのコントローラと、インターゾーンパケットを、Ｌ２プロトコルを使用してルートする前に、ゾーン固有のポリシーを使用して検査しフィルタリングするように動作可能な検査装置とを含む。

別の態様では、本発明はパケット交換通信システムにおけるＬ２装置を提供し、このＬ２装置は、受信した各パケットに対して、この受信パケットを検査するかどうかを判定するコントローラと、該コントローラによって識別されたパケットをゾーン固有のポリシーを使用して検査しフィルタリングするように動作可能な検査装置と、検査したパケットを、Ｌ２プロトコルを使用してＬ２ヘッダ情報にしたがって転送するためのＬ２コントローラとを含む。

本発明の態様は、以下の特徴のうちの１つ以上を含むことができる。検査装置は、レイヤ３ファイアウォール装置、レイヤ４ファイアウォール装置及びレイヤ７ファイアウォール装置を含むファイアウォールであり得る。検査装置は、レイヤ２ヘッダ情報以外のレイヤ情報に基づいてフィルタリングするファイアウォールであり得る。コントローラは、セキュリティゾーン間を渡される各パケットを判定することができ、検査装置はインターゾーントラフィックのみを処理する。コントローラは単一のセキュリティゾーンに留まる各パケットを判定することができ、検査装置はイントラゾーンパケットを直ちにルートする。この装置は、所与のパケットのレイヤ２ヘッダのＭＡＣアドレスを使用してトラフィックをルートし、そのパケットがルートされる装置の出口を決定することができる。

この装置は、検査されるパケットを記憶するための記憶要素と、装置を通過するようにパケットを転送するためのＬ２コントローラとを含むことができ、このＬ２コントローラは、所与のパケットを転送するための出口を、この所与のパケット中のその宛先ＭＡＣアドレスを使用して決定するステップと、ＭＡＣアドレスと関連する出口ノードのマッピングを含むＭＡＣアドレステーブルとを含む。記憶要素は、第１の部分及び第２の部分を含むことができる。第１の部分は、装置を通過するように転送されるパケットを記憶させることができ、第２の部分は検査待ちのパケットを記憶させることができる。この装置は、Ｌ２スイッチ又はＬ２ブリッジであり得る。

別の態様では、本発明は通信ネットワークにおいてパケットを転送する方法を提供し、この方法は、Ｌ２装置でパケットを受信するステップと、受信パケットをインターゾーンに転送するかどうかを判定するステップと、インターゾーンパケットを、Ｌ２プロトコルを使用してルートする前に、ゾーン固有のポリシーを使用して検査しフィルタリングするステップとを含む。

別の態様では、本発明は通信ネットワークにおいてパケットを転送する方法を提供し、この方法は、Ｌ２装置でパケットを受信するステップと、受信パケットを検査するかどうかを判定するステップと、識別したパケットを、Ｌ２プロトコルを使用してＬ２装置を通過するように転送する前に、ゾーン固有のポリシーを使用して検査しフィルタリングするステップとを含む。

別の態様では、本発明は通信ネットワークにおいてパケットをスイッチするための方法を提供し、この方法は、Ｌ２装置のインタフェースでパケットを受信するステップと、受信パケットに関連付けられた宛先ＭＡＣアドレスが既知であるかどうかを判定し、既知でない場合、この受信パケットをＬ２装置のいずれかのポートに転送せずに所定の時間だけ保持するステップと、未知のＭＡＣアドレスを含むプローブパケットを形成するステップと、このプローブパケットを、受信したインタフェースを除く全てのインタフェースに同報通信するステップとを含む。

本発明の態様は、以下の特徴のうちの１つ以上を含むことができる。プローブパケットは、ＩＰヘッダに活動時間（ＴＴＬ）フィールドを含むことができ、この方法は、未知のＭＡＣアドレスを有しプローブセルを受信した下流ノードが期限切れのメッセージをＬ２装置に戻すように、ＴＴＬフィールドの値を設定するステップを含むことができる。この方法は、所定の時間の満了後にパケットをドロップするステップを含むことができる。ＭＡＣアドレスが未知の場合、このパケットをドロップすることができる。この方法は、同報通信インタフェースの１つから応答を受信するステップと、未知だったＭＡＣアドレスが応答したインタフェースに関連付けられたことを示すようにテーブルを更新するステップとを含むことができる。

別の態様では、本発明は、各ユーザ側に暗号化サービス及び解読サービスを必要とせずに、ユーザ間の安全な通信を提供する方法を提供する。この方法は、第１のユーザ及び第２のユーザを識別するステップと、通信ネットワークにわたって、第１のユーザ及び第２のユーザを２つ又はそれより多いＬ２装置を介して連結するステップと、第１のユーザと第２のユーザとの通信のための仮想プライベートネットワークを指定するステップとを含む。仮想プライベートネットワークは、ネットワーク上の第１のＬ２装置と第２のＬ２装置との間に画成される。この方法は、第１のＬ２装置又は第２のＬ２装置のいずれかでパケットを受信するステップと、受信パケットが仮想プライベートネットワークに関連付けられるかどうかを判定するステップと、識別したパケットを、Ｌ２プロトコルを使用してＬ２装置を通過するように転送する前に、ローカルな暗号化サービス及び解読サービスを使用して必要に応じて暗号化及び解読するステップとを含む。

本発明の態様は、以下の特徴のうちの１つ以上を含むことができる。判定ステップは、パケットに関連付けられた宛先ＭＡＣアドレスを使用して仮想プライベートネットワークを識別するステップを含むことができる。

別の態様では、本発明は、各ユーザ側に暗号化サービス及び解読サービスを必要とせずに、ユーザ間の安全な通信を提供するための仮想プライベートネットワークを提供する。仮想プライベートネットワークは、通信ネットワークにわたって第１のユーザと第２のユーザとを連結させる第１のＬ２装置及び第２のＬ２装置を含み、これら第１のＬ２装置及び第２のＬ２装置のそれぞれは、受信パケットが仮想プライベートネットワークに関連付けられるかどうかを判定するスクリーニングメカニズムと、Ｌ２プロトコルを使用してＬ２装置を通過するようにパケットを転送する前に、仮想プライベートネットワークに関連付けられたこのパケットに対して作動する暗号化サービス及び解読サービスとを含む。

本発明の態様は、以下の利点のうちの１つ以上を含むことができる。ネットワーク又は端末の構造を変える必要なく、単一の装置内に複数のセキュリティゾーンを形成できるパケット交換通信システムが提供される。各ゾーン間では、端末ユニットは、Ｌ２スイッチングや以下に説明するようなレイヤ７までのセキュリティフィルタリングに気づかずに（しかしこの利点は受けている）、他の端末ユニットと通信することができる。Ｌ２スイッチ及びファイアウォールの機能性を含むパケット交換通信システムが提供される。パケット交換通信システムは、全てのイントラゾーン通信に対してＭＡＣアドレスに基づいて送信／フィルタリングを行うＩＥＥＥ ８０２．１Ｑ ＶＬＡＮ Ｌ２の従来のスイッチとして作動する。パケット交換通信システムによって、所与のセキュリティゾーン内の多数のポート間のＬ２スイッチングが可能になる。Ｌ２スイッチはまた、ＴＣＰステイトフル検査、ｓｙｎ−ａｔｔａｃｋ保護、ポリシーベースの制御、負荷分散及び各データストリームに対する他の機能性を含むレイヤ７までのセキュリティファイアウォール保護を、インターゾーン又はイントラゾーントラフィックのために必要に応じて提供する。一実施形態では、多数のＩＥＥＥ ８０２．１Ｑ ＶＬＡＮベースのＬ２透過ドメインを含むようにパケット交換通信システムを構成することができる。ユーザは、それぞれがファイアウォール制御に対して固有のポリシーを有する多数のＶＬＡＮを形成することができる。さらに、遠隔クライアントをＬ２ドメインに接続するＶＰＮトンネル機能のための方法が提供される。この方法は、ゾーンにわたる情報の同報通信、及び処理中のＭＡＣアドレスが認識されていない場合の１つ以上のセキュリティ制約の侵害に対する保護のために提供される。この方法は、プローブパケットを同報通信して未知のＭＡＣ宛先のトポロジー情報を発見するステップを含む。

本発明の１つ以上の実施形態の詳細を、添付図面と以下の記述で説明する。本発明の他の特徴、目的及び利点は、この記述及び図面並びに特許請求の範囲から明らかになるであろう。

種々の図面において、同一参照符号は同一要素を示す。

詳細な説明

図１を参照すると、パケット交換通信ネットワーク１００は、複数のゾーン１０４に構成され、１つ以上のスイッチ１０６によって連結された複数の端末ユニット１０２を含む。

一実施形態では、各端末ユニット１０２は独立型のコンピュータ（例えば、パーソナルコンピュータ、ラップトップ又はワークステーション）の形態である。或いは、１つ以上の端末ユニットは、パーソナルデジタルアシスタント（ＰＤＡ）、ウェブパッド、双方向ページャ、携帯電話又は通信若しくは演算環境における他の端末若しくは遠隔装置の形態でもよい。一実施形態では、各端末は別のネットワーク又は端末ユニットのグループ（例えば、ＬＡＮ又はサーバのプール）へのゲートウェイである。

各ゾーン１０４は、通信システムのセキュリティドメインを表している。各セキュリティドメインは、別々のポリシー、トラフィック監理、アカウンティング並びに管理用の定義及び機能を含むことができる。セキュリティポリシー、トラフィック監理及び他のフィルタリング機能をゾーン間で、またゾーン内で実施することができる。一実施形態では、セキュリティポリシーはゾーン間で実施され、その一方でイントラゾーンの通信はセキュリティの制約を受けない。一実施形態では、ゾーンがオーバーラップしている。ゾーンがオーバーラップしている場合、親ゾーンに関連付けられたポリシーが、１つ以上のサブゾーンに関連付けられたポリシーのスーパーセット（それぞれが全体的なポリシーのサブセットを含む）となることができる。或いは、親ゾーンに関連付けられたポリシーは各サブゾーンのポリシーとは切り離されていて、これと異なるものでもよい。例えば一実施形態では、ゾーンは１つ以上のサブゾーンを含むことができ、各サブゾーンはポリシーの別々のセットを含む。

一実施形態では、各ゾーンは物理的境界又は通信システムの他のセグメンテーションに関連付けられる。或いは、特定の端末ユニットをゾーンに割り当てることによって、ビジネス構造におけるグルーピング又はコンビネーションを表してもよい（例えば、ビジネスの組織における種々の機能エンティティを分離するために使用するゾーン）。或いは、ゾーンは物理的境界と特に関係がなくてもよい。各ゾーンの端末ユニット間、及びゾーン内の端末ユニット間の通信は、スイッチ１０６に関して以下に説明するプロトコルにしたがって制御される。

スイッチ１０６は種々の種類であってよい。一実施形態では、各スイッチ１０６はレイヤ２（Ｌ２）装置として構成され、複数のポートを有する。このポートで通信ネットワークからのパケットを受信し、Ｌ２プロトコルにしたがって転送する。各スイッチ１０６は、受信パケットのスイッチングを決定するために使用する媒体アクセス接続（ＭＡＣ）テーブルを含む。ＭＡＣテーブルは、ＭＡＣアドレスをスイッチ１０６のポートに関連付ける。パケットは、各スイッチ１０６のポートに到着すると、所与のパケット内に含まれるＬ２ヘッダ情報にしたがって処理される。パケットは、ＭＡＣアドレスに応じてＭＡＣテーブルで指定された適切な出力ポートへとスイッチされる。

セキュリティドメインの制約を実施するために、１つ以上のスイッチ１０６が構成される。例えば、１つ以上のスイッチ１０６をＬ２ファイアウォール使用可能セキュリティスイッチ（以下「セキュリティスイッチ」とする）として構成する。図２を参照すると、セキュリティスイッチ２００は複数のポート２０２、スイッチ構造２２０及びＬ２コントローラ２３０を含む。各ポート２０２は、バス２０６によってセキュリティコントローラ２０４に連結されている。セキュリティコントローラ２０４は１つ以上の記憶要素２０８に連結されている。一実施形態では（図示せず）、各ポート２０２が別々のセキュリティコントローラ２０４及び記憶要素２０８に関連付けられる。或いは、セキュリティコントローラの機能性を、（図示するように）単一の又は少ない数のセキュリティコントローラユニットに結合させることもできる。さらに、全てのポート２０２に関連付けられたパケットを（図示するように）単一の記憶要素２０８に記憶させることもできる。セキュリティスイッチ２００はまたファイアウォール装置２１０も含み、このファイアウォール装置はセキュリティバス２１１によって（各）記憶要素２０８に連結されている。

Ｌ２コントローラ２３０は、Ｌ２スイッチングプロトコルをサポートする。パケットは直接処理されるか（例えば、イントラゾーンパケット）又は以下により詳細に説明するように（例えばインターゾーンパケットの場合は）セキュリティスクリーニングの後に処理される。Ｌ２コントローラ２３０には、ＭＡＣテーブル２３５が関連付けられる。ＭＡＣテーブル２３５は複数のエントリを含み、各エントリはＭＡＣアドレスとこれに関連付けられたポート２０２のインジケータを含む。スイッチ構造２２０は、記憶要素２０８から各ポート２０２へのトラフィックを、バス２２１を使用してＬ２コントローラ２３０の制御下でルートするために使用される。

記憶要素２０８は２つの部分に区分される。第１の部分２１５は、ポート２０２から受信した、セキュリティスクリーニングされていないパケットを記憶するために使用される。例えば一実施形態では、同じセキュリティゾーン（例えば、イントラゾーンのトラフィック）の端末ユニットから受信したパケットはセキュリティスクリーニングされない。スクリーニングされないパケットは、直接Ｌ２コントローラ２３０で処理され、Ｌ２プロトコルにしたがってＭＡＣテーブル２３５で指定されたポートに送られる。第２の部分２１７は、ファイアウォール装置２１０によってスクリーニングされるパケットを記憶するために使用される。

セキュリティコントローラ２０４は、スクリーニングエンジン２４０を含む。スクリーニングエンジン２４０は、各ポート２０２から受信した各パケットを調べ、セキュリティスクリーニングを実行するかどうかを判定する。一実施形態では、スクリーニングエンジン２４０は各パケットのＬ２ヘッダを調べ、スクリーニングに基づいてそのパケットを記憶要素２０８の第１の部分２１５又は第２の部分２１７のいずれかに送る。Ｌ２ヘッダは宛先ＭＡＣアドレスを含み、このアドレスはＭＡＣテーブル２３５を使用して装置の出口にマップされる。入口及び出口のそれぞれには、セキュリティゾーン識別子が関連付けられる。セキュリティゾーン識別子は、ポート識別子（ｉｄ）によって索引が付けられたゾーン識別子のテーブル（図示せず）に記憶させることができる。スクリーニングエンジン２４０は、処理中のパケットに関連付けられたセキュリティゾーン識別子（処理中のパケットのヘッダの宛先ＭＡＣアドレスを使用してＭＡＣテーブルから出口を識別することによって決定される）と、そのパケットが受信された装置のポートに関連付けられたセキュリティゾーン識別子とを比較する。この比較に基づいて、スクリーニングエンジン２４０はそのパケットを別のゾーンへ向けるかどうか（即ち、イントラゾーン通信とインターゾーン通信のどちらを構築するか）を判定することができる。

パケットのスクリーニングは、各端末ユニットに関する知識の有る無しに関わらず可能である。セキュリティスイッチ２００には、ユーザインタフェース（図示せず）と１つ以上のセキュリティゾーンを構築するための関連する管理ツール（図示せず）が関連付けられる。一実施形態では、セキュリティゾーンは受信したパケットのＬ２ヘッダに含まれる宛先ＭＡＣアドレスに基づいて決定される。より具体的に言うと、各出口はセキュリティゾーンに割り当てられ、このゾーンに関連付けられたセキュリティゾーン識別子を有することができる。或いは、セキュリティスイッチ２００の異なるポートに連結された複数のユーザのためにセキュリティゾーンを形成することもできる。例えば、３つのポートを含むようにセキュリティスイッチ２００を構成することができ、そこでは、これらのポートのうちの最初の２つに関連付けられた端末ユニットが第１のゾーンに割り当てられ、第３のポートに関連付けられた端末ユニットが第２のゾーンに割り当てられる。他の構造も可能である。ゾーンの割り当て及び区分を以下により詳細に説明する。ユーザインタフェースによって、管理者又はユーザはセキュリティスイッチ２００を構成することができる。複数のセキュリティゾーンを形成し１つ以上のインタフェースを各ゾーンに関連付けるように、セキュリティスイッチ２００を構成することができる。そして、パケットがセキュリティスイッチ２００を通過したときにこのパケットを検査又はそうでなければスクリーニングするためのポリシーを確立することができる。

ファイアウォール装置２０８は、セキュリティスイッチ２００を通るようにパケットをルートする前にパケットスクリーニングを実行するための複数のエンジンを含む。ファイアウォール装置２０８は、ファイアウォールエンジン２７０、これに関連するポリシー２７１、認証エンジン２７２、暗号化エンジン２７４、解読エンジン２７６及びファイアウォールコントローラ２７８を含む。

ファイアウォールコントローラ２７８は、記憶要素２０８の第２の部分２１７からパケットを抽出する。ファイアウォールコントローラ２７８は、ファイアウォール装置内のパケットの分布と各エンジン間の調整を監督する。各パケットは、１つ以上の考慮すべき事項に基づくポリシーにしたがって評価され処理される。例えば、発信元、宛先又はその両方に基づいてパケットをスクリーニングすることができる。１つ以上のポリシー２７１をファイアウォールエンジン２７０で検索して使用することで、パケットを検査する。パケットの検査には、暗号化サービス、解読サービス及び認証サービスも必要になる。暗号化エンジン２７２、解読エンジン２７４及び認証エンジン２７６のうちの１つ以上を、ファイアウォールコントローラ２７８によって検査プロセスの一部として起動させることができる。さらに、仮想プライベートネットワーク終端サービス、セッションの設定並びに種々の他のトラフィック監理及びセキュリティ関連機能を含めた他のサービスを提供することができる。スクリーニングサービスの例を以下により詳細に説明する。検査の後、パケットを必要に応じてネットワークに送ったりドロップしたりすることができる。一実施形態では、送られるべき（例えば、検査に通った）パケットを必要に応じて準備し（例えば、暗号化し）、そして記憶要素２０８の第１の部分２１５へと送る。或いは、パケットを記憶要素２０８の第２の部分２１７へと戻し、スクリーニングされたものとしてマークしてもよい。一実施形態では、スクリーニングされたパケットはＬ２コントローラ２３０で処理するための待ち行列に送られる。そしてスクリーニングされたパケットはＬ２コントローラ２３０で処理され、従来のＬ２処理プロトコルにしたがって適切な出力ポートへとスイッチされる。

複数のセキュリティゾーンを形成するように各セキュリティスイッチ２００を構成することができる。例えば、セキュリティスイッチ２００を有する通信ネットワークを図２ｂに示す。通信ネットワークは、３つのゾーンを有するＶＬＡＮ構造である。セキュリティスイッチ２００は、ユーザインタフェースと、各セキュリティゾーンを形成し、ポリシー及び各ゾーンを画成し管理するための他の基準を指定するための管理用制御メカニズムとを含む。セキュリティスイッチ２００によって実施されるセキュリティゾーンは、エンドユーザには見えなくてもよい。即ち、セキュリティドメインに関連付けられた全ての動作パラメータの仕様を含めて、セキュリティゾーンをセキュリティスイッチ２００に確立することができる。各ゾーンのユーザは、ゾーンの構造に気づかずに他のユーザと従来の方法で通信することができる。例えば、暗号化サービス及び解読サービスを含む仮想プライベートネットワークを、各エンドユーザ側の実際の暗号化及び解読サポートを必要とせずに、ユーザ間で形成することができる（例えば、暗号化サービス及び解読サービスを２人のユーザ間に配置された安全なスイッチに設けることができる）。したがって、システムの管理者は、第１のセキュリティゾーンの遠隔ユーザと第２のセキュリティゾーンの別のユーザとの間に仮想プライベートネットワークを形成することができ、そのネットワークでは、各ユーザはＶＰＮサービスに気づかず、暗号化サービス又は解読サービスをローカルに含める必要がない。一実施形態では、管理者が用意したＶＰＮサービスを同じゾーンの遠隔ユーザに対して指定する。

或いは、ユーザがセキュリティ構造に気づき、他のユーザに転送されるパケットにインジケータ（例えば、ゾーン識別子）を含めてもよい。各ユーザは自身のカスタムＬ２ゾーンと、ネットワークセキュリティ要件のためのインターゾーンポリシーを定義することができる。例えば図２ｂに示すセキュリティスイッチ２００は、ｖ１−ｔｒｕｓｔゾーン、ｖ１−ｕｎｔｒｕｓｔゾーン及びｖ１−ｄｍｚゾーンを含むＶＬＡＮを表している。Ｖ１−ｔｒｕｓｔは、ユーザ２９１及びユーザ２９２を含めた２人のユーザを含むゾーンを画成する。Ｖ１−ｕｎｔｒｕｓｔは、単一のユーザ２９３を含むゾーンを画成する。Ｖ１−ｄｍｚは、ユーザ２９１、２９２及び２９４の３人のユーザを含むゾーンを画成する。これら３つのゾーン間の通信のために、別々のポリシーを実施することができる。例えばユーザ２９１とユーザ２９２との間のイントラゾーンの通信には検査は必要ないため、この通信はセキュリティスイッチ２００によって従来のＬ２プロトコルにしたがって処理される。ユーザ２９１からユーザ２９３への通信では、Ｖ１−ｔｒｕｓｔとＶ１−ｕｎｔｒｕｓｔとの間の通信のためにセキュリティシステムの設計者（例えば、ユーザ２９１、２９２又はこれらユーザの管理者）によって定義された検査プロセスを起動させる。同様に、ユーザ２９４とユーザ２９１との間の通信では、Ｖ１−ｄｍｚとＶ１−ｔｒｕｓｔとの間の通信のための検査プロセス（例えば、可能性としてはより小さなスクリーン）を起動させる。

多数のインタフェースが各ゾーン内で実施可能である。イントラゾーンのトラフィックの場合、セキュリティスイッチ２００は、所与のパケットを宛先ＭＡＣアドレスに基づいて送る典型的なＬ２ブリッジのように作動する。一実施形態では、イントラゾーンのトラフィックにはファイアウォール保護メカニズムを適用しない。

インターゾーンのトラフィックの場合、標準的なファイアウォール検査（上述のようなポリシーの検査、ＴＣＰステイトフル検査などを含む）が各入力パケットに対して実行される。全ての場合において、出口インタフェースはそのインタフェースで既に学習済みの宛先ＭＡＣアドレスによって決定される。
パケットの流れ

図３を参照すると、セキュリティスイッチ２００によって起動される、パケットを処理するための方法３００が示されている。説明するこの方法は、ステップを実行する特定のハードウェア要素を特に参照して構成したものではない。例示的なハードウェア構造は上に示した。しかしながらこの方法を、他の構造を有するＬ２スイッチで実施することもできる。この方法は、パケットの受信（３０２）から始まる。パケットは評価されて検査するかどうかを判定する（３０４）。検査する場合、このパケットを必要に応じて前処理し（３０５）、１つ以上のポリシーを検索する（３０６）。パケットの前処理には、解読サービス及び認証サービスが含まれる。ポリシーの検索には、そのパケットが転送されるゾーンの識別が含まれる。ゾーン間を移動するパケットを、セキュリティポリシーを使用して検査することができる。イントラゾーンの通信は検査しなくてもよい。一実施形態では、イントラゾーンの通信に対してポリシーを実行することもできる。ポリシーの検索には、ＭＡＣテーブルにおける受信パケットのＭＡＣ宛先アドレスのＭＡＣルックアップを行って、ＭＡＣアドレスに関連付けられた出口と当然ながらセキュリティゾーンを判定することが含まれる。パケットの入口及び出口に関連付けられたセキュリティゾーンを比較して、パケットを別のゾーンに渡すかどうかを判定する。検査を行うと仮定すると、適切なポリシーが（即ち、入口識別子及び出口識別子並びにそれぞれのセキュリティゾーンに基づいて）検索される。その後パケットを検査する（３０８）。パケットの検査には、必要に応じてパケットをスクリーニングしたりドロップしたりすることが含まれる。パケットをネットワークに送ろうとする場合（３０９）、必要に応じて後処理動作を起動する（３１０）。或いは、パケットはドロップされる（３１１）。後処理動作には、セッションの設定、暗号化及び他の機能が含まれる。その後、パケットをステップ３１２から始まる従来のＬ２プロトコルにしたがって処理する。

ステップ３１２では、パケットは検査に通った状態か又は検査を必要としなかった状態のいずれかである。どちらの場合においても、Ｌ２ヘッダ情報が抽出されてパケットに関連付けられたＭＡＣアドレスを判定する。ＭＡＣアドレスのルックアップが実行され（３１４）、パケットは適切な出力ポートへとルートされる（３１６）。そして処理が終了する。

再度図２を参照して、本発明のハードウェアの一実施形態に関して処理ステップを説明する。パケットはポート２０２で受信される。各パケットはバス２０５でセキュリティコントローラ２０４へと転送され、また該セキュリティコントローラ２０４を通るようにルートされ、記憶バス２０９を経て記憶要素２０８に記憶される。セキュリティコントローラ２０４は各パケットを評価して検査が必要かどうか判定し、このパケットを記憶装置２０８の適切な部分へと送る。検査されないパケット（即ち、記憶装置２０８の第１の部分２１５に記憶されたパケット）は、Ｌ２コントローラ２３０によって処理される。Ｌ２コントローラ２３０が使用可能になると、パケットが取り出されて処理され、そのパケットが送られるべきポートを決定する。Ｌ２コントローラ２３０はパケットに関連付けられたＭＡＣアドレスを評価し、ＭＡＣテーブル２３５を使用してルーティングのためにポートを決定する。Ｌ２コントローラ２３０による処理の後、決定された出力ポート２０２へとルートするために、パケットはスイッチ構造２２０への適切なリンクへと送られる。

検査されるパケットは、セキュリティコントローラ２０４によって記憶要素２０８の第２の部分２１７へと転送される。ファイアウォールエンジン２１０が使用可能になると、パケットが取り出されて処理され、パケットを検査するのに使用するセキュリティポリシーを決定する。ファイアウォールエンジン２７０は、パケットに関連付けられたＩＰアドレスを評価し、必要に応じてトラフィックの制御及び監理機能を実施する。送られるべき（即ち、検査に通った）パケットは、記憶要素２０８に戻される。その後パケットは、決定された出力ポート２０２へとルートするために、スイッチ構造２２０への適切なリンクへと送られる。他のパケットはドロップされるかそうでなければ所与のセキュリティゾーンに対して定義されたポリシーにしたがって処理される。

上述したように、ファイアウォール装置２１０の検査に通った全てのパケット及び検査をする必要のない全てのパケットが、Ｌ２コントローラ２３０によって従来のＬ２プロトコルにしたがって処理される。一実施形態では、Ｌ２コントローラによるパケットの処理をセキュリティゾーンを維持するように変更する。より具体的に言うと、上述のように、従来のＬ２スイッチは認識されていないＭＡＣアドレスを有するパケットを全てのポートに同報通信する。この種の同報通信は、通信ネットワークの所与のゾーンに適した１つ以上のセキュリティポリシーを当然侵害するおそれがある。したがって、一実施形態では、テストパケットを各ポートに同報通信する。テストパケットの同報通信について、図４に関連させてより詳細に説明する。

図４を参照すると、Ｌ２コントローラによってパケットを処理するための方法４００が示されており、この方法は処理されるパケットを受信するステップ（４０２）を含む。このパケットのＭＡＣアドレスを抽出する（４０４）。抽出されたＭＡＣアドレスに対応するエントリをＭＡＣアドレステーブルで見つけるチェックを行う（４０６）。一致するものが見つかった場合（４０７）、そのパケットを一致したエントリに関連付けられた出力ポートへとルートする（４０８）。一致するものが見つからなかった場合（４１０）、そのパケットをドロップする。一実施形態では、一致しなかったＭＡＣアドレスに関する情報を受信することを期待して、パケットを所与の時間だけ単に保持する。一致するものが見つからなかった場合、プローブパケットを形成する（４１２）。プローブパケットは、処理中のパケット（即ち、元の入力パケット）に関連付けられたＭＡＣアドレスを含む。一実施形態では、プローブパケットは、１に設定されたＩＰ ＴＴＬフィールドを有する「ＩＣＭＰ ＰＩＮＧ」パケットである。各パケットは、ＭＡＣアドレスを見つけられなかった入力パケットと同じＭＡＣアドレス（Ｌ２）と発信元／宛先ＩＰ（Ｌ３）を含む。次いでプローブパケットを全てのポートに同報通信する（４１４）。セキュリティ装置のポートのいずれかで応答を受信したかどうかをチェックする（４１６）。ＩＣＭＰ ＰＩＮＧパケットによって、元の入力パケットを受信し送ることになっていた正しいゲートウェイが、「ＩＣＭＰ ＴＴＬ期限切れ」のメッセージパケットによってこの装置のＬ２コントローラに応答する。この期限切れパケットから、システムは受信したＭＡＣアドレスに関連付けられた適切な出口／ゾーンを識別することができる。この方法によって、元の入力パケットの情報が漏れないことが保証される。（受信ポートに連結されている装置が識別されたＭＡＣアドレスを有するパケットを処理するように構成されていることを示す）応答を受信すると、ＭＡＣテーブルは、そのＭＡＣアドレスを有するエントリ及び応答を受信したポートを示すポート識別子を含むように更新される（４１８）。そしてこのプロセスは終了する。

本発明の多数の実施形態を説明してきた。しかしながら、本発明の趣旨及び範囲を逸脱しない限り、種々の変更を行うことができることが理解されるであろう。例えば、Ｌ３レイヤレベルでスクリーニングするという点から、ファイアウォール装置を説明してきた。或いは、レイヤ７（Ｌ７）処理まで及びそれを含んでいるレイヤを含む他のレベルで他のスクリーニングを起動させることもできる。したがって、他の実施形態も以下の特許請求の範囲内にある。

Ｌ２ファイアウォール使用可能スイッチを含むパケット交換通信システムのブロック図である。 Ｌ２ファイアウォール使用可能スイッチの概略図である。 単一のセキュリティスイッチによって区分された複数のゾーンを含む例示的な通信ネットワークを示す。 図２ａのセキュリティスイッチにおけるパケットの処理方法の流れ図である。 図２ａのセキュリティスイッチにおける未認識パケットの処理方法の流れ図である。

Claims (20)

1. 第１のセキュリティゾーンに含まれる端末ユニットに連結される少なくとも１つのポートと、
   前記第１のセキュリティゾーンとは異なる第２のセキュリティゾーンに含まれる端末ユニットに連結される少なくとも１つのポートと、
   前記第１及び第２のセキュリティゾーンのうち一方のセキュリティゾーンから受信した各パケットに対して、該受信したパケットが他方のセキュリティゾーンに向かうインターゾーンパケットであるか否かを判定するコントローラと、
   インターゾーンパケットをゾーン固有のポリシーを使用して検査しフィルタリングするファイアウォールエンジンと、
   受信したイントラゾーンパケットを、前記ファイアウォールエンジンによる検査をすることなく、ＭＡＣアドレスと対応するポートのテーブルを使用してイントラゾーン転送に関連するポートへと転送し、前記ファイアウォールエンジンによる検査後も保持されているインターゾーンパケットをインターゾーン転送に関連するポートへ転送するレイヤ２スイッチングエンジンと、
   を備えるレイヤ２装置。
2. 受信した各パケットに対して、それぞれが別々のセキュリティドメインを表し、関連するゾーンを出入りするパケットの検査に用いられる関連するポリシーを有するイントラゾーン又はインターゾーンのどちらへ前記受信パケットを転送するかを判定するコントローラと、
   受信したインターゾーンパケットをゾーン固有のポリシーを使用して検査しフィルタリングするファイアウォールエンジンと、
   レイヤ２スイッチングエンジンとを備え、前記レイヤ２スイッチングエンジンは、
   受信したイントラゾーンパケットを、前記ファイアウォールエンジンによる検査をすることなく、ＭＡＣアドレスと対応するポートのテーブルを使用してイントラゾーンポートへとルートし、
   前記ファイアウォールエンジンによる検査後も保持されている検査されたインターゾーンパケットをインターゾーンポートへルートするように動作可能である、
   レイヤ２装置。
3. 受信した各パケットに対して、前記受信パケットを、複数のゾーンの間にあるインターゾーン又は一のゾーン内にあるイントラゾーンのどちらに転送するかどうかを判定するコントローラであって、各ゾーンが別々のセキュリティドメインを表す、コントローラと、
   インターゾーンパケットを、レイヤ２プロトコルを使用してルートすることを許可する前に、ゾーン固有のポリシーを使用して検査しフィルタリングするファイアウォールエンジンと、
   を備え、
   イントラゾーンパケットが前記ファイアウォールエンジンにより検査されない、
   レイヤ２装置。
4. 受信した各パケットに対して、前記受信パケットが、セキュリティ検査に基づいて第１のセキュリティドメインから第２のセキュリティドメインへの転送が許可されているインターゾーンパケットであるか、セキュリティ検査をすることなく前記第１及び第２セキュリティドメインの少なくとも一つの内での転送が許可されているイントラゾーンパケットであるかを判定するコントローラと、
   インターゾーンパケットを、レイヤ２プロトコルを使用してゾーン間をルートする前に、ゾーン固有のポリシーを使用して検査しフィルタリングする検査装置と、
   を備えるレイヤ２装置。
5. それぞれが別々のセキュリティドメインを表す複数のゾーンを有するパケット交換通信システムにおけるレイヤ２装置であって、
   受信した各パケットに対して、前記受信パケットをセキュリティポリシーに照らして検査するかどうかを判定するコントローラと、
   前記コントローラによって検査が必要であると識別されたパケットのみをゾーン固有のポリシーに基づいて検査しフィルタリングする検査装置と、
   検査したパケットを、レイヤ２プロトコルを使用してレイヤ２ヘッダ情報にしたがって第１のセキュリティゾーンから第２のセキュリティゾーンへ転送し、検査されなかったパケットを前記第１又は第２のセキュリティゾーン内で転送するレイヤ２コントローラと、
   を備えるレイヤ２装置。
6. 前記検査装置がファイアウォールである、請求項５記載の装置。
7. 前記検査装置がレイヤ３ファイアウォール装置である、請求項５記載の装置。
8. 前記検査装置がレイヤ４ファイアウォール装置である、請求項５記載の装置。
9. 前記検査装置がレイヤ７ファイアウォール装置である、請求項５記載の装置。
10. 前記検査装置が、レイヤ２ヘッダ情報以外のレイヤ情報に基づいてフィルタリングするファイアウォールである、請求項５記載の装置。
11. 前記コントローラはセキュリティゾーン間を渡される各パケットを判定し、前記検査装置はインターゾーントラフィックのみを処理する、請求項５記載の装置。
12. 前記コントローラは単一のセキュリティゾーンに留まる各パケットを判定し、イントラゾーンパケットを前記検査装置を経由させずに前記レイヤ２コントローラに転送する、請求項５記載の装置。
13. 前記装置は、所与のパケットのレイヤ２ヘッダのＭＡＣアドレスを使用して、そのパケットを転送する前記装置の出口を決定する、請求項１２記載の装置。
14. 検査されるパケットを記憶する記憶要素と、
    装置を通過するようにパケットを転送するレイヤ２コントローラとをさらに備え、前記レイヤ２コントローラは、
    所与のパケットを転送するための出口を、前記所与のパケット中のその宛先ＭＡＣアドレスを使用して決定するステップと、
    ＭＡＣアドレスと関連する出口ノードのマッピングを含むＭＡＣアドレステーブルと、
    を含む、請求項５記載の装置。
15. 前記記憶要素は第１の部分及び第２の部分を含み、前記第１の部分は前記装置を通過するように転送されるパケットを記憶し、前記第２の部分は検査待ちのパケットを記憶する、請求項１４記載の装置。
16. 前記装置がレイヤ２スイッチである、請求項５記載の装置。
17. 前記装置がレイヤ２ブリッジである、請求項５記載の装置。
18. 通信ネットワークにおいてパケットを転送する方法であって、
    レイヤ２装置でパケットを受信するステップと、
    前記受信パケットが単一のゾーン内で転送されるイントラゾーンパケットであるか、ゾーン間で転送されるインターゾーンパケットであるかを判定するステップであって、各ゾーンが別々のセキュリティドメインを表す、ステップと、
    レイヤ２プロトコルを使用してインターゾーンパケットをゾーン間でルートする前に、ゾーン固有のポリシーを使用して前記インターゾーンパケットを検査しフィルタリングするステップと、
    セキュリティ検査及びフィルタリングを行うことなく前記イントラゾーンパケットを転送するステップと、
    を含む方法。
19. 通信ネットワークにおいてパケットを転送する方法であって、
    レイヤ２装置でパケットを受信するステップと、
    前記受信パケットをセキュリティポリシーに照らして検査するかどうかを判定するステップと、
    識別したパケットを、第１のセキュリティゾーンから前記レイヤ２装置を経由して前記第１のセキュリティゾーンと異なる第２のセキュリティゾーンに転送する前に、ゾーン固有のポリシーを使用して検査しフィルタリングするステップと、
    検査されなかったパケットを前記第１又は第２のセキュリティゾーン内で転送するステップと、
    を含む方法。
20. 各ユーザ側に暗号化サービス及び解読サービスを必要とせずに、ユーザ間の安全な通信を提供する仮想プライベートネットワークであって、
    通信ネットワークにわたって第１のユーザと第２のユーザとを連結する第１のレイヤ２装置及び第２のレイヤ２装置を備え、前記第１のレイヤ２装置及び第２のレイヤ２装置のそれぞれは、
    受信パケットが前記仮想プライベートネットワークに関連付けられるかどうかを判定するスクリーニングメカニズムと、
    レイヤ２プロトコルを使用して、信頼された前記第１及び第２のレイヤ２装置のうち一の装置を通過するようにパケットを転送する前に、前記仮想プライベートネットワークに関連付けられたこのパケットに対して作動する暗号化サービス及び解読サービスと、を含む
    仮想プライベートネットワーク。

Images