JP4357401B2 - フィルタリング方法 - Google Patents

Description

本発明は、フィルタリング方法に係り、特に、インタネットに接続するユーザを保護するための認証連携型ネットワークファイアウォールシステムにおけるフィルタリング方法に関する。

移動体／無線アクセスを通じたＩＰ通信やユビキタスサービスの普及、端末の多様化に伴い、セキュリティに関し以下に示すニーズが高まると考えられる。
（１）悪意トラヒックによる無線区間の帯域圧迫の回避
（２）ＣＰＵやメモリ容量が少なく、ファイアウォール機能の内蔵が困難な小型モバイル端末の保護
移動体／無線アクセスでは、図７に示すように、ファイアウォール機能を配備する位置は、端末あるいはネットワーク側の２つが考えられる。しかしながら、前述した２つのニーズを満足するのは、ネットワーク側に配備した場合のみであり、ファイアウォール機能をネットワークにて提供する意義は大きい。
ネットワークにてファイアウォール機能を提供する場合、ファイアウォール装置は複数のユーザを収容するため、セキュリティポリシをユーザ毎に提供する必要がある。
特に、移動体／無線アクセスについては、ユーザがどこからネットワークに接続しても、各ユーザに所望のセキュリティポリシを提供する必要があり、ファイアウォール装置は、（１）ポリシサーバによるポリシの集中管理、（２）ユーザの接続拠点へのポリシロードの２つの機能が必要である。
本機能を提供するため、従来技術では、以下に示す方法が用いられている。（下記、非特許文献１、非特許文献２参照）

図８は、従来の認証連携型ネットワークファイアウォールシステムの概略構成と動作を説明するためのブロック図である。
同図において、１０はユーザ端末、１１はアクセスポイント装置、１２はファイアウォール装置、１３は認証サーバ、１４はポリシサーバ、１５は通信相手端末、１６はアクセスネットワーク、１７はインタネットである。
アクセスポイント装置１１は、ユーザ端末１０からの接続を受け付け、ユーザ端末１０からのパケットをアクセスネットワーク１６に転送し、あるいは、アクセスネットワーク１６からのパケットをユーザ端末１０に転送する。
ファイアウォール装置１２は、ユーザ端末１０と認証サーバ１３との間に位置し、複数の独立したポリシを有する。
認証サーバ１３は、インタネット１７側に配置され、ユーザ端末１０のアクセスネットワーク１６またはインタネット１７ヘの接続のための認証を行う。
ポリシサーバ１４は、ユーザ毎のポリシを管理し、ユーザＩＤとポリシとの対応を管理する。即ち、ポリシサーバ１４には、ユーザＩＤとポリシとの対応が事前に登録されている。なお、ユーザＩＤは、例えば、ネットワークに接続するためのユーザ名や、IEEE802.1x等で利用される認証鍵があげられる。

以下に、ユーザ端末１０がインタネット１７に接続し、ポリシロードが完了するまでの動作を説明する。なお、以下の説明に用いるかっこ内の番号は、図８に示す丸付き数字と対応する。
（１）ユーザ端末１０と認証サーバ１３との間で認証処理が行われるとき、ファイアウォール装置１２はその制御パケットを監視し、ユーザＩＤ、認証サーバ１３等から付与されるＩＰアドレスを抽出し、それを保持する。ＩＰアドレスはユーザパケットＩＤとして利用する。
（２）ファイアウォール装置１２は、ポリシサーバ１４にポリシロード要求を行う。このとき、ユーザＩＤを併せて通知する。
（３）ポリシサーバ１４は、ユーザＩＤを検索キーとして、当該ユーザのポリシを抽出し、ファイアウォール装置１２にポリシをロードする。
（４）ポリシを受信したファイアウォール装置１２は、（１）で保持したＩＰアドレスとポリシの対応を管理する。これにより、ファイアウォール装置１２は、ユーザ端末１０から到着するデータパケットをＩＰアドレスによって、当該ユーザのポリシに振分ける。

なお、本願発明に関連する先行技術文献としては以下のものがある。
岡大祐他，"ユビキタス環境に向けたネットワークベースファイアウォール，"信学技報 NS2002-252, IN2002-225, Mar.2003. 石川忠司他，"ユビキタス環境におけるネットワークベースファイアウォールモビリティサポート，"信学会ソサイエティ大会（2003）B-6-54.

前記従来技術では、認証サーバ１３がインタネット１７側に配置され、ファイアウォール装置１２がユーザ端末１０と認証サーバ１３との間に位置するため、前記制御パケットを監視できることが前提となっている。
したがって、認証サーバ１３がアクセスネットワーク側に配置される場合には、前記従来技術が利用できず、ネットワークによるファイアウォール機能を提供することができないという問題点があった。
本発明は、前記従来技術の問題点を解決するためになされたものであり、本発明の目的は、ファイアウォール装置がユーザ端末と認証サーバとの間に位置しない場合でも、ネットワークによるファイアウォール機能を提供することが可能となる技術を提供することにある。
本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述及び添付図面によって明らかにする。

前記課題を解決する手段を図１を用いて説明する。
図１は、本発明のフィルタリング方法が適用される認証連携型ネットワークファイアウォールシステムの概略構成と動作を説明するためのブロック図である。
同図において、１０はユーザ端末、１１はアクセスポイント装置、１２はファイアウォール装置、１３は認証サーバ、１４はポリシサーバ、１５は通信相手端末、１６はアクセスネットワーク、１７はインタネットである。
アクセスポイント装置１１は、ユーザ端末１０からの接続を受け付け、ユーザ端末１０からのパケットをアクセスネットワーク１６に転送し、あるいは、アクセスネットワーク１６からのパケットのユーザ端末１０に転送する。
ファイアウォール装置１２は、ユーザ端末１０と認証サーバ１３との間に位置し、ポリシサーバ１４からロードされた複数の独立したポリシを有する。
認証サーバ１３は、インタネット１７側に配置され、ユーザ端末１０のアクセスネットワーク１６またはインタネット１７ヘの接続のための認証を行う。なお、図１では、認証サーバ１３をインタネット１７側に配置しているが、認証サーバ１３は、アクセスネットワーク１６側に配置することも可能である。
ポリシサーバ１４は、ユーザ毎のポリシを管理し、ユーザＩＤとポリシとの対応を管理する。即ち、ポリシサーバ１４には、ユーザＩＤとポリシとの対応が事前に登録されている。
なお、ユーザＩＤは、前記従来技術と同様に、例えば、ネットワークに接続するためのユーザ名や、IEEE802.1x等で利用される認証鍵があげられる。

以下に、ユーザ端末１０がインタネット１７に接続し、ポリシロードが完了するまでの動作を説明する。なお、以下の説明に用いるかっこ内の番号は、図１に示す丸付き数字と対応する。
（１）ユーザ端末１０は、アクセスポイント装置１１に対して認証情報を送信する。アクセスポイント装置１１は、認証情報に記載されているユーザＩＤおよびユーザ端末１０の端末固有ＩＤを抽出し、認証サーバ１３に対して前記ユーザＩＤおよび前記端末固有ＩＤを通知する。
（２）認証サーバ１３は、ポリシサーバ１４にポリシロード要求を行う。このとき、前記ユーザＩＤ、前記端末固有ＩＤを併せて通知する。
（３）ポリシサーバ１４は、前記従来技術と同様に、ユーザＩＤを検索キーとして、当該ユーザのポリシを抽出し、ファイアウォール装置１２にポリシをロードする。このとき、前記端末固有ＩＤを併せて通知する。
（４）前記ポリシと前記端末固有ＩＤを受信したファイアウォール装置１２は、前記端末固有ＩＤと前記ポリシの対応を管理する。ファイアウォール装置１２は、ユーザ端末１０から到着するデータパケットを受信すると、前記データパケットに記載される前記端末固有ＩＤとＩＰアドレスを抽出することにより、前記端末固有ＩＤを媒介として、ＩＰアドレスとポリシの対応を管理する。
前記従来技術と同様に、ＩＰアドレスをユーザパケットＩＤとして利用することにより、ファイアウォール装置１２は、以降のデータパケットをＩＰアドレスによって該当ユーザのポリシに振分ける。

本手段では、ファイアウォール装置１２が端末固有ＩＤを媒介として、ＩＰアドレスとポリシの対応を管理するため、ユーザ端末１０と認証サーバ１３の間に位置しない場合でも、ネットワークによるファイアウォール機能を提供することができる。
なお、ファイアウォール装置が端末固有ＩＤを媒介として、ＩＰアドレスとポリシの対応を管理する手段の代わりに、ファイアウォール装置１２は、前記端末固有ＩＤと前記ポリシの対応を管理した後、この管理情報を用い、ユーザ端末１０から到着するデータパケットを受信すると、それに記載されている前記端末固有ＩＤを検索キーとして前記ポリシを選択し、前記端末固有ＩＤによって該当ユーザのポリシに振分ける手段を用いてもよい。

本発明の参考例の手段を説明する。
本手段は、有線／無線の通信媒体を問わず、移動時に途切れることなくＩＰ通信を継続することが可能なMobile IP通信技術を利用する。
Mobile IP通信は、図２に示すように、ホームエージェント２０というルータ配下のネットワークに属する固定ＩＰアドレスであるホームアドレス（以下、ＨｏＡという）をユーザ端末１０に持たせる。
ユーザ端末１０は、ネットワークを移動すると、ＨｏＡとは別に、移動先ネットワークにてＩＰアドレス（以下、ＣｏＡという）を取得し、これを用い、ホームエージェント２０との間で、２階層のＩＰヘッダをもつIP in IPトンネルを確立する。
これによって、通信相手端末は、ＨｏＡさえ知っていれば、ユーザ端末１０がどこにいても、ホームエージェント２０を経由してパケットをユーザ端末１０に届けることができる。
以下、本発明の参考例の手段を図３を用いて説明する。
図３は、本発明の参考例のフィルタリング方法が適用される認証連携型ネットワークファイアウォールシステムの概略構成と動作を説明するためのブロック図である。
ポリシサーバ１４には、ユーザＩＤとポリシとの対応が事前に登録されている。なお、ユーザＩＤは、例えば、ＨｏＡや認証鍵があげられる。

以下に、ユーザ端末１０がインタネット１７に接続し、ポリシロードが完了するまでの動作を説明する。なお、以下の説明に用いるかっこ内の番号は、図３に示す丸付き数字と対応する。
（１）ユーザ端末１０は、ＨｏＡとＣｏＡの対応をホームエージェント２０に通知するために、ＨＡ登録を送信する。ＨＡ登録によって、ホームエージェント２０は前記ＨｏＡと前記ＣｏＡの対応を管理する。また、ホームエージェント２０はポリシサーバ１４にポリシロード要求を行う。このとき、ＨｏＡ、ＣｏＡを併せて通知する。
（２）ポリシサーバ１４は、ファイウォール装置１２にポリシをロードする。これと併せ、前記ＣｏＡを通知する。
（３）ファイアウォールは、前記ＣｏＡと前記ポリシの対応を管理する。ファイアウォール装置１２は、前記従来技術と同様に、ＣｏＡ（ＩＰアドレス）をユーザパケットＩＤとして利用することにより、データパケットをＣｏＡによって該当ユーザのポリシに振分ける。
本手段でも、ファイアウォール装置１２が端末固有ＩＤを媒介として、ＩＰアドレスとポリシの対応を管理するため、Mobile IP通信の場合でも、ネットワークによるファイアウォール機能を提供することが可能となる技術を提供することにある。

本願において開示される発明のうち代表的なものによって得られる効果を簡単に説明すれば、下記の通りである。
（１）本発明によれば、ファイアウォール装置がユーザ端末と認証サーバとの間に位置しない場合でも、ネットワークによるファイアウォール機能を提供することが可能となる。

以下、図面を参照して本発明の実施例を詳細に説明する。
なお、実施例を説明するための全図において、同一機能を有するものは同一符号を付け、その繰り返しの説明は省略する。
［実施例１］
本発明の実施例１のフィルタリング方法が適用される認証連携型ネットワークファイアウォールシステムは、図１と同じであるので、再度の詳細な説明は省略する。
図４は、本発明の実施例１のフィルタリング方法を説明するためのシーケンス図である。以下、本実施例のフィルタリング方法を図４を用いて説明する。なお、以下の説明に用いるかっこ内の番号は、図４に示す丸付き数字と対応する。
本実施例では、ユーザＩＤはユーザ名、端末固有ＩＤは、ユーザ端末１０のＭＡＣアドレス、ユーザパケットＩＤはユーザＩＰアドレスとする。ユーザＩＤは、ユーザ名の代わりに認証鍵を用いた場合でも同様の処理となる。さらに、ポリシサーバ１４には、ユーザ名とポリシとの対応が事前に登録されている。
（１）ユーザ端末１０は、インタネット１７に接続するため、アクセスポイント装置１１に対し、認証情報を送信する。本送信は、例えば、ＰＰＰ（Point to Point Protoco1）やIEEE802.1xなどのプロトコルを用い行われる。
（２）アクセスポイント装置１１は、認証情報に記載されているユーザＩＤおよびＭＡＣアドレスを抽出し、認証サーバ１３に対して、ユーザＩＤおよびＭＡＣアドレスを通知する。本通知は、例えば、ＲＡＤＩＵＳなどのプロトコルを用い行われる。
（３）認証サーバ１３は、ユーザ名およびＭＡＣアドレスを受信し、ユーザ端末１０の認証許可を決定すると、ポリシサーバ１４にポリシロード要求を行う。このとき、ユーザ名およびＭＡＣアドレスを併せて通知する。
（４）また、認証サーバ１３は、ユーザ端末１０の認証許可を決定したことにより、ユーザ端末１０にユーザＩＰアドレスを付与する。

（５）ポリシサーバ１４は、ユーザ名およびＭＡＣアドレスを受信すると、ユーザ名を検索キーとして、対応するポリシを選択する。
（６）ポリシサーバ１４は、ファイアウォール装置１２にポリシをロードする。このとき、ＭＡＣアドレスを併せて通知する。
（７）ファイアウォール装置１２は、受信したポリシとＭＡＣアドレスとの対応を管理し、ポリシを保持する。
（８）ユーザ端末１０は、インタネット１７ヘの接続が確立された後、データパケットを送信する。
（９）ファイアウォール装置１２は、ユーザ端末１０から到着するデータパケットを受信すると、それに記載されているユーザＩＰアドレスおよびＭＡＣアドレスを抽出し、ＭＡＣアドレスを検索キーとして、対応するポリシとユーザパケットＩＤとを対応づける。
（１０）ファイアウォール装置１２は、以降に到着するユーザ端末１０からのデータパケットに対して、その送信元ユーザＩＰアドレスを検索キーとしてポリシを選択し、当該選択したポリシによって、データパケットのフィルタリング処理を行う。
（１１）また、ファイアウォール装置１２は、ユーザ端末１０の通信相手端末からのデータパケットに対して、その宛先ユーザＩＰアドレスを検索キーとしてポリシを選択し、当該選択したポリシによって、データパケットのフィルタリング処理を行う。

［実施例２］
本発明の実施例２のフィルタリング方法が適用される認証連携型ネットワークファイアウォールシステムは、図１と同じであるので、再度の詳細な説明は省略する。
図５は、本発明の実施例２のフィルタリング方法を説明するためのシーケンス図である。以下、本実施例のフィルタリング方法を図５を用いて説明する。なお、以下の説明に用いるかっこ内の番号は、図５に示す丸付き数字と対応する。
本実施例では、実施例１と同様に、ユーザＩＤはユーザ名、端末固有ＩＤはユーザ端末１０のＭＡＣアドレス、ユーザパケットＩＤはユーザＩＰアドレスとする。
また、図５において、（１）から（７）の動作は、前述の実施例１と同様であるため、説明を省略する。
（８）ファイアウォール装置１２は、ユーザ端末１０から到着するデータパケットを受信すると、それに記載されているＭＡＣアドレスを抽出し、ＭＡＣアドレスを検索キーとしてポリシを選択し、当該選択したポリシによって、データパケットのフィルタリング処理を行う。
（９）また、ファイアウォール装置１２は、ユーザ端末１０の通信相手端末からのデータパケットに対して、ユーザ端末１０に転送する際に付与されるＭＡＣアドレスを抽出し、当該ＭＡＣアドレスを検索キーとしてポリシを選択し、当該選択したポリシによって、データパケットのフィルタリング処理を行う。

［参考例］
本発明の参考例のフィルタリング方法が適用される認証連携型ネットワークファイアウォールシステムは、図３と同じであるので、再度の詳細な説明は省略する。
図６は、本発明の参考例のフィルタリング方法を説明するためのシーケンス図である。以下、本参考例のフィルタリング方法を図６を用いて説明する。なお、以下の説明に用いるかっこ内の番号は、図６に示す丸付き数字と対応する。
本参考例では、ユーザパケットホームＩＤはＨｏＡ、ユーザパケットＩＤはＣｏＡとする。また、ＨｏＡはユーザＩＤも兼ねているものとする。なお、ユーザＩＤは、ユーザ名の代わりに認証鍵を用いた場合でも同様の処理となる。さらに、ポリシサーバ１４には、ＨｏＡとポリシとの対応が事前に登録されている。
（１）ユーザ端末１０は、ＨｏＡとＣｏＡの対応をホームエージェント２０に通知するために、ホームエージェント２０にＨＡ登録を送信する。これによって、ユーザ端末１０とホームエージェント２０との間でトンネルが確立され、ユーザ端末１０と通信相手端末との間の通信パケットは、ホームエージェント２０とユーザ端末１０間では、IP in IPトンネルにより転送される。
（２）ＨＡ登録によって、ホームエージェント２０は、ＨｏＡとＣｏＡの対応を管理する。また、ホームエージェント２０は、ポリシサーバ１４にポリシロード要求を行う。このとき、ＨｏＡおよびＣｏＡを併せて通知する。

（３）ポリシサーバ１４は、ＨｏＡおよびＣｏＡを受信すると、ＨｏＡを検索キーとして、対応するポリシを選択する。
（４）ポリシサーバ１４は、ファイウォール装置１２にポリシをロードする。これと併せ、ＣｏＡを通知する。
（５）ファイアウォール装置１２は、受信したポリシとＣｏＡとの対応を管理し、ポリシを保持する。
（６）ファイアウォール装置１２は、到着するユーザ端末１０からのデータパケットを受信すると、そのＣｏＡ（送信元ユーザＩＰアドレス）を検索キーとしてポリシを選択し、当該選択したポリシによって、データパケットのフィルタリング処理を行う。
（７）また、ファイアウォール装置１２は、ユーザ端末１０の通信相手端末からのデータパケットに対し、そのＣｏＡ（宛先ユーザＩＰアドレス）を検索キーとしてポリシを選択し、当該選択したポリシによって、データパケットのフィルタリング処理を行う。
なお、（４）において、ＣｏＡとともにＨｏＡを通知し、（５）において、ファイアウォール装置１２が、ポリシとＣｏＡおよびＨｏＡの対応を管理し、（６）および（７）において、データパケットのＣｏＡおよびＨｏＡを検索キーとしてポリシを選択する方法を用いてもよい。
以上、本発明者によってなされた発明を、前記実施例に基づき具体的に説明したが、本発明は、前記実施例に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。

本発明のフィルタリング方法が適用される認証連携型ネットワークファイアウォールシステムの概略構成と動作を説明するためのブロック図である。 Mobile ＩＰ通信技術を説明するための図である。 本発明の参考例のフィルタリング方法が適用される認証連携型ネットワークファイアウォールシステムの概略構成と動作を説明するためのブロック図である。 本発明の実施例１のフィルタリング方法を説明するためのシーケンス図である。 本発明の実施例２のフィルタリング方法を説明するためのシーケンス図である。 本発明の参考例のフィルタリング方法を説明するためのシーケンス図である。 移動体／無線アクセスにおいて、ファイアウォール機能をネットワーク側に配備する利点を説明する図である。 従来の認証連携型ネットワークファイアウォールシステムの概略構成と動作を説明するためのブロック図である。

符号の説明

１０ ユーザ端末
１１ アクセスポイント装置
１２ ファイアウォール装置
１３ 認証サーバ
１４ ポリシサーバ
１５ 通信相手端末
１６ アクセスネットワーク
１７ インタネット
２０ ホームエージェント

Claims (2)

1. 複数の独立したポリシを有するファイアウォール装置と、
   ユーザ端末からの接続を受け付け、ユーザ端末からのパケットをアクセスネットワークに転送し、または、アクセスネットワークからのパケットをユーザ端末に転送するアクセスポイント装置と、
   前記ユーザ端末のアクセスネットワークまたはインタネットヘの接続のための認証を行う認証サーバと、
   ユーザ毎のポリシを管理し、ユーザＩＤとポリシとの対応を管理するポリシサーバとから成る認証連携型ネットワークファイアウォールシステムにおけるフィルタリング方法において、
   前記アクセスポイント装置が、前記ユーザ端末から前記認証を行うための認証パケットを受信し、当該認証パケットに記載されている前記ユーザＩＤおよび端末固有ＩＤを抽出するとともに、前記認証サーバに対して前記ユーザＩＤおよび前記端末固有ＩＤを通知するステップ１と、
   前記認証サーバが、前記ユーザＩＤおよび前記端末固有ＩＤを受信し、前記ユーザ端末の認証許可を決定した後に、前記ポリシサーバにポリシ要求を行うとともに、併せて前記ユーザＩＤおよび前記端末固有ＩＤを通知するステップ２と、
   前記ポリシサーバが、前記ユーザＩＤおよび前記端末固有ＩＤを受信し、前記ユーザＩＤを検索キーとして対応するポリシを選択し、当該選択したポリシを前記ファイアウォール装置に対してロードするとともに、併せて前記端末固有ＩＤを通知するステップ３と、
   前記ファイアウォール装置が、前記ポリシおよび前記端末固有ＩＤを受信し、当該受信した前記ポリシと前記端末固有ＩＤとの対応を管理し、前記ポリシを保持するステップ４と、
   前記ユーザ端末のアクセスネットワークまたはインタネットヘの接続が確立された後に、前記ユーザ端末から送信されるパケットを受信し、当該パケットに記載されているユーザパケットＩＤおよび前記端末固有ＩＤを抽出し、前記端末固有ＩＤを検索キーとして、対応するポリシと前記ユーザパケットＩＤとを対応づけるステップ５と、
   これ以降に到着する前記ユーザ端末から送信されるパケットに対し、その送信元ユーザパケットＩＤを検索キーとして前記ポリシを選択し、前記選択したポリシによって前記パケットにフィルタリング処理を行うステップ６と、
   前記ユーザ端末の通信相手端末から送信されるパケットに対して、その宛先ユーザパケットＩＤを検索キーとして前記ポリシを選択し、前記選択したポリシによって前記パケットにフィルタリング処理を行うステップ７とを備えることを特徴とするフィルタリング方法。
2. 前記ステップ４ないしステップ７に代えて、前記ファイアウォール装置が、前記ポリシおよび前記端末固有ＩＤを受信し、当該受信した前記ポリシと前記端末固有ＩＤとの対応を管理し、前記ポリシを保持するステップ１０と、
   前記ユーザ端末のアクセスネットワークまたはインタネットヘの接続が確立された後に、前記ユーザ端末から送信されるパケットを受信し、それに記載されている前記端末固有ＩＤを検索キーとして前記ポリシを選択し、前記選択したポリシによって前記パケットにフィルタリング処理を行うステップ１１と、
   前記通信相手端末から送信されるパケットに対して、前記ユーザ端末に転送する際に付与される前記端末固有ＩＤを検索キーとして前記ポリシを選択し、前記選択したポリシによって前記パケットにフィルタリング処理を行うステップ１２とを備えることを特徴とする請求項１に記載のフィルタリング方法。

Images