JP4550557B2 - フィルタ定義管理方法、フィルタ定義管理装置、および、ストレージエリアネットワーク - Google Patents

Description

本発明はIP-SANにおけるセキュリティ対策技術に係り、特にiSCSIに係る制限を反映したIPネットワーク上のフィルタ技術に関する。

近年、ストレージ装置とホストとをIP（Internet Protocol）ネットワークにて接続し、ホストからストレージ装置内のボリュームへのデータ読み書きを可能とするiSCSI（Internet Small Computer Interface）によるIP-SAN（Storage Area Network）が普及している。iSCSIによるIP-SANでは、ストレージ装置やホストなど、IP-SANを構成する装置を、iSCSIノードと呼ぶ。iSCSIノードのうち、SCSIコマンドを送出する側を、iSCSIイニシエータと呼び、SCSIコマンドを実行する側を、iSCSIターゲットと呼ぶ。iSCSIノード間のiSCSIプロトコルによる通信（以後、iSCSI通信と呼ぶ）では、iSCSIイニシエータからiSCSIターゲットへ接続を行うという特徴がある。従って、iSCSIイニシエータ同士の接続、iSCSIターゲット同士の接続、iSCSIターゲットからiSCSIイニシエータへの接続は許可されない。

IP-SANは、IPネットワーク上で動作するため、IPネットワーク上で考えられる各種の攻撃手段がそのまま有効となる。すなわち、ファイバチャネル（Fibre Channel）プロトコルによるFC-SANに比べて攻撃手段が多岐に渡る。よって、IP-SANでは各種攻撃を防御するためのセキュリティ対策が重要であり、IP-SANにおけるセキュリティ対策として、様々な方式が考えられている。

例えば、パスワード等を用いてログイン時に認証を行うことによって、アクセスを制限し、セキュリティを確保するものがある。この方式では、iSCSIイニシエータがiSCSIターゲットへ接続要求を送信すると、iSCSIターゲットがiSCSIイニシエータの認証（ユーザ名、パスワードによる認証。iSCSIログイン認証と呼ばれる）を行う（例えば、非特許文献１参照。）。

また、iSNS（Internet Storage Name Service）の仕組みを用いてディスカバリ範囲を制限することにより、セキュリティを確保するものがある。

各iSCSIノードは、ノード識別や管理のためのiSCSIネームを持つ。iSCSIイニシエータがiSCSIターゲットへのiSCSIセッションを確立するためには、ターゲットのIPアドレス、TCPポート番号、およびiSCSIネームが必要となる。iSNSサーバはこれらの情報を管理する。さらに、iSNSサーバは、DD（Discovery Domain）と呼ばれるiSCSIノードのグループを管理する。DDは、通信可能なiSCSIノードのグループであり、同じDDに属するiSCSIノード間でのみ通信が許可される。

iSCSIイニシエータであるiSCSIノードから、通信可能なiSCSIノードの問い合わせを受けると、iSNSサーバは、問い合わせ元のiSCSIノードと同じDDグループに属するiSCSIターゲットのIPアドレスおよびTCPポート番号など接続に必要な情報を問い合わせ元のiSCSIノードに応答する。この、iSCSIノードがiSNSサーバに接続可能なiSCSIノードを問い合わせし、折り返し接続に必要なIPアドレスなどの情報を得る仕組みを、ディスカバリと呼ぶ。

このように、DDは、ディスカバリの範囲を制限する。例えばあるDDグループAに属するiSCSIノードNAがディスカバリを実施した際、iSCSIノードNAが知ることができるiSCSIノードの情報は、DDグループAに属するiSCSIノードの情報のみとなり、iSCSIノードNAは、DDグループBに属するiSCSIノードの情報を知ることができない。従って、iSCSIノードNAは、DDグループAに属するiSCSIノードとの間でしか通信を行うことができない。

このように、iSNSサーバにより、上記ディスカバリ機能を提供することで、iSCSI通信の制限を行う技術がある（例えば、非特許文献２参照。）。

J. Satran 「RFC3720 Internet Small Computer Systems Interface （iSCSI）」 IETF 2004年；http://www.ietf.org/rfc/rfc3720.txt Josh Tseng 「Internet Draft <draft-ietf-ips-isns-22.txt> Internet Storage Name Service （iSNS）」 IETF 2004年； http://www.ietf.org/internet-drafts/draft-ietf-ips-isns-22.txt

上述のように、iSCSI通信では、iSCSIイニシエータからiSCSIターゲットへの接続のみ許可され、iSCSIイニシエータ同士の接続、iSCSIターゲット同士の接続、iSCSIターゲットからiSCSIイニシエータへの接続は許可されないという特徴がある。

しかしながら、iSCSIイニシエータ、iSCSIターゲットという種類は、iSCSIレイヤ固有の情報であり、IPネットワークが構築されるIPレイヤは、その情報を意識しない。このため、IPレイヤレベルでは、iSCSIレイヤでは許可されないパターンのIPパケットが、iSCSIノードに到達する可能性がある。

例えば、iSNSサーバを用いたディスカバリによれば、接続可能なiSCSIノードが応答され、接続可能なiSCSIノード間の通信に制限される。しかしながら、物理的にIPパケットを遮断するものではない。従って、ディスカバリ時になりすまし等の不正な手段により許可されていないiSCSIノードのIPアドレス等が取得された場合、許可されていない装置間の通信が行われる可能性がある。

上記のiSCSIノードの認証およびDDによるディスカバリ制限は、ともに、IPレイヤより上位のiSCSIレイヤで行われるものであるため、これらの技術では、IPレイヤでやりとりされる不正なIPパケットを遮断できない。従って、IPアドレスScan等の技術を利用して、攻撃対象のIPアドレスが知られてしまえば、IPパケットを、iSCSIレイヤでは許可されないiSCSIノードに到達させることができる。このような想定外の通信により、iSCSIの脆弱性や不要なTCP Openポートをついた攻撃等を容易に実現できてしまう問題がある。

すなわち、従来技術では、IPレイヤより上位のiSCSIレイヤにおいては、様々なセキュリティ対策の手段が提供されているが、IPレイヤ上でのセキュリティは考慮されていない。従って、iSCSIレイヤで認められないiSCSIノード間の通信を、IPレイヤで防ぐことができない。IPレイヤでの不正な通信によるIP-SANへの攻撃、例えば、許可されていないiSCSIターゲットへの接続によるLU（Logical Unit）への無制限アクセス、iSCSIターゲット管理用ポートへの攻撃、iSCSIイニシエータを踏み台とした別のiSCSIイニシエータへの攻撃、不正なTCP Openポートへの攻撃、MACアドレス詐称による盗聴、不正なDoS攻撃等など、IPネットワーク上で考えられる様々な攻撃を防ぐことができない。

本発明は、上記事情を鑑みてなされたもので、iSCSI通信で許可されない不正な通信を、IPレベルにおいても制限し、IP-SANのセキュリティレベルを向上させることを目的とする。

本発明は、上記課題を解決するために、iSCSI通信特有の制限を反映したフィルタ設定をIPネットワーク上で実現する手段を提供する。iSCSIレイヤ固有の接続情報（DD情報、ストレージパス定義等）から、IPレイヤにおけるフィルタ定義を作成する手段を提供する。

具体的には、それぞれ通信装置を介してIPネットワークに接続し、互いにiSCSI（Internet Small Computer Interface）通信を行うiSCSIノード群を備えるストレージエリアネットワークであって、前記iSCSI通信が許可されるiSCSIノードの組み合わせが予め定められているストレージエリアネットワークにおける、各iSCSIノード間で送受信されるIPパケットを、前記各通信装置内でフィルタリングするフィルタ定義の作成および設定を行うフィルタ定義管理方法であって、前記iSCSI通信が許可されるiSCSIノードの組み合わせそれぞれの、iSCSIイニシエータ側のiSCSIノードに割り当てられたIPアドレスと、iSCSIターゲット側のiSCSIノードに割り当てられたIPアドレスとポート番号とを対応づけて管理する管理情報を、iSCSIターゲットとなるストレージ装置から取得する管理情報取得ステップと、前記組み合わせ毎に、前記iSCSIイニシエータ側に割り当てられた前記IPアドレスを送信元IPアドレスとし、前記iSCSIターゲット側に割り当てられた前記IPアドレスおよび前記ポート番号を、送信先IPアドレスおよびポート番号とするフィルタ定義を作成するフィルタ定義作成ステップと、設定対象の通信装置に対して、作成された前記フィルタ定義を設定するフィルタ定義設定ステップと、を備えることを特徴とするフィルタ定義管理方法を提供する。

本発明では、iSCSIノード間の不要なIP通信を制限することができ、IP-SANのセキュリティレベルを向上することができる。

＜＜第一の実施形態＞＞
以下、本発明の第一の実施形態を図を用いて説明する。

図１は、本実施形態のストレージエリアネットワーク全体の構成を示すシステム構成図である。本図に示すように、本実施形態のストレージエリアネットワークは、各構成ノード間が、IPネットワークを介して接続されるIP-SANシステムであり、構成ノードとして、ホスト１００、１１０、通信装置２００、２２０、ストレージ装置３００、iSNSサーバ４００、管理サーバ５００を備える。なお、ホスト、ストレージ装置などの各構成ノードの数は、これに限られない。以下、各構成ノードの詳細を、それぞれ説明する。

まず、ホスト１００、１１０について説明する。ホスト１００および１１０は同じ構成を有し、同じ機能を実現するものであるため、ここでは、ホスト１００を取り上げ、説明する。

図２は、ホスト１００の構成図である。ホスト１００は、ＣＰＵ等で構成される処理部１０１と、ＲＡＭ等の記憶装置により構成される記憶部１０２と、ネットワーク通信装置１０３と、キーボード等の入力デバイスからのデータ入力処理を行う入力装置１０４と、ディスプレイ等の出力デバイスへデータを出力する出力装置１０５と、それらを各々接続するバス１０６とを備える。

記憶部１０２は、メモリ管理やタスク管理等の機能を実現するＯＳプログラム１０７および後述するストレージ装置３００との通信処理の機能を実現する通信制御プログラム１０８を保持する。これらのプログラムは、処理部１０１のＣＰＵにより実行され、それぞれの機能を実現する。

ネットワーク通信装置１０３は、通信装置２００との接続インタフェースであり、ホスト１００を通信装置２００と物理接続し、ホスト１００に関わるネットワーク層の通信処理を、通信装置２００が提供する通信プロトコルにて実施する。本実施形態では、この通信プロトコルをIPとする。

また、ホスト１００は、通信装置２００を経由して上位のレイヤでは、iSCSIプロトコルに従って、ストレージ装置３００と通信する。通信制御プログラム１０８は、iSCSIプロトコルによる通信（iSCSI通信）に関わる処理を実施する。通信制御プログラム１０８は、ホスト１００をiSCSIイニシエータとして動作させる。以下、ホスト１００上で実現されるiSCSIイニシエータのiSCSIネームを、iqn.a.com:hst-Aとする。

また、ホスト１１０も、ホスト１００同様、iSCSIイニシエータとして動作し、ストレージ装置３００とiSCSI通信を行う。以下、ホスト１１０上で実現されるiSCSIイニシエータのiSCSIネームをiqn.a.com:hst-Bとする。

次に、ストレージ装置３００について、説明する。図３は、ストレージ装置３００の構成図である。

本図に示すように、ストレージ装置３００は、装置全体の制御を行うストレージ制御装置３０１と、物理ディスク群３０８と、ストレージ制御装置３０１と物理ディスク群３０８とを接続するバス３０９とを備える。

物理ディスク群３０８は、それぞれのデータ格納領域を部分的に組み合わせ、実際にデータを格納する論理的なストレージ（LU（Logical Unit）。以下ボリュームと呼ぶ。）３１０、３１１を構成する。もちろん、LUの数はこれに限られない。

ストレージ制御装置３０１は、ＣＰＵ等で構成される処理部３０２と、ＲＡＭ等の記憶装置により構成される記憶部３０３と、ネットワーク通信装置３０４、３０５と、ストレージ接続装置３０６と、各機能部を接続するバス３０７とを備える。

記憶部３０３は、ボリューム３１０，３１１へのアクセス管理等を行うストレージ制御プログラム３１２およびパス定義情報３１３を保持する。パス定義情報は、iSCSIイニシエータと当該iSCSIイニシエータが接続可能なボリュームとの対応関係を管理するテーブルである。

ストレージ装置３００は、通信装置２２０を経由してiSCSIプロトコルに従って、ホスト１００および１１０と通信する。ストレージ制御プログラム３１２は、処理部３０２のＣＰＵにより実行され、iSCSI通信に関わる処理を実施する。そして、ストレージ装置３００を、各ボリューム毎にiSCSIターゲットとして動作させる。以下、ストレージ装置３００上で実現されるiSCSIターゲットのうち、ボリューム３１０に対応づけられているもののiSCSIネームを、iqn.a.com:str-LU0、ボリューム３１１に対応づけられているもののiSCSIネームを、iqn.a.com:str-LU1とする。なお、上記対応は、これに限られることはない。

ネットワーク通信装置３０４，３０５は、通信装置２２０と、ストレージ装置３００との間の接続インタフェースである。ストレージ装置３００は、ネットワーク通信装置３０４、３０５を介して通信装置２２０と物理接続し、ストレージ装置３００に関わるネットワーク層の通信処理を、通信装置２２０が提供する通信プロトコル（本実施形態ではIP）にて実施する。

ストレージ接続装置３０６は、物理ディスク群３０８との接続インタフェースである。

次に、iSNSサーバ４００について説明する。iSNSサーバ４００は、上述のように、各iSCSIノードからディスカバリを受け、応答する。

図４は、iSNSサーバ４００の機能構成図である。本図に示すように、iSNSサーバ４００は、CPU等により構成される処理部４０１と、RAM等の記憶装置により構成される記憶部４０２と、ネットワーク通信装置４０３と、キーボード等の入力デバイスからのデータ入力処理を行う入力装置４０４と、ディスプレイ等の出力デバイスへデータを出力する出力装置４０５と、以上の各機能をそれぞれ接続するバス４０６とを備える。

記憶部４０２は、メモリ管理やタスク管理等を行うOSプログラム４０７と、iSCSIネームによる問い合わせに応答する等のiSNS機能を実現するiSNSプログラム４０８と、iSCSIネームとIPアドレス等との対応関係を管理するDD（Discovery Domain）情報４０９とを保持する。

ネットワーク通信装置４０３は、通信装置２００との接続インタフェースであり、iSNSサーバ４００を通信装置２００と物理接続し、iSNSサーバ４００に関わるネットワーク層の通信処理を、通信装置２００が提供する通信プロトコル（本実施形態ではIP）に従って実施する。

iSNSプログラム４０８は、iSCSIイニシエータからディスカバリの要求を受け付けると、DD情報４０９を検索し、要求元のiSCSIイニシエータと同じDDに属するiSCSIターゲットの、iSCSIネーム、IPアドレス、TCPポート番号を、要求元のiSCSIイニシエータに返信する。

DD情報４０９は、ディスカバリに対応する応答を行うため、各iSCSIノードの情報を管理するテーブルである。DD情報４０９は、各iSCSIノードのiSCSIネームとiSCSIノードの種類（イニシエータであるかターゲットであるか）と属するグループとIPアドレスとを対応づけて管理する。なお、iSCSIノードの種類がiSCSIターゲットの場合、DD情報４０９は、さらに、iSCSI通信を待ち受けるTCPポート番号も対応づけて保持する。

図５に、本実施形態のDD情報４０９の一例を示す。本図に示すように、DD情報４０９は、iSCSI Name（iSCSIネーム）４０９ｂと、iSCSI Node Type（ここではiSCSIイニシエータ及びiSCSIターゲットを示す）４０９ｃと、DD ID（DDのグループを識別するID）４０９ｄと、Portal IP Address（iSCSIノード間の通信を実現するIPアドレス）４０９ｅと、Portal TCP/UDP Port（iSCSIターゲットが待ち受けするTCPポート番号）４０９ｆと、SCN Port（後に説明する。）４０９ｇと、ESI Port（後に説明する。）４０９ｈといった属性情報を、iSCSIノード毎に保持する。

例えば、本図において、１行目のレコードで示されるiSCSIノードは、そのiSCSIネームがiqn.a.com:hst-AのiSCSIイニシエータ（iSCSI Node Typeより）であり、DD ID＝０のグループに属し、そのIPアドレスは、192.168.0.1である。また、３行目のレコードで示されるiSCSIノードは、そのiSCSIネームがiqn.a.com:str-LU0のターゲット（iSCSI Node Typeより）であり、DD ID＝０のグループに属し、そのIPアドレスは、192.168.10.1であり、iSCSI通信において用いられるTCPポート番号は、3260である。

この場合、iSCSIネームがiqn.a.com:hst-Aであるイニシエータ（ホスト１００）は、同じDD ID＝０のグループに属するiqn.a.com:str-LU0を介して、ボリューム３１０に対し、データの読み書きが可能であり、iSCSIネームがiqn.a.com:hst-Bであるイニシエータ（ホスト１１０）は、同じDD ID＝１のグループに属するiqn.a.com:str-LU1を介して、ボリューム３１１に対し、データの読み書きが可能となる。

iSCSIイニシエータiqn.a.com:hst-AがiSNSサーバ４００に対してディスカバリを行うと、iSNSサーバ４００は、iSNSプログラム４０８に従って、DD情報４０９を検索し、iqn.a.com:hst-Aと同一DD IDを持つ３行目のレコードの情報を応答することとなる。このように、iSNSサーバ４００は、DDを用いたディスカバリ機能を提供することで、iSCSIレイヤレベルで、許可されていないiSCSI通信の制限を行う。

なお、DD情報４０９は、例えば、以下の方法で作成する。DD IDとそのDDに属するiSCSIネームは、本システムの管理者等により、管理者が使用するユーザ端末（不図示）から送信されるDDRegと呼ばれるパケットにより登録される。iSCSIネームやPortal IP Address等の必要な属性は、個々のiSCSIノードが、自身が通信装置に接続されたタイミングで、DevAttrRegと呼ばれるパケットにて、iSNSサーバ４００に対して登録される。これらはiSNSの既存技術にて実現することが可能である。iSCSIネームは、iSNSサーバ４００が管理者から直接入力を受け付けてもよい。

次に、通信装置２００および２２０について説明する。通信装置２００および２２０は同じ構成を有し、同じ機能を実現するものであるため、ここでは、通信装置２００を取り上げ、説明する。

図６は、通信装置２００の構成図である。通信装置２００はCPU等で構成される処理部２０１と、RAM等の記憶装置により構成される記憶部２０２と、ネットワーク通信装置２０３、２０４、２０５、２０６と、以上の各機能部間を接続するバス２０７とを備える。

記憶部２０２は、IPプロトコルに従ってパケット転送処理を行うパケット転送制御プログラム２０８と、Config情報２０９と、MACテーブル２１０とを保持する。パケット転送制御プログラム２０８は、処理部２０１のCPUにより実行され、その機能を実現する。

ネットワーク通信装置２０３、２０４、２０５、２０６は、それぞれ、ホスト１００、１１０、iSNSサーバ４００、および、通信装置２２０と物理接続し、パケット転送制御プログラム２０８に従って、IPプロトコルに従ったパケット転送処理を実施する。

MACテーブル２１０は、IPアドレスとMAC（Media Access Control）アドレスとの対応関係を管理するテーブルであり、それぞれにインタフェース名を付与する。このインタフェース名は、後述するConfig情報２０９の記述等に使用される。MACテーブル２１０は、ARP（Address Resolution Protocol）等により自動収集され、上記インタフェース名と関連づけられた形式で保持される。

図７に、ホスト１００、１１０と接続する通信装置２００に格納されているＭＡＣテーブル２１０の一例を示す。なお、図８は、ストレージ装置３００と接続する通信装置２２０に格納されるＭＡＣテーブル２３０の一例である。本図に示すように、MACテーブル２１０は、各IPアドレス２１０ａに対応づけられたMACアドレス２１０ｂとインタフェース名２１０ｃとを保持する。

Config情報２０９は、当該通信装置のインタフェース毎のパケット転送やパケットフィルタリング（フィルタ定義）等の設定を記述するものであり、管理者から、ユーザ端末（不図示）を介して予め設定される。なお、本明細書では、以後、通信装置を通過可能なIPパケットの、送信元IPアドレス（およびTCPポート番号）と送信先IPアドレス（およびTCPポート番号）との組の記述を、フィルタ定義と呼ぶ。通信装置は、フィルタ定義を満たすIPパケットのみ通過させる。

また、本実施形態では、一旦設定されたConfig情報２０９は、後述する管理サーバ５００のフィルタ定義設定プログラム５０９により更新される。

図９に、ホスト１００、１１０と接続する通信装置２００が保持するConfig情報２０９の一例を示す。なお、図１０は、ストレージ装置３００と接続する通信装置２２０が保持するConfig情報２２９の一例である。

図９に示すConfig情報２０９において、１行目から４行目の記述は、ホスト１００と接続するインタフェースの設定を示す。２行目の記述は、ある論理インタフェースipAは、192.168.0.254/24のIPアドレスを持ち、物理ポートfe0/0からfe0/1が割り当てられており、input（ホスト１００から通信装置２００へ向けたパケット）方向にフィルタ定義ipA-aclが設定されていることを示す。

さらに、フィルタ定義ipA-aclは、３、４行目に、その詳細な設定内容が記述される。すなわち、フィルタ定義ipA-aclとして、送信元IPアドレスが192.168.0.0/24、送信元TCPポートがany、送信先IPアドレスが192.168.9.1/32（これはiSNSサーバ４００のIPアドレスを示す）、送信先TCPポート番号が3205（iSNSサーバ４００がパケットを待ち受けるTCPポート番号）の通信を許可し、その他の通信は許可しない、ことを意味するフィルタ定義が設定されている。

また、Config情報２２９の１３行目にあるestablishedという記述は、TCPのSYN（接続開始要求パケット）が送信されたコネクションに対する応答を許可することを示す。これは、TCPにおけるステートフルな通信を許可するために一般的に用いられるものである。

なお、通信装置２００は、Config情報２０９に示すように、サブネットの異なる複数のインタフェースを収容しており、通信装置２００内部でIPルーティングを行う。

また、図１０に示す通信装置２２０のConfig情報２２９より、物理インタフェースfe0/0、fe0/1、fe0/2、fe0/3は、同一VLAN（Virtual LAN；同一サブネット）に属する。

次に、管理サーバ５００について説明する。図１１は、管理サーバ５００の構成図である。本図に示すように、管理サーバ５００は、CPU等により構成される処理部５０１と、RAM等の記憶装置により構成される記憶部５０２と、ネットワーク通信装置５０３と、キーボード等の入力デバイスからのデータ入力処理を行う入力装置５０４と、ディスプレイ等の出力デバイスへデータを出力する出力装置５０５と、以上の各機能間をそれぞれ接続するバス５０６とを備える。

記憶部５０２は、フィルタ定義テーブル５１１と、メモリ管理やタスク管理等を行うOSプログラム５０７と、フィルタ定義作成プログラム５０８と、フィルタ定義設定プログラム５０９と、後述するフィルタ設定ログ情報を管理するフィルタ定義ログ情報５１０とを保持する。

ネットワーク通信装置５０３は、通信装置２００、２２０との接続インタフェースであり、管理サーバ５００を通信装置２００、２２０と物理接続し、管理サーバ５００に関わるネットワーク層の通信処理を、通信装置２００、２２０が提供する通信プロトコル（ここではIP）に従って実施する。

フィルタ定義作成プログラム５０８は、iSNSサーバ４００が有するDD情報４０９に基づいて、iSCSIレイヤで許可される通信に対応するIPレイヤでのフィルタ定義を作成し、フィルタ定義テーブル５１１に保持する。すなわち、フィルタ定義作成プログラム５０８は、送信元がiSCSIイニシエータのIPアドレス、送信先がiSCSIターゲットのIPアドレス及びTCPポート番号を示す、IP通信において意味を成すフィルタ定義を作成し、フィルタ定義テーブル５１１に格納する。

フィルタ定義テーブル５１１には、iSCSIレイヤで通信が許可されるiSCSIイニシエータおよびiSCSIターゲットの、それぞれのIPアドレスおよびTCPポート番号が、１レコードとして格納される。図１２は、フィルタ定義テーブル５１１の一例である。

本図に示すように、フィルタ定義テーブル５１１には、送信元のiSCSIノードのIPアドレスである送信元IPアドレス５１１ｂごとに、対応する送信元ポート５１１ｃと、通信が許可されるiSCSIノードのIPアドレスおよびTCPポート番号として送信先ＩＰアドレス５１１ｄおよび送信先ポート５１１ｅとを備える。

フィルタ定義設定プログラム５０９は、フィルタ定義テーブル５１１に保持されているフィルタ定義を、Config情報に登録可能な記述にし、通信装置２００、２２０のConfig情報２０９、２２９に追加設定する
また、フィルタ定義ログ情報５１０は、フィルタ定義設定プログラム５０９が通信装置２００、２２０のConfig情報に追加したフィルタ定義のログを蓄積する。図１３は、フィルタ定義ログ情報５１０の一例である。フィルタ定義ログ情報５１０は、後述するように、不要なフィルタ定義の削除を行う場合に利用される。

本図に示すように、フィルタ定義ログ情報５１０は、設定対象５１０ａと、時刻５１０ｂと、設定内容５１０ｃとを備える。設定対象５１０ａとして、本レコードがConfig情報に設定された通信装置名、時刻５１０ｂとして、本レコードが通信装置に設定された時刻が保持される。

以上説明した構成により、ホスト１００、１１０、ストレージ装置３００、iSNSサーバ４００、管理サーバ５００は、それぞれの装置間で、IPプロトコルに従い、iSCSIレイヤで許可されている通信を実現する。

次に、フィルタ定義作成プログラム５０８により、フィルタ定義テーブル５１１を作成する手順を説明する。概略は以下のとおりである。

管理サーバ５００は、DD情報４０９が変更された場合、通信装置２００、２２０を介してiSNSサーバ４００から変更後のDD情報４０９を取得する。

次に、管理サーバ５００は、フィルタ定義作成プログラム５０８に従って、取得したDD情報４０９を参照し、同一DD IDを有するiSCSIノード毎に、送信元をiSCSIイニシエータのIPアドレス、送信先をiSCSIターゲットのIPアドレスおよびTCPポート番号とするフィルタ定義テーブル５１１を作成する。

以下、フィルタ定義作成プログラム５０８の処理フローを詳細に説明する。図１４は、フィルタ定義作成プログラム５０８によるフィルタ定義テーブル５１１作成時の処理フローである。以下において、DD情報４０９は、図５に示すものを例にあげて説明する。

フィルタ定義作成プログラム５０８は、iSNSサーバ４００から、DD情報４０９の更新を示すメッセージおよび更新されたDD情報４０９を受信する（ステップ５０８１）。DD情報４０９の取得は、例えばSNMP Trap等の既存技術を用いて実現することができる。すなわち、DD情報４０９は、iSCSIノードによるDevAttrRegによる属性登録が完了した時点で取得される。例えば、iSNSサーバ４００は、属性登録が完了すると、管理サーバ５００に対してSNMP Trapを送信する。そして、管理サーバ５００は、常にSNMP Trapを待ち受け、受信したタイミングで上記処理を実行する。

以後、フィルタ定義作成プログラム５０８は、DD IDが同じレコード毎に、フィルタ定義を作成し、フィルタ定義テーブル５１１に登録する。具体的には、以下の処理を行う。

フィルタ定義作成プログラム５０８は、取得したDD情報４０９に含まれる全DD IDを読み出し、全てのDD IDについて、重複を除いたDD IDのリスト（以後、DDリストと呼ぶ。）を作成するとともに、そのレコード数をカウントし、保持する（ステップ５０８２）。図５のDD情報４０９の例では、DDリストは、「０、１、２」からなる。レコード数は３である
フィルタ定義作成プログラム５０８は、ｎ（ｎは自然数）に１を設定する（ステップ５０８３）。そして、DDリストのｎ行目のレコードのDD ID に合致するDD ID を有するレコードを全て、DD情報４０９から取得し、記憶部５０２に一時的に作成したフィルタ定義仮テーブル５１１１に格納する（ステップ５０８４）。DDリストが１行目から０、１、２の順に作成され、DD情報４０９が図５に示すものの場合、ｎ＝１の場合、DD ID＝０のレコードがDD情報４０９から抽出される。このとき作成されるフィルタ定義仮テーブル５１１１の一例を図１５に示す。なお、ここでは、SCN Port等の属性は省略する。

フィルタ定義作成プログラム５０８は、フィルタ定義仮テーブル５１１１に保持したデータを用いて、送信元IPアドレス５１１ｂをiSCSIイニシエータのIPアドレス、送信先IPアドレス５１１ｄをiSCSIターゲットのIPアドレス、送信先ポート５１１ｅをiSCSIターゲットのTCP/UDPポートとするレコードを作成し、フィルタ定義テーブル５１１に追加する（ステップ５０８５）。

このとき、フィルタ定義作成プログラム５０８は、まず、フィルタ定義仮テーブル５１１１において、iSCSI Node TypeがInitiatorであるレコードのPortal IP Addressを送信元のIPアドレスと認識する。例えば、iSCSI Node Typeで認識する代わりに、Portal TCP/UDP Portの値が空欄であることによって、当該レコードが示すiSCSIノードがInitiatorであること、すなわち、当該レコードのPortal IP Addressを送信元のIPアドレスと認識してもよい。

そして、フィルタ定義作成プログラム５０８は、iSCSI Node TypeがTargetであるレコードのPortal IP AddressおよびPortal TCP/UDP Portを、送信先のIPアドレスおよびTCPポート番号と認識する。この場合も、iSCSI Node Typeで認識する代わりに、Portal TCP/UDP Portの値が空欄でないことによって、当該レコードが示すiSCSIノードがTargetであることを認識してもよい。

なお、同じDD IDに属するiSCSIイニシエータおよび/またはiSCSIターゲットが、複数ある場合、全てのiSCSIイニシエータとiSCSIターゲットとの組み合わせについて、上記フィルタ定義を作成する。

この時点で作成されるフィルタ定義テーブル５１１を図１６に示す。本図に示すように、フィルタ定義テーブル５１１には、送信元IPアドレスとして、図１５に示すフィルタ定義仮テーブル５１１１の１行目に示す内容が格納され、送信先IPアドレス及び送信先ポートとして２行目に示す内容が格納されたレコードが追加される。すなわち、送信元がiSCSIイニシエータのIPアドレス、送信先がiSCSIターゲットのIPアドレス及びTCPポート番号を示す、iSCSIレイヤでの通信制限を反映した通信制御をIPレイヤにて行うことができるフィルタ定義を作成することができる。

次に、フィルタ定義作成プログラム５０８は、ｎの値に１を加え（ステップ５０８６）、更新後のｎがDDリストのレコード数を超えているか否かを判別する（ステップ５０８７）。レコード数を超えていれば、処理を終了する。レコード数以下の場合は、ステップ５０８４の処理に戻る。

例えば、DDリストが上述のものであり、DD情報４０９が図５に示すものの場合、フィルタ定義作成プログラム５０８は、n＝２とし、ステップ５０８４に戻る。ここで、DDリストの２番目のレコードが示すDD ID は１であるため、DD ID＝１のレコードを全て取得し、新たなフィルタ定義仮テーブル５１１１を作成する。この場合のフィルタ定義仮テーブル５１１１を図１７に示す。

そして、フィルタ定義作成プログラム５０８は、フィルタ定義仮テーブル５１１１を用いて新たなフィルタ定義を作成し、フィルタ定義テーブル５１１に追加する。

フィルタ定義作成プログラム５０８は、このように、ステップ５０８４から５０８７の処理を繰り返し、DD情報４０９の全てのレコードについて処理を行い、フィルタ定義テーブル５１１を作成する。

上記手順により、図５に示すDD情報４０９から、フィルタ定義作成プログラム５０８により作成されたフィルタ定義テーブル５１１の一例が上述の図１２である。本実施形態の場合、フィルタ定義テーブル５１１は、n＝１の際に作成したDD ID＝０の１行目のレコードに加え、n＝２の際に作成したDD ID＝１の２行目のレコード、および、n=2の際に作成したDD ID＝２の３行目のレコードを保持する。

管理サーバ５００は、以上の手順でフィルタ定義テーブル５１１が生成されると、次に、フィルタ定義設定プログラム５０９により、このフィルタ定義テーブル５１１に格納されているレコードを用いて、各通信装置のConfig情報として登録可能な記述を作成し、各通信装置２００、２２０のConfig情報２０９、２２９に対して登録する。登録は、フィルタ定義テーブル５１１のレコード毎に、その送信元IPアドレスおよび送信先IPアドレスに関し、それぞれのIPアドレスをインタフェースに有する通信装置（のうち、論理構成上近い通信装置）になされる。

以下、フィルタ定義設定プログラム５０９の処理の詳細を説明する。概略は以下のとおりである。

各通信装置から、Config情報およびMACテーブルを取得し、フィルタ定義テーブル５１１に保持されているフィルタ定義毎に、送信元IPアドレス５１１ｂを含むインタフェースを有するConfig情報を保持する通信装置、送信先IPアドレス５１１ｄを含むインタフェースを有するConfig情報を保持する通信装置を特定し、それぞれに、送信元IPアドレス５１１ｂを送信元、送信先IPアドレス５１１ｄを送信先としたConfig情報の記述、および、送信先IPアドレス５１１ｄを送信元、送信元IPアドレス５１１ｂを送信先としたConfig情報の記述を追加する。

以下、本処理を説明するに際して、フィルタ定義テーブル５１１として図１２に示すものを、Config情報２０９、２２０としてそれぞれ図９および図１０に示すものを、MACテーブル２１０、２３０としてそれぞれ図７および図８に示すものを用いる場合を例にあげて説明する。

図１８は、フィルタ定義設定プログラム５０９による通信装置２００、２２０へのフィルタ設定時の処理フローである。

フィルタ定義設定プログラム５０９は、システム内の全ての通信装置から、Config情報およびMACテーブルを取得する（ステップ５０９１）。本実施形態では、通信装置２００および２２０から、Config情報２０９、２２９及びMACテーブル２１０、２３０を取得する。

次に、フィルタ定義設定プログラム５０９は、ｍ（ｍは自然数）に１を設定する（ステップ５０９２）。

そして、フィルタ定義設定プログラム５０９は、フィルタ定義作成処理Ａとして、フィルタ定義テーブル５１１のｍ行目のレコードの送信元ＩＰアドレス５１１ｂを基に、設定すべき通信装置を特定するとともに、Config情報の記述を作成し、特定した通信装置のConfig情報に追加する（ステップ５０９３）。このとき作成した記述は、Config設定Ａとして保持蓄積する。なお、Config設定Ａは、フィルタ定義設定プログラム５０９起動時に初期化され、その後は記述が作成される毎に追加される。フィルタ定義作成処理Ａは、正常終了または異常終了を返す。フィルタ定義作成処理Ａについては、後述する。

フィルタ定義作成処理Ａが正常終了した場合、フィルタ定義作成処理Ｂに進む（ステップ５０９４）。一方、フィルタ定義作成処理Ａが異常終了した場合、エラー通知を行い（ステップ５０９６）、ステップ５０９５に処理を進める。

フィルタ定義設定プログラム５０９は、フィルタ定義作成処理Ｂとして、フィルタ定義テーブル５１１のｍ行目のレコードの送信先ＩＰアドレス５１１ｄを基に、設定すべき通信装置を特定するとともに、Config情報の記述を作成し、特定した通信装置のConfig情報に追加する（ステップ５０９４）。このとき作成した記述は、Config設定Ｂとして保持蓄積する。なお、Config設定Ｂは、フィルタ定義設定プログラム５０９起動時に初期化され、その後は記述が作成される毎に追加される。フィルタ定義作成処理Ｂは、正常終了または異常終了を返す。フィルタ定義作成処理Ｂについては、後述する。

フィルタ定義作成処理Ｂが異常終了した場合、エラー通知を行い（ステップ５０９６）、ステップ５０９５に処理を進める。フィルタ定義作成処理Ｂが正常終了した場合、ステップ５０９５に進む。

フィルタ定義設定プログラム５０９は、ｍの値に１を加え、ｍがフィルタ定義テーブル５１１のレコード数を超過するかをチェックする（ステップ５０９５）。

超過しない場合、ステップ５０９３に戻り、フィルタ定義テーブル５１１の次のレコード（２行目のレコード）に対し、先に述べた処理を繰り返し、それぞれ、Config情報２０９、２２９にフィルタ定義から作成した記述を追加する。

一方、ステップ５０９５において、超過した場合、上記ステップ５０９３および５０９４で蓄積したConfig設定ＡおよびConfig設定Ｂと、最新のフィルタ定義ログ情報５１０とを比較する（ステップ５０９７）。

最新のフィルタ定義ログ情報５１０に、Config設定ＡおよびConfig設定Ｂ以外の記述がある場合、フィルタ定義設定プログラム５０９は、当該記述を有する通信装置のConfig情報を特定し、その中から、当該記述を削除し（ステップ５０９８）、ステップ５０９９に進む。一方、最新のフィルタ定義ログ情報５１０に、Config設定ＡおよびConfig設定Ｂ以外の記述がない場合は、直接ステップ５０９９に進む。

フィルタ定義設定プログラム５０９は、フィルタ定義作成処理Ａおよびフィルタ定義作成処理Ｂにおいて追加がなされ、上記ステップ５０９８において削除がなされた最新のConfig情報２０９、２２９を、それぞれ、通信装置２００、２２０に登録し、Config設定ＡおよびConfig設定Ｂを、フィルタ定義ログ情報５１０に追加する（ステップ５０９９）。

最終的に作成されるConfig情報２０９、２２９の一例を、それぞれ、図１９、図２０に示す。ここでは、下線で示した行が新たに作成した定義である。

次に、上記フィルタ定義作成処理Ａについて説明する。

図１９は、フィルタ定義作成処理Ａの処理フローである。

フィルタ定義設定プログラム５０９は、MACテーブル２１０、２３０及びConfig情報２０９、２２９を検索し、フィルタ定義テーブル５１１のｍ行目のレコードの送信元IPアドレス５１１ｂをIPアドレス２１０ｂとするインタフェースがあれば、そのインタフェースを抽出するとともに、そのインタフェースを抽出した通信装置を特定する（ステップ５０９３１）。これは、フィルタ設定を実施する通信装置およびインタフェースを特定するための処理である。

ここでは、フィルタ定義テーブル５１１の１行目の送信元IPアドレスは192.168.0.1である。当該IPアドレスは、図７に示すMACテーブル２１０及びConfig情報２０９から、通信装置２００のインタフェースipAに収容されていることが特定される。

フィルタ定義設定プログラム５０９は、対象のインタフェースがいずれかの通信装置に収容されていることを特定できた場合、ステップ５０９３３へ進み、特定できなかった場合、異常終了として処理を終了する（ステップ５０９３２）。

なお、異常終了時は、ｍ行目のレコードについてのフィルタ定義は作成しない。このとき、管理者８００に向けてSNMP Trap等でエラーメッセージを通知してもよい。

特定できた場合、フィルタ定義設定プログラム５０９は、対象インタフェースに関するinput側のフィルタ定義を含むConfig情報の記述を作成し、当該記述が、フィルタ定義ログ情報５１０に存在するか否か判別する（ステップ５０９３３）。

具体的には、送信元IPアドレスをフィルタ定義テーブル５１１の１行目の送信元IPアドレス192.168.0.1に、送信元ポートをフィルタ定義テーブル５１１の１行目の送信先ポートanyに、送信先IPアドレスをフィルタ定義テーブル５１１の１行目の送信先IPアドレス192.168.10.1に、送信先ポートをフィルタ定義テーブル５１１の１行目の送信先ポート3260としたConfig情報の記述を作成する。

上記Config情報の記述がフィルタ定義ログ情報５１０に存在する場合、当該記述に関するConfig情報は既に設定済みであるため、ステップ５０９３５に進む。一方、フィルタ定義ログ情報５１０に存在しない場合は、対象インタフェース（ここでは、通信装置２００のインタフェースipA）のConfig情報２０９に、ステップ５０９３３で作成したConfig情報の記述を追加し（ステップ５０９３４）、ステップ５０９３５に進む。

ここで、設定したConfig情報の記述が追加された後のConfig情報２０９を、図２１に示す。追加されたConfig情報は、４行目の記述に相当する。以上のように、本処理により、iSCSIイニシエータからiSCSIターゲットへのIPパケットのフィルタ定義を含むConfig情報が作成できる。

そして、フィルタ定義設定プログラム５０９は、ステップ５０９３３で作成したConfig情報の記述を、Config設定Ａに追加し（ステップ５０９３５）、正常終了として処理を終了する。

次に、上記フィルタ定義作成処理Ｂについて説明する。

図２０は、フィルタ定義作成処理Ｂの処理フローである。

フィルタ定義設定プログラム５０９は、MACテーブル２１０、２３０を検索し、フィルタ定義テーブル５１１のｍ行目のレコードの送信先IPアドレス５１１ｄをIPアドレス２１０ｂとするインタフェースがあれば、そのインタフェースを抽出するとともに、そのインタフェースを抽出した通信装置を特定する（ステップ５０９４１）。これは、フィルタ定義を設定する通信装置およびインタフェースを特定するための処理である。

ここでは、フィルタ定義テーブル５１１の１行目の送信先IPアドレスは192.168.10.1である。当該IPアドレスは、図７に示すMACテーブル２１０および図８に示すMACテーブル２３０から、通信装置２００のインタフェースipEおよび通信装置２２０のインタフェースfe0/2に収容されていることが特定される。

このように、ここでは、フィルタ設定を実施する対象のインタフェース候補は２つ得られる。従って、Config情報２０９、２２９を参照し、いずれのインタフェースがIPネットワークの論理構成上、対象の送信先IPアドレスに近いか判断する。

本実施形態では、通信装置２００のConfig情報２０９には、インタフェースipEに関し、上記先IPアドレス192.168.10.1を含む条件が記載され、通信装置２２０のConfig情報２２９には、記載されていないものとする。その場合、送信先IPアドレス５１１ｄを有するインタフェースは、通信装置２２０を介して通信装置２００に接続するものと考えられる。従って、この場合、通信装置２２０がより近い通信装置と判断され、特定される。

フィルタ定義設定プログラム５０９は、対象インタフェースがいずれかの通信装置に収容されていることを特定できた場合、ステップ５０９４３に進み、特定できなかった場合、異常終了として処理を終了する（ステップ５０９４２）。

なお、異常終了時は、ｍ行目のレコードについてのフィルタ定義は作成しない。このとき、管理者８００に向けてSNMP Trap等でエラーメッセージを通知してもよい。

特定できた場合、フィルタ定義設定プログラム５０９は、対象インタフェースに関するinput側のフィルタ定義を含むConfig情報の記述を作成し、当該記述が、フィルタ定義ログ情報５１０に存在するか否か判別する（ステップ５０９４３）。

具体的には、対象インタフェース（ここでは、通信装置２２０のインタフェースfe0/2）のConfig情報２２９に、送信元IPアドレスをフィルタ定義テーブル５１１の１行目の送信先IPアドレス192.168.10.1に、送信元ポートをフィルタ定義テーブル５１１の１行目の送信先ポート3260に、送信先IPアドレスをフィルタ定義テーブル５１１の１行目の送信元IPアドレス192.168.0.1に、送信先ポートをフィルタ定義テーブル５１１の１行目の送信元ポートanyとしたConfig情報の記述を作成する。

上記Config情報の記述がフィルタ定義ログ情報５１０に存在する場合、当該記述に関するConfig情報は既に設定済みであるため、ステップ５０９４５に進む。一方、フィルタ定義ログ情報５１０に存在しない場合は、対象インタフェース（ここでは、通信装置２２０のインタフェースfe0/2）のConfig情報２２９に、ステップ５０９４３で作成したConfig情報の記述を追加し（ステップ５０９４４）、ステップ５０９４５に進む。

ここで、設定したConfig情報の記述が追加された後のConfig情報２２９を図２２に示す。追加されたConfig情報は、１０行目の記述に相当する。以上のように、本処理により、iSCSIターゲットからiSCSIイニシエータへのIPパケットのフィルタ設定を含むConfig情報が作成できる。

そして、フィルタ定義設定プログラム５０９は、ステップ５０９４３にて作成したConfig情報の記述を、Config設定Ｂに追加し（ステップ５０９４５）、正常終了として処理を終了する。

以上、フィルタ定義設定プログラム５０９の処理について説明した。本実施形態では、フィルタ定義設定プログラム５０９により、ストレージエリアネットワークの構成が変更になった場合、変更後の構成に対応したフィルタ設定を、通信装置に行うことができる。

例えば、本実施形態のストレージエリアネットワークに、新たな構成が追加された場合、DD情報４０９は更新される。それに伴い、管理サーバ５００は、更新後のDD情報４０９を受け取って作成したフィルタ定義テーブル５１１からフィルタ定義を生成し、Config情報に追加する。また、構成が切り離された場合、も同様にDD情報４０９は更新され、それに伴い、管理サーバ５００は、作成したフィルタ定義テーブル５１１からフィルタ定義を生成し、Config情報に追加する。この場合、新たに作成されたフィルタ定義をConfig情報に設定するだけでは、上記の切り離された構成に係るフィルタ定義が残ってしまうこととなる。従って、上述のように、フィルタ定義ログ情報５１０を用いて、不要となったフィルタ定義を抽出し、削除する処理を行う。

例えば、ホスト１００が切り離された場合、本実施形態では、ホスト１００にかかるIPアドレスが含まれるフィルタ定義である、図１９に示す４行目の定義と図２０に示す１０行目の定義とは不要となる。そこで、本実施形態のフィルタ定義設定プログラム５０９は、フィルタ定義ログ情報５１０を参照し、以前に設定した定義のうち、不要となった定義を削除する処理を実施する。

以上の手順にて、本実施形態では、iSCSI通信特有の制限を反映したフィルタ設定をIPネットワーク上で実現する。これによりiSCSIノード間の、iSCSIレイヤで許可されない通信を、IPレベルで制限することができ、IP-SANのセキュリティレベルを向上することができる。

なお、本実施形態では、フィルタ定義作成プログラム５０８及びフィルタ定義設定プログラム５０９を、管理サーバ５００が保持する構成を例にあげて説明したが、これに限られない。例えば、ホスト１００、１１０やストレージ装置３００、iSNSサーバ４００、通信装置２００、２２０が、これらのプログラムを保持する構成であってもよい。

なお、通信装置２００、２２０がフィルタ定義作成プログラム５０８及びフィルタ定義設定プログラム５０９を保持する構成の場合、フィルタ定義設定プログラム５０９の処理において、自通信装置が保持するインタフェースに関わるフィルタ定義のみを、自通信装置に対して設定するよう構成する。

また、図５に示すDD情報４０９において、３行目に示すレコードおよび５行目に示すレコードのように、同一IPアドレスにてiSCSIイニシエータ（iqn.a.com:str-Ini）とiSCSIターゲット（iqn.a.com:str-LU0）とを兼ねる構成であっても、同様にIPレイヤでのフィルタ定義設定を実現することが可能である。

以上説明したように、本実施形態によれば、iSCSI通信特有の制限を反映したフィルタ設定をIPネットワーク上で実現することができる。従って、本実施形態によれば、iSCSI通信で許可されない不正な通信を、IPレベルで制限することを実現できる。

＜＜第二の実施形態＞＞
第一の実施形態では、通信装置にフィルタ設定を行い、iSCSIイニシエータおよびiSCSIターゲット間の通信をIPレベルで制御する。本実施形態では、iSNSサーバ４００からiSCSIノードへ送信されるメッセージであるSCN（State Change Notification）及びESI（Entity Status Inquiry）に対して、IPネットワーク上でフィルタ設定を行う場合を説明する。

SCNは、本システム内のiSCSIノードの構成、すなわち、DD情報４０９に変更があった場合、その変更をiSCSIノードへ通知するためにiSNSサーバ４００からiSCSIノードへ送信されるメッセージである。また、ESIは、iSNSサーバ４００が発行する、iSCSIノードの生死監視用パケットである。SCN及びESIの送受信は、特定のTCPポートを介して実施される。具体的には、それぞれ、図５に示すSCN Port、ESI Portを用いてやり取りされる。

すなわち、本実施形態では、iSNSサーバ４００からiSCSIノードに送信されるIPパケットに対するIPレベルでのフィルタ設定の手法について説明する。

以下、SCNに対するフィルタ設定を例にあげ、手順を説明する。ESIについても同様の手順にて実現可能である。

本実施形態のシステム構成は、第一の実施形態と基本的に同様である。ただし、管理サーバ５００は、フィルタ定義作成プログラム５０８の代わりに、フィルタ定義作成プログラム５０８−２を備える。

フィルタ定義作成プログラム５０８−２は、以下の手順により、フィルタ定義テーブル５１１を生成する。なお、以下において、図５に示すDD情報４０９を用いて処理を行う場合を例に挙げて説明する。

図２３は、本実施形態における、フィルタ定義作成プログラム５０８−２によるフィルタ定義テーブル５１１作成の手順である。

フィルタ定義作成プログラム５０８−２は、iSNSサーバ４００からDD情報４０９を取得する（ステップ５２０１）。

カウンタｎ（ｎは自然数）を１に設定する（ステップ５２０２）
フィルタ定義作成プログラム５０８−２は、送信元IPアドレス５１１ｂを、予め保持するiSNSサーバ４００のIPアドレス（ここでは、192.168.9.1となる）、送信先IPアドレス５１１ｄを、DD情報４０９のn行目のレコードのPortal IP Address４０９ｅ、送信先ポート５１１ｅをDD情報４０９のn行目のレコードのSCN Port４０９ｇ（ESIの場合は、ESI Port４０９ｈ）とするフィルタ定義を作成し、フィルタ定義テーブル５１１に追加する（ステップ５２０３）。なお、iSNSサーバ４００のIPアドレスは、予め管理者端末８００などを介して設定される。なお、ステップ５２０３において作成するフィルタ定義において、送信元ポート５１１ｃは、特に限定されないため、ａｎｙが設定される。

次に、フィルタ定義作成プログラム５０８−２は、nの値に１を加え、nがDD情報４０９のレコード数を超過するかをチェックする（ステップ５２０４）。超過しない場合、ステップ５２０３に戻り、先に述べた処理を繰り返す。

超過した場合、管理サーバ５００は、フィルタ定義作成プログラム５０８−２を終了する。

以上の処理により、フィルタ定義作成プログラム５０８−２により作成されたフィルタ定義テーブル５１１の一例を、図２４に示す。

管理サーバ５００は、以上の手順でフィルタ定義テーブル５１１が生成されると、次に、フィルタ定義設定プログラム５０９により、対象の通信装置に対して、Config情報２０９の設定を行う。

フィルタ定義設定プログラム５０９による処理は、第一の実施形態と同様である。本実施形態のフィルタ定義設定プログラム５０９により、作成されたConfig情報２０９、２２９の一例を、それぞれ図２５および図２６に示す。これらは、それぞれ、対象の通信装置である２００、２２０に設定される。

以上の手順にて、iSCSI通信特有の制限を反映したフィルタ設定を、IPネットワーク上で実現する。これによりｉSNSサーバ４００とiSCSIノードとの間の許可されていないIP通信を制限することができ、IP-SANのセキュリティレベルを向上することができる。

なお、本実施形態では、フィルタ定義作成プログラム５０８−２及びフィルタ定義設定プログラム５０９を、管理サーバ５００が持つ構成を例にあげて説明したが、これに限られない。例えば、ホスト１００、１１０やストレージ装置３００、iSNSサーバ４００、通信装置２００、２２０が、これらのプログラムを保持する構成であってもよい。

なお、通信装置２００、２２０がフィルタ定義作成プログラム５０８−２及びフィルタ定義設定プログラム５０９を保持する構成の場合、フィルタ定義設定プログラム５０９の処理において、自通信装置が保持するインタフェースに関わるフィルタ定義のみを、自通信装置に対して設定するよう構成する。

＜＜第三の実施形態＞＞
上記の各実施形態では、iSNSサーバ４００が持つDD情報４０９を基に、フィルタ定義テーブル５１１を生成し、Config情報を作成していたが、本実施形態では、DD情報４０９の代わりに、ストレージ装置３００が持つパス定義情報３１３を用い、上記処理を実現する。

本実施形態のストレージエリアネットワーク全体の構成を示すシステム構成図を図２７に示す。

本図に示すように、本実施形態では、上記各実施形態の場合のシステム構成と異なり、iSNSサーバ４００を必要としない。他の同符号の構成は、第一の実施形態と同様である。ただし、本実施形態では、管理サーバ５００は、フィルタ定義作成プログラム５０８、５０８−２の代わりに、フィルタ定義作成プログラム５０８−３を備える。そして、フィルタ定義作成プログラム５０８−３は、通信装置２００、２２０を介してストレージ装置３００からパス定義情報３１３を取得し、フィルタ定義テーブル５１１を作成する。

管理サーバ５００は、上記各実施形態同様、作成したフィルタ定義テーブル５１１を用いて、フィルタ定義設定プログラム５０９にて、必要な通信装置に対してIPパケットのフィルタ設定を実施する。

パス定義情報３１３は、iSCSIイニシエータとiSCSIターゲットとの接続関係が記述されているテーブルであり、管理者端末８００を介して、予めストレージ装置３００に設定されるものである。設定の方法はこれに限られない。

図２８に、パス定義情報３１３の一例を示す。本図に示すように、パス定義情報３１３は、通信元のiSCSIイニシエータを識別するiSCSI Name３１３ｂとPortal IP Address３１３ｃ、通信先のiSCSIターゲットを識別するiSCSI Name３１３ｄとPortal IP Address３１３ｅ、Portal TCP/UDP Port３１３ｆ、当該iSCSIターゲットからアクセス可能なLUN（LU Number）３１３ｇを備える。

ストレージ装置３００において、ストレージ制御装置３０１は、このパス定義情報３１３に基づき、iSCSIレイヤレベルでiSCSI通信を制御する。例えば、iqn.a.com:hst-Aからのiqn.a.com:str-LU1へのアクセスは、iSCSI Name３１３ｂがiqn.a.com:hst-A で、iSCSI Name３１３ｄがiqn.a.com:str-LU1を満たすレコードがないため、iSCSIログイン認証で許可しない、等の制御を行う。

次に、フィルタ定義作成プログラム５０８−３によって、取得したパス定義情報３１３から、IPレイヤのフィルタ定義、すなわち、送信元をiSCSIイニシエータのIPアドレス、送信先をiSCSIターゲットのIPアドレス及びTCP/UDPポート番号としたフィルタ定義を格納したフィルタ定義テーブル５１１を作成する手順について、説明する。ここでは、図２８に示すパス定義情報３１３を用いて処理を行う場合を例にあげて説明する。

図２９は、本実施形態における、フィルタ定義作成プログラム５０８−３によるフィルタ定義テーブル５１１作成の手順である。

フィルタ定義作成プログラム５０８−３は、ストレージ装置３００からパス定義情報３１３を取得する（ステップ５３０１）。パス定義情報３１３の取得は例えばSNMP Trap等の既存技術にて実現することが可能である。

カウンタｎ（ｎは自然数）を１に設定する（ステップ５３０２）。

フィルタ定義作成プログラム５０８−３は、取得したパス定義情報３１３のn行目のレコードについて、送信元IPアドレス５１１ｂをiSCSIイニシエータのIPアドレス、送信先IPアドレス５１１ｄをiSCSIターゲットのIPアドレス、送信先ポート５１１ｅをTCP/UDPポート番号とするフィルタ定義を作成し、フィルタ定義テーブル５１１に追加する（ステップ５３０３）。なお、ステップ５２０３において作成するフィルタ定義において、送信元ポート５１１ｃは、特に限定されないため、ａｎｙが設定される。

ここでは、パス定義情報３１３の、１行目のレコードを用い、Initiatorを示すフィールドのPortal IP Addressを送信元、Targetを示すフィールドのPortal IP AddressとPortal TCP/UDP Portを送信先とした、フィルタ定義テーブル５１１を作成する。この場合に作成されるフィルタ定義テーブルの例を図１６に示す。

次に、フィルタ定義作成プログラム５０８−３は、nの値に１を加え、nがパス定義情報３１３のレコード数を超過するかをチェックする（ステップ５３０４）。超過しない場合、ステップ５３０３に戻り、先に述べた処理を繰り返す。

超過した場合、管理サーバ５００は、フィルタ定義作成プログラム５０８−３を終了する。

以上の処理により、フィルタ定義作成プログラム５０８−３は、フィルタ定義テーブル５１１を作成する。ここで作成されるフィルタ定義テーブル５１１は、第一の実施形態の図１２に示すものと同様である。

管理サーバ５００は、以上の手順でフィルタ定義テーブル５１１を作成すると、フィルタ定義設定プログラム５０９により、対象の通信装置に対して、Config情報を設定する。

フィルタ定義設定プログラム５０９による処理は、第一の実施形態と同様である。ここで作成されるConfig情報２０９、２２９は、それぞれ、第一の実施形態の図２１、図２２に示すものと同様である。これらは、それぞれ、対象の通信装置である２００、２２０に設定される。

以上の手順にて、本実施形態によれば、iSNSサーバなしに、iSCSI通信特有の制限を反映したフィルタ設定をIPネットワーク上で実現する。これによりiSCSIノード間で許可されていない通信をIPレイヤレベルで制限することができ、IP-SANのセキュリティレベルを向上することができる。

なお、本実施形態では、ストレージ装置３００が、パス定義情報３１３を持つ構成を例にあげて説明したが、これに限られない。管理サーバ５００、ホスト１００、１１０がパス定義情報３１３を持つ構成であっても、同様に実現することができる。なお、ホスト１００、１１０がパス定義情報３１３を持つ場合、ホストに、それぞれ自装置に係るパス定義情報のみを有する。

また、本実施形態では、フィルタ定義作成プログラム５０８−３及びフィルタ定義設定プログラム５０９を、管理サーバ５００が持つ構成を例にあげて説明したが、これに限られない。例えば、ホスト１００、１１０やストレージ装置３００、通信装置２００、２２０が、これらのプログラムを持つ構成であってもよい。

なお、通信装置２００、２２０がフィルタ定義作成プログラム５０８−３及びフィルタ定義設定プログラム５０９を持つ場合、フィルタ定義設定プログラム５０９の処理において、自通信装置が保持するインタフェースに関わるフィルタ定義のみを、自通信装置に対して設定するよう構成する。

図１は、第一の実施形態のシステム構成図である。 図２は、第一の実施形態のホストの構成図である。 図３は、第一の実施形態のストレージ装置の構成図である。 図４は、第一の実施形態のiSNSサーバの構成図である。 図５は、第一の実施形態のDD情報の一例を示す図である。 図６は、第一の実施形態の通信装置の構成図である。 図７は、第一の実施形態の通信装置に格納されるＭＡＣテーブルの一例を示す図である。 図８は、第一の実施形態の通信装置に格納されるＭＡＣテーブルの一例を示す図である。 図９は、第一の実施形態の通信装置が保持するConfig情報の一例を示す図である。 図１０は、第一の実施形態の通信装置が保持するConfig情報の一例を示す図である。 図１１は、第一の実施形態の管理サーバの構成図である。 図１２は、第一の実施形態のフィルタ定義テーブルの一例を示す図である。 図１３は、第一の実施形態のフィルタ定義ログ情報の一例を示す図である。 図１４は、第一の実施形態のフィルタ定義作成プログラムによる処理のフローである。 図１５は、第一の実施形態のフィルタ定義仮テーブルの一例を示す図である。 図１６は、第一の実施形態のフィルタ定義作成プログラム実行中に作成されるフィルタ定義テーブルの一例である。 図１７は、第一の実施形態のフィルタ定義仮テーブルの一例を示す図である。 図１８は、第一の実施形態のフィルタ定義設定プログラムによる処理のフローである。 図１９は、第一の実施形態のフィルタ定義作成処理Ａの処理のフローである。 図２０は、第一の実施形態のフィルタ定義作成処理Ｂの処理のフローである。 図２１は、第一の実施形態のConfig情報の一例を示す図である。 図２２は、第一の実施形態のConfig情報の一例を示す図である。 図２３は、第二の実施形態のフィルタ定義作成プログラムによる処理のフローである。 図２４は、第二の実施形態のフィルタ定義テーブルの一例を示す図である。 図２５は、第二の実施形態のConfig情報の一例を示す図である。 図２６は、第二の実施形態のConfig情報の一例を示す図である。 図２７は、第三の実施形態のシステム構成図である。 図２８は、第三の実施形態のパス定義情報の一例を示す図である。 図２９は、第三の実施形態のフィルタ定義作成プログラムによる処理のフローである。

符号の説明

１００：ホスト、 １０１：処理部、 １０２：記憶部、 １０３：ネットワーク通信装置、 １０４：入力装置、 １０５：出力装置、 １０６：バス、 １０７：OSプログラム、 １０８：通信制御プログラム、 １１０：ホスト、 ２００：通信装置、 ２０１：処理部、 ２０２：記憶部、 ２０３〜２０６：ネットワーク通信装置、 ２０７：バス、 ２０８：パケット転送制御プログラム、 ２０９：Config情報、 ２１０：MACテーブル、 ２２０：通信装置、 ２２９：Config情報、 ２３０：MACテーブル、 ３００：ストレージ装置、 ３０１：ストレージ制御装置、 ３０２：処理部、 ３０３：記憶部、 ３０４〜３０５：ネットワーク通信装置、 ３０６：ストレージ接続装置、 ３０７：バス、 ３０８：物理ディスク群、 ３０９：バス、 ３１０〜３１１：ボリューム、 ３１２：ストレージ制御プログラム、 ３１３：パス定義情報、 ４００：iSNSサーバ、 ４０１：処理部、 ４０２：記憶部、 ４０３：ネットワーク通信装置、 ４０４：入力装置、 ４０５：出力装置、 ４０６：バス、 ４０７：OSプログラム、 ４０８：iSNSプログラム、 ４０９：DD情報、 ５００：管理サーバ、 ５０１：処理部、 ５０２：記憶部、 ５０３：ネットワーク通信装置、 ５０４：入力装置、 ５０５：出力装置、 ５０６：バス、 ５０７：OSプログラム、 ５０８：フィルタ定義作成プログラム、 ５０９：フィルタ定義設定プログラム、 ５１０：フィルタ定義ログ情報、 ５１１：フィルタ定義テーブル、 ５１１１：フィルタ定義仮テーブル、

Claims (5)

1. それぞれ通信装置を介してIPネットワークに接続し、互いにiSCSI（Internet Small Computer Interface）通信を行うiSCSIノード群を備えるストレージエリアネットワークであって、前記iSCSI通信が許可されるiSCSIノードの組み合わせが予め定められているストレージエリアネットワークにおける、各iSCSIノード間で送受信されるIPパケットを、前記各通信装置内でフィルタリングするフィルタ定義の作成および設定を行うフィルタ定義管理方法であって、
   前記iSCSI通信が許可されるiSCSIノードの組み合わせそれぞれの、iSCSIイニシエータ側のiSCSIノードに割り当てられたIPアドレスと、iSCSIターゲット側のiSCSIノードに割り当てられたIPアドレスとポート番号とを対応づけて管理する管理情報を、iSCSIターゲットとなるストレージ装置から取得する管理情報取得ステップと、
   前記組み合わせ毎に、前記iSCSIイニシエータ側に割り当てられた前記IPアドレスを送信元IPアドレスとし、前記iSCSIターゲット側に割り当てられた前記IPアドレスおよび前記ポート番号を、送信先IPアドレスおよびポート番号とするフィルタ定義を作成するフィルタ定義作成ステップと、
   前記送信元IPアドレスをインタフェースに有する通信装置と、前記送信先IPアドレスをインタフェースに有する通信装置のそれぞれに対して、作成された前記フィルタ定義に基づくフィルタリングを行うフィルタ定義設定ステップと、を備えること
   を特徴とするフィルタ定義管理方法。
2. 請求項１に記載のフィルタ定義管理方法であって、
   前記フィルタ定義設定ステップでは、
   前記送信元IPアドレスをMAC（Media Access Control）アドレスと対応づけて管理している通信装置であって当該送信元IPアドレスが割り当てられている前記iSCSIノードに論理構成上最も近い前記通信装置に、前記作成したフィルタ定義を設定し、前記送信先IPアドレスをMAC（Media Access Control）アドレスと対応づけて管理している通信装置であって当該送信先IPアドレスが割り当てられている前記iSCSIノードに論理構成上最も近い前記通信装置に、前記作成したフィルタ定義の送信先と送信元とを逆にしたフィルタ定義を設定すること
   を特徴とするフィルタ定義管理方法。
3. それぞれ通信装置を介してIPネットワークに接続し、互いにiSCSI（Internet Small Computer Interface）通信を行うiSCSIノード群を備えるストレージエリアネットワークであって、前記iSCSI通信が許可されるiSCSIノードの組み合わせが予め定められているストレージエリアネットワークにおける、各iSCSIノード間で送受信されるIPパケットを、前記各通信装置内でフィルタリングするフィルタ定義の作成および設定を行うフィルタ定義管理装置であって、
   前記iSCSI通信が許可されるiSCSIノードの組み合わせそれぞれの、iSCSIイニシエータ側のiSCSIノードに割り当てられたIPアドレスと、iSCSIターゲット側のiSCSIノードに割り当てられたIPアドレスとポート番号とを対応づけて管理する管理情報を、iSCSIターゲットとなるストレージ装置から取得する管理情報取得手段と、
   前記組み合わせ毎に、前記iSCSIイニシエータ側に割り当てられた前記IPアドレスを送信元IPアドレスとし、前記iSCSIターゲット側に割り当てられた前記IPアドレスおよび前記ポート番号を、送信先IPアドレスおよびポート番号とするフィルタ定義を作成するフィルタ定義作成手段と、
   前記送信元IPアドレスをインタフェースに有する通信装置と、前記送信先IPアドレスをインタフェースに有する通信装置のそれぞれに対して、作成された前記フィルタ定義に基づくフィルタリングを行うフィルタ定義設定手段と、を備えること
   を特徴とするフィルタ定義管理装置。
4. 請求項３に記載のフィルタ定義管理装置であって、
   前記フィルタ定義設定手段は、
   前記送信元IPアドレスをMAC（Media Access Control）アドレスと対応づけて管理している通信装置であって当該送信元IPアドレスが割り当てられている前記iSCSIノードに論理構成上最も近い前記通信装置に、前記作成したフィルタ定義を設定し、前記送信先IPアドレスをMAC（Media Access Control）アドレスと対応づけて管理している通信装置であって当該送信先IPアドレスが割り当てられている前記iSCSIノードに論理構成上最も近い前記通信装置に、前記作成したフィルタ定義の送信先と送信元とを逆にしたフィルタ定義を設定すること
   を特徴とするフィルタ定義管理装置。
5. iSCSIイニシエータとなるホストと、iSCSIターゲットとなるストレージ装置と、管理サーバと、前記ホストに接続される第一の通信装置と、前記ストレージ装置に接続される第二の通信装置とを備え、それぞれがIPネットワークで接続されるストレージエリアネットワークであって、
   前記ホストは前記第一の通信装置および前記第二の通信装置を介して前記ストレージ装置にアクセスし、
   前記管理サーバは、
   前記iSCSI通信が許可されるiSCSIノードの組み合わせそれぞれの、iSCSIイニシエータ側のiSCSIノードに割り当てられたIPアドレスと、iSCSIターゲット側のiSCSIノードに割り当てられたIPアドレスとポート番号とを対応づけて管理する管理情報を、iSCSIターゲットとなるストレージ装置から取得する管理情報取得手段と、
   前記組み合わせ毎に、前記iSCSIイニシエータ側に割り当てられた前記IPアドレスを送信元IPアドレスとし、前記iSCSIターゲット側に割り当てられた前記IPアドレスおよび前記ポート番号を、送信先IPアドレスおよびポート番号とするフィルタ定義を作成するフィルタ定義作成手段と、
   前記第一の通信装置または前記第二の通信装置のいずれかの通信装置であって、前記送信元IPアドレスをMAC（Media Access Control）アドレスと対応づけて管理している通信装置であって当該送信元IPアドレスが割り当てられている前記iSCSIノードに論理構成上最も近い前記通信装置に、前記作成したフィルタ定義を設定し、前記送信先IPアドレスをMAC（Media Access Control）アドレスと対応づけて管理している通信装置であって当該送信先IPアドレスが割り当てられている前記iSCSIノードに論理構成上最も近い前記通信装置に、前記作成したフィルタ定義の送信先と送信元とを逆にしたフィルタ定義を設定するフィルタ定義設定手段と、を備えること
   を特徴とするストレージエリアネットワーク。

Images