JP6191259B2

JP6191259B2 - ネットワーク分離方法及びネットワーク分離装置

Info

Publication number: JP6191259B2
Application number: JP2013123168A
Authority: JP
Inventors: 智之曾根; 一峰的場
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2013-06-11
Filing date: 2013-06-11
Publication date: 2017-09-06
Anticipated expiration: 2033-06-11
Also published as: US9473401B2; JP2014241511A; US20140362866A1

Description

この発明は、ネットワーク間の通信を中継する中継装置に関する。

サービスゲートウェイは、異なるプロトコルを持つ通信網を接続する中継装置である。中継装置は、例えば、ＬＡＮ（ＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）とＷＡＮ（ＷｉｄｅＡｒｅａＮｅｔｗｏｒｋ）とを接続し、ＬＡＮ側又はＷＡＮ側のネットワークから受信したパケットをパケットの宛先の装置が含まれるネットワークに中継する。ＬＡＮは、例えば、企業のオフィスなどに設置されたネットワークである。一方、ＷＡＮ側は、インターネット環境とすることができる。中継装置は、ＬＡＮ中の装置がインターネットを介してデータ通信をするために用いられる。企業のネットワークでは、外部からの不正なアクセスを防止するためのファイヤーウォールなどのセキュリティが設定されている。ファイヤーウォールの設定をすることで、外部からの不正なアクセスを防止することができる。

関連する技術として、ＷＡＮ側のネットワークから不正アクセスがあった場合に、中継装置がＷＡＮ側の回線を切断することで、セキュリティを高める技術が知られている（例えば特許文献１参照）。

特開平１１−２２５１５４号公報

上述した背景技術では以下のような問題がある。
外部からの不正なアクセスを防止するためのファイヤーウォールなどのセキュリティを設定する一方で、企業では、社員や企業の了承を得て企業のネットワークにアクセスが可能なユーザからのアクセスを、ファイヤーウォールでブロックしないように設定する。この設定において、企業側が、ファイヤーウォールでブロックしないユーザを間違えて設定した場合、予期せぬユーザが企業のネットワークにアクセスができる状態となってしまう。換言すると、中継装置は、企業のネットワークセキュリティで予期せぬ設定がされていると、意図しないパケットが入力された場合、パケットをそのまま流してしまうという問題がある。

１つの側面において、本発明の目的は、中継装置においてセキュリティポリシーに反したパケット通信を防止することである。

第１のネットワークと第２のネットワークの間の通信を中継する装置に、選択部と第１・第２の中継部を動作させる。第１の中継部は、第１のネットワークから第２のネットワーク中の装置宛のパケットを選択部に出力する。第２の中継部は、第２のネットワークから第１のネットワーク中の装置宛のパケットを選択部に出力する。選択部は、第１の中継部から入力されたパケットから選択した第１の中継パケットを、第２の中継部に出力する。第２の中継部は、第２のネットワーク中の装置に関する情報を示す第２のルーティング情報に登録されている装置に第１の中継パケットを中継する。選択部は、第２の中継部から入力されたパケットから選択した第２の中継パケットを、第１の中継部に出力する。第１の中継部は、第１のネットワーク中の装置に関する情報を示す第１のルーティング情報に登録されている装置に第２の中継パケットを中継する。

中継装置において、セキュリティポリシーに反したパケット通信を防止できる。

第１の実施形態に係る中継装置の例を説明する図である。中継装置のハードウェア構成の例を説明する図である。中継装置がＬＡＮ側から受信したパケットを処理するときの動作の例を説明するフローチャートである。中継装置がＷＡＮ側から受信したパケットを処理するときの動作の例を説明するフローチャートである。第２の実施形態に係る中継装置の例を説明する図である。

以下、本実施形態について、図面を参照しながら詳細に説明する。
図１は、第１の実施形態に係る中継装置の例を説明する図である。図１の中継装置１００は、ＬＡＮ側のネットワークとＷＡＮ側のネットワークとを中継する装置である。中継装置１００は、選択部１０１、第１の仮想ルータ１０２、第２の仮想ルータ１０３を有する。選択部１０１は、アプリケーション層で動作するプログラムである。選択部１０１は、第１の仮想ルータ１０２と第２の仮想ルータ１０３に入力されたデータについて中継してもよいかを判定する。選択部は、中継の対象と判定したパケットを選択し、仮想ルータ間の中継処理を行う。第１・第２の仮想ルータは、中継装置１００内に仮想的に作成されたルータであり、ネットワーク層の処理を用いてルーティング処理を行う。第１の仮想ルータ１０２は、ＬＡＮ側とのインターフェースとしてパケットの送受信をする。第２の仮想ルータ１０３は、ＷＡＮ側とのインターフェースとしてパケットの送受信をする。よって、ＬＡＮ側のネットワークから入力されるデータは、第１の仮想ルータ１０２によって受信され、選択部１０１に転送され、その後、中継対象と判定されれば、第２の仮想ルータ１０３からＷＡＮ側のネットワークに送信される。逆に、ＷＡＮ側のネットワークから入力されるデータは、第２の仮想ルータ１０３によって受信され、選択部１０１に転送され、その後、選択部で中継対象に選択されれば、第１の仮想ルータ１０２からＬＡＮ側のネットワークに送信される。中継装置１００を通るデータは、第１及び第２の仮想ルータを有することにより、ＬＡＮ側のネットワークとＷＡＮ側のネットワークとを分離している。なお、選択部１０１も、仮想的に動作する装置であってもよい。

中継装置１００は、例えば、ＳＧＷ（ＳｅｒｖｉｃｅＧａｔｅＷａｙ）であり、選択部１０１では、データ通信のパケットのプロトコル変換などのアプリケーション層で用いられる処理が適宜行われる。選択部１０１は、データを中継する際に、データ通信の宛先及び送り元の情報を抽出する。選択部１０１は、データ通信に対して特定のパターンを持つ宛先や送り元を選択するためのルールである中継ルールを持つ。特定のパターンの宛先や送り元の情報は、中継装置１００に予め登録された、信頼できるアドレスやＩＤなどである。選択部１０１は、信頼できる宛先や送り元を選択し、選択されたデータの中継を行う。一方、選択部１０１は、ルールに該当しないデータはブロックする。

ＬＡＮ側のネットワークからのデータが中継装置１００に入力されると、第１の仮想ルータ１０２がデータを受信する。第１の仮想ルータ１０２が受信したデータは、一旦、ネットワーク層での処理を中断される。第１の仮想ルータ１０２は、受信したデータを選択部１０１に送る。選択部１０１は、中継ルールを用いて、ＷＡＮ側に中継するデータを選択して、選択したデータを第２の仮想ルータ１０３に送る。第２の仮想ルータ１０３は、ネットワーク層の処理を再開し、ＷＡＮ側にデータを出力する。なお、選択部１０１は、ルールに該当しないデータはブロックして、第２の仮想ルータ１０３にデータを送らない。

ＷＡＮ側のネットワークからのデータが中継装置１００に入力されると、第２の仮想ルータ１０３がデータを受信する。第２の仮想ルータ１０３が受信したデータは、一旦、ネットワーク層での処理を中断される。第２の仮想ルータ１０３は、受信したデータを選択部１０１に送る。選択部１０１は、中継ルールを用いてＬＡＮ側に中継するデータを選択して、選択したデータを第１の仮想ルータ１０２に送る。第１の仮想ルータ１０２は、ネットワーク層の処理を再開し、ＬＡＮ側にデータを出力する。なお、選択部１０１は、ルールに該当しないデータはブロックして、第１の仮想ルータ１０２にデータを送らない。このようにすることで、ＬＡＮ，ＷＡＮ側のネットワークが分離され、予期しないデータの流出を防止できる。また、ファイヤーウォールでブロックされていない宛先へのデータ通信であっても、中継装置１００で不正な送信先へのデータ通信を防止できる。

選択部１０１がデータを選択する中継ルールは、宛先や送り元を用いて設定されたルールに限らない。例えば、中継ルールは、暗号化されたデータを選択するルールであってもよい。また、中継ルールは、受信したパケットに個人情報が含まれているかをチェックするものでもよい。中継ルールは、何らかのセキュリティに関する設定であればよい。更に、中継ルールは、複数のルールを併用してもよい。暗号化されたデータを選択するルールを有する選択部１０１は、入力されたデータが暗号化されている場合、中継先の仮想ルータにデータを送るようにする。一方、選択部１０１は、入力されたデータが暗号化されていない場合、中継先の仮想ルータにデータを送らない。次に、個人情報が含まれているかをチェックするルールを有する選択部１０１は、個人情報が含まれている場合、中継先の仮想ルータにデータを送らない。一方、選択部１０１は、個人情報が含まれていない場合に、中継先の仮想ルータにデータを送る。

図２は、中継装置のハードウェア構成の例を説明する図である。中継装置１００は、プロセッサ１１、メモリ１２、バス１３、外部記憶装置１４、ネットワーク接続装置１５を備える。さらにオプションとして、中継装置１００は、入力装置１６、出力装置１７、媒体駆動装置１８を備えても良い。中継装置１００は、例えば、コンピュータなどで実現されることがある。

プロセッサ１１は、Central Processing Unit（ＣＰＵ）を含む任意の処理回路とすることができる。プロセッサ１１は、選択部１０１、第１の仮想ルータ１０２、第２の仮想ルータ１０３として動作する。なお、プロセッサ１１は、例えば、外部記憶装置１４に記憶されたプログラムを実行することができる。メモリ１２は、選択部１０１が受信したパケットを中継する際に、パケットを選択するために用いられる中継ルールを記憶する。メモリ１２は、第１の仮想ルータ及び第２の仮想ルータが有するルーティング情報を保持する。さらに、メモリ１２は、プロセッサ１１の動作により得られたデータや、プロセッサ１１の処理に用いられるデータも、適宜、記憶する。ネットワーク接続装置１５は、他の装置との通信に使用される。

入力装置１６は、例えば、ボタン、キーボード、マウス等として実現され、出力装置１７は、ディスプレイなどとして実現される。バス１３は、プロセッサ１１、メモリ１２、入力装置１６、出力装置１７、外部記憶装置１４、媒体駆動装置１８、ネットワーク接続装置１５の間を相互にデータの受け渡しが行えるように接続する。外部記憶装置１４は、プログラムやデータなどを格納し、格納している情報を、適宜、プロセッサ１１などに提供する。媒体駆動装置１８は、メモリ１２や外部記憶装置１４のデータを可搬記憶媒体１９に出力することができ、また、可搬記憶媒体１９からプログラムやデータ等を読み出すことができる。ここで、可搬記憶媒体１９は、フロッピイディスク、Magneto-Optical（ＭＯ）ディスク、Compact Disc Recordable（ＣＤ−Ｒ）やDigital Versatile Disk Recordable（ＤＶＤ−Ｒ）を含む、持ち運びが可能な任意の記憶媒体とすることができる。

図３は、中継装置がＬＡＮ側から受信したパケットを処理するときの動作の例を説明するフローチャートである。ＬＡＮ側から中継装置１００にデータが入力されると、第１の仮想ルータ１０２がデータを受信する（ステップＳ１０１）。第１の仮想ルータ１０２は、受信したデータを選択部１０１に送る（ステップＳ１０２）。選択部１０１は、第１の仮想ルータ１０２から送られてきたデータのうち、中継ルールに該当するデータを選択する（ステップＳ１０３）。図３の中継装置の例では、選択部１０１の中継ルールは、予め登録されたアドレスである。選択部１０１は、中継ルールで指定されたアドレス宛のデータを選択し、仮想ルータに送る。選択部１０１は、中継したデータを第２の仮想ルータ１０３に送る（ステップ１０４、ステップＳ１０３でＹＥＳ）。第２の仮想ルータ１０３は、選択部１０１から送られてきたデータの宛先アドレスが、ＷＡＮ側の機器に関する情報を記憶したルーティング情報に含まれているかを判定する（ステップＳ１０５）。第２の仮想ルータ１０３は、選択部１０１から送られてきたデータをＷＡＮ側に出力する（ステップＳ１０６）。ステップＳ１０６が終了すると、中継装置は処理を終了する（ステップＳ１０３でＮＯ、ステップＳ１０５でＮＯ）。

図４は、中継装置がＷＡＮ側から受信したパケットを処理するときの動作の例を説明するフローチャートである。ＷＡＮ側から中継装置１００にデータが入力されると、第２の仮想ルータ１０３がデータを受信する（ステップＳ２０１）。第２の仮想ルータ１０３は、受信したデータを選択部１０１に送る（ステップＳ２０２）。選択部１０１は、第２の仮想ルータ１０３から送られてきたデータのうち、設定されたルールに該当するデータを選択する（ステップＳ２０３）。図４の中継装置の例では、選択部１０１の中継ルールは、予め登録されたアドレスである。選択部１０１は、中継ルールで指定されたアドレス宛のデータを選択し、仮想ルータに送る。選択部１０１は、中継したデータを第１の仮想ルータ１０２に送る（ステップ２０４、ステップＳ２０３でＹＥＳ）。第１の仮想ルータ１０２は、選択部１０１から送られてきたデータの宛先アドレスが、ＬＡＮ側の機器に関する情報を記憶したルーティング情報に含まれているかを判定する（ステップＳ２０５）。第１の仮想ルータ１０２は、選択部１０１から送られてきたデータをＬＡＮ側に出力する（ステップＳ２０６）。ステップＳ２０６が終了すると、中継装置は処理を終了する（ステップＳ２０３でＮＯ、ステップＳ２０５でＮＯ）。

以上、説明したように、実施形態にかかる方法では、ＬＡＮ，ＷＡＮ側のネットワークが分離されているため、予期しないデータの流出を防止できる。また、ファイヤーウォールでブロックされていない宛先へのデータ通信であっても、中継装置１００で不正な送信先へのデータ通信を防止できる。

＜その他＞
なお、実施形態は上記に限られるものではなく、様々に変形可能である。以下にその例を述べる。

図５は、第２の実施形態に係る中継装置の例を説明する図である。図５の中継装置２００は、ＬＡＮ側のネットワークとＷＡＮ側のＶＰＮ（ＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ）ネットワークとを中継する装置である。中継装置２００は、選択部２０１、第１の仮想ルータ２０２、第２の仮想ルータ２０３、ＶＰＮ制御部２０５、物理ＩＦ（ＩｎｔｅｒＦａｃｅ）２０４を備える。選択部２０１は、第１の仮想ルータ２０２と第２の仮想ルータ２０３から入力されたデータについて中継してもよいかを判定する。選択部は、中継の対象と判定したパケットを選択し、仮想ルータ間の中継処理を行う。第１・第２の仮想ルータは、中継装置２００内に仮想的に作成されたルータである。物理ＩＦ２０４は、ＬＡＮ側及びＷＡＮ側のネットワークと通信する際に用いられるインターフェースである。第１の仮想ルータ２０２は、物理ＩＦ２０４を介してＬＡＮ側のネットワークとパケットの送受信をする。第１の仮想ルータは、第１のルーティング情報２０６を有する。第１のルーティング情報２０６は、ＬＡＮ側のネットワークに接続されている装置に対応したアドレスや識別用のＩＤを関連付けた情報である。第２の仮想ルータ２０３は、物理ＩＦ２０４を介してＷＡＮ側のネットワークとパケットの送受信をする。ＷＡＮ側のネットワークは、ＶＰＮトンネル２２０によって、トンネルの起点となる起点装置２１０と接続されている。第２の仮想ルータ２０３は、第２のルーティング情報２０８と、ＶＰＮ処理部２０７を備える。第２のルーティング情報２０８は、ＷＡＮ側のネットワークに接続されている装置に対応したアドレスや識別用のＩＤを関連付けた情報である。ＶＰＮ処理部２０７は、ＶＰＮを用いて第２の仮想ルータに送信されてきたパケットを処理する。ＶＰＮ制御部２０５は、ＶＰＮトンネル２２０を起点装置２１０と接続し、処理を制御する。

ＬＡＮ側のネットワークから入力されるデータは、第１の仮想ルータ２０２に渡され、選択部２０１に転送され、その後、中継対象と判定されれば、第２の仮想ルータ２０３からＷＡＮ側のネットワークに送信される。逆に、ＷＡＮ側のネットワークから入力されるデータは、第２の仮想ルータ２０３に渡され、選択部２０１に転送され、その後、選択部２０１で中継対象に選択されれば、第１の仮想ルータ２０２からＬＡＮ側のネットワークに送信される。中継装置２００を通るデータは、第１及び第２の仮想ルータを有することにより、ＬＡＮ側のネットワークとＷＡＮ側のネットワークとを分離している。なお、選択部２０１も、仮想的に動作する装置であってもよい。

ＶＰＮ制御部２０５は、ＶＰＮトンネル２２０を起点装置２１０と中継装置２００との間に設置する。ＶＰＮ制御部２０５は、ＶＰＮトンネル２２０に用いる仮想ＮＩＣ（ＮｅｔｗｏｒｋＩｎｔｅｒｆａｃｅＣａｒｄ）を生成する。ＶＰＮ制御部２０５は、ＶＰＮトンネル２２０の終端となる仮想ＮＩＣにＩＰアドレスを割り当て、仮想ＮＩＣに関連する情報を第２のルーティング情報に登録させる。なお、起点装置２１０が仮想ＮＩＣにＩＰアドレスを割り当ててもよい。起点装置２１０がＩＰアドレスを割り当てると、ＶＰＮ制御部２０５は、起点装置２１０から割り当てたＩＰアドレスの情報を受け取り、第２のルーティング情報に登録する。起点装置２１０がＩＰアドレスを割り当てるネットワークでは、起点装置２１０がＶＰＮトンネルを接続したい旨の要求信号を送信し、要求信号の中にＩＰアドレスを含むようにすればよい。

ＬＡＮ側のネットワークからのデータが中継装置２００に入力されると、第１の仮想ルータ２０２がデータを受信する。第１の仮想ルータ２０２は、受信したデータを選択部２０１に送る。選択部２０１は、中継ルールを用いて、ＷＡＮ側に中継するデータを選択して、選択したデータを第２の仮想ルータ２０３に送る。第２の仮想ルータ２０３では、ＶＰＮ処理部２０７が、ＷＡＮ側にデータを出力するための処理を行う。ＶＰＮ処理部２０７は、仮想ＮＩＣに割り当てられたＩＰアドレスに物理ＩＦ２０４のＩＰアドレスのヘッダを付与する。ＶＰＮ処理部２０７は、仮想ＮＩＣと物理ＩＦ２０４のＩＰアドレスとを選択部２０１で中継されたデータに付与する。その後、第２の仮想ルータ２０３は、起点装置２１０にデータを出力する。なお、選択部２０１は、ルールに該当しないデータはブロックして、第２の仮想ルータ２０３にデータを送らない。

起点装置２１０からＶＰＮトンネル２２０を介して中継装置２００に入力されたデータは、第２の仮想ルータ２０３によって受信される。第２の仮想ルータ２０３のＶＰＮ処理部２０７は、受信したデータの物理ＩＦ２０４のＩＰアドレスのヘッダを削除する。ＶＰＮ処理部２０７は、受信したデータに含まれる仮想ＮＩＣのＩＰアドレスが、第２のルーティング情報に含まれるかを判定する。受信したデータに含まれる仮想ＮＩＣのＩＰアドレスが、第２のルーティング情報に含まれていた場合、第２の仮想ルータ２０３は、仮想ＮＩＣからデータを受け取り、選択部２０１にそのデータを送る。選択部２０１は、中継ルールを用いてＬＡＮ側に中継するデータを選択して、選択したデータを第１の仮想ルータ２０２に送る。第１の仮想ルータ２０２は、ＬＡＮ側にデータを出力する。なお、選択部２０１は、ルールに該当しないデータはブロックして、第１の仮想ルータ２０２にデータを送らない。このようにすることで、ＬＡＮ，ＷＡＮ側のネットワークが分離され、予期しないデータの流出を防止できる。また、ファイヤーウォールでブロックされていない宛先へのデータ通信であっても、中継装置２００で不正な送信先へのデータ通信を防止できる。なお、選択部２０１がデータを選択する中継ルールは、選択部１０１の中継ルールと同じである。

中継装置２００は、中継装置１００と同じハードウェア構成である。プロセッサが選択部２０１、第１の仮想ルータ２０２、第２の仮想ルータ２０３、ＶＰＮ制御部２０５として動作する。メモリ１２は、中継ルール、第１・第２のルーティング情報を保持し、プロセッサ１１の動作により得られたデータや、プロセッサ１１の処理に用いられるデータも、適宜、記憶する。ネットワーク接続装置１５は、物理ＩＦ２０４として動作し、他の装置との通信に使用される。

第２の実施形態に係る中継装置は、ＶＰＮの接続処理を行う。第２の実施形態に係る中継装置がＶＰＮの接続処理を行う際の処理を以下に記載する。ＶＰＮ制御部２０５は、ＶＰＮトンネル２２０に用いる仮想ＮＩＣを生成する。ＶＰＮ制御部２０５は、ＶＰＮトンネル２２０の終端となる仮想ＮＩＣにＩＰアドレスを割り当て、仮想ＮＩＣに関連する情報を第２のルーティング情報に登録させる。ＶＰＮ制御部２０５は、起点装置２１０に、アクセスを許可する装置の情報を通知し、その情報を記憶させる。アクセスを許可する装置とは、運用者が、起点装置２１０を使用してアクセスができるＬＡＮ側のネットワークに属する機器である。これらの動作により、中継装置と起点装置はＶＰＮで接続される。運用者は、起点装置を介してＬＡＮ側の機器にアクセスできる。

次に、第２の実施形態に係る中継装置における、アクセスを許可する装置の情報の通知方法を説明する。まず、ＬＡＮ側のネットワークから機器に関する情報を、第１の仮想ルータ２０２が受信する。第１の仮想ルータ２０２は、受信した情報を選択部２０１に送る。選択部２０１は、中継ルールを用いて、ＷＡＮ側に中継する情報を選択して、選択したデータを第２の仮想ルータ２０３に送る。ＶＰＮ処理部２０７は、第２のルーティング情報にＶＰＮトンネル２２０に対応した仮想ＮＩＣの情報が含まれているかを判定する（ステップＳ４０４）。仮想ＮＩＣに関する情報が第２のルーティングテーブルに含まれていた場合、ＶＰＮ処理部２０７は、仮想ＮＩＣに割り当てられたＩＰアドレスに物理ＩＦ２０４のＩＰアドレスのヘッダを付与する。ＶＰＮ処理部２０７は、仮想ＮＩＣと物理ＩＦ２０４のＩＰアドレスとを選択部２０１で中継された情報に付与する第２の仮想ルータ２０３は、起点装置２１０にアクセスを許可する装置の情報を通知する。なお、アクセスを許可する装置の情報の通知は、定期的に行われるように設定する。

第２の実施形態に係る中継装置における、ＬＡＮ側のネットワークに属する機器へのデータ送信処理の例を説明する。運用者は、データを送信したいＬＡＮ側の機器を指定して入力する。起点装置２１０は、運用者が指定した機器がアクセスを許可された装置かを判定する。起点装置２１０は、指定された機器にアクセスするための中継装置が接続されているかを判定する。起点装置２１０は、指定された機器にアクセスするためのＶＰＮトンネル２２０の終端となる仮想ＮＩＣを特定する。起点装置２１０は、仮想ＮＩＣに割り当てられたＩＰアドレスに物理ＩＦ２０４のＩＰアドレスのヘッダを付与する。起点装置２１０は、仮想ＮＩＣと物理ＩＦ２０４のＩＰアドレスとを送信したいデータに付与する。起点装置２１０は、指定された機器のＩＰアドレスを特定し、送信したいデータに機器のＩＰ情報を付与する。起点装置２１０は、送信したいデータと付与されたデータを中継装置２００に送信する。ステップＳ５０４とＳ５０６での特定処理は、定期的に通知されるアクセスを許可する装置の情報に含まれている情報を用いる。

第２の仮想ルータ２０３は、起点装置２１０から送信されたデータを受信する。第２の仮想ルータ２０３のＶＰＮ処理部２０７は、受信したデータの物理ＩＦ２０４のＩＰアドレスのヘッダを削除する。ＶＰＮ処理部２０７は、受信したデータに含まれる仮想ＮＩＣのＩＰアドレスが、第２のルーティング情報に含まれるかを判定する。第２の仮想ルータ２０３は、仮想ＮＩＣからデータを受け取り、選択部２０１にそのデータを送る。選択部２０１は、中継ルールを用いてＬＡＮ側に中継するデータを選択して、選択したデータを第１の仮想ルータ２０２に送る。第１の仮想ルータ２０２は、ＬＡＮ側の指定された機器にデータを送信する。データ送信処理を終了する。なお、選択部２０１は、ルールに該当しないデータはブロックして、第１の仮想ルータ２０２にデータを送らない。このようにすることで、ＬＡＮ，ＷＡＮ側のネットワークが分離され、予期しないデータの流出を防止できる。また、ファイヤーウォールでブロックされていない宛先へのデータ通信であっても、中継装置２００で不正な送信先へのデータ通信を防止できる。なお、選択部２０１がデータを選択する中継ルールは、選択部１０１の中継ルールと同じである。

１１プロセッサ
１２メモリ
１３バス
１４外部記憶装置
１５ネットワーク接続装置
１６入力装置
１７出力装置
１８媒体駆動装置
１９可搬記憶媒体
１００中継装置
１０１選択部
１０２第１の仮想ルータ
１０３第２の仮想ルータ
２００中継装置
２０１選択部
２０２第１の仮想ルータ
２０３第２の仮想ルータ
２０４物理ＩＦ
２０５ＶＰＮ制御部
２０６第１のルーティング情報
２０７ＶＰＮ処理部
２０８第２のルーティング情報
２１０起点装置
２２０ＶＰＮトンネル

Claims

第１のネットワークと第２のネットワークとの間の通信を中継する中継装置において使用されるネットワーク分離方法であって、
前記第１のネットワークに接続された装置に関する情報を示す第１のルーティング情報を有する第１の中継部は、ネットワーク層での処理を中断した後に、前記第１のネットワークから前記第２のネットワーク中の装置宛のパケットを選択部に出力し、
前記第２のネットワークに接続された装置に関する情報を示す第２のルーティング情報を有する第２の中継部は、ネットワーク層での処理を中断した後に、前記第２のネットワークから前記第１のネットワーク中の装置宛のパケットを前記選択部に出力し、
前記選択部は、前記第１の中継部から入力されたパケットから、予め作成されたアプリケーション層の中継ルールに該当する第１の中継パケットを選択して前記第２の中継部に出力し、
前記第２の中継部は、前記第１の中継パケットを前記第２のルーティング情報に登録されている装置に中継し、
前記選択部は、前記第２の中継部から入力されたパケットから、前記中継ルールに該当する第２の中継パケットを選択して前記第１の中継部に出力し、
前記第１の中継部は、前記第２の中継パケットを前記第１のルーティング情報に登録されている装置に中継する
ことを特徴とするネットワーク分離方法。
前記選択部は、前記中継ルールに従って、
予め登録されたアドレスを含むパケット、暗号化されたパケット、個人情報が含まれていないパケットのうち、少なくとも１つを通過させる
ことを特徴とする請求項１記載のネットワーク分離方法。
前記中継装置は、前記第２のネットワークに属し、かつＶＰＮ（ＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ）の起点となる起点装置と前記第２の中継部との間をＶＰＮで接続し、
前記第２の中継部は、前記起点装置から前記第１のネットワーク宛のパケットを受信すると、受信パケットを前記選択部に出力する
ことを特徴とする請求項１記載のネットワーク分離方法。
第１のネットワークと第２のネットワークの間を中継するパケットを選択する選択部と、
前記第１のネットワークに接続された装置に関する情報を示す第１のルーティング情報を備え、ネットワーク層での処理を中断した後に、前記第１のネットワークから前記第２のネットワーク中の装置宛のパケットを前記選択部に出力する第１の中継部と、
前記第２のネットワークに接続された装置に関する情報を示す第２のルーティング情報を備え、ネットワーク層での処理を中断した後に、前記第２のネットワークから前記第１のネットワーク中の装置宛のパケットを前記選択部に出力する第２の中継部と、を備え、
前記選択部は、アプリケーション層の中継ルールを保持し、前記第１の中継部から入力されたパケットから前記中継ルールに該当する第１の中継パケットを選択し、前記第１の中継パケットを、前記第２の中継部に出力し、
前記第２の中継部は、前記第１の中継パケットを前記第２のルーティング情報に登録されている装置に中継し、
前記選択部は、前記第２の中継部から入力されたパケットから前記中継ルールに該当する第２の中継パケットを選択し、前記第２の中継パケットを、前記第１の中継部に出力し、
前記第１の中継部は、前記第２の中継パケットを前記第１のルーティング情報に登録されている装置に中継する
ことを特徴とするネットワーク分離装置。
前記選択部は、前記中継ルールに従って、
予め登録されたアドレスを含むパケット、暗号化されたパケット、個人情報が含まれていないパケットのうち、少なくとも１つを通過させる
ことを特徴とする請求項４記載のネットワーク分離装置。