| 【発明の名称】 |
ネットワーク接続装置及び同装置に適用されるファイアウォール制御プログラムを記憶したコンピュータ読み取り可能な記憶媒体 |
| 【発明者】 |
【氏名】平山 秀昭
|
| 【要約】 |
【課題】インターネット環境においてＣ／Ｓ型のアプリケーションを、安全に運用できるようにする。
【解決手段】コネクション許可設定部４２は、ネットワーク接続装置が属するネットワークセグメント上のクライアント側ノードから当該ノードのＩＰアドレスとポート番号とを含むコネクション許可設定要求Ｒ１を受けて、そのＩＰアドレスとポート番号を含む情報をテーブル４１に登録する。コネクション要求処理部４７は、任意のネットワークセグメント上のサーバ側ノードからターゲットとなるノードアドレスとポート番号を含む他のネットワークセグメントへのコネクション要求Ｒ２を受けて、その要求中のノードアドレスとポート番号との組を含む情報がテーブル４１に存在するか否かをコネクション許可判定部４３を用いて判定し、存在するときはその要求を許可し、当該テーブル４１上の情報を無効化する。 |
【特許請求の範囲】
【請求項１】 少なくとも１つのノードが接続されたネットワークセグメントを複数有するコンピュータネットワークシステム内に前記各ネットワークセグメント毎に設けられ、当該ネットワークセグメントと他のネットワークセグメントとの間を接続するネットワーク接続装置において、コネクション要求先のノードアドレスとポート番号とを含むコネクション許可情報を保持するコネクション許可情報保持手段と、前記ネットワーク接続装置が属する前記ネットワークセグメント上のクライアント側ノードから与えられる当該ノードのノードアドレスとポート番号とを含むコネクション許可設定要求を受けて、当該ノードアドレスとポート番号とにより特定されるポートへのコネクションを許可するための当該ノードアドレスとポート番号とを含むコネクション許可情報を前記コネクション許可情報保持手段に設定するコネクション許可設定手段と、任意のネットワークセグメント上のサーバ側ノードから与えられるターゲットとなるノードアドレスとポート番号とを含む他のネットワークセグメントへのコネクション要求を受け、当該要求中の前記ノードアドレスとポート番号との組を含む前記コネクション許可情報が前記コネクション許可情報保持手段に存在するか否かを判定し、存在すると判定した場合には前記コネクション要求を許可し、存在しないと判定した場合には前記コネクション要求を拒絶するコネクション要求処理手段と、前記コネクション要求処理手段によって前記コネクション要求が許可される際に、当該コネクション要求中の前記ノードアドレスとポート番号との組を含む前記コネクション許可情報保持手段上の前記コネクション許可情報を無効化するコネクション許可取消手段とを具備することを特徴とするネットワーク接続装置。
【請求項２】 少なくとも１つのノードが接続されたネットワークセグメントを複数有するコンピュータネットワークシステム内に前記各ネットワークセグメント毎に設けられ、当該ネットワークセグメントと他のネットワークセグメントとの間を接続するネットワーク接続装置において、コネクション要求先のノードアドレスとポート番号とタイムアウト時刻とを含むコネクション許可情報を保持するコネクション許可情報保持手段と、前記ネットワーク接続装置が属する前記ネットワークセグメント上のクライアント側ノードから与えられる当該ノードのノードアドレスとポート番号とを含むコネクション許可設定要求を受けて、当該ノードアドレスとポート番号とにより特定されるポートへのコネクションを許可するための当該ノードアドレスとポート番号とタイムアウト時刻とを含むコネクション許可情報を前記コネクション許可情報保持手段に設定するコネクション許可設定手段と、任意のネットワークセグメント上のサーバ側ノードから与えられるターゲットとなるノードアドレスとポート番号とを含む他のネットワークセグメントへのコネクション要求を受け、当該要求中の前記ノードアドレスとポート番号との組を含む前記コネクション許可情報が前記コネクション許可情報保持手段に存在するか否かを判定し、存在すると判定した場合には前記コネクション要求を許可し、存在しないと判定した場合には前記コネクション要求を拒絶するコネクション要求処理手段と、前記コネクション許可情報保持手段を定期的に探索し、当該コネクション許可情報保持手段に保持されている前記コネクション許可情報のうち前記タイムアウト時刻を経過したコネクション許可情報を無効化するコネクション許可定期取消手段とを具備することを特徴とするネットワーク接続装置。
【請求項３】 少なくとも１つのノードが接続されたネットワークセグメントを複数有するコンピュータネットワークシステム内に前記各ネットワークセグメント毎に設けられ、当該ネットワークセグメントと他のネットワークセグメントとの間を接続するネットワーク接続装置において、コネクション要求先のノードアドレスとポート番号とタイムアウト時刻とを含むコネクション許可情報を保持するコネクション許可情報保持手段と、前記ネットワーク接続装置が属する前記ネットワークセグメント上のクライアント側ノードから与えられる当該ノードのノードアドレスとポート番号とを含むコネクション許可設定要求を受けて、当該ノードアドレスとポート番号とにより特定されるポートへのコネクションを許可するための当該ノードアドレスとポート番号とタイムアウト時刻とを含むコネクション許可情報を前記コネクション許可情報保持手段に設定するコネクション許可設定手段と、任意のネットワークセグメント上のサーバ側ノードから与えられるターゲットとなるノードアドレスとポート番号とを含む他のネットワークセグメントへのコネクション要求を受け、当該要求中の前記ノードアドレスとポート番号との組を含む前記コネクション許可情報が前記コネクション許可情報保持手段に存在するか否かを判定し、存在すると判定した場合には前記コネクション要求を許可し、存在しないと判定した場合には前記コネクション要求を拒絶するコネクション要求処理手段と、前記コネクション要求処理手段によって前記コネクション要求が許可される際に、当該コネクション要求中の前記ノードアドレスとポート番号との組を含む前記コネクション許可情報保持手段上の前記コネクション許可情報を無効化するコネクション許可取消手段と、前記コネクション許可情報保持手段を定期的に探索し、当該コネクション許可情報保持手段に保持されている前記コネクション許可情報のうちタイムアウト時刻を経過したコネクション許可情報を無効化するコネクション許可定期取消手段とを具備することを特徴とするネットワーク接続装置。
【請求項４】 前記コネクション要求処理手段により前記コネクション要求が許可された結果コネクションが確立された経路上の通信は全て許可する手段を更に具備することを特徴とする請求項１乃至請求項３のいずれかに記載のネットワーク接続装置。
【請求項５】 前記コネクション要求処理手段により前記コネクション要求が許可された結果コネクションが確立された経路上のコネクション要求以外の通信は全て許可する手段を更に具備することを特徴とする請求項１乃至請求項３のいずれかに記載のネットワーク接続装置。
【請求項６】 前記コネクション許可設定要求、前記コネクション要求及び前記コネクション許可情報は、前記コネクション許可設定要求に対しては要求元となり前記コネクション要求に対しては要求先となるノードのノードアドレスとポート番号とに加えて、前記コネクション要求の要求元ノードのノードアドレスを含んでおり、前記コネクション要求処理手段は、前記コネクション要求を受けた場合、当該コネクション要求中の前記コネクション要求先のノードアドレスとポート番号及び前記コネクション要求元のノードアドレスを含む前記コネクション許可情報が前記コネクション許可情報保持手段に存在することをもって、前記コネクション要求を許可することを特徴とする請求項１乃至請求項３のいずれかに記載のネットワーク接続装置。
【請求項７】 前記コネクション要求処理手段は、前記コネクション要求処理手段によって前記コネクション要求が許可された時点から一定時間内に、当該コネクション要求と要求先のノードアドレスとポート番号とが同一のコネクション要求が到来した場合、当該到来したコネクション要求を拒絶すると共に、現在設定されている当該ノードアドレスとポート番号とにより特定されるポートへのコネクションを切断することを特徴とする請求項１乃至請求項３のいずれかに記載のネットワーク接続装置。
【請求項８】 前記コネクション要求処理手段は、前記コネクション要求処理手段によって前記コネクション要求が許可された結果、当該コネクション要求の要求先のノードアドレスとポート番号とにより特定されるポートとの間にコネクションが設定されている状態で、当該コネクション要求と要求先のノードアドレスとポート番号とが同一のコネクション要求が到来した場合、当該到来したコネクション要求を拒絶すると共に、当該設定されているコネクションを切断することを特徴とする請求項１乃至請求項３のいずれかに記載のネットワーク接続装置。
【請求項９】 少なくとも１つのノードが接続されたネットワークセグメントを複数有するコンピュータネットワークシステム内に前記各ネットワークセグメント毎に設けられ、当該ネットワークセグメントと他のネットワークセグメントとの間を接続するネットワーク接続装置において、データ通信要求要求先のノードアドレスとポート番号とを含むデータ通信許可情報を保持するデータ通信許可情報保持手段と、前記ネットワーク接続装置が属する前記ネットワークセグメント上のクライアント側ノードから与えられる当該ノードのノードアドレスとポート番号とを含むデータ通信許可設定要求を受けて、当該ノードアドレスとポート番号とにより特定されるポートへのデータ通信を許可するための当該ノードアドレスとポート番号とを含むデータ通信許可情報を前記データ通信許可情報保持手段に設定するデータ通信許可設定手段と、任意のネットワークセグメント上のサーバ側ノードから与えられるターゲットとなるノードアドレスとポート番号とを含む他のネットワークセグメントへのデータ通信要求を受け、当該要求中の前記ノードアドレスとポート番号との組を含む前記データ通信許可情報が前記データ通信許可情報保持手段に存在するか否かを判定し、存在すると判定した場合には前記データ通信要求を許可し、存在しないと判定した場合には前記データ通信要求を拒絶するデータ通信要求処理手段と、前記データ通信要求処理手段によって前記データ通信要求が許可される際に、当該データ通信要求中の前記ノードアドレスとポート番号との組を含む前記データ通信許可情報保持手段上の前記データ通信許可情報を無効化するデータ通信許可取消手段とを具備することを特徴とするネットワーク接続装置。
【請求項１０】少なくとも１つのノードが接続されたネットワークセグメントを複数有するコンピュータネットワークシステム内に前記各ネットワークセグメント毎に設けられ、当該ネットワークセグメントと他のネットワークセグメントとの間を接続するネットワーク接続装置において、データ通信要求先のノードアドレスとポート番号とタイムアウト時刻とを含むデータ通信許可情報を保持するデータ通信許可情報保持手段と、前記ネットワーク接続装置が属する前記ネットワークセグメント上のクライアント側ノードから与えられる当該ノードのノードアドレスとポート番号とを含むデータ通信許可設定要求を受けて、当該ノードアドレスとポート番号とにより特定されるポートへのデータ通信を許可するための当該ノードアドレスとポート番号とタイムアウト時刻とを含むデータ通信許可情報を前記データ通信許可情報保持手段に設定するデータ通信許可設定手段と、任意のネットワークセグメント上のサーバ側ノードから与えられるターゲットとなるノードアドレスとポート番号とを含む他のネットワークセグメントへのデータ通信要求を受け、当該要求中の前記ノードアドレスとポート番号との組を含む前記データ通信許可情報が前記データ通信許可情報保持手段に存在するか否かを判定し、存在すると判定した場合には前記データ通信要求を許可し、存在しないと判定した場合には前記データ通信要求を拒絶するデータ通信要求処理手段と、前記データ通信許可情報保持手段を定期的に探索し、当該データ通信許可情報保持手段に保持されている前記データ通信許可情報のうちタイムアウト時刻を経過したデータ通信許可情報を無効化するデータ通信許可定期取消手段とを具備することを特徴とするネットワーク接続装置。
【請求項１１】 少なくとも１つのノードが接続されたネットワークセグメントを複数有するコンピュータネットワークシステム内に前記各ネットワークセグメント毎に設けられ、当該ネットワークセグメントと他のネットワークセグメントとの間を接続するネットワーク接続装置において、データ通信要求先のノードアドレスとポート番号とタイムアウト時刻とを含むデータ通信許可情報を保持するデータ通信許可情報保持手段と、前記ネットワーク接続装置が属する前記ネットワークセグメント上のクライアント側ノードから与えられる当該ノードのノードアドレスとポート番号とを含むデータ通信許可設定要求を受けて、当該ノードアドレスとポート番号とにより特定されるポートへのデータ通信を許可するための当該ノードアドレスとポート番号とタイムアウト時刻とを含むデータ通信許可情報を前記データ通信許可情報保持手段に設定するデータ通信許可設定手段と、任意のネットワークセグメント上のサーバ側ノードから与えられるターゲットとなるノードアドレスとポート番号とを含む他のネットワークセグメントへのデータ通信要求を受け、当該要求中の前記ノードアドレスとポート番号との組を含む前記データ通信許可情報が前記データ通信許可情報保持手段に存在するか否かを判定し、存在すると判定した場合には前記データ通信要求を許可し、存在しないと判定した場合には前記データ通信要求を拒絶するデータ通信要求処理手段と、前記データ通信要求処理手段によって前記データ通信要求が許可される際に、当該データ通信要求中の前記ノードアドレスとポート番号との組を含む前記データ通信許可情報保持手段上の前記データ通信許可情報を無効化するデータ通信許可取消手段と、前記データ通信許可情報保持手段を定期的に探索し、当該データ通信許可情報保持手段に保持されている前記データ通信許可情報のうちタイムアウト時刻を経過したデータ通信許可情報を無効化するデータ通信許可定期取消手段とを具備することを特徴とするネットワーク接続装置。
【請求項１２】 少なくとも１つのノードが接続されたネットワークセグメントを複数有するコンピュータネットワークシステム内に前記各ネットワークセグメント毎に設けられ、当該ネットワークセグメントと他のネットワークセグメントとの間を接続するネットワーク接続装置に、前記ネットワーク接続装置が属する前記ネットワークセグメント上のクライアント側ノードから当該ノードのノードアドレスとポート番号とを含むコネクション許可設定要求を受けた場合に、当該ノードアドレスとポート番号とにより特定されるポートへのコネクションを許可するための当該ノードアドレスとポート番号とを含むコネクション許可情報をコネクション許可情報保持手段に設定するステップと、任意のネットワークセグメント上のサーバ側ノードからターゲットとなるノードアドレスとポート番号とを含む他のネットワークセグメントへのコネクション要求を受けた場合に、当該要求中の前記ノードアドレスとポート番号との組を含む前記コネクション許可情報が前記コネクション許可情報保持手段に存在するか否かを判定するステップと、前記コネクション要求中の前記ノードアドレスとポート番号との組を含む前記コネクション許可情報が前記コネクション許可情報保持手段に存在すると判定された場合には当該コネクション要求を許可し、存在しないと判定された場合には当該コネクション要求を拒絶するステップと、前記コネクション要求中の前記ノードアドレスとポート番号との組を含む前記コネクション許可情報が前記コネクション許可情報保持手段に存在すると判定された場合、前記コネクション許可情報保持手段上の当該コネクション許可情報を無効化するステップとを実行させるためのファイアウォール制御プログラムを記憶したコンピュータ読み取り可能な記憶媒体。
【請求項１３】 少なくとも１つのノードが接続されたネットワークセグメントを複数有するコンピュータネットワークシステム内に前記各ネットワークセグメント毎に設けられ、当該ネットワークセグメントと他のネットワークセグメントとの間を接続するネットワーク接続装置に、前記ネットワーク接続装置が属する前記ネットワークセグメント上のクライアント側ノードから当該ノードのノードアドレスとポート番号とを含むコネクション許可設定要求を受けた場合に、当該ノードアドレスとポート番号とにより特定されるポートへのコネクションを許可するための当該ノードアドレスとポート番号とタイムアウト時刻とを含むコネクション許可情報をコネクション許可情報保持手段に設定するステップと、任意のネットワークセグメント上のサーバ側ノードからターゲットとなるノードアドレスとポート番号とを含む他のネットワークセグメントへのコネクション要求を受けた場合に、当該要求中の前記ノードアドレスとポート番号との組を含む前記コネクション許可情報が前記コネクション許可情報保持手段に存在するか否かを判定するステップと、前記コネクション要求中の前記ノードアドレスとポート番号との組を含む前記コネクション許可情報が前記コネクション許可情報保持手段に存在すると判定された場合には当該コネクション要求を許可し、存在しないと判定された場合には当該コネクション要求を拒絶するステップと、前記コネクション許可情報保持手段を定期的に探索し、当該コネクション許可情報保持手段に保持されている前記コネクション許可情報のうち前記タイムアウト時刻を経過したコネクション許可情報を無効化するステップとを実行させるためのファイアウォール制御プログラムを記憶したコンピュータ読み取り可能な記憶媒体。
|
【発明の詳細な説明】【０００１】
【発明の属する技術分野】本発明は、複数のネットワークセグメントを有するコンピュータネットワークシステムに適用されて、異なるネットワークセグメント間を接続するためのネットワーク接続装置に係り、特に外部からの不正侵入を防ぐのに好適なファイアウォール制御機能を有するネットワーク接続装置及び同装置に適用されるファイアウォール制御プログラムを記憶したコンピュータ読み取り可能な記憶媒体に関する。
【０００２】
【従来の技術】従来、クライアント／サーバ型（Ｃ／Ｓ型）のアプリケーション（アプリケーションプログラム）は、主としてイントラネットの環境で利用されていた。
【０００３】Ｃ／Ｓ型のアプリケーションでは、サーバプロセスがサーバポートを開設し、クライアントプロセスからの接続要求を待ち受ける。そして、クライアントプロセスから、ＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）と呼ばれるプロトコルによるコネクション要求が発行されると、両プロセスの間に通信路（仮想回線）が張られ、以降、その通信路を用いて両プロセスが通信を行う。
【０００４】このようなＣ／Ｓ型のアプリケーションを、インターネットの環境で利用する場合にはセキュリティ上の問題が生じる。通常、インターネットの環境では、外部からの不正侵入を防ぐためにネットワーク接続装置にファイアウォールを設置する。ファイアウォールで外部からの不正侵入をどのように防ぐかは、ファイアウォールで守る計算機群の運用ポリシに基づき個々に設定を行うことで決定される。
【０００５】一般的なポリシとして、ＨＴＴＰ（Hyper Text Transfer Protocol）等の特定プロトコル以外のＴＣＰ／ＩＰプロトコルによる外部からのコネクション要求は拒絶するというものがある。
【０００６】この場合、Ｃ／Ｓ型のアプリケーションをインターネット環境で利用すると、クライアントプロセスからのＴＣＰ／ＩＰプロトコルによるコネクション要求は、ファイアウォールによって拒絶されてしまう。
【０００７】なお、ここでのＴＣＰ／ＩＰプロトコルは、以下に述べるように狭義のＴＣＰ／ＩＰプロトコルである。例えば、ＨＴＴＰやＦＴＰ（File Transfer Protocol）といったプロトコルは、ＴＣＰ／ＩＰプロトコルの上に乗った上位レイヤのプロトコルである。それゆえ、広義には、ＨＴＴＰやＦＴＰも、ＴＣＰ／ＩＰプロトコルに含まれる。しかし、ここではＴＣＰ／ＩＰプロトコルと表現した場合、それはＨＴＴＰやＦＴＰといった特定プロトコルを上位レイヤに持つＴＣＰ／ＩＰプロトコルは含まないものとする。このような狭義のＴＣＰ／ＩＰプロトコルという表現は、一般に用いられている。
【０００８】
【発明が解決しようとする課題】上記したように従来の技術にあっては、Ｃ／Ｓ型のアプリケーションを、インターネットの環境で利用する場合には、クライアントプロセスからのＴＣＰ／ＩＰによるコネクション要求がファイアウォールによって拒絶されてしまう。このため従来は、サーバプロセスがコネクションを待ち受けるポートに関しては、外部からのコネクションを許可するように設定しなければならず、その結果、セキュリティホールが発生するという問題があった。
【０００９】本発明は上記事情を考慮してなされたものでその目的は、インターネット環境においてＣ／Ｓ（クライアント／サーバ）型のアプリケーションを、安全に運用できるようにすることにある。
【００１０】
【課題を解決するための手段】本発明は、複数のネットワークセグメントを有するコンピュータネットワークシステム内に上記各ネットワークセグメント毎に設けられ、当該ネットワークセグメントと他のネットワークセグメントとの間を接続するネットワーク接続装置において、コネクション要求先のノードアドレスとポート番号とを含むコネクション許可情報を保持するコネクション許可情報保持手段と、上記ネットワーク接続装置が属するネットワークセグメント上のクライアント側ノードから与えられる当該ノードのノードアドレスとポート番号とを含むコネクション許可設定要求を受けて、当該ノードアドレスとポート番号とにより特定されるポートへのコネクションを許可するための当該ノードアドレスとポート番号とを含むコネクション許可情報を上記コネクション許可情報保持手段に設定するコネクション許可設定手段と、任意のネットワークセグメント上のサーバ側ノードから与えられるターゲットとなるノードアドレスとポート番号とを含む他のネットワークセグメントへのコネクション要求を受け、当該要求中のノードアドレスとポート番号との組を含むコネクション許可情報が上記コネクション許可情報保持手段に存在するか否かを判定し、存在すると判定した場合には上記コネクション要求を許可し、存在しないと判定した場合には上記コネクション要求を拒絶するコネクション要求処理手段と、このコネクション要求処理手段によって上記コネクション要求が許可される際に、当該コネクション要求中のノードアドレスとポート番号との組を含むコネクション許可情報保持手段上のコネクション許可情報を無効化するコネクション許可取消手段とを備えたことを特徴とする。
【００１１】このような構成においては、クライアント側のノード（上で動作するクライアントプロセス）からのコネクション許可設定要求により、当該ノードに開設されたポートを指定するノードアドレスとポート番号とを含むコネクション許可情報を上記コネクション許可情報保持手段（コネクション許可テーブル）に設定登録することで、その後、クライアント側のノード（上で動作するクライアントプロセス）との間で協調動作する、当該クライアント側のノードが属するネットワークセグメントとは異なるネットワークセグメントに属するサーバ側のノード（上で動作するサーバプロセス）から、上記ポートを指定するノードアドレスとポート番号とを含むコネクション要求が出された場合に、そのコネクション要求を許可することができる。この際、コネクション許可情報保持手段に登録された、上記ポートを指定するノードアドレスとポート番号とを含むコネクション許可情報は無効化（例えばクリア）されるため、その後上記ポートを指定するノードアドレスとポート番号とを含むコネクション要求が到来しても、そのコネクション要求は許可されない。つまり、コネクション許可設定要求により指定されたノードアドレスとポート番号（とにより特定されるポート）へのコネクション要求は、１回のみしか許可されず、以降は拒絶される。これにより、外部からの不正侵入が起きる可能性を極めて低い確率に抑えながら、外部から張られるコネクション要求を許可することが可能になる。
【００１２】ここで、上記コネクション許可情報保持手段に設定されるコネクション許可情報にタイムアウト時刻（の情報）を含めると共に、上記コネクション許可取消手段に代えて、上記コネクション許可情報保持手段を定期的に探索し、当該コネクション許可情報保持手段に保持されているコネクション許可情報のうちタイムアウト時刻を経過したコネクション許可情報を無効化するコネクション許可定期取消手段を備える構成とすることも可能である。
【００１３】このような構成においては、コネクション許可情報保持手段を対象とする定期的な探索でタイムアウト時刻を経過したコネクション許可情報が検出された場合、当該コネクション許可情報は無効化される。つまり、コネクション許可設定要求により指定されたノードアドレスとポート番号（とにより特定されるポート）へのコネクション要求は一時的に許可されるだけであり、タイムアウト時刻を経過したことが検出された以降は拒絶される。これにより、外部からの不正侵入が起きる可能性を極めて低い確率に抑えながら、外部から張られるコネクション要求を許可することが可能になる。この効果は、上記コネクション許可取消手段と上記コネクション許可定期取消手段とを併用するならば、一層顕著となる。なお、上記タイムアウト時刻を決定するには、例えばコネクション許可設定要求中にタイムアウト時間（つまりタイムアウトとするまでの時間）の情報を含め、コネクション許可設定要求を受け付けた時刻に、このタイムアウト時間を加算すればよい。
【００１４】また、コネクション要求処理手段によりコネクション要求が許可された結果コネクションが確立された後の通信の制御手段として、コネクションが確立された経路上の通信は全て許可する手段、或いは当該経路上のコネクション要求以外の通信は全て許可する手段を備えるとよい。
【００１５】また、上記コネクション許可設定要求、コネクション要求及びコネクション許可情報に、上記コネクション許可設定要求に対しては要求元となり上記コネクション要求に対しては要求先となるノードのノードアドレスとポート番号とに加えて、上記コネクション要求の要求元ノードのノードアドレスを含め、コネクション要求処理手段が上記コネクション要求を受けた場合に、当該コネクション要求中のコネクション要求先のノードアドレスとポート番号及びコネクション要求元のノードアドレスを含むコネクション許可情報が上記コネクション許可情報保持手段に存在することをもって、当該コネクション要求を許可する構成とするならば、外部からの不正侵入が起きる可能性をより一層低い確率に抑えることが可能となる。
【００１６】また、コネクション要求処理手段によってコネクション要求が許可された時点から一定時間内に、当該コネクション要求と要求先のノードアドレスとポート番号とが同一の新たなコネクション要求が到来した場合に、当該コネクション要求処理手段にて新たなコネクション要求を拒絶すると共に、現在設定されている当該ノードアドレスとポート番号とにより特定されるポートへのコネクションを切断する構成としても、外部からの不正侵入が起きる可能性をより一層低い確率に抑えることが可能となる。
【００１７】また、コネクション要求処理手段によってコネクション要求が許可された結果、当該コネクション要求の要求先のノードアドレスとポート番号との間にコネクションが設定されている状態で、当該コネクション要求と要求先のノードアドレスとポート番号とが同一の新たなコネクション要求が到来した場合に、当該新たなコネクション要求を拒絶すると共に、当該設定されているコネクションを切断する構成としても、外部からの不正侵入が起きる可能性をより一層低い確率に抑えることが可能となる。
【００１８】また、上記ノードアドレスとしては、例えばＩＰ（インターネットプロトコル）アドレスが適用可能である。
【００１９】また本発明のネットワーク接続装置は、コネクション要求のみでなく、全てのデータ通信を対象に制御するために、データ通信要求先のノードアドレスとポート番号とを含むデータ通信許可情報を保持するデータ通信許可情報保持手段と、上記ネットワーク接続装置が属するネットワークセグメント上のクライアント側ノードから与えられる当該ノードのノードアドレスとポート番号とを含むデータ通信許可設定要求を受けて、当該ノードアドレスとポート番号とにより特定されるポートへのデータ通信を許可するための当該ノードアドレスとポート番号とを含むデータ通信許可情報を上記データ通信許可情報保持手段に設定するデータ通信許可設定手段と、任意のネットワークセグメント上のサーバ側ノードから与えられるターゲットとなるノードアドレスとポート番号とを含む他のネットワークセグメントへのデータ通信要求を受け、当該要求中のノードアドレスとポート番号との組を含むデータ通信許可情報が上記データ通信許可情報保持手段に存在するか否かを判定し、存在すると判定した場合には上記データ通信要求を許可し、存在しないと判定した場合には上記データ通信要求を拒絶するデータ通信要求処理手段と、このデータ通信要求処理手段によって上記データ通信要求が許可される際に、当該データ通信要求中のノードアドレスとポート番号との組を含むデータ通信許可情報保持手段上のデータ通信許可情報を無効化するデータ通信許可取消手段とを備えたことを特徴とする。
【００２０】このような構成においては、クライアント側のノードからのデータ通信許可設定要求により指定されたノードアドレスとポート番号へのデータ通信要求は、１回のみしか許可されず、以降は拒絶される。これにより、外部からの不正侵入が起きる可能性を極めて低い確率に抑えながら、外部からのデータ通信要求を許可することが可能になる。
【００２１】ここで、上記データ通信許可情報保持手段に設定されるデータ通信許可情報にタイムアウト時刻を含めると共に、上記データ通信許可取消手段に代えて、次の手段、即ち上記データ通信許可情報保持手段を定期的に探索し、当該データ通信許可情報保持手段に保持されているデータ通信許可情報のうちタイムアウト時刻を経過したデータ通信許可情報を無効化するデータ通信許可定期取消手段を備える構成とするならば、データ通信許可設定要求により指定されたノードアドレスとポート番号へのデータ通信要求は一時的に許可されるだけであり、タイムアウト時刻を経過したことが検出された以降は拒絶される。これによっても、外部からの不正侵入が起きる可能性を極めて低い確率に抑えながら、外部からのデータ通信要求を許可することが可能になる。この効果は、上記データ通信許可取消手段と上記データ通信許可定期取消手段とを併用するならば、一層顕著となる。
【００２２】以上に述べたネットワーク接続装置に係る本発明は、当該装置の制御（ファイアウォール制御）機能に着目すると、当該装置にその機能に相当する手順を実行させるための（または当該装置にその機能を実現させるための、または当該装置をその機能を持つ手段として機能させるための）ファイアウォール制御プログラムを記憶したコンピュータ読み取り可能な記憶媒体として捉えることも可能である。
【００２３】また、ネットワーク接続装置に係る本発明は、当該装置の制御（ファイアウォール制御）機能に相当する手順に着目すると、当該手順を備えたファイアウォール制御方法として捉えることも可能である。
【００２４】
【発明の実施の形態】以下、本発明の実施の形態につき図面を参照して説明する。
【００２５】［第１の実施形態］図１は本発明の第１の実施形態に係るネットワーク接続装置を適用したコンピュータネットワークシステムのシステム構成を示すブロック図である。図１のシステムでは、複数、例えば４つのネットワークセグメント１０ａ，１０ｂ，１０ｃ，１０ｄが、ネットワーク接続装置１０２ａ，１０２ｂ，１０２ｃ，１０２ｄによりワイドエリアネットワーク（以下、ＷＡＮと称する）１１を介して相互接続されている。
【００２６】各ネットワーク接続装置１０２ｉ（ｉ＝ａ〜ｄ）は、ネットワークセグメント１０ｉと他のネットワークセグメントとの間の通信を許可／拒絶するファイアウォール制御機能を有する。
【００２７】ネットワークセグメント１０ｉ（ｉ＝ａ〜ｄ）は、ローカルエリアネットワーク（以下、ＬＡＮと称する）１０１ｉを有している。このＬＡＮ１０１ｉには、複数のノード（ノード装置）、例えば３台のノードＮｉ１〜Ｎｉ３がネットワーク接続装置１０２ｉと共に接続されている。ノードＮｉｊ（ｊ＝１〜３）はクライアント計算機、或いはＷＷＷ（World Wide Web）サーバなどに用いられるサーバ計算機等である。
【００２８】図１のシステムでは、ＷＡＮ１１がインターネット環境であるとすると、ＷＷＷサーバをなすノードＮｉｊ（サーバ計算機）は、当該ノードＮｉｊが属するネットワークセグメント１０ｉのネットワーク接続装置１０２ｉによって実現されるファイアウォールで保護されている。このファイアウォールは、汎用通信プロトコルによるリクエストとしての例えばＨＴＴＰリクエストの受け付けは許可していて、それを当該リクエストで指定されたノード（ＷＷＷサーバ）に送っている。
【００２９】図１のシステムでは、あるノード上のクライアントプロセスとあるノード上のサーバプロセスとの間にコネクション（仮想回線）を設定するのに特別の仕組みを適用している。そこでこの仕組みについて、図２を参照して説明する。
【００３０】まず図２においては、図１中のノードＮａ１，Ｎｂ１，Ｎｃ１が、クライアントプロセス（クライアントアプリケーション）２０１ａ，２０１ｂ，２０１ｃを実装（インストール）したクライアント計算機であることを想定している。また、図１中のノードＮｄ１が、ＷＷＷサーバ２０３と、クライアントプロセス２０１ａ，２０１ｂ，２０１ｃからの要求に応じて当該クライアントプロセスと協調動作するサーバプロセス（サーバアプリケーション）２０４とを実装したサーバ計算機であることも想定している。
【００３１】図２では、基本的には、クライアントプロセス２０１ａ，２０１ｂ，２０１ｃからサーバプロセス２０４にコネクションを張るのではなく、サーバプロセス２０４からクライアントプロセス２０１ａ，２０１ｂ，２０１ｃにコネクションを張るようにしている。
【００３２】ここでは、従来のＣ／Ｓ型のアプリケーションとは異なり、クライアントプロセス２０１ａ（２０１ｂ，２０１ｃ）は、サーバプロセス２０４へのコネクション実行要求をＨＴＴＰプロトコルで矢印２１ａ（２１ｂ，２１ｃ）で示すようにＷＷＷサーバ２０３に送る。このとき、クライアントプロセス２０１ａ（２０１ｂ，２０１ｃ）は、サーバプロセス２０４側からコネクションを張るためのクライアントポート２０２ａ（２０２ｂ，２０２ｃ）を開設し、そのクライアントポート番号をクライアント計算機であるノードＮａ１（Ｎｂ１，Ｎｃ１）のノードアドレスとしてのＩＰアドレスと共に、コネクション実行要求に付加して、ＷＷＷサーバ２０３に送る。
【００３３】ＷＷＷサーバ２０３は、クライアントプロセス２０１ａ（２０１ｂ，２０１ｃ）から受け取ったコネクション実行要求を矢印２２で示すようにサーバプロセス２０４に渡す。
【００３４】サーバプロセス２０４は受け取ったコネクション実行要求に付加されているＩＰアドレス及びクライアントポート番号をもとに、当該ＩＰアドレスのノードＮａ１（Ｎｂ１，Ｎｃ１）の当該ポート番号のクライアントポート２０２ａ（２０２ｂ，２０２ｃ）に対して、矢印２３ａ（２３ｂ，２３ｃ）で示すようにＴＣＰ／ＩＰプロトコルでコネクション要求を行う。なお、このような仕組みは、特願２０００−１６３５７４号に記載されている。
【００３５】図２の仕組みを１つのクライアントプロセスに着目して簡略化し、クライアント側とサーバ側にそれぞれファイアウォールを加えた構成を図３に示す。まず、（図２中のクライアントプロセス２０１ａ，２０１ｂ，２０１ｃに相当する）クライアントプロセス２０１が実行されるクライアント計算機をなすノード（Ｎｉｊ）は、そのノードが属するネットワークセグメント（１０ｉ）に設けられたネットワーク接続装置（１０２ｉ）が有するファイアウォール（クライアント側ファイアウォール）３０１で外部（他のネットワークセグメント）からの不正侵入を防いでいる。
【００３６】同様にＷＷＷサーバ２０３及びサーバプロセス２０４が実行されるサーバ計算機をなすノード（Ｎｄ１）は、そのノードが属するネットワークセグメント（１０ｄ）に設けられたネットワーク接続装置（１０２ｄ）が有するファイアウォール（サーバ側ファイアウォール）３０２で外部（他のネットワークセグメント）からの不正侵入を防いでいる。
【００３７】このようなファイアウォールの環境設定の中、クライアントプロセス２０１はコネクション実行要求をＨＴＴＰプロトコルで矢印３１で示すようにＷＷＷサーバ２０３に送る。
【００３８】この場合のコネクション実行要求はＨＴＴＰプロトコルであるので、クライアント側ファイアウォール３０１とサーバ側ファイアウォール３０２のいずれにおいても通過が許可され、無事にＷＷＷサーバ２０３に到達する。ＷＷＷサーバ２０３に到達したコネクション実行要求は、矢印３２で示すようにサーバプロセス２０４に送られる。
【００３９】ＷＷＷサーバ２０３経由でコネクション実行要求を受け取ったサーバプロセス２０４は、当該要求に付加されているＩＰアドレス及びクライアントポート番号をもとに、当該ＩＰアドレスのノードの当該ポート番号のクライアントポートに対して、矢印３３で示すようにＴＣＰ／ＩＰプロトコルでコネクション要求を出す。
【００４０】このコネクション要求は、サーバ側ファイアウォール３０２にとっては外部に対してコネクション（アウトバウンドコネクション）を張る要求なので、当該ファイアウォール３０２では通過が許可される。
【００４１】しかし、クライアント側ファイアウォール３０１にとっては、上記コネクション要求は外部から内部に対してコネクション（インバウンドコネクション）を張られる要求なので、従来であれば当該ファイアウォール３０１では通過が拒絶される。
【００４２】本実施形態のネットワーク接続装置１０２ｉは、このようなクライアント側ファイアウォールに適用して、外部から（内部に対して）張られるコネクション要求を安全に許可する仕組みを実現するものである。
【００４３】以下、ネットワーク接続装置１０２ｉのファイアウォール制御部の構成について、図４のブロック構成図を参照して説明する。図３中のクライアントプロセス２０１は、サーバプロセス２０４との間にコネクションを設定する必要がある場合、同図に示したようにコネクション実行要求をＷＷＷサーバ２０３経由で当該サーバプロセス２０４に送る。クライアントプロセス２０１は、このコネクション実行要求を送出するのに先立ち、図４に示すようにコネクション許可設定要求Ｒ１をネットワーク接続装置１０２ｉに出しておく。このコネクション許可設定要求Ｒ１には、上記コネクション実行要求と同様に、クライアント側のノード（クライアント計算機）のＩＰアドレスとクライアントプロセス２０１が開設したクライアントポートのポート番号とが付される他に、タイムアウト時間（の情報）も付されている。
【００４４】クライアントプロセス２０１からのコネクション許可設定要求Ｒ１は、コネクション許可設定部４２によって処理され、指定されたＩＰアドレスとポート番号との組（を含むコネクション許可情報）がコネクション許可テーブル４１のエントリに登録される。このエントリには、登録時刻とタイムアウト時間とから決定されるタイムアウト時刻（の情報）も（コネクション許可情報の一部として）同時に設定される。このタイムアウト時刻は、指定時間以内に外部から、当該タイムアウト時刻と共に同一エントリに登録されているＩＰアドレスとポート番号とにより指定されるポート（クライアントポート）にコネクション要求が到来しなかった場合に、当該エントリを無効化するために利用される。
【００４５】このエントリの無効化処理は、タイマ４５で定期的に起動されるコネクション許可定期リセット部４６が、コネクション許可テーブル４１を探索していき、タイムアウト時刻を経過しているエントリを削除していくことで実現される。
【００４６】一方、クライアントプロセス２０１からＷＷＷサーバ２０３経由でコネクション実行要求が送られたサーバプロセス２０４は、当該要求に付されているＩＰアドレス及びクライアントポート番号をもとに、当該ＩＰアドレスのノードの当該ポート番号のクライアントポートに対してＴＣＰ／ＩＰプロトコルでコネクション要求Ｒ２を送る。このコネクション要求Ｒ２は、サーバ側ファイアウォール（３０２）にとっては外部に対してコネクションを張る要求なので後述するように通過が許可され、クライアント側ファイアウォール（３０１）をなすクライアント側のネットワーク接続装置１０２ｉ（のファイアウォール制御部）に送られる。
【００４７】すると、サーバプロセス２０４からのコネクション要求Ｒ２は、図４のネットワーク接続装置１０２ｉのコネクション要求処理部４７で受け取られる。コネクション要求処理部４７は、受け取ったコネクション要求Ｒ２を以下に述べるようにして許可或いは拒絶する。
【００４８】まずコネクション要求処理部４７は、受け取ったコネクション要求Ｒ２がこの例のように“外部からコネクションを張られる要求”であった場合は、許可するか拒絶するかをコネクション許可判定部４３に問い合わせる。なお、コネクション要求Ｒ２を受け取ったコネクション要求処理部４７が、サーバ側ファイアウォール（３０２）を実現するネットワーク接続装置１０２ｉであった場合には、当該コネクション要求処理部４７は、受け取ったコネクション要求Ｒ２が“外部にコネクションを張る要求”であることから、そのコネクション要求Ｒ２の通過を許可する。
【００４９】コネクション許可判定部４３は、コネクション要求処理部４７からの問い合わせを受けると、当該コネクション要求処理部４７で受け取られたコネクション要求Ｒ２に付されているＩＰアドレスとポート番号の組が、コネクション許可テーブル４１に登録されているか否かを調べる。
【００５０】そしてコネクション許可判定部４３は、上記ＩＰアドレスとポート番号との組が登録されていた場合には「許可」を、登録されていなかった場合には「拒絶」を判定して、その判定結果をコネクション要求処理部４７に通知する。更にコネクション許可判定部４３は、「許可」と判定した場合には、コネクション許可リセット部４４により、コネクション要求Ｒ２に付されていたＩＰアドレスとポート番号との組からなるエントリをコネクション許可テーブル４１から削除させる。つまり、コネクション要求Ｒ２中のＩＰアドレスとポート番号との組がコネクション許可テーブル４１内のエントリに登録されていたために、当該コネクション要求Ｒ２が許可される場合、このエントリ（の登録情報）が無効化される。
【００５１】これにより特定のＩＰアドレスのポート番号へのコネクション要求は、１回のみしか許可されないことになる。
【００５２】これらの動作により、クライアント側のファイアウォール３０１では、通常は外部（サーバプロセス２０４側）から張られるＴＣＰ／ＩＰプロトコルのコネクション要求は拒絶されるが、クライアントプロセス２０１が事前にコネクション許可設定要求Ｒ１を出しておくことで、指定されたＩＰアドレスの指定されたポートへのコネクション要求Ｒ２のみ一時的に許可されるようになる。
【００５３】しかも、この一時的に許可されているコネクション要求Ｒ２が１つ到来したら、当該コネクション要求Ｒ２により示されるＩＰアドレス／ポートへのコネクション要求許可はリセットされる。
【００５４】更に、コネクション要求Ｒ２が一時的に許可されたＩＰアドレス／ポートへの新たなコネクション要求が到来しなくても、タイムアウト時刻を経過したならばコネクション要求許可はリセットされる。
【００５５】よって、ネットワーク接続装置１０２ｉのファイアウォール制御部では、外部からの不正侵入が起きる可能性を極めて低い確率に抑えながら、外部から張られるコネクション要求を許可することが可能になる。
【００５６】次に、図４中のコネクション許可設定部４２の処理の流れの詳細を図５のフローチャートを参照して説明する。まずコネクション許可設定部４２は、クライアントプロセス２０１から、ＩＰアドレス、ポート番号及びタイムアウト時間が付されているコネクション許可設定要求Ｒ１を受け取る（ステップＳ１）。
【００５７】するとコネクション許可設定部４２は、クライアントプロセス２０１から受け取ったコネクション許可設定要求Ｒ１に付されているタイムアウト時間を現在時刻に加算することでタイムアウト時刻を決定し、当該要求Ｒ１に付されているＩＰアドレスとポート番号と決定したタイムアウト時刻との組を、コネクション許可テーブル４１内のエントリに登録する（ステップＳ２）。
【００５８】次に、図４中のコネクション許可判定部４３の処理の流れの詳細を図６のフローチャートを参照して説明する。まずコネクション許可判定部４３は、コネクション要求処理部４７で受け取られたコネクション要求Ｒ２に付されているＩＰアドレスとポート番号との組が、コネクション許可テーブル４１に登録されているか否かを調べるために、当該テーブル４１を探索する（ステップＳ１１）。そしてコネクション許可判定部４３は、コネクション許可テーブル４１の探索の結果から、コネクション要求されたＩＰアドレスとポート番号との組がコネクション許可テーブル４１に登録されているか否かを判定する（ステップＳ１２）。
【００５９】もし、上記ＩＰアドレスとポート番号との組が登録されていない場合、コネクション許可判定部４３は「コネクション要求を拒絶する」と判定し、その判定結果をコネクション要求処理部４７に通知する（ステップＳ１３）。
【００６０】これに対し、上記ＩＰアドレスとポート番号との組が登録されている場合は、コネクション許可判定部４３はまず、コネクション許可リセット部４４に対し、“コネクション要求されたＩＰアドレスとポート番号との組からなるエントリ”をコネクション許可テーブル４１から削除するように指示する（ステップＳ１４）。そしてコネクション許可判定部４３は、「コネクション要求を許可する」と判定する（ステップＳ１５）。
【００６１】次に、図４中のコネクション許可リセット部４４の処理の流れの詳細を図７のフローチャートを参照して説明する。まずコネクション許可リセット部４４は、コネクション許可判定部４３からＩＰアドレスとポート番号との組を含むコネクション許可リセット要求を受け取る（ステップＳ２１）。
【００６２】するとコネクション許可リセット部４４は、コネクション許可テーブル４１から、上記受け取ったコネクション許可リセット要求により指定されたＩＰアドレスとポート番号との組からなるエントリを削除する（ステップＳ２２）。
【００６３】次に、図４中のコネクション許可定期リセット部４６の処理の流れの詳細を図８のフローチャートを参照して説明する。まずコネクション許可定期リセット部４６は、タイマ４５で一定時間が計測されるのを待つ（ステップＳ３１）。
【００６４】そして一定時間が経過すると、コネクション許可定期リセット部４６はコネクション許可テーブル４１の全エントリを１エントリずつ探索する（ステップＳ３２）。コネクション許可定期リセット部４６は１回の探索毎に、新たに探索可能なエントリはないか否か、つまり全てのエントリを探索し終えたか否かを判定し（ステップＳ３３）、全エントリの探索をし終えたと判定したならば、ステップＳ３１に戻って再び一定時間の経過を待つ。
【００６５】これに対し、全てのエントリを探索し終えていないと判定した場合には、コネクション許可定期リセット部４６は、現在時刻が、上記ステップＳ３２で探索できたエントリに登録されているタイムアウト時刻を経過しているか否かを判定する（ステップＳ３４）。
【００６６】もし、現在時刻がタイムアウト時刻を経過していない場合は、コネクション許可定期リセット部４６は何もする必要がないので、ステップＳ３２に戻って、次のエントリを探索する。
【００６７】これに対し、現在時刻がタイムアウト時刻を経過している場合は、コネクション許可定期リセット部４６は当該タイムアウト時刻が登録されているエントリをコネクション許可テーブル４１から削除する（ステップＳ３５）。その後、コネクション許可定期リセット部４６はステップＳ３２に戻って、次のエントリを探索する。
【００６８】次に、図４中のコネクション要求処理部４７の処理の流れの詳細を図９のフローチャートを参照して説明する。まずコネクション要求処理部４７は、サーバプロセス２０４から送られるＩＰアドレスとポート番号との組を含むコネクション要求Ｒ２を受け取る（ステップＳ４１）。
【００６９】するとコネクション要求処理部４７は、受け取ったコネクション要求Ｒ２が、“外部からコネクションを張られる要求”であるか否かを判定する（ステップＳ４２）。もし、“外部からコネクションを張られる要求”でない場合は、コネクション許可判定部４３はコネクション要求Ｒ２の通過を許可する（ステップＳ４３）。
【００７０】これに対し、“外部からコネクションを張られる要求”である場合は、コネクション要求処理部４７はコネクション許可判定部４３に対し、コネクション要求Ｒ２で指定されたＩＰアドレスとポート番号との組がコネクション許可テーブル４１に登録されているか否かを問い合わせ、その問い合わせに対する判定結果の通知を待つ（ステップＳ４４）。
【００７１】コネクション要求処理部４７は、上記問い合わせに対してコネクション許可判定部４３から判定結果が通知されると、その判定結果に基づいて指定のＩＰアドレスとポート番号との組がコネクション許可テーブル４１に登録されているか否かを判定する（ステップＳ４５）。
【００７２】もし、登録されていないと判定された場合、コネクション要求処理部４７はコネクション許可判定部４３でコネクション要求の拒絶が判定されたものとして、上記受け取ったコネクション要求Ｒ２の通過を拒絶する（ステップＳ４６）。
【００７３】これに対し、登録されていると判定された場合は、コネクション要求処理部４７はコネクション許可判定部４３でコネクション要求の許可が判定されたものとして、上記受け取ったコネクション要求Ｒ２の通過を許可する（ステップＳ４７）。
【００７４】以上、ネットワーク接続装置１０２ｉのファイアウォール制御部における、コネクションが張られる（設定される）までのファイアウォール制御について詳述した。
【００７５】以下では、コネクションが張られた後の通信について簡単に説明する。まず、コネクションが張られた後の通信をどう扱うかについては、以下の２通りが考えられる。
（ａ）コネクションが張られているポートを管理し、既にコネクションが張られているＩＰアドレス／ポートに対する通信は許可する。
（ｂ）コネクション要求以外の通信は全て許可する。
【００７６】（ａ）の方法に比べ、（ｂ）の方法はコネクション要求以外の通信は全て許可してしまうので、安全性が低いように見える。しかし実際には、通信路（仮想回線）が確立されていない限り、データ通信は行えず、本実施形態のネットワーク接続装置１０２ｉによってコネクション要求の不正侵入を防いでいるため、（ｂ）の安全性も（ａ）と同等である。
【００７７】［第２の実施形態］前記第１の実施形態では、ネットワーク接続装置１０２ｉ（のファイアウォール制御部）によりコネクション要求のみを制御する場合について説明したが、これに限るものではなく、全てのデータ通信についてのファイアウォール制御に適用することも可能である。
【００７８】そこで、コネクション要求のみでなく、全てのデータ通信を対象にファイアウォール制御を行う本発明の第２の実施形態に係るネットワーク接続装置について図面を参照して説明する。
【００７９】図１０は本発明の第２の実施形態に係るネットワーク接続装置のファイアウォール制御部のブロック構成を示す。図１０において、データ通信許可設定要求Ｒ１１は図３中のコネクション許可設定要求Ｒ１に相当する。このデータ通信許可設定要求Ｒ１１は、（図３中のクライアントプロセス２０１に相当する）クライアントプロセスが（図３中のサーバプロセス２０４に相当する）サーバプロセスとの間でデータ通信を行いたい場合に、当該クライアントプロセスから、クライアント側のネットワーク接続装置のファイアウォール制御部に出される。このクライアントプロセスからのデータ通信許可設定要求Ｒ１２は、データ通信許可設定部１４２よって処理され、指定されたＩＰアドレスとポート番号の組（を含むデータ通信許可情報）が（図３中のコネクション許可テーブル４１に相当する）データ通信許可テーブル１４１に登録される。このデータ通信許可テーブル１４１のエントリには、登録時刻とタイムアウト時間とから決定されるタイムアウト時刻（の情報）も（データ通信許可情報の一部として）同時に設定される。このタイムアウト時刻は、指定時間以内に外部から、当該タイムアウト時刻と同一エントリに登録されているＩＰアドレスとポート番号とにより指定されるポート（クライアントポート）にデータ通信要求が到来しなかった場合に、当該エントリを無効化するために利用される。
【００８０】このエントリの無効化処理は、タイマ１４５で定期的に起動されるデータ通信許可定期リセット部１４６が、データ通信許可テーブル１４１を探索していき、タイムアウト時刻を経過しているエントリを削除していくことで実現される。
【００８１】さて、クライアントプロセスは、データ通信許可設定要求Ｒ１２を出した後、前記第１の実施形態におけるコネクション実行要求に相当するデータ通信実行要求をＨＴＴＰプロトコルによりＷＷＷサーバに送り、当該ＷＷＷサーバによりデータ通信相手となるサーバプロセスに転送させる。サーバプロセスはクライアントプロセスからのデータ通信実行要求をＷＷＷサーバ経由で受け取ると、当該要求に付されているＩＰアドレス及びクライアントポート番号をもとに、当該ＩＰアドレスのノードの当該ポート番号のクライアントポートに対してＴＣＰ／ＩＰプロトコルで（図４中のコネクション要求Ｒ２に相当する）データ通信要求Ｒ１２を送る。このデータ通信要求Ｒ１２は、サーバ側ファイアウォールにとっては外部にデータ通信を行う要求なので通過が許可され、クライアント側ファイアウォールをなすクライアント側のネットワーク接続装置のファイアウォール制御部に送られる。
【００８２】すると、サーバプロセスからのデータ通信要求Ｒ１２はデータ通信要求処理部１４７で受け取られる。データ通信要求処理部１４７は受け取ったデータ通信要求Ｒ１２を許可或いは拒絶する。データ通信要求処理部１４７は、受け取ったデータ通信要求Ｒ１２がこの例と異なって“外部にデータ通信を行う要求”であった場合には、当該データ通信要求Ｒ１２の通過を許可する。これに対し、データ通信要求Ｒ１２がこの例のように“外部からデータ通信が行われる要求”であった場合は、許可するか拒絶するかをデータ通信許可判定部１４３に問い合わせる。
【００８３】データ通信許可判定部１４３は、データ通信要求処理部１４７からの問い合わせを受けると、当該データ通信要求処理部１４７で受け取られたデータ通信要求Ｒ１２に付されているＩＰアドレスとポート番号の組が、データ通信許可テーブル１４１登録されているか否かを調べる。
【００８４】そしてデータ通信許可判定部１４３は、上記ＩＰアドレスとポート番号との組が登録されていた場合には「許可」を、登録されていなかった場合には「拒絶」を判定して、その判定結果をデータ通信要求処理部１４７に通知する。更にデータ通信許可判定部１４３は、「許可」と判定した場合には、データ通信許可リセット部１４４により、データ通信要求Ｒ１２に付されていたＩＰアドレスとポート番号との組を含むエントリをデータ通信許可テーブル１４１から削除させる。つまり、データ通信要求Ｒ１２中のＩＰアドレスとポート番号との組がデータ通信許可テーブル１４１内のエントリに登録されていたために、当該データ通信要求Ｒ１２が許可される場合、このエントリ（の登録情報）が削除される。
【００８５】これにより特定のＩＰアドレスのポート番号へのデータ通信要求は、１回のみしか許可されないことになる。
【００８６】以上に述べた図４（図１０）の構成におけるコネクション許可設定部４２、コネクション許可判定部４３、コネクション許可リセット部４４、コネクション許可定期リセット部４６及びコネクション要求処理部４７（データ通信許可設定部１４２、データ通信許可判定部１４３、データ通信許可リセット部１４４、データ通信許可定期リセット部１４６及びデータ通信要求処理部１４７）の処理機能は、ＣＤ−ＲＯＭ等の記憶媒体に記憶されているファイアウォール制御プログラムをネットワーク接続装置１０２ｉにインストールして当該ネットワーク接続装置１０２ｉにて読み取り実行することで実現される。なお、このプログラムが通信媒体を介してダウンロードされるものであっても構わない。
【００８７】なお、前記第１（第２）の実施形態においては、コネクション許可設定要求Ｒ１（データ通信許可設定要求Ｒ１１）には、タイムアウト時間の他に、クライアント計算機のＩＰアドレス、即ちサーバ計算機上のサーバプロセスからみた場合にはコネクション要求先（データ通信要求先）のＩＰアドレスとポート番号とが付加されているものとして説明したが、コネクション要求Ｒ２（データ通信要求Ｒ１２）を発行する側、つまりコネクション要求元（データ通信要求元）のＩＰアドレスを更に付加するようにしても構わない。この場合、コネクション要求Ｒ２（データ通信要求Ｒ１２）にも、コネクション要求先（データ通信要求先）のＩＰアドレスとポート番号に加えてコネクション要求元（データ通信要求元）のＩＰアドレスを付加し、コネクション許可判定部４３（データ通信許可判定部１４３）では、コネクション要求先（データ通信要求先）のＩＰアドレスとポート番号だけでなく、コネクション要求元（データ通信要求元）のＩＰアドレスも一致することをもってコネクション（データ通信）の許可判定を行うとよい。
【００８８】また前記第１の実施形態では、許可されたコネクションが張られている間に、コネクション先のクライアントポートを指すＩＰアドレス／ポート番号に対するコネクション要求が到来した場合の扱いについて特に考慮されていなかったが、このようなコネクション要求は不正侵入であるとコネクション要求処理部４７がみなして、当該コネクション要求を拒絶すると共に、既に張られている、そのＩＰアドレス／ポート番号で指定されるクライアントポートとの間のコネクションをリセット（切断）してしまうことも可能である。
【００８９】また前記第１の実施形態では、コネクション要求に対してコネクションが許可されてから一定時間の間に、コネクション先のクライアントポートを指すＩＰアドレス／ポート番号に対するコネクション要求が到来した場合の扱いについて特に考慮されていなかったが、このようなコネクション要求は不正侵入であるとコネクション要求処理部４７がみなして、当該コネクション要求を拒絶すると共に、既に張られている、そのＩＰアドレス／ポート番号で指定されるクライアントポートとの間のコネクションをリセット（切断）してしまうことも可能である。
【００９０】また、前記第１（第２）の実施形態では、ネットワーク接続装置におけるファイアウォール制御を、“外部から張られるコネクション要求”（“外部からデータ通信が行われる要求”）に適用するものとして説明したが、“外部に張るコネクション要求”（“外部にデータ通信を行う要求”）にも適用可能である。
【００９１】更に、前記第１（第２）の実施形態では、ＴＣＰ／ＩＰプロトコルのコネクション要求（データ通信要求）に対して適用するものとして説明したが、ＴＣＰ／ＩＰプロトコル以外のプロトコルに対しても適用可能である。
【００９２】なお、本発明は、上記各実施形態に限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で種々に変形することが可能である。更に、上記実施形態には種々の段階の発明が含まれており、開示される複数の構成要件における適宜な組み合わせにより種々の発明が抽出され得る。例えば、実施形態に示される全構成要件から幾つかの構成要件が削除されても、発明が解決しようとする課題の欄で述べた課題が解決でき、発明の効果の欄で述べられている効果が得られる場合には、この構成要件が削除された構成が発明として抽出され得る。
【００９３】
【発明の効果】以上詳述したように本発明によれば、クライアント側ノードからのコネクション許可設定要求（またはデータ通信許可設定要求）により指定されたノードアドレスとポート番号とを含む情報を設定登録しておき、この設定されたノードアドレスとポート番号へのサーバ側ノードからのコネクション要求（データ通信要求）を一時的に許可する構成としたので、外部からの不正侵入が起きる可能性を極めて低い確率に抑えながら、外部から張られるコネクション要求（または外部からのデータ通信要求）を許可することができる。これにより、インターネット環境においてＣ／Ｓ型のアプリケーションを、セキュリティ上安全に実行することができる。
|
| 【出願人】 |
【識別番号】０００００３０７８
【氏名又は名称】株式会社東芝
|
| 【出願日】 |
平成１２年９月２９日（２０００．９．２９） |
| 【代理人】 |
【識別番号】１０００５８４７９
【弁理士】
【氏名又は名称】鈴江 武彦 （外６名）
|
| 【公開番号】 |
特開２００２−１０８７２９（Ｐ２００２−１０８７２９Ａ） |
| 【公開日】 |
平成１４年４月１２日（２００２．４．１２） |
| 【出願番号】 |
特願２０００−３０１３１３（Ｐ２０００−３０１３１３） |
|