JP4973566B2 - ファイアウォール装置、アクセス制御分担方法、およびプログラム - Google Patents

Description

本発明は、ファイアウォール装置に関し、特にＬＡＮからＷＡＮに転送されるデータのフィルタリング処理を、当該ＬＡＮ内のネットワーク機器や端末装置に分散させるファイアウォール装置に関する。

ＦＷ（Firewall）機能を有するネットワーク機器(以下ＦＷ装置)は、受信したパケットに対する通過の可否を検査する機能(アクセス制御機能)を持つ。一般的にＦＷ装置はＬＡＮ（内部ネットワーク）とＷＡＮ（インターネットなどの外部ネットワーク）の境界(ゲートウェイ)に設置され、LAN側からWAN側へのパケットとWAN側からLAN側へのパケットのアクセス制御を行っている。

ＦＷ装置がLAN側からWAN側へのパケットとWAN側からLAN側へのパケットのすべてについてアクセス制御を行った場合、ＦＷ装置には大きな負荷がかかるという問題がある。
また、FW装置がアクセス制御機能に併せてアンチウイルス機能などのセキュリティ機能を複数併せ持つセキュリティ専用装置（UTM:Unified Threat Management）である場合、その負荷はさらに大きなものとなる。

特許文献１には、ファイアウォール機能をネットワークにおいて分散させるファイアウォールサーバが記載されている。
特開２００１−２４９８６６号公報

本発明の課題は、装置の負荷や性能等の状況に応じて、アクセス制御機能を分担させるファイアウォール装置を提供することである。

このファイアウォール装置の特徴は、内部ネットワークに接続されている端末から受信したデータのフィルタリングと外部ネットワークへの転送を実行するファイアウォール装置において、前記内部ネットワークに接続されているフィルタリング機能を有するネットワーク機器から、負荷情報を受信する受信手段と、前記受信手段において受信された負荷情報に基づき、前記ファイアウォール装置及び前記ネットワーク機器のフィルタリング処理の分担を決定する分担決定手段と、前記分担決定手段において決定された分担に基づいて、前記ネットワーク機器に対して、フィルタリング機能の制御情報を送信する制御情報送信手段と、を備える。

開示の装置によれば、アクセス制御機能を分担させることで、ファイアウォール装置の負荷を低減させることが可能となる。

以下、図面を参照しながら本発明の実施の形態を説明する。
図１は、本発明の実施の形態および従来のシステムの概略図である。
図１の左側に示す従来のシステムは、ＬＡＮ（Local Area Network）内にファイアウォール（FW）装置１０１、ネットワーク中継装置１０２、およびＰＣ等の端末１０３が設置される。ＦＷ装置１０１は、ＷＡＮ（Wide Area Network）とＬＡＮの境界に設置される。ネットワーク中継装置１０２はＦＷ装置１０１に接続し、端末１０３はネットワーク中継装置１０２またはＦＷ装置１０１に接続している。

端末１０３は、ＦＷ装置１０１を介してＷＡＮと接続している。
従来、ＬＡＮからＷＡＮへのパケットに対するアクセス制御（フィルタリング処理）は、ＦＷ装置１０１で行われていた。

図１の右側に示す本実施の形態のシステムは、従来と同様にＬＡＮ内にファイアウォール（FW）装置１０４、ネットワーク中継装置１０５、およびＰＣ等の端末１０６が設置される。ＦＷ装置１０４は、ＷＡＮとＬＡＮの境界に設置される。ネットワーク中継装置１０５はＦＷ装置１０４に接続し、端末１０６はネットワーク中継装置１０５またはＦＷ装置１０４に接続している。

端末１０６は、ＦＷ装置１０４を介してＷＡＮと接続している。
本実施の形態において、ＬＡＮからＷＡＮへのパケットに対するアクセス制御は、ＦＷ装置１０４だけでなく、必要に応じてネットワーク中継装置１０５および端末１０６でも行われる。

尚、ＷＡＮからＬＡＮへのパケットに対するアクセス制御は、従来通りＦＷ装置１０４が行い、ネットワーク中継装置１０５および端末１０６では行わない。
図２は、本発明の実施の形態に係るシステムの構成図である。

実施の形態のシステムは、ＦＷ装置２０１、ネットワーク中継装置２２０、および端末２３０を備える。
ＦＷ２０１は外部ネットワークおよびネットワーク中継装置２２０と接続しており、端末２３０はネットワーク中継装置２２０と接続している。尚、端末２３０はＦＷ２０１と接続してもよい。

ＦＷ装置２０１は、パケット中継処理部２０２、アクセス制御機能部２０３、および制御ルール分担機能部２０４を備える。
パケット中継処理部２０２は、パケットを受信し、ＦＷ装置２０１の各部、ネットワーク中継装置２２０、または外部ネットワークに中継する。

アクセス制御機能部２０３は、アクセス制御部２０５および制御ルールテーブル２０６を備える。
制御ルールテーブル２０６は、受信したパケットの通過可否を決定する判定条件と条件に合致した際の動作を記載したアクセス制御ルールを格納する。

アクセス制御部２０５は、パケットを受信した際に制御ルールテーブル２０６を参照し、アクセス制御ルールに従ってパケットを破棄またはパケット中継処理部２０２への受け渡しを行う、いわゆるアクセス制御（フィルタリング処理）を行う。

制御ルール分担機能部２０４は、分担機能制御部２０７、トポロジ情報収集処理部２０８、分担対象処理部２０９、制御ルール配信処理部２１０、例外条件テーブル２１１、分担条件テーブル２１２、動的変更テーブル２１３、およびネットワークトポロジ情報部２１４を備える。

分担機能制御部２０７は、トポロジ情報収集処理部２０８、分担対象処理部２０９、および制御ルール配信処理部２１０の制御を行う。
トポロジ情報収集処理部２０８は、アクセス制御の分担対象であるネットワークの情報
を収集する。また、ネットワーク中継装置２２０および端末２３０の情報を送信するようにネットワーク中継装置２２０および端末２３０に要求し、受信した情報をネットワークトポロジ情報部２１４に格納する。

分担対象処理部２０９は、アクセス処理を行わせる対象を決定する。
制御ルール配信処理部２１０は、アクセス処理を行うネットワーク中継装置２２０および端末２３０にアクセス制御ルールを配信する。

例外条件テーブル２１１は、アクセス制御の分担対象を決定する際に使用され、ネットワーク中継装置２２０または端末２３０がアクセス制御機能を持っていない場合などの例外時の処理が記載されている。

分担条件テーブル２１２は、アクセス制御の分担対象を決定する際に使用され、どのような場合にアクセス制御を担当させるかなどの条件が記載されている。
動的変更テーブル２１３は、アクセス制御の分担を動的変更する条件が記載されている。

ネットワークトポロジ情報部２１４は、トポロジ情報収集処理部２０８により収集したネットワークの情報やネットワーク中継装置２２０および端末２３０の性能等の情報を保存する。

ネットワーク中継装置２２０は、パケット中継処理部２２１、装置情報通知機能部２２２、およびアクセス制御機能部２２３を備える。
パケット中継処理部２２１は、パケットを受信し、ＦＷ装置２０１の各部、ネットワーク中継装置２２０、または外部ネットワークに中継する
装置情報通知機能部２２２は、装置情報処理部２２４および装置情報２２５を備える。

装置情報処理部２２４は、トポロジ情報収集処理部２０８からネットワーク中継装置２２０の情報を要求された場合、自身の性能等の情報が記載された装置情報２２５をＦＷ装置２０１に送信する。また、自発的にＦＷ装置２０１に装置情報２２５を送信することも可能である。また、装置情報処理部２２４は、ネットワーク中継装置２２０の負荷を測定し、測定した負荷を負荷情報としてＦＷ装置２０１に送信する。尚、負荷情報は装置情報２２５に格納してもよい。

装置情報２２５には、例えば、ＣＰＵクロックやメモリ容量等が記載されている。
また、装置情報処理部２２４は、ＦＷ装置２０１から送信されたアクセス制御ルールを自身の制御ルールテーブル２２７に格納する処理を行う。

尚、装置情報通知機能部２２２の機能の実現には、SNMP（Simple Network Management Protocol）エージェントの実装や専用のソフトウェアをインストールするなどの方法がある。

アクセス制御機能部２２３は、アクセス制御部２３６および制御ルールテーブル２２７を備える。
制御ルールテーブル２３７は、受信したパケットの通過可否を決定する判定条件と条件に合致した際の動作（アクセス制御ルール）を格納する。制御ルールテーブル２２７の内容は、ＦＷ装置２０１の制御ルール配信処理部２１０から送信される。

アクセス制御部２２６は、パケットを受信した際に制御ルールテーブル２２７を参照し、アクセス制御ルールに従ってパケットを破棄またはパケット中継処理部２２１への受け渡しを行う、いわゆるアクセス制御（フィルタリング処理）を行う。

端末２３０は、パケット送受信処理部２３１、装置情報通知機能部２３２、およびアクセス制御機能部２３３を備える。
パケット送受信処理部２３１は、パケットを受信し、ＦＷ装置２０１の各部、ネットワーク中継装置２２０、または外部ネットワークに中継する
装置情報通知機能部２３２は、装置情報処理部２３４および装置情報２３５を備える。

装置情報処理部２３４は、トポロジ情報収集処理部２０８から端末２３０の情報を要求された場合、自身の性能等の情報が記載された装置情報２３５をＦＷ装置２０１に送信する。また、自発的にＦＷ装置２０１に装置情報２３５を送信することも可能である。また、装置情報処理部２３４は、端末２３０の負荷を測定し、測定した負荷を負荷情報としてＦＷ装置２０１に送信する。尚、負荷情報は装置情報２３５に格納してもよい。

装置情報２３５には、例えば、ＣＰＵ（Central Processing Unit）クロックやメモリ容量等が記載されている。
アクセス制御機能部２３３は、アクセス制御部２３６および制御ルールテーブル２３７を備える。

制御ルールテーブル２３７は、受信したパケットの通過可否を決定する判定条件と条件に合致した際の動作（アクセス制御ルール）を格納する。制御ルールテーブル２３７の内容は、ＦＷ装置２０１の制御ルール配信処理部２１０から送信される。

アクセス制御部２３６は、パケットを受信した際に制御ルールテーブル２３７を参照し、アクセス制御ルールに従ってパケットを破棄またはパケット送受信処理部２３１への受け渡しを行う、いわゆるアクセス制御（フィルタリング処理）を行う。

次に本実施の形態におけるアクセス制御の分担方法について説明する。
アクセス制御機能の分担は、ＦＷ装置２０１が持つアクセス制御を行う際に使用するルール(アクセス制御ルール)をネットワーク中継装置２２０や端末２３０などの各ノードに配信し、定義させることで行う。

またこのとき、ネットワーク構成や各ノードの性能を考慮した上でアクセス制御ルール配信先を決定することで、ネットワークの特徴に合致した最適な分担を行うことが可能となる。

アクセス制御機能の分担は、
１．ネットワークトポロジの探索
２．アクセス制御機能の分担対象の決定
３．アクセス制御ルールの配信
の3つのプロセスを経て行われる。

ネットワークトポロジの探索プロセスは、ＦＷ装置２０１がネットワークの構成と各ノードの性能情報を収集する処理過程である。
分担対象の決定プロセスは、ネットワークトポロジの探索プロセスで得た情報をもとにアクセス制御ルールの配信先を決定する処理過程である。

アクセス制御ルールの配信プロセスは、決定した配信先に該当アクセス制御ルールを送信し、定義させることにより、アクセス制御機能の分担を行う処理である。
以下、アクセス制御ルールの分担処理の具体的手順を説明する。

図３は、アクセス制御ルールの分担処理の全体の流れを示すフローチャートである。
ステップＳ３０１において、ネットワークトポロジの探索を行う。ネットワークトポロジの探索では、分担対象最適化を行う際に必要となる分担対象ネットワークの構成情報およびネットワーク機器や端末等の各ノードの装置情報を収集する。

具体的には、ＦＷ装置２０１のトポロジ情報収集処理部２０８はネットワークにある各ノードの端末情報通知機能に問い合わせを行う。
問い合わせを受けた各ノードの装置情報通知機能部２２２、２３２は、自身のIPアドレスなどのネットワーク構成に関する情報と、CPUクロックやメモリ容量などの装置情報２２５、２３５をFW装置２０１に返信する。ネットワーク構成に関する情報の例を図４、装置情報の例を図５に示す。

ステップＳ３０２〜Ｓ３０７では、アクセス制御機能の分担対象の決定を行う。
分担対象の決定では、ステップＳ３０１でのネットワークトポロジの探索で得たネットワーク構成の情報と各ノードの装置情報を用いて、実際にアクセス制御機能を分担するノードを決定する。

このプロセスではまず、あらかじめ設定した単位でネットワークを分割する。そして、分割した各ネットワークの中で、どのノードにそのネットワークのアクセス制御機能を分担させるかをあらかじめ設定した条件(ノードの装置情報など)に基づいて決定する。

このプロセスの具体的手順を以下に示す。
ステップＳ３０２において、分担対象処理部２０９は、Ｓ３０１で得たネットワーク構成の情報を基に、ネットワークをネットワーク単位に分割し、分割されたネットワークの情報をネットワークトポロジ情報部２０４に格納する。

本実施の形態では、ネットワークを分割する単位をネットワークアドレスとしている。図６にネットワークを分割した例を示す。図６では、192.168.1.0/24、192.168.2.0/24、192.168.3.0/24の3つのネットワークに分割されている。

ステップＳ３０３において、分担対象処理部２０９は分割した各ネットワークにおいて、アクセス制御機能を持たないノードがある等の分担対象の例外が存在するかを判定する。例外の判定は、判定条件の記載された例外条件テーブル２１２を参照して、条件に合致するかを判定することで行う。例外条件に合致した場合はステップＳ３０７に進み、合致しなかった場合はステップＳ３０４に進む。

図７は、ネットワークトポロジの探索で得られた172.16.1.0/24のネットワーク情報例である。この例では、172.16.1.0/24のネットワークに端末が存在するため、例外条件に合致せず、ステップＳ３０４に進む。

尚、ステップＳ３０３の処理の詳細については後述する。
ステップＳ３０４において、分担対象処理部２０９は、ネットワークに所属するネットワーク中継装置２２０および端末２３０の装置情報２２５、２３５に基づき、分担対象を決定する。分担対象の決定は、決定条件の記載された分担条件テーブル２１２に従って行われる。尚、分担条件テーブル２１２はあらかじめ設定されている。

分担条件テーブル２１２に合致する場合はステップＳ３０５に進み、合致しない場合はステップＳ３０６に進む。
ステップＳ３０５において、ネットワーク中継装置をアクセス制御機能の分担対象とす
る。

ステップＳ３０６において、端末をアクセス制御機能の分担対象とする。
分担条件テーブルの例を図8に示す。この例では、各ネットワークの属する端末数が少ない場合（５未満）はネットワーク中継装置をアクセス制御機能の分担対象とし、端末には分担させない。また、端末数が５以上でありかつネットワーク中継装置が性能的に問題ない場合（CPUクロックが１GHz以上かつメモリ容量が1GB以上かつ回線速度が1Gbps以上)、においても中継装置をアクセス制御機能の分担対象とし、端末には分担させない。

しかし、ネットワーク中継装置が性能的に問題ある場合は、各端末をアクセス制御機能の分担対象とする。
ステップＳ３０７〜Ｓ３０８では、アクセス制御ルールの配信を行う。

ステップＳ３０７において、制御ルール配信処理部２１０は、ネットワークに合致するアクセス制御ルールを検索し、ノードの装置情報処理部に送信する。
ステップＳ３０８において、ノードの装置情報処理部２２４、２３４は、受信したアクセス制御ルールを制御ルールテーブル２２７、２３７に格納する。アクセス制御ルールを受信したノードはアクセス制御ルールに基づき、アクセス制御（フィルタリング処理）を行う。

図９は、送信元が172.16.1.0/24に合致するアクセス制御ルールをＦＷ装置の制御テーブルから検索した結果例である。
・例外処理
ステップＳ３０３の例外処理について説明する。

通常、ネットワーク中継装置２２０や端末２３０はアクセス制御機能を所持している。しかし、実際にはアクセス制御機能を有していない場合があるため、この場合何らかの例外処理が必要となる。

以下に３つの例外処理の例を示す。また、図１０に例外処理のフローチャート例を示す。
尚、図中および以下の説明で、端末がアクセス制御機能を持たないとは、対象のネットワーク内に少なくとも1台のアクセス制御機能を持たない端末があるという意味である。
１．ネットワーク単位での例外処理
ネットワーク内にアクセス制御機能を有していない端末がある場合、そのネットワークに存在するネットワーク中継装置が図３のフローチャートに示した条件に関係なくアクセス制御機能を分担する処理を行う。また、逆にネットワーク中継装置がアクセス制御機能を有していない場合、ネットワークに属するすべての端末が無条件にアクセス制御機能を分担する。しかし、ネットワーク中継装置と端末ともにアクセス制御機能を持たない場合はネットワーク単位での例外処理では対処不可能となる。
２．ＦＷ装置と該当ネットワーク間の経路での例外処理
ネットワーク単位で例外対処できない場合、該当ネットワークとFW装置間の経路で対処することが可能である。この場合、経路間に存在するネットワーク中継装置が該当ネットワークに対するアクセス制御機能を受け持つことになる。しかし、経路間にアクセス制御機能を持つネットワーク中継装置がない場合、対処不可能となる。
３．FW装置での例外処理
該当ネットワークとＦＷ装置間の経路で例外対処できない場合、該当ネットワークに対するアクセス制御機能を部分的にＦＷ装置で処理することになる。この場合、LANからWAN方向へのパケットの内、該当ネットワークからのパケットのみ例外的にＦＷ装置で処理することになる。そのため、ＦＷ装置はLAN側からWAN側へのパケットの中で例外的にアクセ
ス制御機能を受け持つ送信元アドレスを認識し、処理しなければならない。この例外的にアクセス制御機能を受け持つ送信元アドレスはＦＷ装置の制御ルールテーブルに保存される。

以上の処理を図１０のフローチャートを用いて説明する。
ステップＳ１００１において、ネットワークにアクセス制御機能を持たないノードがあるかチェックする。アクセス制御機能を持たないノードがある場合はステップＳ１００２に進み、無い場合は例外条件に不一致なので図３のステップＳ３０４に進む。

ステップＳ１００２において、ネットワーク中継装置および端末がアクセス制御機能を持たないかチェックする。アクセス制御機能を持たない場合はステップＳ１００６に進み、持つ場合はステップＳ１００３に進む。

ステップＳ１００３において、ネットワーク中継装置がアクセス制御機能を持つかチェックする。アクセス制御機能を持つ場合はステップＳ１００４に進み、持たない場合はステップＳ１００５に進む。

ステップＳ１００４において、分担対象処理部２０９は、ネットワーク中継装置をアクセス制御機能の分担対象とする。
ステップＳ１００５において、分担対象処理部２０９は、端末をアクセス制御機能の分担対象とする。

ステップＳ１００６において、該当ネットワークとＦＷ装置間のネットワーク中継装置がアクセス制御機能を持つかチェックする。アクセス制御機能を持つ場合はステップＳ１００７に進み、持たない場合はステップＳ１００８に進み。

ステップＳ１００７において、経路間のネットワーク中継装置をアクセス制御機能の分担対象とする。
ステップＳ１００８において、ＦＷ装置をアクセス制御機能の分担対象とする。

上記手順により、アクセス制御機能を分担対象が決定し、図３のステップＳ３０７に進む。
・有効期間
ＦＷ装置２０１は、アクセス制御機能の分担を実施する有効期間を設定できる。これは通信量が多い時間帯のみアクセス制御機能の分担を実施したい場合などに利用する。これより、柔軟性のある運用が可能となる。
・動的分担変更
運用中に通信量が急激に増加した場合など、アクセス制御処理を受け持つ中継装置や端末が負荷に耐えられなくなる場合が考えられる。この場合、アクセス制御機能の分担を動的に変更できる。

変更方法は以下の2つの方法がある。
１．ＦＷ装置による監視
ＦＷ装置がアクセス制御機能を分担して受け持っているネットワーク中継装置や端末にCPU使用率などの負荷情報を定期的に問い合わせる。受信した負荷情報が予め設定したしきい値を超えていた場合に、アクセス制御の分担を中止し対処を行う。しきい値は動的変更テーブルに保存される。この動的変更テーブルの例を図１２ に示す。図１２のインデックス100の場合、処理パケット数が10000packet/secを超えた場合に処理を行う。
また、処理パケット数が10000packet/secを超えるかつ、CPU使用率が80％を超える場合
など複数のインデックスを条件とすることもできる。しきい値を超えていた場合の対処として、該当装置とＦＷ装置の経路間に存在するネットワーク中継装置や、ＦＷ装置自身が一時的に受け持つことが考えられる。引き続き各装置を監視した結果、通信量が減少したことが判明した際に設定次第では元の分担配置に戻すことが可能となる。
２．中継装置や端末からの通知
アクセス制御機能を受け持つ各装置は、自身の負荷(CPU使用率など)が予め設定した値を超えた場合、ＦＷ装置に通知を行う。通知を受けたＦＷ装置は、上記「ＦＷ装置による監視」と同様に対処を行う。また、通信量が減少した場合にも通知を行うように設定を行うことで、元の分担配置に戻すことが可能となる。

動的変更の例を説明する。
図６において次のようにアクセス制御機能が分担されたとする。
ネットワーク192.168.1.0/24 → 端末1
ネットワーク192.168.2.0/24 → 中継装置1
ネットワーク192.168.3.0/24 → 端末4、5
例1 ) 中継装置1の負担が重くなった場合に、中継装置1に分担していたアクセス制御機能をＦＷ装置で受け持つ。
例2 ) 端末4、5の負担が重くなった場合に、各端末に分担していたアクセス制御機能を中継装置2で受け持つ。

動的変更の処理手順の詳細について説明する。
図１１はアクセス制御機能の分担の動的変更のフローチャートである。
ステップＳ１１０１において、分担機能制御部２０７は、ネットワーク中継装置および端末の装置情報処理部２２４、２３４から負荷情報を受信する。負荷情報はＦＷ装置がネットワーク中継装置および端末に問い合わせを行い、それに応じてネットワーク中継装置および端末から負荷情報が送信される。また、ネットワーク中継装置および端末の負荷が予め設定した値を超えた場合や所定の時間ごとに、ＦＷ装置にネットワーク中継装置および端末が負荷情報を送信してもよい。

ステップＳ１１０２において、受信した負荷情報を動的変更テーブルと比較する。条件に合致した場合はステップＳ１１０３に進み、不一致の場合は終了する。
ステップＳ１１０３において、ＦＷ装置と負荷情報を送信した装置の間にネットワーク中継装置があるかどうかネットワークトポロジ情報部２１４から検索する。ネットワーク中継装置がある場合ステップＳ１１０４に進み、無い場合ステップＳ１１０６に進む。尚、ＦＷ装置と負荷情報を送信した装置の間のネットワーク中継装置を中間中継装置と呼ぶ。

ステップＳ１１０４において、中間中継装置が分担条件テーブル２１２の条件を満たすかチェックする。条件を満たす場合はステップＳ１１０５に進み、満たさない場合はステップＳ１１０６に進む。

ステップＳ１１０５において、中間中継装置をアクセス制御機能の分担対象とする。
ステップＳ１１０６において、ＦＷ装置をアクセス制御機能の分担対象とする。
ステップＳ１１０７において、分担対象として決定した対象装置へアクセス制御ルールを送信する。

ステップＳ１１０８において、負荷情報を送信した装置の装置情報処理部へアクセス制御ルールの削除を指示する。削除を指示された装置は、アクセス制御ルールを削除する。
本実施の形態のＦＷ装置によれば、アクセス制御を分担することができ、ＦＷ装置の負荷を低減することができる。また、ネットワーク中継装置および端末の負荷状況や性能に
応じてアクセス制御を分担するので、状況に応じたきめ細かい制御を行うことができる。

以上の実施の形態に関し、さらに以下の付記を開示する。
（付記１）
内部ネットワークに接続されている端末から受信したデータのフィルタリングと外部ネットワークへの転送を実行するファイアウォール装置において、
前記内部ネットワークに接続されているフィルタリング機能を有するネットワーク機器から、負荷情報を受信する受信手段と、
前記受信手段において受信された負荷情報に基づき、前記ファイアウォール装置及び前記ネットワーク機器のフィルタリング処理の分担を決定する分担決定手段と、
前記分担決定手段において決定された分担に基づいて、前記ネットワーク機器に対して、フィルタリング機能の制御情報を送信する制御情報送信手段と、
を備えるファイアウォール装置。
（付記２）
前記内部ネットワークには、複数の前記ネットワーク機器が接続され、
前記ネットワーク機器は、ネットワーク中継装置または端末であり、
前記分担決定手段は、前記ネットワーク中継装置および前記端末がフィルタリング機能持つ場合は、前記ネットワーク中継装置にフィルタリング処理を分担させることを特徴とする付記１記載のファイアウォール装置。
（付記３）
前記受信手段は、前記ネットワーク機器の装置情報を受信し、
前記分担決定手段は、前記ネットワーク機器の装置情報に基づきフィルタリング処理の分担を決定することを特徴とする付記１記載のファイアウォール装置。
（付記４）
内部ネットワークに接続されている端末から受信したデータのフィルタリングと外部ネットワークへの転送を実行するファイアウォール装置のアクセス制御分担方法において、
前記内部ネットワークに接続されているフィルタリング機能を有するネットワーク機器から、負荷情報を受信し、
前記受信手段において受信された負荷情報に基づき、前記ファイアウォール装置及び前記ネットワーク機器のフィルタリング処理の分担を決定し、
前記分担決定手段において決定された分担に基づいて、前記ネットワーク機器に対して、フィルタリング機能の制御情報を送信する
手順を有するアクセス制御分担方法。
（付記５）
内部ネットワークに接続されている端末から受信したデータのフィルタリングと外部ネットワークへの転送を実行するファイアウォール装置を、
前記内部ネットワークに接続されているフィルタリング機能を有するネットワーク機器から、負荷情報を受信する受信手段と、
前記受信手段において受信された負荷情報に基づき、前記ファイアウォール装置及び前記ネットワーク機器のフィルタリング処理の分担を決定する分担決定手段と、
前記分担決定手段において決定された分担に基づいて、前記ネットワーク機器に対して、フィルタリング機能の制御情報を送信する制御情報送信手段と、
して動作させることを特徴とするプログラム。

本発明の実施の形態および従来のシステムの概略図である。 本発明の実施の形態に係るシステムの構成図である。 アクセス制御ルールの分担処理の全体の流れを示すフローチャートである。 ネットワーク構成に関する情報の例を示す図である。 装置情報の例を示す図である。 ネットワークを分割した例を示す図である。 ネットワーク情報の例を示す図である。 分担条件テーブル例を示す図である。 アクセス制御ルールを示す図である。 例外処理のフローチャートである。 アクセス制御機能の分担の動的変更のフローチャートである。 動的変更テーブルの例を示す図である。

符号の説明

１０１ ＦＷ装置
１０２ ネットワーク中継装置
１０３ 端末
１０４ ＦＷ装置
１０５ ネットワーク中継装置
１０６ 端末
２０１ ＦＷ装置
２０２ パケット中継処理部
２０３ アクセス制御機能部
２０４ 制御ルール分担機能部
２０５ アクセス制御部
２０６ 制御ルールテーブル
２０７ 分担機能制御部
２０８ トポロジ情報収集処理部
２０９ 分担対象処理部
２１０ 制御ルール配信処理部
２１１ 例外条件テーブル
２１２ 分担条件テーブル
２１３ 動的変更テーブル
２１４ ネットワークトポロジ情報部
２２０ ネットワーク中継装置
２２１ パケット中継処理部
２２２ 装置情報通知機能部
２２３ アクセス制御機能部
２２４ 装置情報処理部
２２５ 装置情報
２２６ アクセス制御部
２２７ 制御ルールテーブル
２３０ 端末
２３１ パケット送受信処理部
２３２ 装置情報通知機能部
２３３ アクセス制御機能部
２３４ 装置情報処理部
２３５ 装置情報
２３６ アクセス制御部
２３７ 制御ルールテーブル

Claims (5)

1. 内部ネットワークに接続されている端末から受信したデータのフィルタリングと外部ネットワークへの転送を実行するファイアウォール装置において、
   前記内部ネットワークに接続されているフィルタリング機能を有するネットワーク機器から、負荷情報を受信する受信手段と、
   前記受信手段において受信された負荷情報に基づき、前記ファイアウォール装置及び前記ネットワーク機器のフィルタリング処理の分担を決定する分担決定手段と、
   前記分担決定手段において決定された分担に基づいて、前記ネットワーク機器に対して、フィルタリング機能の制御情報を送信する制御情報送信手段と、
   を備えるファイアウォール装置。
2. 前記内部ネットワークには、複数の前記ネットワーク機器が接続され、
   前記ネットワーク機器は、ネットワーク中継装置または端末であり、
   前記分担決定手段は、前記ネットワーク中継装置および前記端末がフィルタリング機能持つ場合は、前記ネットワーク中継装置にフィルタリング処理を分担させることを特徴とする請求項１記載のファイアウォール装置。
3. 前記受信手段は、前記ネットワーク機器の装置情報を受信し、
   前記分担決定手段は、前記ネットワーク機器の装置情報に基づきフィルタリング処理の分担を決定することを特徴とする請求項１記載のファイアウォール装置。
4. 内部ネットワークに接続されている端末から受信したデータのフィルタリングと外部ネットワークへの転送を実行するファイアウォール装置のアクセス制御分担方法において、
   前記内部ネットワークに接続されているフィルタリング機能を有するネットワーク機器から、負荷情報を受信し、
   前記受信手段において受信された負荷情報に基づき、前記ファイアウォール装置及び前記ネットワーク機器のフィルタリング処理の分担を決定し、
   前記分担決定手段において決定された分担に基づいて、前記ネットワーク機器に対して、フィルタリング機能の制御情報を送信する
   手順を有するアクセス制御分担方法。
5. 内部ネットワークに接続されている端末から受信したデータのフィルタリングと外部ネットワークへの転送を実行するファイアウォール装置を、
   前記内部ネットワークに接続されているフィルタリング機能を有するネットワーク機器から、負荷情報を受信する受信手段と、
   前記受信手段において受信された負荷情報に基づき、前記ファイアウォール装置及び前記ネットワーク機器のフィルタリング処理の分担を決定する分担決定手段と、
   前記分担決定手段において決定された分担に基づいて、前記ネットワーク機器に対して、フィルタリング機能の制御情報を送信する制御情報送信手段と、
   して動作させることを特徴とするプログラム。