ゲートウェイ装置およびパケットフィルタリング方法
【課題】パケットフィルタリング処理を高速に行うことができるゲートウェイ装置を得ること。
【解決手段】フィルタリング処理を行うＦＩＬＴＥＲ判定処理部３４を備え、動的ＮＡＰＴ変換処理を行うゲートウェイ装置であって、動的ＮＡＰＴ変換処理対象のＷＡＮ側から受信した受信パケットからプロトコル識別子、宛先アドレスおよび宛先ポート番号を抽出し、抽出結果を、プレフィルタ条件の各エントリと比較し、一致するエントリがある場合には仮通過パケットと判定し、一致するエントリがない場合には、受信パケットを破棄する第２の完全一致判定部１４、を備え、ＦＩＬＴＥＲ判定処理部３４は仮通過パケットに対してフィルタリング処理を実施する。
【解決手段】フィルタリング処理を行うＦＩＬＴＥＲ判定処理部３４を備え、動的ＮＡＰＴ変換処理を行うゲートウェイ装置であって、動的ＮＡＰＴ変換処理対象のＷＡＮ側から受信した受信パケットからプロトコル識別子、宛先アドレスおよび宛先ポート番号を抽出し、抽出結果を、プレフィルタ条件の各エントリと比較し、一致するエントリがある場合には仮通過パケットと判定し、一致するエントリがない場合には、受信パケットを破棄する第２の完全一致判定部１４、を備え、ＦＩＬＴＥＲ判定処理部３４は仮通過パケットに対してフィルタリング処理を実施する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、パケットフィルタリングを行うゲートウェイ装置に関する。
【背景技術】
【０００２】
従来のパケットフィルタリング手法では、パケットフィルタリング装置にあらかじめ適用すべきパケットフィルタ条件を優先度順にソートして設定しておく。そして、ゲートウェイ装置は、フィルタリング判定すべきパケットを受信すると、パケット毎にパケットフィルタ条件の優先度の高いエントリから順に逐一どのエントリに合致するかを比較する。そして、最初に条件に合致したエントリの動作に従って、そのパケットに対して通過・遮断処理を実行するというパケットフィルタリング処理を行っていた。
【０００３】
また、下記特許文献１では、高速なパケットフィルタリング処理を実施するパケットフィルタリング方法が提案されている。このパケットフィルタリング方法では、パケット転送装置が、パケットのフィールド値と適用すべき処理をペアにした情報をフィールド値キャッシュとして保持し、受信したパケット毎にフィールド値キャッシュとして保持されているフィールド値と照合し、以前にパケットフィルタリング判定を実施したパケットと同一のフィールド値を持つパケットであるか、を判定する。フィールド値キャッシュが存在しなければ、上記の従来のパケットフィルタリング手法と同様にパケットフィルタ条件のエントリと逐一比較を行い、その時得られた適用すべき処理をフィールド値キャッシュに登録する。
【０００４】
そして、さらに、後続のパケットに対して、登録したフィールド値キャッシュとの照合を実施する。このため、フィールド値キャッシュが存在する場合、上記の従来のパケットフィルタリング手法にくらべ、フィールド値キャッシュに関連付けられた適用すべき処理を高速に得ることができる。
【０００５】
また、下記特許文献２では、パケットフィルタリング判定処理を高速化するために、フィルタ条件の各エントリに対し並列に条件適合の判定を行い、条件に適合したエントリの中からもっとも優先度の高いエントリを選択することにより、高速なパケットフィルタリング処理を実施する方法が開示されている。
【０００６】
さらに、パケットフィルタリングを行う装置では、ＤＤＯＳ（Distributed Denial of Service）攻撃についても考慮しておくことが望ましい。下記特許文献３では、パケットフィルタリング機能を有するゲートウェイ（加入者終端）装置がＤＤＯＳ攻撃を受けた場合、よりＷＡＮ（Wide Area Network）側網に近い加入者終端集合装置にＤＤＯＳパケットを転送しないよう要求を通知して、ＤＤＯＳ攻撃を回避する方法が提案されている。
【０００７】
【特許文献１】特開２００５―３４７９６９号公報
【特許文献２】特開２００７―１６６５１３号公報
【特許文献３】特開２００６―２５４２６９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
一方、家庭内に配置される宅内ゲートウェイ装置（以下、ホームゲートウェイという）も、外部ネットワーク（ＷＡＮ側）から内部ネットワーク（ＬＡＮ（Local Area Network）側）への侵入を防御するためパケットフィルタリング機能を有している。しかし、近年、ネットワーク回線の高速化に伴い、ＤＤＯＳ攻撃パケットをホームゲートウェイでフィルタリングする際に以下のような問題点が発生する。
【０００９】
ホームゲートウェイは、ＤＤＯＳ攻撃パケットを遮断する必要があるが、ユーザによりアクセスが許可されている正当なアクセスのパケットはＤＤＯＳ攻撃中にも導通させる必要がある。一般的にＤＤＯＳ攻撃パケットは送信元ＩＰアドレスを偽装してアクセスしてＷＡＮ側より到着する。しかし、それ以外に正当アクセスのパケットとＤＤＯＳ攻撃パケットの違いはなく、ホームゲートウェイで両者のパケットの差異（特徴点）を抽出して検出することは困難である。したがって、ホームゲートウェイは、到着した各パケットを上述したパケットフィルタ条件と比較する手法によって、パケットがＤＤＯＳ攻撃パケットであるか否かを判定し、遮断または通過の処理を行うことになる。
【００１０】
またＤＤＯＳ攻撃時には非常に多量のパケットが到着する。たとえば、最悪ケースでは１Ｇｂｐｓ回線に６４ＢｙｔｅのＤＤＯＳ攻撃のショートフレームが到着する。この場合、ホームゲートウェイで上記のパケットフィルタ条件と比較する処理を全てのパケットに対して行うには、非常に高速の判定処理（たとえば、非常に短い時間［２００万ｐａｃｋｅｔ／ｓ］で完了する）を実行する必要がある。
【００１１】
しかし一般的なホームゲートウェイが有するＣＰＵ（Central Processing Unit）で、パケットフィルタリングを実現しつつこのような高速の処理を実現するのは困難である。このため、上記従来のパケットフィルタ条件と比較する手法では、バッファオーバーフローが発生し、ラインレートのスループットを保証することができない、という問題点があった。
【００１２】
また、上記特許文献１のフィールド値キャッシュを用いて高速処理を図る技術では、各パケットが通過させるべき正常トラヒックで、かつ既存のフィールド値キャッシュにエントリが登録されている後続パケットを対象とする場合のみ高速に通過と判定することができる。しかし、ＤＤＯＳパケットは送信元アドレス・送信元ポートを無秩序に偽装して送信されるため、フィールド値キャッシュとの比較判定により高速に通過と判定できない。このためＤＤＯＳパケットに対しては、依然としてパケットフィルタ条件と逐一比較する手法を採用する必要があり、判定処理が遅くなる。
【００１３】
また、ＤＤＯＳ攻撃時にはＤＤＯＳパケットと導通させるべき正常パケットが混在する。フィールド値キャッシュによる比較処理と、キャッシュ判定で通過と判定できなかった場合さらにパケットフィルタ条件と逐一比較する処理において、この２つの処理を直列で実行する構成とした場合、ＤＤＯＳ攻撃時にはより大量に到着するＤＤＯＳパケットの逐一比較処理で多くの処理時間を必要とする。
【００１４】
したがって、フィールド値キャッシュ比較処理と逐一比較処理を直列に実行する構成とした場合、ＤＤＯＳ攻撃時にはフィールド値キャッシュによる比較処理を実行する時間もなくなり、導通させるべき（フィールド値キャッシュにエントリが存在する既存コネクションの）正常トラヒックのパケットにもパケット廃棄が発生してしまう、という問題があった。
【００１５】
また、フィールド値キャッシュ比較処理と逐一比較処理を並行に実行する構成としても、大量のＤＤＯＳパケットと正常トラヒックの先頭パケットは、逐一比較処理の実行で競合することになるので、正常トラヒックでも新規コネクションの受け付けができなくなる、という問題があった。
【００１６】
近年、フィールド値抽出処理や比較処理など一部の処理をＨ／Ｗで実行し、残りの処理をパケット転送専用のＣＰＵで実現し、ワイヤレートの処理能力を持つネットワークプロセッサが出現している。
【００１７】
しかし、正常トラヒックのパケットのみを入力しキャッシュ比較処理だけを実行する場合は、パケット廃棄が発生せず、十分な性能を持つネットワークプロセッサでも、上記の理由により、ＤＤＯＳパケットを入力すると正常トラヒックのパケット処理で廃棄が発生したり、あるいは正常トラヒックでも新規コネクションの受け付けができなくなる、という問題があった。
【００１８】
また、一般にホームゲートウェイにユーザが設定するパケットフィルタ条件は、＜発アドレスの範囲，着アドレス（宛先アドレス）の範囲，プロトコル（プロトコルの識別子），発ポート番号の範囲，着ポート番号（宛先ポート番号）の範囲＞というように、フローを識別するためのパケットの任意のフィールドの組み合わせとなる。このように範囲指定を含むフィールドで構成されるパケットフィルタ条件を、ハードウェアで高速に比較できるフィールド値キャッシュ（たとえばＨａｓｈ値）演算で実現しようとすると、範囲内の全ての数値について＜発アドレス，着アドレス，プロトコル，発ポート番号，着ポート番号＞のキーを持つ個別のエントリに展開する必要がある。しかし、個別のエントリに展開すると、フィールド値キャッシュに登録すべきエントリ数は各項目の範囲数の積となる。このため、フィールド値キャッシュに登録すべきエントリ数が爆発的に増大し、フィールド値キャッシュへのエントリ登録が実質的に困難になる、という問題があった。
【００１９】
また、上記特許文献２に記載の技術では、フィルタ条件の各エントリに対し並列に条件適合の判定を行うことにより処理の高速化を図っている。しかし、並列化処理の数に制約があるホームゲートウェイでは、大量のパケットが到来するＤＤＯＳ攻撃の際に処理が追いつかずスループットが低下する可能性がある、という問題があった。
【００２０】
また、上記特許文献３に記載の技術では、よりＷＡＮ（Wide Area Network）側網に近い加入者終端集合装置にＤＤＯＳパケットを転送しないよう要求を通知して、ＤＤＯＳ攻撃を回避している。そのため、上位の加入者終端集合装置の処理に頼ることになり自装置単独ではパケット廃棄を実現できない、という問題があった。
【００２１】
また、上記特許文献３に記載の技術では、よりＷＡＮ（Wide Area Network）側網に近い加入者終端集合装置にＤＤＯＳパケットを転送しないよう要求を通知して、ＤＤＯＳ攻撃を回避している。そのため、上位の加入者終端集合装置の処理に頼ることになり自装置でパケットを廃棄する処理を行っていない、という問題があった。
【００２２】
本発明は、上記に鑑みてなされたものであって、通過させるべきパケットは可能な限り通過させ、また、遮断すべきパケットは自装置で確実に廃棄するパケットフィルタリング処理を、高速に行うことができるゲートウェイ装置およびパケットフィルタリング方法を得ることを目的とする。
【課題を解決するための手段】
【００２３】
上述した課題を解決し目的を達成するために、本発明では、受信したパケットに対して、あらかじめ設定されたフィルタリング条件に基づいて、通過判定は不正確だが廃棄判定は正確かつ高速処理が可能なプレフィルタリング処理と、通過判定と廃棄判定ともに正確だが低速処理となる逐一パケットフィルタリング処理の、２段階のフィルタリング処理を実行する手段を備えることを特徴とする。
【００２４】
また、ＬＡＮおよびＷＡＮに接続され、前記ＬＡＮ側から前記ＷＡＮ側へパケットを転送する際に動的ＮＡＰＴ変換処理を行うゲートウェイ装置であって、前記フィルタリング処理手段の処理実施前に、動的ＮＡＰＴ変換処理対象のＷＡＮ側から受信した動的ＮＡＰＴ受信パケットからプロトコル識別子、宛先アドレスおよび宛先ポート番号を抽出し、前記抽出結果を、通過を許可すべきプロトコル識別子、宛先アドレスおよび宛先ポート番号の組み合わせがあらかじめ格納されているプレフィルタ条件の各エントリと比較する、高速なプレフィルタリング処理を備えることを特徴とする。
【００２５】
また、比較の結果、抽出したプロトコル識別子、宛先アドレスおよび宛先ポート番号の組み合わせと一致するエントリがあると判断した場合には、前記動的ＮＡＰＴ受信パケットを仮通過パケットと判定し、低速な逐一パケットフィルタリング処理に処理を移行してさらに続行させる通過判定手段を備えることを特徴とする。
【００２６】
また、高速処理が可能なプレフィルタリング処理と、低速処理となる逐一パケットフィルタリング処理の処理は並列とし、低速な逐一パケットフィルタリング処理に処理を移行後は実行中でも、高速なプレフィルタリング処理は後続のパケットを処理可能とする構成を備えることを特徴とする。
【００２７】
また、一致するエントリがないと判断した場合には、前記動的ＮＡＰＴ受信パケットを、低速な逐一パケットフィルタリング処理を実行することなく、高速に破棄する通過判定手段を備えることを特徴とする。
【発明の効果】
【００２８】
この発明によれば、エントリがフィールド値キャッシュに存在する既存のコネクションはパケット導通を維持しつつ、ＤＤＯＳパケットのフィルタリングを実現できる。また、動的ＮＡＰＴインタフェース上で受信するＤＤＯＳパケットが、高速処理が可能なプレフィルタリング処理で廃棄される限りにおいて、導通させるべき新規コネクションの受付も実現できる。これにより、通過させるべきパケットは可能な限り通過させ、また、遮断すべきパケットは自装置で確実に廃棄するパケットフィルタリング処理を実現できる、という効果を奏する。
【発明を実施するための最良の形態】
【００２９】
以下に、本発明にかかるゲートウェイ装置およびパケットフィルタリング方法の実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態によりこの発明が限定されるものではない。
【００３０】
実施の形態１．
図１は、本発明にかかるゲートウェイ装置の実施の形態１の機能構成例を示す図である。図１に示すように本実施の形態のゲートウェイ装置は、転送処理部１と、制御処理部２と、で構成される。また、転送処理部１は、パケット分類フィールド値抽出処理部１１と、第１の完全一致判定部１２と、パケット編集処理部１３と、第２の完全一致判定部１４と、で構成される。また、制御処理部２は、Ｌ２ＩＰスタック２１と、転送制御ＩＰスタック２２、Ｌ３ＩＰスタック２３と、で構成される。
【００３１】
さらに、Ｌ２ＩＰスタック２１は、ＡＲＰ（Address Resolution Protocol）処理部３１と、ＰＰＰｏＥ（Point to Point Protocol over Ethernet（登録商標））処理部３２と、ＶＬＡＮ（Virtual ＬＡＮ）処理部３３と、で構成される。転送制御ＩＰスタック２２は、ＦＩＬＴＥＲ判定処理部３４とＦＬＯＷ情報管理部３５で構成される。Ｌ３ＩＰスタック２３は、ＦＷ（ＦＩＲＥＷＡＬＬ）条件管理部３６と、ＮＡＴ管理部３７と、ＤＳＣＰ更新値管理部３８と、ルーティングテーブル管理部３９と、で構成される。
【００３２】
図２は、本実施の形態のＦＩＲＥＷＡＬＬ条件（パケットフィルタ条件）エントリの一例を示す図である。本実施の形態では、ユーザがゲートウェイ装置にＦＩＲＥＷＡＬＬ条件を登録しておき、必要に応じてユーザが変更することとする。図２に示すように、本実施の形態のＦＩＲＥＷＡＬＬ条件は、受信Ｉ／Ｆ（インタフェース），発アドレス，着アドレス，プロトコル，発ポート，着ポート，動作の項目を含んでおり、図２の１段が１つのエントリに対応する。受信Ｉ／Ｆは、パケットを受信したＩ／Ｆであり、ここでは、どのネットワーク（たとえば、ＬＡＮ）に対応する受信Ｉ／Ｆであるかを示すこととし、ネットワーク名を示すこととする。図２の受信Ｉ／Ｆ，発アドレス，着アドレス，プロトコル，発ポート，着ポートの項目は、エントリごとの条件を示しており、動作の項目は、それらの条件に合致する場合のゲートウェイ装置の動作を示している。ここでは、動作は、ｄｒｏｐ（破棄）とｐａｓｓ（通過）の２種類を示している。
【００３３】
また、ここでは、本実施の形態のゲートウェイ装置は、ＷＡＮ＃１〜ＷＡＮ＃３の３つのＷＡＮとＬＡＮに接続されていることとする。１段目から５段目までのエントリはＷＡＮ＃１から受信したパケットに対するエントリであり、６段目のエントリはＷＡＮ＃２から受信したパケットに対するエントリであり、７段目のエントリはＷＡＮ＃３から受信したパケットに対するエントリである。また２段目から４段目のエントリは、範囲条件（たとえば、発アドレスが、１３３．９．３．１００−１３３．９．３．２００の範囲）を含むＦＩＲＥＷＡＬＬ条件エントリとなっている。
【００３４】
また、本実施の形態では、ＦＷ条件管理部３６と、ＮＡＴ管理部３７と、ＤＳＣＰ更新値管理部３８と、ルーティングテーブル管理部３９が、それぞれユーザから自身の処理に関連するフィルタリング条件を受付けて、受け付けた条件をＦＩＬＴＥＲ判定処理部３４に出力することとする。すなわち、ＦＷ条件管理部３６と、ＮＡＴ管理部３７と、ＤＳＣＰ更新値管理部３８と、ルーティングテーブル管理部３９は、処理ごとのフィルタリング条件を受け付ける手段と考えることができる。そして、ＦＩＬＴＥＲ判定処理部３４は、これらの条件を収集して、結合し、結合結果をＦＩＬＴＥＲ条件として保持することとする。
【００３５】
図３は、本実施の形態の静的ＮＡＰＴ（Network Address Port Translation）条件のエントリの一例を示す図である。本実施の形態では、静的ＮＡＰＴ条件のエントリをユーザがゲートウェイ装置にあらかじめ登録しておき、必要に応じてユーザが変更することとする。図３に示すように、本実施の形態の静的ＮＡＰＴ条件は、受信Ｉ／Ｆ，着アドレス，プロトコル，着ポート，動作，ＮＡＰＴ，ＮＡＰＴ先アドレス，ＮＡＰＴ先ポートの項目を含んでおり、１段が１つのエントリに対応する。本実施の形態のＮＡＴ管理部３７はこのような静的ＮＡＰＴ条件エントリに基づいて後述のようにＮＡＴ処理を行うこととする。１段目と２段目のエントリは、ＷＡＮ＃１に関するエントリであり、３段目と４段目のエントリは、ＷＡＮ＃３に関するエントリである。
【００３６】
図４は、本実施の形態のＦＩＬＴＥＲ条件エントリの一例を示す図である。本実施の形態のＦＩＬＴＥＲ条件エントリは、前述のようにＦＷ条件管理部３６と、ＮＡＴ管理部３７と、ＤＳＣＰ更新値管理部３８と、ルーティングテーブル管理部３９から出力された条件を結合したものである。たとえば、ここでは、図２で例示したＦＩＲＥＷＡＬＬ条件エントリと図３に示した静的ＮＡＰＴ条件エントリを結合して生成したとする。図４に示すように、ＦＩＬＴＥＲ条件を示す部分（ＦＩＬＴＥＲ）と条件と合致した場合に行う動作を示す部分（ＡＣＴＩＯＮ）に分けて生成する。図４の１段目から４段目は、図３の静的ＮＡＰＴエントリの１段目から４段目に対応し、図４の５段目から１１段目は図２のＦＩＲＥＷＡＬＬ条件エントリに対応している。なお、図２〜図４で示した各エントリは、優先度の高いエントリから順に格納されていることとする。
【００３７】
図５は、本実施の形態の第２の完全一致判定部１４が実施する処理で用いるＰＲＥフィルタ設定エントリの一例を示す図である。図５に示すように、ＰＲＥフィルタ設定エントリは、ＦＩＬＴＥＲ条件エントリと同様の項目を含んでいる。第２の完全一致判定部１４の処理については後述するが、本実施の形態の第２の完全一致判定部１４は、ＦＩＬＴＥＲ判定処理部３４が従来の手法によるパケットフィルタリングを行う前に、通過すべきパケットの候補、すなわち、仮通過パケットを選択し、仮通過パケット以外を仮通過判定手段として機能する。
【００３８】
図６は、本実施の形態の第２の完全一致判定部１４の機能構成例を示す図である。図６に示すように、本実施の形態の第２の完全一致判定部１４は、受信Ｉ／Ｆ判定部４１と、ＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３と、で構成される。受信Ｉ／Ｆ判定部４１は、動的ＮＡＰＴ実行Ｉ／Ｆに対応するネットワークから受信したパケットである場合には、ＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３へ出力し、動的ＮＡＰＴ実行Ｉ／Ｆに対応しないネットワークから受信したパケットを直接ＦＩＬＴＥＲ判定処理部３４へ出力する。
【００３９】
図７−１，図７−２は、本実施の形態のＦＬＯＷ情報管理部３５が生成するフロー情報エントリの一例を示す図である。図７−３は、図７−１，７−２の例で仮定しているネットワーク構成例を示す図である。図７−１は、パケットを識別するためのフィールド値情報（ＦＬＯＷ）の一例を示しており、識別番号（Ｎｏ），方向，受信Ｉ／Ｆ，発アドレス，着アドレス，プロトコル，発ポート，着ポートの項目を含んでいる。図７−２は、パケットを編集するためのＩＰヘッダ編集情報（ＭＯＤＩＦＹ）と出力先ネクストホップ情報の一例を示している。ＭＯＤＩＦＹは、識別番号（Ｎｏ），方向，発アドレス，発ポート，着アドレス，着ポートを含み、ＦＬＯＷは、宛先ＭＡＣ（Media Access Controlアドレス）と出力ＩＦ（インタフェース）を含んでいる。図７−１，７−２に示すように、フロー情報エントリは順方向と逆方向で１対となり、１対に対して同一識別番号を付している。また、図７−１で示したフィールド値情報（ＦＬＯＷ）はフィールド値エントリとして第１の完全一致判定部１２が保持し、図７−２で示したＩＰヘッダ編集情報（ＭＯＤＩＦＹ）と出力先ネクストホップ情報は、編集情報エントリとしてパケット編集処理部１３が保持する。
【００４０】
また、図７−３に示すように、この例のネットワーク構成は、本実施の形態のゲートウェイ装置１００と、通信装置２０１〜２０４と、ＳＩＰ（Session Initiation Protocol）サーバであるＳＩＰ２１０と、を備えている。ゲートウェイ装置１００は、通信装置２０１とはＬＡＮを介して接続され、通信装置２０２とはＷＡＮ＃１およびインターネットを介して、ＳＩＰ２１０とはＷＡＮ＃１を介して、通信装置２０３とはＷＡＮ＃２を介して、通信装置２０４とはＷＡＮ＃３を介して、それぞれ接続されている。
【００４１】
つづいて、本実施の形態の動作について説明する。ここでは、図７−３に示したネットワーク構成を仮定することとする。まず、本実施の形態のゲートウェイ装置にパケットフロー（＜送信元アドレス・送信元ポート番号・プロトコル・宛先アドレス・宛先ポート番号＞が全て同一であるパケットの組）の最初のパケットを受信し、パケット分類フィールド値抽出処理部１１がパケット種別（たとえば、ＡＲＰパケット，ＰＰＰｏＥ制御パケットなど）を判定する。
【００４２】
パケット分類フィールド値抽出処理部１１は、受信したパケットの種別がＡＲＰパケットやＰＰＰｏＥ制御パケットなど転送制御に関係するパケットであると判定した場合、ＡＲＰパケットはＡＲＰ処理部３１へ、ＰＰＰｏＥ制御パケットはＰＰＰｏＥ処理部３２へ、それぞれ転送する。
【００４３】
そして、ＡＲＰ処理部３１は、転送されたＡＲＰパケットに対するＡＲＰ応答パケットの生成する処理など、所定のＡＲＰ処理を実施する。また、ＰＰＰｏＥ処理部３２は、転送されたＰＰＰｏＥ制御パケットに対する応答処理など所定のＰＰＰｏＥ処理を実施する。
【００４４】
また、パケット分類フィールド値抽出処理部１１は、受信したパケットの種別がＩＰ（Internet Protocol）／ＵＤＰ（User Datagram Protocol）／ＴＣＰ（Transmission Control Protocol）など、転送制御に関係しないデータパケットであると判定した場合、さらにそのパケットが属するパケットフローを識別するフィールド値：＜送信元アドレス・送信元ポート番号・プロトコル番号・宛先アドレス・宛先ポート番号＞をデータパケットから抽出し、抽出したフィールド値とそのパケットを第１の完全一致判定部１２に転送する。
【００４５】
第１の完全一致判定部１２は、パケット分類フィールド値抽出処理部１１が抽出したフィールド値に一致するエントリが、自身が保持するフィールド値エントリに登録されているかを判定する。ここでは、受信したパケットは、パケットフローの最初のパケットであり、エントリに登録されていないものとする。この場合、第１の完全一致判定部１２は、そのパケットを第２の完全一致判定部１４へ転送する。
【００４６】
ここで、ＦＷ条件管理部３６はあらかじめ登録された図２のようなＦＩＲＥＷＡＬＬ条件エントリを保持し、また、ＮＡＴ管理部３７はあらかじめ登録された図３のような静的ＮＡＰＴ条件エントリを保持しているとする。
【００４７】
また、ＮＡＴ管理部３７では、ＬＡＮからＷＡＮ＃１の方向、および、ＬＡＮからＷＡＮ＃３の方向へ転送されるパケットに対し動的ＮＡＰＴを実行するよう設定されていることとする。すなわちＷＡＮ＃１とＷＡＮ＃３が動的ＮＡＰＴ実行Ｉ／Ｆとなるよう設定されているものとする。
【００４８】
また、ＦＩＬＴＥＲ判定処理部３４は、ＦＩＲＥＷＡＬＬ条件エントリと静的ＮＡＰＴ条件エントリを読み出して結合し、図４のような形式のＦＩＬＴＥＲエントリを生成して保持する。この際、静的ＮＡＰＴ条件エントリに基づいて生成されるエントリ（図４の１段目から４段目）については、静的ＮＡＰＴ条件エントリに発アドレス・発ポート番号が含まれないため（一般に静的ＮＡＰＴ条件エントリでは発アドレス・発ポート番号を指定しない）ため、ＦＩＬＴＥＲエントリとするときに発アドレスおよび発ポート番号をany（そのパラメタのとり得る全ての値に適合する条件）とする。静的ＮＡＰＴ条件エントリに基づくエントリ（図４の５段目から１１段目）については、ＦＩＲＥＷＡＬＬ条件エントリにそのまま登録する。
【００４９】
生成されたＦＩＬＴＥＲ条件のうち、ＦＩＬＴＥＲの部分は、どのようなパケットを振り分けるための条件を記述する部分であり、ＡＣＴＩＯＮは、条件に合致したパケットに対してどのような動作を実行するかを記述する部分である。図４に示したように、ＦＩＲＥＷＡＬＬ条件エントリはエントリごとにＦＩＬＴＥＲとＡＣＴＩＯＮが対応付けられている。
【００５０】
またＦＩＬＴＥＲ判定処理部３４は、図４のＦＩＬＴＥＲ条件エントリから、動的ＮＡＰＴ実行Ｉ／Ｆに対応するエントリを選択し、選択したエントリに基づいて次のように第２の完全一致判定部１４にＰＲＥ−ＦＩＬＴＥＲ条件エントリを生成して登録する。
【００５１】
まず、ＦＩＬＴＥＲ条件エントリから、受信Ｉ／Ｆが動的ＮＡＰＴ実行Ｉ／Ｆであり、かつ、動作がｐａｓｓ（通過）であるエントリのみを抽出する。そして、そのエントリから＜プロトコル，着アドレス，着ポート番号＞を抽出する。ここで、着アドレスが範囲指定されている（ａｎｙも含む）場合、着アドレスの範囲条件に動的ＮＡＰＴ実行Ｉ／Ｆのアドレスが含まれていれば、着アドレスをその動的ＮＡＰＴ実行Ｉ／Ｆのアドレス（この場合は、localhostとする)に変換した後に、ＰＲＥ−ＦＩＬＴＥＲエントリを生成する。着アドレスの範囲条件に動的ＮＡＰＴ実行Ｉ／Ｆのアドレスが含まれていなければ、ＰＲＥ−ＦＩＬＴＥＲエントリとして登録しない。また、着ポート番号が範囲で指定されている場合には、その範囲の先頭の値から最後の値まで個別に展開してＰＲＥ−ＦＩＬＴＥＲ条件エントリとして生成する。ＰＲＥ−ＦＩＬＴＥＲ条件エントリの発アドレスおよび発ポートについては、条件比較項目に含めない（Ｎ／Ａとする）。
【００５２】
たとえば、図４のＦＩＬＴＥＲエントリのうち、受信Ｉ／ＦがＷＡＮ＃１（動的ＮＡＰＴ実行Ｉ／Ｆ）のエントリについて、動作がｐａｓｓであるエントリは１段目，２段目，６段目，８段目である。したがって、ＦＩＬＴＥＲ判定処理部３４は、受信Ｉ／ＦがＷＡＮ＃１のエントリについては、１段目，２段目，６段目，８段目の＜プロトコル，着アドレス，着ポート番号＞を抽出する。このうち、６段目と８段目の着アドレスは、ａｎｙであり範囲指定されているため、着アドレスをＷＡＮ＃１のＩ／Ｆアドレスであるlocalhostに変換する。
【００５３】
また、図４の６段目と８段目のエントリは、着ポートについても範囲指定となっている。このため、着ポートをその範囲の先頭の値から最後の値までに展開してＰＲＥ−ＦＩＬＴＥＲエントリとして生成する。たとえば、図４の６段目のエントリについては、着ポート番号の５００００−５０５００という範囲指定を、図５の３〜７段目に示すように５００００，５０００１，５０００２，…，５０５００の着ポート番号に展開して個別のＰＲＥ−ＦＩＬＴＥＲエントリとして生成する。同様に、図４の８段目のエントリについては、１００−１０２４というという範囲指定を、図５の８〜１２段目に示すように１００，１０１，１０２…，１０２４の着ポート番号に展開して個別のＰＲＥ−ＦＩＬＴＥＲ条件エントリとして生成する。
【００５４】
このようにして生成したＰＲＥ−ＦＩＬＴＥＲ条件エントリを受信Ｉ／Ｆごとに第２の完全一致判定部４１のＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３が保持するＰＲＥ−ＦＩＬＴＥＲ条件エントリとして登録する。本実施の形態では、動的ＮＡＰＴ実行Ｉ／ＦであるＷＡＮ＃１についてのＰＲＥ−ＦＩＬＴＥＲ条件エントリはＰＲＥ−ＦＩＬＴＥＲ判定部４２−１が保持し、ＷＡＮ＃３についてのＰＲＥ−ＦＩＬＴＥＲ条件エントリはＰＲＥ−ＦＩＬＴＥＲ判定部４２−２が保持することとする。
【００５５】
このように、受信Ｉ／Ｆが動的ＮＡＰＴ実行Ｉ／Ｆでありかつ動作が通過であるＦＩＬＴＥＲ条件エントリを選択し、さらに発アドレス・発ポート条件などの限定条件は条件比較から外してＰＲＥ−ＦＩＬＴＥＲエントリを生成する。このため第２の完全一致判定部１４のＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３が保持するＰＲＥ−ＦＩＬＴＥＲ条件エントリには、動的ＮＡＰＴ実行Ｉ／Ｆで外部からのアクセスを許可するべき各フローの先頭パケットの＜プロトコル・着アドレス・着ポート番号＞の候補が全て登録される。受信Ｉ／Ｆが動的ＮＡＰＴ実行Ｉ／Ｆの場合について、ＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３による判定を行うのは、動的ＮＡＰＴ実行Ｉ／Ｆの場合にはＦＩＬＴＥＲ条件として着アドレス，着ポートが範囲で指定されることが多いため、静的ＮＡＰＴ実行Ｉ／Ｆの場合に比べ、ＦＩＬＴＥＲ条件との比較処理の負荷が高いからである。
【００５６】
ここで、パケット受信処理の説明に戻る。第２の完全一致判定部１４は、第１の完全一致判定部１２から転送されたパケット（先頭パケットが転送されるため、以下先頭パケットという）を受け取ると、まず、受信Ｉ／Ｆ判定部４１が、その先頭パケットの受信Ｉ／Ｆが動的ＮＡＰＴ実行Ｉ／Ｆであるかを判定する。受信Ｉ／Ｆが動的ＮＡＰＴ実行Ｉ／Ｆであれば、その受信Ｉ／Ｆに対応するＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３へパケットを転送する。そして、ＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３は、転送された先頭パケットの＜プロトコル・着アドレス・着ポート番号＞と、各々が保持しているＰＲＥ−ＦＩＬＴＥＲ条件エントリを比較し、一致するエントリがない場合には、その先頭パケットを廃棄する。
【００５７】
たとえば、転送された先頭パケットの受信Ｉ／Ｆが動的ＮＡＰＴ実行Ｉ／ＦであるＷＡＮ＃１であった場合、ＷＡＮ＃１に対応するＰＲＥ−ＦＩＬＴＥＲ判定部４２−１に先頭パケットを転送する。ＰＲＥ−ＦＩＬＴＥＲ判定部４２−１は、その先頭パケットの＜プロトコル・着アドレス・着ポート番号＞が、保持しているＰＲＥ−ＦＩＬＴＥＲ条件エントリと一致するかを判定し、一致するエントリがない場合には、その先頭パケットを廃棄する。なぜなら、ＰＲＥ−ＦＩＬＴＥＲ判定部４２−１が保持するＰＲＥ−ＦＩＬＴＥＲ条件エントリには、前述の通り受信Ｉ／ＦがＷＡＮ＃１であり、外部からのアクセスを許可するべき先頭パケットの＜プロトコル・着アドレス・着ポート番号＞が全て登録されており、登録されていない（エントリと一致しない）パケットは全て破棄して良いと判断することができるためである。
【００５８】
また、ＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３は、転送された先頭パケットの＜プロトコル・着アドレス・着ポート番号＞と一致するＰＲＥ−ＦＩＬＴＥＲ条件エントリがあった場合にはその先頭パケットを仮通過パケットと判定し、ＰＲＥ−ＦＩＬＴＥＲエントリの生成時に切り捨てた発アドレス・発ポート条件などを満たすかなどさらに詳細な判定を行うため、その先頭パケットをＦＩＬＴＥＲ判定処理部３４に転送する。
【００５９】
また、受信Ｉ／Ｆ判定部４１は、先頭パケットの受信Ｉ／Ｆが動的ＮＡＰＴ実行Ｉ／Ｆでないと判定した場合は、ＦＩＬＴＥＲ判定処理部３４にその先頭パケットを転送する。
【００６０】
このように、受信Ｉ／Ｆ判定部４１が、先頭パケットの受信Ｉ／Ｆが動的ＮＡＰＴ実行Ｉ／Ｆかを判定し、動的ＮＡＰＴ実行Ｉ／Ｆであった場合にＰＲＥ−ＦＩＬＴＥＲ条件判定部４２−１〜４２−３を経由することにより、廃棄すべき先頭パケットを、ＦＩＬＴＥＲ判定処理部３４を経ずに廃棄することができる。これにより、先頭パケットの受信Ｉ／Ｆが動的ＮＡＰＴ実行Ｉ／Ｆの場合に、効率的に遮断すべきパケットを検出し、高速に先頭パケットを廃棄できる。
【００６１】
また、ＦＩＬＴＥＲ判定処理部３４に転送される先頭パケットは、受信Ｉ／Ｆが動的ＮＡＰＴ実行Ｉ／Ｆでないか、または、受信Ｉ／Ｆが動的ＮＡＰＴ実行Ｉ／Ｆであり、かつ通過と判断された先頭パケット（仮通過パケット）のみである。ＦＩＬＴＥＲ判定処理部３４は、これらの先頭パケットについて、図４に例示したＦＩＬＴＥＲ条件エントリの内容と一致するか、を優先度の高いエントリから順に判定する。判定の結果、ＦＩＬＴＥＲ条件エントリの条件に合致するＦＩＬＴＥＲエントリが存在し、そのエントリの動作が遮断の場合、ＦＩＬＴＥＲ判定処理部３４は、その先頭パケットを廃棄する。また、ＦＩＬＴＥＲ条件エントリの条件に合致するＦＩＬＴＥＲエントリが存在し、エントリの動作が通過の場合、ＦＩＬＴＥＲ判定処理部３４は、その先頭パケットをＦＬＯＷ情報管理部３５に転送する。
【００６２】
ＦＬＯＷ情報管理部３５は、図７−１，７−２に示すような第１の完全一致判定部１２が保持するフロー情報エントリを生成する。具体的には、ＦＩＬＴＥＲ判定処理部３４から転送された先頭パケットから＜送信元アドレス・送信元ポート番号・プロトコル番号・宛先アドレス・宛先ポート番号＞を抽出し、フィールド値ＦＬＯＷ（図７のＦＬＯＷ）として生成する。
【００６３】
また、ＦＬＯＷ情報管理部３５は、ＦＩＬＴＥＲ判定処理部３４が保持するＦＩＬＴＥＲ条件エントリ，ＮＡＴ管理部３７，ＤＳＣＰ値更新管理部３８から情報を収集して図７−２のＩＰヘッダ編集情報（ＭＯＤＩＦＹ）を生成し、ＡＲＰ処理部３１，ＰＰＰｏＥ処理部３２，ＶＬＡＮ処理部３３，ルーティングテーブル管理部３９から情報を収集して出力先ネクストホップ情報（ＮＥＸＴＨＯＰ）を生成する。そして、ＦＬＯＷ情報管理部３５は、これらを統合して図７−２に示すようなパケット編集情報エントリを生成する。なお、ＮＡＴ管理部３７はＮＡＴ処理に関する必要情報を、ＤＳＣＰ更新値管理部３８はＴＯＳ／ＤＳＣＰに関する必要情報を、ＡＲＰ処理部３１はＡＲＰ処理に関する必要情報を，ＰＰＰｏＥ処理部３２はＰＰＰｏＥ処理に関する必要情報を、ＶＬＡＮ処理部３３はＶＡＬＮ処理に関する必要情報を、ルーティングテーブル管理部３９はルーティング情報を、それぞれ保持し所定の処理により必要な場合には更新していることとする。
【００６４】
さらに、ＦＬＯＷ情報管理部３５は、図７−１で示したフィールド値（ＦＬＯＷ）を第１の完全一致判定部１２に出力し、図７−２で示したＩＰヘッダ編集情報（ＭＯＤＩＦＹ）と出力先ネクストホップ情報（ＮＥＸＴＨＯＰ）を、パケット編集処理部１３へ出力する。第１の完全一致判定部１２，パケット編集処理部１３は、出力された情報をそれぞれフィールド値エントリ，編集情報エントリとして保持する。
【００６５】
そして、ＦＬＯＷ情報管理部３５は、最後に先頭パケットを、パケット分類フィールド値抽出処理部１１に戻す。
【００６６】
パケット分類フィールド値抽出処理部１１は、ＦＬＯＷ情報管理部３５から戻された先頭パケットから、１度目と同様にフィールド値：＜送信元アドレス・送信元ポート番号・プロトコル・宛先アドレス・宛先ポート番号＞を抽出し、抽出したフィールド値とそのパケットを第１の完全一致判定部１２に転送する。
【００６７】
第１の完全一致判定部１２は、抽出されたフィールド値：＜送信元アドレス・送信元ポート番号・プロトコル・宛先アドレス・宛先ポート番号＞に該当するエントリがＦＩＬＴＥＲ条件エントリに存在するか再度判定する。２回目の判定では、上記の処理により、その先頭パケットに対応するフィールド値エントリを生成済みであるため、第１の完全一致判定部１２は、該当するエントリが登録されていると判定する。そして、第１の完全一致判定部１２は、パケット編集処理部１３にその先頭パケットを転送する。
【００６８】
パケット編集処理部１３は、保持している編集情報エントリに基づいて転送された先頭パケットの所定の箇所を編集する。たとえば、ＮＡＰＴ処理を行う場合は送信元アドレス・ポート番号または宛先アドレス・宛先ポート番号を更新したり、ＴＯＳ／ＤＳＣＰ値更新処理を行う場合は、ＴＯＳ／ＤＳＣＰフィールドを更新したりする。なお、図７−２の例では、ＴＯＳ／ＤＳＣＰ値更新の情報を示していないが、図７−２は一例であり、これに限らず、パケットに必要な編集処理に応じて編集項目を設定すればよい。
【００６９】
また、パケット編集処理部１３は、出力先ネクストホップ情報に基づいて送信元・宛先ＭＡＣアドレスを更新したり、必要な場合にはＰＰＰｏＥヘッダでカプセリングしたりする。なお、どのような編集処理が必要であるかについては、パケットの種別ごとに設定することとする。最後に、パケット編集処理部１３は、編集したパケットを外部へ送信する。
【００７０】
また先頭パケットと同一のフローに属する後続のパケットも同様の手順により転送処理部１内で処理され、外部へ送信される。
【００７１】
以上のように、本実施の形態では、各フローの先頭パケットに対し第２の完全一致判定部１４が動的ＮＡＰＴ実行Ｉ／Ｆでありかつ通過させるべき先頭パケットを抽出してＦＩＬＴＥＲ判定処理部３４に転送し、通過させるべきでない先頭パケットを廃棄するようにした。このため、動的ＮＡＰＴ実行Ｉ／Ｆに到着するＤＤＯＳパケットの多くを第２の完全一致判定部１４が破棄することができ、ＦＩＬＴＥＲ判定処理部３４が逐次判定により通過と破棄を判定する場合に比べ、破棄すべきパケットを効率よく高速に廃棄することができ、より多くの正常フローの先頭パケットを処理することが可能となる。したがって、動的ＮＡＰＴ実行Ｉ／Ｆに、通過させるべき正常フローの先頭パケットと廃棄すべきパケットが混在して到着するような状況でも、従来技術に比べより多くの正常フローの先頭パケットを通過させることができる。
【００７２】
さらに、本実施の形態では、第２の完全一致判定部１４が各フローの後続パケットに対して、図２に示すＦＩＲＥＷＡＬＬエントリや図３に示す静的ＮＡＰＴエントリと逐次比較を実施することなくフィールド値エントリに基づいて通過／破棄を判定し、通過させるパケットはただちにパケット編集処理部１３へ転送する。このため、一度先頭パケットに対し通過と判定した後は、そのパケットと同一フローの後続パケットに対しても高速に処理できる。
【００７３】
さらに、第２の完全一致判定部１４と第１の完全一致判定部１２のいずれも高速に判定できるＨＡＳＨ演算による比較により行い、動的ＮＡＰＴ実行Ｉ／Ｆに到着するＤＤＯＳパケットが全て第２の完全一致判定部１４で廃棄される場合、ＤＤＯＳパケットを廃棄する場合の総処理時間（パケット分類フィールド値抽出部１１と第２の完全一致判定部１４と第１の完全一致判定部１２の総計)と、正常フローの後続パケットが通過する場合の総処理時間（パケット分類フィールド値抽出部１１と第２の完全一致判定部１４とパケット編集とパケット送信の処理時間の総計）が、共にワイヤレートのパケットの到着時間より短くなるように、これらの処理をＨ／Ｗ的に実現することで、ＤＤＯＳパケットがワイヤレートで到着する場合でも正常フローのパケットを全て確実に通過させることができる。
【００７４】
また、本実施の形態では、ＦＷ条件管理部３６，ＮＡＴ管理部３７が、図２に示すＦＩＲＥＷＡＬＬ条件エントリ，図３に示す静的ＮＡＰＴエントリをそれぞれ受信Ｉ／Ｆごとに登録している。そして、それらのエントリに基づいて第２の完全一致判定部１４は、受信Ｉ／Ｆごとに独立したＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３を設けている。このため、対象Ｉ／Ｆ以外のＦＩＲＥＷＡＬＬエントリおよび静的ＮＡＰＴエントリの登録とは無関係に動作する。その結果、図２に示すようなインターネットに接続され動的ＮＡＰＴを実行するＩ／ＦであるＷＡＮ＃１に対する外部からのアクセスに対してはパケットフィルタリングを実施し、私設網に接続されたＷＡＮ＃２に対する外部からのアクセスを全て許可するような場合でも、他の受信Ｉ／Ｆの処理と無関係に自身の処理対象の受信Ｉ／Ｆからの入力パケットに対してのみパケットフィルタリングを実施することができる。
【００７５】
また、本実施の形態では、着ポートが範囲指定されている場合に展開して第２の完全一致判定部１４が保持するようにしている。このため、範囲指定を持つＦＩＲＥＷＡＬＬ条件に対しても適切なパケットフィルタリングを実施することができる。
【００７６】
また、本実施の形態では、第２の完全一致判定部１４が通過させた先頭パケットに対し、再度ＦＩＬＴＥＲ判定処理部３４が逐次比較を実施するようにしている。これにより最終的には、ユーザが設定する図２に示すＦＩＲＥＷＡＬＬ条件や図３に示す静的ＮＡＰＴ条件に合致するパケットフィルタリング処理を実現できる。
【００７７】
実施の形態２．
図８は、本発明にかかるゲートウェイ装置の実施の形態２の機能構成例を示す図である。本実施の形態のゲートウェイ装置は、制御処理部２ａと転送処理部１ａとで構成される。制御処理部２ａは、実施の形態１と同様のＬ２ＩＰスタック２１およびＬ３ＩＰスタック２３と、転送制御ＩＰスタック２２ａと、Ｌ４ＩＰスタック２４と、ＶｏＩＰ機能部２５と、で構成される。また、転送処理部１ａは、実施の形態１の転送処理部１の第２の完全一致判定部１４を第３の完全一致判定部１５に替える以外は実施の形態１の転送制御部１と同様である。実施の形態１と同様の機能を有する構成要素は同一の符号を付して説明を省略する。
【００７８】
また、本実施の形態の転送制御ＩＰスタック２２ａは、実施の形態１の転送制御ＩＰスタック２２に廃棄パケットカウンタ５０を追加する以外は実施の形態１の転送制御ＩＰスタック２２と同様である。
【００７９】
Ｌ４ＩＰスタック２４は、ＵＤＰ処理部５１とＴＣＰ処理部５２とで構成され、ＶｏＩＰ（Voice over Internet Protocol）機能部２５は、ＳＩＰ処理部５３と、ＶｏＩＰ管理部５４と、ＲＴＰ（Real-time Transport Protocol）／ＲＴＣＰ（ＲＴＰ Control Protocol）処理部５５と、ＤＳＰ（Digital Signal Processor）処理部５６と、で構成される。
【００８０】
図９は、本実施の形態の第３の完全一致判定部１５の機能構成例を示す図である。本実施の形態の第３の完全一致判定部１５は、実施の形態１の第２の完全一致判定部１４にカウンタ５７−１〜５７−６，ＤＤＯＳ−ＦＩＬＴＥＲ判定部５８−１〜５８−３を追加する以外は、実施の形態１の第２の完全一致判定部１４と同様である。
【００８１】
実施の形態１では、動的ＮＡＰＴ実行Ｉ／Ｆに到着するＤＤＯＳパケットをＰＲＥ−ＦＩＬＴＥＲで廃棄できるようにしたが、本実施の形態ではＤＤＯＳ攻撃時にもＶｏＩＰ着呼処理を実施できるようにしている。以下、実施の形態１と異なる部分について説明する。
【００８２】
つづいて、本実施の形態の動作について説明する。通常、ゲートウェイ装置はＶｏＩＰ着呼を受け入れるためＳＩＰ用着ポート番号についてはＦＩＲＥＷＡＬＬ条件で通過と設定する。このため、ＶｏＩＰ機能部２５は、ゲートウェイ装置がＶｏＩＰ着呼を受け付けるＳＩＰサーバアドレスを発アドレスとし、ＶｏＩＰ着呼を受け付けるＷＡＮ側のＩ／Ｆアドレスを着アドレスとし、ＶｏＩＰ着呼を受け付けるＳＩＰポート番号を着ポート番号とし、動作を通過としたエントリ（以下、ＳＩＰエントリという）をＦＷ条件管理部３６が保持するＦＩＲＥＷＡＬＬ条件エントリに登録しておく。また、これらのＶｏＩＰ着呼に関連するエントリはＶｏＩＰ管理部５４が保持していることとする。
【００８３】
このように登録されたＦＩＲＥＷＡＬＬ条件エントリは、実施の形態１と同様に、ＦＩＬＴＥＲ判定処理部３４が静的ＮＡＰＴエントリと結合する。そして、ＦＩＬＴＥＲ判定処理部３４は、結合したエントリを第３の完全一致判定部１５のＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３に登録する。
【００８４】
また、ＶｏＩＰ管理部５４は、上記のＳＩＰエントリを第３の完全一致判定部１５のＤＤＯＳ−ＦＩＬＥＴＥＲ判定部５８−１〜５８−３に出力し、第３の完全一致判定部１５のＤＤＯＳ−ＦＩＬＥＴＥＲ判定部５８−１〜５８−３は、出力されたエントリをＤＤＯＳ−ＦＩＬＴＥＲエントリとして保持する。
【００８５】
つぎに、本実施の形態のゲートウェイ装置が、ＤＤＯＳ攻撃を受けたとする。ＤＤＯＳ攻撃パケットは、実施形態１で説明したように第１の完全一致判定部１２のフィールド値エントリには登録されていない。したがって、第１の完全一致判定部１２は、ＤＤＯＳ攻撃パケットを第３の完全一致判定部１５に転送する。
【００８６】
第３の完全一致判定部１５の受信Ｉ／Ｆ判定部４１は、実施の形態１と同様に転送されたパケットの受信Ｉ／Ｆが動的ＮＡＰＴ実行Ｉ／Ｆかを判定する。ＤＤＯＳ攻撃時で無い場合には、実施の形態１と同様にＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３が対応する受信Ｉ／Ｆについての判定を行い、破棄すべきパケットは破棄する。
【００８７】
ここで、ＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３が保持するＰＲＥ−ＦＩＬＴＥＲエントリには、ＳＩＰ用着ポート番号は、通過と設定されているとする。このため、ＤＤＯＳパケットのうち、着ポート番号がＳＩＰ用ポート番号でないＤＤＯＳパケットはＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３が破棄する。また、カウンタ５７−１はＰＲＥ−ＦＩＬＴＥＲ判定部４２−１が廃棄したパケットを計数する。同様にカウンタ５７−２はＰＲＥ−ＦＩＬＴＥＲ判定部４２−２が廃棄したパケットを、カウンタ５７−３はＰＲＥ−ＦＩＬＴＥＲ判定部４２−３が廃棄したパケットをそれぞれ計数する。
【００８８】
また、着ポート番号がＳＩＰ用ポート番号のＤＤＯＳ攻撃パケットはＰＲＥ−ＦＩＬＴＥＲ４２−１〜４２−３を通過し、ＦＩＬＴＥＲ判定処理部３４へ転送される。しかし、通過したＤＤＯＳ攻撃パケットは、発アドレスがＳＩＰサーバアドレスでないためＦＩＬＴＥＲ判定処理部３４で廃棄される。
【００８９】
廃棄パケットカウンタ５０は、ＦＩＬＴＥＲ判定処理部３４が破棄したパケット数を計数する。廃棄パケットカウンタ５０は、第３の完全一致判定部１５のカウンタ５７−１〜５７−６が計数した計数結果を収集し、収集した計数結果とＦＩＬＴＥＲ判定部３４が破棄したパケット数を合計し、合計破棄パケット数を算出する。
【００９０】
さらに、廃棄パケットカウンタ５０は、一定期間毎に合計破棄パケット数に基づいてその一定期間の間に廃棄したパケットの総数を求める。カウンタ５７−１〜５７−６および廃棄パケットカウンタ５０が廃棄したパケット数を初期値に戻さずに計数しているときには、一定期間毎の計数結果の差分をとってその期間に到着したパケット数を求める。なお、廃棄パケットカウンタ５０は、差分を求めた後に現在の合計破棄パケット数は前回合計破棄パケット数として保持しておくこととする。そして、その差分が所定のしきい値以上であった場合にＤＤＯＳ攻撃中であると検知する。なお、一定期間ごとにカウンタ５７−１〜５７−６および廃棄パケットカウンタ５０のカウンタ値を初期化して０にする場合には、計数値がそのまま一定期間ごとの廃棄パケット数となるため、合計破棄パケット数がその期間に到着したパケット数となる。この場合は、差分を求めずに合計破棄パケット数をしきい値と比較する。
【００９１】
廃棄パケットカウンタ５０は、ＤＤＯＳ攻撃を検知すると、受信Ｉ／Ｆ判定部４１に、パケットの出力先を、より強力な条件を設定しているＤＤＯＳ−ＦＩＬＴＥＲ判定部５８−１〜５８−３へ切り替えるよう通知する。
【００９２】
ＤＤＯＳ−ＦＩＬＴＥＲ判定部５８−１〜５８−３は、ＤＤＯＳ攻撃中でもＳＩＰコネクションを通過させるために、ＳＩＰコネクションの＜プロトコル番号・送信元アドレス・宛先アドレス・宛先ポート番号＞を通過と登録したＳＩＰエントリを保持している。ＤＤＯＳ−ＦＩＬＴＥＲ判定部５８−１〜５８−３は、ＳＩＰエントリに一致しないパケットは廃棄する。このため、ＤＤＯＳ−ＦＩＬＴＥＲ判定部５８−１〜５８−３は、送信元アドレスが、登録されているＳＩＰサーバアドレスからのＳＩＰポート宛パケットは通過するが、送信元アドレスがＳＩＰサーバアドレス以外のパケットは破棄する。これによりＤＤＯＳ−ＦＩＬＴＥＲ判定部５８−１〜５８−３は、ＤＤＯＳ攻撃パケットを完全に破棄することができる。また、カウンタ５７−４〜５７−６は、それぞれＤＤＯＳ−ＦＩＬＴＥＲ判定部５８−１〜５８−３が破棄したパケット数を計数する。
【００９３】
また、ＤＤＯＳ−ＦＩＬＴＥＲ判定部５８−１〜５８−３の以上の処理により、ＦＩＬＴＥＲ判定処理部３４にはＳＩＰエントリとして登録されているＳＩＰサーバアドレスからの正当なＳＩＰコネクションの先頭パケットのみが転送される。したがって、ゲートウェイ装置は登録されているＳＩＰサーバアドレスからのＳＩＰコネクションを確実に受け付けることができる。
【００９４】
また、ＦＬＯＷ情報管理部３５は、ＳＩＰエントリについても、実施の形態１と同様の手順で、フロー情報を生成し、フィールド値（ＦＬＯＷ）を第１の完全一致判定部１２に出力しＩＰヘッダ編集情報（ＭＯＤＩＦＹ）と出力先ネクストホップ情報（ＮＥＸＴＨＯＰ）を、パケット編集処理部１３へ出力する。ただしＳＩＰコネクションはゲートウェイ装置で終端するため、順方向のＮＥＸＴＨＯＰ情報は自装置宛となる。
【００９５】
このようにして、ＳＩＰフローの先頭パケットの処理が行われ、実施の形態１と同様にパケット分類フィールド値抽出処理部１１に先頭パケットが戻される。そして、その先頭パケットは、第１の完全一致判定部１２とパケット編集処理部１３を経由して、ＵＤＰ処理部５１に出力される。ＵＤＰ処理部５１は、所定のＵＤＰ処理を行いＳＩＰメッセージとしてＳＩＰ処理部５３に通知する。
【００９６】
そして、ＳＩＰ処理部５３は、ＳＩＰ手順を終端する。また、ＳＩＰ処理部５３は、ＶｏＩＰが使用するＲＴＰ／ＲＴＣＰ用のコネクションを所定の手順で取得し、取得したＲＴＰ／ＲＴＣＰ用のコネクションをＶｏＩＰ管理部５４に通知する。
【００９７】
ＶｏＩＰ管理部５４は、通知されたＲＴＰ／ＲＴＣＰ用のコネクション情報をＦＬＯＷ情報管理部３５に通知する。ＦＬＯＷ情報管理部３５は、実施形態１で述べたＦＩＬＴＥＲ判定処理部３４で通過判定された場合と同様にフロー情報を生成し、フィールド値（ＦＬＯＷ）を第１の完全一致判定部１２に出力しＩＰヘッダ編集情報（ＭＯＤＩＦＹ）と出力先ネクストホップ情報（ＮＥＸＴＨＯＰ）を、パケット編集処理部１３へ出力する。
【００９８】
このようにしてＶｏＩＰで使用するＲＴＰ／ＲＴＣＰのフローに属するパケットは、最初から第１の完全一致判定部１２に対応するフィールド値エントリが登録されている。したがって、このＶｏＩＰで使用するＲＴＰ／ＲＴＣＰフローに属するパケットについては、先頭パケットであっても最初から通過する。
【００９９】
なお、本実施の形態では、ＶｏＩＰで使用するＲＴＰ／ＲＴＣＰフローを例として説明したが、ＶｏＩＰに限らず、制御セッションを確立して制御セッションによりコネクション情報を取得し、取得したコネクション情報に基づいてデータセッションが確立されてパケットが送信されるパケット処理の場合には、ＶｏＩＰと同様に、制御セッションのコネクション情報を取得してその情報をＦＬＯＷ情報管理部３５に通知するようにすればよい。
【０１００】
また、廃棄パケットカウンタ５０は、一定期間毎に求めている差分が、所定のしきい値未満になった場合に、ＤＤＯＳ攻撃が終了したと検知する。そして、廃棄パケットカウンタ５０は、ＤＤＯＳ攻撃が終了したと検知すると、受信Ｉ／Ｆ判定部４１に、ＤＤＯＳ攻撃検知前と同様に、ＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３へパケットを出力するよう通知する。
【０１０１】
なお、本実施の形態では、廃棄パケットカウンタ５０は、カウンタ５７−１〜５７−６の計数結果を収集するようにしたが、ＤＤＯＳ攻撃検知の前およびＤＤＯＳ攻撃終了の検知後は、カウンタ５７−１〜５７−３の計数結果を収集し、ＤＤＯＳ攻撃検知後（ＤＤＯＳ攻撃中）は、カウンタ５７−４〜５７−６の計数結果を収集するようにしてもよい。
【０１０２】
なお、本実施の形態では、ＤＤＯＳ−ＦＩＬＴＥＲ判定部５８−１〜５８−３を、ＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３と同様に受信Ｉ／Ｆごとに設けることとし、各々が対応する受信Ｉ／Ｆのパケットを処理することとするが、これに限らず、１つの判定部とするなど、設ける数はいくつでもよい。
【０１０３】
以上のように、本実施の形態では、ＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３およびＦＩＬＴＥＲ判定処理部３４が廃棄したパケット数を求め、パケット数の差分が所定のしきい値以上となった場合にＤＤＯＳ攻撃を検知したと判断するようにした。このため、ＤＤＯＳ攻撃を検知することが可能になる。
【０１０４】
ＤＤＯＳ攻撃を検知すると、第３の完全一致判定部１５は、パケットをＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３より強力な条件を保持するＤＤＯＳ−ＦＩＬＴＥＲ判定部５８−１〜５８−３がパケットの通過／廃棄の判定を行うようにした。これによりＤＤＯＳ攻撃検出時には、ＤＤＯＳ攻撃パケットを第３の完全一致判定部１５を含む転送処理部１ａ内で確実に廃棄できる。
【０１０５】
また、本実施の形態では、ＤＤＯＳ攻撃パケットは第３の完全一致判定部１５内で閉じて廃棄されるため、ＦＩＬＴＥＲ判定処理部３４がＤＤＯＳ攻撃パケットに対して逐次比較を実施する必要がなくなる。これによりＦＩＬＴＥＲ判定部３４を含む制御処理部２ａの処理負荷を著しく軽減できる。さらに、制御処理部２ａの処理負荷が軽減することにより、制御処理部２ａが、リアルタイム性を必要とするＤＳＰ処理を専用のＨ／Ｗを用いずにＳ／Ｗ的に実現することが可能となる。これによりＤＳＰ処理のＨ／Ｗに要する回路規模または部材点数を削減することができる。
【０１０６】
また、本実施の形態では、ＶｏＩＰ機能部２５が、ＤＤＯＳ攻撃検出時にも通過させるエントリとして発アドレスがＳＩＰサーバである正当なＳＩＰコネクションのエントリをあらかじめ設定し、先頭のＳＩＰパケットを通過させるようにした。これによりＤＤＯＳ攻撃検出時にもＳＩＰパケットを確実に通過させることができる。
【０１０７】
また、本実施の形態では、ＳＩＰ処理部５３は、ＳＩＰ手順により交渉したＲＴＰ／ＲＴＣＰ用フロー情報を取得し、取得したＲＴＰ／ＲＴＣＰ用フロー情報をあらかじめ第１の完全一致判定部１２に登録するようにした。このため、ＤＤＯＳ攻撃検出時にもＲＴＰ／ＲＴＣＰパケットを最初から確実に通過させることができる。
【０１０８】
また、本実施の形態では、第３の完全一致判定部１５のＤＤＯＳ−ＦＩＬＴＥＲ判定部５８−１〜５８−３も、全て完全一致判定により実現している。これにより、本発明にかかるＦＩＬＴＥＲ処理は単一のＨａｓｈ演算比較装置により実現することが可能となり回路規模あるいは部材点数を削減できる。
【０１０９】
また、本実施の形態では、制御処理部２ａが、ＤＤＯＳ攻撃の終了を検知すると、第３の完全一致判定部１５の処理をＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３の処理に戻すようにした。このため、ＤＤＯＳ攻撃終了検出時には、従来どおりユーザが設定するＦＩＲＥＷＡＬＬ条件、静的ＮＡＰＴ条件に一致した通過・廃棄判定を実現できる。
【産業上の利用可能性】
【０１１０】
以上のように、本発明にかかるゲートウェイ装置およびパケットフィルタリング方法は、パケットフィルタリングを行うゲートウェイ装置に有用であり、特に、ＤＤＯＳ攻撃中にも正常パケットを処理するゲートウェイ装置に適している。
【図面の簡単な説明】
【０１１１】
【図１】本発明にかかるゲートウェイ装置の実施の形態１の機能構成例を示す図である。
【図２】実施の形態１のＦＩＲＥＷＡＬＬ条件（パケットフィルタ条件）エントリの一例を示す図である。
【図３】実施の形態１の静的ＮＡＰＴ（Network Address Port Translation）条件のエントリの一例を示す図である。
【図４】実施の形態１のＦＩＬＴＥＲ条件エントリの一例を示す図である。
【図５】実施の形態１のＰＲＥフィルタ設定エントリの一例を示す図である。
【図６】実施の形態１の第２の完全一致判定部の機能構成例を示す図である。
【図７−１】実施の形態１のＦＬＯＷ情報管理部が生成するフロー情報エントリの一例を示す図である。
【図７−２】実施の形態１のＦＬＯＷ情報管理部が生成するフロー情報エントリの一例を示す図である。
【図７−３】図７−１，７−２の例で仮定しているネットワーク構成例を示す図である。
【図８】本発明にかかるゲートウェイ装置の実施の形態２の機能構成例を示す図である。
【図９】実施の形態２の第３の完全一致判定部の機能構成例を示す図である。
【符号の説明】
【０１１２】
１，１ａ 転送処理部
２，２ａ 制御処理部
１１ パケット分類フィールド値抽出処理部
１２ 第１の完全一致判定部
１３ パケット編集処理部
１４ 第２の完全一致判定部
１５ 第３の完全一致判定部
２１ Ｌ２ＩＰスタック
２２ 転送制御ＩＰスタック
２３ Ｌ３ＩＰスタック
２４ Ｌ４ＩＰスタック
２５ ＶｏＩＰ機能部
３１ ＡＲＰ処理部
３２ ＰＰＰｏＥ処理部
３３ ＶＬＡＮ処理部
３４ ＦＩＬＴＥＲ判定処理部
３５ ＦＬＯＷ情報管理部
３６ ＦＷ条件管理部
３７ ＮＡＴ管理部
３８ ＤＳＣＰ更新値管理部
３９ ルーティングテーブル管理部
４１ 受信Ｉ／Ｆ判定部
４２−１〜４２−３ ＰＲＥ−ＦＩＬＴＥＲ判定部
５０ 廃棄パケットカウンタ
５１ ＵＤＰ処理部
５２ ＴＣＰ処理部
５３ ＳＩＰ処理部
５４ ＶｏＩＰ管理部
５５ ＲＴＰ／ＲＴＣＰ処理部
５６ ＤＳＰ処理部
５７−１〜５７−６ カウンタ
５８−１〜５８−３ ＤＤＯＳ−ＦＩＬＴＥＲ判定部
１００ ゲートウェイ装置
２０１〜２０４ 通信装置
２１０ ＳＩＰ
【技術分野】
【０００１】
本発明は、パケットフィルタリングを行うゲートウェイ装置に関する。
【背景技術】
【０００２】
従来のパケットフィルタリング手法では、パケットフィルタリング装置にあらかじめ適用すべきパケットフィルタ条件を優先度順にソートして設定しておく。そして、ゲートウェイ装置は、フィルタリング判定すべきパケットを受信すると、パケット毎にパケットフィルタ条件の優先度の高いエントリから順に逐一どのエントリに合致するかを比較する。そして、最初に条件に合致したエントリの動作に従って、そのパケットに対して通過・遮断処理を実行するというパケットフィルタリング処理を行っていた。
【０００３】
また、下記特許文献１では、高速なパケットフィルタリング処理を実施するパケットフィルタリング方法が提案されている。このパケットフィルタリング方法では、パケット転送装置が、パケットのフィールド値と適用すべき処理をペアにした情報をフィールド値キャッシュとして保持し、受信したパケット毎にフィールド値キャッシュとして保持されているフィールド値と照合し、以前にパケットフィルタリング判定を実施したパケットと同一のフィールド値を持つパケットであるか、を判定する。フィールド値キャッシュが存在しなければ、上記の従来のパケットフィルタリング手法と同様にパケットフィルタ条件のエントリと逐一比較を行い、その時得られた適用すべき処理をフィールド値キャッシュに登録する。
【０００４】
そして、さらに、後続のパケットに対して、登録したフィールド値キャッシュとの照合を実施する。このため、フィールド値キャッシュが存在する場合、上記の従来のパケットフィルタリング手法にくらべ、フィールド値キャッシュに関連付けられた適用すべき処理を高速に得ることができる。
【０００５】
また、下記特許文献２では、パケットフィルタリング判定処理を高速化するために、フィルタ条件の各エントリに対し並列に条件適合の判定を行い、条件に適合したエントリの中からもっとも優先度の高いエントリを選択することにより、高速なパケットフィルタリング処理を実施する方法が開示されている。
【０００６】
さらに、パケットフィルタリングを行う装置では、ＤＤＯＳ（Distributed Denial of Service）攻撃についても考慮しておくことが望ましい。下記特許文献３では、パケットフィルタリング機能を有するゲートウェイ（加入者終端）装置がＤＤＯＳ攻撃を受けた場合、よりＷＡＮ（Wide Area Network）側網に近い加入者終端集合装置にＤＤＯＳパケットを転送しないよう要求を通知して、ＤＤＯＳ攻撃を回避する方法が提案されている。
【０００７】
【特許文献１】特開２００５―３４７９６９号公報
【特許文献２】特開２００７―１６６５１３号公報
【特許文献３】特開２００６―２５４２６９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
一方、家庭内に配置される宅内ゲートウェイ装置（以下、ホームゲートウェイという）も、外部ネットワーク（ＷＡＮ側）から内部ネットワーク（ＬＡＮ（Local Area Network）側）への侵入を防御するためパケットフィルタリング機能を有している。しかし、近年、ネットワーク回線の高速化に伴い、ＤＤＯＳ攻撃パケットをホームゲートウェイでフィルタリングする際に以下のような問題点が発生する。
【０００９】
ホームゲートウェイは、ＤＤＯＳ攻撃パケットを遮断する必要があるが、ユーザによりアクセスが許可されている正当なアクセスのパケットはＤＤＯＳ攻撃中にも導通させる必要がある。一般的にＤＤＯＳ攻撃パケットは送信元ＩＰアドレスを偽装してアクセスしてＷＡＮ側より到着する。しかし、それ以外に正当アクセスのパケットとＤＤＯＳ攻撃パケットの違いはなく、ホームゲートウェイで両者のパケットの差異（特徴点）を抽出して検出することは困難である。したがって、ホームゲートウェイは、到着した各パケットを上述したパケットフィルタ条件と比較する手法によって、パケットがＤＤＯＳ攻撃パケットであるか否かを判定し、遮断または通過の処理を行うことになる。
【００１０】
またＤＤＯＳ攻撃時には非常に多量のパケットが到着する。たとえば、最悪ケースでは１Ｇｂｐｓ回線に６４ＢｙｔｅのＤＤＯＳ攻撃のショートフレームが到着する。この場合、ホームゲートウェイで上記のパケットフィルタ条件と比較する処理を全てのパケットに対して行うには、非常に高速の判定処理（たとえば、非常に短い時間［２００万ｐａｃｋｅｔ／ｓ］で完了する）を実行する必要がある。
【００１１】
しかし一般的なホームゲートウェイが有するＣＰＵ（Central Processing Unit）で、パケットフィルタリングを実現しつつこのような高速の処理を実現するのは困難である。このため、上記従来のパケットフィルタ条件と比較する手法では、バッファオーバーフローが発生し、ラインレートのスループットを保証することができない、という問題点があった。
【００１２】
また、上記特許文献１のフィールド値キャッシュを用いて高速処理を図る技術では、各パケットが通過させるべき正常トラヒックで、かつ既存のフィールド値キャッシュにエントリが登録されている後続パケットを対象とする場合のみ高速に通過と判定することができる。しかし、ＤＤＯＳパケットは送信元アドレス・送信元ポートを無秩序に偽装して送信されるため、フィールド値キャッシュとの比較判定により高速に通過と判定できない。このためＤＤＯＳパケットに対しては、依然としてパケットフィルタ条件と逐一比較する手法を採用する必要があり、判定処理が遅くなる。
【００１３】
また、ＤＤＯＳ攻撃時にはＤＤＯＳパケットと導通させるべき正常パケットが混在する。フィールド値キャッシュによる比較処理と、キャッシュ判定で通過と判定できなかった場合さらにパケットフィルタ条件と逐一比較する処理において、この２つの処理を直列で実行する構成とした場合、ＤＤＯＳ攻撃時にはより大量に到着するＤＤＯＳパケットの逐一比較処理で多くの処理時間を必要とする。
【００１４】
したがって、フィールド値キャッシュ比較処理と逐一比較処理を直列に実行する構成とした場合、ＤＤＯＳ攻撃時にはフィールド値キャッシュによる比較処理を実行する時間もなくなり、導通させるべき（フィールド値キャッシュにエントリが存在する既存コネクションの）正常トラヒックのパケットにもパケット廃棄が発生してしまう、という問題があった。
【００１５】
また、フィールド値キャッシュ比較処理と逐一比較処理を並行に実行する構成としても、大量のＤＤＯＳパケットと正常トラヒックの先頭パケットは、逐一比較処理の実行で競合することになるので、正常トラヒックでも新規コネクションの受け付けができなくなる、という問題があった。
【００１６】
近年、フィールド値抽出処理や比較処理など一部の処理をＨ／Ｗで実行し、残りの処理をパケット転送専用のＣＰＵで実現し、ワイヤレートの処理能力を持つネットワークプロセッサが出現している。
【００１７】
しかし、正常トラヒックのパケットのみを入力しキャッシュ比較処理だけを実行する場合は、パケット廃棄が発生せず、十分な性能を持つネットワークプロセッサでも、上記の理由により、ＤＤＯＳパケットを入力すると正常トラヒックのパケット処理で廃棄が発生したり、あるいは正常トラヒックでも新規コネクションの受け付けができなくなる、という問題があった。
【００１８】
また、一般にホームゲートウェイにユーザが設定するパケットフィルタ条件は、＜発アドレスの範囲，着アドレス（宛先アドレス）の範囲，プロトコル（プロトコルの識別子），発ポート番号の範囲，着ポート番号（宛先ポート番号）の範囲＞というように、フローを識別するためのパケットの任意のフィールドの組み合わせとなる。このように範囲指定を含むフィールドで構成されるパケットフィルタ条件を、ハードウェアで高速に比較できるフィールド値キャッシュ（たとえばＨａｓｈ値）演算で実現しようとすると、範囲内の全ての数値について＜発アドレス，着アドレス，プロトコル，発ポート番号，着ポート番号＞のキーを持つ個別のエントリに展開する必要がある。しかし、個別のエントリに展開すると、フィールド値キャッシュに登録すべきエントリ数は各項目の範囲数の積となる。このため、フィールド値キャッシュに登録すべきエントリ数が爆発的に増大し、フィールド値キャッシュへのエントリ登録が実質的に困難になる、という問題があった。
【００１９】
また、上記特許文献２に記載の技術では、フィルタ条件の各エントリに対し並列に条件適合の判定を行うことにより処理の高速化を図っている。しかし、並列化処理の数に制約があるホームゲートウェイでは、大量のパケットが到来するＤＤＯＳ攻撃の際に処理が追いつかずスループットが低下する可能性がある、という問題があった。
【００２０】
また、上記特許文献３に記載の技術では、よりＷＡＮ（Wide Area Network）側網に近い加入者終端集合装置にＤＤＯＳパケットを転送しないよう要求を通知して、ＤＤＯＳ攻撃を回避している。そのため、上位の加入者終端集合装置の処理に頼ることになり自装置単独ではパケット廃棄を実現できない、という問題があった。
【００２１】
また、上記特許文献３に記載の技術では、よりＷＡＮ（Wide Area Network）側網に近い加入者終端集合装置にＤＤＯＳパケットを転送しないよう要求を通知して、ＤＤＯＳ攻撃を回避している。そのため、上位の加入者終端集合装置の処理に頼ることになり自装置でパケットを廃棄する処理を行っていない、という問題があった。
【００２２】
本発明は、上記に鑑みてなされたものであって、通過させるべきパケットは可能な限り通過させ、また、遮断すべきパケットは自装置で確実に廃棄するパケットフィルタリング処理を、高速に行うことができるゲートウェイ装置およびパケットフィルタリング方法を得ることを目的とする。
【課題を解決するための手段】
【００２３】
上述した課題を解決し目的を達成するために、本発明では、受信したパケットに対して、あらかじめ設定されたフィルタリング条件に基づいて、通過判定は不正確だが廃棄判定は正確かつ高速処理が可能なプレフィルタリング処理と、通過判定と廃棄判定ともに正確だが低速処理となる逐一パケットフィルタリング処理の、２段階のフィルタリング処理を実行する手段を備えることを特徴とする。
【００２４】
また、ＬＡＮおよびＷＡＮに接続され、前記ＬＡＮ側から前記ＷＡＮ側へパケットを転送する際に動的ＮＡＰＴ変換処理を行うゲートウェイ装置であって、前記フィルタリング処理手段の処理実施前に、動的ＮＡＰＴ変換処理対象のＷＡＮ側から受信した動的ＮＡＰＴ受信パケットからプロトコル識別子、宛先アドレスおよび宛先ポート番号を抽出し、前記抽出結果を、通過を許可すべきプロトコル識別子、宛先アドレスおよび宛先ポート番号の組み合わせがあらかじめ格納されているプレフィルタ条件の各エントリと比較する、高速なプレフィルタリング処理を備えることを特徴とする。
【００２５】
また、比較の結果、抽出したプロトコル識別子、宛先アドレスおよび宛先ポート番号の組み合わせと一致するエントリがあると判断した場合には、前記動的ＮＡＰＴ受信パケットを仮通過パケットと判定し、低速な逐一パケットフィルタリング処理に処理を移行してさらに続行させる通過判定手段を備えることを特徴とする。
【００２６】
また、高速処理が可能なプレフィルタリング処理と、低速処理となる逐一パケットフィルタリング処理の処理は並列とし、低速な逐一パケットフィルタリング処理に処理を移行後は実行中でも、高速なプレフィルタリング処理は後続のパケットを処理可能とする構成を備えることを特徴とする。
【００２７】
また、一致するエントリがないと判断した場合には、前記動的ＮＡＰＴ受信パケットを、低速な逐一パケットフィルタリング処理を実行することなく、高速に破棄する通過判定手段を備えることを特徴とする。
【発明の効果】
【００２８】
この発明によれば、エントリがフィールド値キャッシュに存在する既存のコネクションはパケット導通を維持しつつ、ＤＤＯＳパケットのフィルタリングを実現できる。また、動的ＮＡＰＴインタフェース上で受信するＤＤＯＳパケットが、高速処理が可能なプレフィルタリング処理で廃棄される限りにおいて、導通させるべき新規コネクションの受付も実現できる。これにより、通過させるべきパケットは可能な限り通過させ、また、遮断すべきパケットは自装置で確実に廃棄するパケットフィルタリング処理を実現できる、という効果を奏する。
【発明を実施するための最良の形態】
【００２９】
以下に、本発明にかかるゲートウェイ装置およびパケットフィルタリング方法の実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態によりこの発明が限定されるものではない。
【００３０】
実施の形態１．
図１は、本発明にかかるゲートウェイ装置の実施の形態１の機能構成例を示す図である。図１に示すように本実施の形態のゲートウェイ装置は、転送処理部１と、制御処理部２と、で構成される。また、転送処理部１は、パケット分類フィールド値抽出処理部１１と、第１の完全一致判定部１２と、パケット編集処理部１３と、第２の完全一致判定部１４と、で構成される。また、制御処理部２は、Ｌ２ＩＰスタック２１と、転送制御ＩＰスタック２２、Ｌ３ＩＰスタック２３と、で構成される。
【００３１】
さらに、Ｌ２ＩＰスタック２１は、ＡＲＰ（Address Resolution Protocol）処理部３１と、ＰＰＰｏＥ（Point to Point Protocol over Ethernet（登録商標））処理部３２と、ＶＬＡＮ（Virtual ＬＡＮ）処理部３３と、で構成される。転送制御ＩＰスタック２２は、ＦＩＬＴＥＲ判定処理部３４とＦＬＯＷ情報管理部３５で構成される。Ｌ３ＩＰスタック２３は、ＦＷ（ＦＩＲＥＷＡＬＬ）条件管理部３６と、ＮＡＴ管理部３７と、ＤＳＣＰ更新値管理部３８と、ルーティングテーブル管理部３９と、で構成される。
【００３２】
図２は、本実施の形態のＦＩＲＥＷＡＬＬ条件（パケットフィルタ条件）エントリの一例を示す図である。本実施の形態では、ユーザがゲートウェイ装置にＦＩＲＥＷＡＬＬ条件を登録しておき、必要に応じてユーザが変更することとする。図２に示すように、本実施の形態のＦＩＲＥＷＡＬＬ条件は、受信Ｉ／Ｆ（インタフェース），発アドレス，着アドレス，プロトコル，発ポート，着ポート，動作の項目を含んでおり、図２の１段が１つのエントリに対応する。受信Ｉ／Ｆは、パケットを受信したＩ／Ｆであり、ここでは、どのネットワーク（たとえば、ＬＡＮ）に対応する受信Ｉ／Ｆであるかを示すこととし、ネットワーク名を示すこととする。図２の受信Ｉ／Ｆ，発アドレス，着アドレス，プロトコル，発ポート，着ポートの項目は、エントリごとの条件を示しており、動作の項目は、それらの条件に合致する場合のゲートウェイ装置の動作を示している。ここでは、動作は、ｄｒｏｐ（破棄）とｐａｓｓ（通過）の２種類を示している。
【００３３】
また、ここでは、本実施の形態のゲートウェイ装置は、ＷＡＮ＃１〜ＷＡＮ＃３の３つのＷＡＮとＬＡＮに接続されていることとする。１段目から５段目までのエントリはＷＡＮ＃１から受信したパケットに対するエントリであり、６段目のエントリはＷＡＮ＃２から受信したパケットに対するエントリであり、７段目のエントリはＷＡＮ＃３から受信したパケットに対するエントリである。また２段目から４段目のエントリは、範囲条件（たとえば、発アドレスが、１３３．９．３．１００−１３３．９．３．２００の範囲）を含むＦＩＲＥＷＡＬＬ条件エントリとなっている。
【００３４】
また、本実施の形態では、ＦＷ条件管理部３６と、ＮＡＴ管理部３７と、ＤＳＣＰ更新値管理部３８と、ルーティングテーブル管理部３９が、それぞれユーザから自身の処理に関連するフィルタリング条件を受付けて、受け付けた条件をＦＩＬＴＥＲ判定処理部３４に出力することとする。すなわち、ＦＷ条件管理部３６と、ＮＡＴ管理部３７と、ＤＳＣＰ更新値管理部３８と、ルーティングテーブル管理部３９は、処理ごとのフィルタリング条件を受け付ける手段と考えることができる。そして、ＦＩＬＴＥＲ判定処理部３４は、これらの条件を収集して、結合し、結合結果をＦＩＬＴＥＲ条件として保持することとする。
【００３５】
図３は、本実施の形態の静的ＮＡＰＴ（Network Address Port Translation）条件のエントリの一例を示す図である。本実施の形態では、静的ＮＡＰＴ条件のエントリをユーザがゲートウェイ装置にあらかじめ登録しておき、必要に応じてユーザが変更することとする。図３に示すように、本実施の形態の静的ＮＡＰＴ条件は、受信Ｉ／Ｆ，着アドレス，プロトコル，着ポート，動作，ＮＡＰＴ，ＮＡＰＴ先アドレス，ＮＡＰＴ先ポートの項目を含んでおり、１段が１つのエントリに対応する。本実施の形態のＮＡＴ管理部３７はこのような静的ＮＡＰＴ条件エントリに基づいて後述のようにＮＡＴ処理を行うこととする。１段目と２段目のエントリは、ＷＡＮ＃１に関するエントリであり、３段目と４段目のエントリは、ＷＡＮ＃３に関するエントリである。
【００３６】
図４は、本実施の形態のＦＩＬＴＥＲ条件エントリの一例を示す図である。本実施の形態のＦＩＬＴＥＲ条件エントリは、前述のようにＦＷ条件管理部３６と、ＮＡＴ管理部３７と、ＤＳＣＰ更新値管理部３８と、ルーティングテーブル管理部３９から出力された条件を結合したものである。たとえば、ここでは、図２で例示したＦＩＲＥＷＡＬＬ条件エントリと図３に示した静的ＮＡＰＴ条件エントリを結合して生成したとする。図４に示すように、ＦＩＬＴＥＲ条件を示す部分（ＦＩＬＴＥＲ）と条件と合致した場合に行う動作を示す部分（ＡＣＴＩＯＮ）に分けて生成する。図４の１段目から４段目は、図３の静的ＮＡＰＴエントリの１段目から４段目に対応し、図４の５段目から１１段目は図２のＦＩＲＥＷＡＬＬ条件エントリに対応している。なお、図２〜図４で示した各エントリは、優先度の高いエントリから順に格納されていることとする。
【００３７】
図５は、本実施の形態の第２の完全一致判定部１４が実施する処理で用いるＰＲＥフィルタ設定エントリの一例を示す図である。図５に示すように、ＰＲＥフィルタ設定エントリは、ＦＩＬＴＥＲ条件エントリと同様の項目を含んでいる。第２の完全一致判定部１４の処理については後述するが、本実施の形態の第２の完全一致判定部１４は、ＦＩＬＴＥＲ判定処理部３４が従来の手法によるパケットフィルタリングを行う前に、通過すべきパケットの候補、すなわち、仮通過パケットを選択し、仮通過パケット以外を仮通過判定手段として機能する。
【００３８】
図６は、本実施の形態の第２の完全一致判定部１４の機能構成例を示す図である。図６に示すように、本実施の形態の第２の完全一致判定部１４は、受信Ｉ／Ｆ判定部４１と、ＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３と、で構成される。受信Ｉ／Ｆ判定部４１は、動的ＮＡＰＴ実行Ｉ／Ｆに対応するネットワークから受信したパケットである場合には、ＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３へ出力し、動的ＮＡＰＴ実行Ｉ／Ｆに対応しないネットワークから受信したパケットを直接ＦＩＬＴＥＲ判定処理部３４へ出力する。
【００３９】
図７−１，図７−２は、本実施の形態のＦＬＯＷ情報管理部３５が生成するフロー情報エントリの一例を示す図である。図７−３は、図７−１，７−２の例で仮定しているネットワーク構成例を示す図である。図７−１は、パケットを識別するためのフィールド値情報（ＦＬＯＷ）の一例を示しており、識別番号（Ｎｏ），方向，受信Ｉ／Ｆ，発アドレス，着アドレス，プロトコル，発ポート，着ポートの項目を含んでいる。図７−２は、パケットを編集するためのＩＰヘッダ編集情報（ＭＯＤＩＦＹ）と出力先ネクストホップ情報の一例を示している。ＭＯＤＩＦＹは、識別番号（Ｎｏ），方向，発アドレス，発ポート，着アドレス，着ポートを含み、ＦＬＯＷは、宛先ＭＡＣ（Media Access Controlアドレス）と出力ＩＦ（インタフェース）を含んでいる。図７−１，７−２に示すように、フロー情報エントリは順方向と逆方向で１対となり、１対に対して同一識別番号を付している。また、図７−１で示したフィールド値情報（ＦＬＯＷ）はフィールド値エントリとして第１の完全一致判定部１２が保持し、図７−２で示したＩＰヘッダ編集情報（ＭＯＤＩＦＹ）と出力先ネクストホップ情報は、編集情報エントリとしてパケット編集処理部１３が保持する。
【００４０】
また、図７−３に示すように、この例のネットワーク構成は、本実施の形態のゲートウェイ装置１００と、通信装置２０１〜２０４と、ＳＩＰ（Session Initiation Protocol）サーバであるＳＩＰ２１０と、を備えている。ゲートウェイ装置１００は、通信装置２０１とはＬＡＮを介して接続され、通信装置２０２とはＷＡＮ＃１およびインターネットを介して、ＳＩＰ２１０とはＷＡＮ＃１を介して、通信装置２０３とはＷＡＮ＃２を介して、通信装置２０４とはＷＡＮ＃３を介して、それぞれ接続されている。
【００４１】
つづいて、本実施の形態の動作について説明する。ここでは、図７−３に示したネットワーク構成を仮定することとする。まず、本実施の形態のゲートウェイ装置にパケットフロー（＜送信元アドレス・送信元ポート番号・プロトコル・宛先アドレス・宛先ポート番号＞が全て同一であるパケットの組）の最初のパケットを受信し、パケット分類フィールド値抽出処理部１１がパケット種別（たとえば、ＡＲＰパケット，ＰＰＰｏＥ制御パケットなど）を判定する。
【００４２】
パケット分類フィールド値抽出処理部１１は、受信したパケットの種別がＡＲＰパケットやＰＰＰｏＥ制御パケットなど転送制御に関係するパケットであると判定した場合、ＡＲＰパケットはＡＲＰ処理部３１へ、ＰＰＰｏＥ制御パケットはＰＰＰｏＥ処理部３２へ、それぞれ転送する。
【００４３】
そして、ＡＲＰ処理部３１は、転送されたＡＲＰパケットに対するＡＲＰ応答パケットの生成する処理など、所定のＡＲＰ処理を実施する。また、ＰＰＰｏＥ処理部３２は、転送されたＰＰＰｏＥ制御パケットに対する応答処理など所定のＰＰＰｏＥ処理を実施する。
【００４４】
また、パケット分類フィールド値抽出処理部１１は、受信したパケットの種別がＩＰ（Internet Protocol）／ＵＤＰ（User Datagram Protocol）／ＴＣＰ（Transmission Control Protocol）など、転送制御に関係しないデータパケットであると判定した場合、さらにそのパケットが属するパケットフローを識別するフィールド値：＜送信元アドレス・送信元ポート番号・プロトコル番号・宛先アドレス・宛先ポート番号＞をデータパケットから抽出し、抽出したフィールド値とそのパケットを第１の完全一致判定部１２に転送する。
【００４５】
第１の完全一致判定部１２は、パケット分類フィールド値抽出処理部１１が抽出したフィールド値に一致するエントリが、自身が保持するフィールド値エントリに登録されているかを判定する。ここでは、受信したパケットは、パケットフローの最初のパケットであり、エントリに登録されていないものとする。この場合、第１の完全一致判定部１２は、そのパケットを第２の完全一致判定部１４へ転送する。
【００４６】
ここで、ＦＷ条件管理部３６はあらかじめ登録された図２のようなＦＩＲＥＷＡＬＬ条件エントリを保持し、また、ＮＡＴ管理部３７はあらかじめ登録された図３のような静的ＮＡＰＴ条件エントリを保持しているとする。
【００４７】
また、ＮＡＴ管理部３７では、ＬＡＮからＷＡＮ＃１の方向、および、ＬＡＮからＷＡＮ＃３の方向へ転送されるパケットに対し動的ＮＡＰＴを実行するよう設定されていることとする。すなわちＷＡＮ＃１とＷＡＮ＃３が動的ＮＡＰＴ実行Ｉ／Ｆとなるよう設定されているものとする。
【００４８】
また、ＦＩＬＴＥＲ判定処理部３４は、ＦＩＲＥＷＡＬＬ条件エントリと静的ＮＡＰＴ条件エントリを読み出して結合し、図４のような形式のＦＩＬＴＥＲエントリを生成して保持する。この際、静的ＮＡＰＴ条件エントリに基づいて生成されるエントリ（図４の１段目から４段目）については、静的ＮＡＰＴ条件エントリに発アドレス・発ポート番号が含まれないため（一般に静的ＮＡＰＴ条件エントリでは発アドレス・発ポート番号を指定しない）ため、ＦＩＬＴＥＲエントリとするときに発アドレスおよび発ポート番号をany（そのパラメタのとり得る全ての値に適合する条件）とする。静的ＮＡＰＴ条件エントリに基づくエントリ（図４の５段目から１１段目）については、ＦＩＲＥＷＡＬＬ条件エントリにそのまま登録する。
【００４９】
生成されたＦＩＬＴＥＲ条件のうち、ＦＩＬＴＥＲの部分は、どのようなパケットを振り分けるための条件を記述する部分であり、ＡＣＴＩＯＮは、条件に合致したパケットに対してどのような動作を実行するかを記述する部分である。図４に示したように、ＦＩＲＥＷＡＬＬ条件エントリはエントリごとにＦＩＬＴＥＲとＡＣＴＩＯＮが対応付けられている。
【００５０】
またＦＩＬＴＥＲ判定処理部３４は、図４のＦＩＬＴＥＲ条件エントリから、動的ＮＡＰＴ実行Ｉ／Ｆに対応するエントリを選択し、選択したエントリに基づいて次のように第２の完全一致判定部１４にＰＲＥ−ＦＩＬＴＥＲ条件エントリを生成して登録する。
【００５１】
まず、ＦＩＬＴＥＲ条件エントリから、受信Ｉ／Ｆが動的ＮＡＰＴ実行Ｉ／Ｆであり、かつ、動作がｐａｓｓ（通過）であるエントリのみを抽出する。そして、そのエントリから＜プロトコル，着アドレス，着ポート番号＞を抽出する。ここで、着アドレスが範囲指定されている（ａｎｙも含む）場合、着アドレスの範囲条件に動的ＮＡＰＴ実行Ｉ／Ｆのアドレスが含まれていれば、着アドレスをその動的ＮＡＰＴ実行Ｉ／Ｆのアドレス（この場合は、localhostとする)に変換した後に、ＰＲＥ−ＦＩＬＴＥＲエントリを生成する。着アドレスの範囲条件に動的ＮＡＰＴ実行Ｉ／Ｆのアドレスが含まれていなければ、ＰＲＥ−ＦＩＬＴＥＲエントリとして登録しない。また、着ポート番号が範囲で指定されている場合には、その範囲の先頭の値から最後の値まで個別に展開してＰＲＥ−ＦＩＬＴＥＲ条件エントリとして生成する。ＰＲＥ−ＦＩＬＴＥＲ条件エントリの発アドレスおよび発ポートについては、条件比較項目に含めない（Ｎ／Ａとする）。
【００５２】
たとえば、図４のＦＩＬＴＥＲエントリのうち、受信Ｉ／ＦがＷＡＮ＃１（動的ＮＡＰＴ実行Ｉ／Ｆ）のエントリについて、動作がｐａｓｓであるエントリは１段目，２段目，６段目，８段目である。したがって、ＦＩＬＴＥＲ判定処理部３４は、受信Ｉ／ＦがＷＡＮ＃１のエントリについては、１段目，２段目，６段目，８段目の＜プロトコル，着アドレス，着ポート番号＞を抽出する。このうち、６段目と８段目の着アドレスは、ａｎｙであり範囲指定されているため、着アドレスをＷＡＮ＃１のＩ／Ｆアドレスであるlocalhostに変換する。
【００５３】
また、図４の６段目と８段目のエントリは、着ポートについても範囲指定となっている。このため、着ポートをその範囲の先頭の値から最後の値までに展開してＰＲＥ−ＦＩＬＴＥＲエントリとして生成する。たとえば、図４の６段目のエントリについては、着ポート番号の５００００−５０５００という範囲指定を、図５の３〜７段目に示すように５００００，５０００１，５０００２，…，５０５００の着ポート番号に展開して個別のＰＲＥ−ＦＩＬＴＥＲエントリとして生成する。同様に、図４の８段目のエントリについては、１００−１０２４というという範囲指定を、図５の８〜１２段目に示すように１００，１０１，１０２…，１０２４の着ポート番号に展開して個別のＰＲＥ−ＦＩＬＴＥＲ条件エントリとして生成する。
【００５４】
このようにして生成したＰＲＥ−ＦＩＬＴＥＲ条件エントリを受信Ｉ／Ｆごとに第２の完全一致判定部４１のＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３が保持するＰＲＥ−ＦＩＬＴＥＲ条件エントリとして登録する。本実施の形態では、動的ＮＡＰＴ実行Ｉ／ＦであるＷＡＮ＃１についてのＰＲＥ−ＦＩＬＴＥＲ条件エントリはＰＲＥ−ＦＩＬＴＥＲ判定部４２−１が保持し、ＷＡＮ＃３についてのＰＲＥ−ＦＩＬＴＥＲ条件エントリはＰＲＥ−ＦＩＬＴＥＲ判定部４２−２が保持することとする。
【００５５】
このように、受信Ｉ／Ｆが動的ＮＡＰＴ実行Ｉ／Ｆでありかつ動作が通過であるＦＩＬＴＥＲ条件エントリを選択し、さらに発アドレス・発ポート条件などの限定条件は条件比較から外してＰＲＥ−ＦＩＬＴＥＲエントリを生成する。このため第２の完全一致判定部１４のＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３が保持するＰＲＥ−ＦＩＬＴＥＲ条件エントリには、動的ＮＡＰＴ実行Ｉ／Ｆで外部からのアクセスを許可するべき各フローの先頭パケットの＜プロトコル・着アドレス・着ポート番号＞の候補が全て登録される。受信Ｉ／Ｆが動的ＮＡＰＴ実行Ｉ／Ｆの場合について、ＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３による判定を行うのは、動的ＮＡＰＴ実行Ｉ／Ｆの場合にはＦＩＬＴＥＲ条件として着アドレス，着ポートが範囲で指定されることが多いため、静的ＮＡＰＴ実行Ｉ／Ｆの場合に比べ、ＦＩＬＴＥＲ条件との比較処理の負荷が高いからである。
【００５６】
ここで、パケット受信処理の説明に戻る。第２の完全一致判定部１４は、第１の完全一致判定部１２から転送されたパケット（先頭パケットが転送されるため、以下先頭パケットという）を受け取ると、まず、受信Ｉ／Ｆ判定部４１が、その先頭パケットの受信Ｉ／Ｆが動的ＮＡＰＴ実行Ｉ／Ｆであるかを判定する。受信Ｉ／Ｆが動的ＮＡＰＴ実行Ｉ／Ｆであれば、その受信Ｉ／Ｆに対応するＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３へパケットを転送する。そして、ＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３は、転送された先頭パケットの＜プロトコル・着アドレス・着ポート番号＞と、各々が保持しているＰＲＥ−ＦＩＬＴＥＲ条件エントリを比較し、一致するエントリがない場合には、その先頭パケットを廃棄する。
【００５７】
たとえば、転送された先頭パケットの受信Ｉ／Ｆが動的ＮＡＰＴ実行Ｉ／ＦであるＷＡＮ＃１であった場合、ＷＡＮ＃１に対応するＰＲＥ−ＦＩＬＴＥＲ判定部４２−１に先頭パケットを転送する。ＰＲＥ−ＦＩＬＴＥＲ判定部４２−１は、その先頭パケットの＜プロトコル・着アドレス・着ポート番号＞が、保持しているＰＲＥ−ＦＩＬＴＥＲ条件エントリと一致するかを判定し、一致するエントリがない場合には、その先頭パケットを廃棄する。なぜなら、ＰＲＥ−ＦＩＬＴＥＲ判定部４２−１が保持するＰＲＥ−ＦＩＬＴＥＲ条件エントリには、前述の通り受信Ｉ／ＦがＷＡＮ＃１であり、外部からのアクセスを許可するべき先頭パケットの＜プロトコル・着アドレス・着ポート番号＞が全て登録されており、登録されていない（エントリと一致しない）パケットは全て破棄して良いと判断することができるためである。
【００５８】
また、ＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３は、転送された先頭パケットの＜プロトコル・着アドレス・着ポート番号＞と一致するＰＲＥ−ＦＩＬＴＥＲ条件エントリがあった場合にはその先頭パケットを仮通過パケットと判定し、ＰＲＥ−ＦＩＬＴＥＲエントリの生成時に切り捨てた発アドレス・発ポート条件などを満たすかなどさらに詳細な判定を行うため、その先頭パケットをＦＩＬＴＥＲ判定処理部３４に転送する。
【００５９】
また、受信Ｉ／Ｆ判定部４１は、先頭パケットの受信Ｉ／Ｆが動的ＮＡＰＴ実行Ｉ／Ｆでないと判定した場合は、ＦＩＬＴＥＲ判定処理部３４にその先頭パケットを転送する。
【００６０】
このように、受信Ｉ／Ｆ判定部４１が、先頭パケットの受信Ｉ／Ｆが動的ＮＡＰＴ実行Ｉ／Ｆかを判定し、動的ＮＡＰＴ実行Ｉ／Ｆであった場合にＰＲＥ−ＦＩＬＴＥＲ条件判定部４２−１〜４２−３を経由することにより、廃棄すべき先頭パケットを、ＦＩＬＴＥＲ判定処理部３４を経ずに廃棄することができる。これにより、先頭パケットの受信Ｉ／Ｆが動的ＮＡＰＴ実行Ｉ／Ｆの場合に、効率的に遮断すべきパケットを検出し、高速に先頭パケットを廃棄できる。
【００６１】
また、ＦＩＬＴＥＲ判定処理部３４に転送される先頭パケットは、受信Ｉ／Ｆが動的ＮＡＰＴ実行Ｉ／Ｆでないか、または、受信Ｉ／Ｆが動的ＮＡＰＴ実行Ｉ／Ｆであり、かつ通過と判断された先頭パケット（仮通過パケット）のみである。ＦＩＬＴＥＲ判定処理部３４は、これらの先頭パケットについて、図４に例示したＦＩＬＴＥＲ条件エントリの内容と一致するか、を優先度の高いエントリから順に判定する。判定の結果、ＦＩＬＴＥＲ条件エントリの条件に合致するＦＩＬＴＥＲエントリが存在し、そのエントリの動作が遮断の場合、ＦＩＬＴＥＲ判定処理部３４は、その先頭パケットを廃棄する。また、ＦＩＬＴＥＲ条件エントリの条件に合致するＦＩＬＴＥＲエントリが存在し、エントリの動作が通過の場合、ＦＩＬＴＥＲ判定処理部３４は、その先頭パケットをＦＬＯＷ情報管理部３５に転送する。
【００６２】
ＦＬＯＷ情報管理部３５は、図７−１，７−２に示すような第１の完全一致判定部１２が保持するフロー情報エントリを生成する。具体的には、ＦＩＬＴＥＲ判定処理部３４から転送された先頭パケットから＜送信元アドレス・送信元ポート番号・プロトコル番号・宛先アドレス・宛先ポート番号＞を抽出し、フィールド値ＦＬＯＷ（図７のＦＬＯＷ）として生成する。
【００６３】
また、ＦＬＯＷ情報管理部３５は、ＦＩＬＴＥＲ判定処理部３４が保持するＦＩＬＴＥＲ条件エントリ，ＮＡＴ管理部３７，ＤＳＣＰ値更新管理部３８から情報を収集して図７−２のＩＰヘッダ編集情報（ＭＯＤＩＦＹ）を生成し、ＡＲＰ処理部３１，ＰＰＰｏＥ処理部３２，ＶＬＡＮ処理部３３，ルーティングテーブル管理部３９から情報を収集して出力先ネクストホップ情報（ＮＥＸＴＨＯＰ）を生成する。そして、ＦＬＯＷ情報管理部３５は、これらを統合して図７−２に示すようなパケット編集情報エントリを生成する。なお、ＮＡＴ管理部３７はＮＡＴ処理に関する必要情報を、ＤＳＣＰ更新値管理部３８はＴＯＳ／ＤＳＣＰに関する必要情報を、ＡＲＰ処理部３１はＡＲＰ処理に関する必要情報を，ＰＰＰｏＥ処理部３２はＰＰＰｏＥ処理に関する必要情報を、ＶＬＡＮ処理部３３はＶＡＬＮ処理に関する必要情報を、ルーティングテーブル管理部３９はルーティング情報を、それぞれ保持し所定の処理により必要な場合には更新していることとする。
【００６４】
さらに、ＦＬＯＷ情報管理部３５は、図７−１で示したフィールド値（ＦＬＯＷ）を第１の完全一致判定部１２に出力し、図７−２で示したＩＰヘッダ編集情報（ＭＯＤＩＦＹ）と出力先ネクストホップ情報（ＮＥＸＴＨＯＰ）を、パケット編集処理部１３へ出力する。第１の完全一致判定部１２，パケット編集処理部１３は、出力された情報をそれぞれフィールド値エントリ，編集情報エントリとして保持する。
【００６５】
そして、ＦＬＯＷ情報管理部３５は、最後に先頭パケットを、パケット分類フィールド値抽出処理部１１に戻す。
【００６６】
パケット分類フィールド値抽出処理部１１は、ＦＬＯＷ情報管理部３５から戻された先頭パケットから、１度目と同様にフィールド値：＜送信元アドレス・送信元ポート番号・プロトコル・宛先アドレス・宛先ポート番号＞を抽出し、抽出したフィールド値とそのパケットを第１の完全一致判定部１２に転送する。
【００６７】
第１の完全一致判定部１２は、抽出されたフィールド値：＜送信元アドレス・送信元ポート番号・プロトコル・宛先アドレス・宛先ポート番号＞に該当するエントリがＦＩＬＴＥＲ条件エントリに存在するか再度判定する。２回目の判定では、上記の処理により、その先頭パケットに対応するフィールド値エントリを生成済みであるため、第１の完全一致判定部１２は、該当するエントリが登録されていると判定する。そして、第１の完全一致判定部１２は、パケット編集処理部１３にその先頭パケットを転送する。
【００６８】
パケット編集処理部１３は、保持している編集情報エントリに基づいて転送された先頭パケットの所定の箇所を編集する。たとえば、ＮＡＰＴ処理を行う場合は送信元アドレス・ポート番号または宛先アドレス・宛先ポート番号を更新したり、ＴＯＳ／ＤＳＣＰ値更新処理を行う場合は、ＴＯＳ／ＤＳＣＰフィールドを更新したりする。なお、図７−２の例では、ＴＯＳ／ＤＳＣＰ値更新の情報を示していないが、図７−２は一例であり、これに限らず、パケットに必要な編集処理に応じて編集項目を設定すればよい。
【００６９】
また、パケット編集処理部１３は、出力先ネクストホップ情報に基づいて送信元・宛先ＭＡＣアドレスを更新したり、必要な場合にはＰＰＰｏＥヘッダでカプセリングしたりする。なお、どのような編集処理が必要であるかについては、パケットの種別ごとに設定することとする。最後に、パケット編集処理部１３は、編集したパケットを外部へ送信する。
【００７０】
また先頭パケットと同一のフローに属する後続のパケットも同様の手順により転送処理部１内で処理され、外部へ送信される。
【００７１】
以上のように、本実施の形態では、各フローの先頭パケットに対し第２の完全一致判定部１４が動的ＮＡＰＴ実行Ｉ／Ｆでありかつ通過させるべき先頭パケットを抽出してＦＩＬＴＥＲ判定処理部３４に転送し、通過させるべきでない先頭パケットを廃棄するようにした。このため、動的ＮＡＰＴ実行Ｉ／Ｆに到着するＤＤＯＳパケットの多くを第２の完全一致判定部１４が破棄することができ、ＦＩＬＴＥＲ判定処理部３４が逐次判定により通過と破棄を判定する場合に比べ、破棄すべきパケットを効率よく高速に廃棄することができ、より多くの正常フローの先頭パケットを処理することが可能となる。したがって、動的ＮＡＰＴ実行Ｉ／Ｆに、通過させるべき正常フローの先頭パケットと廃棄すべきパケットが混在して到着するような状況でも、従来技術に比べより多くの正常フローの先頭パケットを通過させることができる。
【００７２】
さらに、本実施の形態では、第２の完全一致判定部１４が各フローの後続パケットに対して、図２に示すＦＩＲＥＷＡＬＬエントリや図３に示す静的ＮＡＰＴエントリと逐次比較を実施することなくフィールド値エントリに基づいて通過／破棄を判定し、通過させるパケットはただちにパケット編集処理部１３へ転送する。このため、一度先頭パケットに対し通過と判定した後は、そのパケットと同一フローの後続パケットに対しても高速に処理できる。
【００７３】
さらに、第２の完全一致判定部１４と第１の完全一致判定部１２のいずれも高速に判定できるＨＡＳＨ演算による比較により行い、動的ＮＡＰＴ実行Ｉ／Ｆに到着するＤＤＯＳパケットが全て第２の完全一致判定部１４で廃棄される場合、ＤＤＯＳパケットを廃棄する場合の総処理時間（パケット分類フィールド値抽出部１１と第２の完全一致判定部１４と第１の完全一致判定部１２の総計)と、正常フローの後続パケットが通過する場合の総処理時間（パケット分類フィールド値抽出部１１と第２の完全一致判定部１４とパケット編集とパケット送信の処理時間の総計）が、共にワイヤレートのパケットの到着時間より短くなるように、これらの処理をＨ／Ｗ的に実現することで、ＤＤＯＳパケットがワイヤレートで到着する場合でも正常フローのパケットを全て確実に通過させることができる。
【００７４】
また、本実施の形態では、ＦＷ条件管理部３６，ＮＡＴ管理部３７が、図２に示すＦＩＲＥＷＡＬＬ条件エントリ，図３に示す静的ＮＡＰＴエントリをそれぞれ受信Ｉ／Ｆごとに登録している。そして、それらのエントリに基づいて第２の完全一致判定部１４は、受信Ｉ／Ｆごとに独立したＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３を設けている。このため、対象Ｉ／Ｆ以外のＦＩＲＥＷＡＬＬエントリおよび静的ＮＡＰＴエントリの登録とは無関係に動作する。その結果、図２に示すようなインターネットに接続され動的ＮＡＰＴを実行するＩ／ＦであるＷＡＮ＃１に対する外部からのアクセスに対してはパケットフィルタリングを実施し、私設網に接続されたＷＡＮ＃２に対する外部からのアクセスを全て許可するような場合でも、他の受信Ｉ／Ｆの処理と無関係に自身の処理対象の受信Ｉ／Ｆからの入力パケットに対してのみパケットフィルタリングを実施することができる。
【００７５】
また、本実施の形態では、着ポートが範囲指定されている場合に展開して第２の完全一致判定部１４が保持するようにしている。このため、範囲指定を持つＦＩＲＥＷＡＬＬ条件に対しても適切なパケットフィルタリングを実施することができる。
【００７６】
また、本実施の形態では、第２の完全一致判定部１４が通過させた先頭パケットに対し、再度ＦＩＬＴＥＲ判定処理部３４が逐次比較を実施するようにしている。これにより最終的には、ユーザが設定する図２に示すＦＩＲＥＷＡＬＬ条件や図３に示す静的ＮＡＰＴ条件に合致するパケットフィルタリング処理を実現できる。
【００７７】
実施の形態２．
図８は、本発明にかかるゲートウェイ装置の実施の形態２の機能構成例を示す図である。本実施の形態のゲートウェイ装置は、制御処理部２ａと転送処理部１ａとで構成される。制御処理部２ａは、実施の形態１と同様のＬ２ＩＰスタック２１およびＬ３ＩＰスタック２３と、転送制御ＩＰスタック２２ａと、Ｌ４ＩＰスタック２４と、ＶｏＩＰ機能部２５と、で構成される。また、転送処理部１ａは、実施の形態１の転送処理部１の第２の完全一致判定部１４を第３の完全一致判定部１５に替える以外は実施の形態１の転送制御部１と同様である。実施の形態１と同様の機能を有する構成要素は同一の符号を付して説明を省略する。
【００７８】
また、本実施の形態の転送制御ＩＰスタック２２ａは、実施の形態１の転送制御ＩＰスタック２２に廃棄パケットカウンタ５０を追加する以外は実施の形態１の転送制御ＩＰスタック２２と同様である。
【００７９】
Ｌ４ＩＰスタック２４は、ＵＤＰ処理部５１とＴＣＰ処理部５２とで構成され、ＶｏＩＰ（Voice over Internet Protocol）機能部２５は、ＳＩＰ処理部５３と、ＶｏＩＰ管理部５４と、ＲＴＰ（Real-time Transport Protocol）／ＲＴＣＰ（ＲＴＰ Control Protocol）処理部５５と、ＤＳＰ（Digital Signal Processor）処理部５６と、で構成される。
【００８０】
図９は、本実施の形態の第３の完全一致判定部１５の機能構成例を示す図である。本実施の形態の第３の完全一致判定部１５は、実施の形態１の第２の完全一致判定部１４にカウンタ５７−１〜５７−６，ＤＤＯＳ−ＦＩＬＴＥＲ判定部５８−１〜５８−３を追加する以外は、実施の形態１の第２の完全一致判定部１４と同様である。
【００８１】
実施の形態１では、動的ＮＡＰＴ実行Ｉ／Ｆに到着するＤＤＯＳパケットをＰＲＥ−ＦＩＬＴＥＲで廃棄できるようにしたが、本実施の形態ではＤＤＯＳ攻撃時にもＶｏＩＰ着呼処理を実施できるようにしている。以下、実施の形態１と異なる部分について説明する。
【００８２】
つづいて、本実施の形態の動作について説明する。通常、ゲートウェイ装置はＶｏＩＰ着呼を受け入れるためＳＩＰ用着ポート番号についてはＦＩＲＥＷＡＬＬ条件で通過と設定する。このため、ＶｏＩＰ機能部２５は、ゲートウェイ装置がＶｏＩＰ着呼を受け付けるＳＩＰサーバアドレスを発アドレスとし、ＶｏＩＰ着呼を受け付けるＷＡＮ側のＩ／Ｆアドレスを着アドレスとし、ＶｏＩＰ着呼を受け付けるＳＩＰポート番号を着ポート番号とし、動作を通過としたエントリ（以下、ＳＩＰエントリという）をＦＷ条件管理部３６が保持するＦＩＲＥＷＡＬＬ条件エントリに登録しておく。また、これらのＶｏＩＰ着呼に関連するエントリはＶｏＩＰ管理部５４が保持していることとする。
【００８３】
このように登録されたＦＩＲＥＷＡＬＬ条件エントリは、実施の形態１と同様に、ＦＩＬＴＥＲ判定処理部３４が静的ＮＡＰＴエントリと結合する。そして、ＦＩＬＴＥＲ判定処理部３４は、結合したエントリを第３の完全一致判定部１５のＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３に登録する。
【００８４】
また、ＶｏＩＰ管理部５４は、上記のＳＩＰエントリを第３の完全一致判定部１５のＤＤＯＳ−ＦＩＬＥＴＥＲ判定部５８−１〜５８−３に出力し、第３の完全一致判定部１５のＤＤＯＳ−ＦＩＬＥＴＥＲ判定部５８−１〜５８−３は、出力されたエントリをＤＤＯＳ−ＦＩＬＴＥＲエントリとして保持する。
【００８５】
つぎに、本実施の形態のゲートウェイ装置が、ＤＤＯＳ攻撃を受けたとする。ＤＤＯＳ攻撃パケットは、実施形態１で説明したように第１の完全一致判定部１２のフィールド値エントリには登録されていない。したがって、第１の完全一致判定部１２は、ＤＤＯＳ攻撃パケットを第３の完全一致判定部１５に転送する。
【００８６】
第３の完全一致判定部１５の受信Ｉ／Ｆ判定部４１は、実施の形態１と同様に転送されたパケットの受信Ｉ／Ｆが動的ＮＡＰＴ実行Ｉ／Ｆかを判定する。ＤＤＯＳ攻撃時で無い場合には、実施の形態１と同様にＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３が対応する受信Ｉ／Ｆについての判定を行い、破棄すべきパケットは破棄する。
【００８７】
ここで、ＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３が保持するＰＲＥ−ＦＩＬＴＥＲエントリには、ＳＩＰ用着ポート番号は、通過と設定されているとする。このため、ＤＤＯＳパケットのうち、着ポート番号がＳＩＰ用ポート番号でないＤＤＯＳパケットはＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３が破棄する。また、カウンタ５７−１はＰＲＥ−ＦＩＬＴＥＲ判定部４２−１が廃棄したパケットを計数する。同様にカウンタ５７−２はＰＲＥ−ＦＩＬＴＥＲ判定部４２−２が廃棄したパケットを、カウンタ５７−３はＰＲＥ−ＦＩＬＴＥＲ判定部４２−３が廃棄したパケットをそれぞれ計数する。
【００８８】
また、着ポート番号がＳＩＰ用ポート番号のＤＤＯＳ攻撃パケットはＰＲＥ−ＦＩＬＴＥＲ４２−１〜４２−３を通過し、ＦＩＬＴＥＲ判定処理部３４へ転送される。しかし、通過したＤＤＯＳ攻撃パケットは、発アドレスがＳＩＰサーバアドレスでないためＦＩＬＴＥＲ判定処理部３４で廃棄される。
【００８９】
廃棄パケットカウンタ５０は、ＦＩＬＴＥＲ判定処理部３４が破棄したパケット数を計数する。廃棄パケットカウンタ５０は、第３の完全一致判定部１５のカウンタ５７−１〜５７−６が計数した計数結果を収集し、収集した計数結果とＦＩＬＴＥＲ判定部３４が破棄したパケット数を合計し、合計破棄パケット数を算出する。
【００９０】
さらに、廃棄パケットカウンタ５０は、一定期間毎に合計破棄パケット数に基づいてその一定期間の間に廃棄したパケットの総数を求める。カウンタ５７−１〜５７−６および廃棄パケットカウンタ５０が廃棄したパケット数を初期値に戻さずに計数しているときには、一定期間毎の計数結果の差分をとってその期間に到着したパケット数を求める。なお、廃棄パケットカウンタ５０は、差分を求めた後に現在の合計破棄パケット数は前回合計破棄パケット数として保持しておくこととする。そして、その差分が所定のしきい値以上であった場合にＤＤＯＳ攻撃中であると検知する。なお、一定期間ごとにカウンタ５７−１〜５７−６および廃棄パケットカウンタ５０のカウンタ値を初期化して０にする場合には、計数値がそのまま一定期間ごとの廃棄パケット数となるため、合計破棄パケット数がその期間に到着したパケット数となる。この場合は、差分を求めずに合計破棄パケット数をしきい値と比較する。
【００９１】
廃棄パケットカウンタ５０は、ＤＤＯＳ攻撃を検知すると、受信Ｉ／Ｆ判定部４１に、パケットの出力先を、より強力な条件を設定しているＤＤＯＳ−ＦＩＬＴＥＲ判定部５８−１〜５８−３へ切り替えるよう通知する。
【００９２】
ＤＤＯＳ−ＦＩＬＴＥＲ判定部５８−１〜５８−３は、ＤＤＯＳ攻撃中でもＳＩＰコネクションを通過させるために、ＳＩＰコネクションの＜プロトコル番号・送信元アドレス・宛先アドレス・宛先ポート番号＞を通過と登録したＳＩＰエントリを保持している。ＤＤＯＳ−ＦＩＬＴＥＲ判定部５８−１〜５８−３は、ＳＩＰエントリに一致しないパケットは廃棄する。このため、ＤＤＯＳ−ＦＩＬＴＥＲ判定部５８−１〜５８−３は、送信元アドレスが、登録されているＳＩＰサーバアドレスからのＳＩＰポート宛パケットは通過するが、送信元アドレスがＳＩＰサーバアドレス以外のパケットは破棄する。これによりＤＤＯＳ−ＦＩＬＴＥＲ判定部５８−１〜５８−３は、ＤＤＯＳ攻撃パケットを完全に破棄することができる。また、カウンタ５７−４〜５７−６は、それぞれＤＤＯＳ−ＦＩＬＴＥＲ判定部５８−１〜５８−３が破棄したパケット数を計数する。
【００９３】
また、ＤＤＯＳ−ＦＩＬＴＥＲ判定部５８−１〜５８−３の以上の処理により、ＦＩＬＴＥＲ判定処理部３４にはＳＩＰエントリとして登録されているＳＩＰサーバアドレスからの正当なＳＩＰコネクションの先頭パケットのみが転送される。したがって、ゲートウェイ装置は登録されているＳＩＰサーバアドレスからのＳＩＰコネクションを確実に受け付けることができる。
【００９４】
また、ＦＬＯＷ情報管理部３５は、ＳＩＰエントリについても、実施の形態１と同様の手順で、フロー情報を生成し、フィールド値（ＦＬＯＷ）を第１の完全一致判定部１２に出力しＩＰヘッダ編集情報（ＭＯＤＩＦＹ）と出力先ネクストホップ情報（ＮＥＸＴＨＯＰ）を、パケット編集処理部１３へ出力する。ただしＳＩＰコネクションはゲートウェイ装置で終端するため、順方向のＮＥＸＴＨＯＰ情報は自装置宛となる。
【００９５】
このようにして、ＳＩＰフローの先頭パケットの処理が行われ、実施の形態１と同様にパケット分類フィールド値抽出処理部１１に先頭パケットが戻される。そして、その先頭パケットは、第１の完全一致判定部１２とパケット編集処理部１３を経由して、ＵＤＰ処理部５１に出力される。ＵＤＰ処理部５１は、所定のＵＤＰ処理を行いＳＩＰメッセージとしてＳＩＰ処理部５３に通知する。
【００９６】
そして、ＳＩＰ処理部５３は、ＳＩＰ手順を終端する。また、ＳＩＰ処理部５３は、ＶｏＩＰが使用するＲＴＰ／ＲＴＣＰ用のコネクションを所定の手順で取得し、取得したＲＴＰ／ＲＴＣＰ用のコネクションをＶｏＩＰ管理部５４に通知する。
【００９７】
ＶｏＩＰ管理部５４は、通知されたＲＴＰ／ＲＴＣＰ用のコネクション情報をＦＬＯＷ情報管理部３５に通知する。ＦＬＯＷ情報管理部３５は、実施形態１で述べたＦＩＬＴＥＲ判定処理部３４で通過判定された場合と同様にフロー情報を生成し、フィールド値（ＦＬＯＷ）を第１の完全一致判定部１２に出力しＩＰヘッダ編集情報（ＭＯＤＩＦＹ）と出力先ネクストホップ情報（ＮＥＸＴＨＯＰ）を、パケット編集処理部１３へ出力する。
【００９８】
このようにしてＶｏＩＰで使用するＲＴＰ／ＲＴＣＰのフローに属するパケットは、最初から第１の完全一致判定部１２に対応するフィールド値エントリが登録されている。したがって、このＶｏＩＰで使用するＲＴＰ／ＲＴＣＰフローに属するパケットについては、先頭パケットであっても最初から通過する。
【００９９】
なお、本実施の形態では、ＶｏＩＰで使用するＲＴＰ／ＲＴＣＰフローを例として説明したが、ＶｏＩＰに限らず、制御セッションを確立して制御セッションによりコネクション情報を取得し、取得したコネクション情報に基づいてデータセッションが確立されてパケットが送信されるパケット処理の場合には、ＶｏＩＰと同様に、制御セッションのコネクション情報を取得してその情報をＦＬＯＷ情報管理部３５に通知するようにすればよい。
【０１００】
また、廃棄パケットカウンタ５０は、一定期間毎に求めている差分が、所定のしきい値未満になった場合に、ＤＤＯＳ攻撃が終了したと検知する。そして、廃棄パケットカウンタ５０は、ＤＤＯＳ攻撃が終了したと検知すると、受信Ｉ／Ｆ判定部４１に、ＤＤＯＳ攻撃検知前と同様に、ＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３へパケットを出力するよう通知する。
【０１０１】
なお、本実施の形態では、廃棄パケットカウンタ５０は、カウンタ５７−１〜５７−６の計数結果を収集するようにしたが、ＤＤＯＳ攻撃検知の前およびＤＤＯＳ攻撃終了の検知後は、カウンタ５７−１〜５７−３の計数結果を収集し、ＤＤＯＳ攻撃検知後（ＤＤＯＳ攻撃中）は、カウンタ５７−４〜５７−６の計数結果を収集するようにしてもよい。
【０１０２】
なお、本実施の形態では、ＤＤＯＳ−ＦＩＬＴＥＲ判定部５８−１〜５８−３を、ＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３と同様に受信Ｉ／Ｆごとに設けることとし、各々が対応する受信Ｉ／Ｆのパケットを処理することとするが、これに限らず、１つの判定部とするなど、設ける数はいくつでもよい。
【０１０３】
以上のように、本実施の形態では、ＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３およびＦＩＬＴＥＲ判定処理部３４が廃棄したパケット数を求め、パケット数の差分が所定のしきい値以上となった場合にＤＤＯＳ攻撃を検知したと判断するようにした。このため、ＤＤＯＳ攻撃を検知することが可能になる。
【０１０４】
ＤＤＯＳ攻撃を検知すると、第３の完全一致判定部１５は、パケットをＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３より強力な条件を保持するＤＤＯＳ−ＦＩＬＴＥＲ判定部５８−１〜５８−３がパケットの通過／廃棄の判定を行うようにした。これによりＤＤＯＳ攻撃検出時には、ＤＤＯＳ攻撃パケットを第３の完全一致判定部１５を含む転送処理部１ａ内で確実に廃棄できる。
【０１０５】
また、本実施の形態では、ＤＤＯＳ攻撃パケットは第３の完全一致判定部１５内で閉じて廃棄されるため、ＦＩＬＴＥＲ判定処理部３４がＤＤＯＳ攻撃パケットに対して逐次比較を実施する必要がなくなる。これによりＦＩＬＴＥＲ判定部３４を含む制御処理部２ａの処理負荷を著しく軽減できる。さらに、制御処理部２ａの処理負荷が軽減することにより、制御処理部２ａが、リアルタイム性を必要とするＤＳＰ処理を専用のＨ／Ｗを用いずにＳ／Ｗ的に実現することが可能となる。これによりＤＳＰ処理のＨ／Ｗに要する回路規模または部材点数を削減することができる。
【０１０６】
また、本実施の形態では、ＶｏＩＰ機能部２５が、ＤＤＯＳ攻撃検出時にも通過させるエントリとして発アドレスがＳＩＰサーバである正当なＳＩＰコネクションのエントリをあらかじめ設定し、先頭のＳＩＰパケットを通過させるようにした。これによりＤＤＯＳ攻撃検出時にもＳＩＰパケットを確実に通過させることができる。
【０１０７】
また、本実施の形態では、ＳＩＰ処理部５３は、ＳＩＰ手順により交渉したＲＴＰ／ＲＴＣＰ用フロー情報を取得し、取得したＲＴＰ／ＲＴＣＰ用フロー情報をあらかじめ第１の完全一致判定部１２に登録するようにした。このため、ＤＤＯＳ攻撃検出時にもＲＴＰ／ＲＴＣＰパケットを最初から確実に通過させることができる。
【０１０８】
また、本実施の形態では、第３の完全一致判定部１５のＤＤＯＳ−ＦＩＬＴＥＲ判定部５８−１〜５８−３も、全て完全一致判定により実現している。これにより、本発明にかかるＦＩＬＴＥＲ処理は単一のＨａｓｈ演算比較装置により実現することが可能となり回路規模あるいは部材点数を削減できる。
【０１０９】
また、本実施の形態では、制御処理部２ａが、ＤＤＯＳ攻撃の終了を検知すると、第３の完全一致判定部１５の処理をＰＲＥ−ＦＩＬＴＥＲ判定部４２−１〜４２−３の処理に戻すようにした。このため、ＤＤＯＳ攻撃終了検出時には、従来どおりユーザが設定するＦＩＲＥＷＡＬＬ条件、静的ＮＡＰＴ条件に一致した通過・廃棄判定を実現できる。
【産業上の利用可能性】
【０１１０】
以上のように、本発明にかかるゲートウェイ装置およびパケットフィルタリング方法は、パケットフィルタリングを行うゲートウェイ装置に有用であり、特に、ＤＤＯＳ攻撃中にも正常パケットを処理するゲートウェイ装置に適している。
【図面の簡単な説明】
【０１１１】
【図１】本発明にかかるゲートウェイ装置の実施の形態１の機能構成例を示す図である。
【図２】実施の形態１のＦＩＲＥＷＡＬＬ条件（パケットフィルタ条件）エントリの一例を示す図である。
【図３】実施の形態１の静的ＮＡＰＴ（Network Address Port Translation）条件のエントリの一例を示す図である。
【図４】実施の形態１のＦＩＬＴＥＲ条件エントリの一例を示す図である。
【図５】実施の形態１のＰＲＥフィルタ設定エントリの一例を示す図である。
【図６】実施の形態１の第２の完全一致判定部の機能構成例を示す図である。
【図７−１】実施の形態１のＦＬＯＷ情報管理部が生成するフロー情報エントリの一例を示す図である。
【図７−２】実施の形態１のＦＬＯＷ情報管理部が生成するフロー情報エントリの一例を示す図である。
【図７−３】図７−１，７−２の例で仮定しているネットワーク構成例を示す図である。
【図８】本発明にかかるゲートウェイ装置の実施の形態２の機能構成例を示す図である。
【図９】実施の形態２の第３の完全一致判定部の機能構成例を示す図である。
【符号の説明】
【０１１２】
１，１ａ 転送処理部
２，２ａ 制御処理部
１１ パケット分類フィールド値抽出処理部
１２ 第１の完全一致判定部
１３ パケット編集処理部
１４ 第２の完全一致判定部
１５ 第３の完全一致判定部
２１ Ｌ２ＩＰスタック
２２ 転送制御ＩＰスタック
２３ Ｌ３ＩＰスタック
２４ Ｌ４ＩＰスタック
２５ ＶｏＩＰ機能部
３１ ＡＲＰ処理部
３２ ＰＰＰｏＥ処理部
３３ ＶＬＡＮ処理部
３４ ＦＩＬＴＥＲ判定処理部
３５ ＦＬＯＷ情報管理部
３６ ＦＷ条件管理部
３７ ＮＡＴ管理部
３８ ＤＳＣＰ更新値管理部
３９ ルーティングテーブル管理部
４１ 受信Ｉ／Ｆ判定部
４２−１〜４２−３ ＰＲＥ−ＦＩＬＴＥＲ判定部
５０ 廃棄パケットカウンタ
５１ ＵＤＰ処理部
５２ ＴＣＰ処理部
５３ ＳＩＰ処理部
５４ ＶｏＩＰ管理部
５５ ＲＴＰ／ＲＴＣＰ処理部
５６ ＤＳＰ処理部
５７−１〜５７−６ カウンタ
５８−１〜５８−３ ＤＤＯＳ−ＦＩＬＴＥＲ判定部
１００ ゲートウェイ装置
２０１〜２０４ 通信装置
２１０ ＳＩＰ
【特許請求の範囲】
【請求項１】
あらかじめ設定されたフィルタリング条件に基づいて受信したパケットに対してパケットフィルタリング処理を行うフィルタリング処理手段を備え、ＬＡＮおよびＷＡＮに接続され、前記ＬＡＮ側から前記ＷＡＮ側へパケットを転送する際に動的ＮＡＰＴ変換処理を行うゲートウェイ装置であって、
前記フィルタリング処理手段の処理実施前に、動的ＮＡＰＴ変換処理の対象とするＷＡＮ側インタフェースから受信した動的ＮＡＰＴ受信パケットからプロトコル識別子、宛先アドレスおよび宛先ポート番号を抽出し、前記抽出結果を、通過を許可すべきプロトコル識別子、宛先アドレスおよび宛先ポート番号の組み合わせがあらかじめ格納されているプレフィルタ条件の各エントリと比較し、比較の結果、抽出したプロトコル識別子、宛先アドレスおよび宛先ポート番号の組み合わせと一致するエントリがあると判断した場合には、前記動的ＮＡＰＴ受信パケットを仮通過パケットと判定し、一方、一致するエントリがないと判断した場合には、前記動的ＮＡＰＴ受信パケットを破棄する仮通過判定手段、
を備え、
前記フィルタリング処理手段は、前記仮通過パケットに対して前記パケットフィルタリング処理を実施することを特徴とするゲートウェイ装置。
【請求項２】
前記フィルタリング処理手段の処理実施前に、受信したパケットから送信元アドレス、送信元ポート番号、プロトコル識別子、宛先アドレスおよび宛先ポート番号を抽出し、前記抽出結果を、あらかじめ保持している送信元アドレス、送信元ポート番号、プロトコル識別子、宛先アドレスおよび宛先ポート番号の組み合わせごとにそのパケットに対する処理内容が格納されているフィールド条件の各エントリと比較し、比較の結果、抽出した送信元アドレス、送信元ポート番号、プロトコル識別子、宛先アドレスおよび宛先ポート番号と一致するエントリが無いと判断した場合には、そのパケットを前記仮通過判定手段に転送し、一方、一致するエントリが有ると判断した場合には、一致したエントリの対応する処理内容に基づいて前記パケットに対する処理を行う先頭パケット判定手段、
をさらに備えることを特徴とする請求項１に記載のゲートウェイ装置。
【請求項３】
前記仮通過判定手段と前記先頭パケット判定手段を同一の演算装置に実装することを特徴とする請求項２に記載のゲートウェイ装置。
【請求項４】
前記フィルタリング処理手段の処理実施前に、動的ＮＡＰＴ変換処理対象のＷＡＮ側から受信した動的ＮＡＰＴ受信パケットからプロトコル識別子、送信元アドレス、宛先アドレスおよび宛先ポート番号を抽出し、前記抽出結果を、通過を許可すべきプロトコル識別子、送信元アドレス、宛先アドレスおよび宛先ポート番号の組み合わせがあらかじめ格納されている通過パケット条件の各エントリと比較し、比較の結果、抽出したプロトコル識別子、送信元アドレス、宛先アドレスおよび宛先ポート番号の組み合わせと一致するエントリがあると判断した場合には、前記動的ＮＡＰＴ受信パケットを仮通過パケットと判定し、一方、一致するエントリがないと判断した場合には、前記動的ＮＡＰＴ受信パケットを破棄する通過パケット判定手段と、
前記仮通過判定手段が破棄したパケット数を計数するカウンタと、
前記フィルタリング処理手段が破棄したパケット数を計数し、また、その計数結果と前記カウンタが計測したパケット数とを加算して合計パケット数とし、所定の期間の合計パケット数が所定のしきい値以上となった場合に、ＤＤＯＳ攻撃中と検知する破棄パケット算出手段と、
をさらに備え、
前記破棄パケット算出手段がＤＤＯＳ攻撃中と検知した場合は、前記仮通過判定手段による処理を停止し、前記通過パケット判定手段による処理を実施し、前記通過パケット判定手段が判定した仮通過パケットを前記フィルタリング処理手段が処理対象とする仮通過パケットとすることを特徴とする請求項１に記載のゲートウェイ装置。
【請求項５】
前記フィルタリング処理手段の処理実施前に、動的ＮＡＰＴ変換処理対象のＷＡＮ側から受信した動的ＮＡＰＴ受信パケットからプロトコル識別子、送信元アドレス、宛先アドレスおよび宛先ポート番号を抽出し、前記抽出結果を、通過を許可すべきプロトコル識別子、送信元アドレス、宛先アドレスおよび宛先ポート番号の組み合わせがあらかじめ格納されている通過パケット条件の各エントリと比較し、比較の結果、抽出したプロトコル識別子、送信元アドレス、宛先アドレスおよび宛先ポート番号の組み合わせと一致するエントリがあると判断した場合には、前記動的ＮＡＰＴ受信パケットを仮通過パケットと判定し、一方、一致するエントリがないと判断した場合には、前記動的ＮＡＰＴ受信パケットを破棄する通過パケット判定手段と、
前記仮通過判定手段が破棄したパケット数を計数するカウンタと、
前記フィルタリング処理手段が破棄したパケット数を計数し、また、その計数結果と前記カウンタが計測したパケット数とを加算して合計パケット数とし、所定の期間の合計パケット数が所定のしきい値以上となった場合に、ＤＤＯＳ攻撃中と検知する破棄パケット算出手段と、
をさらに備え、
前記破棄パケット算出手段がＤＤＯＳ攻撃中と検知した場合は、前記仮通過判定手段による処理を停止し、前記通過パケット判定手段による処理を実施し、前記通過パケット判定手段が判定した仮通過パケットを前記フィルタリング処理手段が処理対象とする仮通過パケットとすることを特徴とする請求項２に記載のゲートウェイ装置。
【請求項６】
前記仮通過判定手段と前記先頭パケット判定手段と前記通過パケット判定手段とのうちいずれか２つ以上の手段を同一の演算装置に実装することを特徴とする請求項５に記載のゲートウェイ装置。
【請求項７】
前記通過パケット判定手段が破棄した廃棄パケット数を計数する破棄パケットカウンタ、
をさらに備え、
前記破棄パケット算出手段は、ＤＤＯＳ攻撃中と検知した場合に、前記フィルタリング処理手段が破棄したパケット数の計数結果と前記破棄パケットカウンタが計測したパケット数とを加算してＤＤＯＳ攻撃中合計パケット数とし、前記ＤＤＯＳ攻撃中合計パケット数が前記しきい値未満となった場合に、ＤＤＯＳ攻撃終了と検知し、
前記ＤＤＯＳ攻撃終了後に前記通過パケット判定手段による処理を停止し、前記仮通過判定手段による処理を実施し、前記仮通過判定手段が判定した仮通過パケットを前記フィルタリング処理手段が処理対象とする仮通過パケットとすることを特徴とする請求項４、５または６に記載のゲートウェイ装置。
【請求項８】
前記通過パケット条件として、ＶｏＩＰパケットに対応するエントリを含むことを特徴とする請求項４〜７のいずれか１つに記載のゲートウェイ装置。
【請求項９】
ＶｏＩＰパケットに関する制御セッションを確立し、確立した制御セッションによりコネクション情報を取得する制御セッション処理手段、
をさらに備え、
前記コネクション情報に基づくエントリをフィールド条件に含めることを特徴とする請求項８に記載のゲートウェイ装置。
【請求項１０】
さらに前記ＬＡＮ側から前記ＷＡＮ側へパケットを転送する際に動的ＮＡＰＴ変換処理を行う静的ＮＡＰＴ変換処理を実施し、
前記仮通過判定手段は、前記静的ＮＡＰＴ変換処理対象のＷＡＮ側から受信した静的ＮＡＰＴ受信パケットを前記フィルタリング処理手段に転送することを特徴とする請求項１〜９のいずれか１つに記載のゲートウェイ装置。
【請求項１１】
前記フィルタリング条件に静的ＮＡＰＴ変換テーブルに基づくエントリを含むことを特徴とする請求項１０に記載のゲートウェイ装置。
【請求項１２】
パケットに施す処理ごとに、各処理に関連する個別フィルタリング条件の入力を受け付けるフィルタリング条件受付手段、
をさらに備え、
前記フィルタリング処理手段は、前記フィルタリング条件受付手段が受け付けた個別フィルタリング条件に基づいてフィルタリング条件を生成することを特徴とする請求項１〜１１のいずれか１つに記載のゲートウェイ装置。
【請求項１３】
前記フィルタリング条件から動的ＮＡＰＴ変換処理対象でありかつ対応する動作が通過であるエントリを抽出し、前記プレフィルタ条件を、抽出したエントリに基づいて生成することを特徴とする請求項１〜１２のいずれか１つに記載のゲートウェイ装置。
【請求項１４】
前記フィルタリング条件に含まれる宛先ポート番号が範囲で指定されている場合、前記範囲を展開して個別のエントリとして前記プレフィルタ条件を生成することを特徴とする請求項１３に記載のゲートウェイ装置。
【請求項１５】
前記仮通過判定手段は、
パケットの送信元のＷＡＮである送信元ＷＡＮを識別する受信インタフェース判定手段、
を備え、
前記プレフィルタ条件を、自身の処理対象の送信元ＷＡＮに対応する条件とし、前記仮通過パケットの判定および前記動的ＮＡＰＴ受信パケットの破棄を行うインタフェース毎判定手段、
を前記送信元ＷＡＮごとに備え、
前記受信インタフェース判定手段は、前記識別した送信元ＷＡＮに対応するインタフェース毎判定手段にそのパケットを転送することを特徴とする請求項１〜１４のいずれか１つに記載のゲートウェイ装置。
【請求項１６】
前記比較を各フィールドのマスク演算とＨａｓｈ演算を行う演算装置に実装することを特徴とする請求項１〜１５のいずれか１つに記載のゲートウェイ装置。
【請求項１７】
あらかじめ設定されたフィルタリング条件に基づいて受信したパケットに対してパケットフィルタリング処理を行うフィルタリング処理手段を備え、ＬＡＮおよびＷＡＮに接続され、前記ＬＡＮ側から前記ＷＡＮ側へパケットを転送する際に動的ＮＡＰＴ変換処理を行うゲートウェイ装置、におけるパケットフィルタリング方法であって、
前記フィルタリング処理手段の処理実施前に、動的ＮＡＰＴ変換処理対象のＷＡＮ側インタフェースから受信した動的ＮＡＰＴ受信パケットからプロトコル識別子、宛先アドレスおよび宛先ポート番号を抽出し、前記抽出結果を、通過を許可すべきプロトコル識別子、宛先アドレスおよび宛先ポート番号の組み合わせが格納されているプレフィルタ条件の各エントリと比較し、比較の結果、抽出したプロトコル識別子、宛先アドレスおよび宛先ポート番号の組み合わせと一致するエントリがあると判断した場合には、前記動的ＮＡＰＴ受信パケットを仮通過パケットと判定し、一方、一致するエントリがないと判断した場合には、前記動的ＮＡＰＴ受信パケットを破棄する仮通過判定ステップと、
前記フィルタリング処理手段が、前記仮通過パケットに対して前記パケットフィルタリング処理を実施するフィルタリング実施ステップと、
を含むことを特徴とするパケットフィルタリング方法。
【請求項１】
あらかじめ設定されたフィルタリング条件に基づいて受信したパケットに対してパケットフィルタリング処理を行うフィルタリング処理手段を備え、ＬＡＮおよびＷＡＮに接続され、前記ＬＡＮ側から前記ＷＡＮ側へパケットを転送する際に動的ＮＡＰＴ変換処理を行うゲートウェイ装置であって、
前記フィルタリング処理手段の処理実施前に、動的ＮＡＰＴ変換処理の対象とするＷＡＮ側インタフェースから受信した動的ＮＡＰＴ受信パケットからプロトコル識別子、宛先アドレスおよび宛先ポート番号を抽出し、前記抽出結果を、通過を許可すべきプロトコル識別子、宛先アドレスおよび宛先ポート番号の組み合わせがあらかじめ格納されているプレフィルタ条件の各エントリと比較し、比較の結果、抽出したプロトコル識別子、宛先アドレスおよび宛先ポート番号の組み合わせと一致するエントリがあると判断した場合には、前記動的ＮＡＰＴ受信パケットを仮通過パケットと判定し、一方、一致するエントリがないと判断した場合には、前記動的ＮＡＰＴ受信パケットを破棄する仮通過判定手段、
を備え、
前記フィルタリング処理手段は、前記仮通過パケットに対して前記パケットフィルタリング処理を実施することを特徴とするゲートウェイ装置。
【請求項２】
前記フィルタリング処理手段の処理実施前に、受信したパケットから送信元アドレス、送信元ポート番号、プロトコル識別子、宛先アドレスおよび宛先ポート番号を抽出し、前記抽出結果を、あらかじめ保持している送信元アドレス、送信元ポート番号、プロトコル識別子、宛先アドレスおよび宛先ポート番号の組み合わせごとにそのパケットに対する処理内容が格納されているフィールド条件の各エントリと比較し、比較の結果、抽出した送信元アドレス、送信元ポート番号、プロトコル識別子、宛先アドレスおよび宛先ポート番号と一致するエントリが無いと判断した場合には、そのパケットを前記仮通過判定手段に転送し、一方、一致するエントリが有ると判断した場合には、一致したエントリの対応する処理内容に基づいて前記パケットに対する処理を行う先頭パケット判定手段、
をさらに備えることを特徴とする請求項１に記載のゲートウェイ装置。
【請求項３】
前記仮通過判定手段と前記先頭パケット判定手段を同一の演算装置に実装することを特徴とする請求項２に記載のゲートウェイ装置。
【請求項４】
前記フィルタリング処理手段の処理実施前に、動的ＮＡＰＴ変換処理対象のＷＡＮ側から受信した動的ＮＡＰＴ受信パケットからプロトコル識別子、送信元アドレス、宛先アドレスおよび宛先ポート番号を抽出し、前記抽出結果を、通過を許可すべきプロトコル識別子、送信元アドレス、宛先アドレスおよび宛先ポート番号の組み合わせがあらかじめ格納されている通過パケット条件の各エントリと比較し、比較の結果、抽出したプロトコル識別子、送信元アドレス、宛先アドレスおよび宛先ポート番号の組み合わせと一致するエントリがあると判断した場合には、前記動的ＮＡＰＴ受信パケットを仮通過パケットと判定し、一方、一致するエントリがないと判断した場合には、前記動的ＮＡＰＴ受信パケットを破棄する通過パケット判定手段と、
前記仮通過判定手段が破棄したパケット数を計数するカウンタと、
前記フィルタリング処理手段が破棄したパケット数を計数し、また、その計数結果と前記カウンタが計測したパケット数とを加算して合計パケット数とし、所定の期間の合計パケット数が所定のしきい値以上となった場合に、ＤＤＯＳ攻撃中と検知する破棄パケット算出手段と、
をさらに備え、
前記破棄パケット算出手段がＤＤＯＳ攻撃中と検知した場合は、前記仮通過判定手段による処理を停止し、前記通過パケット判定手段による処理を実施し、前記通過パケット判定手段が判定した仮通過パケットを前記フィルタリング処理手段が処理対象とする仮通過パケットとすることを特徴とする請求項１に記載のゲートウェイ装置。
【請求項５】
前記フィルタリング処理手段の処理実施前に、動的ＮＡＰＴ変換処理対象のＷＡＮ側から受信した動的ＮＡＰＴ受信パケットからプロトコル識別子、送信元アドレス、宛先アドレスおよび宛先ポート番号を抽出し、前記抽出結果を、通過を許可すべきプロトコル識別子、送信元アドレス、宛先アドレスおよび宛先ポート番号の組み合わせがあらかじめ格納されている通過パケット条件の各エントリと比較し、比較の結果、抽出したプロトコル識別子、送信元アドレス、宛先アドレスおよび宛先ポート番号の組み合わせと一致するエントリがあると判断した場合には、前記動的ＮＡＰＴ受信パケットを仮通過パケットと判定し、一方、一致するエントリがないと判断した場合には、前記動的ＮＡＰＴ受信パケットを破棄する通過パケット判定手段と、
前記仮通過判定手段が破棄したパケット数を計数するカウンタと、
前記フィルタリング処理手段が破棄したパケット数を計数し、また、その計数結果と前記カウンタが計測したパケット数とを加算して合計パケット数とし、所定の期間の合計パケット数が所定のしきい値以上となった場合に、ＤＤＯＳ攻撃中と検知する破棄パケット算出手段と、
をさらに備え、
前記破棄パケット算出手段がＤＤＯＳ攻撃中と検知した場合は、前記仮通過判定手段による処理を停止し、前記通過パケット判定手段による処理を実施し、前記通過パケット判定手段が判定した仮通過パケットを前記フィルタリング処理手段が処理対象とする仮通過パケットとすることを特徴とする請求項２に記載のゲートウェイ装置。
【請求項６】
前記仮通過判定手段と前記先頭パケット判定手段と前記通過パケット判定手段とのうちいずれか２つ以上の手段を同一の演算装置に実装することを特徴とする請求項５に記載のゲートウェイ装置。
【請求項７】
前記通過パケット判定手段が破棄した廃棄パケット数を計数する破棄パケットカウンタ、
をさらに備え、
前記破棄パケット算出手段は、ＤＤＯＳ攻撃中と検知した場合に、前記フィルタリング処理手段が破棄したパケット数の計数結果と前記破棄パケットカウンタが計測したパケット数とを加算してＤＤＯＳ攻撃中合計パケット数とし、前記ＤＤＯＳ攻撃中合計パケット数が前記しきい値未満となった場合に、ＤＤＯＳ攻撃終了と検知し、
前記ＤＤＯＳ攻撃終了後に前記通過パケット判定手段による処理を停止し、前記仮通過判定手段による処理を実施し、前記仮通過判定手段が判定した仮通過パケットを前記フィルタリング処理手段が処理対象とする仮通過パケットとすることを特徴とする請求項４、５または６に記載のゲートウェイ装置。
【請求項８】
前記通過パケット条件として、ＶｏＩＰパケットに対応するエントリを含むことを特徴とする請求項４〜７のいずれか１つに記載のゲートウェイ装置。
【請求項９】
ＶｏＩＰパケットに関する制御セッションを確立し、確立した制御セッションによりコネクション情報を取得する制御セッション処理手段、
をさらに備え、
前記コネクション情報に基づくエントリをフィールド条件に含めることを特徴とする請求項８に記載のゲートウェイ装置。
【請求項１０】
さらに前記ＬＡＮ側から前記ＷＡＮ側へパケットを転送する際に動的ＮＡＰＴ変換処理を行う静的ＮＡＰＴ変換処理を実施し、
前記仮通過判定手段は、前記静的ＮＡＰＴ変換処理対象のＷＡＮ側から受信した静的ＮＡＰＴ受信パケットを前記フィルタリング処理手段に転送することを特徴とする請求項１〜９のいずれか１つに記載のゲートウェイ装置。
【請求項１１】
前記フィルタリング条件に静的ＮＡＰＴ変換テーブルに基づくエントリを含むことを特徴とする請求項１０に記載のゲートウェイ装置。
【請求項１２】
パケットに施す処理ごとに、各処理に関連する個別フィルタリング条件の入力を受け付けるフィルタリング条件受付手段、
をさらに備え、
前記フィルタリング処理手段は、前記フィルタリング条件受付手段が受け付けた個別フィルタリング条件に基づいてフィルタリング条件を生成することを特徴とする請求項１〜１１のいずれか１つに記載のゲートウェイ装置。
【請求項１３】
前記フィルタリング条件から動的ＮＡＰＴ変換処理対象でありかつ対応する動作が通過であるエントリを抽出し、前記プレフィルタ条件を、抽出したエントリに基づいて生成することを特徴とする請求項１〜１２のいずれか１つに記載のゲートウェイ装置。
【請求項１４】
前記フィルタリング条件に含まれる宛先ポート番号が範囲で指定されている場合、前記範囲を展開して個別のエントリとして前記プレフィルタ条件を生成することを特徴とする請求項１３に記載のゲートウェイ装置。
【請求項１５】
前記仮通過判定手段は、
パケットの送信元のＷＡＮである送信元ＷＡＮを識別する受信インタフェース判定手段、
を備え、
前記プレフィルタ条件を、自身の処理対象の送信元ＷＡＮに対応する条件とし、前記仮通過パケットの判定および前記動的ＮＡＰＴ受信パケットの破棄を行うインタフェース毎判定手段、
を前記送信元ＷＡＮごとに備え、
前記受信インタフェース判定手段は、前記識別した送信元ＷＡＮに対応するインタフェース毎判定手段にそのパケットを転送することを特徴とする請求項１〜１４のいずれか１つに記載のゲートウェイ装置。
【請求項１６】
前記比較を各フィールドのマスク演算とＨａｓｈ演算を行う演算装置に実装することを特徴とする請求項１〜１５のいずれか１つに記載のゲートウェイ装置。
【請求項１７】
あらかじめ設定されたフィルタリング条件に基づいて受信したパケットに対してパケットフィルタリング処理を行うフィルタリング処理手段を備え、ＬＡＮおよびＷＡＮに接続され、前記ＬＡＮ側から前記ＷＡＮ側へパケットを転送する際に動的ＮＡＰＴ変換処理を行うゲートウェイ装置、におけるパケットフィルタリング方法であって、
前記フィルタリング処理手段の処理実施前に、動的ＮＡＰＴ変換処理対象のＷＡＮ側インタフェースから受信した動的ＮＡＰＴ受信パケットからプロトコル識別子、宛先アドレスおよび宛先ポート番号を抽出し、前記抽出結果を、通過を許可すべきプロトコル識別子、宛先アドレスおよび宛先ポート番号の組み合わせが格納されているプレフィルタ条件の各エントリと比較し、比較の結果、抽出したプロトコル識別子、宛先アドレスおよび宛先ポート番号の組み合わせと一致するエントリがあると判断した場合には、前記動的ＮＡＰＴ受信パケットを仮通過パケットと判定し、一方、一致するエントリがないと判断した場合には、前記動的ＮＡＰＴ受信パケットを破棄する仮通過判定ステップと、
前記フィルタリング処理手段が、前記仮通過パケットに対して前記パケットフィルタリング処理を実施するフィルタリング実施ステップと、
を含むことを特徴とするパケットフィルタリング方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７−１】
【図７−２】
【図７−３】
【図８】
【図９】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７−１】
【図７−２】
【図７−３】
【図８】
【図９】
【公開番号】特開２０１０−１１２０６（Ｐ２０１０−１１２０６Ａ）
【公開日】平成２２年１月１４日（２０１０．１．１４）
【国際特許分類】
【出願番号】特願２００８−１６９３１１（Ｐ２００８−１６９３１１）
【出願日】平成２０年６月２７日（２００８．６．２７）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【Ｆターム（参考）】
【公開日】平成２２年１月１４日（２０１０．１．１４）
【国際特許分類】
【出願日】平成２０年６月２７日（２００８．６．２７）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【Ｆターム（参考）】
[ Back to top ]