JP2008199081A - ファイアウォール装置およびファイアウォールシステム - Google Patents

Abstract

【課題】インタフェースのダウン検知ができない状況においてＶＲＲＰのマスタ状態とスタンバイ状態の切替えを正常に行う手段を提供する。
【解決手段】通信制御装置１００−１と１００−２が両マスタ状態になった場合、ＬＡＮ６０を介して通信制御装置１００−１のインタフェースを強制的にリンクダウンを発生させることで通信制御装置１００−２が仮想通信制御装置を優先的に通信制御を行うようになり、クライアント端末とサーバ装置との間の通信が正常に行われることを可能にする。
【選択図】図２

Description

本発明はファイアウォール装置およびファイアウォールシステムに係り、信頼性の高いファイアウォール装置およびファイアウォールシステムに関する。

複数の通信制御装置によって構成される冗長構成ネットワークシステムにおいては、非特許文献１に記載されたＶＲＲＰ（Virtual Router Redundancy Protocol）や非特許文献２に記載されたＨＳＲＰ（Hot Standby Routing Protocol）を用いて構築するのが一般的であり、通信制御を行っているマスタ状態の通信制御装置からスタンバイ状態の通信制御装置に対しハートビートパケットを送信することで、冗長構成ネットワークシステムを制御している。通信制御を行っているマスタ状態の通信制御装置に障害が発生し、ハートビートパケットがスタンバイルータに到達しなくなった場合、スタンバイ状態の通信制御装置が通信制御を代行することにより通信を自動的に復旧させることができる。通信制御装置には、ルータ、ファイアウォールといったネットワーク機器が存在する。

ＲＦＣ２３３８ ＲＦＣ２２８１

ＶＲＲＰを使用した仮想冗長構成ネットワークシステムでは、マスタ状態の通信制御装置は定期的な周期で稼動状態確認用のハートビートパケットを、ＶＲＲＰを設定したインタフェースから送出する。スタンバイ状態の通信制御装置は、マスタ状態の通信制御装置が送出するハートビートパケットを受信することによって、マスタ状態の通信制御装置に障害がないことを確認する。スタンバイ状態の通信制御装置は、一定の時間にハートビートパケットをマスタ状態の通信制御装置から受信しなかった場合に、マスタ状態の通信制御装置に障害が発生したと判断し、スタンバイ状態からマスタ状態へと状態を変化させる。マスタ状態の通信制御装置を選出するためにＶＲＲＰでは通信制御装置ごとに優先度（Priority）を設定し、優先度の数値が大きいほど優先度は高くなる。ＶＲＲＰでは自身の通信制御装置よりも優先度の低い通信制御装置を検出すると、優先度の高い通信制御装置が自動的にマスタ状態となる。マスタ状態の通信制御装置が自身よりも優先度の高い通信制御装置を検出した場合、マスタ状態であった通信制御装置は自動的にスタンバイ状態の通信制御装置となる。

図１を用いて、ＶＲＲＰによるマスタ状態の通信制御装置とスタンバイ状態の通信制御装置の切替えが正常に動作しないケースを説明する。ここで、図１はサーバクライアントシステムのブロック図である。図１において、サーバクライアントシステム１０００は、サーバ装置３００と、ネットワーク２０−１と、２台の通信制御装置１００と、ネットワーク２０−２と、クライアント端末４００とから構成される。なお、ネットワーク２０は、単に線で表現しているが、セグメントの交点には通信機器が存在する。これは、図２で説明する。

ネットワーク２０−１とネットワーク２０−２は、通信制御装置１００−１および通信制御装置１００−２を介して接続されたネットワークである。仮想通信制御装置２００−１は、通信制御装置１００−１を優先的に通信制御を行うマスタ状態の通信制御装置である。また、仮想通信制御装置２００−２は、通信制御装置１００−１を優先的に通信制御を行うマスタ状態の通信制御装置である。通信制御装置１００−２は、通信制御装置１００−１に障害が発生した場合に通信制御を行うスタンバイ状態の通信制御装置である。

マスタ状態の通信制御装置１００−１はスタンバイ状態の通信制御装置１００−２に対して定期的に稼動状態を監視するために矢印Ａのハートビートパケットおよび矢印Ｂのハートビートパケットを送出する。ネットワーク２０−１の図示しない通信機器に障害が発生し、しかも通信制御装置１００−１にリンクダウンを検知できない障害が発生した場合、通信制御装置１００−２は、ハートビートを受信しなくなる。このため、通信制御装置１００−２は、仮想通信制御装置２００−１を優先的に通信制御を行うマスタ状態の通信制御装置になる。また、通信制御装置１００−１はハートビートを送出し続けているためこちらも仮想通信制御装置２００−１を優先的に通信制御を行うマスタ状態の通信制御装置になる。この場合、通信制御装置１００−１と１００−２の双方が仮想通信制御装置２００−１を優先的に通信制御を行おうとするため仮想通信制御装置２００−１が両マスタ状態となり、クライアント端末４００とサーバ装置３００との間で上りの通信と下りの通信経路が異なることになる。このため、通信制御装置１００−１と１００−２がファイアウォール装置である場合はパケットが破棄され、クライアント端末４００とサーバ装置３００との間で通信が不可となる。ネットワーク２０−２において、通信制御装置１００−１がリンクダウンを検知できない障害が発生した場合もネットワーク２０−１で発生したものと同様の通信不可が発生する。
本発明は、信頼性の高いファイアウォール装置およびファイアウォールシステムを提供する。

通信制御装置１００−１と１００−２が両マスタ状態になった場合、通信制御装置１００−１のインタフェースを強制的にリンクダウンを発生させることで通信制御装置１００−２が仮想通信制御装置２００−１を優先的に通信制御を行うようになり、クライアント端末４００とサーバ装置３００との間の通信が正常に行われることを可能にする。ネットワーク２０−２において、通信制御装置１００−１がリンクダウンを検知できない障害が発生した場合も同様の処理を行う。

上述した課題は、マスタ装置として動作する第１のファイアウォール装置と、バックアップ装置として動作する第２のファイアウォール装置とからなり、第１のファイアウォール装置と第２のファイアウォール装置とは、２つのネットワークを介して接続され、さらに、ＬＡＮ接続され、第２のファイアウォール装置は、定期的にネットワークを介してメッセージを送信することによって、第１のファイアウォール装置を監視し、第１のファイアウォール装置の障害を検出したとき、ＬＡＮを介して、第１のファイアウォール装置を制御するファイアウォールシステムにより、達成できる。

また、マスタ装置と２つのネットワークを介して接続され、マスタ装置と、さらにＬＡＮ接続され、定期的にネットワークを介してメッセージを送信することによって、マスタ装置を監視し、マスタ装置の障害を検出したとき、ＬＡＮを介して、マスタ装置を制御するファイアウォール装置により、達成できる。

本発明により、信頼性の高いファイアウォール装置およびファイアウォールシステムを提供できる。

以下、本発明の実施の形態について、実施例を用い図２ないし図１３を参照しながら説明する。ここで、図２はネットワークの詳細ブロック図である。図３および図４は通信制御装置のブロック図である。図５は自装置監視用シェルの動作を説明する図である。図６はＶＲＲＰステータスとネットワークの状態を説明する図である。図７はＰｉｎｇ応答結果とシェルのアクションを説明する図である。図８はＶＲＲＰステータスとシェルのアクションを説明する図である。図９は他装置監視用シェルの動作を説明する図である。図１０および図１１はＰｉｎｇ応答結果とシェルのアクションを説明する図である。図１２および図１３はＶＲＲＰステータスとシェルのアクションを説明する図である。

図２において、ネットワーク１１００は、図１のサーバクライアントシステム１００から、サーバ装置３００とクライアント端末４００を省いたネットワークの詳細構成である。ネットワーク１１００は、２台の通信制御装置１００と４台のレイヤ３スイッチ５００とから構成される。通信制御装置１００とレイヤ３スイッチ５００相互間は、双方向（２心）光ケーブル４０で接続され、通信制御装置１００間は、同期用ＬＡＮ（Local Area Network）６０で接続されている。２台の通信制御装置１００と、レイヤ３スイッチ５００−１、５００−２はＶＬＡＮ（Virtual LAN）−Ａを構成している。同様に、２台の通信制御装置１００と、レイヤ３スイッチ５００−３、５００−４はＶＬＡＮ−Ｂを構成している。ＶＬＡＮ−Ａを構成している各装置は、ＩＰアドレスとして、ＩＰ＿Ａｎ（ｎ＝１〜４）のいずれかを持ち、ＶＬＡＮ−Ｂを構成している各装置は、ＩＰアドレスとして、ＩＰ＿Ｂｍ（ｍ＝１〜４）のいずれかを持つ。なお、光ケーブル４０近傍のＴＸは光送信器、ＲＸは光受信器である。

図２において、ファイアウォール装置である通信制御装置１００−１と通信制御装置１００−２は、マスタからスタンバイに切り替わる際にＴＣＰセッションが切替え発生後も中断されることなくセッション情報を引き継ぐことが可能となるよう、マスタとスタンバイ間でファイアウォールセッション同期用ＬＡＮ６０にて接続されている。通信制御装置１００−２は、シェル（図３を参照して後述）を動作させ、定期的に自身のＶＲＲＰ状態をコマンドで確認を実施する。

図２において、通信制御装置１００−２のシェルのＶＲＲＰ状態が「バックアップ＝１、マスタ＝１」となっていた場合、通信制御装置１００−１と通信制御装置１００−２のＶＲＲＰが両系マスタで正常に切り替わっていない状態である。障害部位特定のため、通信制御装置１００−２は、シェルを用いて隣接機器であるレイヤ３スイッチ５００−２のＩＰアドレスＩＰ_Ａ４およびレイヤ３スイッチ５００−４のＩＰアドレスＩＰ_Ｂ４宛にＰｉｎｇ疎通確認を実施する。Ｐｉｎｇ疎通可能な場合、通信制御装置１００−１とそれに隣接するレイヤ３スイッチ５００−１またはレイヤ２スイッチ５００−３の間の光ケーブル障害（光ケーブル４０−１のみの障害）と考えられるため、障害が発生している光ケーブルに接続される通信制御装置１００−１のインタフェースを閉塞する必要がある。通信制御装置１００−２は、シェルを用いてファイアウォールセッション同期用ＬＡＮ６０経由で通信制御装置１００−１にｔｅｌｎｅｔログインし、通信制御装置１００−１が提供するインタフェースのｃｌｏｓｅコマンドで、障害となっているインタフェースを強制的にリンクダウンさせる。リンクダウンが発生した通信制御装置１００−１は自身のＶＲＲＰの優先度を下げることにより、通信制御装置１００−２で全ての仮想通信制御装置を制御可能となる。

通信制御装置１００−２は、さらにシェルを用いて隣接機器であるレイヤ３スイッチ５００−２のＩＰアドレスＩＰ_Ａ４およびレイヤ３スイッチ５００−４のＩＰアドレスＩＰ_Ｂ４宛にＰｉｎｇ疎通確認を実施する。Ｐｉｎｇ疎通不可の場合、通信制御装置１００−２とそれに隣接するレイヤ３スイッチ５００−２またはレイヤ３スイッチ５００−４の間の光ケーブル障害（光ケーブル４０−３のみの障害）と考えられるため、障害が発生している光ケーブルに接続される通信制御装置１００−２のインタフェースを閉塞する必要がある。通信制御装置１００−２のシェルが自身の装置で提供するインタフェースのｃｌｏｓｅコマンドで、障害となっているインタフェースを強制的にリンクダウンさせる。リンクダウンが発生した通信制御装置１００−２はスタンバイ状態となり、通信制御装置１００−１で全ての仮想通信制御を制御可能となる。

通信制御装置１００−２のシェルのＶＲＲＰ状態が「バックアップ＝２、マスタ＝０」となっていた場合、通信制御装置１００−１がマスタ状態であるため、ＶＲＲＰ切替えが発生していない通常の通信制御状態である。

通信制御装置１００−２のシェルのＶＲＲＰ状態が「バックアップ＝０、マスタ＝２」となっていた場合、通信制御装置１００−２がマスタ状態であるため、ＶＲＲＰ切替えが発生しているものの正常な切替えが行われており、通信制御装置１００−２で通信制御を行っている状態である。

図３において、通信制御装置１００−１は、ＣＰＵ１３０上で、ネットワークＯＳ１１０と、ファイアウォールソフト１２０を動作させた構成である。ここでは、ネットワークＯＳとしてＵＮＩＸ（登録商標）を用い、専用コマンド１１１を実装している。一方、図４に示す通信制御装置１００−２は、通信制御装置１００−１の構成に加え、シェル１１２を実装する。ここで通信制御装置１００−１にシェルを実装しないのは、シェルも負荷となるからである。なお、通信制御装置１００−２がマスタ装置に切り替わった後、シェルは動作させない。

図５ないし図８を参照して通信制御装置１００−２で動作し、自装置の状態を監視するシェルの動作を説明する。図５において、通信制御装置１００−２は、内部で動作するシェルを起動する（Ｓ１１）。通信制御装置１００−２は、コマンドを用いて自装置のＶＲＲＰ状態を確認し、ＶＲＲＰバックアップ状態の有無を確認する（Ｓ１２）。確認後の通信制御装置１００−２のシェルの動作を図６に示す。

図６において、バックアップ状態のＶＲＲＰステータス（以降、ＶＲＲＰ−ＳＢと記載）が２、マスタ状態のＶＲＲＰステータス（以降、ＶＲＲＰ−ＳＭと記載）が０のとき、正常状態であり、シェルはステップ１２に戻る。ＶＲＲＰ−ＳＢ＝０、ＶＲＲＰ−ＳＭ＝２のとき、通常のＶＲＲＰ切替状態であり、ｅｘｉｔコマンドを用いてシェルを停止する。ＶＲＲＰ−ＳＢ＝１、ＶＲＲＰ−ＳＭ＝０のとき、通信制御装置１００−２と隣接機器との間がダウンしていると判断し、ｅｘｉｔコマンドを用いてシェルを停止する。ＶＲＲＰ−ＳＢ＝１、ＶＲＲＰ−ＳＭ＝０のとき、通信制御装置１００−１と１００−２が両マスタ状態にあり、ステップ１３に進む。ＶＲＲＰ−ＳＢ＝０、ＶＲＲＰ−ＳＭ＝１のとき、通常のＶＲＲＰ切替状態、かつ通信制御装置１００−２と隣接機器との間がダウンしている（２重障害）と判断し、ステップ１２に戻る（何もしない）。ＶＲＲＰ−ＳＢ＝０、ＶＲＲＰ−ＳＭ＝０のとき、通信制御装置１００−２と隣接機器との間がダウンしている（２重障害）と判断し、ステップ１２に戻る（何もしない）。

図５に戻って、通信制御装置１００−２は、隣接機器のＩＰアドレス（ＩＰ＿Ａ４、ＩＰ＿Ｂ４）に対し、Ｐｉｎｇ応答確認を実施する（Ｓ１３）。確認後の通信制御装置１００−２のシェルの動作を図７に示す。

図７において、Ｐｉｎｇを送信した全てのＩＰアドレスから、応答が戻ってきたとき、正常状態と判断し、ステップ１２に戻る。応答が戻ってこないＩＰアドレスがあったとき、ステップ１４に遷移する。

図５に戻って、通信制御装置１００−２は、Ｐｉｎｇ応答不可の物理インタフェースに対し、ポート閉塞を実施する（Ｓ１４）。通信制御装置１００−２は、自装置のＶＲＲＰステータスを確認し、ＶＲＲＰマスタ状態の有無を確認する（Ｓ１５）。確認後の通信制御装置１００−２のシェルの動作を図８に示す。

図８において、ＶＲＲＰ−ＳＭ＝０のとき、ＶＲＲＰ切替に成功と判断して、ステップ１６に進む。一方、ＶＲＲＰ−ＳＭ≠０のとき、不測の事態と判断し、自装置をシャットダウンする。

図５に戻って、ステップ１６において、通信制御装置１００−２は、バックグラウンドで動作中の通信制御装置１００−１監視用のシェルを停止し、自装置監視用のシェルを停止して（Ｓ１７）、終了する。

図９ないし図１３を参照して通信制御装置１００−２で動作し、通信制御装置１００−１の状態を監視するシェルの動作を説明する。図９において、通信監視装置１００−２は、内部で動作するシェルを起動する（Ｓ２１）。通信制御装置１００−２は、通信制御装置１００−１のＩＰアドレス（ＩＰ＿Ａ１、ＩＰ＿Ｂ１）に対し、Ｐｉｎｇ疎通を実施する（Ｓ２２）。確認後の通信制御装置１００−２のシェルの動作を図１０に示す。

図１０において、通信制御装置１００−２は、ＩＰ＿Ａ１宛てのＰｉｎｇ疎通結果が、ＯＫならば、正常状態と判断し、ステップ２２に戻る。確認後の通信制御装置１００−２は、ＩＰ＿Ａ１宛てのＰｉｎｇ疎通結果が、ＮＧならば、ステップ２３１に進む。確認後の通信制御装置１００−２は、ＩＰ＿Ｂ１宛てのＰｉｎｇ疎通結果が、ＯＫならば、正常状態と判断し、ステップ２２に戻る。通信制御装置１００−２は、ＩＰ＿Ｂ１宛てのＰｉｎｇ疎通結果が、ＮＧならば、ステップ２３２に進む。

図９に戻って、通信制御装置１００−２は、通信制御装置１００−１の隣接機器のＩＰアドレスに対し、Ｐｉｎｇ疎通を実施する（Ｓ２３）。具体的には、ＩＰ＿Ａ１宛てのＰｉｎｇ疎通がＮＧのとき、隣接する通信機器５００−１のＩＰアドレス（ＩＰ＿Ａ３）宛てにＰｉｎｇ疎通を実施する（Ｓ２３１）。また、ＩＰ＿Ｂ１宛てのＰｉｎｇ疎通がＮＧのとき、隣接する通信機器５００−３のＩＰアドレス（ＩＰ＿Ｂ３）宛てにＰｉｎｇ疎通を実施する（Ｓ２３２）。

図１１において、通信制御装置１００−２は、Ｐｉｎｇ疎通がＯＫのとき、通信制御装置１００−１の障害と判断し、ステップ２４に進む。一方、Ｐｉｎｇ疎通がＮＧのとき、通信制御装置１００−２は、自装置の障害と判断し、シェルを終了する。なお、通信制御装置１００−２の障害は、自装置用のシェルが対応する。

図９に戻って、通信制御装置１００−２は、通信制御装置１００−１へＬＡＮ６０経由で、Ｔｅｌｎｅｔログインする（Ｓ２４）。通信制御装置１００−２は、通信制御装置１００−１のＶＲＲＰ状態を確認し、ＶＲＲＰマスタ状態の有無を確認する（Ｓ２５）。

図１２において、ＶＲＲＰ＿ＳＭ＝０のとき、ＶＲＲＰ切替に成功と判断して、ステップ２６に進む。一方、ＶＲＲＰ−ＳＭ≠０のとき、ＶＲＲＰ状態が不正（不安定）と判断し、ステップ２７に進む。

図９に戻って、通信制御装置１００−２は、ステップ２２でＰｉｎｇ疎通不可だった通信制御装置１００−１のＩＰアドレスの物理インタフェースに対し、ポート閉塞を実施する（Ｓ２６）。通信制御装置１００−２は、再び通信制御装置１００−１のＶＲＲＰ状態を確認し、ＶＲＲＰマスタ状態の有無を確認する（Ｓ２７）。

図１３において、ＶＲＲＰ＿ＳＭ＝０のとき、ＶＲＲＰ切替に成功と判断して、ステップ２８に進む。一方、ＶＲＲＰ−ＳＭ≠０のとき、不測の事態と判断して、通信制御装置１００−１をシャットダウンする。

図９に戻って、通信制御装置１００−２は、通信制御装置１００−１からログアウトする（Ｓ２８）。通信制御装置１００−２は、バックグラウンドで動作中の通信制御装置１００−２監視用のシェルを停止して（Ｓ２９）、終了する。
本実施例に拠れば、リンクダウンが検出されない状況におけるＶＲＲＰ切替えが正常に行われる。

サーバクライアントシステムのブロック図である。 図１の構成図をＩＰアドレスおよびＬＡＮケーブルを詳細にした図である。 通信制御装置のブロック図である。 通信制御装置のブロック図（その２）である。 自装置監視用シェルの動作を説明する図である。 ＶＲＲＰステータスとネットワークの状態を説明する図である。 Ｐｉｎｇ応答結果とシェルのアクションを説明する図である。 ＶＲＲＰステータスとシェルのアクションを説明する図である。 他装置監視用シェルの動作を説明する図である。 Ｐｉｎｇ応答結果とシェルのアクションを説明する図である。 Ｐｉｎｇ応答結果とシェルのアクションを説明する図（その２）である。 ＶＲＲＰステータスとシェルのアクションを説明する図である。 ＶＲＲＰステータスとシェルのアクションを説明する図（その２）である。

符号の説明

２０…ネットワーク、４０…光ケーブル、６０…ファイアウォールセッション同期用ＬＡＮ、１００…通信制御装置、１１０…ネットワークＯＳ（ＵＮＩＸ）、１１１…専用コマンド、１１２…シェル、１２０…ファイアウォールソフト、１３０…ＣＰＵ、２００…仮想通信装置、３００…サーバ装置、４００…クライアント端末、５００…レイヤ３スイッチ、１０００…サーバクライアントシステム、１１００…ネットワーク。

Claims (4)

1. マスタ装置として動作する第１のファイアウォール装置と、バックアップ装置として動作する第２のファイアウォール装置とからなるファイアウォールシステムにおいて、
   前記第１のファイアウォール装置と前記第２のファイアウォール装置とは、２つのネットワークを介して接続され、さらに、ＬＡＮ接続され、
   前記第２のファイアウォール装置は、定期的に前記ネットワークを介してメッセージを送信することによって、前記第１のファイアウォール装置を監視し、前記第１のファイアウォール装置の障害を検出したとき、前記ＬＡＮを介して、前記第１のファイアウォール装置を制御することを特徴とするファイアウォールシステム。
2. 請求項１に記載のファイアウォールシステムであって、
   前記第２のファイアウォール装置は、定期的に前記ネットワークを介してメッセージを送信することによって、前記第２のファイアウォール装置を監視し、前記第２のファイアウォール装置のポート障害を検出したとき、ポート障害を検出したポートを閉塞することを特徴とするファイアウォールシステム。
3. マスタ装置と２つのネットワークを介して接続されたファイアウォール装置において、
   前記マスタ装置と、さらにＬＡＮ接続され、定期的に前記ネットワークを介してメッセージを送信することによって、前記マスタ装置を監視し、前記マスタ装置の障害を検出したとき、前記ＬＡＮを介して、前記マスタ装置を制御することを特徴とするファイアウォール装置。
4. 請求項３に記載のファイアウォール装置であって、
   定期的に前記ネットワークを介してメッセージを送信することによって、ポート障害を監視し、ポート障害を検出したとき、ポート障害を検出したポートを閉塞することを特徴とするファイアウォール装置。

Images