JP5994459B2

JP5994459B2 - Information processing apparatus, communication control method, and communication control program

Info

Publication number: JP5994459B2
Application number: JP2012168546A
Authority: JP
Inventors: 直純安西; 英明西澤
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2012-07-30
Filing date: 2012-07-30
Publication date: 2016-09-21
Anticipated expiration: 2032-07-30
Also published as: JP2014027602A

Description

本発明は、情報処理装置、通信制御方法及び通信制御プログラムに関する。 The present invention relates to an information processing apparatus, a communication control method, and a communication control program.

近年、Personal Computer（ＰＣ）等の情報処理装置の多くに、有線Local Area Network（ＬＡＮ）、無線ＬＡＮ、Wireless Wide Area Network（ＷＷＡＮ）等のネットワークへの接続を可能とする通信機能が搭載されている。又、会社内や、屋外、店頭、公共空間、交通機関等の種々の場所において、上記ネットワークへ接続するための各種通信環境が整いつつある。これにより、例えばノートＰＣを携行して、様々な場所でネットワーク接続することが可能となっている。 In recent years, many information processing apparatuses such as personal computers (PCs) are equipped with a communication function that enables connection to a network such as a wired local area network (LAN), a wireless LAN, or a wireless wide area network (WWAN). Yes. In addition, various communication environments for connecting to the network are being prepared in various places such as offices, outdoors, storefronts, public spaces, and transportation facilities. Thereby, for example, a notebook PC can be carried and connected to a network at various places.

その一方で、利用者が、企業や学校等が支給したノートＰＣ等をシステム管理者等が接続を許可していないネットワークに接続して通信を行なうことで、情報漏洩やコンピュータウィルスへの感染を引き起こすケースが増えている。 On the other hand, when a user connects a notebook PC, etc., issued by a company or school, to a network that the system administrator does not permit to connect to and communicates with it, information leakage and computer virus infection can occur. Increasing cases.

特開２００３−３２３３６３号公報JP 2003-323363 A 特開平１１−８５５０３号公報JP-A-11-85503

従来においては、ＰＣ等をどのネットワークに接続するかの判断は利用者に任されている。例えば、利用者のネットワーク知識が低く、習熟度が低い場合には、接続を許可されているネットワークを判別できない場合があるが、そのような場合においても、利用者がＰＣをネットワークに接続して使用せざるを得ない。
また、ノートＰＣ等の携行可能なＰＣを外部に持ち出して利用するケース等において、接続を許可されていないネットワークに意図的もしくは誤って接続してしまう場合がある。 Conventionally, it is left to the user to determine which network the PC or the like is connected to. For example, if the user's network knowledge is low and the proficiency level is low, it may not be possible to determine the network that is permitted to connect, but even in such a case, the user connects the PC to the network. It must be used.
Further, when a portable PC such as a notebook PC is taken out and used, there is a case where it is intentionally or mistakenly connected to a network where connection is not permitted.

なお、接続しているネットワークからＰＣに流入するデータなどに対しては、ウィルス検出ソフトなどを用いることによりある程度の保護を行なうことができるが、接続先のネットワークを制御することは困難である。
１つの側面では、本発明は、情報処理装置のネットワークにおけるセキュリティを強化できるようにすることを目的とする。 Note that data that flows into the PC from the connected network can be protected to some extent by using virus detection software or the like, but it is difficult to control the connection destination network.
In one aspect, an object of the present invention is to enhance security in a network of information processing apparatuses.

なお、前記目的に限らず、後述する発明を実施するための形態に示す各構成により導かれる作用効果であって、従来の技術によっては得られない作用効果を奏することも本発明の他の目的の１つとして位置付けることができる。 In addition, the present invention is not limited to the above-described object, and other effects of the present invention can be achieved by the functions and effects derived from the respective configurations shown in the embodiments for carrying out the invention which will be described later. It can be positioned as one of

このため、この情報処理装置は、ネットワーク上のゲートウェイを介してデータ通信を行なう通信部と、使用許可されたゲートウェイのＩＰ（Internet Protocol）アドレス及びＭＡＣ（Media Access Control）アドレスを登録する許可対象情報を参照して、前記許可対象情報において使用許可されていないゲートウェイに対する、前記通信部によるデータ通信を抑止する抑止部とをそなえ、前記抑止部が、前記使用許可されたゲートウェイに対して通信許可識別情報を設定する判定処理部と、前記判定処理部により前記通信許可識別情報が設定されていない前記ゲートウェイに対するデータ通信を阻止するデータ制御部とをそなえる。
また、この通信制御方法は、情報処理装置におけるデータ通信制御方法であって、使用許可されたゲートウェイのＩＰアドレス及びＭＡＣアドレスを登録する許可対象情報を参照するステップと、前記使用許可されたゲートウェイに対して通信許可識別情報を設定するステップと、前記通信許可識別情報が設定されていない前記ゲートウェイに対するデータ送信を阻止することで、前記許可対象情報において使用許可されていないゲートウェイに対するデータ通信を抑止するステップとをそなえる。 For this reason, this information processing apparatus includes a communication unit that performs data communication via a gateway on the network, and permission target information for registering an IP (Internet Protocol) address and a MAC (Media Access Control) address of a gateway that is permitted to use. And a deterrence unit that deters data communication by the communication unit for a gateway that is not permitted to be used in the permission object information, and the deterrence unit identifies communication permission for the use-permitted gateway . A determination processing unit configured to set information; and a data control unit configured to block data communication with respect to the gateway in which the communication permission identification information is not set by the determination processing unit.
Further, the communication control method, a data communication control method in an information processing apparatus, comprising the steps of: referring to the permission target information to register the IP address and MAC address of the gateway that is permitted to use, the use permission gateways Setting communication permission identification information to the gateway , and inhibiting data transmission to the gateway that is not permitted to use in the permission target information by blocking data transmission to the gateway for which the communication permission identification information is not set. With steps.

さらに、この通信制御プログラムは、使用許可されたゲートウェイのＩＰアドレス及びＭＡＣアドレスを登録する許可対象情報を参照し、前記使用許可されたゲートウェイに対して通信許可識別情報を設定し、前記通信許可識別情報が設定されていない前記ゲートウェイに対するデータ送信を阻止することで、前記許可対象情報において使用許可されていないゲートウェイに対するデータ通信を抑止する、処理をコンピュータに実行させる。 Further, the communication control program refers to the permission target information to register the IP address and MAC address of the gateway is authorized use, set the communication permission identification information to the usage authorized gateway, the communication enable identification By preventing data transmission to the gateway for which information is not set, the computer is caused to execute a process for suppressing data communication with respect to the gateway that is not permitted to use in the permission target information.

一実施形態によれば、ネットワークにおけるセキュリティを強化することができる。 According to one embodiment, security in the network can be enhanced.

実施形態の一例としてのネットワークシステムの構成を示す図である。It is a figure which shows the structure of the network system as an example of embodiment. 実施形態の一例としてのネットワークシステムにおける情報処理装置のフィルタドライバの機能構成図である。It is a functional lineblock diagram of a filter driver of an information processor in a network system as an example of an embodiment. フィルタドライバの機能を例示する図である。It is a figure which illustrates the function of a filter driver. 同一ネットワーク内にパケットを送信する例を説明する図である。It is a figure explaining the example which transmits a packet within the same network. 他ネットワークにパケットを送信する例を示す図である。It is a figure which shows the example which transmits a packet to another network. 実施形態の一例としてのネットワークシステムにおけるフィルタドライバによる処理手法を説明するフローチャートである。It is a flowchart explaining the processing method by the filter driver in the network system as an example of embodiment. 実施形態の一例としてのネットワークシステムにおけるパケット制御部によるパケット送信手法を説明するフローチャートである。It is a flowchart explaining the packet transmission method by the packet control part in the network system as an example of embodiment.

以下、図面を参照して本情報処理装置、通信制御方法及び通信制御プログラムに係る実施の形態を説明する。ただし、以下に示す実施形態はあくまでも例示に過ぎず、実施形態で明示しない種々の変形例や技術の適用を排除する意図はない。すなわち、本実施形態を、その趣旨を逸脱しない範囲で種々変形して実施することができる。又、各図は、図中に示す構成要素のみを備えるという趣旨ではなく、他の機能等を含むことができる。 Hereinafter, embodiments of the information processing apparatus, a communication control method, and a communication control program will be described with reference to the drawings. However, the embodiment described below is merely an example, and there is no intention to exclude application of various modifications and techniques not explicitly described in the embodiment. That is, the present embodiment can be implemented with various modifications without departing from the spirit of the present embodiment. Each figure is not intended to include only the components shown in the figure, and may include other functions.

図１は実施形態の一例としてのネットワークシステム１の構成を示す図である。ネットワークシステム１は、図１に示すように、情報処理装置１０ａ，１０ｂ，１０ｃ，ゲートウェイ３０ａ，３０ｂ，３０ｃ及び管理サーバ２０を備える。
図１に示す例においては、複数（図１に示す例では３つ）の情報処理装置１０ａ，１０ｂ，１０ｃがネットワーク５０を介して通信可能に接続されており、又、このネットワーク５０にはゲートウェイ３０ａが接続されている。ゲートウェイ３０ａには管理サーバ２０，ゲートウェイ３０ｂ及びネットワーク４０が接続されている。又、ゲートウェイ３０ｂにはゲートウェイ３０ｃが接続されている。 FIG. 1 is a diagram illustrating a configuration of a network system 1 as an example of an embodiment. As shown in FIG. 1, the network system 1 includes information processing apparatuses 10 a, 10 b, 10 c, gateways 30 a, 30 b, 30 c and a management server 20.
In the example shown in FIG. 1, a plurality (three in the example shown in FIG. 1) of information processing apparatuses 10a, 10b, and 10c are communicably connected via a network 50. 30a is connected. The management server 20, the gateway 30b, and the network 40 are connected to the gateway 30a. A gateway 30c is connected to the gateway 30b.

ゲートウェイ３０ａ，３０ｂ，３０ｃは、複数のネットワークを相互に接続する中継装置であり、互いに異なるプロトコルのネットワークどうしを接続することができる。ゲートウェイ３０ａ，３０ｂ，３０ｃは互いに同様の構成を備える。以下、ゲートウェイを示す符号としては、複数のゲートウェイのうち１つを特定する必要があるときには符号３０ａ，３０ｂ，３０ｃを用いるが、任意のゲートウェイを指すときには符号３０を用いる。 The gateways 30a, 30b, and 30c are relay apparatuses that connect a plurality of networks to each other, and can connect networks having different protocols. The gateways 30a, 30b, and 30c have the same configuration. Hereinafter, as reference numerals indicating gateways, reference numerals 30a, 30b, and 30c are used when one of a plurality of gateways needs to be specified, but reference numeral 30 is used when indicating an arbitrary gateway.

ネットワーク５０はLocal Area Network（ＬＡＮ）等の通信回線であり、例えば、有線ＬＡＮ，無線ＬＡＮ（Wireless Local Area Network；ＷＬＡＮ），Wireless Wide Area Network（ＷＷＡＮ）である。又、ネットワーク４０は、例えばインターネットである。
管理サーバ２０は、サーバ機能を備えたコンピュータ（情報処理装置）である。管理サーバ２０は、記憶装置２１を備える。記憶装置２１は、例えばHard Disk Drive（ＨＤＤ）のであり、接続許可リスト２０１を格納する。そして、管理サーバ２０は、情報処理装置１０ａ，１０ｂ，１０ｃから送信される取得要求に応じて、この接続許可リスト２０１を要求元の情報処理装置１０ａ，１０ｂ，１０ｃに送信する。 The network 50 is a communication line such as a local area network (LAN), for example, a wired LAN, a wireless local area network (WLAN), or a wireless wide area network (WWAN). The network 40 is, for example, the Internet.
The management server 20 is a computer (information processing apparatus) having a server function. The management server 20 includes a storage device 21. The storage device 21 is, for example, a hard disk drive (HDD), and stores a connection permission list 201. Then, the management server 20 transmits the connection permission list 201 to the requesting information processing devices 10a, 10b, and 10c in response to the acquisition requests transmitted from the information processing devices 10a, 10b, and 10c.

接続許可リスト２０１は、ＰＣ１０ａ，１０ｂ，１０ｃが使用（接続）可能なゲートウェイ３０を示す一覧であり、いわゆるホワイトリストである。この接続許可リスト２０１には、ゲートウェイ３０を特定する情報として、例えば、ゲートウェイ３０のＩＰアドレス，ＭＡＣアドレス，ネームの少なくともいずれか１つが登録されている。
これらのＩＰアドレス，ＭＡＣアドレス，ネームは、ネットワーク上においてゲートウェイ３０を特定するネットワークアドレス情報である。 The connection permission list 201 is a list indicating gateways 30 that can be used (connected) by the PCs 10a, 10b, and 10c, and is a so-called white list. In the connection permission list 201, for example, at least one of an IP address, a MAC address, and a name of the gateway 30 is registered as information for specifying the gateway 30.
These IP address, MAC address, and name are network address information that identifies the gateway 30 on the network.

望ましくは、ゲートウェイ３０を特定する情報として、これらのＩＰアドレス，ＭＡＣアドレス，ネームのうち２種類以上の情報（例えば、ＩＰアドレスとＭＡＣアドレス）を接続許可リスト２０１に登録する。
接続許可リスト２０１は、例えば、ＰＣ１０ａ，１０ｂ，１０ｃを管理するシステム管理者等が予め作成し、管理サーバ２０の記憶装置２１に格納する。 Desirably, two or more types of information (for example, IP address and MAC address) of these IP addresses, MAC addresses, and names are registered in the connection permission list 201 as information for specifying the gateway 30.
The connection permission list 201 is created in advance by, for example, a system administrator who manages the PCs 10a, 10b, and 10c, and is stored in the storage device 21 of the management server 20.

また、接続許可リスト２０１は、システム管理者が管理者権限でのみアクセス可能な領域に格納することが望ましい。これにより、管理者権限を有さない一般ユーザによる変更を防止することができ、信頼性を向上させることができる。
情報処理装置１０ａ，１０ｂ，１０ｃはコンピュータであり、例えば、利用者が携行可能なノートＰＣである。情報処理装置１０ａ，１０ｂ，１０ｃは互いに同様の構成を備える。以下、情報処理装置を示す符号としては、複数の情報処理装置のうち１つを特定する必要があるときには符号１０ａ，１０ｂ，１０ｃを用いるが、任意の情報処理装置を指すときには符号１０を用いる。又、以下、情報処理装置１０をＰＣ１０という場合がある。なお、図１中においては、便宜上、ＰＣ１０ａについてのみ、その構成を示す。 The connection permission list 201 is preferably stored in an area that can be accessed only by the system administrator with administrator rights. Thereby, the change by the general user who does not have administrator authority can be prevented, and reliability can be improved.
The information processing apparatuses 10a, 10b, and 10c are computers, for example, notebook PCs that can be carried by a user. The information processing apparatuses 10a, 10b, and 10c have the same configuration. Hereinafter, as reference numerals indicating information processing apparatuses, reference numerals 10a, 10b, and 10c are used when one of a plurality of information processing apparatuses needs to be specified, but reference numeral 10 is used when referring to any information processing apparatus. Hereinafter, the information processing apparatus 10 may be referred to as a PC 10. In FIG. 1, for convenience, only the configuration of the PC 10a is shown.

ＰＣ１０は、図１に示すように、Central Processing Unit（ＣＰＵ）１０１，Random Access Memory（ＲＡＭ）１０２，Read Only Memory（ＲＯＭ）１０３，ネットワークインタフェース（Ｉ／Ｆ）１０４，キーボード１０５，ポインティングデバイス１０６及びディスプレイ１０７を備える。
ＲＯＭ１０３は、ＣＰＵ１０１が実行するOperating System（ＯＳ）やプログラム，種々のデータ等を格納する記憶装置である。ＲＡＭ１０２は、種々のデータやプログラムを格納する記憶領域であって、ＣＰＵ１０１がプログラムを実行する際に、データやプログラムを格納・展開して用いる。又、このＲＡＭ１０２には、接続許可リスト２０１が格納される。又、ＲＡＭ１０２には、後述する通信許可フラグ２０２が格納される。 As shown in FIG. 1, the PC 10 includes a central processing unit (CPU) 101, a random access memory (RAM) 102, a read only memory (ROM) 103, a network interface (I / F) 104, a keyboard 105, a pointing device 106, and A display 107 is provided.
The ROM 103 is a storage device that stores an operating system (OS) executed by the CPU 101, programs, various data, and the like. The RAM 102 is a storage area for storing various data and programs. When the CPU 101 executes a program, the RAM 102 stores and expands the data and program. The RAM 102 stores a connection permission list 201. The RAM 102 stores a communication permission flag 202 described later.

ネットワークインタフェース（Ｉ／Ｆ）１０４は、ＰＣ１０をネットワーク５０と接続し、このネットワーク５０を介して外部装置と通信を行なうためのインタフェース装置である。ネットワークインタフェース１０４としては、例えば、有線ＬＡＮ，無線ＬＡＮ，ＷＷＡＮ等のネットワーク５０の規格に対応する各種インタフェースカードを用いることができる。 A network interface (I / F) 104 is an interface device for connecting the PC 10 to the network 50 and communicating with an external device via the network 50. As the network interface 104, for example, various interface cards corresponding to the standard of the network 50 such as a wired LAN, a wireless LAN, and a WWAN can be used.

キーボード１０５及びポインティングデバイス１０６は利用者が各種入力操作を行なう入力装置である。ポインティングデバイス１０６は、例えば、タッチパッドやマウスである。ディスプレイ１０７は、各種情報やメッセージを表示する出力装置である。
なお、キーボード１０５やポインティングデバイス１０６及びディスプレイ１０７としての機能は、これらの機能をそなえたタッチパネルディスプレイで実現してもよく、種々変形して実施することができる。 A keyboard 105 and a pointing device 106 are input devices on which a user performs various input operations. The pointing device 106 is, for example, a touch pad or a mouse. The display 107 is an output device that displays various information and messages.
Note that the functions of the keyboard 105, the pointing device 106, and the display 107 may be realized by a touch panel display having these functions, and can be implemented with various modifications.

ＣＰＵ１０１は、種々の制御や演算を行なう処理装置であり、ＲＯＭ１０３等に格納されたＯＳやプログラムを実行することにより、種々の機能を実現する。具体的には、ＣＰＵ１０１は、フィルタドライバプログラムを実行することにより、図１に示すように、ゲートウェイ情報取得部１１，パケット制御部１３，ゲートウェイ判定処理部１４及び接続許可リスト取得部１６として機能する。 The CPU 101 is a processing device that performs various controls and operations, and implements various functions by executing an OS and programs stored in the ROM 103 and the like. Specifically, the CPU 101 functions as a gateway information acquisition unit 11, a packet control unit 13, a gateway determination processing unit 14, and a connection permission list acquisition unit 16 as illustrated in FIG. 1 by executing a filter driver program. .

なお、これらのゲートウェイ情報取得部１１，パケット制御部１３，ゲートウェイ判定処理部１４及び接続許可リスト取得部１６としての機能を実現するためのプログラム（フィルタドライバ）は、例えばフレキシブルディスク，ＣＤ（ＣＤ−ＲＯＭ，ＣＤ−Ｒ，ＣＤ−ＲＷ等），ＤＶＤ（ＤＶＤ−ＲＯＭ，ＤＶＤ−ＲＡＭ，ＤＶＤ−Ｒ，ＤＶＤ＋Ｒ，ＤＶＤ−ＲＷ，ＤＶＤ＋ＲＷ，ＨＤＤＶＤ等），ブルーレイディスク，磁気ディスク，光ディスク，光磁気ディスク等の、コンピュータ読取可能な記録媒体に記録された形態で提供される。そして、コンピュータはその記録媒体からプログラムを読み取って、図示しない内部記憶装置または外部記憶装置に転送し格納して用いる。又、そのプログラムを、例えば磁気ディスク，光ディスク，光磁気ディスク等の記憶装置（記録媒体）に記録しておき、その記憶装置から通信経路を介してコンピュータに提供するようにしてもよい。 A program (filter driver) for realizing the functions as the gateway information acquisition unit 11, the packet control unit 13, the gateway determination processing unit 14, and the connection permission list acquisition unit 16 is, for example, a flexible disk, a CD (CD-CD). ROM, CD-R, CD-RW, etc.), DVD (DVD-ROM, DVD-RAM, DVD-R, DVD + R, DVD-RW, DVD + RW, HD DVD, etc.), Blu-ray disc, magnetic disc, optical disc, magneto-optical disc Etc., and is provided in a form recorded in a computer-readable recording medium. The computer reads the program from the recording medium, transfers it to an internal storage device (not shown) or an external storage device, and uses it. The program may be recorded in a storage device (recording medium) such as a magnetic disk, an optical disk, or a magneto-optical disk, and provided from the storage device to the computer via a communication path.

ゲートウェイ情報取得部１１，パケット制御部１３，ゲートウェイ判定処理部１４及び接続許可リスト取得部１６としての機能を実現する際には、内部記憶装置（本実施形態ではＲＡＭ１０２やＲＯＭ１０３）に格納されたプログラムがコンピュータのマイクロプロセッサ（本実施形態ではＣＰＵ１０１）によって実行される。このとき、記録媒体に記録されたプログラムをコンピュータが読み取って実行するようにしてもよい。 When realizing the functions as the gateway information acquisition unit 11, the packet control unit 13, the gateway determination processing unit 14, and the connection permission list acquisition unit 16, a program stored in an internal storage device (RAM 102 or ROM 103 in this embodiment) Is executed by the microprocessor of the computer (CPU 101 in this embodiment). At this time, the computer may read and execute the program recorded on the recording medium.

なお、本実施形態において、コンピュータとは、ハードウェアとオペレーティングシステムとを含む概念であり、オペレーティングシステムの制御の下で動作するハードウェアを意味している。又、オペレーティングシステムが不要でアプリケーションプログラム単独でハードウェアを動作させるような場合には、そのハードウェア自体がコンピュータに相当する。ハードウェアは、少なくとも、ＣＰＵ等のマイクロプロセッサと、記録媒体に記録されたコンピュータプログラムを読み取るための手段とをそなえており、本実施形態においては、ＰＣ１０がコンピュータとしての機能を有しているのである。 In the present embodiment, the computer is a concept including hardware and an operating system, and means hardware that operates under the control of the operating system. Further, when an operating system is unnecessary and hardware is operated by an application program alone, the hardware itself corresponds to a computer. The hardware includes at least a microprocessor such as a CPU and means for reading a computer program recorded on a recording medium. In the present embodiment, the PC 10 has a function as a computer. is there.

図２は実施形態の一例としてのネットワークシステム１における情報処理装置１０のフィルタドライバの機能構成図、図３はフィルタドライバの機能を例示する図である。
フィルタドライバは、Open Systems Interconnection（ＯＳＩ）参照モデルにおける７階層のうち、第２層のデータリンク層での処理を実現する。
図３に示すように、フィルタドライバは、カーネルモードのカーネルとハードウェア固有のドライバとの間において、通過するデータ（パケット）の監視や変更を行なう。なお、フィルタドライバとしての機能は既知であり、その詳細な説明は省略する。 FIG. 2 is a functional configuration diagram of the filter driver of the information processing apparatus 10 in the network system 1 as an example of the embodiment, and FIG. 3 is a diagram illustrating the function of the filter driver.
The filter driver realizes processing in the data link layer of the second layer among the seven layers in the Open Systems Interconnection (OSI) reference model.
As shown in FIG. 3, the filter driver monitors and changes data (packets) passing between the kernel in the kernel mode and the hardware-specific driver. The function as a filter driver is already known, and detailed description thereof is omitted.

ゲートウェイ情報取得部１１は、そのＰＣ１０が通信可能なゲートウェイ３０のネットワークアドレス情報を取得する。
例えば、ゲートウェイ情報取得部１１は、Address Resolution Protocol（ＡＲＰ）を用いて、通信可能なゲートウェイのネットワークアドレス情報を取得する。ＡＲＰを用いてネットワークアドレス情報を取得する場合には、ゲートウェイ情報取得部１１は、ＡＲＰリクエストをブロードキャストで送信する。このリクエストに対する応答により、ゲートウェイ情報取得部１１は、通信可能なネットワーク機器のＩＰアドレスやＭＡＣアドレスを取得することができる。 The gateway information acquisition unit 11 acquires network address information of the gateway 30 with which the PC 10 can communicate.
For example, the gateway information acquisition unit 11 acquires network address information of a communicable gateway using Address Resolution Protocol (ARP). When acquiring network address information using ARP, the gateway information acquisition unit 11 transmits an ARP request by broadcasting. By the response to this request, the gateway information acquisition unit 11 can acquire the IP address and MAC address of the network device capable of communication.

例えば、ゲートウェイ情報取得部１１は、コマンド“arp -a”を出力することにより、接続中のネットワーク機器のＩＰアドレス（インターネットアドレス）及びＭＡＣアドレス（物理アドレス）を取得することができる。
これにより、ウィルス対策ソフト等で一般的に行なわれているパケット解析を行なうことなく、接続中のネットワーク機器のネットワークアドレス情報を取得することができる。すなわち、フィルタドライバプログラムを簡素化することができるとともに、ＣＰＵ１０１の負荷を軽減することができる。 For example, the gateway information acquisition unit 11 can acquire the IP address (Internet address) and MAC address (physical address) of the currently connected network device by outputting the command “arp -a”.
As a result, the network address information of the connected network device can be acquired without performing packet analysis generally performed by anti-virus software or the like. That is, the filter driver program can be simplified and the load on the CPU 101 can be reduced.

すなわち、ゲートウェイ情報取得部１１は、自装置がネットワーク５０を介して接続されているゲートウェイ３０のネットワークアドレス情報を取得する取得部として機能する。
ゲートウェイ情報取得部１１によるゲートウェイ３０のネットワークアドレス情報を取得方法は、これに限定されるものではなく種々変形して実施することができる。例えば、ゲートウェイ情報取得部１１は、マルチキャストアドレス向けにpingを出力する。このpingに対して送信されたInternet Control Message Protocol（ＩＣＭＰ）応答に基づき、接続中のネットワーク機器のＩＰアドレス等を取得することができる。 That is, the gateway information acquisition unit 11 functions as an acquisition unit that acquires the network address information of the gateway 30 to which the own device is connected via the network 50.
The method for acquiring the network address information of the gateway 30 by the gateway information acquisition unit 11 is not limited to this, and various modifications can be made. For example, the gateway information acquisition unit 11 outputs a ping for the multicast address. Based on the Internet Control Message Protocol (ICMP) response transmitted in response to this ping, the IP address of the network device being connected can be acquired.

また、例えば、Windows （登録商標）におけるipconfig/allコマンドを用いることにより、接続されているゲートウェイ３０を判別することができる。Windows以外のＯＳにおいても同様の種々のコマンドを用いて、接続されているゲートウェイ３０を判別することができる。
接続許可リスト取得部１６は、当該ＰＣ１０内に接続許可リスト２０１が格納されているか否かを確認し、接続許可リスト２０１が格納されていない場合に、管理サーバ２０から接続許可リスト２０１を取得する。すなわち、管理サーバ２０に対して、接続許可リスト２０１の送信を要求し、この要求に応じて管理サーバ２０から送信された接続許可リスト２０１をＲＡＭ１０２等の所定の領域に格納する。 Further, for example, the connected gateway 30 can be determined by using the ipconfig / all command in Windows (registered trademark). Even in an OS other than Windows, it is possible to determine the connected gateway 30 using the same various commands.
The connection permission list acquisition unit 16 confirms whether or not the connection permission list 201 is stored in the PC 10, and acquires the connection permission list 201 from the management server 20 when the connection permission list 201 is not stored. . That is, the management server 20 is requested to transmit the connection permission list 201, and the connection permission list 201 transmitted from the management server 20 in response to this request is stored in a predetermined area such as the RAM 102.

ゲートウェイ判定処理部１４は、接続許可リスト２０１を参照して、接続中のゲートウェイ３０のうち、使用許可されたゲートウェイ３０を判定する。具体的には、ゲートウェイ判定処理部１４は、ゲートウェイ情報取得部１１によって取得された接続中のネットワーク機器のネットワークアドレス情報と接続許可リスト２０１とを比較する。そして、ゲートウェイ情報取得部１１によって取得されたネットワークアドレス情報のうち、接続許可リスト２０１に登録されたネットワークアドレス情報と一致するものに対して、通信許可フラグ２０２に“１”を設定する。通信許可フラグ２０２は、例えばＲＡＭ１０２に格納されている。 The gateway determination processing unit 14 refers to the connection permission list 201 and determines a gateway 30 that is permitted to use among the gateways 30 that are currently connected. Specifically, the gateway determination processing unit 14 compares the network address information of the connected network device acquired by the gateway information acquisition unit 11 with the connection permission list 201. Then, among the network address information acquired by the gateway information acquisition unit 11, “1” is set in the communication permission flag 202 for the network address information that matches the network address information registered in the connection permission list 201. The communication permission flag 202 is stored in the RAM 102, for example.

ここで通信許可フラグ２０２は、ゲートウェイ３０に対してパケット送信を行なうか否かを示す識別情報であり、ゲートウェイ毎に“０”もしくは“１”のいずれかが選択的に設定される。そして、例えば、パケット送信を行なうゲートウェイ３０に対しては、通信許可フラグ２０２として“１（通信許可識別情報）”が設定される。
すなわち、ゲートウェイ判定処理部１４は、通信許可識別情報を設定する判定処理部として機能する。 Here, the communication permission flag 202 is identification information indicating whether or not to transmit a packet to the gateway 30, and “0” or “1” is selectively set for each gateway. For example, “1 (communication permission identification information)” is set as the communication permission flag 202 for the gateway 30 that performs packet transmission.
That is, the gateway determination processing unit 14 functions as a determination processing unit that sets communication permission identification information.

また、接続許可リスト２０１にゲートウェイ特定情報として２種類以上の情報（例えば、ＩＰアドレスとＭＡＣアドレス）が登録されている場合には、ゲートウェイ判定処理部１４は、これらのＩＰアドレスとＭＡＣアドレスとの両方が一致するゲートウェイ３０に対してのみ接続を許可するフラグ“１”を設定する。
後述するパケット制御部１３は、この通信許可フラグ２０２を参照して、例えば“１”が設定されているゲートウェイ３０に対するアクセスにかかるパケットのみを通信させる。 When two or more types of information (for example, an IP address and a MAC address) are registered in the connection permission list 201 as the gateway identification information, the gateway determination processing unit 14 sets the IP address and the MAC address. A flag “1” that permits connection only to the gateway 30 that matches both is set.
The packet control unit 13 to be described later refers to the communication permission flag 202 and allows only packets related to access to the gateway 30 for which “1” is set to communicate, for example.

ゲートウェイ判定処理部１４が、ゲートウェイ情報取得部１１によって取得されたネットワークアドレス情報のうち、接続許可リスト２０１に登録されたネットワークアドレス情報と一致するものに対して通信許可フラグ２０２に“１”を設定する。これにより、パケット制御部１３がパケットを送信する際に、パケット送信可能であるか否かを比較する対象を減らすことができ、パケットの転送を高速化することができる。 The gateway determination processing unit 14 sets “1” in the communication permission flag 202 for the network address information acquired by the gateway information acquisition unit 11 that matches the network address information registered in the connection permission list 201. To do. As a result, when the packet control unit 13 transmits a packet, it is possible to reduce the number of objects to be compared as to whether or not the packet can be transmitted, and to speed up packet transfer.

パケット制御部（データ制御部）１３は、パケットの転送を制御するものであって、通信許可フラグ２０２を参照して、フラグ“１”が設定されているゲートウェイ３０とのデータアクセスに関するパケットを送信する。すなわち、パケット制御部１３は、ネットワーク上のゲートウェイ３０を介してデータ通信を行なう通信部として機能する。
例えば、送信パケットについて、パケット制御部１３は、第３層から受信したパケットの送信先のネットワークアドレス情報（例えばＩＰアドレス）に基づき、通信許可フラグ２０２を参照する。送信先のネットワークアドレス情報に対応させて通信許可フラグ２０２に“１”が設定されている場合には、パケット制御部１３は、そのパケットをNetwork Driver Interface Specification（ＮＤＩＳ）ドライバ１５を介して、下位層である第１層に受け渡す。 The packet control unit (data control unit) 13 controls packet transfer, and refers to the communication permission flag 202 and transmits a packet related to data access with the gateway 30 in which the flag “1” is set. To do. That is, the packet control unit 13 functions as a communication unit that performs data communication via the gateway 30 on the network.
For example, for a transmission packet, the packet control unit 13 refers to the communication permission flag 202 based on the network address information (for example, IP address) of the transmission destination of the packet received from the third layer. When “1” is set in the communication permission flag 202 corresponding to the network address information of the transmission destination, the packet control unit 13 transmits the packet to the lower level via the Network Driver Interface Specification (NDIS) driver 15. It passes to the 1st layer which is a layer.

ここで、ＮＤＩＳドライバ１５は、ネットワークカード用のドライバ・インターフェイス（Application Programming Interface；ＡＰＩ）である。ＮＤＩＳは、ネットワークアダプタとプロトコルドライバとの間の通信を定義する標準規格である。ＮＤＩＳは、ラッパー (wrapper) と呼ばれる機能群のライブラリであり、下位層（第１層）のハードウェアの複雑さを隠蔽し、第３層のネットワークプロトコルドライバとハードウェアレベルのＭＡＣドライバに標準化されたインタフェースを提供する。 Here, the NDIS driver 15 is a network card driver interface (Application Programming Interface; API). NDIS is a standard that defines communication between network adapters and protocol drivers. NDIS is a library of functions called a wrapper that hides the hardware complexity of the lower layer (first layer) and is standardized as a third layer network protocol driver and hardware level MAC driver. Provide an interface.

また、送信先のネットワークアドレス情報に対応させて通信許可フラグ２０２に“０”が設定されている場合には、パケット制御部１３は、そのパケットを破棄し、第３層に対して送信エラーの発生を表す応答を行なう。
受信パケットについても同様に、パケット制御部１３は、第１層から受信したパケットの送信元のネットワークアドレス情報（例えばＩＰアドレス）に基づき、通信許可フラグ２０２を参照する。送信元のネットワークアドレス情報に対応させて通信許可フラグ２０２に“１”が設定されている場合には、パケット制御部１３は、そのパケットをＮＤＩＳドライバ１５を介して、上位層である第３層に受け渡す。 Further, when “0” is set in the communication permission flag 202 corresponding to the network address information of the transmission destination, the packet control unit 13 discards the packet and causes a transmission error to the third layer. A response indicating the occurrence is made.
Similarly for the received packet, the packet control unit 13 refers to the communication permission flag 202 based on the network address information (for example, IP address) of the transmission source of the packet received from the first layer. When “1” is set in the communication permission flag 202 corresponding to the network address information of the transmission source, the packet control unit 13 passes the packet through the NDIS driver 15 to the third layer, which is an upper layer. Pass to.

また、送信元のネットワークアドレス情報に対応させて通信許可フラグ２０２に“０”が設定されている場合には、パケット制御部１３は、そのパケットを破棄し、第３層に対して送信エラーの発生を表す応答を行なう。
従って、フィルタドライバにおいて、ゲートウェイ判定処理部１４及びパケット制御部１３が、ゲートウェイ情報取得部１１によって取得したネットワークアドレス情報に基づいて接続許可リスト２０１を参照し、使用許可されていないゲートウェイ３０に対する通信を抑止する抑止部１２（図１参照）として機能する。 Further, when “0” is set in the communication permission flag 202 in correspondence with the network address information of the transmission source, the packet control unit 13 discards the packet and sends a transmission error to the third layer. A response indicating the occurrence is made.
Therefore, in the filter driver, the gateway determination processing unit 14 and the packet control unit 13 refer to the connection permission list 201 based on the network address information acquired by the gateway information acquisition unit 11 and communicate with the gateway 30 that is not permitted to use. It functions as a deterrence unit 12 (see FIG. 1) for deterrence.

図４は同一ネットワーク内にパケットを送信する例を説明する図、図５は他ネットワークにパケットを送信する例を示す図である。
図４及び図５に示す例においては、６台のＰＣ１０−１〜１０−６のうち、ＰＣ１０−１〜１０−３がゲートウェイ３０ａに接続されており、ＰＣ１０−４〜１０−６がゲートウェイ３０ｂに接続されている。すなわち、ＰＣ１０−１〜１０−３がゲートウェイ３０ａで区画された一のネットワークに接続されており、又、ＰＣ１０−４〜１０−６がゲートウェイ３０ｂで区画された他のネットワークに接続されている。又、ゲートウェイ３０ａとゲートウェイ３０ｂとはネットワーク５０ａを介して接続されている。 FIG. 4 is a diagram illustrating an example of transmitting a packet within the same network, and FIG. 5 is a diagram illustrating an example of transmitting a packet to another network.
In the example shown in FIGS. 4 and 5, among the six PCs 10-1 to 10-6, the PCs 10-1 to 10-3 are connected to the gateway 30a, and the PCs 10-4 to 10-6 are connected to the gateway 30b. It is connected to the. That is, the PCs 10-1 to 10-3 are connected to one network partitioned by the gateway 30a, and the PCs 10-4 to 10-6 are connected to another network partitioned by the gateway 30b. The gateway 30a and the gateway 30b are connected via a network 50a.

例えば、ＰＣ１０−１から同一のネットワーク内のＰＣ１０−３にパケットを送信する場合には、図４に示すように、ＰＣ１０ー１は、ゲートウェイ３０ａやゲートウェイ３０ｂを介することなく、ＰＣ１０−３に向けてパケットを送信する。
また、ＰＣ１０−１から他のネットワークにあるＰＣ１０−６にパケットを送信する場合には、図５に示すように、ＰＣ１０ー１は、ゲートウェイ３０ａに対してパケットを送信する。ゲートウェイ３０ａにおいては、同一ネットワーク内に送信相手がいない、すなわちルーティングテーブル上に送信先の情報がないパケットが送られてくると、予め設定されているゲートウェイアドレスへパケットを送信する。 For example, when a packet is transmitted from the PC 10-1 to the PC 10-3 in the same network, the PC 10-1 is directed to the PC 10-3 without going through the gateway 30a or the gateway 30b as shown in FIG. Send the packet.
When transmitting a packet from the PC 10-1 to the PC 10-6 in another network, the PC 10-1 transmits the packet to the gateway 30a as shown in FIG. In the gateway 30a, when there is no transmission partner in the same network, that is, a packet having no transmission destination information on the routing table is transmitted, the packet is transmitted to a preset gateway address.

なお、ルーティングテーブルは、例えば、Network ID，Forwarding address，Interface及びMetricを備える。ここで、Network IDは、ホストルートのネットワーク ID またはインターネットワークアドレスである。Forwarding addressは、パケットの転送先アドレスである。Interfaceは、パケットをネットワーク ID に転送するときに用いるネットワークインタフェースを特定する情報である。Metricは、ルートの優先順位を表す情報であり、数値が小さい方が優先される。 Note that the routing table includes, for example, Network ID, Forwarding address, Interface, and Metric. Here, Network ID is the network ID or internetwork address of the host route. Forwarding address is a forwarding address of the packet. Interface is information for specifying a network interface used when a packet is transferred to a network ID. Metric is information indicating the priority order of routes, and the smaller value is given priority.

ＰＣ１０−６宛てのパケットを受信したゲートウェイ３０ａは、そのパケットをゲートウェイ３０ｂに対して送信し、ゲートウェイ３０ｂは、受信したパケットをＰＣ１０−６に送信する。
上述の如く構成された実施形態の一例としてのネットワークシステム１におけるフィルタドライバによる処理手法を、図６に示すフローチャート（ステップＡ１０〜Ａ８０）に従って説明する。 The gateway 30a that has received the packet addressed to the PC 10-6 transmits the packet to the gateway 30b, and the gateway 30b transmits the received packet to the PC 10-6.
A processing method by the filter driver in the network system 1 as an example of the embodiment configured as described above will be described with reference to a flowchart (steps A10 to A80) shown in FIG.

例えば、メーラにおいてメールの送受信が実行されたり、ブラウザによりＷｅｂデータへのアクセスが開始されたり、無線ＬＡＮ又は有線ＬＡＮによる接続もしくは再接続が行われることをきっかけに、以下の処理が開始される。
先ず、ステップＡ１０において、接続許可リスト取得部１６（フィルタドライバ）は、自装置（ＰＣ１０）内に接続許可リスト２０１が格納されているか否かを確認する。 For example, the following processing is started in response to mail transmission / reception being performed in the mailer, access to Web data by a browser, or connection or reconnection by a wireless LAN or a wired LAN.
First, in step A10, the connection permission list acquisition unit 16 (filter driver) checks whether or not the connection permission list 201 is stored in the own device (PC 10).

接続許可リスト２０１がＲＡＭ１０２に格納されている場合には（ステップＡ１０のＹＥＳルート参照）、ステップＡ２０において、ゲートウェイ情報取得部１１が、自装置が接続中のゲートウェイ３０のネットワークアドレス情報を取得する。ゲートウェイ情報取得部１１は、ARPコマンド等を用いて、接続中のゲートウェイ３０のＭＡＣアドレス等のネットワークアドレス情報を収集する。 When the connection permission list 201 is stored in the RAM 102 (see YES route in step A10), in step A20, the gateway information acquisition unit 11 acquires the network address information of the gateway 30 to which the own device is connected. The gateway information acquisition unit 11 collects network address information such as the MAC address of the connected gateway 30 using an ARP command or the like.

ステップＡ３０において、ゲートウェイ判定処理部１４は、ゲートウェイ情報取得部１１によって取得されたネットワークアドレス情報と、接続許可リスト２０１とを比較する。すなわち、ゲートウェイ情報取得部１１によって取得されたネットワークアドレス情報において接続許可リスト２０１に登録されたネットワークアドレス情報と一致するものがあるかを判断する（ステップＡ４０）。 In step A30, the gateway determination processing unit 14 compares the network address information acquired by the gateway information acquisition unit 11 with the connection permission list 201. That is, it is determined whether there is any network address information acquired by the gateway information acquisition unit 11 that matches the network address information registered in the connection permission list 201 (step A40).

取得されたネットワークアドレス情報において接続許可リスト２０１に登録されたネットワークアドレス情報と一致するものがない場合には（ステップＡ４０のＮＯルート参照）、パケット制御部１３は一定時間（例えば、５〜１０分間）、パケット通信を禁止する（ステップＡ５０）。例えば、ＰＣ１０を移動しながら利用する場合において、無線ＬＡＮを用いて通信を行なう場合には、ＰＣ１０の移動に伴い、接続先のアクセスポイントが切り替わり、通信可能なゲートウェイ３０が切り替わる場合があるからである。その後、ステップＡ１０に戻る。 If the acquired network address information does not match the network address information registered in the connection permission list 201 (see the NO route in step A40), the packet control unit 13 performs a certain time (for example, 5-10 minutes) ), Packet communication is prohibited (step A50). For example, when using the PC 10 while moving, if communication is performed using a wireless LAN, the access point of the connection destination may be switched as the PC 10 moves, and the communicable gateway 30 may be switched. is there. Then, it returns to step A10.

また、接続許可リスト２０１がＲＡＭ１０２に格納されていない場合には（ステップＡ１０のＮＯルート参照）、ステップＡ６０において、管理サーバ２０に対して接続許可リスト２０１を要求する。管理サーバ２０から接続許可リスト２０１を受信すると、ステップＡ２０に移行する。
取得されたネットワークアドレス情報において接続許可リスト２０１と一致するものがある場合には（ステップＡ４０のＹＥＳルート参照）、ステップＡ７０において、ゲートウェイ判定処理部１４はそのゲートウェイ３０に対して通信許可フラグ２０２に“１”を設定する。 If the connection permission list 201 is not stored in the RAM 102 (see NO route in step A10), the connection permission list 201 is requested to the management server 20 in step A60. When the connection permission list 201 is received from the management server 20, the process proceeds to step A20.
If any of the acquired network address information matches the connection permission list 201 (see YES route in step A40), the gateway determination processing unit 14 sets the communication permission flag 202 to the gateway 30 in step A70. Set “1”.

その後、ステップＡ８０において、パケット制御部１３がパケットの送信を開始する。例えば、パケット送信を行なう場合には、下位層へパケットを送信する。その後、処理を終了する。
次に、実施形態の一例としてのネットワークシステム１におけるパケット制御部１３によるパケット送信手法を、図７に示すフローチャート（ステップＢ１０〜Ｂ４０）に従って説明する。 Thereafter, in step A80, the packet controller 13 starts packet transmission. For example, when performing packet transmission, the packet is transmitted to the lower layer. Thereafter, the process ends.
Next, a packet transmission method by the packet control unit 13 in the network system 1 as an example of the embodiment will be described according to a flowchart (steps B10 to B40) illustrated in FIG.

ステップＢ１０において、パケット制御部１３は、処理対象のパケットの送信先もしくは送信元のゲートウェイ３０を確認し、そのゲートウェイ３０についての通信許可フラグ２０２を確認する。
ステップＢ２０において、通信許可フラグ２０２が“１”であるか否かを確認し、対象のゲートウェイ３０の通信許可フラグ２０２に“１”が設定されている場合には（ステップＢ２０のＹＥＳルート参照）、そのパケットを転送すべく、上位層もしくは下位層に転送する（ステップＢ３０）。一方、対象のゲートウェイ３０の通信許可フラグ２０２に“０”が設定されている場合には（ステップＢ２０のＮＯルート参照）、そのパケットの送信を抑止すべく破棄する（ステップＢ４０）。その後、処理を終了する。 In step B <b> 10, the packet control unit 13 confirms the transmission destination or transmission source gateway 30 of the packet to be processed, and confirms the communication permission flag 202 for the gateway 30.
In step B20, it is confirmed whether or not the communication permission flag 202 is “1”. When “1” is set in the communication permission flag 202 of the target gateway 30 (see YES route in step B20). In order to transfer the packet, the packet is transferred to the upper layer or the lower layer (step B30). On the other hand, when “0” is set in the communication permission flag 202 of the target gateway 30 (see the NO route in step B20), the packet is discarded to suppress transmission (step B40). Thereafter, the process ends.

このように、実施形態の一例としてのネットワークシステム１によれば、使用許可されたゲートウェイ３０を予め接続許可リスト２０１に登録しておく、ゲートウェイ判定処理部１４が、接続許可リスト２０１を参照して、接続中のゲートウェイ３０であり、且つ、使用が許可されているゲートウェイ３０に対して、その通信許可フラグ２０２に“１”を設定する。 As described above, according to the network system 1 as an example of the embodiment, the gateway determination processing unit 14 that registers the permitted gateway 30 in the connection permission list 201 in advance refers to the connection permission list 201. The communication permission flag 202 is set to “1” for the gateway 30 being connected and permitted to be used.

パケット制御部１３が、通信許可フラグ２０２に“１”が設定されているゲートウェイ３０に対するパケットは送信させる一方で、“０”が設定されているゲートウェイ３０に対するパケットを破棄する。これにより、使用許可がされていないゲートウェイ３０に対するアクセスを阻止することができ、セキュリティを向上させることができる。
ゲートウェイ判定処理部１４が、ゲートウェイ情報取得部１１によって取得されたネットワークアドレス情報のうち、接続許可リスト２０１に登録されたネットワークアドレス情報と一致するものに対して通信許可フラグ２０２に“１”を設定する。これにより、パケット制御部１３がパケットを送信する際に、パケット送信可能であるか否かを比較する対象を減らすことができ、パケットの転送を高速化することができる。 The packet control unit 13 transmits a packet to the gateway 30 in which “1” is set in the communication permission flag 202, while discarding the packet to the gateway 30 in which “0” is set. As a result, access to the gateway 30 that is not permitted to be used can be prevented, and security can be improved.
The gateway determination processing unit 14 sets “1” in the communication permission flag 202 for the network address information acquired by the gateway information acquisition unit 11 that matches the network address information registered in the connection permission list 201. To do. As a result, when the packet control unit 13 transmits a packet, it is possible to reduce the number of objects to be compared as to whether or not the packet can be transmitted, and to speed up packet transfer.

フィルタドライバが、上述したゲートウェイ情報取得部１１，ゲートウェイ判定処理部１４及びパケット制御部１３としての機能を備えることにより、ネットワークの下位層においてパケットの通信制御を行なうことができる。すなわち、アプリケーション層で実行されるプログラムのように、ユーザによるアンインストールやプログラムの設定変更等が行なわれることがなく、高いセキュリティを維持することができる。 Since the filter driver has functions as the gateway information acquisition unit 11, the gateway determination processing unit 14, and the packet control unit 13 described above, packet communication control can be performed in a lower layer of the network. That is, unlike the program executed in the application layer, the user does not uninstall or change the program settings, and high security can be maintained.

接続許可リスト２０１をホワイトリスト形式にすることにより、この接続許可リスト２０１に登録されていないゲートウェイ３０以外へのデータアクセスを確実に阻止することができ、信頼性を向上させることができる。
また、本ネットワークシステム１によれば、利用者がどのネットワークに接続可能か判断する必要がなく、ＰＣ１０のユーザのスキルが低い場合であっても、ＰＣ１０を許可対象ネットワークのみに接続させることができる。 By making the connection permission list 201 into the white list format, data access to other than the gateways 30 not registered in the connection permission list 201 can be surely prevented, and the reliability can be improved.
Further, according to the present network system 1, it is not necessary to determine which network the user can connect to, and even if the skill of the user of the PC 10 is low, the PC 10 can be connected only to the permitted network. .

企業や学校が許可していないネットワーク環境でのインターネット、メールなどの通信接続を防止し、情報漏洩やウィルス感染のリスク低減が可能となる。又、ネットワークシステム１の健全性に貢献することができる。
そして、本発明は上述した実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で種々変形して実施することができる。 By preventing communication connections such as the Internet and mail in network environments that are not permitted by companies and schools, it is possible to reduce the risk of information leakage and virus infection. Further, it is possible to contribute to the soundness of the network system 1.
The present invention is not limited to the above-described embodiment, and various modifications can be made without departing from the spirit of the present invention.

例えば、上述した実施形態においては、情報処理装置１０がノートＰＣである例について示しているが、これに限定されるものではなく種々変形して実施することができる。例えば、情報処理装置１０がデスクトップＰＣであってもよく、又、Personal Digital Assistants（ＰＤＡ）等の他の情報処理装置であってもよい。
また、上述した実施形態においては、複数のネットワークを相互に接続する中継装置としてゲートウェイ３０を用いた例を示しているが、これに限定されるものではない。例えば、ゲートウェイ３０に代えてルータやブリッジ等の他のネットワーク機器を用いてもよく、又、ＬＡＮやＷＡＮ以外のネットワークにおいて用いられる種々の中継装置を用いてもよい。 For example, in the embodiment described above, an example in which the information processing apparatus 10 is a notebook PC is shown, but the present invention is not limited to this, and various modifications can be made. For example, the information processing apparatus 10 may be a desktop PC, or other information processing apparatus such as Personal Digital Assistants (PDA).
In the above-described embodiment, an example is shown in which the gateway 30 is used as a relay device that connects a plurality of networks to each other. However, the present invention is not limited to this. For example, instead of the gateway 30, other network devices such as routers and bridges may be used, and various relay devices used in networks other than LAN and WAN may be used.

また、上述した開示により本実施形態を当業者によって実施・製造することが可能である。
以上の実施形態に関し、更に以下の付記を開示する。
（付記１）
ネットワーク上の中継装置を介してデータ通信を行なう通信部と、
使用許可された中継装置のネットワークアドレス情報を登録する許可対象情報を参照して、前記許可対象情報において使用許可されていない中継装置に対する、前記通信部によるデータ通信を抑止する抑止部とをそなえることを特徴とする、情報処理装置。 Further, according to the above-described disclosure, this embodiment can be implemented and manufactured by those skilled in the art.
Regarding the above embodiment, the following additional notes are disclosed.
(Appendix 1)
A communication unit that performs data communication via a relay device on the network;
A deterrence unit that inhibits data communication by the communication unit with respect to a relay device that is not permitted to be used in the permission target information with reference to permission target information that registers network address information of the relay device that is permitted to be used; An information processing apparatus.

（付記２）
当該情報処理装置が通信可能な中継装置のネットワークアドレス情報を取得する取得部をそなえ、
前記抑止部が、前記取得部によって取得したネットワークアドレス情報に基づいて前記許可対象情報を参照し、前記使用許可されていない中継装置に対するデータ通信を抑止することを特徴とする、付記１記載の情報処理装置。 (Appendix 2)
Including an acquisition unit for acquiring network address information of a relay device with which the information processing apparatus can communicate;
The information according to appendix 1, wherein the suppression unit refers to the permission target information based on the network address information acquired by the acquisition unit, and suppresses data communication with respect to the relay device that is not permitted to use. Processing equipment.

（付記３）
前記抑止部が、
前記使用許可された中継装置に対して通信許可識別情報を設定する判定処理部と、
前記判定処理部により前記通信許可識別情報が設定されていない前記中継装置に対するデータ通信を阻止するデータ制御部とをそなえることを特徴とする、付記１又は２記載の情報処理装置。 (Appendix 3)
The deterrence unit is
A determination processing unit that sets communication permission identification information for the permitted relay device;
The information processing apparatus according to appendix 1 or 2, further comprising: a data control unit that blocks data communication with respect to the relay device for which the communication permission identification information is not set by the determination processing unit.

（付記４）
前記データ制御部が、データリンク層においてネットワーク層もしくは物理層との間のパケット転送を阻止することを特徴とする、付記３記載の情報処理装置。
（付記５）
外部装置から前記許可対象情報を取得する許可対象情報取得部をそなえることを特徴とする、付記１〜４のいずれか１項に記載の情報処理装置。 (Appendix 4)
The information processing apparatus according to appendix 3, wherein the data control unit prevents packet transfer between the network layer and the physical layer in the data link layer.
(Appendix 5)
The information processing apparatus according to any one of appendices 1 to 4, further comprising a permission target information acquisition unit that acquires the permission target information from an external device.

（付記６）
情報処理装置における通信制御方法であって、
使用許可された中継装置のネットワークアドレス情報を登録する許可対象情報を参照するステップと、
前記許可対象情報において使用許可されていない中継装置に対する、前記通信部によるデータ通信を抑止するステップとをそなえることを特徴とする、通信制御方法。 (Appendix 6)
A communication control method in an information processing apparatus,
A step of referring to permission target information for registering network address information of a relay device permitted to be used;
And a step of suppressing data communication by the communication unit for a relay device that is not permitted to be used in the permission target information.

（付記７）
当該情報処理装置が通信可能な中継装置のネットワークアドレス情報を取得するステップをそなえ、
前記取得したネットワークアドレス情報に基づいて前記許可対象情報を参照して、前記使用許可されていない中継装置に対するデータ通信を抑止することを特徴とする、付記６記載の通信制御方法。 (Appendix 7)
Including a step of acquiring network address information of a relay device with which the information processing device can communicate;
The communication control method according to appendix 6, wherein data communication with respect to the relay device that is not permitted to use is suppressed by referring to the permission target information based on the acquired network address information.

（付記８）
前記使用許可された中継装置に対して通信許可識別情報を設定するステップと、
前記通信許可識別情報が設定されていない前記中継装置に対するデータ送信を阻止するステップとをそなえることを特徴とする、付記６又は７記載の通信制御方法。
（付記９）
データリンク層においてネットワーク層もしくは物理層との間のパケット転送を阻止することにより前記データ通信を抑止することを特徴とする、付記６〜８のいずれか１項に記載の通信制御方法。 (Appendix 8)
Setting communication permission identification information for the permitted relay device;
The communication control method according to appendix 6 or 7, further comprising a step of blocking data transmission to the relay device for which the communication permission identification information is not set.
(Appendix 9)
The communication control method according to any one of appendices 6 to 8, wherein the data communication is inhibited by preventing packet transfer between the network layer and the physical layer in the data link layer.

（付記１０）
外部装置から前記許可対象情報を取得するステップをそなえることを特徴とする、付記６〜９のいずれか１項に記載の通信制御方法。
（付記１１）
使用許可された中継装置のネットワークアドレス情報を登録する許可対象情報を参照し、
前記許可対象情報において使用許可されていない中継装置に対する、前記通信部によるデータ通信を抑止する、
処理をコンピュータに実行させる通信制御プログラム。 (Appendix 10)
The communication control method according to any one of appendices 6 to 9, further comprising a step of acquiring the permission target information from an external device.
(Appendix 11)
Refer to the permitted information to register the network address information of the relay device that has been authorized,
Suppress data communication by the communication unit for a relay device that is not permitted to use in the permission target information;
A communication control program that causes a computer to execute processing.

（付記１２）
当該コンピュータが通信可能な中継装置のネットワークアドレス情報を取得し、
前記取得したネットワークアドレス情報に基づいて前記許可対象情報を参照して、前記使用許可されていない中継装置に対するデータ通信を抑止する、
処理をコンピュータに実行させる、付記１１記載の通信制御プログラム。 (Appendix 12)
Obtain the network address information of the relay device that the computer can communicate with,
Referencing the permission target information based on the acquired network address information, and suppressing data communication for the relay device that is not permitted to use,
The communication control program according to appendix 11, which causes a computer to execute processing.

（付記１３）
前記使用許可された中継装置に対して通信許可識別情報を設定し、
前記通信許可識別情報が設定されていない前記中継装置に対するデータ送信を阻止する、
処理をコンピュータに実行させる、付記１１又は１２記載の通信制御プログラム。 (Appendix 13)
Set communication permission identification information for the relay device permitted to use,
Blocking data transmission to the relay device for which the communication permission identification information is not set;
The communication control program according to appendix 11 or 12, which causes a computer to execute processing.

（付記１４）
データリンク層においてネットワーク層もしくは物理層との間のパケット転送を阻止することにより前記データ通信を抑止する、
処理をコンピュータに実行させる、付記１１〜１３のいずれか１項に記載の通信制御プログラム。 (Appendix 14)
Inhibiting the data communication by preventing packet transfer between the network layer or the physical layer in the data link layer;
14. The communication control program according to any one of appendices 11 to 13, which causes a computer to execute processing.

（付記１５）
外部装置から前記許可対象情報を取得する、
処理をコンピュータに実行させる、付記１１〜１４のいずれか１項に記載の通信制御プログラム。
（付記１６）
使用許可された中継装置のネットワークアドレス情報を登録する許可対象情報を参照し、
前記許可対象情報において使用許可されていない中継装置に対する、前記通信部によるデータ通信を抑止する、
処理をコンピュータに実行させる通信制御プログラムを記録したコンピュータ読取可能な記録媒体。 (Appendix 15)
Obtaining the permission object information from an external device;
The communication control program according to any one of appendices 11 to 14, which causes a computer to execute processing.
(Appendix 16)
Refer to the permitted information to register the network address information of the relay device that has been authorized,
Suppress data communication by the communication unit for a relay device that is not permitted to use in the permission target information;
A computer-readable recording medium on which a communication control program for causing a computer to execute processing is recorded.

（付記１７）
当該コンピュータが通信可能な中継装置のネットワークアドレス情報を取得し、
前記取得したネットワークアドレス情報に基づいて前記許可対象情報を参照して、前記使用許可されていない中継装置に対するデータ通信を抑止する、
処理をコンピュータに実行させる、付記１６記載の通信制御プログラムを記録したコンピュータ読取可能な記録媒体。 (Appendix 17)
Obtain the network address information of the relay device that the computer can communicate with,
Referencing the permission target information based on the acquired network address information, and suppressing data communication for the relay device that is not permitted to use,
A computer-readable recording medium having recorded thereon the communication control program according to appendix 16, which causes a computer to execute processing.

（付記１８）
前記使用許可された中継装置に対して通信許可識別情報を設定し、
前記通信許可識別情報が設定されていない前記中継装置に対するデータ送信を阻止する、
処理をコンピュータに実行させる、付記１６又は１７記載の通信制御プログラムを記録したコンピュータ読取可能な記録媒体。 (Appendix 18)
Set communication permission identification information for the relay device permitted to use,
Blocking data transmission to the relay device for which the communication permission identification information is not set;
A computer-readable recording medium on which the communication control program according to appendix 16 or 17 is recorded, which causes a computer to execute processing.

（付記１９）
データリンク層においてネットワーク層もしくは物理層との間のパケット転送を阻止することにより前記データ通信を抑止する、
処理をコンピュータに実行させる、付記１６〜１８のいずれか１項に記載の通信制御プログラムを記録したコンピュータ読取可能な記録媒体。 (Appendix 19)
Inhibiting the data communication by preventing packet transfer between the network layer or the physical layer in the data link layer;
A computer-readable recording medium recording the communication control program according to any one of appendices 16 to 18, which causes a computer to execute processing.

（付記２０）
外部装置から前記許可対象情報を取得する、
処理をコンピュータに実行させる、付記１６〜１９のいずれか１項に記載の通信制御プログラムを記録したコンピュータ読取可能な記録媒体 (Appendix 20)
Obtaining the permission object information from an external device;
A computer-readable recording medium recording the communication control program according to any one of appendices 16 to 19, which causes a computer to execute processing

１ネットワークシステム
１０，１０−１〜１０−６情報処理装置，ＰＣ
１１ゲートウェイ情報取得部
１２抑止部
１３パケット制御部
１４ゲートウェイ判定処理部
１５ＮＤＩＳドライバ
２０管理サーバ
２１記憶装置
３０ａ，３０ｂ，３０ｃ，３０ゲートウェイ（中継装置）
４０ネットワーク
１０１ＣＰＵ
１０２ＲＡＭ
１０３ＲＯＭ
１０４ネットワークインタフェース
１０５キーボード
１０６マウス
１０７ディスプレイ
２０１接続許可リスト
２０２通信許可フラグ 1 Network system 10, 10-1 to 10-6 Information processing device, PC
DESCRIPTION OF SYMBOLS 11 Gateway information acquisition part 12 Suppression part 13 Packet control part 14 Gateway determination process part 15 NDIS driver 20 Management server 21 Storage device 30a, 30b, 30c, 30 Gateway (relay apparatus)
40 network 101 CPU
102 RAM
103 ROM
104 Network interface 105 Keyboard 106 Mouse 107 Display 201 Connection permission list 202 Communication permission flag

Claims

A communication unit that performs data communication via a gateway on the network;
Referring to permission target information to register an IP (Internet Protocol) address and MAC (Media Access Control) address of the gateway that is permitted to use, to the gateway is not permitted use in the permission target information, the data communication by the communication unit and preventing part for preventing the,
Check whether the permission target information is stored in the storage device, and if the permission target information is not stored in the storage device, transmit the permission target information to the external device that stores the permission target information. And a permission object information acquisition unit that acquires the permission object information from the external device , and
The deterrence unit is
A determination processing unit for setting communication permission identification information for the use-permitted gateway ;
An information processing apparatus comprising: a data control unit that blocks data communication with respect to the gateway for which the communication permission identification information is not set by the determination processing unit.

An acquisition unit that acquires an IP address and a MAC address of a gateway with which the information processing apparatus can communicate;
The said suppression part refers to the said permission object information based on the IP address and MAC address which were acquired by the said acquisition part, and suppresses the data communication with respect to the said gateway which is not permitted to use. Information processing device.

Wherein the data control unit, characterized in that to prevent the packet transfer between the network layer or the physical layer in the data link layer, according to claim 1 or 2 information processing equipment according.

A data communication control method in an information processing apparatus,
A step of referring to permission target information for registering an IP (Internet Protocol) address and a MAC (Media Access Control) address of a gateway permitted to use;
Setting communication permission identification information for the use-permitted gateway ;
Inhibiting data transmission to a gateway that is not permitted to use in the permission target information by blocking data transmission to the gateway for which the communication permission identification information is not set ;
Check whether the permission target information is stored in the storage device, and if the permission target information is not stored in the storage device, transmit the permission target information to the external device that stores the permission target information. And obtaining the permission object information from the external device;
A communication control method characterized by comprising:

A step of acquiring an IP address and a MAC address of a gateway with which the information processing apparatus can communicate;
5. The communication control method according to claim 4 , wherein data communication with respect to the gateway that is not permitted to use is inhibited by referring to the permission target information based on the acquired IP address and MAC address .

Characterized in that said to suppress data communications, according to claim 4 or 5 communication control method according by preventing the packet transfer between the network layer or the physical layer in the data link layer.

Refer to the permission target information for registering the IP (Internet Protocol) address and MAC (Media Access Control) address of the gateway permitted to use,
Set communication permission identification information for the use-permitted gateway ,
By blocking the data transmission to the gateway by the communication permission identification information has not been set, it suppresses data communications to the gateway which is not permitted use in the permission target information,
Check whether the permission target information is stored in the storage device, and if the permission target information is not stored in the storage device, transmit the permission target information to the external device that stores the permission target information. A communication control program for causing a computer to execute processing for requesting and obtaining the permission object information from the external device .

Obtain the IP address and MAC address of the gateway with which the computer can communicate,
Referencing the permission object information based on the acquired IP address and MAC address , to suppress data communication to the gateway that is not permitted to use,
The communication control program according to claim 7 , which causes a computer to execute processing.

Inhibiting the data communication by preventing packet transfer between the network layer or the physical layer in the data link layer;
The communication control program according to claim 7 or 8 , which causes a computer to execute processing.