JP2002232453A

JP2002232453A - インターネットプロトコルフィルタリング装置及びインターネットプロトコルフィルタリング方法

Info

Publication number: JP2002232453A
Application number: JP2001027204A
Authority: JP
Inventors: Keiichi Kitano; 啓一北野
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2001-02-02
Filing date: 2001-02-02
Publication date: 2002-08-16

Abstract

(57)【要約】【課題】特定時間内だけ適用するように、フィルタリ
ングテーブルのエントリを設定することで、ネットワー
ク内のＩＰパケットの流れを時間毎に制御することを可
能としたインターネットプロトコルフィルタリング装置
及びインターネットプロトコルフィルタリング方法を提
供する。【解決手段】ルータ装置１は、複数のＬＡＮ５〜８と
接続を行うネットワークＩ／Ｆ部９ａ〜９ｄ、ＩＰパケ
ットを受信した際に実行されるフィルタリングの条件と
して複数のエントリが登録されるフィルタリングテーブ
ル用ＲＡＭ１０、エントリが適用される適用時刻の範囲
を設定すると共に、現在時刻が適用時刻の範囲内か範囲
外かに応じてエントリを有効又は無効とするＣＰＵ１１
とを具備する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、インターネットプ
ロトコルフィルタリング装置及びインターネットプロト
コルフィルタリング方法に関し、特に、ネットワーク内
のＩＰ（InternetProtocol）パケットの流れを時間毎に
制御する場合に好適なインターネットプロトコルフィル
タリング装置及びインターネットプロトコルフィルタリ
ング方法に関する。

【０００２】

【従来の技術】近年、インターネットの普及やローカル
エリアネットワーク（ＬＡＮ）の普及に伴い、ルータを
含んだネットワークシステム（例えば、本社と支社のＬ
ＡＮをインターネットを介して接続するネットワークシ
ステム）が多く構築されてきている。この種のネットワ
ークシステム内では、通信プロトコルとして、インター
ネットプロトコルパケット（ＩＰパケット）により通信
が行われている場合が多い。ルータは、このＩＰパケッ
トの中継の制御を行う。

【０００３】他方、通信サービスを同時に利用できる端
末数を制限する、通信システムにおける同時使用端末数
の制限に関する従来例としては、例えば特開２０００−
１１２８５２号公報に記載の技術が提案されている。同
公報には、上位サーバに、端末側通信装置の識別データ
と許容接続端末台数とから構成される端末台数テーブル
を有し、端末側通信装置に、自己に接続する端末装置の
固有識別データを有し、そのエントリ数が可変であるフ
ィルタリングテーブルと、前記フィルタリングテーブル
に基づいてパケットをフィルタリングするパケットフィ
ルタ手段と、通信網側及び端末装置側から流入するデー
タをキャプチャし、送信元アドレスまたは宛先アドレス
を前記フィルタリングテーブルに登録するデータキャプ
チャ手段と、前記上位サーバから接続可能端末台数の通
知を受け、その数分のエントリを前記フィルタリングテ
ーブルに作成すると共に、一定時間通信の行われていな
い端末装置の固有識別データのエントリを削除するエー
ジング機能を有したテーブル管理手段とを具備したこと
を特徴とする通信システムにおける同時使用端末数の制
限機構が開示されている。

【０００４】また、上記エントリの継続傾向に応じてエ
ージング時間が可変なスイッチングハブに関する従来例
としては、例えば特開２０００−１９６６４３号公報に
記載の技術が提案されている。同公報には、受信したフ
レームの送信元ＭＡＣアドレスと受信したポートの番号
とをエントリとして登録するフィルタリングテーブルを
有し、エントリを登録した登録時間から当該送信元ＭＡ
Ｃアドレスを持つフレームが当該ポートに受信されずに
エージング時間が経過したときには当該エントリを削除
し、エージング時間が経過しないうちに当該送信元ＭＡ
Ｃアドレスを持つフレームが当該ポートに受信されたと
きには登録時間を更新するスイッチングハブにおいて、
登録時間が更新されたエントリについてはエージング時
間を延長することを特徴とするスイッチングハブが開示
されている。

【０００５】

【発明が解決しようとする課題】しかしながら、上述し
た従来例においては次のような問題点があった。

【０００６】従来、ルータは、受信したＩＰパケットの
ヘッダ部から、送信元ＩＰアドレス及び宛先ＩＰアドレ
ス情報を参照し、フィルタリングテーブル上のエントリ
を検索する。エントリが検索された場合、エントリ内で
指定された動作（中継または廃棄）に従い、そのＩＰパ
ケットを中継または廃棄している。上記フィルタリング
テーブルは利用者によって設定されるが、常時ルータに
適用されるため、時間指定による設定ができないという
問題があった。

【０００７】本発明の目的は、特定時間内だけ適用する
ように、フィルタリングテーブルのエントリを設定する
ことで、ネットワーク内のＩＰパケットの流れを時間毎
に制御することを可能としたインターネットプロトコル
フィルタリング装置及びインターネットプロトコルフィ
ルタリング方法を提供するものである。

【０００８】

【課題を解決するための手段】本発明は、複数のＬＡＮ
を相互に接続しインターネットプロトコルパケットの中
継を制御するインターネットプロトコルフィルタリング
装置において、前記複数のＬＡＮと接続を行う通信手段
と、該通信手段により前記インターネットプロトコルパ
ケットを受信した際に実行されるフィルタリングの条件
として複数のエントリが登録される登録手段と、該登録
手段における前記エントリが適用される適用時刻の範囲
を設定すると共に、現在時刻が前記適用時刻の範囲内か
範囲外かに応じて前記エントリを有効又は無効とする制
御手段とを具備することを特徴とする。

【０００９】また、本発明は、複数のＬＡＮを相互に接
続しインターネットプロトコルパケットの中継を制御す
るインターネットプロトコルフィルタリング装置に適用
されるインターネットプロトコルフィルタリング方法に
おいて、前記インターネットプロトコルパケットを受信
した際に実行されるフィルタリングの条件として複数の
エントリが登録される登録手段に対し、前記エントリが
適用される適用時刻の範囲を設定すると共に、現在時刻
が前記適用時刻の範囲内か範囲外かに応じて前記エント
リを有効又は無効に設定することを特徴とする。

【００１０】また、本発明のインターネットプロトコル
フィルタリング装置は、図２を参照しつつ説明すれば、
複数のＬＡＮを相互に接続しインターネットプロトコル
パケットの中継を制御するインターネットプロトコルフ
ィルタリング装置において、前記複数のＬＡＮと接続を
行う通信手段（９ａ〜９ｄ）と、該通信手段により前記
インターネットプロトコルパケットを受信した際に実行
されるフィルタリングの条件として複数のエントリが登
録される登録手段（１０）と、該登録手段における前記
エントリが適用される適用時刻の範囲を設定すると共
に、現在時刻が前記適用時刻の範囲内か範囲外かに応じ
て前記エントリを有効又は無効とする制御手段（１１）
とを具備するものである。

【００１１】［作用］本発明のインターネットプロトコ
ルフィルタリング装置は、フィルタリングテーブル内の
エントリを予め指定した時間内でのみ有効にする。これ
により、ネットワーク内のＩＰパケットの流れを時間毎
に制御することが可能となる。

【００１２】

【発明の実施の形態】次に、本発明の実施形態について
図面を参照して詳細に説明する。

【００１３】（１）構成の説明図１は本発明の実施形態の時間指定インターネットプロ
トコルフィルタリング方式が適用されるネットワークシ
ステムの構成例を示すブロック図である。ネットワーク
システムは、ルータ装置１、ＬＡＮ５、ＬＡＮ６、ＬＡ
Ｎ７、ＬＡＮ８から構成されている。

【００１４】上記構成を詳述すると、本ネットワークシ
ステムは、ＬＡＮ５とＬＡＮ６とＬＡＮ７とＬＡＮ８の
例えば４つのＬＡＮで構成されると共に、各ＬＡＮ５〜
８がルータ装置１によって相互に接続されている。ルー
タ装置１は、ネットワーク層のプロトコル定義に基づき
ＩＰパケットの中継を制御するものであり、時間指定イ
ンターネットプロトコルフィルタリング方式が適用され
る。

【００１５】ＬＡＮ５では、サーバ３ａとサーバ３ｂが
スイッチングハブ（データリンク層のＭＡＣ（Media Ac
cess Control）アドレス（送信元アドレスと送信先アド
レス）によるスイッチング機能を有するＬＡＮ集線装
置）２ａに接続されて設置されている。ＬＡＮ６では、
サーバ３ｃとサーバ３ｄがスイッチングハブ２ｂに接続
されて設置されている。ＬＡＮ７では、サーバ３ｅとサ
ーバ３ｆがスイッチングハブ２ｃに接続されて設置され
ている。ＬＡＮ８では、ネットワーク利用者端末４ａ、
４ｂ、４ｃがスイッチングハブ２ｄに接続されて設置さ
れている。

【００１６】ＬＡＮ８内のネットワーク利用者は、ネッ
トワーク利用者端末４ａ、４ｂ、４ｃを使用し、別のＬ
ＡＮであるＬＡＮ５、ＬＡＮ６、ＬＡＮ７内のサーバ
と、ルータ装置１を介して通信を行う。また、ＬＡＮ
５、ＬＡＮ６、ＬＡＮ７内のサーバも、それぞれルータ
装置１を介して相互に通信を行う。

【００１７】図２は本発明の実施形態のルータ装置１の
構成例を示すブロック図である。ルータ装置１は、フィ
ルタリングテーブル用ＲＡＭ１０、ＣＰＵ１１、メモリ
１２、ネットワークＩ／Ｆ（インタフェース）部９ａ、
９ｂ、９ｃ、９ｄを備えており、各々がバス１８を介し
て接続されている。

【００１８】上記構成を詳述すると、ＣＰＵ１１は、メ
モリ１２内に格納された制御プログラムを実行し、ルー
タ装置１全体の制御を行う中央処理装置である。この制
御プログラムは、ルーティング（送信側から受信側へ通
信する経路が複数ある場合、このうちの一つを選定する
こと）制御プログラムと、フィルタリングの条件をフィ
ルタリングテーブル用ＲＡＭ１０内に作成するテーブル
設定処理プログラムと、フィルタリングテーブル用ＲＡ
Ｍ１０内に作成されたエントリを時間毎に有効または無
効に切り換えるテーブル更新処理プログラムと、受信し
たＩＰパケットのフィルタリング及び廃棄または転送を
行う受信処理プログラムとから構成されている。

【００１９】フィルタリングテーブル用ＲＡＭ１０内に
は、テーブル設定処理プログラムにより、ＩＰパケット
を受信した際、実行されるフィルタリングの条件が記録
される。ここで、フィルタリングとは、アドレス等の情
報によりパケット（認定した宛先データ）だけを通過さ
せるか通過させないかを決定することであり、一般に、
セキュリティ保持が要求されるセグメント（ＬＡＮでの
一まとまり）を接続するゲートウエイ用ルータで用いら
れる。

【００２０】ネットワークＩ／Ｆ部９ａは、ＬＡＮ５上
のスイッチングハブ２ａとの接続を行う。ネットワーク
Ｉ／Ｆ部９ｂは、ＬＡＮ６上のスイッチングハブ２ｂと
の接続を行う。ネットワークＩ／Ｆ部９ｃは、ＬＡＮ７
上のスイッチングハブ２ｃとの接続を行う。ネットワー
クＩ／Ｆ部９ｄは、ＬＡＮ８上のスイッチングハブ２ｄ
との接続を行う。

【００２１】ルータ装置１は、ＬＡＮ５、ＬＡＮ６、Ｌ
ＡＮ７及びＬＡＮ８からのＩＰパケットの流れの制御を
行うため、フィルタリングを実行する。フィルタリング
は、フィルタリングテーブル用ＲＡＭ１０に登録される
条件によって、特定ＩＰパケットの廃棄または転送の実
行を決定する。通常、登録される条件は、常時適用され
るが、この条件に適用時間の範囲を追加することによ
り、フィルタリングを時間毎に制御することが可能とな
る。

【００２２】図３は本発明の実施形態のフィルタリング
テーブル用ＲＡＭ１０の内部構成を示す説明図である。
１００は、フィルタリングテーブル用ＲＡＭ１０に登録
されるエントリである。受信処理プログラムのフィルタ
リングでは、このフィルタリングテーブル用ＲＡＭ１０
の先頭エントリから最終エントリまでを順に参照し、受
信したＩＰパケットに適用していく。受信したＩＰパケ
ットがエントリの示す条件に適合する場合は、エントリ
内に記述される指定動作により、ルータ装置１はこのＩ
Ｐパケットを廃棄または転送（ルーティング）を行う。
適合しない場合は、次のエントリを参照する。通常フィ
ルタリングの条件を設定する場合は、全てのＩＰパケッ
トに適合するよう最終エントリが設定される。

【００２３】テーブル設定処理プログラムによって、フ
ィルタリングの条件は、「有効ビット」、「宛先ＩＰア
ドレス」、「宛先マスク」、「送信元ＩＰアドレス」、
「送信元マスク」、「指定動作」、「開始時刻」、及び
「終了時刻」から構成されるエントリとして登録され
る。

【００２４】「有効ビット」は、”１”または”０”の
何れかであり、”１”の場合は、このエントリが有効で
あることを意味する。有効な場合、受信処理プログラム
のフィルタリングにおいて受信したＩＰパケットに、こ
のエントリが適用される。”０”の場合は、このエント
リは無効であることを意味し、フィルタリングにおいて
無視される。

【００２５】「宛先ＩＰアドレス」は、適合するＩＰパ
ケットの宛先ＩＰアドレスであり、「宛先マスク」はそ
の適合する宛先ＩＰアドレスの範囲を指定する。受信し
た全てのＩＰパケットの宛先ＩＰアドレスを適用させる
場合、「宛先ＩＰアドレス」及び「宛先マスク」に”
０．０．０．０”を指定する。

【００２６】「送信元ＩＰアドレス」は、適合するＩＰ
パケットの送信元ＩＰアドレスであり、「送信元マス
ク」はその適合する送信元ＩＰアドレスの範囲を指定す
る。受信した全てのＩＰパケットの送信元ＩＰアドレス
を適用させる場合、「送信元ＩＰアドレス」及び「送信
元マスク」に”０．０．０．０”を指定する。

【００２７】「指定動作」は、フィルタリングにおいて
エントリの条件と適合したＩＰパケットをどのように扱
うかを指定するものである。”転送”の場合、受信した
ＩＰパケットはルータ装置１によってルーティングされ
適切なネットワークＩ／Ｆ部に転送される。”廃棄”の
場合は、受信したＩＰパケットは何も処理されず、ルー
タ装置１上から廃棄される。

【００２８】「開始時刻」及び「終了時刻」は、このエ
ントリが適用される時刻の範囲を指定する。現在の時刻
が「開始時刻」になった場合、テーブル更新処理プログ
ラムにより「有効ビット」が”１”となり、このエント
リは有効となる。現在の時刻が「終了時刻」になった場
合、テーブル更新処理プログラムにより「有効ビット」
が”０”となり、このエントリは無効となる。

【００２９】エントリに適用時刻の範囲を設定する場
合、利用者が「開始時刻」及び「終了時刻」を指定した
時点で、既に指定時刻の範囲内にある場合、テーブル設
定処理プログラムにより「有効ビット」に”１”が設定
され、エントリが有効となる。利用者が「開始時刻」及
び「終了時刻」を指定した時点が、指定時刻の範囲外の
場合、「有効ビット」に”０”が設定され、エントリは
無効となる。

【００３０】エントリを常時適用させたい場合は、利用
者は「開始時刻」及び「終了時刻」を指定しない。この
場合、テーブル設定処理プログラムにより「開始時刻」
及び「終了時刻」に”９９時９９分”が設定され、「有
効ビット」には”１”が設定される。

【００３１】図４（ａ）は、ＬＡＮ５、ＬＡＮ６、ＬＡ
Ｎ７、ＬＡＮ８内で流れ、ルータ装置１が転送制御を行
うＩＰパケット１３の構成例を示す説明図である。ＩＰ
パケット１３は、このＩＰパケットの生存時間である
「ＴＴＬ」と、ＩＰパケットの正当性を確認する「チェ
ックサム」と、このＩＰパケットの宛先のＩＰアドレス
を示す「宛先ＩＰアドレス」と、このＩＰパケットの送
信元のＩＰアドレスを示す「送信元ＩＰアドレス」と、
ＩＰパケットのデータ部分である「データ」とから構成
される。

【００３２】図４（ｂ）は、上記図１におけるＬＡＮ
５、ＬＡＮ６、ＬＡＮ７、ＬＡＮ８内の各装置（サーバ
３ａ〜３ｆ、ネットワーク利用者端末４ａ〜４ｃ）のＩ
Ｐアドレス（ＩＰ（ａ）〜ＩＰ（ｉ））の一覧を示す説
明図である。

【００３３】（２）動作の説明次に、本発明の実施形態の動作について図５〜図１１を
参照して詳細に説明する。

【００３４】図５〜図８は本実施形態の動作の流れを示
すフローチャートであり、図９〜図１１はルータ装置１
のフィルタリングテーブル用ＲＡＭ１０内のエントリの
設定状況とその変化の流れを示す説明図である。

【００３５】図５は、基本処理（ステップＳ１１００）
の流れを示すフローチャートである。図２及び図５にお
いて、ルータ装置１のＣＰＵ１１は、装置起動時に利用
者から設定されるフィルタリングの条件を、フィルタリ
ングテーブル用ＲＡＭ１０にエントリとして設定する、
テーブル設定処理（ステップＳ１２００）を行う。次
に、ルータ装置１のＣＰＵ１１は、フィルタリングテー
ブル用ＲＡＭ１０内のエントリの設定を更新するテーブ
ル更新処理（ステップＳ１３００）を、ＩＰパケットを
受信するまで行う（ステップＳ１１０１）。

【００３６】ルータ装置１のＣＰＵ１１は、ＩＰパケッ
トを受信した場合は、そのＩＰパケットフィルタリング
及び廃棄または転送を行う受信処理（ステップＳ１４０
０）を実行する。その後、ルータ装置１のＣＰＵ１１
は、再びテーブル更新処理（ステップＳ１３００）を、
ＩＰパケットを受信するまで行う（ステップＳ１１０
１）。

【００３７】図６は、上記図５のテーブル設定処理（ス
テップＳ１２００）の流れを示すフローチャートであ
る。テーブル設定処理（ステップＳ１２００）は、利用
者から設定されるフィルタリングの条件を、フィルタリ
ングテーブル用ＲＡＭ１０にエントリとして設定する処
理である。

【００３８】まず、利用者からフィルタリングの条件が
入力される（ステップＳ１２０１）。ルータ装置１のＣ
ＰＵ１１は、入力された条件に、利用者から開始時刻及
び終了時刻の指定があるか否かを判断する（ステップＳ
１２０２）。ルータ装置１のＣＰＵ１１は、利用者から
開始時刻及び終了時刻の指定がないと判断した場合、こ
の条件を常時適用されるエントリとするため、開始時刻
及び終了時刻に”９９時９９分”をセットし（ステップ
Ｓ１２０３、ステップＳ１２０４）、有効ビットに１を
セットする（ステップＳ１２０７）。

【００３９】次に、ルータ装置１のＣＰＵ１１は、利用
者からの条件入力が終了したと判断した場合は（ステッ
プＳ１２０８でＹｅｓ）、本処理を終了する。ルータ装
置１のＣＰＵ１１は、利用者からの条件入力が終了して
いないと判断した場合は（ステップＳ１２０８でＮ
ｏ）、条件の入力へ戻る（ステップＳ１２０１）。

【００４０】ルータ装置１のＣＰＵ１１は、上記ステッ
プＳ１２０２で利用者から開始時刻及び終了時刻の指定
があると判断した場合、本処理実行時点での時刻が開始
時刻及び終了時刻の範囲内にあるか否かを判定する（ス
テップＳ１２０５）。ルータ装置１のＣＰＵ１１は、本
処理実行時点での時刻が開始時刻及び終了時刻の範囲内
であると判定した場合は、このエントリを即時に適用さ
せるため有効ビットに１をセットする（ステップＳ１２
０７）。ルータ装置１のＣＰＵ１１は、上記ステップＳ
１２０５で本処理実行時点での時刻が開始時刻及び終了
時刻の範囲外であると判定した場合は、有効ビットに０
をセットする（ステップＳ１２０６）。

【００４１】次に、ルータ装置１のＣＰＵ１１は、利用
者からの条件入力が終了したと判定した場合は（ステッ
プＳ１２０８でＹｅｓ）、本処理を終了する。ルータ装
置１のＣＰＵ１１は、利用者からの条件入力が終了して
いないと判定した場合は（ステップＳ１２０８でＮ
ｏ）、条件の入力へ戻る（ステップＳ１２０１）。

【００４２】図９を参照しながら、上記一連の処理例を
示す。２００（１）は利用者がルータ装置１に入力す
る、フィルタリングの条件の一覧である。２００（２）
は、２００（１）がテーブル設定処理（ステップＳ１２
００）によってエントリとして設定された直後（この時
の時刻は９時００分）における、フィルタリングテーブ
ル用ＲＡＭ１０の内容である。

【００４３】２００（１）において、条件１５ａは、宛
先のＩＰアドレスがサーバ３ａのＩＰ（ａ）、送信元の
ＩＰアドレスがネットワーク利用者端末４ｃのＩＰ
（ｉ）のＩＰパケットを受信した場合は、廃棄するとい
うもので、常時フィルタリングに適用するため開始時刻
及び終了時刻の指定はない。

【００４４】条件１５ｂは、宛先のＩＰアドレスがサー
バ３ｃのＩＰ（ｃ）、送信元のＩＰアドレスがネットワ
ーク利用者端末４ａのＩＰ（ｇ）のＩＰパケットを受信
した場合は、廃棄するというもので、常時フィルタリン
グに適用するため開始時刻及び終了時刻の指定はない。

【００４５】条件１５ｃは、宛先のＩＰアドレスがサー
バ３ｆのＩＰ（ｆ）、送信元のＩＰアドレスがネットワ
ーク利用者端末４ｂのＩＰ（ｈ）のＩＰパケットを受信
した場合は、廃棄するというもので、８時３０分から２
１時００分までフィルタリングに適用する。

【００４６】条件１５ｄは、宛先のＩＰアドレスがサー
バ３ｄのＩＰ（ｄ）のＩＰパケットを受信した場合は、
廃棄するというもので、１８時００分から８時００分ま
でフィルタリングに適用する。

【００４７】条件１５ｅは、上記条件１５ａ〜１５ｄに
適合しない全てのＩＰパケットをルーティングして転送
するというもので、常時フィルタリングに適用するため
開始時刻及び終了時刻の指定はない。

【００４８】２００（１）の条件１５ａ、条件１５ｂ及
び条件１５ｅは、入力後（ステップＳ１２０１）、開始
時刻及び終了時刻の指定がないため（ステップＳ１２０
２でＮｏ）、開始時時刻及び終了時刻に９９時９９分が
セットされ（ステップＳ１２０３、ステップＳ１２０
４）、有効ビットにも１がセットされて（ステップＳ１
２０７）、２００（２）のエントリ１６ａ、エントリ１
６ｂ及びエントリ１６ｅとしてフィルタリングテーブル
用ＲＡＭ１０内に設定される。

【００４９】条件１５ｃは、入力後（ステップＳ１２０
１）、開始時刻及び終了時刻の指定があるため（ステッ
プＳ１２０２でＹｅｓ）、入力時の時刻が開始時刻から
終了時刻までの範囲内にあるかどうか判定される（ステ
ップＳ１２０５）。本実施形態では、条件入力時の時刻
は９時００分であり、８時３０分から２１時００分まで
の範囲内にあるため、有効ビットに１がセットされて
（ステップＳ１２０７）、２００（２）のエントリ１６
ｃとしてフィルタリングテーブル用ＲＡＭ１０内に設定
される。

【００５０】条件１５ｄは、入力後（ステップＳ１２０
１）、開始時刻及び終了時刻の指定があるため（ステッ
プＳ１２０２）、入力時の時刻が開始時刻から終了時刻
までの範囲内にあるかどうか判定される（ステップＳ１
２０５）。本実施形態では、条件入力時の時刻は９時０
０分であり、１８時００分から８時００分までの範囲外
であるため、有効ビットに０がセットされて（ステップ
Ｓ１２０７）、２００（２）のエントリ１６ｄとしてフ
ィルタリングテーブル用ＲＡＭ１０内に設定される。

【００５１】図７は、上記図５のテーブル更新処理（ス
テップＳ１３００）の流れを示すフローチャートであ
る。テーブル更新処理（ステップＳ１３００）は、フィ
ルタリングテーブル用ＲＡＭ１０に設定されたエントリ
を更新する処理である。

【００５２】まず、ルータ装置１のＣＰＵ１１は、フィ
ルタリングテーブル用ＲＡＭ１０からエントリを読み込
む（ステップＳ１３０１）。次に、ルータ装置１のＣＰ
Ｕ１１は、エントリ内の有効ビットが１か０かを判定す
る（ステップＳ１３０２）。ルータ装置１のＣＰＵ１１
は、有効ビットが１であると判定した場合は、現在の時
刻がエントリ内の終了時刻と同じか否かを判定する（ス
テップＳ１３０３）。

【００５３】ルータ装置１のＣＰＵ１１は、現在の時刻
がエントリ内の終了時刻と同じであると判定した場合
は、エントリが適用範囲外になっているため、有効ビッ
トを０にセットする（ステップＳ１３０４）。ルータ装
置１のＣＰＵ１１は、上記ステップＳ１３０３で現在の
時刻がエントリ内の終了時刻と違うと判定した場合は、
何もせずに次の処理へ進む。

【００５４】次に、ルータ装置１のＣＰＵ１１は、フィ
ルタリングテーブル用ＲＡＭ１０内の全てのエントリを
チェックしたか否かを判断する（ステップＳ１３０
７）。ルータ装置１のＣＰＵ１１は、全てのエントリを
チェックしたと判断した場合は、本処理を終了する。ル
ータ装置１のＣＰＵ１１は、上記ステップＳ１３０７で
全てのエントリをチェックしていないと判断した場合
は、次のエントリを読み込む（ステップＳ１３０１）。

【００５５】ルータ装置１のＣＰＵ１１は、上記ステッ
プＳ１３０２でエントリ内の有効ビットが０であると判
定した場合は、現在の時刻がエントリ内の開始時刻と同
じか否かを判定する（ステップＳ１３０５）。ルータ装
置１のＣＰＵ１１は、現在の時刻がエントリ内の開始時
刻と同じであると判定した場合は、エントリが適用範囲
内になったため、有効ビットを１にセットする（ステッ
プＳ１３０６）。ルータ装置１のＣＰＵ１１は、上記ス
テップＳ１３０５で現在の時刻がエントリ内の開始時刻
と違うと判定した場合は、何もせずに次の処理へ進む。

【００５６】次に、ルータ装置１のＣＰＵ１１は、フィ
ルタリングテーブル用ＲＡＭ１０内の全てのエントリを
チェックしたか否かを判断する（ステップＳ１３０
７）。ルータ装置１のＣＰＵ１１は、全てのエントリを
チェックしたと判断した場合は、本処理を終了する。ル
ータ装置１のＣＰＵ１１は、上記ステップＳ１３０７で
全てのエントリをチェックしていないと判断した場合
は、次のエントリを読み込む（ステップＳ１３０１）。

【００５７】図１０及び図１１を参照しながら、上記一
連の処理例を示す。図１０における、３００（１）は１
８時００分時点のテーブル更新処理前のフィルタリング
テーブルＲＡＭ１０の内容であり、３００（２）は１８
時００分時点のテーブル更新処理後のフィルタリングテ
ーブルＲＡＭ１０の内容である。

【００５８】３００（１）のエントリ１７ａ、エントリ
１７ｂ及びエントリ１７ｅは、読込後（ステップＳ１３
０２）、有効ビットが１であるため（ステップＳ１３０
２）、エントリ内の終了時刻と現在の時刻が同じかを判
定される（ステップＳ１３０３）。しかし、エントリ１
７ａ、エントリ１７ｂ及びエントリ１７ｅは常時適用さ
れるエントリで、その終了時刻は９９時９９分がセット
されているため、現在の時刻と同じになることはない。
従って、このテーブル更新処理（ステップＳ１３００）
では、その内容を更新されることはないため、そのまま
３００（２）のエントリ１８ａ、エントリ１８ｂ及びエ
ントリ１８ｅとなる。

【００５９】３００（１）のエントリ１７ｃは、読込後
（ステップＳ１３０２）、有効ビットが１であるため
（ステップＳ１３０２）、エントリ内の終了時刻と現在
の時刻が同じかを判定される（ステップＳ１３０３）。
しかし、終了時刻が２１時００分で現在の時刻の１８時
００分とは違うため、何も処理を行われず、３００
（２）のエントリ１８ｃとなる。

【００６０】３００（１）のエントリ１７ｄは、読込後
（ステップＳ１３０２）、有効ビットが０であるため
（ステップＳ１３０２）。エントリ内の開始時刻と現在
の時刻が同じか否かが判定される（ステップＳ１３０
５）。ここで、エントリ内の開始時刻が１８時００分と
現在の時刻と同じであるため（ステップＳ１３０５）、
適用範囲内となり、有効ビットが１にセットされる（ス
テップＳ１３０６）。この結果が、３００（２）のエン
トリ１８ｄである。

【００６１】図１１における、４００（１）は２１時０
０分時点のテーブル更新処理前のフィルタリングテーブ
ルＲＡＭ１０の内容であり、４００（２）は２１時００
分時点のテーブル更新処理後のフィルタリングテーブル
ＲＡＭ１０の内容である。

【００６２】４００（１）のエントリ１９ａ、エントリ
１９ｂ及びエントリ１９ｅは、読込後（ステップＳ１３
０２）、有効ビットが１であるため（ステップＳ１３０
２）、エントリ内の終了時刻と現在の時刻が同じか否か
が判定される（ステップＳ１３０３）。しかし、エント
リ１７ａ、エントリ１７ｂ及びエントリ１７ｅは常時適
用されるエントリで、その終了時刻は９９時９９分がセ
ットされているため、現在の時刻と同じになることはな
い。従って、このテーブル更新処理（ステップＳ１３０
０）では、その内容を更新されることはないため、その
まま４００（２）のエントリ２０ａ、エントリ２０ｂ及
びエントリ２０ｅとなる。

【００６３】４００（１）のエントリ１９ｃは、読込後
（ステップＳ１３０２）、有効ビットが１であるため
（ステップＳ１３０２）、エントリ内の終了時刻と現在
の時刻が同じかを判定される（ステップＳ１３０３）。
ここで、終了時刻が２１時００分で現在の時刻の２１時
００分と同じため、適用範囲外となり、有効ビットが０
にセットされる（ステップＳ１３０４）。この結果が４
００（２）のエントリ２０ｃとなる。

【００６４】４００（１）のエントリ１９ｄは、読込後
（ステップＳ１３０２）、有効ビットが１であるため
（ステップＳ１３０２）、エントリ内の終了時刻と現在
の時刻が同じか否かが判定される（ステップＳ１３０
３）。しかし、終了時刻が８時００分で現在の時刻の２
１時００分とは違うため、何も処理を行われず、４００
（ｂ）のエントリ２０ｄとなる。

【００６５】図８は、送信処理（ステップＳ１４００）
の流れを示すフローチャートである。送信処理（ステッ
プＳ１４００）は、受信したＩＰパケットのフィルタリ
ング及び廃棄または転送を行う処理である。

【００６６】まず、ルータ装置１のＣＰＵ１１は、ネッ
トワークＩ／Ｆ部９ａ、９ｂ、９ｃまたは９ｄからＩＰ
パケットを受信すると（ステップＳ１４０１）、そのＩ
Ｐパケット内の宛先ＩＰアドレス及び送信元ＩＰアドレ
スを抽出する（ステップＳ１４０２）。次に、ルータ装
置１のＣＰＵ１１は、フィルタリングを行うため、フィ
ルタリングテーブル用ＲＡＭ１０からエントリを一つ読
み込む（ステップＳ１４０３）。

【００６７】ルータ装置１のＣＰＵ１１は、読み込んだ
エントリが適用可能なものかを判断するために、有効ビ
ットが１であるか否かを確認する（ステップＳ１４０
４）。ルータ装置１のＣＰＵ１１は、有効ビットが０で
あると判定した場合は、このエントリは無効であるた
め、次のエントリを読み込む（ステップＳ１４０３）。
ルータ装置１のＣＰＵ１１は、有効ビットが１であると
判定した場合は、受信ＩＰパケットの宛先ＩＰアドレス
がエントリの宛先ＩＰアドレスの範囲内にあるかを確認
するため、受信ＩＰパケットの宛先ＩＰアドレスとエン
トリの宛先マスクの論理積を計算し、その結果を宛先Ｉ
Ｐ（Ａ）とする（ステップＳ１４０５）。

【００６８】次に、ルータ装置１のＣＰＵ１１は、この
宛先ＩＰ（Ａ）とエントリの宛先ＩＰアドレスが同じで
あるか否かを判定する（ステップＳ１４０６）。ルータ
装置１のＣＰＵ１１は、宛先ＩＰ（Ａ）とエントリの宛
先ＩＰアドレスが違うと判定した場合は、受信ＩＰパケ
ットはこのエントリに適合しないため、次のエントリを
読み込む（ステップＳ１４０３）。ルータ装置１のＣＰ
Ｕ１１は、上記ステップＳ１４０６で宛先ＩＰ（Ａ）と
エントリの宛先ＩＰアドレスが同じであると判定した場
合は、受信ＩＰパケットの宛先ＩＰアドレスの部分が、
このエントリに適合したことになると判断する。

【００６９】続いて、ルータ装置１のＣＰＵ１１は、受
信ＩＰパケットの送信元ＩＰアドレスがエントリの送信
元ＩＰアドレスの範囲内にあるかを確認するため、受信
ＩＰパケットの送信元ＩＰアドレスとエントリの送信元
マスクの論理積を計算し、その結果を送信元ＩＰ（Ａ）
とする（ステップＳ１４０７）。

【００７０】次に、ルータ装置１のＣＰＵ１１は、この
送信元ＩＰ（Ａ）とエントリの送信元ＩＰアドレスが同
じであるか否かを判定する（ステップＳ１４０８）。ル
ータ装置１のＣＰＵ１１は、送信元ＩＰ（Ａ）とエント
リの送信元ＩＰアドレスが違うと判定した場合は、受信
ＩＰパケットはこのエントリに適合しないため、次のエ
ントリを読み込む（ステップＳ１４０３）。ルータ装置
１のＣＰＵ１１は、上記ステップＳ１４０８で送信元Ｉ
Ｐ（Ａ）とエントリの送信元ＩＰアドレスが同じである
と判定した場合は、受信ＩＰパケットの宛先ＩＰアドレ
ス及び送信元ＩＰアドレスが、このエントリに適合した
ことになると判断する。

【００７１】次に、ルータ装置１のＣＰＵ１１は、エン
トリの指定動作に設定された動作が”転送”及び”廃
棄”のどちらであるかを判断する（ステップＳ１４０
９）。ルータ装置１のＣＰＵ１１は、エントリの指定動
作が”転送”であると判断した場合、受信したＩＰパケ
ットをルーティングし適切なネットワークＩ／Ｆ部に転
送する（ステップＳ１４１０）。ルータ装置１のＣＰＵ
１１は、エントリの指定動作が”廃棄”であると判断し
た場合は、受信したＩＰパケットを何も処理せず、ルー
タ装置１上から廃棄する（ステップＳ１４１１）。

【００７２】以上説明したように、本発明の実施形態に
よれば、ルータ装置１は、ＩＰパケットを受信した際に
実行されるフィルタリングの条件として複数のエントリ
が登録されるフィルタリングテーブル用ＲＡＭ１０にお
いて、エントリが適用される適用時刻の範囲を設定する
と共に、現在時刻が適用時刻の範囲内か範囲外かに応じ
てエントリを有効又は無効とする制御を行うので、特定
時間内だけ適用するように、フィルタリングテーブルの
エントリを設定することができるため、ネットワーク内
のＩＰパケットの流れを時間毎に制御することができる
という効果がある。

【００７３】［他の実施形態］上記実施形態では、ルー
タ装置１がネットワークＩ／Ｆ部を４つ装備した場合を
例に挙げたが、ネットワークＩ／Ｆ部の数に制限はな
い。

【００７４】また、上記実施形態では、ルータ装置１の
フィルタリングテーブル用ＲＡＭ１０のエントリ数が５
個の場合を例に挙げたが、最大エントリ数及びフィルタ
リングテーブル用ＲＡＭ１０のサイズに制限はない。

【００７５】また、上記実施形態では、ルータ装置は時
間指定インターネットプロトコルフィルタリング方式と
したが、レイヤ３スイッチングハブ装置に置き換えるこ
とも可能である。

【００７６】また、上記実施形態では、エントリの適用
範囲の指定時刻を時分で表しているが、形式に制限はな
い。

【００７７】

【発明の効果】以上説明したように、本発明によれば、
インターネットプロトコルパケットを受信した際に実行
されるフィルタリングの条件として複数のエントリが登
録される登録手段における前記エントリが適用される適
用時刻の範囲を設定すると共に、現在時刻が前記適用時
刻の範囲内か範囲外かに応じて前記エントリを有効又は
無効とする制御を行うので、特定時間内だけ適用するよ
うに、フィルタリングテーブルのエントリを設定するこ
とができるため、ネットワーク内のインターネットプロ
トコルパケットの流れを時間毎に制御することができる
という効果がある。

【図面の簡単な説明】

【図１】本発明の実施形態の時間指定インターネットプ
ロトコルフィルタリング方式が適用されるネットワーク
システムの構成例を示すブロック図である。

【図２】本発明の実施形態のルータ装置の構成例を示す
ブロック図である。

【図３】本発明の実施形態のルータ装置のフィルタリン
グテーブル用ＲＡＭの内部構成例を示す説明図である。

【図４】本発明の実施形態のＩＰパケット及びＩＰアド
レスを示す説明図であり、（ａ）は各ＬＡＮ内で流れ、
ルータ装置が転送制御を行うＩＰパケットの構成例を示
す説明図、（ｂ）は（ａ）における各ＬＡＮ内の各装置
のＩＰアドレスの一覧を示す説明図である。

【図５】本発明の実施形態の基本処理を示すフローチャ
ートである。

【図６】本発明の実施形態のテーブル設定処理を示すフ
ローチャートである。

【図７】本発明の実施形態のテーブル更新処理を示すフ
ローチャートである。

【図８】本発明の実施形態の送信処理を示すフローチャ
ートである。

【図９】本発明の実施形態のルータ装置のフィルタリン
グテーブル用ＲＡＭ内におけるエントリの設定状況とそ
の変化の流れを示す説明図であり、（ａ）は入力条件を
示す説明図、（ｂ）はフィルタリングテーブル設定直後
の内容を示す説明図である。

【図１０】本発明の実施形態のルータ装置のフィルタリ
ングテーブル用ＲＡＭ内におけるエントリの設定状況と
その変化の流れを示す説明図であり、（ａ）は１８時０
０分点のフィルタリングテーブル内容（更新前）を示す
説明図、（ｂ）は１８時００分時点のフィルタリングテ
ーブル内容（更新後）を示す説明図である。

【図１１】本発明の実施形態のルータ装置のフィルタリ
ングテーブル用ＲＡＭ内におけるエントリの設定状況と
その変化の流れを示す説明図であり、（ａ）は２１時０
０分時点のフィルタリングテーブル内容（更新前）を示
す説明図、（ｂ）は２１時００分時点のフィルタリング
テーブル内容（更新後）を示す説明図である。

【符号の説明】１ルータ装置５〜８ＬＡＮ９ａ〜９ｄネットワークＩ／Ｆ部１０フィルタリングテーブル用ＲＡＭ１１ＣＰＵ

Claims

【特許請求の範囲】

【請求項１】複数のＬＡＮを相互に接続しインターネ
ットプロトコルパケットの中継を制御するインターネッ
トプロトコルフィルタリング装置において、前記複数のＬＡＮと接続を行う通信手段と、該通信手段
により前記インターネットプロトコルパケットを受信し
た際に実行されるフィルタリングの条件として複数のエ
ントリが登録される登録手段と、該登録手段における前
記エントリが適用される適用時刻の範囲を設定すると共
に、現在時刻が前記適用時刻の範囲内か範囲外かに応じ
て前記エントリを有効又は無効とする制御手段とを具備
することを特徴とするインターネットプロトコルフィル
タリング装置。
【請求項２】前記エントリは、前記エントリが有効か
無効かを示す有効ビット、適合するインターネットプロ
トコルパケットの宛先を示す宛先インターネットプロト
コルアドレス、該宛先インターネットプロトコルアドレ
スの範囲を示す宛先マスク、適合するインターネットプ
ロトコルパケットの送信元を示す送信元インターネット
プロトコルアドレス、該送信元インターネットプロトコ
ルアドレスの範囲を示す送信元マスク、受信したインタ
ーネットプロトコルパケットを転送するか廃棄するかを
示す指定動作、前記適用時刻の開始を示す開始時刻、前
記適用時刻の終了を示す終了時刻を含んで構成されるこ
とを特徴とする請求項１に記載のインターネットプロト
コルフィルタリング装置。
【請求項３】前記制御手段は、現在時刻が利用者の指
定した開始時刻から終了時刻の範囲内にある場合、前記
有効ビットを１に設定して前記エントリを有効とし、現
在時刻が利用者の指定した開始時刻から終了時刻の範囲
外にある場合、前記有効ビットを０に設定して前記エン
トリを無効とすることを特徴とする請求項１又は２に記
載のインターネットプロトコルフィルタリング装置。
【請求項４】前記制御手段は、前記エントリを常時適
用させる場合、前記有効ビットを１に設定することを特
徴とする請求項１乃至３の何れかに記載のインターネッ
トプロトコルフィルタリング装置。
【請求項５】前記インターネットプロトコルフィルタ
リング装置は、ルータ装置であることを特徴とする請求
項１乃至４の何れかに記載のインターネットプロトコル
フィルタリング装置。
【請求項６】前記インターネットプロトコルフィルタ
リング装置は、レイヤ３スイッチングハブ装置であるこ
とを特徴とする請求項１乃至４の何れかに記載のインタ
ーネットプロトコルフィルタリング装置。
【請求項７】複数のＬＡＮを相互に接続しインターネ
ットプロトコルパケットの中継を制御するインターネッ
トプロトコルフィルタリング装置に適用されるインター
ネットプロトコルフィルタリング方法において、前記インターネットプロトコルパケットを受信した際に
実行されるフィルタリングの条件として複数のエントリ
が登録される登録手段に対し、前記エントリが適用され
る適用時刻の範囲を設定すると共に、現在時刻が前記適
用時刻の範囲内か範囲外かに応じて前記エントリを有効
又は無効に設定することを特徴とするインターネットプ
ロトコルフィルタリング方法。