JP2004185498A - アクセス制御装置 - Google Patents

Abstract

【課題】通信端末のハードウエアやソフトウエアを変更する事なく、不正端末が静的にＡＲＰテーブルを設定した場合でもアクセス制限を可能とし且つ、通信端末の組み合わせでアクセス制御を行う事を可能とする。
【解決手段】ネットワーク１０とのデータを送受信するネットワークアクセス部、ネットワーク内の通信端末間の通信の許可／不許可を判断するアクセス判断部、ネットワーク１０内の通信端末間の通信を監視するネットワーク監視部、各通信端末に対してアクセスを許可する通信端末を示すアクセスポリシー、通信端末間の通信を阻害する情報を送信する通信阻害部、ネットワークアクセス部を介して送受信する情報（パケット）の解析、組み立てを行うプロトコル処理部を設け、ネットワーク監視部がアクセスポリシーで許可されていない通信端末間の通信を検出した場合、通信阻害部を通じてその通信端末間の通信を阻害する。
【選択図】 図１

Description

【０００１】
【発明の属する技術分野】
本発明はネットワークにおける端末間の通信のアクセス制御に関する。
【０００２】
【従来の技術】
従来、アクセス制御に関しては、ユーザ名、パスワードによるものが広く使用されている。しかし、ユーザ名、パスワードを用いて、アクセス元端末とアクセス先端末のアクセス制御をする場合、アクセス開始時に必ずユーザ名、パスワードを入力する必要があり、アクセス元が専用ソフトウエアでないと自動化できないという問題があった。
【０００３】
これを解決する方法として、アクセス元のＩＰアドレスやＭＡＣアドレスを用いてアクセス制御を行う方法が知られている。本方法を用いたアクセス制御では、アクセス元端末とアクセス先端末の間にアクセス元のＩＰアドレスやＭＡＣアドレスを用いてアクセス制御を行うアクセス制御装置（一般的にはパケットフィルタ装置）を置き実行されるのが一般的である。この場合、アクセス元端末、アクセス先端末もパスワード入力のような特別な手順を必要とせず、端末のソフトウエアの改造無しにアクセス制限を行えるメリットがある。
【０００４】
しかし、前記のアクセス制限を確実に実行するためには、アクセス元端末とアクセス先端末との間にパケットフィルタ装置が設置されることが必要であり、ハブ等を用いて構成されたネットワーク内の端末のアクセス制御に適用することが難しいという問題がある。このようなネットワークに本方法を適用するためには、各端末にＩＰアドレスやＭＡＣアドレスによるアクセス制御を行う機能を設ける必要があり、特別な端末（ハードウエア又はソフトウエア）を用意しなければ適用できないという問題がある。
【０００５】
ハブ等を用いて構成されるネットワークに接続された複数の端末のアクセス制御に適用できる方法として、非特許文献１に記載されているＡＲＰを用いた方法が知られている。
【０００６】
本方式では、ブロードキャストされたＡＲＰ要求の送信元情報（ＭＡＣアドレス）で通信を開始しようとする端末の存在を知る。そして、そのアクセス端末がネットワークに対してアクセス許可されていない不正な端末の場合、アドレスを偽装したＡＲＰ応答又はＡＲＰ要求を不正端末に送信またはブロードキャストすることにより、不正端末の通信を不能にする。
【０００７】
静止画のような連続性を必要としないデータを扱うサーバ装置では、データの入出力を行う場合、実際にデータの入出力実行する時に使用可能なリソースを用いてデータの入出力が実行される。
【０００８】
【非特許文献１】
村山公保著「基礎からわかるネットワーク実験プログラミング」 オーム社
【０００９】
【発明が解決しようとする課題】
前述のＡＲＰを用いる方法では不正端末が静的にＡＲＰテーブルを設定して目的の通信端末にアクセスした場合、通信が可能となってしまうという問題がある。
【００１０】
また、通信端末１と通信端末２の通信は許可するが通信端末１と通信端末３との通信は不許可にするというような通信端末の組み合わせでアクセス制御を行いたい場合には適用できないという問題を有している。
【００１１】
本発明は、通信端末のハードウエアやソフトウエアの変更を行うことなく、不正端末が静的にＡＲＰテーブルを設定した場合でもアクセス制限を行うことが可能であり且つ、通信端末の組み合わせでアクセス制御を行うことを可能とするアクセス制御装置を提供することを目的とする。
【００１２】
【課題を解決するための手段】
上記問題点を解決するために本発明のアクセス制御装置は、ネットワークへのパケットの送受信処理を行うネットワークアクセス処理手段と、送受信パケットのプロトコル処理を行うプロトコル処理手段と、各通信端末に対してアクセスを許可する通信端末の情報であるアクセスポリシーを管理し、ネットワーク内の通信端末間の通信の許可／不許可を判断するアクセス判断手段と、通信端末間の通信を阻害する通信阻害手段を備え、前記アクセス制御手段がプロトコル処理手段からネットワークに接続されたデバイスが発したパケットを受け取り、前記パケットの送信元アドレス情報と送信先アドレス情報を用いて、通信の許可／不許可を判断し、不許可と判断された場合に通信阻害手段が通信を阻害するための情報を、パケットの送信元又は送信先に、或いはその両方に、或いはブロードキャストで、送信する。
【００１３】
【発明の実施の形態】
以下本発明の実施の形態について、図１から図９を用いて説明する。
【００１４】
（実施の形態１）
図１は本発明の実施の形態におけるアクセス制御装置を備えたネットワークの構成を示すものである。図１において、１はＩＰアドレスｉｐ１、ＭＡＣアドレスｍａｃ１である通信端末、２はＩＰアドレスｉｐ２、ＭＡＣアドレスｍａｃ２である通信端末、３は通信端末、１０は通信端末、アクセス制御装置を接続するネットワーク、１１はアクセス制御装置を示している。
【００１５】
図２はアクセス装置１１の構成を示すものである。１００はネットワーク１０とのデータを送受信するネットワークアクセス部、１１０はネットワーク内の通信端末間の通信の許可／不許可を判断するアクセス判断部、１１１はネットワークアクセス部１１０の一部でありネットワークアクセス部１００から情報を受信しネットワーク１０内の通信端末間の通信を監視するネットワーク監視部、１１２は各通信端末に対してアクセスを許可する通信端末を示すアクセスポリシー、１２０は通信端末間の通信を阻害する情報を送信する通信阻害部、１３０はネットワークアクセス部を介して送受信する情報（パケット）の解析、組み立てを行うプロトコル処理部を示している。
【００１６】
図３はアクセスポリシー１１２の構成を示している。アクセスポリシー１１２は送信元ｍａｃアドレスと送信先ｍａｃアドレス毎に通信の許可不許可を管理する。同時に、ｍａｃアドレスに対応する各通信端末のＩＰアドレスも管理しても良い。ＩＰアドレスをｍａｃアドレスに対応して管理しておくことにより、通信端末のＩＰアドレスを用いても通信の許可不許可を判断可能となる。しかし、ＤＨＣＰ等のＩＰアドレス割当手順を使用している場合、各通信端末に割り当てられたＩＰアドレスが変化する場合がある。このようなＩＰアドレスが変化するネットワークにおいて、ｍａｃアドレスに対応する通信端末のＩＰアドレスを知る方法としては、アクセス判断部１１０がＩＰアドレスを割り当てるＤＨＣＰサーバから各通信端末のＩＰアドレスを取得する方法や、アクセス判断部１１０がＤＨＣＰパケットやＡＲＰパケットを監視し各通信端末に割り当てられたＩＰアドレスを知る方法等が考えられる。
【００１７】
また、アクセスポリシー１１２にｍａｃアドレスしか登録されていない時に、ＩＰアドレスにより通信の許可不許可を判断する必要が生じた場合には、アクセス判断部１１０がＡＲＰ要求を送信し、ＩＰアドレスに対応する通信端末のｍａｃアドレスを取得した上、アクセスポリシー１１２により通信の許可不許可を判断する。
【００１８】
なお、ＡＲＰパケット、ＤＨＣＰパケット等の監視により、本アクセスポリシー１１２に登録されていない未知の通信端末を発見した場合には、その通信端末に関する通信は全て不許可として登録する。
【００１９】
以上のように構成されたアクセス制御装置について、以下、図４、図５、図６、図１０を用いて、その動作を説明する。
【００２０】
図４は、本発明のアクセス制御装置の一実施シーケンス例を示すものであり、ＡＲＰ要求を監視することで通信端末間の通信を検出し、許可されない通信である場合に、アクセス制御装置１１の通信阻害部１２０が偽のＡＲＰ要求を送信することでアクセス制御を行う。
【００２１】
以下にそのシーケンスを説明する。
【００２２】
Ｅｔｈｅｒネットにおいて、ＩＰ通信を行う場合、通信相手のＩＰアドレスとＭＡＣアドレスが必要になる。相手先のＩＰアドレスからＭＡＣアドレスを知るために使用されるのがＡＲＰ要求であり、ＡＲＰ要求では自身のＩＰアドレスとＭＡＣアドレス、ＭＡＣアドレスを知りたい相手先のＩＰアドレスを指定して、通常の場合ブロードキャストする。各端末はブロードキャストされたＡＲＰ要求を受信して、自身のＩＰアドレスが指定されたＡＲＰ要求を受信した場合、送信元に対して、自身のＩＰアドレスとＭＡＣアドレスを応答する（ＡＲＰ応答）。図１０は、Ｅｔｈｅｒネットで用いるＡＲＰパケットのフォーマット例を示している。ＡＲＰ要求で相手先のＭＡＣアドレスを知りたい場合、本パケットにおいて、送信元ＭＡＣアドレス（ｓｒｃ：ｍａｃ）、送信元ＩＰアドレス（ｓｒｃ：ｉｐ）にそれぞれＡＲＰ要求を送信する通信端末自身のＭＡＣアドレスとＩＰアドレスを設定する。そして、宛先ＭＡＣアドレス（ｄｓｔ：ｍａｃ）に０を設定し、宛先ＩＰアドレス（ｄｓｔ：ｉｐ）に通信相手先のＩＰアドレスを設定する。ＡＲＰ応答では、送信元ＭＡＣアドレス（ｓｒｃ：ｍａｃ）、送信元ＩＰアドレス（ｓｒｃ：ｉｐ）にＡＲＰ応答を送信した通信端末自身のＭＡＣアドレスとＩＰアドレスが設定され、宛先ＭＡＣアドレス（ｄｓｔ：ｍａｃ）、宛先ＩＰアドレス（ｄｓｔ：ｉｐ）にＡＲＰ要求を送信した通信端末のＭＡＣアドレスとＩＰアドレスが設定される。
【００２３】
ＡＲＰ応答により得られた通信相手のＩＰアドレスとＭＡＣアドレスの対応関係は、通信端末で一定時間キャッシュされ、キャッシュが存在する間はそのキャッシュを参照することでＡＲＰ要求を送信せず、通信相手のＭＡＣアドレスを取得し、通信を行う。このＩＰアドレスとＭＡＣアドレスの対応関係を示した情報をＡＲＰテーブルと呼ぶ。また、ＡＲＰ応答を送り返した通信相手先においてもＡＲＰ要求の送信元のＩＰアドレスとＭＡＣアドレスの対応関係がＡＲＰテーブルにキャッシュされる。
【００２４】
以上のように、通信端末１は通信端末２と通信を開始する場合、まず、通信端末２のＭＡＣアドレスを知るために、通信端末１のＩＰアドレス、ＭＡＣアドレス（ｉｐ１、ｍａｃ１）と通信端末２のＩＰアドレス（ｉｐ２）を指定したＡＲＰ要求をブロードキャストする。通信端末２は通信端末１が発したＡＲＰ要求を受信して、自身のＩＰアドレス、ＭＡＣアドレス（ｉｐ２、ｍａｃ２）と通信端末１のＩＰアドレス、ＭＡＣアドレスを記述したＡＲＰ応答を送信する。このＡＲＰ応答を受信した通信端末１は、自身のＡＲＰテーブルに（ｉｐ２、ｍａｃ２）の対応関係をキャッシュする。また、通信端末２は、ＡＲＰ要求受信時に通信端末１のＩＰアドレスとＭＡＣアドレス（ｉｐ１、ｍａｃ１）の対応関係を自身のＡＲＰテーブルにキャッシュする。
【００２５】
端末１からのＡＲＰ要求はブロードキャストで送信されるため、アクセス制御装置１１でも受信される。アクセス制御装置１１では、ネットワークアクセス部１００を通じて受信された情報がアクセス判断部１１０のネットワーク監視部１１１に送られる。ネットワーク監視部１１１は、受信した情報（パケット）をプロトコル処理部１３０により解析する。解析の結果ＡＲＰ要求であると分かった場合、ネットワーク監視部１１１は、ＡＲＰ要求の送信元情報（ｉｐ１、ｍａｃ１）とアドレス解決を要求先の情報（ｉｐ２）を取り出し、アクセスポリシーを参照し、ＡＲＰ要求送信元とアドレス解決要求先の通信が許可されているかを確認する。
【００２６】
このとき、ｉｐ２に対応するＭＡＣアドレスの情報をアクセス制御装置１１が持っていない場合、自身のＩＰアドレス、ＭＡＣアドレス（ｉｐ１１、ｍａｃ１１）と通信端末２のＩＰアドレス（ｉｐ２）を指定したＡＲＰ要求をブロードキャスト送信することにより、通信端末２のＭＡＣアドレス（ｍａｃ２）を取得する。
【００２７】
アクセスポリシー１１２を参照したネットワーク監視部１１１は、ｍａｃ１とｍａｃ２の通信すなわち、通信端末１と通信端末２の通信が不許可であると判断する。そして、通信阻害部１２０に通信端末１のアドレス情報（ｉｐ１、ｍａｃ１）と通信端末２のアドレス情報（ｉｐ２、ｍａｃ２）を引き渡し、通信の阻害を指示する。
【００２８】
指示を受けた通信阻害部１２０は、プロトコル処理部１３０を用いて偽造したＡＲＰ要求を作成し、ネットワークアクセス部１００を通じて通信端末１と通信端末２に送信する。具体的には、送信元としてＩＰアドレスを通信端末２のＩＰアドレス、ＭＡＣアドレスをネットワークに存在しない偽造ＭＡＣ（ｉｐ２、ｍａｃＸ）、アドレスの解決先を通信端末１のＩＰアドレス（ｉｐ１）としたＡＲＰ要求を通信端末１にユニキャストする。また、送信元としてＩＰアドレスを通信端末１のＩＰアドレス、ＭＡＣアドレスをネットワークに存在しない偽造ＭＡＣ（ｉｐ１、ｍａｃＸ）、アドレスの解決先を通信端末２のＩＰアドレス（ｉｐ２）としたＡＲＰ要求を通信端末１にユニキャストする。
【００２９】
この偽造されたＡＲＰ要求を受信した通信端末１は、ｉｐ２に関するＡＲＰテーブルを（ｉｐ２、ｍａｃ２）から（ｉｐ２、ｍａｃＸ）に更新し、自身のＭＡＣアドレスを指定したＡＲＰ要求をｍａｃＸに対して送信する。しかし、ｍａｃＸはネットワーク１０内に存在しないため、実際にはどの通信端末にも受信されない。同様に、通信端末２のｉｐ１に関するＡＲＰテーブルが（ｉｐ１、ｍａｃ１）から（ｉｐ１、ｍａｃＸ）に更新される。
【００３０】
通信阻害部１２０の偽造ＡＲＰ要求によりＡＲＰテーブルが更新された通信端末１が通信端末２情報を送信しようとすると、ｍａｃＸに対して情報が送信されるため通信端末２は情報を受信することができない。同様に通信端末２が通信端末１に情報を送信しようとした場合もｍａｃＸに対して情報が送信されるため通信が不能となる。
【００３１】
なお、通信端末１において、偽造ＡＲＰ要求によりＡＲＰテーブルが偽造ＭＡＣに更新されるのは通信端末２に関するものだけであり、通信端末３に対しては正常に通信可能となる。
【００３２】
不正アクセス通信端末がネットワーク１０に接続され、通信端末２にアクセスしようとした場合、前述の場合と同様に不正通信端末が送信したＡＲＰ要求によりネットワーク監視部１１１が不正端末のＩＰアドレス、ＭＡＣアドレスと通信端末２のＩＰアドレス（ｉｐ２）を元にアクセスポリシーを参照する。不正通信端末のＭＡＣアドレスは登録されていないため、通信は不許可と判断される。そして、前述の場合と同様に通信阻害部１２０により偽造したＡＲＰ要求が送信され、不正通信端末と通信端末２との通信が不能にされる。
【００３３】
以上のように、本構成によれば、送信元と送信先毎に設定されたアクセスポリシーに基づくアクセス制限が実現される。
【００３４】
図５は、本発明のアクセス制御装置の一実施シーケンス例を示すものであり、ＡＲＰ要求を監視することで通信端末間の通信を検出し、許可されない通信である場合に、アクセス制御装置１１の通信阻害部１２０が偽のＡＲＰ要求を送信することでアクセス制御を行う。図４との相違は図５では通信端末１が静的に通信端末２に関するＡＲＰテーブルを設定している点である。静的にＡＲＰテーブルを設定すると通信端末１はＡＲＰ要求を送信する必要はない。
【００３５】
通信端末１は、通信端末２と通信を開始する前に、通信端末２のＩＰアドレスとＭＡＣアドレス（ｉｐ２、ｍａｃ２）をＡＲＰテーブルに静的に設定する。その後、通信端末２に送信する。ＡＲＰテーブルが設定されているため、ＡＲＰ要求が送信されることなく、通信端末１から通信端末２に対して情報が送信される。通信端末１からの情報を受信した通信端末２は、通信端末１に応答を送信しようとする。そのとき、通信端末１に対するＡＲＰテーブルが設定されていないため、ＡＲＰテーブルを設定するためにＡＲＰ要求をブロードキャスト送信する。このＡＲＰ要求には、通信端末２自身のＩＰアドレス、ＭＡＣアドレス（ｉｐ２、ｍａｃ２）と通信端末１のＩＰアドレス（ｉｐ１）が設定される。このＡＲＰ要求は、図４のシーケンスの場合と同様に、アクセス制御装置１１のネットワーク監視部１１でも受信される。このＡＲＰ要求を受信したネットワーク監視部１１は、前述の説明と同様にＡＲＰ要求から（ｉｐ２、ｍａｃ２）とｉｐ１の情報を取り出し、アクセスポリシーを参照する。アクセスポリシーを参照することで、ネットワーク監視部１１は通信端末２と通信端末１との通信が不許可であると判断する。そして、前述のシーケンスと同様に偽造したＡＲＰ要求の送信を通信阻害部１２０に指示する。図４の場合との違いは、本シーケンスでは通信端末１では静的にＡＲＰテーブルが設定されているため、偽造されたＡＲＰ要求により通信端末２に関するＡＲＰテーブルが影響をうけない点である。しかし、通信端末２のＡＲＰテーブルは更新されるため、通信端末２から通信端末１への情報の送信ができなくなる。結果として、通信端末１から通信端末２へ情報を送信することは可能であるが、通信端末２から通信端末１への情報送信が不能になるため、通信端末１は通信端末２の情報を取得できない。
【００３６】
同様に、不正端末がＡＲＰテーブルを静的に設定して通信端末２にアクセスしようとした場合でも、通信端末２のＡＲＰテーブルが更新され通信不能になるのは明白である。
【００３７】
以上のように、本構成によれば、不正端末が静的にＡＲＰテーブルを設定するような場合でもアクセスポリシーに基づくアクセス制限が実現される。
【００３８】
図６はＳＬＰ（Ｓｅｒｖｉｃｅ Ｌｏｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）やＵＰｎＰ（Ｕｎｉｖｅｒｓａｌ Ｐｌｕｇ ａｎｄ Ｐｌａｙ）のようなマルチキャストで通信端末間で情報が送信される場合のアクセス制限シーケンスの一実現例である。
【００３９】
ＳＬＰやＵＰｎＰのようなプロトコルでは、通信端末が使用可能になったり、サービスが使用可能になったりすると、他の通信端末に伝えるために、マルチキャストやブロードキャストで情報を通知する（本実施の形態では、この情報をサービス利用可能通知と呼ぶことにする。）。
【００４０】
通信端末１は電源がＯＮされ、サービス利用可能通知をマルチキャストする。また、端末及びサービスが利用できなくなった場合にも情報を通知する。本実施の形態では、この通知をサービス利用不可通知と呼ぶことにする。
【００４１】
このサービス利用可能通知はアクセス制御装置１１のネットワーク監視部１１１でも受信される。サービス利用可能通知を受信したネットワーク監視部１１１は、プロトコル処理１３０により、サービス利用可能通知から情報の送信元情報（ｉｐ１、ｍａｃ１）を取り出し、アクセスポリシー１１２を参照する。アクセスポリシーを参照した結果、ｍａｃ２の通信端末（通信端末２）が端末１との通信が不許可であることを検出する。ネットワーク監視部１１１は、サービス利用可能通知の送信元（ｉｐ１、ｍａｃ１）と通信が不許可の通信端末のアドレス情報（ｉｐ２、ｍａｃ２）とサービス利用可能通知を通信阻害部１２０に引き渡し、通信の阻害を指示する。通信阻害部１２０は、プロトコル処理部１３０により、送信元アドレスを（ｉｐ１、ｍａｃ１）としたサービス利用不可通知を偽造する。そして、通信端末２にたいして、偽造したサービス利用不可通知を送信する。サービス利用不可通知を受信した通信端末２は、通信端末１のサービスが利用できなくなったと判断し動作する。これに、通信端末１と通信端末２の通信が阻害される。
【００４２】
以上のように、本構成によれば、ブロードキャストやマルチキャストでサービス利用可能通知が送信される場合でもアクセスポリシーに基づくアクセス制限が実現される。
【００４３】
なお、本実施の形態において、通信阻害部１２０は偽造したＡＲＰ要求をユニキャストすることで通信を阻害するとしたが、マルチキャストしても同様の効果が得られることは自明である。また、偽造したＡＲＰ応答を送信しても同様の効果が得られることは自明である。
【００４４】
また、本実施の形態ではＡＲＰ要求をトリガーにして通信阻害部が通信を阻害するとしたが、ネットワークアクセス部をプロミスキャスモードで動作させ、ネットワーク１０に送信される情報を全てネットワーク監視部１１１で監視し、アクセス許可されていない通信端末間での情報送信を検出した場合、通信阻害部１２０を通じて両者の通信を阻害しても同様の効果が得られるのは自明である。このような場合に通信阻害部が行う通信阻害方法としては、通信に使用しているポートに対して、送信元を偽造して無効な情報を送信したり、リセットフラグを立てたＴＣＰ／ＩＰパケットを送信したりする方法等が考えられる。
【００４５】
また、本実施の形態では通信阻害部１２０は、ネットワークに存在しないｍａｃＸを設定した偽造ＡＲＰ要求により通信を阻害するとしたが、アクセス制御装置自身のようなネットワーク内の定められた通信端末のＭＡＣアドレスを指定した偽造ＡＲＰ要求を送信することで通信を阻害しても良い。このような偽造ＡＲＰ要求を送信することで、許可されていない通信に関するパケットを特定の通信端末に集めて受信させることが可能となり、許可されていない通信に関して通信内容の解析等が可能となる。
【００４６】
さらに、本実施の形態において、アクセスポリシー１１２の設定が不許可から許可に変更された場合、アクセス判断部１１０は通信阻害部１２０を通じて偽造ＡＲＰ要求や偽造したサービス利用不可通知を送信した通信端末に対して、通信許可された通信端末間で通信が可能となるように、ＡＲＰテーブルを正常な状態に設定する（通信許可された通信端末の正しいＭＡＣアドレスとＩＰアドレスを設定した）ＡＲＰ要求やサービス利用可能通知を送信しても良い。
【００４７】
（実施の形態２）
図７は本実施の形態におけるアクセス装置１１の構成を示すものである。１００はネットワーク１０とのデータを送受信するネットワークアクセス部、１１０はネットワーク内の通信端末間の通信の許可／不許可を判断するアクセス判断部、１１１はネットワークアクセス部１１０の一部でありネットワークアクセス部１００から情報を受信しネットワーク１０内の通信端末間の通信を監視するネットワーク監視部、１１２は各通信端末に対してアクセスを許可する通信端末を示すアクセスポリシー、１２０は通信端末間の通信を阻害する情報を送信する通信阻害部、１３０はネットワークアクセス部を介して送受信する情報（パケット）の解析、組み立てを行うプロトコル処理部、１４０は通信端末対して送信した要求にたいして、それに応答して情報を送信する強制情報通知部、１５０はアクセスポリシーに対してアクセスの許可／不許可を登録するポリシー登録部である。
【００４８】
以上のように構成されたアクセス制御装置１１の動作について図８を用いて説明する。
【００４９】
図８は、本実施の形態におけるアクセス制御装置１１の動作シーケンスの一例を示している。通信端末１からの通信端末２へのアクセスを阻害する動作については実施の形態１と同様であり、ここでは説明を省略する。実施の形態１との違いは、通信阻害部１２０がアクセス制御装置１１のＭＡＣアドレスを用いて、偽造したＡＲＰ要求を作成する点である。この結果、通信端末１のＡＲＰテーブルは（ｉｐ２、ｍａｃ１１）が登録され、通信端末２のＡＲＰテーブルは（ｉｐ１、ｍａｃ１１）が登録される。ゆえに通信端末１から通信端末２に情報を送信しようとすると、アクセス制御装置に送信されることになる。
【００５０】
今、通信端末１からブラウザを用いて、通信端末２にアクセスしようとした場合、ｈｔｔｐ要求はアクセス制御装置１１に送信されることになる。
【００５１】
アクセス要求はネットワーク監視部１１１に送られ、送信先情報がＩＰアドレスがｉｐ２、ＭＡＣアドレスがｍａｃ１１となっていることからアクセス制御の結果として受信された情報であると判断し、ｈｔｔｐ要求を強制情報通知部１４０に引き渡す。
【００５２】
強制情報通知部１４０は、図９のようなアクセスポリシーを登録することを促す情報をプロトコル処理部１３０により送信元を通信端末２に偽装して、ネットワークアクセス部１００を通じて通信端末１に送信する。
【００５３】
通信端末１において、パスワードを入力の上アクセス許可登録のボタンを押すと、情報がアクセス制御装置１１のネットワーク監視部１１１を通じて、ポリシー登録部１５０に引き渡される。情報の引き渡しを受けたポリシー登録部１５０は、パスワードを認証し、問題なければ通信端末１と通信端末２間の通信が許可になるようにアクセスポリシー１１２を設定する。アクセスポリシーを設定したポリシー登録部は、通信端末１と通信端末２間の通信が許可に変更した旨をネットワーク監視部に通知する。ネットワーク監視部は通信阻害部１２０に対して通信端末１と通信端末２のＡＲＰテーブルを正常に戻すように指示する。指示をうけた通信阻害部１２０は偽装したＡＲＰ要求を通信端末１とに通信端末２それぞれユニキャストで送信し、ＡＲＰテーブルを正常な状態に戻す。
【００５４】
以上のように本実施の形態によれば、ユーザが簡単にアクセスポリシーを設定することが可能となる。
【００５５】
なお、本実施の形態ではネットワークアクセス部１００、アクセス判断部１１０、通信阻害部１２０、プロトコル処理部１３０、強制情報通知部１４０、ポリシー登録部１５０を同一通信端末に実装するとしたが、各機能部を別々の通信端末に実装しても良い。
【００５６】
【発明の効果】
以上のように本発明によれば、通信端末のハードウエアやソフトウエアの変更を行うことなく、不正端末が静的にＡＲＰテーブルを設定した場合でもアクセス制限を行うことが可能であり且つ、通信端末の組み合わせでアクセス制御を行うことを可能であるという優れた効果が得られる。
【００５７】
さらに、ユーザが簡単にアクセスポリシーを設定することが可能という優れた効果も得られる。
【図面の簡単な説明】
【図１】本発明の実施の形態１及び実施の形態２のネットワークの構成図
【図２】本発明の実施の形態１におけるアクセス制御装置の構成図
【図３】実施の形態１及び実施の形態２におけるアクセスポリシーの構成図
【図４】実施の形態１におけるアクセス制御装置の一動作シーケンス例を示す図
【図５】実施の形態１におけるアクセス制御装置の一動作シーケンス例を示す図
【図６】実施の形態１におけるアクセス制御装置の一動作シーケンス例を示す図
【図７】本発明の実施の形態２におけるアクセス制御装置の構成図
【図８】実施の形態２におけるアクセス制御装置の一動作シーケンス例を示す図
【図９】同実施の形態の強制情報通知部１４０が送信する情報の画面イメージを示す図
【図１０】本発明の実施の形態１及び実施の形態２におけるＡＲＰパケットのフォーマット例を示す図
【符号の説明】
１ 通信端末
２ 通信端末
３ 通信端末
１０ ネットワーク
１１ アクセス制御装置
１００ ネットワークアクセス部
１１０ アクセス判断部
１１１ ネットワーク監視部
１１２ アクセスポリシー
１２０ 通信阻害部
１３０ プロトコル処理部
１４０ 強制情報通知部
１５０ ポリシー登録部

Claims (10)

1. ネットワークへのパケットの送受信処理を行うネットワークアクセス処理手段と、送受信パケットのプロトコル処理を行うプロトコル処理手段と、各通信端末に対してアクセスを許可する通信端末の情報であるアクセスポリシーを管理し、ネットワーク内の通信端末間の通信の許可／不許可を判断するアクセス判断手段と、通信端末間の通信を阻害する通信阻害手段とで構成され、
   前記アクセス制御手段がプロトコル処理手段からネットワークに接続されたデバイスが発したパケットを受け取り、前記パケットの送信元アドレス情報と送信先アドレス情報を用いて、通信の許可／不許可を判断し、
   不許可と判断された場合に通信阻害手段が通信を阻害するための情報を、パケットの送信元又は送信先に、或いはその両方に、或いはブロードキャストで、送信することを特長とするアクセス制御装置。
2. ネットワークへのパケットの送受信処理を行うネットワークアクセス処理手段と、送受信パケットのプロトコル処理を行うプロトコル処理手段と、各通信端末に対してアクセスを許可する通信端末の情報であるアクセスポリシーを管理し、ネットワーク内の通信端末間の通信の許可／不許可を判断するアクセス判断手段と、通信端末間の通信を阻害する通信阻害手段とで構成され、
   前記アクセス制御手段がプロトコル処理手段からネットワークに接続されたデバイスが発したＡＲＰ要求を受け取り、ＡＲＰ要求の送信元アドレス情報とアドレス解決を要求した先のアドレス情報を用いて、通信の許可／不許可を判断し、不許可と判断された場合に通信阻害手段が通信を阻害するための情報を、ＡＲＰ要求の送信元に、又はアドレス解決を要求した先に、或いはその両方に、或いはブロードキャストで、送信することを特長とする請求項１記載のアクセス制御装置。
3. 通信阻害手段が送信元のアドレス情報を偽のアドレス情報に置き換えたＡＲＰ応答を送信することを特長とする請求項２記載のアクセス制御装置。
4. 通信阻害手段が送信元のアドレス情報を偽のアドレス情報に置き換えたＡＲＰ要求を送信することを特長とする請求項２記載のアクセス制御装置。
5. 通信阻害手段が前記アクセス制御装置の物理アドレスを使用した偽のアドレス情報に置き換えたＡＲＰ応答を送信することを特長とする請求項２記載のアクセス制御装置。
6. 通信阻害手段が前記アクセス制御装置の物理アドレスを使用した偽のアドレス情報に置き換えたＡＲＰ要求を送信することを特長とする請求項２記載のアクセス制御装置。
7. 他の通信端末対して送信した情報を受信し、それに応答して情報を送信する強制情報通知手段を備えたことを特長とする請求項５または請求項６記載のアクセス制御装置。
8. 前記強制情報通知手段が送信する情報が、前記アクセス判断手段が管理するアクセスポリシーを登録することを促す情報であることを特長とする請求項７記載のアクセス制御装置。
9. ネットワークへのパケットの送受信処理を行うネットワークアクセス処理手段と、送受信パケットのプロトコル処理を行うプロトコル処理手段と、各通信端末に対してアクセスを許可する通信端末の情報であるアクセスポリシーを管理とネットワークに接続されている通信端末リストを管理し、ネットワーク内の通信端末間の通信の許可／不許可を判断するアクセス判断手段と、通信端末間の通信を阻害する通信阻害手段とで構成され、
   プロトコル処理手段を通じてアクセス判断手段が、ネットワーク接続された第１の通信端末からブロードキャストまたはマルチキャストされた情報を受信した時、
   前記アクセスポリシーと前記通信端末リストを用いて、前記第１の通信端末にアクセスが不許可な端末に対して、通信阻害手段を通じて通信を阻害を発生させる情報を送信することを特長とする請求項１記載のアクセス制御装置。
10. 請求項２または請求項９記載の両方のプロトコル処理手段とアクセス判断手段と通信阻害手段を備えたことを特長とするアクセス制御装置。

Images