JP2005108215A - 印刷装置のためのｓｎｍｐパケットフィルタ処理 - Google Patents

Abstract

【課題】 小さい群のユーザに対して装置への可視性を制限する能力を管理者に与えることができる方法およびシステムを提供する。
【解決手段】 ＩＰアドレスフィルタは、ＳＮＭＰエージェント内に常駐し、入力ＳＮＭＰパケットをフィルタ処理するよう動作し、それによって、印刷装置への可視性を小さい選択された群のユーザに制限する。管理サーバコンピュータは、ＩＰアドレスの範囲をアクセスの許可または拒絶のいずれか一方に決定する。フィルタは、管理サーバコンピュータによって選択されたアドレスの範囲内に参照ＩＰアドレスを有し、選択されたアドレスに対応するアクションを割り当てる。アクションは、ＳＮＭＰパケットが処理されることを許可する、または、送信元アドレスに応答することなくＳＮＭＰパケットを拒絶してパケットをドロップする、のいずれか一方である。入力パケットのソースアドレスが参照アドレスに適合するか否かを決定するために、３２ビットマスクもフィルタに含まれる。
【選択図】 図１

Description

本発明は、一般的にコンピュータネットワーク管理に関わる。より詳細には、本発明は、通信プロトコルを用いるデータパケットのフィルタ処理に関わる。

インターネットのようなコンピュータベースのネットワークは、システム上で情報のパケットを送信する。パケットは、コンポジット全体として伝送され交換される、データおよび制御信号を含む一連の２進数字である。データ、制御信号あるいはエラー制御情報は、特定のフォーマットで配列される。これらのフォーマットは、プロトコルの形態で表されることができる。プロトコルは、通信機能単位の中でフォーマットおよび相互作用の制御を管理する取り決めの正式な集合である。プロトコルは、ネットワークの一部分、サービスの種類、または、管理手順でさえも管理する。インターネット、イントラネット、イーサネット（登録商標）、または、他のコンピュータネットワークのような階層化された通信システムアーキテクチャにおいて、プロトコルは、その階層化された構成の中で機能的な相互運用を容易化するよう適合される手順の正式な集合である。プロトコルの結果的な使用は、情報システムの情報を交換する能力である。

多くのコンピュータネットワークは、伝送制御プロトコルまたはＴＣＰを使用する。伝送制御プロトコルは、パケット交換方式の通信ネットワーク上でホスト対ホスト伝送を制御するネットワークプロトコルである。ＴＣＰと協力してインターネットプロトコルまたはＩＰプロトコルが動作される。ＩＰプロトコルは、パケット交換方式のコンピュータネットワークの相互接続されたシステムにおいて使用されるよう設計された標準プロトコルである。ＩＰプロトコルは、ソースからデスティネーションまでデータグラムと呼ばれるデータのブロックを伝送し、このときソースおよびデスティネーションは固定長のアドレスによって識別されるホストである。インターネットプロトコルは、小型パケットネットワークを通る伝送のために必要であれば長いデータグラムの断片化および再組立を行う。断片化は、長いデータグラムを多数のデータグラムに分けることを伴い、それら多数のデータグラムはデスティネーションコンピュータに伝送され再組立される。伝送制御プロトコル／インターネットプロトコルまたはＴＣＰ／ＩＰは、データグラムまたはパケットがインターネット上でどのように伝送されるかを制御する。ＴＣＰ／ＩＰは、インターネットプロトコルスイートの一部である２つの相互に関連するプロトコルである。ＴＣＰがＯＳＩトランスポート層で動作してデータをパケットに分け、ＩＰはＯＳＩネットワーク層で動作してコンピュータネットワーク上でパケットのルーティングを扱う。

シンプルネットワーク管理プロトコルまたはＳＮＭＰは、（ａ）ＩＰゲートウェイおよびそれらが付けられているネットワークを管理し制御するために使用され、（ｂ）ＴＣＰエラー補正のマスキング効果をすり抜けてＩＰを直接的に使用し、（ｃ）異常に動作している可能性のあるネットワーク上のＩＰデータグラムに直接的なアクセスを有することにより管理を必要とし、（ｄ）ゲートウェイが記憶しなくてはならない変数の組を定義し、（ｅ）ゲートウェイ上の全ての制御動作が、データ変数を取り出すまたは記憶する、即ち、コマンドを書き込み、状態を読み出すことに類似する動作の副次的な影響であることを特定するＴＣＰ／ＩＰ標準プロトコルである。

現代のデジタル印刷装置は、上述のネットワークプロトコルを通じて管理者およびユーザに最新の装置および印刷ジョブ状態を提供するに十分高性能である。管理者は、ＳＮＭＰを用いて、装置に遠隔的にアクセスするだけでなく、装置を遠隔的に構成することができる。ＳＮＭＰは、管理プロトコルとしては非常に有力であるが、十分なセキュリティがないといった１つの深刻な欠点を有する。ＳＮＭＰには非常に限定されたセキュリティが組み込まれている。この欠点は、コンピュータネットワークにおいて、装置上で利用可能なリソースを見ることができる全てのユーザに同じである。実際、印刷装置に対して可視性を有する全てのユーザは、装置パラメータを引き出すか変更することさえできる。本明細書で用いる可視性といった用語は、リソースを実際にモニタリングすることを伴ってまたは伴わずに、リソースの状態に対して認識があることを意味する。

セキュリティ特性が組み込まれていない場合、装置の可視性を小さい群のユーザに限定するために管理者はなんらかの機構を有することが望ましい。エンタープライズ・ファイアウォールは、インターネットからＳＮＭＰトラフィックをブロックすることができるが、ファイアウォールのイントラネット側上でのＳＮＭＰアクセスを防止することにはあまり寄与しない。ルータは、ネットワークパケットをフィルタ処理することができるが、イントラネット上にルータが配置されない場合もある。

従って、ネットワーク上での装置の可視性を限定することができ、全てのＩＰベースのネットワーク上で実行可能であり、高性能のルータを追加することなくネットワークトラフィック管理を代替し、実施の際に影響が最小となる方法およびシステムが必要である。

本発明によると、小さい群のユーザに対して装置への可視性を制限する能力を管理者に与えることができる方法およびシステムが提供される。同方法は、データパケットに関連するアドレス範囲を特定する工程を含む。続いて、管理者によって定められたアドレス範囲に対応する１つ以上のフィルタが生成される。フィルタは、参照アドレス、アドレスマスク、および、適合するアドレスに対してとられる所望のアクションを表す指示を含む。フィルタは、入力パケットを受信し、パケットのソースアドレスを参照アドレスと比較して、相互に関連するアドレスを決定する。続いて、フィルタは、パケットの進行を許可するまたはパケットを拒絶してパケットをドロップするいずれかのソースアドレスによるアクションを表す指示を実行する。相互に関連するアドレスを生成するためには、フィルタはまずソースアドレスとアドレスマスクとの間でビットワイズＡＮＤ演算を行う。次に、フィルタは、参照アドレスとアドレスマスクとの間でビットワイズＡＮＤ演算を行う。２つの結果が比較される。結果が等しい場合、相互に関連するアドレスが得られる。結果が等しくない場合、ソースアドレスは特定範囲外となる。

さらに、本発明によると、高性能のルータを追加することなくネットワークトラフィック管理を代替し、ネットワークの性能に対する影響が最小の、全てのＩＰベースのネットワーク上で実行されることができるシステムが提供される。システムは、データパケットと関連するアドレス範囲を特定する手段を含む。システム管理者は、フィルタが許可または拒絶するソースアドレス範囲を決定する。システムはまた、特定されたアドレス範囲に対応する少なくとも１つのフィルタを生成する手段を用いる。１つ以上のフィルタは、参照アドレス、アドレスマスク、および、相互に関連するアドレスに対してとられる所望のアクションを表す指示を含む。システムは、入力パケットを受信する手段、および、入力パケットのソースアドレスと参照アドレスとを比較して相互に関連するアドレスを決定する手段を含む。システム内には、入力パケットのソースアドレスに従って所望のアクションを表す指示を実行する手段が設けられる。

本発明の更なる目的、利点、および、新規の特徴は、以下の説明に記載されており、かつ、当業者には以下の説明および本発明の実施から明らかとなるであろう。本発明の目的および利点は、添付の特許請求の範囲によって包含される様々な構造および方法によって実現され達成されるであろう。

本発明によると、小さい群のユーザに対して装置への可視性を制限する能力を管理者に与えることができる方法およびシステムが提供される。

本明細書に組み込まれ、本明細書の一部を構成する添付の図面は、本発明の幾つかの態様を例示し、以下の記載とともに本発明の原理を説明する。

本発明は、分散型コンピュータシステム上での装置パラメータへのアクセスを限定する管理者のためのシステムおよび方法を提供する。より詳細には、本発明は、コンピュータ通信プロトコル内で実行されるパケットフィルタを使用する方法に関わる。本明細書に記載するように、シンプルネットワーク管理プロトコル（ＳＮＭＰ）が好適な実施形態で使用されるが、前述のおよび以下に説明する本発明の使用がＳＮＭＰに制限される必要がないことは当業者には理解されるであろう。ＩＰ、ＴＣＰ、ＨＴＴＰ、ＦＴＰ等を含むがこれらに制限されない他のプロトコルも本発明によって検討され、パケットフィルタは通信プロトコルに相応して関連する全てのエージェントに組み込まれ得る。

ＩＰアドレスフィルタはＳＮＭＰエージェント内に常駐し、入力するＳＮＭＰパケットのフィルタ処理を課せられる。フィルタは、参照ＩＰアドレス、アドレスマスク、および、適合するアドレスに対してとられるべき「許可」または「拒絶」のアクションを含む。アドレスマスクは、管理者によって設定され、許可されるアドレスの範囲を決定する。マスクは、入力パケットのソースアドレスによって適合されなくてはならない参照アドレスにおけるビットを特定する３２ビットのビットマップを有する。参照アドレスは、管理者によって入力され、それによりフィルタはアドレスを比較して入力パケットのソースアドレスが参照アドレスと「適合」するか否かを判断することが可能となる。管理者は、次に、適合したアドレスが確認されると、フィルタによって取られるべき適当なアクション計画を決定する。

図１を参照するに、本発明において実行されるフィルタの構成要素として検討される適合処理のブロック図が示される。フィルタは、ステップ１０２において入力ＳＮＭＰパケットを受信する。ＳＮＭＰパケットフィルタは、固定のポート、即ち、ＳＮＭＰについてはポート１６１に決められているパケットに対して作用することは当業者には明らかであろう。更に、使用されるプロトコル、例えば、ＨＴＴＰ、ＦＴＰ、ＩＰ、ＴＣＰ等に関連するポート数は、プロトコルフィルタ処理が本発明によって検討されていないため必要ないことも当業者には理解されるであろう。

ステップ１０４において、ＩＰベースのネットワークのパケットに関連する全てのヘッダに含まれるソースアドレスがフィルタによって確認される。ソースアドレスのビットワイズ−ＡＮＤ値およびアドレスマスクが決定される。本説明では、ビットワイズ演算子は、単数よりもむしろビットのベクトルとしてオペランドを扱う。ブールビットワイズ演算子は、ブール関数（ＮＯＴ、ＡＮＤ、ＯＲ、ＸＯＲ）を用いて各オペランドのビットＮを組み合わせて結果のビットＮを生成する。例えば、ビットワイズＡＮＤ演算子（Ｃプログラミング言語において「＆」）は、１３＆９を（２進）１１０１＆１００１＝１００１＝９として評価する一方で、論理ＡＮＤ（Ｃ言語では「＆＆」として指定される）は１３＆＆９をＴＲＵＥ＆＆ＴＲＵＥ＝ＴＲＵＥ＝１として評価する。幾つかの言語では、例えば、Ａｃｏｒｎ社のＢＡＳＩＣ Ｖでは、同じ演算子がビットワイズおよび論理演算の両方に使用される。これは、通常、０（偽）でも−１（真）でもない値ｘに対してＮＯＴを適用する以外では可能であり、この場合、ｘおよび（ＮＯＴｘ）の両方共ゼロ以外であり、従って、ＴＲＵＥとして扱われる。通常「ビットワイズ」として説明されないビットレベルでの他の演算はシフトおよび回転を含む。

ステップ２０４においてソースアドレスのビットワイズ−ＡＮＤ値およびアドレスマスクを確認した後、フィルタはステップ１０６に進む。ステップ１０６において、参照ＩＰアドレスのビットワイズ−ＡＮＤ値およびアドレスマスクが決定される。ステップ１０４および１０６それぞれから２つのビットワイズ−ＡＮＤ値が得られ、それらがステップ１０８において比較される。それぞれの結果が等しい場合、つまり、ソースアドレスビットワイズ−ＡＮＤ値が参照アドレスビットワイズ−ＡＮＤ値と等しい場合、ソースアドレスおよび参照アドレスはステップ１１２に示すように適合する。ソースアドレスのビットワイズ−ＡＮＤ値と参照アドレスのビットワイズ−ＡＮＤ値が等しくない場合、ビットワイズ−ＡＮＤソースアドレスおよびビットワイズ−ＡＮＤアドレスはステップ１１０に示すように適合しない。

図２を参照するに、本明細書で検討するフィルタを動作する方法が示される。本実施形態の発明は、多数のフィルタを有し、入力パケットは第１のフィルタを通るがその後のフィルタを通らない。例示目的のために、追加的なフィルタのバンク１２８は、単一のフィルタ、フィルタ＃１に関わる実施形態の最初の説明に続いて詳細に述べる。図２に示すように、方法は、ステップ２０２において入力パケットを受信することから開始される。パケットはステップ２０４においてフィルタ＃１によって受信され、パケットのソースアドレスがフィルタ＃１の参照アドレスと適合するか否かの判断が行われる。図１を参照して説明する処理がフィルタ＃１において行われ、２つの可能な判断が出力される。入力パケットのソースアドレスがフィルタ＃１の参照アドレスに適合するといった第１の判断であると、システムはステップ２１０に進み、対応するアクション＃１が実施される。図示するように、適合されるアドレスに対応するアクション＃１が入力パケットの進行を拒絶（ブロック）する場合、パケットがステップ２１８において拒絶されドロップされる。このような場合、システムは送られたアドレスに対して応答せず、単にパケットをドロップし次のパケットの受信を待つ。ステップ２０４における適合するアドレスに対応するアクション＃１がパケットの進行を許可する場合、パケットはステップ２２６で処理される。

ステップ２０４において、入力パケットのソースアドレスがフィルタ＃１の参照アドレスに適合しないと判断されたとき、即ち、ソースアドレスが特定アドレスの範囲外であるとき、パケットはステップ２１６におけるアクション＃ｘに進む。フィルタ＃１において特定されるアクションが適合されたソースアドレスを有するパケットに対して実施される一方で、フィルタ＃１は未適合のソースアドレスを有するパケットに対して逆のアクションが実施されることを示す。つまり、フィルタ＃１がステップ２１０において、適合されたソースアドレスパケットを許可するようアクション＃１を設定する場合、ステップ２１６において未適合のソースアドレスパケットを拒絶するようアクション＃ｘをフィルタ＃１が設定することは理解できるであろう。従って、アクション＃ｘは、アクション＃１において行われる逆のアクションに対応する。例えばアクション＃１がステップ２１０において適合されたソースアドレスパケットを拒絶する場合、アクション＃ｘは未適合のソースアドレスパケットをステップ２２６に進めることを可能にする。従って、アクション＃１がステップ２１０において適合されたソースアドレスパケットを受けるよう設定されている場合、アクション＃ｘはステップ２２４において拒絶し無視するよう設定される。

更なる説明は、以下の例で実現される。管理者はＩＰアドレス範囲１５９．１１９．４４．０から１５９．１１９．４５．２５５のトラフィック以外の装置への全てのトラフィックを全てブロックすることを望む。管理者は、「アクション＝許可、アドレス＝１５９．１１９．４５．１６８、マスク＝２５５．２５５．２５４．０」のパラメータを有するフィルタを最初に特定する。「アドレス」パラメータは特定範囲内の全てのＩＰアドレスである。「２５５．２５５．２５４．０」のマスクは、入力パケットのソースアドレスにおける２つの最上位オクテットが参照アドレスの同じ２つのオクテットに適合しなくてはならない、即ち、ソースアドレスは１５９．１１９から開始されなくてはならないことを意味する。第３のオクテットの最下位ビット（「４５」）および第４のオクテット全体（「１６８」）は２つのアドレスを比較している間は確認されない。事実上は、ソースアドレスの２つの最上位オクテットは「１５９．１１９」でなくてはならず、最下位オクテット（第４のオクテット）は０から２５５のどの数でもよい。第３のオクテットは、最下位ビットが１または０でもよいため４４または４５でもよい。

上述の例におけるマスクが「２５５．２５５．２５２．０」である場合、第３のオクテットの２つの最下位ビットは確認されない。従って、アドレス範囲は１５９．１１９．４４．０から１５９．１１９．４７．２５５となる。最下位ビットを決定するために、オクテット（８ビットに対するネットワーク項）が最初に２値に変換され、適当なビットに対応する数が決定される。従って、上述した第２の範囲では、２５５−２５２＝３または００１１となる。これら２つの最下位数を用いて、フィルタは、組み込まれるアドレス、例えば、１５９．１１９．４４．０から１５９．１１９．４７．２５５の範囲を確認することができる。従って、フィルタが１５９．１１９．４６．１３０のソースアドレスを有する入力パケットを受信すると、フィルタは適合するアドレスに従うアクション（許可）を行う。しかしながら、入力パケットのソースアドレスが１５９．１１９．６０．３２の場合、フィルタは入力パケットをドロップし、アドレス１５９．１１９．６０．３２が１５９．１１９．４４．０から１５９．１１９．４７．２５５の範囲内にないため応答を供給しない。

コンピュータネットワーク上の入力トラフィックのより改良された制御に関して、本発明は、入力パケットおよびネットワークに常駐する装置への可視性を制御するために協働する多数のフィルタの使用を検討する。本実施形態では、入力パケットのソースアドレスは第１のフィルタで試験される。適合がある場合、パケットは単一のフィルタに関して上述したように処理される。入力パケットのソースアドレスが範囲外、即ち、第１のフィルタに常駐する参照ＩＰアドレスに適合しない場合、第２のフィルタがパケットを受信する。第２のフィルタ内に含まれる参照ＩＰアドレスとの適合を判断する際、そこに記憶される対応するアクションが実施される。入力パケットのソースアドレスが第２のフィルタの参照ＩＰアドレスと適合しない場合、パケットはフィルタのバンク２２８中の次のフィルタに進み、以下同様である。

図２に戻ると、フィルタ＃２から始まりフィルタ＃ｎで終わる幾つかのフィルタを有する追加的なフィルタのバンク２２８が例示される。フィルタの数は管理者の望む数によってだけ制限されることが当業者に理解されるであろう。ステップ２０４におけるフィルタ＃１との適合が負の判断であると、パケットはステップ２０６におけるフィルタ＃２に進む。ここでは、フィルタ＃２は記憶する参照ＩＰアドレスと入力パケットのソースアドレスが適合するか否かを判断する。適合は、上述の手順に従って判断され、ビットワイズ−ＡＮＤ計算および演算が行われる。ステップ２０６においてフィルタ＃２によって実施される演算の結果が適合されたアドレスの場合、システムはステップ２１２に進み、適合されたアドレスに対応するアクションが実施される。ステップ２１２において実施されるアクションが適合されたソースアドレスパケットを許可するようフィルタ＃２によって設定される場合、パケットは処理のためにステップ２２６に進められる。ステップ２１２において実施されるべきアクションが適合されたソースアドレスを有する入力パケットをブロックまたは拒絶するようフィルタ＃２によって設定されるとき、パケットはステップ２２０においてシステムから拒絶されドロップされる。ドロップされたパケットの発信者に対して応答は送られず、そのようなどの応答も要求されないことは当業者には理解されるであろう。

ステップ２０６において入力パケットのソースアドレスがフィルタ＃２において記憶される参照ＩＰアドレスに適合しないと判断されると、入力パケットは次のフィルタ、フィルタ＃３（図示せず）から最後のフィルタ、フィルタ＃ｎまで送られる。前述したように、フィルタの数が図示するように３つのフィルタに制限される必要はなく、システム管理者によって決められる任意の数のフィルタが本発明に組み込まれる。図２に示すように、入力パケットは分析のためにステップ２０８においてフィルタ＃ｎによって受信される。フィルタ＃ｎは、フィルタ＃ｎの参照ＩＰアドレスに適合するアドレスがみつけられ得るか否かを判断するために入力パケットのソースアドレスを処理する。ステップ２０８において適合があった場合、フィルタ＃ｎは、適合するアドレスに対応するよう設定されたアクション＃ｎ２１４を実施する。アクション＃ｎが適合されたソースアドレスを有する入力パケットを拒絶またはドロップする場合、パケットはステップ２２２に送られ、入力パケットはドロップされる。しかしながら、適合されたソースアドレスを有する入力パケットがステップ２１４に従って許可される場合、入力パケットはステップ２２６における処理に送られる。

ステップ２０８においてフィルタ＃ｎがそこに記憶される参照ＩＰアドレスに入力パケットのソースアドレスが適合しないと判断されるとき、システムはステップ２１６に進む。ステップ２１６において、最後のフィルタのアクション、即ち、アクション＃ｎの逆のアクションであるアクション＃ｘが実施される。従って、アクション＃ｎがパケットを許可した場合、アクション＃ｘは拒絶し、またその逆もある。ステップ２１６は、２つの可能性を提供し、１つ目は未適合のソースアドレスを有するパケットをステップ２２６における処理に進むことを許可し、２つ目はステップ２２４においてパケットを拒絶およびドロップする。フィルタ処理は、一旦適合が見つかると停止される。このような場合、前述したように、ソースアドレスは１つ１つのフィルタの範囲外にあり、最後のフィルタの逆のアクションがパケットに対して行われ、それにより、２１６においてアクション＃ｘが使用される。フィルタの順番は最初から最後まで順次に実行されるため重要であることは、当業者には理解されるであろう。従って、あるアドレスは１つのフィルタで許可されても別のフィルタで拒絶される場合がある。システム管理者は、各フィルタに対する優先順位を決定し、それに応じて割り当てなくてはならない。

図３を参照するに、本発明が実行される典型的なコンピュータネットワークが示される。システムは、管理サーバコンピュータ３０２と、多数のユーザ群３０６、３０８、および３１０と、多機能周辺機器３０４とを有する。これらハードウェアコンポーネントはイントラネット３１６を介して互いと相互に作用する。前述したとおり、イントラネットは、ファイアウォール３１２により、インターネット３１４を介して入ろうとするパケットに対して僅かに高いレベルのセキュリティを有する。従って、本発明のフィルタ処理の態様は、イントラネット３１６内で実行される。管理者である管理サーバコンピュータ３０２は、ユーザ群Ａ３０６、ユーザ群Ｂ３０８、および、ユーザ群Ｃ３１０の各ユーザコンピュータに対してＩＰまたはソースアドレスを、また、多機能周辺機器３０４に対してＩＰアドレスを割り当てる。本発明は、管理サーバコンピュータ３０２が多機能周辺機器３０４のコンフィギュレーションをユーザ群３０６、３０８、および、３１０が見るまたは変更することを選択的に許可または禁止することを可能にする。

例えば、管理サーバコンピュータはユーザ群Ａ３０６に対して１組のＩＰアドレス１５９．１１９．４５．１６８から１５９．１１９．４５．１７１を、ユーザ群Ｂ３０８に対して別の組のＩＰアドレス１５９．１１９．４５．１７２から１５９．１１９．４５．１７５を、ユーザ群Ｃ３１０に対して第３の組のＩＰアドレス１５９．１１９．４５．１７６から１５９．１１９．４５．１８０を割り当てる。ＩＰアドレスの組は、群間で重なりが生じないよう選択される。選択されるアドレスは例示目的に過ぎず図３に示す装置の数に関してこれらのアドレスに本発明が制限されないことは当業者には理解されるであろう。各装置に対してアドレスを割り当てた後、管理サーバコンピュータ３０２はどの許容可能な範囲のアドレスが多機能周辺機器３０４のコンフィギュレーションにアクセスできるかを決定する。管理サーバコンピュータ３０２は、群Ａ３０６におけるアドレスから生じるパケットのアクセスを許可するが、郡Ｂ３０８および群Ｃ３１０から生ずるパケットをドロップするよう、１つ以上のフィルタを設定する。あるいは、管理サーバコンピュータは、群Ａ３０６および群Ｃ３１０において生ずるアドレスからのパケットをドロップするが、群Ｂ３０８におけるアドレスから生ずるパケットを多機能周辺機器３０４によって処理できるよう、フィルタを有効にしてもよい。同様にして、管理サーバコンピュータ３０２は許可可能なアドレスを群Ａ３０６、群Ｂ３０８、群Ｃ３１０に属するアドレスにだけ限定し、インターネット３１４からファイアウォール３１２を介して多機能周辺機器３０４まで伝えられるアドレスを禁止するよう、フィルタを有効にしてもよい。

本明細書で利用されるフィルタは例えば、ウェブ管理のようなユーザインタフェースを通じて管理サーバコンピュータによって割り当て、変更、または、削除されてもよく、ウィンドウズ（登録商標）システムで共通のシステムコンフィギュレーションデータベース、またはＵｎｉｘ（登録商標）ベースのシステムで共通のパーサービスコンフィギュレーションファイルに永久的に記憶される。ＳＮＭＰサービスは、始動時にフィルタをロードする。本発明によるフィルタ処理方法は、パケットがネットワークから受信された後に始められる。以下に説明し特許請求の範囲に記載するように、アドレス適合がない場合、応答は返されず、サービスはソースアドレスでのアプリケーションに対して略不可視となる。フィルタ処理方法は、論理演算だけが関わっているためサービスの機能を妨げない。多数のフィルタが存在する場合、相当効率的ではあるが、少なくともフィルタの数だけ決定、許可または拒絶が任意の所与のパケットに対して行われるようフィルタを配置することが望ましいことは当業者には理解されるであろう。

本発明の好適な実施形態の前述の説明は例示および説明目的である。本発明は、網羅的となるよう、また、開示される明確な形態に本発明を制限するよう意図されていない。明白な変形または変更は、上記教示により可能となる。実施形態は、本発明の原理の最適な例示を提供するために選択され説明されており、当業者はその実質的な適用法を、検討される特定の使用法に適するように、本発明を様々な実施形態および様々な変形において利用することができる。全てのこのような変形および変更は、公平、合法的、かつ、公正に権利が与えられる幅に従って解釈すると添付の特許請求の範囲によって定められる、本発明の範囲内にある。

本発明による方法の構成要素のブロック図である。 本発明によるアドレスフィルタ処理方法のフローチャートを示す図である。 ネットワークコンピュータシステムを表すブロック図である。

符号の説明

１６１…ポート、１２８…バンク、２２８…バンク、３０２…管理サーバコンピュータ、３０４…プリンタ、３０６…ユーザ群Ａ、３０８…ユーザ群Ｂ、３１０…ユーザ群Ｃ、３１２…ファイアウォール、３１４…インターネット、３１６…イントラネット

Claims (24)

1. 分散型コンピュータシステム上で装置パラメータへのアクセスを管理者が制限する方法であって、
   データパケットに関連するアドレス範囲を特定する工程と、
   参照アドレス、アドレスマスク、および、相互に関連するアドレスに対してとられるべき所望のアクションを表す指示を含む、前記特定されたアドレス範囲に対応する少なくとも１つのフィルタを生成する工程と、
   入力パケットを受信する工程と、
   前記相互に関連するアドレスを決定するために前記参照アドレスに対して前記入力パケットのソースアドレスを比較する工程と、
   前記入力パケットの前記ソースアドレスに従って前記所望のアクションを表す前記指示を実行する工程と、
   を備える方法。
2. 前記比較工程は、
   前記ソースアドレスと前記アドレスマスクとの間でビットワイズＡＮＤ演算を実施する工程と、
   前記参照アドレスと前記アドレスマスクとの間でビットワイズＡＮＤ演算を実施する工程、および、
   前記ビットワイズＡＮＤ演算の結果を比較する工程をさらに備え、
   前記比較結果が等しい場合、前記相互に関連するアドレスを生じ、
   前記比較結果が等しくない場合、前記特定範囲外のアドレスを生ずる、請求項１に記載の方法。
3. 前記所望のアクションは、前記入力パケットをブロックする指示を含む、請求項１に記載の方法。
4. 前記特定されたアドレス範囲内のソースアドレスを有する前記入力パケットをドロップする工程をさらに備える、請求項３に記載の方法。
5. 前記特定されたアドレス範囲外のソースアドレスを有する前記入力パケットを許可する工程をさらに備える、請求項３に記載の方法。
6. 前記特定されたアドレス範囲外の前記ソースアドレスを有する前記入力パケットを処理する工程をさらに備える、請求項５に記載の方法。
7. 前記所望のアクションは、前記入力パケットを許可する指示を含む、請求項１に記載の方法。
8. 前記入力パケットを処理する工程をさらに備える、請求項７に記載の方法。
9. 前記特定されたアドレス範囲外のソースアドレスを有する前記入力パケットをブロックする工程をさらに備える、請求項７に記載の方法。
10. 前記特定されたアドレス範囲外の前記ソースアドレスを有する前記入力パケットをドロップする工程をさらに備える、請求項９に記載の方法。
11. 前記フィルタはＳＮＭＰエージェント内に組み込まれる、請求項１に記載の方法。
12. 前記ソースアドレスおよび前記参照アドレスはインターネットプロトコルアドレスである、請求項１に記載の方法。
13. 分散型コンピュータシステム上で装置パラメータへのアクセスを管理者が制限するシステムであって、
    データパケットと関連するアドレス範囲を特定する手段と、
    参照アドレス、アドレスマスク、および相互に関連するアドレスに対してとられる所望のアクションを表す指示を含み、前記特定されたアドレス範囲に対応する少なくとも１つのフィルタを生成する手段と、
    入力パケットを受信する手段と、
    前記相互に関連するアドレスを決定するために前記参照アドレスに対して前記入力パケットのソースアドレスを比較する手段と、
    前記入力パケットの前記ソースアドレスに従って前記所望のアクションを表す前記指示を実行する手段と、
    を備えるシステム。
14. 前記比較工程は、
    前記ソースアドレスと前記アドレスマスクとの間のビットワイズＡＮＤ演算を実施する手段と、
    前記参照アドレスと前記アドレスマスクとの間のビットワイズＡＮＤ演算を実施する手段、および、
    前記ビットワイズＡＮＤ演算の結果を比較する手段をさらに備え、
    前記比較結果が等しい場合、前記相互に関連するアドレスを生じ、
    前記比較結果が等しくない場合、前記特定範囲外のアドレスを生ずる、請求項１３に記載のシステム。
15. 前記所望のアクションは、前記入力パケットをブロックする指示を含む、請求項１３に記載のシステム。
16. 前記特定されたアドレス範囲内のソースアドレスを有する前記入力パケットをドロップする手段をさらに備える、請求項１５に記載のシステム。
17. 前記特定されたアドレス範囲外のソースアドレスを有する前記入力パケットを許可する手段をさらに備える、請求項１５に記載のシステム。
18. 前記特定されたアドレス範囲外の前記ソースアドレスを有する前記入力パケットを処理する手段をさらに備える、請求項１７に記載のシステム。
19. 前記所望のアクションは、前記入力パケットを許可する指示を含む、請求項１３に記載のシステム。
20. 前記入力パケットを処理する手段をさらに備える、請求項１９に記載のシステム。
21. 前記特定されたアドレス範囲外のソースアドレスを有する前記入力パケットをブロックする手段をさらに備える、請求項１９に記載のシステム。
22. 前記特定されたアドレス範囲外の前記ソースアドレスを有する前記入力パケットをドロップする手段をさらに備える、請求項２１に記載のシステム。
23. 前記フィルタはＳＮＭＰエージェント内に組み込まれる、請求項１３に記載のシステム。
24. 前記ソースアドレスおよび前記参照アドレスはインターネットプロトコルアドレスである、請求項１３に記載のシステム。

Images