JP2005136629A - ネットワークシステム - Google Patents
ネットワークシステム Download PDFInfo
- Publication number
- JP2005136629A JP2005136629A JP2003369371A JP2003369371A JP2005136629A JP 2005136629 A JP2005136629 A JP 2005136629A JP 2003369371 A JP2003369371 A JP 2003369371A JP 2003369371 A JP2003369371 A JP 2003369371A JP 2005136629 A JP2005136629 A JP 2005136629A
- Authority
- JP
- Japan
- Prior art keywords
- packet
- information processing
- processing apparatus
- network
- switching
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
【課題】 ネットワーク全体のセキュリティーを向上させる。
【解決手段】 パケットによる通信機能を有する情報処理装置、および、該情報処理装置とネットワークとの間に設けられ、前記情報処理装置から送信されるパケットを制御するパケット制御装置を包含するネットワークシステムであって、さらに、前記情報処理装置に受信されることを目的として所定パケットを送信するフィルタリング条件配布手段、および、前記情報処理装置から前記パケット制御装置を介してアクセスされる所定サーバを包含し、前記パケット制御装置は、前記情報処理装置とネットワークとの間のパケット伝送路を切り換えるスイッチ手段、前記スイッチ手段に前記切換命令を入力する制限切換手段、前記フィルタリング条件配布手段から送信される所定パケットを取り込む取込手段、所定フィルタリング条件を設定する設定手段を備える。
【選択図】図１
【解決手段】 パケットによる通信機能を有する情報処理装置、および、該情報処理装置とネットワークとの間に設けられ、前記情報処理装置から送信されるパケットを制御するパケット制御装置を包含するネットワークシステムであって、さらに、前記情報処理装置に受信されることを目的として所定パケットを送信するフィルタリング条件配布手段、および、前記情報処理装置から前記パケット制御装置を介してアクセスされる所定サーバを包含し、前記パケット制御装置は、前記情報処理装置とネットワークとの間のパケット伝送路を切り換えるスイッチ手段、前記スイッチ手段に前記切換命令を入力する制限切換手段、前記フィルタリング条件配布手段から送信される所定パケットを取り込む取込手段、所定フィルタリング条件を設定する設定手段を備える。
【選択図】図１
Description
本発明は、パケットによる通信機能を有する情報処理装置から送信されるパケットを制御するための技術に関する。
現在、ＩＰ端末（ＩＰパケットによる通信機能を有する情報処理装置。たとえば、一般的なパーソナルコンピュータやワークステーション。）は、ケーブルを外部接続機器（たとえばハブ、トランシーバ、スイッチングハブ、ルータ）に接続、または、無線ＬＡＮアダプタ／カードを経由し、無線ＬＡＮアクセスポイントと接続するだけでネットワークに接続可能となっている。ネットワークには、セキュリティホールを利用したウィルスが蔓延している。このため、常に感染への予防策を立てる必要がある。
しかしながら、現在のウィルス感染原因の大半は人的ミス（パッチ適用忘れ、旧版ウィルス定義ファイルによる運用）によるものであり、今後もその数を減少させることは難しい。また、現在の社内ネットワークはＤＨＣＰサーバ（ＩＰアドレスの配布）や認証サーバ（クライアント認証）によるＩＰ端末情報の集中管理を行っているが、ＩＰ端末に独自で（管理対象外の）ＩＰアドレスを設定したり、認証を必要としないアプリケーションサーバへ無条件にアクセスできる。このため、ネットワークのセキュリティーが非常に弱くなっている。
また、ルータ／ハブや無線ＬＡＮアクセスポイントにおいて、ポートでの通信を制御するために、認証サーバ（ＲＡＤＩＵＳサーバ）と連携し、ユーザ認証後でなければ通信出来ないようにするIEEE802.1xがある。
しかしながら、特に有線ＬＡＮに対して、既存のネットワークで使用しているルータ／ハブをＲＡＤＩＵＳ対応に交換しなければならず、ネットワーク（特に社内の有線ＬＡＮのみを利用する中小規模の事業者や、個人にPCを配布し、自宅と教室で共通して利用する教育機関でのネットワーク）の再構築費用がかかる。また、ＩＰ払い出し、ユーザ認証、ウイルスチェックソフトのバージョン（定義ファイルバージョン）等の複数条件によってルータ／ハブのポート単位での制限が行えない。
（例えば特許文献１等参照）。
特開平０９−１７２４５０号公報
特開２００１−７７８１１号公報
特願２００２−３４６９４９
ＲＡＤＩＵＳ（ＲＦＣ２１３８，２１３９）ＩＥＥＥ８０２．１Ｘ：相互接続実験報告書(musenlan2002.pdf)Symantec AntiVirus:(sav＿ce.pdf)
（例えば特許文献１等参照）。
本発明の課題は、ＩＰ端末と外部接続機器の間に通信で必要なＩＰアドレスとポート番号を制限するＩＰ制限機構を設け、且つ、ＩＰ制限機構を集中管理（ＩＰ制限機構管理機能）し、他の管理サーバ（ＤＨＣＰ・ウイルスチェック・認証・ＩＤＳ等）と連携し、ネットワーク全体のセキュリティーを向上させることにある。
本発明は、上記課題を解決するためになされたものであり、パケットによる通信機能を有する情報処理装置、および、該情報処理装置とネットワークとの間に設けられ、前記情
報処理装置から送信されるパケットを制御するパケット制御装置を包含するネットワークシステムであって、さらに、前記情報処理装置に受信されることを目的として所定パケットを送信するフィルタリング条件配布手段、および、前記情報処理装置から前記パケット制御装置を介してアクセスされる所定サーバを包含し、前記パケット制御装置は、前記情報処理装置が接続され該情報処理装置から送信されるパケットが入力される第１パケット入力部と、前記情報処理装置がパケットフィルタリング手段を介して接続され該情報処理装置から送信されるパケットが入力される第２パケット入力部と、前記ネットワークが接続されるパケット出力部とを有し、入力される切換命令に従って前記第１又は第２パケット入力部のいずれかと前記パケット出力部とを接続させることにより、前記情報処理装置とネットワークとの間のパケット伝送路を切り換えるスイッチ手段、前記スイッチ手段に前記切換命令を入力する制限切換手段、前記フィルタリング条件配布手段から所定プロトコルで送信される所定パケットを取り込む取込手段、前記取込手段が取り込んだ所定パケットが所定フィルタリング条件を指定する指定データを含む場合、その指定データにより指定される所定フィルタリング条件を設定する設定手段、を備え、前記制限切換手段は、前記取込手段が取り込んだ所定パケットが所定フィルタリング条件を指定する指定データを含む場合、前記スイッチ手段に切換命令を入力し、前記スイッチ手段は、前記制限切換手段から切換命令が入力されると、前記第２パケット入力部とパケット出力部とを接続させることにより、前記情報処理装置とネットワークとの間のパケット伝送路を、前記フィルタリング手段を経由するパケット伝送路に切り換え、前記パケットフィルタリング手段は、前記情報処理装置から送信されるパケットのうち前記設定されたフィルタリング条件に従って取捨選択したパケットのみを通過させる、ネットワークシステム。
報処理装置から送信されるパケットを制御するパケット制御装置を包含するネットワークシステムであって、さらに、前記情報処理装置に受信されることを目的として所定パケットを送信するフィルタリング条件配布手段、および、前記情報処理装置から前記パケット制御装置を介してアクセスされる所定サーバを包含し、前記パケット制御装置は、前記情報処理装置が接続され該情報処理装置から送信されるパケットが入力される第１パケット入力部と、前記情報処理装置がパケットフィルタリング手段を介して接続され該情報処理装置から送信されるパケットが入力される第２パケット入力部と、前記ネットワークが接続されるパケット出力部とを有し、入力される切換命令に従って前記第１又は第２パケット入力部のいずれかと前記パケット出力部とを接続させることにより、前記情報処理装置とネットワークとの間のパケット伝送路を切り換えるスイッチ手段、前記スイッチ手段に前記切換命令を入力する制限切換手段、前記フィルタリング条件配布手段から所定プロトコルで送信される所定パケットを取り込む取込手段、前記取込手段が取り込んだ所定パケットが所定フィルタリング条件を指定する指定データを含む場合、その指定データにより指定される所定フィルタリング条件を設定する設定手段、を備え、前記制限切換手段は、前記取込手段が取り込んだ所定パケットが所定フィルタリング条件を指定する指定データを含む場合、前記スイッチ手段に切換命令を入力し、前記スイッチ手段は、前記制限切換手段から切換命令が入力されると、前記第２パケット入力部とパケット出力部とを接続させることにより、前記情報処理装置とネットワークとの間のパケット伝送路を、前記フィルタリング手段を経由するパケット伝送路に切り換え、前記パケットフィルタリング手段は、前記情報処理装置から送信されるパケットのうち前記設定されたフィルタリング条件に従って取捨選択したパケットのみを通過させる、ネットワークシステム。
本発明によれば、スイッチ手段はこれに入力される切換命令に従って前記第１又は第２パケット入力部のいずれかと前記パケット出力部とを接続させることにより、前記情報処理装置とネットワークとの間のパケット伝送路を切り換える。たとえば、他の管理サーバ（ＤＨＣＰ・ウイルスチェック・認証・ＩＤＳ等）と連携するフィルタリング条件配布手段から特定の情報を含むパケットが取り込まれた場合に、フィルタリング手段を経由する伝送路とフィルタリング手段を経由しない伝送路のいずれかにパケット伝送路を切り換える。従って、情報処理装置から送信されるパケットを制御することが可能となり、ネットワーク全体のセキュリティーを向上させることが可能となる。
上記ネットワークシステムにおいては、例えば、前記フィルタリング条件は、前記所定サーバにアクセスするパケットのみを通過させるための条件を含む。これは、フィルタリング条件の一例を示したものである。例えば、宛先ＩＰアドレスやポート番号をフィルタリング条件とすることが可能である。
上記ネットワークシステムにおいては、例えば、前記所定サーバは、ＤＨＣＰサーバ、又は、ウイルスチェックサーバのいずれかである。これは、所定サーバの一例を示したものである。従って、本発明の所定サーバは他のサーバであってもよい。
上記ネットワークシステムにおいては、例えば、前記所定サーバは、自己にアクセスした情報処理装置に対して所定データを含むパケットを送信するとともに、その情報処理装置を前記フィルタリング条件配布手段に通知し、前記フィルタリング条件配布手段は、前記所定サーバから前記通知を受けた場合、前記情報処理装置に受信されることを目的として所定プロトコルで所定パケットを送信し、前記制限切換手段は、前記取り込み手段が取り込んだ所定パケットが特定のデータを含む場合、前記スイッチ手段に切換命令を入力し、前記スイッチ手段は、前記制限切換手段から切換命令が入力されると、前記第１パケット入力部とパケット出力部とを接続させることにより、前記情報処理装置とネットワークとの間のパケット伝送路を、前記フィルタリング手段を経由しないパケット伝送路に切り換える。これは、所定サーバとフィルタリング条件配布手段との連携動作を例示したもの
である。
である。
上記ネットワークシステムにおいては、例えば、前記所定プロトコルはＩＣＭＰプロトコルである。このようにすれば、パケット制御装置は、フィルタリング条件配布手段から送信されるパケットを取り込むことが可能であり、そのためにパケット制御装置にＩＰ通信プログラムを持つ必要がない。
上記ネットワークシステムにおいては、例えば、前記スイッチ手段は、接点式のスイッチである。
本発明は装置の発明として次のように特定できる。パケットによる通信機能を有する情報処理装置とネットワークとの間に設けられ、前記情報処理装置から送信されるパケットを制御する装置であって、前記情報処理装置および前記ネットワークが接続され、入力される切換命令に従って、前記情報処理装置とネットワークとの間のパケット伝送路を切り換えるスイッチ手段と、前記スイッチ手段に前記切換命令を入力する制限切換手段と、
を備えるパケット制御装置。
を備えるパケット制御装置。
上記パケット制御装置においては、例えば、前記スイッチ手段は、前記情報処理装置が接続され該情報処理装置から送信されるパケットが入力される第１パケット入力部と、前記情報処理装置が接続され該情報処理装置から送信されるパケットが入力される第２パケット入力部と、前記ネットワークが接続されるパケット出力部とを有し、入力される切換命令に従って前記第１又は第２パケット入力部のいずれかと前記パケット出力部とを接続させることにより、前記情報処理装置とネットワークとの間のパケット伝送路を切り換える。
また、上記パケット制御装置においては、例えば、前記スイッチ手段は、前記情報処理装置が接続され該情報処理装置から送信されるパケットが入力される第１パケット入力部と、前記情報処理装置がパケットフィルタリング手段を介して接続され該情報処理装置から送信されるパケットが入力される第２パケット入力部と、前記ネットワークが接続されるパケット出力部とを有し、入力される切換命令に従って前記第１又は第２パケット入力部のいずれかと前記パケット出力部とを接続させることにより、前記情報処理装置とネットワークとの間のパケット伝送路を切り換える。
また、上記パケット制御装置においては、例えば、前記パケットフィルタリング手段は、前記情報処理装置から送信されるパケットのうち予め設定されたフィルタリング条件に従って取捨選択したパケットのみを通過させる。
また、上記パケット制御装置においては、例えば、前記フィルタリング条件を設定する設定手段をさらに備える。
また、上記パケット制御装置においては、例えば、前記ネットワーク側から前記情報処理装置に受信されることを目的として所定プロトコルで送信されるパケットを取り込む取込手段をさらに備え、前記設定手段は、前記取込手段が取り込んだパケットが所定フィルタリング条件を指定する指定データを含む場合、その指定データにより指定される所定フィルタリング条件を設定する。
また、上記パケット制御装置においては、例えば、前記制限切換手段は、前記取込手段が取り込んだパケットが所定フィルタリング条件を指定する指定データを含む場合、前記スイッチ手段に切換命令を入力し、前記スイッチ手段は、前記制限切換手段から切換命令が入力されると、前記第２パケット入力部とパケット出力部とを接続させることにより、
前記情報処理装置とネットワークとの間のパケット伝送路を、前記フィルタリング手段を経由するパケット伝送路に切り換える。
前記情報処理装置とネットワークとの間のパケット伝送路を、前記フィルタリング手段を経由するパケット伝送路に切り換える。
また、上記パケット制御装置においては、例えば、前記フィルタリング条件は、所定サーバにアクセスするパケットのみを通過させるための条件を含む。
また、上記パケット制御装置においては、例えば、前記所定サーバは、ＤＨＣＰサーバ、又は、ウイルスチェックサーバのいずれかである。
また、上記パケット制御装置においては、例えば、前記制限切換手段は、前記取込手段が取り込んだパケットが特定のデータを含む場合、前記スイッチ手段に切換命令を入力し、前記スイッチ手段は、前記制限切換手段から切換命令が入力されると、前記第１パケット入力部とパケット出力部とを接続させることにより、前記情報処理装置とネットワークとの間のパケット伝送路を、前記フィルタリング手段を経由しないパケット伝送路に切り換える。
また、上記パケット制御装置においては、例えば、前記所定プロトコルはＩＣＭＰプロトコルである。
また、上記パケット制御装置においては、例えば、前記スイッチ手段は、接点式のスイッチである。
本発明によれば、登録されていないＩＰ端末やウイルスチェック機能が古いＩＰ端末から送信されるパケットを制御することが可能であることから、悪意のあるＩＰ端末のネットワークへの接続を遮断し、ＩＰ制限機構管理装置が他のサーバ（認証サーバ・ＩＤＳ等）と連携することで、ネットワーク接続後の悪意のあるＩＰ端末の切り離しをネットワークを運用したまま、他の正しいＩＰ端末の通信に影響を与えることなく行える。
以下、本発明の一実施形態であるパケット制御装置を含むネットワークシステムの概略システム構成について図面を参照しながら説明する。
（第１実施形態）
（概略システム構成）
図１に、本実施形態のネットワークシステムの概略システム構成例を示す。このネットワークシステムは、複数の（同図では３つを例示する）ＩＰ端末１００（本発明の情報処理装置に相当）、ＩＰ制限機構２００（本発明のパケット制御装置に相当）、ＩＰ制限機構管理装置３００（本発明のフィルタリング条件配布手段に相当）、および、ＤＨＣＰサーバ４００（本発明の所定サーバに相当）を包含する。このネットワークシステムは、ＩＰ制限機構２００、ＩＰ制限機構管理装置３００、および、ＤＨＣＰサーバ４００が連携して、ＩＰ端末１００とネットワークＮとの間のパケット伝送路を状況に応じて切り換えることにより、ＩＰ端末１００からネットワークＮに送出されるパケットを制御し、これにより、セキュリティを高めようとするものである。
（第１実施形態）
（概略システム構成）
図１に、本実施形態のネットワークシステムの概略システム構成例を示す。このネットワークシステムは、複数の（同図では３つを例示する）ＩＰ端末１００（本発明の情報処理装置に相当）、ＩＰ制限機構２００（本発明のパケット制御装置に相当）、ＩＰ制限機構管理装置３００（本発明のフィルタリング条件配布手段に相当）、および、ＤＨＣＰサーバ４００（本発明の所定サーバに相当）を包含する。このネットワークシステムは、ＩＰ制限機構２００、ＩＰ制限機構管理装置３００、および、ＤＨＣＰサーバ４００が連携して、ＩＰ端末１００とネットワークＮとの間のパケット伝送路を状況に応じて切り換えることにより、ＩＰ端末１００からネットワークＮに送出されるパケットを制御し、これにより、セキュリティを高めようとするものである。
ＩＰ端末１００は、ＩＰパケットによる通信機能を有する一般的なパーソナルコンピュータ等の情報処理装置であり、ＩＰ制限機構２００（およびスイッチングハブＳＨ）を介してネットワークＮに接続されている。ＩＰ端末１００は、ＣＰＵ等の制御装置および処理装置、これにバス等を介して接続された、ディスプレイ等の画像表示装置、キーボードやマウス等の入力装置、ハードディスク装置等の記憶装置、および、ＬＡＮカード等の通信装置等を備える。ＩＰ端末１００は、その記憶装置にインストールされている各種プロ
グラムを読み込んで実行することにより、後述の各種機能、処理を実現する。
（ＩＰ制限機構２００の構成）
ＩＰ制限機構２００は、ＩＰ端末１００とネットワークＮとの間に設けられ、ＩＰ端末１００から送信されるＩＰパケットを制御するためのものであり、そのために、ＩＰ端末１００とネットワークＮとの間のパケット伝送路を、状況に応じて切り換える。ＩＰ制限機構２００の概略構成例を図２に示す。
グラムを読み込んで実行することにより、後述の各種機能、処理を実現する。
（ＩＰ制限機構２００の構成）
ＩＰ制限機構２００は、ＩＰ端末１００とネットワークＮとの間に設けられ、ＩＰ端末１００から送信されるＩＰパケットを制御するためのものであり、そのために、ＩＰ端末１００とネットワークＮとの間のパケット伝送路を、状況に応じて切り換える。ＩＰ制限機構２００の概略構成例を図２に示す。
ＩＰ制限機構２００は、スイッチ２１０、端末側分岐部２２０、ネットワーク側分岐部２３０、制限回路２４０、制限ＩＰ／ＰＯＲＴ格納メモリ２５０、制限データ検出部２６０、端末監視部２７０、制限切換部２８０、および、端末ＭＡＣ／ＩＰアドレス格納メモリ２９０等を備えている。なお、複数のＩＰ端末１００に対応可能なように、複数のＩＰ制限機構２００を、外部接続機器（たとえばスイッチングハブやルータ等）の内部に組み込んで構成してもよい（図１１参照）。このようにＩＰ制限機構２００を従来の外部接続機器に内蔵することとすれば、設置スペースを同等とした構成をとれる。また、外部接続機器とは異なる筐体の内部に組み込んで構成してもよい（図１２参照）。このようにすれば、既存設備を継続して利用できる。また、ＩＰ制限機構２００を個々の筐体に組み込んで構成してもよい（図１３参照）。このように、ＩＰ制限機構２００を外部接続機器外部に設けるようにすれば、ソフトやベンダ等が限定されることがないことから、汎用性を持たせることが可能となる。
スイッチ２１０は、第１パケット入力部２１１、第２パケット入力部２１２、および、パケット出力部２１３を有する。第１パケット入力部２１１には、ＩＰ端末１００が直接（制限回路２４０を介することなく）接続され該ＩＰ端末１００から送信されるＩＰパケットが入力される。第２パケット入力部２１２には、ＩＰ端末１００が制限回路２４０（本発明のパケットフィルタリング手段に相当）を介して接続され該ＩＰ端末１００から送信されるＩＰパケットが入力される。パケット出力部２１３には、ネットワークＮが接続される。スイッチ２１０は、これに入力される切換命令に従って第１又は第２パケット入力部２１１又は２１２のいずれかとパケット出力部２１３とを接続させる。これにより、スイッチ２１０は、ＩＰ端末１００とネットワークＮとの間のパケット伝送路を切り換える。具体的には、ＩＰ端末１００から送信されるＩＰパケットをそのまま（制限回路２０２を介することなく）ネットワークＮに送出するための第１パケット伝送路と、ＩＰ端末１００から送信されるＩＰパケットを制限回路２０２を介してネットワークＮに送出するための第２パケット伝送路と、を切り換える。なお、スイッチ２１０としては、各種スイッチを用いることが可能である。例えば、所定回路により構成されるスイッチ、または、（機械）接点式スイッチ等の物理的なスイッチを用いることが可能である。
端末側分岐部２２０は、ＩＰ端末１００から送信されるＩＰパケットを受信し、これを複数の分岐先（スイッチ２１０、制限回路２４０、および端末監視部２７０）それぞれへ転送するデータ分岐機能を有する。ネットワーク側分岐部２３０は、ネットワークＮ側から到着するＩＰパケットを受信し、これを複数の分岐先（ＩＰ端末１００、および制限データ検出部２６０等）それぞれへ転送するデータ分岐機能を有する。
制限回路２４０にはＩＰ端末１００から送信されるＩＰパケットが端末側分岐部２２０を介して入力される。制限回路２４０は、ＩＰ端末１００から送信されるＩＰパケットのうち予め設定されたフィルタリング条件（ここでは制限ＩＰ／ＰＯＲＴ格納メモリ２５０に設定されたＩＰアドレス／ＰＯＲＴ番号）に従って取捨選択し、この取捨選択したＩＰパケットのみを通過させるための回路である。この取捨選択したＩＰパケットは、第２パケット入力部２１２に入力される。
制限ＩＰ／ＰＯＲＴ格納メモリ２５０は、制限対象のＩＰアドレス/ＰＯＲＴ番号を保
存するためのメモリである。このＩＰアドレス／ＰＯＲＴ番号は、例えば、ＩＰ制限機構管理装置３００から受信する（後述）。
存するためのメモリである。このＩＰアドレス／ＰＯＲＴ番号は、例えば、ＩＰ制限機構管理装置３００から受信する（後述）。
制限データ検出部２６０は、ネットワークＮ側（たとえばＩＰ制限機構管理装置３００）からＩＰ端末１００に受信されることを目的としてＩＣＭＰプロトコル（本発明の所定プロトコルに相当）で送信されるＩＣＭＰエコーリクエスト（フィルタリング条件を指定する指定データを含むパケット）を取り込むためのものである（本発明の取込手段に相当）。また、制限データ検出部２６０は、その取り込んだパケットがフィルタリング条件を指定する指定データを含む場合、その指定データにより指定されるフィルタリング条件を、制限ＩＰ／ＰＯＲＴ格納メモリ２５０に設定（保存）する。また、制限データ検出部２６０は、制限切換部２８０へ制限データの変更を通知する。
制限切換部２８０（本発明の制限切換手段に相当）は、スイッチ２１０に対して切換命令を入力するためのものである。制限切換部２８０は、たとえば、端末監視部２７０から制限切換を依頼された場合や、制限データ検出部２６０から制限データの変更を通知された場合に、スイッチ２１０に対して切換命令（切換信号、または、切換コマンド等）を入力する。また、制限切換部２８０は、ネットワークＮ側（たとえばＩＰ制限機構管理装置３００）からＩＰ端末１００に受信されることを目的としてＩＣＭＰプロトコル（本発明の所定プロトコルに相当）で送信されるＩＣＭＰエコーリクエスト（パケット）を取り込む（この場合、本発明の取込手段に相当）。そして、制限切換部２８０は、その取り込んだパケットが制限解除データ等の特定のデータを含む場合にも、スイッチ２１０に対して切換命令を入力する。
（ＩＰ制限機構管理装置３００の構成）
ＩＰ制限機構管理装置３００の概略構成例を図３に示す。ＩＰ制限機構管理装置３００は、ＩＰ端末１００に受信されることを目的としてＩＣＭＰプロトコル（本発明の所定プロトコルに相当）で、フィルタリング条件や制限解除データ等の特定のデータを含むＩＣＭＰエコーリクエスト（パケット）を送信するためのものである。
（ＩＰ制限機構管理装置３００の構成）
ＩＰ制限機構管理装置３００の概略構成例を図３に示す。ＩＰ制限機構管理装置３００は、ＩＰ端末１００に受信されることを目的としてＩＣＭＰプロトコル（本発明の所定プロトコルに相当）で、フィルタリング条件や制限解除データ等の特定のデータを含むＩＣＭＰエコーリクエスト（パケット）を送信するためのものである。
ＩＰ制限管理装置３００は、ＣＰＵ等の制御装置および処理装置、これにバス等を介して接続された、ディスプレイ等の画像表示装置、キーボードやマウス等の入力装置、ハードディスク装置等の記憶装置、および、ＬＡＮカード等の通信装置等を備える、一般的なパーソナルコンピュータ等の情報処理装置である。ＩＰ制限機構管理装置３００は、その記憶装置にインストールされている各種プログラムを読み込んで実行することにより、ＩＰ制限機構管理機能、他のサーバ連携機能、ＩＰ制限機構通信機能、他のサーバのプロキシー機能等を実現する。ＩＰ制限機構管理装置３００は、ＩＰ端末管理データベース等も備えている。
ＩＰ制限機構管理機能３１０は、ＩＰ端末１００の管理（制限中や解除しているＩＰ端末の情報）を行い他のサーバ（ここではＤＨＣＰサーバ４００）の情報を元に、ＩＰ制限機構２００への制限情報の通知や、初期化データの配布管理を行う。
ＩＰ端末管理データベース３２０は、制限中や制限解除のＩＰ端末の情報を管理するためのデータベースである。
他のサーバ連携機能３３０〜３６０は、他のサーバ（ＤＨＣＰサーバ、ウィルスチェックサーバ、認証サーバ、ＩＤＳサーバ等）ごとのデータ管理機能と、サーバ間通信のための通信ソフトで構成され、他の管理サーバの状態の変化を検出し、ＩＰ制限機構管理機能３１０へ通知する。
ＩＰ制限機構通信機能３７０は、ＩＰ制限機構２００への制限データの配送を行う。他
のサーバのプロキシー機能３８０は、他の管理サーバとＩＰ端末１００の間に入り、他の管理サーバの代理として動作する機能である。この機能により、ＩＰ端末１００が他の管理サーバで許可されてから、ＩＰ制限機構２００の制限が解除されるタイムラグをなくすことができる。
のサーバのプロキシー機能３８０は、他の管理サーバとＩＰ端末１００の間に入り、他の管理サーバの代理として動作する機能である。この機能により、ＩＰ端末１００が他の管理サーバで許可されてから、ＩＰ制限機構２００の制限が解除されるタイムラグをなくすことができる。
ＤＨＣＰサーバ４００（本発明の所定サーバに相当）は、ＩＰ端末１００からＩＰ制限機構２００を介してアクセスされるサーバである。
次に、上記ネットワークシステムの動作について図面を参照しながら説明する。
（ＩＰ制限機構２００の初期化待ち状態）
まず、ＩＰ制限機構２００を初期化待ち状態とするための処理について図５（特に図５の下段ブロック）等を参照しながら説明する。初期化待ち状態とは、スイッチ２１０の第２パケット入力部２１２とパケット出力部２１３とが接続された状態、かつ、各メモリが初期化された状態をいう。この初期化待ち状態とするための処理は、端末監視部２７０が主体となって行う。
（ＩＰ制限機構２００の初期化待ち状態）
まず、ＩＰ制限機構２００を初期化待ち状態とするための処理について図５（特に図５の下段ブロック）等を参照しながら説明する。初期化待ち状態とは、スイッチ２１０の第２パケット入力部２１２とパケット出力部２１３とが接続された状態、かつ、各メモリが初期化された状態をいう。この初期化待ち状態とするための処理は、端末監視部２７０が主体となって行う。
図２に示すように、端末監視部２７０には、端末１００から送信されたＩＰパケットが、端末側分岐部２２０を介して入力される。端末監視部２７０は、ＩＰパケットが入力されると、そのＩＰパケットが制限対象か否かを判定する。この判定のために、端末監視部２７０は、そのＩＰパケットの送信元ＩＰアドレスと、端末ＭＡＣ／ＩＰアドレス格納メモリ２９０に保存されたＩＰアドレスとを照合する。端末ＭＡＣ／ＩＰアドレス格納メモリ２９０には、ＩＰ端末１００のＩＰアドレスとＭＡＣアドレスとそのＩＰ端末１００が接続されているポートの識別情報との対応関係が保存されている。これらは図４に示すように、既存の自動学習の手順により得られたものである。
その照合の結果、両ＩＰアドレスが一致しない場合、端末監視部２７０は、その入力されたＩＰパケットは制限対象でないと判定して、制限切換部２８０に対して制限切換を依頼する。これとともに、各メモリ２５０等を初期化する。なお、端末監視部２７０は、ＩＰ端末１００から送信されるＴＤ信号がＴ１秒断である場合も、同様の処理を行う。
端末監視部２７０から依頼を受けると、制限切換部２８０は、スイッチ２１０に対して切換命令を入力する。この切換命令が入力されると、スイッチ２１０は、制限解除状態（すなわち第１パケット入力部２１１とパケット出力部２１３とが接続された状態）であれば、制限状態（すなわち第２パケット入力部２１２とパケット出力部２１３とが接続された状態）に切り換える。これにより、ＩＰ端末１００から送信されるＩＰパケットを制限回路２０２を介してネットワークＮに送出するための第２パケット伝送路が形成される。
以上の処理により、ＩＰ制限機構２００の状態が「初期化待ち」状態となる。この状態は、たとえば、ＩＰ制限機構２００がその内部に保持する初期化待ちフラグがオンに設定されること等により表される。
（ＩＰ制限機構２００の初期化）
次に、ＩＰ制限機構２００を初期化するための処理について図５を参照しながら説明する。初期化処理は、フィルタリング条件を設定する処理を含む。この初期化処理は、ＩＰ制限機構２００、および、ＩＰ制限機構管理装置３００が連携することで行う。
（ＩＰ制限機構２００の初期化）
次に、ＩＰ制限機構２００を初期化するための処理について図５を参照しながら説明する。初期化処理は、フィルタリング条件を設定する処理を含む。この初期化処理は、ＩＰ制限機構２００、および、ＩＰ制限機構管理装置３００が連携することで行う。
以下、この処理について具体的に説明する。ＩＰ制限機構管理装置３００は、定期的に管理対象ＩＰネットワーク１のブロードキャストアドレス(ここでは192.100.10.0)に対して、初期化データ（本発明のフィルタリング条件を指定する指定データに相当）をそのオプショナルデータ部分に含むＩＣＭＰエコーリクエスト（パケット）を送信する（Ｓ１００）。初期化データは、ＩＰ端末１００から送信されるＩＰパケットのうち、ＤＨＣＰサ
ーバ４００にアクセスするＩＰパケットを通過させるための条件（ブロードキャストアドレス（ここでは255.255.255.255）、ポート番号(ここでは67,68)）を含む。
ーバ４００にアクセスするＩＰパケットを通過させるための条件（ブロードキャストアドレス（ここでは255.255.255.255）、ポート番号(ここでは67,68)）を含む。
このＩＰ制限機構管理装置３００から送信されたＩＣＭＰエコーリクエストは、ネットワーク側分岐部２３０を介して、ＩＰ制限機構２００（制限データ検出部２６０）に入力される（Ｓ１０１）とともに、ＩＰ端末１００にも入力される。
制限データ検出部２６０は、ＩＰ制限機構管理装置３００から送信されたＩＣＭＰエコーリクエストが入力されると、初期化待ちの状態の場合、このパケットを取り込む。このパケットは初期化データ（フィルタリング条件を指定する指定データ）を含むため、制限データ検出部２６０は、その指定データにより指定されるフィルタリング条件（ブロードキャストアドレス（ここでは255.255.255.255）、ポート番号(ここでは67,68)）を、制限ＩＰ／ＰＯＲＴ格納メモリ２５０に設定（保存）する。これとともに、制限データ検出部２６０は、制限切換部２８０に対して制限データの変更を通知する。
制限データ検出部２６０からの通知を受けると、制限切換部２８０は、スイッチ２１０に対して切換命令を入力する。この切換命令が入力されると、スイッチ２１０は、制限解除状態であれば（すなわち第１パケット入力部２１１とパケット出力部２１３とが接続された状態）、制限状態（すなわち第２パケット入力部２１２とパケット出力部２１３とが接続された状態）に切り換える。なお、この切換は、予め制限状態に切り換えられているときは、行われない。これにより、ＩＰ端末１００から送信されるＩＰパケットを制限回路２０２を介してネットワークＮに送出するための第２パケット伝送路が形成される。
以上の処理により、ＩＰ制限機構２００の初期化が完了する。すなわち、ＩＰ制限機構２００の状態が「初期化待ち」完了状態となる。この状態は、たとえば、初期化待ちフラグがオフに設定されることにより表される。
（管理外ＩＰ端末の通信を制限する処理）
次に、管理外ＩＰ端末の通信を制限する処理について説明する。
（管理外ＩＰ端末の通信を制限する処理）
次に、管理外ＩＰ端末の通信を制限する処理について説明する。
この処理は、ＩＰ制限機構２００、ＩＰ制限機構管理装置３００、および、ＤＨＣＰサーバ４００等が連携することで行う。以下、この処理について具体的に説明する。
ＩＰ端末１００が、ＤＨＣＰサーバ４００にアクセスするために、ＩＰアドレス払い出しリクエストのＩＰパケット（DHCPDISCOVERパケット）を該当ポートへ送信（ブロードキャスト）したとする（Ｓ１０２）。なお、DHCPDISCOVERパケットの宛先ＭＡＣアドレス、および宛先ＩＰアドレスはオールビットオンされている。
このＩＰパケットはまず、端末側分岐部２２０を介して制限回路２４０に入力される。制限回路２４０は、ＩＰパケットが入力されると、そのＩＰパケットが制限対象か否かを判定する。この判定のために、制限回路２４０は、そのＩＰパケットの宛先ＩＰアドレスおよびポート番号と、制限ＩＰ／ＰＯＲＴ格納メモリ２５０に格納されたＩＰアドレスおよびポート番号とを照合する。制限ＩＰ／ＰＯＲＴ格納メモリ２５０には、上述の通り、制限対象ＩＰパケットのＩＰアドレスおよびポート番号（ブロードキャストアドレス（ここでは255.255.255.255）、ポート番号(ここでは67,68)）が設定（保存）されている。
その照合の結果、両ＩＰアドレスおよびポート番号が一致した場合（ここでは一致する）、制限回路２４０は、その入力されたＩＰパケットは制限対象でないと判定してこれを通過させる。すなわち、ここでは、上述の通りスイッチ２１０が制限状態（すなわち第２パケット入力部２１２とパケット出力部２１３とが接続された状態）に切り換えられているため、その入力されたＩＰパケットは、制限回路２４０を通過してスイッチ２１０を介
してネットワークＮに送出される（Ｓ１０２）。このように、制限回路２４０は、ＩＰ端末１００から送信されるＩＰパケットのうちＩＰ／ＰＯＲＴ格納メモリ２５０に予め設定（保存）されたフィルタリング条件に従ってＩＰパケットを取捨選択し、この取捨選択したＩＰパケットのみをネットワークＮ側に通過させる。なお、制限回路２４０は、その照合の結果、両ＩＰアドレスが一致しない場合、その入力されたＩＰパケットを廃棄する。これにより、この段階で、ＩＰ端末１００が、ＤＨＣＰサーバ４００以外と通信することを制限できる。
してネットワークＮに送出される（Ｓ１０２）。このように、制限回路２４０は、ＩＰ端末１００から送信されるＩＰパケットのうちＩＰ／ＰＯＲＴ格納メモリ２５０に予め設定（保存）されたフィルタリング条件に従ってＩＰパケットを取捨選択し、この取捨選択したＩＰパケットのみをネットワークＮ側に通過させる。なお、制限回路２４０は、その照合の結果、両ＩＰアドレスが一致しない場合、その入力されたＩＰパケットを廃棄する。これにより、この段階で、ＩＰ端末１００が、ＤＨＣＰサーバ４００以外と通信することを制限できる。
ＤＨＣＰサーバ４００は、ＩＰ端末１００から送信されるＩＰアドレス払い出しリクエストのパケットを受信すると、そのリクエスト元のＩＰ端末１００に対して、ＩＰアドレスを払い出す（Ｓ１０３）。すなわち、所定ＩＰアドレス（ここではＩＰアドレス：192.100.10.5）を含むＩＰパケットを、そのリクエスト元のＩＰ端末１００に送信する。
これとともに、ＤＨＣＰサーバ４００は、ＩＰアドレス払い出し完了のＩＰ端末１００をＩＰ制限機構管理装置３００に知らせるために、所定のＩＰパケットをＩＰ制限機構管理装置３００に送信する（Ｓ１０４）。
ＩＰ端末１００は、ＤＨＣＰサーバ４００から送信されるＩＰパケットを受信すると、そのＩＰパケットに含まれているＩＰアドレス（ここではＩＰアドレス：192.100.10.5）を、自己のＩＰ通信のためのアドレスとして設定する。
一方、ＩＰ制限機構管理装置３００は、ＤＨＣＰサーバ４００から送信されるＩＰパケットを受信すると、制限解除データ（本発明の特定のデータに相当）をそのオプショナル部分に含むＩＣＭＰエコーリクエスト（パケット）を、そのリクエスト元のＩＰ端末１００に送信する（Ｓ１０５）。このＩＰ制限機構管理装置３００から送信されたＩＣＭＰエコーリクエストは、ネットワーク側分岐部２３０を介して、制限切換部２８０に入力されるとともに、ＩＰ端末１００にも入力される（Ｓ１０５、Ｓ１０６）。
制限切換部２８０は、ＩＰ制限機構管理装置３００から送信されたＩＣＭＰエコーリクエストが入力されると、このパケットを取り込む。このパケットは制限解除データを含むため、制限切換部２８０は、スイッチ２１０に対して切換命令を入力する。この切換命令が入力されると、スイッチ２１０は、制限状態（すなわち第２パケット入力部２１２とパケット出力部２１３とが接続された状態）であれば、制限解除状態（すなわち第１パケット入力部２１１とパケット出力部２１３とが接続された状態）に切り換える。これにより、ＩＰ端末１００から送信されるＩＰパケットを直接（制限回路２０２を介することなく）ネットワークＮに送出するための第１パケット伝送路が形成される。従って、以後、ＤＨＣＰサーバ４００に限らず、通信をすることが可能となる。なお、この切換は、予め制限解除状態に切り換えられているときは、行われない。
一方、ＩＰ端末１００は、Ｓ１０５でＩＰ制限機構管理装置３００から送信されたＩＣＭＰエコーリクエストを受信すると、ＩＣＭＰエコーリプライ（パケット）を、ＩＰ制限機構管理装置３００に対して送信する（Ｓ１０７）。これにより、制限解除が完了となる。
以上説明したように、本実施形態のネットワークシステムによれば、ＩＣＭＰプロトコルによるパケット（ＩＣＭＰエコーリクエスト等）を利用していることから、ルータやスイッチングハブで分けられたネットワークやリモートアクセス（インターネットＶＰＮ接続等）でもネットワーク全体を一つのIP制限機構管理装置３００で管理できる。
また、ＩＰ制限機構管理装置３００を、他の管理サーバ（ＤＨＣＰサーバ４００）とＩ
Ｐ端末１００の間に設置し、ＩＰ端末１００から見て、他の管理サーバの代理（プロキシー）サーバとしていることから、ネットワーク全体のセキュリティ管理に関する通信をＩＰ制限機構管理装置３００でモニタリングでき、セキュリティ管理者の負荷を軽減できる。また、既存のネットワーク構成を変更することなく、セキュリティ効果を高めることが可能となる。（従来は、IEEE802.1Xと同様な機能を持った、アクセスポイント・スイッチングハブ等の導入により、アクセスポイント・スイッチングハブにＭＡＣ・ＩＰアドレスが追加されネットワークアドレス体系の変更が必要であった）。また、フィルタリング条件を自動的に設定できることから、人為的ミスの撲滅が可能となる。また、ＩＰ制限機構２００は、ＭＡＣアドレスを持たず、ハードウェアのみで構成できることから、安価に同一の機器を製造できる。また、ＩＰ接続機構２００をIEEE802.3afにより給電し動作可能
なＩＰ端末１００〜外部接続機器間のケーフ゛ルと一体化し、利用できる。また、ＩＰ制限機構２００とＩＰ制限機構管理装置３００の間は既存のＩＣＭＰプロトコルを利用することから、ファイアウォール等を含めたネットワークの設定変更が不要となる。また、ＩＰ制限機構管理装置３００は一システムだけで、ネットワーク全体を管理できる。
Ｐ端末１００の間に設置し、ＩＰ端末１００から見て、他の管理サーバの代理（プロキシー）サーバとしていることから、ネットワーク全体のセキュリティ管理に関する通信をＩＰ制限機構管理装置３００でモニタリングでき、セキュリティ管理者の負荷を軽減できる。また、既存のネットワーク構成を変更することなく、セキュリティ効果を高めることが可能となる。（従来は、IEEE802.1Xと同様な機能を持った、アクセスポイント・スイッチングハブ等の導入により、アクセスポイント・スイッチングハブにＭＡＣ・ＩＰアドレスが追加されネットワークアドレス体系の変更が必要であった）。また、フィルタリング条件を自動的に設定できることから、人為的ミスの撲滅が可能となる。また、ＩＰ制限機構２００は、ＭＡＣアドレスを持たず、ハードウェアのみで構成できることから、安価に同一の機器を製造できる。また、ＩＰ接続機構２００をIEEE802.3afにより給電し動作可能
なＩＰ端末１００〜外部接続機器間のケーフ゛ルと一体化し、利用できる。また、ＩＰ制限機構２００とＩＰ制限機構管理装置３００の間は既存のＩＣＭＰプロトコルを利用することから、ファイアウォール等を含めたネットワークの設定変更が不要となる。また、ＩＰ制限機構管理装置３００は一システムだけで、ネットワーク全体を管理できる。
なお、本実施形態のネットワークシステムは、IEEE802.1xに代わる物ではなく、特に有線ＬＡＮに対して、ユーザ認証だけでなく、ＩＰアドレスの集中管理・ウイルスチェックソフトの集中管理及びＩＤＳ等でのウイルス進入・セキュリティ検出等を含めて、統合的且つ動的（ネットワーク接続時だけ出なく、運用中でもダイナミックにＩＰ通信の制限を行う）に安価で実現する方法である。
（第２実施形態）
（ウィルスチェック未完了のＩＰ端末の通信を制限する処理）
（概略システム構成）
図６に、本実施形態のネットワークシステムの概略システム構成例を示す。図６に示すように、本実施形態のネットワークシステムは、ウイルスチェックサーバ５００さらに包含する他は第１実施形態と同様の構成であるため、第１実施形態と同一の符号を付してその説明を省略する。
（第２実施形態）
（ウィルスチェック未完了のＩＰ端末の通信を制限する処理）
（概略システム構成）
図６に、本実施形態のネットワークシステムの概略システム構成例を示す。図６に示すように、本実施形態のネットワークシステムは、ウイルスチェックサーバ５００さらに包含する他は第１実施形態と同様の構成であるため、第１実施形態と同一の符号を付してその説明を省略する。
次に、上記ネットワークシステムの動作について図面を参照しながら説明する。
（ＩＰ制限機構２００の初期化待ち状態）
ＩＰ制限機構２００を初期化待ち状態とするための処理については、第１実施形態で既に説明したので省略する。
（ＩＰ制限機構２００の初期化）
次に、ＩＰ制限機構２００を初期化するための処理について図７を参照しながら説明する。初期化処理は、フィルタリング条件を設定する処理を含む。この初期化処理は、ＩＰ制限機構２００、および、ＩＰ制限機構管理装置３００が連携することで行う。
（ＩＰ制限機構２００の初期化待ち状態）
ＩＰ制限機構２００を初期化待ち状態とするための処理については、第１実施形態で既に説明したので省略する。
（ＩＰ制限機構２００の初期化）
次に、ＩＰ制限機構２００を初期化するための処理について図７を参照しながら説明する。初期化処理は、フィルタリング条件を設定する処理を含む。この初期化処理は、ＩＰ制限機構２００、および、ＩＰ制限機構管理装置３００が連携することで行う。
以下、この処理について具体的に説明する。ＩＰ制限機構管理装置３００は、定期的に管理対象ＩＰネットワーク１のブロードキャストアドレス(ここでは192.100.10.0)に対して、初期化データ（本発明のフィルタリング条件を指定する指定データに相当）をそのオプショナルデータ部分に含むＩＣＭＰエコーリクエスト（パケット）を送信する（Ｓ２００）。初期化データは、ＩＰ端末１００から送信されるＩＰパケットのうち、ＤＨＣＰサーバ４００にアクセスするＩＰパケットを通過させるための条件（ブロードキャストアドレス（ここでは255.255.255.255）、ポート番号(ここでは67,68)）を含む。
このＩＰ制限機構管理装置３００から送信されたＩＣＭＰエコーパケットは、ネットワーク側分岐部２３０を介して、ＩＰ制限機構２００（制限データ検出部２６０）に入力される（Ｓ２０１）とともに、ＩＰ端末１００にも入力される。
制限データ検出部２６０は、ＩＰ制限機構管理装置３００から送信されたＩＣＭＰエコ
ーパケットが入力されると、初期化待ちの状態の場合、このパケットを取り込む。このパケットは初期化データ（フィルタリング条件を指定する指定データ）を含むため、制限データ検出部２６０は、その指定データにより指定されるフィルタリング条件（ブロードキャストアドレス（ここでは255.255.255.255）、ポート番号(ここでは67,68)）を、制限ＩＰ／ＰＯＲＴ格納メモリ２５０に設定（保存）する。これとともに、制限データ検出部２６０は、制限切換部２８０に対して制限データの変更を通知する。
ーパケットが入力されると、初期化待ちの状態の場合、このパケットを取り込む。このパケットは初期化データ（フィルタリング条件を指定する指定データ）を含むため、制限データ検出部２６０は、その指定データにより指定されるフィルタリング条件（ブロードキャストアドレス（ここでは255.255.255.255）、ポート番号(ここでは67,68)）を、制限ＩＰ／ＰＯＲＴ格納メモリ２５０に設定（保存）する。これとともに、制限データ検出部２６０は、制限切換部２８０に対して制限データの変更を通知する。
制限データ検出部２６０からの通知を受けると、制限切換部２８０は、スイッチ２１０に対して切換命令を入力する。この切換命令が入力されると、スイッチ２１０は、制限解除状態であれば（すなわち第１パケット入力部２１１とパケット出力部２１３とが接続された状態）、制限状態（すなわち第２パケット入力部２１２とパケット出力部２１３とが接続された状態）に切り換える。なお、この切換は、予め制限状態に切り換えられているときは、行われない。これにより、ＩＰ端末１００から送信されるＩＰパケットを制限回路２０２を介してネットワークＮに送出するための第２パケット伝送路が形成される。
以上の処理により、ＩＰ制限機構２００の初期化が完了する。すなわち、ＩＰ制限機構２００の状態が「初期化待ち」完了状態となる。この状態は、たとえば、初期化待ちフラグがオフに設定されることにより表される。
（管理外ＩＰ端末の通信を制限する処理）
次に、管理外ＩＰ端末の通信を制限する処理について説明する。
（管理外ＩＰ端末の通信を制限する処理）
次に、管理外ＩＰ端末の通信を制限する処理について説明する。
この処理は、ＩＰ制限機構２００、ＩＰ制限機構管理装置３００、および、ＤＨＣＰサーバ４００等（他の管理サーバ）が連携することで行う。
（連携の概要）
ＤＨＣＰサーバ４００との連携方法は、ＤＨＣＰサーバ４００に、ＩＰ制限機構管理装置３００と通信するための各エージェントソフトを組み込む。各エージェントソフトは、ＤＨＣＰサーバ４００の状態変化を常時監視し、状態変化があった場合に、ＩＰ制限機構管理装置３００へ通知する。ＩＰ制限機構２００が通信を許可する条件は、ＩＰ制限機構管理機能と連携したＤＨＣＰサーバ４００で端末としての許可が確認出来たＩＰ端末１００のみとなり、その条件を満たさない限り、ネットワークＮとの通信が不可能となる。
（連携の概要）
ＤＨＣＰサーバ４００との連携方法は、ＤＨＣＰサーバ４００に、ＩＰ制限機構管理装置３００と通信するための各エージェントソフトを組み込む。各エージェントソフトは、ＤＨＣＰサーバ４００の状態変化を常時監視し、状態変化があった場合に、ＩＰ制限機構管理装置３００へ通知する。ＩＰ制限機構２００が通信を許可する条件は、ＩＰ制限機構管理機能と連携したＤＨＣＰサーバ４００で端末としての許可が確認出来たＩＰ端末１００のみとなり、その条件を満たさない限り、ネットワークＮとの通信が不可能となる。
ＩＰ制限機構２００はＭＡＣ／ＩＰアドレスを持たず、ＩＰ制限機構管理装置３００から制限のON/OFF指示によって制限切り換えを行う。この時のデータはＩＰ制限機構２００がＭＡＣ／ＩＰアドレスを持っていないことから、ＩＰ制限機構管理装置３００から接続されるＩＰ端末１００のＩＰアドレスに対しての、ＩＣＭＰパケットICMPパケットを使用する。
（連携の詳細）
以下、この処理について具体的に説明する。
（連携の詳細）
以下、この処理について具体的に説明する。
ＩＰ端末１００が、ＤＨＣＰサーバ４００にアクセスするために、ＩＰアドレス払い出しリクエストのＩＰパケット（DHCPDISCOVERパケット）を該当ポートへ送信（ブロードキャスト）したとする（Ｓ２０２）。なお、DHCPDISCOVERパケットの宛先ＭＡＣアドレス、および宛先ＩＰアドレスはオールビットオンされている。
このＩＰパケットはまず、端末側分岐部２２０を介して制限回路２４０に入力される。制限回路２４０は、ＩＰパケットが入力されると、そのＩＰパケットが制限対象か否かを判定する。この判定のために、制限回路２４０は、そのＩＰパケットの宛先ＩＰアドレスおよびポート番号と、制限ＩＰ／ＰＯＲＴ格納メモリ２５０に格納されたＩＰアドレスおよびポート番号とを照合する。制限ＩＰ／ＰＯＲＴ格納メモリ２５０には、上述の通り、制限対象ＩＰパケットのＩＰアドレスおよびポート番号（ブロードキャストアドレス（こ
こでは255.255.255.255）、ポート番号(ここでは67,68)）が設定（保存）されている。
こでは255.255.255.255）、ポート番号(ここでは67,68)）が設定（保存）されている。
その照合の結果、両ＩＰアドレスおよびポート番号が一致した場合（ここでは一致する）、制限回路２４０は、その入力されたＩＰパケットは制限対象でないと判定してこれを通過させる。すなわち、ここでは、上述の通りスイッチ２１０が制限状態（すなわち第２パケット入力部２１２とパケット出力部２１３とが接続された状態）に切り換えられているため、その入力されたＩＰパケットは、制限回路２４０を通過してスイッチ２１０を介してネットワークＮに送出される（Ｓ２０２）。このように、制限回路２４０は、ＩＰ端末１００から送信されるＩＰパケットのうちＩＰ／ＰＯＲＴ格納メモリ２５０に予め設定（保存）されたフィルタリング条件に従ってＩＰパケットを取捨選択し、この取捨選択したＩＰパケットのみを値とワークＮ側に通過させる。なお、制限回路２４０は、その照合の結果、両ＩＰアドレスが一致しない場合、その入力されたＩＰパケットを廃棄する。これにより、この段階で、ＩＰ端末１００が、ＤＨＣＰサーバ４００以外との通信することを制限できる。
ＤＨＣＰサーバ４００は、ＩＰ端末１００から送信されるＩＰアドレス払い出しリクエストのパケットを受信すると、そのリクエスト元のＩＰ端末１００に対して、ＩＰアドレスを払い出す（Ｓ２０３）。すなわち、所定ＩＰアドレス（ここではＩＰアドレス：192.100.10.5）を含むＩＰパケットを、そのリクエスト元のＩＰ端末１００に送信する。これとともに、ＤＨＣＰサーバ４００は、ＩＰアドレス払い出し完了のＩＰ端末１００をＩＰ制限機構管理装置３００に知らせるために、所定のＩＰパケットをＩＰ制限機構管理装置３００に送信する（Ｓ２０４）。
ＩＰ端末１００は、ＤＨＣＰサーバ４００から送信されるＩＰパケットを受信すると、そのＩＰパケットに含まれているＩＰアドレス（ここではＩＰアドレス：192.100.10.5）を、自己のＩＰ通信のためのアドレスとして設定する。
一方、ＩＰ制限機構管理装置３００は、ＤＨＣＰサーバ４００から送信されるＩＰパケットを受信すると、本発明のフィルタリング条件を指定する指定データに相当する、ウイルスチェックサーバ５００のＩＰアドレス（ここでは192.200.20.4）およびそのポート番号（ここではALL）をそのオプショナル部分に含むＩＣＭＰエコーリクエスト（パケット
を）、そのリクエスト元のＩＰ端末１００に送信する（Ｓ２０５、Ｓ２０６）。
を）、そのリクエスト元のＩＰ端末１００に送信する（Ｓ２０５、Ｓ２０６）。
このＩＰ制限管理装置３００から送信されたＩＣＭＰエコーリクエストは、ネットワーク分岐部２３０を介して、ＩＰ制限機構２００（制限データ検出部２６０）に入力される（Ｓ２０６）とともに、ＩＰ端末１００にも入力される。
制限データ検出部２６０は、ＩＰ制限機構管理装置３００から送信されたＩＣＭＰエコーリクエストが入力されると、このパケットを取り込む。このパケットはフィルタリング条件を指定する指定データを含むため、制限データ検出部２６０は、その指定データにより指定されるフィルタリング条件（ウイルスチェックサーバ５００のＩＰアドレス（ここでは192.200.20.4）およびそのポート番号（ここではALL））を、制限ＩＰ／ＰＯＲＴ格
納メモリ２５０に設定（保存）する。
納メモリ２５０に設定（保存）する。
一方、ＩＰ端末１００は、ＩＣＭＰエコーリクエストを受信すると、ＩＣＭＰエコーリプライ（パケット）を、ＩＰ制限機構管理装置３００に送信する（Ｓ２０７）。これにより、制限追加完了となる。
ここで、ＩＰ端末１００が、最新のウイルス定義をダウンロードするために、ウイルスチェックサーバ５００のＩＰアドレス(192.200.20.4)およびそのポート番号(ALL)を宛先
アドレス等に設定した、最新のウイルス定義リクエストのＩＰパケットを送信したとする（Ｓ２０８）。なお、この処理を行うために、ＩＰ端末１００では、ウイルスチェックのためのクライアントソフトが起動されているものとする。
アドレス等に設定した、最新のウイルス定義リクエストのＩＰパケットを送信したとする（Ｓ２０８）。なお、この処理を行うために、ＩＰ端末１００では、ウイルスチェックのためのクライアントソフトが起動されているものとする。
このＩＰパケットはまず、端末側分岐部２２０を介して制限回路２４０に入力される。制限回路２４０は、ＩＰパケットが入力されると、そのＩＰパケットが制限対象か否かを判定する。この判定のために、制限回路２４０は、そのＩＰパケットの宛先ＩＰアドレスおよびポート番号と、制限ＩＰ／ＰＯＲＴ格納メモリ２５０に格納されたＩＰアドレスおよびポート番号とを照合する。制限ＩＰ／ＰＯＲＴ格納メモリ２５０には、上述の通り、制限対象ＩＰパケットのＩＰアドレスおよびポート番号（ウイルスチェックサーバ５００のＩＰアドレス（ここでは182.0.20.4）、そのポート番号(ここではALL)）が設定（保存
）されている。
）されている。
その照合の結果、両ＩＰアドレスおよびポート番号が一致した場合（ここでは一致する）、制限回路２４０は、その入力されたＩＰパケットは制限対象でないと判定してこれを通過させる。すなわち、ここでは、上述の通りスイッチ２１０が制限状態（すなわち第２パケット入力部２１２とパケット出力部２１３とが接続された状態）に切り換えられているため、その入力されたＩＰパケットは、制限回路２４０を通過してスイッチ２１０を介してネットワークＮに送出される（Ｓ２０８）。このように、制限回路２４０は、ＩＰ端末１００から送信されるＩＰパケットのうちＩＰ／ＰＯＲＴ格納メモリ２５０に予め設定（保存）されたフィルタリング条件に従ってＩＰパケットを取捨選択し、この取捨選択したＩＰパケットのみをネットワークＮ側に通過させる。なお、制限回路２４０は、その照合の結果、両ＩＰアドレスが一致しない場合、その入力されたＩＰパケットを廃棄する。これにより、この段階で、ＩＰ端末１００が、ウイルスチェックサーバ５００以外と通信することを制限できる。
ウイルスチェックサーバ５００は、ＩＰ端末１００から送信される最新のウイルス定義リクエストのパケットを受信すると、そのリクエスト元のＩＰ端末１００に対して、最新のウイルス定義を配布する（Ｓ２０９）。これとともに、ウイルスチェックサーバ５００は、ウイルス定義の更新完了のＩＰ端末１００をＩＰ制限機構管理装置３００に知らせるために、所定のＩＰパケットをＩＰ制限機構管理装置３００に送信する（Ｓ２１０）。
ＩＰ端末１００は、ウイルスチェックサーバ５００から送信される最新のウイルス定義を受信（ダウンロード）すると、これを利用可能なようにインストール（更新）する。
一方、ＩＰ制限機構管理装置３００は、ウイルスチェックサーバ５００から送信されるＩＰパケットを受信すると、制限解除データ（本発明の特定のデータに相当）をそのオプショナル部分に含むＩＣＭＰエコーリクエスト（パケット）を、そのリクエスト元のＩＰ端末１００に送信する（Ｓ２１１）。このＩＰ制限機構管理装置３００から送信されたＩＣＭＰエコーリクエストは、ネットワーク側分岐部２３０を介して、制限切換部２８０に入力されるとともに、ＩＰ端末１００にも入力される（Ｓ２１１、Ｓ２１２）。
制限切換部２８０は、ＩＰ制限機構管理装置３００から送信されたＩＣＭＰエコーリクエストが入力されると、このパケットを取り込む。このパケットは制限解除データが含むため、制限切換部２８０は、スイッチ２１０に対して切換命令を入力する。この切換命令が入力されると、スイッチ２１０は、制限状態（すなわち第２パケット入力部２１２とパケット出力部２１３とが接続された状態）であれば、制限解除状態（すなわち第１パケット入力部２１１とパケット出力部２１３とが接続された状態）に切り換える。これにより、ＩＰ端末１００から送信されるＩＰパケットを直接（制限回路２０２を介することなく）ネットワークＮに送出するための第１パケット伝送路が形成される。従って、以後、Ｄ
ＨＣＰサーバ４００およびウイルスチェックサーバ５００に限らず、通信をすることが可能となる。なお、この切換は、予め制限解除状態に切り換えられているときは、行われない。
ＨＣＰサーバ４００およびウイルスチェックサーバ５００に限らず、通信をすることが可能となる。なお、この切換は、予め制限解除状態に切り換えられているときは、行われない。
一方、ＩＰ端末１００は、Ｓ２１１でＩＰ制限機構管理装置３００から送信されたＩＣＭＰエコーリクエストを受信すると、ＩＣＭＰエコーリプライ（パケット）を、ＩＰ制限機構管理装置３００に対して送信する（Ｓ２１３）。これにより、制限解除が完了となる。
以上説明したように、本実施形態のネットワークシステムによれば、ウイルスチェックソフトが導入されていない場合や、最新ウイルス定義が更新されていない場合には、アクセス可能なサーバが所定サーバ（ウイルスチェックサーバ５００）に制限される。従って、これらソフト等の導入を促進させることが可能となることから、ウイルスチェックソフトの未導入や最新ウイルス定義の更新忘れ等の人的ミスによるウイルス感染を防止することが可能となる。また、ウイルス対策ソフトは既存のシステム（他の管理サーバとしてのウイルスチェックサーバで一括管理）で対応できることから、ソフトの制限がない。
以下、中小企業において、既存のネットワーク構成を変更せずに、ＰＣクライアント端末（ＩＰ端末に相当）の制限を行う例について説明する。
現在のネットワーク構成を図８に示す。同図に示すように、本ネットワークは、ＩＰアドレスの割り当てを行うＤＨＣＰサーバ、インターネットとイントラネットを分離するファイアウォール、不正進入のチェックを行うＩＤＳ、社内データの一元管理を行うファイルサーバ、および、ＩＰ端末ＰＣへのウイルスチェックソフトのインストールとウイルス定義ファイルの管理と配布を行うウイルスチェックサーバ等を包含する。
このネットワーク構成には、次の問題点がある。（１）個人所有のＩＰ端末（たとえばパーソナルコンピュータ）をスイッチングハブの空きポートに接続し、ＩＰ端末に固定でＩＰアドレスを付与すると、社内ネットワーク上のＩＰ端末ＰＣにアクセスできてしまう。（２）ＩＰ端末内のウイルスチェックソフトが起動されていなかったり、ウイルス定義ファイルの更新がされていなくても、イントラネット上のＩＰ端末やファイルサーバにアクセスできてしまう。（３）ファイアウォールにより社内にウイルスに汚染されたIP端末が見つかった場合に即座に該当ＩＰ端末をネットワークからから切り離せない。（４）ＩＤＳにより社内ネットワークから社内及びインターネットに対して不正侵入を行っているＩＰ端末が見つかった場合に即座に該当ＩＰ端末をネットワークから切り離せない。
上記の問題に対して、本実施例では、図９に示すように、図８に示したスイッチングハブに代えて、ＩＰ制限機構内蔵のスイッチングハブを用いる。これにより、（１）個人所有のＩＰ端末をスイッチングハブの空きポートに接続し、ＩＰ端末に固定でＩＰアドレスを付与しても、ＩＰ制限機構によりネットワークへの接続をできなくできる。（２）ＩＰ端末内のウイルスチェックソフトが起動されていなかったり、ウイルス定義ファイルの更新がされていなくても、ＩＰ制限機構によりネットワークへの接続をできなくできる。
ＩＰ制限機構管理機能では、本ネットワーク上に接続出来る（ＩＰ制限機構の制限解除）ＩＰ端末は、（１）ＤＨＣＰサーバからＩＰアドレスを配布されたＩＰ端末であること、（２）ウイルスチェックサーバにより、ＩＰ端末上のウイルスチェックソフトが有効であること及び、ウイルス定義ファイルが最新であること、の２点共クリアしたＩＰ端末でなければならないように設定されている。
従って、（１）ファイアウォールにより社内にウイルスに汚染されたＩＰ端末が見つかった場合に即座に該当ＩＰ端末をネットワークから切り離せる。（２）ＩＤＳにより社内ネネットワークから社内及びインターネットに対して不正侵入を行っているＩＰ端末が見つかった場合に即座に該当ＩＰ端末をネットワークから切り離せる。（３）ＩＰ制限機構管理機能ではファイアウォールやＩＤＳから通知された検出情報や、ファイアウォールやＩＤＳに組み込んだエージェントソフトから通知された切り離しＩＰ端末情報により、該当ＩＰ端末が接続されているＩＰ制限機構に対して制限をかけることにより、該当ＩＰ端末をネットワークから切り離すことができる。
次に、教育機関において、受講者個々がＩＰ端末（たとえばパーソナルコンピュータ）を持ち、ネットワークに接続する例について説明する。現在のネットワーク構成を図１０に示す。ＩＰ制限機構は（アクセスサーバ、ＤＨＣＰリレーエージェント）のみ通信可能となっている。ＩＰ端末は、以下の手順を経る事で初めて、ネットワークに接続できる。ＩＰ端末はＤＨＣＰリレーエージェントにＩＰアドレスの払い出しを要求する。（２）ＤＨＣＰリレーエージェントはＤＨＣＰサーバへＩＰアドレスを要求する。（３）ＤＨＣＰサーバはＤＨＣＰリレーエージェントへＩＰアドレスを払い出す。（４）ＤＨＣＰリレーエージェントはＩＰ端末にＩＰアドレスを通知する。（５）ＩＰ端末は、アクセスサーバへ認証を要求する。（６）アクセスサーバは認証サーバへ認証を要求する。（７）認証サーバからＩＰ端末へ認証完了が返される。（８）認証サーバからアクセスサーバへ応答が返される。（９）認証サーバからＩＰ制限機構管理機能へ認証完了を通知される。（１０）ＩＰ制限機構管理機能は、該当ＩＰ端末を収容しているＩＰ制限機構へ、ウイルスチェックサーバへのアクセスを許可する。（１１）ＩＰ端末はウイルスチェックサーバへウイルス定義（ウイルスパターン）の更新を依頼する。（１２）ウイルスチェックサーバは、ＩＰ端末へ最新のウイルスパターンを通知する。（１３）ＩＰ端末はウイルスチェックが最新となったことをウイルスチェックサーバに報告する。（１４）ウイルスチェックサーバは、ウイルスチェックが最新となったことをＩＰ制限機構管理機能へ通知する。（１５）ＩＰ制限機構管理機能は該当ＩＰ端末を収容しているＩＰ制限機構へ制限解除を行う。（１６）ＩＰ端末はネットワークに制限無く接続される。
本発明は、その精神または主要な特徴から逸脱することなく、他の様々な形で実施することができる。このため、上記の実施形態は、あらゆる点で単なる例示にすぎず、限定的に解釈されるものではない。
本発明は次のように特定することもできる。
（付記）
（付記１）パケットによる通信機能を有する情報処理装置、および、該情報処理装置とネットワークとの間に設けられ、前記情報処理装置から送信されるパケットを制御するパケット制御装置を包含するネットワークシステムであって、さらに、前記情報処理装置に受信されることを目的として所定パケットを送信するフィルタリング条件配布手段、および、前記情報処理装置から前記パケット制御装置を介してアクセスされる所定サーバを包含し、前記パケット制御装置は、前記情報処理装置が接続され該情報処理装置から送信されるパケットが入力される第１パケット入力部と、前記情報処理装置がパケットフィルタリング手段を介して接続され該情報処理装置から送信されるパケットが入力される第２パケット入力部と、前記ネットワークが接続されるパケット出力部とを有し、入力される切換命令に従って前記第１又は第２パケット入力部のいずれかと前記パケット出力部とを接続させることにより、前記情報処理装置とネットワークとの間のパケット伝送路を切り換えるスイッチ手段、前記スイッチ手段に前記切換命令を入力する制限切換手段、前記フィルタリング条件配布手段から所定プロトコルで送信される所定パケットを取り込む取込手
段、前記取込手段が取り込んだ所定パケットが所定フィルタリング条件を指定する指定データを含む場合、その指定データにより指定される所定フィルタリング条件を設定する設定手段、を備え、前記制限切換手段は、前記取込手段が取り込んだ所定パケットが所定フィルタリング条件を指定する指定データを含む場合、前記スイッチ手段に切換命令を入力し、前記スイッチ手段は、前記制限切換手段から切換命令が入力されると、前記第２パケット入力部とパケット出力部とを接続させることにより、前記情報処理装置とネットワークとの間のパケット伝送路を、前記フィルタリング手段を経由するパケット伝送路に切り換え、前記パケットフィルタリング手段は、前記情報処理装置から送信されるパケットのうち前記設定されたフィルタリング条件に従って取捨選択したパケットのみを通過させる、ネットワークシステム。（１）
（付記２）前記フィルタリング条件は、前記所定サーバにアクセスするパケットのみを通過させるための条件を含む、付記１に記載のネットワークシステム。（２）
（付記３）前記所定サーバは、ＤＨＣＰサーバ、又は、ウイルスチェックサーバのいずれかである、付記２に記載のネットワークシステム。
（付記１）パケットによる通信機能を有する情報処理装置、および、該情報処理装置とネットワークとの間に設けられ、前記情報処理装置から送信されるパケットを制御するパケット制御装置を包含するネットワークシステムであって、さらに、前記情報処理装置に受信されることを目的として所定パケットを送信するフィルタリング条件配布手段、および、前記情報処理装置から前記パケット制御装置を介してアクセスされる所定サーバを包含し、前記パケット制御装置は、前記情報処理装置が接続され該情報処理装置から送信されるパケットが入力される第１パケット入力部と、前記情報処理装置がパケットフィルタリング手段を介して接続され該情報処理装置から送信されるパケットが入力される第２パケット入力部と、前記ネットワークが接続されるパケット出力部とを有し、入力される切換命令に従って前記第１又は第２パケット入力部のいずれかと前記パケット出力部とを接続させることにより、前記情報処理装置とネットワークとの間のパケット伝送路を切り換えるスイッチ手段、前記スイッチ手段に前記切換命令を入力する制限切換手段、前記フィルタリング条件配布手段から所定プロトコルで送信される所定パケットを取り込む取込手
段、前記取込手段が取り込んだ所定パケットが所定フィルタリング条件を指定する指定データを含む場合、その指定データにより指定される所定フィルタリング条件を設定する設定手段、を備え、前記制限切換手段は、前記取込手段が取り込んだ所定パケットが所定フィルタリング条件を指定する指定データを含む場合、前記スイッチ手段に切換命令を入力し、前記スイッチ手段は、前記制限切換手段から切換命令が入力されると、前記第２パケット入力部とパケット出力部とを接続させることにより、前記情報処理装置とネットワークとの間のパケット伝送路を、前記フィルタリング手段を経由するパケット伝送路に切り換え、前記パケットフィルタリング手段は、前記情報処理装置から送信されるパケットのうち前記設定されたフィルタリング条件に従って取捨選択したパケットのみを通過させる、ネットワークシステム。（１）
（付記２）前記フィルタリング条件は、前記所定サーバにアクセスするパケットのみを通過させるための条件を含む、付記１に記載のネットワークシステム。（２）
（付記３）前記所定サーバは、ＤＨＣＰサーバ、又は、ウイルスチェックサーバのいずれかである、付記２に記載のネットワークシステム。
（付記４）前記所定サーバは、自己にアクセスした情報処理装置に対して所定データを含むパケットを送信するとともに、その情報処理装置を前記フィルタリング条件配布手段に通知し、前記フィルタリング条件配布手段は、前記所定サーバから前記通知を受けた場合、前記情報処理装置に受信されることを目的として所定プロトコルで所定パケットを送信し、前記制限切換手段は、前記取り込み手段が取り込んだ所定パケットが特定のデータを含む場合、前記スイッチ手段に切換命令を入力し、前記スイッチ手段は、前記制限切換手段から切換命令が入力されると、前記第１パケット入力部とパケット出力部とを接続させることにより、前記情報処理装置とネットワークとの間のパケット伝送路を、前記フィルタリング手段を経由しないパケット伝送路に切り換える、付記２に記載のネットワークシステム。（３）
（付記５）前記所定プロトコルはＩＣＭＰプロトコルである、付記１又は４に記載のネットワークシステム。
（付記５）前記所定プロトコルはＩＣＭＰプロトコルである、付記１又は４に記載のネットワークシステム。
（付記６）前記スイッチ手段は、接点式のスイッチである付記１から５のいずれかに記載のネットワークシステム。
（付記７）パケットによる通信機能を有する情報処理装置とネットワークとの間に設けられ、前記情報処理装置から送信されるパケットを制御する装置であって、前記情報処理装置および前記ネットワークが接続され、入力される切換命令に従って、前記情報処理装置とネットワークとの間のパケット伝送路を切り換えるスイッチ手段と、前記スイッチ手段に前記切換命令を入力する制限切換手段と、を備えるパケット制御装置。（４）
（付記８）前記スイッチ手段は、前記情報処理装置が接続され該情報処理装置から送信されるパケットが入力される第１パケット入力部と、前記情報処理装置が接続され該情報処理装置から送信されるパケットが入力される第２パケット入力部と、前記ネットワークが接続されるパケット出力部とを有し、入力される切換命令に従って前記第１又は第２パケット入力部のいずれかと前記パケット出力部とを接続させることにより、前記情報処理装置とネットワークとの間のパケット伝送路を切り換える、付記７に記載のパケット制御装置。
（付記８）前記スイッチ手段は、前記情報処理装置が接続され該情報処理装置から送信されるパケットが入力される第１パケット入力部と、前記情報処理装置が接続され該情報処理装置から送信されるパケットが入力される第２パケット入力部と、前記ネットワークが接続されるパケット出力部とを有し、入力される切換命令に従って前記第１又は第２パケット入力部のいずれかと前記パケット出力部とを接続させることにより、前記情報処理装置とネットワークとの間のパケット伝送路を切り換える、付記７に記載のパケット制御装置。
（付記９）前記スイッチ手段は、前記情報処理装置が接続され該情報処理装置から送信されるパケットが入力される第１パケット入力部と、前記情報処理装置がパケットフィルタリング手段を介して接続され該情報処理装置から送信されるパケットが入力される第２パケット入力部と、前記ネットワークが接続されるパケット出力部とを有し、入力される切換命令に従って前記第１又は第２パケット入力部のいずれかと前記パケット出力部とを接続させることにより、前記情報処理装置とネットワークとの間のパケット伝送路を切り
換える、付記７に記載のパケット制御装置。（５）
（付記１０）前記パケットフィルタリング手段は、前記情報処理装置から送信されるパケットのうち予め設定されたフィルタリング条件に従って取捨選択したパケットのみを通過させる、付記９に記載のパケット制御装置。
換える、付記７に記載のパケット制御装置。（５）
（付記１０）前記パケットフィルタリング手段は、前記情報処理装置から送信されるパケットのうち予め設定されたフィルタリング条件に従って取捨選択したパケットのみを通過させる、付記９に記載のパケット制御装置。
（付記１１）前記フィルタリング条件を設定する設定手段をさらに備える、付記１０に記載のパケット制御装置。
（付記１２）前記ネットワーク側から前記情報処理装置に受信されることを目的として所定プロトコルで送信されるパケットを取り込む取込手段をさらに備え、前記設定手段は、前記取込手段が取り込んだパケットが所定フィルタリング条件を指定する指定データを含む場合、その指定データにより指定される所定フィルタリング条件を設定する、付記１１に記載のパケット制御装置。
（付記１３）前記制限切換手段は、前記取込手段が取り込んだパケットが所定フィルタリング条件を指定する指定データを含む場合、前記スイッチ手段に切換命令を入力し、前記スイッチ手段は、前記制限切換手段から切換命令が入力されると、前記第２パケット入力部とパケット出力部とを接続させることにより、前記情報処理装置とネットワークとの間のパケット伝送路を、前記フィルタリング手段を経由するパケット伝送路に切り換える、付記１２に記載のパケット制御装置。
（付記１４）前記フィルタリング条件は、所定サーバにアクセスするパケットのみを通過させるための条件を含む、付記１３に記載のパケット制御装置。
（付記１５）前記所定サーバは、ＤＨＣＰサーバ、又は、ウイルスチェックサーバのいずれかである、付記１４に記載のパケット制御装置。
（付記１６）前記制限切換手段は、前記取込手段が取り込んだパケットが特定のデータを含む場合、前記スイッチ手段に切換命令を入力し、前記スイッチ手段は、前記制限切換手段から切換命令が入力されると、前記第１パケット入力部とパケット出力部とを接続させることにより、前記情報処理装置とネットワークとの間のパケット伝送路を、前記フィルタリング手段を経由しないパケット伝送路に切り換える、付記１３に記載のパケット制御装置。
（付記１７）前記所定プロトコルはＩＣＭＰプロトコルである、付記１２に記載のパケット制御装置。
（付記１８）前記スイッチ手段は、接点式のスイッチである付記７から１７のいずれかに記載のパケット制御装置。
本発明によれば、ＩＰ端末と外部接続機器の間に通信で必要なＩＰアドレスとポート番号を制限するＩＰ制限機構を設け、且つ、ＩＰ制限機構を集中管理（ＩＰ制限機構管理機能）し、他の管理サーバ（ＤＨＣＰ・ウイルスチェック・認証・ＩＤＳ等）と連携し、ネットワーク全体のセキュリティーを向上させることが可能となる。
１００ ＩＰ端末
２００ ＩＰ制限機構
３００ ＩＰ制限機構管理装置
４００ ＤＨＣＰサーバ
５００ ウイルスチェックサーバ
Ｎ ネットワーク
２００ ＩＰ制限機構
３００ ＩＰ制限機構管理装置
４００ ＤＨＣＰサーバ
５００ ウイルスチェックサーバ
Ｎ ネットワーク
Claims (5)
- パケットによる通信機能を有する情報処理装置、および、該情報処理装置とネットワークとの間に設けられ、前記情報処理装置から送信されるパケットを制御するパケット制御装置を包含するネットワークシステムであって、
さらに、前記情報処理装置に受信されることを目的として所定パケットを送信するフィルタリング条件配布手段、および、前記情報処理装置から前記パケット制御装置を介してアクセスされる所定サーバを包含し、
前記パケット制御装置は、
前記情報処理装置が接続され該情報処理装置から送信されるパケットが入力される第１パケット入力部と、前記情報処理装置がパケットフィルタリング手段を介して接続され該情報処理装置から送信されるパケットが入力される第２パケット入力部と、前記ネットワークが接続されるパケット出力部とを有し、入力される切換命令に従って前記第１又は第２パケット入力部のいずれかと前記パケット出力部とを接続させることにより、前記情報処理装置とネットワークとの間のパケット伝送路を切り換えるスイッチ手段、
前記スイッチ手段に前記切換命令を入力する制限切換手段、
前記フィルタリング条件配布手段から所定プロトコルで送信される所定パケットを取り込む取込手段、
前記取込手段が取り込んだ所定パケットが所定フィルタリング条件を指定する指定データを含む場合、その指定データにより指定される所定フィルタリング条件を設定する設定手段、
を備え、
前記制限切換手段は、前記取込手段が取り込んだ所定パケットが所定フィルタリング条件を指定する指定データを含む場合、前記スイッチ手段に切換命令を入力し、
前記スイッチ手段は、前記制限切換手段から切換命令が入力されると、前記第２パケット入力部とパケット出力部とを接続させることにより、前記情報処理装置とネットワークとの間のパケット伝送路を、前記フィルタリング手段を経由するパケット伝送路に切り換え、
前記パケットフィルタリング手段は、前記情報処理装置から送信されるパケットのうち前記設定されたフィルタリング条件に従って取捨選択したパケットのみを通過させる、
ネットワークシステム。 - 前記フィルタリング条件は、前記所定サーバにアクセスするパケットのみを通過させるための条件を含む、
請求項１に記載のネットワークシステム。 - 前記所定サーバは、自己にアクセスした情報処理装置に対して所定データを含むパケットを送信するとともに、その情報処理装置を前記フィルタリング条件配布手段に通知し、
前記フィルタリング条件配布手段は、前記所定サーバから前記通知を受けた場合、前記情報処理装置に受信されることを目的として所定プロトコルで所定パケットを送信し、
前記制限切換手段は、前記取り込み手段が取り込んだ所定パケットが特定のデータを含む場合、前記スイッチ手段に切換命令を入力し、
前記スイッチ手段は、前記制限切換手段から切換命令が入力されると、前記第１パケット入力部とパケット出力部とを接続させることにより、前記情報処理装置とネットワークとの間のパケット伝送路を、前記フィルタリング手段を経由しないパケット伝送路に切り換える、
請求項２に記載のネットワークシステム。 - パケットによる通信機能を有する情報処理装置とネットワークとの間に設けられ、前記情報処理装置から送信されるパケットを制御する装置であって、
前記情報処理装置および前記ネットワークが接続され、入力される切換命令に従って、前記情報処理装置とネットワークとの間のパケット伝送路を切り換えるスイッチ手段と、
前記スイッチ手段に前記切換命令を入力する制限切換手段と、
を備えるパケット制御装置。 - 前記スイッチ手段は、前記情報処理装置が接続され該情報処理装置から送信されるパケットが入力される第１パケット入力部と、前記情報処理装置がパケットフィルタリング手段を介して接続され該情報処理装置から送信されるパケットが入力される第２パケット入力部と、前記ネットワークが接続されるパケット出力部とを有し、入力される切換命令に従って前記第１又は第２パケット入力部のいずれかと前記パケット出力部とを接続させることにより、前記情報処理装置とネットワークとの間のパケット伝送路を切り換える、
請求項４に記載のパケット制御装置。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003369371A JP4290526B2 (ja) | 2003-10-29 | 2003-10-29 | ネットワークシステム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003369371A JP4290526B2 (ja) | 2003-10-29 | 2003-10-29 | ネットワークシステム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2005136629A true JP2005136629A (ja) | 2005-05-26 |
| JP4290526B2 JP4290526B2 (ja) | 2009-07-08 |
Family
ID=34646753
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003369371A Expired - Fee Related JP4290526B2 (ja) | 2003-10-29 | 2003-10-29 | ネットワークシステム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP4290526B2 (ja) |
Cited By (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2009071474A (ja) * | 2007-09-12 | 2009-04-02 | Hitachi Communication Technologies Ltd | アクセスサーバ及び接続制限方法 |
| JP2010199673A (ja) * | 2009-02-23 | 2010-09-09 | Fujitsu Telecom Networks Ltd | ユーザ認証システムおよびユーザ認証方法 |
| JP2017200012A (ja) * | 2016-04-26 | 2017-11-02 | 株式会社ナカヨ | 統合脅威管理システム、統合脅威管理装置、および統合脅威管理方法 |
| JP2018157483A (ja) * | 2017-03-21 | 2018-10-04 | 株式会社富士通アドバンストエンジニアリング | 接続制御装置およびネットワークシステム |
| CN111095137A (zh) * | 2018-01-22 | 2020-05-01 | 欧姆龙株式会社 | 控制装置、控制方法和控制程序 |
-
2003
- 2003-10-29 JP JP2003369371A patent/JP4290526B2/ja not_active Expired - Fee Related
Cited By (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2009071474A (ja) * | 2007-09-12 | 2009-04-02 | Hitachi Communication Technologies Ltd | アクセスサーバ及び接続制限方法 |
| JP2010199673A (ja) * | 2009-02-23 | 2010-09-09 | Fujitsu Telecom Networks Ltd | ユーザ認証システムおよびユーザ認証方法 |
| JP2017200012A (ja) * | 2016-04-26 | 2017-11-02 | 株式会社ナカヨ | 統合脅威管理システム、統合脅威管理装置、および統合脅威管理方法 |
| JP2018157483A (ja) * | 2017-03-21 | 2018-10-04 | 株式会社富士通アドバンストエンジニアリング | 接続制御装置およびネットワークシステム |
| CN111095137A (zh) * | 2018-01-22 | 2020-05-01 | 欧姆龙株式会社 | 控制装置、控制方法和控制程序 |
| CN111095137B (zh) * | 2018-01-22 | 2023-08-08 | 欧姆龙株式会社 | 控制装置、控制方法和存储介质 |
Also Published As
| Publication number | Publication date |
|---|---|
| JP4290526B2 (ja) | 2009-07-08 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| RU2694022C2 (ru) | Системы и способы автоматического обнаружения устройства, управления устройством и удаленной помощи | |
| US9363285B2 (en) | Communication system, network for qualification screening/setting, communication device, and network connection method | |
| CN101802837B (zh) | 通过对设备的动态地址隔离来提供网络和计算机防火墙保护的系统和方法 | |
| JP4487150B2 (ja) | 通信装置、ファイアーウォール制御方法、及びファイアーウォール制御プログラム | |
| JP5062967B2 (ja) | ネットワークアクセス制御方法、およびシステム | |
| US10491561B2 (en) | Equipment for offering domain-name resolution services | |
| US7360242B2 (en) | Personal firewall with location detection | |
| US8001610B1 (en) | Network defense system utilizing endpoint health indicators and user identity | |
| US20190379745A1 (en) | Method and apparatus for dynamic destination address control in a computer network | |
| JP2006262141A (ja) | Ｉｐアドレス適用方法、ｖｌａｎ変更装置、ｖｌａｎ変更システム、および検疫処理システム | |
| US20060109850A1 (en) | IP-SAN network access control list generating method and access control list setup method | |
| US20090007254A1 (en) | Restricting communication service | |
| JP4290198B2 (ja) | 信頼できるプロセスを許可する柔軟なネットワークセキュリティシステム及びネットワークセキュリティの方法 | |
| JP2005318584A (ja) | デバイスのセキュリティ状況に基づいたネットワーク・セキュリティのための方法および装置 | |
| JP5340041B2 (ja) | アクセス制御システム、アクセス制御方法、及びプログラム | |
| US20060150243A1 (en) | Management of network security domains | |
| JP2008271242A (ja) | ネットワーク監視装置、ネットワーク監視用プログラム、およびネットワーク監視システム | |
| JP4636345B2 (ja) | セキュリティポリシー制御システム、セキュリティポリシー制御方法、及びプログラム | |
| JP5018969B2 (ja) | 通信制御プログラム、通信制御装置、通信制御システムおよび通信制御方法 | |
| JP2006352719A (ja) | ネットワーク監視装置，ネットワーク監視方法，ネットワークシステム及びネットワーク監視方法及びネットワーク通信方法 | |
| JP4290526B2 (ja) | ネットワークシステム | |
| US7359338B2 (en) | Method and apparatus for transferring packets in network | |
| US9823944B2 (en) | Deployment control device and deployment control method for deploying virtual machine for allowing access | |
| US8065412B2 (en) | Information processing apparatus for obtaining address information by a server apparatus of devices in a client apparatus | |
| JP2003324457A (ja) | アクセス制御装置、方法、プログラムおよび記録媒体 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20060802 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20080929 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20081028 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20081118 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20090317 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20090401 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120410 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120410 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130410 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20140410 Year of fee payment: 5 |
|
| LAPS | Cancellation because of no payment of annual fees |