JP2005175635A - ネットワーク間接続制御方法及びシステム装置 - Google Patents

Abstract

【課題】一のユーザネットワーク上のユーザ端末から所定通信アプリケーションの実行を要求されたときにのみ、他のユーザネットワーク上のユーザ端末との通信を許可するユーザネットワーク間接続制御方法及びシステム装置を提供する。
【解決手段】通信用アプリケーションサーバ１内に、通信アプリケーションによる接続制御のセッション確立を要求した発信元ユーザ端末（ＵＴｍ）、及びその確立を要求された送信先ユーザ端末（ＵＴｎ）を特定しうるノード情報を収集するノード情報収集処理部１１を具備させ、接続制御サーバ２内に、当該ノード情報に基づき発信元ユーザ端末と送信先ユーザ端末との間の通信の可否を判定する通信可否判定処理部２２と、発信元ユーザ端末と送信先ユーザ端末とを結ぶ複合ネットワーク上に存在する全経路上スイッチ（ＳＷ１〜ＳＷ３）を制御してフィルタリング設定を変更するフィルタリング設定変更処理部２４とを具備させる。
【選択図】図２

Description

本発明は、ネットワーク間接続制御方法及びシステム装置に関し、詳しくは、マンションやアパートなどの集合住宅の各戸に敷設され、居住者など通信事業者以外の主体により管理される私的な複数のユーザネットワークと、これら複数のユーザネットワークから物理的に独立して構成され、上記集合住宅内において居住者の代表又は通信事業者により管理される共有ネットワークと、上記複数のユーザネットワークと共有ネットワークとを相互に接続する１以上のスイッチとを有して構成される複合ネットワークにおいて、通常では禁止されている上記複数のユーザネットワーク上におけるユーザ端末間の接続制御を行うためのネットワーク間接続制御方法、及びその実施に直接使用されるネットワーク間接続制御システム装置に係わる。

昨今の光通信技術の普及に伴い、各種集合住宅の内部にも高速ネットワーク回線が敷設されるようになり、いわゆるブロードバンドによるインターネット接続サービスが提供されている。

このようなネットワーク環境を実現する場合、集合住宅内において居住者の代表又は通信事業者により管理される、例えば光ファイバを利用した共有ネットワークと、集合住宅内の各戸毎のユーザネットワークとの境界にルータを設置し、これら２つのネットワークからなる複合ネットワークを分割して運用する。

また、各戸毎のユーザネットワークにおいても、所要により複数のユーザ端末を使用する場合、各戸内の上記ルータに、レイヤ２スイッチ（レイヤ２：ＯＳＩ参照モデル第２層．ＯＳＩ：Open System Interconnection）やリピータなどを接続し、これらスイッチやリピータの配下の個別ネットワークを、それぞれ独立したユーザネットワークとして運用することも可能である。

以上のような形態をなす複合ネットワークを運用する場合、通常、ある戸のユーザネットワークに接続されたユーザ端末から、隣戸のユーザネットワークに接続されたユーザ端末への直接通信を禁止するためのネットワーク設定が施され、これにより、各戸のユーザのプライバシー保護を重視した運用ポリシーが採られる。

このような運用ポリシーに即したネットワーク構成を得る技法としては、例えば、各戸毎のユーザネットワークに、ＶＬＡＮ（Virtual Local Area Network．仮想ＬＡＮ）における個別のＶＬＡＮ ＩＤ（Identifier．識別子）を付与することにより、複数のユーザネットワーク間の通信を論理的に制限する技法などが存在する。

なお、複数のユーザネットワークを分割して通信制限を行う他の技法は、以下に示す特許文献１に開示されている。また、実際のＬＡＮにおいてネットワークを複数のセグメントに分割し、各セグメント間でユーザ端末通信のアクセス制限に関する情報を管理する技法は、下記の特許文献２に開示されている。
特開２００１−３０６４２１号公報 特開２００２−２３２４５１号公報

上述したＬＡＮを適用したネットワーク環境下で、各ユーザネットワーク上のユーザ端末がインターネット接続を行う場合、当該ユーザ端末は、直接又はルータを介して、プロバイダとＰＰＰｏＥ（Point to Point Protocol over Ethernet（登録商標））による接続を行う。しかしながら、集合住宅内の複合ネットワークは、それ自体、企業や大学内のＬＡＮと同等な機能を有するため、異なるユーザネットワーク間の各ユーザ端末同士で、例えば、監視カメラやテレビ電話などの通信アプリケーションを実行して通信を行うことが可能である。

なお、企業や大学内などのプライベートネットワークをインターネットに接続する場合には、通常、双方のネットワークの境界にファイアウォールを設置し、これらネットワーク間で、例えば、メディアセッションを実現するＲＦＣ３２６１準拠（ＲＦＣ：Request For Comments）のＳＩＰプロトコル（ＳＩＰ：Session Invitation Protocol）を利用して、上記ファイアウォールを越えた双方向通信を行う場合には、ＳＩＰ ＡＬＧ（SIP Application Level Gateway）や、或いは、ファイアウォールと連携して動作するファイアウォール制御プロキシを利用するのが一般的である。

上述のように、集合住宅内のユーザがインターネットから単に情報を享受する形態にとどまらず、今後は、各戸内のユーザネットワーク上におけるユーザ端末同士がピアツーピア通信を行ったり、或いは、情報を直接交換する形態が普及するものと予想される。このような通信形態が実現すれば、インターネットを経由させることなく、集合住宅内の複合ネットワークのみを経由した通信が可能となるため、より高速な通信が可能となる。

これを実現するには、まず、プライバシー保護の観点から、ユーザネットワーク間のユーザ端末同士の直接通信は原則的に禁止し、限定された通信アプリケーションのみによる通信を可能とする技法が不可欠となる。また、実際に通信を行うユーザ端末間又はユーザ間で、使用を許可する通信アプリケーションの種類を事前に限定する技法も必要になると予想される。

さらに、従来のように、ＳＩＰ ＡＬＧやファイアウォール制御プロキシなどを利用したネットワークシステムの場合は、集合住宅内のユーザネットワークにおいて使用が想定される複数のスイッチを連携動作させることは困難であり、加えて、ＳＩＰ以外のプロトコルを適用した他の通信アプリケーションを利用することは不可能である。

ここにおいて、本発明の解決すべき主要な目的は、次のとおりである。

即ち、本発明の第１の目的は、ユーザネットワーク間のユーザ端末同士の直接通信を定常時において禁止し、当該ユーザ端末又はそのユーザ自身から所定の通信アプリケーションの実行を要求されたときにのみネットワーク間通信を許可することの可能なネットワーク間接続制御方法及びシステム装置を提供せんとするものである。

本発明の第２の目的は、複数の通信アプリケーションによる通信を、ユーザの選択に応じ多様な形態で行うことの可能なネットワーク間接続制御方法及びシステム装置を提供せんとするものである。

本発明の第３の目的は、ファイアウォール及びこれを制御する機構を要しないネットワーク間接続制御方法及びシステム装置を提供せんとするものである。

本発明の他の目的は、明細書、図面、特に特許請求の範囲の各請求項の記載から、自ずと明らかとなろう。

本発明方法においては、共有ネットワークに設置した通信用アプリケーションサーバに、通信アプリケーションによる接続制御のセッションの確立を要求した発信元ユーザ端末、及び当該セッションの確立を要求された送信先ユーザ端末を特定するための情報を収集させて、これを共有ネットワークに別途設置した接続制御サーバに向け通知させ、この通知された情報に基づいて、当該接続制御サーバに、発信元ユーザ端末と送信先ユーザ端末との間のネットワーク間通信の可否を判定させ、当該ネットワーク間通信が可能と判定された場合に、発信元ユーザ端末と送信先ユーザ端末とを結ぶ複合ネットワーク上に存在する全ての経路上スイッチを制御させて、ネットワーク間通信に関するフィルタリング設定を定常時の禁止設定から許可設定へと変更させる、という特徴的構成手法を講じる。

本発明装置においては、上記通信用アプリケーションサーバ内に、通信アプリケーションによる接続制御のセッションの確立を要求した発信元ユーザ端末、及び当該セッションの確立を要求された送信先ユーザ端末を特定するためのノード情報を収集して、これを上記接続制御サーバに通知するノード情報収集処理手段を具備させ、当該接続制御サーバ内に、上記ノード情報に基づいて、発信元ユーザ端末と送信先ユーザ端末との間のネットワーク間通信の可否を判定する通信可否判定処理手段と、当該ネットワーク間通信が可能と判定された場合に、発信元ユーザ端末と送信先ユーザ端末とを結ぶ複合ネットワーク上に存在する全ての経路上スイッチを制御して、ネットワーク間通信に関するフィルタリング設定を定常時の禁止設定から許可設定へと変更するフィルタリング設定変更処理手段とを具備させる、という特徴的構成手段を講じる。

さらに、具体的詳細に述べると、当該課題の解決では、本発明が次に列挙する上位概念から下位概念に亙る新規な特徴的構成手法又は手段を採用することにより、前記目的を達成するよう為される。

即ち、本発明方法の第１の特徴は、それぞれにつき１以上のユーザ端末の設置を許容して構成される複数のユーザネットワークと、これら複数のユーザネットワークから物理的に独立して構成される共有ネットワークと、ＯＳＩ参照モデルの第４層以上の処理が可能であり、前記複数のユーザネットワークと前記共有ネットワークとを相互に接続する１以上のスイッチとを有して構成され、当該１以上のスイッチが、その定常時において、前記複数のユーザネットワーク上に存在する全ての前記ユーザ端末と前記共有ネットワーク上に存在する任意のホスト端末との間の相互通信を許可し、かつ、前記複数のユーザネットワーク上に個々に存在する前記ユーザ端末間のネットワーク間通信を禁止するフィルタリング設定を施されてなる複合ネットワークにおいて、前記複数のユーザネットワーク上における前記ユーザ端末間の接続制御を行うためのネットワーク間接続制御方法であって、前記共有ネットワークが、前記任意のホスト端末として、前記ネットワーク間通信を許可するネットワークアーキテクチャ上に存在する任意のユーザ端末同士の接続制御を所定のプロトコルにより実施することの可能な通信アプリケーションを導入されてなる通信用アプリケーションサーバと、前記ネットワーク間通信を禁止された前記ユーザ端末間の前記接続制御を前記通信用アプリケーションサーバと協働して実施するための接続制御サーバとを具備し、当該接続制御サーバが、前記通信アプリケーションによる前記接続制御に先立ち、前記ネットワーク間通信を希望する前記ユーザ端末毎に、該当する一のユーザネットワーク上における一のユーザ端末のＩＰアドレス、及び当該一のユーザ端末が通信を許可する他のユーザネットワーク上における他のユーザ端末のＩＰアドレスを対応付けて自身に登録する処理を実施し、前記通信用アプリケーションサーバが、前記通信アプリケーションによる前記接続制御のセッションの開始に伴い、当該セッションの確立を要求した発信元ユーザ端末のＩＰアドレス及び当該セッションで使用する論理ポート番号、並びに当該セッションの確立を要求された送信先ユーザ端末のＩＰアドレス及び当該セッションで使用する論理ポート番号を収集して、これらを対応付けながら前記接続制御サーバに通知する処理を実施し、当該接続制御サーバが、前記通信用アプリケーションサーバから通知された前記送信先ユーザ端末の前記ＩＰアドレスが、前記一のユーザ端末の前記ＩＰアドレスとして登録され、かつ、当該通信用アプリケーションサーバから通知された前記発信元ユーザ端末の前記ＩＰアドレスが、その登録に係る前記一のユーザ端末が通信を許可する前記他のユーザ端末の前記ＩＰアドレスとして登録されているか否かを検証して、前記発信元ユーザ端末と前記送信先ユーザ端末との間の前記ネットワーク間通信の可否を判定する処理と、この判定の結果、当該ネットワーク間通信が可能とされた場合に、前記１以上のスイッチのうち前記発信元ユーザ端末と前記送信先ユーザ端末とを結ぶ前記複合ネットワーク上に存在する全ての経路上スイッチを制御して、前記ネットワーク間通信に関する前記フィルタリング設定を定常時の禁止設定から許可設定へと変更する処理とを順次実施してなる、ネットワーク間接続制御方法の構成採用にある。

本発明方法の第２の特徴は、上記本発明方法の第１の特徴における前記接続制御サーバが、前記一のユーザ端末の前記ＩＰアドレス及び前記他のユーザ端末の前記ＩＰアドレスを登録することに代え、前記通信アプリケーションによる前記接続制御に先立ち、前記ネットワーク間通信を希望するユーザ毎に、該当する一のユーザに付与されたユーザＩＤ、及び当該一のユーザが通信を許可する他のユーザに付与されたユーザＩＤを対応付けて自身に登録する処理を実施し、前記ユーザ端末が、前記通信アプリケーションによる前記接続制御のセッションの開始直前に、自身に付与されているＩＰアドレスと共に、当該セッションの確立を要求しようとする前記ユーザに予め付与されたユーザＩＤを取得して、これらを対応付けながら前記接続制御サーバに通知する処理を実施し、当該接続制御サーバが、前記ユーザ端末から通知された前記ユーザＩＤが適正なものである場合に、前記通信用アプリケーションサーバから通知された前記発信元ユーザ端末の前記ＩＰアドレス及び前記送信先ユーザ端末の前記ＩＰアドレスを、それぞれ、前記ユーザ端末から通知された対応する発信元ユーザＩＤ及び送信先ユーザＩＤに変換する処理と、前記送信先ユーザ端末の前記ＩＰアドレス及び前記発信元ユーザ端末の前記ＩＰアドレスに基づいて前記ネットワーク間通信の可否を判定することに代え、変換された前記送信先ユーザＩＤが、前記一のユーザの前記ユーザＩＤとして登録され、かつ、変換された前記発信元ユーザＩＤが、その登録に係る前記一のユーザが通信を許可する前記他のユーザの前記ユーザＩＤとして登録されているか否かを検証して、前記発信元ユーザ端末と前記送信先ユーザ端末との間の前記ネットワーク間通信の可否を判定する処理とを順次実施してなる、ネットワーク間接続制御方法の構成採用にある。

本発明方法の第３の特徴は、上記本発明方法の第１又は第２の特徴における前記接続制御サーバが、前記１以上のスイッチの前記フィルタリング設定を変更する処理を実施するに先立ち、前記通信用アプリケーションサーバから通知された前記発信元ユーザ端末の前記ＩＰアドレス及び前記送信先ユーザ端末の前記ＩＰアドレスと、自身に予め登録された前記複数のユーザネットワークの各ＩＰアドレス、並びに前記１以上のスイッチのＩＰアドレス及び前記共有ネットワークとの接続に使用される物理ポート番号とに基づいて、前記ネットワーク間通信に関する前記フィルタリング設定を変更する際の制御対象をなす前記全ての経路上スイッチの当該ＩＰアドレス、及び前記共有ネットワークとの接続に使用される当該物理ポート番号を識別する処理を実施してなる、ネットワーク間接続制御方法の構成採用にある。

本発明方法の第４の特徴は、上記本発明方法の第１の特徴における前記接続制御サーバが、前記１以上のスイッチの前記フィルタリング設定を変更する処理を実施するに際し、前記通信用アプリケーションサーバから通知された前記発信元ユーザ端末の前記ＩＰアドレス及び前記論理ポート番号、並びに前記送信先ユーザ端末の前記ＩＰアドレス及び前記論理ポート番号と、識別された前記全ての経路上スイッチの前記ＩＰアドレス及び前記物理ポート番号とを対応付けて自身に保存する処理を併せて実施してなる、ネットワーク間接続制御方法の構成採用にある。

本発明方法の第５の特徴は、上記本発明方法の第４の特徴における前記接続制御サーバが、前記通信アプリケーションによる前記接続制御のセッションの終了直後に、自身に保存された前記発信元ユーザ端末の前記ＩＰアドレス及び前記論理ポート番号、並びに前記送信先ユーザ端末の前記ＩＰアドレス及び前記論理ポート番号と、前記全ての経路上スイッチの前記ＩＰアドレス及び前記物理ポート番号とに基づいて、前記ネットワーク間通信に関する前記フィルタリング設定を前記許可設定から定常時の前記禁止設定へと復旧させる処理をさらに実施してなる、ネットワーク間接続制御方法の構成採用にある。

本発明方法の第６の特徴は、上記本発明方法の第１、第２、第３、第４又は第５の特徴における前記共有ネットワークが、単一の前記通信用アプリケーションサーバに代え、所要の前記接続制御を種類の異なる前記プロトコルによりそれぞれ実施する２以上の通信アプリケーションの何れかを選択的に導入されてなる複数の通信用アプリケーションサーバを具備し、前記接続制御サーバが、当該複数の通信用アプリケーションサーバからそれぞれ通知される前記発信元ユーザ端末の前記ＩＰアドレス及び前記論理ポート番号、並びに前記送信先ユーザ端末の前記ＩＰアドレス及び前記論理ポート番号に基づいて、前記２以上の通信アプリケーションによる該当する前記接続制御をそれぞれ実施してなる、ネットワーク間接続制御方法の構成採用にある。

一方、本発明装置の第１の特徴は、それぞれにつき１以上のユーザ端末の設置を許容して構成される複数のユーザネットワークと、これら複数のユーザネットワークから物理的に独立して構成される共有ネットワークと、ＯＳＩ参照モデルの第４層以上の処理が可能であり、前記複数のユーザネットワークと前記共有ネットワークとを相互に接続する１以上のスイッチとを有して構成され、当該１以上のスイッチが、その定常時において、前記複数のユーザネットワーク上に存在する全ての前記ユーザ端末と前記共有ネットワーク上に存在する任意のホスト端末との間の相互通信を許可し、かつ、前記複数のユーザネットワーク上に個々に存在する前記ユーザ端末間のネットワーク間通信を禁止するフィルタリング設定を施されてなる複合ネットワークにおいて、前記複数のユーザネットワーク上における前記ユーザ端末間の接続制御を行うためのネットワーク間接続制御システム装置であって、前記共有ネットワークが、前記任意のホスト端末として、前記ネットワーク間通信を許可するネットワークアーキテクチャ上に存在する任意のユーザ端末同士の接続制御を所定のプロトコルにより実施することの可能な通信アプリケーションを導入されてなる通信用アプリケーションサーバと、前記ネットワーク間通信を禁止された前記ユーザ端末間の前記接続制御を前記通信用アプリケーションサーバと協働して実施するための接続制御サーバとを具備して構成され、前記通信用アプリケーションサーバが、前記通信アプリケーションによる前記接続制御のセッションの開始に伴い、当該セッションの確立を要求した発信元ユーザ端末のＩＰアドレス及び当該セッションで使用する論理ポート番号、並びに当該セッションの確立を要求された送信先ユーザ端末のＩＰアドレス及び当該セッションで使用する論理ポート番号を収集して、これらの対応付けを図って得たノード情報を前記接続制御サーバに通知するノード情報収集処理手段を具備し、当該接続制御サーバが、前記通信アプリケーションによる前記接続制御に先立ち、前記ネットワーク間通信を希望する前記ユーザ端末毎に、該当する一のユーザネットワーク上における一のユーザ端末のＩＰアドレス、及び当該一のユーザ端末が通信を許可する他のユーザネットワーク上における他のユーザ端末のＩＰアドレスを対応付け編成してなるユーザ端末情報を登録するユーザ情報登録処理手段と、前記ノード情報収集処理手段から通知された前記ノード情報に含まれる前記送信先ユーザ端末の前記ＩＰアドレスが、前記ユーザ情報登録処理手段により登録された前記ユーザ端末情報中に前記一のユーザ端末の前記ＩＰアドレスとして登録され、かつ、当該ノード情報に含まれる前記発信元ユーザ端末の前記ＩＰアドレスが、その登録に係る前記一のユーザ端末が通信を許可する前記他のユーザ端末の前記ＩＰアドレスとして当該ユーザ端末情報中に登録されているか否かを検証して、前記発信元ユーザ端末と前記送信先ユーザ端末との間の前記ネットワーク間通信の可否を判定する通信可否判定処理手段と、この通信可否判定処理手段による判定の結果、当該ネットワーク間通信が可能とされた場合に、前記１以上のスイッチのうち前記発信元ユーザ端末と前記送信先ユーザ端末とを結ぶ前記複合ネットワーク上に存在する全ての経路上スイッチを制御して、前記ネットワーク間通信に関する前記フィルタリング設定を定常時の禁止設定から許可設定へと変更するフィルタリング設定変更処理手段とを具備してなる、ネットワーク間接続制御システム装置の構成採用にある。

本発明装置の第２の特徴は、上記本発明装置の第１の特徴における前記接続制御サーバが、前記ユーザ情報登録処理手段による前記ユーザ端末情報の書込み、及び前記通信可否判定処理手段による当該ユーザ端末情報の読出しが可能なユーザ情報管理テーブルを具備してなる、ネットワーク間接続制御システム装置の構成採用にある。

本発明装置の第３の特徴は、上記本発明装置の第１の特徴における前記ユーザ端末が、前記通信アプリケーションによる前記接続制御のセッションの開始直前に、自身に付与されているＩＰアドレスと共に、当該セッションの確立を要求しようとする前記ユーザに予め付与されたユーザＩＤ及びパスワードを取得し、これらを対応付け編成してなるロケーション情報を前記接続制御サーバに通知するロケーション情報通知処理手段を具備し、前記ユーザ情報登録処理手段が、前記一のユーザ端末の前記ＩＰアドレス及び前記他のユーザ端末の前記ＩＰアドレスを含んでなる前記ユーザ端末情報を登録することに代え、前記通信アプリケーションによる前記接続制御に先立ち、前記ネットワーク間通信を希望するユーザ毎に、該当する一のユーザに付与されたユーザＩＤ、及び当該一のユーザが通信を許可する他のユーザに付与されたユーザＩＤを対応付け編成してなるユーザＩＤ情報を登録する機能手段を具備し、前記接続制御サーバが、前記ロケーション情報通知処理手段から通知された前記ロケーション情報に含まれる前記ユーザＩＤが適正なものである場合に、前記ノード情報収集処理手段から通知された前記ノード情報に含まれる前記発信元ユーザ端末の前記ＩＰアドレス及び前記送信先ユーザ端末の前記ＩＰアドレスを、それぞれ、前記ロケーション情報通知処理手段から通知された前記ロケーション情報に含まれる前記ＩＰアドレスに基づいて、対応する発信元ユーザＩＤ及び送信先ユーザＩＤに変換するアドレス−ＩＤ変換処理手段を具備し、前記通信可否判定処理手段が、前記ノード情報収集処理手段から通知された前記ノード情報に含まれる前記送信先ユーザ端末の前記ＩＰアドレス、及び前記発信元ユーザ端末の前記ＩＰアドレスに基づいて前記ネットワーク間通信の可否を判定することに代え、前記アドレス−ＩＤ変換処理手段で変換された前記送信先ユーザＩＤが、前記ユーザ情報登録処理手段により登録された前記ユーザＩＤ情報中に前記一のユーザの前記ユーザＩＤとして登録され、かつ、前記アドレス−ＩＤ変換処理手段で変換された前記発信元ユーザＩＤが、その登録に係る前記一のユーザが通信を許可する前記他のユーザの前記ユーザＩＤとして当該ユーザＩＤ情報中に登録されているか否かを検証して、前記発信元ユーザ端末と前記送信先ユーザ端末との間の前記ネットワーク間通信の可否を判定する機能手段を具備してなる、ネットワーク間接続制御システム装置の構成採用にある。

本発明装置の第４の特徴は、上記本発明装置の第３の特徴における前記接続制御サーバが、前記ユーザ情報登録処理手段による前記ユーザＩＤ情報の書込み、及び前記通信可否判定処理手段による当該ユーザＩＤ情報の読出しが可能なユーザ情報管理テーブルを具備してなる、ネットワーク間接続制御システム装置の構成採用にある。

本発明装置の第５の特徴は、上記本発明装置の第３又は第４の特徴における前記接続制御サーバが、前記ユーザに予め付与された前記ユーザＩＤ及び前記パスワードと、前記ロケーション情報通知処理手段から通知される前記ＩＰアドレスとの関係を定義してなるユーザロケーションの対応情報を登録し、前記ユーザ情報登録処理手段による当該ＩＰアドレスの書込み、及び前記アドレス−ＩＤ変換処理手段による当該ユーザＩＤの読出しが可能なロケーション情報管理テーブルを具備してなる、ネットワーク間接続制御システム装置の構成採用にある。

本発明装置の第６の特徴は、上記本発明装置の第１、第２、第３、第４又は第５の特徴における前記接続制御サーバが、前記フィルタリング設定変更処理手段において前記１以上のスイッチの前記フィルタリング設定を変更するに先立ち、前記ノード情報収集処理手段から通知された前記ノード情報に含まれる前記発信元ユーザ端末の前記ＩＰアドレス及び前記送信先ユーザ端末の前記ＩＰアドレスと、予め登録された前記複数のユーザネットワークの各ＩＰアドレス、並びに前記１以上のスイッチのＩＰアドレス及び前記共有ネットワークとの接続に使用される物理ポート番号とに基づいて、前記ネットワーク間通信に関する前記フィルタリング設定を変更する際の制御対象をなす前記全ての経路上スイッチの当該ＩＰアドレス、及び前記共有ネットワークとの接続に使用される当該物理ポート番号を識別する経路上スイッチ識別処理手段を具備してなる、ネットワーク間接続制御システム装置の構成採用にある。

本発明装置の第７の特徴は、上記本発明装置の第６の特徴における前記接続制御サーバが、前記複数のユーザネットワークの前記各ＩＰアドレスと、前記１以上のスイッチの前記ＩＰアドレスとの関係を定義してなる当該複数のユーザネットワークの設定情報を蓄積、管理し、前記経路上スイッチ識別処理手段による当該設定情報の読出しが可能なユーザネットワーク設定管理テーブルを具備してなる、ネットワーク間接続制御システム装置の構成採用にある。

本発明装置の第８の特徴は、上記本発明装置の第６又は第７の特徴における前記接続制御サーバが、前記１以上のスイッチの前記ＩＰアドレスと、前記共有ネットワークとの接続に使用される前記物理ポート番号との関係を定義してなる当該１以上のスイッチの配線情報を蓄積、管理し、前記経路上スイッチ識別処理手段による当該配線情報の読出しが可能なスイッチ配線管理テーブルを具備してなる、ネットワーク間接続制御システム装置の構成採用にある。

本発明装置の第９の特徴は、上記本発明装置の第６、第７又は第８の特徴における前記フィルタリング設定変更処理手段が、前記１以上のスイッチの前記フィルタリング設定を変更するに際し、前記ノード情報収集処理手段から通知された前記ノード情報に含まれる前記発信元ユーザ端末の前記ＩＰアドレス及び前記論理ポート番号、並びに前記送信先ユーザ端末の前記ＩＰアドレス及び前記論理ポート番号と、前記経路上スイッチ識別処理手段で識別された前記全ての経路上スイッチの前記ＩＰアドレス及び前記物理ポート番号とを対応付けて保存する機能手段を併せて具備してなる、ネットワーク間接続制御システム装置の構成採用にある。

本発明装置の第１０の特徴は、上記本発明装置の第９の特徴における前記フィルタリング設定変更処理手段が、前記通信アプリケーションによる前記接続制御のセッションの終了直後に、当該機能手段により保存された前記発信元ユーザ端末の前記ＩＰアドレス及び前記論理ポート番号、並びに前記送信先ユーザ端末の前記ＩＰアドレス及び前記論理ポート番号と、前記全ての経路上スイッチの前記ＩＰアドレス及び前記物理ポート番号とに基づいて、前記ネットワーク間通信に関する前記フィルタリング設定を前記許可設定から定常時の前記禁止設定へと復旧させる機能手段をさらに具備してなる、ネットワーク間接続制御システム装置の構成採用にある。

本発明装置の第１１の特徴は、上記本発明装置の第９又は第１０の特徴における前記接続制御サーバが、前記発信元ユーザ端末の前記ＩＰアドレス及び前記論理ポート番号、並びに前記送信先ユーザ端末の前記ＩＰアドレス及び前記論理ポート番号と、前記全ての経路上スイッチの前記ＩＰアドレス及び前記物理ポート番号との関係を定義してなる前記フィルタリング設定の変更情報を蓄積、管理し、前記フィルタリング設定変更処理手段による当該変更情報の書込み及び／又は読出しが可能なフィルタリング設定変更管理テーブルを具備してなる、ネットワーク間接続制御システム装置の構成採用にある。

本発明装置の第１２の特徴は、上記本発明装置の第１、第２、第３、第４、第５、第６、第７、第８、第９、第１０又は第１１の特徴における前記共有ネットワークが、単一の前記通信用アプリケーションサーバに代え、所要の前記接続制御を種類の異なる前記プロトコルによりそれぞれ実施する２以上の通信アプリケーションの何れかを選択的に導入されてなる複数の通信用アプリケーションサーバを具備して構成され、前記接続制御サーバが、当該複数の通信用アプリケーションサーバの該当する前記ノード情報収集処理手段からそれぞれ通知される前記ノード情報に含まれる前記発信元ユーザ端末の前記ＩＰアドレス及び前記論理ポート番号、並びに前記送信先ユーザ端末の前記ＩＰアドレス及び前記論理ポート番号に基づいて、前記２以上の通信アプリケーションによる該当する前記接続制御をそれぞれ実施する機能手段を具備してなる、ネットワーク間接続制御システム装置の構成採用にある。

本発明装置の第１３の特徴は、上記本発明装置の第１、第２、第３、第４、第５、第６、第７、第８、第９、第１０、第１１又は第１２の特徴における前記通信アプリケーションに適用される前記プロトコルが、ＲＦＣ３２６１準拠のＳＩＰプロトコルである、ネットワーク間接続制御システム装置の構成採用にある。

本発明装置の第１４の特徴は、上記本発明装置の第１、第２、第３、第４、第５、第６、第７、第８、第９、第１０、第１１又は第１２の特徴における前記通信アプリケーションに適用される前記プロトコルが、ＩＴＵ−Ｔ勧告のＨ．３２３プロトコルである、ネットワーク間接続制御システム装置の構成採用にある。

上記解決手段を採用することにより、本発明によれば、ユーザネットワーク間のユーザ端末同士の直接通信を基本的に禁止する複合ネットワークにおいて、当該ユーザ端末又はそのユーザ自身から所定の通信アプリケーションの実行を要求されたときにのみネットワーク間通信を許可することが可能となる。

また、本発明によれば、複数の通信アプリケーションによる通信を、ユーザの選択に応じ多様な形態で行うことが可能となると同時に、従来のようなファイアウォール及びこれを制御する機構が一切不要となる。

以下、本発明の実施の形態につき、添付図面を参照しながら、その第１〜第３装置例及びこれに対応する第１〜第３方法例を順に挙げて説明する。

（第１装置例）
図１は、本発明の第１装置例に係るネットワーク間接続制御システム装置のネットワーク構成図である。

同図に示すように、本第１装置例に係るネットワーク間接続制御システム装置αは、それぞれにつき１以上のユーザ端末ＵＴａ，ＵＴｍ，ＵＴｎ，ＵＴｘ１，ＵＴｘ２，ＵＴｙ等の設置を集合住宅の各戸毎に許容して構成される複数のユーザネットワークＮＷａ，ＮＷｍ，ＮＷｎ，ＮＷｘ，ＮＷｙ等と、これら複数のユーザネットワークＮＷａ〜ＮＷｙから物理的に独立して構成される集合住宅内の共有ネットワークＮＷｏと、ＯＳＩ参照モデルの第４層（トランスポート層）以上の処理が可能であり、複数のユーザネットワークＮＷａ〜ＮＷｙと共有ネットワークＮＷｏとを相互に接続する１以上のスイッチＳＷ１，ＳＷ２，ＳＷ３，ＳＷ４等とを有して構成され、以上の構成を以って複合ネットワーク（α）を得ている。

スイッチＳＷ１〜ＳＷ４は、その定常時において、複数のユーザネットワークＮＷａ〜ＮＷｙ上に存在する全てのユーザ端末ＵＴａ〜ＵＴｙと、共有ネットワーク１上に存在する任意のホスト端末との間の相互通信を許可し、かつ、複数のユーザネットワークＮＷａ〜ＮＷｙ上に個々に存在するユーザ端末ＵＴａ〜ＵＴｙ間のネットワーク間通信を、ユーザネットワークＮＷａ〜ＮＷｙにそれぞれ付与されたネットワークアドレスのサブネット単位で禁止するフィルタリング設定を施されてなる。

ここで、複数のユーザネットワークＮＷａ〜ＮＷｙ上におけるユーザ端末ＵＴａ〜ＵＴｙ間の接続制御を行うため、共有ネットワークＮＷｏは、上記任意のホスト端末として、ネットワーク間通信を許可するネットワークアーキテクチャ上に存在する任意のユーザ端末ＵＴａ〜ＵＴｙ同士の接続制御を所定のプロトコルにより実施することの可能な通信アプリケーションを導入されてなる通信用アプリケーションサーバ１と、ネットワーク間通信を禁止されたユーザ端末ＵＴａ〜ＵＴｙ間の接続制御を通信用アプリケーションサーバと協働して実施するための接続制御サーバ２とを具備して構成される。

なお、通信用アプリケーションサーバ１に導入される通信アプリケーションのプロトコルとしては、従前のＳＩＰプロトコルの他、ＩＴＵ−Ｔ勧告（ＩＴＵ−Ｔ：国際電気通信連合・電気通信標準化セクタ）のＨ．３２３プロトコルなどを適用することができる。また、各ユーザ端末ＵＴａ〜ＵＴｙで使用されるＩＰアドレス（ＩＰ：Internet Protocol）は、各戸毎のユーザネットワークＮＷａ〜ＮＷｙにそれぞれ付与されたネットワークアドレスのサブネットの範囲で固定的に割り当てられた静的ＩＰアドレスである。

図２は、図１に示した通信用アプリケーションサーバ１及び接続制御サーバ２の機能ブロック図である。

同図に示すように、通信用アプリケーションサーバ１は、ノード情報収集処理部１１を具備して構成される。即ち、同ノード情報収集処理部１１は、通信アプリケーションによる接続制御のセッションの開始に伴い、当該セッションの確立を要求した発信元ユーザ端末のＩＰアドレス及び当該セッションで使用する論理ポート番号、並びに当該セッションの確立を要求された送信先ユーザ端末のＩＰアドレス及び当該セッションで使用する論理ポート番号を収集して、これらの対応付けを図って得たノード情報を接続制御サーバ２に通知する機能手段である。

これに対し、接続制御サーバ２は、ユーザ情報登録処理部２１、通信可否判定処理部２２、経路上スイッチ識別処理部２３、及びフィルタリング設定変更処理部２４からなる機能手段と、ユーザ情報管理テーブル２５、ユーザネットワーク設定管理テーブル２６、スイッチ配線管理テーブル２７、及びフィルタリング設定変更管理テーブル２８からなるデータ保持手段とを具備して構成される。

即ち、ユーザ情報登録処理部２１は、通信アプリケーションによる接続制御に先立ち、ネットワーク間通信を希望するユーザ端末ＵＴａ〜ＵＴｙ毎に、該当する一のユーザネットワーク上における一のユーザ端末（例えば、ユーザネットワークＮＷｍ上のユーザ端末ＵＴｍ）のＩＰアドレス、及び当該一のユーザ端末が通信を許可する他のユーザネットワーク上における他のユーザ端末（例えば、ユーザネットワークＮＷｎ上のユーザ端末ＵＴｎ）のＩＰアドレスを対応付け編成してなるユーザ端末情報（詳細は後述）を、ユーザ情報管理テーブル２５に書き込んで登録する機能手段である。

通信可否判定処理部２２は、ノード情報収集処理部１１から通知されたノード情報に含まれる送信先ユーザ端末のＩＰアドレスが、ユーザ情報登録処理部２１によりユーザ情報管理テーブル２５に登録されたユーザ端末情報中に一のユーザ端末のＩＰアドレスとして登録され、かつ、当該ノード情報に含まれる発信元ユーザ端末のＩＰアドレスが、その登録に係る一のユーザ端末が通信を許可する他のユーザ端末のＩＰアドレスとして当該ユーザ端末情報中に登録されているか否かを検証して、発信元ユーザ端末と送信先ユーザ端末との間のネットワーク間通信の可否を判定する機能手段である。

経路上スイッチ識別処理部２３は、通信可否判定処理部２２による判定の結果、ネットワーク間通信が可能とされた場合に、ノード情報収集処理部１１から通知されたノード情報に含まれる発信元ユーザ端末のＩＰアドレス及び送信先ユーザ端末のＩＰアドレスと、ユーザネットワーク設定管理テーブル２６及びスイッチ配線管理テーブル２７に予め登録された複数のユーザネットワークＵＮａ〜ＵＮｙの各ＩＰアドレス、並びに各スイッチＳＷ１〜ＳＷ４のＩＰアドレス及び共有ネットワークＮＷｏとの接続に使用される物理ポート番号とに基づいて、ネットワーク間通信に関するフィルタリング設定を変更する際の制御対象をなす全ての経路上スイッチの当該ＩＰアドレス、及び共有ネットワークＮＷｏとの接続に使用される当該物理ポート番号を識別する機能手段である。

フィルタリング設定変更処理部２４は、各スイッチＳＷ１〜ＳＷ４のうち発信元ユーザ端末と送信先ユーザ端末とを結ぶ複合ネットワークα上に存在する識別された全ての経路上スイッチを対応する固有のコマンドにより制御して、ネットワーク間通信に関するフィルタリング設定を定常時の禁止設定から許可設定へと変更すると共に、その設定変更に際し、ノード情報収集処理部１１から通知されたノード情報に含まれる発信元ユーザ端末のＩＰアドレス及び論理ポート番号、並びに送信先ユーザ端末のＩＰアドレス及び論理ポート番号と、経路上スイッチ識別処理部２３で識別された全ての経路上スイッチのＩＰアドレス及び物理ポート番号とを対応付けて、これをフィルタリング設定変更管理テーブル２８に保存し、さらに、通信アプリケーションによる接続制御のセッションの終了直後に、フィルタリング設定変更管理テーブル２８に保存された発信元ユーザ端末のＩＰアドレス及び論理ポート番号、並びに送信先ユーザ端末のＩＰアドレス及び論理ポート番号と、全ての経路上スイッチのＩＰアドレス及び物理ポート番号とに基づいて、ネットワーク間通信に関するフィルタリング設定を許可設定から定常時の禁止設定へと復旧させる機能手段である。

図３は、図２に示したユーザ情報管理テーブル２５に登録されるユーザ端末情報のテーブル構成図である。

同図に示すように、ユーザ情報管理テーブル２５には、ネットワーク間通信を希望するユーザ端末ＵＴａ〜ＵＴｙ毎に、通信を行う一のユーザネットワーク上における一のユーザ端末（例えば、ユーザネットワークＮＷｍ上のユーザ端末ＵＴｍ）のＩＰアドレスと、通信用アプリケーションサーバ１のＩＰアドレスと、当該通信用アプリケーションサーバ１の通信アプリケーションが接続制御セッションで使用する論理ポート番号と、上記一のユーザ端末が通信を許可する他のユーザネットワーク上における他のユーザ端末（例えば、ユーザネットワークＮＷｎ上のユーザ端末ＵＴｎ）のＩＰアドレスとを対応付け編成してなるユーザ端末情報が登録される。なお、当該ユーザ端末情報は、図２に示すように、ユーザ情報登録処理部２１による書込み、及び通信可否判定処理部２２による読出しが可能なようになっている。

図４は、図２に示したユーザネットワーク設定管理テーブル２６に登録されるユーザネットワークＮＷａ〜ＮＷｙの設定情報のテーブル構成図である。

同図に示すように、ユーザネットワーク設定管理テーブル２６には、集合住宅の各戸の番号毎に、複数のユーザネットワークＮＷａ〜ＮＷｙの各ＩＰアドレスと、各スイッチＳＷ１〜ＳＷ４の識別子（符号に同じ）と、当該各スイッチＳＷ１〜ＳＷ４のＩＰアドレスと、当該各スイッチＳＷ１〜ＳＷ４がユーザネットワークＮＷａ〜ＮＷｙとの接続に使用される物理ポート番号との関係を定義してなる当該複数のユーザネットワークＮＷａ〜ＮＷｙの設定情報が事前に蓄積、管理される。なお、当該設定情報は、図２に示すように、経路上スイッチ識別処理部２３による読出しが可能なようになっている。

図５は、図２に示したスイッチ配線管理テーブル２７に登録される各スイッチＳＷ１〜ＳＷ４の配線情報のテーブル構成図である。

同図に示すように、スイッチ配線管理テーブル２７には、各スイッチＳＷ１〜ＳＷ４のＩＰアドレスと、当該各スイッチＳＷ１〜ＳＷ４が共有ネットワークＮＷｏとの接続に使用される物理ポート番号との関係を、任意の２つのスイッチの組み合せ（対応関係）により定義してなる当該各スイッチＳＷ１〜ＳＷ４の配線情報が事前に蓄積、管理される。なお、当該配線情報は、図２に示すように、経路上スイッチ識別処理部２４による読出しが可能なようになっている。

図６は、図２に示したフィルタリング設定変更管理テーブル２８に随時登録されるフィルタリング設定の変更情報のテーブル構成図である。

同図に示すように、フィルタリング設定変更管理テーブル２８には、設定変更に係る発信元ユーザ端末のＩＰアドレス及び論理ポート番号と、同送信先ユーザ端末のＩＰアドレス及び論理ポート番号と、同通信用アプリケーションサーバ１のＩＰアドレス及び論理ポート番号と、設定変更を行った全ての経路上スイッチのＩＰアドレス及び物理ポート番号との関係を定義してなるフィルタリング設定の変更情報が蓄積、管理される。なお、当該変更情報は、図２に示すように、フィルタリング設定変更処理部２４による書込み及び／又は読出しが可能なようになっている。

（第１方法例）
続いて、以上のように構成された第１装置例に係るネットワーク間接続制御システム装置αに適用される第１方法例につき、通信用アプリケーションサーバ１として、ＳＩＰプロトコルを導入してなる「ＳＩＰプロキシサーバ」を設定し、かつ、ネットワーク間通信を希望している一のユーザ端末が、ユーザネットワークＮＷｍ上の「ユーザ端末ＵＴｍ」であり、当該ネットワーク通信を許可している他のユーザ端末の一つが、ユーザネットワークＮＷｎ上の「ユーザ端末ＵＴｎ」である場合を想定して説明する。

図７は、本発明の第１方法例に係るネットワーク間接続制御方法を説明するためのフローチャートである。

同図に示すように、本第１方法例では、まず、ネットワーク間通信を希望する全てのユーザ端末（ここではユーザ端末ＵＴｍ）が、通信アプリケーションによる接続制御に先立ち、当該ユーザ端末ＵＴｍのＩＰアドレスと、通信用アプリケーションサーバ１のＩＰアドレスと、当該通信用アプリケーションサーバ１が接続制御セッションで使用する論理ポート番号と、そのユーザ端末ＵＴｍが通信を許可する他のユーザネットワーク上における他のユーザ端末（ユーザ端末ＵＴｎを含む）のＩＰアドレスとを対応付けて登録するための要求を、接続制御サーバ２に送信することにより（ＳＴ１）、その処理が開始される。

上記登録要求を受信した接続制御サーバ２のユーザ情報登録処理部２１は、当該登録要求に含まれる通信を行うユーザ端末ＵＴｍのＩＰアドレス、通信用アプリケーションサーバ１のＩＰアドレス及び論理ポート番号、並びに通信を許可するユーザ端末ＵＴｎのＩＰアドレスを対応付けてこれをユーザ端末情報として編成し、当該ユーザ端末情報をユーザ情報管理テーブル２５に書き込んで登録する（ＳＴ２）。そして、このユーザ端末情報の登録が完了すると、接続制御サーバ２は、その旨をユーザ端末ＵＴｍに通知する（ＳＴ３）。

次に、ユーザ端末ＵＴｍが、上記登録通知を受けた後の任意のタイミングにおいて、通信用アプリケーションサーバ１により管理されるＳＩＰプロトコルの通信アプリケーションを起動し、当該通信アプリケーションによる接続制御のセッションを開始するために、ユーザ端末ＵＴｎに対する通信要求コマンド（INVITE）を通信用アプリケーションサーバ１に送信すると（ＳＴ１１）、同通信用アプリケーションサーバ１は、その通信要求コマンドをユーザ端末ＵＴｎに転送する（ＳＴ１２）。

これに対し、ユーザ端末ＵＴｎは、上記ＳＩＰプロトコルの通信アプリケーションを起動していた場合、接続メッセージ（180 Ringing）を通信用アプリケーションサーバ１に送信し（ＳＴ１３）、同通信用アプリケーションサーバ１は、その接続メッセージをユーザ端末ＵＴｍに転送する（ＳＴ１４）。

次に、ユーザ端末ＵＴｎが、映像や音声などのメディアセッションの開始を許可するための応答メッセージ（200 OK）を通信用アプリケーションサーバ１に送信すると（ＳＴ１５）、同通信用アプリケーションサーバ１は、その応答メッセージのユーザ端末ＵＴｍへの転送を一旦保留し、ノード情報収集処理部１１において、通信アプリケーションによる接続制御のセッションの開始に伴い、当該セッションの確立を要求した発信元ユーザ端末（即ちユーザ端末ＵＴｍ）のＩＰアドレス及び当該セッションで使用する論理ポート番号、並びに当該セッションの確立を要求された送信先ユーザ端末（即ちユーザ端末ＵＴｎ）のＩＰアドレス及び当該セッションで使用する論理ポート番号を収集して（ＳＴ１６）、これらの対応付けを図って得たノード情報を接続制御サーバ２に通知する（ＳＴ１７）。

上記ノード情報の通知を受けた接続制御サーバ２の通信可否判定処理部２２は、当該ノード情報に含まれる送信先ユーザ端末（ＵＴｎ）のＩＰアドレスが、ユーザ情報管理テーブル２５に登録されたユーザ端末情報中にユーザ端末ＵＴｍのＩＰアドレス（図３における「通信を行うユーザ端末のＩＰアドレス」）として登録され、かつ、当該ノード情報に含まれる発信元ユーザ端末（ＵＴｍ）のＩＰアドレスが、ユーザ端末ＵＴｎのＩＰアドレス（図３における「通信を許可するユーザ端末のＩＰアドレス」）として当該ユーザ端末情報中に登録されているか否かを検証して、発信元ユーザ端末と送信先ユーザ端末との間のネットワーク間通信の可否を判定する（ＳＴ１８）。

ここで、送信先ユーザ端末（ＵＴｎ）が発信元ユーザ端末（ＵＴｍ）に対してネットワーク間通信を許可していない場合（ＳＴ１８；否）、通信可否判定処理部２２は、当該ネットワーク間通信を拒否する旨を通信用アプリケーションサーバ１に通知し（ＳＴ１９）、同通信用アプリケーションサーバ１は、その拒否通知をユーザ端末ＵＴｍに転送する（ＳＴ２０）。これに対し、送信先ユーザ端末が発信元ユーザ端末に対してネットワーク間通信を許可している場合（ＳＴ１８；可）、通信可否判定処理部２２は、その旨及びノード情報の内容を経路上スイッチ識別処理部２３に通知する。

次に、経路上スイッチ識別処理部２３は、ノード情報に含まれる発信元ユーザ端末（ＵＴｍ）のＩＰアドレス及び送信先ユーザ端末（ＵＴｎ）のＩＰアドレスと、ユーザネットワーク設定管理テーブル２６に登録された複数のユーザネットワークＮＷａ〜ＮＷｙの各ＩＰアドレス、並びにスイッチ配線管理テーブル２７に登録された各スイッチＳＷ１〜ＳＷ４のＩＰアドレス及び共有ネットワークＮＷｏとの接続に使用される物理ポート番号とに基づいて、ネットワーク間通信に関するフィルタリング設定を変更する際の制御対象をなす全ての経路上スイッチ（ここではスイッチＳＷ１〜ＳＷ３）の当該ＩＰアドレス、及び共有ネットワークＮＷｏとの接続に使用される当該物理ポート番号を識別する（ＳＴ２１）。そして、同経路上スイッチ識別処理部２３は、識別した各データをフィルタリング設定変更処理部２４へ通知する。

次に、フィルタリング設定変更処理部２４は、経路上スイッチ識別処理部２３で識別された各データに基づき、各スイッチＳＷ１〜ＳＷ４のうち発信元ユーザ端末と送信先ユーザ端末とを結ぶ複合ネットワークα上に存在する全ての経路上スイッチ（ＳＷ１〜ＳＷ３）の該当する物理ポートをコマンド制御して（設定変更要求を行って）、ネットワーク間通信に関するフィルタリング設定を定常時の禁止設定から許可設定へと変更する（ＳＴ２２，ＳＴ２３）。そして、同フィルタリング設定変更処理部２４は、今回のネットワーク間通信に関与する発信元ユーザ端末（ＵＴｍ）、送信先ユーザ端末（ＵＴｎ）、及び通信用アプリケーションサーバ１の各ＩＰアドレス及び各論理ポート番号と、そのフィルタリング設定の変更に係る全ての経路上スイッチのＩＰアドレス及び物理ポート番号との対応付けを図って得たフィルタリング設定の変更情報を、フィルタリング設定変更管理テーブル２８に保存した後に、所要の設定変更が完了した旨を通信用アプリケーションサーバ１に通知する（ＳＴ２４）。

上記変更完了通知を受けた通信用アプリケーションサーバ１は、前述したＳＴ１６のノード情報収集処理の実施のため一旦保留した応答メッセージ（200 OK）をユーザ端末ＵＴｍに転送し（ＳＴ２５）、これにより、ユーザ端末ＵＴｍ（発信元ユーザ端末）とユーザ端末ＵＴｎ（送信先ユーザ端末）との間に、映像・音声通信に係るメディアセッションが確立される（ＳＴ２６）。

次に、ユーザ端末ＵＴｍが、上記メディアセッションを終了させるために、ユーザ端末ｎに対する通信終了コマンド（BYE）を通信用アプリケーションサーバ１に送信すると（ＳＴ２７）、同通信用アプリケーションサーバ１は、その通信終了コマンドをユーザ端末ＵＴｎに転送する（ＳＴ２８）。

これに対し、ユーザ端末ＵＴｎは、今回のメディアセッションの終了を許可するための応答メッセージ（200 OK）を通信用アプリケーションサーバ１に送信し（ＳＴ２９）、同通信用アプリケーションサーバ１は、その応答メッセージをユーザ端末ＵＴｍに転送すると共に（ＳＴ３０）、今回のネットワーク間通信（接続制御セッション）が全て終了した旨を、先にＳＴ１６の処理で取得したノード情報と共に接続制御サーバ２に通知する（ＳＴ３１）。

そして、上記ノード情報の通知を再び受けた接続制御サーバ２のフィルタリング設定変更処理部２４は、フィルタリング設定変更管理テーブル２８を検索することにより、当該ノード情報と合致する発信元ユーザ端末（ＵＴｍ）、送信先ユーザ端末（ＵＴｎ）、及び通信用アプリケーションサーバ１の各ＩＰアドレス及び論理ポート番号を含むフィルタリング設定の変更情報を読み出し、これにより特定される全ての経路上スイッチ（ＳＷ１〜ＳＷ３）の該当する物理ポートをコマンド制御して（設定復旧要求を行って）、ネットワーク間通信に関するフィルタリング設定を現在の許可設定から定常時の禁止設定へと復旧させ（ＳＴ３２，ＳＴ３３）、以上により全ての処理を終了する。

以上、本発明の第１装置例及びこれに対応する第１方法例につき、通信用アプリケーションサーバ１に導入される通信アプリケーションのプロトコルとして、ＳＩＰプロトコルを適用した場合を例に挙げて説明したが、これに代えて、例えば、Ｈ．３２３プロトコルを導入してなる通信用アプリケーションサーバ１（Ｈ．３２３ゲートキーパ）を適用することもできる。この場合、上述した処理ＳＴ１１〜ＳＴ１５及びＳＴ２５〜ＳＴ３０におけるＳＩＰプロトコル用のコマンド及びメッセージが、当該Ｈ．３２３プロトコル用のものに単に置き換わるだけであり、他の処理については何ら変更を加えることなく、本発明を同様に実施することが可能である。

（第２装置例）
次に、図８は、本発明の第２装置例に係るネットワーク間接続制御システム装置に適用されるユーザ端末、通信アプリケーションサーバ、及び接続制御サーバの機能ブロック図である。なお、本第２装置例に適用されるネットワーク構成は、第１装置例におけるそれと実質的に同等であるため、その詳細な説明は省略し、該当する図１を本第２装置例の説明に流用する。また、本第２装置例における各構成要素の機能ブロック構成は、第１装置例におけるそれと大部分において共通するため、その該当部分に関する詳細な説明は省略し、相違するブロック構成のみを説明する（第１装置例のそれと同一の構成要素に対しては、本第２装置例においても同じ符号を用いる。但し、ユーザ端末については、第１装置例のそれと実際には構成が異なるが、便宜上、本第２装置例においても同じ符号「ＵＴａ〜ＵＴｙ」を用いる）。

同図に示すように、本第２装置例に係るネットワーク間接続制御システム装置β（複合ネットワークβ）に適用される通信アプリケーションサーバ１は、第１装置例におけるそれと同等な機能手段を具備し、各ユーザ端末ＵＴａ〜ＵＴｙは、それぞれロケーション情報通知処理部ＵＴ１１を具備して構成される。即ち、同ロケーション情報通知処理部ＵＴ１１は、通信アプリケーションによる接続制御のセッションの開始直前に、該当するユーザ端末ＵＴａ〜ＵＴｙに付与されているＩＰアドレス（静的又は動的ＩＰアドレス）と共に、当該セッションの確立を要求しようとするユーザ（即ち、上記ＩＰアドレスを付与されたユーザ端末ＵＴａ〜ＵＴｙを現在使用しているユーザ。図示せず）に予め付与されたユーザＩＤ及びパスワードをユーザ入力に応じて取得し、これらを対応付け編成してなるロケーション情報を接続制御サーバ２ａに通知する機能手段である。

ここで、通信用アプリケーションサーバ１に導入される通信アプリケーションのプロトコルとしては、第１装置例の場合と同様、ＳＩＰプロトコルやＨ．３２３プロトコルなどを適用することができる。また、各ユーザ端末ＵＴａ〜ＵＴｙのＩＰアドレスとしては、第１装置例の場合と同様に静的ＩＰアドレスを使用できる他、各戸毎のユーザネットワークＮＷａ〜ＮＷｙにそれぞれ付与されたネットワークアドレスのサブネットの範囲でＤＨＣＰ（Dynamic Host Configuration Protocol）により割り当てられた動的ＩＰアドレスの使用も許容される。

これに対し、接続制御サーバ２ａは、第１装置例と同様な経路上スイッチ識別処理部２３、フィルタリング設定変更処理部２４、ユーザネットワーク設定管理テーブル２６、スイッチ配線管理テーブル２７、及びフィルタリング設定変更管理テーブル２８の他、本第２装置例に特徴的な機能手段としてのユーザ情報登録処理部２１ａ、通信可否判定処理部２２ａ、及びアドレス−ＩＤ変換処理部２９と、データ保持手段としてのユーザ情報管理テーブル２５ａ、及びロケーション情報管理テーブル３０とを具備して構成される。

即ち、ユーザ情報登録処理部２１ａは、通信アプリケーションによる接続制御に先立ち、ネットワーク間通信を希望するユーザ毎に、該当する一のユーザに付与されたユーザＩＤ、及び当該一のユーザが通信を許可する他のユーザに付与されたユーザＩＤを対応付け編成してなるユーザＩＤ情報（詳細は後述）を、ユーザ情報管理テーブル２５ａに書き込んで登録する機能手段である。

アドレス−ＩＤ変換処理部２９は、ロケーション情報通知処理部ＵＴ１１から通知されたロケーション情報に含まれるユーザＩＤが、ロケーション情報管理テーブル３０の内容（詳細は後述）に照らして適正なものである場合に、ノード情報収集処理部１１から通知されたノード情報に含まれる発信元ユーザ端末のＩＰアドレス及び送信先ユーザ端末のＩＰアドレスを、それぞれ、ロケーション情報通知処理部ＵＴ１１から通知されたロケーション情報に含まれるＩＰアドレスに基づいて、対応する発信元ユーザＩＤ及び送信先ユーザＩＤに変換する機能手段である。

通信可否判定処理部２２ａは、アドレス−ＩＤ変換処理部２９で変換された送信先ユーザＩＤが、ユーザ情報登録処理部２１ａによりユーザ情報管理テーブル２５ａ登録されたユーザＩＤ情報中に一のユーザのユーザＩＤとして登録され、かつ、アドレス−ＩＤ変換処理部２９で変換された発信元ユーザＩＤが、その登録に係る一のユーザが通信を許可する他のユーザのユーザＩＤとして当該ユーザＩＤ情報中に登録されているか否かを検証して、発信元ユーザ端末と送信先ユーザ端末との間のネットワーク間通信の可否を判定する機能手段である。

図９は、図８に示したユーザ情報管理テーブル２５ａに登録されるユーザＩＤ情報のテーブル構成図である。

同図に示すように、ユーザ情報管理テーブル２５ａには、ネットワーク間通信を希望するユーザ毎に、通信を行う一のユーザ（例えば、ユーザネットワークＮＷｍ上のユーザ端末ＵＴｍを現在使用しているユーザ）のユーザＩＤと、通信用アプリケーションサーバ１のＩＰアドレスと、当該通信用アプリケーションサーバ１の通信アプリケーションが接続制御セッションで使用する論理ポート番号と、上記一のユーザが通信を許可する他のユーザ（例えば、ユーザネットワークＮＷｎ上のユーザ端末ＵＴｎ）のＩＰアドレスとを対応付け編成してなるユーザＩＤ情報が登録される。なお、当該ユーザＩＤ情報は、図８に示すように、ユーザ情報登録処理部２１ａによる書込み、及び通信可否判定処理部２９による読出しが可能なようになっている。

図１０は、第８図に示したロケーション情報管理テーブル３０に登録されるユーザロケーションの対応情報のテーブル構成図である。

同図に示すように、ロケーション情報管理テーブル３０には、ネットワーク間通信を希望するユーザ毎に、通信を行う一のユーザに予め付与されたユーザＩＤ及びパスワードが事前に蓄積、管理されると共に、当該ユーザＩＤ及びパスワードと、ロケーション情報通知処理部ＵＴ１１から通知されるＩＰアドレスとの関係を定義してなるユーザロケーションの対応情報が登録される。なお、当該対応情報は、図８に示すように、アドレス−ＩＤ変換処理部２９による読出しが可能なようになっている。

（第２方法例）
続いて、以上のように構成された第２装置例に係るネットワーク間接続制御システム装置βに適用される第２方法例につき、通信用アプリケーションサーバ１として、第１方法例と同様、ＳＩＰプロトコルを導入してなる「ＳＩＰプロキシサーバ」を設定し、かつ、ネットワーク間通信を希望している一のユーザが、ユーザネットワークＮＷｍ上の「ユーザ端末ＵＴｍ」を使用し、当該ネットワーク通信を許可している他のユーザの一つが、ユーザネットワークＮＷｎ上の「ユーザ端末ＵＴｎ」を使用している場合を想定して説明する。

図１１は、本発明の第２方法例に係るネットワーク間接続制御方法を説明するためのフローチャートである。なお、本第２方法例における処理は、第１方法例におけるそれと大部分において共通するため、その該当部分に関する詳細な説明は省略し、相違する処理のみを説明する。

同図に示すように、本第２方法例では、まず、ネットワーク間通信を希望する全てのユーザ（ここではユーザ端末ＵＴｍを使用するユーザ）が、通信アプリケーションによる接続制御に先立ち、当該ユーザに付与されたユーザＩＤと、通信用アプリケーションサーバ１のＩＰアドレスと、当該通信用アプリケーションサーバ１が接続制御セッションで使用する論理ポート番号と、そのユーザが通信を許可する他のユーザ（ユーザ端末ＵＴｎを使用するユーザを含む）に付与されたユーザＩＤとを対応付けて登録するための要求を、接続制御サーバ２ａに送信することにより（ＳＴ１ａ）、その処理が開始される。

上記登録要求を受信した接続制御サーバ２ａのユーザ情報登録処理部２１ａは、当該登録要求に含まれる通信を行うユーザのユーザＩＤ、通信用アプリケーションサーバ１のＩＰアドレス及び論理ポート番号、並びに通信を許可するユーザのユーザＩＤを対応付けてこれをユーザＩＤ情報として編成し、当該ユーザＩＤ情報をユーザ情報管理テーブル２５ａに書き込んで登録する（ＳＴ２ａ）。そして、このユーザＩＤ情報の登録が完了すると、接続制御サーバ２ａは、その旨をユーザ端末ＵＴｍに通知する（ＳＴ３ａ）。

次に、ユーザ端末ＵＴｍが、上記登録通知を受けた後の任意のタイミングにおいて、通信用アプリケーションサーバ１により管理されるＳＩＰプロトコルの通信アプリケーションを起動し、当該通信アプリケーションによる接続制御のセッションを開始するために、当該ユーザ端末ＵＴｍを使用するユーザが自身のユーザＩＤ及びパスワードを入力すると、同ユーザ端末ＵＴｍにおけるロケーション情報通知処理部ＵＴ１１は、当該ユーザ端末ＵＴｍに付与されているＩＰアドレス（静的又は動的ＩＰアドレス）と共に、それら入力されたユーザＩＤ及びパスワードを取得し、これらを対応付け編成してなるロケーション情報を接続制御サーバ２ａに通知する（ＳＴ４，ＳＴ５）。

このとき、接続制御サーバ２ａのユーザ情報登録処理部２１ａは、通知されたロケーション情報に含まれるパスワードが、ロケーション情報管理テーブル３０に事前に登録されている対応するユーザＩＤのパスワードに一致した場合、適正なユーザＩＤが入力されたとして、その事前登録に係るユーザＩＤ及びパスワードと、通知されたロケーション情報に含まれるＩＰアドレスとを関連付け、これらをユーザロケーションの対応情報として同ロケーション情報管理テーブル３０に登録しなおす。

次に、ユーザ端末ＵＴｍが、前述した第１方法例の場合と同様、処理ＳＴ１１〜ＳＴ１５において、ユーザ端末ＵＴｎとの間でＳＩＰプロトコルの通信アプリケーションに関するコマンド及びレスポンスを授受し、処理ＳＴ１６〜ＳＴ１７において、通信用アプリケーションサーバ１のノード情報収集処理部１１が、所要のノード情報を収集して接続制御サーバ２ａに通知すると、同接続制御サーバ２ａのアドレス−ＩＤ変換処理部２９は、ノード情報収集処理部１１から通知されたノード情報に含まれる発信元ユーザ端末のＩＰアドレス及び送信先ユーザ端末のＩＰアドレスを、それぞれ、ユーザ情報登録処理部２１ａによりロケーション情報管理テーブル３０に登録された対応情報に含まれるＩＰアドレスに基づいて、対応する発信元ユーザＩＤ及び送信先ユーザＩＤに変換する（ＳＴ１８ａ）。そして、同アドレス−ＩＤ変換処理部２９は、変換した発信元ユーザＩＤ及び送信先ユーザＩＤを通信可否判定処理部２２ａに通知する。

上記発信元ユーザＩＤ及び送信先ユーザＩＤの通知を受けた通信可否判定処理部２２ａは、通知された送信先ユーザＩＤが、ユーザ情報登録テーブル２５ａに登録されたユーザＩＤ情報中に、通信を行う一のユーザのユーザＩＤとして登録され、かつ、通知された発信元ユーザＩＤが、その登録に係る一のユーザが通信を許可する他のユーザのユーザＩＤとして当該ユーザＩＤ情報中に登録されているか否かを検証して、発信元ユーザ端末と送信先ユーザ端末との間のネットワーク間通信の可否を判定する（ＳＴ１８ｂ）。

そして以下、前述した第１方法例の場合と同様、所要の処理ＳＴ１９〜ＳＴ３３を経て全ての処理を終了する。

以上、本発明の第２装置例及びこれに対応する第２方法例につき、通信用アプリケーションサーバ１に導入される通信アプリケーションのプロトコルとして、ＳＩＰプロトコルを適用した場合を例に挙げて説明したが、無論、第１装置例及び方法例と同様、これに代わるＨ．３２３プロトコルを導入してなる通信用アプリケーションサーバ１を適用することもできる。

（第３装置例）

次に、図１２は、本発明の第３装置例に係るネットワーク間接続制御システム装置のネットワーク構成図である。

同図に示すように、本第３装置例に係るネットワーク間接続制御システム装置γ（複合ネットワークγ）は、共有ネットワークＮＷｏ上に、第１装置例で説明した単一の接続制御サーバ２（又は第２装置例における接続制御サーバ２ａ）と、所要の接続制御を種類の異なるプロトコルによりそれぞれ実施する２以上の通信アプリケーションの何れかを選択的に導入されてなる、第１及び第２装置例で示した通信用アプリケーションサーバ１とそれぞれ同等の構成をなす複数の通信用アプリケーションサーバ１ａ，１ｂ，…，１ｎとを具備して構成される。

ここで、接続制御サーバ２は、複数の通信用アプリケーションサーバ１ａ，１ｂ，…，１ｎの該当するノード情報収集処理部（１１）からそれぞれ通知されるノード情報に含まれる発信元ユーザ端末のＩＰアドレス及び論理ポート番号、並びに送信先ユーザ端末のＩＰアドレス及び論理ポート番号に基づいて、上記２以上の通信アプリケーションによる該当する接続制御をそれぞれ実施する機能手段を具備するものである。

（第３方法例）
続いて、以上のように構成された第３装置例に係るネットワーク間接続制御システム装置γに適用される第３方法例につき、通信用アプリケーションサーバ１として、Ｈ．３２３プロトコルを導入してなる「Ｈ．３２３ゲートキーパ」を設定し、かつ、第１方法例と同様、ネットワーク間通信を希望している一のユーザ端末が、ユーザネットワークＮＷｍ上の「ユーザ端末ＵＴｍ」であり、当該ネットワーク通信を許可している他のユーザ端末の一つが、ユーザネットワークＮＷｎ上の「ユーザ端末ＵＴｎ」である場合を想定して説明する。

図１３は、本発明の第３方法例に係るネットワーク間接続制御方法を説明するためのフローチャートである。なお、本第３方法例における処理は、第１方法例におけるそれと大部分において共通するため、その該当部分に関する詳細な説明は省略し、相違する処理のみを説明する。

同図に示すように、本第３方法例では、通信アプリケーションに関するコマンド及びレスポンスの種類をＨ．３２３プロトコル用に対応させたのみで（ＳＴ１１ａ，ＳＴ１１ｂ，ＳＴＳＴ１２ａ，ＳＴ１２ｂ，ＳＴ１３ａ，ＳＴ１４ａ，ＳＴ１５ａ，ＳＴ２５ａ，ＳＴ２７ａ，ＳＴ２８ａ，ＳＴ２９ａ，ＳＴ３０ａ）、他の全ての処理については、第１方法例におけるそれと全て同様である。

ここで、接続制御サーバ２は、処理ＳＴ１７において、複数の通信用アプリケーションサーバ１ａ，１ｂ，…，１ｎの該当するノード情報収集処理部（１１）からそれぞれ通知されるノード情報に含まれる発信元ユーザ端末のＩＰアドレス及び論理ポート番号、並びに送信先ユーザ端末のＩＰアドレス及び論理ポート番号に基づいて、上記２以上の通信アプリケーションによる該当する接続制御に関する処理をそれぞれ実施し、その過程の処理ＳＴ１９及びＳＴ２４における拒否通知及び変更完了通知を、該当する複数の通信用アプリケーションサーバ１ａ，１ｂ，…，１ｎへそれぞれ個別に送出する。

即ち、接続制御サーバ２は、複数の通信用アプリケーションサーバ１ａ，１ｂ，…，１ｎの存在数や適用プロトコルの種別に依存することなく、それらを共通のメッセージ（拒否通知や変更完了通知）を用いて一括制御することができ、これにより、複数の通信アプリケーションによる効率よい接続制御が可能となる。

以上、本発明の実施の形態につき、その第１〜第３装置例及びこれに対応する第１〜第３方法例を挙げて説明したが、本発明は、必ずしも上述した手段及び手法にのみ限定されるものではなく、前述した効果を有する範囲内において、適宜、変更実施することが可能なものである。

本発明の第１装置例（及び第２装置例）に係るネットワーク間接続制御システム装置のネットワーク構成図である。 図１に示した通信用アプリケーションサーバ及び接続制御サーバの機能ブロック図である。 図２に示したユーザ情報管理テーブルに登録されるユーザ端末情報のテーブル構成図である。 図２に示したユーザネットワーク設定管理テーブルに登録されるユーザネットワークの設定情報のテーブル構成図である。 図２に示したスイッチ配線管理テーブルに登録される各スイッチの配線情報のテーブル構成図である。 図２に示したフィルタリング設定変更管理テーブルに随時登録されるフィルタリング設定の変更情報のテーブル構成図である。 本発明の第１方法例に係るネットワーク間接続制御方法を説明するためのフローチャートである。 本発明の第２装置例に係るネットワーク間接続制御システム装置に適用されるユーザ端末、通信アプリケーションサーバ、及び接続制御サーバの機能ブロック図である。 図８に示したユーザ情報管理テーブルに登録されるユーザＩＤ情報のテーブル構成図である。 第８図に示したロケーション情報管理テーブルに登録されるユーザロケーションの対応情報のテーブル構成図である。 本発明の第２方法例に係るネットワーク間接続制御方法を説明するためのフローチャートである。 本発明の第３装置例に係るネットワーク間接続制御システム装置のネットワーク構成図である。 本発明の第３方法例に係るネットワーク間接続制御方法を説明するためのフローチャートである。

符号の説明

α，β，γ…ネットワーク間接続制御システム装置（複合ネットワーク）
ＮＷｏ…共有ネットワーク
ＮＷａ，ＮＷｍ，ＮＷｎ，ＮＷｘ１，ＮＷｘ２，ＮＷｙ…ユーザネットワーク
ＳＷ１，ＳＷ２，ＳＷ３，ＳＷ４…スイッチ（経路上スイッチ）
ＵＴａ，ＵＴｍ，ＵＴｎ，ＵＴｘ，ＵＴｙ…ユーザ端末
ＵＴ１１…ロケーション情報通知処理部
１，１ａ，１ｂ，１ｎ…通信用アプリケーションサーバ
１１…ノード情報収集処理部
２…接続制御サーバ
２１，２１ａ…ユーザ情報登録処理部
２２，２２ａ…通信可否判定処理部
２３…経路上スイッチ識別処理部
２４…フィルタリング設定変更処理部
２５，２５ａ…ユーザ情報管理テーブル
２６…ユーザネットワーク設定管理テーブル
２７…スイッチ配線管理テーブル
２８…フィルタリング設定変更管理テーブル
２９…アドレスーＩＤ変換処理部
３０…ロケーション情報管理テーブル

Claims (20)

1. それぞれにつき１以上のユーザ端末の設置を許容して構成される複数のユーザネットワークと、これら複数のユーザネットワークから物理的に独立して構成される共有ネットワークと、ＯＳＩ参照モデルの第４層以上の処理が可能であり、前記複数のユーザネットワークと前記共有ネットワークとを相互に接続する１以上のスイッチとを有して構成され、当該１以上のスイッチが、その定常時において、前記複数のユーザネットワーク上に存在する全ての前記ユーザ端末と前記共有ネットワーク上に存在する任意のホスト端末との間の相互通信を許可し、かつ、前記複数のユーザネットワーク上に個々に存在する前記ユーザ端末間のネットワーク間通信を禁止するフィルタリング設定を施されてなる複合ネットワークにおいて、前記複数のユーザネットワーク上における前記ユーザ端末間の接続制御を行うためのネットワーク間接続制御方法であって、
   前記共有ネットワークは、
   前記任意のホスト端末として、
   前記ネットワーク間通信を許可するネットワークアーキテクチャ上に存在する任意のユーザ端末同士の接続制御を所定のプロトコルにより実施することの可能な通信アプリケーションを導入されてなる通信用アプリケーションサーバと、
   前記ネットワーク間通信を禁止された前記ユーザ端末間の前記接続制御を前記通信用アプリケーションサーバと協働して実施するための接続制御サーバと、を具備し、
   当該接続制御サーバは、
   前記通信アプリケーションによる前記接続制御に先立ち、前記ネットワーク間通信を希望する前記ユーザ端末毎に、該当する一のユーザネットワーク上における一のユーザ端末のＩＰアドレス、及び当該一のユーザ端末が通信を許可する他のユーザネットワーク上における他のユーザ端末のＩＰアドレスを対応付けて自身に登録する処理を実施し、
   前記通信用アプリケーションサーバは、
   前記通信アプリケーションによる前記接続制御のセッションの開始に伴い、当該セッションの確立を要求した発信元ユーザ端末のＩＰアドレス及び当該セッションで使用する論理ポート番号、並びに当該セッションの確立を要求された送信先ユーザ端末のＩＰアドレス及び当該セッションで使用する論理ポート番号を収集して、これらを対応付けながら前記接続制御サーバに通知する処理を実施し、
   当該接続制御サーバは、
   前記通信用アプリケーションサーバから通知された前記送信先ユーザ端末の前記ＩＰアドレスが、前記一のユーザ端末の前記ＩＰアドレスとして登録され、かつ、当該通信用アプリケーションサーバから通知された前記発信元ユーザ端末の前記ＩＰアドレスが、その登録に係る前記一のユーザ端末が通信を許可する前記他のユーザ端末の前記ＩＰアドレスとして登録されているか否かを検証して、前記発信元ユーザ端末と前記送信先ユーザ端末との間の前記ネットワーク間通信の可否を判定する処理と、
   この判定の結果、当該ネットワーク間通信が可能とされた場合に、前記１以上のスイッチのうち前記発信元ユーザ端末と前記送信先ユーザ端末とを結ぶ前記複合ネットワーク上に存在する全ての経路上スイッチを制御して、前記ネットワーク間通信に関する前記フィルタリング設定を定常時の禁止設定から許可設定へと変更する処理と、を順次実施する、
   ことを特徴とするネットワーク間接続制御方法。
2. 前記接続制御サーバは、
   前記一のユーザ端末の前記ＩＰアドレス及び前記他のユーザ端末の前記ＩＰアドレスを登録することに代え、前記通信アプリケーションによる前記接続制御に先立ち、前記ネットワーク間通信を希望するユーザ毎に、該当する一のユーザに付与されたユーザＩＤ、及び当該一のユーザが通信を許可する他のユーザに付与されたユーザＩＤを対応付けて自身に登録する処理を実施し、
   前記ユーザ端末は、
   前記通信アプリケーションによる前記接続制御のセッションの開始直前に、自身に付与されているＩＰアドレスと共に、当該セッションの確立を要求しようとする前記ユーザに予め付与されたユーザＩＤを取得して、これらを対応付けながら前記接続制御サーバに通知する処理を実施し、
   当該接続制御サーバは、
   前記ユーザ端末から通知された前記ユーザＩＤが適正なものである場合に、前記通信用アプリケーションサーバから通知された前記発信元ユーザ端末の前記ＩＰアドレス及び前記送信先ユーザ端末の前記ＩＰアドレスを、それぞれ、前記ユーザ端末から通知された対応する発信元ユーザＩＤ及び送信先ユーザＩＤに変換する処理と、
   前記送信先ユーザ端末の前記ＩＰアドレス及び前記発信元ユーザ端末の前記ＩＰアドレスに基づいて前記ネットワーク間通信の可否を判定することに代え、変換された前記送信先ユーザＩＤが、前記一のユーザの前記ユーザＩＤとして登録され、かつ、変換された前記発信元ユーザＩＤが、その登録に係る前記一のユーザが通信を許可する前記他のユーザの前記ユーザＩＤとして登録されているか否かを検証して、前記発信元ユーザ端末と前記送信先ユーザ端末との間の前記ネットワーク間通信の可否を判定する処理と、を順次実施する、
   ことを特徴とする請求項１に記載のネットワーク間接続制御方法。
3. 前記接続制御サーバは、
   前記１以上のスイッチの前記フィルタリング設定を変更する処理を実施するに先立ち、前記通信用アプリケーションサーバから通知された前記発信元ユーザ端末の前記ＩＰアドレス及び前記送信先ユーザ端末の前記ＩＰアドレスと、自身に予め登録された前記複数のユーザネットワークの各ＩＰアドレス、並びに前記１以上のスイッチのＩＰアドレス及び前記共有ネットワークとの接続に使用される物理ポート番号とに基づいて、前記ネットワーク間通信に関する前記フィルタリング設定を変更する際の制御対象をなす前記全ての経路上スイッチの当該ＩＰアドレス、及び前記共有ネットワークとの接続に使用される当該物理ポート番号を識別する処理を実施する、
   ことを特徴とする請求項１又は２に記載のネットワーク間接続制御方法。
4. 前記接続制御サーバは、
   前記１以上のスイッチの前記フィルタリング設定を変更する処理を実施するに際し、前記通信用アプリケーションサーバから通知された前記発信元ユーザ端末の前記ＩＰアドレス及び前記論理ポート番号、並びに前記送信先ユーザ端末の前記ＩＰアドレス及び前記論理ポート番号と、識別された前記全ての経路上スイッチの前記ＩＰアドレス及び前記物理ポート番号とを対応付けて自身に保存する処理を併せて実施する、
   ことを特徴とする請求項３に記載のネットワーク間接続制御方法。
5. 前記接続制御サーバは、
   前記通信アプリケーションによる前記接続制御のセッションの終了直後に、自身に保存された前記発信元ユーザ端末の前記ＩＰアドレス及び前記論理ポート番号、並びに前記送信先ユーザ端末の前記ＩＰアドレス及び前記論理ポート番号と、前記全ての経路上スイッチの前記ＩＰアドレス及び前記物理ポート番号とに基づいて、前記ネットワーク間通信に関する前記フィルタリング設定を前記許可設定から定常時の前記禁止設定へと復旧させる処理をさらに実施する、
   ことを特徴とする請求項４に記載のネットワーク間接続制御方法。
6. 前記共有ネットワークは、
   単一の前記通信用アプリケーションサーバに代え、所要の前記接続制御を種類の異なる前記プロトコルによりそれぞれ実施する２以上の通信アプリケーションの何れかを選択的に導入されてなる複数の通信用アプリケーションサーバを具備し、
   前記接続制御サーバは、
   当該複数の通信用アプリケーションサーバからそれぞれ通知される前記発信元ユーザ端末の前記ＩＰアドレス及び前記論理ポート番号、並びに前記送信先ユーザ端末の前記ＩＰアドレス及び前記論理ポート番号に基づいて、前記２以上の通信アプリケーションによる該当する前記接続制御をそれぞれ実施する、
   ことを特徴とする請求項１、２、３、４又は５に記載のネットワーク間接続制御方法。
7. それぞれにつき１以上のユーザ端末の設置を許容して構成される複数のユーザネットワークと、これら複数のユーザネットワークから物理的に独立して構成される共有ネットワークと、ＯＳＩ参照モデルの第４層以上の処理が可能であり、前記複数のユーザネットワークと前記共有ネットワークとを相互に接続する１以上のスイッチとを有して構成され、当該１以上のスイッチが、その定常時において、前記複数のユーザネットワーク上に存在する全ての前記ユーザ端末と前記共有ネットワーク上に存在する任意のホスト端末との間の相互通信を許可し、かつ、前記複数のユーザネットワーク上に個々に存在する前記ユーザ端末間のネットワーク間通信を禁止するフィルタリング設定を施されてなる複合ネットワークにおいて、前記複数のユーザネットワーク上における前記ユーザ端末間の接続制御を行うためのネットワーク間接続制御システム装置であって、
   前記共有ネットワークは、
   前記任意のホスト端末として、
   前記ネットワーク間通信を許可するネットワークアーキテクチャ上に存在する任意のユーザ端末同士の接続制御を所定のプロトコルにより実施することの可能な通信アプリケーションを導入されてなる通信用アプリケーションサーバと、
   前記ネットワーク間通信を禁止された前記ユーザ端末間の前記接続制御を前記通信用アプリケーションサーバと協働して実施するための接続制御サーバと、を具備して構成され、
   前記通信用アプリケーションサーバは、
   前記通信アプリケーションによる前記接続制御のセッションの開始に伴い、当該セッションの確立を要求した発信元ユーザ端末のＩＰアドレス及び当該セッションで使用する論理ポート番号、並びに当該セッションの確立を要求された送信先ユーザ端末のＩＰアドレス及び当該セッションで使用する論理ポート番号を収集して、これらの対応付けを図って得たノード情報を前記接続制御サーバに通知するノード情報収集処理手段を具備し、
   当該接続制御サーバは、
   前記通信アプリケーションによる前記接続制御に先立ち、前記ネットワーク間通信を希望する前記ユーザ端末毎に、該当する一のユーザネットワーク上における一のユーザ端末のＩＰアドレス、及び当該一のユーザ端末が通信を許可する他のユーザネットワーク上における他のユーザ端末のＩＰアドレスを対応付け編成してなるユーザ端末情報を登録するユーザ情報登録処理手段と、
   前記ノード情報収集処理手段から通知された前記ノード情報に含まれる前記送信先ユーザ端末の前記ＩＰアドレスが、前記ユーザ情報登録処理手段により登録された前記ユーザ端末情報中に前記一のユーザ端末の前記ＩＰアドレスとして登録され、かつ、当該ノード情報に含まれる前記発信元ユーザ端末の前記ＩＰアドレスが、その登録に係る前記一のユーザ端末が通信を許可する前記他のユーザ端末の前記ＩＰアドレスとして当該ユーザ端末情報中に登録されているか否かを検証して、前記発信元ユーザ端末と前記送信先ユーザ端末との間の前記ネットワーク間通信の可否を判定する通信可否判定処理手段と、
   この通信可否判定処理手段による判定の結果、当該ネットワーク間通信が可能とされた場合に、前記１以上のスイッチのうち前記発信元ユーザ端末と前記送信先ユーザ端末とを結ぶ前記複合ネットワーク上に存在する全ての経路上スイッチを制御して、前記ネットワーク間通信に関する前記フィルタリング設定を定常時の禁止設定から許可設定へと変更するフィルタリング設定変更処理手段と、を具備する、
   ことを特徴とするネットワーク間接続制御システム装置。
8. 前記接続制御サーバは、
   前記ユーザ情報登録処理手段による前記ユーザ端末情報の書込み、及び前記通信可否判定処理手段による当該ユーザ端末情報の読出しが可能なユーザ情報管理テーブルを具備する、
   ことを特徴とする請求項７に記載のネットワーク間接続制御システム装置。
9. 前記ユーザ端末は、
   前記通信アプリケーションによる前記接続制御のセッションの開始直前に、自身に付与されているＩＰアドレスと共に、当該セッションの確立を要求しようとする前記ユーザに予め付与されたユーザＩＤ及びパスワードを取得し、これらを対応付け編成してなるロケーション情報を前記接続制御サーバに通知するロケーション情報通知処理手段を具備し、
   前記ユーザ情報登録処理手段は、
   前記一のユーザ端末の前記ＩＰアドレス及び前記他のユーザ端末の前記ＩＰアドレスを含んでなる前記ユーザ端末情報を登録することに代え、前記通信アプリケーションによる前記接続制御に先立ち、前記ネットワーク間通信を希望するユーザ毎に、該当する一のユーザに付与されたユーザＩＤ、及び当該一のユーザが通信を許可する他のユーザに付与されたユーザＩＤを対応付け編成してなるユーザＩＤ情報を登録する機能手段を具備し、
   前記接続制御サーバは、
   前記ロケーション情報通知処理手段から通知された前記ロケーション情報に含まれる前記ユーザＩＤが適正なものである場合に、前記ノード情報収集処理手段から通知された前記ノード情報に含まれる前記発信元ユーザ端末の前記ＩＰアドレス及び前記送信先ユーザ端末の前記ＩＰアドレスを、それぞれ、前記ロケーション情報通知処理手段から通知された前記ロケーション情報に含まれる前記ＩＰアドレスに基づいて、対応する発信元ユーザＩＤ及び送信先ユーザＩＤに変換するアドレス−ＩＤ変換処理手段を具備し、
   前記通信可否判定処理手段は、
   前記ノード情報収集処理手段から通知された前記ノード情報に含まれる前記送信先ユーザ端末の前記ＩＰアドレス、及び前記発信元ユーザ端末の前記ＩＰアドレスに基づいて前記ネットワーク間通信の可否を判定することに代え、前記アドレス−ＩＤ変換処理手段で変換された前記送信先ユーザＩＤが、前記ユーザ情報登録処理手段により登録された前記ユーザＩＤ情報中に前記一のユーザの前記ユーザＩＤとして登録され、かつ、前記アドレス−ＩＤ変換処理手段で変換された前記発信元ユーザＩＤが、その登録に係る前記一のユーザが通信を許可する前記他のユーザの前記ユーザＩＤとして当該ユーザＩＤ情報中に登録されているか否かを検証して、前記発信元ユーザ端末と前記送信先ユーザ端末との間の前記ネットワーク間通信の可否を判定する機能手段を具備する、
   ことを特徴とする請求項７に記載のネットワーク間接続制御システム装置。
10. 前記接続制御サーバは、
    前記ユーザ情報登録処理手段による前記ユーザＩＤ情報の書込み、及び前記通信可否判定処理手段による当該ユーザＩＤ情報の読出しが可能なユーザ情報管理テーブルを具備する、
    ことを特徴とする請求項９に記載のネットワーク間接続制御システム装置。
11. 前記接続制御サーバは、
    前記ユーザに予め付与された前記ユーザＩＤ及び前記パスワードと、前記ロケーション情報通知処理手段から通知される前記ＩＰアドレスとの関係を定義してなるユーザロケーションの対応情報を登録し、前記ユーザ情報登録処理手段による当該ＩＰアドレスの書込み、前記アドレス−ＩＤ変換処理手段による当該ユーザＩＤの読出しが可能なロケーション情報管理テーブルを具備する、
    ことを特徴とする請求項９又は１０に記載のネットワーク間接続制御システム装置。
12. 前記接続制御サーバは、
    前記フィルタリング設定変更処理手段において前記１以上のスイッチの前記フィルタリング設定を変更するに先立ち、前記ノード情報収集処理手段から通知された前記ノード情報に含まれる前記発信元ユーザ端末の前記ＩＰアドレス及び前記送信先ユーザ端末の前記ＩＰアドレスと、予め登録された前記複数のユーザネットワークの各ＩＰアドレス、並びに前記１以上のスイッチのＩＰアドレス及び前記共有ネットワークとの接続に使用される物理ポート番号とに基づいて、前記ネットワーク間通信に関する前記フィルタリング設定を変更する際の制御対象をなす前記全ての経路上スイッチの当該ＩＰアドレス、及び前記共有ネットワークとの接続に使用される当該物理ポート番号を識別する経路上スイッチ識別処理手段を具備する、
    ことを特徴とする請求項７、８、９、１０又は１１に記載のネットワーク間接続制御システム装置。
13. 前記接続制御サーバは、
    前記複数のユーザネットワークの前記各ＩＰアドレスと、前記１以上のスイッチの前記ＩＰアドレスとの関係を定義してなる当該複数のユーザネットワークの設定情報を蓄積、管理し、前記経路上スイッチ識別処理手段による当該設定情報の読出しが可能なユーザネットワーク設定管理テーブルを具備する、
    ことを特徴とする請求項１２に記載のネットワーク間接続制御システム装置。
14. 前記接続制御サーバは、
    前記１以上のスイッチの前記ＩＰアドレスと、前記共有ネットワークとの接続に使用される前記物理ポート番号との関係を定義してなる当該１以上のスイッチの配線情報を蓄積、管理し、前記経路上スイッチ識別処理手段による当該配線情報の読出しが可能なスイッチ配線管理テーブルを具備する、
    ことを特徴とする請求項１２又は１３に記載のネットワーク間接続制御システム装置。
15. 前記フィルタリング設定変更処理手段は、
    前記１以上のスイッチの前記フィルタリング設定を変更するに際し、前記ノード情報収集処理手段から通知された前記ノード情報に含まれる前記発信元ユーザ端末の前記ＩＰアドレス及び前記論理ポート番号、並びに前記送信先ユーザ端末の前記ＩＰアドレス及び前記論理ポート番号と、前記経路上スイッチ識別処理手段で識別された前記全ての経路上スイッチの前記ＩＰアドレス及び前記物理ポート番号とを対応付けて保存する機能手段を併せて具備する、
    ことを特徴とする請求項１２、１３又は１４に記載のネットワーク間接続制御システム装置。
16. 前記フィルタリング設定変更処理手段は、
    前記通信アプリケーションによる前記接続制御のセッションの終了直後に、当該機能手段により保存された前記発信元ユーザ端末の前記ＩＰアドレス及び前記論理ポート番号、並びに前記送信先ユーザ端末の前記ＩＰアドレス及び前記論理ポート番号と、前記全ての経路上スイッチの前記ＩＰアドレス及び前記物理ポート番号とに基づいて、前記ネットワーク間通信に関する前記フィルタリング設定を前記許可設定から定常時の前記禁止設定へと復旧させる機能手段をさらに具備する、
    ことを特徴とする請求項１５に記載のネットワーク間接続制御システム装置。
17. 前記接続制御サーバは、
    前記発信元ユーザ端末の前記ＩＰアドレス及び前記論理ポート番号、並びに前記送信先ユーザ端末の前記ＩＰアドレス及び前記論理ポート番号と、前記全ての経路上スイッチの前記ＩＰアドレス及び前記物理ポート番号との関係を定義してなる前記フィルタリング設定の変更情報を蓄積、管理し、前記フィルタリング設定変更処理手段による当該変更情報の書込み及び／又は読出しが可能なフィルタリング設定変更管理テーブルを具備する、
    ことを特徴とする請求項１５又は１６に記載のネットワーク間接続制御システム装置。
18. 前記共有ネットワークは、
    単一の前記通信用アプリケーションサーバに代え、所要の前記接続制御を種類の異なる前記プロトコルによりそれぞれ実施する２以上の通信アプリケーションの何れかを選択的に導入されてなる複数の通信用アプリケーションサーバを具備して構成され、
    前記接続制御サーバは、
    当該複数の通信用アプリケーションサーバの該当する前記ノード情報収集処理手段からそれぞれ通知される前記ノード情報に含まれる前記発信元ユーザ端末の前記ＩＰアドレス及び前記論理ポート番号、並びに前記送信先ユーザ端末の前記ＩＰアドレス及び前記論理ポート番号に基づいて、前記２以上の通信アプリケーションによる該当する前記接続制御をそれぞれ実施する機能手段を具備する、
    ことを特徴とする請求項７、８、９、１０、１１、１２、１３、１４、１５、１６又は１７に記載のネットワーク間接続制御システム装置。
19. 前記通信アプリケーションに適用される前記プロトコルは、
    ＲＦＣ３２６１準拠のＳＩＰプロトコルである、
    ことを特徴とする請求項７、８、９、１０、１１、１２、１３、１４、１５、１６、１７又は１８に記載のネットワーク間接続制御システム装置。
20. 前記通信アプリケーションに適用される前記プロトコルは、
    ＩＴＵ−Ｔ勧告のＨ．３２３プロトコルである、
    ことを特徴とする請求項７、８、９、１０、１１、１２、１３、１４、１５、１６、１７又は１８に記載のネットワーク間接続制御システム装置。

Images