JP2006054637A - 通信装置 - Google Patents

Abstract

【目的】 ＩＰｖ６により通信を行う機能を有する通信装置において、外部装置からのアクセスを適切に制御してセキュリティを強化できるようにする。
【構成】 ＩＰｖ６により他の装置と通信可能な通信装置において、アクセス要求を受けた場合に、そのアクセス要求を行った機器のＩＰアドレスを取得し、その取得したＩＰアドレスに基づいてアクセスの可否を判断するようにする。この場合、アクセスを許可するあるいは許可しないＩＰアドレスを、直接アドレス指定の他、開始アドレスと終了アドレスによって規定されるアドレス範囲や、基準アドレス及び、その基準アドレスとの一致をチェックする範囲を規定するマスク長を用いて指定できるようにするとよい。
【選択図】 図８

Description

この発明は、ＩＰｖ６（インターネット・プロトコル・バージョン６：Internet Protocol Version 6）により通信を行う機能を有する通信装置に関し、特に、アクセスコントロールに特徴を有する通信装置に関する。

近年においては、インターネットによる広域ネットワークにとどまらず、構内ネットワークであるＬＡＮにおいても、ネットワーク機器間の通信用プロトコルとしてＩＰ（Internet Protocol）が広く利用されている。インターネットの普及時に、始めに広く普及したＩＰはバージョン４のものであり、これは機器を個別に認識するためのＩＰアドレスを３２ビット長で表記するようになっている。しかし、この３２ビット長のアドレスの枯渇問題を解決すべく、１２８ビット長でアドレス表記するＩＰｖ６に関する技術が急速に発達してきている。
そして、上記のようなＩＰｖ６を利用することによって、膨大な数のアドレスが用意されることになるため、様々な機器に個別にＩＰアドレスを割り振ることができ、ネットワークの発展性、利便性が向上することが期待されている。
これらの技術に関連する内容が記載されている文献としては、例えば特許文献１及び２が挙げられる。
特開２００３−１３２０３０号公報 特開２００２−６３００８号公報

しかし、ＩＰｖ６を活用するとしても、予期せぬアクセスによる情報の漏洩や破壊などといった危険性があり、外部装置からのアクセスを適切に制御してセキュリティを強化することが要望されている。
この発明は、このような問題を解決するためになされたものであり、ＩＰｖ６により通信を行う機能を有する通信装置において、外部装置からのアクセスを適切に制御してセキュリティを強化できるようにすることを目的とする。

上記の目的を達成するため、この発明の通信装置は、ＩＰｖ６により他の装置と通信可能な通信装置において、アクセス要求を受けた場合に、そのアクセス要求を行った機器のＩＰアドレスを取得する取得手段と、その取得手段より取得したＩＰアドレスに基づいてアクセスの可否を判断する判断手段とを設けたものである。
このような通信装置において、上記判断手段によるアクセス可否の判断を、上記アクセス要求がＩＰｖ６を用いた要求であるか否かに基づいて行うようにするとよい。

あるいは、アクセスを許可するアドレスである許可アドレスを指定する許可アドレス指定手段を設け、上記判断手段に、上記取得手段によって取得したＩＰアドレスが上記許可アドレスとして指定されているアドレスである場合にアクセスを許可する手段を設けるとよい。
あるいはまた、アクセスを許可しないアドレスである不許可アドレスを指定する不許可アドレス指定手段を設け、上記判断手段に、上記取得手段によって取得したＩＰアドレスが上記不許可アドレスとして指定されているアドレスである場合にアクセスを許可しないようにする手段を設けるとよい。

また、上記の通信装置において、上記許可アドレスを、開始アドレスと終了アドレスによって規定される範囲内のアドレスとして指定するようにするとよい。
あるいは、上記不許可アドレスを、開始アドレスと終了アドレスによって規定される範囲内のアドレスとして指定するようにするとよい。
あるいは、上記許可アドレスを、基準アドレス及び、その基準アドレスとの一致をチェックする範囲を規定するマスク長を用いて指定するようにするとよい。
あるいはまた、上記不許可アドレスを、基準アドレス及び、その基準アドレスとの一致をチェックする範囲を規定するマスク長を用いて指定するようにするとよい。

また、上記の各通信装置において、操作部と、上記許可アドレス又は上記不許可アドレスの指定を上記操作部により受け付ける手段とを設けるとよい。
あるいは、ウェブブラウザからの上記許可アドレス又は上記不許可アドレスの指定を受け付ける手段を設けてもよい。
あるいは、Ｔｅｌｎｅｔ方式の通信が可能であり、上記許可アドレス又は上記不許可アドレスの指定を上記Ｔｅｌｎｅｔ方式の通信により受け付ける手段とを設けてもよい。
あるいはまた、ＳＯＡＰプロトコルを使用するアプリケーションと、上記許可アドレス又は上記不許可アドレスの指定を上記アプリケーションにより受け付ける手段とを設けてもよい。

以上のような通信装置によれば、ＩＰｖ６により通信を行う機能を有する通信装置において、外部装置からのアクセスを適切に制御してセキュリティを強化できるようにすることができる。

以下、この発明を実施するための最良の形態を図面に基づいて具体的に説明する。
図１は、この発明の通信装置の実施形態である画像処理装置と、その画像処理装置と通信可能なＰＣ（パーソナルコンピュータ）とによって構成した通信システムの例を示す図である。図２は、その画像処理装置のソフトウェアモジュールの構成図、図３は図２に示したＮＣＳ内のソフトウェア構成をより詳細に示す図である。

図１に示す画像処理装置１は、コピー、ファクシミリ、スキャナ、プリンタ等の機能および外部装置と通信を行う機能を備えた複合機であり、それらの機能に係るサービスを提供するためのアプリケーションプログラムを実装しているものである。そして図示するように、画像処理装置１の側面には操作パネル部１ａと表示部１ｂが設けられており、また印刷処理のための指令やデータを送信するＰＣ２とはＬＡＮ（ローカルエリアネットワーク）等によるネットワークＮを介して通信可能である。

この画像処理装置１におけるソフトウェア構成を図２を用いて説明する。
この画像処理装置１のソフトウェア構成は、最上位のアプリケーションモジュール層、およびその下位のサービスモジュール層からなる。そして、これらのソフトウェアを構成するプログラムは画像処理装置１に備えられるＲＯＭ等の不揮発性メモリ（不図示）に記憶され、必要に応じて読み出されて同じく画像処理装置１に備えられるＣＰＵ（不図示）によって実行される。そしてこのことにより、画像処理装置１は画像処理、ネットワーク通信、アクセス制御等の種々の機能を実現することができる。

アプリケーションモジュール層のソフトウェアは、ＣＰＵに各種ハードウェア資源を動作させて所定の機能を実現させるためのプログラムによって構成され、サービスモジュール層のソフトウェアは、各種ハードウェア資源と各アプリケーションモジュールとの間に介在し、ＣＰＵに複数のアプリケーションモジュールからの各種ハードウェア資源に対する動作要求の受付、その動作要求の調停、およびその動作要求に基づく動作の実行制御を行わせるためのプログラムによって構成される。

サービスモジュール層には、エンジンコントロールサービス（ＥＣＳ）３、メモリコントロールサービス（ＭＣＳ）４、オペレーションコントロールサービス（ＯＣＳ）５、ファクスコントロールサービス（ＦＣＳ）６、ネットワークコントロールサービス（ＮＣＳ）７、システムコントロールサービス（ＳＣＳ）８、システムリソースマネージャ（ＳＲＭ）９、イメージメモリハンドラ（ＩＭＨ）１０を実装している。更に、アプリケーションモジュール層には、プリンタアプリ１１、コピーアプリ１２、ファクスアプリ１３、スキャナアプリ１４、ネットワークアプリ１５、ウェブアプリ１６を実装している。

これらを更に詳述する。
ＥＣＳ３は、ハードウェアリソース等のエンジンを制御するモジュールである。
ＭＣＳ４は、メモリ制御をするモジュールであり、例えば、画像メモリの取得及び開放、ＨＤＤの利用等を行う。
ＯＣＳ５は、操作パネル部１ａを制御するモジュールである。
ＦＣＳ６は、ファクシミリ送受信、ファクシミリ読み取り、ファクシミリ受信印刷等を行うモジュールである。
ＮＣＳ７は、ネットワークとアプリケーションモジュール層の各アプリケーションプログラムとの仲介処理を行わせるモジュールである。

ＳＣＳ８は、コマンドの内容に応じたアプリケーションモジュール層の各アプリケーションプログラムの起動管理及び終了管理を行うモジュールである。
ＳＲＭ９は、システムの制御及びリソースの管理を行うモジュールである。
ＩＭＨ１０は、一時的に画像データを入れておくメモリを管理するモジュールである。

そしてこれらモジュールがＦＣＵ１７、プロッタ１８、スキャナ１９、ＨＤＤ２０等のハードウェアを駆動制御している。
ＦＣＵ１７は、ＦＡＸ装置又はモデム機能を有するデジタル複写機やデジタル複合機等の画像形成装置および管理装置等の外部装置との通信を公衆回線経由で制御する手段である。
プロッタ１８は、転写紙に画像を形成する画像形成手段である。
スキャナ１９は、載置された原稿を光学的に読み取る画像読取手段である。
ＨＤＤ２０は、電源のオン・オフに関係なくデータを記憶保存する記憶手段である。

プリンタアプリ１１は、プリンタサービスを実現するためのアプリケーションプログラムである。
コピーアプリ１２は、コピーサービスを実現するためのアプリケーションプログラムである。
ファクスアプリ１３は、ファクスサービスを実現するためのアプリケーションプログラムである。

スキャナアプリ１４は、スキャナサービスを実現するためのアプリケーションプログラムである。
ネットワークアプリ１５は、ネットワークを介してデータを送受信する際のデータの変換機能を実現するためのアプリケーションプログラムである。
ウェブアプリ（Ｗｅｂアプリケーション）１６は、ウェブサービスを実現するためのアプリケーションプログラムである。

ここで、画像処理装置１において、外部装置からのアクセスを制御する機能は、ネットワークＩ／Ｏを必要とするアプリケーションに対してネットワーク通信に関するサービスを共通に利用できるように提供するためのモジュール群の１つの機能として、上記のＮＣＳ７に実装される。そして、このＮＣＳ７はＩＰｖ６のプロトコルにより通信処理を行う機能を提供することができる。

次に、上述した画像処理装置１のソフトウェアの構成に含まれるＮＣＳ７の内部構成を図３を用いて更に説明する。同図に示すように、ＮＣＳサービスは、Socket Level API２１, Network Client２２, inetd２３, ippd２４, dhcpcd２５, telnetd２６, snmpd２７, ftpd２８, httpd２９, rshd３０, ipd３１, diprind３２, NAI３３の各種デーモンを実装している。なお、これら構成要素の末尾の「ｄ」は「デーモン」の略である。この実施形態におけるＩＰアドレスを用いたアクセス制御は、これらＮＣＳ７内に実装される全てのデーモンに関係して行われる。

ここで、ＰＣ２からＨＴＴＰ（Hypertext Transfer Protocol）によるアクセスの要求を受けた場合の各デーモンが行う処理のシーケンスについて、図４、図５を参照して説明する。
図４は、ＰＣ２から要求されたアクセスが画像処理装置で許可されない場合の処理を示すシーケンス図である。この図において、ネットワーク境界を挟んだ左側がアクセスを要求したＰＣ２での処理を示し、ネットワーク境界から右側は画像処理装置１での処理を示す。また、Ｈｔｔｐｄ（ＨＴＴＰデーモン）２９はＨＴＴＰによる通信を制御するモジュール、アクセスコントロールモジュール４０はアクセス可否の判断を行うモジュールである。Ｗｅｂ（ウェブ）アプリケーション１６は上述の通りウェブサービスを実現するためのモジュールである。

この図において、まずステップＳ１０１で、ＰＣ２がアクセス要求（ＨＴＴＰリクエスト）をネットワーク３を介して画像処理装置１に送信され、画像処理装置１中のＨｔｔｐｄ２９がそのアクセス要求を受信する。ここで、このＰＣ２から送信されるアクセス要求のヘッダには、送信元のＰＣ２のＩＰアドレスが含まれている。次にステップＳ１０２で、ｈｔｔｐｄ２９からアクセスコントロールモジュール４０へ、アクセス可否の判断に必要な情報が送られる。

そしてステップＳ１０３で、アクセスコントロールモジュール４０は、受け取った情報に基づいてＰＣ２からのアクセスの可否を判断する。この判断は、例えばＨＴＴＰリクエストに含まれていたＰＣ２のＩＰアドレスや、ＨＴＴＰリクエストのヘッダに含まれていたＩＰのバージョン情報に基づいて行うことができる。
そして、この図で示すシーケンスでは、アクセスを不許可とする判断が行われ、そのためステップＳ１０４でアクセスコントロールモジュール４０がアクセス不許可の判断結果（False）をＨｔｔｐｄ２９に送り、Ｈｔｔｐｄ２９がそのアクセス不許可の判断結果に対応して、ステップＳ１０５でアクセスを許可できない旨の応答（エラー番号４０３（Forbidden：表示禁止）のＨＴＴＰレスポンス）をＰＣ２に送る。

以上のようにして、アクセスコントロールモジュール４０の判断により不適切な機器からのアクセスを許可しないようにすることができ、画像処理装置１内の情報が漏洩したり破壊されることを回避できるようになっている。このアクセスコントロールモジュール４０においてアクセスの可否判断の基準（例えばＩＰアドレス）の指定については、後に詳述する。

図５は、ＰＣ２から要求されたアクセスが画像処理装置１で許可される場合の処理を示すシーケンス図である。この図において、ステップＳ２０１〜Ｓ２０３で、上記図４のステップＳ１０１〜Ｓ１０３の場合と同様に、ＰＣ２からのアクセス要求に応じて必要な情報がＨｔｔｐｄ２９からアクセスコントロールモジュール４０に送られ、その情報に基づいてアクセスの可否判断が行われる。この図で示すシーケンスでは、アクセスを許可するよう判断がなされ、そのためステップＳ２０４でアクセスコントロールモジュール４０がアクセス許可の判断結果（True）をＨｔｔｐｄ２９に送る。

Ｈｔｔｐｄ２９はそのアクセス許可の判断結果に対応して、ステップＳ２０５でＰＣ２から送られてきたアクセス要求の内容をＷｅｂアプリケーション１６へと送り、ステップＳ２０６でＷｅｂアプリケーション１６が受け取った内容に従って必要なウェブページのデータを作成する。そして、ステップＳ２０７でそのウェブページのデータを応答のＨＴＴＰレスポンスに記載してＰＣ２に送信する。

以上のようにして、アクセスコントロールモジュール４０によって実現される機能により適切な機器からのアクセスを許可し、要求される処理を確実に行えるようになっている。この場合の、アクセスコントロールモジュール４０によるアクセスの可否判断の基準の指定についても、後に詳述する。
なお、上記説明したステップＳ１０３及びステップＳ２０３の処理において、画像処理装置１のＣＰＵが判断手段として機能し、またステップＳ１０２，１０３及びＳ２０２，２０３のうちアクセス要求からその要求を行った機器のＩＰアドレスを取得する処理において、同ＣＰＵが取得手段として機能する。
また、アクセスコントロールモジュール４０の機能は、ｈｔｔｐｄ２９だけでなく、他のデーモンからも利用可能であり、各デーモンに、アクセスしてきた相手に対するアクセス制限の機能を提供することができる。また、アクセスコントロールモジュール４０は、ＮＣＳ７の一部として設けることも考えられる。

〔アクセスの可否判断基準の指定方法について〕
次に、上述したようなアクセスコントロールモジュール４０においてアクセスの可否判断の基準の指定について詳細に説明する。まず始めに、アクセスの可否別で判断基準を指定する方法があり、つまりアクセスを許可する条件を指定する方法と、アクセスを許可しない条件を指定する方法に大別される。このようにアクセス許可指定とアクセス不許可指定のどちらを行うかについては、各デーモンのそれぞれの機能によって利用しやすい方を選択してもよいし、またアクセス許可指定とアクセス不許可指定の両方を組み合わせて利用してもよい。

また、この実施形態において、アクセスの可否判断の基準の指定方法としては、ＩＰバージョン番号による指定と、直接アドレスによる指定と、アドレス範囲による指定と、基準アドレスとマスク長による指定の４つのパターンを例として説明する。以下において、これら４つのアドレスの指定方法についてそれぞれ説明する。

〔ＩＰのバージョン番号による指定方法〕
まず、ＩＰのバージョン番号により指定する方法について説明する。
これは、アクセス要求元の機器から送られてくるアクセス要求のプロトコルヘッダに、そのアクセス要求において使用しているＩＰのバージョン番号が記されており、そのバージョン番号の値によってアクセスを許可するものとしないものを指定する方法である。
この方法で指定を行う場合、例えば、送られて来たアクセス要求のプロトコルヘッダに記されたバージョン番号が６である場合だけアクセスを全て許可するよう指定できる。また、バージョン番号が６である場合のアクセスを全て不許可とするようにアクセス不許可指定をすることもできる。

〔直接アドレスによる指定方法〕
次に、直接アドレスにより指定する方法について説明する。
これは、アクセスを許可するＩＰアドレスを許可アドレスとして直接指定して記憶領域に記憶しておく方法である。
そして、この方法によりアドレスを指定した場合、アクセスが要求された時に取得した要求元のＩＰアドレスと許可アドレスを直接比較してアクセスの可否を判断するようにする。
例えば、記憶領域に許可アドレスとして[2001:1000::dddd:11:22:33:44]のアドレスのみが指定されている場合には、[2001:1000::dddd:11:22:33:44]のＩＰアドレスからのアクセスのみを許可してそれ以外のアクセスを許可しないようにする。
なお、この設定は、ＩＰｖ６のアドレスを用いて行うものであるから、ＩＰｖ６が有効な場合のみに使用するようにしている。

また、上記の場合とは逆に、アクセスを許可しないＩＰアドレスを不許可アドレスとして直接指定（つまりアクセス不許可指定）することもできる。
また、指定した許可アドレス（又は拒否アドレス）を記憶する記憶領域は、アクセスを受ける側の機器に内蔵されたＨＤＤ等の記憶手段に設けてもよいし、または別の接続管理サーバ等に備えられた記憶手段に設けてもよい。

なお、許可アドレス又は不許可アドレスを指定する際における、画像処理装置１への具体的な入力方法としては、図１に示すような画像処理装置１本体に設けられた操作パネル１ａでの操作であったり、Ｔｅｌｎｅｔ（テルネット）やＷｅｂアプリケーションを利用したり（これらについては後に詳述する）、又はＳＯＡＰ（Simple Object Access Protocol）等の既知のプロトコルを使用するアプリケーションを利用することができる。

〔アドレス範囲による指定方法〕
次に、アドレス範囲により指定する方法について説明する。
これは、アクセスを許可するＩＰアドレスを、開始アドレスと終了アドレスによって規定される範囲内のアドレスとして指定して記憶領域に記憶しておく方法である。そして、この方法によりアドレスを指定した場合、アクセスが要求された時に取得した要求元のＩＰアドレスが、その開始アドレスと終了アドレスで規定されるアドレス範囲内に属しているかどうかでアクセスの可否を判断するようにする。

なお、開始アドレス≦終了アドレスの関係を満たす場合のみ上記の指定を可能としている。また、開始アドレス＝終了アドレスの場合は、そのアドレスと一致するＩＰアドレスのからのアクセスのみ許可される。また、開始アドレスと終了アドレスが共にＡＬＬ０で表されるアドレスである場合には、このアドレス範囲は判断対象とせず、全てのアクセスが許可されることになる。すなわち、デフォルトで両アドレスが共にＡＬＬ０となるよう設定した場合、初期設定状態においては全ての機器がアクセスできることになる。
なお、この設定も、ＩＰｖ６のアドレスを用いて行うものであるから、ＩＰｖ６が有効な場合のみに使用するようにしている。

ここで、Ｔｅｌｎｅｔ及びＷｅｂブラウザを利用してアドレス範囲を指定する場合の具体例を示す。
まず、Ｔｅｌｎｅｔ方式の通信を利用する場合については、始めに図１に示すＰＣ２からＴｅｌｎｅｔクライアントを用いて画像処理装置１にＴｅｌｎｅｔログインする。そして ipv6 acl コマンドで設定を変更する。この場合のコマンドの書式は、「ipv6 acl レコード番号 開始アドレス 終了アドレス」となる。レコード番号は、指定するアドレス範囲に付する番号であり、例えば２つのアドレス範囲を指定・記憶できる場合には、レコード番号は１または２のいずれかを指定する。
このコマンドの画面上の実行例を図６の（Ｉ）に示す。そしてＴｅｌｎｅｔをログアウト（図６中の（IV））し、その際にアドレス範囲の設定を保存する（図６中の（Ｖ））。なお、図中の（II）、（III）については後述する。

この図６の（I）に示す実行例のように開始アドレスが[2001:1000::dddd:11:22:33:44]であって、終了アドレスが [2001:1000::dddd:55:66:77:88]となるアドレス範囲を指定した場合には、アクセス要求元のＩＰアドレスが[2001:1000::dddd:44:55:66:77]である場合にはアクセスが許可され、ＩＰアドレスが[2001:1000::dddd:55:66:77:87]である場合にはアクセスが許可され、ＩＰアドレスが[2001:1000::dddd:55:66:77:88]である場合にはアクセスが許可され、ＩＰアドレスが[2001:1000::dddd:55:66:77:89]である場合にはアクセスが許可されず、ＩＰアドレスが[2001:1000::dddd:11:22:33:43]である場合にもアクセスが許可されない。

次に、Ｗｅｂブラウザを利用してアドレス範囲を指定する場合については、図１に示すＰＣ２においてＷｅｂブラウザを利用して画像処理装置１にアクセスする。そして、メニューエリアより[設定]−[セキュリティ]−[アクセスコントロール]の順で選択することによって、図７に示すようなアクセスコントロール設定画面を開く。図７中の（VI）、（VII）に示すように、「V6 Range Limit 1」及び「V6 Range Limit 2」にそれぞれアドレス範囲の開始アドレスと終了アドレスを入力して指定することができる。図示する例では、アクセスを許可する２つのアドレス範囲が設定されている。そして図示していない「適用」ボタンを押すことによりこの設定が保存されて適用される。
なお、図７に示したような画面のデータは、画像処理装置１のウェブアプリ１６が生成するようにすることができる。

また、以上のアドレス範囲の指定方法においても、アクセスを許可しないＩＰアドレスの範囲を指定（つまりアクセス不許可指定）することもできる。また、アクセスを許可する（又は許可しない）よう指定したアドレス範囲を記憶する記憶領域は、アクセスを受ける側の機器に内蔵されたＨＤＤ等の記憶手段に設けてもよいし、または別の接続管理サーバ等に備えられた記憶手段に設けてもよい。また具体的なアドレス範囲の入力方法として、上記ＴｅｌｎｅｔやＷｅｂアプリケーションの利用以外にも、図１に示す操作パネル１ａでの操作や、ＳＯＡＰ使用アプリケーションの利用も可能である。

〔基準アドレスとマスク長による指定方法〕
次に、基準アドレスとマスク長により指定する方法について説明する。
これは、アクセスコントロールチェックの基準となる基準アドレスと、アクセス要求元のアドレスと基準アドレスとの一致をチェックするビット数を示すマスク長とによって、アクセスを許可するＩＰアドレスの範囲（許可アドレスの範囲）を指定して記憶領域に記憶しておく方法である。そしてこの場合、マスク長は１〜１２８まで指定可能であり、先頭から少なくともマスク長のビット数分で基準アドレスと一致するＩＰアドレスからのアクセスを許可し、それ以外のＩＰアドレスからのアクセスを許可しないようにする。従って、マスク長が１２８の場合には基準アドレスと同じＩＰアドレスの装置からのアクセスのみを許可することになる。

例として、基準アドレスを[2001:1000::dddd:11:22:33:44]に設定し、マスク長を６４に設定した場合、アクセス要求元のＩＰアドレスが[2001:1000::dddd:11:11:11:11]である場合には、ＩＰアドレスの上位６４ビットが[2001:1000::dddd]で基準アドレスの上位６４ビットと一致するため、アクセスが許可される。また、アクセス要求元のＩＰアドレスが[2001:1000::dddd:aa:bb:cc:dd]である場合も、同様にＩＰアドレスの上位６４ビットが基準アドレスと一致するためアクセスが許可される。しかし、アクセス要求元のＩＰアドレスが[2001:1000::aaaa:11:22:33:44]である場合には、上位６４ビットが[2001:1000::aaaa]であり、基準アドレスと一致しないため、アクセスが許可されない。

なお、基準アドレスがＡＬＬ０アドレス（つまり[::]）の場合には基準アドレスとマスク長で指定される許可アドレスに基づいたアクセス可否の判断を行わないようにしている。そして、基準アドレスの初期値をＡＬＬ０にし、マスク長の初期値は、ＩＰｖ６によるＩＰアドレスのビット長である１２８とするようにしている。従って、初期値においては全てのＩＰアドレスの装置からのアクセスが許可される状態になっている。
なお、この設定も、ＩＰｖ６のアドレスを用いて行うものであるから、ＩＰｖ６が有効な場合のみに使用するようにしている。

ここで、Ｔｅｌｎｅｔ及びＷｅｂブラウザを利用して基準アドレスとマスク長を指定する場合の具体例を示す。
まず、Ｔｅｌｎｅｔ方式の通信を利用する場合については、上述したアドレス範囲の指定方法の場合と同様にＰＣ２から画像処理装置１にＴｅｌｎｅｔログインする。そして図６の（II）、（III）に示すように ipv6 acl コマンドで設定を変更する。この場合のコマンドの書式は、「ipv6 acl レコード番号 基準アドレス マスク長」となる。レコード番号は、指定するアドレス範囲に付する番号であり、例えば２つのアドレス範囲を指定・記憶できる場合には、レコード番号は１または２のいずれかを指定する。
このコマンドの画面上の実行例を図６の（II）及び（III）に示す。そしてＴｅｌｎｅｔをログアウト（図６中の（IV））し、その際に基準アドレスとマスク長の設定を保存する（図６中の（Ｖ））。

次に、Ｗｅｂアプリケーションを利用して基準アドレスとマスク長を指定する場合についても、上述したアドレス範囲の指定方法の場合と同様の工程で図７に示すようなアクセスコントロール設定画面を開く。図中の（VIII）、（IX）に示すように、「V6 Mask Limit 1」及び「V6 Mask Limit 2」にそれぞれ基準アドレスとマスク長を入力して指定することができる。図示する例では、２つともデフォルトの設定そのままとなっている。そして設定を変更した場合、図示していない「適用」ボタンを押すことによりその設定が保存されて適用される。

なお、以上のマスク処理された部分アドレスによる指定方法においても、基準アドレスとマスク長を用いて、アクセスを許可しない不許可アドレスの範囲を指定することができる（つまり、アクセス不許可指定）。また、基準アドレスとの一致をチェックする範囲を、先頭以外の箇所から指定したり、チェック対象を任意のビットとしたりすることも考えられる。また、アクセスを許可する（又は許可しない）よう指定したアドレス範囲を記憶する記憶領域は、アクセスを受ける側の機器に内蔵されたＨＤＤ等の記憶手段に設けてもよいし、または別の接続管理サーバ等に備えられた記憶手段に設けてもよい。また具体的なアドレス範囲の入力方法として、上記ＴｅｌｎｅｔやＷｅｂアプリケーションの利用以外にも、図１に示す操作パネル１ａでの操作や、ＳＯＡＰ使用アプリケーションの利用も可能である。

〔４つのアクセスの可否判断基準指定方法を組み合わせた場合について〕
以上により説明した４つのアクセスの可否判断基準指定方法と、またそれぞれの方法におけるアクセス許可指定とアクセス不許可指定を組み合わせることで、より適切かつ細分化したアクセスの可否判断を行うことができる。例として、直接アドレスによる指定方法と、アドレス範囲による指定方法と、マスク処理された部分アドレスによる指定方法を全てアクセス許可指定で組み合わせて行うアクセス可否判断の処理を図８のフローチャートで示す。なお、このフローチャートに示す処理は、図１に示す画像処理装置１内に設けたＣＰＵなどからなる制御装置が、図４，図５に示したアクセスコントロールモジュール４０のソフトウェアに従って実行する処理手順を示している。また、このフローチャートでは、各処理のステップをＳと記している。

この処理を採用する場合、ＣＰＵは、デーモンからアクセス可否の判断を要求されると、図８のフローチャートに示す処理を開始する。
そして、まずステップ３０１ではアクセスを許可する許可アドレスが直接指定されているか否かを確認する。許可アドレスが指定されている場合には、ステップ３０２へ進んでアクセス要求元のＩＰアドレスと許可アドレスとを比較する。一致する場合には、ステップ３０７へ進んでアクセスを許可する結果を返してこの処理を終了する。
ステップ３０１で許可アドレスが指定されていないことが確認された場合や、ステップ３０２でＩＰアドレスと許可アドレスが一致しないと判断した場合には、ステップ３０３へ進んで許可アドレスの範囲が指定されているか否かを確認する。アドレス範囲が指定されている場合には、ステップ３０４へ進んでアクセス要求元のＩＰアドレスがそのアドレス範囲内に属しているか確認する。属している場合にはステップ３０７へ進んでアクセスを許可する結果を返してこの処理を終了する。

ステップ３０３でアドレス範囲が指定されていないことが確認された場合や、ステップ３０４でＩＰアドレスがアドレス範囲に属していないと判断した場合には、ステップ３０５へ進んで許可アドレスを定める基準アドレスとマスク長が指定されているか否かを確認する。基準アドレスとマスク長が指定されている場合には、ステップ３０６へ進んでアクセス要求元のＩＰアドレスと基準アドレスとが、指定されたマスク長の範囲で一致しているか否か判断する。一致している場合には、ステップ３０７へ進んでアクセスを許可する結果を返してこの処理を終了する。

ステップ３０５で基準アドレスとマスク長が指定されていないことが確認された場合や、ステップ３０６でＩＰアドレスと基準アドレスとがマスク長の範囲で一致していないと判断した場合には，ステップ３０８へ進んでアクセスを拒否する結果を返してこの処理を終了する。
以上のような処理により、この実施形態の画像処理装置は、アクセスを許可する相手機器をＩＰアドレスにより任意に指定することができ、それ以外の機器に対してはアクセスを拒否して、装置に格納された機密情報の保護や、破壊行為の防止を図ることができる。

次の例として、直接アドレスによる指定方法と、アドレス範囲による指定方法と、マスク処理された部分アドレスによる指定方法を全てアクセス不許可指定で組み合わせて行うアクセス可否判断の処理を図９のフローチャートで示す。
この処理を採用する場合、ＣＰＵは、デーモンからアクセス可否の判断を要求されると、図９のフローチャートに示す処理を開始する。
そして、まずステップ４０１ではアクセスを許可しない不許可アドレスが直接指定されているか否かを確認する。不許可アドレスが指定されている場合には、ステップ４０２へ進んでアクセス要求元のＩＰアドレスと不許可アドレスとを比較する。一致する場合には、ステップ４０７へ進んでアクセスを拒否する結果を返してこの処理を終了する。

ステップ４０１で不許可アドレスが指定されていないことが確認された場合や、ステップ４０２でＩＰアドレスと不許可アドレスが一致しないと判断した場合には、ステップ４０３へ進んで不許可アドレスの範囲が指定されているか否かを確認する。アドレス範囲が指定されている場合には、ステップ４０４へ進んでアクセス要求元のＩＰアドレスがそのアドレス範囲内に属しているか否か判断する。属している場合にはステップ４０７へ進んでアクセスを拒否する結果を返してこの処理を終了する。

ステップ４０３でアドレス範囲が指定されていないことが確認された場合や、ステップ４０４でＩＰアドレスがアドレス範囲に属していないと判断した場合には、ステップ４０５へ進んで不許可アドレスを定める基準アドレスとマスク長とが指定されているかを確認する。基準アドレスとマスク長が指定されている場合には、ステップ４０６へ進んでアクセス要求元のＩＰアドレスと基準アドレスとがマスク長の範囲で一致しているか否か判断する。一致している場合には、ステップ４０７へ進んでアクセスを拒否する結果を返してこの処理を終了する。

ステップ４０５で基準アドレスとマスク長が指定されていないことが確認された場合や、ステップ４０６でＩＰアドレスと基準アドレスがマスク長の範囲で一致していないと判断した場合には，ステップ４０８へ進んでアクセスを許可する結果を返してこの処理を終了する。
以上のような処理により、この実施形態の画像処理装置は、アクセスを拒否する相手機器を任意に指定することができ、それ以外の機器に対してはアクセスを許可して装置に格納された機密情報の保護や、破壊行為の防止を図ることができる。

以上説明したように、この実施形態によれば、４つのアクセス可否判断基準の指定方法及びそれぞれのアクセス許可指定とアクセス拒否指定を適宜組み合わせることで、ユーザの多様な機器環境に柔軟に対応可能な自由度の高いアクセス制御を行うことができる。さらに、１２８ビットという長さからユーザにとって扱いが難しいとされているＩＰｖ６のＩＰアドレスに対しても、アドレス範囲指定方法やマスク長を用いたアドレス指定方法を利用することで、ユーザはアドレスの入力操作を大幅に軽減させることができ、設定に係る負担を軽減することが可能となる。

なお、上記した実施形態は具体的に画像処理装置として構成されたものであるが、この発明の通信装置はそれに限定されるものではなく、他にも例えばＷｅｂサーバやファイルサーバのようにＩＰｖ６のプロトコルを利用して指令やデータを送受できる種々の通信装置に適用することが可能である。
また、上記実施形態において、アドレスなどのパラメータを設定する手段としては上記で示した装置本体上の操作パネル部や、Ｗｅｂブラウザ、Ｔｅｌｎｅｔ、ＳＯＡＰプロトコル使用アプリケーションの利用に限定されるものではなく、ユーザの機器環境に応じ、本発明の主旨における範囲内で種々の方法を適用することが可能である。

以上説明してきたように、この発明の通信装置によれば、ＩＰｖ６により通信を行う機能を有する通信装置において、外部装置からのアクセスを適切に制御してセキュリティを強化できるようにすることができる。
そして、簡略的な操作によってシステムに格納された機密情報の保護や、破壊行為の防止を図ることが可能な通信装置を提供できる。

この発明の通信装置の実施形態である画像処理装置と、その画像処理装置と通信可能なＰＣとによて構成した通信システムの例を示す図である。 図１に示した画像処理装置のソフトウェアモジュールの構成図である。 図２に示したＮＣＳ内のソフトウェア構成をより詳細に示す図である。 図１に示した通信システムにおいて、ＰＣから要求されたアクセスが画像処理装置で許可されない場合の処理を示すシーケンス図である。 同じくＰＣから要求されたアクセスが画像処理装置で許可される場合の処理を示すシーケンス図である。 Ｔｅｌｎｅｔを利用してアドレス範囲又は基準アドレスとマスク長を指定する場合のＰＣ画面上の操作例を示す図である。 Ｗｅｂブラウザを利用してアドレス範囲及び基準アドレスとマスク長を指定する場合のＰＣ画面上の操作例を示す図である。 図１に示した画像処理装置におけるアクセス可否判定の処理例を示すフローチャートである。 その別の例を示すフローチャートである。

符号の説明

１：画像処理装置、１ａ：操作パネル部、１ｂ：表示部、２：パーソナルコンピュータ、
３：ＥＣＳ、４：ＭＣＳ、５：ＯＣＳ、６：ＦＣＳ、７：ＮＣＳ、８：ＳＣＳ、
９：ＳＲＭ、１０：ＩＭＨ、１１：プリンタアプリ、１２：コピーアプリ、
１３：ファクスアプリ、１４：スキャナアプリ、１５：ネットワークアプリ、
１６：ウェブアプリ（Ｗｅｂアプリケーション）、１７：ＦＣＵ、１８：プロッタ、
１９：スキャナ、２０：ＨＤＤ、２９：ｈｔｔｐｄ、
４０：アクセスコントロールモジュール、Ｎ：ネットワーク

Claims (12)

1. ＩＰｖ６により他の装置と通信可能な通信装置であって、
   アクセス要求を受けた場合に、該アクセス要求を行った機器のＩＰアドレスを取得する取得手段と、
   該取得手段より取得したＩＰアドレスに基づいてアクセスの可否を判断する判断手段とを設けたことを特徴とする通信装置。
2. 請求項１記載の通信装置であって、
   前記判断手段によるアクセス可否の判断を、前記アクセス要求が、ＩＰｖ６を用いた要求であるか否かに基づいて行うようにしたことを特徴とする通信装置。
3. 請求項１記載の通信装置であって、
   アクセスを許可するアドレスである許可アドレスを指定する許可アドレス指定手段を有し、
   前記判断手段に、前記取得手段によって取得したＩＰアドレスが前記許可アドレスとして指定されているアドレスである場合にアクセスを許可する手段を設けたことを特徴とする通信装置。
4. 請求項１記載の通信装置であって、
   アクセスを許可しないアドレスである不許可アドレスを指定する不許可アドレス指定手段を有し、
   前記判断手段に、前記取得手段によって取得したＩＰアドレスが前記不許可アドレスとして指定されているアドレスである場合にアクセスを許可しないようにする手段を設けたことを特徴とする通信装置。
5. 請求項３記載の通信装置であって、
   前記許可アドレスを、開始アドレスと終了アドレスによって規定される範囲内のアドレスとして指定するようにしたことを特徴とする通信装置。
6. 請求項４記載の通信装置であって、
   前記不許可アドレスを、開始アドレスと終了アドレスによって規定される範囲内のアドレスとして指定するようにしたことを特徴とする通信装置。
7. 請求項３記載の通信装置であって、
   前記許可アドレスを、基準アドレス及び、その基準アドレスとの一致をチェックする範囲を規定するマスク長を用いて指定するようにしたことを特徴とする通信装置。
8. 請求項４記載の通信装置であって、
   前記不許可アドレスを、基準アドレス及び、その基準アドレスとの一致をチェックする範囲を規定するマスク長を用いて指定するようにしたことを特徴とする通信装置。
9. 請求項３乃至８のいずれか一項に記載の通信装置であって、
   操作部と、
   前記許可アドレス又は前記不許可アドレスの指定を前記操作部により受け付ける手段とを設けたことを特徴とする通信装置。
10. 請求項３乃至８のいずれか一項に記載の通信装置であって、
    ウェブブラウザからの前記許可アドレス又は前記不許可アドレスの指定を受け付ける手段を設けたことを特徴とする通信装置。
11. 請求項３乃至８のいずれか一項に記載の通信装置であって、
    Ｔｅｌｎｅｔ方式の通信が可能であり、
    前記許可アドレス又は前記不許可アドレスの指定を前記Ｔｅｌｎｅｔ方式の通信により受け付ける手段とを設けたことを特徴とする通信装置。
12. 請求項３乃至８のいずれか一項に記載の通信装置であって、
    ＳＯＡＰプロトコルを使用するアプリケーションと、
    前記許可アドレス又は前記不許可アドレスの指定を前記アプリケーションにより受け付ける手段とを設けたことを特徴とする通信装置。
    

Images