JP2006254137A - ユーザ端末管理装置とユーザ端末管理プログラム及びユーザ端末管理システム - Google Patents

Abstract

【課題】 複数のユーザ端末において任意に設定・変更可能なＩＰアドレス及びファイアーウォール設定情報を一元管理する。
【解決手段】 複数のユーザ端末１０ａ〜１０ｎを管理するユーザ端末管理装置２０であって、ユーザ端末１０毎に所定のユーザ端末情報を格納する情報テーブル２０３ｂ、２０４ｂと、ユーザ端末１０から送信されるユーザ端末情報を受信するインターフェース制御部２０１と、インターフェース制御部２０１を介して受信されたユーザ端末情報中に、所定のユーザ端末情報が含まれるか否かを検出するデータ解析部２０２と、データ解析部２０２で検出されたユーザ端末情報と情報テーブルに格納されたユーザ端末情報に基づいて、ＩＰアドレス及びファイアーウォール設定情報の登録・更新・送信を行うＩＰｖ６アドレス情報制御部２０３ａ，ＦＷ設定情報管理部２０４ａ，ＤＤＮＳ制御部２０５を備える。
【選択図】 図３

Description

本発明は、ＩＰネットワークにおける各ユーザ端末に設定されるユーザ端末情報及びセキュリティ情報の管理を行うユーザ端末管理装置に関し、特に、ユーザ端末に複数のＩＰアドレスが設定され、また、設定されたＩＰアドレスが任意に変更される場合に、各ユーザ端末のＩＰアドレスを一元管理でき、また、各ユーザ端末に設定されるファイアーウォールのセキュリティポリシーを統一的に管理して、セキュリティホール等が発見された場合には直ちにユーザ端末に通知することができるユーザ端末管理装置とユーザ端末管理プログラム及びユーザ端末管理システムに関する。

一般的なシステム環境においては、ユーザ端末１台につきＬＡＮインターフェースは一つであり、ＩＰｖ４では、一つのＬＡＮインターフェースに対して一つのＩＰｖ４アドレスのみ割り当てることが可能であった。
このため、ユーザ端末とＩＰｖ４アドレスは一対一の対応となっており、ユーザ端末とＩＰアドレスを関連付けて管理することは容易であり、（ＩＰｖ４アドレスが含まれる）各種ログからユーザのトラッキングが可能となっていた。

ところが、ＩＰｖ６においては、一つのＬＡＮインターフェースに対して複数のＩＰアドレスを割り当てることができるようになったため、ユーザ端末が複数のＩＰアドレスを有することが可能となった。
また、ＲＦＣ３０４１において匿名アドレスが定義されており、ユーザ端末は自己のＩＰｖ６アドレスの下位６４ビットを乱数を用いて生成し、さらに、一定時間毎に再生成することで、ＩＰｖ６アドレスを変更することができるようになった。

このため、ネットワーク管理者側では、ユーザ端末側で複数設定されたＩＰｖ６アドレスや、匿名アドレスを使用している端末については管理できないという問題が生じた。
また、ＩＰｖ６ではＰ２Ｐ通信が増加することが予想され、セキュリティに関しては各ユーザ端末が個々に個人用のファイアーウォールを導入することが望ましいと考えられるが、その場合、各ユーザ端末に導入された個人用ファイアーウォールのセキュリティポリシーを統一的に管理できないという問題が発生する。

このような問題に対し、例えば特許文献１には、ネットワークのログインの際に、加入者端末装置からルータ要請（ＲＳ：Router Solicitation）を行い、そのＲＳに含まれるインターフェースＩＤと、かかる加入者収容ルータ装置が払い出すプレフィックスデータとを組み合わせたＩＰｖ６アドレスを、加入者認証サーバが一元的に保持する管理方法が提案されている。
また、セキュリティ情報の統一管理に関し、例えば特許文献２には、運用ポリシーにそったＬＡＮ間での通信に関するファイアーウォール設定情報を一括生成し、管理するファイアーウォール管理装置が提案されている。

特開２００４−２４２１４２号公報（第１−５頁、第２図） 特開２００２−２６１７８８号公報（第１−４頁、第１図）

しかしながら、特許文献１の管理方法では、ＩＰｖ６ネットワークにおいて、新たに採用される匿名アドレス等、ネットワークログイン後にユーザ端末のＩＰアドレスが頻繁に変更されるような場合には対応が困難であり、匿名アドレスを含む複数のＩＰｖ６アドレスをネットワーク管理者側でリアルタイムに把握・管理することはできなかった。

また、特許文献２のファイアーウォール管理装置では、ＬＡＮ間、又は端末グループ間の通信規制を管理することは可能であるが、端末ベースでのファイアーウォールの管理には対応できなかった。ＩＰｖ６ネットワークでは、各ユーザが自己のユーザ端末のファイアーウォールを設定することに起因してセキュリティホールが生じる可能性があり、特許文献２の管理装置では、このように各ユーザ端末に導入された個人用ファイアーウォールを統一的に管理することはできなかった。

本発明は、以上のような従来の技術が有する問題を解決するために提案されたものであり、ユーザ端末に複数のＩＰアドレスが設定され、また、設定されたＩＰアドレスが任意に変更される場合に、各ユーザ端末のＩＰアドレスを一元管理でき、また、各ユーザ端末に設定されるファイアーウォールのセキュリティポリシーを統一的に管理して、セキュリティホール等が発見された場合には直ちにユーザ端末に通知することができるユーザ端末管理装置とユーザ端末管理プログラム及びユーザ端末管理システムの提供を目的とする。

上記目的を達成するため、本発明のユーザ端末管理システムは、請求項１に記載するように、ＩＰアドレスを含む所定のユーザ端末情報を任意に設定・変更可能な一又は二以上のユーザ端末を管理するユーザ端末管理装置であって、ユーザ端末毎にユーザ端末情報を格納する情報テーブルと、ユーザ端末から送信されるユーザ端末情報を受信するインターフェース制御部と、前記インターフェース制御部を介して受信されたユーザ端末情報中に、所定のユーザ端末情報が含まれるか否かを検出するデータ解析部と、前記データ解析部で検出されたユーザ端末情報と前記情報テーブルに格納されたユーザ端末情報に基づいて、ユーザ端末情報の登録・更新・送信の少なくともいずれかを含む所定の処理を行う制御部とを備える構成としてある。

このような構成からなる本発明のユーザ端末管理装置によれば、ユーザ端末に設定されているＩＰアドレス、その他の各種の設定データを含むユーザ端末情報が、ユーザ端末管理装置に任意のタイミングで送信される。
そして、ユーザ端末管理装置では、テーブルに登録・格納されているユーザ端末情報と、ユーザ端末側から送信されてくるユーザ端末情報に基づいて、ユーザ端末情報の登録・更新・他の装置への送信を含む所定の処理が行われる。
これによって、各ユーザ端末で任意に設定・変更されるユーザ端末情報が、ユーザ端末管理装置においてリアルタイムに把握され、一元管理されることになる。

ここで、ユーザ端末からのユーザ端末情報の送信は、例えば、ユーザ端末におけるユーザ端末情報の変更の都度、自動的に送信するようにすることができる。
このようにすると、ユーザ端末管理装置側で各ユーザ端末の最新の設定データ・ユーザ端末情報をリアルタイムに把握・管理できるとともに、端末管理装置に対するデータ送信回数を最小限に抑えることができ、ネットワークへの負荷を増大させることなく、簡易な構成によって本発明にかかるユーザ端末管理システムの構築が可能となる。

より具体的には、請求項２に記載するように、前記データ解析部は、各ユーザ端末から受信したユーザ端末情報中に、ＩＰアドレス情報が含まれるか否かを検出し、前記制御部は、前記データ解析部によりＩＰアドレス情報が検出されると、前記情報テーブルに格納されたユーザ端末情報として、検出された当該ＩＰアドレス情報を登録又は更新する構成としてある。
さらに、請求項３に記載するように、前記制御部は、前記データ解析部によりＩＰアドレス情報が検出されると、当該ＩＰアドレス情報のＤＮＳサーバへの登録の要否を判断し、判断結果に応じて当該ＩＰアドレス情報を前記インターフェース制御部を介してＤＮＳサーバに送信させる構成としてある。

このような構成からなる本発明のユーザ端末管理装置によれば、ユーザ端末に設定されているＩＰアドレスが変更されると、当該ユーザ端末からユーザ端末管理装置に、変更されたＩＰアドレス情報が通知・送信される。
そして、ユーザ端末管理装置では、受信したＩＰアドレス情報に基づき、ユーザ端末情報を格納したテーブルに、新たなＩＰアドレス情報を登録又は更新する。
これにより、例えば、ＩＰｖ６（Internet Protocol Version６）ネットワークにおいて、匿名アドレスを含む複数のＩＰアドレスが動的に設定され使用される場合にも、ユーザ端末管理装置側でその複数のＩＰアドレス情報を随時更新・管理することができ、ユーザ端末の一元管理が可能となる。
また、ＩＰアドレス変更等のログを保存しておくことで、いずれかのユーザ端末による不正アクセス等が有った場合には、そのユーザ端末を特定することが可能となり、セキュリティ対策としても有効である。

ここで、一つのユーザ端末に複数のＩＰｖ６アドレスが設定される場合とは、例えば、一つのユーザ端末に複数のアドレスを割り当てて（Mult Prefix）、マルチホーム機能を実現させる場合がある。
マルチホーム機能は、複数（例えば二つ）のＩＳＰと接続することにより、一つのＩＳＰの回線に障害が発生した場合であっても、他のＩＳＰを使用することで接続性を保つことで耐障害性を高めることができる機能である。
本発明のユーザ端末管理装置によれば、このようなマルチホーム機能が設定されたユーザ端末を含めて、複数のユーザ端末の設定情報を一元的に管理することが可能となる。

さらに、ユーザ端末管理装置では、ユーザ端末から変更されたＩＰアドレスの情報を受信すると、当該ＩＰアドレス情報のＤＮＳサーバへの登録の要否を判断し、判断結果に応じて、そのＩＰアドレスをＤＮＳサーバに通知するようにしてある。
ＤＤＮＳ（Dynamic Domain Name System）サーバは、ＩＰｖ６アドレスとドメイン名（ＦＱＤＮ：Fully Qualified Domain Name）の対応テーブルが管理されており、ユーザ端末管理装置からの通知により対応表を更新することができる。
これによって、各ユーザ端末からＤＮＳサーバに対して通信を希望する対向端末（相手側のユーザ端末）のＦＱＤＮのアドレス解決要求を行うことにより、その対向端末が現在使用しているＩＰアドレスを知ることができ、安定的に通信を行うことができるようになる。

ここで、ＤＮＳサーバへの登録の要否の判断は、ユーザ端末情報に基づいて決定される。ユーザ端末管理装置が管理する情報には、ホスト名毎に「ＤＮＳサーバへ登録を行うか否かを示す情報」が含まれており、ユーザ端末管理装置では、この情報を参照してＤＮＳサーバへの登録処理を行うか否かを判断する。
ＤＮＳサーバへの登録の要否判断を行うのは、例えば、ユーザ端末を非公開としたい場合や、サーバ用途の端末のように、ユーザ端末にＩＰｖ６アドレスが固定で設定されており、既にＤＮＳサーバにおいてＩＰｖ６とＦＱＤＮの対応付けが設定されている場合、すなわち、ＤＮＳサーバに対して動的に登録を行う必要がない場合がある一方、公開サーバとして、あるいはＰ２Ｐ通信端末として、そのホスト名やドメイン名を公開する必要がある場合があるからである。
なお、ＤＮＳサーバへの通知・登録は、ＲＦＣ２１３６に定義されているDNS Updateに基づいて行うことができ、ＤＮＳサーバはその定義に準拠した汎用のサーバでよく、特殊なサーバ等を用意することなく簡易かつ安価なシステム構築が可能となる。

また、請求項４に記載するように、前記データ解析部は、各ユーザ端末から受信したユーザ端末情報中に、ファイアーウォール設定情報が含まれるか否かを検出し、前記制御部は、前記データ解析部によりファイアーウォール設定情報が検出されると、前記情報テーブルに格納されたユーザ端末情報と比較して、検出された当該ファイアーウォール設定情報の差分を抽出し、抽出された差分情報を前記インターフェース制御部を介して当該ユーザ端末に送信させる構成としてある。

このような構成からなる本発明のユーザ端末管理装置によれば、ユーザ端末に設定されているファイアーウォール情報が変更されると、当該ユーザ端末からユーザ端末管理装置に、変更されたファイアーウォール情報が通知・送信される。
そして、ユーザ端末管理装置では、受信したファイアーウォール情報を、テーブルに格納してある基準となるセキュリティポリシー（基本プロファイル）と比較して差分があれば抽出し、その差分情報をユーザ端末に通知・送信する。

これにより、ユーザ端末管理装置では、各ユーザ端末毎に現在設定されているファイアーウォール設定データを統一的に一元管理し、各ユーザ端末に設定されているファイアーウォール設定データが基準となるセキュリティポリシーに則して正しく設定されていない場合には、その内容を通知し、ファイアーウォール設定データの変更を促すことが可能となる。
したがって、端末単位で設定・変更されるセキュリティ情報をユーザ端末管理装置側で一元的に把握・管理することができ、効率的なネットワークの運用管理が可能となる。

なお、ユーザ端末管理装置へのファイアーウォール設定情報の送信は、ユーザ端末側で設定した任意のタイミングで行うことができる。
例えば、ユーザ端末の起動時や、一定周期毎，ファイアーウォール設定データ変更時等、自由にそのタイミングを設定することが可能である。
従って、各ユーザ端末の用途、ネットワーク構成、セキュリティポリシー等に応じた柔軟なセキュリティ管理が可能となり、汎用性・拡張性にすぐれたユーザ端末管理システムを提供することができる。

そして、以上のような本発明は、ユーザ端末管理装置としてのみならず、ユーザ端末管理プログラム又はユーザ端末管理システムとしても提供することができる。
具体的には、本発明のユーザ端末管理プログラムは、請求項５に記載するように、ＩＰアドレスを含む所定のユーザ端末情報を任意に設定・変更可能な一又は二以上のユーザ端末を管理するユーザ端末管理装置を構成するコンピュータを、ユーザ端末毎にユーザ端末情報を情報テーブルとして格納する手段、ユーザ端末から送信されるユーザ端末情報を受信する手段、受信されたユーザ端末情報中に、所定のユーザ端末情報が含まれるか否かを検出する手段、検出されたユーザ端末情報と情報テーブルとして格納されたユーザ端末情報に基づいて、ユーザ端末情報の登録・更新・送信の少なくともいずれかを含む所定の処理を行う手段、として機能させるためのプログラムにより構成してある。

また、本発明のユーザ端末管理システムは、請求項６に記載するように、ＩＰアドレスを含む所定のユーザ端末情報を任意に設定・変更可能な一又は二以上のユーザ端末と、このユーザ端末のユーザ端末情報を管理するユーザ端末管理装置と、を備え、前記ユーザ端末は、当該ユーザ端末に設定されたユーザ端末情報が変更されると、当該変更後のユーザ端末情報を前記端末管理装置に送信する送信手段を備え、前記端末管理装置は、ユーザ端末毎にユーザ端末情報を格納する情報テーブルと、ユーザ端末から送信されるユーザ端末情報を受信するインターフェース制御部と、前記インターフェース制御部を介して受信されたユーザ端末情報中に、所定のユーザ端末情報が含まれるか否かを検出するデータ解析部と、前記データ解析部で検出されたユーザ端末情報と前記情報テーブルに格納されたユーザ端末情報とに基づいて、ユーザ端末情報の登録・更新・送信の少なくともいずれかを含む所定の処理を行う制御部と、を備える構成としてある。

以上のように、本発明を構成するユーザ端末管理装置は、サーバ装置やワークステーション，パーソナルコンピュータ等の情報処理装置にプログラムをインストールすることにより、また、各ユーザ端末は、パーソナルコンピュータやＰＤＡ，携帯電話装置等のＩＰｖ６対応の様々な端末にプログラムをインストールすることにより実現することができる。
これによって、汎用性，拡張性に優れたユーザ端末管理システムとして提供することができる。

本発明によれば、ユーザ端末に複数のＩＰアドレスが設定され、また、設定されたＩＰアドレスが任意に変更される場合に、各ユーザ端末のＩＰアドレスをユーザ端末管理装置側で一元管理できる。
また、各ユーザ端末に設定されるファイアーウォールのセキュリティポリシーを、ユーザ端末管理装置側で統一的に管理して、セキュリティホール等が発見された場合にはユーザ端末に直ちに通知することができる。

以下、本発明のユーザ端末管理装置及びユーザ端末管理システムの好ましい実施形態について図面を参照して説明する。
ここで、以下に示す本実施形態のユーザ端末管理装置及びユーザ端末管理システムは、プログラム（ソフトウェア）の命令によりコンピュータで実行される処理，手段，機能によって実現される。プログラムは、コンピュータの各構成要素に指令を送り、以下に示すような所定の処理・機能を行わせる。すなわち、本実施形態のユーザ端末管理システムにおける各処理・手段は、プログラムとコンピュータとが協働した具体的手段によって実現される。
なお、プログラムの全部又は一部は、例えば、磁気ディスク，光ディスク，半導体メモリ，その他任意のコンピュータで読取り可能な記録媒体により提供され、記録媒体から読み出されたプログラムがコンピュータにインストールされて実行される。また、プログラムは、記録媒体を介さず、通信回線を通じて直接にコンピュータにロードし実行することもできる。

まず、本発明の一実施形態に係るユーザ端末管理システムにおけるユーザ端末で設定・変更される設定データ（ユーザ端末情報）の管理の概要について、図１を参照して説明する。
図１は、本発明の一実施形態にかかるユーザ端末管理システム１において、ユーザ端末で設定されるＩＰｖ６アドレス情報についての主要な流れを表した概念図である。
本実施形態のユーザ端末管理システム１は、ユーザ端末１０、ユーザ端末管理装置２０、及びＤＤＤＮＳサーバ３０を備えている。

ユーザ端末１０は、パーソナルコンピュータ等の情報処理端末であり、図１に示すように、一又は二以上のユーザ端末１０ａ〜１０ｎがネットワーク接続されている。
そして、このユーザ端末１０で設定されたＩＰｖ６アドレス情報やファイアーウォール設定情報等の各種設定データを含むユーザ端末情報が、ネットワークを介してユーザ端末管理装置２０に送信される（図１に示す矢印Ａ）。

ユーザ端末管理装置２０は、各ユーザ端末１０（１０ａ〜１０ｎ）のユーザ端末情報を格納し、一元的に管理する管理サーバとして機能する情報処理装置である。
ユーザ端末管理装置２０では、ユーザ端末１０から送られてくるユーザ端末情報に、処理対象となる所定の情報が含まれていることが検出されると、そのユーザ端末情報に基づいて、ユーザ端末管理装置２０で管理されるユーザ端末情報として登録又は更新され、あるいはＤＮＳサーバに所定情報が送信させるようになっている。
これによって、各ユーザ端末１０の各種設定データは、ユーザ端末管理装置２０で常に一元的に管理されることになる。
本実施形態では、ユーザ端末１０から送信されるユーザ端末情報にＩＰアドレス情報が含まれる場合に、ユーザ端末管理装置２０では、送信されてきた新たなＩＰアドレス情報をユーザ端末情報としてテーブルに登録又は更新するとともに、そのＩＰアドレス情報をＤＤＮＳサーバ３０に通知するようにしている（図１に示す矢印Ｂ）。

ＤＤＮＳサーバ３０は、各ユーザ端末１０のドメイン名（ＦＱＤＮ）とＩＰｖ６アドレスの対応テーブルを管理し、外部装置・端末からの問い合わせに応答する管理サーバとして機能する情報処理装置である。
具体的には、ＤＤＮＳサーバ３０は、外部装置・端末からの問い合わせに応答して、指定のドメイン名（ＦＱＤＮ）に対応するＩＰアドレスを回答したり、逆に指定のＩＰアドレスに対応するドメイン名（ＦＱＤＮ）を回答する。
そして、本実施形態では、ユーザ端末管理装置２０から変更されたＩＰアドレス情報の通知を受信すると、該当する対応テーブルのデータを自動的に更新するようになっている。
これにより、あるユーザ端末１０と通信を希望する他のユーザ端末１０は、ＤＤＮＳサーバ３０に対して通信を希望するユーザ端末１０のドメイン名（ＦＱＤＮ）を引用した問い合わせを行うことにより、そのユーザ端末１０に現在設定されているＩＰアドレス情報を得ることができるようになる。
従って、各ユーザ端末１０のＩＰアドレスが動的に変更された場合でも、ＤＮＳサーバ３０に問い合わせることによって、所望のユーザ端末１０の最新のＩＰアドレス情報を入手することができ、常に安定した通信を行うことができる。

次に、図２を参照しつつ、本発明の一実施形態に係るユーザ端末管理システムにおけるユーザ端末のファイアーウォール設定情報の管理についてその概要を説明する。
図２は、本発明の一実施形態にかかるユーザ端末管理システム１において、ユーザ端末で設定されるファイアーウォール設定情報についての主要な流れを表した概念図である。
同図に示すユーザ端末管理システム１は、図１に示したユーザ端末１０及び端末管理装置２０を備えている。

ユーザ端末１０（１０ａ〜１０ｎ）は、自己端末で設定されたファイアーウォール設定情報を含むユーザ端末情報を、所定のタイミングでユーザ端末管理装置２０に送信する（図２に示す矢印Ｃ）。
ユーザ端末管理装置２０は、各ユーザ端末１０のファイアーウォール基本設定情報を格納し、必要に応じてこれを参照する。
具体的には、ユーザ端末管理装置２０は、各ユーザ端末１０から送信されるユーザ端末情報にファイアーウォール設定情報が含まれる場合に、その設定情報をテーブルに格納してあるファイアーウォール基本設定情報と比較し、差分が検出された場合には、その差分を抽出して当該ユーザ端末１０にその内容を送信・通知するようにしてある（図２に示す破線矢印Ｄ）。
これにより、ユーザ端末管理装置２０から差分情報の通知を受けたユーザ端末１０は、ファイアーウォールの設定漏れや誤り等を認識することができ、適切なファイアーウォールの再設定を行うことが可能となる。

次に、図３を参照しつつ、本実施形態に係るユーザ端末管理システムのより具体的な構成について説明する。
図３は、本実施形態にかかるユーザ端末管理システムのより具体的な構成を示すブロック図である。
同図において、ユーザ端末１０（１０ａ〜１０ｎ）は、パーソナルコンピュータ等の情報処理端末であり、ＬＡＮ等の通信回線４０を介して端末管理装置２０と接続されている。

各ユーザ端末１０ａ〜１０ｎは、自端末に設定されたＩＰアドレス情報やファイアーウォール設定情報等を含むユーザ端末情報を、所定のタイミングでユーザ端末管理装置２０に送信する端末データ送信手段を備えている。
ここで、ユーザ端末１０からユーザ端末管理装置２０に送信されるＩＰｖ６アドレス情報には、コンピュータＩＤとＩＰｖ６アドレスを含むインターフェース情報等の情報が含まれる。インターフェース情報としては、ユーザ端末のホスト名やユーザ端末に割り当てられているＩＰｖ６アドレス、ＩＰｖ６アドレスの使用開始日時・使用終了予定日時などが含まれる。

ユーザ端末管理装置２０は、各ユーザ端末１０のユーザ端末情報を格納し、これらを一元的に管理する管理サーバである。
具体的には、ユーザ端末管理装置２０は、図３に示すように、インターフェース制御部２０１と、データ解析部２０２と、ＩＰｖ６アドレス情報制御部２０３ａと、ユーザ端末情報テーブル管理部２０３ｂと、ＦＷ（ファイアーウォール）設定情報管理部２０４ａと、ＦＷ情報テーブル２０４ｂと、ＤＤＮＳ制御部２０５の各部を備えている。

インターフェース制御部２０１は、通信回線４０とのインターフェース部分であり、このインターフェース制御部２０１を介してユーザ端末１０，ＤＤＮＳサーバ３０を含む外部装置・端末との通信が行われる。
データ解析部２０２は、インターフェース制御部２０１を通じて、ユーザ端末情報（ＩＰｖ６アドレス情報とＦＷ設定情報）を受信し、データを解析する。
そして、受信したユーザ端末情報にＩＰｖ６アドレス情報が含まれていれば、そのデータをＩＰｖ６アドレス情報制御部２０３ａへ通知する。
また、ユーザ端末情報にＦＷ設定情報が含まれていた場合、そのデータをＦＷ設定情報管理部２０４ａへ通知する。

ＩＰｖ６アドレス情報制御部２０３は、データ解析部２０２から受信したコンピュータＩＤとインターフェース情報とＩＰｖ６アドレス情報をペアとし、ユーザ端末情報テーブル管理部２０３ｂへ通知する。
また、データ解析部２０２から受信したデータに基づいて、ＩＰｖ６アドレスのＤＤＮＳサーバ３０への登録必要性を判断し、ＤＤＮＳサーバ３０への登録が必要である場合には、ユーザ端末１０のＦＱＤＮとＩＰｖ６アドレスをペアにして、ＤＤＮＳ制御部２０５へ通知する。

ここで、ＤＤＮＳサーバ３０への登録の要否の判断は、ユーザ端末情報に基づいて決定される。具体的には、ユーザ端末管理装置２０が管理する情報には、ホスト名毎に「ＤＮＳサーバへ登録を行うか否かを示す情報」が含まれており、ユーザ端末管理装置では、この情報を参照してＤＮＳサーバへの登録処理を行うか否かを判断する。
このようにＤＤＮＳサーバ３０への登録の要否判断を行うのは、例えば、ユーザ端末を非公開としたい場合や、サーバ用途の端末のように、ユーザ端末にＩＰｖ６アドレスが固定で設定されており、既にＤＮＳサーバにおいてＩＰｖ６とＦＱＤＮの対応付けが設定されている場合、すなわち、ＤＮＳサーバに対して動的に登録を行う必要がない場合がある一方、公開サーバとして、あるいはＰ２Ｐ通信端末として、そのホスト名やドメイン名を公開する必要がある場合があるからである。

ユーザ端末情報テーブル管理部２０３ｂは、各ユーザ端末１０のコンピュータＩＤとインターフェース情報とＩＰｖ６アドレスとの対応付けを管理しており、コンピュータＩＤとインターフェース情報をキーとして、一致するレコードが管理テーブル内に存在するか否かを検索し、該当レコードがあった場合には、ＩＰｖ６アドレス情報をテーブルに追加（更新）する。
ＦＷ設定情報管理部２０４ａは、ＦＷ情報テーブル２０４ｂで管理している基本プロファイルとデータ解析部２０２から受信したＦＷ設定情報の比較を行い、その差分を抽出し、インターフェース制御部２０１を通じて、そのＦＷ設定情報の送信元になるユーザ端末１０に当該ＦＷ設定情報の差分情報を通知する。
ＤＤＮＳ制御部２０５は、ＩＰｖ６アドレス情報制御部２０３ａから通知された情報に基づいて、ＤＤＮＳサーバ３０に対するＤＮＳ情報のUPDATEメッセージを作成し、インターフェース制御部２０１を通じて当該メッセージをＤＤＮＳサーバ３０に送信する。

ＤＤＮＳサーバ３０は、各ユーザ端末１０のドメイン名（ＦＱＤＮ）とＩＰｖ６アドレスの対応テーブルを備えており、その対応テーブルに基づいて外部装置・端末からの問い合わせに答える（名前解決）機能を持つものである。
本実施形態の場合は、上述したＤＮＳのUPDATEメッセージを受けることにより、動的に変化するＩＰアドレスについて、該当する対応テーブルをリアルタイムに更新することができるようになっている。
通信回線４０は、ユーザ端末１０、端末管理装置２０及びＤＤＮＳサーバ３０を同一ネットワーク配下として接続するためＬＡＮの形態をとっている。なお、通信回線４０は、インターネットに接続され、また、ユーザ端末１０，ユーザ端末管理装置２０，ＤＤＮＳサーバ３０もそれぞれインターネットに接続可能に構成することは任意である。

次に、図３に示したブロック図及び図４〜図６に示すフローチャートを参照して、本実施形態のユーザ端末管理システム１の動作について詳細に説明する。
まず、図４に示す処理について説明する。
ユーザ端末管理装置２０は、いずれかのユーザ端末１０からユーザ端末情報を受信した場合（図４のステップ４０１）、データ解析部２０２においてユーザ端末情報にＩＰｖ６アドレス情報が含まれるかどうかが判定される（図４のステップ４０２）。
ユーザ端末情報にＩＰｖ６アドレス情報が含まれる場合には（図４のステップ４０２：Ｙｅｓ）、ＩＰｖ６アドレス情報制御部２０３ａに通知され、図５に示す処理に移行する。

ユーザ端末情報にＩＰｖ６情報が含まれていない場合（図４のステップ４０２：Ｎｏ）や、図５に示す処理が終了した場合には、データ解析部２０２においてユーザ端末情報にＦＷ設定情報が含まれるかどうかが判定される（図４のステップ４０３）。
ユーザ端末情報にＦＷ設定情報が含まれている場合には（図４のステップ４０３：Ｙｅｓ）、ＦＷ設定情報管理部２０４ａに通知され、図６に示す処理に移行する。ユーザ端末情報にＦＷ設定情報が含まれていない場合には（図４のステップ４０３：Ｎｏ）、処理は終了となる。

次に、図５に示す処理について説明する。
ユーザ端末管理装置２０で受信されたユーザ端末情報にＩＰｖ６アドレス情報が含まれる場合（図４のステップ４０２：Ｙｅｓ）、ＩＰｖ６アドレス情報制御部２０３ａに通知される。
ＩＰｖ６アドレス情報制御部２０３ａは、データ解析部２０２からＩＰｖ６アドレス情報を含むユーザ端末情報を受信すると（図５のステップ５０１）、受信したユーザ端末情報に含まれるコンピュータＩＤとインターフェース情報とＩＰｖ６アドレス情報をユーザ情報テーブル管理部２０３ｂへ通知する。

ユーザ情報テーブル管理部４では、コンピュータＩＤとインターフェース情報をキーとして、情報テーブルに一致するレコードがあるかどうかの検索を行う（図５のステップ５０２，５０３）。
検索の結果、該当するレコードが存在する場合には（図５のステップ５０３：Ｙｅｓ）、既に登録されているＩＰｖ６アドレスの有効性を判定した後、その結果により、ＩＰｖ６アドレスの追加又は更新を行う（図５のステップ５０４）。

一方、検索の結果、該当するレコードが存在しない場合には図５のステップ５０３：Ｎｏ）、コンピュータＩＤとインターフェース情報とＩＰｖ６アドレス情報をペアにして、ユーザ情報テーブルに追加する（図５のステップ５０５）。
さらに、ＩＰｖ６アドレス情報制御部２０３ａは、データ解析部２０２から受信したデータに基づき、ＩＰｖ６アドレスのＤＤＮＳサーバ３０への登録必要性を判断し（図５のステップ５０６）、ＤＤＮＳサーバ３０への登録が必要であった場合には（図５のステップ５０６：Ｙｅｓ）、ユーザ端末１０のＦＱＤＮとＩＰｖ６アドレスをペアにして、ＤＤＮＳ制御部２０５へ通知する。

ＤＤＮＳ制御部２０５は、ＤＤＮＳサーバ３０へUPDATEメッセージを送信する（図５のステップ５０７）。これによって、ＤＤＮＳサーバ３０のＩＰｖ６アドレスとＦＱＤＮの対応テーブルが更新される。
以上で処理が終了となり、図４のステップ４０３に戻る。ステップ５０６でＤＤＮＳサーバ３０への登録が必要ない場合にも処理は終了となる。

次に、図６に示す処理について説明する。
ユーザ端末管理装置２０で受信されたユーザ端末情報にＩＰｖ６情報が含まれていない場合や、図５の処理が終了した場合には、データ解析部２０２から受信したユーザ端末情報にＦＷ設定情報が含まれるかどうか判定され（図４のステップ４０３）、ＦＷ設定情報が含まれる場合には（図４のステップ４０３：Ｙｅｓ）、ＦＷ設定情報管理部２０４ａに通知される。

ＦＷ設定情報管理部２０４ａは、ＦＷ情報テーブル２０４ｂに基準となるセキュリティポリシー（基本プロファイル）を保持しており、データ解析部２０２からＦＷ設定情報を含むユーザ端末情報を受信すると（図６のステップ６０１）、ＦＷ情報テーブル２０４ｂの基本プロファイルとユーザ端末から受信したＦＷ設定情報を比較し（図６のステップ６０２）、差分があれば抽出し（図６のステップ６０２：Ｙｅｓ）、インターフェース制御部２０１を通じて、その差分情報をユーザ端末１０へ通知する（図６のステップ６０３）。これによって、ユーザ端末１０では、受信した差分情報に基づいて、セキュリティの再設定等が行われる。
以上で処理が終了となる。ステップ６０６で差分情報が存在しない場合にも処理は終了となる。

図７に、本実施形態にかかるユーザ端末管理システム１で管理されるユーザ端末情報のデータの具体例を示す。
ユーザ端末管理装置３０の情報テーブルには、各ユーザ端末１０のユーザ端末情報として、図７に示すデータＡが格納されているとする。
このデータＡは初期データであり、ユーザの入力操作により又はユーザ端末１０からの送信データにより登録される。
そして、いずれかのユーザ端末１０からデータＢが送信され、ユーザ端末管理装置２０で受信された場合、データ解析部２０２はデータＢにユーザ端末１０のＩＰアドレス情報が含まれていることを検出し、データＡとデータＢを照合する。

ユーザ名ｐｃ１のＩＰアドレスが０２：００：００：ｆｆ：ｆｅ：ａａ：ａａ：ａａ（データＡ）から０２：００：００：ｆｆ：ｆｅ：ｚｚ：ｚｚ：ｚｚ（データＢ）へ変更されているので、情報テーブルに格納されているデータＡのユーザ名ｐｃ１のＩＰアドレスが、０２：００：００：ｆｆ：ｆｅ：ｚｚ：ｚｚ：ｚｚに更新される。
また、いずれかのユーザ端末１０からデータＣが送信され、ユーザ端末管理装置２０で受信されると、上記と同様に、データＡとデータＣが照合され、データＣはユーザｐｃ４のＩＰアドレスを含むユーザ端末情報で、そのデータの全てが未登録であるので、この場合には、ユーザ名ｐｃ４のユーザ端末情報として、データＣの全てがテーブルに新たに登録される。

以上の結果、データＢとデータＣを受信することによって、当初の情報テーブルに格納されていたデータＡがデータＡＡに更新・追加されることになる（図７のデータＡＡの太枠部分が更新箇所を示す）。
さらに、図７のデータＡ，ＡＡの「ＤＮＳ登録」欄に示すように、ユーザ端末１０のドメイン名やホスト名を公開するか否か、つまり、外部からのアクセスに対する許否が予めユーザ端末毎に設定され、その情報が情報テーブルに登録される。具体的には、図７に示すデータ例では、「ＤＮＳ登録」欄の「ｙｅｓ」が登録要、「ｎｏ」が登録不要を示す情報となっている。
これにより、各ユーザ端末１０からのユーザ端末情報がＤＤＮＳサーバ３０への登録を行う対象か否かの判断が行われることになる。

そして、このＤＮＳ登録情報に基づいて、図７のデータＤに示すように、ＦＱＤＮとＩＰアドレス等から構成されるＤＮＳ UPDATEメッセージが生成される。
図７に示すように、例えば、データＢをユーザ端末管理装置２０が受信すると、そのＩＰアドレスが検出され、かつ、ｐｃ１はＤＮＳサーバ３０への登録対象となっているので、ＤＮＳ UPDATEメッセージはデータＤの様な構成となり、これがＤＤＮＳサーバ３０へ送信される。
なお、データＤの「レコード種別」欄にある「Ａ」レコードは、ＦＱＤＮからＩＰアドレスへの対応を示すものであり、ＤＤＮＳサーバ３０にも格納されている。その他ＰＴＲレコード，ＭＸレコード等、任意のデータをＤＮＳ UPDATEメッセージとして送信可能である。

以上説明したように、本実施形態のユーザ端末管理システムによれば、ユーザ端末１０のＩＰｖ６アドレスが切り替わった際に、ユーザ端末１０からユーザ端末管理装置２０に対してＩＰｖ６アドレス情報が通知され、ユーザ端末管理装置２０では、ＩＰｖ６アドレス情報制御部２０３ａにより、ユーザ情報テーブル管理部２０３ｂへＩＰｖ６アドレスが登録されるので、ユーザ端末１０が複数のＩＰｖ６アドレスを有する場合でも、ＩＰアドレスが匿名アドレスであっても、ユーザ端末管理装置２０で一元管理することができる。

また、本実施形態では、ユーザ端末管理装置２０のＤＤＮＳ制御部２０５が、ＩＰｖ６アドレス情報制御部２０３ａからの通知に基づいてＤＤＮＳサーバ３０へUPDATEメッセージを送信し、ＤＤＮＳサーバ３０が管理するＩＰｖ６アドレスとＦＱＤＮの対応表を更新することができる。
これにより、ＤＤＮＳサーバ３０によってＩＰｖ６アドレス情報を解決できることになり、ユーザ端末１０がＤＤＮＳサーバ３０へ対向端末のＦＱＤＮのアドレス解決要求を行うことにより、対向端末が現在使用しているＩＰｖ６アドレスを知ることができ、ユーザ端末同士のＰ２Ｐ通信も容易に行えるようになる。

さらに、本実施形態では、ユーザ端末管理装置２０のＦＷ設定情報管理部６において、ファイアーウォールの基本プロファイルとユーザ端末１０から送信されたＦＷ設定情報を比較し、差分が抽出された場合には、インターフェース制御部２０１を通じて差分情報を当該ユーザ端末１０へ通知することができる。
これにより、各ユーザ端末１０のＦＷ設定情報はユーザ端末管理装置２０において一元管理され、例えば、セキュリティホールがあった場合にも、ユーザ端末管理装置２０からユーザ端末１０に直ちに通知することができ、ユーザ端末同士のＰ２Ｐ通信等を行うユーザ端末１０に対して自衛を促すことができる。

以上、本発明のユーザ端末管理装置とユーザ端末管理システムについて、好ましい実施形態を示して説明したが、本発明は、上述した実施形態にのみ限定されるものではなく、本発明の範囲で種々の変更実施が可能であることは言うまでもない。
例えば、上述した実施形態では、各ユーザ端末１０のＦＱＤＮをＤＤＮＳサーバに登録することでユーザ端末を特定するようにしていたが、これ以外にも、コンピュータ名（NETBIOS名）などＬＡＮ内でユーザ端末を一意に特定できるものを管理サーバ（ユーザ端末管理装置）に登録することによっても同様の効果を得ることができる。
また、本発明のユーザ端末管理システムにおけるＤＮＳ UPDATEは、ＲＦＣ２１３６に準拠しない形であっても良い。
さらに、本発明を構成するユーザ端末管理装置の端末情報テーブルやＦＷ情報テーブルは、通信回線で接続された外部のデータベースを利用し、これを参照する方式であっても良い。このようにすると、ユーザ端末管理装置の構成を簡易なものとすることができる。

本発明は、ＤＮＳサーバ及びデータベースを備えたＩＰｖ６ネットワークシステムに好適に利用することができる。

本発明の一実施形態にかかるユーザ端末管理システムにおけるユーザ端末の設定データ管理の主要な流れを表した概念図である。 本発明の一実施形態にかかるユーザ端末管理システムにおけるユーザ端末のファイアーウォール設定データ管理の主要な流れを表した概念図である。 本発明の一実施形態にかかるユーザ端末管理システムの構成を示したブロック図である。 本発明の一実施形態にかかるユーザ端末管理システムにおける端末管理装置の管理手順を示したフローチャートである。 本発明の一実施形態にかかるユーザ端末管理システムにおける端末管理装置の管理手順を示したフローチャートである。 本発明の一実施形態にかかるユーザ端末管理システムにおける端末管理装置の管理手順を示したフローチャートである。 本発明の一実施形態にかかるユーザ端末管理システムにおいて使用される各種データの構成例である。

符号の説明

１ ユーザ端末管理システム
１０ ユーザ端末
２０ ユーザ端末管理装置
２０１ インターフェース制御部
２０２ データ解析部
２０３ａ ＩＰｖ６アドレス情報制御部
２０３ｂ ユーザ情報テーブル管理部
２０４ａ ＦＷ設定情報管理部
２０４ｂ ＦＷ情報テーブル
２０５ ＤＤＮＳ制御部
３０ ＤＤＮＳサーバ
４０ 通信回線

Claims (6)

1. ＩＰアドレスを含む所定のユーザ端末情報を任意に設定・変更可能な一又は二以上のユーザ端末を管理するユーザ端末管理装置であって、
   ユーザ端末毎にユーザ端末情報を格納する情報テーブルと、
   ユーザ端末から送信されるユーザ端末情報を受信するインターフェース制御部と、
   前記インターフェース制御部を介して受信されたユーザ端末情報中に、所定のユーザ端末情報が含まれるか否かを検出するデータ解析部と、
   前記データ解析部で検出されたユーザ端末情報と前記情報テーブルに格納されたユーザ端末情報に基づいて、ユーザ端末情報の登録・更新・送信の少なくともいずれかを含む所定の処理を行う制御部と、
   を備えることを特徴とするユーザ端末管理装置。
2. 前記データ解析部は、各ユーザ端末から受信したユーザ端末情報中に、ＩＰアドレス情報が含まれるか否かを検出し、
   前記制御部は、
   前記データ解析部によりＩＰアドレス情報が検出されると、前記情報テーブルに格納されたユーザ端末情報として、検出された当該ＩＰアドレス情報を登録又は更新する請求項１記載のユーザ端末管理装置。
3. 前記制御部は、
   前記データ解析部によりＩＰアドレス情報が検出されると、当該ＩＰアドレス情報のＤＮＳサーバへの登録の要否を判断し、判断結果に応じて当該ＩＰアドレス情報を前記インターフェース制御部を介してＤＮＳサーバに送信させる請求項２記載のユーザ端末管理装置。
4. 前記データ解析部は、各ユーザ端末から受信したユーザ端末情報中に、ファイアーウォール設定情報が含まれるか否かを検出し、
   前記制御部は、
   前記データ解析部によりファイアーウォール設定情報が検出されると、前記情報テーブルに格納されたユーザ端末情報と比較して、検出された当該ファイアーウォール設定情報の差分を抽出し、抽出された差分情報を前記インターフェース制御部を介して当該ユーザ端末に送信させる請求項１乃至３のいずれかに記載のユーザ端末管理装置。
5. ＩＰアドレスを含む所定のユーザ端末情報を任意に設定・変更可能な一又は二以上のユーザ端末を管理するユーザ端末管理装置を構成するコンピュータを、
   ユーザ端末毎にユーザ端末情報を情報テーブルとして格納する手段、
   ユーザ端末から送信されるユーザ端末情報を受信する手段、
   受信されたユーザ端末情報中に、所定のユーザ端末情報が含まれるか否かを検出する手段、
   検出されたユーザ端末情報と情報テーブルとして格納されたユーザ端末情報に基づいて、ユーザ端末情報の登録・更新・送信の少なくともいずれかを含む所定の処理を行う手段、
   として機能させるためのユーザ端末管理プログラム。
6. ＩＰアドレスを含む所定のユーザ端末情報を任意に設定・変更可能な一又は二以上のユーザ端末と、
   このユーザ端末のユーザ端末情報を管理するユーザ端末管理装置と、を備え、
   前記ユーザ端末は、
   当該ユーザ端末に設定されたユーザ端末情報が変更されると、当該変更後のユーザ端末情報を前記端末管理装置に送信する送信手段を備え、
   前記端末管理装置は、
   ユーザ端末毎にユーザ端末情報を格納する情報テーブルと、
   ユーザ端末から送信されるユーザ端末情報を受信するインターフェース制御部と、
   前記インターフェース制御部を介して受信されたユーザ端末情報中に、所定のユーザ端末情報が含まれるか否かを検出するデータ解析部と、
   前記データ解析部で検出されたユーザ端末情報と前記情報テーブルに格納されたユーザ端末情報とに基づいて、ユーザ端末情報の登録・更新・送信の少なくともいずれかを含む所定の処理を行う制御部と、
   を備えることを特徴とするユーザ端末管理システム。

Images