JP2008244726A - ネットワーク複合機 - Google Patents

Abstract

【課題】 クライアントからのアクセス要求に対し、ネットワークへの接続を行うためのデータリンク処理部で一元的にアクセス制限を行う。
【解決手段】 ネットワークへの接続を行うためのデータリンク処理部にフィルタ処理部を設け、パケットから抽出したＭＡＣアドレスとＩＰアドレスとポート番号から、アクセスが許可対象であるか禁止対象であるかを検出して、禁止対象であればアクセスを禁止する。
【選択図】 図２

Description

この発明はネットワーク複合機に関し、特にクライアントからのアクセスのアクセス制限に関する。

複写機等のアクセス制限機能では、ＬＡＮ上のリモート端末からのアクセス要求に対し、アクセス要求元のＩＰアドレスやＭＡＣアドレスを抽出して、これらが登録済みであればアクセスを許可してアクセス制限を行っている。これとは別に、例えばリモート端末からのアクセスに対してポート番号をチェックする必要があるときは、ＴＣＰ／ＩＰの異なるレイヤでアクセス制限を行う必要がある。
特開２００３−２２３３０７

この発明の課題は、クライアントからのアクセス要求に対し、ネットワークへの接続を行うためのデータリンク処理部で一元的にアクセス制限を行うようにすることにある（請求項１〜３）。
請求項２の発明での追加の課題は、アクセス許可／不許可対象のＭＡＣアドレス及びＩＰアドレス、並びにポート番号のテーブルへの登録を、自機またはネットワーク経由でクライアントが行うことができるようにすることにある。
請求項３の発明での追加の課題は、アクセスの可否を決めるＭＡＣドレス、ＩＰアドレス、ポート番号を登録するテーブルの内容を自機でクリア可能とすることで、ネットワーク経由でのアクセスが不可能となる事態を防止する。

この発明は、ネットワークプロトコルを用いてクライアントとデータの送受信を行うネットワーク複合機において、ネットワークへの接続を行うためのデータリンク処理部に、クライアントのアクセス許可／不許可対象の、ＭＡＣアドレス及びＩＰアドレス、並びにポート番号を登録したテーブルを設け、受信データからＭＡＣアドレス及びＩＰアドレス、並びにポート番号を抽出するための抽出部と、前記抽出したデータを前記テーブルを参照して前記クライアントのアクセスをフィルタリングするためのフィルタリング部と、を備えるフィルタ処理部を設けたことを特徴とする（請求項１）。なお、この発明のデータリンク処理部は、物理領域を確保しデータリンクを確立してネットワークへの接続処理を行う。

好ましくは、ＭＡＣアドレス及びＩＰアドレス、並びにポート番号を前記テーブルに登録するための登録受付部を設け、自機からまたはクライアントから、クライアントのアクセス許可／不許可対象の、ＭＡＣアドレス及びＩＰアドレス、並びにポート番号を前記テーブルに登録可能に構成する（請求項２）。

さらに好ましくは、クライアントを介さず自機から前記テーブルの登録内容をクリアするためのクリア入力／受付部を、設ける（請求項３）。

この発明では、ネットワークへの接続を行うためのデータリンク処理部で、受信データのヘッダから抽出するＭＡＣアドレスとＩＰアドレスとポート番号とでアクセスの許可／不許可を決定し、許可されたパケットのみを受信するので、受信データのフィルタ処理を一カ所で行うことができる。すなわち、ＴＣＰ／ＩＰのレイヤ毎にパケットを通過させるか否かをチェックする必要がなく、データリンク処理部のみでアクセス制限を簡単に行うことができる。ＴＣＰ／ＩＰ用の処理部がミドルウエア等である場合も、データリンク処理部でアクセス制限を行うと、フィルタリング機能の追加や変更が簡単である。

さらに複合機のアプリケーションサービスに割り当てられたポート番号をテーブルに登録し、受信パケットの送信先ポート番号が許可されたポート番号で、許可されたアプリケーションサービスへのアクセスか、をチェックすることができる。ＴＣＰやＵＤＰのポート番号をテーブルに登録し、特定のＭＡＣアドレスとＩＰアドレスのクライアントに例えばファイル転送（ＴＣＰのポート番号２１）のためのアクセスを認めるなどの、送信元クライアントとアプリケーションの種類とを組み合わせたフィルタリングを簡単に行うことができる。また、アクセス許可／不許可対象のＭＡＣアドレスとＩＰアドレス及びポート番号をテーブルに登録することで、これらの情報を容易に管理することができる（請求項１）。

ＭＡＣアドレスとＩＰアドレス及びポート番号のテーブルへの登録を、自機からまたはクライアントから行うことが可能になる（請求項２）。さらにアクセス許可／不許可対象のＭＡＣアドレスとＩＰアドレス及びポート番号を登録したテーブルの内容は自機でクリアすることができるので、例えばテーブルへ間違ったＩＰアドレスを登録することでクライアントからアクセスができなくなった場合などでも、自機にてその情報を削除することができる（請求項３）。

以下に本発明を実施するための最適実施例を示す。

図１〜図６に、ネットワーク複合機２の実施例を示す。ネットワーク複合機２はＬＡＮ４やインターネット６などのネットワークに接続され、ＬＡＮ４を介してクライアントのパーソナルコンピュータ８，１０やルータ１２等と接続され、さらにルータ１２、インターネット６を介して他のパーソナルコンピュータ１４等と接続する。

図１において、２０は主制御部、２２はＬＡＮインターフェースで、ＬＡＮインターフェース２２は後述するデータリンク処理部４２を備える。２４はＧ３ファクシミリ機能処理部で、公衆電話回線網（ＰＳＴＮ）を介しＧ３ファクシミリ等の送受信などを行う。２６はインターネットファクシミリ機能処理部で、例えば電子メール形式でインターネットファクシミリの送受信を処理する。２８はネットワークススキャナ機能処理部で、３０はネットワークプリンタ部、３２はコピー機能処理部である。また３４はＬＣＤ等の表示部で、３６はキーボードやタッチパネル等の操作部で、フィルタリング対象のＭＡＣアドレス、ＩＰアドレス、ポート番号等の登録や登録の削除等を行うことができる。ＲＡＭ３８は、ＳＲＡＭやＤＲＡＭ、フラッシュメモリ等で構成され、処理に伴う各種データ等を保存する。またＲＯＭ４０は、複合機２の動作に必要なプログラムを記憶する。なおネットワーク複合機２は、ネットワークプロトコルを利用したサーバ機能を備えており、例えばＨＴＴＰサーバや電子メールサーバ、インターネットファクシサーバ、ネットワークプリンタサーバ等として機能する。

ＬＡＮインターフェース２２に設けるデータリンク処理部４２は、ネットワークを介したデータの送受信を行うため、ＬＡＮ４やイーサーネットなどへの接続とデータの送受信のためのデータリンクを確立する。実施例では、データリンク処理部４２に受信データのフィルタリングを行うためのフィルタ処理部４４を設け、フィルタリング対象登録テーブル４６にフィルタリング対象のＭＡＣアドレス、ＩＰアドレス及びポート番号を登録し、受信パケットのＭＡＣアドレス等からそのアクセスを許可するか禁止するかのチェックを行う。

ＭＡＣアドレスは、ネットワーク装置毎に製造メーカーが割振った固有の識別番号で、受信パケットのヘッダからＭＡＣアドレスやＩＰアドレスを抽出して、送信元のクライアントパーソナルコンピュータを特定する。またポート番号は、ＴＣＰとＵＤＰのプロトコルにおいて、複合機２のアプリケーションサービスを識別するための番号で、受信データのＴＣＰヘッダ、ＵＤＰヘッダからそれぞれ宛先ポート番号を得ることができる。例えばＴＣＰの２１番のポート番号はファイル転送プロトコルを示し、受信データのＴＣＰヘッダに宛先ポート番号２１が書き込まれていれば、ファイル転送を要求するアクセスであることが分かる。すなわち受信パケットから、アクセス要求するクライアントと、そのクライアントの要求する処理とを得ることができる。なお実施例では、テーブル４６にアクセスを許可する場合と禁止する場合のＭＡＣアドレスとＩＰアドレスとポート番号とをそれぞれ登録する。

４８は、テーブル４６に許可対象のＭＡＣアドレス等と禁止対象のＭＡＣアドレス等とを登録するためのフィルタリング対象登録受付部で、操作部３６からあるい外部のパーソナルコンピュータ８，１０などからの入力を受付ける。そしてフィルタリング対象登録部５０で、入力されたフィルタリング対象のＭＡＣアドレス等をテーブル４６に登録する。アクセス制御部５２は、受信パケットからＭＡＣアドレス、ＩＰアドレス、ポート番号を抽出するための抽出部５４と、抽出したアドレス等がテーブル４６に登録されているかを検出するための検出部５６と、検出部５６でアクセス禁止対象であることを検出してアクセスを禁止するための禁止部５８とを備える。実施例の検出部５６は、アクセス禁止対象の検出と許可対象の検出とを行い、許可対象クライアントが許可対象アプリケーションサービスへのアクセスを要求していれば、そのアクセスを許可する。６０は、テーブル４６への登録を削除するためのフィルタリング対象クリア部で、テーブル４６に登録したアドレス等が間違っている場合などに、操作部３６からそのアドレス等を削除する。アドレス等の誤登録で、例えばパーソナルコンピュータ８などからのアクセスが不能になった場合でも、自機で登録内容を修正／クリアできる。

図２に、実施例のＬＡＮインターフェース２２の構成を示し、ＬＡＮインターフェース２２に設けたフィルタ処理部４４の機能を説明する。図において、アプリケーション処理部、トランスポート処理部、インターネット処理部は、ＴＣＰ／ＩＰの階層化されたプロトコルのアプリケーション層、トランスポート層、インターネット層にそれぞれ対応する。実施例のデータリンク処理部４２は、ＴＣＰ／ＩＰのデータリンク層と物理層とに対応し、ＬＡＮ４との接続とデータの送受信とを行う。そしてデータリンク処理部４２にフィルタ処理部４４を組み込んで、受信パケットに含むＭＡＣアドレスとＩＰアドレスとポート番号のチェックを行って、フィルタ後のパケットのみを通過させて、インターネット処理部へと渡す。

ＴＣＰ／ＩＰのそれぞれの階層でパケットのフィルタリングを行う場合、通常、データリンク層でＭＡＣアドレスをチェックし、次にインターネット層でＩＰアドレスのチェックを行い、次にトランスポート層のＴＣＰとＵＤＰでポート番号のチェックを行ってアプリケーション層にはフィルタ後のパケットのみを渡す。データを最終的なアプリケーションに渡すまでに各階層毎に段階的にパケットのフィルタを行う場合、各階層毎にフィルタ処理の機能を設ける必要があり、処理が複雑である。図２の実施例では、データリンク処理部４２に設けたフィルタ処理部４４で各階層で行うフィルタ処理を一括して行い、許可対象のパケットを通過させて、不許可対象のパケットを一元的に遮断する。

図３に、フィルタリング対象登録テーブル４６を示す。実施例では、ＭＡＣアドレスとＩＰアドレスとポート番号について、それぞれ許可リストと不許可リストとを登録するが、許可リストあるいは不許可リストのいずれかを記憶しても良い。またＭＡＣアドレス、ＩＰアドレス毎に許可対象のポート番号を登録する、等としても良い。

フィルタリング対象登録テーブル４６への登録は、複合機２の表示部３４と操作部３６からなるタッチパネルや、図４のパーソナルコンピュータ８などの表示画面１００から行う。表示画面１００には、フィルタリング対象のＭＡＣアドレス指定部１１０とＩＰアドレス指定部１２０とポート番号指定部１３０とを設け、それぞれについて許可対象と不許可対象とを入力することができる。アドレス等の入力は、例えばＩＰアドレスであれば「192.168.1.1〜192.168.1.10」などの範囲で指定することができる。入力されたアドレス等は、図１のフィルタリング対象受付部４８で受け付け、登録部５０でテーブル４６に登録する。なお、各々のアドレス指定部１１０〜１３０に、それぞれEnableボタン１１１，１２１，１３１を設けて、ＭＡＣアドレスのフィルタリング，ＩＰアドレスのフィルタリング，ポート番号のフィルタリングを各々行うかどうかを設定することができる。

なお、テーブル４６に誤ったアドレス等を登録したため、クライアントからのアクセスが不能になった場合は、図５に示す自機の表示／操作部の表示画面２００からフィルタリング対象データを消去する項目を選択して消去することができる。図１のフィルタリング対象クリア部６０は、データの消去が指示されるとテーブル４６の内容を消去する。なお図に示すように、フィルタリング対象として登録された全データを一括して消去しても良く、あるいはユーザに選択された個別のデータを消去するようにしても良い。

図６に、実施例の処理の流れを示す。図において、クライアントパーソナルコンピュータあるいは自機で、フィルタリング対象登録テーブルへ許可／不許可対象のリストの登録を行う（Ｓ１）。複合機２がデータを受信すると（Ｓ２）、受信パケットからＭＡＣアドレスとＩＰアドレスと送信先ポート番号とを抽出し、抽出したデータがそれぞれテーブルに登録されているかをチェックする（Ｓ３，Ｓ４，Ｓ５）。不許可リストに該当するアドレスであれば、アクセスを禁止する。ポート番号が該当すれば、ポートを遮断する。不許可対象でないパケットあるいは許可対象のパケットであれば、これを受信してクライアントが要求する処理を行う（Ｓ６）。フィルタリング対象のデータを登録テーブルから消去するときは、自機の表示／操作画面からクリア指示できる（Ｓ７）。テーブルの不許可リスト全体の消去やデータの一部を削除する旨の指示を受取ると、そのデータをテーブルからクリアする（Ｓ８）。

実施例では、ネットワークへの接続を行うためのデータリンク処理部で、受信データのヘッダから抽出するＭＡＣアドレスとＩＰアドレスとポート番号とでパケットをフィルタリングし、不許可のアクセスを禁止する。実施例のフィルタリング処理は、データリンク処理部で一括して簡単に行うことができる。例えばＴＣＰ／ＩＰのレイヤ毎にパケットを通過させるか否かのチェックを行う必要が無い。またデータリンク処理部にだけフィルタリンク処理部を組み込むので、フィルタリング機能の追加や変更を容易に行うことができる。

実施例では、クライアントのＭＡＣアドレス及びＩＰアドレスとをテーブルに登録して、特定の送信元からのアクセスの許可／不許可を決定することができる。テーブルへは、複数個のＭＡＣアドレスとＩＰアドレスとを登録できるので、複数のクライアントからのアクセス禁止を容易に行うことができる。またポート番号を登録するので、パケットの送信先ポート番号が許可されたアプリケーションサービスかをチェックすることができる。許可されないポート番号へのアクセスであれば、そのポートを遮断する。そのため許可されたクライアントからのアクセスであり、かつ許可されたアプリケーションへのアクセスである場合にそのアクセスを許可することができる。このように実施例では、アクセスするクライアントとアプリケーションの種類とを組み合わせたフィルタリングが可能である。
そしてアクセス制限を行うことで、特定の送信元からのアクセスを禁止すると共に、複合機の管理情報などへのアクセスを防止することができる。

またＭＡＣアドレスとＩＰアドレス及びポート番号のテーブルへの登録を、自機からまたはクライアントから行うことが可能になる。
アクセス許可／不許可対象のＭＡＣアドレスとＩＰアドレス及びポート番号を登録したテーブルの内容は自機でクリアすることができるので、例えばテーブルへ間違ったＩＰアドレスを登録してクライアントからアクセスができなくなった場合などに、簡単にその情報を削除することができる。

実施例のネットワーク複合機とその使用環境を示すブロック図 実施例でのフィルタリング処理を説明するための図 実施例のフィルタリング対象登録テーブルを示す図 実施例での、フィルタリング対象登録テーブルへの登録を行うための表示画面を示す図 実施例での、フィルタリング対象登録テーブルに登録されたデータをクリアするための表示画面を示す図 実施例のフィルタリング処理の流れを示す図

符号の説明

２ ネットワーク複合機
４ ＬＡＮ
６ ネットワーク
８，１０，１４ クライアントのパーソナルコンピュータ
１２ ルータ
２０ 主制御部
２２ ＬＡＮインターフェース
２４ Ｇ３ファクシミリ機能処理部
２６ インターネットファクシミリ機能処理部
２８ スキャナ機能処理部
３０ プリンタ機能処理部
３２ コピー機能処理部
３４ 表示部
３６ 操作部
３８ ＲＡＭ
４０ ＲＯＭ
４２ データリンク処理部
４４ フィルタ処理部
４６ ファルタリング対象登録テーブル
４８ フィルタリング対象登録受付部
５０ フィルタリング対象登録部
５２ アクセス制御部
５４ 抽出部
５６ 検出部
５８ 禁止部
６０ フィルタリング対象クリア部
１００，２００ 表示画面

Claims (3)

1. ネットワークプロトコルを用いてクライアントとデータの送受信を行うネットワーク複合機において、
   ネットワークへの接続を行うためのデータリンク処理部に、クライアントのアクセス許可／不許可対象の、ＭＡＣアドレス及びＩＰアドレス、並びにポート番号を登録したテーブルを設け、受信データからＭＡＣアドレス及びＩＰアドレス、並びにポート番号を抽出するための抽出部と、前記抽出したデータを前記テーブルを参照して前記クライアントのアクセスをフィルタリングするためのフィルタリング部と、を備えるフィルタ処理部を設けたことを特徴とする、ネットワーク複合機。
2. ＭＡＣアドレス及びＩＰアドレス、並びにポート番号を前記テーブルに登録するための登録受付部を設け、自機からまたはクライアントから、クライアントのアクセス許可／不許可対象の、ＭＡＣアドレス及びＩＰアドレス、並びにポート番号を前記テーブルに登録可能に構成したことを特徴とする、請求項１のネットワーク複合機。
3. クライアントを介さず自機から前記テーブルの登録内容をクリアするためのクリア入力／受付部を、設けることを特徴とする、請求項１または２のネットワーク複合機。