JP2008311939A - ネットワーク通信機器 - Google Patents

Abstract

【課題】複数のアドレスを保有するネットワーク通信機器において、適切なセキュリティ動作を行わせることのできるようにする。
【解決手段】複数のアドレスを保有するネットワーク通信機器であって、接続先の名前もしくは識別子に対応する全てのアドレスをアドレス解決により取得するアドレス取得手段と、取得したアドレスをセキュリティ通信の設定内容と比較することでセキュリティ通信が可能なアドレスを決定するアドレス決定手段とを備える。上記セキュリティ通信の設定内容は、ユーザによるセキュリティ通信の設定内容を保持する設定保持部もしくは現時点で有効なセキュリティ通信の設定内容を保持するデータベースから取得する。
【選択図】図２

Description

本発明は、ＩＰｖ６（Internet Protocol version 6）、ＩＰｖ４（Internet Protocol version 4）等のプロトコルに従ってネットワーク通信を行う機能を有した、プリンタ、スキャナ、ファクスおよびそれらの機能を併せ持つ複合機（ＭＦＰ：Multi Function Printer）、パーソナルコンピュータ（ＰＣ：Personal Computer）等のネットワーク通信機器に関する。

ＩＰｖ６環境においては、ネットワーク通信機器は複数のＩＰアドレスを保有するという特徴を持っている。なお、ＩＰｖ４でも、ＩＰアドレスを複数割り当てることができるため、複数のＩＰアドレスを保有するという特徴は必ずしもＩＰアドレスのバージョンに依存したものではない。

また、ネットワーク通信機器ではセキュリティ対策として、
（１）ＩＰｓｅｃ（Internet Protocol security）による通信
（２）ＩＰアドレスに基づくアクセスコントロール
を実施することが多い。

ＩＰｓｅｃはＩＰパケットの暗号化と認証を行なうセキュリティ技術であり、ＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）環境で汎用的に用いることができる。データリンク層等のトンネリングプロトコルと異なり、ネットワーク層で動作する。ＩＰｓｅｃの仕組みの中心となるのは、パケット内のデータの改竄を防止するためのパケット認証を行なう「ＡＨ（Authentication Header：認証ヘッダ）」と、認証と暗号化まで行なう「ＥＳＰ（Encapsulating Security Payload）」ヘッダである。また、ＩＰパケット全体を暗号化する「トンネルモード」と、データ部分だけを暗号化する「トランスポートモード」を選択することができる。更に、暗号・認証のパラメータを動的に生成して交換するＩＫＥ（Internet Key Exchange）と呼ばれる自動鍵交換のプロトコルが、認証や暗号化を行なうアルゴリズムと独立して用意されている。

また、ＩＰアドレスに基づくアクセスコントロールでは、アクセスを許可／拒否する相手側のネットワーク通信機器のＩＰアドレスあるいはＩＰアドレス範囲（アドレスブロック）を設定することで制御を行う。

なお、出願人は出願時点までに本発明に関連する公開された先行技術文献を発見することができなかった。よって、先行技術文献情報を開示していない。

上述したような、ネットワーク通信機器が複数のＩＰアドレスを保有する状況におけるセキュリティ対策においては、それぞれについて次のような問題点があった。

（１）ＩＰｓｅｃによる通信の場合
ＩＰｓｅｃによる通信は、通信する双方のネットワーク通信機器において予め同一のＩＰｓｅｃの設定を行う必要があるが、複数のＩＰアドレスを保有するネットワーク通信機器においては、一部のＩＰアドレスについてのみＩＰｓｅｃの設定を行い、他のＩＰアドレスについてはＩＰｓｅｃの設定を行わないことがある。

このとき、通信を要求するアプリケーションが、ＩＰアドレスそのものの指定ではなく、ＤＮＳ（Domain Name System）における名前（ホスト名）やＳＩＰ（Session Initiation Protocol）における識別子により相手のネットワーク通信機器を指定する場合、ＤＮＳやＳＩＰでのアドレス解決の手段を用いることとなる。名前もしくは識別子からアドレス解決をした結果、その名前もしくは識別子に対応付けられた全ての（複数の）ＩＰアドレスが取得されることになるが、それらのＩＰアドレスのどれにＩＰｓｅｃの設定がされているのかを知ることはできない。

そのため、全てのＩＰアドレスについてＩＰｓｅｃの通信ができるかどうかを実際に試してみなければならず、本来の通信を開始するまでの処理に時間がかかる。

（２）ＩＰアドレスに基づくアクセスコントロールの場合
他のネットワーク通信機器からアクセスがあった場合、そのＩＰアドレスを設定情報と比較することによりアクセス許可されているものであるか否かを判断することになるが、アクセスが許可されたネットワーク通信機器であっても、設定されているＩＰアドレスとは異なるＩＰアドレスによってアクセスがあった場合には接続が拒否されてしまうことになる。また、ネットワーク通信機器のＩＰアドレスは、ネットワーク環境もしくは接続機器の状況により常に変化するため、設定内容を固定化してしまうと正常なアクセスコントロールが動作しない可能性がある。

本発明は上記の従来の問題点に鑑み提案されたものであり、その目的とするところは、複数のアドレスを保有するネットワーク通信機器において、適切なセキュリティ動作を行わせることのできるネットワーク通信機器を提供することにある。

上記の課題を解決するため、本発明にあっては、請求項１に記載されるように、複数のアドレスを保有するネットワーク通信機器であって、接続先の名前もしくは識別子に対応する全てのアドレスをアドレス解決により取得するアドレス取得手段と、取得したアドレスをセキュリティ通信の設定内容と比較することでセキュリティ通信が可能なアドレスを決定するアドレス決定手段とを備えるネットワーク通信機器を要旨としている。

また、請求項２に記載されるように、請求項１に記載のネットワーク通信機器において、上記セキュリティ通信の設定内容は、ユーザによるセキュリティ通信の設定内容を保持する設定保持部から取得するようにすることができる。

また、請求項３に記載されるように、請求項１に記載のネットワーク通信機器において、上記セキュリティ通信の設定内容は、現時点で有効なセキュリティ通信の設定内容を保持するデータベースから取得するようにすることができる。

また、請求項４に記載されるように、請求項１に記載のネットワーク通信機器において、上記アドレス決定手段は、上記アドレス取得手段により取得したアドレスを現時点で有効なセキュリティ通信の設定内容を保持するデータベースから取得したセキュリティ通信の設定内容と比較することでセキュリティ通信が可能なアドレスを決定するとともに、セキュリティ通信が可能なアドレスが決定できない場合に、上記アドレス取得手段により取得したアドレスをユーザによるセキュリティ通信の設定内容を保持する設定保持部から取得したセキュリティ通信の設定内容と比較することでセキュリティ通信が可能なアドレスを決定するようにすることができる。

また、請求項５に記載されるように、請求項１乃至４のいずれか一項に記載のネットワーク通信機器において、上記アドレス決定手段は、上記セキュリティ通信の設定内容にセキュリティ通信を必須とするモードの設定が一つでも存在する場合に、上記アドレス取得手段により取得したアドレスをセキュリティ通信の設定内容と比較することでセキュリティ通信が可能なアドレスを決定するようにすることができる。

また、請求項６に記載されるように、請求項１乃至５のいずれか一項に記載のネットワーク通信機器において、上記アドレス決定手段は、上記アドレス取得手段により取得したアドレスをセキュリティ通信の設定内容と比較することで特定したアドレスにつき、セキュリティ通信を実行することで実際にセキュリティ通信が行えることを確認した後にセキュリティ通信が可能なアドレスとして決定するようにすることができる。

また、請求項７に記載されるように、請求項３に記載のネットワーク通信機器において、上記アドレス決定手段は、上記データベースの設定内容と比較することでセキュリティ通信が可能なアドレスを特定できない場合、上記アドレス取得手段により取得したアドレスにつきセキュリティ通信を実行することで、実際にセキュリティ通信が行えることが確認できたアドレスをセキュリティ通信が可能なアドレスとして決定するようにすることができる。

また、請求項８に記載されるように、複数のアドレスを保有するネットワーク通信機器であって、他のネットワーク通信機器からアクセス要求があった場合、そのアクセス元のアドレスが許可されていない場合に当該アドレスからホスト名を取得するとともに、取得したホスト名に対応する全てのアドレスを取得する手段と、取得したアドレスに基づいてアクセスの制御を行う手段とを備えるネットワーク通信機器として構成することができる。

また、請求項９に記載されるように、請求項８に記載のネットワーク通信機器において、アクセスが許可されるホスト名と当該ホスト名に対応する全てのアドレスとを関連付けて保持する手段と、所定のタイミングで上記ホスト名とアドレスとの関連付けを更新する手段とを備えるようにすることができる。

また、請求項１０、１１に記載されるように、ネットワーク通信制御方法として構成することができる。

本発明のネットワーク通信機器にあっては、複数のアドレスを保有するネットワーク通信機器において、ＩＰｓｅｃ等のセキュリティ通信を行えるアドレスを効率よく決定できるとともに、ホスト名に関連付けられたアドレスにより適切なアクセスコントロールを行うことができ、適切なセキュリティ動作を行わせることができる。

以下、本発明の好適な実施形態につき説明する。

＜第１の実施形態＞
図１は本発明の第１の実施形態にかかるネットワーク構成例を示す図である。

図１において、ＭＦＰ等のネットワーク通信機器１Ａと、ＰＣ等のネットワーク通信機器１Ｂ、１Ｃと、アドレス解決を行うＤＮＳ２とがネットワーク上に接続されている。ネットワーク通信機器１Ａ〜１Ｃは、それぞれ複数のＩＰアドレスを持っている。ＤＮＳ２には、ネットワーク内のネットワーク通信機器１Ａ〜１Ｃのホスト名とその機器が持つ複数のＩＰアドレスの全ての対応情報が登録されている。また、ネットワーク通信機器１Ａ〜１Ｃには、必要に応じて１対１の機器同士でＩＰｓｅｃ通信の設定がされている。複数のＩＰアドレスを持つネットワーク通信機器１Ａ〜１Ｃは、一部のＩＰアドレスについてのみＩＰｓｅｃ通信が可能な設定となっている場合がある。

なお、以下ではＭＦＰ等のネットワーク通信機器１Ａに本発明を適用した例につき説明するが、他のネットワーク通信機器に本発明を適用することができることはいうまでもない。

図２はネットワーク通信機器１Ａのソフトウェア構成例を示す図である。

図２において、ネットワーク通信機器１Ａは、ネットワークを介した通信を要求するアプリケーション１０１と、ネットワーク通信の制御を行うネットワーク制御部１０２と、機器の基本ソフトウェアであるＯＳ（Operating System）１１５とを備えている。

ネットワーク制御部１０２は、ネットワーク通信機器１Ａの管理者によるＩＰｓｅｃの設定機能を提供するＩＰｓｅｃ設定部１０３と、ＩＰｓｅｃの設定内容を保持するＩＰｓｅｃ設定保持部１０４と、アプリケーション１０１からのホスト名の指定による通信要求時にＩＰアドレスの決定を行うＩＰアドレス決定部１０５と、ＤＮＳ２（図１）にアクセスしてアドレス解決を行うＤＮＳ検索部１０６と、ＩＰｓｅｃ通信開始時にＩＫＥによる鍵交換の処理を行うＩＫＥ処理部１０７とを備えている。

ＯＳ１１５は、ネットワークプロトコルに従った処理を行うネットワークプロトコル処理部１１６と、通信ハードウェア（ＮＩＣ：Network Interface Card）の制御を行うＩ／Ｆ（Interface）処理部（ネットワーク通信ドライバ）１２０とを備えている。ネットワークプロトコル処理部１１６は、ＩＰｖ４、ＩＰｖ６のプロトコルに従った処理を行うＩＰ処理部１１７と、ＩＰｓｅｃの処理を行うＩＰｓｅｃ処理部１１８と、現時点で有効なＩＰｓｅｃの設定内容を保持するＩＰｓｅｃＳＡ（Security Association）データベース１１９とを備えている。

図３はＩＰｓｅｃ設定保持部１０４およびＩＰｓｅｃＳＡデータベース１１９のデータ構造例を示す図である。図３（ａ）はＩＰｓｅｃ設定保持部１０４を示しており、当該ネットワーク通信機器でＩＰｓｅｃが「有効」であるか「無効」であるかを示す情報（図では「有効」）を示す情報と、ＩＰｓｅｃのモード（「ｒｅｑｕｉｒｅ」はＩＰｓｅｃが必須、「ｕｓｅｄ」はＩＰｓｅｃが任意、「ｎｏｎｅ」はＩＰｓｅｃをしないことを示す。図では「ｒｅｑｕｉｒｅ」）、ローカルアドレス（当該ネットワーク通信機器のＩＰアドレス）、リモートアドレス（通信相手のネットワーク通信機器のＩＰアドレス）、暗号化設定等を含む複数のエントリからなる情報とを保持している。

図３（ｂ）はＩＰｓｅｃＳＡデータベース１１９を示しており、現時点で有効なＩＰｓｅｃの設定内容として、ローカルアドレス、リモートアドレス、モード等を保持している。

図４はネットワーク通信機器１Ａのネットワーク制御部１０２における処理例を示すフローチャートであり、ユーザによるＩＰｓｅｃ設定内容を参照することで、ＩＰｓｅｃ通信ができるＩＰアドレスを決定するようにしたものである。

図４において、上位のアプリケーション１０１からホスト名の指定による通信の要求を受けて処理を開始すると（ステップＳ１０１）、指定されたホスト名に対応する全てのＩＰアドレスを、ＤＮＳ検索部１０６によりＤＮＳ２のアドレス解決により検索して取得する（ステップＳ１０２）。

次いで、ＩＰアドレス決定部１０５はＩＰｓｅｃ設定保持部１０４の設定内容を参照し、ＩＰｓｅｃが有効で、かつモードがＩＰｓｅｃを必須とする「ｒｅｑｕｉｒｅ」であるものが一つでも存在するか否か判断する（ステップＳ１０３）。

ここで、判断が否定的なものである場合（ステップＳ１０３のＮｏ）、すなわちＩＰｓｅｃが無効であるか、ＩＰｓｅｃが有効であってもモードが「ｒｅｑｕｉｒｅ」のものが一つも存在しない場合（モードが「ｕｓｅｄ」か「ｎｏｎｅ」）、検索結果「あり」として既に取得してある全てのＩＰアドレスを設定し（ステップＳ１０４）、検索結果「あり」とＩＰアドレスを要求元のアプリケーション１０１に返答し（ステップＳ１１０）、処理を終了する（ステップＳ１１１）。

また、判断が肯定的なものである場合（ステップＳ１０３のＹｅｓ）、検索して取得したＩＰアドレスについてモードが「ｒｅｑｕｉｒｅ」のものから優先してループ処理を行い（ステップＳ１０５〜Ｓ１０８）、ＩＰｓｅｃ設定保持部１０４のＩＰｓｅｃ通信設定範囲にＩＰアドレスがあるか否か判断する（ステップＳ１０６）。ＩＰｓｅｃ通信設定範囲にＩＰアドレスがない場合（ステップＳ１０６のＮｏ）はループ処理を継続する（ステップＳ１０８、Ｓ１０５）。

そして、ＩＰｓｅｃ通信設定範囲にＩＰアドレスがある場合（ステップＳ１０６のＹｅｓ）、検索結果「あり」としてそのＩＰアドレスを設定し（ステップＳ１０７）、検索結果「あり」とＩＰアドレスを要求元のアプリケーション１０１に返答し（ステップＳ１１０）、処理を終了する（ステップＳ１１１）。

また、検索して取得した全てのＩＰアドレスについてループ処理を終了した場合、検索結果は「なし」としてＩＰアドレスもなしに設定し（ステップＳ１０９）、検索結果「なし」とＩＰアドレス「なし」を要求元のアプリケーション１０１に返答し（ステップＳ１１０）、処理を終了する（ステップＳ１１１）。

図５はネットワーク通信機器１Ａのネットワーク制御部１０２における他の処理例を示すフローチャートであり、ＩＰｓｅｃ設定保持部１０４のＩＰｓｅｃ通信設定範囲にあるＩＰアドレスが発見された場合に、そのＩＰアドレスに対してＩＰｓｅｃ通信を実行することで実際にＩＰｓｅｃ通信が行えることを確認した後にＩＰアドレスを決定するようにしたものである。

図５において、上位のアプリケーション１０１からホスト名の指定による通信の要求を受けて処理を開始すると（ステップＳ１２１）、指定されたホスト名に対応する全てのＩＰアドレスを、ＤＮＳ検索部１０６によりＤＮＳ２のアドレス解決により検索して取得する（ステップＳ１２２）。

次いで、ＩＰアドレス決定部１０５はＩＰｓｅｃ設定保持部１０４の設定内容を参照し、ＩＰｓｅｃが有効で、かつモードがＩＰｓｅｃを必須とする「ｒｅｑｕｉｒｅ」であるものが一つでも存在するか否か判断する（ステップＳ１２３）。

ここで、判断が否定的なものである場合（ステップＳ１２３のＮｏ）、すなわちＩＰｓｅｃが無効であるか、ＩＰｓｅｃが有効であってもモードが「ｒｅｑｕｉｒｅ」のものが一つも存在しない場合（モードが「ｕｓｅｄ」か「ｎｏｎｅ」）、検索結果「あり」として既に取得してある全てのＩＰアドレスを設定し（ステップＳ１２４）、検索結果「あり」とＩＰアドレスを要求元のアプリケーション１０１に返答し（ステップＳ１３２）、処理を終了する（ステップＳ１３３）。

また、判断が肯定的なものである場合（ステップＳ１２３のＹｅｓ）、検索して取得したＩＰアドレスについてモードが「ｒｅｑｕｉｒｅ」のものから優先してループ処理を行い（ステップＳ１２５〜Ｓ１３０）、ＩＰｓｅｃ設定保持部１０４のＩＰｓｅｃ通信設定範囲にＩＰアドレスがあるか否か判断する（ステップＳ１２６）。ＩＰｓｅｃ通信設定範囲にＩＰアドレスがない場合（ステップＳ１２６のＮｏ）はループ処理を継続する（ステップＳ１３０、Ｓ１２５）。

そして、ＩＰｓｅｃ通信設定範囲にＩＰアドレスがある場合（ステップＳ１２６のＹｅｓ）、そのＩＰアドレスに対してＩＰ処理部１１７によりＩＣＭＰ（Internet Control Message Protocol）パケットを送信する（ステップＳ１２７）。この際、相手側機器との間でＩＫＥによる鍵交換の処理（ＩＫＥ Ｐｈａｓｅ１、Ｐｈａｓｅ２等）を行った上でＩＰｓｅｃによりＩＣＭＰパケットの送信が行われる。

次いで、送信したＩＣＭＰパケットに対して応答があったか否か判断する（ステップＳ１２８）。なお、ＩＫＥによる鍵交換の処理でエラーが発生することでＩＣＭＰパケットの送信が行われなかった場合も応答がない場合に含めるものとする。

そして、ＩＣＭＰパケットに対して応答があった場合（ステップＳ１２８のＹｅｓ）、検索結果「あり」としてそのＩＰアドレスを設定し（ステップＳ１２９）、検索結果「あり」とＩＰアドレスを要求元のアプリケーション１０１に返答し（ステップＳ１３２）、処理を終了する（ステップＳ１３３）。

また、検索して取得した全てのＩＰアドレスについてループ処理を終了した場合、検索結果は「なし」としてＩＰアドレスもなしに設定し（ステップＳ１３１）、検索結果「なし」とＩＰアドレス「なし」を要求元のアプリケーション１０１に返答し（ステップＳ１３２）、処理を終了する（ステップＳ１３３）。

図６はネットワーク通信機器１Ａのネットワーク制御部１０２における更に他の処理例を示すフローチャートであり、ＩＰｓｅｃ通信ができるＩＰアドレスであるか否か判断するにあたり、ＩＰｓｅｃ設定保持部１０４に代えて、現時点で有効なセキュリティ通信の設定内容を保持するＩＰｓｅｃＳＡデータベース１１９を参照するようにしたものである。

図６において、上位のアプリケーション１０１からホスト名の指定による通信の要求を受けて処理を開始すると（ステップＳ１４１）、指定されたホスト名に対応する全てのＩＰアドレスを、ＤＮＳ検索部１０６によりＤＮＳ２のアドレス解決により検索して取得する（ステップＳ１４２）。

次いで、ＩＰアドレス決定部１０５はＩＰｓｅｃ設定保持部１０４の設定内容を参照し、ＩＰｓｅｃが有効で、かつモードがＩＰｓｅｃを必須とする「ｒｅｑｕｉｒｅ」であるものが一つでも存在するか否か判断する（ステップＳ１４３）。

ここで、判断が否定的なものである場合（ステップＳ１４３のＮｏ）、すなわちＩＰｓｅｃが無効であるか、ＩＰｓｅｃが有効であってもモードが「ｒｅｑｕｉｒｅ」のものが一つも存在しない場合（モードが「ｕｓｅｄ」か「ｎｏｎｅ」）、検索結果「あり」として既に取得してある全てのＩＰアドレスを設定し（ステップＳ１４４）、検索結果「あり」とＩＰアドレスを要求元のアプリケーション１０１に返答し（ステップＳ１５０）、処理を終了する（ステップＳ１５１）。

また、判断が肯定的なものである場合（ステップＳ１４３のＹｅｓ）、検索して取得したＩＰアドレスについてモードが「ｒｅｑｕｉｒｅ」のものから優先してループ処理を行い（ステップＳ１４５〜Ｓ１４８）、ＩＰｓｅｃＳＡデータベース１１９のテーブルに一致するＩＰアドレスがあるか否か判断する（ステップＳ１４６）。ＩＰｓｅｃＳＡデータベース１１９のテーブルに一致するＩＰアドレスがない場合（ステップＳ１４６のＮｏ）はループ処理を継続する（ステップＳ１４８、Ｓ１４５）。

そして、ＩＰｓｅｃＳＡデータベース１１９のテーブルに一致するＩＰアドレスがある場合（ステップＳ１４６のＹｅｓ）、検索結果「あり」としてそのＩＰアドレスを設定し（ステップＳ１４７）、検索結果「あり」とＩＰアドレスを要求元のアプリケーション１０１に返答し（ステップＳ１５０）、処理を終了する（ステップＳ１５１）。

また、検索して取得した全てのＩＰアドレスについてループ処理を終了した場合、検索結果は「なし」としてＩＰアドレスもなしに設定し（ステップＳ１４９）、検索結果「なし」とＩＰアドレス「なし」を要求元のアプリケーション１０１に返答し（ステップＳ１５０）、処理を終了する（ステップＳ１５１）。

なお、ＩＰｓｅｃＳＡデータベース１１９のテーブルに存在するＩＰアドレスについては、タイムアウトしていない有効な設定内容であるため、ＩＣＭＰパケットを送信して応答を確認することで実際にＩＰｓｅｃ通信が行えることを確認する必要はない。

また、検索して取得した全てのＩＰアドレスについてループ処理を終了した場合、検索結果は「なし」としてＩＰアドレスもなしに設定しているが（ステップＳ１４９）、本来はＩＰｓｅｃ通信が行えるＩＰアドレスがあるにもかかわらずタイムアウトによりＩＰｓｅｃＳＡデータベース１１９のテーブルに存在しない場合もあるので、その場合は全てのＩＰアドレスについてＩＣＭＰパケットの送信を行い、応答があったＩＰアドレスを要求元のアプリケーション１０１に返答するようにしてもよい。

図７はネットワーク通信機器１Ａのネットワーク制御部１０２における更に他の処理例を示すフローチャートであり、図６の処理と図５の処理とを組み合わせることで、ＩＰｓｅｃ通信が可能なＩＰアドレスを発見できる可能性を高めたものである。

図７において、上位のアプリケーション１０１からホスト名の指定による通信の要求を受けて処理を開始すると（ステップＳ１６１）、指定されたホスト名に対応する全てのＩＰアドレスを、ＤＮＳ検索部１０６によりＤＮＳ２のアドレス解決により検索して取得する（ステップＳ１６２）。

次いで、ＩＰアドレス決定部１０５はＩＰｓｅｃ設定保持部１０４の設定内容を参照し、ＩＰｓｅｃが有効で、かつモードがＩＰｓｅｃを必須とする「ｒｅｑｕｉｒｅ」であるものが一つでも存在するか否か判断する（ステップＳ１６３）。

ここで、判断が否定的なものである場合（ステップＳ１６３のＮｏ）、すなわちＩＰｓｅｃが無効であるか、ＩＰｓｅｃが有効であってもモードが「ｒｅｑｕｉｒｅ」のものが一つも存在しない場合（モードが「ｕｓｅｄ」か「ｎｏｎｅ」）、検索結果「あり」として既に取得してある全てのＩＰアドレスを設定し（ステップＳ１６４）、検索結果「あり」とＩＰアドレスを要求元のアプリケーション１０１に返答し（ステップＳ１７５）、処理を終了する（ステップＳ１７６）。

また、判断が肯定的なものである場合（ステップＳ１６３のＹｅｓ）、検索して取得したＩＰアドレスについてモードが「ｒｅｑｕｉｒｅ」のものから優先してループ処理を行い（ステップＳ１６５〜Ｓ１６８）、ＩＰｓｅｃＳＡデータベース１１９のテーブルに一致するＩＰアドレスがあるか否か判断する（ステップＳ１６６）。ＩＰｓｅｃＳＡデータベース１１９のテーブルに一致するＩＰアドレスがない場合（ステップＳ１６６のＮｏ）はループ処理を継続する（ステップＳ１６８、Ｓ１６５）。

そして、ＩＰｓｅｃＳＡデータベース１１９のテーブルに一致するＩＰアドレスがある場合（ステップＳ１６６のＹｅｓ）、検索結果「あり」としてそのＩＰアドレスを設定し（ステップＳ１６７）、検索結果「あり」とＩＰアドレスを要求元のアプリケーション１０１に返答し（ステップＳ１７５）、処理を終了する（ステップＳ１７６）。

また、検索して取得した全てのＩＰアドレスについてループ処理を終了した場合、再度、検索して取得したＩＰアドレスについてモードが「ｒｅｑｕｉｒｅ」のものから優先してループ処理を行い（ステップＳ１６９〜Ｓ１７３）、ＩＰｓｅｃ設定保持部１０４のＩＰｓｅｃ通信設定範囲にＩＰアドレスがあるか否か判断する（ステップＳ１７０）。ＩＰｓｅｃ通信設定範囲にＩＰアドレスがない場合（ステップＳ１７０のＮｏ）はループ処理を継続する（ステップＳ１７３、Ｓ１６９）。

そして、ＩＰｓｅｃ通信設定範囲にＩＰアドレスがある場合（ステップＳ１７０のＹｅｓ）、そのＩＰアドレスに対してＩＰ処理部１１７によりＩＣＭＰパケットを送信する（ステップＳ１７１）。この際、相手側機器との間でＩＫＥによる鍵交換の処理を行った上でＩＰｓｅｃによりＩＣＭＰパケットの送信が行われる。

次いで、送信したＩＣＭＰパケットに対して応答があったか否か判断する（ステップＳ１７２）。なお、ＩＫＥによる鍵交換の処理でエラーが発生することでＩＣＭＰパケットの送信が行われなかった場合も応答がない場合に含めるものとする。

そして、ＩＣＭＰパケットに対して応答があった場合（ステップＳ１７２のＹｅｓ）、検索結果「あり」としてそのＩＰアドレスを設定し（ステップＳ１６７）、検索結果「あり」とＩＰアドレスを要求元のアプリケーション１０１に返答し（ステップＳ１７５）、処理を終了する（ステップＳ１７６）。

また、検索して取得した全てのＩＰアドレスについてループ処理を終了した場合、検索結果は「なし」としてＩＰアドレスもなしに設定し（ステップＳ１７４）、検索結果「なし」とＩＰアドレス「なし」を要求元のアプリケーション１０１に返答し（ステップＳ１７５）、処理を終了する（ステップＳ１７６）。

なお、ＩＰｓｅｃ通信を行える確実性は若干低下するが、ＩＣＭＰパケットの送信（ステップＳ１７１）および応答の確認（ステップＳ１７２）を省略することもできる。

＜第２の実施形態＞
図８は本発明の第２の実施形態にかかるネットワーク構成例を示す図である。

図８において、ＭＦＰ等のネットワーク通信機器１Ａと、ＰＣ等のネットワーク通信機器１Ｂ、１Ｃと、アドレス解決を行うＤＮＳ２とがネットワーク上に接続されている。また、ルータ３Ａ、３Ｂを介して接続される他のネットワーク上にはＰＣ等のネットワーク通信機器１Ｄ〜１Ｇが接続されている。ネットワーク通信機器１Ｂ、１Ｃに併記した数字列は機器に割り当てられたＩＰｖ６アドレス（１２８ビットを１６ビットずつ区切って１６進表記）の例を示している。ネットワーク通信機器１Ａに併記した数字列はアクセスが許可される機器のＩＰアドレスを示すＡＣＬ（Access Control List）情報の例である。ＤＮＳ２に併記した数字列はホスト名とＩＰアドレスの対応情報の例である。

なお、以下ではＭＦＰ等のネットワーク通信機器１Ａに本発明を適用した例につき説明するが、他のネットワーク通信機器に本発明を適用することができることはいうまでもない。

図９はネットワーク通信機器１Ａのソフトウェア構成例を示す図である。

図９において、ネットワーク通信機器１Ａは、ネットワークを介した通信を要求するアプリケーション１０１と、ネットワーク通信の制御を行うネットワーク制御部１０２と、機器の基本ソフトウェアであるＯＳ１１５とを備えている。

ネットワーク制御部１０２は、ネットワーク通信機器１Ａの管理者による各種の設定機能を提供する各種設定部１０８と、その設定内容を保持する各種設定値保持部１０９と、アクセスを許可するホスト名とＩＰアドレスとの関連付け情報を保持するＡＣＬ情報保持部１１０と、このＡＣＬ情報保持部１１０を参照して接続要求のあったＩＰアドレスが登録されているか否かによりアクセス制御を行うとともに、ＡＣＬ情報保持部１１０の更新を行うＡＣＬ情報判断部１１１とを備えている。また、ネットワーク制御部１０２は、ＤＮＳ２（図１）への登録アドレスを選択する登録アドレス選択部１１２と、登録ホスト名を生成する登録ホスト名生成部１１３と、ＤＮＳ２に対する登録処理および参照（前方参照、後方参照）を行うＤＮＳ処理部１１４とを備えている。

ＯＳ１１５は、ネットワークプロトコルに従った処理を行うネットワークプロトコル処理部１１６と、通信ハードウェア（ＮＩＣ）の制御を行うＩ／Ｆ処理部（ネットワーク通信ドライバ）１２０とを備えている。

図１０はＡＣＬ情報保持部１１０のデータ構造例を示す図であり、（ａ）はＡＣＬ情報更新前、（ｂ）はＡＣＬ情報更新後の状態を示している。ＡＣＬ情報保持部１１０は、ホスト名とＩＰアドレス（複数可）とが関連付けられている。なお、ＩＰｖ６アドレスを例示しているが、ＩＰｖ４アドレスでも差し支えない。

図１１はネットワーク通信機器１Ａのネットワーク制御部１０２における処理例を示すフローチャートである。

図１１において、外部のネットワーク通信機器からアクセス要求を受けて処理を開始すると（ステップＳ２０１）、ＡＣＬ情報判断部１１１は要求元のＩＰアドレスがＡＣＬ情報保持部１１０の登録アドレスに含まれているか否か判断する（ステップＳ２０２）。

要求元のＩＰアドレスがＡＣＬ情報保持部１１０の登録アドレスに含まれている場合（ステップＳ２０２のＹｅｓ）、アクセスを許可し（ステップＳ２０３）、処理を終了する（ステップＳ２１０）。

また、要求元のＩＰアドレスがＡＣＬ情報保持部１１０の登録アドレスに含まれていない場合（ステップＳ２０２のＮｏ）、ＤＮＳ処理部１１４によりＤＮＳ２に対してＤＮＳ後方参照によりＩＰアドレスからホスト名を取得し（ステップＳ２０４）、次いで、取得したホスト名からＤＮＳ前方参照により対応する全てのＩＰアドレスを取得する（ステップＳ２０５）。

次いで、取得した全てのＩＰアドレスのいずれかがＡＣＬ情報保持部１１０の登録アドレスに含まれているか否か判断する（ステップＳ２０６）。

取得した全てのＩＰアドレスのいずれかがＡＣＬ情報保持部１１０の登録アドレスに含まれていない場合（ステップＳ２０６のＮｏ）、アクセスを禁止し（ステップＳ２０９）、処理を終了する（ステップＳ２１０）。

取得した全てのＩＰアドレスのいずれかがＡＣＬ情報保持部１１０の登録アドレスに含まれている場合（ステップＳ２０６のＹｅｓ）、ＡＣＬ情報保持部１１０のＡＣＬ情報を更新する（ステップＳ２０７）。すなわち、ホスト名と関連付けるＩＰアドレスを更新する。

次いで、要求元のＩＰアドレスがＡＣＬ情報保持部１１０の更新後の登録アドレスに含まれているか否か判断する（ステップＳ２０８）。

そして、要求元のＩＰアドレスがＡＣＬ情報保持部１１０の更新後の登録アドレスに含まれている場合（ステップＳ２０８のＹｅｓ）、アクセスを許可し（ステップＳ２０３）、処理を終了する（ステップＳ２１０）。

また、要求元のＩＰアドレスがＡＣＬ情報保持部１１０の更新後の登録アドレスに含まれていない場合（ステップＳ２０８のＮｏ）、アクセスを禁止し（ステップＳ２０９）、処理を終了する（ステップＳ２１０）。

図１２は機器間の信号のやりとりの例を示すシーケンス図であり、（ａ）は要求元ＩＰアドレスがＡＣＬ情報保持部１１０の登録アドレスに含まれている場合、（ｂ）は要求元ＩＰアドレスがＡＣＬ情報保持部１１０の登録アドレスに含まれていない場合の処理である。

図１２（ａ）において、ネットワーク通信機器（ＰＣ１）１Ｂからネットワーク通信機器（ＭＦＰ）１Ａにアクセス要求があった場合（ステップＳ２１１）、ネットワーク通信機器１Ａはアクセス要求のあったネットワーク通信機器１ＢのＩＰアドレスがＡＣＬ情報保持部１１０の登録アドレスに含まれているか否か判断を行う。例えば、この時点におけるＡＣＬ情報保持部１１０の状態が図１０（ａ）であるとし、アクセス要求のあったネットワーク通信機器１ＢのＩＰアドレスが「2001:1:1:3::4」であるとすると、ホスト名「ＰＣ１」に関連付けられたＩＰアドレス「2001:1:1:3::4」と一致するため、アクセスが許可されて通信が行われる（ステップＳ２１２）。

一方、図１２（ｂ）において、ネットワーク通信機器（ＰＣ２）１Ｃからネットワーク通信機器（ＭＦＰ）１Ａにアクセス要求があった場合（ステップＳ２２１）、ネットワーク通信機器１Ａはアクセス要求のあったネットワーク通信機器１ＣのＩＰアドレスがＡＣＬ情報保持部１１０の登録アドレスに含まれているか否か判断を行う。例えば、この時点におけるＡＣＬ情報保持部１１０の状態が図１０（ａ）であるとし、アクセス要求のあったネットワーク通信機器１ＢのＩＰアドレスが「2001:1:2:4::5」であるとすると、このＩＰアドレスは登録されていないと判断する。

そのため、ネットワーク通信機器１ＡはＤＮＳ２に対してそのＩＰアドレス「2001:1:2:4::5」からホスト名をＤＮＳ後方参照により取得する（ステップＳ２２２）。ここでは、ホスト名「ＰＣ２」が取得されるものとする。

続いて、取得したホスト名「ＰＣ２」の全ＩＰアドレスをＤＮＳ２からＤＮＳ前方参照により取得する（ステップＳ２２３）。ここでは、ＩＰアドレス「2001:1:1:3::5」「2001:1:2:4::5」が取得されるものとする。

そして、取得したＩＰアドレス「2001:1:1:3::5」「2001:1:2:4::5」のいずれかがＡＣＬ情報保持部１１０の登録アドレスに含まれている場合はＡＣＬ情報保持部１１０のＡＣＬ情報を更新する。ここでは、ＩＰアドレス「2001:1:1:3::5」がホスト名「ＰＣ２」に関連付けられたＩＰアドレス「2001:1:1:3::5」と一致するため、ホスト名「ＰＣ２」に関連付けて「2001:1:2:4::5」を追加する。この状態が図１０（ｂ）のホスト名「ＰＣ２」の部分である。なお、ＩＰアドレスがＡＣＬ情報保持部１１０の登録アドレスに含まれていない場合は、ＡＣＬ情報保持部１１０のＡＣＬ情報の更新は行わない。

次いで、ネットワーク通信機器１Ａはアクセス要求のあったネットワーク通信機器１ＣのＩＰアドレスがＡＣＬ情報保持部１１０の更新後の登録アドレスに含まれているか否か判断を行う。この時点におけるＡＣＬ情報保持部１１０の状態が図１０（ｂ）であれば、アクセス要求のあったネットワーク通信機器１ＢのＩＰアドレス「2001:1:2:4::5」はホスト名「ＰＣ２」に関連付けられたＩＰアドレス「2001:1:2:4::5」と一致するため、アクセスが許可されて通信が行われる（ステップＳ２２４）。なお、アクセス要求のあったネットワーク通信機器１ＣのＩＰアドレスがＡＣＬ情報保持部１１０の更新後の登録アドレスに含まれていない場合、アクセスは禁止される。

図１３は関連付け情報更新の処理例を示すフローチャートである。すなわち、取得したホスト名と全ＩＰアドレスのＡＣＬ情報保持部１１０における関連付け情報は、ネットワーク環境、接続機器の状況により常に変化している。そのため、ある適切なタイミングで更新することにより、関連付け情報が古くなったことに起因する誤ったアクセスコントロールを防ぐものである。

図１３（ａ）は、ある定められた時間が経過した場合に関連付け情報を更新するようにしたものである。ある定められた時間が経過した場合は関連付け情報が古くなっていると考えられるため、関連付け情報を更新するものである。なお、ある定められた時間は、ネットワーク通信機器１Ａにおいてネットワーク管理者が設定できるものである。

図１３（ａ）において、処理を開始すると（ステップＳ２３１）、ある定められた時間が経過したか否か判断し（ステップＳ２３２）、経過したと判断した場合（ステップＳ２３２のＹｅｓ）にＡＣＬ情報保持部１１０における取得したホスト名と全ＩＰアドレスの関連付け情報を更新し（ステップＳ２３３）、処理を終了する（ステップＳ２３４）。なお、関連付け情報の更新は、ＡＣＬ情報保持部１１０に登録された全ホスト名についてＤＮＳ前方参照して得られたＩＰアドレスで更新することにより行うものである。

図１３（ｂ）は、ある定められたデータ量を超えた場合に関連付け情報を更新するようにしたものである。ある定められたデータ量を超えた場合は、ＤＯＳ攻撃（Denial of Service Attack）等の不正アクセスを受けている可能性があるため、関連付け情報を更新するものである。なお、ある定められたデータ量は、ネットワーク通信機器１Ａにおいてネットワーク管理者が設定できるものである。

図１３（ｂ）において、処理を開始すると（ステップＳ２４１）、ある定められたデータ量を超えたか否か判断し（ステップＳ２４２）、超えたと判断した場合（ステップＳ２４２のＹｅｓ）にＡＣＬ情報保持部１１０における取得したホスト名と全ＩＰアドレスの関連付け情報を更新し（ステップＳ２４３）、処理を終了する（ステップＳ２４４）。なお、関連付け情報の更新は、ＡＣＬ情報保持部１１０に登録された全ホスト名についてＤＮＳ前方参照して得られたＩＰアドレスで更新することにより行うものである。

図１３（ｃ）は、ある定められたエラー数を超えた場合に関連付け情報を更新するようにしたものである。ある定められたエラー数を超えた場合は、不正アクセス等による不明パケットに起因してエラーが多数発生していることが考えられるため、関連付け情報を更新するものである。なお、ある定められたエラー数は、ネットワーク通信機器１Ａにおいてネットワーク管理者が設定できるものである。

図１３（ｃ）において、処理を開始すると（ステップＳ２５１）、ある定められたエラー数を超えたか否か判断し（ステップＳ２５２）、超えたと判断した場合（ステップＳ２５２のＹｅｓ）にＡＣＬ情報保持部１１０における取得したホスト名と全ＩＰアドレスの関連付け情報を更新し（ステップＳ２５３）、処理を終了する（ステップＳ２５４）。なお、関連付け情報の更新は、ＡＣＬ情報保持部１１０に登録された全ホスト名についてＤＮＳ前方参照して得られたＩＰアドレスで更新することにより行うものである。

図１３（ｄ）は、他のネットワーク通信機器からアドレス解決パケットを受信した場合に、関連付け情報を更新するようにしたものである。他のネットワーク通信機器からアドレス解決パケットを受信した場合は関連付け情報が古くなっていると考えられるため、関連付け情報を更新するものである。

図１３（ｄ）において、処理を開始すると（ステップＳ２６１）、他のネットワーク通信機器からアドレス解決パケットを受信したか否か判断し（ステップＳ２６２）、受信したと判断した場合（ステップＳ２６２のＹｅｓ）にＡＣＬ情報保持部１１０における取得したホスト名と全ＩＰアドレスの関連付け情報を更新し（ステップＳ２６３）、処理を終了する（ステップＳ２６４）。なお、関連付け情報の更新は、ＡＣＬ情報保持部１１０に登録された全ホスト名についてＤＮＳ前方参照して得られたＩＰアドレスで更新することにより行うものである。

図１３（ｅ）は、ネットワーク通信機器の電源起動時に、関連付け情報を更新するようにしたものである。電源起動時は以前の関連付け情報が古くなっているか消失している可能性があるため、関連付け情報を更新するものである。

図１３（ｅ）において、処理を開始すると（ステップＳ２７１）、ネットワーク通信機器の電源を起動し（ステップＳ２７２）、続いて、ＡＣＬ情報保持部１１０における取得したホスト名と全ＩＰアドレスの関連付け情報を更新し（ステップＳ２７３）、処理を終了する（ステップＳ２７４）。なお、関連付け情報の更新は、ＡＣＬ情報保持部１１０に登録された全ホスト名についてＤＮＳ前方参照して得られたＩＰアドレスで更新することにより行うものである。

図１３（ｆ）は、ルータから新しいプレフィクス（ＩＰｖ６のＲＡ（Router Advertisement：ルータ広告）のプレフィックス）を受信した場合に、関連付け情報を更新するようにしたものである。ルータがネットワーク通信機器と同一セグメントに追加された時には新しいプレフィックスを受信するので、新しいルータが追加されたと判断して関連付け情報を更新するものである。

図１３（ｆ）において、処理を開始すると（ステップＳ２８１）、他のネットワーク通信機器からアドレス解決パケットを受信したか否か判断し（ステップＳ２８２）、受信したと判断した場合（ステップＳ２８２のＹｅｓ）にＡＣＬ情報保持部１１０における取得したホスト名と全ＩＰアドレスの関連付け情報を更新し（ステップＳ２８３）、処理を終了する（ステップＳ２８４）。なお、関連付け情報の更新は、ＡＣＬ情報保持部１１０に登録された全ホスト名についてＤＮＳ前方参照して得られたＩＰアドレスで更新することにより行うものである。

＜総括＞
以上説明したように、本発明の実施形態によれば次のような利点がある。

（１）ホスト名から検索したＩＰアドレスとＩＰｓｅｃ設定保持部の設定内容とを比較することにより、ＩＰｓｅｃ通信の設定がされており、ＩＰｓｅｃ通信できる状態のＩＰアドレスを特定することができ、この特定されたＩＰアドレスを使って通信を行うことにより、アプリケーションはＩＰｓｅｃ通信設定を意識することなしに処理を行うことができる。また、不要なパケットも出すことはない。

（２）特定したＩＰアドレスについて実際に通信させることにより、ＩＰｓｅｃ通信設定の間違いで通信できないことがないことを確認することができる。また、実際に通信させることにより、ＩＫＥでの前段処理を確実に実施することができ、ＩＰｓｅｃ処理での時間がかかるＩＫＥでの鍵交換も終了しているため、アプリケーションでの応答はＩＰｓｅｃ実施時、非実施でほとんど変わらないで処理を行うことができる。

（３）ホスト名から検索したＩＰアドレスとＩＰｓｅｃＳＡデータベースの設定内容とを比較することにより、実際にＩＰｓｅｃ通信しているＩＰアドレスを特定することができる。この特定したＩＰアドレスを使って通信を行うことにより、アプリケーションはＩＰｓｅｃ通信設定を意識することなしに処理を行うことができる。また、不要なパケットも出すことはないし、ＩＰｓｅｃ処理での時間がかかるＩＫＥでの鍵交換も終了しているため、アプリケーションでの応答はＩＰｓｅｃ実施時、非実施でほとんど変わらないで処理を行うことができる。

（４）ＩＰｓｅｃで通信したことがない相手に対してもＩＣＭＰパケットを送信することでＩＰｓｅｃＳＡデータベースの作成を実施することができる。このため、全ての相手に対してＩＣＭＰを送信することなしに、実際に通信できる相手を最低限のパケットにより通信経路を確実に確保した形で検索することができる。そして、ＩＰｓｅｃ処理での時間がかかるＩＫＥでの鍵交換も終了しているのでアプリケーションでの応答はＩＰｓｅｃ実施時、非実施でほとんど変わらないで処理を行うことができる。

（５）ＩＰｓｅｃＳＡデータベースの参照によりＩＰアドレスの特定ができなかった場合に、続けてＩＰｓｅｃ設定保持部の参照によりＩＰアドレスの特定を行うことにより、ＩＰｓｅｃで通信したことがない相手でもＩＰｓｅｃ通信が可能なＩＰアドレスを特定することができる可能性を高めることができる。

（６）ＩＰアドレスからホスト名を検索し、そのホスト名に割り当てられているＩＰアドレスを全部取得してホスト名とＩＰアドレスを関連付け、そのＩＰアドレスに対応したホストに対してアクセスコントロールすることにより、ネットワーク通信機器でのアクセスコントロール設定が１つのＩＰアドレスしか設定されていなくても、そのホストが持っている他のアドレスによるアクセスに対して適切にアクセスコントロールすることができる。

（７）取得したホスト名と全ＩＰアドレスの関連付け情報はネットワーク環境、接続機器の状況により常に変化しており、関連付け情報が古くなっていくことにより誤ったアクセスコントロールをする可能性があるが、所定のタイミングで関連付け情報を更新することでそのような事態を防止することができる。

以上、本発明の好適な実施の形態により本発明を説明した。ここでは特定の具体例を示して本発明を説明したが、特許請求の範囲に定義された本発明の広範な趣旨および範囲から逸脱することなく、これら具体例に様々な修正および変更を加えることができることは明らかである。すなわち、具体例の詳細および添付の図面により本発明が限定されるものと解釈してはならない。

本発明の第１の実施形態にかかるネットワーク構成例を示す図である。 ネットワーク通信機器のソフトウェア構成例を示す図である。 ＩＰｓｅｃ設定保持部およびＩＰｓｅｃＳＡデータベースのデータ構造例を示す図である。 ネットワーク通信機器のネットワーク制御部における処理例を示すフローチャート（その１）である。 ネットワーク通信機器のネットワーク制御部における処理例を示すフローチャート（その２）である。 ネットワーク通信機器のネットワーク制御部における処理例を示すフローチャート（その３）である。 ネットワーク通信機器のネットワーク制御部における処理例を示すフローチャート（その４）である。 本発明の第２の実施形態にかかるネットワーク構成例を示す図である。 ネットワーク通信機器のソフトウェア構成例を示す図である。 ＡＣＬ情報保持部のデータ構造例を示す図である。 ネットワーク通信機器のネットワーク制御部における処理例を示すフローチャートである。 機器間の信号のやりとりの例を示すシーケンス図である。 関連付け情報更新の処理例を示すフローチャートである。

符号の説明

１Ａ〜１Ｇ ネットワーク通信機器
１０１ アプリケーション
１０２ ネットワーク制御部
１０３ ＩＰｓｅｃ設定部
１０４ ＩＰｓｅｃ設定保持部
１０５ ＩＰアドレス決定部
１０６ ＤＮＳ検索部
１０７ ＩＫＥ処理部
１０８ 各種設定部
１０９ 各種設定値保持部
１１０ ＡＣＬ情報保持部
１１１ ＡＣＬ情報判断部
１１２ 登録アドレス選択部
１１３ 登録ホスト名生成部
１１４ ＤＮＳ処理部
１１５ ＯＳ
１１６ ネットワークプロトコル処理部
１１７ ＩＰ処理部
１１８ ＩＰｓｅｃ処理部
１１９ ＩＰｓｅｃＳＡデータベース
１２０ Ｉ／Ｆ処理部
２ ＤＮＳ
３Ａ、３Ｂ ルータ

Claims (11)

1. 複数のアドレスを保有するネットワーク通信機器であって、
   接続先の名前もしくは識別子に対応する全てのアドレスをアドレス解決により取得するアドレス取得手段と、
   取得したアドレスをセキュリティ通信の設定内容と比較することでセキュリティ通信が可能なアドレスを決定するアドレス決定手段とを備えたことを特徴とするネットワーク通信機器。
2. 請求項１に記載のネットワーク通信機器において、
   上記セキュリティ通信の設定内容は、ユーザによるセキュリティ通信の設定内容を保持する設定保持部から取得することを特徴とするネットワーク通信機器。
3. 請求項１に記載のネットワーク通信機器において、
   上記セキュリティ通信の設定内容は、現時点で有効なセキュリティ通信の設定内容を保持するデータベースから取得することを特徴とするネットワーク通信機器。
4. 請求項１に記載のネットワーク通信機器において、
   上記アドレス決定手段は、上記アドレス取得手段により取得したアドレスを現時点で有効なセキュリティ通信の設定内容を保持するデータベースから取得したセキュリティ通信の設定内容と比較することでセキュリティ通信が可能なアドレスを決定するとともに、セキュリティ通信が可能なアドレスが決定できない場合に、上記アドレス取得手段により取得したアドレスをユーザによるセキュリティ通信の設定内容を保持する設定保持部から取得したセキュリティ通信の設定内容と比較することでセキュリティ通信が可能なアドレスを決定することを特徴とするネットワーク通信機器。
5. 請求項１乃至４のいずれか一項に記載のネットワーク通信機器において、
   上記アドレス決定手段は、上記セキュリティ通信の設定内容にセキュリティ通信を必須とするモードの設定が一つでも存在する場合に、上記アドレス取得手段により取得したアドレスをセキュリティ通信の設定内容と比較することでセキュリティ通信が可能なアドレスを決定することを特徴とするネットワーク通信機器。
6. 請求項１乃至５のいずれか一項に記載のネットワーク通信機器において、
   上記アドレス決定手段は、上記アドレス取得手段により取得したアドレスをセキュリティ通信の設定内容と比較することで特定したアドレスにつき、セキュリティ通信を実行することで実際にセキュリティ通信が行えることを確認した後にセキュリティ通信が可能なアドレスとして決定することを特徴とするネットワーク通信機器。
7. 請求項３に記載のネットワーク通信機器において、
   上記アドレス決定手段は、上記データベースの設定内容と比較することでセキュリティ通信が可能なアドレスを特定できない場合、上記アドレス取得手段により取得したアドレスにつきセキュリティ通信を実行することで、実際にセキュリティ通信が行えることが確認できたアドレスをセキュリティ通信が可能なアドレスとして決定することを特徴とするネットワーク通信機器。
8. 複数のアドレスを保有するネットワーク通信機器であって、
   他のネットワーク通信機器からアクセス要求があった場合、そのアクセス元のアドレスが許可されていない場合に当該アドレスからホスト名を取得するとともに、取得したホスト名に対応する全てのアドレスを取得する手段と、
   取得したアドレスに基づいてアクセスの制御を行う手段とを備えたことを特徴とするネットワーク通信機器。
9. 請求項８に記載のネットワーク通信機器において、
   アクセスが許可されるホスト名と当該ホスト名に対応する全てのアドレスとを関連付けて保持する手段と、
   所定のタイミングで上記ホスト名とアドレスとの関連付けを更新する手段とを備えたことを特徴とするネットワーク通信機器。
10. 複数のアドレスを保有するネットワーク通信機器の制御方法であって、
    接続先の名前もしくは識別子に対応する全てのアドレスをアドレス解決により取得するアドレス取得工程と、
    取得したアドレスをセキュリティ通信の設定内容と比較することでセキュリティ通信が可能なアドレスを決定するアドレス決定工程とを備えたことを特徴とするネットワーク通信制御方法。
11. 複数のアドレスを保有するネットワーク通信機器の制御方法であって、
    他のネットワーク通信機器からアクセス要求があった場合、そのアクセス元のアドレスが許可されていない場合に当該アドレスからホスト名を取得するとともに、取得したホスト名に対応する全てのアドレスを取得する工程と、
    取得したアドレスに基づいてアクセスの制御を行う工程とを備えたことを特徴とするネットワーク通信制御方法。

Images