JP2010010872A - アクセス制御装置、アクセス制御方法およびアクセス制御プログラム - Google Patents

Abstract

【課題】効率的、かつ容易にフィルタリングを実施することを目的とする。
【解決手段】ＤＨＣＰサーバと、前記ＤＨＣＰサーバと通信可能な端末群とに通信可能なアクセス制御装置１であって、ＤＨＣＰサーバへ、ＤＨＣＰリクエストを送信し、前記ＤＨＣＰサーバから当該ＤＨＣＰサーバのアドレス、および前記ＤＨＣＰサーバが管理している端末群のアドレスが含まれているＤＨＣＰオファーを受信する通信処理部１１１と、記憶部１２のアクセス制御テーブル１２１へ、取得したＤＨＣＰオファーに含まれている各アドレスを反映するテーブル処理部１１３と、アクセス制御テーブル１２１の情報を基に、前記ＤＨＣＰサーバおよび他の端末へのアクセスを制御するアクセス制御部１１４とを有することを特徴とする。
【選択図】図２

Description

本発明は、アクセス制御装置、アクセス制御方法およびアクセス制御プログラムの技術に関する。

図９は、一般的な無線ＬＡＮ（Local Area Network）システムの構成を示す図である。
図９に示すように無線ＬＡＮシステム１０ｄは、ＬＡＮ同士を相互に接続することでＷＡＮ（Wide Area Network）との通信を行う装置であるルータ５、このルータ５と有線接続されＬＡＮにおける集線装置であるハブ４、このハブ４と有線接続され端末３との無線通信を行うアクセスポイント装置（以下、ＡＰ（Access Point）２ｄと記載）を有する。端末３は、ＡＰ２ｄに対して無線通信を行うことで無線ＬＡＮシステム１０ｄへアクセスすることができる（図９の破線矢印）。
このような無線ＬＡＮシステム１０ｄにおいて、端末３間の通信は、自由に行うことができる。

しかしながら、無線ＬＡＮなどのネットワークにおいて、ＬＡＮ内における端末や、ＷＡＮへのアクセスを制限したい場合があり、このような端末のアクセスを制限する手法が開示されている（例えば、特許文献１，２参照）。
特許文献１に記載の技術は、予めフィルタリングルールを設定しておき、ローカル機器（端末）からパケットが到着すると、このパケットに含まれている機器情報がフィルタリングルールと合致するか否かを判定し、合致する場合、送信元のＭＡＣ（Media Access Control）アドレスをフィルタリングテーブルへ登録する。そして、次回以降、この端末からパケットが届いた場合は、パケットに含まれるＭＡＣアドレスがフィルタリングテーブルに登録されているか否かで当該パケットを通過させるか否かを制御するものである。

また、特許文献２に記載の技術は、無線ＬＡＮ端末（端末）毎に異なるサブネットを付与して互いに直接通信ができないようにし、デフォルトゲートウェイとして指定したアクセス制限装置を介してのみ端末間の通信を可能とすることで、端末間通信のフィルタリングを可能とするものである。
特開２００７−５３７０３号公報（請求項１、請求項４および請求項５） 特開２００４−１７３１７６号公報（段落００２９および段落００３１）

しかしながら、特許文献１に記載の技術において、フィルタリングルールは、ベンダコードや、機器種別情報となっており、専門知識を有さない者が容易に設定することができない。また、端末から最初のパケットが送信される毎にフィルタリングルールの照合、フィルタリングテーブルへのＭＡＣアドレスの登録が行われるため、非効率的でもある。

また、特許文献２に記載の技術では、端末毎に異なるサブネットを割り当てているため、端末同士が異なるネットワークに属していることになってしまい、ＬＡＮの特性を生かすことができなくなる。また、ＬＡＮ構成が変更される毎に、設定を変更する必要があるため、ＬＡＮ構成の変化に対し柔軟に対応することが困難である。

前記問題に鑑みて、本発明は、効率的、かつ容易にフィルタリングを実施することを目的とする。

前記課題に鑑みて、本発明は、ＤＨＣＰサーバと、前記ＤＨＣＰサーバによって識別情報を管理されている第１の機器とに通信可能なアクセス制御装置であって、前記第１の機器に対するアクセス制御および前記第１の機器以外の機器である第２の機器に対するアクセス制御に関する情報が格納されているアクセス制御情報を保持している記憶部と、前記ＤＨＣＰサーバへ、ＤＨＣＰリクエストを送信し、前記ＤＨＣＰサーバから、前記第１の機器に関する識別情報が含まれている、前記ＤＨＣＰリクエストに対するＤＨＣＰオファーを受信する通信処理部と、取得した前記ＤＨＣＰオファーに含まれている前記識別情報を、前記記憶部の前記アクセス制御情報の前記第１の機器に対するアクセス制御に関する情報と対応付けるアクセス情報処理部と、前記アクセス制御装置へ送られてきた情報の宛先情報が、前記アクセス制御情報における前記第１の機器の識別情報に含まれるか否かによって、前記宛先情報が、前記第１の機器への宛先情報か、前記第２の機器への宛先情報かを判定し、前記判定結果と、前記第１の機器に対するアクセス制御に関する情報および前記第２の機器に対するアクセス制御に関する情報とに従って、前記送られてきた情報の送信元である機器に関するアクセスを制御するアクセス制御部とを有することを特徴とする。

このような構成とすることで、アクセス制御装置がＤＨＣＰオファーに含まれるアドレスをアドレス制御テーブルに反映することにより、容易にアクセス制限を行うことが可能となる。

また、前記ＤＨＣＰリクエストの送信は、前記アクセス制御装置の電源が入る毎に行われることを特徴としてもよい。

このような構成とすることで、アクセスポイント装置の電源が落ちている間にネットワーク中の端末が増加したり、減少したりしても、柔軟に対応することができる。

本発明のその他の手段については、実施形態中に適宜記述する。

本発明によれば、効率的、かつ容易にフィルタリングを実施することが可能となる。

次に、本発明の実施形態（本実施形態）について、適宜図面を参照しながら詳細に説明する。

（無線ＬＡＮシステムの構成）
図１は、本実施形態に係る無線ＬＡＮシステムの構成例を示す図である。
無線ＬＡＮシステム１０は、ＬＡＮ同士を相互に接続することでＷＡＮ（Wide Area Network）との通信を行う装置であるルータ５、このルータ５と有線接続されＬＡＮにおける集線装置であるハブ４、およびハブ４と有線接続され端末３との無線通信を行うアクセスポイント装置（以下、ＡＰ２と記載）を有する。端末３は、ＡＰ２に対して無線通信を行うことで無線ＬＡＮシステム１０へアクセスすることができる（図１の破線矢印）。また、ルータ５は、ＤＨＣＰ（Dynamic Host Configuration Protocol）サーバとしての機能も有する。さらに、ＡＰ２は、図２以降を参照して後記するアクセス制御装置１の機能を含んでいる。端末３や、ＡＰ２（アクセス制御装置１）などは、ＤＨＣＰサーバによってアドレス（本実施形態では、ＩＰ（Internt Protocol）アドレス）を管理されているサブネットワーク（以下、同一サブネット３１と記載）に属している機器である。また、同一サブネット３１（ＬＡＮ）側に接続されるルータ５のポートは、同一サブネット３１に属するアドレスを有する。つまり、同一サブネット３１はＬＡＮに相当し、同一サブネット３１以外はＷＡＮに相当する。
なお、本実施形態では、ＤＨＣＰサーバの機能がルータ５に含まれるものとしたが、これに限らず独立した装置であってもよい。また、本実施形態では、アクセス制御装置１は、ＡＰ２に含まれるものとしたが、これに限らず独立した装置であってもよい。

（アクセス制御装置の構成）
図２は、本実施形態に係るアクセス制御装置の構成例を示す図である。
アクセス制御装置１は、情報を処理する処理部１１と、情報を格納する記憶部１２と、ハブ４（図１）との有線通信を行う有線通信部１３と、端末３との無線通信を行う無線通信部１４とを有する。
記憶部１２は、図３を参照して後記するアクセス制御テーブル１２１（アクセス制御情報）を格納している。
また、処理部１１は、通信処理部１１１と、アドレス取得部１１２と、テーブル処理部１１３（アクセス情報処理部）と、アクセス制御部１１４とを有する。
通信処理部１１１は、通信に関する情報を処理する機能を有する。アドレス取得部１１２は、有線通信部１３を介してＤＨＣＰサーバ（ルータ５（図１））から取得したＤＨＣＰオファーに含まれているアクセス制御装置１に割当てるアドレス（第１の機器に関する識別情報）や、サブネットマスク（第１の機器に関する識別情報）を取得する機能を有する。なお、本実施形態では、ルータ５のアドレスと、ＤＨＣＰサーバのアドレスとは、同一のものであるが、異なってもよいことはもちろんである。テーブル処理部１１３は、アドレス取得部１１２が取得したアドレスから、後記するサブネット情報を生成して記憶部１２のアクセス制御テーブル１２１に反映する機能を有する。アクセス制御部１１４は、アクセス制御テーブル１２１に従って同一サブネット３１に属している端末３による他の機器へのアクセスを制御する機能を有する。なお、通信処理部１１１、アドレス取得部１１２およびテーブル処理部１１３は、ＤＨＣＰクライアント１１５としての機能でもある。

ちなみに、図２における処理部１１および各部１１１〜１１４は、図示しないＲＯＭ（Read Only Memory）や、図示しないＨＤ（Hard Disk）に格納されたアクセス制御プログラムが、図示しないＲＡＭ（Random Access Memory）に展開され、図示しないＣＰＵ（Central Processing Unit）によって実行されることによって具現化する。

（アクセス制御テーブル）
図３は、本実施形態に係るアクセス制御テーブルの例を示す図である。
アクセス制御テーブル１２１は、ＤＨＣＰサーバ（図１）から取得した情報を基に、同一サブネット情報（以下、適宜「同一サブネット」と記載）と、同一サブネット情報以外の情報（以下、適宜「同一サブネット以外」と記載）とのそれぞれに通信が許可されることを示す情報（図３では、「○」）、および通信が許可されない（不許可）ことを示す「×」が対応して格納されている。通信の「許可」および「不許可」の具体的な意味については、図５〜図８を参照して後記する。
同一サブネット情報は、図１に示すルータ５（ＤＨＣＰサーバ）が管理する端末３群と同一サブネット３１に属しているアクセス制御装置１に割当てられるアドレスと、サブネットマスクとを掛け合わせることによって生成される情報である。同一サブネット情報には、サブネットマスクや、アクセス制御装置１に割当てられたアドレスが含まれている。

（アクセス制御設定処理）
次に、図２および図３を参照しつつ、図４に沿って本実施形態に係るアクセス制御設定処理を説明する。図４の処理は、アクセス制御装置１が起動される毎に行われる処理である。
図４は、本実施形態に係るアクセス制御設定処理の流れを示すフローチャートである。
まず、アクセス制御装置１が起動される（Ｓ１０１）と、通信処理部１１１は有線通信部１３を介してルータ５（ＤＨＣＰサーバ）へＤＨＣＰリクエストを送信する（Ｓ１０２）。ＤＨＣＰリクエストを受信したＤＨＣＰサーバは、このＤＨＣＰサーバが管理する機器（端末３群など）と同じサブネット（同一サブネット３１）に属しているアクセス制御装置１に割当てるアドレスや、サブネットマスクなどを含むＤＨＣＰオファーを送信する。

有線通信部１３が、このＤＨＣＰオファーを受信する（Ｓ１０３）と、アドレス取得部１１２は、受信したＤＨＣＰオファーに含まれるアクセス制御装置１に割当てられるアドレスと、サブネットマスクとを取得する。続いて、テーブル処理部１１３が取得したアクセス制御装置１に割当てるアドレスと、サブネットマスクから同一サブネット情報を生成し、算出した同一サブネット情報をアクセス制御テーブル１２１に反映する（Ｓ１０４）。このとき、ルータ５を経由しての同一サブネット３１以外へのアクセスを許可するか、同一サブネット３１（ＬＡＮ内の端末３など）へのアクセスを許可するかを示すアクセスルールは、ユーザによって予め決定され、さらに同一サブネット情報が格納される欄も予め設定されている。従って、テーブル処理部１１３は、決定されているアクセスルールに従って生成した同一サブネット情報をアクセス制御テーブル１２１の該当する欄へ登録する。この場合、同一サブネット情報が登録されていない欄に対応する通信の許可・不許可は、同一サブネット３１以外の機器（第２の機器）に関するアクセスルールの情報となる。

なお、実際のネットワークの状況に応じて、ルータ５と独立して設置されているＤＨＣＰサーバのアドレスや、ＤＮＳ（Domain Name Server）サーバのアドレスなどに対するアクセスルール（通信の許可・不許可）をアクセス制御テーブルに追加登録してもよい。この場合、このアクセスルールを利用して、ＤＨＣＰサーバや、ＤＮＳサーバに対するアクセスの制御を行うことができる。
なお、ブロードキャストとマルチキャストのパケットは、同一サブネットであるか否かに関わらず制御しなくてもよい。

そして、アクセス制御部１１４が、アクセス制御テーブル１２１に従って端末３のアクセスを制御する（Ｓ１０５）。アクセス制御部１１４は、送られてきたパケットの宛先アドレス（宛先情報）が、アクセス制御テーブル１２１における同一サブネット情報に含まれるアドレスか否かを判定する。アクセス制御部１１４は、この判定に基づいて、送られたパケットが、同一サブネット３１内の端末３へ当てられたものか、同一サブネット３１以外の機器へ当てられたものかを判定する。つまり、アクセス制御部１１４は、送られてきたパケットの宛先アドレスが、同一サブネット情報に含まれていなければ、そのパケットの宛先は同一サブネット以外の機器であると判定する。そして、アクセス制御部１１４は、該判定の結果と、対応する通信の「許可」・「不許可」の情報によって、そのパケットを通過させるか、破棄するかを選択することによって、端末３のアクセスを制御する。
そして、処理部１１は、アクセス制御装置１の電源がＯＦＦされたか否かを判定する（Ｓ１０６）。
ステップＳ１０６における判定の結果、電源がＯＦＦされていない場合（Ｓ１０６→Ｎｏ）、処理部１１は、ステップＳ１０５へ処理を戻す。
ステップＳ１０６における判定の結果、電源がＯＦＦされている場合（Ｓ１０６→Ｙｅｓ）、処理部１１は処理を終了する。

（アクセス制御の実際）
図５〜図８は、本実施形態に係るアクセス制御の実際を説明するための図である。図５〜図８において、図１と同様の要素に対しては同一の符号を付して説明を省略する。
なお、図５〜図８において、端末３は、それぞれ無線接続しているＡＰ２によって、端末グループ３０ａ〜３０ｃのようにグループ分けされているものとする。
まず、図５および図６に示すように端末グループ３０ａに接続しているＡＰ２（アクセス制御装置１）のアクセス制御テーブル１２１ａにおいて、同一サブネット３１以外のアドレス（同一サブネット以外）に対するアクセスが「○」（許可）であり、同一サブネットのアドレス（同一サブネット）に対するアクセスが「×」（不許可）となっている場合について説明する。この場合、図５に示すように端末グループ３０ａ内の端末３から、ルータ５を経由するアクセス（つまり、ＷＡＮへのアクセス：同一サブネット３１以外へのアクセス）が許可されるが、図６に示すように端末グループ３０ａ内の端末３から、他の端末グループ３０ｂ、３０ｃ内への端末３（同一サブネット３１に属している端末３群）へのアクセスができない。

これにより、例えば端末グループ３０ａ内の端末３が、会社内の受付近くのインタネットスペースなどに設置され、客が自由に操作できる環境にあり、端末グループ３０ｂ，３０ｃ内の端末３が社内に設置されているような場合とする。このような場合、管理者は、端末グループ３０ａ内の端末３からインタネット（ＷＡＮ）へのアクセスは許可するが、端末グループ３０ｂ，３０ｃ内の端末３へのアクセスを禁止したい。本実施形態に係るアクセス制御装置１によれば、ルータ５を経由するアクセス（同一サブネット３１以外へのアクセス）を許可するが、ＬＡＮ内の機器（同一サブネット３１に属している端末３）へのアクセスは許可しないといった簡易な設定を予め決めておくだけで、後はアクセス制御装置１がＤＨＣＰオファーに含まれるアドレスをアドレス制御テーブル１２１ａに反映することにより、容易にアクセス制限を可能とする。

また、アクセス制御装置１が稼働中に、例えば端末グループ３０ａから端末グループ３０ｂに端末３を移動すると、移動された端末３は、移動先の端末グループ３０ｂにおけるアクセス制御を受けることになる。このように本実施形態によれば、端末３を移動するだけでアクセス制御の変更を容易に行うことができる。

次に、図７および図８に示すように端末グループ３０ａに接続しているＡＰ２（アクセス制御装置１）のアクセス制御テーブル１２１ｂにおいて、同一サブネット３１以外に対するアクセスが「×」（不許可）であり、同一サブネット３１へのアクセスが「○」（許可）となっている場合について説明する。この場合、図７に示すように端末グループ３０ａ内の端末３から、他の端末グループ３０ｂ、３０ｃ内への端末３（同一サブネット３１に属している端末３群）へのアクセスは可能であり、図８に示すように端末グループ３０ａ内の端末３から、ルータ５を経由するアクセス（つまり、ＷＡＮへのアクセス：同一サブネット３１以外へのアクセス）は許可されない。

これにより、例えば社内の人間が仕事中にインタネットにアクセスすることなどを、簡易な設定で容易に禁止することができる。
もちろん、アクセス制御テーブル１２１において、同一サブネット３１以外の情報および同一サブネット情報の両方を「○」とすることで、ＷＡＮ（同一サブネット３１）へのアクセスも、同一サブネット３１に属している端末グループ３０へのアクセスも可能とすることができる。

本実施形態では、無線ＬＡＮを前提としたが、これに限らず有線でのＬＡＮに用いてもよい。また、アクセス制御装置１のアドレスは同一サブネット３１に属するアドレスでなくてもよいし、アクセス制御装置１はアドレスを持たなくてもよい。また、アクセス制御装置１がＡＰ２とは独立した装置である場合は、図１のＡＰ２がアクセス制御装置１に置き換わった構成となることはもちろんである。
また、アクセス装置１にハード的なスイッチが設けられており、そのスイッチの切り替えにより、アクセス制御の設定を行ってもよい。
なお、本実施形態では、端末３のアクセスを制御しているが、これに限らず、ファイルサーバや、ＤＬＮＡ（Digital Living Network Alliance）に準拠したＡＶ（Audio Visual）機器や、情報家電などをアクセス制御の対象としてもよい。

（効果）
本実施形態によれば、ルータ５を経由するアクセス（同一サブネット３１以外へのアクセス）を許可するが、ＬＡＮ内の機器（端末３）へのアクセス（同一サブネット３１に属している機器へのアクセス）は許可しないといった簡易な設定を予め決めておくだけで、後はアクセス制御装置１がＤＨＣＰオファーに含まれるアドレスを基に生成した情報をアドレス制御テーブルに反映することにより、容易にアクセス制限（アクセス制御）を可能とする。つまり、専門知識を比較的有さない者でもアクセス制限を容易に行うことができる。また、ＤＨＣＰサーバへ送信するＤＨＣＰリクエストに対するＤＨＣＰオファーに含まれる情報を利用するため、設定画面などを用いて複雑な設定を行う必要がない。

また、アクセス制御装置１が起動する毎に図４に示す処理を行うことで、例えば端末３が移動したことによって、ＡＰ２に接続している端末３が変化しても対処が可能となる。つまり、ＬＡＮ構成の変更に対し柔軟に対応することができる。また、端末３から新たにパケットが送信される毎にテーブルへの登録を行う必要がないので、効率的にアクセス制限（アクセス制御）の設定を行うことができる。また、アクセス制御装置１の設置位置を変更するだけで、容易に制御対象を変更することができる。

本実施形態に係る無線ＬＡＮシステムの構成例を示す図である。 本実施形態に係るアクセス制御装置の構成例を示す図である。 本実施形態に係るアクセス制御テーブルの例を示す図である。 本実施形態に係るアクセス制御設定処理の流れを示すフローチャートである。 本実施形態に係るアクセス制御の実際を説明するための図である（その１）。 本実施形態に係るアクセス制御の実際を説明するための図である（その２）。 本実施形態に係るアクセス制御の実際を説明するための図である（その３）。 本実施形態に係るアクセス制御の実際を説明するための図である（その４）。 一般的な無線ＬＡＮシステムの構成を示す図である。

符号の説明

１ アクセス制御装置
２ ＡＰ
３ 端末
４ ハブ
５ ルータ
１０ 無線ＬＡＮシステム
１１ 処理部
１２ 記憶部
１３ 通信部
３０，３０ａ〜３０ｃ 端末グループ
３１ 同一サブネット（第１の機器）
１１１ 通信処理部
１１２ アドレス取得部
１１３ テーブル処理部（アクセス情報処理部）
１１４ アクセス制御部
１２１，１２１ａ，１２１ｂ アクセス制御テーブル（アクセス制御情報）

Claims (7)

1. ＤＨＣＰサーバと、前記ＤＨＣＰサーバによって識別情報を管理されている第１の機器とに通信可能なアクセス制御装置であって、
   前記第１の機器に対するアクセス制御および前記第１の機器以外の機器である第２の機器に対するアクセス制御に関する情報が格納されているアクセス制御情報を保持している記憶部と、
   前記ＤＨＣＰサーバへ、ＤＨＣＰリクエストを送信し、前記ＤＨＣＰサーバから、前記第１の機器に関する識別情報が含まれている、前記ＤＨＣＰリクエストに対するＤＨＣＰオファーを受信する通信処理部と、
   取得した前記ＤＨＣＰオファーに含まれている前記識別情報を、前記記憶部の前記アクセス制御情報の前記第１の機器に対するアクセス制御に関する情報と対応付けるアクセス情報処理部と、
   前記アクセス制御装置へ送られてきた情報の宛先情報が、前記アクセス制御情報における前記第１の機器の識別情報に含まれるか否かによって、前記宛先情報が、前記第１の機器への宛先情報か、前記第２の機器への宛先情報かを判定し、前記判定結果と、前記第１の機器に対するアクセス制御に関する情報および前記第２の機器に対するアクセス制御に関する情報とに従って、前記送られてきた情報の送信元である機器に関するアクセスを制御するアクセス制御部と
   を有することを特徴とするアクセス制御装置。
2. 前記ＤＨＣＰリクエストの送信は、前記アクセス制御装置の電源が入る毎に行われることを特徴とする請求項１に記載のアクセス制御装置。
3. 前記アクセス制御装置は、無線ＬＡＮにおけるアクセスポイントに含まれることを特徴とする請求項１に記載のアクセス制御装置。
4. 前記識別情報には、前記ＤＨＣＰサーバによって識別情報を管理されている端末に関するサブネットマスクと、前記アクセス制御装置のアドレスとが含まれていることを特徴とする請求項１に記載のアクセス制御装置。
5. 前記アクセス制御装置には、前記アクセス制御情報の設定に関するスイッチが備わっていることを特徴とする請求項１に記載のアクセス制御装置。
6. ＤＨＣＰサーバと、前記ＤＨＣＰサーバによって識別情報を管理されている第１の機器とに通信可能なアクセス制御装置によるアクセス制御方法であって、
   前記アクセス制御装置は、
   記憶部に、前記第１の機器に対するアクセス制御および前記第１の機器以外の機器である第２の機器に対するアクセス制御に関する情報が格納されているアクセス制御情報を保持しており、
   前記ＤＨＣＰサーバへ、ＤＨＣＰリクエストを送信し、
   前記ＤＨＣＰサーバから、前記第１の機器に関する識別情報が含まれている、前記ＤＨＣＰリクエストに対するＤＨＣＰオファーを受信し、
   取得した前記ＤＨＣＰオファーに含まれている前記識別情報を、前記記憶部の前記アクセス制御情報の前記第１の機器に対するアクセス制御に関する情報と対応付け、
   前記アクセス制御装置へ送られてきた情報の宛先情報が、前記アクセス制御情報における前記第１の機器の識別情報に含まれるか否かによって、前記宛先情報が、前記第１の機器への宛先情報か、前記第２の機器への宛先情報かを判定し、
   前記判定結果と、前記第１の機器に対するアクセス制御に関する情報および前記第２の機器に対するアクセス制御に関する情報とに従って、前記送られてきた情報の送信元である機器に関するアクセスを制御する
   ことを特徴とするアクセス制御方法。
7. 請求項６に記載のアクセス制御方法を、コンピュータに実行させることを特徴とするアクセス制御プログラム。

Images