JP2010034901A - 通信制御装置、通信制御方法および通信制御処理プログラム - Google Patents

Abstract

【課題】不適切なアクセスが行われないように、無線ＬＡＮを介した端末の外部アクセス先を制御することを課題とする。
【解決手段】通信制御装置は、ＩＰアドレス解決要求の送信元である端末のＩＰアドレスに対応付けられた利用者ＩＤを端末接続状態テーブルから取得し、取得された利用者ＩＤに対応付けられている許可ドメイン名を許可ポリシテーブルから取得する。そして、許可ポリシテーブルから取得された許可ドメイン名の中に、端末から受信したＦＱＤＮ内のドメイン名が含まれているか否か（許可ドメイン名が一つの場合には、一致するか否か）を判定する。判定の結果、許可ドメイン名と、ＦＱＤＮ内のドメイン名とが互いに一致する場合には、端末のＩＰアドレスと、相手装置のＩＰアドレスとの対を転送ポリシとしてパケット転送装置に登録する。
【選択図】 図１

Description

この発明は、通信制御装置、通信制御方法および通信制御処理プログラムに関する。

従来、企業やホテルなどにおいて、来客者に利用させることを目的とした無線ＬＡＮが設置されている。この無線ＬＡＮの利用技術に関して、例えば、特許文献１には、クライアント端末に固有の端末識別情報やＩＰアドレスを用いて、クライアント端末から無線ＬＡＮを介して送信される通信用パケットの転送を制御する技術が提案されている。

特開２００６−３４５３０２号公報

ところで、無線ＬＡＮを利用してインターネットアクセスを行う場合においては、無線ＬＡＮの利用者が不適切な相手へ接続しないように、利用者のアクセス先を制御することが大きな課題となっている。

そこで、この発明は、上述した従来技術の課題を解決するためになされたものであり、不適切なアクセスが行われないように、無線ＬＡＮを介した端末の外部アクセス先を制御することが可能な通信制御装置、通信制御方法および通信制御処理プログラムを提供することを目的とする。

上述した課題を解決し、目的を達成するため、本発明は、端末から受信したパケットを転送するパケット転送装置の転送処理を制御する通信制御装置であって、アクセス要求先のアドレス解決要求を前記端末から受信した場合に、前記アクセス解決要求に含まれるアクセス要求先情報と、前記アクセス要求の送信元である端末の利用者ＩＤごとに定められる許可アクセス先情報とが一致するか否かを判定するアクセス要求先判定手段と、前記アクセス要求先判定手段により前記アクセス要求先情報と前記許可アクセス先情報とが一致するものと判定された場合には、前記アクセス要求の送信元である端末に割り当てられるＩＰアドレスと、前記アクセス要求先のアクセス先装置に割り当てられているアクセス先ＩＰアドレスとの対応関係をパケット転送ポリシとして前記パケット転送装置に登録する転送ポリシ登録手段と、を備えたことを特徴とする。

また、本発明は、端末から受信されるパケットを転送するパケット転送装置の転送処理を制御する通信制御方法であって、端末から受信したパケットを転送するパケット転送装置の転送処理を制御する通信制御方法であって、アクセス要求先のアドレス解決要求を前記端末から受信した場合に、前記アクセス解決要求に含まれるアクセス要求先情報と、前記アクセス要求の送信元である端末の利用者ＩＤごとに定められる許可アクセス先情報とが一致するか否かを判定するアクセス要求先判定ステップと、前記アクセス要求先判定ステップにより前記アクセス要求先情報と前記許可アクセス先情報とが一致するものと判定された場合には、前記アクセス要求の送信元である端末に割り当てられるＩＰアドレスと、前記アクセス要求先のアクセス先装置に割り当てられているアクセス先ＩＰアドレスとの対応関係をパケット転送ポリシとして前記パケット転送装置に登録する転送ポリシ登録ステップと、を含んだことを特徴とする。

また、本発明は、端末から受信されるパケットを転送するパケット転送装置の転送処理制御をコンピュータに実行させる通信制御処理プログラムであって、端末から受信したパケットを転送するパケット転送装置の転送処理制御をコンピュータに実行させる通信制御処理プログラムであって、アクセス要求先のアドレス解決要求を前記端末から受信した場合に、前記アクセス解決要求に含まれるアクセス要求先情報と、前記アクセス要求の送信元である端末の利用者ＩＤごとに定められる許可アクセス先情報とが一致するか否かを判定するアクセス要求先判定手順と、前記アクセス要求先判定ステップにより前記アクセス要求先情報と前記許可アクセス先情報とが一致するものと判定された場合には、前記アクセス要求の送信元である端末に割り当てられるＩＰアドレスと、前記アクセス要求先のアクセス先装置に割り当てられているアクセス先ＩＰアドレスとの対応関係をパケット転送ポリシとして前記パケット転送装置に登録する転送ポリシ登録手順と、をコンピュータに実行させることを特徴とする。

本発明によれば、不適切なアクセスが行われないように、無線ＬＡＮを介した端末の外部アクセス先を制御できる。

以下に添付図面を参照して、この発明に係る通信制御装置、通信制御方法および通信制御処理プログラムの実施例を詳細に説明する。なお、以下では、本発明に係る通信制御装置の一実施形態として実施例１を説明した後に、本発明に含まれる他の実施形態について説明する。

以下の実施例１では、実施例１に係る通信制御装置の概要および特徴、かかる通信制御装置の構成および処理を順に説明し、最後に実施例１による効果を説明する。

［通信制御装置の概要および特徴（実施例１）］
まず、図１を用いて、実施例１に係る通信制御装置の概要および特徴を説明する。図１は、実施例１に係る通信制御装置の概要および特徴を説明するための図である。

実施例１に係る通信制御装置は、端末から受信されるパケットを転送するパケット転送装置の転送処理を制御することを概要とするが、不適切なアクセスが行われないように、無線ＬＡＮを介した端末の外部アクセス先を制御する点に主たる特徴がある。

この主たる特徴について、以下に具体的に説明する。図１に示すように、端末接続状態テーブルは、端末の利用者認証時に取得した利用者ＩＤと、利用者認証後に端末への割り当てを決定したＩＰアドレスとの対応関係を記憶する。また、許可ポリシテーブルは、無線ＬＡＮを介してインターネットへのアクセスを行う利用者を識別するための利用者ＩＤと、当該利用者ＩＤの利用者に対して許可される外部アクセス先を示した許可ドメイン名との対応関係を記憶する。

そして、通信制御装置は、無線ＬＡＮを介して、例えば、「ｖｐｎ−ｇｗ．ａ．ｃｏ．ｊｐ」のようなアクセス要求先（相手装置）を示すＦＱＤＮ（Fully Qualified Domain Name：完全修飾ドメイン名（ドメイン名を含むホスト名））に関するＩＰアドレス解決要求を受信すると、端末からのパケットの転送を許可するか否か（端末１１０の通信を許可するか否か）を判定する転送可否判定を実行する（図１の（１）参照）。

具体的には、通信制御装置は、ＩＰアドレス解決要求の送信元である端末のＩＰアドレスに対応付けられた利用者ＩＤを端末接続状態テーブルから取得する。さらに、取得された利用者ＩＤに対応付けられている許可ドメイン名を許可ポリシテーブルから取得する。そして、許可ポリシテーブルから取得された許可ドメイン名の中に、端末から受信したＦＱＤＮ内のドメイン名が含まれているか否か（許可ドメイン名が一つの場合には、一致するか否か）を判定する。

判定の結果、図１に示すように、許可ドメイン名「ａ．ｃｏ．ｊｐ」と、ＦＱＤＮ内のドメイン名「ａ．ｃｏ．ｊｐ」とが互いに一致する場合には、通信制御装置は、端末のアクセス要求先である相手装置のＩＰアドレスを取得する（図１の（２）参照）。

具体的には、通信制御装置は、端末のアクセス要求先（相手装置）のドメイン名を管理する相手装置側ネームサーバに対して、ＦＱＤＮ（例えば、「ｖｐｎ−ｇｗ．ａ．ｃｏ．ｊｐ」）に対応するＩＰアドレスを問合せる。そして、相手装置側ネームサーバから受信した問合せ応答からアクセス要求先（相手装置）のＩＰアドレスを取得する。

相手装置のＩＰアドレス取得後、通信制御装置は、端末からのパケットを転送するパケット転送装置に対して通信許可設定を行う（図１の（３）参照）。具体的には、端末の利用者ＩＤに対応付けられているＩＰアドレスを端末接続状態テーブルから取得して、端末のＩＰアドレスと、先に取得した相手装置のＩＰアドレスとの対を転送ポリシとしてパケット転送装置に登録することで通信許可設定を完了する。

通信許可設定後、通信制御装置は、ＩＰアドレス解決要求に対する応答として、相手装置のＩＰアドレスを端末に通知する（図１の（４）参照）。なお、端末では、通信制御装置から通知されたＩＰアドレスのみを宛先としたパケット通信が可能となる。

上述してきたようにして、実施例１に係る通信制御装置は、不適切なアクセスが行われないように、無線ＬＡＮを介した端末のアクセス先を制御できる。

［通信制御装置の構成（実施例１）］
次に、図２〜図４を用いて、実施例１に係る通信制御装置の構成を説明する。図２は、実施例１に係る通信制御装置の構成を示す図である。図３は、実施例１に係る許可ポリシテーブルの構成例を示す図である。図４は、実施例１に係る端末接続状態テーブルの構成例を示す図である。

図２に示すように、端末１１０は、例えば、企業やホテルなどの出先においてネットワークアクセス時にユーザに利用されるＰＣなどのコンピュータである。無線ＬＡＮ１と接続するための無線ＬＡＮ Ｉ／Ｆを備える。ＩＥＥＥ ８０２.１Ｘ，ＥＡＰ（Extensible Authentication Protocol）認証による無線ＬＡＮ接続認証に対応したクライアント機能を有する。さらに、ＩＰ（Internet Protocol）に基づいた通信を行うための機能や、アクセス要求先のＦＱＤＮ（Fully Qualified Domain Name）に対応するＩＰアドレスを後述する通信制御装置２４０に対してＤＮＳ（Domain Name System）手順により問い合わせる機能（ＩＰアドレス解決要求機能）を有する。

無線ＡＰ（Access Point）１２０は、ＩＥＥＥ ８０２.１Ｘによる無線ＬＡＮ接続認証機能を有する無線ＬＡＮアクセスポイントである。ＲＡＤＩＵＳ（Remote Authentication Dial-In User Service）通信により、ＩＥＥＥ ８０２.１Ｘ手順で端末１１０から受信したＥＡＰメッセージを、例えば、外部ＲＡＤＩＵＳ装置として機能する通信制御装置２４０に転送する。

ポリシサーバ２１０は、Ｌｉｎｕｘサーバなどの汎用サーバコンピュータであり、ＲＤＢＭＳ（Relational Data Base Management System）を動作させることにより、ＲＤＢＭＳ上のテーブルとして生成される許可ポリシテーブルを管理する。

許可ポリシテーブルは、例えば、図３に示すように、無線ＬＡＮ１を介してインターネット２へのアクセスを行う端末１１０の利用者を識別する利用者ＩＤと、当該利用者ＩＤの利用者に対して許可される外部アクセス先を示した許可ドメイン名との対応関係を記憶する。また、許可ドメイン名のほかに、許可するプロトコルやポート番号、帯域などの情報をさらに対応付けて記憶しておいてもよい。なお、許可ポリシテーブルは、システム管理者などにより予め生成される。

接続状態管理サーバ２２０は、Ｌｉｎｕｘサーバなどの汎用サーバコンピュータであり、ＲＤＢＭＳ（Relational Data Base Management System）を動作させることにより、ＲＤＢＭＳ上のテーブルとして生成される端末接続状態テーブルを管理する。

端末接続状態テーブルは、例えば、図４に示すように、端末１１０の利用者を識別する利用者ＩＤと、端末１１０の無線ＬＡＮＩ／Ｆに予め設定されるＭＡＣアドレスと、端末１１０に割り当てられるＩＰアドレスとの対応関係を記憶する。なお、利用者ＩＤは、後述する接続制御装置２３０において実行される利用者認証時に識別され、ＩＰアドレスは、同じく接続制御装置２３０において利用者認証後に実行されるＤＨＣＰ処理により割り当てられる。

接続制御装置２３０は、Ｌｉｎｕｘサーバなどの汎用サーバコンピュータであり、接続状態管理サーバ２２０と通信可能に接続され、利用者ＩＤ認証部２３１およびＤＨＣＰ処理部２３２を有する（図２参照）。

利用者ＩＤ認証部２３１は、端末１１０の利用者認証を実行する。具体的には、端末１１０の利用者ＩＤを認証するための認証情報を内部に有し、端末１１０との間で、ＥＡＰ認証アルゴリズム（例えば、ＥＡＰ−ＴＬＳ）に基づくＥＡＰ認証メッセージの交換を行って利用者ＩＤを識別する。

そして、利用者ＩＤ認証部２３１は、利用者認証時に識別された端末１１０の利用者ＩＤと、端末１１０のＭＡＣアドレスとを対応付けて接続状態管理サーバ２２０の端末接続状態テーブルに登録する。

ＤＨＣＰ処理部２３２は、端末１１０にＩＰアドレスを割り当てるＤＨＣＰ処理を実行する。具体的には、ＤＨＣＰ処理部２３２は、端末１１０との間で、ＤＨＣＰ（Dynamic Host Configuration Protocol）に基づくメッセージ（「DISCOVER」,「OFFER」,「REQUEST」,「ACK」）の交換を行って、端末１１０に対する割り当てが決定されたＩＰアドレスを端末１１０に通知する。端末１１０へＩＰアドレスを通知する際、ＤＨＣＰ処理部２３２は、ＤＮＳサーバアドレス（ＩＰアドレス解決要求の送信先）として、通信制御装置２４０のＩＰアドレスを通知する。

さらに、ＤＨＣＰ処理部２３２は、端末１１０へのＩＰアドレスの通知とともに、端末１１０の利用者ＩＤおよびＭＡＣアドレスと、端末１１０に対する割り当てが決定されたＩＰアドレスとを対応付けて接続状態管理サーバ２２０の端末接続状態テーブルに登録する。

通信制御装置２４０は、Ｌｉｎｕｘサーバなどの汎用サーバコンピュータであり、図２に示すように、無線ＬＡＮ１を介して、端末１１０および転送装置２５０と通信可能な状態に接続されるとともに、接続状態管理サーバ２２０およびポリシサーバ２１０とも通信可能な状態に接続される。なお、通信制御装置２４０には、ポリシサーバ２１０や接続状態管理サーバ２２０、転送装置２５０や相手装置側ネームサーバ３２０へアクセスするために必要な情報（サーバアドレスやデータベース名、テーブル名など）が予め登録されている。

そして、通信制御装置２４０は、図２に示すように、ＤＮＳ処理部２４１と、ＩＤ識別部２４２と、転送可否判定部２４３と、転送ポリシ登録部２４４とを有する。

ＤＮＳ処理部２４１は、アクセス要求先を示すＦＱＤＮに関するＩＰアドレス解決要求を端末１１０から受信した場合に、後述するＩＤ識別部２４２に端末１１０の利用者ＩＤの取得を要求する。

また、ＤＮＳ処理部２４１は、後述する転送可否判定部２４３による判定結果に応じて、ＩＰアドレス解決要求に関する処理（アクセス要求先のＩＰアドレスの問合せ処理）を実行する。

具体的には、ＤＮＳ処理部２４１は、転送可否判定部２４３による判定結果が「転送可（通信可）」である場合には、相手装置側ネームサーバ３２０に対して、端末１１０のアクセス要求先（相手装置３１０）を示すＦＱＤＮ（例えば、「ｖｐｎ−ｇｗ．ａ．ｃｏ．ｊｐ」）に対応したＩＰアドレスを問合せる。そして、相手装置側ネームサーバ３２０から受信した問合せ応答に含まれる相手装置３１０のＩＰアドレスを取得し、取得した相手装置３１０のＩＰアドレスを後述する転送ポリシ登録部２４４に通知する。転送ポリシ登録部２４４への通知後、ＩＰアドレス解決要求に対する応答メッセージとして、相手装置３１０のＩＰアドレスを端末１１０に通知する。

一方、ＤＮＳ処理部２４１は、転送可否判定部２４３による判定結果が「転送不可（通信不可）」である場合には、ＩＰアドレス解決要求に対する応答として、アドレス解決エラーを端末１１０に通知する。

ＩＤ識別部２４２は、ＤＮＳ処理部２４１から利用者ＩＤの取得要求を受け付けると、ＩＰアドレス解決要求の送信元を示すＩＰアドレスに対応付けられた利用者ＩＤを、接続状態管理サーバ２２０の端末接続状態テーブルから取得する。そして、ＩＤ識別部２４２は、取得された利用者ＩＤを転送可否判定部２４３に通知する。

転送可否判定部２４３は、ＩＤ識別部２４２から利用者ＩＤの通知を受け付けると、この利用者ＩＤに対応付けられている許可ドメイン名をポリシサーバ２１０の許可ポリシテーブルから取得して、端末１１０からのパケットと転送を許可するか否か（端末１１０の通信を許可するか否か）を判定する転送可否判定を実行する。

具体的には、転送可否判定部２４３は、許可ポリシテーブルから取得した許可ドメイン名の中に、端末１１０のアクセス要求先であるＦＱＤＮ内のドメイン名が含まれているか否か（許可ドメイン名が一つの場合には、一致するか否か）を判定する。判定の結果、許可ドメイン名の中に、ＦＱＤＮ内のドメイン名が含まれている（ドメイン名が互いに一致する）場合には、転送可否判定部２４３は、「転送可（通信可）」とする判定結果をＤＮＳ処理部２４１に通知する。一方、転送可否判定部２４３は、許可ドメイン名の中に、ＦＱＤＮ内のドメイン名が含まれていない（ドメイン名が一致しない）場合には、「転送不可（通信不可）」とする判定結果をＤＮＳ処理部２４１に通知する。

転送ポリシ登録部２４４は、ＤＮＳ処理部２４１から相手装置３１０のＩＰアドレスに関する通知を受け付けると、転送装置２５０に対する通信許可設定を実行する。具体的には、端末１１０の利用者ＩＤに対応付けられたＩＰアドレスを接続状態管理サーバ２２０の端末接続状態テーブルから取得する。そして、端末１１０のＩＰアドレスと、相手装置３１０のＩＰアドレスとの対を転送ポリシとして転送装置２５０に登録して、通信許可設定を完了する。

転送装置２５０は、転送ポリシ登録部２４４により登録された転送ポリシに基づいて、端末１１０から受信したパケットの転送処理を実行する。具体的には、端末１１０からパケットを受信すると、受信したパケットの送信元ＩＰアドレスと送信先ＩＰアドレスとの対が転送ポリシに登録されているか否かを判定する。判定の結果、受信したパケットの送信元ＩＰアドレスと送信先ＩＰアドレスとの対が転送ポリシに登録されている場合には、インターネット２を介して、送信先ＩＰアドレスへパケットを転送する。一方、判定の結果、受信したパケットの送信元ＩＰアドレスと送信先ＩＰアドレスとの対が転送ポリシに登録されていない場合には、受信したパケットを破棄する。

相手装置３１０は、ＩＰ（Internet Protocol）に基づいた通信を行うための機能を有するコンピュータや、ＳＳＬ−ＶＰＮ ＧＷ装置などの通信機器である。

相手装置側ネームサーバ３２０は、Ｌｉｎｕｘサーバなどの汎用サーバコンピュータであり、相手装置３１０のＦＱＤＮとＩＰアドレスとを対応付けて管理する。そして、相手装置側ネームサーバ３２０は、通信制御装置２４０からの問合せに応じて、問合せの対象となるＦＱＤＮに対応するＩＰアドレスを含んだ問合せ応答として返信する。

［通信制御装置による処理（実施例１）］
続いて、図５を用いて、実施例１に係る通信制御装置による処理を説明する。図５は、実施例１に係る通信制御装置による処理の流れを説明するための図である。

同図に示すように、端末１１０と接続制御装置２３０とのＥＡＰ認証アルゴリズム（例えば、ＥＡＰ−ＴＬＳ）に基づくＥＡＰ認証メッセージの交換を行って利用者認証を実行する（ステップＳ１）。そして、接続制御装置２３０は、利用者認証時に識別された端末１１０の利用者ＩＤと、端末１１０のＭＡＣアドレスとを対応付けて接続状態管理サーバ２２０の端末接続状態テーブルに登録する（ステップＳ２）。

利用者認証の完了後、端末１１０は、接続制御装置２３０に対してＤＨＣＰに基づく「DHCP DISCOVER」メッセージを送信する（ステップＳ３）。接続制御装置２３０は、端末１１０から「DHCP DISCOVER」メッセージを受信すると、ＤＨＣＰに基づく「DHCP OFFER」メッセージを返信する（ステップＳ４）。なお、「DHCP OFFER」メッセージには、割り当てＩＰアドレスの他、ネットマスク、ルータアドレスおよびＤＮＳサーバアドレス（通信制御装置２４０のアドレス）を含ませておく。

「DHCP OFFER」メッセージを受信すると、端末１１０は、接続制御装置２３０に対してＤＨＣＰに基づく「DHCP REQUEST」メッセージを送信する（ステップＳ５）。接続制御装置２３０は、「DHCP REQUEST」メッセージを受信すると、送信元ＭＡＣアドレスに対応する割り当てＩＰアドレスを「DHCP REQUEST」メッセージ中の要求ＩＰアドレス値に更新し、端末１１０の利用者ＩＤおよびＭＡＣアドレスと、端末１１０に対する割り当てが決定されたＩＰアドレスとを対応付けて接続状態管理サーバ２２０の端末接続状態テーブルに登録する（ステップＳ６）。そして、接続制御装置２３０は、ＤＨＣＰに基づく「DHCP ACK」メッセージを返信する（ステップＳ７）。

「DHCP ACK」メッセージを受信すると、端末１１０は、接続制御装置２３０から受け付けたＩＰアドレスを送信元、ＤＮＳサーバアドレス（通信制御装置２４０）を送信先として、アクセス要求先を示すＦＱＤＮ（例えば、「ｖｐｎ−ｇｗ．ａ．ｃｏ．ｊｐ」）に関するＩＰアドレス解決要求を送信する（ステップＳ８）。

ＩＰアドレス解決要求を受信すると、通信制御装置２４０のＩＤ識別部２４２は、ＩＰアドレス解決要求の送信元を示すＩＰアドレスに対応付けられた利用者ＩＤを、接続状態管理サーバ２２０の端末接続状態テーブルから取得する（ステップＳ９）。ＩＤ識別部２４２により利用者ＩＤが取得されると、通信制御装置２４０の転送可否判定部２４３は、この利用者ＩＤに対応付けられている許可ドメイン名をポリシサーバ２１０の許可ポリシテーブルから取得して（ステップＳ１０）、端末１１０からのパケットと転送を許可するか否か（端末１１０の通信を許可するか否か）を判定する転送可否判定を実行する（ステップＳ１１）。

具体的には、転送可否判定部２４３は、許可ポリシテーブルから取得した許可ドメイン名の中に、端末１１０のアクセス要求先であるＦＱＤＮ内のドメイン名が含まれているか否か（許可ドメイン名が一つの場合には、一致するか否か）を判定する。判定の結果、許可ドメイン名の中に、ＦＱＤＮ内のドメイン名が含まれている（ドメイン名が互いに一致する）場合には、転送可否判定部２４３は、「転送可（通信可）」と判定する。

転送可否判定部２４３による判定結果が「転送可（通信可）」である場合には、通信制御装置２４０のＤＮＳ処理部２４１は、相手装置側ネームサーバ３２０に対して、端末１１０のアクセス要求先（相手装置３１０）を示すＦＱＤＮ（例えば、「ｖｐｎ−ｇｗ．ａ．ｃｏ．ｊｐ」）に対応したＩＰアドレスを問合せて取得する（ステップＳ１２）。

そして、通信制御装置２４０の転送ポリシ登録部２４４は、転送装置２５０に対する通信許可設定を実行する（ステップＳ１３）。具体的には、転送ポリシ登録部２４４は、端末１１０の利用者ＩＤに対応付けられたＩＰアドレスを接続状態管理サーバ２２０の端末接続状態テーブルから取得する。そして、取得された端末１１０のＩＰアドレスと、ＤＮＳ処理部２４１により取得された相手装置３１０のＩＰアドレスとの対を転送ポリシとして転送装置２５０に登録する。

また、通信制御装置２４０のＤＮＳ処理部２４１は、ＩＰアドレス解決要求に対する応答メッセージとして、相手装置３１０のＩＰアドレスを端末１１０に通知する（ステップＳ１４）。端末１１０は、通信制御装置２４０から受信したアクセス要求先（相手装置３１０）のＩＰアドレスを用いて、通信（パケット送信）を開始する（ステップＳ１５）。

［実施例１による効果］
上述してきたように、実施例１によれば、通信制御装置２４０は、許可ポリシテーブルに記憶されている許可ドメイン名の中に、端末１１０のアクセス要求先を示すＦＱＤＮ内の一部（ドメイン部分）が含まれている否かを判定する。判定の結果、許可ドメイン名の中に、アクセス要求先を示すＦＱＤＮ内の一部（ドメイン部分）が含まれている場合には、端末１１０のＩＰアドレスと、アクセス要求先（相手装置３１０）のＩＰアドレスとの対を転送ポリシとして転送装置２５０に登録する。このようなことから、不適切なアクセスが行われないように、無線ＬＡＮ１を介した端末１１０の外部アクセス先を制御できる。

また、上記の実施例１では、許可ポリシテーブルと端末接続状態テーブルとを分散して構成する場合を説明したが、本発明はこれに限定されるものではなく、許可ポリシテーブルと端末接続状態テーブルとを一つのテーブルで構成することもできる。

上記の実施例１では、利用者ＩＤと許可ドメイン名との対応関係を許可ポリシテーブルに予め記憶しておく場合を説明したが、利用者認証時に許可ドメイン名を自動登録するようにしてもよい。

例えば、図６に示すように、利用者ＩＤを利用者名（ＩＤ）と、この利用者によるアクセスが許可される許可ドメイン名とを含んだ形式にしておく。そして、接続制御装置２３０は、利用者認証時（例えば、図５のステップＳ１参照）に、利用者ＩＤから許可ドメイン名を抽出して、利用者ＩＤと許可ドメイン名との対応関係を許可ポリシテーブルに自動登録する。

このようにすれば、利用者ＩＤと許可ドメイン名との対応関係を許可ポリシテーブルに予め記憶することなく、無線ＬＡＮ１を介した端末１１０の外部アクセス先を制御できる。なお、図６は、実施例２に係る利用者ＩＤの構成例を示す図である。

また、上記の実施例１において、利用者認証時に識別される利用者ＩＤごとに、利用者ＩＤに対応付けられた許可ドメイン名を管理するサーバから、許可ドメイン名を取得するようにしてもよい。さらに、接続制御装置２３０は、アクセスを禁止する禁止ドメインリストを予め準備しておいて、サーバから取得する許可ドメイン名を取捨選択するようにしてもよい。

例えば、図７に示すように、利用者ＩＤ（例えば、「ａｂｃ＠ｘｙｚ．ｃｏ．ｊｐ」）ごとに、利用者ＩＤに含まれるドメイン名にホスト名「ｐｏｌｉｃｙ」を加えたＦＱＤＮ（例えば、「ｐｏｌｉｃｙ．ｘｙｚ．ｃｏ．ｊｐ」）が割り当てられている複数のポリシ配信サーバ３３０が設置される。ポリシ配信サーバ３３０は、例えば、図８に示すように、所定の利用者がアクセス可能なアクセス先を示す許可ドメイン名が列挙された許可ドメインリストをあらかじめ備える。

接続制御装置２３０は、例えば、図９に示すように、全ての利用者によるアクセスが禁止されるアクセス先を示す禁止ドメイン名が列挙された禁止ドメインリストをあらかじめ備える。そして、利用者認証時（例えば、図５のステップＳ１参照）に識別した利用者ＩＤからドメイン名を抽出し、ホスト名「ｐｏｌｉｃｙ」を加えたＦＱＤＮを生成する。ＦＱＤＮの生成後、生成されたＦＱＤＮが割り当てられているポリシ配信サーバ３３０にアクセスして許可ドメイン名（図８参照）を取得する。

接続制御装置２３０は、禁止ドメインリストを参照して、ポリシ配信サーバ３３０から取得した許可ドメイン名の中に、禁止ドメイン名が存在するか否かを判定する。判定の結果、許可ドメイン名の中に禁止ドメイン名が存在する場合には、該当ドメインを削除して、利用者ＩＤと残りの許可ドメイン名との対応関係を許可ポリシテーブルに登録する。

このようにすれば、端末１１０の利用者により複数のアクセス先との通信が許可される場合に、許可ドメイン名を効率的に許可ポリシテーブルに登録できる。また、禁止ドメインリストに基づいて、ポリシ管理サーバ３３０から取得される許可ドメイン名を取捨選択するので、登録される許可ドメイン名を制限できる。

なお、図７は、実施例３に係る全体構成を示す図である。図８は、実施例３に係る許可ドメインリストの構成例を示す図である。図９は、実施例３に係る禁止ドメインリストの構成例を示す図である。

また、上記の実施例１において、例えば、ＩＥＥＥ ８０２.１Ｘの周期再認証がタイムアウトした場合に、端末１１０がＬＡＮから離脱したものとして、転送装置２５０に登録されている転送ポリシ、および許可ポリシテーブルに記憶されている許可ドメイン名を削除するようにしてもよい。

例えば、図１０に示すように、接続制御装置２３０は、端末１１０との間で実行する周期再認証を実行した結果、再認証に失敗した場合には（ステップＳ１）、転送装置２５０に登録されている転送ポリシを削除することにより通信許可設定を削除する（ステップＳ２）。さらに、接続制御装置２３０は、再認証に失敗した利用者ＩＤに対応付けられている許可ドメイン名を許可ポリシテーブルから削除するとともに（ステップＳ３）、当該利用者ＩＤに対応付けられたレコードを端末接続状態テーブルから削除する（ステップＳ４）。

なお、端末１１０による無線ＬＡＮ１からの接続離脱を検出する方法としては、上記した周期再認証のほかに、転送装置２５０のＡＲＰキャッシュテーブルの監視による方法がある。また、ＤＨＣＰアドレス期間の満了をもって、転送ポリシおよび許可ドメイン名を削除してもよい。図１０は、実施例４に係る処理の流れを説明するための図である。

さて、これまで本発明の一実施形態として実施例１〜４について説明してきたが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下では、本発明に含まれる他の実施形態を説明する。

（１）装置構成等
図２に示した通信制御装置２４０の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、通信制御装置２４０の分散・統合の具体的形態は図示のものに限られず、例えば、ＤＮＳ処理部２４１と、ＩＤ識別部２４２と、転送可否判定部２４３とを統合する。あるいは、通信制御装置２４０に、ポリシサーバ２１０、接続状態管理サーバ２２０および接続制御装置２３０が有する各種処理機能を搭載するなど、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。

さらに、通信制御装置２４０にて行なわれる各処理機能（例えば、図５参照）は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

（２）通信制御処理プログラム
また、上記の実施例１で説明した通信制御装置２４０の各種の処理（例えば、図５参照）は、あらかじめ用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータシステムで実行することによって実現することができる。

そこで、以下では、図１１を用いて、上記の実施例で説明した通信制御装置２４０と同様の機能を有する通信制御処理プログラムを実行するコンピュータの一例を説明する。図１１は、通信制御処理プログラムを実行するコンピュータを示す図である。

同図に示すように、コンピュータ４００は、通信制御部４１０、ＨＤＤ４２０、ＲＡＭ４３０およびＣＰＵ４４０をバス５００で接続して構成される。

ここで、通信制御部４１０は、無線ＬＡＮ１やインターネット２を介してやり取りされる各種情報に関する通信を制御する。ＨＤＤ４２０は、ＣＰＵ４４０による各種処理の実行に必要な情報を記憶する。ＲＡＭ４３０は、各種情報を一時的に記憶する。ＣＰＵ４４０は、各種演算処理を実行する。

そして、ＨＤＤ４２０には、図１１に示すように、上記の実施例１に示した通信制御装置２４０の各処理部と同様の機能を発揮する通信制御処理プログラム４２１と、通信制御処理用データ４２２とがあらかじめ記憶されている。なお、この通信制御処理プログラム４２１を適宜分散させて、ネットワークを介して通信可能に接続された他のコンピュータの記憶部に記憶させておくこともできる。

そして、ＣＰＵ４４０が、この通信制御処理プログラム４２１をＨＤＤ４２０から読み出してＲＡＭ４３０に展開することにより、図１１に示すように、通信制御処理プログラム４２１は通信制御処理プロセス４３１として機能するようになる。

すなわち、通信制御処理プロセス４２１は、通信制御処理用データ４２２等をＨＤＤ４２０から読み出して、ＲＡＭ４３０において自身に割り当てられた領域に展開し、この展開したデータ等に基づいて各種処理を実行する。なお、通信制御処理プロセス４３１は、図２に示した通信制御装置２４０のＤＮＳ処理部２４１、ＩＤ識別部２４２、転送可否判定部２４３および転送ポリシ登録部２４４において実行される処理にそれぞれ対応する。

なお、上記した通信制御処理プログラム４２１については、必ずしも最初からＨＤＤ４２０に記憶させておく必要はなく、例えば、コンピュータ４００に挿入されるフレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＤＶＤディスク、光磁気ディスク、ＩＣカードなどの「可搬用の物理媒体」、さらには、公衆回線、インターネット、ＬＡＮ、ＷＡＮなどを介してコンピュータ４００に接続される「他のコンピュータ（またはサーバ）」などに各プログラムを記憶させておき、コンピュータ４００がこれらから各プログラムを読み出して実行するようにしてもよい。

（３）通信制御方法
上記の実施例１で説明した通信制御装置により、以下のような通信制御方法が実現される。

すなわち、端末から受信されるパケットを転送するパケット転送装置の転送処理を制御する通信制御方法であって、端末からのアクセス要求を受信した場合に、端末の利用者を識別する利用者ＩＤと、当該利用者ＩＤに対応付けて端末に割り当てられるＩＰアドレスと、端末の利用者によるアクセスが許可されるアクセス先を示した許可アクセス先情報との対応関係を記憶する記憶手段から、アクセス要求元の利用者ＩＤに対応付けられた許可アクセス先情報を取得して、当該取得された許可アクセス先情報の中に、前記端末のアクセス要求先を示したアクセス要求先情報が含まれているか否かを判定するアクセス先判定ステップと（例えば、図５のステップＳ８〜Ｓ１１参照）、アクセス先判定ステップにより許可アクセス先情報の中にアクセス要求先情報が含まれているものと判定された場合には、アクセス要求先のアクセス先装置に割り当てられているアクセス先ＩＰアドレスを取得するアクセス先アドレス取得ステップと（例えば、図５のステップＳ１２参照）、アクセス要求元の利用者ＩＤに対応付けられたＩＰアドレスを記憶手段から取得して、当該取得されたＩＰアドレスと、アクセス先アドレス取得ステップにより取得されたアクセス先ＩＰアドレスとの対応関係をパケット転送ポリシとしてパケット転送装置に登録する転送ポリシ登録ステップと（例えば、図５のステップＳ１３参照）、を含んだ通信制御方法が実現される。

以上のように、本発明に係る通信制御装置、通信制御方法および通信制御処理プログラムは、端末から受信されるパケットを転送するパケット転送装置の転送処理を制御する場合に有用であり、特に、不適切なアクセスが行われないように、無線ＬＡＮを介した端末の外部アクセス先を制御することに適する。

実施例１に係る通信制御装置の概要および特徴を説明するための図である。 実施例１に係る通信制御装置の構成を示す図である。 実施例１に係る許可ポリシテーブルの構成例を示す図である。 実施例１に係る端末接続状態テーブルの構成例を示す図である。 実施例１に係る通信制御装置による処理の流れを説明するための図である。 実施例２に係る利用者ＩＤの構成例を示す図である。 実施例３に係る全体構成を示す図である。 実施例３に係る許可ドメインリストの構成例を示す図である。 実施例３に係る禁止ドメインリストの構成例を示す図である。 実施例４に係る処理の流れを説明するための図である。 通信制御処理プログラムを実行するコンピュータを示す図である。

符号の説明

１ 無線ＬＡＮ
２ インターネット
１１０ 端末
１２０ 無線ＡＰ
２１０ ポリシサーバ
２２０ 接続状態管理サーバ
２３０ 接続制御装置
２３１ 利用者ＩＤ認証部
２３２ ＤＨＣＰ処理部
２４０ 通信制御装置
２４１ ＤＮＳ処理部
２４２ ＩＤ識別部
２４３ 転送可否判定部
２４４ 転送ポリシ登録部
２５０ 転送装置
３１０ 相手装置
３２０ 相手装置側ネームサーバ
４００ コンピュータ
４１０ 通信制御部
４２０ ＨＤＤ（Hard Disk Drive）
４２１ 通信制御処理プログラム
４２２ 通信制御処理用データ
４３０ ＲＡＭ（Random Access Memory）
４３１ 通信制御処理プロセス
４４０ ＣＰＵ（Central Processing Unit）
５００ バス

Claims (6)

1. 端末から受信したパケットを転送するパケット転送装置の転送処理を制御する通信制御装置であって、
   アクセス要求先のアドレス解決要求を前記端末から受信した場合に、前記アクセス解決要求に含まれるアクセス要求先情報と、前記アクセス要求の送信元である端末の利用者ＩＤごとに定められる許可アクセス先情報とが一致するか否かを判定するアクセス要求先判定手段と、
   前記アクセス要求先判定手段により前記アクセス要求先情報と前記許可アクセス先情報とが一致するものと判定された場合には、前記アクセス要求の送信元である端末に割り当てられるＩＰアドレスと、前記アクセス要求先のアクセス先装置に割り当てられているアクセス先ＩＰアドレスとの対応関係をパケット転送ポリシとして前記パケット転送装置に登録する転送ポリシ登録手段と、
   を備えたことを特徴とする通信制御装置。
2. 前記利用者ＩＤは、前記許可アクセス先情報を含んで構成されるものであって、
   前記アクセス要求の受信に応じた当該アクセス要求元の利用者ＩＤの認証時に、当該利用者ＩＤと当該利用者ＩＤに含まれる前記許可アクセス先情報とを対応付けて記憶手段に格納する格納手段をさらに備え、
   前記記憶手段は、前記格納手段により格納される前記利用者ＩＤおよび前記許可アクセス先情報と、当該利用者ＩＤに対応付けて前記端末に割り当てられるＩＰアドレスとの対応関係を記憶することを特徴とする請求項１に記載の通信制御装置。
3. 前記利用者ＩＤは、前記許可アクセス先情報の問合せ先を示した問合せ先情報を含んで構成されるものであって、
   前記アクセス要求元の利用者ＩＤの認証時に、当該利用者ＩＤに含まれる問合せ先情報が示す問合せ先にアクセスして、当該利用者ＩＤに対応付けられている前記許可アクセス先情報を取得する許可アクセス先情報取得手段と、
   前記アクセス要求元の利用者ＩＤと、前記許可アクセス先情報取得手段により取得された前記許可アクセス先情報とを対応付けて前記記憶手段に格納する格納手段と、
   をさらに備え、
   前記記憶手段は、前記格納手段により格納される前記利用者ＩＤおよび前記許可アクセス先と、当該利用者ＩＤに対応付けて前記端末に割り当てられるＩＰアドレスとの対応関係を記憶することを特徴とする請求項１に記載の通信制御装置。
4. 前記端末の利用者によるアクセスを禁止するアクセス先を示した禁止アクセス先情報を記憶する禁止アクセス先情報記憶手段と、
   前記禁止アクセス先情報記憶手段を参照して、前記許可アクセス先取得手段により取得された前記許可アクセス先情報の中から、前記禁止アクセス先情報を削除するアクセス先情報削除手段と、
   をさらに備え、
   前記格納手段は、前記アクセス要求元の利用者ＩＤと、前記アクセス先削除手段による削除後に残された前記許可アクセス先情報とを対応付けて前記記憶手段に格納することを特徴とする請求項３に記載の通信制御装置。
5. 端末から受信したパケットを転送するパケット転送装置の転送処理を制御する通信制御方法であって、
   アクセス要求先のアドレス解決要求を前記端末から受信した場合に、前記アクセス解決要求に含まれるアクセス要求先情報と、前記アクセス要求の送信元である端末の利用者ＩＤごとに定められる許可アクセス先情報とが一致するか否かを判定するアクセス要求先判定ステップと、
   前記アクセス要求先判定ステップにより前記アクセス要求先情報と前記許可アクセス先情報とが一致するものと判定された場合には、前記アクセス要求の送信元である端末に割り当てられるＩＰアドレスと、前記アクセス要求先のアクセス先装置に割り当てられているアクセス先ＩＰアドレスとの対応関係をパケット転送ポリシとして前記パケット転送装置に登録する転送ポリシ登録ステップと、
   を含んだことを特徴とする通信制御方法。
6. 端末から受信したパケットを転送するパケット転送装置の転送処理制御をコンピュータに実行させる通信制御処理プログラムであって、
   アクセス要求先のアドレス解決要求を前記端末から受信した場合に、前記アクセス解決要求に含まれるアクセス要求先情報と、前記アクセス要求の送信元である端末の利用者ＩＤごとに定められる許可アクセス先情報とが一致するか否かを判定するアクセス要求先判定手順と、
   前記アクセス要求先判定ステップにより前記アクセス要求先情報と前記許可アクセス先情報とが一致するものと判定された場合には、前記アクセス要求の送信元である端末に割り当てられるＩＰアドレスと、前記アクセス要求先のアクセス先装置に割り当てられているアクセス先ＩＰアドレスとの対応関係をパケット転送ポリシとして前記パケット転送装置に登録する転送ポリシ登録手順と、
   をコンピュータに実行させることを特徴とする通信制御処理プログラム。

Images