JP2013218475A - 送信パケットフィルタ - Google Patents

Abstract

【課題】印刷制御装置と画像形成装置とで送信パケットフィルタルールを同期した場合に、互いの通信ができなくなるのを防止すること。
【解決手段】互いに通信する印刷制御装置（２０１）と画像形成装置（２０７）において、前記印刷制御装置は、前記画像形成装置に送信フィルタルールを送信する送信フィルタルール送信手段（Ｓ８０５）と、前記画像形成装置は前記印刷制御装置の前記送信フィルタルール送信手段によって送信された送信フィルタルールを受け、送信フィルタルールを変更する送信フィルタルール変更手段（Ｓ８０６）と、前記送信フィルタルール変更手段によって変更された送信フィルタルールに前記印刷制御装置への送信許可を追加する送信許可追加手段（Ｓ８１０）とを備えることを特徴とする。
【選択図】 図８

Description

本発明は、ネットワーク機能を有する画像形成装置並びに印刷制御装置に関するもので、特に送信するパケットをパケットフィルタリングする機能に関する。

従来、ネットワークに接続された印刷システム（画像形成装置、画像形成装置と印刷制御装置等、印刷を行うことが可能なシステム全般）は知られており、このような印刷システムはジョブの入出力を担っている。例えば、ネットワークプリンタの機能を有し端末装置から送信されたジョブを印刷することや、ストレージ機能を有し端末装置から送信されたジョブを保存することや、保存されたジョブをネットワーク上の端末装置へ送信する等の機能である。通常このような印刷システムはネットワークに接続された情報端末と通信を行うことで、ユーザが所望した動作を実施することができる。この通信ではパケットという、送信先や送信元などの制御情報と、送信データを１つの纏まりを使用して行う。情報端末が送信した印刷データのパケットを印刷システムが受信し、印刷システムが印刷を行う。または、印刷システムがスキャンしたデータのパケットを情報端末に送信し、情報端末にデータを保存する等の処理が行われる。

このように昨今では、印刷システムで実現可能な機能が増大し、これにより情報処理装置との通信量や通信先が増えてくるため、印刷制御装置においても情報処理装置と同等のセキュリティ強度を保持する必要が出てきている。セキュリティ強度を保持するための機能は、一般的にファイヤーウォール機能と呼ばれ、中でもパケットフィルタリング機能が一般的である。このパケットフィルタリング機能では、パケット受信時にあらかじめ設定されているパケットフィルタルールによりフィルタする、受信パケットフィルタリング機能がある。また、パケット送信時にあらかじめ設定されているパケットフィルタルールによりフィルタする、送信パケットフィルタリング機能もある。

受信パケットフィルタリング機能は、画像形成装置が備えている。送信パケットフィルタリング機能においても、画像形成装置が備えているものがある。さらには、特許文献１に開示されているものなど、送信フィルタ機能を持たない画像形成装置に、送信フィルタ機能を持った外付けの装置を接続して、この外付け装置において送信フィルタ機能を実現し、印刷システムとして送信フィルタ機能を実現するものがある。

特開2007-221395号公報

しかしながら前記特許文献１では、送信パケットフィルタ機能を外付けの装置で行うため、画像形成装置からは常にパケットが送信される。つまり画像形成装置が送信したパケットを受信した外付けの装置が、この受信したパケットを送信する際に初めて送信フィルタ機能を実施する。つまり、外付け装置によってフィルタされる不要なパケットが、画像形成装置と外付け装置間のネットワークを流れる。この結果、画像形成装置と外付け装置間のネットワーク通信負荷が高くなり、画像形成装置と外付け装置が行っている他の通信に対して負荷を与えるという課題がある。

この課題を解決するために、外付け装置と画像形成装置両方で送信パケットフィルタリングを実装し、同じルールを設定することにより、外付け装置と画像形成装置間のネットワークに必要のないパケットを送信することを防ぐ事が可能となる。

さらには、外付け装置と画像形成装置のルールを単に同期しただけでは、片方向もしく互いにパケット送信ができなくなる可能性がある。例えば、外付け装置および画像形成装置に対しての設定がなく、且つデフォルトのルールが送信拒否の場合である。本発明における印刷システムではこのような問題を鑑み、送信パケットフィルタリングルールの同期を行い、且つ、外付け装置と画像形成装置間の送信パケットフィルタリングルールを適切に行うことが可能なシステムを実現する。

互いに通信する印刷制御装置（２０１）と画像形成装置（２０７）において、
前記印刷制御装置は、前記画像形成装置に送信フィルタルールを送信する送信フィルタルール送信手段（Ｓ８０５）と、
前記画像形成装置は前記印刷制御装置の前記送信フィルタルール送信手段によって送信された送信フィルタルールを受け、送信フィルタルールを変更する送信フィルタルール変更手段（Ｓ８０６）と、
前記送信フィルタルール変更手段によって変更された送信フィルタルールに前記印刷制御装置への送信許可を追加する送信許可追加手段（Ｓ８１０）とを備えることを特徴とする。

本発明の効果は、送信パケットフィルタルールを同期する外付け装置と画像形成装置に置いて、送信パケットフィルタルールの同期後に互いに送信可能にするルールを追加することで、互いにパケット送信できなくなることを防止することである。

本発明の一実施形態を示す印刷制御装置の構成を示すブロック図である。 本発明の一実施形態を示す印刷制御装置と画像形成装置の接続形態模式図である。 本発明の一実施形態を示す画像形成装置の構成を示すブロック図である。 LAN上を流れるパケットの概念を示すブロック図である。 ＬＡＮ上を流れるパケットの構造を示すブロック図である。 ＩＰヘッダの構造を示すブロック図である。 ＴＣＰヘッダの構造を示すブロック図である。 本発明の実施形態１のフローチャートである。 本発明の印刷制御装置の送信パケットフィルタルール設定画面である。 本発明の画像形成装置の送信パケットフィルタルール表示画面である。

図１は印刷制御装置２０１の概略構成例を示すブロック図であり、図２は印刷制御装置と画像形成装置の接続図となっている。

同図１において２０２、２０３及び２０４はコネクタ、１０１は図２のＬＡＮ２１２との低位レイヤレベルの接続を司る、第１のネットワークインターフェースとしてのＮＩＣ(Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ)部である。１０２は、受信したＰＤＬ等の印刷言語或いは特定の（ＪＢＩＧなどで圧縮された）データフォーマットをラスタイメージ化するためのＲＩＰ処理部である。１０３はラスタイメージ化されたデータを画像形成装置２０７がサポートする形式の印刷データ或いはデータフォーマットに変換するためのエンコード部である。

１０４は低位レイヤレベルの接続を司る、第２のネットワークインターフェースとしてのＮＩＣ部である。１０５はＮＩＣ部１０１で受信した印刷データを一時的に保管（スプール）しておく、または、ＲＩＰ後の圧縮データを一時的に保管しておくためのハードディスクドライブ（ＨＤＤ）部である。１０６はＲＩＰ部１０２が画像展開処理に利用するための第１メモリ部、１０７は印刷制御装置全体の制御を司るＣＰＵ部である。

１０８はＣＰＵ部１０７がデータ一時保存領域として利用する第２メモリ部である。１０９はボタンやキー、タッチパネル等を有し、印刷制御装置のオペレーションを行うための操作部である。１１０は、オペレータに画像や文字によって情報を伝えるための表示部である。また、１１１はイメージインタフェースボードであり、２０４はこのインターフェースのためのコネクタである。

画像データに関しては前記１１１、２０４を使用して専用の伝送路を作成し、転送する。端末装置２１１から印刷制御装置２０１へのデータパケットは、ＬＡＮ２１２を伝搬され、コネクタ２０２を介して印刷制御装置２０１へ取り込まれる。印刷制御装置２０１の内部においてはＮＩＣ部１０１によってデータの受信処理が行われる。印刷データを受信すると、ＣＰＵ部１０７の制御により、必要に応じてＨＤＤ部１０５へ受信データの書き込みが行われる。これはデータの転送速度を向上させること等を目的として一般的に行われているキューイング（スプール）である。ＨＤＤ部１０５に記憶されたデータは、ＣＰＵ部１０７の指示によってＲＩＰ処理部１０２から読み出される。一方、キューイングが行われなかった印刷データはＣＰＵ部１０７の指示によって、直接ＲＩＰ処理部１０２へ転送される。

こうしてＲＩＰ処理部１０２へ送られた印刷データは、ＲＩＰ処理部１０２でラスタイメージ化処理が行わる。続いて第２の判定手段及びデータ形式変換手段として機能するエンコード部１０３で予め設定されている画像形成装置２０７が解釈可能なデータ形式と、受信したデータの形式とに基づいて、画像形成装置２０７が解釈可能なデータ形式へのエンコードが行われる。このエンコード処理は必要に応じて行われるため、受信した印刷データの形式がそのままでも画像形成装置２０７で解釈可能な場合など、エンコードの必要がなければスキップしてもよい。エンコード後のデータは画像形成装置が解釈可能な形式である必要があり、例えばその形式は特定の印刷言語形式や、またはＪＢＩＧ等特定の方法で圧縮されたデータフォーマット等、画像形成装置２０７が内蔵する解釈手段の能力によって変化する。

こうして必要に応じてエンコードされたデータはＬＡＮ２１０へ送信するためにＮＩＣ部１０４によって再びデータパケット化され、コネクタ２０３から送出され、ＬＡＮ２１０、コネクタ２０８を介して画像形成装置２０７へ送られる。このデータパケットを受信した画像形成装置２０７は、自身が有する印刷処理手順に則り、紙などの記録媒体への印刷処理を行う。他のデータ転送方法としては、エンコード部１０３を介しイメージインタフェースボード部１１１へ転送され、このデータがコネクタ２０４を通り、２０６の専用伝送路中を流れ、コネクタ２０９を介して画像形成装置２０７へ送られる。

図３は、画像形成装置２０７の構成を示すブロック図である。

図３において、本実施形態の画像形成装置は、画像形成装置本体３０１と画像入出力制御部３０５で構成される。

画像形成装置本体３０１は、操作部３０２、リーダ部３０３、プリンタ部３０４から構成される。操作部３０２は、画像形成装置本体３０１及び画像入出力制御部３０５を操作するために使用する。リーダ部３０３は、原稿の画像を読み取り、原稿画像に応じた画像データをプリンタ部３０４及び画像入出力制御部３０５へ出力する。プリンタ部３０４は、リーダ部３０３及び画像入出力制御部３０５からの画像データに応じた画像を記録紙上に記録する。

画像入出力制御部３０５は、リーダ部３０３に接続されており、インターフェース部３０６、画像メモリ３０７、制御部３０８、ハードディスク（ＨＤＤ）３０９から構成される。 なお、ハードディスク（ＨＤＤ）３０９には、画像形成装置の設定が保存されている（例えばアドレス帳、操作履歴、ユーザ設定、ＩＤ設定、ネットワーク設定）。

インターフェース部３０６は、印刷制御装置２０１およびネットワーク２１２上の端末装置２１１と制御部３０８との間のインターフェースである。このインターフェース部３０６は、印刷制御装置２０１から転送された画像を表すコードデータをコネクタ２０９で受信し、受信したデータをプリンタ部３０４で記録できる画像データに展開して制御部３０８に渡す。またインターフェース部３０６は、端末装置２１１より転送された画像データを表すコードデータを、イーサネット（登録商標）等のネットワークインターフェース２０８から受信する。受信したデータをプリンタ部３０４で記録できるデータに展開する必要があれば展開して、制御部３０８に渡す。さらに、コネクタ２０９はネットワークインターフェースであって、印刷制御装置２０１とネットワークを介して接続される構成であっても良い。また、パラレルインターフェースや、ＵＳＢインターフェース等のインターフェースであって、印刷制御装置２０１とインターフェースケーブル等を介して直接接続される構成であっても良い。また、１本とは限らず多数のケーブルを使用しても構わない。

制御部３０８は、ＣＰＵ、ＲＯＭ、ＲＡＭ等により構成される。この制御部３０８のＣＰＵがＲＯＭ又は他の記憶媒体に格納されたプログラムをＲＡＭ上にロードして実行する。リーダ部３０３、インターフェース部３０６、及び画像メモリ３０７等のそれぞれの間のデータの流れを制御する。なお、ＨＤＤ３０９の代わりに、電源を落としてもデータが消去されないその他の不揮発性メモリを設けて、該不揮発性メモリにデータを保存しておく構成であっても良い。

次にＬＡＮ２１０、２１２上を流れるデータについて図４にて説明する。

印刷制御装置(２０１)に存在するデータ４０１があり、そのデータは画像データでも、ＰＤＬデータでも、プログラムであっても構わない。これをネットワーク２０６より受信先の画像形成装置(２０７)に転送する場合、データ４０１を細分化しイメージ的に４０２のように分割する。この分割されたデータ４０３、４０４、４０６などに対して、ヘッダ４０５と呼ばれる送り先アドレス(ＴＣＰ／ＩＰプロトコルを利用した場合には、送り先のＩＰアドレス)などを付加し、パケット４０７として順次ネットワーク２０６上にパケットを送って行く。画像形成装置（２０７）のアドレスとパケット４１０のヘッダ４１１が一致するとデータ４１２は分離され、デバイスＡにあったデータの状態に再生される。

パケット４０７についてもう少し詳しく説明するために、ＬＡＮを構成するための一つのメディアである、イーサネット上を流れるデータパケットを、図５を用いて説明する。

図５はイーサネットフレームフォーマットであり、イーサネット上を流れるデータパケットの最大単位である。同図において５０１はパケットを到達させたい宛先のハードウェアアドレスであり、５０２は送信元のハードウェアアドレスである。この両者には一般的にネットワークカードが持つＭＡＣアドレスがセットされる。５０３はＥＴＹＰＥフィールドと呼ばれ、次に続くデータがどういうデータかを示すために用いられる。仮に次に続くデータがＩＰの場合は、このフィールドには１６進数の０８００がセットされる。５０４はデータ部であり、宛先ハードウェアアドレス５０１に対して送信したいデータをここにセットする。５０５はＦＣＳと呼ばれるチェックフィールドであり、このパケットが正常に到達したかを受信側で確認するために用いられる。次に、ＩＰデータパケットについて説明する。データパケットは大きく分けてＩＰヘッダ部５０６とデータ部５０７に分けられており、これらはイーサフレームフォーマットのデータ部５０４の中に取り込まれている。このように１つのデータパケットがより上位のパケットのデータ部に取り込まれることをカプセル化と呼ぶ。図６はＩＰパケットの構成を示したものであり、６０１は送信元のＩＰアドレスをセットするフィールド、６０２は宛先のＩＰアドレスをセットするフィールド、６０３は前述したＩＰパケットのデータフィールドである。同図においてデータ部６０３を除いた全ての部分がIPヘッダと呼ばれ、この他にも様々な情報を含んでいるが、ここでは必要が無いので説明は省略する。

説明を図５に戻し、最後にＴＣＰデータパケットについて説明する。データパケットは大きく分けてＴＣＰヘッダ部５０８とデータ部５０９に分けられ、ＩＰデータパケットのデータ部５０７の中にカプセル化されている。図７はＴＣＰパケットの構成を示したものであり、７０１は送信元のポート番号セットするフィールド、７０２は宛先のポート番号をセットするフィールド、７０３は前述したＴＣＰパケットのデータフィールドである。ポート番号とは通信に利用する（或いは受信側で利用されるべき）アプリケーションを特定するために用いられる値であり、例えばＦＴＰを用いる場合はポート２１番を使うように予め決められている。同図においてデータ部７０３を除いた全ての部分がＴＣＰヘッダと呼ばれ、この他にも様々な情報を含んでいるが、ここでは必要が無いので説明は省略する。

次にパケットフィルタリング機能について説明する。パケットフィルタリング機能には、画像形成装置もしくは印刷制御装置がパケットを受信した時に、このパケットを受信可能か判断し、パケットの受信可否を判断する受信パケットフィルタ機能がある。また、画像形成装置もしくは印刷制御装置がパケット送信時にこのパケットの送信可否を判断する送信フィルタ機能もある。送信/受信パケットフィルタ機能において、送信/受信可否を判断するための情報は、送信先/送信元アドレス情報であり、予めこの機器を使用する管理者もしくはユーザによって、送信/受信可能設定を行う。ＭＡＣアドレスフィルタは、ＭＡＣアドレスの送信先情報５０１、送信元情報５０２を元にパケットをフィルタする。ＩＰアドレスフィルタは、送信先情報６０２、送信元情報６０１を元にパケットをフィルタする。Ｐｏｒｔブロックは、送信先ポート７０２、送信元ポート７０１を元にパケットをフィルタする。それぞれのフィルタにおいて、フィルタするための条件の設定は、印刷制御装置２０１の操作部１０８もしくは、画像形成装置の操作部３０２で設定を行う。本実施例では、印刷制御装置２０１の操作部１０８で設定を行い、この設定を画像形成装置２０７と同期する例を記載するが、画像形成装置２０７の操作部３０２で設定を行い、印刷制御装置２０１へ設定を同期しても良い。

（実施形態１）
図８を用いて、実施形態１の印刷制御装置２０１で設定したフィルタ条件を画像形成装置２０７に同期させるためのフローについて説明する。なお、本実施例ではＩＰアドレスフィルタを例に示すが、先に述べたＭＡＣアドレスフィルタやＰｏｒｔブロックでも同様である。

ステップＳ８０１では、ユーザから送信パケットフィルタ同期が指示されると、印刷制御装置２０１は画像形成装置２０７に対し、パケットフィルタ同期コマンドを送る。ステップＳ８０２では、画像形成装置２０７は印刷制御装置２０１の接続を許可するモードになっているかを判断する。印刷制御装置２０１の接続可否は、画像形成装置２０７の管理者が設定を行うものとする。ステップＳ８０２で印刷制御装置２０１の接続拒否と判断された場合は、処理を終了する。ステップＳ８０２で印刷制御装置２０１の接続許可と判断された場合は、ステップＳ８０３に進む。

ステップＳ８０３では、画像形成装置２０７はパケットフィルタ同期コマンドが管理者によって予め決められたＩＰアドレスから送られてきたものかを判断する。このＩＰアドレスは単一のＩＰアドレスでも良いし、一定の範囲であっても良い。ステップＳ８０３で予め決められたＩＰアドレス以外からパケットフィルタ同期コマンドが来た場合は、処理を終了する。ステップＳ８０３でパケットフィルタ同期コマンドが予め決められたＩＰアドレスからきた場合は、ステップＳ８０４へ進む。

ステップＳ８０４で、パケットフィルタ同期コマンドを受けた画像形成装置２０７は、印刷制御装置２０１にパケットフィルタテーブルを要求する。パケットフィルタテーブルは操作部１０９にて、ユーザは送信ＩＰパケットフィルタリング設定を行う。

図９は印刷制御装置２０１の送信ＩＰパケットフィルタリング設定を行う操作画面である。

９０１はユーザが送信ＩＰパケットフィルタリングの実行可否の設定を行う画面である。９０２はデフォルトポリシー設定を行う画面である。デフォルトポリシー設定とは、ユーザが設定したＩＰアドレス設定に合致しないアドレスに対して、デフォルトポリシーで設定したルールに従って、パケットフィルタリングを行う。デフォルトポリシーが許可の場合は、ユーザが設定したＩＰアドレスに合致しないパケットは、すべて許可される。デフォルトポリシーが拒否の場合は、ユーザが設定したＩＰアドレスに合致しないパケットは、すべて拒否される。

９０３はユーザが送信拒否および送信許可を実施する送信先のＩＰアドレスを登録する。ここで設定されたＩＰアドレスに送信するパケットを検知すると、設定されているポリシーに従って、送信パケットフィルタリングを行う。９０３では１７２．２４．１０．１−１７２．２４．１０．２０の範囲のＩＰアドレスを送信拒否する設定となっている。もしもこの範囲のＩＰアドレスにパケットが送信先に設定されたパケットが送信される時には、このパケットをフィルタリングし、ＬＡＮ上にパケットを送信しない。９０４の追加ボタンを押下することにより、送信先ＩＰアドレスの追加やこのアドレスに対するポリシー設定を行うことが可能である。本実施例ではＩＰｖ４のアドレスを元に説明したが、ＩＰｖ６のアドレスやこれ以降のバージョンにも適用可能である。図９でユーザが設定した設定値は、印刷制御装置２０１のＨＤＤ１０５に保存される。

ステップＳ８０５では、印刷制御装置２０１は画像形成装置２０７にパケットフィルタテーブルを送信する。

ステップＳ８０６では、画像形成装置２０７は、ステップＳ８０５で受信したパケットフィルタテーブルと自身の持つパケットフィルタテーブルを比較し、同期処理を行う。

ステップＳ８０７では、ステップＳ８０６の同期処理において、印刷制御装置２０１のパケットフィルタテーブルと画像形成装置２０７のパケットフィルタテーブルにコンフリクトがあったかを判定する。コンフリクトとは、例えば、同一のＩＰアドレスに対し、印刷制御装置２０１では許可、画像形成装置２０７では拒否となっていて、互いのルールに矛盾がある場合である。ステップＳ８０７でコンフリクト有りと判定された場合は、ステップＳ８０８へ進む。ステップＳ８０７でコンフリクト無しと判定された場合、ステップＳ８１０へ進む。

ステップＳ８０８では、画像形成装置２０７は印刷制御装置２０１に対し、コンフリクトしたルールを通知し、印刷制御装置２０１は通知されたルールを表示する。

ステップＳ８０９では、ステップＳ８０８のコンフリクト表示を受け、ユーザによるルールの再設定指示を受けた場合、ステップＳ８０１へ戻る。同期のキャンセル指示来た場合は処理を終了する。

ステップＳ８１０では、画像形成装置２０７は自身のパケットフィルタテーブルに印刷制御装置２０１のＩＰアドレス許可を追加する。図１０は、画像形成装置２０７が持つ、印刷制御装置２０１のＩＰアドレスを許可したパケットフィルタテーブルである。この例では、印刷制御装置２０１のＩＰアドレスを１１１．１１１．１１１．１１１として追加している。

このようにして、画像形成装置２０７は印刷制御装置２０１とのパケットフィルタテーブルの同期を行った時に、印刷制御装置２０１を許可することで、通信不能とならないようにすることが可能となる。

１０１ ＮＩＣ部
１０２ ＲＩＰ処理部
１０３ エンコード部
１０４ ＮＩＣ部
１０５ ＨＤＤ部
１０６ 第一メモリ部
１０７ ＣＰＵ部
１０８ 第二メモリ部
１０９ 操作部
１１０ 表示部
１１１ Ｉボード部
２０１ 印刷制御装置
２０２ コネクタ
２０３ コネクタ
２０４ コネクタ

Claims (5)

1. 互いに通信する印刷制御装置（２０１）と画像形成装置（２０７）において、
   前記印刷制御装置は、前記画像形成装置に送信フィルタルールを送信する送信フィルタルール送信手段（Ｓ８０５）と、
   前記画像形成装置は前記印刷制御装置の前記送信フィルタルール送信手段によって送信された送信フィルタルールを受け、送信フィルタルールを変更する送信フィルタルール変更手段（Ｓ８０６）と、
   前記送信フィルタルール変更手段によって変更された送信フィルタルールに前記印刷制御装置への送信許可を追加する送信許可追加手段（Ｓ８１０）とを備えることを特徴とした画像形成装置システム。
2. 前記画像形成装置は、前記印刷制御装置が接続されている時のみ前記送信フィルタルール変更手段を有効とすることを特徴とする請求項１に記載の画像形成装置システム（Ｓ８０２）。
3. 前記画像形成装置は、予め決められたＩＰアドレスからのみ、前記送信フィルタルール送信手段を受け付けることを特徴とする請求項１に記載の画像形成装置システム（Ｓ８０３）。
4. 前記画像形成装置は、予め決められたＭＡＣアドレスからのみ、前記送信フィルタルール送信手段を受け付けることを特徴とする請求項１に記載の画像形成装置システム。
5. 前記画像形成装置は、予め決められたポートにおいてのみ、前記送信フィルタルール送信手段を受け付けることを特徴とする請求項１に記載の画像形成装置システム。