JP2016046625A - 通信中継装置、情報処理方法、及び、プログラム - Google Patents

Abstract

【課題】通信機器ごとの所望の条件に従って、通信機器の通信先へのアクセスを制御できる情報通信技術を提供することを課題とする。【解決手段】ＭＡＣアドレスを用いた通信を行う情報端末２と通信先との間の通信を中継するフィルタ装置１に、情報端末２から通信先へ中継するデータを受信した場合に、ＭＡＣアドレスごとに設定された、通信のフィルタ条件を記憶するフィルタデータベースＤ１１から、当該受信されたデータの送信元のＭＡＣアドレスに対して設定されているフィルタ条件を取得する制限条件取得部Ｆ１１と、受信されたデータによる通信が取得されたフィルタ条件に合致した場合に、当該受信されたデータを中継せずに通信を遮断する通信遮断部Ｆ１２とを備えた。【選択図】図５

Description

本発明は、通信中継装置、情報処理方法、及び、プログラムに関する。

例えばタブレット端末、ノートパソコン、ネットワーク機能を有するテレビジョン受像機等、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）を介してインターネット等の広域通信網にアクセス可能な通信機器が利用されている。インターネット等で配信されるコンテンツには、マルウェア感染やフィッシング詐欺等の脅威を引き起こす情報、子供の教育上望ましくない情報、会社業務に役立たない情報等、通信機器の管理者やＬＡＮを設置する組織にとって好ましくない情報が含まれている場合がある。そのため、通信機器のインターネット等へのアクセスに一定の制限を課すことが望まれることがある。

従来、インターネット等へのアクセスを制限する技術として、例えば、通信機器に固有に割り当てられたＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスを指標として通信パケットの通過や破棄を制御するＭＡＣアドレスフィルタリングの技術が提案されている（例えば非特許文献１を参照）。また、規制されたＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）へのアクセスを遮断するＵＲＬフィルタリングの機能を有するプロキシサーバが提案されている（例えば特許文献１を参照）。

特開２０１３−１６４７１９号公報

"ＭＡＣアドレスフィルタリング"、[online]、ヤマハ株式会社、[平成２６年７月２９日検索]、インターネット<ＵＲＬ：http://jp.yamaha.com/products/network/solution/mac/>

例えば、上述のＭＡＣアドレスフィルタリングの技術を用いれば、通信機器を単位としたアクセス制限が可能となる。しかし、この場合、通過または廃棄の何れかの設定しかできないため、通信の内容や通信先等に応じて一部のアクセスのみを遮断する等の、適度な条件でのアクセス制限ができなかった。

また例えば、上述のＵＲＬフィルタリングの機能を有するプロキシサーバをＬＡＮに設置すれば、特定のサイトへのアクセスのみ制限するようなアクセス制限が可能となる。しかし、この場合、通信機器に固有のＭＡＣアドレスごとの条件に従ったアクセス制限ができなかった。そのため、例えば、どの通信機器に対しても同一条件のアクセス制限が行われる。

このような状況に鑑み、本発明は、通信機器ごとの所望の条件に従って、通信機器の通信先へのアクセスを制御できる情報通信技術を提供することを課題とする。

本発明では、上記課題を解決するために、以下の手段を採用した。すなわち、本発明は、次の通信中継装置である。
物理アドレスを用いた通信を行う通信機器と通信先との間の通信を中継する通信中継装置であって、
前記通信機器から前記通信先へ中継するデータを受信した場合に、物理アドレスごとに設定された通信の制限条件を記憶する記憶部から、前記受信されたデータの送信元の物理アドレスに対して設定されている制限条件を取得する制限条件取得手段と、
前記受信されたデータによる通信が前記取得された制限条件に合致した場合に、前記受信されたデータを中継せずに通信を遮断する通信遮断手段と、
を備える通信中継装置。

ここで、物理アドレスは、個々の通信機器のハードウェアに一意に割り当てられ、通信において各ハードウェアを識別するための情報である。物理アドレスは、例えばＭＡＣアドレスである。物理アドレスは、携帯電話機に割り当てられる個体識別番号や製造番号、Ｂｌｕｅｔｏｏｔｈ（登録商標）におけるデバイスアドレス、ＡＴＭ（Ａｓｙｎｃｈｒｏｎｏｕｓ Ｔｒａｎｓｆｅｒ Ｍｏｄｅ）におけるＡＴＭアドレス等、その他の情報であってもよい。

上記の通信中継装置によれば、データの送信元の物理アドレスに対して設定されている制限条件に従って、通信の遮断または中継が行われる。そのため、通信機器ごとの所望の条件に従って通信機器の通信先へのアクセスを制御できる。

また、本発明に係る通信中継装置は、次の特徴を有するものであってもよい。
前記制限条件は、通信が制限される時間帯を規定する条件を含み、
前記通信遮断手段は、前記受信されたデータの受信時刻が、前記取得された制限条件により制限される時間帯に属する場合に、前記受信されたデータによる通信を遮断する。

このような通信中継装置によれば、通信機器ごと時間帯ごとの条件に従ったアクセス制御が可能になる。

また、本発明に係る通信中継装置は、次の特徴を有するものであってもよい。
前記通信中継装置及び前記通信先は、通信網に接続され、
前記通信機器は、前記通信網に接続されたローカルネットワークに接続され、
前記通信中継装置は、前記ローカルネットワーク上で伝送されるデータリンク層のフレームを、データリンク層より上位層の通信によって前記通信網を経由して前記通信中継装置へ伝送するフレーム伝送路を確立する伝送路確立手段を備え、
前記制限条件取得手段は、前記通信機器から通信先へ中継するデータを、前記確立されたフレーム伝送路を介して受信する。

ここで、本発明において、データリンク層とは、ＯＳＩ（Ｏｐｅｎ Ｓｙｓｔｅｍｓ Ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎ）基本参照モデルにおける、レイヤ２の層である。このような通信中継装置によれば、通信中継装置が、通信機器の通信先へのアクセス制御を、通信網を介して行うことが可能となる。そのため、通信中継装置を予め設けておけば、通信中継装置の新たな設置や回線の敷設等なく、より簡易迅速に、通信機器ごとの制限条件に従った通信機器のアクセス制御を行う通信環境を構築できる。

また、本発明に係る通信中継装置は、次の特徴を有するものであってもよい。
前記通信網には複数のローカルネットワークが接続され、
前記通信機器は前記複数のローカルネットワークの何れかに接続され、
前記通信中継装置は、前記伝送路確立手段によって前記複数のローカルネットワークそれぞれのフレームを伝送するフレーム伝送路それぞれを確立し、
前記制限条件取得手段は、前記通信機器から通信先へ中継するデータを、前記確立され
たフレーム伝送路の何れかを介して受信する。

このような通信中継装置によれば、通信機器が複数のローカルネットワークの何れに接続されている場合でも、同じ制限条件に従って通信が遮断される。そのため、通信を制限する機器の各ローカルネットワークへの設置等なく、簡易迅速に、同じ制限条件に従った通信機器のアクセス制御が可能な環境を、各ローカルネットワークに対して提供できる。

また、本発明に係る通信中継装置は、次の特徴を有するものであってもよい。
前記記憶部は、前記複数のローカルネットワークそれぞれを識別するネットワーク識別情報と物理アドレスとの組ごとに設定された制限条件を記憶し、
前記制限条件取得手段は、前記通信機器から通信先へ中継するデータの受信に介されたフレーム伝送路に係るローカルネットワークを識別するネットワーク識別情報と前記送信元の物理アドレスとの組に対して設定された制限条件を取得する。

このような通信中継装置によれば、通信機器が接続されるローカルネットワークごとに異なり得る制限条件に従って、通信先へのアクセス制御が行われる。そのため、通信機器の利用場所等に応じた、より好適なアクセス制御が可能となる。

また、本発明は、コンピュータその他の装置、機械等（以下、「コンピュータ等」とも表記する）によって実行される情報処理方法、または情報処理方法をコンピュータ等に実行させるためのプログラムとしても把握することが可能である。また、本発明は、そのようなプログラムをコンピュータ等が読み取り可能な記録媒体に記録したものとしても把握できる。ここで、コンピュータ等が読み取り可能な記録媒体とは、データやプログラム等の情報を電気的、磁気的、光学的、機械的、または化学的作用によって蓄積し、コンピュータ等から読み取ることができる記録媒体をいう。

本発明によれば、通信機器ごとの所望の条件に従って通信機器の通信先へのアクセスを制御できる。

図１は、実施形態１における通信のアクセス制御の概要を説明する説明図である。 図２は、実施形態１における通信システムを例示する図である。 図３は、実施形態１における各装置のハードウェア構成を例示する図である。 図４は、実施形態１におけるフィルタ装置と情報端末との間の論理的なネットワーク構成を例示する図である。 図５は、実施形態１に係るフィルタ装置の機能構成を例示する図である。 図６は、フィルタ管理テーブルを例示する図である。 図７は、中継処理の流れを例示する図である。 図８は、実施形態２におけるフィルタ管理テーブルを例示する図である。 図９は、実施形態３における通信システムを例示する図である。

以下、本発明の実施の形態を、図面に基づいて説明する。なお、以下に説明する実施の形態は、本発明を実施する一例を示すものであって、本発明を以下に説明する具体的な構成に限定するものではない。

説明は、次の順序で記載される。
１．実施形態１
１．１．概要
１．２．システム構成
１．３．ハードウェア構成
１．４．Ｌ２ＶＰＮのネットワーク構成
１．５．機能構成
１．６．処理の流れ
１．７．作用効果
２．実施形態２
３．実施形態３

≪実施形態１≫
＜概要＞
実施形態１（以下、「本実施形態」とも表記する）について説明する。本実施形態では、「通信中継装置」は、フィルタ装置として実施される。また、「通信機器」は情報端末として説明され、「通信網」はインターネットとして説明される。本実施形態の通信システムでは、ローカルネットワークに接続された情報端末に対して、情報端末ごとの所望の条件に従って、インターネットのＷｅｂサイトへのＷｅｂアクセスを制限するＷｅｂフィルタリングサービスが提供される。本実施形態のＷｅｂフィルタリングサービスは、フィルタ装置によってインターネットを経由して情報端末へ提供されるものであり、いわゆるクラウド型のサービスに属する。なお、本実施形態では、Ｗｅｂアクセスが制限されるが、例えば電子メール、ファイル交換等のＷｅｂ以外の各種通信が制限されてもよい。

図１は、本実施形態における通信のアクセス制御の概要を説明する説明図である。図１には、施設Ｆのローカルネットワークに接続された複数の情報端末２Ａ〜２Ｄ、施設Ｆ外に設置されたフィルタ装置１、及びインターネットＮが示されている。フィルタ装置１と各情報端末２Ａ〜２Ｄとは、データリンク層の仮想的な回線であるフレーム伝送路Ｔ（「トンネル」と呼ばれることがある）を介して通信可能である。フレーム伝送路Ｔの詳細については後述する。図１には、各情報端末２Ａ〜２ＤがインターネットＮへＷｅｂアクセスする際の通信データの流れが例示されている。

まず、情報端末２ＡがＷｅｂアクセスのためのリクエストメッセージを送信し、当該リクエストメッセージがフィルタ装置１へ到達する（ＤＦ１）。当該リクエストメッセージは、フィルタ装置１において、送信元の情報端末２ＡのＷｅｂアクセスに適用されるレベル１のフィルタＦＬ１に通される。

ここで、フィルタＦＬ１〜ＦＬ３は、Ｗｅｂアクセスの通信の制限をする機能であり、フィルタ装置１内の情報処理によって実現される。図１にはレベル１、２の制限のレベルの異なるフィルタＦＬ１、ＦＬ２が示されており、フィルタＦＬ１とフィルタＦＬ２とは、通信を制限する条件が互いに異なっている。また、フィルタＦＬ３は、時刻に関する条件を有し、特定の時間帯に通信が制限されるフィルタである。図１では、情報端末２Ａに対してフィルタＦＬ１、情報端末２Ｂ及び２Ｃに対してフィルタＦＬ２、情報端末２Ｄに対してフィルタＦＬ３が、そのＷｅｂアクセスに適用されるように設定されている。本実施形態では、このように情報端末ごとに異なるフィルタが適用可能である。

制限されずにフィルタＦＬ１を通過したリクエストメッセージは、インターネットＮへ中継され、Ｗｅｂサイトへ到達することになる（ＤＦ２）。また、情報端末２Ｄから送信されたリクエストメッセージは、フィルタ装置１へ到達し、フィルタＦＬ３に通される（ＤＦ３）。ここで、現在時刻がフィルタＦＬ３における通信が制限される時間帯にあたるとする。当該リクエストメッセージは、インターネットＮへ中継されず、Ｗｅｂアクセス
の通信が遮断される（ＤＦ４）。

以下では、このようなＷｅｂフィルタリングサービスが提供される通信システムの詳細について説明する。

＜システム構成＞
図２は、本実施形態における通信システムを例示する図である。図２には、フィルタ装置１、Ｗｅｂサイト３、Ｌ２中継装置４、インターネットＮ、及び複数の施設Ｆが示されている。施設Ｆそれぞれには、ローカルネットワークＬが設置されている。ローカルネットワークＬには、情報端末２、ＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）サービスアダプタ５、及びルータ６が接続されている。

フィルタ装置１は、情報端末２とその通信先たるＷｅｂサイト３との間のＷｅｂアクセスのための通信を中継するとともに、Ｗｅｂアクセスの可否を判定し、必要に応じて通信を遮断してＷｅｂアクセスを制限するコンピュータである。フィルタ装置１は、データセンタ等に設置される。

情報端末２は、有線または無線のＬＡＮの通信機能を有する情報機器であり、Ｗｅｂブラウザを備えてＷｅｂアクセスが可能なものである。情報端末２には、ＬＡＮの通信機能で用いる固有のＭＡＣアドレス（「物理アドレス」の一例）が製造時に割り当てられている。情報端末２は、例えば、タブレット端末、パーソナルコンピュータ、スマートフォン、Ｗｅｂブラウザを搭載したテレビジョン受像機等の家電機器、ゲーム機、スマートグラス等である。ローカルネットワークＬに接続された情報端末２において、ＬＡＮの通信のデフォルトゲートウェイには、フィルタ装置１に割り当てられたＩＰ（Ｉｎｔｅｒｎｅｔ
Ｐｒｏｔｏｃｏｌ）アドレスが設定される。この設定は、例えば、ＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）サーバにより情報端末２にＩＰアドレスが割り当てられる際に、フィルタ装置１に割り当てられたＩＰアドレスがデフォルトゲートウェイのＩＰアドレスとして提供されることで実現できる。

Ｗｅｂサイト３は、ＨＴＭＬ（ＨｙｐｅｒＴｅｘｔ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）の文書や画像等で表されたコンテンツデータを蓄積し、情報端末２等のＷｅｂクライアントのリクエストに応じて、インターネットＮを介して蓄積しているコンテンツデータを送信して提供するコンピュータである。図２では、Ｗｅｂサイト３が１台のみ示されているが、インターネットＮには、様々なコンテンツデータを提供する多数のＷｅｂサイト３が接続されている。

Ｌ２中継装置４は、フィルタ装置１とＶＰＮサービスアダプタ５との間でＭＡＣフレームを中継する機能を有し、データリンク層のＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）の接続サービスを提供するコンピュータである。このＶＰＮはＬ２ＶＰＮ（レイヤ２ ＶＰＮ）とも呼ばれる。Ｌ２中継装置４は、データセンタ等に設置される。Ｌ２中継装置４における中継の詳細については後述する。

ＶＰＮサービスアダプタ５は、ローカルネットワークＬに接続された通信装置である。ＶＰＮサービスアダプタ５は、Ｌ２中継装置４との間でＭＡＣフレームを伝送するフレーム伝送路、すなわちデータリンク層のトンネルを確立する機能を有する。フレーム伝送路の詳細については後述する。また、ＶＰＮサービスアダプタ５は、ローカルネットワークＬと確立されたフレーム伝送路との間で、ＭＡＣフレームを中継する機能を有する。ＶＰＮサービスアダプタ５のこのような通信機能によって、フィルタ装置１が、Ｌ２中継装置４を介したローカルネットワークＬへのＶＰＮ接続を行うことが可能となる。また、ＶＰＮサービスアダプタ５には、固有のサービスアダプタＩＤが割り当てられている。なお、
ＶＰＮサービスアダプタ５の代わりに、ローカルネットワークＬに接続された汎用コンピュータ等がこのような通信機能を提供してもよい。

ルータ６は、ローカルネットワークＬに接続され、ローカルネットワークＬとインターネットＮとを接続するためのゲートウェイの機能を持つルータである。ルータ６は、例えば、ブロードバンドルータである。本実施形態のルータ６は、更に、無線ＬＡＮのアクセスポイントとしての機能を持つ。ルータ６は、無線ＬＡＮの通信機能を有する近傍の情報端末２と無線通信し、情報端末２とローカルネットワークＬとの間でフレームを中継する無線中継機として働く。無線ＬＡＮの通信機能を有する情報端末２は、ルータ６を介してローカルネットワークＬに接続することができる。

インターネットＮは、世界規模の公衆パケット通信網であり、フィルタ装置１とＷｅｂサイト３とＬ２中継装置４と各ローカルネットワークＬとを接続する。なお、インターネットＮの代わりに、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）やその他の通信網が採用されてもよい。

施設Ｆは、インターネットＮへのアクセスのためのネットワーク環境を情報端末２へ提供する施設であり、情報端末２が接続可能なローカルネットワークＬが設置される。施設Ｆは、例えば、ホームネットワークを有する一軒家やマンション等の住居、公衆無線ＬＡＮのサービスを提供する店舗、宿泊施設、イベント会場等、屋内外の各種施設である。

ローカルネットワークＬは、施設Ｆに設置されるＥｔｈｅｒｎｅｔ（登録商標）のネットワークである。なお、ローカルネットワークＬは、無線の通信ネットワークであってもよい。

＜ハードウェア構成＞
図３は、本実施形態における各装置のハードウェア構成を例示する図である。図３には、フィルタ装置１、情報端末２、及びＬ２中継装置４のハードウェア構成が示されている。

フィルタ装置１は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１１、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１２、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１３、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）等の補助記憶装置１４、Ｌ２中継装置４に接続されるＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃｏｎｔｒｏｌｌｅｒ）１５Ａ、及び、ゲートウェイ等を介してインターネットＮに接続されるＮＩＣ１５Ｂを備えたコンピュータである。ＣＰＵ１１は、中央処理装置であり、ＲＡＭ１２等に展開された命令及びデータを処理することで、ＲＡＭ１２、補助記憶装置１４等を制御する。ＲＡＭ１２は、主記憶装置であり、ＣＰＵ１１によって制御され、各種命令やデータが書き込まれ、読み出される。補助記憶装置１４は、不揮発性の記憶装置であり、各種プログラム、永続的な保存が求められるデータ等が記憶される。補助記憶装置１４は、「記憶部」の一例である。図３では、フィルタ装置１が１台のコンピュータで例示されているが、フィルタ装置１は、例えば、ネットワークで接続された複数台のコンピュータであってもよい。

情報端末２は、ＣＰＵ２１、ＲＡＭ２２、ＲＯＭ２３、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の補助記憶装置２４、及び無線または有線でローカルネットワークＬに接続されるＮＩＣ２５、タッチパネル等である操作部２６、及びディスプレイ等である表示部２７を備えるコンピュータである。ＮＩＣ２５には、固有のＭＡＣアドレスが割り当てられており、当該ＭＡＣアドレスが付加されたＭＡＣフレームがＮＩＣ２５から送出される。

Ｌ２中継装置４は、ＣＰＵ４１、ＲＡＭ４２、ＲＯＭ４３、補助記憶装置４４、ＮＩＣ４５Ａ、ＮＩＣ４５Ｂ等を備えたコンピュータである。ＮＩＣ４５Ａは、フィルタ装置１と接続され、ＮＩＣ４５Ｂはゲートウェイ等を介してインターネットＮと接続される。

＜Ｌ２ＶＰＮのネットワーク構成＞
図４は、本実施形態におけるフィルタ装置１と情報端末２との間の論理的なネットワーク構成を例示する図である。図４には、施設Ｆ１に設置されたローカルネットワークＬ１、及び、施設Ｆ２に設置されたローカルネットワークＬ２に関するネットワーク構成が示されている。ローカルネットワークＬ１、Ｌ２それぞれは、独立したネットワークであり、ローカルネットワークＬ１、Ｌ２それぞれに設置されたＶＰＮサービスアダプタ５Ａ、５ＢのサービスアダプタＩＤにより識別される。ローカルネットワークＬ１、Ｌ２それぞれには、フィルタ装置１及び情報端末２が接続されている。なお、図４では、結線によって接続が示されているが、これらの接続は論理的なものを示しており、物理的な通信線等による接続を示しているとは限らない。

フィルタ装置１は、フレーム伝送路Ｔ１及びＴ２を介してローカルネットワークＬ１及びＬ２と論理的に接続される。フレーム伝送路Ｔ１及びＴ２は、図１で説明したフレーム伝送路Ｔにあたる。このようなフィルタ装置１とローカルネットワークＬ１及びＬ２との接続について説明する。

フィルタ装置１には、仮想ネットワークアダプタが構築されている。図３において、仮想ネットワークアダプタは、仮想ネットワークアダプタＶ１及びＶ２として示されている。仮想ネットワークアダプタは、フィルタ装置１のＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）上でＥｔｈｅｒｎｅｔ（登録商標）のＮＩＣをシミュレートするネットワークドライバである。仮想ネットワークアダプタは、物理インタフェースとしてのＮＩＣ１５Ａを介してＬ２中継装置４と通信し、所定プロトコルのトンネリングによってＭＡＣフレームを伝送するフレーム伝送路を、Ｌ２中継装置４との間で確立する。図４において、Ｌ２中継装置４との間で確立されるフレーム伝送路は、フレーム伝送路Ｔ１Ａ及びＴ２Ａとして示されている。これらのフレーム伝送路は、データリンク層より上位層のネットワーク層のプロトコルであるＩＰにより、ＭＡＣフレームをカプセル化するトンネルである。フレーム伝送路Ｔ１Ａ、Ｔ２Ａは、例えば、ＧＲＥ（Ｇｅｎｅｒｉｃ Ｒｏｕｔｉｎｇ Ｅｎｃａｐｓｕｌａｔｉｏｎ）［ＲＦＣ１７０１］により実現される。

フィルタ装置１の仮想ネットワークアダプタＶ１及びＶ２は、フィルタ装置１に搭載されたプログラムによって生成され、ＯＳにインストールされる。フィルタ装置１が新たな施設Ｆの情報端末２に対してＷｅｂフィルタリングサービスを提供する場合には、当該施設ＦのローカルネットワークＬに接続するための新たな仮想ネットワークアダプタが生成される。そのため、物理的なＮＩＣを新たに準備することを要さずに、フィルタ装置１が、新たな施設ＦのローカルネットワークＬと通信可能になる。

Ｌ２中継装置４にも、同様にＮＩＣをシミュレートする仮想ネットワークアダプタが構築されている。仮想ネットワークアダプタＶ４１Ａ、Ｖ４２Ａそれぞれは、物理インタフェースとしてのＮＩＣ４５Ａを介してフィルタ装置１と通信し、上述のフレーム伝送路Ｔ１Ａ及びＴ２Ａをフィルタ装置１の仮想ネットワークアダプタＶ１、Ｖ２それぞれとの間で確立する。

また、仮想ネットワークアダプタＶ４１Ｂ、Ｖ４２Ｂそれぞれは、ＮＩＣ４５Ｂを介して、インターネットＮを経由して各施設Ｆ１、Ｆ２のＶＰＮサービスアダプタ５Ａ、５Ｂそれぞれと通信してフレーム伝送路Ｔ１Ｂ、Ｔ２Ｂそれぞれを確立する。フレーム伝送路
Ｔ１Ｂ及びＴ２Ｂは、フレーム伝送路Ｔ１Ａ、Ｔ２Ａと同様に、ＩＰによってＭＡＣフレームをカプセル化するトンネルであり、通信データが暗号化される伝送路である。フレーム伝送路Ｔ１Ｂ、Ｔ２Ｂは、例えば、Ｌ２ＴＰ（Ｌａｙｅｒ ２ Ｔｕｎｎｅｌｉｎｇ Ｐｒｏｔｏｃｏｌ）／ＩＰｓｅｃ［ＲＦＣ３１９３］によるトンネリングや、ＩＰｓｅｃ及びＥｔｈｅｒＩＰ［ＲＦＣ３３７８］によるトンネリングによって実現される。

Ｌ２中継装置４は、フィルタ装置１との間で確立されたフレーム伝送路Ｔ１Ａ及びＴ２Ａと、ＶＰＮサービスアダプタ５Ａ、５Ｂとの間で確立されたフレーム伝送路Ｔ１Ｂ及びＴ２Ｂとを繋げるように、ＭＡＣフレームを中継する仮想的なブリッジを構築している。図４では、Ｌ２中継装置４は、フレーム伝送路Ｔ１ＡとＴ１Ｂとの間、及び、フレーム伝送路Ｔ２ＡとＴ２Ｂとの間で、ＭＡＣフレームを中継する。Ｌ２中継装置４は、設定に従ってこのような中継を行う。このようなＭＡＣフレームの中継は、例えば、仮想ネットワークアダプタＶ４１Ａ、Ｖ４２Ａ、Ｖ４１Ｂ、Ｖ４２ＢをポートとしたＯｐｅｎＦｌｏｗ技術による経路制御により実現される。

ＶＰＮサービスアダプタ５Ａ、５Ｂそれぞれは、Ｌ２中継装置４との間でフレーム伝送路Ｔ１Ｂ、Ｔ２Ｂそれぞれを確立し、フレーム伝送路Ｔ１Ｂ、Ｔ２ＢそれぞれとローカルネットワークＬ１、Ｌ２それぞれとの間でＭＡＣフレームを中継する。

このような仕組みによって、フィルタ装置１とローカルネットワークＬ（Ｌ１、Ｌ２）との間で、Ｌ２中継装置４、インターネットＮ、及びＶＰＮサービスアダプタ５（５Ａ、５Ｂ）を経由してＭＡＣフレームを伝送するフレーム伝送路Ｔ（Ｔ１、Ｔ２）が、論理的に構築されることになる。そして、フレーム伝送路Ｔ（Ｔ１、Ｔ２）によって、フィルタ装置１がローカルネットワークＬ（Ｌ１、Ｌ２）に直接に接続された通信ノードのように振る舞うことが可能なＬ２ＶＰＮが構築されることになる。なお、構築されるＬ２ＶＰＮそれぞれは、互いに独立しており、データが混在されずに通信できる。

このような本実施形態のネットワーク構成では、フィルタ装置１とローカルネットワークＬとの間で、インターネットＮを経由した、物理的に敷設等された回線に依存しない、論理的なフレーム伝送路が確立される。そのため、様々な場所の施設Ｆに設置されたローカルネットワークＬとフィルタ装置１とを接続するＬ２ＶＰＮの環境を、簡易、迅速に構築できる。そして、このように構築されたＬ２ＶＰＮの環境を利用することで、各施設ＦのローカルネットワークＬに接続された情報端末２のＷｅｂアクセスを制御するＷｅｂフィルタリングサービスが、簡易、迅速に提供可能となる。

なお、本実施形態では、Ｌ２中継装置４を介してＬ２ＶＰＮが構築されるが、Ｌ２中継装置４を介さずに、Ｌ２ＶＰＮが構築されてもよい。

＜機能構成＞
本実施形態における通信システムの主な機能として、フィルタ装置１の機能を説明する。

図５は、本実施形態に係るフィルタ装置１の機能構成を例示する図である。フィルタ装置１、補助記憶装置１４に記憶されているプログラムが、ＲＡＭ１２に読み出され、ＣＰＵ１１によって実行されることで、フィルタデータベースＤ１１、制限条件取得部Ｆ１１、通信遮断部Ｆ１２、通信中継部Ｆ１３、及び伝送路確立部Ｆ１４を備えるコンピュータとして機能する。フィルタデータベースＤ１１は、実行されるＤＢＭＳ（データベース管理システム）のプログラムが、補助記憶装置１４に記憶されるデータを管理することで構築される。制限条件取得部Ｆ１１、通信遮断部Ｆ１２、伝送路確立部Ｆ１４は、それぞれ、「制限条件取得手段」、「通信遮断手段」、「伝送路確立手段」の一例である。

なお、本実施形態において、フィルタ装置１の備える各機能は、汎用プロセッサであるＣＰＵ１１によって実行されるが、これらの機能の一部または全部は、１または複数の専用プロセッサ、ハードウェアの演算回路等によって実行されてもよい。ここで、ハードウェアの演算回路とは、例えば、論理ゲートを組み合わせた加算回路、乗算回路、フリップフロップ等をいう。また、これらの機能の一部または全部は、別途のコンピュータにおいて実行されてもよい。

フィルタデータベースＤ１１は、情報端末２のＷｅｂアクセスを制限する条件を示すフィルタ条件（「制限条件」の一例）を格納するデータベースである。フィルタデータベースＤ１１は、例えば、リレーショナルデータベースとして構築される。フィルタデータベースＤ１１は、フィルタ管理テーブルを有し、ＭＡＣアドレスごとに設定されるフィルタ条件をフィルタ管理テーブルに格納する。なお、フィルタデータベースＤ１１は、フィルタ装置１とネットワークで接続されるデータベースサーバに構築されてもよい。

図６は、フィルタ管理テーブルを例示する図である。フィルタ管理テーブルに格納されるレコード１件は、１つのＭＡＣアドレスに対するフィルタ条件の設定情報１件を表す。図６の例が示すように、フィルタ管理テーブルのレコードは、ＭＡＣアドレス、フィルタレベル、及び制限時間帯のフィールドを有する。

ＭＡＣアドレスのフィールドは、レコードのフィルタ条件が設定されたＭＡＣアドレスを表し、情報端末２に割り当てられたＭＡＣアドレスの値をとる。フィルタレベルのフィールドは、アクセスの制限の程度を表し、例えばレベル１、レベル２、レベル３等の値をとる。レベル１〜３それぞれは、例えば、マルウェア感染等の脅威を引き起こすアクセスのみを制限する程度、当該脅威を引き起こすアクセスに加えて教育上不適切なコンテンツへのアクセスも制限する程度、管理者等に承認されたコンテンツへのアクセスのみ許可される程度を示すフィルタ条件を有する。それぞれのフィルタレベルが有するフィルタ条件は、例えば、制限されるアクセス先のＵＲＬの集合を表すブラックリストや、許可されるアクセス先のＵＲＬの集合を表すホワイトリストによって表される。制限時間帯のフィールドは、アクセスが制限される時間帯を表す。制限時間帯のフィールドは、アクセスが制限されるべき時間帯がない場合には、「未設定」の値をとる。

なお、本実施形態では、１台の情報端末２に１つのＭＡＣアドレスが割り当てられていることを前提に説明するが、１台の情報端末２が、複数のＮＩＣを有し、複数のＭＡＣアドレスを有する場合も考えられる。この場合、ＭＡＣアドレスごとに異なるフィルタ条件が設定され、情報端末２の個々のＮＩＣによる通信それぞれに対して異なったフィルタ条件が適用されてよい。

制限条件取得部Ｆ１１は、情報端末２からＷｅｂサイト３へ中継するデータを受信した場合に、当該データによる通信に適用されるフィルタ条件をフィルタデータベースＤ１１から取得する。上述のように、フィルタ装置１は、フレーム伝送路Ｔ（図４のＴ１、Ｔ２）によって、論理的にローカルネットワークＬに接続される。制限条件取得部Ｆ１１は、Ｗｅｂサイト３へ中継するデータを、フレーム伝送路Ｔを介して受信する。制限条件取得部Ｆ１１は、フレーム伝送路から受信されたＭＡＣフレームの送信元ＭＡＣアドレスに対して設定されているフィルタ条件を、フィルタデータベースＤ１１から取得する。

通信遮断部Ｆ１２は、情報端末２からＷｅｂサイト３へ中継するデータによる通信が、制限条件取得部Ｆ１１によって取得されたフィルタ条件に合致した場合に、当該データによる通信を遮断する。通信遮断部Ｆ１２は、図１のフィルタＦ１〜Ｆ３を実現する。

通信中継部Ｆ１３は、情報端末２とその通信先であるＷｅｂサイト３との間の通信を中継する。ただし、通信遮断部Ｆ１２によって通信が遮断される場合には、当該通信の中継を行わない。

伝送路確立部Ｆ１４は、ローカルネットワークＬ上で伝送されるＭＡＣフレームを、ＩＰの通信によってインターネットＮを経由してフィルタ装置１へ伝送するフレーム伝送路Ｔを確立する。上述のように、フレーム伝送路Ｔのフィルタ装置１側の終端は、仮想ネットワークアダプタである。伝送路確立部Ｆ１４は、終端となる仮想ネットワークアダプタが未生成である場合は、新たに仮想ネットワークアダプタを生成した上でフレーム伝送路Ｔを確立する。

＜処理の流れ＞
本実施形態の通信システムの主な処理の流れの詳細を説明する。なお、説明される処理の内容及び順序は一例であり、処理の内容及び順序には、実施の形態に適したものが適宜採用されることが好ましい。

（Ｌ２ＶＰＮの構築）
まず、Ｗｅｂフィルタリングサービスが提供される前提として、ローカルネットワークＬとフィルタ装置１との間で、フレーム伝送路Ｔが確立されて、Ｌ２ＶＰＮが構築される。具体的には、フィルタ装置１の管理者等が特定のローカルネットワークＬにＷｅｂフィルタリングサービスの提供を開始するための設定をすると、フィルタ装置１の伝送路確立部Ｆ１４が、対象のローカルネットワークＬとの間でフレーム伝送路Ｔを確立する。なお、伝送路確立部Ｆ１４のこの処理は、「伝送路確立ステップ」の一例である。

（フィルタ条件の設定）
また、Ｗｅｂフィルタリングサービスが提供される前提として、各情報端末２のＭＡＣアドレスに対しての所望のフィルタ条件が設定される。フィルタ装置１は、フィルタ条件の設定用ＷｅｂページをローカルネットワークＬに接続された情報端末２に提供する。当該Ｗｅｂページでは、設定対象のＭＡＣアドレスやフィルタレベルの指定が可能である。フィルタ装置１は、当該Ｗｅｂページを介して設定要求を受け付け、当該設定要求に従って、対象のＭＡＣアドレスに対するフィルタ条件の設定情報を示すレコードをフィルタデータベースＤ１１のフィルタ管理テーブルに格納する。なお、パスワード等で認証された者が、フィルタ条件の設定用Ｗｅｂページへアクセスでき、その者が設定権限を有するＭＡＣアドレスに対してのみ、フィルタ条件を設定できる。

なお、フィルタ装置１は、ローカルネットワークＬに接続された情報端末２のＭＡＣアドレスを収集する機能を有し、フィルタ条件の設定用Ｗｅｂページでは、当該機能で収集されたＭＡＣアドレスが選択操作により指定可能であってもよい。この場合、ＭＡＣアドレスのタイピング入力が不要となるため、ＭＡＣアドレスの指定操作が簡易になるととともに、指定誤りを抑制できる。このＭＡＣアドレスを収集する機能は、例えば、仮想ネットワークアダプタからローカルネットワークＬへ、ＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）要求パケットを送信することで実現される。ここで送信されるＡＲＰ要求パケットは、当該ローカルネットワークＬに接続される通信機器に割り当てられる可能性のあるＩＰアドレスそれぞれをターゲットとしたものである。

（通信の中継）
図７は、中継処理の流れを例示する図である。図７は、ＵＭＬ（Ｕｎｉｆｉｅｄ Ｍｏｄｅｌｉｎｇ Ｌａｎｇｕａｇｅ）のアクティビティ図として記載されている。図７は、Ｗｅｂサイト３へのＷｅｂアクセスが行われる場合における通信の中継処理を例示している。この処理の流れは、例えば、情報端末２で動作するＷｅｂブラウザが、インターネッ
トＮ上のＷｅｂサイト３が提供するＷｅｂページを閲覧するための操作を、操作部２６を介して受け付けたことを契機に開始する。

ステップＳ１０１では、情報端末２が、インターネット閲覧要求を行う。具体的には、情報端末２は、Ｗｅｂサイト３を宛先としたＨＴＴＰ（Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）のリクエストメッセージを、ローカルネットワークＬを介して送信する。情報端末２のＮＩＣ２５からローカルネットワークＬへ送出されて当該リクエストメッセージを運ぶＭＡＣフレームの送信元ＭＡＣアドレスには、情報端末２に割り当てられたＭＡＣアドレス、すなわち、ＮＩＣ２５に割り当てられたＭＡＣアドレスが設定される。また、当該ＭＡＣフレームの宛先ＭＡＣアドレスには、情報端末２のデフォルトゲートウェイとして設定されているフィルタ装置１のＭＡＣアドレス、すなわちフィルタ装置１の仮想ネットワークアダプタ（図４のＶ１、Ｖ２等）のＭＡＣアドレスが設定される。宛先ＭＡＣアドレスがこのように設定されることで、リクエストメッセージは、フィルタ装置１へ誘導されることになる。なお、リクエストメッセージのフィルタ装置１への誘導は、このようなデフォルトゲートウェイを用いた方法に限らず、その他の通信経路の調整によって行われてもよい。

情報端末２から送信されたリクエストメッセージを運ぶＭＡＣフレームは、ＶＰＮサービスアダプタ５とＬ２中継装置４との間で確立されたフレーム伝送路（図４のＴ１Ｂ、Ｔ２Ｂ）を通り、Ｌ２中継装置４に到達する。

ステップＳ１０２では、Ｌ２中継装置４が、情報端末２から到達したＭＡＣフレームにより行われる通信のプロトコルを判定する。本実施形態のＬ２中継装置４は、例えば、当該ＭＡＣフレームのデータに含まれるトランスポート層の宛先ポート番号に基づいてプロトコルを判定する。例えば、宛先ポート番号が８０であるときにＨＴＴＰと判定され、宛先ポート番号が４４３であるときにＨＴＴＰＳ（ＨＴＴＰ Ｓｅｃｕｒｅ）と判定される。なお、トランスポート層より上位層のヘッダやデータに基づいて、プロトコルが判定されてもよい。また、本実施形態では、Ｌ２中継装置４が通信のプロトコルを判定するが、フィルタ装置１がこのようなプロトコルの判定の処理を行ってもよい。

ステップＳ１０２で通信のプロトコルがＷｅｂで用いられるＨＴＴＰまたはＨＴＴＰＳであると判定された場合、処理はステップＳ１０３へ進む。このとき、Ｌ２中継装置４は、情報端末２からＬ２中継装置４に到達したＭＡＣフレームを、フィルタ装置１との間のフレーム伝送路（図４のＴ１Ａ、Ｔ２Ａ）を介してフィルタ装置１へ転送する。一方、フィルタ装置１の仮想ネットワークアダプタは、当該転送されたＭＡＣフレームを、宛先ＭＡＣアドレスが自身のＭＡＣアドレスであることを確認した上で受信する。

また、ステップＳ１０２で通信のプロトコルがＨＴＴＰまたはＨＴＴＰＳであると判定されなかった場合、処理はステップＳ１２０へ進む。このときには、Ｌ２中継装置４は、情報端末２からＬ２中継装置４に到達したＭＡＣフレームをフィルタ装置１へ転送しない。ステップＳ１２０では、Ｌ２中継装置４が、当該ＭＡＣフレームがグローバルＩＰアドレスを宛先としたパケットを運ぶものであることを確認した上で、当該パケットをインターネットＮへ転送して通信を中継する。

ステップＳ１０３では、中継するリクエストメッセージよるＷｅｂアクセスに適用されるフィルタ条件が取得される。まず、フィルタ装置１の制限条件取得部Ｆ１１は、Ｌ２中継装置４から転送されたＭＡＣフレームを受信すると、当該ＭＡＣフレームのヘッダから送信元ＭＡＣアドレスを抽出する。次に、制限条件取得部Ｆ１１は、抽出された送信元ＭＡＣアドレスをキーにフィルタデータベースＤ１１のフィルタ管理テーブルを検索して、当該送信元ＭＡＣアドレスに対して設定されたフィルタ条件を取得する。なお、ステップ
Ｓ１０３は、「制限条件取得ステップ」の一例である。

ステップＳ１０３で取得されたフィルタ条件がレベル１のフィルタレベルを示す場合、処理はステップＳ１０４へ進む。ステップＳ１０４では、フィルタ装置１の通信遮断部Ｆ１２が、受信されたＭＡＣフレームにより運ばれるリクエストメッセージによるＷｅｂアクセスがレベル１のフィルタ条件に合致するか否かを判定する。この判定では、例えば、当該リクエストメッセージのＵＲＬが、レベル１によって制限されるＵＲＬの集合を表すブラックリストと照合される。また、取得されたフィルタ条件に、制限時間帯が設定されている場合には、現在時刻が制限時間帯に属するか否かもフィルタ条件の一部として判定される。同様に、ステップＳ１０３で取得されたフィルタ条件がレベル２のフィルタレベルを示す場合、処理はステップＳ１０５へ進み、ステップＳ１０５では、Ｗｅｂアクセスがレベル２のフィルタ条件に合致するか否かが判定される。同様に、ステップＳ１０３で取得されたフィルタ条件がレベル３のフィルタレベルを示す場合、処理はステップＳ１０６へ進み、ステップＳ１０６では、Ｗｅｂアクセスがレベル３のフィルタ条件に合致するか否かが判定される。なお、図７には、フィルタレベルが３種類である場合の処理が示されているが、フィルタレベルは３種類に限られるものではない。

ステップＳ１０４〜Ｓ１０６でＷｅｂアクセスがフィルタ条件に合致すると判定された場合、処理はステップＳ１０７へ進む。ステップＳ１０７では、フィルタ装置１の通信遮断部Ｆ１２が、Ｌ２中継装置４から転送されたＭＡＣフレームを破棄し、当該ＭＡＣフレームにより運ばれるリクエストメッセージによるＷｅｂの通信を遮断する。中継処理の流れはここで終了する。ステップＳ１０７は、「通信遮断ステップ」の一例である。なお、通信遮断部Ｆ１２は、Ｗｅｂの通信の遮断を行った旨を表すテキストデータ及びエラーのステータスを含むレスポンスメッセージを生成して、当該ＭＡＣフレームの送信元の情報端末２へ送信してもよい。

一方、ステップＳ１０４〜Ｓ１０６でＷｅｂアクセスがフィルタ条件に合致すると判定されなった場合、処理はステップＳ１０８へ進む。ステップＳ１０８では、フィルタ装置１の通信中継部Ｆ１３が、Ｌ２中継装置４から転送されたＭＡＣフレームにより運ばれたリクエストメッセージを、その宛先のＷｅｂサイト３へ中継する。フィルタ装置１は、プロキシサーバとして機能することになる。中継の処理としては、通信中継部Ｆ１３は、例えば、宛先のＷｅｂサイト３との間でＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）のコネクションを確立し、当該コネクションを介してリクエストメッセージを転送する。当該転送には、ＮＩＣ１５Ｂが用いられる。また例えば、通信のプロトコルがＨＴＴＰＳである場合には、通信中継部Ｆ１３は、フィルタ装置１とＷｅｂサイト３との間でＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ）のセッションを確立して、当該セッションを用いてリクエストメッセージを転送する。

ステップＳ１０９では、Ｗｅｂサイト３が、中継されたリクエストメッセージを受信して処理する。具体的には、Ｗｅｂサイト３は、リクエストメッセージに対応するレスポンスメッセージを生成し、インターネットＮを介してフィルタ装置１へ送信する。レスポンスメッセージには、リクエストメッセージにより要求されたコンテンツデータが含まれる。

ステップＳ１１０では、フィルタ装置１の通信中継部Ｆ１３が、Ｗｅｂサイト３からのレスポンスメッセージを、ＮＩＣ１５Ｂを介して受信し、受信したレスポンスメッセージを情報端末２へ中継する。中継先の情報端末２は、通信中継部Ｆ１３がステップＳ１０８で中継したリクエストメッセージの送信元の情報端末２である。通信中継部Ｆ１３は、仮想ネットワークアダプタから、中継先となる情報端末２が接続されたローカルネットワークＬと繋がるフレーム伝送路Ｔを用いて、当該レスポンスメッセージを転送する。

ステップＳ１１１では、情報端末２が、レスポンスメッセージを受信する。そして、情報端末２で動作するＷｅｂブラウザは、当該レスポンスメッセージの含むコンテンツデータが表すＷｅｂページを表示部２７に表示する。中継処理の流れはここで終了する。

＜作用効果＞
以上説明した本実施形態では、リクエストメッセージの送信元のＭＡＣアドレスに対して設定されているフィルタ条件に従って、Ｗｅｂの通信の中継あるいは遮断が行われ、情報端末２のＷｅｂアクセスが制御された。そのため、本実施形態によれば、情報端末２ごとの所望のフィルタ条件に従って各情報端末２のＷｅｂサイト３へのアクセスを制御できる。また、本実施形態では、施設ＦのローカルネットワークＬに接続された情報端末２のＷｅｂアクセスを制御するＷｅｂフィルタリングサービスが、インターネットＮを介してクラウド型で提供された。そのため、各施設ＦにＷｅｂアクセスを制限する装置を設置等せずに、より簡易迅速に、情報端末２のＷｅｂアクセスを制御可能な通信環境を構築できる。更に、情報端末２が何れの施設ＦのローカルネットワークＬに接続されている場合でも、同じフィルタ条件に従ってアクセスを制御できる。例えば、情報端末２の利用場所によらない統一されたポリシーで、Ｗｅｂアクセスを規制することが可能となる。

≪実施形態２≫
上述の実施形態１では、ＭＡＣアドレスに対してフィルタ条件が設定され、情報端末２ごとのフィルタ条件によるＷｅｂフィルタリングサービスが提供された。別の実施形態として、ＭＡＣアドレスとサービスアダプタＩＤとの組に対してフィルタ条件が設定される実施形態２について、実施形態１と異なる箇所を中心に説明する。サービスアダプタＩＤは、上述のように、各ローカルネットワークＬに１台設置されるＶＰＮサービスアダプタ５に割り当てられたものであり、ＶＰＮサービスアダプタ５が設置されたローカルネットワークＬを識別する識別情報と言える。サービスアダプタＩＤは、「ネットワーク識別情報」の一例である。そして、実施形態２では、情報端末２ごと、かつ、当該情報端末２が接続されるローカルネットワークＬごとのフィルタ条件によるＷｅｂフィルタリングサービスが提供される。なお、実施形態２の各装置のハードウェア構成は、実施形態１のものと同様である。

＜フィルタ管理テーブル＞
図８は、実施形態２におけるフィルタ管理テーブルを例示する図である。フィルタデータベースＤ１１のフィルタ管理テーブルに格納されるレコード１件は、実施形態１と異なり、ＭＡＣアドレスとサービスアダプタＩＤとの組に対するフィルタ条件の設定情報１件を表す。図８の例が示すように、フィルタ管理テーブルのレコードは、図６が示す実施形態１のものと比べて、サービスアダプタＩＤのフィールドを更に有する。サービスアダプタＩＤのフィールドは、ローカルネットワークＬに設置されるＶＰＮサービスアダプタ５を識別するサービスアダプタＩＤの値をとる。ＭＡＣアドレスのフィールドとサービスアダプタＩＤのフィールドとの組は、フィルタ管理テーブルに格納されるレコードを一意に識別する主キーとなる。

＜中継処理の流れ＞
実施形態１における図７の中継処理の流れにおけるステップＳ１０３では、Ｗｅｂアクセスに適用されるフィルタ条件として、送信元ＭＡＣアドレスに対して設定されたフィルタ条件が、フィルタデータベースＤ１１のフィルタ管理テーブルから取得された。実施形態２のステップＳ１０３では、まず、制限条件取得部Ｆ１１が、Ｌ２中継装置４から転送されたＭＡＣフレームの送信元のローカルネットワークＬを識別するサービスアダプタＩＤを割り出す。この際、制限条件取得部Ｆ１１は、当該ＭＡＣフレームを受信した仮想ネットワークアダプタが、何れのローカルネットワークＬと接続されたフレーム伝送路Ｔを
終端するものであるかに基づいて、当該サービスアダプタＩＤを割り出す。次に、制限条件取得部Ｆ１１は、割り出したサービスアダプタＩＤとＭＡＣフレームの送信元ＭＡＣアドレスとの組に対して設定されたフィルタ条件をフィルタデータベースＤ１１のフィルタ管理テーブルから取得する。なお、実施形態２の中継処理の流れにおけるその他のステップは、実施形態１と同様である。

＜作用効果＞
このような実施形態２によれば、情報端末２が接続されるローカルネットワークＬごとに異なり得るフィルタ条件に従って、通信先へのアクセス制御が行われる。そのため、情報端末２の利用場所等に応じた、より好適なＷｅｂアクセスの制御が可能となる。例えば、情報端末２が、情報端末２の所持者の自宅のホームネットワークに接続された場合と、業務用のネットワークに接続された場合とで、異なったフィルタレベルのＷｅｂのアクセス制限を行うことができる。

≪実施形態３≫
上述の実施形態１の通信システムでは、フィルタ装置１が、ローカルネットワークＬの設置された施設Ｆの外部に設けられ、Ｗｅｂフィルタリングサービスが、インターネットＮを経由したクラウド型で情報端末２に提供された。別の実施形態として、Ｗｅｂフィルタリング機能を有するフィルタ装置（「通信中継装置」の一例）が、施設Ｆに設置され、ローカルネットワークＬに接続される実施形態３について、実施形態１と異なる点を中心に説明する。

図９は、実施形態３における通信システムの構成を例示する図である。図９には、フィルタ装置１Ａ、情報端末２、Ｗｅｂサイト３、インターネットＮ、施設Ｆ３、施設Ｆ３に設置されたローカルネットワークＬ３、及びルータ６が示されている。フィルタ装置１Ａ、情報端末２、及びルータ６は、ローカルネットワークＬ３に接続される。

フィルタ装置１Ａは、実施形態１のフィルタ装置１と同様に、フィルタデータベース、制限条件取得部、通信遮断部、及び通信中継部を備えるコンピュータとして機能する。ただし、フィルタ装置１Ａは、実施形態１のフィルタ装置１と異なり、伝送路確立部を備えない。

実施形態１と同様に、フィルタ装置１Ａの通信中継部は、情報端末２とその通信先であるＷｅｂサイト３との間の通信を中継する。また、フィルタ装置１Ａの通信遮断部は、情報端末２からＷｅｂサイト３へ中継するデータによる通信が、制限条件取得部によって取得されたフィルタ条件に合致した場合に、当該データによる通信を遮断する。実施形態１とは異なり、フィルタ装置１Ａの制限条件取得部は、Ｗｅｂサイト３へ中継するデータを運ぶＭＡＣフレームを、フィルタ装置１Ａが接続されたローカルネットワークＬから直接に受信する。

このようなフィルタ装置１Ａを含む通信システムによれば、実施形態１のようなＬ２ＶＰＮが構築されないローカルネットワークＬに接続された情報端末２に対しても、ＭＡＣアドレスごとのフィルタ条件に従ったＷｅｂの通信の制限を行うことができる。

なお、実施形態３では、フィルタ装置１Ａが独立した装置として説明されたが、ルータ６等のローカルネットワーク３に接続されたネットワーク機器がフィルタ装置１Ａの機能を備えてもよい。この場合、当該ネットワーク機器が「通信中継装置」の一例となる。

１、１Ａ フィルタ装置（通信中継装置）
２、２Ａ、２Ｂ、２Ｃ、２Ｄ 情報端末（通信機器）
３ Ｗｅｂサイト（通信先）
４ Ｌ２中継装置
５、５Ａ、５Ｂ ＶＰＮサービスアダプタ
６ ルータ
Ｄ１１ フィルタデータベース
Ｆ、Ｆ１、Ｆ２、Ｆ３ 施設
Ｌ、Ｌ１、Ｌ２、Ｌ３ ローカルネットワーク
Ｎ インターネット（通信網）

Claims (7)

1. 物理アドレスを用いた通信を行う通信機器と通信先との間の通信を中継する通信中継装置であって、
   前記通信機器から前記通信先へ中継するデータを受信した場合に、物理アドレスごとに設定された通信の制限条件を記憶する記憶部から、前記受信されたデータの送信元の物理アドレスに対して設定されている制限条件を取得する制限条件取得手段と、
   前記受信されたデータによる通信が前記取得された制限条件に合致した場合に、前記受信されたデータを中継せずに通信を遮断する通信遮断手段と、
   を備える通信中継装置。
2. 前記制限条件は、通信が制限される時間帯を規定する条件を含み、
   前記通信遮断手段は、前記受信されたデータの受信時刻が、前記取得された制限条件により制限される時間帯に属する場合に、前記受信されたデータによる通信を遮断する、
   請求項１に記載の通信中継装置。
3. 前記通信中継装置及び前記通信先は、通信網に接続され、
   前記通信機器は、前記通信網に接続されたローカルネットワークに接続され、
   前記通信中継装置は、前記ローカルネットワーク上で伝送されるデータリンク層のフレームを、データリンク層より上位層の通信によって前記通信網を経由して前記通信中継装置へ伝送するフレーム伝送路を確立する伝送路確立手段を備え、
   前記制限条件取得手段は、前記通信機器から通信先へ中継するデータを、前記確立されたフレーム伝送路を介して受信する、
   請求項１または２に記載の通信中継装置。
4. 前記通信網には複数のローカルネットワークが接続され、
   前記通信機器は、前記複数のローカルネットワークの何れかに接続され、
   前記通信中継装置は、前記伝送路確立手段によって前記複数のローカルネットワークそれぞれのフレームを伝送するフレーム伝送路それぞれを確立し、
   前記制限条件取得手段は、前記通信機器から通信先へ中継するデータを、前記確立されたフレーム伝送路の何れかを介して受信する、
   請求項３に記載の通信中継装置。
5. 前記記憶部は、前記複数のローカルネットワークそれぞれを識別するネットワーク識別情報と物理アドレスとの組ごとに設定された制限条件を記憶し、
   前記制限条件取得手段は、前記通信機器から通信先へ中継するデータの受信に介されたフレーム伝送路に係るローカルネットワークを識別するネットワーク識別情報と前記送信元の物理アドレスとの組に対して設定された制限条件を取得する、
   請求項４に記載の通信中継装置。
6. 物理アドレスを用いた通信を行う通信機器と通信先との間の通信を中継する通信中継装置が、
   前記通信機器から前記通信先へ中継するデータを受信した場合に、物理アドレスごとに設定された通信の制限条件を記憶する記憶部から、前記受信されたデータの送信元の物理アドレスに対して設定されている制限条件を取得する制限条件取得ステップと、
   前記受信されたデータによる通信が前記取得された制限条件に合致した場合に、前記受信されたデータを中継せずに通信を遮断する通信遮断ステップと、
   を実行する情報処理方法。
7. 物理アドレスを用いたデータの通信を行う通信機器と通信先との間の通信を中継する通
   信中継装置に、
   前記通信機器から前記通信先へ中継するデータを受信した場合に、物理アドレスごとに設定された通信の制限条件を記憶する記憶部から、前記受信されたデータの送信元の物理アドレスに対して設定されている制限条件を取得する制限条件取得ステップと、
   前記受信されたデータによる通信が前記取得された制限条件に合致した場合に、前記受信されたデータを中継せずに通信を遮断する通信遮断ステップと、
   を実行させるためのプログラム。

Images