JP2018166285A

JP2018166285A - 通信機器、通信方法、プログラム及び通信システム

Info

Publication number: JP2018166285A
Application number: JP2017063268A
Authority: JP
Inventors: 龍輔黛; Ryusuke Mayuzumi
Original assignee: Ricoh Co Ltd
Current assignee: Ricoh Co Ltd
Priority date: 2017-03-28
Filing date: 2017-03-28
Publication date: 2018-10-25
Anticipated expiration: 2037-03-28
Also published as: US20180288058A1; JP6819405B2; US20200403999A1; US11601433B2

Abstract

【課題】複数のネットワークが分離されているとき、通信が許可されないネットワークの組み合わせにおける通信を防止すること。
【解決手段】通信機器は、第１のネットワーク及び第２のネットワークに接続され、前記第１のネットワークと前記第２のネットワークとの間の通信の中継を行う中継部と、前記第１のネットワーク又は前記第２のネットワークに接続される機器への接続確認を予め登録された機器リストに基づいて行う確認部とを有し、前記確認部によって、前記第１のネットワークに接続される機器への前記機器リストに基づく接続確認が失敗した場合、前記中継部は前記中継を遮断し、かつ、前記確認部によって、前記第１のネットワークに接続される機器への前記機器リストに基づく接続確認が成功し、かつ、前記第２のネットワークに接続される機器への前記機器リストに基づく接続確認が失敗した場合、前記中継部は前記中継を遮断する。
【選択図】図３

Description

本発明は、通信機器、通信方法、プログラム及び通信システムに関する。

官公庁又は病院では、個人情報等の秘匿すべき情報を取り扱うネットワーク及び当該ネットワークよりは要求される秘匿性が低いネットワーク等の複数のネットワークを持つことがある。また、一般企業では、複数の組織がフロアを共有する場合でも、利用するネットワークは異なることがある。複数のネットワークを運用する場合、ネットワークごとに複合機又はプリンタを設置すると、管理コストが上がり専有面積が増えるため、複合機又はプリンタの台数の集約が要求される。しかしながら、一台の複合機又はプリンタが、複数のネットワークからのパケットを処理すると、ＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）による経路制御では、誤送信、他ネットワークへのパケットの漏洩（例えば、偽装された同一のＩＰアドレスを有する端末からの通信等）といったセキュリティ上の問題が起こり得る。画像処理装置が備えるネットワークインタフェースが特定のネットワークアドレスに属する一方、当該画像処理装置の通信相手となる他の機器が当該特定のネットワークアドレスとは異なるネットワークアドレスに属する場合でも、当該画像処理装置と当該機器との間の通信を行う必要がある場合に当該通信を自動的に可能とすることができる画像処理装置を提供する構成が既に知られている（例えば特許文献１）。

しかしながら、従来のネットワーク装置は、互いの通信が許可されない複数のネットワークを分離できる一方で、特定のネットワーク（共通して利用させたい複合機等が接続されるネットワーク）と、当該互いの通信が許可されない複数のネットワークの各々とは通信可能になっている。そのため、物理的にＬＡＮ（Local Area Network）ケーブルを挿し間違った場合、本来通信が許可されないネットワーク同士が通信可能となる問題があった。

本発明は、上記の点に鑑みてなされたものであって、複数のネットワークが分離されているとき、通信が許可されないネットワークの組み合わせにおける通信を防止することを目的とする。

そこで上記課題を解決するため、通信機器は、第１のネットワーク及び第２のネットワークに接続され、前記第１のネットワークと前記第２のネットワークとの間の通信の中継を行う中継部と、前記第１のネットワーク又は前記第２のネットワークに接続される機器への接続確認を予め登録された機器リストに基づいて行う確認部とを有し、前記確認部によって、前記第１のネットワークに接続される機器への前記機器リストに基づく接続確認が失敗した場合、前記中継部は前記中継を遮断し、かつ、前記確認部によって、前記第１のネットワークに接続される機器への前記機器リストに基づく接続確認が成功し、かつ、前記機器リストに第２のネットワークに接続される機器が登録されていない場合、前記中継部は前記中継を疎通させ、かつ、前記確認部によって、前記第１のネットワークに接続される機器への前記機器リストに基づく接続確認が成功し、かつ、前記第２のネットワークに接続される機器への前記機器リストに基づく接続確認が成功した場合、前記中継部は前記中継を疎通させ、かつ、前記確認部によって、前記第１のネットワークに接続される機器への前記機器リストに基づく接続確認が成功し、かつ、前記第２のネットワークに接続される機器への前記機器リストに基づく接続確認が失敗した場合、前記中継部は前記中継を遮断する。

複数のネットワークが分離されているとき、通信が許可されないネットワークの組み合わせにおける通信を防止することができる。

本発明の実施の形態における通信システム１０００の構成例を示す図である。本発明の実施の形態における中継機器１００のハードウェア構成例を示す図である。本発明の実施の形態における中継機器１００の機能構成例を示す図である。本発明の実施の形態における中継機器１００において実行される確認手順の一例を説明するためのシーケンス図である。本発明の実施の形態における表示部１６の表示例を示す図である。

以下、図面に基づいて本発明の実施の形態を説明する。

図１は、本発明の実施の形態における通信システム１０００の構成例を示す図である。図１に示されるように、通信システム１０００は、中継機器１００、ＧＷ１１０、ＰＣ１１１、ＧＷ１２０、ＰＣ１２１、機密サーバ１３１、機密情報管理ＰＣ１３２及びＭＦＰ１４１を含む。

中継機器１００は、複数の物理ＬＡＮ（Local Area Network）ポートを有し、複数のネットワーク間の通信を中継する。複数のネットワークは、それぞれ異なるネットワークアドレスを有していてもよいし、同一のネットワークアドレスを有していてもよい。図１に示される構成例においては、中継機器１００のポートＡは、ネットワークＮｅｔ＿ＭＦＰに接続され、Ｎｅｔ＿ＭＦＰのネットワークアドレスには、１９２．１６８．０．０／２４が設定されている。また同様に、中継機器１００のポートＢは、ネットワークＮｅｔ＿１に接続され、Ｎｅｔ＿１のネットワークアドレスには、１７２．１６．１．０／２４が設定されている。また同様に、中継機器１００のポートＣは、ネットワークＮｅｔ＿２に接続され、Ｎｅｔ＿２のネットワークアドレスには、１７２．１６．２．０／２４が設定されている。また同様に、中継機器１００のポートＤは、ネットワークＮｅｔ＿３に接続され、Ｎｅｔ＿３のネットワークアドレスには、１７２．１６．３．０／２４が設定されている。中継機器１００は、ポートＢ、ポートＣ及びポートＤに接続されるネットワーク間の通信は中継しないが、ポートＢ、ポートＣ又はポートＤに接続されるネットワークそれぞれと、ポートＡに接続されるネットワークとの通信は中継する。

ＧＷ１１０及びＧＷ１２０は、ゲートウェイである。ゲートウェイは、例えば、機器が属するネットワークアドレス以外のＩＰアドレスへパケットを送信する場合に、当該機器からのパケットを受信して他のネットワークへ送信する。ＧＷ１１０は、Ｎｅｔ＿１に接続され、ＩＰ(Internet Protocol)アドレス１７２．１６．１．１及びＭＡＣ（Media Access Control）アドレスｕｕ：ｖｖ：ｗｗ：ｘｘ：ｙｙ：ｚｚが設定されている。ＧＷ１２０は、Ｎｅｔ＿２に接続され、ＩＰ(Internet Protocol)アドレス１７２．１６．２．１及びＭＡＣ（Media Access Control）アドレス１ａ：２ｂ：３ｃ：４ｄ：５ｅ：６ｆが設定されている。

ＰＣ１１１、ＰＣ１２１及び機密情報管理ＰＣ１３２は、ＰＣ（Personal Computer）である。ＰＣ１１１は、Ｎｅｔ＿１に接続され、ＰＣ１２１は、Ｎｅｔ＿２に接続され、機密情報管理ＰＣ１３２は、Ｎｅｔ＿３に接続されている。

機密サーバ１３１は、サーバコンピュータである。機密サーバ１３１は、Ｎｅｔ＿３に接続され、ＩＰアドレス１７２．１６．３．１０が設定されている。

ＭＦＰ１４１は、ＭＦＰ（Multifunction Peripheral）である。ＭＦＰは、例えば、プリンタ、スキャナー等の複数の機能を有する。ＭＦＰ１４１は、Ｎｅｔ＿ＭＦＰに接続され、ＩＰアドレス１９２．１６８．０．１０及びＭＡＣアドレスａａ：ｂｂ：ｃｃ：ｄｄ：ｅｅ：ｆｆが設定されている。

図２は、本発明の実施の形態における中継機器１００のハードウェア構成例を示す図である。図２の中継機器１００は、それぞれ相互に接続されているＣＰＵ（Central Processing Unit）１００１、ネットワークインタフェース１００２、入出力インタフェース１００３、補助記憶装置１００４及びメモリ装置１００５等を有する。

中継機器１００での処理を実現するプログラムは、補助記憶装置１００４に格納される。補助記憶装置１００４は、インストールされたプログラムを格納すると共に、必要なファイル及びデータ等を格納する。

メモリ装置１００５は、プログラムの起動指示があった場合に、補助記憶装置１００４からプログラムを読み出して格納する。ＣＰＵ１００１は、メモリ装置１００５に格納されたプログラムに従って中継機器１００に係る機能を実現する。

ネットワークインタフェース１００２は、ポートに接続される機器と通信を行うためのインタフェースである。ポートは、有線ＬＡＮポートであってもよいし、他の通信方式を使用するポートであってもよい。

入出力インタフェース１００３は、ＵＳＢ（Universal Serial Bus）機器、ハードウェアキー、状態通知用ＬＥＤ（Light Emitting Diode）、液晶ディスプレイ等の様々な入出力装置との接続を行うためのインタフェースである。

なお、ＧＷ１１０、ＧＷ１２０、ＰＣ１１１、ＰＣ１２１、機密情報管理ＰＣ１３２、機密サーバ１３１及びＭＦＰ１４１も図２と同様のハードウェア構成を有していてもよい。

図３は、本発明の実施の形態における中継機器１００の機能構成例を示す図である。図３に示されるように、中継機器１００は、流入ポート判断部１１、中継部１２、接続確認部１３、接続確認用リスト記憶部１４、計時部１５及び表示部１６を有する。これら各部は、中継機器１００にインストールされた１以上のプログラムがＣＰＵ１００１に実行させる処理により実現される。

流入ポート判断部１１は、ポートを介して中継機器１００にパケットが流入したとき、ポートＡ〜Ｄのいずれから流入したのかを判断する。中継部１２は、ポートＡと、ポートＢ、ポートＣ又はポートＤとの通信を中継する。接続確認部１３は、例えば起動時に、ポートへのケーブル接続が予め設定されたものか否か確認する。また、接続確認部１３は、各ポートに対して、応答確認メッセージを送信し、受信した応答メッセージの解析を行う。接続確認用リスト記憶部１４は、接続確認部１３で行う接続の確認のための、接続確認先情報を記憶する。計時部１５は、所定の時間を計測する。表示部１６は、中継部１２の動作状況を表示する。

なお、ＧＷ１１０、ＧＷ１２０、ＰＣ１１１、ＰＣ１２１、機密サーバ１３１、機密情報管理ＰＣ１３２、ＭＦＰ１４１の各々の機器は、中継機器１００から送信される応答確認メッセージを受信して応答メッセージを中継機器１００に送信する応答部及び各々の機器が相互に通信を行うための通信部を少なくとも有する。

図４は、本発明の実施の形態における中継機器１００において実行される確認手順の一例を説明するためのシーケンス図である。図４に示されるシーケンスにおいては、ＭＡＣアドレスの完全一致に基づいてＬＡＮポートに接続される機器の接続確認が実行され、中継機器１００が当該ＬＡＮポートに関する通信の中継を許可する。図４は、例えば、中継機器１００が起動時に実行する確認手順を示すが、確認手順の実行は起動時に限られない。図４に示される確認手順は、任意のタイミングで実行されてもよい。

ステップＳ１０１において、接続確認部１３は、接続確認用リスト記憶部１４にリスト要求を送信する。続いて、接続確認用リスト記憶部１４は、接続確認部１３にリスト返答を送信する（Ｓ１０２）。表１は、接続確認用リスト記憶部１４に、記憶されている接続確認用リストの一例である。

表１に示されるように、機器ごとに、「ＬＡＮポート」、「ラベル」、「ＩＰアドレス」及び「ＭＡＣアドレス」が関連付けて記憶されている。列「ＩＰアドレス」に記載されている（必須）又は（任意）は、リストにＩＰアドレスが必須であるか否かを示す。例えば、「ＬＡＮポートＡ」には、「ラベル」が「ＭＦＰ」、「ＩＰアドレス」が「１９２．１６８．０．１０」、ＭＡＣアドレスが「ａａ：ｂｂ：ｃｃ：ｄｄ：ｅｅ：ｆｆ」である機器が中継機器１００による通信の中継を許可されることを示す。同様に、「ＬＡＮポートＢ」には、「ラベル」が「ＧＷ１」、「ＩＰアドレス」が「１７２．１６．１．１」、ＭＡＣアドレスが「ｕｕ：ｖｖ：ｗｗ：ｘｘ：ｙｙ：ｚｚ」である機器が中継機器１００による通信の中継を許可されることを示す。同様に、「ＬＡＮポートＢ」には、「ラベル」が「ＧＷ１」、「ＩＰアドレス」が「１７２．１６．１．１」、ＭＡＣアドレスが「ｕｕ：ｖｖ：ｗｗ：ｘｘ：ｙｙ：ｚｚ」である機器が中継機器１００による通信の中継を許可されることを示す。同様に、「ＬＡＮポートＣ」には、「ラベル」が「ＧＷ２」、「ＩＰアドレス」が「１７２．１６．２．１」、ＭＡＣアドレスが「１ａ：２ｂ：３ｃ：４ｄ：５ｅ：６ｆ」である機器が中継機器１００による通信の中継を許可されることを示す。なお、「ＬＡＮポートＤ」において、ラベル、ＩＰアドレス及びＭＡＣアドレスの記載が空欄であることは、ＬＡＮポートＤに接続される機器は、予め中継機器１００による通信の中継が許可されていることを示す。

ステップＳ１０３において、接続確認部１３は、ステップＳ１０２で受信した接続確認用リストに基づいて、ＭＦＰ確認要求をＬＡＮポートＡに送信する。続いて、ＬＡＮポートＡから応答確認メッセージがＭＦＰ１４１に送信される（Ｓ１０４）。続いて、ＭＦＰ１４１は、応答メッセージを、ＬＡＮポートＡを介して（Ｓ１０５）、接続確認部１３へ送信する（Ｓ１０６）。

ステップＳ１０７において、接続確認部１３は、当該応答メッセージに含まれるＭＡＣアドレスと、接続確認用リストに含まれるＬＡＮポートＡのラベル「ＭＦＰ」に関連付けられているＭＡＣアドレス「ａａ：ｂｂ：ｃｃ：ｄｄ：ｅｅ：ｆｆ」とを比較する。ＭＡＣアドレスが一致した場合、ステップＳ１０８へ進む。一方、ＭＡＣアドレスが一致しなかった場合、あるいは、応答メッセージが受信されなかった場合、ＬＡＮポートＡに関する通信を遮断する。このとき、中継機器１００は、図４に示されるシーケンスを中断してもよい。

ステップＳ１０８において、接続確認部１３は、中継許可を中継部１２へ送信する。続いて、中継部１２はＬＡＮポートＡとＬＡＮポートＤとの通信を疎通させる（Ｓ１０９）。ステップＳ１１０において、接続確認部１３は、表示指示を表示部１６へ送信する。続いて、表示部１６は、表示を変更する（Ｓ１１１）。

図５は、本発明の実施の形態における表示部１６の表示例を示す図である。図５に示される表示例１は、中継を行わない状態が、表示部１６に表示される例である。表２は、図５に示される表示例１の状態を示す表である。

表２に示されるように、ＬＡＮポートＡとＬＡＮポートＢ間、ＬＡＮポートＡとＬＡＮポートＣ間、ＬＡＮポートＡとＬＡＮポートＤ間の通信は、いずれも中継されない状態である。表２に示される状態は、例えば、中継機器１００の初期状態である。すなわち、図４に示されるステップＳ１０１の時点で、表示部１６は、図５に示される表示例１を表示していてもよい。また、表２に示される状態は、例えば、接続確認部１３が、ＭＦＰ１４１からの応答メッセージを確認できなかった状態である。

表３は、図５に示される表示例２の状態を示す表である。

図５に示される表示例２は、ＬＡＮポートＡとＬＡＮポートＤ間の通信のみが中継される状態が、表示部１６に表示される例である。すなわち、表３に示されるように、ＬＡＮポートＡとＬＡＮポートＢ間及びＬＡＮポートＡとＬＡＮポートＣ間の通信は中継されず、ＬＡＮポートＡとＬＡＮポートＤ間の通信は中継される。表３に示される状態は、例えば、接続確認部１３が、ＭＦＰ１４１からの応答メッセージを確認した状態である。

表４は、図５に示される表示例３の状態を示す表である。

図５に示される表示例３は、ＬＡＮポートＡとＬＡＮポートＢ間及びＬＡＮポートＡとＬＡＮポートＤ間の通信が中継される状態が、表示部１６に表示される例である。すなわち、表４に示されるように、ＬＡＮポートＡとＬＡＮポートＣ間の通信は中継されず、ＬＡＮポートＡとＬＡＮポートＢ間及びＬＡＮポートＡとＬＡＮポートＤ間の通信は中継される。表４に示される状態は、例えば、接続確認部１３が、ＭＦＰ１４１及びＧＷ１１０からの応答メッセージを確認した状態である。

表５は、図５に示される表示例４の状態を示す表である。

図５に示される表示例４は、ＬＡＮポートＡとＬＡＮポートＢ間、ＬＡＮポートＡとＬＡＮポートＣ間及びＬＡＮポートＡとＬＡＮポートＤ間の通信が中継される状態が、表示部１６に表示される例である。すなわち、表５に示されるように、ＬＡＮポートＡとＬＡＮポートＢ間、ＬＡＮポートＡとＬＡＮポートＣ間及びＬＡＮポートＡとＬＡＮポートＤ間の通信が中継される。表５に示される状態は、例えば、接続確認部１３が、ＭＦＰ１４１、ＧＷ１１０及びＧＷ１２０からの応答メッセージを確認した状態である。

図４に戻る。ステップＳ１１１において、表示部１６は、図５に示される表示例１から表示例２に表示を変更する。すなわち、表示部１６により、ＬＡＮポートＡとＬＡＮポートＤ間の通信が中継される状態が表示される。

ステップＳ１１２において、接続確認部１３は、ステップＳ１０２で受信した接続確認用リストに基づいて、ＧＷ１１０確認要求をＬＡＮポートＢに送信する。続いて、ＬＡＮポートＢから応答確認メッセージがＧＷ１１０に送信される（Ｓ１１３）。続いて、ＧＷ１１０は、応答メッセージを、ＬＡＮポートＢを介して（Ｓ１１４）、接続確認部１３へ送信する（Ｓ１１５）。

ステップＳ１１６において、接続確認部１３は、当該応答メッセージに含まれるＭＡＣアドレスと、接続確認用リストに含まれるＬＡＮポートＢのラベル「ＧＷ１」に関連付けられているＭＡＣアドレス「ｕｕ：ｖｖ：ｗｗ：ｘｘ：ｙｙ：ｚｚ」とを比較する。ＭＡＣアドレスが一致した場合、接続確認部１３は接続確認が成功したと判定し、ステップＳ１１７へ進む。一方、ＭＡＣアドレスが一致しなかった場合、あるいは、応答メッセージが受信されなかった場合、接続確認部１３は接続確認が失敗したと判定し、ＬＡＮポートＢに関する通信を遮断する。このとき、中継機器１００は、図４に示されるシーケンスを中断してもよい。

ステップＳ１１７において、接続確認部１３は、中継許可を中継部１２へ送信する。続いて、中継部１２はＬＡＮポートＡとＬＡＮポートＢとの通信を疎通させる（Ｓ１１８）。ステップＳ１１９において、接続確認部１３は、表示指示を表示部１６へ送信する。続いて、表示部１６は、図５に示される表示例２から表示例３に表示を変更する。（Ｓ１２０）。すなわち、表示部１６により、ＬＡＮポートＡとＬＡＮポートＢ間及びＬＡＮポートＡとＬＡＮポートＤ間の通信が中継される状態が表示される。

ステップＳ１２１において、接続確認部１３は、ステップＳ１０２で受信した接続確認用リストに基づいて、ＧＷ１２０確認要求をＬＡＮポートＢに送信する。続いて、ＬＡＮポートＣから応答確認メッセージがＧＷ１２０に送信される（Ｓ１２２）。続いて、ＧＷ１２０は、応答メッセージを、ＬＡＮポートＣを介して（Ｓ１２３）、接続確認部１３へ送信する（Ｓ１２４）。

ステップＳ１２５において、接続確認部１３は、当該応答メッセージに含まれるＭＡＣアドレスと、接続確認用リストに含まれるＬＡＮポートＣのラベル「ＧＷ２」に関連付けられているＭＡＣアドレス「１ａ：２ｂ：３ｃ：４ｄ：５ｅ：６ｆ」とを比較する。ＭＡＣアドレスが一致した場合、接続確認部１３は接続確認が成功したと判定し、ステップＳ１２６へ進む。一方、ＭＡＣアドレスが一致しなかった場合、あるいは、応答メッセージが受信されなかった場合、接続確認部１３は接続確認が失敗したと判定し、ＬＡＮポートＣに関する通信を遮断する。このとき、中継機器１００は、図４に示されるシーケンスを中断してもよい。

ステップＳ１２６において、接続確認部１３は、中継許可を中継部１２へ送信する。続いて、中継部１２はＬＡＮポートＡとＬＡＮポートＣとの通信を疎通させる（Ｓ１２７）。ステップＳ１２８において、接続確認部１３は、表示指示を表示部１６へ送信する。続いて、表示部１６は、図５に示される表示例３から表示例４に表示を変更する。（Ｓ１２９）。すなわち、表示部１６により、ＬＡＮポートＡとＬＡＮポートＢ間、ＬＡＮポートＡとＬＡＮポートＣ間及びＬＡＮポートＡとＬＡＮポートＤ間の通信が中継される状態が表示される。

ステップＳ１３０において、接続確認部１３は、計時指示を計時部１５へ送信する。続いて、計時部１５は、計時を開始する（Ｓ１３１）。計時開始後、所定の時間が経過すると、時間経過通知を接続確認部１３へ送信する（Ｓ１３２）。

ステップＳ１３３において、接続確認部１３は、再度確認手順を開始するため、ステップＳ１０１へ進む。すなわち、確認手順を実行後、所定の時間が経過した場合、再度確認手順を実行する。また、一定時間ごとに、確認手順が繰り返されてもよい。以上のステップで、中継機器１００において実行される確認手順が完了する。

なお、図４に示されるシーケンスにおいては、接続確認部１３は、ＬＡＮポートに接続される機器の接続確認をＭＡＣアドレスの完全一致に基づいて実行したが、接続確認の方法は、ＭＡＣアドレスの完全一致に限られない。例えば、表６に示される接続確認の方法が使用可能である。

表６に示されるように、接続確認の方法が「ｐｉｎｇ応答確認」の場合、応答確認メッセージは「ＩＣＭＰエコー要求」、応答メッセージは「ＩＣＭＰエコー応答」が使用される。接続確認部１３は、正常なエコー応答であるかを判定する。

表６に示されるように、接続確認の方法が「ＭＡＣアドレスベンダ部分一致」の場合、応答確認メッセージは「ａｒｐｒｅｑｕｅｓｔ」、応答メッセージは「ａｒｐｒｅｐｌｙ」が使用される。接続確認部１３は、ａｒｐｒｅｐｌｙに含まれるＭＡＣアドレスの先頭３バイトが特定のベンダであるかを判定する。すなわち、特定のベンダの機器に対して、中継機器１００は、中継を許可することができる。

表６に示されるように、接続確認の方法が「ＭＡＣアドレス完全一致」の場合、応答確認メッセージは「ａｒｐｒｅｑｕｅｓｔ」、応答メッセージは「ａｒｐｒｅｐｌｙ」が使用される。接続確認部１３は、ＭＡＣアドレスが、表１に示される接続確認用リストで予め設定されているものと完全一致するかを判定する。

表６に示されるように、接続確認の方法が「拡張ＭＩＢ取得」の場合、応答確認メッセージは「ＳＮＭＰＧｅｔ−Ｒｅｑｕｅｓｔ」、応答メッセージは「ＳＮＭＰＧｅｔ−Ｒｅｓｐｏｎｓｅ」が使用される。接続確認部１３は、ＳＮＭＰＧｅｔ−Ｒｅｓｐｏｎｓｅに含まれるＯＩＤ（Object Identifier）に、特定のベンダのＯＩＤが存在するかを判定する。すなわち、特定のベンダの機器に対して、中継機器１００は、中継を許可することができる。また、ＯＩＤは、機器に予め設定される設定情報であり、ＭＡＣアドレスと比較した場合、変更の可能性が相対的に低い。

表６に示されるように、接続確認の方法が「ポートスキャニング」の場合、応答確認メッセージは「接続要求」、応答メッセージは「接続応答（許可／拒否）」が使用される。接続確認部１３は、特定のポートが開いているかを判定する。「接続要求」は、ＴＣＰパケットでもよいし、ＵＤＰ（User Datagram Protocol）パケットでもよい。

上述したように、本発明の実施の形態によれば、中継機器１００は、予め登録してある接続確認用リストに基づいて、複数のネットワークに接続されている機器の接続確認をそれぞれ行った後、ネットワークの中継を許可するため、物理的接続が意図しないものであった場合、ネットワークの中継が許可されない。したがって、複数のネットワークが分離されているとき、通信が許可されないネットワークの組み合わせにおける通信を防止することができる。

なお、本発明の実施の形態において、ネットワークＮｅｔ＿ＭＦＰは、第１のネットワークの一例である。ネットワークＮｅｔ＿１、ネットワークＮｅｔ＿２又はネットワークＮｅｔ＿３は、第２のネットワークの一例である。中継機器１００は、通信機器の一例である。接続確認部１３は、確認部の一例である。接続確認用リストは、機器リストの一例である。ＩＰアドレスは、論理アドレスの一例である。ｐｉｎｇ応答は、エコー応答の一例である。ＭＡＣアドレスは、物理アドレスの一例である。機器のベンダを示すＭＡＣアドレスの先頭３バイトは、物理アドレスの一部の一例である。ＳＮＭＰは、ネットワーク管理プロトコルの一例である。ＯＩＤは、ネットワーク管理プロトコル上の識別子の一例である。ＭＦＰ１４１は、画像処理機器の一例である。ＰＣ１１１は、情報処理機器の一例である。

以上、本発明の実施例について詳述したが、本発明は斯かる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

１０００通信システム
１００中継機器
１１０ＧＷ
１１１ＰＣ
１２０ＧＷ
１２１ＰＣ
１３１機密サーバ
１３２機密情報管理ＰＣ
１４１ＭＦＰ
１００１ＣＰＵ
１００２ネットワークインタフェース
１００３入出力インタフェース
１００４補助記憶装置
１００５メモリ装置
１１流入ポート判断部
１２中継部
１３接続確認部
１４接続確認用リスト記憶部
１５計時部
１６表示部

特開２００５‐２２９３３２号公報

Claims

第１のネットワーク及び第２のネットワークに接続される通信機器であって、
前記第１のネットワークと前記第２のネットワークとの間の通信の中継を行う中継部と、
前記第１のネットワーク又は前記第２のネットワークに接続される機器への接続確認を予め登録された機器リストに基づいて行う確認部とを有し、
前記確認部によって、前記第１のネットワークに接続される機器への前記機器リストに基づく接続確認が失敗した場合、前記中継部は前記中継を遮断し、かつ、
前記確認部によって、前記第１のネットワークに接続される機器への前記機器リストに基づく接続確認が成功し、かつ、前記機器リストに前記第２のネットワークに接続される機器が登録されていない場合、前記中継部は前記中継を疎通させ、かつ、
前記確認部によって、前記第１のネットワークに接続される機器への前記機器リストに基づく接続確認が成功し、かつ、前記第２のネットワークに接続される機器への前記機器リストに基づく接続確認が成功した場合、前記中継部は前記中継を疎通させ、かつ、
前記確認部によって、前記第１のネットワークに接続される機器への前記機器リストに基づく接続確認が成功し、かつ、前記第２のネットワークに接続される機器への前記機器リストに基づく接続確認が失敗した場合、前記中継部は前記中継を遮断する通信機器。
前記機器リストに、機器と関連付けられた論理アドレスが登録され、
前記確認部は、論理アドレスで送達先が特定されるエコー応答によって、機器への前記接続確認を行う請求項１記載の通信機器。
前記機器リストに、機器と関連付けられる論理アドレス及び物理アドレスが登録され、
前記確認部は、論理アドレスに基づいて物理アドレスを機器から取得し、前記取得した物理アドレスと前記機器リストに登録されている物理アドレスとの照合によって、機器への前記接続確認を行う請求項１記載の通信機器。
予め機器と関連付けられる物理アドレスの一部が指定され、
前記確認部は、前記取得した物理アドレスの一部と前記予め指定された物理アドレスの一部との照合によって、機器への前記接続確認を行う請求項３記載の通信機器。
予め機器と関連付けられるネットワーク管理プロトコル上の識別子が指定され、
前記確認部は、前記ネットワーク管理プロトコルによる応答に含まれる識別子を取得し、前記取得した識別子と前記予め指定された識別子との照合によって、機器への前記接続確認を行う請求項１記載の通信機器。
前記中継の疎通又は遮断の状態を表示する表示部をさらに有する請求項１乃至５いずれか一項記載の通信機器。
前記確認部は、前記中継が疎通又は遮断された時点から、所定の時間が経過した場合、前記第１のネットワーク及び前記第２のネットワークに接続される機器への接続確認を再度行う請求項１乃至６いずれか一項記載の通信機器。
第１のネットワーク及び第２のネットワークに接続される通信機器が実行する通信方法であって、
前記第１のネットワークと前記第２のネットワークとの間の通信の中継を行う中継手順と、
前記第１のネットワーク又は前記第２のネットワークに接続される機器への接続確認を予め登録された機器リストに基づいて行う確認手順とを実行し、
前記確認手順によって、前記第１のネットワークに接続される機器への前記機器リストに基づく接続確認が失敗した場合、前記中継手順により前記中継は遮断され、かつ、
前記確認手順によって、前記第１のネットワークに接続される機器への前記機器リストに基づく接続確認が成功し、かつ、前記機器リストに前記第２のネットワークに接続される機器が登録されていない場合、前記中継手順により前記中継は疎通し、かつ、
前記確認手順によって、前記第１のネットワークに接続される機器への前記機器リストに基づく接続確認が成功し、かつ、前記第２のネットワークに接続される機器への前記機器リストに基づく接続確認が成功した場合、前記中継手順により前記中継は疎通し、かつ、
前記確認手順によって、前記第１のネットワークに接続される機器への前記機器リストに基づく接続確認が成功し、かつ、前記第２のネットワークに接続される機器への前記機器リストに基づく接続確認が失敗した場合、前記中継手順により前記中継は遮断される通信方法。
第１のネットワーク及び第２のネットワークに接続される通信機器が実行可能なプログラムであって、
前記第１のネットワークと前記第２のネットワークとの間の通信の中継を行う中継手順と、
前記第１のネットワーク又は前記第２のネットワークに接続される機器への接続確認を予め登録された機器リストに基づいて行う確認手順とを前記通信機器に実行させ、
前記確認手順によって、前記第１のネットワークに接続される機器への前記機器リストに基づく接続確認が失敗した場合、前記中継手順により前記中継は遮断され、かつ、
前記確認手順によって、前記第１のネットワークに接続される機器への前記機器リストに基づく接続確認が成功し、かつ、前記機器リストに前記第２のネットワークに接続される機器が登録されていない場合、前記中継手順により前記中継は疎通し、かつ、
前記確認手順によって、前記第１のネットワークに接続される機器への前記機器リストに基づく接続確認が成功し、かつ、前記第２のネットワークに接続される機器への前記機器リストに基づく接続確認が成功した場合、前記中継手順により前記中継は疎通し、かつ、
前記確認手順によって、前記第１のネットワークに接続される機器への前記機器リストに基づく接続確認が成功し、かつ、前記第２のネットワークに接続される機器への前記機器リストに基づく接続確認が失敗した場合、前記中継手順により前記中継は遮断されるプログラム。
第１のネットワーク及び第２のネットワークに接続される通信機器、前記第１のネットワークに接続される画像処理機器及び前記第２のネットワークに接続される情報処理機器を含む通信システムであって、
前記画像処理機器は、
前記通信機器から送信される接続確認に応答する第１の応答部と、
前記情報処理機器と通信を行う第１の通信部とを有し、
前記情報処理機器は、
前記通信機器から送信される接続確認に応答する第２の応答部と、
前記画像処理機器と通信を行う第２の通信部とを有し、
前記通信機器は、
前記第１の通信部と前記第２の通信部との間の通信の中継を行う中継部と、
前記第１の応答部又は前記第２の応答部に接続確認を予め登録された機器リストに基づいて行う確認部とを有し、
前記確認部によって、前記画像処理機器への前記機器リストに基づく接続確認が失敗した場合、前記中継部は前記中継を遮断し、かつ、
前記確認部によって、前記画像処理機器への前記機器リストに基づく接続確認が成功し、かつ、前記機器リストに前記情報処理機器が登録されていない場合、前記中継部は前記中継を疎通させ、かつ、
前記確認部によって、前記画像処理機器への前記機器リストに基づく接続確認が成功し、かつ、前記情報処理機器への前記機器リストに基づく接続確認が成功した場合、前記中継部は前記中継を疎通させ、かつ、
前記確認部によって、前記画像処理機器への前記機器リストに基づく接続確認が成功し、かつ、前記情報処理機器への前記機器リストに基づく接続確認が失敗した場合、前記中継部は前記中継を遮断する通信システム。