JP4187209B2 - パケットフィルタリング装置およびパケットフィルタリング制御プログラム - Google Patents

Description

本発明は、パケットフィルタリング装置、パケットフィルタリング制御プログラムに関し、詳しくは、インターネット電話等における呼制御サービスを提供するネットワークに接続され、家庭内に設けられている端末装置に送信されたパケットをフィルタリングするパケットフィルタリング装置、パケットフィルタリング制御プログラムに関する。

図７は、インターネット電話（以下、「ＩＰ電話」という）等における呼制御サービスにおける従来の呼接続システム１０１を示すブロック図である。

従来の呼接続システム１０１は、中継装置５２を介して、ＩＰ電話端末５１がネットワーク５３に接続され、中継装置５５を介して、ＩＰ電話端末５４がネットワーク５３に接続されている。

ＩＰ電話端末５１がＩＰ電話端末５４に送信した呼接続の要求は、ネットワーク５３に接続されているＩＰ電話中継サーバ５６とＩＰ電話中継サーバ５７とを経由して送られる。ＩＰ電話端末５１や５４等の端末装置間で、呼接続を確立するためのプロトコルとして、ＳＩＰ（Session Initiation Protocol、ＲＦＣ３２６１参照）が知られている。

図８は、従来の呼接続システム１０１における動作を示すシーケンス図である。

ＳＩＰに準拠した呼接続は、図８に示すように、呼接続を要求する呼接続要求信号（ＩＮＶＩＴＥ）が、ＩＰ電話端末５１からＩＰ電話端末５４に送信され、呼接続要求信号に対する応答を示す呼接続応答信号（２００ ＯＫ）がＩＰ電話端末５４からＩＰ電話端末５１に向けて送信されることによって確立される。呼接続が確立されると、ＩＰ電話端末５１と５４との間で、音声情報等のメディアを構成するストリームパケット６０が送受信される。

ここで、ＩＰ電話端末５１は、受信ポート番号とプロトコルとの組み合わせの候補を含む候補情報（たとえば、メディアＡ、メディアＢ、およびメディアＣ）を、呼接続要求信号に付加し、ＩＰ電話端末５４は、候補情報に示されている候補の中から、受信ポート番号とプロトコルとの組み合わせを選択し、この選択された組み合わせを含む選択情報（たとえば、メディアＢ）を、呼接続応答信号に付加し、中継装置５２は、選択情報に基づいて、パケットをフィルタリングするために参照されるフィルタ情報を設定し、これによって、ネットワーク５３を介したＩＰ電話端末５１に対する不正なアクセスを防止する（たとえば、特許文献、非特許文献１参照）。
特開２００３−２２９８９３号公報（第６頁、図２） ＲＦＣ３２６４（URL:http://www.softfront.co.jp/tech/ietfdoc/trans/rfc3264j.txt）

しかし、上記従来例では、図８に示すように、ＩＰ電話端末５４が送信したストリームパケットが通過できるようにフィルタ情報が設定される時刻６１よりも前の時刻である時刻６３で、中継装置５２にストリームパケット６２が到達した場合、ストリームパケット６２によって構成されているメディアに、頭切れが生じるという問題がある。

本発明は、端末装置に送信されたパケットによって構成されているメディアに頭切れを生じることなく、端末装置に対する不正なアクセスを防止することができるパケットフィルタリング装置およびパケットフィルタリング制御プログラムを提供することを目的とする。

請求項１記載発明は、端末装置とネットワークとの間に設けられるパケットフィルタリング装置において、上記ネットワークを介して上記端末装置に送信されたパケットが通過することを、許可するか否かを示すフィルタ情報を、記憶するフィルタ情報記憶部と、上記端末装置に送信されたパケットが上記端末装置に到達することを、上記フィルタ情報に基づいて制限するパケットフィルタ部と、上記端末装置から、上記ネットワークを介して、相手端末装置に送信された呼接続要求を示す呼接続要求信号の中から、受信ポート番号とプロトコルとの組み合わせの候補を含む候補情報を、取得する候補情報取得部と、上記候補情報に示されている受信ポート番号とプロトコルとに基づいて、上記端末装置に送信されたパケットの通過を許可するように、上記フィルタ情報を設定するフィルタ情報設定部とを有するパケットフィルタリング装置である。

請求項１記載の発明によれば、相手端末装置によって送信されたパケットが、候補の中のいかなる受信ポート番号とプロトコルとに基づいたパケットであっても、端末装置が受信できるように、端末装置から相手端末装置に向けた呼接続の要求時にフィルタ情報が設定されるので、相手端末装置から端末装置に送信されたパケットによって構成されるメディアが頭切れを生じることなく、端末装置に対する不正なアクセスを防止することができる。

請求項２記載の発明は、請求項１において、上記呼接続要求信号に応じて、上記相手端末装置から上記端末装置に送信された呼接続応答信号の中から、上記相手端末装置が上記組み合わせの候補から選択した受信ポート番号とプロトコルとの組み合わせを含む選択情報を、取得する選択情報取得部が設けられ、上記フィルタ情報設定部は、上記候補情報に基づいて設定された上記フィルタ情報に応じて通過が許可されたパケットのうちで、上記選択情報に含まれている受信ポート番号とプロトコルとに基づいて上記端末装置に送信されたパケットを除くパケットの通過を許可しないように、上記フィルタ情報を設定する設定部であるパケットフィルタリング装置である。

請求項２記載の発明によれば、端末装置から相手端末装置に向けた呼接続の要求時に通過が許可されたパケットのうちで、相手端末装置によって選択されなかった受信ポート番号とプロトコルとに基づいて送信されたパケットの通過が禁止されるので、端末装置に対する不正なアクセスを防止することができる。

請求項３記載の発明は、請求項１または請求項２において、上記フィルタ情報設定部は、上記選択情報に基づいて設定された上記フィルタ情報に応じて通過が許可されたパケットのうちで、上記相手端末装置を除く送信元から上記端末装置に送信されたパケットの通過を許可しないように、上記フィルタ情報を設定する設定部であるパケットフィルタリング装置である。

請求項３記載の発明によれば、端末装置から相手端末装置に向けた呼接続の要求時に通過が許可されたパケットのうちで、相手端末装置以外の装置を送信元とするパケットの通過を禁止するので、端末装置に対する不正なアクセスを防止することができる。

請求項４記載の発明は、請求項１〜請求項３のいずれか１項において、上記フィルタ情報設定部は、上記相手端末装置が、上記端末装置に、呼切断の要求を示す呼切断要求信号を送信した場合、上記フィルタ情報の設定に応じて通過が許可されたパケットの通過を許可しないように、上記フィルタ情報を設定する設定部であるパケットフィルタリング装置である。

請求項５記載の発明は、請求項１〜請求項４のいずれか１項において、上記フィルタ情報設定部は、上記端末装置から上記相手端末装置に、呼切断の要求を示す呼切断要求信号が送信された場合、上記呼切断要求信号に応じて、上記相手端末装置から上記端末装置に送信された呼切断応答信号に応じて、上記フィルタ情報の設定によって通過が許可されたパケットの通過を許可しないように、上記フィルタ情報を設定する設定部であるパケットフィルタリング装置である。

請求項４、５記載の発明によれば、呼切断される際に、端末装置から相手端末装置に向けた呼接続の要求時に通過が許可されたパケットの通過を禁止するので、端末装置に対する不正なアクセスを防止することができる。

請求項６記載の発明は、端末装置とネットワークとの間に設けられるパケットフィルタリング装置に実行させるパケットフィルタリング制御プログラムであって、上記ネットワークを介して上記端末装置に送信されたパケットの通過を許可するか否かを示すフィルタ情報をメモリに記憶し、上記フィルタ情報に基づいて、上記端末装置に送信されたパケットが上記端末装置に到達することを制限するステップと、上記端末装置から上記ネットワークに接続された相手端末装置に送信された呼接続要求を示す呼接続要求信号から、受信ポート番号とプロトコルとの組み合わせの候補を含む候補情報を取得し、メモリに記憶するステップと、上記候補情報に表された受信ポート番号とプロトコルとに基づいて、上記端末装置に送信されたパケットの通過を許可するように、上記フィルタ情報を設定するフィルタ情報設定ステップとを、上記パケットフィルタリング装置に実行させるパケットフィルタリング制御プログラムである。

請求項６記載の発明によれば、相手端末装置によって送信されたパケットが候補の中のいかなる受信ポート番号とプロトコルとに基づいたものであっても、端末装置が受信できるように、端末装置から相手端末装置に向けた呼接続の要求時にフィルタ情報が設定されるので、相手端末装置から端末装置に送信されたパケットによって構成されるメディアが、頭切れを生じることがなく、端末装置に対する不正なアクセスを防止することができる。

請求項７記載の発明は、請求項６において、上記呼接続要求信号に応じて、上記相手端末装置から上記端末装置に送信された呼接続応答信号から、上記相手端末装置が上記候補から選択した受信ポート番号とプロトコルとの組み合わせを含む選択情報を、取得するステップと、上記候補情報に基づいて上記フィルタ情報設定ステップで通過が許可されたパケットのうちで、上記選択情報に含まれた受信ポート番号とプロトコルとに基づいて上記端末装置に送信されたパケットを除くパケットの通過を許可しないように、上記フィルタ情報を設定するステップとを、上記パケットフィルタリング装置に実行させるパケットフィルタリング制御プログラムである。

請求項７記載の発明によれば、端末装置から相手端末装置に向けた呼接続の要求時に通過が許可されたパケットのうちで、相手端末装置によって選択されなかった受信ポート番号とプロトコルとをもって送信されたパケットの通過を禁止するので、端末装置に対する不正なアクセスを防止することができる。

請求項８記載の発明は、請求項６または請求項７において、上記選択情報によって上記フィルタ情報設定ステップで通過が許可されたパケットのうちで、上記相手端末装置を除く送信元から上記端末装置に送信されたパケットの通過を許可しないように、上記フィルタ情報を設定するステップを、上記パケットフィルタリング装置に実行させることを特徴とするパケットフィルタリング制御プログラムである。

請求項８記載の発明によれば、端末装置から相手端末装置に向けた呼接続の要求時に通過が許可されたパケットのうちで、相手端末装置以外を送信元とするパケットの通過を禁止するので、端末装置に対する不正なアクセスを防止することができる。

請求項９記載の発明は、請求項６〜請求項８のいずれか１項において、上記相手端末装置から上記端末装置に向けて呼切断の要求を示す呼切断要求信号が送信された場合、上記フィルタ情報の設定によって通過が許可されたパケットの通過を許可しないように、上記フィルタ情報を設定するステップを、上記パケットフィルタリング装置に実行させるパケットフィルタリング制御プログラムである。

請求項１０記載の発明は、請求項６〜請求項９のいずれか１項において、上記端末装置から上記相手端末装置に向けて呼切断の要求を示す呼切断要求信号が送信された場合、上記呼切断要求信号に応じて上記相手端末装置から上記端末装置に送信された呼切断応答信号に応じて上記フィルタ情報の設定によって通過が許可されたパケットの通過を許可しないように、上記フィルタ情報を設定するステップを、上記パケットフィルタリング装置に実行させるパケットフィルタリング制御プログラムである。

請求項９、１０記載の発明によれば、呼切断される際に、端末装置から相手端末装置に向けた呼接続の要求時に通過が許可されたパケットの通過を禁止するので、端末装置に対する不正なアクセスを防止することができる。

本発明は、端末装置に送信されたパケットによって構成されているメディアに頭切れを生じることなく、端末装置に対する不正なアクセスを防止することができるという効果を奏する。

発明を実施するための最良の形態は、以下の実施例である。

図１は、本発明の実施例１であるパケットフィルタリング装置４を含む呼接続システム１の構成を示すブロック図である。

呼接続システム１は、端末装置２と、ネットワーク３と、パケットフィルタリング装置４と、相手端末装置５と、中継装置６と、中継サーバ７と、中継サーバ８とを有する。

端末装置２は、ＩＰ電話機等によって構成されている。パケットフィルタリング装置４は、ネットワーク３と端末装置２との間に設けられている。相手端末装置５は、ＩＰ電話機等によって構成されている。中継装置６は、ネットワーク３と相手端末装置５との間に設けられている。中継サーバ７、８は、端末装置２と相手端末装置５との間で送受信される呼接続に関する信号を中継する。

なお、本発明を理解し易くするために、図１では、簡単な構成を記載しているが、呼接続システムにおいて、複数の端末装置、複数のパケットフィルタリング装置、複数の相手端末装置、複数の中継装置、複数の呼接続サーバを有するようにしてもよい。また、呼接続システム１は、ＳＩＰに準拠して呼接続を行う。

図２は、呼接続システム１におけるパケットフィルタリング装置４の構成を示す機能ブロック図である。

パケットフィルタリング装置４は、端末インタフェース１１と、ネットワークインタフェース１２と、フィルタ情報記憶部１３と、パケットフィルタ部１４とを有する。

端末インタフェース１１は、端末装置２との間で通信する。ネットワークインタフェース１２は、相手端末装置５等のようにネットワーク３を介して接続された装置との間で通信する。フィルタ情報記憶部１３は、ネットワーク３を介して端末装置２に送信されたパケットの通過を許可するか否かを示すフィルタ情報を記億する。パケットフィルタ部１４は、端末装置２に送信されたパケットのうちで、端末装置２に到達されるパケットをフィルタ情報に基づいて制限する。

上記フィルタ情報には、パケットの送信元のＩＰアドレス、パケットの送信先のＩＰアドレス、プロトコルを示す情報、パケットの送信元のポート番号、パケットの送信先のポート番号、パケットの通過を許可するか否かを示す情報が含まれている。

次に、上記フィルタ情報について説明する。

図３は、フィルタ情報の例を説明する図である。

図３における１行目は、次のことを示している。つまり、ＩＰアドレス「１．２．３．６」に割り当てられている装置から、ＩＰアドレス「１．２．３．４」に割り当てられている装置に送信された「ｔｃｐ」（Transmission Control Protocol）に準拠したパケットは、パケットフィルタリング装置４の通過が許可されていることを示している。

また、図３における２行目は、次のことを示している。つまり、ＩＰアドレス「１．２．３．４」に割り当てられている装置に送信され、送信元と送信先のポート番号とが、ともに「１３７」を示す「ｕｄｐ」（User datagram protocol）に準拠したパケットは、パケットフィルタリング装置４の通過が許可されていないことを示している。

図２に戻り、パケットフィルタ部１４は、パケットフィルタリング装置４を通過しようとするパケットの送信元のＩＰアドレス、送信先のＩＰアドレス、プロトコル、送信元のポート番号、送信先のポート番号に基づいて、パケットフィルタリング装置４の通過を制限する。

また、パケットフィルタリング装置４は、候補情報取得部１５と、フィルタ情報設定部１６とを有する。

候補情報取得部１５は、端末装置２から相手端末装置５に送信された呼接続要求を示す呼接続要求信号の中から、受信ポート番号とプロトコルとの組み合わせの候補を含む候補情報を取得する。フィルタ情報設定部１６は、候補情報に含まれている受信ポート番号とプロトコルとに基づいて、端末装置２に送信されたパケットの通過を許可するように、フィルタ情報を設定する。

ＳＩＰに準拠して、端末装置２から相手端末装置５に、呼接続が要求された場合、呼接続要求信号として、メソッド「ＩＮＶＩＴＥ」が、端末装置２から相手端末装置５に送信される。

ＩＮＶＩＴＥ等の呼接続に関する信号には、ＳＤＰ（Session Description Protocol、ＲＦＣ２３２７参照）に準拠した呼接続に関する情報（以下、単に「ＳＤＰ情報」という）を含めることができる。

上記ＳＤＰ情報には、呼接続が完了した際に送受信されるメディアの種別を示す情報、受信ポート番号、プロトコル、メディアのフォーマット等を含むメディアレベル情報を含めることができる。

ＩＮＶＩＴＥに含まれるＳＤＰ情報に、１つ以上のメディアレベル情報が含まれている場合、メディアレベル情報は、呼接続が完了した際に送受信されるメディアの候補を示す候補情報を構成する。

候補情報取得部１５は、端末装置２から相手端末装置５に送信されたＩＮＶＩＴＥに含まれているＳＤＰ情報から、候補情報を取得する。

フィルタ情報設定部１６は、候補情報を構成するメディアレベル情報に基づいて、相手端末装置５が端末装置２に送信したパケットの通過を許可するように、フィルタ情報記憶部１３に記憶されたフィルタ情報を設定する。

また、パケットフィルタリング装置４は、選択情報取得部１７を有する。

情報取得部１７は、呼接続要求信号に応じて相手端末装置５から端末装置２に送信された呼接続応答信号から、受信ポート番号とプロトコルとの組み合わせの候補の中から相手端末装置５が選択した受信ポート番号とプロトコルとの組み合わせを含む選択情報を取得する。

相手端末装置５が、ＩＮＶＩＴＥを受信し、呼接続の要求を受け入れた場合、たとえば、ＩＰ電話機において、オフフックされた場合、呼接続応答信号としてレスポンスコード「２００」（以下、「２００ ＯＫ」と記載する）を、相手端末装置５が、端末装置２に送信する。

上記「２００ ＯＫ」には、ＩＮＶＩＴＥと同様に、ＳＤＰ情報を含めることができる。上記「２００ ＯＫ」に含まれているＳＤＰ情報に、１つ以上のメディアレベル情報が含まれている場合、メディアレベル情報は、呼接続が完了した際に送受信されるメディアの候補から選択されたメディアを示す選択情報を構成する。

選択情報取得部１７は、相手端末装置５が端末装置２に送信した上記「２００ ＯＫ」に含まれているＳＤＰ情報から、選択情報を取得し、フィルタ情報設定部１６は、フィルタ情報の設定によって通過が許可されたパケットのうちで、選択情報を構成するメディアレベル情報に基づいて、相手端末装置５から端末装置２に送信されたパケットを除き、候補情報を構成するメディアレベル情報に基づいてフィルタ情報が先に設定されているパケットの通過を許可しないように、フィルタ情報記憶部１３に設定する。

また、フィルタ情報設定部１６は、候補情報を構成したメディアレベル情報に基づいてフィルタ情報を先に設定することによって通過が許可されたパケットのうちで、相手端末装置５を除く送信元から端末装置２に送信されたパケットの通過を許可しないように、フィルタ情報記憶部１３に記憶されているフィルタ情報を設定する。

なお、候補情報取得部１５が候補情報を取得した際に、ＩＮＶＩＴＥに含まれている情報から、相手端末装置５のＩＰアドレスを取得できる場合、フィルタ情報設定部１６は、候補情報を構成するメディアレベル情報に基づいて、端末装置２に送信されたパケットの通過を許可するように、フィルタ情報記憶部１３に記憶されているフィルタ情報を設定する際に、候補情報を構成したメディアレベル情報に基づいたフィルタ情報を、相手端末装置５から端末装置２に送信されたパケットに限って、通過を許可するように設定するようにしてもよい。

ＳＩＰに準拠して、端末装置２、相手端末装置５のいずれか一方から、他方に呼切断が要求される場合、呼切断要求信号として、メソッド「ＢＹＥ」が、呼切断を要求する側から送信される。

相手端末装置５から端末装置２に、ＢＹＥが送信された場合、フィルタ情報設定部１６は、呼接続時の処理によって最終的に設定されたフィルタ情報の設定によって、通過が許可されたパケットの通過を許可しないように、フィルタ情報記憶部１３に記憶されているフィルタ情報を設定する。

また、端末装置２から相手端末装置５に、ＢＹＥが送信された場合、呼切断要求信号の応答を示す呼切断応答信号として、「２００ ＯＫ」が、相手端末装置５から端末装置２に送信される。

ＢＹＥの送信に応じて、「２００ ＯＫ」が相手端末装置５から端末装置２に送信された場合、フィルタ情報設定部１６は、呼接続時の処理によって最終的に設定されたフィルタ情報によって、通過が許可されたパケットの通過を許可しないように、フィルタ情報記憶部１３に記憶されているフィルタ情報を設定する。

図４は、パケットフィルタリング装置４において、フィルタ情報を設定する動作を示すフローチャートである。

なお、以下に示すフィルタ情報設定動作は、端末装置２から相手端末装置５に送信されたＩＮＶＩＴＥが、端末インタフェース１１を介して、入力されたときにスタートする。

まず、端末インタフェース１１に入力されたＩＮＶＩＴＥに含まれているＳＤＰ情報から、候補情報取得部１５が、候補情報を取得する（Ｓ１）。

次に、候補情報取得部１５が取得した候補情報を構成する各メディアレベル情報に基づいて、端末装置２に送信されたパケットの通過を許可するように、フィルタ情報設定部１６が判断する（Ｓ２、Ｓ４）。

候補情報を構成する各メディアレベル情報に基づいて端末装置２に送信されたパケットの通過を許可するように、フィルタ情報記憶部１３に記憶されているフィルタ情報が、フィルタ情報設定部１６によって設定される（Ｓ３）。

端末装置２から相手端末装置５に送信されたＩＮＶＩＴＥに応じて、相手端末装置５から端末装置２に送信された上記「２００ ＯＫ」が、ネットワークインタフェース１２を介して、受信された場合（Ｓ５）、上記「２００ ＯＫ」に含まれているＳＤＰ情報から、選択情報取得部１７が選択情報を取得する（Ｓ６）。

次に、ステッブＳ３において、通過が許可されたパケットのうちで、選択情報に含まれている候補情報を構成するメディアレベル情報に基づいて、端末装置２に送信されたパケットを除くパケットの通過を許可しないように、フィルタ情報記憶部１３に記憶されているフィルタ情報を、フィルタ情報設定部１６が設定する（Ｓ７）。

また、ステップＳ３において、通過が許可されたパケットのうちで、相手端末装置５のＩＰアドレスを除いたＩＰアドレスを送信元とするパケットの通過を許可しないように、フィルタ情報記憶部１３に記憶されているフィルタ情報を、フィルタ情報設定部１６が設定する（Ｓ８）。

相手端末装置５から端末装置２に、ＢＹＥが送信された場合（Ｓ９）、ステップＳ３において通過が許可されたパケットの通過を許可しないように、フィルタ情報記憶部１３に記憶されているフィルタ情報を、フィルタ情報設定部１６が設定する（Ｓ１２）。

また、端末装置２から相手端末装置５に、ＢＹＥが送信された場合（Ｓ１０）、上記「２００ ＯＫ」が、相手端末装置５から端末装置２に送信されたときに（Ｓ１１）、フィルタ情報設定部１６は、ステップＳ３において通過が許可されたパケットの通過を許可しないように、フィルタ情報記憶部１３に記憶されているフィルタ情報を、フィルタ情報設定部１６が設定する（Ｓ１２）。

図５は、パケットフィルタリング装置４の具体的なハードウェア構成を示す図である。

パケットフィルタリング装置４は、図５に示すように、端末インタフェース１１と、ネットワークインタフェース１２の他に、中央処理装置２０（Central Processing Unit、以下単に「ＣＰＵ」という）、フラッシュメモリ２１、ＲＯＭ（Read Only Memory）２２、ＲＡＭ（Random Access Memory）２３、押しボタン等の入力装置２４、液晶ディスプレイ装置等の出力装置２５を有する。

ＣＰＵ２０は、上記フィルタ情報設定動作を、パケットフィルタリング装置４に実行させるように記述されたパケットフィルタリング制御プログラムを、ＲＯＭ２２からＲＡＭ２３にロードし、ＲＡＭ２３にロードしたパケットフィルタリング制御プログラムを実行することによって、図２に示すパケットフィルタ部１４、候補情報取得部１５、フィルタ情報設定部１６、選択情報取得部１７を実現する。また、フラッシュメモリ２１は、フィルタ情報記憶部１３を構成する。

図６は、実施例１において、パケットフィルタリング装置４を含む呼接続システムのシーケンス図である。

上記のように、パケットフィルタリング装置４によれば、図６に示すように、相手端末装置５から端末装置２に送信されたパケット３０が候補の中のいかなるメディアレベル情報に基づいたものである場合でも、端末装置２が受信できるように、時刻３１で設定される。したがって、相手端末装置５から端末装置２に送信された上記「２００ ＯＫ」が、パケットフィルタリング装置４に到達した時刻３２よりも早い時刻３３に、パケット３０が到達しても、パケット３０が端末装置２に到達するので、パケット３０によって構成されるメディアが頭切れを生じることなく、端末装置２に対する不正なアクセスを防止することができる。

なお、上記実施例では、パケットフィルタリング装置４に１つの端末装置２が接続されているが、パケットフィルタリング装置４に、複数の端末装置が接続されていてもよく、この場合にも、上記実施例における説明と同じように、説明することができる。

つまり、上記実施例は、先に提示される候補情報に従って、その候補情報に示されるパケットの通過許可が既に設定されているか否かの判断を特に必要とせずに、候補情報に示されるパケットの通過許可を実施する。

上記実施例であるパケットフィルタリング装置、パケットフィルタリング制御プログラムは、ＩＰ電話サービスを実現するＩＰネットワーク上に接続される、家庭内のルータ機器等の中継装置におけるファイアウォール等のパケットフィルタリング機能を有し、回線接続サービス業、通信サービス業、ＩＰネットワーク中継装置製造業、ファイアウォールソフトウェア販売業等に利用することができる。

本発明の実施例１であるパケットフィルタリング装置４を含む呼接続システム１の構成を示すブロック図である。 呼接続システム１におけるパケットフィルタリング装置４の構成を示す機能ブロック図である。 フィルタ情報の例を説明する図である。 パケットフィルタリング装置４において、フィルタ情報を設定する動作を示すフローチャートである。 パケットフィルタリング装置４の具体的なハードウェア構成を示す図である。 実施例１において、パケットフィルタリング装置４を含む呼接続システムのシーケンス図である。 インターネット電話（以下、「ＩＰ電話」という）等における呼制御サービスにおける従来の呼接続システム１０１を示すブロック図である。 従来の呼接続システム１０１における動作を示すシーケンス図である。

符号の説明

１…呼接続システム、
２…端末装置、
３、５３…ネットワーク、
４…パケットフィルタリング装置、
５…相手端末装置、
６、５２、５５…中継装置、
７、８…中継サーバ、
１１…端末インタフェース、
１２…ネットワークインタフェース
１３…フィルタ情報記憶部、
１４…パケットフィルタ部、
１５…候補情報取得部、
１６…フィルタ情報設定部、
１７…選択情報取得部、
２０…ＣＰＵ、
２１…フラッシュメモリ、
２２…ＲＯＭ、
２３…ＲＡＭ、
２４…入力装置、
２５…出力装置、
５１、５４…ＩＰ電話端末、
５６、５７…ＩＰ電話中継サーバ。

Claims (10)

1. 端末装置とネットワークとの間に設けられるパケットフィルタリング装置において、
   上記ネットワークを介して上記端末装置に送信されたパケットが通過することを、許可するか否かを示すフィルタ情報を、記憶するフィルタ情報記憶部と；
   上記端末装置に送信されたパケットが上記端末装置に到達することを、上記フィルタ情報に基づいて制限するパケットフィルタ部と；
   上記端末装置から、上記ネットワークを介して、相手端末装置に送信された呼接続要求を示す呼接続要求信号の中から、受信ポート番号とプロトコルとの組み合わせの候補を含む候補情報を、取得する候補情報取得部と；
   上記候補情報に示されている受信ポート番号とプロトコルとに基づいて、上記端末装置に送信されたパケットの通過を許可するように、上記フィルタ情報を設定するフィルタ情報設定部と；
   を有することを特徴とするパケットフィルタリング装置。
2. 請求項１において、
   上記呼接続要求信号に応じて、上記相手端末装置から上記端末装置に送信された呼接続応答信号の中から、上記相手端末装置が上記組み合わせの候補から選択した受信ポート番号とプロトコルとの組み合わせを含む選択情報を、取得する選択情報取得部が設けられ、
   上記フィルタ情報設定部は、上記候補情報に基づいて設定された上記フィルタ情報に応じて通過が許可されたパケットのうちで、上記選択情報に含まれている受信ポート番号とプロトコルとに基づいて上記端末装置に送信されたパケットを除くパケットの通過を許可しないように、上記フィルタ情報を設定する設定部であることを特徴とするパケットフィルタリング装置。
3. 請求項１または請求項２において、
   上記フィルタ情報設定部は、上記選択情報に基づいて設定された上記フィルタ情報に応じて通過が許可されたパケットのうちで、上記相手端末装置を除く送信元から上記端末装置に送信されたパケットの通過を許可しないように、上記フィルタ情報を設定する設定部であることを特徴とするパケットフィルタリング装置。
4. 請求項１〜請求項３のいずれか１項において、
   上記フィルタ情報設定部は、上記相手端末装置が、上記端末装置に、呼切断の要求を示す呼切断要求信号を送信した場合、上記フィルタ情報の設定に応じて通過が許可されたパケットの通過を許可しないように、上記フィルタ情報を設定する設定部であることを特徴とするパケットフィルタリング装置。
5. 請求項１〜請求項４のいずれか１項において、
   上記フィルタ情報設定部は、上記端末装置から上記相手端末装置に、呼切断の要求を示す呼切断要求信号が送信された場合、上記呼切断要求信号に応じて、上記相手端末装置から上記端末装置に送信された呼切断応答信号に応じて、上記フィルタ情報の設定によって通過が許可されたパケットの通過を許可しないように、上記フィルタ情報を設定する設定部であることを特徴とするパケットフィルタリング装置。
6. 端末装置とネットワークとの間に設けられるパケットフィルタリング装置に実行させるパケットフィルタリング制御プログラムであって、
   上記ネットワークを介して上記端末装置に送信されたパケットの通過を許可するか否かを示すフィルタ情報をメモリに記憶し、上記フィルタ情報に基づいて、上記端末装置に送信されたパケットが上記端末装置に到達することを制限するステップと；
   上記端末装置から上記ネットワークに接続された相手端末装置に送信された呼接続要求を示す呼接続要求信号から、受信ポート番号とプロトコルとの組み合わせの候補を含む候補情報を取得し、メモリに記憶するステップと；
   上記候補情報に表された受信ポート番号とプロトコルとに基づいて、上記端末装置に送信されたパケットの通過を許可するように、上記フィルタ情報を設定するフィルタ情報設定ステップと；
   を、上記パケットフィルタリング装置に実行させるパケットフィルタリング制御プログラム。
7. 請求項６において、
   上記呼接続要求信号に応じて、上記相手端末装置から上記端末装置に送信された呼接続応答信号から、上記相手端末装置が上記候補から選択した受信ポート番号とプロトコルとの組み合わせを含む選択情報を、取得するステップと；
   上記候補情報に基づいて上記フィルタ情報設定ステップで通過が許可されたパケットのうちで、上記選択情報に含まれた受信ポート番号とプロトコルとに基づいて上記端末装置に送信されたパケットを除くパケットの通過を許可しないように、上記フィルタ情報を設定するステップと；
   を、上記パケットフィルタリング装置に実行させるパケットフィルタリング制御プログラム。
8. 請求項６または請求項７において、
   上記選択情報によって上記フィルタ情報設定ステップで通過が許可されたパケットのうちで、上記相手端末装置を除く送信元から上記端末装置に送信されたパケットの通過を許可しないように、上記フィルタ情報を設定するステップを、上記パケットフィルタリング装置に実行させることを特徴とするパケットフィルタリング制御プログラム。
9. 請求項６〜請求項８のいずれか１項において、
   上記相手端末装置から上記端末装置に向けて呼切断の要求を示す呼切断要求信号が送信された場合、上記フィルタ情報の設定によって通過が許可されたパケットの通過を許可しないように、上記フィルタ情報を設定するステップを、上記パケットフィルタリング装置に実行させるパケットフィルタリング制御プログラム。
10. 請求項６〜請求項９のいずれか１項において、
    上記端末装置から上記相手端末装置に向けて呼切断の要求を示す呼切断要求信号が送信された場合、上記呼切断要求信号に応じて上記相手端末装置から上記端末装置に送信された呼切断応答信号に応じて上記フィルタ情報の設定によって通過が許可されたパケットの通過を許可しないように、上記フィルタ情報を設定するステップを、上記パケットフィルタリング装置に実行させるパケットフィルタリング制御プログラム。

Images