JP4487150B2 - 通信装置、ファイアーウォール制御方法、及びファイアーウォール制御プログラム - Google Patents

Description

本発明は、ファイアーウォール制御方法に関し、特にＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）装置のファイアーウォール制御方法に関する。

企業等におけるＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）装置（以下、装置）のファイアーウォール制御方法として、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス判定方式による社内社外判定方法が知られている。しかし、ＩＰアドレス判定方式による社内社外判定方法では、装置が社外ネットワークに接続されているにもかかわらず、ＮＡＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ）ルータのローカルエリア側に設置されている場合、装置は、社内ネットワークに接続されていると誤判定していた。この結果、装置のファイアーウォール機能が有効にならず、装置からインターネットへの直接アクセスが可能になりセキュリティの低下を招いていた。

例えば、ＩＰアドレスを基にした社内社外判定方法では、ネットワーク管理者（以下、管理者）は、社内ネットワークであることを定義したＩＰアドレスの範囲（ネットワークアドレス）を予め装置に設定する。装置は、装置のインタフェース（Ｉ／Ｆ：ｉｎｔｅｒｆａｃｅ）に付与されたＩＰアドレスとネットワークアドレスとを比較し、ＩＰアドレスがネットワークアドレスに含まれる場合、装置が社内ネットワークに接続されていると判断してファイアーウォールを無効にし、ＩＰアドレスがネットワークアドレスに含まれない場合、装置が社外ネットワークに接続されていると判断してファイアーウォールを有効にしていた。

通常、企業内ネットワークでは、管理者は、「１９２．１６８．０．０／１６」、「１７２．１６．０．０／１２」、「１０．０．０．０／８」等のローカルアドレスを装置に割り当て、ルータをデフォルトゲートウェイ（Ｄｅｆａｕｌｔ Ｇａｔｅｗａｙ）として使用し、ルータ上でＮＡＴを機能させている。管理者は、このローカルアドレスを社内ネットワークとして認識して、装置に設定する。装置が社内ネットワークに設置された場合、ネットワークに割り当てられるＩＰアドレスはローカルアドレスとなり、両者は明確に一致し、装置は、社内ネットワークに設置されていると判断し、ファイアーウォールを無効にする。装置が社外ネットワークに設置された場合、ネットワークに割り当てられるＩＰアドレスはローカルアドレス以外のグローバルアドレスとなり、両者は明確に一致することがなく、装置は、社外ネットワークに設置されていると判断し、ファイアーウォールを有効にする。

ところが、装置が社外ネットワークに設置されていても、ＮＡＴルータが装置のインタフェースにローカルアドレスを付与する設定にしてある場合には、上記と同様の動作に従うと、装置は社内ネットワークに設置されていると判断し、管理者の意図に反して、装置のファイアーウォール機能が有効にならず、装置からインターネットへの直接アクセスが可能になり、セキュリティの低下を招いてしまう。このように、ＩＰアドレス判定方式による社内社外判定方法では、誤判定する危険性がある。誤判定した結果、ファイアーウォールが無効になり、セキュリティが低下する。

なお、ここでは、ＮＡＴを使用する場合を例に説明しているが、ＮＡＴの代わりに、ＮＡＰＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｐｏｒｔ Ｔｒａｎｓｌａｔｉｏｎ）を使用する場合も同様である。ブロードバンドルータのスペック表等では、ＮＡＰＴの意味で「ＮＡＴ機能搭載」と表記していることもある。ＮＡＰＴの例として、ＩＰマスカレード（ＩＰ ｍａｓｑｕｅｒａｄｅ）がある。

関連する技術として、特開２００４−１７２９３１号公報（特許文献１）に「動的ＩＰアドレス割り当てに対応したファイアウォールシステム」が開示されている。
この関連技術では、アクセス管理サーバが端末に割り当て期限付きのＩＰアドレスを割り当てている間、あるいは端末が動的に割り当てられたＩＰアドレスを自ら返却するまでの間のみ、端末のＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレス単位にどのようなインターネットへのアクセスが許可されているかを示すインターネットアクセス制御情報をファイアウォールに登録することにより、割り当て期限付きのＩＰアドレスを動的に割り当てられた端末からのインターネットへのアクセスを端末のＭＡＣアドレス単位に制御する。

また、特開２００４−３０４３７１号公報（特許文献２）に「レイヤ２のスイッチング装置」が開示されている。
この関連技術では、レイヤ２のスイッチング装置は、第１及び第２ホストの一方のＩＰアドレスをＩＰ送信元アドレスとして含み、且つ他方のＭＡＣ及びＩＰアドレスをＭＡＣ及びＩＰ宛先アドレスとして含むエントリが登録されたフローテーブルと、一方のＩＰアドレスがＩＰ送信元アドレスとして設定され且つ他方のＩＰアドレスがＩＰ宛先アドレスとして設定されたデータが一方から受信された場合に、このデータに設定されているＭＡＣ宛先アドレスをフローテーブルのエントリに基づいて他方のＭＡＣアドレスに変換する変換手段と、ＭＡＣ宛先アドレスが変換されたデータを他方へ向けて送出する手段とを含む。

また、特開２００６−１３４１５１号公報（特許文献３）に「機器認証装置およびコンピュータプログラム」が開示されている。
この関連技術では、ネットワーク接続させる初期登録時に自己に隣接するネットワーク機器のＭＡＣアドレス、ネットワーク経路情報およびルーティング情報を検出して判定データを生成する。判定データ生成後、一定期間経過する毎に自己に隣接するネットワーク機器のＭＡＣアドレス、ネットワーク経路情報およびルーティング情報を検出して位置データを生成して判定データと比較し、「ＭＡＣアドレス一致率」、「ネットワーク経路情報一致率」および「ルーティング情報一致率」のいずれかが閾値より小さい場合に、自己の移動を検知して機器機能停止を指示する。

また、特開２００７−０１８４７９号公報（特許文献４）に「位置情報による電子メール送受信の最適化」が開示されている。
この関連技術では、ネットワークに接続する際に必要となるデフォルトゲートウェイのＭＡＣアドレスにより利用場所を判断し、端末（ＰＣ・ＰＤＡ・無線ＬＡＮ内臓携帯電話・ＩＰ携帯電話・ゲーム機等）から、ネットワークに接続した際、専用サーバにアクセスして、サーバへの認証情報と共に位置情報を付加して送り、利用場所に適した電子メールのやり取りを可能にすることを図っている。

特開２００４−１７２９３１号公報 特開２００４−３０４３７１号公報 特開２００６−１３４１５１号公報 特開２００７−０１８４７９号公報

本発明の目的は、デフォルトゲートウェイのＭＡＣアドレスを基にしたファイアーウォール制御を行う通信装置、ファイアーウォール制御方法、及びファイアーウォール制御プログラム提供することである。

本発明の通信装置は、事前に特定のローカルネットワークに設置された際に、特定のローカルネットワークのデフォルトゲートウェイのＭＡＣアドレスである第１ＭＡＣアドレスを設定するためのＭＡＣアドレス設定手段と、第１ＭＡＣアドレスを保存するＭＡＣアドレス保存手段と、インタフェースが有効になった際に、インタフェースを介して同一ネットワーク上にあるデフォルトゲートウェイのＭＡＣアドレスである第２ＭＡＣアドレスを取得するＭＡＣアドレス取得手段と、第１ＭＡＣアドレスと第２ＭＡＣアドレスとを比較し、比較結果に基づいて特定のローカルネットワークに設置されているかどうかを判定し、判定結果に従ってファイアーウォールの有効無効を制御するＭＡＣアドレス比較手段とを具備する。特定のローカルネットワークの例として、社内ネットワークが考えられる。ＭＡＣアドレスは、その他の固有番号でも良い。

本発明のファイアーウォール制御方法は、事前に特定のローカルネットワークに設置された際に、特定のローカルネットワークのデフォルトゲートウェイのＭＡＣアドレスである第１ＭＡＣアドレスを設定するステップと、第１ＭＡＣアドレスを管理するステップと、インタフェースが有効になった際に、インタフェースを介して同一ネットワーク上にあるデフォルトゲートウェイのＭＡＣアドレスである第２ＭＡＣアドレスを取得するステップと、第１ＭＡＣアドレスと第２ＭＡＣアドレスとを比較し、比較結果に基づいて特定のローカルネットワークに設置されているかどうかを判定し、判定結果に従ってファイアーウォールの有効無効を制御するステップとを含む。

本発明のファイアーウォール制御プログラムは、事前に特定のローカルネットワークに設置された際に、特定のローカルネットワークのデフォルトゲートウェイのＭＡＣアドレスである第１ＭＡＣアドレスを設定するステップと、第１ＭＡＣアドレスを管理するステップと、インタフェースが有効になった際に、インタフェースを介して同一ネットワーク上にあるデフォルトゲートウェイのＭＡＣアドレスである第２ＭＡＣアドレスを取得するステップと、第１ＭＡＣアドレスと第２ＭＡＣアドレスとを比較し、比較結果に基づいて特定のローカルネットワークに設置されているかどうかを判定し、判定結果に従ってファイアーウォールの有効無効を制御するステップとをコンピュータに実行させるためのプログラムである。

装置が社内ネットワークに設置されているか、社外ネットワークに設置されているかを正確に判断し、ファイアーウォールの制御を適切に制御することが可能になり、厳重なセキュリティを保つことが可能になる。

以下に、本発明の第１実施形態について添付図面を参照して説明する。
図１を参照すると、本実施形態の通信装置１０は、ＭＡＣアドレス入力部１１と、ＭＡＣアドレス保存部１２と、ＭＡＣアドレス取得部１３と、ＭＡＣアドレス比較部１４と、インタフェース１５と、ファイアーウォール１６と、アプリケーション１７を備える。

通信装置１０は、ファイアーウォール機能を有するＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）装置である。また、通信装置１０は、ＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）等のネットワークアダプタでも良い。例えば、通信装置１０は、通信用インタフェース（Ｉ／Ｆ：ｉｎｔｅｒｆａｃｅ）上の半導体集積回路（ＩＣ：Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）でも良い。

ＭＡＣアドレス入力部１１は、管理者の入力操作に基づいて、社内ネットワークに通信装置１０を設置した場合のデフォルトゲートウェイのＭＡＣアドレスを通信装置１０に入力する。すなわち、ＭＡＣアドレス入力部１１は、社内ネットワークのデフォルトゲートウェイのＭＡＣアドレスを通信装置１０に設定する。ＭＡＣアドレス保存部１２は、ＭＡＣアドレス入力部１１より入力されたＭＡＣアドレスを保存する。ＭＡＣアドレス取得部１３は、インタフェース１５を介して同一のネットワーク上にあるデフォルトゲートウェイのＭＡＣアドレスを取得する。なお、ＭＡＣアドレス取得部１３は、インタフェース１５を含んでいても良い。ＭＡＣアドレス比較部１４は、ＭＡＣアドレス保存部１２とＭＡＣアドレス取得部１３のＭＡＣアドレスを比較し、通信装置１０が社内ネットワークに設置されているかどうかを判定する。また、ＭＡＣアドレス比較部１４は、判定結果に従ってファイアーウォール１６の有効無効を制御する。インタフェース１５は、有効になれば、社内外のネットワークに接続する。ファイアーウォール１６は、有効になれば、通信装置１０のファイアーウォールとして機能する。アプリケーション１７は、インタフェース１５を介して、社内外のネットワークにアクセスする。

ＭＡＣアドレス入力部１１の例として、キーボード、ボタン、タッチパネル、タブレット（ｔａｂｌｅｔ）、マウス及び画面上のキーパッド等の入力装置等が考えられる。また、入力部１１は、通信装置１０の外部から入力を受け付ける入力用インタフェースでも良い。

ＭＡＣアドレス保存部１２の例として、メモリやストレージ等の記憶装置、バッファ（ｂｕｆｆｅｒ）等の記憶領域、又は記憶媒体（メディア）等が考えられる。

ＭＡＣアドレス取得部１３、ＭＡＣアドレス比較部１４、ファイアーウォール１６、及びアプリケーション１７の例として、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）やマイクロプロセッサ（ｍｉｃｒｏｐｒｏｃｅｓｓｏｒ）等の処理装置、又は、ＭＡＣアドレス取得部１３、ＭＡＣアドレス比較部１４、ファイアーウォール１６、及びアプリケーション１７として機能する半導体集積回路（ＩＣ）が考えられる。或いは、ＭＡＣアドレス取得部１３、ＭＡＣアドレス比較部１４、ファイアーウォール１６、及びアプリケーション１７は、通信装置１０を、ＭＡＣアドレス取得部１３、ＭＡＣアドレス比較部１４、ファイアーウォール１６、及びアプリケーション１７として機能させるためのプログラムでも良い。

インタフェース１５の例として、ＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）等のネットワークアダプタや、アンテナ等の通信装置、その他の通信用インタフェース等が考えられる。ネットワークは、有線、無線を問わない。ネットワークの例として、インターネット、イントラネット、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、無線ＬＡＮ（Ｗｉｒｅｌｅｓｓ ＬＡＮ）、ＡＤＳＬ（Ａｓｙｍｍｅｔｒｉｃ Ｄｉｇｉｔａｌ Ｓｕｂｓｃｒｉｂｅｒ Ｌｉｎｅ）、ＣＡＴＶ（ケーブルテレビ）回線、光ファイバー回線、専用線、電話回線、ＩｒＤＡ（Ｉｎｆｒａｒｅｄ Ｄａｔａ Ａｓｓｏｃｉａｔｉｏｎ）、Ｂｌｕｅｔｏｏｔｈ（登録商標）、ＷｉＭＡＸ、３Ｇ（第３世代携帯電話）、シリアル通信等が考えられる。但し、実際には、これらの例に限定されない。

なお、ＭＡＣアドレスは、ネットワークカード毎に固有のＩＤ番号である。ＭＡＣアドレスは、ＩＥＥＥ（Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｅｌｅｃｔｒｉｃａｌ ａｎｄ Ｅｌｅｃｔｒｏｎｉｃ Ｅｎｇｉｎｅｅｒｓ）が管理・割り当てをしている各メーカー毎に固有な番号と、メーカーが独自に各カードに割り当てる番号の組み合わせによって表される。通常、ＭＡＣアドレスは、ネットワークカード等のハードウェアと一体不可分な物理アドレスであり、システム上の設定により変更することが不可能であるため、不変である。

一方、ＩＰアドレスは、ネットワークに接続された通信機器毎に割り当てられた識別番号である。一般的に、ＩＰアドレスは、システム上の設定により変更することが可能である。例えば、ＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）サーバを使用して、通信機器に対して、動的にＩＰアドレスを割り当てる場合、通信機器がネットワークに接続する度に、異なるＩＰアドレスが割り当てられる。

図２に示すように、本実施形態の通信装置１０は、社内ネットワーク１００及び社内ネットワーク２００のどちらにも設置することが可能である。社内ネットワーク１００は、デフォルトゲートウェイ１１０を介してインターネット３００に接続される。また、社外ネットワーク２００は、デフォルトゲートウェイ２１０を介してインターネット３００に接続される。

図３を参照して、本実施形態における動作について説明する。
（１）ステップＳ１０１
管理者は、通信装置１０が社内ネットワーク１００に設置されている場合のデフォルトゲートウェイ１１０のＭＡＣアドレスを予め調べて、ＭＡＣアドレス入力部１１から通信装置１０に入力する。すなわち、ＭＡＣアドレス入力部１１は、事前に、管理者の入力操作に基づいて、社内ネットワーク１００のデフォルトゲートウェイ１１０のＭＡＣアドレスを取得する。
（２）ステップＳ１０２
ＭＡＣアドレス保存部１２は、上記のＭＡＣアドレスをＭＡＣアドレス入力部１１から受け取り、受け取ったＭＡＣアドレスを記憶する。例えば、ＭＡＣアドレス保存部１２は、ＭＡＣアドレス入力部１１からデフォルトゲートウェイ１１０のＭＡＣアドレスに関する通知を受け取り、通知されたＭＡＣアドレスを記憶する。ここでは、ＭＡＣアドレス保存部１２に記憶されたＭＡＣアドレスを、第１ＭＡＣアドレスと呼ぶ。ＭＡＣアドレス保存部１２は、第１ＭＡＣアドレスをＭＡＣアドレス比較部１４に提供する。
（３）ステップＳ１０３
ＭＡＣアドレス取得部１３は、インタフェース１５が有効になり、通信装置１０が何らかのネットワークに接続された場合、デフォルトゲートウェイ１１０のＭＡＣアドレスを、インタフェース１５を介して取得し、取得されたＭＡＣアドレスを記憶する。なお、インタフェース１５は、通信装置１０が何らかのネットワークに接続された場合、自動的に有効になるようにしても良い。ここでは、ＭＡＣアドレス取得部１３は、インタフェース１５が有効になった場合、必ずデフォルトゲートウェイ１１０のＭＡＣアドレスを取得し直すものとする。例えば、ＭＡＣアドレス取得部１３は、ＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）により、ＭＡＣアドレスを取得する。この場合、ＭＡＣアドレス取得部１３は、予め設定されたデフォルトゲートウェイ１１０のＩＰアドレスに基づいて、デフォルトゲートウェイ１１０のＭＡＣアドレスを取得する。ここでは、ＭＡＣアドレス取得部１３により取得されたＭＡＣアドレスを、第２ＭＡＣアドレスと呼ぶ。ＭＡＣアドレス取得部１３は、第２ＭＡＣアドレスをＭＡＣアドレス比較部１４に提供する。なお、実際には、ＭＡＣアドレス保存部１２が、第１ＭＡＣアドレスと第２ＭＡＣアドレスとを共に記憶し、ＭＡＣアドレス比較部１４に提供するようにしても良い。また、ＭＡＣアドレス取得部１３は、デフォルトゲートウェイ１１０のＭＡＣアドレスを、インタフェース１５を介して取得できない場合、第２ＭＡＣアドレスを空欄にする。
（４）ステップＳ１０４
ＭＡＣアドレス比較部１４は、第１ＭＡＣアドレスと第２ＭＡＣアドレスとを比較し、比較結果に基づいて、通信装置１０が社内ネットワーク１００に設置されているかどうかを判定する。ＭＡＣアドレス比較部１４は、第１ＭＡＣアドレスと第２ＭＡＣアドレスとが一致した場合、通信装置１０が社内ネットワーク１００に設置されていると判断する。ＭＡＣアドレス比較部１４は、第１ＭＡＣアドレスと第２ＭＡＣアドレスとが一致しない場合、通信装置１０が社外ネットワーク２００に設置されていると判断する。ＭＡＣアドレス比較部１４は、判定結果に従ってファイアーウォール１６の有効無効を制御する。
（５）ステップＳ１０５
ＭＡＣアドレス比較部１４は、通信装置１０が社内ネットワーク１００に設置されていると判断した場合、ファイアーウォール１６を無効にして、アプリケーション１７と社内ネットワーク１００との間の全ての通信を許可する。
（６）ステップＳ１０６
ＭＡＣアドレス比較部１４は、通信装置１０が社外ネットワーク２００に設置されていると判断した場合、ファイアーウォール１６を有効にして、アプリケーション１７と社外ネットワーク２００との間の全ての通信を許可しない。

図４を参照して、本実施形態におけるＭＡＣアドレスによるファイアーウォール制御の実施例について説明する。
まず、管理者は、事前に、通信装置１０が社内ネットワーク１００に設置されている場合に、社内ネットワーク１００のデフォルトゲートウェイ１１０のＭＡＣアドレスを通信装置１０に設定する。このとき、管理者は、デフォルトゲートウェイ１１０のＩＰアドレスも通信装置１０に設定すると好適である。その後、通信装置１０は、社内ネットワーク１００に設置された場合、予め設定された社内ネットワーク１００のデフォルトゲートウェイ１１０のＩＰアドレスに基づいて、デフォルトゲートウェイ１１０にＡＲＰ要求を行い、デフォルトゲートウェイ１１０からＡＲＰ応答によりＭＡＣアドレスを受け取る。通信装置１０は、管理者により設定されたＭＡＣアドレスと、ＡＲＰ応答により受け取ったＭＡＣアドレスとが一致する場合、社内ネットワーク１００に設置されていると判断し、ファイアーウォールを無効にする。

また、通信装置１０は、社外ネットワーク２００に設置された場合、予め設定された社内ネットワーク１００のデフォルトゲートウェイ１１０のＩＰアドレスに基づいて、社外ネットワーク２００のデフォルトゲートウェイ２１０にＡＲＰ要求を試みる。通信装置１０は、社外ネットワーク２００のデフォルトゲートウェイ２１０からＡＲＰ応答によりＭＡＣアドレスを受け取った場合、管理者により設定されたＭＡＣアドレスと、ＡＲＰ応答により受け取ったＭＡＣアドレスとが一致しないため、社外ネットワーク２００に設置されていると判断し、ファイアーウォールを有効にする。なお、通信装置１０は、社外ネットワーク２００のデフォルトゲートウェイ２１０からＡＲＰ応答によりＭＡＣアドレスを受け取ることができなかった場合も、社外ネットワーク２００に設置されていると判断し、ファイアーウォールを有効にする。

これにより、通信装置１０が社内ネットワークに設置されているか、社外ネットワークに設置されているかを正確に判断し、ファイアーウォールの制御を適切に制御することができるため、厳重なセキュリティを保つことが可能になる。また、装置が、自身の設置されている位置を判断し、ファイアーウォール機能を有効無効にする制御を自動的に行うため、セキュリティ管理が容易になる。

以下に、本発明の第２実施形態について説明する。
本実施形態では、比較対象のデフォルトゲートウェイのＭＡＣアドレス入力を、通信装置１０が自動取得する。例えば、通信装置１０が多数である場合、管理者が社内ネットワークのデフォルトゲートウェイのＭＡＣアドレスを手入力で全ての通信装置１０に設定するのは、管理上、非常に手間なので、これを解決する。ここでは、ＭＡＣアドレス入力部１１の代わりに、ＭＡＣアドレス自動取得部２１を設ける。

図５を参照すると、本実施形態の通信装置１０は、ＭＡＣアドレス自動取得部２１と、ＭＡＣアドレス保存部１２と、ＭＡＣアドレス取得部１３と、ＭＡＣアドレス比較部１４と、インタフェース１５と、ファイアーウォール１６と、アプリケーション１７を備える。なお、ＭＡＣアドレス保存部１２、ＭＡＣアドレス取得部１３、ＭＡＣアドレス比較部１４、インタフェース１５、ファイアーウォール１６、及びアプリケーション１７については、第１実施形態と同様である。

通信装置１０は、ファイアーウォール機能を有するＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）装置である。ここでは、通信装置１０は、クライアントサーバシステム（ＣＳＳ：Ｃｌｉｅｎｔ Ｓｅｒｖｅｒ Ｓｙｓｔｅｍ）におけるクライアントＰＣとする。また、通信装置１０は、クライアントＰＣに搭載されるＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）等のネットワークアダプタでも良い。例えば、通信装置１０は、通信用インタフェース（Ｉ／Ｆ：ｉｎｔｅｒｆａｃｅ）上の半導体集積回路（ＩＣ：Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）でも良い。

ＭＡＣアドレス自動取得部２１は、社内ネットワークに通信装置１０を設置した場合のデフォルトゲートウェイのＭＡＣアドレスを自動的に取得する。すなわち、ＭＡＣアドレス自動取得部２１は、社内ネットワークのデフォルトゲートウェイのＭＡＣアドレスを通信装置１０に設定する。ここでは、ＭＡＣアドレス自動取得部２１は、社内ネットワーク上のサーバ２０に接続された際、サーバ２０が保持するデフォルトゲートウェイのＭＡＣアドレスの情報を自動的に取得する。このとき、ＭＡＣアドレス自動取得部２１は、社内ネットワーク上の少なくとも１つのサーバ２０の所在を特定するためのローカルアドレス等の情報を有しているものとする。

ＭＡＣアドレス自動取得部２１の例として、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）やマイクロプロセッサ（ｍｉｃｒｏｐｒｏｃｅｓｓｏｒ）等の処理装置、又は、ＭＡＣアドレス自動取得部２１として機能する半導体集積回路（ＩＣ）が考えられる。或いは、ＭＡＣアドレス自動取得部２１は、通信装置１０を、ＭＡＣアドレス自動取得部２１として機能させるためのプログラムでも良い。

図６に示すように、本実施形態の通信装置１０は、社内ネットワーク１００及び社内ネットワーク２００のどちらにも設置することが可能である。サーバ２０は、社内ネットワーク１００に設置されている。通信装置１０及びサーバ２０は、社内ネットワーク１００内で通信可能である。社内ネットワーク１００は、デフォルトゲートウェイ１１０を介してインターネット３００に接続される。また、社外ネットワーク２００は、デフォルトゲートウェイ２１０を介してインターネット３００に接続される。

図７を参照して、本実施形態における動作について説明する。
（１）ステップＳ２０１
管理者は、社内ネットワーク１００上のサーバ２０に、社内ネットワーク１００におけるデフォルトゲートウェイ１１０のＩＰアドレスを設定する。
（２）ステップＳ２０２
サーバ２０は、デフォルトゲートウェイ１１０のＩＰアドレスを設定された際、ＡＲＰ等の方法を使ってデフォルトゲートウェイ１１０のＭＡＣアドレスを取得する。なお、サーバ２０は、周期的に、デフォルトゲートウェイ１１０のＭＡＣアドレスを取得するようにしても良い。
（３）ステップＳ２０３
ＭＡＣアドレス自動取得部２１は、通信装置１０が社内ネットワーク１００に接続された際、社内ネットワーク１００上のサーバ２０からネットワークの情報を取得すると同時に、デフォルトゲートウェイ１１０のＭＡＣアドレスを取得できるか判定する。このとき、ＭＡＣアドレス自動取得部２１は、通信装置１０が何らかのネットワークに接続された際、社内ネットワーク１００上のサーバ２０への接続を試み、サーバ２０に接続できた場合、通信装置１０が社内ネットワーク１００に接続されたと判断するようにしても良い。
（４）ステップＳ２０４
ＭＡＣアドレス自動取得部２１は、サーバ２０からデフォルトゲートウェイ１１０のＭＡＣアドレスを取得できない場合、サーバ２０に対して、デフォルトゲートウェイ１１０のＭＡＣアドレスを取得するように指示する。
（５）ステップＳ２０５
ＭＡＣアドレス自動取得部２１は、サーバ２０に対する指示の応答として、サーバ２０からデフォルトゲートウェイ１１０のＭＡＣアドレスを取得できるか判定する。
（６）ステップＳ２０６
ＭＡＣアドレス自動取得部２１は、サーバ２０に対する指示の応答として、サーバ２０からデフォルトゲートウェイ１１０のＭＡＣアドレスを取得できない場合、ＭＡＣアドレス比較部１４に対して、ファイアーウォール１６を有効にするように指示する。
（７）ステップＳ２０７
ＭＡＣアドレス自動取得部２１は、サーバ２０からデフォルトゲートウェイ１１０のＭＡＣアドレスを取得できる場合、デフォルトゲートウェイ１１０のＭＡＣアドレスを取得する。ＭＡＣアドレス自動取得部２１により取得されたＭＡＣアドレスを、第３ＭＡＣアドレスと呼ぶ。第３ＭＡＣアドレスは、第1実施形態における第１ＭＡＣアドレスに相当する。このとき、ＭＡＣアドレス保存部１２が、第３ＭＡＣアドレスを記憶しても良い。なお、ＭＡＣアドレス自動取得部２１は、一度でも第３ＭＡＣアドレスを取得したことがあれば、第３ＭＡＣアドレスを取得する処理を行わなくても良い。但し、実際には、ＭＡＣアドレス自動取得部２１は、通信装置１０が何らかのネットワークに接続される毎に、第３ＭＡＣアドレスを取得するようにしても良い。
（８）ステップＳ２０８
ＭＡＣアドレス取得部１３は、インタフェース１５が有効となり、通信装置１０が何らかのネットワークに接続された際、当該ネットワークのデフォルトゲートウェイのＭＡＣアドレスを、インタフェース１５を介して取得し、取得されたＭＡＣアドレスを記憶する。ここでは、デフォルトゲートウェイは、デフォルトゲートウェイ１１０又はデフォルトゲートウェイ２１０となる。ＭＡＣアドレス取得部１３により取得されたＭＡＣアドレスは、第２ＭＡＣアドレスである。このとき、ＭＡＣアドレス保存部１２が、第２ＭＡＣアドレスを記憶しても良い。また、ＭＡＣアドレス取得部１３は、デフォルトゲートウェイ１１０のＭＡＣアドレスを、インタフェース１５を介して取得できない場合、第２ＭＡＣアドレスを空欄にする。
（９）ステップＳ２０９
ＭＡＣアドレス比較部１４は、第２ＭＡＣアドレスと第３ＭＡＣアドレスとを共に参照できるようになれば、第２ＭＡＣアドレスと第３ＭＡＣアドレスとを比較する。
（１０）ステップＳ２１０
ＭＡＣアドレス比較部１４は、社内ネットワーク１００に設置されていれば、第２ＭＡＣアドレスと第３ＭＡＣアドレスとが一致するので、ファイアーウォール１６を無効にする。
（１１）ステップＳ２１１
ＭＡＣアドレス比較部１４は、社外ネットワーク２００に設置されていれば、第２ＭＡＣアドレスと第３ＭＡＣアドレスとが一致しないので、ファイアーウォール１６を有効にする。なお、ＭＡＣアドレス比較部１４は、第２ＭＡＣアドレスと第３ＭＡＣアドレスとがどちらも空欄である場合も、社外ネットワーク２００に設置されていると判断し、ファイアーウォール１６を有効にする。

図８を参照して、本実施形態におけるＭＡＣアドレスによるファイアーウォール制御の実施例について説明する。
まず、管理者は、事前に、社内ネットワーク１００のデフォルトゲートウェイ１１０のＩＰアドレスを、社内ネットワーク１００に設置されているサーバ２０に設定する。サーバ２０は、管理者により設定された社内ネットワーク１００のデフォルトゲートウェイ１１０のＩＰアドレスに基づいて、デフォルトゲートウェイ１１０にＡＲＰ要求を行い、デフォルトゲートウェイ１１０からＡＲＰ応答によりＭＡＣアドレスを受け取る。通信装置１０は、社内ネットワーク１００に設置された場合、サーバ２０に情報取得要求を行い、サーバ２０から情報取得応答としてデフォルトゲートウェイ１１０のＭＡＣアドレスを受け取る。また、通信装置１０は、予め設定された社内ネットワーク１００のデフォルトゲートウェイ１１０のＩＰアドレスに基づいて、デフォルトゲートウェイ１１０にＡＲＰ要求を行い、デフォルトゲートウェイ１１０からＡＲＰ応答によりＭＡＣアドレスを受け取る。管理者は、事前に、社内ネットワーク１００のデフォルトゲートウェイ１１０のＩＰアドレスを通信装置１０に設定していると好適である。通信装置１０は、サーバ２０から受け取ったＭＡＣアドレスと、ＡＲＰ応答により受け取ったＭＡＣアドレスとが一致する場合、社内ネットワーク１００に設置されていると判断し、ファイアーウォールを無効にする。

その後、通信装置１０は、社外ネットワーク２００に設置された場合、予め設定された社内ネットワーク１００のデフォルトゲートウェイ１１０のＩＰアドレスに基づいて、社外ネットワーク２００のデフォルトゲートウェイ２１０にＡＲＰ要求を試みる。通信装置１０は、社外ネットワーク２００のデフォルトゲートウェイ２１０からＡＲＰ応答によりＭＡＣアドレスを受け取った場合、サーバ２０から受け取ったＭＡＣアドレスと、ＡＲＰ応答により受け取ったＭＡＣアドレスとが一致しないため、社外ネットワーク２００に設置されていると判断し、ファイアーウォールを有効にする。なお、通信装置１０は、サーバ２０から受け取ったＭＡＣアドレスを有していない場合や、社外ネットワーク２００のデフォルトゲートウェイ２１０からＡＲＰ応答によりＭＡＣアドレスを受け取ることができなかった場合も、社外ネットワーク２００に設置されていると判断し、ファイアーウォールを有効にする。

なお、本実施形態において、社内ネットワーク１００上のサーバ２０は、管理者により予め入力されたデフォルトゲートウェイ１１０のＭＡＣアドレスを記憶していても良い。また、実際には、社内ネットワーク１００上のサーバ２０は、既に社内ネットワーク１００上に設置されている他の通信装置１０でも良い。例えば、第１実施形態により社内ネットワーク１００に設置されていると確認済みの通信装置１０を、サーバ２０として扱うことが考えられる。

以下に、本発明の第３実施形態について説明する。
本実施形態では、比較対象のデフォルトゲートウェイのＭＡＣアドレス入力を複数個、管理者が設定する。通常、デフォルトゲートウェイは１つであるので、ＭＡＣアドレスを自動取得できるデフォルトゲートウェイは１つのみとして、２つ目以降の登録するＭＡＣアドレスはＭＡＣアドレスを管理者が直接指定する。２つ目以降の登録するＭＡＣアドレスを社内ネットワークの異なるセグメントにおけるデフォルトゲートウェイのＭＡＣアドレスとすれば、ファイアーウォール機能が有効にならずに、社内ネットワークの部署間移動ができる。

図９を参照すると、本実施形態の通信装置１０は、ＭＡＣアドレス入力部１１と、ＭＡＣアドレス自動取得部２１と、ＭＡＣアドレス保存部１２と、ＭＡＣアドレス取得部１３と、ＭＡＣアドレス比較部１４と、インタフェース１５と、ファイアーウォール１６と、アプリケーション１７を備える。なお、ＭＡＣアドレス入力部１１、ＭＡＣアドレス自動取得部２１、ＭＡＣアドレス保存部１２、ＭＡＣアドレス取得部１３、ＭＡＣアドレス比較部１４、インタフェース１５、ファイアーウォール１６、及びアプリケーション１７については、第１及び第２実施形態と同様である。

図１０を参照して、本実施形態における動作について説明する。
（１）ステップＳ３０１
ＭＡＣアドレス自動取得部２１は、ＭＡＣアドレス保存部１２を参照し、ＭＡＣアドレスが少なくとも１つ設定されているかどうか調べる。
（２）ステップＳ３０２
ＭＡＣアドレス自動取得部２１は、ＭＡＣアドレスが全く設定されていない場合、通信装置１０が社内ネットワーク１００に接続された際、社内ネットワーク１００上のサーバ２０から第３ＭＡＣアドレスを取得し、ＭＡＣアドレス保存部１２に記憶する。このとき、ＭＡＣアドレス保存部１２は、第３ＭＡＣアドレスに対応するデフォルトゲートウェイ１１０のＩＰアドレスを記憶すると好適である。なお、第３ＭＡＣアドレスを取得する際の具体的な動作については、第２実施形態（図７のステップＳ２０１〜ステップＳ２０７）と同様である。
（３）ステップＳ３０３
ＭＡＣアドレス自動取得部２１は、ＭＡＣアドレスが少なくとも１つ設定されている場合、社内ネットワーク１００上のサーバ２０から第３ＭＡＣアドレスを取得しない。ＭＡＣアドレス入力部１１は、ＭＡＣアドレスが少なくとも１つ設定されている場合、管理者の入力操作に基づいて、第１ＭＡＣアドレスを取得し、ＭＡＣアドレス保存部１２に記憶する。このとき、ＭＡＣアドレス保存部１２は、第１ＭＡＣアドレスに対応するデフォルトゲートウェイ１１０のＩＰアドレスを記憶すると好適である。なお、ＭＡＣアドレス保存部１２は、第３ＭＡＣアドレスを記憶するまで、第１ＭＡＣアドレスを記憶しないようにしても良い。例えば、ＭＡＣアドレス保存部１２は、第３ＭＡＣアドレスを記憶した際にＭＡＣアドレスのリストを作成し、リスト作成後に入力された第１ＭＡＣアドレスをリストに追加するようにする。第１ＭＡＣアドレスは、複数でも良い。なお、第１ＭＡＣアドレスを取得する際の具体的な動作については、第１実施形態（図３のステップＳ１０１、ステップＳ１０２）と同様である。
（４）ステップＳ３０４
ＭＡＣアドレス取得部１３は、インタフェース１５が有効となり、通信装置１０が何らかのネットワークに接続された際、当該ネットワークのデフォルトゲートウェイのＭＡＣアドレスを、インタフェース１５を介して取得し、取得されたＭＡＣアドレスを記憶する。ここでは、デフォルトゲートウェイは、デフォルトゲートウェイ１１０又はデフォルトゲートウェイ２１０となる。ＭＡＣアドレス取得部１３により取得されたＭＡＣアドレスは、第２ＭＡＣアドレスである。このとき、ＭＡＣアドレス保存部１２が、第２ＭＡＣアドレスを記憶しても良い。また、ＭＡＣアドレス取得部１３は、デフォルトゲートウェイ１１０のＭＡＣアドレスを、インタフェース１５を介して取得できない場合、第２ＭＡＣアドレスを空欄にする。
（５）ステップＳ３０５
ＭＡＣアドレス比較部１４は、第２ＭＡＣアドレスと第３ＭＡＣアドレスとを共に参照できるようになれば、第２ＭＡＣアドレスと第３ＭＡＣアドレスとを比較する。
（６）ステップＳ３０６
ＭＡＣアドレス比較部１４は、第２ＭＡＣアドレスと第３ＭＡＣアドレスとが一致する場合、社内ネットワーク１００に設置されていると判断し、ファイアーウォール１６を無効にする。
（７）ステップＳ３０７
ＭＡＣアドレス比較部１４は、第２ＭＡＣアドレスと第３ＭＡＣアドレスとが一致しない場合、第１ＭＡＣアドレスと第２ＭＡＣアドレスとを比較する。
（８）ステップＳ３０８
ＭＡＣアドレス比較部１４は、第１ＭＡＣアドレスと第２ＭＡＣアドレスとが一致する場合、社内ネットワーク１００に設置されていると判断し、ファイアーウォール１６を無効にする。
（９）ステップＳ３０９
ＭＡＣアドレス比較部１４は、第１ＭＡＣアドレスと第２ＭＡＣアドレスとが一致しない場合、社外ネットワーク２００に設置されていると判断し、ファイアーウォール１６を有効にする。なお、ＭＡＣアドレス比較部１４は、第１ＭＡＣアドレスと第２ＭＡＣアドレスとがどちらも空欄である場合も、社外ネットワーク２００に設置されていると判断し、ファイアーウォール１６を有効にする。

以下に、本発明の第４実施形態について説明する。
本実施形態では、デフォルトゲートウェイのＭＡＣアドレスを定期的に更新する機能を付与する。通常、デフォルトゲートウェイは、ある一意のＩＰアドレスが付与されるのが通例であり、故障などの理由でデフォルトゲートウェイが交換される場合、ＩＰアドレスは変更されないが、ＭＡＣアドレスは変更されてしまう。このような場合、社内ネットワークに設置されたとしても、社外ネットワークに設置されたと判断されファイアーウォール機能が有効になってしまう。そこで、サーバは定期的にデフォルトゲートウェイのＭＡＣアドレスを更新しておき、通信装置１０が定期的にデフォルトゲートウェイのＭＡＣアドレスをサーバから取得することで、上記のような誤動作を防ぐことができる。

本実施形態の通信装置１０は、第２実施形態と同様である。本実施形態において、ＭＡＣアドレス自動取得部２１は、デフォルトゲートウェイのＭＡＣアドレスを定期的に取得し、取得されたＭＡＣアドレスに基づいて、ＭＡＣアドレス保存部１２に記憶されたデフォルトゲートウェイのＭＡＣアドレスを更新する。ＭＡＣアドレス自動取得部２１により取得されたＭＡＣアドレスは、第３ＭＡＣアドレスである。なお、ＭＡＣアドレス自動取得部２１が第３ＭＡＣアドレスを取得する周期は、任意である。例えば、ＭＡＣアドレス自動取得部２１は、所定の時刻（毎日１２時等）、或いは所定の間隔（２時間毎等）で、第３ＭＡＣアドレスを取得し、ＭＡＣアドレス保存部１２に記憶された第３ＭＡＣアドレスを更新する。

以下に、本発明の第５実施形態について説明する。
本実施形態では、ＩＰアドレスによる判定方法との複合動作を行う。例えば、ＩＰアドレスによる判定方法とＭＡＣアドレスによる判定方法を複合させることにより、ＶＲＲＰ（Ｖｉｒｔｕａｌ Ｒｏｕｔｅｒ Ｒｅｄｕｎｄａｎｃｙ Ｐｒｏｔｏｃｏｌ）環境でも動作させることができる。ＶＲＲＰ環境では、仮想ＭＡＣアドレスが特定のプリフィクスとＶＲＲＰＩＤ（通常１オリジン）を連結したＭＡＣアドレスを付与されている仕様であるため、社内ネットワークでＶＲＲＰを構築しており、社外ネットワークでもＶＲＲＰを構築している場合、同一のＭＡＣアドレスとなる可能性が高く、社外ネットワークに設置されたとしても、社内ネットワークと誤判定されてファイアーウォール機能が無効になりセキュリティが低下する場合がある。これを回避するため、ＭＡＣアドレス判定方式に加えてＩＰアドレス方式を判断基準に加えることで、ＭＡＣアドレスが一致していてもＩＰアドレスが異なる場合には社外ネットワークに設置されていると正確に判断可能である。

なお、ＶＲＲＰは、ルータの多重化を行うためのプロトコルである。ＶＲＲＰ環境下では、複数のルータを１つのグループに所属させ、通常はそのうち１つのルータが通信を行なうが、そのルータが障害を起こした時に同グループに属するルータが自動的に通信を受け継ぐ。ＶＲＲＰＩＤは、ＶＲＲＰ環境下のグループを識別するためのＩＤ番号である。

本発明の各実施形態は、組み合わせて実施することも可能である。

このように、本発明では、通信装置が、通信装置を設置したネットワークのデフォルトゲートウェイのＭＡＣアドレスと、事前に登録した特定のローカルネットワークのデフォルトゲートウェイのＭＡＣアドレスとを比較する。一致した場合、通信装置が特定のローカルネットワークに接続されていると判定して通信装置のファイアーウォール機能を無効にし、通信装置からインターネットへの直接アクセスを可能にする。一致しない場合、通信装置が他のネットワークに接続されていると判定して通信装置のファイアーウォール機能を有効にし、通信装置とインターネットとの間の直接アクセスを不可能にする。

例えば、本発明は、ＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）装置のファイアーウォール機能を有効無効にする制御において、装置が設置されている位置（特定のローカルネットワークに接続されているか、又は他のネットワークに接続されているか）を、装置が設置されているネットワークのデフォルトゲートウェイのＭＡＣアドレスを基に正確に判断し、装置が社外ネットワークに接続されている場合に、装置からのインターネットへの直接アクセスを正確に禁止するための制御方式を提供する。

以上のように、本発明は、デフォルトゲートウェイのＭＡＣアドレスをファイアーウォールの判定条件にすることを特徴とする。また、本発明は、デフォルトゲートウェイのＭＡＣアドレスをサーバが自動的に取得することを特徴とする。更に、本発明は、サーバが取得したＭＡＣアドレスをクライアントＰＣが自動的に取得することを特徴とする。

ここでは、デフォルトゲートウェイを利用する事例について説明している。但し、実際には、デフォルトゲートウェイを利用する事例に限定されない。例えば、ルータ、プロキシ（ｐｒｏｘｙ）、ＤＮＳサーバ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｅｒｖｅｒ）、基地局、又はアクセスポイント等を利用する事例も考えられる。すなわち、本発明は、通信装置が社内ネットワークに設置された際に必ずアクセスする社内ネットワーク上のネットワーク機器を利用することで実施可能である。

また、ＭＡＣアドレスの代わりに、デフォルトゲートウェイ等のハードウェアやソフトウェアの製造番号やシリアルナンバー（ｓｅｒｉａｌ ｎｕｍｂｅｒ）のように、ハードウェアやソフトウェア毎に固有の番号を使用する事例も考えられる。この場合、通信装置がデフォルトゲートウェイ等のハードウェアやソフトウェア毎に固有の番号を取得できるようにする。

図１は、本発明の第１実施形態の通信装置の構成例を示すブロック図である。 図２は、本発明の第１実施形態のシステム構成図である。 図３は、本発明の第１実施形態における動作を示すフローチャートである。 図４は、ＭＡＣアドレスによるファイアーウォール制御の第１の実施例を示すシーケンス図である。 図５は、本発明の第２実施形態の通信装置の構成例を示すブロック図である。 図６は、本発明の第２実施形態のシステム構成図である。 図７は、本発明の第２実施形態における動作を示すフローチャートである。 図８は、ＭＡＣアドレスによるファイアーウォール制御の第２の実施例を示すシーケンス図である。 図９は、本発明の第３実施形態の通信装置の構成例を示すブロック図である。 図１０は、本発明の第３実施形態における動作を示すフローチャートである。

符号の説明

１０… 通信装置
１１… ＭＡＣアドレス入力部
１２… ＭＡＣアドレス保存部
１３… ＭＡＣアドレス取得部
１４… ＭＡＣアドレス比較部
１５… インタフェース
１６… ファイアーウォール
１７… アプリケーション
２０… サーバ
２１… ＭＡＣアドレス自動取得部
１００… 社内ネットワーク
１１０… デフォルトゲートウェイ
２００… 社内ネットワーク
２１０… デフォルトゲートウェイ
３００… インターネット

Claims (12)

1. 特定のローカルネットワークに設置された際に、前記特定のローカルネットワークのデフォルトゲートウェイから前記デフォルトゲートウェイのＭＡＣアドレスである第１ＭＡＣアドレスを取得したサーバと通信し、前記サーバから前記第１ＭＡＣアドレスを取得して設定するＭＡＣアドレス設定手段と、
   前記第１ＭＡＣアドレスを保存するＭＡＣアドレス保存手段と、
   インタフェースが有効になった際に、前記インタフェースを介して同一ネットワーク上にあるデフォルトゲートウェイのＭＡＣアドレスである第２ＭＡＣアドレスを取得するＭＡＣアドレス取得手段と、
   前記第１ＭＡＣアドレスと前記第２ＭＡＣアドレスとを比較し、比較結果に基づいて前記特定のローカルネットワークに設置されているかどうかを判定し、判定結果に従ってファイアーウォールの有効無効を制御するＭＡＣアドレス比較手段と
   を具備する
   通信装置。
2. 請求項１に記載の通信装置であって、
   前記ＭＡＣアドレス設定手段は、前記サーバから前記第１ＭＡＣアドレスを取得できない場合、前記サーバに対して、前記デフォルトゲートウェイのＭＡＣアドレスを取得するように指示し、前記サーバに対する指示の応答として、前記サーバから前記デフォルトゲートウェイのＭＡＣアドレスを取得できない場合、前記ＭＡＣアドレス比較手段に対して、ファイアーウォールを有効にするように指示する
   通信装置。
3. 請求項１又は２に記載の通信装置であって、
   前記ＭＡＣアドレス設定手段は、前記第１ＭＡＣアドレスが全く設定されていなければ、前記サーバから前記第１ＭＡＣアドレスを取得して設定し、前記第１ＭＡＣアドレスが少なくとも１つ設定されていれば、管理者の入力操作に応じて、前記第１ＭＡＣアドレスを設定する
   通信装置。
4. 請求項１乃至３のいずれか一項に記載の通信装置であって、
   前記ＭＡＣアドレス比較手段は、前記第１ＭＡＣアドレス及び前記第２ＭＡＣアドレスのうち少なくとも一方が参照できない場合、前記特定のローカルネットワークに設置されていないと判断し、ファイアーウォールを有効にする
   通信装置。
5. コンピュータにより実施されるファイアーウォール制御方法であって、
   特定のローカルネットワークに設置された際に、前記特定のローカルネットワークのデフォルトゲートウェイから前記デフォルトゲートウェイのＭＡＣアドレスである第１ＭＡＣアドレスを取得したサーバと通信し、前記サーバから前記第１ＭＡＣアドレスを取得して設定することと、
   前記第１ＭＡＣアドレスを管理することと、
   インタフェースが有効になった際に、前記インタフェースを介して同一ネットワーク上にあるデフォルトゲートウェイのＭＡＣアドレスである第２ＭＡＣアドレスを取得することと、
   前記第１ＭＡＣアドレスと前記第２ＭＡＣアドレスとを比較し、比較結果に基づいて前記特定のローカルネットワークに設置されているかどうかを判定し、判定結果に従ってファイアーウォールの有効無効を制御することと
   を含む
   ファイアーウォール制御方法。
6. 請求項５に記載のファイアーウォール制御方法であって、
   前記サーバから前記第１ＭＡＣアドレスを取得できない場合、前記サーバに対して、前記デフォルトゲートウェイのＭＡＣアドレスを取得するように指示することと、
   前記サーバに対する指示の応答として、前記サーバから前記デフォルトゲートウェイのＭＡＣアドレスを取得できない場合、ファイアーウォールを有効にすること
   を更に含む
   ファイアーウォール制御方法。
7. 請求項５又は６に記載のファイアーウォール制御方法であって、
   前記第１ＭＡＣアドレスが全く設定されていなければ、前記サーバから前記第１ＭＡＣアドレスを取得して設定し、前記第１ＭＡＣアドレスが少なくとも１つ設定されていれば、管理者の入力操作に応じて、前記第１ＭＡＣアドレスを設定すること
   を更に含む
   ファイアーウォール制御方法。
8. 請求項５乃至７のいずれか一項に記載のファイアーウォール制御方法であって、
   前記第１ＭＡＣアドレス及び前記第２ＭＡＣアドレスのうち少なくとも一方が参照できない場合、前記特定のローカルネットワークに設置されていないと判断し、ファイアーウォールを有効にすること
   を更に含む
   ファイアーウォール制御方法。
9. 特定のローカルネットワークに設置された際に、前記特定のローカルネットワークのデフォルトゲートウェイから前記デフォルトゲートウェイのＭＡＣアドレスである第１ＭＡＣアドレスを取得したサーバと通信し、前記サーバから前記第１ＭＡＣアドレスを取得して設定するステップと、
   前記第１ＭＡＣアドレスを管理するステップと、
   インタフェースが有効になった際に、前記インタフェースを介して同一ネットワーク上にあるデフォルトゲートウェイのＭＡＣアドレスである第２ＭＡＣアドレスを取得するステップと、
   前記第１ＭＡＣアドレスと前記第２ＭＡＣアドレスとを比較し、比較結果に基づいて前記特定のローカルネットワークに設置されているかどうかを判定し、判定結果に従ってファイアーウォールの有効無効を制御するステップと
   をコンピュータに実行させるための
   ファイアーウォール制御プログラム。
10. 請求項９に記載のファイアーウォール制御プログラムであって、
    前記サーバから前記第１ＭＡＣアドレスを取得できない場合、前記サーバに対して、前記デフォルトゲートウェイのＭＡＣアドレスを取得するように指示するステップと、
    前記サーバに対する指示の応答として、前記サーバから前記デフォルトゲートウェイのＭＡＣアドレスを取得できない場合、ファイアーウォールを有効にするステップと
    を更にコンピュータに実行させるための
    ファイアーウォール制御プログラム。
11. 請求項９又は１０に記載のファイアーウォール制御プログラムであって、
    前記第１ＭＡＣアドレスが全く設定されていなければ、前記サーバから前記第１ＭＡＣアドレスを取得して設定し、前記第１ＭＡＣアドレスが少なくとも１つ設定されていれば、管理者の入力操作に応じて、前記第１ＭＡＣアドレスを設定するステップ
    を更にコンピュータに実行させるための
    ファイアーウォール制御プログラム。
12. 請求項９乃至１１のいずれか一項に記載のファイアーウォール制御プログラムであって、
    前記第１ＭＡＣアドレス及び前記第２ＭＡＣアドレスのうち少なくとも一方が参照できない場合、前記特定のローカルネットワークに設置されていないと判断し、ファイアーウォールを有効にするステップ
    を更にコンピュータに実行させるための
    ファイアーウォール制御プログラム。

Images