JP4587868B2

JP4587868B2 - ルータおよびルータプログラム

Info

Publication number: JP4587868B2
Application number: JP2005121383A
Authority: JP
Inventors: 泰弘白崎
Original assignee: NTT Communications Corp
Current assignee: NTT Communications Corp
Priority date: 2005-04-19
Filing date: 2005-04-19
Publication date: 2010-11-24
Anticipated expiration: 2025-04-19
Also published as: JP2006303810A

Description

本発明は、ＩＰｖ６ネットワークにおける、プレフィックス委譲技術に関する。

ＩＰｖ６アドレスは、「プレフィックス」と、「インターフェースＩＤ」から構成される１２８ビットのアドレスである。「プレフィックス」はＩＳＰ（Internet Services Provider）が管理するアドレスであるが、ＩＳＰがユーザルータにプレフィックスの設定を委譲するプレフィクス委譲（Prefix Delegation）技術が、非特許文献１に記載されている。

また、ネットワークに接続されたネットワーク機器同士を接続するための通信プロトコルとしてＵＰｎＰ（Universal Plug and Play）がある。ＵＰｎＰの目的は、ネットワーク機器に複雑な設定をすることなく、簡単にネットワーク機器同士を接続できるようにすることである。なお、ＵＰｎＰについては、非特許文献２に記載されている。
ＩＥＴＦ（Internet Engineering Task Force），"ＲＦＣ３６３３（IPv6 Prefix Options for Dynamic Host Configuration Protocol）"、［Ｏｎｌｉｎｅ］、［平成１７年３月３１日検索］、インターネット＜ＵＲＬ：http://ietf.org/rfc/rfc3633.txt?number=3633＞ＵＰｎＰＦｏｒｕｍ、"Internet Gateway Device（IDG）V 1.0"、［Ｏｎｌｉｎｅ］、［平成１７年３月３１日検索］、インターネット＜ＵＲＬ：http://www.upnp.org/standardizeddcps/igd.asp＞

さて、端末が、ＵＰｎＰを用いて、ユーザルータに実装されたファイアウォールを操作する場合がある。これにより、端末は、ファイアウォールの保護を受けつつ、必要に応じてインターネットなどの外部ネットワークからの着信を受けることができる。ただし、端末が操作可能なユーザルータは、ＵＰｎＰの仕様（制約）により、当該端末と同一のＬＡＮ（Local Area Network、リンク）に接続されているユーザルータに限られる。

図９は、各ルータと端末との接続形態の一例を模式的に示した図である。

図示する接続形態の場合、ユーザルータ２の配下のＬＡＮに接続されている端末４は、ＵＰｎＰを用いてユーザルータ２のファイアウォールを操作することができる。また、追加ルータ３の配下のＬＡＮに接続されている端末５は、ＵＰｎＰを用いて追加ルータ３のファイアウォールを操作することができる。しかしながら、ＵＰｎＰの仕様により、追加ルータ３のＬＡＮに接続されている端末５は、ユーザルータ２を操作することはできない。

したがって、ユーザルータ２が上位ルータ１から委譲されたプレフィクスを追加ルータ３にさらに委譲する場合、ユーザは、追加ルータ３配下の各端末５のために、ユーザルータ２のファイアウォールを手動で設定変更する必要がある。また、ユーザは、上位ルータ１から委譲されるプレフィクスが変更する度に、手動で追加ルータ３配下の各端末５のための設定変更を行う必要がある。すなわち、ユーザの作業負担は大きい。

本発明は上記事情に鑑みてなされたものであり、本発明の目的は、追加ルータへのプレフィクスの再委譲を考慮したファイアウォールの設定を行うことにある。

上記課題を解決するために、第１の発明は、ルータであって、外部ネットワークから当該ルータに接続された内部ネットワークへの通信可否ルールが設定された通信可否記憶手段と、上位ルータから委譲された少なくとも１つのプレフィックスを受け付けるプレフィックス委譲受付手段と、前記受け付けたプレフィックスの中から、当該ルータ配下のＬＡＮに付与するプレフィックスを決定する決定手段と、前記外部ネットワークから前記決定したプレフィックス宛ての通信を拒否するように、前記通信可否記憶手段の通信可否ルールを変更する変更手段と、を備え、前記通信可否記憶手段の通信可否ルールは、初期状態において、前記外部ネットワークから当該ルータに接続された内部ネットワークへの通信を全て許可するように設定され、前記変更手段は、前記外部ネットワークからの通信を許可する設定となっている、前記決定したプレフィックス宛の通信可否ルールのみを、前記外部ネットワークからの通信を拒否するように変更する。

また、第２の発明は、ルータであって、外部ネットワークから当該ルータに接続された内部ネットワークへの通信可否ルールが設定された通信可否記憶手段と、上位ルータから委譲された少なくとも１つのプレフィックスを受け付けるプレフィックス委譲受付手段と、前記受け付けたプレフィックスの中から、当該ルータ配下のＬＡＮに付与するプレフックスを決定する決定手段と、前記受け付けたプレフィックスの一部を、当該ルータに接続された追加ルータに再委譲するプレフィックス再委譲手段と、前記外部ネットワークから前記再委譲したプレフィックス宛ての通信を許可するように、前記通信可否記憶手段の通信可否ルールを変更する変更手段と、を備え、前記通信可否記憶手段の通信可否ルールは、初期状態において、前記外部ネットワークから当該ルータに接続された内部ネットワークへの通信を全て拒否するように設定され、前記変更手段は、前記追加ルータ配下の端末が当該追加ルータへの操作を行うだけで前記外部ネットワークから前記追加ルータ配下の端末への通信を可能とするために、前記外部ネットワークからの通信を拒否する設定となっている、前記再委譲したプレフィックス宛の通信可否ルールのみを、前記外部ネットワークからの通信を許可するように変更する。

また、第３の発明は、ルータが実行するルータプログラムであって、前記ルータは、外部ネットワークから当該ルータに接続された内部ネットワークへの通信可否ルールが設定された通信可否記憶部と、処理部とを備え、前記処理部は、上位ルータから委譲された少なくとも１つのプレフィックスを受け付けるプレフィックス委譲受付ステップと、前記受け付けたプレフィックスの中から、当該ルータ配下のＬＡＮに付与するプレフィックスを決定する決定ステップと、前記外部ネットワークから前記決定したプレフィックス宛ての通信を拒否するように、前記通信可否記憶手段の通信可否ルールを変更する変更ステップと、を実行し、前記通信可否記憶部の通信可否ルールは、初期状態において、前記外部ネットワークから当該ルータに接続された内部ネットワークへの通信を全て許可するように設定され、前記変更ステップは、前記外部ネットワークからの通信を許可する設定となっている、前記決定したプレフィックス宛の通信可否ルールのみを、前記外部ネットワークからの通信を拒否するように変更する。
また、第４の発明は、ルータが実行するルータプログラムであって、前記ルータは、外部ネットワークから当該ルータに接続された内部ネットワークへの通信可否ルールが設定された通信可否記憶部と、処理部とを備え、前記処理部は、上位ルータから委譲された少なくとも１つのプレフィックスを受け付けるプレフィックス委譲受付ステップと、前記受け付けたプレフィックスの中から、当該ルータ配下のＬＡＮに付与するプレフックスを決定する決定ステップと、前記受け付けたプレフィックスの一部を、当該ルータに接続された追加ルータに再委譲するプレフィックス再委譲ステップと、前記外部ネットワークから前記再委譲したプレフィックス宛ての通信を許可するように、前記通信可否記憶部の通信可否ルールを変更する変更ステップと、を実行し、前記通信可否記憶部の通信可否ルールは、初期状態において、前記外部ネットワークから当該ルータに接続された内部ネットワークへの通信を全て拒否するように設定され、前記変更ステップは、前記追加ルータ配下の端末が当該追加ルータへの操作を行うだけで前記外部ネットワークから前記追加ルータ配下の端末への通信を可能とするために、前記外部ネットワークからの通信を拒否する設定となっている、前記再委譲したプレフィックス宛の通信可否ルールのみを、前記外部ネットワークからの通信を許可するように変更する。

本発明により、追加ルータへのプレフィクスの再委譲を考慮した、より適切なファイアウォールの設定を行うことができる。

以下、本発明の実施の形態について説明する。

図１は、本発明の一実施形態が適用された通信システムの全体構成図である。

図示する通信システムは、端末やサーバなどの外部システム６と、上位ルータ１と、ユーザルータ２と、追加ルータ３と、ユーザルータ２にＬＡＮ８を介して接続された複数のユーザ端末４と、追加ルータ３にＬＡＮ９を介して接続された複数のユーザ端末５とを備える。そして、ユーザ端末４、５は、各ルータ２、３および上位ルータ１を介して、インターネットなどの外部ネットワーク１０に接続することができる。上位ルータ１は、ＩＳＰ（Internet Services Provider）等によって運用され、ユーザ端末４、５を、外部ネットワーク１０に接続する装置である。

ユーザルータ２は、ユーザが使用するルータであって、ＣＰＥ（Customer Premises Equipment）またはブロードバンドルータともいう。そして、本実施形態のユーザルータ２は、ファイアウォールの機能を備え、外部ネットワーク１０からＬＡＮ８への不正な侵入を防いでいる。なお、ユーザルータ２については後述する。

追加ルータ３は、ユーザルータ２に接続されるルータであって、ユーザルータ２と同様にファイアウォールの機能を備える。ユーザ端末４、５は、ＰＣ（Personal Computer）や情報家電などのコンピュータである。

次に、ユーザルータ２の機能について説明する。

図２は、ユーザルータ２の機能ブロック図である。ユーザルータ２は、図示するように、ＰＤ（Prefix Delegation）機能２１と、ＲＡ（Router Advertisement）機能２２と、ファイアウォール機能２３と、ＵＰｎＰ（Universal Plug and Play）機能２４と、を備える。

ＰＤ機能２１は、ＰＤ制御部２１１と、ＰＤクライアント部２１２と、ＰＤサーバ部２１３とを備え、前述のプレフィックス委譲技術を用いて、当該ユーザルータ２に接続されたＬＡＮ８に付与するプレフィックスを特定する。なお、プレフィックスは、ＩＰｖ６アドレスの一部のアドレスである。また、プレフィックス委譲技術については、ＩＥＴＦ（Internet Engineering Task Force）が発行したドキュメントＲＦＣ３６３３に記述されている。ＰＤ制御部２１１は、ＰＤ機能２１全体を制御する。ＰＤクライアント部２１２は、上位ルータ１のＰＤサーバ部１１から委譲されたプレフィックス群を受け付ける。ＰＤサーバ部２１３は、上位ルータ１から委譲されたプレフィックス群の一部を、追加ルータ３に更に委譲する。

ＲＡ機能２２は、ＲＡ出力部２２１と、設定ファイル２２２とを備える。設定ファイル２２２には、ＰＤ機能２１が特定したプレフィクスが設定される。ＲＡ出力部２２１は、設定ファイル２２２に設定されたプレフィクス情報を、当該ユーザルータ２および各ユーザ端末４が接続されたＬＡＮ８に出力（送信）する。

ファイアウォール機能２３は、フィルタ制御部２３１と、通信可否リスト２３２とを備え、外部ネットワーク１０からの不正なアクセスを防止する。フィルタ制御部２３１は、通信可否リスト２３２を参照し、パケットのチェック（パケットフィルタリング）を行う。すなわち、フィルタ制御部２３１は、外部ネットワーク１０から送信された不正なパケットを破棄する。通信可否リスト２３２には、フィルタ制御部２３１がパケットのチェックを行うためのフィルタルール（基準）が設定されている。本実施形態の通信可否リスト２３２には、ファイアウォールの内側（ＬＡＮ８に接続されたユーザ端末４、５）からファイアウォールの外側（外部ネットワーク１０に接続された外部システム６）への通信（着信）は許可しているが、ファイアウォールの外側からファイアウォールの内側への通信（着信）は一定の場合を除き許可しないものとする。なお、通信可否リスト２３２の具体例については後述する。

ＵＰｎＰ機能２４は、ＵＰｎＰデバイス部２４１を備え、当該ユーザルータ２と同一のＬＡＮ８に接続されたユーザ端末４または追加ルータ３からの操作指示を受け付け、ファイアウォール機能２３の通信可否リスト２３２に設定されたフィルタルールを追加・変更する。なお、ＵＰｎＰは、前述の通り、ネットワーク機器同士を容易に接続するための通信プロトコルである。なお、追加ルータ３は、図２に示すユーザルータ２と同様の機能を有するものとする。

上記説明した、ユーザルータ２、追加ルータ３、ユーザ端末４、５は、いずれも、ＣＰＵと、メモリと、外部記憶装置と、入力装置と、出力装置と、他の装置と接続するための通信制御装置と、これらの各装置を接続するバスと、を備えた汎用的なコンピュータシステムを用いることができる。このコンピュータシステムにおいて、ＣＰＵがメモリ上にロードされた所定のプログラムを実行することにより、各装置の各機能が実現される。例えば、ユーザルータ２、追加ルータ３、ユーザ端末４、５の各機能は、ユーザルータ２用のプログラムの場合はユーザルータ２のＣＰＵが、追加ルータ３用のプログラムの場合は追加ルータ３のＣＰＵが、そして、ユーザ端末４、５用のプログラムの場合はユーザ端末４、５のＣＰＵが、それぞれ実行することにより実現される。なお、ユーザルータ２の設定ファイル２２２および通信可否リスト２３２には、ユーザルータ２のメモリまたは外部記憶装置が用いられる。また、外部記憶装置、入力装置および出力装置については、各装置が必要に応じて備えるものとする。

次に、上位ルータ１からＩＰｖ６アドレスのプレフィックスを委譲された際のユーザルータ２の処理について説明する。なお、ユーザルータ２は、以下に示す３つの方法により、プレフィックスの委譲に連携したファイアウォール（通信可否リスト２３２）の設定を行うものとする。

まず、第１の方法を用いたユーザルータ２の処理について説明する。

図３（ａ）は、第１の方法の通信可否リスト２３２に記述されたフィルタルール（初期状態）の一例である。図示するフィルタルールは、外部ネットワーク１０から送信された全てのパケットについて、ファイアウォールの内側（ＬＡＮ８に接続されたユーザ端末４、ＬＡＮ９に接続されたユーザ端末５）への通過を許可する設定３０１、３０２となっている。

図４は、第１の方法を用いた場合のユーザルータ２の処理フロー図である。まず、ユーザルータ２のＰＤクライアント部２１２は、上位ルータ１から所定のプレフィックス群を受け付ける（Ｓ１１）。具体的には、上位ルータ１のＰＤサーバ部１１は、所定のビット数のプレフィクス群（例えば、2001:db8:1234::/48）を、ユーザルータ２に委譲するものとする。そして、ユーザルータ２のＰＤクライアント部２１２は、受け付けたプレフィックス群をＰＤ制御部２１１に送出する。

そして、ＰＤ制御部２１１は、ＬＡＮ８に付与するプレフィックスを決定する（Ｓ１２）。具体的には、ＰＤ制御部２１１は、受け付けたプレフィクス群に、所定のビット数のアドレスを付加したプレフィックス（例えば、2001:db8:1234:0001::/64）を決定する。なお、この決定されたプレフィックスを用いた端末のアドレスの決定については、ＩＥＴＦが発行したドキュメントＲＦＣ２４６１、２４６２に記述されている。また、ＰＤ制御部２１１は、決定したプレフィックス以外の上位ルータ１から委譲されたプレフィックス群については、ＰＤサーバ部２１３に保存しておくものとする。

そして、ＰＤ制御部２１１は、決定したプレフィックス宛ての外部ネットワーク１０からの通信（着信）を拒否するためのルールを、通信可否リスト２３２に追加する（Ｓ１３）。図３（ｂ）は、ＰＤ制御部２１１が、新たなルール３０３を追加した後の通信可否リスト２３２の一例である。この新たなルール３０３を追加することにより、外部ネットワーク１０から送信されるパケットは、所定の場合を除き破棄される（すなわち、着信を拒否される）。なお、図示する例では、ファイアウォールの内側から外部ネットワーク１０へパケットを送信してセッションが確立された場合、または、ＵＰｎＰ機能２４の操作により通信が許可された場合については、外部ネットワーク１０からのパケットの通過を許可する設定となっている（３０２）。

これにより、ユーザルータ２のフィルタ制御部２３１は、当該ユーザルータ２にＬＡＮ８を介して接続されたユーザ端末４に対する外部からの不正な侵入を防止することができる。一方、ユーザルータ２のフィルタ制御部２３１は、ＰＤサーバ部２１３に保存されたプレフィックス群（追加ルータ３に再委譲されるプレフィックス群）宛てパケットについては、初期状態と同様に、ファイアウォールの内側への通過を許可する。

そして、ＰＤ制御部２１１は、Ｓ１２で決定したプレフィックスを、ＲＡ機能２２の設定ファイル２２２に書き込む（Ｓ１４）。そして、ＰＤ制御部２１１は、ＲＡ出力部２２１にＲＡパケットの出力を指示する。ＲＡ出力部２２１は、ＰＤ制御部２１１の指示を受け付けて、設定ファイル２２２に記憶されたプレフィクスを読み出し、ＲＡパケットを生成する。ＲＡパケットは、当該ユーザルータ２に接続されたユーザ端末４各々に、Ｓ１２で決定したプレフィクスを通知するためにデータである。そして、ＲＡ出力部２２１は、生成したＲＡパケットを、ＬＡＮ８を介して各ユーザ端末４に送信する（Ｓ１５）。

ユーザ端末４各々は、ＲＡ出力部２２１が出力したＲＡパケットを受信し、当該ＲＡパケットに含まれるプレフィクスを用いて１２８ビットのＩＰｖ６アドレスを生成する。これにより、各ユーザ端末４のＩＰｖ６アドレスが決定する。そして、ＩＰｖ６アドレスが決定した後、各ユーザ端末４は、外部ネットワーク１０を介して所定の外部システム６からの着信を可能にするために、ユーザルータ２のファイアウォール機能２３（通信可否リスト２３２）に対して設定変更を指示する。

なお、ファイアウォールへの設定操作については、例えば特願２００４−０３５５７３に、ユーザ端末４がＵＰｎＰの通信プロトコルを用いてファイアウォールのアクセス制御を行う方法が記載されている。特願２００４−０３５５７３の方法を用いることにより、ユーザ端末４は、ユーザルータ２のＵＰｎＰデバイス部２４１に、外部システム６から当該ユーザ端末４への着信を可能にするための操作指示を送信する。ＵＰｎＰデバイス部２４１は、ユーザ端末４から操作指示を受け付けて、外部システム６から当該ユーザ端末４への着信を可能にするルールを、通信可否リスト２３２に追加する。

また、ユーザルータ２のＰＤサーバ部２１３は、保存したプレフィックス群の一部（例えば、2001:db8:1234:1000::/52）を、必要に応じて追加ルータ３に再委譲する（Ｓ１６）。プレフィックスを委譲された追加ルータ３は、図４に示すユーザルータ２と同様の処理を行う。すなわち、追加ルータ３のＰＤ機能２１は、ユーザルータ２からプレフィクス群を受け付け（委譲され）、当該追加ルータ３に接続されたＬＡＮ９に付与するプレフィクスを決定する。そして、ＰＤ機能２１は、図３（ａ）と同様に初期状態が外部ネットワーク１０からの着信を全て許可する設定となっている通信可否リストに、決定したプレフィクス宛ての着信のみを拒否するルールを追加する。

以上説明した第１の方法では、ユーザルータ２の通信可否リスト２３２の初期状態は、外部ネットワーク１０からの通信（着信）を全て許可する設定となっている。そして、ユーザルータ２のＰＤ制御部２１１は、Ｓ１２で決定したプリフィクスを有するアドレスに対する着信のみを拒否するルールを、通信可否リスト２３２に追加する。これにより、ユーザルータ２のフィルタ制御部２３１は、当該ユーザルータ２にＬＡＮ８を介して接続されたユーザ端末４に対する外部からの不正な侵入を防止することができる。

なお、ユーザルータ２に接続されたユーザ端末４各々は、必要に応じて、外部システム６から当該ユーザ端末４への着信を可能にするための操作指示を、ユーザルータ２のＵＰｎＰデバイス部２４１を介してファイアウォール機能２３に送信する。このユーザ端末４の操作指示により、外部システム６から当該ユーザ端末４宛ての着信が可能となる。すなわち、ユーザ端末４は、ファイアウォールの保護を受けつつ、必要に応じて外部システム６からの着信を受けることができる。

また、追加ルータ３の通信可否リストの初期状態も、ユーザルータ２と同様に、外部ネットワーク１０からの通信（着信）を全て許可する設定となっている。そして、追加ルータ３は、ユーザルータ２と同様に、決定したプリフィクスを有するアドレスに対する着信のみを拒否するルールを、通信可否リストに追加する。これにより、追加ルータ３のフィルタ制御部は、当該追加ルータ３にＬＡＮ９を介して接続されたユーザ端末５に対する外部からの不正な侵入を防止することができる。

そして、追加ルータ３に接続されたユーザ端末５各々は、必要に応じて、外部システム６から当該ユーザ端末５への着信を可能にするための操作指示を、追加ルータ３のＵＰｎＰデバイス部に対して送信し、ファイアウォール機能を操作する。ここで、ユーザルータ２の通信可否リスト２３２では、追加ルータ３に再委譲されるプレフィックス宛てパケットについては、外部ネットワーク１０からの通信（着信）を全て許可する設定となっている。したがって、追加ルータ３に接続されたユーザ端末５は、当該ユーザ端末５が直接接続された追加ルータ３を操作するだけで、外部システム６からの着信が可能となる。すなわち、ユーザがユーザルータ２の通信可否リスト２３２を手動で設定することなしに、ユーザ端末５は、ファイアウォールの保護を受けつつ、必要に応じて外部システム６からの着信を受けることができる。

次に、第２の方法を用いたユーザルータ２の処理について説明する。

図５（ａ）は、第２の方法の通信可否リスト２３２に記述されたフィルタルール（初期状態）の一例である。図示するフィルタルールは、外部ネットワーク１０から送信された全てのパケットについて、ファイアウォールの内側（ＬＡＮ８に接続されたユーザ端末４、５）への通過を、所定の場合を除き、拒否（パケットを破棄）する設定５０１、５０２となっている。すなわち、第２の方法の通信可否リスト２３２の初期状態は、第１の方法と異なり、外部からファイアウォールの内側への着信を基本的に禁止している。

図６は、第２の方法を用いた場合のユーザルータ２の処理フロー図である。まず、ユーザルータ２のＰＤクライアント部２１２は、図４のＳ１１と同様に、上位ルータ１から所定のプレフィックス群（例えば、2001:db8:1234::/48）を受け付ける（Ｓ２１）。そして、ＰＤ制御部２１１は、図４のＳ１２と同様に、当該ユーザルータ２に接続されたＬＡＮ８に付与するプレフィックス（例えば、2001:db8:1234:0001::/64）を決定する（Ｓ２２）。また、ＰＤ制御部２１１は、決定したプレフィックス以外の上位ルータ１から委譲されたプレフィックス群については、ＰＤサーバ部２１３に保存しておくものとする。

そして、ＰＤサーバ部２１３は、保存したプレフィックス群の一部（例えば、2001:db8:1234:1000::/52）を、必要に応じて追加ルータ３に再委譲する（Ｓ２５）。そして、ＰＤサーバ部２１３は、再委譲したプレフィックス群宛てのパケットの着信を許可するためのルールを、通信可否リスト２３２に追加する（Ｓ２６）。

図５（ｂ）は、ＰＤサーバ部２１３が、新たなルール５０３を追加した後の通信可否リスト２３２の一例である。この新たなルール５０３が追加されることにより、再委譲したプレフィクス群宛てに外部ネットワーク１０から送信されるパケットはファイアウォールの内側へ通過することができる。これにより、追加ルータ３にＬＡＮ９を介して接続されたユーザ端末５は、追加ルータ３のファイアウォールに対する操作指示を行うことで、外部システム６からの着信を受けることができる。

なお、Ｓ２３およびＳ２４は、第１の方法のＳ１４およびＳ１５（図４参照）と同様の処理である。すなわち、ＰＤ制御部２１１は、Ｓ１４と同様に、決定したプレフィクスを設定ファイル２２２に書き込む（Ｓ２３）。そして、ＲＡ出力部２２１は、Ｓ１５と同様に、ＲＡパケットを生成し、ＬＡＮ８にＲＡパケットを送信する（Ｓ２４）。そして、ユーザ端末４各々は、第１の方法と同様に、ＩＰｖ６アドレスを生成し、外部システム６からの着信を可能にするために、ユーザルータ２のファイアウォール機能２３（通信可否リスト２３２）に対して設定変更を指示する。

以上説明した第２の方法では、ユーザルータ２の通信可否リスト２３２の初期状態は、外部ネットワーク１０からの通信（着信）を基本的に拒否する設定となっている。そして、ユーザルータ２のＰＤサーバ部２１３は、追加ルータ３に再委譲するプリフィクス宛ての着信のみを許可するルールを、通信可否リスト２３２に追加する。これにより、ユーザルータ２は、当該ユーザルータ２に接続されたユーザ端末４に対しては外部からの不正な侵入を防止するとともに、追加ルータ３に接続されたユーザ端末５に対する通信は許可する。

また、追加ルータ３の通信可否リストの初期状態も、ユーザルータ２と同様に、外部ネットワーク１０からの通信（着信）を基本的に拒否する設定となっている。これにより、追加ルータ３のフィルタ制御部は、当該追加ルータ３に接続されたユーザ端末５に対する外部からの不正な侵入を防止することができる。

次に、第３の方法を用いたユーザルータ２の処理について説明する。

図７（ａ）は、第３の方法の通信可否リスト２３２に記述されたフィルタルール（初期状態）の一例である。図示するフィルタルールは、外部ネットワーク１０から送信された全てのパケットについて、ファイアウォールの内側（ＬＡＮ８に接続されたユーザ端末４、ＬＡＮ９に接続されたユーザ端末５）への通過を、所定の場合を除き、拒否（パケットを破棄）する設定７０１、７０２となっている。すなわち、第３の方法の通信可否リスト２３２の初期状態は、第１の方法と異なり、外部からファイアウォールの内側への着信を基本的に禁止している。

図８は、第３の方法を用いた場合のユーザルータ２および追加ルータ３の処理フロー図である。まず、ユーザルータ２のＰＤクライアント部２１２は、図４のＳ１１と同様に、上位ルータ１から所定のプレフィックス群（例えば、2001:db8:1234::/48）を受け付ける（Ｓ３１）。そして、ＰＤ制御部２１１は、図４のＳ１２と同様に、当該ユーザルータ２に接続されたＬＡＮ８に付与するプレフィックス（例えば、2001:db8:1234:0001::/64）を決定する（Ｓ３２）。また、ＰＤ制御部２１１は、決定したプレフィックス以外の上位ルータ１から委譲されたプレフィックス群については、ＰＤサーバ部２１３に保存しておくものとする。そして、ＰＤサーバ部２１３は、保存したプレフィックス群の一部（例えば、2001:db8:1234:1000::/52）を、必要に応じて追加ルータ３に再委譲する（Ｓ３５）。

追加ルータ３のＰＤクライアント部は、再委譲されたプレフィクス群を受け付ける。そして、追加ルータ３のＰＤクライアント部は、再委譲されたプレフィクス群宛てのパケットの着信を許可するための操作指示を、当該追加ルータ３が備えるＵＰｎＰコントロールポイント部を介して、ユーザルータ２のＵＰｎＰデバイス部２４１に送信する（Ｓ３６）。

ユーザルータ２のＵＰｎＰデバイス部２４１は、追加ルータ３からの操作指示を受け付けて、再委譲したプレフィクス群宛ての外部からの着信を許可するルールを、通信可否リスト２３２に追加する（Ｓ３７）。

図７（ｂ）は、ＵＰｎＰデバイス部２４１が、新たなルール７０３を追加した後の通信可否リスト２３２の一例である。この新たなルール７０３が追加されることにより、再委譲したプレフィクス群宛てに外部ネットワーク１０から送信されるパケットはファイアウォールの内側へ通過することができる。これにより、追加ルータ３に接続されたユーザ端末５は、追加ルータ３のファイアウォールに対する操作指示を行うことで、外部システム６からの着信を受けることができる。

なお、Ｓ３３およびＳ３４は、第１の方法のＳ１４およびＳ１５（図４参照）と同様の処理である。

以上説明した第３の方法では、ユーザルータ２の通信可否リスト２３２の初期状態は、外部ネットワーク１０からの通信（着信）を基本的に拒否する設定となっている。また、追加ルータ３の通信可否リストの初期状態も、ユーザルータ２と同様に、外部ネットワーク１０からの通信（着信）を基本的に拒否する設定となっている。そして、追加ルータ３のＰＤクライアント部は、再委譲されたプリフィクス宛ての着信を許可する操作指示を、ＵＰｎＰを用いてユーザルータ２に送信する。これにより、ユーザルータ２は、当該ユーザルータ２に接続されたユーザ端末４に対しては外部からの不正な侵入を防止するとともに、追加ルータ３に接続されたユーザ端末５に対する通信は許可する。また、追加ルータ３のフィルタ制御部は、当該追加ルータ３に接続されたユーザ端末５に対する外部からの不正な侵入を防止することができる。

なお、本発明は上記の実施形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。例えば、本実施形態では、ユーザルータ２と追加ルータ３とは、それぞれ同じ方法を用いることとして説明した。しかしながら、ユーザルータ２は第１の方法を用い、追加ルータ３は第２の方法を用いることとしてもよい。また、ユーザルータ２は第２の方法を用い、追加ルータ３は第１の方法を用いることとしてもよい。

本発明の一実施形態が適用された通信システムの全体構成を示す図である。ユーザルータの機能を示す機能ブロック図である。第１の方法の通信可否リストの一例を示す図である。第１の方法のユーザルータの処理フロー図である。第２の方法の通信可否リストの一例を示す図である。第２の方法のユーザルータの処理フロー図である。第３の方法の通信可否リストの一例を示す図である。第３の方法のユーザルータの処理フロー図である。ルータと端末の接続形態の一例を示す図である。

符号の説明

１：上位ルータ、２：ユーザルータ、２１：ＰＤ機能、２１１：ＰＤ制御部、２１２：ＰＤクライアント、２１３：ＰＤサーバ、２２：ＲＡ機能、２２１：ＲＡ出力部、２２２：設定ファイル、２３：ファイアウォール機能、２３１：フィルタ制御部、２３２：通信可否リスト、２４：ＵＰｎＰ機能、２４１：ＵＰｎＰデバイス部、３：追加ルータ、４、５：ユーザ端末、６：外部システム、８、９：ＬＡＮ、１０：外部ネットワーク

Claims

ルータであって、
外部ネットワークから当該ルータに接続された内部ネットワークへの通信可否ルールが設定された通信可否記憶手段と、
上位ルータから委譲された少なくとも１つのプレフィックスを受け付けるプレフィックス委譲受付手段と、
前記受け付けたプレフィックスの中から、当該ルータ配下のＬＡＮに付与するプレフィックスを決定する決定手段と、
前記外部ネットワークから前記決定したプレフィックス宛ての通信を拒否するように、前記通信可否記憶手段の通信可否ルールを変更する変更手段と、を備え、
前記通信可否記憶手段の通信可否ルールは、初期状態において、前記外部ネットワークから当該ルータに接続された内部ネットワークへの通信を全て許可するように設定され、
前記変更手段は、前記外部ネットワークからの通信を許可する設定となっている、前記決定したプレフィックス宛の通信可否ルールのみを、前記外部ネットワークからの通信を拒否するように変更すること
を特徴とするルータ。
ルータであって、
外部ネットワークから当該ルータに接続された内部ネットワークへの通信可否ルールが設定された通信可否記憶手段と、
上位ルータから委譲された少なくとも１つのプレフィックスを受け付けるプレフィックス委譲受付手段と、
前記受け付けたプレフィックスの中から、当該ルータ配下のＬＡＮに付与するプレフックスを決定する決定手段と、
前記受け付けたプレフィックスの一部を、当該ルータに接続された追加ルータに再委譲するプレフィックス再委譲手段と、
前記外部ネットワークから前記再委譲したプレフィックス宛ての通信を許可するように、前記通信可否記憶手段の通信可否ルールを変更する変更手段と、を備え、
前記通信可否記憶手段の通信可否ルールは、初期状態において、前記外部ネットワークから当該ルータに接続された内部ネットワークへの通信を全て拒否するように設定され、
前記変更手段は、前記追加ルータ配下の端末が当該追加ルータへの操作を行うだけで前記外部ネットワークから前記追加ルータ配下の端末への通信を可能とするために、前記外部ネットワークからの通信を拒否する設定となっている、前記再委譲したプレフィックス宛の通信可否ルールのみを、前記外部ネットワークからの通信を許可するように変更すること
を特徴とするルータ。
ルータが実行するルータプログラムであって、
前記ルータは、外部ネットワークから当該ルータに接続された内部ネットワークへの通信可否ルールが設定された通信可否記憶部と、処理部とを備え、
前記処理部は、
上位ルータから委譲された少なくとも１つのプレフィックスを受け付けるプレフィックス委譲受付ステップと、
前記受け付けたプレフィックスの中から、当該ルータ配下のＬＡＮに付与するプレフィックスを決定する決定ステップと、
前記外部ネットワークから前記決定したプレフィックス宛ての通信を拒否するように、前記通信可否記憶手段の通信可否ルールを変更する変更ステップと、を実行し、
前記通信可否記憶部の通信可否ルールは、初期状態において、前記外部ネットワークから当該ルータに接続された内部ネットワークへの通信を全て許可するように設定され、
前記変更ステップは、前記外部ネットワークからの通信を許可する設定となっている、前記決定したプレフィックス宛の通信可否ルールのみを、前記外部ネットワークからの通信を拒否するように変更すること
を特徴とするルータプログラム。
ルータが実行するルータプログラムであって、
前記ルータは、外部ネットワークから当該ルータに接続された内部ネットワークへの通信可否ルールが設定された通信可否記憶部と、処理部とを備え、
前記処理部は、
上位ルータから委譲された少なくとも１つのプレフィックスを受け付けるプレフィックス委譲受付ステップと、
前記受け付けたプレフィックスの中から、当該ルータ配下のＬＡＮに付与するプレフックスを決定する決定ステップと、
前記受け付けたプレフィックスの一部を、当該ルータに接続された追加ルータに再委譲するプレフィックス再委譲ステップと、
前記外部ネットワークから前記再委譲したプレフィックス宛ての通信を許可するように、前記通信可否記憶部の通信可否ルールを変更する変更ステップと、を実行し、
前記通信可否記憶部の通信可否ルールは、初期状態において、前記外部ネットワークから当該ルータに接続された内部ネットワークへの通信を全て拒否するように設定され、
前記変更ステップは、前記追加ルータ配下の端末が当該追加ルータへの操作を行うだけで前記外部ネットワークから前記追加ルータ配下の端末への通信を可能とするために、前記外部ネットワークからの通信を拒否する設定となっている、前記再委譲したプレフィックス宛の通信可否ルールのみを、前記外部ネットワークからの通信を許可するように変更すること
を特徴とするルータプログラム。