JP4643476B2 - ネットワーク機器 - Google Patents

Description

本発明は、アドレスの値により自機にアクセスするユーザを限定することのできるネットワーク機器に関する。

ＩＰｖ６（Internet Protocol Version 6）では、ケーブルを接続した時点で、ユーザは何も設定すること無く直ぐに他機器と通信できることを特徴としている。これは、ケーブルを接続した時点で機器にリンクローカルアドレスが割り当てられ、また同一ネットワークにルータが存在すれば、機器はルータ広告（ＲＡ：Router Advertisement）を受けることにより、ステートレスアドレスが設定される。元来ＩＰｖ６では、１２８ビットの長いアドレスをユーザが入力するのは困難であるため、上記のように自動設定でアドレスが割り当てられることが主流となっている。

なお、出願人は出願時点までに本発明に関連する公開された先行技術文献を発見することができなかった。よって、先行技術文献情報を開示していない。

ところで、ＩＰアドレスの値により自機（サーバ機器）にアクセスするユーザを限定したい場合、従来から使用されている３２ビットのＩＰｖ４（Internet Protocol Version 4）アドレスであれば、アドレス値が連続しているので、アクセス制御をするのは比較的容易である。例えば、192.168.100.10〜192.168.100.50のＩＰアドレスの機器にのみアクセス可能にしたい場合、下記のようなアクセス制御式を自機で設定することにより、容易にアクセス制御を実現できる。
[192.168.100.10]-[192.168.100.50]
しかしながら、ＩＰｖ６では、値が数値として連続して存在しないため、ＩＰｖ４のような指定方法ができない。それは、ＩＰｖ６アドレスの下６４ビットは、機器のＭＡＣ（Media Access Control）アドレスを元に生成されるという特徴をもっているからである。

手動でＩＰｖ６アドレスを設定すれば、上記問題を解決することができるが、先にも述べたように、ＩＰｖ６では、１２８ビットの長いアドレスをユーザが手動で設定することは困難である。また、手動設定の場合は、機器を管理する管理者にも、アドレスを管理する必要が生じる。

なお、ＩＰｖ６アドレスのアクセス制御方式を「マスク指定」および「レンジ指定］で実現したＷｅｂセキュリティ制御システムも提案されているが、制御式が複雑になることと、予期せぬクライアント機器からのアクセスが可能となる問題がある。また、アクセスを許可している機器のＭＡＣアドレスが変わってしまうと、その後アクセスできなくなるといった問題が考えられる。

本発明は上記の従来の問題点に鑑み提案されたものであり、その目的とするところは、アドレスの値により自機にアクセスするユーザを限定することのできるネットワーク機器を提供することにある。

上記の課題を解決するため、本発明にあっては、請求項１に記載されるように、ネットワークに接続されるネットワーク機器であって、一般のユーザが確認して使用することができる公開アドレスを生成する手段と、管理者および特定のユーザのみが確認して使用することができる非公開アドレスを生成する手段とを備えるネットワーク機器を要旨としている。

また、請求項２に記載されるように、請求項１に記載のネットワーク機器において、上記のアドレスは、ＩＰｖ６のステートレスアドレスであるものとすることができる。

また、請求項３に記載されるように、請求項１に記載のネットワーク機器において、上記の２種類のアドレスに対し、管理者がそれぞれ最大設定個数を設定できるようにすることができる。

また、請求項４に記載されるように、請求項３に記載のネットワーク機器において、上記のアドレスの個数がそれぞれの最大設定個数に達した場合、機器のステートレス自動設定機能が有効でも、ルータからのルータ広告を受信せず、ステートレスアドレスを新規に追加しないようにすることができる。

また、請求項５に記載されるように、請求項１に記載のネットワーク機器において、上記の２種類のアドレスに対し、管理者がどちらのアドレスを優先的に機器に設定するかを決定できるようにすることができる。

また、請求項６に記載されるように、請求項１に記載のネットワーク機器において、上記の非公開アドレスは、管理者認証で認証が成功した時にのみ確認できるようにすることができる。

また、請求項７に記載されるように、請求項１に記載のネットワーク機器において、管理者が機器から直接アドレスの設定、確認を行えるオペレーションパネルを具備するようにすることができる。

また、請求項８に記載されるように、請求項１に記載のネットワーク機器において、管理者が外部機器からアドレスの設定、確認を行えるｔｅｌｎｅｔサーバを具備するようにすることができる。

また、請求項９に記載されるように、請求項１に記載のネットワーク機器において、管理者が外部機器からアドレスの設定、確認を行えるＷｅｂサーバを具備するようにすることができる。

また、請求項１０〜１５に記載されるように、ネットワーク機器のアクセス制御方法として構成することができる。

本発明のネットワーク機器にあっては、アドレスの値により自機にアクセスするユーザを限定することが容易に達成できる。

以下、本発明の好適な実施形態につき説明する。

＜概要＞
本発明では、サーバ機器に設定するＩＰｖ６アドレスを次の２種類に分けて設定することを特徴とする。一つは一般のユーザが使用するＩＰｖ６アドレス（公開ＩＰｖ６アドレス）である。これは、オペレーションパネル、Ｗｅｂブラウザ、ｔｅｌｎｅｔ等により、全てのユーザが確認できるアドレスである。もう一方は一般のユーザが確認することができず、管理者権限を持つユーザのみが使用することができるＩＰｖ６アドレス（非公開ＩＰｖ６アドレス）である。非公開ＩＰｖ６アドレスは、一般のユーザでは確認することができず、管理者権限のあるユーザのみが確認できるアドレスである。

また、上記の公開アドレス、非公開アドレスの最大設定個数は管理者が決定することができる。これにより、組み込み機器のようにリソースの限られた機器でも柔軟にアドレスの最大設定個数を設定することができる（リソースの限られた機器では、最大設定個数を少なくすることができる）。もし、ＩＰｖ６アドレスの個数が最大設定個数に達した場合、機器のステートレス自動設定機能が有効でも、ルータからのルータ広告を受信せず、ステートレスアドレスを新規に追加しない。

また、管理者は公開アドレス、非公開アドレスの優先順位を決定することができる。例えば、非公開ＩＰｖ６アドレス優先にした場合、非公開アドレスの最大設定個数に達するまで公開ＩＰｖ６アドレスは設定されない。つまり、この場合、管理者のみがアクセスできるＩＰｖ６アドレスのみが機器に設定されることになる。

また、管理者が設定を行う上で、管理者認証を行う。本発明では、管理者認証方式は問わない。管理者認証が成功した場合にのみ、公開アドレス、非公開アドレスの最大設定個数、優先順位等を設定することが可能になる。

また、管理者認証を行う方法として、機器がネットワークに接続されていない場合や管理者が外部機器を保持していない場合、オペレーションパネルから直接公開アドレス、非公開アドレスの設定を行うことができる。

また、管理者が外部機器を保持していた場合は、機器に対してｔｅｌｎｅｔやｗｅｂブラウザを用いて設定を行うことも可能である。

＜構成＞
図１は本発明のネットワーク機器１を用いたネットワークシステムの一実施形態を示す全体構成図である。

図１において、ＩＰｖ６に対応した複数のネットワーク機器１およびルータ２がネットワーク上に配置されている。ネットワーク機器１は、クライアントＰＣ（Personal Computer）、サーバ、プリンタ、ＭＦＰ（Multi Function Printer）等が想定される。また、ネットワーク機器１はｔｅｌｎｅｔ端末やＷｅｂブラウザとして動作することもある。

ＩＰｖ６では、機器は複数のＩＰｖ６アドレスを保有するという特徴をもっている。代表的なものに、機器に必ず設定されるリンクローカルアドレス、ルータから配布されるプレフィックスを元に生成されるステートレスアドレスがある。通常ＩＰｖ６通信対応機器は、リンクローカルアドレスの他にステートレスアドレスを所持することが多い。何故なら、リンクローカルアドレスは同一ネットワーク（サブネットワーク）の機器としか通信することができないからである。ルータを越えた機器と通信する際にはグローバルアドレスが必要であり、そのグローバルアドレスに該当するのがステートレスアドレスである。また、上記アドレスの他にＲＦＣ（Request For Comments）３０４１規格に則ったプライバシアドレスを所持する機器も存在する。

図２はネットワーク機器１の内部構成例を示す図である。

図２において、ネットワーク機器１は、ネットワーク通信を利用する上位のアプリケーション１１と、ネットワーク通信を司るネットワーク制御部１２と、ＯＳ（Operating System）１３とを備えている。

ネットワーク制御部１２は、公開／非公開アドレスに関する設定を保持するユーザ設定保持テーブル１２１と、ユーザ設定保持テーブル１２１に設定されたユーザオプションを判定するユーザオプション判定部１２２と、ネットワーク設定の制御を行うネットワーク設定制御部１２３とを備えている。

ＯＳ１３は、ネットワークプロトコル１３１とネットワーク通信ドライバ１３２とを備えている。

ネットワーク機器１では、ユーザから設定されたＩＰｖ６動作値をユーザ設定保持テーブル１２１にて保持し、ユーザオプション判定部１２２により公開アドレス・非公開アドレス設定ルールを決定する。また、アプリケーション１１により、現在設定されている公開アドレス・非公開アドレスを表示することができる。

図３はユーザ設定保持テーブル１２１の例を示す図であり、公開アドレス使用／不使用、非公開アドレス使用／不使用、公開アドレス優先、公開アドレス数、非公開アドレス数等が設定される。

＜事前設定の処理＞
図４は管理者による事前設定の処理例を示すフローチャートである。なお、設定操作は、ネットワーク機器１に設けられているオペレーションパネルにより行うか、外部端末からネットワーク機器１内のｔｅｌｎｅｔサーバ、Ｗｅｂサーバを介して行う。

図４において、処理を開始すると（ステップＳ１０１）、公開アドレス、非公開アドレスを設定できるのは管理者モードでなくてはならず、管理者モードでない時は、認証を行う（ステップＳ１０２〜Ｓ１０５）。認証に失敗すると、公開アドレス、非公開アドレス設定を行うことができず、処理を終了する（ステップＳ１１８）。

認証が成功して管理者モードになると、公開アドレスを使用するか否か（ステップＳ１０６〜Ｓ１０８）、非公開アドレスを使用するか否か（ステップＳ１０９〜Ｓ１１１）を決定する。

更に、公開アドレス、非公開アドレス両方ともに使用する設定を行った場合、どちらのアドレスを優先的に設定するか選択を行うことが可能である（ステップＳ１１２〜Ｓ１１４）。

また、公開アドレス、非公開アドレスにつき生成する個数を設定することが可能である（ステップＳ１１５〜Ｓ１１７）。

公開アドレスを優先にすると、ＲＡ受信後のステートレスアドレスは、公開アドレスとして設定され、公開アドレスの数が最大個数に達しない限り、非公開アドレスは設定されない。逆に、非公開アドレス優先にすると、ＲＡ受信後のステートレスアドレスは、非公開アドレスとして設定される。そのため、非公開アドレスの数が最大数に達して公開アドレスが設定されない限り、一般ユーザはアドレスを参照することができない。

＜ステートレスアドレス設定の処理＞
図５はステートレスアドレス生成の処理例を示すシーケンス図である。

図５において、ＩＰｖ６通信対応のネットワーク機器（サーバ）１は、同一ネットワークのルータ２に対してＲＳ（ルータ要請：Router Solicitation）を送信する（ステップＳ１２１）。なお、ＲＳを送信しない場合であっても、定期的にルータ２からはＲＡが送信される。

ＲＳを受信したルータ２は、ネットワーク機器１に対してプレフィックスを含むＲＡを送信する（ステップＳ１２２）。

ネットワーク機器１は、ＲＡを受信して、ステートレスアドレスの数が最大設定個数に達していなければ、ステートレスアドレスの生成を行い（ステップＳ１２３）、重複アドレス検出を行う（ステップＳ１２４）。

所定時間内にアドレス重複の返答がなければ、アドレスが重複していないものとして、ステートレスアドレスを決定する（ステップＳ１２５）。アドレスが重複していた場合、ユーザに対してアドレスが重複している旨表示を行う。

図６はネットワーク機器１におけるステートレスアドレス設定の処理例を示すフローチャートである。

図６において、処理を開始すると（ステップＳ１３１）、ステートレス自動設定機能が有効であるか否か判断し（ステップＳ１３２）、ステートレス自動設定機能が無効であれば（ステップＳ１３３）、ステートレスアドレスの設定を行わずに処理を終了する（ステップＳ１４１）。

ステートレス自動設定機能が有効であれば（ステップＳ１３４）、事前に管理者が設定したステートレスアドレスの最大個数を満足しているか否か判断し（ステップＳ１３５）、満足していればステートレスアドレスの生成を行う（ステップＳ１３６）。最大設定個数に達していた場合は、ルータからのＲＡを破棄し（ステップＳ１３７）、処理を終了する（ステップＳ１４１）。

ステートレスアドレスの生成を行った場合、続いて重複アドレスのチェックを行い（ステップＳ１３８）、重複がある場合にはその旨を表示し（ステップＳ１３９）、重複がなければステートレスアドレスの設定を行い（ステップＳ１４０）、処理を終了する（ステップＳ１４１）。

＜サーバへのアクセス＞
図７は、サーバとしてのネットワーク機器にアクセスしようとする端末における通信相手アドレス設定時の認証画面の例を示す図である。

図７の認証画面では、サーバ機器と通信を許可されているユーザ名とパスワードを入力して認証を行っているが、認証方式はあくまでも一例である。認証方式はどのようなものでもよく、本発明では認証方式に関しては言及しない。

図８は認証失敗時の結果画面の例を示す図であり、認証に失敗するとＩＰｖ６アドレスは公開アドレス分しか表示されない。なお、括弧内の数字は最大設定個数を示している。この場合、表示された公開ＩＰｖ６アドレスにアクセスすることが可能であるが、一般に公開ＩＰｖ６アドレスでは付加価値の高い情報は提供されない。

図９は認証成功時の結果画面の例を示す図であり、認証に成功すると公開ＩＰｖ６アドレスと非公開ＩＰｖ６アドレスとが表示される。なお、括弧内の数字はそれぞれの最大設定個数を示している。この場合、表示された非公開ＩＰｖ６アドレスにアクセスすることが可能であり、一般に非公開ＩＰｖ６アドレスでは付加価値の高い情報が提供される。

＜総括＞
本発明にあっては、サーバ機器に設定するＩＰｖ６アドレスを公開と非公開の２種類に分けて設定することにより、ＩＰｖ４アドレスのように値の連続しないＩＰｖ６アドレスでも、クライアント機器のアクセス制御を行うことが可能となる。

また、管理者が機器にＩＰｖ６アドレスの最大設定個数を設定することができるため、リソースの少ない機器に対しては、最大設定アドレスを減らすことができ、柔軟に設定を変更することが可能である。

また、ＩＰｖ６アドレスが最大設定個数に達した場合は、機器内部でＲＡを破棄することにより、アドレス管理のための機器内部リソースを消費することがない。

また、管理者が機器に設定されるＩＰｖ６アドレスの優先順位を決められるため、機器のＩＰｖ６アドレスを公開しないことが可能である。

また、管理者以外は、非公開アドレスを確認することができないので、管理者専用アドレスとして、メンテナンスを行うアドレスとしても使用することができる。また、サーバの非公開アドレスに対してアクセスしてきた機器に対しては、付加価値の高いサービスを提供することができる。

また、機器がネットワークに接続されていない場合や、管理者が外部機器を保持していない場合でも、オペレーションパネルから直接ＩＰｖ６アドレス設定を行うことができる。

また、管理者が外部機器を保持していた場合、機器に対してｔｅｌｎｅｔ経由で通信することにより、コマンドベースで設定を行うことができる。

また、管理者が外部機器を保持していた場合、機器に対してＷｅｂ経由通信することにより、マウスのクリックで設定を行うことができる。

また、クライアント機器に特別なソフトをインストールすること無く、クライアントのアクセス制御を行うことが可能となる。

以上、本発明の好適な実施の形態により本発明を説明した。ここでは特定の具体例を示して本発明を説明したが、特許請求の範囲に定義された本発明の広範な趣旨および範囲から逸脱することなく、これら具体例に様々な修正および変更を加えることができることは明らかである。すなわち、具体例の詳細および添付の図面により本発明が限定されるものと解釈してはならない。

本発明のネットワーク機器を用いたネットワークシステムの一実施形態を示す全体構成図である。 ネットワーク機器の内部構成例を示す図である。 ユーザ設定保持テーブルの例を示す図である。 事前設定の処理例を示すフローチャートである。 ステートレスアドレス生成の処理例を示すシーケンス図である。 ステートレスアドレス設定の処理例を示すフローチャートである。 通信相手アドレス設定時の認証画面の例を示す図である。 認証失敗時の結果画面の例を示す図である。 認証成功時の結果画面の例を示す図である。

符号の説明

１ ネットワーク機器
１１ アプリケーション
１２ ネットワーク制御部
１２１ ユーザ設定保持テーブル
１２２ ユーザオプション判定部
１２３ ネットワーク設定制御部
１３ ＯＳ
１３１ ネットワークプロトコル
１３２ ネットワーク通信ドライバ
２ ルータ

Claims (15)

1. ネットワークに接続されるネットワーク機器であって、
   一般のユーザが確認して使用することができる公開アドレスを生成する手段と、
   管理者および特定のユーザのみが確認して使用することができる非公開アドレスを生成する手段とを備えたことを特徴とするネットワーク機器。
2. 請求項１に記載のネットワーク機器において、
   上記のアドレスは、ＩＰｖ６のステートレスアドレスであることを特徴とするネットワーク機器。
3. 請求項１に記載のネットワーク機器において、
   上記の２種類のアドレスに対し、管理者がそれぞれ最大設定個数を設定できることを特徴とするネットワーク機器。
4. 請求項３に記載のネットワーク機器において、
   上記のアドレスの個数がそれぞれの最大設定個数に達した場合、機器のステートレス自動設定機能が有効でも、ルータからのルータ広告を受信せず、ステートレスアドレスを新規に追加しないことを特徴とするネットワーク機器。
5. 請求項１に記載のネットワーク機器において、
   上記の２種類のアドレスに対し、管理者がどちらのアドレスを優先的に機器に設定するかを決定できることを特徴とするネットワーク機器。
6. 請求項１に記載のネットワーク機器において、
   上記の非公開アドレスは、管理者認証で認証が成功した時にのみ確認できることを特徴とするネットワーク機器。
7. 請求項１に記載のネットワーク機器において、
   管理者が機器から直接アドレスの設定、確認を行えるオペレーションパネルを具備することを特徴とするネットワーク機器。
8. 請求項１に記載のネットワーク機器において、
   管理者が外部機器からアドレスの設定、確認を行えるｔｅｌｎｅｔサーバを具備することを特徴とするネットワーク機器。
9. 請求項１に記載のネットワーク機器において、
   管理者が外部機器からアドレスの設定、確認を行えるＷｅｂサーバを具備することを特徴とするネットワーク機器。
10. ネットワークに接続されるネットワーク機器のアクセス制御方法であって、
    一般のユーザが確認して使用することができる公開アドレスを生成する工程と、
    管理者および特定のユーザのみが確認して使用することができる非公開アドレスを生成する工程とを備えたことを特徴とするネットワーク機器のアクセス制御方法。
11. 請求項１０に記載のネットワーク機器のアクセス制御方法において、
    上記のアドレスは、ＩＰｖ６のステートレスアドレスであることを特徴とするネットワーク機器のアクセス制御方法。
12. 請求項１０に記載のネットワーク機器のアクセス制御方法において、
    上記の２種類のアドレスに対し、管理者がそれぞれ最大設定個数を設定できることを特徴とするネットワーク機器のアクセス制御方法。
13. 請求項１２に記載のネットワーク機器のアクセス制御方法において、
    上記のアドレスの個数がそれぞれの最大設定個数に達した場合、機器のステートレス自動設定機能が有効でも、ルータからのルータ広告を受信せず、ステートレスアドレスを新規に追加しないことを特徴とするネットワーク機器のアクセス制御方法。
14. 請求項１０に記載のネットワーク機器のアクセス制御方法において、
    上記の２種類のアドレスに対し、管理者がどちらのアドレスを優先的に機器に設定するかを決定できることを特徴とするネットワーク機器のアクセス制御方法。
15. 請求項１０に記載のネットワーク機器のアクセス制御方法において、
    上記の非公開アドレスは、管理者認証で認証が成功した時にのみ確認できることを特徴とするネットワーク機器のアクセス制御方法。

Images