JP4666986B2 - 通信方法、通信許可サーバ - Google Patents

Description

本発明は、ファイアウォール越しの通信方法と、そのための通信許可サーバ、並びに他のセグメントの画像形成装置に印刷を実行させる印刷方法に関する。

現在、ＩＰｓｅｃが多くの環境で実装されつつある。また、ＩＰｖ６が次第に浸透してきている。ＩＰｖ６環境では、グローバルアドレスが内部ネットワークにも割り振られるため、パケットフィルタリング型Firewallを用いることで、内部ネットワークと外部ネットワークの限定的なend-to-end通信が実現可能である。

このようなFirewallで保護された内部ネットワークから外部ネットワークのホストとＩＰｓｅｃで通信したい場合、図１に示されるように、通信を希望する者ないしは、その代行者がＰＣに対してＩＰｓｅｃ設定を行い、対外通信希望者ＰＣと対外通信対象ホストとの通信許可をFirewall管理者がFirewallに対して設定することとなる。

逆に、Firewallで保護された内部ネットワーク外にあるＰＣが内部のホストとＩＰｓｅｃで通信したい場合、図２に示されるように、ＶＰＮ（Virtual Private Network）ゲートウェイを利用していた。このＶＰＮゲートウェイは認証機能を提供しており、対内通信希望者ＰＣと通信して対内通信希望者ＰＣを認証する。認証に成功すると対内通信希望者ＰＣとＶＰＮゲートウェイがＩＰｓｅｃによるトンネリングを行い、対内通信希望者ＰＣはあたかも組織内ネットワークに直接接続しているように振る舞うことになる。

このような仕組みにより、例えば、異なるネットワークのプリンタで文書の印刷をすることが可能である。

なお、特許文献１には、ネットワーク上の計算機でプログラムにより実行される業務内容の定義から、個々のルータやFirewall装置などの設定を自動生成・設定する仕組みを実現し、ネットワーク管理を単純に行う仕組みを提供するネットワーク管理システムが開示されている。

特許文献２には、通信端末を使用するユーザの情報とセキュリティ種を対応付けた対応情報を記憶し、上記対応情報からセキュリティ種を決定する。又、インターネットアドレス情報と、セキュリティ種とを対応付けた対応情報を記憶し、上記インターネットアドレス情報に基づいて、上記対応情報からセキュリティ種を決定するセキュリティ通信方法、通信システム及びその装置が開示されている。

特許文献３には、コネクション許可設定部は、ネットワーク接続装置が属するネットワークセグメント上のクライアント側ノードから当該ノードのＩＰアドレスとポート番号とを含むコネクション許可設定要求を受けて、そのＩＰアドレスとポート番号を含む情報をテーブルに登録し、コネクション要求処理部４７は、任意のネットワークセグメント上のサーバ側ノードからターゲットとなるノードアドレスとポート番号を含む他のネットワークセグメントへのコネクション要求Ｒ２を受けて、その要求中のノードアドレスとポート番号との組を含む情報がテーブル４１に存在するか否かをコネクション許可判定部４３を用いて判定し、存在するときはその要求を許可し、当該テーブル４１上の情報を無効化するネットワーク接続装置及び同装置に適用されるファイアウォール制御プログラムを記憶したコンピュータ読み取り可能な記憶媒体が開示されている。
特開２０００−２４４４９５号公報 特開２００１−２９８４４９号公報 特開２００２−１０８７２９号公報

上記ＩＰｓｅｃは、ＶＰＮの基盤技術として使用されており、ＩＰｓｅｃのいわゆるトンネルモードで利用されているが、トンネリングはパフォーマンスの低下などを引き起こすため、本来はトランスポートモードによるＩＰｓｅｃ通信を利用するのが理想的である。また、トンネリングを行うためには通信コストが掛り、パフォーマンスの低下が発生する上に、トンネリングを張る数にも上限が発生する。さらに、トンネリング中はインターネットへのアクセスと内部ネットワークへのアクセスを正確に分離することが難しい。

対内通信希望者ＰＣがトンネリングを張りつつ、インターネット上の他のホストと通信する場合、インターネット上にある通信希望者ＰＣから、ネットワーク内部を経由して、再度インターネット上にあるホストにアクセスするという、無駄なトラフィックを増やすことにもなり得る。

また、上記Firewallを用いる場合、特定の通信を許可する度にFirewallの管理者がその通信許可設定をFirewallに対して手作業で設定しているため、一般ユーザにとってＩＰｓｅｃの設定は難しい。また、Firewallの設定ミスはセキュリティの低下を招く。例えば、設定された経路を使用しなくなった後もこの経路が残存すれば、セキュリティホールにもなり得る。

そのため、異なるネットワーク内のプリンタで文書の印刷をすることが非常に困難であった。

本発明は、このような問題点に鑑み、ＩＰｓｅｃのトランスポートモードによるセキュリティ維持をしつつ、Firewallで保護されたネットワーク内部にあるコンピュータと、そのFirewallの外側にあるコンピュータの間で、容易にend-to-end通信できる通信方法、そのための通信許可サーバ並びに他のセグメントの画像形成装置で印刷する印刷方法を提供することを目的とする。

上記課題を解決するために、本発明は、ファイアウォールを有するネットワークシステムでの、ファイアウォール越しの通信を行う通信方法であって、通信端末からの許可テンプレートの要求に応じて、ファイアウォール越しの通信の目的ごとに定められたＩＰｓｅｃ通信に必要な諸元を抽象化した許可情報を１つ以上、その中から選択させるよう、許可テンプレートとして提供する許可情報提供段階と、前記許可情報提供段階で提供した許可情報から、通信に用いる許可情報が選択される許可情報選択段階と、選択された前記許可情報で、ファイアウォール越しの通信を許可または拒否が選択されるアクセス可否選択段階と、前記アクセス可否選択段階で、許可が選択された場合、ファイアウォール越しの通信を禁止していたファイアウォールを通信可能な状態に設定するファイアウォール設定段階と、ファイアウォール越しの通信をする前記通信端末にＩＰｓｅｃの設定をするＩＰｓｅｃ設定段階と、前記通信端末がファイアウォール越しの通信をする通信段階とを有することを特徴とする
また、上記課題を解決するために、本発明は、前記通信段階での通信が終了するか、通信開始から一定時間後に、前記ファイアウォールの設定を原状回復するファイアウォール設定回復段階と、前記通信端末のＩＰｓｅｃ設定を原状回復する通信端末設定回復段階とを有することを特徴とする。

また、上記課題を解決するために、本発明は、前記通信段階での通信中に、ファイアウォール越しの不正な侵入を検知する不正侵入検知段階と、前記通信端末のＩＰアドレスを変更するＩＰアドレス変更段階とを有することを特徴とする。
また、上記課題を解決するために、本発明は、前記不正侵入検知段階は、前記通信端末における不正な侵入の検知に基づく通知により不正な侵入を検知し、前記ＩＰアドレス変更段階は、前記通信端末の本人性の認証に基づくＩＰアドレス変更許可を経て、前記通信端末および通信対象ホストにおけるＩＰアドレスの変更を行うことを特徴とする。
また、上記課題を解決するために、本発明は、前記不正侵入検知段階は、前記ファイアウォールにおける不正な侵入の検知に基づく通知により不正な侵入を検知し、前記ＩＰアドレス変更段階は、前記通信端末におけるＩＰアドレスの変更を行うことを特徴とする。

また、上記課題を解決するために、本発明は、前記許可情報は、ＡＨ、ＥＳＰ、暗号化演算手法、ｈｍａｃのうちのいずれか１つ以上に関する情報を含むことを特徴とする。

また、上記課題を解決するために、本発明は、ファイアウォール越しの通信を要求する通信端末に、前記ファイアウォール越しの通信を許可または拒否する通信許可サーバであって、前記通信端末からの許可テンプレートの要求に応じて、ファイアウォール越しの通信の目的ごとに定められたＩＰｓｅｃ通信に必要な諸元を抽象化した許可情報を１つ以上、その中から選択させるよう、許可テンプレートとして提供する許可情報提供手段と、前記ファイアウォールの設定を行うファイアウォール設定手段とを有することを特徴とする
また、上記課題を解決するために、本発明は、前記通信端末の通信が終了するか、通信開始から一定時間後に、前記ファイアウォールの設定を原状回復するファイアウォール設定回復手段を有することを特徴とする。

また、上記課題を解決するために、本発明は、前記通信端末のＩＰアドレスを変更させるＩＰアドレス変更手段を有することを特徴とする。

以上説明したように、直接に電子データを送付せずに文書を提供する印刷方法を提供することができる。

以下、図面を参照し、本発明の実施形態について説明する。なお、以下の説明では、内部のネットワークから外部のネットワークへ通信する実施形態と、外部のネットワークから内部のネットワークに通信する実施形態、そして、実際に異なるネットワーク間で印刷を行う実施例の順に説明する。また、内部のネットワークと外部のネットワークとの間には、ファイアウォールが設けられている。従って、内部と外部の通信は、ファイアウォール越えの通信となる。

図３は、内部のネットワークから外部のネットワークへ接続する場合の全体構成図である。図３には、対外通信希望者ＰＣ２００と、承認者ＰＣ２０１と、メールサーバ２０２と、対外通信許可サーバ２０３と、Firewall２０４と、Internet２０５と、対外通信対象ホスト２０６とが示されている。

対外通信希望者ＰＣ２００とは、内部のネットワーク内の端末であり、外部のネットワーク内の端末である対外通信対象ホスト２０６との通信を希望するＰＣである。承認者ＰＣ２０１は、外部のネットワークとの通信を承認するものである。対外通信許可サーバ２０３は、対外通信希望者ＰＣ２００からのその要求を受け取り、承認者ＰＣ２０１による承認を取り付け、Firewall２０４に特定の通信許可を実施する。

また、平行して、対外通信希望者ＰＣ２００では、自らに搭載されたＩＰｓｅｃ設定プログラムが対外通信許可サーバ２０３からのＩＰｓｅｃ設定依頼を受信して、自身のＩＰｓｅｃの設定が行われる。

以上により、対外通信希望者ＰＣ２００と対外通信対象ホスト２０６とがＩＰｓｅｃによって通信できるようになる。

次に、図４を用いて対外通信希望者ＰＣ２００の内部構成について説明する。対外通信希望者ＰＣ２００は、図４に示されるように、アクセス希望提示機能２１０と、ＩＰｓｅｃ自己設定機能２１１と、ＩＰｓｅｃＳＰＤ２１２とを含む。

アクセス希望提示機能２１０は、対外通信希望者ＰＣ２００がＩＰｓｅｃ通信により、外部のネットワークと通信したいということを対外通信許可サーバ２０３に対して表明する機能である。ＩＰｓｅｃＳＰＤ２１２は、どのＰＣとの通信でＩＰｓｅｃ通信を実現するか、その時のＩＰｓｅｃ通信はどのように行うかを記載しているものである。ＩＰｓｅｃ自己設定機能２１１は、ＩＰｓｅｃＳＰＤ２１２など、ＩＰｓｅｃ通信に必要な情報を自己設定する機能である。

次に、図５を用いて対外通信許可サーバ２０３の内部構成について説明する。対外通信許可サーバ２０３は、図５に示されるように、許可テンプレート提供機能２１５と、アクセス許可受信機能２１６と、アクセス許可承認／Firewall設定機能２１７と、許可テンプレート２１８と、承認者メールアドレス２１９とを含む。

許可テンプレート２１８は、複雑なＩＰｓｅｃ通信に必要な諸元を抽象化した情報である。承認者メールアドレス２１９は、承認者ＰＣ２１０宛のメールアドレスである。許可テンプレート提供機能２１５は、ＩＰｓｅｃ通信を希望してきた端末に対して許可テンプレートを提供する機能である。アクセス許可承認／Firewall設定機能２１７は、承認者からアクセス許可を受信する機能と、パケットフィルタリング型Firewallの設定をする機能である。なお、Firewall設定機能は、Firewallを制御するFirewall制御機能を有する。

次に、図６を用いて上記許可テンプレートについて説明する。許可テンプレートは、図６に示されるように、「通信目的」と、「ＡＨの使用／不使用」と、「ＥＳＰの使用／不使用」と、「Cypher」と、「hmac」という情報を含むテンプレートである。これらの情報からなる許可テンプレートは、通信目的ごとに設けられる。

「通信目的」は、対外通信をする目的で、図６の場合外部ネットワークにあるプリンタへの印刷となっている。「ＥＳＰの使用／不使用」と「ＡＨの使用／不使用」は、それぞれ、その通信目的に適したカプセル化モード(ＥＳＰ(Encapsulating Security Payload)／ＡＨ(Authentication Header))を使用するかどうか示すものである。「Cypher」は、その通信目的に適したCypher(暗号化演算手法)を示すものである。「hmac（Keyed-Hashing for Message Authentication）」は、鍵つきハッシュアルゴリズムを示すものである。

以上が構成に関する説明である。次に、上記構成による動作について説明する。図７は、対外通信希望者ＰＣが目的の通信を行い、通信を終了するまでの処理を示すフローである。また、このフローは、対外通信希望者ＰＣ２００と、対外通信許可サーバ２０３と、メールサーバ２０２と、承認者ＰＣ２０１と、対外通信対象ホスト２０６で行われる処理を示すものであり、各処理を囲む楕円は、その処理を実行する機能を示すものである。この楕円は、これからの説明で用いられるフローでも同じ意味で用いられる。

まず、ステップＳ５０１で、対外通信希望者ＰＣ２００は、対外通信を希望することが入力される。次のステップＳ２０２で、それを受け付けたアクセス希望提示機能は対外通信許可サーバ２０３に対して許可テンプレートを要求する。

ステップＳ５０３で、対外通信許可サーバ２０３はテンプレート要求を受信し、ステップＳ５０４で、テンプレートを対外通信希望者ＰＣ２００に対して通知する。そのテンプレートはステップＳ５０５で読み込まれ、ユーザに提示される。ステップＳ５０６で、対外通信目的が、そのテンプレートの中からユーザにより選択される。そして、対外通信希望者ＰＣ２００は、ステップＳ５０７で、選択されたテンプレートにより通信を希望する旨が示されるアクセス許可依頼を対外通信許可サーバ２０３に送信する。

対外通信許可サーバ２０３のアクセス許可受信機能２１６は、ステップＳ５０８で、アクセス許可依頼を受信する。アクセス許可受信機能２１６は、ステップＳ５０９で、承認者ＰＣ２０１に対して、アクセス許可依頼を受信している旨を表すメールを送信する。このメールには、対外通信許可サーバ２０３が提供しているＷｅｂページへのＵＲＬが記載されている。

このメールは、ステップＳ５１０で、メールサーバにより管理される。ステップＳ５１１で、承認者ＰＣ２０１は、ＰＯＰによりメールを受信する。ステップＳ５１２で、承認者ＰＣ２０１のＷｅｂブラウザは、メールに記載されたＵＲＬで示されるページにＨＴＴＰによりアクセスする。対外通信許可サーバ２０３は、ステップＳ５１４で、アクセス許可／拒否ページを提示する。ステップＳ５１３で、このページ内で、承認者によりアクセス許可または拒否が入力され、それがステップＳ５１５で、対外通信許可サーバ２０３に入力される。

ステップＳ５１６は、アクセスが拒否されたかどうかの判断である。アクセスが拒否された場合、ステップＳ５１７で、対外通信許可サーバ２０３は、対外通信希望者ＰＣ２００にアクセス拒否メールを通知し、処理を終了する。このメールは、ステップＳ５１９でメールサーバ２０２に管理される。そして、図示しないが、対外通信希望者ＰＣ２００はＰＯＰによりこのメール受信し、処理を終了する。

アクセスが許可された場合、対外通信許可サーバ２０３は、ステップＳ５１８で、ＩＰｓｅｃ設定ページへのＵＲＬをメールに添付して、対外通信希望者ＰＣ２００に通知する。

このメールは、ステップＳ５１９でメールサーバ２０２に管理され、対外通信希望者ＰＣ２００は、ステップＳ５２１で、ＰＯＰによりこのメール受信する。ステップＳ５２２で、対外通信希望者ＰＣ２００によりＩＰｓｅｃの設定が実施される。

一方、対外通信許可サーバ２０３では、ステップＳ５２０で、Firewall制御機能により、Firewallを制御する。

以上により、対外通信希望者ＰＣ２００は対外通信対象ホスト２０６と通信できるようになる。

この通信が終了するか、あるいは一定期間が経過したら、対外通信許可サーバ２０３はステップＳ５２３で、自動的にFirewallの設定を原状回復し、通信を禁止する。また、このことを、対外通信希望者ＰＣ２００に対してメールで通知する。このメールは、ステップＳ５２４で、メールサーバ２０２で管理される。ステップＳ５２５で、対外通信希望者ＰＣ２００はそのメールを取得して、そのメールの通知内容に応じて自身のＩＰｓｅｃ設定を原状回復し、処理を終了する。

次に、図８を用いて、承認者ＰＣ２０１を介さず、許可テンプレートに記載されたＩＰｓｅｃの設定で任意に外部と通信することを許す場合の処理について説明する。この場合、Firewallの許可設定は通信時のみ設定され、通信の終了後すぐに許可が解除されなければならない。

図８に示されるフローは、対外通信希望者ＰＣ２００と、対外通信許可サーバ２０３と、対外通信対象ホスト２０６で行われる処理を示すものである。なお、このフローのステップＳ６０１からステップＳ６０８までの処理は、図７のステップＳ５０１からステップＳ５０８までの処理と同じであるので説明を省略する。

ステップＳ６０９で、対外通信許可サーバ２０３は、利用者情報と希望する許可テンプレートから許可するかどうか判断する。なお、利用者情報とは、例えば、ユーザＩＤとパスワード名と、対外通信希望者ＰＣ２００の利用者を特定する情報である。

ステップＳ６１０は、アクセスを許可するかどうかの判断である。アクセスを許可しない場合、ステップＳ６１１で、対外通信許可サーバ２０３は、対外通信希望者ＰＣ２００にアクセス拒否を通知し、処理を終了する。そして、図示しないが、対外通信希望者ＰＣ２００はその通知を受け、処理を終了する。

なお、アクセスを拒否した場合は、何者かが本来のＩＰｓｅｃ通信を許可された希望者に成り代わって、セキュリティホールを実現するためにアクセス許可依頼を提示したものと見做し、Firewallを跨いだＩＰｓｅｃ通信を許可しない。

アクセスが許可された場合、対外通信許可サーバ２０３は、ステップＳ６１２で、アクセスが許可されたことを対外通信希望者ＰＣ２００に通知する。この通知をステップＳ６１４で、対外通信希望者ＰＣ２００は受信する。次のステップＳ６１５で、対外通信希望者ＰＣ２００によりＩＰｓｅｃの設定が実施される。

一方、対外通信許可サーバ２０３では、ステップＳ６１３で、Firewall制御機能により、Firewallを制御する。

以上により、対外通信希望者ＰＣ２００は対外通信対象ホスト２０６と通信できるようになる。

この通信が終了するか、あるいは一定期間が経過したら、対外通信許可サーバ２０３はステップＳ５２３で、自動的にFirewallに設定された許可設定を戻し、通信を禁止する。また、このことを、対外通信希望者ＰＣ２００に対して通知する。この通知内容に応じ、対外通信希望者ＰＣ２００は、ステップＳ６１７で自身のＩＰｓｅｃ設定を戻し、処理を終了する。

次に、対外通信を許可したＰＣがＤｏＳ攻撃（Denial of Service attack）を受けたときに、適切にそれを回避する処理について説明する。

図９は、不正アクセス攻撃を示す図であり、図３と同様の図に攻撃者２２０を加えたものである。対外通信希望者ＰＣ２００は外部の対外通信対象ホスト２０６からの通信を既に受け付けている状態である。このため、対外通信対象ホスト２０６から対外通信希望者ＰＣ２００までの経路はFirewall２０４が透過している。また、このアクセスの許可などを実施するため、対外通信許可サーバ２０３があり、承認管理やFirewall２０４の設定を実施しているとする。

このような状況で、対外通信希望者ＰＣ２００がInternet２０５から、ＩＰアドレスを詐称したパケットが多数届く状態になったとする。

このような状態に対応可能な構成を説明する。図１０は、対外通信希望者ＰＣ２００の内部構成を示す図である。対外通信希望者ＰＣ２００は、図４で示した構成に加え、侵入検知機能２２１と、自己ＩＰアドレス更新機能２２２と、相手ＩＰアドレス更新機能２２３を含む。

侵入検知機能２２１は、不正なアクセスを検知するものである。自己ＩＰアドレス更新機能２２２は、ＩＰアドレスの変更に伴うＩＰｓｅｃの設定の修正などを行うものである。

図１１は、対外通信許可サーバ２０３の内部構成を示す図である。対外通信許可サーバ２０３は、図５で示した構成に加え、対外ＩＰアドレス更新許可通知機能２２３を含む。

対外ＩＰアドレス更新許可通知機能２２３は、新たなサフィクスの算出などを行うものである。

図１２は、対外通信対象ホスト２０６の内部構成を示す図である。対外通信対象ホスト２０６は、相手ＩＰアドレス更新機能２２４を有する。相手ＩＰアドレス更新機能２２４は、通信相手のＩＰアドレスの変更に伴い、自らのＩＰｓｅｃの設定の修正などを行うものである。

対外通信希望者ＰＣ２００が対外通信対象ホスト２０６と通信中に、Internet２０５からの攻撃があった場合、その侵入を検知する例を、図１３を用いて説明する。まず、対外通信希望者ＰＣ２００は、パケットフィルタを有し、常に自身に届くパケットを監視する。

それと平行して、図１３に示される処理が行われる。図１３のフローチャートは、監視しているパケットに対する処理を示すものである。まず、ステップＳ７０１で、一定頻度以上のｐｉｎｇがあったかどうか判断され、ステップＳ７０２で、ＳＹＮスキャンがあったかどうか判断され、ステップＳ７０３で、ＦＩＮスキャンがあったかどうか判断され、ステップＳ７０４で、ＮＵＬＬスキャンがあったかどうかが判断される。

これらの判断での結果で、いずれか１つでも真となる結果がある場合、ステップＳ７０３で、侵入を検知したと判断し、他のプログラムに侵入を検知したことを通知する。全ての判断の結果が偽の場合、再びステップＳ７０１の処理が行われる。

次に、図１４を用いて、侵入ないしは侵入準備操作があった場合に、自身のＩＰアドレスを変更して、攻撃を防ぐ処理について説明する。

まず、対外通信希望者ＰＣ２００が外部からの接続を許している状態であるとする。その状態で、ステップＳ８０１で、対外通信希望者ＰＣ２００が侵入または侵入の可能性を検知すると、対外通信希望者ＰＣ２００は、ステップＳ８０２で、サフィクス変更依頼を対外通信許可サーバ２０３に依頼する。

対外通信許可サーバ２０３は、ステップＳ８０３でサフィクス変更依頼を受信し、ステップＳ８０４で、その依頼の本人性確認を行う。本人性確認の結果、ステップＳ８０５で、正規の依頼ではないと判断した場合、ステップＳ８０６で、サフィクス変更を拒否するメッセージを対外通信希望者ＰＣ２００に送信して、処理を終了する。

ステップＳ８０５で、正規の依頼であると判断した場合、対外通信許可サーバ２０３は、ステップＳ８０７で、新たなサフィクスを算出し、ステップＳ８０８で、対外通信希望者ＰＣ２００に本人性確認に成功した旨と、新サフィクスを通知する。

次に、対外通信許可サーバ２０３は、ステップＳ８０９で、内部の許可者リストのデータベースを更新し、ステップＳ８１０で、Firewall２０４に新ＩＰアドレスの通信を許可するように設定を変更する。また、対外通信許可サーバ２０３は、ステップＳ８１１で、対外通信希望者ＰＣ２００のサフィクス変換が十分に完了したと思われる一定の時間を置いて、侵入が検知された旧ＩＰアドレスへのアクセスを禁止するようにFirewall２０４の設定を変更する。

一方、対外通信希望者ＰＣ２００は、ステップＳ８１２で、対外通信許可サーバ２０３からの依頼結果を受信する。依頼結果が変更許可ではなかった場合、対外通信希望者ＰＣ２００は、ステップＳ８１４で、許可されなかった内容のエラーをユーザに通知し、処理を終了する。

依頼結果が変更許可の場合、対外通信希望者ＰＣ２００は、ステップＳ８１５で、対外通信対象ホスト２０６にＩＰアドレス変更を通知する。次に、対外通信希望者ＰＣ２００は、ステップＳ８１６で、ＩＰｓｅｃ通信の修正を行い、ステップＳ８１７で、アプリケーションにＩＰアドレスの変更を通知して、処理を終了する。

対外通信対象ホスト２０６は、ステップＳ８１８で、対外通信希望者ＰＣ２００からのＩＰアドレス変更通知を受信し、ステップＳ８１９で、自身のＩＰｓｅｃ設定を変更し、ステップＳ８２０で、アプリケーションに相手側のＩＰアドレスが変更された旨を通知して処理を終了する。

以上の手順により、侵入ないしは侵入準備操作があった場合に、自身のＩＰアドレスを変更して、攻撃を未然に防ぐ機能が実現できる。

以上が内部のネットワークから外部のネットワークへ通信する実施形態の説明である。次に、外部のネットワークから内部のネットワークに接続する実施形態について説明する。なお、この説明においては、既に説明したものの説明は省略する。

図１５は、外部のネットワークから内部のネットワークへ接続する場合の全体構成図である。図１５には、対内通信希望者ＰＣ２３０と、対内通信許可サーバ２３１と、Firewall２０４と、Internet２０５と、内部ネットワーク２３２とが示されている。

対内通信希望者ＰＣ２３０とは、外部の端末であり、内部ネットワーク２３２内の端末との通信を希望するＰＣである。この対内通信希望者ＰＣ２３０は対内通信許可サーバ２３１に対内通信の許可希望を通知する。それと同時に対内通信希望者ＰＣ２３０はＩＰｓｅｃの設定を自身で行い、ＩＰｓｅｃ通信が可能となるようにする。

対内通信許可サーバ２３１は対内通信希望者ＰＣ２３０を認証し、認証に成功したら、Firewall２０４を制御して、対内通信希望者ＰＣ２３０からのＩＰｓｅｃ通信を許可する。

次に、図１６を用いて対内通信希望者ＰＣ２３０の内部構成について説明する。対内通信希望者ＰＣ２３０は、図１６に示されるように、接続依頼機能２３４と、ＩＰｓｅｃ自己設定機能２１１と、ＩＰｓｅｃＳＰＤ２１２とを含む。

接続依頼機能２３４は、ＩＰｓｅｃ通信により、組織内のホストと通信したいということを対内通信許可サーバ２３１に対して表明する機能である。

次に、図１７を用いて対内通信許可サーバ２３１の内部構成について説明する。対内通信許可サーバ２３１は、図１７に示されるように、許可テンプレート提供機能２１５と、アクセス許可承認／Firewall設定機能２１７と、許可者リスト２３７と、許可テンプレート２１９とを含む。許可者リスト２３７は、許可者とその認証鍵からなるリストである。

以上が構成に関する説明である。次に、上記構成による動作について説明する。図１８は、対内通信希望者ＰＣが目的の通信を行い、通信を終了するまでの動作を示すフローである。また、このフローは、対内通信希望者ＰＣ２３０と、対内通信許可サーバ２３１で行われる処理を示すものである。

まず、ステップＳ９０１で、対内通信希望者ＰＣ２３０は、対内通信を希望することが入力される。次のステップＳ９０２で、それを受け付けた接続依頼機能は対内通信許可サーバ２３１に対して許可テンプレートを要求する。

ステップＳ９０３で、対内通信許可サーバ２３１はテンプレート要求を受信し、ステップＳ９０４で、テンプレートを対内通信希望者ＰＣ２３０に対して通知する。そのテンプレートはステップＳ９０５で読み込まれ、ユーザに提示される。ステップＳ９０６で、対内通信目的が、そのテンプレートの中からユーザにより選択される。そして、対内通信希望者ＰＣ２３０は、ステップＳ９０７で、選択されたテンプレートにより通信を希望する旨が示されるアクセス許可依頼を対内通信許可サーバ２３１に送信する。

ステップＳ９０８で、対内通信許可サーバ２３１は、アクセス許可依頼を受信する。次のステップＳ９０９で、対内通信許可サーバ２３１は、ユーザが規定の許可者であるかどうかを許可者リストから判断し、公知の認証手法でそのユーザの認証を行う。

対内通信許可サーバ２３１は、ステップＳ９１０で、既定の許可者で認証に成功したかどうか判断する。もし、認証に失敗した場合、対内通信許可サーバ２３１は、ステップＳ９１１で、対内通信希望者ＰＣ２３０にアクセス拒否をする旨を通知する。

また、認証に成功した場合、対内通信許可サーバ２３１は、ステップＳ９１２で、対内通信希望者ＰＣ２３０にアクセスを許可する旨を通知する。また、ステップＳ９１３で、対内通信許可サーバ２３１は、アクセス許可依頼を送信してきたソースアドレス、すなわち対内通信希望者ＰＣ２３０のＩＰアドレスと、内部ネットワーク２３２の通信を許可するように、Firewall制御機能を利用して、Firewall２０４を制御する。

一方、対内通信希望者ＰＣ２３０は、ステップＳ９１４で、対内通信許可サーバ２３１からの通知を受信する。ステップＳ９１５で、対内通信希望者ＰＣ２３０は、アクセスが許可されたかどうか判断する。

アクセスが許可されなかったと判断された場合、対内通信希望者ＰＣ２３０は、ステップＳ９１６で、アクセスが拒否された旨をユーザに通知する。アクセスが許可された場合、対内通信希望者ＰＣ２３０は、ステップＳ９１７で、選択された許可テンプレートに合わせてＩＰｓｅｃの設定をする。

以上でInternet２０５からローカルネットワークに対して、トンネリングを使用しないでＩＰｓｅｃ通信が可能となる。

次に、攻撃者が対内通信希望者ＰＣ２３０のＩＰアドレスを詐称して内部ネットワーク２３２に通信しようとしたときに、適切にそれを回避する処理について説明する。図１９は、不正アクセス攻撃を示す図であり、図５に攻撃者２２０を加えたものである。

このような攻撃者２２０に対応可能な構成を説明する。図２０は、対内通信許可サーバ２３１の内部構成を示す図である。対内通信許可サーバ２３１は、図１７で示した構成に加え、侵入検知情報受信ＩＰアドレス更新要求機能２４０と、Firewall自動設定機能２４１を含む。

侵入検知情報受信ＩＰアドレス更新要求機能２４０は、Firewall２０４から通知される侵入検知情報を受信するとともに、対内通信希望者ＰＣ２３０にＩＰアドレス更新要求を行うものである。Firewall自動設定機能２４１は、Firewall２０４に対する設定を行うものである。

図２１は、Firewall２０４の内部構成を示す図である。Firewall２０４は、侵入検知機能２２１を含む。この侵入検知機能２２１は既に説明済みである（図１３参照）。図２２は、対内通信希望者ＰＣ２３０の内部構成を示す図である。対内通信希望者ＰＣ２３０は、図１６に示した構成に加え、自己ＩＰアドレス更新機能２２２を含む。自己ＩＰアドレス更新機能２２２は、対内通信希望者ＰＣ２３０のＩＰアドレスの更新を行うものである。

この構成により、Firewall２０４が侵入を検知した旨をから対内通信許可サーバ２３１に通知して、対内通信許可サーバ２３１が対内通信希望者ＰＣ２３０のＩＰアドレスを変更させて、攻撃のあったこれまで通信していたFirewall２０４の通信許可を無効にすることが可能となる。

次に、図２３を用いて、侵入ないしは侵入準備操作があった場合に、自身のＩＰアドレスを変更して、攻撃を防ぐ処理について説明する。

まず、対内通信希望者ＰＣ２３０に内部ネットワークへの接続を許可している状態であるとする。ステップＳ１００１で、Firewall２０４が侵入を検知すると、Firewall２０４は、ステップＳ１００２で侵入検知情報を対内通信許可サーバ２３１に通知し、処理を終了する。

対内通信許可サーバ２３１は、ステップＳ１００３で、侵入検知情報を受信し、ステップＳ１００４で、対内通信希望者ＰＣ２３０のＩＰｖ６アドレスの新たなサフィクスを算出し、ステップＳ１００５で、対外通信対内通信希望者ＰＣ２３０に新ＩＰアドレスを通知する。

次に、対内通信許可サーバ２３１は、ステップＳ１００６で、新ＩＰアドレスへのアクセスを許可するようにFirewall２０４の設定を変更する。ステップＳ１００７で、対内通信許可サーバ２３１は、一定時間後に旧ＩＰアドレスへのアクセスを禁止するように、Firewall２０４の設定を変更し、処理を終了する。

一方、ステップＳ１００８で、新ＩＰアドレスを通知された対内通信希望者ＰＣ２３０は、ステップＳ１００９でＩＰアドレスを変更し、ステップＳ１０１０で、ＩＰｓｅｃ設定を修正する。

このように、外部からの攻撃パケットの検出に応じて対内通信希望者ＰＣ２３０のＩＰアドレスを自動的に書き換えることにより、自動的に攻撃を避けることができるようになる。

上記説明において、ステップＳ５０４、ステップＳ９０４は、許可情報提供段階に対応する。ステップＳ５０６、ステップＳ９０６は、許可情報選択段階に対応する。ステップＳ５１５、ステップＳ９０９は、アクセス可否選択段階に対応する。ステップＳ５２０、ステップＳ９１３は、ファイアウォール設定段階に対応する。ステップＳ５２２、ステップＳ９１７は、ＩＰｓｅｃ設定段階に対応する。ステップＳ５２３は、ファイアウォール設定回復段階に対応する。ステップＳ５２５は、通信端末設定回復段階に対応する。ステップＳ８０１、ステップＳ１００１は、不正侵入検知段階に対応する。ステップＳ８１５、１００９は、ＩＰアドレス変更段階に対応する。

また、対外通信許可サーバ２０３、対内通信許可サーバ２３１は、通信許可サーバに対応する。許可テンプレートは、許可情報に対応し、許可テンプレート提供機能２１５は、許可情報提供手段に対応する。アクセス許可承認／Firewall設定機能２１７は、ファイアウォール設定手段とファイアウォール設定回復手段に対応する。相手ＩＰアドレス更新機能２２３と侵入検知情報受信ＩＰアドレス更新要求機能２４０は、ＩＰアドレス変更手段に対応する。

次に、実際に異なるネットワーク間で印刷を行う実施例の順に説明する。図２４は、ネットワークシステムの全体構成図を示すものである。図２４には、ネットワーク１００と、ＬＭ１０１と、ＬＲ１０２と、ＡＭ１０４と、ＡＲ１０５と、ルータ１０３と、宛先ＤＢ１０６、１０７、１０８、１０９、１１０とが示されている。

ＬＭ１０１と、ＬＲ１０２と、ＡＭ１０４と、ＡＲ１０５は端末であり、パソコンまたはプリンタである。また、ＬＭ１０１とＬＲ１０２は、セグメント１１１に属し、ＡＭ１０４と、ＡＲ１０５はセグメント１１２に属する。これらの異なるセグメントの間には通常ファイアウォールが設けられるが、この実施例では、必ずしもファイアウォールを必要としない。

この図２４の場合では、ＬＭ１０１が印刷要求をする端末とし、ＡＭ１０４が印刷を実行する端末とする。従って、ＬＭ１０１は、印刷を実行可能な端末である必要はないため、パソコンであっても良い。

また、ＬＲ１０２とＡＲ１０５は、それぞれ各セグメントの代表端末である。この代表端末とは、端末情報である宛先ＤＢを参照可能な端末である。

なお、ＬＭはLocal Machineを表し、ＬＲはLocal Representationを表す。また、ＡＭはAnother Machineを表し、ＡＲはAnother Representationを表す。

ルータ１０３は、２つのセグメント間に位置する。そして、２つのセグメント間での通信は、ＩＰｓｅｃを用いて行われる。従って、２つのセグメント間での通信のセキュリティは確保されている。

このように、図２４に示されるネットワークシステムは、複数のセグメントが接続され、セグメントに属する端末に関する情報である端末情報を有し、前記端末情報を参照可能な端末である代表端末を前記セグメントごとに有する。

なお、図２４では、セグメントが２つであるが、複数であればよい。また、セグメントに属する端末も２つであるが、代表端末を含む複数の端末で構成されていればよい。

次に、宛先ＤＢについて説明する。図２４において、宛先ＤＢは、全部で５つ示されているが、図２４は宛先ＤＢの３種類の配置方法を含むものである。この３種類の方法について、図２５を用いて説明する。

図２５には、代表端末であるＬＲを用いて３種類の方法Ａ、Ｂ、Ｃが示されている。このうち、方法Ａ、Ｂは、各セグメントごとに宛先ＤＢを有する場合の方法であり、方法Ｃは、ネットワークシステムで１つの宛先ＤＢを有する場合の方法である。

まず、方法Ａ１２０は、代表端末内部に宛先ＤＢを配置する方法である。方法Ａの例として、宛先ＤＢを端末が有する記憶装置に保持させる方法が挙げられる。方法Ａは、図２４における宛先ＤＢ１０７、１０９に対応している。

方法Ｂ１２１は、代表端末の外部にアクセス可能な宛先ＤＢを配置する方法である。方法Ｂの例として、宛先ＤＢを搭載し、セグメントの代表端末がアクセス可能なデータベースサーバを配置する方法が挙げられる。方法Ｂは、図２４における宛先ＤＢ１０８、１１０に対応している。

方法Ｃ１２２は、各セグメントの代表端末がアクセス可能な宛先ＤＢを一つ配置する方法である。方法Ｃの例として、宛先ＤＢを搭載し、各代表端末がアクセス可能なデータベースサーバを配置する方法が挙げられる。方法Ｃは、図２４における宛先ＤＢ１０６に対応している。

次に、宛先ＤＢの内容について説明する。上記３種類の方法において、宛先ＤＢの内容として実質的に異なるのは、方法Ｃとそれ以外の方法であり、宛先ＤＢは２種類に分類される。これは、方法Ａ、Ｂの宛先ＤＢは、その位置が異なるだけの違いなので、方法Ａ、Ｂにおける宛先ＤＢの内容は実質的に同じものとなるためである。

まず、方法Ａ、Ｂにおける宛先ＤＢの内容について説明する。図２６は、図２４におけるセグメント１１１の宛先ＤＢを示し、図２７は、図２４におけるセグメント１１２の宛先ＤＢを示している。これらの宛先ＤＢは、各セグメントごとに設けられるため、そのセグメントに属する端末の情報と、他のセグメントの代表端末の情報とを有する。

また、セグメント１１１は東京にあるとし、セグメント１１２は大阪にあるとする。他のセグメントとして、福岡にあるものもある。

図２６、２７に示される宛先ＤＢは、１つの端末に関する情報の項目として、「セグメント」、「ユーザ名」、「ＩＰアドレス」、「メールアドレス」を有する。

「セグメント」は、原則としてその端末が属するセグメントを示す。代表端末の場合、セグメントは、その代表端末が属するセグメント名である。代表端末以外の端末の場合、セグメントは「ＬＭ」である。

「ユーザ名」は、その端末を使用するユーザの名称や端末の名称を示す。端末が代表端末の場合、ユーザ名は代表となる。端末が代表端末でない場合、図に示されるように、Ｌさんを示す「Ｌ」やＡさんを示す「Ａ」などとなる。なお、「会議」とは、例えば会議室にあるような端末のユーザ名であり、会議のための資料を印刷するときなどに用いられる端末を示している。

「ＩＰアドレス」は、その端末のＩＰアドレスを示す。このＩＰアドレスは、ＩＰｖ６でのＩＰアドレスである。例えば、「2001::1」や「fe80::2」などとなる。

「メールアドレス」は、その端末のメールアドレスを示す。

以上が、方法Ａ、Ｂの場合の宛先ＤＢである。このように宛先ＤＢは、各セグメントごとに設けられ、セグメントに属する端末のＩＰアドレスと、他のセグメントの代表端末のＩＰアドレスとを有する。

次に、方法Ｃの場合の宛先ＤＢについて、図２８を用いて説明する。方法Ｃの場合の宛先ＤＢの項目も、図２６、２７で示した項目と同じ項目となるが、「セグメント」の内容がことなる。方法Ｃの場合、全てのセグメントに属する端末に関する情報が存在するため、図２６、２７のように単に「ＬＭ」と示すだけでは、どのセグメントに端末が属するか不明となる。従って、代表端末以外の端末にもセグメント名を含む内容となる。また、この宛先ＤＢは、全ての端末のＩＰアドレスを有する。

次に、端末のソフトウェアブロックを、図２９を用いて説明する。図２９には、宛先ＤＢ１３１、１３５と、アプリケーション１３２と、宛先判定部１３３と、ネットワーク制御部１３４と、ＯＳ１３６と、ネットワークプロトコル１３７と、ネットワーク通信ドライバ１３８とが示されている。なお、宛先ＤＢ１３１、１３５の２つが描かれているが、これは上述した方法Ａ、Ｂの場合に対応させたものである。

アプリケーション１３２は、プリンタなどのアプリケーションである。宛先判定部１３３は、宛先ＤＢを参照して、宛先を判定する。ネットワーク制御部１３４は、セグメント内の端末を、マルチキャストパケットを用いて調査し、宛先ＤＢを更新したり、宛先判定部１３３が判定した通信相手に情報を送信する。ＯＳ１３６はオペレーティングシステムである。ネットワークプロトコル１３７は、ネットワークプロトコルに対応するためのＯＳ１３６に組み込まれているサービスである。ネットワーク通信ドライバ１３８は、ＮＩＣのドライバなどである。

次に、図３０を用いてプロトコルスタックについて説明する。図３０に示されるプロトコルスタックは、下から物理１４０、ＩＰｖ４ １４２とＩＰｖ６ １４１、ＴＣＰ／ＵＤＰ１４３、アプリケーション１４４となっている。

この図に示されるように、ＩＰ層は、ＩＰｖ４とＩＰｖ６のデュアルスタックとなっている。従って、いずれのプロトコルにも対応可能となっている。もっとも、セグメント間の通信をＩＰｓｅｃで可能であれば、いずれのプロトコルであっても良い。

次に、図３１、３２を用いてＬＭ１０１（図２４参照）の印刷要求が、ＡＭ１０４へ通知されるまでの処理を示すシーケンス図を説明する。なお、図３１は、ＬＭ１０１がＩＰｓｅｃを用いた通信ができない場合の処理を示し、図３２は、ＬＭ１０１がＩＰｓｅｃを用いた通信ができる場合の処理を示している。

図３１の説明をする。印刷を要求する端末であるＬＭ１０１が、ＬＭ１０１が属するセグメントの代表端末であるＬＲ１０２に、他のセグメントに属するＡＭ１０４に印刷させるための印刷要求を、ステップＳ１０１で通知する。この印刷要求には、印刷データと、印刷先セグメントと、印刷先とが含まれる。今の場合、印刷先セグメントは大阪であり、印刷先はＡＭ１０４となっている。

次に、ＬＲ１０２が、印刷要求を通知するセグメントの代表端末であるＡＲ１０５のＩＰアドレスを、宛先ＤＢ１０８をステップＳ１０２、１０３で参照することで取得する。

次に、ＬＲ１０２が、取得したＡＲ１０５のＩＰアドレス宛に、ステップＳ１０４で印刷要求を通知する。この印刷要求は、ＩＰｓｅｃを用いた通信で行われ、印刷データと印刷先とが含まれる。

次に、ＬＲ１０２が、印刷を実行する端末であるＡＭ１０４のＩＰアドレスを、宛先ＤＢ１１０をステップＳ１０５、１０６で参照することで取得する。

ＡＲ１０５が、取得したＡＭ１０４のＩＰアドレス宛に、印刷要求を通知する。この印刷要求には、印刷データが含まれる。

次に、図３２の説明をする。印刷を要求する端末であるＬＭ１０１が、印刷要求を通知するセグメントの代表端末であるＡＲ１０５のＩＰアドレスを、ＬＭ１０１が属するセグメントの代表端末であるＬＲ１０２に、ステップＳ２０１で要求する。

ＬＲ１０２が、ＡＲ１０５のＩＰアドレスを、宛先ＤＢ１０８をステップＳ２０２、２０３で参照することで取得する。

ＬＲ１０２が、取得したＡＲ１０５のＩＰアドレスを、ステップＳ２０４でＬＭ１０１に通知する。

ＬＭ１０１が、通知されたＡＲ１０５のＩＰアドレス宛に、ステップＳ２０５で印刷要求を通知する。この印刷要求は、ＩＰｓｅｃを用いた通信で行われ、印刷データと印刷先とが含まれる。

ＡＲ１０５が、印刷を実行する端末であるＡＭ１０４のＩＰアドレスを、宛先ＤＢ１１０をステップＳ２０６、２０７で参照することで取得する。

ＡＲ１０５が、取得したＡＭ１０４のＩＰアドレス宛に、ステップＳ２０８で印刷要求を通知する。この印刷要求には、印刷データが含まれる。

以上説明した処理は、基本シーケンスである。次の図３３、３４に示すフローチャートは、チェック処理を設けた処理を示すものである。このチェック処理は、事後チェックと事前チェックがあり、図３３が事後チェックであり、図３４が事前チェックである。事後チェックとは、ＡＲ１０５が、印刷データを通知された後にＡＭ１０４が宛先ＤＢに登録されているかどうか確認することである。事前チェックとは、印刷データを通知される前にＡＭ１０４が宛先ＤＢに登録されているかどうか確認することである。

まず、図３３のフローチャートについて説明する。ステップＳ３０１は、印刷要求の通知である。このとき、印刷データと印刷先セグメントと印刷先も通知される。ステップＳ３０２は、宛先ＤＢの参照が行われる。ステップＳ３０３で、印刷先セグメントが宛先ＤＢに登録されているかどうか判断される。登録されていない場合、ステップＳ３０４で、要求元のＬＭ１０１に印刷できないという内容のメールが送信され処理が終了する。

印刷先セグメントが登録されている場合、印刷要求により印刷データが転送される。ステップＳ３０５は、この印刷データの転送に成功したかどうかの判断が行われる。転送に失敗した場合、ステップＳ３０６で、ＬＭ１０１に印刷できないという内容のメールが送信され処理が終了する。

転送が成功すると、ステップＳ３０７で宛先ＤＢの参照が行われる。ステップＳ３０８で、ＡＭ１０４のアドレスが宛先ＤＢに登録されているかどうか判断される。ＡＭ１０４のアドレスが登録されていない場合、ステップＳ３０９で、ＡＲ１０５が印刷し、ＬＭ１０１またはＬＲ１０２にＡＭ１０４で印刷できないため、ＡＲ１０５が印刷したという内容のメールが送信され、ＡＭ１０４には印刷要求があったという内容のメールが送信され、処理が終了する。

ＡＭ１０４のアドレスが登録されている場合、ステップＳ３１０で、ＡＭ１０４に印刷要求が通知され、処理が終了する。

次に、図３４のフローチャートについて説明する。ステップＳ４０１は、印刷要求の通知である。このとき、印刷データと印刷先セグメントと印刷先も通知される。ステップＳ４０２は、宛先ＤＢの参照が行われる。ステップＳ４０３で、印刷先セグメントが宛先ＤＢに登録されているかどうか判断される。登録されていない場合、ステップＳ４０４で、要求元のＬＭ１０１に印刷できないという内容のメールが送信され処理が終了する。

印刷先セグメントが登録されている場合、ＬＲ１０２は、ＡＭ１０４が宛先ＤＢに登録されているかどうかＡＲ１０５に問い合わせる。ＡＭ１０４が登録されていない場合、ＬＲ１０２は、ステップＳ４０６でＬＭ１０１に印刷できないという内容のメールを送信し、処理が終了する。

ＡＭ１０４が登録されている場合、印刷要求とともに印刷データが転送される。ステップＳ４０７は、この印刷データの転送に成功したかどうかの判断が行われる。転送に失敗した場合、ステップＳ４０８で、ＬＲ１０２に印刷できないという内容のメールが送信され処理が終了する。

転送が成功すると、ステップＳ４０９で、ＡＭ１０４に印刷要求が通知され、処理が終了する。

次に、本実施の形態の適用した画像形成装置の一実施例のソフトウェア構成図と、一実施例のハードウェア構成図を説明する。

図３５を用いて、画像形成装置１に搭載されているソフトウェアについて説明する。図３５には、画像形成装置１のプログラム群２と、画像形成装置起動部３と、ハードウェア資源４とが示されている。

画像形成装置起動部３は画像形成装置１の電源投入時に最初に実行され、アプリケーション層５およびコントローラ層６を起動する。例えば画像形成装置起動部３は、アプリケーション層５およびコントローラ層６のプログラムを、ハードディスク装置（以下、ＨＤＤと記す）などから読み出し、読み出した各プログラムをメモリ領域に転送して起動する。ハードウェア資源４は、スキャナ５１と、プロッタ５２と、オペレーションパネル５３と、ファクシミリなどのハードウェアリソース５０とを含む。

また、プログラム群２は、ＵＮＩＸ（登録商標）などのＯＳ上に起動されているアプリケーション層５とコントローラ層６とを含む。アプリケーション層５は、プリンタ、コピー、ファックスおよびスキャナなどの画像形成に係るユーザーサービスにそれぞれ固有の処理を行うプログラムを含む。また、ネットワークプロトコル１３７、ネットワーク通信ドライバ１３８（いずれも図２９参照）はＯＳに含まれる。

アプリケーション層５は、プリンタ用のアプリケーションであるプリンタアプリ２０と、コピー用アプリケーションであるコピーアプリ２１と、ファックス用アプリケーションであるファックスアプリ２２と、スキャナ用アプリケーションであるスキャナアプリ２３とを含む。これらアプリは、アプリケーション１３２（図２４参照）に対応する。

また、コントローラ層６は、アプリケーション層５からの処理要求を解釈してハードウェア資源４の獲得要求を発生するコントロールサービス層７と、１つ以上のハードウェア資源４の管理を行ってコントロールサービス層７からの獲得要求を調停するシステムリソースマネージャ（以下、ＳＲＭと記す）４０と、ＳＲＭ４０からの獲得要求に応じてハードウェア資源４の管理を行うハンドラ層８とを含む。

コントロールサービス層７は、ネットワークコントロールサービス（以下、ＮＣＳと記す）３０、デリバリーコントロールサービス（以下、ＤＣＳと記す）３１、オペレーションパネルコントロールサービス（以下、ＯＣＳと記す）３２、ファックスコントロールサービス（以下、ＦＣＳと記す）３３、エンジンコントロールサービス（以下、ＥＣＳと記す）３４、メモリコントロールサービス（以下、ＭＣＳと記す）３５、認証サービス（以下、ＣＣＳと記す）３６、ユーザインフォメーションコントロールサービス（以下、ＵＣＳと記す）３７、システムコントロールサービス（以下、ＳＣＳと記す）３８など、一つ以上のサービスモジュールを含むように構成されている。

なお、コントローラ層６は予め定義されている関数により、アプリケーション層５からの処理要求を受信可能とするＡＰＩ４３を有するように構成されている。ＯＳは、アプリケーション層５およびコントローラ層６の各プログラムをプロセスとして並列実行する。

ＮＣＳ３０のプロセスは、ネットワークＩ／Ｏを必要とするアプリケーションに対して共通に利用できるサービスを提供するものであり、ネットワーク側から各プロトコルによって受信したデータを各アプリケーションに振り分けたり、各アプリケーションからのデータをネットワーク側に送信する際の仲介を行う。

例えばＮＣＳ３０は、ネットワークを介して接続されるネットワーク機器とのデータ通信をｈｔｔｐｄ（HyperText Transfer Protocol Daemon）により、ＨＴＴＰ（HyperText Transfer Protocol）で制御する。このＮＣＳ３０は、ネットワーク制御部１３４に対応する。

ＤＣＳ３１のプロセスは、蓄積文書の配送などの制御を行う。ＯＣＳ３２のプロセスは、保守点検などを行うサービスマンやユーザと本体制御との間の情報伝達手段となる操作部の制御を行う。ＦＣＳ３３のプロセスは、アプリケーション層５からＰＳＴＮまたはＩＳＤＮ網を利用したファックス送受信、バックアップ用のメモリで管理されている各種ファックスデータの登録／引用、ファックス読み取り、ファックス受信印刷などを行うためのＡＰＩを提供する。

ＥＣＳ３４のプロセスは、スキャナ５１、プロッタ５２、ハードウェアリソース５０などのエンジンの制御を行う。ＭＣＳ３５のプロセスは、メモリの取得および解放、ＨＤＤの利用などのメモリ制御を行う。ＣＣＳ３６は、画像形成装置における認証一般を処理し、宛先判定部１３３（図２４参照）に対応する。ＵＣＳ３７のプロセスは、ユーザ情報の管理を行う。

ＳＣＳ３８のプロセスは、アプリケーション管理、操作部制御、システム画面表示、ＬＥＤ表示、ハードウェア資源管理、割り込みアプリケーション制御などの処理を行う。

ＳＲＭ４０のプロセスは、ＳＣＳ３８と共にシステムの制御およびハードウェア資源４の管理を行うものである。例えばＳＲＭ４０のプロセスは、スキャナ５１やプロッタ５２などのハードウェア資源４を利用する上位層からの獲得要求に従って調停を行い、実行制御する。

具体的に、ＳＲＭ４０のプロセスは獲得要求されたハードウェア資源４が利用可能であるかを判定し、利用可能であれば獲得要求されたハードウェア資源４が利用可能である旨を上位層に通知する。また、ＳＲＭ４０のプロセスは上位層からの獲得要求に対してハードウェア資源４を利用するためのスケジューリングを行い、例えば、プリンタエンジンによる紙搬送と作像動作、メモリ確保、ファイル生成などの要求内容を直接実施している。

また、ハンドラ層８は後述するファックスコントロールユニット（以下、ＦＣＵと記す）の管理を行うファックスコントロールユニットハンドラ（以下、ＦＣＵＨと記す）４１と、プロセスに対するメモリの割り振り及びプロセスに割り振ったメモリの管理を行うイメージメモリハンドラ（以下、ＩＭＨと記す）４２とを含む。ＳＲＭ４０およびＦＣＵＨ４１は、予め定義されている関数によりハードウェア資源４に対する処理要求を送信可能とするエンジンＩ／Ｆ４４を利用して、ハードウェア資源４に対する処理要求を行う。

このように、画像形成装置１は、各アプリケーションで共通的に必要な処理をコントローラ層６で一元的に処理することができる。

次に、画像形成装置１のハードウェア構成について説明する。

図３６は、画像形成装置１の一実施例のハードウェア構成図を示す。画像形成装置１は、コントローラボード６０と、オペレーションパネル５３と、ＦＣＵ６８と、エンジン７１と、スキャナ５１と、プロッタ５２とを含む。また、ＦＣＵ６８は、Ｇ３規格対応ユニット６９と、Ｇ４規格対応ユニット７０とを有する。

また、コントローラボード６０は、ＣＰＵ６１と、ＡＳＩＣ６６と、ＨＤＤ６５と、ローカルメモリ（ＭＥＭ−Ｃ）６４と、システムメモリ（ＭＥＭ−Ｐ）６３と、ノースブリッジ（以下、ＮＢと記す）６２と、サウスブリッジ（以下、ＳＢと記す）７３と、ＮＩＣ７４（Network Interface Card）と、ＵＳＢデバイス７５と、ＩＥＥＥ１３９４デバイス７６と、セントロニクスデバイス７７とを含む。

オペレーションパネル５３は、コントローラボード６０のＡＳＩＣ６６に接続されている。また、ＳＢ７３と、ＮＩＣ７４と、ＵＳＢデバイス７５と、ＩＥＥＥ１３９４デバイス７６と、セントロニクスデバイス７７は、ＮＢ６２にＰＣＩバスで接続されている。

また、ＦＣＵ６８と、エンジン７１と、スキャナ５１と、プロッタ５２は、コントローラボード６０のＡＳＩＣ６６にＰＣＩバスで接続されている。

なお、コントローラボード６０は、ＡＳＩＣ６６にローカルメモリ６４、ＨＤＤ６５などが接続されると共に、ＣＰＵ６１とＡＳＩＣ６６とがＣＰＵチップセットのＮＢ６２を介して接続されている。このように、ＮＢ６２を介してＣＰＵ６１とＡＳＩＣ６６とを接続すれば、ＣＰＵ６１のインタフェースが公開されていない場合に対応できる。

なお、ＡＳＩＣ６６とＮＢ６２とはＰＣＩバスを介して接続されているのでなく、ＡＧＰ（Accelerated Graphics Port）６７を介して接続されている。このように、図２９のアプリケーション層５やコントローラ層６を形成する一つ以上のプロセスを実行制御するため、ＡＳＩＣ６６とＮＢ６２とを低速のＰＣＩバスでなくＡＧＰ３５を介して接続し、パフォーマンスの低下を防いでいる。

ＣＰＵ６１は、画像形成装置１の全体制御を行うものである。ＣＰＵ６１は、ＮＣＳ３０、ＤＣＳ３１、ＯＣＳ３２、ＦＣＳ３３、ＥＣＳ３４、ＭＣＳ３５、ＣＣＳ３６、ＵＣＳ３７、ＳＣＳ３８、ＳＲＭ４０、ＦＣＵＨ４１およびＩＭＨ４２をＯＳ上にそれぞれプロセスとして起動して実行させると共に、アプリケーション層５を形成するプリンタアプリ２０、コピーアプリ２１、ファックスアプリ２２、スキャナアプリ２３、外部アプリ中継モジュール２４を起動して実行させる。

ＮＢ６２は、ＣＰＵ６１、システムメモリ６３、ＳＢ７３およびＡＳＩＣ６６を接続するためのブリッジである。システムメモリ６３は、画像形成装置１の描画用メモリなどとして用いるメモリである。ＳＢ７３は、ＮＢ６２とＰＣＩバス、周辺デバイスとを接続するためのブリッジである。また、ローカルメモリ６４はコピー用画像バッファ、符号バッファとして用いるメモリである。

ＡＳＩＣ６６は、画像処理用のハードウェア要素を有する画像処理用途向けのＩＣである。ＨＤＤ６５は、画像データの蓄積、文書データの蓄積、プログラムの蓄積、フォントデータの蓄積、フォームの蓄積などを行うためのストレージである。また、オペレーションパネル５３は、ユーザからの入力操作を受け付けると共に、ユーザに向けた表示を行う操作部である。

以上説明した画像形成装置であれば、ネットワークへ接続し、宛先の指定をオペレーションパネルで行い、印刷もすることができる。また、ＨＤＤ６５に宛先ＤＢを格納することも可能である。

従来例を示す図である。 従来例を示す図である。 内部から外部へ接続する場合の全体構成図である。 対外通信希望者ＰＣの内部構成を示す図である。 対外通信許可サーバの内部構成を示す図である。 許可テンプレートを示す図である。 対外通信希望者ＰＣが通信を終了するまでの処理を示すフローである。 承認者ＰＣを介さず任意に外部と通信する処理を示すフローである。 不正アクセス攻撃を示す図である。 対外通信希望者ＰＣの内部構成を示す図である。 対外通信許可サーバの内部構成を示す図である。 対外通信対象ホストの内部構成を示す図である。 監視しているパケットに対する処理を示すフローチャートである。 ＩＰアドレスを変更して、攻撃を防ぐ処理を示すフローである。 外部から内部へ接続する場合の全体構成図である。 対内通信希望者ＰＣの内部構成を示す図である。 対内通信許可サーバの内部構成を示す図である。 対内通信希望者ＰＣが通信を終了するまでの処理を示すフローである。 不正アクセス攻撃を示す図である。 対内通信許可サーバの内部構成を示す図である。 Firewallの内部構成を示す図である。 対内通信希望者ＰＣの内部構成を示す図である。 ＩＰアドレスを変更して、攻撃を防ぐ処理を示すフローである。 本実施の形態におけるネットワークシステムの全体構成図である。 宛先ＤＢの配置方法を示す図である。 宛先ＤＢを示す図である。 宛先ＤＢを示す図である。 宛先ＤＢを示す図である。 端末のソフトウェアブロックを示す図である。 プロトコルスタックを示す図である。 ＬＭの印刷要求が、ＡＭへ通知されるまでのシーケンス図である。 ＬＭの印刷要求が、ＡＭへ通知されるまでのシーケンス図である。 チェック処理を設けた処理を示すフローチャートである。 チェック処理を設けた処理を示すフローチャートである。 画像形成装置の一実施例のソフトウェア構成図である。 画像形成装置の一実施例のハードウェア構成図である。

符号の説明

１ 画像形成装置
２ プログラム群
３ 画像形成装置起動部
４ ハードウェア資源
５ アプリケーション層
６ コントローラ
７ コントロールサービス層
８ ハンドラ層
２０ プリンタアプリ
２１ コピーアプリ
２２ ファックスアプリ
２３ スキャナアプリ
３０ ネットワークコントロールサービス（ＮＣＳ）
３１ デリバリーコントロールサービス（ＤＣＳ）
３２ オペレーションパネルコントロールサービス（ＯＣＳ）
３３ ファックスコントロールサービス（ＦＣＳ）
３４ エンジンコントロールサービス（ＥＣＳ）
３５ メモリコントロールサービス（ＭＣＳ）
３６ 認証サービス（ＣＣＳ）
３７ ユーザインフォメーションコントロールサービス（ＵＣＳ）
３８ システムコントロールサービス（ＳＣＳ）
４０ システムリソースマネージャ（ＳＲＭ）
４１ ファックスコントロールユニットハンドラ（ＦＣＵＨ）
４２ イメージメモリハンドラ（ＩＭＨ）
４３ アプリケーションプログラムインターフェース（ＡＰＩ）
４４ エンジンＩ／Ｆ
５０ ハードウェアリソース
５１ スキャナ
５２ プロッタ
５３ オペレーションパネル
６０ コントローラボード
６１ ＣＰＵ
６２ ノースブリッジ（ＮＢ）
６３ システムメモリ（ＭＥＭ−Ｐ）
６４ ローカルメモリ（ＭＥＭ−Ｃ）
６５ ハードディスク装置（ＨＤＤ）
６６ ＡＳＩＣ
６７ ＡＧＰ（Accelerated Graphics Port）
６８ ファックスコントロールユニット（ＦＣＵ）
６９ Ｇ３
７０ Ｇ４
７１ エンジン
７２ プロッタ
７３ サウスブリッジ（ＳＢ）
７４ ＮＩＣ
７５ ＵＳＢデバイス
７６ ＩＥＥＥ１３９４デバイス
７７ セントロニクス
１００ ネットワーク
１０１ ＬＭ
１０２ ＬＲ
１０３ ルータ
１０４ ＡＭ
１０５ ＡＲ
１０６、１０７、１０８、１０９、１１０、１３１、１３５ 宛先ＤＢ
１１１、１１２ セグメント
１２０ 方法Ａ
１２１ 方法Ｂ
１２２ 方法Ｃ
１３２、１４４ アプリケーション
１３３ 宛先判定部
１３４ ネットワーク制御部
１３６ ＯＳ
１３７ ネットワークプロトコル
１３８ ネットワーク通信ドライバ
１４０ 物理
１４１ ＩＰｖ６
１４２ ＩＰｖ４
１４３ ＴＣＰ／ＵＤＰ
２００ 対外通信希望者ＰＣ
２０１ 承認者ＰＣ
２０２ メールサーバ
２０３ 対外通信許可サーバ
２０４ Firewall
２０５ Internet
２０６ 対外通信対象ホスト
２１０ アクセス希望提示機能
２１１ ＩＰｓｅｃ自己設定機能
２１２ ＩＰｓｅｃ ＳＰＤ
２１５ 許可テンプレート提供機能
２１６ アクセス許可受信機能
２１７ アクセス許可承認／Firewall設定機能
２１８ 許可テンプレート
２１９ 承認者メールアドレス
２２０ 攻撃者
２２１ 侵入検知機能
２２２ 自己ＩＰアドレス更新機能
２２３ 対外ＩＰアドレス更新許可通知機能
２２４ 相手ＩＰアドレス更新機能
２３０ 対内通信希望者ＰＣ
２３１ 対内通信許可サーバ
２３２ 内部ネットワーク
２３４ 接続依頼機能
２３７ 許可者リスト
２４０ 侵入検知情報受信ＩＰアドレス更新要求機能
２４１ Firewall自動設定機能

Claims (9)

1. ファイアウォールを有するネットワークシステムでの、ファイアウォール越しの通信を行う通信方法であって、
   通信端末からの許可テンプレートの要求に応じて、ファイアウォール越しの通信の目的ごとに定められたＩＰｓｅｃ通信に必要な諸元を抽象化した許可情報を１つ以上、その中から選択させるよう、許可テンプレートとして提供する許可情報提供段階と、
   前記許可情報提供段階で提供した許可情報から、通信に用いる許可情報が選択される許可情報選択段階と、
   選択された前記許可情報で、ファイアウォール越しの通信を許可または拒否が選択されるアクセス可否選択段階と、
   前記アクセス可否選択段階で、許可が選択された場合、ファイアウォール越しの通信を禁止していたファイアウォールを通信可能な状態に設定するファイアウォール設定段階と、
   ファイアウォール越しの通信をする前記通信端末にＩＰｓｅｃの設定をするＩＰｓｅｃ設定段階と、
   前記通信端末がファイアウォール越しの通信をする通信段階と
   を有することを特徴とする通信方法。
2. 前記通信段階での通信が終了するか、通信開始から一定時間後に、前記ファイアウォールの設定を原状回復するファイアウォール設定回復段階と、
   前記通信端末のＩＰｓｅｃ設定を原状回復する通信端末設定回復段階と
   を有することを特徴とする請求項１に記載の通信方法。
3. 前記通信段階での通信中に、ファイアウォール越しの不正な侵入を検知する不正侵入検知段階と、
   前記通信端末のＩＰアドレスを変更するＩＰアドレス変更段階と
   を有することを特徴とする請求項１または２のいずれか１項に記載の通信方法。
4. 前記不正侵入検知段階は、前記通信端末における不正な侵入の検知に基づく通知により不正な侵入を検知し、
   前記ＩＰアドレス変更段階は、前記通信端末の本人性の認証に基づくＩＰアドレス変更許可を経て、前記通信端末および通信対象ホストにおけるＩＰアドレスの変更を行うことを特徴とする請求項３に記載の通信方法。
5. 前記不正侵入検知段階は、前記ファイアウォールにおける不正な侵入の検知に基づく通知により不正な侵入を検知し、
   前記ＩＰアドレス変更段階は、前記通信端末におけるＩＰアドレスの変更を行うことを特徴とする請求項３に記載の通信方法。
6. 前記許可情報は、ＡＨ、ＥＳＰ、暗号化演算手法、ｈｍａｃのうちのいずれか１つ以上に関する情報を含むことを特徴とする請求項１から５のいずれか１項に記載の通信方法。
7. ファイアウォール越しの通信を要求する通信端末に、前記ファイアウォール越しの通信を許可または拒否する通信許可サーバであって、
   前記通信端末からの許可テンプレートの要求に応じて、ファイアウォール越しの通信の目的ごとに定められたＩＰｓｅｃ通信に必要な諸元を抽象化した許可情報を１つ以上、その中から選択させるよう、許可テンプレートとして提供する許可情報提供手段と、
   前記ファイアウォールの設定を行うファイアウォール設定手段と
   を有することを特徴とする通信許可サーバ。
8. 前記通信端末の通信が終了するか、通信開始から一定時間後に、前記ファイアウォールの設定を原状回復するファイアウォール設定回復手段を有することを特徴とする請求項７に記載の通信許可サーバ。
9. 前記通信端末のＩＰアドレスを変更させるＩＰアドレス変更手段を有することを特徴とする請求項７または８に記載の通信許可サーバ。

Images