JP5110538B2 - ネットワークシステム、ネットワーク装置、ネットワーク方法及びプログラム - Google Patents

Description

本発明は、ネットワークシステムに関し、特に、特定の装置以外からのアクセスを制限する技術に関する。

ブロードバンドルータやＨＧＷ（Ｈｏｍｅ Ｇａｔｅ Ｗａｙ）機器（以下、ブロードバンドルータ、ＨＧＷ機器をあわせてＨＧＷ機器と呼ぶ）を所有しているユーザが、ＨＧＷ機器のローカルエリアネットワーク内に設置しているサーバを外部（インターネット）に公開しようとした場合、一般に、ＨＧＷ機器にｐｏｒｔ ｍａｐｐｉｎｇやＤＭＺと呼ばれる機能を設定することになる。

このｐｏｒｔ ｍａｐｐｉｎｇ機能とは、グローバルアドレスが付されている装置の特定のポートに対する接続要求（パケット）をＨＧＷ機器のローカルエリアネットワーク内に設置している特定のプライベートアドレスの特定のポートに転送する仕組みである。ここで転送される接続要求（パケット）は、パケットのプロトコル番号およびポート番号の２つの条件を満たしたパケットのことである。ただし、ポート番号の条件はプロトコル番号が６（ＴＣＰ）、１７（ＵＤＰ）の場合に有効になる。また、ＨＧＷ機器に搭載されているＤＭＺ機能とは、一般的に「非武装地帯」と言われるＤＭＺ機能と異なり、全ての受信パケットをＨＧＷ機器のローカルエリア内に設置している特定の端末宛に転送する仕組みである。

特許文献１には、宛先ＩＰアドレス、送信元ＩＰアドレス、パケットの種類（ＴＣＰ又はＵＤＰ等）、宛先ポート番号、送信元ポート番号等のような、特定の端末にアクセスすることの許可されるパケットのヘッダ情報の条件と、受信したパケットのヘッダ情報とを比較して、受信したパケットを宛先端末に転送するか否かを判別する技術が開示されている。

特開２００２−３４４５３０号公報

ＨＧＷ機器に搭載されているｐｏｒｔ ｍａｐｐｉｎｇ機能やＤＭＺ機能では、パケットのプロトコル番号およびポート番号の２つの条件を満たしたパケットであれば、どの端末からのパケットであるかを判別せずに転送する。従って、ＨＧＷ機器にｐｏｒｔ ｍａｐｐｉｎｇ機能やＤＭＺ機能を用いてアクセス制限を設定すると、その条件を満たしていれば、どのユーザもそのＨＧＷ機器のローカルエリアネットワーク内にアクセスできてしまう、という問題があった。

一方、特許文献１の技術では、送信元ＩＰアドレスを用いて設定しているため、ユーザは数字の羅列であるＩＰアドレスを予め認識しておかなければならないといった問題があった。

また、上記いずれの技術もパケットの種類やポート番号といった情報を用いて設定する技術であるが、パケットの種類やポート番号といった情報は、専門の知識を持たないユーザにとっては、設定が難しいといった問題があった。

そこで、本発明が解決しようとする課題は、上記課題を解決することである。すなわち、専門の知識を持たないユーザであっても、任意の端末以外の端末が装置にアクセスすることを拒絶することを容易に設定できる技術を提供することにある。

上記課題を解決する本発明は、端末の端末名と前記端末に割り当てられているＩＰアドレスとが対応付けられて記憶されているドメインデータ記憶部と、ユーザにより指定された、サーバにアクセスできる各端末の端末名が記憶されている条件記憶部と、パケットを受信した際に、前記条件記憶部に記憶されている各端末名に対応付けられているＩＰアドレスを、前記ドメインデータ記憶部から取得する取得部と、受信したパケットが破棄対象パケットとして記憶されているか検索し、記憶されている場合には当該受信パケットを破棄し、記憶されていない場合には前記取得した各端末のＩＰアドレスのいずれかと、前記受信パケットに記されている送信元のＩＰアドレスが一致するかを判定し、一致する場合には前記受信パケットをサーバに転送する処理を行い、一致しない場合には当該パケットのヘッダ情報を破棄対象パケットの情報として記憶して前記受信パケットを破棄する判定部とを有することを特徴とする通信システムである。

上記課題を解決する本発明は、ユーザにより指定された、サーバのアドレスと前記サーバへのアクセスが許可される各端末の端末名とが対応付けられたアクセス条件情報が記憶されている条件記憶部と、端末からパケットを受信した際、受信したパケットが破棄対象パケットとして記憶されているか検索し、記憶されている場合には当該受信パケットを破棄し、記憶されていない場合には前記条件記憶部に記憶されている各アクセス条件情報について各端末名に対応するアドレスをドメインネームサーバから取得し、前記取得したアドレスのいずれかが前記端末から受信したパケットに含まれる送信元アドレスと一致するかを判定する判定部と、前記取得したアドレスのいずれかと前記パケットに含まれる送信元アドレスが一致すると判定された場合、前記取得したアドレスに対応付けられているサーバのアドレスを前記アクセス条件情報から取得し、当該サーバのアドレス宛てに前記パケットを転送し、前記取得したアドレスと前記パケットに含まれる送信元アドレスが一致しないと判定された場合、当該パケットのヘッダ情報を破棄対象パケットの情報として記憶して前記パケットを破棄する転送処理部と、を備えることを特徴とする通信装置である。

上記課題を解決する本発明は、パケットを受信した際に、転送するパケットの条件としてユーザにより指定されて記憶部に記憶されている、サーバにアクセスできる各端末の端末名に対応するＩＰアドレスを、端末名とＩＰアドレスとが対応付けて記憶されているドメインデータ記憶部から取得する取得ステップと、受信したパケットが破棄対象パケットとして記憶されているか検索し、記憶されている場合には当該受信パケットを破棄し、記憶されていない場合には前記取得した各端末のＩＰアドレスのいずれかと、前記受信パケットに記されている送信元のＩＰアドレスが一致するかを判定し、一致する場合には前記受信パケットをサーバに転送する処理を行い、一致しない場合には当該パケットのヘッダ情報を破棄対象パケットの情報として記憶して前記受信パケットを破棄する判定ステップとを有することを特徴とする通信方法である。

上記課題を解決する本発明は、通信装置のプログラムであって、前記プログラムは、前記通信装置に、パケットを受信した際に、転送するパケットの条件としてユーザにより指定されて記憶部に記憶されている、サーバにアクセスできる各端末の端末名に対応するＩＰアドレスを、端末名とＩＰアドレスとが対応付けて記憶されているドメインデータ記憶部から取得する取得処理、受信したパケットが破棄対象パケットとして記憶されているか検索し、記憶されている場合には当該受信パケットを破棄し、記憶されていない場合には前記取得した各端末のＩＰアドレスのいずれかと、前記受信パケットに記されている送信元のＩＰアドレスが一致するかを判定し、一致する場合には前記受信パケットをサーバに転送する処理を行い、一致しない場合には当該パケットのヘッダ情報を破棄対象パケットの情報として記憶して前記受信パケットを破棄する判定処理を実行させることを特徴とするプログラムである。

上記課題を解決する本発明は、端末の端末名と前記端末に割り当てられているＩＰアドレスとが対応付けられて記憶されているドメインデータ記憶部と、情報処理装置が受信又は拒絶するパケットの条件として、少なくともユーザにより指定された、パケットの送信元である端末の端末名が一又は複数記憶されている条件記憶部と、前記条件記憶部に記憶されている各端末名に割り付けられているＩＰアドレスを、前記ドメインデータ記憶部から取得する取得部と、受信したパケットが破棄対象パケットとして記憶されているか検索し、記憶されている場合には当該受信パケットを破棄し、記憶されていない場合には受信パケットに記されている送信元ＩＰアドレスと、前記取得したＩＰアドレスのいずれかとが一致するか否かを判定し、判定結果に基づいて、情報処理装置がパケットを受信又は拒絶するかを判定する判定部とを有し、前記判定部は、パケットを拒絶すると判定した場合、当該パケットのヘッダ情報を破棄対象パケットの情報として記憶することを特徴とする通信システムである。

本発明によれば、任意の端末以外の端末が装置にアクセスすることを拒絶することができるといった効果を奏する。

更に、端末名は、専門の知識を持たないユーザにとっても、容易に設定することができる情報であることに加え、ユーザが任意に設定できる情報であるため、例えばユーザにとってわかりやすい名前を端末名としてつけること等ができる。

本発明のネットワークシステムの概要図である。 本発明の実施の形態１の構成を示すブロック図である。 本発明の条件記憶部に設定されるレコードの一例である。 本発明の条件記憶部に設定されるレコードの一例である。 本発明のＮＡＴテーブルに設定されるレコードの一例である。 本発明の実施の形態１のフローチャートである。 本発明の実施の形態１のフローチャートである。 本発明の実施例１のシーケンス図である。 本発明のＤＮＳサーバに記憶されているレコードの一例である。 本発明の実施の形態１のフローチャートである。 本発明の実施例２のシーケンス図である。 本発明の実施例３のシーケンス図である。 本発明の実施の形態２の構成を示すブロック図である。 本発明のフィルタテーブルに設定されるレコードの一例である。 本発明の実施の形態２のフローチャートである。 図１５のフローチャートの続きである。 本発明の実施例４のシーケンス図である。 本発明の実施例５のシーケンス図である。 本発明の実施例６のシーケンス図である。 本発明のフィルタリングルール記憶部に設定されるレコードの一例である。 本発明の実施の形態２のフローチャートである。 本発明の実施の形態２のフローチャートである。 図２２のフローチャートの続きである。

次に、本願発明のネットワークシステムの実施の形態について説明する。尚、以下の説明ではＩＰアドレスを用いて説明しているが、本発明はグローバルＩＰアドレス及びローカルＩＰアドレスのどちらであっても適用可能である。

（実施の形態１）
図１に示されるように、本願発明のネットワークシステムは、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）と、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）と、ＬＡＮとＷＡＮとに接続されているＨＧＷ（Ｈｏｍｅ Ｇａｔｅ Ｗａｙ）機器とを有する。

内部ネットワークであるＬＡＮには、少なくとも１つ以上のサーバを含む機器が接続されている。サーバは、一般的なサーバである。本実施の形態では、ＬＡＮ外に公開される、即ちＷＡＮからアクセスできるサーバ１０１がＬＡＮに接続されている場合を用いて説明する。また、サーバ１０１には、ＩＰアドレスとして「１９２．１６８．０．２」が設定されているものとする。

ＷＡＮには、少なくとも１以上の端末とＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）サーバ（ネームサーバ）１０４とが接続されている。

ＤＮＳサーバ１０４は、一般的なＤＮＳサーバであり、ＷＡＮ上の端末のＩＰアドレスと端末名とが対応付けられて記憶されている。

端末は一般的な端末であり、本実施の形態では、端末１０５〜１０７が接続されている構成を用いて説明する。端末がサーバとの間で行うパケット送受信は、例えば、ＴＣＰ/ＩＰ、ＵＤＰ又はＩＣＭＰ等のＩＰプロトコルを用いている。

端末１０５は、端末名として「Ｃｌｉｅｎｔ１．ｘｘｘ．ｃｏｍ」が、ＩＰアドレスとして「１０．１００．０．１００」が設定されており、サーバ１０１にアクセスすることが許可されている。端末１０５の端末名とＩＰアドレスとは、ＤＮＳサーバ１０４にあらかじめ登録されている。尚、この登録にはＤｙｎａｍｉｃＤＮＳを利用するのが一般的と思われるが、その方法については、公知の技術であるため、詳細な説明は省略される。

端末１０６は、端末名として「Ｃｌｉｅｎｔ２．ｘｘｘ．ｃｏｍ」が、ＩＰアドレスとして「１０．１００．０．２００」が設定されており、サーバ１０１にアクセスすることが許可されていないものとする。端末１０５同様に、端末１０６の端末名とＩＰアドレスとは、ＤＮＳサーバ１０４に登録されている。

端末１０７は、ＩＰアドレスとして「１０．１００．０．３００」が設定されているが、端末名が割り当てられていないものとする。

図２は、本発明の実施の形態１のＨＧＷ機器の構成を表した構成図である。

ＨＧＷ機器１０３は、ＷＡＮインタフェース２０１、ＬＡＮインタフェース２０２、ＮＡＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ）処理部２０３、ＮＡＴ管理部２０４、アクセス条件記憶部２０５、ＤＮＳ処理部２０６、及びＮＡＴテーブル２０７を備える。

ＷＡＮインタフェース２０１は、ＷＡＮ側に接続されており、パケットを送受信する。

ＬＡＮインタフェース２０２は、ＬＡＮ側に接続されており、パケットを送受信する。

ＮＡＴ処理部２０３は、一般的なＮＡＴ処理（ルーティング処理）を行うものであり、受信パケットを転送するために、ＮＡＴテーブル２０７のＮＡＴ ｓｅｓｓｉｏｎに基づいてＮＡＴ処理を行う。ＷＡＮインタフェース２０１がパケットを受信すると、受信したパケットに対するＮＡＴ ｓｅｓｓｉｏｎがＮＡＴテーブル２０７に作成されているかを判別する。ＮＡＴ処理部２０３は、判別の結果、受信パケットに対するＮＡＴ ｓｅｓｓｉｏｎがＮＡＴテーブル２０７に作成されていると判別されたパケットを、ＮＡＴ ｓｅｓｓｉｏｎに基づいてＮＡＴ処理を行う。一方、ＮＡＴ処理部２０３は、判別の結果、受信パケットに対するＮＡＴ ｓｅｓｓｉｏｎがＮＡＴテーブル２０７に作成されていないと判別されたパケットをＮＡＴ管理部２０４に出力する。ＮＡＴ処理部２０３は、ＮＡＴ管理部２０４からの通知に応じて、受信パケットを破棄する。ＮＡＴ管理部２０４によってＮＡＴテーブル２０７に受信パケットに対するＮＡＴ ｓｅｓｓｉｏｎｇ作成されると、ＮＡＴ処理部２０３は受信パケットの情報とＮＡＴテーブルに作成された情報のうち、転送先である公開サーバのＩＰアドレス以外の情報が一致するか判別する。一致すると判別されると、ＮＡＴテーブルに設定されている公開サーバのＩＰアドレスを取得し、取得したＩＰアドレスの公開サーバに受信パケットを転送するよう、ＬＡＮインタフェース２０２に出力する。一方、一致しないと判別されると、ＮＡＴ処理部２０３は受信パケットを破棄する。

ＮＡＴテーブル２０７は、ＮＡＴ処理に先立って生成されるＮＡＴ ｓｅｓｓｉｏｎを管理する。このＮＡＴ ｓｅｓｓｉｏｎはパケットの転送情報を定義付けたものである。図５は、ＮＡＴ ｓｅｓｓｉｏｎの一例である。ＮＡＴ ｓｅｓｓｉｏｎは、プロトコル情報５０１、ＬＡＮのＩＰアドレス５０２とポート番号５０３、ＧａｔｅｗａｙのＩＰアドレス５０４とポート番号５０５、ＷＡＮのＩＰアドレス５０６とポート番号５０７、ＳＴＡＴＵＳ５０８、及び、ＮＡＴ ｓｅｓｓｉｏｎタイマ５０９の各情報を管理する。

プロトコル情報５０１は、受信パケットのプロトコルを示す情報である。

ＬＡＮのＩＰアドレス５０２は、ｄｏｗｎｓｔｒｅａｍ方向（ＷＡＮ→ＬＡＮ方向）で見た場合、受信パケットの転送先であるサーバのＩＰアドレスを示す情報である。ポート番号５０３は、転送先のサーバが自装置からの転送パケットを受信するポート番号である。

ＧａｔｅｗａｙのＩＰアドレス５０４は、自装置に付されているＩＰアドレスを示す情報である。ポート番号５０５は、受信パケットを転送先に送信する際に用いるポート番号である。

ＷＡＮのＩＰアドレス５０６は、ｄｏｗｎｓｔｒｅａｍ方向（ＷＡＮ→ＬＡＮ方向）で見た場合、受信パケットの送信元のＩＰアドレスを示す情報である。ポート番号５０７は、受信パケットの送信元がパケットを送信するポート番号である。

Ｓｔａｔｕｓ５０８は、ＮＡＴ ｓｅｓｓｉｏｎの確立状態を示す情報である。

ＮＡＴ ｓｅｓｓｉｏｎタイマ５０９は、当該ＮＡＴ ｓｅｓｓｉｏｎを削除するタイミングを示す情報である。ここには、このＮＡＴ ｓｅｓｓｉｏｎの最後のパケット転送が終了してから、削除するまでの時間が記されている。

アクセス条件記憶部２０５には、ＤＭＺエントリとｐｏｒｔ ｍａｐｐｉｎｇエントリとが記憶されている。ＤＭＺエントリとｐｏｒｔ ｍａｐｐｉｎｇエントリには、ユーザにより指定された、公開サーバとこの公開サーバにアクセスできる端末名とが記憶される。

ＤＭＺエントリには、公開サーバへのアクセス条件が示されている。この条件として、図３に示すように、ＤＭＺエントリには公開サーバのＩＰアドレスと、この公開サーバにアクセスが許可されている端末の名前とが対応付けられている。このＤＭＺエントリには、複数の公開サーバを設定することができ、各公開サーバに対して複数の許可端末を設定することができるが、１端末に対して複数の公開サーバを設定することはできない。

また、ｐｏｒｔ ｍａｐｐｉｎｇエントリにも、公開サーバへのアクセス条件が示されている。この条件として、図４に示すように、公開サーバのＩＰアドレス、この公開サーバにアクセスが許可されている端末の名前、アクセスが許可されるプロトコル、及びアクセスが許可されるポート番号が対応付けられている。但し、プロトコルとポート番号との両方が設定されている必要はなく、プロトコル及びポート番号の少なくとも一方が設定されていれば良い。プロトコル４０３及びポート４０４は、送信元端末が公開サーバにアクセスする時のプロトコル（プログラム）によって設定される情報である。例えば、ユーザがアクセス条件記憶部に、アクセス許可する端末を設定する際アクセスに使用するプログラムも設定できるような構成にしておく場合、ユーザがそのプログラムを選択することによって使用するプロトコルが決定すると、プロトコル４０３及びポート４０４が設定される。

ＮＡＴ管理部２０４は、ｐｏｒｔ ｍａｐｐｉｎｇエントリを用いる場合、ＮＡＴ処理部２０３から出力されたパケットのプロトコル情報およびポート番号情報の少なくとも一方がｐｏｒｔ ｍａｐｐｉｎｇエントリにあるか否かを検索する。該当するエントリが検索されない場合、ＮＡＴ管理部２０４はＮＡＴ処理部２０３から出力されたパケットを破棄する旨ＮＡＴ処理部２０３に通知する。一方、該当するエントリが検索されると、ＮＡＴ管理部２０４は検索されたエントリから端末名を取得する。一方、ＤＭＺエントリを用いる場合、ＮＡＴ管理部２０４は、全てのエントリの端末名を取得する。ＮＡＴ管理部２０４は、取得した端末名に割り振られているＩＰアドレスを知るために、端末名をＤＮＳ処理部２０６に出力する。ＤＮＳ処理部２０６からＩＰアドレスが受け取れない場合、ＮＡＴ管理部２０４は、受信したパケットを破棄する旨ＮＡＴ処理部２０３に通知する。一方、ＤＮＳ処理部２０６からＩＰアドレスを受け取ると、ＮＡＴ管理部２０４は、受け取ったＩＰアドレスが、受信したパケットの送信元ＩＰアドレスと一致するかを判定する。一致しない場合、ＮＡＴ管理部２０４は、受信したパケットを破棄する旨ＮＡＴ処理部２０３に通知する。一方、一致する場合、ＮＡＴ管理部２０４は、転送情報を定義付けたＮＡＴ ｓｅｓｓｉｏｎをＮＡＴテーブル２０７に作成する。このとき、ＬＡＮのＩＰアドレス５０２にはパケットの転送先のサーバのＩＰアドレスが登録される。また、ＬＡＮのポート番号５０３には、転送先のサーバのポート番号が登録される。このポート番号は、ＬＡＮインタフェースにＬＡＮが接続された際に開かれるポートの番号である。ＧａｔｅｗａｙのＩＰアドレス５０４には、自装置のＷＡＮのＩＰアドレスが登録される。Ｇａｔｅｗａｙのポート番号５０５には、受信パケットを転送先に送信する際に用いるポート番号が登録される。このポート番号は、ＷＡＮインタフェース２０１にＷＡＮが接続された際に開かれるポートの番号である。ＷＡＮのＩＰアドレス５０６には、送信元の端末のＩＰアドレスが登録される。ＷＡＮのポート番号５０７には、送信元の端末がパケットを送信する際に用いるポート番号が登録される。このポート番号は、受信パケットの送信元のポート番号である。

ＤＮＳ処理部２０６は一般的な技術であるＰｒｏｘｙＤＮＳの機能を有している。ＤＮＳ処理部２０６は、出力された端末名に割り振られているＩＰアドレスをＤＮＳサーバ１０４から取得する。ＤＮＳサーバ１０４は、ＤＮＳ処理部２０６から端末名を受信すると、受信した端末名に割り振られているＩＰアドレスを取得し、取得したＩＰアドレスをＤＮＳ処理部２０６に送信する。ＤＮＳ処理部２０６は、端末名に割り振られているＩＰアドレスをＤＮＳサーバ１０４から取得できた場合、取得したＩＰアドレスをＮＡＴ管理部２０４に出力する。ＤＮＳ処理部２０６は、取得したＩＰアドレスをＮＡＴ管理部２０４に出力すると、端末名とＩＰアドレスとの組をキャッシュせずに削除する。

続いて、本願発明の実施の形態１の動作について図６を用いて説明する。尚、以下の説明では、ＷＡＮインタフェース２０１はＷＡＮに、ＬＡＮインタフェース２０２はＬＡＮに、既に接続されているものとして説明する。即ち、ＬＡＮ側との通信で用いられるポート、ＨＧＷ機器１０３のＩＰアドレス及び受信パケットを転送先に送信する際に用いられるポートは既に開かれているものとする。また、アクセス条件記憶部２０５にＤＭＺエントリが設定されているものとして説明する。

まず、ＷＡＮインタフェース２０１がＷＡＮ側の端末からパケットを受信する（Ｓ６０１）。

この受信パケットに対するＮＡＴ ｓｅｓｓｉｏｎがＮＡＴテーブル２０７に作成されているか、ＮＡＴ処理部２０３が判別する（Ｓ６０２）。

判別の結果、作成されていないと判別された場合、ＮＡＴ処理部２０３は、受信パケットをＮＡＴ管理部２０４に出力する（Ｓ６０５）。

ＮＡＴ管理部２０４は、ＤＭＺエントリから端末名を取得してＤＮＳ処理部２０６に出力する（Ｓ６０６）。ＤＮＳ処理部２０６は、ＮＡＴ管理部２０４から出力された端末名に付されているＩＰアドレスをＤＮＳサーバ１０４から取得する（Ｓ６０７）。ここで、ＤＮＳ処理部２０６がＤＮＳサーバ１０４からＩＰアドレスを取得できない場合、その旨をＮＡＴ管理部２０４に通知する。すると、ＮＡＴ管理部２０４は受信パケットを破棄する旨ＮＡＴ処理部２０３に通知し、これに応じてＮＡＴ処理部２０３は受信パケットを破棄する（Ｓ６１０）。一方、ＤＮＳ処理部２０６がＩＰアドレスを取得できた場合、取得したＩＰアドレスがＮＡＴ管理部２０４に出力され、ＮＡＴ管理部２０４は出力されたＩＰアドレスと受信パケットの送信元ＩＰアドレスとが一致するかを判定する（Ｓ６０８）。一致しないと判定された場合、ＮＡＴ管理部２０４は受信パケットを破棄する旨ＮＡＴ処理部２０３に通知し、これに応じてＮＡＴ処理部２０３は受信パケットを破棄する（Ｓ６１０）。一方、一致すると判定された場合、ＮＡＴ管理部２０４は、転送情報を定義づけたＮＡＴ ｓｅｓｓｉｏｎをＮＡＴテーブル２０７に作成する（Ｓ６０９）。

ＮＡＴ ｓｅｓｓｉｏｎが作成されると、同一送信元及び送信先のパケットに対するＮＡＴ ｓｅｓｓｉｏｎがＳ６０２においてＮＡＴテーブルに作成されていると判別される（Ｓ６０２：Ｙｅｓ）。この場合、ＮＡＴ処理部２０３は、ＮＡＴ ｓｅｓｓｉｏｎに従って、受信したパケットのＮＡＴ処理を行う（Ｓ６０３）。ＬＡＮインタフェース２０２は、ＮＡＴ処理に基づいて、パケットを転送先に転送する（Ｓ６０４）。

続いて、アクセス条件記憶部２０５に、ｐｏｒｔ ｍａｐｐｉｎｇエントリが設定されている場合を図７を用いて説明する。また、上記同様、ＷＡＮインタフェース２０１はＷＡＮに、ＬＡＮインタフェース２０２はＬＡＮに、既に接続されているものとする。

ＷＡＮインタフェース２０１がＷＡＮ側の端末からパケットを受信する（Ｓ７０１）。

この受信パケットに対するＮａｔ ｓｅｓｓｉｏｎがＮＡＴテーブル２０７に作成されているか、ＮＡＴ処理部２０３が判別する（Ｓ７０２）。

判別の結果、作成されていないと判別された場合、ＮＡＴ処理部２０３は、受信パケットをＮＡＴ管理部２０４に出力する（Ｓ７０５）。

ＮＡＴ管理部２０４は、ＮＡＴ処理部２０３から出力されたプロトコル及びポート番号の少なくとも一方が、アクセス条件記憶部２０５のｐｏｒｔ ｍａｐｐｉｎｇエントリにあるか否か検索する（Ｓ７０６）。検索されなかった場合、ＮＡＴ管理部２０４は、受信パケットを破棄する旨ＮＡＴ処理部２０３に通知し、これに応じてＮＡＴ処理部２０３は受信パケットを破棄する（Ｓ７０７）。一方、Ｓ７０６において検索された場合、ＮＡＴ管理部２０４は、検索されたエントリから端末名を取得してＤＮＳ処理部２０６に出力する（Ｓ７０８）。ＤＮＳ処理部２０６は、ＮＡＴ管理部２０４から出力された端末名に付されているＩＰアドレスをＤＮＳサーバ１０４から取得する（Ｓ７０９）。ここで、ＤＮＳ処理部２０６がＤＮＳサーバ１０４からＩＰアドレスを取得できない場合、その旨をＮＡＴ管理部２０４に通知する。すると、ＮＡＴ管理部２０４は受信パケットを破棄する旨ＮＡＴ処理部２０３に通知し、これに応じてＮＡＴ処理部２０３は受信パケットを破棄する（Ｓ７０７）。一方、ＤＮＳ処理部２０６がＩＰアドレスを取得できた場合、取得したＩＰアドレスがＮＡＴ管理部２０４に出力され、ＮＡＴ管理部２０４は出力されたＩＰアドレスと受信パケットの送信元ＩＰアドレスとが一致するかを判定する（Ｓ７１０）。一致しないと判定された場合、ＮＡＴ管理部２０４は受信パケットを破棄する旨ＮＡＴ処理部２０３に通知し、これに応じてＮＡＴ処理部２０３は受信パケットを破棄する（Ｓ７０７）。一方、一致すると判定された場合、ＮＡＴ管理部２０４は、転送情報を定義付けたＮＡＴ ｓｅｓｓｉｏｎをＮＡＴテーブル２０７に作成する（Ｓ７１１）。

ＮＡＴ ｓｅｓｓｉｏｎが作成されると、同一送信元、同一プロトコル及び同一ポート番号の少なくとも同一送信元のパケットに対するＮＡＴ ｓｅｓｓｉｏｎが、Ｓ７０２においてＮＡＴテーブルに作成されていると判別される（Ｓ７０２：Ｙｅｓ）。この場合、ＮＡＴ処理部２０３はＮＡＴ ｓｅｓｓｉｏｎに従って、受信パケットのＮＡＴ処理を行う（Ｓ７０３）。

ＬＡＮインタフェース２０２は、ＮＡＴ処理に基づいてパケットを転送先に転送する（Ｓ７０４）。

尚、ＬＡＮインタフェース２０２がＬＡＮ側の端末からパケットを受信した際の動作は、上記説明と同じであるため説明を省略する。

次に図１０を参照して、上記実施の形態１の端末とサーバとの接続の終了について説明する。

端末からサーバへパケットを転送してから次の当該ＮＡＴ ｓｅｓｓｉｏｎのパケットを受信するまでの時間が、ＮＡＴ管理部２０４で管理しているＮＡＴ ｓｅｓｓｉｏｎタイマに記されている時間分経過するかを監視する（Ｓ１００１）。時間分経過すると、ＮＡＴ管理部２０４は当該ＮＡＴ ｓｅｓｓｉｏｎを削除する（Ｓ１００２）。

尚、上記実施の形態では、転送を許可するパケットを設定する構成を用いて説明したが、実施の形態に加えて、破棄対象パケット判定部と破棄対象パケット記憶部とを更に有する構成にしても良い。このように構成する場合、破棄対象パケット記憶部には、ＮＡＴ管理部２０４によってパケットを破棄すると判定された際に、当該パケットのヘッダ情報が記憶される。この破棄対象パケット記憶部に記憶されている情報に基づいて、破棄対象パケット判定部は、受信したパケットが破棄対象であるかを判定する。破棄対象である場合は、当該受信したパケットを破棄する。

また、上記実施の形態では、アクセス条件記憶テーブル２０５にＤＭＺエントリが記憶されている場合とｐｏｒｔ ｍａｐｐｉｎｇエントリが記憶されている場合とを其々説明したが、これに限らない。アクセス条件記憶テーブル２０５には、ＤＭＺエントリ及びｐｏｒｔ ｍａｐｐｉｎｇエントリの両方が記憶されるようにしても良い。

上記実施の形態ではＨＧＷ機器にてアクセスを制限する構成について説明したが、サーバや端末などの情報処理装置が自装置においてアクセス元又はアクセス先を制限するように構成させても良い。このような構成の場合、上述の転送に関する構成及び処理は不要となる。また、上記実施の形態では、ＬＡＮからＷＡＮ、ＷＡＮからＬＡＮにアクセスする場合を用いて説明したが、異なるＬＡＮから又は異なるＬＡＮへのアクセスを制限しても良いものとする。

上記の通り、本発明では、装置にアクセスすることの許可される端末のアクセス条件を端末名で設定できるように構成されている。従って、ユーザが容易にアクセス条件を設定することができる。

また、ＨＧＷ機器以外の機器の設定が不要であるため、ユーザが本システムを導入するための敷居が低くなる。

（実施の形態２）
図１３は、本発明の実施の形態２のＨＧＷ機器の構成を表した構成図である。尚、上記実施の形態１と同様の構成については同一番号を付し、詳細な説明を省略する。

ＨＧＷ機器１０３は、ＷＡＮインタフェース２０１、ＬＡＮインタフェース２０２、ルーティング処理部１３０３、フィルタ管理部１３０４、フィルタリングルール記憶部１３０５、アクセス条件記憶部２０５、ＤＮＳ処理部２０６及びフィルタテーブル１３０７を備える。

ルーティング処理部１３０３は、一般的なルーティング処理を行うものである。ルーティング処理部１３０３は、受信パケットのプロトコル、送信元ポート番号、宛先ポート番号及び送信元端末のＩＰアドレスのうち、少なくとも送信元端末のＩＰアドレスが一致するテーブルが、フィルタテーブル１３０７に作成されているか検索する。該当するテーブルが検索された場合、ルーティング処理部１３０３は、受信パケットを公開サーバに送信するよう、ＬＡＮインタフェース２０２に出力する。一方、該当するテーブルが検索されない場合、ルーティング処理部１３０３は、受信パケットのプロトコル、送信元ポート番号、宛先ポート番号及び送信元端末のＩＰアドレスのうち、少なくとも送信元端末のＩＰアドレスをフィルタ管理部１３０４に出力する。ルーティング処理部１３０３はフィルタ管理部１３０４からの通知に応じて、受信パケットを破棄する。ルーティング処理部１３０３は、フィルタ管理部１３０４から、フィルタテーブルを設定した旨通知を受けると、受信パケットの情報とフィルタテーブルに設定された情報のうち、転送先である公開サーバのＩＰアドレス以外の情報が一致するか判別する。一致すると判別されると、フィルタテーブルに設定されている公開サーバのＩＰアドレスを取得し、取得したＩＰアドレスの公開サーバに受信パケットを転送するよう、ＬＡＮインタフェース２０２に出力する。一方、一致しないと判別されると、ルーティング処理部１３０３は受信パケットを破棄する。

図１４は、フィルタテーブル１３０７に作成されるフィルタエントリの一例である。フィルタエントリは、エントリ番号１４０１、ＳＴＡＴＵＳ１４０２、公開サーバのＩＰアドレス１４０３、送信元端末のＩＰアドレス１４０４、プロトコル１４０５、送信元ポート番号１４０６、宛先ポート番号１４０７及びフィルタタイマ１４０８の各情報を管理する。

エントリ番号１４０１は、各フィルタエントリに対応する、フィルタリングルール記憶部に設定されているフィルタリングルールのエントリ番号を示す情報である。

Ｓｔａｔｕｓ１４０２は、フィルタエントリの確立状態を示す情報である。

公開サーバのＩＰアドレス１４０３は、ｄｏｗｎｓｔｒｅａｍ方向（ＷＡＮ→ＬＡＮ方向）で見た場合、受信パケットの宛先のＩＰアドレスを示す情報である。

送信元端末のＩＰアドレス１４０４は、ｄｏｗｎｓｔｒｅａｍ方向（ＷＡＮ→ＬＡＮ方向）で見た場合、受信パケットの送信元のＩＰアドレスを示す情報である。

プロトコル１４０５は、受信パケットのプロトコルを示す情報である。

送信元ポート番号１４０６は、受信パケットの送信元のポート番号を示す情報である。

宛先ポート番号１４０７は、受信パケットの宛先のポート番号を示す情報である。

フィルタタイマ１４０８は、当該フィルタエントリを削除するタイミングを示す情報である。ここには、このフィルタエントリの最後のパケット転送が終了してから、削除するまでの時間が記されている。

フィルタリングルール記憶部１３０５には、フィルタリングルールが記憶されており、このフィルタリングルールには、公開サーバへのアクセス条件が示されている。図２０は、フィルタリングルールの一例である。図２０の（Ａ）で示されているレコードは、ｄｏｗｎｓｔｒｅａｍ方向（ＷＡＮ→ＬＡＮ）で用いるフィルタリングルールの一例を表している。フィルタリングルールは、各ルールに付されている一意の番号であるエントリ番号１９０１、各ルールの優先度を示す優先度１９０２、パケットの通過を許可するか拒否するかを示すＳＴＡＴＵＳ１９０３、受信パケットの転送方向を示す方向１９０４、受信パケットの宛先即ち公開サーバの端末名１９０５、この公開サーバにアクセスが許可されている送信元端末に関する情報１９０６、アクセスが許可されるプロトコル１９０７、アクセスが許可される送信元ポート番号１９０８及びアクセスが許可される宛先ポート番号１９０９が対応付けられている。公開サーバの端末名１９０５はｄｏｗｎｓｔｒｅａｍ方向（ＷＡＮ→ＬＡＮ）のアクセス条件の場合は使用しない。送信元端末に関する情報はｄｏｗｎｓｔｒｅａｍ方向（ＷＡＮ→ＬＡＮ）のアクセス条件の場合は、送信元端末名を設定する、一方、ｕｐｓｔｒｅａｍ方向（ＬＡＮ→ＷＡＮ）のアクセス条件の場合は、送信元端末のＩＰアドレスを設定する。図２０中の“ａｌｌ”は、その項目において設定条件を問わないことを示している。プロトコル１９０７、送信元ポート番号１９０８及び宛先ポート番号１９０９は、送信元端末が公開サーバにアクセスする時のプロトコル（プログラム）によって設定される情報である。例えば、ユーザがフィルタリングルールに、アクセス許可する端末を設定する際アクセスに使用するプログラムも設定できるような構成にしておく場合、ユーザがそのプログラムを選択することによって使用するプロトコルが決定すると、プロトコル１９０７、送信元ポート番号１９０８及び宛先ポート番号１９０９が設定される。また、優先度１９０３は数値が小さいほど優先順位が高いことを示す。受信パケットの情報に一致するフィルタリングルールが存在しない場合は、受信パケットを破棄するようにしても良い。

フィルタ管理部１３０４は、ルーティング処理部１３０３から受信パケットのプロトコル、送信元ポート番号、宛先ポート番号及び送信元端末のＩＰアドレスのうち、少なくとも送信元端末のＩＰアドレスが出力されると、フィルタリングルール記憶部１３０５にフィルタリングルールが設定されているか検索する。フィルタリングルールが検索された場合、フィルタ管理部１３０４は、検索されたフィルタリングルールから、送信元端末に関する情報に設定されている送信元端末名を取得する。フィルタ管理部１３０４は取得した送信元端末に付されているＩＰアドレスを知るために、取得した送信元端末名をＤＮＳ処理部２０６に出力する。この出力に対して、ＤＮＳ処理部２０６から、送信元端末に付されているＩＰアドレスを受け取る。ＤＮＳ処理部２０６から、送信元端末名に付されているＩＰアドレスを受け取れない場合、フィルタ管理部１３０４は、受信パケットを破棄する旨、ルーティング処理部１３０３に通知する。一方、ＤＮＳ処理部２０６から、送信元端末に付されているＩＰアドレスを受け取った場合、そのＩＰアドレスの中から、ルーティング処理部１３０３から出力された送信元端末のＩＰアドレスと一致するものを検索する。一致するものが検索されない場合、フィルタ管理部１３０４は、受信パケットを破棄する旨、ルーティング処理部１３０３に通知する。一方、一致するものが検索された場合、フィルタ管理部１３０４は、検索されたＩＰアドレスの付されている端末名に対応付けられているルールの優先度をフィルタリングルール記憶部１３０５から取得し、取得されたルールのうち、優先度の高いルールのＳＴＡＴＵＳを取得する。取得したＳＴＡＴＵＳが“拒絶”の場合、フィルタ管理部１３０４は、受信パケットを破棄する旨、ルーティング処理部１３０３に通知する。一方、取得したＳＴＡＴＵＳが“許可”の場合、フィルタ管理部１３０４は受信パケットを通過させると判別する。受信パケットを通過させると判別すると、フィルタ管理部１３０４は、アクセス条件記憶部２０５から送信元端末名を取得し、取得した送信元端末に付されているＩＰアドレスをＤＮＳ処理部２０６から受け取る。ＤＮＳ処理部２０６から、送信元端末に付されているＩＰアドレスを取得できない場合、フィルタ管理部１３０４は、受信パケットを破棄する旨、ルーティング処理部１３０３に通知する。一方、ＤＮＳ処理部２０６から、送信元端末に付されているＩＰアドレスを受け取った場合、フィルタ管理部１３０４は、受け取ったＩＰアドレスが、受信したパケットの送信元ＩＰアドレスと一致するかを判定する。一致しない場合、フィルタ管理部１３０４は、受信したパケットを破棄する旨ルーティング処理部１３０４に通知する。一方、一致する場合、フィルタ管理部１３０４は、転送情報を定義付けたフィルタエントリをフィルタテーブル１３０７に作成する。このとき、公開サーバのＩＰアドレス１４０３には、パケットの転送先のＩＰアドレスが登録される。送信元端末のＩＰアドレス１４０４には、パケットの送信元の端末のＩＰアドレスが登録される。プロトコル１４０５にはパケットのプロトコルが登録される。送信元ポート番号１４０６には送信元の端末がパケットを送信する際に用いているポート番号が登録される。宛先ポート番号１４０７には受信パケットを転送先に送信する際に用いられるポート番号が登録される。

続いて、本願発明の実施の形態２の動作について図１５及び図１６を用いて説明する。尚、以下の説明では、ＷＡＮインタフェース２０１はＷＡＮに、ＬＡＮインタフェース２０２はＬＡＮに、既に接続されているものとして説明する。即ち、ＬＡＮ側との通信で用いられるポート、ＨＧＷ機器１０３のＩＰアドレス及び受信パケットを転送先に送信する際に用いられるポートは既に開かれているものとする。また、フィルタリング記憶部のプロトコル、送信元ポート番号及び宛先ポート番号には、“ａｌｌ”が設定されているものとする。また、アクセス条件記憶部にはＤＭＺエントリが設定されているものとする。

まず、ＷＡＮインタフェース２０１がＷＡＮ側の端末からパケットを受信する（Ｓ１５０１）。

パケットを受信すると、ルーティング処理部１３０３は受信パケットに対するフィルタエントリがフィルタテーブルに設定されてか判別する（Ｓ１５０２）。作成されていると判別されると、ルーティング処理部１３０３は、フィルタテーブルに設定されている情報に基づいて、受信パケットのルーティング処理を行う（Ｓ１５１４）。一方、作成されていないと判別されると、ルーティング処理部は受信パケットの送信元ＩＰアドレスをフィルタ管理部１３０４に出力する（Ｓ１５０３）。

フィルタ管理部１３０４は、ルーティング処理部１３０３から送信元ＩＰアドレスを受け取ると、フィルタリングルール記憶部１３０５にフィルタリングルールが設定されているか検索する（Ｓ１５０４）。フィルタリングルールが設定されていないと判別されると、フィルタ管理部１３０４はアクセス条件記憶部から送信元端末名を取得する（Ｓ１５０９）。以降、Ｓ１５１０に進む。一方、フィルタリングルールが設定されていると判別されると、フィルタリングルールから送信元端末に関する情報に設定されている送信元端末名を取得する。フィルタ管理部１３０４は、取得した送信元端末名に付されているＩＰアドレスを知るためにＤＮＳ処理部２０６に送信元端末名を出力する（Ｓ１５０５）。

ＤＮＳ処理部２０６は、フィルタ管理部１３０４から出力された送信元端末に付されているＩＰアドレスをＤＮＳサーバ１０４から取得し、取得したＩＰアドレスをフィルタ管理部１３０４に出力する（Ｓ１５０６）。

フィルタ管理部１３０４はＤＮＳ処理部２０６からＩＰアドレスが受け取れない場合、ルーティング処理部１３０３に受信パケットを破棄する旨通知し、これを受けてルーティング処理部１３０３は受信パケットを破棄する（Ｓ１５１６）。一方、フィルタ管理部１３０４は、ＤＮＳ処理部２０６からＩＰアドレスを受け取ると、ＤＮＳ処理部２０６から受け取ったＩＰアドレスの中から、ルーティング処理部１３０３から出力された送信元端末のＩＰアドレスと一致するものを検索する（Ｓ１５０７）。一致するものが検索されない場合、フィルタ管理部１３０４は、受信パケットを破棄する旨、ルーティング処理部１３０３に通知し、これを受けてルーティング処理部１３０３は受信パケットを破棄する（Ｓ１５１６）。一方、一致するものが検索された場合、フィルタ管理部１３０４は、検索されたＩＰアドレスの付されている端末名に対応付けられているルールの優先度をフィルタリングルール記憶部１３０５から取得し、取得されたルールのうち、優先度の高いルールのＳＴＡＴＵＳを取得する（Ｓ１５０８）。フィルタ管理部１３０４は、取得されたＳＴＡＴＵＳが“拒絶”の場合、ルーティング処理部１３０３に受信パケットを破棄する旨通知し、これを受けてルーティング処理部１３０３は受信パケットを破棄する（Ｓ１５１６）。一方、ＳＴＡＴＵＳが“許可”の場合、フィルタ管理部１３０４は、受信パケットを通過させると判別する。受信パケットを通過させると判別すると、フィルタ管理部１３０４は、アクセス条件記憶部２０５から送信元端末名を取得する（Ｓ１５０９）。取得した送信元端末に付されているＩＰアドレスを知るために、フィルタ管理部１３０４は、取得した送信元端末名をＤＮＳ処理部２０６に出力する（Ｓ１５１０）。ＤＮＳ処理部２０６は、先ほど取得したＩＰアドレスのうち、フィルタ管理部１３０４から出力された送信元端末のＩＰアドレスをフィルタ管理部１３０４に出力する（Ｓ１５１１）。フィルタ管理部１３０４はＤＮＳ処理部２０６からＩＰアドレスが受け取れない場合、ルーティング処理部１３０３に受信パケットを破棄する旨通知し、これを受けてルーティング処理部１３０３は受信パケットを破棄する（Ｓ１５１６）。一方、フィルタ管理部１３０４は、ＤＮＳ処理部２０６からＩＰアドレスを受け取ると、そのＩＰアドレスと受信パケットの送信元ＩＰアドレスとが一致するかを判定する（Ｓ１５１２）。一致しないと判定された場合、フィルタ管理部１３０４は、ルーティング処理部１３０４に受信パケットを破棄する旨通知し、これを受けてルーティング処理部１３０４は受信パケットを破棄する（Ｓ１５１６）一方、一致すると判定された場合、フィルタ管理部１３０４は、転送情報を定義付けたフィルタエントリをフィルタテーブル１３０７に作成する（Ｓ１５１３）。

フィルタテーブル１３０７にフィルタエントリが作成されると、ルーティング処理部１３０３はフィルタエントリに従って、受信パケットのルーティング処理を行う（Ｓ１５１４）。

ＬＡＮインタフェース２０２は、ルーティング処理に基づいてパケットを転送先に転送する（Ｓ１５１５）。

尚、本実施の形態では、アクセス条件記憶部２０５とフィルタリングルール記憶部１３０５とを其々有する場合を用いて説明したが、これに限らない。アクセス条件記憶部とフィルタリングルール記憶部とを一つのテーブルにまとめて有するようにしても良い。

また、本実施の形態では、アクセス条件記憶部２０５にＤＭＺエントリが設定されている場合を用いて説明したが、これに限らない。アクセス条件記憶部２０５にはＰｏｒｔ ｍａｐｐｉｎｇエントリが設定されていても良いし、ＤＭＺエントリとＰｏｒｔ ｍａｐｐｉｎｇエントリとの両方が設定されていても良い。これらの場合の動作については、上述した動作と同様のため、その説明は省略される。

続いて、ＬＡＮ側に設置されている端末のＷＡＮ側に設置されている公開サーバへのアクセスを制限する場合について説明する。この場合、ＬＡＮ側に設置されている端末は、ＷＡＮ側に設置されている公開サーバを宛先としたパケットを送出する。即ち、ＬＡＮインタフェース２０２は、送信元のＩＰアドレスにＬＡＮ側に設置されている端末のＩＰアドレスが、宛先のＩＰアドレスにＷＡＮ側に設置されている公開サーバのＩＰアドレスが記されているパケットを受信する。従って、ＨＧＷ機器は、受信パケットの宛先のＩＰアドレスから転送先を知ることができるので、アクセス条件記憶部２０５の情報を使用せずに受信パケットを転送する。

フィルタリングルール記憶部１３０５にはフィルタリングルールが記憶されており、このフィルタリングルールには公開サーバへのアクセス条件が示されている。図２０の（Ｂ）で示されているレコードは、ｕｐｓｔｒｅａｍ方向（ＬＡＮ→ＷＡＮ）で用いるフィルタリングルールの一例を表している。公開サーバの端末名１９０５には、パケットの宛先であるＷＡＮ側の公開サーバの端末名を設定する。図２０中の“ａｌｌ”は、その項目において設定条件と問わないことを示している。その他の項目については、上述したＷＡＮインタフェースがＷＡＮ側の端末からパケットを受信した場合と同様のため、その説明は省略される。

ルーティング処理部１３０３は、一般的なルーティング処理を行うものである。ルーティング処理部１３０３は、受信パケットのプロトコル、送信元ポート番号、宛先ポート番号、送信元端末のＩＰアドレス及びパケットの宛先である公開サーバのＩＰアドレスのうち、少なくとも送信元端末のＩＰアドレスと公開サーバのＩＰアドレスとが一致するテーブルが、フィルタテーブル１３０７に作成されているか検索する。該当するテーブルが検索された場合、ルーティング処理部１３０３は、受信パケットを宛先である公開サーバに送信するよう、ＷＡＮインタフェース２０１に出力する。一方、該当するテーブルが検索されない場合、ルーティング処理部１３０３は、受信パケットのプロトコル、送信元ポート番号、宛先ポート番号、送信元端末のＩＰアドレス及びパケットの宛先である公開サーバのＩＰアドレスのうち、少なくとも送信元端末のＩＰアドレスと公開サーバのＩＰアドレスとをフィルタ管理部１３０４に出力する。ルーティング処理部１３０３はフィルタ管理部１３０４から受信パケットを破棄する旨通知を受けると、受信パケットを破棄する。ルーティング処理部１３０３は、フィルタ管理部１３０４からフィルタテーブルを設定した旨通知を受けると、受信パケットを宛先である公開サーバに送信するよう、ＷＡＮインタフェース２０１に出力する。

フィルタ管理部１３０４は、ルーティング処理部１３０３から受信パケットのプロトコル、送信元ポート番号、宛先ポート番号、送信元端末のＩＰアドレス及びパケットの宛先である公開サーバのＩＰアドレスのうち、少なくとも送信元端末のＩＰアドレスと公開サーバのＩＰアドレスとが出力されると、フィルタリングルール記憶部１３０５にフィルタリングルールが設定されているか検索する。フィルタリングルールが検索された場合、フィルタ管理部１３０４は、検索されたフィルタリングルールから公開サーバの端末名を取得する。フィルタ管理部１３０４は取得した公開サーバの端末名に付されているＩＰアドレスを知るために、取得した公開サーバの端末名をＤＮＳ処理部２０６に出力する。この出力に対して、フィルタ管理部１３０４は、ＤＮＳ処理部２０６から、公開サーバに付されているＩＰアドレスを受け取る。ＤＮＳ処理部２０６から、公開サーバに付されているＩＰアドレスを受け取れない場合、フィルタ管理部１３０４は、受信パケットを破棄する旨、ルーティング処理部１３０３に通知する。一方、ＤＮＳ処理部２０６から、公開サーバに付されているＩＰアドレスを受け取った場合、フィルタ管理部１３０４は、そのＩＰアドレスの中から、ルーティング処理部１３０３から出力された公開サーバのＩＰアドレスと一致するものを検索する。一致するものが検索されない場合、フィルタ管理部１３０４は、受信パケットを破棄する旨、ルーティング処理部１３０３に通知する。一方、一致するものが検索された場合、フィルタ管理部１３０４は、検索されたＩＰアドレスの付されている公開サーバのＩＰアドレスに対応付けられているルールの優先度をフィルタリングルール記憶部１３０５から取得し、取得されたルールのうち、優先度の高いルールのＳＴＡＴＵＳを取得する。取得したＳＴＡＴＵＳが“拒絶”の場合、フィルタ管理部１３０４は、受信パケットを破棄する旨、ルーティング処理部１３０３に通知する。一方、取得したＳＴＡＴＵＳが“許可”の場合、フィルタ管理部１３０４は受信パケットを通過させると判別する。フィルタ管理部１３０４は、受信パケットを通過させると判別すると、通過させるパケットの条件を定義付けたフィルタエントリをフィルタテーブル１３０７に作成する。このとき、宛先ＩＰアドレス１４０３には、パケットの宛先である公開サーバのＩＰアドレスが登録される。送信元ＩＰアドレス１４０４には、パケットの送信元の端末のＩＰアドレスが登録される。プロトコル１４０５にはパケットのプロトコルが登録される。送信元ポート番号１４０６には送信元の端末がパケットを送信する際に用いているポート番号が登録される。宛先ポート番号１４０７には受信パケットを宛先に送信する際に用いられるポート番号が登録される。

その他の構成については、上述したＷＡＮインタフェースがＷＡＮ側の端末からパケットを受信した場合と同様のため、その説明は省略される。

続いて、動作について図２２及び２３を用いて説明する。尚、以下の説明では、ＷＡＮインタフェース２０１はＷＡＮに、ＬＡＮインタフェース２０２はＬＡＮに、既に接続されているものとして説明する。即ち、ＬＡＮ側との通信で用いられるポート、ＨＧＷ機器１０３のＩＰアドレス及び受信パケットを転送先に送信する際に用いられるポートは既に開かれているものとする。また、フィルタリング記憶部のプロトコル、送信元ポート番号及び宛先ポート番号には、“ａｌｌ”が設定されているものとする。

まず、ＬＡＮインタフェース２０２がＬＡＮ側の端末からパケットを受信する（Ｓ２１０１）。

パケットを受信すると、ルーティング処理部１３０３は受信パケットに対するフィルタエントリがフィルタテーブルに作成されているか判別する（Ｓ２１０２）。作成されていると判別されると、ルーティング処理部１３０３は受信パケットのルーティング処理を行う（Ｓ２１１０）。一方、作成されていないと判別されると、ルーティング処理部１３０３は受信パケットの送信元ＩＰアドレス及び公開サーバのＩＰアドレスをフィルタ管理部１３０４に出力する（Ｓ２１０３）。

フィルタ管理部１３０４は、ルーティング処理部１３０３から受信パケットの送信元ＩＰアドレス及び宛先ＩＰアドレスを受け取ると、フィルタリングルール記憶部１３０５にフィルタリングルールが設定されているか検索する（Ｓ２１０４）。フィルタリングルールが設定されていないと判別されると、フィルタ管理部１３０４は受信パケットを通過させると判別する。以降、Ｓ２１０９に進む。一方、フィルタリングルールが設定されていると判別されると、フィルタ管理部１３０４はフィルタリングルールから公開サーバの端末名を取得する（Ｓ２１０５）。フィルタ管理部１３０４は、取得した公開サーバの端末名に付されているＩＰアドレスを知るためにＤＮＳ処理部２０６に公開サーバの端末名を出力する。

ＤＮＳ処理部２０６は、フィルタ管理部１３０４から出力された公開サーバに付されているＩＰアドレスをＤＮＳサーバ１０４から取得し、取得したＩＰアドレスをフィルタ管理部１３０４に出力する（Ｓ２１０６）。

フィルタ管理部１３０４は、ＤＮＳ処理部２０６からＩＰアドレスを受け取れない場合、ルーティング処理部１３０３に受信パケットを破棄する旨通知し、これに応じてルーティング処理部１３０３は受信パケットを破棄する（Ｓ２１１２）。一方、フィルタ管理部１３０４は、ＤＮＳ処理部２０６からＩＰアドレスを受け取ると、ＤＮＳ処理部２０６から受け取ったＩＰアドレスの中から、ルーティング処理部１３０３から出力された公開サーバのＩＰアドレスと一致するものを検索する（Ｓ２１０７）。一致するものが検索されない場合、フィルタ管理部１３０４は受信パケットを破棄する旨ルーティング処理部１３０３に通知し、これに応じてルーティング処理部１３０３は受信パケットを破棄する（Ｓ２１１２）。一方、一致するものが検索された場合、フィルタ管理部１３０４は、検索されたＩＰアドレスの付されている公開サーバのＩＰアドレスに対応付けられているルールの優先度をフィルタリングルール記憶部１３０５から取得し、取得されたルールのうち、優先度の高いルールのＳＴＡＴＵＳを取得する（Ｓ２１０８）。フィルタ管理部１３０４は、取得されたＳＴＡＴＵＳが“拒絶”の場合、ルーティング処理部１３０３に受信パケットを破棄する旨通知し、これを受けてルーティング処理部１３０３は受信パケットを破棄する（Ｓ２１１２）。一方、ＳＴＡＴＵＳが“許可”の場合、フィルタ管理部１３０４は、受信パケットを通過させると判別する。受信パケットを通過させると判別すると、フィルタ管理部１３０４は、通過させるパケットの条件を定義付けたフィルタエントリをフィルタテーブル１３０７に作成する（Ｓ２１０９）。

フィルタテーブル１３０７にフィルタエントリが作成されると、ルーティング処理部１３０３は受信パケットのルーティング処理を行う（Ｓ２１１０）。

ＷＡＮインタフェース２０２は、ルーティング処理に基づいてパケットを公開サーバに送信する（Ｓ２１１１）。

次に図２１を参照して、上記実施の形態２の端末とサーバとの接続の終了について説明する。

端末からサーバへパケットを転送してから次の当該フィルタエントリのパケットを受信するまでの時間が、フィルタ管理部１３０４で管理しているフィルタタイマに記されている時間分経過するかを監視する（Ｓ２００１）。時間分経過すると、フィルタ管理部１３０４は当該フィルタエントリを削除する（Ｓ２００２）。

また、本実施の形態に加えて、受信したパケットがホスト名を解決できなかったパケットであるか否か判定する判定部と、ホスト名が解決できなかったパケットを記憶する記憶部とを更に有するようにしても良い。当該記憶部には、ＤＮＳ処理部２０６によってホスト名が解決できなかったパケットのヘッダ情報を記憶させる。判定部は、パケットを受信すると、受信したパケットのヘッダ情報を記憶部から検索する。検索された場合は、当該受信したパケットのホスト名解決を行わず、受信パケットを削除するようにしても良い。

上述のように、本実施の形態では、転送装置に搭載されているパケットフィルタリング機能において、端末名を設定することによってアクセス制限ができるように構成されている。

従って、転送装置の機能を改造することで実装ができるため、転送装置に新規の機能を追加する必要がなく、開発コストが抑えられる。

（実施例１）
続いて、本願発明の実施例１について、図１、図３、図５、図８及び図９Ａを用いて説明する。本実施例は、上記第１の実施の形態に対応する実施例である。尚、以下の説明では、端末１０５は、ＨＧＷ機器１０３に接続し、サーバ１０１にアクセスするための設定処理を既に行い、アクセス条件記憶部２０５には図３に示される条件が設定されているものとする。また、ＮＡＴテーブル２０７はまだ設定されていないものとする。ＤＮＳサーバ１０４には図９Ａに示されるデータが記憶されているものとする。さらに、ＨＧＷ機器１０３がＬＡＮに接続された時に、転送先のサーバのＩＰアドレス“１９２．１６８．０．２”がＨＧＷ機器１０３のＬＡＮのＩＰアドレスとして設定される。ＨＧＷ機器１０３がＷＡＮに接続された時に、自装置のＩＰアドレス“１７２．１６．３１．２”がＨＧＷ機器１０３のＧａｔｅｗａｙのＩＰアドレスとして設定される。

まず、端末１０５から、宛先ＩＰアドレスに“１７２．１６．３１．２”が、送信元端末ＩＰアドレスに“１０．１００．０．１００”がヘッダ情報に挿入されたパケットが送信される（８０１）。

ＨＧＷ機器１０３は、端末１０５からのパケットを受信する。この受信パケットの送信元ＩＰアドレスと宛先ＩＰアドレスとが対応付けられたＮＡＴ ｓｅｓｓｉｏｎを検索する。ここでは、ＮＡＴ ｓｅｓｓｉｏｎがまだ作成されていないため検索されない（８０２）。

ＮＡＴ管理部２０４は、ＤＭＺエントリから送信元端末名を読みだす。図３に示す例では、“Ｃｌｉｅｎｔ１．ｘｘｘ．ｃｏｍ”、“Ｃｌｉｅｎｔ４．ｘｘｘ．ｃｏｍ”及び“Ｃｌｉｅｎｔ８．ｘｘｘ．ｃｏｍ”を読みだす（８０３）。

ＤＮＳ処理部２０６は、ＷＡＮインタフェース２０１を介して、Ｃｌｉｅｎｔ１．ｘｘｘ．ｃｏｍ”、“Ｃｌｉｅｎｔ４．ｘｘｘ．ｃｏｍ”及び“Ｃｌｉｅｎｔ８．ｘｘｘ．ｃｏｍ”のＩＰアドレスの送信要求ＤＮＳクエリをＤＮＳサーバ１０４に送信する（８０４）。

ＤＮＳサーバ１０４はＤＮＳクエリに応答して、端末名“Ｃｌｉｅｎｔ１．ｘｘｘ．ｃｏｍ”端末名“Ｃｌｉｅｎｔ４．ｘｘｘ．ｃｏｍ”及び端末名“Ｃｌｉｅｎｔ８．ｘｘｘ．ｃｏｍ”に対応付けられているＩＰアドレスを其々取得して、ＨＧＷ機器に送信する。ここでは、図９Ａに示されているように“Ｃｌｉｅｎｔ１．ｘｘｘ．ｃｏｍ”に対応するＩＰアドレスとして“１０．１００．０．１００”、“Ｃｌｉｅｎｔ４．ｘｘｘ．ｃｏｍ”に対応するＩＰアドレスとして“１０．１００．０．４００”及び“Ｃｌｉｅｎｔ８．ｘｘｘ．ｃｏｍ”に対応するＩＰアドレスとして“１０．１００．０．８００”が取得され、送信される（８０５）。

ＮＡＴ管理部２０４は、取得されたＩＰアドレス“１０．１００．０．１００”、“１０．１００．０．４００”又は“１０．１００．０．８００”が、受信パケットの転送情報の送信元ＩＰアドレス“１０．１００．０．１００”と一致するか判定する（８０６）。ここでは、送信元ＩＰアドレスに“１０．１００．０．１００”が記されているため、図３に示す例では一番上のＤＭＺエントリが該当することがわかる。該当するＤＭＺエントリの公開サーバのＩＰアドレスに“１９２．１６８．０．２”が設定されているため、ＮＡＴ管理部２０４は、受信パケットをサーバ１に送信すると判断する。ＮＡＴ管理部２０４は、この公開サーバのＩＰアドレスを転送条件として定義付けたＮＡＴ ｓｅｓｓｉｏｎを作成する（８０７）。この時、ＮＡＴ ｓｅｓｓｉｏｎの受信パケットのプロトコルには“ＴＣＰ”が登録される。ＬＡＮのＩＰアドレスには、ＬＡＮ側との接続時に設定された公開サーバのＩＰアドレス“１９２．１６８．０．２”とポート番号“８０”とが登録される。ＧａｔｅｗａｙのＩＰアドレスには、自装置のＩＰアドレス“１７２．１６．３１．２”とポート番号“８０”とが登録される。ＷＡＮのＩＰアドレスには、送信元の端末のＩＰアドレス“１０．１００．０．１００”とポート番号“１０２４”とが登録される。ＮＡＴ ｓｅｓｓｉｏｎタイマには予め定められた値が登録される。この状態を示したものが図５の１テーブル目になる。

ＮＡＴテーブル２０７にＮＡＴ ｓｅｓｓｉｏｎが作成されると、ＮＡＴ処理部２０３は端末１０５から受信したパケットのＮＡＴ ｓｅｓｓｉｏｎがＮＡＴテーブル２０７に作成されているかどうか判別する。ここでは、ＮＡＴテーブル２０７には、図５に示されるＮＡＴ ｓｅｓｓｉｏｎが作成されたので、ＮＡＴ処理部２０３は、ＮＡＴ ｓｅｓｓｉｏｎがＮＡＴテーブル２０７に作成されていると判別する。

端末１０５から送信されたパケットは、ＮＡＴテーブル２０７のＮＡＴ ｓｅｓｓｉｏｎに従ったＮＡＴ処理が行われ、ＨＧＷ機器１０３のＬＡＮ内の、ＩＰアドレスに“１９２．１６８．０．２”が付されているサーバ１０１に転送される（８０８）。

（実施例２）
続いて、本願発明の実施例２について、図１、図３、図５、図９Ｂ及び図１１を用いて説明する。本実施例は、上記第１の実施の形態に対応する実施例である。尚、以下の説明では、端末１０５は、ＨＧＷ機器１０３に接続し、サーバ１０１にアクセスするための設定処理を既に行い、アクセス条件記憶部２０５には図３に示される条件が設定されているものとする。また、ＮＡＴテーブル２０７はまだ設定されていないものとする。ＤＮＳサーバ１０４には図９Ｂに示されるデータが記憶されているものとする。さらに、ＨＧＷ機器１０３がＬＡＮに接続された時に、転送先のサーバのＩＰアドレス“１９２．１６８．０．２”がＨＧＷ機器１０３のＬＡＮのＩＰアドレスとして設定される。ＨＧＷ機器１０３がＷＡＮに接続された時に、自装置のＩＰアドレス“１７２．１６．３１．２”がＨＧＷ機器１０３のＧａｔｅｗａｙのＩＰアドレスとして設定される。

まず、端末１０５から、宛先ＩＰアドレスに“１７２．１６．３１．２”が、送信元端末ＩＰアドレスに“１０．１００．０．１００”がヘッダ情報に挿入されたパケットが送信される（１１０１）。

ＨＧＷ機器１０３は、端末１０５からのパケットを受信する。この受信パケットの送信元ＩＰアドレスと宛先ＩＰアドレスとが対応付けられたＮＡＴ ｓｅｓｓｉｏｎを検索する。ここでは、ＮＡＴ ｓｅｓｓｉｏｎがまだ作成されていないため検索されない（１１０２）。

ＮＡＴ管理部２０４は、ＤＭＺエントリから送信元端末名を読みだす。図３に示す例では、
“Ｃｌｉｅｎｔ１．ｘｘｘ．ｃｏｍ”、“Ｃｌｉｅｎｔ４．ｘｘｘ．ｃｏｍ”及び“Ｃｌｉｅｎｔ８．ｘｘｘ．ｃｏｍ”を読みだす（１１０３）。

ＤＮＳ処理部２０６は、ＷＡＮインタフェース２０１を介して、Ｃｌｉｅｎｔ１．ｘｘｘ．ｃｏｍ”、“Ｃｌｉｅｎｔ４．ｘｘｘ．ｃｏｍ”及び“Ｃｌｉｅｎｔ８．ｘｘｘ．ｃｏｍ”のＩＰアドレスの送信要求ＤＮＳクエリをＤＮＳサーバ１０４に送信する（１１０４）。

ＤＮＳサーバ１０４はＤＮＳクエリに応答して、端末名“Ｃｌｉｅｎｔ１．ｘｘｘ．ｃｏｍ”、端末名“Ｃｌｉｅｎｔ４．ｘｘｘ．ｃｏｍ”及び“Ｃｌｉｅｎｔ８．ｘｘｘ．ｃｏｍ”に対応付けられているＩＰアドレスを其々取得して、ＨＧＷ機器１０３に送信する。ここでは、図９Ｂに示されているようにＤＮＳサーバ１０４には“Ｃｌｉｅｎｔ１．ｘｘｘ．ｃｏｍ”、“Ｃｌｉｅｎｔ４．ｘｘｘ．ｃｏｍ”及び“Ｃｌｉｅｎｔ８．ｘｘｘ．ｃｏｍ”が登録されていないため、ＤＮＳサーバ１０４は、端末名に対応付けられているＩＰアドレスが取得できない旨、ＨＧＷ機器１０３に送信する（１１０５）。

ＨＧＷ機器１０３は、ＤＮＳサーバ１０４から、端末名に対応付けられているＩＰアドレスが取得できない旨受信すると、受信したパケットを破棄する（１１０６）。

（実施例３）
続いて、本願発明の実施例３について、図１、図３、図５、図９Ａ及び図１２を用いて説明する。本実施例は、上記第１の実施の形態に対応する実施例である。尚、以下の説明では、端末１０６は、ＨＧＷ機器１０３に接続し、サーバ１０１にアクセスするための設定処理を既に行い、アクセス条件記憶部２０５には図３に示される条件が設定されているものとする。また、ＮＡＴテーブル２０７はまだ設定されていないものとする。ＤＮＳサーバ１０４には図９Ａに示されるデータが記憶されているものとする。さらに、ＨＧＷ機器１０３がＬＡＮに接続された時に、転送先のサーバのＩＰアドレス“１９２．１６８．０．２”がＨＧＷ機器１０３のＬＡＮのＩＰアドレスとして設定される。ＨＧＷ機器１０３がＷＡＮに接続された時に、自装置のＩＰアドレス“１７２．１６．３１．２”がＨＧＷ機器１０３のＧａｔｅｗａｙのＩＰアドレスとして設定される。

まず、端末１０６から、宛先ＩＰアドレスに“１７２．１６．３１．２”が、送信元端末ＩＰアドレスに“１０．１００．０．２００”がヘッダ情報に挿入されたパケットが送信される（１２０１）。

ＨＧＷ機器１０３は、端末１０６からのパケットを受信する。この受信パケットの送信元ＩＰアドレスと宛先ＩＰアドレスとが対応付けられたＮＡＴ ｓｅｓｓｉｏｎを検索する。ここでは、ＮＡＴ ｓｅｓｓｉｏｎがまだ作成されていないため検索されない（１２０２）。

ＮＡＴ管理部２０４は、ＤＭＺエントリから送信元端末名を読みだす。図３に示す例では、“Ｃｌｉｅｎｔ１．ｘｘｘ．ｃｏｍ”、“Ｃｌｉｅｎｔ４．ｘｘｘ．ｃｏｍ”及び“Ｃｌｉｅｎｔ８．ｘｘｘ．ｃｏｍ”を読みだす（１２０３）。

ＤＮＳ処理部２０６は、ＷＡＮインタフェース２０１を介して、Ｃｌｉｅｎｔ１．ｘｘｘ．ｃｏｍ”、“Ｃｌｉｅｎｔ４．ｘｘｘ．ｃｏｍ”及び“Ｃｌｉｅｎｔ８．ｘｘｘ．ｃｏｍ”のＩＰアドレスの送信要求ＤＮＳクエリをＤＮＳサーバ１０４に送信する（１２０４）。

ＤＮＳサーバ１０４はＤＮＳクエリに応答して、端末名“Ｃｌｉｅｎｔ１．ｘｘｘ．ｃｏｍ”端末名“Ｃｌｉｅｎｔ４．ｘｘｘ．ｃｏｍ”及び端末名“Ｃｌｉｅｎｔ８．ｘｘｘ．ｃｏｍ”に対応付けられているＩＰアドレスを其々取得して、ＨＧＷ機器に送信する。ここでは、図９Ａに示されているように“Ｃｌｉｅｎｔ１．ｘｘｘ．ｃｏｍ”に対応するＩＰアドレスとして“１０．１００．０．１００”、“Ｃｌｉｅｎｔ４．ｘｘｘ．ｃｏｍ”に対応するＩＰアドレスとして“１０．１００．０．４００”、“Ｃｌｉｅｎｔ８．ｘｘｘ．ｃｏｍ”に対応するＩＰアドレスとして“１０．１００．０．８００”が取得され、送信される（１２０５）。

ＮＡＴ管理部２０４は、取得されたＩＰアドレス“１０．１００．０．１００”、“１０．１００．０．４００”又は“１０．１００．０．８００”が、受信パケットの転送情報の送信元ＩＰアドレス“１０．１００．０．２００”と一致するか判定する。ここでは、送信元ＩＰアドレスに“１０．１００．０．２００”が記されているため、一致しないと判定する。一致しないと判定されるとＨＧＷ機器１０３は受信パケットを破棄する（１２０６）。

（実施例４）
続いて、本願発明の実施例４について、図１、図１４、図１７、図９Ａ、図２２及び図２３を用いて説明する。本実施例は、上記第２の実施の形態に対応する実施例である。尚、以下の説明では、端末１０５は、ＨＧＷ機器１０３に接続し、サーバ１０１にアクセスするための設定処理を既に行い、フィルタリングルール記憶部１３０５には図２１に示される条件が設定されているものとする。ＤＮＳサーバ１０４には図９Ａに示されるデータが記憶されているものとする。アクセス条件記憶部２０５には図３に示されるデータが設定されているものとする。また、フィルタテーブル１３０７はまだ設定されていないものとする。

まず、ＷＡＮに設置されている端末１０５から、宛先ＩＰアドレスに“１７２．１６．３１．２”が、送信元端末ＩＰアドレスに“１０．１００．０．１００”がヘッダ情報に挿入されたパケットが送信される（１６０１）。

ＨＧＷ機器１０３は、端末１０５からのパケットを受信すると、
ＨＧＷ機器１０３は、この受信パケットの送信元ＩＰアドレスと宛先ＩＰアドレスとが対応付けられたフィルタエントリを検索する。ここでは、フィルタエントリがまだ作成されていないため検索されない（１６０２）。

ＨＧＷ機器１０３は、フィルタリングルール記憶部にｄｏｗｎｓｔｒｅａｍ方向（ＷＡＮ→ＬＡＮ）のフィルタリングルールが設定されているかを判別する（１６０３）。ここでは、フィルタリングルールがあると判別される。

フィルタリングルールが設定されていると判別されると、ＤＮＳ処理部２０６は、ＷＡＮインタフェース２０１を介して、フィルタリングルールから送信元に関する情報を取得し、取得された送信元に関する情報の“Ｃｌｉｅｎｔ１．ｘｘｘ．ｃｏｍ”、“Ｃｌｉｅｎｔ４．ｘｘｘ．ｃｏｍ”及び“Ｃｌｉｅｎｔ８．ｘｘｘ．ｃｏｍ”のＩＰアドレスの送信要求ＤＮＳクエリをＤＮＳサーバ１０４に送信する（１６０４）。

ＤＮＳサーバ１０４はＤＮＳクエリに応答して、端末名“Ｃｌｉｅｎｔ１．ｘｘｘ．ｃｏｍ”、“Ｃｌｉｅｎｔ４．ｘｘｘ．ｃｏｍ”及び“Ｃｌｉｅｎｔ８．ｘｘｘ．ｃｏｍ”に対応付けられているＩＰアドレスを取得して、ＨＧＷ機器に送信する。ここでは、図９Ａに示されているように“Ｃｌｉｅｎｔ１．ｘｘｘ．ｃｏｍ”、“Ｃｌｉｅｎｔ４．ｘｘｘ．ｃｏｍ”及び“Ｃｌｉｅｎｔ８．ｘｘｘ．ｃｏｍ”に対応するＩＰアドレスとして“１０．１００．０．１００”、“１０．１００．０．４００”及び“１０．１００．０．８００”が取得され、送信される（１６０５）。

ＤＮＳ処理部２０６がＩＰアドレスを取得できた場合、取得したＩＰアドレスがフィルタ管理部１３０４に出力される。フィルタ管理部１３０４は出力されたＩＰアドレス“１０．１００．０．１００”、“１０．１００．０．４００”又は“１０．１００．０．８００”が受信パケットの送信元ＩＰアドレス“１０．１００．０．１００”と一致するか判定する（１６０６）。ここでは、送信元ＩＰアドレスに“１０．１００．０．１００”が記されているため、図２０に示す例ではエントリ番号１のフィルタリングルールとエントリ番号４のフィルタリングルールとが該当することがわかる。エントリ番号１のフィルタリングルールの優先度には“１”が設定されている。エントリ番号４のフィルタリングルールの優先度には“４”が設定されている。従って、エントリ番号１のフィルタリングルールの方がエントリ番号４のフィルタリングルールよりも優先度が高いと判定され、エントリ番号１のフィルタリングルールのＳＴＡＴＵＳを取得する。取得したＳＴＡＴＵＳには“許可”が設定されているため、ＨＧＷ機器１０３は、受信パケットを通過させると判別する（１６０７）。受信パケットを通過させると判別されると、ＨＧＷ機器１０３は、ＤＭＺエントリから送信元端末名を読みだす。図３に示す例では、“Ｃｌｉｅｎｔ１．ｘｘｘ．ｃｏｍ”、“Ｃｌｉｅｎｔ４．ｘｘｘ．ｃｏｍ”及び“Ｃｌｉｅｎｔ８．ｘｘｘ．ｃｏｍ”を読みだす（１６０８）。

ＤＮＳ処理部２０６は、１６０５で取得したＩＰアドレスのうち、“Ｃｌｉｅｎｔ１．ｘｘｘ．ｃｏｍ”、“Ｃｌｉｅｎｔ４．ｘｘｘ．ｃｏｍ”及び“Ｃｌｉｅｎｔ８．ｘｘｘ．ｃｏｍ”のＩＰアドレスをフィルタ管理部１３０４に出力する。ここでは、“Ｃｌｉｅｎｔ１．ｘｘｘ．ｃｏｍ”、“Ｃｌｉｅｎｔ４．ｘｘｘ．ｃｏｍ”及び“Ｃｌｉｅｎｔ８．ｘｘｘ．ｃｏｍ”に対応するＩＰアドレスとして“１０．１００．０．１００”、“１０．１００．０．４００”及び“１０．１００．０．８００”が出力される（１６０９）。

フィルタ管理部１３０４はＤＮＳ処理部２０６から受け取ったＩＰアドレス“１０．１００．０．１００”、“１０．１００．０．４００”又は“１０．１００．０．８００”と、受信パケットの送信元ＩＰアドレス“１０．１００．０．１００”とが一致するか判定する（１６１０）。ここでは、送信元ＩＰアドレスに“１０．１００．０．１００”が記されているため、図３に示す例では一番上のＤＭＺエントリが該当することがわかる。該当するＤＭＺエントリの公開サーバのＩＰアドレスに“１９２．１６８．０．２”が設定されているため、フィルタ管理部１３０４は、受信パケットをサーバ１に送信すると判断する。フィルタ管理部１３０４は、この公開サーバのＩＰアドレスを転送条件として定義付けたフィルタエントリを作成する（１６１１）。この時、公開サーバのＩＰアドレスには“１９２．１６８．０．２”が登録される。送信元ＩＰアドレスには、“１０．１００．０．１００”が登録される。プロトコルには“ＴＣＰ”が登録される。送信元ポート番号には“８０”が登録される。宛先ポート番号には“８０”が登録される。フィルタタイマには予め定められた値が登録される。この状態を示したものが図１４の２テーブル目になる。

フィルタテーブル１３０７にフィルタエントリが作成されると、端末１０５から送信されたパケットは、フィルタテーブル１３０７のフィルタエントリに従ったルーティング処理が行われ、ＨＧＷ機器１０３のＬＡＮ内の、ＩＰアドレスに“１９２．１６８．０．２”が付されているサーバ１０１に転送される（１６１２）。

本実施例では、図１７の１６０７の判定において一致すると判定されたフィルタリングルールが複数存在する場合に、優先度の高いフィルタリングルールを適用する場合について説明したが、これに限らない。図１７の１６０３において、優先度の高い順にフィルタリングルールを取得し、図１７の１６０４〜図１７の１６０６まで処理を行い、図１７の１６０６で、ＤＮＳ処理部２０６から出力されたＩＰアドレスが受信パケットの送信元ＩＰアドレスと一致しないと判定された場合に、次に優先度の高いフィルタリングルールを取得し、図１７の１６０４〜図１７の１６０６まで処理を行うようにしても良い。受信パケットの情報に一致するフィルタリングルールが見つかるまで、又は、フィルタリングルール全てとの判定が終了するまで、優先度の高い順に上記処理を繰り返す。

（実施例５）
続いて、本願発明の実施例５について、図１、図１４、図１８図９Ｂ、図２２及び図２３を用いて説明する。本実施例は、上記第２の実施の形態に対応する実施例である。尚、以下の説明では、端末１０６は、ＨＧＷ機器１０３に接続し、サーバ１０１にアクセスするための設定処理を既に行い、フィルタリングルール記憶部１３０５には図２１に示される条件が設定されているものとする。ＤＮＳサーバ１０４には図９Ｂに示されるデータが記憶されているものとする。また、フィルタテーブル１３０７はまだ設定されていないものとする。

まず、ＷＡＮに設置されている端末１０６から、宛先ＩＰアドレスに“１７２．１６．３１．２”が、送信元端末ＩＰアドレスに“１０．１００．０．２００”がヘッダ情報に挿入されたパケットが送信される（１７０１）。

ＨＧＷ機器１０３は、端末１０６からのパケットを受信すると、ＨＧＷ機器１０３は、この受信パケットの送信元ＩＰアドレスと宛先ＩＰアドレスとが対応付けられたフィルタエントリを検索する。ここでは、フィルタエントリがまだ作成されていないため検索されない（１７０２）。

ＨＧＷ機器１０３は、フィルタリングルール記憶部にｄｏｗｎｓｔｒｅａｍ方向（ＷＡＮ→ＬＡＮ）のフィルタリングルールが設定されているかを判別する（１７０３）。ここでは、フィルタリングルールがあると判別される。

フィルタリングルールが設定されていると判別されると、ＤＮＳ処理部２０６は、ＷＡＮインタフェース２０１を介して、フィルタリングルールから送信元に関する情報を取得し、取得された送信元に関する情報の“Ｃｌｉｅｎｔ１．ｘｘｘ．ｃｏｍ”、“Ｃｌｉｅｎｔ４．ｘｘｘ．ｃｏｍ”及び“Ｃｌｉｅｎｔ８．ｘｘｘ．ｃｏｍ”のＩＰアドレスの送信要求ＤＮＳクエリをＤＮＳサーバ１０４に送信する（１７０４）。

ＤＮＳサーバ１０４はＤＮＳクエリに応答して、端末名“Ｃｌｉｅｎｔ１．ｘｘｘ．ｃｏｍ”、“Ｃｌｉｅｎｔ４．ｘｘｘ．ｃｏｍ”及び“Ｃｌｉｅｎｔ８．ｘｘｘ．ｃｏｍ”に対応付けられているＩＰアドレスを取得して、ＨＧＷ機器に送信する。ここでは、図９Ｂに示されているように“Ｃｌｉｅｎｔ１．ｘｘｘ．ｃｏｍ”、“Ｃｌｉｅｎｔ４．ｘｘｘ．ｃｏｍ”及び“Ｃｌｉｅｎｔ８．ｘｘｘ．ｃｏｍ”に対応付けられているＩＰアドレスが存在しないため、ＤＮＳサーバ１０４は、端末名に対応付けられているＩＰアドレスが取得できない旨、ＨＧＷ機器１０３に送信する（１７０５）。

ＤＮＳ処理部２０６はＩＰアドレスを取得できなかったため、ＨＧＷ機器１０３は、受信パケットを破棄する。

（実施例６）
続いて、本願発明の実施例６について、図１、図１４、図１９、図９Ａ、図２２及び図２３を用いて説明する。本実施例は、上記第２の実施の形態に対応する実施例である。尚、以下の説明では、フィルタリングルール記憶部１３０５には図２１に示される条件が設定されているものとする。ＤＮＳサーバ１０４には図９Ａに示されるデータが記憶されているものとする。また、フィルタテーブル１３０７はまだ設定されていないものとする。

まず、ＷＡＮに設置されている端末１０７から、宛先ＩＰアドレスに“１７２．１６．３１．２”が、送信元端末ＩＰアドレスに“１０．１００．０．３００”がヘッダ情報に挿入されたパケットが送信される（１８０１）。

ＨＧＷ機器１０３は、端末１０７からのパケットを受信すると、ＨＧＷ機器１０３は、この受信パケットの送信元ＩＰアドレスと宛先ＩＰアドレスとが対応付けられたフィルタエントリを検索する。ここでは、フィルタエントリがまだ作成されていないため検索されない（１８０２）。

ＨＧＷ機器１０３は、フィルタリングルール記憶部にｄｏｗｎｓｔｒｅａｍ方向（ＷＡＮ→ＬＡＮ）のフィルタリングルールが設定されているかを判別する（１８０３）。ここでは、フィルタリングルールがあると判別される。

フィルタリングルールが設定されていると判別されると、ＤＮＳ処理部２０６は、ＷＡＮインタフェース２０１を介して、フィルタリングルールから送信元に関する情報を取得し、取得された送信元に関する情報の“Ｃｌｉｅｎｔ１．ｘｘｘ．ｃｏｍ”、“Ｃｌｉｅｎｔ４．ｘｘｘ．ｃｏｍ”及び“Ｃｌｉｅｎｔ８．ｘｘｘ．ｃｏｍ”のＩＰアドレスの送信要求ＤＮＳクエリをＤＮＳサーバ１０４に送信する（１８０４）。

ＤＮＳサーバ１０４はＤＮＳクエリに応答して、端末名“Ｃｌｉｅｎｔ１．ｘｘｘ．ｃｏｍ”、“Ｃｌｉｅｎｔ４．ｘｘｘ．ｃｏｍ”及び“Ｃｌｉｅｎｔ８．ｘｘｘ．ｃｏｍ”に対応付けられているＩＰアドレスを取得して、ＨＧＷ機器に送信する。ここでは、図９Ａに示されているように“Ｃｌｉｅｎｔ１．ｘｘｘ．ｃｏｍ”、“Ｃｌｉｅｎｔ４．ｘｘｘ．ｃｏｍ”及び“Ｃｌｉｅｎｔ８．ｘｘｘ．ｃｏｍ”に対応するＩＰアドレスとして“１０．１００．０．１００”、“１０．１００．０．４００”及び“１０．１００．０．８００”が取得され、送信される（１８０５）。

ＤＮＳ処理部２０６がＩＰアドレスを取得できた場合、取得したＩＰアドレスがフィルタ管理部１３０４に出力される。フィルタ管理部１３０４は出力されたＩＰアドレス“１０．１００．０．１００”、“１０．１００．０．４００”又は“１０．１００．０．８００”が受信パケットの送信元ＩＰアドレス“１０．１００．０．３００”と一致するか判定する。ここでは、送信元ＩＰアドレスに“１０．１００．０．３００”が記されているため、一致しないと判別される。

一致しないと判別されると、ＨＧＷ機器１０３は受信パケットを破棄する（１８０６）。

尚、上述した本発明の端末は、上記説明からも明らかなように、ハードウェアで構成することも可能であるが、コンピュータプログラムにより実現することも可能である。このような構成の場合、プログラムメモリに格納されているプログラムで動作するプロセッサによって、上述した実施の形態と同様の機能、動作を実現させる。尚、上述した実施の形態の一部の機能をコンピュータプログラムにより実現することも可能である。

上述のように、本発明によれば、任意の端末以外の端末が装置にアクセスすることを拒絶することができる。

１０１ サーバ
１０３ ＨＧＷ機器
１０４ ＤＮＳサーバ
１０５，１０６，１０７ 端末
２０１ ＷＡＮインタフェース
２０２ ＬＡＮインタフェース
２０３ ＮＡＴ処理部
２０４ ＮＡＴ管理部
２０５ アクセス条件記憶部
２０６ ＤＮＳ処理部
２０７ ＮＡＴテーブル
３０１，４０１ 公開サーバのＩＰアドレス
３０２，４０２ 送信元端末名
４０３ パケット種別
５０１ プロトコル
５０２ ＬＡＮのＩＰアドレス
５０３ ＬＡＮのポート番号
５０４ ＧａｔｅｗａｙのＩＰアドレス
５０５ Ｇａｔｅｗａｙのポート番号
５０６ ＷＡＮのＩＰアドレス
５０７ ＷＡＮのポート番号
５０８，１５０２ Ｓｔａｔｕｓ
５０９ ＮＡＴ ｓｅｓｓｉｏｎタイマ
１３０３ ルーティング処理部
１３０４ フィルタ管理部
１３０５ フィルタエントリ記憶部
１４０１ エントリ番号
１４０３ 端末情報の端末名
１４０４ 端末情報のＩＰアドレス
１４０５ フィルタタイマ
１９０２ エントリ番号
１９０２ 優先度
１９０３ ＳＴＡＴＵＳ
１９０４ 方向
１９０５ 公開サーバのＩＰアドレス
１９０６ 送信元端末に関する情報
１９０７ プロトコル
１９０８ 送信元ポート
１９０９ 宛先ポート

Claims (13)

1. 端末の端末名と前記端末に割り当てられているＩＰアドレスとが対応付けられて記憶されているドメインデータ記憶部と、
   ユーザにより指定された、サーバにアクセスできる各端末の端末名が記憶されている条件記憶部と、
   パケットを受信した際に、前記条件記憶部に記憶されている各端末名に対応付けられているＩＰアドレスを、前記ドメインデータ記憶部から取得する取得部と、
   受信したパケットが破棄対象パケットとして記憶されているか検索し、記憶されている場合には当該受信パケットを破棄し、記憶されていない場合には前記取得した各端末のＩＰアドレスのいずれかと、前記受信パケットに記されている送信元のＩＰアドレスが一致するかを判定し、一致する場合には前記受信パケットをサーバに転送する処理を行い、一致しない場合には当該パケットのヘッダ情報を破棄対象パケットの情報として記憶して前記受信パケットを破棄する判定部と
   を有することを特徴とする通信システム。
2. 前記条件記憶部は、パケットの条件として、パケットの送信先となる公開サーバのＩＰアドレスと前記端末名とが対応付けられて記憶されており、
   前記判定部は、受信パケットに記されている送信元ＩＰアドレスと前記取得した端末のＩＰアドレスとが一致する場合、前記条件記憶部において前記一致したＩＰアドレスに対応する端末名に対応付けられている公開サーバのＩＰアドレスを、前記受信パケットの転送先に設定する
   ことを特徴とする請求項１に記載の通信システム。
3. 前記条件記憶部には、パケットの条件として複数の公開サーバのＩＰアドレスが記憶されていることを特徴とする請求項１または請求項２に記載の転送システム。
4. 前記取得部は、前記条件記憶部に記憶されている端末名に割り付けられているＩＰアドレスを取得できた場合に、前記条件記憶部に記憶されている端末名と前記端末名に割りつけられているＩＰアドレスとの組をキャッシュせずに削除することを特徴とする請求項１から請求項３のいずれかに記載の通信システム。
5. ユーザにより指定された、サーバのアドレスと前記サーバへのアクセスが許可される各端末の端末名とが対応付けられたアクセス条件情報が記憶されている条件記憶部と、
   端末からパケットを受信した際、受信したパケットが破棄対象パケットとして記憶されているか検索し、記憶されている場合には当該受信パケットを破棄し、記憶されていない場合には前記条件記憶部に記憶されている各アクセス条件情報について各端末名に対応するアドレスをドメインネームサーバから取得し、前記取得したアドレスのいずれかが前記端末から受信したパケットに含まれる送信元アドレスと一致するかを判定する判定部と、
   前記取得したアドレスのいずれかと前記パケットに含まれる送信元アドレスが一致すると判定された場合、前記取得したアドレスに対応付けられているサーバのアドレスを前記アクセス条件情報から取得し、当該サーバのアドレス宛てに前記パケットを転送し、前記取得したアドレスと前記パケットに含まれる送信元アドレスが一致しないと判定された場合、当該パケットのヘッダ情報を破棄対象パケットの情報として記憶して前記パケットを破棄する転送処理部と、
   を備えることを特徴とする通信装置。
6. 前記条件記憶部には、パケットの条件として複数の公開サーバのＩＰアドレスが記憶されていること
   を特徴とする請求項５に記載の通信装置。
7. 前記取得部は、前記条件記憶部に記憶されている端末名に割り付けられているＩＰアドレスを取得できた場合に、前記条件記憶部に記憶されている端末名と前記端末名に割りつけられているＩＰアドレスとの組をキャッシュせずに削除する
   ことを特徴とする請求項５又は請求項６に記載の通信装置。
8. パケットを受信した際に、転送するパケットの条件としてユーザにより指定されて記憶部に記憶されている、サーバにアクセスできる各端末の端末名に対応するＩＰアドレスを、端末名とＩＰアドレスとが対応付けて記憶されているドメインデータ記憶部から取得する取得ステップと、
   受信したパケットが破棄対象パケットとして記憶されているか検索し、記憶されている場合には当該受信パケットを破棄し、記憶されていない場合には前記取得した各端末のＩＰアドレスのいずれかと、前記受信パケットに記されている送信元のＩＰアドレスが一致するかを判定し、一致する場合には前記受信パケットをサーバに転送する処理を行い、一致しない場合には当該パケットのヘッダ情報を破棄対象パケットの情報として記憶して前記受信パケットを破棄する判定ステップとを有することを特徴とする通信方法。
9. 前記条件として、パケットの送信先となる公開サーバのＩＰアドレスと前記端末名とが対応付けられて記憶されている場合、前記判定ステップは、受信パケットに記されている送信元ＩＰアドレスと前記取得した各端末のＩＰアドレスのいずれかとが一致する場合、前記条件として前記一致したＩＰアドレスに対応する端末名に対応付けられている公開サーバのＩＰアドレスを、前記受信パケットの転送先に設定する
   ことを特徴とする請求項８に記載の通信方法。
10. 前記条件は、パケットの条件として複数の公開サーバのＩＰアドレスが記憶されていることを特徴とする請求項８又は請求項９に記載の通信方法。
11. 前記取得ステップにおいて、前記端末名に対応付けられているＩＰアドレスが取得できた場合に、前記端末名と前記端末名に割りつけられているＩＰアドレスとの組をキャッシュせずに削除することを特徴とする請求項８から請求項１０のいずれかに記載の通信方法。
12. 通信装置のプログラムであって、前記プログラムは、前記通信装置に、
    パケットを受信した際に、転送するパケットの条件としてユーザにより指定されて記憶部に記憶されている、サーバにアクセスできる各端末の端末名に対応するＩＰアドレスを、端末名とＩＰアドレスとが対応付けて記憶されているドメインデータ記憶部から取得する取得処理、
    受信したパケットが破棄対象パケットとして記憶されているか検索し、記憶されている場合には当該受信パケットを破棄し、記憶されていない場合には前記取得した各端末のＩＰアドレスのいずれかと、前記受信パケットに記されている送信元のＩＰアドレスが一致するかを判定し、一致する場合には前記受信パケットをサーバに転送する処理を行い、一致しない場合には当該パケットのヘッダ情報を破棄対象パケットの情報として記憶して前記受信パケットを破棄する判定処理を実行させることを特徴とするプログラム。
13. 端末の端末名と前記端末に割り当てられているＩＰアドレスとが対応付けられて記憶されているドメインデータ記憶部と、
    情報処理装置が受信又は拒絶するパケットの条件として、少なくともユーザにより指定された、パケットの送信元である端末の端末名が一又は複数記憶されている条件記憶部と、
    前記条件記憶部に記憶されている各端末名に割り付けられているＩＰアドレスを、前記ドメインデータ記憶部から取得する取得部と、
    受信したパケットが破棄対象パケットとして記憶されているか検索し、記憶されている場合には当該受信パケットを破棄し、記憶されていない場合には受信パケットに記されている送信元ＩＰアドレスと、前記取得したＩＰアドレスのいずれかとが一致するか否かを判定し、判定結果に基づいて、情報処理装置がパケットを受信又は拒絶するかを判定する判定部と
    を有し、
    前記判定部は、パケットを拒絶すると判定した場合、当該パケットのヘッダ情報を破棄対象パケットの情報として記憶する
    ことを特徴とする通信システム。

Images