JP5587085B2 - 通信システム、制御装置及び制御プログラム - Google Patents

Description

本発明は、処理負荷の低い通信システム、制御装置及び制御プログラムに関する。

パケットフィルタリング装置は、主な機能として、ＩＰヘッダに含まれる「送信元アドレス」、「送信先アドレス」、「プロトコル番号」、ＴＣＰ／ＵＤＰヘッダに含まれる「送信元ポート番号」、「送信先ポート番号」等を用いて、パケットの通過の可否の判断を行い、パケット転送及び遮断処理を行う。

ＩＰｖ６には、ＩＰｓｅｃが標準で実装されているため、ＩＰｖ６ネットワークが普及するに当たり、端末単位で暗号通信が行われることが多くなる。ＩＰｓｅｃを用いて暗号化する場合、ＩＰパケットペイロード部分が暗号化されるため、従来のパケットフィルタリング装置では対応できない。そこで暗号通信を復号してフィルタリングをする方式（特許文献１）や、ネゴシエーションを平文で交換して、その情報を元にフィルタリングする方式（特許文献２）が提案されている。

特開２００６−３３７０７号公報 特開２００５−１７５８２５号公報

しかしながら、フィルタリング装置で復号する場合は、処理負荷の増加につながる。ネゴシエーション情報を事前にやりとりする方式については、暗号通信セッション毎にネゴシエーション処理を追加するため、処理負荷が増加する。

本発明は、フィルタリングする情報が暗号化されていても低い処理負荷でフィルタリングを実行できる通信システム、制御装置及び制御プログラムを提供することを目的とする。

上記目的を達成するために、本発明の第１の態様は、内部ネットワークに接続される端末が、通信を制御する制御装置を介して、外部ネットワークと通信する通信システムであって、制御装置は、端末のアドレス及び前記端末のアドレスと異なるＩＤの組を登録するアドレス登録部と、端末の通信の可否の条件を定めたフィルタリングルールを記憶する記憶部と、端末から送信されたパケットのアドレス格納領域に登録されたＩＤを含む場合、当該アドレス格納領域に格納された情報と、フィルタリングルールとを比較した結果に基づいて、パケットの通信の可否を判定し、パケットの通信を制御するフィルタ部とを備える通信システムであることを要旨とする。

又、本発明の第１の態様に係る通信システムにおいては、制御装置は、フィルタ部が、登録されたＩＤを含むアドレス格納領域を有するパケットの通信を許可と判定する場合、当該アドレス格納領域に格納される情報を、アドレス格納領域に含まれる当該ＩＤと組であるアドレスに変換する。

又、本発明の第１の態様に係る通信システムにおいては、フィルタリングルールは、端末の通信の可否の条件として、パケットが有する送信先アドレスを有し、フィルタ部は、端末から送信される情報が有する送信先アドレスと、フィルタリングルールが有する送信先アドレスとを比較した結果に基づいて、パケットの通信の可否を判定し、パケットの通信を制御する。

又、本発明の第１の態様に係る通信システムにおいては、外部ネットワークに接続される外部端末を更に備え、フィルタリングルールは、端末の通信の可否の条件として、外部端末から送信されるパケットが有する送信元アドレスを有し、フィルタ部は、外部端末から送信されるパケットが有する送信元アドレスと、フィルタリングルールが有する送信元アドレスとを比較した結果に基づいて、外部端末から送信されるパケットの通信の可否を判定し、外部端末から送信されるパケットの通信を制御する。

又、本発明の第１の態様に係る通信システムにおいては、フィルタリングルールは、端末の通信の可否の条件として、外部端末から送信されるパケットが有するドメイン名を有し、フィルタ部は、外部端末から送信されるパケットが有するドメイン名と、フィルタリングルールが有するドメイン名とを比較した結果に基づいて、外部端末から送信されるパケットの通信の可否を判定し、外部端末から送信されるパケットの通信を制御する。

本発明の第２の態様は、内部ネットワークに接続される端末が、外部ネットワークと通信する通信システムにおいて通信を制御する制御装置あって、前記端末のアドレス及び前記端末のアドレスと異なるＩＤの組を登録するアドレス登録部と、前記端末の通信の可否の条件を定めたフィルタリングルールを記憶する記憶部と、前記端末から送信されたパケットのアドレス格納領域に前記登録されたＩＤを含む場合、当該アドレス格納領域に格納された情報と、前記フィルタリングルールとを比較した結果に基づいて、前記パケットの通信の可否を判定し、前記パケットの通信を制御するフィルタ部とを備える制御装置であることを要旨とする。

本発明の第３の態様は、内部ネットワークに接続される端末が、外部ネットワークと通信する通信システムにおいて通信を制御するで制御プログラムあって、前記端末のアドレス及び前記端末のアドレスと異なるＩＤの組を登録するステップと、前記端末の通信の可否の条件を定めたフィルタリングルールを記憶するステップと、前記端末から送信されたパケットのアドレス格納領域に前記登録されたＩＤを含む場合、当該アドレス格納領域に格納された情報と、前記フィルタリングルールとを比較した結果に基づいて、前記パケットの通信の可否を判定し、前記パケットの通信を制御するステップとを含む処理を実行させる制御プログラムであることを要旨とする。

本発明によれば、パケットのアドレス格納領域に格納された情報を読み出してフィルタリングを行うので、フィルタリングする情報が暗号化されていても低い処理負荷でフィルタリングを実行できる通信システム、制御装置及び制御プログラムを提供することができる。

本発明の第１の実施の形態に係る通信システムの基本的な構成を説明する模式的なブロック図である。 本発明の第１の実施の形態に係る通信システムが備えるフィルタリング装置の基本的な論理構成を説明する模式的なブロック図である。 本発明の第１の実施の形態に係る通信システムが備えるクライアント端末の基本的な論理構成を説明する模式的なブロック図である。 本発明の第１の実施の形態に係る通信システムに用いるフィルタリングルールの一例である。 本発明の第１の実施の形態に係る通信システムに用いるアドレス情報の一例である。 本発明の第１の実施の形態に係る通信システムに用いるフィルタリング情報情報の一例である。 本発明の第１の実施の形態に係る通信システムに用いるフィルタリングルールの一例である。 本発明の第１の実施の形態に係る通信システムに用いるフィルタリング情報情報の一例である。 本発明の第１の実施の形態に係る通信システムに用いるフィルタリング情報情報の一例である。 本発明の第１の実施の形態に係る通信システムの通信制御方法の一例を説明するシーケンス図である。 本発明の第１の実施の形態に係る通信システムが備えるクライアント端末の動作を説明するフローチャートである。 本発明の第１の実施の形態に係る通信システムが備えるフィルタリング装置の動作を説明するフローチャートである。 本発明の第２の実施の形態に係る通信システムの基本的な構成を説明する模式的なブロック図である。 本発明の第２の実施の形態に係る通信システムが備えるコントローラ装置及びフィルタリング装置の基本的な論理構成を説明する模式的なブロック図である。 本発明のその他の実施の形態に係る通信システムの基本的な構成を説明する模式的なブロック図である。 本発明のその他の実施の形態に係る通信システムの通信制御方法の一例を説明するシーケンス図である。

次に、図面を参照して、本発明の第１及び第２の実施の形態を説明する。以下の図面の記載において、同一又は類似の部分には同一又は類似の符号を付している。但し、以下に示す実施の形態は、本発明の技術的思想を具体化するための装置や方法、及びこれらの装置を用いたシステムを例示するものであって、本発明の技術的思想は、下記の実施の形態に例示した装置や方法、及びこれらの装置を用いたシステムに特定するものでない。本発明の技術的思想は、特許請求の範囲に記載された技術的範囲内において、種々の変更を加えることができる。

（第１の実施の形態）
本発明の第１の実施の形態に係る通信システムは、図１に示すように、ローカルネットワーク５に接続されたクライアント端末１と、外部ネットワーク９に接続されたサーバ端末４と、クライアント端末１とサーバ端末４との間の通信を制御するフィルタリング装置２とを備える。

フィルタリング装置２は、内部ネットワークであるローカルネットワーク５と、外部ネットワーク９との間に位置し、相互間の通信を制御し、中継する通信制御装置である。クライアント端末１は、外部ネットワーク９と通信可能に接続される通信端末であり、フィルタリング装置２を介して、外部ネットワーク９に接続された通信端末であるサーバ端末４と通信する。

フィルタリング装置２は、図２に示すように、フィルタ作成部３１と、ハッシュ計算部３２と、アドレス登録部３３と、記憶部２１と、フィルタ部２２と、ＩＰ入力部２３と、パケット変換部２４と、転送処理部２５と、ＩＰ出力部２６と、データリンク出力部３５と、データリンク入力部３６と、ＩＦ出力部３７と、ＩＦ入力部３８とを備える。

フィルタリング装置２が、通信データであるパケットを受信すると、パケットは、物理層に相当するＩＦ入力部３８、データリンク層の処理をするデータリンク入力部３６を順に通過して、ＩＰ層の処理をするＩＰ入力部２３に入力される。ＩＰ入力部２３に入力されたパケットは、フィルタ部２２、アドレス登録部３３にそれぞれ出力される。

アドレス登録部３３は、クライアント端末１から送信される登録要求としてのパケットに応じて、パケットからクライアント端末１のＩＰｖ６アドレス毎にＩＤを生成する。ＩＤアドレス毎に識別可能な識別子であれば良く、乱数生成等により、パケットに含まれるアドレス等から生成すればよい。アドレス登録部３３は、生成したＩＤと、クライアント端末毎のＩＰｖ６アドレス（送信元アドレス）とをそれぞれ関連付けてアドレス情報として登録する。

アドレス登録部３３は、外部ネットワーク９に接続される通信端末であるサーバ端末４のアドレス及びＩＤも、生成、登録可能であり、アドレス情報は、例えば図５に示すように、通信端末の送信元アドレスと、生成したＩＤとの組を複数有する。

フィルタ作成部３１は、図示を省略した入力装置、媒体読み取り装置等からの入力等により、パケットのフィルタリングを行うためのフィルタリングルールを作成する。フィルタリングルールは、図４に示すように、例えば、「送信元アドレス」、「送信先アドレス」、「プロトコル」、「送信元ポート」、「送信先ポート」の他、「ドメイン名」等の項目からなり、それぞれのルール毎に、パケットの通過の許可又は不許可を設定する。「Ｎｏ」の項目の番号はルールの優先度を示し、番号の大きなルールが優先して適用される。ルールの優先度はフィルタ作成部３１において任意に定めることができる。それぞれのフィルタリングルールの項目は、項目毎に任意に設定可能である。

フィルタ作成部３１は、図６に示すように、ＩＰｖ６ヘッダのアドレス格納領域である送信元アドレスのインターフェースＩＤフィールドに格納されるフィルタリング情報を生成し、図７に示すように、フィルタリング情報に基づいたフィルタリングルールを作成する。フィルタリング情報のサイズは、ＩＰｖ６ヘッダのプレフィックスをｎビットとすると、１２８−ｎビットとなる。フィルタリング情報は、例えば、クライアント端末１から送信されたＩＰｖ６パケットのペイロードデータに含まれるのＩＰｖ４ヘッダのプロトコル番号、送信元ポート番号、送信先ポート番号の他、アドレス登録部３３が生成したＩＤを含む。

フィルタリング情報を含むパケットに対するフィルタリングルールを作成する場合、ｎ＝６４ビットのとき、例えば、図７に示すように、ＩＰｖ６ヘッダの送信元アドレスとして「２００１：ｄｂ８：１：：１１１１：１１０６：ｆｆｆｆ：００５０」となっている。このうち、左から、「２００１：ｄｂ８：１：：」がプレフィックス、「１１１１１１」がＩＤ（２４ビット＝８８−ｎビット）、「０６」がプロトコル番号（１バイト＝８ビット）、「ｆｆｆｆ」が送信元ポート番号（２バイト＝１６ビット）、「００５０」が送信先ポート番号（２バイト＝１６ビット）に対応する。

フィルタリング情報は、他に、クライアント端末１の送信先アドレス、ドメイン名等を含むことができる。図８に示すように、送信先アドレスをフィルタリング情報に含める場合、例えば、ハッシュ計算部３２において、ハッシュ関数を用いて送信先アドレスを５バイトのハッシュ値にハッシュ化する。フィルタリング情報の内、ＩＤを除いた５バイトの情報と、送信先アドレスをハッシュ化したハッシュ値との排他的論理和を求め、更にＩＤを加えた情報をフィルタリング情報とすることができる。図９に示すように、ドメイン名をフィルタリング情報に含める場合、例えば、ハッシュ計算部３２において、ハッシュ関数を用いてドメイン名を５バイトのハッシュ値にハッシュ化する。フィルタリング情報の内、ＩＤを除いた５バイトの情報と、ドメイン名をハッシュ化したハッシュ値との排他的論理和を求め、更にＩＤを加えた情報をフィルタリング情報とすることができる。

記憶部２１は、アドレス登録部３３において作成されたアドレス情報、フィルタ作成部３１において作成されたフィルタリングルールの他、外部から受信したパケット等を格納する。

フィルタ部２２は、ＩＰ入力部２３からパケットを受信すると、記憶部２１からフィルタリングルールを読み出し、パケットのアドレス格納領域に格納された情報と、フィルタリングルールとを比較した結果に基づいて、受信したパケットの通過の許可、不許可を判定する。フィルタ部２２において、受信したパケットが不許可と判定された場合、受信したパケットを破棄する。フィルタ部２２において、受信したパケットが許可と判定された場合、受信したパケットをパケット変換部２４に送信する。

また、フィルタ部２２は、フィルタリングルールとして、パケットの「送信先アドレス」が設定されている場合、クライアント端末１から送信されるパケットが有する送信先アドレスと、フィルタリングルールを比較した結果に基づいてパケットの通過の可否を判定することができる。

一方、フィルタリングルールとして、パケットに含まれる「ドメイン名」が設定されている場合、フィルタ部２２は、クライアント端末１から送信されるパケットが有するドメイン名と、フィルタリングルールを比較した結果に基づいてパケットの通過の可否を判定することができる。

パケット変換部２４は、受信したパケットがフィルタリング情報を含む場合、パケットのフィルタリング情報に含まれるＩＤを読み出し、記憶部２１から読み出したアドレス情報を参照し、当該ＩＤと組になっている送信元アドレスに変換する。

パケット変換部２４から送信されたパケットは、転送の処理をする転送処理部２５、ＩＰ層の処理をするＩＰ出力部２６、データリンク層の処理をするデータリンク出力部３５、物理層に相当するＩＦ出力部３７を順に介して、外部に出力される。

クライアント端末１は、図３に示すように、ＩＤ取得部１１と、ハッシュ計算部１２と、フィルタリング情報作成部１３と、記憶部１４と、パケット変換部１５と、転送処理部１６と、ＩＰ出力部１７と、ＩＰ入力部１８と、データリンク出力部１０１と、データリンク入力部１０２と、ＩＦ出力部１０３と、ＩＦ入力部１０４とを備える。

クライアント端末１が、通信データであるパケットを受信すると、パケットは、物理層に相当するＩＦ入力部１０４、データリンク層の処理をするデータリンク入力部１０２を順に通過して、ＩＰ層の処理をするＩＰ入力部１８に入力される。ＩＰ入力部１８に入力されたパケットは、ＩＤ取得部１１、記憶部１４にそれぞれ出力される。

ＩＤ取得部１１は、フィルタリング装置２がクライアント端末１から受信した登録要求に応じて、クライアント端末１に返信したＩＤをＩＰ入力部１８から取得する。ＩＤ取得部１１は、ＩＰ入力部１８からＩＤを取得すると、フィルタリング情報作成部１３、記憶部１４に転送する。

クライアント端末１から送信されるＩＰｖ６パケットは、パケット変換部１５において、送信元アドレスのインターフェースＩＤフィールドを、フィルタリング情報に変換される。

フィルタリング情報作成部１３は、フィルタ作成部３１と同様に、図６に示すように、ＩＰｖ６ヘッダの送信元アドレスのインターフェースＩＤフィールドに格納されるフィルタリング情報を作成し、記憶部１４に記憶させる。フィルタリング情報は、例えば、クライアント端末１が送信しようとするＩＰｖ６パケットのペイロードデータに含まれるＩＰｖ４ヘッダのプロトコル番号、送信元ポート番号、送信先ポート番号等の他、ＩＤ取得部１１が取得したＩＤを含む。

フィルタリング情報作成部１３が作成するフィルタリング情報についての他の説明は、フィルタリング装置２のフィルタ作成部３１が作成するフィルタリング情報についての他の説明と実質的に同様であるので重複する説明を省略する。

パケット変換部１５は、クライアント端末１が送信するパケット及びフィルタリング情報を記憶部１４から読み出し、ＩＰｖ６ヘッダのアドレス格納領域である送信元アドレスのインターフェースＩＤフィールドをフィルタリング情報に変換し、転送処理部１６に受け渡す。

パケット変換部１５から送信されたパケットは、転送の処理をする転送処理部１６、ＩＰ層の処理をするＩＰ出力部１７、データリンク層の処理をするデータリンク出力部１０１、物理層に相当するＩＦ出力部１０３を順に介して、外部に出力される。

＜通信制御方法＞
図１０に示すシーケンス図を用いて、本発明の第１の実施の形態に係る通信システムの動作の一例を説明する。

（イ）先ず、ステップＳ１１において、クライアント端末１は登録要求としてパケットをフィルタリング装置２に送信する。フィルタリング装置２は、クライアント端末１からパケットを受信すると、ステップＳ１２において、クライアント端末１のＩＰｖ６アドレスに対してＩＤを生成し、クライアント端末１のＩＰｖ６アドレスとＩＤとの組をアドレス情報として登録する。フィルタリング装置２は、ステップＳ１３において、クライアント端末１のＩＰｖ６アドレスと組のＩＤを、クライアント端末１に送信する。

（ロ）ステップＳ１４において、クライアント端末１は、ＩＰｖ６パケットの送信元アドレスのインターフェースＩＤフィールドをフィルタリング情報に変換し、サーバ端末４宛てに送信する。

（ハ）ステップＳ１５において、フィルタリング装置２は、クライアント端末１から送信されたフィルタリング情報を含むパケットを受信すると、フィルタリング情報に含まれるＩＤを読み出し、アドレス情報を参照し、パケットに含まれるフィルタリング情報を、フィルタリング情報に含まれるＩＤと組のＩＰｖ６アドレスに変換し、ステップＳ１６において、サーバ端末４に転送する。

第１の実施の形態に係る通信システムの動作のうち、ステップＳ１１〜ステップＳ１３の動作ｉについては、初回動作であり、初回に行われた後は、省略可能である。

＜クライアント端末の動作＞
図１１に示すフローチャートを用いて、本発明の第１の実施の形態に係る通信システムが備えるクライアント端末１の動作の一例を説明する。

（イ）予め、クライアント端末１は、ルータ広告（ＲＡ）からの自動生成、若しくは手動設定により送信元アドレスを取得する。

（ロ）ステップＳ２１において、クライアント端末１のＩＤ取得部１１は、記憶部１４を参照し、既にフィルタリング装置２からＩＤを取得しているか否かを判定する。既にＩＤを取得している場合は、ステップＳ２４に進む。ＩＤを取得していない場合は、ステップＳ２２に進む。

（ハ）ステップＳ２２において、登録要求としてパケットをフィルタリング装置２に送信し、クライアント端末１のＩＰｖ６アドレスを、フィルタリング装置２のアドレス情報に登録する。ステップＳ２３において、フィルタリング装置２から送信されたＩＤを取得する。

（ニ）ステップＳ２４において、取得したＩＤを含むように送信元アドレスをフィルタリング情報に変換してサーバ端末４宛ての通信を開始する。

＜フィルタリング装置の動作＞
図１２に示すフローチャートを用いて、本発明の第１の実施の形態に係る通信システムが備えるフィルタリング装置２の動作の一例を説明する。

（イ）先ず、ステップＳ３１において、フィルタリング装置２がパケットを受信すると、アドレス登録部３３は、記憶部２１を参照し、パケットの送信元アドレスがアドレス情報に登録してあるか否かを判定する。アドレス情報に登録してある場合は、ステップＳ３４に進み、未登録の場合はステップＳ３２に進む。

（ロ）ステップＳ３２において、アドレス登録部３３は、パケットの送信元アドレスからＩＤを生成し、送信元アドレスとＩＤとを新たにアドレス情報に登録し、ステップＳ３３において、クライアント端末１に生成したＩＤを送信する。

（ハ）ステップＳ３１において、クライアント端末１のアドレスがアドレス情報に登録済みであると判定された場合は、ステップＳ３４に進み、フィルタリングルールを作成する。フィルタリングルールは、アドレス情報のＩＤ毎に作成可能である。

（ニ）ステップＳ３５において、クライアント端末１からの通信を検知すると、ステップＳ３６において、フィルタ部２２が、パケットに含まれるフィルタリング情報とフィルタリングルールとを比較し、パケットの通過の可否を判定する。パケットの通過が許可と判定された場合は、ステップＳ３７に進み、フィルタリング情報を送信元アドレスに変換し、転送処理をする。パケットの通過が不許可と判定された場合は、ステップＳ３８に進み、パケットを破棄し、終了する。

第１の実施の形態に係る通信システムによれば、ＩＰｖ６パケットのペイロードに含まれる情報をＩＰｖ６のアドレス格納領域に含むようにすることによって、ＩＰｖ６ヘッダからフィルタリングを行うため、少ない処理でフィルタリングを実行でき、暗号化通信の場合は、復号処理が不要なため、大幅に処理負荷を低減できる。また、フィルタリング装置において、外部ネットワークにパケットを送信する際にフィルタリング情報を送信元アドレスに変換するため、内部ネットワークの情報の漏洩を防止し、セキュリティ性を向上できる。

（第２の実施の形態）
本発明の第２の実施の形態に係る通信システムは、図１３に示すように、クライアント端末１とフィルタリング装置３とにそれぞれ接続されたコントローラ装置６を備える点で第１の実施の形態と異なる。

コントローラ装置６は、図１４に示すように、アドレス登録部６３と、フィルタ作成部６１と、ハッシュ計算部６２と、記憶部６５とを備え、それぞれ図２に示した第１の実施の形態に係る通信システムが備えるフィルタリング装置２の、アドレス登録部３３、フィルタ作成部３１、ハッシュ計算部３２、及び記憶部２１と実質的に同様であるので重複する説明を省略する。

フィルタリング装置３は、記憶部２１と、フィルタ部２２と、ＩＰ入力部２３と、パケット変換部２４と、転送処理部２５と、ＩＰ出力部２６と、データリンク出力部３５と、データリンク入力部３６と、ＩＦ出力部３７と、ＩＦ入力部３８とを備える。フィルタリング装置３の各部は、それぞれ図２に示した第１の実施の形態において説明したフィルタリング装置２の各部と実質的に同様であるので重複する説明を省略する。

第２の実施の形態に係る通信システムは、コントローラ装置６のアドレス登録部６３が、クライアント端末から送信されるパケットからＩＤを生成し、アドレス情報を登録し、記憶部２１に送信する。また、フィルタ作成部６１によって、フィルタリングルールが作成され、フィルタリング装置の記憶部２１に送信される。フィルタ部２２は、記憶部２１に格納されたフィルタリングルールを読み出し、フィルタリングを行い、パケット変換部２４は、記憶部２１に格納されたアドレス情報を参照し、パケットに含まれるフィルタリング情報をクライアント端末１の送信元アドレスに変換する。

第２の実施の形態において説明しない他の構成は、第１の実施の形態に係る認証システムと実質的に同様であるので、重複する説明を省略する。

第２の実施の形態に係る通信システムによれば、ＩＰｖ６パケットのペイロードに含まれる情報をＩＰｖ６のアドレス格納領域に含むようにすることによって、ＩＰｖ６ヘッダからフィルタリングを行うため、少ない処理でフィルタリングを実行でき、暗号化通信の場合は、復号処理が不要なため、大幅に処理負荷を低減できる。また、フィルタリング装置において、外部ネットワークにパケットを送信する際にフィルタリング情報を送信元アドレスに変換するため、内部ネットワークの情報の漏洩を防止し、セキュリティ性を向上できる。

（その他の実施の形態）
上記のように、本発明は第１及び第２の実施の形態によって記載したが、この開示の一部をなす論述及び図面は本発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施の形態、実施例及び運用技術が明らかとなろう。

既に述べた第１の実施の形態においては、サーバ端末４は、フィルタリング装置２と同様のフィルタリング装置７を介して外部ネットワーク９に接続されるようにしても良い。

本発明の他の実施の形態に係る通信システムは、図１５に示すように、サーバ端末４が、内部ネットワークであるローカルネットワーク８に接続され、フィルタリング装置７を介して外部ネットワーク９に接続される点で第１の実施の形態と異なる。

本発明の他の実施の形態に係る通信システムは、図１６に示すように、ステップＳ４１において、サーバ端末４は、フィルタリング装置７にパケットを送信する。次いで、ステップＳ４２において、フィルタリング装置７は、受信したパケットの送信元アドレスからＩＤを生成し、当該送信元アドレス及びＩＤの組をアドレス情報として登録する。ステップＳ４３において、フィルタリング装置７は、サーバ端末４にＩＤを送信し、ステップＳ４４において、フィルタリング装置２に当該ＩＤ及びサーバ端末４の送信元アドレスを送信する。フィルタリング装置２は受信したＩＤ、送信元アドレスを含むようにフィルタリング情報、フィルタリングルールを作成することができる。

ステップＳ４５において、サーバ端末４が、パケットの送信元アドレスをＩＤを含むフィルタリング情報に変換し、クライアント端末１宛てに送信する。ステップＳ４６において、フィルタリング装置２は、作成したフィルタリングルールに沿って、パケットの通過の可否を判定する。通過を許可する場合は、パケットに含まれるフィルタリング情報を元のサーバ端末４の送信元アドレスに変換し、ステップＳ４７において、クライアント端末１に送信する。ステップＳ１１〜Ｓ１６の動作は、第１の実施の形態と実質的に同様であるので重複する説明を省略する。

上記の他、第１及び第２の実施の形態を応用した構成等、本発明はここでは記載していない様々な実施の形態等を含むことは勿論である。したがって、本発明の技術的範囲は上記の説明から妥当な特許請求の範囲に係る発明特定事項によってのみ定められるものである。

１…クライアント端末
２，３，７…フィルタリング装置
４…サーバ端末
５，８…ローカルネットワーク
６…コントローラ装置
９…外部ネットワーク
１１…ＩＤ取得部
１２，３２，６２…ハッシュ計算部
１３…フィルタリング情報作成部
１４，２１，６５…記憶部
１５，２４…パケット変換部
１６，２５…転送処理部
１７，２６…ＩＰ出力部
１８，２３…ＩＰ入力部
２２…フィルタ部
３１，６１…フィルタ作成部
３３，６３…アドレス登録部
３５，１０１…データリンク出力部
３６，１０２…データリンク入力部
３７，１０３…ＩＦ出力部
３８，１０４…ＩＦ入力部

Claims (7)

1. 内部ネットワークに接続される端末が、通信を制御する制御装置を介して、外部ネットワークと通信する通信システムであって、
   前記制御装置は、
   前記端末のアドレス及び前記端末のアドレスと異なるＩＤの組を登録するアドレス登録部と、
   前記端末の通信の可否の条件を定めたフィルタリングルールを記憶する記憶部と、
   前記端末から送信されたパケットのアドレス格納領域に前記登録されたＩＤを含む場合、当該アドレス格納領域に格納された情報と、前記フィルタリングルールとを比較した結果に基づいて、前記パケットの通信の可否を判定し、前記パケットの通信を制御するフィルタ部
   とを備えることを特徴とする通信システム。
2. 前記制御装置は、前記フィルタ部が、前記登録されたＩＤを含むアドレス格納領域を有するパケットの通信を許可と判定する場合、当該アドレス格納領域に格納される情報を、前記アドレス格納領域に含まれる当該ＩＤと組であるアドレスに変換することを特徴とする請求項１に記載の通信システム。
3. 前記フィルタリングルールは、前記端末の通信の可否の条件として、前記パケットが有する送信先アドレスを有し、
   前記フィルタ部は、前記端末から送信される情報が有する送信先アドレスと、前記フィルタリングルールが有する送信先アドレスとを比較した結果に基づいて、前記パケットの通信の可否を判定し、前記パケットの通信を制御することを特徴とする請求項２に記載の通信システム。
4. 前記外部ネットワークに接続される外部端末を更に備え、
   前記フィルタリングルールは、前記端末の通信の可否の条件として、前記外部端末から送信されるパケットが有する送信元アドレスを有し、
   前記フィルタ部は、前記外部端末から送信されるパケットが有する送信元アドレスと、前記フィルタリングルールが有する送信元アドレスとを比較した結果に基づいて、前記外部端末から送信されるパケットの通信の可否を判定し、前記外部端末から送信されるパケットの通信を制御することを特徴とする請求項３に記載の通信システム。
5. 前記フィルタリングルールは、前記端末の通信の可否の条件として、前記外部端末から送信されるパケットが有するドメイン名を有し、
   前記フィルタ部は、前記外部端末から送信されるパケットが有するドメイン名と、前記フィルタリングルールが有するドメイン名とを比較した結果に基づいて、前記外部端末から送信されるパケットの通信の可否を判定し、前記外部端末から送信されるパケットの通信を制御することを特徴とする請求項４に記載の通信システム。
6. 内部ネットワークに接続される端末が、外部ネットワークと通信する通信システムにおいて通信を制御する制御装置あって、
   前記端末のアドレス及び前記端末のアドレスと異なるＩＤの組を登録するアドレス登録部と、
   前記端末の通信の可否の条件を定めたフィルタリングルールを記憶する記憶部と、
   前記端末から送信されたパケットのアドレス格納領域に前記登録されたＩＤを含む場合、当該アドレス格納領域に格納された情報と、前記フィルタリングルールとを比較した結果に基づいて、前記パケットの通信の可否を判定し、前記パケットの通信を制御するフィルタ部
   とを備えることを特徴とする制御装置。
7. 内部ネットワークに接続される端末が、外部ネットワークと通信する通信システムにおいて通信を制御する制御装置の制御プログラムあって、
   前記端末のアドレス及び前記端末のアドレスと異なるＩＤの組を登録するステップと、
   前記端末の通信の可否の条件を定めたフィルタリングルールを記憶するステップと、
   前記端末から送信されたパケットのアドレス格納領域に前記登録されたＩＤを含む場合、当該アドレス格納領域に格納された情報と、前記フィルタリングルールとを比較した結果に基づいて、前記パケットの通信の可否を判定し、前記パケットの通信を制御するステップ
   とを含む処理を実行させることを特徴とする制御プログラム。

Images