JP6838343B2 - 通信制御装置、通信制御プログラムおよび通信システム - Google Patents

通信制御装置、通信制御プログラムおよび通信システム Download PDF

Info

Publication number
JP6838343B2
JP6838343B2 JP2016199573A JP2016199573A JP6838343B2 JP 6838343 B2 JP6838343 B2 JP 6838343B2 JP 2016199573 A JP2016199573 A JP 2016199573A JP 2016199573 A JP2016199573 A JP 2016199573A JP 6838343 B2 JP6838343 B2 JP 6838343B2
Authority
JP
Japan
Prior art keywords
list
communication
unit
address
control
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2016199573A
Other languages
English (en)
Other versions
JP2018061217A (ja
Inventor
真也 岩下
真也 岩下
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Ricoh Co Ltd
Original Assignee
Ricoh Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Ricoh Co Ltd filed Critical Ricoh Co Ltd
Priority to JP2016199573A priority Critical patent/JP6838343B2/ja
Priority to US15/723,768 priority patent/US10721235B2/en
Publication of JP2018061217A publication Critical patent/JP2018061217A/ja
Application granted granted Critical
Publication of JP6838343B2 publication Critical patent/JP6838343B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/107—Network architectures or network communication protocols for network security for controlling access to devices or network resources wherein the security policies are location-dependent, e.g. entities privileges depend on current location or allowing specific operations only from locally connected terminals
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general

Description

本発明は、通信制御装置、通信制御プログラムおよび通信システムに関する。
近年では、企業など組織体においては、組織体内で有線および無線通信によるＬＡＮ(Local Area Network)を構築し（組織内ＬＡＮと呼ぶ）、組織体内で使用する各情報機器を、組織内ＬＡＮを介して互いに接続可能とすることが一般的に行われている。このような組織内ＬＡＮに対して組織体の外部のゲストユーザが使用するゲスト端末を接続させ、ゲスト端末から組織内ＬＡＮに接続される各情報機器を利用可能にする場合、セキュリティ上の観点から、ゲスト端末に対して、利用可能なネットワークリソースの制限や、利用ログなどによる監視を可能とすることが望ましい。
特許文献１には、ゲスト端末が通信可能とするネットワークリソースをＩＰ(Internet Protocol)アドレスにより指定して、ＳＤＮ(Software-Defined Network)の技術を用いて通信制御を行う技術が開示されている。
また、ＬＡＮにおいて端末が送受信するパケットには、マルチキャストやブロードキャストにより送受信されるパケットや、ＡＲＰ(Address Resolution Protocol)によるパケットなどのように、宛先ＩＰアドレスの指定が困難あるいは不可能なパケットが存在する。このような、宛先ＩＰアドレスのみを用いた制御ポリシーでは指定が不可能または困難なプロトコルについては、プロトコルにより制御ポリシーの指定ができることが望ましい。
一方、ネットワークの結節点に設置してネットワーク間での通信を制御するようにしたファイアウォールが既に知られている。このようなファイアウォールでは、送信元／宛先ＩＰアドレス、送信元／宛先ポート番号、送信元／宛先インタフェース、プロトコル、などの多くの要素の組み合わせでルールを指定して制御ポリシーを構成可能なものがあり、これを利用することで、ＩＰアドレスとプロトコルとの両方で制御を行うことが可能である。
ところが、このようなファイアウォールでは、設定の自由度が高いためルールが煩雑且つ膨大になり易く、制御ポリシーの設定が容易ではなく運用のコストが嵩んでしまう場合が多いという問題点があった。
本発明は、上記に鑑みてなされたものであって、ゲスト端末に組織内ＬＡＮの特定のネットワークリソースを利用可能とさせる制御を容易に設定可能とすることを目的とする。
上述した課題を解決し、目的を達成するために、本発明は、ネットワーク上の位置を示すアドレスと、該アドレスを宛先とする通信の可否を示す情報とを関連付けた第１の条件を含む第１のリストと、通信プロトコルを識別する識別情報と、通信プロトコルによる通信の可否を示す情報とを関連付けた第２の条件を含む第２のリストと、を記憶する記憶部と、第１のリストと第２のリストとを表示するための表示制御情報を出力する出力部と、表示制御情報の出力後に、第１のリストと第２のリストとを変更するための変更要求を入力する入力部と、変更要求に基づいて、第１のリスト及び第２のリストを変更処理する変更処理部と、変更要求に応じて変更された第１のリストと第２のリストとを合成することで、ネットワークに接続するための第１の接続部と端末装置に接続するための第２の接続部とを介してなされる通信を制御するための通信制御情報を生成し、生成した通信制御情報を、ネットワークを介して転送装置に転送する制御部とを備える。
本発明によれば、ゲスト端末に組織内ＬＡＮの特定のネットワークリソースを利用可能とさせる制御を容易に設定可能となるという効果を奏する。
図１は、実施形態に適用可能な、ＯｐｅｎＦｌｏｗに基づく構成の例を概略的に示すブロック図である。 図２は、実施形態に適用可能な、ＯＦＳがデータパケットを受け取った場合の処理を示すフローチャートである。 図３は、第１の実施形態に適用可能な通信システムの一例の構成を示すブロック図である。 図４は、第１の実施形態に係る通信制御装置の一例のハードウェア構成を示すブロック図である。 図５は、第１の実施形態に係る通信制御装置の機能を説明するための一例の機能ブロック図である。 図６は、第１の実施形態に適用可能な有線ＳＷの一例のハードウェア構成を示すブロック図である。 図７は、第１の実施形態に適用可能な有線ＳＷの機能を説明するための一例の機能ブロック図である。 図８は、第１の実施形態に係る各制御リストの編集およびフローエントリの登録処理を示す一例のシーケンス図である。 図９は、第１の実施形態に適用可能なメニュー画面の例を示す図である。 図１０は、第１の実施形態に係るＩＰアドレス制御リスト管理画面の例を示す図である。 図１１は、第１の実施形態に係るプロトコル制御リスト管理画面の例を示す図である。 図１２は、第１の実施形態に係るフローテーブルによる実際の通信の例を示すシーケンス図である。
以下に添付図面を参照して、通信制御装置、通信制御プログラムおよび通信システムの実施形態を詳細に説明する。
（実施形態に適用可能な技術）
実施形態の説明に先立って、理解を容易とするために、実施形態に適用可能な技術について概略的に説明する。表１は、ＯＳＩ参照モデルと、ＯＳＩ参照モデルの各層に適用される通信プロトコルおよび規格の例を対応させて示している。ＯＳＩ(Open Systems Interconnection)参照モデルは、国際標準化機構（ＩＳＯ）によって策定された、通信機能を階層構造に分割したモデルである。ＯＳＩ参照モデルは、典型的なネットワークの階層構造の例としてよく用いられる。
Figure 0006838343
ＯＳＩ参照モデルにおいては、通信機能を、より上位の階層からアプリケーション層、プレゼンテーション層、セッション層、トランスポート層、ネットワーク層、データリンク層および物理層の７階層に分割している。表１では、これらの階層に、ネットワーク通信で用いられるプロトコルや規格を対応付けて示している。
表１によれば、ＯＳＩ参照モデルの各層のうち上位の３層であるアプリケーション層、プレゼンテーション層およびセッション層に対して、例えばＨＴＴＰ(Hypertext Transfer Protocol)、ＦＴＰ(File Transfer Protocol)といったプロトコルが対応付けられる。次のトランスポート層は、例えばＴＣＰ(Transmission Control Protocol)やＵＤＰ(User Datagram Protocol)が、ネットワーク層は、例えばＩＰ(Internet Protocol)といったプロトコルが、それぞれ対応付けられる。また、最下層の２層であるデータリンク層および物理層は、例えばＩＥＥＥ(The Institute of Electrical and Electronics Engineers)８０２．３（イーサネット（登録商標））、ＩＥＥＥ８０２．１１（無線ＬＡＮ(Local Area Network)）などが対応付けられる。
実際の通信においては、用途や環境に応じて各機能を担うプロトコルおよび規格をそれぞれ選択し、通信を行う。
現在のインターネットやＬＡＮの通信においては、透過性という概念が重要である。透過性とは、各階層が独立しており、基本的に他の階層のプロトコル選択に依存しないということを指す。例えばＩＰは、その下位層がイーサネットおよび無線ＬＡＮの何れであっても同じように動作する。
そのため、例えば通信経路において、端末Ａ（例えばタブレット型コンピュータ）から無線ＬＡＮ、イーサネット、光ファイバおよびイーサネットを順次介して端末Ｂ（パーソナルコンピュータ）に通信を行う場合のように、通信の途中で異なる物理層およびデータリンク層を経由する場合でも、ＩＰより上位層のプロトコルはその違いを意識せずに動作するため、通信をスムースに行うことができる。
次に、実施形態に適用可能な技術概念として、ＳＤＮ(Software-Defined Network)について概略的に説明する。
従来、組織体内で閉じた構成の組織内ＬＡＮなどのネットワーク環境は、各ベンダが提供するＬＡＮスイッチや無線ＬＡＮアクセスポイントの設定・運用を熟知した専任の担当者が構築するのが一般的であった。このようなネットワーク環境は、ベンダのソリューションによる認証手段や運用方法しか提供されない、所謂「ベンダロックイン」の状態であり、組織体が自在に認証手段や運用方法を設定することが困難であった。
これに対して、近年では、ユーザである組織体が独自のネットワークを構築できるようにするため、ネットワーク上のデータの動きをソフトウェアだけで制御可能とするＳＤＮと呼ばれる概念が注目されている。このＳＤＮに関連して、注目を集めている代表的な構成技術要素として「ネットワークの仮想化」と、その仮想化されたネットワーク上での通信を制御する手法（プロトコル）の一つでありベンダに依存しないオープンな仕様である「オープンフロー（ＯｐｅｎＦｌｏｗ）」とがある。
ネットワークの仮想化は、例えば、一つの物理インタフェースを複数に（若しくは複数の物理インタフェースを一つに）見せるような仮想インタフェース技術や、仮想インタフェースを接続中継する仮想スイッチ技術などに至る、複数の構成要素を含む技術の集合体である。ネットワーク仮想化は、物理ネットワーク機器と仮想ネットワーク部品、プロトコル技術の組合せによって、物理的なネットワーク構成から論理的なネットワーク構成を仮想的に分離し、物理構成に縛られない柔軟なネットワーク構成を実現する。
ＯｐｅｎＦｌｏｗ（登録商標）は、通信をエンド・ツー・エンドのフローとして捉えて、そのフロー単位で経路制御、負荷分散、最適化などを行うことができる。具体的には、ＯｐｅｎＦｌｏｗは、データ通信経路の中継機器などにおいて自律分散的に各データパケットを解析して転送するのではなく、集中制御型に変えることで実現する。
図１は、実施形態に適用可能な、ＯｐｅｎＦｌｏｗに基づく構成の例を概略的に示す。ＯｐｅｎＦｌｏｗでは、データの解析と転送先判断および決定制御とを行う「コントロール・プレーン」と、単なるパケットの物理的な伝送を担う部分である「データ・プレーン」とを分離する。ＯｐｅｎＦｌｏｗでは、コントロール・プレーンを司るＯｐｅｎＦｌｏｗ（登録商標）コントローラ１００（図１ではＯＦＣ１００と記載）が転送ルールを指示し、データ・プレーンを担うＯｐｅｎＦｌｏｗ（登録商標）スイッチ２００（図１ではＯＦＳ２００と記載）は、ＯｐｅｎＦｌｏｗコントローラ１００の指示に従ってパケットの転送を行う。より具体的には、ＯｐｅｎＦｌｏｗスイッチ２００は、ＯｐｅｎＦｌｏｗコントローラ１００が追加および書き換えを行う、ＯｐｅｎＦｌｏｗスイッチ２００が持つフローテーブル２０１に従って、パケットの転送を行う。この仕組みを用いることで、上述したネットワークの仮想化を制御するためのツールなどとしてＯｐｅｎＦｌｏｗを活用できる。
以下では、ＯｐｅｎＦｌｏｗコントローラをＯＦＣと略称し、ＯｐｅｎＦｌｏｗスイッチをＯＦＳと略称して説明を行う。
図２は、実施形態に適用可能な、ＯＦＳ２００がデータパケットを受け取った場合の処理を示すフローチャートである。
ＯＦＳ２００は、ネットワークからパケットが入力されると（ステップＳ１０）、パケットの先頭に記述されたヘッダの情報を読み込み、読み込んだヘッダ情報を解析する（ステップＳ１１）。ヘッダは、表１で示したプロトコル毎に付与されていて、ＯＦＳ２００は、トランスポート層以下のヘッダから特定の情報を抽出することができる。ＯＦＳ２００が抽出するヘッダ情報の例としては、送信元および宛先のＭＡＣ(Media Access Control)アドレス、ＩＰアドレス、ＴＣＰまたはＵＤＰのポート番号などである。なお、ＭＡＣアドレスは、データリンク層に対応付けられる。
ＯＦＳ２００は、ヘッダ情報から抽出したこれらの情報を、既に記憶している処理規則（フローエントリ）の条件と照合する。フローエントリは、「どんなパケット」であれば「どう処理する」、という形式で記述されている。例えば、フローエントリは、「宛先のＩＰアドレスが［192.168.1.2］のパケット」であれば「ＯＦＳ２００の３番ポートから送出する」、旨が記述される。フローエントリにおいて、「どんなパケット」に相当する条件の部分をマッチングルール(match)、「どう処理する」に相当する処理の部分をアクション(action)と呼ぶ。
ＯＦＳ２００が記憶しているフローエントリの集合を、フローテーブル２０１と呼ぶ。フローテーブル２０１において、各フローエントリには優先度が設定されている。ＯＦＳ２００は、フローテーブル２０１に含まれる各フローエントリの優先度を参照して、優先度が高いフローエントリから順番に条件の照合が行われる（ステップＳ１２0〜ステップＳ１２n）。図２の例では、フローテーブル２０１がｎ個のフローエントリ＃０〜＃ｎを含み、フローエントリ＃０が最も優先度が高く、フローエントリ＃ｎが最も優先度が低いものとしている。
ＯＦＳ２００は、入力されたパケットと条件が一致するフローエントリが見つかった時点で照合を中断し（ステップＳ１２0〜ステップＳ１２nの何れかが「Ｙｅｓ」）、処理をステップＳ１３に移行させて、検出されたフローエントリに応じたアクションを実行する。
一方、ＯＦＳ２００は、入力されたパケットと条件が一致するフローエントリが見つからなかった場合（ステップＳ１２0〜ステップＳ１２nの全てで「Ｎｏ」）、処理をステップＳ１４に移行させて、ＯＦＣ１００にpacket_inメッセージを送信し、処理を問い合わせる。
ＯＦＳ２００は、パケットに対して、単に伝送または破棄するだけでなく、ヘッダ情報の書き換えを行うこともできる。宛先や送信元のアドレスを書き換えることで、ＮＡＴ(Network Address Translation)やルータのような既存ネットワーク機器と同等の機能を実現することもできるし、既存のネットワーク機器では実現が難しい、複雑であったり動的な通信制御を、用途に応じて実現することもできる。
（第１の実施形態）
次に、第１の実施形態について説明する。図３は、第１の実施形態に適用可能な通信システム１の一例の構成を示す。図３の例では、通信システム１は、通信制御装置１０と、通信制御装置１０に対してネットワーク１１を介して接続される有線スイッチ（ＳＷ）２０ａおよび無線アクセスポイント（ＡＰ）２０ｂと、管理者パーソナルコンピュータ（ＰＣ）２１とを含む。なお、有線ＳＷ２０ａおよび無線ＡＰ２０ｂは、何れか一方のみを含んでもよいし、それぞれさらに多数を含んでもよい。
ネットワーク１１に対して機密ネットワーク４０が接続される。図３の例では、機密ネットワーク４０は、プリンタ５０と、機密情報サーバ５１、…とを含んでいる。機密ネットワーク４０は、例えば組織体内に構築される組織内ＬＡＮであって、組織体外からのアクセスに対して制限を与える。
通信制御装置１０は、ＯＦＣ１００と、Ｗｅｂサーバ１０１と、リスト記憶部１０２とを含む。リスト記憶部１０２は、ＩＰアドレス制御リスト１１０およびプロトコル制御リスト１１１の、記憶媒体への記憶と読み出しとを行う。また、有線ＳＷ２０ａおよび無線ＡＰ２０ｂは、それぞれＯＦＳ２００ａおよび２００ｂを含む。ＯＦＣ１００は、リスト記憶部１０２に含まれるＩＰアドレス制御リスト１１０と、プロトコル制御リスト１１１とを用いてＯＦＳ２００ａおよび２００ｂに設定するフローエントリを生成し、生成したフローエントリをＯＦＳ２００ａおよび２００ｂに登録する。
ゲストＰＣ３０は、ゲストすなわち通信システム１の外部のユーザ、例えば通信システム１にログインするための認証情報を持っていないユーザが使用する外部の端末装置である。外部の端末装置は、一般的な構成のパーソナルコンピュータを用いることができ、有線でのネットワーク接続が可能な情報処理装置であって、デスクトップ型コンピュータや、ノート型コンピュータを含む。ゲストＰＣ３０は、有線ＳＷ２０ａに有線で接続され、有線ＳＷ２０ａに含まれるＯＦＳ２００ａの制御に従い、有線ＳＷ２０ａを介してネットワーク１１と通信を行うことができる。
また、ゲストＳＤ３１も同様に、ゲストが使用する外部の端末装置である。ゲストＳＤ３１は、例えば、無線ＬＡＮを用いてネットワーク接続が可能な情報処理装置であるスマートデバイス（ＳＤ）であって、タブレット型コンピュータや、多機能型携帯電話端末（スマートフォン）を含む。無線ＬＡＮ接続が可能な例えばノート型コンピュータをスマートデバイスに含めてもよい。ゲストＳＤ３１は、無線ＡＰ２０ｂと無線ＬＡＮにより無線で接続され、無線ＡＰ２０ｂに含まれるＯＦＳ２００ｂの制御に従い、無線ＡＰ２０ｂを介してネットワーク１１と通信を行うことができる。
Ｗｅｂサーバ１０１は、通信制御装置１０における外部に対するユーザインタフェースを提供する。例えば、管理者は、管理者ＰＣ２１からネットワーク１１を介して通信制御装置１０内のＷｅｂサーバ１０１にアクセスすることで、ＩＰアドレス制御リスト１１０およびプロトコル制御リスト１１１を閲覧および編集することができる。
ネットワーク１１に対して、機密ネットワーク４０が接続される。機密ネットワーク４０は、ゲストに公開してはならない機密情報を含む機密情報サーバ５１を複数含む。また、機密ネットワーク４０内には、プリンタ５０をさらに含む。図３の例では、機密ネットワーク４０は、例えばネットワークアドレス「192.168.1.0/24」が与えられ、プリンタ５０は、ＩＰアドレス「192.168.1.2」が与えられている。ゲストＰＣ３０およびゲストＳＤ３１は、ネットワーク１１に接続される各部のうち、機密ネットワーク４０の内部に対するアクセスが制限され、機密ネットワーク４０の外部には、自由なアクセスが許可されているものとする。
図４は、第１の実施形態に係る通信制御装置１０の一例のハードウェア構成を示す。図４において、通信制御装置１０は、ＣＰＵ(Central Processing Unit)１０００と、ＲＯＭ(Read Only Memory)１００１と、ＲＡＭ(Random Access Memory)１００２と、ストレージ１００３と、データＩ／Ｆ１００４と、通信Ｉ／Ｆ１００５とを含み、これらがバス１０１０により互いに通信可能に接続される。このように、第１の実施形態に係る通信制御装置１０は、一般的なコンピュータと同様の構成により実現できる。
ストレージ１００３は、ハードディスクドライブや不揮発性半導体メモリ（フラッシュメモリ）により構成され、ＣＰＵ１０００が動作するための各種プログラムやデータが格納される。また、ＲＯＭ１００１は、例えば通信制御装置１０が起動、動作するために用いるプログラムやデータが予め記憶される。ＣＰＵ１０００は、ストレージ１００３やＲＯＭ１００１に格納されるプログラムに従い、ＲＡＭ１００２をワークエリアとして用いて動作し、通信制御装置１０の全体の動作を制御する。通信Ｉ／Ｆ１００５は、ＣＰＵ１０００の指示に従い、ネットワーク１１を介した通信を制御する。データＩ／Ｆ１００４は、外部の機器との間でデータの入出力を行うためのインタフェースであって、例えばＵＳＢ(Universal Serial Bus)を適用できる。
図５は、第１の実施形態に係る通信制御装置１０の機能を説明するための一例の機能ブロック図である。図５において、通信制御装置１０は、接続部１２０と、制御部１２１と、Ｗｅｂサーバ部１２２と、記憶部１２３とを含む。また、Ｗｅｂサーバ部１２２は、出力部１２２０および入力部１２２１を含む。
これらのうち、接続部１２０、制御部１２１、Ｗｅｂサーバ部１２２および記憶部１２３は、ＣＰＵ１０００上で動作するプログラムが動作することにより構成される。これに限らず、これら接続部１２０、制御部１２１、Ｗｅｂサーバ部１２２および記憶部１２３を、互いに協働して動作するハードウェア回路により構成してもよい。
接続部１２０は、通信Ｉ／Ｆ１００５を制御してネットワーク１１に接続し、ネットワーク１１を介した通信を行う。制御部１２１（制御部）は、通信制御装置１０の全体の動作を制御する。制御部１２１は、図３におけるＯＦＣ１００の機能を含む。例えば、制御部１２１は、後述する記憶部１２３より記憶されるＩＰアドレス制御リスト１１０およびプロトコル制御リスト１１１に基づき、ＯＦＳ２００ａおよび２００ｂが含むフローテーブル２０１に適用するためのフローエントリを生成する。
制御部１２１は、生成したフローエントリを例えば有線ＳＷ２０ａに転送する。有線ＳＷ２０ａは、転送されたフローエントリを、有線ＳＷ２０ａが含むＯＦＳ２００ａが有するフローテーブル２０１に書き込む。
Ｗｅｂサーバ部１２２は、図３におけるＷｅｂサーバ１０１に対応し、通信制御装置１０の外部に対するユーザインタフェースを提供する。Ｗｅｂサーバ部１２２は、ネットワーク１１を介してＨＴＴＰやＦＴＰに対応した通信を行うことができる。Ｗｅｂサーバ部１２２において、出力部１２２０は、ＨＴＭＬ(HyperText Markup Language)を用いた記述に従い、外部の端末装置に対して所定の画面を表示させるための表示制御情報を生成する。また、所定の画面が表示されると（表示制御情報が出力されると）、Ｗｅｂサーバ部１２２において、入力部１２２１は、ＨＴＭＬを用いた記述に従い、外部の端末装置から送信された入力情報を受け付ける。Ｗｅｂサーバ部１２２は、入力部１２２１により受け付けられた入力情報に応じた処理を実行する。
記憶部１２３は、図３におけるリスト記憶部１０２に対応するもので、ＩＰアドレス制御リスト１１０およびプロトコル制御リスト１１１の、記憶媒体（記憶部）への記憶と、記憶媒体からの読み出しとを行う。ＩＰアドレス制御リスト１１０およびプロトコル制御リスト１１１を記憶する記憶媒体は、例えばストレージ１００３である。ＩＰアドレス制御リスト１１０は、宛先のＩＰアドレスである宛先ＩＰアドレスに基づいた制御ポリシーのリストである。ＩＰアドレス制御リスト１１０およびプロトコル制御リスト１１１の例については、後述する。
通信制御装置１０における各機能を実現するための通信制御プログラムは、インストール可能な形式または実行可能な形式のファイルでＣＤ(Compact Disk)、フレキシブルディスク（ＦＤ）、ＤＶＤ(Digital Versatile Disk)などのコンピュータで読み取り可能な記録媒体に記録して提供される。これに限らず、当該通信制御プログラムを、インターネットなどのネットワークに接続されたコンピュータ上に格納し、当該ネットワークを介してダウンロードさせることにより提供してもよい。また、当該通信制御プログラムをインターネットなどのネットワークを経由して提供または配布するように構成してもよい。
上述のようにして提供されコンピュータに格納された通信制御プログラムは、例えば、当該コンピュータから、データＩ／Ｆ１００４を介して通信制御装置１０に供給されてストレージ１００３またはＲＯＭ１００１に記憶される。
当該通信制御プログラムは、上述した各部（接続部１２０、制御部１２１、Ｗｅｂサーバ部１２２および記憶部１２３）を含むモジュール構成となっている。実際のハードウェアとしては、ＣＰＵ１０００がＲＯＭ１００１やストレージ１００３などの記憶媒体から当該通信制御プログラムを読み出して実行することにより、上述した各部がＲＡＭ１００２などの主記憶装置上にロードされ、接続部１２０、制御部１２１、Ｗｅｂサーバ部１２２および記憶部１２３が主記憶装置上に生成されるようになっている。
これに限らず、例えば、Ｗｅｂサーバ部１２２の基本的な機能を構成するプログラムがＲＯＭ１００１またはストレージ１００３に予め記憶され、通信制御装置１０に対して、このＷｅｂサーバ部１２２が読み込むためのＨＴＭＬファイルを供給するようにしてもよい。接続部１２０、制御部１２１および記憶部１２３も同様に、例えば、これらの基本的な機能を提供するプログラムがＲＯＭ１００１またはストレージ１００３に予め記憶され、通信制御装置１０に対して、これら接続部１２０、制御部１２１および記憶部１２３の動作を定義するパラメータなどを供給するようにもできる。
図６は、第１の実施形態に適用可能な有線ＳＷ２０ａの一例のハードウェア構成を示す。図６において、有線ＳＷ２０ａは、ＣＰＵ２０００と、ＲＯＭ２００１と、ＲＡＭ２００２と、通信Ｉ／Ｆ２００４および２００５とを含み、これらがバス２０１０により互いに通信可能に接続される。なお、これに限らず、ＲＯＭ２００１、ＲＡＭ２００２、ならびに、通信Ｉ／Ｆ２００４および２００５は、ＣＰＵ２０００に対して直接的に接続し、バス２０１０を省略してもよい。
ＲＯＭ２００１は、ＣＰＵ２０００が動作するために用いるプログラムやデータが予め記憶される。ＣＰＵ２０００は、ＲＯＭ２００１に格納されるプログラムに従い、ＲＡＭ２００２をワークエリアとして用いて動作し、有線ＳＷ２０ａの全体の動作を制御する。通信Ｉ／Ｆ２００４および２００５は、それぞれＣＰＵ２０００の指示に従い通信を制御する。図６の例では、通信Ｉ／Ｆ２００４が端末装置（例えばゲストＰＣ３０）に接続され、通信Ｉ／Ｆ２００５がネットワーク１１に接続されることが想定されている。
なお、無線ＡＰ２０ｂは、通信Ｉ／Ｆ２００４および２００５のうち一方（例えば通信Ｉ／Ｆ２００４）が無線通信に対応する点以外は、図６の有線ＳＷ２０ａと同様の構成で実現可能であるので、ここでの説明を省略する。また、以下では、特に記載の無い限り、有線ＳＷ２０ａおよび無線ＡＰ２０ｂを有線ＳＷ２０ａで代表させて説明を行う。
図７は、第１の実施形態に適用可能な有線ＳＷ２０ａの機能を説明するための一例の機能ブロック図である。図７において、有線ＳＷ２０ａは、ＯＦＳ２００ａと、第１接続部２１０と、第２接続部２１１とを含む。ＯＦＳ２００ａは、記憶部２１２および制御部２１３を含む。これらのうち、第１接続部２１０、第２接続部２１１および制御部２１３は、ＣＰＵ２０００上で動作するプログラムにより構成される。これに限らず、これら第１接続部２１０、第２接続部２１１および制御部２１３を、互いに協働して動作するハードウェア回路により構成してもよい。
ＯＦＳ２００ａにおいて、記憶部２１２は、フローテーブル２０１の記憶媒体への記憶と、記憶媒体に記憶されたフローテーブル２０１の読み出しとを行う。フローテーブル２０１を記憶する記憶媒体は、ＲＡＭ２００２でもよいし、ＲＯＭ２００１を書き換え可能なＲＯＭとして、このＲＯＭ２００１を用いてもよい。制御部２１３は、通信制御部１０内のＯＦＣ１００からネットワーク１１を介して有線ＳＷ２０ａに供給されるフローエントリを、記憶部２１２に記憶されるフローテーブル２０１に書き込む。また、制御部２１３は、記憶部２１２に記憶されるフローテーブル２０１に従い、第１接続部２１０と第２接続部２１１とを介した通信を制御する。
第１接続部２１０および第２接続部２１１は、それぞれ、通信Ｉ／Ｆ２００４および２００５による通信に係る処理を行う。この例では、第１接続部２１０が通信Ｉ／Ｆ２００５に対応し、第２接続部２１１が通信Ｉ／Ｆ２００４に対応するものとする。例えば第１接続部２１０は、通信Ｉ／Ｆ２００４により受信されたパケットを解析してヘッダ部分から宛先ＩＰアドレスを抽出し、抽出した宛先ＩＰアドレスを制御部２１３に渡す。制御部２１３は、渡された宛先ＩＰアドレスに従いフローテーブル２０１を参照して、例えば当該パケットをネットワーク１１に向けて送出するか否かを判定する。
（第１の実施形態に係る各制御リスト）
次に、第１の実施形態に係るＩＰアドレス制御リスト１１０およびプロトコル制御リスト１１１について説明する。
表２は、第１の実施形態に係るＩＰアドレス制御リスト１１０（第１のリスト）の例を示す。表２において、ＩＰアドレス制御リスト１１０は、「宛先ＩＰアドレス」、「許可／禁止」および「優先度」の各項目を含む制御ポリシーを１以上含む。
Figure 0006838343
ＩＰアドレス制御リスト１１０において、項目「宛先ＩＰアドレス」は、宛先のＩＰアドレスが記述される。表２の例では、宛先のＩＰアドレスとして単一のＩＰアドレス「192.168.1.2」が指定される制御ポリシーと、ＩＰサブネット「192.168.1.0/24」が指定される制御ポリシーと、「デフォルト」が指定される制御ポリシーとが示されている。
これらのうち、ＩＰサブネット「192.168.1.0/24」は、ＩＰアドレスに対して２４ビットのネットマスクが指定されていることを示し、具体的には、「192.168.1.0」〜「192.168.1.255」のＩＰアドレスを示す。また、宛先ＩＰアドレスにおける「デフォルト」は、ＩＰアドレス制御リスト１１０に含まれる他の制御ポリシーに指定されるＩＰアドレス以外のＩＰアドレスに対応する。
ＩＰアドレス制御リスト１１０において、項目「許可／禁止」は、その制御ポリシーの項目「宛先ＩＰアドレス」に記述されるＩＰアドレスに対するアクセスを許可するか禁止するかが記述される。
項目「優先度」は、ＩＰアドレス制御リスト１１０における各制御ポリシーに対する優先度が記述される。ＩＰアドレス制御リスト１１０において、各制御ポリシーは、パケットに含まれる宛先ＩＰアドレスが複数の制御ポリシーの項目「宛先ＩＰアドレス」の値と合致している場合に、項目「優先度」において最も高い優先度が指定されている制御ポリシーが採用される。表２の例では、数値が大きいほど高い優先度を示し、項目「宛先ＩＰアドレス」の値が「192.168.1.2」の制御ポリシーが最も優先度が高く、「デフォルト」の制御ポリシーが最も優先度が低く設定されている。
なお、表２において、項目「備考」は、その制御ポリシーに関する説明であって、ＩＰアドレス制御リスト１１０における各制御ポリシーのラベルとして用いることができる。表２の例では、ＩＰアドレス制御リスト１１０の第１行目がプリンタ５０に対する制御ポリシーであり、第２行目が機密ネットワーク４０に対する制御ポリシーであることがそれぞれ示されている。
以上により、表２に例示されるＩＰアドレス制御リスト１１０は、各制御ポリシーに指定された優先度に従い、ＩＰアドレスに基づく下記の制御を示している。
（１）宛先ＩＰアドレスがプリンタ５０（ＩＰアドレス「192.168.1.2」）を示している場合、通信を許可する。
（２）宛先ＩＰアドレスがプリンタ５０を示しておらず、且つ、機密ネットワーク４０（ＩＰサブネット「192.168.1.0/24」）に含まれるＩＰアドレスを示している場合、通信を禁止する。
（３）宛先ＩＰアドレスがプリンタ５０を示しておらず、且つ、機密ネットワーク４０に含まれるＩＰアドレスを示していない場合、通信を許可する。
有線ＳＷ２０ａ（ＯＦＳ２００ａ）は、このＩＰアドレス制御リスト１１０に基づき第１接続部２１０および第２接続部２１１による通信を制御することで、ＩＰアドレスを指定して１対１で通信を行うユニキャスト通信を適切に制御することができる。
一方、例えばユーザ端末とプリンタとが接続されたネットワークにおいて、ユーザ端末がプリンタにより印刷を行う場合、ユーザ端末は、最初にネットワーク内のプリンタをマルチキャストＤＮＳ(Domain Name System)などで発見することが一般的である。このとき、マルチキャストＤＮＳは、ユニキャストでないため、ＩＰアドレス制御リスト１１０のみでは、適切に制御することができない。さらに、ネットワーク内でイーサネットや無線ＬＡＮを用いたＩＰ通信を行うためには、ブロードキャストを用いたＡＲＰ(Address Resolution Protocol)によるアドレス解決が必要である。ＡＲＰによるパケットは、ＭＡＣ(Media Access Control)アドレスを宛先に指定して送信されるため、宛先ＩＰアドレスの指定が不可能である。ＯＦＳ２００は、このようなブロードキャストによる通信も通過させる必要がある。
また、ＤＨＣＰ(Dynamic Host Configuration Protocol)パケット、ＮＴＰ(Network Time Protocol)パケットも、その性質上、宛先ＩＰアドレスでの指定が難しい。
そこで、第１の実施形態では、上述のマルチキャストＤＮＳやＡＲＰといった宛先ＩＰアドレスの指定では不十分な通信を制御するために、プロトコル制御リスト１１１を用いてプロトコルに基づいた制御ポリシーをさらに設定する。
表３は、第１の実施形態に係るプロトコル制御リスト１１１（第２のリスト）の例を示す。表３において、プロトコル制御リスト１１１は、「識別子の種類」、「値」、「許可／禁止」および「優先度」の各項目を含む制御ポリシーを１以上含む。
なお、表３において、項目「備考」は、その制御ポリシーに関する説明であって、プロトコル制御リスト１１１における各制御ポリシーのラベルとして用いることができる。表３の例では、プロトコル制御リスト１１１の第１行目がＡＲＰに対応する制御ポリシー、第２行目がＩＧＭＰ(Internet Group Management Protocol)に対応する制御ポリシー、第３行目がマルチキャストＤＮＳに対応する制御ポリシーであることがそれぞれ示されている。
Figure 0006838343
プロトコル制御リスト１１１において、項目「識別子の種類」は、その制御ポリシーにおいて次の項目「値」に記述される値により識別されるプロトコルの種類が記述される。
表３の例では、第１行目の制御ポリシーは、項目「識別子の種類」の値がイーサネットタイプ（「イーサネットタイプ」のうち「イーサネット」は登録商標）を示す「タイプ」、項目「値」が値「０ｘ０８０６」とされており、イーサネットタイプのうちタイプ番号「０ｘ０８０６」で示されるプロトコルが指定される制御ポリシーであることが示される。タイプ番号「０ｘ０８０６」において、文字列「０ｘ」は、後続する文字列が１６進数により記述された値であることを示している。また、その制御ポリシーの項目「備考」において、その制御ポリシーに指定されるプロトコルが「ＡＲＰ」であることが記述されている。
なお、イーサネットタイプは、ＩＡＮＡ(Internet Assigned Numbers Authority)と呼ばれる組織により管理される、イーサネット（登録商標）により伝送するプロトコルを識別する識別子の１つである。イーサネットは、ＩＥＥＥ８０２．３によって策定される通信仕様であり、ＯＳＩ参照モデルにおいて物理層およびデータリンク層に対応する。イーサネットタイプは、データリンク層において伝送されるプロトコルを識別する、伝送プロトコル識別子である。
同様に、第２行目の制御ポリシーは、項目「識別子の種類」の値が「ＩＰプロトコル番号」、項目「値」が値「２」とされており、ＩＰプロトコル番号のうち値「２」で示されるプロトコルが指定される制御ポリシーであることが示される。また、その制御ポリシーの項目「備考」において、その制御ポリシーに指定されるプロトコルが「ＩＧＭＰ」であることが記述されている。
さらに同様に、第３行目の制御ポリシーは、項目「識別子の種類」の値が「ＵＤＰポート番号」、項目「値」が値「５３５３」とされており、ＵＤＰポート番号のうち値「５３５３」で示されるプロトコルが指定される制御ポリシーであることが示される。また、その制御ポリシーの項目「備考」において、その制御ポリシーに指定されるプロトコルが「マルチキャストＤＮＳ」であることが記述されている。
プロトコル制御リスト１１１において、項目「許可／禁止」は、その制御ポリシーの項目「識別子の種類」および項目「値」の記述により特定されるプロトコルによるアクセスを許可するか禁止するかが記述される。
また、項目「優先度」は、プロトコル制御リスト１１１における各制御ポリシーに対する優先度が記述される。表３の例では、項目「識別子の種類」に記述された「タイプ」（イーサネットタイプ）、「ＩＰアドレス番号」および「ＵＤＰポート番号」に対応する各プロトコルのうち、表１を用いて説明したＯＳＩ参照モデルにおいて最も下位層のプロトコルに対応する「タイプ」（イーサネットタイプ）が記述された制御ポリシーに最も高い優先度「３」が指定され、ＯＳＩ参照モデルにおいて最も上位層のプロトコルに対応する「ＵＤＰポート番号」が記述された制御ポリシーに最も低い優先度「１」が指定されている。
上述のＩＰアドレス制御リスト１１０およびプロトコル制御リスト１１１は、例えば管理者ＰＣ２１から編集することができる。これらＩＰアドレス制御リスト１１０およびプロトコル制御リスト１１１の編集の具体例については、後述する。
通信のプロトコルは、多くの場合、パケットのヘッダに含まれる何れかの識別子の値で判別できる。各プロトコルを示す識別子は、ＩＡＮＡにより管理され、通信を行う端末装置は互いに共通の約束事の下に通信を行っている。例えば、送信者がＩＰパケットを送信したい場合、イーサネットタイプを値「０ｘ０８００」としたヘッダを含むパケットを送信する。受信者は、このパケットのヘッダに含まれるイーサネットタイプの値に基づき、このパケットがＩＰパケットであると判定し、対応する処理を行う。
なお、識別子の種類としては、イーサネットタイプ（伝送プロトコル識別子）、ＩＰプロトコル番号、ＴＣＰポート番号およびＵＤＰポート番号が用いられることが多い。表３の例では、ゲストＰＣ３０がマルチキャストＤＮＳを用いてプリンタ５０を発見するために必要なプロトコル（ＡＲＰ、ＩＧＭＰおよびマルチキャストＤＮＳ）が示されている。
（第１の実施形態に係るフローエントリ生成）
ＯＦＣ１００は、上述したＩＰアドレス制御リスト１１０とプロトコル制御リスト１１１とに基づき、ＯＦＳ２００ａおよび２００ｂが持つフローテーブル２０１に含まれるフローエントリを生成する。より具体的には、ＯＦＣ１００は、表２および表３を用いて説明したＩＰアドレス制御リスト１１０とプロトコル制御リスト１１１とを解釈して、これらＩＰアドレス制御リスト１１０とプロトコル制御リスト１１１の各制御ポリシーに基づくフローエントリを生成する。
表４は、第１の実施形態に係る、ＯＦＣ１００により生成される各フローエントリの例を示す。なお、表４においては、ＯＦＳ２００における端末装置（例えばゲストＰＣ３０）側の通信Ｉ／Ｆ２００４のポート番号を「１」（「port=1」と表記）、ネットワーク１１側の通信Ｉ／Ｆ２００５のポート番号を「２」（「port=2」と表記）としている。また、表４は、ＯｐｅｎＦｌｏｗ１．０に準じた記法を用いて記述されている。
Figure 0006838343
表４において、項目「＃」は、フローエントリ毎の通し番号を示し、この例では、通し番号「１」〜「７」で識別される７のフローエントリが示されている。各フローエントリは、「ｍａｔｃｈ」、「ａｃｔｉｏｎｓ」および「ｐｒｉｏｒｉｔｙ」の各項目を含む。なお、項目「備考」は、項目「ｍａｔｃｈ」の記述に対する説明となっており、各フローエントリでは省略できる。
表４において、項目「ｍａｔｃｈ」は、そのフローエントリにおけるマッチングルールが記述される。項目「ｍａｔｃｈ」は、１のフローエントリについて、論理積にて判定される複数の条件を記述して、そのフローエントリにおけるマッチングルールとすることができる。
項目「ａｃｔｉｏｎｓ」は、入力されたパケットが、そのフローエントリの項目「ｍａｔｃｈ」に記述されるマッチングルールに合致したパケットであると判定された場合に、制御部２１３が当該パケットに対して行う処理が記述される。表４の例では、パケットに対する処理として、出力(Output)と、破棄(Drop)とが定義されている。また、項目「ａｃｔｉｏｎｓ」は、パケットに対する処理が出力である場合には、当該パケットを出力するポート番号(port=1 or 2)が記述される。
表４において、項目「ｐｒｉｏｒｉｔｙ」は、各フローエントリの優先度が記述される。優先度は、値が大きいほど高く、値「１」が最も低い優先度とされる。
ここで、通し番号「１」のフローエントリは、ネットワーク１１側から端末装置側に向けた通信に対する制御ポリシーであって、項目「ｍａｔｃｈ」にポート番号が「２」のポートがパケットが入力される入力ポート(in_port)として記述される(in_port=2)。また、項目「ａｃｔｉｏｎｓ」は、ポート番号が「１」のポート(port=1)を出力(Output)とする記述がなされる。これにより、ＯＦＳ２００は、ネットワーク１１側から入力されたパケットを、全て端末装置側に出力する制御を行うことができる。
一方、通し番号「２」〜「７」のフローエントリは、全て端末装置側からネットワーク１１側に向けた通信に対する制御ポリシーである。したがって、通し番号「２」〜「７」のフローエントリにおいて、項目「ｍａｔｃｈ」は、ポート番号が「１」のポートがパケットが入力される入力ポートとして記述される(in_port=1)。この各フローエントリにおける入力ポートの指定は、初期値として予め指定することができる。
また、表４の例では、通し番号「２」〜「４」の３のフローエントリが、表３のプロトコル制御リスト１１１に基づく、指定されたプロトコルに従い判定を行うフローエントリである。また、通し番号「５」〜「７」が、表２のＩＰアドレス制御リスト１１０に基づく、宛先ＩＰアドレスに従い判定を行うフローエントリである。項目「ｐｒｉｏｒｉｔｙ」によれば、通し番号「２」〜「４」のフローエントリは、他のフローエントリに対して高い優先度が設定されていることが分かる。
より具体的に説明すると、表４の例では、プロトコル制御リスト１１１に基づくフローエントリのうち、通し番号「２」のフローエントリにおいて、項目「ｍａｔｃｈ」は、パケットが入力される入力ポート(in_port)のポート番号が「１」、イーサネットタイプ(dl_type)が値「０ｘ０８０６」とされてＡＲＰが指定されている。項目「ａｃｔｉｏｎｓ」は、ポート番号「２」(port=2)からの出力(Output)が指定されている。また、優先度は、通し番号「２」〜「７」のフローエントリの中で最も高く設定されている。
通し番号「３」のフローエントリにおいて、項目「ｍａｔｃｈ」は、入力ポート(in_port)のポート番号が「１」、イーサネットタイプ(dl_type)が値「０ｘ０８００」とされてインターネットＩＰがプロトコルとして指定され、さらに、ＩＰプロトコル番号(nw_proto)が値「２」とされてＩＧＭＰが指定されている。項目「ａｃｔｉｏｎｓ」は、ポート番号「２」からの出力が指定されている。優先度は、通し番号「２」〜「７」のフローエントリの中で２番目に高く設定されている。
通し番号「４」のフローエントリにおいて、項目「ｍａｔｃｈ」は、入力ポート(in_port)のポート番号が「１」、イーサネットタイプ(dl_type)が値「０ｘ０８００」とされ、ＩＰプロトコル番号(nw_proto)が値「１７」とされてＵＤＰが指定され、さらに、送信先ポート番号(tp_dst)が値「５３５３」とされて、マルチキャストＤＮＳが指定されている。項目「ａｃｔｉｏｎｓ」は、ポート番号「２」からの出力が指定されている。優先度は、通し番号「２」〜「７」のフローエントリの中で３番目（プロトコル制御リスト１１１に基づくフローエントリでは最低）に高く設定されている。
一方、ＩＰアドレス制御リスト１１０に基づくフローエントリのうち、通し番号「５」のフローエントリにおいて、項目「ｍａｔｃｈ」は、入力ポート(in_port)のポート番号が「１」、イーサネットタイプ(dl_type)が値「０ｘ０８００」とされてインターネットＩＰがプロトコルとして指定され、宛先ＩＰアドレス(nw_dst)が値「192.168.1.2」とされてプリンタ５０が指定されている。項目「ａｃｔｉｏｎｓ」は、ポート番号「２」からの出力が指定されている。また、優先度は、ＩＰアドレス制御リスト１１０に基づくフローエントリでは最も高く設定されている。
通し番号「６」のフローエントリにおいて、項目「ｍａｔｃｈ」は、入力ポート(in_port)のポート番号が「１」、イーサネットタイプ(dl_type)が値「０ｘ０８００」とされてインターネットＩＰがプロトコルとして指定され、宛先ＩＰアドレス(nw_dst)が値「192.168.1.0/24」とされて機密ネットワーク４０が指定されている。項目「ａｃｔｉｏｎｓ」は、破棄(Drop)が指定されている。また、優先度は、ＩＰアドレス制御リスト１１０に基づくフローエントリでは２番目に設定されている。
通し番号「７」のフローエントリにおいて、項目「ｍａｔｃｈ」は、入力ポート(in_port)のみがポート番号を「１」として指定され、項目「ａｃｔｉｏｎｓ」は、ポート番号「２」のポートからの出力が指定されている。また、優先度は、ＩＰアドレス制御リスト１１０に基づくフローエントリでは最低に設定されている。
（各制御リストの編集およびフローエントリの登録処理）
次に、上述した各制御リストすなわちＩＰアドレス制御リスト１１０およびプロトコル制御リスト１１１の編集処理と、表４を用いて説明したフローエントリのＯＦＳ２００に対する登録処理について、より詳細に説明する。
図８は、第１の実施形態に係る各制御リストの編集およびフローエントリの登録処理を示す一例のシーケンス図である。なお、図８において、上述した図３と共通する部分には同一の符号を付して、詳細な説明を省略する。
ユーザ（例えば管理者）は、管理者ＰＣ２１から通信制御装置１０内のＷｅｂサーバ１０１にアクセスして、Ｗｅｂサーバ１０１に対して、リスト記憶部１０２に記憶される各制御リスト（ＩＰアドレス制御リスト１１０およびプロトコル制御リスト１１１）の表示を要求する（ステップＳ１００）。Ｗｅｂサーバ１０１は、この要求に応じて、リスト記憶部１０２に対して各制御リストの読み込みを要求し（ステップＳ１０１）、リスト記憶部１０２から各制御リストを取得する（ステップＳ１０２）。Ｗｅｂサーバ１０１は、取得した各制御リストを編集可能に表示させる表示画面を、管理者ＰＣ２１に提示する（ステップＳ１０３）。
管理者ＰＣ２１は、ステップＳ１０３で提示された表示画面に応じたユーザ操作に従い、各制御リストの編集を行う（ステップＳ１０４）。管理者ＰＣ２１は、編集完了を示すユーザ操作を受け付けると、リスト記憶部１０２に記憶される各制御リストを、編集結果に応じて変更するよう、Ｗｅｂサーバ１０１に要求する（ステップＳ１０５）。
上述のステップＳ１００〜ステップＳ１０５の処理の、より具体的な例について説明する。先ず、ステップＳ１００の処理に先んじて、Ｗｅｂサーバ１０１は、各制御リストを管理するためのリスト管理画面と、当該リスト管理画面を呼び出すためのメニュー画面とをそれぞれ表示させ、また、画面に応じたユーザ入力を受け付けるための各表示制御情報（例えばＨＴＭＬファイル）を予め用意する。Ｗｅｂサーバ１０１は、これら各ＨＴＭＬファイルを例えばストレージ１００３に記憶し、各ＨＴＭＬファイルに所定のＵＲＬ(Uniform Resource Locator)を与える。
ユーザは、管理者ＰＣ２１に搭載される、ＨＴＭＬに従い記述されたファイルを読み込み所定の動作を行うブラウザアプリケーションプログラム（以下、ブラウザ）に、メニュー画面を表示させるためのＨＴＭＬファイルのＵＲＬを入力して、管理者ＰＣ２１からＷｅｂサーバ１０１にアクセスする。管理者ＰＣ２１において、ブラウザは、ＵＲＬに従いＨＴＭＬファイルを読み込み、読み込んだＨＴＭＬファイルに従い、管理者ＰＣ２１のディスプレイにメニュー画面を表示させる。
図９は、第１の実施形態に適用可能なメニュー画面の例を示す。図９において、メニュー画面３００は、ボタン３０１〜３０４を含む。ボタン３０１および３０２は、それぞれ、ＩＰアドレス制御リスト１１０の編集、および、プロトコル制御リスト１１１の編集を要求するためのボタンである。ボタン３０３は、ボタン３０１やボタン３０２の操作に応じてＩＰアドレス制御リスト１１０やプロトコル制御リスト１１１を編集した後に、編集内容に応じたフローエントリの登録を指示するための「登録」ボタンである。また、ボタン３０４は、キャンセルボタンであって、ＩＰアドレス制御リスト１１０やプロトコル制御リスト１１１になされた編集をキャンセルするための「キャンセル」ボタンである。
管理者ＰＣ２１は、メニュー画面３００において、ボタン３０１および３０２の何れかに対する操作に応じて、操作されたボタンに対応する制御リストの表示をＷｅｂサーバ１０１に要求する（ステップＳ１００）。Ｗｅｂサーバ１０１は、この要求に応じてリスト記憶部１０２から制御リストを取得する（ステップＳ１０１、ステップＳ１０２）。Ｗｅｂサーバ１０１は、取得した制御リストを管理するためのリスト管理画面を、管理者ＰＣ２１に提示する（ステップＳ１０３）。
図１０および図１１を用いて、第１の実施形態に係るリスト管理画面の例について説明する。図１０は、ＩＰアドレス制御リスト１１０を管理するためのＩＰアドレス制御リスト管理画面の例を示す。図１０のＩＰアドレス制御リスト管理画面３１０は、メニュー画面３００におけるボタン３０１の操作に応じて表示される。図１０において、ＩＰアドレス制御リスト管理画面３１０は、入力領域３１１、３１２および３１３と、ボタン３１４および３１５とを含み、表２に示した各制御ポリシーについて、各項目を編集可能とされている。
ＩＰアドレス制御リスト管理画面３１０において、入力領域３１１は、Ｗｅｂサーバ１０１がリスト記憶部１０２から読み出したＩＰアドレス制御リスト１１０を編集するための領域である。入力領域３１１は、それぞれ表示される内容を編集可能な入力領域３１１ａ、３１１ｂ、３１１ｃおよび３１１ｄを含む。
これらのうち、入力領域３１１ｂ、３１１ｃおよび３１１ｄは、表２に示した「宛先ＩＰアドレス」、「許可／禁止」および「優先度」の各項目に対応し、リスト記憶部１０２から読み出されたＩＰアドレス制御リスト１１０の各制御ポリシーについて、各項目の値が入力され表示されている。この例では、項目「許可／禁止」に対応する入力領域３１１ｃは、予め設定された値「許可」および「禁止」のうち何れかを選択するようになっている。入力領域３１１ａは、例えばその制御ポリシーを管理者が理解容易とするためのラベルを入力するための領域であって、この例では、表２の項目「備考」の値が入力され表示されている。
入力領域３１１は、さらに、各制御ポリシーの削除を指示するための各削除ボタンを含むボタン群３１１ｅを含む。
ＩＰアドレス制御リスト管理画面３１０において、入力領域３１２は、既存のＩＰアドレス制御リスト１１０に対して新規の制御ポリシーを追加するための領域である。入力領域３１２は、上述の入力領域３１１と同様に、表２に示した「宛先ＩＰアドレス」、「許可／禁止」および「優先度」の各項目に対応する入力領域３１２ｂ〜３１２ｄと、ラベルを入力する入力領域３１２ａと、制御ポリシーの追加を指示するためのボタン３１２ｅとを含む。
入力領域３１３は、表２における「デフォルト」の制御ポリシーに対する入力を行う領域である。この例では、入力領域３１３は、項目「許可／禁止」の値を切り替えるためのボタン３１３ａのみを含み、他の項目の値を入力する領域を含まない。
ボタン３１４は、各入力領域３１１〜３１３に入力された値を確定し、メニュー画面３００に戻るための「ＯＫ」ボタンである。各入力領域３１１〜３１３に入力された値は、例えば管理者ＰＣ２１が有するＲＡＭに一時的に記憶される。ボタン３１５は、各入力領域３１１〜３１３に入力された値を破棄してメニュー画面３００に戻るための「キャンセル」ボタンである。
図１１は、プロトコル制御リスト１１１を管理するためのプロトコル制御リスト管理画面の例を示す。図１１のプロトコル制御リスト管理画面３２０は、メニュー画面３００におけるボタン３０２の操作に応じて表示される。図１１において、プロトコル制御リスト管理画面３２０は、入力領域３２１および３２２と、ボタン３２３および３２４とを含み、表３に示した各制御ポリシーについて、各項目を編集可能とされている。
プロトコル制御リスト管理画面３２０において、入力領域３２１は、Ｗｅｂサーバ１０１がリスト記憶部１０２から読み出したプロトコル制御リスト１１１を編集するための領域である。入力領域３２１は、それぞれ表示される内容を編集可能な入力領域３２１ａ、３２１ｂおよび３２１ｃを含む。
これらのうち、入力領域３２１ｂおよび３２１ｃは、表３に示した「識別子の種類」および「値」の各項目に対応し、リスト記憶部１０２から読み出されたプロトコル制御リスト１１１の各制御ポリシーについて、各項目の値が入力され表示されている。
この例では、項目「識別子の種類」に対応する入力領域３２１ｂは、予め設定された複数の値（「イーサネットタイプ」、「ＩＰプロトコル番号」、「ＵＤＰポート番号」など）から１つを選択するようになっている。なお、図１１においては、「イーサネットタイプ」は、「タイプ」として示されている。また、項目「値」に対応する入力領域３２１ｃは、対応する入力領域３２１ｂで選択された値に応じてガイド（この例では「タイプ」に対して１６進表記を表す「０ｘ」）を表示することができる。
入力領域３２１ａは、例えばその制御ポリシーを管理者が理解容易とするためのラベルを入力するための領域であって、この例では、表３の項目「備考」の値が入力され表示されている。
入力領域３２１は、さらに、各制御ポリシーの削除を指示するための各削除ボタンを含むボタン群３２１ｄを含む。
なお、プロトコル制御リスト１１１における各制御ポリシーの優先度は、入力領域３２１ｂにおいて設定可能な各値に対して予め設定しておいてもよいし、入力領域３２１における各制御ポリシーの表示順序に応じて決めてもよい。また、優先度を入力するための入力領域をさらに設けてもよい。
プロトコル制御リスト管理画面３２０において、入力領域３２２は、既存のプロトコル制御リスト１１１に対して新規の制御ポリシーを追加するための領域である。入力領域３２２は、上述の入力領域３２１と同様に、表３に示した「識別子の種類」および「値」の各項目に対応する入力領域３２２ｂおよび３２２ｃと、ラベルを入力する入力領域３２２ａと、制御ポリシーの追加を指示するためのボタン３２２ｄとを含む。
ボタン３２３は、各入力領域３２１および３２２に入力された値を確定し、メニュー画面３００に戻るための「ＯＫ」ボタンである。各入力領域３２１および３２２に入力された値は、例えば管理者ＰＣ２１が有するＲＡＭに一時的に記憶される。ボタン３２４は、各入力領域３２１および３２２に入力された値を破棄してメニュー画面３００に戻るための「キャンセル」ボタンである。
説明は図８に戻り、管理者ＰＣ２１は、ブラウザにより、図１０のＩＰアドレス制御リスト管理画面３１０や、図１１のプロトコル制御リスト管理画面３２０を管理者ＰＣ２１のディスプレイに表示させる。管理者ＰＣ２１は、これらＩＰアドレス制御リスト管理画面３１０や、プロトコル制御リスト管理画面３２０に応じたユーザ操作に従い、ＩＰアドレス制御リスト１１０や、プロトコル制御リスト１１１の編集を行う（ステップＳ１０４）。
管理者ＰＣ２１は、メニュー画面３００において「登録」ボタンであるボタン３０３に対するユーザ操作に応じて、Ｗｅｂサーバ１０１に対して、編集された各制御リストの変更を要求する（ステップＳ１０５）。例えば、管理者ＰＣ２１は、ボタン３０３に対するユーザ操作に応じて、ＩＰアドレス制御リスト管理画面３１０およびプロトコル制御リスト管理画面３２０に入力された各入力値をＷｅｂサーバ１０１に送信する。それと共に、管理者ＰＣ２１は、Ｗｅｂサーバ１０１に対して、ＩＰアドレス制御リスト１１０およびプロトコル制御リスト１１１の変更を要求する。
Ｗｅｂサーバ１０１は、管理者ＰＣ２１からの変更要求に応じて、管理者ＰＣ２１から送信された各入力値をリスト記憶部１０２に渡し、リスト記憶部１０２に対してＩＰアドレス制御リスト１１０およびプロトコル制御リスト１１１の変更を要求する（ステップＳ１０６）。リスト記憶部１０２は、Ｗｅｂサーバ１０１から渡された各入力値を用いてＩＰアドレス制御リスト１１０およびプロトコル制御リスト１１１を変更し、変更が完了すると、その旨を示す変更完了通知をＷｅｂサーバ１０１に送信する（ステップＳ１０７）。
Ｗｅｂサーバ１０１は、変更完了通知に応じて、ＯＦＣ１００に対して、フローテーブル２０１の更新を要求する（ステップＳ１０８）。ＯＦＣ１００は、この要求に応じて、リスト記憶部１０２に対して、ＩＰアドレス制御リスト１１０およびプロトコル制御リスト１１１の読み込みを要求し（ステップＳ１０９）、リスト記憶部１０２からＩＰアドレス制御リスト１１０およびプロトコル制御リスト１１１を取得する（ステップＳ１１０）。
ＯＦＣ１００は、ステップＳ１１０で取得したＩＰアドレス制御リスト１１０とプロトコル制御リスト１１１とを合成し、表４を用いて説明した、ＩＰアドレス制御リスト１１０およびプロトコル制御リスト１１１それぞれの制御ポリシーに基づく各フローエントリを生成する（ステップＳ１１１）。ＯＦＣ１００は、生成した各フローエントリを例えば有線ＳＷ２０ａが含むＯＦＳ２００ａに送信し、ＯＦＳ２００ａに対し、各フローエントリのフローテーブル２０１への登録を依頼する（ステップＳ１１２）。ＯＦＳ２００ａは、この依頼に応じてフローテーブル２０１に各フローエントリを登録し、フローテーブル２０１を更新する。
ＯＦＣ１００は、ＯＦＳ２００ａへのフローエントリの登録を依頼した後、Ｗｅｂサーバ１０１に対してフローテーブル２０１の更新が完了した旨を示す更新完了通知を渡す（ステップＳ１１３）。Ｗｅｂサーバ１０１は、この更新完了通知に応じて、管理者ＰＣ２１に対して各制御リストの変更の完了を通知する（ステップＳ１１４）。
（第１の実施形態に係るフローテーブルによる実際の通信例）
次に、第１の実施形態に係るフローテーブル２０１による実際の通信の例について説明する。ここでは、上述した表４に示した各フローエントリを含むフローテーブル２０１を用い、ゲストＰＣ３０から機密ネットワーク４０内のプリンタ５０を利用する例について説明する。
図１２は、第１の実施形態に係るフローテーブル２０１による実際の通信の例を示すシーケンス図である。なお、図１２において、上述した図３と共通する部分には同一の符号を付して、詳細な説明を省略する。
ゲストＰＣ３０は、有線ＳＷ２０ａに接続されると、ネットワーク１１に向けてディスカバリ要求を送信し、利用可能な機器を探索する。ゲストＰＣ３０は、このディスカバリ要求を、プロトコルとしてマルチキャストＤＮＳを指定して送信する（ステップＳ２００）。この要求を含むパケットは、有線ＳＷ２０ａにおいてポート番号「１」の通信Ｉ／Ｆ２００４に受信され、ＯＦＳ２００ａに渡される。
ＯＦＳ２００ａは、渡されたパケットのヘッダ情報と、入力ポート(port=1)とに基づきフローテーブル２０１に含まれる各フローエントリに対する照合を行う（ステップＳ２０１）。ＯＦＳ２００ａは、各フローエントリの項目「ｐｒｉｏｒｉｔｙ」の値に従い、表４の通し番号「２」、「３」、「４」、…の順にフローエントリとの照合を行う。ＯＦＳ２００ａは、照合の結果、プロトコルとしてマルチキャストＤＮＳが指定される通し番号「４」のフローエントリが合致したと判定し、項目「ａｃｔｉｏｎｓ」の値「Output (port=2)」に従い、当該パケットを通過させる。これにより、ゲストＰＣ３０から送信されたディスカバリ要求がネットワーク１１に転送される（ステップＳ２０２）。
この例では、ネットワーク１１に転送されたディスカバリ要求に応じて、プリンタ５０が発見され、ディスカバリ要求の応答として、プリンタ５０のＩＰアドレス「192.168.1.2」を含むパケットがプリンタ５０から有線ＳＷ２０ａに送信される（ステップＳ２０３）。このパケットは、有線ＳＷ２０ａにおいてポート番号「２」の通信Ｉ／Ｆ２００５に受信され、ＯＦＳ２００ａに渡される。ＯＦＳ２００ａは、フローテーブル２０１に含まれる各フローエントリに対する照合を行う（ステップＳ２０４）。この場合、入力ポートが「port=2」であるので、通し番号「１」のフローエントリが合致したと判定し、項目「ａｃｔｉｏｎｓ」の値「Output (port=1)」に従い、当該パケットを通過させる。
このディスカバリ要求に対する応答を含むパケットは、有線ＳＷ２０ａから出力され、ゲストＰＣ３０に受信される（ステップＳ２０５）。これにより、ゲストＰＣ３０は、ＩＰアドレスが「192.168.1.2」であるプリンタ５０が利用可能であることを知ることができる。
次に、ゲストＰＣ３０から、ＩＰアドレス「192.168.1.2」であるプリンタ５０に対して印刷データを送信し、プリンタ５０に印刷を実行させる場合について説明する。ゲストＰＣ３０は、印刷データを所定サイズに分割し、分割したそれぞれの印刷データを順次パケットに詰め込む。そして、ゲストＰＣ３０は、宛先ＩＰアドレスとしてＩＰアドレス「192.168.1.2」を、各パケットのヘッダ情報に含めて有線ＳＷ２０ａに向けて送信する（ステップＳ２０６）。
ゲストＰＣ３０から送信された各パケットは、有線ＳＷ２０ａにおいてポート番号「１」の通信Ｉ／Ｆ２００４に受信され、ＯＦＳ２００ａに渡される。ＯＦＳ２００ａは、渡されたパケットのヘッダ情報と、入力ポート(port=1)とに基づきフローテーブル２０１に含まれる各フローエントリに対する照合を行う（ステップＳ２０７）。ＯＦＳ２００ａは、各フローエントリの項目「ｐｒｉｏｒｉｔｙ」の値に従い、表４の通し番号「２」、「３」、「４」、…の順にフローエントリとの照合を行う。
ＯＦＳ２００ａは、照合の結果、宛先ＩＰアドレス指定であり指定される宛先ＩＰアドレスが「192.168.1.2」である通し番号「５」のフローエントリが合致したと判定する。ＯＦＳ２００ａは、判定の結果に従い、そのフローエントリの項目「ａｃｔｉｏｎｓ」の値「Output (port=2)」に従い当該パケットを通過させる。これにより、ゲストＰＣ３０から送信された印刷データが有線ＳＷ２０ａからネットワーク１１を介してプリンタ５０に送信される（ステップＳ２０８）。プリンタ５０は、ゲストＰＣ３０から送信された印刷データに従い印刷処理を実行する（ステップＳ２０９）。
以上説明したように、第１の実施形態では、宛先ＩＰアドレスの指定に応じたマッチングルールによる制御リストと、プロトコルの指定に応じたマッチングルールによる制御リストとをそれぞれ作成し、この２つの制御リストを組み合わせて、外部の端末装置との間のパケット送受信を制御している。このとき、各制御リストは、管理者ＰＣ２１から、Ｗｅｂサーバ１０１により提供されるユーザインタフェースを用いて、それぞれ編集できる。そのため、第１の実施形態に係る通信システム１を適用することで、外部（組織体外）の端末装置に、組織内ＬＡＮにおける特定のネットワークリソースを利用可能とさせる制御を容易に設定可能となる。
（第２の実施形態）
次に、第２の実施形態について説明する。上述の第１の実施形態では、外部の端末装置からネットワーク１１に向けた通信の制御を主に行っていた。第２の実施形態では、第１の実施形態の制御に加えて、ネットワーク１１から外部の端末装置に向けた通信の制御も実行する。
なお、第２の実施形態では、図３を用いて説明した通信システム１の構成をそのまま適用できる。また、表２および表３を用いて説明したＩＰアドレス制御リスト１１０およびプロトコル制御リスト１１１も、第２の実施形態にそのまま適用できる。さらに、図８および図１２を用いて説明した処理も、第２の実施形態にそのまま適用できる。
表５は、第２の実施形態に係る各フローエントリの例を示す。表５の各部の意味は、上述した表４と同一であるので、ここでの詳細な説明を省略する。
Figure 0006838343
表５において、通し番号「７」〜「１２」で識別される各フローエントリは、第１の実施形態と同様に外部の端末装置からネットワーク１１に向けた通信を制御するためのフローエントリであって、表４において通し番号「２」〜「７」で識別される各フローエントリと同一である。一方、表５における通し番号「１」〜「６」で識別される各フローエントリは、ネットワーク１１から外部の端末装置に向けた通信を制御するためのフローエントリであって、同表５の通し番号「７」〜「１２」で識別される各フローエントリに対して入力ポートと出力ポートとを入れ替えた内容となっている。
また、入力ポートと出力ポートとの入れ替えに伴い、送信先（宛先）と送信元とが入れ替えられる。具体的には、表５において、通し番号「９」で識別されるフローエントリの項目「ｍａｔｃｈ」において指定される送信先ポート番号(tp_dst)が、値「５３５３」を変えずに送信元ポート番号(tp_src)に入れ替えられる。同様に、通し番号「１１」で識別されるフローエントリの項目「ｍａｔｃｈ」において指定される宛先ＩＰアドレス(nw_dst)が、値「192.168.1.2」を変えずに送信元ＩＰアドレス(nw_src)に入れ替えられる。
なお、これらの説明でも分かるように、表５に示す各フローエントリは、表４の各フローエントリと同一のＩＰアドレス制御リスト１１０およびプロトコル制御リスト１１１に基づき生成することができる。
このように各フローエントリを生成することで、外部の端末装置と、組織内ＬＡＮ内の通信を許可した宛先との間で、双方向に通信することが可能となる。また、許可した宛先以外の通信を双方向で遮断することで、意図しない情報を外部の端末装置が受信してしまう事態が防止され、セキュリティを向上することができる。
なお、上述の実施形態は、本発明の好適な実施の例ではあるがこれに限定されるものではなく、本発明の要旨を逸脱しない範囲において種々の変形による実施が可能である。
１ 通信システム
１０ 通信制御装置
１１ ネットワーク
２０ａ 有線ＳＷ
２０ｂ 無線ＡＰ
２１ 管理者ＰＣ
３０ ゲストＰＣ
３１ ゲストＳＤ
４０ 機密ネットワーク
５０ プリンタ
１００ ＯＦＣ
１０１ Ｗｅｂサーバ
１０２ リスト記憶部
１１０ ＩＰアドレス制御リスト
１１１ プロトコル制御リスト
２００，２００ａ，２００ｂ ＯＦＳ
３００ メニュー画面
３１０ ＩＰアドレス制御リスト管理画面
３２０ プロトコル制御リスト管理画面
１００３ ストレージ
１００５，２００４，２００５ 通信Ｉ／Ｆ
特開２０１５−０８４５１５号公報

Claims (9)

  1. ネットワーク上の位置を示すアドレスと、該アドレスを宛先とする通信の可否を示す情報とを関連付けた第１の条件を含む第１のリストと、
    通信プロトコルを識別する識別情報と、該通信プロトコルによる通信の可否を示す情報とを関連付けた第２の条件を含む第２のリストと、
    を記憶する記憶部と、
    前記第１のリストと前記第２のリストとを表示するための表示制御情報を出力する出力部と、
    前記表示制御情報の出力後に、前記第１のリストと前記第２のリストとを変更するための変更要求を入力する入力部と、
    前記変更要求に基づいて、前記第１のリスト及び前記第２のリストを変更処理する変更処理部と、
    前記変更要求に応じて変更された前記第１のリストと前記第２のリストとを合成することで、前記ネットワークに接続するための第１の接続部と端末装置に接続するための第２の接続部とを介してなされる通信を制御するための通信制御情報を生成し、生成した前記通信制御情報を、前記ネットワークを介して転送装置に転送する制御部と
    を備える通信制御装置。
  2. 前記制御部は、
    前記第２の接続部から前記第１の接続部に向かう通信の可否を前記第１のリストおよび前記第２のリストに従い制御し、前記第１の接続部から前記第２の接続部に向かう通信を前記第１のリストおよび前記第２のリストに関わらず可に制御する前記通信制御情報を生成する
    請求項１に記載の通信制御装置。
  3. 前記第１のリストおよび前記第２のリストは、それぞれ、前記第１の接続部が宛先とされ、前記第２の接続部が送信元とされ、
    前記制御部は、
    前記第２の接続部から前記第１の接続部に向かう通信の可否を前記第１のリストおよび前記第２のリストに従い制御し、前記第１の接続部から前記第２の接続部に向かう通信を前記第１のリストおよび前記第２のリストに関わらず可に制御し、
    送信元と宛先とをそれぞれ入れ替えた該第１のリストおよび該第２のリストに従い、前記第１の接続部から前記第２の接続部に向かう通信の可否を制御し、前記第２の接続部から前記第１の接続部に向かう通信を、送信元と宛先とをそれぞれ入れ替えた該第１のリストおよび該第２のリストに関わらず可に制御する、前記通信制御情報を生成する
    請求項１に記載の通信制御装置。
  4. 前記第１のリストは、前記第１の条件毎に、単一の前記アドレスと、前記アドレスの一部とのうち一方が、前記宛先として指定される
    請求項１乃至請求項３の何れか１項に記載の通信制御装置。
  5. 前記制御部は、
    前記第１のリストが含む前記第１の条件と、前記第２のリストが含む前記第２の条件とに、前記転送装置が前記第１の接続部と前記第２の接続部とを介してなされる通信を制御するための優先度をそれぞれ設定して前記通信制御情報を生成する
    請求項１乃至請求項４の何れか１項に記載の通信制御装置。
  6. 前記制御部は、
    前記第２の条件に、前記第１の条件より高い優先度を設定する
    請求項５に記載の通信制御装置。
  7. 前記制御部は、
    前記識別情報として、伝送プロトコル識別子、ＩＰプロトコル番号、ＴＣＰポート番号およびＵＤＰポート番号のうち少なくとも１つを用いる
    請求項１乃至請求項６の何れか１項に記載の通信制御装置。
  8. ネットワーク上の位置を示すアドレスと、該アドレスを宛先とする通信の可否を示す情報とを関連付けた第１の条件を含む第１のリストと、通信プロトコルを識別する識別情報と、該通信プロトコルによる通信の可否を示す情報とを関連付けた第２の条件を含む第２のリストとを表示するための表示制御情報を出力する出力ステップと、
    前記表示制御情報の出力後に、前記第１のリストと前記第２のリストとを変更するための変更要求を入力する入力ステップと、
    前記変更要求に基づいて、前記第１のリスト及び前記第２のリストを変更処理する変更処理ステップと、
    前記変更要求に応じて変更された前記第１のリストと前記第２のリストとを合成することで、前記ネットワークに接続するための第１の接続部と端末装置に接続するための第２の接続部とを介してなされる通信を制御するための通信制御情報を生成し、生成した前記通信制御情報を、前記ネットワークを介して転送装置に転送する転送ステップと
    をコンピュータに実行させるための通信制御プログラム。
  9. 制御装置と転送装置とを含む通信システムであって、
    前記制御装置は、
    ネットワーク上の位置を示すアドレスと、該アドレスを宛先とする通信の可否を示す情報とを関連付けた第１の条件を含む第１のリストと、
    通信プロトコルを識別する識別情報と、該通信プロトコルによる通信の可否を示す情報とを関連付けた第２の条件を含む第２のリストと、
    を記憶する第１の記憶部と、
    前記第１のリストと前記第２のリストとを表示するための表示制御情報を出力する出力部と、
    前記表示制御情報の出力後に、前記第１のリストと前記第２のリストとを変更するための変更要求を入力する入力部と、
    前記変更要求に基づいて、前記第１のリスト及び前記第２のリストを変更処理する変更処理部と、
    前記変更要求に応じて変更された前記第１のリストと前記第２のリストとを合成することで、前記ネットワークに接続するための第１の接続部と端末装置に接続するための第２の接続部とを介してなされる通信を制御するための通信制御情報を生成し、生成した前記通信制御情報を、前記ネットワークを介して転送装置に転送する第１の制御部と、を備え、
    前記転送装置は、
    前記ネットワークに接続するための第１の接続部と、
    端末装置に接続するための第２の接続部と、
    前記制御装置から転送された前記通信制御情報を記憶する第２の記憶部と、
    前記第１の接続部と前記第２の接続部とを介してなされる通信を、前記通信制御情報に従い制御する第２の制御部と、を備える
    通信システム。
JP2016199573A 2016-10-07 2016-10-07 通信制御装置、通信制御プログラムおよび通信システム Active JP6838343B2 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2016199573A JP6838343B2 (ja) 2016-10-07 2016-10-07 通信制御装置、通信制御プログラムおよび通信システム
US15/723,768 US10721235B2 (en) 2016-10-07 2017-10-03 Communication system, communication control apparatus, and recording medium

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2016199573A JP6838343B2 (ja) 2016-10-07 2016-10-07 通信制御装置、通信制御プログラムおよび通信システム

Publications (2)

Publication Number Publication Date
JP2018061217A JP2018061217A (ja) 2018-04-12
JP6838343B2 true JP6838343B2 (ja) 2021-03-03

Family

ID=61829254

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2016199573A Active JP6838343B2 (ja) 2016-10-07 2016-10-07 通信制御装置、通信制御プログラムおよび通信システム

Country Status (2)

Country Link
US (1) US10721235B2 (ja)
JP (1) JP6838343B2 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11711239B2 (en) 2020-09-01 2023-07-25 Ricoh Company, Ltd. Communication system, VPN termination device, and storage medium

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11330117B2 (en) 2019-11-29 2022-05-10 Ricoh Company, Ltd. Information processing apparatus, information processing system, and information processing method for receiving an image displayed on an image display apparatus upon detecting a predetermined condition is satisfied

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7054944B2 (en) * 2001-12-19 2006-05-30 Intel Corporation Access control management system utilizing network and application layer access control lists
US7353260B1 (en) * 2003-06-13 2008-04-01 Cisco Technology, Inc. System and method for access control on a storage router
JP2008219419A (ja) * 2007-03-02 2008-09-18 Nec Corp アクセス制御設定支援システム
WO2013150925A1 (ja) 2012-04-03 2013-10-10 日本電気株式会社 ネットワークシステム、コントローラ、及びパケット認証方法
US10033734B2 (en) * 2013-07-17 2018-07-24 Nec Corporation Apparatus management system, apparatus management method, and program
JP6435719B2 (ja) 2013-09-17 2018-12-12 株式会社リコー 通信システムおよび通信方法
US9648542B2 (en) * 2014-01-28 2017-05-09 Brocade Communications Systems, Inc. Session-based packet routing for facilitating analytics
US10200343B2 (en) * 2016-06-29 2019-02-05 Nicira, Inc. Implementing logical network security on a hardware switch

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11711239B2 (en) 2020-09-01 2023-07-25 Ricoh Company, Ltd. Communication system, VPN termination device, and storage medium

Also Published As

Publication number Publication date
US20180103040A1 (en) 2018-04-12
US10721235B2 (en) 2020-07-21
JP2018061217A (ja) 2018-04-12

Similar Documents

Publication Publication Date Title
JP5621778B2 (ja) コンテンツベーススイッチシステム、及びコンテンツベーススイッチ方法
EP2615782A1 (en) Computer system and communication method in computer system
CN109076006A (zh) 基于覆盖网络的多租户虚拟专用网络
CN106302320B (zh) 用于对用户的业务进行授权的方法、装置及系统
JPWO2005027438A1 (ja) パケット中継装置
CN104852840B (zh) 一种控制虚拟机之间互访的方法及装置
CN113746760B (zh) 通信方法、网络控制器和计算机可读存储介质
CN112866077B (zh) 一种模态融合的大规模自动化组网方法、管理系统、设备及存储介质
WO2015008780A1 (ja) 機器管理システム、機器管理方法及びプログラム
JP2021510045A (ja) ネットワークデバイス間にグループネットワークを作成するためのシステムおよび方法
Rodriguez-Natal et al. Programmable overlays via openoverlayrouter
EP3152873B1 (en) Communication apparatus, communication method, and communication system
KR101527377B1 (ko) Sdn 기반의 서비스 체이닝 시스템
Gorja et al. Extending open vSwitch to L4-L7 service aware OpenFlow switch
JP6838343B2 (ja) 通信制御装置、通信制御プログラムおよび通信システム
JP2005142702A (ja) ネットワークアクセスゲートウェイ及びネットワークアクセスゲートウェイの制御方法並びにプログラム
US11218405B2 (en) Method and system for service function chaining
US20060072618A1 (en) Packet-sending communication apparatus with forwarding-address automatic-recognition function, communication system and programs thereof
JP5350333B2 (ja) パケット中継装置及びネットワークシステム
JP2004343420A (ja) ネットワーク端末装置及びその制御方法
Lehocine et al. VINEMA: Towards automated management of virtual networks in SDN infrastructures
JP2002335274A (ja) パケット中継装置およびパケット中継方法
JP6227476B2 (ja) アクセス制御装置、アクセス制御方法、及びプログラム
Suomalainen et al. Open source platforms, applications and tools for software-defined networking and 5g research
Denton OpenStack Networking Essentials

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20190716

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20200522

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20200616

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20200807

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20210112

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20210125

R151 Written notification of patent or utility model registration

Ref document number: 6838343

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R151