JPH04138740A

JPH04138740A - 通信制御方式

Info

Publication number: JPH04138740A
Application number: JP2262659A
Authority: JP
Inventors: Koichi Asano; 浩一浅野
Original assignee: Fuji Xerox Co Ltd
Current assignee: Fujifilm Business Innovation Corp
Priority date: 1990-09-28
Filing date: 1990-09-28
Publication date: 1992-05-13

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】〔産業上の利用分野〕この発明はネットワーク間の通信を制御する通信制御方
式に関する。

〔従来の技術〕

近年、ローカルエリアネットワーク（以下、ＬＡＮとい
う）同士を相互接続することにより、ＬＡＮ上に構築さ
れたネットワーク資源（）＼−ドウエア、情報）を共有
化することが可能となっている。

しかし、ＬＡＮ同士を相互接続する場合にはセキュリテ
ィが問題となる。

そこで、従来の分散環境下でのセキュリティ対策として
は、次に説明するセキュリティ機構が実現されている。

■：自己のＬＡＮと外部のＬＡＮとの接続を行うととも
に、プロトコル変換する第１のマシン（例えば、ゲート
ウェイ）内に、外部への通信が可能な自己のＬＡＮに存
在するユーザを示す情報を記述したファイルを、保存し
ておく。

■０次に、ネットワークの資源（ユーザ、サーバなどの
資源）に関する情報を管理する第２のマシンから提供さ
れたユーザ情報に基づき、ユーザ認証されたユーザに対
してのみに、外部への通信を許可する。

■：そして、外部への通信が発生したときに、第１のマ
シンは、自己に存在する上記ファイルを参照し、該参照
結果に応じて、外部への通信を制御する。

〔発明が解決しようとする課題〕

ところが、上記従来のセキュリティ機構では、第１のマ
シン（ゲートウェイ）に保持されているファイルは、ユ
ーザ認証する際に提供されるユーザ情報（第２のマシン
に保持されているユーザ情報）の一部の情報と、外部の
ネットワークへの通信の可否を示す情報とから構成され
ているので、１つのネットワーク上に、同一の情報（ユ
ーザ情報）が、第１及び第２のマシン内に存在すること
になる。

従って、従来のセキュリティ機構では、資源を有効に利
用することができなかった。

この発明は上記実情に鑑みてなされたものであり、分散
環境下で資源を有効利用したセキュリティ機構を実現す
ることのできる通信制御方式を提供することを目的とす
る。

〔課題を解決するための手段〕上記目的を達成するため、この発明は、少なくともユー
ザに関するユーザ情報を管理する管理手段が接続された
ネットワークと外部のネットワーク間の通信を制御する
通信制御方式において、前記ユーザ情報に外部のネット
ワークへの通信の可否を示す情報を付加し、あるユーザ
からの外部への通信が発生した際に、当該ユーザ情報を
参照し、該参照結果に応じて、外部への通信を制御する
ようにしたことを特徴とする。

〔作用〕

この発明によれば、管理手段が管理している既存のユー
ザ情報に、外部のネットワークへの通信の可否を示す情
報を付加し、あるユーザからの外部への通信が発生した
際に、当該ユーザ情報を参照して、外部への通信を制御
する。

〔実施例〕

以下、本発明の実施例を添付図面を参照して説明する。

第２図は本発明に係る通信制御方式を適用したネットワ
ークシステムの一実施例を示す構成図である。

同図において、ローカルエリアネットワークシステム（
以下、ＬＡＮシステムという）１０−Ｎは、公衆網など
の通信網１００に接続される。

なお、この実施例では、ＬＡＮシステム１ｏてのプロト
コル（通信規約）と、ＬＡＮシステム２０〜ＬＡＮシス
テムＮてのプロトコルとは、異なっているものとする、さて、ＬＡＮシステム１ｏにおいては、ワークステーシ
ョン（以下、Ｗ／Ｓという）１１と、プロトコル変換す
るゲートウェイ１２と、サーバ１３と、ルータ（Ｒｏｕ
ｔｅｒ）　１４とがＬＡＮ　（通信網）１５に接続され
ている。

またＬＡＮシステム２ｏにおいては、ホストコンピュー
タ（以下、Ｈｏ５ｔという）２１および２２と、ルータ
２３とがＬＡＮ２４に接続されている。

さらに、ＬＡＮシステム３ｏにおいては、−ルータ３１
と、Ｗ／Ｓ３２とがＬＡＮ３３に接続すしており、ＬＡ
ＮシステムＮにおいては、ルータｎ１と、Ｗ／Ｓｎ２と
がＬＡＮｎ３に接続されている。

各ＬＡＮシステムのルータは、パケット交換機能を有す
るものであり、通信網１００と接続される。ＬＡＮ同士
がルータ、通信網１００を介して相互接続されることに
よって、各ＬＡＮシステム間で通信することができる。

サーバ１３は、分散システムにおける資源情報を管理す
るデータベースを保有しており、要求に応して、そのデ
ータベースを検索して、必要な情報を提供するサービス
機能を有している。このサービス機能は、クリアリング
ハウスサービス（以下、ＣＨ８という）１３Ａとして提
供される。

ＣＨ３１３Ａは、ＬＡＮシステム１ｏにおけるネットワ
ークの資源（ユーザ、サーバ、サービスなどの資源）に
関する情報を管理し、必要に応して情報を提供する。

この実施例では、ユーザ名やサーバ名などの名前を“名
称：領域名：組織名“のように３レベルで定義し、この
名前によって資源の管理が行えるように設定されている
。

特に、ユーザに関するユーザ情報には、ユーザ名として
の“名称：領域名：組織名”を示す情報と、外部のＬＡ
Ｎシステムへの通信（アクセス）の可否を示す情報等が
含まれている。その通信の可否を示す情報の登録に際し
ては、例えば、ＬＡＮシステム１０のネットワーク管理
者が、他のＬＡＮシステムのネットワーク管理者からの
、ＬＡＮシステム１０における各ユーザ毎に対応する通
信の可否を示す情報に基づいて、ユーザ情報として記述
するようになっている。

なお、上記ユーザ名としての“名称：領域名二組職名”
を示す情報は、従来から存在しているものを利用してい
る。

次に、上述した構成において、ＬＡＮシステム１０（ア
クセス元）におけるクライアントとしてのＷ／Ｓｌｌか
らＬＡＮシステム２０（アクセス先）への通信を行う場
合の通信制御方式について、第１図および第２図を参照
しながら説明する。

なお、第１図は本発明に係る通信制御方式の一実施例を
示すシーケンス図を示している。

また、第２図に示している番号■〜■は、次に説明する
手順（ステップ）を示す番号と対応している。

■：最初に、ネットワーク管理者は、ＣＨ３１３Ａに、
ＬＡＮシステム１０におけるユーザに関するユーザ情報
の１項目としてＬＡＮシステム２０への通信の可否を示
す情報を予め登録しておく。

■：Ｗ／５ｌｌ（クライアント）からＬＡＮシステム２
０への外部通信（パケットの送信）が発生すると、この
パケットはゲートウェイ１２に送信される（第１図のＳ
ｌ）。

■ニゲートウエイ１２は、パケットのフォーマット等を
、ＬＡＮシステム２０上でのプロトコルに適合するよう
にプロトコル変換し、ルータ１４に転送する（第１図の
Ｓ２）。

■：ルータ１４は、転送されてきたパケットを直ぐＬＡ
Ｎシステム２０へは送信せず、−旦保持した後、ＣＨ５
１３Ａに対し、通信依頼したユーザがＬＡＮシステム２
０への通信が可能であるかを間合わせる（第１図の５３
）。

■・ＣＨ５１３Ａは、登録されているユーザ情報を検索
し、通信依頼したユーザに対応するユーザ情報を参照し
て、ＬＡＮシステム２０への通信の可否を調べ、その結
果をルータ１４に返す（第１図のＳ４）。

■、ルータ１４は、ＣＨ３１３Ａからの結果をＷ／Ｓｌ
ｌに返す（第１図の３５）。

このとき、Ｗ／Ｓｌｌは、ＬＡＮシステム２０への通信
が許可されていれば、ＬＡＮ２０に対するパケットの送
信を継続し、反対に、許可されていなければ、パケット
の送信を中止する。

■：と同時に、ルータ１４は、ＣＨ３１３Ａからの結果
が、通信可能を示す旨であった場合は、−旦保持してい
るパケットをＬＡＮシステム２０へ送信する（第１図の
３６）。

なお、ＣＨ５１３Ａからの間合わせ結果か通信可能を示
す旨であった場合以降のパケットの送信に際しては、ル
ータ１４は、ＣＨ３１３Ａに間合わせすることなく、パ
ケットをＬＡＮシステム２０へ送信することになる（第
１図の８７〜Ｓ９）。

また、ルータ１４では、Ｗ／ＳｌｌとＬＡＮシステム２
０間の通信が終了した後も、ある一定時間内は、ユーザ
のＬＡＮシステム２０に対する通信の可否を示す情報を
保持している。これによって、同一ユーザから同様の通
信（ＬＡＮシステム２０に対する通信）が発生した場合
に、ルータ１４とＣＨ３１３Ａ間の不要なパケットの授
受を抑制することができる。

上述した実施例では、ＬＡＮシステム１０のプロトコル
が他のＬＡＮシステムのプロトコルと異なる場合の通信
制御について説明したが、次に、各ＬＡＮシステムのプ
ロトコルがそれぞれ異なっている場合の通信制御につい
て説明する。

この場合のネットワークシステムは、第２図に示したネ
ットワークシステムの構成において、ＬＡＮシステム１
０上に存在するゲートウェイ１２に加えて、他の全ての
ＬＡＮシステムにゲートウェイを追加した構成とする。

そしてＬＡＮシステム間の通信の際には、予め設定され
たゲートウェイ（アクセス元かアクセス先のいずれかの
ゲートウェイ）でプロトコル変換するようにする。

そして、アクセス元のゲートウェイでプロトコル変換す
る場合においては、第１図に示したシーケンスに従って
通信制御される。

一方、アクセス先のゲートウェイでプロトコル変換する
場合においては、第３図に示すシーケンスに従って通信
制御されることになる。

第３図において、クライアントからのパケットは、ルー
タに送信される（第３図の８１１）。その後は、上記８
３〜Ｓ６と同様の処理が行われる（第３図の８１２〜５
１５）。

なお、Ｓ１４において、通信可能を示す旨であった場合
は、クライアントからのパケットの送信は継続され（第
３図の８１６．５１７）、通信不可を示す旨であった場
合は、クライアントからのパケットの送信は中止される
。

また上記実施例では、ＬＡＮシステム同士を相互接続し
た場合、それぞれのシステムが異なったプロトコルで構
築されている場合の通信制御について説明したが、それ
ぞれのシステムが同一のプロトコルで構築されている場
合にも適用しても良い。この場合は、第３図に示したシ
ーケンスに従って通信制御すれば良いことになる。

以上説明したように本実施例によれば、既存のデータベ
ース（つまり、ネットワークの資源（ユーザ、サーバ、
サービスなどの資源）に関する情報）のうち、既存する
ユーザ名としての“名称：領域名二組職名”を示す情報
に対応して、外部のＬＡＮシステムへの通信の可否を示
す情報を付加するようにしたので、従来の如く、各ＬＡ
Ｎシステムに存在するマシン（ゲートウェイまたはルー
タ）毎に、セキュリティの為に、ユーザに関する情報を
記述しておくファイルが不要となり、資源を有効利用す
ることができる。

〔発明の効果〕

以上説明したように本発明によれば、既存する、ユーザに関するユーザ情報に、外部のネットワークへの
通信の可否を示す情報を付加し、そのユーザ情報を参照
して外部への通信を制御するようにしたので、従来の如
く、ユーザに対応して通信の可否を示す情報を記述した
ファイルが不要となり、資源を有効に利用した、セキュ
リティ機構を実現することが可能となる。

【図面の簡単な説明】

第１図は本発明に係る通信制御方式の一実施例を示すシ
ーケンス図、第２図は本発明に係る通信制御方式を適用
したネットワークシステムの一実施例を示す構成図、第
３図は本発明に係る通信制御方式の他の実施例を示すシ
ーケンス図である。１０．２０．３０、Ｎ・・・ＬＡＮシステム、１１．３
２、ｎ２・・・ワークステーション、１２・・・ゲート
ウェイ、１３川サーバ１４．２３．３１、ｎｌ・・・ル
ータ、１５．２４．３３、ｎ３−ＬＡＮ。２１．２２・・・ホストコンピュータ、０・・・通信網
。

Claims

【特許請求の範囲】少なくともユーザに関するユーザ情報を管理する管理手
段が接続されたネットワークと外部のネットワーク間の
通信を制御する通信制御方式において、前記ユーザ情報に外部のネットワークへの通信の可否を
示す情報を付加し、あるユーザからの外部への通信が発
生した際に、当該ユーザ情報を参照し、該参照結果に応
じて、外部への通信を制御するようにしたことを特徴とする通信制御方式。