JPH0787122A - ルータ形式ネットワーク間接続装置 - Google Patents

Abstract

(57)【要約】 【構成】 ＩＰルータ３は、ＬＡＮ１とＩＳＤＮ２との
間をネットワーク層で中継するものであって、上位層ア
プリケーションに関する情報としてディスティネーショ
ンポート番号を記憶するポート番号テーブル５と、上記
ＩＳＤＮ２から受信したＩＰパケットにおける上位層ア
プリケーションをＴＣＰヘッダもしくはＵＤＰヘッダ中
のディスティネーションポート番号から判別し、上記ポ
ート番号テーブル５に記憶されている情報に基づいて、
受信ＩＰパケットをＬＡＮ１へ送信するか否かを決定す
る上位層アプリケーション判別部６とを備えている。 【効果】 ある特定のアプリケーション通信のみを許可
し、それ以外の通信を不可能にするといったアプリケー
ションレベルの細かな制限を加えることが可能となり、
不用意な外部からの侵入を防ぐことができ、高いセキュ
リティを確保できる。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、複数のローカルエリア
ネットワークを広域情報通信網を利用して中継するネッ
トワーク間接続装置に関し、特に、ネットワーク層で動
作するルータ形式ネットワーク間接続装置に関するもの
である。

【０００２】

【従来の技術】近年、複数のネットワークを相互に接続
するインターネット環境が整備されており、例えば高速
ディジタル回線、パケット交換網、サービス総合ディジ
タル網（ＩＳＤＮ：Integrated Services Digital Netw
ork)等の広域情報通信網に、ローカルエリアネットワー
ク（ＬＡＮ：Local Area Network）を接続することによ
り、遠く離れたＬＡＮ同士間のスムーズなデータ通信が
可能となっている。

【０００３】上記ＬＡＮを公衆情報通信網に接続する場
合、ネットワーク間接続装置が用いられる。このネット
ワーク間接続装置は、ＬＡＮと公衆情報通信網とのイン
ターフェースを有し、異なった種類のネットワーク（Ｌ
ＡＮ、広域情報通信網）がそれぞれ有するプロトコルの
相互変換を行うことによって、両ネットワーク間の通信
を可能にする。このネットワーク間接続装置には、ＯＳ
Ｉ（Open Systems Interconnection：開放型システム間
相互接続）参照モデルのネットワーク層（レイヤ３）で
動作するルータ形式ネットワーク間接続装置がある。

【０００４】上記ルータ形式ネットワーク間接続装置
は、ネットワーク層レベルでＬＡＮと公衆情報通信網と
の間の情報通信を中継し、トランスポート層（レイヤ
４）以上は透過的に転送するようになっている。以下、
このルータ形式ネットワーク間接続装置を単にルータと
称する。

【０００５】次に、従来のルータを、図２を参照して説
明する。同図に示すルータ５３は、情報データ信号の通
信をＴＣＰ／ＩＰ（Transmission Control Protocol/In
ternet Protocol)通信によって行うＬＡＮ５１とＩＳＤ
Ｎ５２との間に設けられ、ＩＳＤＮ５２に接続されてい
る他のＬＡＮ（図示せず）との通信を中継するＩＳＤＮ
対応リモートＩＰルータである。このＩＰルータ５３
は、ＩＳＤＮデータ受信部５４、ルーティング処理部５
５、ルーティング情報テーブル５６、およびＬＡＮ出力
部５７を備えている。

【０００６】このＩＰルータ５３では、ＩＳＤＮ５２か
らのデータをＩＳＤＮデータ受信部５４で受信処理し、
ＩＰパケットとしてルーティング処理部５５にわたす。
上記ルーティング処理部５５は、パケットの送信元や転
送先をネットワーク番号とサブネットワーク番号とロー
カル番号（ホスト番号）とからなるネットワークアドレ
ス（ＩＰアドレス）から判断し、ルーティング情報テー
ブル５６に予め登録されているルーティング情報（転送
経路情報）に基づいてルーティングを行う。尚、もし、
送信元や転送先のネットワークアドレスが上記ルーティ
ング情報テーブル５６に登録されていなかった場合、ル
ーティング処理部５５は、上記パケットを破棄する。ル
ーティング処理部５５においてルーティングが行われた
場合、ＬＡＮ出力部５７がＬＡＮ５１へデータを出力す
る。

【０００７】以上のように、従来のＩＰルータ５３は、
ネットワーク層において各ノードに割り当てられている
ネットワークアドレス（ＩＰアドレス）と、ルーティン
グ情報テーブル５６に予め登録されているルーティング
情報とによって、ＩＳＤＮ５２またはＬＡＮ５１から受
信したデータを中継するか否かを判別し、そのデータの
送信元と転送先との間のルーティング情報が、ルーティ
ング情報テーブル５６に登録されているときだけ、その
データをそれぞれのインターフェースへ中継するように
なっている。

【０００８】

【発明が解決しようとする課題】しかしながら、上記従
来のＩＰルータ５３では、ネットワーク層で処理される
ＩＰパケットのヘッダに含まれるＩＰアドレスだけで中
継の有無を判断し、上位層アプリケーションに関しては
一切関知しない構成となっているため、予めルーティン
グ情報により設定されているＬＡＮ同士もしくはホスト
同士であれば、全てのアプリケーションで通信可能とな
ってしまい、高いセキュリティを確保できないという問
題がある。

【０００９】例えば、ＦＴＰ（File Transfer Protoco
l）によるファイル転送だけを行いたいという取り引き
先があった場合、その取り引き先に関するルーティング
情報をルーティング情報テーブル５６に登録することに
なる。しかしながら、一旦ルーティング情報テーブル５
６に登録した相手であれば、ＦＴＰ（File Transfer Pr
otocol）によるファイル転送だけを許可するが、ＴＥＬ
ＮＥＴやrloginによる侵入を認めたくないといったよう
なアプリケーションレベルの制限を行うことはできない
ので、ＦＴＰによるファイル転送だけでなく、ＴＥＬＮ
ＥＴによるログインも可能となり、不用意な外部からの
侵入を防御できないのである。

【００１０】本発明は、上記に鑑みなされたものであ
り、その目的は、アプリケーションレベルで不用意な外
部からの侵入を防ぐことができ、高いセキュリティを確
保できるルータ形式ネットワーク間接続装置を提供する
ことにある。

【００１１】

【課題を解決するための手段】本発明のルータ形式ネッ
トワーク間接続装置は、ローカルエリアネットワークと
広域情報通信網とのインターフェースを有し、上記ロー
カルエリアネットワークと広域情報通信網との間の情報
通信をネットワーク層で中継するものであって、上記の
課題を解決するために、以下の手段が講じられているこ
とを特徴としている。

【００１２】即ち、上位層アプリケーションに関する情
報を記憶する記憶手段と、上記広域情報通信網から受信
したパケットにおける上位層アプリケーションを判別
し、上記記憶手段に記憶されている情報に基づいて、受
信パケットをローカルエリアネットワークへ送信するか
否かを決定する上位層アプリケーション判別手段とを備
えている。

【００１３】

【作用】上記の構成によれば、ルータ形式ネットワーク
間接続装置は、上位層アプリケーションに関する情報を
記憶する記憶手段を備えており、この記憶手段に、接続
相手毎に、許可したくない上位層アプリケーションの情
報、或いは、許可する上位層アプリケーションの情報を
予め登録しておくことができる。

【００１４】また、上記ルータ形式ネットワーク間接続
装置は、上位層アプリケーション判別手段を備えてお
り、広域情報通信網から受信したパケットにおける上位
層アプリケーションを判別し、判別した上位層アプリケ
ーションと上記記憶手段に予め登録されている上位層ア
プリケーションの情報と比較して、受信パケットをロー
カルエリアネットワークへ送信するか否かを決定するフ
ィルタリング機能を具備している。

【００１５】このように、上記ルータ形式ネットワーク
間接続装置は、広域情報通信網からパケットを受信した
とき、従来では何ら考慮されていなかったネットワーク
層より上位層であるアプリケーションを判別してフィル
タリングを行うようになっており、これにより、ある特
定のアプリケーション通信のみを許可し、それ以外の通
信を不可能にするといったアプリケーションレベルの細
かな制限を加えることが可能となり、不用意な外部から
の侵入を防ぐことができ、高いセキュリティを確保でき
る。

【００１６】

【実施例】本発明の一実施例について図１に基づいて説
明すれば、以下の通りである。

【００１７】本実施例に係るルータ形式ネットワーク間
接続装置は、図１に示すように、ＯＳＩ参照モデルの物
理層およびデータリンク層に位置するイーサネット（登
録商標、ゼロックス社）方式の通信規約を有して情報デ
ータ信号の通信をＴＣＰ／ＩＰ通信によって行うＬＡＮ
１と広域情報通信網としてのＩＳＤＮ２との間に設けら
れ、上記ＬＡＮ１とＩＳＤＮ２との間をネットワーク層
で中継することによって、上記ＬＡＮ１とＩＳＤＮ２に
接続されている他のＬＡＮやホストマシン（図示せず）
との間の情報通信を中継するＩＳＤＮ対応リモートＩＰ
ルータ３である。

【００１８】上記ＩＰルータ３は、ＬＡＮ１およびＩＳ
ＤＮ２の両インターフェース、即ち、イーサネットイン
ターフェースと、Ｉインターフェース（国際電信電話諮
問委員会（ＣＣＩＴＴ）において勧告されているＩ．４
３０に基づいたＩＳＤＮ基本インターフェース、または
ＣＣＩＴＴのＩ．４３１に基づいたＩＳＤＮ一次群速度
インターフェース）とを有しており、これらのインター
フェースによってＬＡＮ１およびＩＳＤＮ２と接続され
ている。

【００１９】ところで、ＯＳＩ参照モデルのネットワー
ク層に位置するＩＰパケットには、パケットの送信元お
よび転送先のネットワークアドレス（ＩＰアドレス）を
含むＩＰヘッダが含まれると共に、ネットワーク層より
上位層のトランスポート層（レイヤ４）に関する情報も
含まれている。このトランスポート層に関する情報とし
ては、ＴＣＰヘッダもしくはＵＤＰ（User Datagram Pr
otocol）ヘッダがあり、上記ＴＣＰヘッダやＵＤＰヘッ
ダには、例えば、ポート番号２１はＦＴＰ、ポート番号
２３はＴＥＬＮＥＴというように、上位層アプリケーシ
ョンを一意に識別するためのディスティネーション（宛
先）ポート番号が含まれている。最終的にＩＰパケット
を受信したホストでは、ＴＣＰまたはＵＤＰの処理プロ
グラムが、処理データを、上記ディスティネーションポ
ート番号で指定された上位層アプリケーションを処理す
るためのプログラムへ送るようになっている。

【００２０】したがって、ＩＰパケットに含まれている
ＴＣＰヘッダもしくはＵＤＰヘッダ中のディスティネー
ションポート番号をチェックすることによって、上位層
アプリケーションを判別することができる。そこで、本
実施例のＩＰルータ３は、以下に説明するように、上記
ディスティネーションポート番号をチェックして上位層
アプリケーションを判別する機能を備えている。

【００２１】上記ＩＰルータ３は、ＩＳＤＮ２からのデ
ータの受信処理を行うＩＳＤＮデータ受信部４と、接続
相手毎にディスティネーションポート番号に関する情報
（上位層アプリケーションに関する情報）が登録されて
いるポート番号テーブル（記憶手段）５と、受信データ
のＩＰパケットに含まれているＴＣＰもしくはＵＤＰヘ
ッダ中のディスティネーションポート番号をチェック
し、上記ポート番号テーブル５に予め登録されているデ
ィスティネーションポート番号に関する情報に基づいて
情報通信を中継するか否かを決定する上位層アプリケー
ション判別部（上位層アプリケーション判別手段）６
と、ルーティング情報（転送経路情報）が登録されてい
るルーティング情報テーブル７と、ＩＰパケットに含ま
れているネットワークアドレス（ＩＰアドレス）をチェ
ックし、上記ルーティング情報テーブル５６に予め登録
されているルーティング情報に基づいてルーティングを
行うルーティング処理部８と、ＩＳＤＮ２から受信した
データをＬＡＮ１で用いられているプロトコルのフォー
マットに対応するように変換してＬＡＮ１上へ出力する
ＬＡＮ出力部９とを有している。

【００２２】上記ＩＰルータ３は、装置全体の動作を制
御するＣＰＵ（Central ProcessingUnit)と、このＣＰ
Ｕの実行するプログラムや制御用データ、さらには、通
信対象のデータの一時記憶やパラメータ記憶に用いられ
るメモリを備えており、上記のＩＳＤＮデータ受信部
４、上位層アプリケーション判別部６、ルーティング処
理部８、およびＬＡＮ出力部９は、上記メモリに格納さ
れた所定のプログラムを実行するＣＰＵから構成される
ものである。また、上記メモリは、ディスティネーショ
ンポート番号に関する情報を格納する領域（上記ポート
番号テーブル５）を有すると共に、ルーティング情報を
格納する領域（上記ルーティング情報テーブル７）を有
している。

【００２３】上記の構成において、ＩＰルータ３の動作
を以下に説明する。

【００２４】先ず、ルーティング情報を、予め、ＩＰル
ータ３のルーティング情報テーブル７へ登録すると共
に、接続相手毎にディスティネーションポート番号に関
する情報を、予め、ポート番号テーブル５へ登録するこ
とになる。本実施例では、許可したくない上位層アプリ
ケーションのディスティネーションポート番号を、接続
相手毎に、ポート番号テーブル５へ登録するようになっ
ている。

【００２５】上記の登録が行われたＩＰルータ５３で
は、ＩＳＤＮ５２からのデータをＩＳＤＮデータ受信部
４で受信処理し、ＩＰパケットとして上位層アプリケー
ション判別部６へわたすことになる。

【００２６】このとき、上位層アプリケーション判別部
６は、ＩＰヘッダ中の送信元ネットワークアドレス（Ｌ
ＡＮ１との接続相手のネットワークアドレス）と、ＴＣ
ＰヘッダもしくはＵＤＰヘッダ中のディスティネーショ
ンポート番号とをチェックし、そのディスティネーショ
ンポート番号と上記ポート番号テーブル５に予め登録さ
れている接続相手毎のディスティネーションポート番号
とを比較し、そのディスティネーションポート番号がポ
ート番号テーブル５に登録されていれば、上記パケット
を破棄する。一方、そのディスティネーションポート番
号がポート番号テーブル５に登録されていなければ、上
記パケットをルーティング処理部８へわたす。

【００２７】上記ルーティング処理部８は、パケットの
送信元や転送先をネットワークアドレスから判断し、ル
ーティング情報テーブル７に予め登録されているルーテ
ィング情報に基づいてルーティングを行う。尚、もし、
送信元や転送先のネットワークアドレスが上記ルーティ
ング情報テーブル７に登録されていなかった場合、ルー
ティング処理部８は、上記パケットを破棄する。ルーテ
ィング処理部８においてルーティングが行われた場合、
ＬＡＮ出力部９がデータをＬＡＮ１で用いられているプ
ロトコルのフォーマットに対応するように変換してＬＡ
Ｎ１上へ出力する。

【００２８】以上のように、本実施例のＩＰルータ３
は、ＬＡＮ１とＩＳＤＮ２とのインターフェースを有
し、上記ＬＡＮ１とＩＳＤＮ２との間をネットワーク層
で中継するものであって、上位層アプリケーションに関
する情報としてディスティネーションポート番号を記憶
するポート番号テーブル５と、上記ＩＳＤＮ２から受信
したＩＰパケットにおける上位層アプリケーションをＴ
ＣＰもしくはＵＤＰヘッダ中のディスティネーションポ
ート番号から判別し、上記ポート番号テーブル５に記憶
されている情報に基づいて、受信ＩＰパケットをＬＡＮ
１へ送信するか否かを決定する上位層アプリケーション
判別部６とを備えている構成である。

【００２９】このように、本実施例のＩＰルータ３は、
従来では何ら考慮されていなかったネットワーク層より
上位層のアプリケーションを判別してＬＡＮ１への中継
を行うか否かを決定（フィルタリング）するようになっ
ているので、アプリケーションレベルで不用意な外部か
らの侵入を防ぐことができ、高いセキュリティを確保で
きる。

【００３０】例えば、ＦＴＰによるファイル転送は許可
するが、ＴＥＬＮＥＴやrloginによる侵入を認めたくな
いという取り引き先（ＬＡＮ１との接続相手）があった
場合、ポート番号テーブル５に、ＴＥＬＮＥＴのポート
番号２３およびrloginのポート番号５１３をその取り引
き先に対応するネットワーク番号（ＩＳＤＮ番号）と共
に登録しておけば、その取り引き先に対してはＴＥＬＮ
ＥＴやrloginによる侵入を回避でき、許可したアプリケ
ーション通信（ＦＴＰによるファイル転送）に対しては
何ら影響を与えることはない。

【００３１】尚、上記実施例では、許可したくない上位
層アプリケーションのディスティネーションポート番号
をポート番号テーブル５へ登録するようになっている
が、逆に、許可する上位層アプリケーションのディステ
ィネーションポート番号のみを登録するようにし、ＩＳ
ＤＮ２から受信したＩＰパケットのディスティネーショ
ンポート番号がポート番号テーブル５に登録されている
ポート番号と一致したときのみ、ＬＡＮ１への中継を行
うような構成にしてもよい。

【００３２】また、上記実施例では、イーサネット方式
でＴＣＰ／ＩＰ通信を行うＬＡＮ１とＩＳＤＮ２とを例
に挙げて説明したが、これらに限定されるものではな
く、それぞれ他のプロトコルを有するＬＡＮや広域情報
通信網であってもよい。上記実施例は、あくまでも、本
発明の技術内容を明らかにするものであって、そのよう
な具体例にのみ限定して狭義に解釈されるべきものでは
なく、本発明の精神と特許請求の範囲内で、いろいろと
変更して実施することができるものである。

【００３３】

【発明の効果】本発明のルータ形式ネットワーク間接続
装置は、以上のように、ローカルエリアネットワークと
広域情報通信網とのインターフェースを有し、上記ロー
カルエリアネットワークと広域情報通信網との間の情報
通信をネットワーク層で中継するものであって、上位層
アプリケーションに関する情報を記憶する記憶手段と、
上記広域情報通信網から受信したパケットにおける上位
層アプリケーションを判別し、上記記憶手段に記憶され
ている情報に基づいて、受信パケットをローカルエリア
ネットワークへ送信するか否かを決定する上位層アプリ
ケーション判別手段とを備えている構成であり、広域情
報通信網からパケットを受信したとき、従来では何ら考
慮されていなかったネットワーク層より上位層であるア
プリケーションを判別してフィルタリングを行うように
なっている。

【００３４】それゆえ、ある特定のアプリケーション通
信のみを許可し、それ以外の通信を不可能にするといっ
たアプリケーションレベルの細かな制限を加えることが
可能となり、不用意な外部からの侵入を防ぐことがで
き、高いセキュリティを確保できるという効果を奏す
る。

【図面の簡単な説明】

【図１】本発明の一実施例を示すものであり、ルータ形
式ネットワーク間接続装置の要部の構成を示すブロック
図である。

【図２】従来のルータ形式ネットワーク間接続装置の要
部の構成を示すブロック図である。

【符号の説明】

１ ＬＡＮ（ローカルエリアネットワーク） ２ ＩＳＤＮ（広域情報通信網） ３ ＩＰルータ（ルータ形式ネットワーク間接続装
置） ４ ＩＳＤＮデータ受信部 ５ ポート番号テーブル（記憶手段） ６ 上位層アプリケーション判別部（上位層アプリケ
ーション判別手段） ７ ルーティング情報テーブル ８ ルーティング処理部 ９ ＬＡＮ出力部

Claims (1)

【特許請求の範囲】
1. 【請求項１】ローカルエリアネットワークと広域情報通
   信網とのインターフェースを有し、上記ローカルエリア
   ネットワークと広域情報通信網との間の情報通信をネッ
   トワーク層で中継するルータ形式ネットワーク間接続装
   置において、 上位層アプリケーションに関する情報を記憶する記憶手
   段と、 上記広域情報通信網から受信したパケットにおける上位
   層アプリケーションを判別し、上記記憶手段に記憶され
   ている情報に基づいて、受信パケットをローカルエリア
   ネットワークへ送信するか否かを決定する上位層アプリ
   ケーション判別手段とを備えていることを特徴とするル
   ータ形式ネットワーク間接続装置。