(57)【要約】【課題】ＩＰアドレスと実際のネットワークの接続形態との関係を瞬時に把握できるようにする。【解決手段】ファイアウォール装置は、判断データベース（ＴＤＢ）と、トポロジ図作成支援部と、ネットワーク通信回路と、を備えている。ＴＤＢには、データの優先順位、データ識別情報、データの第１ネットワークでの第１アドレス情報、データの第２ネットワークでの第２アドレス情報、及び通過許可又は通過禁止の判断情報を１組とした複数組の制御情報ＣＩが記憶されている。接続形態図作成支援部は、ＴＤＢに記憶された複数組の制御情報をもとに、第１アドレス情報、第２アドレス情報、第１アドレス情報と第２アドレス情報とを接続する接続情報、及び判断情報が図形で表示された接続形態図の作成を支援する。送信されるデータを、ＴＤＢに従って、ネットワーク通信回路が通過許可又は通過拒否する。【選択図】図１３
2010041113.tif 000002
【特許請求の範囲】
【請求項１】
第１ネックワークから第２ネットワークに送信されるデータに対して優先順位を設定して通過許可又は通過拒否するネットワーク制御装置であって、
前記データを識別するデータ識別情報、前記データの前記第１ネットワークでの第１アドレス情報、前記データの前記第２ネットワークでの第２アドレス情報、及び前記通過許可又は前記通過禁止を示す情報を含む制御情報を基に、前記第１ネットワークの第１アドレス情報及び第２ネットワークの第２アドレス情報、前記第１アドレス情報と前記第２アドレス情報とを接続する接続情報、並びに各組の前記判断情報が図形で表示された接続形態図の作成を支援する接続形態図作成支援部と、
前記制御情報に従って、前記データを通過許可又は通過拒否するネットワーク通信部と、
を備えたネットワーク制御装置。
【請求項２】
前記制御情報を優先順位が高いものから順に表形式で表示する表形式表示部をさらに備えた、請求項１に記載のネットワーク制御装置。
【請求項３】
前記接続形態図作成支援部は、
前記第１アドレス情報及び第２アドレス情報を、第１アドレス図形及び第２アドレス図形でそれぞれ表示するアドレス図形表示部と、
前記各組の前記第１アドレス情報及び第２アドレス情報をもとに、前記接続情報を接続関係がある前記第１アドレス図形と前記第２アドレス図形とを結ぶ接続図形で表示する接続図形表示部と、
前記接続図形に関連付けて前記識別情報を識別図形で表示する識別図形表示部と、
前記識別図形に関連付けて前記判断情報を判断図形で表示する判断図形表示部と、
を有する、請求項１又は２に記載のネットワーク制御装置。
【請求項４】
前記第１アドレス図形及び第２アドレス図形、前記接続図形、前記判断図形、及び前記識別図形を記憶する図形情報記憶部をさらに備える、請求項３に記載のネットワーク制御装置。
【請求項５】
前記制御情報記憶部に記憶された前記複数組の前記第１アドレス情報を比較し、かつ前記複数組の前記第２アドレス情報を比較するアドレス比較部をさらに備える、請求項３又は４に記載のネットワーク制御装置。
【請求項６】
第１ネットワークから第２ネットワークに送信されるデータに対して優先順位を設定して通過許可又は通過拒否するネットワーク制御方法であって、
前記データの識別情報、前記データの前記第１ネットワークでの第１アドレス情報、前記第２ネットワークでの第２アドレス情報、及び前記通過許可又は前記通過禁止を示す情報を含む制御情報を読み出す読出ステップと、
読み出された前記制御情報をもとに、前記第１及び第２ネットワークの第１及び第２アドレス情報、前記第１アドレス情報と第２アドレス情報とを接続する接続情報、並びに各組の前記判断情報が図形で表示された接続形態図の作成を支援する接続形態図作成支援ステップと、
を含むネットワーク制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、第１ネックワークから第２ネットワークに送信されるデータに対して通過許可又は通過拒否するネットワーク制御装置及びネットワーク制御方法に関する。
【背景技術】
【０００２】
インターネットに接続可能なネットワークでは、内部のネットワークを保護するためにファイアウォール装置と呼ばれるネットワーク制御装置が用いられている。ネットワーク制御装置は、パケットデータの通過許可又は通過拒否の判断を行ってネットワークのセキュリティを確保している。パケットデータには、送信元のＩＰアドレス、送信元のサービスの種別、送信先のＩＰアドレス、送信先のサービスの種別が付与されている。ネットワーク制御装置では、パケットデータの選別の方針（セキュリティポリシー）にしたがって作成された判断データベースに基づいて、パケットデータを通過許可又は通過拒否する。
【０００３】
インターネット上では、アドレスは３２ビットのＩＰ（Internet Protocol）アドレスで示されている。判断データベースには、パケットデータの優先順位、パケットデータの識別情報、送信元のＩＰアドレス、送信元のサービスの種別、送信先のＩＰアドレス、送信先のサービスの種別、及び通過許可又は通過拒否の判断情報を含む制御情報が複数組記憶されている。
【０００４】
ＩＰアドレスには、そのＩＰドアドレスの識別情報とそのアドレスの範囲とを示すサブネットマスクが設定されている。サービスの種別には、ＴＣＰ（Transmission Control Protocol）やＵＤＰ（User Datagram Protocol）等のＩＰ及びそのポート番号で規定されるＩＰのサービスの情報（たとえば、SMTP（Simple Mail Transfer Protocol）,http(Hypertext Transfer Protocol）,ftp(File Transfer Protocol）等）が設定されている（たとえば、特許文献１参照）。
【特許文献１】特開２００６−５７１６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
従来のネットワーク制御装置では、判断データベースを作成した後に、判断データベースを表形式で表示して、作成者が作成内容をチェックしている。しかし、表形式で表示された判断データベースでは、ＩＰアドレスと、実際のネットワークの接続形態と、の対応関係を作成の際に瞬時に把握しにくい。このため、作成した判断データベースの各組の優先順位や各組の相互の関係を把握しにくい。
【０００６】
本発明の課題は、ネットワーク制御装置において、ＩＰアドレスと、実際のネットワークの接続形態と、の対応関係を瞬時に把握できるようにすることにある。
【課題を解決するための手段】
【０００７】
本願に開示するネットワーク制御装置は、インターネット上で接続可能な第１ネックワークから第２ネットワークに送信されるデータに対して通過許可又は通過拒否する装置である。ネットワーク制御装置は、制御情報記憶部と、接続形態図作成支援部と、ネットワーク通信部と、を備えている。接続形態図作成支援部は、データを識別するデータ識別情報、データの第１ネットワークでの第１アドレス情報、データの第２ネットワークでの第２アドレス情報、及び通過許可又は通過禁止を示す情報を含む制御情報に基に、第１アドレス情報、第２アドレス情報、第１アドレス情報と第２アドレス情報とを接続する接続情報、及び判断情報が図形で表示された接続形態図の作成を支援する。また、第１ネットワークから第２ネットワークに送信されるデータを、制御情報に従って、ネットワーク通信部が通過許可又は通過拒否する。
【０００８】
ここでは、制御情報に基づいて、第１アドレス情報、第２アドレス情報、２つのアドレス情報の接続情報、及び判断情報が図形化されて表示されるので、接続形態及び各組の関係が可視化される。このため、実際のネットワークの接続形態と、第１及び第２アドレス情報と、の対応関係を瞬時に把握することができる。
【発明の効果】
【０００９】
開示されたネットワーク制御装置、ネットワークの制御方法では、制御情報に基づいて、第１アドレス情報、第２アドレス情報、２つのアドレス情報の接続情報、及び判断情報が図形化されて表示されるので、接続形態及び各組の関係が可視化される。このため、実際のネットワークの接続形態と、第１及び第２アドレス情報と、の対応関係を瞬時に把握することができる。
【発明を実施するための最良の形態】
【００１０】
図１において、開示されたファイアウォール装置（ネットワーク制御装置の一例）１０は、例えば外部ネットワーク（第１ネットワークの一例）１２から内部ネットワーク（第２ネットワークの一例）１４に送信されるパケットデータＰＤを選別するものである。外部ネットワーク１２と内部ネットワーク１４とはインターネット経由で接続可能である。外部ネットワーク１２とファイアウォール装置１０との間には、ルータ装置１６が配置されている。ルータ装置１６は、ＮＡＴ（Network Address Translation）機能を有し、ネットワークの経路選択にかかわる処理を行っている。
【００１１】
内部ネットワーク１４は、ルータ装置１６と、ファイアウォール装置１０と、複数台のコンピュータ２０とで構成されている。これらは、ローカルエリアネットワーク（ＬＡＮ）を構成しており、それぞれの機器には、ローカルアドレス（１９２．１６８．０.０／２４）が設定されている。ここで、「／１６」は、サブネットマスク、すなわちローカルアドレスの識別情報とアドレス範囲との境界を示す数値であり、この場合は３２ビットのアドレスの内１６ビットがマスクされ、残りの１６（２16）がアドレスの範囲を示している。コンピュータ２０の一部は種々のサーバとして機能し、その他のコンピュータ２０はクライアントとして機能する。
【００１２】
＜ファイアウォール装置のハードウェア構成＞
ファイアウォール装置１０は、たとえば、内部ネットワーク１４内のコンピュータ２０でインターネット閲覧ソフトウェアを起動することにより操作される。
図２に示すように、ファイアウォール装置１０は、ハードウェア構成として、ＣＰＵ（Central Processing Unit）が搭載されたマイクロコンピュータを有する制御部３０を備えている。制御部３０は図示しないメモリを有している。また、ファイアウォール装置１０は、制御部３０に接続され、ハードディスク又は半導体メモリ等を含む記憶装置３２と、制御部３０により制御されるネットワーク通信回路３４と、を備えている。記憶装置３２には、ファイアウォール装置１０の制御プログラム３８が格納されている。制御プログラム３８には、ファイアウォール装置１０の設定ソフトウェアが含まれる。また、記憶装置３２には、制御情報記憶部の一例である判断データベース（以下、ＴＤＢと記す）４０と、図形情報記憶部の一例である図形データベース（以下、ＦＤＢと記す）４２とが格納されている。
【００１３】
ネットワーク通信回路３４は、たとえば、高速で動作可能なＡＳＩＣ（Application Specific Integrated Circuit）で構成する。ネットワーク通信回路３４は、記憶装置３２に記憶されたＴＤＢ４０により、外部ネットワーク１２から受信したパケットデータＰＤの通過許可又は通過拒否の動作を行う。
ＴＤＢ４０は、ファイアウォール装置１０において、通過許可又は通過拒否を判断するためのデータベースである。ＴＤＢ４０には、選別の方針に従って作成された送信元及び送信先のＩＰアドレス及びサービスの種別毎に通過許可又は通過拒否を判断するための制御情報ＣＩが後述する優先順位をつけて格納されている。
【００１４】
ＴＤＢ４０には、図３に示すように、たとえば、優先順位ＰＯ、識別情報ＩＤ、送信元のＩＰアドレスＡＤ１及びサービスの種別Ｓ１、送信先のＩＰアドレスＡＤ２及びサービスの種別Ｓ２、並びに通過許可又は通過拒否の判断情報ＤＩが格納されている。制御情報ＣＩは、これらの優先順位ＰＯ、識別情報ＩＤ、ＩＰアドレスＡＤ１及びサービスの種別Ｓ１、ＩＰアドレスＡＤ２及びサービスの種別Ｓ２、並びに通過許可又は通過拒否の判断情報ＤＩを含んでいる。
【００１５】
優先順位ＰＯは、ＴＤＢ４０を用いてパケットデータＰＤの通過許可・通過拒否を判断する際の検索順を示している。識別情報ＩＤは、パケットデータＰＤのＩＰアドレスＡＤ１及びサービスの種別Ｓ１を識別するための情報である。ＩＰアドレスＡＤ１は、送信されたパケットデータＰＤに含まれる送信元、すなわち外部ネットワーク１２のサブネットマスク付きのＩＰアドレスである。サービスの種別Ｓ１は、パケットデータＰＤに含まれる送信元のサービスの種別である。サービスの種別は、具体的には、ＩＰ層の上位層のプロトコルの番号及びそのポート番号で記述されている。第１アドレス情報ＡＳ１が、ＩＰアドレスＡＤ１とサービスの種別Ｓ１とを有している。
【００１６】
ＩＰアドレスＡＤ２は、送信されたパケットデータＰＤに含まれる送信先、すなわち内部ネットワーク１４のサブネットマスク付きのＩＰアドレスである。サービスの種別Ｓ２は、パケットデータＰＤに含まれる送信先のサービスの種別である。第２アドレス情報ＡＳ２が、このＩＰアドレスＡＤ２とサービスの種別Ｓ２とを有している。なお、図３のサービスの種別Ｓ１，Ｓ２で「ａｎｙ」の表記は任意のサービスの種別を含んでいるという意味であり、サービスの種別を限定しないという意味である。
【００１７】
ここで、複数のＩＰアドレスＡＤ１に包含関係があるＩＰアドレスＡＤ１が複数ある場合、アドレス範囲が狭いＩＰアドレスＡＤ１ほど高くなるように優先順位が設定されている。包含関係がない場合は、優先順位は通過許可が通過拒否より高く設定され、さらに後述する一致数の数値が大きいほど高くなっている。なお、アドレス範囲の広狭で優先順位を設定するのは、アドレス範囲が広いＩＰアドレスのパケットデータＰＤを先に判断すると、アドレス範囲が狭いＩＰアドレスのパケットデータＰＤを無条件に通過許可又は通過拒否してしまうからである。
【００１８】
ＦＤＢ４２には、後述するトポロジ図作成支援部５２で各種の図形のデータを作成するための基本データ及び作成された図形データが格納されている。作成された図形データは、ＴＤＢ４０の制御情報ＣＩと関連付けて記憶されている。
＜制御部の機能構成＞
図４に示すように、ファイアウォール装置１０は、制御部３０の機能構成として、表形式表示部５０と、トポロジ図（接続形態図の一例）の作成を支援するトポロジ図作成支援部（接続形態図支援部の一例）５２と、を有している。また、ファイアウォール装置１０は、アドレス比較部５４と、包含アドレス判断部５６と、同一アドレス判断部５８と、連続アドレス判断部６０と、制御情報書換部６２と、受信回数計数部６４と、優先順位変更部６６と、を有している。
【００１９】
表形式表示部５０は、作成者が作成しＴＤＢ４０に記憶された複数組の制御情報ＣＩを、図３に示すように、優先順位が高いものから順に表形式で表示する。しかし、作成段階では、優先順位を誤って付している場合がある。このように間違って優先順位を付しても、ＴＤＢ４０に基づいて、ネットワーク通信回路３４がパケットデータＰＤを通過許可又は通過拒否してしまう。そこで、優先順位を瞬時に判断できるようにするために、トポロジ図作成支援部５２を用いる。
【００２０】
アドレス比較部５４は、ＴＤＢ４０に記憶された複数組の制御情報ＣＩの第１アドレス情報ＡＳ１それぞれを比較し、かつ第２アドレス情報ＡＳ２それぞれを比較する。包含アドレス判断部５６は、アドレス比較部５４の比較結果により、アドレス範囲の広狭を判断し、表示された複数の第１アドレス情報ＡＳ１の中に包含関係にある第１アドレス情報ＡＳ１があるか否かを判断する。
【００２１】
同一アドレス判断部５８は、アドレス比較部５４の比較結果により、表示された複数組の第１アドレス情報ＡＳ１又は第２アドレスＡＳ２の中に同一の第１アドレス情報ＡＳ１又は第２アドレスＡＳ２があるか否かを判断する。
連続アドレス判断部６０は、アドレス比較部５４の比較結果により、複数組の第１アドレス情報ＡＳ１又は第２アドレスＡＳ２の中に連続する第１アドレス情報ＡＳ１又は第２アドレス情報ＡＳ２があるか否かを判断する。
【００２２】
制御情報書換部６２は、トポロジ図作成支援部５２で作成された図形データに基づいて、ＴＤＢ４０内のデータを書き換える。
受信回数計数部６４は、外部ネットワーク１２から制御情報ＣＩが一致したパケットデータＰＤを受信した回数を計数する。
優先順位変更部６６は、複数の第１アドレス情報に包含関係がない場合、受信回数計数部６４での計数結果により、受信回数が多い制御情報ＣＩの組の優先順位を高くする。
【００２３】
トポロジ図作成支援部５２は、ＴＤＢ４０に記憶された制御情報ＣＩの構成要素を図形化する。トポロジ図作成支援部５２は、第１及び第２アドレス情報ＡＳ１，ＡＳ２、第１アドレス情報ＡＳ１と第２アドレス情報ＡＳ２とを接続する接続情報、並びに判断情報ＤＩが図形で表示された図１２に示すようなトポロジ図の作成を支援する。
トポロジ図作成支援部５２は、アドレス図形表示部７０と、接続図形表示部７２と、識別図形表示部７４と、判断図形表示部７６と、を有している。アドレス図形表示部７０は、ＴＤＢ４０に記憶された送信元及び送信先の第１及び第２アドレス情報ＡＳ１，ＡＳ２をそれぞれのアドレス図形で表示する。接続図形表示部７２は、ＴＤＢ４０に記憶されたＩＰアドレスＡＤ１，ＡＤ２から送信元のアドレス図形と送信先のアドレス図形とを結ぶ接続図形で接続情報を表示する。識別図形表示部７４は、識別情報ＩＤを接続図形に関連付けて識別図形で表示する。判断図形表示部７６は、判断情報ＤＩを識別図形に関連付けて判断図形で表示する。
【００２４】
この実施形態では、図１２に示すように、第１及び第２アドレス図形ＦＡ１，ＦＡ２が、例えば楕円形で表示される。このとき、この実施形態では、ディスプレイ上に第２アドレス図形ＦＡ２を第１アドレス図形ＦＡ１の上方に配置し、かつ優先順位が高いものから順に左側から並べて配置する。なお、第１及び第２アドレス図形ＦＡ１，ＦＡ２には、第１及び第２アドレス情報ＡＳ１，ＡＳ２が表示された矩形の吹き出し図形が近接して配置されている。識別図形ＦＩＤは、接続図形ＦＣに関連付けて表示され、図１２では接続図形ＦＣの途中に表示されている。識別図形ＦＩＤの中には識別情報ＩＤである組の名前（この例では、Ａ−Ｅ）が表示されている。判断図形ＦＤＩは、識別図形ＦＩＤに関連付けて表示され、矩形の吹き出しで表示されている。判断図形ＦＤＩの中には、通過許可を示す「○」又は通過拒否を示す「×」のマークが表示されている。
【００２５】
さらにトポロジ作成支援部５２は、包含図形表示部７８と、優先順位不適表示部８０と、同一図形集約表示部８２と、連続図形集約表示部８４と、を有している。包含図形表示部７８は、表示された複数の第１アドレス図形ＦＡ１の中に、包含関係にある第１アドレス情報ＡＳ１に対応する第１アドレス図形ＦＡ１が複数あるとき、包含する側の第１アドレス図形ＦＡ１が包含される側の第１アドレス図形ＦＡ１を囲むように表示する。また、包含図形表示部７８は、所定の条件により複数の包含関係にあるアドレス図形を集約して一つの図形として表示する。
【００２６】
優先順位不適表示部８０は、包含される側の第１アドレス図形ＦＡ１の優先順位が包含する側の第１アドレス図形ＦＡ１の優先順位より低くなっているとき、優先順位誤りを示す図形を表示する。
同一図形集約表示部８２は、表示された複数組の第１アドレス図形ＦＡ１の中に同一の第１アドレス情報ＡＳ１に対応する第１アドレス図形ＦＡ１が複数あるとき、第１アドレス情報ＡＳ１に対応する一つの第１アドレス図形ＦＡ１を表示する。また、表示された複数組の第２アドレス図形ＦＡ２の中に同一の第２アドレス情報ＡＳ２に対応する第２アドレス図形ＦＡ２が複数あるとき、第２アドレス情報ＡＳ２に対応する一つの第２アドレス図形ＦＡ２を表示する。
【００２７】
連続図形集約表示部８４は、ＩＰアドレスＡＤ１が連続している複数の第１アドレス情報ＡＳ１があると判断し、判断情報ＤＩが同じ場合、新たな第１アドレス図形ＦＡ１で表示する。また、連続図形集約表示部８４は、ＩＰアドレスＡＤ２が連続している複数の第２アドレス情報ＡＳ２があると判断すると、新たな第２アドレス図形ＦＡ２で表示する。
＜制御部の制御動作＞
ＴＤＢ４０に関する制御部３０の具体的な動作について、以下に説明する。
【００２８】
ＴＤＢ４０の作成及びその内容のチェック等のファイアウォール装置１０の設定操作を行う場合、操作者は、コンピュータ２０のいずれかでインターネット閲覧ソフトウェアを起動する。そして、操作者はインターネット閲覧ソフトウェアのアドレスバーにローカルアドレス（例えば１９２．１６８．１．２）を入力してそのアドレスに移動する。これにより、制御部３０が動作して記憶装置３２内に格納された制御プログラム３８に含まれる設定ソフトウェアが起動する。設定ソフトウェアが起動すると、その設定ソフトウェアの設定画面がコンピュータ２０のディスプレイに表示される。
【００２９】
設定画面では、図５に示すように、たとえば、ＴＤＢ４０の新規の作成、ＴＤＢ４０のチェック、及びその他の設定などの設定作業を行える。これらのいずれかをマウス等で選択することにより設定操作を選択できる。なお、以降の説明では動作の主体は制御部３０である。
設定画面が表示されると、図６のステップＳ１でＴＤＢ４０の新規作成が選択されたか否かを制御部３０が判断する。ステップＳ２では、作成したＴＤＢ４０のチェック操作が選択されたか否かを制御部３０が判断する。ステップＳ３では、その他の設定処理が選択されたか否かを制御部３０が判断する。その他の設定としては、ファイアウォール装置１０のアドレスの設定等がある。ステップＳ４では、終了操作がなされたか否かを判断する。終了操作を判断するまでステップＳ１に戻る。終了操作がなされるとインターネット閲覧ソフトウェアを終了する。
【００３０】
ＴＤＢ新規作成が選択されるとステップＳ１からステップＳ５に移行する。ステップＳ５では、図７に示すＴＤＢ４０の新規作成処理を実行する。ＴＤＢチェックが選択されるとステップＳ２からステップＳ６に移行する。ステップＳ６では、図８に示すＴＤＢ４０のチェック処理を実行する。その他の設定処理が選択されるとステップＳ３からステップＳ７に移行する。ステップＳ７では、アドレス設定等のその他の設定処理を行う。
【００３１】
操作者によりＴＤＢ４０の新規作成が選択されると、図７のステップＳ１１で、制御部３０が新規の表形式の画面を表示する。具体的には、図３に示した表と同じもので制御情報が空欄になっている画面を制御部３０が表示する。ステップＳ１２では、操作者の制御情報ＣＩの入力を制御部３０が受け付ける。具体的には、図３に示した表の各欄に、顧客から受け取った送信元に対する選別の方針に基づいて、操作者により入力された制御情報ＣＩを制御部３０が受け付ける。ステップＳ１３では、入力終了か否かを操作者の操作により制御部３０が判断する。具体的には、新規作成画面に表示される設定画面と同様の終了表示を操作者がマウス等によりクリックすると、入力終了を制御部３０が判断する。入力終了するまではステップＳ１２に戻り、入力が終了するとステップＳ１４に移行する。ステップＳ１４では、制御部３０が入力された制御情報ＣＩをＴＤＢ４０に記憶する。
【００３２】
入力結果の一例が図３である。図３の表形式のデータでは、優先順位を誤って記載しているところがある。すなわち、識別情報ＩＤが「Ｄ」の組と「Ｅ」の組とで、２つのＩＰアドレスＡＤ１の包含関係が無視されている。そこでこのようなミスを見つけ出すために、操作者はＴＤＢ４０の作成を終わると、作成したＴＤＢ４０のチェック処理を選択する。
【００３３】
ＴＤＢ４０のチェック処理では、図８のステップＳ２１で、作成されたＴＤＢ４０の各組の制御データＣＩを制御部３０が読み込み、制御部３０内の図示しないメモリに格納する。ステップＳ２２では、読み込んだＴＤＢ４０の制御情報ＣＩを表形式で制御部３０がディスプレイに表示する。ステップＳ２３では、操作者がトポロジ図の作成を選択したか否かを制御部３０が判断する。操作者は接続形態を瞬時に判断したい場合、トポロジ図の作成処理を選択する。ステップＳ２４では、操作者がアドレス関連処理を選択したか否かを制御部３０が判断する。アドレス関連処理は、ＴＤＢ４０内の第１アドレス情報ＡＳ１同士又は第２アドレス情報ＡＳ２同士を比較して同一性、包含関係及び連続性等を判断する処理である。ステップＳ２５では、操作者が優先順位変更処理を選択したか否かを制御部３０が判断する。優先順位変更処理は、同じ識別情報ＩＤのパケットデータＰＤを受信した回数により優先順位を変更する処理である。具体的には、アドレスの包含関係がない識別情報ＩＤの場合、受信回数が多い識別情報ＩＤの制御情報ＣＩほど優先順位を高くする。ステップＳ２６では、作成者がチェック処理の終了を選択したか否かを制御部３０が判断する。終了の選択をするまでは、ステップＳ２２に戻る。
【００３４】
トポロジ図の作成が選択されると、ステップＳ２３からステップＳ３０に移行する。ステップＳ３０では、読み込んだＴＤＢ４０の制御情報ＣＩにより、図９に示す図形作成処理を制御部３０が行う。アドレス関連処理が選択されたと判断すると、ステップＳ２４からステップＳ３１に移行する。ステップＳ３１では、作成された図形データに基づいて図１０に示すアドレス関連処理を制御部３０が行う。優先順位変更処理が選択されると、ステップＳ２５からステップＳ３２に移行する。ステップＳ３２では、同じ識別情報ＩＤの受信回数に基づいて優先順位を変更する、図１１に示す優先順位変更処理を制御部３０が行う。操作者がＴＤＢ４０のチェック処理の終了を選択すると、ステップＳ２６からステップＳ３３に移行する。ステップＳ３３では、トポロジ図の作成及び変更等により制御情報ＣＩが書き換えられた場合、そのデータを元にＴＤＢ４０の格納内容を書き換える要求を操作者が選択したか否かを制御部３０が判断する。操作者が書換要求を選択すると、ステップＳ３３からステップＳ３４に移行する。ステップＳ３４では、ＦＤＢ４２の制御情報ＣＩでＴＤＢ４０の制御情報ＣＩを制御部３０が書き換える。これにより、トポロジ図上での操作によりＴＤＢ４０を書き換えできるため、ＴＤＢ４０の誤り訂正処理が容易になる。
【００３５】
図形作成処理では、図９のステップＳ４１で各組のＩＰアドレスＡＤ１とサービスの種別Ｓ１とから送信元の各組の第１アドレス図形ＦＡ１を制御部３０が作成して表示する。ステップＳ４２では、各組のＩＰアドレスＡＤ２とサービスの種別Ｓ２とから送信先の各組の第２アドレス図形ＦＡ２を制御部３０が作成して表示する。
図１２に示すように、第１及び第２アドレス図形ＦＡ１，ＦＡ２は、例えば楕円形で表示される。このとき、ディスプレイ上に第２アドレス図形ＦＡ２を第１アドレス図形ＦＡ１の上方に配置する。また、第１及び第２アドレス図形ＦＡ１，ＦＡ２及び識別図形ＦＩＤを、優先順位が高いものから順に左側から並べて配置する。これにより、優先順位を容易に把握できる。なお、第１及び第２アドレス図形ＦＡ１，ＦＡ２には、第１及び第２アドレス情報ＡＳ１，ＡＳ２が表示された矩形の吹き出し図形が近接して配置されている。
【００３６】
ステップＳ４３では、ＩＰアドレスＡＤ１とＩＰアドレスＡＤ２とから各組の２つのアドレス図形を結ぶ接続図形ＦＣを制御部３０が作成して表示する。図１２に示すように、接続図形ＦＣは、たとえば矢印が付された線で表示される。ステップＳ４４では、識別情報ＩＤから識別図形ＦＩＤを制御部３０が作成して表示する。図１２に示すように、識別図形ＦＩＤは、接続図形ＦＣに関連付けて表示され、図１２では接続図形ＦＣの途中に表示されている。識別図形ＦＩＤの中には識別情報である組の名前（この例では、Ａ−Ｅ）が表示されている。ステップＳ４５では、判断情報ＤＩから判断図形ＦＤＩを制御部３０が作成して表示する。図１２では、判断図形ＦＤＩは、識別図形に関連付けて表示され、矩形の吹き出しで表示されている。判断図形ＦＤＩの中には、通過許可を示す「○」又は通過拒否を示す「×」のマークが表示されている。
【００３７】
ＴＤＢ４０に対してこれらの処理が終わると、図１２に示すようなトポロジ図がコンピュータ２０のディスプレイ上に表示される。トポロジ図は、通常は、図３に示したＴＤＢ４０の表の下方に表示されるが、単独でも表示可能である。
アドレス関連処理では、図１０のステップＳ５０でＴＤＢ４０のすべての識別情報ＩＤの組の第１アドレス情報ＡＳ１を制御部３０が比較するとともに、すべての識別情報の組の第２アドレス情報ＡＳ２を制御部３０が比較する。具体的には、優先順位が高い識別情報ＩＤの組から順にそれより優先順位が低い組の全てのアドレス情報を制御部３０が比較する。たとえば、比較する２つのＩＰアドレスＡＤ１又は２つのＩＰアドレスＡＤ２のサブネットマスクが、「／１６」と「／２４」の場合、上位１６ビットの２つのＩＰアドレスＡＤ１又は２つのＩＰアドレスＡＤ２を上位ビットから順に比較する。そして、この比較結果が同じであり、かつサービスの種別Ｓ１，Ｓ２が同じであれば、２つの組が包含関係にあり、かつサブネットマスクが小さい組がサブネットマスクの大きい組を包含すると制御部３０が判断する。なお、同一の場合は、すべてのビットのＩＰアドレスを上位ビットから順に比較する。そして、同一のアドレス情報を有する複数の識別情報ＩＤの組、包含関係がある複数の識別情報ＩＤの組、又は連続したアドレス情報を有する複数の識別情報ＩＤの組がある場合は、それらを制御部３０内のメモリのそれぞれの特定の領域に格納しておく。
【００３８】
ステップＳ５１では、アドレス情報の比較結果により、同一アドレス情報がある複数の識別情報ＩＤの組があるか否かを制御部３０が判断する。ステップＳ５２では、アドレス情報の比較結果により、アドレス範囲の広狭により包含関係にあるアドレス情報を有する複数の識別情報ＩＤの組があるか否かを制御部３０が判断する。ステップＳ５３では、アドレス情報の比較結果により、アドレス情報のＩＰアドレスが連続するアドレス情報を有する複数の識別情報ＩＤの組があるか否かを制御部３０が判断する。なお、アドレスが連続する場合は、サービスの識別の情報も一致している必要がある。ステップＳ５１からステップＳ５３の判断は、たとえば、ステップＳ５０のアドレス比較処理により同一アドレス情報、包含アドレス情報、及び連続アドレス情報が格納されたメモリの特定の領域をアクセスして制御部３０が判断する。
【００３９】
ステップＳ５４では、優先順位が無効か否かを制御部３０が判断する。優先順位の無効か否かは、包含関係がある複数の第１アドレス情報ＡＳ１のうちアドレス範囲が小さい組の優先順位が低いか否かで制御部３０が判断する。
同一アドレス情報を有する複数の識別情報ＩＤの組があると制御部３０が判断すると、ステップＳ５１からステップＳ５５に移行する。ステップＳ５５では、同一のアドレス情報を有する複数のアドレス図形の一つだけに集約して表示し、残りのアドレス図形を消去する。この処理が終わるとステップＳ５２に移行する。この状態を図１３に示す。図１３では、第２アドレス図形ＦＡ２が一つに集約されている。
【００４０】
なお、図１３では、操作者の手動操作でファイアウォール装置１０の図形ＦＷとルータ装置１６の図形ＦＲがトポロジ図に追加されている。これらの情報はＴＤＢ４０に記憶されていないため、手動操作で入力している。また、操作者の手動操作でルータ装置１６から５つの第１アドレス図形ＦＡ１に向けて点線が追加されている。さらに接続図形ＦＣが消去されている。第２アドレス図形ＦＡ２を集約した後は、接続図形ＦＣを曲線で書いた方が見やすいので、操作者の手動操作で接続図形ＦＣが書き加えられる。
【００４１】
包含関係にある複数のアドレス情報を有する複数の識別情報ＩＤの組があると制御部３０が判断すると、ステップＳ５２からステップＳ５６に移行する。ステップＳ５６では、包含関係にある複数のアドレス図形をアドレス範囲の広狭に応じて、包含する側の第１アドレス図形ＦＡ１が包含される側の第１アドレス図形ＦＡ１を囲むように制御部３０が各アドレス図形ＦＡ１を作成して表示する。このとき、接続図形ＦＣはいったん消去されている。図１３では、識別情報ＩＤが「Ｄ」の組の第１アドレス図形ＦＡ１が、識別情報ＩＤが「Ｅ」の組の第１アドレス図形ＦＡ１を囲むように集約している。ステップＳ５７では、包含関係にある複数の第１アドレス図形ＦＡ１が接続情報も含めて全体の接続形態として一つに集約できるか否かを制御部３０が判断する。
【００４２】
ここで、アドレスの包含関係について、例えば、図３中に記載されている優先順位ＰＯ＝４の識別情報Ｄの組と優先順位ＰＯ＝５の識別情報Ｅの組について、包含関係を決定し、図１３の「ホ」及び「へ」に示すような包含関係で表記する。
包含関係の具体的な処理を以下に記載する。
まず、図３の識別情報Ｅの送信元アドレスのＡＤ１（１０．１．３．１９２／２６）と識別情報Ｄの送信元アドレスのＡＤ１（１０．１．３．０／２４）とで、小さい方のサブネットマスク値のビット（この場合、上位２４ビット）が一致しているか否か確認する。この例では、上位２４ビット（１０．１．３）まで一致し、かつサービスの種別が一致しているので、アドレス情報において包含関係が成立する。
【００４３】
具体的には、それぞれのＩＰアドレスをビットで示すと、識別情報Ｅの送信元のＩＰアドレスＡＤ１は「００００１０１０．０００００００１．００００００１１．１１００００００」となる。また、識別情報Ｄの送信元のＩＰアドレスＡＤ１は「００００１０１０．０００００００１．００００００１１．００００００００」となる。これらの２つのＩＰアドレスを、上位ビットから順にビットごとに小さい方のサブネットマスク値（例えば上位２４ビット）まで一致しているか否かを確認する。
【００４４】
その後、識別情報Ｅの送信元アドレスのサブネットマスク値２６と識別情報Ｄの送信元アドレスのサブネットマスク値２４の大小関係でどちらが包含されるかを決定する。この場合は、サブネットマスク値２４が小さいので、図１３に示すように、識別情報Ｄの送信元アドレスのネットワークが識別情報Ｅの送信元アドレスのネットワークを包含するように表記される。
【００４５】
通常、送信先の相手の第２アドレス情報ＡＳ２が一致し、かつ判断情報ＤＩが一致する場合、接続図形ＦＣ、判断図形ＦＤＩ、識別図形ＦＩＤを含む全体の接続形態で一つに集約可能であると制御部３０が判断する。たとえば、図１８に示す、識別情報ＩＤが「Ｄ」及び「Ｅ」の２つの組の場合、第１アドレス情報ＡＳ１は包含関係にあるが、判断情報ＤＩが異なるため、全体の接続形態としては一つに集約できないと判断される。この場合、もし、識別情報ＩＤが「Ｄ」及び「Ｅ」の２つの組の判断情報ＤＩが同じであれば、一つの第１アドレス図形ＦＡ１に集約できる。この場合、アドレス範囲が広い第１アドレス図形ＦＡ１に集約される。
【００４６】
全体の接続形態として集約可能な場合は、ステップＳ５８に移行し、一つの第１アドレス図形ＦＡ１に制御部３０が集約する。この処理が終わるとステップＳ５８からステップＳ５３に移行する。また、集約不能な場合は、ステップＳ５７からステップＳ５３に移行する。
連続性がある複数のアドレス情報ＡＳ１，ＡＳ２を有する複数の識別情報ＩＤの組があると制御部３０が判断すると、ステップＳ５３からステップＳ５９に移行する。ステップＳ５９では、アドレス情報ＡＳ１，ＡＳ２が連続するアドレス図形ＦＡ１，ＦＡ２を制御部３０が結合させる。図１３では、識別情報ＩＤが「Ａ」の組と「Ｂ」の組が連続したアドレス情報を有していると判断され、２つの第１アドレス図形ＦＡ１，ＦＡ１が接触して配置される。これにより、操作者は２つの第１アドレス情報ＦＡ１，ＦＡ１を集約できる可能性があると判断できる。ステップＳ５７では、第１アドレス情報ＡＳ１が連続する複数の第１アドレス図形ＦＡ１が接続情報も含めて全体の接続形態として一つに集約できるか否かを判断する。
【００４７】
この判断は、複数の第１アドレス図形ＦＡ１が包含関係にある場合と同様である。すなわち、送信先の相手の第２アドレス情報ＡＳ２が一致し、かつ判断情報ＤＩが一致する場合、接続図形ＦＣ、判断図形ＦＤＩ、識別図形ＦＩＤを含む全体の接続形態で一つに集約可能であると判断する。たとえば、図１３に示す、識別情報ＩＤが「Ａ」及び「Ｂ」の２つの組の場合、第１アドレス図形ＦＡ１は第１アドレス情報ＡＳ１が連続しており、かつ、判断情報ＦＤＩが同じであるため、全体の接続形態としては一つに集約できると判断される。
【００４８】
ステップＳ６１では、連続した第１アドレス情報ＡＳ１を有する複数のアドレス図形ＦＡ１を一つの新たなアドレス図形で制御部３０が表示する。この処理が終わるとステップＳ５４に移行する。この場合、ＩＰアドレスＡＤ１が連続したものを１つにした新たなアドレスに変更される。この例では、識別情報ＩＤが「Ａ」の組のＩＰアドレスＡＤ１が「10.1.1.0/25」であり、識別情報ＩＤが「Ｂ」の組のＩＰアドレスＡＤ１が「10.1.1.128/25」であるので、ＩＰアドレスＡＤ１が「10.1.1.0/24」に統合される。このとき、識別情報ＩＤが「Ｂ」の組の制御情報は消去される。この状態を図１４に示す。図１４では、連続する第１アドレス情報ＡＳ１を有する識別情報ＩＤが「Ａ，Ｂ」の組のアドレス図形ＦＡ１が、識別情報ＩＤが「Ａ」の組のアドレス図形ＦＡ１に集約され、ＩＰアドレスＡＤ１が統合された新たなものになっている。
【００４９】
優先順位が無効な場合は、ステップＳ５４からステップＳ６２に移行する。ステップＳ６２では、包含関係にある複数の第１アドレス情報ＡＳ１に対して優先順位の無効の可能性がある旨を表示する。たとえば、図１４に示すように、無効図形ＦＮを、関連する識別図形ＦＩＤを囲むように制御部３０が表示する。この処理が終了すると図１４に示す例では、アドレス範囲が広い識別情報ＩＤが「Ｄ」の組が、アドレス範囲が狭い識別情報ＩＤが「Ｅ」の組より左側、すなわち、優先順位が高い側に配置されている。このため、優先順位が無効と判断され、ステップＳ６２に移行して無効図形ＦＮが表示される。これにより、操作者は優先順位を誤って設定したことを認識でき、トポロジ図上で優先順位を変更する操作を行うことができる。このように優先順位を変更する操作をトポロジ上で行うと、図６のステップＳ３３で制御情報書き換えを選択すると、ＦＤＢ４２の制御情報ＣＩでＴＤＢ４０の制御情報ＣＩが書き換えられる。
【００５０】
上記に説明した各処理は、ＴＤＢ４０の作成時に行われる処理であるが、優先順位変更表示処理は、ファイアウォール装置１０が稼働してからある程度の時間が経過してから行われる処理である。この優先順位変更処理は、ＴＤＢ４０を優先順位に沿って検索する際に短時間にヒットさせるために行われる。このため、図１５に示すように、ＴＤＢ４０のそれぞれの識別情報ＩＤの組に一致統計のデータが付与される。この一致統計は、外部ネットワーク１２から制御情報ＣＩが一致したパケットデータＰＤを受信した都度その回数を制御部３０が計数し表示される。
【００５１】
優先順位変更処理では、図１１のステップＳ７１で一致統計（受信回数）に応じて識別情報ＩＤの組を並べ替える。並べ替える前の図３に示したＴＤＢ４０の表に一致統計を付与したＴＤＢ４０の表を図１５に示す。そして並べ替えた状態を図１６に示す。図１６では、受信回数が最も多い、識別情報ＩＤが「Ｃ」の組から順に並べ替えられている。ステップＳ７２では、各組の第１アドレス情報ＡＳ１の包含関係を制御部３０が検索して抽出する。この作業は前述したように優先順位が高い順から順次第１アドレス情報ＡＳ１の比較を行って抽出する。なお、識別情報ＩＤの数が変更されていない場合は、制御部３０にあるメモリの特定の領域をアクセスして包含関係にある識別情報ＩＤの組を抽出してもよい。ステップＳ７３では、包含関係がある組については、アドレス範囲が狭い組ほど優先順位を制御部３０が高くする。ステップＳ７４では、並べ替えた組を包含する組とその上位の組との間に包含される組を優先順位に応じて制御部３０が配置する。この状態を図１７に示す。図１７では、最も受信回数が多い識別情報ＩＤが「Ｃ」の組が最も優先順位が高く設定されている。つぎに、受信回数が多い識別情報ＩＤが「Ｃ」の組の上位に包含関係にありアドレス範囲が狭い識別情報ＩＤが「Ｅ」の組が配置されている。これにより、ＴＤＢ４０の検索に要する時間を短縮することができる。
【００５２】
この一致統計を考慮した優先順位で処理した後のトポロジ図を図１８に示す。図１８では、優先順位の基準に第１アドレス図形ＦＡ１が並べ替えられている。
ここでは、ＴＤＢ４０の制御情報ＣＩに基づいて、第１アドレス情報ＡＳ１、第２アドレス情報ＡＳ２、２つのアドレス情報ＡＳ１，ＡＳ２の接続情報ＣＩ、及び判断情報ＣＤＩが図形化されて表示されるので、接続形態及び各組の関係が可視化される。このため、実際のネットワークの接続状態と、第１及び第２アドレス情報ＡＳ１，ＡＳ２と、の対応関係をＴＤＢ４０の作成時に瞬時に把握できるようになる。このため、優先順位の設定ミスを簡単にチェックできる。
【００５３】
また、複数の第１アドレス情報ＡＳ１に包含関係があるとき、包含される側の第１アドレス図形ＦＡ１を包含する側の第１アドレス図形ＦＡ１が囲むように表示するので、包含関係を瞬時に判断できる。
さらに、複数の第１又は第２アドレス情報ＡＳ１，ＡＳ２同士が同一のＩＰアドレスＡＤ１，ＡＤ２を有する場合、それらをひとつのアドレス図形で表示しているので、トポロジ図をさらに見やすいものにできるとともに、検索効率が高いＴＤＢ４０を作成できる。
【００５４】
また、連続するアドレス情報を有する複数のアドレス図形を条件によっては１つのアドレス図形に集約できるので、トポロジ図をさらに見やすいものにできるとともに、検索効率が高いＴＤＢ４０を作成できる。
＜他の実施形態＞
（ａ）前記実施形態では、図１０のステップＳ５８及びステップＳ６１で接続形態の集約が可能な場合、集約処理まで行っているが、本発明はこれに限定されない。例えば、図１９に示すように、ステップＳ１５８及びステップＳ１６１でそれぞれ集約可能性を表示するだけでもよい。図１９ではその他の処理は図１０と同様なため説明を省略する。
【００５５】
この場合、トポロジ図上には、図２０に示すように、集約可能な２つの識別情報を集約可能図形ＦＧで囲んでいる。図２０に示す例では、識別図形ＦＩＤが「Ａ」及び「Ｂ」の部分を集約可能図形ＦＧで囲んでいる。この集約可能図形ＦＧは、前述した無効図形ＦＮ等の他の図形と識別可能な形状の図形で表示される。なお、図形に代えて色でこれらの図形を識別できるようにしてもよい。
【００５６】
（ｂ）前記実施形態では、マイクロコンピュータとＡＳＩＣとで構成されたファイアウォール装置を例示したが、コンピュータ上で動作するソフトウェアでファイアウォール装置を構成してもよい。この場合、図４に示した各機能構成をソフトウェアで実現すればよい。また、コンピュータと専用のハードウェアとを組み合わせてファイアウォール装置を構成してもよい。
【００５７】
（ｃ）前記実施形態では、受信回数で優先順位を変更したが、受信回数で優先順位を変更しなくてもよい。
（ｄ）前記実施形態では、インターネット経由で接続されたローカルエリアネットワークと外部のネットワークを例に本発明を説明した。しかし、本発明が適用されるネットワークはこれに限定されず、アドレス情報を用いて通信するすべてのネットワークに適用できる。
【００５８】
（ｅ）前記実施形態では、包含関係については、送信元の第１アドレス情報だけを対象にしているが、本発明はこれに限定されず、送信先の第２アドレス情報が包含関係を有する場合は、第２アドレス情報に対しても包含関係の処理を行ってもよい。
（ｆ）前記実施形態では、トポロジ図上で優先順位を表すために、優先順位が高い図形ほど画面の左側に表示した。しかし、本発明はこれに限定されず、トポロジ図上での各図形の配置を、実際のネットワークの配置に合わせて優先順位に関係なく表示するようにしてもよい。
【００５９】
（ｇ）前記実施形態では、インターネット閲覧ソフトウェアを用いてファイアウォール装置１０の設定を行っていたが、設定方法はこれに限定されない。たとえば、コンピュータ２０からリモート機能を利用して操作してもよい。また、ファイアウォール装置に、キーボードやディスプレイやマウスを設け、ファイアウォール装置単体で設定操作を行うようにしてもよい。
【００６０】
＜付記＞
（付記１）
第１ネックワークから第２ネットワークに送信されるデータに対して優先順位を設定して通過許可又は通過拒否するネットワーク制御装置であって、
前記データを識別するデータ識別情報、前記データの前記第１ネットワークでの第１アドレス情報、前記データの前記第２ネットワークでの第２アドレス情報、及び前記通過許可又は前記通過禁止を示す情報を含む制御情報を基に、前記第１ネットワークの第１アドレス情報及び第２ネットワークの第２アドレス情報、前記第１アドレス情報と前記第２アドレス情報とを接続する接続情報、並びに各組の前記判断情報が図形で表示された接続形態図の作成を支援する接続形態図作成支援部と、
前記制御情報に従って、前記データを通過許可又は通過拒否するネットワーク通信部と、
を備えたネットワーク制御装置。
【００６１】
（付記２）
前記制御情報を優先順位が高いものから順に表形式で表示する表形式表示部をさらに備えた、付記１に記載のネットワーク制御装置。
（付記３）
前記接続形態図作成支援部は、
前記第１アドレス情報及び第２アドレス情報を、第１アドレス図形及び第２アドレス図形でそれぞれ表示するアドレス図形表示部と、
前記各組の前記第１アドレス情報及び第２アドレス情報をもとに、前記接続情報を接続関係がある前記第１アドレス図形と前記第２アドレス図形とを結ぶ接続図形で表示する接続図形表示部と、
前記接続図形に関連付けて前記識別情報を識別図形で表示する識別図形表示部と、
前記識別図形に関連付けて前記判断情報を判断図形で表示する判断図形表示部と、
を有する、付記１又は２に記載のネットワーク制御装置。
【００６２】
（付記４）
前記第１アドレス図形及び第２アドレス図形、前記接続図形、前記判断図形、及び前記識別図形を記憶する図形情報記憶部をさらに備える、付記３に記載のネットワーク制御装置。
（付記５）
前記制御情報記憶部に記憶された前記複数組の前記第１アドレス情報を比較し、かつ前記複数組の前記第２アドレス情報を比較するアドレス比較部をさらに備える、付記３又は４に記載のネットワーク制御装置。
【００６３】
（付記６）
前記アドレス比較部の比較結果により、前記複数組の前記第１アドレス情報の中に包含関係にある複数の前記第１アドレス情報があるか否かを判断するアドレス包含関係判断部をさらに備える、付記５に記載のネットワーク制御装置。
（付記７）
前記接続形態図作成支援部は、
表示された複数の前記第１アドレス図形の中に、包含関係にある前記第１アドレス情報に対応する第１アドレス図形が複数あるとき、包含する側の前記第１アドレス図形が、包含される側の前記第１アドレス図形を囲むように表示する包含アドレス図形表示部をさらに有する、付記６に記載のネットワーク制御装置。
【００６４】
（付記８）
前記接続形態図作成支援部は、
包含される側の前記第１アドレス図形の優先順位が包含する側の第１アドレス図形の優先順位より低くなっているとき、その旨を表示する優先順位不適表示部をさらに有する、付記７に記載のネットワーク制御装置。
【００６５】
（付記９）
前記第１ネットワークから同じ制御情報のデータを受信した回数を計数する受信回数計数部と、
前記複数の第１アドレス情報に包含関係がない場合、前記受信回数計数部での計数結果により、受信回数が多い制御情報の組の優先順位を高くする優先順位変更部と、
をさらに備える、付記６から８のいずれか１項に記載のネットワーク制御装置。
（付記１０）
前記アドレス比較部の比較結果により、複数組の前記第１アドレス情報又は前記第２アドレス情報の中に、同一の前記第１アドレス情報又は前記第２アドレス情報があるか否かを判断する同一アドレス情報判断部をさらに備える、付記５から９のいずれか１項に記載のネットワーク制御装置。
（付記１１）
前記接続形態図作成支援部は、
表示された複数組の前記第１アドレス図形の中に前記同一の前記第１アドレス情報に対応する第１アドレス図形が複数あるとき、前記第１アドレス情報に対応する一つの前記第１アドレス図形を表示し、表示された複数組の前記第２アドレス図形の中に同一の前記第２アドレス情報に対応する第２アドレス図形が複数あるとき、前記第２アドレス情報に対応する一つの前記第２アドレス図形を表示する同一図形集約表示部をさらに有する、付記１０に記載のネットワーク制御装置。
（付記１２）
前記アドレス比較部の比較結果により、アドレスが連続している前記第１アドレス情報又は第２アドレス情報があるか否かを判断する連続アドレス判断部をさらに備える、付記５から１１のいずれかに記載のネットワーク制御装置。
（付記１３）
前記接続形態図作成支援部は、
前記アドレスが連続している複数の第１アドレス情報があると判断すると、判断された複数の前記第１アドレス情報を連続させた第１アドレス情報に対応する新たな第１アドレス図形で表示し、前記アドレスが連続している複数の第２アドレス情報があると判断すると、判断された複数の前記第２アドレス情報を連続させた第２アドレス情報に対応する新たな第２アドレス図形で表示する連続アドレス図形表示部をさらに有する、付記１２に記載のネットワーク制御装置。
（付記１４）
前記図形情報記憶部に記憶された前記第１アドレス図形及び第２アドレス図形、前記接続図形、前記判断図形、及び前記識別図形により、前記制御情報記憶部に記憶された制御情報を書き換える制御情報書換部をさらに備える、付記４から１３のいずれか１項に記載のネットワーク制御装置。
（付記１５）
第１ネットワークから第２ネットワークに送信されるデータに対して優先順位を設定して通過許可又は通過拒否するネットワーク制御方法であって、
前記データの識別情報、前記データの前記第１ネットワークでの第１アドレス情報、前記第２ネットワークでの第２アドレス情報、及び前記通過許可又は前記通過禁止を示す情報を含む制御情報を読み出す読出ステップと、
読み出された前記制御情報をもとに、前記第１及び第２ネットワークの第１及び第２アドレス情報、前記第１アドレス情報と第２アドレス情報とを接続する接続情報、並びに各組の前記判断情報が図形で表示された接続形態図の作成を支援する接続形態図作成支援ステップと、
を含むネットワーク制御方法。
【産業上の利用可能性】
【００６６】
開示された技術は、ファイアウォール装置等の優先順位を付けてパケットデータを通過許可・通過拒否する技術に好適である。
【図面の簡単な説明】
【００６７】
【図１】開示されたファイアウォール装置が使用されるネットワークを示すブロック図である。
【図２】ファイアウォール装置のハードウェア構成を示すブロック図である。
【図３】判断データベースの表形式表示の一例を示す図である。
【図４】ファイアウォール装置の制御部の機能構成を示すブロック図である。
【図５】ファイアウォール装置の設定ソフトウェアの設定画面の一例を示す図である。
【図６】ファイアウォール装置の設定ソフトウェアのメインルーチンを示すフローチャートである。
【図７】判断データベース新規作成処理のフローチャートである。
【図８】判断データベースチェック処理のフローチャートである。
【図９】図形作成処理のフローチャートである。
【図１０】アドレス関連処理のフローチャートである。
【図１１】優先順位変更処理のフローチャートである。
【図１２】トポロジ図作成開始時のポロジ図の一例を示す図である。
【図１３】アドレス包含処理時のトポロジ図の一例を示す図である。
【図１４】優先順位不適表示処理時のトポロジ図の一例を示す図である。
【図１５】優先順位変更処理前の判断データベースの表形式表示の一例を示す図である。
【図１６】優先順位変更処理中の判断データベースの表形式表示の一例を示す図である。
【図１７】優先順位変更処理後の判断データベースの表形式表示の一例を示す図である。
【図１８】優先順位変更処理後のトポロジ図の一例を示す図である。
【図１９】他の実施形態のアドレス関連処理のフローチャートである。
【図２０】その集約可能表示時のトポロジ図の一例を示す図である。
【符号の説明】
【００６８】
１０  ファイアウォール装置（ネットワーク制御装置の一例）
１２  外部ネットワーク（第１ネットワークの一例）
１４  内部ネットワーク（第２ネットワークの一例）
３０  制御部
４０  判断データベース（ＴＤＢ）（制御情報記憶部の一例）
４２  図形データベース（ＦＥＢ）（図形情報記憶部の一例）
５０  表形式表示部
５２  トポロジ図作成支援部（接続形態図作成支援部の一例）
５４  アドレス比較部
５６  包含アドレス判断部
５８  同一アドレス判断部
６０  連続アドレス判断部
６２  制御情報書換部
６４  受信回数計数部
６６  優先順位変更部
７０  アドレス図形表示部
７２  接続図形表示部
７４  識別図形作成部
７６  判断図形作成部
７８  包含図形表示部
８０  優先順位不適表示部
８２  同一図形集約表示部
８４  接続形態集約表示部
【図１】
2010041113.tif 000003
【図２】
2010041113.tif 000004
【図３】
2010041113.tif 000005
【図４】
2010041113.tif 000006
【図５】
2010041113.tif 000007
【図６】
2010041113.tif 000008
【図７】
2010041113.tif 000009
【図８】
2010041113.tif 000010
【図９】
2010041113.tif 000011
【図１０】
2010041113.tif 000012
【図１１】
2010041113.tif 000013
【図１２】
2010041113.tif 000014
【図１３】
2010041113.tif 000015
【図１４】
2010041113.tif 000016
【図１５】
2010041113.tif 000017
【図１６】
2010041113.tif 000018
【図１７】
2010041113.tif 000019
【図１８】
2010041113.tif 000020
【図１９】
2010041113.tif 000021
【図２０】
2010041113.tif 000022