(57)【特許請求の範囲】
【請求項１】
少なくともルータ及び通信パケットを送受信する端末装置と接続され、当該ルータからルータ広告によって送信されたプリフィックス情報を受信する送受信手段と、
前記送受信手段により受信されたプレフィックス情報を記憶する記憶手段と、
前記送受信手段により受信された通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報とは異なる場合には、当該通信パケットを遮断し、当該受信した通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報である場合には、当該通信パケットを通過させる制御手段とを備え、
前記ルータ広告によってＤＮＳサーバ情報が前記送受信手段に送信されている場合に、前記記憶手段は、当該ＤＮＳサーバ情報に含まれるＤＮＳサーバアドレス情報を記憶し、
前記制御手段は、前記端末装置から送信された通信パケットの宛先アドレスが前記記憶手段に記憶された前記ＤＮＳサーバアドレスである場合には、当該通信パケットを通過させ、当該通信パケットに含まれる宛先アドレスが前記記憶手段に記憶された前記ＤＮＳ（Domain Name System）サーバアドレスとは異なる場合には、当該通信パケットを遮断すること
を特徴とする通信制御装置。
【請求項２】
少なくともルータ及び通信パケットを送受信する端末装置と接続され、当該ルータからルータ広告によって送信されたプリフィックス情報を受信する送受信手段と、
前記送受信手段により受信されたプレフィックス情報を記憶する記憶手段と、
前記送受信手段により受信された通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報とは異なる場合には、当該通信パケットを遮断し、当該受信した通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報である場合には、当該通信パケットを通過させる制御手段とを備え、
前記ルータ広告によって前記端末装置の可到達時間が指定されている場合に、前記記憶手段は、前記可到達時間と、前記端末装置から送信された通信パケットの到達性確認パケットを前記送受信手段によって受信した時刻とを記憶しておき、
前記制御手段は、前記ルータ広告を受信した時刻から前記端末装置から送信された前記到達性確認パケットを受信した時刻までの時間が、当該端末装置に対する可到達時間を超えていない場合には、当該到達性確認パケットを通過させ、前記ルータ広告を受信した時刻から前記端末装置から送信された前記到達性確認パケットを受信した時刻までの時間が、当該端末装置に対する可到達時間を超えている場合には、次に当該端末装置から到達性確認パケットを受信するまで通信パケットを遮断すること
を特徴とする通信制御装置。
【請求項３】
少なくともルータ及び通信パケットを送受信する端末装置と接続され、当該ルータからルータ広告によって送信されたプリフィックス情報を受信する送受信手段と、
前記送受信手段により受信されたプレフィックス情報を記憶する記憶手段と、
前記送受信手段により受信された通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報とは異なる場合には、当該通信パケットを遮断し、当該受信した通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報である場合には、当該通信パケットを通過させる制御手段とを備え、
前記送受信手段がＤＨＣＰ（Dynamic Host Configuration Protocol）サーバと接続され、
前記ルータ広告によって前記端末装置が前記ＤＨＣＰサーバにより割り当てられたアドレスを使用することが指定されている場合に、前記記憶手段は、前記ＤＨＣＰサーバによって前記端末装置に割り当てられたアドレス情報を記憶し、
前記制御手段は、前記送受信手段により受信された通信パケットに含まれる送信元アドレスが前記記憶手段に記憶されたアドレス情報として含まれている場合には、当該通信パケットを通過し、当該受信した通信パケットに含まれる送信元アドレスが前記記憶手段に記憶されたアドレス情報として含まれていない場合には、当該通信パケットを遮断させ、
前記ルータ広告によって前記端末装置が前記ＤＨＣＰサーバにより割り当てられたＤＮＳサーバアドレス情報を使用することが指定されている場合に、前記記憶手段は、前記ＤＨＣＰサーバによって割り当てられたＤＮＳサーバアドレス情報を記憶し、
前記制御手段は、前記端末装置から送信された通信パケットにおけるポート番号がＤＮＳである場合に、当該通信パケットの宛先アドレスが前記記憶手段に記憶されたＤＮＳサーバアドレス情報として含まれているときには当該通信パケットを通過させ、当該通信パケットの宛先アドレスが前記記憶手段に記憶されたＤＮＳサーバアドレス情報として含まれていないときには当該通信パケットを遮断させること
を特徴とする通信制御装置。
【請求項４】
通信パケットを送受信する端末装置と、
ルータ広告によってプリフィックス情報を送信すると共に、前記端末装置によって送受信される通信パケットを中継するルータと、
前記通信パケットの遮断及び通過を制御する通信制御装置とを備え、
前記通信制御装置は、
少なくともルータ及び端末装置と接続され、当該ルータからルータ広告によって送信されたプリフィックス情報を受信する送受信手段と、
前記送受信手段により受信されたプレフィックス情報を記憶する記憶手段と、
前記送受信手段により受信された通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報とは異なる場合には、当該通信パケットを遮断し、当該受信した通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報である場合には、当該通信パケットを通過させる制御手段とを備え、
前記ルータ広告によってＤＮＳサーバ情報が前記送受信手段に送信されている場合に、前記記憶手段は、当該ＤＮＳサーバ情報に含まれるＤＮＳサーバアドレス情報を記憶し、
前記制御手段は、前記端末装置から送信された通信パケットの宛先アドレスが前記記憶手段に記憶された前記ＤＮＳサーバアドレスである場合には、当該通信パケットを通過させ、当該通信パケットに含まれる宛先アドレスが前記記憶手段に記憶された前記ＤＮＳ（Domain Name System）サーバアドレスとは異なる場合には、当該通信パケットを遮断すること
を特徴とする通信システム。
【請求項５】
通信パケットを送受信する端末装置と、
ルータ広告によってプリフィックス情報を送信すると共に、前記端末装置によって送受信される通信パケットを中継するルータと、
前記通信パケットの遮断及び通過を制御する通信制御装置とを備え、
前記通信制御装置は、
少なくともルータ及び端末装置と接続され、当該ルータからルータ広告によって送信されたプリフィックス情報を受信する送受信手段と、
前記送受信手段により受信されたプレフィックス情報を記憶する記憶手段と、
前記送受信手段により受信された通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報とは異なる場合には、当該通信パケットを遮断し、当該受信した通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報である場合には、当該通信パケットを通過させる制御手段とを備え、
前記ルータ広告によって前記端末装置の可到達時間が指定されている場合に、前記記憶手段は、前記可到達時間と、前記端末装置から送信された通信パケットの到達性確認パケットを前記送受信手段によって受信した時刻とを記憶しておき、
前記制御手段は、前記ルータ広告を受信した時刻から前記端末装置から送信された前記到達性確認パケットを受信した時刻までの時間が、当該端末装置に対する可到達時間を超えていない場合には、当該到達性確認パケットを通過させ、前記ルータ広告を受信した時刻から前記端末装置から送信された前記到達性確認パケットを受信した時刻までの時間が、当該端末装置に対する可到達時間を超えている場合には、次に当該端末装置から到達性確認パケットを受信するまで通信パケットを遮断すること
を特徴とする通信システム。
【請求項６】
通信パケットを送受信する端末装置と、
ルータ広告によってプリフィックス情報を送信すると共に、前記端末装置によって送受信される通信パケットを中継するルータと、
前記通信パケットの遮断及び通過を制御する通信制御装置とを備え、
前記通信制御装置は、
少なくともルータ及び端末装置と接続され、当該ルータからルータ広告によって送信されたプリフィックス情報を受信する送受信手段と、
前記送受信手段により受信されたプレフィックス情報を記憶する記憶手段と、
前記送受信手段により受信された通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報とは異なる場合には、当該通信パケットを遮断し、当該受信した通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報である場合には、当該通信パケットを通過させる制御手段とを備え、
前記送受信手段がＤＨＣＰ（Dynamic Host Configuration Protocol）サーバと接続され、
前記ルータ広告によって前記端末装置が前記ＤＨＣＰサーバにより割り当てられたアドレスを使用することが指定されている場合に、前記記憶手段は、前記ＤＨＣＰサーバによって前記端末装置に割り当てられたアドレス情報を記憶し、
前記制御手段は、前記送受信手段により受信された通信パケットに含まれる送信元アドレスが前記記憶手段に記憶されたアドレス情報として含まれている場合には、当該通信パケットを通過し、当該受信した通信パケットに含まれる送信元アドレスが前記記憶手段に記憶されたアドレス情報として含まれていない場合には、当該通信パケットを遮断させ、
前記ルータ広告によって前記端末装置が前記ＤＨＣＰサーバにより割り当てられたＤＮＳサーバアドレス情報を使用することが指定されている場合に、前記記憶手段は、前記ＤＨＣＰサーバによって割り当てられたＤＮＳサーバアドレス情報を記憶し、
前記制御手段は、前記端末装置から送信された通信パケットにおけるポート番号がＤＮＳである場合に、当該通信パケットの宛先アドレスが前記記憶手段に記憶されたＤＮＳサーバアドレス情報として含まれているときには当該通信パケットを通過させ、当該通信パケットの宛先アドレスが前記記憶手段に記憶されたＤＮＳサーバアドレス情報として含まれていないときには当該通信パケットを遮断させること
を特徴とする通信システム。
【請求項７】
通信制御装置に実行されるプログラムであって、当該通信制御装置を、
少なくともルータ及び通信パケットを送受信する端末装置と接続され、当該ルータからルータ広告によって送信されたプリフィックス情報を受信する送受信手段と、
前記送受信手段により受信されたプレフィックス情報を記憶する記憶手段と、
前記送受信手段により受信された通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報とは異なる場合には、当該通信パケットを遮断し、当該受信した通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報である場合には、当該通信パケットを通過させる制御手段として機能させ、
前記ルータ広告によってＤＮＳサーバ情報が前記送受信手段に送信されている場合に、前記記憶手段は、当該ＤＮＳサーバ情報に含まれるＤＮＳサーバアドレス情報を記憶し、
前記制御手段は、前記端末装置から送信された通信パケットの宛先アドレスが前記記憶手段に記憶された前記ＤＮＳサーバアドレスである場合には、当該通信パケットを通過させ、当該通信パケットに含まれる宛先アドレスが前記記憶手段に記憶された前記ＤＮＳ（Domain Name System）サーバアドレスとは異なる場合には、当該通信パケットを遮断すること
を特徴とする通信制御装置のプログラム。
【請求項８】
通信制御装置に実行されるプログラムであって、当該通信制御装置を、
少なくともルータ及び通信パケットを送受信する端末装置と接続され、当該ルータからルータ広告によって送信されたプリフィックス情報を受信する送受信手段と、
前記送受信手段により受信されたプレフィックス情報を記憶する記憶手段と、
前記送受信手段により受信された通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報とは異なる場合には、当該通信パケットを遮断し、当該受信した通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報である場合には、当該通信パケットを通過させる制御手段として機能させ、
前記ルータ広告によって前記端末装置の可到達時間が指定されている場合に、前記記憶手段は、前記可到達時間と、前記端末装置から送信された通信パケットの到達性確認パケットを前記送受信手段によって受信した時刻とを記憶しておき、
前記制御手段は、前記ルータ広告を受信した時刻から前記端末装置から送信された前記到達性確認パケットを受信した時刻までの時間が、当該端末装置に対する可到達時間を超えていない場合には、当該到達性確認パケットを通過させ、前記ルータ広告を受信した時刻から前記端末装置から送信された前記到達性確認パケットを受信した時刻までの時間が、当該端末装置に対する可到達時間を超えている場合には、次に当該端末装置から到達性確認パケットを受信するまで通信パケットを遮断すること
を特徴とする通信制御装置のプログラム。
【請求項９】
通信制御装置に実行されるプログラムであって、当該通信制御装置を、
少なくともルータ及び通信パケットを送受信する端末装置と接続され、当該ルータからルータ広告によって送信されたプリフィックス情報を受信する送受信手段と、
前記送受信手段により受信されたプレフィックス情報を記憶する記憶手段と、
前記送受信手段により受信された通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報とは異なる場合には、当該通信パケットを遮断し、当該受信した通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報である場合には、当該通信パケットを通過させる制御手段として機能させ、
前記送受信手段がＤＨＣＰ（Dynamic Host Configuration Protocol）サーバと接続され、
前記ルータ広告によって前記端末装置が前記ＤＨＣＰサーバにより割り当てられたアドレスを使用することが指定されている場合に、前記記憶手段は、前記ＤＨＣＰサーバによって前記端末装置に割り当てられたアドレス情報を記憶し、
前記制御手段は、前記送受信手段により受信された通信パケットに含まれる送信元アドレスが前記記憶手段に記憶されたアドレス情報として含まれている場合には、当該通信パケットを通過し、当該受信した通信パケットに含まれる送信元アドレスが前記記憶手段に記憶されたアドレス情報として含まれていない場合には、当該通信パケットを遮断させ、
前記ルータ広告によって前記端末装置が前記ＤＨＣＰサーバにより割り当てられたＤＮＳサーバアドレス情報を使用することが指定されている場合に、前記記憶手段は、前記ＤＨＣＰサーバによって割り当てられたＤＮＳサーバアドレス情報を記憶し、
前記制御手段は、前記端末装置から送信された通信パケットにおけるポート番号がＤＮＳである場合に、当該通信パケットの宛先アドレスが前記記憶手段に記憶されたＤＮＳサーバアドレス情報として含まれているときには当該通信パケットを通過させ、当該通信パケットの宛先アドレスが前記記憶手段に記憶されたＤＮＳサーバアドレス情報として含まれていないときには当該通信パケットを遮断させること
を特徴とする通信制御装置のプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信パケットの通過又は遮断を行う通信制御装置、通信システム及びプログラムに関する。
【背景技術】
【０００２】
従来、ＩＰ（Internet Protocol）ｖ４のネットワークにおいて、端末装置がＤＨＣＰ（Dynamic Host Configuration Protocol）サーバからＩＰｖ４アドレスを割り当てることがされている。この環境では、ファイアウォールによってＤＨＣＰパケットを監視してキャプチャする。端末装置がＤＨＣＰサーバから割り当てられたＩＰｖ４アドレス以外を用いて通信している場合には、ファイアウォールによって当該ＩＰｖ４パケットを遮断している。
【０００３】
例えば、下記の特許文献１においては、ＤＨＣＰサーバから割り当てられたＩＰｖ４アドレスでないＩＰｖ４パケットをスイッチングハブで通信させないことが記載されている。また、他の例としては、下記の特許文献２においては、ＤＨＣＰサーバから割り当てられたＩＰｖ４アドレスでないＩＰｖ４パケットをネットワーク装置によって規制することが記載されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００１−２１１１８０号公報（請求項３，図７等）
【特許文献２】特開２００４−１８０２１１号公報（請求項３，図１１等）
【発明の概要】
【発明が解決しようとする課題】
【０００５】
ところで、ＩＰｖ６のネットワーク環境下においては、端末装置がＩＰｖ６アドレスを取得する方法としては、例えば下記の２つが挙げられる。第１には、ルータから送信されたルータ広告メッセージ（ＲＡ：Router Advertisement）に含まれるプレフィックス（ネットワークアドレス）を用いて端末装置が自動的にＩＰｖ６アドレスを生成する手法がある。第２には、ＤＨＣＰｖ６サーバから取得したＩＰｖ６アドレスを端末装置が取得する手法である。
【０００６】
しかしながら、ＩＰｖ６のネットワーク環境下においては、上述したようなＩＰｖ４ネットワークのように不正なＩＰｖ６アドレスのＩＰｖ６パケットを遮断するルールを自動的に構成する技術がない。
【０００７】
そこで、本発明は、上述した実情に鑑みて提案されたものであり、ＩＰｖ６のネットワーク環境下において適切に不正な通信パケットを遮断できる通信制御装置、通信システム及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００８】
第１の態様に係る通信制御装置は、少なくともルータ及び通信パケットを送受信する端末装置と接続され、当該ルータからルータ広告によって送信されたプリフィックス情報を受信する送受信手段と、前記送受信手段により受信されたプレフィックス情報を記憶する記憶手段と、前記送受信手段により受信された通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報とは異なる場合には、当該通信パケットを遮断し、当該受信した通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報である場合には、当該通信パケットを通過させる制御手段とを備え、前記ルータ広告によってＤＮＳサーバ情報が前記送受信手段に送信されている場合に、前記記憶手段は、当該ＤＮＳサーバ情報に含まれるＤＮＳサーバアドレス情報を記憶し、前記制御手段は、前記端末装置から送信された通信パケットの宛先アドレスが前記記憶手段に記憶された前記ＤＮＳサーバアドレスである場合には、当該通信パケットを通過させ、当該通信パケットに含まれる宛先アドレスが前記記憶手段に記憶された前記ＤＮＳ（Domain Name System）サーバアドレスとは異なる場合には、当該通信パケットを遮断することを特徴とするものである。
【０００９】
第２の態様に係る通信制御装置は、少なくともルータ及び通信パケットを送受信する端末装置と接続され、当該ルータからルータ広告によって送信されたプリフィックス情報を受信する送受信手段と、前記送受信手段により受信されたプレフィックス情報を記憶する記憶手段と、前記送受信手段により受信された通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報とは異なる場合には、当該通信パケットを遮断し、当該受信した通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報である場合には、当該通信パケットを通過させる制御手段とを備え、前記ルータ広告によって前記端末装置の可到達時間が指定されている場合に、前記記憶手段は、前記可到達時間と、前記端末装置から送信された通信パケットの到達性確認パケットを前記送受信手段によって受信した時刻とを記憶しておき、前記制御手段は、前記ルータ広告を受信した時刻から前記端末装置から送信された前記到達性確認パケットを受信した時刻までの時間が、当該端末装置に対する可到達時間を超えていない場合には、当該到達性確認パケットを通過させ、前記ルータ広告を受信した時刻から前記端末装置から送信された前記到達性確認パケットを受信した時刻までの時間が、当該端末装置に対する可到達時間を超えている場合には、次に当該端末装置から到達性確認パケットを受信するまで通信パケットを遮断することを特徴とするものである。
【００１０】
第３の態様に係る通信制御装置は、少なくともルータ及び通信パケットを送受信する端末装置と接続され、当該ルータからルータ広告によって送信されたプリフィックス情報を受信する送受信手段と、前記送受信手段により受信されたプレフィックス情報を記憶する記憶手段と、前記送受信手段により受信された通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報とは異なる場合には、当該通信パケットを遮断し、当該受信した通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報である場合には、当該通信パケットを通過させる制御手段とを備え、前記送受信手段がＤＨＣＰ（Dynamic Host Configuration Protocol）サーバと接続され、前記ルータ広告によって前記端末装置が前記ＤＨＣＰサーバにより割り当てられたアドレスを使用することが指定されている場合に、前記記憶手段は、前記ＤＨＣＰサーバによって前記端末装置に割り当てられたアドレス情報を記憶し、前記制御手段は、前記送受信手段により受信された通信パケットに含まれる送信元アドレスが前記記憶手段に記憶されたアドレス情報として含まれている場合には、当該通信パケットを通過し、当該受信した通信パケットに含まれる送信元アドレスが前記記憶手段に記憶されたアドレス情報として含まれていない場合には、当該通信パケットを遮断させ、前記ルータ広告によって前記端末装置が前記ＤＨＣＰサーバにより割り当てられたＤＮＳサーバアドレス情報を使用することが指定されている場合に、前記記憶手段は、前記ＤＨＣＰサーバによって割り当てられたＤＮＳサーバアドレス情報を記憶し、前記制御手段は、前記端末装置から送信された通信パケットにおけるポート番号がＤＮＳである場合に、当該通信パケットの宛先アドレスが前記記憶手段に記憶されたＤＮＳサーバアドレス情報として含まれているときには当該通信パケットを通過させ、当該通信パケットの宛先アドレスが前記記憶手段に記憶されたＤＮＳサーバアドレス情報として含まれていないときには当該通信パケットを遮断させることを特徴とするものである。
【００１１】
第４の態様に係る通信システムは、通信パケットを送受信する端末装置と、ルータ広告によってプリフィックス情報を送信すると共に、前記端末装置によって送受信される通信パケットを中継するルータと、前記通信パケットの遮断及び通過を制御する通信制御装置とを備え、前記通信制御装置は、少なくともルータ及び端末装置と接続され、当該ルータからルータ広告によって送信されたプリフィックス情報を受信する送受信手段と、前記送受信手段により受信されたプレフィックス情報を記憶する記憶手段と、前記送受信手段により受信された通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報とは異なる場合には、当該通信パケットを遮断し、当該受信した通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報である場合には、当該通信パケットを通過させる制御手段とを備え、前記ルータ広告によってＤＮＳサーバ情報が前記送受信手段に送信されている場合に、前記記憶手段は、当該ＤＮＳサーバ情報に含まれるＤＮＳサーバアドレス情報を記憶し、前記制御手段は、前記端末装置から送信された通信パケットの宛先アドレスが前記記憶手段に記憶された前記ＤＮＳサーバアドレスである場合には、当該通信パケットを通過させ、当該通信パケットに含まれる宛先アドレスが前記記憶手段に記憶された前記ＤＮＳ（Domain Name System）サーバアドレスとは異なる場合には、当該通信パケットを遮断することを特徴とするものである。
【００１２】
第５の態様に係る通信システムは、通信パケットを送受信する端末装置と、ルータ広告によってプリフィックス情報を送信すると共に、前記端末装置によって送受信される通信パケットを中継するルータと、前記通信パケットの遮断及び通過を制御する通信制御装置とを備え、前記通信制御装置は、少なくともルータ及び端末装置と接続され、当該ルータからルータ広告によって送信されたプリフィックス情報を受信する送受信手段と、前記送受信手段により受信されたプレフィックス情報を記憶する記憶手段と、前記送受信手段により受信された通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報とは異なる場合には、当該通信パケットを遮断し、当該受信した通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報である場合には、当該通信パケットを通過させる制御手段とを備え、前記ルータ広告によって前記端末装置の可到達時間が指定されている場合に、前記記憶手段は、前記可到達時間と、前記端末装置から送信された通信パケットの到達性確認パケットを前記送受信手段によって受信した時刻とを記憶しておき、前記制御手段は、前記ルータ広告を受信した時刻から前記端末装置から送信された前記到達性確認パケットを受信した時刻までの時間が、当該端末装置に対する可到達時間を超えていない場合には、当該到達性確認パケットを通過させ、前記ルータ広告を受信した時刻から前記端末装置から送信された前記到達性確認パケットを受信した時刻までの時間が、当該端末装置に対する可到達時間を超えている場合には、次に当該端末装置から到達性確認パケットを受信するまで通信パケットを遮断することを特徴とするものである。
【００１３】
第６の態様に係る通信システムは、通信パケットを送受信する端末装置と、ルータ広告によってプリフィックス情報を送信すると共に、前記端末装置によって送受信される通信パケットを中継するルータと、前記通信パケットの遮断及び通過を制御する通信制御装置とを備え、前記通信制御装置は、少なくともルータ及び端末装置と接続され、当該ルータからルータ広告によって送信されたプリフィックス情報を受信する送受信手段と、前記送受信手段により受信されたプレフィックス情報を記憶する記憶手段と、前記送受信手段により受信された通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報とは異なる場合には、当該通信パケットを遮断し、当該受信した通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報である場合には、当該通信パケットを通過させる制御手段とを備え、前記送受信手段がＤＨＣＰ（Dynamic Host Configuration Protocol）サーバと接続され、前記ルータ広告によって前記端末装置が前記ＤＨＣＰサーバにより割り当てられたアドレスを使用することが指定されている場合に、前記記憶手段は、前記ＤＨＣＰサーバによって前記端末装置に割り当てられたアドレス情報を記憶し、前記制御手段は、前記送受信手段により受信された通信パケットに含まれる送信元アドレスが前記記憶手段に記憶されたアドレス情報として含まれている場合には、当該通信パケットを通過し、当該受信した通信パケットに含まれる送信元アドレスが前記記憶手段に記憶されたアドレス情報として含まれていない場合には、当該通信パケットを遮断させ、前記ルータ広告によって前記端末装置が前記ＤＨＣＰサーバにより割り当てられたＤＮＳサーバアドレス情報を使用することが指定されている場合に、前記記憶手段は、前記ＤＨＣＰサーバによって割り当てられたＤＮＳサーバアドレス情報を記憶し、前記制御手段は、前記端末装置から送信された通信パケットにおけるポート番号がＤＮＳである場合に、当該通信パケットの宛先アドレスが前記記憶手段に記憶されたＤＮＳサーバアドレス情報として含まれているときには当該通信パケットを通過させ、当該通信パケットの宛先アドレスが前記記憶手段に記憶されたＤＮＳサーバアドレス情報として含まれていないときには当該通信パケットを遮断させることを特徴とするものである。
【００１４】
第７の態様に係る通信制御装置のプログラムは、通信制御装置に実行されるプログラムであって、当該通信制御装置を、少なくともルータ及び通信パケットを送受信する端末装置と接続され、当該ルータからルータ広告によって送信されたプリフィックス情報を受信する送受信手段と、前記送受信手段により受信されたプレフィックス情報を記憶する記憶手段と、前記送受信手段により受信された通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報とは異なる場合には、当該通信パケットを遮断し、当該受信した通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報である場合には、当該通信パケットを通過させる制御手段として機能させ、前記ルータ広告によってＤＮＳサーバ情報が前記送受信手段に送信されている場合に、前記記憶手段は、当該ＤＮＳサーバ情報に含まれるＤＮＳサーバアドレス情報を記憶し、前記制御手段は、前記端末装置から送信された通信パケットの宛先アドレスが前記記憶手段に記憶された前記ＤＮＳサーバアドレスである場合には、当該通信パケットを通過させ、当該通信パケットに含まれる宛先アドレスが前記記憶手段に記憶された前記ＤＮＳ（Domain Name System）サーバアドレスとは異なる場合には、当該通信パケットを遮断することを特徴とする。
【００１５】
第８の態様に係る通信制御装置のプログラムは、通信制御装置に実行されるプログラムであって、当該通信制御装置を、少なくともルータ及び通信パケットを送受信する端末装置と接続され、当該ルータからルータ広告によって送信されたプリフィックス情報を受信する送受信手段と、前記送受信手段により受信されたプレフィックス情報を記憶する記憶手段と、前記送受信手段により受信された通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報とは異なる場合には、当該通信パケットを遮断し、当該受信した通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報である場合には、当該通信パケットを通過させる制御手段として機能させ、前記ルータ広告によって前記端末装置の可到達時間が指定されている場合に、前記記憶手段は、前記可到達時間と、前記端末装置から送信された通信パケットの到達性確認パケットを前記送受信手段によって受信した時刻とを記憶しておき、前記制御手段は、前記ルータ広告を受信した時刻から前記端末装置から送信された前記到達性確認パケットを受信した時刻までの時間が、当該端末装置に対する可到達時間を超えていない場合には、当該到達性確認パケットを通過させ、前記ルータ広告を受信した時刻から前記端末装置から送信された前記到達性確認パケットを受信した時刻までの時間が、当該端末装置に対する可到達時間を超えている場合には、次に当該端末装置から到達性確認パケットを受信するまで通信パケットを遮断することを特徴とする。
第９の態様に係る通信制御装置のプログラムは、通信制御装置に実行されるプログラムであって、当該通信制御装置を、少なくともルータ及び通信パケットを送受信する端末装置と接続され、当該ルータからルータ広告によって送信されたプリフィックス情報を受信する送受信手段と、前記送受信手段により受信されたプレフィックス情報を記憶する記憶手段と、前記送受信手段により受信された通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報とは異なる場合には、当該通信パケットを遮断し、当該受信した通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が前記記憶手段に記憶されたプレフィックス情報である場合には、当該通信パケットを通過させる制御手段として機能させ、前記送受信手段がＤＨＣＰ（Dynamic Host Configuration Protocol）サーバと接続され、前記ルータ広告によって前記端末装置が前記ＤＨＣＰサーバにより割り当てられたアドレスを使用することが指定されている場合に、前記記憶手段は、前記ＤＨＣＰサーバによって前記端末装置に割り当てられたアドレス情報を記憶し、前記制御手段は、前記送受信手段により受信された通信パケットに含まれる送信元アドレスが前記記憶手段に記憶されたアドレス情報として含まれている場合には、当該通信パケットを通過し、当該受信した通信パケットに含まれる送信元アドレスが前記記憶手段に記憶されたアドレス情報として含まれていない場合には、当該通信パケットを遮断させ、前記ルータ広告によって前記端末装置が前記ＤＨＣＰサーバにより割り当てられたＤＮＳサーバアドレス情報を使用することが指定されている場合に、前記記憶手段は、前記ＤＨＣＰサーバによって割り当てられたＤＮＳサーバアドレス情報を記憶し、前記制御手段は、前記端末装置から送信された通信パケットにおけるポート番号がＤＮＳである場合に、当該通信パケットの宛先アドレスが前記記憶手段に記憶されたＤＮＳサーバアドレス情報として含まれているときには当該通信パケットを通過させ、当該通信パケットの宛先アドレスが前記記憶手段に記憶されたＤＮＳサーバアドレス情報として含まれていないときには当該通信パケットを遮断させることを特徴とする。
【発明の効果】
【００１６】
本発明によれば、ルータからルータ広告によって送信されたプリフィックス情報を記憶しておき、通信パケットに含まれる送信元アドレス又は宛先アドレスのプレフィックス情報が記憶されたプレフィックス情報とは異なる場合に通信パケットを遮断するので、ＩＰｖ６のネットワーク環境下において適切に不正な通信パケットを遮断できる。
【図面の簡単な説明】
【００１７】
【図１】本発明の一実施形態として示す通信システムの構成を示すブロック図である。
【図２】本発明の一実施形態として示す通信システムにおける通信制御装置の機能的な構成を示すブロック図である。
【図３】本発明の一実施形態として示す通信システムにおける通信制御装置に記憶する情報を示す図である。
【図４】本発明の一実施形態として示す通信システムにおいて、第１実施例の動作を示すシーケンス図である。
【図５】本発明の一実施形態として示す通信システムにおいて、第２実施例の動作を示すシーケンス図である。
【図６】本発明の一実施形態として示す通信システムにおいて、第３実施例の動作を示すシーケンス図である。
【図７】本発明の一実施形態として示す通信システムにおいて、第４実施例の動作を示すシーケンス図である。
【図８】本発明の一実施形態として示す通信システムにおいて、第５実施例の動作を示すシーケンス図である。
【図９】本発明の一実施形態として示す通信システムにおいて、第６実施例の動作を示すシーケンス図である。
【発明を実施するための形態】
【００１８】
以下、本発明の実施の形態について図面を参照して説明する。
【００１９】
本発明の実施形態として示す通信システムは、例えば図１に示すように構成される。この通信システムは、通信制御装置１、無線端末装置２、家庭内機器３Ａ，３Ｂ、端末装置４、ＤＨＣＰ（Dynamic Host Configuration Protocol）ｖ６サーバ５、ルータ６、ＤＮＳサーバ７、通信装置８を含む。この通信システムは、ＩＰｖ６に従ってＩＰｖ６パケットを送受信するものである。
【００２０】
ルータ６は、通信制御装置１を介して無線端末装置２又は端末装置４から通信装置８等に送信されるＩＰｖ６パケットを中継すると共に、無線端末装置２又は端末装置４宛てに送信されたＩＰｖ６パケットを通信制御装置１に中継する。このルータ６は、通信制御装置１に接続された宅内ネットワークのプレフィックス情報をルータ広告メッセージとして定期的に宅内ネットワークの全ノード宛てにマルチキャストで送信する。これにより、ルータ６は、無線端末装置２又は端末装置４のＩＰｖ６アドレスの上位６４ビットのプレフィックスとして、当該ルータ広告メッセージによって送信させているプレフィックス情報を使用可能とする。
【００２１】
また、ルータ６は、ルータ広告メッセージに、宅内ネットワークの無線端末装置２又は端末装置４がアクセスするＤＮＳ（Domain Name System）サーバの情報、Ｍフラグ、Ｏフラグといった他の情報も含めることもできる。
【００２２】
無線端末装置２又は端末装置４は、ＩＰｖ６アドレスを取得し、当該ＩＰｖ６アドレスを自己のＩＰｖ６アドレスとして使用してＩＰｖ６パケットを送受信する。無線端末装置２又は端末装置４は、通常、ルータ広告メッセージに含まれるプレフィックス情報と、自身に設定されたＭＡＣ（Media Access Control）アドレスから求められるインターフェースＩＤとを用いて、１２８ビットのＩＰｖ６アドレスを生成する。
【００２３】
無線端末装置２又は端末装置４がＩＰｖ６アドレスを取得する手法としては、２つの手法が挙げられる。第１の手法は、無線端末装置２又は端末装置４がルータ６から送信されたルータ広告メッセージ（ＲＡ）に含まれているプレフィックス情報を取得し、当該プレフィックス情報を上位６４ビットのネットワークアドレスとし、下位６４ビットを自己のＭＡＣアドレスから生成して、自己のＩＰｖ６アドレスとするものである。第２の手法は、ＩＰｖ６アドレスを取得する他の手法としては、ＤＨＣＰｖ６サーバ５から割り当てられたＩＰｖ６アドレスを自己のＩＰｖ６アドレスとして使用するものである。無線端末装置２又は端末装置４は、何れかの手法によって取得したＩＰｖ６アドレスを用いることとなり、何れのＩＰｖ６アドレスを使用するかは任意に設定される。
【００２４】
通信制御装置１、無線端末装置２、家庭内機器３Ａ，３Ｂ及び端末装置４は、例えば宅内に備えられる。通信制御装置１は、無線端末装置２及び端末装置４が外部のネットワークＮＷを介して行う通信装置８又はＤＮＳサーバ７の間の通信を監視するファイアウォールとして機能する。これにより、通信制御装置１は、宅内と外部との間の不正な通信を遮断する。
【００２５】
通信制御装置１は、通信を許可する場合には、無線端末装置２又は端末装置４から送信されたＩＰｖ６パケットを通過させてルータ６に転送し、通信を遮断する場合には、無線端末装置２又は端末装置４から送信されたＩＰｖ６パケットを破棄する。また、通信制御装置１は、ルータ６からネットワークＮＷ側の外部ネットワークから、ルータ６から通信制御装置１側の宅内ネットワークへの通信を許可する場合には、外部ネットワークから送信されたＩＰｖ６パケットを通過させて無線端末装置２又は端末装置４に転送する。一方、通信制御装置１は、外部ネットワークから宅内ネットワークへの通信を遮断する場合には、外部ネットワークから送信されたＩＰｖ６パケットを破棄する。
【００２６】
通信制御装置１は、図２に示すように、コントローラ１１、記憶部１２、ホームネットワークＩ／Ｆ１３、広域ネットワークＩ／Ｆ１４を含む。
【００２７】
ホームネットワークＩ／Ｆ１３は、ＩＰｖ６パケットを送受信する無線端末装置２及び端末装置４と接続されている。広域ネットワークＩ／Ｆ１４は、少なくともルータ６と接続されている。本例においては、広域ネットワークＩ／Ｆ１４は、ＤＨＣＰｖ６サーバ５と接続されている。広域ネットワークＩ／Ｆ１４は、ルータ６からルータ広告メッセージによって送信されたプリフィックス情報を受信する。
【００２８】
記憶部１２は、広域ネットワークＩ／Ｆ１４により受信されたプレフィックス情報を記憶する。記憶部１２は、通信制御装置１を介して無線端末装置２又は端末装置４が通信する情報をキャプチャして、図３に示すようなプレフィックス情報を含む各種の情報を記憶する。なお、他の情報については、後述する。
【００２９】
プレフィックス情報は、ルータ６が無線端末装置２又は端末装置４宛てに送信したルータ広告メッセージに含まれ、当該ルータ広告メッセージを広域ネットワークＩ／Ｆ１４によってキャプチャして取得されたものである。このプレフィックス情報は、無線端末装置２又は端末装置４のＩＰｖ６アドレスにおける上位６４ビットを構成するネットワークアドレスである。
【００３０】
上述した通信システムにおいて、ウィルスや悪意を持った攻撃者が不正なＩＰｖ６アドレスを使用する、又は、誤ったＩＰｖ６アドレスを無線端末装置２又は端末装置４のユーザが設定する場合などがある。そこで、通信システムにおける通信制御装置１は、下記のような処理を行う。
【００３１】
（第１実施例）
コントローラ１１は、ホームネットワークＩ／Ｆ１３又は広域ネットワークＩ／Ｆ１４により受信されたＩＰｖ６パケットに含まれる送信元ＩＰｖ６アドレス又は宛先ＩＰｖ６アドレスのプレフィックス情報が記憶部１２に記憶されたプレフィックス情報とは異なる場合には、当該ＩＰｖ６パケットを遮断する。また、コントローラ１１は、ホームネットワークＩ／Ｆ１３及び広域ネットワークＩ／Ｆ１４により受信したＩＰｖ６パケットに含まれる送信元ＩＰｖ６アドレス又は宛先ＩＰｖ６アドレスのプレフィックス情報が記憶部１２に記憶されたプレフィックス情報である場合には、当該ＩＰｖ６パケットを通過させる。これにより、コントローラ１１は、不正なＩＰｖ６パケットを監視し、遮断する制御手段として機能する。
【００３２】
通信制御装置１は、ルータ６によってルータ広告メッセージされているプレフィックス情報を上位６４ビットとしたＩＰｖ６アドレスを有する無線端末装置２又は端末装置４のみを通信可能にする。したがって、この通信制御装置１によれば、ルータ６によってルータ広告メッセージを受信していない不正な通信装置がＩＰｖ６パケットを送信しても、当該不正なＩＰｖ６パケットを遮断できる。
【００３３】
具体的には、図４に示すように、通信制御装置１は、定期的にルータ６から送信されるルータ広告メッセージＳ１をキャプチャする。そして、通信制御装置１は、当該ルータ広告メッセージＳ１に含まれるプレフィックス情報を記憶する。
【００３４】
その後、無線端末装置２又は端末装置４が通信装置８との間でＩＰｖ６パケットＳ２を送受信する場合、通信制御装置１は、当該ＩＰｖ６パケットＳ２をキャプチャする。そして、通信制御装置１は、当該ＩＰｖ６パケットＳ２に含まれる無線端末装置２又は端末装置４のＩＰｖ６アドレスのプレフィックスが、記憶部１２に記憶しているプレフィックス情報と同じ場合には、ＩＰｖ６パケットＳ２の通信を許可する。
【００３５】
このように、通信制御装置１によれば、ルータ６からルータ広告によって送信されたプリフィックス情報を記憶しておく。そして、通信制御装置１は、ＩＰｖ６パケットに含まれる送信元ＩＰｖ６アドレス又は宛先ＩＰｖ６アドレスのプレフィックス情報が記憶されたプレフィックス情報とは異なる場合にＩＰｖ６パケットを遮断する。これにより、ＩＰｖ６のネットワーク環境下において適切に不正なＩＰｖ６パケットを遮断できる。
【００３６】
（第２実施例）
また、通信制御装置１は、ルータ６から送信されたルータ広告メッセージによってＤＮＳサーバ７の情報が送信されている場合に、記憶部１２は、当該ＤＮＳサーバ情報に含まれるＤＮＳサーバアドレス情報を記憶する。
【００３７】
コントローラ１１は、無線端末装置２又は端末装置４から送信されたＩＰｖ６パケットの宛先ＩＰｖ６アドレスが記憶部１２に記憶されたＤＮＳサーバアドレスである場合には、当該ＩＰｖ６パケットを通過させる。一方、コントローラ１１は、当該ＩＰｖ６パケットに含まれる宛先ＩＰｖ６アドレスが記憶部１２に記憶されたＤＮＳサーバアドレスとは異なる場合には、当該ＩＰｖ６パケットを遮断する。
【００３８】
これにより、通信制御装置１は、ルータ６によってルータ広告メッセージされているＤＮＳサーバ７のみと無線端末装置２又は端末装置４とを通信可能にする。
【００３９】
具体的には、図５に示すように、通信制御装置１は、定期的にルータ６から送信されるルータ広告メッセージＳ１１をキャプチャする。そして、通信制御装置１は、当該ルータ広告メッセージＳ１１に含まれるＤＮＳサーバ７のアドレス情報を記憶部１２に記憶する。
【００４０】
その後、無線端末装置２又は端末装置４がＤＮＳサーバ７に対してホスト名を指定したアドレス要求メッセージＳ１２を送信した場合、通信制御装置１は、当該アドレス要求メッセージＳ１２をキャプチャする。通信制御装置１は、ＴＣＰにおけるポート番号から、当該アドレス要求メッセージＳ１２がＤＮＳを利用することを認識する。そして、通信制御装置１は、当該アドレス要求メッセージＳ１２に含まれる宛先ＩＰｖ６アドレスが、記憶部１２に記憶しているＤＮＳサーバ７のＩＰｖ６アドレスと同じ場合には、アドレス要求メッセージＳ１２の通信を許可する。
【００４１】
ＤＮＳサーバ７は、アドレス要求メッセージＳ１２を受信すると、当該アドレス要求メッセージＳ１２に含まれるホスト名に対応した通信装置のＩＰｖ６アドレスを取得する。ＤＮＳサーバ７は、当該ＩＰｖ６アドレスを含むアドレス応答メッセージＳ１３を無線端末装置２又は端末装置４に送信する。
【００４２】
通信制御装置１は、当該アドレス応答メッセージＳ１３をキャプチャする。通信制御装置１は、ＴＣＰにおけるポート番号から、当該アドレス応答メッセージＳ１３がＤＮＳを利用することを認識する。そして、通信制御装置１は、当該アドレス応答メッセージＳ１３に含まれる送信元ＩＰｖ６アドレスが、記憶部１２に記憶しているＤＮＳサーバ７のＩＰｖ６アドレスと同じ場合には、アドレス応答メッセージＳ１３の通信を許可する。
【００４３】
なお、この例では、ＤＮＳサーバアドレスをルータ６から送信されたルータ広告メッセージによって指定して、無線端末装置２又は端末装置４からは、ＤＮＳサーバ７にしかアクセスできないようにしているが、他のサーバについても適用できる。例えば、無線端末装置２又は端末装置４を特定のＳＩＰ（Session Initiation Protocol）サーバとしか通信させない場合には、ルータ広告メッセージによって、ＳＩＰサーバアドレスを通信制御装置１を介して無線端末装置２又は端末装置４に送信する。これにより、通信制御装置１は、特定のＳＩＰサーバ以外のＳＩＰサーバとの通信を遮断できる。
【００４４】
他の例としては、無線端末装置２又は端末装置４を特定のＮＴＰ（Network Time Protocol）サーバとしか通信させない場合には、ルータ広告メッセージによって、ＮＴＰサーバアドレスを通信制御装置１を介して無線端末装置２又は端末装置４に送信する。これにより、通信制御装置１は、特定のＮＴＰサーバ以外のＮＴＰサーバとの通信を遮断できる。
【００４５】
（第３実施例）
更に、通信制御装置１は、ルータ広告メッセージによって無線端末装置２又は端末装置４の可到達時間（Reachable Time）が指定されている場合に、記憶部１２は、可到達時間と、無線端末装置２又は端末装置４から送信されたＩＰｖ６パケットの到達性確認パケットを広域ネットワークＩ／Ｆ１４によって受信した時刻とを記憶しておく。この到達性確認パケットは、無線端末装置２又は端末装置４から通信相手にＩＰｖ６パケットを送信するときに、通信相手にＩＰｖ６パケットが到達するかを確認するためのパケットであり、例えばＩＣＭＰ（Internet Control Message Protocol）ｖ６によって送信されるパケットである。
【００４６】
コントローラ１１は、ルータ広告を受信した時刻から無線端末装置２又は端末装置４から送信されたＩＰｖ６パケットを受信した時刻までの時間が、当該無線端末装置２又は端末装置４に対する可到達時間を超えていない場合には、当該ＩＣＭＰｖ６パケットを通過させる。一方、コントローラ１１は、ルータ広告を受信した時刻から無線端末装置２又は端末装置４から送信されたＩＣＭＰｖ６パケットを受信した時刻までの時間が、当該無線端末装置２又は端末装置４に対する可到達時間を超えている場合には、次に当該無線端末装置２又は端末装置４から到達性確認パケットを受信するまでＩＰｖ６パケットを遮断する。
【００４７】
具体的には、図６に示すように、可到達時間Ｔ１を含むルータ広告Ｓ２１が送信されているときに、当該可到達時間Ｔ１以内の時刻Ｔａに無線端末装置２又は端末装置４からＩＣＭＰｖ６パケットＳ２２が送信されたとする。通信制御装置１は、当該ＩＣＭＰｖ６パケットＳ２２を受信した時に、可到達時間Ｔ１が経過していないので、当該ＩＣＭＰｖ６パケットＳ２２を許可して、通過させる。
【００４８】
一方、可到達時間Ｔ１を経過した後の時刻Ｔｂに無線端末装置２又は端末装置４、又は、攻撃者の通信装置からＩＣＭＰｖ６パケットＳ２３が送信されたとする。この場合、通信制御装置１は、当該ＩＣＭＰｖ６パケットＳ２３を受信した時に、可到達時間Ｔ１が経過しているので、当該ＩＣＭＰｖ６パケットＳ２３を遮断させる。
【００４９】
これにより、通信制御装置１は、ルータ広告メッセージによって無線端末装置２又は端末装置４の可到達時間が指定された場合には、当該無線端末装置２又は端末装置４から送信される到達性確認パケットを受信したときに、当該到達性確認パケットが可到達時間内である場合のみ、到達性確認パケットを通過させる。これにより、通信制御装置１は、可到達時間内のみに通信を許可し、当該可到達時間外の通信を不正なものとして遮断できる。
【００５０】
（第４実施例）
更にまた、通信制御装置１は、広域ネットワークＩ／Ｆ１４がＤＨＣＰｖ６サーバ５と接続されている。ルータ広告メッセージによって無線端末装置２又は端末装置４がＤＨＣＰｖ６サーバ５により割り当てられたＩＰｖ６アドレスを使用することが指定されている場合に、記憶部１２は、ＤＨＣＰｖ６サーバ５によって無線端末装置２又は端末装置４に割り当てられたＩＰｖ６アドレス情報を記憶する。
【００５１】
このとき、コントローラ１１は、ルータ広告メッセージにおけるＭフラグが「１」であるか否かを判定する。これにより、通信制御装置１は、ＤＨＣＰｖ６サーバ５から割り当てられたＩＰｖ６アドレスを無線端末装置２又は端末装置４のＩＰｖ６アドレスを使用すると判断する。ここで、記憶部１２は、図３のように、無線端末装置２又は端末装置４を識別する端末情報と、ＤＨＣＰｖ６サーバ５によって割り当てられたＩＰｖ６アドレスとを対応付けて記憶する。
【００５２】
コントローラ１１は、ホームネットワークＩ／Ｆ１３及び広域ネットワークＩ／Ｆ１４により受信されたＩＰｖ６パケットに含まれる送信元ＩＰｖ６アドレスが記憶部１２に記憶されたアドレス情報として含まれている場合には、当該ＩＰｖ６パケットを通過させる。一方、コントローラ１１は、受信したＩＰｖ６パケットに含まれる送信元ＩＰｖ６アドレスが記憶部１２に記憶されたアドレス情報として含まれていない場合には、当該ＩＰｖ６パケットを遮断させる。
【００５３】
これにより、通信制御装置１は、無線端末装置２又は端末装置４のＩＰｖ６アドレスとしてＤＨＣＰｖ６サーバ５により割り当てられたＩＰｖ６アドレスを使用することがルータ広告メッセージによって指定されている場合には、当該割り当てられたＩＰｖ６アドレス以外のアドレスを宛先ＩＰｖ６アドレス、送信元ＩＰｖ６アドレスとするＩＰｖ６パケットを遮断できる。
【００５４】
具体的には、通信システムは、図７に示すようなシーケンスによって、通信制御装置１にＩＰｖ６アドレスを記憶する。
【００５５】
先ず無線端末装置２又は端末装置４は、起動時において、ＤＨＣＰｖ６サーバ５によってＩＰｖ６アドレスの割り当てをする設定がされているときに、ルータ６に対してルータ要請メッセージ（ＲＳ：Router Solicitation message）Ｓ３１を送信する。このルータ要請メッセージＳ３１は、無線端末装置２又は端末装置４がアドレス要求をするＤＨＣＰｖ６サーバ５のアドレス要求を含む。このルータ要請メッセージＳ３１は、通信制御装置１を介してルータ６に供給される。
【００５６】
ルータ６は、無線端末装置２又は端末装置４から送信されたルータ要請メッセージＳ３１に応じて、ルータ広告メッセージＳ３２を送信する。このルータ広告メッセージＳ３２には、無線端末装置２又は端末装置４が通信するＤＨＣＰｖ６サーバ５に割り当てられたＩＰｖ６アドレスを含む。また、このルータ広告メッセージＳ３２は、定期的に送信されるルータ広告メッセージのプレフィックス情報ではなく、ＤＨＣＰｖ６サーバ５によって割り当てられたＩＰｖ６アドレスを使用することを示すために、Ｍフラグが「１」とされる。
【００５７】
このルータ広告メッセージＳ３２は、無線端末装置２又は端末装置４に送信されるときに、通信制御装置１によってキャプチャされる。通信制御装置１は、当該ルータ広告メッセージＳ３２に含まれているＤＨＣＰｖ６サーバ５のアドレス情報及びＭフラグを認識して、無線端末装置２又は端末装置４がＤＨＣＰｖ６サーバ５によって割り当てられたＩＰｖ６アドレスを利用することを認識する。
【００５８】
無線端末装置２又は端末装置４は、ルータ広告メッセージＳ３２を受信したことに応じて、当該ルータ広告メッセージＳ３２に含まれているＤＨＣＰｖ６サーバ５のアドレス情報を用いて、当該ＤＨＣＰｖ６サーバ５にアドレス情報の要求メッセージＳ３３を送信する。
【００５９】
ＤＨＣＰｖ６サーバ５は、無線端末装置２又は端末装置４から送信されたアドレス情報の要求メッセージＳ３３を受信すると、無線端末装置２又は端末装置４に割り当てるＩＰｖ６アドレスを取得する。そしてＤＨＣＰｖ６サーバ５は、無線端末装置２又は端末装置４に宛てて、割り当てるＩＰｖ６アドレスを含むアドレス情報の応答メッセージＳ３４を送信する。
【００６０】
無線端末装置２又は端末装置４は、通信制御装置１を介してＤＨＣＰｖ６サーバ５から送信されたアドレス情報の応答メッセージＳ３４を受信する。無線端末装置２又は端末装置４は、割り当てられたＩＰｖ６アドレスを使用して、以降のＩＰｖ６パケットを作成して、通信を行う。
【００６１】
これにより、この通信制御装置１によれば、正規なＤＨＣＰｖ６サーバ５が割り当てたＩＰｖ６アドレスを用いたＩＰｖ６パケットを通過させ、他のＩＰｖ６アドレスを用いたＩＰｖ６パケットを破棄できる。また、ルータ６からルータ広告メッセージによってプレフィックス情報が定期的に送信されている場合でも、無線端末装置２又は端末装置４がルータ要請メッセージによってＤＨＣＰｖ６サーバ５によって割り当てられたＩＰｖ６アドレスを使用することが設定されている場合には、当該割り当てたＩＰｖ６アドレスによってＩＰｖ６パケットを遮断するルールを自動的に構築できる。
【００６２】
（第５実施例）
更にまた、この通信システムは、ルータ広告メッセージによって無線端末装置２又は端末装置４がＤＨＣＰｖ６サーバ５により割り当てられたＤＮＳサーバアドレス情報を使用することが指定されている場合に、記憶部１２は、ＤＨＣＰｖ６サーバ５によって割り当てられたＤＮＳサーバアドレス情報を記憶する。このとき、コントローラ１１は、ルータ広告メッセージにおけるＯフラグが「１」であるか否かを判定することにより、ＤＨＣＰｖ６サーバ５から割り当てられたＤＮＳサーバのＩＰｖ６アドレスを用いることを判断する。
【００６３】
コントローラ１１は、無線端末装置２又は端末装置４から送信されたＩＰｖ６パケットにおけるポート番号がＤＮＳであるか否かを判定する。コントローラ１１は、ポート番号がＤＮＳである場合、当該ＩＰｖ６パケットの宛先ＩＰｖ６アドレスが記憶部１２に記憶されたＤＮＳサーバアドレス情報として含まれているときには当該ＩＰｖ６パケットを通過させる。一方、コントローラ１１は、当該ＩＰｖ６パケットの宛先ＩＰｖ６アドレスが記憶部１２に記憶されたＤＮＳサーバアドレス情報として含まれていないときには当該ＩＰｖ６パケットを遮断させる。
【００６４】
これにより、通信制御装置１は、無線端末装置２又は端末装置４のＩＰｖ６アドレスとしてＤＨＣＰｖ６サーバ５により割り当てられたＤＮＳサーバ７のＩＰｖ６アドレスを使用することがルータ広告メッセージによって指定されている場合には、当該割り当てられたＤＮＳサーバ７のＩＰｖ６アドレス以外のアドレスを宛先ＩＰｖ６アドレス、送信元ＩＰｖ６アドレスとするＩＰｖ６パケットを遮断できる。
【００６５】
具体的には、通信システムは、図８に示すようなシーケンスの動作を行う。
【００６６】
先ず無線端末装置２又は端末装置４は、ＤＨＣＰｖ６サーバ５の利用時において、ルータ６に対してルータ要請メッセージ（ＲＳ：Router Solicitation message）Ｓ４１を送信する。このルータ要請メッセージＳ４１は、無線端末装置２又は端末装置４がアドレス要求をするＤＨＣＰｖ６サーバ５のアドレス要求を含む。このルータ要請メッセージＳ４１は、通信制御装置１を介してルータ６に供給される。
【００６７】
ルータ６は、無線端末装置２又は端末装置４から送信されたルータ要請メッセージＳ４１に応じて、ルータ広告メッセージＳ４２を送信する。このルータ広告メッセージＳ４２には、無線端末装置２又は端末装置４が通信するＤＨＣＰｖ６サーバ５のＩＰｖ６アドレスを含む。また、このルータ広告メッセージＳ４２は、ＤＮＳサーバ７のＩＰｖ６アドレスとして、ＤＨＣＰｖ６サーバ５によって割り当てられたＤＮＳサーバ７のＩＰｖ６アドレスを使用することを示すために、Ｏフラグが「１」とされる。
【００６８】
このルータ広告メッセージＳ４２は、無線端末装置２又は端末装置４に送信されるときに、通信制御装置１によってキャプチャされる。通信制御装置１は、当該ルータ広告メッセージＳ４２に含まれているＤＨＣＰｖ６サーバ５のアドレス情報及びＯフラグを認識して、無線端末装置２又は端末装置４がＤＨＣＰｖ６サーバ５によって割り当てられたＤＮＳサーバ７のＩＰｖ６アドレスを利用することを認識する。
【００６９】
無線端末装置２又は端末装置４は、ルータ広告メッセージＳ４２を受信したことに応じて、当該ルータ広告メッセージＳ４２に含まれているＤＨＣＰｖ６サーバ５のアドレス情報を用いて、当該ＤＮＳサーバ７のアドレス情報の要求メッセージＳ４３を送信する。
【００７０】
ＤＨＣＰｖ６サーバ５は、無線端末装置２又は端末装置４から送信されたＤＮＳサーバ７のアドレス情報の要求メッセージＳ４３を受信すると、ＤＮＳサーバ７のＩＰｖ６アドレスを取得する。そしてＤＨＣＰｖ６サーバ５は、無線端末装置２又は端末装置４に宛てて、ＤＮＳサーバ７のＩＰｖ６アドレスを含むアドレス情報の応答メッセージＳ４４を送信する。
【００７１】
通信制御装置１は、当該アドレス情報の応答メッセージＳ４４に含まれているＤＮＳサーバ７のＩＰｖ６アドレスを記憶する。これにより、通信制御装置１は、ＤＨＣＰｖ６サーバ５によって割り当てられたＤＮＳサーバ７のＩＰｖ６アドレスを使用した場合のみ、無線端末装置２又は端末装置４からＤＮＳサーバ７宛のＩＰｖ６パケットを通過させる。よって、通信制御装置１は、当該割り当てるＤＮＳサーバ７のＩＰｖ６アドレス以外で、ＤＮＳを利用するＩＰｖ６アドレスを使用したＩＰｖ６パケットを遮断できる。
【００７２】
無線端末装置２又は端末装置４は、通信制御装置１を介してＤＨＣＰｖ６サーバ５から送信されたアドレス情報の応答メッセージＳ４４を受信する。無線端末装置２又は端末装置４は、ＤＨＣＰｖ６サーバ５によって割り当てられたＤＮＳサーバ７のＩＰｖ６アドレスを使用して、以降のＤＮＳのＩＰｖ６パケットを作成して、通信を行う。
【００７３】
この通信制御装置１によれば、ルータ広告メッセージによって指定されたＤＮＳサーバ７のみに対して無線端末装置２又は端末装置４がアクセスさせることにより、他の不正なＤＮＳサーバに誘導されることがない。
【００７４】
（第６実施例）
更にまた、通信制御装置１は、無線端末装置２又は端末装置４の起動直後に当該端末装置がＭＡＣアドレスを用いてＩＰアドレスを設定して当該ＩＰアドレスの重複アドレス検知のためのメッセージを送信した場合に、記憶部１２によって、メッセージに含まれる端末装置のＭＡＣアドレスを記憶する。
【００７５】
コントローラ１１は、無線端末装置２又は端末装置４から送信されたＩＰｖ６パケットに含まれるＭＡＣアドレスが、記憶部１２に記憶されたＭＡＣアドレスと一致するかを判定する。コントローラ１１は、ＩＰｖ６パケットに含まれるＭＡＣアドレスが記憶部１２に記憶されている場合には、当該ＩＰｖ６パケットを通過させる。一方、コントローラ１１は、ＩＰｖ６パケットに含まれるＭＡＣアドレスが記憶部１２に記憶されていない場合には、当該ＩＰｖ６パケットを遮断させる。
【００７６】
これにより、通信制御装置１は、無線端末装置２又は端末装置４がＭＡＣアドレスを用いてＩＰｖ６アドレスの下位６４ビットのリンクローカルアドレスをネットワークインターフェースに設定してＤＡＤ（重複アドレス検知）を行っていない無線端末装置２又は端末装置４を遮断できる。
【００７７】
具体的には、図９に示すように、無線端末装置２又は端末装置４は、リンクローカルアドレスの重複検出パケットＳ５１をマルチキャスト通信によって送信する。この重複検出パケットＳ５１は、通信制御装置１によってキャプチャされ、ルータ６及びＤＨＣＰｖ６サーバ５にも到達する。
【００７８】
この通信システムにおいて、重複検出パケットＳ５１に含まれるリンクローカルアドレスとしてのＭＡＣアドレスが重複していない他の通信装置が無い場合、重複検出パケットＳ５１をマルチキャストした無線端末装置２又は端末装置４には応答が送信されない。通信制御装置１は、重複検出パケットＳ５１をキャプチャした時刻から所定時間に亘って応答がない場合、重複検出パケットＳ５１に含まれている無線端末装置２又は端末装置４のＭＡＣアドレス（インターフェースＩＤ）を記憶する。
【００７９】
その後、無線端末装置２又は端末装置４は、ＩＰｖ６アドレスのプレフィックス情報を取得するためにルータ要請メッセージＳ５２をルータ６に送信する。ルータ６は、ルータ要請メッセージＳ５２を受信すると、当該ルータ要請メッセージＳ５２に応答して、プレフィックス情報を含むルータ広告メッセージＳ５３を無線端末装置２又は端末装置４に返信する。
【００８０】
無線端末装置２又は端末装置４は、ルータ広告メッセージＳ５３を受信すると、当該ルータ要請メッセージＳ５２に含まれているプレフィックス情報を上位６４ビットとし、自己のインターフェースＩＤを下位６４ビットとしたＩＰｖ６アドレスを生成する。これにより、無線端末装置２又は端末装置４は、以降の通信において、自己のＩＰｖ６アドレスを取得できる。
【００８１】
また、ルータ広告メッセージＳ５３は、通信制御装置１によってキャプチャされる。通信制御装置１は、当該ルータ要請メッセージＳ５２に含まれているプレフィックス情報を上位６４ビットとし、重複検出パケットＳ５１に含まれていた無線端末装置２又は端末装置４のインターフェースＩＤを下位６４ビットとして、無線端末装置２又は端末装置４のＩＰｖ６アドレスを生成して、記憶部１２に記憶する。これにより、通信制御装置１は、記憶部１２に記憶されたＩＰｖ６アドレスを使用しているＩＰｖ６パケットのみを通過させ、それ以外のＩＰｖ６アドレスを使用しているＩＰｖ６パケットを遮断できる。
【００８２】
なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。
【符号の説明】
【００８３】
１  通信制御装置
２  無線端末装置
３  家庭内機器
４  端末装置
５  ＤＨＣＰｖ６サーバ
６  ルータ
７  ＤＮＳサーバ
８  通信装置
１１  コントローラ
１２  記憶部
１３  ホームネットワークＩ／Ｆ
１４  広域ネットワークＩ／Ｆ
【図１】
0005385872.tif 000002
【図２】
0005385872.tif 000003
【図３】
0005385872.tif 000004
【図４】
0005385872.tif 000005
【図５】
0005385872.tif 000006
【図６】
0005385872.tif 000007
【図７】
0005385872.tif 000008
【図８】
0005385872.tif 000009
【図９】
0005385872.tif 000010