(57)【特許請求の範囲】
【請求項１】
ＤＨＣＰサーバと、
制限エリア内の第１ネットワーク機器と、
前記第１ネットワーク機器との通信が不可能なＤＨＣＰアドレスが前記ＤＨＣＰサーバから貸与された非制限エリア内の第２ネットワーク機器と、
前記第１ネットワーク機器及び前記第２ネットワーク機器にステートレスアドレスを貸与するルータと、
が同一リンク内のネットワークを介して接続されるネットワークシステムであって、
前記第１ネットワーク機器は、
受信パケットを受信する受信手段と、
前記受信手段により受信した受信パケットの送信元アドレスと、自機器のステートレスアドレス又はリンクローカルアドレスとから、当該受信パケットが自機器と同一リンク内からの通信か否かを判定する受信判定手段と、
前記受信判定手段により、自機器と同一リンク内からの通信と判定された受信パケットの受信を禁止する受信制御手段と、
を有し、
前記第２ネットワーク機器は、
送信パケットを送信する送信手段と、
前記送信手段により送信する送信パケットの送信元アドレスと、自機器のリンクローカルアドレス、ステートレスアドレス及びＤＨＣＰアドレスとから、当該送信元アドレスが手動設定による固定アドレスか否かを判定する送信判定手段と、
前記送信判定手段により、送信元アドレスが前記固定アドレスと判定された送信パケットの送信を禁止する送信制御手段と、
を有することを特徴とするネットワークシステム。
【請求項２】
前記第２ネットワーク機器は、前記ＤＨＣＰサーバからＤＨＣＰアドレスを貸与できない場合、ＤＨＣＰアドレスに代えてＩＰ４ＡｕｔｏＩＰアドレスを自機器に設定し、
前記送信判定手段は、前記送信手段により送信する送信パケットの送信元アドレスと、自機器のＩＰ６リンクローカルアドレス、ステートレスアドレス及びＩＰ４ＡｕｔｏＩＰアドレスとから、当該送信元アドレスが手動設定による固定アドレスか否かを判定すること、
を有することを特徴とする請求項１記載のネットワークシステム。
【請求項３】
制限エリア内の前記第１ネットワーク機器は、受信したマスターブラウザ変更リクエストに対して、マスターブラウザ決定に関する優先度を下げたローカルアナウンスメントを返答すること、
を有することを特徴とする請求項１又は２記載のネットワークシステム。
【請求項４】
前記ＤＨＣＰサーバ、並びに第１ネットワーク機器及び第２ネットワーク機器は、ＮＡＰ対応機器であり、
前記第２ネットワーク機器は、ＮＡＰ対応の前記ＤＨＣＰサーバにより、所定の安全性が検査された結果、前記第１ネットワーク機器との通信が不可能なＤＨＣＰアドレスが前記ＤＨＣＰサーバから貸与されていること、
を有することを特徴とする請求項１ないし３何れか一項記載のネットワークシステム。
【請求項５】
ＤＨＣＰサーバと、第１ネットワーク機器と、ネットワーク機器にステートレスアドレスを貸与するルータと、同一リンク内のネットワークを介し接続され、
前記第１ネットワーク機器との通信が可能なＤＨＣＰアドレス又は前記第１ネットワーク機器との通信が不可能なＤＨＣＰアドレスが、前記ＤＨＣＰサーバから貸与されるネットワーク機器であって、
受信パケットを受信する受信手段と、
前記受信手段により受信した受信パケットの送信元アドレスと、自機器のステートレスアドレス又はリンクローカルアドレスとから、当該受信パケットが自機器と同一リンク内からの通信か否かを判定する受信判定手段と、
前記受信判定手段により、自機器と同一リンク内からの通信と判定された受信パケットの受信を禁止する受信制御手段と、
送信パケットを送信する送信手段と、
前記送信手段により送信する送信パケットの送信元アドレスと、自機器のリンクローカルアドレス、ステートレスアドレス及びＤＨＣＰアドレスとから、当該送信元アドレスが手動設定による固定アドレスか否かを判定する送信判定手段と、
前記送信判定手段により、送信元アドレスが前記固定アドレスと判定された送信パケットの送信を禁止する送信制御手段と、
を有することを特徴とするネットワーク機器。
【請求項６】
ＤＨＣＰサーバと、第１ネットワーク機器と、ネットワーク機器にステートレスアドレスを貸与するルータと、同一リンク内のネットワークを介し接続され、
前記第１ネットワーク機器との通信が可能なＤＨＣＰアドレス又は前記第１ネットワーク機器との通信が不可能なＤＨＣＰアドレスが、前記ＤＨＣＰサーバから貸与されるネットワーク機器における通信制御方法であって、
受信パケットを受信する受信手順と、
前記受信手順により受信した受信パケットの送信元アドレスと、自機器のステートレスアドレス又はリンクローカルアドレスとから、当該受信パケットが自機器と同一リンク内からの通信か否かを判定する受信判定手順と、
前記受信判定手順により、自機器と同一リンク内からの通信と判定された受信パケットの受信を禁止する受信制御手順と、
送信パケットを送信する送信手順と、
前記送信手順により送信する送信パケットの送信元アドレスと、自機器のリンクローカルアドレス、ステートレスアドレス及びＤＨＣＰアドレスとから、当該送信元アドレスが手動設定による固定アドレスか否かを判定する送信判定手順と、
前記送信判定手順により、送信元アドレスが前記固定アドレスと判定された送信パケットの送信を禁止する送信制御手順と、
を有することを特徴とする通信制御方法。
【請求項７】
請求項６記載の通信制御方法をコンピュータに実行されるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークシステム、ネットワーク機器、通信制御方法、及びプログラムの分野に関する。
【背景技術】
【０００２】
一般に、社内（企業内）ネットワークとインターネットのような外部ネットワークとの境界には、ファイアウォールが設置されており、外部からは簡単に企業内ネットワークにアクセスはできない。また、このような外部からのアクセス制限のみならず、企業内ネットワークの内部からのアクセスであっても、各企業のセキュリティポリシーに基づいて一定のセキュリティ対策が講じられている場合も多い。内部からの悪意ある不正アクセスに対して、その防御対策がなされるのは一般的である。
【０００３】
近年、次のような事例も問題になってきている。例えば、社内ネットワークに接続許可されている社員自身が自覚のないままに、ウイルスやワームに感染したパソコン（以下ＰＣという）を社内ネットワークに持ち込んでしまう場合がある。たとえ接続が許可されているＰＣであっても、セキュリティレベルの低いＰＣが接続されてしまうと、場合によってはそのＰＣが感染源となって、社内ネットワーク全体の安全性に影響を及ぼす。この原因としては、ＰＣ端末にはファイアウォールがインストールされていない、ファイアウォールがインストールされていても最新の更新プログラムが適用されていない、またそもそも管理の及ばない持ち込みＰＣ（例えば外部者のノートＰＣ）である、といったことが考えられる。
【０００４】
そこで近年、ＮＡＰ（Network Access Protection）が知られるようになってきた。ＮＡＰは、検疫ネットワークの仕組みを実現するプロトコルであり、コンピュータデバイスがネットワークにアクセスしたりネットワークで通信したりする前に、ＰＣの状態を検査し、予め決められた要件に準拠させるプラットフォームを実現する。
【０００５】
例えば、ネットワークにアクセスしようとする全てのＰＣは、セキュリティの状態を確認するために用意した特別なネットワーク領域（例えば検査用ネットワーク）に接続させる。この検査用ネットワークは、社内ネットワークとは論理的に切り離されている。まずＰＣは、検査用ネットワークの中で、そのＰＣの状態がセキュリティポリシーに合っているかどうかが確認される。具体的には、パーソナル・ファイアウォール（ソフトウェア）が導入されているか、その検出用パターンファイルは最新か、禁止されているソフトウェアをインストールしていないか、またＯＳの最新修正プログラム（パッチ）を適用しているか、といった内容が確認される。そして、検査に合格したＰＣのみが、接続を切り替えて社内ネットワークを利用できるようになる。
【０００６】
一方、問題ありと判断されたＰＣについては、例えば、必要に応じて最新修正プログラムの適用や、パターンファイルの更新といった対策がなされた後に、再度そのＰＣの状態がセキュリティポリシーに合っているかどうかが確認されてから、社内ネットワークへの接続を許可するようにすることができる。
【０００７】
ここで、ＮＡＰは、ＰＣの通信を制限しながら、ネットワークに対しセキュリティポリシーへの準拠を強制できる。しかしながら、検疫ネットワークには厳密な定義はなく、そのため実際にこれを実現する方法は様々である。例えばＮＡＰにおいては、８０２．１ｘ、ＩＰｓｅｃ（Security Architecture for Internet Protocol）、ＶＰＮ（Virtual Private Network）、ＤＨＣＰ（Dynamic Host Configuration Protocol）などのメカニズムが用意されており、これらメカニズムを利用して、例えば，ＬＡＮスイッチを使って接続先を振り分ける方法や，クライアントにインストールしたパーソナル・ファイアウォールのポリシーで接続先を切り替える方法、ＤＨＣＰサーバがＰＣに配布するＩＰアドレスを変更する方法，ゲートウェイが接続先を振り分ける方法、などが例示される（例えば特許文献１参照）。
【０００８】
本明細書においては、特にＤＨＣＰを利用したＮＡＰメカニズムについて取り上げ、ＮＡＰ  ＤＨＣＰによる検疫ネットワーク実現方法を検討する。上述のＰＣの状態（検査結果）に応じて、ＤＨＣＰサーバがＰＣに配布するＩＰアドレスを変更する方法である。この方法において、ＮＡＰ  ＤＨＣＰの動作は、概ね以下の通りである。
（１）ＰＣは、検査用ネットワークに接続されると、ＮＡＰ対応ＤＨＣＰサーバに対して、ＩＰアドレス取得要求を行う。ここでＩＰアドレス取得要求のパケットには、ＮＡＰに基づき、ＰＣが安全な機器であるかどうかの判定に用いられる情報が含まれている。安全な機器であるかどうかの判定に用いられる情報とは、例えば、上述の、パーソナル・ファイアウォールが導入されているか、その検出用パターンファイルは最新か、等々の情報である。
（２）ＮＡＰ対応ＤＨＣＰサーバは、上述のＩＰアドレス取得要求のパケットを受信して、ＰＣのいわゆる安全性（例えば、上記のファイアウォール導入の有無等）を検査する。ＰＣの安全性に問題がなければ、完全かつ有効なアドレス情報（例えばアドレス、サブネットマスク、ゲートウェイ、ＤＮＳ等）がＰＣに貸与され、社内ネットワークに接続される。
（３）一方、ＰＣの安全性に問題がある場合、ＮＡＰ対応ＤＨＣＰサーバは、ＰＣに対し、制限されたアドレス情報を強制的に貸与する。ここで貸与されるアドレス情報は、ＰＣに問題がない場合に貸与されるアドレス情報とは異なり、社内ネットワークに接続できないＩＰアドレス及びサブネットマスクとなる。
【０００９】
以上のＮＡＰ  ＤＨＣＰ動作よれば、（３）のように、ＰＣの安全性に問題がある場合、ＰＣが制限されたアドレス情報により強制的に構成されると、ＰＣは、社内ネットワーク内の特別に保護された資源、エリアに対してアクセスできないようになっている。
【発明の概要】
【発明が解決しようとする課題】
【００１０】
しかしながら、安全性に問題のあるＰＣは、ＮＡＰ対応ＤＨＣＰサーバにより安全な機器でないと判定されているので、社内ネットワーク等へのアクセスは禁止されるべきではあるが、その一方、ＰＣの安全性を担保できるように、修復サーバやインターネットへのアクセスへの道は開かれている必要がある。
【００１１】
上述のＮＡＰ  ＤＨＣＰによる検疫ネットワーク実現方法においては、安全性に問題のあるＰＣには、社内ネットワーク等の制限エリアに論理的にアクセスできないＩＰアドレスが貸与されるだけであるため、ＰＣの安全性を担保するためのアクセスルートについてはあまり考慮されていなかった。例えば、安全性に問題のあるＰＣに192.168.1.1/32のようなＩＰアドレスが貸与されると、ＰＣは他機器と通信を行うことができない。
【００１２】
一方、ＰＣの安全性を担保するためのアクセスルートを確保する目的で、手動設定した固定アドレスや、ルータが付与したステートレスアドレスを使用すれば、そのアクセスルートは確保できるものの、今度はそれらアドレスを使用して、本来アクセスされるべきでない社内ネットワーク等の制限エリアに容易にアクセスできてしまうという問題があった。
【００１３】
即ち、ＮＡＰ  ＤＨＣＰによる検疫ネットワークを実現する場合、ネットワーク管理者は、接続されるＰＣに貸与されるアドレスとして、ＤＨＣＰからのアドレスを想定した上で、制限／非制限エリアからなるネットワークを設計、構築している。しかしながら、接続されるＰＣが、ＰＣの安全性を担保するためのアクセスルートを確保する目的で、想定外のアドレス（ＤＨＣＰ以外のアドレス）を使用した場合、本来アクセスされるべきでないエリアにアクセスできてしまうなど、ネットワーク管理上、想定外の事態が生じてしまうという問題があった。このため、安全性に問題のあるＰＣが、社内ネットワーク等の保護された制限エリアに対してアクセスできてしまうと、そのＰＣがウイルス感染源となって、社内ネットワーク全体の安全性に影響を及ぼしたり、ひいては機密情報等の外部流布の可能性も生じうる。
【００１４】
また、ネットワーク管理者が、ＰＣの安全性を担保するためのアクセスルートを確保する目的で、例えば、ルータが付与したステートレスアドレスを使用できるように意図している場合であっても、依然として本来アクセスされるべきでない社内ネットワーク等の制限エリアに容易にアクセスできてしまうという問題はある。
【００１５】
そこで本発明では上記のような問題に鑑みて、検疫ネットワークにおいてＮＡＰ  ＤＨＣＰの実効性をより確実なものにすべく、安全でないＰＣに対して、ＰＣの安全性を担保するためのアクセスルートを確保しつつも、保護すべき資源やエリアへのアクセスは禁止するように通信制御を行うネットワークシステム、ネットワーク機器、通信制御方法、及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【００１６】
上記課題を解決するため、本発明に係るネットワークシステムは、ＤＨＣＰサーバと、限エリア内の第１ネットワーク機器と、記第１ネットワーク機器との通信が不可能なＤＨＣＰアドレスが前記ＤＨＣＰサーバから貸与された非制限エリア内の第２ネットワーク機器と、記第１ネットワーク機器及び前記第２ネットワーク機器にステートレスアドレスを貸与するルータと、が同一リンク内のネットワークを介して接続されるネットワークシステムであって、前記第１ネットワーク機器は、受信パケットを受信する受信手段と、前記受信手段により受信した受信パケットの送信元アドレスと、自機器のステートレスアドレス又はリンクローカルアドレスとから、当該受信パケットが自機器と同一リンク内からの通信か否かを判定する受信判定手段と、前記受信判定手段により、自機器と同一リンク内からの通信と判定された受信パケットの受信を禁止する受信制御手段と、有し、前記第２ネットワーク機器は、送信パケットを送信する送信手段と、前記送信手段により送信する送信パケットの送信元アドレスと、自機器のリンクローカルアドレス、ステートレスアドレス及びＤＨＣＰアドレスとから、当該送信元アドレスが手動設定による固定アドレスか否かを判定する送信判定手段と、前記送信判定手段により、送信元アドレスが前記固定アドレスと判定された送信パケットの送信を禁止する送信制御手段とを有する。
【００１７】
また上記課題を解決するため、本発明に係るネットワーク機器は、ＤＨＣＰサーバと、第１ネットワーク機器と、ネットワーク機器にステートレスアドレスを貸与するルータと、同一リンク内のネットワークを介し接続され、前記第１ネットワーク機器との通信が可能なＤＨＣＰアドレス又は前記第１ネットワーク機器との通信が不可能なＤＨＣＰアドレスが、前記ＤＨＣＰサーバから貸与されるネットワーク機器であって、受信パケットを受信する受信手段と、前記受信手段により受信した受信パケットの送信元アドレスと、自機器のステートレスアドレス又はリンクローカルアドレスとから、当該受信パケットが自機器と同一リンク内からの通信か否かを判定する受信判定手段と、前記受信判定手段により、自機器と同一リンク内からの通信と判定された受信パケットの受信を禁止する受信制御手段と、送信パケットを送信する送信手段と、前記送信手段により送信する送信パケットの送信元アドレスと、自機器のリンクローカルアドレス、ステートレスアドレス及びＤＨＣＰアドレスとから、当該送信元アドレスが手動設定による固定アドレスか否かを判定する送信判定手段と、前記送信判定手段により、送信元アドレスが前記固定アドレスと判定された送信パケットの送信を禁止する送信制御手段とを有する。
【００１８】
なお、本発明の構成要素、表現または構成要素の任意の組合せを、方法、装置、システム、コンピュータプログラム、記録媒体、などに適用したものも本発明の態様として有効である。
【発明の効果】
【００１９】
本発明によれば、検疫ネットワークにおいてＮＡＰ  ＤＨＣＰの実効性をより確実なものにすべく、安全でないＰＣに対して、ＰＣの安全性を担保するためのアクセスルートを確保しつつも、保護すべき資源やエリアへのアクセスは禁止するように通信制御を行うネットワークシステム、ネットワーク機器、通信制御方法、及びプログラムを提供することができる。
【図面の簡単な説明】
【００２０】
【図１】本実施形態に係るネットワーク構成図である。
【図２】本実施形態に係るＰＣ１の一実施形態の主要構成を示すハードウェア構成図である。
【図３】本実施形態に係るＰＣ１及びＰＣ３の一実施形態の主要機能を示す機能ブロック図である。
【図４】本実施形態に係るＰＣ１及びＰＣ３の一実施形態の主要機能を示す機能ブロック図である。
【図５】本実施形態に係る通信制御をファイアウォール設定への適用例を示す。
【図６】実施形態に係る通信制御結果例（その１）を示す。
【図７】実施形態に係る通信制御結果例（その２）を示す。
【図８】各機器の処理動作を説明するシーケンス図である。
【発明を実施するための形態】
【００２１】
以下、本発明を実施するための最良の形態を各実施形態において図面を用いて説明する。
【００２２】
[実施形態１]
（ネットワーク構成）
はじめに、具体的な発明の内容を説明する前に、本発明を実施するにあたってのネットワーク構成について説明する。図１は、本実施形態に係るネットワーク構成図である。図に示されるように、ＰＣ１、ＮＡＰ対応ＤＨＣＰサーバ２、ＰＣ３、修復サーバ４、インターネット５、ルータ６が、ネットワーク上に接続されている。
【００２３】
ＰＣ１は、新たにネットワークに接続されたＰＣである。接続までの過程として、上述のＮＡＰ  ＤＨＣＰに従って、アドレス情報が貸与されている。即ちＰＣ１は、ＮＡＰ対応ＤＨＣＰサーバ２により、ＰＣ１の安全性が検査され、その結果、ＰＣ１の安全性に問題がある（ここではＯＳのパッチが最新でないとする）とされたため、所定のアドレス情報（IP;192.168.1.100/32）が強制的に貸与されている。よって、ＰＣ１は、このアドレスでは論理的に制限エリア内のＰＣ３や、修復サーバ４、さらにはインターネット５に対して接続できないようになっている。
【００２４】
一方、ＰＣ３もまた、新たにネットワークに接続されたＰＣである。但しＰＣ１とは異なり、ＮＡＰ対応ＤＨＣＰサーバ２により、ＰＣ１の安全性が検査され、その結果、ＰＣ１の安全性に問題がないとされたため、安全な機器に貸与されるアドレス情報（IP;192.168.1.50/24、GW;192.168.1.1）が貸与されている。よって、ＰＣ１は、このアドレスでは論理的に制限エリア内に位置している。なお、「/24」、「/32」などはサブネットマスクのビット表記であり、それぞれ１０進数表記の「255.255.255.0」、「255.255.255.255」と同義であるものとする。
【００２５】
ルータ６は、ネットワーク上の各機器に対して、いわゆるステートレスアドレスを貸与している。ＰＣ１に対してもまた「2001：：100」（IPv6）のアドレスが貸与されているので、ＰＣ１はこのステートレスアドレスを使用して、修復サーバ４やインターネット５に対してアクセスすることが可能となっている。即ち、安全でないＰＣ１の安全性を担保するためのアクセスルートが確保されているので、修復サーバ４やインターネット５にアクセスすることにより、ＰＣ１の安全性を担保する措置（ここではＯＳの最新パッチの更新）を行うことができる。そしてＰＣ１の安全性が担保されれば、上述したように、再度ＰＣ１の状態が安全性が確認されてから、安全な機器に貸与されるアドレス情報（IP;192.168.1.xxx/24、GW;192.168.1.1）を貸与することで、ネットワーク上の各機器への接続を許可するようにすることができる。
【００２６】
また上述のように、ＮＡＰ対応ＤＨＣＰサーバ２は、ＮＡＰによる安全性の検査、及びその検査結果に応じてアドレス情報を貸与するＤＨＣＰサーバである。また修復サーバ４は、ＰＣの安全性を修復するサーバであり、例えば、ＰＣ１にＯＳの最新のパッチを提供する。
【００２７】
以上、ネットワーク管理者が想定するところのＮＡＰ  ＤＨＣＰによる検疫ネットワークである。安全性に問題があるとされたＰＣ１には、非制限エリアに振り分けられる所定のＤＨＣＰアドレスを使用させるようにしつつ、ルータ６からのステートレスアドレスを貸与し、安全性を担保する措置のためのアクセスを許可するようにしている。
【００２８】
なお図１は、本発明の一実施形態を説明するにあたっての構成を示したものであり、例えば、処理分散の観点からＮＡＰサーバ及びＤＨＣＰサーバを別個設けてもよいし、その他ＰＣ、サーバ等、複数台あってもよい。
【００２９】
（概要）
ここで、具体的な実施形態について説明する前に、本実施形態の概要及びその考え方についてまず言及しておく。
【００３０】
一般に、ネットワークで使用されるネットワークアドレスは、ＤＨＣＰで付加される「ＤＨＣＰアドレス」、ルータにより付与される「ステートレスアドレス」、ユーザが手動で設定する「固定アドレス」、機器に必ず自動的に付加される「リンクローカルアドレス」がある。これらネットワークアドレスは、ＩＰｖ４、６のいずれも含みうる。
【００３１】
本実施形態に係る上記ネットワーク環境においては、ＰＣ１に対して所定のＤＨＣＰアドレスが貸与されていたが、修復サーバ４などにアクセスできるようステートレスアドレスもまた貸与されているため、ＰＣ１がステートレスアドレスを使用すれば、制限エリアのＰＣ３に対してアクセスができてしまう。ステートレスアドレスは、同一リンク（セグメント）内の機器でプレフィックスが共通であるからである。
【００３２】
また例えば、ユーザがＤＨＣＰアドレスから固定アドレス（例えばIP;192.168.1.xxx/24など）に再設定を行ってしまうと、ＰＣ１から制限エリアのＰＣ３に対して、論理的に制限エリアに対してアクセスができてしまう。
【００３３】
また例えば、ＰＣ１がリンクローカルアドレスを使用すれば、制限エリアのＰＣ３に対してアクセスができてしまう。リンクローカルアドレスは、同一リンク（セグメント）内の機器でプレフィックスが共通であるからである。
【００３４】
そこで、このような想定外の通信を受信側であるＰＣ３において防御することを考えると、固定アドレスを使用してのＰＣ１からの通信に対してＰＣ３（受信側）は、ＰＣ１（送信側）のアドレスがＤＨＣＰアドレスによるものかどうかを判別することができない。ＤＨＣＰアドレスは、ＮＡＰ対応ＤＨＣＰサーバ２が貸与するものであるからである。よって、受信側では、固定アドレスを使用した通信をブロック（又は判別）できない。つまり、固定アドレスを使用した通信をブロックするには、受信側ではなく送信側でブロックする必要がある。
【００３５】
一方、ルータ６が付与するステートレスアドレスは、同一リンク（セグメント）内の機器でプレフィックスが共通である。よって、ステートレスアドレスを使用してのＰＣ１からの通信に対してＰＣ３は、自身のプレフィックスと共通であるので、ＰＣ１が同一リンク内の機器かどうかの判別ができる。また同様に、リンクローカルアドレスは同一リンク内のみの通信に限られ、固定のプレフィックスが付く。よって、リンクローカルアドレスを使用してのＰＣ１からの通信に対してＰＣ３は、自身のプレフィックスと共通であるので、ＰＣ１が同一リンク内の機器かどうかの判別ができる。即ち、上述の固定アドレスの場合と異なり、ステートレスアドレス、リンクローカルアドレスを使用した通信は、受信側でブロック（又は判別）できる。
【００３６】
一般に、ファイアウォールは受信側でパケットをブロックするため、本実施形態においてはこれを利用して、ＰＣ３（受信側）は、自身と同じプレフィックスのステートレスアドレス又はリンクローカルアドレスからの通信をブロックする。これにより、受信側においては、同一リンク内の通信を、ＤＨＣＰアドレスか、手動設定による固定アドレスによるものに限定することができる。
【００３７】
そして、ＤＨＣＰアドレス及び固定アドレスによる通信のうち、固定アドレスの通信は、ＰＣ１（送信側）で防止する。送信側は、自身のアドレスがＤＨＣＰアドレスかどうか判別できるからである。このようにすれば、ネットワークにおいて、管理者想定外の固定アドレス、ステートレスアドレス、リンクローカルアドレスの使用を排除することができるようになる。
【００３８】
以上踏まえて、以下具体的に実施形態について説明していく。即ち上述したように、本実施形態において、ネットワーク上の各機器（少なくともＰＣ１及びＰＣ３）は、ファイアウォール機能を有しており、ファイアウォール機能は、固定アドレスを使用して送信を行う場合、これを禁止する制御を行い、また一方ステートレスアドレス及びリンクローカルアドレスを使用して受信を行う場合、これを禁止する制御を行う。このように、検疫ネットワークにおいて通信制御を行うことで、ＮＡＰ  ＤＨＣＰの実効性をより確実なものとし、管理者の想定する検疫ネットワークをより安全なものにすることができる。
【００３９】
（ハードウェア）
図２は、本実施形態に係るＰＣ１の一実施形態の主要構成を示すハードウェア構成図である。勿論このＰＣ１だけに限られず、ＰＣ３についても同様なハードウェアによって構成しうる。ＰＣ１は、主要な構成として、ＣＰＵ１０１、ＲＯＭ（Read Only Memory）１０２、ＲＡＭ（Random Access Memory）１０３、補助記憶装置１０４、記憶媒体読取装置１０５、入力装置１０６、表示装置１０７、及び通信装置１０８を含む構成である。以下、簡潔に説明する。
【００４０】
ＣＰＵ１０１は、マイクロプロセッサ及びその周辺回路から構成され、ＰＣ１全体を制御する回路である。また、ＲＯＭ１０２は、ＣＰＵ１０１で実行される所定の制御プログラム（ソフトウェア部品）を格納するメモリであり、ＲＡＭ１０３は、ＣＰＵ１０１がＲＯＭ１０２に格納された所定の制御プログラム（ソフトウェア部品）を実行して各種の制御を行うときの作業エリア（ワーク領域）として使用するメモリである。
【００４１】
補助記憶装置１０４は、汎用のＯＳ、機器情報、ファイアウォールに関する設定情報を含む各種情報を格納する装置であり、不揮発性の記憶装置であるＨＤＤ（Hard Disk Drive）などが用いられる。なお、上記各種情報は、補助記憶装置１０４以外にも、ＣＤ−ＲＯＭ（Compact Disk - ROM）やＤＶＤ（Digital Versatile Disk）などの記憶媒体やその他のメディアを記憶されてもよく、これらの記憶媒体に格納された各種情報は、記憶媒体読取装置１０５などのドライブ装置を介して読み取ることが可能である。また、必要に応じて記録媒体を記憶媒体読取装置１０５にセットすることで、各種情報が得られる。
【００４２】
入力装置１０６は、ユーザが各種入力操作を行うための装置である。入力装置１０６は、マウス、キーボード、表示装置１０７の表示画面上に重畳するように設けられたタッチパネルスイッチなどを含む。表示装置１０７は、例えば、ＬＣＤ(Liquid Crystal Display)、ＣＲＴ(Cathode Ray Tube)などから構成される。通信装置３は、ネットワーク５を介して、被管理装置３や機器管理端末２との通信を行う装置である。有線ネットワークや無線ネットワークなど含む各種ネットワーク形態に応じた通信をサポートする。
【００４３】
（機能）
図３は、本実施形態に係るＰＣ１及びＰＣ３の一実施形態の主要機能を示す機能ブロック図である。ＰＣ１は、主要な機能として、通信部１１１、送信判定部１１２、送信制御部１１３、自アドレス情報１１４を含む構成である。またＰＣ３は、主要な機能として、通信部３１１、受信判定部３１２、受信制御部３１３、自アドレス情報３１４を含む構成である。以下簡潔に説明する。
【００４４】
ＰＣ１の通信部１１１は、パケットの送受信を行なう機能を有し、特に機器が送信側である場合は、送信パケットを送信する（送信部）。
【００４５】
送信判定部１１２は、通信部１１１により送信する送信パケットの送信元アドレスと、自機器のリンクローカルアドレス、ステートレスアドレス及びＤＨＣＰアドレスとから、当該送信元アドレスが手動設定によるアドレスか否かを判定する機能を有している。例えば、ＤＨＣＰアドレスからユーザ手動設定による固定アドレスに変更された場合、通信部１１１により送信する送信パケットの送信元アドレスは、自機器のリンクローカルアドレス、ステートレスアドレス及びＤＨＣＰアドレスと異なっていることを利用して、当該送信元アドレスが手動設定による固定アドレスか否か、つまり手動設定による固定アドレスに変更されたか否かを判定する判定できる。この点、再度後述する。
【００４６】
送信制御部１１３は、通信部１１１を制御して、送信判定部１１２により、送信元アドレスが手動設定による固定アドレスと判定された送信パケットの送信を禁止する機能を有している。つまり、手動設定による固定アドレスに変更された場合、固定アドレスによる通信を禁止できる。即ちＰＣ１からＰＣ３に対し、固定アドレスを使用してのアクセス（送信）を防止できる。この点、再度後述する。
【００４７】
自アドレス情報１１４は、記憶手段等に記憶される自機器のアドレス情報である。例えば、ＮＡＰ対応ＤＨＣＰサーバ２から貸与されたＤＨＣＰアドレスや、ルータ６から貸与されたステートレスアドレス、自機器が自動設定したリンクローカルアドレスを自アドレス情報１１４として記憶している。また例えば、ＤＨＣＰアドレスからユーザ手動設定による固定アドレスに変更された場合でも、変更前のＤＨＣＰアドレスは記憶維持される。送信判定部１１２による判定に用いられるからである。
【００４８】
ＰＣ３の通信部３１１は、パケットの送受信を行なう機能を有し、特に機器が受信側である場合は、受信パケットを受信する（受信部）。
【００４９】
受信判定部３１２は、通信部３１１により受信した受信パケットの送信元アドレスと、自機器のステートレスアドレス又はリンクローカルアドレスとから、当該受信パケットが自機器と同一リンク内から通信か否かを判定する機能を有している。例えば、通信部３１１により受信パケットを受信した場合、受信した受信パケットの送信元アドレスは、自機器のステートレスアドレス及びリンクローカルアドレスと、そのプレフィックスが異なっているかどうかを利用して、当該受信パケットが自機器と同一リンク内から通信か否かを判定できる。この点、再度後述する。
【００５０】
受信制御部３１３は、通信部３１１を制御して、受信判定部３１２により、自機器と同一リンク内の通信と判定された受信パケットの受信を禁止する機能を有している。つまり、例えば、ステートレスアドレス又はリンクローカルアドレスによる受信パケットが、自機器と同一リンク内から通信を禁止（拒否）できるので、同一リンク内の通信をＤＨＣＰアドレス又は固定アドレスに限定することができる。即ちＰＣ１からＰＣ３に対し、ステートレスアドレス又はリンクローカルアドレスを使用してのアクセス(受信)を防止できる。この点、再度後述する。
【００５１】
自アドレス情報３１４は、記憶手段等に記憶される自機器のアドレス情報である。ＰＣ３の場合、例えば、ＮＡＰ対応ＤＨＣＰサーバ２から貸与されたＤＨＣＰアドレス、ルータ６から貸与されたステートレスアドレス、自機器が自動設定したリンクローカルアドレスを自アドレス情報１１４として記憶している。
【００５２】
以上これらの機能は、実際にはＣＰＵ１０１が実行するプログラムによりコンピュータに実現させるものである。
【００５３】
なおここで、ＰＣ１、ＰＣ３は、ネットワーク接続前においは、制限エリア又は非制限エリアのどちらに位置するかは分からないので、以下の実施形態においては、送信側に関する上記各機能部及び受信側に関する上記各機能部の両方を有しているものとする。つまり、ＰＣ１及びＰＣ３は、同様なファイアウォール機能（後述）を有するようにすることができる。図３に示される主要機能を示す機能ブロックは、送信側及び受信側毎に要求される各機能を示したものといえるので、ＮＡＰ対応ＤＨＣＰサーバ２により制限エリア又は非制限エリアのどちらかに位置した後は、図３に示されるように、非制限エリアに位置するＰＣ１は、送信側に関する上記各機能部を有し、制限エリアに位置するＰＣ３は、受信側に関する上記各機能部を有するように構成できる。
【００５４】
図４は、本実施形態に係るＰＣ１及びＰＣ３の一実施形態の主要機能を示す機能ブロック図である。つまり、ＰＣ１及びＰＣ３に対し、送信側に関する上記各機能部及び受信側に関する上記各機能部の両方を有するように構成したものである。以下、図４に示される機能構成に基づいて説明していく。
【００５５】
（通信制御例）
図５は、本実施形態に係る通信制御をファイアウォール設定への適用例を示す。つまり、図４に示される送信側に関する上記各機能部及び受信側に関する上記各機能部を、ファイアウォール機能として実現させた適用例である。
【００５６】
図５のファイアウォール設定は、「フィルタ名称」、「送信元」、「方向」、「送信先」、「制御内容」の設定項目からなっており、これら設定項目によって各フィルタルールが規定される。「フィルタ名称」は、各フィルタルールに与えられた名称である。「送信元」は、送信元の条件を示す。「方向」は、フィルタルールを適用する送受信方向を示す。「送信先」は、送信先のアドレスなどを値とするが、本実施形態では「ａｎｙ」（何でもよい）が入力される。「制御内容」は、「送信元」、「方向」、「送信先」で規定される条件を満たす場合に適用される通信制御内容やフィルタルールを示す。以下、具体的に説明する。
【００５７】
まず、送信フィルタについて説明する。「送信フィルタ１」は、送信元：ＤＨＣＰ、方向：送信、送信先：ａｎｙ、制御内容：許可、と設定されている。つまり「送信フィルタ１」は、パケット送信時のフィルタを行うもので、送信元のアドレスが自機器のＤＨＣＰアドレスであり、通信の方向は送信方向、送信先はａｎｙ（何でもよく）、これら条件を満たす通信については、通信を許可する、という意味である。
【００５８】
「送信フィルタ２」は、送信元：ステートレス、方向：送信、送信先：ａｎｙ、制御内容：許可、と設定されている。つまり「送信フィルタ２」は、送信のフィルタを行うもので、送信元のアドレスが自機器のステートレスアドレスであり、通信の方向は送信方向、送信先はａｎｙ（何でもよく）、これら条件を満たす通信については、通信を許可する、という意味である。
【００５９】
「送信フィルタ３」は、送信元：リンクローカル、方向：送信、送信先：ａｎｙ、制御内容：許可、と設定されている。つまり「送信フィルタ３」は、送信のフィルタを行うもので、送信元のアドレスが自機器のリンクローカルアドレスであり、通信の方向は送信方向、送信先はａｎｙ（何でもよく）、これら条件を満たす通信については、通信を許可する、という意味である。
【００６０】
「送信フィルタ４」は、送信元：上記以外、方向：送信、送信先：ａｎｙ、制御内容：ブロック、と設定されている。つまり「送信フィルタ４」は、送信のフィルタを行うもので、送信元のアドレスが上記以外（ＤＨＣＰ、ステートレス、リンクローカル以外）であり、通信の方向は送信方向、送信先はａｎｙ（何でもよく）、これら条件を満たす通信については、通信をブロック（不許可）する、という意味である。
【００６１】
以上の送信フィルタ１〜４をまとめると、パケット送信時に機能するフィルタであって、ＤＨＣＰ、ステートレス、リンクローカルによる送信を許可し、それ以外（例えば固定アドレス）による送信をブロックする、ということになる。
【００６２】
次いで、受信フィルタについて説明する。「受信フィルタ１」は、送信先：ａｎｙ、方向：受信、送信元：自機器と同じｐｒｅｆｉｘ（プレフィックス）、制御内容：ブロック、と設定されている。つまり「受信フィルタ１」は、パケット受信時のフィルタを行うもので、送信先はａｎｙ（何でもよく）、通信の方向は受信方向、送信元のアドレスが自機と同じプレフィックスのアドレスであり、これら条件を満たす通信については、通信をブロックする、という意味である。
【００６３】
「受信フィルタ２」は、送信先：ａｎｙ、方向：受信、送信元：リンクローカル、制御内容：ブロック、と設定されている。つまり「受信フィルタ２」は、パケット受信時のフィルタを行うもので、送信先はａｎｙ（何でもよく）、通信の方向は受信方向、送信元のアドレスがリンクローカルアドレスであり、これら条件を満たす通信については、通信をブロックする、という意味である。なおリンクローカルアドレスは、ルータを経由しない環境でのみ用いられるアドレスであり、アドレスにはそのサブネットのネットワーク番号を含んでいる。具体的に、IPv6ではネットワーク番号に相当する前半６４ビットを「fe80:0:0:0」に固定したアドレスになるのが特徴である。
【００６４】
「受信フィルタ３」は、送信先：ａｎｙ、方向：受信、送信元：上記以外、制御内容：許可、と設定されている。つまり「受信フィルタ３」は、パケット受信時のフィルタを行うもので、送信先はａｎｙ（何でもよく）、通信の方向は受信方向、送信元のアドレスが上記以外（自機器と同じプレフィックスのアドレス、リンクローカルアドレス）であり、これら条件を満たす通信については、通信を許可する、という意味である。
【００６５】
以上の受信フィルタ１〜３をまとめると、パケット受信時に機能するフィルタであって、自機器と同じプレフィックスのアドレス、リンクローカルアドレスによる受信をブロックし、それ以外（例えばＤＨＣＰアドレス、固定アドレス）による送信を許可する、ということになる。
【００６６】
なお、「送信元」、「送信先」に関する条件は、送受信パケット内の送信元アドレス、送信先アドレスを参照することにより判定可能である。また、自機器のアドレスか否か、自機器と同じプレフィックスのアドレスか否かなどは、上述の自アドレス情報１４４（３１４）を参照することにより判定可能である。
【００６７】
このようなファイアウォール設定は、ＰＣ１及びＰＣ３のファイアウォール機能に適用することができる。そしてこのようなファイアウォール設定によると、受信側となる場合は、「同一リンク内のステートレスアドレス、リンクローカルアドレスの使用による通信」は禁止されるので、同一リンク内の通信をＤＨＣＰアドレス又は固定アドレスに限定することができる。またさらに、送信側となる場合は、「固定アドレスの使用による通信」は禁止されるので、その結果、同一リンク内の通信をＤＨＣＰアドレスの使用による通信に限定することができる。
【００６８】
これにより、非制限エリアのＰＣ１から、制限エリアのＰＣ３への、アクセスは、管理者がコントロール可能なＤＨＣＰアドレスによる通信に限定できる。一方ステートレスアドレス、リンクローカルアドレスの使用については、同一リンク内の通信を禁止することで、非制限エリアのＰＣ１から、制限エリアのＰＣ３へのアクセスは禁止しつつ、同一リンク外の通信、例えば、修復サーバ４へのアクセスを担保できるようになる。
【００６９】
（通信制御結果例）
図６は、実施形態に係る通信制御結果例（その1）を示す。再び図１及び図５を踏まえ、図１のネットワーク構成において、図５のファイアウォール設定に基づく通信制御結果を説明する。
【００７０】
（ａ）ＰＣ１→ＰＣ３：ＰＣ１からＰＣ３へアクセスする場合、使用するアドレス毎の通信制御結果を示す。即ち非制限エリア内の機器から制限エリア内の機器へ通信を行った場合である。なお「送信元の使用アドレス」は、ＰＣ１（送信元）が使用するアドレスの種類を示し、「送信先から見た方向」は、その通信方向を示し、「制御結果」は、ファイアウォール設定によるそのときの通信制御結果を示すものとする（以下同様）。
【００７１】
ＰＣ１がＤＨＣＰアドレスを使用して、ＰＣ３へアクセスする場合、無効なアドレスであるので、事実上無効アドレスとして通信はブロックされる。ＰＣ１のＤＨＣＰアドレスが「192.168.1.100/32」であるので、ＰＣ３へアクセスすることはできないからである。この点、安全でないとされるＰＣ１のＤＨＣＰアドレスに対しては、ＰＣ３へアクセスできないＤＨＣＰアドレスが貸与されるよう管理者により設計されているから、ともいえる。
【００７２】
ＰＣ１がステートレスアドレスを使用して、ＰＣ３へアクセスする場合、ＰＣ３の受信フィルタ１で通信はブロックされる。
【００７３】
ＰＣ１が固定アドレスを使用して、ＰＣ３へアクセスする場合、ＰＣ１の送信フィルタ４で通信はブロックされる。
【００７４】
ＰＣ１がリンクローカルアドレスを使用して、ＰＣ３へアクセスする場合、ＰＣ３の受信フィルタ２で通信はブロックされる。
【００７５】
このように、非制限エリア（例えばＰＣ１）から制限エリア（例えばＰＣ３）へのアクセスは禁止される。
【００７６】
（ｂ）ＰＣ３→ＰＣ１：ＰＣ３からＰＣ１へアクセスする場合、使用するアドレス毎の通信制御結果を示す。即ち制限エリア内の機器から非制限エリア内の機器へ通信を行った場合である。
【００７７】
ＰＣ３がＤＨＣＰアドレスを使用して、ＰＣ１へアクセスする場合、通信は通過（許可）される。但しこの場合、例えば、ＰＣ３のＤＨＣＰアドレスは「192.168.1.50/24」であり、ＰＣ１のＤＨＣＰアドレスが「192.168.1.100/32」であるので、ＰＣ３からＰＣ１へはアクセスできるが、ＰＣ１はその応答を行えない。よって、ＴＣＰ通信の場合は事実上使用されることはないが、ＵＤＰ通信の場合は使用できる。
【００７８】
ＰＣ３がステートレスアドレスを使用して、ＰＣ１へアクセスする場合、ＰＣ１の受信フィルタ１で通信はブロックされる。
【００７９】
ＰＣ３が固定アドレスを使用して、ＰＣ１へアクセスする場合、ＰＣ３の送信フィルタ４で通信はブロックされる。
【００８０】
ＰＣ３がリンクローカルアドレスを使用して、ＰＣ１へアクセスする場合、ＰＣ１の受信フィルタ２で通信はブロックされる。
【００８１】
このように、制限エリア（例えばＰＣ３）から非制限エリア（例えばＰＣ１）へのアクセスは、ＤＨＣＰアドレスの使用による通信は許可され、それ以外のアドレスによるものは禁止される。
【００８２】
なお言うまでもまく、制限エリア内のＰＣ同士の通信は、ＤＨＣＰアドレスを使用することにより可能となっている。
【００８３】
図７は、実施形態に係る通信制御結果例（その２）を示す。再び図１及び図５を踏まえ、図１のネットワーク構成において、図５のファイアウォール設定に基づく通信制御結果を説明する。図７においては、ＰＣ１、ＰＣ３のそれぞれから、修復サーバ４のようなルータ６の外に対する通信制御結果を説明する。
【００８４】
（ｃ）ＰＣ１→修復サーバ４：ＰＣ１から修復サーバ４へアクセスする場合、使用するアドレス毎の通信制御結果を示す。即ち非制限エリア内の機器からルータ６を越えた外のエリア内の機器へ通信を行った場合である。
【００８５】
ＰＣ１がＤＨＣＰアドレスを使用して、修復サーバ４へアクセスする場合、無効なアドレスであるので、事実上無効アドレスとして通信はブロックされる。ＰＣ１のＤＨＣＰアドレスが「192.168.1.100/32」であるので、ＰＣ３へアクセスすることはできないからである。この点、安全でないとされるＰＣ１のＤＨＣＰアドレスに対しては、ＰＣ３へアクセスできないＤＨＣＰアドレスが貸与されるよう管理者により設計されているから、ともいえる。
【００８６】
ＰＣ１がステートレスアドレスを使用して、修復サーバ４へアクセスする場合、通信は通過される。上述したように、ルータ６は、ＰＣ１に対してもまた「2001：：100」（IPv6）のアドレスが貸与しており、ＰＣ１は、このステートレスアドレスを使用して、修復サーバ４やインターネット５に対してアクセスすることが可能となっている。即ち、安全でないＰＣ１の安全性を担保するためのアクセスルートが確保されているので、修復サーバ４やインターネット５にアクセスすることにより、ＰＣ１の安全性を担保する措置を行うことができる。
【００８７】
ＰＣ１が固定アドレスを使用して、修復サーバ４へアクセスする場合、ＰＣ１の送信フィルタ４で通信はブロックされる。
【００８８】
ＰＣ１がリンクローカルアドレスを使用して、ＰＣ３へアクセスする場合、無効アドレスのためブロックされる。そもそもリンクローカルアドレスは同一リンク内通信でのみ使用されるものだからである。
【００８９】
このように、非制限エリア（例えばＰＣ１）からルータ６を越えた外のエリア（例えば修復サーバ４）へのアクセスは、ステートレスアドレスを使用する場合のみ通過できる。
【００９０】
（ｄ）修復サーバ４→ＰＣ１：修復サーバ４からＰＣ１へアクセスする場合、使用するアドレス毎の通信制御結果を示す。
【００９１】
修復サーバ４がＤＨＣＰアドレスを使用して、ＰＣ１へアクセスする場合、通信は通過される。但しこの場合、修復サーバ４からＰＣ１へはアクセスできるが、その応答はできない。よって、ＴＣＰ通信の場合は事実上使用されることはないが、ＵＤＰ通信の場合は使用できる。
【００９２】
修復サーバ４がステートレスアドレスを使用して、ＰＣ１へアクセスする場合、通信は通過される。例えば、ＰＣ１は、安全性を担保する目的でステートレスアドレスを使用して、修復サーバ４へアクセスする場合、その応答通信として使用できる。
【００９３】
（ｅ）ＰＣ３→修復サーバ４：ＰＣ３から修復サーバ４へアクセスする場合、使用するアドレス毎の通信制御結果を示す。即ち制限エリア内の機器からルータ６を越えた外のエリア内の機器へ通信を行った場合である。
【００９４】
ＰＣ３がＤＨＣＰアドレスを使用して、修復サーバ４へアクセスする場合、通信は通過される。
【００９５】
ＰＣ３がステートレスアドレスを使用して、修復サーバ４へアクセスする場合、通信は通過される。
【００９６】
ＰＣ３が固定アドレスを使用して、修復サーバ４へアクセスする場合、ＰＣ３の送信フィルタ４で通信はブロックされる。
【００９７】
ＰＣ３がリンクローカルアドレスを使用して、ＰＣ３へアクセスする場合、無効アドレスのためブロックされる。そもそもリンクローカルアドレスは同一リンク内通信でのみ使用されるものだからである。
【００９８】
このように、制限エリア（例えばＰＣ３）からルータ６を越えた外のエリア（例えば修復サーバ４）へのアクセスは、ＤＨＣＰ及びステートレスアドレスを使用する場合のみ通過できる。
【００９９】
（ｆ）修復サーバ４→ＰＣ３：修復サーバ４からＰＣ３へアクセスする場合、使用するアドレス毎の通信制御結果を示す。
【０１００】
修復サーバ４がＤＨＣＰアドレスを使用して、ＰＣ３へアクセスする場合、通信は通過される。
【０１０１】
修復サーバ４がステートレスアドレスを使用して、ＰＣ３へアクセスする場合、通信は通過される。
【０１０２】
以上、実施形態に係るファイアウォール設定に基づく通信制御結果である。
（ａ）非制限エリアから制限エリアへの通信はブロックされる。
（ｂ）制限エリアから非制限エリアへの通信は、ＤＨＣＰアドレスの使用による通信は通過する。
（ｃ）、（ｄ）非制限エリアからルータ６を越えた外のエリアへの通信は、ステートレスアドレスの使用による通信は通過する。
（ｅ）、（ｆ）制限エリアからルータ６を越えた外のエリアへの通信は、ＤＨＣＰ及びステートレスアドレスの使用による通信は通過する。
【０１０３】
なお、稀なケースであるが、異なる種類のアドレスが、偶然にも一致してしまい、異なる種類間の通信が実現できてしまう場合がある。例えば、ＰＣ１のステートレスアドレスがＰＣ３のＤＨＣＰアドレス（ＩＰｖ６の場合）と同じプレフィックスを有する場合、ＰＣ１がステートレスアドレスを使用して、ＰＣ３のＤＨＣＰアドレスへアクセスできる。但しこの場合、ＰＣ３の受信フィルタ１で通信はブロックされる。本実施形態ではこれ以上の言及は避けるが、このような稀なケースに対して管理者は、ネットワークの設計時にこの点留意することにより、できる限り回避することができる。
【０１０４】
（シーケンス）
次に、ＰＣ１及びＰＣ３を中心とした各機器の処理動作について説明していく。図８は、各機器の処理動作を説明するシーケンス図である。図８のシーケンス図は、ＰＣ１がネットワーク上に新たに接続された場合における各機器の処理動作を示す。以下、説明する。
【０１０５】
（１）初期設定動作
まず、ＰＣ１はネットワーク上に接続されると、リンクローカルアドレスを自身に設定する（Ｓ８０１）。上述したように、例えば、IPv6ではネットワーク番号に相当する前半６４ビットを「fe80:0:0:0」に固定したアドレスを使用し、後半６４ビットを自機器のＭＡＣアドレス等を使用して、リンクローカルアドレスを決定すればよい。
【０１０６】
ＮＡＰ対応ＤＨＣＰサーバ２は、ＰＣ１からのＩＰアドレス取得要求のパケットを受信して、ＰＣ１の安全性を検査する（非図示）。このＩＰアドレス取得要求のパケットには、ＮＡＰに基づき、ＰＣが安全な機器であるかどうかの判定に用いられる情報が含まれている。ここで、ＰＣ１は安全性に問題があるとされ、ＮＡＰ対応ＤＨＣＰサーバ２は、ＰＣ１に対し、ＤＨＣＰアドレスとして所定のアドレス情報（IP;192.168.1.100/32）を強制的に貸与する（Ｓ８０２）。ここで貸与されるアドレス情報は、ＰＣに問題がない場合に貸与されるアドレス情報とは異なり、制限エリア内のＰＣ３に接続できないＩＰアドレス及びサブネットマスクとなる。ＰＣ１は配布されたＤＨＣＰアドレスを自機器に設定する（Ｓ８０３）。
【０１０７】
ルータ６は、ＰＣ１からのＩＰアドレス取得要求のパケットを受信して、ＰＣ１に対し、ステートレスアドレスとして所定のアドレス情報（IP;2001::100、GW;2001::1）を貸与する（Ｓ８０４）。ＰＣ１は配布されたステートレスアドレスを自機器に設定する（Ｓ８０５）。
【０１０８】
なお、ＰＣ１は自機器のリンクローカルアドレス、ＤＨＣＰアドレス、ステートレスアドレスは、自アドレス情報１１４として保存しておく（Ｓ８０６）。
【０１０９】
（２）通信動作
ＰＣ１の通信部１１１は、ＰＣ１に対し送信パケットを送信するため、送信準備を行う（Ｓ８１１）。送信準備では、送信する送信パケットの生成を行う。
【０１１０】
このとき、送信判定部１１２は固定アドレス判定を行う。送信判定部１１２は、通信部１１１により送信する送信パケットの送信元アドレスと、自機器のステートレスアドレス（ここではIP;2001::100）及びＤＨＣＰアドレス（ここではIP;192.168.1.100/32）とから、当該送信元アドレスが手動設定による固定アドレスか否かを判定する。リンクローカルアドレス、ＤＨＣＰアドレス、ステートレスアドレスは、自アドレス情報１１４から取得し、送信パケットの送信元アドレスとの一致を判定する。そして一致しない場合、固定アドレスとの判定を行う。
【０１１１】
例えば、ＤＨＣＰアドレスがユーザ手動設定による固定アドレス（例えばIP;192.168.1.100/24）に変更された場合、送信パケットの送信元アドレスは、192.168.1.100であり、自機器のリンクローカルアドレス（fe80:0:0:0：・・・）、ステートレスアドレス、ＤＨＣＰアドレスと異なっていることから判定可能である。
【０１１２】
固定アドレスであると判定された場合、送信制御部１１３は、通信部１１１を制御して、当該送信パケットの送信を禁止する（Ｓ８１３）。
【０１１３】
一方、固定アドレスでないと判定された場合、送信制御部１１３は、通信部１１１を制御して、当該送信パケットの送信を行う（Ｓ８１４）。すると当該送信パケットは、ＰＣ３に到達する。
【０１１４】
送信パケットが到達すると、ＰＣ３の通信部３１１は、送信パケットを受信パケットとして仮受信する（Ｓ８２１）。
【０１１５】
このとき、受信判定部３１２はリンク内通信か否かの判定を行う（Ｓ８２２）。受信判定部３１２は、受信した受信パケットの送信元アドレスと、自機器のステートレスアドレス（ここではIP;2001::100）又はリンクローカルアドレス（fe80:0:0:0：・・・）とから、当該受信パケットが自機器と同一リンク内から通信か否かを判定する。ステートレスアドレス、リンクローカルアドレスは、自アドレス情報３１４から取得し、受信パケットの送信元アドレスのフレフィックスの一致を判定する。そして一致する場合、リンク内通信との判定を行う。
【０１１６】
リンク内通信であると判定された場合、受信制御部３１３は、通信部３１１を制御して、受信パケットの受信を禁止する（Ｓ８２３）。即ち受信パケットは破棄される。
【０１１７】
一方、リンク内通信でないと判定された場合、受信制御部３１３は、通信部３１１を制御して、受信パケットの受信を行う（Ｓ８２４）。そして受信パケットに応じて受信処理が行われる。
【０１１８】
[実施形態２]
本実施形態においては、実施形態１で説明したＤＨＣＰアドレスに代えて、ＡｕｔｏＩＰと呼ばれるアドレスを本発明に適用するものである。ＡｕｔｏＩＰは、ＤＨＣＰと同じくＩＰアドレス自働割り当て機能をいう。機器がネットワークに接続されたとき、ＤＨＣＰサーバがない環境であったり、ＤＨＣＰサーバが見つからない場合など、ＩＰアドレスが取得できない場合、自機器自身が169.254.0.0〜169.254.255.255の範囲で他の機器とアドレス重複しないよう自動的に割り当てるアドレスである。
【０１１９】
ＡｕｔｏＩＰは、小規模なクローズのネットワークを対象として想定されている。ルータは超えられない。ＡｕｔｏＩＰアドレス決定までの動作として、例えばＩＰｖ４では169.254.0.0/16の範囲内から任意のアドレスを選択しそのアドレスに対してＡＲＰ要求をブロードキャストすることによりネットワーク上に同じアドレスが存在しないかを確認する。もし使用されていれば、他のアドレスを再び選択しＡＲＰ要求を繰り返す。
そこで、実施形態１のＤＨＣＰアドレスをＡｕｔｏＩＰに差し替えて適用することができる。例えば、送信判定部１１２（図３）における判定のもととなるＤＨＣＰアドレスに代えて、ＤＨＣＰアドレスを取得するまでは、自動設定されたＡｕｔｏＩＰアドレスに適用する。そしてＤＨＣＰアドレスを取得した後は、本来のＤＨＣＰにＤＨＣＰアドレスに戻される。
【０１２０】
このように構成すれば、ＤＨＣＰアドレスを取得するまでは、ＡｕｔｏＩＰアドレスの使用による通信に関し、非制限エリアから制限エリアへの通信はブロックし、制限エリアから非制限エリアへのアクセスを通過させることができる。
【０１２１】
[実施形態３]
Ｗｉｎｄｏｗｓ（登録商標）のネットワークでは、ネットワーク上に存在するＰＣやサーバ、又は共有フォルダの一覧が表示される。この一覧リストは、マスターブラウザと呼ばれるネットワーク上のコンピュータが管理しており、ネットワーク上のマシンはマスターブラウザに対して一覧リストを要求することにより、ネットワーク共有サービス等を利用できるようになっている。つまりマスターブラウザは、リンク内でのＮＢＴ（NetBIOS over TCP/IP）名前解決の際において最初にアクセスされ、リンク内機器の名前に対するアドレスを返答する。
【０１２２】
マスターブラウザには、ネットワーク上の任意のコンピュータから選出されるが、図１を再び参照し、仮に、制限エリア内の、例えばＰＣ３がマスターブラウザに選出された場合、非制限エリア内の、例えばＰＣ１はＰＣ３にアクセスできないため、一覧リストを要求できず、ネットワーク共有サービス等を利用できない。一方、非制限エリア内の、ＰＣ１がマスターブラウザに選出された場合、制限エリア内、非制限エリア内からも、一覧リストを要求し、ネットワーク共有サービス等を利用できる。
【０１２３】
ＮＢＴ（NetBIOS over TCP/IP）は、新しい機器がネットワークに追加された際ブロードキャストで、マスターブラウザ変更リクエスト(リクエストアナウンスメント)を投げる際に利用される。リクエストアナウンスメントに対し、ネットワーク上の各機器が自機器の優先度を返答するローカルアナウンスメントを送信することで、新しい機器が新たなマスターブラウザになるかが決まるようになっている。
【０１２４】
そこで、リクエストアナウンスメントに対し、ローカルアナウンスメントを返答するとき、ネットワーク上の各機器は、ＤＨＣＰアドレスが有効なものかどうか（例えばネットマスクが/32ではない）を判定し、自機器が制限エリア内かどうかを判定する。ネットマスクが/32でなければ自機器が制限エリア内、ネットマスクが/32であれば自機器が非制限エリア内と判定する。そして、ローカルアナウンスメントには、優先度（優先値）を入れることができるので、自機器が制限エリア内であれば、マスターブラウザ選定の優先度を下げたローカルアナウンスメントを送信する。自機器が非制限エリア内であれば、通常のローカルアナウンスメントを送信する。
【０１２５】
このように、制限エリアから非制限エリアへアクセスができ、非制限エリアから非制限エリアへアクセスことを利用し、非制限エリアにマスターブラウザを置くことで、双方のエリアから適切なエリアへのＮＢＴ名前解決が可能となる。
【０１２６】
（総括）
以上のように、本実施形態に係るネットワークにおいては、ＮＡＰ対応ＤＨＣＰサーバ２と、制限エリア内のＰＣ３と、ＰＣ３との通信が不可能なＤＨＣＰアドレスがＮＡＰ対応ＤＨＣＰサーバ２から貸与された非制限エリア内のＰＣ１と、ネットワーク上の機器にステートレスアドレスを貸与するルータ６とが同一リンク内のネットワークを介して接続される。
【０１２７】
少なくとも受信側としてのＰＣ３は、受信パケットを受信したとき、受信パケットの送信元アドレスと、自機器のステートレスアドレス又はリンクローカルアドレスとから、当該受信パケットが自機器と同一リンク内からの通信か否かを判定し、自機器と同一リンク内からの通信と判定された受信パケットの受信を禁止する。
【０１２８】
一方、少なくとも送信側としてのＰＣ１は、送信パケットを送信するとき、送信パケットの送信元アドレスと、自機器のリンクローカルアドレス、ステートレスアドレス及びＤＨＣＰアドレスとから、当該送信元アドレスが手動設定による固定アドレスか否かを判定し、送信元アドレスが前記固定アドレスと判定された送信パケットの送信を禁止する。
【０１２９】
この構成によれば、ＰＣ３（受信側）は、自身と同じプレフィックスのステートレスアドレス又はリンクローカルアドレスからの通信をブロックするので、受信側においては、同一リンク内の通信を、ＤＨＣＰアドレスか、手動設定による固定アドレスによるものに限定することができる。そして、ＤＨＣＰアドレス及び固定アドレスによる通信のうち、固定アドレスの通信は、ＰＣ１（送信側）で防止する。
【０１３０】
このようにすれば、ネットワークにおいて、管理者想定外の固定アドレス、ステートレスアドレス、リンクローカルアドレスの使用を排除することができるようになる。具体的に、非制限エリアのＰＣ１から、制限エリアのＰＣ３へのアクセスは、管理者がコントロール可能なＤＨＣＰアドレスによる通信に限定できる。一方ステートレスアドレス、リンクローカルアドレスの使用については、同一リンク内の通信を禁止することで、非制限エリアのＰＣ１から、制限エリアのＰＣ３へのアクセスは禁止しつつも、ＰＣ１は、ステートレスアドレスの使用による同一リンク外の通信（ルータ超えの通信）の確保、例えば安全性回復措置を目的とするような修復サーバ４へのアクセスを確保できる。
【０１３１】
以上、本発明によれば、検疫ネットワークにおいてＮＡＰ  ＤＨＣＰの実効性をより確実なものにすべく、安全でないＰＣに対して、ＰＣの安全性を担保するためのアクセスルートを確保しつつも、保護すべき資源やエリアへのアクセスは禁止するように通信制御を行うネットワークシステム、ネットワーク機器、通信制御方法、及びプログラムを提供することが可能となる。
【０１３２】
なお、本発明は係る特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。ＰＣ１、ＰＣ３などは、ネットワーク機器全般に適用でき、例えば、モバイル端末や画像形成装置にも適用できる。
【符号の説明】
【０１３３】
１        ＰＣ
２        ＮＡＰ対応ＤＨＣＰサーバ
３        ＰＣ
４        修復サーバ
５        インターネット
６        ルータ
１０１    ＣＰＵ
１０２    ＲＯＭ
１０３    ＲＡＭ
１０４    補助記憶装置
１０５    記憶媒体読取装置
１０６    入力装置
１０７    表示装置
１０８    通信装置
１１１    通信部
１１２    送信判定部
１１３    送信制御部
１１４    自アドレス情報
３１１    通信部
３１２    受信判定部
３１３    受信制御部
３１４    自アドレス情報
【先行技術文献】
【特許文献】
【０１３４】
【特許文献１】特開２００８−１５４０１２号
【図１】
0005446814.tif 000002
【図２】
0005446814.tif 000003
【図３】
0005446814.tif 000004
【図４】
0005446814.tif 000005
【図５】
0005446814.tif 000006
【図６】
0005446814.tif 000007
【図７】
0005446814.tif 000008
【図８】
0005446814.tif 000009