(57)【特許請求の範囲】
【請求項１】
第１のネットワークと第２のネットワークに接続され、ネットワークアドレスとホストアドレスから構成されるソースアドレスを有するパケットを、前記第１のネットワークから前記第２のネットワークへ転送するパケット転送装置であって、
前記第１のネットワークに接続された１又は２以上のクライアント端末のネットワークアドレス及び当該クライアント端末のホストアドレスを記憶するメモリと、
前記第１のネットワークに接続されたクライアント端末から送信された前記パケットを受信する受信手段と、
前記受信されたパケットからソースアドレスを抽出する抽出手段と、
前記ソースアドレスを、ネットワークアドレスとホストアドレスとに分割する分割手段と、
前記分割されたネットワークアドレス及びホストアドレスのそれぞれについて、前記メモリに記憶されたネットワークアドレス及びホストアドレスと比較を行う比較手段と、
前記比較手段の比較結果に基づいて、前記受信されたパケットを前記第１のネットワークから前記第２のネットワークへ転送するか否か決定する決定手段と、前記決定手段により前記第１のネットワークから前記第２のネットワークへ転送すると決定された場合に、前記受信されたパケットを前記第２のネットワークへ転送する転送手段と、
を備えることを特徴とするパケット転送装置。
【請求項２】
前記メモリに記憶された前記クライアント端末のネットワークアドレス及びホストアドレスは、一のクライアント端末を特定する一対の情報であることを特徴とする請求項１に記載のパケット転送装置。
【請求項３】
前記比較手段によるネットワークアドレスの比較は、インターネットサービスプロバイダに固定の指定ビットのみを対象とすることを特徴とする請求項１に記載のパケット転送装置。
【請求項４】
前記ネットワークアドレスはＩＰアドレスであって、インターネット接続時にインターネットサービスプロバイダから前記クライアント端末に割り当てられるアドレスであることを特徴とする請求項１に記載のパケット転送装置。
【請求項５】
前記ホストアドレスは、ＥＵＩ−６４アドレスであることを特徴とする請求項１に記載のパケット転送装置。
【請求項６】
前記メモリは、前記クライアント端末の一対のネットワークアドレス及びホストアドレスに対応するクライアント端末情報を記憶し、
前記比較手段の比較において、前記受信されたパケットの前記ネットワークアドレス及び前記ホストアドレスが前記メモリに記憶されたいずれか一対の前記クライアント端末のネットワークアドレス及びホストアドレスと一致する場合に、当該一致した前記クライアント端末の一対のネットワークアドレス及びホストアドレスに対応する前記メモリに記憶された前記クライアント端末情報を告知する告知手段を備えたことを特徴とする請求項２に記載のパケット転送装置。
【請求項７】
第１のネットワークと第２のネットワークに接続され、ネットワークアドレス及びホストアドレスから構成されるソースアドレスを有するパケットを、前記第１のネットワークから前記第２のネットワークへ転送するパケット転送方法であって、
前記第１のネットワークに接続された１又は２以上のクライアント端末のホストアドレス及び当該クライアント端末のネットワークアドレスを記憶する記憶工程と、
前記第１のネットワークに接続されたクライアント端末から送信された前記パケットを受信する受信工程と、
前記受信されたパケットからソースアドレスを抽出する抽出工程と、
前記ソースアドレスを、ネットワークアドレスとホストアドレスとに分割する分割工程と、
前記分割されたネットワークアドレス及びホストアドレスのそれぞれについて、前記記憶工程で記憶されたネットワークアドレス及びホストアドレスと比較を行う比較工程と、
前記比較工程の比較結果に基づいて、前記受信されたパケットを前記第１のネットワークから前記第２のネットワークへ転送するか否か決定する決定工程と、前記決定手段により前記第１のネットワークから前記第２のネットワークへ転送すると決定された場合に、前記受信されたパケットを前記第２のネットワークへ転送する転送工程と、
を備えることを特徴とするパケット転送方法。
【請求項８】
前記記憶工程で記憶された前記クライアント端末のネットワークアドレス及びホストアドレスは、一のクライアント端末を特定する一対の情報であることを特徴とする請求項２に記載のパケット転送方法。
【請求項９】
第１のネットワークと第２のネットワークに接続され、ネットワークアドレス及びホストアドレスから構成されるソースアドレスを有するパケットを、前記第１のネットワークから前記第２のネットワークへ転送するパケット転送装置に含まれるコンピュータを、
前記第１のネットワークに接続されたクライアント端末から送信された前記パケットを受信する受信手段、
前記受信されたパケットからソースアドレスを抽出する抽出手段、
前記ソースアドレスを、ネットワークアドレスとホストアドレスとに分割する分割手段、
前記分割されたネットワークアドレス及びホストアドレスのそれぞれについて、メモリに記憶された前記第１のネットワークに接続された１又は２以上のクライアント端末のホストアドレス及び当該クライアント端末のネットワークアドレスと比較を行う比較手段、
前記比較手段の比較結果に基づいて、前記受信されたパケットを前記第１のネットワークから前記第２のネットワークへ転送するか否か決定する決定手段、
前記決定手段により前記第１のネットワークから前記第２のネットワークへ転送すると決定された場合に、前記受信されたパケットを前記第２のネットワークへ転送する転送手段、
として機能させることを特徴とするパケット転送プログラム。
【請求項１０】
前記メモリに記憶された前記クライアント端末のネットワークアドレス及びホストアドレスは、一のクライアント端末を特定する一対の情報であることを特徴とする請求項９に記載のパケット転送プログラム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、パケット通信装置、パケット通信方法、及びパケット通信プログラムの技術分野に属し、より詳細には、ネットワークを介しリモートアクセスで接続する際の不正アクセスを防止するパケット通信装置、パケット通信方法、及びパケット通信プログラムの技術分野に属する。
【０００２】
【従来の技術】
近年、ネットワーク技術の進歩により公衆回線を用いたリモートアクセスが簡単に実現できるようになっている。このようなネットワーク社会の発達、普及に伴って、第三者がコンピュータネットワークに侵入し、データの改ざんや消去、機密データへのアクセス、顧客情報データの漏洩等の深刻な被害を受ける例が後を絶たないようになってきている。
【０００３】
このようなネットワークへの不正アクセスによる被害を防止するために、従来から種々の方法が提案されている。例えば、ＤＭＺ（ＤｅＭｉｌｉｔａｒｉｚｅｄ  Ｚｏｎｅ）機能を備えたルータを設置する方法や所定のアドレスをあらかじめ登録し、登録したアドレス以外からの送信を拒否する方法が挙げられる。
【０００４】
ＤＭＺとは、インターネットに接続されたネットワークにおいて、ファイヤーウォールによって外部ネットワーク（インターネット）からも内部ネットワーク（組織内のネットワーク）からも隔離されたエリアのことをいう。外部に公開するサーバをこの区域に置いておけば、ファイヤーウォールによって外部からの不正なアクセスを排除でき、また万が一公開サーバに不正にアクセスされた場合でも、内部ネットワークにまで被害が及ぶことはない。
【０００５】
【発明が解決しようとする課題】
しかしながら、たとえＤＭＺエリアにサーバを設置するとしても不特定多数の者からのアクセスを許容するものであり、サーバのセキュリティが侵害されるきっかけとなることが多かった。
【０００６】
また、セキュリティの堅実さとコストは相反する関係にあり、堅実なセキュリティのためには、高価なセキュリティ機器を導入しなければならなかった。ＤＭＺ機器などは高価で高度な設定が要求されるセキュリティ機器であるため、企業などの大規模ネットワークに対しての導入には十分意義があるものの、個人向けや小規模ネットワークに対しては、コスト面で問題となり、結局はセキュリティ機器を導入しないで運用してしまうというケースが多く、セキュリティが無いに等しいケースが多かった。
【０００７】
また、従来のリモートアクセスの環境では、プロバイダから割り当てられるグローバルＩＰアドレスは可変であったため、前述の所定のアドレスをあらかじめ登録し、登録したアドレス以外からの送信を拒否する方法では、あらかじめフィルタリング設定を行うことができなかった。
【０００８】
そこで本発明は上記の問題点に鑑みて為されたものであり、その課題は、リモートアクセス環境において、簡易なユーザー設定でセキュリティの向上を実現し、かつコストの低減を実現するパケット転送装置、パケット転送方法、及びパケット転送プログラムを提供することにある。
【０００９】
【課題を解決するための手段】
上記の課題を解決するため、請求項１に記載の発明は、第１のネットワークと第２のネットワークに接続され、ネットワークアドレスとホストアドレスから構成されるソースアドレスを有するパケットを、前記第１のネットワークから前記第２のネットワークへ転送するパケット転送装置であって、前記第１のネットワークに接続された１又は２以上のクライアント端末のネットワークアドレス及び当該クライアント端末のホストアドレスを記憶するメモリと、前記第１のネットワークに接続されたクライアント端末から送信された前記パケットを受信する受信手段と、前記受信されたパケットからソースアドレスを抽出する抽出手段と、前記ソースアドレスを、ネットワークアドレスとホストアドレスとに分割する分割手段と、前記分割されたネットワークアドレス及びホストアドレスのそれぞれについて、前記メモリに記憶されたネットワークアドレス及びホストアドレスと比較を行う比較手段と、前記比較手段の比較結果に基づいて、前記受信されたパケットを前記第１のネットワークから前記第２のネットワークへ転送するか否か決定する決定手段と、前記決定手段により前記第１のネットワークから前記第２のネットワークへ転送すると決定された場合に、前記受信されたパケットを前記第２のネットワークへ転送する転送手段と、を備えることを特徴として構成する。
【００１０】
請求項１に記載の発明によれば、あらかじめ登録したアドレスを有する特定の端末から送信されたパケットのみ転送することが可能となるため、その他の端末からのアクセスを排除でき、セキュリティの向上を図ることができる。
【００１１】
また、高価で高度な設定が要求されるサーバ等のセキュリティ機器を設置する必要がないため、運用上のコスト削減と、ユーザー設定の簡易性の向上が期待できる。
【００１２】
請求項２に記載の発明は、請求項１に記載のパケット転送装置において、前記メモリに記憶された前記クライアント端末のネットワークアドレス及びホストアドレスは、一のクライアント端末を特定する一対の情報であることを特徴として構成する。
【００１３】
請求項２に記載の発明によれば、メモリに記憶されたネットワークアドレスとホストアドレスは一対の情報であり、比較手段は当該一対の情報と受信されたパケットのソースアドレスのネットワークアドレスとホストアドレスとをそれぞれ比較するので、一のアドレスを特定することができ、受信されたパケットが転送を行うべきクライアント端末から送信されたものであるか否か判断することができる。
【００１４】
請求項３に記載の発明は、請求項１に記載のパケット転送装置において、前記比較手段によるネットワークアドレスの比較は、インターネットサービスプロバイダ（Ｉｎｔｅｒｎｅｔ  Ｓｅｒｖｉｃｅｓ  Ｐｒｏｖｉｄｅｒ：ＩＳＰ）に固定の指定ビットのみを対象とすることを特徴として構成する。
【００１５】
請求項３に記載の発明によれば、比較手段によるネットワークアドレスの比較は固定の指定ビットのみを対象とするので、ソースアドレスに可変のビットが割り当てられる環境においても、受信されたパケットが転送を行うべきクライアント端末のＩＳＰから送信されたものであるか否か特定することができる。
【００１６】
請求項４に記載の発明は、請求項１に記載のパケット転送装置において、前記ネットワークアドレスはＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレスであって、インターネット接続時にＩＳＰから前記クライアント端末に割り当てられるアドレスであることを特徴として構成する。
【００１７】
請求項４に記載の発明によれば、インターネット環境において受信されたＩＰパケットが転送を行うべきクライアント端末から送信されたものであるか否か特定することができる。
【００１８】
請求項５に記載の発明は、請求項１に記載のパケット転送装置において、前記ホストアドレスは、ＥＵＩ（Ｅｘｔｅｎｄｅｄ  Ｕｎｉｑｕｅ  Ｉｄｅｎｔｉｆｉｅｒ）−６４アドレスであることを特徴として構成する。
【００１９】
請求項５に記載の発明によれば、比較手段において比較すべきホストアドレスはＥＵＩ−６４アドレスであり、クライアント端末により一意的に決定されるため、受信されたＩＰパケットが転送を行うべきクライアント端末から送信されたものであるか否か特定することができる。
【００２０】
請求項６に記載の発明は、請求項２に記載のパケット転送装置において、前前記メモリは、前記クライアント端末の一対のネットワークアドレス及びホストアドレスに対応するホスト名等のクライアント端末情報を記憶し、前記比較手段の比較において、前記受信されたパケットの前記ネットワークアドレス及び前記ホストアドレスが前記メモリに記憶されたいずれか一対の前記クライアント端末のネットワークアドレス及びホストアドレスと一致する場合に、当該一致した前記クライアント端末の一対のネットワークアドレス及びホストアドレスに対応する前記メモリに記憶された前記クライアント端末情報を告知する告知手段を備えたことを特徴として構成する。
【００２１】
請求項６に記載の発明によれば、あらかじめ受信されたパケットを転送すべきクライアント端末のアドレス情報とクライアント情報とを関連付けてメモリに記憶し、クライアント端末情報を告知する告知手段を備えたので、当該クライアント端末から送信されたパケットを受信した場合に、当該クライアント端末情報をユーザーに告知することができる。
【００２２】
請求項７に記載の発明は、第１のネットワークと第２のネットワークに接続され、ネットワークアドレス及びホストアドレスから構成されるソースアドレスを有するパケットを、前記第１のネットワークから前記第２のネットワークへ転送するパケット転送方法であって、前記第１のネットワークに接続された１又は２以上のクライアント端末のホストアドレス及び当該クライアント端末のネットワークアドレスを記憶する記憶工程と、前記第１のネットワークに接続されたクライアント端末から送信された前記パケットを受信する受信工程と、前記受信されたパケットからソースアドレスを抽出する抽出工程と、前記ソースアドレスを、ネットワークアドレスとホストアドレスとに分割する分割工程と、前記分割されたネットワークアドレス及びホストアドレスのそれぞれについて、前記記憶工程で記憶されたネットワークアドレス及びホストアドレスと比較を行う比較工程と、前記比較工程の比較結果に基づいて、前記受信されたパケットを前記第１のネットワークから前記第２のネットワークへ転送するか否か決定する決定工程と、前記決定手段により前記第１のネットワークから前記第２のネットワークへ転送すると決定された場合に、前記受信されたパケットを前記第２のネットワークへ転送する転送工程と、を備えることを特徴として構成する。
【００２３】
請求項７に記載の発明によれば、あらかじめ登録したアドレスを有する特定の端末から送信されたパケットのみ転送することが可能となるため、その他の端末からのアクセスを排除でき、セキュリティの向上が望める。
【００２４】
請求項８に記載の発明は、請求項７に記載のパケット転送方法において、前記記憶工程で記憶された前記クライアント端末のネットワークアドレス及びホストアドレスは、一のクライアント端末を特定する一対の情報であることを特徴として構成する。
【００２５】
請求項８に記載の発明によれば、記憶工程で記憶されたネットワークアドレスとホストアドレスは一対の情報であり、比較工程では当該一対の情報と受信されたパケットのソースアドレスのネットワークアドレスとホストアドレスとを比較するので、受信されたパケットが転送を行うべきクライアント端末から送信されたものであるか否か特定することができる。
【００２６】
請求項９に記載の発明は、第１のネットワークと第２のネットワークに接続され、ネットワークアドレス及びホストアドレスから構成されるソースアドレスを有するパケットを、前記第１のネットワークから前記第２のネットワークへ転送するパケット転送装置に含まれるコンピュータを、前記第１のネットワークに接続された１又は２以上のクライアント端末のホストアドレス及び当該クライアント端末のネットワークアドレスを記憶するメモリ、前記第１のネットワークに接続されたクライアント端末から送信された前記パケットを受信する受信手段、前記受信されたパケットからソースアドレスを抽出する抽出手段、前記ソースアドレスを、ネットワークアドレスとホストアドレスとに分割する分割手段、前記分割されたネットワークアドレス及びホストアドレスのそれぞれについて、メモリに記憶された前記第１のネットワークに接続された１又は２以上のクライアント端末のホストアドレス及び当該クライアント端末のネットワークアドレスと比較を行う比較手段、前記比較手段の比較結果に基づいて、前記受信されたパケットを前記第１のネットワークから前記第２のネットワークへ転送するか否か決定する決定手段、前記決定手段により前記第１のネットワークから前記第２のネットワークへ転送すると決定された場合に、前記受信されたパケットを前記第２のネットワークへ転送する転送手段、として機能させることを特徴として構成する。
【００２７】
請求項９に記載の発明によれば、あらかじめ登録したアドレスを有する特定の端末から送信されたパケットのみ転送することが可能となるため、その他の端末からのアクセスを排除でき、セキュリティの向上が望める。
【００２８】
請求項１０に記載の発明は、請求項９に記載のパケット転送プログラムにおいて、前記メモリに記憶された前記クライアント端末のホストアドレス及びネットワークアドレスは、一のクライアント端末を特定する一対の情報であることを特徴として構成する。
【００２９】
請求項１０に記載の発明によれば、メモリに記憶させたネットワークアドレスとホストアドレスは一対の情報であり、比較手段で当該一対の情報と受信されたパケットのソースアドレスのネットワークアドレスとホストアドレスとを比較させるので、受信されたパケットが転送を行うべきクライアント端末から送信されたものであるか否か特定することができる。
【００３０】
【発明の実施の形態】
本発明に好適な実施の形態について、添付図面に基づいて説明する。
【００３１】
本実施の形態は、インターネットを介しクライアント端末からリモートアクセスで接続し、サーバとクライアント端末との間でデータ通信を行う際に使用されるパケット転送装置についてのものである。
【００３２】
まず、本発明に係るパケット転送装置の構成例について図１を用いて説明する。
【００３３】
図１は本発明に係るパケット転送装置の機能ブロックの一例を示す図である。
【００３４】
図１に示すようにパケット転送装置１は、外部インタフェース部２と、内部インタフェース部３と、ＬＡＮ制御部４と、装置制御部５と、ＲＡＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）６と、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）７と、フィルタ部９と、を含んで構成される。
【００３５】
外部インタフェース部２は第１のネットワークとしてのＷＡＮ（Ｗｉｄｅ  Ａｒｅａ  Ｎｅｔｗｒｏｋ）等のインタフェースを提供し、パケットを受信する受信手段として機能する。内部インタフェース部３はパソコンなどの端末を収容する第２のネットワークとしてのＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）等のインタフェースを提供する。
【００３６】
ＬＡＮ制御部４は、外部から受信したパケットからＩＰアドレス、ポート番号、上位プロトコルなどの情報を抽出し、ルーティングを行う転送手段として機能する。
【００３７】
装置制御部５は、図示しないＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）を有し、パケット転送装置１全体の制御を行う。
【００３８】
ＲＯＭ６は、フィルタリング動作の設定情報となるフィルタリングテーブル８を有し、プログラムや各種設定情報を記憶するメモリとして機能する。
【００３９】
ＲＡＭ７はプログラムの処理、パケットの送信、受信、変更、及びデータを一時的に保存するために使用される。
【００４０】
フィルタ部９は、ＲＯＭ６に記憶されたフィルタリングテーブル８に登録したアドレス情報と外部インタフェース部２を介し受信されたＩＰパケットのソースＩＰアドレス情報を比較し、受信されたパケットを第２のネットワークへ転送するか否かを決定する決定手段として機能しフィルタリング動作を行う。
【００４１】
次に、フィルタ部９におけるフィルタリング機能について図２を用いて説明する。
【００４２】
図２は、フィルタ部９の機能例をブロック化した図である。
【００４３】
フィルタ部９は、受信されたＩＰパケットからソースＩＰアドレスを抽出する抽出手段としてのアドレス抽出部１１、当該抽出したソースＩＰアドレスをネットワークアドレスとホストアドレスに分割する分割手段として機能し、ホストアドレスをＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ  ａｄｄｒｅｓｓ）アドレスに変換するアドレス変換部１２、変換後のアドレスとフィルタリングテーブル８に登録されているアドレスと一致するか否かを比較する比較手段としてのアドレス比較部１３を含んで構成される。
【００４４】
次に本発明に係るパケット転送装置１を使用したパケット転送動作例について説明する。
【００４５】
図３は、本発明の実施に係るパケット転送装置１の接続例を示す図である。
【００４６】
図３に示すように、パケット転送装置１は、外部インターフェイス２を介してＡＤＳＬ（Ａｓｙｍｍｅｔｒｉｃ  Ｄｉｇｉｔａｌ  Ｓｕｂｓｃｒｉｂｅｒ  Ｌｉｎｅ）回線を通じてインターネット２２と常時接続され、内部インターフェイス３を介してサーバ２１と接続されている。クライアント端末２３はインターネット２２と接続され、インターネット２２を介しサーバ２１と通信可能となっている。また本実施形態においては、インターネットプロトコルとしてＩＰＶ６（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ  Ｖｅｒｓｉｏｎ  ６）を採用している。
【００４７】
クライアント端末２３は、インターネット２２にアクセスすると、クライアント端末２３のグローバルＩＰアドレスを取得する。
【００４８】
ＩＰＶ６においてグローバルＩＰアドレスは、上位６４ビットと下位６４ビットの合計１２８ビットからなるアドレスである。
【００４９】
上位６４ビットは、ネットワークアドレスを表す部分であり、ホストが接続しているネットワークやサブネットワークを示す識別子である。
【００５０】
ネットワークアドレスは、ＴＬＡ（Ｔｏｐ  Ｌｅｖｅｌ  Ａｇｇｒｅｇａｔｉｏｎ）、ｓｕｂ−ＴＬＡ等から構成される。
【００５１】
ＴＬＡとは、第１次プロバイダを識別するためにＡＰＮＩＣ（Ａｓｉａ  Ｐａｃｉｆｉｃ  Ｎｅｔｗｏｒｋ  Ｉｎｆｏｒｍａｔｉｏｎ  Ｃｅｎｔｅｒ）により第１次プロバイダに割り当てられるアドレスであり、ｓｕｂ−ＴＬＡとはＴＬＡの下に暫定的に設けられている１３ビットのＩＤである。
【００５２】
図４は、ｓｕｂ−ＴＬＡ（Ｔｏｐ  Ｌｅｖｅｌ  Ａｇｇｒｅｇａｔｉｏｎ）アロケーション（割り振り）の一例を示した図である。
【００５３】
図４に示すように、各ＩＳＰに対し、一定ビットのアドレスが固定的に与えられており、残りのビットについては各ＩＳＰが管理に基づいて決定しているため、当該残りのビット部分については可変となりうるものである。
【００５４】
一方下位６４ビットは、ホストアドレスを表す部分であり、接続しているネットワークの中でそのホストを示す識別子である。
【００５５】
ホストアドレスは  例えばノードのＭＡＣアドレスを用いて自動的に割り当てられる。この際、ＭＡＣアドレスの上位２４ビット（ベンダーコード部）と  下位２４ビット（シリアルナンバー）を、１６進数「ＦＦＦＥ」でつなぎ合わせて生成されるものがＥＵＩ−６４アドレスとなる。
【００５６】
ＥＵＩ−６４アドレスは、クライアント端末のＭＡＣアドレスに基づいて一意的に決定されるため、クライアント端末を一に特定することができる。
【００５７】
ここで、このグローバルＩＰアドレスの自動生成プロセスについて図５及び図６を用いて説明する。
【００５８】
図５は、グローバルＩＰアドレスの自動生成の例を示したフローチャートである。
【００５９】
図６は、図５において、ＭＡＣアドレスの４８ビットがＥＵＩ−６４アドレスの６４ビットに変換される様子を示した図である。
【００６０】
なお、ここではネットワークアドレスとして、クライアント端末２３はアドレス自動割当により、契約インターネットサービスプロバイダ（ＩＳＰ）からアドレスプレフィックス「２００１：０２６０：００００：００００」が与えられたと仮定する。  一方、クライアント端末２３はＭＡＣアドレスとして「００−１１−２２−３３−４４−５５」を持っていると仮定する。
【００６１】
図５において、まず、このＭＡＣアドレスがＥＵＩ−６４アドレスに変換される（ステップＳ１）。
【００６２】
例えば図６に示すように、ＭＡＣアドレスの先頭から７ビット目にユニバーサル／ローカルビットとしてビット（１）が立てられる。さらに先頭から２４ビット目にＦＦ、ＦＥの２バイトが挿入されて、ＥＵＩ−６４アドレスが生成される。このように生成されたＥＵＩ−６４アドレス「０２１１：２２ＦＦ：ＦＥ３３：４４５５  」がグローバルＩＰアドレスの下位６４ビットになる。
【００６３】
次に、ステップＳ１で生成された下位６４ビットに上記グローバルプレフィックスの上位６４ビットが上位に付加され、合計１２８ビットのアドレス
「２００１：０２６０：００００：００００：０２１１：２２ＦＦ：ＦＥ３３：４４５５  」
が生成される（ステップＳ２）。
【００６４】
次にステップＳ２で生成されたアドレスが、使用する環境にて重複アドレスが検出されなかった場合、このアドレスがクライアント端末２３のグローバルＩＰアドレスとなる（ステップＳ３）。
【００６５】
クライアント端末２３は、こうして生成されたグローバルＩＰアドレスがソースＩＰアドレスとして付加されたＩＰパケットをサーバ２１に送信することになる。
【００６６】
図７は、ＩＰＶ６の基本ヘッダ形式を示した図である。
【００６７】
図７に示すように、送受信されるＩＰパケットには、上記のプロセスにより生成された１２８ビットのグローバルＩＰアドレスがソースＩＰアドレスとして含まれる。
【００６８】
次にパケット転送装置１が行うフィルタリング動作について図８及び図９を用いて説明する。
【００６９】
図８は、フィルタリングテーブル８へのアドレス登録例を示した図である。
【００７０】
図９は、本実施形態に係るフィルタリング動作の一連の流れを示した図である。
【００７１】
パケット転送装置１がフィルタリング動作を行うにあたっては、あらかじめフィルタリングテーブル８にパケットの透過を許可する対象となるクライアント端末のアドレスを登録しておく。
【００７２】
図８に示すように、フィルタリングテーブル８にはＩＳＰ番号とＭＡＣアドレスとが一対になり１のクライアント端末を特定する情報として登録されている。
【００７３】
ＩＳＰ番号について一致比較のためのビット数を一部に限定したのは、ＩＳＰ番号のうち上述のように可変となるビットを比較対象から除外するためである。例えば図８において「／３５」となっているのは、６４ビット中の先頭から３５ビットは固定となるが、残り２９ビットは各ＩＳＰが管理に基づいて決定しているため、可変となりうることから、この可変ビットの部分を比較ビットとして含めない趣旨を表したものである。
【００７４】
まず、クライアント端末２３により送信されたＩＰパケットは、インターネット２２を介して、外部インタフェース部２により受信される（ステップＳ１０）。
【００７５】
ＬＡＮ制御部４は、受信されたＩＰパケットをルーティング処理するため、ＲＡＭ７に抽出する。抽出後、フィルタ部９はアドレス抽出部１１にてＩＰパケットからソースＩＰアドレスを抽出する（ステップＳ１１）。
【００７６】
アドレス変換部１２は、ステップＳ１１で抽出されたソースＩＰアドレスを１２８ビットのＩＰアドレスの上位６４ビットと下位６４ビットに分割する（ステップＳ１２）。
【００７７】
アドレス比較部１３は、ステップＳ１２において分割されたＩＰアドレスのうち、上位指定ビットのＩＳＰ情報を取得する（ステップＳ１３）。ここで取得する上位指定ビットのＩＳＰ情報は、フィルタリングテーブル８に登録されたビット数（図８の例ではＩＳＰ番号の「／３５」）と同じビット数である。
【００７８】
アドレス比較部１３は、フィルタリングテーブル８に登録されたＩＳＰアドレスと、ステップＳ１３で取得されたＩＳＰ情報とが、一致しているかどうか比較する（ステップＳ１４）。
【００７９】
アドレスが一致しないと判断された場合には（ステップＳ１４  ＮＯ）、フィルタ部９は、当該ＩＰパケットの透過を許可せず、当該ＩＰパケットを破棄するようＬＡＮ制御部４に指示し、内部インタフェース部３への転送は行わない（ステップＳ１８）。
【００８０】
一方、アドレスが一致すると判断した場合には（ステップＳ１４  ＹＥＳ）、ステップＳ１５に移行する。
【００８１】
アドレス変換部１２は、ステップＳ１２において分割されたＩＰアドレスのうち、下位６４ビット（ＥＵＩ−６４アドレス）をＭＡＣアドレスへ変換する（ステップＳ１５）。
【００８２】
当該アドレスの変換は、図６を用いて説明したＥＵＩ−６４アドレスからＭＡＣアドレスへの変換と逆のプロセスにより行う。すなわち下位６４ビットアドレスの先頭から７ビット目（ユニバーサル／ローカルビット）が１であればその１を反転し０とする。さらに２４ビット目からのＦＦ、ＦＥ（１６ビット）を削除する。この変換によりＭＡＣアドレス「００−１１−２２−３３−４４−５５」が得られる。
【００８３】
アドレス比較部１３は、あらかじめフィルタリングテーブル８に登録されたＭＡＣアドレスと、アドレス変換部１２で得られたＭＡＣアドレスとを比較する（ステップＳ１６）。
【００８４】
アドレスが一致すると判断された場合には（ステップＳ１６  ＹＥＳ）、フィルタ部９は、当該ＩＰパケットの透過を許可し、内部インタフェース３へルーティングを行うようＬＡＮ制御部４に指示し、その後の処理を継続する（ステップＳ１７）。
【００８５】
一方、アドレスが一致しないと判断された場合には（ステップＳ１６  ＮＯ）、フィルタ部９は、当該ＩＰパケットの透過を許可せず、当該ＩＰパケットを破棄するようＬＡＮ制御部４に指示し、内部インタフェース部３への転送は行わない（ステップＳ１８）。
【００８６】
以上説明したように、本実施形態によれば、フィルタリングテーブル８に記憶されたネットワークアドレスとホストアドレスは一対の情報であり、アドレス比較部１３は当該一対の情報と受信されたパケットのソースＩＰアドレスのネットワークアドレスとホストアドレスとをそれぞれ比較するので、受信されたパケットが転送を行うべきクライアント端末から送信されたものであるか否か特定することができる。
【００８７】
そして、受信されたＩＰパケットがあらかじめ登録したＩＰアドレスを有する特定のクライアント端末から送信されたＩＰパケットのみ転送し、その他の端末からのアクセスを排除できるため、インターネット環境において、サーバ等を不特定多数の者からのアクセスの場に設置することなく、セキュリティの向上を図ることができる。
【００８８】
また、ユーザーは、あらかじめ転送を許可するＩＰアドレスを登録しておくだけでよいため、高価で高度な設定が要求されるセキュリティ機器を設置する必要がなく、運用上のコスト削減と、ユーザー設定の簡易性の向上が期待できる。
【００８９】
またアドレス比較部１３におけるネットワークアドレスの比較は、固定の指定ビットのみを対象とするので、ソースＩＰアドレスに可変のビットが割り当てられられる環境においても、受信されたパケットが転送を行うべきクライアント端末のＩＳＰから送信されたものであるか否か特定することができる。
【００９０】
なお、上記実施形態においては回線としてＡＤＳＬ回線を取り上げたが、１００ＢＡＳＥ−ＴＸなどのインタフェースを設けて上位にルータや他のブロードバンドモデムを設置する環境も考えられる。
【００９１】
さらに、マンマシンインタフェース回路を付加し、フィルタリングテーブルにＭＡＣアドレスとホスト名などを関連づけて登録することによって、ＩＰパケット受信時にホスト名などの表示を行うことも考えられる。
【００９２】
図１０は、フィルタリングテーブル８にホスト名を追加した例を示した図である。
【００９３】
図１０に示すように、ＭＡＣアドレスにホスト名を関連付けることにより、受信したＩＰパケットのソースＩＰアドレスがフィルタリングテーブル８に登録されたアドレスと一致する場合には、例えば「現在ホスト名Ｓｕｚｕｋｉのパケットを受信しました」等の表示を行う構成も可能である。これにより、ユーザーは、受信したパケットの送信元を知ることができる。
【００９４】
また、本実施形態では、上述したようなパケット転送装置において、パケットの受信処理、受信されたパケットからのソースＩＰアドレス抽出処理、抽出されたソースＩＰアドレスの分割処理、分割されたアドレスの比較処理、パケットを転送するか否かの決定処理、及びパケットの転送処理を行うように構成しているが、コンピュータ及びメモリなどの記録装置によって構成し、上述の各処理を行うためのプログラムを当該メモリに格納するとともに、この各プログラムをコンピュータによって読み出し、当該コンピュータのＣＰＵにおいて当該各処理を行うように構成してもよい。
【００９５】
【発明の効果】
以上説明したように、本発明によれば、あらかじめ登録したアドレスを有する特定の端末から送信されたパケットのみ転送することが可能となるため、その他の端末からのアクセスを排除でき、セキュリティの向上を図ることができる。
【００９６】
また、高価で高度な設定が要求されるサーバ等のセキュリティ機器を設置する必要がないため、運用上のコスト削減と、ユーザー設定の簡易性の向上が期待できる。
【図面の簡単な説明】
【図１】本発明に係る機能ブロックの一例を示す図である。
【図２】フィルタ部９の機能例をブロック化した図である。
【図３】本発明の実施に係るパケット転送装置１の接続例を示す図である。
【図４】ｓｕｂ−ＴＬＡアロケーションの一例を示した図である。
【図５】グローバルＩＰアドレスの自動生成の例を示した図である。
【図６】ＭＡＣアドレスの４８ビットからＥＵＩ−６４アドレスの６４ビットに変換するプロセスを示した図である。
【図７】ＩＰＶ６の基本ヘッダ形式を示した図である。
【図８】フィルタリングテーブル８へのアドレス登録例を示した図である。
【図９】本実施形態に係るフィルタリング動作の一連の流れを示した図である。
【図１０】フィルタリングテーブル８にホスト名を追加した例を示した図である。
【符号の説明】
１・・・・パケット転送装置
２・・・・外部インタフェース部
３・・・・内部インタフェース部
４・・・・ＬＡＮ制御部
５・・・・装置制御部
６・・・・ＲＯＭ
７・・・・ＲＡＭ
８・・・・フィルタリングテーブル
９・・・・フィルタ部
１１・・・アドレス抽出部
１２・・・アドレス変換部
１３・・・アドレス比較部
２１・・・サーバ
２２・・・インターネット
２３・・・クライアント端末
【図１】
0003626743.tif 000002
【図２】
0003626743.tif 000003
【図３】
0003626743.tif 000004
【図４】
0003626743.tif 000005
【図５】
0003626743.tif 000006
【図６】
0003626743.tif 000007
【図７】
0003626743.tif 000008
【図８】
0003626743.tif 000009
【図９】
0003626743.tif 000010
【図１０】
0003626743.tif 000011