(57)【要約】【課題】簡易な構成及び単純な処理でノードの属性を確実に特定することが可能なネットワーク装置、ネットワークシステム及びネットワークシステムの制御方法を提供する。【解決手段】ノードからネットワークへの接続を受け付けるネットワーク装置を、ノードから、該ノードの固有情報が含まれる送信元アドレスを有するパケットを受信するパケット受信部と、受信したパケットの送信元アドレスから固有情報を取得してノードの属性を特定するノード属性特定部とを備える構成とする。【選択図】図１
2014183478.tif 000002
【特許請求の範囲】
【請求項１】
ノードからネットワークへの接続を受け付けるネットワーク装置であって
前記ノードから、該ノードの固有情報が含まれる送信元アドレスを有するパケットを受信するパケット受信部と、
前記受信したパケットの送信元アドレスから前記固有情報を取得して前記ノードの属性を特定するノード属性特定部と、
を備えることを特徴とするネットワーク装置。
【請求項２】
前記ノード属性特定部は、前記受信した送信元アドレスから取得した前記固有情報とあらかじめ前記ネットワーク装置に設定された定義情報とを照合して、前記ノードから受信したパケットの中継又は破棄を決定することを特徴とする請求項１に記載のネットワーク装置。
【請求項３】
前記定義情報は、前記固有情報に対応して定められた判定式であることを特徴とする請求項２に記載のネットワーク装置。
【請求項４】
前記ネットワーク装置は、さらに前記受信した送信元アドレスから取得した前記固有情報を記憶するノード情報記憶部を備えることを特徴とする請求項１に記載のネットワーク装置。
【請求項５】
ノードとアドレス生成装置とネットワーク装置を備えるネットワークシステムであって、
前記ノードが固有情報を前記アドレス生成装置に送信し、
前記アドレス生成装置が前記固有情報に基づいてアドレスを生成して、該アドレスを前記ノードに送信し、
前記ノードは、前記生成されたアドレスを送信元アドレスとして含むパケットをネットワーク装置に送信し、
前記ネットワーク装置が、前記パケットの送信元アドレスから固有情報を取得して前記ノードの属性を特定する
ことを特徴とするネットワークシステム。
【請求項６】
ノードとアドレス生成装置とネットワーク装置を備えるネットワークシステムの制御方法であって、
前記ノードから固有情報を前記アドレス生成装置に送信し、
前記アドレス生成装置によって、前記固有情報に基づくアドレスを生成して、該アドレスを前記ノードに送信し、
前記ノードから前記生成されたアドレスを送信元アドレスとして含むパケットをネットワーク装置に送信し、
前記ネットワーク装置によって、前記パケットの送信元アドレスから固有情報を取得して前記ノードの属性を特定する
ネットワークシステムの制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク装置、ネットワークシステム及びネットワークシステムの制御方法に関する。
【背景技術】
【０００２】
ルータ等のネットワーク装置を用いてコンピュータネットワーク内の各ノードが行う通信を制御する場合、例えば、ネットワーク装置において、各ノードがパケット送信に使用するＩＰアドレスに基づいてパケット転送の許否を決定する。そこで、ネットワーク装置に対して、各ノードに対応して通信の許否を決定する通信ポリシーが決定される。ネットワーク装置は、サーバやデータベース等に格納されたＩＰアドレスとユーザＩＤ等の各ノードの識別情報との対応関係に従って、各ノードに適切な通信ポリシーを適用し、通信を制御する。
【０００３】
例えば、ＩＰアドレスを生成するサーバが、認証サーバから認証に成功したユーザＩＤを取得し、ユーザＩＤを用いて各種データベースからユーザ情報や各ユーザの通信ポリシーを取得し、通信ポリシーが埋め込まれたＩＰアドレスを生成する。そして、ネットワーク装置は、当該通信ポリシーに従ってＩＰアドレスのフィルタリング設定を行う技術が知られている（例えば、特許文献１参照）。
【０００４】
また、ネットワーク外の外部端末がネットワーク内の内部端末にアクセスする際に使用する宛先アドレスに、内部端末及び外部端末の識別情報が付加される。ネットワーク装置は、外部端末から受信した宛先アドレスに含まれる外部端末の識別情報と送信元アドレスに含まれる外部端末の識別情報とを比較して、外部端末のアクセス制御を行う技術が知られている（例えば、特許文献２参照）。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００９−１１８３２５号公報
【特許文献２】特開２０１１−１６６４６８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
上記の技術では、ＩＰアドレスを生成するには、ユーザ情報を照会するサーバやアクセス制御に必要なユーザＩＤと各種情報との対応関係を保持するデータベース等を設ける必要がある。このため、これらのサーバやデータベースの配備に伴うコストの発生は避けられない。また、内部端末及び外部端末の識別情報が含まれるＩＰアドレスに対してアクセス制御を行う場合は、比較される情報の内容がＩＰアドレスごとに異なるため、ＩＰアドレスが増えた場合に、ＩＰアドレスに含まれる各種識別情報の処理量が増え、ネットワーク装置の負荷も増大する。
【０００７】
本件開示の技術は、上記の事情に鑑みてなされたものであり、その目的とするところは、簡易な構成かつ単純な処理でＩＰアドレスの属性を特定することが可能なネットワーク装置を提供することである。
【課題を解決するための手段】
【０００８】
一実施形態によるネットワーク装置は、ノードからネットワークへの接続を受け付ける
ネットワーク装置であって、ノードから、該ノードの固有情報が含まれる送信元アドレスを有するパケットを受信するパケット受信部と、受信したパケットの送信元アドレスから固有情報を取得してノードの属性を特定するノード属性特定部とを備える。
【発明の効果】
【０００９】
一実施形態によれば、簡易な構成かつ単純な処理でノードの属性を特定することが可能なネットワーク装置を提供できる。
【図面の簡単な説明】
【００１０】
【図１】図１は、第１〜第４の実施形態におけるネットワークシステムの概略の構成を示す図である。
【図２】図２は、第１〜第４の実施形態におけるネットワークシステムのハードウェア構成を示す概略構成図。
【図３】図３は、第１及び第２の実施形態におけるネットワークシステムの機能構成の概略を示す機能構成図である。
【図４】図４は、第１及び第２の実施形態における処理の流れを示すフローチャートである。
【図５】図５は、第１の実施形態において生成されるアドレスの一例を示す図である。
【図６】図６は、第１の実施形態における定義情報の一例を示す図である。
【図７】図７は、第２の実施形態において生成されるアドレスの一例を示す図である。
【図８】図８は、第２の実施形態における定義情報の一例を示す図である。
【図９】図９は、第３及び第４の実施形態におけるネットワークシステムの機能構成の概略を示す機能構成図である。
【図１０】図１０は、第３の実施形態において生成されるアドレスの一例を示す図である。
【図１１】図１１は、第３及び第４の実施形態における処理の流れを示すフローチャートである。
【図１２】図１２は、第３の実施形態において固有情報が記憶されるテーブルの一例を示す図である。
【図１３】図１３は、第４の実施形態において生成されるアドレスの一例を示す図である。
【図１４】図１４は、第４の実施形態において固有情報が記憶されるテーブルの一例を示す図である。
【発明を実施するための形態】
【００１１】
以下、実施形態に係るネットワークシステムについて、図面を参照しながら説明する。
【００１２】
（第１の実施形態）
図１に、第１の実施形態におけるネットワークシステム１の概略構成図を示す。図１に示すように、ネットワークシステム１は、ネットワーク装置１００、管理ノード１０１、ノード１０２、１０３、アドレス割り振りサーバ１０４を有する。ネットワーク装置１００は、ノード１０２、１０３からネットワークＮ内のノード（図示せず）に向けて送信されたパケットを受信し、当該パケットの中継あるいは破棄を行う。管理ノード１０１は、定義情報を生成してネットワーク装置１００に送信する。また、管理ノード１０１は、ＩＰｖ６アドレスに埋め込まれる情報の種別や情報が埋め込まれる位置に関する情報をあらかじめネットワーク装置１００とアドレス割り振りサーバ１０４に通知する。ネットワーク装置１００は、受信した定義情報を使用して、ノード１０２、１０３から受信したパケットを処理する。定義情報やＩＰｖ６アドレスへの情報の埋め込みの詳細については後述
する。
【００１３】
ノード１０２、１０３は、ユーザが使用する端末である。本実施形態では、ユーザはある会社の社員を想定する。また、各ユーザには一意の社員番号が割り当てられている。ユーザは、ノード１０２、１０３を使用してネットワークＮへのアクセスを行う。なお、図１にはノード１０２、１０３のみを示すが、ノード数は２つに限られない。アドレス割り振りサーバ１０４は、ノード１０２、１０３からの要求に応じてＩＰアドレスを生成し、要求元のノードに生成したＩＰアドレスを送信する。本実施形態では、一例として、アドレス割り振りサーバ１０４は、グローバルユニキャストアドレスを生成する。ノード１０２、１０３は、アドレス割り振りサーバ１０４から受信したＩＰアドレスを使用して、ネットワーク装置１００にパケットを送信する。なお、各構成要素の処理の詳細については後述する。また、以下の説明においては、ＩＰアドレスとしてＩＰｖ６アドレスを使用する。
【００１４】
図２は、本実施形態におけるネットワークシステム１を構成するネットワーク装置１００、管理ノード１０１、ノード１０２、アドレス割り振りサーバ１０４のハードウェア構成を示す概略構成図である。図２に示すように、ネットワーク装置１００、管理ノード１０１、ノード１０２、アドレス割り振りサーバ１０４は、それぞれＣＰＵ（Central Processing Unit）１００ａ、１０１ａ、１０２ａ、１０４ａ、メモリ１００ｂ、１０１ｂ、
１０２ｂ、１０４ｂ、ＨＤＤ（Hard Disk Drive）１００ｃ、１０１ｃ、１０２ｃ、１０
４ｃ、ＮＩＣ（Network Interface Card）１００ｄ、１００ｅ、１０１ｄ、１０２ｄ、１０４ｄを有する。なお、ノード１０３はノード１０２と同様の構成を有し、以下では、ノード１０２の構成要素について説明し、ノード１０３の説明は省略する。
【００１５】
図３は、本実施形態におけるネットワーク装置１００、管理ノード１０１、ノード１０２、アドレス割り振りサーバ１０４の機能構成の概略を示す機能構成図である。なお、図３においても、ノード１０３については図示を省略する。ネットワーク装置１００は、ＨＤＤ１００ｃに記憶されているプログラムがメモリ１００ｂに読み出され、ＣＰＵ１００ａによって該プログラムが実行されることで、パケット受信部１００ｆとアクセス制御部１００ｇと定義情報受信部１００ｈとを備えるネットワーク装置として機能する。
【００１６】
次に、管理ノード１０１は、ＨＤＤ１０１ｃに記憶されているプログラムがメモリ１０１ｂに読み出され、ＣＰＵ１０１ａによって該プログラムが実行されることで、定義情報生成部１０１ｅと定義情報送信部１０１ｆとを備える管理装置として機能する。
【００１７】
また、ノード１０２は、ＨＤＤ１０２ｃに記憶されているプログラムがメモリ１０２ｂに読み出され、ＣＰＵ１０２ａによって該プログラムが実行されることで、固有情報記憶部１０２ｅと固有情報送信部１０２ｆとアドレス受信部１０２ｇとパケット送信部１０２ｈとを備える端末として機能する。
【００１８】
そして、アドレス割り振りサーバ１０４は、ＨＤＤ１０４ｃに記憶されているプログラムがメモリ１０４ｂに読み出され、ＣＰＵ１０４ａによって該プログラムが実行されることで、固有情報受信部１０４ｅとアドレス生成部１０４ｆとアドレス送信部１０４ｇとを備えるアドレス生成サーバとして機能する。
【００１９】
なお、本実施形態では、上記のネットワーク装置、管理装置、端末、アドレス生成サーバが備える各機能は、ＣＰＵ１００ａ、１０１ａ、１０２ａ、１０４ａによってそれぞれ実行される。しかし、各装置において、上記の機能を１以上のプロセッサを用いて実行する構成としてもよい。
【００２０】
図４は、本実施形態におけるアクセス制御処理の流れを示すフローチャートである。なお、以下の説明では、各ステップをＳと略記する。なお、本フローチャートに示された処理の具体的な内容及び処理順序は、本発明を実施するための一例である。具体的な処理内容及び処理手順は、実施形態に応じて適宜選択することができる。以下の他の実施形態の説明においても同様である。
【００２１】
まず、Ｓ１０１では、ユーザがノード１０２においてユーザ名やパスワードを使用してノード１０２の使用を開始する。そして、ユーザ名等の固有情報が、固有情報記憶部１０２ｅによってＨＤＤ１０２ｃに記憶される。また、ＨＤＤ１０２ｃには、ノード１０２の端末情報等も固有情報として記憶されている。次に、Ｓ１０２において、ノード１０２の固有情報送信部１０２ｆが、ＮＩＣ１０２ｄを用いて、ＨＤＤ１０２ｃに記憶されている各種固有情報をアドレス割り振りサーバ１０４に送信する。ノード１０２は、マルチキャストアドレスに対して固有情報を付加したＤＨＣＰｖ６プロトコル（ＲＦＣ３３１５）のＳｏｌｉｃｉｔパケットに相当するパケットを送信する。ノード１０２がＳｏｌｉｃｉｔパケットに相当するパケットを送信することで、後述するように、アドレス割り振りサーバ１０４は、ノード１０２に対してＡｄｖｅｒｔｉｓｅｍｅｎｔパケットを送信する。なお、ノード１０２は、マルチキャストアドレスの代わりにユニキャストアドレスを用いてもよい。
【００２２】
Ｓ１０３において、アドレス割り振りサーバ１０４の固有情報受信部１０４ｅが、ＮＩＣ１０４ｄを用いて、ノード１０２の固有情報送信部１０２ｆにより送信された固有情報を受信する。そして、アドレス割り振りサーバ１０４のアドレス生成部１０４ｆが、受信した固有情報を用いてＩＰｖ６アドレスを生成する。図５に、本実施形態においてアドレス割り振りサーバ１０４が生成するＩＰｖ６アドレスの一例を示す。ノード１０２は、Ｓ１０２において、固有情報としてノード１０２の使用を開始したユーザの社員番号及びノード１０２で実行されるＯＳ（Operating System）の種別をアドレス割り振りサーバ１０４に送信する。
【００２３】
図５は、アドレス割り振りサーバ１０４によって生成されるＩＰｖ６アドレスの下位６４ビットの概略の構成を示す。図５に示すように、ＩＰｖ６アドレスの下位６４ビットのうち、最初の３２ビットに社員番号が埋め込まれる。また、社員番号に続く１６ビットにＯＳの種別が埋め込まれる。そして、残りの１６ビットにＩＰｖ６アドレスが生成された時間がタイムスタンプとして埋め込まれる。本実施形態では一例として、社員番号は各ユーザに一意の数字とする。また、一例として、ＯＳの種別は、Ｗｉｎｄｏｗｓ（登録商標）、ＵＮＩＸ（登録商標）系、その他の種類のＯＳとをそれぞれ区別する。そこで、ＯＳの種別がＷｉｎｄｏｗｓである場合は「１」が、ＵＮＩＸ系である場合は「２」が、Ｌｉｎｕｘ等その他の種類のＯＳである場合は「３」がそれぞれ固有情報として設定される。そして、この固有情報が、ＯＳの種別を示すビットとしてＩＰｖ６アドレスに埋め込まれる。さらに、本実施形態では一例として、ＩＰｖ６アドレスが生成された時分の数値を１６進数に変換した数値が、ＩＰｖ６アドレスに埋め込まれる。
【００２４】
例えば、社員番号が「３５」であるユーザが、ＯＳとしてＬｉｎｕｘを搭載するノード１０２の使用を開始した場合、１７時００分にアドレス割り振りサーバ１０４がノード１０２に対して生成するＩＰｖ６アドレスは「２００１：ｆｆｆｆ：ｆｆｆｆ：ｆｆｆｆ：００００：００２３：０００３:０３ｆｃ」である。ここで、ＩＰｖ６アドレスの上位６
４ビット「２００１：ｆｆｆｆ：ｆｆｆｆ：ｆｆｆｆ」は、グローバルユニキャストアドレスのグローバルルーティングプレフィクス及びサブネットＩＤを示す。「ｆ」には所定の１６進数の文字が挿入される。以下の説明においても同様である。ＩＰｖ６アドレスの具体的な割り振りは、ＩＡＮＡ（IPv6 Global Unicast Address Assignments）により管
理されている。ここでは詳細については省略する。
【００２５】
また、このＩＰｖ６アドレスの下位６４ビット「００００：００２３：０００３:０３
ｆｃ」のうち、「００００：００２３」が社員番号に相当するビットである。また、「０００３」がＯＳの種別に相当するビットである。さらに、「０３ｆｃ」がこのＩＰｖ６アドレスが生成された時間に相当するビットである。本実施形態において、ＩＰｖ６アドレスが生成された時間は、０時０分からの経過時間（分）で表記される。
【００２６】
図４のＳ１０４において、アドレス割り振りサーバ１０４のアドレス送信部１０４ｇは、ＮＩＣ１０４ｄを用いて、ノード１０２に対してＡｄｖｅｒｔｉｓｅｍｅｎｔパケットを送信する。次いで、Ｓ１０５において、アドレス送信部１０４ｇは、ＮＩＣ１０４ｄを用いて、生成されたＩＰｖ６アドレスが含まれるＲｅｐｌｙパケットをノード１０２に送信する。Ａｄｖｅｒｔｉｓｅｍｅｎｔパケット及びＲｅｐｌｙパケットに関連する処理は周知の技術を用いて実行されるため、ここでは詳細な説明は省略する。
【００２７】
Ｓ１０５において、ノード１０２のアドレス受信部１０２ｇは、ＮＩＣ１０２ｄにより、アドレス送信部１０４により送信されたＲｅｐｌｙパケットを受信する。ノード１０２のＣＰＵ１０２ａは、受信したＲｅｐｌｙパケットからアドレス割り振りサーバ１０４によって生成されたＩＰｖ６アドレスを取得する処理を行う。ノード１０２のＣＰＵ１０２ａは、このＩＰｖ６アドレスを送信元アドレスとして使用して、パケットを生成し、ネットワーク装置１００にパケットを送信する処理を行う。Ｓ１０６において、ノード１０２において生成されたパケットが、パケット送信部１０２ｈによってＮＩＣ１０２ｄからネットワーク装置１００に送信される。当該パケットには、上記のＩＰｖ６アドレスが送信元アドレスとして含まれている。そして、ネットワーク装置１００のパケット受信部１００ｆは、ＮＩＣ１００ｄにより、ノード１０２のパケット送信部１０２ｈから送信されたパケットを受信する。
【００２８】
Ｓ１０７において、ネットワーク装置１００のアクセス制御部１００ｇは、定義情報を用いて受信したパケットの中継又は破棄を制御する。なお、アクセス制御部１００ｇがノード属性特定部の一例に相当する。図６は、本実施形態において、ネットワーク装置１００がノードから受信したパケットの中継又は破棄を決定するために使用する定義情報の一例を示す。定義情報は、ネットワーク装置１００のＨＤＤ１００ｃに格納される。図６に示すように、本実施形態では、ネットワーク装置１００において、受信されたパケットが定義情報に記述されている１つ以上の判定式によって、その中継又は破棄が決定される。図６には、それぞれ異なる２つの判定式が記述されている定義情報を示す。
【００２９】
図６に示す判定式において、「＆」は左辺と右辺が論理積となることを意味する。「［＃ｘｘｘ−ｙｙｙ＃］」（ｘ、ｙは整数）は、ＩＰｖ６アドレスにおいて「ｘｘｘ番目」のビットから「ｙｙｙ番目」のビットのアドレスを数値化することを意味する。ここで、数値化とは、ビットが示す１６進数の値を２進数の値に変換することを意味する。その他の記号については、一般的な算術演算の計算規則に従うものとする。
【００３０】
図６において、判定式「［＃９７−１１２＃］＝３」は、ＩＰｖ６アドレスの９７番目のビットから１１２番目のビットのアドレスを数値化した値が３であるか否かを判定する判定式である。本実施形態においては、上述の通り生成されたＩＰｖ６アドレスにおいて、９７番目のビットから１１２番目のビットのアドレスは、ノードのＯＳの種別を示すアドレスに対応している。本実施形態では、アクセス制御部１００ｇは、判定式を満たす場合に判定対象のパケットのネットワークＮへの中継を許可する。したがって、この判定式を用いることで、アクセス制御部１００ｇは、受信したパケットの送信元ノードのＯＳがＷｉｎｄｏｗｓであるか、ＵＮＩＸ系であるか、それら以外のＯＳであるかを判定し、ＯＳの種別がＷｉｎｄｏｗｓ及びＵＮＩＸ系以外であるノードからのパケットのみネットワ
ークＮに通過させる処理を行う。
【００３１】
また、図６において、判定式「（［＃６５−９６＃］＝３５）＆（［＃１１３−１２８＃］＜１０５０）」は、ＩＰｖ６アドレスの６５番目のビットから９６番目のビットのアドレスを数値化した値が３５であり、かつ、ＩＰｖ６アドレスの６５番目のビットから９６番目のビットのアドレスを数値化した値が１０５０未満であるか否かを判定する判定式である。本実施形態においては、上述の通り生成されたＩＰｖ６アドレスにおいて、６５番目のビットから９６番目のビットのアドレスは、ノードを使用するユーザの社員番号を示すアドレスに対応している。したがって、式「［＃６５−９６＃］＝３５」により、受信したパケットの送信元ノードを使用するユーザの社員番号が３５であるか否かが判定される。
【００３２】
さらに、１１３番目のビットから１２８番目のビットのアドレスは、当該ＩＰｖ６アドレスがアドレス割り振りサーバ１０４により生成された時間を示すアドレスに対応する。したがって、式「［＃１１３−１２８＃］＜１０５０」により、受信したパケットに含まれているＩＰｖ６アドレスが１７時３０分より前に割り振られたものであるか否かが判定される。
【００３３】
以上より、この判定式を用いることで、アクセス制御部１００ｇは、ノードを使用するユーザの社員番号及びＩＰｖ６アドレスの生成時間を判定し、受信したパケットの送信元ノードのユーザの社員番号が３５であり、ＩＰｖ６アドレスが１７時３０分より前に生成されたものである場合にのみパケットをネットワークＮに通過させる処理を行う。
【００３４】
本実施形態においては、例えばネットワークシステム１の管理者が管理ノード１０１を操作して定義情報を作成する。管理ノード１０１の定義情報生成部１０１ｅが、管理者の操作に従って定義情報を生成し、定義情報送信部１０１ｆがＮＩＣ１０１ｄを用いて、生成された定義情報をネットワーク装置１００に送信する。ネットワーク装置１００の定義情報受信部１００ｈは、ＮＩＣ１００ｅを用いて、管理ノード１０１から送信された定義情報を受信する。ネットワーク装置１００のＣＰＵ１００ａは、受信した定義情報をＨＤＤ１００ｃに記憶する。なお、図４では、Ｓ１０８及びＳ１０９として、これら定義情報の送信及び記憶に関する一連の処理を示すが、任意のタイミングで、管理ノード１０１が定義情報をネットワーク装置１００に送信して、ネットワーク装置１００が受信した定義情報をＨＤＤ１００ｃに記憶することができる。
【００３５】
以上の通り、本実施形態のネットワークシステム１においては、アドレス割り振りサーバ１０４がノード１０２、１０３から受信した固有情報を用いてＩＰｖ６アドレスを生成する。このため、ネットワークシステム１において、ＩＰｖ６アドレスの生成時に、認証サーバ等の他の装置に固有情報を問い合わせる処理が発生しない。また、固有情報は各ノードから提供されるため、ネットワークシステム１において固有情報を管理するデータベース等の装置を使用することなくＩＰｖ６アドレスを生成することができる。さらに、ネットワーク装置１００は、あらかじめ作成された定義情報に記述されている判定式に従って、各ノードから受信したパケットに対して該パケットに含まれるＩＰｖ６アドレスを判定し、パケットの中継又は破棄を行う。すなわち、ネットワーク装置１００は、パケットの中継を行うか否かを判断するための各ノードの属性を特定することができる。したがって、異なるノードから受信した複数のパケットに対する遮断制御を１つの定義情報でまとめて行うことができる。
【００３６】
また、ネットワーク装置１００では、パケットに含まれるノードの送信元アドレスが取得できれば、送信元アドレスに含まれる情報と定義情報とを照会して当該遮断制御を行うことができる。さらに、ネットワーク装置１００において、各パケットに含まれる情報か
らパケットの中継又は破棄を行うための定義情報を特定する処理も発生しない。このため、ネットワークシステム１においてノード数が増加してもネットワーク装置１００におけるパケット処理に関する負荷が増大して、輻輳が発生する懸念も少ない。
【００３７】
（第２の実施形態）
次に、第２の実施形態について、図面を参照しながら説明する。なお、以下の説明においては、第１の実施形態と異なる点について説明する。また、本実施形態において、第１の実施形態と同様の構成を有する場合は、同一の符号を用いて説明し、図示を省略する。図７に、本実施形態において、アドレス割り振りサーバ１０４によって生成されるＩＰｖ６アドレスの下位６４ビットの概略の構成を示す。本実施形態において、アドレス割り振りサーバ１０４は、図４のＳ１０３において、以下に説明するＩＰｖ６アドレスを生成する。
【００３８】
図７に示すように、ＩＰｖ６アドレスの下位６４ビットのうち、最初の３２ビットにノードに関する端末購入日が埋め込まれる。また、残りの３２ビットにノードの端末保証期間が埋め込まれる。本実施形態では一例として、端末購入日の日付は、バイナリ形式で設定される。また、一例として、端末保証期間は、日単位のバイナリ形式で設定される。
【００３９】
例えば、ノード１０２の端末購入日が「２０１３年１月１日」であり、端末保証期間が「１年間」である場合、アドレス割り振りサーバ１０４がノード１０２に対して生成するＩＰｖ６アドレスは「２００１：ｆｆｆｆ：ｆｆｆｆ：ｆｆｆｆ：５０ｅ２：２７００：０１ｅ１：３３８０」である。ここで、このＩＰｖ６アドレスの下位６４ビット「５０ｅ２：２７００：０１ｅ１：３３８０」のうち、「５０ｅ２：２７００」がノードの端末購入日に相当するビットである。また、「０１ｅ１：３３８０」が端末保証期間に相当するビットである。本実施形態においては、端末購入日は１９７０年１月１日０時０分０秒、いわゆるユニックスエポックからの経過秒数を１６進数に変換した数値がＩＰｖ６アドレスに埋め込まれる。また、端末保証期間は、期間を秒数に換算して１６進数に変換した数値がＩＰｖ６アドレスに埋め込まれる。
【００４０】
図８は、本実施形態において、ネットワーク装置１００がノードから受信したパケットの中継又は破棄を決定するために使用する定義情報の一例を示す。本実施形態において、ネットワーク装置１００は、図４のＳ１０７において、以下に説明する定義情報を使用して、パケットの送信元であるノードの属性を特定し、特定したノードの属性に基づいてパケットの中継又は破棄を行う。図８には、１つの判定式が記述されている定義情報を示す。図８に示す判定式において、「［％ＤＡＴＥ％］」は、現在の日時をユニックスエポックからの経過時間として秒単位で表した値として数値化することを意味する。
【００４１】
図８に示す判定式「（［＃６５−９６＃］＋［＃９７−１２８＃］）−［％ＤＡＴＥ％］＞０」のうち、式「［＃６５−９６＃］＋［＃９７−１２８＃］」は、ＩＰｖ６アドレスの６５番目のビットから９６番目のビットのアドレスを数値化した値とＩＰｖ６アドレスの９７番目のビットから１２８番目のビットのアドレスを数値化した値とを加算する式である。したがって、判定式「（［＃６５−９６＃］＋［＃９７−１２８＃］）−［％ＤＡＴＥ％］＞０」により、ノードの端末保証期間の有効期限が終了する日が現在の日時よりも将来の日付に該当するか否かが判定される。
【００４２】
以上より、この判定式を用いることで、アクセス制御部１００ｇは、ユーザが使用するノードの端末保証期間が有効期限内である場合にのみパケットをネットワークＮに通過させる処理を行い、保証期間が過ぎたノードから送信されるパケットは破棄することで当該ノードからのネットワークＮへのアクセスを遮断することができる。
【００４３】
（第３の実施形態）
次に、第３の実施形態について図面を参照しながら説明する。第２の実施形態と同様、第３の実施形態においても、第１の実施形態と同様の構成を有する場合は、同一の符号を付し、図示及び詳細な説明は省略する。図９に示すように、本実施形態においては、ネットワーク装置１００は、パケット受信部１００ｆとノード情報処理部１００ｉを有する。また、管理ノード１０１は、ノード情報確認部１０１ｇとノード情報表示部１０１ｈを有する。
【００４４】
図１０に、本実施形態において、アドレス割り振りサーバ１０４によって生成されるＩＰｖ６アドレスの下位６４ビットの概略の構成を示す。本実施形態において、アドレス割り振りサーバ１０４は、図４のＳ１０３において、以下に説明するＩＰｖ６アドレスを生成する。
【００４５】
図１０に示すように、ＩＰｖ６アドレスの下位６４ビットのうち、最初の３２ビットにノードの所属する部署名が埋め込まれる。また、残りの３２ビットにノードが設置されているフロア名が埋め込まれる。本実施形態では一例として、所属部署名は、人事部、開発部、総務部、経理部、営業部が存在する。そこで、人事部、開発部、総務部、経理部、営業部に対して、それぞれ１、２、３、４、５の番号が割り当てられ、所属部署名を示すビットとしてＩＰｖ６アドレスに埋め込まれる。同様に、本実施形態では、一例として、フロア名は、Ａ棟１階〜４階、Ｂ棟１階〜３階の各階に区分けされている。そこで、Ａ棟１階〜４階の各階に対してそれぞれ１〜４の番号を１つずつ割り当てる。また、Ｂ棟１階〜３階の各階に対してそれぞれ５〜７の番号を１つずつ割り当てる。
【００４６】
例えば、ノード１０２がＢ棟２階に設置されており、開発部に所属する端末である場合、アドレス割り振りサーバ１０４がノード１０２に対して生成するＩＰｖ６アドレスは「２００１：ｆｆｆｆ：ｆｆｆｆ：ｆｆｆｆ：００００：０００２：００００：０００６」である。ここで、このＩＰｖ６アドレスの下位６４ビット「００００：０００２：００００：０００６」のうち、「００００：０００２」がノードの所属部署名に相当するビットである。また、「００００：０００６」がノードが設置されているフロア名に相当するビットである。本実施形態においては、所属部署名及びフロア名の番号について、１６進数に変換した数値がＩＰｖ６アドレスに埋め込まれる。
【００４７】
図１１に、本実施形態におけるノード管理処理の流れを示すフローチャートである。図１１において、第１の実施形態と同様の処理については説明を省略し、第１の実施形態と異なる点について以下説明する。本実施形態では、Ｓ２０１において、ノード１０２は、ＨＤＤ１０２ｃに記憶されているノード１０２の所属部署名及びフロア名に関する情報を取得する。そして、Ｓ２０３において、アドレス割り振りサーバ１０４は、ノード１０２から受信した当該情報を用いて、上記のＩＰｖ６アドレスを生成する。Ｓ２０７において、ネットワーク装置１００のノード情報処理部１００ｉは、受信したパケットに含まれる上記のＩＰｖ６アドレスを取得する。なお、ノード情報処理部１００ｉがノード属性特定部の一例に相当する。そして、ノード情報処理部１００ｉは、取得したＩＰｖ６アドレスの下位６４ビットに対して、所属部署名とフロア名を示す数値に変換する処理を行う。そして、ノード情報処理部１００ｉは、変換した所属部署名とフロア名を示す数値をＨＤＤ１００ｃに記憶する。また、ノード情報処理部１００ｉは、当該ＩＰｖ６アドレスを含むパケットの受信時間もＨＤＤ１００ｃに記憶する。
【００４８】
図１２に、本実施形態のネットワーク装置１００のＨＤＤ１００ｃにおいて、パケット通過時刻と所属部署名とフロア名を記憶するテーブル２０１の一例を示す。図１２に示すように、テーブル２０１は「種別」欄及び「詳細」欄を有する。「種別」欄には、ノード情報処理部１００ｉがＨＤＤ１００ｃに記憶する各ノードの情報の種類が格納される。ま
た、「詳細」欄には、「種別」欄の各種情報に対応する情報の内容が格納される。本実施形態において、ＨＤＤ１００ｃには、ノード毎にテーブル２０１と同様の構成を有するテーブルが格納されている。図１２のテーブル２０１は、上記の通りノード１０２のパケットから取得したＩＰｖ６アドレスに埋め込まれている各種情報を格納した状態を示す。
【００４９】
図１１のＳ２０８では、ネットワークシステム１の管理者が管理ノード１０１を操作して、ネットワーク装置１００に格納されている各ノードのノード情報を確認する。管理ノード１０１のノード情報確認部１０１ｇは、管理者の操作に従って、ネットワーク装置１００に対してノード情報を表示する要求を送信する。ネットワーク装置１００のノード情報処理部１００ｉは、ノード情報確認部１０１ｇから当該要求を受信すると、ＨＤＤ１００ｃに格納されている上記のテーブルに格納されたノード情報を取得する。そして、ノード情報処理部１００ｉは、取得したノード情報を管理ノード１００に送信する。
【００５０】
管理ノード１００は、ノード情報処理部１００ｉが送信したノード情報を受信すると、受信したノード情報をノード情報表示部１０１ｈに表示する。一例として、図１２に示すテーブル２０１に格納されている情報は、ノード情報表示部１０１ｈにおいて「”２０１３／０１／２２  １０：２０：３０”，”２”，”６”」と表示される。そして、管理者は、Ｂ棟２階に設置された開発部に所属するノードが２０１３年１月２２日の１０時２０分３０秒において起動中であることを確認することができる。
【００５１】
このように、本実施形態では、管理者は、ネットワーク装置１００がパケットを中継したノードに関するノード情報を確認し、どのフロアのどの部署に所属するノードが起動中か否かを判断することができる。これにより、管理者は、社内で現在使用されている端末を特定することができる。すなわち、本実施形態では、ネットワーク装置１００において、管理者がノード情報を確認するための各ノードの属性を特定することができる。また、管理者は、ノード情報を確認できない場合は、既に破棄された可能性があると判断することもできる。これにより、本実施形態によって、各ノードの端末管理を行うことができる。
【００５２】
（第４の実施形態）
次に、第４の実施形態について図面を参照しながら説明する。なお、以下の説明において、上記の実施形態と同様の構成を有する場合は、同一の符号を付し、図示及び詳細な説明は省略する。
【００５３】
図１３に、本実施形態において、アドレス割り振りサーバ１０４によって生成されるＩＰｖ６アドレスの下位６４ビットの概略の構成を示す。本実施形態において、アドレス割り振りサーバ１０４は、図４のＳ１０３において、以下に説明するＩＰｖ６アドレスを生成する。
【００５４】
図１３に示すように、ＩＰｖ６アドレスの下位６４ビットのうち、最初の３２ビットにノードの端末番号が埋め込まれる。端末番号は、各ノードに付与されている一意の番号である。また、残りの３２ビットにノードの管理者番号が埋め込まれる。管理者番号は、各ノードのメンテナンスをはじめとする保守作業等を担当する管理者を識別するための番号である。本実施形態では一例として、端末番号及び管理者番号ともに１０進数の数字が割り当てられている。
【００５５】
例えば、ノード１０２の端末番号が「５」であり、ノード１０２の管理者の管理者番号が「７」である場合、アドレス割り振りサーバ１０４がノード１０２に対して生成するＩＰｖ６アドレスは「２００１：ｆｆｆｆ：ｆｆｆｆ：ｆｆｆｆ：００００：０００５：００００：０００７」である。ここで、このＩＰｖ６アドレスの下位６４ビット「００００
：０００５：００００：０００７」のうち、「００００：０００５」がノードの端末番号に相当するビットである。また、「００００：０００７」がノードの管理者番号に相当するビットである。本実施形態においては、端末番号及び管理者番号に割り当てられた数字について、１６進数に変換した数値がＩＰｖ６アドレスに埋め込まれる。
【００５６】
本実施形態においては、図１１のＳ２０７において、ネットワーク装置１００のノード情報処理部１００ｉは、受信したパケットに含まれる上記のＩＰｖ６アドレスを取得する。そして、ノード情報処理部１００ｉは、取得したＩＰｖ６アドレスの下位６４ビットに対して、端末番号と管理者番号を示す数値に変換する処理を行う。そして、ノード情報処理部１００ｉは、変換した端末番号と管理者番号を示す数値をＨＤＤ１００ｃに記憶する。また、ノード情報処理部１００ｉは、当該ＩＰｖ６アドレスを含むパケットの受信時間もＨＤＤ１００ｃに記憶する。
【００５７】
図１４に、本実施形態のネットワーク装置１００のＨＤＤ１００ｃにおいて、パケット通過時刻とノードの端末番号と管理者番号を記憶するテーブル３０１の一例を示す。図１４に示すように、テーブル３０１は、図１２のテーブル２０１と同様に「種別」欄及び「詳細」欄を有する。テーブル３０１において、「種別」欄には、パケット通過時刻と端末番号と管理者番号の欄がそれぞれ設けられる。そして、「詳細」欄には、「種別」欄の各種情報に対応する情報の内容が格納される。
【００５８】
そして、本実施形態においては、図１１のＳ２０８で、ノード情報表示部１０１ｈには、図１４に示すテーブル３０１に格納されている情報が、「”２０１３／０２／２０  ０１：０２：０３”，”５”，”７”」と表示される。そして、管理者は、２０１３年２月２０日の１時２分３秒に端末番号が５であり管理者番号が７であるノードが使用されたことを確認することができる。また、管理者は、各ノードの端末番号と端末情報との関係や管理者番号と管理者の氏名との関係をあらかじめ管理しておくことにより、実機を操作することなく、端末番号を基に端末情報を特定したり、管理者番号から管理者を特定したりすることができる。このため、例えば、社内で定期的に実施される資産の棚卸作業において、特定した情報に基づいて端末の割り当て等を効率よく行うことができる。
【００５９】
以上が本実施形態に関する説明であるが、上記の情報処理装置の構成や処理は、上記の実施形態に限定されるものではなく、本発明の技術的思想と同一性を失わない範囲内において種々の変更が可能である。例えば、上記の実施形態を組み合わせてネットワーク装置１００を運用する構成としてもよい。すなわち、例えば、管理者が管理ノード１０１を操作してネットワーク装置１００を制御することで、上記の第１又は第２の実施形態に従って各ノードのアクセス制御を行っている場合に、第３又は第４の実施形態に従って各ノードの端末情報を記憶するよう任意のタイミングで切り替えることもできる。あるいは、管理者は、ネットワーク装置１００が第３又は第４の実施形態に従って各ノードの端末情報の記憶を行っている場合に、第１又は第２の実施形態に従って各ノードのアクセス制御を行うよう任意のタイミングで切り替えることもできる。
【００６０】
なお、いずれの実施形態に従って動作するかは、管理者が管理ノード１０１を操作して、ネットワーク装置１００とアドレス割り振りサーバ１０４にそれぞれ通知すればよい。これにより、ネットワーク装置１００とアドレス割り振りサーバ１０４は、上記のいずれのＩＰｖ６アドレスの構成を用いるかを把握することができる。したがって、アドレス割り振りサーバ１０４は、ノードから受信した各種固有情報をＩＰｖ６アドレスの適切な位置にそれぞれ埋め込むことができる。また、ネットワーク装置１００は、どの情報がＩＰｖ６アドレスのどの位置に埋め込まれているかを把握して、各種固有情報を適切に取得することができる。
【００６１】
また、上記の説明では、ネットワーク装置１００はＮＩＣを２つ備えるが、ネットワーク装置１００が備えるＮＩＣの数は適宜変更することができる。例えば、ネットワーク装置１００をＶＰＮ（Virtual Private Network）において使用する場合、ネットワーク装
置１００はＮＩＣは１つのみ備える構成としてもよい。すなわち、ネットワーク装置１００、通信インターフェイスを物理的には１個、論理的には２個備える構成としてもよい。
【００６２】
また、上記の説明ではＩＰｖ６アドレスを使用するネットワークシステムについて説明したが、他の種類のアドレスを使用してもよく、例えばＩＰｖ４アドレスを使用して上記の各種固有情報をＩＰｖ４アドレスに埋め込む構成としてもよい。
【符号の説明】
【００６３】
１    ネットワークシステム
１００    ネットワーク装置
１０１    管理ノード
１０２、１０３    ノード
１０４    アドレス割り振りサーバ
１００ｆ    パケット受信部
１００ｇ    アクセス制御部
１００ｈ    定義情報受信部
１００ｉ    ノード情報処理部
１０１ｅ    定義情報生成部
１０１ｆ    定義情報送信部
１０１ｇ    ノード情報確認部
１０１ｈ    ノード情報表示部
１０２ｅ    固有情報記憶部
１０２ｆ    固有情報送信部
１０２ｇ    アドレス受信部
１０２ｈ    パケット送信部
１０４ｅ    固有情報受信部
１０４ｆ    アドレス生成部
１０４ｇ    アドレス送信部
Ｎ    ネットワーク
【図１】
2014183478.tif 000003
【図２】
2014183478.tif 000004
【図３】
2014183478.tif 000005
【図４】
2014183478.tif 000006
【図５】
2014183478.tif 000007
【図６】
2014183478.tif 000008
【図７】
2014183478.tif 000009
【図８】
2014183478.tif 000010
【図９】
2014183478.tif 000011
【図１０】
2014183478.tif 000012
【図１１】
2014183478.tif 000013
【図１２】
2014183478.tif 000014
【図１３】
2014183478.tif 000015
【図１４】
2014183478.tif 000016