(57)【要約】【課題】防御対象端末２ａの位置するセグメントに依存することなく防御対象端末２ａ宛のパケットを代理して受信し防御対象端末２ａに転送する。【解決手段】パケット転送装置１は、通信相手端末５から防御対象端末２ａのＩＰアドレスを含むＡＲＰ要求メッセージを受信し、防御対象端末２ａのＩＰアドレスを含むＡＲＰ要求メッセージを受信すると通信相手端末５に、パケット転送装置１のＭＡＣアドレスを含む代理ＡＲＰメッセージを送信し、通信相手端末５から防御対象端末２ａのＩＰアドレス宛の通信データを受信し、防御対象端末２ａのＩＰアドレス宛の通信データを防御対象端末２ａに転送するか否かを判定し、防御対象端末２ａに転送すると判定された場合、防御対象端末２ａのＩＰアドレス宛の通信データを防御対象端末２ａに転送する【選択図】      図１
2006050152.tif 000002
【特許請求の範囲】
【請求項１】
防御対象端末と、通信相手端末から前記防御対象端末宛のパケットを代理して受信し前記防御対象端末に転送するパケット転送装置を備えた情報通信システムにおいて、
前記通信相手端末から前記防御対象端末のＩＰアドレスを含むＡＲＰ要求メッセージを受信し、前記防御対象端末のＩＰアドレスを含むＡＲＰ要求メッセージを受信すると前記通信相手端末に、前記パケット転送装置のＭＡＣアドレスを含む代理ＡＲＰメッセージを送信し、前記通信相手端末から前記防御対象端末のＩＰアドレス宛の通信データを受信し、前記防御対象端末のＩＰアドレス宛の通信データを前記防御対象端末に転送するか否かを判定し、前記防御対象端末に転送すると判定された場合、前記防御対象端末のＩＰアドレス宛の通信データを前記防御対象端末に転送するパケット転送装置と、
前記パケット転送装置から前記防御対象端末のＩＰアドレス宛の通信データを受信する防御対象端末
とを備えることを特徴とする情報通信システム。
【請求項２】
防御対象端末と、通信相手端末から前記防御対象端末宛のパケットを代理して受信し前記防御対象端末に転送し、前記防御対象端末と同じセグメントに位置するパケット転送装置を備えた情報通信システムにおいて用いられる情報通信方法において、
前記パケット転送装置によって、前記通信相手端末から前記防御対象端末のＩＰアドレスを含むＡＲＰ要求メッセージが受信されるステップと、
前記防御対象端末のＩＰアドレスを含むＡＲＰ要求メッセージに応答して、前記パケット転送装置によって、前記通信相手端末に前記パケット転送装置のＭＡＣアドレスを含む代理ＡＲＰメッセージが送信されるステップと、
前記パケット転送装置によって、前記通信相手端末から前記防御対象端末のＩＰアドレス宛の通信データが受信されるステップと、
前記パケット転送装置によって、前記防御対象端末のＩＰアドレス宛の通信データを前記防御対象端末に転送するか否かが判定されるステップと、
前記防御対象端末に転送すると判定された場合、前記パケット転送装置によって、前記防御対象端末のＩＰアドレス宛の通信データが前記防御対象端末のＭＡＣアドレス宛に転送されるステップと、
前記防御対象端末によって、前記防御対象端末のＩＰアドレス及びＭＡＣアドレス宛の通信データが受信されるステップ
とを備えることを特徴とする情報通信方法。
【請求項３】
前記防御対象端末によって、前記通信相手端末のＩＰアドレス宛の通信データが前記パケット転送装置のＭＡＣアドレスに送信されるステップと、
前記パケット転送装置によって、前記防御対象端末から前記通信相手端末のＩＰアドレス宛の通信データが受信されるステップと、
前記パケット転送装置によって、前記通信相手端末のＩＰアドレス宛の通信データを前記通信相手端末に転送するか否かが判定されるステップと、
前記通信相手端末に転送すると判定された場合、前記パケット転送装置によって、前記通信相手端末のＩＰアドレスを含むＡＲＰ要求メッセージが送信されるステップと、
前記通信相手端末のＩＰアドレスを含むＡＲＰ要求メッセージに応答して、前記パケット転送装置によって、前記通信相手端末から前記通信相手端末のＭＡＣアドレスを含むＡＲＰ応答メッセージが受信されるステップと、
前記パケット転送装置によって、前記通信相手端末のＩＰアドレス宛の通信データが前記通信相手端末のＭＡＣアドレス宛に転送されるステップ
とを更に備えることを特徴とする請求項２に記載の情報通信方法。
【請求項４】
前記防御対象端末によって、ブロードキャスト又はマルチキャストのＩＰアドレス宛に、前記防御対象端末のＩＰアドレス及びＭＡＣアドレスを含むパケット転送要請メッセージが送信されるステップと、
前記パケット転送装置によって、前記パケット転送要請メッセージが受信されると、前記防御対象端末に前記パケット転送装置のＩＰアドレス及びＭＡＣアドレスを含むパケット転送広告メッセージが送信されるステップと、
前記防御対象端末によって、前記パケット転送広告メッセージが受信されると、前記パケット転送装置にパケットの転送を依頼する登録要求メッセージが送信されるステップと、
前記登録要求メッセージに応答して、前記パケット転送装置によって、前記防御対象端末に登録応答メッセージが送信されるとともに、前記パケット転送装置の防御対象となる端末が登録された登録テーブルに前記防御対象端末のＩＰアドレス及びＭＡＣアドレスが関連づけられたレコードが記憶されるステップとを備え、
前記転送するか否かが判定されるステップは、前記パケット転送装置の前記登録テーブルに前記防御対象端末のＩＰアドレス及びＭＡＣアドレスが登録されている場合に、前記通信相手端末のＩＰアドレス宛の通信データを転送すると判定される
ことを特徴とする請求項２又は３に記載の情報通信方法。
【請求項５】
前記登録要求メッセージに、前記パケット転送装置にパケットの転送を依頼する有効時間が含まれ、前記レコードには更に前記有効時間が関連づけられており、
前記登録要求メッセージが送信されるステップは、更に、前記防御対象端末によって、前記パケット転送装置のＩＰアドレス及びＭＡＣアドレスと前記有効時間が前記防御対象端末に備えられた登録テーブルに関連づけられて記憶され、
前記防御対象端末によって、前記防御対象端末の登録テーブルが読み出されて前記有効時間がデクリメントされるとともに、前記防御対象端末の登録テーブルの前記有効時間が所定の閾値を下回りかつ継続して前記パケット転送装置からのパケット転送を要求する場合、前記防御対象端末によって、前記パケット転送装置に新たな有効時間を含む新たな登録要求メッセージが送信されるとともに、前記防御対象端末の登録テーブルにおいて記憶された有効時間が新たな有効時間に更新されるステップと、
前記パケット転送装置によって、前記パケット転送装置の前記登録テーブルが読み出されて前記有効時間がデクリメントされるとともに、前記有効時間が０になると、前記パケット転送装置の前記登録テーブルから前記有効時間が０になったレコードが削除されるステップと、
前記パケット転送装置によって、前記防御対象端末から前記新たな登録要求メッセージが受信されると、前記新たな登録要求メッセージに含まれる前記防御対象端末のＩＰアドレス及びＭＡＣアドレスに関連づけられたレコードが読み出されるとともに、前記レコードの有効時間が前記新たな登録要求メッセージに含まれた新たな有効時間に更新されるステップ
を更に備えることを特徴とする請求項４に記載の情報通信方法。
【請求項６】
通信相手端末から防御対象端末宛のパケットを代理して受信するとともに前記防御対象端末に転送し、前記防御対象端末と同じセグメントに位置するパケット転送装置において、
前記通信相手端末から前記防御対象端末のＩＰアドレスを含むＡＲＰ要求メッセージを受信し、前記防御対象端末のＩＰアドレスを含むＡＲＰ要求メッセージに応答して前記通信相手端末に、前記パケット転送装置のＭＡＣアドレスを含む代理ＡＲＰメッセージを送信するＡＲＰ処理部と、
前記通信相手端末から前記防御対象端末のＩＰアドレス宛の通信データを受信するＩＰ入力部と、
前記防御対象端末のＩＰアドレス宛の通信データを前記防御対象端末に転送するか否かを判定するパケットフィルタリング処理部と、
前記防御対象端末に転送すると判定された場合、前記防御対象端末のＩＰアドレス宛の通信データを前記防御対象端末に転送するＩＰ出力部
とを備えることを特徴とするパケット転送装置。
【請求項７】
前記ＩＰ入力部は、更に、前記防御対象端末から前記通信相手端末のＩＰアドレス宛の通信データを受信し、
前記パケットフィルタリング処理部は、更に、前記通信相手端末のＩＰアドレス宛の通信データを前記通信相手端末に転送するか否かを判定し、
前記ＡＲＰ処理部は、更に、前記通信相手端末に転送すると判定された場合、前記通信相手端末のＩＰアドレスを含むＡＲＰ要求メッセージを送信し、前記通信相手端末から前記通信相手端末のＭＡＣアドレスを含むＡＲＰ応答メッセージを受信し、
前記ＩＰ出力部は、更に、前記通信相手端末のＩＰアドレス宛の通信データを前記通信相手端末に転送する
とを更に備えることを特徴とする請求項６に記載のパケット転送装置。
【請求項８】
前記防御対象端末からパケット転送要請メッセージを受信すると、前記パケット転送装置のＩＰアドレス及びＭＡＣアドレスを含むパケット転送広告メッセージを送信するパケット転送広告処理部と、
前記防御対象端末から前記パケット転送装置にパケットの転送を依頼する登録要求メッセージを受信すると、前記登録要求メッセージに応答して前記防御対象端末に登録応答メッセージを送信するとともに、前記パケット転送装置の防御対象となる端末が登録された登録テーブルに前記防御対象端末のＩＰアドレス及びＭＡＣアドレスが関連づけられたレコードを記憶する登録処理部
とを更に備えることを特徴とする請求項６又は７に記載のパケット転送装置。
【請求項９】
前記登録要求メッセージに、前記パケット転送装置にパケットの転送を依頼する有効時間が含まれており、前記レコードには更に前記有効時間が関連づけられており、
前記登録テーブルを読み出して前記有効時間をデクリメントするとともに、前記有効時間が０になると、前記登録テーブルから前記有効時間が０になったレコードを削除する登録テーブル監視部を更に備え、
前記登録処理部は、前記防御対象端末から新たな有効時間を含む新たな登録要求メッセージが受信されると、登録テーブルから前記新たな登録要求メッセージに含まれる前記防御対象端末のＩＰアドレス及びＭＡＣアドレスに関連づけられたレコードを読み出すとともに、前記レコードの有効時間を前記新たな登録要求メッセージに含まれた新たな有効時間に更新する
ことを特徴とする請求項８に記載のパケット転送装置。
【請求項１０】
通信相手端末から防御対象端末宛のパケットを代理して受信するとともに前記防御対象端末に転送し、前記防御対象端末と同じセグメントに位置するパケット転送装置に用いられるパケット転送プログラムにおいて、
前記通信相手端末から前記防御対象端末のＩＰアドレスを含むＡＲＰ要求メッセージを受信し、前記防御対象端末のＩＰアドレスを含むＡＲＰ要求メッセージに応答して前記通信相手端末に、前記パケット転送装置のＭＡＣアドレスを含む代理ＡＲＰメッセージを送信するステップと、
前記通信相手端末から前記防御対象端末のＩＰアドレス宛の通信データを受信するステップと、
前記防御対象端末のＩＰアドレス宛の通信データを前記防御対象端末に転送するか否かを判定するステップと、
前記防御対象端末に転送すると判定された場合、前記防御対象端末のＩＰアドレス宛の通信データを前記防御対象端末に転送するステップ
とをコンピュータに実行させることを特徴とするパケット転送プログラム。
【請求項１１】
通信相手端末から防御対象端末宛のパケットを代理して受信するとともに前記防御対象端末に転送し、前記防御対象端末と同じセグメントに位置するパケット転送装置に用いられるパケット転送方法において、
前記通信相手端末から前記防御対象端末のＩＰアドレスを含むＡＲＰ要求メッセージを受信し、前記防御対象端末のＩＰアドレスを含むＡＲＰ要求メッセージに応答して前記通信相手端末に、前記パケット転送装置のＭＡＣアドレスを含む代理ＡＲＰメッセージを送信するステップと、
前記通信相手端末から前記防御対象端末のＩＰアドレス宛の通信データを受信するステップと、
前記防御対象端末のＩＰアドレス宛の通信データを前記防御対象端末に転送するか否かを判定するステップと、
前記防御対象端末に転送すると判定された場合、前記防御対象端末のＩＰアドレス宛の通信データを前記防御対象端末に転送するステップ
とを備えることを特徴とするパケット転送方法。
【請求項１２】
通信相手端末からパケット転送装置を介してパケットを受信し、前記パケット転送装置を介して前記通信相手端末にパケットを送信する防御対象端末において、
ブロードキャスト又はマルチキャストのＩＰアドレス宛に、前記防御対象端末のＩＰアドレス及びＭＡＣアドレスを含むパケット転送要請メッセージを送信するパケット転送要請処理部と、
前記パケット転送要請メッセージに応答して前記パケット転送装置から前記パケット転送装置のＩＰアドレス及びＭＡＣアドレスを含むパケット転送広告メッセージを受信すると、前記パケット転送装置にパケットの転送を依頼する登録要求メッセージを送信する登録処理部
とを備えることを特徴とする防御対象端末。
【請求項１３】
前記登録要求メッセージに、前記パケット転送装置にパケットの転送を依頼する有効時間が含まれており、
前記登録処理部は、更に、前記パケット転送装置のＩＰアドレス及びＭＡＣアドレスと前記有効時間を登録テーブルに関連づけて記憶し、
前記登録テーブルを読み出して前記有効時間をデクリメントするとともに、前記有効時間が所定の閾値を下回りかつ継続して前記パケット転送装置からのパケット転送を要求する場合、前記パケット転送装置に新たな有効時間を含む新たな登録要求メッセージを送信するとともに、前記登録テーブルの有効時間を新たな有効時間に更新する登録テーブル監視部
とを備えることを特徴とする請求項１２に記載の防御対象端末。
【請求項１４】
通信相手端末からパケット転送装置を介してパケットを受信し、前記パケット転送装置を介して前記通信相手端末にパケットを送信する防御対象端末において用いられる防御対象プログラムにおいて、
ブロードキャスト又はマルチキャストのＩＰアドレス宛に、前記防御対象端末のＩＰアドレス及びＭＡＣアドレスを含むパケット転送要請メッセージを送信するステップと、
前記パケット転送要請メッセージに応答して前記パケット転送装置から前記パケット転送装置のＩＰアドレス及びＭＡＣアドレスを含むパケット転送広告メッセージを受信すると、前記パケット転送装置にパケットの転送を依頼するステップ
とをコンピュータに実行させることを特徴とする防御対象プログラム。
【請求項１５】
通信相手端末からパケット転送装置を介してパケットを受信し、前記パケット転送装置を介して前記通信相手端末にパケットを送信する防御対象端末において用いられる防御対象方法において、
ブロードキャスト又はマルチキャストのＩＰアドレス宛に、前記防御対象端末のＩＰアドレス及びＭＡＣアドレスを含むパケット転送要請メッセージを送信するステップと、
前記パケット転送要請メッセージに応答して前記パケット転送装置から前記パケット転送装置のＩＰアドレス及びＭＡＣアドレスを含むパケット転送広告メッセージを受信すると、前記パケット転送装置にパケットの転送を依頼するステップ
とを備えることを特徴とする防御対象方法。
【請求項１６】
モバイルＩＰに基づいて通信する防御対象端末と、通信相手端末から前記防御対象端末宛のパケットを代理して受信し前記防御対象端末に転送し、前記防御対象端末のホームエージェントとして機能するパケット転送装置を備えた情報通信システムにおいて用いられる情報通信方法において、
前記防御対象端末によって、ブロードキャスト又はマルチキャストのＩＰアドレス宛に、前記防御対象端末のＩＰアドレス及びＭＡＣアドレスを含むエージェント要請メッセージが送信されるステップと、
前記パケット転送装置によって、前記エージェント要請メッセージが受信されると、前記防御対象端末に前記パケット転送装置のＩＰアドレス、ＭＡＣアドレスを含むエージェント広告メッセージが送信されるステップと、
前記防御対象端末によって、前記エージェント広告メッセージが受信されると、前記パケット転送装置にパケットの転送を依頼する有効時間を含む移動登録要求メッセージが送信されるステップと、
前記移動登録要求メッセージに応答して、前記パケット転送装置によって、前記パケット転送装置の防御対象となる端末が登録された登録テーブルに前記防御対象端末のＩＰアドレス及びＭＡＣアドレスが関連づけられたレコードが記憶されるとともに、前記レコードの登録結果を含む移動登録応答メッセージが前記防御対象端末に送信されるステップと、
前記パケット転送装置によって、前記通信相手端末から前記防御対象端末のＩＰアドレスを含むＡＲＰ要求メッセージが受信されるステップと、
前記防御対象端末のＩＰアドレスを含むＡＲＰ要求メッセージに応答して、前記パケット転送装置によって、前記通信相手端末に前記パケット転送装置のＭＡＣアドレスを含む代理ＡＲＰメッセージが送信されるステップと、
前記パケット転送装置によって、前記通信相手端末から前記防御対象端末のＩＰアドレス宛の通信データが受信されるステップと、
前記防御対象端末がホームネットワークに位置しない場合、前記パケット転送装置によって、モバイルＩＰに従って前記防御対象端末のＩＰアドレス宛の通信データが前記防御対象端末に転送されるステップと、
前記防御対象端末がホームネットワークに位置しかつ前記パケット転送装置の前記登録テーブルに前記防御対象端末のＩＰアドレス及びＭＡＣアドレス及び１以上の有効時間が登録されている場合、前記パケット転送装置によって、前記防御対象端末のＩＰアドレス宛の通信データが前記防御対象端末に転送されるステップと、
前記防御対象端末によって、前記防御対象端末宛の通信データが受信されるステップ
とを備えることを特徴とする情報通信方法。
【請求項１７】
モバイルＩＰに基づいて通信する防御対象端末と、通信相手端末から前記防御対象端末宛のパケットを代理して受信し前記防御対象端末に転送し、前記防御対象端末のホームエージェントとして機能するパケット転送装置を備えた情報通信システムにおいて用いられるパケット転送装置において、
前記防御対象端末から、ブロードキャスト又はマルチキャストのＩＰアドレス宛に、前記防御対象端末のＩＰアドレス及びＭＡＣアドレスを含むエージェント要請メッセージを受信し、
前記防御対象端末に前記パケット転送装置のＩＰアドレス、ＭＡＣアドレスを含むエージェント広告メッセージを送信し、
前記防御対象端末から、前記パケット転送装置にパケットの転送を依頼する有効時間を含む移動登録要求メッセージを受信するとともに、前記パケット転送装置の防御対象となる端末が登録された登録テーブルに前記防御対象端末のＩＰアドレス及びＭＡＣアドレスが関連づけられたレコードを記憶するとともに、前記レコードの登録結果を含む移動登録応答メッセージを前記防御対象端末に送信し、
前記通信相手端末から前記防御対象端末のＩＰアドレスを含むＡＲＰ要求メッセージを受信するとともに、前記通信相手端末に前記パケット転送装置のＭＡＣアドレスを含む代理ＡＲＰメッセージを送信し、
前記通信相手端末から、前記防御対象端末のＩＰアドレス宛の通信データを受信し、
前記防御対象端末がホームネットワークに位置しない場合、モバイルＩＰに従って前記防御対象端末のＩＰアドレス宛の通信データを前記防御対象端末に転送し、
前記防御対象端末がホームネットワークに位置しかつ前記登録テーブルに前記防御対象端末のＩＰアドレス及びＭＡＣアドレス及び１以上の有効時間が登録されている場合、前記防御対象端末のＩＰアドレス宛の通信データを前記防御対象端末に転送する
ことを備えることを特徴とするパケット転送装置。
【請求項１８】
モバイルＩＰに基づいて通信する防御対象端末と、通信相手端末から前記防御対象端末宛のパケットを代理して受信し前記防御対象端末に転送し、前記防御対象端末のホームエージェントとして機能するパケット転送装置を備えた情報通信システムにおいて用いられる防御対象端末において、
ブロードキャスト又はマルチキャストのＩＰアドレス宛に、前記防御対象端末のＩＰアドレス及びＭＡＣアドレスを含むエージェント要請メッセージを送信し、
前記パケット転送装置から、前記パケット転送装置のＩＰアドレス、ＭＡＣアドレスを含むエージェント広告メッセージを受信し、
ホームネットワークに位置している場合、前記有効時間を１以上に設定して移動登録要求メッセージを前記パケット転送装置に送信し、前記パケット転送装置のＩＰアドレス及びＭＡＣアドレスと前記有効時間を登録テーブルに関連づけて記憶し、前記登録テーブルを読み出して前記有効時間をデクリメントするとともに、前記有効時間が所定の閾値を下回りかつ継続して前記パケット転送装置からのパケット転送を要求する場合、前記パケット転送装置に新たな有効時間を含む新たな登録要求メッセージを送信するとともに、前記登録テーブルの有効時間を新たな有効時間に更新し、
前記パケット転送装置から、前記パケット転送装置の防御対象となる端末が登録された登録テーブルへの登録結果を含む移動登録応答メッセージを受信し、
前記ホームネットワーク以外に位置している場合、前記有効時間を０に設定して移動登録要求メッセージを送信し、モバイルＩＰに従って、パケット転送装置からパケットを受信する
ことを特徴とする防御対象端末。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、防御対象と防御対象端末宛のパケットを代理して受信し防御対象端末に転送するパケット転送装置を備えた情報通信システム、情報通信システムで使用される情報通信方法、情報通信システムにおけるパケット転送装置、パケット転送プログラム、パケット転送方法、防御対象端末、防御対象プログラム及び防御対象方法に関する。
【背景技術】
【０００２】
近年のコンピュータネットワークの発達に伴い、コンピュータワーム、ウィルス、ハッキングなどの不正アクセスも増加し、コンピュータネットワークを介して機密情報が流出したりサービス不能攻撃を受けたりする場合がある。しかし、ネットワークの利便性を享受しながら安全性も確保するためには、適切なセキュリティ対策が不可欠である。特に企業や団体などの組織においては、この様に不正アクセスに対して、ファイアウォールを設けたりウィルス対策ソフトウェアをインストールすることにより不正アクセスを防御する対策が求められている。
【０００３】
例えば、最適なアクセスコントロールを保持し、ファイアウォールのセキュリティレベルを維持するファイアウォールのセキュリティ管理方法がある（特許文献１）。特許文献１に記載の方法においては、不正アクセスに関わるパケットがネットワークに進入することを防ぐため、ルータ、ブリッジなどのネットワークを物理的に分離するパケット転送装置上において、送信データのアドレス制限及びポート番号の制限などのセキュリティ設定を行う。
【０００４】
又、アドレス制限及びポート番号の制限などのパケットを転送するか否かの判断を行うための設定を利用者が行うことなく、不正アクセスに関わるパケットを通過させないパケット転送装置がある（特許文献２）。この特許文献２に記載の方法においては、パケット識別子付加機構からパケットを渡されたパケット送出機構は、当該パケットを予め設定された情報に基づいて送出し、当該パケットが不正アクセスに関わるか否かを判定する。具体的には特許文献２に記載の方法においては、図５２に示すような情報通信システムにおいて、用いられる。図５２に示すように防御対象端末９０２ａ及び防御対象端末９０２ｂは、パケット転送装置９０１を介して通信ネットワーク９０４と接続されている。パケット転送装置９０１は、通信ネットワーク９０４から受信したパケットを検査し、不正アクセスに係るパケットは転送せず、問題のないパケットのみを防御対象端末９０２ａ及び９０２ｂに転送することにより、防御対象端末９０２ａ及び９０２ｂを防御している。
【０００５】
一方、インタネットアドレスを節約でき、しかも有効利用できるパケット交換方法及びこれに用いるマルチポートルータを提供するパケット交換方法がある（特許文献３）。この特許文献３においては、同一のインタネットアドレスが割り当てられ、同一のサブネットに収容されたルータの複数の物理ポートにそれぞれ接続されたホストから他のホスト宛に該他のホストのインタネットアドレスを含むアドレス解決要求パケットを送ると、ルータの代理ＡＲＰ応答手段が他のホストの代わりに自身のＭＡＣアドレスをホストに返送し、これを受信したホストが他のホストのインタネットアドレスとともにこのルータのＭＡＣアドレスを含む他のホスト宛のパケットを送ると、ルータのパケット転送手段がこれを他のホストに転送する。
【特許文献１】特開２００３−２６３３７６号公報
【特許文献２】特開２００２−６３０８４号公報
【特許文献３】特開平１１−１６８５０３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかし、上述した特許文献１及び２に記載の方法においては、外部のネットワークとパケットの転送先のネットワークを物理的に分離しているため、例えば図５３に示すように、防御対象端末９０２ａがパケット転送装置９０１を越えて通信ネットワーク９０４側に移動した場合、パケット転送装置９０１は、防御対象端末９０２ａを防御することはできない。又、上述した特許文献１及び２に記載の方法においては、通信データがパケット転送装置９０１上を通過しない限り防御対象端末９０２ｂを防御できないため、悪意のある利用者が不正侵入端末９０５として、通信ネットワーク９０４からパケット転送装置９０１を介して物理的に侵入して不正アクセスを試みた場合、パケット転送装置９０１は、防御対象端末９０２ｂを保護することはできない。又、不正侵入端末９０５と同一セグメントに位置し不正侵入端末９０５からの攻撃を受けた感染端末９０６によって、防御対象端末９０２ｂに新たな攻撃が加えられる問題がある。
【０００７】
一方、上述した特許文献３に記載の方法は、ＩＰアドレスの消費を押さえることを目的としており、本発明の様に通信ネットワーク９０４からの不正アクセスを防止するものではない。又、特許文献３に記載の方法においては、マルチポートルータによってネットワークが分離されてしまい、図５３と同様の問題が発生してしまう。
【０００８】
従って本発明の目的は、防御対象端末の位置するセグメントに依存することなく防御対象端末宛のパケットを代理して受信し防御対象端末に転送するパケット転送装置及び防御対象端末を備えた情報通信システム、情報通信システムで使用される情報通信方法、情報通信システムにおけるパケット転送装置、パケット転送プログラム、パケット転送方法、防御対象端末、防御対象プログラム及び防御対象方法を提供することである。
【課題を解決するための手段】
【０００９】
上記課題を解決するために、本発明の第１の特徴は、防御対象端末と、通信相手端末から防御対象端末宛のパケットを代理して受信し防御対象端末に転送するパケット転送装置を備えた情報通信システムに関する。即ち、本発明の第１の特徴に係る情報通信システムは、通信相手端末から防御対象端末のＩＰアドレスを含むＡＲＰ要求メッセージを受信し、防御対象端末のＩＰアドレスを含むＡＲＰ要求メッセージを受信すると通信相手端末に、パケット転送装置のＭＡＣアドレスを含む代理ＡＲＰメッセージを送信し、通信相手端末から防御対象端末のＩＰアドレス宛の通信データを受信し、防御対象端末のＩＰアドレス宛の通信データを防御対象端末に転送するか否かを判定し、防御対象端末に転送すると判定された場合、防御対象端末のＩＰアドレス宛の通信データを防御対象端末に転送するパケット転送装置と、パケット転送装置から防御対象端末のＩＰアドレス宛の通信データを受信する防御対象端末とを備える。
【００１０】
このような本発明の第１の特徴に係る情報通信システムにおいては、防御対象端末の位置にかかわらず、防御対象端末宛のパケットをパケット転送装置が受信し、防御対象端末に転送することができる。従って、パケット転送装置によって保護される防御対象端末の接続位置をフレキシブルに決定することができる。
【００１１】
本発明の第２の特徴は、防御対象端末と、通信相手端末から防御対象端末宛のパケットを代理して受信し防御対象端末に転送し、防御対象端末と同じセグメントに位置するパケット転送装置を備えた情報通信システムにおいて用いられる情報通信方法に関する。即ち、本発明の第2の特徴に係る情報通信方法においては、パケット転送装置によって、通信相手端末から防御対象端末のＩＰアドレスを含むＡＲＰ要求メッセージが受信されるステップと、防御対象端末のＩＰアドレスを含むＡＲＰ要求メッセージに応答して、パケット転送装置によって、通信相手端末にパケット転送装置のＭＡＣアドレスを含む代理ＡＲＰメッセージが送信されるステップと、パケット転送装置によって、通信相手端末から防御対象端末のＩＰアドレス宛の通信データが受信されるステップと、パケット転送装置によって、防御対象端末のＩＰアドレス宛の通信データを防御対象端末に転送するか否かが判定されるステップと、防御対象端末に転送すると判定された場合、パケット転送装置によって、防御対象端末のＩＰアドレス宛の通信データが防御対象端末のＭＡＣアドレス宛に転送されるステップと、防御対象端末によって、防御対象端末のＩＰアドレス及びＭＡＣアドレス宛の通信データが受信されるステップとを備える。
【００１２】
このような本発明の第２の特徴に係る情報通信方法においては、防御対象端末の位置にかかわらず、防御対象端末宛のパケットをパケット転送装置が受信し、防御対象端末に転送することができる。従って、パケット転送装置によって保護される防御対象端末の接続位置をフレキシブルに決定することができる。
【００１３】
ここで、防御対象端末によって、通信相手端末のＩＰアドレス宛の通信データがパケット転送装置のＭＡＣアドレスに送信されるステップと、パケット転送装置によって、防御対象端末から通信相手端末のＩＰアドレス宛の通信データが受信されるステップと、パケット転送装置によって、通信相手端末のＩＰアドレス宛の通信データを通信相手端末に転送するか否かが判定されるステップと、通信相手端末に転送すると判定された場合、パケット転送装置によって、通信相手端末のＩＰアドレスを含むＡＲＰ要求メッセージが送信されるステップと、通信相手端末のＩＰアドレスを含むＡＲＰ要求メッセージに応答して、パケット転送装置によって、通信相手端末から通信相手端末のＭＡＣアドレスを含むＡＲＰ応答メッセージが受信されるステップと、パケット転送装置によって、通信相手端末のＩＰアドレス宛の通信データが通信相手端末のＭＡＣアドレス宛に転送されるステップとを備えることが好ましい。
【００１４】
これによれば、防御対象端末から通信相手端末に通信データを送信する場合も、パケット転送装置に通信データを送信させることができる。
【００１５】
更に、防御対象端末によって、ブロードキャスト又はマルチキャストのＩＰアドレス宛に、防御対象端末のＩＰアドレス及びＭＡＣアドレスを含むパケット転送要請メッセージが送信されるステップと、パケット転送装置によって、パケット転送要請メッセージが受信されると、防御対象端末にパケット転送装置のＩＰアドレス及びＭＡＣアドレスを含むパケット転送広告メッセージが送信されるステップと、防御対象端末によって、パケット転送広告メッセージが受信されると、パケット転送装置にパケットの転送を依頼する登録要求メッセージが送信されるステップと、登録要求メッセージに応答して、パケット転送装置によって、防御対象端末に登録応答メッセージが送信されるとともに、パケット転送装置の防御対象となる端末が登録された登録テーブルに防御対象端末のＩＰアドレス及びＭＡＣアドレスが関連づけられたレコードが記憶されるステップとを備えることが好ましい。このとき、転送するか否かが判定されるステップは、パケット転送装置の登録テーブルに防御対象端末のＩＰアドレス及びＭＡＣアドレスが登録されている場合に、通信相手端末のＩＰアドレス宛の通信データを転送すると判定される。
【００１６】
これによれば、防御対象端末は、登録要求メッセージを送信することにより、パケットの転送を希望する時間だけ、パケットの転送を要求することができる。一方、パケット転送装置は、登録要求メッセージに基づいて登録テーブルに登録するので、パケット転送装置は、パケット転送装置の防御対象となる防御対象端末を把握することができる。
【００１７】
更に、登録要求メッセージに、パケット転送装置にパケットの転送を依頼する有効時間が含まれ、レコードには更に有効時間が関連づけられており、登録要求メッセージが送信されるステップは、更に、防御対象端末によって、パケット転送装置のＩＰアドレス及びＭＡＣアドレスと有効時間が防御対象端末に備えられた登録テーブルに関連づけられて記憶され、防御対象端末によって、防御対象端末の登録テーブルが読み出されて有効時間がデクリメントされるとともに、防御対象端末の登録テーブルの有効時間が所定の閾値を下回りかつ継続してパケット転送装置からのパケット転送を要求する場合、防御対象端末によって、パケット転送装置に新たな有効時間を含む新たな登録要求メッセージが送信されるとともに、防御対象端末の登録テーブルにおいて記憶された有効時間が新たな有効時間に更新されるステップと、パケット転送装置によって、パケット転送装置の登録テーブルが読み出されて有効時間がデクリメントされるとともに、有効時間が０になると、パケット転送装置の登録テーブルから有効時間が０になったレコードが削除されるステップと、パケット転送装置によって、防御対象端末から新たな登録要求メッセージが受信されると、新たな登録要求メッセージに含まれる防御対象端末のＩＰアドレス及びＭＡＣアドレスに関連づけられたレコードが読み出されるとともに、レコードの有効時間が新たな登録要求メッセージに含まれた新たな有効時間に更新されるステップを更に備えることが好ましい。
【００１８】
これによれば、登録要求メッセージには、パケット転送装置によるパケット転送を希望する有効時間が含まれており、防御対象端末によって、この有効時間は断続的にデクリメントされ、有効時間が０になる以前に、新たな登録要求メッセージを送信し、パケット転送を継続させることができる。これにより、例えば、防御対象端末がトラブル等でシャットダウンした場合など、パケット転送装置は、無駄にパケットを転送することがなくなる。
【００１９】
本発明の第3の特徴は、通信相手端末から防御対象端末宛のパケットを代理して受信するとともに防御対象端末に転送し、防御対象端末と同じセグメントに位置するパケット転送装置に関する。即ち、本発明の第3の特徴に係るパケット転送装置は、通信相手端末から防御対象端末のＩＰアドレスを含むＡＲＰ要求メッセージを受信し、防御対象端末のＩＰアドレスを含むＡＲＰ要求メッセージに応答して通信相手端末に、パケット転送装置のＭＡＣアドレスを含む代理ＡＲＰメッセージを送信するＡＲＰ処理部と、通信相手端末から防御対象端末のＩＰアドレス宛の通信データを受信するＩＰ入力部と、防御対象端末のＩＰアドレス宛の通信データを防御対象端末に転送するか否かを判定するパケットフィルタリング処理部と、防御対象端末に転送すると判定された場合、防御対象端末のＩＰアドレス宛の通信データを防御対象端末に転送するＩＰ出力部とを備える。
【００２０】
ここで、ＩＰ入力部は、更に、防御対象端末から通信相手端末のＩＰアドレス宛の通信データを受信し、パケットフィルタリング処理部は、更に、通信相手端末のＩＰアドレス宛の通信データを通信相手端末に転送するか否かを判定し、
ＡＲＰ処理部は、更に、通信相手端末に転送すると判定された場合、通信相手端末のＩＰアドレスを含むＡＲＰ要求メッセージを送信し、通信相手端末から通信相手端末のＭＡＣアドレスを含むＡＲＰ応答メッセージを受信し、ＩＰ出力部は、更に、通信相手端末のＩＰアドレス宛の通信データを通信相手端末に転送することが好ましい。
【００２１】
ここで、防御対象端末からパケット転送要請メッセージを受信すると、パケット転送装置のＩＰアドレス及びＭＡＣアドレスを含むパケット転送広告メッセージを送信するパケット転送広告処理部と、防御対象端末からパケット転送装置にパケットの転送を依頼する登録要求メッセージを受信すると、登録要求メッセージに応答して防御対象端末に登録応答メッセージを送信するとともに、パケット転送装置の防御対象となる端末が登録された登録テーブルに防御対象端末のＩＰアドレス及びＭＡＣアドレスが関連づけられたレコードを記憶する登録処理部とを備えることが好ましい。
【００２２】
更に、登録要求メッセージに、パケット転送装置にパケットの転送を依頼する有効時間が含まれており、レコードには更に有効時間が関連づけられており、登録テーブルを読み出して有効時間をデクリメントするとともに、有効時間が０になると、登録テーブルから有効時間が０になったレコードを削除する登録テーブル監視部を更に備え、登録処理部は、防御対象端末から新たな有効時間を含む新たな登録要求メッセージが受信されると、登録テーブルから新たな登録要求メッセージに含まれる防御対象端末のＩＰアドレス及びＭＡＣアドレスに関連づけられたレコードを読み出すとともに、レコードの有効時間を新たな登録要求メッセージに含まれた新たな有効時間に更新することが好ましい。
【００２３】
本発明の第4の特徴は、通信相手端末から防御対象端末宛のパケットを代理して受信するとともに防御対象端末に転送し、防御対象端末と同じセグメントに位置するパケット転送装置に用いられるパケット転送プログラムに関する。即ち、本発明の第4の特徴に係るパケット転送プログラムは、通信相手端末から防御対象端末のＩＰアドレスを含むＡＲＰ要求メッセージを受信し、防御対象端末のＩＰアドレスを含むＡＲＰ要求メッセージに応答して通信相手端末に、パケット転送装置のＭＡＣアドレスを含む代理ＡＲＰメッセージを送信するステップと、通信相手端末から防御対象端末のＩＰアドレス宛の通信データを受信するステップと、防御対象端末のＩＰアドレス宛の通信データを防御対象端末に転送するか否かを判定するステップと、防御対象端末に転送すると判定された場合、防御対象端末のＩＰアドレス宛の通信データを防御対象端末に転送するステップとをコンピュータに実行させる。
【００２４】
本発明の第5の特徴は、通信相手端末から防御対象端末宛のパケットを代理して受信するとともに防御対象端末に転送し、防御対象端末と同じセグメントに位置するパケット転送装置に用いられるパケット転送方法に関する。即ち、本発明の第5の特徴に係るパケット転送方法は、通信相手端末から防御対象端末のＩＰアドレスを含むＡＲＰ要求メッセージを受信し、防御対象端末のＩＰアドレスを含むＡＲＰ要求メッセージに応答して通信相手端末に、パケット転送装置のＭＡＣアドレスを含む代理ＡＲＰメッセージを送信するステップと、通信相手端末から防御対象端末のＩＰアドレス宛の通信データを受信するステップと、防御対象端末のＩＰアドレス宛の通信データを防御対象端末に転送するか否かを判定するステップと、防御対象端末に転送すると判定された場合、防御対象端末のＩＰアドレス宛の通信データを防御対象端末に転送するステップとを備える。
【００２５】
本発明の第6の特徴は、通信相手端末からパケット転送装置を介してパケットを受信し、パケット転送装置を介して通信相手端末にパケットを送信する防御対象端末に関する。即ち、本発明の第6の特徴に係る防御対象端末は、ブロードキャスト又はマルチキャストのＩＰアドレス宛に、防御対象端末のＩＰアドレス及びＭＡＣアドレスを含むパケット転送要請メッセージを送信するパケット転送要請処理部と、パケット転送要請メッセージに応答してパケット転送装置からパケット転送装置のＩＰアドレス及びＭＡＣアドレスを含むパケット転送広告メッセージを受信すると、パケット転送装置にパケットの転送を依頼する登録要求メッセージを送信する登録処理部とを備える。
【００２６】
ここで、登録要求メッセージに、パケット転送装置にパケットの転送を依頼する有効時間が含まれており、登録処理部は、更に、パケット転送装置のＩＰアドレス及びＭＡＣアドレスと有効時間を登録テーブルに関連づけて記憶し、登録テーブルを読み出して有効時間をデクリメントするとともに、有効時間が所定の閾値を下回りかつ継続してパケット転送装置からのパケット転送を要求する場合、パケット転送装置に新たな有効時間を含む新たな登録要求メッセージを送信するとともに、登録テーブルの有効時間を新たな有効時間に更新する登録テーブル監視部を備えることが好ましい。
【００２７】
本発明の第７の特徴は、通信相手端末からパケット転送装置を介してパケットを受信し、パケット転送装置を介して通信相手端末にパケットを送信する防御対象端末において用いられる防御対象プログラムに関する。即ち、本発明の第７の特徴に係る防御対象プログラムは、ブロードキャスト又はマルチキャストのＩＰアドレス宛に、防御対象端末のＩＰアドレス及びＭＡＣアドレスを含むパケット転送要請メッセージを送信するステップと、パケット転送要請メッセージに応答してパケット転送装置からパケット転送装置のＩＰアドレス及びＭＡＣアドレスを含むパケット転送広告メッセージを受信すると、パケット転送装置にパケットの転送を依頼するステップとをコンピュータに実行させる。
【００２８】
本発明の第8の特徴は、通信相手端末からパケット転送装置を介してパケットを受信し、パケット転送装置を介して通信相手端末にパケットを送信する防御対象端末において用いられる防御対象方法に関する。即ち、本発明の第8の特徴に係る防御対象方法は、ブロードキャスト又はマルチキャストのＩＰアドレス宛に、防御対象端末のＩＰアドレス及びＭＡＣアドレスを含むパケット転送要請メッセージを送信するステップと、パケット転送要請メッセージに応答してパケット転送装置からパケット転送装置のＩＰアドレス及びＭＡＣアドレスを含むパケット転送広告メッセージを受信すると、パケット転送装置にパケットの転送を依頼するステップとを備える。
【００２９】
本発明の第9の特徴は、モバイルＩＰに基づいて通信する防御対象端末と、通信相手端末から防御対象端末宛のパケットを代理して受信し防御対象端末に転送し、防御対象端末のホームエージェントとして機能するパケット転送装置を備えた情報通信システムにおいて用いられる情報通信方法に関する。即ち、本発明の第9の特徴に係る情報通信方法は、防御対象端末によって、ブロードキャスト又はマルチキャストのＩＰアドレス宛に、防御対象端末のＩＰアドレス及びＭＡＣアドレスを含むエージェント要請メッセージが送信されるステップと、パケット転送装置によって、エージェント要請メッセージが受信されると、防御対象端末にパケット転送装置のＩＰアドレス、ＭＡＣアドレスを含むエージェント広告メッセージが送信されるステップと、防御対象端末によって、エージェント広告メッセージが受信されると、パケット転送装置にパケットの転送を依頼する有効時間を含む移動登録要求メッセージが送信されるステップと、移動登録要求メッセージに応答して、パケット転送装置によって、パケット転送装置の防御対象となる端末が登録された登録テーブルに防御対象端末のＩＰアドレス及びＭＡＣアドレスが関連づけられたレコードが記憶されるとともに、レコードの登録結果を含む移動登録応答メッセージが防御対象端末に送信されるステップと、パケット転送装置によって、通信相手端末から防御対象端末のＩＰアドレスを含むＡＲＰ要求メッセージが受信されるステップと、防御対象端末のＩＰアドレスを含むＡＲＰ要求メッセージに応答して、パケット転送装置によって、通信相手端末にパケット転送装置のＭＡＣアドレスを含む代理ＡＲＰメッセージが送信されるステップと、パケット転送装置によって、通信相手端末から防御対象端末のＩＰアドレス宛の通信データが受信されるステップと、防御対象端末がホームネットワークに位置しない場合、パケット転送装置によって、モバイルＩＰに従って防御対象端末のＩＰアドレス宛の通信データが防御対象端末に転送されるステップと、防御対象端末がホームネットワークに位置しかつパケット転送装置の登録テーブルに防御対象端末のＩＰアドレス及びＭＡＣアドレス及び１以上の有効時間が登録されている場合、パケット転送装置によって、防御対象端末のＩＰアドレス宛の通信データが防御対象端末に転送されるステップと、防御対象端末によって、防御対象端末宛の通信データが受信されるステップとを備える。
【００３０】
このような本発明の第9の特徴に係る情報通信方法によれば、防御対象端末とパケット転送装置とが同一のセグメントに位置している場合はもちろん、防御対象端末がルータを越えて移動した場合でも、パケット転送装置は、防御対象端末宛の通信データを防御対象端末に転送することができる。
【００３１】
本発明の第１０の特徴は、モバイルＩＰに基づいて通信する防御対象端末と、通信相手端末から防御対象端末宛のパケットを代理して受信し防御対象端末に転送し、防御対象端末のホームエージェントとして機能するパケット転送装置を備えた情報通信システムにおいて用いられるパケット転送装置に関する。即ち、本発明の第１０の特徴に係るパケット転送装置は、防御対象端末から、ブロードキャスト又はマルチキャストのＩＰアドレス宛に、防御対象端末のＩＰアドレス及びＭＡＣアドレスを含むエージェント要請メッセージを受信し、防御対象端末にパケット転送装置のＩＰアドレス、ＭＡＣアドレスを含むエージェント広告メッセージを送信し、防御対象端末から、パケット転送装置にパケットの転送を依頼する有効時間を含む移動登録要求メッセージを受信するとともに、パケット転送装置の防御対象となる端末が登録された登録テーブルに防御対象端末のＩＰアドレス及びＭＡＣアドレスが関連づけられたレコードを記憶するとともに、レコードの登録結果を含む移動登録応答メッセージを防御対象端末に送信し、通信相手端末から防御対象端末のＩＰアドレスを含むＡＲＰ要求メッセージを受信するとともに、通信相手端末にパケット転送装置のＭＡＣアドレスを含む代理ＡＲＰメッセージを送信し、通信相手端末から、防御対象端末のＩＰアドレス宛の通信データを受信し、防御対象端末がホームネットワークに位置しない場合、モバイルＩＰに従って防御対象端末のＩＰアドレス宛の通信データを防御対象端末に転送し、防御対象端末がホームネットワークに位置しかつ登録テーブルに防御対象端末のＩＰアドレス及びＭＡＣアドレス及び１以上の有効時間が登録されている場合、防御対象端末のＩＰアドレス宛の通信データを防御対象端末に転送する。
【００３２】
本発明の第１１の特徴は、モバイルＩＰに基づいて通信する防御対象端末と、通信相手端末から防御対象端末宛のパケットを代理して受信し防御対象端末に転送し、防御対象端末のホームエージェントとして機能するパケット転送装置を備えた情報通信システムにおいて用いられる防御対象端末に関する。即ち、本発明の第１１の特徴に係る防御対象端末は、ブロードキャスト又はマルチキャストのＩＰアドレス宛に、防御対象端末のＩＰアドレス及びＭＡＣアドレスを含むエージェント要請メッセージを送信し、パケット転送装置から、パケット転送装置のＩＰアドレス、ＭＡＣアドレスを含むエージェント広告メッセージを受信し、ホームネットワークに位置している場合、有効時間を１以上に設定して移動登録要求メッセージをパケット転送装置に送信し、パケット転送装置のＩＰアドレス及びＭＡＣアドレスと有効時間を登録テーブルに関連づけて記憶し、登録テーブルを読み出して有効時間をデクリメントするとともに、有効時間が所定の閾値を下回りかつ継続してパケット転送装置からのパケット転送を要求する場合、パケット転送装置に新たな有効時間を含む新たな登録要求メッセージを送信するとともに、登録テーブルの有効時間を新たな有効時間に更新し、パケット転送装置から、パケット転送装置の防御対象となる端末が登録された登録テーブルへの登録結果を含む移動登録応答メッセージを受信し、ホームネットワーク以外に位置している場合、有効時間を０に設定して移動登録要求メッセージを送信し、モバイルＩＰに従って、パケット転送装置からパケットを受信する。
【発明の効果】
【００３３】
本発明によれば、防御対象端末の位置するセグメントに依存することなく防御対象端末宛のパケットを代理して受信し防御対象端末に転送するパケット転送装置及び防御対象端末を備えた情報通信システム、情報通信システムで使用される情報通信方法、情報通信システムにおけるパケット転送装置、パケット転送プログラム、パケット転送方法、防御対象端末、防御対象プログラム及び防御対象方法を提供することができる。
【発明を実施するための最良の形態】
【００３４】
次に、図面を参照して、本発明の実施の形態を説明する。以下の図面の記載において、同一又は類似の部分には同一又は類似の符号を付している。
【００３５】
（最良の実施の形態）
本発明の最良の実施の形態に係るパケット転送装置１は、通信相手端末から防御対象端末宛のパケットを代理して受信するとともに御対象端末に転送し、防御対象端末と同じセグメントに位置する。本発明の最良の実施の形態に係るパケット転送装置１は、図１に示すように、防御対象端末２ａ、２ｂ、２ｃの物理的な位置に依存することなく、外部からの不正アクセスに関するパケットを防御し、防御対象間における不正アクセスに関するパケットを防御する。本発明の最良の実施の形態においては、パケット転送装置１の防御対象として防御対象端末２ａについて記載するが、そのほかの防御対象端末２ｂ及び２ｃについても同様である。
【００３６】
（情報通信システム）
図１に示すように、本発明の最良の実施の形態に係る情報通信システムは、パケット転送装置１と防御対象端末２ａ、２ｂ、２ｃを備える。パケット転送装置１と防御対象端末２ａ、２ｂ、２ｃは、ルータ３によって分離された第１の通信ネットワーク４ａで示される同一セグメントに位置する。パケット転送装置１は、第１の通信ネットワーク４ａに配置された端末から送信された防御対象端末２ａ宛のデータは勿論、第２の通信ネットワーク４ｂから送信された防御対象端末２ａ宛の全ての通信データを代理で受け取る。更に、パケット転送装置１は、パケット転送装置１で不正なパケットであるか否かを判断し、正常なパケットであれば防御対象端末２ａに転送する。防御対象端末２ａは、パケット転送装置１以外からパケットが届いてもパケットを破棄することで、不正なデータの受信を防ぐことができる。又、防御対象端末２ａは、全ての通信データを必ずパケット転送装置１を中継して送信する。パケット転送装置１は、防御対象端末２ａから受信したパケットを、不正なパケットかどうかを判断し正常なパケットであれば転送する。
【００３７】
図１に示すように、パケット転送装置１が物理的にネットワークを分離しないため、ルータで区切られたパケット転送装置１と同一のセグメントであれば、防御対象端末２ａがどの位置に存在しても、防御対象端末２ａ宛の不正アクセスを防御することができる。又、図２に示すように、防御対象端末２ａはパケット転送装置１以外からデータを受信しない。具体的には、通信相手端末５から防御対象端末２ａに不正アクセスのデータが送信されたとすると、パケット転送装置１が防御対象端末２ａに変わってデータを受信し、不正アクセスであると判定した場合、そのデータを送信しない。又、第１の通信ネットワーク４ａに位置する防御対象端末２ｃから防御対象端末２ｂに不正アクセスが送信されたとすると、パケット転送装置１が防御対象端末２ｂに変わってデータを受信し、不正アクセスであると判定した場合、そのデータを送信しない。この様に、防御対象端末２ａがデータを送信する際に必ずパケット転送装置１を中継することから、同一セグメントに位置する防御対象端末間の通信データに関しても不正アクセスを防御することができる。
【００３８】
図３を参照して、パケット転送装置１と防御対象端末２ａ間の通信データの中継処理を説明する。図３に示す例においては、パケット転送装置１及び防御対象端末２ａは、予め図４で説明するロジックで、互いのＩＰアドレスとＭＡＣアドレスを把握しているとする。
【００３９】
ステップＳ１０１及びＳ１０２において、通信相手端末５は、防御対象端末２ａ及びパケット転送装置１に、通信先である防御対象端末のＩＰアドレスを含むＡＲＰ要求メッセージを送信する。ステップＳ１０１において、防御対象端末２ａは、ＡＲＰ応答メッセージを送信しない。一方、ステップＳ１０２において、パケット転送装置１によって、通信相手端末５から防御対象端末２ａのＩＰアドレスを含むＡＲＰ要求メッセージが受信される。防御対象端末２ａのＩＰアドレスを含むＡＲＰ要求メッセージに応答して、ステップＳ１０３において、パケット転送装置によって、通信相手端末５にパケット転送装置１のＭＡＣアドレスを含む代理ＡＲＰメッセージが送信される。これにより防御対象宛の通信データは、全てパケット転送装置が受信する。
【００４０】
具体的には、ステップＳ１０４において、パケット転送装置１によって、通信相手端末５から防御対象端末２ａのＩＰアドレス宛の通信データが受信されると、パケット転送装置１によって、防御対象端末２ａのＩＰアドレス宛の通信データを防御対象端末２ａに転送するか否かが判定される。この様にパケット転送装置１は、受信した防御対象端末２ａ宛のデータに対し、不正アクセスに関するパケットか判別し、ステップＳ１０５において、不正アクセスに関するパケットであると判定された場合パケットを破棄する。一方、問題のないパケットであると判定された場合、具体的には、防御対象端末２ａに転送すると判定された場合、ステップＳ１０６において、パケット転送装置１によって、防御対象端末２ａのＩＰアドレス宛の通信データが防御対象端末２ａのＭＡＣアドレス宛に転送される。これに対応して、防御対象端末２ａによって、防御対象端末２ａのＩＰアドレス及びＭＡＣアドレス宛の通信データが受信される。
【００４１】
一方、ステップＳ１０７において、防御対象端末２ａが通信相手端末５に通信データを送信する場合、防御対象端末２ａによって、通信相手端末５のＩＰアドレス宛の通信データがパケット転送装置１のＭＡＣアドレスに送信される。これに対応して、パケット転送装置１によって、防御対象端末２ａから通信相手端末５のＩＰアドレス宛の通信データが受信されると、パケット転送装置１によって、通信相手端末５のＩＰアドレス宛の通信データを通信相手端末５に転送するか否かが判定される。パケット転送装置１は、受信した通信データが不正アクセスに関するパケットである場合、ステップＳ１０８においてこのパケットを破棄する。一方、問題のないパケットと判定された場合、具体的には、通信相手端末５に転送すると判定された場合、ステップＳ１０９及びステップＳ１１０において、パケット転送装置１によって、通信相手端末５のＩＰアドレスを含むＡＲＰ要求メッセージが送信される。これは、防御対象端末間の不正アクセスを防御するために必要となる。
【００４２】
これに対してステップＳ１０９において、防御対象端末２ａによってＡＲＰ要求メッセージが受信されても、防御対象端末２ａは何もしない。一方、ステップＳ１１０で送信された通信相手端末５のＩＰアドレスを含むＡＲＰ要求メッセージに応答して、ステップＳ１１１において、パケット転送装置１によって、通信相手端末５から通信相手端末５のＭＡＣアドレスを含むＡＲＰ応答メッセージが受信される。
【００４３】
これに対してステップＳ１１２において、パケット転送装置１によって、通信相手端末５のＩＰアドレス宛の通信データが通信相手端末のＭＡＣアドレス宛に転送される。
【００４４】
図３に示した方法により、物理的にネットワークを分離することなく、防御対象端末に関する全てのパケットが必ずパケット転送装置を中継する情報通信システムを実現することができる。
【００４５】
図３においては、予め防御対象端末２ａ及びパケット転送装置のＩＰアドレス及びＭＡＣアドレスを知っている場合として説明したが、図４を参照して、防御対象端末２ａ、パケット転送装置１との間でＩＰアドレスとＭＡＣアドレスの組み合わせテーブルを作成する方法を説明する。ここで、防御対象端末２ａは、パケット転送装置１を中継して通信するためＡＲＰ応答メッセージ及びＡＲＰ要求メッセージを送信しない。このため防御対象端末２ａは、ＴＣＰ／ＩＰにおけるＡＲＰテーブルを作成できないため、ブロードキャストもしくはマルチキャストパケットしか送受信できない。
【００４６】
まず、ステップＳ１２１において、パケット転送装置１のＭＡＣアドレスを取得するため、防御対象端末２ａによって、ブロードキャスト又はマルチキャストのＩＰアドレス宛に、防御対象端末２ａのＩＰアドレス及びＭＡＣアドレスを含むパケット転送要請メッセージが送信される。ここでパケット転送要請メッセージは、ＩＰ層以上のパケットを使用し、少なくともパケット転送要請メッセージであると識別できるデータであればどんな形式でも良い。このパケット転送要請メッセージは、ブロードキャスト又はマルチキャストで送信される。例えば、パケット転送要請メッセージは、ＩＣＭＰ（Internet Control Message Protocol）のルータ要請（Router Solicitation）メッセージでも良い。ここで送信されるパケット転送要請メッセージは、図５（ａ）に示すような形式を備える。
【００４７】
パケット転送要請メッセージが受信されると、ステップＳ１２２において、パケット転送装置１によって、防御対象端末２ａのＩＰアドレス及びＭＡＣアドレス宛にパケット転送装置１のＩＰアドレス及びＭＡＣアドレスを含むパケット転送広告メッセージが送信される。ここでパケット転送広告メッセージは、ＩＰ層以上のパケットを使用し、少なくともパケット転送広告メッセージと識別できるデータであればどんな形式でも良く、パケット転送広告メッセージの送信元アドレスを使用して送信する。パケット転送広告メッセージは、ＩＣＭＰのルータ広告（Router Advertisement）パケットでも良い。ここで送信されるパケット転送広告メッセージは、図５（ｂ）に示すような形式を備える。
【００４８】
防御対象端末２ａによって、パケット転送広告メッセージが受信されると、ステップＳ１２３において、パケット転送装置１にパケットの転送を依頼する登録要求メッセージが、防御対象端末２ａのＩＰアドレス及びＭＡＣアドレスの送信元アドレスに送信される。この登録要求メッセージは、ＩＰ層以上のパケットを使用して、少なくとも有効時間が格納されている必要がある。ここで有効時間の値が０の場合、登録要求メッセージは、防御対象端末２ａに対するパケットの転送の登録を、明示的に解除する場合に使用されるのが好ましい。ここで送信される登録要求メッセージは、図５（ｃ）に示すような形式を備える。
【００４９】
ここで、登録要求メッセージに、パケット転送装置１にパケットの転送を依頼する有効時間が含まれ、レコードには更に有効時間が関連づけられているのが好ましい。このとき、ステップＳ１２３において、更に、防御対象端末２ａによって、パケット転送装置１のＩＰアドレス及びＭＡＣアドレスと有効時間が防御対象端末２ａに備えられた登録テーブルに関連づけられて記憶される。
【００５０】
更に、パケット転送装置１は、ステップＳ１２３において、登録要求メッセージを受信した後、登録要求メッセージが正当か否かを判定する。このとき、登録要求メッセージが正当な形式を備え、有効時間の値が０以外の場合、パケット転送装置１は、防御対象端末２ａのＩＰアドレスとＭＡＣアドレスの組み合わせを登録テーブルに追加する。この後、登録された防御対象端末２ａのＩＰアドレスに対するＡＲＰ要求メッセージに対して、パケット転送装置１のＭＡＣアドレスで応答する代理ＡＲＰメッセージを送信する。
【００５１】
一方、防御対象端末２ａは、登録応答メッセージを受信し、登録テーブルへの登録を成功した場合、パケット転送装置１を中継した通信を開始する。又、防御対象端末２ａは、以降登録の有効時間以内の間隔で、定期的に新たな登録要求メッセージをパケット転送装置１に送信し登録を維持する。
【００５２】
登録要求メッセージに応答して、ステップＳ１２４において、パケット転送装置１によって、防御対象端末２ａのＩＰアドレス及びＭＡＣアドレスの送信元アドレスに登録応答メッセージが送信されるとともに、パケット転送装置１の防御対象となる端末が登録された登録テーブルに防御対象端末２ａのＩＰアドレス及びＭＡＣアドレスが関連づけられたレコードが記憶される。この登録応答メッセージは、ＩＰ層以上のパケットを使用して、少なくとも登録成功、失敗を意味する内容が格納されている必要がある。ここで送信される登録応答メッセージは、図５（ｄ）に示すような形式を備える。
【００５３】
ここで、図３のステップＳ１０２において、パケット転送装置１によって代理ＡＲＰメッセージが送信されるか否かは、図４のステップＳ１２４で生成される登録テーブルに登録されているか否かで決定される。ＡＲＰ要求メッセージに含まれたＩＰアドレスが登録テーブルに登録されている場合、図３のステップＳ１０２において、パケット転送装置１は、代理ＡＲＰメッセージを送信する。
【００５４】
又、図４には示さないが、パケット転送装置１は、登録要求メッセージに含まれた有効時間を超過すると、登録テーブルから、防御対象端末２ａのＩＰアドレスとＭＡＣアドレスの組み合わせを削除し、防御対象端末２ａのＩＰアドレスに対する代理ＡＲＰメッセージの送信を停止する。
【００５５】
更に、登録要求メッセージが正当な形式を備え、有効時間の値が０の場合、パケット転送装置１は、登録テーブルから防御対象端末２ａのＩＰアドレスとＭＡＣアドレスの組み合わせを削除し、即座に防御対象端末２ａのＩＰアドレスに対する代理ＡＲＰメッセージの送信を停止する。
【００５６】
具体的には、防御対象端末２ａによって、例えば１秒毎などの定期的に防御対象端末２ａの登録テーブルが読み出されて有効時間がデクリメントされる。更に、防御対象端末２ａの登録テーブルの有効時間が所定の閾値を下回りかつ継続してパケット転送装置１からのパケット転送を要求する場合、防御対象端末２ａによって、パケット転送装置に新たな有効時間を含む新たな登録要求メッセージが送信されるとともに、防御対象端末の登録テーブルにおいて記憶された有効時間が新たな有効時間に更新される。
【００５７】
更に、パケット転送装置１によって、パケット転送装置１の登録テーブルが読み出されて有効時間がデクリメントされるとともに、有効時間が０になると、パケット転送装置１の登録テーブルから有効時間が０になったレコードが削除される。
【００５８】
更に、パケット転送装置１によって、防御対象端末２ａから新たな登録要求メッセージが受信されると、新たな登録要求メッセージに含まれる防御対象端末２ａのＩＰアドレス及びＭＡＣアドレスに関連づけられたレコードが読み出されるとともに、レコードの有効時間が新たな登録要求メッセージに含まれた新たな有効時間に更新される。
【００５９】
（パケット転送装置）
次に、図６を参照して、本発明の最良の実施の形態に係るパケット転送装置１を説明する。本発明の最良の実施の形態に係るパケット転送装置１は、インタフェース入力部１１、インタフェース出力部１２、データリンク入力部２１、データリンク出力部２２、登録テーブル３１、パケット転送広告処理部３２、登録処理部３３、登録テーブル監視部３４、ＡＲＰ処理部３５、ＩＰ入力部３６、ＩＰ出力部３７、パケットフィルタリング処理部３８、転送判定部３９を備えている。
【００６０】
図７に示すように、本発明の最良の実施の形態に係るパケット転送装置１は、中央処理制御装置１０１、ＲＯＭ（Read Only Memory）１０２、ＲＡＭ（Random Access Memory）１０３及び入出力インタフェース１０９が、バス１１０を介して接続されている。入出力インタフェース１０９には、入力装置１０４、表示装置１０５、通信制御装置１０６、記憶装置１０７及びリムーバブルディスク１０８が接続されている。
【００６１】
中央処理制御装置１０１は、入力装置１０４からの入力信号に基づいてＲＯＭ１０２からパケット転送装置１を起動するためのブートプログラムを読み出して実行し、更に記憶装置１０７に記憶されたオペレーティングシステムを読み出す。更に中央処理制御装置１０１は、入力装置１０４や通信制御装置１０６などの入力信号に基づいて、各種装置の制御を行ったり、ＲＡＭ１０３や記憶装置１０７などに記憶されたプログラム及びデータを読み出してＲＡＭ１０３にロードするとともに、ＲＡＭ１０３から読み出されたプログラムのコマンドに基づいて、データの計算又は加工など、後述する一連の処理を実現する処理装置である。
【００６２】
入力装置１０４は、操作者が各種の操作を入力するキーボード、マウスなどの入力デバイスにより構成されており、操作者の操作に基づいて入力信号を作成し、入出力インタフェース１０９及びバス１１０を介して中央処理制御装置１０１に送信される。表示装置１０５は、ＣＲＴ（Cathode Ray Tube）ディスプレイや液晶ディスプレイなどであり、中央処理制御装置１０１からバス１１０及び入出力インタフェース１０９を介して表示装置１０５において表示させる出力信号を受信し、例えば中央処理制御装置１０１の処理結果などを表示する装置である。通信制御装置１０６は、ＬＡＮカードやモデムなどの装置であり、パケット転送装置１をインターネットやＬＡＮなどの通信ネットワークに接続する装置である。通信制御装置１０６を介して通信ネットワークと送受信したデータは入力信号又は出力信号として、入出力インタフェース及びバス１１０を介して中央処理制御装置１０１に送受信される。
【００６３】
記憶装置１０７は半導体記憶装置や磁気ディスク装置であって、中央処理制御装置１０１で実行されるプログラムやデータが記憶されている。リムーバブルディスク１０８は、光ディスクやフレキシブルディスクのことであり、ディスクドライブによって読み書きされた信号は、入出力インタフェース１０９及びバス１１０を介して中央処理制御装置１０１に送受信される。
【００６４】
本発明の最良の実施の形態に係るパケット転送装置１の記憶装置１０７には、パケット転送プログラムが記憶されるとともに、登録テーブル３１が記憶される。又、パケット転送プログラムがパケット転送装置１の中央処理制御装置１０１に読み込まれ実行されることによって、インタフェース入力部１１、インタフェース出力部１２、データリンク入力部２１、データリンク出力部２２、パケット転送広告処理部３２、登録処理部３３、登録テーブル監視部３４、ＡＲＰ処理部３５、ＩＰ入力部３６、ＩＰ出力部３７、パケットフィルタリング処理部３８、転送判定部３９がパケット転送装置１に実装される。
【００６５】
本発明の最良の実施の形態に係るパケット転送装置１は、通信プロトコルの通信レベルに応じて、ネットワークインタフェース、データリンク層、ＩＰ層、トランスポート層を備えており、これらの層を介して通信される。
【００６６】
ネットワークインタフェースは、インタフェース入力部１１とインタフェース出力部１２を備えている。インタフェース入力部１１は、第１の通信ネットワーク４ａから入力されたデータを、データリンク入力部２１に送信する。インタフェース出力部１２は、データリンク出力部２２に入力されたデータを、第１の通信ネットワーク４ａへ送信する。
【００６７】
データリンク層は、データリンク入力部２１及びデータリンク出力部２２を備える。
【００６８】
データリンク入力部２１は、図８に示したフローチャートに従って、インタフェース入力部１１より入力されたデータを解析し、その結果に基づいて、ＡＲＰ処理部３５、パケット転送広告処理部３２、登録処理部３３、ＩＰ入力部３６のいずれかにデータを送信する。
【００６９】
具体的には、ステップＳ２０１において、インタフェース入力部１１より入力されたデータがＡＲＰメッセージである場合、ステップＳ２０２において、このデータをＡＲＰ処理部３５に送信する。ステップＳ２０３において、インタフェース入力部１１より入力されたデータがパケット転送要請メッセージである場合、ステップＳ２０４において、このデータをパケット転送広告処理部３２に送信する。ステップＳ２０５において、インタフェース入力部１１より入力されたデータが登録要求メッセージである場合、ステップＳ２０６において、このデータを登録処理部３３に送信する。このいずれでもない場合、ステップＳ２０７において、インタフェース入力部１１より入力されたデータをＩＰ入力部３６に送信する。
【００７０】
インタフェース入力部１１から入力されるデータで、ＡＲＰメッセージでないデータは、図９（ａ）に示すように、宛先ＭＡＣアドレスと送信元ＭＡＣアドレスが記載されたデータリンクヘッダ部と、宛先ＩＰアドレスと送信元ＩＰアドレスが記載されたＩＰヘッダ部と、送信されるデータであるＩＰペイロード部を備えている。一方、インタフェース入力部１１から入力されるデータであるＡＲＰメッセージは、図９（ｂ）に示すように、データリンクヘッダ部と、ＡＲＰ要求又はＡＲＰ応答メッセージに係るデータ部とを備えている。
【００７１】
データリンク入力部２１からＡＲＰ処理部３５に送信されるデータは、図９（ｃ）に示すように、図９（ｂ）に示したデータからデータリンクヘッダ部を除いたデータである。データリンク入力部２１からパケット転送広告処理部３２に送信されるデータは、図９（ｄ）に示すように、図９（ａ）のＩＰペイロードにパケット転送要請データが格納されており、データリンクヘッダ部が除かれていない。データリンク入力部から登録処理部３３に送信されるデータは、図９（ｅ）に示すように、図９（ａ）のＩＰペイロードに登録データが格納されており、データリンクヘッダ部が除かれていない。
【００７２】
データリンク入力部２１からＩＰ入力部３６に送信されるデータは、図９（ｆ）に示すように、図９（ａ）に示したデータからデータリンクヘッダ部を除いたデータである。
【００７３】
データリンク出力部２２は、図１０に示したフローチャートに従って、ステップＳ２２１において、ＩＰ出力部３７、パケット転送広告処理部３２、登録処理部３３から送信先ＭＡＣアドレスと、ＩＰパケットを受信する。更にデータリンク出力部２２は、ステップＳ２２２において、受信したデータをインタフェース出力部１２に送信する。
【００７４】
データリンク出力部２２に入力されるデータは、図１１（ａ）に示すように、送信先のＭＡＣアドレスと、ＩＰヘッダ及びＩＰペイロードを備えるＩＰパケットである。一方、データリンク出力部２２は、受信した送信先のＭＡＣアドレスを、データリンクヘッダの宛先ＭＡＣアドレスを設定し、送信元ＭＡＣアドレスとしてパケット転送装置１のＭＡＣアドレスを設定したパケットをインタフェース出力部１２に送信する。
【００７５】
ＩＰ層は、パケット転送広告処理部３２、登録処理部３３、登録テーブル監視部３４、ＡＲＰ処理部３５、ＩＰ入力部３６、ＩＰ出力部３７、パケットフィルタリング処理部３８、転送判定部３９を備える。
【００７６】
パケット転送広告処理部３２は、防御対象端末２ａからパケット転送要請メッセージを受信すると、パケット転送装置１のＩＰアドレス及びＭＡＣアドレスを含むパケット転送広告メッセージを送信する。
【００７７】
具体的には、図１２に示すように、データリンク入力部２１からデータリンクヘッダを含むパケット転送要請パケットを受信すると、パケット転送広告処理部３２は、ステップＳ３０１において、入力されたデータの送信元ＩＰアドレスを使用してパケット転送広告メッセージを生成する。パケット転送要請メッセージを入力したデータの送信元に、生成したパケットを送信するため、パケット転送広告処理部３２は、ステップＳ３０２において、データリンク出力部２２にパケット転送広告メッセージと入力データの送信元ＭＡＣアドレスを送信する。
【００７８】
データリンク入力部２１からパケット転送広告処理部３２に入力されるデータは、図１３（ａ）に示すように、送信元ＭＡＣアドレスとして防御対象端末２ａのＭＡＣアドレスが設定され、宛先ＭＡＣアドレスとしてブロードキャストのＭＡＣアドレスが設定されたデータリンクヘッダ部と、送信元ＩＰアドレスとして防御対象端末２ａのＭＡＣアドレスが指定され、宛先ＩＰアドレスとしてブロードキャスト又はマルチキャストのＩＰアドレスが設定されたＩＰヘッダ部と、パケット転送要請データ部とを備えている。ここで、パケット転送要請データ部は、パケット転送要請データであることが識別できれば良く、１ビットのデータでも構わない。
【００７９】
一方、パケット転送広告処理部３２からデータリンク出力部２２に入力されるデータは、図１３（ｂ）に示すように、図１３（ａ）に示したデータリンクヘッダの送信元ＭＡＣアドレスである防御対象端末２ａのＭＡＣアドレスと、ＩＰヘッダの宛先ＩＰアドレスとして図１３（ａ）に示したＩＰヘッダの送信元ＩＰアドレスである防御対象端末２ａのＩＰアドレスが設定され、送信元ＩＰアドレスとしてパケット転送装置１のＩＰアドレスが設定されたＩＰヘッダ部と、パケット転送広告データ部を備える。ここで、パケット転送広告データ部は、パケット転送広告データであることが識別できれば良く、１ビットのデータでも構わない。
【００８０】
登録処理部３３は、防御対象端末２ａからパケット転送装置１にパケットの転送を依頼する登録要求メッセージを受信すると、登録要求メッセージに応答して防御対象端末２ａに登録応答メッセージを送信するとともに、登録テーブル３１に防御対象端末２ａのＩＰアドレス及びＭＡＣアドレスが関連づけられたレコードを記憶する。更に、登録処理部３３は、防御対象端末２ａから新たな有効時間を含む新たな登録要求メッセージが受信されると、登録テーブル３１から新たな登録要求メッセージに含まれる防御対象端末２ａのＩＰアドレス及びＭＡＣアドレスに関連づけられたレコードを読み出すとともに、レコードの有効時間を新たな登録要求メッセージに含まれた新たな有効時間に更新する。
【００８１】
ここで、登録テーブル３１は、図１４に示すように、パケット転送装置１の防御対象となる端末が登録されたデータベースである。登録テーブル３１においては、防御対象端末のＩＰアドレス、ＭＡＣアドレス及び有効時間が関連づけられて記憶されている。図１４に示した例では、パケット転送装置１の防御対象となる端末が登録されるとともに、更に、パケット転送装置１が通常の通信で使うＡＲＰテーブルに関するデータも登録されている。図１４においては、パケット転送装置１の防御対象となる端末の場合、防御対象端末フラグに「○」が設定されている。
【００８２】
次に、図１５を参照して、登録処理部３３の処理を説明する。  
まず、データリンク入力部２１から登録要求メッセージが入力されると、登録処理部３３は、ステップＳ３２１において、登録要求メッセージが正当であるかを判別する。
【００８３】
登録要求が正当であるかの判別は、少なくとも有効時間のチェックを行う。パケット転送装置１は、防御対象端末２ａの登録要求メッセージに、パケット転送装置１が許可する有効時間の最大値以上の値が格納されている場合は登録失敗とし、登録結果に登録時間に問題があることを示すデータを登録応答データ部に格納する。時間内の場合、登録成功とし、登録結果に登録成功を示すデータを登録応答データ部に格納する。
【００８４】
ステップＳ３２１において登録要求メッセージが正当でないと判定された場合、登録処理部３３は、ステップＳ３２２において、登録テーブル３１から、登録要求メッセージの送信元のＩＰアドレス及びＭＡＣアドレスに関するレコードを削除する。ステップＳ３２３において、登録要求メッセージに含まれた有効時間が０の場合、ステップＳ３２２において、登録要求メッセージの送信元のＩＰアドレス及びＭＡＣアドレスに関するレコードを削除する。一方、ステップＳ３２３において有効時間の値が０でない場合、登録テーブル３１に登録要求メッセージの送信元のＩＰアドレス及びＭＡＣアドレス、有効時間を関連づけたレコードを追加する。ここで、本発明の最良の実施の形態に係る登録テーブル３１は、ＡＲＰテーブルも兼ねているため、パケット転送装置１の防御対象であることを示す防御対象フラグに「○」が設定される。
【００８５】
この様に、ステップＳ３２２又はステップＳ３２４において、登録テーブル３１への追加又は削除が行われると、ステップＳ３２５において、登録処理部３３は、登録応答メッセージを生成して、ステップＳ３２６において、データリンク出力部２２に登録応答メッセージを送信する。
【００８６】
次に、登録応答を作成してデータリンク出力部に送る。この際、同時に入力データの送信元ＭＡＣアドレスを送る。
【００８７】
データリンク入力部２１から登録処理部３３に入力されるデータは、図１６（ａ）に示すように、送信元ＭＡＣアドレスとして防御対象端末２ａのＭＡＣアドレスが設定され、宛先ＭＡＣアドレスとしてパケット転送装置１のＭＡＣアドレスが設定されたデータリンクヘッダ部と、送信元ＩＰアドレスとして防御対象端末２ａのＭＡＣアドレスが指定され、宛先ＩＰアドレスとしてパケット転送装置１のＩＰアドレスが設定されたＩＰヘッダ部と、登録要求データ部とを備えている。ここで、登録要求データ部には、少なくとも、パケット転送装置１にパケットの転送を依頼する有効時間が含まれる。
【００８８】
一方、登録処理部３３からデータリンク出力部２２に入力されるデータは、図１６（ｂ）に示すように、図１６（ａ）に示したデータリンクヘッダの送信元ＭＡＣアドレスである防御対象端末２ａのＭＡＣアドレスと、ＩＰヘッダの宛先ＩＰアドレスとして図１６（ａ）に示したＩＰヘッダの送信元ＩＰアドレスである防御対象端末２ａのＩＰアドレスが設定され、送信元ＩＰアドレスとしてパケット転送装置１のＩＰアドレスが設定されたＩＰヘッダ部と、登録応答データ部を備える。ここで、登録応答データ部には、登録に成功したか否かの登録結果のデータを含む。
【００８９】
登録テーブル監視部３４は、登録テーブル３１を読み出して有効時間をデクリメントするとともに、有効時間が０になると、登録テーブル３１から有効時間が０になったレコードを削除する。登録テーブル監視部３４は、例えば１秒毎などの定期的に登録テーブル３１を読み出し、有効時間の値のオーダが秒となることを想定している。
【００９０】
具体的には、図１７に示すように、ステップＳ３４１において、登録テーブル３１からデータを読み出し、ステップＳ３４２において、有効時間の値が０の場合、ステップＳ３４３において、登録テーブル３１から有効時間の値が０となったレコードを削除する。
【００９１】
一方、ステップＳ３４２において有効時間の値が０でない場合、読み出したレコードの有効時間の値１を１減らし、登録テーブル３１に格納する。更に、ステップＳ３４５においてチェックしていないデータがある場合、登録テーブル監視部３４は、ステップＳ３４１において新たなデータを読み出す。この処理を、テーブルの全レコードに対して行い、処理を終了する。
【００９２】
ＡＲＰ処理部３５は、通信相手端末５から防御対象端末２ａのＩＰアドレスを含むＡＲＰ要求メッセージを受信し、防御対象端末２ａのＩＰアドレスを含むＡＲＰ要求メッセージに応答して通信相手端末５に、パケット転送装置１のＭＡＣアドレスを含む代理ＡＲＰメッセージを送信する。ＡＲＰ処理部３５は、更に、通信相手端末５に転送すると判定された場合、通信相手端末５のＩＰアドレスを含むＡＲＰ要求メッセージを送信し、通信相手端末５から通信相手端末５のＭＡＣアドレスを含むＡＲＰ応答メッセージを受信する。
【００９３】
具体的には、図１８に示すように、ステップＳ３６１において、ＡＲＰ処理部３５は、データリンク入力部２１から入力されたデータがＡＲＰ応答メッセージである場合、ステップＳ３６２において、ＡＲＰ応答メッセージの送信元ＭＡＣアドレスとＩＰアドレスを、ＡＲＰテーブルとしての登録テーブル３１に追加する。この際に有効時間は、通常のＡＲＰテーブルの期限の値に設定し（通常は１０分程度）、防御対象端末２ａのフラグを無効、具体的には、図１４では「×」に設定して登録する。
【００９４】
一方、ＡＲＰ処理部３５は、データリンク入力部２１から入力されたデータがＡＲＰ要求メッセージである場合、ステップＳ３６３において、パケット転送装置１に対する要求であるかを判別する。この際、ＡＲＰ要求メッセージのターゲットＩＰアドレスがパケット転送装置１のアドレスと一致するか否かが判別される。ＡＲＰ要求メッセージのターゲットＩＰアドレスがパケット転送装置１のＩＰアドレスと一致する場合、パケット転送装置１に対する要求であるので、ステップＳ３６４において、ＡＲＰ応答メッセージを作成する。ここで、ターゲットとは、ＡＲＰ要求メッセージ又はＡＲＰ応答メッセージにおいて、ＭＡＣアドレスが問い合わせられた対象となった端末のことである。ＡＲＰ応答メッセージには、送信元ＭＡＣアドレス、ＩＰアドレスにパケット転送装置１のアドレスを設定し、ターゲットＭＡＣアドレス、ＩＰアドレスには、ＡＲＰ要求メッセージの送信元アドレスを設定する。ＡＲＰ応答メッセージを作成したら、ステップＳ３６５において、ＡＲＰ応答メッセージと、ＡＲＰ要求メッセージの送信元ＭＡＣアドレスをデータリンク出力部２２に送信する。
【００９５】
ステップＳ３６３において、ＡＲＰ要求メッセージのターゲットＩＰアドレスがパケット転送装置１のＩＰアドレスと一致しない場合、防御対象端末２ａに対する要求であるため、登録テーブル３１から防御対象端末フラグが有効となっているデータから、ステップＳ３６６において、ＩＰアドレスがＡＲＰ要求メッセージのターゲットＩＰアドレスに一致するレコードを検索する。ステップＳ３６７において、該当するレコードが存在する場合、ステップＳ３６７において、代理ＡＲＰ応答メッセージを作成する。代理ＡＲＰ応答メッセージには、送信元ＭＡＣアドレスには、パケット転送装置１のＭＡＣアドレス、送信元ＩＰアドレスには、防御対象端末２ａのＩＰアドレス、ターゲットＭＡＣアドレス及びターゲットＩＰアドレスには、ＡＲＰ要求メッセージの送信元ＭＡＣアドレス及びＩＰアドレスを設定する。代理ＡＲＰメッセージを作成したら、ステップＳ３６５において、代理ＡＲＰメッセージと、ＡＲＰ要求メッセージの送信元ＭＡＣアドレスをデータリンク出力部２２に送信する。
【００９６】
データリンク入力部２１からＡＲＰ処理部３５に入力されるデータで、ＡＲＰ応答メッセージは、図１９（ａ）に示すように、ターゲットＭＡＣアドレス、ターゲットＩＰアドレス、送信元ＭＡＣアドレス、送信元ＩＰアドレスを備えている。このＡＲＰ応答メッセージの送信元ＭＡＣアドレス及び送信元ＩＰアドレスは、登録テーブル３１に登録される。データリンク入力部２１からＡＲＰ処理部３５に入力されるデータで、ＡＲＰ要求メッセージは、図１９（ｂ）に示すように、ターゲットＭＡＣアドレスとしてブロードキャストのＭＡＣアドレスが設定され、ターゲットＩＰアドレス、送信元ＭＡＣアドレス、送信元ＩＰアドレスを備えている。
【００９７】
一方、ＡＲＰ処理部３５からデータリンク出力部２２に入力されるデータは、図１９（ｃ）に示すように、図１９（ｂ）に示した送信元ＭＡＣアドレスと、ＡＲＰ要求データである。ここで、ＡＲＰ要求データは、ターゲットＭＡＣアドレス及びターゲットＩＰアドレスとして図１９（ｂ）に示した送信元ＭＡＣアドレス及びＩＰアドレスが設定され、送信元ＭＡＣアドレス及び送信元ＩＰアドレスとしてパケット転送装置１のＭＡＣアドレス及びＩＰアドレスが設定されている。
【００９８】
又、ＡＲＰ処理部３５は、図２０（ａ）のステップＳ３８１に示すように、ＩＰ出力部３７からＡＲＰ要求メッセージの出力要請を受けた場合、ＡＲＰ要求メッセージを生成する。
【００９９】
ステップＳ３８１においてＡＲＰ要求メッセージが作成されたら、ステップＳ３８２において、ＡＲＰ処理部３５は、ＡＲＰ要求メッセージとブロードキャストのＭＡＣアドレスを、データリンク出力部２２に送信する。
【０１００】
このとき、ＩＰ出力部３７からＡＲＰ処理部３５に入力されるデータは、図２０（ｂ）に示すように、ターゲットのＩＰアドレスである。又、ＡＲＰ処理部３５からデータリンク出力部２２に送信されるＡＲＰ要求メッセージには、送信元ＭＡＣアドレス、ＩＰアドレスにパケット転送装置１のアドレスを設定し、ターゲットＭＡＣアドレスにブロードキャストのＭＡＣアドレスを設定し、ターゲットＩＰアドレスにＩＰ出力部３７から入力されたアドレスを設定する。
【０１０１】
ＩＰ入力部３６は、通信相手端末５から防御対象端末２ａのＩＰアドレス宛の通信データを受信する。更に、ＩＰ入力部３６は、防御対象端末から通信相手端末のＩＰアドレス宛の通信データを受信する。
【０１０２】
図２１（ａ）に示すように、ＩＰ入力部３６は、入力されたデータをパケットフィルタリング処理部３８に入力する。ＩＰ入力部３６に入力されるデータは、図２１（ｂ）に示すように、ＩＰヘッダ部とＩＰペイロード部を備える。ＩＰ入力部３６からパケットフィルタリング処理部３８に送信されるデータは、図２１（ｃ）に示すように、ＩＰヘッダ部とＩＰペイロード部を備える。
【０１０３】
パケットフィルタリング処理部３８は、防御対象端末２ａのＩＰアドレス宛の通信データを防御対象端末に転送するか否かを判定する。更に、パケットフィルタリング処理部３８は、通信相手端末５のＩＰアドレス宛の通信データを通信相手端末５に転送するか否かを判定する。パケットフィルタリング処理部３８は、所定のロジックに基づいて、パケットフィルタリング処理部に入力されたデータが不正データであるか否かが判定される。不正データであると判定された場合、入力されたデータはそのまま破棄され、不正データでないと判定された場合、入力されたデータは転送判定部３９に送信される。具体的には、パケットフィルタリング処理部３８は、通常のファイアウォールと同様、送信データのアドレス制限及びポート番号の制限といったセキュリティ設定に基づき転送の可否を判断する機能を持つものや、アドレスとポート番号の制限に加え転送するパケットのデータの内部を解析し、不正アクセスか否かを判別し転送を制御する機能を持っていても良い。
【０１０４】
転送判定部３９は、パケットフィルタリング処理部３８により、問題ないデータであると判定されたＩＰパケットを入力として受け取る。転送判定部３９は、図２２のステップＳ４０１に示すようにＩＰパケットの宛先アドレスをチェックし、パケット転送装置１自身のＩＰアドレスと同一の場合、ステップＳ４０２において、上位プロトコル層であるトランスポート層にＩＰのペイロードを送信する。ＩＰアドレスがパケット転送装置１自身のＩＰアドレスと異なる場合、ステップＳ４０３において、ＩＰ出力部３７にパケット送り転送する。
【０１０５】
上位プロトコル層であるトランスポート層は、通常のトランスポート層の処理機構と同様のものを使用することで、パケット転送装置１自身の通常の通信を可能とする。
【０１０６】
ＩＰ出力部３７は、パケット転送装置１によって、入力されたデータを防御対象端末２ａに転送すると判定された場合、防御対象端末２ａのＩＰアドレス宛の通信データを防御対象端末２ａに転送するためのものである。更にＩＰ出力部３７は、通信相手端末のＩＰアドレス宛の通信データを通信相手端末に転送する。ＩＰ出力部３７は、登録テーブル３１に基づいてパケット転送装置１によって防御対象となる端末への転送パケットを送信するとともに、ＡＲＰテーブルに基づいて通常の通信におけるパケットも送信する。
【０１０７】
具体的には、図２４のステップＳ４２１に示すように、ＩＰ出力部３７は、入力されたＩＰパケットと対応するＭＡＣアドレスを取得するため、登録テーブル３１を検索する。ステップＳ４２２において登録テーブル３１上にデータが存在する場合、ステップＳ４２７において、対応するＭＡＣアドレスとＩＰパケットをデータリンク出力部２２に送る。ステップＳ４２２において登録テーブル３１上にデータが存在しない場合、ステップＳ４２３において、ＡＲＰ処理部３５にＡＲＰ要求メッセージの発行を依頼し、ステップＳ４２４においてＡＲＰ応答メッセージが返信され、登録テーブル３１が更新されるのを待機する。一定時間待機してステップＳ４２５において登録テーブル３１からＭＡＣアドレスを取得し、ステップＳ４２６においてＭＡＣアドレスの取得に成功すると、ステップＳ４２７において、対応するＭＡＣアドレスとＩＰパケットをデータリンク出力部２２に送る。一方、ステップＳ４２６において、登録テーブル３１からＭＡＣアドレスが見つからなかった場合、ＩＰパケットを破棄して終了する。
【０１０８】
（防御対象端末）
次に、図２６を参照して、本発明の最良の実施の形態に係る防御対象端末２ａについて説明する。本発明の最良の実施の形態に係る防御対象端末２ａは、通信相手端末５からパケット転送装置１を介してパケットを受信し、パケット転送装置１を介して通信相手端末５にパケットを送信する端末であって、オリジナル仕様部５０と、拡張仕様部６０を備えている。防御対象端末２ａは、オリジナル仕様部５０として、インタフェース入力部５１、オリジナルデータリンク入力部５２、オリジナルＩＰ入力部５３、オリジナルＩＰ出力部５４、オリジナルデータリンク出力部５５、インタフェース出力部５６を備えている。防御対象端末２ａは、拡張仕様部６０として、データリンク入力部６１、データリンク出力部６２、登録テーブル７１、パケット転送要請処理部７２、登録処理部７３、登録テーブル監視部７４、ＩＰ入力部７５、ＩＰ出力部７６を備えている。ここで、オリジナル仕様部５０とは、一般的な通信プロトコルに基づく仕様部で、既存のオペレーションシステムなどにより実現される。一方、拡張仕様部６０は、本発明の最良の実施の形態に係る防御対象端末２ａの独自の仕様であり、本発明の最良の実施の形態に係るパケット転送装置１を介して他の通信情報端末との通信を実現する。この様に、本発明の最良の実施の形態に係る防御対象端末２ａは、既存の通信プロトコルに拡張仕様部６０を実装することにより実現することができる。ここでは、防御対象端末２ａについて説明するが、防御対象端末２ｂ、２ｃについても同様の構成を備える。
【０１０９】
防御対象端末２ａは、図７に示したパケット転送装置１のハードウェア構成図と同様の構成を備える。具体的には、防御対象端末２ａの記憶装置には、防御対象プログラムと登録テーブル７１が記憶される。防御対象プログラムが防御対象端末２ａの中央処理制御装置に読み込まれ実行されることによって、拡張仕様部６０としての、データリンク入力部６１、データリンク出力部６２、登録テーブル７１、パケット転送要請処理部７２、登録処理部７３、登録テーブル監視部７４、ＩＰ入力部７５、ＩＰ出力部７６が防御対象端末２ａに実装される。
【０１１０】
拡張仕様部６０は、防御対象端末２ａ上の通信プロトコルのデータリンク層とＩＰ層の中間に存在し通信を制御する。拡張仕様部６０は、防御対象端末２ａのオリジナルのデータリンク層からデータリンクパケットを受信し、拡張仕様部６０でデータ処理を行い、防御対象端末２ａのオリジナルのＩＰ層にＩＰパケットを送信する。又、拡張仕様部６０は、防御対象端末２ａのオリジナルのＩＰ層から、ＩＰパケット及びＡＲＰ要求パケットを受信し、拡張仕様部６０内でデータ処理を行い、防御対象端末２ａのオリジナルのデータリンク層にデータリンクパケットを送る。具体的には、通常ならば、オリジナルデータリンク入力部５２からオリジナルＩＰ入力部へパケットが送信され、オリジナルＩＰ出力部５４からオリジナルデータリンク出力部５５にパケットが送信される。しかし、本発明の最良の実施の形態に係る防御対象端末２ａにおいては、オリジナルデータリンク入力部５２から拡張仕様部６０を介してオリジナルＩＰ入力部５３にパケットが送信され、オリジナルＩＰ出力部５４から拡張仕様部６０を介してオリジナルデータリンク出力部５５にパケットが送信される。
【０１１１】
拡張仕様部６０のデータリンク層は、データリンク入力部６１及びデータリンク出力部６２を備えている。
【０１１２】
データリンク入力部６１は、防御対象端末２ａのオリジナルのデータリンク層のオリジナルデータリンク入力部５２からデータリンクパケットを受け取る。データリンク入力部６１は、図２７に示したフローチャートに示すように、ステップＳ５０１において、入力されたデータリンクパケットのペイロードがＩＰパケットであるか判定する。ＩＰパケット以外の場合、何もせずに終了する（パケットを破棄する）。又、ステップＳ５０１において、入力パケットがＡＲＰメッセージである場合も、何もせずに終了する。これにより拡張仕様部６０は、防御対象端末２ａに対するＡＲＰ要求メッセージを無視する機能を実現する。
【０１１３】
次に、ステップＳ５０２においてデータリンク入力部６１は、パケット転送広告メッセージであるかを判定する。パケット転送広告メッセージである場合、ステップＳ５０３において、登録処理部７３にデータリンクパケットを送信する。又、ステップＳ５０２においてパケット転送広告メッセージでないと判定された場合、ステップＳ５０４において、データリンク入力部６１は、登録応答メッセージであるかを判定する。登録応答メッセージである場合、ステップＳ５０３において、登録処理部７３にデータリンクパケットを送信する。
【０１１４】
一方、ステップＳ５０４において登録応答メッセージでないと判定された場合、ステップＳ５０５において、登録テーブル７１を参照して、パケット転送装置１のＭＡＣアドレスを取得し、ステップＳ５０６において、入力されたデータの送信元ＭＡＣアドレスが、パケット転送装置１のＭＡＣアドレスと同一であるか判定する。
【０１１５】
入力されたデータの送信元ＭＡＣアドレスが、パケット転送装置１のＭＡＣアドレスと
同一の場合、入力されたデータをＩＰ入力部７５に送信する。又、入力されたデータの送信元ＭＡＣアドレスが、パケット転送装置１のＭＡＣアドレスと異なる場合、又は、登録テーブル７１に何もせずに終了する（パケットを破棄する）。これにより、防御対象端末２ａは、パケット転送装置１以外からの入力を受け付けない機能を実現する。
【０１１６】
データリンク入力部６１に入力されるデータで、ＡＲＰメッセージでないデータは、図２８（ａ）に示すように、宛先ＭＡＣアドレスと送信元ＭＡＣアドレスが記載されたデータリンクヘッダ部と、宛先ＩＰアドレスと送信元ＩＰアドレスが記載されたＩＰヘッダ部と、送信されるデータであるＩＰペイロード部を備えている。一方、入力されたパケットがＩＰパケットでないか、ＡＲＰメッセージである場合は、図２８（ｂ）に示すように、データリンクヘッダ部と、ＩＰデータ以外のデータ部とを備えている。
【０１１７】
ＩＰ入力部７５に送信されるデータは、図２８（ｃ）に示すようにＩＰヘッダ部とＩＰペイロード部を備えている。登録応答メッセージであって登録処理部７３に送信されるデータは、図２８（ｄ）に示すようにデータリンクヘッダ部、ＩＰヘッダ部、登録応答メッセージであることを示す登録応答データ部を備える。パケット転送広告メッセージであって登録処理部７３に送信されるデータは、図２８（ｅ）に示すようにデータリンクヘッダ部、ＩＰヘッダ部、パケット転送広告メッセージであることを示す登録応答データ部を備える。
【０１１８】
データリンク出力部６２は、図２９のステップＳ５２１に示すように、ＩＰ出力部７６とパケット転送要請処理部７２と登録処理部７３から、送信先ＭＡＣアドレスとＩＰパケットを受け取り、オリジナルのデータリンク層のオリジナルデータリンク出力部５５に、そのまま送信先ＭＡＣアドレスとＩＰパケットを送る。
【０１１９】
データリンク出力部６２に入力されるデータは、図３０（ａ）に示すように送信先ＭＡＣアドレスとＩＰパケットであり、データリンク出力部６２が出力するデータも、図３０（ｂ）に示すように送信先ＭＡＣアドレスとＩＰパケットである。
【０１２０】
ＩＰ層は、パケット転送要請処理部７２、登録処理部７３、登録テーブル監視部７４、ＩＰ入力部７５、ＩＰ出力部７６を備えている。
【０１２１】
パケット転送要請処理部７２は、ブロードキャスト又はマルチキャストのＩＰアドレス宛に、防御対象端末のＩＰアドレス及びＭＡＣアドレスを含むパケット転送要請メッセージを送信する。
【０１２２】
具体的には、図３１に示すようにパケット転送要請処理部７２は、ステップＳ５４１においてパケット転送要請パケットを生成し、ステップＳ５４２において、データリンク出力部６２に生成したパケットとブロードキャストのＭＡＣアドレスを送信する。
【０１２３】
パケット転送要請処理部７２からデータリンク出力部６２に入力されるデータは、図３２に示すように、ブロードキャストのＭＡＣアドレスと、宛先ＩＰアドレスとしてブロードキャスト又はマルチキャストのＩＰアドレスが設定され、送信元ＩＰアドレスとして防御対象端末２ａのＩＰアドレスが設定されたＩＰヘッダ部と、パケット転送要請データ部である。
【０１２４】
登録処理部７３は、パケット転送要請メッセージに応答してパケット転送装置１からパケット転送装置１のＩＰアドレス及びＭＡＣアドレスを含むパケット転送広告メッセージを受信すると、パケット転送装置１にパケットの転送を依頼する登録要求メッセージを送信する。更に、登録処理部７３は、例えば図３５に示すように、パケット転送装置１のＩＰアドレス及びＭＡＣアドレスと有効時間を登録テーブル７１に関連づけて記憶する。
【０１２５】
登録処理部７３は具体的には、図３３に示すように、ステップＳ５６１において、登録処理部７３は、パケット転送広告メッセージを受信すると、パケット転送広告メッセージの送信元ＩＰアドレスを使用して、登録要求メッセージを生成する。この際に、少なくともパケット転送の登録の有効時間を格納する。登録の有効時間は、防御対象端末２ａの利用者が自身で判断して設定できる機能であっても良い。ステップＳ５６１において登録要求メッセージが生成されると、ステップＳ５６２において、データリンク出力部６２にデータを送信する。
【０１２６】
登録処理部７３に入力されるデータは、図３４（ａ）に示すように、宛先ＭＡＣアドレスに防御対象端末２ａのＭＡＣアドレスが設定され、送信元ＭＡＣアドレスにパケット転送装置１のＭＡＣアドレスが設定されたデータリンクヘッダ部と、宛先ＩＰアドレスに防御対象端末２ａのアドレスが設定され、送信元ＩＰアドレスにパケット転送装置１のＩＰアドレスが設定されたＩＰヘッダ部と、パケット転送広告メッセージであることを示すパケット転送広告データ部とを備える。登録処理部７３から出力されるデータは、図３４（ｂ）に示すように、図３４（ａ）のデータリンクヘッダ部の送信元ＭＡＣアドレスで設定されたパケット転送装置１のＭＡＣアドレスと、宛元ＩＰアドレスとして図３４（ａ）のＩＰヘッダ部の送信元ＩＰアドレスで設定されたパケット転送装置１のＩＰアドレスが設定され、送信元ＩＰアドレスとして防御対象端末２ａのＩＰアドレスが設定されたＩＰヘッダ部と、登録要求メッセージであることを示す登録要求データ部を備える。登録要求データ部は、少なくともパケット転送装置１によるパケットの転送の有効時間のデータが含まれる。
【０１２７】
登録処理部７３は、又、データリンク入力部６１から登録応答メッセージを受信し、登録テーブル７１への登録に成功した場合、パケット転送を継続するために、格納した有効時間内に登録要求メッセージを再度送信し、登録の更新を行う。又、登録応答メッセージを受信し、登録結果のデータに有効時間に問題があることを示すデータが格納されていた場合、有効時間を短くして登録要求メッセージを再度送信する。
【０１２８】
具体的には、図３６に示すように登録処理部７３は、ステップＳ５８１において登録に成功したか否かを判定する。ステップＳ５８１において登録に成功したと判定されると、ステップＳ５８２において、登録テーブル７１に、送信元アドレスであるパケット転送装置１のＩＰアドレス及びＭＡＣアドレスを追加する。ステップＳ５８１において登録に成功しなかった場合、ステップＳ５８３において、登録応答メッセージに有効時間に問題があることが示されているか否かが判定される。示されていない場合、そのまま処理を終了する。有効時間に問題があることが示されている場合、ステップＳ５８４において、有効時間を短くして新たに登録要求メッセージを作成し、ステップＳ５８５において、データリンク出力部６２に送信する。有効時間を短くする方法は、必ず毎回ある一定の値を引くような処理でも構わないし、前回送信した有効時間の一定の割り合いの時間を引くような処理でも構わない。
【０１２９】
登録処理部７３に入力されるデータは、図３７（ａ）に示すように、宛先ＭＡＣアドレスに防御対象端末２ａのＭＡＣアドレスが設定され、送信元ＭＡＣアドレスにパケット転送装置１のＭＡＣアドレスが設定されたデータリンクヘッダ部と、宛先ＩＰアドレスに防御対象端末２ａのＩＰアドレスが設定され、送信元ＩＰアドレスにパケット転送装置１のアドレスが設定されたＩＰヘッダ部と、登録応答メッセージであることを示す登録応答データ部を備える。登録応答データ部は、少なくとも、パケット転送装置１において登録テーブル３１への登録が成功したか否かの結果が含まれる。
【０１３０】
登録テーブル監視部７４は、登録テーブル７１を読み出して有効時間をデクリメントするとともに、有効時間が所定の閾値を下回りかつ継続してパケット転送装置１からのパケット転送を要求する場合、パケット転送装置１に新たな有効時間を含む新たな登録要求メッセージを送信するとともに、防御対象端末２ａの登録テーブル７１の有効時間を新たな有効時間に更新する。具体的には、登録テーブル監視部７４は、定期的に登録テーブルを監視し、登録テーブルから有効時間が０となっているデータを削除する。これに対しデータが削除されないようにするため、登録テーブル監視部７４は定期的な監視の際に、有効時間が所定の閾値より小さい場合、登録要求メッセージを送信する。これ応答して登録応答メッセージを受信することで、防御対象端末２ａは、テーブルの有効時間の値を、登録要求メッセージに格納した値に設定することができる。
【０１３１】
次に図３８を参照して、登録テーブル監視部７４の処理を説明する。ここでは、定期的に登録テーブル７１を監視するタイミングを1秒とし、テーブルの有効時間の値のオーダが秒とすることを想定している。又、有効時間が小さくなることで登録要求メッセージを送信する閾値を１０秒としているが、有効時間の半分の値などの相対比で示されても良い。
【０１３２】
登録テーブル監視部７４は、ステップＳ６０１において、登録テーブル７１からレコードを読み出し、ステップＳ６０２において、有効時間の値が０であるか否かを判定する。０である場合、ステップＳ６０３において登録テーブル７１からレコードを削除し、終了する。
【０１３３】
ステップＳ６０２において有効時間の値が０でないと判定され、ステップＳ６０４において有効時間が１０以下でないと判定されると、ステップＳ６０７において、登録テーブル７１から読み出したデータの有効時間の値を１減らし、登録テーブル７１に格納する。一方、ステップＳ６０２において有効時間の値が０でないと判定され、ステップＳ６０４において有効時間が１０以下であると判定されると、ステップＳ６０５において、パケット転送装置１の登録テーブル３１を更新させる新たな登録要求メッセージを作成し、ステップＳ６０６においてデータリンク出力部６２に送信する。更に、登録テーブル監視部７４は、ステップＳ６０７において、登録テーブル７１から読み出したデータの有効時間の値を１減らし、登録テーブル７１に格納する。
【０１３４】
ここで、登録テーブル監視部７４がデータリンク出力部６２に送信するデータは、登録テーブル７１に記憶されたパケット転送装置１のＭＡＣアドレスと、宛先ＩＰアドレスとしてパケット転送装置１のＩＰアドレスが設定され、送信元ＩＰアドレスとして防御対象端末２ａのＩＰアドレスが設定されたＩＰヘッダ部と、登録要求メッセージであることを示す登録要求データ部とを備える。登録要求データ部は、少なくとも有効時間のデータを含む。
【０１３５】
ＩＰ入力部７５は、図４０のステップＳ６２１に示すように、入力されたデータをオリジナルＩＰ入力部５３に送信する手段である。ＩＰ入力部７５に入力されるデータは、図４１（ａ）に示すように、ＩＰヘッダ部とＩＰペイロード部を備える。ＩＰ入力部７５か
オリジナルＩＰ入力部５３に送信されるデータは、図４１（ｂ）に示すように、ＩＰヘッダ部とＩＰペイロード部を備える。
【０１３６】
ＩＰ出力部７６は、登録テーブル７１に登録されたＭＡＣアドレスに基づいて、データを作成し、データリンク出力部６２に送信する。オリジナルのＩＰ層は、オリジナルのデータリンク層に対して送信するのと同じデータを拡張仕様部６０に送信するため、ＩＰパケットとＭＡＣアドレスが拡張仕様部６０に渡される。しかし拡張仕様部６０は、パケット転送装置１のＭＡＣアドレスに対してパケットを転送するため、オリジナル仕様部５０のオリジナルのＩＰ層から渡されるＭＡＣアドレスは使用しない。
【０１３７】
具体的には、図４２に示すように、ステップＳ６４１においてＩＰ出力部７６は、登録テーブル７１からパケットを中継しているパケット転送装置１のＭＡＣアドレスを取得する。ステップＳ６４２において、ＭＡＣアドレスの取得に成功した場合、ステップＳ６４３において、データリンク出力部にデータを送信する。
【０１３８】
ステップＳ６４２においてＭＡＣアドレスの取得に失敗した場合、ステップＳ６４４において、パケット転送要請処理部７２に対して、パケット転送要請メッセージの発行を依頼し、登録応答メッセージが受信されるのを待機して、ステップＳ６４５において、登録テーブル７１から再び、パケット転送装置１のＭＡＣアドレスを取得する。ＭＡＣアドレスの取得に成功した場合、ステップＳ６４３において、データリンク出力部にデータを送信する。ステップＳ６４６においてＭＡＣアドレスの取得に失敗した場合、何もしないで終了する。
【０１３９】
ＩＰ出力部７６に入力されるデータは、図４３（ａ）に示すように、データを送信した端末のＭＡＣアドレスと、ＩＰヘッダ部とＩＰペイロード部である。ＩＰ出力部７６からデータリンク出力部６２に送信されるデータは、登録テーブル７１から取得したパケット転送装置１のＭＡＣアドレスと、ＩＰヘッダ部とＩＰペイロード部である。図４３（ａ）で入力されるＭＡＣアドレスは使用されず、登録テーブル７１から取得したＭＡＣアドレスが使用される。
【０１４０】
又、ＩＰ出力部７６は、オリジナルのＩＰ層からＡＲＰ要求メッセージを受信することがある。しかし防御対象端末２ａは、ＡＲＰ要求メッセージ及びＡＲＰ応答メッセージを送信しないため、図４４のステップＳ６６１に示すようにＩＰ出力部７６は、ダミーのＡＲＰ応答メッセージを生成し、ステップＳ６６２においてダミーのＡＲＰ応答メッセージをオリジナルのＩＰ層に送信する。
【０１４１】
ＩＰ出力部７６に入力されるＡＲＰ要求データは、図４５に示すように、送信元ＭＡＣアドレス、送信元ＩＰアドレス、ブロードキャストのＭＡＣアドレスが設定されたターゲットＭＡＣアドレス、ターゲットＩＰアドレスとを備えている。ＩＰ出力部７６が送信するダミーのＡＲＰ応答メッセージは、ダミーのデータが設定された送信元ＭＡＣアドレスと、図４５（ａ）のターゲットＩＰアドレスが設定された送信元ＩＰアドレス、図４５（ａ）の送信元ＭＡＣアドレスが設定されたターゲットＭＡＣアドレス、図４５（ａ）の送信元ＩＰアドレスが設定されたターゲットＩＰアドレスを備える。
【０１４２】
ダミーのＡＲＰ応答メッセージは、ターゲットＭＡＣアドレスとＩＰアドレスに、ＡＲＰ要求メッセージの送信元アドレスを使用する。送信元ＩＰアドレスには、ＡＲＰ要求メッセージのターゲットＩＰアドレスを設定し、送信ＭＡＣアドレスにはダミーのＭＡＣアドレスを設定する。このダミーのＭＡＣアドレスは、ブロードキャストアドレス及び防御対象端末２ａ自身のＭＡＣアドレス以外であれば、どのような値でも良い。このダミーのＭＡＣアドレスは、オリジナルのＩＰ層がＩＰパケットを拡張仕様部６０のＩＰ出力部７６に送信する際に、ＩＰパケットとともに渡されＭＡＣアドレスとして使用される。しかしＩＰ出力層は、上記のとおり入力されたＭＡＣアドレスを無視するため、ダミーのＭＡＣアドレスはどのような値でも良い。
【０１４３】
上述した様に、本発明の最良の実施の形態に係る通信システムにおいては、パケット転送装置１は、防御対象端末２ａ宛の全ての通信データを代理で受け取り、パケット転送装置１上で不正なパケットかどうかを判断し、正常なパケットであれば防御対象端末２ａに転送する。防御対象端末２ａは、パケット転送装置１以外からパケットが送信されても、パケットを破棄することで、不正なデータの受信を防ぐことができる。又、防御対象端末２ａは、全ての通信データを必ずパケット転送装置１を中継して送信する。パケット転送装置１は、防御対象端末２ａから受信したパケットを、不正なパケットかどうかを判断し正常なパケットであれば転送する。
【０１４４】
又、本発明の最良の実施の形態に係る通信システムにおいては、パケット転送装置１と防御対象端末２ａは、同一のセグメント上に位置すれば良い。パケット転送装置１が物理的にネットワークを分離しないため、ルータ３で区切られたパケット転送装置１と同一のセグメントであれば、防御対象端末２ａがどの位置に存在しても不正アクセスを防御することができる。又、防御対象端末２ａがパケット転送装置１以外からデータを受信することなく、防御対象端末２ａがデータを送信する際に必ずパケット転送装置１を中継することから、所定の防御対象端末間の通信データに関しても不正アクセスを防御することができる。
【０１４５】
（最良の実施の形態の変形例）
本発明の最良の実施の形態においては、パケット転送装置１と防御対象端末２ａとがルータ３を越えないセグメントに位置する場合について説明したが、本発明の最良の実施の形態の変形例においては、防御対象端末２ａがルータを越えたネットワークに位置する場合について説明する。本発明の最良の実施の形態の変形例においては、防御対象端末２ａの物理的な位置に依存することなく、ネットワークから入力される不正アクセスに関するパケットを防御し、更に防御対象端末間における不正アクセスに関するパケットを防御する。
【０１４６】
具体的には、図４６に示すように、防御対象端末２ａはモバイルＩＰ（ＲＦＣ３３４４）が適用されたモバイル端末であり、第１の通信ネットワークをホームネットワークとして、任意のネットワークに位置することができる。ここで、ホームネットワークとは、防御対象端末２ａのホームアドレスのネットワークプリフィックスと同じネットワークプリフィックスを持つネットワークセグメントのことである。ホームネットワークにはホームエージェントと呼ばれるルータが設けられ、防御対象端末２ａが外部リンクに接続しているときは、防御対象端末２ａのホームアドレス宛のパケットを捕捉し、防御対象端末２ａの気付アドレス宛にトンネル経由で転送する。
【０１４７】
パケット転送装置１は、第１の通信ネットワーク４ａ上に位置し、モバイルＩＰにおける防御対象端末２ａのホームエージェント機能を備える。これにより、防御対象端末２ａがルータ３を介したネットワークにおいても、防御対象端末２ａの通信データは、必ずパケット転送装置１を介して送信されるため、防御対象端末２ａの物理的な位置に依存することなく、防御対象端末２ａを不正アクセスから防御することができる。
【０１４８】
具体的には、本発明の最良の実施の形態の変形例に係るパケット転送装置１は、モバイルＩＰに基づいて通信する防御対象端末に通信データを転送する装置であって、通信相手端末から防御対象端末宛のパケットを代理して受信し防御対象端末に転送し、防御対象端末のホームエージェントとして機能する。パケット転送装置１は、防御対象端末２ａから、ブロードキャスト又はマルチキャストのＩＰアドレス宛に、防御対象端末のＩＰアドレス及びＭＡＣアドレスを含むエージェント要請メッセージを受信し、防御対象端末２ａにパケット転送装置のＩＰアドレス、ＭＡＣアドレスを含むエージェント広告メッセージを送信する。これに応答して、パケット転送装置１は、防御対象端末２ａから、パケット転送装置１にパケットの転送を依頼する有効時間を含む移動登録要求メッセージを受信するとともに、パケット転送装置１の防御対象となる端末が登録された登録テーブル３１に防御対象端末２ａのＩＰアドレス及びＭＡＣアドレスが関連づけられたレコードを記憶するとともに、レコードの登録結果を含む移動登録応答メッセージを防御対象端末２ａに送信する。さらに、パケット転送装置１は、通信相手端末５から防御対象端末２ａのＩＰアドレスを含むＡＲＰ要求メッセージを受信するとともに、通信相手端末５にパケット転送装置のＭＡＣアドレスを含む代理ＡＲＰメッセージを送信し、通信相手端末５から、防御対象端末２ａのＩＰアドレス宛の通信データを受信する。
【０１４９】
ここで、パケット転送装置１は、防御対象端末２ａがホームネットワークに位置しない場合、モバイルＩＰに従って防御対象端末２ａのＩＰアドレス宛の通信データを防御対象端末２ａに転送する。一方、防御対象端末２ａがホームネットワークに位置しかつ登録テーブル３１に防御対象端末２ａのＩＰアドレス及びＭＡＣアドレス及び１以上の有効時間が登録されている場合、防御対象端末２ａのＩＰアドレス宛の通信データを防御対象端末２ａに転送する。
【０１５０】
本発明の最良の実施の形態の変形例に係る防御対象端末２ａは、ブロードキャスト又はマルチキャストのＩＰアドレス宛に、防御対象端末２ａのＩＰアドレス及びＭＡＣアドレスを含むエージェント要請メッセージを送信し、パケット転送装置１から、パケット転送装置１のＩＰアドレス、ＭＡＣアドレスを含むエージェント広告メッセージを受信する。
【０１５１】
防御対象端末２ａが、ホームネットワークに位置している場合、有効時間を１以上に設定して移動登録要求メッセージをパケット転送装置１に送信し、パケット転送装置１のＩＰアドレス及びＭＡＣアドレスと有効時間を登録テーブル７１に関連づけて記憶し、登録テーブル７１を読み出して有効時間をデクリメントするとともに、有効時間が所定の閾値を下回りかつ継続してパケット転送装置１からのパケット転送を要求する場合、パケット転送装置１に新たな有効時間を含む新たな登録要求メッセージを送信するとともに、登録テーブル７１の有効時間を新たな有効時間に更新する。防御対象端末２ａは、パケット転送装置１から、パケット転送装置１の防御対象となる端末が登録された登録テーブルへの登録結果を含む移動登録応答メッセージを受信する。一方、ホームネットワーク以外に位置している場合、防御対象端末２ａは、有効時間を０に設定して移動登録要求メッセージを送信し、モバイルＩＰに従って、パケット転送装置からパケットを受信する。
【０１５２】
次に、図４７を参照して本発明の最良の実施の形態の変形例において、パケット転送装置１と同一セグメントに存在する防御対象端末２ａが、他のセグメントに移動した場合の処理を説明する。
【０１５３】
まず、防御対象端末２ａは、ルータ３を越えないパケット転送装置１と同一セグメントであり、ホームネットワークである第１の通信ネットワーク４ａに位置するとする。
【０１５４】
ステップＳ８０１において、通信相手端末５は、通信先である防御対象端末２ａのＩＰアドレスを含むＡＲＰ要求メッセージをパケット転送装置１に送信する。ステップＳ８０１において、パケット転送装置１によって、通信相手端末５から防御対象端末２ａのＩＰアドレスを含むＡＲＰ要求メッセージが受信される。防御対象端末２ａのＩＰアドレスを含むＡＲＰ要求メッセージに応答して、ステップＳ８０２において、パケット転送装置１によって、通信相手端末５にパケット転送装置１のＭＡＣアドレスを含む代理ＡＲＰメッセージが送信される。これにより防御対象宛の通信データは、全てパケット転送装置が受信する。
【０１５５】
具体的には、ステップＳ８０３において、パケット転送装置１によって、通信相手端末５から防御対象端末２ａのＩＰアドレス宛の通信データが受信されると、パケット転送装置１によって、防御対象端末２ａのＩＰアドレス宛の通信データを防御対象端末２ａに転送するか否かが判定される。この様にパケット転送装置１は、受信した防御対象端末２ａ宛のデータに対し、不正アクセスに関するパケットか判別し、ステップＳ８０４において、不正アクセスに関するパケットであると判定された場合パケットを破棄する。一方、問題のないパケットであると判定された場合、具体的には、防御対象端末２ａに転送すると判定された場合、ステップＳ８０５において、パケット転送装置１によって、防御対象端末２ａのＩＰアドレス宛の通信データが防御対象端末２ａのＭＡＣアドレス宛に転送される。これに対応して、防御対象端末２ａによって、防御対象端末２ａのＩＰアドレス及びＭＡＣアドレス宛の通信データが受信される。
【０１５６】
一方、ステップＳ８０６において、防御対象端末２ａが通信相手端末５に通信データを送信する場合、防御対象端末２ａによって、通信相手端末５のＩＰアドレス宛の通信データがパケット転送装置１のＭＡＣアドレスに送信される。これに対応して、パケット転送装置１によって、防御対象端末２ａから通信相手端末５のＩＰアドレス宛の通信データが受信されると、パケット転送装置１によって、通信相手端末５のＩＰアドレス宛の通信データを通信相手端末５に転送するか否かが判定される。パケット転送装置１は、受信した通信データが不正アクセスに関するパケットである場合、ステップＳ８０７においてこのパケットを破棄する。一方、問題のないパケットと判定された場合、具体的には、通信相手端末５に転送すると判定された場合、ステップＳ８０８において、パケット転送装置１によって、通信相手端末５のＩＰアドレスを含むＡＲＰ要求メッセージが送信される。これは、防御対象端末間の不正アクセスを防御するために必要となる。
【０１５７】
ステップＳ８０８で送信された通信相手端末５のＩＰアドレスを含むＡＲＰ要求メッセージに応答して、ステップＳ８０９において、パケット転送装置１によって、通信相手端末５から通信相手端末５のＭＡＣアドレスを含むＡＲＰ応答メッセージが受信される。
【０１５８】
これに対してステップＳ８１０において、パケット転送装置１によって、通信相手端末５のＩＰアドレス宛の通信データが通信相手端末のＭＡＣアドレス宛に転送される。
【０１５９】
ここで、防御対象端末２ａは、ルータ３を越えた第３の通信ネットワーク４ｃに移動するとする。パケット転送装置１が防御対象端末２ａがホームネットワーク外に移動したことが検知されると、パケット転送装置１は、移動した防御対象端末２ａに対して、図６に示した処理のうちパケットフィルタリング処理部３８以外の全ての動作を停止する。一方、パケット転送装置１は、モバイルＩＰのホームエージェントに沿った動作を行う。これによりパケット転送装置１は、モバイルＩＰの機能により防御対象端末２ａ宛の全ての通信データを代理で受け取る。
【０１６０】
具体的には、まず、通信相手端末５は、防御対象端末２ａに対してデータを送信する場合、防御対象端末２ａのＩＰアドレスをターゲットアドレスとしたＡＲＰ要求メッセージを送信する。しかし、防御対象端末２ａは、ホームネットワークではないネットワークに移動しているため、ＡＲＰ応答メッセージに対して返信しない。これに対し、ステップＳ８１１において、ホームエージェントとして機能するパケット転送装置１は、通信相手端末５からＡＲＰ要求メッセージを受信すると、移動したモバイルノードとして動作する防御対象端末２ａにパケットを転送するため、モバイルＩＰに従ってパケット転送装置１が代理ＡＲＰメッセージを通信相手端末５に送信する。通信相手端末５は、代理ＡＲＰメッセージを受信すると、ステップＳ８１３において通信相手端末５は、ホームエージェントとして動作するパケット転送装置１に対して、通信データをパケット転送装置１に送信する。
【０１６１】
パケット転送装置１は、パケットフィルタリング処理部３８によって、受信したパケットが不正アクセスに関するデータであるか否かを判定する。不正アクセスに関するデータであると判定された場合、ステップＳ８１４においてパケットを破棄し、転送しない。不正アクセスに関しないデータであると判定された場合、ホームエージェントとして動作するパケット転送装置１は、ステップＳ８１５において、防御対象端末２ａ宛の通信データを、モバイルＩＰに従って、移動した防御対象端末２ａに送信する。このとき送信されるデータは、図４８に示すようにＩＰ−ｉｎ−ＩＰカプセル化されたパケットである。
【０１６２】
ここで、防御対象端末は、ルータ３を超えたセグメントに移動した場合、図２６の拡張仕様部６０に記載した処理の全ての動作を停止する。代わりに、モバイルＩＰに沿った動作を行う。この際に、モバイルＩＰのリバーストンネリング（Reverse Tunneling：RFC3024）を使用し、全ての通信データを必ずホームエージェントとして動作するパケット転送装置１を中継して送信するようにする。
【０１６３】
具体的には、パケット転送装置１は、防御対象端末２ａから通信データを受信すると、パケットフィルタリング処理部３８を使用して、防御対象端末２ａから転送されたデータに対し、不正アクセスに関するパケットか判別する。このとき送信されるデータも、図４８に示すようにＩＰ−ｉｎ−ＩＰカプセル化されたパケットである。パケット転送装置１は、ステップＳ８１７において不正アクセスに関するパケットであると判定された場合パケットを破棄し、転送しない。
【０１６４】
問題のないパケットと判定された場合、モバイルＩＰにより通信相手端末５に送信する。このとき、パケット転送装置１は、ステップＳ８１８において、通信相手端末５に対してＡＲＰ要求メッセージを送信する。通信相手端末５は、ステップＳ８１９においてＡＲＰ応答メッセージを返す。ＡＲＰ応答メッセージを受信するとパケット転送装置１は、モバイルＩＰに従い防御対象端末２ａから転送されたデータを通常の通信データに変換し、通信相手にこのデータを送信する。通常の通信データに変換するとは、ＩＰ−ｉｎ−ＩＰカプセル化されたパケットのＩＰヘッダを削除し、ＩＰペイロード部を、元々の通信データであるＩＰヘッダとＩＰペイロードに分割することである。
【０１６５】
以上により、セグメントを越えたネットワークに移動しても、防御対象端末２ａに関する全てのパケットをが、必ずパケット転送装置１を中継して不正なパケットであるか判定され、問題ないデータのみ中継される通信が可能となる。
【０１６６】
次に図４９を参照して、防御対象端末２ａが図２６の拡張仕様部６０に示した機能を使用しているときに、第１の通信ネットワーク４ａからルータ３を越えて第３の通信ネットワーク４ｃに移動し、パケット転送装置１がモバイルＩＰに基づいた転送に切り替わる場合について説明する。
【０１６７】
まず、ステップＳ８５１において、防御対象端末２ａは、モバイルＩＰのエージェント要請（Agent Solicitation）メッセージを送信する。本発明の最良の実施の形態においてパケット転送要請メッセージは、ＩＰ層以上のパケットであり、パケット転送要請メッセージと識別できるデータであればどのような形式でも良いので、本発明の最良の実施の形態の変形例においてパケット転送要請メッセージは、エージェント要請メッセージに代用されている。
【０１６８】
これに応答してパケット転送装置１は、ステップＳ８５２において、エージェント広告（Agent Advertisement）メッセージを送信する。本発明の最良の実施の形態においてパケット転送広告メッセージは、ＩＰ層以上のパケットであり、パケット転送広告メッセージと識別できるデータであればどのような形式でも良いので、本発明の最良の実施の形態の変形例においてパケット転送広告メッセージは、エージェント広告メッセージに代用されている。
【０１６９】
エージェント広告メッセージを受信すると防御対象端末２ａは、ステップＳ８５３において、モバイルＩＰの移動登録要求（Binding Update）メッセージを送信する。本発明の最良の実施の形態において登録要求メッセージは、ＩＰ層以上のパケットであり、登録要求メッセージと識別できるデータであればどのような形式でも良いので、本発明の最良の実施の形態の変形例において登録要求メッセージは、移動登録要求メッセージに代用されている。ここで、モバイルＩＰの移動登録要求メッセージは、移動していない状態、具体的には、ホームエージェントと同じセグメントに位置する場合において、有効時間を常に０しなければならない。このため、本発明の最良の実施の形態の変形例においては、図５０（ａ）に示すうに、移動登録要求メッセージの拡張部分を使用して有効時間が格納されるのが好ましい。又、防御対象端末２ａは、ホームネットワークから移動していない状態でモバイルＩＰの移動登録要求メッセージを、本発明の最良の実施の形態におけるの登録要求メッセージとして使用する。従って、ホームネットワークから移動していない状態においても図２６の拡張仕様部６０に示した機能により、登録有効時間以内の間隔で、モバイルＩＰの移動登録要求メッセージを発行し、登録を維持する。
【０１７０】
移動登録要求メッセージを受信すると防御対象端末２ａは、ステップＳ８５４において、モバイルＩＰの移動登録応答（Binding ACK）メッセージを送信する。本発明の最良の実施の形態において登録応答メッセージは、ＩＰ層以上のパケットであり、登録応答メッセージと識別できるデータであればどのような形式でも良いので、本発明の最良の実施の形態の変形例において登録応答メッセージは、移動登録応答メッセージに代用されている。
【０１７１】
ここで、防御対象端末２ａは、ルータ３を越えた第３の通信ネットワーク４ｃに移動するとする。移動した先では、防御対象端末２ａは、モバイルＩＰが適用されたモバイル端末として動作するため、ステップＳ８５５に示すように本発明の最良の実施の形態の登録要求メッセージを兼ねるモバイルＩＰの移動登録要求メッセージが、防御対象端末２ａが移動したことを通知する移動登録要求メッセージとして送信される。ここで、ホームエージェントと異なるセグメントに防御対象端末２ａが移動しており図２６の拡張仕様部６０に示した機能が停止されているので、図５０（ｂ）に示すように移動先での移動登録要求メッセージにおいては、同拡張部分にパケット転送装置１用に有効時間として０が格納されるのが好ましい。
【０１７２】
モバイルＩＰの移動登録要求メッセージを受信すると、パケット転送装置１は、ステップＳ８５６において、本発明の最良の実施の形態の登録応答メッセージを兼ねるモバイルＩＰの移動登録応答メッセージが送信される。
【０１７３】
本発明の最良の実施の形態での登録応答メッセージには、ＩＰ層でかつ少なくとも登録結果を持つデータであれば良いので、モバイルＩＰの移動登録応答メッセージとその拡張部分を使用することで、ステップＳ８５４において、本発明の最良の実施の形態での登録応答メッセージとして使用される。又ホームネットワークから移動した先では、モバイルＩＰが適用されたモバイルＩＰ端末として動作するため、ステップＳ８５６において、本発明の最良の実施の形態における登録応答メッセージを兼ねるモバイルＩＰの移動登録応答メッセージが、防御対象端末２ａの移動登録を了解した移動登録応答メッセージとして送信される。このとき、図５１に示すように、移動登録応答メッセージの拡張部分に、パケット転送装置１における登録の結果が格納されるのが好ましい。
【０１７４】
この様に、本発明の最良の実施の形態の変形例においては、パケット転送装置１がホームエージェントを兼ね、モバイルＩＰに係る送受信パケットの拡張機能として、有効時間が格納されることにより、防御対象端末２ａがホームネットワークの外に移動した場合でも、パケット転送装置１は、パケットを転送することができる。又、既存のモバイルＩＰの送受信パケットに有効時間を設定するだけで良いので、大きなシステム改変を加えることなく、本発明の最良の実施の形態における利点を得ることができる。
【０１７５】
（その他の実施の形態）
上記のように、本発明の最良の実施の形態とその変形例によって記載したが、この開示の一部をなす論述及び図面はこの発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施の形態、実施例及び運用技術が明らかとなる。
【０１７６】
本発明はここでは記載していない様々な実施の形態等を含むことは勿論である。従って、本発明の技術的範囲は上記の説明から妥当な特許請求の範囲に係る発明特定事項によってのみ定められるものである。
【図面の簡単な説明】
【０１７７】
【図１】本発明の最良の実施の形態に係る情報通信システムのシステム構成図である。
【図２】本発明の最良の実施の形態に係る情報通信システムにおいて、不正アクセスが受信された場合を説明する図である。
【図３】本発明の最良の実施の形態に係るパケット転送装置が、防御対象端末と通信相手端末との通信を、パケット転送装置が仲介するシーケンス図である。
【図４】本発明の最良の実施の形態に係るパケット転送装置が、防御対象端末を防御対象として登録するシーケンス図である。
【図５】本発明の最良の実施の形態に係るパケット転送装置において、防御対象端末を防御対象として登録する場合に送受信されるパケットの構成図である。
【図６】本発明の最良の実施の形態に係るパケット転送装置の機能ブロック図である。
【図７】本発明の最良の実施の形態に係るパケット転送装置のハードウェア構成図である。
【図８】本発明の最良の実施の形態に係るパケット転送装置のデータリンク入力部のフローチャートである。
【図９】本発明の最良の実施の形態に係るパケット転送装置のデータリンク入力部で入出力されるパケットの構成図である。
【図１０】本発明の最良の実施の形態に係るパケット転送装置のデータリンク出力部のフローチャートである。
【図１１】本発明の最良の実施の形態に係るパケット転送装置のデータリンク出力部で入出力されるパケットの構成図である。
【図１２】本発明の最良の実施の形態に係るパケット転送装置のパケット転送広告部のフローチャートである。
【図１３】本発明の最良の実施の形態に係るパケット転送装置のパケット転送広告処理部で入出力されるパケットの構成図である。
【図１４】本発明の最良の実施の形態に係るパケット転送装置の登録テーブルのデータ構造とデータの一例を説明する図である。
【図１５】本発明の最良の実施の形態に係るパケット転送装置の登録処理部のフローチャートである。
【図１６】本発明の最良の実施の形態に係るパケット転送装置の登録処理部で入出力されるパケットの構成図である。
【図１７】本発明の最良の実施の形態に係るパケット転送装置の登録テーブル監視部のフローチャートである。
【図１８】本発明の最良の実施の形態に係るパケット転送装置のＡＲＰ処理部でＡＲＰパケットが入力された場合のフローチャートである。
【図１９】本発明の最良の実施の形態に係るパケット転送装置のＡＲＰ処理部でＡＲＰパケットが入力された場合に入出力されるパケットの構成図である。
【図２０】本発明の最良の実施の形態に係るパケット転送装置のＡＲＰ処理部でＩＰ出力部からＲＰ要求の出力を依頼された場合のフローチャートと、入出力されるパケットの構成図である。
【図２１】本発明の最良の実施の形態に係るパケット転送装置のＩＰ入力部でＩＰパケットが入力された場合のフローチャートと、入出力されるパケットの構成図である。
【図２２】本発明の最良の実施の形態に係るパケット転送装置の転送判定部のフローチャートである。
【図２３】本発明の最良の実施の形態に係るパケット転送装置の転送判定部で入出力されるパケットの構成図である。
【図２４】本発明の最良の実施の形態に係るパケット転送装置のＩＰ出力部のフローチャートである。
【図２５】本発明の最良の実施の形態に係るパケット転送装置のＩＰ出力部で入出力されるパケットの構成図である。
【図２６】本発明の最良の実施の形態に係る防御対象端末の機能ブロック図である。
【図２７】本発明の最良の実施の形態に係る防御対象端末のデータリンク入力部のフローチャートである。
【図２８】本発明の最良の実施の形態に係る防御対象端末のデータリンク入力部で入出力されるパケットの構成図である。
【図２９】本発明の最良の実施の形態に係る防御対象端末のデータリンク出力部のフローチャートである。
【図３０】本発明の最良の実施の形態に係る防御対象端末のデータリンク出力部で入出力されるパケットの構成図である。
【図３１】本発明の最良の実施の形態に係る防御対象端末のパケット転送要請処理部のフローチャートである。
【図３２】本発明の最良の実施の形態に係る防御対象端末のパケット転送要請処理部で入出力されるパケットの構成図である。
【図３３】本発明の最良の実施の形態に係る防御対象端末の登録処理部においてパケット転送広告を受信した場合のフローチャートである。
【図３４】本発明の最良の実施の形態に係る防御対象端末の登録処理部においてパケット転送広告を受信した場合に入出力されるパケットの構成図である。
【図３５】本発明の最良の実施の形態に係る防御対象端末の登録テーブルのデータ構造とデータの一例を説明する図である。
【図３６】本発明の最良の実施の形態に係る防御対象端末の登録処理部において登録応答を受信した場合のフローチャートである。
【図３７】本発明の最良の実施の形態に係る防御対象端末の登録処理部において登録応答を受信した場合に入出力されるパケットの構成図である。
【図３８】本発明の最良の実施の形態に係る防御対象端末の登録テーブル監視部のフローチャートである。
【図３９】本発明の最良の実施の形態に係る防御対象端末の登録テーブル監視部で入出力されるパケットの構成図である。
【図４０】本発明の最良の実施の形態に係る防御対象端末のＩＰ入力部のフローチャートである。
【図４１】本発明の最良の実施の形態に係る防御対象端末のＩＰ入力部で入出力されるパケットの構成図である。
【図４２】本発明の最良の実施の形態に係る防御対象端末のＩＰ出力部においてオリジナルのＩＰ層からＩＰパケットを受信した場合のフローチャートである。
【図４３】本発明の最良の実施の形態に係る防御対象端末のＩＰ出力部においてオリジナルのＩＰ層からＩＰパケットを受信した場合に入出力されるパケットの構成図である。
【図４４】本発明の最良の実施の形態に係る防御対象端末のＩＰ出力部においてオリジナルのＩＰ層からＡＲＰ要求パケットを受信した場合のフローチャートである。
【図４５】本発明の最良の実施の形態に係る防御対象端末のＩＰ出力部においてオリジナルのＩＰ層からＡＲＰ要求パケットを受信した場合に入出力されるパケットの構成図である。
【図４６】本発明の最良の実施の形態の変形例に係る情報通信システムのシステム構成図である。
【図４７】本発明の最良の実施の形態の変形例においてパケット転送装置が、防御対象端末と通信相手端末との通信を、パケット転送装置が仲介するシーケンス図である。
【図４８】本発明の最良の実施の形態の変形例において、ＩＰ−ｉｎ−ＩＰカプセル化されたパケットの構成図である。
【図４９】本発明の最良の実施の形態の変形例に係るパケット転送装置が、防御対象端末を防御対象として登録するシーケンス図である。
【図５０】本発明の最良の実施の形態の変形例において、移動登録要求メッセージの構成図である。
【図５１】本発明の最良の実施の形態の変形例において、移動登録応答メッセージの構成図である。
【図５２】従来のパケット転送装置が備えられた情報通信システムのシステム構成図である。
【図５３】従来の情報通信システムにおける問題を説明する図である。
【符号の説明】
【０１７８】
１、９０１…パケット転送装置、２ａ、２ｂ、２ｃ、９０２ａ、９０２ｂ…防御対象端末、３…ルータ、４ａ、４ｂ、４ｃ、９０４…通信ネットワーク、５…通信相手端末、１１…インタフェース入力部、１２…インタフェース出力部、２１…データリンク入力部、２２…データリンク出力部、３１…登録テーブル、３２…パケット転送広告処理部、３３…登録処理部、３４…登録テーブル監視部、３５…ＡＲＰ処理部、３６…ＩＰ入力部、３７…ＩＰ出力部、３８…パケットフィルタリング処理部、３９…転送判定部、５０…オリジナル仕様部、５１…インタフェース入力部、５２…オリジナルデータリンク入力部、５３…入力部、５４…出力部、５５…オリジナルデータリンク出力部、５６…インタフェース出力部、６０…拡張仕様部、６１…データリンク入力部、６２…データリンク出力部、７１…登録テーブル、７２…パケット転送要請処理部、７３…登録処理部、７４…登録テーブル監視部、７５…ＩＰ入力部、７６…ＩＰ出力部、１０１…中央処理制御装置、１０２…ＲＯＭ、１０３…ＲＡＭ、１０４…入力装置、１０５…表示装置、１０６…通信制御装置、１０７…記憶装置、１０８…リムーバブルディスク、１０９…入出力インタフェース、１１０…バス、９０５…不正侵入端末、９０６…感染端末
【図１】
2006050152.tif 000003
【図２】
2006050152.tif 000004
【図３】
2006050152.tif 000005
【図４】
2006050152.tif 000006
【図５】
2006050152.tif 000007
【図６】
2006050152.tif 000008
【図７】
2006050152.tif 000009
【図８】
2006050152.tif 000010
【図９】
2006050152.tif 000011
【図１０】
2006050152.tif 000012
【図１１】
2006050152.tif 000013
【図１２】
2006050152.tif 000014
【図１３】
2006050152.tif 000015
【図１４】
2006050152.tif 000016
【図１５】
2006050152.tif 000017
【図１６】
2006050152.tif 000018
【図１７】
2006050152.tif 000019
【図１８】
2006050152.tif 000020
【図１９】
2006050152.tif 000021
【図２０】
2006050152.tif 000022
【図２１】
2006050152.tif 000023
【図２２】
2006050152.tif 000024
【図２３】
2006050152.tif 000025
【図２４】
2006050152.tif 000026
【図２５】
2006050152.tif 000027
【図２６】
2006050152.tif 000028
【図２７】
2006050152.tif 000029
【図２８】
2006050152.tif 000030
【図２９】
2006050152.tif 000031
【図３０】
2006050152.tif 000032
【図３１】
2006050152.tif 000033
【図３２】
2006050152.tif 000034
【図３３】
2006050152.tif 000035
【図３４】
2006050152.tif 000036
【図３５】
2006050152.tif 000037
【図３６】
2006050152.tif 000038
【図３７】
2006050152.tif 000039
【図３８】
2006050152.tif 000040
【図３９】
2006050152.tif 000041
【図４０】
2006050152.tif 000042
【図４１】
2006050152.tif 000043
【図４２】
2006050152.tif 000044
【図４３】
2006050152.tif 000045
【図４４】
2006050152.tif 000046
【図４５】
2006050152.tif 000047
【図４６】
2006050152.tif 000048
【図４７】
2006050152.tif 000049
【図４８】
2006050152.tif 000050
【図４９】
2006050152.tif 000051
【図５０】
2006050152.tif 000052
【図５１】
2006050152.tif 000053
【図５２】
2006050152.tif 000054
【図５３】
2006050152.tif 000055