(57)【要約】【課題】  少ない負荷で、簡単にローカルエリアネットワーク外からの通信を制限する。【解決手段】  ＩＰｖ６に基づいて動作するネットワークに接続される多機能装置は、通信信号を受信すると、送信元及び送信先アドレスがグローバルアドレスであるか否か判断し、送信元アドレスがローカルアドレスである場合（Ｓ５１０でＮｏ）又は送信先アドレスがローカルアドレスである場合（Ｓ５２０でＮｏ）には、内部アクセスであると判定して（Ｓ５４０）、接続要求に対し肯定的に応答する。また、送信元及び送信先アドレスがグローバルアドレスであっても、両アドレスのプレフィックスが、同一ローカルエリアネットワークであることを示している場合には（Ｓ５３０でＹｅｓ）、内部アクセスであると判定する。そして、これ以外の場合には、外部アクセスであると判定し（Ｓ５５０）、接続を拒否する。【選択図】  図１２
2006108802.tif 000002
【特許請求の範囲】
【請求項１】
ローカルエリアネットワークに属する装置とは、前記ローカルエリアネットワークを構成する各装置の識別情報であるローカルアドレス、又は、前記ローカルエリアネットワークを下位ネットワークとして含む広域ネットワークを構成する各装置の識別情報である広域アドレスを用いて通信し、前記ローカルエリアネットワークに属さず前記広域ネットワークに属する装置とは、前記広域アドレスを用いて通信する手段であって、前記ローカルエリアネットワークに属する装置に向けて通信信号を送信する際には、その通信信号に、送信元の識別情報として、自装置のローカルアドレス又は広域アドレスを付し、前記ローカルエリアネットワークに属さず前記広域ネットワークに属する装置に向けて通信信号を送信する際には、その通信信号に、送信元の識別情報として、自装置の広域アドレスを付す構成にされた通信手段
を内蔵し、前記通信手段を内蔵した複数の装置によって構成されるネットワーク、に接続される通信装置であって、
当該通信装置内蔵の通信手段が、前記ローカルエリアネットワーク又は前記広域ネットワークに属する装置から通信信号を受信すると、その受信信号から、送信元の識別情報を抽出する抽出手段と、
前記抽出手段が抽出した送信元の識別情報が、広域アドレスであるか否かを判断する送信元判断手段と、
前記送信元判断手段により、前記送信元の識別情報が広域アドレスであると判断されると、当該通信装置内蔵の通信手段と、送信元装置との通信を制限する制限手段と、
を備えることを特徴とする通信装置。
【請求項２】
前記通信手段は、自装置を、前記ローカルエリアネットワーク及び広域ネットワークに、自動接続する構成にされていることを特徴とする請求項１記載の通信装置。
【請求項３】
前記ローカルアドレス及び広域アドレスは、ネットワークの識別情報としてのプレフィックスと、前記プレフィックス以外のアドレス部と、からなり、前記アドレス部は、前記ローカルアドレス及び広域アドレスが、該当するネットワークにおいて重複しないように、各装置に対してユニークに割り当てられることを特徴とする請求項１又は請求項２記載の通信装置。
【請求項４】
前記広域アドレスのプレフィックスは、前記広域ネットワークを構成する下位ネットワーク毎に、ユニークに割り当てられていることを特徴とする請求項３記載の通信装置。
【請求項５】
前記送信元判断手段により、前記送信元の識別情報が広域アドレスであると判断されると、前記抽出手段が抽出した送信元の識別情報としての前記広域アドレスのプレフィックスと、当該通信装置に設定された広域アドレスのプレフィックスと、に基づき、送信元装置が、当該通信装置と同一のローカルエリアネットワークに属する装置であるか否かを判断するネットワーク判断手段と、
前記ネットワーク判断手段により、送信元装置が当該通信装置と同一のローカルエリアネットワークに属する装置であると判断されると、前記制限手段の作動を禁止するエリア依存型作動禁止手段と、
を備えることを特徴とする請求項４記載の通信装置。
【請求項６】
前記送信元判断手段は、前記抽出手段が抽出した送信元の識別情報としての前記ローカルアドレス又は広域アドレスのプレフィックスを参照することにより、前記送信元の識別情報が、広域アドレスであるか否かを判断することを特徴とする請求項３〜請求項５のいずれかに記載の通信装置。
【請求項７】
前記通信手段は、前記ローカルエリアネットワークに属する装置に向けて通信信号を送信する際、その通信信号に、送信先の識別情報として、送信先装置のローカルアドレス又は広域アドレスを付し、前記ローカルエリアネットワークに属さず前記広域ネットワークに属する装置に向けて通信信号を送信する際には、その通信信号に、送信先の識別情報として、送信先装置の広域アドレスを付す構成にされ、
前記抽出手段は、前記受信信号から、前記送信元の識別情報と共に前記送信先の識別情報を抽出する構成にされ、
当該通信装置は、更に、
前記抽出手段が抽出した送信先の識別情報が、広域アドレスであるか否かを判断する送信先判断手段と、
前記送信先判断手段により、前記送信先の識別情報が広域アドレスではないと判断されると、前記制限手段の作動を禁止する送信先依存型作動禁止手段と、
を備えることを特徴とする請求項１〜請求項６のいずれかに記載の通信装置。
【請求項８】
前記通信手段は、前記ローカルエリアネットワークに属する装置に向けて通信信号を送信する際、その通信信号に、送信先の識別情報として、送信先装置のローカルアドレス又は広域アドレスを付し、前記ローカルエリアネットワークに属さず前記広域ネットワークに属する装置に向けて通信信号を送信する際には、その通信信号に、送信先の識別情報として、送信先装置の広域アドレスを付す構成にされ、
前記抽出手段は、前記受信信号から、前記送信元の識別情報と共に前記送信先の識別情報を抽出する構成にされ、
当該通信装置は、更に、
前記抽出手段が抽出した送信先の識別情報としての前記ローカルアドレス又は広域アドレスのプレフィックスを参照することにより、前記抽出手段が抽出した送信先の識別情報が、広域アドレスであるか否かを判断する送信先判断手段と、
前記送信先判断手段により、前記送信先の識別情報が広域アドレスではないと判断されると、前記制限手段の作動を禁止する送信先依存型作動禁止手段と、
を備えることを特徴とする請求項３〜請求項６のいずれかに記載の通信装置。
【請求項９】
前記ローカルエリアネットワークは、階層構造にされており、
当該通信装置は、更に、
前記抽出手段が抽出した送信元の識別情報がローカルアドレスである場合、そのローカルアドレスに基づいて、送信元装置が属する階層が、所定の階層より上層であるか否かを判断する階層判断手段と、
前記階層判断手段により、送信元装置が属する階層が所定の階層より上層であると判断されると、当該通信装置内蔵の通信手段と、前記送信元装置との通信を制限する上層制限手段と、
利用者が操作可能な操作手段からの指令信号に基づいて、前記上層制限手段の作動を制御する作動制御手段と、
を備えることを特徴とする請求項１〜請求項８のいずれかに記載の通信装置。
【請求項１０】
ローカルエリアネットワークに属する装置とは、前記ローカルエリアネットワークを構成する各装置の識別情報であるローカルアドレス、又は、前記ローカルエリアネットワークを下位ネットワークとして含む広域ネットワークを構成する各装置の識別情報である広域アドレスを用いて通信し、前記ローカルエリアネットワークに属さず前記広域ネットワークに属する装置とは、前記広域アドレスを用いて通信する手段であって、前記ローカルエリアネットワークに属する装置に向けて通信信号を送信する際には、その通信信号に、送信先の識別情報として、送信先装置のローカルアドレス又は広域アドレスを付し、前記ローカルエリアネットワークに属さず前記広域ネットワークに属する装置に向けて通信信号を送信する際には、その通信信号に、送信先の識別情報として、送信先装置の広域アドレスを付す構成にされた通信手段
を内蔵し、前記通信手段を内蔵した複数の装置によって構成されるネットワーク、に接続される通信装置であって、
当該通信装置内蔵の通信手段が、前記ローカルエリアネットワーク又は前記広域ネットワークに属する装置から通信信号を受信すると、その受信信号から、送信先の識別情報を抽出する抽出手段と、
前記抽出手段が抽出した送信先の識別情報が、広域アドレスであるか否かを判断する送信先判断手段と、
前記送信先判断手段により、前記送信先の識別情報が広域アドレスであると判断されると、当該通信装置内蔵の通信手段と、送信元装置との通信を制限する制限手段と、
を備えることを特徴とする通信装置。
【請求項１１】
前記通信装置は、
当該通信装置内蔵の通信手段が外部装置から受信した通信信号を、前記通信手段から取得し、この通信信号に基づき、所定機能を実現するための処理を実行する処理実行手段、
を当該通信装置が備える機能毎に備え、
更に、
当該通信装置内蔵の通信手段が、前記ローカルエリアネットワーク又は前記広域ネットワークに属する装置から通信信号を受信すると、その受信信号を取得する処理実行手段が、予め定められた特定の処理実行手段であるか否かを判断する処理判断手段と、
前記処理判断手段により、前記受信信号を取得する処理実行手段が、特定の処理実行手段であると判断されると、前記制限手段の作動を禁止する処理依存型作動禁止手段と、
を備えることを特徴とする請求項１〜請求項１０のいずれかに記載の通信装置。
【請求項１２】
利用者が操作可能な操作手段から、前記制限手段の作動禁止指令が入力されると、前記制限手段の作動を禁止する指令入力依存型作動禁止手段、を備えることを特徴とする請求項１〜請求項１１のいずれかに記載の通信装置。
【請求項１３】
前記ローカルエリアネットワーク及び広域ネットワークは、インターネットプロトコル（ＩＰ）に基づくネットワークであり、
前記広域アドレスは、グローバルＩＰアドレスであり、
前記ローカルアドレスは、ローカルＩＰアドレスであることを特徴とする請求項１〜請求項１２記載の通信装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ローカルエリアネットワーク及び広域ネットワークに接続される通信装置に関する。
【背景技術】
【０００２】
従来より、広域ネットワークとしては、インターネットが知られている。インターネット内のコンピュータ（端末）と通信を行う場合には、周知のように、インターネットプロトコル（ＩＰ）が用いられるが、近年、アドレス資源の枯渇化等が問題となり、新しいインターネットプロトコルが採用されようとしている。新しいインターネットプロトコルとは、ＩＰｖ６（Internet Protocol version 6）である。このプロトコルでは、各端末に、複数のＩＰアドレスを割り当てることが可能であり、例えば、各端末には、ローカルＩＰアドレスと、グローバルＩＰアドレスと、を割り当てることが可能である。
【０００３】
ここで、ローカルＩＰアドレス及びグローバルＩＰアドレスが割り当てられた端末からなるネットワークを考える。ローカルＩＰアドレスを用いた通信では、パケットがルータを通過しないことから、インターネットに接続されたルータより下位のネットワークは、ローカルエリアネットワークとして機能する。一方、グローバルＩＰアドレスを用いた通信では、パケットがルータを通過することから、上記ローカルエリアネットワーク内の各端末は、インターネットを構成するネットワーク（下位ネットワーク）内の端末として機能する。
【０００４】
また、他の特徴として、ＩＰｖ６には、各装置が自動でアドレスを設定するためのプロトコルが組み込まれている。即ち、ＩＰｖ６にて動作する通信装置は、利用者による手動設定を待つことなく、ローカルＩＰアドレス及びグローバルＩＰアドレスを決定し、自装置を、ローカルエリアネットワーク及びインターネットに、自動接続する。
【０００５】
ところで、ＩＰｖ６にて動作する通信装置では、上述したように、広域ネットワーク（インターネット）に自動接続する機能が備えられていることから、利用者が広域ネットワーク（インターネット）に接続する意思がないのにも拘らず、装置が勝手に、広域ネットワーク（インターネット）へ接続されてしまう可能性がある。
【０００６】
例えば、通信装置として、ネットワーク対応のプリンタ装置を考えた場合、プリンタ装置そのものは、ローカルな使用が一般的であるが、ネットワークがＩＰｖ６で構成されている場合には、プリンタ装置の通信プロトコルとして、ＩＰｖ６を採用する必要がある。
【０００７】
しかしながら、広域ネットワーク（インターネット）に接続されたルータより下位のネットワークに、ＩＰｖ６にて動作するプリンタ装置を接続すると、プリンタ装置は、ルータより上位に位置する広域ネットワーク内の端末と通信可能な状態におかれて、正当な利用者以外の者によって不正利用される可能性がある。
【０００８】
尚、ＩＰｖ６のネットワーク環境下で、正当な利用者以外の通信を制限し、プライバシーを保護する方法としては、公開鍵を用いる方法が知られている（例えば、特許文献１参照）。従って、上記の不正利用に関しては、公開鍵を用いて防止することが考えられる。
【特許文献１】特開２００４−３２６９９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００９】
しかしながら、公開鍵を用いて、正当な利用者以外の通信を制限する方法では、公開鍵を処理するために、処理負荷が大きくなるといった問題があった。また、公開鍵を用いた方法では、ネットワーク内に公開鍵サーバを設置しなければならないといった問題があった。
【００１０】
勿論、公開鍵を使わなくても、広域ネットワークとは物理的に隔離された別のネットワークを組めば、ローカルな使用を目的としたプリンタ装置について、広域ネットワーク内の端末からの不正利用を防止することができる。しかしながら、近年では、ウェブサーバ機能を搭載したプリンタ装置などが知られているように、ローカルな使用を目的とした機能の他、広域ネットワーク（インターネット）での使用を目的とした機能が、一つの装置に搭載されている場合があり、このような場合には、物理的に装置を、広域ネットワークから隔離する手法を採用することができないといった問題がある。
【００１１】
また、通信を制限する方法としては、ルータ等で一部の装置宛のパケットを破棄する等の手法も考えられるが、この場合には、ネットワークの管理が煩雑になるといった問題があった。
【００１２】
本発明は、こうした問題に鑑みなされたものであり、広域ネットワークに接続された状態においても、少ない処理負荷で、簡単に、ローカルエリアネットワーク外からの通信を制限可能な技術を提供することを目的とする。
【課題を解決するための手段】
【００１３】
かかる目的を達成するためになされた請求項１記載の通信装置は、広域ネットワークを構成する下位ネットワークとして機能すると共に、ローカルエリアネットワークとしても機能するネットワークに接続される。即ち、本発明の通信装置は、ローカルエリアネットワーク、及び、このローカルエリアネットワークを下位ネットワークとして含む広域ネットワークに接続される。
【００１４】
ネットワーク内の各装置には、ローカルエリアネットワークを構成する各装置の識別情報であるローカルアドレス、及び、このローカルエリアネットワークを下位ネットワークとして含む広域ネットワークを構成する各装置の識別情報である広域アドレスが割り当てられている。
【００１５】
上記ネットワークが、ＩＰｖ６に基づくネットワークである場合、ローカルアドレスとしては、リンクローカルアドレス、サイトローカルアドレス、ユニークローカルアドレス等が考えられ、広域アドレスとしては、グローバルＩＰアドレス、サイトローカルアドレス、ユニークローカルアドレス等が考えられる。但し、広域ネットワークは、ローカルエリアネットワークより広域のネットワークであるので、ローカルアドレス及び広域アドレスの組合せについては、広域ネットワークとローカルエリアネットワークの関係が成立するものに限られる。
【００１６】
また、上記ネットワーク内の各装置は、ローカルアドレス及び広域アドレスのいずれか一方を用いて、ネットワーク内の他の装置と通信する通信手段を内蔵する。この通信手段は、ローカルアドレス又は広域アドレスを用いて、ローカルエリアネットワークに属する装置と通信し、自装置が属するローカルエリアネットワークに属さず広域ネットワークに属する装置とは、広域アドレスを用いて通信する。
【００１７】
具体的に、上記通信手段は、ローカルエリアネットワークに属する装置に向けて通信信号を送信する際、その通信信号に、送信元の識別情報として、自装置のローカルアドレス又は広域アドレスを付し、ローカルエリアネットワークに属さず広域ネットワークに属する装置に向けて通信信号を送信する際には、その通信信号に、送信元の識別情報として、自装置の広域アドレスを付す。尚、上記の通信手段としては、ＩＰｖ６にて動作するものを想定しているが、当然のことながら、ＩＰｖ６に限定されるものではない。
【００１８】
上記ネットワークは、上記の通信手段を内蔵した複数の装置によって構成され、このネットワークに接続される本発明の通信装置も、上記通信手段を内蔵する。また、本発明（請求項１）の通信装置は、下述の抽出手段及び送信元判断手段及び制限手段を備える。
【００１９】
即ち、本発明の通信装置は、自装置内蔵の通信手段が、ローカルエリアネットワーク又は広域ネットワークに属する装置から通信信号を受信すると、抽出手段により、その受信信号から、送信元の識別情報を抽出する。また、抽出手段が抽出した送信元の識別情報が、広域アドレスであるか否かを、送信元判断手段によって判断する。また、この通信装置は、送信元判断手段により、送信元の識別情報が広域アドレスであると判断されると、制限手段により、当該通信装置内蔵の通信手段と、送信元装置との通信を制限する。
【００２０】
このように構成された請求項１記載の通信装置では、広域アドレスを用いて通信を行う送信元装置と、当該通信装置との通信を制限するので、広域ネットワーク内の他の装置によって、当該通信装置が不正に利用されるのを防止することができる。尚、この効果は、ネットワークに、特別なサーバ等を導入しなくても得られ、又、ルータ等に、通信を制限するための特別な設定を施さなくても得られる。この点で、本発明は、従来技術に対し、優れた効果を有する。
【００２１】
また、通信形態としては、一対一通信の他、マルチキャスト（ブロードキャスト）通信が考えられるが、当該通信装置では、送信元の識別情報を制限の判断対象としているので、送信先が指定されないマルチキャスト（ブロードキャスト）通信においても、不正なアクセスに対応することができる。その他、この通信装置では、公開鍵等を用いる場合よりも、制限に係る処理負荷が少なくて済む。従って、本発明によれば、少ない処理負荷で、簡単に、ローカルエリアネットワークの外からの通信を制限することができる。
【００２２】
特に、通信手段が、利用者による指令を待つことなく、自装置を、ローカルエリアネットワーク及び広域ネットワークに、自動接続する構成にされている場合には、利用者の意思に拘らず、通信装置が広域ネットワークに接続されるので、上述した抽出手段及び送信元判断手段及び制限手段を、通信装置に組み込むことは非常に有効である（請求項２）。
【００２３】
ところで、ＩＰｖ６等のネットワークを想定した場合、ローカルアドレス及び広域アドレスは、ネットワークの識別情報としてのプレフィックスと、プレフィックス以外のアドレス部と、から構成される。また、アドレス部は、ローカルアドレス及び広域アドレスが、該当するネットワークにおいて重複しないように、各装置に対してユニークに割り当てられる（請求項３）。その他、広域アドレスとして、グローバルＩＰアドレス等を想定した場合、広域アドレスのプレフィックスは、広域ネットワークを構成する下位ネットワーク毎に、ユニークに割り当てられる（請求項４）。
【００２４】
具体的に、ＩＰｖ６等のネットワークを想定した場合、通信手段は、自装置のローカルアドレス及び広域アドレスについて、ローカルアドレス及び広域アドレスを構成するプレフィックス以外のアドレス部を、ＭＡＣアドレス等に基づき、自己決定すると共に、自己決定したアドレス部に、ローカルエリアネットワークを表すプレフィックスを付すことによりローカルアドレスを生成し、これを自装置に設定し、更に、広域ネットワークを表すプレフィックスを、自己決定したアドレス部に付することにより広域アドレスを生成し、これを自装置に設定することにより、自装置を、ローカルエリアネットワーク及び広域ネットワークに自動接続する構成にされる。
【００２５】
尚、広域アドレスについては、アドレスを自動的に割り当てる機能を有するサーバ装置（ＤＨＣＰサーバ）から、広域アドレスを取得し自装置に設定する手法や、自装置が属するローカルエリアネットワーク内の装置であって、ローカルエリアネットワークに対応する広域ネットワークの下位ネットワークのプレフィックスを通知する機能を有する装置から、下位ネットワークのプレフィックスを取得し、このプレフィックスを、自己決定したアドレス部に付することにより広域アドレスを生成し、これを自装置に設定する手法が考えられる。
【００２６】
また、広域アドレスのプレフィックスが、広域ネットワーク内の下位ネットワーク毎に、ユニークに割り当てられることを前提とした場合には、上記の通信装置を、請求項５記載のように構成するとよい。即ち、上記通信装置に、ネットワーク判断手段及びエリア依存型作動禁止手段を設けるとよい。
【００２７】
この通信装置によれば、送信元判断手段にて、送信元の識別情報が広域アドレスであると判断されると、ネットワーク判断手段が、抽出手段にて抽出された送信元の識別情報としての広域アドレスのプレフィックスと、当該通信装置に設定された広域アドレスのプレフィックスと、に基づき、送信元装置が、当該通信装置と同一のローカルエリアネットワークに属する装置であるか否かを判断する。また、ネットワーク判断手段により、送信元装置が当該通信装置と同一のローカルエリアネットワークに属する装置であると判断されると、エリア依存型作動禁止手段が、制限手段の作動を禁止する。
【００２８】
送信元の識別情報が広域アドレスである場合に、一律に通信を制限すると、当該通信装置が属するローカルエリアネットワーク内の他の装置から、送信元の識別情報として広域アドレスを付した通信信号が送信されてきた際に、この通信信号の送信元装置と、当該通信装置との通信を制限することになる。勿論、このような場合でも、ローカルアドレスを用いれば送信元装置と通信装置との通信に制限は及ばないが、ネットワーク内の各装置が主として広域アドレスを用いる仕様にされている場合には、都合が悪い。一方、本発明（請求項５）の通信装置によれば、送信元の識別情報が広域アドレスであっても、送信元装置が、当該通信装置が属する下位ネットワーク（ローカルエリアネットワーク）と同一のネットワークに属する装置である場合に、通信を制限しなくて済む。
【００２９】
尚、送信元装置が、当該通信装置と同一のローカルエリアネットワークに属する装置であるか否かの判断は、送信元装置に割り当てられた広域アドレスのプレフィックスが、当該通信装置と同一ネットワークのプレフィックスであるか否かを判断することで実現できる。
【００３０】
また同様に、送信元判断手段による送信元の識別情報が広域アドレスであるか否かの判断は、抽出手段が抽出した送信元の識別情報としてのローカルアドレス又は広域アドレスのプレフィックスを参照することにより、実現することができる（請求項６）。
【００３１】
即ち、プレフィックスが、ローカルエリアネットワーク特有の情報を有する場合には、送信元の識別情報がローカルアドレスであると判断できるし、プレフィックスが、ローカルエリアネットワーク特有の情報を含まない場合（換言すると、広域ネットワーク特有の情報を有する場合）には、送信元の識別情報が広域アドレスと判断することができる。
【００３２】
その他、通信手段が、ローカルエリアネットワークに属する装置に向けて通信信号を送信する際、その通信信号に、送信先の識別情報として、送信先装置のローカルアドレス又は広域アドレスを付し、ローカルエリアネットワークに属さず広域ネットワークに属する装置に向けて通信信号を送信する際には、その通信信号に、送信先の識別情報として、送信先装置の広域アドレスを付す構成にされている場合には、請求項７記載のように、通信装置を構成するとよい。
【００３３】
請求項７記載の通信装置では、抽出手段が、受信信号から、送信元の識別情報と共に送信先の識別情報を抽出する。また、この通信装置は、送信先判断手段及び送信先依存型作動禁止手段を備え、送信先判断手段にて、抽出手段が抽出した送信先の識別情報が、広域アドレスであるか否かを判断する。また、送信先判断手段にて、送信先の識別情報が広域アドレスではないと判断されると、送信先依存型作動禁止手段にて、制限手段の作動を禁止する。
【００３４】
この通信装置では、送信元の識別情報が広域アドレスであっても、送信先の識別情報が広域アドレスではない場合には、通信の制限をしない。ＩＰｖ６に基づくネットワークのように、ネットワークが、ローカルエリアネットワークとしても機能し、広域ネットワークを構成する下位ネットワークとしても機能する場合には、広域アドレス及びローカルアドレスのいずれを用いても、ローカルエリアネットワーク内の装置と通信することができる。
【００３５】
従って、送信元の識別情報として、広域アドレスが用いられているのにも拘らず、送信先の識別情報としてローカルアドレスが用いられていることも考えられる。この発明によれば、そのような場合でも、不要に、ローカルエリアネットワーク内の装置と、当該通信装置との通信を制限することがないので便利である。
【００３６】
尚、ローカルアドレス及び広域アドレスが、プレフィックスと、プレフィックス以外のアドレス部と、から構成されている場合、送信先判断手段は、請求項８記載のように、抽出手段が抽出した送信先の識別情報としてのローカルアドレス又は広域アドレスのプレフィックスを参照することにより、抽出手段が抽出した送信先の識別情報が、広域アドレスであるか否かを判断することができる。
【００３７】
また、ローカルエリアネットワークが階層構造にされている場合には、請求項９記載のように、通信装置に、階層判断手段と上層制限手段と作動制御手段とを設けるとよい。
請求項９記載の通信装置では、送信元の識別情報がローカルアドレスである場合、階層判断手段が、そのローカルアドレスに基づいて、送信元装置が属する階層が、所定の階層より上層であるか否かを判断する。また、階層判断手段により、送信元装置が属する階層が所定の階層より上層であると判断されると、上層制限手段が、当該通信装置内蔵の通信手段と、送信元装置との通信を制限する。その他、作動制御手段は、利用者が操作可能な操作手段からの指令信号に基づき、上層制限手段の作動を制御する。
【００３８】
この発明によれば、階層構造のローカルエリアネットワークにおいて、通信装置に対し、上層の装置からのアクセスを制限するか否かを、切り替えることができるので、大変便利である。尚、ＩＰｖ６を想定した場合、ローカルエリアネットワークにおける下層のネットワークは、リンクローカルエリアネットワークに相当し、上層のネットワークは、サイトローカルエリアネットワーク又はユニークローカル等に相当する。
【００３９】
以上には、送信元の識別情報を抽出し、この送信元の識別情報に基づいて、通信を制限する構成、送信元の識別情報と共に送信先の識別情報を抽出し、送信元及び送信先の識別情報に基づいて、通信を制限する構成について述べたが、送信元の識別情報の有無に拘らず、送信先の識別情報を抽出し、この送信先の識別情報に基づいて、通信を制限するように、通信装置を構成してもよい。
【００４０】
請求項１０記載の通信装置は、当該通信装置内蔵の通信手段が、ローカルエリアネットワーク又は広域ネットワークに属する装置から通信信号を受信すると、その受信信号から、送信先の識別情報を抽出する抽出手段と、抽出手段が抽出した送信先の識別情報が、広域アドレスであるか否かを判断する送信先判断手段と、送信先判断手段により、送信先の識別情報が広域アドレスであると判断されると、自装置内蔵の通信手段と、送信元装置との通信を制限する制限手段と、を備える構成にされたものである。
【００４１】
送信元装置が内蔵する通信手段が、自装置が属するローカルエリアネットワークに属する装置に向けて通信信号を送信する際には、その通信信号に、送信先の識別情報として、送信先装置のローカルアドレス又は広域アドレスを付し、自装置が属するローカルエリアネットワークに属さず広域ネットワークに属する装置に向けて通信信号を送信する際には、その通信信号に、送信先の識別情報として、送信先装置の広域アドレスを付す構成にされていることを前提とした場合、当該通信装置が属するローカルエリアネットワークに属さない広域ネットワーク内の装置からの通信信号には、送信先の識別情報として、広域アドレスが用いられていることになる。
【００４２】
従って、この発明によれば、当該通信装置が属するローカルエリアネットワークに属さない広域ネットワークからのアクセスを確実に制限することができる。尚、この効果は、ネットワークに、特別なサーバ等を導入しなくても得られ、又、ルータ等に、通信を制限するための特別な設定を施さなくても得られる。この点で、本発明は、従来技術に対し、優れた効果を有する。また、本発明によれば、公開鍵を用いる場合よりも、制限に係る処理負荷が少なくて済む。即ち、この発明によれば、少ない処理負荷で、簡単に、ローカルエリアネットワークの外からの通信を制限することができる。
【００４３】
また、通信装置としては、複数の機能を有するものが考えられる。即ち、通信装置としては、自装置内蔵の通信手段が外部装置から受信した通信信号を、通信手段から取得し、この信号に基づき、所定機能を実現するための処理を実行する処理実行手段、を機能毎に複数備えるものが考えられる。このような場合には、通信手段が受信した通信信号に基づいて動作する機能（処理実行手段）に応じて、制限手段を作動させるか否か切り替えられるようにすると便利である。
【００４４】
請求項１１記載の通信装置は、上記した処理実行手段を機能毎に備えると共に、処理判断手段及び処理依存型作動禁止手段を備え、自装置内蔵の通信手段が、ローカルエリアネットワーク又は広域ネットワークに属する装置から通信信号を受信すると、その受信信号を取得する処理実行手段が、当該通信装置が備える複数の処理実行手段の中の予め定められた特定の処理実行手段であるか否かを、処理判断手段にて判断する。また、処理判断手段によって、受信信号を取得する処理実行手段が、特定の処理実行手段であると判断されると、処理依存型作動禁止手段にて、制限手段の作動を禁止する。
【００４５】
このように構成された請求項１１記載の通信装置によれば、複数の機能のうち、広域ネットワーク内の装置との通信を主にする機能（例えば、ウェブサーバ機能等）について、制限手段の動作により、通信に支障が生じるのを防止することができる。
【００４６】
その他、請求項１２記載の通信装置は、利用者が操作可能な操作手段から、制限手段の作動禁止指令が入力されると、制限手段の作動を禁止する指令入力依存型作動禁止手段、を備えるものである。この通信装置によれば、利用者側で、通信を制限するか否かを任意に切り替えることができるので、大変便利である。
【００４７】
また、請求項１３記載の通信装置は、請求項１〜請求項１２記載の通信装置において、ローカルエリアネットワーク及び広域ネットワークが、インターネットプロトコル（ＩＰ）に基づくネットワークであり、広域アドレスがグローバルＩＰアドレスであり、ローカルアドレスが、ローカルＩＰアドレスであることを前提としたものである。
【００４８】
ＩＰｖ６等に基づくネットワークでは、グローバルＩＰアドレスが通信手段にて自動的に設定され、通信手段がインターネットに自動的に接続されるため、インターネットからのアクセスを制限することは、プライバシー保護の観点から、非常に有効である。
【発明を実施するための最良の形態】
【００４９】
以下、本発明の実施例について説明する。図１は、パーソナルコンピュータ（以下、「ＰＣ」とする。）１０と、本発明が適用された多機能装置２０と、インターネットを構成するネットワーク間のデータを中継するルータ３１，３３と、を主な構成要素とするインターネットプロトコル（ＩＰ）での通信を前提とした通信システム１の構成を表す説明図である。また、図２（ａ）は、ＰＣ１０の構成を表すブロック図、図２（ｂ）は、多機能装置２０の構成を表すブロック図である。
【００５０】
ＰＣ１０は、各種演算処理を行うＣＰＵ１１と、プログラム等が記憶されたＲＯＭ１２と、一時記憶領域としてのＲＡＭ１３と、オペレーティングシステム等が記憶されたハードディスク装置（ＨＤＤ）１４と、通信制御を行うためのプロトコルスタック１５と、通信ケーブルＬＮが接続されるネットワークインタフェース（ネットワークＩ／Ｆ）１６と、液晶ディスプレイ等からなる表示部１７と、利用者が操作可能な入力部１８（例えば、キーボードやポインティングデバイス）とを備え、これらがバス１９を介して接続された構成にされている。
【００５１】
プロトコルスタック１５は、ネットワークインタフェース１６によるデータ通信がプロトコルスタック１５に従った処理を経て行われる状態を概念的に示したものであり、実際には、ＩＰｖ６（Internet Protocol version 6 ）に従ったデータ通信を実現するためにＰＣ１０に実装（ハードディスク装置１４に記憶）されたプログラムモジュールで構成される。ＰＣ１０は、このプログラムモジュールを、ＣＰＵ１１にて実行することにより、ＩＰｖ６にて通信可能な通信装置として機能する。尚、プロトコルスタック１５は、ＩＰｖ６（Internet Protocol version 6 ）だけでなく、ＩＰｖ４（Internet Protocol version 4 ）に従ったデータ通信可能なプログラムモジュールであってもよい。
【００５２】
また、ハードディスク装置１４には、ＰＣ１０をＳＮＭＰ（Simple Network Management Protocol）マネージャとして機能させるためのマネージャプログラムが記憶されている。ＰＣ１０は、これをＣＰＵ１１にて実行することにより、ＳＮＭＰマネージャとして機能する。
【００５３】
一方、多機能装置２０は、各種演算処理を行うＣＰＵ２１と、プログラム等を記憶するＲＯＭ２２と、一時記憶領域としてのＲＡＭ２３と、ＮＶＲＡＭ（Non Volatile RAM）２４と、通信制御を行うためのプロトコルスタック２５と、通信ケーブルＬＮに接続されるネットワークインタフェース（ネットワークＩ／Ｆ）２６と、ユーザインタフェース（ユーザＩ／Ｆ）２７と、記録紙に画像を形成可能な印刷部２８とを備え、これらがバス２９を介して接続された構成にされている。
【００５４】
この多機能装置２０は、ＲＯＭ２２（若しくはＮＶＲＡＭ２４）に、ｌｐｒ（Line PRinter daemon protocol）に基づき、ネットワーク内のＰＣ１０から印刷データを受信し、この印刷データに基づく画像を印刷部２８に形成させるためのプログラムを有し、ＣＰＵ２１は、このプログラムを実行することにより、上記内容の処理を実行する印刷サーバ部２１ａとして機能する。
【００５５】
また、多機能装置２０は、ＲＯＭ２２（若しくはＮＶＲＡＭ２４）に、ＣＰＵ２１をウェブサーバ（組み込みウェブサーバ：ＥＷＳ）として機能させるためのプログラムを有し、ＣＰＵ２１は、このプログラムを実行することにより、ウェブサーバ部２１ｂとして機能する。その他、多機能装置２０は、ＲＯＭ２２（若しくはＮＶＲＡＭ２４）に、ＣＰＵ２１をＦＴＰ（File Transfer Protocol）サーバとして機能させるためのプログラムを有し、ＣＰＵ２１は、このプログラムを実行することにより、ＦＴＰサーバ部２１ｃとして機能する。
【００５６】
また、ＮＶＲＡＭ２４には、当該多機能装置２０に関する設定情報が記述されたデータベース（ＭＩＢ：Management Information Base ）と、ＳＮＭＰマネージャとして機能するＰＣ１０からの指令を受けてデータベースに登録された情報の通知・更新などをＳＮＭＰに従って行うためのエージェントプログラムと、が記憶されており、多機能装置２０は、このエージェントプログラムをＣＰＵ２１にて実行することにより、ＳＮＭＰエージェント２１ｄとして機能する。
【００５７】
その他、プロトコルスタック２５は、ＰＣ１０のプロトコルスタック１５と同様、ＩＰｖ６に従ったデータ通信を実現するために、多機能装置２０に実装されたプログラムモジュールであり、多機能装置２０は、このプログラムモジュールをＣＰＵ２１にて実行することにより、ＩＰｖ６にて通信可能な通信装置として機能する。
【００５８】
尚、データ通信可能な状態にするために、上述したＰＣ１０及び多機能装置２０には、各装置の識別情報としてのＩＰアドレスが割り当てられる。本実施例では、ＩＰｖ６で動作するネットワークを想定しているが、ＩＰｖ６のネットワークを構成する各装置（ノード）には、有効範囲（スコープ）の異なる複数種類のＩＰアドレスが割り当てられる。
【００５９】
具体的に、本実施例においては、各装置（ノード）に対して、インターネット内で通用するグローバルＩＰアドレス（以下、「グローバルアドレス」と表現する。）と、ローカルエリアネットワーク内でのみ通用するローカルＩＰアドレス（以下、「ローカルアドレス」と表現する。）と、が割り当てられる。また、ＩＰｖ６には、複数種類のローカルＩＰアドレスが有り、各装置（ノード）には、ローカルアドレスとして、リンクローカルアドレスと、サイトローカルアドレスと、が割り当てられる。
【００６０】
図３は、これらＩＰアドレスに関する説明図であり、同図（ａ）は、ＩＰアドレスの構成を示す図である。また、図３（ｂ）は、リンクローカルアドレス、サイトローカルアドレス、及び、グローバルアドレスのプレフィックスの構成を示した説明図である。
【００６１】
ＩＰｖ６におけるＩＰアドレスは、ネットワークの識別情報としてのプレフィックス（上位６４ビット）と、プレフィックスを除くアドレス部としてのインタフェースＩＤ（下位６４ビット）と、からなり、プレフィックスの値によって、グローバルアドレス、サイトローカルアドレス、リンクローカルアドレスのいずれかに分類される。
【００６２】
このＩＰアドレスは、各装置（ノード）間で通信を行う際に、送信元及び送信先の識別情報として、通信信号（パケット）に格納される。即ち、プロトコルスタック１５，２５は、通信先装置に向けて通信信号を送信する際、通信信号に、送信元の識別情報として、自装置のＩＰアドレス（グローバルアドレス、サイトローカルアドレス、及び、リンクローカルアドレスのいずれか）を付すと共に、通信先装置のＩＰアドレス（グローバルアドレス、サイトローカルアドレス、及び、リンクローカルアドレスのいずれか）を付す。このようにして、ＩＰｖ６での通信は成立する。但し、ＩＰｖ６の場合、通信可能な範囲が、ＩＰアドレスの種類によって、以下のように制限される。
【００６３】
リンクローカルアドレスは、プレフィックスとして、ＩＰアドレスがリンクローカルアドレスであることを示す固定の値、が記述されたものである。具体的には、プレフィックスとして、値「ｆｅ８０：：／６４」が記述されたものである。このリンクローカルアドレスを用いた通信では、規格上、パケットがルータ３１，３３を通過しない。即ち、リンクローカルアドレスを用いた通信は、末端のルータ３１より下位に位置するリンクローカルアドレスが割り当てられた装置からなるネットワーク（リンク）のみで実現される。
【００６４】
以下、このネットワークを、「リンクローカル」と称する。尚、図１に示すネットワークＮＬが、「リンクローカル」である。このネットワークＮＬは、本実施例の通信システム１において、最も小規模なネットワークとして構成される。
【００６５】
一方、サイトローカルアドレスは、ＩＰアドレスがサイトローカルアドレスであることを示す固定の値（上位４８ビット。具体的には値「ｆｅｃ０：：／４８」）と、下位１６ビットのサイト階層識別子（ＳＬＡ  ＩＤ：Site Level Aggregation ID）と、からなるプレフィックスが記述されたものである。このサイトローカルアドレスを用いた通信では、ある限られた範囲（ローカルエリカネットワークの最大範囲であるサイト（組織）内）で、パケットがルータ３１を通過する。
【００６６】
このため、上記範囲（サイト）内で、サイトローカルアドレスが割り当てられた通信装置からなるネットワークは、リンクローカルＮＬよりも広域のローカルエリアネットワークとして機能する。以下、このネットワークを、「サイトローカル」と称する。尚、図１に示すネットワークＮＳが「サイトローカル」である。具体的に、サイトローカルＮＳは、インターネットサービスプロバイダ（ＩＳＰ）よりも下位のネットワークに相当する。
【００６７】
その他、グローバルアドレスは、上位３ビットが値「００１」のプレフィックスが割り当てられたものである。このグローバルアドレスは、インターネットを構成する各装置に対してユニーク（一意）に割り当てられ、グローバルアドレスのプレフィックスは、インターネットにおいて下位ネットワークとして機能するリンクローカルＮＬ内の装置から構成されるネットワーク毎に、ユニークに割り当てられる。
【００６８】
具体的には、各組織（サイト）毎に、上位４８ビット分の値がユニークに割り当てられ、サイト階層識別子としての下位１６ビット分の値は、サイトローカルＮＳを構成する下位ネットワーク（サイトローカルＮＳのサブネットであって、リンクローカルＮＬと同一のネットワーク）毎に、ユニークに割り当てられる。尚、サイト階層識別子については、サイトローカルアドレスも同様にして、ユニークに割り当てられる。
【００６９】
グローバルアドレスを用いた通信では、パケットの通過がルータ３１，３３により制限されないので、リンクローカルアドレスやサイトローカルアドレス等のように通信範囲が限定されることなく、インターネット内の各装置と通信することができる。
【００７０】
ＩＰｖ６において、グローバルアドレス、及び、サイトローカルアドレス、並びに、リンクローカルアドレスの夫々は、以上のような位置付けにされているため、同一のリンクローカルＮＬを構成する装置間では、グローバルアドレス及びローカルアドレス（リンクローカルアドレス又はサイトローカルアドレス）のいずれかを用いて通信を行うことができる。
【００７１】
尚、図４（ａ）は、同一のリンクローカルＮＬを構成する装置間で通信する際に、送信元の識別情報（即ち、「送信元アドレス」）として利用可能なアドレスの種類と、送信先の識別情報（即ち、「送信先アドレス」）として利用可能なアドレスの種類との対応関係を示した表である。
【００７２】
上述したように、本実施例の通信システム１は、最も広域のネットワークであるインターネットと、インターネットを構成する下位のネットワークとして機能するローカルエリアネットワークと、を有し、ローカルエリアネットワークは、サイトローカルＮＳと、サイトローカルＮＳの一部の装置から構成されるリンクローカルＮＬと、を有し、通信可能な範囲を基準として、最も広いインターネットから、最も狭いリンクローカルＮＬまでの３階層に分かれた階層構造にされている。
【００７３】
このため、インターネット及びサイトローカルＮＳを構成する装置の一部から構成されるリンクローカルＮＬ内の通信では、リンクローカルアドレスだけでなく、サイトローカルアドレス及びグローバルアドレスを用いることができるのである。
【００７４】
よって、プロトコルスタック１５，２５は、同一のリンクローカルＮＬ内の装置間の通信の場合、通信信号（パケット）に、送信元アドレス及び送信先アドレスとして、リンクローカルアドレス、サイトローカルアドレス、及びグローバルアドレスのいずれかを付して、通信信号を、リンクローカルＮＬ内に送出する。
【００７５】
また、図４（ｂ）は、同一のサイトローカルＮＳを構成する装置間で通信する際に、送信元アドレスとして利用可能なアドレスの種類と、送信先アドレスとして利用可能なアドレスの種類との対応関係を示した表である。プロトコルスタック１５，２５は、異なるリンクローカルＮＬに属する装置間の通信であって、同一のサイトローカルＮＳを構成する装置間の通信の場合、通信信号（パケット）に、送信元アドレス及び送信先アドレスとして、サイトローカルアドレス及びグローバルアドレスのいずれかを付して、通信信号を、サイトローカルＮＳ内に送出する。
【００７６】
その他、図４（ｃ）は、ローカルエリアネットワーク（サイトローカルＮＳ）内外の装置間で通信する際に、送信元アドレスとして利用可能なアドレスの種類と、送信先アドレスとして利用可能なアドレスの種類との対応関係を示した表である。プロトコルスタック１５，２５は、インターネットを構成する装置間の通信であって、ローカルエリアネットワーク（サイトローカルＮＳ）内外の通信の場合、通信信号（パケット）に、送信元アドレス及び送信先アドレスとして、グローバルアドレスを付し、通信信号を、インターネットに送出する。
【００７７】
尚、ＩＰｖ６においては、ＩＰｖ４と異なり、利用者による設定（手動設定）を待つことなく、プロトコルスタック１５，２５が、自動でＩＰアドレス（リンクローカルアドレス、サイトローカルアドレス、及び、グローバルアドレス）を決定し、これを自装置に設定して、自装置を、リンクローカルエリアネットワーク、サイトローカルエリアネットワーク、及び、インターネットに自動接続することもできる。以下では、これについて説明する。
【００７８】
図５は、ＩＰアドレスの自動設定に関する説明図であり、同図（ａ）は、プロトコルスタック１５，２５により実現されるアドレス生成・設定処理を表すフローチャートであり、同図（ｂ）は、ルータ３１が繰り返し実行するＲＡ（Router Advertisement）送信処理を表すフローチャートである。
【００７９】
プロトコルスタック１５（プロトコルスタック２５）によってアドレス生成・設定処理を開始すると、ＰＣ１０（多機能装置２０）は、自装置のネットワークインタフェース１６（ネットワークインタフェース２６）に割り当てられたＭＡＣアドレスに基づき、インタフェースＩＤを生成し、これにリンクローカルアドレスのプレフィックスを付加して、自装置のリンクローカルアドレスを生成する（Ｓ１１０）。この際、インタフェースＩＤは、同一のリンクローカルＮＬ内において、重複しないように生成される。
【００８０】
この後、ＰＣ１０（多機能装置２０）は、リンクローカルアドレスを自装置に設定することにより、自装置を、リンクローカルＮＬに接続する（Ｓ１２０）。
Ｓ１２０の処理後には、Ｓ１３０にて、自装置が所属するリンクローカルＮＬに対応するインターネット内の下位ネットワークに割り当てられたプレフィックスが記述されたＲＡメッセージを、ルータ３１から取得するためのＲＳ（Router Solicitation）メッセージを生成し、これを、ネットワークインタフェース１６（ネットワークインタフェース２６）を通じ、リンクローカルＮＬ内に送出する。このメッセージは、リンクローカルＮＬと外部とを接続するルータ３１にて受信される。
【００８１】
その後、ＰＣ１０（多機能装置２０）は、ＲＡメッセージをルータ３１から受信したか否かを判断し（Ｓ１４０）、ＲＡメッセージを受信していないと判断すると（Ｓ１４０でＮｏ）、ＲＡメッセージを送信してから所定時間が経過したか否かを判断し（Ｓ１４５）、所定時間が経過していないと判断すると（Ｓ１４５でＮｏ）、Ｓ１４０に移行し、所定時間が経過したと判断すると（Ｓ１４５でＹｅｓ）、当該アドレス生成・設定処理を終了する。
【００８２】
また、ＲＡメッセージを受信したと判断すると（Ｓ１４０でＹｅｓ）、そのＲＡメッセージに記述されたインターネットにおける自装置が所属する下位ネットワーク（リンクローカルＮＬと同一範囲）のプレフィックスを抽出し（Ｓ１５０）、これにインタフェースＩＤを付してグローバルアドレスを生成する（Ｓ１６０）。
【００８３】
Ｓ１６０の処理後、ＰＣ１０（多機能装置２０）は、上記生成したグローバルアドレスを、自装置に設定することにより、自装置を、インターネットに接続する（Ｓ１７０）。
また、ＲＡメッセージに基づき、サイトローカルアドレスのプレフィックスを決定し、これにインタフェースＩＤを付して、サイトローカルアドレスを生成する（Ｓ１８０）。そして、上記生成したサイトローカルアドレスを、自装置に設定することにより、自装置を、サイトローカルＮＳに接続する（Ｓ１９０）。その後、当該アドレス生成・設定処理を終了する。
【００８４】
これに対し、ルータ３１には、ネットワーク管理者によって、予め、そのルータ３１より下位のネットワーク（リンクローカルＮＬ）のプレフィックス（グローバルアドレスのプレフィックス）が付されており、ルータ３１は、ＲＡ送信処理を実行することにより、このプレフィックスをＲＡメッセージに記述し、下位ネットワークの装置に対して、ＲＡメッセージを送信する。
【００８５】
具体的に、ＲＡ送信処理を実行すると、ルータ３１は、ＲＡメッセージの送信タイミングが到来したか否かを判断し（Ｓ２１０）、送信タイミングが到来したと判断すると（Ｓ２１０でＹｅｓ）、自装置に割り当てられたグローバルアドレスのプレフィックスを記述したＲＡメッセージを、リンクローカルＮＬ内の各装置に向けて送信し（Ｓ２３０）、その後ＲＡ送信処理を終了する。
【００８６】
一方、送信タイミングが到来していないと判断すると（Ｓ２１０でＮｏ）、ルータ３１は、ＲＳメッセージを受信したか否か判断し（Ｓ２２０）、ＲＳメッセージを受信していないと判断すると（Ｓ２２０でＮｏ）、Ｓ２１０に移行し、ＲＳメッセージを受信したと判断すると（Ｓ２２０でＹｅｓ）、Ｓ２３０に移行して、上述したＲＡメッセージを、ＲＳメッセージを送信してきた装置に向けて送信する。その後、ＲＡ送信処理を一旦終了し、再度、このＲＡ送信処理を実行して、ＲＡメッセージを定期的に送信する。
【００８７】
以上には、本実施例における通信システム１の基本的構成について説明したが、続いて、通信システム１の本発明に係る特徴的動作について説明する。
本実施例の多機能装置２０は、ローカルエリアネットワーク外の装置からのアクセス（通信）を制限するための機能（制限機能）を有しており、その機能が有効にされている場合には、第一のモード（モード１）、又は、第二のモード（モード２）にて動作し、ローカルエリアネットワーク外の装置からのアクセスを制限する。
【００８８】
第一のモードにて動作している場合、多機能装置２０は、自装置が所属するリンクローカルＮＬ内の装置からのアクセスのみを有効にし、その他の装置、即ち、自装置が所属するリンクローカルＮＬ外の装置からのアクセスを制限する。尚、図６（ａ）は、第一のモードでの動作を示した説明図である。
【００８９】
また、第二のモードにて動作している場合、多機能装置２０は、自装置が所属するサイトローカルＮＳ内の装置からのアクセスのみを有効にし、その他の装置、即ち、自装置が所属するサイトローカルＮＳ外の装置からのアクセスを制限する。尚、図６（ｂ）は、第二のモードでの動作を示した説明図である。
【００９０】
本実施例の通信システム１は、モード切替、制限機能の有効（enable）／無効（disable）を、ＳＮＭＰマネージャとして機能するＰＣ１０（特別なＰＣ１０のみ）から変更可能な構成にされており、ＳＮＭＰマネージャとして機能するＰＣ１０は、図７に示す設定変更処理を実行して、多機能装置２０に対する設定を、ＳＮＭＰに基づき変更する。尚、図７は、ＳＮＭＰマネージャとして機能するＰＣ１０のＣＰＵ１１が実行する設定変更処理を表すフローチャートである。
【００９１】
ＣＰＵ１１は、設定変更処理を実行すると、多機能装置２０にアクセスし、多機能装置２０が備えるＭＩＢから図８に示す第一設定情報及び第二設定情報を取得する（Ｓ３１０）。図８（ａ）は、多機能装置２０がＮＶＲＡＭ２４に保持する第一設定情報の構成を表す説明図であり、図８（ｂ）は、多機能装置２０がＮＶＲＡＭ２４に保持する第二設定情報の構成を表す説明図である。
【００９２】
図８に示すように、第一設定情報は、グローバルアドレスに対する制限機能の有効／無効を示す設定値と、サイトローカルアドレスに対する制限機能の有効／無効を示す設定値と、からなり、第二設定情報は、印刷サーバ部２１ａに対するアクセスの制限機能の有効／無効を示す設定値と、ウェブサーバ部２１ｂに対するアクセスの制限機能の有効／無効を示す設定値と、ＦＴＰサーバ部２１ｃに対するアクセスの制限機能の有効／無効を示す設定値と、からなる。
【００９３】
Ｓ３１０での処理を終えると、ＣＰＵ１１は、取得した第一及び第二設定情報に基づいて、図９に示すＧＵＩ（Graphical User Interface）構成の設定画面を、表示部１７に表示する（Ｓ３２０）。尚、図９は、設定画面の構成を表す説明図である。
【００９４】
Ｓ３２０にて表示部１７により表示される設定画面は、設定項目毎に、チェックボックスを有する。具体的に、この設定画面は、印刷サーバ部２１ａに対するアクセスの制限機能の有効／無効を切り替えるためのチェックボックスと、ウェブサーバ部２１ｂに対するアクセスの制限機能の有効／無効を切り替えるためのチェックボックスと、ＦＴＰサーバ部２１ｃに対するアクセスの制限機能の有効／無効を切り替えるためのチェックボックスと、グローバルアドレスに対する制限機能の有効／無効を切り替えるためのチェックボックスと、サイトローカルアドレスに対する制限機能の有効／無効を切り替えるためのチェックボックスと、を有する。
【００９５】
Ｓ３２０では、まず、第一及び第二設定情報が有効であることを示している設定項目のチェックボックスのみをチェックして、設定画面を表示部１７に表示する。Ｓ３２０での処理を終えると、利用者により入力部１８が操作されて、入力部１８から操作情報が入力されるまで待機し（Ｓ３３０）、操作情報が入力されると、その操作が、チェックボックスの操作であるか否かを判断する（Ｓ３４０）。
【００９６】
そして、チェックボックスの操作であると判断すると（Ｓ３４０でＹｅｓ）、その操作情報に従って、対応するチェックボックス内のチェック記号を表示又は非表示にすると共に、操作情報（若しくは表示の変更内容）に従って、Ｓ３１０で取得した第一及び第二設定情報における対応項目の有効／無効を切り替えることにより、仮設定を行う（Ｓ３５０）。その後、Ｓ３３０に移行する。
【００９７】
一方、チェックボックスの操作ではないと判断すると（Ｓ３４０でＮｏ）、ＣＰＵ１１は、入力された操作情報が、「ＯＫ」画像の選択操作を示す情報及び「キャンセル」画像の選択操作を示す情報のいずれであるかを判断し（Ｓ３６０）、「ＯＫ」画像の選択操作であると判断すると、仮設定後の第一及び第二設定情報を、ＳＮＭＰに従って多機能装置２０に送信することにより、仮設定内容を、多機能装置２０に反映させる（Ｓ３７０）。
【００９８】
即ち、多機能装置２０がＮＶＲＡＭ２４に保持する第一及び第二設定情報を、仮設定した第一及び第二設定情報に書き換えて、仮設定内容を反映させる。その後、ＣＰＵ１１は、当該設定変更処理を終了する。一方、Ｓ３６０にて、操作情報が「キャンセル」画像の選択操作を示す情報であると判断すると、Ｓ３７０の処理を行うことなく、設定変更処理を終了する。
【００９９】
続いて、ＮＶＲＡＭ２４が保持する第一及び第二設定情報に従って、アクセス制限を行う多機能装置２０の動作について説明する。図１０は、多機能装置２０のＣＰＵ２１が、印刷サーバ部２１ａ、ウェブサーバ部２１ｂ、ＦＴＰサーバ部２１ｃとしての機能を実現する際に、実行する処理（サーバ処理）を表すフローチャートである。
【０１００】
ＣＰＵ２１が行う印刷サーバ部２１ａとしての機能を実現するための処理、ウェブサーバ部２１ｂとしての機能を実現するための処理、及び、ＦＴＰサーバ部２１ｃとしての機能を実現するための処理は、夫々、基本的なサーバ機能に係る処理の点で異なるが、アクセス制限に係る処理の点では同一であるので、以下では、アクセス制限に係る処理に焦点を当て、まとめて説明する。尚、以下では、印刷サーバ部２１ａ及びウェブサーバ部２１ｂ及びＦＴＰサーバ部２１ｃの夫々に対応したソケット（ポート）が生成されていることを前提とする。
【０１０１】
図１０に示すサーバ処理を実行すると、ＣＰＵ２１は、当該処理に対応するポートに対して接続要求信号（通信信号）が送信されてきたか否かを判断する（Ｓ４１０）。具体的に、当該サーバ処理が、印刷サーバ部２１ａを実現するための処理である場合には、印刷サーバ部２１ａに割り当てられたポートに対して接続要求信号が送信されてきたか否かを判断する。
【０１０２】
また、当該サーバ処理が、ウェブサーバ部２１ｂを実現するための処理である場合には、ウェブサーバ部２１ｂに割り当てられたポートに対して接続要求信号が送信されてきたか否かを判断し、当該サーバ処理が、ＦＴＰサーバ部２１ｃを実現するための処理である場合には、ＦＴＰサーバ部２１ｃに割り当てられたポートに対して接続要求信号が送信されてきたか否かを判断する。
【０１０３】
ここで、接続要求信号が送信されてきた（ネットワークインタフェース２６が上記ポート宛ての接続要求信号を受信した）と判断すると（Ｓ４１０でＹｅｓ）、ＣＰＵ２１は、当該サーバ処理に対する制限機能が有効にされているか否かを判断する（Ｓ４２０）。具体的に、当該サーバ処理が、印刷サーバ部２１ａを実現するための処理である場合には、ＮＶＲＡＭ２４が記憶する印刷サーバ部２１ａに対するアクセスの制限機能の有効／無効を示す設定値が、有効を示しているか否か判断する。
【０１０４】
また、当該サーバ処理が、ウェブサーバ部２１ｂを実現するための処理である場合には、ＮＶＲＡＭ２４が記憶するウェブサーバ部２１ｂに対するアクセスの制限機能の有効／無効を示す設定値が、有効を示しているか否か判断し、当該サーバ処理が、ＦＴＰサーバ部２１ｃを実現するための処理である場合には、ＮＶＲＡＭ２４が記憶するＦＴＰサーバ部２１ｃに対するアクセスの制限機能の有効／無効を示す設定値が、有効を示しているか否か判断する。
【０１０５】
そして、制限機能が有効ではない、即ち、無効であると判断すると（Ｓ４２０でＮｏ）、ＣＰＵ２１は、サービスの提供処理を開始する（Ｓ４６０）。サービスの提供処理とは、サーバ機能に係る本来の処理である。この提供処理の実行により、印刷サーバ部２１ａとしての主な機能、ウェブサーバ部２１ｂとしての主な機能、ＦＴＰサーバ部２１ｃとしての主な機能は、夫々のサーバ処理にて、実現される。その後、ＣＰＵ２１は当該サーバ処理を一旦終了し、再び、Ｓ４１０から繰り返し実行する。
【０１０６】
一方、制限機能が有効にされていると判断すると（Ｓ４２０でＹｅｓ）、ＣＰＵ２１は、Ｓ４３０にて、図１１に示す制限処理を実行する。図１１は、ＣＰＵ２１が実行する制限処理を表すフローチャートである。
【０１０７】
制限処理を実行すると、ＣＰＵ２１は、受信した接続要求信号に含まれる送信元アドレス及び送信先アドレスを抽出すると共に（Ｓ４３１）、ＮＶＲＡＭ２４が保持する第一設定情報に基づいて、グローバルアドレスに対する制限機能が有効にされているか否かを判断する（Ｓ４３３）。そして、グローバルアドレスに対する制限機能が無効にされていると判断すると（Ｓ４３３でＮｏ）、接続許可判定し（Ｓ４３９）、当該制限処理を終了する。
【０１０８】
一方、グローバルアドレスに対する制限機能が有効にされていると判断すると（Ｓ４３３でＹｅｓ）、Ｓ４３５に移行し、第一設定情報に基づいて、サイトローカルアドレスに対する制限機能が有効にされているか否かを判断する。そして、サイトローカルアドレスに対する制限機能が有効にされていると判断すると（Ｓ４３５でＹｅｓ）、Ｓ４３１で抽出した送信元アドレスが、リンクローカルアドレスであるか否か判断する（Ｓ４３７）。
【０１０９】
具体的に、Ｓ４３７では、送信元アドレスのプレフィックスが、リンクローカルアドレス特有のプレフィックス（具体的には、「ｆｅ８０：：／６４」）であるか否かを判断することによって、Ｓ４３１で抽出した送信元アドレスが、リンクローカルアドレスであるか否かを判断する。
【０１１０】
そして、送信元アドレスがリンクローカルアドレスであると判断すると（Ｓ４３７でＹｅｓ）、接続許可判定し（Ｓ４３９）、当該制限処理を終了する。これに対し、送信元アドレスがリンクローカルアドレスではないと判断すると（Ｓ４３７でＮｏ）、接続禁止判定して（Ｓ４４５）、当該制限処理を終了する。
【０１１１】
一方、サイトローカルアドレスに対する制限機能が無効にされていると判断すると（Ｓ４３５でＮｏ）、ＣＰＵ２１は、図１２に示すグローバル制限処理を実行する（Ｓ４４１）。図１２は、ＣＰＵ２１が実行するグローバル制限処理を表すフローチャートである。
【０１１２】
グローバル制限処理を実行すると、ＣＰＵ２１は、Ｓ５１０にて、上記抽出された送信元アドレスがグローバルアドレスであるか否かを判断する。具体的には、送信元アドレスのプレフィックスの上位３ビットが「００１」であるか否かを判断することによって、送信元アドレスがグローバルアドレスであるか否かを判断する。
【０１１３】
ここで、送信元アドレスがグローバルアドレスではないと判断すると（Ｓ５１０でＮｏ）、ＣＰＵ２１は、接続要求元装置による当該多機能装置２０へのアクセスが内部アクセス、即ち、多機能装置２０が所属するサイトローカルＮＳ内の装置からのアクセスであると判断して、内部アクセス判定する（Ｓ５４０）。その後、当該グローバル制限処理を終了する。
【０１１４】
一方、送信元アドレスがグローバルアドレスであると判断すると（Ｓ５１０でＹｅｓ）、ＣＰＵ２１は、送信先アドレスがグローバルアドレスであるか否かを判断する（Ｓ５２０）。尚、具体的な判断手法は、Ｓ５１０での判断と基本的に同一である。
【０１１５】
そして、送信先アドレスがグローバルアドレスではないと判断すると（Ｓ５２０でＮｏ）、ＣＰＵ２１は、内部アクセス判定（Ｓ５４０）して、当該グローバル制限処理を終了する。また、送信先アドレスがグローバルアドレスであると判断すると（Ｓ５２０でＹｅｓ）、ＣＰＵ２１は、送信元アドレスのプレフィックスの上位４８ビットと、自装置に設定されたグローバルアドレスのプレフィックスの上位４８ビットとが、一致するか否か判断する（Ｓ５３０）。そして、一致すると判断すると（Ｓ５３０でＹｅｓ）、内部アクセス判定する（Ｓ５４０）。
【０１１６】
一方、送信元アドレスのプレフィックスの上位４８ビットと、自装置に設定されたグローバルアドレスのプレフィックスの上位４８ビットとが、一致しないと判断すると（Ｓ５３０でＮｏ）、ＣＰＵ２１は、Ｓ５５０に移行し、接続要求元装置からのアクセスが、サイトローカルＮＳ外からのアクセスであると判定（外部アクセス判定）して、当該グローバル制限処理を終了する。
【０１１７】
Ｓ４４１にて、グローバル制限処理を終了すると、ＣＰＵ２１は、Ｓ４４３に移行し、グローバル制限処理にて内部アクセス判定及び外部アクセス判定のいずれの判定が下されたかを判断し、外部アクセス判定されていると判断すると（Ｓ４４３でＹｅｓ）、接続要求元装置と、当該多機能装置２０との通信を制限するために、接続禁止判定する（Ｓ４４５）。その後、当該制限処理を終了する。これに対し、グローバル制限処理にて内部アクセス判定が下されていると判断すると（Ｓ４４３でＮｏ）、接続許可判定して（Ｓ４４７）、当該制限処理を終了する。
【０１１８】
このようにしてＳ４３０での制限処理を終了すると、ＣＰＵ２１は、Ｓ４５０に移行し、制限処理にて接続許可判定されたか否かを判断し、接続許可判定されたと判断すると（Ｓ４５０でＹｅｓ）、サービスの提供処理を開始し（Ｓ４６０）、接続要求信号に応答する。一方、接続許可判定されていない、即ち、接続禁止判定されていると判断すると（Ｓ４５０でＮｏ）、ＣＰＵ２１は、接続要求を拒否する旨の信号を応答信号として、接続要求元装置に送信することにより、接続拒否し（Ｓ４７０）、その後、当該サーバ処理を終了する。
【０１１９】
以上、本実施例の通信システム１について説明したが、本実施例の多機能装置２０では、グローバルアドレスを送信元アドレスとした通信信号を受信した場合（Ｓ５１０でＹｅｓ）、外部アクセス判定して（Ｓ５５０）、接続要求元装置と当該多機能装置２０との通信を制限する（Ｓ４７０）ので、多機能装置２０が、ローカルエリアネットワーク外の装置であってインターネット内の他の装置によって、不正に利用されるのを防止することができる。この効果は、ネットワークに、特別なサーバを導入しなくても得られ、又、ルータ３１等に、通信を制限するための特別な設定を施さなくても得られるので、この多機能装置２０が有する制限機能は非常に有効である。
【０１２０】
特に、ＩＰｖ６環境下では、通信ケーブルＬＮに接続すると、多機能装置２０が自動でＩＰアドレスを設定しネットワーク接続してしまうので、グローバルアドレスに対する制限機能を、デフォルトで有効にしておくと、利用者が製品購入後、インターネットに繋がる通信ケーブルＬＮに製品を接続した直後に、多機能装置２０がインターネット内の他の装置に対してアクセス可能にされて、セキュリティが疎かになるのを防止することができる。
【０１２１】
その他、多機能装置２０によれば、送信元アドレスがグローバルアドレスであっても、送信元アドレスのプレフィックス及び自装置のプレフィックスの一部又は全部が一致する場合には、送信元装置が、当該多機能装置２０と同一のローカルエリアネットワークに属する装置であると判断して（Ｓ５３０でＹｅｓ）、内部アクセス判定し（Ｓ５４０）、接続拒否（Ｓ４７０）を行わない（禁止する）。また同様に、送信元アドレスがグローバルアドレスであっても、送信先アドレスがグローバルアドレスではない場合には（Ｓ５２０でＮｏ）、内部アクセス判定（Ｓ５４０）し、接続拒否（Ｓ４７０）を行わない。
【０１２２】
即ち、本実施例によれば、サイトローカルＮＳ内で、サイトローカルアドレスを用いず、グローバルアドレスを用いて、当該多機能装置２０に対し、アクセスが行われた際にも、これを、不要に接続拒否することがないので、大変便利である。
【０１２３】
また、本実施例では、サイトローカルアドレスに対する制限機能をＳＮＭＰマネージャとして機能するＰＣから遠隔操作で、有効／無効に切り替えることができ、サイトローカルアドレスに対する制限機能が有効にされている場合（Ｓ４３５でＹｅｓ）、送信元アドレスがローカルアドレスであっても、サイトローカルアドレスである場合には（Ｓ４３７でＮｏ）、送信元装置が、多機能装置２０が所属するリンクローカルＮＬに属さず、上層のサイトローカルＮＳに属する装置であるとして、接続禁止判定し（Ｓ４４５）、接続拒否を行うので、不正利用防止の観点からは大変便利である。
【０１２４】
その他、本実施例では、ネットワークインタフェース２６が外部から受信した通信信号を取得し、この通信信号に基づき、サーバ機能を実現するための処理を実行する印刷サーバ部２１ａ、ウェブサーバ部２１ｂ、ＦＴＰサーバ部２１ｃの夫々に対して、制限機能の有効／無効を判断する機能を設け（Ｓ４２０）、制限機能が無効とされている場合には（Ｓ４２０でＮｏ）、接続拒否（Ｓ４７０）を行わないようにした。
【０１２５】
ウェブサーバ機能等は、インターネットからのアクセスを可能にしないと、その機能が十分に発揮されないが、本実施例によれば、印刷サーバ等の機能については、制限機能を有効にし、ウェブサーバ機能については、制限機能を無効にする等の使い方ができる。即ち、多機能装置２０においては、必要な機能に対してのみの不正利用を防止することができるので、利用者にとっては大変便利である。
【０１２６】
尚、本発明の通信手段は、ネットワークインタフェース２６及びプロトコルスタック２５により実現されており、抽出手段は、Ｓ４３１の処理にて実現されている。また、送信元判断手段は、Ｓ５１０の処理にて実現されており、制限手段は、Ｓ４５０，Ｓ４７０の処理にて実現されている。
【０１２７】
また、ネットワーク判断手段は、Ｓ５３０の処理にて実現されており、エリア依存型作動禁止手段は、Ｓ５３０とＹｅｓと判断されると、Ｓ５４０にて内部アクセス判定する処理にて実現されている。その他、送信先判断手段は、Ｓ５２０の処理にて実現されており、送信先依存型作動禁止手段は、Ｓ５２０でＮｏと判断されると、Ｓ５４０にて内部アクセス判定する処理にて実現されている。
【０１２８】
また、階層判断手段は、Ｓ４３７の処理にて実現されており、上層制限手段は、Ｓ４３７でＮｏと判断されると、Ｓ４４５にて接続禁止判定し、接続拒否（Ｓ４７０）する処理にて実現されている。また、作動制御手段は、ＳＮＭＰエージェント２１ｄとしての機能及びＳ４３５の処理にて実現されており、操作手段は、ＳＮＭＰマネージャとして機能するＰＣ１０に相当する。そして、操作手段からの指令信号は、設定情報の書き換え内容に相当する。
【０１２９】
その他、処理実行手段は、ネットワークインタフェース２６から通信信号を取得し、この通信信号を解析して送信元装置に対し応答する印刷サーバ部２１ａ、ウェブサーバ部２１ｂ、ＦＴＰサーバ部２１ｃに相当し、処理判断手段は、各サーバ部２１ａ，２１ｂ，２１ｃにより実現されるサーバ処理のＳ４２０にて実現されている。尚、「特定の処理実行手段」は、制限機能が無効にされたサーバ部に対応する。
【０１３０】
また、処理依存型作動禁止手段は、Ｓ４２０でＮｏと判断されると、接続拒否（Ｓ４７０）を行わずに、サービスの提供処理を開始する（Ｓ４６０）処理にて実現されている。
その他、指令入力依存型作動禁止手段は、ＳＮＭＰエージェント２１ｄとしての機能と、グローバルアドレスに対する制限機能が無効にされている場合には（Ｓ４３３でＮｏ）、一律に接続許可判定して（Ｓ４３９）、接続拒否（Ｓ４７０）の実行を禁止する動作と、により実現されている。
【０１３１】
また、本発明の通信装置は、上記実施例に限定されるものではなく、種々の態様を採ることができる。例えば、上記実施例の多機能装置２０は、印刷部２８、印刷サーバ部２１ａを備えているが、画像読取部、画像読取サーバ部、若しくは、カメラ部、カメラサーバ部、その他の機能を備える手段に置き換えた構成、又は、当該複数の機能を組み込んだ一つの多機能装置構成、又は、印刷サーバ部２１ａ若しくは読取サーバ部等が、他の機器の印刷部、読取部等と通信して、当該機能を実現する構成であってもよい。更に、上記実施例では、ＩＰｖ６に基づいて動作する多機能装置２０について説明したが、前提とするネットワークによっては、ネットワーク内での通信及び上位・下位ネットワーク間の通信の双方で用いられるプロトコルであるならば、他のプロトコルにて通信を行う装置に対し、本発明を適用してもよい。
【図面の簡単な説明】
【０１３２】
【図１】本発明が適用された多機能装置２０を含む通信システム１の構成を表す説明図である。
【図２】ＰＣ１０の構成を表すブロック図（ａ）及び多機能装置２０の構成を表すブロック図（ｂ）である。
【図３】ＩＰアドレスの構成に関する説明図（ａ）及びプレフィックスの構成に関する説明図（ｂ）である。
【図４】送信元アドレスとして利用可能なアドレスの種類と、送信先アドレスとして利用可能なアドレスの種類との対応関係を示した表（ａ，ｂ，ｃ）である。
【図５】ＩＰアドレスの自動設定に関する説明図である。
【図６】多機能装置２０における各モードでの動作態様を示した説明図である。
【図７】ＳＮＭＰマネージャとして機能するＰＣ１０のＣＰＵ１１が実行する設定変更処理を表すフローチャートである。
【図８】多機能装置２０がＮＶＲＡＭ２４に保持する第一設定情報の構成を表す説明図（ａ）、及び、第二設定情報の構成を表す説明図（ｂ）である。
【図９】設定画面の構成を表す説明図である。
【図１０】多機能装置２０が実行するサーバ処理を表すフローチャートである。
【図１１】多機能装置２０が実行する制限処理を表すフローチャートである。
【図１２】多機能装置２０が実行するグローバル制限処理を表すフローチャートである。
【符号の説明】
【０１３３】
１…通信システム、１０…ＰＣ、１１，２１…ＣＰＵ、１２，２２…ＲＯＭ、１３，２３…ＲＡＭ、１４…ハードディスク装置、１５，２５…プロトコルスタック、１６，２６…ネットワークインタフェース、１７…表示部、１８…入力部、１９，２９…バス、２０…多機能装置、２１ａ…印刷サーバ部、２１ｂ…ウェブサーバ部、２１ｃ…ＦＴＰサーバ部、２１ｄ…ＳＮＭＰエージェント、２４…ＮＶＲＡＭ、２７…ユーザインタフェース、２８…印刷部、３１，３３…ルータ、ＬＮ…通信ケーブル、ＮＬ…リンクローカル、ＮＳ…サイトローカル
【図１】
2006108802.tif 000003
【図２】
2006108802.tif 000004
【図３】
2006108802.tif 000005
【図４】
2006108802.tif 000006
【図５】
2006108802.tif 000007
【図６】
2006108802.tif 000008
【図７】
2006108802.tif 000009
【図８】
2006108802.tif 000010
【図９】
2006108802.tif 000011
【図１０】
2006108802.tif 000012
【図１１】
2006108802.tif 000013
【図１２】
2006108802.tif 000014