(57)【要約】【課題】プロクシサーバの設定を必要とせずに有害サイト等の特定のコンテンツに対するアクセスの拒否が可能なコンテンツアクセス制御装置、コンテンツアクセス制御方法およびコンテンツアクセス制御プログラムを得ること。【解決手段】プロクシ動作判定部２２１は、ＬＡＮ側インタフェース部２１１から送られてきたパケットを受け取ると、ＨＴＴＰリクエストが格納されている場合にはその指定するＵＲＬが制限情報格納部２１７に格納された条件に当てはまるか否かを判別する。パケット書替部２２２は、当てはまるものがアクセス情報格納部２１８にまだエントリされていない場合には認証が成功していないものとして中継認証部２２３に渡す。中継認証部２２３は、認証情報格納部２１９を使用してそのパケットの送信元に対する認証処理を行い、成功するとアクセス情報格納部２１８にエントリを作成する。【選択図】図２
2006293708.tif 000002
【特許請求の範囲】
【請求項１】
異なったネットワーク同士を中継するネットワーク中継手段と、
このネットワーク中継手段によって中継されるネットワーク上に存在する各種コンテンツのアドレス情報のうちの他のネットワークへの中継を拒否すべきコンテンツのアドレス情報を格納する拒否アドレス情報格納手段と、
前記ネットワーク中継手段を経由する形でコンテンツの取得の要求があるとき、そのコンテンツのアドレス情報が前記拒否アドレス情報格納手段に格納されたアドレス情報のいずれかに一致するかどうかを判別する一致有無判別手段と、
この一致有無判別手段によってアドレス情報の一致が判別された前記コンテンツの取得の要求の中継を拒否する取得要求中継拒否手段
とを具備することを特徴とするコンテンツアクセス制御装置。
【請求項２】
異なったネットワーク同士を中継するネットワーク中継手段と、
このネットワーク中継手段によって中継されるネットワーク上に存在する各種コンテンツのアドレス情報のうちの他のネットワークへの中継を許可すべきコンテンツのアドレス情報を格納する許可アドレス情報格納手段と、
前記ネットワーク中継手段を経由する形でコンテンツの取得の要求があるとき、そのコンテンツのアドレス情報が前記許可アドレス情報格納手段に格納されたアドレス情報のいずれかに一致するかどうかを判別する一致有無判別手段と、
この一致有無判別手段によってアドレス情報の一致が判別されなかった前記コンテンツの取得の要求の中継を拒否する取得要求中継拒否手段
とを具備することを特徴とするコンテンツアクセス制御装置。
【請求項３】
前記コンテンツの取得の要求は、インターネット上の場所を示す情報としてのＵＲＬを指定して該当するコンテンツの提供を要求するＨＴＴＰリクエストであることを特徴とする請求項１または請求項２記載のコンテンツアクセス制御装置。
【請求項４】
前記コンテンツの取得の要求を行うパケット信号の送信元を表わした送信元情報を読み取る送信元情報読取手段と、
この送信元情報読取手段によって読み取られた送信元情報を予め登録した送信元情報と比較する送信元情報比較手段と、
この送信元情報比較手段の比較結果に応じて、前記取得要求中継拒否手段が前記コンテンツの取得の要求の中継を拒否する場合であってもその拒否を解除する拒否解除手段
とを更に具備することを特徴とする請求項１または請求項２記載のコンテンツアクセス制御装置。
【請求項５】
前記コンテンツの取得の要求を行うパケット信号の送信元を表わした送信元情報を読み取る送信元情報読取手段と、
この送信元情報読取手段によって読み取られた送信元情報を予め登録した送信元情報と比較する送信元情報比較手段と、
この送信元情報比較手段の比較結果に応じて、前記取得要求中継拒否手段が前記コンテンツの取得の要求の中継を拒否しない場合であっても前記コンテンツの取得の要求の中継を拒否する認証拒否手段
とを更に具備することを特徴とする請求項１または請求項２記載のコンテンツアクセス制御装置。
【請求項６】
前記ネットワーク中継手段を用いてコンテンツの取得を要求する側のネットワークは、ローカルエリアネットワークであることを特徴とする請求項１または請求項２記載のコンテンツアクセス制御装置。
【請求項７】
前記ネットワーク中継手段は、パケット信号のルーティングのためのルーティングテーブルを備えていることを特徴とする請求項１または請求項２記載のコンテンツアクセス制御装置。
【請求項８】
コンテンツのアドレス情報を示して１つのネットワークから他のネットワーク上に存在するコンテンツの取得の要求があったときこれを受信する取得要求受信ステップと、
この取得要求受信ステップで要求されたコンテンツがアクセスを制限すべき有害サイトのコンテンツであるか否かを判別する有害サイト該当有無判別ステップと、
この有害サイト該当有無判別ステップで有害サイトのコンテンツであると判別したとき、前記コンテンツの取得の要求が前記他のネットワークに送出されるのを拒否する中継拒否ステップ
とを具備することを特徴とするコンテンツアクセス制御方法。
【請求項９】
前記有害サイト該当有無判別ステップでは、有害サイトであることの有無を所定のサーバにアクセスすることで取得することを特徴とする請求項８記載のコンテンツアクセス制御方法。
【請求項１０】
ネットワーク同士を接続しパケットのルーティングを行うルータを構成するコンピュータに、
コンテンツのアドレス情報をＵＲＬで表わして１つのネットワークから他のネットワーク上に存在するコンテンツの取得の要求を行うパケットが送られてきたときこれを受信する取得要求パケット受信処理と、
この取得要求パケット受信処理で受信したパケットが取得対象として要求するコンテンツが、ＵＲＬで表わしたアクセスを制限すべき有害サイトのコンテンツのいずれかに該当するか否かを判別する有害サイト該当有無判別処理と、
この有害サイト該当有無判別処理で有害サイトのコンテンツであると判別したとき、前記コンテンツの取得の要求を行うパケットが前記他のネットワークに送出されるのを拒否する中継拒否処理
とを実行させることを特徴とするコンテンツアクセス制御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ウェブページ等のコンテンツへのアクセスを制御するためのコンテンツアクセス制御装置、コンテンツアクセス制御方法およびコンテンツアクセス制御プログラムに係わり、特にコンテンツのアドレス情報を送信する形でそのコンテンツへのアクセスが行われる場合に好適なコンテンツアクセス制御装置、コンテンツアクセス制御方法およびコンテンツアクセス制御プログラムに関する。
【背景技術】
【０００２】
近年、企業や家庭内といった比較的狭いエリアに配置された複数の情報処理装置の間で通信を行う通信ネットワークとしてのＬＡＮ（Local Area Network）が広く普及している。一方で、インターネットの発展も目覚しく、公開されるウェブサイトの数は年々増加するとともにこれらのウェブサイトで提供されるサービスも多様化してきている。このようなインターネットで提供される各種サービスをＬＡＮに接続された各装置で利用することができるように、ルータ等のパケットの中継を行う装置を介してＬＡＮをインターネットに接続させることが広く行われている。
【０００３】
ところで、インターネットで公開されているコンテンツには多種多様のものがあり、その中には特定の者を中傷したり子供等の判断能力の乏しいものに悪い影響を及ぼす内容を含むものも存在している。これらのコンテンツを公開するウェブサイトは一般に有害サイトと呼ばれている。このような有害サイトから利用者を保護する必要が論じられている。また、企業内で構築されたＬＡＮがインターネットに接続されている場合に、その企業の業務の遂行に障害が発生するようなコンテンツは、仮に利用者に有害な内容を含むものでなくても企業内からのアクセスを遮断すべき必要性が論じられている。本明細書では、これらのコンテンツを含むウェブサイトを総括して有害サイトと呼ぶことにする。
【０００４】
有害サイトへのアクセスを制限する一般的な手法は、個々の情報処理装置からインターネットへのアクセスをプロクシサーバ（Proxy Server）を介して行うことである。プロクシサーバはＬＡＮをインターネットに接続する際のファイアウォールとして使われるのが一般であるが、これに有害サイトを登録しておき、これら有害サイトへのアクセスを行えないようにするものである。
【０００５】
図１９は、このような従来のコンテンツアクセス制御装置を使用した通信システムの構成を表わしたものである。通信システム１００を構成する情報処理装置としてのパーソナルコンピュータ１０１はＬＡＮ１０２に接続されている。ＬＡＮ１０２には、コンテンツアクセス制御装置としてのＨＴＴＰ（HyperText Transfer Protocol）プロクシサーバ１０３と、ルータ１０４が接続されている。このうちルータ１０４は、ＬＡＮ１０２を他の通信ネットワークとしてのＷＡＮ（Wide Area Network）１０５と接続してパケットの送受信を行うための接続装置である。ＨＴＴＰプロクシサーバ１０３は、ＨＴＴＰを使用するプロクシサーバであり、ＨＴＴＰを使用するパーソナルコンピュータ１０１から送られてくるパケットを取り込んで、有害サイトへのアクセスが要求されているかどうかを判別する。そして、有害サイトへのアクセスが要求されている場合には、ＨＴＴＰプロクシサーバ１０３によるＷＡＮ１０５へのアクセスを拒否する。したがって、パーソナルコンピュータ１０１のユーザは、要求した有害サイトへのアクセスを行うことができない。
【０００６】
従来のこのような通信システム１００では、ＨＴＴＰプロクシサーバ１０３を使用して有害サイトへのアクセスを制限している。したがって、パーソナルコンピュータ１０１はパケットの宛先をこのようなアクセス制限を行うＨＴＴＰプロクシサーバ１０３に設定しておく必要がある。このため、パーソナルコンピュータ１０１のユーザがプロクシサーバの使用を解除したり、プロクシサーバとしてこのような有害サイトへのアクセス制限の機能を持たない通常のプロクシサーバに設定を変更すると、本来のプロクシサーバとしての機能が実現されるものの、有害サイトへのアクセス制限自体は行われないようになる。たとえば、事業主が有害サイトへのアクセス制限を行うプロクシサーバを従業員としてのユーザのパーソナルコンピュータ１０１に設定しておいても、ユーザがその設定を変更すれば、簡単に有害サイトへのアクセスが可能になってしまう。
【０００７】
また、従来のこのような通信システム１００でウェブページへのアクセス制限を実現するためには、有害サイトへのアクセス制限を行う特別のＨＴＴＰプロクシサーバ１０３を用意する必要がある。したがって、たとえば比較的大規模なＬＡＮを構築している事業者ではこのような特別のＨＴＴＰプロクシサーバ１０３を用意することが可能であるが、各家庭で構築した小規模なＬＡＮのように比較的小規模なＬＡＮでは、特別のＨＴＴＰプロクシサーバ１０３を設けて、かつ有害サイトの管理を行うことが経済性等の観点から困難となる。
【０００８】
そこで、個々のコンピュータと通信ネットワークを接続するゲートウェイ等の中継装置にコンピュータから送られてくるパケットの宛先を調べて、その宛先が中継条件を満たす場合にのみ通信ネットワークへの中継を許すようにする提案が行われている（特許文献１参照）。この提案では、中継装置の端末通信部を介して個々に接続されたコンピュータのいずれかが、この中継装置を介してコンピュータ通信網の所定の宛先と通信しようとするとき、まず、発信元のコンピュータにＩＰアドレスを割り当てておく。また、中継装置内には中継を拒否すべきＩＰアドレスを登録しておく。発信元のコンピュータが所定の宛先を指定してパケットを送ってきたら、宛先のＩＰアドレスが中継を拒否すべきＩＰアドレスに一致するかどうかを判別する。そして、一致する場合には中継を拒否することになる。
【０００９】
したがって、この提案では、ハードディスク内にアクセスを制限すべき有害サイトを扱ったサーバのＩＰアドレスを登録しておけば、コンピュータはそのアクセスを拒否されることになる。
【特許文献１】特開２００１−２１７８７５号公報（第００９８段落、図５）
【発明の開示】
【発明が解決しようとする課題】
【００１０】
しかしながら、有害サイトを公開するウェブサーバには、固定のＩＰアドレスが割り当てられているとは限らず、ウェブサーバの管理者が故意にＩＰアドレスの割り当てを変えて行くというようなケースもある。したがって、いつの間にか登録された各ＩＰアドレスが、有害サイトを公開するウェブサーバと対応しなくなり、これに対するアクセスを確実に拒否することができなくなるといった事態が発生する恐れがある。また、同じウェブサーバが提供するウェブサイトの中で有害サイトとそうでないものとが混在しているような場合には、前者のみを拒否の対象とするということができない。
【００１１】
そこで本発明の目的は、プロクシサーバの設定を必要とせずに有害サイト等の特定のコンテンツに対するアクセスの拒否が可能なコンテンツアクセス制御装置、コンテンツアクセス制御方法およびコンテンツアクセス制御プログラムを提供することにある。
【課題を解決するための手段】
【００１２】
本発明では、（イ）異なったネットワーク同士を中継するネットワーク中継手段と、（ロ）このネットワーク中継手段によって中継されるネットワーク上に存在する各種コンテンツのアドレス情報のうちの他のネットワークへの中継を拒否すべきコンテンツのアドレス情報を格納する拒否アドレス情報格納手段と、（ハ）ネットワーク中継手段を経由する形でコンテンツの取得の要求があるとき、そのコンテンツのアドレス情報が拒否アドレス情報格納手段に格納されたアドレス情報のいずれかに一致するかどうかを判別する一致有無判別手段と、（ニ）この一致有無判別手段によってアドレス情報の一致が判別されたコンテンツの取得の要求の中継を拒否する取得要求中継拒否手段とをコンテンツアクセス制御装置に具備させる。
【００１３】
すなわち本発明では、ルータあるいはゲートウェイといったネットワーク同士の中継手段を備えた装置に、ネットワーク上に存在する各種コンテンツのアドレス情報のうち他のネットワークへの中継を拒否すべきコンテンツのアドレス情報を格納する拒否アドレス情報格納手段を用意させる。そして、ネットワーク中継手段を経由する形でコンテンツの取得の要求があるときには、そのコンテンツのアドレス情報がこの拒否アドレス情報格納手段に格納されたアドレス情報のいずれかに一致するかどうかを判別し、一致が判別された場合にはコンテンツの取得の要求の中継を拒否するようにしている。
【００１４】
本発明では、（イ）異なったネットワーク同士を中継するネットワーク中継手段と、（ロ）このネットワーク中継手段によって中継されるネットワーク上に存在する各種コンテンツのアドレス情報のうちの他のネットワークへの中継を許可すべきコンテンツのアドレス情報を格納する許可アドレス情報格納手段と、（ハ）ネットワーク中継手段を経由する形でコンテンツの取得の要求があるとき、そのコンテンツのアドレス情報が許可アドレス情報格納手段に格納されたアドレス情報のいずれかに一致するかどうかを判別する一致有無判別手段と、（ニ）この一致有無判別手段によってアドレス情報の一致が判別されなかったコンテンツの取得の要求の中継を拒否する取得要求中継拒否手段とをコンテンツアクセス制御装置に具備させる。
【００１５】
すなわち本発明では、ルータあるいはゲートウェイといったネットワーク同士の中継手段を備えた装置に、ネットワーク上に存在する各種コンテンツのアドレス情報のうち他のネットワークへの中継を許可すべきコンテンツのアドレス情報を格納する許可アドレス情報格納手段を用意させる。そして、ネットワーク中継手段を経由する形でコンテンツの取得の要求があるときには、そのコンテンツのアドレス情報がこの許可アドレス情報格納手段に格納されたアドレス情報のいずれかに一致するかどうかを判別し、一致が判別されなかった場合にはコンテンツの取得の要求の中継を拒否するようにしている。
【００１６】
本発明では、（イ）コンテンツのアドレス情報を示して１つのネットワークから他のネットワーク上に存在するコンテンツの取得の要求があったときこれを受信する取得要求受信ステップと、（ロ）この取得要求受信ステップで要求されたコンテンツがアクセスを制限すべき有害サイトのコンテンツであるか否かを判別する有害サイト該当有無判別ステップと、（ハ）この有害サイト該当有無判別ステップで有害サイトのコンテンツであると判別したとき、コンテンツの取得の要求が前記した他のネットワークに送出されるのを拒否する中継拒否ステップとをコンテンツアクセス制御方法に具備させる。
【００１７】
すなわち本発明では、コンテンツのアドレス情報を示して１つのネットワークから他のネットワーク上に存在するコンテンツの取得の要求があったとき、このコンテンツが有害サイトのコンテンツであるか否かを判別して、有害サイトのコンテンツであると判別したときには、コンテンツの取得の要求が前記した他のネットワークに送出されるのを拒否するようにしている。
【００１８】
本発明のコンテンツアクセス制御プログラムでは、ネットワーク同士を接続しパケットのルーティングを行うルータを構成するコンピュータに、（イ）コンテンツのアドレス情報をＵＲＬで表わして１つのネットワークから他のネットワーク上に存在するコンテンツの取得の要求を行うパケットが送られてきたときこれを受信する取得要求パケット受信処理と、（ロ）この取得要求パケット受信処理で受信したパケットが取得対象として要求するコンテンツが、ＵＲＬで表わしたアクセスを制限すべき有害サイトのコンテンツのいずれかに該当するか否かを判別する有害サイト該当有無判別処理と、（ハ）この有害サイト該当有無判別処理で有害サイトのコンテンツであると判別したとき、コンテンツの取得の要求を行うパケットが前記した他のネットワークに送出されるのを拒否する中継拒否処理とを実行させることを特徴としている。
【００１９】
すなわち本発明では、ルータを構成するコンピュータがその制御のために使用するコンテンツアクセス制御プログラムに関するものである。このコンテンツアクセス制御プログラムは、コンテンツのアドレス情報をＵＲＬで表わして他のネットワーク上に存在するコンテンツの取得の要求を行うパケットが送られてきたときこれを受信する取得要求パケット受信処理を実行する。そして、この受信したパケットが取得対象として要求するコンテンツが、ＵＲＬで表わした有害サイトのコンテンツのいずれかに該当するか否かを判別する有害サイト該当有無判別処理を実行して、有害サイトのコンテンツであると判別した場合には、コンテンツの取得の要求を行うパケットが前記した他のネットワークに送出されるのを拒否する中継拒絶処理を実行するようにしている。
【発明の効果】
【００２０】
以上説明したように本発明によれば、ネットワーク間を中継するルータ等のネットワーク中継手段を備えた装置がコンテンツの取得の要求を中継するかどうかを決めるので、プロクシサーバでコンテンツへのアクセスの制限を行う場合と異なり、プロクシサーバの設定の有無に係らずコンテンツへのアクセスの制限を行うことができる。したがって、このような装置が大量に使用されることによる量産効果によって、アクセス制限についての特別なサーバを設ける場合よりもコストダウンを図ることができ、小規模なＬＡＮに接続されたパーソナルコンピュータのような通信端末に対しても気軽にアクセス制限を実現することが可能となる。更に、取得の対象となるコンテンツのアドレス情報によって拒否すべきか否かを判別するので、より確実に特定のコンテンツに対するアクセス制限を行うことができる。
【発明を実施するための最良の形態】
【００２１】
以下実施例につき本発明を詳細に説明する。
【実施例１】
【００２２】
図１は、本発明の一実施例によるコンテンツアクセス制御装置が使用される通信システムの構成を表わしたものである。この通信システム２００では、企業の社内ネットワークであるＬＡＮ２０１と、パケットの中継を行うコンテンツアクセス制御装置としてのルータ２０２が配置されており、ＬＡＮ２０１はこのルータ２０２を介してインターネット２０３に接続されている。ＬＡＮ２０１には、各種情報処理やＬＡＮ２０１を使用したパケットの送受信を行う第１〜第ｎのホスト装置２０４1〜２０４nが配置されている。これら第１〜第ｎのホスト装置２０４1〜２０４は、それぞれＬＡＮ２０１を構築している企業の従業員としてのユーザが使用するパーソナルコンピュータである。各ユーザはそれぞれ自分のホスト装置２０４を使用してインターネット２０３上の図示しない各種サーバにアクセスして必要な情報を閲覧したりメールの送受信を行ったりすることができるようになっている。また、インターネット２０３には、それぞれウェブページ等のコンテンツを公開している第１〜第ｍのサーバ２０５1〜２０５mが配置されている。
【００２３】
第１〜第ｍのサーバ２０５1〜２０５mのうち、第１および第２のサーバ２０５1、２０５2はＬＡＮ２０１を構築している企業の業務の遂行に必要のない内容のウェブサイトを公開している。そのウェブサイトのＵＲＬ（Uniform Resource Locator）は、それぞれ「ｗｗｗ．ｈｏｇｅ１．ｃｏｍ」および「ｗｗｗ．ｈｏｇｅ２．ｃｏｍ」となっている。また、第１のサーバ２０５1では公開しているウェブサイトの閲覧について特にユーザ制限を行っていないが、第２のサーバ２０５2ではユーザ登録を行ったユーザにのみウェブサイトの閲覧を許可しており、アクセスしてきた各ユーザに対して所定の認証処理を行うようになっているものとする。
【００２４】
また、第１〜第ｎのホスト装置２０４1〜２０４nや第１〜第ｍのサーバ２０５1〜２０５mは、これらの装置間でデータの送受信を行う際にハイパーリンクを表わした文書としてのハイパーテクスト（hypertext）の転送プロトコルとして、ＨＴＴＰを使用するようになっている。ＨＴＴＰは、インターネット２０３で使用される技術を標準化する組織であるＩＥＴＦ（Internet Engineering Task Force）で規格化された通信プロトコルであり、マークアップ言語で記述されたＨＴＭＬ（HyperText Marup Language）文書やこれに関連付けられた画像データや音声データ等を送受信できるようになっている。ＨＴＴＰでは、特定の場所に対してどのような処理を要求すなわちリクエストをするかということを、予め定められたメソッド（method）と呼ばれるコマンド形式で相手先に伝達することができるようになっている。
【００２５】
このようなＨＴＴＰリクエストの代表的なものに、特定のＵＲＬに置かれたデータの送信を要求するＧＥＴメソッドがある。このＧＥＴメソッドを送信することによって、各ホスト装置２０４は所望のＵＲＬに置かれたウェブページのデータを取得し、これを閲覧することが可能となっている。各メソッドの構文は標準化されており、どのような内容のＨＴＴＰリクエストが格納されているかは容易に判別できるようになっている。
【００２６】
本実施例のＬＡＮ２０１を構築している企業では、業務の高効率化やルータ２０２に対する通信負荷軽減のために、業務に必要の無いインターネット２０３上のウェブサイトへの従業員のアクセスを制限することが望まれているものとする。また、たとえば営業系スタッフには制限をしないが技術系スタッフや事務系スタッフには制限を行うというように、きめ細やかなアクセス制限を実現することが望まれているものとする。そこで本実施例では、ＬＡＮ２０１側から送られてきたパケットがＨＴＴＰリクエストの場合にはそのＨＴＴＰリクエストが指定するＵＲＬと送信元ユーザに応じて適宜中継の制限を行う機能を、ルータ２０２に持たせるようにする。
【００２７】
図２は、ルータの構成を表わしたものである。ルータ２０２は、ＬＡＮ２０１に接続してパケットの送受信を行うためのＬＡＮ側インタフェース部２１１と、インターネット２０３に接続して同じくパケットの送受信を行うための公衆網側インタフェース部２１２を備えている。また、送信の対象となるパケットを生成したり受信したパケットに格納されたデータを使用するといった、ルータ２０２自身のアプリケーション層による各種ホスト処理を行うホスト処理部２１３を備えている。そして、これらＬＡＮ側インタフェース部２１１と公衆網側インタフェース部２１２およびホスト処理部２１３のそれぞれに接続されて、これらの各装置部から送られてきた個々のパケットについて次の転送先を判別しその転送先へと渡す処理を行うルーティング処理部２１４が備えられている。ルーティング処理部２１４には更に、このルーティング処理部２１４によるＬＡＮ２０１からインターネット２０３側へのパケット中継の制御を行う中継制御処理部２１５が接続されている。中継制御処理部２１５には、この中継の制限の対象となるパケットの条件に関する情報としての制限情報を格納する制限情報格納部２１７と、各ホスト装置２０４のインターネット２０３へのアクセスの状況を表わすアクセス情報を格納するアクセス情報格納部２１８が接続されている。更に、パケットの送信元に対して認証処理を行う際に使用する認証情報を格納する認証情報格納部２１９が接続されている。
【００２８】
中継制御処理部２１５は、パケット中継の制限を行うためにホスト装置２０４のインターネット２０３側との間の通信を部分的に代行する簡易的なプロクシ（Proxy）動作を行うか否かの判別を行うプロクシ動作判定部２２１を備えている。また、パケットの内容の書き替えを適宜行うパケット書替部２２２と、パケットの送信元に対して認証処理を行うとともにアクセス情報格納部２１８の内容を更新する中継認証部２２３を備えている。更に、アクセス情報格納部２１８の不必要なアクセス情報を削除するアクセス情報削除部２２４を備えている。
【００２９】
ルータ２０２に備えられたこれら各機能部は、図示しないＣＰＵ（中央処理装置）と制御プログラムを格納したＲＯＭ（Read Only Memory）等の記憶媒体、ＲＡＭ（Random Access Memory）等の作業用メモリならびに通信制御部等のハードウェアによって構成されている。
【００３０】
ＬＡＮ側インタフェース部２１１は、接続するＬＡＮ２０１からパケットが送られてくると、そのパケットをルーティング処理部２１４へ渡す。公衆網側インタフェース部２１２も、同様に接続するインターネット２０３から送られてきたルータ２０２の物理アドレスを宛先とするパケットをルーティング処理部２１４へ渡す。ホスト処理部２１３は、ＬＡＮ２０１あるいはインターネット２０３への送出の対象となるパケットを生成すると、これをルーティング処理部２１４へ渡すようになっている。
【００３１】
また、中継制御処理部２１５は、ルーティング処理部２１４からパケットを受け取って後に説明する各種処理を行うとともに、ＬＡＮ２０１あるいはインターネット２０３への送出の対象となるパケットを逆にルーティング処理部２１４へと渡すようになっている。ルーティング処理部２１４は、このようにして各装置部からパケットが渡されるのを待機して次にどの装置部へ渡すべきかを判別するとともに、その判別した装置部へとパケットを渡すルーティング処理を実行するようになっている。
【００３２】
図３は、ルータに送られてくるパケットの構成を表わしたものである。パケット２４１は、転送のための各種制御情報が格納されるＩＰヘッダ２４２と、その転送の対象となるデータ本体２４３により構成されている。ＩＰヘッダ２４２には、パケット２４１の宛先のＩＰアドレスを示す宛先ＩＰアドレス２４４と、送信元のＩＰアドレスを示す送信元ＩＰアドレス２４５が格納されている。データ本体２４３には、上位のアプリケーションデータを分割して伝送するＴＣＰ（Transmission Control Protocol）パケットやＵＤＰ（User Datagram Protocol）パケットが格納される。
【００３３】
前記したＨＴＴＰリクエストは、ＴＣＰ（Transmission Control Protocol）パケットに格納されて伝送されるようになっている。そして、複数のＴＣＰパケットに分散して格納される場合には、それぞれのＴＣＰパケットに振られたシーケンス番号によって、送信先で基のＨＴＴＰリクエストを復元できるようになっている。
【００３４】
図４は、ルーティング処理部のルーティング処理の流れを表わしたものである。図１、図２と共に説明する。ルーティング処理部２１４は、図示しないが自装置のＩＰアドレスとＬＡＮ２０１のネットワークアドレスおよびこれら以外のネットワークアドレスのそれぞれと、これらを宛先とするパケット２４１を渡すべき装置部とを対応付けたルーティングテーブルを備えている。ルーティング処理部２１４は、ホスト処理部２１３か中継制御処理部２１５、あるいは公衆網側インタフェース部２１２からパケット２４１を渡された場合には（ステップＳ２５１：Ｙ）、このルーティングテーブルを参照して次に渡すべき装置部を判別する（ステップＳ２５２）。そして、判別された装置部へとパケット２４１を渡し（ステップＳ２５３）、再び新たなパケット２４１が渡されるのを待機する（リターン）。
【００３５】
一方、ＬＡＮ側インタフェース部２１１からパケット２４１が渡された場合には（ステップＳ２５１：Ｎ、ステップＳ２５４：Ｙ）、ルーティングテーブルを参照して自装置宛てか否かを判別するようになっている（ステップＳ２５５）。自装置宛てである場合には（Ｙ）、ホスト処理部２１３へとパケット２４１を渡し（ステップＳ２５６）、新たなパケット２４１を渡されるのを待機する（リターン）。自装置宛てではない場合には（ステップＳ２５５：Ｎ）、中継制御処理部２１５へとパケット２４１を渡し（ステップＳ２５７）。新たなパケット２４１を渡されるのを待機する（リターン）。これにより、ＬＡＮ２０１側から送られてきた自装置宛て以外のパケット２４１は、全て中継制御処理部２１５へと渡されることになる。
【００３６】
図２に示した中継制御処理部２１５のプロクシ動作判定部２２１は、ルーティング処理部２１４から受け取ったパケット２４１について、パケット２４１中継の制限を行うために前記した簡易プロクシ動作を行うか否かを判別するプロクシ動作判定処理を行う。
【００３７】
図５は、プロクシ動作判定部のプロクシ動作判定処理の流れを表わしたものである。図１、図２と共に説明する。プロクシ動作判定部２２１は、ルーティング処理部２１４からパケット２４１を渡されると（ステップＳ２７１：Ｙ）、そのパケット２４１のデータ本体２４３がＨＴＴＰリクエストであるか否かを判別し（ステップＳ２７２）、ＨＴＴＰリクエストではない場合には（Ｎ）、ここでは中継の制限の対象としないので、ルーティング処理部２１４へそのまま渡す（ステップＳ２７３）。そして、再び新たなパケット２４１がルーティング処理部２１４から渡されるのを待機する（リターン）。
【００３８】
図３で説明したように複数のパケット２４１に亘ってＨＴＴＰリクエストが格納されている場合もある。したがって、詳細にはプロクシ動作判定処理部２２１はパケット２４１にＴＣＰパケットが格納されているときに、それぞれに振られたシーケンス番号に基づいて元の上位のアプリケーションデータを復元する。そして、復元した結果を基にＨＴＴＰリクエストか否か以降の判別を行うようになっている。このとき、１つのアプリケーションデータを復元するための一連のＴＣＰパケットをバッファしておき、ルーティング処理部２１４あるいはパケット書替部２２２へ渡すようにしてもよい。あるいは、１つでもＴＣＰパケットが不足していれば元のＨＴＴＰリクエストを送信先で復元できないことを利用し、最後のパケット２４１の１つ手前まではルーティング処理部２１４とパケット書替部２２２の両方に逐次渡していき、最後のパケット２４１については一方の装置部へのみ渡すようにしてもよい。以降、ＨＴＴＰリクエストを受け取るとは、そのＨＴＴＰリクエストについての全てのパケット２４１の受け取りが完了することを、またＨＴＴＰリクエストを渡すとは、そのＨＴＴＰリクエストについての全てのパケット２４１を最終的に渡すことをそれぞれ指すものとする。
【００３９】
ルーティング処理部２１４からＨＴＴＰリクエストを受け取った場合には（ステップＳ２７２：Ｙ）、その指定するＵＲＬが制限情報格納部２１７に格納されている制限情報が示す条件に当てはまるか否かの判別を行う（ステップＳ２７４）。
【００４０】
図６は、制限情報格納部に格納される内容を表わしたものである。制限情報格納部２１７には、ＨＴＴＰリクエストを中継する際の制限の対象となるＵＲＬが制限情報として格納されている。たとえば、第１のサーバ２０５1が公開するウェブサイトのＵＲＬ「ｗｗｗ．ｈｏｇｅ１．ｃｏｍ」が格納されているが、これはＵＲＬ「ｗｗｗ．ｈｏｇｅ１．ｃｏｍ」を指定したＨＴＴＰリクエストを格納したパケット２４１を制限の対象とすることを示している。図１に示したインターネット２０３には、図示しないがインターネット２０３上のウェブサイトをその性質によって分類し、子供向けあるいは各業種向けといった形で各種の制限情報を作成し、提供するサーバが配置されている。制限情報格納部２１７に格納される制限情報は、このようなサーバにアクセスして取得されるようになっている。また、ＬＡＮ２０１の図示しない管理装置からこの制限情報格納部２１７の制限情報の新規設定や変更を行うことも可能となっている。
【００４１】
図５に戻って説明を続ける。ＨＴＴＰリクエストではあるものの、その相手先のＵＲＬが制限情報格納部２１７に制限の対象として格納されていない場合には（ステップＳ２７４：Ｎ）、中継の制限の対象としないのでステップＳ２７３へ進み、そのＨＴＴＰリクエストをルーティング処理部２１４へと渡す。たとえば、企業の業務に必要な内容のウェブサイトのＵＲＬに対するＨＴＴＰリクエストは、このようにしてルーティング処理部２１４へと渡される。
【００４２】
ここでは、あるユーザが図１の第１のホスト装置２０４1を使用してＵＲＬ「ｗｗｗ．ｈｏｇｅ１．ｃｏｍ」で指定される業務に必要のない内容のウェブサイトの閲覧を行おうとしているものとする。第１のホスト装置２０４1は、図示しないブラウザソフトウェアによりＵＲＬ「ｗｗｗ．ｈｏｇｅ１．ｃｏｍ」に対するＨＴＴＰリクエストを第１のサーバ２０５1を宛先としてＬＡＮ２０１に送出するが、そのパケット２４１はインターネット２０３への接続ポイントであるルータ２０２へと送られる。このパケット２４１はルーティング処理部２１４によって中継制御処理部２１５へと渡され、プロクシ動作判定部２２１は図５のステップ２７２でＨＴＴＰリクエストであると判別し、制限情報格納部２１７の制限情報が示す条件に当てはまるか否かの判別を行う。
【００４３】
ここでは、図６に示したように制限の対象となっているＵＲＬ「ｗｗｗ．ｈｏｇｅ１．ｃｏｍ」に当てはまるため（ステップＳ２７４：Ｙ）、次にそのＨＴＴＰリクエストの送信元のユーザを確認して制限を行うべきか否かを判別するために、ＨＴＴＰリクエストをパケット書替部２２２へと渡す（ステップＳ２７５）。そして、再び新たなパケット２４１がルーティング処理部２１４から渡されるのを待機する（リターン）。
【００４４】
このようにして、中継の制限の対象となるＨＴＴＰリクエストを格納した各パケット２４１は、パケット書替部２２２へと渡される。パケット書替部２２２では、更にそのＨＴＴＰリクエストのユーザの認証を行うべきか否かを判別し、中継認証部２２３に対してその認証の処理を行わせるとともに、適宜そのパケット２４１の内容を書き替えるパケット書替処理を行う。
【００４５】
図７は、パケット書替部のパケット書替処理の流れを表わしたものである。図１、図２と共に説明する。パケット書替部２２２は、図５のステップＳ２７５に対応してプロクシ動作判定部２２１からＨＴＴＰリクエストを受け取ると（ステップＳ２９１：Ｙ）、同じ送信元による同じＵＲＬについてのＨＴＴＰリクエストに関するアクセス情報がアクセス情報格納部２１８にエントリされているかどうかを判別する（ステップＳ２９２）。アクセス情報格納部２１８には、後で説明する中継認証部２２３による中継認証処理でＨＴＴＰリクエストについての認証が成功すると、対応するアクセス情報がエントリされるようになっている。
【００４６】
ここでは、第１のホスト装置２０４1から第１のサーバ２０５1に対する初めてのＨＴＴＰリクエストであり、まだ対応するエントリが作成されていないため（Ｎ）、認証がまだ成功していないものとしてそのＨＴＴＰリクエストを中継認証部２２３に渡す（ステップＳ２９３）。すなわち、中継認証部２２３に対してその送信元に対する認証処理を行うように指示する。そして、再び新たなＨＴＴＰリクエストの受け取りを待機する（リターン）。
【００４７】
図８は、中継認証部の中継認証処理の流れを表わしたものである。図１、図２と共に説明する。中継認証部２２３は、図７のステップＳ２９３に対応してパケット書替部２２２からＨＴＴＰリクエストを受け取ると（ステップＳ３１１：Ｙ）、まずそのＨＴＴＰリクエストに後で説明する基本認証ヘッダが付加されているか否かを判別する（ステップＳ３１２）。ここではまだ第１のホスト装置２０４1はこの基本認証ヘッダを付加していない（Ｎ）。したがって、その送信元に対して認証処理を行うために、アクセスが不許可であることを示す不許可（Unauthorized）メッセージを格納したパケット２４１を生成し（ステップＳ３１３）、ルーティング処理部２１４へ渡す（ステップＳ３１４）。そして、再びＨＴＴＰリクエストの受け取りを待機する（リターン）。この不許可メッセージはＨＴＴＰで予め定められているエラーステータス番号「４０１」に該当するものであり、既に行われた認証処理が失敗した場合の認証失敗（Authorization Required）メッセージとしても使用されるものである。
【００４８】
このとき、不許可メッセージのパケット２４１の宛先はステップＳ３１１で受け取ったＨＴＴＰリクエストのパケット２４１の送信元のアドレスとするが、送信元はルータ２０２自身のＩＰアドレスではなくＨＴＴＰリクエストの相手先のＩＰアドレスとする。したがって、ここでは第１のホスト装置２０４1のＩＰアドレスを宛先とし、第１のサーバ２０５1のＩＰアドレスを送信元とする。このパケット２４１は、ルーティング処理部２１４とＬＡＮ側インタフェース部２２１を経て第１のホスト装置２０４1へと送られる。
【００４９】
第１〜第ｎのホスト装置２０４1〜２０４nのそれぞれに用意された図示しないブラウザソフトウェアでは、ＨＴＴＰリクエストを送信するときに、その相手先のＩＰアドレスを記憶しておくようになっている。そして、不許可メッセージを受信した場合には、その送信元のＩＰアドレスがこの記憶したＩＰアドレスに一致するか否かを判別し、一致した場合には、ＨＴＴＰリクエストのパケット２４１を再送するようになっている。ただし、この再送の際には、認証情報を格納した基本認証（Authorization）ヘッダをＨＴＴＰリクエストに付加して送信するようになっている。これら一連の処理は、ＨＴＴＰの標準仕様として定められているものである。以降、この認証情報が付加されたＨＴＴＰリクエストを、基本認証情報付きＨＴＴＰリクエストと称するものとする。
【００５０】
ブラウザソフトウェアは、基本認証情報付きＨＴＴＰリクエストを生成する際に、ユーザに対してユーザＩＤ（Identifier）とパスワードとの組からなる認証情報の入力を要求する。ユーザはこの要求に応じる形で、たとえば図示しないディスプレイに表示された所定の領域に予め定められた自己の認証情報を図示しないキーボードを操作して入力する。このようにして入力された認証情報が、基本認証情報付きＨＴＴＰリクエストに付加される。各ユーザの認証情報の設定は、ＬＡＮ２０１の管理者と各ユーザとの間で前もって行われ、たとえばインターネット２０３へのアクセスの制限を特に行わないようなユーザに対して行われる。そして、その設定内容がルータ２０２の認証情報格納部２１９に格納された状態となっていることにより、ルータ２０２は認証処理を行い、アクセスの制限を解除してもよいユーザからのＨＴＴＰリクエストであるか否かの判別を行えるようになっている。
【００５１】
図９は、認証情報格納部に格納される内容を表わしたものである。認証情報格納部２１９には、情報収集等の必要性から、インターネット２０３に自由にアクセスすることが認められているユーザのユーザＩＤのそれぞれに対応付けて、予め設定されたパスワードが格納されている。たとえば、同図に示すように、営業系スタッフの一人のユーザＩＤ「ＡＡＡＡＡ」には、パスワード「ａａａ１ｐｗ」が対応付けられている。
【００５２】
図８に戻って説明を続ける。このようにしてルータ２０２へ送られてきた基本認証情報付きＨＴＴＰリクエストは、１回目のＨＴＴＰリクエストと同様にＬＡＮ側インタフェース部２１１とルーティング処理部２１４およびプロクシ動作判定部２２１を経てパケット書替部２２２に渡される。そのＨＴＴＰリクエストに該当するアクセス情報はアクセス情報格納部２１８にまだエントリされていないため（図７ステップＳ２９２：Ｎ）、そのまま中継認証部２２３へと渡される（図７ステップＳ２９３）。中継認証部２２３は、基本認証ヘッダが付加されたＨＴＴＰリクエストを受け取ると（ステップＳ３１２：Ｙ）、次にアクセス情報格納部２１８に該当するエントリが存在するか否かを判別する（ステップＳ３１５）。これは、その付加された基本認証ヘッダがルータ２０２での認証のためのものであるか、インターネット２０３の相手先での認証のためのものであるかを判別するためである。
【００５３】
エントリが存在していないということは、付加された基本認証ヘッダがルータ２０２での認証のためのもの、すなわち過去にステップＳ３１３で送信した不許可メッセージに対応して送られてきたものであるといえる。ここではまだエントリが存在していないため（Ｎ）、付加されたユーザＩＤとパスワードの組に一致する認証情報が認証情報格納部２１９に格納されているか否かを判別する（ステップＳ３１６）。
【００５４】
ここでは、第１のホスト装置２０４1を使用して第１のサーバ２０５1にアクセスしようとしているのが、ユーザＩＤ「ＡＡＡＡＡ」を持つ営業系スタッフであるとする。この営業スタッフはパスワード「ａａａ１ｐｗ」を記憶している。したがって、基本認証情報付きＨＴＴＰリクエストにはユーザＩＤ「ＡＡＡＡＡ」とパスワード「ａａａ１ｐｗ」が認証情報として付加されており、図９に示したように認証情報格納部２１９にはこれらに一致する認証情報が格納されている（Ｙ）。この場合には、中継認証部２２３は、その基本認証情報付きＨＴＴＰリクエストの相手先のＵＲＬと送信元のＩＰアドレスとを取得し、アクセス情報格納部２１８に新しいエントリを作成する（ステップＳ３１７）。そして、ステップＳ３１３で受け取った基本認証情報付きＨＴＴＰリクエストをパケット書替部２２２へ渡し（ステップＳ３１８）、再びパケット書替部２２２からＨＴＴＰリクエストが渡されるのを待機する（リターン）。
【００５５】
図１０は、アクセス情報格納部に格納される内容を表わしたものである。アクセス情報格納部２１８には、ＨＴＴＰリクエストを行ったホスト装置２０４のアドレスと、そのＨＴＴＰリクエストが指定するＵＲＬと、このＵＲＬが置かれたサーバによる認証処理に関する情報であるサーバ認証情報およびこれらの情報がエントリされてからの経過時間とにより構成されるアクセス情報が格納される。中継認証部２２３は、図８のステップＳ３１７でアクセス情報のエントリをこのアクセス情報格納部２１８に作成するときに、その段階ではサーバによる認証処理が行われるか否かが不明であるため、認証情報を「なし」に設定するようになっている。また、経過時間に初期値として「０秒」を設定するようになっている。
【００５６】
図８に戻って説明を続ける。ステップＳ３１１で受け取ったＨＴＴＰリクエストの基本認証情報に一致する認証情報が認証情報格納部２１９に格納されていない場合には（ステップＳ３１６：Ｎ）、ステップＳ３１３へ戻り再度不許可メッセージを送信する。これにより、たとえばユーザが認証情報の入力が誤っていることや、ユーザが該当するコンテンツへのアクセスを禁止されていることを指摘することができる。
【００５７】
図７に戻って説明を続ける。パケット書替部２２２は、図８のステップＳ３１８に対応して中継認証部２２３から基本認証情報付きＨＴＴＰリクエストを受け取ると（ステップＳ２９１：Ｎ、ステップＳ２９４：Ｙ）、アクセス情報格納部２１８の該当するエントリのサーバ認証情報が「なし」のままであるか否かを判別する（ステップＳ２９５）。アクセス情報格納部２１８のサーバ認証情報が「なし」となっているのは、その基本認証ヘッダがルータ２０２での認証のためのものであってなおかつその認証が成功したこと、すなわちその基本認証ヘッダが不要であることを示している。したがって、ここではサーバ認証情報が「なし」のため（Ｙ）、その基本認証ヘッダを取り除き、通常のＨＴＴＰリクエストに書き替える（ステップＳ２９６）。そして、ルーティング処理部２１４へとそのパケット２４１を渡し（ステップＳ２９７）、再び新たなＨＴＴＰリクエストの受け取りを待機する（リターン）。ここでは、結果的に第１のホスト装置２０４1による第１のサーバ２０５1が公開するＵＲＬに対する最初のＨＴＴＰリクエストが復元されて、インターネット２０３へと送出されることになる。
【００５８】
このようにして中継が許可された第１のホスト装置２０４1のＨＴＴＰリクエストのパケット２４１は、ルーティング処理部２１４と公衆網側インタフェース部２１２を経て第１のサーバ２０５1で受信される。第１のサーバ２０５1では、前記したように特にアクセス制限を行っていないため、第１のホスト装置２０４1に対して正常に送信が行われた旨を通知するＯＫメッセージを送信する。このＯＫメッセージはＨＴＴＰで予め定められているエラーステータス番号「２００」に該当するものである。ルータ２０２ではインターネット２０３側からのパケット２４１については通常どおり中継を行うため、このメッセージは第１のホスト装置２０４1にそのまま送信される。
【００５９】
パケット書替部２２２は、プロクシ動作判定部２２１から受け取ったＨＴＴＰリクエストの内容に一致するアクセス情報がアクセス情報格納部２１８にエントリされている場合には（ステップＳ２９１：Ｙ、ステップＳ２９２：Ｙ）、これを中継認証部２２３とルーティング処理部２１４のどちらへ渡すべきかを判別する。
【００６０】
基本認証ヘッダが付加されていないものは、ルータ２０２で中継を許可する通常のＨＴＴＰリクエストである。また、基本認証ヘッダが付加されていても該当するアクセス情報のサーバ認証情報が「なし」のままではない場合には、その基本認証ヘッダはルータ２０２での認証のためのものではない。したがって、サーバ認証情報が「なし」ではない、あるいは基本認証ヘッダが付加されていない場合には（ステップＳ２９８：Ｎ）、ステップＳ２９７へ進み、そのままルーティング処理部２１４へと渡すようになっている。したがって、以降の第１のホスト装置２０４1を送信元とするＵＲＬ「ｗｗｗ．ｈｏｇｅ１．ｃｏｍ」についてのＨＴＴＰリクエストは、そのまま中継されるようになる。すなわち、第１のホスト装置２０４1はＵＲＬ「ｗｗｗ．ｈｏｇｅ１．ｃｏｍ」に置かれた各種データを取得することが可能となる。
【００６１】
しかしながら、一旦中継が許可されても、第三者がそのホスト装置を利用して不正に中継の制限の対象となるＵＲＬに対してＨＴＴＰリクエストを行う恐れがある。そこで、ルータ２０２のアクセス情報削除部２２４は、アクセス情報格納部２１８にエントリされた各アクセス情報について、エントリされてから一定時間が経過するとこれを削除し、再び中継認証部２２３による認証処理を実行させるようになっている。
【００６２】
図１１は、アクセス情報削除部のアクセス情報削除処理の流れを表わしたものである。図１、図２と共に説明する。アクセス情報削除部２２４は、予め定められた周期ごとにアクセス情報格納部２１８のチェックを行うようになっている。チェックを行う周期が到来すると（ステップＳ３３１：Ｙ）、アクセス情報格納部２１８の各アクセス情報の経過時間を更新する（ステップＳ３３２）。これは、そのとき格納されているそれぞれの経過時間に前記した周期の長さを加算することによって行われる。次に、各アクセス情報の経過時間を予め定められたしきい値と比較し、これを超えているか否かの判別を行う（ステップＳ３３３）。超えているものが存在しない場合には（Ｎ）、そのまま何もせずに次の周期が到来するのを待機する（リターン）。超えているものが存在する場合には（ステップＳ３３３：Ｙ）、該当するアクセス情報をアクセス情報格納部２１８から削除し（ステップＳ３３４）、次の周期が到来するのを待機する（リターン）。このようにして、各アクセス情報は、エントリされてから一定時間が経過すると削除され、第三者による不正なアクセスといったトラブルを低減させることができる。
【００６３】
図１２は、以上説明した各種処理がルータ２０２で行われたときの、ＨＴＴＰリクエストの相手先でアクセス制限を行っていない場合の各装置間のパケットの流れの一例を表わしたものである。第１のホスト装置２０４1のブラウザソフトウェアで「ＧＥＴ  ｈｔｔｐ：／／ｗｗｗ．ｈｏｇｅ１．ｃｏｍ／」のコマンドが入力されると（ステップＳ４０１）、ブラウザソフトウェアは文字列「ＧＥＴ  ｈｔｔｐ：／／」に続くＵＲＬに対するＨＴＴＰリクエストをルータ２０２へ送る（ステップＳ４０２）。なお、このＨＴＴＰリクエストのパケット２４１を送信する前には、第１のホスト装置２０４1は第１のサーバ２０５1との間でＴＣＰセッションの確立が行われる。この際にやりとりされるパケット２４１はＨＴＴＰリクエストを格納したものではないため、ルータ２０２では制限されることなく中継が行われる。
【００６４】
ルータ２０２は該当するアクセス情報のエントリがまだ無いため不許可メッセージを返信する（ステップＳ４０３）。第１のホスト装置２０４1は、不許可メッセージに対応して今度は基本認証ヘッダを付加した基本認証情報付きＨＴＴＰリクエストをルータ２０２へ送る（ステップＳ４０４）。ルータ２０２はその認証情報が正しいと判別すると、アクセス情報のエントリを作成する。そして、基本認証情報付きＨＴＴＰリクエストから基本認証ヘッダを除去して、最初に送られてきたものと同様の形となったＨＴＴＰリクエストをその宛先である第１のサーバ２０５1へと送信する（ステップＳ４０５）。
【００６５】
第１のサーバ２０５1では特にアクセス制限を行っていないため、第１のホスト装置２０４1を宛先としたＯＫメッセージをルータ２０２へ送信する（ステップＳ４０６）。ルータ２０２はインターネット２０３側から送られてきたこのＯＫメッセージをそのまま中継して第１のホスト装置２０４1へと送信する（ステップＳ４０７）。以降、第１のホスト装置２０４1によるＵＲＬ「ｗｗｗ．ｈｏｇｅ１．ｃｏｍ」についてのＨＴＴＰリクエストを格納したパケット２４１は、エントリの存在によって中継を許可すべきであると判別され、第１のサーバ２０５1に送られることになる。
【００６６】
次に、第１のホスト装置２０４1がアクセス制限を行っている第２のサーバ２０５2によって公開されたウェブページのＵＲＬについてのＨＴＴＰリクエストを送出した場合を例として説明する。この場合、ルータ２０２では中継認証部２２３での認証処理による基本認証情報付きＨＴＴＰリクエストと、第２のサーバ２０５2での認証処理による基本認証情報付きＨＴＴＰリクエストとを受け取ることになるが、該当するアクセス情報がエントリされているか否かによってこれらを区別する。
【００６７】
図１３は、ＨＴＴＰリクエストの相手先でアクセス制限を行っている場合の各装置間のパケットの流れの一例を表わしたものである。第１のホスト装置２０４1のブラウザソフトウェアで「ＧＥＴ  ｈｔｔｐ：／／ｗｗｗ．ｈｏｇｅ２．ｃｏｍ／」のコマンドが入力されたとする（ステップＳ４２１）。すると、図１２と同様に、ＨＴＴＰリクエストがルータ２０２へ送られ（ステップＳ４２２）、該当するアクセス情報のエントリがまだ無いのでルータ２０２は不許可メッセージを返信し（ステップＳ４２３）、これに対応して基本認証情報付きＨＴＴＰリクエストが送られる（ステップＳ４２４）。そして、ルータ２０２はその認証情報が正しいと判別すると、アクセス情報のエントリを作成し、基本認証ヘッダを除去したＨＴＴＰリクエストをその宛先である第２のサーバ２０５2へと送信する（ステップＳ４２５）。
【００６８】
ところが、第２のサーバ２０５2ではアクセス制限を行っており、ＨＴＴＰリクエストを送ってきた第１のホスト装置２０４1のユーザはまだ認証されていない。このため、ＨＴＴＰの標準仕様に従って第２のホスト装置２０４2を宛先としたエラーステータス番号「４０１」の不許可メッセージを送信するようになっている（ステップＳ４２６）。ルータ２０２はインターネット２０３側から送られてきたこの不許可メッセージをそのまま中継して第１のホスト装置２０４1へと送信する（ステップＳ４２７）。第１のホスト装置２０４1では、これに対応して基本認証情報付きＨＴＴＰリクエストを返信するが、このときに、既に説明したように第１のホスト装置２０４1は、ユーザに対してユーザＩＤとパスワードとの組からなる認証情報の入力を要求するようになっている。第１のホスト装置２０４1のユーザは、１回目の認証処理すなわちステップＳ４２４ではルータ２０２に登録した認証情報を入力し、２回目の認証処理すなわちステップＳ４２８では第２のサーバ２０５2に登録した認証情報を入力するようにする。この２回目の認証情報が格納された基本認証情報付きＨＴＴＰリクエストは、ステップＳ４２４と同様にルータ２０２に送信される（ステップＳ４２８）。
【００６９】
図７に戻って説明を続ける。プロクシ動作判定部２２１から受け取ったＨＴＴＰリクエストが、サーバ認証情報が「なし」となっているにも係わらず基本認証ヘッダが付加されているものである場合、その基本認証ヘッダはルータ２０２での認証処理のためのものではない。したがって、パケット書替部２２２は、プロクシ動作判定部２２１から受け取ったＨＴＴＰリクエストが、基本認証ヘッダが付加されなおかつ該当するサーバ認証情報が「なし」となっているものである場合には（ステップＳ２９８：Ｙ）、ステップＳ２９３へ進み中継処理部２２３へと渡す。
【００７０】
図８に戻って説明を続ける。中継処理部２２３では、このようにして渡されたＨＴＴＰリクエストには基本認証ヘッダが付加されなおかつ該当するエントリが存在するため（ステップＳ３１２：Ｙ、Ｓ３１５：Ｙ）、その認証情報を取得して該当するアクセス情報のサーバ認証情報に上書きする（ステップＳ３１９）。そして、ステップＳ３１８へ進み、そのＨＴＴＰリクエストをパケット書替部２２２へと返す。
【００７１】
再び図７に戻って説明を続ける。パケット書替部２２２では、このようにして渡された基本認証情報付きＨＴＴＰリクエストに該当するサーバ認証情報は、図８のステップＳ３１９でその認証情報で更新されている（ステップＳ２９１：Ｎ、ステップＳ２９４：Ｙ、ステップＳ２９５：Ｎ）。したがって、そのままステップＳ２９７へ進み、基本認証ヘッダの削除を行わずにルーティング処理部２１４へと渡す。
【００７２】
図１３へ戻って説明を続ける。このようにしてルーティング処理部２１４へ渡された基本認証情報付きＨＴＴＰリクエストは、基本認証ヘッダが付加されたまま第２のサーバ２０５2へと送信される（ステップＳ４２９）。第２のサーバ２０５2は、この認証情報が正しいものであることを判別すると、第１のホスト装置２０４1を宛先とするＯＫメッセージをルータ２０２へ送信する（ステップＳ４３０）。ルータ２０２はこれをそのまま中継して第１のホスト装置２０４1へと送信する（ステップＳ４３１）。
【００７３】
以上説明したように、本実施例によれば、コンテンツアクセス制御装置であるルータ２０２は、ＬＡＮ２０１側から送られてきたＨＴＴＰリクエストについて、そのＨＴＴＰリクエストが指定するＵＲＬがアクセスの制限の対象となっているかどうかを判別する。制限の対象となっている場合には、中継が許可されている送信元アドレスとＵＲＬを組にしたアクセス情報を格納したアクセス情報格納手段を参照し、該当するものが存在するか否かを判別する。存在しない場合には、その送信元に対して認証処理を行い、認証処理が成功した場合には、その送信元アドレスとＵＲＬを組にしたアクセス情報をエントリするようになっている。そして、以降の中継はこのエントリによって許可され、該当するＨＴＴＰリクエストはそのままインターネット２０３上のその相手先へと送信される。
【００７４】
したがって、ルータ２０２にＨＴＴＰリクエスト基づいてパケット転送の制限を行う簡易的な透過型プロクシ（http transparent proxy）機能を持たせてアクセス制限を行うため、ＬＡＮ２０１にプロクシサーバを設置するよりも低コストでアクセス制御を実現することができる。すなわち、ホスト装置の設置個数が少ないといった大規模なプロクシサーバの導入が適さないネットワークでも、ブロードバンドルータや小規模あるいは中規模のルータによって簡易にインターネット等のグローバルネットワークへのアクセス制限を実現することができる。また、透過的にｈｔｔｐセッションを制御しているので、各ホスト装置２０４にプロクシサーバに関する設定をいちいち行う必要が無く、各ユーザやネットワーク管理者への負担を軽減することができる。また、宛先に係わらずルータ２０２を経由する全てのＨＴＴＰリクエストについて中継の可否の判別を行うので、各ホスト装置２０４に特別な設定を行うことなくアクセス制限を実現することができる。
【００７５】
また、パケットの宛先ではなくＨＴＴＰリクエストが指定するＵＲＬに基づいて制限を行っているため、制限の対象となるコンテンツとこれに関するＨＴＴＰリクエストを受け付ける相手先のＩＰアドレスとの対応付けが変わるような場合でもより確実にアクセス制限を行うことができる。また、ルーティング処理と組み合わせてＨＴＴＰリクエストの流れる方向に応じた制限を行うことができるので、接続する各ネットワークの特徴に応じた制御を行うことができる。たとえば、２つのＬＡＮをインターネットに接続するような場合に、一方のＬＡＮからインターネットへのＨＴＴＰリクエストについては制限するが、他方のＬＡＮについてはこのような制限を行わない、といったことが可能となる。更に、認証処理と組み合わせているので、ユーザ単位のきめ細やかなアクセス制限を実現することができる。更に、各アクセス情報がエントリされてからの時間を管理して適宜エントリを削除するため、認証処理を定期的行う等より信頼性の高いアクセス制御を実現することができる。
【００７６】
＜発明の変形例＞
【００７７】
以上説明した実施例では、ホスト装置側ではルータから送られてくる不許可メッセージとＨＴＴＰリクエストの相手先のサーバから送られてくる不許可メッセージは同じ内容となっており、それぞれに異なった認証情報を送信する場合、受信の順序でこれらを区別するようにしなければならなかった。変形例として、プロクシ認証を行うようにしたルータについて説明する。
【００７８】
図１４は、この変形例によるルータの構成を表わしたものであり、実施例の図２に対応している。そこで、図２と同一部分には同一符号を付し、これについての説明を省略する。ルータ５０２は、図２のルーティング処理部２１４に替えて、これとは異なるルーティング処理を実行するルーティング処理部５１４を備えている。また、図２の中継制御処理部２１５に替えて中継制御処理部５１５を備えており、この中継制御処理部５１５にはルータ５０２がプロクシとして機能する際の各種情報を格納するためのプロクシ情報格納部５２０が接続されている。中継制御処理部５１５では、図２のパケット書替部２２２と中継認証部２２３に替えて、それぞれ実施例とは異なる処理を実行するパケット書替部５２２および中継認証部５２３を備えている。また、ルータ５０２が使用される通信システムは実施例の図１と同様の構成となっており、これについての図示及び説明を省略する。
【００７９】
以降、第１のホスト装置２０４1がアクセス制限を行っている第２のサーバ２０５2が公開するＵＲＬ「ｗｗｗ．ｈｏｇｅ２．ｃｏｍ」に対するＨＴＴＰリクエストを送信した場合を例として説明する。
【００８０】
図１５は、中継認証部の中継認証処理の流れを表わしたものであり、実施例の図８に対応している。そこで、図８と同一部分には同一ステップ番号を付す。中継認証部５２３は、ステップＳ３１１でパケット書替部５２２から受け取ったＨＴＴＰリクエストのパケット２４１について、その宛先が自装置であるか否かの判別を行う（ステップＳ５５１）。
【００８１】
自装置宛てではない場合には（Ｎ）、その送信元アドレスと宛先アドレスおよびＵＲＬとを取得し、これらを対応付けたものをプロクシ情報としてプロクシ情報格納部５２０に格納する（ステップＳ５５２）。そして、ルータ５０２での認証処理を行うために、プロクシを使用することを指示するプロクシ使用（Use Proxy）メッセージを格納したＨＴＴＰリクエストの送信元を宛先とするパケット２４１を生成し（ステップＳ５５３）、ルーティング処理部５１４へ渡す（ステップＳ３１４）。そして、再びＨＴＴＰリクエストの受け取りを待機する（リターン）。このプロクシ使用メッセージは、ＨＴＴＰで予め定められているエラーステータス番号「３０５」に該当するものであり、プロクシ動作を行う装置を指定するロケーション（Location）ヘッダを付加するようになっている。すなわち、ロケーションヘッダにはルータ５０２自身のＩＰアドレスが記述される。ここでは、第１のホスト装置２０４1が送信したＨＴＴＰリクエストは第２のサーバ２０５2を宛先としているので、第１のホスト装置２０４1に対してプロクシ使用メッセージが送信される。
【００８２】
第１〜第ｎのホスト装置２０４1〜２０４nのそれぞれに用意されたブラウザソフトウェアでは、このようなプロクシ使用メッセージを受信した場合には、そのプロクシ使用メッセージのロケーションヘッダが示す装置に通信を代理させるように通信内容を切り替える。ここでは、ルータ５０２のＩＰアドレスを取得し、ＨＴＴＰリクエストの送信先を第２のサーバ２０５2のＩＰアドレスに替えてこのルータ５０２のＩＰアドレスに切り替えて再送を行う。これら一連の処理も、ＨＴＴＰの標準仕様として定められているものである。
【００８３】
このようにして、ルータ５０２を宛先としてＨＴＴＰリクエストが再送されてくるため、ルーティング処理部５１４は、実施例とは異なり自装置宛てのパケット２４１も一旦中継制御処理部５１５へと渡すようにする。
【００８４】
図１６は、ルーティング処理部のルーティング処理の流れを表わしたものであり、実施例の図４に対応している。そこで、図４と同一部分には同一ステップ番号を付し、これについての説明を省略する。図４と異なり、ＬＡＮ側インタフェース部２１１からパケット２４１を受け取った場合（ステップＳ２５４：Ｙ）、自装置宛てであっても中継制御部５１５へ渡すようになっている（ステップＳ５６１）。
【００８５】
図１５へ戻って説明を続ける。このようにして再送されたＨＴＴＰリクエストは、パケット書替部５２２を経て中継認証部５２３へと渡される（ステップＳ３１１：Ｙ）。中継認証部５２３はその宛先が今度は自装置となっているため（ステップＳ５５１：Ｙ）、後で説明するプロクシ認証ヘッダが付加されたＨＴＴＰリクエストであるか否かを判別する（ステップＳ５５４）。ここではまだ付加されていないため（Ｎ）、その送信元に対してプロクシとして機能するルータ５０２へのアクセスが不許可であることを示すプロクシ認証要求（Proxy Authentication Required）メッセージを格納するとともにＨＴＴＰリクエストの送信元を宛先とするパケット２４１を生成する（ステップＳ５５５）。このプロクシ認証要求メッセージはＨＴＴＰで予め定められているエラーステータス番号「４０７」に該当するものであり、プロクシ認証要求ヘッダが付加されたものである。そして、ステップＳ３１４へと進みルーティング処理部５１４へと渡す。
【００８６】
第１〜第ｎのホスト装置２０４1〜２０４nのそれぞれのブラウザソフトウェアでは、このようなプロクシ認証要求メッセージを受信した場合には、認証情報を格納したプロクシ認証（Proxy Authorization）を付加したパケット２４１を送信する。これら一連の処理も、ＨＴＴＰの標準仕様として定められているものである。以降、このプロクシ認証ヘッダが付加されたＨＴＴＰリクエストを、プロクシ認証情報付きＨＴＴＰリクエストと称するものとする。
【００８７】
中継認証部５２３は、ステップＳ５５３で送信したプロクシ認証要求のメッセージに対応するプロクシ認証情報付きＨＴＴＰリクエストを受け取った場合には（ステップＳ５５４：Ｙ）、実施例と同様に認証情報格納部２１９に一致する認証情報が存在しているか否かを判別する（ステップＳ５５６）。ただし、実施例とは異なり、基本認証ヘッダではなくプロクシ認証ヘッダから認証情報を取得する。一致する認証情報が存在する場合には（Ｙ）、その相手先のＵＲＬへのＨＴＴＰリクエストが許可されているユーザによって送信が行われているものとして、アクセス情報格納部２１８にエントリを作成する（ステップＳ３１７）。そして、プロクシ認証情報付きＨＴＴＰリクエストのパケット２４１をパケット書替部５２２へと渡す（ステップＳ３１８）。
【００８８】
図１７は、パケット書替部のパケット書替処理の流れを表わしたものであり、実施例の図７に対応している。そこで、図７と同一部分には同一ステップ番号を付す。パケット書替部５２２は、プロクシ動作判定部２２１から受け取ったＨＴＴＰリクエストに該当するアクセス情報がアクセス情報格納部２１８にエントリされている場合には（ステップＳ２９１：Ｙ、ステップＳ２９２：Ｙ）、図７とは異なり、そのままルーティング処理部５１４へと渡すようになっている（ステップＳ２９７）。また、中継認証部５２３からパケット２４１を受け取った場合には（ステップＳ２９１：Ｙ、ステップＳ２９４：Ｙ）、基本認証ヘッダではなくプロクシ認証ヘッダを取り除くとともに、プロクシ情報格納部５２０を参照して元の宛先アドレスを取得し、そのパケット２４１の宛先をこれに書き替えるようになっている（ステップＳ５６６）。元の宛先アドレスは、図１５のステップＳ５５２で送信元アドレスとＨＴＴＰリクエストの対象となっているＵＲＬと対応付けてプロクシ情報格納部５２０に格納されたものである。そして、ルーティング処理部５１４へと渡すようになっている（ステップＳ２９７）。すなわち、プロクシ動作判定部２２１から受け取ったＨＴＴＰリクエストに基本認証ヘッダが付加されていても、これを使用したり削除するといったことは行わないため、各サーバ２０５との間でやり取りされる認証情報に対して影響を及ぼさないようになっている。
【００８９】
図１８は、ＨＴＴＰリクエストの相手先でアクセス制限を行っている場合の各装置間のパケットの流れの一例を表わしたものであり、実施例の図１３に対応するものである。そこで、図１３と同一部分には同一のステップ番号を付し、これらについての説明を省略する。第１のホスト装置２０４1から第２のサーバ２０５2に宛ててＨＴＴＰリクエストがルータ５０２へ送られてくると（ステップＳ４２２）、該当するアクセス情報のエントリがまだ無くなおかつ自装置宛てではないため、ルータ５０２は認証情報の送信を第１のホスト装置２０４1に要求する。既に説明したように、実施例とは異なりプロクシ使用メッセージを送信するようになっている（ステップＳ５７１）。これに対応して第１のホスト装置２０４1からルータ５０２を宛先として同じ内容のＨＴＴＰリクエストがルータに送られてくると、自装置宛てであるため今度はプロクシ認証要求メッセージを返信する（ステップＳ５７３）。これに対応してプロクシ認証情報付きＨＴＴＰリクエストが送られ（ステップＳ５７４）、その認証情報が正しいと判別されると、アクセス情報のエントリが作成され、プロクシ認証ヘッダを除去したＨＴＴＰリクエストが第２のサーバ２０５2へと送信される（ステップＳ４２５）。
【００９０】
以降の処理は図１３と同様となっており、第２のサーバ２０５2による認証処理が行われる。ただし、図１３とは異なり、第１のホスト装置２０４1からみたときに１回目の認証処理と２回目の認証処理が、プロクシ認証と基本認証というように異なった内容となっている。すなわち、ホスト装置２０４側でこれらの認証処理をより明確に区別することができる。
【００９１】
以上説明したように変形例では、ルータ５０２があたかもプロクシとして機能しているかのように認証を行うようにしたので、ルータ５０２におけるアクセス制限による認証処理とサーバ２０５側で認証処理との区別を明確にし、これらが重複しないようにした。これにより、誤って他方の認証情報を入力してしまうといったミスを防ぐことができる。また、このような区別はホスト装置２０４側で認証情報の入力を自動化する場合にも適している。また、実施例に比べてパケット書替部５２２の処理が単純化されているため、装置のコストダウンを図ることができる。
【００９２】
なお、実施例および変形例のルータのルーティング処理部には、ＬＡＮ内でのみ使用可能なプライベートＩＰアドレスとインターネット上で使用可能なグローバルＩＰアドレスとを相互に変換するＮＡＴ（Network Address Translation）機能を持たせても良い。また、転送を制限するための条件ではなく、転送を許可するための条件を用意して一致しないＨＴＴＰリクエストの転送を中止するようにしたり、認証処理を転送の許可の対象となる場合に行うようにしてもよい。また、アクセス情報格納部には、アクセス情報のエントリとして、それぞれにサーバ認証情報を対応付けて格納しておき、サーバ認証も代理で行うようにしてもよい。更に、ＨＴＴＰリクエストのＧＥＴメソッドを例として説明したが、他のＵＲＬ等のアドレス情報を指定して処理を指示する各種メッセージに適用できることはもちろんである。
【図面の簡単な説明】
【００９３】
【図１】本発明の一実施例によるコンテンツアクセス制御装置が使用される通信システムの構成を表わしたシステム構成図である。
【図２】本発明の実施例によるルータの構成を表わした構成図である。
【図３】本発明の実施例によるルータに送られてくるパケットの構成を表わした説明図である。
【図４】本発明の実施例によるルーティング処理部のルーティング処理の流れを表わした流れ図である。
【図５】本発明の実施例によるプロクシ動作判定部のプロクシ動作判定処理の流れを表わした流れ図である。
【図６】本発明の実施例による制限情報格納部に格納される内容を表わした説明図である。
【図７】本発明の実施例によるパケット書替部のパケット書替処理の流れを表わした流れ図である。
【図８】本発明の実施例による中継認証部の中継認証処理の流れを表わした流れ図である。
【図９】本発明の実施例による認証情報格納部に格納される内容を表わした説明図である。
【図１０】本発明の実施例によるアクセス情報格納部に格納される内容を表わした説明図である。
【図１１】本発明の実施例によるアクセス情報削除部のアクセス情報削除処理の流れを表わした流れ図である。
【図１２】本発明の実施例によるＨＴＴＰリクエストの相手先でアクセス制限を行っていない場合の各装置間のパケットの流れの一例を表わした説明図である。
【図１３】本発明の実施例によるＨＴＴＰリクエストの相手先でアクセス制限を行っている場合の各装置間のパケットの流れの一例を表わした説明図である。
【図１４】本発明の変形例によるルータの構成を表わした構成図である。
【図１５】本変形例による中継認証部の中継認証処理の流れを表わした流れ図である。
【図１６】本変形例によるルーティング処理部のルーティング処理の流れを表わした流れ図である。
【図１７】本変形例によるパケット書替部のパケット書替処理の流れを表わした流れ図である。
【図１８】本変形例によるＨＴＴＰリクエストの相手先でアクセス制限を行っている場合の各装置間のパケットの流れの一例を表わした説明図である。
【図１９】従来提案されたコンテンツアクセス制御装置を使用した通信システムの構成を表わしたシステム構成図である。
【符号の説明】
【００９４】
２００  通信システム
２０１  ＬＡＮ
２０２、５０２  ルータ
２０３  インターネット
２０４  ホスト装置
２０５  サーバ
２１１  ＬＡＮ側インタフェース部
２１２  公衆網側インタフェース部
２１３  ホスト処理部
２１４  ルーティング処理部
２１５、５１５  中継制御処理部
２１７  制限情報格納部
２１８  アクセス情報格納部
２１９  認証情報格納部
２２１  プロクシ動作判定部
２２２、５２２  パケット書替部
２２３、５２３  中継認証部
２２４  アクセス情報削除部
５２０  プロクシ情報格納部
【図１】
2006293708.tif 000003
【図２】
2006293708.tif 000004
【図３】
2006293708.tif 000005
【図４】
2006293708.tif 000006
【図５】
2006293708.tif 000007
【図６】
2006293708.tif 000008
【図７】
2006293708.tif 000009
【図８】
2006293708.tif 000010
【図９】
2006293708.tif 000011
【図１０】
2006293708.tif 000012
【図１１】
2006293708.tif 000013
【図１２】
2006293708.tif 000014
【図１３】
2006293708.tif 000015
【図１４】
2006293708.tif 000016
【図１５】
2006293708.tif 000017
【図１６】
2006293708.tif 000018
【図１７】
2006293708.tif 000019
【図１８】
2006293708.tif 000020
【図１９】
2006293708.tif 000021