(57)【要約】【課題】  ＩＰ装置に対するアクセス制限を低コストで実現するアクセス制限システム、アクセス制限装置、およびプログラムを提供する。【解決手段】  ＩＰ制限管理サーバ１２は、ＩＰ制限装置１１に制限内容を、ネットワーク１６を介してＩＰパケットで指示する。ＩＰ制限装置１１は、制限内容を保持しており、ネットワーク１６からＩＰパケットを受信すると、ＩＰ制限管理サーバ１２からのものか否か識別する。そして、ＩＰ制限管理サーバ１２からのＩＰパケットであれば、ＩＰ制限装置１１は、そのＩＰパケットから制限内容を取り出して自身に適用する。ＩＰ制限管理サーバ１２からのＩＰパケットでなければ、ＩＰ制限装置１１は、保持している制限内容に従って、ＩＰパケットをＩＰ装置１４へ転送するか廃棄するか決定する。【選択図】      図１
2006033360.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークを介したＩＰ装置へのアクセスを制限するアクセス制限システムであって、
前記ＩＰ装置毎に、該ＩＰ装置と前記ネットワークの間に接続されており、前記ネットワークを介した該ＩＰ装置へのアクセスを制限するＩＰ制限装置と、
前記ＩＰ装置毎の制限内容を管理しており、前記ＩＰ制限装置に対して前記制限内容を指示するＩＰ制限管理サーバとを有するアクセス制限システム。
【請求項２】
前記ＩＰ制限管理サーバは、前記ＩＰ制限装置に前記制限内容を、前記ネットワークを介してＩＰパケットで指示し、
前記ＩＰ制限装置は、前記制限内容をテーブルに保持しており、前記ネットワークからＩＰパケットを受信すると、前記ＩＰ制限管理サーバからのものか否か識別し、前記ＩＰ制限管理サーバからのＩＰパケットであれば、該ＩＰパケットから前記制限内容を取り出して前記テーブルに適用し、前記ＩＰ制限管理サーバからのＩＰパケットでなければ、前記テーブルに従って、該ＩＰパケットを前記ＩＰ装置へ転送するか廃棄するか決定する、請求項１記載のアクセス制限システム。
【請求項３】
前記ＩＰ制限管理サーバは、前記制限内容を通知するＩＰパケットをブロードキャスト送信し、
前記ＩＰ制限装置は、受信したＩＰパケットの宛先ＩＰアドレスに基づき、該ＩＰパケットが前記制限内容に関するものか否か判定する、請求項２記載のアクセス制限システム。
【請求項４】
前記ＩＰ制限管理サーバは、アクセス制限の有効期間を前記制限内容に含めて管理しており、前記有効期間内の前記アクセス制限を前記ＩＰ制限装置に指示する、請求項１〜３のいずれか１項に記載のアクセス制限システム。
【請求項５】
制限対象であるＩＰ装置に対応し、ネットワークを介した前記ＩＰ装置へのアクセスを制限するアクセス制限装置であって、
前記制限対象である前記ＩＰ装置へのアクセスの制限内容を格納する制限テーブルと、
前記制限テーブルに格納された前記制限内容に従って、前記ネットワークを介した前記ＩＰ装置へのＩＰアクセスを制限する制限制御手段とを有するアクセス制限装置。
【請求項６】
前記制限テーブルに格納される前記制限内容は、前記ＩＰ装置へのＩＰアクセスを許可する送信元ＩＰアドレスの情報を含んでおり、
前記制限制御手段は、前記ネットワークから前記ＩＰ装置宛のＩＰパケットを受信すると、前記制限テーブルを参照し、前記ＩＰ装置へのＩＰアクセスを許可する前記送信元ＩＰアドレス以外の送信元ＩＰアドレスからのＩＰパケットを廃棄する、請求項５記載のアクセス制限装置。
【請求項７】
前記制限テーブル内の前記制限内容を管理するテーブル管理手段と、
前記ネットワークから受信したＩＰパケットが前記制限内容に関するものか否か判定し、前記制限内容に関するものであれば前記テーブル管理手段に送り、前記制限内容に関するものでなければ前記制限制御手段に送るパケット識別手段とをさらに有する、請求項５または６に記載のアクセス制限装置。
【請求項８】
前記パケット識別手段は、前記ＩＰパケットの宛先ＩＰアドレスに基づき、前記ＩＰパケットがブロードキャスト送信されたものであれば前記制限内容に関するものとして前記テーブル管理手段に送り、ブロードキャストされたものでなければ前記制限内容に関するものでないとして前記制限制御手段に送る、請求項７に記載のアクセス制限装置。
【請求項９】
コンピュータを、請求項５〜８のいずれか１項に記載の各手段として機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＩＰアクセス制限に関する。
【背景技術】
【０００２】
ＩＰアクセスは、複数のＩＰ装置がLＡＮまたはＷＡＮなどイーサネットのネットワークを経由して互いにデータを転送するために用いられる。例えば、ＬＡＮ内の複数のクライアントが、マシン室に設置されたサーバのデータにアクセスするといった利用がされる。
【０００３】
ＩＰアクセスでは、ＩＰ装置への予期しないアクセスを防止するために「アクセス制限」が行われる。このアクセス制限を利用することによりネットワークの安全な運用が可能となる。
【０００４】
アクセス制限を実現する従来の方法として、ＩＰ装置にてアクセス制限を行う方法があった（例えば特許文献１参照）。ＩＰ装置にてアクセス制限を行う方法では、各ＩＰ装置にアクセス制限の機能が必要となり、その機能の無いＩＰ装置にはアクセス制限が行えないこととなる。
【０００５】
従来の他の方法として、ＩＰ装置とは別の装置であるゲートウェイにファイアウォールを設け、そこで各ＩＰ装置へのアクセス制限をする方法があった。この方法によれば各ＩＰ装置にアクセス制限の機能を備える必要が無い。
【特許文献１】特開２００１−５６１４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
ゲートウェイのファイアウォールでアクセス制限を行う従来の方法では、高価なネットワークスイッチ機器が必要となり、ネットワークのコストの上昇を招いていた。
【０００７】
本発明の目的は、ＩＰ装置に対するアクセス制限を低コストで実現するアクセス制限システム、アクセス制限装置、およびプログラムを提供することである。
【課題を解決するための手段】
【０００８】
上記目的を達成するために、本発明のアクセス制限システムは、ネットワークを介したＩＰ装置へのアクセスを制限するアクセス制限システムであって、
前記ＩＰ装置毎に、該ＩＰ装置と前記ネットワークの間に接続されており、前記ネットワークを介した該ＩＰ装置へのアクセスを制限するＩＰ制限装置と、
前記ＩＰ装置毎の制限内容を管理しており、前記ＩＰ制限装置に対して前記制限内容を指示するＩＰ制限管理サーバとを有している。
【０００９】
本発明のアクセス制限装置は、制限対象であるＩＰ装置に対応し、ネットワークを介した前記ＩＰ装置へのアクセスを制限するアクセス制限装置であって、
前記制限対象である前記ＩＰ装置へのアクセスの制限内容を格納する制限テーブルと、
前記制限テーブルに格納された前記制限内容に従って、前記ネットワークを介した前記ＩＰ装置へのＩＰアクセスを制限する制限制御手段とを有している。
【発明の効果】
【００１０】
本発明によれば、高価なネットワークスイッチ機器を必要とせず簡易な構成のＩＰ制限装置によって、低コストで、ＩＰ装置に対するアクセス制限を行い、不正なアクセスを防止することができる。
【発明を実施するための最良の形態】
【００１１】
本発明の一実施形態について図面を参照して詳細に説明する。
【００１２】
図１は、本実施形態のアクセス制限システムの構成を示すブロック図である。図１を参照すると、本実施形態のアクセス制限システムは、ＩＰ制限装置１１、ＩＰ制限管理サーバ１２、および入力装置１３を有している。
【００１３】
ＩＰ制限装置１１は、ＩＰ装置１４とＬＡＮ１６の間に接続され、クライアント１５からＩＰ装置１４へのＩＰアクセスのアクセス制限を行う。また、ＩＰ制限装置１１は、ＩＰ制限管理サーバ１２からの指示をアクセス制限に反映させる。ＩＰ制限装置１１は、例えば、クライアント１５とＩＰ装置１４の間のＩＰパケットの中継にはＴＣＰ／ＩＰを用い、ＩＰ制限管理サーバ１２との通信にはＵＣＰ／ＩＰを用いる。
【００１４】
ＩＰ制限管理サーバ１２は、各ＩＰ制限装置１１におけるアクセス制限にて用いるための制限情報を含むＩＰ制限ファイルを作成して自身に保持すると共に、ＩＰ制限装置１１に送る。制限情報とは、アクセス制限の内容を示す情報であり、例えば表形式で表現された制限表である。ＩＰ制限ファイルとは、アクセス制限の内容を示す制限情報が格納されたファイルである。ＩＰ制限ファイルの送信にはブロードキャスト送信が用いられる。これにより、ＩＰ制限装置１１は、ＩＰ制限ファイル用のインタフェースを別途備える必要なくＩＰパケットによりＩＰ制限ファイルを受信でき、また、ブロードキャスト用の宛先ＩＰアドレスによって容易にＩＰ制限ファイルのＩＰパケットと他のＩＰパケットとを識別することができる。
【００１５】
入力装置１３は、ＩＰ制限ファイル作成時において、必要な情報をＩＰ制限管理サーバ１２に与える。
【００１６】
図２は、ＩＰ制限装置の構成を示すブロック図である。図２を参照すると、ＩＰ制限装置１１は、ＩＰ制限モジュール２１および制限テーブル２２を有している。ＩＰ制限モジュール２１は制限制御手段２３、テーブル管理手段２４、およびパケット識別手段２５を有している。ＩＰ制限装置１１は、ソフトウェアプログラムを実行するコンピュータにより構成することができる。その場合、コンピュータがプログラムを実行することにより、ＩＰ制限モジュール２１内の各手段として機能する。
【００１７】
制限テーブル２２は、アクセス制限に用いる制限データを格納するテーブルである。
【００１８】
テーブル管理手段２４は、ＩＰ制限管理サーバ１２から受信したＩＰ制限ファイルに含まれる制限情報を制限テーブル２２に適用する。
【００１９】
制限制御手段２３は、ＬＡＮ１６とＩＰ装置１４の間のＩＰパケットをパケット識別手段２５から受信し、アクセス制限を行いつつＩＰパケットの転送を行う。その際、制御手段２３は、ＩＰパケットから送信元ＩＰアドレスを取り出して制限テーブル２２を参照することによりＩＰパケットを転送すべきか廃棄すべきか識別し、廃棄すべきＩＰパケットを廃棄し、転送すべきＩＰパケットを転送する。
【００２０】
パケット識別手段２５は、ＬＡＮ１６からＩＰパケットを受信し、宛先ＩＰアドレスを取り出し、プロードキャスト送信されたＩＰパケットか否か識別する。ブロードキャスト送信されたＩＰパケットであれば、パケット識別手段２５はそのＩＰパケットをテーブル管理手段２４に送る。また、受信したＩＰパケットがブロードキャストでなければ、パケット識別手段２５は、そのＩＰパケットを制限制御手段２３に送る。
【００２１】
図３は、本実施形態のアクセス制限システムを適用したネットワークの一例を示す図である。図３において、クライアント１５がアクセスを要求する側の装置であり、サーバ３１およびストレージ装置３３がＩＰ装置である。サーバ３１およびストレージ装置３３はＳＡＮ（Ｓｔｏｒａｇｅ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）３２に接続されている。
【００２２】
ＩＰ装置であるサーバ３１およびストレージ装置３３とＬＡＮ１６との間にＩＰ制限装置１１が接続されており、各ＩＰ制限装置１１が各ＩＰ装置へのアクセス制限を行う。また、各ＩＰ制限装置１１におけるアクセス制限はＩＰ制限管理サーバ１２によって一元管理されている。図３では、図１に示されていた入力装置１３が示されていないが、ＩＰ制限管理サーバ１２に接続しておくか否かは任意である。
【００２３】
図４は、本実施形態のＩＰ制限装置の動作を示すフローチャートである。図４を参照すると、まず、ＩＰ制限装置１１は、ＩＰパケットを受信し（ステップ１０１）、ＩＰ制限装置１１は、そのＩＰパケットから宛先ＩＰアドレスを取り出す（ステップ１０２）。
【００２４】
次に、ＩＰ制限装置１１は、その宛先ＩＰアドレスからＩＰパケットがブロードキャスト送信されたものか否か判定する（ステップ１０３）。
【００２５】
ブロードキャスト送信されたものでなければ、ＩＰ制限装置１１は、さらにそのＩＰパケットから送信元ＩＰアドレスを取り出し（ステップ１０４）、ＩＰパケットを転送すべきか廃棄すべきか判定する（ステップ１０５）。
【００２６】
ＩＰパケットが転送すべきものであれば、ＩＰ制限装置１１は、接続されているＩＰ装置１４と通信を開始し（ステップ１０６）、ＩＰパケットを転送する（ステップ１０７）。一方、ＩＰパケットが廃棄すべきものでなければ、ＩＰ制限装置１１は、そのＩＰパケットを廃棄する（ステップ１０８）。
【００２７】
また、ステップ１０３の判定にて、ブロードキャスト送信であれば、ＩＰ制限装置１１は、送信元ＩＰアドレスを取り出し（ステップ１０９）、ＩＰ制限管理サーバ１２からのＩＰパケットか否か判定する（ステップ１１０）。ＩＰ制限管理サーバ１２からのＩＰパケットでなければ、ＩＰ制限装置１１は、そのＩＰパケットを廃棄する（ステップ１０８）。
【００２８】
ＩＰ制限管理サーバ１２からのＩＰパケットであれば、ＩＰ制限装置１１は、ＩＰパケットのデータ部を確認し、自身が制限対象としているＩＰ装置１４の制限情報か否か判定する（ステップ１１１）。自身の制限対象でなければ、ＩＰ制限装置１１は、ＩＰパケットを廃棄する（ステップ１０８）。自身の制限対象であれば、ＩＰ制限装置１１は、その制限対象に関する制限情報を更新する（ステップ１１２）。
【００２９】
図５は、本実施形態のＩＰ制限管理サーバにおけるＩＰ制限ファイルの作成手順を示すフローチャートである。図５を参照すると、ＩＰ制限管理サーバ１２は、入力装置１３から入力された情報を取り込む（ステップ２０１）。次に、ＩＰ制限管理サーバ１２は、入力装置１３からの情報を基に制限情報を新規作成、あるいは内部の制限情報を更新する（ステップ２０２）。次に、ＩＰ制限管理サーバ１２は、新たな制限情報をファイルに出力する（ステップ２０３）。
【００３０】
図６は、本実施形態のＩＰ制限管理サーバがＩＰ制限ファイルをＩＰ制限装置に送信するときの動作を示すフローチャートである。図６を参照すると、ＩＰ制限管理サーバ１２は、予め作成してファイルに出力しておいた制限情報を取り出す（ステップ３０１）。
【００３１】
図７は、ＩＰ制限管理サーバにて作成された制限情報の一例を示す表である。図７を参照すると、制限情報は表形式で表現されている。制限情報には、複数の制限記録が含まれており、制限記録毎に、制限記録番号、ＩＰ装置番号、ＩＰ装置名、ＩＰ装置アドレス、有効期間、許可ＩＰアドレス、送信歴が含まれている。図７の例では、制限記録が３つである。
【００３２】
制限記録番号は、各制限記録を示す番号である。ＩＰ装置番号、ＩＰ装置名、ＩＰ装置アドレスは、制限記録が制限対象とするＩＰ装置の番号、装置名、ＩＰアドレスである。有効期間は、アクセス制限を有効にする期間を示す。許可ＩＰアドレスは、ＩＰパケットの転送を許可する送信元ＩＰアドレスを示す。送信歴は、その制御記録が過去に送信されたか否かを示すフラグである。このフラグは、“１”で送信あり、“０”で送信なしを示している。
【００３３】
図６の説明に戻り、ＩＰ制限管理サーバ１２は、図７に示した制限情報を取得すると、次に、各制限記録の有効期間と送信歴を参照し、制限が有効でありかつ送信歴の無い制限記録があるか否か判定する（ステップ３０２）。そのような制限記録が無ければ、ＩＰ制限管理サーバ１２は、ステップ３０１の処理に戻る。
【００３４】
制限が有効な期間であり、かつ送信歴の無い制限記録があれば、ＩＰ制限管理サーバ１２は、制限情報を基に、制御対象のＩＰ装置毎の制限データを作成する（ステップ３０３）。
【００３５】
図８は、ＩＰ装置毎の制御データを示す図である。図８を参照すると、制限データは、図７の制御情報の中から必要な情報を抽出して作成されている。
【００３６】
次に、ＩＰ制限管理サーバ１２は、作成した制限データをブロードキャスト送信した後（ステップ３０４）、制限情報を更新する（ステップ３０５）。制限情報の更新においては送信歴なしだった制限記録を送信歴ありにする。
【００３７】
なお、本実施形態は、ＩＰ装置によるアクセス制限、あるいはファイアウォールによるアクセス制限などの従来のアクセス制限に代えて、ＩＰ制限装置１１によるアクセス制限を行う例を示したが、本発明はこれに限定されるものではない。ＩＰ制限装置１１は、従来の方法と組み合わせて用いてもよい。例えば、自身でアクセス制限の機能を有するＩＰ装置については自身の機能を用い、アクセス制限の機能の無いＩＰ装置についてのみＩＰ制限装置１１を用いることとしてもよい。
【００３８】
以上説明したように、本実施形態のアクセス制限システムによれば、簡易な構成のＩＰ制限装置１１によって低コストで、ＩＰ装置１４に対するアクセス制限を行い、不正なアクセスを防止することができる。
【００３９】
また、本実施形態によれば、ＩＰ制限管理サーバ１２が各ＩＰ制限装置１１のアクセス制限を一元管理するので、アクセス制限の内容の更新が容易である。
【００４０】
また、本実施形態によれば、ＩＰ制限管理サーバ１２がアクセス制限の有効期間を管理して、有効期間内のアクセス制限のみをＩＰ制限装置１１に指示し、ＩＰ制限装置１１がその管理下でアクセス制限を行うので、ＩＰ装置１４毎のアクセス制限を容易に時間的に変更可能とすることができる。また、その際、ＩＰ制限装置１１は時間的な管理を行う必要がないので処理が簡易である。
【図面の簡単な説明】
【００４１】
【図１】本実施形態のアクセス制限システムの構成を示すブロック図である。
【図２】ＩＰ制限装置の構成を示すブロック図である。
【図３】本実施形態のアクセス制限システムを適用したネットワークの一例を示す図である。
【図４】本実施形態のＩＰ制限装置の動作を示すフローチャートである。
【図５】本実施形態のＩＰ制限管理サーバにおけるＩＰ制限ファイルの作成手順を示すフローチャートである。
【図６】本実施形態のＩＰ制限管理サーバがＩＰ制限ファイルをＩＰ制限装置に送信するときの動作を示すフローチャートである。
【図７】ＩＰ制限管理サーバにて作成された制限情報の一例を示す表である。
【図８】ＩＰ装置毎の制御データを示す図である。
【符号の説明】
【００４２】
１１    ＩＰ制限装置
１２    ＩＰ制限管理サーバ
１３    入力装置
１４    ＩＰ装置
１５    クライアント
２１    ＩＰ制限モジュール
２２    制限テーブル
２３    制限制御手段
２４    テーブル管理手段
２５    パケット識別手段
３１    サーバ
３２    ＳＡＮ（Ｓｔｏｒａｇｅ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）
３３    ストレージ装置
１０１〜１１２、２０１〜２０３、３０１〜３０５    ステップ
【図１】
2006033360.tif 000003
【図２】
2006033360.tif 000004
【図３】
2006033360.tif 000005
【図４】
2006033360.tif 000006
【図５】
2006033360.tif 000007
【図６】
2006033360.tif 000008
【図７】
2006033360.tif 000009
【図８】
2006033360.tif 000010