(57)【要約】【課題】より柔軟なアクセス制御を行え、パケットの暗号化に対応できるアクセス制御方法を提供する。【解決手段】外部ネットワーク７の端末１０から内部ネットワーク１のサーバ４へのアクセスを中継装置６を介して、制御する。中継装置及びサーバでは、端末がサーバ宛に送出するパケットの伝送を、一定条件下で許容する。許容されたパケットに対し、サーバが接続を許可した場合、サーバ宛のパケット伝送の条件を緩和する。しかる後、緩和された条件で、端末とサーバとのパケット伝送を制御する。暗号化については、サーバで復号し、中継装置に通知を行う。【選択図】  図１
2004312416.tif 000002
【特許請求の範囲】
【請求項１】
外部ネットワークの端末から内部ネットワークのサーバへのアクセスを、前記外部ネットワークと前記内部ネットワークとを中継する中継装置を介して、制御するアクセス制御方法であって、
前記端末が前記サーバ宛に送出するパケットの伝送を、一定条件下で許容する第１ステップと、
許容されたパケットに対し、前記サーバが接続を許可した場合、前記サーバ宛のパケット伝送の条件を変更する第２ステップと、
しかる後、変更された条件で、前記端末と前記サーバとのパケット伝送を制御する第３ステップとを含む、アクセス制御方法。
【請求項２】
前記第１ステップにおける一定条件は、前記端末から前記サーバ宛のパケット伝送の帯域を、一定範囲内とするものである、請求項１記載のアクセス制御方法。
【請求項３】
前記第１ステップにおいて許容されるパケットは、前記サーバへ送信される認証情報を含む、請求項１から２記載のアクセス制御方法。
【請求項４】
前記第２ステップにおいて、前記端末と前記サーバとのそれぞれのアドレス及びポート番号に係る、フローについて、条件が変更される、請求項１から３記載のアクセス制御方法。
【請求項５】
外部ネットワークの端末から内部ネットワークのサーバへのアクセスを、前記外部ネットワークと前記内部ネットワークとを中継する中継装置を介して、制御するアクセス制御方法であって、
前記端末から暗号化されたパケットが、前記サーバに到着した際、前記サーバは、この暗号化されたパケットを復号し、前記サーバは、前記中継装置に、この暗号化されたパケットに係る、アクセス制御に使用する情報を、前記中継装置へ通知する、アクセス制御方法。
【請求項６】
アクセス制御に使用する情報には、暗号化されたパケットに係るフローを定義する情報が含まれる、請求項５記載のアクセス制御方法。
【請求項７】
アクセス制御に使用する情報には、前記端末と前記サーバとのそれぞれのアドレス及びポート番号の情報が含まれる、請求項５から６記載のアクセス制御方法。
【請求項８】
前記サーバと前記中継装置とのそれぞれにおいて、アクセス制御に使用する情報が保持され、前記サーバにおいて、この情報を変更した際、前記サーバは、その旨を前記中継装置へ通知する、請求項記載１から７記載のアクセス制御方法。
【請求項９】
外部ネットワーク側に接続される第１の通信部と、
内部ネットワーク側に接続される第２の通信部と、
前記第１の通信部及び前記第２の通信部を介して伝送されるパケットに係るフローを定義する情報と、該当するフローについての帯域の閾値と、該当するフローについての帯域の測定値とを、関連付けて記憶する記憶部と、
前記記憶部に記憶されたフローを定義する情報にしたがって、パケットのフローを分類する分類部と、
分類されたフローについて帯域を測定し、測定値を前記記憶部に格納する測定部と、
分類されたフローについて、前記記憶部に格納された帯域の測定値と閾値とを大小比較し、伝送の許否を判定する判定部と、
前記判定部により伝送を許可されたパケットを、前記第１の通信部及び／又は前記第２の通信部を介して送信する帯域制御部とを備える中継装置。
【請求項１０】
前記記憶部における帯域の閾値は、内部ネットワークのサーバが、外部ネットワークの端末からの接続を許可するまで、接続を制限する値に設定され、内部ネットワークのサーバがこの接続を許可すると、より接続の制限を緩和する値に変更される、請求項９記載の中継装置。
【請求項１１】
内部ネットワーク側に接続される通信部と、
前記通信部を介して伝送されるパケットに係るフローを定義する情報と、該当するフローについての帯域の閾値と、該当するフローについての帯域の測定値とを、関連付けて記憶する記憶部と、
前記記憶部に記憶されたフローを定義する情報にしたがって、パケットのフローを分類する分類部と、
分類されたフローについて帯域を測定し、測定値を前記記憶部に格納する測定部と、
分類されたフローについて、前記記憶部に格納された帯域の測定値と閾値とを大小比較し、伝送の許否を判定する判定部と、
前記判定部により伝送を許可されたパケットを、前記通信部を介して送信する帯域制御部とを備えるサーバ。
【請求項１２】
外部ネットワークの端末からの接続を許可するまで、前記記憶部における帯域の閾値を小さな値に設定し、この接続を許可すると、前記記憶部における帯域の閾値をより大きな値に変更する、請求項１１記載のサーバ。
【請求項１３】
前記記憶部に格納された情報を変更した際、その旨を中継装置へ通知する、請求項１１から１２記載のサーバ。
【請求項１４】
暗号化されたパケットを復号する暗号処理部を備え、
この暗号化されたパケットに係る、アクセス制御に使用する情報を、前記中継装置へ通知する、請求項１１から１３記載のサーバ。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、アクセス制御方法、中継装置、サーバに関するものである。
【０００２】
【従来の技術】
まず本明細書において、保護すべき情報又はそれを管理するサーバが存在する位置を、内部といい、この内部に対して、ネットワークを経由して通信する位置を、外部という。
【０００３】
さて、アクセス制御（ファイアーウォール、パケットフィルタリングとも呼ばれる）は、次のような不正アクセスから、内部を保護するために使用される。即ち、この不正アクセスとしては、外部から内部へ不正侵入すること、外部から内部のサービスを妨害すること、内部の機密情報を外部へ持ち出すことなどがある。このアクセス制御を担当する機器は、サービスを提供するサーバ自身や、このサーバへの通信を中継する中継装置（例えば、ルータ等）の、いずれかまたは両方である。
【０００４】
従来のアクセス制御に関する先行文献として、特許文献１〜３がある。
【０００５】
また、代表的なネットワークプロトコルであるＴＣＰ／ＩＰにおける帯域制御、ＩＰＳｅｃ、ＩＰｖ６のＦｌｏｗＬａｂｅｌに関する先行文献として、非特許文献１〜３がある。
【０００６】
（問題点１）Ｐ２Ｐ通信への対応
従来のアクセス制御では、基本的に、パケットを伝送するか破棄するかの、二者択一の制御が行われる。
【０００７】
したがって、サーバが、完全に公開されているサービス、例えば、インターネットからのアクセス可能なＷＥＢサービス等、を提供しているときには、このサーバへのパケットを、基本的に伝送するようにすればよい。
【０００８】
一方、サーバが、固定的な範囲にアクセスが制限されるサービス、例えば、社内のネットワーク内にアクセスが限定されるファイル共有サービス等、を提供しているときには、この固定的な範囲外からのパケットを、全て破棄してしまえばよい。
【０００９】
しかしながら、サーバが、出張等により社内から社外へ移動した社員が所有するコンピュータに対して、メールサービスを提供するような場合、以上のアクセス制御では対応できない。なぜなら、このような場合、社員が所有するコンピュータのアドレスやポート番号等は、社員が社内から社外へ移動すると、変更されてしまうからである。
【００１０】
このような課題に対し、特許文献１〜３では、いくつかの提案がなされている。ところが、これらによっても、Ｐ２Ｐ通信への対応が、不十分である。
【００１１】
これらの文献では、内部から外部へパケットが伝送されると、パケットの伝送／破棄を判定する際、その逆向きのパケットを、伝送させるように、アクセス制御の判定条件を動的に変更している。これにより、外部と内部とで双方向の通信を行うこととしている。
【００１２】
しかしながら、このような技術では、内部から外部へ向けてパケットが伝送されない限り、双方向の通信はできない。つまり、はじめに外部から内部へパケットを伝送してから双方向の通信を行おうとしても、それは不可能である。
【００１３】
（問題点２）ＤＯＳ攻撃に対する脆弱性
問題点１に対し、特定の条件を満たすパケットを、中継可能なように静的に判定条件を設定することも考えられる。しかしながら、現状のＩＳＰ、ホットスポット等では、端末のアドレス等がＤＨＣＰ等で動的に設定されるため、このような特定の条件を定めることは、事実上不可能に近い。
【００１４】
また、このような設定を行うと、悪意を持つ者が、中継可能な条件を満たすパケットを偽造してサーバを攻撃する、ＤＯＳ（Ｄｅｎｅａｌ  Ｏｆ  Ｓｅｒｖｉｃｅ）の発生を防止できない。
【００１５】
特許文献３では、ＤＯＳ攻撃等の不正アクセスの対し、トラフィックシェーピングを用いて、使用帯域を制御している。しかしながら、不正アクセスによるパケットと、正当なアクセスパケットとが、混在して流れている場合、正当なアクセスによる通信の帯域を、不当に制限してしまう結果となるし、シェーピングの対象を、不正アクセスによるパケットのみに、限定することは、非常に難しい。
（問題点３）暗号化への対応
従来のアクセス制御では、伝送／破棄の判定に、パケット内の情報を参照している。ところが、第三者による盗聴を防ぐために、パケットを暗号化した場合、アクセス制御において、パケット内の情報が参照できないため、伝送／破棄の判定ができなくなってしまう。
【特許文献１】特開平８−４４６４２号公報
【特許文献２】特表平１０−５０４１６８号公報
【特許文献３】特開２０００−１２４９５５号公報
【非特許文献１】文献名：「インターネットＱｏＳ」、共著：Ｐａｕｌ  Ｆｅｒｇｕｓｏｎ、Ｇｅｏｔｔ  Ｈｕｓｔｏｎ、監訳：戸田巌、発行日：平成１２年５月５日
【非特許文献２】文献名：ＲＦＣ２４０１  「ＩＰ  Ｅｎｃａｐｓｕｌａｔｉｎｇ  Ｓｅｃｕｒｉｔｙ  Ｐａｙｌｏａｄ（ＥＳＰ）」、共著：Ｓ．Ｋｅｎｔ、Ｒ．Ａｔｋｉｎｓｏｎ、発行日：１９９８年１１月
【非特許文献３】文献名：ＲＦＣ２４６０  「Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ，  Ｖｅｒｓｉｏｎ６（ＩＰｖ６）  Ｓｐｅｃｉｆｉｃａｔｉｏｎ」、共著：Ｓ．Ｄｅｅｒｉｎｇ、Ｒ．Ｈｉｎｄｅｎ、発行日：１９９８年１１月
【発明が解決しようとする課題】
そこで本発明は、より柔軟なアクセス制御を行え、パケットの暗号化に対応できる、アクセス制御方法及びその関連技術を提供することを目的とする。
【００１６】
【課題を解決するための手段】
請求項１記載のアクセス制御方法は、外部ネットワークの端末から内部ネットワークのサーバへのアクセスを、外部ネットワークと内部ネットワークとを中継する中継装置を介して、制御するものであり、端末がサーバ宛に送出するパケットの伝送を、一定条件下で許容する第１ステップと、許容されたパケットに対し、サーバが接続を許可した場合、サーバ宛のパケット伝送の条件を変更する第２ステップと、しかる後、変更された条件で、端末とサーバとのパケット伝送を制御する第３ステップとを含む。
【００１７】
この構成により、外部ネットワークの端末と、内部ネットワークのサーバとは、廃棄の他、一定条件により制限された通信を行う状態と、この条件を緩めた条件下で、あるいは、さらに厳しくした条件下で、通信を行う状態との、少なくとも２つの伝送状態をとることができる。したがって、伝送／破棄という二者択一的なアクセス制御よりも、より柔軟なアクセス制御を行える。しかも、はじめに外部から内部へパケットを伝送してから双方向の通信を行える。
【００１８】
請求項２記載のアクセス制御方法では、第１ステップにおける一定条件は、端末からサーバ宛のパケット伝送の帯域を、一定範囲内とするものである。
【００１９】
この構成により、許容されたパケットに対し、サーバが接続を許可するまでの間、帯域の制限を加えることにより、万一不正アクセスによるパケットがサーバに到着しても、その量が制限されることになり、サーバを、不正アクセスから保護できる。
【００２０】
請求項３記載のアクセス制御方法では、第１ステップにおいて許容されるパケットは、サーバへ送信される認証情報を含む。
【００２１】
この構成により、一定条件が課される状態では、認証情報の伝送がなされることになり、認証情報で認証された端末のみ、変更された条件で、サーバにアクセスできるため、サーバを、不正アクセスから保護できる。
【００２２】
請求項４記載のアクセス制御方法では、第２ステップにおいて、端末とサーバとのそれぞれのアドレス及びポート番号に係る、フローについて、条件が変更される。
【００２３】
この構成により、該当するフローのみについて、他のフロートは区別して、アクセス制御できる。
【００２４】
請求項５記載のアクセス制御方法は、外部ネットワークの端末から内部ネットワークのサーバへのアクセスを、外部ネットワークと内部ネットワークとを中継する中継装置を介して、制御するものであり、端末から暗号化されたパケットが、サーバに到着した際、サーバは、この暗号化されたパケットを復号し、サーバは、中継装置に、この暗号化されたパケットに係る、アクセス制御に使用する情報を、中継装置へ通知する。
【００２５】
この構成により、パケットが暗号化された状態では、中継装置が、アクセス制御に使用する、十分な情報を、得られない場合でも、中継装置は、サーバからの通知を利用して、正確なアクセス制御を実施できる。
【００２６】
この情報は、例えば、中継装置が参照できない暗号化部分の情報（上位プロトコル種別、送受信ポート番号）、中継装置から参照可能な非暗号化部分の情報（ＩＰｖ４のＩＤやＩＰｖ５／６のＦｌｏｗ−Ｌａｂｅｌ）の対応関係等である。
【００２７】
請求項８記載のアクセス制御方法では、サーバと中継装置とのそれぞれにおいて、アクセス制御に使用する情報が保持され、サーバにおいて、この情報を変更した際、サーバは、その旨を中継装置へ通知する。
【００２８】
この構成により、サーバが独自に情報を変更したような場合、サーバから中継装置へ通知がなされ、サーバと中継装置における、アクセス制御の整合性をとり、通信システム全体として、統一性のあるアクセス制御を実施できる。
【００２９】
【発明の実施の形態】
以下、図面を参照しながら、本発明の実施の形態を説明する。図１は、本発明の一実施の形態における通信システムの構成図、図２は同中継装置のブロック図、図５は同ＷＥＢサーバのブロック図である。
【００３０】
図１に示すように、この通信システムは、中継装置６の上側に図示される外部ネットワーク７と、下側に図示される内部ネットワーク１とを有する。
【００３１】
内部ネットワーク１には、ＬＡＮケーブル２が敷設され、ＬＡＮケーブル２には、中継装置６の他、内部ネットワーク１に属する、ＷＥＢサーバ３、社内メールサーバ４、社内ＤＢサーバ５及びその他のクライアント端末（図示せず）が接続される。
【００３２】
中継装置６は、ネットワーク網８とＬＡＮケーブル２の両方に接続されている。
【００３３】
また、外部ネットワーク７には、ネットワーク網８があり、端末９は、ＷＥＢサーバ３によるＷＥＢサービスを受けることのみを許されている。一方、端末１０は、内部ネットワーク１を利用する会社の社員が、出張先へ持参したコンピュータであり、端末１０には、ＷＥＢサーバ３と、社内メールサーバ４によるサービスを受けることが許されている。
【００３４】
なお、社内ＤＢサーバ５のサービスは、内部ネットワーク１の内部のみで利用でき、内部ネットワーク１外のアクセスは禁止されている。
【００３５】
ここで、端末９がＷＥＢサーバ３のサービスの利用を許可され、また、社内メールサーバ４のサービスの利用を禁止されるという、形態は、伝送／廃棄という二者択一的な、従来のアクセス制御で対応可能であるため、この点についての説明は省略する。
【００３６】
本発明で取り上げる問題は、社内メールサーバ４を不正アクセスから保護しながら、端末１０に社内メールサーバ４を利用させることである。
【００３７】
次に、図２を用いて、中継装置６について詳しく説明する。まず、制御部６０は、中継装置６の各構成要素を制御する。
【００３８】
通信部６１は、外部ネットワーク７のネットワーク網８に接続される。また、通信部６２は、内部ネットワーク１のＬＡＮケーブル２に接続される。
【００３９】
記憶部６７は、メモリなどの記憶媒体から構成される。そして、図３（ａ）に示すように、端末１０の接続が許可される前の状態において、記憶部６７は、通信部６１、６２を介して伝送されるパケットに係るフローを定義する情報（送信元についてのアドレス及びポート番号、宛先についてのアドレス及びポート番号）と、該当するフローについての帯域（本形態では、毎秒あたりのパケット数を用いる）の閾値ＴＨと、該当するフローについての帯域の測定値Ｖｎとを、フロー番号毎に、関連付けて記憶する。
【００４０】
また、記憶部６７には、接続を許可しうるフローが、予め定義されており、記憶部６７に定義されたフローと全く関係ないフローは、不正アクセスとして、排除される。
【００４１】
なお、記憶部６７の内容の遷移は、簡単にまとめて言うと、記憶部６７における帯域の閾値ＴＨは、内部ネットワーク１の社内メールサーバ４が、外部ネットワーク７の端末１０からの接続を許可するまで、小さな値に設定され、社内メールサーバ４がこの接続を許可すると、より大きな値に変更されるものである。
【００４２】
また、図３（ａ）に示すように、本形態では、フロー番号１〜４の、合計４つのフローが定義されている。フロー番号１は、社内ＤＢサーバ５のサービスに関するものであり、外部ネットワーク７のどのアドレスからも、アクセスできない（閾値ＴＨ＝０）ものである。
【００４３】
フロー番号２は、内部ネットワーク１に属する端末（サーバ又はクライアント端末）から外部ネットワーク７へ出てゆくサービスに関するものであり、内部ネットワーク１のどのアドレスからアクセスしても、自由にアクセスできる（閾値ＴＨ＝∞）ものである。
【００４４】
フロー番号３は、ＷＥＢサーバ３のサービスに関するものであり、外部ネットワーク７のどのアドレスからアクセスしても、自由にアクセスできる（閾値ＴＨ＝∞）ものである。
【００４５】
フロー番号４は、社内メールサーバ４のサービスに関するものであり、外部ネットワーク７のどのアドレスからアクセスしても、一定条件下でアクセスできる（閾値ＴＨ＝１０）ものである。しかも、このアクセスは、プロトコル種別が、パスワード送信に関するＰＯＰに限定される。
【００４６】
後述するように、社内メールサーバ４にアクセスしようとする、端末１０は、フロー番号４に従うパケットを、社内メールサーバ４に一定条件下で送信し、社内メールサーバ４が、その通信を許可する明示的なパケット（ＳＹＮ−ＡＣＫフラグがオンになっているパケット）を発行した後に、この条件が大幅に緩和されるようになっている。
【００４７】
図２において、分類部６３は、記憶部６７に記憶されたフローを定義する情報にしたがって、パケットのフローを分類する。
【００４８】
測定部６４は、分類されたフローについて帯域を測定し、測定値を、記憶部６７において、該当するフロー番号の「測定値」のフィールドに格納する。
【００４９】
判定部６５は、分類されたフローについて、記憶部６７に格納された帯域の測定値Ｖｎと閾値ＴＨとを大小比較し、Ｖｎ≦ＴＨであれば、伝送するという判定を下し、そうでなければ廃棄するという判定を下す。
【００５０】
なお以下、説明を簡単にするために、判定部６５は、「伝送する」という判定と、「廃棄する」という判定との、２種類の判定のみをなすものとする。しかし、廃棄はしないが伝送を遅らせたり、パケットの優先度を変更したりする判定を下すようにすることもでき、このようにしても、本発明に包含される。
【００５１】
帯域制御部６６には、判定部６５により伝送すると判定されたパケットが、セットされ、帯域制御部６６は、その帯域制御のルールに従って、パケットを帯域制御部６６自体において廃棄しない限り、通信部６１、６２から順次送信する。
【００５２】
本形態の帯域制御部６６における帯域制御方式は、任意である。例えば、ＦＩＦＯ、ＲＥＤ、ＲＩＯ等のキューイング、ＰＱ、ＷＲＲ等のスケジューラ等を自由に選択して使用できる。
【００５３】
次に、図５を用いて、社内メールサーバ４について詳しく説明する。まず、制御部４０は、社内メールサーバ４の各構成要素を制御する。通信部４１は、ＬＡＮケーブル２に接続される。
【００５４】
記憶部４８は、メモリなどの記憶媒体から構成され、中継装置６の記憶部６７と同様の内容を持つ。但し、一時的に、記憶部４８の内容と、記憶部６７の内容が、一致しなくなることがあるが、この情報の不整合は、後述する変更通知により、直ちに解消されるようになっている。勿論、記憶部４８の遷移は、記憶部６７の遷移と基本的に同じである。
【００５５】
アプリケーション部４２は、社内メールサーバ４としての機能を実現するための、（メールサービス）アプリケーションを実行するものである。
【００５６】
暗号処理部４３は、暗号化されたパケットを復号する。この暗号化されたパケットに係る、アクセス制御に使用する情報は、通信部４１を介して、中継装置６へ通知される。
【００５７】
ここで、ＩＰ−Ｓｅｃ等により暗号化されたパケットでは、アクセス制御において、パケットを分類するために必要な情報までが、暗号化されてしまう。そのため、パケットの分類が、不完全になる。アクセス制御で必要となる情報は、暗号化されたパケットを復号できる、送信元または宛先の社内メールサーバ４でしか取得できない。
【００５８】
ＴＣＰ／ＩＰのバージョン６のＩＰでは、このような暗号化されたパケットが複数混在した場合にも、パケットを分類可能とするためにフローラベルが導入されている。しかしながら、フローラベルから暗号化されている送受信ポート番号等との関係を判定できるのは、送受信端末のみである。
【００５９】
そこで、本形態では、社内メールサーバ４に暗号処理部４３を設け、復号したパケットから、アクセス制御の分類に必要な情報が得られたら、これを、社内メールサーバ４のみで持つのではなく、中継装置６に通知し、中継装置６の分類処理と、社内メールサーバ４の分類処理の整合性を確保している。
【００６０】
図５において、分類部４４、測定部４５、判定部４６、帯域制御部４７は、図２の分類部６３、測定部６４、判定部６５、帯域制御部６６と、同様のものである。
【００６１】
即ち、分類部４４は、記憶部４８に記憶されたフローを定義する情報にしたがって、パケットのフローを分類する。
【００６２】
測定部４５は、分類されたフローについて帯域を測定し、測定値を、記憶部４８において、該当するフロー番号の「測定値」のフィールドに格納する。
【００６３】
判定部４６は、分類されたフローについて、記憶部４８に格納された帯域の測定値Ｖｎと閾値ＴＨとを大小比較し、Ｖｎ≦ＴＨであれば、伝送するという判定を下し、そうでなければ廃棄するという判定を下す。
【００６４】
帯域制御部４７には、判定部４５により伝送すると判定されたパケットが、セットされ、帯域制御部４７は、その帯域制御のルールに従って、パケットを帯域制御部４７自体において廃棄しない限り、通信部４１から順次送信する。
【００６５】
本形態の帯域制御部４７における帯域制御方式は、任意である。例えば、ＦＩＦＯ、ＲＥＤ、ＲＩＯ等のキューイング、ＰＱ、ＷＲＲ等のスケジューラ等を自由に選択して使用できる。
【００６６】
（変更通知）
さて、パケット交換の通信においては、接続要求とそれに対する明示的な接続許可を通知するコネクション型通信と、接続要求とそれに対する明示的な接続許可を通知しないコネクションレス型通信の二つの方式がある。
【００６７】
現在最も普及しているインターネットの通信プロトコルであるＴＣＰ／ＩＰにおいては、コネクション型通信としてＴＣＰが、コネクションレス型通信にはＵＤＰがある。
【００６８】
またＴＣＰおよびＵＤＰでは、一組の端末（この端末には、サーバを含む。）間で複数の通信を独立して行えるように、端末は、通信毎にポート番号を割当てる。
【００６９】
したがって、中継装置６の分類部６３は、送受信アドレスと送受信ポート、そしてＴＣＰかＵＤＰかを示す上位プロトコル種別を参照することで、複数の通信を分類可能となる。
【００７０】
コネクション型通信であるＴＣＰでは、接続を要求するパケット（ＴＣＰフラグ内のＳＹＮフラグがオンになっているパケット）を受信した社内メールサーバ４は、接続を許可する場合には接続を許可するパケット（ＳＹＮ−ＡＣＫフラグがオンになっているパケットやＡＣＫフラグがオンとなっているパケット）を送信する。
【００７１】
一方、社内メールサーバ４は、接続を許可しない場合、接続を許可しないこと示すパケット（ＴＣＰフラグ内のＦＩＮフラグがオンとなっているパケット）を送信する。
【００７２】
ＴＣＰ／ＩＰにおいて、接続を許可しないことを明示的に示すには、ＴＣＰのＦＩＮパケット以外に、ＩＣＭＰのＤｅｓｔｉｎａｔｉｏｎ  Ｕｎｒｅａｃｈａｂｌｅを応答することによってもよい。これは、ＴＣＰおよびＵＤＰに共通で利用可能である。
【００７３】
なお、接続を要求するパケットや、接続を許可する／許可しないといった明示的なパケットを、送受信しないコネクションレス型通信である、ＵＤＰにおいては、送受信アドレスおよび送受信ポート番号の組み合わせが一致するパケットをの送受信をトリガにするとよい。
【００７４】
コネクションレス型通信においては、接続の要求・接続の許可・接続の不許可を明示するパケットの送受信が行われないため、アクセス制御の判定が正確でなくなる可能性がある。
【００７５】
本形態では、社内メールサーバ４が、中継装置６の意向とは無関係に、端末１０へ明示的な接続の許可を行った場合、社内メールサーバ４から中継装置６へ変更通知を発行して、中継装置６上の記憶部６７を、社内メールサーバ４の記憶部４８と一致させることにしている。
【００７６】
この通知をうまく利用すれば、中継装置６でアクセス制御に関する全ての情報を保持しなければならかった従来の方式に対し、アクセス制御に関する情報を、中継装置６と社内メールサーバ４とで、分散して保持することもできるようになる。中継装置６上の情報の量及び処理負担を削減できる。また中継装置６では、実際には既に通信されなくなったフローに関する情報を保持しなくても足りるようになるから、一層処理負担を軽減できる。
【００７７】
また、この変更通知により、社内メールサーバ４の帯域制御の処理内容と、中継装置６の帯域制御の処理内容の整合性を、確保できる。
【００７８】
これにより、社内メールサーバ４から中継装置６へ届いたパケットが、帯域不足のために、中継装置６で破棄されたり、逆に、中継装置６から外向きの帯域が必要以上に確保されて、他のフローが要する帯域が圧迫されるような事態を、回避できる。
【００７９】
（帯域制御）
パケット交換ネットワークでは、その仕組みの制約上、パケットの送信側でしか帯域制御が行えない。
【００８０】
従って、社内メールサーバ４から中継装置６へのパケットに関しては、社内メールサーバ４側でしか帯域制御を行えず、中継装置６から社内メールサーバ４へのパケットに関しては、中継装置６側でしか帯域制御を行えない。
【００８１】
そこで、本形態では、外部からの不正なアクセスに対する応答によって、社内メールサーバ４の帯域を不正使用されることを防ぐため、帯域制御部を、中継装置６と社内メールサーバ４の両方に設けている。
【００８２】
次に、図４を参照しながら、中継装置６の動作を説明する。まず、ステップ１にて、制御部６０は、通信部６１または通信部６２にパケットが到着するのを待つ。
【００８３】
到着したら、ステップ２にて、このパケットが、社内メールサーバ４からの変更通知でないかどうかチェックする。もしそうなら、制御部６０は、ステップ３にて、変更通知のとおり、記憶部６７の内容を更新する。これにより、記憶部６７の内容と、記憶部４８の内容の整合性が担保される。
【００８４】
変更通知でなければ、ステップ４にて、制御部６０は、分類部６３に分類を命ずる。すると、分類部６３は、このパケットに該当するフローが、記憶部６７に存在するかどうかチェックする。
【００８５】
存在すれば、ステップ５にて、分類部６３は、そのフローの各値（送信元及び宛先に関するアドレス及びポート番号等）が確定しているかどうかチェックする。因みに、分類部６３は、図３に矢印で示しているように、フロー番号が大きいものの順に、検討を行う。ここで、確定していない場合とは、図３に「＊」で示したように、値が未定の場合である。
【００８６】
確定していなければ、分類部６３は、ステップ６にて、新しいエントリ（フロー番号は、現在最大のものに「１」を足した番号となる）を追加し、パケットから得られた各値（送信元及び宛先に関するアドレス及びポート番号等）をセットして、ステップ７へ処理を移す。確定していれば、新たなフローを追加する必要はないので、分類部６３は、ステップ５からステップ７へ処理を移す。
【００８７】
ステップ４にて、該当フローがなければ、これは不正アクセスの可能性があるため、分類部６３は、分類を中止してその旨制御部６０に報告する。この報告を受けた制御部６０は、即座にステップ１０へ処理を移し、このパケットを廃棄する。
【００８８】
さて、ステップ７では、測定部６４が該当フローの伝送速度を測定し、その測定値Ｖｎが、該当フローの測定値のフィールドにセットされる。
【００８９】
次に、ステップ８では、判定部６５が、該当フローの測定値Ｖｎと閾値ＴＨとを、大小比較し、判定部６５は、Ｖｎ≦ＴＨであれば「伝送する」と判定し、パケットが帯域制御部６６に出力される。この後、帯域制御部６６は、その帯域制御方式に従って、パケットを自身で廃棄しない限り、順次、通信部６１または通信部６２から出力する。
【００９０】
一方、そうでなければ、判定部６５は、「廃棄する」と判定し、パケットは帯域制御部６６に出力されることなく、廃棄される。
【００９１】
そして、ステップ１以降の処理が、処理が終了するまで繰り返される（ステップ１１）。
【００９２】
次に、図６を用いて、社内メールサーバ４の動作を説明する。まず、ステップ３１にて、制御部４０は、変更フラグに初期値としての「ＯＦＦ」をセットする。このフラグは、社内メールサーバ４がそれ自身の判断で、記憶部４８の内容を変更したかどうかを示すフラグであり、「ＯＮ」なら変更したことを、「ＯＦＦ」なら変更していないことを表す。そして、「ＯＮ」なら記憶部４８の内容と、記憶部６７の内容に相違があることになるので、しかるべきタイミング（ステップ４６）で、中継装置６へ変更通知を発行することとしている。
【００９３】
さてステップ３２にて、制御部４０は、通信部４１にパケットが到着するのを待つ。到着するまでは、ステップ３３にて、制御部４０は、アプリケーション部４２による処理を実施する。
【００９４】
到着したら、ステップ３４にて、このパケットが、暗号化されたものでないかどうかチェックする。もしそうなら、制御部４０は、ステップ３５にて、暗号処理部４３にこのパケットを復号させてから、ステップ３６へ処理を移す。暗号化されていなければ、制御部４０は、ステップ３４からステップ３６へ処理を移す。
【００９５】
次に、ステップ３６にて、制御部４０は、分類部４４に分類を命ずる。すると、分類部４４は、このパケットに該当するフローが、記憶部４８に存在するかどうかチェックする。
【００９６】
存在すれば、ステップ３７にて、分類部４４は、そのフローの各値（送信元及び宛先に関するアドレス及びポート番号等）が確定しているかどうかチェックする。因みに、分類部４４も、分類部６３と同様に、図３に矢印で示しているように、フロー番号が大きいものの順に、検討を行う。ここで、確定していない場合とは、図３に「＊」で示したように、値が未定の場合である。
【００９７】
確定していなければ、分類部４４は、ステップ３８にて、新しいエントリ（フロー番号は、現在最大のものに「１」を足した番号となる）を追加し、パケットから得られた各値（送信元及び宛先に関するアドレス及びポート番号等）をセットする。また、これにより、記憶部４８が記憶部６７と一致しなくなった可能性があるため、変更フラグを「ＯＮ」とする。
【００９８】
そして、ステップ３９へ処理を移す。ステップ３９では、分類部４４は、端末１０に接続を許可するＳＹＮ−ＡＣＫのフラグをオンにしたパケットを、送信するかどうか、制御部４０に確認する。送信するのなら、該当フローの一定条件を緩和するため、ステップ４０にて、記憶部４８において、該当フローの閾値ＴＨに、∞（自由に通信を認める）の値をセットし、ステップ４１へ処理を移す。送信しないなら、分類部４４は、ステップ３９からステップ４１へ処理を移る。
【００９９】
さて、ステップ３７にて、値が確定していれば、新たなフローを追加する必要はないので、分類部４４は、ステップ３７からステップ４１へ処理を移す。
【０１００】
ステップ３６にて、該当フローがなければ、これは不正アクセスの可能性があるため、分類部４４は、分類を中止してその旨制御部４０に報告する。この報告を受けた制御部４０は、即座にステップ４４へ処理を移し、このパケットを廃棄する。
【０１０１】
さて、ステップ４１では、測定部４５が該当フローの伝送速度を測定し、その測定値Ｖｎが、該当フローの測定値のフィールドにセットされる。
【０１０２】
次に、ステップ４２では、判定部４６が、該当フローの測定値Ｖｎと閾値ＴＨとを、大小比較し、判定部４６は、Ｖｎ≦ＴＨであれば「伝送する」と判定し、パケットが帯域制御部４７に出力される。この後、帯域制御部４７は、その帯域制御方式に従って、パケットを自身で廃棄しない限り、順次、通信部４１から出力する。
【０１０３】
一方、そうでなければ、判定部４６は、「廃棄する」と判定し、パケットは帯域制御部４７に出力されることなく、廃棄される。
【０１０４】
そして、ステップ３２以降の処理が、処理が終了するまで繰り返される（ステップ４８）。
【０１０５】
次に、図７、図３を用いて、端末１０が一定条件下で社内メールサーバ４との接続要求をするための通信を開始し、それが認められ、条件が緩和され、通信が円滑に行われるまでの処理の流れを説明する。
【０１０６】
まず、図７の時刻ｔ１において、端末１０が、社内メールサーバ４にＳＹＮフラグがオンとなったパケット（アカウント、パスワード等の認証情報を含む情報）を、ＰＯＰプロトコルにしたがい送信する。このとき、記憶部４８、記憶部６７の内容は、図３（ａ）に示すとおりである。
【０１０７】
このパケットは、フロー番号４に属するものであるため、このフローの測定値Ｖ４が閾値ＴＨ以下であるとき、通信が許可される。
【０１０８】
ところが、時刻ｔ１前後では、測定値Ｖ４が閾値ＴＨを超えていたため、通信は失敗し、時刻ｔ２において、社内メールサーバ４から端末１０へＦＩＮフラグがオンになったパケットが返される。
【０１０９】
そこで、端末１０は、パケットの伝送速度を下げて、時刻ｔ３にて、再度、ＳＹＮフラグをオンにしたパケットを、社内メールサーバ４へ送信する。すると、上記一定条件が満たされて、時刻ｔ４において、社内メールサーバ４から端末１０へ接続を許可するパケット（ＳＹＮ−ＡＣＫフラグがオンになったパケット）が返される。
【０１１０】
このとき、記憶部４８の内容は、一旦、図３（ｂ）に示すように、変化する。即ち、フロー番号４の内容を、複写した新たなエントリ（フロー番号５）が作成され、端末１０のアドレス及びポート番号等の各値がセットされる。
【０１１１】
さらに、図３（ｃ）に示すように、接続を許可したフロー番号について、閾値ＴＨが１０から∞に拡大され、条件が緩和される。そして、この変更は、社内メールサーバ４から中継装置６へ変更通知により知らされ、記憶部６７の内容も、図３（ｃ）の内容と一致する。
【０１１２】
しかるのち、時刻ｔ５以降において、広い帯域による円滑な通信が実行される。
【０１１３】
さらに、時刻ｔ９において、端末１０は、今度は、メールサービスそのものを受けるため、社内メールサーバ４にＳＹＮフラグがオンとなったパケット（パスワードを含む情報）を、ＭＡＩＬプロトコルにしたがい送信する。
【０１１４】
すると、図３（ｄ）に示すように、社内メールサーバ４が、新たなエントリ（フロー番号６）を追加し、ＭＡＩＬプロトコルによる通信が実行される。勿論、このときの記憶部４８の変更は、直ちに、中継装置６へ通知され、記憶部４８の変更内容は、すぐに記憶部６７に反映される。
【０１１５】
【発明の効果】
本発明によれば、伝送／破棄といった二者択一的なアクセス制御ではなく、他の正当なアクセスの通信に支障のないように制御された帯域の範囲内において、より柔軟なアクセス制御を行える。
【０１１６】
また、内部ネットワークのサーバから、中継装置へ通知を行うことにより、従来のアクセス制御では、正確な判定が困難であったコネクションレス型通信や暗号化された通信に対しても、アクセス制御に関する判定を、正確に実施できる。
【図面の簡単な説明】
【図１】本発明の一実施の形態における通信システムの構成図
【図２】同中継装置のブロック図
【図３】（ａ）同記憶部の遷移説明図
（ｂ）同記憶部の遷移説明図
（ｃ）同記憶部の遷移説明図
（ｄ）同記憶部の遷移説明図
【図４】同中継装置のフローチャート
【図５】同サーバのブロック図
【図６】同サーバのフローチャート
【図７】同パケット伝送を示すタイムチャート
【符号の説明】
１  内部ネットワーク
２  ＬＡＮケーブル
３  ＷＥＢサーバ
４  社内メールサーバ
５  社内ＤＢサーバ
６  中継装置
７  外部ネットワーク
８  ネットワーク網
９、１０  端末
４０、６０  制御部
４１、６１、６２  通信部
４２  アプリケーション部
４３  暗号処理部
４４、６３  分類部
４５、６４  測定部
４６、６５  判定部
４７、６６  帯域制御部
４８、６７  記憶部
【図１】
2004312416.tif 000003
【図２】
2004312416.tif 000004
【図３】
2004312416.tif 000005
【図４】
2004312416.tif 000006
【図５】
2004312416.tif 000007
【図６】
2004312416.tif 000008
【図７】
2004312416.tif 000009