(57)【特許請求の範囲】
【請求項１】
自社内に設置する来客者用ＬＡＮへ接続した来客者端末による外部ネットワークへの通信を制御する接続制御システムであって、
前記来客者端末から当該来客者端末のユーザが所属するグループ情報を含む前記来客者用ＬＡＮへの接続要求があった場合に、当該接続要求に含まれるグループ情報を用いて、接続要求元の来客者端末のユーザが来客者用ＬＡＮへの接続が許可されるグループに所属しているか否かの認証を行う認証手段と、
前記接続要求元の来客者端末が前記来客者用ＬＡＮへの接続を許可するグループに所属していることが前記認証手段により認証された場合には、前記来客者用ＬＡＮへの接続が許可される許可グループ情報である前記接続要求内のグループ情報ごとに、当該来客者端末のＭＡＣアドレスを許可グループ情報記憶手段に登録する登録手段と、
前記来客者用ＬＡＮへの接続が許可される前記来客者端末のユーザが所属している許可グループ情報ごとに、当該来客者端末に対して割当可能なＩＰアドレスの範囲を対応付けて記憶するアドレス範囲記憶手段と、
前記来客者端末に対して割当可能なＩＰアドレスの範囲に対応付けて、当該来客者端末を送信元とするパケットに関し、前記外部ネットワークへ転送可能な条件を示した転送ポリシを記憶する転送ポリシ記憶手段と、
前記来客者端末からＩＰアドレスの割当要求があった場合に、前記許可グループ情報記憶手段により記憶されている許可グループ情報の中から、割当要求元の来客者端末のＭＡＣアドレスに対応する許可グループ情報を取得する取得手段と、
前記アドレス範囲記憶手段により記憶されている許可グループごとのＩＰアドレスの範囲のうち、前記取得手段により取得された許可グループ情報に対応するＩＰアドレスの範囲から、前記割当要求元の来客者端末に割り当てるＩＰアドレスを決定して割り当てる割当手段と、
前記来客者端末からパケットを受け付けた場合に、前記転送ポリシ記憶手段により記憶されているＩＰアドレスの範囲の中から、当該来客者端末から受け付けられたパケットの送信元を示すＩＰアドレスが含まれるＩＰアドレスの範囲を検索し、検索されたＩＰアドレスの範囲に対応付けて前記転送ポリシ記憶手段により記憶されている転送ポリシに基づき、当該来客者端末から受け付けられたパケットを転送するか否かを制御する転送制御手段と、
を備えたことを特徴とする接続制御システム。
【請求項２】
前記転送ポリシ記憶手段は、前記来客者端末に対して割当可能なＩＰアドレスの範囲に対応付けて、当該来客者端末を送信元とするパケットに関し、前記外部ネットワークへ転送可能な宛先ＩＰアドレスおよび宛先ポート番号を前記転送ポリシとして記憶し、
前記転送制御手段は、前記来客者端末からパケットを受け付けた場合に、前記転送ポリシ記憶手段により記憶されているＩＰアドレスの範囲の中から、当該来客者端末から受け付けられたパケットの送信元を示すＩＰアドレスが含まれるＩＰアドレスの範囲を検索し、検索されたＩＰアドレスの範囲に対応付けて前記転送ポリシ記憶手段により前記転送ポリシとして記憶されている宛先ＩＰアドレスおよび宛先ポート番号に基づき、当該来客者端末から受け付けられたパケットを転送するか否かを制御することを特徴とする請求項１に記載の接続制御システム。
【請求項３】
前記認証手段は、前記来客者端末から前記来客者端末のユーザが所属するグループ情報を含む証明書とともに前記来客者用ＬＡＮへの接続要求を受け付けた場合に、前記来客者用ＬＡＮへの接続が許可される許可グループ情報ごとのルート証明書と、前記グループ情報を含む証明書とを用いて、接続要求元の来客者端末のユーザが来客者用ＬＡＮへの接続が許可されるグループに所属しているか否かの認証を行うことを特徴とする請求項１または２に記載の接続制御システム。
【請求項４】
自社内に設置する来客者用ＬＡＮへ接続した来客者端末による外部ネットワークへの通信を制御する接続制御方法であって、
前記来客者端末から当該来客者端末のユーザが所属するグループ情報を含む前記来客者用ＬＡＮへの接続要求があった場合に、当該接続要求に含まれるグループ情報を用いて、接続要求元の来客者端末のユーザが来客者用ＬＡＮへの接続が許可されるグループに所属しているか否かの認証を行う認証ステップと、
前記接続要求元の来客者端末が前記来客者用ＬＡＮへの接続を許可するグループに所属していることが前記認証ステップにより認証された場合には、前記来客者用ＬＡＮへの接続が許可される許可グループ情報である前記接続要求内のグループ情報ごとに、当該来客者端末のＭＡＣアドレスを許可グループ情報記憶手段に登録する登録ステップと、
前記来客者端末からＩＰアドレスの割当要求があった場合に、前記許可グループ情報記憶手段から、割当要求元の来客者端末のＭＡＣアドレスに対応する許可グループ情報を取得する取得ステップと、
前記来客者用ＬＡＮへの接続が許可される前記来客者端末のユーザが所属している許可グループ情報ごとに、当該来客者端末に対して割当可能なＩＰアドレスの範囲を対応付けて記憶する記憶部を参照して、前記取得ステップにより取得された許可グループ情報に対応するＩＰアドレス範囲から、前記割当要求元の来客者端末に割り当てるＩＰアドレスを決定して割り当てる割当ステップと、
前記来客者端末からパケットを受け付けた場合に、前記来客者端末に対して割当可能なＩＰアドレスの範囲に対応付けて、当該来客者端末を送信元とするパケットに関し、前記外部ネットワークへ転送可能な条件を示した転送ポリシを記憶する記憶部を参照して、当該来客者端末から受け付けられたパケットの送信元を示すＩＰアドレスが含まれるＩＰアドレスの範囲に対応付けられた転送ポリシに基づき、当該来客者端末から受け付けられたパケットを転送するか否かを制御する転送制御ステップと、
を含んだことを特徴とする接続制御方法。
【請求項５】
自社内に設置する来客者用ＬＡＮへ接続した来客者端末による外部ネットワークへの通信を制御する処理をコンピュータに実行させる接続制御プログラムであって、
前記来客者端末から当該来客者端末のユーザが所属するグループ情報を含む前記来客者用ＬＡＮへの接続要求があった場合に、当該接続要求に含まれるグループ情報を用いて、接続要求元の来客者端末のユーザが来客者用ＬＡＮへの接続が許可されるグループに所属しているか否かの認証を行う認証手順と、
前記接続要求元の来客者端末が前記来客者用ＬＡＮへの接続を許可するグループに所属していることが前記認証手順により認証された場合には、前記来客者用ＬＡＮへの接続が許可される許可グループ情報である前記接続要求内のグループ情報ごとに、当該来客者端末のＭＡＣアドレスを許可グループ情報記憶手段に登録する登録手順と、
前記来客者端末からＩＰアドレスの割当要求があった場合に、前記許可グループ情報記憶手段から、割当要求元の来客者端末のＭＡＣアドレスに対応する許可グループ情報を取得する取得手順と、
前記来客者用ＬＡＮへの接続が許可される前記来客者端末のユーザが所属している許可グループ情報ごとに、当該来客者端末に対して割当可能なＩＰアドレスの範囲を対応付けて記憶する記憶部を参照して、前記取得手順により取得された許可グループ情報に対応するＩＰアドレス範囲から、前記割当要求元の来客者端末に割り当てるＩＰアドレスを決定して割り当てる割当手順と、
前記来客者端末からパケットを受け付けた場合に、前記来客者端末に対して割当可能なＩＰアドレスの範囲に対応付けて、当該来客者端末を送信元とするパケットに関し、前記外部ネットワークへ転送可能な条件を示した転送ポリシを記憶する記憶部を参照して、当該来客者端末から受け付けられたパケットの送信元を示すＩＰアドレスが含まれるＩＰアドレスの範囲に対応付けられた転送ポリシに基づき、当該来客者端末から受け付けられたパケットを転送するか否かを制御する転送制御手順と、
をコンピュータに実行させることを特徴とする接続制御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、自社内（企業などの会社内）に設置する来客者用ＬＡＮへ接続した来客者端末による外部ネットワークへの通信を制御する接続制御システム、当該接続制御システムにより実現される接続制御方法、および当該接続制御方法に対応する接続制御プログラムに関する。
【背景技術】
【０００２】
従来より、建物などの構内に設置されたアクセスポイントからＬＡＮ（Local Area Network）に接続するユーザについて、ＬＡＮから外部ネットワークへの通信を所定のルールに基づいて制御する技術が存在する（非特許文献１参照）。
【０００３】
例えば、ＬＡＮ接続認証に成功したユーザに対してＩＰアドレスを払い出す度に、そのＩＰアドレスを送信元とするパケットの外部ネットワークへの転送を許可するか否かを規定した転送ポリシを、ＬＡＮ接続認証に成功したユーザが所属するユーザグループに応じて、パケットをフィルタリングするパケットフィルタに追加していく技術が知られている。
【０００４】
【非特許文献１】RFC 2979“Behavior of and Requirements for Internet Firewalls”,2000
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、上記した従来の技術は、ＬＡＮ接続認証に成功したユーザに対してＩＰアドレスを払い出す度に転送ポリシをパケットフィルタに追加していくので、パケットフィルタに転送ポリシとして記録されたエントリ数が膨れ上がり、パケットフィルタのフィルタリング性能が劣化するという問題点があった。
【０００６】
そこで、この発明は、上述した従来技術の課題を解決するためになされたものであり、パケットフィルタのフィルタリング性能の劣化を防止することが可能な接続制御システム、接続制御方法および接続制御プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
上述した課題を解決し、目的を達成するため、本発明は、自社内に設置する来客者用ＬＡＮへ接続した来客者端末による外部ネットワークへの通信を制御する接続制御システムであって、前記来客者用ＬＡＮへの接続が許可される前記来客者端末のユーザが所属している許可グループ情報ごとに、当該来客者端末のＭＡＣアドレスを対応付けて記憶する許可グループ情報記憶手段と、前記来客者用ＬＡＮへの接続が許可される前記来客者端末のユーザが所属している許可グループ情報ごとに、当該来客者端末に対して割当可能なＩＰアドレスの範囲を対応付けて記憶するアドレス範囲記憶手段と、前記来客者端末に対して割当可能なＩＰアドレスの範囲に対応付けて、当該来客者端末を送信元とするパケットに関し、前記外部ネットワークへ転送可能な条件を示した転送ポリシを記憶する転送ポリシ記憶手段と、前記来客者端末からＩＰアドレスの割当要求があった場合に、前記許可グループ情報記憶手段により記憶されている許可グループ情報の中から、割当要求元の来客者端末のＭＡＣアドレスに対応する許可グループ情報を取得する取得手段と、前記アドレス範囲記憶手段により記憶されている許可グループごとのＩＰアドレスの範囲のうち、前記取得手段により取得された許可グループ情報に対応するＩＰアドレスの範囲から、前記割当要求元の来客者端末に割り当てるＩＰアドレスを決定して割り当てる割当手段と、前記来客者端末からパケットを受け付けた場合に、前記転送ポリシ記憶手段により記憶されているＩＰアドレスの範囲の中から、当該来客者端末から受け付けられたパケットの送信元を示すＩＰアドレスが含まれるＩＰアドレスの範囲を検索し、検索されたＩＰアドレスの範囲に対応付けて前記転送ポリシ記憶手段により記憶されている転送ポリシに基づき、当該来客者端末から受け付けられたパケットを転送するか否かを制御する転送制御手段と、を備えたことを特徴とする。
【０００８】
また、本発明は、上記の発明において、前記転送ポリシ記憶手段は、前記来客者端末に対して割当可能なＩＰアドレスの範囲に対応付けて、当該来客者端末を送信元とするパケットに関し、前記外部ネットワークへ転送可能な宛先ＩＰアドレスおよび宛先ポート番号を前記転送ポリシとして記憶し、前記転送制御手段は、前記来客者端末からパケットを受け付けた場合に、前記転送ポリシ記憶手段により記憶されているＩＰアドレスの範囲の中から、当該来客者端末から受け付けられたパケットの送信元を示すＩＰアドレスが含まれるＩＰアドレスの範囲を検索し、検索されたＩＰアドレスの範囲に対応付けて前記転送ポリシ記憶手段により前記転送ポリシとして記憶されている宛先ＩＰアドレスおよび宛先ポート番号に基づき、当該来客者端末から受け付けられたパケットを転送するか否かを制御することを特徴とする。
【０００９】
また、本発明は、上記の発明において、前記来客者端末から前記来客者用ＬＡＮへの接続要求があった場合に、当該接続要求に含まれる許可グループ情報を用いて、接続要求元の来客者端末のユーザが来客者用ＬＡＮへの接続が許可されるグループに所属しているか否かの認証を行う認証手段と、前記接続要求元の来客者端末が前記来客者用ＬＡＮへの接続を許可するグループに所属していることが前記認証手段により認証された場合には、前記接続要求に含まれる許可グループ情報と、当該来客者端末のＭＡＣアドレスとを対応付けて前記許可グループ情報記憶手段に登録する登録手段と、をさらに備えたことを特徴とする。
【００１０】
また、本発明は、自社内に設置する来客者用ＬＡＮへ接続した来客者端末による外部ネットワークへの通信を制御する接続制御方法であって、前記来客者端末からＩＰアドレスの割当要求があった場合に、前記来客者用ＬＡＮへの接続が許可される前記来客者端末のユーザが所属している許可グループ情報ごとに、当該来客者端末のＭＡＣアドレスを対応付けて記憶する記憶部から、割当要求元の来客者端末のＭＡＣアドレスに対応する許可グループ情報を取得する取得ステップと、前記来客者用ＬＡＮへの接続が許可される前記来客者端末のユーザが所属している許可グループ情報ごとに、当該来客者端末に対して割当可能なＩＰアドレスの範囲を対応付けて記憶する記憶部を参照して、前記取得ステップにより取得された許可グループ情報に対応するＩＰアドレス範囲から、前記割当要求元の来客者端末に割り当てるＩＰアドレスを決定して割り当てる割当ステップと、前記来客者端末からパケットを受け付けた場合に、前記来客者端末に対して割当可能なＩＰアドレスの範囲に対応付けて、当該来客者端末を送信元とするパケットに関し、前記外部ネットワークへ転送可能な条件を示した転送ポリシを記憶する記憶部を参照して、当該来客者端末から受け付けられたパケットの送信元を示すＩＰアドレスが含まれているＩＰアドレスの範囲に対応した転送ポリシに基づき、当該来客者端末から受け付けられたパケットを転送するか否かを制御する転送制御ステップと、を含んだことを特徴とする。
【００１１】
また、本発明は、自社内に設置する来客者用ＬＡＮへ接続した来客者端末による外部ネットワークへの通信を制御する処理をコンピュータに実行させる接続制御プログラムであって、前記来客者端末からＩＰアドレスの割当要求があった場合に、前記来客者用ＬＡＮへの接続が許可される前記来客者端末のユーザが所属している許可グループ情報ごとに、当該来客者端末のＭＡＣアドレスを対応付けて記憶する記憶部から、割当要求元の来客者端末のＭＡＣアドレスに対応する許可グループ情報を取得する取得手順と、前記来客者用ＬＡＮへの接続が許可される前記来客者端末のユーザが所属している許可グループ情報ごとに、当該来客者端末に対して割当可能なＩＰアドレスの範囲を対応付けて記憶する記憶部を参照して、前記取得手順により取得された許可グループ情報に対応するＩＰアドレス範囲から、前記割当要求元の来客者端末に割り当てるＩＰアドレスを決定して割り当てる割当手順と、前記来客者端末からパケットを受け付けた場合に、前記来客者端末に対して割当可能なＩＰアドレスの範囲に対応付けて、当該来客者端末を送信元とするパケットに関し、前記外部ネットワークへ転送可能な条件を示した転送ポリシを記憶する記憶部を参照して、当該来客者端末から受け付けられたパケットの送信元を示すＩＰアドレスが含まれるＩＰアドレスの範囲に対応付けられた転送ポリシに基づき、当該来客者端末から受け付けられたパケットを転送するか否かを制御する転送制御手順と、をコンピュータに実行させることを特徴とする。
【発明の効果】
【００１２】
本発明によれば、来客者用ＬＡＮへ接続した来客者端末から外部ネットワークへ送信されるパケットをフィルタリングするための転送ポリシを来客者が所属するグループごとに集約することができるので、パケットフィルタのフィルタリング性能の劣化を防止することが可能である。
【発明を実施するための最良の形態】
【００１３】
以下に添付図面を参照して、この発明に係る接続制御システム、接続制御方法および接続制御プログラムの実施例を詳細に説明する。なお、以下では、本発明に係る接続制御システムを実施するための一実施形態として実施例１を説明した後に、本発明に含まれる他の実施形態として他の実施例を説明する。
【実施例１】
【００１４】
以下の実施例１では、実施例１に係る接続制御システムの概要および特徴、かかる接続制御システムの構成および処理を順に説明し、最後に実施例１による効果を説明する。
【００１５】
［接続制御システムの概要および特徴（実施例１）］
まず、図１および図２を用いて、実施例１に係る接続制御システムの概要および特徴を説明する。図１および図２は、実施例１に係る接続制御システムの概要および特徴を説明するための図である。
【００１６】
実施例１に係る接続制御システムは、自社内（企業などの会社内）に設置する来客者用ＬＡＮへ接続した来客者端末による外部ネットワークへの通信を制御することを概要とする。
【００１７】
そして、実施例１に係る接続制御システムは、来客者用ＬＡＮへ接続した来客者端末から外部ネットワークへ送信されるパケットをフィルタリングするための転送ポリシを来客者が所属するグループごとに集約することにより、パケットフィルタのフィルタリング性能の劣化を防止する点に主たる特徴がある。
【００１８】
以下、この主たる特徴について具体的に説明する。例えば、図１に示すように、Ｙ社内に設置された実施例１に係る接続制御システムは、ＭＡＣ−レルムペア情報記憶装置と、ＲＡＤＩＵＳサーバと、ＤＨＣＰサーバと、パケットフィルタ装置とを有する。
【００１９】
ＲＡＤＩＵＳサーバは、Ｙ社を訪れたＡ社の来客者が携帯する来客者端末から、Ｙ社が来客者用に設置しているＬＡＮなどのＹ社企業ＩＰ網に対する接続要求を受け付けると、接続要求に含まれる証明書を用いて、接続要求元である来客者端末のユーザが、来客者用ＬＡＮへの接続が許可されるグループに所属しているか否かの認証を行う。
【００２０】
認証に成功すると、ＲＡＤＩＵＳサーバは、例えば、図２に示すように、接続要求元である来客者端末のＭＡＣアドレス（例えば、「Ａ」）と、接続要求に含まれていた証明書内のレルム（例えば、「ａ」）とを対応付けて、ＭＡＣ−レルムペア情報記憶装置に「ＭＡＣ−レルム  ペア情報」として登録した後、認証に成功した旨の認証結果通知を来客者端末に送信する。
【００２１】
ここで、レルムとは、来客者用ＬＡＮへの接続が許可される来客者が所属するグループ（企業等）を特定する情報であり、Ｙ社から各グループに対して予め配布されるか、あるいは各グループからＹ社に対して予め通知する。
【００２２】
ＲＡＤＩＵＳサーバから認証結果通知を受信すると、来客者端末は、ＩＰアドレス割当要求を接続制御システムに送信する。
【００２３】
ＤＨＣＰサーバは、来客者端末からＩＰアドレスの割当要求を受信すると、例えば、図２に示すように、ＭＡＣ−レルムペア情報記憶装置に記憶されている「ＭＡＣ−レルム  ペア情報」の中から、割当要求元の来客者端末のＭＡＣアドレス（例えば、「Ａ」）に対応するレルム（例えば、「ａ」）を取得する。
【００２４】
そして、ＤＨＣＰサーバは、例えば、図２に示すように、「レルム−割当ＩＰアドレスレンジ  ペア情報」として自らが予め記憶するレルムごとの割当ＩＰアドレスレンジのうち、先に取得したレルム（例えば、「ａ」）に対応するＩＰアドレスの範囲（例えば、「ＡＤＲ１」）から、ＩＰアドレスの割当要求元の来客者端末に割り当てるＩＰアドレスを決定して通知する。
【００２５】
ＤＨＣＰサーバからＩＰアドレスの通知を受信すると、来客者端末は、このＩＰアドレスを送信元アドレスとするパケットを接続制御システムに送信する。
【００２６】
パケットフィルタ装置は、来客者端末からパケットを受信すると、例えば、図２に示すように、「発信元ＩＰアドレスレンジ−転送ポリシ  ペア情報」として自らが予め記憶するＩＰアドレスの範囲の中から、来客者端末から受信したパケットの送信元を示すＩＰアドレスが含まれるＩＰアドレスの範囲（例えば、「ＡＤＲ１」）を検索し、検索されたＩＰアドレスの範囲に対応付けて記憶されている転送ポリシに基づき、来客者端末から受信したパケットを転送するか否かを制御する。
【００２７】
このようなことから、実施例１に係る接続制御システムは、上述した主たる特徴のように、来客者用ＬＡＮへ接続した来客者端末から外部ネットワークへ送信されるパケットをフィルタリングするための転送ポリシを来客者が所属するグループごとに集約して、パケットフィルタのフィルタリング性能の劣化を防止することができる。
【００２８】
［接続制御システムの構成（実施例１）］
次に、図３〜図６を用いて、実施例１に係る接続制御システムの構成を説明する。図３は、実施例１に係る接続制御システムの構成を示すブロック図である。図４は、「ＭＡＣ−レルム  ペア情報」の構成例を示す図である。図５は、「レルム−割当ＩＰアドレスレンジ  ペア情報」の構成例を示す図である。図６は、「発信元ＩＰアドレスレンジ−転送ポリシ  ペア情報」の構成例を示す図である。
【００２９】
図３に示すように、実施例１に係る接続制御システム２００は、ＭＡＣ−レルムペア情報記憶装置２１０と、ＲＡＤＩＵＳサーバ２２０と、ＤＨＣＰサーバ２３０と、パケットフィルタ装置２４０とを有する。
【００３０】
そして、実施例１に係る接続制御システム２００は、来客者用ＬＡＮ１を介して、来客者端末１００との通信が可能であるとともに、外部ＩＰ網２を介して、Ａ社企業ＩＰ網３およびＢ者企業ＩＰ網４との通信が可能である。
【００３１】
ＭＡＣ−レルムペア情報記憶装置２１０は、後述するＲＡＤＩＵＳサーバ２２０からの登録を受け付けて、例えば、図４に示すように、来客者用ＬＡＮ１への接続が許可される来客者端末１００のユーザが所属しているグループを特定する情報であるレルム（例えば、「a.com」）ごとに、来客者端末１００に用いられるＭＡＣアドレス（Media Access Control address、例えば、「12:34:56:AB:CD:EF」）を対応付けて、「ＭＡＣ−レルム  ペア情報」として記憶する。
【００３２】
また、レルムは、例えば、来客者用ＬＡＮ１への接続が許可される来客者が所属するグループ（企業等）に対して予め配布されるか、あるいは各グループからＹ社に対して予め通知する。
【００３３】
なお、各グループのユーザにより使用される端末から、来客者用ＬＡＮ１の接続認証時に提示される証明書（例えば、ｘ．５０９証明書）を検証するために、レルムを含んだ各グループごとのルート証明書が設置企業（例えば、Ｙ社）のＲＡＤＩＵＳサーバ２２０に設定される。
【００３４】
なお、ＭＡＣ−レルムペア情報記憶装置２１０は、特許請求の範囲に記載の「許可グループ情報記憶手段」に対応する。
【００３５】
ＲＡＤＩＵＳ（Remote Authentication Dial-In User Service）サーバ２２０は、例えば、ＩＥＥＥ.８０２.１Ｘに基づくＥＡＰ−ＴＬＳ（Extensible Authentication Protocol‐Transport Layer Security）の認証方式を用いて、来客者用ＬＡＮ１への接続を要求する来客者端末１００のユーザについて、無線アクセスポイントを介した接続認証を行う。
【００３６】
具体的に説明すると、ＲＡＤＩＵＳサーバ２２０は、来客者端末１００から来客者用ＬＡＮ１への接続要求を受け付けると、来客者端末１００から接続要求とともに受け付けられた証明書（例えば、ｘ．５０９証明書）に基づいて、接続要求元である来客者端末１００のユーザが、来客者用ＬＡＮへの接続が許可されるグループに所属しているか否かの認証を行う。
【００３７】
認証に成功すると、ＲＡＤＩＵＳサーバ２２０は、接続要求元である来客者端末１００のＭＡＣアドレス（例えば、「12:34:56:AB:CD:EF」）と、接続要求に含まれていた証明書内のレルム（例えば、「a.com」）とを対応付けて、ＭＡＣ−レルムペア情報記憶装置２１０に「ＭＡＣ−レルム  ペア情報」として登録する。
【００３８】
そして、ＲＡＤＩＵＳサーバ２２０は、認証に成功した旨の認証結果通知を来客者端末１００に送信する。
【００３９】
なお、ＲＡＤＩＵＳサーバ２２０は、特許請求の範囲に記載の「認証手段」および「登録手段」にそれぞれ対応する。
【００４０】
ＤＨＣＰサーバ（Dynamic Host Configuration Protocol）２３０は、ＩＰアドレスの割当を要求する来客者端末１００に対してＩＰアドレスを割り当てる。
【００４１】
具体的に説明すると、ＤＨＣＰサーバ２３０は、例えば、図５に示すように、来客者用ＬＡＮ１への接続が許可される来客者端末１００のユーザが所属しているグループを特定するレルム（例えば、「a.com」）ごとに、来客者端末１００に対して割当可能なＩＰアドレスの範囲（例えば、「192.168.1/24」）を対応付けて、「レルム−割当ＩＰアドレスレンジ  ペア情報」として予め記憶する。
【００４２】
そして、ＤＨＣＰサーバ２３０は、来客者端末１００からＩＰアドレスの割当要求を受信すると、ＭＡＣ−レルムペア情報記憶装置２１０に記憶されている「ＭＡＣ−レルム  ペア情報」の中から、割当要求元の来客者端末１００のＭＡＣアドレス（例えば、「12:34:56:AB:CD:EF」）に対応するレルム（例えば、「a.com」）を取得する。
【００４３】
レルムを取得した後、ＤＨＣＰサーバ２３０は、「レルム−割当ＩＰアドレスレンジ  ペア情報」として自らが予め記憶するレルムごとの割当ＩＰアドレスレンジのうち、先に取得したレルム（例えば、「a.com」）に対応するＩＰアドレスレンジ（例えば、「192.168.1/24」）から、ＩＰアドレスの割当要求元の来客者端末１００に割り当てるＩＰアドレスを決定して通知する。
【００４４】
なお、ＤＨＣＰサーバ２３０は、特許請求の範囲に記載の「アドレス範囲記憶手段」、「取得手段」および「割当手段」にそれぞれ対応する。
【００４５】
パケットフィルタ装置２４０は、来客者端末１００から外部ＩＰ網２へ送信されるパケットをフィルタリングする。
【００４６】
具体的に説明すると、パケットフィルタ装置２４０は、例えば、図６に示すように、発信元ＩＰアドレスレンジ（例えば、「192.168.1/24」）に対応付けて、来客者端末１００を送信元とするパケットに関し、外部ＩＰ網２へ転送可能な条件として、宛先ＩＰアドレスおよび宛先ポート番号を転送ポリシとして記憶する。
【００４７】
そして、パケットフィルタ装置２４０は、来客者端末１００からパケットを受信すると、「発信元ＩＰアドレスレンジ−転送ポリシ  ペア情報」として自らが予め記憶する発信元ＩＰアドレスレンジの中から、来客者端末１００から受信したパケットの送信元を示すＩＰアドレスが含まれる発信元ＩＰアドレスレンジ（例えば、「192.168.1/24」）を検索する。
【００４８】
発信元ＩＰアドレスレンジの検索が完了すると、パケットフィルタ装置２４０は、検索された発信元ＩＰアドレスレンジに対応付けて、「発信元ＩＰアドレスレンジ−転送ポリシ  ペア情報」として記憶されている転送ポリシ（宛先ＩＰアドレスおよび宛先ポート番号）に基づき、来客者端末１００から受信したパケットが、この転送ポリシに合致する場合には外部ＩＰ網２へ転送する。
【００４９】
例えば、パケットフィルタ装置２４０は、来客者端末１００から受信したパケットの宛先ＩＰアドレスおよび宛先ポート番号が、転送ポリシとして記憶されている「vpn-gw.a.com（Ａ社のＶＰＮゲートウェイのホスト名）へのＩＰｓｅｃ／ＩＫＥ通信（ＵＤＰポート５００番、４５００番）のみ許可」と合致する場合には、来客者端末１００から受信したパケットを外部ＩＰ網２へ転送する。
【００５０】
なお、パケットフィルタ装置２４０は、特許請求の範囲に記載の「転送ポリシ記憶手段」および「転送制御手段」にそれぞれ対応する。
【００５１】
また、来客者端末１００は、例えば、パーソナルコンピュータなどの情報処理装置であり、ＭＡＣ−レルムペア情報記憶装置２１０、ＲＡＤＩＵＳサーバ２２０、およびＤＨＣＰサーバ２３０は、既知のパーソナルコンピュータ、ワークステーションなどの情報処理装置に、上記した各機能を搭載することによって実現することもできる。なお、パケットフィルタ装置２４０は、接続制御システム２００内に設置されるゲートウェイなどに適用することができる。
【００５２】
［接続制御システムの処理（実施例１）］
続いて、図７を用いて、実施例１に係る接続制御システムによる処理を説明する。図７は、実施例１に係る接続制御システムによる処理の流れを示す図である。
【００５３】
同図に示すように、ＲＡＤＩＵＳサーバ２２０は、来客者端末１００から来客者用ＬＡＮ１への接続要求を受け付けると、来客者端末１００から接続要求とともに受け付けられた証明書（例えば、ｘ．５０９証明書）に基づいて、接続要求元である来客者端末１００のユーザが、来客者用ＬＡＮへの接続が許可されるグループに所属しているか否かのＬ２（Layer2）接続認証を行う（ステップＳ７０１）。
【００５４】
認証に成功すると（ステップＳ７０２）、ＲＡＤＩＵＳサーバ２２０は、接続要求元である来客者端末１００のＭＡＣアドレス（例えば、「12:34:56:AB:CD:EF」）と、接続要求に含まれていた証明書内のレルム（例えば、「a.com」）とを対応付けて、ＭＡＣ−レルムペア情報記憶装置２１０に「ＭＡＣ−レルム  ペア情報」として登録する（ステップＳ７０３）。
【００５５】
そして、ＲＡＤＩＵＳサーバ２２０は、認証に成功した旨の認証結果通知を来客者端末１００に送信する（ＳステップＳ７０４）。
【００５６】
来客者端末１００からＩＰアドレスの割当要求が送信され（ステップＳ７０５）、ＤＨＣＰサーバ２３０は、このＩＰアドレスの割当要求を受信すると、ＭＡＣ−レルムペア情報記憶装置２１０に記憶されている「ＭＡＣ−レルム  ペア情報」の中から、割当要求元の来客者端末１００のＭＡＣアドレス（例えば、「12:34:56:AB:CD:EF」）に対応するレルム（例えば、「a.com」）を取得する（ステップＳ７０６）。
【００５７】
レルムを取得した後、ＤＨＣＰサーバ２３０は、「レルム−割当ＩＰアドレスレンジ  ペア情報」として自らが予め記憶するレルムごとの割当ＩＰアドレスレンジのうち、先に取得したレルム（例えば、「a.com」）に対応するＩＰアドレスレンジ（例えば、「192.168.1/24」）から、ＩＰアドレスの割当要求元の来客者端末１００に割り当てるＩＰアドレスを決定して（ステップＳ７０７）、来客者端末１００に通知する（ステップＳ７０８）。
【００５８】
ＤＨＣＰサーバからＩＰアドレスの通知を受信すると、来客者端末は、このＩＰアドレスを送信元アドレスとするパケットを送信する（ステップＳ７０９）。
【００５９】
パケットフィルタ装置２４０は、来客者端末１００からパケットを受信すると、「発信元ＩＰアドレスレンジ−転送ポリシ  ペア情報」として自らが予め記憶する発信元ＩＰアドレスレンジの中から、来客者端末１００から受信したパケットの送信元を示すＩＰアドレスが含まれる発信元ＩＰアドレスレンジ（例えば、「192.168.1/24」）を検索し、検索された発信元ＩＰアドレスレンジに対応付けて記憶されている転送ポリシ（宛先ＩＰアドレスおよび宛先ポート番号）に基づき、来客者端末１００から受信したパケットが、この転送ポリシに合致する場合には外部ＩＰ網２へ転送する（ステップＳ７１０）。
【００６０】
［実施例１による効果］
上述してきたように、実施例１によれば、来客者用ＬＡＮ１へ接続した来客者端末１００から外部ＩＰ網２へ送信されるパケットをフィルタリングするための転送ポリシを来客者が所属するグループごとに集約することができるので、パケットフィルタのフィルタリング性能の劣化を防止することが可能である。
【００６１】
すなわち、来客者用ＬＡＮ１への接続が許可される来客者端末１００のユーザが所属しているグループを特定するレルムと、来客者端末１００へ割り当てるＩＰアドレスレンジと、転送ポリシとをリンクさせることにより、来客者用ＬＡＮ１へ接続した来客者端末１００から外部ＩＰ網２へ送信されるパケットの転送ポリシが来客者の所属するグループごとに集約される。
【００６２】
したがって、従来のように、ＬＡＮ接続認証に成功したユーザに対してＩＰアドレスを払い出す度に転送ポリシをパケットフィルタに追加していく必要が無く、パケットフィルタのフィルタリング性能の劣化を防止することができる。
【実施例２】
【００６３】
さて、これまで本発明の実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下では、本発明に含まれる他の実施形態について説明する。
【００６４】
（１）「ＭＡＣ−レルム  ペア情報」を予め管理
上記の実施例では、ＲＡＤＩＵＳサーバ２２０による接続認証に成功した来客者端末１００のＭＡＣアドレスおよびレルムを対応付けて、ＭＡＣ−レルムペア情報記憶装置２１０に登録する場合を説明した。
【００６５】
しかしながら、本発明はこれに限定されるものではなく、例えば、来客者用ＬＡＮ１への接続が頻繁に行われることが予想される来客者端末１００のＭＡＣアドレスとレルムとを予め管理しておき、来客者端末１００から接続要求があった場合に、ＭＡＣアドレスとレルムの組合せが正しい場合には、来客者用ＬＡＮ１への接続を認めるようにしてもよい。
【００６６】
このようにすることで、来客者用ＬＡＮ１への接続が頻繁に行われることが予想される来客者端末１００については、接続要求があるごとに、ＲＡＤＩＵＳサーバ２２０による接続認証を行う必要が無くなり、ＩＰアドレスを割当等を簡易に実行することができる。
【００６７】
（２）システム構成等
また、図３に示した接続制御システム２００の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、接続制御システム２００の分散・統合の具体的形態は図示のものに限られず、ＭＡＣ−レルムペア情報記憶装置２１０とＤＨＣＰサーバ２３０とを統合するなど、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。上記した接続制御システム２００が有する各装置にて行なわれる各処理機能を一装置内に統合してもよい。
【００６８】
また、上記した接続制御システム２００が有する各装置にて行なわれる各処理機能（例えば、図７参照）は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【００６９】
（３）接続制御プログラム
また、上記の実施例１で説明した接続制御システム２００が有する装置の各種の処理（例えば、図〜等参照）は、この各処理機能を統合して有する接続制御装置（パーソナルコンピュータやワークステーションなどのコンピュータシステム）で、あらかじめ用意されたプログラムを実行することによって実現することができる。そこで、以下では、図８を用いて、上記の実施例１と同様の機能を有する接続制御プログラムを実行するコンピュータの一例を説明する。図８は、接続制御プログラムを実行するコンピュータを示す図である。
【００７０】
同図に示すように、接続制御装置としてコンピュータ２００は、通信制御部３１０、ＨＤＤ３２０、ＲＡＭ３３０およびＣＰＵ３４０をバス４００で接続して構成される。
【００７１】
ここで、通信制御部３１０は、来客者用ＬＡＮ１や外部ＩＰ網２を介してやり取りされる各種情報に関する通信を制御する。ＨＤＤ３２０は、ＣＰＵ３４０による各種処理の実行に必要な情報を記憶する。ＲＡＭ３３０は、各種情報を一時的に記憶する。ＣＰＵ３４０は、各種演算処理を実行する。
【００７２】
そして、ＨＤＤ３２０には、図８に示すように、上記の実施例１に示した接続制御システムの各装置と同様の機能を発揮する接続制御プログラム３２１と、接続制御処理用データ３２２とがあらかじめ記憶されている。なお、この接続制御プログラム３２１を適宜分散させて、ネットワークを介して通信可能に接続された他のコンピュータの記憶部に記憶させておくこともできる。
【００７３】
そして、ＣＰＵ３４０が、この接続制御プログラム３２１をＨＤＤ３２０から読み出してＲＡＭ３３０に展開することにより、図８に示すように、接続制御プログラム３２１は接続制御処理プロセス３３１として機能するようになる。そして、接続制御処理プロセス３３１は、接続制御処理用データ３２２等をＨＤＤ３２０から読み出して、ＲＡＭ３３０において自身に割り当てられた領域に展開し、この展開したデータ等に基づいて各種処理を実行する。なお、接続制御処理プロセス３３１は、図３に示した接続制御システムが有する各装置（ＭＡＣ−レルムペア情報記憶装置２１０、ＲＡＤＩＵＳサーバ２２０、ＤＨＣＰサーバ２３０、およびパケットフィルタ装置２４０）において実行される処理にそれぞれ対応する。
【００７４】
なお、上記した接続制御プログラム３２１については、必ずしも最初からＨＤＤ３２０に記憶させておく必要はなく、例えば、コンピュータ３００に挿入されるフレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＤＶＤディスク、光磁気ディスク、ＩＣカードなどの「可搬用の物理媒体」、さらには、公衆回線、インターネット、ＬＡＮ、ＷＡＮなどを介してコンピュータ３００に接続される「他のコンピュータ（またはサーバ）」などに各プログラムを記憶させておき、コンピュータ３００がこれらから各プログラムを読み出して実行するようにしてもよい。
【００７５】
（３）接続制御方法
上記の実施例１で説明した接続制御システムにより、以下のような接続制御方法が実現される。
【００７６】
すなわち、自社内に設置する来客者用ＬＡＮへ接続した来客者端末による外部ネットワークへの通信を制御する接続制御方法であって、来客者端末からＩＰアドレスの割当要求があった場合に、来客者用ＬＡＮへの接続が許可される来客者端末のユーザが所属している許可グループ情報（レルム）ごとに、当該来客者端末のＭＡＣアドレスを対応付けて記憶する記憶部（図４参照）から、割当要求元の来客者端末のＭＡＣアドレスに対応する許可グループ情報（レルム）を取得する取得ステップと（図７のステップＳ７０６参照）、来客者用ＬＡＮへの接続が許可される来客者端末のユーザが所属している許可グループ情報（レルム）ごとに、当該来客者端末に対して割当可能なＩＰアドレスの範囲（割当ＩＰアドレスレンジ）を対応付けて記憶する記憶部（図５参照）を参照して、前記取得ステップにより取得された許可グループ情報（レルム）に対応するＩＰアドレス範囲から、割当要求元の来客者端末に割り当てるＩＰアドレスを決定して割り当てる割当ステップと（図７のステップＳ７０７参照）、来客者端末からパケットを受け付けた場合に、来客者端末に対して割当可能なＩＰアドレスの範囲に対応付けて、当該来客者端末を送信元とするパケットに関し、外部ネットワークへ転送可能な条件を示した転送ポリシを記憶する記憶部（図６参照）を参照して、当該来客者端末から受け付けられたパケットの送信元を示すＩＰアドレスが含まれるＩＰアドレスの範囲に対応付けられた転送ポリシに基づき、当該来客者端末から受け付けられたパケットを転送するか否かを制御する転送制御ステップと（図７のステップＳ７１０参照）、を含んだ接続制御方法が実現される。
【産業上の利用可能性】
【００７７】
以上のように、本発明に係る接続制御システム、接続制御方法および接続制御プログラムは、自社内（企業などの会社内）に設置する来客者用ＬＡＮへ接続した来客者端末による外部ネットワークへの通信を制御する場合に有用であり、特に、パケットフィルタのフィルタリング性能の劣化を防止することに適する。
【図面の簡単な説明】
【００７８】
【図１】実施例１に係る接続制御システムの概要および特徴を説明するための図である。
【図２】実施例１に係る接続制御システムの概要および特徴を説明するための図である。
【図３】実施例１に係る接続制御システムの構成を示すブロック図である。
【図４】「ＭＡＣ−レルム  ペア情報」の構成例を示す図である。
【図５】「レルム−割当ＩＰアドレスレンジ  ペア情報」の構成例を示す図である。
【図６】「発信元ＩＰアドレスレンジ−転送ポリシ  ペア情報」の構成例を示す図である。
【図７】実施例１に係る接続制御システムによる処理の流れを示す図である。
【図８】接続制御プログラムを実行するコンピュータを示す図である。
【符号の説明】
【００７９】
１  来客者用ＬＡＮ
２  外部ＩＰ網
３  Ａ社ＩＰ網
４  Ｂ社ＩＰ網
１００  来客者端末
２００  接続制御システム
２１０  ＭＡＣ−レルムペア情報記憶装置２１０
２２０  ＲＡＤＩＵＳサーバ
２３０  ＤＨＣＰサーバ
２４０  パケットフィルタ装置
３００  コンピュータ（接続制御装置）
３１０  通信制御部
３２０  ＨＤＤ（Hard Disk Drive）
３２１  接続制御プログラム
３２２  接続制御処理用データ
３３０  ＲＡＭ（Random Access Memory）
３３１  接続制御処理プロセス
３４０  ＣＰＵ（Central Processing Unit）
４００  バス
【図１】
0004833249.tif 000002
【図２】
0004833249.tif 000003
【図３】
0004833249.tif 000004
【図４】
0004833249.tif 000005
【図５】
0004833249.tif 000006
【図６】
0004833249.tif 000007
【図７】
0004833249.tif 000008
【図８】
0004833249.tif 000009