(57)【要約】【課題】  セッションの制御に係る通信プロトコルに準拠した一連の手順の途中で、セッション制御信号の転送経路を変更した場合でも、通信端末に送信されるセッション制御信号を中継することができるファイアウォール装置およびファイアウォール用プログラムを提供することを目的とする。【解決手段】  発信端末向けに送信された信号と情報との通過を制限する通過制限手段と、発信端末と所定のセッション制御サーバとの間で送受されるセッション制御信号を中継する中継手段と、中継手段が所定のセッション制御サーバから確立応答信号を受信したときに、確立要求信号が経由したセッション制御サーバを示すルート情報を、確立応答信号から抽出する情報抽出手段とを有し、通過制限手段は、ルート情報が示すセッション制御サーバから発信端末に送信されるセッション制御信号の通過を許可する手段である。【選択図】  図１
2005301573.tif 000002
【特許請求の範囲】
【請求項１】
セッションを確立させる確立要求信号を送信する発信端末と、上記確立要求信号に応答する確立応答信号を送信する着信端末と、上記確立要求信号または上記確立応答信号を含み、上記セッションの制御に関わるセッション制御信号を中継するセッション制御サーバとの間で、通信可能に接続されるファイアウォール装置において、
上記発信端末向けに送信された信号と情報との通過を制限する通過制限手段と；
上記発信端末と所定のセッション制御サーバとの間で送受される上記セッション制御信号を中継する中継手段と；
上記中継手段が上記所定のセッション制御サーバから、上記確立応答信号を受信したときに、上記確立要求信号が経由したセッション制御サーバを示すルート情報を、上記確立応答信号から抽出する情報抽出手段と；
を有し、上記通過制限手段は、上記ルート情報が示すセッション制御サーバから上記発信端末に送信される上記セッション制御信号の通過を許可する手段であることを特徴とするファイアウォール装置。
【請求項２】
請求項１において、
上記情報抽出手段は、上記ルート情報が示すセッション制御サーバが存在しないときに、上記着信端末を示す着信端末情報を、上記確立応答信号から抽出する手段であり、
上記通過制限手段は、上記着信端末情報が示す着信端末から上記発信端末に送信される上記セッション制御信号の通過を許可する手段であることを特徴とするファイアウォール装置。
【請求項３】
請求項１または請求項２において、
上記セッションを終了させる信号を受信したときに、上記通過制限手段は、一時的に許可していた上記セッション制御信号であって、上記発信端末に送信される上記セッション制御信号の通過を許可しない手段であることを特徴とするファイアウォール装置。
【請求項４】
着信端末との間のセッションを確立させる確立要求信号を送信する発信端末と、上記確立要求信号に応答する確立応答信号を送信する着信端末と、上記確立要求信号または上記確立応答信号を含み、上記セッションの制御に関わるセッション制御信号を中継するセッション制御サーバとの間で、通信可能に接続されるファイアウォール装置において、
上記着信端末向けに送信された信号と情報との通過を制限する通過制限手段と；
上記着信端末と所定のセッション制御サーバとの間で送受される上記セッション制御信号を中継する中継手段と；
上記中継手段が上記所定のセッション制御サーバから上記確立要求信号を受信したときに、上記確立要求信号が経由したセッション制御サーバを示すルート情報を、上記確立要求信号から抽出する情報抽出手段と；
を有し、上記通過制限手段は、上記ルート情報が示すセッション制御サーバから上記着信端末に送信される上記セッション制御信号の通過を許可する手段であることを特徴とするファイアウォール装置。
【請求項５】
請求項４において、
上記情報抽出手段は、上記ルート情報が示すセッション制御サーバが存在しないときに、上記発信端末を示す発信端末情報を、上記確立要求信号から抽出する手段であり、
上記通過制限手段は、上記発信端末情報が示す発信端末から上記着信端末に送信される上記セッション制御信号の通過を許可する手段であることを特徴とするファイアウォール装置。
【請求項６】
請求項４または請求項５において、
上記セッションを終了させる信号を受信したときに、上記通過制限手段は、一時的に許可していた上記セッション制御信号であって、上記着信端末に送信される上記セッション制御信号の通過を許可しない手段であることを特徴とするファイアウォール装置。
【請求項７】
セッションを確立させる確立要求信号を送信する発信端末と、上記確立要求信号に応答する確立応答信号を送信する着信端末と、上記確立要求信号または上記確立応答信号を含み、上記セッションの制御に関わるセッション制御信号を中継するセッション制御サーバとの間で、通信可能に接続されるファイアウォール装置に実行させるプログラムであって、
上記発信端末と所定のセッション制御サーバとの間で送受される上記セッション制御信号を中継するステップと；
上記所定のセッション制御サーバから上記確立応答信号を受信したときに、上記確立要求信号が経由したセッション制御サーバを示すルート情報を、上記確立応答信号から抽出し、メモリに格納する情報抽出ステップと；
上記ルート情報が示すセッション制御サーバから上記発信端末に送信される上記セッション制御信号の通過を許可するステップと；
を上記ファイアウォール装置に実行させるファイアウォール用プログラム。
【請求項８】
請求項７において、
上記情報抽出ステップは、上記ルート情報が示すセッション制御サーバが存在しないときに、上記着信端末を示す着信端末情報を、上記確立応答信号から抽出するステップであり、
上記着信端末情報が示す着信端末から上記発信端末に送信される上記セッション制御信号の通過を許可するステップを、上記ファイアウォール装置に実行させるファイアウォール用プログラム。
【請求項９】
請求項７または請求項８において、
上記セッションを終了させる信号を受信したときに、一時的に許可していた上記セッション制御信号であって、上記発信端末に送信される上記セッション制御信号の通過を許可しないステップを、上記ファイアウォール装置に実行させるファイアウォール用プログラム。
【請求項１０】
着信端末との間のセッションを確立させる確立要求信号を送信する発信端末と、上記確立要求信号に応答する確立応答信号を送信する着信端末と、上記確立要求信号または上記確立応答信号を含み、上記セッションの制御に関わるセッション制御信号を中継するセッション制御サーバとの間で、通信可能に接続されるファイアウォール装置に実行させるプログラムであって、
上記着信端末と所定のセッション制御サーバとの間で送受される上記セッション制御信号を中継するステップと；
上記所定のセッション制御サーバから上記確立要求信号を受信したときに、上記確立要求信号が経由したセッション制御サーバを示すルート情報を上記確立要求信号から抽出する情報抽出ステップと；
上記ルート情報が示すセッション制御サーバから上記着信端末に送信される上記セッション制御信号の通過を許可するステップと；
を上記ファイアウォール装置に実行させるファイアウォール用プログラム。
【請求項１１】
請求項１０において、
上記情報抽出ステップは、上記ルート情報が示すセッション制御サーバが存在しないときに、上記発信端末を示す発信端末情報を、上記確立要求信号から抽出するステップであり、
上記発信端末情報が示す発信端末から上記着信端末に送信される上記セッション制御信号の通過を許可するステップを、上記ファイアウォール装置に実行させるファイアウォール用プログラム。
【請求項１２】
請求項１０または請求項１１において、
上記セッションを終了させる信号を受信したときに、一時的に許可していた上記セッション制御信号であって、上記着信端末に送信される上記セッション制御信号の通過を許可しないステップを、上記ファイアウォール装置に実行させるファイアウォール用プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ローカルエリアネットワーク、特定の端末向けに送信された信号と情報との通過を制限するファイアウォール装置およびファイアウォール用プログラムに関する。
【背景技術】
【０００２】
近年、ＳＩＰ（Session Initiation Protocol）に準拠して、セッションの制御に関わるＳＩＰメッセージを中継するＳＩＰサーバを介して、通信端末と通信端末との間のセッションを確立させる通信形態が普及している。
【０００３】
このような通信形態における従来の通信システムにおいて、通信端末は、通信端末の安全性を高めるために、ファイアウォール装置（以下、「ＦＷ」という）を介して、通信している。ＦＷは、通信端末向けに送信されるパケットであって、ウィルス等が含まれるパケットを防御するために、通信端末に送信されるパケットのうちで、特定のパケットだけを通過し、通信端末に中継する（たとえば、特許文献１参照。）。
【０００４】
なお、上記「パケット」は、ＩＰアドレスが規定されているＩＰ（Internet Protocol）とポート番号とが規定されているＴＣＰ（Transmission Control Protocol）、またはＵＤＰ（User datagram protocol）に準拠したパケットとをいう。また、上記「特定のパケット」は、ＦＷが通過対象とするＩＰアドレスと、ＩＰアドレスに対応するポート番号とを含むパケット等である。
【０００５】
また、特許文献１に記載されている従来のＦＷは、所定のＳＩＰサーバから通信端末に送信されるＳＩＰメッセージを含むパケット（以下、「ＳＩＰ信号」という。）を、予め通過対象とし、セッションの確立途中に決定されたＩＰアドレスと、ＩＰアドレスに対応するポート番号とを含むパケットを通過対象としている。
【０００６】
次に、従来の通信システムについて詳細に説明する。
【０００７】
図８は、従来の通信システムＣＳ１１を示す図である。
【０００８】
図８（１）は、ＳＩＰに準拠して、発信端末８１が、ＦＷ８２、ＳＩＰサーバ８３、ＳＩＰサーバ８４を介して、セッションを確立させるシーケンス図である。
【０００９】
ＦＷ８２は、ＳＩＰサーバ８３から発信端末８１に送信されるＳＩＰ信号を、予め通過対象としている。
【００１０】
セッションを確立させるＩＮＶＩＴＥメソッドを含むＳＩＰメッセージ（以下、「ＩＮＶＩＴＥ」という。）は、発信端末８１から着信端末８５まで、ＦＷ８２、ＳＩＰサーバ８３、ＳＩＰサーバ８４を介して、中継される。
【００１１】
ＩＮＶＩＴＥに対する最終の応答メッセージが、着信端末８５から発信端末８１まで、ＳＩＰサーバ８３とＳＩＰサーバ８４とを介して中継された後に、発信端末８１と着信端末８５との間のセッションを確立する。
【００１２】
ＦＷ８２は、ＩＮＶＩＴＥに対する最終の応答メッセージを受信したときに、着信端末８５から送信されるパケット（すなわち、着信端末８５のＩＰアドレスと、発信端末８１のＩＰアドレスに対応する所定のポート番号とを含むメディア用パケット）を、通過対象としている。なお、ＡＣＫメソッドを含むＳＩＰメッセージ、ＩＮＶＩＴＥに対する暫定の応答メッセージに係る手順は、省略している。
【特許文献１】特開２００３−２２９８９３号公報（第６頁、図１および図２）
【発明の開示】
【発明が解決しようとする課題】
【００１３】
ところで、ＳＩＰサーバには、ステートフル型とステートレス型との２種類がある。ＳＩＰサーバが、ステートレス型であるとすれば、ＳＩＰ信号は、必ずしも所定のＳＩＰサーバを経由する必要がない。
【００１４】
たとえば、図８（２）に示すように、ＳＩＰサーバ８３が、ステートレス型であるとすれば、セッションが確立した後に、ＢＹＥメソッドを含むＳＩＰメッセージ（以下、「ＢＹＥ」という。）が、ＦＷ８２を介して、ＳＩＰサーバ８４から発信端末８１に送信される。ＦＷ８２は、ＳＩＰサーバ８３から発信端末８１に送信されるＳＩＰ信号を、通過対象としているので、ＢＹＥ（切断）を廃棄する。
【００１５】
すなわち、ＦＷは、所定のＳＩＰサーバから通信端末に送信されるＳＩＰ信号を予め通過対象としているが、ＳＩＰに準拠した一連の手順の途中で、ＳＩＰ信号の転送経路を変更した場合、ＦＷは、通信端末に送信されるＳＩＰ信号を廃棄するという問題がある。
【００１６】
本発明は、セッションの制御に係る通信プロトコルに準拠した一連の手順の途中で、セッション制御信号の転送経路を変更した場合でも、通信端末に送信されるセッション制御信号を中継することができるファイアウォール装置およびファイアウォール用プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１７】
本発明は、セッションを確立させる確立要求信号を送信する発信端末と、上記確立要求信号に応答する確立応答信号を送信する着信端末と、上記確立要求信号または上記確立応答信号を含み、上記セッションの制御に関わるセッション制御信号を中継するセッション制御サーバとの間で、通信可能に接続されているファイアウォール装置において、上記発信端末向けに送信された信号と情報との通過を制限する通過制限手段と、上記発信端末と所定のセッション制御サーバとの間で送受される上記セッション制御信号を中継する中継手段と、上記中継手段が上記所定のセッション制御サーバから上記確立応答信号を受信したときに、上記確立要求信号が経由したセッション制御サーバを示すルート情報を、上記確立応答信号から抽出する情報抽出手段とを有し、上記通過制限手段は、上記ルート情報が示すセッション制御サーバから上記発信端末に送信される上記セッション制御信号の通過を許可する手段である。
【発明の効果】
【００１８】
本発明は、セッションの制御に係る通信プロトコルに準拠した一連の手順の途中で、セッション制御信号の転送経路を変更しても、通信端末に送信されるセッション制御信号を中継することができるという効果を奏する。
【発明を実施するための最良の形態】
【００１９】
発明を実施するための最良の形態は、以下の実施例である。
【実施例１】
【００２０】
図１は、本発明の実施例１である通信システムＣＳ１を示すブロック構成図である。
【００２１】
通信システムＣＳ１は、発信端末１０と、着信端末２０と、ＳＩＰサーバ１１と、ＳＩＰサーバ２１と、ＦＷ１００と、ＦＷ２００とを有する。
【００２２】
発信端末１０は、セッションを確立させる確立要求信号を送信する端末である。着信端末２０は、確立要求信号に応答する確立応答信号を送信する端末である。ＳＩＰサーバ１１とＳＩＰサーバ２１とは、ステートレス型であり、確立要求信号または確立応答信号を含み、セッションの制御に関わるセッション制御信号を中継する。
【００２３】
実施例１において、セッション制御信号を、ＳＩＰ信号とし（ＳＩＰ信号は、セッション制御信号の例である）、確立要求信号を、ＩＮＶＩＴＥとし、確立応答信号を、ＩＮＶＩＴＥに応答する最終の応答メッセージ（以下、「ＩＮＶＩＴＥ応答」という）とする。
【００２４】
なお、実施例１におけるセッション制御サーバとして、ＳＩＰサーバ１１とＳＩＰサーバ２１とを使用するようにしてもよい（ＳＩＰサーバ１１とＳＩＰサーバ２１は、セッション制御サーバの例である）。また、ネットワーク３０として、インターネット等を使用してもよく、発信端末１０、着信端末２０として、ＩＰ電話機、ＰＣ（Personal Computer）を使用するようにしてもよい。また、発信端末１０、着信端末２０は、発信専用の端末または着信専用の端末に限定するものではなく、発信と着信との双方が可能である端末であってもよい。
【００２５】
ＦＷ１００は、ＬＡＮ（Local Area Network）等を介して、発信端末１０に通信可能に接続され、また、ネットワーク３０を介して、ＳＩＰサーバ１１とＳＩＰサーバ２１とに通信可能に接続されている。
【００２６】
また、ＦＷ１００は、ネットワーク３０を介して、ＦＷ２００と着信端末２０とに通信可能に接続されている。ＦＷ１００と発信端末１０とは、家庭内または企業内等に設置されているものであってもよい。
【００２７】
ＦＷ２００は、ＬＡＮ等を介して、ネットワーク３０を経由し、着信端末２０と、ＳＩＰサーバ１１、２１との間で通信可能に接続されている。また、ＦＷ２００は、ネットワーク３０を介して、ＦＷ１００と発信端末１０とに通信可能に接続されている。ＦＷ２００と着信端末２０とは、家庭内または企業内等に設置されていてもよい。また、ＦＷ１００とＦＷ２００とは、ホームゲートウエイ等に実装されていてもよい。
【００２８】
なお、実施例１では、ＦＷ１００とＦＷ２００とに分けているが、互いに別個のＦＷ１００、ＦＷ２００の代わりに、ＦＷ１００とＦＷ２００とを１つにまとめたＦＷを使用するようにしてもよい。
【００２９】
図２は、実施例１で使用するＦＷ１００のハードウェア構成を示す概略図である。
【００３０】
ＦＷ１００は、ＣＰＵ３１と、メモリ部３２と、ネットワークインタフェース３３とを有する。
【００３１】
ＣＰＵ３１は、ＦＷ１００に関するプログラムを実行する。メモリ部３２は、ＣＰＵ３１が読み出すプログラム、ＣＰＵ３１を立ち上げるプログラム、その他のプログラム、制御用のデータ等を、不揮発にかつ書替可能に記憶するメモリや、ＣＰＵ３１の動作中にＣＰＵ３１の動作に要するプログラムやデータ等を記憶する揮発性メモリ等によって構成されている。ネットワークインタフェース３３は、ネットワーク３０と、ＬＡＮに接続されている装置との間で、所定の通信プロトコルに準拠して通信する。
【００３２】
ＦＷ１００は、図１に示すように、通過制限手段１０１、中継手段１０２、情報抽出手段１０３を有する。これら手段１０１、１０２、１０３は、ＣＰＵ３１によって実行されるプログラムのモジュールであってもよい。つまり、メモリ部３２に格納されているプログラムをＣＰＵ３１が実行することによって、通過制限手段１０１、中継手段１０２、情報抽出手段１０３の各機能を実現するようにしてもよい。
【００３３】
通過制限手段１０１は、発信端末１０に向けて送信された信号と情報との通過を制限する。たとえば、ＳＩＰサーバ１１から発信端末１０に送信されるパケットの通過は、予め許可されているので、ＳＩＰサーバ１１のＩＰアドレスと、このＩＰアドレスに対応するＳＩＰのポート番号とが、メモリ部３２に記憶され、通過制限手段１０１は、記憶されているＩＰアドレスとポート番号とに基づいて、発信端末１０に向けて送信されたパケットが、ＳＩＰサーバ１１から送信されたパケットであるか否かを判断し、ＳＩＰサーバ１１から送信されたパケットであれば、そのパケットの通過を許可する。
【００３４】
中継手段１０２は、通過制限手段１０１が許可した信号と情報とを、ネットワークインタフェース３３を介して、中継する。たとえば、通過制限手段１０１が、発信端末１０とＳＩＰサーバ１１との間で送受されるＳＩＰ信号の通過を許可すると、中継手段１０２は、許可されたＳＩＰ信号を中継する。
【００３５】
情報抽出手段１０３は、中継手段１０２が、ＳＩＰサーバ１１からＩＮＶＩＴＥ応答を受信したときに、ＩＮＶＩＴＥが経由したＳＩＰサーバを示すルート情報を、ＩＮＶＩＴＥ応答から抽出する。ルート情報は、たとえば、Ｒｅｃｏｒｄ−Ｒｏｕｔｅヘッダ（以下、単に「Ｒｅｃｏｒｄ−Ｒｏｕｔｅ」という。）である。
【００３６】
また、通過制限手段１０１は、ルート情報が示すＳＩＰサーバから発信端末１０に送信されるＳＩＰ信号の通過を許可する。さらに、セッションを終了させる信号を受信すると、通過制限手段１０１は、一時的に許可していたＳＩＰ信号であって、発信端末１０に送信されるＳＩＰ信号の通過を許可しない。
【００３７】
また、ルート情報が示すＳＩＰサーバが存在しないときに、情報抽出手段１０３は、着信端末２０を示す着信端末情報を、確立応答信号から抽出し、通過制限手段１０１は、着信端末情報が示す着信端末２０から発信端末１０に送信されるＳＩＰ信号の通過を許可する。たとえば、着信端末情報は、たとえば、Ｃｏｎｔａｃｔヘッダ（以下、単に「Ｃｏｎｔａｃｔ」という。）である。
【００３８】
ＦＷ２００は、図１に示すように、通過制限手段２０１と、中継手段２０２と、情報抽出手段２０３とを有している。これらの手段は、ＣＰＵ３１によって実行されるプログラムのモジユールであってもよい。また、ＦＷ２００のハードウェア構成を、ＦＷ１００のハードウェア構成と同様にしてもよい。
【００３９】
通過制限手段２０１は、着信端末２０に向けて送信された信号と情報との通過を制限する。たとえば、ＳＩＰサーバ２１から着信端末２０に送信されるパケットの通過は、予め許可されているので、ＳＩＰサーバ２１のＩＰアドレスと、このＩＰアドレスに対応するＳＩＰのポート番号とが、メモリ部３２に記憶され、通過制限手段２０１は、記憶されたＩＰアドレスとポート番号とに基づいて、着信端末２０に向けて送信されたパケットが、ＳＩＰサーバ２１から送信されたパケットであるか否かを判断し、ＳＩＰサーバ２１から送信されたパケットの通過を許可する。
【００４０】
中継手段２０２は、通過制限手段２０１が許可した信号と情報とを、ネットワークインタフェース３３を介して、中継する。たとえば、通過制限手段２０１が、着信端末２０とＳＩＰサーバ２１との間で送受されるＳＩＰ信号の通過を許可したときに、中継手段２０２は、許可されたＳＩＰ信号を中継する。
【００４１】
情報抽出手段２０３は、中継手段２０２が、ＳＩＰサーバ２１からＩＮＶＩＴＥを受信したときに、ＩＮＶＩＴＥが経由したＳＩＰサーバを示すルート情報を、ＩＮＶＩＴＥから抽出する。
【００４２】
また、通過制限手段２０１は、上記ルート情報が示すＳＩＰサーバから着信端末２０に送信されるＳＩＰ信号の通過を許可する。さらに、セッションを終了させる信号を受信すると、通過制限手段２０１は、一時的に許可していたＳＩＰ信号であって、着信端末２０に送信されるＳＩＰ信号の通過を許可しない。
【００４３】
また、上記ルート情報が示すＳＩＰサーバが存在しないときに、情報抽出手段２０３は、発信端末１０を示す発信端末情報を、確立要求信号から抽出し、通過制限手段２０１は、発信端末情報が示す発信端末１０から着信端末２０に送信されるＳＩＰ信号の通過を許可する。たとえば、発信端末情報は、Ｃｏｎｔａｃｔである。
【００４４】
次に、通信システムＣＳ１の動作について説明する。
【００４５】
図３は、ＳＩＰに準拠した一連の手順の途中に、発側のＳＩＰサーバ１１を経由しないパターンのシーケンスの一例を示す図である。
【００４６】
発信端末１０から送信されたＩＮＶＩＴＥ（確立要求信号）は、ＦＷ１００を通過し、ＳＩＰサーバ１１が受信する。ＳＩＰサーバ１１は、Ｒｅｃｏｒｄ−Ｒｏｕｔｅを付加せずに、ＩＮＶＩＴＥをＳＩＰサーバ２１に送信する。ＳＩＰサーバ１１から送信されたＩＮＶＩＴＥを、ＳＩＰサーバ２１が受信する。ＳＩＰサーバ２１は、今後のＳＩＰ信号がＳＩＰサーバ２１を経由することを示すＲｅｃｏｒｄ−Ｒｏｕｔｅを、ＩＮＶＩＴＥに付加し、付加されたＩＮＶＩＴＥを、ＦＷ２００に送信する。ＳＩＰサーバ２１から送信されたＩＮＶＩＴＥを、ＦＷ２００が受信する。
【００４７】
ここで、通過制限手段２０１は、ＳＩＰサーバ２１から着信端末２０に送信されるパケットの通過が予め許可されているので、ＩＮＶＩＴＥの通過を許可する。また、通過制限手段２０１は、ＩＮＶＩＴＥ（確立要求信号）に付加されているＲｅｃｏｒｄ−Ｒｏｕｔｅが、ＳＩＰサーバ２１を示しているので、ＳＩＰサーバ２１から送信されるパケットの通過を引き続き許可する。
【００４８】
次に、ＳＩＰサーバ２１を経由したことを示すＲｅｃｏｒｄ−Ｒｏｕｔｅと着信端末２０とを示すＣｏｎｔａｃｔを含むＩＮＶＩＴＥ応答を、着信端末２０が送信する。ＦＷ２００が、ＩＮＶＩＴＥ応答を受信したときに、通過制限手段２０１は、ＩＮＶＩＴＥに含まれるＳＤＰ（Session Description Protocol）の内容に従った発信端末１０のＩＰアドレスと、ＩＮＶＩＴＥ応答に含まれるＳＤＰ（Session Description Protocol）の内容に従った着信端末２０のＩＰアドレスに対応するポート番号とを含むメディア用パケットを通過対象にするようにしてもよい。
【００４９】
ＩＮＶＩＴＥ応答は、ＳＩＰサーバ２１とＳＩＰサーバ１１とを経由し、ＦＷ１００によって受信されたときに、Ｒｅｃｏｒｄ−ＲｏｕｔｅがＳＩＰサーバ２１を示しているので、通過制限手段１０１は、ＳＩＰサーバ２１から送信されたパケットの通過を許可する。このときに、通過制限手段１０１は、ＩＮＶＩＴＥ応答に含まれているＳＤＰ（Session Description Protocol）の内容に従った着信端末２０のＩＰアドレスと、ＩＮＶＩＴＥに含まれるＳＤＰ（Session Description Protocol）の内容に従った発信端末１０のＩＰアドレスに対応するポート番号とを含むメディア用パケットを通過対象にするようにしてもよい。
【００５０】
ＩＮＶＩＴＥ応答を発信端末１０が受信し、セッションが確立される。その後、セッションが終了するときに、ＢＹＥ（切断）は、発信端末１０によって送信され、ＦＷ１００、ＳＩＰサーバ２１、ＦＷ２００を経由し，着信端末２０によって受信される。なお、ＡＣＫメソッドを含むＳＩＰメッセージ、ＩＮＶＩＴＥに対する暫定の応答メッセージに係る手順は、省略している。また、ＢＹＥを、着信端末２０が送信するようにしてもよい。
【００５１】
ＢＹＥに応答した応答メッセージ（以下、「ＢＹＥ応答」という）を、ＦＷ１００が受信すると、通過制限手段１０１は、一時的に許可していたＳＩＰ信号であって、ＳＩＰサーバ２１から発信端末１０に送信されるＳＩＰ信号の通過を許可しない。このときに、通過制限手段１０１は、メディア用パケットの通過を許可していれば、メディア用パケットの通過を許可しない。
【００５２】
図４は、ＳＩＰに準拠した一連の手順の途中で、着側のＳＩＰサーバ２１を経由しないパターンのシーケンスの一例を示す図である。
【００５３】
発信端末１０から送信されたＩＮＶＩＴＥは、ＦＷ１００を通過してＳＩＰサーバ１１によって受信される。ＳＩＰサーバ１１は、今後のＳＩＰ信号がＳＩＰサーバ１１を経由することを示すＲｅｃｏｒｄ−Ｒｏｕｔｅを付加し、付加されたＩＮＶＩＴＥをＳＩＰサーバ２１に送信する。ＳＩＰサーバ１１から送信されたＩＮＶＩＴＥは、ＳＩＰサーバ２１によって受信される。
【００５４】
ＳＩＰサーバ２１は、Ｒｅｃｏｒｄ−Ｒｏｕｔｅを編集せずに、そのままＩＮＶＩＴＥをＦＷ２００に送信する。ＳＩＰサーバ２１から送信されたＩＮＶＩＴＥは、ＦＷ２００に受信される。
【００５５】
ここで、通過制限手段２０１は、ＳＩＰサーバ２１から着信端末２０に送信されるパケットの通過が予め許可されているので、ＩＮＶＩＴＥの通過を許可する。また、通過制限手段２０１は、ＩＮＶＩＴＥに含まれるＲｅｃｏｒｄ−ＲｏｕｔｅがＳＩＰサーバ１１を示しているので、ＳＩＰサーバ１１から送信されるパケットの通過を許可する。
【００５６】
次に、ＳＩＰサーバ１１を経由したことを示すＲｅｃｏｒｄ−Ｒｏｕｔｅと、着信端末２０を示すＣｏｎｔａｃｔを含むＩＮＶＩＴＥ応答とを、着信端末２０が送信する。ＦＷ２００がＩＮＶＩＴＥ応答を受信したときに、通過制限手段２０１は、ＩＮＶＩＴＥに含まれているＳＤＰ（Session Description Protocol）の内容に従った発信端末１０のＩＰアドレスと、ＩＮＶＩＴＥ応答に含まれるＳＤＰ（Session Description Protocol）の内容に従った着信端末２０のＩＰアドレスに対応するポート番号とを含むメディア用パケットを通過対象にするようにしてもよい。
【００５７】
ＩＮＶＩＴＥ応答は、ＳＩＰサーバ２１とＳＩＰサーバ１１とを経由し、ＦＷ１００によって受信されたときに、通過制限手段１０１は、Ｒｅｃｏｒｄ−ＲｏｕｔｅがＳＩＰサーバ１１を示しているので、ＳＩＰサーバ１１から送信されるパケットの通過を引き続き許可する。
【００５８】
このときに、通過制限手段１０１は、ＩＮＶＩＴＥ応答に含まれているＳＤＰ（Session Description Protocol）の内容に従った着信端末２０のＩＰアドレスと、ＩＮＶＩＴＥに含まれているＳＤＰ（Session Description Protocol）の内容に従った発信端末１０のＩＰアドレスとに対応するポート番号とを含むメディア用パケットを通過対象にするようにしてもよい。
【００５９】
ＩＮＶＩＴＥ応答は、発信端末１０によって受信され、セッションが確立される。その後に、セッションが終了すると、ＢＹＥは、発信端末１０によって送信され、ＦＷ１００、ＳＩＰサーバ１１、ＦＷ２００を経由し、着信端末２０によって受信される。なお、ＡＣＫメソッドを含むＳＩＰメッセージ、ＩＮＶＩＴＥに対する暫定の応答メッセージに係る手順を、省略している。また、ＢＹＥを、着信端末２０が送信するようにしてもよい。
【００６０】
ＢＹＥ応答がＦＷ２００に受信されると、通過制限手段２０１は、一時的に許可していたＳＩＰ信号であって、ＳＩＰサーバ１１から発信端末１０に送信されるＳＩＰ信号の通過を許可しない。このときに、通過制限手段２０１は、メディア用パケットの通過を許可していれば、メディア用パケットの通過を許可しない。
【００６１】
図５は、ＳＩＰに準拠した一連の手順の途中に、ＳＩＰサーバを経由しないパターンのシーケンスの一例を示す図である。
【００６２】
発信端末１０から送信されたＩＮＶＩＴＥは、発信端末１０を示すＣｏｎｔａｃｔを含み、ＦＷ１００を通過し、ＳＩＰサーバ１１に受信される。ＳＩＰサーバ１１は、Ｒｅｃｏｒｄ−Ｒｏｕｔｅを、ＩＮＶＩＴＥに付加せずに、ＩＮＶＩＴＥをＳＩＰサーバ２１に送信する。ＳＩＰサーバ１１から送信されたＩＮＶＩＴＥは、ＳＩＰサーバ２１によって受信される。ＳＩＰサーバ２１は、Ｒｅｃｏｒｄ−ＲｏｕｔｅをＩＮＶＩＴＥに付加せずに、ＩＮＶＩＴＥをＦＷ２００に送信する。ＳＩＰサーバ２１から送信されたＩＮＶＩＴＥは、ＦＷ２００に受信される。
【００６３】
ここで、通過制限手段２０１は、ＳＩＰサーバ２１から着信端末２０に送信されるパケットの通過が予め許可されているので、ＩＮＶＩＴＥの通過を許可する。また、通過制限手段２０１は、Ｒｅｃｏｒｄ−Ｒｏｕｔｅがなく、Ｃｏｎｔａｃｔが発信端末１０を示しているので、発信端末１０から送信されるパケットの通過を許可する。
【００６４】
次に、着信端末２０を示すＣｏｎｔａｃｔを含むＩＮＶＩＴＥ応答は、着信端末２０によって送信される。ＦＷ２００がＩＮＶＩＴＥ応答を受信したときに、通過制限手段２０１は、ＩＮＶＩＴＥに含まれるＳＤＰ（Session Description Protocol）の内容に従った発信端末１０のＩＰアドレスと、ＩＮＶＩＴＥ応答に含まれるＳＤＰ（Session Description Protocol）の内容に従った着信端末２０のＩＰアドレスに対応するポート番号とを含むメディア用パケットを通過対象とするようにしてもよい。
【００６５】
ＩＮＶＩＴＥ応答は、ＳＩＰサーバ２１とＳＩＰサーバ１１とを経由し、ＦＷ１００に受信されたときに、通過制限手段１０１は、Ｒｅｃｏｒｄ−Ｒｏｕｔｅがなく、Ｃｏｎｔａｃｔが着信端末２０を示しているので、着信端末２０から送信されるパケットの通過を許可する。
【００６６】
このときに、通過制限手段１０１は、ＩＮＶＩＴＥ応答に含まれているＳＤＰ（Session Description Protocol）の内容に従った着信端末２０のＩＰアドレスと、ＩＮＶＩＴＥに含まれているＳＤＰ（Session Description Protocol）の内容に従った発信端末１０のＩＰアドレスに対応するポート番号とを含むメディア用パケットを通過対象とするようににしてもよい。
【００６７】
ＩＮＶＩＴＥ応答は、発信端末１０に受信され、セッションが確立される。その後に、セッションが終了すると、ＢＹＥは、発信端末１０によって送信され、ＦＷ１００とＦＷ２００とを経由し、着信端末２０に受信される。なお、ＡＣＫメソッドを含むＳＩＰメッセージ、ＩＮＶＩＴＥに対する暫定の応答メッセージに係る手順は、省略してある。また、ＢＹＥを、着信端末２０が送信するようにしてもよい。
【００６８】
ＢＹＥ応答がＦＷ２００に受信されたときに、通過制限手段２０１は、一時的に許可していたＳＩＰ信号であって、発信端末１０から着信端末２０に送信されるＳＩＰ信号の通過を、許可しないようにする。このときに、通過制限手段２０１は、メディア用パケットの通過を許可していれば、メディア用パケットの通過を許可しない。
【００６９】
また、ＢＹＥ応答がＦＷ１００によって受信されたときに、通過制限手段１０１は、着信端末２０から発信端末１０に送信されるＳＩＰ信号の通過を、許可しないようにする。このときに、通過制限手段１０１は、メディア用パケットの通過を許可していれば、メディア用パケットの通過を許可しない。
【００７０】
図６は、実施例１における発側ＦＷが実行する動作を示すフローチャートである。
【００７１】
まず、ＳＩＰ信号がＦＷ１００に受信されたときに、ＳＩＰ信号の通過が発信端末１０向けに許可されているか否かを、通過制限手段１０１が判断する（Ｓ１００）。
【００７２】
ＳＩＰ信号の通過が発信端末１０向けに許可されているときに、ＳＩＰ信号がＩＮＶＩＴＥ応答か否かを、通過制限手段１０１が調べる（Ｓ１０１）。
【００７３】
ＳＩＰ信号がＩＮＶＩＴＥ応答であれば、情報抽出手段１０３が、Ｒｅｃｏｒｄ−Ｒｏｕｔｅを抽出する（Ｓ１０２）。そして、通過制限手段１０１が、Ｒｅｃｏｒｄ−Ｒｏｕｔｅが存在するか否か（すなわち、Ｒｅｃｏｒｄ−Ｒｏｕｔｅが示すＳＩＰサーバが存在するか否か）を、調べる（Ｓ１０３）。
【００７４】
抽出されたＲｅｃｏｒｄ−Ｒｏｕｔｅが示すＳＩＰサーバが存在する場合、Ｒｅｃｏｒｄ−Ｒｏｕｔｅが示すＳＩＰサーバから発信端末１０に送信されるＳＩＰ信号の通過は、通過制限手段１０１によって許可され、許可されたＳＩＰサーバのＩＰアドレスが、メモリ部３２に設定される（Ｓ１０４）。
【００７５】
Ｒｅｃｏｒｄ−Ｒｏｕｔｅが存在しない場合、ＩＮＶＩＴＥ応答に含まれているＣｏｎｔａｃｔは、情報抽出手段１０３によって抽出される（Ｓ１０５）。抽出されたＣｏｎｔａｃｔが示す着信端末２０から発信端末１０に送信されるＳＩＰ信号の通過は、通過制限手段１０１によって許可され、許可された着信端末２０のＩＰアドレスが、メモリ部３２に設定される（Ｓ１０６）。
【００７６】
ＳＩＰ信号がＩＮＶＩＴＥ応答ではない場合、ＳＩＰ信号がＢＹＥ応答であるか否かを、通過制限手段１０１が調べる（Ｓ１０７）。なお、上記説明では、ＢＹＥ応答を例として説明しているが、Ｓ１０７では、ＢＹＥ応答に限らず、セッションを終了させる信号であれば、如何なる信号でもよい。
【００７７】
一時的に許可していたＳＩＰ信号であって、発信端末１０向けに送信されるＳＩＰ信号の通過は、通過制限手段１０１によって非許可にされ、許可されていたＩＰアドレスとこのＩＰアドレスに対応するＳＩＰのポート番号とが、メモリ部３２から解除される（Ｓ１０８）。
【００７８】
通過制限手段１０１によって発信端末１０向けに許可されたＳＩＰ信号は、ネットワークインタフェース３３を介して、中継手段１０２で中継される（Ｓ１０９）。
【００７９】
図７は、実施例１における着側ＦＷが実行する動作を示すフローチャートである。
【００８０】
まず、ＳＩＰ信号がＦＷ２００に受信されると、ＳＩＰ信号の通過が着信端末２０向けに許可されているか否かを、通過制限手段２０１が判断する（Ｓ２００）。
【００８１】
ＳＩＰ信号の通過が着信端末２０向けに許可されていると、ＳＩＰ信号がＩＮＶＩＴＥであるか否かを、通過制限手段２０１が調べる（Ｓ２０１）。
【００８２】
ＳＩＰ信号がＩＮＶＩＴＥである場合、Ｒｅｃｏｒｄ−Ｒｏｕｔｅが、情報抽出手段２０３によって抽出される（Ｓ２０２）。Ｒｅｃｏｒｄ−Ｒｏｕｔｅが存在するか否か（すなわち、Ｒｅｃｏｒｄ−Ｒｏｕｔｅが示すＳＩＰサーバが存在するか否か）を、通過制限手段２０１が調べる（Ｓ２０３）。
【００８３】
抽出されたＲｅｃｏｒｄ−Ｒｏｕｔｅが示すＳＩＰサーバが存在する場合、Ｒｅｃｏｒｄ−Ｒｏｕｔｅが示すＳＩＰサーバから、着信端末２０に送信されるＳＩＰ信号の通過を、通過制限手段２０１が許可し、許可されたＳＩＰサーバのＩＰアドレスが、メモリ部３２に設定される（Ｓ２０４）。
【００８４】
Ｒｅｃｏｒｄ−Ｒｏｕｔｅが存在しない場合、ＩＮＶＩＴＥに含まれているＣｏｎｔａｃｔが、情報抽出手段２０３によって抽出される（Ｓ２０５）。抽出されたＣｏｎｔａｃｔが示す発信端末１０から、着信端末２０に送信されるＳＩＰ信号の通過は、通過制限手段２０１によって許可され、許可された発信端末１０のＩＰアドレスと、このＩＰアドレスに対応するＳＩＰのポート番号とが、メモリ部３２に設定される（Ｓ２０６）。
【００８５】
ＳＩＰ信号がＩＮＶＩＴＥでない場合、ＳＩＰ信号がＢＹＥ応答であるか否かを、通過制限手段２０１が調べる（Ｓ２０７）。
【００８６】
なお、上記説明では、ＢＹＥ応答を例にとっているが、Ｓ２０７では、ＢＹＥ応答の代わりに、セッションを終了させる信号であれば他の信号を使用するようにしてもよい。
【００８７】
一時的に許可していたＳＩＰ信号であって、着信端末２０向けに送信されるＳＩＰ信号の通過を、通過制限手段２０１が非許可にし、通過を許可されていたＩＰアドレスと、このＩＰアドレスに対応するＳＩＰのポート番号とが、メモリ部３２から解除される（Ｓ２０８）。
【００８８】
通過制限手段２０１が着信端末２０向けに許可したＳＩＰ信号を、中継手段２０２が中継する（Ｓ２０９）。
【００８９】
上記のように、ＦＷ１００は、ルート情報が示すＳＩＰサーバから発信端末１０に送信されるＳＩＰ信号の通過を許可するので、セッションの制御に係る通信プロトコルに準拠した一連の手順の途中に、ＳＩＰ信号の転送経路が変更した場合でも、発信端末１０に送信されるＳＩＰ信号を中継することができる。
【００９０】
また、ルート情報が存在しないとき（すなわちルート情報が示すＳＩＰサーバが存在しないとき）に、着信端末情報が示す着信端末２０から発信端末１０に送信されるＳＩＰ信号の通過を許可するので、セッションの制御に係る通信プロトコルに準拠した一連の手順の途中に、ＳＩＰ信号が発信端末１０と着信端末２０との間で転送される場合でも、発信端末１０に送信されるＳＩＰ信号を中継することができる。
【００９１】
また、セッションが終了するときに、一時的に許可していたＳＩＰ信号の通過を許可しないので、発信端末１０に対する不正な情報の送信を防止することができ、発信端末１０のセキュリティを向上させることができる。
【００９２】
また、ＦＷ２００は、ルート情報が示すＳＩＰサーバから着信端末２０に送信されるＳＩＰ信号の通過を許可するので、セッションの制御に係る通信プロトコルに準拠した一連の手順の途中に、ＳＩＰ信号の転送経路が変更した場合でも、着信端末２０に送信されるＳＩＰ信号を中継することができる。
【００９３】
また、ルート情報が存在しないとき（すなわちルート情報が示すＳＩＰサーバが存在しないとき）に、発信端末情報が示す発信端末１０から着信端末２０に送信されるＳＩＰ信号の通過を許可するので、セッションの制御に係る通信プロトコルに準拠した一連の手順の途中に、ＳＩＰ信号が発信端末１０と着信端末２０との間で転送される場合でも、着信端末２０に送信されるＳＩＰ信号を中継することができる。
【００９４】
また、セッションが終了するときに、一時的に許可していたＳＩＰ信号の通過を許可しないので、着信端末２０に対する不正な情報の送信を防止することができ、着信端末２０のセキュリティを向上させることができる。
【００９５】
上記実施例では、上記ルート情報が示すセッション制御サーバが存在しないときに、上記着信端末を示す着信端末情報を、上記情報抽出手段が、上記確立応答信号から抽出し、上記着信端末情報が示す着信端末から上記発信端末に送信される上記セッション制御信号の通過を、上記通過制限手段が許可する。
【００９６】
この構成によって、ルート情報が示すセッション制御サーバが存在しないときに、着信端末情報が示す着信端末から発信端末に送信されるセッション制御信号の通過を許可するので、セッションの制御に係る通信プロトコルに準拠した一連の手順の途中に、セッション制御信号が発信端末と着信端末との間で転送される場合でも、発信端末に送信されるセッション制御信号を中継することができる。
【００９７】
また、上記実施例では、上記セッションを終了させる信号を受信したときに、一時的に許可していた上記セッション制御信号であって、上記発信端末に送信される上記セッション制御信号の通過を、上記通過制限手段が許可しない。
【００９８】
この構成によって、セッションが終了するときに、一時的に許可していたセッション制御信号の通過を許可しないので、発信端末に対する不正な情報の送信を防止することができ、発信端末のセキュリティを向上させることができる。
【００９９】
また、上記実施例では、着信端末との間のセッションを確立させる確立要求信号を送信する発信端末と、上記確立要求信号に応答する確立応答信号を送信する着信端末と、上記確立要求信号または上記確立応答信号を含み、上記セッションの制御に関わるセッション制御信号を中継するセッション制御サーバと、通信可能に接続されたファイアウォール装置において、上記着信端末向けに送信された信号と情報との通過を制限する通過制限手段と、上記着信端末と所定のセッション制御サーバとの間で送受される上記セッション制御信号を中継する中継手段と、上記中継手段が上記所定のセッション制御サーバから上記確立要求信号を受信したときに、上記確立要求信号が経由したセッション制御サーバを示すルート情報を、上記確立要求信号から抽出する情報抽出手段とを備え、上記通過制限手段は、上記ルート情報が示すセッション制御サーバから上記着信端末に送信される上記セッション制御信号の通過を許可する。
【０１００】
この構成によって、ルート情報が示すセッション制御サーバから着信端末に送信されるセッション制御信号の通過を許可するので、セッションの制御に係る通信プロトコルに準拠した一連の手順の途中に、セッション制御信号の転送経路を変更した場合でも、着信端末に送信されるセッション制御信号を中継することができる。
【０１０１】
また、上記実施例では、上記ルート情報が示すセッション制御サーバが存在しないときに、上記情報抽出手段が、上記発信端末を示す発信端末情報を、上記確立要求信号から抽出し、上記発信端末情報が示す発信端末から上記着信端末に送信される上記セッション制御信号の通過を、上記通過制限手段が許可する。
【０１０２】
この構成によって、ルート情報が示すセッション制御サーバが存在しないときに、発信端末情報が示す発信端末から着信端末に送信されるセッション制御信号の通過を許可するので、セッションの制御に係る通信プロトコルに準拠した一連の手順の途中に、セッション制御信号が発信端末と着信端末との間で転送される場合でも、着信端末に送信されるセッション制御信号を中継することができる。
【０１０３】
また、上記実施例では、上記セッションを終了させる信号を受信したときに、上記通過制限手段は、一時的に許可していたセッション制御信号であって、上記着信端末に送信される上記セッション制御信号の通過を許可しない。
【０１０４】
この構成によって、セッションが終了するときに、一時的に許可していたセッション制御信号の通過を許可しないので、着信端末に対する不正な情報の送信を防止し、着信端末のセキュリティを向上させることができる。
【０１０５】
また、上記実施例をプログラムの発明として把握することができる．つまり、上記実施例は、セッションを確立させる確立要求信号を送信する発信端末と、上記確立要求信号に応答する確立応答信号を送信する着信端末と、上記確立要求信号または上記確立応答信号を含み、上記セッションの制御に関わるセッション制御信号を中継するセッション制御サーバとの間で、通信可能に接続されるファイアウォール装置に実行させるプログラムであって、上記発信端末と所定のセッション制御サーバとの間で送受される上記セッション制御信号を中継するステップと、上記所定のセッション制御サーバから上記確立応答信号を受信したときに、上記確立要求信号が経由したセッション制御サーバを示すルート情報を、上記確立応答信号から抽出し、メモリに格納する情報抽出ステップと、上記ルート情報が示すセッション制御サーバから上記発信端末に送信される上記セッション制御信号の通過を許可するステップとを上記ファイアウォール装置に実行させるファイアウォール用プログラムの例である。
【０１０６】
この場合、上記情報抽出ステップは、上記ルート情報が示すセッション制御サーバが存在しないときに、上記着信端末を示す着信端末情報を、上記確立応答信号から抽出するステップであり、上記着信端末情報が示す着信端末から上記発信端末に送信される上記セッション制御信号の通過を許可するステップを、上記ファイアウォール装置に実行させるファイアウォール用プログラムであってもよい。
【０１０７】
また、上記セッションを終了させる信号を受信したときに、一時的に許可していた上記セッション制御信号であって、上記発信端末に送信される上記セッション制御信号の通過を許可しないステップを、上記ファイアウォール装置に実行させるファイアウォール用プログラムであってもよい。
【０１０８】
そして、上記実施例は、着信端末との間のセッションを確立させる確立要求信号を送信する発信端末と、上記確立要求信号に応答する確立応答信号を送信する着信端末と、上記確立要求信号または上記確立応答信号を含み、上記セッションの制御に関わるセッション制御信号を中継するセッション制御サーバとの間で、通信可能に接続されるファイアウォール装置に実行させるプログラムであって、上記着信端末と所定のセッション制御サーバとの間で送受される上記セッション制御信号を中継するステップと、上記所定のセッション制御サーバから上記確立要求信号を受信したときに、上記確立要求信号が経由したセッション制御サーバを示すルート情報を上記確立要求信号から抽出する情報抽出ステップと、上記ルート情報が示すセッション制御サーバから上記着信端末に送信される上記セッション制御信号の通過を許可するステップとを上記ファイアウォール装置に実行させるファイアウォール用プログラムの例である。
【０１０９】
この場合、上記情報抽出ステップは、上記ルート情報が示すセッション制御サーバが存在しないときに、上記発信端末を示す発信端末情報を、上記確立要求信号から抽出するステップであり、上記発信端末情報が示す発信端末から上記着信端末に送信される上記セッション制御信号の通過を許可するステップを、上記ファイアウォール装置に実行させるファイアウォール用プログラムであってもよい。
【０１１０】
また、上記セッションを終了させる信号を受信したときに、一時的に許可していた上記セッション制御信号であって、上記着信端末に送信される上記セッション制御信号の通過を許可しないステップを、上記ファイアウォール装置に実行させるファイアウォール用プログラムであってもよい。
【産業上の利用可能性】
【０１１１】
本発明の活用例として、ファイアウォール装置と、ファイアウォール用プログラムとによれば、セッションの制御に係る通信プロトコルに準拠した一連の手順の途中で、セッション制御信号の転送経路が変更した場合でも、通信端末に送信されるセッション制御信号を中継することができ、また、ローカルエリアネットワークや特定の端末向けに送信された信号と情報との通過を制限する等の用途にも、ファイアウォール装置と、ファイアウォール用プログラムとを利用可能である。
【図面の簡単な説明】
【０１１２】
【図１】本発明の実施例１である通信システムＣＳ１を示すブロック構成図である。
【図２】実施例１で使用するＦＷ１００のハードウェア構成を示す概略図である。
【図３】ＳＩＰに準拠した一連の手順の途中に、発側のＳＩＰサーバ１１を経由しないパターンのシーケンスの一例を示す図である。
【図４】ＳＩＰに準拠した一連の手順の途中で、着側のＳＩＰサーバ２１を経由しないパターンのシーケンスの一例を示す図である。
【図５】ＳＩＰに準拠した一連の手順の途中に、ＳＩＰサーバを経由しないパターンのシーケンスの一例を示す図である。
【図６】実施例１における発側ＦＷが実行する動作を示すフローチャートである。
【図７】実施例１における着側ＦＷが実行する動作を示すフローチャートである。
【図８】従来の通信システムＣＳ１１を示す図である。
【符号の説明】
【０１１３】
１０、８１…発信端末、
１１、２１、８３、８４…ＳＩＰサーバ、
２０、８５…着信端末、
３０…ネットワーク、
３１…ＣＰＵ、
３２…メモリ部、
３３…ネットワークインタフェース、
８２、１００、２００…ＦＷ、
１０１、２０１…通過制限手段、
１０２、２０２…中継手段、
１０３、２０３…情報抽出手段。
【図１】
2005301573.tif 000003
【図２】
2005301573.tif 000004
【図３】
2005301573.tif 000005
【図４】
2005301573.tif 000006
【図５】
2005301573.tif 000007
【図６】
2005301573.tif 000008
【図７】
2005301573.tif 000009
【図８】
2005301573.tif 000010