(57)【要約】  【課題】  １つの物理ネットワークを仮想的に分割することにより、ネットワーク構成情報を記憶してある中継装置を必ず経由して通信装置相互間の通信を行うことができ、通信装置に事前にソフトウェアを追加導入したり特殊な設定を行うことなく、通信装置相互間の通信を行うことができるネットワークシステム及び通信方法を提供する。  【解決手段】  相互に通信可能な複数の通信装置と、外部ネットワークと接続する中継装置とを備え、各通信装置及び中継装置は、固有のアドレスと、該アドレスをネットワークアドレス部分及びホストアドレス部分に分割するアドレス分割情報を有するネットワークシステムにおいて、通信装置と中継装置とは異なるアドレス分割情報を有し、通信装置間で通信する場合、中継装置を経由する構成である。【選択図】        図４
2005328281.tif 000002
【特許請求の範囲】
【請求項１】
相互に通信可能な複数の通信装置と、外部ネットワークと接続する中継装置とを備え、
前記各通信装置及び前記中継装置は、固有のアドレスと、該アドレスをネットワークアドレス部分及びホストアドレス部分に分割するアドレス分割情報を有するネットワークシステムにおいて、
前記通信装置と前記中継装置とは異なる前記アドレス分割情報を有し、前記通信装置間で通信する場合、前記中継装置を経由すべくなしてあることを特徴とするネットワークシステム。
【請求項２】
一の通信装置が有する前記アドレス分割情報は、前記一の通信装置が有する固有のアドレスを、一のネットワークアドレス部分とする情報であることを特徴とする請求項１記載のネットワークシステム。
【請求項３】
一の通信装置が有する前記アドレス分割情報は、前記一の通信装置が有する固有のアドレスのネットワークアドレス部分が、２のべき乗個のホストアドレスを含むようにしてあることを特徴とする請求項１記載のネットワークシステム。
【請求項４】
相互に通信可能な複数の通信装置と、外部ネットワークと接続する中継装置とを備え、
前記各通信装置及び前記中継装置は、固有のアドレスと、該アドレスをネットワークアドレス部分及びホストアドレス部分に分割するアドレス分割情報を有するネットワーク上での通信方法において、
前記通信装置と前記中継装置とは異なる前記アドレス分割情報を有し、前記通信装置間で通信する場合、前記中継装置を経由することを特徴とする通信方法。
【請求項５】
一の通信装置が有する前記アドレス分割情報は、前記一の通信装置が有する固有のアドレスを、一のネットワークアドレス部分とする情報であることを特徴とする請求項４記載の通信方法。
【請求項６】
一の通信装置が有する前記アドレス分割情報は、前記一の通信装置が有する固有のアドレスのネットワークアドレス部分が、２のべき乗個のホストアドレスを含むことを特徴とする請求項４記載の通信方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークを介して接続されている通信装置が相互に通信を行う場合、必ず中継装置を介して通信を行うネットワークシステム及び通信方法に関する。
【背景技術】
【０００２】
昨今、インターネットの急速な普及により、一般ユーザにより使用されるパーソナルコンピュータ（以下、ＰＣ）へのウイルス、ワーム等の感染の拡大が社会問題になっている。すなわち、開かれた通信環境においては、セキュリティホールが放置されているＰＣ、ウイルスパターンの更新を怠っているＰＣ等が多々存在し、斯かるＰＣからのメール送信、ファイル共有等を介して、ウイルス、ワーム等の感染がネットワーク内に拡大している。
【０００３】
斯かるウイルス、ワーム等の感染を未然に防止すべく、ファイアウォール、ルータによるパケットフィルタリング等を行い、ネットワークの外部からウイルス、ワーム等の侵入を阻止している。
【０００４】
しかし、例えばイーサネット（登録商標）ＬＡＮに接続されているＰＣ同士で通信を行う場合、ルータを介することなく通信を行うことから、ファイアウォール、ルータによるパケットフィルタリング等を用いた場合であっても、ウイルス、ワーム等の侵入を阻止することができない。すなわち、可搬型記憶媒体による感染ファイルの持込、他のネットワーク接続時に感染した可搬型ＰＣのＬＡＮへの接続等によるウイルス、ワーム等の侵入を阻止することができず、一旦感染した後は、これらを検知、駆除することは困難であり、時間経過とともにＬＡＮ内に蔓延してしまうという問題点があった。
【０００５】
斯かる問題点に対応すべく、例えば特許文献１では、ＬＡＮ内に接続されているスイッチングハブがパケットフィルタリングの機能を有することにより、論理的に同一ネットワーク内のＰＣ同士の通信であっても、スイッチングハブを介する場合にはウイルス、ワーム等の侵入を阻止することができるネットワークシステムが開示されている。
【０００６】
また、ＰＰＴＰ、ＰＰＰｏＥ（Point to Point Protocol over Ethernet（登録商標））等ルータと端末と間に仮想的な専用回線を形成することで、すべての通信をルータ経由とする方法も標準プロトコルの１つとして開示されている。
【特許文献１】特開２００３−３４８１１３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかし、上述したようなネットワークシステムでは、ＬＡＮ内の任意のＰＣ同士で通信を行う場合にも機能させようとすると、物理的に１つのＰＣに対して１つのスイッチングハブのポートが必要となり、ハブとしての機能を無駄にするばかりでなく、パケットフィルタリング機能を有する高価なスイッチングハブを大量に配設する必要があり、経済的な観点からも現実的な解決方法ではないという問題点があった。
【０００８】
また、仮想的な専用線を用いる場合、事前に各端末にソフトウェアを追加導入しておき、環境に応じた適切な設定を行う必要が生じることから、人件費等の経済的観点、又は利用者が利用可能になるまで初期設定時間に相当の時間を要するという時間的観点から、現実的ではないという問題点があった。
【０００９】
本発明は斯かる事情に鑑みてなされたものであり、１つの物理ネットワークを仮想的に分割することにより、ネットワーク構成情報を記憶してある中継装置を必ず経由して通信装置相互間の通信を行うことができるネットワークシステム及び通信方法を提供することを目的とする。また、通信装置に事前にソフトウェアを追加導入したり特殊な設定を行うことなく、通信装置相互間の通信を行うことができるネットワークシステム及び通信方法を提供することを目的とする。
【課題を解決するための手段】
【００１０】
上記目的を達成するために第１発明に係るネットワークシステムは、相互に通信可能な複数の通信装置と、外部ネットワークと接続する中継装置とを備え、前記各通信装置及び前記中継装置は、固有のアドレスと、該アドレスをネットワークアドレス部分及びホストアドレス部分に分割するアドレス分割情報を有するネットワークシステムにおいて、前記通信装置と前記中継装置とは異なる前記アドレス分割情報を有し、前記通信装置間で通信する場合、前記中継装置を経由すべくなしてあることを特徴とする。
【００１１】
第１発明に係るネットワークシステムでは、各通信装置及び中継装置は、固有のアドレスと、該アドレスをネットワークアドレス部分及びホストアドレス部分に分割するアドレス分割情報を有しており、通信装置と中継装置とは異なるアドレス分割情報を有し、各通信装置のネットワークアドレス部分の値は各通信装置固有のアドレス分割情報を用いてそれぞれ相異なっている。これにより、通信装置相互間で通信を行う場合、一の通信装置は他の通信装置が物理的に異なるネットワークに接続しているものと認識し、送信パケットは必ず中継装置に送信されることから、中継装置であるルータ、インテリジェントハブ等の構成を変更することなく、すべての通信についてパケットフィルタリング等の監査処理を行うことができ、安全で、しかも確実な通信を行うことが可能となる。
【００１２】
一方、中継装置は、通信装置とは異なるアドレス分割情報を有しており、中継装置の有するアドレス分割情報で分割された各通信装置のアドレスのネットワークアドレス部分は、中継装置と同一のネットワークに接続しているものと認識される。よって、通信装置が送信するパケットは必ず中継装置に送られ、中継装置において破棄又は書き換え等を行うことが可能となる。また、中継装置が通信装置にパケットを直接送信することも可能となる。
【００１３】
さらに、通信装置の一部は、中継装置と同じアドレス分割情報を有していても良い。これにより、すべての通信が中継装置を経由する通信装置と、直接他の通信装置にパケットを送信可能な中継装置とを混在させることも可能となる。
【００１４】
また、第２発明に係るネットワークシステムは、第１発明において、一の通信装置が有する前記アドレス分割情報は、前記一の通信装置が有する固有のアドレスを、一のネットワークアドレス部分とする情報であることを特徴とする。
【００１５】
第２発明に係るネットワークシステムでは、一の通信装置が有するアドレス分割情報により、一の通信装置が有する固有のアドレスは、全体が一のネットワークアドレス部分として認識される。これにより、一の通信装置は、ネットワークが一の通信装置と中継装置とのみで構成されていると判断することから、一の通信装置が他の通信装置と通信を行う場合であっても、必ず中継装置を経由して通信し、パケットフィルタリング等の監査処理を行うことができ、安全で、しかも確実な通信を行うことが可能となる。
【００１６】
また、第３発明に係るネットワークシステムは、第１発明において、一の通信装置が有する前記アドレス分割情報は、前記一の通信装置が有する固有のアドレスのネットワークアドレス部分が、２のべき乗個のホストアドレスを含むようにしてあることを特徴とする。
【００１７】
第３発明に係るネットワークシステムでは、一の通信装置が有するアドレス分割情報は、一の通信装置が有する固有のアドレスのネットワークアドレス部分が、２のべき乗個のホストアドレスを含むよう構成してある。これにより、２のべき乗個のホストアドレスを含むネットワークアドレス部分に他の通信装置が存在しない場合、一の通信装置は、ネットワークが一の通信装置と中継装置とのみで構成されていると判断することから、一の通信装置が他の通信装置と通信を行う場合であっても、必ず中継装置を経由して通信し、パケットフィルタリング等の監査処理を行うことができ、安全で、しかも確実な通信を行うことが可能となる。
【００１８】
また、第４発明に係る通信方法は、相互に通信可能な複数の通信装置と、外部ネットワークと接続する中継装置とを備え、前記各通信装置及び前記中継装置は、固有のアドレスと、該アドレスをネットワークアドレス部分及びホストアドレス部分に分割するアドレス分割情報を有するネットワーク上での通信方法において、前記通信装置と前記中継装置とは異なる前記アドレス分割情報を有し、前記通信装置間で通信する場合、前記中継装置を経由することを特徴とする。
【００１９】
第４発明に係る通信方法では、各通信装置及び中継装置は、固有のアドレスと、該アドレスをネットワークアドレス部分及びホストアドレス部分に分割するアドレス分割情報を有しており、通信装置と中継装置とは異なるアドレス分割情報を有し、各通信装置のネットワークアドレス部分の値は各通信装置固有のアドレス分割情報を用いてそれぞれ相異なっている。これにより、通信装置相互間で通信を行う場合、一の通信装置は他の通信装置が物理的に異なるネットワークに接続しているものと認識し、送信パケットは必ず中継装置に送信されることから、中継装置であるルータ、インテリジェントハブ等の構成を変更することなく、すべての通信についてパケットフィルタリング等の監査処理を行うことができ、安全で、しかも確実な通信を行うことが可能となる。
【００２０】
一方、中継装置は、通信装置とは異なるアドレス分割情報を有しており、中継装置の有するアドレス分割情報で分割された各通信装置のアドレスのネットワークアドレス部分は、中継装置のアドレスのネットワーク部分と同一となることから、中継装置にとっては、各通信装置は同一のネットワークに接続しているものと認識される。よって、通信装置が送信するパケットは必ず中継装置に送られ、中継装置において破棄又は書き換え等を行うことが可能となる。また、中継装置が通信装置にパケットを直接送信することも可能となる。
【００２１】
さらに、通信装置の一部は、中継装置と同じアドレス分割情報を有していても良い。これにより、すべての通信が中継装置を経由する通信装置と、直接他の通信装置にパケットを送信可能な中継装置とを混在させることも可能となる。
【００２２】
また、第５発明に係る通信方法は、第４発明において、一の通信装置が有する前記アドレス分割情報は、前記一の通信装置が有する固有のアドレスを、一のネットワークアドレス部分とする情報であることを特徴とする。
【００２３】
第５発明に係る通信方法では、一の通信装置が有するアドレス分割情報により、一の通信装置が有する固有のアドレスは、全体が一のネットワークアドレス部分として認識される。これにより、一の通信装置は、ネットワークが一の通信装置と中継装置とのみで構成されていると判断することから、一の通信装置が他の通信装置と通信を行う場合であっても、必ず中継装置を経由して通信し、パケットフィルタリング等の監査処理を行うことができ、安全で、しかも確実な通信を行うことが可能となる。
【００２４】
また、第６発明に係る通信方法は、第４発明において、一の通信装置が有する前記アドレス分割情報は、前記一の通信装置が有する固有のアドレスのネットワークアドレス部分が、２のべき乗個のホストアドレスを含むことを特徴とする。
【００２５】
第６発明に係る通信方法では、一の通信装置が有するアドレス分割情報は、一の通信装置が有する固有のアドレスのネットワークアドレス部分が、２のべき乗個のホストアドレスを含むようにしてある。これにより、２のべき乗個のホストアドレスを含むネットワークアドレス部分に他の通信装置が存在しない場合、一の通信装置は、ネットワークが一の通信装置と中継装置とのみで構成されていると判断することから、一の通信装置が他の通信装置と通信を行う場合であっても、必ず中継装置を経由して通信し、パケットフィルタリング等の監査処理を行うことができ、安全で、しかも確実な通信を行うことが可能となる。
【発明の効果】
【００２６】
第１発明及び第４発明によれば、通信装置相互間で通信を行う場合、一の通信装置は他の通信装置が物理的に異なるネットワークに接続しているものと認識し、送信パケットは必ず中継装置に送信されることから、中継装置であるルータ、インテリジェントハブ等の構成を変更することなく、すべての通信についてパケットフィルタリング等の監査処理を行うことができ、安全で、しかも確実な通信を行うことが可能となる。
【００２７】
また、第２発明及び第５発明によれば、一の通信装置は、ネットワークが一の通信装置と中継装置とのみで構成されていると判断することから、一の通信装置が他の通信装置と通信を行う場合であっても、必ず中継装置を経由して通信し、パケットフィルタリング等の監査処理を行うことができ、安全で、しかも確実な通信を行うことが可能となる。
【００２８】
また、第３発明及び第６発明によれば、２のべき乗個のホストアドレスを含むネットワークアドレス部分に他の通信装置が存在しない場合、一の通信装置は、ネットワークが一の通信装置と中継装置とのみで構成されていると判断することから、一の通信装置が他の通信装置と通信を行う場合であっても、必ず中継装置を経由して通信し、パケットフィルタリング等の監査処理を行うことができ、安全で、しかも確実な通信を行うことが可能となる。
【発明を実施するための最良の形態】
【００２９】
以下、本発明をその実施の形態を示す図面に基づいて具体的に説明する。
【００３０】
（実施の形態１）
図１は、本発明の実施の形態１に係るネットワークシステムの全体構成を説明するブロック図である。なお、本実施の形態１では、イーサネット（登録商標）を用いて接続されるＬＡＮ環境を想定しており、一の中継装置であるルータ１と、ルータ１の管理対象となる複数の通信装置２、２、・・・とが、ＬＡＮ３を介して接続してある。また、ルータ１は、通信回線４を介してインターネット５に接続してあり、外部ネットワークと接続可能となしてある。オペレーティングシステムとして、通信装置２、２、・・・にはウィンドウズ（登録商標）（Ｒ）が導入してある。
【００３１】
図２は、ルータ１の構成を示すブロック図である。ルータ１は、少なくともＣＰＵ１１、ＲＡＭ１２、及び通信インタフェース１３ａ、１３ｂからなり、ＲＡＭ１２は、通信のアドレスを制御する情報を制御するアドレス分割情報を記憶してあるルーティングテーブル１２１と、コンピュータウィルス、ワーム等の検出、駆除等に用いるフィルタリングテーブル１２２を備えている。
【００３２】
ＣＰＵ１１は、内部バス１４を介してルータ１の上述したようなハードウェア各部と接続されており、上述したハードウェア各部を制御するとともに、ＲＡＭ１２に格納されたルーティングテーブル１２１に従って、通信パケットの送信先を特定し、フィルタリングテーブル１２２に従って、異常なパケットの存在を検出、除去等を行う。
【００３３】
ＲＡＭ１２は、ソフトウェアの実行時に発生する一時的なデータも記憶する。通信インタフェース１３ａは、内部バス１４に接続されており、通信回線４を介して異なるネットワーク環境との通信パケット情報の送受信を行う。通信インタフェース１３ｂは、内部バス１４に接続されており、ＬＡＮ３を介して同一ネットワーク内の通信パケット情報の送受信を行う。
【００３４】
図３は、通信装置２の構成を示すブロック図である。通信装置２は、少なくともＣＰＵ２１、記憶装置２２、ＲＡＭ２３、表示部２４、入力部２５、補助記憶装置２６及び通信インタフェース２７からなり、記憶装置２２は、オペレーティングシステム、制御プログラム及び通信のアドレスを制御する情報を制御するアドレス分割情報を記憶してある。通信装置２に記憶しているアドレス分割情報は、具体的にはネットマスク情報であり、固有のアドレスであるＩＰアドレスをネットワークアドレス部分とホストアドレス部分とに分割する。アドレス分割情報は、各通信装置２ごとにその内容が相違する。
【００３５】
ＣＰＵ２１は、内部バス２８を介して通信装置２の上述したようなハードウェア各部と接続されており、上述したハードウェア各部を制御するとともに、ハードディスク等の記憶装置２２に格納された制御プログラム又は補助記憶装置２６を介してＣＤ−ＲＯＭ、ＤＶＤ等の（可搬型）記録媒体を用いて記憶装置２２へ導入された制御プログラムに従って、種々のソフトウェア的機能を実行する。また、記憶装置２２に格納されたアドレス分割情報を用いてネットワークアドレス部分を算出し、同一ネットワークと認識された装置間でデータの送受信を行う。
【００３６】
ＲＡＭ２３は、ＤＲＡＭ等で構成され、ソフトウェアの実行時に発生する一時的なデータを記憶する。
【００３７】
表示部２４は、液晶表示装置、ＣＲＴディスプレイ等の表示装置であり、通信状態を表示したり、ユーザへ操作入力を促す画面を表示したり、画像データの表示等を行う。入力部２５は、通信装置２を操作するために必要な文字キー、テンキー、各種のファンクションキー等を備えたキーボード、マウス等の入力媒体である。
【００３８】
通信インタフェース２７は、内部バス２８に接続されており、外部からの通信パケット情報の送受信を、ＬＡＮ３を介して行う。
【００３９】
以下、上述した構成のネットワークシステムにおける通信装置２、２間の通信処理の動作について説明する。図４は、本発明の実施の形態１に係るネットワークシステムにおける通信装置２、２、・・・及びルータ１とのＩＰアドレスの関係を示す図である。
【００４０】
図４では、ルータ１の通信インタフェース１３ａ、１３ｂに適用されるネットワーク構成情報は、従来の設定と相違しない。すなわち、接続するＬＡＮ３のＩＰアドレスは、１９２．１６８．１．０〜１９２．１６８．１．２５５の２５６個であり、ＬＡＮ３に接続する機器は、１９２．１６８．１．１〜１９２．１６８．１．２５４の範囲のいずれかのＩＰアドレスを有する。なお、ルータ１を示すＩＰアドレスとして、１９２．１６８．１．１を割り当てる。
【００４１】
ルータ１がＤＨＣＰサーバ機能を有し、オペレーティングシステムとしてウィンドウズ（登録商標）（Ｒ）が稼働する通信装置２ａに対してＩＰアドレスを自動的に割り当てる場合、１９２．１６８．１．２〜１９２．１６８．１．２５４から未使用のＩＰアドレスを1つ、例えば１９２．１６８．１．５０を選ぶ。通信装置２ａのＩＰアドレスを１９２．１６８．１．５０と指定するとともにネットマスクを２５５．２５５．２５５．２５５とし、デフォルトゲートウェイのアドレス１９２．１６８．１．１を通信装置２ａに送信する。
【００４２】
このようにすることで、例えば通信装置２ａがＩＰパケットを送信しようとする場合、送信先が通信装置２ａである場合を除いて、異なる物理ネットワークに接続しているものと判断される。例えば通信装置２ｂが送信先である場合、通信装置２ａの接続するネットワークは、ネットマスク２５５．２５５．２５５．２５５であるので１９２．１６８．１．５０〜１９２．１６８．１．５０のサイズを有するネットワークであるものと認識される。そこで、通信装置２ｂのＩＰアドレス１９２．１６８．１．５１に対しては、ネットワークアドレスが相違すると判断されることから、直接通信することができない。よって、ＩＰパケットはデフォルトゲートウェイ１９２．１６８．１．１に転送され、ルータ１に到着する。
【００４３】
したがって、通信装置２ａから他の通信装置２、２、・・・へ送信を行なう場合であっても、必ずルータ１を経由して通信を行なうことから、ルータ１において通信パケットをフィルタリングテーブル１２２の設定に従って監査し、正常なデータであると確認できた後、本来の送信先のＩＰアドレスに通信パケットをルーティングすることができる。
【００４４】
通信装置２ａにとって、デフォルトゲートウェイ１９２．１６８．１．１は直接接続したネットワーク１９２．１６８．１．５０〜１９２．１６８．１．５０の範囲内には存在しない。しかし、ウィンドウズ（登録商標）（Ｒ）のようにネットワーク構成情報の妥当性検査を行なわないオペレーティングシステムでは、デフォルトゲートウェイとして設定されたＩＰアドレスに無条件で送信される。よって、送信元の通信装置２ａは、ＬＡＮ３で直接接続されている他の通信装置２ｂにパケットを送信する場合においても、必ずルータ１を経由して通信を行なうことができ、ルータ１において通信パケットに対してパケットフィルタリング等の処理を行なうことが可能となる。
【００４５】
したがって、ＬＡＮに外部から持ち込まれたウイルス、ワーム等が感染している通信装置２ａが、物理ネットワークが同一であるＬＡＮ上に接続されている他の通信装置２ｂと通信を行う場合であっても、必ずルータ１における監査処理を経由することになり、ルータ１に通信パケットが到達した時点で、ウイルス、ワーム等を駆除する等の適切な処理を実行することができ、より安全で、しかも確実な通信を行うことが可能となる。
【００４６】
（実施の形態２）
本実施の形態２では、実施の形態１と同様、イーサネット（登録商標）を用いて接続されるＬＡＮ環境を想定しており、一の中継装置であるルータ１と、ルータ１の管理対象となる複数の通信装置２、２、・・・とが、ＬＡＮ３を介して接続してある。また、ルータ１は通信回線４を介してインターネット５に接続してあり、外部ネットワークと接続可能となしてある。オペレーティングシステムとして、通信装置２、２、・・・にはリナックスが導入してある。なお、オペレーティングシステムとしては、リナックスに限定されるものではなく、ネットワーク構成情報の確認を行うオペレーティングシステム、例えばＭａｃＯＳＸ（Ｒ）であってもよい。
【００４７】
以下、上述した構成のネットワークシステムにおける通信装置２、２、・・・間の通信処理の動作について説明する。図５は、本発明の実施の形態２に係るネットワークシステムにおける通信装置２、２、・・・及びルータ１とのＩＰアドレスの関係を示す図である。
【００４８】
図５に示すように、ルータ１の通信インタフェース１３に適用されるネットワーク構成情報は、従来の設定と相違しない。すなわち、接続するＬＡＮ３のＩＰアドレスは、１９２．１６８．１．０〜１９２．１６８．１．２５５の２５６個であり、ＬＡＮ３に接続する機器は１９２．１６８．１．１〜１９２．１６８．１．２５４の範囲のいずれかのＩＰアドレスを有する。ルータ１を示すＩＰアドレスとして１９２．１６８．１．１を割り当てる。
【００４９】
ルータ１がＤＨＣＰサーバ機能を有し、通信装置２ａに対してＩＰアドレスを自動的に割り当てる場合、１９２．１６８．１．５〜１９２．１６８．１．２５３から未使用のＩＰアドレスを1つ、１９２．１６８．１．ｎ(ｎ＝４ｍ＋１、ただしｍ、ｎは自然数)を割り当てる。例えば、１９２．１６８．１．５を選ぶ通信装置２ａのＩＰアドレスを１９２．１６８．１．５と指定するとともに、ネットマスクを２５５．２５５．２５５．２５２とし、デフォルトゲートウェイのアドレスとしてＩＰアドレスの末尾に１を加えた１９２．１６８．１．６を通信装置２ａに送信する。また、ＩＰアドレス１９２．１６８．１．ｋ（ｋ＝４ｍ、４ｍ＋１、４ｍ＋２、４ｍ＋３、ただしｋ、ｍは自然数)は他の通信装置２、２、・・・には割り当てない。
【００５０】
このようにすることで、例えば通信装置２ａがＩＰパケットを送信しようとする場合、送信先が通信装置２ａである場合を除いて、送信先は異なる物理ネットワークに接続しているものと判断される。例えば、通信装置２ｂが送信先である場合、通信装置２ａの接続するネットワークは、ネットマスク２５５．２５５．２５５．２５２であるので１９２．１６８．１．４〜１９２．１６８．１．７のサイズ４のネットワークであると見倣される。他の通信装置２、２、・・・のアドレスは、斯かる範囲外のアドレスが割り当てられている。したがって、通信装置２ｂのＩＰアドレス１９２．１６８．１．９は直接通信できないネットワークであると判断され、通信装置２ａはＩＰパケットをデフォルトゲートウェイ１９２．１６８．１．６に対して転送する。
【００５１】
アドレス１９２．１６８．１．６を有する機器はＬＡＮ３上に存在しないが、通信装置２ａが１９２．１６８．１．６を探すべくＡＲＰ要求をＬＡＮ３上で行う場合、中継装置1が、中継装置１のＭＡＣアドレスＭＲで応答する。したがって、通信装置２ａは、ＭＲがデフォルトルータのＭＡＣアドレスであると見倣し、ＭＲ宛にパケットを送信する。
【００５２】
したがって、通信装置２ａから他の通信装置２、２、・・・へ送信を行う場合であっても、必ずルータ１を経由して通信を行うことから、ルータ１において通信パケットをフィルタリングテーブル１２２の設定に従って監査し、正常なデータであると確認できた後、本来の送信先のＩＰアドレスに通信パケットをルーティングすることができる。
【００５３】
これにより、リナックスのようにネットワーク構成情報の妥当性検査を行うオペレーティングシステムであっても、送信元の通信装置２ａは、接続する物理ネットワークに自分自身、デフォルトルータ、及び未使用アドレス２つのみが存在すると誤って認識することから、送信元の通信装置２ａは、ＬＡＮ３で直接接続されている通信装置２ｂにパケットを送信する場合においても、必ずルータ１を経由して通信を行い、ルータ１において通信パケットに対してパケットフィルタリング等の処理を行なうことが可能となる。
【００５４】
したがって、ＬＡＮ３に外部から持ち込まれたウイルス、ワーム等が感染している通信装置２ａが送信元として、ＬＡＮ３に接続されている他の通信装置２ｂに対して通信を行う場合であっても、必ずルータ１における監査処理を経由することになり、ルータ１へ通信パケットが到達した時点でウイルス、ワーム等を駆除する等の適切な処理を実行することができ、より安全で、しかも確実な通信を行うことが可能となる。
【００５５】
なお、本実施の形態２では、１つの通信装置が４つのＩＰアドレスを有するネットワークに含まれるように通信装置側のネットワーク構成情報に認識されている場合について説明しているが、１つの論理ネットワークに含まれるアドレスの個数は４つに限定されるものではなく、２以上でネットワークマスキングが可能な個数、すなわち２のべき乗であれば何でも良い。ただし、１つの論理ネットワークに含まれるアドレスのうち、通信装置に割り当て可能なものは１つのみであり、他は未使用とする必要がある。
【００５６】
なお、本実施の形態１及び２では、ルータ１が通信パケットの監査機能を有する場合について説明しているが、監査処理はルータ１で行うことに限定されるものではなく、専用の監視装置をＬＡＮ３上に別途設けるものであっても良い。この場合、送信元である通信装置は、監視装置のＩＰアドレスへ送信するものと認識するようネットワーク構成情報を設定する。
【００５７】
（実施の形態３）
本実施の形態３では、実施の形態２と同様、イーサネット（登録商標）を用いて接続されるＬＡＮ環境を想定しており、一の中継装置であるルータ１と、ルータ１の管理対象である通信装置２、２、・・・がＬＡＮ３を介して接続してある。また、ルータ１は通信回線４を介してインターネット５に接続してあり、外部のネットワークと接続可能となっている。オペレーティングシステムとして、通信装置２ａにはリナックスが、通信装置２ｂにはウィンドウズ（登録商標）が導入してある。通信装置２ｃはスキャナ装置である。
【００５８】
以下、上述した構成のネットワークシステムにおける通信装置２、２、・・・間の通信処理の動作について説明する。図６は本発明の実施の形態３に係るネットワークシステムにおける通信装置２、２、・・・及びルータ１とのＩＰアドレスの関係を示す図である。
【００５９】
図６では、ルータ１の通信インタフェース１３に適用されるネットワーク構成情報は、従来の設定と相違しない。すなわち、接続するＬＡＮ３のＩＰアドレスは、１９２．１６８．１．０〜１９２．１６８．１．２５５の２５６個であり、ＬＡＮ３に接続する機器は、１９２．１６８．１．１〜１９２．１６８．１．２５４の範囲のいずれかのＩＰアドレスを有する。ルータ１を示すＩＰアドレスとして、１９２．１６８．１．１を割り当てる。
【００６０】
ルータ１内のアドレス割り当てテーブルは、ウィンドウズ（登録商標）（Ｒ）用領域として１９２．１６８．１．５０〜１９２．１６８．１．１２７(ネットマスク２５５．２５５．２５５．２５５)、その他のＯＳ用領域として１９２．１６８．１．１２８〜１９２．１６８．１．２５１(ネットマスク２５５．２５５．２５５．２５２)、適用外機器用領域として１９２．１６８．１．２〜１９２．１６８．１．４９、適用外機器ＭＡＣアドレスとしてＭｃが登録されている。
【００６１】
ルータ１がＤＨＣＰサーバ機能を有し、通信装置２ａに対してＩＰアドレスを自動的に割り当てる場合、通信装置２からのＤＨＣＰ要求に含まれるオペレーティングシステム情報によってウィンドウズ（登録商標）であることを知ることができる。よって、ルータ１は１９２．１６８．１．５０〜１９２．１６８．１．１２７から未使用のＩＰアドレスを１つ、例えば１９２．１６８．１．５０を選ぶ。ルータ１は通信装置２ａのＩＰアドレスを１９２．１６８．１．５０と指定するとともにネットマスクを２５５．２５５．２５５．２５５とし、デフォルトゲートウェイのアドレスとして１９２．１６８．１．１を通信装置２ａに送信する。
【００６２】
ルータ１がＤＨＣＰサーバ機能を有し、通信装置２ｂに対してＩＰアドレスを自動的に割り当てる場合、通信装置２からのＤＨＣＰ要求に含まれるオペレーティングシステム情報によってリナックスであることを知ることができる。そこで、１９２．１６８．１．１２８〜１９２．１６８．１．２５１から未使用のＩＰアドレスを１つ、１９２．１６８．１．ｎ(ｎ＝４ｍ＋１、ただしｍ、ｎは自然数)を割り当てる。例えば１９２．１６８．１．１２９を選ぶルータ１は、通信装置２ｂのＩＰアドレスを１９２．１６８．１．１２９と指定するとともにネットマスクを２５５．２５５．２５５．２５２とし、デフォルトゲートウェイのアドレスとしてＩＰアドレスの末尾に１を加えた１９２．１６８．１．１３０を通信装置２ｂに送信する。また、ＩＰアドレス１９２．１６８．１．１２８〜１９２．１６８．１．１３１は他の通信装置２、２、・・・には割り当てない。
【００６３】
ルータ１がＤＨＣＰサーバ機能を有し、通信装置２ｃに対してＩＰアドレスを自動的に割り当てる場合、通信装置２からのＤＨＣＰ要求に含まれる送信元ＭＡＣアドレス情報がＭｃであるので、適用外機器と知ることができる。そこで、１９２．１６８．１．２〜１９２．１６８．１．４９から未使用のＩＰアドレスを１つ、例えば１９２．１６８．１．２を選ぶ。ルータ１は通信装置２ｂのＩＰアドレスを１９２．１６８．１．２と指定するとともにネットマスクを２５５．２５５．２５５．０とし、デフォルトゲートウェイのアドレス１９２．１６８．１．１を通信装置２ｃに送信する。このネットワーク構成情報は、従来の設定と相違しない。
【００６４】
このようにすることで、通信装置２ａ及び２ｂがＩＰパケットを送信しようとする場合、送信先が自身である場合を除いて、送信先は異なる物理ネットワークに接続しているものと判断され、ルータ１を経由して送信される。通信装置２ｃがＩＰパケットを送信しようとする場合は、送り先がＬＡＮ３に接続していれば直接送信され、それ以外であればルータ１に送られる。
【００６５】
したがって、複数のオペレーティングシステムが導入された通信装置２、２、・・・が混在するネットワークシステムにおいても、ルータ１でのパケット監査が必要な装置にだけ、すべてのパケット送信をルータ１経由で行うことが可能となる。
【００６６】
よって、ＬＡＮ３に外部から持ち込まれたウィルス、ワーム等が感染している通信装置２ａが送信元として、ＬＡＮ３に接続されている他の通信装置２ｂに対して通信を行なう場合であっても、必ずルータ１における監査処理を経由することになり、ルータ１へ通信パケットが到着した時点でウィルス、ワーム等の発信したパケットであることを識別して破棄する等の適切な処理を実行することができ、より安全で、しかも確実な通信を行なうことが可能となる。また、ウィルス、ワーム等と無縁な通信装置２ｃは他の通信装置に直接パケットを送ることを可能とすることで、ルータ１の負荷を軽減することも可能となる。
【図面の簡単な説明】
【００６７】
【図１】本発明の実施の形態１に係るネットワークシステムの全体構成を説明するブロック図である。
【図２】ルータの構成を示すブロック図である。
【図３】通信装置の構成を示すブロック図である。
【図４】本発明の実施の形態１に係るネットワークシステムにおける通信装置及びルータとのＩＰアドレスの関係を示す図である。
【図５】本発明の実施の形態２に係るネットワークシステムにおける通信装置及びルータとのＩＰアドレスの関係を示す図である。
【図６】本発明の実施の形態３に係るネットワークシステムにおける通信装置及びルータとのＩＰアドレスの関係を示す図である。
【符号の説明】
【００６８】
１  ルータ
２、２ａ、２ｂ、２ｃ  通信装置
３  ＬＡＮ
１１、２１  ＣＰＵ
１２、２３  ＲＡＭ
１３ａ、１３ｂ、２７  通信インタフェース
１４、２８  内部バス
２２  記憶装置
２４  表示部
２５  入力部
２６  補助記憶装置
【図１】
2005328281.tif 000003
【図２】
2005328281.tif 000004
【図３】
2005328281.tif 000005
【図４】
2005328281.tif 000006
【図５】
2005328281.tif 000007
【図６】
2005328281.tif 000008