(57)【特許請求の範囲】
【請求項１】
中継するデータパケットの送信先アドレス毎にデータパケットの転送先を示すデータが格納されたルーティングテーブルと、
通過を阻止するべきデータパケットを規定する通過阻止条件を示すフィルタリング条件データが１または複数書き込まれるフィルタリング条件テーブルと、
データパケットを受信し、そのデータパケットの通過を阻止するべきか否かをそのデータパケットの内容と前記フィルタリング条件テーブルの内容とを比較して判定し、通過を阻止するべきではないと判定した場合に、そのデータパケットを前記ルーティングテーブルの格納内容から定まる転送先へ転送する転送手段と、
当該中継装置が外部より受け取ったフィルタリング条件データの表す通過阻止条件を満たすデータパケットの転送経路上で最上流に位置する中継装置であるのか否かを判定する判定手段と、
最上流の中継装置であると前記判定手段により判定された場合には、前記受け取ったフィルタリング条件データを前記フィルタリング条件テーブルへ書き込む処理であって、当該フィルタリング条件データを自装置へ転送した中継装置を示すデータに対応付けてルーティングテーブルに記憶されている送信先アドレスを、通過阻止の対象とするべきデータパケットの送信先アドレスとして当該フィルタリング条件データに追加した後に前記フィルタリング条件テーブルへ書き込む処理を実行し、最上流の中継装置ではないと前記判定手段により判定された場合には、前記転送経路にて上流側に位置する中継装置へ宛てて前記受け取ったフィルタリング条件データを転送する処理を実行する制御手段と
を有することを特徴とする中継装置。
【請求項２】
前記制御手段は、最上流の中継装置ではないと前記判定手段により判定された場合には前記受け取ったフィルタリング条件データの前記フィルタリング条件テーブルへの書き込みを行った後に、前記転送経路にて上流側に位置する中継装置へ宛てて当該フィルタリング条件データを転送する処理を実行することを特徴とする請求項１に記載の中継装置。
【請求項３】
自装置にかかっている処理負荷またはデータパケットの送出先である通信網の処理負荷を計測する計測手段を備え、
前記制御手段は、前記計測手段により計測された処理負荷が所定の閾値を越えている間は、前記転送手段によるデータパケットの転送を差し止める
ことを特徴とする請求項１または２に記載の中継装置。
【請求項４】
コンピュータ装置を、
中継するデータパケットの送信先アドレス毎にデータパケットの転送先を示すデータを記憶する第１の記憶手段と、
通過を阻止するべきデータパケットを示す通過阻止条件を示すフィルタリング条件データを記憶する第２の記憶手段と、
データパケットを受信し、そのデータパケットの通過を阻止するべきか否かをそのデータパケットの内容と前記第２の記憶手段の内容とを比較して判定し、通過を阻止するべきデータパケットではないと判定した場合に、そのデータパケットを前記第１の記憶手段の記憶内容から定まる転送先へ転送する転送手段と、
当該コンピュータ装置が外部より受け取ったフィルタリング条件データの表す通過阻止条件を満たすデータパケットの転送経路上で最上流に位置する中継装置であるのか否かを判定する判定手段と、
最上流の中継装置であると前記判定手段により判定された場合には、前記受け取ったフィルタリング条件データを前記第２の記憶手段へ書き込む処理であって、当該フィルタリング条件データを自装置へ転送した中継装置を示すデータに対応付けて前記第１の記憶手段に記憶されている送信先アドレスを、通過阻止の対象とするべきデータパケットの送信先アドレスとして当該フィルタリング条件データに追加した後に前記第２の記憶手段へ書き込む処理を実行し、最上流の中継装置ではないと前記判定手段により判定された場合には、前記転送経路にて上流側に位置する中継装置へ宛てて前記受け取ったフィルタリング条件データを転送する処理を実行する制御手段、
として機能させることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、データパケットの中継を行う中継装置に関し、特に、予め定められた通過条件を満たすデータパケットまたは予め定められた通過阻止条件を満たさないデータパケットのみを通過させるパケットフィルタリング機能を備えた中継装置に関する。
【背景技術】
【０００２】
近年、インターネットを介して様々なデータ通信を行うことが可能になっている。インターネットには、例えばルータなどの中継装置が多数含まれており、通信端末から送信されたデータパケットをそれら中継装置によって順次転送してその宛先へと送り届けることによってデータ通信が実現される。ここで、データパケットとは、相手装置へ送信するべきデータが書き込まれたペイロード部とその送信先および送信元の通信アドレスが少なくとも書き込まれたヘッダ部とからなるデータブロックのことである。このインターネットを介したデータ通信には、上記複数の中継装置を含む通信システム全体を統一的に運用管理する管理者が存在しないため、クラッカーやハッカーと呼ばれる悪意のユーザによるウィルスプログラム等の配信や、他のコンピュータ装置への不正アクセス等を適切に防止することが困難であるといった問題があった。そこで、このような問題を解決するための技術が従来より種々提案されており、その一例としては、パケットフィルタリング技術が挙げられる（非特許文献１）。
【０００３】
パケットフィルタリングとは、転送対象となるデータパケットのヘッダ部に書き込まれている送信元の通信アドレス等を中継装置に監視させ、それらヘッダ部の内容が所定の条件（以下、フィルタリング条件）を満たしているか否かに応じてそのデータパケットの転送の可否を決定する技術である。このフィルタリング条件については、上記中継装置を通過することを許容するデータパケットを規定する通過条件として上記中継装置に設定される場合と、その通過を阻止する通過阻止条件として上記中継装置に設定される場合とがある。インターネットに含まれる複数の中継装置のうち、例えば企業内に設置されたＬＡＮ（Local Area Network）のようなプライベートネットワークとインターネットとを接続する中継装置に上記パケットフィルタリングを行わせることによって、そのプライベートネットワーク内のコンピュータ装置に対するインターネット経由の不正アクセスを防止することが可能になる。
【非特許文献１】ＲＦＣ１８１２、[online]、インターネット                        <URL:http://rfc.netvolante.jp/rfc/rfc1812.txt>
【発明の開示】
【発明が解決しようとする課題】
【０００４】
ところで、プライベートネットワークとインターネットとを接続する中継装置は、通信端末の最寄りに位置することが多い中継装置である。データパケットの宛先である通信端末の最寄りに位置する中継装置でパケットフィルタリングを行う態様においては、その最寄りの中継装置のパケットフィルタリング機能が送信先である通信端末へのデータパケットの転送を阻止した場合、データパケットがその宛先である通信端末へは到達しないにも拘わらず、その最寄りに位置する中継装置へ至るまでデータパケットの転送は実行されるため、インターネットにて割り当て可能な通信帯域が無駄使いされるといった問題点がある。このような通信帯域の無駄使いを回避するためには、例えば通過阻止の対象となるデータパケットの送信元の最寄りに位置する中継装置にそのデータパケットを通過阻止対象とするフィルタリング条件を設定することが考えられる。しかし、一般に通信網には多大な数の中継装置が含まれているため、その何れにフィルタリング条件を設定すべきかをその通信網の運用管理者に検討させつつ、その設定作業を行わせることは、その運用管理者に多大な作業負担を強いてしまう。
本発明は、上記課題に鑑みて為されたものであり、通信網の運用管理者に多大な作業負担を強いることなく、パケットフィルタリングによりデータ通信の安全性確保を図るとともに、その通信網にて利用可能な通信帯域が無駄使いされることを回避することを可能にする技術を提供することを目的としている。
【課題を解決するための手段】
【０００５】
上記課題を解決するために、本発明は、中継するデータパケットの送信先アドレス毎にデータパケットの転送先を示すデータが格納されたルーティングテーブルと、通過を阻止するべきデータパケットを規定する通過阻止条件を示すフィルタリング条件データが１または複数書き込まれるフィルタリング条件テーブルと、データパケットを受信し、そのデータパケットの通過を阻止するべきか否かをそのデータパケットの内容と前記フィルタリング条件テーブルの内容とを比較して判定し、通過を阻止するべきではないと判定した場合に、そのデータパケットを前記ルーティングテーブルの格納内容から定まる転送先へ転送する転送手段と、当該中継装置が外部より受け取ったフィルタリング条件データの表す通過阻止条件を満たすデータパケットの転送経路上で最上流に位置する中継装置であるのか否かを判定する判定手段と、最上流の中継装置であると前記判定手段により判定された場合には、前記受け取ったフィルタリング条件データを前記フィルタリング条件テーブルへ書き込む処理を実行し、最上流の中継装置ではないと前記判定手段により判定された場合には、前記転送経路にて上流側に位置する中継装置へ宛てて前記受け取ったフィルタリング条件データを転送する処理を実行する制御手段とを有することを特徴とする中継装置、およびコンピュータ装置を上記中継装置の各手段として機能させることを特徴とするプログラムを提供する。
【０００６】
より好ましい態様においては、上記中継装置は、自装置にかかっている処理負荷またはデータパケットの送出先である通信網の処理負荷を計測する計測手段を備え、前記制御手段は、前記計測手段により計測された処理負荷が所定の閾値を超えている間は、前記転送手段によるデータパケットの転送を差し止めることを特徴とする。
【発明の効果】
【０００７】
本発明によれば、通信網の運用管理者に多大な作業負担を強いることなく、パケットフィルタリングによりデータ通信の安全性確保を図るとともに、その通信網にて利用可能な通信帯域が無駄使いされることを回避することが可能になるといった効果を奏する。
【発明を実施するための最良の形態】
【０００８】
以下、図面を参照しつつ本発明の一実施形態について説明する。
（Ａ：構成）
図１は、本発明の一実施形態に係る中継装置を含んでいる通信システム１の構成例を示す図である。図１の通信端末１０Ａおよび１０Ｂの各々は、例えばパーソナルコンピュータであり、ＴＣＰ／ＩＰなどの所定の通信プロトコルにしたがったデータ通信を通信網２０を介して行うことができる。通信端末１０Ａおよび１０Ｂの各々は、例えばＬＡＮなどのプライベートネットワーク（図示省略）を介して通信網２０に接続されている。通信網２０は、例えばインターネットであり、複数の中継装置を含んでいる。図１では、これら複数の中継装置のうち、中継装置３０Ａ、３０Ｂおよび３０Ｃのみが例示されている。これら３つの中継装置のうち、中継装置３０Ａは、通信端末１０Ａが接続されているプライベートネットワークと通信網２０とを接続する中継装置であり、中継装置３０Ｃは、通信端末１０Ｂが接続されているプライベートネットワークと通信網２０とを接続する中継装置である。なお、以下では、中継装置３０Ａ、３０Ｂおよび３０Ｃの各々を区別する必要がない場合には、「中継装置３０」と表記する。同様に、通信端末１０Ａおよび１０Ｂの各々を区別する必要がない場合も「通信端末１０」と表記する
【０００９】
図１に示す３台の中継装置には、所謂ルーティングテーブルが格納されている。これら３台の中継装置は、各々のルーティングテーブルの格納内容にしたがってデータパケットの転送制御を行うことにより、そのデータパケットをその宛先へと送り届けるものである。例えば、中継装置３０Ａには、通信端末１０Ａ宛のデータパケットについてはプライベートネットワーク（図示省略）を介してその通信端末１０Ａへ転送する一方、通信端末１０Ｂ宛のデータパケットについては中継装置３０Ｂへ転送すべきことを示すルーティングテーブルが格納されている。中継装置３０Ｂには、通信端末１０Ａ宛のデータパケットについては中継装置３０Ａへ転送する一方、通信端末１０Ｂ宛のデータパケットについては中継装置３０Ｃへ転送すべきことを示すルーティングテーブルが格納されている。そして、中継装置３０Ｃには、通信端末１０Ａ宛のデータパケットについては中継装置３０Ｂへ転送する一方、通信端末１０Ｂ宛のデータパケットについてはプライベートネットワーク（図示省略）を介してその通信端末１０Ｂへ転送すべきことを示すルーティングテーブルが格納されている。このため、本実施形態では、通信端末１０Ａから通信端末１０Ｂ宛に送信されたデータパケットは、中継装置３０Ａ、中継装置３０Ｂおよび中継装置３０Ｃをこの順に介する転送経路でその宛先である通信端末１０Ｂへと転送され、逆に、通信端末１０Ｂから通信端末１０Ａ宛に送信されたデータパケットは、中継装置３０Ｃ、中継装置３０Ｂおよび中継装置３０Ａをこの順に介する転送経路でその宛先である通信端末１０Ａへ転送される。以下では、データパケットの転送経路上でそのデータパケットの送信元の最寄りに位置する中継装置を「最上流の中継装置」と呼び、逆に、そのデータパケットの送信先の最寄りに位置する中継装置を「最下流の中継装置」と呼ぶ。例えば、通信端末１０Ａから通信端末１０Ｂへ宛てて送信されるデータパケットの上記転送経路では、中継装置３０Ａが「最上流の中継装置」であり、中継装置３０Ｃが「最下流の中継装置」である。
【００１０】
中継装置３０は、上述したデータパケットの転送制御を行う際に、前述したパケットフィルタリング処理も行う。前述したように、中継装置にパケットフィルタリング処理を行わせるためには、中継装置３０の通過を阻止するべきデータパケットまたはその通過を許容するべきデータパケットを規定するフィルタリング条件をその中継装置に予め設定しておく必要があり、本実施形態に係る中継装置３０は、上記フィルタリング条件の設定処理に特徴がある。以下、中継装置３０の構成および機能を中心に説明する。
【００１１】
図２は、中継装置３０の構成例を示す図である。
図２に示すように、中継装置３０は、制御部３１０、第１通信インターフェイス（以下、「ＩＦ」）部３２０、第２通信ＩＦ部３３０、記憶部３４０、および、これら構成要素間のデータ授受を仲介するバス３５０を有している。
制御部３１０は、例えばＣＰＵ（Central Processing Unit）である。制御部３１０は、記憶部３４０に記憶されている各種プログラムを実行することによって、中継装置３０の制御中枢として機能する。第１通信ＩＦ部３２０と第２通信ＩＦ部３３０は、ともにＮＩＣ（Network Interface Card）であり、各々異なる通信網に接続されている。例えば、中継装置３０Ａの第１通信ＩＦ部３２０は、通信端末１０Ａが接続されているプライベートネットワークに接続されており、同第２通信ＩＦ部３３０は、通信網２０の構成要素である複数の小規模通信網の何れかに接続されている。また、中継装置３０Ｂの第１通信ＩＦ部３２０と第２通信ＩＦ部３３０は、上記複数の小規模通信網のうちの互いに異なるものに接続されている。そして、中継装置３０Ｃの第１通信ＩＦ部３２０は、通信端末１０Ｂが接続されているプライベートネットワークに接続されており、同第２通信ＩＦ部３３０は、通信網２０の構成要素である複数の小規模通信網の何れかに接続されている。第１通信ＩＦ部３１０と第２通信ＩＦ部３３０は、各々の接続先から受信したデータパケットを制御部３１０へ引き渡す一方、制御部３１０から受け取ったデータパケットを各々の接続先へ送出する。
【００１２】
記憶部３４０は、図２に示すように、揮発性記憶部３４１と不揮発性記憶部３４２とを含んでいる。揮発性記憶部３４１は、例えばＲＡＭ（Random Access Memory）であり、上記各種プログラムを実行する際のワークエリアとして利用される。不揮発性記憶部３４２は、例えばＦｌａｓｈＲＯＭである。不揮発性記憶部３４２には、各種データや各種プログラムが格納されている。不揮発性記憶部３４２に格納されているデータの一例としては、前述したルーティングテーブルや、フィルタリング条件を示すフィルタリング条件データが書き込まれるフィルタリング条件テーブルが挙げられる。図３は、フィルタリング条件テーブルの一例を示す図である。図３に示すように、フィルタリング条件テーブルに格納されるフィルタリング条件データの代表例としては以下の３種類が挙げられる。第１に、通過を阻止するべきデータパケットをその送信元の通信アドレスで規定するフィルタリング条件データである。第２に、通過を阻止するべきデータパケットをその送信元の通信アドレスとポート番号（すなわち、そのデータパケットの送受信を行うアプリケーションプログラムを示す識別子）とで規定するフィルタリング条件データである。そして、第３に、通過を阻止するべきデータパケットをその送信元の通信アドレスとそのデータパケットの送受信に使用される通信プロトコルとで規定するフィルタリング条件データである。なお、本実施形態では、上記３種類のフィルタリング条件データを用いる場合について説明するが、上記３種類の他に、通過を阻止するべきデータパケットをその送信元アドレスとポート番号および通信プロトコルで規定するフィルタリング条件データを用いても良く、更に、送信先の通信アドレスをフィルタリング条件データに含めても良い。また、本実施形態では、フィルタリング条件データとして通過を阻止するべきデータパケットの条件（通過阻止条件）を示すデータを用いる場合について説明したが、通過させるべきデータパケットの条件（通過条件）を示すデータを用いても勿論良い。更に、これら通過阻止条件および通過条件については、送信元（または宛先）の通信アドレスやポート番号の値で規定するのではなく、それら通信アドレスの範囲やポート番号の範囲で規定しても良い。
【００１３】
一方、不揮発性記憶部３４２に記憶されているプログラムの一例としてはデータパケットの転送処理およびパケットフィルタリング処理を制御部３１０に実行させる制御プログラムが挙げられる。ここで、データパケットの転送処理とは、第１通信ＩＦ部３２０または第２通信ＩＦ部３３０を介して受信したデータパケットを前述したルーティングテーブルの格納内容の示す転送先へ転送する処理であり、パケットフィルタリング処理とは、フィルタリング条件テーブルに格納されている各フィルタリング条件データの示す通過阻止条件を満たすデータパケットについては上記転送処理を差し止める処理である。なお、上記各フィルタリング条件データが通過条件を表す場合には、上記パケットフィルタリング処理とは、その通過条件を満たさないデータパケットについての上記転送処理を差し止める処理である。
【００１４】
加えて、上記制御プログラムにしたがって作動している制御部３１０は、本発明に係る中継装置に特徴的なフィルタリング条件設定処理も実行する。ここで、フィルタリング条件設定処理とは、中継装置３０の外部から与えられるフィルタリング条件データをフィルタリング条件テーブルに書き込む処理である。詳細については後述するが、中継装置３０に対するフィルタリング条件データの与え方としては、中継装置３０の操作部（図示省略）を適宜操作してフィルタリング条件データをユーザが入力する態様と、他の中継装置３０とのデータ通信により与えられる態様との２種類の態様がある。
以上が、中継装置３０の構成である。
【００１５】
（Ｂ：動作）
次いで、中継装置３０が実行する動作のうち、本発明に係る中継装置の特徴を顕著に示す動作（すなわち、フィルタリング条件の設定動作）について図４を参照しつつ説明する。
図４は、中継装置３０の制御部３１０が制御プログラムにしたがって実行するフィルタリング条件設定処理の流れを示すフローチャートである。制御部３１０は、前述した２つの態様の何れかで与えられるフィルタリング条件データを受け取り（ステップＳＡ１００）、そのフィルタリング条件データの表すフィルタリング条件により通過阻止の対象となるデータパケットの転送経路上で自装置が最上流の中継装置となるのか否かを判定する（ステップＳＡ１１０）。より詳細に説明すると、制御部３１０は、ステップＳＡ１００にて取得したフィルタリング条件データに含まれている送信元の通信アドレスとルーティングテーブルの格納内容とから、以下のようにしてステップＳＡ１１０の判定を行う。すなわち、制御部３１０は、上記フィルタリング条件データに含まれている通信アドレスが他の中継装置へ転送すべきデータパケットであることを示す通信アドレスとしてルーティングテーブルに格納されている場合には、自装置は最上流の中継装置ではないと判定し、同フィルタリング条件データに含まれている通信アドレスがプライベートネットワークを介してその宛先へ送信するべきデータパケットを示す通信アドレスとしてルーティングテーブルに格納されている場合には、最上流の中継装置であると判定する。
【００１６】
そして、制御部３１０は、ステップＳＡ１１０の判定結果が“Ｙｅｓ”である場合には、ステップＳＡ１００にて受け取ったフィルタリング条件データを、自装置のフィルタリング条件テーブルに追加書き込みする処理を実行し（ステップＳＡ１２０）、逆に、ステップＳＡ１１０の判定結果が“Ｎｏ”である場合には、ステップＳＡ１１０にて受け取ったフィルタリング条件データを、上流の中継装置へ転送する処理を実行する（ステップＳＡ１３０）。
以上が中継装置３０が実行するフィルタリング条件設定処理である。
【００１７】
例えば、通信端末１０Ａから通信端末１０Ｂへ宛てて送信されたデータパケットについては、中継装置３０Ａ、３０Ｂおよび３０Ｃをこの順に介してその宛先へ転送すべき旨を示すルーティングテーブルが上記３台の中継装置の各々に格納されている状況下で、通信端末１０Ａから送信されたデータパケットの通過を阻止する旨のフィルタリング条件データ（すなわち、通過を阻止するべきデータパケットの送信元アドレスとして通信端末１０Ａの通信アドレスを含むフィルタリング条件データ）が中継装置３０Ｃへキー入力された場合は、以下に述べる処理が中継装置３０Ｃ、３０Ｂおよび３０Ａの各々で実行される。まず、フィルタリング条件データがキー入力される中継装置３０Ｃにおいては、通信端末１０Ａ宛のデータパケットを中継装置３０Ｂに転送すべき旨がルーティングテーブルに規定されているためステップＳＡ１１０の判定結果が“Ｎｏ”になり、ステップＳＡ１３０の処理が実行される。その結果、上記キー入力されたフィルタリング条件データはルーティングテーブルの格納内容の表す転送経路上で上流に位置する中継装置である中継装置３０Ｂへ転送される。このようにして中継装置３０Ｃから送信されてくるフィルタリング条件データを受け取った中継装置３０Ｂにおいても、ルーティングテーブルには、通信端末１０Ａ宛のデータパケットは中継装置３０Ａに転送すべき旨が規定されているため、ステップＳＡ１００の判定結果は“Ｎｏ”になりステップＳＡ１３０の処理が実行される。つまり、上記フィルタリング条件データは、中継装置３０Ｂから更に中継装置３０Ａへと転送される。中継装置３０Ａにて実行されるフィルタリング条件設定処理においては、中継装置３０Ａは通信端末１０Ａから通信端末１０Ｂへ至るデータパケットの転送経路上で最上流に位置する中継装置であるため、ステップＳＡ１００の判定結果は“Ｙｅｓ”になりステップＳＡ１２０の処理が実行される。その結果、上記フィルタリング条件データは中継装置３０Ａのフィルタリング条件テーブルに格納される。
【００１８】
ここで、注目すべき点は、通信端末１０Ａから通信端末１０Ｂへ宛てて送信されたデータパケットの通過を阻止する旨のフィルタリング条件（通過阻止条件）が、上記データパケットの転送経路上で最上流に位置する中継装置に自動設定される点である。このように通過を阻止するべきデータパケットの転送経路上で最上流に位置する中継装置へその通過阻止条件を示すフィルタリング条件が自動設定されるため、通過阻止の対象となるデータパケットが通信網２０へ送出されることはなく、通信網２０にて利用可能な通信帯域が無駄に使用されることが確実に回避される。また、本実施形態に係る通信システム１においては、何れの中継装置にフィルタリング条件を設定すべきかをその通信網２０の運用管理者が検討する必要もない。つまり、本実施形態に係る中継装置３０によれば、通信網の運用管理者に多大な作業負担を強いることなく、パケットフィルタリングによりデータ通信の安全性を確保しつつ、通信網にて利用可能な通信帯域の無駄使いを回避することが可能になるといった効果を奏する。
【００１９】
（Ｃ：変形）
以上、本発明の一実施形態について説明したが、上記実施形態に下記の変形を加えても良いことは勿論である。
（１）上述した実施形態では、中継装置３０の各々にフィルタリング条件にしたがったパケットフィルタリングを行わせる場合について説明した。しかしながら、中継装置３０にかかっている処理負荷が高い場合、または、データパケットの送出先である通信網にかかっている処理負荷が高い場合には、データパケットの転送をフィルタリング条件に適合するか否かに拘わらず停止させても良い。このようなことは、中継装置３０に、自装置にかかっている処理負荷（例えば、ＣＰＵ利用率）またはデータパケットの送出先である通信網の処理負荷（例えば、通信トラヒック）を計測する計測手段を設け、その計測手段により計測された処理負荷が所定の閾値を越えている間は、データパケットの転送を差し止める処理を制御部３１０に実行させることで実現される。
【００２０】
（２）上述した実施形態では、通過阻止の対象となるデータパケットの転送経路上で最上流に位置する中継装置のみにその通過阻止条件を示すフィルタリング条件データを記憶させた。しかし、最上流に位置する中継装置以外にも上記フィルタリング条件データを記憶させ、その記憶後に、さらに上流の中継装置へ宛てて上記フィルタリング条件データを転送する処理を実行させても良い。一般に最上流の中継装置以外では、そのフィルタリング条件にしたがったフィルタリング処理が実行されることは無いが、例えば通信ネットワークのトポロジー変更などにより、その変更前には最上流に位置していなかった中継装置がその変更後は最上流の中継装置になる場合があり、このような事態が生じた場合にも迅速に対応することが可能になる。
【００２１】
（３）上述した実施形態では、通過阻止の対象となるデータパケットの転送経路上で最上流に位置する中継装置にその通過阻止条件を示すフィルタリング条件データを無条件に記憶させる場合について説明した。しかし、図５に示すように、最上流の中継装置へ至る転送経路が複数ある状況下で、何れかの転送経路上に存在する下流側の中継装置へ与えられたフィルタリング条件データを上記最上流の中継装置に無条件に記憶させると不具合が生じる場合がある。例えば、図５に示す通信システムにおいて、通信端末１０Ａから送信されるデータパケットを通過阻止対象とするフィルタリング条件データが中継装置３０Ａに与えられる場合を想定する。この場合、中継装置３０Ａから中継装置３０Ｘを経て中継装置３０Ｚへ至る転送経路上の各中継装置でフィルタリング条件設定処理が実行され、上記フィルタリング条件データは中継装置３０Ｚに記憶される。ここで問題となるのは、図５に示す通信システムにおける他方の転送経路（中継装置３０Ｚから中継装置３０Ｙを経て中継装置３０Ｂに至る転送経路）に関しては、上記データパケットを通過阻止対象とはしない場合である。このような場合、中継装置３０Ｚから中継装置３０Ｙを経て中継装置３０Ｂに至る転送経路においては上記データパケットを通過阻止対象としていないにも拘わらず、中継装置３０Ｚにおいてそのデータパケットの通過が阻止されてしまい、中継装置３０Ｙおよびその下流の中継装置にそのデータパケットが転送されることはない。そこで、このような不具合に対処するため、最上流の中継装置にてフィルタリング条件データを記憶する場合、そのフィルタリング条件データを上記最上流の中継装置へ転送した中継装置に対応付けて上記最上流の中継装置のルーティングテーブルに記憶されている通信アドレスを、通過阻止の対象とするべきデータパケットの送信先アドレスとして上記フィルタリング条件データに追加した後に記憶させれば良い。
【００２２】
（４）上述した実施形態では、本発明に係る中継装置に特徴的なフィルタリング条件設定処理をソフトウェアモジュールで実現したが、ハードウェアモジュールで実現しても勿論良い。具体的には、パケット中継処理やフィルタリング処理、およびフィルタリング条件設定処理の各々を実行する電子回路を組み合わせて制御部３１０を構成しても良い。また、上記実施形態では、本発明に係る中継装置に特徴的なフィルタリング条件設定処理をＣＰＵ（制御部３１０）に実行させるプログラムを不揮発性記憶部３４２に予め記憶させておく場合について説明した。しかし、例えば光磁気ディスクやフラッシュメモリなどのコンピュータ装置読み取り可能な記録媒体に上記プログラムを書き込んで配布し、その記録媒体を用いて一般的なコンピュータ装置に上記プログラムを記憶させても良い。このようにすると、一般的なコンピュータ装置を本発明に係る中継装置として動作させることが可能になる。また、上記記録媒体を用いることによって、一般的な中継装置に本発明に係る中継装置に特徴的な処理を実行させることも可能になる。なお、上記プログラムを配布する態様としては、上記の如き記録媒体に書き込んで配布する態様だけでなく、インターネットなどの電気通信回線経由のダウンロードにより配布する態様であっても勿論良い。
【図面の簡単な説明】
【００２３】
【図１】本発明の一実施形態に係る通信システムの構成例を示すブロック図である。
【図２】同通信システムに含まれる中継装置３０の構成例を示すブロック図である。
【図３】同中継装置３０の不揮発性記憶部３４２に格納されるフィルタリング条件テーブルの一例を示す図である。
【図４】同中継装置３０の制御部３１０が制御プログラムにしたがって実行するフィルタリング条件設定処理の流れを示すフローチャートである。
【図５】変形例（４）に係るフィルタリング条件設定処理を説明するための図である。
【符号の説明】
【００２４】
１…通信システム、１０Ａ，１０Ｂ…通信端末、２０…通信網、３０Ａ，３０Ｂ，３０Ｃ，３０Ｘ，３０Ｙ，３０Ｚ…中継装置、３１０…制御部、３２０…第１通信ＩＦ部、３３０…第２通信ＩＦ部、３４０…記憶部、３４１…揮発性記憶部、３４２…不揮発性記憶部、３５０…バス。
【図１】
0005273960.tif 000002
【図２】
0005273960.tif 000003
【図３】
0005273960.tif 000004
【図４】
0005273960.tif 000005
【図５】
0005273960.tif 000006