(57)【要約】ここには、インターネットを介した外部からのアクセスを制御するための方法および装置が開示されている。本発明は、ネットワークインタフェースカードと通信するアクセス許容アドレスリストを記憶するための記憶装置を使用して、ネットワークインタフェースカードを通じて送信／受信されるパケットからアドレスを抽出するとともに、抽出されたアドレスと、アクセス許容アドレスリスト上のアドレスとを比較し、比較結果に基づいて、アクセス許容またはアクセス禁止を決定する。本発明のネットワークインタフェースカードは、インターネット上で、安全なアクセス許容リストを記憶する記憶装置と通信を行なう。また、ネットワークインタフェースカードのアドレス判定ユニットは、外部から受信したパケットからアドレスを抽出するとともに、安全なコンピュータによるアクセスだけを許容することにより、故意のアクセスを制御する。また、本発明は、ユーザの要求にしたがってアクセス許容アドレスまたはアクセス禁止アドレスのための最新サービスを提供するサーバを使用する。
2004535096.tif 000002
【特許請求の範囲】
【請求項１】
インターネットを介した外部からのアクセスを制御するとともに、ネットワークインタフェースカードによって処理される方法であって、
ネットワークインタフェースカードを通じて送信／受信される１つまたは複数のパケットを受けるとともに、パケットを送信／受信バッファ内に記憶するステップと、
記憶されたパケットからアドレスを抽出するステップと、
抽出されたアドレスと、ネットワークインタフェースカードと通信する記憶リスト内に記憶された安全なＩＰアドレスとを比較するステップと、
比較結果に基づいて、アクセス許容またはアクセス禁止を決定するステップと、
を備えている方法。
【請求項２】
インターネットを介した外部からのアクセスを制御するとともに、ネットワークインタフェースカードによって処理される方法であって、
ネットワークインタフェースカードによって受けられた１つまたは複数のパケットを所定の領域に記憶するとともに、パケットからアドレスを抽出するステップと、
ネットワークインタフェースカードと通信するアクセス許容リスト内に、抽出されたアドレスと同一のアドレスが記憶されているか否かをチェックするステップと、
抽出されたアドレスと同一のアドレスがアクセス許容リスト内に記憶されているか否かをチェックすることにより、アクセス許容／アクセス禁止を決定するステップと、
を備えている方法。
【請求項３】
ネットワークインタフェースカードを通じて送信されるパケットのうち、ＳＹＮビットが設定されているパケットをバッファ内に記憶するとともに、パケットからアドレスを抽出するステップと、
ＳＹＮビットが設定されているパケットを、ネットワークインタフェースカードを通じて送信するステップと、
抽出されたアドレスと同じアドレスから受けた、ＡＣＫビットを有するパケットを受信するとともに、アクセス許容フラグをバッファ内に設定するステップと、
を更に備えている請求項１または請求項２に記載のアクセス制御方法。
【請求項４】
ネットワークインタフェースカードを通じて送信されるパケットのうち、ＳＹＮビットが設定されているパケットをバッファ内に記憶するとともに、パケットからアドレスを抽出して記憶するステップと、
抽出されたアドレスとバッファ内に記憶された各アドレスとを比較するとともに、アドレスが同一であるか否か、および、アクセス許容フラグが設定されているか否かを決定するステップと、
比較されたアドレスが同一で且つアクセス許容フラグが設定されている場合に、受けたパケットを通すステップと、
を更に備えている請求項１または請求項２に記載のアクセス制御方法。
【請求項５】
ネットワークインタフェースカードを通じて受信されるパケットのうち、ＳＹＮビットが設定されているパケットをバッファ内に記憶するとともに、パケットからアドレスを抽出して記憶するステップと、
抽出されたアドレスとバッファ内に記憶された各アドレスとを比較するとともに、アドレスが同一であるか否か、および、アクセス許容フラグが設定されているか否かを決定するステップと、
比較されたアドレスが同一ではなく且つアクセス許容フラグが設定されていない場合に、受けたパケットを削除するステップと、
を更に備えている請求項１または請求項２に記載のアクセス制御方法。
【請求項６】
インターネットを介した外部からのアクセスを制御する装置であって、
要求に基づいてアクセスが許容されるコンピュータの安全なアドレスを記憶するためのアクセス許容アドレス記憶ユニットと、
外部に送信される送信パケットを一時的に記憶するための送信パケットキューと、
外部から受信した受信パケットを一時的に記憶するための受信パケットキューと、
受信パケットからアドレスを抽出して、この抽出したアドレスがアクセス許容アドレス記憶ユニットを参照してアクセス許容であるか否かを決定するとともに、抽出したアドレスと同じアドレスがアクセス許容アドレス記憶ユニット内に存在しない場合には、受信パケットを削除し、抽出したアドレスと同じアドレスがアクセス許容アドレス記憶ユニット内に存在する場合には、受信パケットを受け入れるアドレス判定ユニットと、
を備えている装置。
【請求項７】
アクセス許容アドレス記憶ユニットは、ハッシュ関数を使用した暗号化された形式でアドレス情報を記憶する請求項６に記載のアクセス制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般に、インターネットを介した外部からのアクセスを制御するための方法および装置に関し、特に、ネットワークインタフェースカードを通じて送信／受信されるパケットを受けて、このパケットを送信／受信バッファ内に記憶するとともに、記憶されたパケットからアドレスを抽出して、抽出されたアドレスと、ネットワークインタフェースカードと通信する記憶リスト内に記憶された安全なＩＰアドレスとを比較し、この比較結果に基づいて、アクセス許容またはアクセス禁止を決定する、インターネットを介した外部からのアクセスを制御するための方法およびこの方法を実現するための装置に関する。
【背景技術】
【０００２】
インターネットプロトコルが１９８３年に規格化されて以来、インターネットは、電子メール、ファイル送信（ＦＴＦ）、ゴーファー、ネットワークニュース等の様々な目的で、主に、政府、大企業、多くの大学のコンピュータネットワークを通じて普及してきた。また、米国の国立科学財団（ＮＳＦ）が１９８５年にＮＳＦＮＥＴを構築した時、ＮＳＦは、通信の基本的なプロトコルとして、ＡＲＰＡのインターネットプロトコルであるＴＣＰ／ＩＰを採用した。したがって、ＮＳＦＮＥＴは、インターネットの基幹ネットワークとして機能するとともに、非常に急速に普及してきた。また、１９８８年に、ＡＲＰＡは、ＡＲＰＡＮＥＴの当初の装置を除去し始めた。１９９０年には、もはやＡＲＰＡＮＥＴが軍事的な用途で使用されなかったため、ようやく、インターネットがプライベートネットワークとして再び現われた。また、情報化社会の進展に伴って現われる多くの現象の中には、メディアおよび通信ネットワークの統合があった。この統合により、インターネットは、インターネットの発展に伴ってメディアに値するようになってきた。高度情報通信技術が発展するにつれて、インターネットは、従来社会に定着してきた。そのため、莫大な利益を形成している。しかしながら、一方でまた、インターネットは、大きな社会的問題を引き起こしている。
【発明の開示】
【発明が解決しようとする課題】
【０００３】
図１は、従来の企業において使用される一般的なネットワークの構成を示す図である。図１を参照すると、従来の企業のネットワークは、一般に、図１に示されるように構成されている。ネットワークは、最適な経路を決定し且つ決定された経路にパケットを送信するためにインターネットに接続されたルータ１０と、ルータ１０に接続されたファイアウォール２０とを備えている。ファイアウォール２０は、２つのネットワーク間でアクセス制御方針を策定するのに役立つ。また、アクセス制御にしたがって保護される様々なサーバまたはホスト６０，８０等は、切換ハブ７０によってファイアウォール２０の末端に接続されている。また、サーバは、一般に、メールサーバ４０と、ウェブサーバ３０と、ＦＴＰサーバ５０等とに分類することができる。各サーバの機能はこの分野で良く知られており、その機能の詳細な説明は省略する。また、ユーザによって使用されるパーソナルコンピュータであるホスト６０，８０は、切換ハブ７０を介してファイアウォール２０の末端に接続されている。重要な業務上のデータは、企業内で使用されるホスト６０，８０内に記憶されている。しかしながら、インターネットを介したハッキング技術が益々巧妙になってきており、サーバへのハッキングではなく、ホスト６０，８０への直接的なハッキングの試みが増えてきている。ホスト６０，８０のハッキングが試みられると、重要なデータがコンピュータから漏れるおそれが大きくなる。
【０００４】
一方、パーソナルコンピュータは、基本的に、普通のコンピュータと異ならない。パーソナルコンピュータのユーザが直面するセキュリティの問題は、メインフレームコンピュータの場合と同様に、機密性、完全性、プログラム、データ、ハードウェアの可用性を含んでいる。したがって、アクセス規制リスト、保護メモリ、ユーザ認証技術、確実な動作システム等の標準的な制御技術は、パーソナルコンピュータ環境下においても等しく適用されなければならない。しかしながら、パーソナルコンピュータのセキュリティ制御は、一般に、メインフレームコンピュータまたは同様のタイプのコンピュータのセキュリティ制御と比較して厳格ではない。更に、メインフレームコンピュータであっても、内部ユーザによるデータ破壊から保護されない。パーソナルコンピュータは、外部のインターネットユーザによる故意のハッキングに対するハードウェアレベルの保護を殆ど備えない。一般的なハードウェアレベルの保護装置は、主にサーバで使用されている。しかしながら、そのようなハードウェアレベルの保護装置は、中小企業で使用するにはあまりにも高価であるため、問題である。また、ハードウェアレベルの保護を備える装置を企業が購入する場合であっても、装置を制御できる人手が不足しているために、通常、その装置の管理を最適化することができず、そのため、多くの場合、装置が役に立たないという他の問題もある。
【０００５】
また、ホスト６０，８０すなわち業務用のコンピュータのためのそれぞれのセキュリティサービスを行なう企業はほとんどない。前述した問題を解決するために、ユーザは、クライアントのためのセキュリティプログラムを個人的にインストールして使用する。前述した個人的なファイアウォールは、それがソフトウェア態様で実施されるという点で、また、ファイアウォールをインストールするユーザが直接にそのプログラムを管理しなければならず、そのため、不十分な管理に起因するハッキングのおそれが常に存在するという点で、問題である。
【０００６】
また、ホームユーザ用の一般的なコンピュータにおいては、インターネット環境の発展に伴って、ｘＤＳＬを使用する通信環境が優勢になっている。また、ホームユーザ用のコンピュータをターゲットにするハッキング方法は、単純なプログラムとして作られてきており、通信環境下で幅広く広がってきている。これらのハッキングプログラムの例は、バック・オリフィス２Ｋ、スクールバス、ネットバス、サブセブンｙ３ｋ等である。コンピュータの使用に熟練した人は、前述したハッキングプログラムのマニュアルを勉強するだけで、他人のパーソナルコンピュータに対して簡単にハッカー行為を行なうことができる。しかしながら、ハッキングを防止する方法は、ユーザのコンピュータレベルに応じて異なっている。ユーザレベルのセキュリティは、ファイル暗号化機能、スクリーンロッキング機能、ＩＰ制御機能、ポート制御機能、アクセスログ制御機能、プロセスタスク管理ウインドウ機能、共有制御機能等の様々な保護方法を与える。しかしながら、そのようなプログラムのインストレーションおよび管理を適切に維持できるクライアントユーザがほとんどいないという問題がある。
【０００７】
したがって、本発明は、従来技術に生じる前記問題に留意した。そして、本発明の目的は、インターネットを介した外部からの故意のアクセスを制御するための方法および装置を提供することである。
【０００８】
本発明の他の目的は、ユーザが勝手にパケットを削除することを防止できる、外部からのアクセスを制御するための方法および装置を提供することである。
【０００９】
本発明の更なる目的は、別途のファイアウォール無しに、各ユーザコンピュータによって行なわれる、インターネットによる外部からのアクセスを制御するための方法および装置を提供することである。
【００１０】
本発明の更に他の目的は、更なる管理を必要とすることなく、インターネットによる外部からのアクセスを制御するための方法および装置を提供することである。
【課題を解決するための手段】
【００１１】
前記目的を達成するために、本発明は、ネットワークインタフェースカードと通信するアクセス許容アドレスリストを記憶するための記憶装置を使用して、ネットワークインタフェースカードを通じて送信／受信されるパケットからアドレスを抽出するとともに、抽出されたアドレスと、アクセス許容アドレスリスト上のアドレスとを比較し、比較結果に基づいて、アクセス許容またはアクセス禁止を決定する。ユーザホスト（６０）から外部へのアクセスは自由に行なわれる。また、外部からユーザホスト（６０）への任意の勝手なアクセス要求を禁止することができる。更に、ユーザホスト（６０）によって最初にアクセス要求された外部端末は、ユーザホスト（６０）からのアクセス要求を受け入れる。
【００１２】
本発明の前記目的および他の目的、特徴、利点は、添付図面に関連して成された以下の詳細な説明から、より明確に分かる。
【発明を実施するための最良の形態】
【００１３】
図２は、ＳＹＮビットを使用したアクセス要求プロセスを示す概念図である。インターネットを通じた通信時、相手のコンピュータにデータを送信する最も一般的な方法は、送信制御プロトコル（ＴＣＰ）を使用してデータを送信することである。ＴＣＰは、信頼性がある、すなわち、再送信によるエラー制御およびフロー制御を行なうストリーム形式のコネクション型サービスを与える。ＴＣＰは、２つの通信コンピュータの論理端末間を接続する。２つのコンピュータ間で通信が行なわれる前に、ハンドシェイクと呼ばれる制御情報が送信される。ＴＣＰで使用されるハンドシェイクは、３つのセグメントがやりとりされるため、３方向ハンドシェイクと呼ばれる。ユーザホスト６０は、その中に“同期シーケンス番号”（ＳＹＮ）ビットが含まれる１つのセグメントをコネクタホスト８０に送ることにより、アクセスを開始する。このセグメントは、ユーザホスト６０がアクセスの開始を望んでいることをコネクタホスト８０に知らせるとともに、セグメントの開始番号としてユーザホスト６０が使用する連続番号を割り当てる。コネクタホスト８０は、ＡＣＫビットおよびＳＹＮビットがユーザホスト６０に設定されている１つのセグメントを送ることにより応答する。また、コネクタホスト８０からのセグメントは、コネクタホスト８０がユーザホスト６０からセグメントを受けたことをユーザホスト６０に知らせるとともに、コネクタホスト８０によって使用される開始連続番号をユーザホスト６０に知らせる。最後に、ユーザホスト６０は、ユーザホスト６０がコネクタホスト８０からセグメントを受けたことを示すセグメントをコネクタホスト８０に送るとともに、第１の有効データをコネクタホスト８０に送信する。これにより、ユーザホスト６０およびコネクタホスト８０は、データを互いに確実にやりとりすることができる。以上の説明は、３方向ハンドシェイク方法であり、ユーザがＴＣＰを介してコンピュータにアクセスしたい場合に最も一般に使用される方法である。
【００１４】
以下、添付図面を参照しながら、本発明の実施形態について詳細に説明する。
【００１５】
図３には、インターネットを介した外部からのアクセスを制御する方法が詳細に示されている。図３は、本発明の好ましい実施形態に係るインターネットを介したアクセス制御方法を実現するためのネットワークの構成を示す図である。
【００１６】
ユーザホスト６０に組み込まれたネットワークインタフェースカード１００は、アクセス許容アドレス記憶ユニット２００と通信するように構成されている。コネクタホスト８０からユーザホスト６０へのアクセス要求に対応するパケットは、ネットワークインタフェースカード１００を必ず通過するように構成されている。したがって、ネットワークインタフェースカード１００は、通過したパケットからソースアドレスを抽出するとともに、抽出されたソースアドレスとアクセス許容アドレス記憶ユニット２００内に記憶されたアドレスとを比較する。比較した結果により、ソースアドレスと同じアドレスがアクセス許容アドレス記憶ユニット２００内に存在する場合には、ネットワークインタフェースカード１００は、そのパケットを通す。逆に、ソースアドレスと同じアドレスがアクセス許容アドレス記憶ユニット２００内に存在しない場合には、ネットワークインタフェースカード１００は、そのパケットを削除する。また、ホスト間のインタフェースを容易にするため、ユーザホスト６０が外部のコネクタホスト８０へのアクセスを更に要求する場合には、ネットワークインタフェースカード１００は、最近アクセス要求されたアドレスを追加バッファに記憶してそのアドレスを後に検索できるようにし、ユーザホスト６０によりアクセス要求されたコネクタホスト８０から受ける応答信号に備えて待機しても良い。このように、ユーザホスト６０がコネクタホスト８０へのアクセスを要求する場合には、パケットの送信が規制されることはなく、また、コネクタホスト８０からユーザホスト６０へのアクセス要求に対応するパケットが削除される。しかしながら、ユーザホスト６０からの要求に基づくコネクタホスト８０からのアクセス要求が入力される場合には、ネットワークインタフェースカード１００は、パケットをバッファ内に一時的に記憶して、パケットを通すようにする。すなわち、送信されたパケットから抽出されたアドレスがアクセス許容アドレスとしてバッファ内に存在する場合には、コネクタホスト８０は、ユーザホスト６０にアクセスすることができる。前述したように、外部サーバ３００へのアクセスは、インターネット等を使用したデータ検索において、ユーザホスト６０により頻繁に要求されるため、ユーザホスト６０から外部サーバ３００へのアクセスのためのパケットは、これを自由に送信する目的で制限されない。また、外部サーバ３００からのアクセス要求パケットが送信される場合であっても、外部サーバ３００へのアクセスを許容するためのフラグを設定することにより、外部サーバ３００へのアクセスを許容することができる。したがって、ユーザがインターネットのサイトを通じて商品を購入する時に電子マネーによる支払を行なう場合であっても、規制はない。
【００１７】
次に、図４を参照しながら、本発明の好ましい実施形態に係るネットワークインタフェースカードについて詳細に説明する。図４は、本発明に係るインターネットを介したアクセス制御機能を有するネットワークインタフェースカードの内部構成を示すブロック図である。
【００１８】
ネットワークインタフェースカード１００は、コンピュータと通信するためのＰＣＩバスを使用する。ネットワークインタフェースカード１００は、ＰＣＩバスを通じて送信されるパケットにおいて媒体アクセス制御（ＭＡＣ）を処理するＭＡＣ処理ユニット１５０、物理層を処理するためのＰＨＹ処理ユニット１６０、パケット処理に必要なバッファ１２０、ブートＲＯＭ、コネクタ等を備えている。
【００１９】
また、本発明のネットワークインタフェースカード１００は、アドレス判定ユニット１１０と、アクセス許容アドレス記憶ユニット２００と、送信パケットキュー１３０と、受信パケットキュー１４０とを更に備えている。更に、ネットワークインタフェースカード１００は、ユーザコンピュータからコネクタホスト８０または外部サーバ３００へのアクセス要求に関する情報を記憶するためのバッファ１２０を更に備えるように実現されても良い。
【００２０】
図４に示されるように、アドレス判定ユニット１１０は、ＭＡＣ処理ユニット１５０の前の段階に接続されているが、ＭＡＣ処理ユニット１５０とＰＨＹ処理ユニット１６０との間に配置されていても良く、あるいは、ＰＨＹ処理ユニット１６０の次の段階に接続されていても良い。また、図４において、送信パケットキュー１３０および受信パケットキュー１４０は、別個に設けられているが、シグナルパケットキューに一体化されていても良い。
【００２１】
アドレス判定ユニット１１０は、イーサネット／ＰＣＩバスを通じて送信されたパケットから、ソース／宛先アドレスを抽出する。宛先アドレスは、ＰＣＩバスを通じて送信されたパケットから抽出される。一方、ソースアドレスは、イーサネットバスを通じて送信されたパケットから抽出される。アドレス判定ユニット１１０は、入力されたパケットからアドレスを抽出するとともに、このアドレスとバッファ１２０内あるいはアクセス許容アドレス記憶ユニット２００内に記憶されたアドレスリスト上のアドレスとを比較して、比較した結果に基づいてパケットを通すべきか否かを判断する。また、アドレス判定ユニット１１０は、これを通過する全てのパケットをチェックしても良い。しかしながら、入力されたパケットが処理の対象であるか否かを判断して、処理の対象でないパケットを通すとともに、処理の対象となるパケットのみに関してこれらを通すべきか否かを判断することが好ましい。処理の対象となるパケットは、ＴＣＰおよびＵＤＰを使用するパケットに制限されることが好ましい。後述するように、アドレス判定ユニット１１０に入力されたパケットは、アドレス判定ユニット１１０を介して送信パケットキュー１３０あるいは受信パケットキュー１４０内に一時的に記憶される。また、アドレス判定ユニット１１０は、パケットから抽出されたアドレスをバッファ１２０内に記憶する機能を実行する。
【００２２】
また、アクセス許容アドレス記憶ユニット２００は、ユーザホスト６０の外部コンピュータからのアクセス要求が常に許容されるコンピュータのアドレスを記憶するとともに、ネットワークインタフェースカード１００と通信するように構成されている。すなわち、コンピュータ内に組み込まれたハードディスク内にアクセス許容アドレス記憶ユニット２００が記憶されていても良く、あるいは、ネットワークインタフェースカード１００が別個の記憶装置を有していても良い。別個の記憶装置としてフラッシュメモリやＥＥＰＲＯＭ等の不揮発性メモリが使用される。アクセス許容アドレス記憶ユニット２００内に記憶された内容は、アクセスが許容されたコンピュータのＩＰアドレスに対応する番号、あるいは、そのＵＲＬアドレスに対応する文字値である。前記番号および前記文字値は、そのままの形でアクセス許容アドレス記憶ユニット２００内に記憶されないが、ハッシュ関数によってハッシュ処理された形式としてアクセス許容アドレス記憶ユニット２００内に記憶されることが好ましい。ハッシュ関数は逆関数を有していないため、記憶された内容は、それを誰かが読み取ろうとしても読み取ることができない値となる。また、ハッシュ値として記憶された内容は、それらがインデックスとして形成されて記憶されることにより、それらを通常のテキストの検索と比べて迅速に検索できるという点で、有益である。また、アドレス判定ユニット１１０がアクセス禁止を判定することができるように、アクセス許容アドレス記憶ユニット２００は、アクセスすることが常に禁じられたアドレスのリストであるアクセス禁止リストを更に有していても良い。
【００２３】
ユーザホスト６０が最近においてインターネットを介してアクセスを要求した場合、バッファ１２０は、ユーザホスト６０によって送信されるそのアクセス要求に関する内容を一時的に記憶し、これにより、外部サーバ３００から供給され得る別のアクセス要求のためのパケットが通される。また、バッファ１２０は、バッファ１２０内に記憶された最近のアクセス要求されたパケットの数を任意で設定することができるように構成されている。すなわち、パケットの数は、バッファ１２０の容量に応じて増大し、そのため、通常のコンピュータユーザによるインターネットアクセスの最初から最後までの全てのアクセス要求パケットに関する情報をバッファ１２０内に記憶することができる。また、バッファ１２０の容量が小さい場合、ごく最近に受けたアクセス要求パケットがバッファ１２０内に記憶され、最初に受けたアクセス要求パケットが最初に削除される。
【００２４】
また、バッファ１２０は、フラッシュメモリ等の不揮発性メモリあるいはＲＡＭ等の揮発性メモリとして実現することができる。しかしながら、その高いアクセス速度により、揮発性メモリを使用することが好ましい。
【００２５】
送信パケットキュー１３０は、ＰＣＩバスからアドレス判定ユニット１１０に入力されたパケットを一時的に記憶するのに役立つ。また、送信パケットキュー１３０がパケットを一時的に記憶する一方で、アドレス判定ユニット１１０は、そのパケットからアドレスを抽出する。その後、ユーザホスト６０から外部サーバ３００またはコネクタホスト８０へと送信されるパケット内でアクセス要求に対応するＳＹＮビットが設定されると、送信パケットキュー１３０がパケットを一時的に記憶し、一方、ＳＹＮビットおよびＡＣＫビットを有する信号に備えて待機するべく宛先アドレスがバッファ１２０内に記憶される。また、送信パケットキュー１３０がパケットを一時的に記憶する一方で、アクセス許容アドレス記憶ユニット２００とは別個のバッファ１２０内にアクセス許容アドレスリストが記憶される。したがって、ＳＹＮビットが設定されたアクセス要求パケットが、バッファ１２０内に記憶されたアクセス許容アドレスから受けられると、ユーザホスト６０へのアクセスを許容できる。また、送信パケットキュー１３０は、ＲＡＭ等の揮発性メモリとして、あるいは、フラッシュメモリ等の不揮発性メモリとして実現することができる。しかしながら、アクセス速度を考えると、揮発性メモリを使用することが好ましい。
【００２６】
受信パケットキュー１４０は、イーサネットからアドレス判定ユニット１１０に入力されたパケットを一時的に記憶するのに役立つ。また、受信パケットキュー１４０がパケットを一時的に記憶する一方で、アドレス判定ユニット１１０は、そのパケットからアドレスを抽出する。アドレス判定ユニット１１０がそのアドレスをアクセスが禁止されたアドレスとして判定すると、対応するパケットが削除される。しかしながら、入力されたパケットが、ユーザホスト６０によってアクセス要求されたアドレスに対応するパケットである場合、そのアドレスがアクセス許容アドレスとしてバッファ１２０内に記憶されているため、受信パケットキュー１４０は、そのパケットを通す。すなわち、ユーザホスト６０によってアクセス要求された外部コンピュータに対してＳＹＮビットが送信されることにより、外部コンピュータから受けたＳＹＮビットおよびＡＣＫビットのアクセスを許容することができる。また、受信パケットキュー１４０は、送信パケットキュー１３０と同様に、揮発性メモリまたは不揮発性メモリとして実現されても良い。しかしながら、受信パケットキュー１４０は、揮発性メモリとして実現されることが好ましい。
【００２７】
以下、図５を参照しながら、受信パケットのアクセス許容／禁止について説明する。図５は、本発明の好ましい実施形態に係るアドレス判定ユニットによって受信パケットをチェックすることによりアクセス要求を許容／禁止するプロセスのフローチャートである。
【００２８】
ステップＳ１００において、インターネットに接続されたユーザホスト６０内に組み込まれたネットワークインタフェースカード１００は、外部サーバ３００またはコネクタホスト８０からパケットを受信する。ステップＳ１１０において、ネットワークインタフェースカード１００は、受信したパケットをコピーすることにより、受信したパケットを受信パケットキュー１４０内に記憶する。ステップＳ１２０において、アドレス判定ユニット１１０は、受信したパケットからソースアドレスを抽出する。また、ステップＳ１３０において、アドレス判定ユニット１１０は、抽出されたソースアドレスと、バッファ１２０内に記憶されたアドレスとを比較する。
【００２９】
バッファ１２０内で分類されたアドレスに関して、ステップＳ１３０−１において、抽出されたアドレスと同じアドレスが存在する場合、ステップＳ１３１において、抽出されたアドレスがアクセス許容アドレスとして分類されるか否かが判定される。ステップＳ１３２において、そのアドレスがアクセス許容アドレスとして分類される場合には、ステップＳ１３４において、アドレス判定ユニット１１０は、そのパケットを通す。一方、ステップＳ１３３において、アドレスがアクセス禁止アドレスとして分類される場合には、アドレス判定ユニット１１０は、ステップＳ１３５において、対応するパケットを削除する。
【００３０】
また、ステップＳ１３０−２において、抽出されたアドレスと同じアドレスがバッファ１２０内に存在しない場合、ステップＳ１４０において、アドレス判定ユニット１１０は、抽出されたアドレスと、アクセス許容アドレス記憶ユニット２００内に記憶されたアドレスリスト上のアドレスとを比較する。
【００３１】
ステップＳ１５０において、アドレス判定ユニット１１０は、アクセス許容アドレス記憶ユニット２００内に記憶されたアドレスリスト上の任意のアドレスが抽出されたアドレスと同一であるか否かを判断する。Ｓ１５０−１において、アドレスリスト上の任意のアドレスが抽出されたアドレスと同じでないと判断されると、ステップＳ１５１において、アドレスは受信禁止に対応する。したがって、抽出されたアドレスは、ステップＳ１５２において、アクセス禁止アドレスとしてバッファ内に記録される。また、ステップＳ１５３において、対応するパケットが削除される。
【００３２】
また、ステップＳ１５０−２において、アクセス許容アドレス記憶ユニット２００内に記憶されたアドレスリスト上の任意のアドレスが抽出されたアドレスと同一であると判断される場合には、抽出されたアドレスは、ステップＳ１６０において、アクセス許容アドレスとしてバッファ内に記録される。また、ステップＳ１７０において、対応するパケットが通される。
【００３３】
以下、図６を参照しながら、送信パケットのアクセス許容／禁止について説明する。図６は、本発明の好ましい実施形態に係るアドレス判定ユニットによって送信パケットをチェックすることによりアクセス要求を許容／禁止するプロセスのフローチャートである。
【００３４】
ステップＳ２００において、ウェブブラウザまたは他のアプリケーションプログラムを使用して、コネクタホスト８０または任意のウェブサーバ３０等の外部サーバ３００へのアクセスをユーザホスト６０が要求すると、ユーザホスト６０内に組み込まれたネットワークインタフェースカード１００は、送信パケットを受ける。したがって、ネットワークインタフェースカード１００は、ステップＳ２１０において、そのパケットを送信パケットキュー１３０内に記憶する。アドレス判定ユニット１１０は、ステップＳ２２０において、受けたパケットから宛先アドレスを抽出するとともに、ステップＳ２３０において、抽出された宛先アドレスと、バッファ１２０内に記憶されたアドレスとを比較する。
【００３５】
ステップＳ２３０−１において、抽出された宛先アドレスと同じアドレスがバッファ１２０内に存在する場合、アドレス判定ユニット１１０は、ステップＳ２３１において、対応するパケットを通す。一方、ステップＳ２３０−２において、抽出された宛先アドレスと同じアドレスがバッファ１２０内に存在しない場合、アドレス判定ユニット１１０は、ステップＳ２４０において、ＳＹＮビットがパケット内に設定されているか否かを判断する。
【００３６】
ステップＳ２４０−１において、ＳＹＮビットがパケット内に設定されている場合、ステップＳ２５０において、宛先アドレスがアクセス許容アドレスとしてバッファ１２０内に記録されるとともに、ステップＳ２６０において、宛先アドレスから送信されるＡＣＫビットを有するパケットの受信のための待機状態が記憶される。更に、アドレス判定ユニット１１０は、ステップＳ２７０において、パケットを通過させ、イーサネットを通じてパケットを外部に送信できるようにする。
【００３７】
一方、ステップＳ２４０−２において、ＳＹＮビットがパケット内に設定されていない場合、ステップＳ２４１において、宛先アドレスがバッファ内に記憶される。また、ステップＳ２４２において、アドレス判定ユニット１１０は、パケットを通過させ、イーサネットを通じてパケットを外部に送信できるようにする。
【００３８】
本発明の好ましい実施形態の例を説明するために開示してきたが、当業者であれば分かるように、添付の請求項に開示された本発明の範囲および精神から逸脱することなく、様々な改良、追加、置換が可能である。
【産業上の利用可能性】
【００３９】
前述したように、本発明に係るインターネットを介した外部からのアクセスを制御する方法および装置は、インターネットを介した外部からの故意のアクセスを制御できる点で有益である。
【００４０】
また、本発明は、ユーザが勝手にパケットを消去したり削除したりすることを防止できる点で有益である。
【００４１】
また、本発明は、追加のファイアウォールが無くても、各個人のコンピュータを使用したインターネットによる外部からのアクセスを制御できる点で有益である。
【００４２】
更に、本発明は、アクセス制御のための更なる管理を必要とすることなく、インターネットによる外部からのアクセスを制御できる点で有益である。
【図面の簡単な説明】
【００４３】
【図１】従来の企業で使用される一般的なネットワークの構成を示す図である。
【図２】ＳＹＮビットを使用するアクセス要求プロセスを示す概念図である。
【図３】本発明の好ましい実施形態に係るインターネットを介した外部からのアクセスを制御する方法を実現するためのネットワークの構成を示す図である。
【図４】本発明の好ましい実施形態に係るインターネットを介したアクセス制御機能を有するネットワークインタフェースカードの内部構成を示すブロック図である。
【図５】アドレス判定ユニットにより受信パケットをチェックすることによってアクセス要求を許容／禁止するプロセスのフローチャートである。
【図６】アドレス判定ユニットにより送信パケットをチェックすることによってアクセス要求を許容／禁止するプロセスのフローチャートである。
【図１】
2004535096.tif 000003
【図２】
2004535096.tif 000004
【図３】
2004535096.tif 000005
【図４】
2004535096.tif 000006
【図５】
2004535096.tif 000007
【図６】
2004535096.tif 000008
【国際公開パンフレット】
2004535096.tif 000009
2004535096.tif 000010
2004535096.tif 000011
2004535096.tif 000012
2004535096.tif 000013
2004535096.tif 000014
2004535096.tif 000015
2004535096.tif 000016
2004535096.tif 000017
2004535096.tif 000018
2004535096.tif 000019
2004535096.tif 000020
2004535096.tif 000021
2004535096.tif 000022
2004535096.tif 000023
2004535096.tif 000024
2004535096.tif 000025
2004535096.tif 000026
2004535096.tif 000027
2004535096.tif 000028
2004535096.tif 000029
2004535096.tif 000030
2004535096.tif 000031
2004535096.tif 000032
2004535096.tif 000033
2004535096.tif 000034
2004535096.tif 000035
2004535096.tif 000036
2004535096.tif 000037
2004535096.tif 000038
2004535096.tif 000039
2004535096.tif 000040
【国際調査報告】
2004535096.tif 000041