(57)【要約】【課題】ネットワーク間のパケット中継において、端末装置が接続されているネットワークとは異なるネットワークに端末装置がアクセスする際のセキュリティを確保することができるネットワーク中継装置を得ることを目的とする。【解決手段】ネットワーク中継装置３は、ＰＣ１，２がネットワーク５にアクセスするためのアクセス条件が登録されるフィルタ設定情報に基づいて、ＰＣ１，２からのパケットをネットワーク５に転送するとともに、ＰＣ１，２から受信したアクセス識別子付きパケットと、ＰＣ１，２を識別するためのアクセス識別子およびパスワードが登録されるアクセス設定情報とに基づいてＰＣ１，２のアクセス認証を行い、アクセス認証された端末装置についてはネットワーク５へのアクセスを許可することをフィルタ設定情報に登録する。【選択図】図１
2007158494.tif 000002
【特許請求の範囲】
【請求項１】
第１のネットワークと第２のネットワークとの間に配置され、前記第１のネットワークに接続される少なくとも１台の端末装置が前記第２のネットワークにアクセスする際のパケットを中継するネットワーク中継装置において、
前記端末装置毎に第２のネットワークへのアクセスに関する情報として前記端末装置を識別するための端末装置識別子、および認証情報が登録されるアクセス設定情報を記憶するアクセス情報記憶部と、
前記端末装置の第２のネットワークへのアクセス条件が登録されるフィルタ設定情報を記憶するフィルタ情報記憶部と、
前記フィルタ情報記憶部に記憶されているフィルタ設定情報に基づいて前記端末装置からのパケットを中継するとともに、前記端末装置から受信した端末装置識別子付きパケットと、前記アクセス情報記憶部に記憶されているアクセス設定情報とに基づいて、端末装置識別子付きパケットを送信した端末装置のアクセス認証を行ない、アクセス認証された端末装置については前記第２のネットワークへのアクセスを許可することを前記フィルタ情報記憶部に記憶されているフィルタ設定情報に登録する中継処理部と、
を備えることを特徴とするネットワーク中継装置。
【請求項２】
前記アクセス情報記憶部が記憶するアクセス設定情報には、
前記端末装置識別子に対応付けて、前記第２のネットワークへのアクセス条件、自装置が提供するサービス利用条件、前記第２のネットワークを介して提供されるサービス利用条件、前記第２のネットワークを介した第３のネットワークへのアクセス条件の少なくとも１つが登録され、
前記中継処理部は、
前記アクセス設定情報に登録されている条件毎にフィルタ設定情報の登録を行なうこと、を特徴とする請求項１に記載のネットワーク中継装置。
【請求項３】
前記中継処理部は、
前記フィルタ設定条件に登録されている各条件を前記端末装置識別子、および前記端末装置が送信するパケット内のアプリケーションのポート番号を用いて識別すること、を特徴とする請求項１または２に記載のネットワーク中継装置。
【請求項４】
前記端末装置識別子として、前記端末装置に予め付与されたアクセス識別子、前記端末装置に付与されているＩＰアドレス、または自装置が前記端末装置を収容するポートを識別するためのポート識別子を用いること、を特徴とする請求項１〜３の何れか一つに記載のネットワーク中継装置。
【請求項５】
前記アクセス設定情報は、
前記端末装置識別子に対応付けて前記認証情報、および前記端末装置が属するグループを識別するためのグループ識別子が登録されるアクセス認証情報と、
前記グループ識別子に対応付けて前記第２のネットワークへのアクセス条件、前記自装置が提供するサービス利用条件、前記第２のネットワークを介して提供されるサービス利用条件、前記第２のネットワークを介した第３のネットワークへのアクセス条件の少なくとも１つが登録されるサービス設定情報と、
で構成され、
前記フィルタ設定情報に登録する条件を、前記端末装置が属するグループ毎に管理すること、を特徴とする請求項２〜４の何れか一つに記載のネットワーク中継装置。
【請求項６】
前記中継処理部は、
前記フィルタ設定条件に前記第２のネットワークを介して提供されるサービス利用を許可することが登録されている端末装置から前記第２のネットワークを介して提供されるサービスを利用する際に用いるパケットを受信した場合には、受信したパケットに前記第２のネットワークを介して提供されるサービスに必要なアクセス識別付加情報を付加して前記第２のネットワークに送信し、前記第２のネットワークからアクセス識別付加情報付きのパケットを受信した場合には、前記アクセス識別付加情報を削除したパケットを前記第１のネットワークに送信すること、を特徴とする請求項２〜５の何れか一つに記載のネットワーク中継装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク間を接続するネットワーク中継装置に関するものであり、特に、一方のネットワークに接続される１若しくは複数の端末装置やこれら端末装置上で動作するプログラムを識別し、各端末装置からのアクセスを契機に当該端末装置毎の設定を反映させるネットワーク中継装置に関するものである。
【背景技術】
【０００２】
従来から、ネットワーク間に配置され、一方のネットワークから他方のネットワークにパケットを中継するネットワークアクセス制御に関する種々の技術が考えられている。たとえば、（特許文献１）には、情報サーバ側から利用者を特定し、認証通信網内における認証状態の不一致または重複を回避してネットワークレベル認証、および個人レベル認証の手順を簡単化してゲートウェイ装置（ネットワーク中継装置）の処理負荷を軽減させる中継接続方式に関する技術が開示されている。
【０００３】
図１５は、従来の技術を説明するための図である。図１５において、１００は、ユーザが使用する端末装置（以下、ＰＣとする）、３００は、ＰＣ１００の送受信パケットを中継するネットワーク中継装置、７００は、ＰＣ１００の通信相手となる情報サーバ、６００は、ネットワークレベルおよび個人レベルの認証情報と、個人レベルのアクセス制御情報とを保持して情報サーバ７００へのアクセスを認証する認証サーバ、５００は、ＰＣ１００とネットワーク中継装置３００とを接続する公衆網、４００は、認証サーバ６００と情報サーバ７００とネットワーク中継装置３００とを接続するネットワークである。
【０００４】
認証サーバ６００は、ネットワークレベルの認証情報に個人レベルの認証情報を付加した認証情報、および個人レベルのアクセス制御情報に基づいて、ネットワーク中継装置３００を介してＰＣ１００からの被認証情報を検証して、アクセス制御情報を付加した検証結果をネットワーク中継装置３００に送信する。
【０００５】
ネットワーク中継装置３００は、認証完了時にネットワークアドレス（ＩＰアドレス）および利用者識別子をそれぞれ保持するとともに、これらに対応付けて個人レベルのアクセス制御情報を保持する。ネットワーク中継装置３００は、ＰＣ１００からの認証通信網であるネットワーク４００を介した情報サーバ７００へのアクセス時には、ＰＣ１００のＩＰアドレスから該当するアクセス制御情報を検索し、検索したアクセス制御情報に基づいて情報サーバ７００へのアクセスを制御する。
【特許文献１】特許第３６４５８４４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、上記（特許文献１）に記載の従来の技術は、外部のネットワーク（公衆網）から認証サーバおよび情報サーバが接続されるネットワークへの端末装置のアクセスを制御するものであり、認証サーバおよび情報サーバが接続されるネットワークから外部のネットワークへのアクセスを制御するものではない。具体的には、たとえば、社内のＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）などにインターネットなどの公衆網を介してアクセスする端末装置を制御するものである。したがって、上記（特許文献１）に記載の従来の技術では、内部のネットワークから外部のネットワークへのアクセスに対してのセキュリティを確保することはできないという問題があった。
【０００７】
また、上記（特許文献１）に記載の従来の技術では、端末装置のＩＰアドレスを用いてネットワークへのアクセスを許可するか否かを判定するようにしているので、端末装置上で実行されているプログラム（端末装置が受けるサービス）を区別してネットワークのアクセスを許可するか否かを判定することはできないという問題があった。たとえば、メールのやりとりは許可するが、その他の情報に関するアクセスは禁止するなどの動作によってネットワークへのアクセスを制御することはできないという問題があった。
【０００８】
本発明は、上記に鑑みてなされたものであって、ネットワーク間のパケットの中継において、端末装置が接続されているネットワークとは異なるネットワークに端末装置がアクセスする際のセキュリティを確保することができるネットワーク中継装置を得ることを第１の目的とする。
【０００９】
第２の目的は、端末装置が受けるサービス毎にネットワークへのアクセスを変更することができるネットワーク中継装置を得ることである。
【課題を解決するための手段】
【００１０】
上記課題を解決するために本発明のネットワーク中継装置は、第１のネットワークに接続される端末装置が第２のネットワークにアクセスするためのアクセス条件が登録されるフィルタ設定情報に基づいて、端末装置からのパケットを第２のネットワークに転送するとともに、端末装置から受信したアクセス識別子付きパケットと、端末装置を識別するための端末装置識別子および認証情報が登録されるアクセス設定情報とに基づいて端末装置のアクセス認証を行い、アクセス認証された端末装置については第２のネットワークへのアクセスを許可することをフィルタ設定情報に登録するようにしたものである。
【００１１】
また、本発明のネットワーク中継装置は、端末装置を識別するための端末装置識別子および認証情報とともにアクセス設定情報に登録される第２のネットワークへのアクセス条件、自装置が提供するサービス利用条件、または第２のネットワークを介して提供されるサービス利用条件毎にフィルタ設定情報を登録するようにしたものである。
【発明の効果】
【００１２】
本発明によれば、第１のネットワークに接続される端末装置が第２のネットワークにアクセスするためのアクセス条件が登録されるフィルタ設定情報に基づいて、端末装置からのパケットを第２のネットワークに転送するとともに、端末装置から受信した端末装置識別子付きパケットと、端末装置を識別するための端末装置識別子および認証情報が登録されるアクセス設定情報とに基づいて端末装置のアクセス認証を行い、アクセス認証された端末装置については第２のネットワークへのアクセスを許可することをフィルタ設定情報に登録するようにしているため、端末装置が接続されている第１のネットワークとは異なる第２のネットワークに端末装置がアクセスする際のセキュリティを確保することができるネットワーク中継装置を得ることができるという効果を奏する。
【００１３】
また、本発明によれば、上記の発明において、端末装置を識別するための端末装置識別子および認証情報とともにアクセス設定情報に登録される第２のネットワークへのアクセス条件、自装置が提供するサービス利用条件、または第２のネットワークを介して提供されるサービス利用条件毎にフィルタ設定情報を登録するようにしているため、端末装置が受けるサービス毎にネットワークへのアクセスを変更することができるネットワーク中継装置を得ることができるという効果を奏する。
【発明を実施するための最良の形態】
【００１４】
本発明の第１の発明のネットワーク中継装置は、第１のネットワークと第２のネットワークとの間に配置され、第１のネットワークに接続される少なくとも１台の端末装置が第２のネットワークにアクセスする際のパケットを中継するネットワーク中継装置において、端末装置毎に第２のネットワークへのアクセスに関する情報として端末装置を識別するための端末装置識別子、および認証情報が登録されるアクセス設定情報を記憶するアクセス情報記憶部と、端末装置の第２のネットワークへのアクセス条件が登録されるフィルタ設定情報を記憶するフィルタ情報記憶部と、フィルタ情報記憶部に記憶されているフィルタ設定情報に基づいて端末装置からのパケットを中継するとともに、端末装置から受信した端末装置識別子付きパケットと、アクセス情報記憶部に記憶されているアクセス設定情報とに基づいて、端末装置識別子付きパケットを送信した端末装置のアクセス認証を行ない、アクセス認証された端末装置については第２のネットワークへのアクセスを許可することをフィルタ情報記憶部に記憶されているフィルタ設定情報に登録する中継処理部と、を備えることを特徴とする。
【００１５】
この第１の発明のネットワーク中継装置によれば、第１のネットワークに接続される端末装置が第２のネットワークにアクセスするためのアクセス条件が登録されるフィルタ設定情報に基づいて、端末装置からのパケットを第２のネットワークに転送するとともに、端末装置から受信した端末装置識別子付きパケットと、端末装置を識別するための端末装置識別子および認証情報が登録されるアクセス設定情報とに基づいて端末装置のアクセス認証を行い、アクセス認証された端末装置については第２のネットワークへのアクセスを許可することをフィルタ設定情報に登録するようにしているため、端末装置が接続されている第１のネットワークとは異なる第２のネットワークに端末装置がアクセスする際のセキュリティを確保することができる。
【００１６】
第２の発明のネットワーク中継装置は、アクセス情報記憶部が記憶するアクセス設定情報には、端末装置識別子に対応付けて、第２のネットワークへのアクセス条件、自装置が提供するサービス利用条件、第２のネットワークを介して提供されるサービス利用条件、第２のネットワークを介した第３のネットワークへのアクセス条件の少なくとも１つが登録され、中継処理部は、アクセス設定情報に登録されている条件毎にフィルタ設定情報の登録を行なうことを特徴とする。
【００１７】
この第２の発明のネットワーク中継装置によれば、端末装置を識別するための端末装置識別子および認証情報とともにアクセス設定情報に登録される第２のネットワークへのアクセス条件、自装置が提供するサービス利用条件、第２のネットワークを介して提供されるサービス利用条件、または第２のネットワークを介した第３のネットワークへのアクセス条件毎にフィルタ設定情報を登録するようにしているため、端末装置が受けるサービス毎にネットワークへのアクセスを変更することができる。
【００１８】
第３の発明のネットワーク中継装置は、中継処理部は、フィルタ設定条件に登録されている各条件を端末装置識別子、および端末装置が送信するパケット内のアプリケーションのポート番号を用いて識別することを特徴とする。
【００１９】
この第３の発明のネットワーク中継装置によれば、フィルタ設定条件に登録されている各条件を端末装置識別子、および端末装置が送信するパケット内のアプリケーションのポート番号を用いて識別するようにしているため、端末装置が受けるサービス毎にネットワークへのアクセスを変更することができる。
【００２０】
第４の発明のネットワーク中継装置は、端末装置識別子として、端末装置に予め付与されたアクセス識別子、端末装置に付与されているＩＰアドレス、または自装置が端末装置を収容するポートを識別するためのポート識別子を用いることを特徴とする。
【００２１】
この第４の発明のネットワーク中継装置によれば、端末装置識別子として、端末装置に予め付与されたアクセス識別子、端末装置に付与されているＩＰアドレス、または自装置が端末装置を収容するポートを識別するためのポート識別子を用いるようにしているため、端末装置毎に、端末装置が接続されるネットワークとは異なるネットワークへのアクセスを制御することができる。
【００２２】
第５の発明のネットワーク中継装置は、アクセス設定情報は、端末装置識別子に対応付けて認証情報、および端末装置が属するグループを識別するためのグループ識別子が登録されるアクセス認証情報と、グループ識別子に対応付けて第２のネットワークへのアクセス条件、自装置が提供するサービス利用条件、第２のネットワークを介して提供されるサービス利用条件、第２のネットワークを介した第３のネットワークへのアクセス条件の少なくとも１つが登録されるサービス設定情報とで構成され、フィルタ設定情報に登録する条件を、端末装置が属するグループ毎に管理することを特徴とする。
【００２３】
この第５の発明のネットワーク中継装置によれば、アクセス設定条件を端末装置識別子に対応付けた認証情報、および端末装置が属するグループを識別するためのグループ識別子が登録されるアクセス認証情報と、グループ識別子に対応付けた第２のネットワークへのアクセス条件、自装置が提供するサービス利用条件、第２のネットワークを介して提供されるサービス利用条件、第２のネットワークを介した第３のネットワークへのアクセス条件の少なくとも１つが登録されるサービス設定情報とで構成するようにしているため、フィルタ設定情報に登録する条件を端末装置が属するグループ毎に管理することができる。
【００２４】
第６の発明のネットワーク中継装置は、中継処理部は、フィルタ設定条件に第２のネットワークを介して提供されるサービス利用を許可することが登録されている端末装置から第２のネットワークを介して提供されるサービスを利用する際に用いるパケットを受信した場合には、受信したパケットに第２のネットワークを介して提供されるサービスに必要なアクセス識別付加情報を付加して第２のネットワークに送信し、第２のネットワークからアクセス識別付加情報付きのパケットを受信した場合には、アクセス識別付加情報を削除したパケットを第１のネットワークに送信することを特徴とする。
【００２５】
この第６の発明のネットワーク中継装置によれば、端末装置が第２のネットワークを介して提供されるサービスを利用する際に、端末装置から第２のネットワークへのパケットを受信した場合には受信したパケットにアクセス識別付加情報を付加して第２のネットワークに送信し、第２のネットワークから端末装置へのアクセス識別付加情報付きのパケットを受信した場合にはアクセス識別付加情報を削除したパケットを第１のネットワークに送信するようにしているため、第２のネットワークへのアクセスやサービスを分けて管理することができる。
【００２６】
以下、本発明の実施の形態について説明する。なお、この実施の形態によりこの発明が限定されるものではない。
【００２７】
（実施の形態１）
図１は、この発明における実施の形態１のネットワーク中継装置が適用される通信システムの構成を示す概略図である。図１において、１および２は端末装置（以下ＰＣとする）、３はＰＣ１，２の送受信パケットを中継するネットワーク中継装置、４は、たとえばＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）などで構成されるネットワーク、５は、たとえばインターネットなどで構成されるネットワークである。
【００２８】
図１に示した通信システムは、複数（この場合は２台）のＰＣ１，２が、ネットワーク４（特許請求の範囲でいうところの第１のネットワーク）を介してネットワーク中継装置３と接続されており、ネットワーク中継装置３は、アクセス認証したＰＣ１，２の送受信パケットのみをネットワーク４からネットワーク５（特許請求の範囲でいうところの第２のネットワーク）に、またはネットワーク５からネットワーク４に中継する。すなわち、アクセス認証されたＰＣ１，２のみがネットワーク５に接続される図示しない端末装置やサービスプロバイダのサーバ装置などと相互通信を行なう。
【００２９】
ＰＣ１，２は、ＰＣ１，２の利用者がＰＣ１，２を使用する際に入力する端末装置識別子であるアクセス識別子を用いてネットワーク中継装置３にアクセス認証を得るために、アクセス識別子付きパケットを送信する機能を備えている。利用者が入力するアクセス識別子は、予め利用者に付与されており、ネットワーク４内で唯一無二のものである。
【００３０】
ネットワーク中継装置３は、ＰＣ１，２の送受信パケットを中継する。具体的には、ＰＣ１，２から受信したアクセス識別子付きパケットに含まれるアクセス識別子および認証情報に基づいてＰＣ１，２のネットワーク５へのアクセス認証を行い、アクセス認証された（アクセス許可された）ＰＣ１，２に関するパケット動作情報を動的に変更する。
【００３１】
ネットワーク中継装置３は、アクセス許可したＰＣ１，２に対しては動作情報に基づいたパケットの中継処理を行ない、アクセス許可していないＰＣ１，２に対しては自装置から先のネットワーク５にパケットの中継処理を行なうことなく、パケットを廃棄する。すなわち、アクセス許可されていないＰＣ１，２はネットワーク中継装置３から先のネットワーク５にアクセスすることができない。
【００３２】
図２は、図１に示したネットワーク中継装置３の構成を示すブロック図である。図２において、３１は第１のインタフェース部、３２は第２のインタフェース部、３３はアクセス情報記憶部、３４はフィルタ設定記憶部、３５は中継処理部である。
【００３３】
第１のインタフェース部３１は、ネットワーク４のインタフェース機能を有し、自装置とＰＣ１，ＰＣ２間のパケットの送受信処理を行なう。第２のインタフェース部３２は、ネットワーク５のインタフェース機能を有し、ネットワーク４を介したパケットの送受信処理を行なう。
【００３４】
アクセス情報記憶部３３は、ＰＣ１，２のネットワーク５へのアクセスに関する情報を記憶する。図３は、図２に示したアクセス情報記憶部３３が記憶するアクセスに関する情報であるアクセス設定情報の一例を示す図である。図３において、アクセス設定情報に対する登録項目として、アクセス識別子、パスワード、インターネットアクセス、およびサービス利用を挙げている。
【００３５】
アクセス識別子には、ネットワーク４に接続されるＰＣ１，２に付与されたアクセス識別子が登録される。図３においては、アクセス識別子として「ＴＡＲＯ」と「ＨＡＮＡＫＯ」とが登録されている。
【００３６】
パスワードには、アクセス識別子に対応付けられたアクセス認証の認証情報であるパスワードが登録される。図３においては、アクセス識別子「ＴＡＲＯ」に対応付けたパスワードには「Ａ＄５ＪＫ」が登録され、アクセス識別子「ＨＡＮＡＫＯ」に対応付けたパスワードには「Ｂ５＃８Ｊ」が登録されている。
【００３７】
インターネットアクセスには、ネットワーク５へのアクセスを許可するか否かの情報、すなわちネットワーク５へのアクセス条件が登録される。インターネットアクセスに「可」が登録されている場合、ネットワーク５へのアクセスを許可することを意味し、インターネットアクセスに「不可」が登録されている場合、ネットワーク５へのアクセスを許可しない（アクセスを禁止する）ことを意味する。図３においては、アクセス識別子「ＴＡＲＯ」に対応付けたインターネットアクセスには「可」が登録され、アクセス識別子「ＨＡＮＡＫＯ」に対応付けたインターネットアクセスには「可」が登録されている。
【００３８】
サービス利用には、ネットワーク中継装置３が提供するサービスを受けることができるか否かの情報、すなわちネットワーク中継装置３が提供するサービス利用条件が登録される。ネットワーク中継装置３が提供するサービスとは、たとえば、ブラウザなどを用いてポータル画面を閲覧するなどのサービスである。サービス利用に「可」が登録されている場合、ネットワーク中継装置３が提供するサービスを受けることを許可することを意味し、サービス利用に「不可」が登録されている場合、ネットワーク中継装置３が提供するサービスを受けることを許可しないこと（サービス使用禁止）を意味する。
【００３９】
図３においては、アクセス識別子「ＴＡＲＯ」に対応付けたサービス利用には「可」が登録され、アクセス識別子「ＨＡＮＡＫＯ」に対応付けたサービス利用には「不可」が登録されている。
【００４０】
図２に戻って、フィルタ設定記憶部３４は、中継処理部３５によるパケットの中継処理に関する情報を記憶する。図４は、図２に示したフィルタ設定記憶部３４が記憶するパケットの中継処理（ＰＣ１，２のネットワーク５へのアクセス条件）に関する情報であるフィルタ設定情報の一例を示す図である。図４において、フィルタ設定情報として、ＰＣ１，ＰＣ２に対してメールの送受信を許可することと、メールの送受信以外のすべての通信を禁止（不可）することとが登録されている。
【００４１】
図２に戻って、中継処理部３５は、アクセス情報記憶部３３に記憶されているアクセス設定情報に基づいてＰＣ１，２のアクセス認証を行って、フィルタ設定記憶部３４に記憶されているフィルタ設定情報を変更する。中継処理部３５は、変更したフィルタ設定情報に基づいて、ＰＣ１，２の送受信パケットを中継する。
【００４２】
つぎに、図１〜図５を参照して、この発明における実施の形態１のネットワーク中継装置３を用いた通信システムの動作を説明する。図５は、この発明における実施の形態１のネットワーク中継装置３を用いた通信システムの動作を説明するためのシーケンス図である。
【００４３】
ＰＣ１は、アクセス識別子付きパケットを送信して、アクセス認証をネットワーク中継装置３に要求する。具体的には、自端末の認証情報（この場合は「Ａ＄５ＪＫ」）を含めたパケットに自端末のアクセス識別子（この場合は、「ＴＡＲＯ」）を付加したアクセス識別子付きパケットをネットワーク中継装置３に送信する。
【００４４】
ネットワーク中継装置３の中継処理部３５は、第１のインタフェース部３１を介してＰＣ１からのアクセス識別子付きパケットを受信する。中継処理部３５は、アクセス情報記憶部３３に記憶されているアクセス設定情報、および受信したアクセス識別子付きパケットに基づいてアクセス認証を行なって、装置構成情報であるフィルタ設定記憶部３４に記憶されているフィルタ設定情報を変更する。
【００４５】
具体的には、中継処理部３５は、アクセス識別子付きパケットのアクセス識別子を抽出し、抽出したアクセス識別子を検索キーとして、アクセス情報記憶部３３に記憶されているアクセス設定情報のアクセス識別子の項目を検索し、検索キーと一致するアクセス識別子を取得する。中継処理部３５は、取得したアクセス識別子に対応付けて登録されているパスワードと、受信したアクセス識別子付きパケットに含まれる認証情報とが一致するか否かを判定する。
【００４６】
取得したアクセス識別子に対応付けて登録されているパスワードと受信したアクセス識別子付きパケットに含まれる認証情報とが一致していると判定した場合、中継処理部３５は、取得したアクセス識別子に対応付けられてアクセス設定情報に登録されているインターネットアクセスおよびサービス利用を取得してフィルタ設定記憶部３４に記憶されているフィルタ設定情報を更新する。
【００４７】
上述したように、ＰＣ１は、アクセス識別子「ＴＡＲＯ」と認証情報「Ａ＄５ＪＫ」を送信しており、先の図３に示したようにアクセス設定情報には、アクセス識別子「ＴＡＲＯ」に対応付けられてパスワード「Ａ＄５ＪＫ」、インターネットアクセス「可」、およびサービス利用「可」が登録されている。取得したアクセス識別子に対応付けて登録されているパスワードと受信したアクセス識別子付きパケットに含まれる認証情報とが一致しているので、中継処理部３５は、ＰＣ１のアクセス識別子「ＴＡＲＯ」に関する情報をフィルタ設定情報に追加する。これにより、フィルタ設定記憶部３４に記憶されるフィルタ設定情報には、図６に示すように、先の図４に示したフィルタ設定情報に、ＰＣ１のアクセス識別子「ＴＡＲＯ」に関する情報として、アクセス識別子「ＴＡＲＯ」を有するＰＣ１のＩＰアドレスによるネットワーク５への通信を許可することが登録される。
【００４８】
中継処理部３５は、変更したフィルタ設定情報に基づいてＰＣ１，２の送受信パケットを中継する。すなわち、中継処理部３５は、アクセス許可したＰＣ１に関するパケットについてはネットワーク５への中継を行ってネットワーク５を介した通信を可能とし、アクセス許可していないＰＣ２に関するパケットについてはネットワーク５への中継を行なわずに廃棄する。
【００４９】
一方、取得したアクセス識別子に対応付けて登録されているパスワードと受信したアクセス識別子付きパケットに含まれる認証情報とが不一致であると判定した場合、または取得したアクセス識別子がアクセス設定情報のアクセス識別子の項目に未登録の場合、中継処理部３５は、所定の異常処理（たとえば、アクセス識別子付きパケットを送信したＰＣ１，２に対してエラーを送信するなど）を行なう。
【００５０】
このようにこの実施の形態１においては、ネットワーク中継装置３の中継処理部３５が、ネットワーク４に接続されるＰＣ１，２がネットワーク５にアクセスするためのアクセス条件が登録されるフィルタ設定情報に基づいて、ＰＣ１，２からのパケットをネットワーク５に転送するとともに、ＰＣ１，２から受信したアクセス識別子付きパケットと、アクセス識別子およびパスワードが登録されるアクセス設定情報とに基づいてＰＣ１，２のアクセス認証を行い、アクセス認証されたＰＣ１，２についてはネットワーク５へのアクセスを許可することをフィルタ設定情報に登録するようにしているため、ネットワーク中継装置３上のセキュリティ関連をＰＣ１，２毎に動的に変更することを可能にしてセキュリティを確保することができる。
【００５１】
（実施の形態２）
先の実施の形態１では、この発明におけるネットワーク中継装置が、端末装置が収容されるネットワークとは異なるネットワークへのアクセスを動的に変更する場合について説明した。この実施の形態２では、この発明におけるネットワーク中継装置が提供するサービスの利用を動的に変更する場合について説明する。
【００５２】
なお、この発明における実施の形態２のネットワーク中継装置３が適用される通信システムは、先の図１に示した実施の形態１の通信システムと同様であるので、ここではその説明を省略する。
【００５３】
ネットワーク中継装置３は、ブラウザなどを用いてポータル画面を閲覧するなどのサービスを提供する機能を備えている。ネットワーク中継装置３は、アクセス認証によってＰＣ１，２に対してアクセス許可を行なう際に、アクセス情報記憶部３３に記憶されているアクセス設定情報に基づいてサービスを提供するか否かを決定する。
【００５４】
図７のこの発明における実施の形態２のネットワーク中継装置を用いた通信システムの動作を説明するためのシーケンス図、および先の図１〜図４を参照して、この発明における実施の形態２の通信システムの動作を説明する。なお、先の図５に示したシーケンス図を参照して説明したアクセス許可に関する動作については詳細な説明を省略する。また、フィルタ設定記憶部３４に記憶されているフィルタ設定情報は、先の図４に示したように、ＰＣ１，ＰＣ２に対してメールの送受信を許可することと、メールの送受信以外のすべての通信を禁止（不可）することとが登録されているものとする。
【００５５】
ＰＣ１は、認証情報「Ａ＄５ＪＫ」およびアクセス識別子「ＴＡＲＯ」を含むアクセス識別子付きパケットを送信して、アクセス認証をネットワーク中継装置３に要求する。ネットワーク中継装置３の中継処理部３５は、第１のインタフェース部３１を介して受信したＰＣ１からのアクセス識別子付きパケット、およびアクセス情報記憶部３３に記憶されているアクセス設定情報（図３参照）に基づいてアクセス認証を行なってフィルタ設定記憶部３４に記憶されている装置構成情報であるフィルタ設定情報に、アクセス識別子「ＴＡＲＯ」を有するＰＣ１のＩＰアドレスによるネットワーク５への通信を許可することを登録する。
【００５６】
また、ネットワーク中継装置３の中継処理部３５は、アクセス認証の際にアクセス識別子に対応付けてアクセス設定情報に登録されているサービス利用を取得し、アクセス識別子「ＴＡＲＯ」を有するＰＣ１のサービス利用が「可」であることを認識する。
【００５７】
サービス利用に「可」が登録されていることを認識した場合、中継処理部３５は、フィルタ設定記憶部３４に記憶されているフィルタ設定情報に、ＴＡＲＯのＩＰアドレスからのサービス利用を許可することを登録する。これにより、アクセス識別子「ＴＡＲＯ」のＰＣ１は、ネットワーク５へのアクセス、およびネットワーク中継装置３のサービスへのアクセスが可能となる。
【００５８】
ＰＣ２は、認証情報「Ｂ５＃８Ｊ」およびアクセス識別子「ＨＡＮＡＫＯ」を含むアクセス識別子付きパケットを送信して、アクセス認証をネットワーク中継装置３に要求する。ネットワーク中継装置３の中継処理部３５は、第１のインタフェース部３１を介して受信したＰＣ２からのアクセス識別子付きパケット、およびアクセス情報記憶部３３に記憶されているアクセス設定情報（図３参照）に基づいてアクセス認証を行なってフィルタ設定記憶部３４に記憶されているフィルタ設定情報に、アクセス識別子「ＨＡＮＡＫＯ」を有するＰＣ２のＩＰアドレスによるネットワーク５への通信を許可することを登録する。
【００５９】
また、ネットワーク中継装置３の中継処理部３５は、アクセス認証の際にアクセス識別子に対応付けてアクセス設定情報に登録されているサービス利用を取得し、アクセス識別子「ＨＡＮＡＫＯ」を有するＰＣ２のサービス利用が「不可」であることを認識する。サービス利用に「不可」が登録されていることを認識した場合、中継処理部３５は、フィルタ設定情報の更新を行なわない。
【００６０】
これにより、アクセス識別子「ＨＡＮＡＫＯ」のＰＣ２は、ネットワーク５へのアクセスが可能となるが、ネットワーク中継装置３のサービスへのアクセスを行なうことはできない。すなわち、ネットワーク中継装置３の中継処理部３５は、ＰＣ２からのネットワーク５へのパケットに対して中継処理を行なうが、自装置が提供するサービスへのアクセスに関するＰＣ２からのパケットは廃棄する。
【００６１】
このようにこの実施の形態２においては、アクセス設定情報として、ネットワーク５へのアクセス条件、および自装置が提供するサービス利用条件を登録するようにしているため、ＰＣ１，２それぞれに対して提供するサービスを個別に設定することができる。
【００６２】
（実施の形態３）
この実施の形態３では、サービスプロバイダの利用を動的に変更する場合について説明する。なお、この発明における実施の形態２のネットワーク中継装置が適用される通信システムは、先の図１に示した実施の形態１の通信システムと同様であるので、ここではその説明を省略する。
【００６３】
図８は、この発明における実施の形態３のネットワーク中継装置３のアクセス情報記憶部３３が記憶するアクセス設定情報の一例を示す図である。図８に示したアクセス設定情報に対する登録項目には、先の図３に示したアクセス設定情報のサービス利用の代わりに、サービスプロバイダ利用、およびサービスプロバイダパケット設定情報を挙げているが、先の図３に示したアクセス設定情報にサービスプロバイダ利用、およびサービスプロバイダパケット設定情報が追加されていてもかまわない。
【００６４】
サービスプロバイダ利用には、ネットワーク５を介してアクセス可能なサービスプロバイダのサーバ装置が提供するサービスを受けることができるか否かの情報、すなわちネットワーク５を介して提供されるサービス利用条件が登録される。サービスプロバイダ利用に「可」が登録されている場合、サービスプロバイダのサーバ装置が提供するサービスを受けることを許可すること（サービスプロバイダ利用許可）を意味し、サービスプロバイダ利用に「不可」が登録されている場合、サービスプロバイダのサーバ装置が提供するサービスを受けることを許可しないこと（サービスプロバイダ使用禁止）を意味する。
【００６５】
サービスプロバイダパケット設定情報には、中継処理部３５がサービスプロバイダのサーバ装置との通信に用いるパケットを生成するために必要な情報が登録される。
【００６６】
図９は、サービスプロバイダのサーバ装置との通信に用いるプロバイダ用パケットの構成の一例を示す図である。図９において、プロバイダ用パケットは、サービスプロバイダアクセスバージョン４０、アクセス識別子４１、アクセスユーザ認証情報４２、およびデータ４３で構成される。
【００６７】
中継処理部３５は、ＰＣ１，２がサービスプロバイダのサーバ装置に送信するパケットを受信した場合には、受信したパケットをデータ４３に設定し、アクセス設定情報に基づいて、サービスプロバイダアクセスバージョン、アクセス識別子、およびアクセスユーザ情報を設定してプロバイダ用パケットを生成する。アクセス設定情報のサービスプロバイダパケット設定情報には、中継処理部３５が設定するサービスプロバイダアクセスバージョン４０、アクセス識別子４１、およびアクセスユーザ認証情報４２の設定に必要な情報が登録される。
【００６８】
ここでは、アクセス識別子４１にはＰＣ１，２のアクセス識別子が設定され、アクセスユーザ認証情報４２にはアクセス認証に用いられるパスワードが設定されるため、アクセス設定情報のサービスプロバイダパケット設定情報の項目には、サービスプロバイダアクセスバージョン（図８においては、「Ｖ２」）のみが登録されている。なお、アクセス識別子４１、およびアクセスユーザ認証情報４２に、ＰＣ１，２のアクセス識別子、およびアクセス認証に用いられるパスワードとは異なる値を設定する必要がある場合には、これらに関する情報もサービスプロバイダパケット設定情報に登録される。
【００６９】
図１０のこの発明における実施の形態３のネットワーク中継装置を用いた通信システムの動作を説明するためのシーケンス図、先の図１、図２、図４、図８、および図９を参照して、この発明における実施の形態３の通信システムの動作を説明する。なお、先の図５に示したシーケンス図を参照して説明したアクセス許可に関する動作については詳細な説明を省略する。また、フィルタ設定記憶部３４に記憶されているフィルタ設定情報は、先の図４に示したように、ＰＣ１，ＰＣ２に対してメールの送受信を許可することと、メールの送受信以外のすべての通信を禁止（不可）することとが登録されているものとする。
【００７０】
ＰＣ１は、認証情報「Ａ＄５ＪＫ」およびアクセス識別子「ＴＡＲＯ」を含むアクセス識別子付きパケットを送信して、アクセス認証をネットワーク中継装置３に要求する。ネットワーク中継装置３の中継処理部３５は、第１のインタフェース部３１を介して受信したＰＣ１からのアクセス識別子付きパケット、およびアクセス情報記憶部３３に記憶されているアクセス設定情報（図８参照）に基づいてアクセス認証を行なってフィルタ設定記憶部３４に記憶されている装置構成情報であるフィルタ設定情報に、アクセス識別子「ＴＡＲＯ」を有するＰＣ１のＩＰアドレスによるネットワーク５への通信を許可することを登録する。
【００７１】
また、ネットワーク中継装置３の中継処理部３５は、アクセス認証の際にアクセス識別子に対応付けてアクセス設定情報に登録されているサービスプロバイダ利用を取得し、アクセス識別子「ＴＡＲＯ」を有するＰＣ１のサービスプロバイダ利用が「可」であることを認識する。
【００７２】
サービスプロバイダ利用に「可」が登録されていることを認識した場合、中継処理部３５は、フィルタ設定記憶部３４に記憶されているフィルタ設定情報に、「ＴＡＲＯのＩＰアドレスからのサービスプロバイダの利用は許可」することを登録する。
【００７３】
以後、ネットワーク中継装置３の中継処理部３５は、ＰＣ１からサービスプロバイダのサーバ装置へのパケットであるか否かを、アクセス識別子およびパケット内のアプリケーションポート番号を用いて識別する。中継処理部３５は、ＰＣ１からのアクセス識別子「ＴＡＲＯ」によるサービスプロバイダのサーバ装置へのパケットを受信した場合、アクセス情報記憶部３３に記憶されているアクセス設定情報に基づいて、サービスプロバイダのサーバ装置へのアクセスに必要な付加情報であるアクセス識別付加情報（図９におけるサービスプロバイダアクセスバージョン４０、アクセス識別子４１、およびアクセスユーザ認証情報４２）を付加したプロバイダ用パケットを生成する。
【００７４】
具体的には、サービスプロバイダアクセスバージョン４０にアクセス識別子「ＴＡＲＯ」に対応付けて登録されているサービスプロバイダパケット設定情報の「Ｖ２」を設定し、アクセス識別子４１にはＰＣ１のアクセス識別子「ＴＡＲＯ」を設定し、アクセスユーザ認証情報４２にアクセス識別子「ＴＡＲＯ」に対応付けて登録されているパスワード「Ａ＄５ＪＫ」を設定し、データ４３にＰＣ１から受信したパケットを設定する。中継処理部３５は、ネットワーク５を介して生成したプロバイダ用パケットをネットワーク５に送信する。ネットワーク５に送信されたパケットは、サービスプロバイダのサーバ装置に到達する。
【００７５】
サービスプロバイダのサーバ装置には、サービスの提供相手となる端末装置に対するアクセス識別付加情報（サービスプロバイダアクセスバージョン、アクセス識別子、およびアクセスユーザ認証情報）が予め登録されている。サーバ装置は、受信したプロバイダ用パケット内のアクセス識別付加情報と予め登録されているアクセス識別付加情報とに基づいて受信したプロバイダ用パケットの正当性を確認する。
【００７６】
サービスを提供する場合、すなわちプロバイダ用パケットのアクセス識別付加情報がサーバ装置に登録されている場合、サービスプロバイダのサーバ装置は、所定の処理を行なって、受信したプロバイダ用パケットに対する応答のプロバイダ用パケットを送信する。
【００７７】
また、サービスを提供しない場合、すなわちプロバイダ用パケットのアクセス識別付加情報がサーバ装置に登録さていない場合、サービスプロバイダのサーバ装置は、所定の異常処理を行なって、受信したプロバイダ用パケットを廃棄する。
【００７８】
ここでは、サービスプロバイダのサーバ装置にはＰＣ１のアクセス識別付加情報が登録されており、サーバ装置はＰＣ１へのプロバイダ用パケットをネットワーク５に送信する。ネットワーク５に送信されたプロバイダ用パケットはネットワーク中継装置３に到達する。
【００７９】
ネットワーク５から受信したプロバイダ用パケットを受信すると、ネットワーク中継装置３の中継処理部３５は、プロバイダ用パケット内のアクセス識別付加情報とアクセス情報記憶部３３に記憶されているアクセス設定情報とに基づいてプロバイダ用パケットの正当性を確認する。
【００８０】
具体的には、ネットワーク中継装置３の中継処理部３５は、プロバイダ用パケットのアクセス識別子４１に設定されているアクセス識別子を検索キーとしてアクセス設定情報のアクセス識別子を検索して、検索キーと一致するアクセス識別子を取得する。中継処理部３５は、取得したアクセス識別子に対応付けてアクセス設定情報に登録されているパスワード、サービスプロバイダ利用、およびサービスプロバイダパケット設定情報を取得する。取得したサービスプロバイダ利用が「可」であって、かつパスワードとプロバイダ用パケットのアクセスユーザ認証情報４２に設定されている値、および取得したサービスプロバイダパケット設定情報とプロバイダ用パケットのサービスプロバイダアクセスバージョン４０に設定されている値とが一致している場合、中継処理部３５は、プロバイダ用パケットの正当性があると認識する。
【００８１】
検索キーと一致するアクセス識別子を取得することができなかった場合、取得したサービスプロバイダ利用が「不可」であった場合、パスワードとプロバイダ用パケットのアクセスユーザ認証情報４２に設定されている値が不一致の場合、または取得したサービスプロバイダパケット設定情報とプロバイダ用パケットのサービスプロバイダアクセスバージョン４０に設定されている値とが不一致の場合には、中継処理部３５は、プロバイダ用パケットの正当性がないと認識する。
【００８２】
プロバイダ用パケットの正当性が確認された場合、すなわちＰＣ１に対するプロバイダ用パケットの場合、ネットワーク中継装置３の中継処理部３５は、プロバイダ用パケットのアクセス識別付加情報を削除して、データのみを抽出する。中継処理部３５は、ネットワーク４を介して抽出したデータをＰＣ１に送信する。
【００８３】
プロバイダ用パケットの正当性が確認されなかった場合、すなわちＰＣ１に対するプロバイダ用パケットではなかった場合、ネットワーク中継装置３の中継処理部３５は、受信したプロバイダ用パケットを廃棄する。
【００８４】
このようにこの実施の形態３においては、ＰＣ１，２がネットワーク５を介して提供されるサービスであるサービスプロバイダのサーバ装置のサービスを利用する際に、ＰＣ１，２からネットワーク５へのパケットを受信した場合には受信したパケットにアクセス識別付加情報を付加してネットワーク５に送信し、ネットワーク５からＰＣ１，２へのアクセス識別付加情報付きのパケットを受信した場合にはアクセス識別付加情報を削除したパケットをネットワーク４に送信するようにしているため、ネットワーク５へのアクセスやサービスを分けて管理することができる。
【００８５】
（実施の形態４）
先の実施の形態１〜３では、ネットワーク中継装置３がネットワーク４に接続されるＰＣ１，２を個別に管理する場合について説明した。この実施の形態４では、ＰＣ１，２をグループ化して管理する場合について説明する。
【００８６】
この発明における実施の形態４のネットワーク中継装置が適用される通信システムは、先の図１に示した実施の形態１の通信システムと同様となるので、ここではその説明を省略する。この実施の形態４と実施の形態１との相違点は、先の図２に示したネットワーク中継装置３のアクセス情報記憶部３３が記憶するアクセスに関する情報の構成である。
【００８７】
この実施の形態４のネットワーク中継装置３のアクセス情報記憶部３３は、アクセスに関する情報として、アクセス認証情報と、サービス設定情報とを記憶する。図１１は、図２に示したアクセス情報記憶部が記憶するアクセスに関する情報であるアクセス認証情報の一例を示す図である。図１１に示したアクセス認証情報に対する登録項目には、アクセス識別子と、パスワードと、グループとを挙げている。
【００８８】
アクセス識別子には、先の図３に示したアクセス設定情報のアクセス識別子と同様に、ネットワーク４に接続されるＰＣ１，２に付与されたアクセス識別子が登録される。パスワードには、アクセス設定情報のパスワードと同様に、アクセス識別子に対応付けられたアクセス認証の認証情報であるパスワードが登録される。
【００８９】
グループには、アクセス識別子に登録されたアクセス識別子を有するＰＣ１，２が属するグループのグループ識別子が登録される。図１１においては、アクセス識別子「ＴＡＲＯ」はグループ「ＳＨＡＩＮ」であることが登録され、アクセス識別子「ＨＡＮＡＫＯ」はグループ「ＧＵＥＳＴ」であることが登録されている。
【００９０】
図１２は、図２に示したアクセス情報記憶部３３が記憶するサービス設定情報の一例を示す図である。図１２に示したサービス設定情報に対する登録項目には、グループ識別子と、インターネットアクセスと、サービス利用とを挙げている。
【００９１】
グループ識別子には、アクセス認証情報のグループに登録されているグループ識別子が登録される。インターネットアクセスには、グループ識別子に対応付けてネットワーク５へのアクセスを許可するか否かの情報が登録される。サービス利用には、ネットワーク中継装置３が提供するサービスを受けることができるか否かの情報が登録される。
【００９２】
このように、この実施の形態４においては、アクセス設定情報を、アクセス認証に用いるアクセス識別子、パスワード、およびグループ識別子が登録されたアクセス認証情報と、グループ識別子、インターネットアクセス、およびサービス利用が登録されたサービス設定情報とで構成し、フィルタ設定情報に登録する条件（ここでは、インターネットサービス、およびサービス利用）をＰＣ１，２が属するグループ毎に管理する。
【００９３】
つぎに、この実施の形態４の通信システムの動作について説明する。なお、この実施の形態４の通信システムの動作は、先の実施の形態１の通信システムの動作とほぼ同じであり、相違点は、ネットワーク中継装置３の中継処理部３５のアクセス認証の動作のみであるので、ＰＣ１からアクセス識別子付きパケットを受信した場合を例に挙げて相違点のみを説明する。
【００９４】
ＰＣ１からアクセス識別子付きパケットを受信すると、ネットワーク中継装置３の中継処理部３５は、受信したアクセス識別子付きパケットのアクセス識別子を抽出し、抽出したアクセス識別子を検索キーとして、アクセス情報記憶部３３に記憶されているアクセス認証情報のアクセス識別子の項目を検索し、検索キーと一致するアクセス識別子を取得する。中継処理部３５は、取得したアクセス識別子に対応付けて登録されているパスワードと、受信したアクセス識別子付きパケットに含まれる認証情報とが一致するか否かを判定する。
【００９５】
取得したアクセス識別子に対応付けて登録されているパスワードと受信したアクセス識別子付きパケットに含まれる認証情報とが一致していると判定した場合、中継処理部３５は、取得したアクセス識別子に対応付けられてアクセス認証情報のグループに登録されているグループ識別子を取得する。ここでは、中継処理部３５は、グループ識別子「ＳＨＡＩＮ」を取得する。
【００９６】
中継処理部３５は、取得したグループ識別子を検索キーとして、アクセス情報記憶部３３に記憶されているサービス設定情報のグループ識別子を検索し、検索キーと一致するグループ識別子に対応付けて登録されているインターネットアクセスおよびサービス利用を取得する。中継処理部３５は、取得したインターネットアクセスおよびサービス利用に基づいてフィルタ設定記憶部３４に記憶されているフィルタ設定情報を更新する。
【００９７】
図１２においては、グループ識別子「ＳＨＡＩＮ」に対応付けたインターネットアクセスには「可」が登録されており、グループ識別子「ＳＨＡＩＮ」に対応付けたサービス利用には「可」が登録されている。したがって、中継処理部３５は、フィルタ設定情報に、アクセス識別子「ＴＡＲＯ」を有するＰＣ１のＩＰアドレスによるネットワーク５への通信を許可することと、ＴＡＲＯのＩＰアドレスからのサービス利用を許可することとを登録する。
【００９８】
このようにこの実施の形態４においては、アクセス設定条件をアクセス識別子に対応付けたパスワード、およびＰＣ１，２が属するグループを識別するためのグループ識別子が登録されるアクセス認証情報と、グループ識別子に対応付けたネットワーク５へのアクセス条件が登録されるサービス設定情報とで構成するようにしているため、フィルタ設定情報に登録する条件をＰＣ１，２が属するグループ毎に管理することができ、ＰＣ１，２のアクセス条件を個別に管理する場合と比較して、アクセス設定条件を記憶する記憶部のメモリ容量を削減することができる。
【００９９】
（実施の形態５）
図１３は、この発明における実施の形態５のネットワーク中継装置を用いた通信システムの構成を示す概略図である。図１３において、１および２はＰＣ、３，６はＰＣ１，２の送受信パケットを中継するネットワーク中継装置、４，８はたとえばＬＡＮなどで構成されるネットワーク、５はたとえばインターネットなどで構成されるネットワーク、７はネットワーク５を用いたＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）である。なお、先の図１に示した通信システムと同じ機能を持つ構成部分には同一符号を付し、重複する説明は省略する。
【０１００】
図１３に示した通信システムは、ネットワーク中継装置３、ネットワーク５、およびネットワーク中継装置６によってＶＰＮが設定されている。ネットワーク中継装置６は、ネットワーク５とネットワーク８（特許請求の範囲でいうところの第３のネットワーク）とを接続する中継装置である。ネットワーク中継装置６は、この発明のネットワーク中継装置の機能を備えて図示していない端末装置のアクセス制御を行なうものであっても良いし、従来のＶＰＮをサポートするネットワーク中継装置であってもよい。
【０１０１】
図１４は、図２に示したアクセス情報記憶部が記憶するアクセスに関する情報であるアクセス認証情報の一例を示す図である。図１４に示したアクセス設定情報に対する登録項目には、先の図３に示したアクセス設定情報に、ＶＰＮ利用が追加されているが、先の図８に示したサービスプロバイダ利用やサービスプロバイダパケット設定情報が追加されていてもよい。
【０１０２】
ＶＰＮ利用には、ネットワーク５、およびネットワーク中継装置６を介してＶＰＮ７が設定されているネットワーク８へのアクセスを許可するか否かの情報、すなわちＶＰＮ７へのアクセス条件が登録される。ＶＰＮ利用に「可」が登録されている場合、ＶＰＮ７へのアクセスを許可することを意味し、ＶＰＮ利用に「不可」が登録されている場合、ＶＰＮ７へのアクセスを許可しない（アクセスを禁止する）ことを意味する。図１４においては、アクセス識別子「ＴＡＲＯ」に対応付けたＶＰＮ利用には「可」が登録され、アクセス識別子「ＨＡＮＡＫＯ」に対応付けたＶＰＮ利用には「不可」が登録されている。
【０１０３】
図２、図１３、および図１４を参照して、この発明における実施の形態５の通信システムの動作を説明する。なお、先の図５に示したシーケンス図を参照して説明したアクセス許可に関する動作については詳細な説明を省略する。また、フィルタ設定記憶部３４に記憶されているフィルタ設定情報は、先の図４に示したように、ＰＣ１，ＰＣ２に対してメールの送受信を許可することと、メールの送受信以外の全ての通信を禁止（不可）することとが登録されているものとする。
【０１０４】
ＰＣ１は、認証情報「Ａ＄５ＪＫ」およびアクセス識別子「ＴＡＲＯ」を含むアクセス識別子付きパケットを送信して、アクセス認証をネットワーク中継装置３に要求する。ネットワーク中継装置３の中継処理部３５は、第１のインタフェース部３１を介して受信したＰＣ１からのアクセス識別子付きパケット、およびアクセス情報記憶部３３に記憶されているアクセス設定情報（図１４参照）に基づいてアクセス認証を行なってフィルタ設定記憶部３４に記憶されている装置構成情報であるフィルタ設定情報に、アクセス識別子「ＴＡＲＯ」を有するＰＣ１のＩＰアドレスによるネットワーク５への通信を許可することを登録する。
【０１０５】
また、ネットワーク中継装置３の中継処理部３５は、アクセス認証の際にアクセス識別子に対応付けてアクセス設定情報に登録されているサービスプロバイダ利用を取得し、アクセス識別子「ＴＡＲＯ」を有するＰＣ１のＶＰＮ利用が「可」であることを認識する。
【０１０６】
ＶＰＮ利用に「可」が登録されていることを認識した場合、中継処理部３５は、フィルタ設定記憶部３４に記憶されているフィルタ設定情報に、「ＴＡＲＯのＩＰアドレスからのＶＰＮの利用は許可」することを登録する。これにより、アクセス識別子「ＴＡＲＯ」のＰＣ１は、ネットワーク５のアクセス、およびＶＰＮ７へのアクセスが可能となる。
【０１０７】
しがたって、ネットワーク中継装置３の中継処理部３５は、ＰＣ１からＶＰＮ７を用いたネットワーク８へのパケットであるか否かを、アクセス識別子およびパケット内の宛先アドレスに基づいて識別する。中継処理部３５は、ＰＣ１からのアクセス識別子「ＴＡＲＯ」によるネットワーク８に接続される図示していない通信端末宛てのパケットを受信した場合、従来のＶＰＮ対応のネットワーク中継装置の機能と同様にＶＰＮの通信用にパケットのヘッダを変換し、ヘッダを交換したパケットをネットワーク５に送信する。
【０１０８】
ネットワーク５に送信されたパケットはネットワーク中継装置８に到達する。ネットワーク中継装置８は、受信したパケットのヘッダを交換してネットワーク８に送信する。
【０１０９】
一方、ＰＣ２は、認証情報「Ｂ５＃８Ｊ」およびアクセス識別子「ＨＡＮＡＫＯ」を含むアクセス識別子付きパケットを送信して、アクセス認証をネットワーク中継装置３に要求する。ネットワーク中継装置３の中継処理部３５は、第１のインタフェース部３１を介して受信したＰＣ２からのアクセス識別子付きパケット、およびアクセス情報記憶部３３に記憶されているアクセス設定情報（図１４参照）に基づいてアクセス認証を行なってフィルタ設定記憶部３４に記憶されている装置構成情報であるフィルタ設定情報に、アクセス識別子「ＨＡＮＡＫＯ」を有するＰＣ２のＩＰアドレスによるネットワーク５への通信を許可することを登録する。
【０１１０】
また、ネットワーク中継装置３の中継処理部３５は、アクセス認証の際にアクセス識別子に対応付けてアクセス設定情報に登録されているサービスプロバイダ利用を取得し、アクセス識別子「ＨＡＮＡＫＯ」を有するＰＣ１のＶＰＮ利用が「不可」であることを認識する。ＶＰＮ利用に「不可」が登録されていることを認識した場合、中継処理部３５は、フィルタ設定情報の更新を行なわない。
【０１１１】
これにより、アクセス識別子「ＨＡＮＡＫＯ」のＰＣ２は、ネットワーク５へのアクセスが可能となるが、ＶＰＮ７へのアクセスを行なうことはできない。すなわち、ネットワーク中継装置３の中継処理部３５は、ＰＣ２からのネットワーク５へのパケットに対して中継処理を行なうが、ＶＰＮ７へのアクセス、すなわちネットワーク８へのパケットは廃棄する。
【０１１２】
このようにこの実施の形態５においては、アクセス設定情報として、ＶＰＮ７の利用、すなわちネットワーク８への接続を登録するようにしているため、ＰＣ１，２それぞれに対して提供するサービスを個別に設定するとともに、ネットワーク中継装置３上のセキュリティ関連をＰＣ１，２毎に動的に変更することを可能にしてセキュリティを確保することができる。
【０１１３】
なお、この実施の形態５においては、アクセス設定条件をアクセス識別子に対応付けて、パスワード、インターネットアクセス、サービス利用、ＶＰＮ利用を設定するようにしたが、先の実施の形態４のように、アクセス設定条件をアクセス識別子に対応付けたパスワード、およびＰＣ１，２が属するグループを識別するためのグループ識別子が登録されるアクセス認証情報と、グループ識別子に対応付けたネットワーク５へのアクセス条件やＶＰＮ７へのアクセス条件が登録されるサービス設定情報とで構成するようにしてもかまわない。
【０１１４】
なお、この実施の形態１〜５においては、端末装置識別子として予め付与されたアクセス識別子を用いるようにしたが、端末装置識別子として、ＰＣ１，２に付与されたＩＰアドレスや、ネットワーク中継装置３がＰＣ１，２を収容するポートを識別するためのポート識別子などを用いてもよい。
【産業上の利用可能性】
【０１１５】
以上のように、本発明にかかるネットワーク中継装置は、異なるネットワークを有する通信システムに有用であり、特に、端末装置が接続されているネットワークとは異なるネットワークに端末装置がアクセスする際のセキュリティを保持する通信システムに適している。
【図面の簡単な説明】
【０１１６】
【図１】この発明における実施の形態１のネットワーク中継装置が適用される通信システムの構成を示す概略図
【図２】図１に示したネットワーク中継装置の構成を示すブロック図
【図３】図２に示したアクセス情報記憶部が記憶するアクセスに関する情報であるアクセス設定情報の一例を示す図
【図４】図２に示したフィルタ設定記憶部が記憶するパケットの中継処理に関する情報であるフィルタ設定情報の一例を示す図
【図５】この発明における実施の形態１のネットワーク中継装置を用いた通信システムの動作を説明するためのシーケンス図
【図６】図２に示したアクセス情報記憶部が記憶するアクセスに関する情報であるアクセス設定情報の一例を示す図
【図７】この発明における実施の形態２のネットワーク中継装置を用いた通信システムの動作を説明するためのシーケンス図
【図８】この発明における実施の形態３のネットワーク中継装置のアクセス情報記憶部が記憶するアクセス設定情報の一例を示す図
【図９】サービスプロバイダのサーバ装置との通信に用いるプロバイダ用パケットの構成の一例を示す図
【図１０】この発明における実施の形態３のネットワーク中継装置を用いた通信システムの動作を説明するためのシーケンス図
【図１１】図２に示したアクセス情報記憶部が記憶するアクセスに関する情報であるアクセス認証情報の一例を示す図
【図１２】図２に示したアクセス情報記憶部が記憶するサービス設定情報の一例を示す図
【図１３】この発明における実施の形態５のネットワーク中継装置を用いた通信システムの構成を示す概略図
【図１４】図２に示したアクセス情報記憶部が記憶するアクセスに関する情報であるアクセス認証情報の一例を示す図
【図１５】従来の技術を説明するための図
【符号の説明】
【０１１７】
１，２    ＰＣ
３，６    ネットワーク中継装置
４，５，８    ネットワーク
７    ＶＰＮ
３１    第１のインタフェース部
３２    第２のインタフェース部
３３    アクセス情報記憶部
３４    フィルタ設定記憶部
３５    中継処理部
４０    サービスプロバイダアクセスバージョン
４１    アクセス識別子
４２    アクセスユーザ認証情報
４３    データ
【図１】
2007158494.tif 000003
【図２】
2007158494.tif 000004
【図３】
2007158494.tif 000005
【図４】
2007158494.tif 000006
【図５】
2007158494.tif 000007
【図６】
2007158494.tif 000008
【図７】
2007158494.tif 000009
【図８】
2007158494.tif 000010
【図９】
2007158494.tif 000011
【図１０】
2007158494.tif 000012
【図１１】
2007158494.tif 000013
【図１２】
2007158494.tif 000014
【図１３】
2007158494.tif 000015
【図１４】
2007158494.tif 000016
【図１５】
2007158494.tif 000017