(57)【要約】【課題】パケット通信において、複数の異なるパケットフィルタリング機能を併用する場合であっても、簡易な構成により、不要な処理の実行を抑制して処理効率の向上を図ることができる通信装置及びその制御方法を提供することを目的とする。【解決手段】通信装置は、パケットを送受信する通信手段と、パケットに対して第１フィルタ設定情報に基づき第１フィルタリング処理をする第１処理手段と、第１フィルタリング処理後所定のプロトコル処理が適用されたパケットに対して、第２フィルタ設定情報に基づき第２フィルタリング処理をする第２処理手段と、第２フィルタ設定情報に設定される第２フィルタアクションがパケット破棄を示す場合、第２フィルタ設定情報中の第２フィルタ適用条件と一致するフィルタ条件を有する第１フィルタ設定情報中の第１フィルタアクションをパケット破棄に設定する制御手段と、を備える。【選択図】図４
2016225928.tif 000002
【特許請求の範囲】
【請求項１】
パケットを送信又は受信する通信手段と、
前記パケットに対して、第１のフィルタ適用条件及び第１のフィルタアクションを含む第１のフィルタ設定情報に基づいて、第１のフィルタリング処理を適用する第１の処理手段と、
前記第１のフィルタリング処理を通過し、かつ所定のプロトコル処理が適用されたパケットに対して、第２のフィルタ適用条件及び第２のフィルタアクションを含む第２のフィルタ設定情報に基づいて、前記第１のフィルタリング処理と異なる第２のフィルタリング処理を適用する第２の処理手段と、
前記第２のフィルタ設定情報に設定される前記第２のフィルタアクションがパケット破棄を示す場合に、前記第２のフィルタ設定情報の前記第２のフィルタ適用条件と一致するフィルタ適用条件を有する第１のフィルタ設定情報の前記第１のフィルタアクションをパケット破棄に設定する制御手段と、
を備えることを特徴とする通信装置。
【請求項２】
前記制御手段は、
前記第２のフィルタ設定情報に、パケット破棄を示す前記第２のフィルタアクションを含む第２のフィルタ設定情報エントリが登録される際に、前記第２のフィルタ設定情報エントリに含まれる前記第２のフィルタ適用条件及びパケット破棄を示す前記第２のフィルタアクションとそれぞれ一致する前記第１のフィルタ適用条件および前記第１のフィルタアクションを含む第１のフィルタ設定情報エントリを、前記第１のフィルタ設定情報に登録する、
ことを特徴とする請求項１に記載の通信装置。
【請求項３】
前記制御手段は、
前記第２のフィルタ設定情報に、パケット破棄を示す前記第２のフィルタアクションを含む前記第２のフィルタ設定情報エントリが登録される際に、前記第２のフィルタ設定情報エントリの前記第２のフィルタ適用条件と一致するフィルタ適用条件を含む前記第１のフィルタ設定情報エントリが前記第１のフィルタ設定情報にあるか否かを判別し、前記第２のフィルタ設定情報エントリの前記第２のフィルタ適用条件と一致するフィルタ適用条件を含む前記第１のフィルタ設定情報エントリが前記第１のフィルタ設定情報にある場合には、前記第１のフィルタ設定情報エントリの前記第１のフィルタアクションをパケット破棄に変更する、ことを特徴とする請求項１又は２に記載の通信装置。
【請求項４】
前記制御手段は、
前記第２のフィルタ設定情報に、パケット破棄を示す前記第２のフィルタアクションを含む前記第２のフィルタ設定情報エントリが登録される際に、前記第２のフィルタ設定情報エントリの前記第２のフィルタ適用条件と一致するフィルタ適用条件を含む前記第１のフィルタ設定情報エントリが前記第１のフィルタ設定情報にあるか否かを判別し、前記第２のフィルタ設定情報エントリの前記第２のフィルタ適用条件と一致するフィルタ適用条件を含む前記第１のフィルタ設定情報エントリが前記第１のフィルタ設定情報にない場合には、前記第２のフィルタ設定情報エントリの前記第２のフィルタ設定条件と一致する前記第１のフィルタ適用条件及びパケット破棄を示す前記第１のフィルタアクションを含む第１のフィルタ設定情報エントリを作成して、作成された前記第１のフィルタ設定情報エントリを前記第１のフィルタ設定情報に追加する、ことを特徴とする請求項１から３のいずれか１項に記載の通信装置。
【請求項５】
前記制御手段は、
前記第２のフィルタ設定情報の前記第２のフィルタ適用条件と一致するフィルタ適用条件を有する前記第１のフィルタ設定情報の前記第１のフィルタアクションをパケット破棄に設定する際に、前記第１のフィルタアクションと前記第２のフィルタアクションとが関連する旨を示す情報を記憶手段に記憶する、ことを特徴とする請求項１から４のいずれか１項に記載の通信装置。
【請求項６】
前記制御手段は、
前記第２のフィルタ設定情報の前記第２のフィルタ設定情報エントリが削除される際に、前記記憶手段に記憶される前記情報を参照し、削除される前記第２のフィルタ設定情報エントリの前記第２のフィルタ適用条件と一致するフィルタ適用条件を含む前記第１のフィルタ設定情報エントリの前記第１のフィルタアクションが前記第２のフィルタアクションと関連すると判別した場合に、前記第１のフィルタ設定情報エントリを削除する、ことを特徴とする請求項５に記載の通信装置。
【請求項７】
前記第１のフィルタリング処理は、ＩＰフィルタにより、前記第２のフィルタリング処理は、ＩＰｓｅｃのセキュリティポリシ設定により、それぞれ実現され、前記通信手段は、受信されたパケットを前記第１の処理手段へ供給する、ことを特徴とする請求項１から６のいずれか１項に記載の通信装置。
【請求項８】
前記制御手段は、前記第２のフィルタ設定情報に設定される前記第２のフィルタアクションがＤＩＳＣＡＲＤを示す場合に、前記第２のフィルタ設定情報の前記第２のフィルタ適用条件と一致するフィルタ適用条件を有する第１のフィルタ設定情報の前記第１のフィルタアクションをＤＲＯＰに設定する、ことを特徴とする請求項７に記載の通信装置。
【請求項９】
前記第１のフィルタリング処理は、ＩＰｓｅｃのセキュリティポリシ設定により、前記第２のフィルタリング処理は、ＩＰフィルタにより、それぞれ実現され、前記通信手段は、前記第２の処理手段から供給されるパケットをネットワークへ送信する、ことを特徴とする請求項１から６のいずれか１項に記載の通信装置。
【請求項１０】
前記制御手段は、前記第２のフィルタ設定情報に設定される前記第２のフィルタアクションがＤＲＯＰを示す場合に、前記第２のフィルタ設定情報の前記第２のフィルタ適用条件と一致するフィルタ適用条件を有する第１のフィルタ設定情報の前記第１のフィルタアクションをＤＩＳＣＡＲＤに設定する、ことを特徴とする請求項９に記載の通信装置。
【請求項１１】
パケットを送信又は受信するステップと、
前記パケットに対して、第１のフィルタ適用条件及び第１のフィルタアクションを含む第１のフィルタ設定情報に基づいて、第１のフィルタリング処理を適用するステップと、
前記第１のフィルタリング処理を通過し、かつ所定のプロトコル処理が適用されたパケットに対して、第２のフィルタ適用条件及び第２のフィルタアクションを含む第２のフィルタ設定情報に基づいて、前記第１のフィルタリング処理と異なる第２のフィルタリング処理を適用するステップと、
前記第２のフィルタ設定情報に設定される前記第２のフィルタアクションがパケット破棄を示す場合に、前記第２のフィルタ設定情報の前記第２のフィルタ適用条件と一致するフィルタ適用条件を有する第１のフィルタ設定情報の前記第１のフィルタアクションをパケット破棄に設定するステップと、
を備えることを特徴とする通信装置の制御方法。
【請求項１２】
前記設定するステップにおいて、
前記第２のフィルタ設定情報に、パケット破棄を示す前記第２のフィルタアクションを含む第２のフィルタ設定情報エントリが登録される際に、前記第２のフィルタ設定情報エントリに含まれる前記第２のフィルタ適用条件及びパケット破棄を示す前記第２のフィルタアクションとそれぞれ一致する前記第１のフィルタ適用条件および前記第１のフィルタアクションを含む第１のフィルタ設定情報エントリを、前記第１のフィルタ設定情報に登録する、
ことを特徴とする請求項１１に記載の通信装置の制御方法。
【請求項１３】
前記設定するステップにおいて、
前記第２のフィルタ設定情報に、パケット破棄を示す前記第２のフィルタアクションを含む前記第２のフィルタ設定情報エントリが登録される際に、前記第２のフィルタ設定情報エントリの前記第２のフィルタ適用条件と一致するフィルタ適用条件を含む前記第１のフィルタ設定情報エントリが前記第１のフィルタ設定情報にあるか否かを判別し、前記第２のフィルタ設定情報エントリの前記第２のフィルタ適用条件と一致するフィルタ適用条件を含む前記第１のフィルタ設定情報エントリが前記第１のフィルタ設定情報にある場合には、前記第１のフィルタ設定情報エントリの前記第１のフィルタアクションをパケット破棄に変更する、ことを特徴とする請求項１１又は１２に記載の通信装置の制御方法。
【請求項１４】
前記設定するステップにおいて、
前記第２のフィルタ設定情報に、パケット破棄を示す前記第２のフィルタアクションを含む前記第２のフィルタ設定情報エントリが登録される際に、前記第２のフィルタ設定情報エントリの前記第２のフィルタ適用条件と一致するフィルタ適用条件を含む前記第１のフィルタ設定情報エントリが前記第１のフィルタ設定情報にあるか否かを判別し、前記第２のフィルタ設定情報エントリの前記第２のフィルタ適用条件と一致するフィルタ適用条件を含む前記第１のフィルタ設定情報エントリが前記第１のフィルタ設定情報にない場合には、前記第２のフィルタ設定情報エントリの前記第２のフィルタ設定条件と一致する前記第１のフィルタ適用条件及びパケット破棄を示す前記第１のフィルタアクションを含む第１のフィルタ設定情報エントリを作成して、作成された前記第１のフィルタ設定情報エントリを前記第１のフィルタ設定情報に追加する、ことを特徴とする請求項１１から１３のいずれか１項に記載の通信装置の制御方法。
【請求項１５】
前記設定するステップにおいて、
前記第２のフィルタ設定情報の前記第２のフィルタ適用条件と一致するフィルタ適用条件を有する前記第１のフィルタ設定情報の前記第１のフィルタアクションをパケット破棄に設定する際に、前記第１のフィルタアクションと前記第２のフィルタアクションとが関連する旨を示す情報を記憶手段に記憶する、ことを特徴とする請求項１１から１４のいずれか１項に記載の通信装置の制御方法。
【請求項１６】
前記設定するステップにおいて、
前記第２のフィルタ設定情報の前記第２のフィルタ設定情報エントリが削除される際に、前記記憶手段に記憶される前記情報を参照し、削除される前記第２のフィルタ設定情報エントリの前記第２のフィルタ適用条件と一致するフィルタ適用条件を含む前記第１のフィルタ設定情報エントリの前記第１のフィルタアクションが前記第２のフィルタアクションと関連すると判別した場合に、前記第１のフィルタ設定情報エントリを削除する、ことを特徴とする請求項１５に記載の通信装置の制御方法。
【請求項１７】
コンピュータが読み取り実行することで、前記コンピュータを、請求項１から１０のいずれか１項に記載の通信装置の各手段として機能させるためのコンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、パケット通信において、特定の条件に合致する受信パケット又は送信パケットを破棄又は通過させるパケットフィルタリング機能を備える通信装置、通信装置の制御方法及びコンピュータプログラムに関する。
【背景技術】
【０００２】
近年、ネットワーク化の進展に伴い、ネットワークを介したデータの送受信におけるセキュリティ確保の必要性が高まっている。パケットフィルタリングは、一般的かつ簡便にセキュリティを確保することのできる技術として知られている。このパケットフィルタリングでは、特定の条件に合致する受信パケット又は送信パケットをフィルタに規定されるアクションに従い破棄又は通過させることができる。例えばファイアウォールは、このパケットフィルタリングによって実現することができる。
このパケットフィルタリングを実現する手段の一例として、ＩＰ（インターネットプロトコル）フィルタがある。このＩＰフィルタは、特定のプロトコルやポート番号やＩＰアドレスなどを条件として設定することによって、特定のプロトコル等の条件に合致するパケットに対して破棄又は通過を実行することができる。
【０００３】
また、ＩＰｓｅｃ（Ｓｅｃｕｒｉｔｙ  Ａｒｃｈｉｔｅｃｔｕｒｅ  ｆｏｒ  Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ、ＩＰ  セキュリティ）と呼ばれるプロトコルがある。このＩＰｓｅｃは、ＩＰネットワーク上を流れるデータのセキュリティを確保するプロトコルであり、ＩＰパケット単位でデータの機密性の確保や、データの完全性、送信元の認証を行うことが可能である。このＩＰｓｅｃのプロトコルは、例えばＲＦＣ（Ｒｅｑｕｅｓｔ  Ｆｏｒ  Ｃｏｍｍｅｎｔｓ）２４０１〜２４１２等で規定されている。このＩＰｓｅｃをパケットフィルタリングに利用することができ、特定のプロトコルやポート番号やＩＰアドレスなどを条件として設定することによって、特定のプロトコル等の条件に合致するパケットに対して破棄又は通過を実行することができる。
このように、パケットフィルタリングを実現する技術は複数あり、それぞれの技術を同時に使用（併用）することもできる。
しかしながら、複数のパケットフィルタリングを同時に使用する場合、複数のパケットフィルタリングのそれぞれに設定した条件によっては、同一のパケットに対してアクションが矛盾する場合が発生し得る。
【０００４】
例えば、まず前段のＩＰフィルタによって、受信パケットを通過させる判断がなされ、その後、通過させた受信パケットに対してプロトコル処理が行われた場合を想定する。この場合、そのプロトコルの処理後に後段のＩＰｓｅｃ処理を実行した場合、ＩＰｓｅｃ処理を実行した受信パケットが破棄される場合もある。
つまり、複数の異なるパケットフィルタリング機能を同時に使用する場合、それぞれのフィルタのアクションは独立に設定される。このため、受信パケットを前段のパケットフィルタリング機能で通過させたにもかかわらず、後段では破棄するという設定もできてしまう。このような場合、最終的には破棄されるべき受信パケットに対して実行されたプロトコル処理が無駄になってしまう。例えば、ＩＰｓｅｃのプロトコル処理で受信パケットが復号化され、後段のパケットフィルタリングのアクションを参照して初めて復号化された受信パケットを破棄すべきことが判明する。このような無駄な処理が発生すると、その分演算リソースを不要に消費することになり、通信装置のその他の処理に対して不要に性能の低下を引き起こす可能性もある。
【０００５】
特許文献１は、複数のパケットフィルタリングを同時に使用した場合、それぞれのパケットフィルタリングのフィルタ設定を統合的に管理して矛盾のないように制御するポリシ・エンジンと呼ぶ構成を備えて、前述の矛盾を解消する方法を開示する。具体的には、特許文献１においては、まずパケットを受信すると、ネットワークの各レイヤにおいて、受信パケットおよびそれに関する情報をポリシ・エンジンに渡す。ポリシ・エンジンは、そのパケットに対応する場合によっては複数のフィルタ設定を参照し、そのレイヤで行うべきフィルタアクションを決定する。決定されたフィルタアクションをそのレイヤに通知することによって、そのレイヤでのフィルタアクションが実行される。このように、ポリシ・エンジンを設け、ネットワーク上の各レイヤにおける処理を統括することで、複数のパケットフィルタリングの間の矛盾が解消される。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００４−３６４３１５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、特許文献１の方法においては、パケットごとに各レイヤからポリシ・エンジンにフィルタアクションを決定するように要求を出している。そして、この要求に対してポリシ・エンジンがフィルタアクションをその都度決定して各レイヤに通知し、各レイヤがそれぞれのフィルタアクションを実行する。そのため、各レイヤにおいてパケットごとに必要な処理が多くなってしまい、また、パケットごとの処理が複雑化してしまう。
さらに、特許文献１の方法では、各レイヤからポリシ・エンジンにフィルタアクション決定の要求を送出するように構成している。このため、各レイヤは、ポリシ・エンジンへ要求を出し、ポリシ・エンジンから通知を受け取るインターフェースを新たに備えなければならず、汎用性に欠ける。
本発明は、パケット通信において、複数の異なるパケットフィルタリング機能を併用する場合であっても、簡易な構成により、不要な処理の実行を抑制して処理効率の向上を図ることができる通信装置及びその制御方法を提供することを目的とする。
【課題を解決するための手段】
【０００８】
上記課題を解決するために、本発明の一態様に係る通信装置は、パケットを送信又は受信する通信手段と、前記パケットに対して、第１のフィルタ適用条件及び第１のフィルタアクションを含む第１のフィルタ設定情報に基づいて、第１のフィルタリング処理を適用する第１の処理手段と、前記第１のフィルタリング処理を通過し、かつ所定のプロトコル処理が適用されたパケットに対して、第２のフィルタ適用条件及び第２のフィルタアクションを含む第２のフィルタ設定情報に基づいて、前記第１のフィルタリング処理と異なる第２のフィルタリング処理を適用する第２の処理手段と、前記第２のフィルタ設定情報に設定される前記第２のフィルタアクションがパケット破棄を示す場合に、前記第２のフィルタ設定情報の前記第２のフィルタ適用条件と一致するフィルタ適用条件を有する第１のフィルタ設定情報の前記第１のフィルタアクションをパケット破棄に設定する制御手段と、を備える。
【０００９】
また、本発明の他の一態様に係る通信装置の制御方法は、パケットを送信又は受信するステップと、前記パケットに対して、第１のフィルタ適用条件及び第１のフィルタアクションを含む第１のフィルタ設定情報に基づいて、第１のフィルタリング処理を適用するステップと、前記第１のフィルタリング処理を通過し、かつ所定のプロトコル処理が適用されたパケットに対して、第２のフィルタ適用条件及び第２のフィルタアクションを含む第２のフィルタ設定情報に基づいて、前記第１のフィルタリング処理と異なる第２のフィルタリング処理を適用するステップと、前記第２のフィルタ設定情報に設定される前記第２のフィルタアクションがパケット破棄を示す場合に、前記第２のフィルタ設定情報の前記第２のフィルタ適用条件と一致するフィルタ適用条件を有する第１のフィルタ設定情報の前記第１のフィルタアクションをパケット破棄に設定するステップと、を備える。
【発明の効果】
【００１０】
本発明によれば、パケット通信において、複数の異なるパケットフィルタリング機能を併用する場合であっても、簡易な構成により、不要な処理の実行を抑制して処理効率の向上を図ることができる。
【図面の簡単な説明】
【００１１】
【図１】各実施形態におけるネットワーク構成の一例を示す図である。
【図２】各実施形態に係る通信装置の機能ブロック構成を示す図である。
【図３】実施形態１におけるパケット受信時の処理フローを示す図である。
【図４】実施形態１のＩＰｓｅｃのＳＰ登録及び削除の処理フローを示す図である。
【図５】実施形態２におけるパケット送信時の処理フローを示す図である。
【図６】実施形態２のＩＰフィルタ設定登録及び削除の処理フローを示す図である。
【図７】各実施形態に係る通信装置のハードウエア構成の一例を示す図である。
【発明を実施するための形態】
【００１２】
以下、添付図面を参照して、本発明を実施するための形態について詳細に説明する。
なお、以下に説明する実施の形態は、本発明の実現手段としての一例であり、本発明が適用される装置の構成や各種条件によって適宜修正又は変更されるべきものであり、本発明は以下の実施の形態に限定されるものではない。
実施形態１
本実施形態１は、受信されたパケットに複数のパケットフィルタリング処理を実行する際に、後段のパケットフィルタリング処理の設定内容を前段のパケットフィルタリング処理側へ反映させる機能を備える。以下、ノートパソコンから送信されたプリントデータをプリンタで受信する場合の動作を例として本実施形態１を説明する。
図１において、あるユーザが保有するプリンタである自端末１０１と、同じユーザが保有するノートパソコンである相手端末１０２とがネットワーク１０４を介して接続されている。また、他のユーザが保有する第三者端末１０３もネットワーク１０４に接続されている。なお、ネットワーク１０４は、有線ＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）であってもよく、これに替えて無線ＬＡＮ又は公衆ネットワークであってもよい。
【００１３】
本実施形態１では、上記ユーザの所有するプリンタである自端末１０１が意図しない他のユーザに使用されるのを防止するため自端末１０１が備えるパケットフィルタリング機能の実装例を説明する。つまり、第三者端末１０３からプリンタ出力を意図して画像データが自端末１０１に送信された場合でも、自端末１０１がその画像データを受取らないようにするため、自端末１０１にはパケットフィルタリング機能が実装されている。自端末１０１は、複数の異なるパケットフィルタリング手段として例えばＩＰフィルタ機能とＩＰｓｅｃ機能とを備えており、ＩＰｓｅｃ機能とＩＰフィルタ機能とを同時に利用することができるものとする。なお、ここで「同時に利用」とは、ＩＰｓｅｃ機能とＩＰフィルタ機能とを同じレイヤ又は異なるレイヤにおいて、同一パケットに対して併用可能であることをいう。
また、「パケット」とは、送受信されるデータの一単位、一個の連なりを意味する。この「パケット」は、ＩＰレイヤにおけるＩＰデータグラムの他、ネットワークインタフェースレイヤにおけるフレーム、ＴＣＰレイヤにおけるＴＣＰセグメント、ＰＤＵ（ｐｒｏｇｒａｍ  ｄａｔａ  ｕｎｉｔ）を含む。
【００１４】
（通信装置の構成）
図２は、自端末１０１、相手端末１０２を含む本実施形態１に係る通信装置（以下、「通信装置１０１」と総称する。）が備える機能ブロック構成の一例を示す。図２において、通信装置１０１は、処理制御部２０１と、記憶部２０２と、ＰＨＹ／ＭＡＣ処理部２０３と、ＩＰ処理部２０４と、ＴＣＰ処理部２０５と、ＩＰフィルタ処理部２０６と、ＩＰフィルタ設定記憶部２０７と、を備える。さらに通信装置１０１は、ＩＰｓｅｃ処理部２０８と、ＩＰｓｅｃ設定記憶部２０９と、登録処理制御部２１０と、登録情報管理部２１１と、を備える。これらの各部は、バス２２０によって相互に接続されている。
【００１５】
処理制御部２０１は、通信装置１０１の各部の処理全体を制御し、かつ各種プロトコル処理やパケットフィルタリング処理の処理実行順序を制御する。
記憶部２０２は、ユーザデータや各種処理において発生する中間データなどを記憶する。記憶部２０２は、その他、演算に用いられる各種パラメータを適宜記憶してよい。
ＰＨＹ／ＭＡＣ処理部２０３は、ＰＨＹレイヤ（物理レイヤ）及びＭＡＣレイヤ（メディアアクセス制御：Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）のプロトコル処理を行う。つまり、ＩＰ処理部２０４により作成されたパケットをネットワーク１０４へパケット送信する、ネットワーク１０４からパケットを受信してＩＰ処理部１０４へ渡す、などの処理を行う。
ＩＰ処理部２０４は、ＩＰ（インターネットプロトコル）パケットの送受信に関する各種のプロトコル処理を行う。
ＴＣＰ処理部２０５は、ＴＣＰ（トランスミッションコントロールプロトコル）パケットの送受信に関する各種のプロトコル処理を行う。
【００１６】
ＩＰフィルタ処理部２０６は、複数のパケットフィルタリング機能の１つを提供するＩＰフィルタの処理を行う。ここで、ＩＰフィルタは、宛先ＩＰアドレス、送信元ＩＰアドレス、上位プロトコル種別などＩＰパケットのパケットヘッダから得られる情報に基づき、パケットフィルタリングを実行するものである。ユーザが、ＩＰフィルタの適用条件、つまりフィルタ適用条件（以下、特に断らない限り「適用条件」という。と、適用条件に合致（一致）するパケットに対して実行すべきフィルタアクションとを、フィルタ設定情報として指定（設定）する。ＩＰフィルタ処理部２０６は、この設定されたフィルタ設定情報に基づき、パケットフィルタリング処理を実行する。
ＩＰフィルタ設定記憶部２０７は、ＩＰフィルタの設定されたフィルタ設定情報のそれぞれを設定情報エントリ（フィルタ設定情報エントリ、以下、特に断らない限り「設定情報エントリ」という。）として記憶する。
【００１７】
ＩＰｓｅｃ処理部２０８は、送信するＩＰパケットや、受信されたＩＰパケットに対して、ＩＰｓｅｃ設定記憶部２０９に記憶されているＳＰ（セキュリティポリシ）設定情報に基づいて、ＩＰｓｅｃ処理を実行する。
ＩＰｓｅｃ設定記憶部２０９は、ＩＰｓｅｃのＳＰ設定情報のそれぞれを設定情報エントリとして記憶する。このＳＰ設定情報は、上記ＩＰフィルタと同様、適用条件、及びフィルタアクションを含むポリシ（ＳＰ）を含む。ＩＰｓｅｃ処理部２０８は、ＳＰ設定情報に規定される適用条件やポリシに従って、ＩＰｓｅｃ処理を行う。
【００１８】
登録処理制御部２１０は、ユーザまたはアプリケーションがＩＰｓｅｃのＳＰ登録やＳＰ削除を行ったときに、以下の判断及び処理を行う。この判断とは、新たにパケットフィルタリングの設定情報エントリを作成する必要があるのか、あるいは、既に存在するパケットフィルタリングの設定情報エントリを変更する必要があるのか、を含む。
新たな設定情報エントリの作成が必要という判断結果となった場合、登録処理制御部２１０は、ＩＰｓｅｃ設定記憶部２０９又はＩＰフィルタ設定記憶部２０７へ設定情報エントリを登録する。一方、既存の設定情報エントリの内容を変更する必要があるという判断結果となった場合、登録処理制御部２１０は、ＩＰｓｅｃ設定記憶部２０９又はＩＰフィルタ設定記憶部２０７に存在する既存の設定情報エントリの内容を変更する。
【００１９】
登録情報管理部２１１は、登録処理制御部２１０により新たにパケットフィルタリングの設定情報エントリが作成された場合、作成された設定情報エントリが登録処理制御部２１０によって作成されたものである旨を示す情報を記憶装置に記憶する。換言すれば、前段において作成される設定情報エントリのアクション（フィルタアクション）が、後述するように、後段において作成される設定情報エントリのアクションと関連する旨を示す情報が記憶される。また、登録情報管理部２１１は、登録処理制御部２１０により既存のパケットフィルタリングの設定情報エントリの内容が変更された場合、変更された設定情報エントリが登録処理制御部２１０によって変更されたものである旨を示す情報を記憶装置に記憶する。換言すれば、前段において変更される設定情報エントリのアクション（フィルタアクション）が、後述するように、後段において作成または変更される設定情報エントリのアクションと関連する旨を示す情報が記憶される。
なお、既存の設定情報エントリの内容を変更する場合、登録情報管理部２１１は、変更前の設定情報エントリの内容も併せて記憶してよい。後に、設定情報エントリの内容を変更前の状態に戻したい場合に、変更前の設定情報エントリの内容を利用することができる。
【００２０】
（パケット受信時の処理）
図３は、パケットを受信した場合の通信装置１０１の処理のフローを示す図である。図３を用いて、ＩＰｓｅｃとＩＰフィルタとを同時に利用する場合のパケット受信処理を説明する。
ここで、図３のパケット受信処理開始に至るまでの前処理について簡単に説明する。この前処理は所定のデータをＩＰパケット化するまでの処理である。まず、通信装置（自端末）１０１に対して、例えば所定の画像データがＥｔｈｅｒｎｅｔ（登録商標）のフレーム（Ｅｔｈｅｒパケット）としてネットワーク１０４から送信される。ＰＨＹ／ＭＡＣ処理部２０３は、このＥｔｈｅｒパケットを受信し、ＰＨＹ／ＭＡＣレイヤの受信処理を行う。つまり、ＰＨＹ／ＭＡＣ処理部２０３は、受信したＥｔｈｅｒパケットからＭＡＣヘッダを外して、ＩＰパケット化する。このようにして、ＩＰパケット化が行われた後、図３におけるＳ３０１以降の処理が開始される。
【００２１】
まず、図３のＳ３０１において、ＩＰフィルタ処理部２０６は、ＩＰフィルタ設定記憶部２０７中に、受信されたＩＰパケットを適用条件とする設定情報エントリがあるか否かを確認する。
受信されたＩＰパケットを適用条件とする設定情報エントリがない場合は、ＩＰフィルタによるパケットフィルタリング処理の適用がないと判断して、Ｓ３０２へ進む。他方、適用条件とする設定情報エントリがある場合は、その設定情報エントリに示されるフィルタアクションに従って処理が行われる。本実施形態１においては、フィルタアクションとして、パケット通過（ＰＡＳＳ）とパケット破棄（ＤＲＯＰ）を含む。「ＰＡＳＳ」の場合はＳ３０２へ進み、「ＤＲＯＰ」の場合はＳ３０６へ進む。なお、このような「ＰＡＳＳ」や「ＤＲＯＰ」のようなフィルタリング処理の各パケットに適用される具体的な動作を「フィルタアクション」ないし単に「アクション」と称する。
アクションが「ＤＲＯＰ」であった場合、Ｓ３０６において、ＩＰフィルタ処理部２０６は、このＩＰパケットを破棄してパケット受信処理を終了する。
【００２２】
一方、アクションが「ＰＡＳＳ」であった場合、Ｓ３０２において、ＩＰｓｅｃ処理部２０８は、このＩＰパケットがＩＰｓｅｃパケットであるかどうかを判別する。ＩＰパケット中にＩＰｓｅｃヘッダが付加されているか否かでこの判別を行うことができる。この判別の結果、ＩＰｓｅｃパケットであればＳ３０３へ処理が進む。他方、ＩＰｓｅｃパケットでない場合は、Ｓ３０５へ処理が進む。
ＩＰｓｅｃパケットである場合、Ｓ３０３において、ＩＰｓｅｃ処理部２０８は、ＩＰｓｅｃ受信処理を実行する。なお、ＩＰｓｅｃ受信処理は、ＩＰｓｅｃ処理の一種である。
ＩＰｓｅｃ処理部２０８は、このＩＰｓｅｃパケットに対応するＳＡ（Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ）を用いてＩＰｓｅｃパケット化を解く。ここでＳＡが見つからない等、ＩＰｓｅｃ受信処理が進められない場合は、Ｓ３０６へ処理が進み、パケット受信処理が終了する。この結果、ＩＰｓｅｃ受信処理が進められないＩＰｓｅｃパケットは破棄されることになる。
【００２３】
ＩＰｓｅｃ受信処理が正常に終了した場合は、Ｓ３０４に処理が進む。
Ｓ３０４において、ＩＰｓｅｃ処理部２０８は、ＩＰｓｅｃ設定記憶部２０９に登録されているＳＰの設定情報エントリを参照し、ＳＰのポリシをチェックし、ポリシに従って処理を行う。
ポリシがパケット破棄（ＤＩＳＣＡＲＤ）の場合、Ｓ３０６に進み、パケット破棄が実行される。他方、ポリシがパケット破棄（ＤＩＳＣＡＲＤ）ではない場合はＳ３０５へ進む。
Ｓ３０５において、ＩＰ処理部２０４がＩＰ受信処理を実行し、ＴＣＰ処理部２０５がＴＣＰ受信処理を実行する。
以上のようにして、パケット受信処理が行われる。
ここで、ＩＰフィルタで「ＰＡＳＳ」というアクションが設定されているパケットであって、かつ、ＩＰｓｅｃで「ＤＩＳＣＡＲＤ」というポリシが設定されているパケットを受信した場合を考える。この場合、ＩＰｓｅｃ受信処理やＩＰｓｅｃのＳＰポリシチェック処理が無駄になってしまう。
そこで、本実施形態１では、パケットの受信におけるこのような無駄な処理を防ぐためにパケットフィルタリング機能の自動設定を提供する。
【００２４】
（フィルタ登録・削除時の処理）
図４は、ＩＰｓｅｃのＳＰ登録および削除を行う場合の、通信装置１０１における処理のフローを示す図である。
ユーザがＩＰｓｅｃのＳＰ登録処理または削除処理を開始すると、Ｓ４０１において、登録処理制御部２１０は、その処理要求の内容を確認し、ＳＰのポリシとして「ＤＩＳＣＡＲＤ」が指定されたＳＰの登録処理であるかどうかを判別する。処理要求に対する判別の結果、処理要求が「ＤＩＳＣＡＲＤ」のＳＰを登録する処理である場合はＳ４０２へ進み、一方、「ＤＩＳＣＡＲＤ」のＳＰを登録する処理ではない場合はＳ４０５へ進む。
処理要求が「ＤＩＳＣＡＲＤ」のＳＰを登録する処理である場合、Ｓ４０２において、登録処理制御部２１０は、このＳＰ登録情報からパケットフィルタリングの適用条件を取得する。具体的には、適用条件には、相手端末１０２のデスティネーション（ｄｓｔ）ＩＰアドレス、自端末１０１のソース（ｓｒｃ）ＩＰアドレス、上位プロトコルの指定、自端末１０１のポート番号を含む。ここでは、適用条件として、相手端末１０２のＩＰアドレスだけが取得できたものとする。
【００２５】
次に、Ｓ４０３において、登録処理制御部２１０は、取得された相手端末１０２のＩＰアドレスを適用条件とし、アクション（フィルタアクション）がパケット破棄（ＤＲＯＰ）であるＩＰフィルタの設定情報エントリ（フィルタ設定情報エントリ）を作成する。このように、登録処理制御部２１０は、通信装置１０１の制御手段としての役割を果たす。そして登録処理制御部２１０は、ＩＰフィルタ処理部２０６にこの設定情報エントリを渡す。ＩＰフィルタ処理部２０６は、渡された設定情報エントリをＩＰフィルタ設定記憶部２０７に登録する。
なお、本実施形態１においては、ＩＰｓｅｃのＳＰのアクション「ＤＩＳＣＡＲＤ（パケット破棄）」を登録する際に、ＩＰフィルタのアクションとしては「ＤＲＯＰ（パケット破棄）」であるＩＰフィルタの設定情報エントリを作成（ないし更新）する。
【００２６】
なお、Ｓ４０３においては、ＩＰフィルタ処理部２０６は、ＩＰフィルタ設定記憶部２０７に同じ適用条件となる「ＤＲＯＰ」の設定情報エントリが既に存在するか否かを検索して確認してもよい。この場合、ＩＰフィルタ処理部２０６は、同じエントリが存在しなければ設定情報エントリの新規登録を行い、既に存在すれば新規登録を行わないようにしてもよい。
さらに、Ｓ４０３において、ＩＰフィルタ処理部２０６は、ＩＰフィルタ設定記憶部２０７に同じ適用条件となる「ＰＡＳＳ」の設定情報エントリが既に存在するか否かを検索して確認してもよい。この場合、ＩＰフィルタ処理部２０６は、「ＰＡＳＳ」の設定情報エントリが既に存在すれば、その設定情報エントリのアクションを「ＤＲＯＰ」に変更するようにしてもよい。
【００２７】
次に、Ｓ４０４において、登録情報管理部２１１は、ＩＰフィルタ設定記憶部２０７に新たに設定情報エントリを登録した旨の情報を記憶する。登録情報管理部２１１においては、ＩＰフィルタ設定記憶部２０７に登録されているどの設定情報エントリが、登録処理制御部２１０により登録されたものであるか否かを、後から判別可能であるように情報管理を行う。このような情報管理は、ＩＰフィルタ設定記憶部２０７に登録した設定情報エントリに対して、ＩＰフィルタ設定記憶部２０７が付与した識別子を、登録情報管理部２１１が記憶しておくことで実現できる。あるいは、登録情報管理部２１１が、ＩＰフィルタ設定記憶部２０７に登録した設定情報エントリをそのまま記憶しておくようにしてもよい。
【００２８】
Ｓ４１１において、ＩＰｓｅｃ処理部２０８は、ユーザが本来行いたいＩＰｓｅｃのＳＰ登録処理を実行する。つまり、ＩＰｓｅｃ処理部２０８は、ＩＰｓｅｃの設定情報エントリを作成し、ＩＰｓｅｃ設定記憶部２０９に登録する。なお、本実施形態１においては、Ｓ４１１をＳ４０１からＳ４１０までの処理実行後最後の処理として説明しているが、Ｓ４０１の処理の前に行ってもよい。以上の処理を行い、ＩＰｓｅｃのＳＰ登録処理を終了する。
図４のＳ４０１に戻って、「ＤＩＳＣＡＲＤ」のＳＰ登録でないと判別された場合は、Ｓ４０５に処理が進む。
Ｓ４０５において、登録処理制御部２１０は、ユーザが開始した処理要求の内容が、ポリシが「ＤＩＳＣＡＲＤ」であるＳＰ登録済みの設定情報エントリの削除処理であるかどうかを判別する。ユーザが開始した処理要求の内容についての判別の結果、その処理要求の内容が「ＤＩＳＣＡＲＤ」のＳＰ登録の削除である場合は、Ｓ４０６へ進み、「ＤＩＳＣＡＲＤ」のＳＰ登録の削除ではない場合はＳ４１１へ進む。
【００２９】
処理要求の内容が「ＤＩＳＣＡＲＤ」のＳＰ登録の削除である場合、Ｓ４０６において、登録処理制御部２１０は、このＳＰ削除要求から削除対象のＳＰの情報を取得する。具体的には、ＳＰの情報から、相手端末１０２のデスティネーションＩＰアドレス、自端末１０１のソースＩＰアドレス、上位プロトコルの指定、自端末１０１のポート番号を含む情報が取得される。
ここでは、相手端末１０２のＩＰアドレス、上位プロトコルの指定、自端末１０１のポート番号が取得できたものとする。
Ｓ４０７において、登録処理制御部２１０は、ＩＰフィルタ設定記憶部２０７に登録されているＩＰフィルタ設定情報エントリを参照し、適用条件を取得する。
【００３０】
Ｓ４０８において、登録処理制御部２１０は、先に削除対象ＳＰから取得した情報と、ＩＰフィルタ設定記憶部２０７から取得した適用条件とを比較し、ＩＰフィルタに「ＤＲＯＰ」の設定情報エントリがあるか否かを判別する。同じ内容の設定情報エントリがある場合は、Ｓ４０９へ進み、ない場合はＳ４１１へ進む。
Ｓ４０８の判別の結果、同じ内容の設定情報エントリがある場合は、Ｓ４０９において、登録情報管理部２１１は、ＩＰフィルタ設定記憶部２０７で記憶されているこの設定情報エントリが登録処理制御部２１０によって登録されたものかどうかを判別する。つまり、ＩＰｓｅｃ設定に応じて（関連して）設定された設定情報エントリであるか否かが判別される。この判別の結果、登録処理制御部２１０によって登録されたものである場合はＳ４１０へ進み、それ以外の場合はＳ４１１へ進む。
【００３１】
次に、Ｓ４１０において、登録処理制御部２１０は、ＩＰフィルタ処理部２０６に指示し、ＩＰフィルタ設定記憶部２０７に登録されている設定情報エントリを削除させる。このようにどのユニットが登録を実行したかのトリガを判別するのは、ＩＰｓｅｃのＳＰ登録に関連して自動的に登録されたエントリであれば削除すべきであるが、ユーザが意図して登録した設定情報エントリを削除することは妥当ではないからである。
そして、Ｓ４０４において、登録情報管理部２１１は、ＩＰフィルタ設定記憶部２０７から設定情報エントリを削除したことに応じて、管理情報を更新する。具体的には、登録情報管理部２１１が管理している管理情報を変更するか、又は管理情報を削除することで管理情報の更新を実現することができる。
Ｓ４１１において、ＩＰｓｅｃ処理部２０８は、ユーザが本来行いたいＩＰｓｅｃのＳＰの削除処理を実施する。つまり、ＩＰｓｅｃ処理部２０８は、ＩＰｓｅｃ設定記憶部２０９に登録されているＳＰの設定情報エントリを削除する。なお、本実施形態１においては、Ｓ４１１を全ステップ実行後の最後の処理として説明しているが、Ｓ４０１の処理の前に実施されてもよい。
以上のような処理を行い、ＩＰｓｅｃのＳＰ登録／削除処理を終了する。
【００３２】
以上説明したように、本実施形態１によれば、後段のパケットフィルタリング処理の機能を果たすＩＰｓｅｃのＳＰの登録／削除の処理の際に、これに関連して、登録／削除されたものと同様の内容を前段のＩＰフィルタ側にも反映させることができる。前段のＩＰフィルタ側では、単純に自らのＩＰフィルタの設定情報を参照してパケットフィルタリング処理を実行すればよい。これにより、ＩＰｓｅｃ機能とＩＰフィルタ機能とを同時に使用する場合であっても、前段のＩＰフィルタで通過させたパケットに対して不要なプロトコル処理が実行された後に、ＩＰｓｅｃで破棄するという現象を防止することができる。その結果、不要な処理の発生を防ぐことができるため、通信装置１０１の処理性能の低下を回避し、処理効率の向上を実現することができる。さらに、不要な処理実行に伴う無駄な電力消費を削減することができる。
【００３３】
実施形態２
本実施形態２は、送信すべきパケットに複数のパケットフィルタリング処理を実行する際に、後段のパケットフィルタリング処理の設定内容を前段のパケットフィルタリング処理側へ反映される機能を備える。
本実施形態２では、図１に示す自端末１０１があるユーザ保有のデジタルカメラであり、相手端末１０２が同じユーザが保有するノートパソコンであり、これらがネットワーク１０４を介して接続されている。ここで、デジタルカメラ（自端末１０１）から送信された撮影画像データを、ノートパソコン（相手端末１０２）で受信して内部に保存するケースの動作を説明する。
【００３４】
本実施形態２では、ユーザのデジタルカメラである通信装置（自端末）１０１に、他のユーザのノートパソコンである第三者端末１０３に撮影画像データを誤って送信してしまうのを防ぐため、送信パケットに対するパケットフィルタリング機能が実装されている。
本実施形態２に係る通信装置１０１の機能ブロック構成は、図２に示す実施形態１と同様である。本実施形態２において、通信装置１０１は、実施形態１と同様、異なるパケットフィルタリング手段として、ＩＰフィルタ機能とＩＰｓｅｃ機能とを備えており、ＩＰｓｅｃとＩＰフィルタとを同時に利用することができるものとする。
【００３５】
（パケット送信時の処理）
図５は、パケットを送信する場合の通信装置１０１の処理のフローを示す。図５を用いて、ＩＰｓｅｃとＩＰフィルタを同時に利用する場合のパケット送信処理を説明する。
まず、Ｓ５０１において、通信装置１０１のアプリケーションからＴＣＰレイヤへ撮影画像データが渡される。ＴＣＰ処理部２０５は、渡された撮影画像データにＴＣＰ送信処理を実行し、それに続いて、ＩＰ処理部２０４は、ＴＣＰ送信処理後の撮影画像データにＩＰ送信処理を実行する。
次に、Ｓ５０２において、ＩＰｓｅｃ処理部２０８は、ＩＰｓｅｃ設定記憶部２０９に登録されているＳＰの設定情報エントリを参照し、ＳＰのポリシをチェックし、それに従って所定の処理を行う。具体的には、参照したＳＰのポリシがパケット破棄（ＤＩＳＣＡＲＤ）の場合はＳ５０６に進む。また、ポリシがＩＰｓｅｃ適用（ＡＰＰＬＹ）の場合はＳ５０３に進み、ポリシがＩＰｓｅｃ非適用（ＢＹＰＡＳＳ）の場合、Ｓ５０３を飛ばしてＳ５０４に進む。
【００３６】
ポリシが「ＡＰＰＬＹ」であった場合、Ｓ５０３において、ＩＰｓｅｃ処理部２０８は、ＩＰｓｅｃ送信処理を実行する。このＩＰｓｅｃパケットに対応するＳＡ（Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ）を用いてＩＰｓｅｃパケット化を行う。ここでＳＡが見つからない場合等、ＩＰｓｅｃ送信処理が進められない場合はＳ５０６へ進み、送信処理が終了する。他方、ＩＰｓｅｃパケット化が完了するとＳ５０４へ進む。
Ｓ５０３でＩＰｓｅｃパケット化処理が完了した場合、Ｓ５０４に進む。なお、ＩＰｓｅｃ送信処理は、ＩＰｓｅｃ処理の一種である。
Ｓ５０４において、ＩＰフィルタ処理部２０６は、ＩＰフィルタ設定記憶部２０７に、このＩＰパケットを適用条件（フィルタ適用条件）とする設定情報エントリがあるか否かを確認する。適用条件とする設定情報エントリがない場合は、Ｓ５０５へ進み、適用条件とする設定情報エントリがある場合は、その設定情報エントリに示されるアクション（フィルタアクション）に従ってそれぞれ処理を行う。
【００３７】
このＩＰフィルタのアクションは、パケット通過（ＰＡＳＳ）と、パケット破棄（ＤＲＯＰ）を含む。パケット通過（ＰＡＳＳ）の場合はＳ５０５へ進み、パケット破棄（ＤＲＯＰ）の場合はＳ５０６へ進む。
アクションが、「ＤＲＯＰ」であった場合は、Ｓ５０６において、ＩＰフィルタ処理部２０６は、このパケットを破棄し、パケット送信処理を終了する。他方、アクションが「ＰＡＳＳ」であった場合は、Ｓ５０５において、ＰＨＹ／ＭＡＣ処理部２０３がこのパケットの送信処理を行い、Ｅｔｈｅｒパケット（ＥｔｈｅｒＮｅｔフレーム）としてネットワーク１０４へ送信する。
以上のようにして、パケット送信処理が行われる。
【００３８】
ここで、ＩＰｓｅｃで「ＡＰＰＬＹ」というポリシ（アクション）が設定されているパケットであって、かつＩＰフィルタで「ＤＲＯＰ」というアクションが設定されているパケットを送信する場合を考える。この場合、ＩＰｓｅｃ送信処理やＩＰｓｅｃのＳＰポリシチェック処理が無駄になってしまう。
そこで、本実施形態２においては、パケットの送信におけるこのような無駄な処理を防ぐためのパケットフィルタリング機能の自動設定を提供する。
【００３９】
図６は、ＩＰｓｅｃのＳＰ登録および削除を行う場合の、通信装置１０１における処理のフローを示す。
ユーザがＩＰフィルタのフィルタ設定登録処理または削除処理を開始すると、Ｓ６０１において、登録処理制御部２１０は、ユーザが開始した処理要求の内容を確認し、フィルタ（ポリシ）として「ＤＲＯＰ」が指定された登録要求であるか否かを判別する。処理要求に対する判別の結果「ＤＲＯＰ」のフィルタ登録である場合はＳ６０２へ進み、一方、「ＤＲＯＰ」のフィルタの登録ではない場合はＳ６０５へ進む。
処理要求が「ＤＲＯＰ」のフィルタを登録する処理である場合、Ｓ６０２において、登録処理制御部２１０は、ユーザが開始した処理要求のフィルタ設定登録情報からパケットフィルタリングの適用条件を取得する。具体的には、適用条件には、相手端末１０２のデスティネーションＩＰアドレス、自端末１０１のソースＩＰアドレス、上位プロトコルの指定、自端末１０１のポート番号を含む。ここでは、適用条件として、例えば、相手端末１０２のＩＰアドレスだけが取得できたものとする。
【００４０】
次に、Ｓ６０３において、登録処理制御部２１０は、取得された相手端末のＩＰアドレスを適用条件とし、アクション（フィルタアクション）がパケット破棄（ＤＩＳＣＡＲＤ）であるＩＰｓｅｃのＳＰの設定情報エントリを作成する。
Ｓ６０３において、登録処理制御部２１０は、さらに、ＩＰｓｅｃ処理部２０８に作成された設定情報エントリを渡す。ＩＰｓｅｃ処理部２０８は、この設定情報エントリをＩＰｓｅｃ設定記憶部２０９に登録する。
なお、Ｓ６０３において、ＩＰｓｅｃ処理部２０８は、ＩＰｓｅｃ設定記憶部２０９に、既に同じ適用条件となる「ＤＩＳＣＡＲＤ」の設定情報エントリがあるかを予め検索して確認してもよい。この場合、同じ適用条件の設定情報エントリがなければ、ＩＰｓｅｃ処理部２０８は、ＩＰｓｅｃ設定記憶部２０９にこの設定情報エントリを新規登録する。他方、同じ適用条件の設定情報エントリが既に存在する場合は、ＩＰｓｅｃ処理部２０８は、新規登録を行わないようにしてもよい。
【００４１】
さらに、Ｓ６０３において、ＩＰｓｅｃ処理部２０８は、ＩＰｓｅｃ設定記憶部２０９に同じ適用条件となる「ＡＰＰＬＹ」の設定情報エントリが既に存在するか否かを確認してもよい。この場合、ＩＰｓｅｃ処理部２０８は、「ＡＰＰＬＹ」の設定情報エントリが既に存在すれば、その設定情報エントリ中のアクションを、「ＤＲＯＰ」に変更するようにしてもよい。
同様に、Ｓ６０３において、ＩＰｓｅｃ処理部２０８は、ＩＰｓｅｃ設定記憶部２０９に同じ適用条件となる「ＢＹＰＡＳＳ」の設定情報エントリが既に存在するか否かを確認してもよい。この場合、ＩＰｓｅｃ処理部２０８は、「ＢＹＰＡＳＳ」の設定情報エントリが既に存在すれば、その設定情報エントリ中のアクションを「ＤＲＯＰ」に変更するようにしてもよい。
【００４２】
Ｓ６０４において、登録情報管理部２１１は、ＩＰｓｅｃ設定記憶部２０９に新たに設定情報エントリを登録した旨の情報を記憶する。登録情報管理部２１１においては、ＩＰｓｅｃ設定記憶部２０９に登録されているどの設定情報エントリが、登録処理制御部２１０によって登録されたものであるか否かを、後から判別可能であるように情報管理を行う。このような情報管理は、ＩＰｓｅｃ設定記憶部２０９に登録した設定情報エントリに対して、ＩＰｓｅｃ設定記憶部２０９が付与した識別子を、登録情報管理部２１１で記憶しておくことで実現できる。あるいは、登録情報管理部２１１が、ＩＰｓｅｃ設定記憶部２０９に登録した設定情報エントリをそのまま記憶しておくようにしてもよい。
【００４３】
Ｓ６１１において、ＩＰフィルタ処理部２０６は、ユーザが本来行いたいＩＰフィルタのフィルタ設定登録処理を実行する。つまり、ＩＰフィルタ処理部２０６は、ＩＰフィルタの設定情報エントリを作成し、ＩＰフィルタ設定記憶部２０７に登録する。なお、本実施形態２においては、Ｓ６１１をＳ６０１からＳ６１０までの処理実行後、最後の処理として説明しているが、Ｓ６０１の処理の前に行ってもよい。以上の処理を行い、ＩＰフィルタのフィルタ設定登録処理を終了する。
Ｓ６０１に戻り、登録処理制御部２１０は、ユーザが行いたいＩＰフィルタの設定登録の要求の内容を確認し、「ＤＲＯＰ」のフィルタの登録でないと判別した場合、Ｓ６０５に進む。
【００４４】
Ｓ６０５において、登録処理制御部２１０は、ユーザが行いたいＩＰフィルタの設定登録処理の要求の内容が、アクション（ポリシ）が「ＤＲＯＰ」である登録済み設定情報エントリの削除処理であるかどうかを判別する。この判別の結果、その処理要求の内容が「ＤＲＯＰ」のアクションを有する登録済み設定情報エントリの削除である場合はＳ６０６へ進み、そうでない場合はＳ６１１へ進む。
処理要求の内容が「ＤＲＯＰ」のフィルタ設定登録の削除である場合、Ｓ６０６において、登録処理制御部２１０は、このフィルタ設定削除要求から削除対象のＩＰフィルタの情報を取得する。具体的には、ＩＰフィルタの情報から、相手端末１０２のデスティネーションＩＰアドレス、自端末１０１のソースＩＰアドレス、上位プロトコルの指定、自端末１０１のポート番号を含む情報が取得される。ここでは、相手端末１０２のＩＰアドレス、上位プロトコルの指定、自端末１０１のポート番号が取得できたものとする。
【００４５】
Ｓ６０７において、登録処理制御部２１０は、ＩＰｓｅｃ設定記憶部２０９に登録されているＳＰの設定情報エントリを参照し、適用条件を取得する。
Ｓ６０８において、登録処理制御部２１０は、先に削除対象ＩＰフィルタから取得した情報と、ＩＰｓｅｃ設定記憶部２０９から取得した適用条件を比較し、同じ内容の設定情報エントリがあるか判別する。同じ内容の設定情報エントリがある場合はＳ６０９へ進み、ない場合はＳ６１１へ進む。
Ｓ６０８の判別の結果、同じ内容の設定情報エントリがある場合は、Ｓ６０９において、登録情報管理部２１１は、ＩＰｓｅｃ設定記憶部２０９で記憶されているこの設定情報エントリが登録処理制御部２１０によって登録されたものかどうかを判別する。つまり、ＩＰフィルタ設定に応じて（関連して）設定された設定情報エントリであるか否かが判別される。この判別の結果、登録処理制御部２１０によって登録されたものである場合はＳ６１０へ進み、それ以外の場合はＳ６１１へ進む。
【００４６】
次に、Ｓ６１０において、登録処理制御部２１０は、ＩＰｓｅｃ処理部２０８に指示し、ＩＰｓｅｃ設定記憶部２０９に登録されている設定情報エントリを削除させて、Ｓ６０４に進む。このようにどのユニットが登録を実行したかのトリガを判別するのは、ＩＰフィルタ登録に関連して自動登録された設定情報エントリであれば削除すべきであるが、ユーザが意図して登録した設定情報エントリを削除することは妥当ではないからである。
そして、Ｓ６０４において、登録情報管理部２１１は、ＩＰｓｅｃ設定記憶部２０９から設定情報エントリを削除したことに応じて、管理情報を更新する。具体的には、登録情報管理部２１１が管理している管理情報を変更するか、または管理情報を削除することで管理情報の更新を実現することができる。
Ｓ６１１において、ＩＰフィルタ処理部２０６は、ユーザが本来行いたいＩＰフィルタのＩＰフィルタ設定の削除処理を実行する。つまり、ＩＰフィルタ処理部２０６は、ＩＰフィルタ設定記憶部２０７に登録されているＩＰフィルタの設定情報エントリを削除する。なお、本実施形態２においては、Ｓ６１１の処理を全ステップ実行後の最後の処理として説明しているが、Ｓ６０１の前に処理を実行してもよい。
以上説明したような処理を行い、ＩＰフィルタのフィルタ設定登録／削除処理を終了する。
【００４７】
以上説明したように、本実施形態２によれば、後段のパケットフィルタリング処理の機能を果たすＩＰフィルタのＩＰフィルタ設定登録／削除の処理の際に、これに関連して、登録／削除されたものと同様の内容を前段のＩＰｓｅｃのＳＰにも反映させる。これにより、ＩＰｓｅｃ機能とＩＰフィルタ機能とを同時に使用する場合であっても、前段のＩＰｓｅｃで通過させたパケットに対して不要なプロトコル処理が実行された後に、ＩＰフィルタで破棄するという現象を防止することができる。その結果、不要な処理の発生を防ぐことができるため、通信装置１０１の処理性能の低下を回避し、処理効率の向上を実現することができる。さらに、不要な処理実行に伴う無駄な電力消費を削減することができる。
【００４８】
（変形例）
また、本実施形態１においては、これまでパケットフィルタリング手段として、ＩＰｓｅｃ機能とＩＰフィルタ機能の組合せで説明をしてきたが、これらの組合せに限定されるものではない。種々のフィルタリング手法やパケット監視手法を２種以上組み合わせることにも適用することができる。適用条件に共通性があるもの、また、適用条件に関連性があるものについて組合せることができ、同様の効果が得られるものである。
例えば、ＭＡＣ層のパケットフィルタリング機能と、ＩＰｓｅｃ機能のパケットフィルタリングとを組合せて使用できる。ＩＰｓｅｃ機能の適用条件として、ＩＰアドレスが含まれ、ＭＡＣ層のパケットフィルタリング機能においては適用条件として、ＭＡＣアドレスが含まれるものとする。この場合、ＭＡＣアドレスとＩＰアドレスとが紐づけられて管理されていれば、本実施形態１，２のような構成及び方法で、上記と同様の効果を得ることができる。
また、上記実施形態で説明したパケットを成すプリントデータや撮影画像データは、一例であり、あらゆる種類のデータのパケット通信に適用できることはいうまでもない。
【００４９】
（他の構成例）
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は
記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにお
ける１つ以上のプロセッサーがプログラムを読出し実行する処理でも実現可能である。ま
た、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。
図７は、上記各実施形態の各部を構成することのできるコンピュータ７２０の構成例を示す。図１や図２の通信装置１０１、１０２、１０３の装置全体又は各部を、コンピュータ７２０で構成してもよい。ＣＰＵ７２１は、ＲＯＭ７２２や、ＲＡＭ７２３、外部メモリ７２４等に格納されたプログラムを実行することによって、上記各実施形態の各部を実現してもよい。ＲＯＭ７２２、ＲＡＭ７２３、外部メモリ７２４には、上記各実施形態で説明した各部の機能を実現するプログラムを格納することができる。また、例えば、記憶部２０２、ＩＰフィルタ設定記憶部２０７、ＩＰｓｅｃ設定記憶部２０９において保持される各種の情報を格納することもできる。例えば、ＲＯＭ７２２や外部メモリ７２４はＩＰｓｅｃ設定記憶部２０９が記憶するＳＰ設定情報を記憶して、ＩＰｓｅｃ設定記憶部２０９を実現することができる。また、ＲＯＭ７２２や外部メモリ７２４は、ＩＰ情報設定記憶部２０７が記憶するフィルタ設定情報を記憶して、ＩＰ情報設定記憶部２０７として動作することができる。
【００５０】
また、入力部７２５は、例えば、ユーザがＩＰｓｅｃのＳＰ登録処理又は削除処理を開始する場合の指示等を入力することができる。同様に、ユーザがＩＰフィルタの登録処理又は削除処理を開始する場合の指示等を入力することができる。
また、表示部７２６は、ユーザに対して、ＩＰｓｅｃのＳＰ登録処理又は削除処理の結果を表示することができる。同様に、ユーザに対して、ＩＰフィルタの登録処理又は削除処理の結果を表示することもできる。
通信Ｉ／Ｆ７２７は、外部と通信を行うインターフェースであり、ネットワーク１０４との通信を司ることができる。  外部メモリ７２４は、ハードディスクや、半導体記憶装置等であり、プログラムや、上記実施形態で説明した各種の情報を格納することができる。
コンピュータ７２０の上記説明した各部はバス７２８によって相互に接続されている。
【００５１】
また、上記各実施形態では、２種類のフィルタリング機能を同時に利用する場合を説明したが、３種以上のフィルタリング機能を同時に利用する場合にも適用することができることは明らかである。
また、上記実施形態では、ユーザが、通信装置１０１に対してＩＰｓｅｃの設定登録処理、削除処理を行う例を説明したが、２台以上の通信装置１０１に対して同時に指示を行ってもよい。また、いずれか１台の通信装置１０１に対して設定登録処理や削除処理が行われた場合に、同様の指示が他の自装置に自動的に伝達される場合に、本実施形態１、２の原理を適用させることもできる。
以上、本発明の実施形態について詳細に説明したが、これら実施形態は、本発明を実施するにあたっての具体例を示したに過ぎず、本発明の技術的範囲は、上記実施形態に限定されるものではない。本発明は、その趣旨を逸脱しない範囲において種々の変更が可能であり、それらも本発明の技術的範囲に含まれる。
【符号の説明】
【００５２】
１０１：通信装置（自端末）、１０２：通信装置（相手端末）、１０３：通信装置（第三者端末）、２０１：処理制御部、２０２：記憶部、２０３：ＰＨＹ／ＭＡＣ処理部、２０４：ＩＰ処理部、２０５：ＴＣＰ処理部、２０６：ＩＰフィルタ処理部、２０７：ＩＰフィルタ設定記憶部、２０８：ＩＰｓｅｃ処理部、２０９：ＩＰｓｅｃ設定記憶部、２１０：登録処理制御部、２１１：登録情報管理部
【図１】
2016225928.tif 000003
【図２】
2016225928.tif 000004
【図３】
2016225928.tif 000005
【図４】
2016225928.tif 000006
【図５】
2016225928.tif 000007
【図６】
2016225928.tif 000008
【図７】
2016225928.tif 000009