(57)【要約】【課題】送信元から送信先までの通信経路上のネットワーク機器のアクセス制御リストを確認する。【解決手段】アクセス情報受付部１１０がアクセス情報１１１を受け付ける。ネットワーク機器特定部１２０が、アクセス情報１１１に含まれる送信元アドレスと送信先アドレスとを用いて、ネットワーク機器を特定する。アクセス制御リスト取得部１３０が、特定されたネットワーク機器に設定されているアクセス制御リスト１３２を取得する。アクセス制御リスト確認部１４０が、アクセス情報１１１に含まれる送信元アドレスを含む送信元範囲とアクセス情報１１１に含まれる送信先アドレスを含む送信先範囲とを含んだアクセス制御エントリがアクセス制御リスト１３２に含まれるか判定する。【選択図】図１
2016181849.tif 000002
【特許請求の範囲】
【請求項１】
データの送信元である送信元装置を識別する送信元アドレスと、前記データの送信先である送信先装置を識別する送信先アドレスと、を含んだアクセス情報を受け付けるアクセス情報受付部と、
受け付けられたアクセス情報に含まれる送信元アドレスと送信先アドレスとを用いて、前記送信元アドレスで識別される送信元装置から前記送信先アドレスで識別される送信先装置までの通信経路で前記データを中継するネットワーク機器、を特定するネットワーク機器特定部と、
特定されたネットワーク機器に設定されているリストであって、送信元アドレスの範囲である送信元範囲と送信先アドレスの範囲である送信先範囲とを含んだアクセス制御エントリを１つ以上含んだリストであるアクセス制御リストを取得するアクセス制御リスト取得部と、
取得されたアクセス制御リストに、前記アクセス情報に含まれる送信元アドレスを含む送信元範囲と前記アクセス情報に含まれる送信先アドレスを含む送信先範囲とを含んだアクセス制御エントリである該当エントリ、が含まれるか判定するアクセス制御リスト確認部と
を備えるアクセス制御リスト確認装置。
【請求項２】
前記該当エントリが前記アクセス制御リストに含まれないと判定された場合、前記アクセス情報に含まれる送信元アドレスを含む送信元範囲と前記アクセス情報に含まれる送信先アドレスを含む送信先範囲とを含んだアクセス制御エントリを追加エントリとして生成する追加エントリ生成部と、
生成された追加エントリを出力する追加エントリ出力部とを備える
請求項１に記載のアクセス制御リスト確認装置。
【請求項３】
前記追加エントリ生成部は、アクセス制御エントリの形式を示すエントリ形式データをネットワーク機器の機種別に備えたエントリ形式データベースから、特定されたネットワーク機器の機種用のエントリ形式データを取得し、取得したエントリ形式データを用いて前記追加エントリを生成する
請求項２に記載のアクセス制御リスト確認装置。
【請求項４】
前記アクセス制御エントリに含まれる送信元範囲は、ネットワークアドレスとホストアドレスの範囲であるホスト範囲とを示し、
前記アクセス制御リスト確認部は、前記アクセス情報に含まれる送信元アドレスからネットワークアドレスとホストアドレスとを抽出し、抽出したネットワークアドレスと、抽出したホストアドレスを含むホスト範囲と、を示す送信元範囲を含むことを前記該当エントリの条件として、前記該当エントリが前記アクセス制御リストに含まれるか判定する
請求項１に記載のアクセス制御リスト確認装置。
【請求項５】
前記アクセス制御エントリに含まれる送信先範囲は、ネットワークアドレスとホストアドレスの範囲であるホスト範囲とを示し、
前記アクセス制御リスト確認部は、前記アクセス情報に含まれる送信先アドレスからネットワークアドレスとホストアドレスとを抽出し、抽出したネットワークアドレスと、抽出したホストアドレスを含むホスト範囲と、を示す送信先範囲を含むことを前記該当エントリの条件として、前記該当エントリが前記アクセス制御リストに含まれるか判定する
請求項４に記載のアクセス制御リスト確認装置。
【請求項６】
データの送信元である送信元装置を識別する送信元アドレスと、前記データの送信先である送信先装置を識別する送信先アドレスと、を含んだアクセス情報を受け付けるアクセス情報受付部と、
受け付けられたアクセス情報に含まれる送信元アドレスと送信先アドレスとを用いて、前記送信元アドレスで識別される送信元装置から前記送信先アドレスで識別される送信先装置までの通信経路で前記データを中継するネットワーク機器、を特定するネットワーク機器特定部と、
特定されたネットワーク機器に設定されているリストであって、送信元アドレスの範囲である送信元範囲と送信先アドレスの範囲である送信先範囲とを含んだアクセス制御エントリを１つ以上含んだリストであるアクセス制御リストを取得するアクセス制御リスト取得部と、
取得されたアクセス制御リストに、前記アクセス情報に含まれる送信元アドレスを含む送信元範囲と前記アクセス情報に含まれる送信先アドレスを含む送信先範囲とを含んだアクセス制御エントリである該当エントリ、が含まれるか判定するアクセス制御リスト確認部として
コンピュータを機能させるためのアクセス制御リスト確認プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク機器のアクセス制御リストを確認する技術に関するものである。
【背景技術】
【０００２】
大規模なネットワークにおいて通信要件が発生した場合、管理者は、通信要件の送信元から通信要件の送信先までの通信経路上の全てのネットワーク機器のそれぞれのアクセス制御リストを確認する必要がある。アクセス制御リストの略称はＡＣＬである。
そして、確認の結果、通信要件を満たさない場合、管理者は、設定が不足しているアクセス制御リストに設定を追加する必要がある。
【０００３】
しかし、アクセス制御リストの確認および設定の追加は熟練した技術者でなくては困難である。
また、熟練した技術者であっても、全てのネットワーク機器についてアクセス制御リストの確認および設定の追加を行うには長時間を要する。さらに、熟練した技術者であっても、設定不足を検出できず、また、誤った設定を追加してしまう可能性がある。
【０００４】
特許文献１は、ネットワーク機器のルーティングテーブルを生成し、ネットワークシステムを疑似的に動作させ、ネットワークの接続性を検証する技術について開示している。
特許文献２は、ネットワークのシミュレーションモデルを生成する技術について開示している。
しかし、いずれの特許文献においても、送信元から送信先までの通信経路上のネットワーク機器のアクセス制御リストを確認する方法については開示されていない。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００２−１８５５１２号公報
【特許文献２】特許第３６４７６７７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
本発明は、送信元から送信先までの通信経路上のネットワーク機器のアクセス制御リストを確認できるようにすることを目的とする。
【課題を解決するための手段】
【０００７】
本発明のアクセス制御リスト確認装置は、
データの送信元である送信元装置を識別する送信元アドレスと、前記データの送信先である送信先装置を識別する送信先アドレスと、を含んだアクセス情報を受け付けるアクセス情報受付部と、
受け付けられたアクセス情報に含まれる送信元アドレスと送信先アドレスとを用いて、前記送信元アドレスで識別される送信元装置から前記送信先アドレスで識別される送信先装置までの通信経路で前記データを中継するネットワーク機器、を特定するネットワーク機器特定部と、
特定されたネットワーク機器に設定されているリストであって、送信元アドレスの範囲である送信元範囲と送信先アドレスの範囲である送信先範囲とを含んだアクセス制御エントリを１つ以上含んだリストであるアクセス制御リストを取得するアクセス制御リスト取得部と、
取得されたアクセス制御リストに、前記アクセス情報に含まれる送信元アドレスを含む送信元範囲と前記アクセス情報に含まれる送信先アドレスを含む送信先範囲とを含んだアクセス制御エントリである該当エントリ、が含まれるか判定するアクセス制御リスト確認部とを備える。
【０００８】
前記アクセス制御リスト確認装置は、
前記該当エントリが前記アクセス制御リストに含まれないと判定された場合、前記アクセス情報に含まれる送信元アドレスを含む送信元範囲と前記アクセス情報に含まれる送信先アドレスを含む送信先範囲とを含んだアクセス制御エントリを追加エントリとして生成する追加エントリ生成部と、
生成された追加エントリを出力する追加エントリ出力部とを備える。
【０００９】
前記追加エントリ生成部は、アクセス制御エントリの形式を示すエントリ形式データをネットワーク機器の機種別に備えたエントリ形式データベースから、特定されたネットワーク機器の機種用のエントリ形式データを取得し、取得したエントリ形式データを用いて前記追加エントリを生成する。
【００１０】
前記アクセス制御エントリに含まれる送信元範囲は、ネットワークアドレスとホストアドレスの範囲であるホスト範囲とを示し、
前記アクセス制御リスト確認部は、前記アクセス情報に含まれる送信元アドレスからネットワークアドレスとホストアドレスとを抽出し、抽出したネットワークアドレスと、抽出したホストアドレスを含むホスト範囲と、を示す送信元範囲を含むことを前記該当エントリの条件として、前記該当エントリが前記アクセス制御リストに含まれるか判定する。
【００１１】
前記アクセス制御エントリに含まれる送信先範囲は、ネットワークアドレスとホストアドレスの範囲であるホスト範囲とを示し、
前記アクセス制御リスト確認部は、前記アクセス情報に含まれる送信先アドレスからネットワークアドレスとホストアドレスとを抽出し、抽出したネットワークアドレスと、抽出したホストアドレスを含むホスト範囲と、を示す送信先範囲を含むことを前記該当エントリの条件として、前記該当エントリが前記アクセス制御リストに含まれるか判定する。
【００１２】
本発明のアクセス制御リスト確認プログラムは、
データの送信元である送信元装置を識別する送信元アドレスと、前記データの送信先である送信先装置を識別する送信先アドレスと、を含んだアクセス情報を受け付けるアクセス情報受付部と、
受け付けられたアクセス情報に含まれる送信元アドレスと送信先アドレスとを用いて、前記送信元アドレスで識別される送信元装置から前記送信先アドレスで識別される送信先装置までの通信経路で前記データを中継するネットワーク機器、を特定するネットワーク機器特定部と、
特定されたネットワーク機器に設定されているリストであって、送信元アドレスの範囲である送信元範囲と送信先アドレスの範囲である送信先範囲とを含んだアクセス制御エントリを１つ以上含んだリストであるアクセス制御リストを取得するアクセス制御リスト取得部と、
取得されたアクセス制御リストに、前記アクセス情報に含まれる送信元アドレスを含む送信元範囲と前記アクセス情報に含まれる送信先アドレスを含む送信先範囲とを含んだアクセス制御エントリである該当エントリ、が含まれるか判定するアクセス制御リスト確認部としてコンピュータを機能させる。
【発明の効果】
【００１３】
本発明によれば、送信元から送信先までの通信経路上のネットワーク機器のアクセス制御リストを確認することができる。
【図面の簡単な説明】
【００１４】
【図１】実施の形態１におけるアクセス制御リスト確認装置１００の機能構成図。
【図２】実施の形態１におけるアクセス情報１１１の構成図。
【図３】実施の形態１におけるアクセス制御リスト確認システム２００の構成図。
【図４】実施の形態１におけるネットワーク構成図。
【図５】実施の形態１における通信経路リスト１２２およびネットワーク機器リスト１２３の構成図。
【図６】実施の形態１におけるアクセス制御リスト１３２の構成図。
【図７】実施の形態１におけるアクセス制御リスト確認装置１００のハードウェア構成図。
【図８】実施の形態１におけるアクセス制御リスト確認方法のフローチャート。
【図９】実施の形態１におけるアクセス制御リスト確認処理（Ｓ１４０）のフローチャート。
【図１０】実施の形態１におけるアクセス制御リスト確認処理（Ｓ１４０）のフローチャート。
【図１１】実施の形態１における追加エントリ生成処理（Ｓ１５０）のフローチャート。
【発明を実施するための形態】
【００１５】
実施の形態１．
アクセス制御リスト確認装置１００について、図１から図１１に基づいて説明する。
アクセス制御リスト確認装置１００は、必要なアクセス制御エントリがネットワーク機器のアクセス制御リストに設定されているか確認する。アクセス制御リストの略称はＡＣＬである。
【００１６】
＊＊＊構成の説明＊＊＊
図１に基づいて、アクセス制御リスト確認装置１００の機能構成について説明する。
アクセス制御リスト確認装置１００は、アクセス情報受付部１１０と、ネットワーク機器特定部１２０と、アクセス制御リスト取得部１３０と、アクセス制御リスト確認部１４０と、追加エントリ生成部１５０と、追加エントリ出力部１６０とを備える。
さらに、アクセス制御リスト確認装置１００は記憶部１９０を備える。
【００１７】
アクセス情報受付部１１０はアクセス情報１１１を受け付ける。
図２に示すように、アクセス情報１１１は、送信元アドレスと、送信先アドレスと、送信先ポート番号とを含んでいる。
送信元アドレスはデータの送信元である送信元装置を識別するＩＰアドレスである。送信先アドレスはデータの送信先である送信先装置を識別するＩＰアドレスである。ＩＰはＩｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌの略称である。
ＩＰアドレスは、ネットワークアドレスとホストアドレスとを含んでいる。図中の「／２４」はネットワークアドレスを構成するビット列のビット数を示している。
送信元アドレスである１９２．１６８．１．１／２４において、ネットワークアドレスは、先頭の２４ビットを用いて表される１９２．１６８．１．０である。また、ホストアドレスは、ネットワークアドレスと、残りの８ビットを用いて表される０．０．０．１とを組み合わせた１９２．１６８．１．１である。
送信先ポート番号は送信先装置で使用されるポート番号である。
【００１８】
図１に戻って説明を続ける。
ネットワーク機器特定部１２０は、受け付けられたアクセス情報１１１に含まれる送信元アドレスと送信先アドレスとを用いて、以下のネットワーク機器を特定する。ネットワーク機器はデータを中継する機器である。ネットワーク機器の一例はルータである。
特定されるネットワーク機器は、送信元アドレスで識別される送信元装置から送信先アドレスで識別される送信先装置までの通信経路でデータを中継するネットワーク機器である。
ネットワーク機器は１つ以上のインタフェースを備える。以下、ネットワーク機器が備える１つ以上のインタフェースのうち、送信元装置から送信先装置までの通信経路でデータを中継するインタフェースを通過インタフェースという。
【００１９】
ネットワーク機器特定部１２０は、以下のようにネットワーク機器を特定する。
図３において、ネットワーク機器特定部１２０は通信経路要求１２１をネットワーク管理装置２１０に送信する。通信経路要求１２１はアクセス情報１１１を含んだデータである。
ネットワーク機器特定部１２０は、ネットワーク管理装置２１０から通信経路リスト１２２を受信する。通信経路リスト１２２は送信元装置から送信先装置までの通信経路の一覧であり、通信経路リスト１２２に含まれる通信経路は１つ以上のネットワーク機器を示す。通信経路が示す１つ以上のネットワーク機器は、１つ以上のネットワーク機器のそれぞれの通過インタフェースと読み替えることができる。
ネットワーク機器特定部１２０は、通信経路リスト１２２に含まれる通信経路からネットワーク機器を抽出することによって、ネットワーク機器を特定する。通信経路から抽出して特定されるネットワーク機器は、ネットワーク機器の通過インタフェースと読み替えることができる。
【００２０】
図４において、送信元装置２０３から送信先装置２０４までの通信経路は、（Ａ２）→（Ｄ２）→（Ｇ１）、および、（Ａ３）→（Ｂ１）→（Ｅ１）→（Ｇ１）である。（ｘｙ）はネットワーク機器２０２ｘの第ｙのインタフェースを意味する。他の通信経路については、利用者からの要求によって、通信経路リスト１２２から省かれるものとする。
この場合、図５に示すように、通信経路リスト１２２は、第１の通信経路として（Ａ２）→（Ｄ２）→（Ｇ１）を示し、第２の通信経路として（Ａ３）→（Ｂ１）→（Ｅ１）→（Ｇ１）を示す。
【００２１】
図３において、ネットワーク管理装置２１０は、ネットワーク２０１に接続している複数のネットワーク機器２０２をＳＮＭＰで監視する装置である。ＳＮＭＰはＳｉｍｐｌｅ  Ｎｅｔｗｏｒｋ  Ｍａｎａｇｅｍｅｎｔ  Ｐｒｏｔｏｃｏｌの略称である。
ネットワーク管理装置２１０は、ネットワーク機器特定部１２０から通信経路要求１２１を受信し、通信経路リスト１２２をネットワーク機器特定部１２０に送信する。
【００２２】
図１において、ネットワーク機器特定部１２０は、特定したネットワーク機器の一覧であるネットワーク機器リスト１２３を生成する。特定したネットワーク機器は、特定したネットワーク機器の通過インタフェースと読み替えることができる。
図５において、ネットワーク機器リスト１２３は、通信経路リスト１２２に含まれる２つの通信経路から抽出される（Ａ２）、（Ａ３）、（Ｂ１）、（Ｄ２）、（Ｅ１）、（Ｇ１）を示す。
【００２３】
図１に戻って説明を続ける。
アクセス制御リスト取得部１３０は、特定されたネットワーク機器に設定されているアクセス制御リスト１３２を取得する。特定されたネットワーク機器は、特定されたネットワーク機器の通過インタフェースと読み替えることができる。
アクセス制御リスト１３２は、１つ以上のアクセス制御エントリを含んだリストである。
アクセス制御エントリは、送信元アドレスの範囲である送信元範囲と、送信先アドレスの範囲である送信先範囲と、送信先ポート番号の範囲であるポート範囲とを含む。
送信元範囲は、ネットワークアドレスとホストアドレスの範囲であるホスト範囲とを示す。送信先範囲もネットワークアドレスとホスト範囲とを示す。
【００２４】
アクセス制御リスト１３２は、ネットワーク機器リスト１２３に含まれるネットワーク機器毎に取得される。
アクセス制御リスト取得部１３０は、ネットワーク機器リスト１２３に含まれるネットワーク機器毎に、ネットワーク機器２０２に設定されているアクセス制御リスト１３２を以下のように取得する。
図３において、アクセス制御リスト取得部１３０は、アクセス制御リスト１３２を要求するリスト要求１３１をネットワーク機器２０２に送信する。そして、アクセス制御リスト取得部１３０は、ネットワーク機器２０２からアクセス制御リスト１３２を受信する。
【００２５】
図６に示すように、アクセス制御リスト１３２に含まれるアクセス制御エントリ１３３は、様々な形式で示される。図中の１行がアクセス制御エントリ１３３に相当する。
図６の（１）から（３）において、アクセス制御エントリ１３３に含まれる送信元範囲は、１９２．１６８．ｘ．０というネットワークアドレスと、１９２．１６８．ｘ．１から１９２．１６８．ｘ．２５５までのホスト範囲とを示している。送信先範囲の形式は送信元範囲と同じである。
図６の（１）および（２）において、アクセス制御エントリ１３３に含まれるポート範囲は、８０という１つのポート番号を示している。一方、図６の（３）においてポート範囲は、８０から８５までのポート番号を示している。
アクセス制御エントリ１３３の形式はネットワーク機器２０２の機種によって異なる。
【００２６】
図１に戻って説明を続ける。
アクセス制御リスト確認部１４０は、取得されたアクセス制御リスト１３２に該当エントリが含まれるか判定する。
該当エントリは、アクセス情報１１１に含まれる送信元アドレスを含む送信元範囲と、アクセス情報１１１に含まれる送信先アドレスを含む送信先範囲と、アクセス情報１１１に含まれるポート番号を含むポート範囲と、を含んだアクセス制御エントリである。
【００２７】
アクセス制御リスト確認部１４０は、該当エントリがアクセス制御リスト１３２に含まれるか以下のように判定する。
アクセス制御リスト確認部１４０は、アクセス情報１１１に含まれる送信元アドレスからネットワークアドレスとホストアドレスとを抽出する。
アクセス制御リスト確認部１４０は、アクセス情報１１１に含まれる送信先アドレスからネットワークアドレスとホストアドレスとを抽出する。
そして、アクセス制御リスト確認部１４０は、条件（１）および条件（２）を満たす該当エントリがアクセス制御リスト１３２に含まれるか判定する。
条件（１）は、送信元アドレスから抽出したネットワークアドレスと、送信元アドレスから抽出したホストアドレスを含むホスト範囲と、を示す送信元範囲を含むことである。
条件（２）は、送信先アドレスから抽出したネットワークアドレスと、送信先アドレスから抽出したホストアドレスを含むホスト範囲と、を示す送信先範囲を含むことである。
【００２８】
アクセス制御リスト確認部１４０は、判定結果に基づいて、エントリ不足機器リスト１４１を生成する。
エントリ不足機器リスト１４１はエントリ不足機器の一覧である。エントリ不足機器は、該当エントリがアクセス制御リスト１３２に登録されていないネットワーク機器２０２である。
【００２９】
追加エントリ生成部１５０は、該当エントリがアクセス制御リスト１３２に含まれないと判定された場合、追加エントリを生成する。
追加エントリは、アクセス情報１１１に含まれる送信元アドレスを含む送信元範囲とアクセス情報１１１に含まれる送信先アドレスを含む送信先範囲とを含んだアクセス制御エントリ１３３である。
【００３０】
追加エントリは、エントリ不足機器リスト１４１に含まれるエントリ不足機器毎に生成される。
追加エントリ生成部１５０は、エントリ不足機器リスト１４１に含まれるエントリ不足機器毎に、以下のように追加エントリを生成する。
エントリ形式データベース１７０は、アクセス制御エントリ１３３の形式を示すエントリ形式データ１７１をネットワーク機器の機種別に備えている。
追加エントリ生成部１５０は、エントリ不足機器の機種用のエントリ形式データ１７１をエントリ形式データベース１７０から取得し、取得したエントリ形式データ１７１を用いて追加エントリを生成する。
【００３１】
追加エントリ生成部１５０は、エントリ不足機器の追加エントリの一覧である追加エントリリスト１５１を生成する。
【００３２】
追加エントリ出力部１６０は、生成された追加エントリリスト１５１を出力する。出力の一例は、追加エントリリスト１５１の表示である。
【００３３】
記憶部１９０は、アクセス制御リスト確認装置１００で使用、生成または入出力されるデータを記憶する。記憶部１９０に記憶されるデータの一例はエントリ形式データベース１７０である。
【００３４】
図７に基づいて、アクセス制御リスト確認装置１００のハードウェア構成例について説明する。
アクセス制御リスト確認装置１００は、プロセッサ９０１、補助記憶装置９０２、メモリ９０３、通信装置９０４、入力インタフェース９０５、出力インタフェース９０６といったハードウェアを備えるコンピュータである。
プロセッサ９０１は信号線９１０を介して他のハードウェアと接続されている。入力インタフェース９０５はケーブル９１１を介して入力装置９０７に接続されている。出力インタフェース９０６はケーブル９１２を介して出力装置９０８に接続されている。
【００３５】
プロセッサ９０１は、プロセッシングを行うＩＣであり、他のハードウェアを制御する。プロセッサ９０１の一例は、ＣＰＵ、ＤＳＰ、ＧＰＵである。ＩＣはＩｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔの略称である。ＣＰＵはＣｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔの略称であり、ＤＳＰはＤｉｇｉｔａｌ  Ｓｉｇｎａｌ  Ｐｒｏｃｅｓｓｏｒの略称であり、ＧＰＵはＧｒａｐｈｉｃｓ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔの略称である。
補助記憶装置９０２はデータを記憶する。補助記憶装置９０２の一例は、ＲＯＭ、フラッシュメモリ、ＨＤＤである。ＲＯＭはＲｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙの略称であり、ＨＤＤはＨａｒｄ  Ｄｉｓｋ  Ｄｒｉｖｅの略称である。
メモリ９０３はデータを記憶する。メモリ９０３の一例はＲＡＭである。ＲＡＭはＲａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙの略称である。
通信装置９０４は、データを受信するレシーバ９０４１と、データを送信するトランスミッタ９０４２とを備える。通信装置９０４の一例は、通信チップ、ＮＩＣである。ＮＩＣはＮｅｔｗｏｒｋ  Ｉｎｔｅｒｆａｃｅ  Ｃａｒｄの略称である。
入力インタフェース９０５はケーブル９１１が接続されるポートであり、ポートの一例はＵＳＢ端子である。ＵＳＢはＵｎｉｖｅｒｓａｌ  Ｓｅｒｉａｌ  Ｂｕｓの略称である。
出力インタフェース９０６はケーブル９１２が接続されるポートであり、ＵＳＢ端子およびＨＤＭＩ端子はポートの一例である。ＨＤＭＩ（登録商標）はＨｉｇｈ  Ｄｅｆｉｎｉｔｉｏｎ  Ｍｕｌｔｉｍｅｄｉａ  Ｉｎｔｅｒｆａｃｅの略称である。
入力装置９０７はデータ、命令および要求を入力する。入力装置９０７の一例は、マウス、キーボード、タッチパネルである。
出力装置９０８はデータ、結果および応答を出力する。出力装置９０８の一例は、ディスプレイ、プリンタである。ディスプレイの一例はＬＣＤである。ＬＣＤはＬｉｑｕｉｄ  Ｃｒｙｓｔａｌ  Ｄｉｓｐｌａｙの略称である。
【００３６】
補助記憶装置９０２にはＯＳが記憶されている。ＯＳはＯｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍの略称である。
また、補助記憶装置９０２には、アクセス情報受付部１１０、ネットワーク機器特定部１２０、アクセス制御リスト取得部１３０、アクセス制御リスト確認部１４０、追加エントリ生成部１５０および追加エントリ出力部１６０といった「部」の機能を実現するプログラムが記憶されている。
ＯＳの少なくとも一部はメモリ９０３にロードされ、プロセッサ９０１はＯＳを実行しながら「部」の機能を実現するプログラムを実行する。「部」の機能を実現するプログラムは、メモリ９０３にロードされ、プロセッサ９０１に読み込まれ、プロセッサ９０１によって実行される。
なお、アクセス制御リスト確認装置１００が複数のプロセッサ９０１を備えて、複数のプロセッサ９０１が「部」の機能を実現するプログラムを連携して実行してもよい。
【００３７】
「部」の処理の結果を示すデータ、情報、信号値および変数値などは、メモリ９０３、補助記憶装置９０２、プロセッサ９０１内のレジスタ、または、プロセッサ９０１内のキャッシュメモリに記憶される。
【００３８】
「部」は「サーキットリ」で実装してもよい。「部」は「回路」、「工程」、「手順」または「処理」に読み替えてもよい。
「回路」及び「サーキットリ」は、プロセッサ９０１、ロジックＩＣ、ＧＡ、ＡＳＩＣ、ＦＰＧＡといった処理回路を包含する概念である。ＧＡはＧａｔｅ  Ａｒｒａｙの略称であり、ＡＳＩＣはＡｐｐｌｉｃａｔｉｏｎ  Ｓｐｅｃｉｆｉｃ  Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔの略称であり、ＦＰＧＡはＦｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ  Ｇａｔｅ  Ａｒｒａｙの略称である。
【００３９】
＊＊＊動作の説明＊＊＊
アクセス制御リスト確認装置１００の動作はアクセス制御リスト確認方法に相当する。また、アクセス制御リスト確認方法はアクセス制御リスト確認プログラムの処理手順に相当する。
【００４０】
図８に基づいて、アクセス制御リスト確認方法について説明する。
Ｓ１１０はアクセス情報受付処理である。
Ｓ１１０において、アクセス情報受付部１１０は、利用者によってアクセス制御リスト確認装置１００に入力されるアクセス情報１１１を受け付ける。
受け付けられたアクセス情報１１１は、図２に示したように、送信元装置２０３を識別する送信元アドレスと、送信先装置２０４を識別する送信先アドレスと、送信先ポート番号とを含んでいる。
【００４１】
Ｓ１２０はネットワーク機器特定処理である。
Ｓ１２０において、ネットワーク機器特定部１２０は、受け付けられたアクセス情報１１１を含んだ通信経路要求１２１を生成し、生成した通信経路要求１２１をネットワーク管理装置２１０に送信し、ネットワーク管理装置２１０から通信経路リスト１２２を受信する。通信経路リスト１２２は、送信元装置２０３から送信先装置２０４までの通信経路の一覧である。通信経路は、データを中継するネットワーク機器２０２の通過インタフェースを示す。
受信された通信経路リスト１２２は、図４に示したように、通信経路毎に、通信経路でデータを中継するネットワーク機器２０２の通過インタフェースを示す。
【００４２】
ネットワーク機器特定部１２０は、受信した通信経路リスト１２２に含まれる通信経路からネットワーク機器２０２の通過インタフェースを抽出することによって、ネットワーク機器２０２の通過インタフェースを特定する。
そして、ネットワーク機器特定部１２０は、特定したネットワーク機器の通過インタフェースの一覧であるネットワーク機器リスト１２３を生成する。
生成されたネットワーク機器リスト１２３は、図５に示したように、１つ以上のネットワーク機器２０２の通過インタフェースを示す。
【００４３】
Ｓ１２０において、送信元装置２０３から送信先装置２０４までの通信経路が無いため通信経路が得られなかった場合、ネットワーク機器特定部１２０は通信経路が無いことを示す確認結果メッセージを表示装置に表示し、アクセス制御リスト確認方法の処理は終了する。この場合のフローについては図示を省略する。
【００４４】
Ｓ１３０はアクセス制御リスト取得処理である。
Ｓ１３０において、アクセス制御リスト取得部１３０は、ネットワーク機器リスト１２３に含まれるネットワーク機器２０２の通過インタフェース毎に、ネットワーク機器２０２の通過インタフェースに設定されているアクセス制御リスト１３２を以下のように取得する。
【００４５】
アクセス制御リスト取得部１３０は、アクセス制御リスト１３２を要求するリスト要求１３１をネットワーク機器２０２に送信する。
アクセス制御リスト取得部１３０は、ネットワーク機器２０２からアクセス制御リスト１３２を受信する。
受信されたアクセス制御リスト１３２は、図６に示したように、１つ以上のアクセス制御エントリ１３３を含んでいる。アクセス制御エントリ１３３は、ネットワーク機器２０２の機種に対応した形式で、送信元範囲と、送信先範囲と、ポート範囲とを示している。
【００４６】
そして、アクセス制御リスト取得部１３０は、受信したアクセス制御リスト１３２を、送信元のネットワーク機器２０２を識別するネットワーク機器識別子に対応付けて記憶部１９０に記憶する。ネットワーク機器識別子は、ネットワーク機器２０２の機種を識別する機種識別子を含んでいる。
【００４７】
Ｓ１４０はアクセス制御リスト確認処理である。
Ｓ１４０において、アクセス制御リスト確認部１４０は、取得されたアクセス制御リスト１３２を確認し、エントリ不足機器があるか判定する。エントリ不足機器は、アクセス情報１１１に対応するアクセス制御エントリ１３３である該当エントリがアクセス制御リスト１３２に登録されていないネットワーク機器２０２である。
エントリ不足機器がある場合、アクセス制御リスト確認部１４０はエントリ不足機器リスト１４１を生成する。
そして、エントリ不足機器がある場合、処理はＳ１６０に進む。
また、エントリ不足機器がない場合、アクセス制御リスト確認部１４０はエントリ不足機器が無いことを示す確認結果メッセージを表示装置に表示し、アクセス制御リスト確認方法の処理は終了する。
【００４８】
図９および図１０に基づいて、アクセス制御リスト確認処理（Ｓ１４０）について説明する。
Ｓ１４１において、アクセス制御リスト確認部１４０は、アクセス情報１１１から送信元アドレスを抽出し、抽出した送信元アドレスからネットワークアドレスとホストアドレスとを抽出する。
アクセス制御リスト確認部１４０は、アクセス情報１１１から送信先アドレスを抽出し、抽出した送信先アドレスからネットワークアドレスとホストアドレスとを抽出する。
アクセス制御リスト確認部１４０は、アクセス情報１１１から送信元ポート番号を抽出する。
【００４９】
Ｓ１４２において、アクセス制御リスト確認部１４０は、取得されたアクセス制御リスト１３２から未選択のアクセス制御リスト１３２を１つ選択する。
【００５０】
Ｓ１４３−１において、アクセス制御リスト確認部１４０は、Ｓ１４２で選択したアクセス制御リスト１３２から、Ｓ１４１で抽出した送信元アドレスを含んだ送信元範囲を含むアクセス制御エントリ１３３を抽出する。
抽出されるアクセス制御エントリ１３３は、Ｓ１４１で送信元アドレスから抽出されたネットワークアドレスと、Ｓ１４１で送信元アドレスから抽出されたホストアドレスを含むホスト範囲と、を示す送信元範囲を含むアクセス制御エントリ１３３である。
【００５１】
Ｓ１４３−２において、Ｓ１４３−１で抽出されたアクセス制御エントリ１３３がある場合、処理はＳ１４４−１に進む。
一方、Ｓ１４３−１で抽出されたアクセス制御エントリ１３３がない場合、処理は図１０のＳ１４６に進む。
【００５２】
Ｓ１４４−１において、アクセス制御リスト確認部１４０は、Ｓ１４３−１で抽出したアクセス制御エントリ１３３から、Ｓ１４１で抽出した送信先アドレスを含んだ送信先範囲を含むアクセス制御エントリ１３３を抽出する。
抽出されるアクセス制御エントリ１３３は、Ｓ１４１で送信先アドレスから抽出されたネットワークアドレスと、Ｓ１４１で送信元アドレスから抽出されたホストアドレスを含むホスト範囲と、を示す送信先範囲を含むアクセス制御エントリ１３３である。
【００５３】
Ｓ１４４−２において、Ｓ１４４−１で抽出されたアクセス制御エントリ１３３がある場合、処理はＳ１４５−１に進む。
一方、Ｓ１４４−１で抽出されたアクセス制御エントリ１３３がない場合、処理は図１０のＳ１４６に進む。
【００５４】
Ｓ１４５−１において、アクセス制御リスト確認部１４０は、Ｓ１４４−１で抽出したアクセス制御エントリ１３３から、Ｓ１４１で抽出した送信先ポート番号を含んだポート範囲を含むアクセス制御エントリ１３３を抽出する。
【００５５】
Ｓ１４５−２において、Ｓ１４５−１で抽出されたアクセス制御エントリ１３３がある場合、処理はＳ１４９に進む。
一方、Ｓ１４５−１で抽出されたアクセス制御エントリ１３３がない場合、処理は図１０のＳ１４６に進む。
【００５６】
Ｓ１４９において、アクセス制御リスト確認部１４０は、Ｓ１４２で選択していない未選択のアクセス制御リスト１３２があるか判定する。
未選択のアクセス制御リスト１３２がある場合、処理はＳ１４２に戻る。
未選択のアクセス制御リスト１３２がない場合、アクセス制御リスト確認処理（Ｓ１４０）は終了する。
【００５７】
次に、Ｓ１４３−１、Ｓ１４４−１またはＳ１４５−１で抽出されたアクセス制御エントリ１３３がなかった場合の処理であるＳ１４６について説明する。
Ｓ１４６において、アクセス制御リスト確認部１４０は、Ｓ１４２で選択されたアクセス制御リスト１３２に対応付いたネットワーク機器識別子をエントリ不足機器リスト１４１に登録する。エントリ不足機器リスト１４１へのネットワーク機器識別子の登録は、ネットワーク機器識別子で識別されるネットワーク機器２０２をエントリ不足機器として登録することを意味する。
Ｓ１４６の後、処理は図９のＳ１４９に進む。
【００５８】
図８に戻り、Ｓ１５０から説明を続ける。
Ｓ１５０は追加エントリ生成処理である。
Ｓ１５０において、追加エントリ生成部１５０は、エントリ不足機器の追加エントリの一覧である追加エントリリスト１５１を生成する。
【００５９】
図１１に基づいて、追加エントリ生成処理（Ｓ１５０）について説明する。
Ｓ１５１において、追加エントリ生成部１５０は、エントリ不足機器リスト１４１から未選択のエントリ不足機器のネットワーク機器識別子を１つ選択する。
【００６０】
Ｓ１５２において、追加エントリ生成部１５０は、選択したエントリ不足機器のネットワーク機器識別子から機種識別子を抽出し、抽出した機種識別子に対応付いたエントリ形式データ１７１をエントリ形式データベース１７０から取得する。
エントリ形式データ１７１は、送信元範囲を示す部分と、送信先範囲を示す部分と、ポート範囲を示す部分とを備えている。
【００６１】
Ｓ１５３において、追加エントリ生成部１５０は、取得したエントリ形式データ１７１を用いて、以下のように追加エントリを生成する。
追加エントリ生成部１５０は、エントリ形式データ１７１から送信元範囲を示す部分を選択し、選択した部分にアクセス情報１１１に含まれる送信元アドレスを含んだ送信元範囲を設定する。設定される送信元範囲の一例は、アクセス情報１１１に含まれる送信元アドレスそのものである。
追加エントリ生成部１５０は、エントリ形式データ１７１から送信先範囲を示す部分を選択し、選択した部分にアクセス情報１１１に含まれる送信先アドレスを含んだ送信先範囲を設定する。設定される送信先範囲の一例は、アクセス情報１１１に含まれる送信先アドレスそのものである。
追加エントリ生成部１５０は、エントリ形式データ１７１からポート範囲を示す部分を選択し、選択した部分にアクセス情報１１１に含まれる送信先ポート番号を含んだポート範囲を設定する。設定されるポート範囲の一例は、アクセス情報１１１に含まれる送信先ポートそのものである。
【００６２】
Ｓ１５４において、追加エントリ生成部１５０は、選択したエントリ不足機器のネットワーク機器識別子と、生成した追加エントリと、を互いに対応付けて追加エントリリスト１５１に登録する。
【００６３】
Ｓ１５５において、追加エントリ生成部１５０は、Ｓ１５１で選択していない未選択のエントリ不足機器のネットワーク機器識別子があるか判定する。
未選択のエントリ不足機器のネットワーク機器識別子がある場合、処理はＳ１５１に戻る。
未選択のエントリ不足機器のネットワーク機器識別子がない場合、追加エントリ生成処理（Ｓ１５０）は終了する。
【００６４】
図８に戻り、Ｓ１６０から説明を続ける。
Ｓ１６０は追加エントリ出力処理である。
Ｓ１６０において、追加エントリ出力部１６０は、追加エントリリスト１５１を表示装置に表示する。
Ｓ１６０の後、アクセス制御リスト確認方法の処理は終了する。
【００６５】
＊＊＊効果の説明＊＊＊
アクセス制御リスト確認装置１００は、送信元装置２０３から送信先装置２０４までの通信経路上の各ネットワーク機器２０２を対象にして、ネットワーク機器２０２のアクセス制御リスト１３２に必要なアクセス制御エントリ１３３が登録されているか確認することができる。
さらに、アクセス制御リスト確認装置１００は、必要なアクセス制御エントリ１３３が不足しているネットワーク機器２０２を検出する。そして、アクセス制御リスト確認装置１００は、検出したネットワーク機器２０２のアクセス制御リスト１３２に追加すべきアクセス制御エントリ１３３を生成し、生成したアクセス制御エントリ１３３を利用者に提示することができる。
【００６６】
実施の形態は、好ましい形態の例示であり、本発明の技術的範囲を制限することを意図するものではない。実施の形態は部分的に実施してもよい。
フローチャート等を用いて説明した処理手順は、アクセス制御リスト確認装置、アクセス制御リスト確認方法およびアクセス制御リスト確認プログラムの処理手順の一例である。
【符号の説明】
【００６７】
１００  アクセス制御リスト確認装置、１１０  アクセス情報受付部、１１１  アクセス情報、１２０  ネットワーク機器特定部、１２１  通信経路要求、１２２  通信経路リスト、１２３  ネットワーク機器リスト、１３０  アクセス制御リスト取得部、１３１  リスト要求、１３２  アクセス制御リスト、１３３  アクセス制御エントリ、１４０  アクセス制御リスト確認部、１４１  エントリ不足機器リスト、１５０  追加エントリ生成部、１５１  追加エントリリスト、１６０  追加エントリ出力部、１７０  エントリ形式データベース、１７１  エントリ形式データ、１９０  記憶部、２００  アクセス制御リスト確認システム、２０１  ネットワーク、２０２  ネットワーク機器、２０３  送信元装置、２０４  送信先装置、２１０  ネットワーク管理装置、９０１  プロセッサ、９０２  補助記憶装置、９０３  メモリ、９０４  通信装置、９０４１  レシーバ、９０４２  トランスミッタ、９０５  入力インタフェース、９０６  出力インタフェース、９０７  入力装置、９０８  出力装置、９１０  信号線、９１１  ケーブル、９１２  ケーブル。
【図１】
2016181849.tif 000003
【図２】
2016181849.tif 000004
【図３】
2016181849.tif 000005
【図４】
2016181849.tif 000006
【図５】
2016181849.tif 000007
【図６】
2016181849.tif 000008
【図７】
2016181849.tif 000009
【図８】
2016181849.tif 000010
【図９】
2016181849.tif 000011
【図１０】
2016181849.tif 000012
【図１１】
2016181849.tif 000013