(57)【要約】【課題】パケットフィルタリングに関する高度な知識が乏しいユーザであっても、パケットフィルタリングルールを簡単に設定して実行することができるネットワーク機器を提供する。【解決手段】ネットワーク機器１は、データの取得依頼が来ると、各種ルール（階層型フィルタリングルール等）に基づいて、データ転送の可否の判断を行う。データの転送を許可する場合は、該当パケットを通過させ、データの転送を許可しない場合は、該当パケットを破棄する。また、新たなサーバの公開時やサーバの撤去時等、各種ルールの更新が必要になると、ユーザは、ネットワーク機器１が備えるＧＵＩ画面から、所望するルールを登録する。ネットワーク機器１は、登録されたルールに基づいて、自装置内に記憶する各種ルールの検証を行い、検証結果に基づいて自装置内に記憶する各種ルールを更新して、フィルタリングを実行する。【選択図】図７
2009009451.tif 000002
【特許請求の範囲】
【請求項１】
複数のネットワークに接続されるネットワーク機器であって、
パケットの属性を判定する判定条件と、この判定条件に合致したパケットに対して実行する動作を指定する動作指定情報とを含むフィルタリングルールを階層的に複数記憶する階層型ルール記憶部と、
前記階層型ルール記憶部に記憶されるフィルタリングルールを更新するルール更新手段と、
複数のネットワーク内のそれぞれに設置された装置からのサービスに対するフィルタリングルールの更新の入力を受け付けるＧＵＩ手段と、を備え、
前記階層型ルール記憶部は、前提条件のフィルタリングルールを上位階層のルールとし、該上位階層のルールの例外条件のフィルタリングルールを該上位階層のルールの下位階層のルールとして記憶し、
前記ルール更新手段は、前記ＧＵＩ手段によりフィルタリングルールの入力が受け付けられると、該ＧＵＩ手段により入力されたフィルタリングルールと対応するように、前記階層型ルール記憶部に記憶した複数のフィルタリングルールの該当する階層でフィルタリングルールを更新するネットワーク機器。
【請求項２】
フィルタリングルールを、優先順位にしたがって逐次的に複数記憶する逐次型ルール記憶部をさらに備え、
前記ルール更新手段は、前記ＧＵＩ手段によりフィルタリングルールの入力が受け付けられると、前記逐次型ルール記憶部のフィルタリングルールを更新する請求項１に記載のネットワーク機器。
【請求項３】
パケットの始点アドレスまたは終点アドレスを変換するアドレス変換ルール記憶部を備え、
前記ルール更新手段は、前記ＧＵＩ手段によりフィルタリングルールの入力が受け付けられると、前記アドレス変換ルール記憶部のアドレス変換ルールを更新する請求項１又は請求項２に記載のネットワーク機器。
【請求項４】
前記ルール更新手段は、該ＧＵＩ手段により入力されたフィルタリングルールが前記階層型ルール記憶部に予め記憶されたフィルタリングルールの何れかと矛盾する場合は、該階層型ルール記憶部に記憶した矛盾するフィルタリングルールを再構築し、該ＧＵＩ手段により入力されたフィルタリングルールが前記階層型ルール記憶部に記憶した複数のフィルタリングルールの何れかの下位階層となる場合は、該階層型ルール記憶部に予め記憶されたフィルタリングルールの該当階層にフィルタリングルールを追加する請求項１〜請求項３の何れか１項に記載のネットワーク機器。
【請求項５】
前記階層型ルール記憶部は、ステートフルパケットフィルタリングルールを記憶し、前記逐次型ルール記憶部はステートレスパケットフィルタリングルールを記憶する請求項２に記載のネットワーク機器。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、送受信するパケットを選別するパケットフィルタリング機能を備え、ＧＵＩにより設定された内容を自動的に検証、更新してフィルタリングルール及びアドレス変換ルールを更新するネットワーク機器に関する。
【背景技術】
【０００２】
ルータ等のネットワーク機器に搭載される一般的なファイヤーウォール機能は、送受信するパケットが特定の属性を有するパケットであるかを選別し、上記特定の属性を有するパケットのみを通過させ、特定の属性を有しないパケットは破棄するというパケットフィルタリング機能を有している。このパケットフィルタリング機能は、パケットを選別するためのルールであるパケットフィルタリングルールを複数用いる場合が多い（例えば、特許文献１参照。）。
【特許文献１】特開２００６−１１４９９１公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
特許文献１のファイヤーウォールシステムのフィルタリングルールでは、ＩＰアドレスとポート番号とに基づいて、フィルタリング条件を設定している。このフィルタリングルールは複雑であり、パケットフィルタリングに関する知識を有するユーザでなければ、簡単にフィルタリングルールを作成することはできない。
【０００４】
そこで、この発明は、フィルタリングルールの更新を簡単にできるグラフィカルユーザインタフェース（ＧＵＩ）を備えたネットワーク機器を提供することを目的とする。
【課題を解決するための手段】
【０００５】
この発明は、複数のネットワークに接続されるネットワーク機器であって、パケットの属性を判定する判定条件と、この判定条件に合致したパケットに対して実行する動作を指定する動作指定情報とを含むフィルタリングルールを階層的に複数記憶する階層型ルール記憶部と、前記階層型ルール記憶部に記憶されるフィルタリングルールを更新するルール更新手段と、複数のネットワーク内のそれぞれに設置された装置からのサービスに対するフィルタリングルールの更新の入力を受け付けるＧＵＩ手段と、を備え、前記階層型ルール記憶部は、前提条件のフィルタリングルールを上位階層のルールとし、該上位階層のルールの例外条件のフィルタリングルールを該上位階層のルールの下位階層のルールとして記憶し、前記ルール更新手段は、前記ＧＵＩ手段によりフィルタリングルールの入力が受け付けられると、該ＧＵＩ手段により入力されたフィルタリングルールと対応するように、前記階層型ルール記憶部に記憶した複数のフィルタリングルールの該当する階層でフィルタリングルールを更新することを特徴とする。
【０００６】
この構成では、ネットワーク機器は、パケットの属性を判定する判定条件と、判定条件に合致したパケットの通過又は破棄の動作を指定する動作指定情報とから構成される階層型フィルタリングルールを記憶する。この階層型フィルタリングルールは、階層的に複数記憶され、前提条件の階層型フィルタリングルールを上位階層のルールとし、例外条件の階層型フィルタリングルールを下位階層のルールとする。ネットワーク機器は、更にＧＵＩ画面を備え、ＧＵＩ画面からフィルタリングルールが入力されると、階層型フィルタリングルールを検証し、ルールの更新が必要な場合は、更新が必要なルールのみ更新する。これにより、階層型フィルタリングルールは、前提条件のフィルタリングルールの下位階層に例外条件のフィルタリングルールが登録されるので、フィルタリングルールに関する知識が乏しいユーザであっても、直感的にフィルタリングルールを理解することができる。また、パケットフィルタリングに関する高度な知識がないユーザであっても、ＧＵＩ画面を用いることで、パケットフィルタリングルールを簡単に設定することができるので、新たなサーバを簡単に公開したり、サーバを撤去したりすることができる。
【０００７】
また、この発明は、フィルタリングルールを、優先順位にしたがって逐次的に複数記憶する逐次型ルール記憶部をさらに備え、前記ルール更新手段は、前記ＧＵＩ手段によりフィルタリングルールの入力が受け付けられると、前記逐次型ルール記憶部のフィルタリングルールを更新することを特徴とする。
【０００８】
この構成では、ネットワーク機器は、階層型フィルタリングルールに加えて、パケットの属性を判定する判定条件と、判定条件に合致したパケットの通過又は破棄の動作を指定する動作指定情報とから構成される逐次型フィルタリングルールを記憶する。この逐次型フィルタリングルールは、逐次的に複数記憶され、優先順位の高いルールから優先順位の低いルールの順に記憶される。ネットワーク機器は、ＧＵＩ画面からフィルタリングルールが入力されると、対応する逐次型フィルタリングルールも更新する。これにより、ユーザは、ＧＵＩ画面からフィルタリングルールを直感的に入力するだけで、該フィルタリングルールに対応した優先順位にて逐次型フィルタリングルールを更新することができる。
【０００９】
更に、この発明は、パケットの始点アドレスまたは終点アドレスを変換するアドレス変換ルール記憶部を備え、前記ルール更新手段は、前記ＧＵＩ手段によりフィルタリングルールの入力が受け付けられると、前記アドレス変換ルール記憶部のアドレス変換ルールを更新することを特徴とする。
【００１０】
この構成では、ネットワーク機器は、パケットの始点アドレス又は終点アドレスを変換するアドレス変換ルールを記憶する。ネットワーク機器は、ＧＵＩ画面からフィルタリングルールが入力されると、対応するアドレス変換ルールも更新する。これにより、ユーザは、ＧＵＩ画面からフィルタリングルールを直感的に入力するだけで、パケットのアドレス変換ルールを正しく更新することができる。
【００１１】
加えて、この発明は、前記ルール更新手段は、該ＧＵＩ手段により入力されたフィルタリングルールが前記階層型ルール記憶部に予め記憶されたフィルタリングルールの何れかと矛盾する場合は、該階層型ルール記憶部に記憶した矛盾するフィルタリングルールを再構築し、該ＧＵＩ手段により入力されたフィルタリングルールが前記階層型ルール記憶部に記憶した複数のフィルタリングルールの何れかの下位階層となる場合は、該階層型ルール記憶部に予め記憶されたフィルタリングルールの該当階層にフィルタリングルールを追加することを特徴とする。
【００１２】
この構成では、ネットワーク機器は、ＧＵＩ画面から入力されたフィルタリングルールが自装置内に記憶した複数の階層型フィルタリングルールの何れかと矛盾する場合、すなわち、判定条件が一致して動作が一致しない場合は、該階層型フィルタリングルールの動作を更新する。また、入力されたフィルタリングルールが自装置内に記憶した複数の階層型フィルタリングルールの例外条件となる場合は、該階層型フィルタリングルールの下位階層として、入力されたフィルタリングルールを追加する。これにより、ユーザは、ＧＵＩ画面を用いてフィルタリングルールを入力するだけで、階層型フィルタリングルールの更新を自動的に行うことができる。
【００１３】
また、この発明は、前記階層型ルール記憶部は、ステートフルパケットフィルタリングルールを記憶し、前記逐次型ルール記憶部はステートレスパケットフィルタリングルールを記憶することを特徴とする。
【００１４】
この構成では、階層型フィルタリングルールは、通信状態を参照してコネクション単位でパケットの通過・廃棄を決定するステートフルパケットフィルタリングルールとして記憶され、逐次型フィルタリングルールは、通信状態を参照せずにパケットの通過・廃棄を決定するステートレスパケットフィルタリングルールとして記憶される。これにより、逐次型フィルタリングルールで不要なパケットの遮断を早い段階で行い、階層型フィルタリングルールでコネクション単位のフィルタリングを行うような構成の場合でも、１つのフィルタリングルールの入力によって、それぞれのルールを更新することができる。
【発明の効果】
【００１５】
本発明によれば、ネットワーク機器は、自装置のＧＵＩ画面からフィルタリングルールが入力されると、自装置内に記憶する階層型フィルタリングルールを検証し、ルールの更新が必要な場合は、更新が必要なルールのみ更新する。これにより、パケットフィルタリングに関する高度な知識が乏しいユーザであっても、ＧＵＩ画面を用いることで、パケットフィルタリングルールを簡単に設定することができるので、新たなサーバを簡単に公開したり、サーバを撤去したりすることができる。
【発明を実施するための最良の形態】
【００１６】
図１は、公開サーバがネットワーク機器を介して他のネットワークと接続された環境を示す図である。ＬＡＮに設置された公開サーバ２は、ネットワーク機器１を介すことで、ネットワーク３（ＷＡＮ）に接続される。ネットワーク機器１は、ＷＡＮ側からＬＡＮ側に設置された公開サーバ２に対して、データの取得依頼が来ると、公開サーバ２からデータの転送を許可するか否かを判断する。また、ネットワーク機器１は、ＬＡＮ側からＷＡＮ側に設定された公開サーバへデータの取得依頼を行うと、ＷＡＮ側に設置された公開サーバへデータの取得依頼を行うか否かを判断する。ネットワーク機器１は、データの取得を許可する場合は、データの転送を行う。
【００１７】
詳述すると、例えば、ＷＡＮ側からＬＡＮ側に設置された公開サーバ２に対して、データの取得依頼が来ると、ネットワーク機器１は、ファイル共有等のＬＡＮ−ＷＡＮ間を通過させたくないパケットの破棄を設定する逐次型パケットフィルタリングテーブル（ステートレスパケットフィルタリングテーブル）の各フィルタリングルールを参照して、データ転送を許可するか否かを判断する。ネットワーク機器１は、データ転送を許可しない場合にパケットを破棄し、データ転送を許可する場合にアドレス変換ルールを参照してアドレス変換を行う。ネットワーク機器１は、ＷＷＷ等のコネクション単位でパケットの通過の可否を設定する階層型パケットフィルタリングテーブル（ステートフルパケットフィルタリングテーブル）の各フィルタリングルールを参照して、データ転送を許可するか否か判断する。ネットワーク機器１は、許可する場合にデータの転送を行い、許可しない場合にパケットを破棄する。
【００１８】
ＬＡＮ側からＷＡＮ側へのデータの転送の許可及びＷＡＮ側からのデータの取得の許可を更新する際には、ネットワーク機器１が記憶するパケットフィルタリングテーブル（逐次型パケットフィルタリングテーブルと階層型パケットフィルタリングテーブルとを、パケットフィルタリングテーブルと称す。）とアドレス変換テーブルとを必要に応じて更新する。このパケットフィルタリングテーブル及びアドレス変換テーブルの更新は、ネットワーク機器１のグラフィカルユーザインタフェース（以下、ＧＵＩと称す。）を用いて行う。これにより、パケットフィルタリングに関する高度な知識がないユーザであっても、簡単にパケットフィルタリングテーブル及びアドレス変換テーブルの更新を行うことができる。
【００１９】
また、データの転送及び取得の許可の判断は、パケットフィルタリングテーブルの各ルールの記述箇所に影響を受けるため、新たに登録するフィルタリングルールは、適切な箇所に追加しなければならない。これに対して、ネットワーク機器１は、ネットワーク機器１が提供するＧＵＩ画面を用いてフィルタリングルールの登録を受け付けると、適切な箇所に自動でフィルタリングルールを追加する。これにより、ネットワーク機器１は、ユーザが期待するデータの転送及び取得の許可を簡単に設定することができる。このため、ネットワーク機器１のＧＵＩを用いると、パケットフィルタリングテーブル及びアドレス変換テーブルの更新を容易に行うことができるので、高度な知識がないユーザであっても、簡単に公開サーバの停止や追加を行うことができる。
【００２０】
次に、ネットワーク機器１の機能構成について説明する。このネットワーク機器１は、例えば、ルータ装置やファイヤーウォール装置である。図２は、ネットワーク機器のブロック図である。図３は、ネットワーク機器が記憶する逐次型パケットフィルタリングテーブルを示す例である。図４は、ネットワーク機器が記憶するアドレス変換テーブルを示す例である。図４（Ａ）は、更新前のアドレス変換テーブルを示す。図４（Ｂ）は、更新後のアドレス変換テーブルを示す。図５は、ネットワーク機器が記憶する階層型パケットフィルタリングテーブルを示す例である。図５（Ａ）は、更新前の階層型パケットフィルタリングテーブルを示す。図５（Ｂ）は、更新後の階層型パケットフィルタリングテーブルを示す。図６は、更新前の階層型パケットフィルタリングテーブルの各フィルタリングルールを表示した一覧画面である。図７は、フィルタリングルールの登録画面である。図７（Ａ）は、一覧形式を示す。図７（Ｂ）は、ネットワーク環境形式を示す。
【００２１】
ネットワーク機器１は、２つのネットワークを接続する装置であるが、一方のネットワークから他方のネットワークへパケットを転送するとき、パケットフィルタリングテーブルを参照して、そのパケットの転送を許可するか否かを判定し、許可したもののみ通過させ、その他のパケットを破棄するパケットフィルタリングを実行する。また、この際、ネットワーク機器１は、アドレス変換テーブルを参照して、アドレス変換を行う。
【００２２】
ネットワーク機器１は、４つのＬＡＮ側ポート１４及び１つのＷＡＮ側ポート１６を備える。ＷＡＮ側ポート１６は、インターネットサービスを提供するＩＳＰ等に接続される。ＷＡＮ側ポート１６は、ＰＨＹチップ１５を介してＣＰＵ１０に接続される。
【００２３】
４つのＬＡＮ側ポート１４には、それぞれパーソナルコンピュータ（クライアントＰＣ）等のクライアント装置（不図示）が接続される。これらＬＡＮ側ポート１４は、レイヤ２スイッチチップ１３に接続されている。レイヤ２スイッチチップ１３は、ＬＡＮ側ポート１４に接続される複数のクライアント装置間の通信を制御する。また、このレイヤ２スイッチチップ１３には前記ＣＰＵ１０も接続されている。ＣＰＵ１０は、ＷＡＮ側ポート１６とＬＡＮ側ポート１４との通信を制御する。
【００２４】
ＣＰＵ１０には、フラッシュメモリ１１及びＲＡＭ１２が接続される。フラッシュメモリ１１は、図３に示すような逐次型パケットフィルタリングテーブル、図４に示すようなアドレス変換テーブル、及び図５に示すような階層型パケットフィルタリングテーブルを記憶する。また、ＲＡＭ１２は、ＬＡＮ側ポート１４及びＷＡＮ側ポート１６から入力されたパケットを、転送または破棄の処理が決定するまでバッファする。ＲＡＭ１２は、図６，図７に示すＧＵＩ画面の画像データを記憶する。
【００２５】
ＬＡＮ側ポート１４またはＷＡＮ側ポート１６からパケットが入力されると、このパケットをＲＡＭ１２にバッファするとともに、このパケットに図３の逐次型パケットフィルタリングテーブルの各フィルタリングルールを適用して処理（通過／破棄）を決定する。通過と決定したパケットについては、図４のアドレス変換テーブルに基づいてアドレス変換を行った後、図５の階層型パケットフィルタリングテーブルの各フィルタリングルールを適用して処理（通過／破棄）を決定する。通過と決定したパケットについては出力側のポート（ＷＡＮ側ポート１６又はＬＡＮ側ポート１４）にこれを転送する。なお、破棄と決定したパケットについてはＲＡＭ１２からこれを消去する。
【００２６】
なお、ネットワーク機器１は、自己のアドレシング機能により“１９２．１６８．０．１”のＩＰアドレスが割り当てられており、ＬＡＮ側ポート１４に接続されているクライアントＰＣが、インターネットブラウザで“ｈｔｔｐ：／／１９２．１６８．０．１／”のＵＲＬをアクセスしたとき、ブラウザに対して上記図６のＧＵＩ画面を送信する。これにより、上記クライアントＰＣのブラウザウィンドウに上記ＧＵＩ画面が表示される。このＧＵＩ画面については、後で詳述する。
【００２７】
なお、本実施形態では、ＷＡＮ−ＬＡＮ間の通信を制御する制御部としてＣＰＵ１０を用いているが、ネットワークプロセッサという専用ＬＳＩを用いてもよい。
【００２８】
また、本実施形態では、ネットワーク機器１は、４つのＬＡＮ側ポート１４及び１つのＷＡＮ側ポート１６を備える。しかしながら、これに限らず、少なくとも１つのＬＡＮ側ポート１４と少なくとも１つのＷＡＮ側ポート１６を備えればよい。
【００２９】
次に、ＧＵＩ画面を用いたフィルタリングルールの登録方法について、図３〜図７を参照して説明する。
【００３０】
ネットワーク機器１は、図３に示す逐次型パケットフィルタリングテーブルを記憶する。フィルタリングルールは、「始点アドレス」、「終点アドレス」、「プロトコル」、「始点ポート」、「終点ポート」の属性の全部又は一部について判定条件を規定している。そして、動作指定情報として、そのパケットを通過させる「通過」又は破棄させる「破棄」の２種類のうちのいずれかが規定される。このフィルタリングルールは、パケット処理の比較的早い段階で、通信の状態を参照せずにパケットの通過・破棄を決定するステートレスフィルタリングルールであり、フィルタ番号１から順に評価され、パケットがフィルタリングルールの判定条件に該当すると、対応する動作指定情報に基づいて、パケットの通過又は破棄が行われる。
【００３１】
フィルタ番号１〜５のフィルタリングルールにより、ＴＣＰ／ＵＤＰのプロトコルで、ＬＡＮ側からＷＡＮ側、及びＷＡＮ側からＬＡＮ側へ転送されるパケットのうち、ポート番号１３５，４４５のパケットを破棄させることができる。
【００３２】
また、ネットワーク機器１は、図４（Ａ）に示すアドレス変換テーブルを記憶する。アドレス変換ルールは、「ＬＡＮ側アドレス」、「ＬＡＮ側ポート番号」、「ＷＡＮ側アドレス」、及び「ＷＡＮ側ポート番号」から構成される。
【００３３】
Ｎｏ．１のルールは、「ＬＡＮ側アドレス＝１９２．１６８．０．２」且つ「ＬＡＮ側ポート番号＝２００１」と、「ＷＡＮ側アドレス＝ＸＸ．ＸＸ．ＸＸ．ＸＸ」且つ「ＷＡＮ側ポート番号＝６００１」と、を相互変換することを規定している。
【００３４】
Ｎｏ．２のルールは、「ＬＡＮ側アドレス＝１９２．１６８．０．３」且つ「ＬＡＮ側ポート番号＝２０１１」と、「ＷＡＮ側アドレス＝ＸＸ．ＸＸ．ＸＸ．ＸＸ」且つ「ＷＡＮ側ポート番号＝６００２」と、を相互変換することを規定している。
【００３５】
例えば、ＬＡＮ側から入力されたパケットのアドレスが１９２．１６８．０．２でポート番号が２００１の場合、ネットワーク機器１は、アドレス変換テーブルのＮｏ．1のルールに該当するので、アドレスをＸＸ．ＸＸ．ＸＸ．ＸＸに変換し、ポート番号を６００１に変換して、ＷＡＮ側へ転送する。また、ＷＡＮ側から入力されたパケットのアドレスがＸＸ．ＸＸ．ＸＸ．ＸＸでポート番号が６００１の場合、ネットワーク機器１は、アドレス変換テーブルのＮｏ．1のルールに該当するので、アドレスを１９２．１６８．０．２に変換し、ポート番号を２００１に変換して、ＷＡＮ側へ転送する。
【００３６】
更に、ネットワーク機器１は、図５（Ａ）に示す階層型パケットフィルタリングテーブルを記憶する。また、図６に示すＧＵＩ画面は、図５（Ａ）に示す階層型パケットフィルタリングテーブルの各フィルタリングルールの包含関係を矩形のウィンドウ表示にしたものであり、各矩形の中にフィルタリングルールを記述できるようにしたものである。このような矩形の内側、外側の関係により包含関係がわかりやすく表示される。
【００３７】
フィルタリングルールは、「入力Ｉ／Ｆ」、「出力Ｉ／Ｆ」、「始点アドレス」、「終点アドレス」、「サービス」の属性の全部又は一部について判定条件を規定している。そして、動作指定情報として、そのパケットを通過させる「通過（図５参照）：→（図６参照）」又は破棄する「破棄（図５参照）：×（図６参照）」の２種類のうちいずれかが規定される。このフィルタリングルールは、通信状況を参照してコネクション単位でのパケットの通過・破棄を決定するステートフルパケットフィルタリングルールである。
【００３８】
フィルタ番号１は、ＬＡＮからＷＡＮに転送されるパケットのデフォルトルールである。すなわち、入力インタフェースがＬＡＮ側ポート１４、出力インタフェースがＷＡＮ側ポート１６のパケットは、原則として破棄するというルールである。その下位ルールがフィルタ番号１−１及びフィルタ番号１−２である。フィルタ番号１−１は、フィルタ番号１に該当したパケットであってもサービス（プロトコル等）がＷＷＷに係るパケットの場合には通過させるというルールである。更に、フィルタ番号１−１の下位ルールがフィルタ番号１−１−１である。フィルタ番号１−１−１は、フィルタ番号１−１に該当したパケットであっても終点アドレスがＺＺ．ＺＺ．ＺＺ．ＺＺの場合には、破棄するというルールである。
【００３９】
また、フィルタ番号１−２は、フィルタ番号１に該当したパケットであっても始点アドレスが１９２．１６８．０．０〜１９２．１６８．０．２５５のパケットの場合には通過させるというルールである。
【００４０】
これらのフィルタリングルールにより、ＬＡＮ側ポート１４からＷＡＮ側ポート１６に転送されるパケットのうち、ＷＷＷサービスのパケットで、終点アドレスがＺＺ．ＺＺ．ＺＺ．ＺＺ以外のものと、始点アドレスが１９２．１６８．０．０〜１９２．１６８．０．２５５のものを除いて破棄させることができる。
【００４１】
また、フィルタ番号２は、ＷＡＮからＬＡＮに転送されるパケットのデフォルトルールである。すなわち、入力インタフェースがＷＡＮ側ポート１６、出力インタフェースがＬＡＮ側ポート１４のパケットは、原則として破棄するというルールである。その下位ルールがフィルタ番号２−１である。フィルタ番号２−１は、フィルタ番号２に該当したパケットであってもサービス（プロトコル等）がｔｅｌｎｅｔに係るパケットで、且つ、始点アドレスがＹＹ．ＹＹ．ＹＹ．ＹＹのパケットの場合には通過させるというルールである。更に、フィルタ番号２−１の下位ルールがフィルタ番号２−１−１である。フィルタ番号２−１−１は、フィルタ番号２−１に該当するパケットであっても終点アドレスが１９２．１６８．０．１のパケットの場合には破棄するというルールである。
【００４２】
これらのフィルタリングルールにより、ＷＡＮ側ポート１６からＬＡＮ側ポート１４に転送されるパケットのうち、ｔｅｌｎｅｔサービスのパケットで、始点アドレスがＹＹ．ＹＹ．ＹＹ．ＹＹアドレスで、且つ終点アドレスが１９２．１６８．０．１以外のものを通過させることができる。
【００４３】
なお、各ルールの該当性の判定においては、判定条件として記述されている属性情報のみを判定し、記述されていないものについては判定しない。これは、上位ルールの判定によって、既にフィルタリングされているからである。
【００４４】
次に、図６に示すＧＵＩ画面は、「ＬＡＮ→ＷＡＮルール登録」ボタン及び「ＷＡＮ→ＬＡＮルール登録」ボタンを備える。ユーザは、ＧＵＩ画面上の「ＷＡＮ→ＬＡＮルール登録」ボタンをマウス等でクリックすると図７に示すＧＵＩ画面を新たなウィンドウとして表示する。図７に示すＧＵＩ画面は、ＷＡＮからＬＡＮに転送されるパケットに関するフィルタリングルール及びアドレス変換ルールの登録を行う画面である。また、図７（Ａ）又は図７（Ｂ）に示すＧＵＩ画面は、予めどちらのＧＵＩ画面を表示するか設定しておいてもよいし、「ＷＡＮ→ＬＡＮルール登録」ボタンの押下後、ユーザに選択させてもよい。以下、図７（Ａ）に示すＧＵＩ画面を新たなウィンドウとして表示した場合について説明する。
【００４５】
図７（Ａ）に示すＧＵＩ画面には、「サービス識別番号」、「入力Ｉ／Ｆ」、「出力Ｉ／Ｆ」、「サーバアドレス」、「サービス（ポート番号）」、「ＷＡＮアドレス」、「ソースアドレス」が一覧形式で表示される。このＧＵＩ画面には、これらのデータの入力欄が１列表示される。この入力欄は、入力欄の必須入力項目の入力が完了したり、入力欄を右クリックすることで表示されるサブウィンドウの「入力欄追加」等を選択したりすると、新たに１列表示される。この際、「サービス識別番号」、「入力Ｉ／Ｆ」、「出力Ｉ／Ｆ」、「サーバアドレス」、「サービス（ポート番号）」は、入力必須項目であり、「ＷＡＮアドレス」、「ソースアドレス」は、入力必須項目ではない。また、ユーザが「登録」ボタンを押下すると、入力欄の内容が逐次型パケットフィルタリングテーブル、アドレス変換テーブル、及び階層型パケットフィルタリングテーブルに対してそれぞれ検証し、検証結果に基づいて自動的に追加される。
【００４６】
次に、各入力欄への入力内容について説明する。以下、説明の簡単化のため、ＷＷＷサーバを新たに公開する場合について説明する。つまり、新たに公開するＷＷＷサーバから、ＷＷＷサービスに関するパケットをＷＡＮ側に出力することを許可する設定を行う。
【００４７】
「サービス識別番号」は、自動的に付与される連番であり、入力欄が増えるたびに、最後尾の入力欄の「サービス識別番号」の番号に１を追加した番号が付与される。
【００４８】
また、ＷＡＮからＬＡＮに転送されるパケットのフィルタリングルールを登録するので、「入力Ｉ／Ｆ」にＷＡＮ、「出力Ｉ／Ｆ」にＬＡＮを入力する。この「入力Ｉ／Ｆ」と「出力Ｉ／Ｆ」とは、階層型パケットフィルタリングテーブルの「入力Ｉ／Ｆ」と「出力Ｉ／Ｆ」とに該当する。
【００４９】
更に、「サーバアドレス」に新規に公開するＷＷＷサーバのＩＰアドレス（１９２．１６８．０．５）、「サービス」にＷＷＷサービスのポート番号（８０）を入力する。この「サーバアドレス」は、逐次型パケットフィルタリングテーブル及び階層型パケットフィルタリングテーブルの「終点アドレス」、及びアドレス変換テーブルの「ＬＡＮ側アドレス」、に該当し、「サービス」は、逐次型パケットフィルタリングテーブルの「終点ポート」、アドレス変換テーブルの「ＬＡＮ側ポート番号」、「ＷＡＮ側ポート番号」、及び階層型パケットフィルタリングテーブルの「サービス」に該当する。
【００５０】
加えて、「ＷＡＮアドレス」には、ネットワーク機器１のグローバルＩＰアドレスを入力する。この際、ネットワーク機器１に複数のグローバルＩＰアドレスが割当てられた場合には、パケットのフィルタリング対象のグローバルＩＰアドレスを入力する。また、ネットワーク機器１に１つグローバルＩＰアドレスが割当てられた場合には、該グローバルＩＰアドレスが自動的に割り当てられる。ここでは、ネットワーク機器１に１つのグローバルＩＰアドレス（ＸＸ．ＸＸ．ＸＸ．ＸＸ）が割当てられているだけだが、「ＷＡＮアドレス」には、グローバルＩＰアドレス（ＸＸ．ＸＸ．ＸＸ．ＸＸ）を入力する。なお、この「ＷＡＮアドレス」は、アドレス変換テーブルの「ＷＡＮ側アドレス」に該当する。
【００５１】
また、「ソースアドレス」には、ＷＡＮ側に配置された装置へフィルタリングを行う場合、その装置のグローバルＩＰアドレスを入力する。ここでは、何も設定しない。この「ソースアドレス」は、逐次型パケットフィルタリングテーブル及び階層型パケットフィルタリングテーブルの「始点アドレス」に該当する。
【００５２】
また、「動作」には、通過を入力する。この「動作」は、逐次型パケットフィルタリングテーブル及び階層型パケットフィルタリングテーブルの「動作」に該当する。
【００５３】
以上の入力が完了し、「登録」ボタンを押下すると、新たに公開するＷＷＷサーバのＷＷＷサービスに関するパケットについて、逐次型パケットフィルタリングテーブル、アドレス変換テーブル、及び階層型パケットフィルタリングテーブルに登録されたルールの検証を行い、検証結果に基づいてＷＡＮ側からＬＡＮ側への出力を許可するフィルタリングルール及びアドレス変換ルールが更新される。これら各種ルールの検証及び更新等については後述する。
【００５４】
また、図７（Ｂ）に示すＧＵＩ画面は、図７（Ａ）に示すＧＵＩ画面と異なり、ネットワーク環境を図示的に表示する。これにより、ユーザは、ネットワーク環境をより分かりやすく捉えることができる。図７（Ｂ）のＧＵＩ画面は、図７（Ａ）のＧＵＩ画面と、「入力Ｉ／Ｆ」及び「出力Ｉ／Ｆ」の入力方法が異なる。図７（Ｂ）に示すＧＵＩ画面では、ＷＡＮからＬＡＮに転送されるパケットのフィルタリングルールを登録するので、「ＷＡＮ側からＬＡＮ側へ」を意味する「→」を選択して、「ＬＡＮ側からＷＡＮ側へ」を意味する「→」は選択しない。他の各種設定については、図７（Ａ）に示すＧＵＩ画面と同様の設定を行う。
【００５５】
また、「ＬＡＮ→WＡＮルール登録」ボタンを押下すると、ＬＡＮからWＡＮに転送させるパケットのフィルタリングルールの登録画面であるＧＵＩ画面を新たなウィンドウとして表示する。これにより、ＬＡＮからWＡＮに転送させるパケットのフィルタリングルールを登録することができる。このため、ＬＡＮからＷＡＮ及びＷＡＮからＬＡＮに転送させるパケットのフィルタリングルールを簡単に追加することができる。
【００５６】
なお、本実施形態では、「ＬＡＮ→ＷＡＮルール登録」ボタン及び「ＷＡＮ→ＬＡＮルール登録」ボタンを設けた。しかしながら、これに限らず、右クリック等でサブウィンドウ（不図示）を表示し、サブウィンドウから図７に示すＧＵＩ画面を表示するよう選択してもよい。
【００５７】
以上より、図７に示すＧＵＩ画面を用いることで、パケットフィルタリングやアドレス変換に関する高度な知識がないユーザであっても、パケットのフィルタリングルールやアドレス変換ルールを簡単に追加することができる。更に、フィルタリングルールとアドレス変換という別項目の設定を関連付けて、簡単に設定することができる。
【００５８】
次に、図３に示す逐次型パケットフィルタリングテーブル、図４（Ａ）に示すアドレス変換テーブル、及び図５（Ａ）の階層型パケットフィルタリングテーブルを記憶するネットワーク機器１に対して、図７（Ａ）に示すルールを登録した場合を例にあげて、フィルタリングルール及びアドレス変換ルールの検証及び更新処理について、図３〜５，７〜９を参照して説明する。図８は、フィルタリングルール及びアドレス変換ルールの検証及び更新処理に関するフローチャートである。図９は、階層型パケットフィルタリングテーブルの更新処理に関するフローチャートである。
【００５９】
まず、フィルタリングルール及びアドレス変換ルールの検証及び更新処理の流れについて、図８を参照して説明する。ユーザが、ＧＵＩ画面にて図７（Ａ）に示すルールを入力すると（Ｓ１０１）、ＣＰＵ１０は、入力されたルールの解析を行い（Ｓ１０２）、ステップＳ１０３の処理へ進む。
【００６０】
詳述すると、ＣＰＵ１０は、ルールを「通信の方向」、「終点アドレス」、「要求されるサービス」の項目に分類して解析する。「通信の方向」は、「入力Ｉ／Ｆ」と「出力Ｉ／Ｆ」を決定し、どの方向への通信を制御したいのかを決定する。また、「終点アドレス」は、制御するパケットの宛先となるアドレスのことである。更に、「サービス」は、例えば、「ｔｅｌｎｅｔ」、「ｆｔｐ」等の単一のサービスや、「ｓｍｔｐ，ｐｏｐ３」等のサービスグループのことである。この場合、「入力Ｉ／Ｆ」がＷＡＮ、「出力Ｉ／Ｆ」がＬＡＮ、通信を制御する方向が、ＷＡＮからＬＡＮとなる。「終点アドレス」は、１９２．１６８．０．５／２４となり、「サービス」は、ＷＷＷとなる。
【００６１】
ステップＳ１０３にて、ＣＰＵ１０は、アドレス変換の必要性の有無を判断して、「サーバアドレス」と「ポート番号」とからアドレス変換ルールを決定する。この場合、「ポート番号」が８０から入力されたパケットは、「サーバアドレス」が１９２．１６８．０．５／２４のサーバへ転送されるというアドレス変換ルールを決定する。ＣＰＵ１０は、図４（Ｂ）に示すように、アドレス変換テーブルのＮｏ．３のルールを追加する。
【００６２】
ＣＰＵ１０は、逐次型パケットフィルタリングルール（ステートレスフィルタリングルール）の検証を行い（Ｓ１０４）、階層型パケットフィルタリングルール（ステートフルフィルタリングルール）の検証を行う（Ｓ１０５）。検証結果に基づいて、ＣＰＵ１０は、逐次型パケットフィルタリングテーブル及び階層型パケットフィルタリングテーブルに登録された各ルールの更新を行う（Ｓ１０６）。
【００６３】
詳述すると、ＣＰＵ１０は、逐次型パケットフィルタリングテーブルに登録された各フィルタリングルールを検証すると、「始点アドレス＝＊」、「ポート番号＝＊」、「終点アドレス＝１９２．１６８．０．５」、及び「終点ポート＝８０」の判定条件がフィルタ番号５のルールに該当し、フィルタ番号５のルールの動作指定情報が「動作＝通過」なので、逐次型パケットフィルタリングルールの更新を行わない。また、ＣＰＵ１０は、階層型パケットフィルタリングテーブルに登録された各フィルタリングルールを検証すると、「入力Ｉ／Ｆ=ＷＡＮ」、「出力Ｉ／Ｆ＝ＬＡN」、「始点アドレス＝＊」、「終点アドレス＝１９２．１６８．０．５」、及び「サービス＝８０」の判定条件がフィルタ番号２のルールに該当し、フィルタ番号２のルールの動作指定情報が「動作＝破棄」なので、階層型パケットフィルタリングルールの更新を行う。
【００６４】
次に、階層型パケットフィルタリングルールの検証、更新処理（ステップＳ１０５，Ｓ１０６の処理）について、図９を参照して説明する。以下、説明の簡単化のため、図７（Ａ）に示すルールを新規ルールと称す。また、階層型パケットフィルタリングテーブルの各ルールの階層を第ｎ階層のルールであると明確化する。具体的には、図５（Ａ）に示す階層型パケットフィルタリングテーブルでは、フィルタ番号１、及びフィルタ番号２を第１階層のルールと称す。また、フィルタ番号１−１、及びフィルタ番号１−２をフィルタ番号１に対応する第２階層のルール、フィルタ番号２−１をフィルタ番号２に対応する第２階層のルールと称す。更に、フィルタ番号１−１−１をフィルタ番号１−１に対応する第３階層のルールと称す。
【００６５】
図９に示すように、新規ルールが追加されると、ＣＰＵ１０は、第１階層の１番目のルール（フィルタ番号１のルール）を参照して（Ｓ１１１）、ＣＰＵ１０は、新規ルールが第１階層の１番目のルール（フィルタ番号１のルール）の判定条件に該当するか否かを調べる（Ｓ１１２）。
【００６６】
該当しないので（Ｓ１１２：Ｎｏ）、ＣＰＵ１０は、第１階層の２番目のルール（フィルタ番号２のルール）が存在するか否かを調べる（Ｓ１１３）。存在するので（Ｓ１１３：Ｙｅｓ）、ＣＰＵ１０は、新規ルールが第１階層の２番目のルール（フィルタ番号２のルール）の判定条件に該当するか否かを調べる（Ｓ１１２）。
【００６７】
該当するので（Ｓ１１２：Ｙｅｓ）、ＣＰＵ１０は、第１階層の２番目のルール（フィルタ番号２のルール）の動作と一致するか否かを調べる（Ｓ１１５）。一致しないので（Ｓ１１５：Ｎｏ）、第１階層の２番目のルールの下位階層のルール、すなわちフィルタ番号２に対応する第２階層の１番目のルール（フィルタ番号２−１のルール）が存在するか否かを調べる（Ｓ１１６）。存在するので（Ｓ１１６：Ｙｅｓ）、ＣＰＵ１０は、新規ルールが第２階層の１番目のルール（フィルタ番号２−１のルール）の判定条件に該当するか否かを調べる（Ｓ１１２）。
【００６８】
該当しないので（Ｓ１１２：Ｎｏ）、第２階層の２番目のルール（フィルタ番号２−２のルール）が存在するか否かを調べる（Ｓ１１３）。存在しないので（Ｓ１１３：Ｎｏ）、第２階層の２番目のルール（フィルタ番号２−２のルール）として、新規ルールを追加する（Ｓ１１４）。以上で、階層型パケットフィルタリングテーブルの更新処理が完了する。
【００６９】
また、新規ルールの判定条件と第ｎ階層のｍ番目のルールの判定条件とが一致し（Ｓ１１２：Ｙｅｓ）、新規ルールの動作と第ｎ階層のｍ番目のルールの動作と一致する場合は（Ｓ１１５：Ｙｅｓ）、ＣＰＵ１０は、フィルタリングルールの登録を行わず、処理を終了する。この場合、階層型パケットフィルタリングテーブルは更新されない。
【００７０】
更に、新規ルールの判定条件と第ｎ階層のｍ番目のルールの判定条件とが一致し（Ｓ１１２：Ｙｅｓ）、新規ルールの動作と第ｎ階層のｍ番目のルールの動作とが一致しないで（Ｓ１１５：Ｎｏ）、第ｎ階層のｍ番目のルールの下位階層にルールが存在しない場合は（Ｓ１１６：Ｎｏ）、ＣＰＵ１０は、第ｎ階層のｍ番目のルールの動作を更新して（Ｓ１１７）、処理を終了する。例えば、「入力Ｉ／Ｆ」＝ＬＡＮ、「出力Ｉ／Ｆ」＝ＷＡＮ、「始点アドレス」＝＊、「終点アドレス」＝ＺＺ．ＺＺ．ＺＺ．ＺＺ、「サービス」＝ＷＷＷ、「動作」＝通過が新規ルールとして登録されると、フィルタ番号１−１−１のルールと判定条件が一致し、動作が一致しないので、フィルタ番号１−１−１のルールを削除して、フィルタリングルールの更新を行う。この際、ユーザに「フィルタ番号１−１−１のルールと動作が一致しません。フィルタ番号１−１−１のルールを削除しますか？」等のエラーメッセージを表示し、ルールを更新するか否かを選択させてもよい。
【００７１】
次に、更新後の各種ルール（図３に示す逐次型フィルタリングテーブル、図４（Ｂ）に示すアドレス変換テーブル、及び図５（Ｂ）に示す階層型フィルタリングテーブル）を記憶するネットワーク機器１に、ＷＡＮ側に設置されたクライアント装置から公開サーバ２が公開しているＨＰへアクセスされた場合の、データの転送処理について、図３〜５，１０を参照して説明する。図１０は、データの転送処理に関するフローチャートである。
【００７２】
図１０に示すように、ネットワーク機器１は、ＷＡＮ側に設置されたクライアント装置からパケットを受信すると（Ｓ１２１）、パケットの宛先アドレス（ＸＸ．ＸＸ．ＸＸ．ＸＸ）とポート番号（８０）を参照する（Ｓ１２２）。ネットワーク機器１は、図３に示す逐次型パケットフィルタリングテーブル（ステートレスフィルタリングテーブル）を参照し（Ｓ１２３）、受信したパケットがフィルタ番号５の判定条件に一致するので、動作指定条件を参照して、データ転送の可否を判断する（Ｓ１２４）。動作指定条件が破棄の場合、すなわちデータ転送不可の場合は（Ｓ１２４：Ｎｏ）、受信したパケットを破棄する（Ｓ１２９）。
【００７３】
動作指定条件が通過の場合、すなわちデータ転送可の場合は（Ｓ１２４：Ｙｅｓ）、ネットワーク機器１は、図４（Ｂ）に示すアドレス変換テーブルを参照し（Ｓ１２５）、受信したパケットの宛先アドレスとポート番号がＮｏ．３のＷＡＮ側アドレスとＷＡＮ側ポート番号と一致するので、宛先アドレスをＬＡＮ側宛先アドレス（１９２．１６８．０．５）に変換し、ポート番号をＬＡＮ側ポート番号（８０）に変換する（Ｓ１２６）。
【００７４】
ネットワーク機器１は、図５（Ｂ）に示す階層型パケットフィルタリングテーブル（ステートフルフィルタリングテーブル）を参照し（Ｓ１２７）、アドレス変換後のパケットがフィルタ番号２−２の判定条件に一致するので、動作指定条件を参照して、データの転送の可否を判断する（Ｓ１２８）。動作指定条件が破棄の場合、すなわちデータ転送不可の場合は（Ｓ１２８：Ｎｏ）、アドレス変換後のパケットを破棄する（Ｓ１２９）。
【００７５】
動作指定条件が通過の場合、すなわちデータ転送可の場合は（Ｓ１２８：Ｙｅｓ）、ネットワーク機器１は、公開サーバ２へパケットを転送する（Ｓ１３０）。以上で、パケットの転送処理が完了する。なお、詳述しないが、ネットワーク機器１は、ＬＡＮ側から入力されたパケットについて、図１０に示すステップＳ１２１〜Ｓ１３０の処理を行い、パケットの転送を行う。
【００７６】
なお、本実施形態では、ネットワーク機器１は、ＬＡＮとＷＡＮとの２つのネットワークに接続されており、これら２つのネットワーク間を通過するパケットのフィルタリングルールの登録を行った。しかしながら、これに限らず、ネットワーク機器１が複数のネットワークに接続されており、これら複数のネットワーク間を通過するパケットのフィルタリングルールの登録を行ってもよい。
【００７７】
また、本実施形態では、ステートレスフィルタリングルールに逐次型フィルタリングルールを用い、ステートフルフィルタリングルールに階層型フィルタリングルールを用いた。しかしながら、これに限らず、ステートレスフィルタリングルール及びステートフルフィルタリングルールに他のフィルタリングルールを用いてもよい。例えば、ステートレスフィルタリングルール及びステートフルフィルタリングルールに階層型フィルタリングルールを用いてもよい。
【００７８】
以上より、本発明に係るネットワーク機器１は、ＧＵＩ画面を備えており、このＧＵＩ画面を用いることで、ネットワーク機器１に接続された複数のネットワーク間を通過するパケットのフィルタリングルール及びアドレス変換ルールを簡単に登録することができる。これにより、新たにサーバを公開したり、サーバを撤去したりする場合、パケットフィルタリング及びアドレス変換に関する知識が乏しいユーザであっても、パケットフィルタリングテーブルを簡単に更新することできる。また、ネットワーク機器１は、ＧＵＩ画面を用いることで、パケットのフィルタリングルール及びアドレス変換という別項目を関連付けて簡単に設定することができる。
【図面の簡単な説明】
【００７９】
【図１】公開サーバがネットワーク機器を介して他のネットワークと接続された環境を示す図である。
【図２】ネットワーク機器のブロック図である。
【図３】ネットワーク機器が記憶する逐次型パケットフィルタリングテーブルを示す例である。
【図４】ネットワーク機器が記憶するアドレス変換テーブルを示す例である。
【図５】ネットワーク機器が記憶する階層型パケットフィルタリングテーブルを示す例である。
【図６】更新前の階層型パケットフィルタリングテーブルの各フィルタリングルールを表示した一覧画面である。
【図７】フィルタリングルールの登録画面である。
【図８】フィルタリングルール及びアドレス変換ルールの検証及び更新処理に関するフローチャートである。
【図９】階層型パケットフィルタリングテーブルの更新処理に関するフローチャートである。
【図１０】データの転送処理に関するフローチャートである。
【符号の説明】
【００８０】
１−ネットワーク機器，２−公開サーバ，３−ネットワーク，１０−ＣＰＵ，１１−フラッシュメモリ，１２−ＲＡＭ，１３−レイヤ２スイッチチップ，１４−ＬＡＮ側ポート，１５−ＰＨＹチップ，１６−ＷＡＮ側ポート
【図１】
2009009451.tif 000003
【図２】
2009009451.tif 000004
【図３】
2009009451.tif 000005
【図４】
2009009451.tif 000006
【図５】
2009009451.tif 000007
【図６】
2009009451.tif 000008
【図７】
2009009451.tif 000009
【図８】
2009009451.tif 000010
【図９】
2009009451.tif 000011
【図１０】
2009009451.tif 000012
【手続補正書】
【提出日】平成19年8月29日(2007.8.29)
【手続補正１】
【補正対象書類名】明細書
【補正対象項目名】００３５
【補正方法】変更
【補正の内容】
【００３５】
例えば、ＬＡＮ側から入力されたパケットのアドレスが１９２．１６８．０．２でポート番号が２００１の場合、ネットワーク機器１は、アドレス変換テーブルのＮｏ．１のルールに該当するので、アドレスをＸＸ．ＸＸ．ＸＸ．ＸＸに変換し、ポート番号を６００１に変換して、ＷＡＮ側へ転送する。また、ＷＡＮ側から入力されたパケットのアドレスがＸＸ．ＸＸ．ＸＸ．ＸＸでポート番号が６００１の場合、ネットワーク機器１は、アドレス変換テーブルのＮｏ．１のルールに該当するので、アドレスを１９２．１６８．０．２に変換し、ポート番号を２００１に変換して、ＷＡＮ側へ転送する。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】００５４
【補正方法】変更
【補正の内容】
【００５４】
また、図７（Ｂ）に示すＧＵＩ画面は、図７（Ａ）に示すＧＵＩ画面と異なり、ネットワーク環境を図示的に表示する。これにより、ユーザは、ネットワーク環境をより分かりやすく捉えることができる。図７（Ｂ）のＧＵＩ画面は、図７（Ａ）のＧＵＩ画面と、「入力Ｉ／Ｆ」及び「出力Ｉ／Ｆ」の入力方法が異なる。図７（Ｂ）に示すＧＵＩ画面では、ＷＡＮからＬＡＮに転送されるパケットのフィルタリングルールを登録するので、「ＷＡＮ側からＬＡＮ側へ」を意味する「←」を選択して、「ＬＡＮ側からＷＡＮ側へ」を意味する「→」は選択しない。他の各種設定については、図７（Ａ）に示すＧＵＩ画面と同様の設定を行う。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】００５５
【補正方法】削除
【補正の内容】
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】００６１
【補正方法】変更
【補正の内容】
【００６１】
ステップＳ１０３にて、ＣＰＵ１０は、アドレス変換の必要性の有無を判断して、「サーバアドレス」と「ポート番号」とからアドレス変換ルールを決定する。この場合、「宛先アドレス」がＸＸ．ＸＸ．ＸＸ．ＸＸ、「宛先ポート番号」が８０のパケットを受け取ったネットワーク機器１は、「アドレス」が１９２．１６８．０．５／２４のサーバへ転送するというアドレス変換ルールを決定する。ＣＰＵ１０は、図４（Ｂ）に示すように、アドレス変換テーブルのＮｏ．３のルールを追加する。
【手続補正５】
【補正対象書類名】明細書
【補正対象項目名】００６３
【補正方法】変更
【補正の内容】
【００６３】
詳述すると、ＣＰＵ１０は、逐次型パケットフィルタリングテーブルに登録された各フィルタリングルールを検証すると、「始点アドレス＝＊」、「ポート番号＝＊」、「終点アドレス＝１９２．１６８．０．５」、及び「終点ポート＝８０」の判定条件がフィルタ番号５のルールに該当し、フィルタ番号５のルールの動作指定情報が「動作＝通過」なので、逐次型パケットフィルタリングルールの更新を行わない。また、ＣＰＵ１０は、階層型パケットフィルタリングテーブルに登録された各フィルタリングルールを検証すると、「入力Ｉ／Ｆ=ＷＡＮ」、「出力Ｉ／Ｆ＝ＬＡＮ」、「始点アドレス＝＊」、「終点アドレス＝１９２．１６８．０．５」、及び「サービス＝８０」の判定条件がフィルタ番号２のルールに該当し、フィルタ番号２のルールの動作指定情報が「動作＝破棄」なので、階層型パケットフィルタリングルールの更新を行う。