(57)【要約】メモリなどのリソースの消費を削減し、効率良くセキュアホストへのアクセスを制御するアクセス制御装置およびアクセス制御方法。このアクセス制御装置において、アクセス制御部（３０２）は、パケットの宛先ＩＰアドレスおよび送信元ＩＰアドレスが、セキュアな端末またはホストのＩＰアドレスであるか、一般の端末またはホストのＩＰアドレスであるかに応じて、ホスト情報記憶部（３０４）に記憶されたホストリストを参照しながらアクセス制御を行う。ホスト情報記憶部（３０４）は、外部ネットワーク（２００）内の一般ホストのドメイン名およびＩＰアドレスをホストリストとして記憶する。ホストリスト更新部（３０５）は、ホスト情報記憶部（３０４）のホストリストに未登録のホストがセキュアホストであるか一般ホストであるかの問い合わせを行い、問い合わせの結果からホストリストを更新する。【特許請求の範囲】
【請求項１】
第１のネットワーク内のホストのうち、第２のネットワーク内の端末からのアクセスが制限されるホストまたはアクセスが制限されないホストを示すホストリストを記憶する記憶手段と、
宛先が前記第１のネットワーク内のホストに設定されたパケットを前記第２のネットワーク内の端末から受信する受信手段と、
受信されたパケットの宛先のホストが前記ホストリストに登録されている場合に、前記パケットを前記ホストへ送信するかまたは前記パケットを廃棄するかを制御する制御手段と、
受信されたパケットの宛先のホストが前記ホストリストに登録されていない場合に、前記ホストに対する前記端末からのアクセスが許可されるか否かの情報を外部から取得して前記ホストリストを更新する更新手段と、
を有するアクセス制御装置。
【請求項２】
前記更新手段は、
前記パケットの宛先アドレスがアクセスが制限されるホストのアドレスとして前記第１のネットワーク内のサーバに登録されているか否かを問い合わせるＤＮＳ逆引き要求送信部と、
前記宛先アドレスが前記サーバに登録されているか否かを示すＤＮＳ逆引き応答を受信するＤＮＳ逆引き応答受信部と、
前記ＤＮＳ逆引き応答に応じて前記宛先アドレスの前記ホストリストへの書き込みを制御する書込制御部と、
を有する請求項１記載のアクセス制御装置。
【請求項３】
前記制御手段は、
受信されたパケットの宛先のホストが前記ホストリストに登録されていない場合に、前記更新手段によって外部から取得された情報に応じて前記パケットを前記ホストへ送信するかまたは前記パケットを廃棄するかを決定する請求項１記載のアクセス制御装置。
【請求項４】
前記第２のネットワーク内の端末が前記第１のネットワーク内のすべてのホストに対するアクセスが許可されるセキュア端末であるか前記第１のネットワーク内の一部のホストのみに対するアクセスが許可される一般端末であるかを記憶する第２の記憶手段、をさらに有し、
前記制御手段は、
受信されたパケットの送信元が前記セキュア端末である場合に、前記パケットを前記ホストへ送信させる請求項１記載のアクセス制御装置。
【請求項５】
前記記憶手段は、
前記ホストリストを定期的に消去する請求項１記載のアクセス制御装置。
【請求項６】
第１のネットワーク内のホストのうち、第２のネットワーク内の端末からのアクセスが制限されるホストまたはアクセスが制限されないホストを示すホストリストが記憶されたアクセス制御装置におけるアクセス制御方法であって、
宛先が前記第１のネットワーク内のホストに設定されたパケットを前記第２のネットワーク内の端末から受信するステップと、
受信されたパケットの宛先のホストが前記ホストリストに登録されている場合に、前記パケットを前記ホストへ送信するかまたは前記パケットを廃棄するかを制御するステップと、
受信されたパケットの宛先のホストが前記ホストリストに登録されていない場合に、前記ホストに対する前記端末からのアクセスが許可されるか否かの情報を外部から取得して前記ホストリストを更新するステップと、
を有するアクセス制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】  本発明は、アクセス制御装置およびアクセス制御方法に関し、特に、外部ネットワーク内のホストの種別に応じて内部ネットワーク内の端末からのアクセスが制限されるネットワークにおけるアクセス制御装置およびアクセス制御方法に関する。
【背景技術】
【０００２】  従来、一般的なネットワークにおいては、ＩＰアドレスとホスト名の名前解決を行うＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）サーバが設置されることがある。このようなネットワークにおいては、例えばＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）などの内部ネットワークの端末から、例えばインターネットなどを含む外部ネットワークのホストへの接続要求が生じると、端末において指定されたＤＮＳサーバへ接続先のホスト名が送信される。ＤＮＳサーバは、受信したホスト名に対応するＩＰアドレスを検索し、その結果を応答として端末に返送する。これにより、内部ネットワーク内の端末は、接続を試みる外部ネットワーク内のホストのＩＰアドレスを知ることができ、このホストへアクセスすることが可能となる。【０００３】  このようにＤＮＳによってＩＰアドレスを検索する技術は、例えば特許文献１に開示されている。特許文献１においては、図１に示すように、内部ネットワークと外部ネットワークの境界にルータが設置され、このルータは、ホスト名とＩＰアドレスを記録するＨＯＳＴＳテーブルとＨＯＳＴＳテーブルを管理更新する更新処理部とを有している。【０００４】  図１のネットワーク構成においては、クライアント１は、ホストに接続するためにＤＮＳサーバへ名前解決を要求するＤＮＳ要求を送信する。ＤＮＳサーバは、ＤＮＳ要求に対するＤＮＳ応答をクライアント１へ送信するが、このときルータは、ＤＮＳ応答に含まれるホスト名とＩＰアドレスを更新処理部によりＨＯＳＴＳテーブルに保存した上で、クライアント１へ転送する。これにより、クライアント１は、ルータ経由でホストにアクセスすることが可能となる。【０００５】  そして、次にクライアント２からホストへの接続要求が発生すると、クライアント２は、クライアント１と同様にＤＮＳ要求をＤＮＳサーバへ送信する。このとき、内部ネットワークと外部ネットワークの境界に設置されるルータは、このＤＮＳ要求を受け取ってＨＯＳＴＳテーブルを参照する。ここで、ＤＮＳ要求に含まれるホスト名がＨＯＳＴＳテーブルに保存されている場合は、ルータは、ＤＮＳ要求をＤＮＳサーバへ転送せず、ＨＯＳＴＳテーブル中の対応するＩＰアドレスを直接クライアント２へ送信する。【０００６】  このように特許文献１の技術においては、ルータがＤＮＳ応答をキャッシュするため、外部ネットワークへ送出するＤＮＳ要求の量を抑制することができ、トラフィックの軽減を図ることができる。また、ルータが直接クライアントへのＤＮＳ応答を行うため、ＤＮＳ応答の高速化を図ることができる。
【特許文献１】特開平１１−３４０９８４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】  ところで、外部ネットワークには、例えばセキュアなコンテンツを有しアクセスが制限されているセキュアホストと、アクセスに関する制限がない一般ホストとの２種類のホストが設置されることがある。また、同様に、内部ネットワークには、あらかじめ認証を受けておりセキュアホストおよび一般ホストの双方に接続できるセキュア端末と、一般ホストのみに接続できる一般端末との２種類の端末が設置されることがある。【０００８】  このような場合、一般端末からセキュアホストへのアクセスは許可されていないため、一般端末からセキュアホストへの接続要求は、ネットワークの無駄なトラフィックの増加につながる。このようなトラフィックの増加を防ぐためには、内部ネットワークと外部ネットワークの境界に設置されたルータがアクセス制御を行うことが考えられるが、一般ホストへのアクセスとセキュアホストへのアクセスを判別するために、ルータが全セキュアホストのリストを保持する必要がある。【０００９】  しかしながら、ルータが全セキュアホストのリストを保持すると、メモリなどのリソースを大量に消費してしまうという問題がある。また、セキュアホストのホスト名やＩＰアドレスなどは変更される可能性があるため、ネットワーク構成が変更される度にリストを手作業で更新する必要が生じる。このように、ルータに全セキュアホストのリストを保持させるのは効率が悪く、現実的ではない。【００１０】  本発明の目的は、メモリなどのリソースの消費を削減し、効率良くセキュアホストへのアクセスを制御することができるアクセス制御装置およびアクセス制御方法を提供することである。
【課題を解決するための手段】
【００１１】  本発明に係るアクセス制御装置は、第１のネットワーク内のホストのうち、第２のネットワーク内の端末からのアクセスが制限されるホストまたはアクセスが制限されないホストを示すホストリストを記憶する記憶手段と、宛先が前記第１のネットワーク内のホストに設定されたパケットを前記第２のネットワーク内の端末から受信する受信手段と、受信されたパケットの宛先のホストが前記ホストリストに登録されている場合に、前記パケットを前記ホストへ送信するかまたは前記パケットを廃棄するかを制御する制御手段と、受信されたパケットの宛先のホストが前記ホストリストに登録されていない場合に、前記ホストに対する前記端末からのアクセスが許可されるか否かの情報を外部から取得して前記ホストリストを更新する更新手段と、を有する構成を採る。【００１２】  本発明に係るアクセス制御方法は、第１のネットワーク内のホストのうち、第２のネットワーク内の端末からのアクセスが制限されるホストまたはアクセスが制限されないホストを示すホストリストが記憶されたアクセス制御装置におけるアクセス制御方法であって、宛先が前記第１のネットワーク内のホストに設定されたパケットを前記第２のネットワーク内の端末から受信するステップと、受信されたパケットの宛先のホストが前記ホストリストに登録されている場合に、前記パケットを前記ホストへ送信するかまたは前記パケットを廃棄するかを制御するステップと、受信されたパケットの宛先のホストが前記ホストリストに登録されていない場合に、前記ホストに対する前記端末からのアクセスが許可されるか否かの情報を外部から取得して前記ホストリストを更新するステップと、を有するようにした。【００１３】  これらによれば、受信パケットの宛先がホストリストに登録されていれば、パケットの送信・廃棄を制御する一方、受信パケットの宛先がホストリストに登録されていなければ、宛先のホストの情報を外部から取得してホストリストを更新する。このため、必要な時に必要な宛先のホストのみに関するホストリストが作成されるので、全セキュアホストのリストを保持する必要がなく、メモリなどのリソースの消費を削減し、効率良くセキュアホストへのアクセスを制御することができる。
【発明の効果】
【００１４】  本発明によれば、メモリなどのリソースの消費を削減し、効率良くセキュアホストへのアクセスを制御することができる。
【図面の簡単な説明】
【００１５】
【図１】従来のネットワーク構成の一例を示す図
【図２】本発明の一実施の形態に係るネットワーク構成の一例を示す概念図
【図３】一実施の形態に係るゲートウェイ装置の要部構成を示すブロック図
【図４】一実施の形態に係る端末リストの一例を示す図
【図５Ａ】一実施の形態に係る一般ホストのホストリストの一例を示す図
【図５Ｂ】一実施の形態に係るセキュアホストのホストリストの一例を示す図
【図６】一実施の形態に係るアクセス制御の動作を示すフロー図
【図７】一実施の形態に係るアクセス制御の具体例を示すシーケンス図
【図８】一実施の形態に係るアクセス制御の他の具体例を示すシーケンス図
【図９】一実施の形態に係るアクセス制御のさらに他の具体例を示すシーケンス図
【図１０】一実施の形態に係る他のアクセス制御の動作を示すフロー図
【図１１】一実施の形態に係るネットワーク構成の他の一例を示す概念図
【発明を実施するための最良の形態】
【００１６】  以下、本発明の一実施の形態について、図面を参照して詳細に説明する。【００１７】  図２は、本発明の一実施の形態におけるネットワーク構成の一例を示す概念図である。同図に示すネットワークは、主に例えばＬＡＮなどの内部ネットワーク１００、例えばインターネットなどの公衆網を含む外部ネットワーク２００、および内部ネットワーク１００と外部ネットワーク２００の境界に設置されるゲートウェイ装置３００から構成されている。【００１８】  内部ネットワーク１００は、あらかじめ認証を受けており外部ネットワーク２００内のすべてのホストにアクセス可能なセキュア端末１００ａ（ＩＰアドレス「１９２．１６８．１．ａａａ」）と、外部ネットワーク２００内のアクセス制限がされていない一般ホストのみにアクセス可能な一般端末１００ｂ（ＩＰアドレス「１９２．１６８．１．ｂｂｂ」）および一般端末１００ｃ（ＩＰアドレス「１９２．１６８．１．ｃｃｃ」）とを有している。【００１９】  外部ネットワーク２００は、内部ネットワーク１００内の端末の認証を行う認証サーバ２００ａ（ＩＰアドレス「ｘｘｘ．ｘｘｘ．ｘｘｘ．１００」）と、内部ネットワーク１００内のセキュア端末のみからアクセス可能なセキュアホストに関する名前解決を行う専用ＤＮＳサーバ２００ｂ（ＩＰアドレス「ｘｘｘ．ｘｘｘ．ｘｘｘ．１」）と、内部ネットワーク１００内のセキュア端末のみからアクセス可能なドメイン名「ｗｗｗ．ｘｘ１．ｎｅ．ｊｐ」のセキュアホスト２００ｃ（ＩＰアドレス「ｘｘｘ．ｘｘｘ．ｘｘｘ．２」）と、内部ネットワーク１００内のセキュア端末および一般端末双方からアクセス可能な一般ホストに関する名前解決を行うＤＮＳサーバ２００ｄ（ＩＰアドレス「ｘｘｘ．ｘｘｘ．ｘｘｘ．３」）と、内部ネットワーク１００内のセキュア端末および一般端末双方からアクセス可能なドメイン名「ｗｗｗ．ｙｙ２．ｎｅ．ｊｐ」の一般ホスト２００ｅ（ＩＰアドレス「ｘｘｘ．ｘｘｘ．ｘｘｘ．４」）とを有している。【００２０】  これらの内部ネットワーク１００内の端末１００ａ〜１００ｃおよび外部ネットワーク２００内のサーバ／ホスト２００ａ〜２００ｅは、ゲートウェイ装置３００を介して接続されている。【００２１】  図３は、本実施の形態に係るゲートウェイ装置３００の要部構成を示すブロック図である。同図に示すように、ゲートウェイ装置３００は、送受信部３０１、アクセス制御部３０２、端末情報記憶部３０３、ホスト情報記憶部３０４、ホストリスト更新部３０５、および送受信部３０６を有している。また、ホストリスト更新部３０５は、ＤＮＳ逆引き要求送信部３０５１、ＤＮＳ逆引き応答受信部３０５２、および書込制御部３０５３を有している。【００２２】  送受信部３０１は、内部ネットワーク１００と接続されており、内部ネットワーク１００内の端末１００ａ〜１００ｃとの間でパケットを送受信し、パケットのフレームチェックやフレーム組立などの所定のパケット処理を行う。【００２３】  アクセス制御部３０２は、内部ネットワーク１００から外部ネットワーク２００へのアクセスを制御する。このとき、アクセス制御部３０２は、パケットの宛先ＩＰアドレスおよび送信元ＩＰアドレスが、セキ��アな端末またはホストのＩＰアドレスであるか、一般の端末またはホストのＩＰアドレスであるかに応じてアクセス制御を行う。アクセス制御部３０２によるアクセス制御については、後に詳述する。【００２４】  端末情報記憶部３０３は、例えば図４に示すような端末リストを保持している。すなわち、端末情報記憶部３０３は、内部ネットワーク１００内の各端末がセキュア端末であるか一般端末であるかを記憶している。【００２５】  ホスト情報記憶部３０４は、ホストリスト更新部３０５によって更新される、例えば図５Ａに示すようなホストリストを記憶する。すなわち、ホスト情報記憶部３０４は、外部ネットワーク２００内の一般ホストのドメイン名およびＩＰアドレスを記憶する。なお、ホスト情報記憶部３０４は、例えば図５Ｂに示すように、外部ネットワーク２００内のセキュアホストのドメイン名およびＩＰアドレスを記憶するようにしても良い。以下の説明においては、特に断らない限り、ホスト情報記憶部３０４は、一般ホストのホストリストを記憶するものとする。【００２６】  ホストリスト更新部３０５は、ホスト情報記憶部３０４のホストリストに未登録のホストがセキュアホストであるか一般ホストであるかの問い合わせを行い、問い合わせの結果からホストリストを更新する。【００２７】  具体的には、ＤＮＳ逆引き要求送信部３０５１は、内部ネットワーク１００から送信されたパケットの宛先ＩＰアドレスがホスト情報記憶部３０４のホストリストに登録されていないものである場合、アクセス制御部３０２の指示に従って、この宛先ＩＰアドレスのホストがセキュアホストであるか否かを問い合わせるＤＮＳ逆引き要求を送受信部３０６を介して送信する。【００２８】  ＤＮＳ逆引き応答受信部３０５２は、ＤＮＳ逆引き要求に対する応答であるＤＮＳ逆引き応答を送受信部３０６を介して受信し、問い合わせた宛先ＩＰアドレスがセキュアホストであるか一般ホストであるかを書込制御部３０５３へ通知する。【００２９】  書込制御部３０５３は、問い合わせた宛先ＩＰアドレスが一般ホストのＩＰアドレスである場合に、この宛先ＩＰアドレスおよび対応するドメイン名をホスト情報記憶部３０４のホストリストに書き込む。【００３０】  送受信部３０６は、外部ネットワーク２００と接続されており、外部ネットワーク２００内のサーバ／ホスト２００ａ〜２００ｅとの間でパケットを送受信し、パケットのフレームチェックやフレーム組立などの所定のパケット処理を行う。【００３１】  次いで、アクセス制御部３０２によるアクセス制御について、図６に示すフロー図を参照しながら説明する。ここでは、内部ネットワーク１００内の端末から外部ネットワーク２００内のホストへのアクセス制御について説明する。【００３２】  まず、内部ネットワーク１００内の端末から送信されたパケットがゲートウェイ装置３００の送受信部３０１によって受信されると、このパケットは送受信部３０１によって保持され、パケットの宛先ＩＰアドレスおよび送信元ＩＰアドレスがアクセス制御部３０２へ通知される。そして、アクセス制御部３０２によって、パケットの送信元ＩＰアドレスが端末情報記憶部３０３の端末リストにおいて検索され、パケットの送信元の��末がセキュア端末であるか否かが判定される（ＳＴ１０００）。この結果、パケットの送信元がセキュア端末である場合は、外部ネットワーク２００内のセキュアホストおよび一般ホスト双方へのアクセスが許可されているため、アクセスを制限する必要がなく、宛先ＩＰアドレスのホストへ送受信部３０６を介してパケットが送信される（ＳＴ１７００）。【００３３】  また、パケットの送信元が一般端末である場合は、パケットの宛先ＩＰアドレスがホスト情報記憶部３０４のホストリストと照合され、パケットの宛先が一般ホストであるか否かが判定される（ＳＴ１１００）。すなわち、パケットの宛先ＩＰアドレスが既にホストリストに登録されていれば、このパケットの宛先は一般ホストであると判定される。この場合は、内部ネットワーク１００内の一般端末から外部ネットワーク２００内の一般ホストへのアクセスは許可されているため、アクセスは制限されず、宛先ＩＰアドレスの一般ホストへ送受信部３０６を介してパケットが送信される（ＳＴ１７００）。【００３４】  一方、パケットの宛先ＩＰアドレスがホストリストに未登録である場合は、この宛先ＩＰアドレスのホストがセキュアホストであるか一般ホストであるか不明であるため、宛先ＩＰアドレスのＤＮＳ逆引き要求を送信するようにＤＮＳ逆引き要求送信部３０５１へ指示が出される。この指示に応じて、ＤＮＳ逆引き要求送信部３０５１によって、パケットの宛先ＩＰアドレスがセキュアホストとして登録されているか否かを問い合わせるＤＮＳ逆引き要求が送受信部３０６を介して外部ネットワーク２００内の専用ＤＮＳサーバ２００ｂへ送信される（ＳＴ１２００）。また、ＤＮＳ逆引き要求送信部３０５１によって、問い合わせたＩＰアドレスが書込制御部３０５３へ通知される。【００３５】  送信されたＤＮＳ逆引き要求は、専用ＤＮＳサーバ２００ｂによって受信され、ＤＮＳ逆引き要求に含まれるＩＰアドレスのホストが専用ＤＮＳサーバ２００ｂに登録されているか否かを示すＤＮＳ逆引き応答が送信される。ここで、専用ＤＮＳサーバ２００ｂは、セキュアホストに関する名前解決を行うものであるため、ＤＮＳ逆引き要求のＩＰアドレスが専用ＤＮＳサーバ２００ｂに登録されていれば、このＩＰアドレスのホストはセキュアホストであると判断される。また、ＤＮＳ逆引き要求のＩＰアドレスが専用ＤＮＳサーバ２００ｂに登録されていなければ、このＩＰアドレスのホストは一般ホストであると判断される。【００３６】  なお、本実施の形態においては、外部ネットワーク２００に専用ＤＮＳサーバ２００ｂおよびＤＮＳサーバ２００ｄが設けられるものとしたが、専用ＤＮＳサーバとＤＮＳサーバの機能を一体化したサーバを設けるようにしても良い。この場合は、サーバに登録された外部ネットワーク２００内のホストそれぞれがセキュアホストであるか一般ホストであるかの情報が保持されている。そして、ＤＮＳ逆引き応答においては、例えばＶＬＡＮ（Ｖｉｒｔｕａｌ  ＬＡＮ）タグＩＤやインターネットプロトコルのＴＯＳ（Ｔｙｐｅ  Ｏｆ  Ｓｅｒｖｉｃｅ）フィールドなどにホストの種別がマッピングされている。また、ホストの種別の識別に使用されるレイヤは任意のレイヤで良い。【００３７】  このようなＤＮＳの逆引きの結果、ＤＮＳ逆引き要求に含まれるＩＰアドレスが専用ＤＮＳサーバに登録されていれば（すなわち、セキュアホストのＩＰアドレスであれば）ＤＮＳ逆引き応答としてヒットが送信され、ＩＰアドレスが専用ＤＮＳサーバに登録されていなければ（すなわち、一般ホストのＩＰアドレスであれば）ＤＮＳ逆引き応答としてエラーが送信される。ＤＮＳ逆引き応答は、ゲートウェイ装置３００へ送信され、送受信部３０６を介してＤＮＳ逆引き応答受信部３０５２によって受信される（ＳＴ１３００）。【００３８】  そして、ＤＮＳ逆引き応答受信部３０５２によって、ＤＮＳ逆引き応答がエラーであるか否かが判定される（ＳＴ１４００）。換言すれば、問い合わせたＩＰアドレスがセキュアホストであるか否かが判定される。この判定の結果、ＤＮＳ逆引き応答がヒットであれば、問い合わせたＩＰアドレスはセキュアホストのＩＰアドレスであることを意味しており、一般端末からのアクセスは許可されないため、アクセス制御部３０２によって、送受信部３０１に保持されたパケットが廃棄され、送受信部３０１を介してパケットの送信元へアクセスが拒否された旨のアクセス拒否情報が送信される（ＳＴ１５００）。【００３９】  また、ＳＴ１４００の判定の結果、ＤＮＳ逆引き応答がエラーであれば、問い合わせたＩＰアドレスは一般ホストのＩＰアドレスであることを意味しており、その旨が書込制御部３０５３へ通知される。そして、書込制御部３０５３によって、ＤＮＳ逆引き要求送信部３０５１から通知されたＩＰアドレスがホスト情報記憶部３０４に記憶された一般ホストのホストリストに新たに追加される。これにより、ホスト情報記憶部３０４のホストリストが更新される（ＳＴ１６００）。さらに、パケットの送信先が一般ホストであるため、一般端末からのアクセスが許可されており、送受信部３０１から送受信部３０６を介してパケットが送信される（ＳＴ１７００）。【００４０】  このように、内部ネットワーク１００内の端末から外部ネットワーク２００内のホストへパケットが送信される場合、ゲートウェイ装置３００においてパケットの送信先のホストの種別が不明であれば、外部ネットワーク２００内の専用ＤＮＳサーバ２００ｂに対してＤＮＳ逆引きを実施することにより、必要に応じてホストリストを更新するとともにパケットの送信を制御する。これにより、ゲートウェイ装置３００は、すべてのセキュアホスト（または一般ホスト）を記憶しておく必要がなく、必要なホストの情報のみが必要な時に得られ、メモリなどのリソースの消費を削減することができる。【００４１】  次いで、内部ネットワーク１００内の一般端末１００ｂから外部ネットワーク２００内のホストへのアクセス制御について、具体例を挙げながら説明する。【００４２】  まず、一般端末１００ｂからのパケットの宛先ＩＰアドレスがゲートウェイ装置３００のホスト情報記憶部３０４に記憶されておらず、この宛先ＩＰアドレスのホストがセキュアホストである場合の例について、図７に示すシーケンス図を参照しながら説明する。【００４３】  まず、一般端末１００ｂからゲートウェイ装置３００の送受信部３０１へパケットが送信される（４００）。そして、���受信部３０１からこのパケットの宛先ＩＰアドレスおよび送信元ＩＰアドレスを含む認証可否情報がアクセス制御部３０２へ通知される（４０１）。認証可否情報を受けたアクセス制御部３０２は、端末情報記憶部３０３に記憶された端末リストを参照して、パケットの送信元ＩＰアドレスが一般端末のＩＰアドレスであると判断し、その後、ホスト情報記憶部３０４に記憶されたホストリストにパケットの宛先ＩＰアドレスが登録されているか否かを判定する。ここでは、パケットの宛先ＩＰアドレスは、ホストリストに登録されておらず、この宛先ＩＰアドレスがセキュアホストのＩＰアドレスであるか一般ホストのＩＰアドレスであるかは不明である。【００４４】  そこで、アクセス制御部３０２は、ＤＮＳ逆引き要求通知をホストリスト更新部３０５内のＤＮＳ逆引き要求送信部３０５１へ出力する（４０２）。そして、ＤＮＳ逆引き要求送信部３０５１から宛先ＩＰアドレスのＤＮＳ逆引き要求が送受信部３０６へ出力され（４０３）、さらにＤＮＳ逆引き要求が専用ＤＮＳサーバ２００ｂへ送信される（４０４）。専用ＤＮＳサーバ２００ｂでは、ＤＮＳ逆引き要求に含まれるＩＰアドレスが登録されているか否かが判定されるが、ここでは、このＩＰアドレスがセキュアホストのＩＰアドレスであるため、専用ＤＮＳサーバ２００ｂに登録されており、ＤＮＳ逆引き応答としてヒットが送受信部３０６へ返送される（４０５）。【００４５】  そして、ＤＮＳ逆引き応答は、送受信部３０６からホストリスト更新部３０５内のＤＮＳ逆引き応答受信部３０５２へ転送され（４０６）、ＤＮＳ逆引き応答受信部３０５２によって、ＤＮＳ逆引き応答がヒットであることが検出されると、その旨がアクセス制御部３０２へ通知される（４０７）。そして、ＤＮＳ逆引き応答がヒットであるため、パケットの宛先ＩＰアドレスはセキュアホストのＩＰアドレスであり、一般端末からのパケット送信は許可されていないことがわかる。このため、アクセス制御部３０２から送受信部３０１へパケット廃棄の指示が出される（４０８）。この指示に従って送受信部３０１によってパケットが廃棄されると、パケットの宛先ＩＰアドレスへのアクセスが拒否された旨のアクセス拒否情報が一般端末１００ｂへ送信される（４０９）。【００４６】  このように、一般端末１００ｂからのパケットの宛先ＩＰアドレスがゲートウェイ装置３００のホスト情報記憶部３０４に記憶されておらず、この宛先ＩＰアドレスのホストがセキュアホストである場合には、一般端末１００ｂからのパケットは廃棄され、セキュアホストへのアクセスが拒否される。【００４７】  次に、一般端末１００ｂからのパケットの宛先ＩＰアドレスがゲートウェイ装置３００のホスト情報記憶部３０４に記憶されておらず、この宛先ＩＰアドレスのホストが一般ホストである場合の例について、図８に示すシーケンス図を参照しながら説明する。なお、図８において、図７と同じ部分には同じ符号を付し、詳しい説明を省略する。【００４８】  まず、図７に示した例と同様に、一般端末１００ｂからのパケットの宛先ＩＰアドレスがホスト情報記憶部３０４のホストリストに登録されていないため、ＤＮＳ逆引き要求が専用ＤＮＳサーバ２００ｂへ送信される（４００〜４０４）。専用ＤＮＳサーバ２００ｂでは、ＤＮＳ逆引き要求に含まれるＩＰアドレスが登録されているか否かが判定されるが、ここでは、このＩＰアドレスが一般ホストのＩＰアドレスであるため、専用ＤＮＳサーバ２００ｂに登録されておらず、ＤＮＳ逆引き応答としてエラーが送受信部３０６へ返送される（５００）。【００４９】  そして、ＤＮＳ逆引き応答は、送受信部３０６からホストリスト更新部３０５内のＤＮＳ逆引き応答受信部３０５２へ転送され（５０１）、ＤＮＳ逆引き応答受信部３０５２によって、ＤＮＳ逆引き応答がエラーであることが検出されると、その旨がアクセス制御部３０２へ通知される（５０２）。また、ＤＮＳ逆引き応答がエラーである場合は、ＤＮＳ逆引き要求に含まれていたＩＰアドレスが一般ホストのＩＰアドレスであることになるため、その旨がＤＮＳ逆引き応答受信部３０５２から書込制御部３０５３へ通知され、書込制御部３０５３によってホスト情報記憶部３０４に記憶されているホストリストに上記のＩＰアドレスが登録される。【００５０】  さらに、ＤＮＳ逆引き応答がエラーであるため、パケットの宛先ＩＰアドレスは一般ホストのＩＰアドレスであり、一般端末からのパケットの送信が許可されていることがわかる。このため、アクセス制御部３０２から送受信部３０１へパケット送信の指示が出される（５０３）。この指示に従って送受信部３０１から送受信部３０６へパケットが転送され（５０４）、送受信部３０６から外部ネットワーク２００内の宛先ＩＰアドレスのホストへパケットが送信される（５０５）。【００５１】  このように、一般端末１００ｂからのパケットの宛先ＩＰアドレスがゲートウェイ装置３００のホスト情報記憶部３０４に記憶されておらず、この宛先ＩＰアドレスのホストが一般ホストである場合には、一般端末１００ｂからのパケットは宛先ＩＰアドレスの一般ホストへ送信される。【００５２】  次に、一般端末１００ｂからのパケットの宛先ＩＰアドレスがゲートウェイ装置３００のホスト情報記憶部３０４に記憶されている場合の例について、図９に示すシーケンス図を参照しながら説明する。なお、図９において、図７および図８と同じ部分には同じ符号を付し、詳しい説明を省略する。【００５３】  まず、図７に示した例と同様に、一般端末１００ｂからのパケットがゲートウェイ装置３００によって受信されると（４００、４０１）、アクセス制御部３０２は、ホスト情報記憶部３０４に記憶されたホストリストにパケットの宛先ＩＰアドレスが登録されているか否かを判定する。ここでは、パケットの宛先ＩＰアドレスは、ホストリストに登録されており、この宛先ＩＰアドレスが一般ホストのＩＰアドレスであることが判明する。したがって、この宛先ＩＰアドレスのホストへは一般端末からのパケットの送信が許可されていることがわかり、アクセス制御部３０２から送受信部３０１へパケット送信の指示が出される（５０３）。この指示に従って送受信部３０１から送受信部３０６へパケットが転送され（５０４）、送受信部３０６から外部ネットワーク２００内の宛先ＩＰアドレスのホストへパケットが送信される（５０５）。【００５４】  このように、一般端末１００ｂからのパケットの宛先ＩＰアドレスがゲートウェイ装置３００のホスト情報記憶部３０４に記憶されている場合には、一般端末１００ｂからのパケットは宛先ＩＰアドレスの一般ホストへ送信される。【００５５】  また、本実施の形態においては、ホスト情報記憶部３０４が一般ホストのホストリストを記憶しているため、図９のように一般端末１００ｂから一般ホストへのアクセスが行われる場合のアクセス速度を向上することができる。すなわち、パケットの送信が許可される端末−ホストの組み合わせとしては、セキュア端末−セキュアホスト、セキュア端末−一般ホスト、および一般端末−一般ホストの３通りがあるが、これらのうち、端末がセキュア端末である組み合わせについては、アクセス制御部３０２によって端末情報記憶部３０３の端末リストが参照されることにより、ホストリストに関わりなくアクセスが許可される。一方、一般端末−一般ホストの組み合わせについては、ホスト情報記憶部３０４にセキュアホストのホストリストが保持されている場合は、宛先ＩＰアドレスがホストリストに登録されていないため、必ずＤＮＳ逆引きを行う必要が生じ、パケット送信の度に専用ＤＮＳサーバ２００ｂへＤＮＳ逆引き要求が送信される。これに対して、本実施の形態のように、ホスト情報記憶部３０４に一般ホストのホストリストが保持されている場合は、送信先の一般ホストへのアクセスが過去に行われていれば、宛先ＩＰアドレスがホストリストに登録されているため、ＤＮＳ逆引きを行うことなくアクセスが許可される。【００５６】  以上のように、本実施の形態によれば、ゲートウェイ装置においてホストの種別が登録されていない場合には、パケットの宛先ＩＰアドレスからＤＮＳ逆引きを行って外部ネットワークのＤＮＳサーバに宛先ＩＰアドレスのホストがセキュアホストとして登録されているか否かを問い合わせる。そして、問い合わせ結果から宛先ＩＰアドレスのホストをセキュアホストまたは一般ホストとしてゲートウェイ装置に記憶するため、ゲートウェイ装置においてパケット送信対象のホストのみに関するホストリストが必要な時に更新され、メモリなどのリソースの消費を削減し、効率良くセキュアホストへのアクセスを制御することができる。【００５７】  なお、上記実施の形態においては、ホスト情報記憶部３０４が一般ホストのホストリストを記憶する場合について説明したが、上述したようにホスト情報記憶部３０４がセキュアホストのホストリストを記憶しても良い。一般に、外部ネットワーク２００内においては、セキュアホストよりも一般ホストの方が多く設置されると考えられるため、セキュアホストのホストリストを記憶することにより、ホストリストの情報量をより小さくすることができ、メモリなどのリソースの消費をさらに削減することができる。【００５８】  以下、ホスト情報記憶部３０４がセキュアホストのホストリストを記憶する場合のアクセス制御の動作について、図１０に示すフロー図を参照しながら説明する。図１０において、図６と同じ部分には同じ符号を付し、詳しい説明を省略する。【００５９】  まず、内部ネットワーク１００内の端末から送信されたパケットがゲートウェイ装置３００の送受信部３０１によって受信されると、このパケ��トはアクセス制御部３０２へ入力される。そして、アクセス制御部３０２によって、パケットの送信元ＩＰアドレスが端末情報記憶部３０３の端末リストにおいて検索され、パケットの送信元の端末がセキュア端末であるか否かが判定される（ＳＴ１０００）。この結果、パケットの送信元がセキュア端末である場合は、宛先ＩＰアドレスのホストへ送受信部３０６を介してパケットが送信される（ＳＴ１７００）。【００６０】  また、パケットの送信元が一般端末である場合は、パケットの宛先ＩＰアドレスがホスト情報記憶部３０４のホストリストと照合され、パケットの宛先がセキュアホストであるか否かが判定される（ＳＴ２０００）。すなわち、パケットの宛先ＩＰアドレスが既にホストリストに登録されていれば、このパケットの宛先はセキュアホストであると判定される。この場合は、内部ネットワーク１００内の一般端末から外部ネットワーク２００内のセキュアホストへのアクセスは許可されていないため、アクセス制御部３０２によって、送受信部３０１に保持されたパケットが廃棄され、送受信部３０１を介してパケットの送信元へアクセスが拒否された旨のアクセス拒否情報が送信される（ＳＴ１５００）。【００６１】  一方、パケットの宛先ＩＰアドレスがホストリストに未登録である場合は、この宛先ＩＰアドレスのホストがセキュアホストであるか一般ホストであるか不明であるため、宛先ＩＰアドレスのＤＮＳ逆引き要求を送信するようにＤＮＳ逆引き要求送信部３０５１へ指示が出される。この指示に応じて、ＤＮＳ逆引き要求送信部３０５１からＤＮＳ逆引き要求が送信され、このＤＮＳ逆引き要求に対するＤＮＳ逆引き応答が専用ＤＮＳサーバ２００ｂからＤＮＳ逆引き応答受信部３０５２へ返送される（ＳＴ１２００、ＳＴ１３００）。【００６２】  そして、ＤＮＳ逆引き応答受信部３０５２によって、ＤＮＳ逆引き応答がエラーであるか否かが判定され（ＳＴ１４００）、ＤＮＳ逆引き応答がヒットであれば、問い合わせたＩＰアドレスはセキュアホストのＩＰアドレスであることを意味しており、その旨が書込制御部３０５３へ通知される。そして、書込制御部３０５３によって、ＤＮＳ逆引き要求送信部３０５１から通知されたＩＰアドレスがホスト情報記憶部３０４に記憶されたセキュアホストのホストリストに新たに追加される。これにより、ホスト情報記憶部３０４のホストリストが更新される（ＳＴ２１００）。さらに、一般端末からセキュアホストへのアクセスは許可されないため、アクセス制御部３０２によって、送受信部３０１に保持されたパケットが廃棄され、送受信部３０１を介してパケットの送信元へアクセスが拒否された旨のアクセス拒否情報が送信される（ＳＴ１５００）。【００６３】  また、ＳＴ１４００の判定の結果、ＤＮＳ逆引き応答がエラーであれば、問い合わせたＩＰアドレスは一般ホストのＩＰアドレスであることを意味しており、一般端末からのアクセスが許可されるため、送受信部３０１から送受信部３０６を介してパケットが送信される（ＳＴ１７００）。【００６４】  このように、ホスト情報記憶部３０４がセキュアホストのホストリストを記憶している場合でも、外部ネットワーク２００内の専用ＤＮＳサーバ２００ｂに対���てＤＮＳ逆引きを実施することにより、必要に応じてホストリストを更新するとともにパケットの送信を制御する。これにより、ゲートウェイ装置３００は、すべてのセキュアホストを記憶しておく必要がなく、必要なホストの情報のみが必要な時に得られ、メモリなどのリソースの消費を削減することができる。【００６５】  さらに、上記実施の形態においては、図２に示すネットワーク構成を想定したが、例えば図１１に示すようなネットワーク構成においても本発明を適用することができる。すなわち、図１１に示すように、外部ネットワーク６００内にさらに専用網６２０が形成されており、専用網６２０は、ネットワーク装置６３０を介してＩＰネットワーク６１０に接続されているような場合でも、本発明を適用することができる。【００６６】  図１１に示すような場合は、専用網６２０内の専用ＤＮＳサーバ６２０ｂに対してゲートウェイ装置３００からＤＮＳ逆引き要求が送信され、セキュアホスト６２０ｃへのアクセスが制御される。また、ＩＰネットワーク６１０に直接接続されているセキュアホスト６５０および一般ホスト６６０については、例えばＤＮＳサーバ６４０に対してゲートウェイ装置３００からＤＮＳ逆引き要求が送信されることにより、アクセス制御が行われる。つまり、本発明においては、任意のネットワーク上に設置されるセキュアホストに対するアクセス制御が可能である。【００６７】  また、上記実施の形態においては、定期的にホスト情報記憶部３０４に記憶されたホストリストを消去するようにしても良い。こうすることにより、外部ネットワーク２００内のネットワーク構成が変更され、セキュアホストおよび一般ホストのＩＰアドレスが変わる場合でも、常に正確なホストリストを保持しておくことができるとともに、メモリの消費を確実に削減することができる。【００６８】  さらに、定期的にホスト情報記憶部３０４に記憶されたホストリストを専用ＤＮＳサーバ２００ｂに登録されているセキュアホストのリストと照合し、ホストリストが正確に保たれているか否かを確認するようにしても良い。【００６９】  本発明の第１の態様に係るアクセス制御装置は、第１のネットワーク内のホストのうち、第２のネットワーク内の端末からのアクセスが制限されるホストまたはアクセスが制限されないホストを示すホストリストを記憶する記憶手段と、宛先が前記第１のネットワーク内のホストに設定されたパケットを前記第２のネットワーク内の端末から受信する受信手段と、受信されたパケットの宛先のホストが前記ホストリストに登録されている場合に、前記パケットを前記ホストへ送信するかまたは前記パケットを廃棄するかを制御する制御手段と、受信されたパケットの宛先のホストが前記ホストリストに登録されていない場合に、前記ホストに対する前記端末からのアクセスが許可されるか否かの情報を外部から取得して前記ホストリストを更新する更新手段と、を有する構成を採る。【００７０】  この構成によれば、受信パケットの宛先がホストリストに登録されていれば、パケットの送信・廃棄を制御する一方、受信パケットの宛先がホストリストに登録されていなければ、宛先のホストの情報を外部から取得してホストリストを更新する。このた���、必要な時に必要な宛先のホストのみに関するホストリストが作成され、メモリなどのリソースの消費を削減し、効率良くセキュアホストへのアクセスを制御することができる。【００７１】  本発明の第２の態様に係るアクセス制御装置は、上記第１の態様において、前記更新手段は、前記パケットの宛先アドレスがアクセスが制限されるホストのアドレスとして前記第１のネットワーク内のサーバに登録されているか否かを問い合わせるＤＮＳ逆引き要求送信部と、前記宛先アドレスが前記サーバに登録されているか否かを示すＤＮＳ逆引き応答を受信するＤＮＳ逆引き応答受信部と、前記ＤＮＳ逆引き応答に応じて前記宛先アドレスの前記ホストリストへの書き込みを制御する書込制御部と、を有する構成を採る。【００７２】  この構成によれば、第１のネットワーク内のサーバに対して宛先アドレスのＤＮＳ逆引きを行い、この結果に応じて宛先アドレスのホストリストへの書き込みを制御するため、宛先アドレスのホストがセキュアホストであるか一般ホストであるかを確実に確認して、正確なホストリストの更新を行うことができる。【００７３】  本発明の第３の態様に係るアクセス制御装置は、上記第１の態様において、前記制御手段は、受信されたパケットの宛先のホストが前記ホストリストに登録されていない場合に、前記更新手段によって外部から取得された情報に応じて前記パケットを前記ホストへ送信するかまたは前記パケットを廃棄するかを決定する構成を採る。【００７４】  この構成によれば、外部から得られた、宛先のホストに対するアクセスが制限されているか否かの情報に応じてパケット送信の有無を制御するため、ホストリストに登録されていないホストに対するアクセス制御を正確に実行することができる。【００７５】  本発明の第４の態様に係るアクセス制御装置は、上記第１の態様において、前記第２のネットワーク内の端末が前記第１のネットワーク内のすべてのホストに対するアクセスが許可されるセキュア端末であるか前記第１のネットワーク内の一部のホストのみに対するアクセスが許可される一般端末であるかを記憶する第２の記憶手段、をさらに有し、前記制御手段は、受信されたパケットの送信元が前記セキュア端末である場合に、前記パケットを前記ホストへ送信させる構成を採る。【００７６】  この構成によれば、パケットの送信元がセキュア端末である場合には、このパケットをホストへ送信するため、不要なアクセス制御の処理を排除して、アクセス制御に要する時間の短縮を図ることができる。【００７７】  本発明の第５の態様に係るアクセス制御装置は、上記第１の態様において、前記記憶手段は、前記ホストリストを定期的に消去する構成を採る。【００７８】  この構成によれば、ホストリストを定期的に消去するため、第１のネットワークのネットワーク構成が変更される場合でも、常に正確なホストリストを保持しておくことができるとともに、メモリの消費を確実に削減することができる。【００７９】  本発明の第６の態様に係るアクセス制御方法は、第１のネットワーク内のホストのうち、第２のネットワーク内の端末からのアクセスが制限されるホストまたはアクセスが制限されないホストを示すホストリストが記憶されたアクセス���御装置におけるアクセス制御方法であって、宛先が前記第１のネットワーク内のホストに設定されたパケットを前記第２のネットワーク内の端末から受信するステップと、受信されたパケットの宛先のホストが前記ホストリストに登録されている場合に、前記パケットを前記ホストへ送信するかまたは前記パケットを廃棄するかを制御するステップと、受信されたパケットの宛先のホストが前記ホストリストに登録されていない場合に、前記ホストに対する前記端末からのアクセスが許可されるか否かの情報を外部から取得して前記ホストリストを更新するステップと、を有するようにした。【００８０】  この方法によれば、受信パケットの宛先がホストリストに登録されていれば、パケットの送信・廃棄を制御する一方、受信パケットの宛先がホストリストに登録されていなければ、宛先のホストの情報を外部から取得してホストリストを更新する。このため、必要な時に必要な宛先のホストのみに関するホストリストが作成され、メモリなどのリソースの消費を削減し、効率良くセキュアホストへのアクセスを制御することができる。【００８１】  本明細書は、２００４年１２月２２日出願の特願２００４−３７２２３０に基づく。この内容はすべてここに含めておく。
【産業上の利用可能性】
【００８２】  本発明に係るアクセス制御装置およびアクセス制御方法は、メモリなどのリソースの消費を削減し、効率良くセキュアホストへのアクセスを制御することができ、例えば外部ネットワーク内のホストの種別に応じて内部ネットワーク内の端末からのアクセスが制限されるネットワークにおけるアクセス制御装置およびアクセス制御方法などとして有用である。
【図１】
2006067951.tif 000002
【図２】
2006067951.tif 000003
【図３】
2006067951.tif 000004
【図４】
2006067951.tif 000005
【図５Ａ】
2006067951.tif 000006
【図５Ｂ】
2006067951.tif 000007
【図６】
2006067951.tif 000008
【図７】
2006067951.tif 000009
【図８】
2006067951.tif 000010
【図９】
2006067951.tif 000011
【図１０】
2006067951.tif 000012
【図１１】
2006067951.tif 000013
【手続補正書】
【提出日】平成19年8月30日(2007.8.30)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
第１のネットワーク内のホストのうち、第２のネットワーク内の端末からのアクセスが制限されるホストまたはアクセスが制限されないホストを示すホストリストを記憶する記憶手段と、
宛先が前記第１のネットワーク内のホストに設定されたパケットを前記第２のネットワーク内の端末から受信する受信手段と、
受信されたパケットの宛先のホストが前記ホストリストに登録されている場合に、前記パケットを前記ホストへ送信するかまたは前記パケットを廃棄するかを制御する制御手段と、
受信されたパケットの宛先のホストが前記ホストリストに登録されていない場合に、前記ホストに対する前記端末からのアクセスが許可されるか否かの情報を外部から取得して前記ホストリストを更新する更新手段と、
を有するアクセス制御装置。
【請求項２】
前記更新手段は、
前記パケットの宛先アドレスがアクセスが制限されるホストのアドレスとして前記第１のネットワーク内のサーバに登録されているか否かを問い合わせるＤＮＳ逆引き要求送信部と、
前記宛先アドレスが前記サーバに登録されているか否かを示すＤＮＳ逆引き応答を受信するＤＮＳ逆引き応答受信部と、
前記ＤＮＳ逆引き応答に応じて前記宛先アドレスの前記ホストリストへの書き込みを制御する書込制御部と、
を有する請求項１記載のアクセス制御装置。
【請求項３】
前記制御手段は、
受信されたパケットの宛先のホストが前記ホストリストに登録されていない場合に、前記更新手段によって外部から取得された情報に応じて前記パケットを前記ホストへ送信するかまたは前記パケットを廃棄するかを決定する請求項１記載のアクセス制御装置。
【請求項４】
前記第２のネットワーク内の端末が前記第１のネットワーク内のすべてのホストに対するアクセスが許可されるセキュア端末であるか前記第１のネットワーク内の一部のホストのみに対するアクセスが許可される一般端末であるかを記憶する第２の記憶手段、をさらに有し、
前記制御手段は、
受信されたパケットの送信元が前記セキュア端末である場合に、前記パケットを前記ホストへ送信させる請求項１記載のアクセス制御装置。
【請求項５】
前記記憶手段は、
前記ホストリストを定期的に消去する請求項１記載のアクセス制御装置。
【請求項６】
第１のネットワーク内のホストのうち、第２のネットワーク内の端末からのアクセスが制限されるホストまたはアクセスが制限されないホストを示すホストリストが記憶されたアクセス制御装置におけるアクセス制御方法であって、
宛先が前記第１のネットワーク内のホストに設定されたパケットを前記第２のネットワーク内の端末から受信するステップと、
受信されたパケットの宛先のホストが前記ホストリストに登録されている場合に、前記パケットを前記ホストへ送信するかまたは前記パケットを廃棄するかを制御するステップと、
受信されたパケットの宛先のホストが前記ホストリストに登録されていない場合に、前
記ホストに対する前記端末からのアクセスが許可されるか否かの情報を外部から取得して前記ホストリストを更新するステップと、
を有するアクセス制御方法。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アクセス制御装置およびアクセス制御方法に関し、特に、外部ネットワーク内のホストの種別に応じて内部ネットワーク内の端末からのアクセスが制限されるネットワークにおけるアクセス制御装置およびアクセス制御方法に関する。
【背景技術】
【０００２】
従来、一般的なネットワークにおいては、ＩＰアドレスとホスト名の名前解決を行うＤＮＳ（Domain Name System）サーバが設置されることがある。このようなネットワークにおいては、例えばＬＡＮ（Local Area Network）などの内部ネットワークの端末から、例えばインターネットなどを含む外部ネットワークのホストへの接続要求が生じると、端末において指定されたＤＮＳサーバへ接続先のホスト名が送信される。ＤＮＳサーバは、受信したホスト名に対応するＩＰアドレスを検索し、その結果を応答として端末に返送する。これにより、内部ネットワーク内の端末は、接続を試みる外部ネットワーク内のホストのＩＰアドレスを知ることができ、このホストへアクセスすることが可能となる。
【０００３】
このようにＤＮＳによってＩＰアドレスを検索する技術は、例えば特許文献１に開示されている。特許文献１においては、図１に示すように、内部ネットワークと外部ネットワークの境界にルータが設置され、このルータは、ホスト名とＩＰアドレスを記録するＨＯＳＴＳテーブルとＨＯＳＴＳテーブルを管理更新する更新処理部とを有している。
【０００４】
図１のネットワーク構成においては、クライアント１は、ホストに接続するためにＤＮＳサーバへ名前解決を要求するＤＮＳ要求を送信する。ＤＮＳサーバは、ＤＮＳ要求に対するＤＮＳ応答をクライアント１へ送信するが、このときルータは、ＤＮＳ応答に含まれるホスト名とＩＰアドレスを更新処理部によりＨＯＳＴＳテーブルに保存した上で、クライアント１へ転送する。これにより、クライアント１は、ルータ経由でホストにアクセスすることが可能となる。
【０００５】
そして、次にクライアント２からホストへの接続要求が発生すると、クライアント２は、クライアント１と同様にＤＮＳ要求をＤＮＳサーバへ送信する。このとき、内部ネットワークと外部ネットワークの境界に設置されるルータは、このＤＮＳ要求を受け取ってＨＯＳＴＳテーブルを参照する。ここで、ＤＮＳ要求に含まれるホスト名がＨＯＳＴＳテーブルに保存されている場合は、ルータは、ＤＮＳ要求をＤＮＳサーバへ転送せず、ＨＯＳＴＳテーブル中の対応するＩＰアドレスを直接クライアント２へ送信する。
【０００６】
このように特許文献１の技術においては、ルータがＤＮＳ応答をキャッシュするため、外部ネットワークへ送出するＤＮＳ要求の量を抑制することができ、トラフィックの軽減を図ることができる。また、ルータが直接クライアントへのＤＮＳ応答を行うため、ＤＮＳ応答の高速化を図ることができる。
【特許文献１】特開平１１−３４０９８４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
ところで、外部ネットワークには、例えばセキュアなコンテンツを有しアクセスが制限されているセキュアホストと、アクセスに関する制限がない一般ホストとの２種類のホストが設置されることがある。また、同様に、内部ネットワークには、あらかじめ認証を受けておりセキュアホストおよび一般ホストの双方に接続できるセキュア端末と、一般ホストのみに接続できる一般端末との２種類の端末が設置されることがある。
【０００８】
このような場合、一般端末からセキュアホストへのアクセスは許可されていないため、一般端末からセキュアホストへの接続要求は、ネットワークの無駄なトラフィックの増加につながる。このようなトラフィックの増加を防ぐためには、内部ネットワークと外部ネットワークの境界に設置されたルータがアクセス制御を行うことが考えられるが、一般ホストへのアクセスとセキュアホストへのアクセスを判別するために、ルータが全セキュアホストのリストを保持する必要がある。
【０００９】
しかしながら、ルータが全セキュアホストのリストを保持すると、メモリなどのリソースを大量に消費してしまうという問題がある。また、セキュアホストのホスト名やＩＰアドレスなどは変更される可能性があるため、ネットワーク構成が変更される度にリストを手作業で更新する必要が生じる。このように、ルータに全セキュアホストのリストを保持させるのは効率が悪く、現実的ではない。
【００１０】
本発明の目的は、メモリなどのリソースの消費を削減し、効率良くセキュアホストへのアクセスを制御することができるアクセス制御装置およびアクセス制御方法を提供することである。
【課題を解決するための手段】
【００１１】
本発明に係るアクセス制御装置は、第１のネットワーク内のホストのうち、第２のネットワーク内の端末からのアクセスが制限されるホストまたはアクセスが制限されないホストを示すホストリストを記憶する記憶手段と、宛先が前記第１のネットワーク内のホストに設定されたパケットを前記第２のネットワーク内の端末から受信する受信手段と、受信されたパケットの宛先のホストが前記ホストリストに登録されている場合に、前記パケットを前記ホストへ送信するかまたは前記パケットを廃棄するかを制御する制御手段と、受信されたパケットの宛先のホストが前記ホストリストに登録されていない場合に、前記ホストに対する前記端末からのアクセスが許可されるか否かの情報を外部から取得して前記ホストリストを更新する更新手段と、を有する構成を採る。
【００１２】
本発明に係るアクセス制御方法は、第１のネットワーク内のホストのうち、第２のネットワーク内の端末からのアクセスが制限されるホストまたはアクセスが制限されないホストを示すホストリストが記憶されたアクセス制御装置におけるアクセス制御方法であって、宛先が前記第１のネットワーク内のホストに設定されたパケットを前記第２のネットワーク内の端末から受信するステップと、受信されたパケットの宛先のホストが前記ホストリストに登録されている場合に、前記パケットを前記ホストへ送信するかまたは前記パケットを廃棄するかを制御するステップと、受信されたパケットの宛先のホストが前記ホストリストに登録されていない場合に、前記ホストに対する前記端末からのアクセスが許可されるか否かの情報を外部から取得して前記ホストリストを更新するステップと、を有するようにした。
【００１３】
これらによれば、受信パケットの宛先がホストリストに登録されていれば、パケットの送信・廃棄を制御する一方、受信パケットの宛先がホストリストに登録されていなければ、宛先のホストの情報を外部から取得してホストリストを更新する。このため、必要な時に必要な宛先のホストのみに関するホストリストが作成されるので、全セキュアホストのリストを保持する必要がなく、メモリなどのリソースの消費を削減し、効率良くセキュアホストへのアクセスを制御することができる。
【発明の効果】
【００１４】
本発明によれば、メモリなどのリソースの消費を削減し、効率良くセキュアホストへのアクセスを制御することができる。
【発明を実施するための最良の形態】
【００１５】
以下、本発明の一実施の形態について、図面を参照して詳細に説明する。
【００１６】
図２は、本発明の一実施の形態におけるネットワーク構成の一例を示す概念図である。同図に示すネットワークは、主に例えばＬＡＮなどの内部ネットワーク１００、例えばインターネットなどの公衆網を含む外部ネットワーク２００、および内部ネットワーク１００と外部ネットワーク２００の境界に設置されるゲートウェイ装置３００から構成されている。
【００１７】
内部ネットワーク１００は、あらかじめ認証を受けており外部ネットワーク２００内のすべてのホストにアクセス可能なセキュア端末１００ａ（ＩＰアドレス「192.168.1.aaa」）と、外部ネットワーク２００内のアクセス制限がされていない一般ホストのみにアクセス可能な一般端末１００ｂ（ＩＰアドレス「192.168.1.bbb」）および一般端末１００ｃ（ＩＰアドレス「192.168.1.ccc」）とを有している。
【００１８】
外部ネットワーク２００は、内部ネットワーク１００内の端末の認証を行う認証サーバ２００ａ（ＩＰアドレス「xxx.xxx.xxx.100」）と、内部ネットワーク１００内のセキュア端末のみからアクセス可能なセキュアホストに関する名前解決を行う専用ＤＮＳサーバ２００ｂ（ＩＰアドレス「xxx.xxx.xxx.1」）と、内部ネットワーク１００内のセキュア端末のみからアクセス可能なドメイン名「www.xx1.ne.jp」のセキュアホスト２００ｃ（ＩＰアドレス「xxx.xxx.xxx.2」）と、内部ネットワーク１００内のセキュア端末および一般端末双方からアクセス可能な一般ホストに関する名前解決を行うＤＮＳサーバ２００ｄ（ＩＰアドレス「xxx.xxx.xxx.3」）と、内部ネットワーク１００内のセキュア端末および一般端末双方からアクセス可能なドメイン名「www.yy2.ne.jp」の一般ホスト２００ｅ（ＩＰアドレス「xxx.xxx.xxx.4」）とを有している。
【００１９】
これらの内部ネットワーク１００内の端末１００ａ〜１００ｃおよび外部ネットワーク２００内のサーバ／ホスト２００ａ〜２００ｅは、ゲートウェイ装置３００を介して接続されている。
【００２０】
図３は、本実施の形態に係るゲートウェイ装置３００の要部構成を示すブロック図である。同図に示すように、ゲートウェイ装置３００は、送受信部３０１、アクセス制御部３０２、端末情報記憶部３０３、ホスト情報記憶部３０４、ホストリスト更新部３０５、および送受信部３０６を有している。また、ホストリスト更新部３０５は、ＤＮＳ逆引き要求送信部３０５１、ＤＮＳ逆引き応答受信部３０５２、および書込制御部３０５３を有し
ている。
【００２１】
送受信部３０１は、内部ネットワーク１００と接続されており、内部ネットワーク１００内の端末１００ａ〜１００ｃとの間でパケットを送受信し、パケットのフレームチェックやフレーム組立などの所定のパケット処理を行う。
【００２２】
アクセス制御部３０２は、内部ネットワーク１００から外部ネットワーク２００へのアクセスを制御する。このとき、アクセス制御部３０２は、パケットの宛先ＩＰアドレスおよび送信元ＩＰアドレスが、セキュアな端末またはホストのＩＰアドレスであるか、一般の端末またはホストのＩＰアドレスであるかに応じてアクセス制御を行う。アクセス制御部３０２によるアクセス制御については、後に詳述する。
【００２３】
端末情報記憶部３０３は、例えば図４に示すような端末リストを保持している。すなわち、端末情報記憶部３０３は、内部ネットワーク１００内の各端末がセキュア端末であるか一般端末であるかを記憶している。
【００２４】
ホスト情報記憶部３０４は、ホストリスト更新部３０５によって更新される、例えば図５Ａに示すようなホストリストを記憶する。すなわち、ホスト情報記憶部３０４は、外部ネットワーク２００内の一般ホストのドメイン名およびＩＰアドレスを記憶する。なお、ホスト情報記憶部３０４は、例えば図５Ｂに示すように、外部ネットワーク２００内のセキュアホストのドメイン名およびＩＰアドレスを記憶するようにしても良い。以下の説明においては、特に断らない限り、ホスト情報記憶部３０４は、一般ホストのホストリストを記憶するものとする。
【００２５】
ホストリスト更新部３０５は、ホスト情報記憶部３０４のホストリストに未登録のホストがセキュアホストであるか一般ホストであるかの問い合わせを行い、問い合わせの結果からホストリストを更新する。
【００２６】
具体的には、ＤＮＳ逆引き要求送信部３０５１は、内部ネットワーク１００から送信されたパケットの宛先ＩＰアドレスがホスト情報記憶部３０４のホストリストに登録されていないものである場合、アクセス制御部３０２の指示に従って、この宛先ＩＰアドレスのホストがセキュアホストであるか否かを問い合わせるＤＮＳ逆引き要求を送受信部３０６を介して送信する。
【００２７】
ＤＮＳ逆引き応答受信部３０５２は、ＤＮＳ逆引き要求に対する応答であるＤＮＳ逆引き応答を送受信部３０６を介して受信し、問い合わせた宛先ＩＰアドレスがセキュアホストであるか一般ホストであるかを書込制御部３０５３へ通知する。
【００２８】
書込制御部３０５３は、問い合わせた宛先ＩＰアドレスが一般ホストのＩＰアドレスである場合に、この宛先ＩＰアドレスおよび対応するドメイン名をホスト情報記憶部３０４のホストリストに書き込む。
【００２９】
送受信部３０６は、外部ネットワーク２００と接続されており、外部ネットワーク２００内のサーバ／ホスト２００ａ〜２００ｅとの間でパケットを送受信し、パケットのフレームチェックやフレーム組立などの所定のパケット処理を行う。
【００３０】
次いで、アクセス制御部３０２によるアクセス制御について、図６に示すフロー図を参照しながら説明する。ここでは、内部ネットワーク１００内の端末から外部ネットワーク２００内のホストへのアクセス制御について説明する。
【００３１】
まず、内部ネットワーク１００内の端末から送信されたパケットがゲートウェイ装置３００の送受信部３０１によって受信されると、このパケットは送受信部３０１によって保持され、パケットの宛先ＩＰアドレスおよび送信元ＩＰアドレスがアクセス制御部３０２へ通知される。そして、アクセス制御部３０２によって、パケットの送信元ＩＰアドレスが端末情報記憶部３０３の端末リストにおいて検索され、パケットの送信元の端末がセキュア端末であるか否かが判定される（ＳＴ１０００）。この結果、パケットの送信元がセキュア端末である場合は、外部ネットワーク２００内のセキュアホストおよび一般ホスト双方へのアクセスが許可されているため、アクセスを制限する必要がなく、宛先ＩＰアドレスのホストへ送受信部３０６を介してパケットが送信される（ＳＴ１７００）。
【００３２】
また、パケットの送信元が一般端末である場合は、パケットの宛先ＩＰアドレスがホスト情報記憶部３０４のホストリストと照合され、パケットの宛先が一般ホストであるか否かが判定される（ＳＴ１１００）。すなわち、パケットの宛先ＩＰアドレスが既にホストリストに登録されていれば、このパケットの宛先は一般ホストであると判定される。この場合は、内部ネットワーク１００内の一般端末から外部ネットワーク２００内の一般ホストへのアクセスは許可されているため、アクセスは制限されず、宛先ＩＰアドレスの一般ホストへ送受信部３０６を介してパケットが送信される（ＳＴ１７００）。
【００３３】
一方、パケットの宛先ＩＰアドレスがホストリストに未登録である場合は、この宛先ＩＰアドレスのホストがセキュアホストであるか一般ホストであるか不明であるため、宛先ＩＰアドレスのＤＮＳ逆引き要求を送信するようにＤＮＳ逆引き要求送信部３０５１へ指示が出される。この指示に応じて、ＤＮＳ逆引き要求送信部３０５１によって、パケットの宛先ＩＰアドレスがセキュアホストとして登録されているか否かを問い合わせるＤＮＳ逆引き要求が送受信部３０６を介して外部ネットワーク２００内の専用ＤＮＳサーバ２００ｂへ送信される（ＳＴ１２００）。また、ＤＮＳ逆引き要求送信部３０５１によって、問い合わせたＩＰアドレスが書込制御部３０５３へ通知される。
【００３４】
送信されたＤＮＳ逆引き要求は、専用ＤＮＳサーバ２００ｂによって受信され、ＤＮＳ逆引き要求に含まれるＩＰアドレスのホストが専用ＤＮＳサーバ２００ｂに登録されているか否かを示すＤＮＳ逆引き応答が送信される。ここで、専用ＤＮＳサーバ２００ｂは、セキュアホストに関する名前解決を行うものであるため、ＤＮＳ逆引き要求のＩＰアドレスが専用ＤＮＳサーバ２００ｂに登録されていれば、このＩＰアドレスのホストはセキュアホストであると判断される。また、ＤＮＳ逆引き要求のＩＰアドレスが専用ＤＮＳサーバ２００ｂに登録されていなければ、このＩＰアドレスのホストは一般ホストであると判断される。
【００３５】
なお、本実施の形態においては、外部ネットワーク２００に専用ＤＮＳサーバ２００ｂおよびＤＮＳサーバ２００ｄが設けられるものとしたが、専用ＤＮＳサーバとＤＮＳサーバの機能を一体化したサーバを設けるようにしても良い。この場合は、サーバに登録された外部ネットワーク２００内のホストそれぞれがセキュアホストであるか一般ホストであるかの情報が保持されている。そして、ＤＮＳ逆引き応答においては、例えばＶＬＡＮ（Virtual LAN）タグＩＤやインターネットプロトコルのＴＯＳ（Type Of Service）フィールドなどにホストの種別がマッピングされている。また、ホストの種別の識別に使用されるレイヤは任意のレイヤで良い。
【００３６】
このようなＤＮＳの逆引きの結果、ＤＮＳ逆引き要求に含まれるＩＰアドレスが専用ＤＮＳサーバに登録されていれば（すなわち、セキュアホストのＩＰアドレスであれば）ＤＮＳ逆引き応答としてヒットが送信され、ＩＰアドレスが専用ＤＮＳサーバに登録されていなければ（すなわち、一般ホストのＩＰアドレスであれば）ＤＮＳ逆引き応答としてエラーが送信される。ＤＮＳ逆引き応答は、ゲートウェイ装置３００へ送信され、送受信部
３０６を介してＤＮＳ逆引き応答受信部３０５２によって受信される（ＳＴ１３００）。
【００３７】
そして、ＤＮＳ逆引き応答受信部３０５２によって、ＤＮＳ逆引き応答がエラーであるか否かが判定される（ＳＴ１４００）。換言すれば、問い合わせたＩＰアドレスがセキュアホストであるか否かが判定される。この判定の結果、ＤＮＳ逆引き応答がヒットであれば、問い合わせたＩＰアドレスはセキュアホストのＩＰアドレスであることを意味しており、一般端末からのアクセスは許可されないため、アクセス制御部３０２によって、送受信部３０１に保持されたパケットが廃棄され、送受信部３０１を介してパケットの送信元へアクセスが拒否された旨のアクセス拒否情報が送信される（ＳＴ１５００）。
【００３８】
また、ＳＴ１４００の判定の結果、ＤＮＳ逆引き応答がエラーであれば、問い合わせたＩＰアドレスは一般ホストのＩＰアドレスであることを意味しており、その旨が書込制御部３０５３へ通知される。そして、書込制御部３０５３によって、ＤＮＳ逆引き要求送信部３０５１から通知されたＩＰアドレスがホスト情報記憶部３０４に記憶された一般ホストのホストリストに新たに追加される。これにより、ホスト情報記憶部３０４のホストリストが更新される（ＳＴ１６００）。さらに、パケットの送信先が一般ホストであるため、一般端末からのアクセスが許可されており、送受信部３０１から送受信部３０６を介してパケットが送信される（ＳＴ１７００）。
【００３９】
このように、内部ネットワーク１００内の端末から外部ネットワーク２００内のホストへパケットが送信される場合、ゲートウェイ装置３００においてパケットの送信先のホストの種別が不明であれば、外部ネットワーク２００内の専用ＤＮＳサーバ２００ｂに対してＤＮＳ逆引きを実施することにより、必要に応じてホストリストを更新するとともにパケットの送信を制御する。これにより、ゲートウェイ装置３００は、すべてのセキュアホスト（または一般ホスト）を記憶しておく必要がなく、必要なホストの情報のみが必要な時に得られ、メモリなどのリソースの消費を削減することができる。
【００４０】
次いで、内部ネットワーク１００内の一般端末１００ｂから外部ネットワーク２００内のホストへのアクセス制御について、具体例を挙げながら説明する。
【００４１】
まず、一般端末１００ｂからのパケットの宛先ＩＰアドレスがゲートウェイ装置３００のホスト情報記憶部３０４に記憶されておらず、この宛先ＩＰアドレスのホストがセキュアホストである場合の例について、図７に示すシーケンス図を参照しながら説明する。
【００４２】
まず、一般端末１００ｂからゲートウェイ装置３００の送受信部３０１へパケットが送信される（４００）。そして、送受信部３０１からこのパケットの宛先ＩＰアドレスおよび送信元ＩＰアドレスを含む認証可否情報がアクセス制御部３０２へ通知される（４０１）。認証可否情報を受けたアクセス制御部３０２は、端末情報記憶部３０３に記憶された端末リストを参照して、パケットの送信元ＩＰアドレスが一般端末のＩＰアドレスであると判断し、その後、ホスト情報記憶部３０４に記憶されたホストリストにパケットの宛先ＩＰアドレスが登録されているか否かを判定する。ここでは、パケットの宛先ＩＰアドレスは、ホストリストに登録されておらず、この宛先ＩＰアドレスがセキュアホストのＩＰアドレスであるか一般ホストのＩＰアドレスであるかは不明である。
【００４３】
そこで、アクセス制御部３０２は、ＤＮＳ逆引き要求通知をホストリスト更新部３０５内のＤＮＳ逆引き要求送信部３０５１へ出力する（４０２）。そして、ＤＮＳ逆引き要求送信部３０５１から宛先ＩＰアドレスのＤＮＳ逆引き要求が送受信部３０６へ出力され（４０３）、さらにＤＮＳ逆引き要求が専用ＤＮＳサーバ２００ｂへ送信される（４０４）。専用ＤＮＳサーバ２００ｂでは、ＤＮＳ逆引き要求に含まれるＩＰアドレスが登録されているか否かが判定されるが、ここでは、このＩＰアドレスがセキュアホストのＩＰアド
レスであるため、専用ＤＮＳサーバ２００ｂに登録されており、ＤＮＳ逆引き応答としてヒットが送受信部３０６へ返送される（４０５）。
【００４４】
そして、ＤＮＳ逆引き応答は、送受信部３０６からホストリスト更新部３０５内のＤＮＳ逆引き応答受信部３０５２へ転送され（４０６）、ＤＮＳ逆引き応答受信部３０５２によって、ＤＮＳ逆引き応答がヒットであることが検出されると、その旨がアクセス制御部３０２へ通知される（４０７）。そして、ＤＮＳ逆引き応答がヒットであるため、パケットの宛先ＩＰアドレスはセキュアホストのＩＰアドレスであり、一般端末からのパケット送信は許可されていないことがわかる。このため、アクセス制御部３０２から送受信部３０１へパケット廃棄の指示が出される（４０８）。この指示に従って送受信部３０１によってパケットが廃棄されると、パケットの宛先ＩＰアドレスへのアクセスが拒否された旨のアクセス拒否情報が一般端末１００ｂへ送信される（４０９）。
【００４５】
このように、一般端末１００ｂからのパケットの宛先ＩＰアドレスがゲートウェイ装置３００のホスト情報記憶部３０４に記憶されておらず、この宛先ＩＰアドレスのホストがセキュアホストである場合には、一般端末１００ｂからのパケットは廃棄され、セキュアホストへのアクセスが拒否される。
【００４６】
次に、一般端末１００ｂからのパケットの宛先ＩＰアドレスがゲートウェイ装置３００のホスト情報記憶部３０４に記憶されておらず、この宛先ＩＰアドレスのホストが一般ホストである場合の例について、図８に示すシーケンス図を参照しながら説明する。なお、図８において、図７と同じ部分には同じ符号を付し、詳しい説明を省略する。
【００４７】
まず、図７に示した例と同様に、一般端末１００ｂからのパケットの宛先ＩＰアドレスがホスト情報記憶部３０４のホストリストに登録されていないため、ＤＮＳ逆引き要求が専用ＤＮＳサーバ２００ｂへ送信される（４００〜４０４）。専用ＤＮＳサーバ２００ｂでは、ＤＮＳ逆引き要求に含まれるＩＰアドレスが登録されているか否かが判定されるが、ここでは、このＩＰアドレスが一般ホストのＩＰアドレスであるため、専用ＤＮＳサーバ２００ｂに登録されておらず、ＤＮＳ逆引き応答としてエラーが送受信部３０６へ返送される（５００）。
【００４８】
そして、ＤＮＳ逆引き応答は、送受信部３０６からホストリスト更新部３０５内のＤＮＳ逆引き応答受信部３０５２へ転送され（５０１）、ＤＮＳ逆引き応答受信部３０５２によって、ＤＮＳ逆引き応答がエラーであることが検出されると、その旨がアクセス制御部３０２へ通知される（５０２）。また、ＤＮＳ逆引き応答がエラーである場合は、ＤＮＳ逆引き要求に含まれていたＩＰアドレスが一般ホストのＩＰアドレスであることになるため、その旨がＤＮＳ逆引き応答受信部３０５２から書込制御部３０５３へ通知され、書込制御部３０５３によってホスト情報記憶部３０４に記憶されているホストリストに上記のＩＰアドレスが登録される。
【００４９】
さらに、ＤＮＳ逆引き応答がエラーであるため、パケットの宛先ＩＰアドレスは一般ホストのＩＰアドレスであり、一般端末からのパケットの送信が許可されていることがわかる。このため、アクセス制御部３０２から送受信部３０１へパケット送信の指示が出される（５０３）。この指示に従って送受信部３０１から送受信部３０６へパケットが転送され（５０４）、送受信部３０６から外部ネットワーク２００内の宛先ＩＰアドレスのホストへパケットが送信される（５０５）。
【００５０】
このように、一般端末１００ｂからのパケットの宛先ＩＰアドレスがゲートウェイ装置３００のホスト情報記憶部３０４に記憶されておらず、この宛先ＩＰアドレスのホストが一般ホストである場合には、一般端末１００ｂからのパケットは宛先ＩＰアドレスの一般
ホストへ送信される。
【００５１】
次に、一般端末１００ｂからのパケットの宛先ＩＰアドレスがゲートウェイ装置３００のホスト情報記憶部３０４に記憶されている場合の例について、図９に示すシーケンス図を参照しながら説明する。なお、図９において、図７および図８と同じ部分には同じ符号を付し、詳しい説明を省略する。
【００５２】
まず、図７に示した例と同様に、一般端末１００ｂからのパケットがゲートウェイ装置３００によって受信されると（４００、４０１）、アクセス制御部３０２は、ホスト情報記憶部３０４に記憶されたホストリストにパケットの宛先ＩＰアドレスが登録されているか否かを判定する。ここでは、パケットの宛先ＩＰアドレスは、ホストリストに登録されており、この宛先ＩＰアドレスが一般ホストのＩＰアドレスであることが判明する。したがって、この宛先ＩＰアドレスのホストへは一般端末からのパケットの送信が許可されていることがわかり、アクセス制御部３０２から送受信部３０１へパケット送信の指示が出される（５０３）。この指示に従って送受信部３０１から送受信部３０６へパケットが転送され（５０４）、送受信部３０６から外部ネットワーク２００内の宛先ＩＰアドレスのホストへパケットが送信される（５０５）。
【００５３】
このように、一般端末１００ｂからのパケットの宛先ＩＰアドレスがゲートウェイ装置３００のホスト情報記憶部３０４に記憶されている場合には、一般端末１００ｂからのパケットは宛先ＩＰアドレスの一般ホストへ送信される。
【００５４】
また、本実施の形態においては、ホスト情報記憶部３０４が一般ホストのホストリストを記憶しているため、図９のように一般端末１００ｂから一般ホストへのアクセスが行われる場合のアクセス速度を向上することができる。すなわち、パケットの送信が許可される端末−ホストの組み合わせとしては、セキュア端末−セキュアホスト、セキュア端末−一般ホスト、および一般端末−一般ホストの３通りがあるが、これらのうち、端末がセキュア端末である組み合わせについては、アクセス制御部３０２によって端末情報記憶部３０３の端末リストが参照されることにより、ホストリストに関わりなくアクセスが許可される。一方、一般端末−一般ホストの組み合わせについては、ホスト情報記憶部３０４にセキュアホストのホストリストが保持されている場合は、宛先ＩＰアドレスがホストリストに登録されていないため、必ずＤＮＳ逆引きを行う必要が生じ、パケット送信の度に専用ＤＮＳサーバ２００ｂへＤＮＳ逆引き要求が送信される。これに対して、本実施の形態のように、ホスト情報記憶部３０４に一般ホストのホストリストが保持されている場合は、送信先の一般ホストへのアクセスが過去に行われていれば、宛先ＩＰアドレスがホストリストに登録されているため、ＤＮＳ逆引きを行うことなくアクセスが許可される。
【００５５】
以上のように、本実施の形態によれば、ゲートウェイ装置においてホストの種別が登録されていない場合には、パケットの宛先ＩＰアドレスからＤＮＳ逆引きを行って外部ネットワークのＤＮＳサーバに宛先ＩＰアドレスのホストがセキュアホストとして登録されているか否かを問い合わせる。そして、問い合わせ結果から宛先ＩＰアドレスのホストをセキュアホストまたは一般ホストとしてゲートウェイ装置に記憶するため、ゲートウェイ装置においてパケット送信対象のホストのみに関するホストリストが必要な時に更新され、メモリなどのリソースの消費を削減し、効率良くセキュアホストへのアクセスを制御することができる。
【００５６】
なお、上記実施の形態においては、ホスト情報記憶部３０４が一般ホストのホストリストを記憶する場合について説明したが、上述したようにホスト情報記憶部３０４がセキュアホストのホストリストを記憶しても良い。一般に、外部ネットワーク２００内においては、セキュアホストよりも一般ホストの方が多く設置されると考えられるため、セキュア
ホストのホストリストを記憶することにより、ホストリストの情報量をより小さくすることができ、メモリなどのリソースの消費をさらに削減することができる。
【００５７】
以下、ホスト情報記憶部３０４がセキュアホストのホストリストを記憶する場合のアクセス制御の動作について、図１０に示すフロー図を参照しながら説明する。図１０において、図６と同じ部分には同じ符号を付し、詳しい説明を省略する。
【００５８】
まず、内部ネットワーク１００内の端末から送信されたパケットがゲートウェイ装置３００の送受信部３０１によって受信されると、このパケットはアクセス制御部３０２へ入力される。そして、アクセス制御部３０２によって、パケットの送信元ＩＰアドレスが端末情報記憶部３０３の端末リストにおいて検索され、パケットの送信元の端末がセキュア端末であるか否かが判定される（ＳＴ１０００）。この結果、パケットの送信元がセキュア端末である場合は、宛先ＩＰアドレスのホストへ送受信部３０６を介してパケットが送信される（ＳＴ１７００）。
【００５９】
また、パケットの送信元が一般端末である場合は、パケットの宛先ＩＰアドレスがホスト情報記憶部３０４のホストリストと照合され、パケットの宛先がセキュアホストであるか否かが判定される（ＳＴ２０００）。すなわち、パケットの宛先ＩＰアドレスが既にホストリストに登録されていれば、このパケットの宛先はセキュアホストであると判定される。この場合は、内部ネットワーク１００内の一般端末から外部ネットワーク２００内のセキュアホストへのアクセスは許可されていないため、アクセス制御部３０２によって、送受信部３０１に保持されたパケットが廃棄され、送受信部３０１を介してパケットの送信元へアクセスが拒否された旨のアクセス拒否情報が送信される（ＳＴ１５００）。
【００６０】
一方、パケットの宛先ＩＰアドレスがホストリストに未登録である場合は、この宛先ＩＰアドレスのホストがセキュアホストであるか一般ホストであるか不明であるため、宛先ＩＰアドレスのＤＮＳ逆引き要求を送信するようにＤＮＳ逆引き要求送信部３０５１へ指示が出される。この指示に応じて、ＤＮＳ逆引き要求送信部３０５１からＤＮＳ逆引き要求が送信され、このＤＮＳ逆引き要求に対するＤＮＳ逆引き応答が専用ＤＮＳサーバ２００ｂからＤＮＳ逆引き応答受信部３０５２へ返送される（ＳＴ１２００、ＳＴ１３００）。
【００６１】
そして、ＤＮＳ逆引き応答受信部３０５２によって、ＤＮＳ逆引き応答がエラーであるか否かが判定され（ＳＴ１４００）、ＤＮＳ逆引き応答がヒットであれば、問い合わせたＩＰアドレスはセキュアホストのＩＰアドレスであることを意味しており、その旨が書込制御部３０５３へ通知される。そして、書込制御部３０５３によって、ＤＮＳ逆引き要求送信部３０５１から通知されたＩＰアドレスがホスト情報記憶部３０４に記憶されたセキュアホストのホストリストに新たに追加される。これにより、ホスト情報記憶部３０４のホストリストが更新される（ＳＴ２１００）。さらに、一般端末からセキュアホストへのアクセスは許可されないため、アクセス制御部３０２によって、送受信部３０１に保持されたパケットが廃棄され、送受信部３０１を介してパケットの送信元へアクセスが拒否された旨のアクセス拒否情報が送信される（ＳＴ１５００）。
【００６２】
また、ＳＴ１４００の判定の結果、ＤＮＳ逆引き応答がエラーであれば、問い合わせたＩＰアドレスは一般ホストのＩＰアドレスであることを意味しており、一般端末からのアクセスが許可されるため、送受信部３０１から送受信部３０６を介してパケットが送信される（ＳＴ１７００）。
【００６３】
このように、ホスト情報記憶部３０４がセキュアホストのホストリストを記憶している場合でも、外部ネットワーク２００内の専用ＤＮＳサーバ２００ｂに対してＤＮＳ逆引き
を実施することにより、必要に応じてホストリストを更新するとともにパケットの送信を制御する。これにより、ゲートウェイ装置３００は、すべてのセキュアホストを記憶しておく必要がなく、必要なホストの情報のみが必要な時に得られ、メモリなどのリソースの消費を削減することができる。
【００６４】
さらに、上記実施の形態においては、図２に示すネットワーク構成を想定したが、例えば図１１に示すようなネットワーク構成においても本発明を適用することができる。すなわち、図１１に示すように、外部ネットワーク６００内にさらに専用網６２０が形成されており、専用網６２０は、ネットワーク装置６３０を介してＩＰネットワーク６１０に接続されているような場合でも、本発明を適用することができる。
【００６５】
図１１に示すような場合は、専用網６２０内の専用ＤＮＳサーバ６２０ｂに対してゲートウェイ装置３００からＤＮＳ逆引き要求が送信され、セキュアホスト６２０ｃへのアクセスが制御される。また、ＩＰネットワーク６１０に直接接続されているセキュアホスト６５０および一般ホスト６６０については、例えばＤＮＳサーバ６４０に対してゲートウェイ装置３００からＤＮＳ逆引き要求が送信されることにより、アクセス制御が行われる。つまり、本発明においては、任意のネットワーク上に設置されるセキュアホストに対するアクセス制御が可能である。
【００６６】
また、上記実施の形態においては、定期的にホスト情報記憶部３０４に記憶されたホストリストを消去するようにしても良い。こうすることにより、外部ネットワーク２００内のネットワーク構成が変更され、セキュアホストおよび一般ホストのＩＰアドレスが変わる場合でも、常に正確なホストリストを保持しておくことができるとともに、メモリの消費を確実に削減することができる。
【００６７】
さらに、定期的にホスト情報記憶部３０４に記憶されたホストリストを専用ＤＮＳサーバ２００ｂに登録されているセキュアホストのリストと照合し、ホストリストが正確に保たれているか否かを確認するようにしても良い。
【００６８】
本発明の第１の態様に係るアクセス制御装置は、第１のネットワーク内のホストのうち、第２のネットワーク内の端末からのアクセスが制限されるホストまたはアクセスが制限されないホストを示すホストリストを記憶する記憶手段と、宛先が前記第１のネットワーク内のホストに設定されたパケットを前記第２のネットワーク内の端末から受信する受信手段と、受信されたパケットの宛先のホストが前記ホストリストに登録されている場合に、前記パケットを前記ホストへ送信するかまたは前記パケットを廃棄するかを制御する制御手段と、受信されたパケットの宛先のホストが前記ホストリストに登録されていない場合に、前記ホストに対する前記端末からのアクセスが許可されるか否かの情報を外部から取得して前記ホストリストを更新する更新手段と、を有する構成を採る。
【００６９】
この構成によれば、受信パケットの宛先がホストリストに登録されていれば、パケットの送信・廃棄を制御する一方、受信パケットの宛先がホストリストに登録されていなければ、宛先のホストの情報を外部から取得してホストリストを更新する。このため、必要な時に必要な宛先のホストのみに関するホストリストが作成され、メモリなどのリソースの消費を削減し、効率良くセキュアホストへのアクセスを制御することができる。
【００７０】
本発明の第２の態様に係るアクセス制御装置は、上記第１の態様において、前記更新手段は、前記パケットの宛先アドレスがアクセスが制限されるホストのアドレスとして前記第１のネットワーク内のサーバに登録されているか否かを問い合わせるＤＮＳ逆引き要求送信部と、前記宛先アドレスが前記サーバに登録されているか否かを示すＤＮＳ逆引き応答を受信するＤＮＳ逆引き応答受信部と、前記ＤＮＳ逆引き応答に応じて前記宛先アドレ
スの前記ホストリストへの書き込みを制御する書込制御部と、を有する構成を採る。
【００７１】
この構成によれば、第１のネットワーク内のサーバに対して宛先アドレスのＤＮＳ逆引きを行い、この結果に応じて宛先アドレスのホストリストへの書き込みを制御するため、宛先アドレスのホストがセキュアホストであるか一般ホストであるかを確実に確認して、正確なホストリストの更新を行うことができる。
【００７２】
本発明の第３の態様に係るアクセス制御装置は、上記第１の態様において、前記制御手段は、受信されたパケットの宛先のホストが前記ホストリストに登録されていない場合に、前記更新手段によって外部から取得された情報に応じて前記パケットを前記ホストへ送信するかまたは前記パケットを廃棄するかを決定する構成を採る。
【００７３】
この構成によれば、外部から得られた、宛先のホストに対するアクセスが制限されているか否かの情報に応じてパケット送信の有無を制御するため、ホストリストに登録されていないホストに対するアクセス制御を正確に実行することができる。
【００７４】
本発明の第４の態様に係るアクセス制御装置は、上記第１の態様において、前記第２のネットワーク内の端末が前記第１のネットワーク内のすべてのホストに対するアクセスが許可されるセキュア端末であるか前記第１のネットワーク内の一部のホストのみに対するアクセスが許可される一般端末であるかを記憶する第２の記憶手段、をさらに有し、前記制御手段は、受信されたパケットの送信元が前記セキュア端末である場合に、前記パケットを前記ホストへ送信させる構成を採る。
【００７５】
この構成によれば、パケットの送信元がセキュア端末である場合には、このパケットをホストへ送信するため、不要なアクセス制御の処理を排除して、アクセス制御に要する時間の短縮を図ることができる。
【００７６】
本発明の第５の態様に係るアクセス制御装置は、上記第１の態様において、前記記憶手段は、前記ホストリストを定期的に消去する構成を採る。
【００７７】
この構成によれば、ホストリストを定期的に消去するため、第１のネットワークのネットワーク構成が変更される場合でも、常に正確なホストリストを保持しておくことができるとともに、メモリの消費を確実に削減することができる。
【００７８】
本発明の第６の態様に係るアクセス制御方法は、第１のネットワーク内のホストのうち、第２のネットワーク内の端末からのアクセスが制限されるホストまたはアクセスが制限されないホストを示すホストリストが記憶されたアクセス制御装置におけるアクセス制御方法であって、宛先が前記第１のネットワーク内のホストに設定されたパケットを前記第２のネットワーク内の端末から受信するステップと、受信されたパケットの宛先のホストが前記ホストリストに登録されている場合に、前記パケットを前記ホストへ送信するかまたは前記パケットを廃棄するかを制御するステップと、受信されたパケットの宛先のホストが前記ホストリストに登録されていない場合に、前記ホストに対する前記端末からのアクセスが許可されるか否かの情報を外部から取得して前記ホストリストを更新するステップと、を有するようにした。
【００７９】
この方法によれば、受信パケットの宛先がホストリストに登録されていれば、パケットの送信・廃棄を制御する一方、受信パケットの宛先がホストリストに登録されていなければ、宛先のホストの情報を外部から取得してホストリストを更新する。このため、必要な時に必要な宛先のホストのみに関するホストリストが作成され、メモリなどのリソースの消費を削減し、効率良くセキュアホストへのアクセスを制御することができる。
【００８０】
本明細書は、２００４年１２月２２日出願の特願２００４−３７２２３０に基づく。この内容はすべてここに含めておく。
【産業上の利用可能性】
【００８１】
本発明に係るアクセス制御装置およびアクセス制御方法は、メモリなどのリソースの消費を削減し、効率良くセキュアホストへのアクセスを制御することができ、例えば外部ネットワーク内のホストの種別に応じて内部ネットワーク内の端末からのアクセスが制限されるネットワークにおけるアクセス制御装置およびアクセス制御方法などとして有用である。
【図面の簡単な説明】
【００８２】
【図１】従来のネットワーク構成の一例を示す図
【図２】本発明の一実施の形態に係るネットワーク構成の一例を示す概念図
【図３】一実施の形態に係るゲートウェイ装置の要部構成を示すブロック図
【図４】一実施の形態に係る端末リストの一例を示す図
【図５Ａ】一実施の形態に係る一般ホストのホストリストの一例を示す図
【図５Ｂ】一実施の形態に係るセキュアホストのホストリストの一例を示す図
【図６】一実施の形態に係るアクセス制御の動作を示すフロー図
【図７】一実施の形態に係るアクセス制御の具体例を示すシーケンス図
【図８】一実施の形態に係るアクセス制御の他の具体例を示すシーケンス図
【図９】一実施の形態に係るアクセス制御のさらに他の具体例を示すシーケンス図
【図１０】一実施の形態に係る他のアクセス制御の動作を示すフロー図
【図１１】一実施の形態に係るネットワーク構成の他の一例を示す概念図
【手続補正３】
【補正対象書類名】図面
【補正対象項目名】全図
【補正方法】変更
【補正の内容】
【図１】
2006067951.tif 000014
【図２】
2006067951.tif 000015
【図３】
2006067951.tif 000016
【図４】
2006067951.tif 000017
【図５Ａ】
2006067951.tif 000018
【図５Ｂ】
2006067951.tif 000019
【図６】
2006067951.tif 000020
【図７】
2006067951.tif 000021
【図８】
2006067951.tif 000022
【図９】
2006067951.tif 000023
【図１０】
2006067951.tif 000024
【図１１】
2006067951.tif 000025
【国際調査報告】
2006067951.tif 000026
2006067951.tif 000027