(57)【要約】メモリ装置等のリソースの大きな量を必要とせず、かつ、ネットワークの構成が変化するたびにセキュアなホスト装置のリストを変更する必要がないアクセス制御装置。このアクセス制御装置（１００）においては、セキュアホストリスト作成部（１０４）は、アクセス制御部（１０３）を介してＤＮＳ応答を受けて、前記ＤＮＳ応答に含まれるホスト装置のＩＰアドレスがセキュアなホスト装置のＩＰアドレスである時に当該ＤＮＳ応答に含まれている前記セキュアなホスト装置の名、ＩＰアドレス及びＤＮＳ要求元の通信端末装置のＩＰアドレスをセキュアホストリスト保持部（１０５）に登録する。セキュアホストリスト作成部（１０４）は、パケット送信元の通信端末装置が一般の通信端末装置である時であってパケット宛先がセキュアホストリスト保持部（１０５）に含まれている時に当該パケットを廃棄し当該一般の通信端末装置にアクセス不可を通知する。【特許請求の範囲】
【請求項１】
ＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）におけるＤＮＳ応答に含まれるホスト装置のＩＰアドレスが一般のホスト装置のＩＰアドレスである時に当該ＤＮＳ応答に係るパケットを内部ネットワークへ送出する手段と、
前記ＤＮＳ応答に含まれる前記ホスト装置の前記ＩＰアドレスがセキュアなホスト装置のＩＰアドレスである時に当該ＤＮＳ応答に含まれている前記セキュアなホスト装置の名、前記セキュアなホスト装置のＩＰアドレス及びＤＮＳ要求元の通信端末装置のＩＰアドレスをセキュアホストリスト保持部に登録する登録手段と、
前記ＤＮＳ応答の前記宛先がセキュアな通信端末装置である時に当該ＤＮＳ応答に係るパケットを前記内部ネットワークへ送出する手段と、
前記ＤＮＳ応答の宛先が一般の通信端末装置である時に当該ＤＮＳ応答に係るパケットを廃棄し当該一般の通信端末装置にアクセス不可を通知するアクセス不可通知手段と、
パケット送信元の通信端末装置がセキュアな通信端末装置である時に当該パケットを外部ネットワークへ送出する手段と、
前記パケット送信元の通信端末装置が前記一般の通信端末装置である時であってパケット宛先が前記セキュアホストリスト保持部に含まれていない時に当該パケットを前記外部ネットワークへ送出する手段と、
前記パケット送信元の前記通信端末装置が前記一般の通信端末装置である時であって前記パケット宛先が前記セキュアホストリスト保持部に含まれている時に当該パケットを廃棄し当該一般の通信端末装置にアクセス不可を通知するアクセス不可通知手段と、
を具備するアクセス制御装置。
【請求項２】
ＤＮＳ応答に含まれるホスト装置の種別が一般のホスト装置に関するものである時に当該ＤＮＳ応答に係るパケットを内部ネットワークへ送出する手段と、
前記ＤＮＳ応答に含まれる前記ホスト装置の種別がセキュアなホスト装置に関するものである時に当該ＤＮＳ応答に含まれている前記セキュアなホスト装置の名、前記セキュアなホスト装置のＩＰアドレス及びＤＮＳ要求元の通信端末装置のＩＰアドレスをセキュアホストリスト保持部に登録する登録手段と、
前記ＤＮＳ応答の前記宛先がセキュアな通信端末装置である時に当該ＤＮＳ応答に係るパケットを前記内部ネットワークへ送出する手段と、
前記ＤＮＳ応答の宛先が一般の通信端末装置である時に当該ＤＮＳ応答に係るパケットを廃棄し当該一般の通信端末装置にアクセス不可を通知するアクセス不可通知手段と、
パケット送信元の通信端末装置がセキュアな通信端末装置である時に当該パケットを外部ネットワークへ送出する手段と、
前記パケット送信元の通信端末装置が前記一般の通信端末装置である時であってパケット宛先が前記セキュアホストリスト保持部に含まれていない時に当該パケットを前記外部ネットワークへ送出する手段と、
前記パケット送信元の前記通信端末装置が前記一般の通信端末装置である時であって前記パケット宛先が前記セキュアホストリスト保持部に含まれている時に当該パケットを廃棄し当該一般の通信端末装置にアクセス不可を通知するアクセス不可通知手段と、
を具備するアクセス制御装置。
【請求項３】
ＤＮＳ応答の宛先が一般の通信端末装置である時に当該ＤＮＳ応答に係るパケットを内部ネットワークへ送出する手段と、
前記ＤＮＳ応答の前記宛先がセキュアなホスト装置である時に当該ＤＮＳ応答に含まれている前記セキュアなホスト装置の名、前記セキュアなホスト装置のＩＰアドレス及びＤＮＳ要求元の通信端末装置のＩＰアドレスをセキュアホストリスト保持部に登録する登録手段と、
パケット送信元の通信端末装置がセキュアな通信端末装置である時に当該パケットを外部ネットワークへ送出する手段と、
前記パケット送信元の通信端末装置が前記一般の通信端末装置である時であってパケット宛先が前記セキュアホストリスト保持部に含まれていない時に当該パケットを前記外部ネットワークへ送出する手段と、
前記パケット送信元の前記通信端末装置が前記一般の通信端末装置である時であって前記パケット宛先が前記セキュアホストリスト保持部に含まれている時に当該パケットを廃棄し当該一般の通信端末装置にアクセス不可を通知するアクセス不可通知手段と、
を具備するアクセス制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】  本発明は、ホスト装置への通信端末装置の接続要求を制御するアクセス制御装置に関するものである。
【背景技術】
【０００２】  ＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）は、ＩＰアドレスとホスト装置の名の解決を行う。ＤＮＳにおいては、通信端末装置においてホスト装置への接続要求が生じると、通信端末装置において指定されたＤＮＳサーバへ接続先のホスト装置の名を送る。ＤＮＳサーバは、受信したホスト装置の名に対応するＩＰアドレスを検索し、その結果を応答として通信端末装置に送る。これにより通信端末装置は自身が接続しようとしているホスト装置のＩＰアドレスを知ることができるので、ホスト装置にアクセスすることが可能となる。【０００３】  図１は、特許文献１で開示されているＩＰアドレス検索システムを実現する従来のルータの構成を示すブロック図である。図２は、特許文献１で開示されているＩＰアドレス検索システムを簡略化した従来のネットワークの構成を示すブロック図である。【０００４】  図１に示すように、前記従来のルータ１０は、送受信部１１、１２、更新処理部１３及びＨＯＳＴＳテーブル１４を具備している。【０００５】  ＨＯＳＴＳテーブル１４は、ホスト装置の名とＩＰアドレスを保持するものである。更新処理部１３は、ＨＯＳＴＳテーブル１４が保持しているホスト装置の名とＩＰアドレスを更新するものである。【０００６】  図２に示すように、前記従来のネットワーク２０は、ルータ１０、クライアント装置２１、２２、ＤＮＳサーバ２３及びホスト装置２４を具備している。【０００７】  次に、前記従来のネットワーク２０の動作の１例を説明する。【０００８】  クライアント装置２１は、ホスト装置２４に接続するために、ＤＮＳサーバ２３にＤＮＳ要求を送信する。このＤＮＳ要求に対するＤＮＳ応答がＤＮＳサーバ２３からクライアント装置２１に送信されるが、このときルータ１０は、ＤＮＳ応答のホスト装置２４の名とＩＰアドレスを更新処理部１３によりＨＯＳＴＳテーブル１４に保存し、クライアント装置２１に転送する。これにより、クライアント装置２１は、ホスト装置２４にアクセスすることが可能となる。【０００９】  次に、クライアント装置２２からホスト装置２４への接続要求が発生すると、クライアント装置２２は、名前解決のためにＤＮＳ要求をＤＮＳサーバ２３へむけて送信する。このとき、内部ネットワークと外部ネットワークの境界に存在するルータ１０は、一旦このＤＮＳ要求を受け取り、ＨＯＳＴＳテーブル１４を参照する。【００１０】  ここで、ＤＮＳ要求に含まれるホスト装置２４の名がＨＯＳＴＳテーブル１４に存在する場合には、ルータ１０は、このＤＮＳ要求をＤＮＳサーバ２３に転送せず、ＨＯＳＴＳテーブル１４の中の対応するＩＰアドレスを直接にクライアント装置２２に送信する。【００１１】  このように前記従来のルータ１０では、ＤＮＳ応答を保持することにより、外部ネットワークへ送出するＤＮＳ要求の量を抑制することができ、トラフィックの軽減を図ることができる。【００１２】  ここで、ホスト装置の種別としてセキュアなコンテンツを有するセキュアなホスト装置と一般のホスト装置がある。クライアント装置の種別としても、予め認証を受けたセキュアなホスト装置及び一般のホスト装置に接続できるセキュアな通信端末装置と、一般のホスト装置のみに接続可���な一般の通信端末装置がある。【００１３】  この場合の他の従来のネットワークについて、図３を参照して説明する。図３は、他の従来のネットワークの構成を示すブロック図である。【００１４】  図３に示す他の従来のネットワーク３０は、従来のネットワーク２０において、ホスト装置２４の代わりに一般のホスト装置３４及びセキュアなホスト装置３５を具備し、クライアント装置２１、２２の代わりにセキュアな通信端末装置３１及び一般の通信端末装置３２を具備し、かつ、認証サーバ３３を追加してなる。【００１５】  セキュアな通信端末装置３１は、予め認証サーバ３３によって認証を受けた通信端末装置である。セキュアな通信端末装置３１は、セキュアなホスト装置３５及び一般のホスト装置３４に接続することが可能である。ここで、一般の通信端末装置３２からセキュアなホスト装置３５へのアクセスは許可されていないため、一般の通信端末装置３２からセキュアなホスト装置３５への接続要求は、ネットワークの無駄なトラフィックの増加につながる。【００１６】  また、内部ネットワークと外部ネットワークの境界であるルータ１０によりアクセス制御を行う方法があるが、従来技術においてルータ１０又はゲートウェイ装置によりアクセス制御を行う場合には、セキュアなホスト装置３５へのアクセスを判別するため、ルータ１０又はゲートウェイ装置に全てのセキュアなホスト装置のリストを保持させておくことが必要となる。
【特許文献１】特開平１１−３４０９８４号公報
【発明の開示】
【発明が解決しようとする課題】
【００１７】  しかしながら、前記従来技術においては、ルータ１０でのアクセス制御を行う時に、全てのセキュアなホスト装置にアクセスするという可能性は極めて小さいにも拘わらず、全てのセキュアなホスト装置のリストを保持することが必要となるため、メモリ装置等のリソースの大きな量を必要とするという問題がある。【００１８】  また、前記従来技術においては、ネットワークの構成が変化するたびに前記リストの変更をする必要があるという問題がある。【００１９】  本発明の目的は、メモリ装置等のリソースの大きな量を必要とせず、かつ、ネットワークの構成が変化するたびにセキュアなホスト装置のリストを変更する必要がないアクセス制御装置を提供することである。
【課題を解決するための手段】
【００２０】  本発明の第１のものは、ＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）におけるＤＮＳ応答に含まれるホスト装置のＩＰアドレスが一般のホスト装置のＩＰアドレスである時に当該ＤＮＳ応答に係るパケットを内部ネットワークへ送出する手段と、前記ＤＮＳ応答に含まれる前記ホスト装置の前記ＩＰアドレスがセキュアなホスト装置のＩＰアドレスである時に当該ＤＮＳ応答に含まれている前記セキュアなホスト装置の名、前記セキュアなホスト装置のＩＰアドレス及びＤＮＳ要求元の通信端末装置のＩＰアドレスをセキュアホストリスト保持部に登録する登録手段と、前記ＤＮＳ応答の前記宛先がセキュアな通信端末装置である時に当該ＤＮＳ応答に係るパケットを前記内部ネットワークへ送出する手段と、前記ＤＮＳ応答の宛先が一般の通信端末装置である時に当該ＤＮＳ応答に係るパケットを廃棄し当該一般の通信端末装置にアクセス不可を通知するアクセス不可通知手段と、パケット送信元の通信端末装置がセキュアな通信端末装置である時に当該パケットを外部ネットワークへ送出する手段と、前記パケット送信元の通信端末装置が前記一般の通信端末装置である時であってパケット宛先が前記セキュアホストリスト保持部に含まれていない時に当該パケットを前記外部ネットワークへ送出する手段と、前記パケット送信元の前記通信端末装置が前記一般の通信端末装置である時であって前記パケット宛先が前記セキュアホストリスト保持部に含まれている時に当該パケットを廃棄し当該一般の通信端末装置にアクセス不可を通知するアクセス不可通知手段と、を具備する構成を採る。【００２１】  本発明の第２のものは、ＤＮＳ応答に含まれるホスト装置の種別が一般のホスト装置に関するものである時に当該ＤＮＳ応答に係るパケットを内部ネットワークへ送出する手段と、前記ＤＮＳ応答に含まれる前記ホスト装置の種別がセキュアなホスト装置に関するものである時に当該ＤＮＳ応答に含まれている前記セキュアなホスト装置の名、前記セキュアなホスト装置のＩＰアドレス及びＤＮＳ要求元の通信端末装置のＩＰアドレスをセキュアホストリスト保持部に登録する登録手段と、前記ＤＮＳ応答の前記宛先がセキュアな通信端末装置である時に当該ＤＮＳ応答に係るパケットを前記内部ネットワークへ送出する手段と、前記ＤＮＳ応答の宛先が一般の通信端末装置である時に当該ＤＮＳ応答に係るパケットを廃棄し当該一般の通信端末装置にアクセス不可を通知するアクセス不可通知手段と、パケット送信元の通信端末装置がセキュアな通信端末装置である時に当該パケットを外部ネットワークへ送出する手段と、前記パケット送信元の通信端末装置が前記一般の通信端末装置である時であってパケット宛先が前記セキュアホストリスト保持部に含まれていない時に当該パケットを前記外部ネットワークへ送出する手段と、前記パケット送信元の前記通信端末装置が前記一般の通信端末装置である時であって前記パケット宛先が前記セキュアホストリスト保持部に含まれている時に当該パケットを廃棄し当該一般の通信端末装置にアクセス不可を通知するアクセス不可通知手段と、を具備する構成を採る。【００２２】  本発明の第３のものは、ＤＮＳ応答の宛先が一般の通信端末装置である��に当該ＤＮＳ応答に係るパケットを内部ネットワークへ送出する手段と、前記ＤＮＳ応答の前記宛先がセキュアなホスト装置である時に当該ＤＮＳ応答に含まれている前記セキュアなホスト装置の名、前記セキュアなホスト装置のＩＰアドレス及びＤＮＳ要求元の通信端末装置のＩＰアドレスをセキュアホストリスト保持部に登録する登録手段と、パケット送信元の通信端末装置がセキュアな通信端末装置である時に当該パケットを外部ネットワークへ送出する手段と、前記パケット送信元の通信端末装置が前記一般の通信端末装置である時であってパケット宛先が前記セキュアホストリスト保持部に含まれていない時に当該パケットを前記外部ネットワークへ送出する手段と、前記パケット送信元の前記通信端末装置が前記一般の通信端末装置である時であって前記パケット宛先が前記セキュアホストリスト保持部に含まれている時に当該パケットを廃棄し当該一般の通信端末装置にアクセス不可を通知するアクセス不可通知手段と、を具備する構成を採る。
【発明の効果】
【００２３】  本発明によれば、ＤＮＳ応答に含まれているセキュアなホスト装置の名、前記セキュアなホスト装置のＩＰアドレス及びＤＮＳ要求元の通信端末装置のＩＰアドレスをセキュアホストリスト保持部に登録し、パケット送信元の通信端末装置が一般の通信端末装置である時であってパケット宛先が前記セキュアホストリスト保持部に含まれている時に当該パケットを廃棄し当該一般の通信端末装置にアクセス不可を通知するため、メモリ装置等のリソースの大きな量を必要とせず、かつ、ネットワークの構成が変化するたびにセキュアなホスト装置のリストを変更する必要がない。
【図面の簡単な説明】
【００２４】
【図１】従来のルータの構成を示すブロック図
【図２】従来のネットワークの構成を示すブロック図
【図３】他の従来のネットワークの構成を示すブロック図
【図４】本発明の実施の形態１に係るアクセス制御装置の構成を示すブロック図
【図５】本発明の実施の形態１に係るアクセス制御装置に用いられるセキュアホストリストを説明するための図
【図６】本発明の実施の形態１に係るアクセス制御装置に用いられる端末情報リストを説明するための図
【図７】本発明の実施の形態１に係るアクセス制御装置を有するネットワークの構成を示すブロック図
【図８】本発明の実施の形態１に係るアクセス制御装置のセキュアホストリスト作成部の動作を説明するためのフロー図
【図９】本発明の実施の形態１に係るアクセス制御装置が外部ネットワークからのパケットを受けた時の動作を説明するためのフロー図
【図１０】本発明の実施の形態１に係るアクセス制御装置が内部ネットワークからのパケットを受けた時の動作を説明するためのフロー図
【図１１】本発明の実施の形態２に係るアクセス制御装置の動作におけるセキュアホストリストの作成の動作を説明するためのフロー図
【図１２】本発明の実施の形態３に係るアクセス制御装置を具備するネットワークの構成を示すブロック図
【図１３】本発明の実施の形態３に係るアクセス制御装置の動作におけるセキュアホストリストの作成の動作を説明するためのフロー図
【発明を実施するための最良の形態】
【００２５】  次に、本発明の実施の形態について、図面を参照して説明する。【００２６】  （実施の形態１）
図４は、本発明の実施の形態１に係るアクセス制御装置の構成を示すブロック図である。図５は、本発明の実施の形態１に係るアクセス制御装置に用いられるセキュアホストリストを説明するための図である。図６は、本発明の実施の形態１に係るアクセス制御装置に用いられる端末情報リストを説明するための図である。【００２７】  図４に示すように、本発明の実施の形態１に係るアクセス制御装置１００は、送受信部１０１、１０２、アクセス制御部１０３、セキュアホストリスト作成部１０４、セキュアホストリスト保持部１０５及び端末情報リスト保持部１０６を具備している。セキュアホストリスト保持部１０５は、セキュアホストリストを保持する。端末情報リスト保持部１０６は、端末情報リストを保持する。【００２８】  なお、アクセス制御装置１００をはさんで存在する２つのネットワークは、内部ネットワークと外部ネットワークとする。【００２９】  送受信部１０１は、内部ネットワーク及びアクセス制御部１０３との間でパケットの送受信を行う。送受信部１０２は、外部ネットワーク及びアクセス制御部１０３との間でパケットの送受信を行う。【００３０】  アクセス制御部１０３は、セキュアホストリスト保持部１０５及び端末情報リスト保持部１０６が保持するセキュアホストリスト及び端末情報リストに基づいて、内部ネットワークからのパケットを送受信部１０１を介して受けてこのパケットのアクセス制御を行う。また、アクセス制御部１０３は、ＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）における外部ネットワークからのＤＮＳ応答を検出して、セキュアホストリスト作成部１０４に転送する。【００３１】  セキュアホストリスト作成部１０４は、ＤＮＳ応答が外部ネットワークから返ってきてアクセス制御部１０３によりＤＮＳ応答が転送されると、セキュアなホスト装置に関するＤＮＳ応答を抽出してセキュアホストリスト保持部１０５に登録をおこなう。【００３２】  セキュアホストリストの情報は、図５に示すように、セキュアコンテンツを保有するセキュアなホスト装置のリストの情報であり、セキュアなホスト装置の名とセキュアなホスト装置のＩＰアドレス及び該当するセキュアなホスト装置へＤＮＳ要求を出したＤＮＳ要求元の通信端末装置のＩＰアドレスの情報である。【００３３】  端末情報リストの情報は、図６に示すように、内部ネットワークからアクセス制御装置１００に繋がっている通信端末装置に関する情報であり、通信端末装置のＩＰアドレスである端末ＩＰアドレスの情報、及び、通信端末装置が認証済みであるセキュアな通信端末装置又は認証済みでない一般の通信端末装置であるかの情報である。【００３４】  ここで、セキュアホストリストの作成について説明する。図７は、本発明の実施の形態１に係るアクセス制御装置１００を有するネットワーク４００の構成を示すブロック図である。【００３５】  ネットワーク４００は、アクセス制御装置１００、セキュアな通信端末装置４０１、一般の通信端末装置４０２、認証サーバ４０３、ＤＮＳサーバ４０４、一般のホスト装置４０５及びセキュアなホスト装置４０６を具備している。【００３６】  セキュアな通信端末装置４０１及び一般の通信端末装置４０２は、内部ネットワークを構成している。認証サーバ４０３、ＤＮＳサーバ４０４、一般のホスト装置４０５及びセキュアなホスト装置４０６は、外部ネットワークを構成している。【００３７】  図７のネットワーク４００において、セキュアなホスト装置４０６及び一般のホスト装置４０５のアドレス空間は分離されており、アドレス空間の割り当て情報をアクセス制御装置１００がセキュアホストリスト作成部１０４の中に保持している。【００３８】  次に、本発明の実施の形態１に係るアクセス制御装置１００のセキュアホストリスト作成部１０４の動作について、図４〜図７と共に図８を参照して説明する。図８は、本発明の実施の形態１に係るアクセス制御装置１００のセキュアホストリスト作成部１０４の動作を説明するためのフロー図である。【００３９】  図８に示すように、ステップＳＴ５０１において、セキュアホストリスト作成部１０４はＤＮＳ応答の入力かを判断する。ステップＳＴ５０１においてＤＮＳ応答が入力された時に、セキュアホストリスト作成部１０４によりＤＮＳ応答に含まれるホスト装置のＩＰアドレスは何かが判断される（ステップＳＴ５０２）。【００４０】  ステップＳＴ５０２においてＤＮＳ応答に含まれるホスト装置のＩＰアドレスはセキュアなホスト装置のＩＰアドレスである時に、セキュアホストリスト作成部１０４は、このＤＮＳ応答、すなわち、このＤＮＳ応答に含まれている前記セキュアなホスト装置の名、前記セキュアなホスト装置のＩＰアドレス及びＤＮＳ要求元の通信端末装置のＩＰアドレスをセキュアホストリスト保持部１０５のセキュアホストリストに登録する（ステップＳＴ５０３）。【００４１】  次に、ステップＳＴ５０４において、セキュアホストリスト作成部１０４によりＤＮＳ応答の宛先は何かが判断される。ステップＳＴ５０４においてＤＮＳ応答の宛先は一般の通信端末装置である時に、セキュアホストリスト作成部１０４はパケットを破棄し当該一般の通信端末装置にアクセス不可を通知する（ステップＳＴ５０５）。【００４２】  前記ステップＳＴ５０２においてＤＮＳ応答に含まれるホスト装置のＩＰアドレスは一般のホスト装置のＩＰアドレスである時に、又は、ステップＳＴ５０４においてＤＮＳ応答の宛先はセキュアな通信端末装置である時に、セキュアホストリスト作成部１０４は内部ネットワークへパケットを送出する（ステップＳＴ５０６）。【００４３】  次に、本発明の実施の形態１に係るアクセス制御装置１００が外部ネットワークからのパケットを受けた時の動作について、図４〜図７と共に図９を参照して説明する。図９は、本発明の実施の形態１に係るアクセス制御装置１００が外部ネットワークからのパケットを受けた時の動作を説明するためのフロー図である。【００４４】  図９に示すように、ステップＳＴ６０１において、アクセス制御部１０３は外部ネットワークからのパケットの入力かを判断する。ステップＳＴ６０１においてアクセス制御部１０３は外部ネットワークからのパケットの入力であると判断した時に、パケットの種別は何かをアクセス制御部１０３は判断する（ステップＳＴ６０２）。【００４５】  前記ステップＳＴ６０２においてパケットの種別はＤＮＳ応答である時に、アクセス制御部１０３はパケットをセキュアホストリスト作成部１０４へ転送する（ステップＳＴ６０３）。前記ステップＳＴ６０２においてパケットの種別はＤＮＳ応答以外である時に、アクセス制御部１０３は内部ネットワークへパケットを送出する（ステップＳＴ６０４）。【００４６】  次に、本発明の実施の形態１に係るアクセス制御装置１００が内部ネットワークからのパケットを受けた時の動作について、図４〜図７と共に図１０を参照して説明する。図１０は、本発明の実施の形態１に係るアクセス制御装置１００が内部ネットワークからのパケットを受けた時の動作を説明するためのフロー図である。【００４７】  図１０に示すように、ステップＳＴ７０１において、アクセス制御部１０３は内部ネットワークからのパケットの入力かを判断する。ステップＳＴ７０１においてアクセス制御部１０３は内部ネットワークからのパケットの入力であると判断した時に、アクセス制御部１０３はパケットの送信元と端末情報リストを照合し（ステップＳＴ７０２）、送信元の通信端末装置は何かをアクセス制御部１０３は判断する（ステップＳＴ７０３）。【００４８】  前記ステップＳＴ７０３において送信元の通信端末装置は一般の通信端末装置である時に、アクセス制御部１０３はパケットの宛先とセキュアホストリストを照合し（ステップＳＴ７０４）、パケットの宛先はセキュアホストリストに含まれているかをアクセス制御部１０３は判断する（ステップＳＴ７０５）。【００４９】  前記ステップＳＴ７０５においてパケットの宛先はセキュアホストリストに含まれている時に、アクセス制御部１０３はパケットを破棄して当該一般の通信端末装置にアクセス不可を通知する（ステップＳＴ７０６）。【００５０】  前記ステップＳＴ７０３において送信元の通信端末装置はセキュアな通信端末装置である時、又は、前記ステップＳＴ７０５においてパケットの宛先はセキュアホストリストに含まれていない時に、アクセス制御部１０３は外部ネットワークへパケットを送出する（ステップＳＴ７０７）。【００５１】  このように実施の形態１によれば、アクセス制御装置１００に、第１のネットワーク（外部ネットワーク）内のホストに関するホスト情報を記憶するセキュアホストリスト保持部１０５と、前記第１のネットワーク内のホスト情報を取得するためのＤＮＳ要求を第２のネットワーク（内部ネットワーク）内の端末から受信する送受信部１０１と、受信されたＤＮＳ要求に係るホスト情報がセキュアホストリスト保持部１０５に登録されている場合に、前記登録されているホスト情報を含むＤＮＳ応答を前記端末に送信し、且つ、受信されたＤＮＳ要求に係るホスト情報がセキュアホストリスト保持部１０５に登録されていない場合に、前記ＤＮＳ要求を外部（ＤＮＳサーバ４０４）に送信し当該ＤＮＳ要求に対するＤＮＳ応答に含まれるホスト情報を取得してセキュアホストリスト保持部１０５に登録する制御手段としてのアクセス制御部１０３およびセキュアホストリスト作成部１０４と、を設け、前記制御手段は、セキュアなホストに関する前記ホスト情報のみをキュアホストリスト保持部１０５に登録する。【００５２】  こうすることにより、セキュアホストリスト保持部１０５にはセキュアな���ストに関するホスト情報のみが記憶されることとなり、メモリ等のリソースの大きな量を不要とすることができる。【００５３】  さらに、アクセス制御装置１００に、前記第２のネットワーク内の端末に関する端末情報を記憶する端末情報リスト保持部１０６を設け、前記制御手段は、前記ＤＮＳ要求の送信元端末の前記端末情報がセキュアな端末でない一般の端末であることを示し且つ前記ＤＮＳ要求に係るホスト情報が前記ホスト情報記憶手段に登録されているときに、および、前記パケットの送信元端末の前記端末情報が前記一般の端末であることを示し且つ前記ＤＮＳ要求に係るホスト情報が前記ホスト情報記憶手段に登録されていないときであって前記外部（ＤＮＳサーバ４０４）に送信した前記ＤＮＳ要求に対するＤＮＳ応答に含まれるホスト情報がセキュアなホストであることを示すときに、前記ＤＮＳ要求を廃棄するとともに前記送信元端末に対してアクセス不可通知の送信を制御する。【００５４】  こうすることにより、第１のネットワーク（外部ネットワーク）に対する不要なパケットを送信することが無くなるので、ネットワーク全体のトラヒックを軽減するとともに、宛先になっているホストにおけるパケット処理量も軽減することができる。【００５５】  前記ホスト情報は、各ホストのＩＰアドレスであり、前記制御手段は、前記セキュアなホストおよび一般のホストの互いに異なるアドレス空間割り当て情報を記憶し、前記取得したホスト情報としてのＩＰアドレスの含まれるアドレス空間がセキュアなホストに関するときにのみ前記ＩＰアドレスを登録する。【００５６】  （実施の形態２）
次に、本発明の実施の形態２について、図面を参照して説明する。本発明の実施の形態２に係るアクセス制御装置は、本発明の実施の形態１に係るアクセス制御装置１００と同じ構成を具備している。本発明の実施の形態２においては、セキュアなホスト装置４０６及び一般のホスト装置４０５のアドレス空間は分離しておらず、アクセス制御部１０３はそのアドレス空間も保持していない。【００５７】  本発明の実施の形態２に係るアクセス制御装置の動作は、セキュアホストリストの作成の動作についてのみ本発明の実施の形態１に係るアクセス制御装置１００の動作と異なる。図１１は、本発明の実施の形態２に係るアクセス制御装置の動作におけるセキュアホストリストの作成の動作を説明するためのフロー図である。【００５８】  図７のネットワーク４００において、ＤＮＳサーバ４０４は、登録されたホスト装置がセキュアなホスト装置４０６又は一般のホスト装置４０５であるかの情報を保持しており、ＤＮＳ応答としてホスト装置の種別の情報を付加することができるものとする。例えば、ＤＮＳサーバ４０４は、ＤＮＳ応答時にホスト装置の種別の情報をＶＬＡＮタグＩＤ又はＩＰのＴＯＳフィールド等にマッピングして送付される。ここでは、ホスト装置の情報の識別にどのレイヤを使うかは、限定されない。【００５９】  次に、本発明の実施の形態２に係るアクセス制御装置の動作におけるセキュアホストリストの作成の動作を説明する。【００６０】  セキュアな通信端末装置４０１又は一般の通信端末装置４０２からセキュアなホスト装置４０６に関するＤＮＳ要求が発生し、ＤＮＳサーバ４０４よりホスト装置の種別情報が付加されたＤＮＳ応答が返ってくると、アクセス制御装置１００はこれを受信する。【００６１】  図１１に示すように、ステップＳＴ８０１においてセキュアホストリスト作成部１０４は、ＤＮＳ応答の入力かを判断する。ステップＳＴ８０１においてセキュアホストリスト作成部１０４はＤＮＳ応答の入力であると判断した時に、ＤＮＳ応答の種別は何かをセキュアホストリスト作成部１０４は判断する（ステップＳＴ８０２）。【００６２】  ステップＳＴ８０２においてＤＮＳ応答の種別はセキュアホスト装置に関するものである時に、セキュアホストリスト作成部１０４はＤＮＳ応答、すなわち、このＤＮＳ応答に含まれているセキュアなホスト装置の名、セキュアなホスト装置のＩＰアドレス及びＤＮＳ要求元通信端末装置のＩＰアドレスをセキュアホストリスト保持部１０５のセキュアホストリストに登録する（ステップＳＴ８０３）。【００６３】  次に、ステップＳＴ８０４においてＤＮＳ応答の宛先は何かをセキュアホストリスト作成部１０４は判断する。ステップＳＴ８０４においてＤＮＳ応答の宛先は一般の通信端末装置である時に、セキュアホストリスト作成部１０４は、パケットを破棄し当該一般の通信端末装置にアクセス不可を通知する（ステップＳＴ８０５）。【００６４】  前記ステップＳＴ８０２においてＤＮＳ応答の種別は一般のホスト装置に関するものである時、又は、前記ステップＳＴ８０４においてＤＮＳ応答の宛先はセキュアな通信端末装置である時に、セキュアホストリスト作成部１０４は、内部ネットワークへパケットを送��する（ステップＳＴ８０６）。【００６５】  本発明の実施の形態２に係るアクセス制御装置１００のアクセス制御部１０３の動作は、本発明の実施の形態１に係るアクセス制御装置のアクセス制御部１０３の動作と同じである。【００６６】  このように実施の形態２によれば、アクセス制御装置１００に、第１のネットワーク（外部ネットワーク）内のホストに関するホスト情報を記憶するセキュアホストリスト保持部１０５と、前記第１のネットワーク内のホスト情報を取得するためのＤＮＳ要求を第２のネットワーク（内部ネットワーク）内の端末から受信する送受信部１０１と、受信されたＤＮＳ要求に係るホスト情報がセキュアホストリスト保持部１０５に登録されている場合に、前記登録されているホスト情報を含むＤＮＳ応答を前記端末に送信し、且つ、受信されたＤＮＳ要求に係るホスト情報がセキュアホストリスト保持部１０５に登録されていない場合に、前記ＤＮＳ要求を外部（ＤＮＳサーバ４０４）に送信し当該ＤＮＳ要求に対するＤＮＳ応答に含まれるホスト情報を取得してセキュアホストリスト保持部１０５に登録する制御手段としてのアクセス制御部１０３およびセキュアホストリスト作成部１０４と、を設け、前記制御手段は、セキュアなホストに関する前記ホスト情報のみをキュアホストリスト保持部１０５に登録する。【００６７】  さらに、前記取得したホスト情報は、セキュアか一般かを示すホスト種別情報を含み、前記制御手段は、前記ホスト種別情報がセキュアなホストであることを示すときにのみ前記取得したホスト情報を登録する。【００６８】  （実施の形態３）
次に、本発明の実施の形態３について、図面を参照して説明する。図１２は、本発明の実施の形態３に係るアクセス制御装置を具備するネットワークの構成を示すブロック図である。本発明の実施の形態３に係るアクセス制御装置を具備するネットワークにおいては、図７に示す本発明の実施の形態１に係るアクセス制御装置を具備するネットワークと同じ構成要素には同じ参照符号が付されてその説明が省略される。【００６９】  本発明の実施の形態３に係るネットワーク９００は、本発明の実施の形態１に係るネットワーク４００においてセキュアなＤＮＳサーバ９０１を追加してなる。本発明の実施の形態３に係るネットワーク９００においては、セキュアなホスト装置４０６及び一般のホスト装置４０５のアドレス空間は分離しておらず、アクセス制御部１０３はそのアドレス空間も保持していない。【００７０】  本発明の実施の形態３は、セキュアホストリストの作成についてのみ本発明の実施の形態１、２と異なる。ＤＮＳサーバとして、セキュアなＤＮＳサーバ９０１と一般のＤＮＳサーバ４０４の２種類が存在する。セキュアなＤＮＳサーバ９０１は、セキュアなホスト装置４０６のＤＮＳ情報を保有しており、セキュアな通信端末装置４０１からのＤＮＳ要求のみ受け付ける。【００７１】  次に、本発明の実施の形態３に係るアクセス制御装置１０３の動作におけるセキュアホストリストの作成の動作を説明する。図１３は、本発明の実施の形態３に係るアクセス制御装置１０３の動作におけるセキュアホストリストの作成の動作を説明するためのフロー図である。【００７２】  内部ネットワークのセキュアな通信端末装置４０１からＤＮＳ要求が生じ、セキュアなＤＮＳサーバ９０１からそのＤＮＳ応答が返ってくると、アクセス制御装置１００はこれを受信する。【００７３】  図１３に示すように、ステップＳＴ１００１においてアクセス制御部１０３は、ＤＮＳ応答の入力かを判断する。ステップＳＴ１００１においてアクセス制御部１０３はＤＮＳ応答の入力であると判断した時に、ＤＮＳ応答の宛先は何かをアクセス制御部１０３は判断する（ステップＳＴ１００２）。【００７４】  前記ステップＳＴ１００２においてＤＮＳ応答の宛先はセキュアな通信端末装置である時に、アクセス制御部１０３は、ＤＮＳ応答、すなわち、このＤＮＳ応答に含まれるセキュアなホスト装置の名、セキュアなホスト装置のＩＰアドレス及びＤＮＳ要求元の通信端末装置のＩＰアドレスをセキュアホストリスト保持部１０５のセキュアホストリストに登録する（ステップＳＴ１００３）。前記ステップＳＴ１００２においてＤＮＳ応答の宛先は一般の通信端末装置である時に、アクセス制御部１０３は、内部ネットワークへパケットを送出する（ステップＳＴ１００４）。【００７５】  本発明の実施の形態３に係るアクセス制御装置１００のアクセス制御部１０３の動作は、本発明の実施の形態１に係るアクセス制御装置１００のアクセス制御部１０３の動作と同じである。
本明細書は、２００４年１２月２２日出願の特願２００４−３７２２３１に基づく。この内容はすべてここに含めておく。
【産業上の利用可能性】
【００７６】  本発明は、メモリ装置等のリソースの大きな量を必要とせず、かつ、ネットワークの構成が変化するたびにセキュアなホスト装置のリストを変更する必要がない効果を有し、アクセス制御装置に有用である。
【図１】
2006067973.tif 000002
【図２】
2006067973.tif 000003
【図３】
2006067973.tif 000004
【図４】
2006067973.tif 000005
【図５】
2006067973.tif 000006
【図６】
2006067973.tif 000007
【図７】
2006067973.tif 000008
【図８】
2006067973.tif 000009
【図９】
2006067973.tif 000010
【図１０】
2006067973.tif 000011
【図１１】
2006067973.tif 000012
【図１２】
2006067973.tif 000013
【図１３】
2006067973.tif 000014
【手続補正書】
【提出日】平成19年8月30日(2007.8.30)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
ＤＮＳ(Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ)におけるＤＮＳ応答に含まれるホスト装置のＩＰアドレスが一般のホスト装置のＩＰアドレスである時に当該ＤＮＳ応答に係るパケットを内部ネットワークへ送出する手段と、
前記ＤＮＳ応答に含まれる前記ホスト装置の前記ＩＰアドレスがセキュアなホスト装置のＩＰアドレスである時に当該ＤＮＳ応答に含まれている前記セキュアなホスト装置の名、前記セキュアなホスト装置のＩＰアドレス及びＤＮＳ要求元の通信端末装置のＩＰアドレスをセキュアホストリスト保持部に登録する登録手段と、
前記ＤＮＳ応答の前記宛先がセキュアな通信端末装置である時に当該ＤＮＳ応答に係るパケットを前記内部ネットワークへ送出する手段と、
前記ＤＮＳ応答の宛先が一般の通信端末装置である時に当該ＤＮＳ応答に係るパケットを廃棄し当該一般の通信端末装置にアクセス不可を通知するアクセス不可通知手段と、
パケット送信元の通信端末装置がセキュアな通信端末装置である時に当該パケットを外部ネットワークへ送出する手段と、
前記パケット送信元の通信端末装置が前記一般の通信端末装置である時であってパケット宛先が前記セキュアホストリスト保持部に含まれていない時に当該パケットを前記外部ネットワークへ送出する手段と、
前記パケット送信元の前記通信端末装置が前記一般の通信端末装置である時であって前記パケット宛先が前記セキュアホストリスト保持部に含まれている時に当該パケットを廃棄し当該一般の通信端末装置にアクセス不可を通知するアクセス不可通知手段と、
を具備するアクセス制御装置。
【請求項２】
ＤＮＳ応答に含まれるホスト装置の種別が一般のホスト装置に関するものである時に当該ＤＮＳ応答に係るパケットを内部ネットワークへ送出する手段と、
前記ＤＮＳ応答に含まれる前記ホスト装置の種別がセキュアなホスト装置に関するものである時に当該ＤＮＳ応答に含まれている前記セキュアなホスト装置の名、前記セキュアなホスト装置のＩＰアドレス及びＤＮＳ要求元の通信端末装置のＩＰアドレスをセキュアホストリスト保持部に登録する登録手段と、
前記ＤＮＳ応答の前記宛先がセキュアな通信端末装置である時に当該ＤＮＳ応答に係るパケットを前記内部ネットワークへ送出する手段と、
前記ＤＮＳ応答の宛先が一般の通信端末装置である時に当該ＤＮＳ応答に係るパケットを廃棄し当該一般の通信端末装置にアクセス不可を通知するアクセス不可通知手段と、
パケット送信元の通信端末装置がセキュアな通信端末装置である時に当該パケットを外部ネットワークへ送出する手段と、
前記パケット送信元の通信端末装置が前記一般の通信端末装置である時であってパケット宛先が前記セキュアホストリスト保持部に含まれていない時に当該パケットを前記外部ネットワークへ送出する手段と、
前記パケット送信元の前記通信端末装置が前記一般の通信端末装置である時であって前記パケット宛先が前記セキュアホストリスト保持部に含まれている時に当該パケットを廃棄し当該一般の通信端末装置にアクセス不可を通知するアクセス不可通知手段と、
を具備するアクセス制御装置。
【請求項３】
ＤＮＳ応答の宛先が一般の通信端末装置である時に当該ＤＮＳ応答に係るパケットを内部ネットワークへ送出する手段と、
前記ＤＮＳ応答の前記宛先がセキュアなホスト装置である時に当該ＤＮＳ応答に含まれている前記セキュアなホスト装置の名、前記セキュアなホスト装置のＩＰアドレス及びＤＮＳ要求元の通信端末装置のＩＰアドレスをセキュアホストリスト保持部に登録する登録手段と、
パケット送信元の通信端末装置がセキュアな通信端末装置である時に当該パケットを外
部ネットワークへ送出する手段と、
前記パケット送信元の通信端末装置が前記一般の通信端末装置である時であってパケット宛先が前記セキュアホストリスト保持部に含まれていない時に当該パケットを前記外部ネットワークへ送出する手段と、
前記パケット送信元の前記通信端末装置が前記一般の通信端末装置である時であって前記パケット宛先が前記セキュアホストリスト保持部に含まれている時に当該パケットを廃棄し当該一般の通信端末装置にアクセス不可を通知するアクセス不可通知手段と、
を具備するアクセス制御装置。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ホスト装置への通信端末装置の接続要求を制御するアクセス制御装置に関するものである。
【背景技術】
【０００２】
ＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）は、ＩＰアドレスとホスト装置の名の解決を行う。ＤＮＳにおいては、通信端末装置においてホスト装置への接続要求が生じると、通信端末装置において指定されたＤＮＳサーバへ接続先のホスト装置の名を送る。ＤＮＳサーバは、受信したホスト装置の名に対応するＩＰアドレスを検索し、その結果を応答として通信端末装置に送る。これにより通信端末装置は自身が接続しようとしているホスト装置のＩＰアドレスを知ることができるので、ホスト装置にアクセスすることが可能となる。
【０００３】
図１は、特許文献１で開示されているＩＰアドレス検索システムを実現する従来のルータの構成を示すブロック図である。図２は、特許文献１で開示されているＩＰアドレス検索システムを簡略化した従来のネットワークの構成を示すブロック図である。
【０００４】
図１に示すように、前記従来のルータ１０は、送受信部１１、１２、更新処理部１３及びＨＯＳＴＳテーブル１４を具備している。
【０００５】
ＨＯＳＴＳテーブル１４は、ホスト装置の名とＩＰアドレスを保持するものである。更新処理部１３は、ＨＯＳＴＳテーブル１４が保持しているホスト装置の名とＩＰアドレスを更新するものである。
【０００６】
図２に示すように、前記従来のネットワーク２０は、ルータ１０、クライアント装置２１、２２、ＤＮＳサーバ２３及びホスト装置２４を具備している。
【０００７】
次に、前記従来のネットワーク２０の動作の１例を説明する。
【０００８】
クライアント装置２１は、ホスト装置２４に接続するために、ＤＮＳサーバ２３にＤＮＳ要求を送信する。このＤＮＳ要求に対するＤＮＳ応答がＤＮＳサーバ２３からクライアント装置２１に送信されるが、このときルータ１０は、ＤＮＳ応答のホスト装置２４の名とＩＰアドレスを更新処理部１３によりＨＯＳＴＳテーブル１４に保存し、クライアント装置２１に転送する。これにより、クライアント装置２１は、ホスト装置２４にアクセスすることが可能となる。
【０００９】
次に、クライアント装置２２からホスト装置２４への接続要求が発生すると、クライアント装置２２は、名前解決のためにＤＮＳ要求をＤＮＳサーバ２３へむけて送信する。このとき、内部ネットワークと外部ネットワークの境界に存在するルータ１０は、一旦このＤＮＳ要求を受け取り、ＨＯＳＴＳテーブル１４を参照する。
【００１０】
ここで、ＤＮＳ要求に含まれるホスト装置２４の名がＨＯＳＴＳテーブル１４に存在する場合には、ルータ１０は、このＤＮＳ要求をＤＮＳサーバ２３に転送せず、ＨＯＳＴＳテーブル１４の中の対応するＩＰアドレスを直接にクライアント装置２２に送信する。
【００１１】
このように前記従来のルータ１０では、ＤＮＳ応答を保持することにより、外部ネットワークへ送出するＤＮＳ要求の量を抑制することができ、トラフィックの軽減を図ること
ができる。
【００１２】
ここで、ホスト装置の種別としてセキュアなコンテンツを有するセキュアなホスト装置と一般のホスト装置がある。クライアント装置の種別としても、予め認証を受けたセキュアなホスト装置及び一般のホスト装置に接続できるセキュアな通信端末装置と、一般のホスト装置のみに接続可能な一般の通信端末装置がある。
【００１３】
この場合の他の従来のネットワークについて、図３を参照して説明する。図３は、他の従来のネットワークの構成を示すブロック図である。
【００１４】
図３に示す他の従来のネットワーク３０は、従来のネットワーク２０において、ホスト装置２４の代わりに一般のホスト装置３４及びセキュアなホスト装置３５を具備し、クライアント装置２１、２２の代わりにセキュアな通信端末装置３１及び一般の通信端末装置３２を具備し、かつ、認証サーバ３３を追加してなる。
【００１５】
セキュアな通信端末装置３１は、予め認証サーバ３３によって認証を受けた通信端末装置である。セキュアな通信端末装置３１は、セキュアなホスト装置３５及び一般のホスト装置３４に接続することが可能である。ここで、一般の通信端末装置３２からセキュアなホスト装置３５へのアクセスは許可されていないため、一般の通信端末装置３２からセキュアなホスト装置３５への接続要求は、ネットワークの無駄なトラフィックの増加につながる。
【００１６】
また、内部ネットワークと外部ネットワークの境界であるルータ１０によりアクセス制御を行う方法があるが、従来技術においてルータ１０又はゲートウェイ装置によりアクセス制御を行う場合には、セキュアなホスト装置３５へのアクセスを判別するため、ルータ１０又はゲートウェイ装置に全てのセキュアなホスト装置のリストを保持させておくことが必要となる。
【特許文献１】特開平１１−３４０９８４号公報
【発明の開示】
【発明が解決しようとする課題】
【００１７】
しかしながら、前記従来技術においては、ルータ１０でのアクセス制御を行う時に、全てのセキュアなホスト装置にアクセスするという可能性は極めて小さいにも拘わらず、全てのセキュアなホスト装置のリストを保持することが必要となるため、メモリ装置等のリソースの大きな量を必要とするという問題がある。
【００１８】
また、前記従来技術においては、ネットワークの構成が変化するたびに前記リストの変更をする必要があるという問題がある。
【００１９】
本発明の目的は、メモリ装置等のリソースの大きな量を必要とせず、かつ、ネットワークの構成が変化するたびにセキュアなホスト装置のリストを変更する必要がないアクセス制御装置を提供することである。
【課題を解決するための手段】
【００２０】
本発明の第１のものは、ＤＮＳ(Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ)におけるＤＮＳ応答に含まれるホスト装置のＩＰアドレスが一般のホスト装置のＩＰアドレスである時に当該ＤＮＳ応答に係るパケットを内部ネットワークへ送出する手段と、前記ＤＮＳ応答に含まれる前記ホスト装置の前記ＩＰアドレスがセキュアなホスト装置のＩＰアドレスである時に当該ＤＮＳ応答に含まれている前記セキュアなホスト装置の名、前記セキュアなホスト装置のＩＰアドレス及びＤＮＳ要求元の通信端末装置のＩＰアドレスをセキュアホ
ストリスト保持部に登録する登録手段と、前記ＤＮＳ応答の前記宛先がセキュアな通信端末装置である時に当該ＤＮＳ応答に係るパケットを前記内部ネットワークへ送出する手段と、前記ＤＮＳ応答の宛先が一般の通信端末装置である時に当該ＤＮＳ応答に係るパケットを廃棄し当該一般の通信端末装置にアクセス不可を通知するアクセス不可通知手段と、パケット送信元の通信端末装置がセキュアな通信端末装置である時に当該パケットを外部ネットワークへ送出する手段と、前記パケット送信元の通信端末装置が前記一般の通信端末装置である時であってパケット宛先が前記セキュアホストリスト保持部に含まれていない時に当該パケットを前記外部ネットワークへ送出する手段と、前記パケット送信元の前記通信端末装置が前記一般の通信端末装置である時であって前記パケット宛先が前記セキュアホストリスト保持部に含まれている時に当該パケットを廃棄し当該一般の通信端末装置にアクセス不可を通知するアクセス不可通知手段と、を具備する構成を採る。
【００２１】
本発明の第２のものは、ＤＮＳ応答に含まれるホスト装置の種別が一般のホスト装置に関するものである時に当該ＤＮＳ応答に係るパケットを内部ネットワークへ送出する手段と、前記ＤＮＳ応答に含まれる前記ホスト装置の種別がセキュアなホスト装置に関するものである時に当該ＤＮＳ応答に含まれている前記セキュアなホスト装置の名、前記セキュアなホスト装置のＩＰアドレス及びＤＮＳ要求元の通信端末装置のＩＰアドレスをセキュアホストリスト保持部に登録する登録手段と、前記ＤＮＳ応答の前記宛先がセキュアな通信端末装置である時に当該ＤＮＳ応答に係るパケットを前記内部ネットワークへ送出する手段と、前記ＤＮＳ応答の宛先が一般の通信端末装置である時に当該ＤＮＳ応答に係るパケットを廃棄し当該一般の通信端末装置にアクセス不可を通知するアクセス不可通知手段と、パケット送信元の通信端末装置がセキュアな通信端末装置である時に当該パケットを外部ネットワークへ送出する手段と、前記パケット送信元の通信端末装置が前記一般の通信端末装置である時であってパケット宛先が前記セキュアホストリスト保持部に含まれていない時に当該パケットを前記外部ネットワークへ送出する手段と、前記パケット送信元の前記通信端末装置が前記一般の通信端末装置である時であって前記パケット宛先が前記セキュアホストリスト保持部に含まれている時に当該パケットを廃棄し当該一般の通信端末装置にアクセス不可を通知するアクセス不可通知手段と、を具備する構成を採る。
【００２２】
本発明の第３のものは、ＤＮＳ応答の宛先が一般の通信端末装置である時に当該ＤＮＳ応答に係るパケットを内部ネットワークへ送出する手段と、前記ＤＮＳ応答の前記宛先がセキュアなホスト装置である時に当該ＤＮＳ応答に含まれている前記セキュアなホスト装置の名、前記セキュアなホスト装置のＩＰアドレス及びＤＮＳ要求元の通信端末装置のＩＰアドレスをセキュアホストリスト保持部に登録する登録手段と、パケット送信元の通信端末装置がセキュアな通信端末装置である時に当該パケットを外部ネットワークへ送出する手段と、前記パケット送信元の通信端末装置が前記一般の通信端末装置である時であってパケット宛先が前記セキュアホストリスト保持部に含まれていない時に当該パケットを前記外部ネットワークへ送出する手段と、前記パケット送信元の前記通信端末装置が前記一般の通信端末装置である時であって前記パケット宛先が前記セキュアホストリスト保持部に含まれている時に当該パケットを廃棄し当該一般の通信端末装置にアクセス不可を通知するアクセス不可通知手段と、を具備する構成を採る。
【発明の効果】
【００２３】
本発明によれば、ＤＮＳ応答に含まれているセキュアなホスト装置の名、前記セキュアなホスト装置のＩＰアドレス及びＤＮＳ要求元の通信端末装置のＩＰアドレスをセキュアホストリスト保持部に登録し、パケット送信元の通信端末装置が一般の通信端末装置である時であってパケット宛先が前記セキュアホストリスト保持部に含まれている時に当該パケットを廃棄し当該一般の通信端末装置にアクセス不可を通知するため、メモリ装置等のリソースの大きな量を必要とせず、かつ、ネットワークの構成が変化するたびにセキュアなホスト装置のリストを変更する必要がない。
【発明を実施するための最良の形態】
【００２４】
次に、本発明の実施の形態について、図面を参照して説明する。
【００２５】
（実施の形態１）
図４は、本発明の実施の形態１に係るアクセス制御装置の構成を示すブロック図である。図５は、本発明の実施の形態１に係るアクセス制御装置に用いられるセキュアホストリストを説明するための図である。図６は、本発明の実施の形態１に係るアクセス制御装置に用いられる端末情報リストを説明するための図である。
【００２６】
図４に示すように、本発明の実施の形態１に係るアクセス制御装置１００は、送受信部１０１、１０２、アクセス制御部１０３、セキュアホストリスト作成部１０４、セキュアホストリスト保持部１０５及び端末情報リスト保持部１０６を具備している。セキュアホストリスト保持部１０５は、セキュアホストリストを保持する。端末情報リスト保持部１０６は、端末情報リストを保持する。
【００２７】
なお、アクセス制御装置１００をはさんで存在する２つのネットワークは、内部ネットワークと外部ネットワークとする。
【００２８】
送受信部１０１は、内部ネットワーク及びアクセス制御部１０３との間でパケットの送受信を行う。送受信部１０２は、外部ネットワーク及びアクセス制御部１０３との間でパケットの送受信を行う。
【００２９】
アクセス制御部１０３は、セキュアホストリスト保持部１０５及び端末情報リスト保持部１０６が保持するセキュアホストリスト及び端末情報リストに基づいて、内部ネットワークからのパケットを送受信部１０１を介して受けてこのパケットのアクセス制御を行う
。また、アクセス制御部１０３は、ＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）における外部ネットワークからのＤＮＳ応答を検出して、セキュアホストリスト作成部１０４に転送する。
【００３０】
セキュアホストリスト作成部１０４は、ＤＮＳ応答が外部ネットワークから返ってきてアクセス制御部１０３によりＤＮＳ応答が転送されると、セキュアなホスト装置に関するＤＮＳ応答を抽出してセキュアホストリスト保持部１０５に登録をおこなう。
【００３１】
セキュアホストリストの情報は、図５に示すように、セキュアコンテンツを保有するセキュアなホスト装置のリストの情報であり、セキュアなホスト装置の名とセキュアなホスト装置のＩＰアドレス及び該当するセキュアなホスト装置へＤＮＳ要求を出したＤＮＳ要求元の通信端末装置のＩＰアドレスの情報である。
【００３２】
端末情報リストの情報は、図６に示すように、内部ネットワークからアクセス制御装置１００に繋がっている通信端末装置に関する情報であり、通信端末装置のＩＰアドレスである端末ＩＰアドレスの情報、及び、通信端末装置が認証済みであるセキュアな通信端末装置又は認証済みでない一般の通信端末装置であるかの情報である。
【００３３】
ここで、セキュアホストリストの作成について説明する。図７は、本発明の実施の形態１に係るアクセス制御装置１００を有するネットワーク４００の構成を示すブロック図である。
【００３４】
ネットワーク４００は、アクセス制御装置１００、セキュアな通信端末装置４０１、一般の通信端末装置４０２、認証サーバ４０３、ＤＮＳサーバ４０４、一般のホスト装置４０５及びセキュアなホスト装置４０６を具備している。
【００３５】
セキュアな通信端末装置４０１及び一般の通信端末装置４０２は、内部ネットワークを構成している。認証サーバ４０３、ＤＮＳサーバ４０４、一般のホスト装置４０５及びセキュアなホスト装置４０６は、外部ネットワークを構成している。
【００３６】
図７のネットワーク４００において、セキュアなホスト装置４０６及び一般のホスト装置４０５のアドレス空間は分離されており、アドレス空間の割り当て情報をアクセス制御装置１００がセキュアホストリスト作成部１０４の中に保持している。
【００３７】
次に、本発明の実施の形態１に係るアクセス制御装置１００のセキュアホストリスト作成部１０４の動作について、図４〜図７と共に図８を参照して説明する。図８は、本発明の実施の形態１に係るアクセス制御装置１００のセキュアホストリスト作成部１０４の動作を説明するためのフロー図である。
【００３８】
図８に示すように、ステップＳＴ５０１において、セキュアホストリスト作成部１０４はＤＮＳ応答の入力かを判断する。ステップＳＴ５０１においてＤＮＳ応答が入力された時に、セキュアホストリスト作成部１０４によりＤＮＳ応答に含まれるホスト装置のＩＰアドレスは何かが判断される（ステップＳＴ５０２）。
【００３９】
ステップＳＴ５０２においてＤＮＳ応答に含まれるホスト装置のＩＰアドレスはセキュアなホスト装置のＩＰアドレスである時に、セキュアホストリスト作成部１０４は、このＤＮＳ応答、すなわち、このＤＮＳ応答に含まれている前記セキュアなホスト装置の名、前記セキュアなホスト装置のＩＰアドレス及びＤＮＳ要求元の通信端末装置のＩＰアドレスをセキュアホストリスト保持部１０５のセキュアホストリストに登録する（ステップＳＴ５０３）。
【００４０】
次に、ステップＳＴ５０４において、セキュアホストリスト作成部１０４によりＤＮＳ応答の宛先は何かが判断される。ステップＳＴ５０４においてＤＮＳ応答の宛先は一般の通信端末装置である時に、セキュアホストリスト作成部１０４はパケットを破棄し当該一般の通信端末装置にアクセス不可を通知する（ステップＳＴ５０５）。
【００４１】
前記ステップＳＴ５０２においてＤＮＳ応答に含まれるホスト装置のＩＰアドレスは一般のホスト装置のＩＰアドレスである時に、又は、ステップＳＴ５０４においてＤＮＳ応答の宛先はセキュアな通信端末装置である時に、セキュアホストリスト作成部１０４は内部ネットワークへパケットを送出する（ステップＳＴ５０６）。
【００４２】
次に、本発明の実施の形態１に係るアクセス制御装置１００が外部ネットワークからのパケットを受けた時の動作について、図４〜図７と共に図９を参照して説明する。図９は、本発明の実施の形態１に係るアクセス制御装置１００が外部ネットワークからのパケットを受けた時の動作を説明するためのフロー図である。
【００４３】
図９に示すように、ステップＳＴ６０１において、アクセス制御部１０３は外部ネットワークからのパケットの入力かを判断する。ステップＳＴ６０１においてアクセス制御部１０３は外部ネットワークからのパケットの入力であると判断した時に、パケットの種別は何かをアクセス制御部１０３は判断する（ステップＳＴ６０２）。
【００４４】
前記ステップＳＴ６０２においてパケットの種別はＤＮＳ応答である時に、アクセス制御部１０３はパケットをセキュアホストリスト作成部１０４へ転送する（ステップＳＴ６０３）。前記ステップＳＴ６０２においてパケットの種別はＤＮＳ応答以外である時に、アクセス制御部１０３は内部ネットワークへパケットを送出する（ステップＳＴ６０４）。
【００４５】
次に、本発明の実施の形態１に係るアクセス制御装置１００が内部ネットワークからのパケットを受けた時の動作について、図４〜図７と共に図１０を参照して説明する。図１０は、本発明の実施の形態１に係るアクセス制御装置１００が内部ネットワークからのパケットを受けた時の動作を説明するためのフロー図である。
【００４６】
図１０に示すように、ステップＳＴ７０１において、アクセス制御部１０３は内部ネットワークからのパケットの入力かを判断する。ステップＳＴ７０１においてアクセス制御部１０３は内部ネットワークからのパケットの入力であると判断した時に、アクセス制御部１０３はパケットの送信元と端末情報リストを照合し（ステップＳＴ７０２）、送信元の通信端末装置は何かをアクセス制御部１０３は判断する（ステップＳＴ７０３）。
【００４７】
前記ステップＳＴ７０３において送信元の通信端末装置は一般の通信端末装置である時に、アクセス制御部１０３はパケットの宛先とセキュアホストリストを照合し（ステップＳＴ７０４）、パケットの宛先はセキュアホストリストに含まれているかをアクセス制御部１０３は判断する（ステップＳＴ７０５）。
【００４８】
前記ステップＳＴ７０５においてパケットの宛先はセキュアホストリストに含まれている時に、アクセス制御部１０３はパケットを破棄して当該一般の通信端末装置にアクセス不可を通知する（ステップＳＴ７０６）。
【００４９】
前記ステップＳＴ７０３において送信元の通信端末装置はセキュアな通信端末装置である時、又は、前記ステップＳＴ７０５においてパケットの宛先はセキュアホストリストに含まれていない時に、アクセス制御部１０３は外部ネットワークへパケットを送出する（
ステップＳＴ７０７）。
【００５０】
このように実施の形態１によれば、アクセス制御装置１００に、第１のネットワーク（外部ネットワーク）内のホストに関するホスト情報を記憶するセキュアホストリスト保持部１０５と、前記第１のネットワーク内のホスト情報を取得するためのＤＮＳ要求を第２のネットワーク（内部ネットワーク）内の端末から受信する送受信部１０１と、受信されたＤＮＳ要求に係るホスト情報がセキュアホストリスト保持部１０５に登録されている場合に、前記登録されているホスト情報を含むＤＮＳ応答を前記端末に送信し、且つ、受信されたＤＮＳ要求に係るホスト情報がセキュアホストリスト保持部１０５に登録されていない場合に、前記ＤＮＳ要求を外部（ＤＮＳサーバ４０４）に送信し当該ＤＮＳ要求に対するＤＮＳ応答に含まれるホスト情報を取得してセキュアホストリスト保持部１０５に登録する制御手段としてのアクセス制御部１０３およびセキュアホストリスト作成部１０４と、を設け、前記制御手段は、セキュアなホストに関する前記ホスト情報のみをキュアホストリスト保持部１０５に登録する。
【００５１】
こうすることにより、セキュアホストリスト保持部１０５にはセキュアなホストに関するホスト情報のみが記憶されることとなり、メモリ等のリソースの大きな量を不要とすることができる。
【００５２】
さらに、アクセス制御装置１００に、前記第２のネットワーク内の端末に関する端末情報を記憶する端末情報リスト保持部１０６を設け、前記制御手段は、前記ＤＮＳ要求の送信元端末の前記端末情報がセキュアな端末でない一般の端末であることを示し且つ前記ＤＮＳ要求に係るホスト情報が前記ホスト情報記憶手段に登録されているときに、および、前記パケットの送信元端末の前記端末情報が前記一般の端末であることを示し且つ前記ＤＮＳ要求に係るホスト情報が前記ホスト情報記憶手段に登録されていないときであって前記外部（ＤＮＳサーバ４０４）に送信した前記ＤＮＳ要求に対するＤＮＳ応答に含まれるホスト情報がセキュアなホストであることを示すときに、前記ＤＮＳ要求を廃棄するとともに前記送信元端末に対してアクセス不可通知の送信を制御する。
【００５３】
こうすることにより、第１のネットワーク（外部ネットワーク）に対する不要なパケットを送信することが無くなるので、ネットワーク全体のトラヒックを軽減するとともに、宛先になっているホストにおけるパケット処理量も軽減することができる。
【００５４】
前記ホスト情報は、各ホストのＩＰアドレスであり、前記制御手段は、前記セキュアなホストおよび一般のホストの互いに異なるアドレス空間割り当て情報を記憶し、前記取得したホスト情報としてのＩＰアドレスの含まれるアドレス空間がセキュアなホストに関するときにのみ前記ＩＰアドレスを登録する。
【００５５】
（実施の形態２）
次に、本発明の実施の形態２について、図面を参照して説明する。本発明の実施の形態２に係るアクセス制御装置は、本発明の実施の形態１に係るアクセス制御装置１００と同じ構成を具備している。本発明の実施の形態２においては、セキュアなホスト装置４０６及び一般のホスト装置４０５のアドレス空間は分離しておらず、アクセス制御部１０３はそのアドレス空間も保持していない。
【００５６】
本発明の実施の形態２に係るアクセス制御装置の動作は、セキュアホストリストの作成の動作についてのみ本発明の実施の形態１に係るアクセス制御装置１００の動作と異なる。図１１は、本発明の実施の形態２に係るアクセス制御装置の動作におけるセキュアホストリストの作成の動作を説明するためのフロー図である。
【００５７】
図７のネットワーク４００において、ＤＮＳサーバ４０４は、登録されたホスト装置がセキュアなホスト装置４０６又は一般のホスト装置４０５であるかの情報を保持しており、ＤＮＳ応答としてホスト装置の種別の情報を付加することができるものとする。例えば、ＤＮＳサーバ４０４は、ＤＮＳ応答時にホスト装置の種別の情報をＶＬＡＮタグＩＤ又はＩＰのＴＯＳフィールド等にマッピングして送付される。ここでは、ホスト装置の情報の識別にどのレイヤを使うかは、限定されない。
【００５８】
次に、本発明の実施の形態２に係るアクセス制御装置の動作におけるセキュアホストリストの作成の動作を説明する。
【００５９】
セキュアな通信端末装置４０１又は一般の通信端末装置４０２からセキュアなホスト装置４０６に関するＤＮＳ要求が発生し、ＤＮＳサーバ４０４よりホスト装置の種別情報が付加されたＤＮＳ応答が返ってくると、アクセス制御装置１００はこれを受信する。
【００６０】
図１１に示すように、ステップＳＴ８０１においてセキュアホストリスト作成部１０４は、ＤＮＳ応答の入力かを判断する。ステップＳＴ８０１においてセキュアホストリスト作成部１０４はＤＮＳ応答の入力であると判断した時に、ＤＮＳ応答の種別は何かをセキュアホストリスト作成部１０４は判断する（ステップＳＴ８０２）。
【００６１】
ステップＳＴ８０２においてＤＮＳ応答の種別はセキュアホスト装置に関するものである時に、セキュアホストリスト作成部１０４はＤＮＳ応答、すなわち、このＤＮＳ応答に含まれているセキュアなホスト装置の名、セキュアなホスト装置のＩＰアドレス及びＤＮＳ要求元通信端末装置のＩＰアドレスをセキュアホストリスト保持部１０５のセキュアホストリストに登録する（ステップＳＴ８０３）。
【００６２】
次に、ステップＳＴ８０４においてＤＮＳ応答の宛先は何かをセキュアホストリスト作成部１０４は判断する。ステップＳＴ８０４においてＤＮＳ応答の宛先は一般の通信端末装置である時に、セキュアホストリスト作成部１０４は、パケットを破棄し当該一般の通信端末装置にアクセス不可を通知する（ステップＳＴ８０５）。
【００６３】
前記ステップＳＴ８０２においてＤＮＳ応答の種別は一般のホスト装置に関するものである時、又は、前記ステップＳＴ８０４においてＤＮＳ応答の宛先はセキュアな通信端末装置である時に、セキュアホストリスト作成部１０４は、内部ネットワークへパケットを送出する（ステップＳＴ８０６）。
【００６４】
本発明の実施の形態２に係るアクセス制御装置１００のアクセス制御部１０３の動作は、本発明の実施の形態１に係るアクセス制御装置のアクセス制御部１０３の動作と同じである。
【００６５】
このように実施の形態２によれば、アクセス制御装置１００に、第１のネットワーク（外部ネットワーク）内のホストに関するホスト情報を記憶するセキュアホストリスト保持部１０５と、前記第１のネットワーク内のホスト情報を取得するためのＤＮＳ要求を第２のネットワーク（内部ネットワーク）内の端末から受信する送受信部１０１と、受信されたＤＮＳ要求に係るホスト情報がセキュアホストリスト保持部１０５に登録されている場合に、前記登録されているホスト情報を含むＤＮＳ応答を前記端末に送信し、且つ、受信されたＤＮＳ要求に係るホスト情報がセキュアホストリスト保持部１０５に登録されていない場合に、前記ＤＮＳ要求を外部（ＤＮＳサーバ４０４）に送信し当該ＤＮＳ要求に対するＤＮＳ応答に含まれるホスト情報を取得してセキュアホストリスト保持部１０５に登録する制御手段としてのアクセス制御部１０３およびセキュアホストリスト作成部１０４と、を設け、前記制御手段は、セキュアなホストに関する前記ホスト情報のみをキュアホ
ストリスト保持部１０５に登録する。
【００６６】
さらに、前記取得したホスト情報は、セキュアか一般かを示すホスト種別情報を含み、前記制御手段は、前記ホスト種別情報がセキュアなホストであることを示すときにのみ前記取得したホスト情報を登録する。
【００６７】
（実施の形態３）
次に、本発明の実施の形態３について、図面を参照して説明する。図１２は、本発明の実施の形態３に係るアクセス制御装置を具備するネットワークの構成を示すブロック図である。本発明の実施の形態３に係るアクセス制御装置を具備するネットワークにおいては、図７に示す本発明の実施の形態１に係るアクセス制御装置を具備するネットワークと同じ構成要素には同じ参照符号が付されてその説明が省略される。
【００６８】
本発明の実施の形態３に係るネットワーク９００は、本発明の実施の形態１に係るネットワーク４００においてセキュアなＤＮＳサーバ９０１を追加してなる。本発明の実施の形態３に係るネットワーク９００においては、セキュアなホスト装置４０６及び一般のホスト装置４０５のアドレス空間は分離しておらず、アクセス制御部１０３はそのアドレス空間も保持していない。
【００６９】
本発明の実施の形態３は、セキュアホストリストの作成についてのみ本発明の実施の形態１、２と異なる。ＤＮＳサーバとして、セキュアなＤＮＳサーバ９０１と一般のＤＮＳサーバ４０４の２種類が存在する。セキュアなＤＮＳサーバ９０１は、セキュアなホスト装置４０６のＤＮＳ情報を保有しており、セキュアな通信端末装置４０１からのＤＮＳ要求のみ受け付ける。
【００７０】
次に、本発明の実施の形態３に係るアクセス制御装置１０３の動作におけるセキュアホストリストの作成の動作を説明する。図１３は、本発明の実施の形態３に係るアクセス制御装置１０３の動作におけるセキュアホストリストの作成の動作を説明するためのフロー図である。
【００７１】
内部ネットワークのセキュアな通信端末装置４０１からＤＮＳ要求が生じ、セキュアなＤＮＳサーバ９０１からそのＤＮＳ応答が返ってくると、アクセス制御装置１００はこれを受信する。
【００７２】
図１３に示すように、ステップＳＴ１００１においてアクセス制御部１０３は、ＤＮＳ応答の入力かを判断する。ステップＳＴ１００１においてアクセス制御部１０３はＤＮＳ応答の入力であると判断した時に、ＤＮＳ応答の宛先は何かをアクセス制御部１０３は判断する（ステップＳＴ１００２）。
【００７３】
前記ステップＳＴ１００２においてＤＮＳ応答の宛先はセキュアな通信端末装置である時に、アクセス制御部１０３は、ＤＮＳ応答、すなわち、このＤＮＳ応答に含まれるセキュアなホスト装置の名、セキュアなホスト装置のＩＰアドレス及びＤＮＳ要求元の通信端末装置のＩＰアドレスをセキュアホストリスト保持部１０５のセキュアホストリストに登録する（ステップＳＴ１００３）。前記ステップＳＴ１００２においてＤＮＳ応答の宛先は一般の通信端末装置である時に、アクセス制御部１０３は、内部ネットワークへパケットを送出する（ステップＳＴ１００４）。
【００７４】
本発明の実施の形態３に係るアクセス制御装置１００のアクセス制御部１０３の動作は、本発明の実施の形態１に係るアクセス制御装置１００のアクセス制御部１０３の動作と同じである。
本明細書は、２００４年１２月２２日出願の特願２００４−３７２２３１に基づく。この内容はすべてここに含めておく。
【産業上の利用可能性】
【００７５】
本発明は、メモリ装置等のリソースの大きな量を必要とせず、かつ、ネットワークの構成が変化するたびにセキュアなホスト装置のリストを変更する必要がない効果を有し、アクセス制御装置に有用である。
【図面の簡単な説明】
【００７６】
【図１】従来のルータの構成を示すブロック図
【図２】従来のネットワークの構成を示すブロック図
【図３】他の従来のネットワークの構成を示すブロック図
【図４】本発明の実施の形態１に係るアクセス制御装置の構成を示すブロック図
【図５】本発明の実施の形態１に係るアクセス制御装置に用いられるセキュアホストリストを説明するための図
【図６】本発明の実施の形態１に係るアクセス制御装置に用いられる端末情報リストを説明するための図
【図７】本発明の実施の形態１に係るアクセス制御装置を有するネットワークの構成を示すブロック図
【図８】本発明の実施の形態１に係るアクセス制御装置のセキュアホストリスト作成部の動作を説明するためのフロー図
【図９】本発明の実施の形態１に係るアクセス制御装置が外部ネットワークからのパケットを受けた時の動作を説明するためのフロー図
【図１０】本発明の実施の形態１に係るアクセス制御装置が内部ネットワークからのパケットを受けた時の動作を説明するためのフロー図
【図１１】本発明の実施の形態２に係るアクセス制御装置の動作におけるセキュアホストリストの作成の動作を説明するためのフロー図
【図１２】本発明の実施の形態３に係るアクセス制御装置を具備するネットワークの構成を示すブロック図
【図１３】本発明の実施の形態３に係るアクセス制御装置の動作におけるセキュアホストリストの作成の動作を説明するためのフロー図
【手続補正３】
【補正対象書類名】図面
【補正対象項目名】全図
【補正方法】変更
【補正の内容】
【図１】
2006067973.tif 000015
【図２】
2006067973.tif 000016
【図３】
2006067973.tif 000017
【図４】
2006067973.tif 000018
【図５】
2006067973.tif 000019
【図６】
2006067973.tif 000020
【図７】
2006067973.tif 000021
【図８】
2006067973.tif 000022
【図９】
2006067973.tif 000023
【図１０】
2006067973.tif 000024
【図１１】
2006067973.tif 000025
【図１２】
2006067973.tif 000026
【図１３】
2006067973.tif 000027
【国際調査報告】
2006067973.tif 000028
2006067973.tif 000029
2006067973.tif 000030
2006067973.tif 000031
2006067973.tif 000032
2006067973.tif 000033