JP6493426B2 - 通信システム、通信制御方法および通信プログラム - Google Patents

Description

本発明は、パケットを転送する通信システム、並びに、その通信システムに適用される通信制御方法および通信プログラムに関する。

パケットを転送するスイッチを制御装置が制御するプロトコルとして、オープンフロー（ＯｐｅｎＦｌｏｗ）が知られている。

オープンフローでは、制御装置がスイッチにフローエントリを設定する。そして、スイッチは、受信したパケットをそのフローエントリに従って処理する。フローエントリとは、パケットに対する動作（例えば、転送、破棄等）を規定した情報である。フローエントリは、パケットのフロー毎に設定される。スイッチがパケットを受信したときに、そのパケットのフローに対応するフローエントリが存在する場合、スイッチは、そのフローエントリに従ってそのパケットを処理する。一方、受信したパケットのフローに対応するフローエントリが存在しない場合、スイッチはその旨を制御装置に通知する。そして、制御装置は、そのパケットのフローに対応するフローエントリを決定し、スイッチに設定する。

また、特許文献１には、受信したＤＮＳ（Domain Name System）ｑｕｅｒｙパケットからＦＱＤＮ（Full Qualified Domain Name）を抽出し、ＦＱＤＮから抽出した宛先情報と、仮想ＩＰ（Internet Protocol ）アドレスとを対応付けるゲートウェイ装置が記載されている。さらに、特許文献１には、そのゲートウェイ装置が、ＳＹＮパケットの宛先ＩＰアドレスが上記の仮想ＩＰアドレスであることを認識すると、宛先情報を検索することが記載されている。

また、特許文献２には、ドメイン名とＩＰアドレスとを記録するＤＮＳキャッシュを有し、ＩＰアドレスでＤＮＳキャッシュを検索し、同一ドメイン名で異なるＩＰアドレスがあるか否かを調べる中継装置が記載されている。

また、特許文献３には、ＤＮＳサーバからの応答に基づいて、ドメイン名とＩＰアドレスとを抽出する通信サービス分類装置が記載されている。さらに、特許文献３には、その通信サービス分類装置が、ユーザ端末からサーバへの送信ＩＰアドレスを抽出し、その送信ＩＰアドレスに対応付けられたドメイン名を抽出することが記載されている。

また、特許文献４には、バンドル配信サーバのドメイン名に対応するＩＰアドレスを記憶し、そのドメイン名に対応するＩＰアドレス宛のパケットに関して、所定の条件を満たした場合に破棄する通信装置が記載されている。

特開２００９−１３５６９７号公報 特開２０１４−４５２４５号公報 特開２０１５−１８６００１号公報 特開２０１６−９２６７３号公報

パケットを転送する通信システムの例として、例えば、ゲートウェイ等の通信装置が挙げられる。このような通信装置の管理者が、その通信装置に対して、許可してよい通信や、許可してはいけない通信を設定する場合、ＩＰアドレスやポート番号を用いていた。

しかし、ＩＰアドレスは、ＤＨＣＰ（Dynamic Host Configuration Protocol ）によって自動的に割り当てられることが多い。そのため、管理者は、許可してよい通信や許可してはいけない通信における送信元や宛先に該当するＩＰアドレスを簡単に把握することができないことが多かった。その結果、許可してよい通信や許可してはいけない通信を管理者が通信装置に対して設定することは容易ではなかった。

そこで、本発明は、管理者が通信に関する設定を容易に行うことができる通信システム、通信制御方法および通信プログラムを提供することを目的とする。

本発明による通信システムは、パケットを転送するパケット転送手段と、パケットのヘッダ情報に応じたパケット転送手段の動作を規定した制御情報をパケット転送手段に対して設定する制御手段とを備え、パケット転送手段が、ヘッダ情報に適合する制御情報が未だ設定されていないパケットである新規パケットを受信したときに、新規パケットのヘッダ情報を制御手段に通知し、制御手段が、ＩＰアドレスから特定可能な項目のリストとしてドメイン名のリストを保持し、パケット転送手段がＤＮＳサーバからＤＮＳクエリレスポンスを受信した場合、ＤＮＳクエリレスポンスに基づいて、ＩＰアドレスとドメイン名との対応関係を記憶し、パケット転送手段からヘッダ情報を通知されたときに、ヘッダ情報に含まれるＩＰアドレスから特定される項目であるドメイン名と、リストとに基づいて、制御情報をパケット転送手段に設定し、新規パケットのヘッダ情報をパケット転送手段から通知されたときに、ＩＰアドレスとドメイン名との対応関係を参照することによって、ヘッダ情報に含まれるＩＰアドレスに対応するドメイン名を特定し、制御手段が、ヘッダ情報に含まれるＩＰアドレスから特定される項目がリストに含まれていない場合に、新規パケットによる通信の不許可を示す制御情報をパケット転送手段に設定し、ヘッダ情報に含まれるＩＰアドレスから特定される項目がリストに含まれている場合に、新規パケットによる通信の許可を示す制御情報をパケット転送手段に設定し、ヘッダ情報に含まれるＩＰアドレスから特定される項目がリストに含まれていることによって制御情報を設定した場合には、リスト内の項目と制御情報との対応関係を記憶し、管理者によって操作される管理手段を備え、制御手段が、パケット転送手段に制御情報を設定した場合に、制御情報を設定する際にＩＰアドレスから特定された項目と、制御情報の内容とを管理手段に送信し、管理手段が、指定された項目をリストから削除する旨の指示を入力された場合に、当該指示を制御手段に送信し、制御手段が、指示に従って、指定された項目をリストから削除するとともに、当該項目に対応付けられている制御情報を全て特定し、特定した全ての制御情報の削除をパケット転送手段に命令することを特徴とする。
また、本発明による通信システムは、パケットを転送するパケット転送手段と、パケットのヘッダ情報に応じたパケット転送手段の動作を規定した制御情報をパケット転送手段に対して設定する制御手段とを備え、パケット転送手段が、ヘッダ情報に適合する制御情報が未だ設定されていないパケットである新規パケットを受信したときに、新規パケットのヘッダ情報を制御手段に通知し、制御手段が、ＩＰアドレスから特定可能な項目のリストとしてプロセス名のリストを保持し、パケット転送手段からヘッダ情報を通知されたときに、ヘッダ情報に含まれるＩＰアドレスから特定される項目であるプロセス名と、リストとに基づいて、制御情報をパケット転送手段に設定し、新規パケットのヘッダ情報をパケット転送手段から通知されたときに、ヘッダ情報に含まれるＩＰアドレスに対応するプロセス名を特定し、制御手段が、ヘッダ情報に含まれるＩＰアドレスから特定される項目がリストに含まれていない場合に、新規パケットによる通信の不許可を示す制御情報をパケット転送手段に設定し、ヘッダ情報に含まれるＩＰアドレスから特定される項目がリストに含まれている場合に、新規パケットによる通信の許可を示す制御情報をパケット転送手段に設定し、ヘッダ情報に含まれるＩＰアドレスから特定される項目がリストに含まれていることによって制御情報を設定した場合には、リスト内の項目と制御情報との対応関係を記憶し、管理者によって操作される管理手段を備え、制御手段が、パケット転送手段に制御情報を設定した場合に、制御情報を設定する際にＩＰアドレスから特定された項目と、制御情報の内容とを管理手段に送信し、管理手段が、指定された項目をリストから削除する旨の指示を入力された場合に、当該指示を制御手段に送信し、制御手段が、指示に従って、指定された項目をリストから削除するとともに、当該項目に対応付けられている制御情報を全て特定し、特定した全ての制御情報の削除をパケット転送手段に命令することを特徴とする。
また、本発明による通信システムは、パケットを転送するパケット転送手段と、パケットのヘッダ情報に応じたパケット転送手段の動作を規定した制御情報をパケット転送手段に対して設定する制御手段とを備え、パケット転送手段が、ヘッダ情報に適合する制御情報が未だ設定されていないパケットである新規パケットを受信したときに、新規パケットのヘッダ情報を制御手段に通知し、制御手段が、ＩＰアドレスから特定可能な項目のリストとしてプロセスのユーザ名のリストを保持し、パケット転送手段からヘッダ情報を通知されたときに、ヘッダ情報に含まれるＩＰアドレスから特定される項目であるプロセスのユーザ名と、リストとに基づいて、制御情報をパケット転送手段に設定し、新規パケットのヘッダ情報をパケット転送手段から通知されたときに、ヘッダ情報に含まれるＩＰアドレスに対応するユーザ名を特定し、制御手段が、ヘッダ情報に含まれるＩＰアドレスから特定される項目がリストに含まれていない場合に、新規パケットによる通信の不許可を示す制御情報をパケット転送手段に設定し、ヘッダ情報に含まれるＩＰアドレスから特定される項目がリストに含まれている場合に、新規パケットによる通信の許可を示す制御情報をパケット転送手段に設定し、ヘッダ情報に含まれるＩＰアドレスから特定される項目がリストに含まれていることによって制御情報を設定した場合には、リスト内の項目と制御情報との対応関係を記憶し、管理者によって操作される管理手段を備え、制御手段が、パケット転送手段に制御情報を設定した場合に、制御情報を設定する際にＩＰアドレスから特定された項目と、制御情報の内容とを管理手段に送信し、管理手段が、指定された項目をリストから削除する旨の指示を入力された場合に、当該指示を制御手段に送信し、制御手段が、指示に従って、指定された項目をリストから削除するとともに、当該項目に対応付けられている制御情報を全て特定し、特定した全ての制御情報の削除をパケット転送手段に命令することを特徴とする。

また、本発明による通信制御方法は、パケットを転送するパケット転送手段と、ＩＰアドレスから特定可能な項目のリストとしてドメイン名のリストを保持し、パケットのヘッダ情報に応じたパケット転送手段の動作を規定した制御情報をパケット転送手段に対して設定する制御手段と、管理者によって操作される管理手段とを備える通信システムに適用される通信制御方法であって、パケット転送手段が、ヘッダ情報に適合する制御情報が未だ設定されていないパケットである新規パケットを受信したときに、新規パケットのヘッダ情報を制御手段に通知し、制御手段が、パケット転送手段がＤＮＳサーバからＤＮＳクエリレスポンスを受信した場合、ＤＮＳクエリレスポンスに基づいて、ＩＰアドレスとドメイン名との対応関係を記憶し、パケット転送手段からヘッダ情報を通知されたときに、ヘッダ情報に含まれるＩＰアドレスから特定される項目であるドメイン名と、リストとに基づいて、制御情報をパケット転送手段に設定し、新規パケットのヘッダ情報をパケット転送手段から通知されたときに、ＩＰアドレスとドメイン名との対応関係を参照することによって、ヘッダ情報に含まれるＩＰアドレスに対応するドメイン名を特定し、制御手段が、ヘッダ情報に含まれるＩＰアドレスから特定される項目がリストに含まれていない場合に、新規パケットによる通信の不許可を示す制御情報をパケット転送手段に設定し、ヘッダ情報に含まれるＩＰアドレスから特定される項目がリストに含まれている場合に、新規パケットによる通信の許可を示す制御情報をパケット転送手段に設定し、ヘッダ情報に含まれるＩＰアドレスから特定される項目がリストに含まれていることによって制御情報を設定した場合には、リスト内の項目と制御情報との対応関係を記憶し、制御手段が、パケット転送手段に制御情報を設定した場合に、制御情報を設定する際にＩＰアドレスから特定された項目と、制御情報の内容とを管理手段に送信し、管理手段が、指定された項目をリストから削除する旨の指示を入力された場合に、当該指示を制御手段に送信し、制御手段が、指示に従って、指定された項目をリストから削除するとともに、当該項目に対応付けられている制御情報を全て特定し、特定した全ての制御情報の削除をパケット転送手段に命令することを特徴とする。
また、本発明による通信制御方法は、パケットを転送するパケット転送手段と、ＩＰアドレスから特定可能な項目のリストとしてプロセス名のリストを保持し、パケットのヘッダ情報に応じたパケット転送手段の動作を規定した制御情報をパケット転送手段に対して設定する制御手段と、管理者によって操作される管理手段とを備える通信システムに適用される通信制御方法であって、パケット転送手段が、ヘッダ情報に適合する制御情報が未だ設定されていないパケットである新規パケットを受信したときに、新規パケットのヘッダ情報を制御手段に通知し、制御手段が、パケット転送手段からヘッダ情報を通知されたときに、ヘッダ情報に含まれるＩＰアドレスから特定される項目であるプロセス名と、リストとに基づいて、制御情報をパケット転送手段に設定し、新規パケットのヘッダ情報をパケット転送手段から通知されたときに、ヘッダ情報に含まれるＩＰアドレスに対応するプロセス名を特定し、制御手段が、ヘッダ情報に含まれるＩＰアドレスから特定される項目がリストに含まれていない場合に、新規パケットによる通信の不許可を示す制御情報をパケット転送手段に設定し、ヘッダ情報に含まれるＩＰアドレスから特定される項目がリストに含まれている場合に、新規パケットによる通信の許可を示す制御情報をパケット転送手段に設定し、ヘッダ情報に含まれるＩＰアドレスから特定される項目がリストに含まれていることによって制御情報を設定した場合には、リスト内の項目と制御情報との対応関係を記憶し、制御手段が、パケット転送手段に制御情報を設定した場合に、制御情報を設定する際にＩＰアドレスから特定された項目と、制御情報の内容とを管理手段に送信し、管理手段が、指定された項目をリストから削除する旨の指示を入力された場合に、当該指示を制御手段に送信し、制御手段が、指示に従って、指定された項目をリストから削除するとともに、当該項目に対応付けられている制御情報を全て特定し、特定した全ての制御情報の削除をパケット転送手段に命令することを特徴とする。
また、本発明による通信制御方法は、パケットを転送するパケット転送手段と、ＩＰアドレスから特定可能な項目のリストとしてプロセスのユーザ名のリストを保持し、パケットのヘッダ情報に応じたパケット転送手段の動作を規定した制御情報をパケット転送手段に対して設定する制御手段と、管理者によって操作される管理手段とを備える通信システムに適用される通信制御方法であって、パケット転送手段が、ヘッダ情報に適合する制御情報が未だ設定されていないパケットである新規パケットを受信したときに、新規パケットのヘッダ情報を制御手段に通知し、制御手段が、パケット転送手段からヘッダ情報を通知されたときに、ヘッダ情報に含まれるＩＰアドレスから特定される項目であるプロセスのユーザ名と、リストとに基づいて、制御情報をパケット転送手段に設定し、新規パケットのヘッダ情報をパケット転送手段から通知されたときに、ヘッダ情報に含まれるＩＰアドレスに対応するユーザ名を特定し、制御手段が、ヘッダ情報に含まれるＩＰアドレスから特定される項目がリストに含まれていない場合に、新規パケットによる通信の不許可を示す制御情報をパケット転送手段に設定し、ヘッダ情報に含まれるＩＰアドレスから特定される項目がリストに含まれている場合に、新規パケットによる通信の許可を示す制御情報をパケット転送手段に設定し、ヘッダ情報に含まれるＩＰアドレスから特定される項目がリストに含まれていることによって制御情報を設定した場合には、リスト内の項目と制御情報との対応関係を記憶し、制御手段が、パケット転送手段に制御情報を設定した場合に、制御情報を設定する際にＩＰアドレスから特定された項目と、制御情報の内容とを管理手段に送信し、管理手段が、指定された項目をリストから削除する旨の指示を入力された場合に、当該指示を制御手段に送信し、制御手段が、指示に従って、指定された項目をリストから削除するとともに、当該項目に対応付けられている制御情報を全て特定し、特定した全ての制御情報の削除をパケット転送手段に命令することを特徴とする。

また、本発明による通信プログラムは、パケットを転送するパケット転送手段と、ＩＰアドレスから特定可能な項目のリストとしてドメイン名のリストを保持し、パケットのヘッダ情報に応じたパケット転送手段の動作を規定した制御情報をパケット転送手段に対して設定する制御手段と、管理者によって操作される管理手段とを備えるコンピュータに搭載される通信プログラムであって、コンピュータに、パケット転送手段が、ヘッダ情報に適合する制御情報が未だ設定されていないパケットである新規パケットを受信したときに、新規パケットのヘッダ情報を制御手段に通知する通知処理、制御手段が、パケット転送手段がＤＮＳサーバからＤＮＳクエリレスポンスを受信した場合、ＤＮＳクエリレスポンスに基づいて、ＩＰアドレスとドメイン名との対応関係を記憶する処理、および、制御手段が、パケット転送手段からヘッダ情報を通知されたときに、ヘッダ情報に含まれるＩＰアドレスから特定される項目であるドメイン名と、リストとに基づいて、制御情報をパケット転送手段に設定する制御情報設定処理を実行させ、制御情報設定処理で、制御手段が、新規パケットのヘッダ情報をパケット転送手段から通知されたときに、ＩＰアドレスとドメイン名との対応関係を参照することによって、ヘッダ情報に含まれるＩＰアドレスに対応するドメイン名を特定する処理、制御情報設定処理で、制御手段が、ヘッダ情報に含まれるＩＰアドレスから特定される項目がリストに含まれていない場合に、新規パケットによる通信の不許可を示す制御情報をパケット転送手段に設定し、ヘッダ情報に含まれるＩＰアドレスから特定される項目がリストに含まれている場合に、新規パケットによる通信の許可を示す制御情報をパケット転送手段に設定する処理、制御情報設定処理で、制御手段が、ヘッダ情報に含まれるＩＰアドレスから特定される項目がリストに含まれていることによって制御情報を設定した場合には、リスト内の項目と制御情報との対応関係を記憶する処理、制御手段が、パケット転送手段に制御情報を設定した場合に、制御情報を設定する際にＩＰアドレスから特定された項目と、制御情報の内容とを管理手段に送信する処理、管理手段が、指定された項目をリストから削除する旨の指示を入力された場合に、当該指示を制御手段に送信する処理、および、制御手段が、指示に従って、指定された項目をリストから削除するとともに、当該項目に対応付けられている制御情報を全て特定し、特定した全ての制御情報の削除をパケット転送手段に命令する処理を実行させることを特徴とする。
また、本発明による通信プログラムは、パケットを転送するパケット転送手段と、ＩＰアドレスから特定可能な項目のリストとしてプロセス名のリストを保持し、パケットのヘッダ情報に応じたパケット転送手段の動作を規定した制御情報をパケット転送手段に対して設定する制御手段と、管理者によって操作される管理手段とを備えるコンピュータに搭載される通信プログラムであって、コンピュータに、パケット転送手段が、ヘッダ情報に適合する制御情報が未だ設定されていないパケットである新規パケットを受信したときに、新規パケットのヘッダ情報を制御手段に通知する通知処理、および、制御手段が、パケット転送手段からヘッダ情報を通知されたときに、ヘッダ情報に含まれるＩＰアドレスから特定される項目であるプロセス名と、リストとに基づいて、制御情報をパケット転送手段に設定する制御情報設定処理を実行させ、制御情報設定処理で、制御手段が、新規パケットのヘッダ情報をパケット転送手段から通知されたときに、ヘッダ情報に含まれるＩＰアドレスに対応するプロセス名を特定する処理、制御情報設定処理で、制御手段が、ヘッダ情報に含まれるＩＰアドレスから特定される項目がリストに含まれていない場合に、新規パケットによる通信の不許可を示す制御情報をパケット転送手段に設定し、ヘッダ情報に含まれるＩＰアドレスから特定される項目がリストに含まれている場合に、新規パケットによる通信の許可を示す制御情報をパケット転送手段に設定する処理、制御情報設定処理で、制御手段が、ヘッダ情報に含まれるＩＰアドレスから特定される項目がリストに含まれていることによって制御情報を設定した場合には、リスト内の項目と制御情報との対応関係を記憶する処理、制御手段が、パケット転送手段に制御情報を設定した場合に、制御情報を設定する際にＩＰアドレスから特定された項目と、制御情報の内容とを管理手段に送信する処理、管理手段が、指定された項目をリストから削除する旨の指示を入力された場合に、当該指示を制御手段に送信する処理、および、制御手段が、指示に従って、指定された項目をリストから削除するとともに、当該項目に対応付けられている制御情報を全て特定し、特定した全ての制御情報の削除をパケット転送手段に命令する処理を実行させることを特徴とする。
また、本発明による通信プログラムは、パケットを転送するパケット転送手段と、ＩＰアドレスから特定可能な項目のリストとしてプロセスのユーザ名のリストを保持し、パケットのヘッダ情報に応じたパケット転送手段の動作を規定した制御情報をパケット転送手段に対して設定する制御手段と、管理者によって操作される管理手段とを備えるコンピュータに搭載される通信プログラムであって、コンピュータに、パケット転送手段が、ヘッダ情報に適合する制御情報が未だ設定されていないパケットである新規パケットを受信したときに、新規パケットのヘッダ情報を制御手段に通知する通知処理、および、制御手段が、パケット転送手段からヘッダ情報を通知されたときに、ヘッダ情報に含まれるＩＰアドレスから特定される項目であるプロセスのユーザ名と、リストとに基づいて、制御情報をパケット転送手段に設定する制御情報設定処理を実行させ、制御情報設定処理で、制御手段が、新規パケットのヘッダ情報をパケット転送手段から通知されたときに、ヘッダ情報に含まれるＩＰアドレスに対応するユーザ名を特定する処理、制御情報設定処理で、制御手段が、ヘッダ情報に含まれるＩＰアドレスから特定される項目がリストに含まれていない場合に、新規パケットによる通信の不許可を示す制御情報をパケット転送手段に設定し、ヘッダ情報に含まれるＩＰアドレスから特定される項目がリストに含まれている場合に、新規パケットによる通信の許可を示す制御情報をパケット転送手段に設定する処理、制御情報設定処理で、制御手段が、ヘッダ情報に含まれるＩＰアドレスから特定される項目がリストに含まれていることによって制御情報を設定した場合には、リスト内の項目と制御情報との対応関係を記憶する処理、制御手段が、パケット転送手段に制御情報を設定した場合に、制御情報を設定する際にＩＰアドレスから特定された項目と、制御情報の内容とを管理手段に送信する処理、管理手段が、指定された項目をリストから削除する旨の指示を入力された場合に、当該指示を制御手段に送信する処理、および、制御手段が、指示に従って、指定された項目をリストから削除するとともに、当該項目に対応付けられている制御情報を全て特定し、特定した全ての制御情報の削除をパケット転送手段に命令する処理を実行させることを特徴とする。

本発明によれば、管理者が通信に関する設定を容易に行うことができる。

本発明の通信システムの例を示す説明図である。 本発明の通信システムの第１の実施形態の例を示すブロック図である。 ゲートウェイが有している通信インタフェースの例を示す説明図である。 第１の実施形態におけるリストの例を示す説明図である。 制御部が記憶するドメイン名とＩＰアドレスとの対応関係の例を示す説明図である。 制御部がドメイン名とＩＰアドレスとの対応関係を記憶する処理の処理経過の例を示すシーケンス図である。 宛先ＩＰアドレスから特定したドメイン名がリストに含まれていることにより、通信の許可を示す制御情報を設定する場合の処理経過の例を示すシーケンス図である。 宛先ＩＰアドレスから特定したドメイン名がリストに含まれていないことにより、通信の不許可を示す制御情報を設定する場合の処理経過の例を示すシーケンス図である。 リスト内のレコードを削除する場合の処理経過の例を示すシーケンス図である。 本発明の通信システムの第２の実施形態の例を示すブロック図である。 第２の実施形態におけるリストの例を示す説明図である。 ヘッダ情報から特定したプロセス名がリストに含まれていないことにより、通信の不許可を示す制御情報を設定する場合の処理経過の例を示すシーケンス図である。 リストにレコードが追加された後、通信の許可を示す制御情報が設定されるまでの時間を短縮することができる処理経過の他の例を示すシーケンス図である。 第３の実施形態におけるリストの例を示す説明図である。 本発明の通信システムの概要を示すブロック図である。

以下、本発明の実施形態を図面を参照して説明する。

図１は、本発明の通信システムの例を示す説明図である。以下に示す各実施形態では、図１に示すように、本発明の通信システムが、パケットを転送する通信装置１０と、その通信装置１０に対する設定を管理者が行うための管理サーバ２０とを備える場合を例にして説明する。ただし、パケットを転送する通信装置１０を、本発明の通信システムとして捉えてもよい。

また、各実施形態では、通信装置１０がゲートウェイである場合を例にして説明する。さらに、各実施形態では、通信装置１０が、パケットを転送するパケット転送部１２と、パケット転送部１２を制御する制御部１１とを備える場合を例にして説明する。制御部１１は、パケットのヘッダ情報に応じたパケット転送部１２の動作を規定した制御情報（オープンフローにおけるフローエントリに相当）をパケット転送部１２に設定することによって、パケット転送部１２を制御する。制御部１１はパケット転送部１２を、例えばオープンフローに従って制御してもよいが、制御部１１がパケット転送部１２を制御するプロトコルはオープンフローでなくてもよい。

ヘッダ情報に適合する制御情報が未だパケット転送部１２に設定されていないパケットを新規パケットと記す。パケット転送部１２は、新規パケットを受信したときに、その新規パケットのヘッダ情報を制御部１１に通知する。制御部１１は、そのヘッダ情報を通知されると、そのヘッダ情報に適合する制御情報をパケット転送部１２に設定する。

また、制御部１１は、ＩＰ（Internet Protocol ）アドレスから特定可能な項目を列挙したリストを保持する。このリストは、管理者によって作成されたリストである。ＩＰアドレスから特定可能な項目の例として、ドメイン名が挙げられるが、リストに列挙される項目は、ドメイン名に限定されない。

制御部１１は、パケット転送部１２から通知されたヘッダ情報（新規パケットのヘッダ情報）に含まれるＩＰアドレスから特定した項目がリストに含まれている場合に、そのヘッダ情報に応じた制御情報として、そのパケットによる通信の許可を示す制御情報を設定する。ただし、後述するように、制御部１１は、ＩＰアドレスから特定した項目がリストに含まれている場合であっても、そのパケットによる通信の不許可を示す制御情報を設定することがあってもよい。

また、制御部１１は、パケット転送部１２から通知されたヘッダ情報（新規パケットのヘッダ情報）に含まれるＩＰアドレスから特定した項目がリストに含まれていない場合には、そのヘッダ情報に応じた制御情報として、そのパケットによる通信の不許可を示す制御情報を設定する。

パケット転送部１２は、スイッチ部１２と称してもよい。以下に示す各実施形態では、パケット転送部１２を、スイッチ部１２と記す。

実施形態１．
図２は、本発明の通信システムの第１の実施形態の例を示すブロック図である。第１の実施形態の通信システムは、通信装置１０と、管理サーバ２０とを備える。前述のように、通信装置１０がゲートウェイである場合を例にして説明する。ゲートウェイ１０は、パケットを転送するパケット転送部１２（以下、スイッチ部１２と記す。）と、スイッチ部１２を制御する制御部１１とを備える。

ゲートウェイ１０は、制御部１１を管理するための管理サーバ２０、カメラ５１やセンサ５２のデータを処理する一般的なサーバ３０、およびＤＮＳ（Domain Name System）サーバ４０に、通信ネットワークを介して接続されている。また、ゲートウェイ１０には、例えば、カメラ５１やセンサ５２が接続されている。カメラ５１やセンサ５２は、ゲートウェイ１０の配下に接続される装置の例であり、ゲートウェイ１０の配下に接続される装置は、カメラ５１やセンサ５２に限定されない。

管理サーバ２０は、例えば、クラウドサーバであるが、クラウドサーバ以外のサーバであってもよい。サーバ３０およびＤＮＳサーバ４０に関しても同様である。

以下に示す例では、カメラ５１がサーバ３０のドメイン名を指定することによって、カメラ５１がサーバ３０との通信を行う場合を例にして説明する。なお、センサ５２、あるいは、ゲートウェイ１０の内部のプロセスＡ１３またはプロセスＢ１４がサーバ３０と通信を行う場合であっても、本実施形態における制御部１１、スイッチ部１２、および各サーバ２０，３０，４０の動作は同様である。また、例えば、サーバ３０が、ゲートウェイ１０の配下に接続されるカメラ５１にアクセスしてもよい。この場合の動作も同様である。なお、ゲートウェイ１０の内部のプロセスの数は特に限定されない。

図３は、ゲートウェイ１０が有している通信インタフェースの例を示す説明図である。ゲートウェイ１０は、通信インタフェースとして、例えば、Ethernet（登録商標）、Zigbee/Wi-SUN（920MHz ）、無線ＬＡＮ（Local Area Network）（2.5GHz）、無線ＬＡＮ（5GHz）、Cellular等の通信インタフェースを有する。これらの通信インタフェースは、物理的な通信インタフェースである。

次に、スイッチ部１２（パケット転送部１２）の機能について説明する。以下に説明するスイッチ部１２の機能は、後述の各実施形態でも同様である。

スイッチ部１２は、図３に例示する種々の物理的な通信インタフェースと論理的に接続されている。スイッチ部１２がゲートウェイ１０の外部からパケットを受信したり、ゲートウェイ１０の外部にパケットを出力したり場合、スイッチ部１２は、パケットの受信やパケットの出力を、いずれかの通信インタフェースを介して行う。

スイッチ部１２は、パケットのヘッダ情報を認識する機能を有する。そして、新規パケット（すなわち、ヘッダ情報に適合する制御情報が未だ設定されていないパケット）を受信した場合、そのパケットのヘッダ情報を制御部１１に通知する。また、パケットのヘッダ情報を制御部１１に通知するということは、制御部１１にそのヘッダ情報に応じた制御情報を問い合わせることを意味する。スイッチ部１２は、ヘッダ情報を制御部１１に通知した後も、受信した新規パケットを保持する。

ヘッダ情報の通知（制御情報の問い合わせ）の結果、そのヘッダ情報に応じた制御情報が制御部１１によって設定されると、スイッチ部１２は、保持している新規パケットを、その制御情報に従って処理する。

その新規パケットによる通信の許可を示す制御情報では、そのヘッダ情報に適合するパケットを出力すること、および、出力の際に用いる通信インタフェースが指定されている。従って、その新規パケットによる通信の許可を示す制御情報が設定された場合、スイッチ部１２は、その制御情報によって指定された通信インタフェースから、保持している新規パケットを出力する。また、その制御情報は、その新規パケットと同一フローのパケットのヘッダ情報に適合する。従って、その後、スイッチ部１２は、その新規パケットと同一フローのパケットを受信した場合、制御部１１にヘッダ情報を通知せずに、その制御情報によって指定された通信インタフェースからそのパケットを出力する。

また、その新規パケットによる通信の不許可を示す制御情報では、そのヘッダ情報に適合するパケットを破棄することが指定されている。従って、その新規パケットによる通信の不許可を示す制御情報が設定された場合、スイッチ部１２は、その制御情報に従って、保持している新規パケットを破棄する。また、その制御情報は、その新規パケットと同一フローのパケットのヘッダ情報に適合する。従って、その後、スイッチ部１２は、その新規パケットと同一フローのパケットを受信した場合、制御部１１にヘッダ情報を通知せずに、その制御情報に従ってそのパケットを破棄する。

次に、制御部１１について説明する。

制御部１１は、スイッチ部１２からパケットのヘッダ情報の通知を受けると、そのヘッダ情報に応じたスイッチ部１２の動作を規定した制御情報を、スイッチ部１２に設定する。制御部１１は、そのパケットによる通信の許可を示す制御情報を設定するのか、あるいは、そのパケットによる通信の不許可を示す制御情報を設定するのかを、予め保持しているリストに基づいて判定する。このリストは、ＩＰアドレスから特定可能な項目を列挙したリストである。第１の実施形態では、制御部１１は、ＩＰアドレスから特定可能な項目のリストとして、ドメイン名のリストを保持する。

このリストは、原則としてホワイトリストである。従って、制御部１１は、スイッチ部１２から通知されたヘッダ情報に含まれるＩＰアドレス（本実施形態では、宛先ＩＰアドレス）から特定したドメイン名がリストに含まれている場合、通信の許可を示す制御情報をスイッチ部１２に設定する。また、制御部１１は、スイッチ部１２から通知されたヘッダ情報に含まれる宛先ＩＰアドレスから特定したドメイン名がリストに含まれていない場合、通信の不許可を示す制御情報をスイッチ部１２に設定する。

また、制御部１１は、既に設定した制御情報であって通信の許可を示す制御情報に対応するヘッダ情報とは、宛先ＩＰアドレスおよび送信元ＩＰアドレスが逆になっているヘッダ情報を通知された場合、そのヘッダ情報に含まれる宛先ＩＰアドレスにパケットを送信するための制御情報をスイッチ部１２に設定する。

また、制御部１１が宛先ＩＰアドレスから特定した項目（本実施形態では、ドメイン名）がリストに含まれている場合であっても、リスト内でその項目に補足情報が記述されている場合には、制御部１１は、その補足情報に基づいて、通信の許可を示す制御情報を設定するのか、通信の不許可を示す制御情報を設定するのかを判定する。

図４は、第１の実施形態におけるリストの例を示す説明図である。図４に例示するリストでは、ドメイン名と、通信インタフェースと、補足情報との組み合わせが列挙されている。本実施形態では、ドメイン名と、通信インタフェースと、補足情報との１つの組み合わせが１つのレコードに該当する。

レコード内の通信インタフェースは、リスト内のドメイン名が宛先ＩＰアドレスから特定されたことによって通信を許可する場合に、パケット出力に用いる通信インタフェースを表している。例えば、図４に示す例において、あるパケットのヘッダ情報に含まれる宛先ＩＰアドレスから“www.zzzzz.co.jp ”というドメイン名を特定した場合、制御部１１は、そのヘッダ情報に適合する制御情報として、“Ethernet”を介してパケットを出力することを規定した制御情報をスイッチ部１２に設定する。

レコード内の補足情報は、リスト内のドメイン名が宛先ＩＰアドレスから特定された場合における例外（すなわち、通信を不許可とする場合）や、通信を許可する条件を示す情報である。図４に例示する補足情報において、「“www2.xxxxx.co.jp”は例外。」という補足情報は、あるパケットのヘッダ情報に含まれる宛先ＩＰアドレスからxxxxx.co.jp に該当するドメイン名を特定した場合には、原則として、通信を許可するが、特定したドメイン名が“www2.xxxxx.co.jp”である場合には、通信を許可しないことを示している。従って、制御部１１は、宛先ＩＰアドレスから“www3.xxxxx.co.jp”等を特定した場合には、通信の許可を示す制御情報（“Ethernet”を介してパケットを出力することを規定した制御情報）を、スイッチ部１２に設定する。また、制御部１１は、宛先ＩＰアドレスから“www2.xxxxx.co.jp”を特定した場合には、例外的に、通信の不許可を示す制御情報（パケットを破棄することを規定した制御情報）を、スイッチ部１２に設定する。

また、図４に例示する補足情報において、「送信元プロセスが“/user/bin/processA”であること。」という補足情報や、「送信元ＭＡＣ（Media Access Control）アドレスが“01:02:03:04:05:06”であること。」という補足情報は、通信を許可する条件を示している。例えば、制御部１１は、宛先ＩＰアドレスから“www.yyyyy.co.jp ”を特定した場合、そのドメイン名はリスト名に含まれている。その場合であっても、例えば、「送信元プロセスが“/user/bin/processA”であること。」という条件、または、「送信元ＭＡＣ（Media Access Control）アドレスが“01:02:03:04:05:06”であること。」という条件を満たした場合にのみ、制御部１１は、通信の許可を示す制御情報をスイッチ部１２に設定する。

なお、図４に例示する最後のレコードでは、“www.zzzzz.co.jp ”に対応する補足情報が記述されていない。従って、制御部１１は、宛先ＩＰアドレスから“www.zzzzz.co.cp ”を特定した場合には、例外や条件を考慮せずに、通信の許可を示す制御情報を設定すればよい。

また、リストの各レコードにおいて、管理者が記述した任意のコメントが含まれていてもよい。

リストは、予め通信システムの管理者によって作成される。管理サーバ２０は、管理者の操作に従って、リストをゲートウェイ１０の制御部１１に送信し、制御部１１は受信したリストを保持する。

また、制御部１１は、ＤＮＳサーバ４０のＩＰアドレスを宛先ＩＰアドレスとするパケット（ＤＮＳクエリ）や、ＤＮＳサーバ４０のＩＰアドレスを送信元ＩＰアドレスとするパケット（ＤＮＳクエリレスポンス）に関しては、ＩＰアドレスからドメイン名を特定したりリストを参照したりせずに、通信の許可を示す制御情報を設定する。

また、第１の実施形態において、制御部１１は、スイッチ部１２がＤＮＳサーバ４０からＤＮＳクエリレスポンスを受信したときに、そのＤＮＳクエリレスポンスからドメイン名とＩＰアドレスとの対応関係を抽出し、その対応関係を記憶する。ＤＮＳクエリレスポンスは、ＤＮＳサーバ４０がＤＮＳクエリに対する応答として送信するパケットであり、ＤＮＳクエリに含まれるドメイン名と、ＤＮＳサーバ４０が名前解決によって得たＩＰアドレスとを含んでいる。本例では、カメラ５１は、ＤＮＳクエリを送信し、ＤＮＳクエリレスポンスを受信する。その後、カメラ５１は、ＤＮＳクエリレスポンスに含まれるＩＰアドレスを宛先ＩＰアドレスとしてパケットを送信する。このとき、制御部１１は、そのＩＰアドレスとドメイン名との関係を記憶しているので、その宛先ＩＰアドレスからドメイン名を特定することができる。

制御部１１は、ドメイン名とＩＰアドレスとの対応関係を、例えば、表形式で記憶する。図５は、制御部１１が記憶するドメイン名とＩＰアドレスとの対応関係の例を示す説明図である。図５では、制御部１１がドメイン名とＩＰアドレスとの対応関係を記憶するとともに、その対応関係の有効期限も合わせて記憶する場合を示している。有効期限の情報は、ＤＮＳクエリレスポンスに含まれている。従って、制御部１１は、スイッチ部１２がＤＮＳクエリレスポンスを受信したときに、そのクエリレスポンスに含まれているドメイン名と、ＩＰアドレスと、有効期限とを対応付けて記憶してもよい。

また、図５に例示する各レコードにおいて、制御部１１は、共通の有効期限を定めてもよい。すなわち、制御部１１は、ドメイン名とＩＰアドレスとの対応関係の有効期限を１つの値に統一してもよい。この場合、制御部１１は、共通の有効期限の値として６０４８００ｓｅｃ（７日間）または、その値より少し大きい値を用いることが好ましい。

制御部１１は、ドメイン名とＩＰアドレスとの対応関係を示す各レコード（図５を参照）のうち、有効期限を経過したレコードを削除する。サーバ３０において、ドメイン名とＩＰアドレスとの対応関係は、変更されることがある。従って、制御部１１が、ドメイン名とＩＰアドレスとの対応関係を記憶するとともに、その対応関係を記憶する期限（有効期限）も記憶することによって、古い対応関係を削除することができる。なお、制御部１１は、ドメイン名とＩＰアドレスとの対応関係を示す各レコードのうち、有効期限を経過したレコードを削除すればよい。ドメイン名とＩＰアドレスとの対応関係を示す新たなレコードを追加したとしても、古いレコードの有効期限が経過していなければ、制御部１１は、ドメイン名とＩＰアドレスとの対応関係を示す古いレコードを削除しなくてよい。

また、制御部１１は、宛先ＩＰアドレスから特定した項目（本実施形態ではドメイン名）がリストに含まれていることによって、制御情報をスイッチ部１２に設定した場合、リストに含まれているその項目と制御情報との対応関係を記憶する。例えば、制御部１１は、その制御情報を定める際に参照したリスト内のレコードと、その制御情報とを対応付けて記憶する。例えば、制御部１１が宛先ＩＰアドレスから“www.zzzzz.co.jp ”を特定し、そのドメイン名がリストに含まれていることによって通信の許可を示す制御情報を作成した場合、制御部１１は、図４に示す最後のレコードと、その制御情報とを対応付けて記憶する。リストのレコードと対応づけて記憶される制御情報は、通信の不許可を示す制御情報であってもよい。例えば、制御部１１が宛先ＩＰアドレスから“www2.xxxxx.co.jp”を特定し、図４に示す１番目のレコードに基づいて、通信の不許可を示す制御情報を設定した場合、制御部１１は、図４に示す１番目のレコードと、その制御情報とを対応付けて記憶する。

一方、制御部１１は、宛先ＩＰアドレスから特定した項目がリスト内に含まれていなかったことにより、通信の不許可を示す制御情報を設定した場合には、項目と制御情報との対応関係を記憶しない。換言すれば、特定した項目がリスト内に含まれていないため、制御部１１は、リスト内の項目（特定した項目に該当するリスト内のレコード）と、制御情報とを対応付けることができない。

また、制御部１１は、制御情報をスイッチ部１２に設定した場合、その制御情報を設定する際に宛先ＩＰアドレスから特定した項目と、その制御情報の内容とを管理サーバ２０に送信する。管理サーバ２０は、制御部１１から受信したそれらの情報をログ情報として保持する。なお、制御部１１は、制御情報の内容として、制御情報そのものを管理サーバ２０に送信してもよい。または、制御部１１は、制御情報の内容として、通信を許可としたのか不許可としたのかを示す情報を管理サーバ２０に送信してもよい。

管理サーバ２０は、通信の不許可を示す制御情報が設定されたときに宛先ＩＰアドレスから特定された項目を管理者に提示する。例えば、管理サーバ２０は、その項目を、表示装置（図示略）に表示してもよい。あるいは、管理サーバ２０は、メール送信等の他の方法で、その項目を管理者に提示してもよい。以下、管理サーバ２０が、情報を表示装置に表示することによって、ユーザに情報を提示する場合を例にして説明する。

なお、管理サーバ２０は、ログ情報全体を管理者に提示してもよい。

管理サーバ２０は、通信の不許可を示す制御情報が設定されたときに宛先ＩＰアドレスから特定された項目をリストに追加する旨の指示を管理者から入力された場合、その指示を制御部１１に送信する。なお、この場合、管理者は、その項目に対応する通信インタフェース（図４参照）も指定する。また、補足情報を定める場合には、管理者は、その項目に対応する補足情報も指定する。制御部１１がその指示を受信した場合、制御部１１はその指示に従って、少なくとも、項目と通信インタフェースとを対応付けたレコードをリストに追加する。その指示の中で補足情報も指定されている場合には、制御部１１は、項目と通信インタフェースと補足情報とを対応づけたレコードをリストに追加する。また、このとき、制御部１１は、リスト内のいずれの項目（より具体的には、リスト内のいずれのレコード）とも対応付けられていない制御情報であって、通信の不許可を示す制御情報を全て特定し、特定した全ての制御情報を指定して、その制御情報の削除をスイッチ部１２に命令する。スイッチ部１２は、その命令に従って、制御部１１に指定された制御情報を削除する。

また、管理サーバ２０は、管理者が指定した項目（より具体的には、管理者が指定したリスト内のレコード）をリストから削除する旨の指示を、管理者から入力されてもよい。この場合、管理サーバ２０は、その指示をその指示を制御部１１に送信する。制御部１１は、その指示を受信すると、その指示に従って、管理者が指定した項目（管理者が指定したリスト内のレコード）をリストから削除する。また、制御部１１は、そのレコードに対応付けられている制御情報を全て特定し、特定した全ての制御情報を指定して、その制御情報の削除をスイッチ部１２に命令する。スイッチ部１２は、その命令に従って、制御部１１に指定された制御情報を削除する。

制御部１１およびスイッチ部１２は、例えば、通信プログラムに従って動作するコンピュータのＣＰＵ（Central Processing Unit ）よって実現される。この場合、ＣＰＵは、コンピュータのプログラム記憶装置（図示略）等のプログラム記録媒体から通信プログラムを読み込み、そのプログラムに従って制御部１１およびスイッチ部１２として動作すればよい。この点は、後述の各実施形態においても同様である。

次に、第１の実施形態の処理経過について説明する。

図６は、制御部１１がドメイン名とＩＰアドレスとの対応関係を記憶する処理の処理経過の例を示すシーケンス図である。本例では、サーバ３０のドメイン名が“www.xxxxx.co.jp ”であるものとして説明する。

最初に、カメラ５１は、ゲートウェイ１０を介してサーバ３０と通信を行う場合に、ドメイン名“www.xxxxx.co.jp ”を含むＤＮＳクエリを送信する（ステップＳ１）。

スイッチ部１２は、そのＤＮＳクエリを受信する。ここで、ＤＮＳクエリが新規パケットであるとする。この場合、スイッチ部１２は、ＤＮＳクエリのヘッダ情報を制御部１１に通知する（ステップＳ２）。なお、本実施形態では、スイッチ部１２は、受信したパケットのコピーを制御部１１に送ることによって、制御部１１にヘッダ情報を通知する場合を例にして説明する。また、スイッチ部１２は、カメラ５１から受信したＤＮＳクエリを保持する。

ＤＮＳクエリの宛先ＩＰアドレスはＤＮＳサーバ４０のＩＰアドレスである。この場合、制御部１１は、ＩＰアドレスからドメイン名を特定したりリストを参照したりせずに、通信の許可を示す制御情報をスイッチ部１２に設定する（ステップＳ３）。すなわち、制御部１１は、ＤＮＳサーバ４０との通信に用いる通信インタフェースからパケットを出力することを規定した制御情報をスイッチ部１２に設定する。なお、例えば、制御部１１は、図４に例示するリストとは別に、通信を許可すべき宛先ＩＰアドレス（予め定められた特定のサーバのＩＰアドレス）のリストを保持してもよい。そして、そのリスト内にＤＮＳサーバ４０のＩＰアドレスが含められていることによって、制御部１１は、ステップＳ３で、上記のように、通信の許可を示す制御情報をスイッチ部１２に設定する。

次に、スイッチ部１２は、ステップＳ３で設定された制御情報に従って、保持しているＤＮＳクエリを、指定された通信インタフェースから出力する（ステップＳ４）。この結果、ＤＮＳサーバ４０は、そのＤＮＳクエリを受信する。

すると、ＤＮＳサーバ４０は、ＤＮＳクエリに含まれているドメイン名“www.xxxxx.co.jp ”に応じたＩＰアドレスを求める。ＤＮＳサーバ４０は、そのドメイン名およびＩＰアドレスと、両者の対応の有効期限を示す情報とを含むＤＮＳクエリレスポンスを、送信する（ステップＳ５）。

スイッチ部１２は、そのＤＮＳクエリレスポンスを受信する。このＤＮＳクエリレスポンスは、新規パケットである。この場合、スイッチ部１２は、ＤＮＳクエリレスポンスのコピーを制御部１１に送ることによって、ＤＮＳクエリレスポンスのヘッダ情報を制御部１１に通知する（ステップＳ６）。また、スイッチ部１２は、受信したＤＮＳクエリレスポンスを保持する。

制御部１１は、そのＤＮＳクエリレスポンスを参照して、ドメイン名“www.xxxxx.co.jp ”と、ＩＰアドレスと、有効期限とを対応付けたレコードを新たに記憶する（ステップＳ７）。

また、ＤＮＳクエリレスポンスの送信元ＩＰアドレスはＤＮＳサーバ４０のＩＰアドレスである。この場合、制御部１１は、ＩＰアドレスからドメイン名を特定したりリストを参照したりせずに、通信の許可を示す制御情報をスイッチ部１２に設定する（ステップＳ８）。すなわち、制御部１１は、カメラ５１との通信に用いる通信インタフェースからパケットを出力することを規定した制御情報をスイッチ部１２に設定する。

次に、スイッチ部１２は、ステップ８で設定された制御情報に従って、保持しているＤＮＳクエリレスポンスを、指定された通信インタフェースから出力する（ステップＳ９）。この結果、カメラ５１は、ＤＮＳクエリレスポンスを受信する。この結果、カメラ５１は、“www.xxxxx.co.jp ”に対応するＩＰアドレス（すなわち、サーバ３０のＩＰアドレス）を認識する。

なお、図６の説明では省略したが、制御部１１は、ステップＳ３，Ｓ８の後に、管理サーバ２０に制御情報の内容を通知する。例えば、制御部１１は、ステップＳ３，Ｓ８の後に、「通信許可」という内容を示す情報を管理サーバ２０に送信する。

図７は、宛先ＩＰアドレスから特定したドメイン名がリストに含まれていることにより、通信の許可を示す制御情報を設定する場合の処理経過の例を示すシーケンス図である。図６に示す処理が完了しているものとする。また、制御部１１は、図４に例示するリストを保持しているものとする。

カメラ５１は、サーバ３０のＩＰアドレスを宛先とするＳＹＮパケットを送信する（ステップＳ１１）。

スイッチ部１２は、そのＳＹＮパケットを受信する。このＳＹＮパケットは、新規パケットである。すなわち、そのＳＹＮパケットのヘッダ情報に適合する制御情報は未だスイッチ部１２に設定されていない。この場合、スイッチ部１２は、ＳＹＮパケットのヘッダ情報を制御部１１に通知する（ステップＳ１２）。また、スイッチ部１２は、そのＳＹＮパケットを保持する。

制御部１１は、ステップＳ１２で通知されたヘッダ情報に含まれる宛先ＩＰアドレスからドメイン名を特定する。本例では、制御部１１は、ステップＳ７（図６参照）で、サーバ３０のドメイン名とＩＰアドレスとの対応関係を記憶している。制御部１１は、その対応関係を参照することによって、ヘッダ情報に含まれる宛先ＩＰアドレスからドメイン名“www.xxxxx.co.jp ”を特定する。さらに、制御部１１は、そのドメイン名がリストに含まれているか否かを判定する。本例では、ドメイン名“www.xxxxx.co.jp ”は、図４に示す１番目のレコードのドメイン名に該当する。また、“www.xxxxx.co.jp ”は、そのレコードの補足情報が示す例外（図４参照）に該当しない。従って、制御部１１は、図４に示す１番目のレコードに基づいて、ＳＹＮパケットのヘッダ情報に応じた制御情報として、Ethernetからパケットを出力することを規定した制御情報を、スイッチ部１２に設定する（ステップＳ１３）。また、このとき、制御部１１は、特定したドメイン名（より具体的には、そのドメイン名に該当するリスト内のレコード。）と、その制御情報との対応関係を記憶する。

スイッチ部１２は、ステップＳ１３で設定された制御情報に従って、保持しているＳＹＮパケットをEthernetから出力する（ステップＳ１４）。この結果、サーバ３０は、ＳＹＮパケットを受信する。

また、制御部１１は、宛先ＩＰアドレスから特定したドメイン名と、設定した制御情報の内容とを管理サーバ２０に通知する（ステップＳ１５）。例えば、制御部１１は、「www.xxxxx.co.jp への通信を許可した。」という情報を管理サーバ２０に送信する。「通信を許可した」という情報を受信した場合、管理サーバ２０は、宛先ＩＰアドレスから特定されたドメイン名を表示しなくてよい。

サーバ３０は、ＳＹＮパケットに対する応答として、カメラ５１のＩＰアドレスを宛先として、サーバ３０のＩＰアドレスを送信元とするＳＹＮ＿ＡＣＫパケットを送信する（ステップＳ１６）。すなわち、ＳＹＮ＿ＡＣＫパケットとＳＹＮパケットとでは、宛先ＩＰアドレスと送信元ＩＰアドレスとが逆になっている。

スイッチ部１２は、そのＳＹＮ＿ＡＣＫパケットを受信する。このＳＹＮ＿ＡＣＫパケットのヘッダ情報に適合する制御情報は未だスイッチ部１２に設定されていない。この場合、スイッチ部１２は、ＳＹＮ＿ＡＣＫパケットのヘッダ情報を制御部１１に通知する（ステップＳ１７）。また、スイッチ部１２は、そのＳＹＮ＿ＡＣＫパケットを保持する。

ここで、ＳＹＮ＿ＡＣＫパケットのヘッダ情報における宛先ＩＰアドレスおよび送信元ＩＰアドレスは、既に設定した制御情報であって、通信の許可を示す制御情報（すなわち、ステップＳ１３で設定した制御情報）に対応するヘッダ情報における宛先ＩＰアドレスおよび送信元ＩＰアドレスと逆になっている。従って、制御部１１は、ＳＹＮ＿ＡＣＫパケットのヘッダ情報に含まれる宛先ＩＰアドレスにパケットを送信するための制御情報をスイッチ部１２に設定する。すなわち、制御部１１は、宛先ＩＰアドレスが示すカメラ５１との通信に用いる通信インタフェースからパケットを出力することを規定した制御情報をスイッチ部１２に設定する（ステップＳ１８）。このとき、制御部１１は、既に設定した制御情報であって、通信の許可を示す制御情報（ステップＳ１３で設定したレコード）に対応付けたレコードと同一レコードと、ステップＳ１８で設定した制御情報とを対応づけて記憶する。

スイッチ部１２は、ステップＳ１８で設定された制御情報に従って、保持しているＳＹＮ＿ＡＣＫパケットを出力する（ステップＳ１９）。この結果、カメラ５１は、ＳＹＮ＿ＡＣＫパケットを受信する。

また、制御部１１は、例えば、「通信許可」という内容を示す情報を管理サーバ２０に送信する（ステップＳ２０）。

ＳＹＮ＿ＡＣＫパケットを受信したカメラ５１は、ＡＣＫパケットを送信する（ステップＳ２１）。ＡＣＫパケットのヘッダ情報は、ＳＹＮパケットのヘッダ情報と同様である。従って、ステップＳ１３で設定された制御情報は、ＡＣＫパケットのヘッダ情報に適合する。よって、スイッチ部１２は、その制御情報に従って、ＡＣＫパケットを出力する（ステップＳ２２）。この結果、サーバ３０は、ＡＣＫパケットを受信する。

なお、ステップＳ１３において、制御部１１は、宛先ＩＰアドレスから特定したドメイン名に対応する補足情報に基づいて、通信の不許可を示す制御情報（パケットの破棄を規定した制御情報）を設定してもよい。この場合にも、制御部１１は、特定したドメイン名に該当するリスト内のレコードと、その制御情報とを対応付けて記憶する。また、制御部１１は、宛先ＩＰアドレスから特定したドメイン名と、設定した制御情報の内容（例えば、「通信を不許可とした」という情報）とを、管理サーバ２０に送信する。管理サーバ２０は、そのドメイン名を表示する。この結果、管理者は、通信が許可されなかった場合に特定されたドメイン名を確認することができる。ただし、本例では、補足情報に基づいて通信が許可されなかったので、管理者の意図通りに通信が許可されなかったことになる。また、スイッチ部１２は、保持しているＳＹＮパケットを、その制御情報に従って破棄する。

図８は、宛先ＩＰアドレスから特定したドメイン名がリストに含まれていないことにより、通信の不許可を示す制御情報を設定する場合の処理経過の例を示すシーケンス図である。以下に示す例では、“www.xxxxx.co.jp ”に該当するレコードがリストに含まれていないものとして説明する。以下の動作は、図６に示す処理が完了した直後の動作であるものとする。

カメラ５１は、サーバ３０のＩＰアドレスを宛先とするＳＹＮパケットを送信する（ステップＳ１１）。

スイッチ部１２は、そのＳＹＮパケットを受信する。このＳＹＮパケットは、新規パケットである。この場合、スイッチ部１２は、ＳＹＮパケットのヘッダ情報を制御部１１に通知する（ステップＳ１２）。また、スイッチ部１２は、そのＳＹＮパケットを保持する。

制御部１１は、ステップＳ１２で通知されたヘッダ情報に含まれる宛先ＩＰアドレスからドメイン名を特定する。本例では、制御部１１は、ステップＳ７（図６参照）で、サーバ３０のドメイン名とＩＰアドレスとの対応関係を記憶している。制御部１１は、その対応関係を参照することによって、ヘッダ情報に含まれる宛先ＩＰアドレスからドメイン名“www.xxxxx.co.jp ”を特定する。さらに、制御部１１は、そのドメイン名がリストに含まれているか否かを判定する。本例では、“www.xxxxx.co.jp ”に該当するレコードがリストに含まれていないものとする。従って、制御部１１は、“www.xxxxx.co.jp ”がリストに含まれていないと判定し、ＳＹＮパケットのヘッダ情報に応じた制御情報として、パケットの破棄を規定した制御情報を、スイッチ部１２に設定する（ステップＳ３１）。また、この場合、制御部１１は、制御情報と、レコードとの対応付けを行わない。

スイッチ部１２は、ステップＳ３１で設定された制御情報に従って、保持しているＳＹＮパケットを破棄する。

また、制御部１１は、宛先ＩＰアドレスから特定したドメイン名と、設定した制御情報の内容とを管理サーバ２０に通知する（ステップＳ３２）。例えば、制御部１１は、「www.xxxxx.co.jp への通信を不許可とした。」という情報を管理サーバ２０に送信する。通信を不許可にしたという情報が通知されたので、管理サーバ２０は、宛先ＩＰアドレスから特定されたドメイン名“www.xxxxx.co.jp ”を表示する（ステップＳ３３）。この結果、管理者は、“www.xxxxx.co.jp ”をリストに含めなかったことが妥当であったか否かを検討することができる。管理者が“www.xxxxx.co.jp ”への通信を許可すべきと考えた場合、管理者は管理サーバ２０を操作して、“www.xxxxx.co.jp ”をリストに追加する旨の指示を管理サーバ２０から制御部１１に送信すればよい。

具体的には、管理サーバ２０は、“www.xxxxx.co.jp ”と通信インタフェースとを対応付けたレコードを、管理者から入力される。そのレコードに補足情報が含まれていてもよい。また、管理サーバ２０は、そのレコードをリストに追加する旨の指示も、管理者から入力される。この場合、管理サーバ２０は、入力されたレコード、および、そのレコードをリストに追加する旨の指示を、制御部１１に送信する（ステップＳ３４）。

制御部１１は、レコードおよび上記の指示を受信すると、その指示に従って、受信したレコードをリストに追加する（ステップＳ３５）。

また、制御部１１は、リスト内のいずれのレコードとも対応付けられていない制御情報であって、通信の不許可を示す制御情報を全て特定し、特定した全ての制御情報を指定して、その制御情報の削除をスイッチ部１２に命令する（ステップＳ３６）。スイッチ部１２は、その命令に従って、制御部１１に指定された制御情報を削除する。本例では、スイッチ部１２は、ステップＳ３１で設定された制御情報を削除する。

カメラ５１は、ＳＹＮ＿ＡＣＫパケットを受信しないので、ＳＹＮパケットを一定時間毎に送信する。スイッチ部１２がステップＳ３１で設定された制御情報を削除するまでの間に、スイッチ部１２が受信したＳＹＮパケットは、その制御情報に従って破棄される。スイッチ部１２がステップＳ３１で設定された制御情報を削除した後に、スイッチ部１２がＳＹＮパケットを受信した場合、各要素は、図７に示すステップＳ１２以降の動作を行えばよい。

ステップＳ３６の動作により、以下の効果が得られる。ステップＳ３５でレコードが追加されただけでは、カメラ５１が一定時間毎に送信するＳＹＮパケットは、ステップＳ３１で設定された制御情報に従って、破棄される。その状態が長く続くと、ＳＹＮパケットの送信元は、ヘッダ情報の一部（例えば、送信元ポート情報）を変更してＳＹＮパケットを送信する。ヘッダ情報の一部が変更されたことにより、そのＳＹＮパケットは新規パケットと判定される。その結果、レコード追加後のリストに基づいて、図７に示すステップＳ１２以降の動作が行われる。しかし、この場合、ステップＳ３５でレコードが追加されたとしても、通信の許可を示す制御情報が設定されるまでに時間がかかってしまう。一方、上記のように、ステップＳ３６の動作により、スイッチ部１２がステップＳ３１で設定された制御情報を削除した場合には、その後にＳＹＮパケットを受信した時から、図７に示すステップＳ１２以降の動作を開始できる。従って、リストにレコードが追加された後、通信の許可を示す制御情報が設定されるまでの時間を短くすることができる。

なお、管理者が、“www.xxxxx.co.jp ”をリストに含めなかったことが妥当であったと考えた場合、管理者は、リストへのレコードの追加を指示しなければよい。この場合、ステップＳ３４〜Ｓ３６の処理は行われない。従って、ステップＳ３１で設定された制御情報は削除されず、カメラ５１が一定時間毎に送信するＳＹＮパケットは、その制御情報に従って破棄される。

図９は、リスト内のレコードを削除する場合の処理経過の例を示すシーケンス図である。

管理者は、制御部１１が保持しているリスト内のレコードのうち、削除すべきレコードが存在していると判断した場合、管理者は管理サーバ２０を操作して、管理者が指定したレコードをリストから削除する旨の指示を管理サーバ２０から制御部１１に送信すればよい。なお、指定されたレコードをリストから削除するということは、指定された項目（本実施形態ではドメイン名）をリストから削除することを意味する。

管理サーバ２０は、削除すべきレコードとして管理者に指定されたレコードの情報を、管理者から入力される。また、管理サーバ２０は、指定されたレコードをリストから削除する旨の指示も、管理者から入力される。この場合、管理者は、指定されたレコードの情報、および、指定されたレコードをリストから削除する旨の指示を、制御部１１に送信する（ステップＳ４１）。

なお、管理者が管理サーバ２０にレコード削除の指示を送信させるタイミングは任意のタイミングであってもよい。

制御部１１は、レコードおよび上記の指示を受信すると、その指示に従って、指定されたレコードをリストから削除する（ステップＳ４２）。

また、制御部１１は、削除したレコードに対応付けられた制御情報を全て特定し、特定した全ての制御情報を指定して、その制御情報の削除をスイッチ部１２に命令する（ステップＳ４３）。スイッチ部１２は、その命令に従って、制御部１１に指定された制御情報を削除する。

例えば、制御部１１が、図４に示す１番目のレコードの削除の指示を受け、そのレコードをリストから削除したとする。この場合、制御部１１は、前述の例におけるステップＳ１３，Ｓ１８（図７参照）で設定した制御情報を特定し、スイッチ部１２にそれらの制御情報の削除を命令する。スイッチ部１２は、その命令に従って、ステップＳ１３，Ｓ１８で設定されたそれぞれの制御情報を削除する。

この後、制御部１１が、宛先ＩＰアドレスから“www.xxxxx.co.jp ”を特定したとしても、そのドメイン名に該当するレコードはリストに含まれていないので、通信の不許可を示す制御情報をスイッチ部１２に設定する。

本実施形態によれば、制御部１１が、新規パケットのヘッダ情報の通知を受けた場合、そのヘッダ情報に含まれる宛先ＩＰアドレスからドメイン名を特定する。そして、制御部１１は、そのドメイン名に該当するレコードがリストに含まれていれば、通信の許可を示す制御情報をスイッチ部１２に設定し、そのドメイン名に該当するレコードがリストに含まれていなければ、通信の不許可を示す制御情報をスイッチ部１２に設定する。従って、管理者は、通信を許可するか否かの設定を、リストを用いて行うことができる。また、リストは、ドメイン名および通信インタフェースを記述したレコードを列挙したリストである。従って、管理者は、ドメイン名および通信インタフェースをリスト内で指定すればよく、管理者にとって把握しにくいＩＰアドレスを指定する必要がない。従って、管理者は、通信を許可するか否かの設定を容易に行うことができる。

また、第１の実施形態において、制御部１１は、ステップＳ７で、ドメイン名と、ＩＰアドレスと、有効期限とを対応付けたレコードを新たに記憶する際、そのレコードに、ＤＮＳクエリの送信元ＭＡＣアドレスも含めてもよい。すなわち、制御部１１は、ステップＳ７で、ドメイン名と、ＩＰアドレスと、ＤＮＳクエリの送信元ＭＡＣアドレスと、有効期限とを対応付けたレコードを新たに記憶してもよい。

この場合、制御部１１は、スイッチ部１２から受け取ったヘッダ情報に含まれる宛先ＩＰアドレスからドメイン名を特定する場合に、そのヘッダ情報に含まれる宛先ＩＰアドレスと送信元ＭＡＣアドレスの組み合わせに対応するドメイン名を特定する。このとき、ヘッダ情報に含まれる宛先ＩＰアドレスが、ドメイン名とＩＰアドレスとの対応関係として記憶しているＩＰアドレスに一致していても、ヘッダ情報に含まれる送信元ＭＡＣアドレスが、その対応関係に含まれる送信元ＭＡＣアドレスに一致していなければ、制御部１１は、ドメイン名を特定できないことになる。この場合には、制御部１１は、そのヘッダ情報に応じた制御情報として、通信の不許可を示す制御情報をスイッチ部１２に設定する。

例えば、ゲートウェイ１０のＭＡＣアドレスが“01:01:01:01:01:01”であるとする。また、プロセスＡ１３が、ドメイン名“www.ttttt.co.jp ”を含むＤＮＳクエリを送信し、ＤＮＳサーバ４０が、“www.ttttt.co.jp ”に対応するＩＰアドレス“10.y.y.y”を含むＤＮＳクエリレスポンスを返したとする。この場合、制御部１１は、ステップＳ７で、ドメイン名“www.ttttt.co.jp ”と、ＩＰアドレス“10.y.y.y”と、ＭＡＣアドレス“01:01:01:01:01:01”と、有効期限とを対応づけて記憶する。また、センサ５２（図２参照）のＭＡＣアドレスが“02:02:02:02:02:02”であるとする。そして、センサ５２が、宛先ＩＰアドレスが“10.y.y.y”であり、送信元ＭＡＣアドレスが“02:02:02:02:02:02”であるパケットを送信し、スイッチ部１２が、そのパケットのヘッダ情報を制御部１１に通知する。このとき、制御部１１は、宛先ＩＰアドレス“10.y.y.y”と送信元ＭＡＣアドレス“02:02:02:02:02:02”の組み合わせに対応するドメイン名はないと判定する。そして、制御部１１は、センサ５２が送信したパケットのヘッダ情報に応じた制御情報として、通信の不許可を示す制御情報をスイッチ部１２に設定する。この結果、ＭＡＣアドレスが“02:02:02:02:02:02”であるセンサ５２から、ＩＰアドレス“10.y.y.y”への通信は不許可とされる。

実施形態２．
図１０は、本発明の通信システムの第２の実施形態の例を示すブロック図である。図２に示す要素と同様の要素については、図２と同一の符号を付す。ただし、制御部１１の動作は、第１の実施形態における制御部１１の動作と一部異なる。

また、図１０では、ゲートウェイ１０の内部のプロセスとして、プロセスＡ１３のみを図示しているが、ゲートウェイ１０の内部のプロセスの数は、特に限定されない。以下に示す例では、プロセスＡ１３がサーバ３０を宛先とするパケットを送信する場合を例にして説明する。なお、以下の説明では、説明を簡単にするために、プロセスが動作するものとして説明する。ただし、実際には、プロセスに従ってＣＰＵが動作する。

スイッチ部１２は、第１の実施形態におけるスイッチ部１２と同様である。

第２の実施形態では、ＩＰアドレスから特定可能な項目として、プロセス名を用いる。従って、第２の実施形態では、制御部１１は、ＩＰアドレスから特定可能な項目のリストとして、プロセス名のリストを保持する。リストに記述されるプロセス名は、プロセスパス名とともに記述される。従って、プロセスは、プロセスパス名とともに記述されたプロセス名によって区別される。以下、特に言及しない限り、プロセス名は、プロセスパス名とともに記述されたプロセス名であるものとする。

第１の実施形態と同様に、リストは、原則としてホワイトリストである。制御部１１は、スイッチ部１２から通知されたヘッダ情報に含まれるＩＰアドレスおよびポート番号（本実施形態では、宛先ＩＰアドレスおよび宛先ポート番号）並びにプロトコルからプロセス名（プロセスパス名とともに記述されたプロセス名）を特定する。そのプロセス名がリストに含まれている場合、制御部１１は、通信の許可を示す制御情報をスイッチ部１２に設定する。また、そのプロセス名がリストに含まれていない場合、制御部１１は、通信の不許可を示す制御情報をスイッチ部１２に設定する。

また、特定したプロセス名がリストに含まれている場合であっても、リスト内で、そのプロセス名に補足情報が記述されている場合には、制御部１１は、その補足情報に基づいて、通信の許可を示す制御情報を設定するのか、通信の不許可を示す制御情報を設定するのかを判定する。

図１１は、第２の実施形態におけるリストの例を示す説明図である。図１１に例示するリストでは、プロセス名と、通信インタフェースと、補足情報との組み合わせが列挙されている。プロセス名と、通信インタフェースと、補足情報との１つの組み合わせが１つのレコードに該当する。通信インタフェースは、リスト内のプロセス名がヘッダ情報から特定されたことによって通信を許可する場合に、パケット出力に用いる通信インタフェースを表している。

また、本実施形態では、ゲートウェイ１０の内部のプロセスＡ１３がサーバ３０を宛先とするパケットを送信する場合を例にして説明する。それに応じて、図１１では、通信インタフェースとして、宛先側への通信インタフェースを示している。また、外部の装置から、ゲートウェイ１０の内部のプロセスへのパケットを処理するために、宛先側への通信インタフェースの代わりに、外部から受信したパケットを出力するための通信インタフェースを含むレコードが記述されていてもよい。

レコード内の補足情報は、リスト内のプロセス名がヘッダ情報から特定された場合における例外（すなわち、通信を不許可とする場合）や、通信を許可する条件を示す情報である。図１１に示す２番目のレコードの補足情報は、ヘッダ情報から“/sbin/xyz ”が特定された場合であっても、「宛先ＩＰアドレスが192.168.10.0/24 であり、宛先ポート番号が４４３または８０である。」という条件が満たされている場合にのみ、通信を許可することを規定している。また、図１１に示す３番目のレコードの補足情報は、ヘッダ情報から“/bin/abc”が特定された場合であっても、ポート番号が２０または２１である場合には、通信を許可しないことを示している。

なお、図１１では、補足情報にＩＰアドレス“192.168.10.0/24”が記述されている。一般に、ＩＰアドレスは管理者にとって把握しにくい。しかし、管理者がＩＰアドレスを把握している場合には、図１１に例示するように、管理者は、補足情報内でＩＰアドレスを記述してもよい。

図１１に示す１番目のレコードでは、補足情報が記載されていない。従って、ヘッダ情報から“/usr/bin/abc”が特定された場合には、制御部１１は、例外や条件を考慮せずに、通信の許可を示す制御情報を設定する。

第１の実施形態で説明したように、リストは、予め通信システムの管理者によって作成される。管理サーバ２０は、管理者の操作に従って、リストをゲートウェイ１０の制御部１１に送信し、制御部１１は受信したリストを保持する。

次に、制御部１１が、ヘッダ情報に含まれるＩＰアドレスからプロセス名を特定する処理について説明する。制御部１１は、ヘッダ情報に含まれる宛先ＩＰアドレス、宛先ポート番号およびプロトコルからプロセス名を特定する。この方法は、公知の方法であってもよい。以下、制御部１１が、プロセス名を特定する動作の一例を説明する。

制御部１１は、スイッチ部１２から通知されたヘッダ情報から、宛先ＩＰアドレス、宛先ポート番号およびプロトコルを取得する。

そして、制御部１１は、その宛先ＩＰアドレスおよび宛先ポート番号をキーとして、プロセスがソケット通信に利用しているｉノード番号を検索する。例えば、ゲートウェイ１０のＣＰＵは、プロトコルに応じた所定のファイルに、宛先ＩＰアドレスおよび宛先ポート番号とｉノード番号との対応関係を記述している。制御部１１は、宛先ＩＰアドレスおよび宛先ポート番号をキーとして、そのファイルからｉノード番号を検索する。制御部１１は、ヘッダ情報から取得したプロトコルに基づいて、ｉノード番号を検索すべきファイルを特定すればよい。

次に、制御部１１は、そのｉノード番号に対応するプロセスＩＤを検出する。例えば、ＣＰＵは、所定の複数のパスの配下のファイルに、ｉノード番号とプロセスＩＤとの対応関係を記述している。制御部１１は、それらのファイルから、ｉノード番号に対応するプロセスＩＤを検出する。

次に、制御部１１は、そのプロセスＩＤをキーにして、プロセス名そのもの（プロセスパス名が記述されていないプロセス名）と、そのプロセスのプロセスパス名を検索する。例えば、ＣＰＵは、プロセスＩＤに応じた所定のファイル（第１のファイルと記す。）に、プロセス名そのものと、プロセスＩＤとの対応関係を記述している。また、ＣＰＵは、プロセスＩＤに応じた別の所定のファイル（第２のファイルと記す。）に、プロセスＩＤとプロセスパスとの対応関係を記述している。制御部１１は、プロセスＩＤをキーにして、第１のファイルからプロセス名そのものを検索し、プロセスＩＤをキーにして、第２のファイルからプロセスパス名を検索する。

次に、制御部１１は、検索したプロセスパス名とプロセス名とを繋げる。この結果、プロセスパス名とともに記述されたプロセスパス名が特定される。

制御部１１は、宛先ＩＰアドレス、宛先ポート番号およびプロトコルから特定したプロセス名がリストに含まれていることによって、制御情報をスイッチ部１２に設定した場合、リストに含まれているそのプロセス名と制御情報との対応関係を記憶する。例えば、制御部１１は、その制御情報を定める際に参照したリスト内のレコードと、その制御情報とを対応付けて記憶する。

例えば、制御部１１が、宛先ＩＰアドレス、宛先ポート番号およびプロトコルからプロセス名を特定し、そのプロセス名がリストに含まれていることに基づいて、通信の許可を示す制御情報を設定したとする。なお、このとき、制御部１１は、リスト内でそのプロセス名に対応付けられている補足情報に応じて、通信の不許可を示す制御情報を設定してもよい。この場合、制御部１１は、リスト内でそのプロセス名に対応するレコードと、設定した制御情報とを対応づけて記憶する。

一方、制御部１１は、宛先ＩＰアドレス、宛先ポート番号およびプロトコルから特定したプロセス名がリストに含まれていなかったことにより、通信の不許可を示す制御情報を設定した場合には、上記の対応関係を記憶しない。換言すれば、特定したプロセス名がリスト内に含まれていないため、制御部１１は、リスト内のプロセス名（特定したプロセス名に該当するリスト内のレコード）と、制御情報とを対応付けることができない。

また、第１の実施形態と同様に、制御部１１は、制御情報をスイッチ部１２に設定した場合、その制御情報を設定する際に特定した項目（本実施形態ではプロセス名）と、その制御情報の内容とを管理サーバ２０に送信する。管理サーバ２０は、制御部１１から受信したそれらの情報をログ情報として保持する。

管理サーバ２０は、第１の実施形態における管理サーバ２０と同様である。また、管理サーバ２０から指示を受信したときの制御部１１の動作も、第１の実施形態における制御部１１の動作と同様である。

次に、第２の実施形態の処理経過の例について説明する。

図１２は、ヘッダ情報から特定したプロセス名がリストに含まれていないことにより、通信の不許可を示す制御情報を設定する場合の処理経過の例を示すシーケンス図である。以下に示す例では、プロセスＡ１３がパケットの送信元である場合を例にして説明する。また、以下の説明では、プロセスＡ１３がステップＳ５１（図１２参照）でＳＹＮパケットを送信する時点で、プロセスＡ１３のプロセス名に該当するレコードは、制御部１１が保持しているリストに含まれていない。

また、以下の説明では、制御部１１は、ヘッダ情報に含まれる宛先ＩＰアドレス、宛先ポート番号、送信元ＩＰアドレスおよび送信元ポート番号の組み合わせに応じた制御情報をスイッチ部１２に設定する場合を例にして説明する。従って、本例において、ヘッダ情報に適合する制御情報とは、具体的には、ヘッダ情報に含まれる宛先ＩＰアドレス、宛先ポート番号、送信元ＩＰアドレスおよび送信元ポート番号の組み合わせに適合する制御情報である。

ゲートウェイ１０の内部のプロセスＡ１３は、サーバ３０を宛先とするＳＹＮパケットを送信する（ステップＳ５１）。このＳＹＮパケットのヘッダ情報に含まれる宛先ＩＰアドレス、宛先ポート番号、送信元ＩＰアドレス、送信元ポート番号は、それぞれ、以下に示す通りであるとする。

宛先ＩＰアドレス：192.168.0.1
宛先ポート番号：443
送信元ＩＰアドレス：192.168.10.1
送信元ポート番号：5000

スイッチ部１２は、このＳＹＮパケットを受信する。このＳＹＮパケットは、新規パケットであるものとする。すなわち、このＳＹＮパケットのヘッダ情報（具体的には、宛先ＩＰアドレス“192.168.0.1 ”，宛先ポート番号“443 ”，送信元ＩＰアドレス“192.168.10.1”および送信元ポート番号“5000”の組み合わせ）に適合する制御情報は未だスイッチ部１２に設定されていないものとする。この場合、スイッチ部１２は、ＳＹＮパケットのヘッダ情報を制御部１１に通知する（ステップＳ５２）。また、スイッチ部１２は、プロセスＡ１３から受信したＳＹＮパケットを保持する。

なお、本実施形態において、スイッチ部１２がパケットのヘッダ情報を送る態様は、パケットのコピーを制御部１１に送る態様であっても、パケットのヘッダ情報の部分のみを制御部１１に送る態様であってもよい。

制御部１１は、ステップＳ５２で通知されたヘッダ情報に含まれる宛先ＩＰアドレス、宛先ポート番号およびプロトコルから、ＳＹＮパケットを送信したプロセスＡ１３のプロセス名（プロセスパス名とともに記述されたプロセスパス名）を特定する。プロセス名の特定方法の例については、既に説明したので、ここでは説明を省略する。

次に、制御部１１は、特定したプロセス名がリストに含まれているか否かを判定する。ここでは、特定したプロセス名はリストに含まれていない。従って、制御部１１は、ＳＹＮパケットのヘッダ情報（具体的には、上記の宛先ＩＰアドレス、宛先ポート番号、送信元ＩＰアドレスおよび送信元ポート番号）に応じた制御情報として、パケットの破棄を規定した制御情報を、スイッチ部１２に設定する（ステップＳ５３）。この場合、制御部１１は、制御情報と、リスト内のレコードとの対応付けを行わない。

スイッチ部１２は、ステップＳ５３で設定された制御情報に従って、保持しているＳＹＮパケットを破棄する。

また、制御部１１は、宛先ＩＰアドレス、宛先ポート番号およびプロトコルから特定したプロセス名（プロセスＡ１３のプロセス名）と、設定した制御情報の内容とを管理サーバ２０に通知する（ステップＳ５４）。例えば、制御部１１は、特定したプロセス名と、そのプロセスからの通信を不許可にしたことを管理サーバ２０に通知する。通信を不許可にしたという情報が通知されたので、管理サーバ２０は、通知されたプロセス名を表示する（ステップＳ５５）。この結果、管理者は、そのプロセス名をリストに含めなかったことが妥当であったか否かを検討することができる。管理者が、そのプロセス名を有するプロセスからの通信を許可すべきと考えた場合、管理者は管理サーバ２０を操作して、そのプロセス名をリストに追加する旨の指示を管理サーバ２０から制御部１１に送信すればよい。

具体的には、管理サーバ２０は、そのプロセス名（プロセスＡ１３のプロセス名）と、宛先側への通信インタフェースとを対応付けたレコードを、管理者から入力される。そのレコードに補足情報が含まれていてもよい。また、管理サーバ２０は、そのレコードをリストに追加する旨の指示も、管理者から入力される。この場合、管理サーバ２０は、入力されたレコード、および、そのレコードをリストに追加する旨の指示を、制御部１１に送信する（ステップＳ５６）。

制御部１１は、レコードおよび上記の指示を受信すると、その指示に従って、受信したレコードをリストに追加する（ステップＳ５７）。

また、制御部１１は、リスト内のいずれのレコードとも対応付けられていない制御情報であって、通信の不許可を示す制御情報を全て特定し、特定した全ての制御情報を指定して、その制御情報の削除をスイッチ部１２に命令する（ステップＳ５８）。スイッチ部１２は、その命令に従って、制御部１１に指定された制御情報を削除する。本例では、スイッチ部１２は、ステップＳ５３で設定された制御情報を削除する。

プロセスＡ１３は、ＳＹＮパケットに対する応答（ＳＹＮ＿ＡＫＣパケット）を受信しないので、ＳＹＮパケットを一定時間毎に送信する。スイッチ部１２がステップＳ５３で設定された制御情報を削除するまでの間に、スイッチ部１２が受信したＳＹＮパケットは、その制御情報に従って破棄される。

上記のように、プロセスＡ１３は、応答がなければ、ＳＹＮパケットを一定時間毎に送信する。従って、ステップＳ５３で設定された制御情報が削除された後にも、プロセスＡ１３は、再度、ＳＹＮパケットを送信する（ステップＳ５９）。スイッチ部１２は、そのＳＹＮパケットを受信する。このＳＹＮパケットのヘッダ情報（具体的には、宛先ＩＰアドレス“192.168.0.1 ”，宛先ポート番号“443 ”，送信元ＩＰアドレス“192.168.10.1”および送信元ポート番号“5000”の組み合わせ）に適合する制御情報は、ステップＳ５８における命令に基づいて、スイッチ部１２によって削除されている。従って、ステップＳ５９でスイッチ部１２が受信したパケットは、新規パケットに該当する。

よって、スイッチ部１２は、ステップＳ５９で受信したＳＹＮパケットのヘッダ情報を制御部１１に通知する（ステップＳ６０）。また、スイッチ部１２は、そのＳＹＮパケットを保持する。

制御部１１は、ステップＳ６０で通知されたヘッダ情報に含まれる宛先ＩＰアドレス、宛先ポート番号およびプロトコルから、ＳＹＮパケットを送信したプロセスＡ１３のプロセス名を特定する。

次に、制御部１１は、特定したプロセス名がリストに含まれているか否かを判定する。ステップＳ５７で、プロセスＡ１３のプロセス名に該当するレコードがリストに追加されている。従って、制御部１１は、特定したプロセス名がリストに含まれていると判定する。

よって、制御部１１は、ＳＹＮパケットのヘッダ情報（具体的には、前述の宛先ＩＰアドレス、宛先ポート番号、送信元ＩＰアドレスおよび送信元ポート番号）に応じた制御情報として、そのレコードに記述されている通信インタフェースからパケットを出力することを規定した制御情報をスイッチ部１２に設定する（ステップＳ６１）。また、このとき、制御部１１は、特定したプロセス名に該当するリスト内のレコードと、その制御情報とを対応付けて記憶する。

スイッチ部１２は、ステップＳ６１で設定された制御情報に従って、保持しているＳＹＮパケットを、制御情報で規定されている通信インタフェースから出力する（ステップＳ６２）。この結果、サーバ３０は、ＳＹＮパケットを受信する。

また、制御部１１は、特定したプロセス名（プロセスＡ１３のプロセス名）と、設定した制御情報の内容とを管理サーバ２０に通知する（ステップＳ６３）。例えば、特定したプロセス名と、そのプロセスからの通信を許可したことを管理サーバ２０に通知する。「通信を許可した」という情報とともにプロセス名を受信した場合、管理サーバ２０は、そのプロセス名を表示しなくてよい。

図１２では、ヘッダ情報から特定したプロセス名がリストに含まれていないことにより、通信の不許可を示す制御情報を設定する場合を示した。ヘッダ情報から特定したプロセス名がリストに含まれていることにより、通信の許可を示す制御情報を設定する場合の動作は、図１２に示すステップＳ５９以降の動作と同様である。なお、ヘッダ情報から特定したプロセス名がリストに含まれている場合であっても、補足情報に応じて、制御部１１が、通信の不許可を示す制御情報を設定する場合もあり得る。

図１２に示すステップＳ５８の動作により、ステップＳ３６（図８参照）の動作と同様の効果が得られる。ステップＳ５７でレコードが追加されただけでは、プロセスＡ１３が一定時間毎に送信するＳＹＮパケットは、ステップＳ５３で設定された制御情報に従って、破棄される。その状態が長く続くと、プロセスＡ１３は、ヘッダ情報の一部（送信元ポート情報）を変更してＳＹＮパケットを送信する。送信元ポート情報が変更されたことにより、そのＳＹＮパケットは新規パケットと判定される。その結果、レコード追加後のリストに基づいて、ステップＳ６０以降の動作が行われる。しかし、この場合、ステップＳ５７でレコードが追加されたとしても、通信の許可を示す制御情報が設定されるまでに時間がかかってしまう。一方、ステップＳ５８の動作により、スイッチ部１２がステップＳ５３で設定された制御情報を削除した場合には、その後にＳＹＮパケットを受信した時から、ステップＳ６０以降の動作を開始できる。従って、リストにレコードが追加された後、通信の許可を示す制御情報が設定されるまでの時間を短くすることができる。

この効果が得られる他の処理経過の例を説明する。図１３は、リストにレコードが追加された後、通信の許可を示す制御情報が設定されるまでの時間を短縮することができる処理経過の他の例を示すシーケンス図である。図１２に示す動作と同様の動作については、図１２と同一のステップ番号を付している。

ステップＳ５１〜ステップＳ５７の処理経過は、図１２に示すステップＳ５１〜Ｓ５７の処理経過と同様である。図１３に示す例では、制御部１１は、ステップＳ５８の動作を行わない。その代わりに、制御部１１は、管理サーバ２０からの指示に応じて新たなレコードを追加したときに、パケットの送信元（本例では、プロセスＡ１３）にリセットパケットを送信する。なお、制御部１１は、スイッチ部１２を介さずに、パケットの送信元にリセットパケットを送信する。

リセットパケットは、宛先からの応答がないことによって繰り返し送信しているパケットの送信停止を指示するとともに、そのパケットのヘッダ情報の一部（ここでは、送信元ポート番号とする。）を変更したパケットの送信を指示するパケットである。

制御部１１は、管理サーバ２０からの指示に応じて新たなレコードを追加した後（ステップＳ５７の後）、プロセスＡ１３にリセットパケットを送信する（ステップＳ７１）。

すると、プロセスＡ１３は、制御部１１から受信したリセットパケットの指示に従う。すなわち、プロセスＡ１３は、ＳＹＮパケットに対する応答がないことによって繰り返していたＳＹＮパケットの送信を停止する。そして、プロセスＡ１３は、繰り返し送信していたＳＹＮパケットのヘッダ情報のうち送信元ポート番号を変更したＳＹＮパケットを送信する（ステップＳ５９ａ）。このＳＹＮパケットのヘッダ情報に含まれる宛先ＩＰアドレス、宛先ポート番号、送信元ＩＰアドレス、送信元ポート番号は、それぞれ、以下に示す通りであるとする。

宛先ＩＰアドレス：192.168.0.1
宛先ポート番号：443
送信元ＩＰアドレス：192.168.10.1
送信元ポート番号：5001

スイッチ部１２は、このＳＹＮパケットを受信する。このＳＹＮパケットの送信元ポート番号は、ステップＳ５１で受信したＳＹＮパケットの送信元ポート番号とは異なっている。従って、ステップＳ５９ａでスイッチ部１２が受信したＳＹＮパケットのヘッダ情報は、ステップＳ５３で設定された制御情報に適合しない。よって、そのＳＹＮパケットは新規パケットに該当する。

そのため、スイッチ部１２は、ステップＳ５９ａで受信したＳＹＮパケットのヘッダ情報を制御部１１に通知する（ステップＳ６０）。ステップＳ６０〜Ｓ６３の処理経過は、図１２に示すステップＳ６０〜Ｓ６３の処理経過と同様である。

図１３に示す例では、制御部１１は、管理サーバ２０からの指示に応じて新たなレコードを追加したときに、プロセスＡ１３にリセットパケットを送信する。すると、プロセスＡ１３は、それまで繰り返し送信していたＳＹＮパケットの送信を停止し、そのＳＹＮパケットとは送信元ポート番号が異なるＳＹＮパケットをスイッチ部１２に送信する。その結果、スイッチ部１２がそのＳＹＮパケットを受信した時から、ステップＳ６０以降の動作を開始できる。従って、リストにレコードが追加された後、通信の許可を示す制御情報が設定されるまでの時間を短くすることができる。

なお、図１３に示す処理経過を実現する場合には、管理者は、ゲートウェイ１０の各プロセスに対して、リセットパケット受信時の動作を予め定めておく。

このように、管理サーバ２０からの指示に応じて新たなレコードを追加したときに、制御部１１が、パケットの送信元にリセットパケットを送信するという技術事項は、第１の実施形態や後述の第３の実施形態にも適用可能である。

なお、図１２や図１３に示す例において、ステップＳ５５で表示されたプロセス名をリストに含めなかったことが妥当であったと管理者が考えた場合、管理者は、リストへのレコードの追加を指示しなければよい。この場合、図１２および図１３に示す例において、ステップＳ５６以降の処理は行われない。従って、プロセスＡ１３が一定時間毎に送信するＳＹＮパケットは、ステップＳ５３で設定された制御情報に従って破棄される。

また、リスト内のレコードを削除する場合の処理経過は、第１の実施形態で説明した動作（図９を参照して説明した動作）と同様である。

本実施形態によれば、制御部１１が、新規パケットのヘッダ情報の通知を受けた場合、そのヘッダ情報に含まれている宛先ＩＰアドレスを用いて、プロセス名を特定する。そして、制御部１１は、そのプロセス名に該当するレコードがリストに含まれていれば、通信の許可を示す制御情報をスイッチ部１２に設定し、そのドメイン名に該当するレコードがリストに含まれていなければ、通信の不許可を示す制御情報をスイッチ部１２に設定する。従って、管理者は、通信を許可するか否かの設定を、リストを用いて行うことができる。また、リストは、プロセス名および通信インタフェースを記述したレコードを列挙したリストである。従って、管理者は、プロセス名および通信インタフェースをリスト内で指定すればよく、管理者にとって把握しにくいＩＰアドレスを指定する必要がない。従って、管理者は、通信を許可するか否かの設定を容易に行うことができる。

また、第２の実施形態において、リストに記述されるプロセス名は、プロセスパス名とともに記述されていなくてもよい。すなわち、リストに記述されるプロセス名は、プロセス名そのものであってもよい。この場合、制御部１１は、スイッチ部１２からヘッダ情報を受け取ったときに、ヘッダ情報に含まれる宛先ＩＰアドレス、宛先ポート番号およびプロトコルから、パケットを送信したプロセスのプロセス名そのものを特定すればよく、プロセスパス名を検索する必要はない。

実施形態３．
本発明の第３の実施形態の通信システムは、第２の実施形態の通信システムと同様に、図１０に示すブロック図で表すことができるので、図１０を参照して、第３の実施形態を説明する。

第３の実施形態におけるスイッチ部１２、プロセスＡ１３、管理サーバ２０およびサーバ３０は、第２の実施形態におけるスイッチ部１２、プロセスＡ１３、管理サーバ２０およびサーバ３０と同様である。

第３の実施形態では、ＩＰアドレスから特定可能な項目として、プロセスのユーザ名を用いる。従って、第３の実施形態では、制御部１１は、ＩＰアドレスから特定可能な項目のリストとして、プロセスのユーザ名（以下、単にユーザ名と記す。）のリストを保持する。

第１の実施形態や第２の実施形態と同様に、リストは、原則としてホワイトリストである。制御部１１は、スイッチ部１２から通知されたヘッダ情報に含まれるＩＰアドレスおよびポート番号（本実施形態では、宛先ＩＰアドレスおよび宛先ポート番号）並びにプロトコルからユーザ名を特定する。そのユーザ名がリストに含まれている場合、制御部１１は、通信の許可を示す制御情報をスイッチ部１２に設定する。また、そのユーザ名がリストに含まれていない場合、制御部１１は、通信の不許可を示す制御情報をスイッチ部１２に設定する。

また、特定したユーザ名がリストに含まれている場合であっても、リスト内で、そのユーザ名に補足情報が記述されている場合には、制御部１１は、その補足情報に基づいて、通信の許可を示す制御情報を設定するのか、通信の不許可を示す制御情報を設定するのかを判定する。

図１４は、第３の実施形態におけるリストの例を示す説明図である。図１４に例示するリストでは、ユーザ名と、通信インタフェースと、補足情報との組み合わせが列挙されている。ユーザ名と、通信インタフェースと、補足情報との１つの組み合わせが１つのレコードに該当する。通信インタフェースは、リスト内のユーザ名がヘッダ情報から特定されたことによって通信を許可する場合に、パケット出力に用いる通信インタフェースを表している。

また、ここでは、ゲートウェイ１０の内部のプロセスＡ１３がサーバ３０を宛先とするパケットを送信する場合を例にする。それに応じて、図１４では、通信インタフェースとして、宛先側への通信インタフェースを示している。また、外部の装置から、ゲートウェイ１０の内部のプロセスへのパケットを処理するために、宛先側への通信インタフェースの代わりに、外部から受信したパケットを出力するための通信インタフェースを含むレコードが記述されていてもよい。

補足情報は、第２の実施形態における補足情報と同様である。

また、本実施形態では、制御部１１は、ヘッダ情報に含まれる宛先ＩＰアドレス、宛先ポート番号およびプロトコルからユーザ名を特定する。以下、制御部１１がユーザ名を特定する動作の一例を説明する。

制御部１１は、スイッチ部１２から通知されたヘッダ情報から、宛先ＩＰアドレス、宛先ポート番号およびプロトコルを取得する。次に、制御部１１は、その宛先ＩＰアドレスおよび宛先ポート番号をキーとして、プロセスがソケット通信に利用しているｉノード番号を検索する。次に、制御部１１は、そのｉノード番号に対応するプロセスＩＤを検出する。これらの動作は、第２の実施形態で説明した動作と同様である。第２の実施形態で例示したように、制御部１１は、ｉノード番号を検索すべきファイルを、ヘッダ情報から取得したプロトコルに基づいて判定すればよい。

次に、制御部１１は、実行中のプロセスを表示させるコマンドを用いて、そのプロセスＩＤをキーとして、プロセスのユーザ名（実行ユーザ名）を取得する。

第３の実施形態では、制御部１１がユーザ名のリストを保持する点と、ＩＰアドレスおよびポート番号からユーザ名を特定する点が第２の実施形態と異なる。その他の点は、第２の実施形態と同様であり、説明を省略する。

第３の実施形態によれば、管理者は、ユーザ名および通信インタフェースをリスト内で指定すればよく、管理者にとって把握しにくいＩＰアドレスを指定する必要がない。従って、第２の実施形態と同様に、管理者は、通信を許可するか否かの設定を容易に行うことができる。

上記の各実施形態では、管理サーバ２０が、特定された項目と、「通信を許可した」という情報を受信した場合、管理サーバ２０がそれらの情報を表示しない場合を例にして説明した。管理サーバ２０は、それらの情報を表示してもよい。そして、管理者が、その表示を見て、その項目に該当するレコードをリストから削除すべきと判断した場合には、そのレコードの削除の指示を管理サーバ２０に送信させてもよい。この場合の動作は、図９を参照して説明した動作と同様である。

また、上記の各実施形態における管理サーバ２０は、管理手段と称することもできる。管理手段は、サーバでなく、管理サーバ２０と同様の機能を持つ情報処理装置（例えば、パーソナルコンピュータ等）であってもよい。また、ゲートウェイ１０の外部に管理サーバ２０を設ける代わりに、ゲートウェイ１０が、管理手段を備えていてもよい。すなわち、ゲートウェイ１０が、管理サーバ２０と同様の機能を持つ手段を備えていてもよい。

また、上記の各実施形態において、リストの中に、項目と、その項目については通信を許可しないことを明示した補足情報とが対応付けられたレコードが含まれていてもよい。例えば、図１１に例示するリストの中に、“/bin/efg”というプロセス名と、“通信を許可しない。”という補足情報とが対応付けられたレコードが含まれていてもよい。この場合、制御部１１は、ＩＰアドレスから特定したプロセス名が“/bin/efg”である場合、その補足情報に基づいて、通信の不許可を示す制御情報をスイッチ部１２に設定する。なお、このレコードでは、通信インタフェースは指定されていなくてよい。ここでは、項目がプロセス名である場合を例にして説明したが、項目がドメイン名やユーザ名である場合にも、リスト内に、上記のような例外的なレコードが含まれていてよい。

また、各実施形態において、スイッチ部１２が受信したパケットが新規パケットであった場合、制御部１２は、受信したパケットのヘッダ情報を、以下のように、制御部１１に送ってもよい。スイッチ１２は、受信したパケットを保持することなく、そのパケット全体を制御部１１に送ってもよい。この場合、制御部１１は、そのパケットのヘッダ情報に応じた制御情報をスイッチ部１２に設定する際に、そのパケットをスイッチ部１２に返す。スイッチ部１２は、制御部１２から返されたパケットに対して、その制御情報に従って、処理を行えばよい。

次に、本発明の概要について説明する。図１５は、本発明の通信システムの概要を示すブロック図である。本発明の通信システムは、パケットを転送するパケット転送手段７２と、パケットのヘッダ情報に応じたパケット転送手段７２の動作を規定した制御情報をパケット転送手段７２に対して設定する制御手段７１とを備える。

パケット転送手段７２（例えば、スイッチ部１２）は、ヘッダ情報に適合する制御情報が未だ設定されていないパケットである新規パケットを受信したときに、その新規パケットのヘッダ情報を制御手段７１に通知する。

制御手段７１（例えば、制御部１１）は、ＩＰアドレスから特定可能な項目（例えば、ドメイン名、プロセス名、または、プロセスのユーザ名）のリストを保持し、パケット転送手段７２からヘッダ情報を通知されたときに、そのヘッダ情報に含まれるＩＰアドレスから特定される項目と、リストとに基づいて、制御情報をパケット転送手段７２に設定する。

そのような構成によれば、リストでＩＰアドレスを指定しなくてよいので、管理者は、通信に関する設定を容易に行うことができる。

上記の本発明の実施形態は、以下の付記のようにも記載され得るが、以下に限定されるわけではない。

（付記１）
パケットを転送するパケット転送手段と、
パケットのヘッダ情報に応じた前記パケット転送手段の動作を規定した制御情報を前記パケット転送手段に対して設定する制御手段とを備え、
前記パケット転送手段は、ヘッダ情報に適合する制御情報が未だ設定されていないパケットである新規パケットを受信したときに、前記新規パケットのヘッダ情報を前記制御手段に通知し、
前記制御手段は、ＩＰアドレスから特定可能な項目のリストを保持し、前記パケット転送手段から前記ヘッダ情報を通知されたときに、前記ヘッダ情報に含まれるＩＰアドレスから特定される項目と、前記リストとに基づいて、制御情報を前記パケット転送手段に設定する
ことを特徴とする通信システム。

（付記２）
管理者によって操作される管理手段（例えば、管理サーバ２０）を備え、
制御手段は、パケット転送手段に制御情報を設定した場合に、前記制御情報を設定する際にＩＰアドレスから特定された項目と、前記制御情報の内容とを管理手段に送信する
付記１に記載の通信システム。

（付記３）
制御手段は、
ヘッダ情報に含まれるＩＰアドレスから特定される項目がリストに含まれていない場合に、新規パケットによる通信の不許可を示す制御情報をパケット転送手段に設定し、前記ヘッダ情報に含まれるＩＰアドレスから特定される項目が前記リストに含まれている場合に、前記新規パケットによる通信の許可を示す制御情報を前記パケット転送手段に設定し、
前記ヘッダ情報に含まれるＩＰアドレスから特定される項目が前記リストに含まれていることによって制御情報を設定した場合には、前記リスト内の前記項目と前記制御情報との対応関係を記憶し、
管理手段は、
通信の不許可を示す制御情報が設定されたときにＩＰアドレスから特定された項目を管理者に提示し、
前記項目をリストに追加する旨の指示を前記管理者から入力された場合に、当該指示を前記制御手段に送信し、
前記制御手段は、
前記指示に従って前記項目をリストに追加するとともに、前記リスト内のいずれの項目とも対応付けられていない制御情報であって通信の不許可を示す制御情報を全て特定し、特定した全ての制御情報の削除をパケット転送手段に命令する
付記２に記載の通信システム。

（付記４）
制御手段は、
ヘッダ情報に含まれるＩＰアドレスから特定される項目がリストに含まれていない場合に、新規パケットによる通信の不許可を示す制御情報をパケット転送手段に設定し、前記ヘッダ情報に含まれるＩＰアドレスから特定される項目が前記リストに含まれている場合に、前記新規パケットによる通信の許可を示す制御情報を前記パケット転送手段に設定し、
管理手段は、
通信の不許可を示す制御情報が設定されたときにＩＰアドレスから特定された項目を管理者に提示し、
前記項目をリストに追加する旨の指示を前記管理者から入力された場合に、当該指示を前記制御手段に送信し、
前記制御手段は、
前記指示に従って前記項目をリストに追加するとともに、パケットの送信元に対して、宛先からの応答がないことによって繰り返し送信しているパケットの送信停止、および、当該パケットのヘッダ情報の一部を変更したパケットの送信を指示する所定のパケット（例えば、リセットパケット）を送信する
付記２に記載の通信システム。

（付記５）
制御手段は、
ヘッダ情報に含まれるＩＰアドレスから特定される項目がリストに含まれていない場合に、新規パケットによる通信の不許可を示す制御情報をパケット転送手段に設定し、前記ヘッダ情報に含まれるＩＰアドレスから特定される項目が前記リストに含まれている場合に、前記新規パケットによる通信の許可を示す制御情報を前記パケット転送手段に設定し、
前記ヘッダ情報に含まれるＩＰアドレスから特定される項目が前記リストに含まれていることによって制御情報を設定した場合には、前記リスト内の前記項目と前記制御情報との対応関係を記憶し、
管理手段は、
管理者が指定した項目をリストから削除する旨の指示を管理者から入力された場合に、当該指示を前記制御手段に送信し、
前記制御手段は、
前記指示に従って、前記管理者が指定した項目をリストから削除するとともに、当該項目に対応付けられている制御情報を全て特定し、特定した全ての制御情報の削除をパケット転送手段に命令する
付記２から付記４のうちのいずれかに記載の通信システム。

（付記６）
制御手段は、ヘッダ情報に含まれるＩＰアドレスから特定される項目がリストに含まれていて、前記リスト内の当該項目に補足情報が記述されている場合には、当該補足情報に基づいて、前記ヘッダ情報を含むパケットによる通信の不許可を示す制御情報、または、前記ヘッダ情報を含むパケットによる通信の許可を示す情報をパケット転送手段に設定する
付記３から付記５のうちのいずれかに記載の通信システム。

（付記７）
制御手段は、
ＩＰアドレスから特定可能な項目のリストとしてドメイン名のリストを保持し、
パケット転送手段がＤＮＳサーバからＤＮＳクエリレスポンスを受信した場合、前記ＤＮＳクエリレスポンスに基づいて、ＩＰアドレスとドメイン名との対応関係を記憶し、
新規パケットのヘッダ情報を前記パケット転送手段から通知されたときに、ＩＰアドレスとドメイン名との対応関係を参照することによって、前記ヘッダ情報に含まれるＩＰアドレスに対応するドメイン名を特定する
付記１から付記６のうちのいずれかに記載の通信システム。

（付記８）
制御手段は、
パケット転送手段がＤＮＳサーバからＤＮＳクエリレスポンスを受信した場合、前記ＤＮＳクエリレスポンスに基づいて、ＩＰアドレスとドメイン名との対応関係を記憶するとともに、前記対応関係の有効期限を記憶する
付記７に記載の通信システム。

（付記９）
制御手段は、
ＩＰアドレスから特定可能な項目のリストとしてプロセス名のリストを保持し、
新規パケットのヘッダ情報をパケット転送手段から通知されたときに、前記ヘッダ情報に含まれるＩＰアドレスに対応するプロセス名を特定する
付記１から付記６のうちのいずれかに記載の通信システム。

（付記１０）
制御手段は、
ＩＰアドレスから特定可能な項目のリストとしてプロセスのユーザ名のリストを保持し、
新規パケットのヘッダ情報をパケット転送手段から通知されたときに、前記ヘッダ情報に含まれるＩＰアドレスに対応するユーザ名を特定する
付記１から付記６のうちのいずれかに記載の通信システム。

本発明は、パケットを転送する通信システムに好適に適用可能である。

１０ ゲートウェイ（通信装置）
１１ 制御部
１２ スイッチ部（パケット転送部）
１３ プロセスＡ
２０ 管理サーバ
３０ サーバ
４０ ＤＮＳサーバ
５１ カメラ

Claims (13)

1. パケットを転送するパケット転送手段と、
   パケットのヘッダ情報に応じた前記パケット転送手段の動作を規定した制御情報を前記パケット転送手段に対して設定する制御手段とを備え、
   前記パケット転送手段は、ヘッダ情報に適合する制御情報が未だ設定されていないパケットである新規パケットを受信したときに、前記新規パケットのヘッダ情報を前記制御手段に通知し、
   前記制御手段は、
   ＩＰアドレスから特定可能な項目のリストとしてドメイン名のリストを保持し、
   前記パケット転送手段がＤＮＳサーバからＤＮＳクエリレスポンスを受信した場合、前記ＤＮＳクエリレスポンスに基づいて、ＩＰアドレスとドメイン名との対応関係を記憶し、
   前記パケット転送手段から前記ヘッダ情報を通知されたときに、前記ヘッダ情報に含まれるＩＰアドレスから特定される項目であるドメイン名と、前記リストとに基づいて、制御情報を前記パケット転送手段に設定し、
   新規パケットのヘッダ情報を前記パケット転送手段から通知されたときに、ＩＰアドレスとドメイン名との対応関係を参照することによって、前記ヘッダ情報に含まれるＩＰアドレスに対応するドメイン名を特定し、
   前記制御手段は、
   ヘッダ情報に含まれるＩＰアドレスから特定される項目が前記リストに含まれていない場合に、新規パケットによる通信の不許可を示す制御情報を前記パケット転送手段に設定し、前記ヘッダ情報に含まれるＩＰアドレスから特定される項目が前記リストに含まれている場合に、前記新規パケットによる通信の許可を示す制御情報を前記パケット転送手段に設定し、
   前記ヘッダ情報に含まれるＩＰアドレスから特定される項目が前記リストに含まれていることによって制御情報を設定した場合には、前記リスト内の前記項目と前記制御情報との対応関係を記憶し、
   管理者によって操作される管理手段を備え、
   前記制御手段は、前記パケット転送手段に制御情報を設定した場合に、前記制御情報を設定する際にＩＰアドレスから特定された項目と、前記制御情報の内容とを前記管理手段に送信し、
   前記管理手段は、
   指定された項目を前記リストから削除する旨の指示を入力された場合に、当該指示を前記制御手段に送信し、
   前記制御手段は、
   前記指示に従って、指定された項目を前記リストから削除するとともに、当該項目に対応付けられている制御情報を全て特定し、特定した全ての制御情報の削除を前記パケット転送手段に命令する
   ことを特徴とする通信システム。
2. パケットを転送するパケット転送手段と、
   パケットのヘッダ情報に応じた前記パケット転送手段の動作を規定した制御情報を前記パケット転送手段に対して設定する制御手段とを備え、
   前記パケット転送手段は、ヘッダ情報に適合する制御情報が未だ設定されていないパケットである新規パケットを受信したときに、前記新規パケットのヘッダ情報を前記制御手段に通知し、
   前記制御手段は、
   ＩＰアドレスから特定可能な項目のリストとしてプロセス名のリストを保持し、
   前記パケット転送手段から前記ヘッダ情報を通知されたときに、前記ヘッダ情報に含まれるＩＰアドレスから特定される項目であるプロセス名と、前記リストとに基づいて、制御情報を前記パケット転送手段に設定し、
   新規パケットのヘッダ情報を前記パケット転送手段から通知されたときに、前記ヘッダ情報に含まれるＩＰアドレスに対応するプロセス名を特定し、
   前記制御手段は、
   ヘッダ情報に含まれるＩＰアドレスから特定される項目が前記リストに含まれていない場合に、新規パケットによる通信の不許可を示す制御情報を前記パケット転送手段に設定し、前記ヘッダ情報に含まれるＩＰアドレスから特定される項目が前記リストに含まれている場合に、前記新規パケットによる通信の許可を示す制御情報を前記パケット転送手段に設定し、
   前記ヘッダ情報に含まれるＩＰアドレスから特定される項目が前記リストに含まれていることによって制御情報を設定した場合には、前記リスト内の前記項目と前記制御情報との対応関係を記憶し、
   管理者によって操作される管理手段を備え、
   前記制御手段は、前記パケット転送手段に制御情報を設定した場合に、前記制御情報を設定する際にＩＰアドレスから特定された項目と、前記制御情報の内容とを前記管理手段に送信し、
   前記管理手段は、
   指定された項目を前記リストから削除する旨の指示を入力された場合に、当該指示を前記制御手段に送信し、
   前記制御手段は、
   前記指示に従って、指定された項目を前記リストから削除するとともに、当該項目に対応付けられている制御情報を全て特定し、特定した全ての制御情報の削除を前記パケット転送手段に命令する
   ことを特徴とする通信システム。
3. パケットを転送するパケット転送手段と、
   パケットのヘッダ情報に応じた前記パケット転送手段の動作を規定した制御情報を前記パケット転送手段に対して設定する制御手段とを備え、
   前記パケット転送手段は、ヘッダ情報に適合する制御情報が未だ設定されていないパケットである新規パケットを受信したときに、前記新規パケットのヘッダ情報を前記制御手段に通知し、
   前記制御手段は、
   ＩＰアドレスから特定可能な項目のリストとしてプロセスのユーザ名のリストを保持し、
   前記パケット転送手段から前記ヘッダ情報を通知されたときに、前記ヘッダ情報に含まれるＩＰアドレスから特定される項目であるプロセスのユーザ名と、前記リストとに基づいて、制御情報を前記パケット転送手段に設定し、
   新規パケットのヘッダ情報を前記パケット転送手段から通知されたときに、前記ヘッダ情報に含まれるＩＰアドレスに対応するユーザ名を特定し、
   前記制御手段は、
   ヘッダ情報に含まれるＩＰアドレスから特定される項目が前記リストに含まれていない場合に、新規パケットによる通信の不許可を示す制御情報を前記パケット転送手段に設定し、前記ヘッダ情報に含まれるＩＰアドレスから特定される項目が前記リストに含まれている場合に、前記新規パケットによる通信の許可を示す制御情報を前記パケット転送手段に設定し、
   前記ヘッダ情報に含まれるＩＰアドレスから特定される項目が前記リストに含まれていることによって制御情報を設定した場合には、前記リスト内の前記項目と前記制御情報との対応関係を記憶し、
   管理者によって操作される管理手段を備え、
   前記制御手段は、前記パケット転送手段に制御情報を設定した場合に、前記制御情報を設定する際にＩＰアドレスから特定された項目と、前記制御情報の内容とを前記管理手段に送信し、
   前記管理手段は、
   指定された項目を前記リストから削除する旨の指示を入力された場合に、当該指示を前記制御手段に送信し、
   前記制御手段は、
   前記指示に従って、指定された項目を前記リストから削除するとともに、当該項目に対応付けられている制御情報を全て特定し、特定した全ての制御情報の削除を前記パケット転送手段に命令する
   ことを特徴とする通信システム。
4. 管理手段は、
   通信の不許可を示す制御情報が設定されたときにＩＰアドレスから特定された項目を管理者に提示し、
   前記項目をリストに追加する旨の指示を前記管理者から入力された場合に、当該指示を制御手段に送信し、
   前記制御手段は、
   前記指示に従って前記項目をリストに追加するとともに、前記リスト内のいずれの項目とも対応付けられていない制御情報であって通信の不許可を示す制御情報を全て特定し、特定した全ての制御情報の削除をパケット転送手段に命令する
   請求項１から請求項３のうちのいずれか１項に記載の通信システム。
5. 管理手段は、
   通信の不許可を示す制御情報が設定されたときにＩＰアドレスから特定された項目を管理者に提示し、
   前記項目をリストに追加する旨の指示を前記管理者から入力された場合に、当該指示を制御手段に送信し、
   前記制御手段は、
   前記指示に従って前記項目をリストに追加するとともに、パケットの送信元に対して、宛先からの応答がないことによって繰り返し送信しているパケットの送信停止、および、当該パケットのヘッダ情報の一部を変更したパケットの送信を指示する所定のパケットを送信する
   請求項１から請求項３のうちのいずれか１項に記載の通信システム。
6. 制御手段は、ヘッダ情報に含まれるＩＰアドレスから特定される項目がリストに含まれていて、前記リスト内の当該項目に補足情報が記述されている場合には、当該補足情報に基づいて、前記ヘッダ情報を含むパケットによる通信の不許可を示す制御情報、または、前記ヘッダ情報を含むパケットによる通信の許可を示す情報をパケット転送手段に設定する
   請求項１から請求項５のうちのいずれか１項に記載の通信システム。
7. 制御手段は、
   パケット転送手段がＤＮＳサーバからＤＮＳクエリレスポンスを受信した場合、前記ＤＮＳクエリレスポンスに基づいて、ＩＰアドレスとドメイン名との対応関係を記憶するとともに、前記対応関係の有効期限を記憶する
   請求項１に記載の通信システム。
8. パケットを転送するパケット転送手段と、ＩＰアドレスから特定可能な項目のリストとしてドメイン名のリストを保持し、パケットのヘッダ情報に応じた前記パケット転送手段の動作を規定した制御情報を前記パケット転送手段に対して設定する制御手段と、管理者によって操作される管理手段とを備える通信システムに適用される通信制御方法であって、
   前記パケット転送手段が、ヘッダ情報に適合する制御情報が未だ設定されていないパケットである新規パケットを受信したときに、前記新規パケットのヘッダ情報を前記制御手段に通知し、
   前記制御手段が、
   前記パケット転送手段がＤＮＳサーバからＤＮＳクエリレスポンスを受信した場合、前記ＤＮＳクエリレスポンスに基づいて、ＩＰアドレスとドメイン名との対応関係を記憶し、
   前記パケット転送手段から前記ヘッダ情報を通知されたときに、前記ヘッダ情報に含まれるＩＰアドレスから特定される項目であるドメイン名と、前記リストとに基づいて、制御情報を前記パケット転送手段に設定し、
   新規パケットのヘッダ情報を前記パケット転送手段から通知されたときに、ＩＰアドレスとドメイン名との対応関係を参照することによって、前記ヘッダ情報に含まれるＩＰアドレスに対応するドメイン名を特定し、
   前記制御手段が、
   ヘッダ情報に含まれるＩＰアドレスから特定される項目が前記リストに含まれていない場合に、新規パケットによる通信の不許可を示す制御情報を前記パケット転送手段に設定し、前記ヘッダ情報に含まれるＩＰアドレスから特定される項目が前記リストに含まれている場合に、前記新規パケットによる通信の許可を示す制御情報を前記パケット転送手段に設定し、
   前記ヘッダ情報に含まれるＩＰアドレスから特定される項目が前記リストに含まれていることによって制御情報を設定した場合には、前記リスト内の前記項目と前記制御情報との対応関係を記憶し、
   前記制御手段が、
   前記パケット転送手段に制御情報を設定した場合に、前記制御情報を設定する際にＩＰアドレスから特定された項目と、前記制御情報の内容とを前記管理手段に送信し、
   前記管理手段が、
   指定された項目を前記リストから削除する旨の指示を入力された場合に、当該指示を前記制御手段に送信し、
   前記制御手段が、
   前記指示に従って、指定された項目を前記リストから削除するとともに、当該項目に対応付けられている制御情報を全て特定し、特定した全ての制御情報の削除を前記パケット転送手段に命令する
   ことを特徴とする通信制御方法。
9. パケットを転送するパケット転送手段と、ＩＰアドレスから特定可能な項目のリストとしてプロセス名のリストを保持し、パケットのヘッダ情報に応じた前記パケット転送手段の動作を規定した制御情報を前記パケット転送手段に対して設定する制御手段と、管理者によって操作される管理手段とを備える通信システムに適用される通信制御方法であって、
   前記パケット転送手段が、ヘッダ情報に適合する制御情報が未だ設定されていないパケットである新規パケットを受信したときに、前記新規パケットのヘッダ情報を前記制御手段に通知し、
   前記制御手段が、
   前記パケット転送手段から前記ヘッダ情報を通知されたときに、前記ヘッダ情報に含まれるＩＰアドレスから特定される項目であるプロセス名と、前記リストとに基づいて、制御情報を前記パケット転送手段に設定し、
   新規パケットのヘッダ情報を前記パケット転送手段から通知されたときに、前記ヘッダ情報に含まれるＩＰアドレスに対応するプロセス名を特定し、
   前記制御手段が、
   ヘッダ情報に含まれるＩＰアドレスから特定される項目が前記リストに含まれていない場合に、新規パケットによる通信の不許可を示す制御情報を前記パケット転送手段に設定し、前記ヘッダ情報に含まれるＩＰアドレスから特定される項目が前記リストに含まれている場合に、前記新規パケットによる通信の許可を示す制御情報を前記パケット転送手段に設定し、
   前記ヘッダ情報に含まれるＩＰアドレスから特定される項目が前記リストに含まれていることによって制御情報を設定した場合には、前記リスト内の前記項目と前記制御情報との対応関係を記憶し、
   前記制御手段が、
   前記パケット転送手段に制御情報を設定した場合に、前記制御情報を設定する際にＩＰアドレスから特定された項目と、前記制御情報の内容とを前記管理手段に送信し、
   前記管理手段が、
   指定された項目を前記リストから削除する旨の指示を入力された場合に、当該指示を前記制御手段に送信し、
   前記制御手段が、
   前記指示に従って、指定された項目を前記リストから削除するとともに、当該項目に対応付けられている制御情報を全て特定し、特定した全ての制御情報の削除を前記パケット転送手段に命令する
   ことを特徴とする通信制御方法。
10. パケットを転送するパケット転送手段と、ＩＰアドレスから特定可能な項目のリストとしてプロセスのユーザ名のリストを保持し、パケットのヘッダ情報に応じた前記パケット転送手段の動作を規定した制御情報を前記パケット転送手段に対して設定する制御手段と、管理者によって操作される管理手段とを備える通信システムに適用される通信制御方法であって、
    前記パケット転送手段が、ヘッダ情報に適合する制御情報が未だ設定されていないパケットである新規パケットを受信したときに、前記新規パケットのヘッダ情報を前記制御手段に通知し、
    前記制御手段が、
    前記パケット転送手段から前記ヘッダ情報を通知されたときに、前記ヘッダ情報に含まれるＩＰアドレスから特定される項目であるプロセスのユーザ名と、前記リストとに基づいて、制御情報を前記パケット転送手段に設定し、
    新規パケットのヘッダ情報を前記パケット転送手段から通知されたときに、前記ヘッダ情報に含まれるＩＰアドレスに対応するユーザ名を特定し、
    前記制御手段が、
    ヘッダ情報に含まれるＩＰアドレスから特定される項目が前記リストに含まれていない場合に、新規パケットによる通信の不許可を示す制御情報を前記パケット転送手段に設定し、前記ヘッダ情報に含まれるＩＰアドレスから特定される項目が前記リストに含まれている場合に、前記新規パケットによる通信の許可を示す制御情報を前記パケット転送手段に設定し、
    前記ヘッダ情報に含まれるＩＰアドレスから特定される項目が前記リストに含まれていることによって制御情報を設定した場合には、前記リスト内の前記項目と前記制御情報との対応関係を記憶し、
    前記制御手段が、
    前記パケット転送手段に制御情報を設定した場合に、前記制御情報を設定する際にＩＰアドレスから特定された項目と、前記制御情報の内容とを前記管理手段に送信し、
    前記管理手段が、
    指定された項目を前記リストから削除する旨の指示を入力された場合に、当該指示を前記制御手段に送信し、
    前記制御手段が、
    前記指示に従って、指定された項目を前記リストから削除するとともに、当該項目に対応付けられている制御情報を全て特定し、特定した全ての制御情報の削除を前記パケット転送手段に命令する
    ことを特徴とする通信制御方法。
11. パケットを転送するパケット転送手段と、ＩＰアドレスから特定可能な項目のリストとしてドメイン名のリストを保持し、パケットのヘッダ情報に応じた前記パケット転送手段の動作を規定した制御情報を前記パケット転送手段に対して設定する制御手段と、管理者によって操作される管理手段とを備えるコンピュータに搭載される通信プログラムであって、
    前記コンピュータに、
    前記パケット転送手段が、ヘッダ情報に適合する制御情報が未だ設定されていないパケットである新規パケットを受信したときに、前記新規パケットのヘッダ情報を前記制御手段に通知する通知処理、
    前記制御手段が、前記パケット転送手段がＤＮＳサーバからＤＮＳクエリレスポンスを受信した場合、前記ＤＮＳクエリレスポンスに基づいて、ＩＰアドレスとドメイン名との対応関係を記憶する処理、および、
    前記制御手段が、前記パケット転送手段から前記ヘッダ情報を通知されたときに、前記ヘッダ情報に含まれるＩＰアドレスから特定される項目であるドメイン名と、前記リストとに基づいて、制御情報を前記パケット転送手段に設定する制御情報設定処理を実行させ、
    前記制御情報設定処理で、前記制御手段が、新規パケットのヘッダ情報を前記パケット転送手段から通知されたときに、ＩＰアドレスとドメイン名との対応関係を参照することによって、前記ヘッダ情報に含まれるＩＰアドレスに対応するドメイン名を特定する処理、
    前記制御情報設定処理で、前記制御手段が、ヘッダ情報に含まれるＩＰアドレスから特定される項目が前記リストに含まれていない場合に、新規パケットによる通信の不許可を示す制御情報を前記パケット転送手段に設定し、前記ヘッダ情報に含まれるＩＰアドレスから特定される項目が前記リストに含まれている場合に、前記新規パケットによる通信の許可を示す制御情報を前記パケット転送手段に設定する処理、
    前記制御情報設定処理で、前記制御手段が、前記ヘッダ情報に含まれるＩＰアドレスから特定される項目が前記リストに含まれていることによって制御情報を設定した場合には、前記リスト内の前記項目と前記制御情報との対応関係を記憶する処理、
    前記制御手段が、前記パケット転送手段に制御情報を設定した場合に、前記制御情報を設定する際にＩＰアドレスから特定された項目と、前記制御情報の内容とを前記管理手段に送信する処理、
    前記管理手段が、指定された項目を前記リストから削除する旨の指示を入力された場合に、当該指示を前記制御手段に送信する処理、および、
    前記制御手段が、前記指示に従って、指定された項目を前記リストから削除するとともに、当該項目に対応付けられている制御情報を全て特定し、特定した全ての制御情報の削除を前記パケット転送手段に命令する処理
    を実行させるための通信プログラム。
12. パケットを転送するパケット転送手段と、ＩＰアドレスから特定可能な項目のリストとしてプロセス名のリストを保持し、パケットのヘッダ情報に応じた前記パケット転送手段の動作を規定した制御情報を前記パケット転送手段に対して設定する制御手段と、管理者によって操作される管理手段とを備えるコンピュータに搭載される通信プログラムであって、
    前記コンピュータに、
    前記パケット転送手段が、ヘッダ情報に適合する制御情報が未だ設定されていないパケットである新規パケットを受信したときに、前記新規パケットのヘッダ情報を前記制御手段に通知する通知処理、および、
    前記制御手段が、前記パケット転送手段から前記ヘッダ情報を通知されたときに、前記ヘッダ情報に含まれるＩＰアドレスから特定される項目であるプロセス名と、前記リストとに基づいて、制御情報を前記パケット転送手段に設定する制御情報設定処理を実行させ、
    前記制御情報設定処理で、前記制御手段が、新規パケットのヘッダ情報を前記パケット転送手段から通知されたときに、前記ヘッダ情報に含まれるＩＰアドレスに対応するプロセス名を特定する処理、
    前記制御情報設定処理で、前記制御手段が、ヘッダ情報に含まれるＩＰアドレスから特定される項目が前記リストに含まれていない場合に、新規パケットによる通信の不許可を示す制御情報を前記パケット転送手段に設定し、前記ヘッダ情報に含まれるＩＰアドレスから特定される項目が前記リストに含まれている場合に、前記新規パケットによる通信の許可を示す制御情報を前記パケット転送手段に設定する処理、
    前記制御情報設定処理で、前記制御手段が、前記ヘッダ情報に含まれるＩＰアドレスから特定される項目が前記リストに含まれていることによって制御情報を設定した場合には、前記リスト内の前記項目と前記制御情報との対応関係を記憶する処理、
    前記制御手段が、前記パケット転送手段に制御情報を設定した場合に、前記制御情報を設定する際にＩＰアドレスから特定された項目と、前記制御情報の内容とを前記管理手段に送信する処理、
    前記管理手段が、指定された項目を前記リストから削除する旨の指示を入力された場合に、当該指示を前記制御手段に送信する処理、および、
    前記制御手段が、前記指示に従って、指定された項目を前記リストから削除するとともに、当該項目に対応付けられている制御情報を全て特定し、特定した全ての制御情報の削除を前記パケット転送手段に命令する処理
    を実行させるための通信プログラム。
13. パケットを転送するパケット転送手段と、ＩＰアドレスから特定可能な項目のリストとしてプロセスのユーザ名のリストを保持し、パケットのヘッダ情報に応じた前記パケット転送手段の動作を規定した制御情報を前記パケット転送手段に対して設定する制御手段と、管理者によって操作される管理手段とを備えるコンピュータに搭載される通信プログラムであって、
    前記コンピュータに、
    前記パケット転送手段が、ヘッダ情報に適合する制御情報が未だ設定されていないパケットである新規パケットを受信したときに、前記新規パケットのヘッダ情報を前記制御手段に通知する通知処理、および、
    前記制御手段が、前記パケット転送手段から前記ヘッダ情報を通知されたときに、前記ヘッダ情報に含まれるＩＰアドレスから特定される項目であるプロセスのユーザ名と、前記リストとに基づいて、制御情報を前記パケット転送手段に設定する制御情報設定処理を実行させ、
    前記制御情報設定処理で、前記制御手段が、新規パケットのヘッダ情報を前記パケット転送手段から通知されたときに、前記ヘッダ情報に含まれるＩＰアドレスに対応するユーザ名を特定する処理、
    前記制御情報設定処理で、前記制御手段が、ヘッダ情報に含まれるＩＰアドレスから特定される項目が前記リストに含まれていない場合に、新規パケットによる通信の不許可を示す制御情報を前記パケット転送手段に設定し、前記ヘッダ情報に含まれるＩＰアドレスから特定される項目が前記リストに含まれている場合に、前記新規パケットによる通信の許可を示す制御情報を前記パケット転送手段に設定する処理、
    前記制御情報設定処理で、前記制御手段が、前記ヘッダ情報に含まれるＩＰアドレスから特定される項目が前記リストに含まれていることによって制御情報を設定した場合には、前記リスト内の前記項目と前記制御情報との対応関係を記憶する処理、
    前記制御手段が、前記パケット転送手段に制御情報を設定した場合に、前記制御情報を設定する際にＩＰアドレスから特定された項目と、前記制御情報の内容とを前記管理手段に送信する処理、
    前記管理手段が、指定された項目を前記リストから削除する旨の指示を入力された場合に、当該指示を前記制御手段に送信する処理、および、
    前記制御手段が、前記指示に従って、指定された項目を前記リストから削除するとともに、当該項目に対応付けられている制御情報を全て特定し、特定した全ての制御情報の削除を前記パケット転送手段に命令する処理
    を実行させるための通信プログラム。

Images