フィルタ装置
【課題】既存設備のアドレス変更を行うことなく導入することのできるフィルタ装置を得る。
【解決手段】ネットワークを介して受信した信号をフィルタリングしてサーバ装置２００に送信するフィルタ装置１であって、設定されたフィルタリングルールに基づいて信号をサーバ装置２００に送るか否かを判定し、サーバ装置２００に送るものと判断した信号を送出するリレー型のフィルタ機能部２１と、受信した信号に含まれる宛先アドレスをフィルタ機能部２１のアドレスに変換するとともに、フィルタ機能部２１から送出された信号に含まれる宛先アドレスをサーバ装置２００のアドレスに変換するアドレス変換部１３、及び、ネットワークを介して信号を受信するとともにフィルタ機能部２１との間で信号を送受信する通信部１２を有する透過機能部１１と、を備えた。
【解決手段】ネットワークを介して受信した信号をフィルタリングしてサーバ装置２００に送信するフィルタ装置１であって、設定されたフィルタリングルールに基づいて信号をサーバ装置２００に送るか否かを判定し、サーバ装置２００に送るものと判断した信号を送出するリレー型のフィルタ機能部２１と、受信した信号に含まれる宛先アドレスをフィルタ機能部２１のアドレスに変換するとともに、フィルタ機能部２１から送出された信号に含まれる宛先アドレスをサーバ装置２００のアドレスに変換するアドレス変換部１３、及び、ネットワークを介して信号を受信するとともにフィルタ機能部２１との間で信号を送受信する通信部１２を有する透過機能部１１と、を備えた。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、クライアントとサーバとの間で送受信されるパケットの通過や破棄を選択的に行うパケットフィルタ装置に関する。
【背景技術】
【０００２】
従来、サーバとクライアントとを備えるサーバ−クライアントシステムにおいて、インターネットを介した電子メール等のやり取りが行われている。そして、いわゆる迷惑メールが大きな問題となっており、このような迷惑メールの対策技術として、「通常のメールサーバとインターネットの問に、本発明の迷惑メール防止装置であるフィルタ装置を接続し、クライアントから送信された電子メールを前記フィルタ装置によってメールサーバへ中継する。」というものが提案されている（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００３−１５０５１３号公報（第４頁、図１）
【発明の概要】
【発明が解決しようとする課題】
【０００４】
企業や家庭等においては、外部から内部へ送信されるウイルスメールやスパムメールを排除し、また、内部から外部へ送信されるメールに対してはコンプライアンスの観点からチェックすることを目的として、フィルタ装置が欠かせないものとなっている。
【０００５】
上記特許文献１に記載のものは、サーバとクライアントとの間に介在されるいわゆる「リレー型」のフィルタ装置に関する技術である。このようなリレー型のフィルタ装置は、既存のシステムに導入する際の導入障壁が高いという課題があった。すなわち、サーバとクライアントとの間にフィルタ装置を介在させるため、導入時には、既存設備のアドレス設定等の変更作業が必要であった。具体的には、ドメインネームサーバ（ＤＮＳサーバ）においては、ＭＸレコード（Mail Exchanger）を既存のメールサーバからリレー型のフィルタ装置に変更する必要がある。また、公開用のメールサーバにおいては、メールを外部に送信する際のネクストホップ（中継先のＩＰアドレス）を、リレー型のフィルタ装置とする必要がある。さらに、企業内等において公開用のメールサーバの前段に内部用のメールサーバを備えている場合には、内部用メールサーバの外部送信時のネクストホップ（中継先のＩＰアドレス）を、公開用のメールサーバからリレー型のフィルタ装置に変更する必要がある。
【０００６】
例えば上記のようなアドレス設定の変更作業においてミスが生じた場合には、電子メールの送受信停止等のトラブルが発生し、業務等の社会生活に与える影響が大きかった。また、システムの規模によってはアドレス設定の変更作業に要する作業工数も多大となり、コストも増加していた。このようなトラブルの懸念やコスト高などの理由から、リレー型のフィルタ装置の導入をためらうユーザーも少なくなかった。
また、この種のフィルタ装置は、フィルタ機能の精度や運用・管理の操作性等を検証することを目的として、企業等に本格的に導入される前に、試験的に導入される場合がある。このような試験導入においても、上述したようなアドレス設定変更に伴うトラブルの懸念やコスト高などの課題があり、ユーザーにとっての導入障壁となっていた。
【０００７】
したがって、既存機器のアドレス設定等の変更を行うことなく導入することのできる、導入障壁の小さいリレー型のフィルタ装置が望まれていた。
【０００８】
本発明は、上記のような課題を解決するためになされたものであり、既存設備のアドレス変更を行うことなく導入することのできるフィルタ装置を提供するものである。
【課題を解決するための手段】
【０００９】
本発明に係るフィルタ装置は、ネットワークを介して受信した信号をフィルタリングしてサーバに送信するフィルタ装置であって、設定されたフィルタリングルールに基づいて前記信号を前記サーバに送るか否かを判定し、前記サーバに送るものと判断した信号を送出するリレー型フィルタ手段と、前記受信した信号に含まれる宛先アドレスを前記リレー型フィルタ手段のアドレスに変換する入力アドレス変換部、前記リレー型フィルタ手段から送出された信号に含まれる宛先アドレスを前記サーバのアドレスに変換する出力アドレス変換部、及び、前記ネットワークを介して信号を受信するとともに前記リレー型フィルタ手段との間で信号を送受信する通信部を有するパケット透過手段と、を備えたものである。
【発明の効果】
【００１０】
本発明によれば、既存機器のアドレス設定等の変更を行うことなく、サーバとクライアントとの間に導入することができるパケットのフィルタ装置を得ることができる。
【図面の簡単な説明】
【００１１】
【図１】実施の形態に係るメールシステムのシステム構成を示すブロック図である。
【図２】実施の形態に係るシステムのネットワーク構成を説明する図である。
【図３】実施の形態に係る電子メール送信時の動作を説明する図である。
【図４】実施の形態に係る電子メール受信時の動作を説明する図である。
【図５】実施の形態に係る管理者用ＰＣ−フィルタ機能部間でのＨＴＴＰ通信時の動作を説明する図である。
【発明を実施するための形態】
【００１２】
実施の形態．
図１は、本発明の実施の形態に係るメールシステム１００のシステム構成を説明する図である。以下、図１を用いて、実施の形態に係るシステム構成について説明する。
【００１３】
［システム構成］
図１に示すように、実施の形態に係るメールシステム１００は、フィルタ装置１と、企業等の組織のサーバ装置２００と、組織内端末３００と、組織外端末５００と、インターネット等のネットワーク６００と、ルータ８００とを備えている。サーバ装置２００は、フィルタ装置１及びルータ８００を介してネットワーク６００に接続されている。また、フィルタ装置１と、サーバ装置２００と、組織内端末３００は、企業内等のＬＡＮ４００に接続されている。本実施の形態では、ルータ８００に対してネットワーク６００側を組織外、ＬＡＮ４００側を組織内と称する場合がある。また、本実施の形態では、フィルタ装置１に対する各種設定等を行う管理者用端末７００がネットワーク６００に接続されている。なお、図示しないが、ネットワーク６００とフィルタ装置１との間に、ファイアウォールを介在させてもよい。なお、本発明でいう「ネットワーク」とは、本実施の形態におけるネットワーク６００とＬＡＮ４００の双方を含むものである。
【００１４】
サーバ装置２００は、例えばワークステーションやパーソナルコンピュータ等のコンピュータ装置により構成される。サーバ装置２００は、組織外端末５００を含む図示しない複数のメールクライアントから送信されたサーバ装置２００宛の電子メールを受信してサーバ装置２００の所定のメールボックス（図示せず）に格納し、組織内端末３００からの要求により組織内端末３００へ当該メールを配信する機能を有する。また、サーバ装置２００は、組織内端末３００から外部宛のメールを受信して所定のメールボックス（図示せず）に格納し、メール配信機能により組織外の所定のメールサーバに当該メールを配信する機能も有する。
【００１５】
組織内端末３００は、例えばパーソナルコンピュータ、携帯端末等のコンピュータ装置により構成される。組織内端末３００は、メールを作成し、メールを送受信する機能を持つメールソフトウェア（図示せず）を備えている。
【００１６】
組織外端末５００は、例えばパーソナルコンピュータ、携帯端末等のコンピュータ装置により構成される。組織外端末５００は、メールを作成し、メールを送受信する機能を持つメールソフトウェア（図示せず）を備えている。
【００１７】
組織内端末３００と組織外端末５００は、サーバ装置２００を介して、互いにメールの送受信が可能である。
【００１８】
フィルタ装置１は、サーバ装置２００に対して送信されるメールに対するフィルタリング処理を行う機能を有する。フィルタ装置１は、例えばワークステーションやパーソナルコンピュータ等のコンピュータ装置により構成されており、本実施の形態においては仮想マシンモニタ３０がインストールされている。
【００１９】
仮想マシンモニタ３０は、パーソナルコンピュータ（ＰＣ）のハードウェア環境をエミュレートして、オペレーションシステム（ＯＳ）の上で他のＯＳを動作させる。仮想マシンモニタ３０は、通常はソフトウェアで実現されるが、例えば、ハードウェア、ソフトウェア、ファームウェア又はこれらの技術の組み合わせにより実現してもよい。本実施の形態では、仮想マシンモニタ３０上で、仮想マシン１０と仮想マシン２０とが動作している。仮想マシン１０は、サーバ装置２００に対して、仮想マシン２０よりも前段に位置している。すなわち、仮想マシン１０とサーバ装置２００との間に、仮想マシン２０が位置している。
【００２０】
仮想マシン２０は、フィルタ機能部２１を備えている。フィルタ機能部２１は、通信部２２と、フィルタ処理部２３と、記憶部２４と、フィルタ管理部２５とを備える。
【００２１】
フィルタ機能部２１は、全体として、いわゆるリレー型のメールフィルタリング装置を構成している。フィルタ機能部２１は、リレー型のメールフィルタリング機能を実現できるものであれば、市販のものを用いることができる。本実施の形態で述べるフィルタ機能部２１の具体的な構成は、一例である。
【００２２】
通信部２２は、通信部１２を介して送信された信号をフィルタ処理部２３が処理できる形式の信号に変換する。特に断らない限り、フィルタ機能部２１における通信は、通信部２２を介して行われることとする。
【００２３】
フィルタ処理部２３は、通信部２２がパケット（信号）を受信すると、受信したパケットに対してフィルタリングを行い、フィルタリング結果に応じてパケットを破棄、通過、あるいは所定の記憶領域に保持する。パケットをフィルタリングする際の条件は、記憶部２４に格納されている。
【００２４】
記憶部２４は、仮想マシン２０のＩＰアドレス及びポート番号と、フィルタ処理部２３により実行されるメールのフィルタリング条件を、フィルタ装置１が備える記憶用の物理リソース（ハードディスク、ＲＡＭ、ＲＯＭなど。図示せず。）に記憶させる機能を有する。本実施の形態では、記憶部２４が司る物理リソースによる記憶を、単に、「記憶部２４が記憶する」のように表現する。
【００２５】
フィルタ管理部２５は、フィルタリング条件を含むフィルタ処理部２３に対する各種設定を行う機能を有する。フィルタ管理部２５は、管理者用端末７００にインストールされたＷｅｂアプリケーション（図示せず）からの要求に応答して、設定画面やフィルタリングに関する情報をＷｅｂアプリケーションに送信する機能を有する。また、フィルタ管理部２５は、管理者用端末７００のＷｅｂアプリケーション（図示せず）からの要求に応答して、フィルタリング条件等のフィルタ処理に関する設定を記憶部２４に記憶させる機能を提供する。
【００２６】
仮想マシン１０は、透過機能部１１を備えている。透過機能部１１は、通信部１２と、アドレス変換部１３と、記憶部１４とを備える。
【００２７】
透過機能部１１は、ネットワーク６００に対してフィルタ機能部２１よりも前段に位置し、サーバ装置２００宛のパケットのアドレス変換を行うことにより、パケットをフィルタ機能部２１に転送する機能を有する。透過機能部１１は、本発明のパケット透過手段に相当する。
【００２８】
通信部１２は、ＬＡＮ４００やネットワーク６００を介して送信された信号をアドレス変換部１３が処理できる形式の信号に変換する。特に断らない限り、透過機能部１１におけるＬＡＮ４００やネットワーク６００を介した通信は、通信部１２を介して行われることとする。また、通信部１２は、通信部２２との間で信号のやり取りを行う機能も有する。
【００２９】
アドレス変換部１３は、サーバ装置２００宛のパケットのアドレス変換を行うことにより、パケットをフィルタ機能部２１に転送する。なお、アドレス変換部１３によるアドレス変換処理については後述する。アドレス変換部１３は、本発明の入力アドレス変換部及び出力アドレス変換部に相当する。
【００３０】
記憶部１４は、仮想マシン１０のＩＰアドレス及びポート番号と、アドレス変換部１３によるアドレス変換処理において使用されるアドレス等の情報を、フィルタ装置１が備える記憶用の物理リソース（ハードディスク、ＲＡＭ、ＲＯＭ等。図示せず。）に記憶させる機能を有する。本実施の形態では、記憶部１４が司る物理リソースによる記憶を、単に、「記憶部１４が記憶する」のように表現する。
なお、アドレス変換処理において使用される情報とは、具体的には、仮想マシン２０のＷＡＮ側送信用アドレス、ＷＡＮ側受信用アドレス、ＬＡＮ側送信用アドレス、ＬＡＮ側受信用アドレス、及びサーバ装置２００のアドレスである。また、記憶部１４は、アドレス変換処理の対象となるパケットの宛先アドレス及び送信元アドレスを、一時的に記憶する。
【００３１】
上記のような構成を備えたフィルタ装置１は、ハードウェアとして、主に、ＣＰＵと、ＲＯＭと、ＲＡＭと、ハードディスク等のストレージ装置と、ネットワーク６００やＬＡＮ４００に接続するための通信カード等の通信装置とを備えている。
通信部１２と通信部２２は、主に、ＣＰＵ、通信装置等により構成される。アドレス変換部１３、フィルタ処理部２３、記憶部１４、記憶部２４、及びフィルタ管理部２５は、主に、ＣＰＵ、ＲＯＭ、ＲＡＭ等により構成される。
【００３２】
管理者用端末７００は、例えばパーソナルコンピュータ、携帯端末等のコンピュータ装置により構成される。管理者用端末７００は、フィルタ機能部２１のフィルタ管理部２５に対してフィルタリング条件等の設定を行わせることができるとともに、フィルタ管理部２５が管理する情報を取得する端末である。本実施の形態では、管理者用端末７００は、フィルタリング条件の設定やフィルタリングに関する情報を閲覧するためのＷｅｂアプリケーション（図示せず）を備えている。このＷｅｂアプリケーションを介してフィルタ管理部２５と通信を行う。また、管理者用端末７００は、本実施の形態では、ネットワーク６００に接続されており、ネットワーク６００を介してフィルタ管理部２５にアクセスする。なお、管理者用端末７００は、ＬＡＮ４００に接続されていてもよいし、管理者用端末７００を設けない構成としてもよい。
【００３３】
［ネットワーク構成］
図２は、実施の形態に係るメールシステム１００のネットワーク構成を説明する図である。なお、図２では、説明のため、通信部１２や通信部２２等、フィルタ装置１内の一部の構成の記載を省略しているが、フィルタ装置１の構成については図１と同様である。
【００３４】
図２に示すように、メールシステムの各構成には、以下のＩＰアドレスが割り当てられているものとする。
組織外端末５００のＩＰアドレスは、”１０．０．０．１”とする。
仮想マシン１０のＷＡＮ側のＩＰアドレスは、”１７２．１６．２５４．２５４”とする。
仮想マシン１０のＬＡＮ側のＩＰアドレスは、”１７２．１６．２５３．２５４”とする。
仮想マシン２０のＷＡＮ側送信用のＩＰアドレスは、”１７２．１６．２５４．２０１／２４”とする。
仮想マシン２０のＷＡＮ側受信用のＩＰアドレスは、”１７２．１６．２５４．２０２／３２”とする。
仮想マシン２０のＬＡＮ側送信用のＩＰアドレスは、”１７２．１６．２５３．２０１／２４”とする。
仮想マシン２０のＬＡＮ側受信用のＩＰアドレスは、”１７２．１６．２５３．２０２／３２”とする。
サーバ装置２００のＩＰアドレスは、”１６０．１４．２３７．６７”とする。
組織内端末３００のＩＰアドレスは、”１６０．１４．１１２．１５７”とする。
【００３５】
［電子メール送信時の動作］
図３は、組織外端末５００からサーバ装置２００宛にメールを送信する際の動作を説明する図である。以下、図３に付したステップＳ１０〜Ｓ１５にしたがって、組織外端末５００からサーバ装置２００宛にメールを送信する場合の動作について説明する。
【００３６】
まず、組織外端末５００のユーザーが、組織外端末５００に備えられたメールソフトウェアを用いて電子メールを作成し、電子メールの送信操作を行ったものとする。
【００３７】
（ステップＳ１０）
組織外端末５００は、サーバ装置２００宛に電子メールを送信する。この電子メールのパケットには、送信元のＩＰアドレスとして組織外端末５００のＩＰアドレス（１０．０．０．１）が記載されている。また、このパケットには、宛先のＩＰアドレスとしてサーバ装置２００のＩＰアドレス（１６０．１４．２３７．６７）が記載されている。
【００３８】
組織外端末５００から送出されたパケットは、組織外端末５００とサーバ装置２００との間に介在するフィルタ装置１の、仮想マシン１０の通信部１２により受信される。
【００３９】
（ステップＳ１１）
透過機能部１１は、パケットの宛先のＩＰアドレスを、サーバ装置２００のアドレス（１６０．１４．２３７．６７）から、仮想マシン２０のＷＡＮ側受信用アドレス（１７２．１６．２５４．２０２）に書き換える。
なお、このとき、パケットの送信元ＩＰアドレスの書き換えは行わないが、後述するステップＳ１４におけるアドレス変換処理のため、送信元のＩＰアドレス（組織外端末５００のアドレス：１０．０．０．１）を、記憶部１４により保持しておく。
【００４０】
そして、仮想マシン１０の通信部１２は、アドレス変換後のパケットを送出する。
仮想マシン１０から送出されたパケットは、仮想マシン２０の通信部２２により受信される。すなわち、組織外端末５００からサーバ装置２００宛に送出されたパケットは、サーバ装置２００に直接転送されずに、仮想マシン２０に転送される。このため、組織外端末５００のユーザーは、フィルタ装置１のフィルタ機能部２１（リレー型のフィルタ装置）の存在を意識することなく、サーバ装置２００宛にメールを送信することができる。
【００４１】
（ステップＳ１２）
フィルタ機能部２１のフィルタ処理部２３は、記憶部２４に保持されたフィルタリング条件にしたがって、メールのフィルタリング処理を行う。この場合、組織外から組織内に送信されるメールであるので、例えば、ウイルスやスパムメールであるか否か等が、チェック対象となる。そして、フィルタリング結果に基づいて、削除するメール、転送するメールなど、予め設定された事項にしたがってメールを分類する。
【００４２】
（ステップＳ１３）
仮想マシン２０の通信部２２は、フィルタリング後のメールを送信する。このとき送出されるパケットの送信元ＩＰアドレスは、仮想マシン２０のＬＡＮ側送信用アドレス（１７２．１６．２５３．２０１）であり、宛先ＩＰアドレスは、仮想マシン１０のＬＡＮ側ＩＰアドレス（１７２．１６．２５３．２５４）とする。なお、仮想マシン２０の通信部２２には、自身からＬＡＮ側に送出するパケットの宛先を常に仮想マシン１０のＬＡＮ側ＩＰアドレスとする設定がなされているものとする。
【００４３】
仮想マシン２０から送出されたパケットは、仮想マシン１０の通信部１２により受信される。
【００４４】
（ステップＳ１４）
透過機能部１１は、受信したパケットの送信元ＩＰアドレスを、仮想マシン２０のＬＡＮ側送信用アドレス（１７２．１６．２５３．２０１）から、このメールの本来の送信元である組織外端末５００のＩＰアドレス（１０．０．０．１）に書き換える。この組織外端末５００のＩＰアドレスは、ステップＳ１１にて記憶部１４に保持しておいたアドレスである。さらに、パケットの宛先のＩＰアドレスを、仮想マシン１０のＬＡＮ側ＩＰアドレス（１７２．１６．２５３．２５４）から、このメールの本来の宛先であるサーバ装置２００のＩＰアドレス（１６０．１４．２３７．６７）に書き換える。
【００４５】
なお、透過機能部１１は、フィルタ機能部２１にてフィルタリング（破棄）されたメール以外のメールのパケットを、アドレス変換の対象とする。
【００４６】
そして、仮想マシン１０の通信部１２は、アドレス変換後のパケットを、ＬＡＮ４００を介してサーバ装置２００へ送出する。
【００４７】
（ステップＳ１５）
サーバ装置２００は、宛先ＩＰアドレスが自身のＩＰアドレス（１６０．１４．２３７．６７）であるパケットを受信する。
【００４８】
以上述べたように、組織外端末５００は、フィルタ装置１が存在しない場合と同様に、サーバ装置２００宛のメールを送信することができる。そして、サーバ装置２００も、フィルタ装置１の存在を意識することなく、組織外端末５００からのメールを受信することができる。
従来であれば、本実施の形態においてフィルタ機能部２１により実現されているようないわゆるリレー型のメールフィルタ装置をメールシステムに導入した場合、組織外端末５００からサーバ装置２００宛にメールを送信する際には、組織外端末５００はサーバ装置２００ではなくフィルタ装置のＩＰアドレスを宛先アドレスとしてメールを送信しなければならず、また、サーバ装置２００から送出されるメールはフィルタ装置を宛先として送信しなければならなかった。このため、フィルタ装置を介在させるか否かにより、宛先のＩＰアドレスが異なり、アドレス設定の変更作業が必要であった。
しかし、本実施の形態によれば、上述のようにリレー型のフィルタ装置（仮想マシン２０のフィルタ機能部２１）を導入する場合であっても、透過機能部１１がアドレス変換を行うことにより、フィルタ装置の存在を意識することなくメールの送受信を行うことができる。
【００４９】
［電子メール受信時の動作］
図４は、組織内端末３００から、組織外（例えば、組織外端末５００）宛にメールを送信する際の動作を説明する図である。以下、図４に付したステップＳ２０〜Ｓ２５にしたがって、組織内端末３００から組織外宛にメールを送信する場合の動作を説明する。
【００５０】
まず、組織内端末３００のユーザーが、組織内端末３００に備えられたメールソフトウェアを用いて電子メールを作成し、電子メールの送信操作を行ったものとする。
【００５１】
（ステップＳ２０）
組織内端末３００は、パケットをＬＡＮ４００経由で送出する。このとき送出されるパケットには、組織内のメールサーバであるサーバ装置２００のＩＰアドレスが、宛先アドレスとして記載されている。
【００５２】
組織内端末３００から送出されたパケットは、仮想マシン１０の通信部１２により受信される。
【００５３】
（ステップＳ２１）
仮想マシン１０の透過機能部１１は、パケットの宛先のＩＰアドレスを、サーバ装置２００のアドレス（１６０．１４．２３７．６７）から、仮想マシン２０のＬＡＮ側受信用ＩＰアドレス（１７２．１６．２５３．２０２）に書き換える。
なお、このとき、パケットの送信元ＩＰアドレスの書き換えは行わないが、後述するステップＳ２４でのアドレス変換処理のため、送信元のＩＰアドレス（組織内端末３００のアドレス：１６０．１４．１１２．１５７）を、記憶部１４に保持しておく。
【００５４】
そして、仮想マシン１０の通信部１２は、アドレス変換後のパケットを送出する。
仮想マシン１０から送出されたパケットは、仮想マシン２０の通信部２２により受信される。すなわち、組織内端末３００からサーバ装置２００宛に送出されたパケットは、サーバ装置２００に直接転送されずに、仮想マシン２０に転送される。このため、組織内端末３００のユーザーは、フィルタ装置１のフィルタ機能部２１（リレー型のフィルタ装置）の存在を意識することなく、サーバ装置２００宛にメールを送信することができる。
【００５５】
（ステップＳ２２）
フィルタ機能部２１のフィルタ処理部２３は、記憶部２４に保持されたフィルタリング条件にしたがって、メールのフィルタリング処理を行う。この場合、組織内から組織外宛に送信されるメールであるので、例えば、企業内コンプライアンスに適合したメールであるか否か等が、チェック対象となる。そして、フィルタリング結果に基づいて、削除するメール、転送するメールなど、予め設定された事項にしたがってメールを分類する。
【００５６】
（ステップＳ２３）
仮想マシン２０の通信部２２は、フィルタリング後のメールを送信する。このとき送出されるパケットの送信元ＩＰアドレスは、仮想マシン２０のＬＡＮ側送信用アドレス（１７２．１６．２５３．２０１）であり、宛先ＩＰアドレスは、仮想マシン１０のＬＡＮ側ＩＰアドレス（１７２．１６．２５３．２５４）である。なお、仮想マシン２０の通信部２２は、自身からＬＡＮ側に送出するパケットの宛先を常に仮想マシン１０のＬＡＮ側ＩＰアドレスとする設定がなされているものとする。
【００５７】
仮想マシン２０から送出されたパケットは、仮想マシン１０の通信部１２により受信される。
【００５８】
（ステップＳ２４）
仮想マシン１０の透過機能部１１は、受信したパケットの送信元ＩＰアドレスを、仮想マシン２０のＬＡＮ側送信用アドレス（１７２．１６．２５３．２０１）から、このメールの本来の送信元である組織内端末３００のＩＰアドレス（１６０．１４．１１２．１５７）に書き換える。この組織内端末３００のＩＰアドレスは、ステップＳ２１にて記憶部１４に保持しておいたアドレスである。さらに、パケットの宛先のＩＰアドレスを、仮想マシン１０のＬＡＮ側ＩＰアドレス（１７２．１６．２５３．２５４）から、このメールの本来の宛先であるサーバ装置２００のＩＰアドレス（１６０．１４．２３７．６７）に書き換える。
【００５９】
なお、透過機能部１１は、フィルタ機能部２１にてフィルタリング（破棄）されたメール以外のメールのパケットを、アドレス変換の対象とする。
【００６０】
そして、仮想マシン１０の通信部１２は、アドレス変換後のパケットを、ＬＡＮ４００を介してサーバ装置２００へ送出する。
【００６１】
（ステップＳ２５）
サーバ装置２００は、送信元ＩＰアドレスが自身のＩＰアドレス（１６０．１４．２３７．６７）であるパケットを受信する。
【００６２】
なお、図示しないが、サーバ装置２００が受信したパケットは、サーバ装置２００の有するメール配信機能により、宛先の組織外のメールサーバに配信され、その組織外のメールサーバを経由して例えば組織外端末５００等の最終的な宛先に到達する。
【００６３】
以上述べたように、組織内端末３００は、フィルタ装置１が存在しない場合と同様に、サーバ装置２００宛のメールを送信することができる。そして、サーバ装置２００も、フィルタ装置１の存在を意識することなく、組織内端末３００からのメールを受信することができる。
【００６４】
［管理者用ＰＣ−フィルタ機能部間でのＨＴＴＰ通信時の動作］
図５は、管理者用端末７００から、仮想マシン２０に対してＨＴＴＰ通信する場合の動作を説明する図である。具体的には、仮想マシン２０のフィルタ機能部２１のフィルタ管理部２５に対して、管理者用端末７００のＷｅｂアプリケーションを用いてＨＴＴＰ通信によりフィルタリング条件の設定やフィルタリング情報のモニタなどを行う場合に行われる通信を説明する図である。以下、図５に付したステップＳ３０〜Ｓ３５にしたがって、管理者用端末７００から仮想マシン２０に対してＨＴＴＰ通信する場合の動作について説明する。
【００６５】
まず、管理者用端末７００のユーザーが、管理者用端末７００に備えられたＷｅｂアプリケーションを用いて、フィルタ管理部２５に対するＨＴＴＰ通信での要求を行ったものとする。
【００６６】
（ステップＳ３０）
管理者用端末７００は、フィルタ機能部２１宛にパケットを送信する。このパケットには、送信元のＩＰアドレスとして、管理者用端末７００のＩＰアドレス（１６０．１４．１１２．１５７）が記載されている。また、このパケットには、宛先のＩＰアドレスとして、フィルタ機能部２１のＩＰアドレス（１６０．１４．９０．６２）が記載されている。
【００６７】
管理者用端末７００から送出されたパケットは、管理者用端末７００と仮想マシン２０との間に介在する仮想マシン１０の通信部１２により受信される。
【００６８】
（ステップＳ３１）
透過機能部１１は、パケットの宛先のＩＰアドレスを、フィルタ機能部２１のＩＰアドレス（１６０．１４．９０．６２）から、仮想マシン２０のＬＡＮ側送信用ＩＰアドレス（１７２．１６．２５３．２０１）に書き換える。
なお、このとき、パケットの送信元のＩＰアドレスの書き換えは行わないが、後述するステップＳ３４でのアドレス変換処理のため、送信元のＩＰアドレス（管理者用端末７００のアドレス：１６０．１４．１１２．１５７）を、記憶部１４に保持しておく。
【００６９】
そして、仮想マシン１０の通信部１２は、アドレス変換後のパケットを送出する。
仮想マシン１０から送出されたパケットは、仮想マシン２０の通信部２２により受信される。
【００７０】
（ステップＳ３２）
フィルタ機能部２１のフィルタ管理部２５は、受信したＨＴＴＰパケットからの要求に応じた処理を行う。ここでいう処理とは、例えば、フィルタリング条件の設定や、フィルタリング実施に関する情報の取得などである。
【００７１】
（ステップＳ３３）
仮想マシン２０の通信部２２は、受信したＨＴＴＰパケットに対する応答のＨＴＴＰパケットを送信する。このとき送出されるパケットの送信元ＩＰアドレスは、仮想マシン２０のＬＡＮ側送信用アドレス（１７２．１６．２５３．２０１）であり、宛先ＩＰアドレスは、仮想マシン２０がステップＳ３２で受信したパケットの送信元ＩＰアドレスである、管理者用端末７００のアドレス（１６０．１４．１１２．１５７）である。
【００７２】
仮想マシン２０から送出されたＨＴＴＰパケットは、仮想マシン１０の通信部１２により受信される。
【００７３】
（ステップＳ３４）
仮想マシン１０の透過機能部１１は、受信したパケットの送信元ＩＰアドレスを、仮想マシン２０のＬＡＮ側送信用アドレス（１７２．１６．２５３．２０１）から、このＨＴＴＰパケットの本来の送信元であるフィルタ機能部２１のＩＰアドレス（１６０．１４．９０．６２）に書き換える。このフィルタ機能部２１のＩＰアドレスは、ステップＳ３１にて記憶部１４に保持しておいたアドレスである。
【００７４】
そして、仮想マシン１０の通信部１２は、アドレス変換後のパケットを管理者用端末７００へ送出する。
【００７５】
（ステップＳ３５）
管理者用端末７００は、宛先ＩＰアドレスが自身のＩＰアドレス（１６０．１４．１１２．１５７）であるＨＴＴＰパケットを受信する。
すなわち、管理者用端末７００からフィルタ機能部２１宛に送出された要求パケットは、フィルタ機能部２１に転送され、フィルタ機能部２１からの応答パケットは管理者用端末７００へと配信される。このため、管理者用端末７００のユーザーは、直接フィルタリング機能部２１に都度接続するための設定作業をすることなく、フィルタリング機能の設定や、フィルタリング結果の確認を行うことができる。
【００７６】
なお、図５では、ＨＴＴＰ通信を行う場合を例に説明したが、管理者用端末７００と仮想マシン２０との間でＴＣＰ通信あるいはＵＤＰ通信を行う場合であっても、同様にして、透過機能部１１はアドレス変換処理を行うことができ、同様の効果を得ることができる。
【００７７】
［フィルタ装置の導入／撤去について］
既存のシステム（例えば、図１においてフィルタ装置１が存在しない状態のシステム）に、新たにフィルタ装置１を導入する場合には、ユーザーは、透過機能部１１においてアドレス変換に用いる変換前／変換後に対応するアドレスのほか、アドレス変換処理に用いる各種データを記憶部１４に記憶させる。また、ユーザーは、フィルタ機能部２１のフィルタ管理部２５を介してフィルタリング条件等を記憶部２４に記憶させるなど、フィルタ機能部２１の仕様に応じた設定を行う。このようなフィルタ装置１に対する設定を行った後、このフィルタ装置１を、サーバ装置２００の前段にＬＡＮ結線する。このようにすることで、サーバ装置２００等に対しては何らアドレス変更を行うことなく、図３〜図５で示した動作を実行できる。
【００７８】
また、図１のようにフィルタ装置１が導入された状態において、フィルタ装置１を撤去する際には、フィルタ装置１からＬＡＮ結線を取り外すだけでよい。フィルタ装置１を撤去した後においても、サーバ装置２００等に対してアドレス変更を行うことなくメールシステムを運用できる。
【００７９】
このように、フィルタ装置１を導入する際にも撤去する際にも、サーバ装置２００等の既存の設備に対するアドレス変更等の設定は不要である。
【００８０】
以上のように、本実施の形態に係るフィルタ装置１の透過機能部１１は、組織内のサーバ装置２００宛のパケットのアドレス変換を行うことにより仮想マシン２０のフィルタ機能部２１にパケットを転送するとともに、仮想マシン２０から送出されるパケットの宛先アドレスのアドレス変換を行って、本来の宛先であるサーバ装置２００にフィルタリング処理後のパケットを転送する。
これにより、メールの送信側は、フィルタ装置１の存在を意識することなく、サーバ装置２００宛にメールを送信することができる。したがって、組織外端末５００やサーバ装置２００、組織内端末３００は、フィルタ装置１の有無にかかわらず、同じアドレス設定を行った状態でメールの送受信を行うことができる。このため、組織外端末５００やサーバ装置２００、組織内端末３００のアドレス設定等の変更を行うことなく、いわゆるリレー型のフィルタ装置（フィルタ機能部２１）を導入することができる。したがって、フィルタ装置１を導入する際の障壁を低減することができる。
【符号の説明】
【００８１】
１ フィルタ装置
１０ 仮想マシン
１１ 透過機能部
１２ 通信部
１３ アドレス変換部
１４ 記憶部
２０ 仮想マシン
２１ フィルタ機能部
２２ 通信部
２３ フィルタ処理部
２４ 記憶部
２５ フィルタ管理部
３０ 仮想マシンモニタ
１００ メールシステム
２００ サーバ装置
３００ 組織内端末
４００ ＬＡＮ
５００ 組織外端末
６００ ネットワーク
７００ 管理者用端末
８００ ルータ
【技術分野】
【０００１】
本発明は、クライアントとサーバとの間で送受信されるパケットの通過や破棄を選択的に行うパケットフィルタ装置に関する。
【背景技術】
【０００２】
従来、サーバとクライアントとを備えるサーバ−クライアントシステムにおいて、インターネットを介した電子メール等のやり取りが行われている。そして、いわゆる迷惑メールが大きな問題となっており、このような迷惑メールの対策技術として、「通常のメールサーバとインターネットの問に、本発明の迷惑メール防止装置であるフィルタ装置を接続し、クライアントから送信された電子メールを前記フィルタ装置によってメールサーバへ中継する。」というものが提案されている（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００３−１５０５１３号公報（第４頁、図１）
【発明の概要】
【発明が解決しようとする課題】
【０００４】
企業や家庭等においては、外部から内部へ送信されるウイルスメールやスパムメールを排除し、また、内部から外部へ送信されるメールに対してはコンプライアンスの観点からチェックすることを目的として、フィルタ装置が欠かせないものとなっている。
【０００５】
上記特許文献１に記載のものは、サーバとクライアントとの間に介在されるいわゆる「リレー型」のフィルタ装置に関する技術である。このようなリレー型のフィルタ装置は、既存のシステムに導入する際の導入障壁が高いという課題があった。すなわち、サーバとクライアントとの間にフィルタ装置を介在させるため、導入時には、既存設備のアドレス設定等の変更作業が必要であった。具体的には、ドメインネームサーバ（ＤＮＳサーバ）においては、ＭＸレコード（Mail Exchanger）を既存のメールサーバからリレー型のフィルタ装置に変更する必要がある。また、公開用のメールサーバにおいては、メールを外部に送信する際のネクストホップ（中継先のＩＰアドレス）を、リレー型のフィルタ装置とする必要がある。さらに、企業内等において公開用のメールサーバの前段に内部用のメールサーバを備えている場合には、内部用メールサーバの外部送信時のネクストホップ（中継先のＩＰアドレス）を、公開用のメールサーバからリレー型のフィルタ装置に変更する必要がある。
【０００６】
例えば上記のようなアドレス設定の変更作業においてミスが生じた場合には、電子メールの送受信停止等のトラブルが発生し、業務等の社会生活に与える影響が大きかった。また、システムの規模によってはアドレス設定の変更作業に要する作業工数も多大となり、コストも増加していた。このようなトラブルの懸念やコスト高などの理由から、リレー型のフィルタ装置の導入をためらうユーザーも少なくなかった。
また、この種のフィルタ装置は、フィルタ機能の精度や運用・管理の操作性等を検証することを目的として、企業等に本格的に導入される前に、試験的に導入される場合がある。このような試験導入においても、上述したようなアドレス設定変更に伴うトラブルの懸念やコスト高などの課題があり、ユーザーにとっての導入障壁となっていた。
【０００７】
したがって、既存機器のアドレス設定等の変更を行うことなく導入することのできる、導入障壁の小さいリレー型のフィルタ装置が望まれていた。
【０００８】
本発明は、上記のような課題を解決するためになされたものであり、既存設備のアドレス変更を行うことなく導入することのできるフィルタ装置を提供するものである。
【課題を解決するための手段】
【０００９】
本発明に係るフィルタ装置は、ネットワークを介して受信した信号をフィルタリングしてサーバに送信するフィルタ装置であって、設定されたフィルタリングルールに基づいて前記信号を前記サーバに送るか否かを判定し、前記サーバに送るものと判断した信号を送出するリレー型フィルタ手段と、前記受信した信号に含まれる宛先アドレスを前記リレー型フィルタ手段のアドレスに変換する入力アドレス変換部、前記リレー型フィルタ手段から送出された信号に含まれる宛先アドレスを前記サーバのアドレスに変換する出力アドレス変換部、及び、前記ネットワークを介して信号を受信するとともに前記リレー型フィルタ手段との間で信号を送受信する通信部を有するパケット透過手段と、を備えたものである。
【発明の効果】
【００１０】
本発明によれば、既存機器のアドレス設定等の変更を行うことなく、サーバとクライアントとの間に導入することができるパケットのフィルタ装置を得ることができる。
【図面の簡単な説明】
【００１１】
【図１】実施の形態に係るメールシステムのシステム構成を示すブロック図である。
【図２】実施の形態に係るシステムのネットワーク構成を説明する図である。
【図３】実施の形態に係る電子メール送信時の動作を説明する図である。
【図４】実施の形態に係る電子メール受信時の動作を説明する図である。
【図５】実施の形態に係る管理者用ＰＣ−フィルタ機能部間でのＨＴＴＰ通信時の動作を説明する図である。
【発明を実施するための形態】
【００１２】
実施の形態．
図１は、本発明の実施の形態に係るメールシステム１００のシステム構成を説明する図である。以下、図１を用いて、実施の形態に係るシステム構成について説明する。
【００１３】
［システム構成］
図１に示すように、実施の形態に係るメールシステム１００は、フィルタ装置１と、企業等の組織のサーバ装置２００と、組織内端末３００と、組織外端末５００と、インターネット等のネットワーク６００と、ルータ８００とを備えている。サーバ装置２００は、フィルタ装置１及びルータ８００を介してネットワーク６００に接続されている。また、フィルタ装置１と、サーバ装置２００と、組織内端末３００は、企業内等のＬＡＮ４００に接続されている。本実施の形態では、ルータ８００に対してネットワーク６００側を組織外、ＬＡＮ４００側を組織内と称する場合がある。また、本実施の形態では、フィルタ装置１に対する各種設定等を行う管理者用端末７００がネットワーク６００に接続されている。なお、図示しないが、ネットワーク６００とフィルタ装置１との間に、ファイアウォールを介在させてもよい。なお、本発明でいう「ネットワーク」とは、本実施の形態におけるネットワーク６００とＬＡＮ４００の双方を含むものである。
【００１４】
サーバ装置２００は、例えばワークステーションやパーソナルコンピュータ等のコンピュータ装置により構成される。サーバ装置２００は、組織外端末５００を含む図示しない複数のメールクライアントから送信されたサーバ装置２００宛の電子メールを受信してサーバ装置２００の所定のメールボックス（図示せず）に格納し、組織内端末３００からの要求により組織内端末３００へ当該メールを配信する機能を有する。また、サーバ装置２００は、組織内端末３００から外部宛のメールを受信して所定のメールボックス（図示せず）に格納し、メール配信機能により組織外の所定のメールサーバに当該メールを配信する機能も有する。
【００１５】
組織内端末３００は、例えばパーソナルコンピュータ、携帯端末等のコンピュータ装置により構成される。組織内端末３００は、メールを作成し、メールを送受信する機能を持つメールソフトウェア（図示せず）を備えている。
【００１６】
組織外端末５００は、例えばパーソナルコンピュータ、携帯端末等のコンピュータ装置により構成される。組織外端末５００は、メールを作成し、メールを送受信する機能を持つメールソフトウェア（図示せず）を備えている。
【００１７】
組織内端末３００と組織外端末５００は、サーバ装置２００を介して、互いにメールの送受信が可能である。
【００１８】
フィルタ装置１は、サーバ装置２００に対して送信されるメールに対するフィルタリング処理を行う機能を有する。フィルタ装置１は、例えばワークステーションやパーソナルコンピュータ等のコンピュータ装置により構成されており、本実施の形態においては仮想マシンモニタ３０がインストールされている。
【００１９】
仮想マシンモニタ３０は、パーソナルコンピュータ（ＰＣ）のハードウェア環境をエミュレートして、オペレーションシステム（ＯＳ）の上で他のＯＳを動作させる。仮想マシンモニタ３０は、通常はソフトウェアで実現されるが、例えば、ハードウェア、ソフトウェア、ファームウェア又はこれらの技術の組み合わせにより実現してもよい。本実施の形態では、仮想マシンモニタ３０上で、仮想マシン１０と仮想マシン２０とが動作している。仮想マシン１０は、サーバ装置２００に対して、仮想マシン２０よりも前段に位置している。すなわち、仮想マシン１０とサーバ装置２００との間に、仮想マシン２０が位置している。
【００２０】
仮想マシン２０は、フィルタ機能部２１を備えている。フィルタ機能部２１は、通信部２２と、フィルタ処理部２３と、記憶部２４と、フィルタ管理部２５とを備える。
【００２１】
フィルタ機能部２１は、全体として、いわゆるリレー型のメールフィルタリング装置を構成している。フィルタ機能部２１は、リレー型のメールフィルタリング機能を実現できるものであれば、市販のものを用いることができる。本実施の形態で述べるフィルタ機能部２１の具体的な構成は、一例である。
【００２２】
通信部２２は、通信部１２を介して送信された信号をフィルタ処理部２３が処理できる形式の信号に変換する。特に断らない限り、フィルタ機能部２１における通信は、通信部２２を介して行われることとする。
【００２３】
フィルタ処理部２３は、通信部２２がパケット（信号）を受信すると、受信したパケットに対してフィルタリングを行い、フィルタリング結果に応じてパケットを破棄、通過、あるいは所定の記憶領域に保持する。パケットをフィルタリングする際の条件は、記憶部２４に格納されている。
【００２４】
記憶部２４は、仮想マシン２０のＩＰアドレス及びポート番号と、フィルタ処理部２３により実行されるメールのフィルタリング条件を、フィルタ装置１が備える記憶用の物理リソース（ハードディスク、ＲＡＭ、ＲＯＭなど。図示せず。）に記憶させる機能を有する。本実施の形態では、記憶部２４が司る物理リソースによる記憶を、単に、「記憶部２４が記憶する」のように表現する。
【００２５】
フィルタ管理部２５は、フィルタリング条件を含むフィルタ処理部２３に対する各種設定を行う機能を有する。フィルタ管理部２５は、管理者用端末７００にインストールされたＷｅｂアプリケーション（図示せず）からの要求に応答して、設定画面やフィルタリングに関する情報をＷｅｂアプリケーションに送信する機能を有する。また、フィルタ管理部２５は、管理者用端末７００のＷｅｂアプリケーション（図示せず）からの要求に応答して、フィルタリング条件等のフィルタ処理に関する設定を記憶部２４に記憶させる機能を提供する。
【００２６】
仮想マシン１０は、透過機能部１１を備えている。透過機能部１１は、通信部１２と、アドレス変換部１３と、記憶部１４とを備える。
【００２７】
透過機能部１１は、ネットワーク６００に対してフィルタ機能部２１よりも前段に位置し、サーバ装置２００宛のパケットのアドレス変換を行うことにより、パケットをフィルタ機能部２１に転送する機能を有する。透過機能部１１は、本発明のパケット透過手段に相当する。
【００２８】
通信部１２は、ＬＡＮ４００やネットワーク６００を介して送信された信号をアドレス変換部１３が処理できる形式の信号に変換する。特に断らない限り、透過機能部１１におけるＬＡＮ４００やネットワーク６００を介した通信は、通信部１２を介して行われることとする。また、通信部１２は、通信部２２との間で信号のやり取りを行う機能も有する。
【００２９】
アドレス変換部１３は、サーバ装置２００宛のパケットのアドレス変換を行うことにより、パケットをフィルタ機能部２１に転送する。なお、アドレス変換部１３によるアドレス変換処理については後述する。アドレス変換部１３は、本発明の入力アドレス変換部及び出力アドレス変換部に相当する。
【００３０】
記憶部１４は、仮想マシン１０のＩＰアドレス及びポート番号と、アドレス変換部１３によるアドレス変換処理において使用されるアドレス等の情報を、フィルタ装置１が備える記憶用の物理リソース（ハードディスク、ＲＡＭ、ＲＯＭ等。図示せず。）に記憶させる機能を有する。本実施の形態では、記憶部１４が司る物理リソースによる記憶を、単に、「記憶部１４が記憶する」のように表現する。
なお、アドレス変換処理において使用される情報とは、具体的には、仮想マシン２０のＷＡＮ側送信用アドレス、ＷＡＮ側受信用アドレス、ＬＡＮ側送信用アドレス、ＬＡＮ側受信用アドレス、及びサーバ装置２００のアドレスである。また、記憶部１４は、アドレス変換処理の対象となるパケットの宛先アドレス及び送信元アドレスを、一時的に記憶する。
【００３１】
上記のような構成を備えたフィルタ装置１は、ハードウェアとして、主に、ＣＰＵと、ＲＯＭと、ＲＡＭと、ハードディスク等のストレージ装置と、ネットワーク６００やＬＡＮ４００に接続するための通信カード等の通信装置とを備えている。
通信部１２と通信部２２は、主に、ＣＰＵ、通信装置等により構成される。アドレス変換部１３、フィルタ処理部２３、記憶部１４、記憶部２４、及びフィルタ管理部２５は、主に、ＣＰＵ、ＲＯＭ、ＲＡＭ等により構成される。
【００３２】
管理者用端末７００は、例えばパーソナルコンピュータ、携帯端末等のコンピュータ装置により構成される。管理者用端末７００は、フィルタ機能部２１のフィルタ管理部２５に対してフィルタリング条件等の設定を行わせることができるとともに、フィルタ管理部２５が管理する情報を取得する端末である。本実施の形態では、管理者用端末７００は、フィルタリング条件の設定やフィルタリングに関する情報を閲覧するためのＷｅｂアプリケーション（図示せず）を備えている。このＷｅｂアプリケーションを介してフィルタ管理部２５と通信を行う。また、管理者用端末７００は、本実施の形態では、ネットワーク６００に接続されており、ネットワーク６００を介してフィルタ管理部２５にアクセスする。なお、管理者用端末７００は、ＬＡＮ４００に接続されていてもよいし、管理者用端末７００を設けない構成としてもよい。
【００３３】
［ネットワーク構成］
図２は、実施の形態に係るメールシステム１００のネットワーク構成を説明する図である。なお、図２では、説明のため、通信部１２や通信部２２等、フィルタ装置１内の一部の構成の記載を省略しているが、フィルタ装置１の構成については図１と同様である。
【００３４】
図２に示すように、メールシステムの各構成には、以下のＩＰアドレスが割り当てられているものとする。
組織外端末５００のＩＰアドレスは、”１０．０．０．１”とする。
仮想マシン１０のＷＡＮ側のＩＰアドレスは、”１７２．１６．２５４．２５４”とする。
仮想マシン１０のＬＡＮ側のＩＰアドレスは、”１７２．１６．２５３．２５４”とする。
仮想マシン２０のＷＡＮ側送信用のＩＰアドレスは、”１７２．１６．２５４．２０１／２４”とする。
仮想マシン２０のＷＡＮ側受信用のＩＰアドレスは、”１７２．１６．２５４．２０２／３２”とする。
仮想マシン２０のＬＡＮ側送信用のＩＰアドレスは、”１７２．１６．２５３．２０１／２４”とする。
仮想マシン２０のＬＡＮ側受信用のＩＰアドレスは、”１７２．１６．２５３．２０２／３２”とする。
サーバ装置２００のＩＰアドレスは、”１６０．１４．２３７．６７”とする。
組織内端末３００のＩＰアドレスは、”１６０．１４．１１２．１５７”とする。
【００３５】
［電子メール送信時の動作］
図３は、組織外端末５００からサーバ装置２００宛にメールを送信する際の動作を説明する図である。以下、図３に付したステップＳ１０〜Ｓ１５にしたがって、組織外端末５００からサーバ装置２００宛にメールを送信する場合の動作について説明する。
【００３６】
まず、組織外端末５００のユーザーが、組織外端末５００に備えられたメールソフトウェアを用いて電子メールを作成し、電子メールの送信操作を行ったものとする。
【００３７】
（ステップＳ１０）
組織外端末５００は、サーバ装置２００宛に電子メールを送信する。この電子メールのパケットには、送信元のＩＰアドレスとして組織外端末５００のＩＰアドレス（１０．０．０．１）が記載されている。また、このパケットには、宛先のＩＰアドレスとしてサーバ装置２００のＩＰアドレス（１６０．１４．２３７．６７）が記載されている。
【００３８】
組織外端末５００から送出されたパケットは、組織外端末５００とサーバ装置２００との間に介在するフィルタ装置１の、仮想マシン１０の通信部１２により受信される。
【００３９】
（ステップＳ１１）
透過機能部１１は、パケットの宛先のＩＰアドレスを、サーバ装置２００のアドレス（１６０．１４．２３７．６７）から、仮想マシン２０のＷＡＮ側受信用アドレス（１７２．１６．２５４．２０２）に書き換える。
なお、このとき、パケットの送信元ＩＰアドレスの書き換えは行わないが、後述するステップＳ１４におけるアドレス変換処理のため、送信元のＩＰアドレス（組織外端末５００のアドレス：１０．０．０．１）を、記憶部１４により保持しておく。
【００４０】
そして、仮想マシン１０の通信部１２は、アドレス変換後のパケットを送出する。
仮想マシン１０から送出されたパケットは、仮想マシン２０の通信部２２により受信される。すなわち、組織外端末５００からサーバ装置２００宛に送出されたパケットは、サーバ装置２００に直接転送されずに、仮想マシン２０に転送される。このため、組織外端末５００のユーザーは、フィルタ装置１のフィルタ機能部２１（リレー型のフィルタ装置）の存在を意識することなく、サーバ装置２００宛にメールを送信することができる。
【００４１】
（ステップＳ１２）
フィルタ機能部２１のフィルタ処理部２３は、記憶部２４に保持されたフィルタリング条件にしたがって、メールのフィルタリング処理を行う。この場合、組織外から組織内に送信されるメールであるので、例えば、ウイルスやスパムメールであるか否か等が、チェック対象となる。そして、フィルタリング結果に基づいて、削除するメール、転送するメールなど、予め設定された事項にしたがってメールを分類する。
【００４２】
（ステップＳ１３）
仮想マシン２０の通信部２２は、フィルタリング後のメールを送信する。このとき送出されるパケットの送信元ＩＰアドレスは、仮想マシン２０のＬＡＮ側送信用アドレス（１７２．１６．２５３．２０１）であり、宛先ＩＰアドレスは、仮想マシン１０のＬＡＮ側ＩＰアドレス（１７２．１６．２５３．２５４）とする。なお、仮想マシン２０の通信部２２には、自身からＬＡＮ側に送出するパケットの宛先を常に仮想マシン１０のＬＡＮ側ＩＰアドレスとする設定がなされているものとする。
【００４３】
仮想マシン２０から送出されたパケットは、仮想マシン１０の通信部１２により受信される。
【００４４】
（ステップＳ１４）
透過機能部１１は、受信したパケットの送信元ＩＰアドレスを、仮想マシン２０のＬＡＮ側送信用アドレス（１７２．１６．２５３．２０１）から、このメールの本来の送信元である組織外端末５００のＩＰアドレス（１０．０．０．１）に書き換える。この組織外端末５００のＩＰアドレスは、ステップＳ１１にて記憶部１４に保持しておいたアドレスである。さらに、パケットの宛先のＩＰアドレスを、仮想マシン１０のＬＡＮ側ＩＰアドレス（１７２．１６．２５３．２５４）から、このメールの本来の宛先であるサーバ装置２００のＩＰアドレス（１６０．１４．２３７．６７）に書き換える。
【００４５】
なお、透過機能部１１は、フィルタ機能部２１にてフィルタリング（破棄）されたメール以外のメールのパケットを、アドレス変換の対象とする。
【００４６】
そして、仮想マシン１０の通信部１２は、アドレス変換後のパケットを、ＬＡＮ４００を介してサーバ装置２００へ送出する。
【００４７】
（ステップＳ１５）
サーバ装置２００は、宛先ＩＰアドレスが自身のＩＰアドレス（１６０．１４．２３７．６７）であるパケットを受信する。
【００４８】
以上述べたように、組織外端末５００は、フィルタ装置１が存在しない場合と同様に、サーバ装置２００宛のメールを送信することができる。そして、サーバ装置２００も、フィルタ装置１の存在を意識することなく、組織外端末５００からのメールを受信することができる。
従来であれば、本実施の形態においてフィルタ機能部２１により実現されているようないわゆるリレー型のメールフィルタ装置をメールシステムに導入した場合、組織外端末５００からサーバ装置２００宛にメールを送信する際には、組織外端末５００はサーバ装置２００ではなくフィルタ装置のＩＰアドレスを宛先アドレスとしてメールを送信しなければならず、また、サーバ装置２００から送出されるメールはフィルタ装置を宛先として送信しなければならなかった。このため、フィルタ装置を介在させるか否かにより、宛先のＩＰアドレスが異なり、アドレス設定の変更作業が必要であった。
しかし、本実施の形態によれば、上述のようにリレー型のフィルタ装置（仮想マシン２０のフィルタ機能部２１）を導入する場合であっても、透過機能部１１がアドレス変換を行うことにより、フィルタ装置の存在を意識することなくメールの送受信を行うことができる。
【００４９】
［電子メール受信時の動作］
図４は、組織内端末３００から、組織外（例えば、組織外端末５００）宛にメールを送信する際の動作を説明する図である。以下、図４に付したステップＳ２０〜Ｓ２５にしたがって、組織内端末３００から組織外宛にメールを送信する場合の動作を説明する。
【００５０】
まず、組織内端末３００のユーザーが、組織内端末３００に備えられたメールソフトウェアを用いて電子メールを作成し、電子メールの送信操作を行ったものとする。
【００５１】
（ステップＳ２０）
組織内端末３００は、パケットをＬＡＮ４００経由で送出する。このとき送出されるパケットには、組織内のメールサーバであるサーバ装置２００のＩＰアドレスが、宛先アドレスとして記載されている。
【００５２】
組織内端末３００から送出されたパケットは、仮想マシン１０の通信部１２により受信される。
【００５３】
（ステップＳ２１）
仮想マシン１０の透過機能部１１は、パケットの宛先のＩＰアドレスを、サーバ装置２００のアドレス（１６０．１４．２３７．６７）から、仮想マシン２０のＬＡＮ側受信用ＩＰアドレス（１７２．１６．２５３．２０２）に書き換える。
なお、このとき、パケットの送信元ＩＰアドレスの書き換えは行わないが、後述するステップＳ２４でのアドレス変換処理のため、送信元のＩＰアドレス（組織内端末３００のアドレス：１６０．１４．１１２．１５７）を、記憶部１４に保持しておく。
【００５４】
そして、仮想マシン１０の通信部１２は、アドレス変換後のパケットを送出する。
仮想マシン１０から送出されたパケットは、仮想マシン２０の通信部２２により受信される。すなわち、組織内端末３００からサーバ装置２００宛に送出されたパケットは、サーバ装置２００に直接転送されずに、仮想マシン２０に転送される。このため、組織内端末３００のユーザーは、フィルタ装置１のフィルタ機能部２１（リレー型のフィルタ装置）の存在を意識することなく、サーバ装置２００宛にメールを送信することができる。
【００５５】
（ステップＳ２２）
フィルタ機能部２１のフィルタ処理部２３は、記憶部２４に保持されたフィルタリング条件にしたがって、メールのフィルタリング処理を行う。この場合、組織内から組織外宛に送信されるメールであるので、例えば、企業内コンプライアンスに適合したメールであるか否か等が、チェック対象となる。そして、フィルタリング結果に基づいて、削除するメール、転送するメールなど、予め設定された事項にしたがってメールを分類する。
【００５６】
（ステップＳ２３）
仮想マシン２０の通信部２２は、フィルタリング後のメールを送信する。このとき送出されるパケットの送信元ＩＰアドレスは、仮想マシン２０のＬＡＮ側送信用アドレス（１７２．１６．２５３．２０１）であり、宛先ＩＰアドレスは、仮想マシン１０のＬＡＮ側ＩＰアドレス（１７２．１６．２５３．２５４）である。なお、仮想マシン２０の通信部２２は、自身からＬＡＮ側に送出するパケットの宛先を常に仮想マシン１０のＬＡＮ側ＩＰアドレスとする設定がなされているものとする。
【００５７】
仮想マシン２０から送出されたパケットは、仮想マシン１０の通信部１２により受信される。
【００５８】
（ステップＳ２４）
仮想マシン１０の透過機能部１１は、受信したパケットの送信元ＩＰアドレスを、仮想マシン２０のＬＡＮ側送信用アドレス（１７２．１６．２５３．２０１）から、このメールの本来の送信元である組織内端末３００のＩＰアドレス（１６０．１４．１１２．１５７）に書き換える。この組織内端末３００のＩＰアドレスは、ステップＳ２１にて記憶部１４に保持しておいたアドレスである。さらに、パケットの宛先のＩＰアドレスを、仮想マシン１０のＬＡＮ側ＩＰアドレス（１７２．１６．２５３．２５４）から、このメールの本来の宛先であるサーバ装置２００のＩＰアドレス（１６０．１４．２３７．６７）に書き換える。
【００５９】
なお、透過機能部１１は、フィルタ機能部２１にてフィルタリング（破棄）されたメール以外のメールのパケットを、アドレス変換の対象とする。
【００６０】
そして、仮想マシン１０の通信部１２は、アドレス変換後のパケットを、ＬＡＮ４００を介してサーバ装置２００へ送出する。
【００６１】
（ステップＳ２５）
サーバ装置２００は、送信元ＩＰアドレスが自身のＩＰアドレス（１６０．１４．２３７．６７）であるパケットを受信する。
【００６２】
なお、図示しないが、サーバ装置２００が受信したパケットは、サーバ装置２００の有するメール配信機能により、宛先の組織外のメールサーバに配信され、その組織外のメールサーバを経由して例えば組織外端末５００等の最終的な宛先に到達する。
【００６３】
以上述べたように、組織内端末３００は、フィルタ装置１が存在しない場合と同様に、サーバ装置２００宛のメールを送信することができる。そして、サーバ装置２００も、フィルタ装置１の存在を意識することなく、組織内端末３００からのメールを受信することができる。
【００６４】
［管理者用ＰＣ−フィルタ機能部間でのＨＴＴＰ通信時の動作］
図５は、管理者用端末７００から、仮想マシン２０に対してＨＴＴＰ通信する場合の動作を説明する図である。具体的には、仮想マシン２０のフィルタ機能部２１のフィルタ管理部２５に対して、管理者用端末７００のＷｅｂアプリケーションを用いてＨＴＴＰ通信によりフィルタリング条件の設定やフィルタリング情報のモニタなどを行う場合に行われる通信を説明する図である。以下、図５に付したステップＳ３０〜Ｓ３５にしたがって、管理者用端末７００から仮想マシン２０に対してＨＴＴＰ通信する場合の動作について説明する。
【００６５】
まず、管理者用端末７００のユーザーが、管理者用端末７００に備えられたＷｅｂアプリケーションを用いて、フィルタ管理部２５に対するＨＴＴＰ通信での要求を行ったものとする。
【００６６】
（ステップＳ３０）
管理者用端末７００は、フィルタ機能部２１宛にパケットを送信する。このパケットには、送信元のＩＰアドレスとして、管理者用端末７００のＩＰアドレス（１６０．１４．１１２．１５７）が記載されている。また、このパケットには、宛先のＩＰアドレスとして、フィルタ機能部２１のＩＰアドレス（１６０．１４．９０．６２）が記載されている。
【００６７】
管理者用端末７００から送出されたパケットは、管理者用端末７００と仮想マシン２０との間に介在する仮想マシン１０の通信部１２により受信される。
【００６８】
（ステップＳ３１）
透過機能部１１は、パケットの宛先のＩＰアドレスを、フィルタ機能部２１のＩＰアドレス（１６０．１４．９０．６２）から、仮想マシン２０のＬＡＮ側送信用ＩＰアドレス（１７２．１６．２５３．２０１）に書き換える。
なお、このとき、パケットの送信元のＩＰアドレスの書き換えは行わないが、後述するステップＳ３４でのアドレス変換処理のため、送信元のＩＰアドレス（管理者用端末７００のアドレス：１６０．１４．１１２．１５７）を、記憶部１４に保持しておく。
【００６９】
そして、仮想マシン１０の通信部１２は、アドレス変換後のパケットを送出する。
仮想マシン１０から送出されたパケットは、仮想マシン２０の通信部２２により受信される。
【００７０】
（ステップＳ３２）
フィルタ機能部２１のフィルタ管理部２５は、受信したＨＴＴＰパケットからの要求に応じた処理を行う。ここでいう処理とは、例えば、フィルタリング条件の設定や、フィルタリング実施に関する情報の取得などである。
【００７１】
（ステップＳ３３）
仮想マシン２０の通信部２２は、受信したＨＴＴＰパケットに対する応答のＨＴＴＰパケットを送信する。このとき送出されるパケットの送信元ＩＰアドレスは、仮想マシン２０のＬＡＮ側送信用アドレス（１７２．１６．２５３．２０１）であり、宛先ＩＰアドレスは、仮想マシン２０がステップＳ３２で受信したパケットの送信元ＩＰアドレスである、管理者用端末７００のアドレス（１６０．１４．１１２．１５７）である。
【００７２】
仮想マシン２０から送出されたＨＴＴＰパケットは、仮想マシン１０の通信部１２により受信される。
【００７３】
（ステップＳ３４）
仮想マシン１０の透過機能部１１は、受信したパケットの送信元ＩＰアドレスを、仮想マシン２０のＬＡＮ側送信用アドレス（１７２．１６．２５３．２０１）から、このＨＴＴＰパケットの本来の送信元であるフィルタ機能部２１のＩＰアドレス（１６０．１４．９０．６２）に書き換える。このフィルタ機能部２１のＩＰアドレスは、ステップＳ３１にて記憶部１４に保持しておいたアドレスである。
【００７４】
そして、仮想マシン１０の通信部１２は、アドレス変換後のパケットを管理者用端末７００へ送出する。
【００７５】
（ステップＳ３５）
管理者用端末７００は、宛先ＩＰアドレスが自身のＩＰアドレス（１６０．１４．１１２．１５７）であるＨＴＴＰパケットを受信する。
すなわち、管理者用端末７００からフィルタ機能部２１宛に送出された要求パケットは、フィルタ機能部２１に転送され、フィルタ機能部２１からの応答パケットは管理者用端末７００へと配信される。このため、管理者用端末７００のユーザーは、直接フィルタリング機能部２１に都度接続するための設定作業をすることなく、フィルタリング機能の設定や、フィルタリング結果の確認を行うことができる。
【００７６】
なお、図５では、ＨＴＴＰ通信を行う場合を例に説明したが、管理者用端末７００と仮想マシン２０との間でＴＣＰ通信あるいはＵＤＰ通信を行う場合であっても、同様にして、透過機能部１１はアドレス変換処理を行うことができ、同様の効果を得ることができる。
【００７７】
［フィルタ装置の導入／撤去について］
既存のシステム（例えば、図１においてフィルタ装置１が存在しない状態のシステム）に、新たにフィルタ装置１を導入する場合には、ユーザーは、透過機能部１１においてアドレス変換に用いる変換前／変換後に対応するアドレスのほか、アドレス変換処理に用いる各種データを記憶部１４に記憶させる。また、ユーザーは、フィルタ機能部２１のフィルタ管理部２５を介してフィルタリング条件等を記憶部２４に記憶させるなど、フィルタ機能部２１の仕様に応じた設定を行う。このようなフィルタ装置１に対する設定を行った後、このフィルタ装置１を、サーバ装置２００の前段にＬＡＮ結線する。このようにすることで、サーバ装置２００等に対しては何らアドレス変更を行うことなく、図３〜図５で示した動作を実行できる。
【００７８】
また、図１のようにフィルタ装置１が導入された状態において、フィルタ装置１を撤去する際には、フィルタ装置１からＬＡＮ結線を取り外すだけでよい。フィルタ装置１を撤去した後においても、サーバ装置２００等に対してアドレス変更を行うことなくメールシステムを運用できる。
【００７９】
このように、フィルタ装置１を導入する際にも撤去する際にも、サーバ装置２００等の既存の設備に対するアドレス変更等の設定は不要である。
【００８０】
以上のように、本実施の形態に係るフィルタ装置１の透過機能部１１は、組織内のサーバ装置２００宛のパケットのアドレス変換を行うことにより仮想マシン２０のフィルタ機能部２１にパケットを転送するとともに、仮想マシン２０から送出されるパケットの宛先アドレスのアドレス変換を行って、本来の宛先であるサーバ装置２００にフィルタリング処理後のパケットを転送する。
これにより、メールの送信側は、フィルタ装置１の存在を意識することなく、サーバ装置２００宛にメールを送信することができる。したがって、組織外端末５００やサーバ装置２００、組織内端末３００は、フィルタ装置１の有無にかかわらず、同じアドレス設定を行った状態でメールの送受信を行うことができる。このため、組織外端末５００やサーバ装置２００、組織内端末３００のアドレス設定等の変更を行うことなく、いわゆるリレー型のフィルタ装置（フィルタ機能部２１）を導入することができる。したがって、フィルタ装置１を導入する際の障壁を低減することができる。
【符号の説明】
【００８１】
１ フィルタ装置
１０ 仮想マシン
１１ 透過機能部
１２ 通信部
１３ アドレス変換部
１４ 記憶部
２０ 仮想マシン
２１ フィルタ機能部
２２ 通信部
２３ フィルタ処理部
２４ 記憶部
２５ フィルタ管理部
３０ 仮想マシンモニタ
１００ メールシステム
２００ サーバ装置
３００ 組織内端末
４００ ＬＡＮ
５００ 組織外端末
６００ ネットワーク
７００ 管理者用端末
８００ ルータ
【特許請求の範囲】
【請求項１】
ネットワークを介して受信した信号をフィルタリングしてサーバに送信するフィルタ装置であって、
設定されたフィルタリングルールに基づいて前記信号を前記サーバに送るか否かを判定し、前記サーバに送るものと判断した信号を送出するリレー型フィルタ手段と、
前記受信した信号に含まれる宛先アドレスを前記リレー型フィルタ手段のアドレスに変換する入力アドレス変換部、前記リレー型フィルタ手段から送出された信号に含まれる宛先アドレスを前記サーバのアドレスに変換する出力アドレス変換部、及び、前記ネットワークを介して信号を受信するとともに前記リレー型フィルタ手段との間で信号を送受信する通信部を有するパケット透過手段と、を備えた
ことを特徴とするフィルタ装置。
【請求項２】
前記リレー型フィルタ手段及び前記パケット透過手段は、前記フィルタ装置内で稼働する仮想マシンにより実現される
ことを特徴とする請求項１記載のフィルタ装置。
【請求項１】
ネットワークを介して受信した信号をフィルタリングしてサーバに送信するフィルタ装置であって、
設定されたフィルタリングルールに基づいて前記信号を前記サーバに送るか否かを判定し、前記サーバに送るものと判断した信号を送出するリレー型フィルタ手段と、
前記受信した信号に含まれる宛先アドレスを前記リレー型フィルタ手段のアドレスに変換する入力アドレス変換部、前記リレー型フィルタ手段から送出された信号に含まれる宛先アドレスを前記サーバのアドレスに変換する出力アドレス変換部、及び、前記ネットワークを介して信号を受信するとともに前記リレー型フィルタ手段との間で信号を送受信する通信部を有するパケット透過手段と、を備えた
ことを特徴とするフィルタ装置。
【請求項２】
前記リレー型フィルタ手段及び前記パケット透過手段は、前記フィルタ装置内で稼働する仮想マシンにより実現される
ことを特徴とする請求項１記載のフィルタ装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図２】
【図３】
【図４】
【図５】
【公開番号】特開２０１２−１６０９６４（Ｐ２０１２−１６０９６４Ａ）
【公開日】平成２４年８月２３日（２０１２．８．２３）
【国際特許分類】
【出願番号】特願２０１１−２００６７（Ｐ２０１１−２００６７）
【出願日】平成２３年２月１日（２０１１．２．１）
【出願人】（５９１０５７２５６）株式会社エクサ (36)
【Ｆターム（参考）】
【公開日】平成２４年８月２３日（２０１２．８．２３）
【国際特許分類】
【出願日】平成２３年２月１日（２０１１．２．１）
【出願人】（５９１０５７２５６）株式会社エクサ (36)
【Ｆターム（参考）】
[ Back to top ]