中継装置、およびプログラム
【課題】ＤＨＣＰサーバ装置に処理負荷が集中することを回避しつつ各端末装置へ割り当てる通信アドレスの一括管理が可能で、さらに、端末装置の状態に応じたアクセス先制限を併用することが可能な通信アドレス割り当て技術を提供する。
【解決手段】 ＤＨＣＰサーバ装置に、セグメントを跨ぐ通信を許可する端末装置に割り当てる第１のアドレスと、同通信を許可しない端末装置に割り当てる第２のアドレスとを記憶させておく。一方、ＤＨＣＰサーバ装置と端末装置との通信を仲介する中継装置には、上記通信を許可する端末装置が満たすべき条件を記憶させておく。そして、通信アドレスの割り当て要求の受信を契機として、その送信元が上記条件を満たすか否かを判定し、満たす場合には第１のアドレスを、満たさない場合には第２のアドレスの割り当てを指示する指示子を付与して転送する処理を上記中継装置に実行させる。
【解決手段】 ＤＨＣＰサーバ装置に、セグメントを跨ぐ通信を許可する端末装置に割り当てる第１のアドレスと、同通信を許可しない端末装置に割り当てる第２のアドレスとを記憶させておく。一方、ＤＨＣＰサーバ装置と端末装置との通信を仲介する中継装置には、上記通信を許可する端末装置が満たすべき条件を記憶させておく。そして、通信アドレスの割り当て要求の受信を契機として、その送信元が上記条件を満たすか否かを判定し、満たす場合には第１のアドレスを、満たさない場合には第２のアドレスの割り当てを指示する指示子を付与して転送する処理を上記中継装置に実行させる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信システムに含まれる端末装置への通信アドレスの割り当てを支援する技術に関する。
【背景技術】
【０００２】
通信網を介したデータ通信では、ＩＰ（Internet Protocol）アドレスなどの通信アドレスを用いてデータの送信元や送信先が特定される。このため、通信システムに含まれる各端末装置には、互いに異なる通信アドレスを割り当てておく必要がある。このような通信アドレスの割り当ては、ネットワーク管理者等が手作業で行うこと（具体的には、互いに異なる通信アドレスを各端末装置に入力し記憶させるなど）もあるが、ＤＨＣＰ（Dynamic Host Configuration Protocol）を利用して自動的に行うようにすることが一般的である。
【０００３】
ＤＨＣＰを利用した通信システムでは、ＤＨＣＰサーバ装置と呼ばれるコンピュータ装置を設け、各端末装置へ割り当てる（貸し出す）通信アドレスの集合（以下、通信アドレス群）をそのＤＨＣＰサーバ装置に予め記憶させておく。そして、端末装置とＤＨＣＰサーバ装置とに、図７（Ａ）に示すシーケンスの通信を行わせることで通信アドレスの割り当てが実現される。端末装置は、電源の投入等を契機として通信アドレスの割り当てを要求する旨の通信メッセージ（ＩＰリース要求メッセージ（DHCPDISCOVER）：同メッセージのメッセージ構造については図８参照）をブロードキャストする。ＤＨＣＰサーバ装置は、当該ＩＰリース要求メッセージを受信したことを契機として、自装置に登録されている通信アドレス群のうちから未使用の通信アドレス（他の端末装置に割り当てられていない通信アドレス：以下、未使用アドレス）を選択する。そして、ＤＨＣＰサーバ装置は、当該選択した未使用アドレスを上記ＩＰリース要求メッセージの送信元へ提示するために、ＩＰリース提示メッセージ（DHCPOFFER）の所定フィールドに書き込んで返信する。
【０００４】
上記端末装置は、当該ＩＰリース提示メッセージを受信すると、そのＩＰリース提示メッセージにより提示された通信アドレスの割り当てを受け入れる旨を通知するために、ＩＰリース選択メッセージ（DCHPREQUEST）を返信する。このＩＰリース選択メッセージを受信したＤＨＣＰサーバ装置は、上記ＩＰリース提示メッセージにより提示した通信アドレスとその貸し出し期間を示すデータ（リース期間オプション値）を書き込んだＩＰリース確認通知メッセージ（DHCPACK）を返信する。上記端末装置は上記ＩＰリース確認通知メッセージを受信すると、同メッセージに書き込まれている通信アドレスを自装置に対して割り当てられたものとして記憶し、同メッセージに書き込まれているリース期間オプションの示す期間が経過するまで、その通信アドレスを用いてデータ通信を行うことができるのである。
以上がＤＨＣＰを利用した通信アドレスの割り当ての概要である。なお、ＤＨＣＰの詳細については、非特許文献１を参照されたい。
【０００５】
このようにＤＨＣＰによる通信アドレスの割り当ては、ＩＰリース要求メッセージのブロードキャストにより開始されるのであるが、ブロードキャストメッセージはルータ等の中継装置を超えて他のセグメントに転送されることはない。したがって、通信システムが複数のセグメントで構成されている場合（例えば、図７（Ｂ）に示すように各セグメントをルータ等の中継装置（図示略）を介してインターネットなどの広域網に接続して通信システムが構成されている場合）には、各セグメントに１台ずつＤＨＣＰサーバ装置を設け、セグメント毎に通信アドレスの割り当てを行う必要がある。しかし、セグメント毎に通信アドレスの割り当てを行う態様では、通信システム全体での通信アドレス群の管理が難しくなり、各セグメントにて端末装置に割り当てる通信アドレス群の一部が重複するといった不具合が発生する場合がある。
【０００６】
ＩＰリース要求メッセージがブロードキャストされるものであることに起因した不具合を解決するための技術の一例としてはＤＨＣＰリレーエージェントが挙げられる。ＤＨＣＰリレーエージェントを利用した通信システムでは、図７（Ｃ）に示すように、複数のセグメントのうちの何れか１つにＤＨＣＰサーバ装置を設けておき、他のセグメントにはＤＨＣＰリレーエージェントと呼ばれるコンピュータ装置を設けておく。なお、一般的には、前述した中継装置がＤＨＣＰリレーエージェントの役割を兼ねることが多い。よって、以下では、広域網と各セグメントとを接続する中継装置がＤＨＣＰリレーエージェントの役割を兼ねている場合について説明する。
【０００７】
ＤＨＣＰリレーエージェントとして機能する中継装置は、配下のセグメントに属する端末装置によってブロードキャストされたＩＰリース要求メッセージを受信すると、ＤＨＣＰサーバ装置宛のユニキャストメッセージに変換し、さらにその所定フィールド（図８のgiaddrフィールド）に当該中継装置の通信アドレスを書き込んでＤＨＣＰサーバ装置に転送する。ＤＨＣＰサーバ装置には、各ＤＨＣＰリレーエージェントが接続されているセグメントに属する端末装置に割り当てる通信アドレス群が登録されている。ＤＨＣＰサーバ装置は、このＩＰリース要求メッセージを受信すると、上記通信アドレス群のうちから未使用アドレスを１つ選択し、この未使用アドレスを書き込んだＩＰリース提示メッセージをＤＨＣＰリレーエージェントに返信する。そして、ＤＨＣＰリレーエージェントは、このＩＰリース提示メッセージを上記ＩＰリース要求メッセージの送信元である端末装置に転送するのである。以降、ＩＰリース選択メッセージおよびＩＰリース確認通知メッセージについてもＤＨＣＰエージェントによって転送制御が為され、端末装置への通信アドレスの割り当てが完了するのである。このように、ＤＨＣＰリレーエージェントを用いた通信システムでは、端末装置に割り当てる通信アドレス群を１台のＤＨＣＰサーバ装置で一括管理することができるため、各セグメントにて端末装置に割り当てる通信アドレス群の一部が重複するなど不具合が生じ難くなる。
【先行技術文献】
【非特許文献】
【０００８】
【非特許文献１】“ＲＦＣ２１３１「Dynamic Host Configuration Protocol」”、インターネット、＜http://www.rtpo.yamaha.co.jp/RT/docs/dhcp-auth/index.html＞
【非特許文献２】“ＤＨＣＰ認証機能”、インターネット、＜http://www.rtpo.yamaha.co.jp/RT/docs/dhcp-auth/index.html＞
【非特許文献３】“ＱＡＣ機能”、インターネット、＜http://jp.trendmicro.com/jp/products/sbYAMAHA/detail＞
【発明の概要】
【発明が解決しようとする課題】
【０００９】
ところで、近年では機密漏えいに対する関心の高まりから、端末装置に対して何らかのアクセス先制限を設けることが多い。例えば、予め登録された端末装置についてのみ、セグメントを跨ぐ通信（例えば、広域網に接続されているＷＷＷサーバ装置との通信や他のセグメントに属する端末装置との通信）を許可し、登録されていない端末装置にはセグメントを跨ぐ通信を許可しないといった具合である。このようなアクセス先制限を実現する技術としては、非特許文献２に開示されたＤＨＣＰ認証や、非特許文献３に開示されたＱＡＣ（Qualified Access Control）が挙げられる。
【００１０】
ＤＨＣＰ認証では、セグメントを跨ぐ通信の実行を許可する端末装置を一意に識別する端末識別子（例えば、ＭＡＣ（Media Access Control）アドレス等）を予めＤＨＣＰサーバ装置に登録しておくとともに、上記セグメントを跨ぐ通信を許可する端末装置に割り当てる通信アドレスの集合（第１の通信アドレス群）とその他の端末装置に割り当てる通信アドレスの集合（第２の通信アドレス群）とを両者が重複しないように上記ＤＨＣＰサーバ装置に記憶させておく。そして、上記ＤＨＣＰサーバ装置は、ＩＰリース要求メッセージを受信した場合には、その送信元のＭＡＣアドレスを参照してその送信元に対してセグメントを跨ぐ通信の実行が許可されているか否かを判定し、その判定結果に応じて上記第１または第２の通信アドレス群の何れかから未使用アドレスを選択し、返信するのである。そして、各セグメントを広域網に接続する中継装置には、配下のセグメントから受信したパケットの送信元アドレスが上記第１の通信アドレス群に属するものである場合にのみその転送を行わせる（第２の通信アドレス群に属するものである場合には当該パケットを破棄させる）ことで、上記アクセス制限が実現されるのである。一方、ＱＡＣは、端末装置にインストールされている検疫ソフトウェア（例えば、ウィルスチェックソフトウェア）の種類等によってアクセス先制限を実現する技術である。例えば、所定の検疫ソフトウェアがインストールされている端末装置には上記第１の通信アドレス群に属する通信アドレスを割り当て、所定の検疫ソフトウェアがインストールされていない端末装置には、上記第２の通信アドレス群に属する通信アドレスを割り当てるといった具合である。
【００１１】
さて、ここで問題となるのは、上述したＤＨＣＰ認証やＱＡＣとＤＨＣＰリレーエージェントとは親和性が低く、併用が難しいという点である。例えばＤＨＣＰ認証とＤＨＣＰリレーエージェントとを併用する場合、セグメントを跨ぐ通信の実行を許可する端末装置の端末識別子をＤＨＣＰサーバ装置に予め登録しておく必要がある。このような端末識別子の登録はネットワーク管理者等が手動で行うことが一般的であるため、当該ネットワーク管理者は、システムに含まれる端末装置の数が変化するたびにＤＨＣＰサーバ装置の元へ出向いて新たな端末識別子の登録を行わねばならす、非常に煩わしい作業を強いられることとなる。また、ＤＨＣＰ認証（或いはＱＡＣ）とＤＨＣＰリレーエージェントとを併用する場合、各端末装置についてセグメントを跨ぐ通信の実行が許可されているか否かの判定をＤＨＣＰサーバ装置が行うことになるが、このような態様ではＤＨＣＰサーバ装置にかかる処理負荷が過剰に高くなる虞がある。
【００１２】
本発明は上記課題に鑑みて為されたものであり、端末装置への通信アドレスの割り当て処理にてＤＨＣＰサーバ装置に処理負荷が集中することを回避しつつ、各端末装置へ割り当てる通信アドレスの一括管理が可能で、かつ、端末装置の状態に応じたアクセス先制限を併用することを可能にする技術を提供することを目的とする。
【課題を解決するための手段】
【００１３】
上記課題を解決するために本発明は、セグメントを跨ぐ通信の実行を許可されている端末装置に割り当てる第１の通信アドレス群とセグメントを跨ぐ通信の実行を許可されていない端末装置に割り当てる第２の通信アドレス群とを記憶し端末装置からの要求に応じて何れかの通信アドレスを貸し出すＤＨＣＰサーバ装置と、配下のセグメントに属する端末装置との間の通信を中継する中継装置において、端末装置が前記第１の通信アドレス群に属する通信アドレスの割り当てを受けるための条件を示す条件データが書き込まれた条件テーブルと、通信アドレスの貸し出しを要求する旨の通信メッセージであるリース要求メッセージを端末装置から受信したことを契機として、当該端末装置の状態が前記条件を満たすか否かを判定し、満たすと判定した場合には前記第１の通信アドレス群に属する通信アドレスの貸し出しを指示する旨の指示子を付与して前記リース要求メッセージを前記ＤＨＣＰサーバ装置へ転送し、満たさないと判定した場合には前記第２の通信アドレス群に属する通信アドレスの貸し出しを指示する旨の指示子を付与して前記リース要求メッセージを前記ＤＨＣＰサーバ装置へ転送するリース要求メッセージ転送手段と、前記リース要求メッセージの送信元に貸し出す通信アドレスとその貸し出し期間を示すリース期間データとを含む通信メッセージであるリース確認通知メッセージを前記ＤＨＣＰサーバ装置から受信し、当該リース確認通知メッセージを前記ＩＰリース要求メッセージの送信元へ転送するリース確認通知メッセージ転送手段とを有することを特徴とする中継装置、およびコンピュータを上記各手段として機能させることを特徴とするプログラムを提供する。なお、このようなプログラムを提供する際の具体的な態様としては、ＣＤ−ＲＯＭ（Compact Disk-Read Only Memory）などのコンピュータ読み取り可能な記録媒体に当該プログラムを書き込んで配布する態様や、インターネットなどの電気通信回線経由のダウンロードにより配布する態様が考えられる。
【００１４】
複数のセグメントからなる通信システム（例えば、複数のセグメントの各々を広域網に接続してなる通信システム等）にて何れか１つのセグメントにＤＨＣＰサーバ装置を設け、各セグメントに１台ずつ上記中継装置を設けておけば、以下の要領で端末装置に対する通信アドレスの割り当てが行われる。すなわち、上記通信システムにおいて、何れかのセグメントに接続された端末装置は、通信アドレスの割り当てを受けるためにリース要求メッセージ（より具体的には、ＩＰリース要求メッセージ）を当該セグメント内にブロードキャストする。当該セグメントに設けられている上記中継装置は、このリース要求メッセージを受信すると、この端末装置に対してセグメントを跨ぐ通信の実行が許可されているか否かを当該端末装置の状態に基づいて判定し、その判定結果に応じた指示子を付与して当該リース要求メッセージをＤＨＣＰサーバ装置へ転送する。
【００１５】
ここで、セグメントを跨ぐ通信の実行が許可されているか否かの判定基準は、リース要求メッセージの送信元の端末状態が上記条件データの示す条件を満たすか否かである。かかる条件の一例としては、予め登録された端末装置（例えば、予め登録された端末識別子に一致する端末識別子を有する端末装置）であること、或いは特定の検疫ソフトウェアがインストールされているなど特定の状態の端末装置であること等が考えられる。なお、端末装置の状態を示す端末状態データについては、上記中継装置に予め記憶させておいても良いし、リース要求メッセージの未使用フィールドに書き込んで上記端末装置に送信させるようにしても良い。
【００１６】
上記中継装置から転送されてくるリース要求メッセージを受信したＤＨＣＰサーバ装置は、そのリース要求メッセージに付与されている指示子にしたがって第１または第２の通信アドレス群の何れかから未使用アドレスを選択し、その未使用アドレスを書き込んだリース提示メッセージを返信する。以降、前述した従来のＤＨＣＰにおけるものと同様の通信を行うことによって、端末装置への通信アドレスの割り当てが完了する。具体的には、上記リース提示メッセージは上記中継装置によって、リース要求メッセージの送信元である端末装置へ転送され、上記端末装置は当該リース提示メッセージにより提示された通信アドレスの割り当てを受け入れる場合には、その旨を通知するリース選択メッセージ（例えば、ＩＰリース選択メッセージ）を返信する。このリース選択メッセージは上記中継装置によってＤＨＣＰサーバ装置へ転送され、ＤＨＣＰサーバ装置は当該リース選択メッセージを受信すると、その送信元に対して提示した通信アドレスとその貸し出し期間を示すリース期間オプション値とを書き込んだリース確認通知メッセージを返信する。このリース確認通知メッセージは上記中継装置によって上記端末装置へ転送され、上記端末装置は、同メッセージに書き込まれている通信アドレスを自装置に対して割り当てられたものとして記憶し、同メッセージに書き込まれているリース期間オプション値の示す期間の間、その通信アドレスを使用してデータ通信を行うことができるのである。
【００１７】
このように、上記通信システムでは、リース要求メッセージの送信元の端末装置についてセグメントを跨ぐ通信を許可するか否かの判定は上記中継装置で行われるため、ＤＨＣＰサーバ装置に負荷が集中することはない。また、上記通信システムにおいては端末装置へ割り当てる第１および第２の通信アドレス群をＤＨＣＰサーバ装置で一括管理することができる。加えて、上記通信システムでは、上記条件を示すデータや端末状態データについては上記判定を行う各中継装置に記憶させておけば良く、これらのデータの登録のために逐一ＤＨＣＰサーバ装置の元に出向く必要はない。そして、上記条件として、「予め登録された端末装置であること」を採用すれば、前述したＤＨＣＰ認証を実現することができ、「特定の検疫ソフトウェアがインストールされていること」を採用すれば、前述したＱＡＣを実現することができる。
【００１８】
より好ましい態様においては、端末装置の状態を示す端末状態データが書き込まれる端末状態テーブルを上記中継装置に設け、前記リース要求メッセージ転送手段には、前記リース要求メッセージの送信元についての端末状態データが前記端末状態テーブルに格納されていない場合には、前記第２の通信アドレスの貸し出しを指示する旨の指示子を付与して前記受信したリース要求メッセージを転送する一方、該当する端末状態データが前記端末状態テーブルに格納されている場合には、当該端末状態データを参照して前記条件を満たすか否かを判定し、その判定結果に応じた指示子を付与して前記受信したリース要求メッセージを転送する処理を実行させ、前記リース確認通知メッセージ転送手段には、前記リース期間データをより短い貸し出し期間を示すものに書き換えて前記リース確認通知メッセージを転送する処理を実行させることが考えられる。
【００１９】
このような中継装置によれば、端末状態データが端末状態テーブルに格納されていない端末装置（例えば、新たにセグメントに接続された端末装置）に対しては、常に、第２の通信アドレス群に属する通信アドレスが割り当てられ、そのリース期間も端末状態データが端末状態テーブルに格納されている端末装置についてのものより短く設定される。つまり、端末状態データが登録されていない端末装置に対しては、短期間だけセグメントを跨がない範囲で暫定的に通信の実行が許可されるのである。このように、端末状態データが端末状態テーブルに格納されていない端末装置に対しては、セグメントを跨ぐ通信の実行は許可されず、通信を実行可能な期間も短いといった制約が課されため、これらの制約に基づく不便さを上記端末装置の利用者に感じさせ、端末状態の登録を促すことができる。
【００２０】
さらに好ましい態様においては、上記中継装置のリース確認通知メッセージ転送手段には、前記端末状態テーブルに端末状態データが格納されていない端末装置宛てのリース確認通知メッセージを受信した場合には、当該リース確認通知メッセージに含まれている通信アドレスを記憶した後にその転送を行わせ、前記記憶した通信アドレスを宛先として、当該宛先に対して端末状態データの送信を指示し、当該宛先から返信されてくる端末状態データを前記端末状態テーブルに書き込む端末状態収集手段を上記中継装置に設けることが考えられる。このような態様によれば、端末状態データが端末状態テーブルに格納されていない端末装置に対する通信アドレスの割り当て制御を行ったことを契機として、その端末装置から端末状態データを取得し、以後、当該端末装置に対して通信アドレスの割り当てを行う際には、その端末状態に応じた種類の通信アドレスを割り当てることが可能になる。
【図面の簡単な説明】
【００２１】
【図１】本発明の一実施形態に係る中継装置を含む通信システム１の構成例を示すブロック図である。
【図２】同通信システム１に含まれる中継装置３０の構成例を示すブロック図である。
【図３】同中継装置３０の配下に形成されるプライマリネットワークおよびセカンダリネットワークを説明するための図である。
【図４】同通信システム１のＤＨＣＰサーバ装置６０における通信アドレスの格納態様の一例を示す図である。
【図５】同中継装置３０の制御部３１０が実行するリース要求メッセージ転送処理およびリース確認通知メッセージ転送処理の流れを示すフローチャートである。
【図６】同通信システム１に含まれる各装置が実行する処理の流れ、および装置間で送受信される通信メッセージのシーケンスを示す図である。
【図７】ＤＨＣＰを説明するための図である。
【図８】ＤＨＣＰサーバ装置と端末装置との間で送受信される通信メッセージのメッセージ構造の一例を示す図である。
【発明を実施するための形態】
【００２２】
以下、図面を参照しつつ本発明の実施形態について説明する。
（Ａ：構成）
図１は、本発明の一実施形態に係る中継装置を含む通信システム１の構成例を示す図である。図１の通信システム１は、例えば企業内に敷設された社内情報システムである。この通信システム１は、同企業の各拠点に敷設された拠点内ＬＡＮ（Local Area Network）１０Ａ、１０Ｂ、１０Ｃ、および同企業の情報処理センタに敷設されたセンタ側ＬＡＮ２０の各々を、中継装置３０Ａ、３０Ｂ、３０Ｃおよび３０Ｄによりインターネットなどの広域網４０に接続して構成されている。つまり、図１に示す通信システム１では、拠点内ＬＡＮ１０Ａ、１０Ｂ、１０Ｃ、およびセンタ側ＬＡＮ２０の各々が当該システムを構成するセグメントとなるのである。以下では、拠点内ＬＡＮ１０Ａにより形成されるセグメントを「セグメントＡ」、拠点内ＬＡＮ１０Ｂにより形成されるセグメントを「セグメントＢ」、拠点内ＬＡＮ１０Ｃにより形成されるセグメントを「セグメントＣ」と呼ぶ。また、以下では、上記３つの拠点内ＬＡＮの各々を区別する必要がない場合には「拠点内ＬＡＮ１０」と表記し、上記４つの中継装置の各々を区別する必要がない場合には「中継装置３０」と表記する。
【００２３】
拠点内ＬＡＮ１０には、その拠点内ＬＡＮが敷設されている拠点に勤務する従業者等の使用する端末装置（例えば、パーソナルコンピュータ等）が接続される。例えば、図１に示す例では、拠点内ＬＡＮ１０Ａには端末装置５０Ａが、拠点内ＬＡＮ１０Ｂには端末装置５０Ｂが、拠点内ＬＡＮ１０Ｃには端末装置５０Ｃが接続されている。以下、これら３台の端末装置の各々を区別する必要がない場合には、「端末装置５０」と表記する。図１では、各拠点内ＬＡＮ１０に端末装置５０が一台ずつ接続されている場合について例示されているが、各拠点内ＬＡＮ１０に複数台の端末装置５０を接続しても勿論良い。
【００２４】
端末装置５０は、他の装置（例えば、他の端末装置５０や広域網４０に接続されているＷＷＷサーバ装置）との間で所定の通信プロトコル（本実施形態では、ＴＣＰ／ＩＰ）にしたがったデータ通信を行い、電子メールの送受信サービスやＷｅｂページの閲覧サービスなどを利用者に提供するためのものである。このようなデータ通信を行うには、通信アドレス（ＩＰアドレス）が端末装置５０に割り当てられている必要があり、この通信アドレスの割り当てはセンタ側ＬＡＮ２０に接続されているＤＨＣＰサーバ装置６０によって行われる。図１の中継装置３０は、例えばルータであり、その接続先のセグメント（以下、配下のセグメント）から広域網４０へ向けて送信されるＩＰパケット（或いは、広域網４０から配下のセグメントへ向けて送信されるＩＰパケット）の中継を行う。また、中継装置３０は、前述したＤＨＣＰリレーエージェントとしても機能し、通信アドレスの割り当ての際に端末装置５０とＤＨＣＰサーバ装置６０との間で送受信される通信メッセージ（前述したＩＰリース要求メッセージ等）の中継も行う。
【００２５】
加えて、図１の中継装置３０は、ＤＨＣＰ認証（非特許文献２参照）とＱＡＣ（非特許文献３参照）と同様なアクセス先制限を実現するように構成されており、この点に本実施形態の特徴がある。本実施形態にて端末装置５０の各々に割り当てられる通信アドレスは「プライマリアドレス」と「セカンダリアドレス」の二種類に分類される。プライマリアドレスは、セグメントを跨ぐ通信（例えば、広域網４０に接続されているＷＷＷサーバ装置との通信）の実行を許可する端末装置に割り当てる通信アドレスであり、セカンダアドレスは、同通信の実行を許可しない端末装置５０に割り当てる通信アドレスである。図１の中継装置３０は、ＩＰリース要求メッセージを受信したことを契機として、その送信元に対してセグメントを跨ぐ通信の実行が許可されているか否かを判定する。具体的には、中継装置３０は、ＩＰリース要求メッセージの送信元の端末装置の状態（本実施形態では、端末装置５０に検疫ソフトウェアがインストールされているか否か等）を条件として上記判定を行い、その判定結果に応じた通信アドレスの割り当てをＤＨＣＰサーバ装置６０に指示する。そして、前述したＩＰパケットの転送制御の際には、中継装置３０は、配下の拠点内ＬＡＮ１０から送信されてきたＩＰパケットの送信元アドレスがセカンダリアドレスである場合には当該ＩＰパケットを破棄する。これによりアクセス制限が実現されるのである。
以下、本実施形態の特徴を顕著に示す中継装置３０を中心に説明する。
【００２６】
図２は、中継装置３０の構成例を示すブロック図である。
図２に示すように中継装置３０は、制御部３１０、第１通信インタフェース（以下、「Ｉ／Ｆ」）部３３０、第２通信Ｉ／Ｆ部３４０、記憶部３５０、および、これら構成要素間のデータ授受を仲介するバス３６０を含んでいる。
【００２７】
制御部３１０は、ＣＰＵ（Central Processing Unit）である。制御部３１０は、記憶部３５０（より正確には、不揮発性記憶部３５４）に格納されている通信制御プログラム３５４ｄを実行することにより、中継装置３０の制御中枢として機能する。この通信制御プログラム３５４ｄにしたがって制御部３１０が実行する処理の内容については後に明らかにする。
【００２８】
第１通信Ｉ／Ｆ部３３０は、ＮＩＣ（Network Interface Card）であり、図１の広域網４０に接続されている。第１通信Ｉ／Ｆ部３３０は、広域網４０から送信されてくるデータを受信して制御部３１０へ引渡す一方、制御部３１０から引渡されるデータを広域網４０へと送出する。第２通信Ｉ／Ｆ部３４０も第１通信Ｉ／Ｆ部３３０と同様にＮＩＣであり、広域網４０とは異なる通信網に接続されている。より詳細に説明すると、中継装置３０Ａの第２通信Ｉ／Ｆ部３４０は拠点内ＬＡＮ１０Ａに、中継装置３０Ｂの第２通信Ｉ／Ｆ部３４０は拠点内ＬＡＮ１０Ｂに、中継装置３０Ｃの第２通信Ｉ／Ｆ部３４０は拠点内ＬＡＮ１０Ｃに、中継装置３０Ｄの第２通信Ｉ／Ｆ部３４０はセンタ側ＬＡＮ２０に、各々接続されている。第２通信Ｉ／Ｆ部３４０は、各々の接続先通信網から受信したデータを制御部３１０に引渡す一方、制御部３１０から引渡されるデータを各々の接続先通信網へと送出する。
【００２９】
記憶部３５０は、図２に示すように揮発性記憶部３５２と不揮発性記憶部３５４を含んでいる。揮発性記憶部３５２は、例えばＲＡＭ（Random Access Memory）であり、各種プログラムを実行する際のワークエリアとして制御部３１０によって利用される。一方、不揮発性記憶部３５４は、ハードディスクやフラッシュメモリである。不揮発性記憶部３５４には、中継装置３０の特徴を顕著に示す処理を制御部３１０に実行させるための各種データやプログラムが格納されている。
【００３０】
不揮発性記憶部３５４に格納されているデータの一例としては、図２に示すネットワーク識別子３５４ａ、条件テーブル３５４ｂ、および端末状態テーブル３５４ｃが挙げられる。不揮発性記憶部３５４には、ネットワーク識別子３５４ａや条件テーブル３５４ｂ、端末状態テーブル３５４ｃの他に、ＩＰパケットの転送制御に使用するデータ（所謂ルーティングテーブル：図示略）やＤＨＣＰサーバ装置６０の通信アドレスも格納されているが、これらデータ（図２にて図示を省略したデータ）については既存のルータやＤＨＣＰリレーエージェントに記憶されているものと何ら変るところはないため説明を省略する。
【００３１】
ネットワーク識別子３５４ａは、中継装置３０の配下のセグメントに接続される端末装置により形成される論理ネットワークを一意に識別するための識別子である。前述したように拠点内ＬＡＮ１０には複数の端末装置が接続され得るのであるが、各端末装置に割り当てられる通信アドレスはプライマリアドレスとセカンダリアドレスの何れかである。このため、上記複数の端末装置の各々はプライマリアドレスを割り当てられているものと、セカンダリアドレスを割り当てられているものとに分類され、前者のグループにより「プライマリネットワーク」が形成され、後者のグループにより「セカンダリネットワーク」が形成される（図３参照）。このプライマリネットワークとセカンダリネットワークが上記論理ネットワークである。不揮発性記憶部３５４には、プライマリネットワークを一意に示すものと、セカンダリネットワークを一意に示すものの２種類のネットワーク識別子３５４ａが格納されている。本実施形態では、ネットワーク識別子３５４ａとして所謂ネットワークアドレスが用いられている。ここで、ネットワークアドレスとは、そのネットワークアドレスにより識別子される論理ネットワークに属する端末装置５０の通信アドレスのうち、サブネットマスクによりマスクされる部分に相当するものである。
【００３２】
例えば、図４に示すように、拠点内ＬＡＮ１０Ａに接続される端末装置（すなわち、セグメントＡに属する端末装置）のうちプライマリネットワークに属するものに割り当てられる通信アドレス群として「１９２．１６８．１．１〜１９２．１６８．１．５０」がＤＨＣＰサーバ装置６０に登録されているとする。同様に、同セカンダリネットワークに属するものに割り当てられる通信アドレス群として「１９２．１６８．２．１〜１９２．１６８．２．５０」がＤＨＣＰサーバ装置６０に登録されているとする。この場合、サブネットマスクが「２５５．２５５．２５５．０」であれば、上記プライマリネットワークを示すネットワーク識別子３５４ａとして「１９２．１６８．１．０」が中継装置３０Ａの不揮発性記憶部３５４に格納されており、同セカンダリネットワークを示すネットワーク識別子３５４ａとして「１９２．１６８．２．０」が同不揮発性記憶部３５４に格納されている。詳細については後述するが、これらネットワーク識別子は、端末装置５０に対してプライマリアドレスとセカンダリアドレスの何れを割り当てる（貸し出す）のかをＤＨＣＰサーバ装置６０に指示する際に利用される。
【００３３】
条件テーブル３５４ｂには、セグメントを跨ぐ通信の実行を許可する端末装置が備えるべき条件を示すデータ（以下、条件データ）が格納されている。この条件テーブル３５４ｂに格納される条件データの一例としては、セグメントを跨ぐ通信の実行を許可する端末装置の端末識別子のリストや、同端末装置にインストールされているべき検疫ソフトウェアの種類（製品名称やバージョン）を示すデータ、同検疫ソフトウェアの実行の際に参照されるパターンファイルを示すデータ（パターンファイルの名称やバージョンを示すデータ）などが挙げられる。一方、端末状態テーブル３５４ｃには、中継装置３０を介してＤＨＣＰサーバ装置６０による通信アドレスの割り当てを受けた端末装置の状態（端末識別子および検疫ソフトウェアのインストールの有無、さらに、検疫ソフトウェアがインストールされている場合にはその種類とパターンファイルの種類、など）を示す端末状態データが格納される。
【００３４】
次いで、不揮発性記憶部３５４に格納されているプログラムについて説明する。
不揮発性記憶部３５４に格納されているプログラムの一例としては、図２に示す通信制御プログラム３５４ｄが挙げられる。この通信制御プログラム３５４ｄにしたがって制御部３１０が実行する処理の一例としては、図５（Ａ）に示すリース要求メッセージ転送処理と同図５（Ｂ）に示すリース確認通知メッセージ転送処理が挙げられる。図５（Ａ）に示すリース要求メッセージ転送処理は、端末装置５０からブロードキャストされるＩＰリース要求メッセージをＤＨＣＰサーバ装置６０へ転送する際に実行される処理である。一方、図５（Ｂ）に示すリース確認通知メッセージ転送処理は、上記ＩＰリース要求メッセージの送信元へ宛ててＤＨＣＰサーバ装置６０から送信されるＩＰリース確認通知メッセージを転送する際に実行される処理である。これら各処理の詳細については重複を避けるために動作例にて明らかにする。なお、ＩＰリース提示メッセージおよびＩＰリース選択メッセージの転送の際に制御部３１０が実行する処理については、周知のＤＨＣＰリレーエージェントが実行する処理と同一であるため説明を省略する。このように本実施形態の中継装置３０の構成は一般的なコンピュータ装置の構成と同一であり、本実施形態の特徴を顕著に示すアドレス割り当て制御処理はソフトウェアにより実現されている。
以上が中継装置３０の構成である。
【００３５】
（Ｂ：動作）
以下、端末装置５０Ａを初めて拠点内ＬＡＮ１０Ａに接続する場合を例にとって本実施形態の動作を説明する。端末装置５０Ａは、初めて拠点内ＬＡＮ１０Ａに接続されるのであるから、以下に説明する動作の開始時点では中継装置３０Ａの端末状態テーブル３５４ｃには、端末装置５０Ａについての端末状態データは格納されていない。
【００３６】
端末装置５０Ａの利用者がＬＡＮケーブルなどを用いてその端末装置５０Ａを拠点内ＬＡＮ１０Ａに接続しその電源（図示省略）を投入すると、端末装置５０Ａの制御部（図示略）は、ＩＰリース要求メッセージを拠点内ＬＡＮ１０Ａにブロードキャストする（図６参照）。このように拠点内ＬＡＮ１０Ａ内にブロードキャストされたＩＰリース要求メッセージは、その拠点内ＬＡＮ１０Ａ内にＤＨＣＰサーバ装置があればそのサーバ装置によって、同サーバ装置が無ければＤＨＣＰリレーエージェントによって処理される。本実施形態では、拠点内ＬＡＮ１０Ａには、ＤＨＣＰリレーエージェントの役割を果たす中継装置３０Ａが接続されているため、上記ＩＰリース要求メッセージは中継装置３０Ａによって受信され、その処理が行われる。すなわち、中継装置３０Ａの制御部３１０は、上記ＩＰリース要求メッセージの受信を契機として、リース要求メッセージ転送処理（図５（Ａ）参照）を実行する（図６：ステップＳＡ０１）。
【００３７】
図５（Ａ）は、制御部３１０が通信制御プログラム３５４ｄにしたがって実行するリース要求メッセージ転送処理の流れを示すフローチャートである。図５（Ａ）に示すように、制御部３１０は、まず、ＩＰリース要求メッセージの送信元についての端末状態データが端末状態テーブル３５４ｃに格納されているか否かを判定する（ステップＳＡ１００）。具体的には、制御部３１０は、ＩＰリース要求メッセージの送信に用いられたフレームのヘッダ部に書き込まれている送信元ＭＡＣアドレスを読み出し、当該ＭＡＣアドレスと一致する端末識別子を含む端末状態データが端末状態テーブル３５４ｃに格納されているか否かを判定する。つまり、該当する端末識別子を含む端末状態データが端末状態テーブル３５４ｃに格納されている場合には、ステップＳＡ１００の判定結果は“Ｙｅｓ”となり、該当端末状態データが格納さていなければステップＳＡ１００の判定結果は“Ｎｏ”となる。
【００３８】
本動作例の開始時点では、端末装置５０Ａについての端末状態データは端末状態テーブル３５４ｃに格納されていないため、ステップＳＡ１００の判定結果は“Ｎｏ”になる。ステップＳＡ１００の判定結果が“Ｎｏ”である場合、図５（Ａ）に示すように、制御部３１０は、ステップＳＡ１３０の処理を実行する。このステップＳＡ１３０では、制御部３１０は、端末装置５０ＡからブロードキャストされたＩＰリース要求メッセージをＤＨＣＰサーバ装置６０宛のユニキャストメッセージに変換し、変換後のＩＰリース要求メッセージの所定フィールド（本実施形態では、giaddrフィールド：図８参照）に、中継装置３０Ａの記憶部３５０に記憶されているネットワーク識別子３５４ａのうちセカンダリネットワークのものを書き込んでＤＨＣＰサーバ装置６０に転送する。
【００３９】
中継装置３０Ａから転送されてくるＩＰリース要求メッセージは、広域網４０内の中継装置によって適宜ルーティングされ、ＤＨＣＰサーバ装置６０に到達する。ＤＨＣＰサーバ装置６０の制御部（図示略）は、上記ＩＰリース要求メッセージを受信すると、その所定フィールドに書き込まれているネットワーク識別子を読み出し、そのネットワーク識別子の示す論理ネットワークに属する端末装置に割り当てる通信アドレス群のうちの未使用アドレスを払い出す。本動作例では、上記所定フィールドにはセグメントＡにおけるセカンダリネットワークのネットワーク識別子が書き込まれているのであるから、「１９２．１６８．２．１〜１９２．１６８．２．５０」の範囲内の未使用アドレスが１つ払い出される。次いで、ＤＨＣＰサーバ装置６０の制御部は、当該通信アドレスを書き込んだＩＰリース提示メッセージを生成し、上記ＩＰリース要求メッセージの送信元へ返信する。
【００４０】
上記ＩＰリース提示メッセージは中継装置３０Ａによって、ＩＰリース要求メッセージの送信元である端末装置５０Ａに転送され、端末装置５０Ａの制御部は当該ＩＰリース提示メッセージにより提示された通信アドレスの割り当てを受け入れる場合には、ＩＰリース選択メッセージを返信する。このＩＰリース選択メッセージは中継装置３０ＡによってＤＨＣＰサーバ装置６０へ転送され、ＤＨＣＰサーバ装置６０は当該ＩＰリース選択メッセージを受信すると、その送信元に対して提示した通信アドレスとその貸し出し期間を示すリース期間オプション値Ｔとを書き込んだリース確認通知メッセージを返信する。中継装置３０Ａの制御部３１０は、第１通信Ｉ／Ｆ部３３０を介して上記ＩＰリース確認通知メッセージを受信すると、図６に示すように、リース確認通知メッセージ転送処理を実行する（図６：ステップＳＢ０１）。
【００４１】
図５（Ｂ）は、リース確認通知メッセージ転送処理の流れを示すフローチャートである。図５（Ｂ）に示すように、このリース確認通知メッセージ転送処理では、制御部３１０は、まず、受信したＩＰリース確認通知メッセージの転送先となる端末装置についての端末状態データが端末状態テーブル３５４ｃに格納さているか否かを判定する（ステップＳＢ１００）。このステップＳＢ１００にて制御部３１０が実行する処理の詳細については、前述したステップＳＡ１００の処理と同様であるため説明を省略する。そして、制御部３１０は、ステップＳＢ１００の判定結果が“Ｙｅｓ”であれば、当該ＩＰリース確認通知メッセージをそのままその宛先の端末装置へ転送し（ステップＳＢ１２０）、逆に、ステップＳＢ１００の判定結果が“Ｎｏ”であれば、当該ＩＰリース確認通知メッセージに書き込まれているリース期間オプション値Ｔをより短い貸し出し期間を示す値Ｔ´に書き換え（ステップＳＢ１１０）、その後、ステップＳＢ１２０の処理を実行する。このように端末状態データが端末状態テーブル３５４ｃに格納さていない端末装置に対してリース期間を短くする理由については後に明らかにする。
【００４２】
本動作例では、上記ＩＰリース確認通知メッセージの転送先は端末装置５０Ａであり、この端末装置５０Ａについての端末状態データは端末状態テーブル３５４ｃには格納されていないのであるから、ステップＳＢ１００の判定結果は“Ｎｏ”になり、上記ステップＳＢ１１０の処理が実行される。なお、本動作例では、端末状態データが端末状態テーブル３５４ｃに格納されているか否かを判定基準としてリース期間を短くするか否かを決定した。しかし、リース期間の管理をより確実に行うことができるようにするため、リース要求メッセージ転送処理にてセカンダリネットワークのネットワーク識別子を割り当てた端末装置にＩＰリース確認通知メッセージを転送する場合には、無条件にリース期間オプション値Ｔをより短いリース期間を示す値に書き換えても良い。
【００４３】
端末装置５０Ａの制御部（図示略）は、中継装置３０Ａから転送されてくるＩＰリース確認通知メッセージを受信すると、そのＩＰリース確認通知メッセージの所定フィールドに書き込まれている通信アドレスを読み出し、自装置に割り当てられた通信アドレスとして記憶する。以降、端末装置５０Ａは、同メッセージに書き込まれているリース期間オプション値Ｔ´の示すリース期間が経過するまで、上記通信アドレスを使用してＴＣＰ／ＩＰに準拠したデータ通信を行うことができる。一方、中継装置３０の制御部３１０は、上記ＩＰリース確認通知メッセージの中継を行ってから上記リース期間オプション値Ｔ´の示すリース期間が経過するまでの間に端末装置５０ＡとＴＣＰ／ＩＰに準拠した通信を行い、その端末状態を示すデータを取得して端末状態テーブル３５４ｃに書き込む端末状態収集処理（図６：ステップＳＣ０１）を実行する。具体的には、制御部３１０は、端末装置５０Ａに対して、インストールされている検疫ソフトウェアの種類およびパターンファイルの種類を表わすデータの送信を要求し、この要求に応じて端末装置５０Ａから送信されてくるデータと当該端末装置５０Ａの端末識別子（本実施形態では、当該データの送信に用いられたフレームのヘッダ部に書き込まれている送信元ＭＡＣアドレス）とを対応付けて端末状態テーブル３５４ｃに書き込むのである。
【００４４】
さて、リース期間オプション値Ｔ´の示すリース期間が経過した後は、端末装置５０Ａは、上記通信アドレスを使用した通信を行えなくなる。ここで、上記リース期間を通常よりも短くしたのは、以上の処理にて端末装置５０Ａに割り当てる通信アドレスは、その端末状態に基づかない暫定的なものであり、上記端末状態収集処理の実行に要する時間が確保できれば十分だからである。上記リース期間の経過を検知すると、端末装置５０Ａは、新たな通信アドレスの割り当てを受けるべく、再度、ＩＰリース要求メッセージをブロードキャストする。このようにしてブロードキャストされたＩＰリース要求メッセージを受信した中継装置３０Ａでは、再度、リース要求メッセージ転送処理が実行される（図６：ステップＳＡ０２）。図６に示すにように、ステップＳＡ０２にて実行されるリース要求メッセージ転送処理の実行時点では、ステップＳＣ０１の端末状態収集処理を実行済みであり、端末装置５０Ａについての端末状態データが端末状態テーブル３５４ｃに格納されている。このため、ステップＳＡ０２で実行されるリース要求メッセージ転送処理では、ステップＳＡ１００の判定結果は“Ｙｅｓ”になる（図５（Ａ）参照）。
【００４５】
図５（Ａ）に示すように、ステップＳＡ１００の判定結果がＹｅｓである場合は、制御部３１０は、上記ＩＰリース要求メッセージの送信元の端末状態が条件テーブル３５４ｂに格納されている条件データの示す条件を満たすか否かを判定する（ステップＳＡ１１０）。そして、制御部３１０は、ステップＳＡ１１０の判定結果がＹｅｓである場合には、上記ＩＰリース要求メッセージの所定フィールドにプライマリネットワークのネットワーク識別子３５４ａを書き込んでＤＨＣＰサーバ装置６０へ転送し（ステップＳＡ１２０）、逆に、ステップＳＡ１１０の判定結果が“Ｎｏ”である場合には、前述したステップＳＡ１３０の処理を実行する。ＩＰリース要求メッセージを受信したＤＨＣＰサーバ装置６０では、そのＩＰリース要求メッセージの所定フィールドに書き込まれているネットワーク識別子に応じてプライマリアドレス、またはセカンダリアドレスの何れかが選択されるのであるから、ＩＰリース要求メッセージの所定フィールドにセットされるネットワーク識別子は、ＤＨＣＰサーバ装置６０に対してプライマリアドレスを貸し出すのか、それともセカンダリアドレスを貸し出すのかを指示する指示子の役割を担うのである。
【００４６】
上記のようにして中継装置３０Ａから転送されてくるＩＰリース要求メッセージも広域網４０内の中継装置によって適宜ルーティングされ、ＤＨＣＰサーバ装置６０に到達する。ＤＨＣＰサーバ装置６０の制御部（図示略）は、上記ＩＰリース要求メッセージを受信すると、その所定フィールドに書き込まれているネットワーク識別子を読み出し、そのネットワーク識別子の示す論理ネットワークに属する端末装置に割り当てる通信アドレス群のうちの未使用アドレスを払い出す。そして、ＤＨＣＰサーバ装置６０の制御部は当該通信アドレスを書き込んだＩＰリース提示メッセージを返信する。このＩＰリース提示メッセージは中継装置３０Ａによって端末装置５０Ａに転送され、端末装置５０Ａは当該ＩＰリース提示メッセージを受信すると、ＩＰリース選択メッセージを返信する。このＩＰリース選択メッセージは中継装置３０ＡによってＤＨＣＰサーバ装置６０へ転送され、ＤＨＣＰサーバ装置６０は当該ＩＰリース選択メッセージを受信すると、その送信元に対して提示した通信アドレスとその貸し出し期間を示すリース期間オプション値Ｔとを書き込んだリース確認通知メッセージを返信する。
【００４７】
中継装置３０Ａの制御部３１０は、上記ＩＰリース確認通知メッセージを受信すると、リース確認通知メッセージ転送処理を実行する（図６：ステップＳＢ０２）。このステップＳＢ０２の実行時点では、前述したステップＳＣ０１の処理によって端末装置５０Ａについての端末状態データが端末状態テーブル３５４ｃに格納されているため、ステップＳＢ０２で実行されるリース確認通知メッセージ転送処理のステップＳＢ１００の判定結果は“Ｙｅｓ”になる。図５（Ｂ）に示すように、ステップＳＢ１００の判定結果がＹｅｓである場合は、制御部３１０は、前述したステップＳＢ１１０の処理（リース期間オプション値Ｔの書き換え）を行うことなく、ＩＰリース確認通知メッセージをその宛先へ転送する（ステップＳＢ１２０）。このように、ステップＳＢ１００の判定結果がＹｅｓである場合にはリース期間オプション値Ｔの書き換えを行わずにＩＰリース確認通知メッセージを転送するようにしたのは、このＩＰリース確認通知メッセージに含まれている通信アドレスは、その割り当てを受ける端末装置の端末状態が所定の条件を満たすか否かに応じて割り当てられたものであり、そのリース期間を短く制限する必要はないからである。
【００４８】
以降、端末装置５０Ａは、中継装置３０Ａから転送されてくるＩＰリース確認通知メッセージを受信すると、そのＩＰリース確認通知メッセージの所定フィールドに書き込まれている通信アドレスを読み出し、自装置に割り当てられた通信アドレスとして記憶し、同メッセージに書き込まれているリース期間オプション値Ｔの示す期間が経過するまで、データ通信を行うことができるのである。例えば、端末装置５０Ａの端末状態が、上記条件データの示す条件を満たすものであれば、ＤＨＣＰサーバ装置６０によってプライマリアドレスが端末装置５０Ａに割り当てられることとなり、当該端末装置５０Ａは、セグメントを跨ぐデータ通信を実行することができる。逆に、端末装置５０Ａの端末状態が、上記条件データの示す条件を満たさないものであれば、ＤＨＣＰサーバ装置６０によってセカンダリアドレスが端末装置５０Ａに割り当てられることとなり、当該端末装置５０Ａは、セグメントを跨がない範囲でのみ（例えば、拠点内ＬＡＮ１０Ａに接続されている他の端末装置であって、セカンダリアドレスを割り当てられている端末装置との間でのみ）データ通信を実行することができるのである。
【００４９】
以上説明したように、本実施形態では、中継装置３０によってその配下の端末装置５０に対してプライマリアドレスを割り当てるのか、それともセカンダリアドレスを割り当てるのかの判定が行われる。このため、上記判定をＤＨＣＰサーバ装置６０で行う態様に比較して、その判定の実行に要する処理負荷を各中継装置３０に分散し、ＤＨＣＰサーバ装置６０に過剰な負荷がかかることが回避される。また、本実施形態においては、各端末装置へ割り当てる通信アドレス群をＤＨＣＰサーバ装置６０で一括管理することができる一方、プライマリアドレスの割り当て条件を示す条件データや端末状態データについては上記判定を行う各中継装置３０に記憶させておけば良く（すなわち、各拠点にて作業を行えば良い）、これらのデータの登録のためにＤＨＣＰサーバ装置６０が設置されている情報処理センタに出向く必要はない。
【００５０】
（Ｃ：変形）
以上、本発明の実施形態について説明したが、この実施形態を以下のように変形しても良いことは勿論である。
（１）上述した実施形態では、互いに異なる２つの通信網に接続され、ＩＰパケットの転送制御を行う中継装置に本発明を適用した。しかし、図５（Ａ）に示すリース要求メッセージ転送処理および図５（Ｂ）に示すリース確認通知メッセージ転送処理を実行する中継装置（具体的には、ＤＨＣＰエージェントとしてのみ機能する中継装置）をＩＰパケットの転送制御を行う中継装置とは別個に各拠点内ＬＡＮ１０に設けるようにしても良い。
【００５１】
（２）上述した実施形態では、プライマリアドレスの割り当て条件（すなわち、セグメントを跨ぐ通信を許可する条件）として、以下の３つの条件が定められていた。すなわち、第１に、端末識別子が予め登録されたものであること（条件１）、第２に所定の種類の検疫ソフトウェアがインストールされていること（条件２）、そして、第３に、上記検疫ソフトウェアを実行する際に参照されるデータ（パターンファイル）として所定の種類のものがインストールされていること（条件３）、である。しかし、これら３つの条件のうちの何れか１または２つのみを課しても良い。例えば、上記条件１のみを課す態様においては、予め登録された端末装置であるか否かに応じてプライマリアドレスまたはセカンダリアドレスの何れかが割り当てられることとなるため、前述したＤＨＣＰ認証（非特許文献２参照）と同一の作用効果が得られることになり、上記条件２（或いは条件２と条件３）を課すようにすれば、前述したＱＡＣ（非特許文献３）と同一の作用効果が得られる。
【００５２】
また、プライマリアドレスの割り当て条件として、上述した条件１〜条件３の３つの条件とは異なる他の条件を課しても勿論良い。具体的には、特定の種類のソフトウェア（例えば、Ｗｉｎｎｙなどに代表されるファイル交換ソフトウェア）がインストールされていないという条件を課すといった具合である。この種のファイル交換ソフトウェアがインストールされていると、端末装置５０に記憶されている各種データが上記ファイル交換ソフトウェアによって使用者の知らない間に流出する虞があるからであり、上記各種データに社外秘等の機密情報が含まれている場合には、機密漏えいの原因となりかねないからである。
【００５３】
（３）上述した実施形態では、中継装置３０を介してＤＨＣＰサーバ装置６０による通信アドレスの割り当てを初めて受ける端末装置５０に対しては常にセカンダリアドレスが割り当てられるようにし、そのリース期間内に当該端末装置５０と通信し端末状態データを取得する処理を中継装置３０の制御部３１０に実行させた。しかし、ＩＰリース要求メッセージの送信の際にはその未使用フィールドに端末状態データを書き込んで送信する処理を端末装置５０に実行させ、当該未使用フィールドに書き込まれている端末状態データを参照して条件データの示す条件を満たすか否かを判定しその判定結果に応じたネットワーク識別子を付与してＩＰリース要求メッセージを転送する処理を制御部３１０に実行させるようにしても良い。このような態様によれば、中継装置３０を介してＤＨＣＰサーバ装置６０による通信アドレスの割り当てを初めて受ける端末装置５０であっても、その端末状態に応じた通信アドレスを割り当てることが可能になる。したがって、図６のステップＳＣ０１の処理を中継装置３０に実行させる必要はない。また、中継装置３０を介してＤＨＣＰサーバ装置６０による通信アドレスの割り当てを初めて受ける端末装置５０に対してはセカンダリアドレスを暫定的に割り当てる態様であっても、図６のステップＳＣ０１の処理は必ずしも必須ではない。例えば、ステップＳＣ０１の処理に換えて端末状態の登録を促す通知を送信する処理を中継装置３０の制御部３１０に実行させ、端末状態の登録については別途、利用者の自己申告等に基づいて行うようにしても良い。
【００５４】
また、端末装置から取得した端末状態データに有効期間を持たせ、定期的に繰り返し端末状態データを取得することで、常に最新の端末状態を監視し安全性を確認できるようにしても良い。
【００５５】
（４）上述した実施形態では、本発明の特徴を顕著に示すリース要求メッセージ転送処理およびリース確認通知メッセージ転送処理をＣＰＵに実行させる通信制御プログラム３５４ｄが中継装置３０の不揮発性記憶部３５４に予め格納されていた。しかし、ＣＤ−ＲＯＭなどのコンピュータ読み取り可能な記録媒体に上記通信制御プログラムを書き込んで配布しても良く、また、インターネットなどの電気通信回線経由のダウンロードにより上記通信制御プログラムを配布しても良い。このようにして配布される通信制御プログラムを一般的なコンピュータにインストールし、当該通信制御プログラムにしたがってそのコンピュータを作動させることでそのコンピュータに、中継装置３０と同一の機能を付与することが可能になる。
【符号の説明】
【００５６】
１…通信システム、１０Ａ，１０Ｂ，１０Ｃ…拠点内ＬＡＮ、２０…センタ側ＬＡＮ、３０Ａ，３０Ｂ，３０Ｃ，３０Ｄ…中継装置、４０…広域網、５０Ａ，５０Ｂ，５０Ｃ…端末装置、６０…ＤＨＣＰサーバ装置、３１０…制御部、３３０…第１通信Ｉ／Ｆ部、３４０…第２通信Ｉ／Ｆ部、３５０…記憶部、３５２…揮発性記憶部、３５４…不揮発性記憶部、３５４ａ…ネットワーク識別子、３５４ｂ…条件テーブル、３５４ｃ…端末状態テーブル、３５４ｄ…通信制御プログラム、３６０…バス。
【技術分野】
【０００１】
本発明は、通信システムに含まれる端末装置への通信アドレスの割り当てを支援する技術に関する。
【背景技術】
【０００２】
通信網を介したデータ通信では、ＩＰ（Internet Protocol）アドレスなどの通信アドレスを用いてデータの送信元や送信先が特定される。このため、通信システムに含まれる各端末装置には、互いに異なる通信アドレスを割り当てておく必要がある。このような通信アドレスの割り当ては、ネットワーク管理者等が手作業で行うこと（具体的には、互いに異なる通信アドレスを各端末装置に入力し記憶させるなど）もあるが、ＤＨＣＰ（Dynamic Host Configuration Protocol）を利用して自動的に行うようにすることが一般的である。
【０００３】
ＤＨＣＰを利用した通信システムでは、ＤＨＣＰサーバ装置と呼ばれるコンピュータ装置を設け、各端末装置へ割り当てる（貸し出す）通信アドレスの集合（以下、通信アドレス群）をそのＤＨＣＰサーバ装置に予め記憶させておく。そして、端末装置とＤＨＣＰサーバ装置とに、図７（Ａ）に示すシーケンスの通信を行わせることで通信アドレスの割り当てが実現される。端末装置は、電源の投入等を契機として通信アドレスの割り当てを要求する旨の通信メッセージ（ＩＰリース要求メッセージ（DHCPDISCOVER）：同メッセージのメッセージ構造については図８参照）をブロードキャストする。ＤＨＣＰサーバ装置は、当該ＩＰリース要求メッセージを受信したことを契機として、自装置に登録されている通信アドレス群のうちから未使用の通信アドレス（他の端末装置に割り当てられていない通信アドレス：以下、未使用アドレス）を選択する。そして、ＤＨＣＰサーバ装置は、当該選択した未使用アドレスを上記ＩＰリース要求メッセージの送信元へ提示するために、ＩＰリース提示メッセージ（DHCPOFFER）の所定フィールドに書き込んで返信する。
【０００４】
上記端末装置は、当該ＩＰリース提示メッセージを受信すると、そのＩＰリース提示メッセージにより提示された通信アドレスの割り当てを受け入れる旨を通知するために、ＩＰリース選択メッセージ（DCHPREQUEST）を返信する。このＩＰリース選択メッセージを受信したＤＨＣＰサーバ装置は、上記ＩＰリース提示メッセージにより提示した通信アドレスとその貸し出し期間を示すデータ（リース期間オプション値）を書き込んだＩＰリース確認通知メッセージ（DHCPACK）を返信する。上記端末装置は上記ＩＰリース確認通知メッセージを受信すると、同メッセージに書き込まれている通信アドレスを自装置に対して割り当てられたものとして記憶し、同メッセージに書き込まれているリース期間オプションの示す期間が経過するまで、その通信アドレスを用いてデータ通信を行うことができるのである。
以上がＤＨＣＰを利用した通信アドレスの割り当ての概要である。なお、ＤＨＣＰの詳細については、非特許文献１を参照されたい。
【０００５】
このようにＤＨＣＰによる通信アドレスの割り当ては、ＩＰリース要求メッセージのブロードキャストにより開始されるのであるが、ブロードキャストメッセージはルータ等の中継装置を超えて他のセグメントに転送されることはない。したがって、通信システムが複数のセグメントで構成されている場合（例えば、図７（Ｂ）に示すように各セグメントをルータ等の中継装置（図示略）を介してインターネットなどの広域網に接続して通信システムが構成されている場合）には、各セグメントに１台ずつＤＨＣＰサーバ装置を設け、セグメント毎に通信アドレスの割り当てを行う必要がある。しかし、セグメント毎に通信アドレスの割り当てを行う態様では、通信システム全体での通信アドレス群の管理が難しくなり、各セグメントにて端末装置に割り当てる通信アドレス群の一部が重複するといった不具合が発生する場合がある。
【０００６】
ＩＰリース要求メッセージがブロードキャストされるものであることに起因した不具合を解決するための技術の一例としてはＤＨＣＰリレーエージェントが挙げられる。ＤＨＣＰリレーエージェントを利用した通信システムでは、図７（Ｃ）に示すように、複数のセグメントのうちの何れか１つにＤＨＣＰサーバ装置を設けておき、他のセグメントにはＤＨＣＰリレーエージェントと呼ばれるコンピュータ装置を設けておく。なお、一般的には、前述した中継装置がＤＨＣＰリレーエージェントの役割を兼ねることが多い。よって、以下では、広域網と各セグメントとを接続する中継装置がＤＨＣＰリレーエージェントの役割を兼ねている場合について説明する。
【０００７】
ＤＨＣＰリレーエージェントとして機能する中継装置は、配下のセグメントに属する端末装置によってブロードキャストされたＩＰリース要求メッセージを受信すると、ＤＨＣＰサーバ装置宛のユニキャストメッセージに変換し、さらにその所定フィールド（図８のgiaddrフィールド）に当該中継装置の通信アドレスを書き込んでＤＨＣＰサーバ装置に転送する。ＤＨＣＰサーバ装置には、各ＤＨＣＰリレーエージェントが接続されているセグメントに属する端末装置に割り当てる通信アドレス群が登録されている。ＤＨＣＰサーバ装置は、このＩＰリース要求メッセージを受信すると、上記通信アドレス群のうちから未使用アドレスを１つ選択し、この未使用アドレスを書き込んだＩＰリース提示メッセージをＤＨＣＰリレーエージェントに返信する。そして、ＤＨＣＰリレーエージェントは、このＩＰリース提示メッセージを上記ＩＰリース要求メッセージの送信元である端末装置に転送するのである。以降、ＩＰリース選択メッセージおよびＩＰリース確認通知メッセージについてもＤＨＣＰエージェントによって転送制御が為され、端末装置への通信アドレスの割り当てが完了するのである。このように、ＤＨＣＰリレーエージェントを用いた通信システムでは、端末装置に割り当てる通信アドレス群を１台のＤＨＣＰサーバ装置で一括管理することができるため、各セグメントにて端末装置に割り当てる通信アドレス群の一部が重複するなど不具合が生じ難くなる。
【先行技術文献】
【非特許文献】
【０００８】
【非特許文献１】“ＲＦＣ２１３１「Dynamic Host Configuration Protocol」”、インターネット、＜http://www.rtpo.yamaha.co.jp/RT/docs/dhcp-auth/index.html＞
【非特許文献２】“ＤＨＣＰ認証機能”、インターネット、＜http://www.rtpo.yamaha.co.jp/RT/docs/dhcp-auth/index.html＞
【非特許文献３】“ＱＡＣ機能”、インターネット、＜http://jp.trendmicro.com/jp/products/sbYAMAHA/detail＞
【発明の概要】
【発明が解決しようとする課題】
【０００９】
ところで、近年では機密漏えいに対する関心の高まりから、端末装置に対して何らかのアクセス先制限を設けることが多い。例えば、予め登録された端末装置についてのみ、セグメントを跨ぐ通信（例えば、広域網に接続されているＷＷＷサーバ装置との通信や他のセグメントに属する端末装置との通信）を許可し、登録されていない端末装置にはセグメントを跨ぐ通信を許可しないといった具合である。このようなアクセス先制限を実現する技術としては、非特許文献２に開示されたＤＨＣＰ認証や、非特許文献３に開示されたＱＡＣ（Qualified Access Control）が挙げられる。
【００１０】
ＤＨＣＰ認証では、セグメントを跨ぐ通信の実行を許可する端末装置を一意に識別する端末識別子（例えば、ＭＡＣ（Media Access Control）アドレス等）を予めＤＨＣＰサーバ装置に登録しておくとともに、上記セグメントを跨ぐ通信を許可する端末装置に割り当てる通信アドレスの集合（第１の通信アドレス群）とその他の端末装置に割り当てる通信アドレスの集合（第２の通信アドレス群）とを両者が重複しないように上記ＤＨＣＰサーバ装置に記憶させておく。そして、上記ＤＨＣＰサーバ装置は、ＩＰリース要求メッセージを受信した場合には、その送信元のＭＡＣアドレスを参照してその送信元に対してセグメントを跨ぐ通信の実行が許可されているか否かを判定し、その判定結果に応じて上記第１または第２の通信アドレス群の何れかから未使用アドレスを選択し、返信するのである。そして、各セグメントを広域網に接続する中継装置には、配下のセグメントから受信したパケットの送信元アドレスが上記第１の通信アドレス群に属するものである場合にのみその転送を行わせる（第２の通信アドレス群に属するものである場合には当該パケットを破棄させる）ことで、上記アクセス制限が実現されるのである。一方、ＱＡＣは、端末装置にインストールされている検疫ソフトウェア（例えば、ウィルスチェックソフトウェア）の種類等によってアクセス先制限を実現する技術である。例えば、所定の検疫ソフトウェアがインストールされている端末装置には上記第１の通信アドレス群に属する通信アドレスを割り当て、所定の検疫ソフトウェアがインストールされていない端末装置には、上記第２の通信アドレス群に属する通信アドレスを割り当てるといった具合である。
【００１１】
さて、ここで問題となるのは、上述したＤＨＣＰ認証やＱＡＣとＤＨＣＰリレーエージェントとは親和性が低く、併用が難しいという点である。例えばＤＨＣＰ認証とＤＨＣＰリレーエージェントとを併用する場合、セグメントを跨ぐ通信の実行を許可する端末装置の端末識別子をＤＨＣＰサーバ装置に予め登録しておく必要がある。このような端末識別子の登録はネットワーク管理者等が手動で行うことが一般的であるため、当該ネットワーク管理者は、システムに含まれる端末装置の数が変化するたびにＤＨＣＰサーバ装置の元へ出向いて新たな端末識別子の登録を行わねばならす、非常に煩わしい作業を強いられることとなる。また、ＤＨＣＰ認証（或いはＱＡＣ）とＤＨＣＰリレーエージェントとを併用する場合、各端末装置についてセグメントを跨ぐ通信の実行が許可されているか否かの判定をＤＨＣＰサーバ装置が行うことになるが、このような態様ではＤＨＣＰサーバ装置にかかる処理負荷が過剰に高くなる虞がある。
【００１２】
本発明は上記課題に鑑みて為されたものであり、端末装置への通信アドレスの割り当て処理にてＤＨＣＰサーバ装置に処理負荷が集中することを回避しつつ、各端末装置へ割り当てる通信アドレスの一括管理が可能で、かつ、端末装置の状態に応じたアクセス先制限を併用することを可能にする技術を提供することを目的とする。
【課題を解決するための手段】
【００１３】
上記課題を解決するために本発明は、セグメントを跨ぐ通信の実行を許可されている端末装置に割り当てる第１の通信アドレス群とセグメントを跨ぐ通信の実行を許可されていない端末装置に割り当てる第２の通信アドレス群とを記憶し端末装置からの要求に応じて何れかの通信アドレスを貸し出すＤＨＣＰサーバ装置と、配下のセグメントに属する端末装置との間の通信を中継する中継装置において、端末装置が前記第１の通信アドレス群に属する通信アドレスの割り当てを受けるための条件を示す条件データが書き込まれた条件テーブルと、通信アドレスの貸し出しを要求する旨の通信メッセージであるリース要求メッセージを端末装置から受信したことを契機として、当該端末装置の状態が前記条件を満たすか否かを判定し、満たすと判定した場合には前記第１の通信アドレス群に属する通信アドレスの貸し出しを指示する旨の指示子を付与して前記リース要求メッセージを前記ＤＨＣＰサーバ装置へ転送し、満たさないと判定した場合には前記第２の通信アドレス群に属する通信アドレスの貸し出しを指示する旨の指示子を付与して前記リース要求メッセージを前記ＤＨＣＰサーバ装置へ転送するリース要求メッセージ転送手段と、前記リース要求メッセージの送信元に貸し出す通信アドレスとその貸し出し期間を示すリース期間データとを含む通信メッセージであるリース確認通知メッセージを前記ＤＨＣＰサーバ装置から受信し、当該リース確認通知メッセージを前記ＩＰリース要求メッセージの送信元へ転送するリース確認通知メッセージ転送手段とを有することを特徴とする中継装置、およびコンピュータを上記各手段として機能させることを特徴とするプログラムを提供する。なお、このようなプログラムを提供する際の具体的な態様としては、ＣＤ−ＲＯＭ（Compact Disk-Read Only Memory）などのコンピュータ読み取り可能な記録媒体に当該プログラムを書き込んで配布する態様や、インターネットなどの電気通信回線経由のダウンロードにより配布する態様が考えられる。
【００１４】
複数のセグメントからなる通信システム（例えば、複数のセグメントの各々を広域網に接続してなる通信システム等）にて何れか１つのセグメントにＤＨＣＰサーバ装置を設け、各セグメントに１台ずつ上記中継装置を設けておけば、以下の要領で端末装置に対する通信アドレスの割り当てが行われる。すなわち、上記通信システムにおいて、何れかのセグメントに接続された端末装置は、通信アドレスの割り当てを受けるためにリース要求メッセージ（より具体的には、ＩＰリース要求メッセージ）を当該セグメント内にブロードキャストする。当該セグメントに設けられている上記中継装置は、このリース要求メッセージを受信すると、この端末装置に対してセグメントを跨ぐ通信の実行が許可されているか否かを当該端末装置の状態に基づいて判定し、その判定結果に応じた指示子を付与して当該リース要求メッセージをＤＨＣＰサーバ装置へ転送する。
【００１５】
ここで、セグメントを跨ぐ通信の実行が許可されているか否かの判定基準は、リース要求メッセージの送信元の端末状態が上記条件データの示す条件を満たすか否かである。かかる条件の一例としては、予め登録された端末装置（例えば、予め登録された端末識別子に一致する端末識別子を有する端末装置）であること、或いは特定の検疫ソフトウェアがインストールされているなど特定の状態の端末装置であること等が考えられる。なお、端末装置の状態を示す端末状態データについては、上記中継装置に予め記憶させておいても良いし、リース要求メッセージの未使用フィールドに書き込んで上記端末装置に送信させるようにしても良い。
【００１６】
上記中継装置から転送されてくるリース要求メッセージを受信したＤＨＣＰサーバ装置は、そのリース要求メッセージに付与されている指示子にしたがって第１または第２の通信アドレス群の何れかから未使用アドレスを選択し、その未使用アドレスを書き込んだリース提示メッセージを返信する。以降、前述した従来のＤＨＣＰにおけるものと同様の通信を行うことによって、端末装置への通信アドレスの割り当てが完了する。具体的には、上記リース提示メッセージは上記中継装置によって、リース要求メッセージの送信元である端末装置へ転送され、上記端末装置は当該リース提示メッセージにより提示された通信アドレスの割り当てを受け入れる場合には、その旨を通知するリース選択メッセージ（例えば、ＩＰリース選択メッセージ）を返信する。このリース選択メッセージは上記中継装置によってＤＨＣＰサーバ装置へ転送され、ＤＨＣＰサーバ装置は当該リース選択メッセージを受信すると、その送信元に対して提示した通信アドレスとその貸し出し期間を示すリース期間オプション値とを書き込んだリース確認通知メッセージを返信する。このリース確認通知メッセージは上記中継装置によって上記端末装置へ転送され、上記端末装置は、同メッセージに書き込まれている通信アドレスを自装置に対して割り当てられたものとして記憶し、同メッセージに書き込まれているリース期間オプション値の示す期間の間、その通信アドレスを使用してデータ通信を行うことができるのである。
【００１７】
このように、上記通信システムでは、リース要求メッセージの送信元の端末装置についてセグメントを跨ぐ通信を許可するか否かの判定は上記中継装置で行われるため、ＤＨＣＰサーバ装置に負荷が集中することはない。また、上記通信システムにおいては端末装置へ割り当てる第１および第２の通信アドレス群をＤＨＣＰサーバ装置で一括管理することができる。加えて、上記通信システムでは、上記条件を示すデータや端末状態データについては上記判定を行う各中継装置に記憶させておけば良く、これらのデータの登録のために逐一ＤＨＣＰサーバ装置の元に出向く必要はない。そして、上記条件として、「予め登録された端末装置であること」を採用すれば、前述したＤＨＣＰ認証を実現することができ、「特定の検疫ソフトウェアがインストールされていること」を採用すれば、前述したＱＡＣを実現することができる。
【００１８】
より好ましい態様においては、端末装置の状態を示す端末状態データが書き込まれる端末状態テーブルを上記中継装置に設け、前記リース要求メッセージ転送手段には、前記リース要求メッセージの送信元についての端末状態データが前記端末状態テーブルに格納されていない場合には、前記第２の通信アドレスの貸し出しを指示する旨の指示子を付与して前記受信したリース要求メッセージを転送する一方、該当する端末状態データが前記端末状態テーブルに格納されている場合には、当該端末状態データを参照して前記条件を満たすか否かを判定し、その判定結果に応じた指示子を付与して前記受信したリース要求メッセージを転送する処理を実行させ、前記リース確認通知メッセージ転送手段には、前記リース期間データをより短い貸し出し期間を示すものに書き換えて前記リース確認通知メッセージを転送する処理を実行させることが考えられる。
【００１９】
このような中継装置によれば、端末状態データが端末状態テーブルに格納されていない端末装置（例えば、新たにセグメントに接続された端末装置）に対しては、常に、第２の通信アドレス群に属する通信アドレスが割り当てられ、そのリース期間も端末状態データが端末状態テーブルに格納されている端末装置についてのものより短く設定される。つまり、端末状態データが登録されていない端末装置に対しては、短期間だけセグメントを跨がない範囲で暫定的に通信の実行が許可されるのである。このように、端末状態データが端末状態テーブルに格納されていない端末装置に対しては、セグメントを跨ぐ通信の実行は許可されず、通信を実行可能な期間も短いといった制約が課されため、これらの制約に基づく不便さを上記端末装置の利用者に感じさせ、端末状態の登録を促すことができる。
【００２０】
さらに好ましい態様においては、上記中継装置のリース確認通知メッセージ転送手段には、前記端末状態テーブルに端末状態データが格納されていない端末装置宛てのリース確認通知メッセージを受信した場合には、当該リース確認通知メッセージに含まれている通信アドレスを記憶した後にその転送を行わせ、前記記憶した通信アドレスを宛先として、当該宛先に対して端末状態データの送信を指示し、当該宛先から返信されてくる端末状態データを前記端末状態テーブルに書き込む端末状態収集手段を上記中継装置に設けることが考えられる。このような態様によれば、端末状態データが端末状態テーブルに格納されていない端末装置に対する通信アドレスの割り当て制御を行ったことを契機として、その端末装置から端末状態データを取得し、以後、当該端末装置に対して通信アドレスの割り当てを行う際には、その端末状態に応じた種類の通信アドレスを割り当てることが可能になる。
【図面の簡単な説明】
【００２１】
【図１】本発明の一実施形態に係る中継装置を含む通信システム１の構成例を示すブロック図である。
【図２】同通信システム１に含まれる中継装置３０の構成例を示すブロック図である。
【図３】同中継装置３０の配下に形成されるプライマリネットワークおよびセカンダリネットワークを説明するための図である。
【図４】同通信システム１のＤＨＣＰサーバ装置６０における通信アドレスの格納態様の一例を示す図である。
【図５】同中継装置３０の制御部３１０が実行するリース要求メッセージ転送処理およびリース確認通知メッセージ転送処理の流れを示すフローチャートである。
【図６】同通信システム１に含まれる各装置が実行する処理の流れ、および装置間で送受信される通信メッセージのシーケンスを示す図である。
【図７】ＤＨＣＰを説明するための図である。
【図８】ＤＨＣＰサーバ装置と端末装置との間で送受信される通信メッセージのメッセージ構造の一例を示す図である。
【発明を実施するための形態】
【００２２】
以下、図面を参照しつつ本発明の実施形態について説明する。
（Ａ：構成）
図１は、本発明の一実施形態に係る中継装置を含む通信システム１の構成例を示す図である。図１の通信システム１は、例えば企業内に敷設された社内情報システムである。この通信システム１は、同企業の各拠点に敷設された拠点内ＬＡＮ（Local Area Network）１０Ａ、１０Ｂ、１０Ｃ、および同企業の情報処理センタに敷設されたセンタ側ＬＡＮ２０の各々を、中継装置３０Ａ、３０Ｂ、３０Ｃおよび３０Ｄによりインターネットなどの広域網４０に接続して構成されている。つまり、図１に示す通信システム１では、拠点内ＬＡＮ１０Ａ、１０Ｂ、１０Ｃ、およびセンタ側ＬＡＮ２０の各々が当該システムを構成するセグメントとなるのである。以下では、拠点内ＬＡＮ１０Ａにより形成されるセグメントを「セグメントＡ」、拠点内ＬＡＮ１０Ｂにより形成されるセグメントを「セグメントＢ」、拠点内ＬＡＮ１０Ｃにより形成されるセグメントを「セグメントＣ」と呼ぶ。また、以下では、上記３つの拠点内ＬＡＮの各々を区別する必要がない場合には「拠点内ＬＡＮ１０」と表記し、上記４つの中継装置の各々を区別する必要がない場合には「中継装置３０」と表記する。
【００２３】
拠点内ＬＡＮ１０には、その拠点内ＬＡＮが敷設されている拠点に勤務する従業者等の使用する端末装置（例えば、パーソナルコンピュータ等）が接続される。例えば、図１に示す例では、拠点内ＬＡＮ１０Ａには端末装置５０Ａが、拠点内ＬＡＮ１０Ｂには端末装置５０Ｂが、拠点内ＬＡＮ１０Ｃには端末装置５０Ｃが接続されている。以下、これら３台の端末装置の各々を区別する必要がない場合には、「端末装置５０」と表記する。図１では、各拠点内ＬＡＮ１０に端末装置５０が一台ずつ接続されている場合について例示されているが、各拠点内ＬＡＮ１０に複数台の端末装置５０を接続しても勿論良い。
【００２４】
端末装置５０は、他の装置（例えば、他の端末装置５０や広域網４０に接続されているＷＷＷサーバ装置）との間で所定の通信プロトコル（本実施形態では、ＴＣＰ／ＩＰ）にしたがったデータ通信を行い、電子メールの送受信サービスやＷｅｂページの閲覧サービスなどを利用者に提供するためのものである。このようなデータ通信を行うには、通信アドレス（ＩＰアドレス）が端末装置５０に割り当てられている必要があり、この通信アドレスの割り当てはセンタ側ＬＡＮ２０に接続されているＤＨＣＰサーバ装置６０によって行われる。図１の中継装置３０は、例えばルータであり、その接続先のセグメント（以下、配下のセグメント）から広域網４０へ向けて送信されるＩＰパケット（或いは、広域網４０から配下のセグメントへ向けて送信されるＩＰパケット）の中継を行う。また、中継装置３０は、前述したＤＨＣＰリレーエージェントとしても機能し、通信アドレスの割り当ての際に端末装置５０とＤＨＣＰサーバ装置６０との間で送受信される通信メッセージ（前述したＩＰリース要求メッセージ等）の中継も行う。
【００２５】
加えて、図１の中継装置３０は、ＤＨＣＰ認証（非特許文献２参照）とＱＡＣ（非特許文献３参照）と同様なアクセス先制限を実現するように構成されており、この点に本実施形態の特徴がある。本実施形態にて端末装置５０の各々に割り当てられる通信アドレスは「プライマリアドレス」と「セカンダリアドレス」の二種類に分類される。プライマリアドレスは、セグメントを跨ぐ通信（例えば、広域網４０に接続されているＷＷＷサーバ装置との通信）の実行を許可する端末装置に割り当てる通信アドレスであり、セカンダアドレスは、同通信の実行を許可しない端末装置５０に割り当てる通信アドレスである。図１の中継装置３０は、ＩＰリース要求メッセージを受信したことを契機として、その送信元に対してセグメントを跨ぐ通信の実行が許可されているか否かを判定する。具体的には、中継装置３０は、ＩＰリース要求メッセージの送信元の端末装置の状態（本実施形態では、端末装置５０に検疫ソフトウェアがインストールされているか否か等）を条件として上記判定を行い、その判定結果に応じた通信アドレスの割り当てをＤＨＣＰサーバ装置６０に指示する。そして、前述したＩＰパケットの転送制御の際には、中継装置３０は、配下の拠点内ＬＡＮ１０から送信されてきたＩＰパケットの送信元アドレスがセカンダリアドレスである場合には当該ＩＰパケットを破棄する。これによりアクセス制限が実現されるのである。
以下、本実施形態の特徴を顕著に示す中継装置３０を中心に説明する。
【００２６】
図２は、中継装置３０の構成例を示すブロック図である。
図２に示すように中継装置３０は、制御部３１０、第１通信インタフェース（以下、「Ｉ／Ｆ」）部３３０、第２通信Ｉ／Ｆ部３４０、記憶部３５０、および、これら構成要素間のデータ授受を仲介するバス３６０を含んでいる。
【００２７】
制御部３１０は、ＣＰＵ（Central Processing Unit）である。制御部３１０は、記憶部３５０（より正確には、不揮発性記憶部３５４）に格納されている通信制御プログラム３５４ｄを実行することにより、中継装置３０の制御中枢として機能する。この通信制御プログラム３５４ｄにしたがって制御部３１０が実行する処理の内容については後に明らかにする。
【００２８】
第１通信Ｉ／Ｆ部３３０は、ＮＩＣ（Network Interface Card）であり、図１の広域網４０に接続されている。第１通信Ｉ／Ｆ部３３０は、広域網４０から送信されてくるデータを受信して制御部３１０へ引渡す一方、制御部３１０から引渡されるデータを広域網４０へと送出する。第２通信Ｉ／Ｆ部３４０も第１通信Ｉ／Ｆ部３３０と同様にＮＩＣであり、広域網４０とは異なる通信網に接続されている。より詳細に説明すると、中継装置３０Ａの第２通信Ｉ／Ｆ部３４０は拠点内ＬＡＮ１０Ａに、中継装置３０Ｂの第２通信Ｉ／Ｆ部３４０は拠点内ＬＡＮ１０Ｂに、中継装置３０Ｃの第２通信Ｉ／Ｆ部３４０は拠点内ＬＡＮ１０Ｃに、中継装置３０Ｄの第２通信Ｉ／Ｆ部３４０はセンタ側ＬＡＮ２０に、各々接続されている。第２通信Ｉ／Ｆ部３４０は、各々の接続先通信網から受信したデータを制御部３１０に引渡す一方、制御部３１０から引渡されるデータを各々の接続先通信網へと送出する。
【００２９】
記憶部３５０は、図２に示すように揮発性記憶部３５２と不揮発性記憶部３５４を含んでいる。揮発性記憶部３５２は、例えばＲＡＭ（Random Access Memory）であり、各種プログラムを実行する際のワークエリアとして制御部３１０によって利用される。一方、不揮発性記憶部３５４は、ハードディスクやフラッシュメモリである。不揮発性記憶部３５４には、中継装置３０の特徴を顕著に示す処理を制御部３１０に実行させるための各種データやプログラムが格納されている。
【００３０】
不揮発性記憶部３５４に格納されているデータの一例としては、図２に示すネットワーク識別子３５４ａ、条件テーブル３５４ｂ、および端末状態テーブル３５４ｃが挙げられる。不揮発性記憶部３５４には、ネットワーク識別子３５４ａや条件テーブル３５４ｂ、端末状態テーブル３５４ｃの他に、ＩＰパケットの転送制御に使用するデータ（所謂ルーティングテーブル：図示略）やＤＨＣＰサーバ装置６０の通信アドレスも格納されているが、これらデータ（図２にて図示を省略したデータ）については既存のルータやＤＨＣＰリレーエージェントに記憶されているものと何ら変るところはないため説明を省略する。
【００３１】
ネットワーク識別子３５４ａは、中継装置３０の配下のセグメントに接続される端末装置により形成される論理ネットワークを一意に識別するための識別子である。前述したように拠点内ＬＡＮ１０には複数の端末装置が接続され得るのであるが、各端末装置に割り当てられる通信アドレスはプライマリアドレスとセカンダリアドレスの何れかである。このため、上記複数の端末装置の各々はプライマリアドレスを割り当てられているものと、セカンダリアドレスを割り当てられているものとに分類され、前者のグループにより「プライマリネットワーク」が形成され、後者のグループにより「セカンダリネットワーク」が形成される（図３参照）。このプライマリネットワークとセカンダリネットワークが上記論理ネットワークである。不揮発性記憶部３５４には、プライマリネットワークを一意に示すものと、セカンダリネットワークを一意に示すものの２種類のネットワーク識別子３５４ａが格納されている。本実施形態では、ネットワーク識別子３５４ａとして所謂ネットワークアドレスが用いられている。ここで、ネットワークアドレスとは、そのネットワークアドレスにより識別子される論理ネットワークに属する端末装置５０の通信アドレスのうち、サブネットマスクによりマスクされる部分に相当するものである。
【００３２】
例えば、図４に示すように、拠点内ＬＡＮ１０Ａに接続される端末装置（すなわち、セグメントＡに属する端末装置）のうちプライマリネットワークに属するものに割り当てられる通信アドレス群として「１９２．１６８．１．１〜１９２．１６８．１．５０」がＤＨＣＰサーバ装置６０に登録されているとする。同様に、同セカンダリネットワークに属するものに割り当てられる通信アドレス群として「１９２．１６８．２．１〜１９２．１６８．２．５０」がＤＨＣＰサーバ装置６０に登録されているとする。この場合、サブネットマスクが「２５５．２５５．２５５．０」であれば、上記プライマリネットワークを示すネットワーク識別子３５４ａとして「１９２．１６８．１．０」が中継装置３０Ａの不揮発性記憶部３５４に格納されており、同セカンダリネットワークを示すネットワーク識別子３５４ａとして「１９２．１６８．２．０」が同不揮発性記憶部３５４に格納されている。詳細については後述するが、これらネットワーク識別子は、端末装置５０に対してプライマリアドレスとセカンダリアドレスの何れを割り当てる（貸し出す）のかをＤＨＣＰサーバ装置６０に指示する際に利用される。
【００３３】
条件テーブル３５４ｂには、セグメントを跨ぐ通信の実行を許可する端末装置が備えるべき条件を示すデータ（以下、条件データ）が格納されている。この条件テーブル３５４ｂに格納される条件データの一例としては、セグメントを跨ぐ通信の実行を許可する端末装置の端末識別子のリストや、同端末装置にインストールされているべき検疫ソフトウェアの種類（製品名称やバージョン）を示すデータ、同検疫ソフトウェアの実行の際に参照されるパターンファイルを示すデータ（パターンファイルの名称やバージョンを示すデータ）などが挙げられる。一方、端末状態テーブル３５４ｃには、中継装置３０を介してＤＨＣＰサーバ装置６０による通信アドレスの割り当てを受けた端末装置の状態（端末識別子および検疫ソフトウェアのインストールの有無、さらに、検疫ソフトウェアがインストールされている場合にはその種類とパターンファイルの種類、など）を示す端末状態データが格納される。
【００３４】
次いで、不揮発性記憶部３５４に格納されているプログラムについて説明する。
不揮発性記憶部３５４に格納されているプログラムの一例としては、図２に示す通信制御プログラム３５４ｄが挙げられる。この通信制御プログラム３５４ｄにしたがって制御部３１０が実行する処理の一例としては、図５（Ａ）に示すリース要求メッセージ転送処理と同図５（Ｂ）に示すリース確認通知メッセージ転送処理が挙げられる。図５（Ａ）に示すリース要求メッセージ転送処理は、端末装置５０からブロードキャストされるＩＰリース要求メッセージをＤＨＣＰサーバ装置６０へ転送する際に実行される処理である。一方、図５（Ｂ）に示すリース確認通知メッセージ転送処理は、上記ＩＰリース要求メッセージの送信元へ宛ててＤＨＣＰサーバ装置６０から送信されるＩＰリース確認通知メッセージを転送する際に実行される処理である。これら各処理の詳細については重複を避けるために動作例にて明らかにする。なお、ＩＰリース提示メッセージおよびＩＰリース選択メッセージの転送の際に制御部３１０が実行する処理については、周知のＤＨＣＰリレーエージェントが実行する処理と同一であるため説明を省略する。このように本実施形態の中継装置３０の構成は一般的なコンピュータ装置の構成と同一であり、本実施形態の特徴を顕著に示すアドレス割り当て制御処理はソフトウェアにより実現されている。
以上が中継装置３０の構成である。
【００３５】
（Ｂ：動作）
以下、端末装置５０Ａを初めて拠点内ＬＡＮ１０Ａに接続する場合を例にとって本実施形態の動作を説明する。端末装置５０Ａは、初めて拠点内ＬＡＮ１０Ａに接続されるのであるから、以下に説明する動作の開始時点では中継装置３０Ａの端末状態テーブル３５４ｃには、端末装置５０Ａについての端末状態データは格納されていない。
【００３６】
端末装置５０Ａの利用者がＬＡＮケーブルなどを用いてその端末装置５０Ａを拠点内ＬＡＮ１０Ａに接続しその電源（図示省略）を投入すると、端末装置５０Ａの制御部（図示略）は、ＩＰリース要求メッセージを拠点内ＬＡＮ１０Ａにブロードキャストする（図６参照）。このように拠点内ＬＡＮ１０Ａ内にブロードキャストされたＩＰリース要求メッセージは、その拠点内ＬＡＮ１０Ａ内にＤＨＣＰサーバ装置があればそのサーバ装置によって、同サーバ装置が無ければＤＨＣＰリレーエージェントによって処理される。本実施形態では、拠点内ＬＡＮ１０Ａには、ＤＨＣＰリレーエージェントの役割を果たす中継装置３０Ａが接続されているため、上記ＩＰリース要求メッセージは中継装置３０Ａによって受信され、その処理が行われる。すなわち、中継装置３０Ａの制御部３１０は、上記ＩＰリース要求メッセージの受信を契機として、リース要求メッセージ転送処理（図５（Ａ）参照）を実行する（図６：ステップＳＡ０１）。
【００３７】
図５（Ａ）は、制御部３１０が通信制御プログラム３５４ｄにしたがって実行するリース要求メッセージ転送処理の流れを示すフローチャートである。図５（Ａ）に示すように、制御部３１０は、まず、ＩＰリース要求メッセージの送信元についての端末状態データが端末状態テーブル３５４ｃに格納されているか否かを判定する（ステップＳＡ１００）。具体的には、制御部３１０は、ＩＰリース要求メッセージの送信に用いられたフレームのヘッダ部に書き込まれている送信元ＭＡＣアドレスを読み出し、当該ＭＡＣアドレスと一致する端末識別子を含む端末状態データが端末状態テーブル３５４ｃに格納されているか否かを判定する。つまり、該当する端末識別子を含む端末状態データが端末状態テーブル３５４ｃに格納されている場合には、ステップＳＡ１００の判定結果は“Ｙｅｓ”となり、該当端末状態データが格納さていなければステップＳＡ１００の判定結果は“Ｎｏ”となる。
【００３８】
本動作例の開始時点では、端末装置５０Ａについての端末状態データは端末状態テーブル３５４ｃに格納されていないため、ステップＳＡ１００の判定結果は“Ｎｏ”になる。ステップＳＡ１００の判定結果が“Ｎｏ”である場合、図５（Ａ）に示すように、制御部３１０は、ステップＳＡ１３０の処理を実行する。このステップＳＡ１３０では、制御部３１０は、端末装置５０ＡからブロードキャストされたＩＰリース要求メッセージをＤＨＣＰサーバ装置６０宛のユニキャストメッセージに変換し、変換後のＩＰリース要求メッセージの所定フィールド（本実施形態では、giaddrフィールド：図８参照）に、中継装置３０Ａの記憶部３５０に記憶されているネットワーク識別子３５４ａのうちセカンダリネットワークのものを書き込んでＤＨＣＰサーバ装置６０に転送する。
【００３９】
中継装置３０Ａから転送されてくるＩＰリース要求メッセージは、広域網４０内の中継装置によって適宜ルーティングされ、ＤＨＣＰサーバ装置６０に到達する。ＤＨＣＰサーバ装置６０の制御部（図示略）は、上記ＩＰリース要求メッセージを受信すると、その所定フィールドに書き込まれているネットワーク識別子を読み出し、そのネットワーク識別子の示す論理ネットワークに属する端末装置に割り当てる通信アドレス群のうちの未使用アドレスを払い出す。本動作例では、上記所定フィールドにはセグメントＡにおけるセカンダリネットワークのネットワーク識別子が書き込まれているのであるから、「１９２．１６８．２．１〜１９２．１６８．２．５０」の範囲内の未使用アドレスが１つ払い出される。次いで、ＤＨＣＰサーバ装置６０の制御部は、当該通信アドレスを書き込んだＩＰリース提示メッセージを生成し、上記ＩＰリース要求メッセージの送信元へ返信する。
【００４０】
上記ＩＰリース提示メッセージは中継装置３０Ａによって、ＩＰリース要求メッセージの送信元である端末装置５０Ａに転送され、端末装置５０Ａの制御部は当該ＩＰリース提示メッセージにより提示された通信アドレスの割り当てを受け入れる場合には、ＩＰリース選択メッセージを返信する。このＩＰリース選択メッセージは中継装置３０ＡによってＤＨＣＰサーバ装置６０へ転送され、ＤＨＣＰサーバ装置６０は当該ＩＰリース選択メッセージを受信すると、その送信元に対して提示した通信アドレスとその貸し出し期間を示すリース期間オプション値Ｔとを書き込んだリース確認通知メッセージを返信する。中継装置３０Ａの制御部３１０は、第１通信Ｉ／Ｆ部３３０を介して上記ＩＰリース確認通知メッセージを受信すると、図６に示すように、リース確認通知メッセージ転送処理を実行する（図６：ステップＳＢ０１）。
【００４１】
図５（Ｂ）は、リース確認通知メッセージ転送処理の流れを示すフローチャートである。図５（Ｂ）に示すように、このリース確認通知メッセージ転送処理では、制御部３１０は、まず、受信したＩＰリース確認通知メッセージの転送先となる端末装置についての端末状態データが端末状態テーブル３５４ｃに格納さているか否かを判定する（ステップＳＢ１００）。このステップＳＢ１００にて制御部３１０が実行する処理の詳細については、前述したステップＳＡ１００の処理と同様であるため説明を省略する。そして、制御部３１０は、ステップＳＢ１００の判定結果が“Ｙｅｓ”であれば、当該ＩＰリース確認通知メッセージをそのままその宛先の端末装置へ転送し（ステップＳＢ１２０）、逆に、ステップＳＢ１００の判定結果が“Ｎｏ”であれば、当該ＩＰリース確認通知メッセージに書き込まれているリース期間オプション値Ｔをより短い貸し出し期間を示す値Ｔ´に書き換え（ステップＳＢ１１０）、その後、ステップＳＢ１２０の処理を実行する。このように端末状態データが端末状態テーブル３５４ｃに格納さていない端末装置に対してリース期間を短くする理由については後に明らかにする。
【００４２】
本動作例では、上記ＩＰリース確認通知メッセージの転送先は端末装置５０Ａであり、この端末装置５０Ａについての端末状態データは端末状態テーブル３５４ｃには格納されていないのであるから、ステップＳＢ１００の判定結果は“Ｎｏ”になり、上記ステップＳＢ１１０の処理が実行される。なお、本動作例では、端末状態データが端末状態テーブル３５４ｃに格納されているか否かを判定基準としてリース期間を短くするか否かを決定した。しかし、リース期間の管理をより確実に行うことができるようにするため、リース要求メッセージ転送処理にてセカンダリネットワークのネットワーク識別子を割り当てた端末装置にＩＰリース確認通知メッセージを転送する場合には、無条件にリース期間オプション値Ｔをより短いリース期間を示す値に書き換えても良い。
【００４３】
端末装置５０Ａの制御部（図示略）は、中継装置３０Ａから転送されてくるＩＰリース確認通知メッセージを受信すると、そのＩＰリース確認通知メッセージの所定フィールドに書き込まれている通信アドレスを読み出し、自装置に割り当てられた通信アドレスとして記憶する。以降、端末装置５０Ａは、同メッセージに書き込まれているリース期間オプション値Ｔ´の示すリース期間が経過するまで、上記通信アドレスを使用してＴＣＰ／ＩＰに準拠したデータ通信を行うことができる。一方、中継装置３０の制御部３１０は、上記ＩＰリース確認通知メッセージの中継を行ってから上記リース期間オプション値Ｔ´の示すリース期間が経過するまでの間に端末装置５０ＡとＴＣＰ／ＩＰに準拠した通信を行い、その端末状態を示すデータを取得して端末状態テーブル３５４ｃに書き込む端末状態収集処理（図６：ステップＳＣ０１）を実行する。具体的には、制御部３１０は、端末装置５０Ａに対して、インストールされている検疫ソフトウェアの種類およびパターンファイルの種類を表わすデータの送信を要求し、この要求に応じて端末装置５０Ａから送信されてくるデータと当該端末装置５０Ａの端末識別子（本実施形態では、当該データの送信に用いられたフレームのヘッダ部に書き込まれている送信元ＭＡＣアドレス）とを対応付けて端末状態テーブル３５４ｃに書き込むのである。
【００４４】
さて、リース期間オプション値Ｔ´の示すリース期間が経過した後は、端末装置５０Ａは、上記通信アドレスを使用した通信を行えなくなる。ここで、上記リース期間を通常よりも短くしたのは、以上の処理にて端末装置５０Ａに割り当てる通信アドレスは、その端末状態に基づかない暫定的なものであり、上記端末状態収集処理の実行に要する時間が確保できれば十分だからである。上記リース期間の経過を検知すると、端末装置５０Ａは、新たな通信アドレスの割り当てを受けるべく、再度、ＩＰリース要求メッセージをブロードキャストする。このようにしてブロードキャストされたＩＰリース要求メッセージを受信した中継装置３０Ａでは、再度、リース要求メッセージ転送処理が実行される（図６：ステップＳＡ０２）。図６に示すにように、ステップＳＡ０２にて実行されるリース要求メッセージ転送処理の実行時点では、ステップＳＣ０１の端末状態収集処理を実行済みであり、端末装置５０Ａについての端末状態データが端末状態テーブル３５４ｃに格納されている。このため、ステップＳＡ０２で実行されるリース要求メッセージ転送処理では、ステップＳＡ１００の判定結果は“Ｙｅｓ”になる（図５（Ａ）参照）。
【００４５】
図５（Ａ）に示すように、ステップＳＡ１００の判定結果がＹｅｓである場合は、制御部３１０は、上記ＩＰリース要求メッセージの送信元の端末状態が条件テーブル３５４ｂに格納されている条件データの示す条件を満たすか否かを判定する（ステップＳＡ１１０）。そして、制御部３１０は、ステップＳＡ１１０の判定結果がＹｅｓである場合には、上記ＩＰリース要求メッセージの所定フィールドにプライマリネットワークのネットワーク識別子３５４ａを書き込んでＤＨＣＰサーバ装置６０へ転送し（ステップＳＡ１２０）、逆に、ステップＳＡ１１０の判定結果が“Ｎｏ”である場合には、前述したステップＳＡ１３０の処理を実行する。ＩＰリース要求メッセージを受信したＤＨＣＰサーバ装置６０では、そのＩＰリース要求メッセージの所定フィールドに書き込まれているネットワーク識別子に応じてプライマリアドレス、またはセカンダリアドレスの何れかが選択されるのであるから、ＩＰリース要求メッセージの所定フィールドにセットされるネットワーク識別子は、ＤＨＣＰサーバ装置６０に対してプライマリアドレスを貸し出すのか、それともセカンダリアドレスを貸し出すのかを指示する指示子の役割を担うのである。
【００４６】
上記のようにして中継装置３０Ａから転送されてくるＩＰリース要求メッセージも広域網４０内の中継装置によって適宜ルーティングされ、ＤＨＣＰサーバ装置６０に到達する。ＤＨＣＰサーバ装置６０の制御部（図示略）は、上記ＩＰリース要求メッセージを受信すると、その所定フィールドに書き込まれているネットワーク識別子を読み出し、そのネットワーク識別子の示す論理ネットワークに属する端末装置に割り当てる通信アドレス群のうちの未使用アドレスを払い出す。そして、ＤＨＣＰサーバ装置６０の制御部は当該通信アドレスを書き込んだＩＰリース提示メッセージを返信する。このＩＰリース提示メッセージは中継装置３０Ａによって端末装置５０Ａに転送され、端末装置５０Ａは当該ＩＰリース提示メッセージを受信すると、ＩＰリース選択メッセージを返信する。このＩＰリース選択メッセージは中継装置３０ＡによってＤＨＣＰサーバ装置６０へ転送され、ＤＨＣＰサーバ装置６０は当該ＩＰリース選択メッセージを受信すると、その送信元に対して提示した通信アドレスとその貸し出し期間を示すリース期間オプション値Ｔとを書き込んだリース確認通知メッセージを返信する。
【００４７】
中継装置３０Ａの制御部３１０は、上記ＩＰリース確認通知メッセージを受信すると、リース確認通知メッセージ転送処理を実行する（図６：ステップＳＢ０２）。このステップＳＢ０２の実行時点では、前述したステップＳＣ０１の処理によって端末装置５０Ａについての端末状態データが端末状態テーブル３５４ｃに格納されているため、ステップＳＢ０２で実行されるリース確認通知メッセージ転送処理のステップＳＢ１００の判定結果は“Ｙｅｓ”になる。図５（Ｂ）に示すように、ステップＳＢ１００の判定結果がＹｅｓである場合は、制御部３１０は、前述したステップＳＢ１１０の処理（リース期間オプション値Ｔの書き換え）を行うことなく、ＩＰリース確認通知メッセージをその宛先へ転送する（ステップＳＢ１２０）。このように、ステップＳＢ１００の判定結果がＹｅｓである場合にはリース期間オプション値Ｔの書き換えを行わずにＩＰリース確認通知メッセージを転送するようにしたのは、このＩＰリース確認通知メッセージに含まれている通信アドレスは、その割り当てを受ける端末装置の端末状態が所定の条件を満たすか否かに応じて割り当てられたものであり、そのリース期間を短く制限する必要はないからである。
【００４８】
以降、端末装置５０Ａは、中継装置３０Ａから転送されてくるＩＰリース確認通知メッセージを受信すると、そのＩＰリース確認通知メッセージの所定フィールドに書き込まれている通信アドレスを読み出し、自装置に割り当てられた通信アドレスとして記憶し、同メッセージに書き込まれているリース期間オプション値Ｔの示す期間が経過するまで、データ通信を行うことができるのである。例えば、端末装置５０Ａの端末状態が、上記条件データの示す条件を満たすものであれば、ＤＨＣＰサーバ装置６０によってプライマリアドレスが端末装置５０Ａに割り当てられることとなり、当該端末装置５０Ａは、セグメントを跨ぐデータ通信を実行することができる。逆に、端末装置５０Ａの端末状態が、上記条件データの示す条件を満たさないものであれば、ＤＨＣＰサーバ装置６０によってセカンダリアドレスが端末装置５０Ａに割り当てられることとなり、当該端末装置５０Ａは、セグメントを跨がない範囲でのみ（例えば、拠点内ＬＡＮ１０Ａに接続されている他の端末装置であって、セカンダリアドレスを割り当てられている端末装置との間でのみ）データ通信を実行することができるのである。
【００４９】
以上説明したように、本実施形態では、中継装置３０によってその配下の端末装置５０に対してプライマリアドレスを割り当てるのか、それともセカンダリアドレスを割り当てるのかの判定が行われる。このため、上記判定をＤＨＣＰサーバ装置６０で行う態様に比較して、その判定の実行に要する処理負荷を各中継装置３０に分散し、ＤＨＣＰサーバ装置６０に過剰な負荷がかかることが回避される。また、本実施形態においては、各端末装置へ割り当てる通信アドレス群をＤＨＣＰサーバ装置６０で一括管理することができる一方、プライマリアドレスの割り当て条件を示す条件データや端末状態データについては上記判定を行う各中継装置３０に記憶させておけば良く（すなわち、各拠点にて作業を行えば良い）、これらのデータの登録のためにＤＨＣＰサーバ装置６０が設置されている情報処理センタに出向く必要はない。
【００５０】
（Ｃ：変形）
以上、本発明の実施形態について説明したが、この実施形態を以下のように変形しても良いことは勿論である。
（１）上述した実施形態では、互いに異なる２つの通信網に接続され、ＩＰパケットの転送制御を行う中継装置に本発明を適用した。しかし、図５（Ａ）に示すリース要求メッセージ転送処理および図５（Ｂ）に示すリース確認通知メッセージ転送処理を実行する中継装置（具体的には、ＤＨＣＰエージェントとしてのみ機能する中継装置）をＩＰパケットの転送制御を行う中継装置とは別個に各拠点内ＬＡＮ１０に設けるようにしても良い。
【００５１】
（２）上述した実施形態では、プライマリアドレスの割り当て条件（すなわち、セグメントを跨ぐ通信を許可する条件）として、以下の３つの条件が定められていた。すなわち、第１に、端末識別子が予め登録されたものであること（条件１）、第２に所定の種類の検疫ソフトウェアがインストールされていること（条件２）、そして、第３に、上記検疫ソフトウェアを実行する際に参照されるデータ（パターンファイル）として所定の種類のものがインストールされていること（条件３）、である。しかし、これら３つの条件のうちの何れか１または２つのみを課しても良い。例えば、上記条件１のみを課す態様においては、予め登録された端末装置であるか否かに応じてプライマリアドレスまたはセカンダリアドレスの何れかが割り当てられることとなるため、前述したＤＨＣＰ認証（非特許文献２参照）と同一の作用効果が得られることになり、上記条件２（或いは条件２と条件３）を課すようにすれば、前述したＱＡＣ（非特許文献３）と同一の作用効果が得られる。
【００５２】
また、プライマリアドレスの割り当て条件として、上述した条件１〜条件３の３つの条件とは異なる他の条件を課しても勿論良い。具体的には、特定の種類のソフトウェア（例えば、Ｗｉｎｎｙなどに代表されるファイル交換ソフトウェア）がインストールされていないという条件を課すといった具合である。この種のファイル交換ソフトウェアがインストールされていると、端末装置５０に記憶されている各種データが上記ファイル交換ソフトウェアによって使用者の知らない間に流出する虞があるからであり、上記各種データに社外秘等の機密情報が含まれている場合には、機密漏えいの原因となりかねないからである。
【００５３】
（３）上述した実施形態では、中継装置３０を介してＤＨＣＰサーバ装置６０による通信アドレスの割り当てを初めて受ける端末装置５０に対しては常にセカンダリアドレスが割り当てられるようにし、そのリース期間内に当該端末装置５０と通信し端末状態データを取得する処理を中継装置３０の制御部３１０に実行させた。しかし、ＩＰリース要求メッセージの送信の際にはその未使用フィールドに端末状態データを書き込んで送信する処理を端末装置５０に実行させ、当該未使用フィールドに書き込まれている端末状態データを参照して条件データの示す条件を満たすか否かを判定しその判定結果に応じたネットワーク識別子を付与してＩＰリース要求メッセージを転送する処理を制御部３１０に実行させるようにしても良い。このような態様によれば、中継装置３０を介してＤＨＣＰサーバ装置６０による通信アドレスの割り当てを初めて受ける端末装置５０であっても、その端末状態に応じた通信アドレスを割り当てることが可能になる。したがって、図６のステップＳＣ０１の処理を中継装置３０に実行させる必要はない。また、中継装置３０を介してＤＨＣＰサーバ装置６０による通信アドレスの割り当てを初めて受ける端末装置５０に対してはセカンダリアドレスを暫定的に割り当てる態様であっても、図６のステップＳＣ０１の処理は必ずしも必須ではない。例えば、ステップＳＣ０１の処理に換えて端末状態の登録を促す通知を送信する処理を中継装置３０の制御部３１０に実行させ、端末状態の登録については別途、利用者の自己申告等に基づいて行うようにしても良い。
【００５４】
また、端末装置から取得した端末状態データに有効期間を持たせ、定期的に繰り返し端末状態データを取得することで、常に最新の端末状態を監視し安全性を確認できるようにしても良い。
【００５５】
（４）上述した実施形態では、本発明の特徴を顕著に示すリース要求メッセージ転送処理およびリース確認通知メッセージ転送処理をＣＰＵに実行させる通信制御プログラム３５４ｄが中継装置３０の不揮発性記憶部３５４に予め格納されていた。しかし、ＣＤ−ＲＯＭなどのコンピュータ読み取り可能な記録媒体に上記通信制御プログラムを書き込んで配布しても良く、また、インターネットなどの電気通信回線経由のダウンロードにより上記通信制御プログラムを配布しても良い。このようにして配布される通信制御プログラムを一般的なコンピュータにインストールし、当該通信制御プログラムにしたがってそのコンピュータを作動させることでそのコンピュータに、中継装置３０と同一の機能を付与することが可能になる。
【符号の説明】
【００５６】
１…通信システム、１０Ａ，１０Ｂ，１０Ｃ…拠点内ＬＡＮ、２０…センタ側ＬＡＮ、３０Ａ，３０Ｂ，３０Ｃ，３０Ｄ…中継装置、４０…広域網、５０Ａ，５０Ｂ，５０Ｃ…端末装置、６０…ＤＨＣＰサーバ装置、３１０…制御部、３３０…第１通信Ｉ／Ｆ部、３４０…第２通信Ｉ／Ｆ部、３５０…記憶部、３５２…揮発性記憶部、３５４…不揮発性記憶部、３５４ａ…ネットワーク識別子、３５４ｂ…条件テーブル、３５４ｃ…端末状態テーブル、３５４ｄ…通信制御プログラム、３６０…バス。
【特許請求の範囲】
【請求項１】
セグメントを跨ぐ通信の実行を許可されている端末装置に割り当てる第１の通信アドレス群とセグメントを跨ぐ通信の実行を許可されていない端末装置に割り当てる第２の通信アドレス群とを記憶し端末装置からの要求に応じて何れかの通信アドレスを貸し出すＤＨＣＰ（Dynamic Host
Configuration Protocol）サーバ装置と、配下のセグメントに属する端末装置との間の通信を中継する中継装置において、
端末装置が前記第１の通信アドレス群に属する通信アドレスの割り当てを受けるための条件を示す条件データが書き込まれた条件テーブルと、
通信アドレスの貸し出しを要求する旨の通信メッセージであるリース要求メッセージを端末装置から受信したことを契機として、当該端末装置の状態が前記条件を満たすか否かを判定し、満たすと判定した場合には前記第１の通信アドレス群に属する通信アドレスの貸し出しを指示する旨の指示子を付与して前記リース要求メッセージを前記ＤＨＣＰサーバ装置へ転送し、満たさないと判定した場合には前記第２の通信アドレス群に属する通信アドレスの貸し出しを指示する旨の指示子を付与して前記リース要求メッセージを前記ＤＨＣＰサーバ装置へ転送するリース要求メッセージ転送手段と、
前記リース要求メッセージの送信元に貸し出す通信アドレスとその貸し出し期間を示すリース期間データとを含む通信メッセージであるリース確認通知メッセージを前記ＤＨＣＰサーバ装置から受信し、当該リース確認通知メッセージを前記ＩＰリース要求メッセージの送信元へ転送するリース確認通知メッセージ転送手段と、
を有することを特徴とする中継装置。
【請求項２】
端末装置の状態を示す端末状態データが書き込まれる端末状態テーブルを有し、
前記リース要求メッセージ転送手段は、
前記リース要求メッセージの送信元についての端末状態データが前記端末状態テーブルに格納されていない場合には、前記第２の通信アドレスの貸し出しを指示する旨の指示子を付与して前記受信したリース要求メッセージを転送する一方、該当する端末状態データが前記端末状態テーブルに格納されている場合には、当該端末状態データを参照して前記条件を満たすか否かを判定し、その判定結果に応じた指示子を付与して前記受信したリース要求メッセージを転送し、
前記リース確認通知メッセージ転送手段は、
前記リース期間データをより短い貸し出し期間を示すものに書き換えて前記リース確認通知メッセージを転送する
ことを特徴とする請求項１に記載の中継装置。
【請求項３】
前記リース確認通知メッセージ転送手段は、
前記端末状態テーブルに端末状態データが格納されていない端末装置宛てのリース確認通知メッセージを受信した場合には、当該リース確認通知メッセージに含まれている通信アドレスを記憶した後にその転送を行い、
前記記憶した通信アドレスを宛先として、当該宛先に対して端末状態データの送信を指示し、当該宛先から返信されてくる端末状態データを前記端末状態テーブルに書き込む端末状態収集手段をさらに有することを特徴とする請求項２に記載の中継装置。
【請求項４】
コンピュータを
セグメントを跨ぐ通信の実行を許可されている端末装置に割り当てる第１の通信アドレス群とセグメントを跨ぐ通信の実行を許可されていない端末装置に割り当てる第２の通信アドレス群とを記憶し端末装置からの要求に応じて何れかの通信アドレスを貸し出すＤＨＣＰサーバ装置に対して通信アドレスの貸し出しを要求する旨の通信メッセージであるリース要求メッセージを当該コンピュータの配下のセグメントに属する端末装置から受信したことを契機として、当該送信元の端末装置に対してセグメントを跨いだ通信の実行が許可されているか否かを判定し、許可されていると判定した場合には、前記第１の通信アドレス群に属する通信アドレスの貸し出しを指示する旨の指示子を付与して前記リース要求メッセージを前記ＤＨＣＰサーバ装置へ転送し、許可されていないと判定した場合には前記第２の通信アドレス群に属する通信アドレスの貸し出しを指示する旨の指示子を付与して前記リース要求メッセージを前記ＤＨＣＰサーバ装置へ転送するリース要求メッセージ転送手段と、
前記リース要求メッセージの送信元へ貸し出す通信アドレスとその貸し出し期間を示すリース期間データとを含む通信メッセージであるリース確認通知メッセージを前記ＤＨＣＰサーバ装置から受信し、当該リース確認通知メッセージを前記リース要求メッセージの送信元へ転送するリース提示転送手段、
として機能させることを特徴とするプログラム。
【請求項１】
セグメントを跨ぐ通信の実行を許可されている端末装置に割り当てる第１の通信アドレス群とセグメントを跨ぐ通信の実行を許可されていない端末装置に割り当てる第２の通信アドレス群とを記憶し端末装置からの要求に応じて何れかの通信アドレスを貸し出すＤＨＣＰ（Dynamic Host
Configuration Protocol）サーバ装置と、配下のセグメントに属する端末装置との間の通信を中継する中継装置において、
端末装置が前記第１の通信アドレス群に属する通信アドレスの割り当てを受けるための条件を示す条件データが書き込まれた条件テーブルと、
通信アドレスの貸し出しを要求する旨の通信メッセージであるリース要求メッセージを端末装置から受信したことを契機として、当該端末装置の状態が前記条件を満たすか否かを判定し、満たすと判定した場合には前記第１の通信アドレス群に属する通信アドレスの貸し出しを指示する旨の指示子を付与して前記リース要求メッセージを前記ＤＨＣＰサーバ装置へ転送し、満たさないと判定した場合には前記第２の通信アドレス群に属する通信アドレスの貸し出しを指示する旨の指示子を付与して前記リース要求メッセージを前記ＤＨＣＰサーバ装置へ転送するリース要求メッセージ転送手段と、
前記リース要求メッセージの送信元に貸し出す通信アドレスとその貸し出し期間を示すリース期間データとを含む通信メッセージであるリース確認通知メッセージを前記ＤＨＣＰサーバ装置から受信し、当該リース確認通知メッセージを前記ＩＰリース要求メッセージの送信元へ転送するリース確認通知メッセージ転送手段と、
を有することを特徴とする中継装置。
【請求項２】
端末装置の状態を示す端末状態データが書き込まれる端末状態テーブルを有し、
前記リース要求メッセージ転送手段は、
前記リース要求メッセージの送信元についての端末状態データが前記端末状態テーブルに格納されていない場合には、前記第２の通信アドレスの貸し出しを指示する旨の指示子を付与して前記受信したリース要求メッセージを転送する一方、該当する端末状態データが前記端末状態テーブルに格納されている場合には、当該端末状態データを参照して前記条件を満たすか否かを判定し、その判定結果に応じた指示子を付与して前記受信したリース要求メッセージを転送し、
前記リース確認通知メッセージ転送手段は、
前記リース期間データをより短い貸し出し期間を示すものに書き換えて前記リース確認通知メッセージを転送する
ことを特徴とする請求項１に記載の中継装置。
【請求項３】
前記リース確認通知メッセージ転送手段は、
前記端末状態テーブルに端末状態データが格納されていない端末装置宛てのリース確認通知メッセージを受信した場合には、当該リース確認通知メッセージに含まれている通信アドレスを記憶した後にその転送を行い、
前記記憶した通信アドレスを宛先として、当該宛先に対して端末状態データの送信を指示し、当該宛先から返信されてくる端末状態データを前記端末状態テーブルに書き込む端末状態収集手段をさらに有することを特徴とする請求項２に記載の中継装置。
【請求項４】
コンピュータを
セグメントを跨ぐ通信の実行を許可されている端末装置に割り当てる第１の通信アドレス群とセグメントを跨ぐ通信の実行を許可されていない端末装置に割り当てる第２の通信アドレス群とを記憶し端末装置からの要求に応じて何れかの通信アドレスを貸し出すＤＨＣＰサーバ装置に対して通信アドレスの貸し出しを要求する旨の通信メッセージであるリース要求メッセージを当該コンピュータの配下のセグメントに属する端末装置から受信したことを契機として、当該送信元の端末装置に対してセグメントを跨いだ通信の実行が許可されているか否かを判定し、許可されていると判定した場合には、前記第１の通信アドレス群に属する通信アドレスの貸し出しを指示する旨の指示子を付与して前記リース要求メッセージを前記ＤＨＣＰサーバ装置へ転送し、許可されていないと判定した場合には前記第２の通信アドレス群に属する通信アドレスの貸し出しを指示する旨の指示子を付与して前記リース要求メッセージを前記ＤＨＣＰサーバ装置へ転送するリース要求メッセージ転送手段と、
前記リース要求メッセージの送信元へ貸し出す通信アドレスとその貸し出し期間を示すリース期間データとを含む通信メッセージであるリース確認通知メッセージを前記ＤＨＣＰサーバ装置から受信し、当該リース確認通知メッセージを前記リース要求メッセージの送信元へ転送するリース提示転送手段、
として機能させることを特徴とするプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【公開番号】特開２０１１−１０１２０６（Ｐ２０１１−１０１２０６Ａ）
【公開日】平成２３年５月１９日（２０１１．５．１９）
【国際特許分類】
【出願番号】特願２００９−２５４６５４（Ｐ２００９−２５４６５４）
【出願日】平成２１年１１月６日（２００９．１１．６）
【出願人】（０００００４０７５）ヤマハ株式会社 (5,930)
【Ｆターム（参考）】
【公開日】平成２３年５月１９日（２０１１．５．１９）
【国際特許分類】
【出願日】平成２１年１１月６日（２００９．１１．６）
【出願人】（０００００４０７５）ヤマハ株式会社 (5,930)
【Ｆターム（参考）】
[ Back to top ]