通信のセキュリティを確保するためのパケットフィルタリング方法およびパケット通信システム
【課題】フィルタリングのためのフィルタ条件を簡素化すると共にＩＰｓｅｃにも対応可能なパケットフィルタリング方法を提供する。
【解決手段】この方法においては、（ｉ）受信側に送信すべきパケットに、受信側でのフィルタリングに供するためのフィルタリング情報を格納して送信側より送信し（Ｓ１１）、（ii）送信側からのパケットを受信し、該パケットに格納されたフィルタリング情報を検出して（Ｓ１２）、受信側でのフィルタリングに供する。このフィルタリング情報は単純なフィルタキー（ＦＫ）からなる。
【解決手段】この方法においては、（ｉ）受信側に送信すべきパケットに、受信側でのフィルタリングに供するためのフィルタリング情報を格納して送信側より送信し（Ｓ１１）、（ii）送信側からのパケットを受信し、該パケットに格納されたフィルタリング情報を検出して（Ｓ１２）、受信側でのフィルタリングに供する。このフィルタリング情報は単純なフィルタキー（ＦＫ）からなる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、インターネットにおいて通信のセキュリティを確保するための、パケットフィルタリング方法、そのための通信装置および認証装置、およびパケット通信システムに関する。
【背景技術】
【０００２】
フィルタリング技術は、企業等がインターネットに接続する場合に、該インターネットからの、または、インターネットへの不適切なアクセスを制限するための技術であり、通常、ファイアウォールやルータあるいはホスト等の通信装置にフィルタリング手段として実装される。このフィルタリング手段は、インターネットから上記企業等（またはこの逆）にアクセスする各パケットについて、予め定めた制限条件に合致するか否か判定を行い、合致したときは当該パケットを廃棄してしまう。
【０００３】
例えば、企業等内のイントラネットで使用されるプライベートアドレスは、企業内においてのみ自由に使えるアドレスであるから、このようなアドレスを含むパケットがインターネット上に転送されることは不適切であり、当該パケットを上記フィルタリング手段により廃棄する。あるいは、ある特定のアプリケーションについては予め特定のポート番号を指定しておいて、そのポート番号を含むパケットのみをフィルタリング手段でアクセスを許可する、ということが行われる。
【０００４】
図２０は本発明の対象となるネットワークを概略的に示す図である。
【０００５】
本図において、左側はＩＳＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）により構築されるインターネットを表し、右側は企業のネットワーク例えばイントラネットを表す。そしてこれらの境界に配置されるのが通信装置であり、本発明は主としてこの通信装置を対象とする。
【０００６】
なお上記「通信装置」の語は、本発明において、前述したファイアウォールやルータあるいはホスト等を総称したものであり、この通信装置内でパケットフィルタリングが行われる。
【０００７】
図２１は従来の通信装置の一般的構成を表す図であり、
図２２は図２１の比較テーブル１２を詳細に示す図である。
【０００８】
図２１において、参照番号１０は上記の通信装置であり、具体的にはルータまたはホストである。
【０００９】
この通信装置１０内には、パケットフィルタリングを行うための比較手段１１が設けられる。この比較手段１１は比較テーブル１２を備え、この比較テーブル１２を参照しながら、入力（ＩＮ）されたパケットＰＫＴを通過させるか、または廃棄するか、を決定する。通過が許可されたパケットＰＫＴはＯＵＴより出力される。
【００１０】
上記の通過または廃棄のために参照される比較テーブル１２の詳細例を図２２に示す。
【００１１】
本図を参照すると、比較テーブル１２内には、フィルタ条件（＜１＞，＜２＞…＜ｋ＞）が予めリストとして格納されている。パケットＰＫＴが通信装置１０に入力されると、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）の場合、各パケット毎に、フィルタ条件である、「宛先ＩＰアドレス」、「発信ＩＰアドレス」、「宛先ポート番号」、「発信ポート番号」等がチェックされ、このフィルタ条件に合致しないパケットＰＫＴは廃棄される。
【００１２】
上記比較テーブル１２の中で、「宛先ＩＰアドレスに対するマスク」とあるのは、例えば宛先ＩＰアドレス（ｍビット）のうち下位ｎ（ｍ＞ｎ）ビットはマスク（無視）することを意味する。このマスクにより、複数の通信相手を一つの集合体としてフィルタリングでき、効率がよい。同テーブル１２内の「発信ＩＰアドレスに対するマスク」も同様の目的で用いられる。
【００１３】
上記比較テーブル１２にて指定されるフィルタ条件の対象は、通常、各パケットのヘッダ内に記述される情報である。このヘッダについて以下に実際の例を示す。
【００１４】
図２３はＩＰｖ４ヘッダの実際の内容を示すフォーマット図、
図２４はＩＰｖ６ヘッダの実際の内容を示すフォーマット図、
図２５はＴＣＰヘッダの実際の内容を示すフォーマット図、
図２６はＵＤＰヘッダの実際の内容を示すフォーマット図である。
【００１５】
図２３のＩＰｖ４（ＩＰ Ｖｅｒｓｉｏｎ ４）ヘッダを参照すると、上記「発信ＩＰアドレス」は“Ｓｏｕｒｃｅ Ａｄｄｒｅｓｓ”によりチェックされ、上記「宛先ＩＰアドレス」は“Ｄｅｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓ”によりチェックされる。
【００１６】
図２４のＩＰｖ６（ＩＰ Ｖｅｒｓｉｏｎ ６）ヘッダにおいても、上述の図２３の場合と同様である。
【００１７】
図２５のＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）ヘッダは、ＩＰよりも上位層で機能するが、前述と同様、上記「発信ポート番号」は“Ｓｏｕｒｃｅ Ｐｏｒｔ”によりチェックされ、上記「宛先ポート番号」は“Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔ”によりチェックされる。なおこのＤｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔは、特定のアプリケーションを指定することが多い。
【００１８】
図２６のＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）ヘッダにおいても、上述の図２５の場合と同様である。
【００１９】
なお本発明に関連する公知技術として、下記の〔特許文献１〕、〔特許文献２〕および〔非特許文献１〕がある。
【００２０】
【特許文献１】特開平６−２６１０５７号公報
【特許文献２】特開２０００−５９３５７号公報
【非特許文献１】川崎慎介、「三菱商事 ２０社結ぶエクストラネット 認証・暗号化は外部に委託」、日経コミュニケーション、第２８８号、日経ＢＰ社、第１３１−１３６頁、１９９９年２月１５日
【発明の開示】
【発明が解決しようとする課題】
【００２１】
上述した従来の比較手段１１（図２１）によると、次のような問題が生ずる。第１には、今後益々通信相手の数が増大するのに伴って、上述したフィルタ条件の数も増大することである。すなわち、上記比較テーブル１２へのフィルタ条件のエントリ数が増大してしまい、ハードウエアの増大と共にフィルタリング時間も増大してしまう、という問題である。
【００２２】
第２は、今後その利用が拡大すると考えられるＩＰｓｅｃ（ＩＰ Ｓｅｃｕｒｉｔｙ）プロトコルを導入した場合、上記の上位層のＴＣＰヘッダやＵＤＰヘッダが、そのＩＰｓｅｃにより暗号化されてしまい、図２５や図２６に示す“Ｓｏｕｒｃｅ Ｐｏｒｔ”および“Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔ”を用いたフィルタリングができなくなる、という問題である。
【００２３】
また付随的には、ＶｏＩＰ（Ｖｏｉｃｅ ｏｖｅｒ ＩＰ）等のように、ポート番号がネゴシエーションによりダイナミックに決定される、いわゆるピア・ツー・ピア型のアプリケーションでは、静的な設定でフィルタリングできず、その結果、セキュリティを確保するために、ＶｏＩＰのパケットを全てフィルタリングしなければならず、実質的にＶｏＩＰが使えない等の問題もある。
【００２４】
したがって本発明は、上記問題点に鑑み、主として、フィルタ条件のエントリ数を大幅に削減すると共にＩＰｓｅｃにも対応可能な、パケットフィルタリング方法およびそのための通信装置を提供することを目的とするものである。
【課題を解決するための手段】
【００２５】
本発明は上記目的を達成するために、フィルタリングのためのフィルタ条件を簡素化すると共にＩＰｓｅｃにも対応可能なパケットフィルタリング方法を提供する。そしてこの方法は、
（ｉ）受信側に送信すべきパケットに、受信側でのフィルタリングに供するためのフィルタリング情報を格納して送信側より送信するステップと、
（ii）送信側からのパケットを受信し、該パケットに格納されたフィルタリング情報を検出して、受信側でのフィルタリングに供するステップを含んでなる。そして、このフィルタリング情報は単純なフィルタキーからなる。
【発明の効果】
【００２６】
後に説明するように本発明によれば、次のような効果が得られる。
【００２７】
（１）フィルタ条件を示すテーブルには、フィルタキーのみを格納するだけでよく、しかも、そのフィルタキーは各ユーザ対応（つまり関係する全ての端末のＩＰアドレス対応）でなく特定のグループ対応で設定することができるので、上記のテーブルへのフィルタキーの設定、すなわちエントリは大幅に簡略化される。また、そのテーブルのメモリ容量は大幅に縮小できる。
【００２８】
従来は、図２２に示すフィルタ条件の説明から明白なように、多種のフィルタ条件データがあるため、比較の条件（ＡＮＤまたはＯＲ）が複雑になるが、本発明では上記のように、テーブルに格納されるのはフィルタキーのみであり、比較のための論理処理は飛躍的に簡素化され、このためフィルタリング処理は格段に高速化される。
【００２９】
（２）ＩＰｓｅｃプロトコルが導入されると、従来の、ＴＣＰヘッダまたはＵＤＰヘッダ内のフィルタ条件を用いたパケットフィルタリングの実施はこれらヘッダの暗号化により不可能になるが、本発明によれば、これらＴＣＰヘッダまたはＵＤＰヘッダが暗号化されても、図６に示すとおり、フィルタキーはその暗号化の対象から外れるので、該パケットフィルタリングの実施に何の支障もない。したがって、ポート番号の値が不定となるようなアプリケーションに対応する場合、あるいは、ポート番号の値が暗号化により不明となる場合に、全てのパケットの通過を禁止するのではなく、必要なパケット以外のパケットを廃棄するフィルタリングを実施するようにすることができる。
【００３０】
（３）従来苦手としてきた、ＶｏＩＰのようなアプリケーションに対しても、容易にパケットフィルタリングを適用可能となる。
【００３１】
（４）多数のユーザが参加する学会や会議等のグループ単位でのパケットフィルタリングが簡単に行える。
【００３２】
（５）映画の配信等のマルチキャストコンテンツに対し、受信料の支払いの有無に応じたユーザへの選択的な配信を簡単に行うことができる。
【発明を実施するための最良の形態】
【００３３】
図１は本発明に係るパケットフィルタリング方法を示すフローチャートである。
【００３４】
本図に示すステップＳ１１〜Ｓ１５のうち、特に本発明を特徴づけるのはステップＳ１１およびＳ１２である。
【００３５】
ステップＳ１１：受信側に送信すべきパケットに、受信側でのフィルタリングに供するためのフィルタリング情報を格納して送信側より送信する。
【００３６】
ステップＳ１２：送信側からのパケットを受信し、このパケットに格納された上記のフィルタリング情報を検出して、受信側でのフィルタリングに供する。
【００３７】
この受信側でのフィルタリングの動作（Ｓ１３〜Ｓ１５）は従来と実質的に同じである。
【００３８】
ステップＳ１３：受信側にて、予め定めた受信側のフィルタリング情報を保持し、パケットから検出された送信側のフィルタリング情報と受信側のフィルタリング情報とを比較する。
【００３９】
ステップＳ１４：上記の比較の結果、両者が一致したら当該パケットを通過させる。
【００４０】
ステップＳ１５：上記の比較の結果、両者が不一致のとき当該パケットを廃棄する。
【００４１】
上記のように本発明はフィルタ条件を、新たに定義したフィルタリング情報を用いて定めるようにした。このフィルタリング情報を構成するコードを本発明では、以下、フィルタキーと称する。
【００４２】
本発明は、図２２に示す従来の煩雑なフィルタ条件となるフィルタデータに代えて、あるいはその従来のフィルタデータと共に、単純なフィルタキーを用いる。そしてこのフィルタキーを上記の比較の対象とする。
【００４３】
従来との大きな相違は、フィルタ条件が従来、ユーザ一意（ｕｎｉｑｕｅ）に定められたのに対し、本発明では、ユーザを特定することなくパケット自体にフィルタ条件（フィルタキー）を埋め込んだことにある。
【００４４】
したがって、例えば、あるメーカの資材購買部門と、該部門に連携して独占的に資材を納入しているある下請メーカとの間では、単一の共通フィルタキーを割り当て、両者間の通信パケットに該共通フィルタキーを埋め込んでフィルタリングすることによりセキュリティを確保する、といったようなことが可能となる。これはフィルタ条件の数の大幅な削減をもたらす。
【００４５】
このように本発明は、通信同士間で予め定めた特定のフィルタキーを、当該通信に供する各パケットに埋め込んで、所期のフィルタリングを実現するが、この場合、そのフィルタキーを各パケットのどこに格納すべきか、という問題がある。
【００４６】
この問題の解決のために、本発明は、既述の第２の問題、すなわちＴＣＰヘッダあるいはＵＤＰヘッダが、ＩＰｓｅｃにより暗号化されて、フィルタリングができなくなるという問題も同時に解決することを企図して、次のような、フィルタキーの格納手法をとる。この格納手法に至る経緯を、以下の各図に沿って順次説明する。
【００４７】
図２はＴＣＰ／ＵＤＰヘッダを含む一般的なパケットを示す図である。
【００４８】
本図において、パケットＰＫＴの先頭にはＩＰヘッダが置かれ、続いて、ＴＣＰヘッダ（またはＵＤＰヘッダ）が置かれ、その後に本来のデータが続く。
【００４９】
図３はＩＰｓｅｃを採用した一般的なパケットを示す図である。
【００５０】
図２のパケットＰＫＴに対してＩＰｓｅｃを採用すると、ＩＰヘッダの直後にＩＰｓｅｃ暗号化ヘッダが置かれ、続くＴＣＰヘッダ（またはＵＤＰヘッダ）とデータとが暗号化（ハッチングで表す）されてしまい、既述の第２の問題を生じさせる。
【００５１】
図４は従来のフィルタリングを採用した場合のパケットを示す図である。
【００５２】
図２２において説明したフィルタ条件は、パケットＰＫＴ内のＦ（ＩＰヘッダに対し）やＦ’（ＴＣＰまたはＵＤＰヘッダに対し）に設定される。
【００５３】
図５は本発明に基づくフィルタキーを格納したパケットを示す図である。
【００５４】
このパケットはＩＰｖ６に準拠したパケットであり、ＩＰｖ６拡張ヘッダ（ＥＸＴ）にフィルタキーＦＫとして格納される。あるいはそのＥＸＴにフィルタキーヘッダとして形成される。
【００５５】
またはＩＰｖ６ヘッダ内のフローラベル領域に、そのフィルタキーＦＫ’（点線で示す）が格納される。このフローラベル領域は、前述した図２４（ＩＰｖ６ヘッダ）の右上に、“Ｆｌｏｗ Ｌａｂｅｌ”として既に示されている。この領域の利用態様についてはまだ定められていない。
【００５６】
図６は図５に示す本発明のパケットにＩＰｓｅｃを採用した場合のパケットを示す図である。
【００５７】
本図より明らかなように、ＩＰｓｅｃによりＴＣＰヘッダ（またはＵＤＰヘッダ）が暗号化されても、フィルタキーＦＫの方は全く影響を受けない。このフィルタキーＦＫが格納され、または、フィルタキーヘッダとして形成される前記ＩＰｖ６拡張ヘッダについて図示しておく。
【００５８】
図７はＩＰｖ６拡張ヘッダの実際の内容を示すフォーマット図である。
【００５９】
このＩＰｖ６拡張ヘッダは、ＩＰｖ６のオプション形式に準拠している。
【００６０】
本図に示すとおり、ＩＰｖ６拡張ヘッダＥＸＴは、フォーマット上、図２４に示すＩＰｖ６ヘッダに続けて配置されるもので、さらに複数のＥＸＴをシリーズにつなげることができる。したがって図６に示すＩＰｓｅｃ暗号化ヘッダは、その複数のＥＸＴの１つとして配置することもできる。次のＥＸＴとの境界は、図７の“Ｈｄｒ Ｅｘｔ Ｌｅｎ”（ＥＸＴ長）により分かる。
【００６１】
フィルタキーＦＫは、そのＥＸＴの１つの中に格納することもできるし、あるいは、このＥＸＴそのものをフィルタキーヘッダとしてもよい。
【００６２】
図２４に示す“Ｎｅｘｔ Ｈｅａｄｅｒ”をまず検出すると、ここにはそのフィルタキーが格納されている拡張領域のアドレスが書かれている。このアドレスのところをアクセスすれば、図７に表すように目的とするフィルタキー（ＦＫ）が示されている。なおこの拡張領域をどのように利用するかはユーザに任されている。
【００６３】
以上、図２以降の図面を参照して説明した事項を要約すると、次のとおりである。
【００６４】
（ｉ）パケットＰＫＴがＩＰｖ６に準拠したパケットであるとき、そのＩＰｖ６ヘッダ部分においてフィルタリング情報（フィルタキーＦＫ，ＦＫ’）を格納するようにする。
【００６５】
（ii）パケットＰＫＴがＩＰｖ６に準拠したパケットであるとき、そのＩＰｖ６ヘッダに付加されるＩＰｖ６拡張ヘッダＥＸＴに、フィルタリング情報（フィルタキーＦＫ）を格納するようにする。
【００６６】
（iii ）パケットＰＫＴがＩＰｖ６に準拠したパケットであるとき、そのＩＰｖ６ヘッダ内のフローラベル（Ｆｌｏｗ Ｌａｂｅｌ）領域に、フィルタリング情報（フィルタキーＦＫ’）を格納するようにする。
【００６７】
図８は本発明を適用したネットワークを図解的に表す図である。
【００６８】
すなわち図２０に示すネットワークに本発明を適用した様子を例示するが、このために通信装置１０ａ〜１０ｄがさらに描かれている。
【００６９】
本図では、フィルタキーＦＫとして、ＦＫ＝０ｘ８７２６０ｆａ８７９ｃｂ９０を用いる（ただしこれは全くの一例である）。すなわち、ネットワーク（インターネット）とネットワーク（イントラネット）の境界に配置される通信装置１０ｃは、上記のＦＫを予め保持する。
【００７０】
今仮に通信装置１０ａと１０ｂが、通信装置１０ｄに対し、所定のパケットを送信したものとする。
【００７１】
このとき、通信装置１０ｂからの一連のパケットには上記フィルタキーＦＫが格納されている。このため、通信装置１０ｃが保持するフィルタキーと一致し、当該パケットは該装置１０ｃを通過して通信装置１０ｄに到達することができる。
【００７２】
一方、通信装置１０ａからの一連のパケットに格納されるフィルタキーＦＫは、上記のＦＫとは異なる（本図中、！を付して示し、！＝ＮＯＴである）。このため、該装置１０ａからの一連のパケットは、通信装置１０ｃにおいて、フィルタキーの不一致と判定され、廃棄される。なお、この判定を行うための比較手段については後述の図９に示す。ここで、一旦図２７を参照する。
【００７３】
図２７は、本発明を適用した具体的なネットワークを示す図である。企業のネットワーク２００は、本発明の機能を有する通信装置（ホスト）２１０等の他に、インターネット１００のエッジルータ１１０にアクセスするためのアクセス回線に接続されるルータ２２０で構成される。一方、出張先３００では、インターネット１００に対してＬＡＮケーブル又は電話線で接続されたルータ３２０（無線ＬＡＮ基地局、Ｌ２スイッチ、ハブ、ＡＤＳＬモデム、メディアコンバータなどでもよい）を介して、本発明が適用される通信装置３１０が配置される。この通信装置３１０としてはノートＰＣであってもよく、この場合は、ＰＨＳやＰＤＣあるいはＷ−ＣＤＭＡ等のデータ通信カードを使用することになる。
【００７４】
またさらに、一般家庭４００、ホテル客室５００、無線ＬＡＮによるホットスポット６００から、本発明が適用された通信装置により、インターネット１００をアクセスすることができる。なお、企業のネットワーク２００内のルータ２２０に本発明を適用することも可能であり、この場合は、ルータ２２０で企業内の複数の通信装置のフィルタキーを管理できるため、通信装置２１０等には本発明を適用しない、という運用も可能である。
【００７５】
図９は本発明に基づく、パケット受信側の通信装置の基本構成を示す図である。すなわち、本図の通信装置１０は、パケットフィルタリングを実施するための手段を含むパケット受信側の通信装置例えばルータまたはホストであって、任意に定めたフィルタリング情報を、フィルタキーＦＫとして、パケットのＰＫＴのヘッダ部分において格納して送信側より送信されたパケットを受信し、このヘッダ部分よりフィルタキーＦＫを検出するフィルタキー検出部２０を備える。
【００７６】
さらに、フィルタキー検出部２０により検出した送信側のフィルタキーと、予め保持している受信側のフィルタキーとを比較して、両者が不一致か否かを判定し、不一致のときに当該受信パケットを廃棄するよう指示する比較手段２１を備える。
【００７７】
この比較手段２１は、フィルタキーＦＫをリストとして収容するフィルタキーテーブル２２を有する。
【００７８】
図１０は図９の通信装置の第１の具体例を示す図である。
【００７９】
この第１の具体例の通信装置１０は、前述のフィルタキー検出部２０をなすフィルタキーヘッダ検出部２３を通過した受信パケットＰＫＴを一時的に格納するバッファ２７を備える。ここに、前述の比較手段２１は、
予め定めた複数の異なるフィルタキーＦＫ（＜１＞，＜２＞…＜ｋ＞）を保持するフィルタキーテーブル２２と、
フィルタキーヘッダ検出部２３により検出されたフィルタキーＦＫと一致するフィルタキーが、該フィルタキーテーブル２２内に有るか無いかを検索し、無しのときに廃棄指示を出力する検索部２５と、
上記の廃棄指示を受けて、バッファ２７内に格納されていたパケットを廃棄するように制御するバッファ制御部２６と、から構成される。
【００８０】
なおこの第１の具体例は、パケットＰＫＴがＩＰｖ６に準拠したパケットであるとき、そのＩＰｖ６ヘッダに付加されるＩＰｖ６拡張ヘッダに、フィルタキーヘッダを形成する場合（図７）の構成を表している。
【００８１】
一方、パケットがＰＫＴがＩＰｖ６に準拠したパケットであって、そのＩＰｖ６ヘッダ内のフローラベル領域に、フィルタキーＦＫ’を格納する場合（図２４）の構成を図１１に示す。
【００８２】
図１１は図９の通信装置の第２の具体例を示す図である。
【００８３】
本図の構成は基本的に図１０の構成と同じである。相違する点は、フィルタキー検出部２０がフローラベル領域検出部２４となったこと、検出されたフィルタキーはＦＫ’（コードはＦＫと同じであるが、パケット内の格納場所が異なる）であること、の２点である。動作は図１０の場合と同じである。
【００８４】
図１２は本発明に基づく、パケット送信側の通信装置の基本構成を示す図である。すなわち、本図の通信装置１０は、パケットフィルタリングを実施するための手段を含むパケット送信側の通信装置例えばホストであって、任意に定めたフィルタリング情報を設定する設定部３１と、設定部３１より入力されたフィルタリング情報をフィルタキーＦＫとして保持するフィルタキー保持部３２と、保持されたフィルタキーＦＫを入力として、パケットＰＫＴのヘッダ部分においてフィルタキーを格納するフィルタキー格納手段３３と、を少なくとも有して構成される。フィルタキーとして、例えば、ＴＣＰやＵＤＰのポート番号をそのまま用いても良い。このような運用を行えば、ＩＰパケットがＩＰ ＳＥＣ ＥＳＰを用いて、暗号化された場合でも、アプリケーションのフィルタリングが可能になる。あるいは、ＶｏＩＰなどポート番号が固定されないアプリケーションの場合、ＶｏＩＰのデータであることを示す値を決定し、その値をフィルタキーとして用いても良い。このような運用を行えば、ＶｏＩＰのみを通過させるようなサービスが可能になる。なお設定部３１は例えばキーボードであり、ここからフィルタリング情報となるフィルタキーのコードが入力される。このフィルタキーは、ダイナミックなネゴシエーションで相手方から通知されてもよいし、また、システム管理者から入手してもよい。この場合、フィルタキーは、時間単位、日単位あるいは週単位で更新してもよい。
【００８５】
上記格納手段３３の具体例とその周辺部分について、以下に説明する。
【００８６】
図１３は図１２の通信装置の第１の具体例を示す図である。
【００８７】
この第１の具体例においては、パケットＰＫＴがＩＰｖ６に準拠したパケットであって、前述のフィルタキー格納手段３３は、そのＩＰｖ６ヘッダに付加されるＩＰｖ６拡張ヘッダに、フィルタキーヘッダを形成するフィルタキーヘッダ生成部４１である。このフィルタキーヘッダは図７に示すとおりである。
【００８８】
本図の通信装置１０（例えばホスト）は、実際にはその他の周辺部分を備えている。
【００８９】
まず、ＩＰｓｅｃ暗号化ヘッダ（図６参照）を生成する暗号化ヘッダ生成部４３であり、ＴＣＰヘッダまたはＵＤＰヘッダを生成する上位層ヘッダ生成部４４である。また、図１２に示す、受信側へ転送すべき「データ」を生成するためのデータ生成部４５がある。
【００９０】
さらに、上記のフィルタキーヘッダ生成部４１、暗号化ヘッダ生成部４３、上位層ヘッダ生成部４４およびデータ生成部４５からの各出力を入力として、受信側へのパケットＰＫＴを生成するパケット組立／暗号化部４６を有する。このパケット組立／暗号化部４６からのパケットの出力フォーマットは、図６に示すとおりである。
【００９１】
図１４は図１２の通信装置の第２の具体例を示す図である。
【００９２】
この第２の具体例においては、パケットＰＫＴがＩＰｖ６に準拠したパケットであって、前述のフィルタキー格納部３３は、そのＩＰｖ６ヘッダ内のフローラベル領域に、フィルタキーＦＫ’を格納するＩＰｖ６ヘッダ生成部４２である。このフィルタキーＦＫ’を収容する該フローラベル領域は図２４において“Ｆｌｏｗ Ｌａｂｅｌ”として示したとおりである。
【００９３】
本図の通信装置１０もまた、図１３に示したのと同様、ＩＰｓｅｃ暗号化ヘッダを生成する暗号化ヘッダ生成部４３と、ＴＣＰヘッダまたはＵＤＰヘッダを生成する上位層ヘッダ生成部４４と、受信側へ転送すべきデータを生成するデータ生成部４５と、を有し、また、これらからの各出力を入力とするパケット組立／暗号化部４６を有する。
【００９４】
以上で本発明に係るフィルタリング方法および装置の詳細を明らかにしたので、次に、その本発明に係るフィルタリング方法および装置を実際に運用する際に必要とされるセキュリティの仕組みについて説明する。すなわち、ユーザ認証の手段である。
【００９５】
図１５は本発明が適用されるパケット通信システムの概要を示す図である。
【００９６】
本図に示すシステム５０は、転送されるパケットに対してフィルタリングが行われるパケット通信システムであり、パケット送信装置５１と、パケット受信装置５２と、認証装置５３と、を備える。
【００９７】
ここに、パケット送信装置５１は、送信側より受信側に送信すべきパケットに、この受信側でのフィルタリングに供するためのフィルタリング情報を格納して送信する。一方、パケット受信装置５２は、ネットワークを介してサーバおよびクライアント間で上記送信側からのパケットを受信し、その受信パケットに格納されたフィルタリング情報を検出して、上記受信側でのフィルタリングに供する。そしてこれら装置間を仲介する認証装置５３は、フィルタリングサービスを受けるユーザから入力されたユーザ認証情報を受信して、そのユーザの認証を行うと共に、その認証後に、そのユーザに対し、上記ユーザ認証情報に対応するフィルタリング情報としてのフィルタキーを割り当てて配布する。
【００９８】
このようなパケット通信システム５０は、次の（Ｉ）および（II）のように機能的に表すことができる。
【００９９】
（Ｉ）該システム５０は、ネットワークを介しサーバおよびクライアント間で転送されるパケットに対してフィルタリングサービスが行われるパケット通信システムであって、ユーザ側の上記サーバまたはクライアントから上記ネットワークへのアクセスに際し使用される第１手段と第２手段とを備える。これらは、
（ｉ）ユーザ認証情報を受信して、ユーザの認証を行う第１手段と、
（ii）その認証後にこのユーザに対し上記ユーザ認証情報に対応するフィルタリング情報としてのフィルタキーを割り当てて配布することによりアクセス制限を行う第２手段である。
【０１００】
なお上記第１手段および第２手段は、例えば後述する図１６において、それぞれ、フィルタリング認証手段６１およびフィルタキー提供手段６２に相当するものである（後述する（II）のパケット通信システムについても同様）。
【０１０１】
上述した、フィルタリング機能を有するパケット通信システム５０によれば、ネットワークへのアクセスに対してユーザ認証が可能となり、例えば、出張先からインターネットを介してその出張者が属する組織のネットワークへのアクセスが可能になったり、あるいは、ある出張先のローカルなネットワークからインターネットへのアクセスが可能になる。
【０１０２】
（II）上記システム５０は、ネットワークを介しサーバおよびクライアント間で転送されるパケットに対してフィルタリングサービスが行われるパケット通信システムであって、上記ネットワーク側のユーザから上記サーバまたはクライアントへのアクセスに際し使用される第１手段と第２手段を備える。これらは、
（ｉ）ユーザ認証情報を受信して、ユーザの認証を行う第１手段と、
（ii）その認証後にこのユーザに対し上記ユーザ認証情報に対応するフィルタリング情報としてのフィルタキーを割り当てて配布することによりアクセス制限を行う第２手段である。
【０１０３】
上述した、フィルタリング機能を有するパケット通信システム５０によれば、サーバの提供するサービスに対する認証は、時間単位、日単位、週単位等で最初に１回行っておけば、その後は認証なしでフィルタキーを用いたアクセス制限が可能になる。
【０１０４】
次に上記の認証装置５３を一層詳しく説明する。
【０１０５】
図１６は図１５に示す認証装置の基本構成を示す図である。
【０１０６】
本図に示すように認証装置５３（図１５）は、フィルタリング認証手段６１とフィルタキー提供手段６２とを備える。
【０１０７】
フィルタリング認証手段６１は、フィルタリングサービスを受けるユーザから入力されたユーザ認証情報ＡＩを受信して、そのユーザの認証を行う。またフィルタキー提供手段６２は、フィルタリング認証手段６１での認証後に、そのユーザに対し、ユーザ認証情報ＡＩに対応するフィルタリング情報としてのフィルタキーＦＫを割り当てて配布する。
【０１０８】
図１７は図１６に示す認証手段の具体的構成例を示す図である。
【０１０９】
本図の構成の上段側は、図１６のフィルタリング認証手段６１に相当し、その下段側は、フィルタキー提供手段６２に相当する。
【０１１０】
すなわち、フィルタリング認証手段６１は、ユーザ認証情報ＡＩを予め登録したユーザ認証データベース（ＤＢ）６５と、受信バッファ６３に入力されバッファされたユーザ認証情報ＡＩの真偽を、このユーザ認証データベース６５を参照して判定する判定部６４と、から構成される。
【０１１１】
一方、フィルタキー提供手段６２は、ユーザ認証情報（ＡＩ）対応に予め割り当てたフィルタキー（ＦＫ）を保持するフィルタキー割当テーブル６７と、上述の真偽が真であるとき、そのフィルタキー割当テーブル６７より対応のフィルタキーＦＫを、一旦送信バッファ６８にバッファして当該ユーザに対して送出するフィルタキー送出部６６と、から構成される。なお上記テーブル６７の一例は次のとおりである。
【０１１２】
図１８は図１７のフィルタキー割当テーブル６７の一例を示す図である。
【０１１３】
ただし、上述のユーザ認証情報ＡＩは、一例としてユーザＩＤおよびパスワードであるものとする。ユーザが使い慣れたコードや数字を用いれば、ユーザにとって便利である。
【０１１４】
本テーブル６７の左欄ＡＩには、予め定めた複数のユーザ毎に予め定められたユーザＩＤとパスワードが登録されている。一方、その右欄には、各ユーザＩＤおよびパスワードに対応して予め割り当てられたフィルタキーのナンバー等が登録されている。
【０１１５】
本テーブル６７の左欄ＡＩと同等の内容を有する認証情報ＡＩが登録されているユーザ認証データベース６５を参照して、図１７の左上に示すように入力されたＡＩが、該データベース６５の中のＡＩと一致するものと、図１７の判定部１７が判定すると、その一致したＡＩ（例えば図１８のＡＩの欄の２段目のＡＩとする）は、フィルタキー送出部６６に入力される。該送出部６６はフィルタキー割当テーブル６７より、そのＡＩに対応する同２段目のフィルタキー（この例では No.２）を割り出して、ユーザ側に提供する。
【０１１６】
上述した一連のフィルタキーの提供手続を図解して示すと次のとおりである。
【０１１７】
図１９は一連のフィルタキーの提供手続を表すシーケンス図である。
【０１１８】
本図に示すシーケンスは、既述の図８に示すネットワーク構成を想定すると理解し易い。ただし、図８には認証装置５３に関係するハードウェア／ソフトウェアは全く示されていないが、この認証装置５３は、図８の中のどこかに存在していればよい。つまりその認証装置５３の存在場所は図８の中のどこでもよい。
【０１１９】
もし特定的に言うならば、認証装置５３は、認証用サーバ、ファイアウォール、ルータおよびホストのうちの少なくとも１つの中に構築することができる。図１９のシーケンスは、認証装置５３を独立の認証用サーバとした場合について示すものである。
【０１２０】
図１９において、最初にクライアント（ユーザ）と認証用サーバ（５３）との間で、ユーザＩＤとパスワードに関する認証手続が順次行われる。
【０１２１】
図１７等に示すフィルタリング認証手段６１とフィルタキー提供手段６２とにより、認証が認証用サーバにおいてなされて対応のフィルタキーＦＫが該認証サーバよりクライアントに配布されると、クライアントはこのフィルタキーＦＫを埋め込んだ送信パケットを、アクセス対象サーバに向け送信する。この場合、そのフィルタキーＦＫは上記認証を経ているので有効なものであり、通信装置（例えば図８の１０ｃ）を通過し、目標のサーバ（右端）にその送信パケットは到達できる。
【０１２２】
なお上記の手続は、ＷＷＷで行ってもよい。
【０１２３】
本発明に係るフィルタリング方法および装置を実際に運用するに当っては、さらに、上述したフィルタキーを具体的にどのように設定するか、ということも検討しておかなければならない。以下、これについていくつかの好適例を挙げる。
【０１２４】
ａ）フィルタキーＦＫとして、ＴＣＰまたはＵＤＰのポート番号を用いる。
【０１２５】
なお、ＴＣＰやＵＤＰについては、図２〜図６や図２５および図２６において説明したとおりである。特に、上述のＴＣＰやＵＤＰのポート番号については、図２５および図２６において、発信ポート番号（Ｓｏｕｒｃｅ Ｐｏｒｔ）および宛先ポート番号（Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔ）として示されている。
【０１２６】
ポート番号は一般にファイル転送やＷｅｂ等のサービスの単位を表すものとして用いるが、本発明ではこのポート番号のコピーをフィルタキーとし用いる。このため例えば図７のごとく該フィルタキーを拡張領域内にＦＫとして埋め込む。
【０１２７】
このようにポート番号をそのままフィルタキーとして用いれば、既述したＩＰｓｅｃによる暗号化が行われた場合でも、アプリケーション毎のフィルタリングが支障なく行える。
【０１２８】
ｂ）既述したＶｏＩＰを用いてユーザ間で通信を行うとき、これらユーザ間で取り決めたＶｏＩＰを示す値を、フィルタキーＦＫとする。
【０１２９】
上述したファイル転送やＷｅｂ等はポート番号で一意に特定されるが、ＶｏＩＰについてはこのようにポート番号でそのアプリケーションを特定できない。
【０１３０】
したがって、ユーザ間でＶｏＩＰ通信を開始する前に動的にこの通信がＶｏＩＰであることを特定する必要がある。そこでユーザ間で取り決めた、ＶｏＩＰを示す値を、例えば図７のフィルタキーＦＫのように埋め込めば、ＶｏＩＰについてもフィルタリングが可能となる。
【０１３１】
この場合、上記のＶｏＩＰを示す値は、通信相手方でＶｏＩＰであると認識させる作用と、本発明に係るフィルタリングのための作用の双方の作用を同時に果すことになる。
【０１３２】
ｃ）ある特定の条件のもとでユーザに個別に個人ＩＤが割り当てられているとき、その個人ＩＤをフィルタキーＦＫとする。
【０１３３】
このような個人ＩＤの具体例としては、ソフトウェアの使用許可を示す登録番号（シリアルナンバー）や、あるいは各会社毎の従業員番号等がある。
【０１３４】
一般に上記ソフトウェアの登録番号は、新バージョンとなったソフトウェアをソフトウェアメーカがサーバからユーザに提供する場合、悪意のユーザからそのサーバへの不正なアクセスを防ぐ上で有効であり、日常的によく使われる認証情報（ＡＩ）である。これをフィルタキーとして利用するのも便利である。
【０１３５】
また一般に従業員番号は各企業において必ず各従業員に割り当てられるものでるから、これをフィルタキーとして利用するのも便利である。
【０１３６】
以上述べたフィルタキーの設定（ａ），ｂ）およびｃ））は、既存のコードや番号等をそのまま利用してフィルタキーとするものである。しかし、そのフィルタキーを新たに定義して応用することによって、従来にないパケット通信サービスを実現することができる。以下の１）および２）にその例を挙げる。
【０１３７】
１）ユーザがあるグループに属するユーザであるとき、そのグループを特定する共有ＩＤを予め定めて、その共有ＩＤをフィルタキーＦＫとする。
【０１３８】
ここに言うあるグループとは、一例として、多数のユーザが集合する学会あるいは企業の会議を構成するグループである。
【０１３９】
例えば上記の会議に参加する各ユーザにのみ、当該ネットワークをアクセスネットワークとして、インターネット等の外部ネットワークにアクセスを許可できるようなサービスが提供できれば、その会議の価値は一層高まる。
【０１４０】
このような場合、上記の会議に参加する各ユーザに個別に別々のフィルタ条件（図２２参照）を設定する、というのが従来のフィルタリング手法である。しかしこれでは煩雑でかつ面倒である。
【０１４１】
そこで本発明を用いることにより、上記の会議を特定する、参加ユーザ全員に共通の共有ＩＤを、１つ設定して、その共有ＩＤをこれら全員に予め配布するようにする。そうすれば、きわめて簡単にグループ単位（会議毎）でのフィルタリングを行うことができる。
【０１４２】
２）複数のユーザに同時にマルチキャストパケットが配信されるとき、そのマルチキャストパケットにより提供されるコンテンツを利用することが許可されたユーザのみに予め告知された利用者ＩＤを、フィルタキーＦＫとする。
【０１４３】
例えば映画配信業者が多数のユーザに映画を同時に配信するような場合、マルチキャストパケットが用いられる。しかしそのマルチキャストパケットは、他に何らかのゲート手段がない限り、全てのユーザに到達し、無料でそのコンテンツを提供してしまうことになる。
【０１４４】
そこで本発明を用いることにより、きわめて簡単に、受信料を支払ったユーザに対してのみ選択的にそのコンテンツを提供することが可能となる。
【０１４５】
すなわち、上記のフィルタキーＦＫとして、上記コンテンツ（映画等）を利用することが許可されたユーザすなわち受信料支払い済みのユーザのみに共通に告知された同一の利用者ＩＤを用いるようにする。そうすれば、この利用者ＩＤを知っているユーザのみがそのコンテンツを利用することができる。なお、その告知の手段は、Ｗｅｂでも電話でもＦＡＸでもよい。
【０１４６】
上記の利用形態をさらに発展させると、上記の共通の利用者ＩＤを複数種用意して、上記映画配信業者が提供する複数種の映画番組に対してそれぞれの利用者ＩＤを個別に割り当てれば、個々の映画の番組毎に、受信料を支払ったユーザにのみ、所望の映画を配信することができる。
【０１４７】
最後に、既述の図１５を再び参照して、本図においてＩＰｖ６のパケットを用いる場合の説明を付け加えると次のとおりである。ただし、既に図５および図７を用いて説明した内容と同じである。すなわち、パケットＰＫＴがＩＰｖ６に準拠したパケットであるとき、そのＩＰｖ６拡張ヘッダに、フィルタリング情報を格納するようにする。
【０１４８】
同様にパケットＰＫＴがＩＰｖ６に準拠したパケットであるとき、ＩＰｖ６拡張ヘッダに代えて、そのＩＰｖ６ヘッダ内のフローラベル領域に、フィルタリング情報を格納するようにする。
【０１４９】
以上述べた本発明の実施の態様は、以下の付記のとおりである。
【０１５０】
（付記１）受信側に送信すべきパケットに、受信側でのフィルタリングに供するためのフィルタリング情報を格納して送信側より送信することを特徴とするパケットフィルタリング方法。
【０１５１】
（付記２）送信側からのパケットを受信し、該パケットに格納されたフィルタリング情報を検出して、受信側でのフィルタリングに供することを特徴とするパケットフィルタリング方法。
【０１５２】
（付記３）受信側にて、予め定めた受信側のフィルタリング情報を保持し、前記パケットから検出された送信側のフィルタリング情報と前記受信側のフィルタリング情報とを比較して両者が不一致のとき当該パケットを廃棄することを特徴とする付記２に記載のパケットフィルタリング方法。
【０１５３】
（付記４）前記パケットがＩＰｖ６に準拠したパケットであるとき、そのＩＰｖ６ヘッダ部分において前記フィルタリング情報を格納することを特徴とする付記１または２に記載のパケットフィルタリング方法。
【０１５４】
（付記５）前記パケットがＩＰｖ６に準拠したパケットであるとき、そのＩＰｖ６ヘッダに付加されるＩＰｖ６拡張ヘッダに、前記フィルタリング情報を格納することを特徴とする付記１または２に記載のパケットフィルタリング方法。
【０１５５】
（付記６）前記パケットがＩＰｖ６に準拠したパケットであるとき、そのＩＰｖ６ヘッダ内のフローラベル領域に、前記フィルタリング情報を格納することを特徴とする付記１または２に記載のパケットフィルタリング方法。
【０１５６】
（付記７）パケットフィルタリングを実施するための手段を含むパケット送信側の通信装置であって、
任意の定めたフィルタリング情報を設定する設定部と、
前記設定部より入力された前記フィルタリング情報をフィルタキーとして保持するフィルタキー保持部と、
保持された前記フィルタキーを入力として、パケットのヘッダ部分においてフィルタキーを格納するフィルタキー格納手段と、を少なくとも有してなることを特徴とする通信装置。
【０１５７】
（付記８）前記パケットがＩＰｖ６に準拠したパケットであるとき、前記フィルタキー格納手段は、そのＩＰｖ６ヘッダに付加されるＩＰｖ６拡張ヘッダに、フィルタキーヘッダを形成するフィルタキーヘッダ生成部であることを特徴とする付記７に記載の通信装置。
【０１５８】
（付記９）ＩＰｓｅｃ暗号化ヘッダを生成する暗号化ヘッダ生成部と、
ＴＣＰヘッダまたはＵＤＰヘッダを生成する上位層ヘッダ生成部と、
受信側へ転送すべきデータを生成するデータ生成部と、をさらに有することを特徴とする付記８に記載の通信装置。
【０１５９】
（付記１０）前記フィルタキーヘッダ生成部、前記暗号化ヘッダ生成部、前記上位層ヘッダ生成部および前記データ生成部からの各出力を入力として、受信側へのパケットを生成するパケット組立／暗号化部をさらに有することを特徴とする付記９に記載の通信装置。
【０１６０】
（付記１１）前記パケットがＩＰｖ６に準拠したパケットであるとき、前記フィルタキー格納部は、そのＩＰｖ６ヘッダ内のフローラベル領域に、前記フィルタキーを格納するＩＰｖ６ヘッダ生成部であることを特徴とする付記７に記載の通信装置。
【０１６１】
（付記１２）ＩＰｓｅｃ暗号化ヘッダを生成する暗号化ヘッダ生成部と、
ＴＣＰヘッダまたはＵＤＰヘッダを生成する上位層ヘッダ生成部と、
受信側へ転送すべきデータを生成するデータ生成部と、をさらに有することを特徴とする付記１１に記載の通信装置。
【０１６２】
（付記１３）前記フィルタキーヘッダ生成部、前記暗号化ヘッダ生成部、前記上位層ヘッダ生成部および前記データ生成部からの各出力を入力として、受信側へのパケットを生成するパケット組立／暗号化部をさらに有することを特徴とする付記１２に記載の通信装置。
【０１６３】
（付記１４）パケットフィルタリングを実施するための手段を含むパケット受信側の通信装置であって、
任意に定めたフィルタリング情報を、フィルタキーとして、パケットのヘッダ部分において格納して送信側より送信されたパケットを受信し、該ヘッダ部分より該フィルタキーを検出するフィルタキー検出部と、
前記フィルタキー検出部により検出した送信側のフィルタキーと予め保持している受信側のフィルタキーとを比較して、両者が不一致か否かを判定し、不一致のときに当該受信パケットを廃棄するよう指示する比較手段と、を備えることを特徴とする通信装置。
【０１６４】
（付記１５）前記パケットがＩＰｖ６に準拠したパケットであるとき、そのＩＰｖ６ヘッダに付加されるＩＰｖ６拡張ヘッダに、前記フィルタキーヘッダを形成することを特徴とする付記１４に記載の通信装置。
【０１６５】
（付記１６）前記パケットがＩＰｖ６に準拠したパケットであるとき、そのＩＰｖ６ヘッダ内のフローラベル領域に、前記フィルタキーヘッダを格納することを特徴とする付記１４に記載の通信装置。
【０１６６】
（付記１７）前記フィルタキー検出部を通過した受信パケットを一時的に格納するバッファを備えると共に、前記比較手段は、
予め定めた複数の異なるフィルタキーを保持するフィルタキーテーブルと、
前記フィルタキー検出部により検出されたフィルタキーと一致するフィルタキーが該フィルタキーテーブル内に有るか無いかを検索し、無しのときに廃棄指示を出力する検索部と、
前記廃棄指示を受けて、前記バッファ内に格納されていたパケットを廃棄するように制御するバッファ制御部と、からなることを特徴とする付記１４に記載の通信装置。
【０１６７】
（付記１８）フィルタリングサービスを受けるユーザから入力されたユーザ認証情報を受信して、該ユーザの認証を行うフィルタリング認証手段と、
前記フィルタリング認証手段での認証後に、該ユーザに対し、前記ユーザ認証情報に対応するフィルタリング情報としてのフィルタキーを割り当てて配布するフィルタキー提供手段と、
を有することを特徴とする認証装置。
【０１６８】
（付記１９）前記フィルタリング認証手段は、
前記ユーザ認証情報を予め登録したユーザ認証データベースと、
前記の入力されたユーザ認証情報の真偽を、該ユーザ認証データベースを参照して判定する判定部と、を有してなり、
前記フィルタキー提供手段は、
前記ユーザ認証情報対応に予め割り当てた前記フィルタキーを保持するフィルタキー割当テーブルと、
前記の真偽が真であるとき、前記フィルタキー割当テーブルより対応の前記フィルタキーを、前記ユーザに対して送出するフィルタキー送出部と、を有してなることを特徴とする付記１８に記載の認証装置。
【０１６９】
（付記２０）前記認証装置は、
認証用サーバ、ファイアウォール、ルータおよびホストのうちの少なくとも１つの中に構築されることを特徴とする付記１８に記載の認証装置。
【０１７０】
（付記２１）前記ユーザ認証情報は、ユーザＩＤおよびパスワードであることを特徴とする付記１８に記載の認証装置。
【０１７１】
（付記２２）前記フィルタキーとして、ＴＣＰまたはＵＤＰのポート番号を用いることを特徴とする付記１８に記載の認証装置。
【０１７２】
（付記２３）ＶｏＩＰを用いてユーザ間で通信を行うとき、該ユーザ間で取り決めたＶｏＩＰを示す値を、前記フィルタキーとすることを特徴とする付記１８に記載の認証装置。
【０１７３】
（付記２４）ある特定の条件のもとで前記ユーザに個別に個人ＩＤが割り当てられているとき、その個人ＩＤを前記フィルタキーとすることを特徴とする付記１８に記載の認証装置。
【０１７４】
（付記２５）前記ユーザがあるグループに属するユーザであるとき、該グループを特定する共有ＩＤを予め定めて、その共有ＩＤを前記フィルタキーとすることを特徴とする付記１８に記載の認証装置。
【０１７５】
（付記２６）複数のユーザに同時にマルチキャストパケットが配信されるとき、該マルチキャストパケットにより提供されるコンテンツを利用することが許可されたユーザにのみ予め告知された利用者ＩＤを、前記フィルタキーとすることを特徴とする付記１８に記載の認証装置。
【０１７６】
（付記２７）前記パケットがＩＰｖ６に準拠したパケットであるとき、そのＩＰｖ６拡張ヘッダに、前記フィルタリング情報を格納することを特徴とする付記１８に記載の認証装置。
【０１７７】
（付記２８）前記パケットがＩＰｖ６に準拠したパケットであるとき、そのＩＰｖ６ヘッダ内のフローラベル領域に、前記フィルタリング情報を格納することを特徴とする付記１８に記載の認証装置。
【０１７８】
（付記２９）転送されるパケットに対してフィルタリングが行われるパケット通信システムにおいて、
受信側に送信すべきパケットに、該受信側でのフィルタリングに供するためのフィルタリング情報を格納して送信側より送信するパケット送信装置と、
ネットワークを介してサーバおよびクライアント間で前記送信側からのパケットを受信し、その受信パケットに格納された前記フィルタリング情報を検出して、前記受信側でのフィルタリングに供するパケット受信装置と、
前記フィルタリングサービスを受けるユーザから入力されたユーザ認証情報を受信して、該ユーザの認証を行うと共に、その認証後に、該ユーザに対し、前記ユーザ認証情報に対応するフィルタリング情報としてのフィルタキーを割り当てて配布する認証装置と、
を備えることを特徴とするパケット通信システム。
【０１７９】
（付記３０）ネットワークを介しサーバおよびクライアント間で転送されるパケットに対してフィルタリングサービスが行われるパケット通信システムにおいて、
ユーザ側の前記サーバまたはクライアントから前記ネットワークへのアクセスに際し使用される手段であって、
ユーザ認証情報を受信して、該ユーザの認証を行う第１手段と、
その認証後に該ユーザに対し前記ユーザ認証情報に対応するフィルタリング情報としてのフィルタキーを割り当てて配布することによりアクセス制限を行う第２手段と、
を備えることを特徴とするパケット通信システム。
【０１８０】
（付記３１）ネットワークを介しサーバおよびクライアント間で転送されるパケットに対してフィルタリングサービスが行われるパケット通信システムにおいて、
前記ネットワーク側のユーザから前記サーバまたはクライアントへのアクセスに際し使用される手段であって、
ユーザ認証情報を受信して、該ユーザの認証を行う第１手段と、
その認証後に該ユーザに対し前記ユーザ認証情報に対応するフィルタリング情報としてのフィルタキーを割り当てて配布することによりアクセス制限を行う第２手段と、
を備えることを特徴とするパケット通信システム。
【図面の簡単な説明】
【０１８１】
【図１】本発明に係るパケットフィルタリング方法を示すフローチャートである。
【図２】ＴＣＰ／ＵＤＰヘッダを含む一般的なパケットを示す図である。
【図３】ＩＰｓｅｃを採用した一般的なパケットを示す図である。
【図４】従来のフィルタリングを採用した場合のパケットを示す図である。
【図５】本発明に基づくフィルタキーを格納したパケットを示す図である。
【図６】図５に示す本発明のパケットにＩＰｓｅｃを採用した場合のパケットを示す図である。
【図７】ＩＰｖ６拡張ヘッダの実際の内容を示すフォーマット図である。
【図８】本発明を適用したネットワークを図解的に表す図である。
【図９】本発明に基づく、パケット受信側の通信装置の基本構成を示す図である。
【図１０】図９の通信装置の第１の具体例を示す図である。
【図１１】図９の通信装置の第２の具体例を示す図である。
【図１２】本発明の基づく、パケット送信側の通信装置の基本構成を示す図である。
【図１３】図１２の通信装置の第１の具体例を示す図である。
【図１４】図１２の通信装置の第２の具体例を示す図である。
【図１５】本発明が適用されるパケット通信システムの概要を示す図である。
【図１６】図１５に示す認証装置の基本構成を示す図である。
【図１７】図１６に示す認証手段の具体的構成例を示す図である。
【図１８】図１７のフィルタキー割当テーブル６７の一例を示す図である。
【図１９】一連のフィルタキーの提供手続を表すシーケンス図である。
【図２０】本発明の対象となるネットワークを概略的に示す図である。
【図２１】従来の通信装置の一般的構成を表す図である。
【図２２】図２１の比較テーブル１２を詳細に示す図である。
【図２３】ＩＰｖ４ヘッダの実際の内容を示すフォーマット図である。
【図２４】ＩＰｖ６ヘッダの実際の内容を示すフォーマット図である。
【図２５】ＴＣＰヘッダの実際の内容を示すフォーマット図である。
【図２６】ＵＤＰヘッダの実際の内容を示すフォーマット図である。
【図２７】本発明を適用した具体的なネットワークを示す図である。
【技術分野】
【０００１】
本発明は、インターネットにおいて通信のセキュリティを確保するための、パケットフィルタリング方法、そのための通信装置および認証装置、およびパケット通信システムに関する。
【背景技術】
【０００２】
フィルタリング技術は、企業等がインターネットに接続する場合に、該インターネットからの、または、インターネットへの不適切なアクセスを制限するための技術であり、通常、ファイアウォールやルータあるいはホスト等の通信装置にフィルタリング手段として実装される。このフィルタリング手段は、インターネットから上記企業等（またはこの逆）にアクセスする各パケットについて、予め定めた制限条件に合致するか否か判定を行い、合致したときは当該パケットを廃棄してしまう。
【０００３】
例えば、企業等内のイントラネットで使用されるプライベートアドレスは、企業内においてのみ自由に使えるアドレスであるから、このようなアドレスを含むパケットがインターネット上に転送されることは不適切であり、当該パケットを上記フィルタリング手段により廃棄する。あるいは、ある特定のアプリケーションについては予め特定のポート番号を指定しておいて、そのポート番号を含むパケットのみをフィルタリング手段でアクセスを許可する、ということが行われる。
【０００４】
図２０は本発明の対象となるネットワークを概略的に示す図である。
【０００５】
本図において、左側はＩＳＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）により構築されるインターネットを表し、右側は企業のネットワーク例えばイントラネットを表す。そしてこれらの境界に配置されるのが通信装置であり、本発明は主としてこの通信装置を対象とする。
【０００６】
なお上記「通信装置」の語は、本発明において、前述したファイアウォールやルータあるいはホスト等を総称したものであり、この通信装置内でパケットフィルタリングが行われる。
【０００７】
図２１は従来の通信装置の一般的構成を表す図であり、
図２２は図２１の比較テーブル１２を詳細に示す図である。
【０００８】
図２１において、参照番号１０は上記の通信装置であり、具体的にはルータまたはホストである。
【０００９】
この通信装置１０内には、パケットフィルタリングを行うための比較手段１１が設けられる。この比較手段１１は比較テーブル１２を備え、この比較テーブル１２を参照しながら、入力（ＩＮ）されたパケットＰＫＴを通過させるか、または廃棄するか、を決定する。通過が許可されたパケットＰＫＴはＯＵＴより出力される。
【００１０】
上記の通過または廃棄のために参照される比較テーブル１２の詳細例を図２２に示す。
【００１１】
本図を参照すると、比較テーブル１２内には、フィルタ条件（＜１＞，＜２＞…＜ｋ＞）が予めリストとして格納されている。パケットＰＫＴが通信装置１０に入力されると、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）の場合、各パケット毎に、フィルタ条件である、「宛先ＩＰアドレス」、「発信ＩＰアドレス」、「宛先ポート番号」、「発信ポート番号」等がチェックされ、このフィルタ条件に合致しないパケットＰＫＴは廃棄される。
【００１２】
上記比較テーブル１２の中で、「宛先ＩＰアドレスに対するマスク」とあるのは、例えば宛先ＩＰアドレス（ｍビット）のうち下位ｎ（ｍ＞ｎ）ビットはマスク（無視）することを意味する。このマスクにより、複数の通信相手を一つの集合体としてフィルタリングでき、効率がよい。同テーブル１２内の「発信ＩＰアドレスに対するマスク」も同様の目的で用いられる。
【００１３】
上記比較テーブル１２にて指定されるフィルタ条件の対象は、通常、各パケットのヘッダ内に記述される情報である。このヘッダについて以下に実際の例を示す。
【００１４】
図２３はＩＰｖ４ヘッダの実際の内容を示すフォーマット図、
図２４はＩＰｖ６ヘッダの実際の内容を示すフォーマット図、
図２５はＴＣＰヘッダの実際の内容を示すフォーマット図、
図２６はＵＤＰヘッダの実際の内容を示すフォーマット図である。
【００１５】
図２３のＩＰｖ４（ＩＰ Ｖｅｒｓｉｏｎ ４）ヘッダを参照すると、上記「発信ＩＰアドレス」は“Ｓｏｕｒｃｅ Ａｄｄｒｅｓｓ”によりチェックされ、上記「宛先ＩＰアドレス」は“Ｄｅｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓ”によりチェックされる。
【００１６】
図２４のＩＰｖ６（ＩＰ Ｖｅｒｓｉｏｎ ６）ヘッダにおいても、上述の図２３の場合と同様である。
【００１７】
図２５のＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）ヘッダは、ＩＰよりも上位層で機能するが、前述と同様、上記「発信ポート番号」は“Ｓｏｕｒｃｅ Ｐｏｒｔ”によりチェックされ、上記「宛先ポート番号」は“Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔ”によりチェックされる。なおこのＤｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔは、特定のアプリケーションを指定することが多い。
【００１８】
図２６のＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）ヘッダにおいても、上述の図２５の場合と同様である。
【００１９】
なお本発明に関連する公知技術として、下記の〔特許文献１〕、〔特許文献２〕および〔非特許文献１〕がある。
【００２０】
【特許文献１】特開平６−２６１０５７号公報
【特許文献２】特開２０００−５９３５７号公報
【非特許文献１】川崎慎介、「三菱商事 ２０社結ぶエクストラネット 認証・暗号化は外部に委託」、日経コミュニケーション、第２８８号、日経ＢＰ社、第１３１−１３６頁、１９９９年２月１５日
【発明の開示】
【発明が解決しようとする課題】
【００２１】
上述した従来の比較手段１１（図２１）によると、次のような問題が生ずる。第１には、今後益々通信相手の数が増大するのに伴って、上述したフィルタ条件の数も増大することである。すなわち、上記比較テーブル１２へのフィルタ条件のエントリ数が増大してしまい、ハードウエアの増大と共にフィルタリング時間も増大してしまう、という問題である。
【００２２】
第２は、今後その利用が拡大すると考えられるＩＰｓｅｃ（ＩＰ Ｓｅｃｕｒｉｔｙ）プロトコルを導入した場合、上記の上位層のＴＣＰヘッダやＵＤＰヘッダが、そのＩＰｓｅｃにより暗号化されてしまい、図２５や図２６に示す“Ｓｏｕｒｃｅ Ｐｏｒｔ”および“Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔ”を用いたフィルタリングができなくなる、という問題である。
【００２３】
また付随的には、ＶｏＩＰ（Ｖｏｉｃｅ ｏｖｅｒ ＩＰ）等のように、ポート番号がネゴシエーションによりダイナミックに決定される、いわゆるピア・ツー・ピア型のアプリケーションでは、静的な設定でフィルタリングできず、その結果、セキュリティを確保するために、ＶｏＩＰのパケットを全てフィルタリングしなければならず、実質的にＶｏＩＰが使えない等の問題もある。
【００２４】
したがって本発明は、上記問題点に鑑み、主として、フィルタ条件のエントリ数を大幅に削減すると共にＩＰｓｅｃにも対応可能な、パケットフィルタリング方法およびそのための通信装置を提供することを目的とするものである。
【課題を解決するための手段】
【００２５】
本発明は上記目的を達成するために、フィルタリングのためのフィルタ条件を簡素化すると共にＩＰｓｅｃにも対応可能なパケットフィルタリング方法を提供する。そしてこの方法は、
（ｉ）受信側に送信すべきパケットに、受信側でのフィルタリングに供するためのフィルタリング情報を格納して送信側より送信するステップと、
（ii）送信側からのパケットを受信し、該パケットに格納されたフィルタリング情報を検出して、受信側でのフィルタリングに供するステップを含んでなる。そして、このフィルタリング情報は単純なフィルタキーからなる。
【発明の効果】
【００２６】
後に説明するように本発明によれば、次のような効果が得られる。
【００２７】
（１）フィルタ条件を示すテーブルには、フィルタキーのみを格納するだけでよく、しかも、そのフィルタキーは各ユーザ対応（つまり関係する全ての端末のＩＰアドレス対応）でなく特定のグループ対応で設定することができるので、上記のテーブルへのフィルタキーの設定、すなわちエントリは大幅に簡略化される。また、そのテーブルのメモリ容量は大幅に縮小できる。
【００２８】
従来は、図２２に示すフィルタ条件の説明から明白なように、多種のフィルタ条件データがあるため、比較の条件（ＡＮＤまたはＯＲ）が複雑になるが、本発明では上記のように、テーブルに格納されるのはフィルタキーのみであり、比較のための論理処理は飛躍的に簡素化され、このためフィルタリング処理は格段に高速化される。
【００２９】
（２）ＩＰｓｅｃプロトコルが導入されると、従来の、ＴＣＰヘッダまたはＵＤＰヘッダ内のフィルタ条件を用いたパケットフィルタリングの実施はこれらヘッダの暗号化により不可能になるが、本発明によれば、これらＴＣＰヘッダまたはＵＤＰヘッダが暗号化されても、図６に示すとおり、フィルタキーはその暗号化の対象から外れるので、該パケットフィルタリングの実施に何の支障もない。したがって、ポート番号の値が不定となるようなアプリケーションに対応する場合、あるいは、ポート番号の値が暗号化により不明となる場合に、全てのパケットの通過を禁止するのではなく、必要なパケット以外のパケットを廃棄するフィルタリングを実施するようにすることができる。
【００３０】
（３）従来苦手としてきた、ＶｏＩＰのようなアプリケーションに対しても、容易にパケットフィルタリングを適用可能となる。
【００３１】
（４）多数のユーザが参加する学会や会議等のグループ単位でのパケットフィルタリングが簡単に行える。
【００３２】
（５）映画の配信等のマルチキャストコンテンツに対し、受信料の支払いの有無に応じたユーザへの選択的な配信を簡単に行うことができる。
【発明を実施するための最良の形態】
【００３３】
図１は本発明に係るパケットフィルタリング方法を示すフローチャートである。
【００３４】
本図に示すステップＳ１１〜Ｓ１５のうち、特に本発明を特徴づけるのはステップＳ１１およびＳ１２である。
【００３５】
ステップＳ１１：受信側に送信すべきパケットに、受信側でのフィルタリングに供するためのフィルタリング情報を格納して送信側より送信する。
【００３６】
ステップＳ１２：送信側からのパケットを受信し、このパケットに格納された上記のフィルタリング情報を検出して、受信側でのフィルタリングに供する。
【００３７】
この受信側でのフィルタリングの動作（Ｓ１３〜Ｓ１５）は従来と実質的に同じである。
【００３８】
ステップＳ１３：受信側にて、予め定めた受信側のフィルタリング情報を保持し、パケットから検出された送信側のフィルタリング情報と受信側のフィルタリング情報とを比較する。
【００３９】
ステップＳ１４：上記の比較の結果、両者が一致したら当該パケットを通過させる。
【００４０】
ステップＳ１５：上記の比較の結果、両者が不一致のとき当該パケットを廃棄する。
【００４１】
上記のように本発明はフィルタ条件を、新たに定義したフィルタリング情報を用いて定めるようにした。このフィルタリング情報を構成するコードを本発明では、以下、フィルタキーと称する。
【００４２】
本発明は、図２２に示す従来の煩雑なフィルタ条件となるフィルタデータに代えて、あるいはその従来のフィルタデータと共に、単純なフィルタキーを用いる。そしてこのフィルタキーを上記の比較の対象とする。
【００４３】
従来との大きな相違は、フィルタ条件が従来、ユーザ一意（ｕｎｉｑｕｅ）に定められたのに対し、本発明では、ユーザを特定することなくパケット自体にフィルタ条件（フィルタキー）を埋め込んだことにある。
【００４４】
したがって、例えば、あるメーカの資材購買部門と、該部門に連携して独占的に資材を納入しているある下請メーカとの間では、単一の共通フィルタキーを割り当て、両者間の通信パケットに該共通フィルタキーを埋め込んでフィルタリングすることによりセキュリティを確保する、といったようなことが可能となる。これはフィルタ条件の数の大幅な削減をもたらす。
【００４５】
このように本発明は、通信同士間で予め定めた特定のフィルタキーを、当該通信に供する各パケットに埋め込んで、所期のフィルタリングを実現するが、この場合、そのフィルタキーを各パケットのどこに格納すべきか、という問題がある。
【００４６】
この問題の解決のために、本発明は、既述の第２の問題、すなわちＴＣＰヘッダあるいはＵＤＰヘッダが、ＩＰｓｅｃにより暗号化されて、フィルタリングができなくなるという問題も同時に解決することを企図して、次のような、フィルタキーの格納手法をとる。この格納手法に至る経緯を、以下の各図に沿って順次説明する。
【００４７】
図２はＴＣＰ／ＵＤＰヘッダを含む一般的なパケットを示す図である。
【００４８】
本図において、パケットＰＫＴの先頭にはＩＰヘッダが置かれ、続いて、ＴＣＰヘッダ（またはＵＤＰヘッダ）が置かれ、その後に本来のデータが続く。
【００４９】
図３はＩＰｓｅｃを採用した一般的なパケットを示す図である。
【００５０】
図２のパケットＰＫＴに対してＩＰｓｅｃを採用すると、ＩＰヘッダの直後にＩＰｓｅｃ暗号化ヘッダが置かれ、続くＴＣＰヘッダ（またはＵＤＰヘッダ）とデータとが暗号化（ハッチングで表す）されてしまい、既述の第２の問題を生じさせる。
【００５１】
図４は従来のフィルタリングを採用した場合のパケットを示す図である。
【００５２】
図２２において説明したフィルタ条件は、パケットＰＫＴ内のＦ（ＩＰヘッダに対し）やＦ’（ＴＣＰまたはＵＤＰヘッダに対し）に設定される。
【００５３】
図５は本発明に基づくフィルタキーを格納したパケットを示す図である。
【００５４】
このパケットはＩＰｖ６に準拠したパケットであり、ＩＰｖ６拡張ヘッダ（ＥＸＴ）にフィルタキーＦＫとして格納される。あるいはそのＥＸＴにフィルタキーヘッダとして形成される。
【００５５】
またはＩＰｖ６ヘッダ内のフローラベル領域に、そのフィルタキーＦＫ’（点線で示す）が格納される。このフローラベル領域は、前述した図２４（ＩＰｖ６ヘッダ）の右上に、“Ｆｌｏｗ Ｌａｂｅｌ”として既に示されている。この領域の利用態様についてはまだ定められていない。
【００５６】
図６は図５に示す本発明のパケットにＩＰｓｅｃを採用した場合のパケットを示す図である。
【００５７】
本図より明らかなように、ＩＰｓｅｃによりＴＣＰヘッダ（またはＵＤＰヘッダ）が暗号化されても、フィルタキーＦＫの方は全く影響を受けない。このフィルタキーＦＫが格納され、または、フィルタキーヘッダとして形成される前記ＩＰｖ６拡張ヘッダについて図示しておく。
【００５８】
図７はＩＰｖ６拡張ヘッダの実際の内容を示すフォーマット図である。
【００５９】
このＩＰｖ６拡張ヘッダは、ＩＰｖ６のオプション形式に準拠している。
【００６０】
本図に示すとおり、ＩＰｖ６拡張ヘッダＥＸＴは、フォーマット上、図２４に示すＩＰｖ６ヘッダに続けて配置されるもので、さらに複数のＥＸＴをシリーズにつなげることができる。したがって図６に示すＩＰｓｅｃ暗号化ヘッダは、その複数のＥＸＴの１つとして配置することもできる。次のＥＸＴとの境界は、図７の“Ｈｄｒ Ｅｘｔ Ｌｅｎ”（ＥＸＴ長）により分かる。
【００６１】
フィルタキーＦＫは、そのＥＸＴの１つの中に格納することもできるし、あるいは、このＥＸＴそのものをフィルタキーヘッダとしてもよい。
【００６２】
図２４に示す“Ｎｅｘｔ Ｈｅａｄｅｒ”をまず検出すると、ここにはそのフィルタキーが格納されている拡張領域のアドレスが書かれている。このアドレスのところをアクセスすれば、図７に表すように目的とするフィルタキー（ＦＫ）が示されている。なおこの拡張領域をどのように利用するかはユーザに任されている。
【００６３】
以上、図２以降の図面を参照して説明した事項を要約すると、次のとおりである。
【００６４】
（ｉ）パケットＰＫＴがＩＰｖ６に準拠したパケットであるとき、そのＩＰｖ６ヘッダ部分においてフィルタリング情報（フィルタキーＦＫ，ＦＫ’）を格納するようにする。
【００６５】
（ii）パケットＰＫＴがＩＰｖ６に準拠したパケットであるとき、そのＩＰｖ６ヘッダに付加されるＩＰｖ６拡張ヘッダＥＸＴに、フィルタリング情報（フィルタキーＦＫ）を格納するようにする。
【００６６】
（iii ）パケットＰＫＴがＩＰｖ６に準拠したパケットであるとき、そのＩＰｖ６ヘッダ内のフローラベル（Ｆｌｏｗ Ｌａｂｅｌ）領域に、フィルタリング情報（フィルタキーＦＫ’）を格納するようにする。
【００６７】
図８は本発明を適用したネットワークを図解的に表す図である。
【００６８】
すなわち図２０に示すネットワークに本発明を適用した様子を例示するが、このために通信装置１０ａ〜１０ｄがさらに描かれている。
【００６９】
本図では、フィルタキーＦＫとして、ＦＫ＝０ｘ８７２６０ｆａ８７９ｃｂ９０を用いる（ただしこれは全くの一例である）。すなわち、ネットワーク（インターネット）とネットワーク（イントラネット）の境界に配置される通信装置１０ｃは、上記のＦＫを予め保持する。
【００７０】
今仮に通信装置１０ａと１０ｂが、通信装置１０ｄに対し、所定のパケットを送信したものとする。
【００７１】
このとき、通信装置１０ｂからの一連のパケットには上記フィルタキーＦＫが格納されている。このため、通信装置１０ｃが保持するフィルタキーと一致し、当該パケットは該装置１０ｃを通過して通信装置１０ｄに到達することができる。
【００７２】
一方、通信装置１０ａからの一連のパケットに格納されるフィルタキーＦＫは、上記のＦＫとは異なる（本図中、！を付して示し、！＝ＮＯＴである）。このため、該装置１０ａからの一連のパケットは、通信装置１０ｃにおいて、フィルタキーの不一致と判定され、廃棄される。なお、この判定を行うための比較手段については後述の図９に示す。ここで、一旦図２７を参照する。
【００７３】
図２７は、本発明を適用した具体的なネットワークを示す図である。企業のネットワーク２００は、本発明の機能を有する通信装置（ホスト）２１０等の他に、インターネット１００のエッジルータ１１０にアクセスするためのアクセス回線に接続されるルータ２２０で構成される。一方、出張先３００では、インターネット１００に対してＬＡＮケーブル又は電話線で接続されたルータ３２０（無線ＬＡＮ基地局、Ｌ２スイッチ、ハブ、ＡＤＳＬモデム、メディアコンバータなどでもよい）を介して、本発明が適用される通信装置３１０が配置される。この通信装置３１０としてはノートＰＣであってもよく、この場合は、ＰＨＳやＰＤＣあるいはＷ−ＣＤＭＡ等のデータ通信カードを使用することになる。
【００７４】
またさらに、一般家庭４００、ホテル客室５００、無線ＬＡＮによるホットスポット６００から、本発明が適用された通信装置により、インターネット１００をアクセスすることができる。なお、企業のネットワーク２００内のルータ２２０に本発明を適用することも可能であり、この場合は、ルータ２２０で企業内の複数の通信装置のフィルタキーを管理できるため、通信装置２１０等には本発明を適用しない、という運用も可能である。
【００７５】
図９は本発明に基づく、パケット受信側の通信装置の基本構成を示す図である。すなわち、本図の通信装置１０は、パケットフィルタリングを実施するための手段を含むパケット受信側の通信装置例えばルータまたはホストであって、任意に定めたフィルタリング情報を、フィルタキーＦＫとして、パケットのＰＫＴのヘッダ部分において格納して送信側より送信されたパケットを受信し、このヘッダ部分よりフィルタキーＦＫを検出するフィルタキー検出部２０を備える。
【００７６】
さらに、フィルタキー検出部２０により検出した送信側のフィルタキーと、予め保持している受信側のフィルタキーとを比較して、両者が不一致か否かを判定し、不一致のときに当該受信パケットを廃棄するよう指示する比較手段２１を備える。
【００７７】
この比較手段２１は、フィルタキーＦＫをリストとして収容するフィルタキーテーブル２２を有する。
【００７８】
図１０は図９の通信装置の第１の具体例を示す図である。
【００７９】
この第１の具体例の通信装置１０は、前述のフィルタキー検出部２０をなすフィルタキーヘッダ検出部２３を通過した受信パケットＰＫＴを一時的に格納するバッファ２７を備える。ここに、前述の比較手段２１は、
予め定めた複数の異なるフィルタキーＦＫ（＜１＞，＜２＞…＜ｋ＞）を保持するフィルタキーテーブル２２と、
フィルタキーヘッダ検出部２３により検出されたフィルタキーＦＫと一致するフィルタキーが、該フィルタキーテーブル２２内に有るか無いかを検索し、無しのときに廃棄指示を出力する検索部２５と、
上記の廃棄指示を受けて、バッファ２７内に格納されていたパケットを廃棄するように制御するバッファ制御部２６と、から構成される。
【００８０】
なおこの第１の具体例は、パケットＰＫＴがＩＰｖ６に準拠したパケットであるとき、そのＩＰｖ６ヘッダに付加されるＩＰｖ６拡張ヘッダに、フィルタキーヘッダを形成する場合（図７）の構成を表している。
【００８１】
一方、パケットがＰＫＴがＩＰｖ６に準拠したパケットであって、そのＩＰｖ６ヘッダ内のフローラベル領域に、フィルタキーＦＫ’を格納する場合（図２４）の構成を図１１に示す。
【００８２】
図１１は図９の通信装置の第２の具体例を示す図である。
【００８３】
本図の構成は基本的に図１０の構成と同じである。相違する点は、フィルタキー検出部２０がフローラベル領域検出部２４となったこと、検出されたフィルタキーはＦＫ’（コードはＦＫと同じであるが、パケット内の格納場所が異なる）であること、の２点である。動作は図１０の場合と同じである。
【００８４】
図１２は本発明に基づく、パケット送信側の通信装置の基本構成を示す図である。すなわち、本図の通信装置１０は、パケットフィルタリングを実施するための手段を含むパケット送信側の通信装置例えばホストであって、任意に定めたフィルタリング情報を設定する設定部３１と、設定部３１より入力されたフィルタリング情報をフィルタキーＦＫとして保持するフィルタキー保持部３２と、保持されたフィルタキーＦＫを入力として、パケットＰＫＴのヘッダ部分においてフィルタキーを格納するフィルタキー格納手段３３と、を少なくとも有して構成される。フィルタキーとして、例えば、ＴＣＰやＵＤＰのポート番号をそのまま用いても良い。このような運用を行えば、ＩＰパケットがＩＰ ＳＥＣ ＥＳＰを用いて、暗号化された場合でも、アプリケーションのフィルタリングが可能になる。あるいは、ＶｏＩＰなどポート番号が固定されないアプリケーションの場合、ＶｏＩＰのデータであることを示す値を決定し、その値をフィルタキーとして用いても良い。このような運用を行えば、ＶｏＩＰのみを通過させるようなサービスが可能になる。なお設定部３１は例えばキーボードであり、ここからフィルタリング情報となるフィルタキーのコードが入力される。このフィルタキーは、ダイナミックなネゴシエーションで相手方から通知されてもよいし、また、システム管理者から入手してもよい。この場合、フィルタキーは、時間単位、日単位あるいは週単位で更新してもよい。
【００８５】
上記格納手段３３の具体例とその周辺部分について、以下に説明する。
【００８６】
図１３は図１２の通信装置の第１の具体例を示す図である。
【００８７】
この第１の具体例においては、パケットＰＫＴがＩＰｖ６に準拠したパケットであって、前述のフィルタキー格納手段３３は、そのＩＰｖ６ヘッダに付加されるＩＰｖ６拡張ヘッダに、フィルタキーヘッダを形成するフィルタキーヘッダ生成部４１である。このフィルタキーヘッダは図７に示すとおりである。
【００８８】
本図の通信装置１０（例えばホスト）は、実際にはその他の周辺部分を備えている。
【００８９】
まず、ＩＰｓｅｃ暗号化ヘッダ（図６参照）を生成する暗号化ヘッダ生成部４３であり、ＴＣＰヘッダまたはＵＤＰヘッダを生成する上位層ヘッダ生成部４４である。また、図１２に示す、受信側へ転送すべき「データ」を生成するためのデータ生成部４５がある。
【００９０】
さらに、上記のフィルタキーヘッダ生成部４１、暗号化ヘッダ生成部４３、上位層ヘッダ生成部４４およびデータ生成部４５からの各出力を入力として、受信側へのパケットＰＫＴを生成するパケット組立／暗号化部４６を有する。このパケット組立／暗号化部４６からのパケットの出力フォーマットは、図６に示すとおりである。
【００９１】
図１４は図１２の通信装置の第２の具体例を示す図である。
【００９２】
この第２の具体例においては、パケットＰＫＴがＩＰｖ６に準拠したパケットであって、前述のフィルタキー格納部３３は、そのＩＰｖ６ヘッダ内のフローラベル領域に、フィルタキーＦＫ’を格納するＩＰｖ６ヘッダ生成部４２である。このフィルタキーＦＫ’を収容する該フローラベル領域は図２４において“Ｆｌｏｗ Ｌａｂｅｌ”として示したとおりである。
【００９３】
本図の通信装置１０もまた、図１３に示したのと同様、ＩＰｓｅｃ暗号化ヘッダを生成する暗号化ヘッダ生成部４３と、ＴＣＰヘッダまたはＵＤＰヘッダを生成する上位層ヘッダ生成部４４と、受信側へ転送すべきデータを生成するデータ生成部４５と、を有し、また、これらからの各出力を入力とするパケット組立／暗号化部４６を有する。
【００９４】
以上で本発明に係るフィルタリング方法および装置の詳細を明らかにしたので、次に、その本発明に係るフィルタリング方法および装置を実際に運用する際に必要とされるセキュリティの仕組みについて説明する。すなわち、ユーザ認証の手段である。
【００９５】
図１５は本発明が適用されるパケット通信システムの概要を示す図である。
【００９６】
本図に示すシステム５０は、転送されるパケットに対してフィルタリングが行われるパケット通信システムであり、パケット送信装置５１と、パケット受信装置５２と、認証装置５３と、を備える。
【００９７】
ここに、パケット送信装置５１は、送信側より受信側に送信すべきパケットに、この受信側でのフィルタリングに供するためのフィルタリング情報を格納して送信する。一方、パケット受信装置５２は、ネットワークを介してサーバおよびクライアント間で上記送信側からのパケットを受信し、その受信パケットに格納されたフィルタリング情報を検出して、上記受信側でのフィルタリングに供する。そしてこれら装置間を仲介する認証装置５３は、フィルタリングサービスを受けるユーザから入力されたユーザ認証情報を受信して、そのユーザの認証を行うと共に、その認証後に、そのユーザに対し、上記ユーザ認証情報に対応するフィルタリング情報としてのフィルタキーを割り当てて配布する。
【００９８】
このようなパケット通信システム５０は、次の（Ｉ）および（II）のように機能的に表すことができる。
【００９９】
（Ｉ）該システム５０は、ネットワークを介しサーバおよびクライアント間で転送されるパケットに対してフィルタリングサービスが行われるパケット通信システムであって、ユーザ側の上記サーバまたはクライアントから上記ネットワークへのアクセスに際し使用される第１手段と第２手段とを備える。これらは、
（ｉ）ユーザ認証情報を受信して、ユーザの認証を行う第１手段と、
（ii）その認証後にこのユーザに対し上記ユーザ認証情報に対応するフィルタリング情報としてのフィルタキーを割り当てて配布することによりアクセス制限を行う第２手段である。
【０１００】
なお上記第１手段および第２手段は、例えば後述する図１６において、それぞれ、フィルタリング認証手段６１およびフィルタキー提供手段６２に相当するものである（後述する（II）のパケット通信システムについても同様）。
【０１０１】
上述した、フィルタリング機能を有するパケット通信システム５０によれば、ネットワークへのアクセスに対してユーザ認証が可能となり、例えば、出張先からインターネットを介してその出張者が属する組織のネットワークへのアクセスが可能になったり、あるいは、ある出張先のローカルなネットワークからインターネットへのアクセスが可能になる。
【０１０２】
（II）上記システム５０は、ネットワークを介しサーバおよびクライアント間で転送されるパケットに対してフィルタリングサービスが行われるパケット通信システムであって、上記ネットワーク側のユーザから上記サーバまたはクライアントへのアクセスに際し使用される第１手段と第２手段を備える。これらは、
（ｉ）ユーザ認証情報を受信して、ユーザの認証を行う第１手段と、
（ii）その認証後にこのユーザに対し上記ユーザ認証情報に対応するフィルタリング情報としてのフィルタキーを割り当てて配布することによりアクセス制限を行う第２手段である。
【０１０３】
上述した、フィルタリング機能を有するパケット通信システム５０によれば、サーバの提供するサービスに対する認証は、時間単位、日単位、週単位等で最初に１回行っておけば、その後は認証なしでフィルタキーを用いたアクセス制限が可能になる。
【０１０４】
次に上記の認証装置５３を一層詳しく説明する。
【０１０５】
図１６は図１５に示す認証装置の基本構成を示す図である。
【０１０６】
本図に示すように認証装置５３（図１５）は、フィルタリング認証手段６１とフィルタキー提供手段６２とを備える。
【０１０７】
フィルタリング認証手段６１は、フィルタリングサービスを受けるユーザから入力されたユーザ認証情報ＡＩを受信して、そのユーザの認証を行う。またフィルタキー提供手段６２は、フィルタリング認証手段６１での認証後に、そのユーザに対し、ユーザ認証情報ＡＩに対応するフィルタリング情報としてのフィルタキーＦＫを割り当てて配布する。
【０１０８】
図１７は図１６に示す認証手段の具体的構成例を示す図である。
【０１０９】
本図の構成の上段側は、図１６のフィルタリング認証手段６１に相当し、その下段側は、フィルタキー提供手段６２に相当する。
【０１１０】
すなわち、フィルタリング認証手段６１は、ユーザ認証情報ＡＩを予め登録したユーザ認証データベース（ＤＢ）６５と、受信バッファ６３に入力されバッファされたユーザ認証情報ＡＩの真偽を、このユーザ認証データベース６５を参照して判定する判定部６４と、から構成される。
【０１１１】
一方、フィルタキー提供手段６２は、ユーザ認証情報（ＡＩ）対応に予め割り当てたフィルタキー（ＦＫ）を保持するフィルタキー割当テーブル６７と、上述の真偽が真であるとき、そのフィルタキー割当テーブル６７より対応のフィルタキーＦＫを、一旦送信バッファ６８にバッファして当該ユーザに対して送出するフィルタキー送出部６６と、から構成される。なお上記テーブル６７の一例は次のとおりである。
【０１１２】
図１８は図１７のフィルタキー割当テーブル６７の一例を示す図である。
【０１１３】
ただし、上述のユーザ認証情報ＡＩは、一例としてユーザＩＤおよびパスワードであるものとする。ユーザが使い慣れたコードや数字を用いれば、ユーザにとって便利である。
【０１１４】
本テーブル６７の左欄ＡＩには、予め定めた複数のユーザ毎に予め定められたユーザＩＤとパスワードが登録されている。一方、その右欄には、各ユーザＩＤおよびパスワードに対応して予め割り当てられたフィルタキーのナンバー等が登録されている。
【０１１５】
本テーブル６７の左欄ＡＩと同等の内容を有する認証情報ＡＩが登録されているユーザ認証データベース６５を参照して、図１７の左上に示すように入力されたＡＩが、該データベース６５の中のＡＩと一致するものと、図１７の判定部１７が判定すると、その一致したＡＩ（例えば図１８のＡＩの欄の２段目のＡＩとする）は、フィルタキー送出部６６に入力される。該送出部６６はフィルタキー割当テーブル６７より、そのＡＩに対応する同２段目のフィルタキー（この例では No.２）を割り出して、ユーザ側に提供する。
【０１１６】
上述した一連のフィルタキーの提供手続を図解して示すと次のとおりである。
【０１１７】
図１９は一連のフィルタキーの提供手続を表すシーケンス図である。
【０１１８】
本図に示すシーケンスは、既述の図８に示すネットワーク構成を想定すると理解し易い。ただし、図８には認証装置５３に関係するハードウェア／ソフトウェアは全く示されていないが、この認証装置５３は、図８の中のどこかに存在していればよい。つまりその認証装置５３の存在場所は図８の中のどこでもよい。
【０１１９】
もし特定的に言うならば、認証装置５３は、認証用サーバ、ファイアウォール、ルータおよびホストのうちの少なくとも１つの中に構築することができる。図１９のシーケンスは、認証装置５３を独立の認証用サーバとした場合について示すものである。
【０１２０】
図１９において、最初にクライアント（ユーザ）と認証用サーバ（５３）との間で、ユーザＩＤとパスワードに関する認証手続が順次行われる。
【０１２１】
図１７等に示すフィルタリング認証手段６１とフィルタキー提供手段６２とにより、認証が認証用サーバにおいてなされて対応のフィルタキーＦＫが該認証サーバよりクライアントに配布されると、クライアントはこのフィルタキーＦＫを埋め込んだ送信パケットを、アクセス対象サーバに向け送信する。この場合、そのフィルタキーＦＫは上記認証を経ているので有効なものであり、通信装置（例えば図８の１０ｃ）を通過し、目標のサーバ（右端）にその送信パケットは到達できる。
【０１２２】
なお上記の手続は、ＷＷＷで行ってもよい。
【０１２３】
本発明に係るフィルタリング方法および装置を実際に運用するに当っては、さらに、上述したフィルタキーを具体的にどのように設定するか、ということも検討しておかなければならない。以下、これについていくつかの好適例を挙げる。
【０１２４】
ａ）フィルタキーＦＫとして、ＴＣＰまたはＵＤＰのポート番号を用いる。
【０１２５】
なお、ＴＣＰやＵＤＰについては、図２〜図６や図２５および図２６において説明したとおりである。特に、上述のＴＣＰやＵＤＰのポート番号については、図２５および図２６において、発信ポート番号（Ｓｏｕｒｃｅ Ｐｏｒｔ）および宛先ポート番号（Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔ）として示されている。
【０１２６】
ポート番号は一般にファイル転送やＷｅｂ等のサービスの単位を表すものとして用いるが、本発明ではこのポート番号のコピーをフィルタキーとし用いる。このため例えば図７のごとく該フィルタキーを拡張領域内にＦＫとして埋め込む。
【０１２７】
このようにポート番号をそのままフィルタキーとして用いれば、既述したＩＰｓｅｃによる暗号化が行われた場合でも、アプリケーション毎のフィルタリングが支障なく行える。
【０１２８】
ｂ）既述したＶｏＩＰを用いてユーザ間で通信を行うとき、これらユーザ間で取り決めたＶｏＩＰを示す値を、フィルタキーＦＫとする。
【０１２９】
上述したファイル転送やＷｅｂ等はポート番号で一意に特定されるが、ＶｏＩＰについてはこのようにポート番号でそのアプリケーションを特定できない。
【０１３０】
したがって、ユーザ間でＶｏＩＰ通信を開始する前に動的にこの通信がＶｏＩＰであることを特定する必要がある。そこでユーザ間で取り決めた、ＶｏＩＰを示す値を、例えば図７のフィルタキーＦＫのように埋め込めば、ＶｏＩＰについてもフィルタリングが可能となる。
【０１３１】
この場合、上記のＶｏＩＰを示す値は、通信相手方でＶｏＩＰであると認識させる作用と、本発明に係るフィルタリングのための作用の双方の作用を同時に果すことになる。
【０１３２】
ｃ）ある特定の条件のもとでユーザに個別に個人ＩＤが割り当てられているとき、その個人ＩＤをフィルタキーＦＫとする。
【０１３３】
このような個人ＩＤの具体例としては、ソフトウェアの使用許可を示す登録番号（シリアルナンバー）や、あるいは各会社毎の従業員番号等がある。
【０１３４】
一般に上記ソフトウェアの登録番号は、新バージョンとなったソフトウェアをソフトウェアメーカがサーバからユーザに提供する場合、悪意のユーザからそのサーバへの不正なアクセスを防ぐ上で有効であり、日常的によく使われる認証情報（ＡＩ）である。これをフィルタキーとして利用するのも便利である。
【０１３５】
また一般に従業員番号は各企業において必ず各従業員に割り当てられるものでるから、これをフィルタキーとして利用するのも便利である。
【０１３６】
以上述べたフィルタキーの設定（ａ），ｂ）およびｃ））は、既存のコードや番号等をそのまま利用してフィルタキーとするものである。しかし、そのフィルタキーを新たに定義して応用することによって、従来にないパケット通信サービスを実現することができる。以下の１）および２）にその例を挙げる。
【０１３７】
１）ユーザがあるグループに属するユーザであるとき、そのグループを特定する共有ＩＤを予め定めて、その共有ＩＤをフィルタキーＦＫとする。
【０１３８】
ここに言うあるグループとは、一例として、多数のユーザが集合する学会あるいは企業の会議を構成するグループである。
【０１３９】
例えば上記の会議に参加する各ユーザにのみ、当該ネットワークをアクセスネットワークとして、インターネット等の外部ネットワークにアクセスを許可できるようなサービスが提供できれば、その会議の価値は一層高まる。
【０１４０】
このような場合、上記の会議に参加する各ユーザに個別に別々のフィルタ条件（図２２参照）を設定する、というのが従来のフィルタリング手法である。しかしこれでは煩雑でかつ面倒である。
【０１４１】
そこで本発明を用いることにより、上記の会議を特定する、参加ユーザ全員に共通の共有ＩＤを、１つ設定して、その共有ＩＤをこれら全員に予め配布するようにする。そうすれば、きわめて簡単にグループ単位（会議毎）でのフィルタリングを行うことができる。
【０１４２】
２）複数のユーザに同時にマルチキャストパケットが配信されるとき、そのマルチキャストパケットにより提供されるコンテンツを利用することが許可されたユーザのみに予め告知された利用者ＩＤを、フィルタキーＦＫとする。
【０１４３】
例えば映画配信業者が多数のユーザに映画を同時に配信するような場合、マルチキャストパケットが用いられる。しかしそのマルチキャストパケットは、他に何らかのゲート手段がない限り、全てのユーザに到達し、無料でそのコンテンツを提供してしまうことになる。
【０１４４】
そこで本発明を用いることにより、きわめて簡単に、受信料を支払ったユーザに対してのみ選択的にそのコンテンツを提供することが可能となる。
【０１４５】
すなわち、上記のフィルタキーＦＫとして、上記コンテンツ（映画等）を利用することが許可されたユーザすなわち受信料支払い済みのユーザのみに共通に告知された同一の利用者ＩＤを用いるようにする。そうすれば、この利用者ＩＤを知っているユーザのみがそのコンテンツを利用することができる。なお、その告知の手段は、Ｗｅｂでも電話でもＦＡＸでもよい。
【０１４６】
上記の利用形態をさらに発展させると、上記の共通の利用者ＩＤを複数種用意して、上記映画配信業者が提供する複数種の映画番組に対してそれぞれの利用者ＩＤを個別に割り当てれば、個々の映画の番組毎に、受信料を支払ったユーザにのみ、所望の映画を配信することができる。
【０１４７】
最後に、既述の図１５を再び参照して、本図においてＩＰｖ６のパケットを用いる場合の説明を付け加えると次のとおりである。ただし、既に図５および図７を用いて説明した内容と同じである。すなわち、パケットＰＫＴがＩＰｖ６に準拠したパケットであるとき、そのＩＰｖ６拡張ヘッダに、フィルタリング情報を格納するようにする。
【０１４８】
同様にパケットＰＫＴがＩＰｖ６に準拠したパケットであるとき、ＩＰｖ６拡張ヘッダに代えて、そのＩＰｖ６ヘッダ内のフローラベル領域に、フィルタリング情報を格納するようにする。
【０１４９】
以上述べた本発明の実施の態様は、以下の付記のとおりである。
【０１５０】
（付記１）受信側に送信すべきパケットに、受信側でのフィルタリングに供するためのフィルタリング情報を格納して送信側より送信することを特徴とするパケットフィルタリング方法。
【０１５１】
（付記２）送信側からのパケットを受信し、該パケットに格納されたフィルタリング情報を検出して、受信側でのフィルタリングに供することを特徴とするパケットフィルタリング方法。
【０１５２】
（付記３）受信側にて、予め定めた受信側のフィルタリング情報を保持し、前記パケットから検出された送信側のフィルタリング情報と前記受信側のフィルタリング情報とを比較して両者が不一致のとき当該パケットを廃棄することを特徴とする付記２に記載のパケットフィルタリング方法。
【０１５３】
（付記４）前記パケットがＩＰｖ６に準拠したパケットであるとき、そのＩＰｖ６ヘッダ部分において前記フィルタリング情報を格納することを特徴とする付記１または２に記載のパケットフィルタリング方法。
【０１５４】
（付記５）前記パケットがＩＰｖ６に準拠したパケットであるとき、そのＩＰｖ６ヘッダに付加されるＩＰｖ６拡張ヘッダに、前記フィルタリング情報を格納することを特徴とする付記１または２に記載のパケットフィルタリング方法。
【０１５５】
（付記６）前記パケットがＩＰｖ６に準拠したパケットであるとき、そのＩＰｖ６ヘッダ内のフローラベル領域に、前記フィルタリング情報を格納することを特徴とする付記１または２に記載のパケットフィルタリング方法。
【０１５６】
（付記７）パケットフィルタリングを実施するための手段を含むパケット送信側の通信装置であって、
任意の定めたフィルタリング情報を設定する設定部と、
前記設定部より入力された前記フィルタリング情報をフィルタキーとして保持するフィルタキー保持部と、
保持された前記フィルタキーを入力として、パケットのヘッダ部分においてフィルタキーを格納するフィルタキー格納手段と、を少なくとも有してなることを特徴とする通信装置。
【０１５７】
（付記８）前記パケットがＩＰｖ６に準拠したパケットであるとき、前記フィルタキー格納手段は、そのＩＰｖ６ヘッダに付加されるＩＰｖ６拡張ヘッダに、フィルタキーヘッダを形成するフィルタキーヘッダ生成部であることを特徴とする付記７に記載の通信装置。
【０１５８】
（付記９）ＩＰｓｅｃ暗号化ヘッダを生成する暗号化ヘッダ生成部と、
ＴＣＰヘッダまたはＵＤＰヘッダを生成する上位層ヘッダ生成部と、
受信側へ転送すべきデータを生成するデータ生成部と、をさらに有することを特徴とする付記８に記載の通信装置。
【０１５９】
（付記１０）前記フィルタキーヘッダ生成部、前記暗号化ヘッダ生成部、前記上位層ヘッダ生成部および前記データ生成部からの各出力を入力として、受信側へのパケットを生成するパケット組立／暗号化部をさらに有することを特徴とする付記９に記載の通信装置。
【０１６０】
（付記１１）前記パケットがＩＰｖ６に準拠したパケットであるとき、前記フィルタキー格納部は、そのＩＰｖ６ヘッダ内のフローラベル領域に、前記フィルタキーを格納するＩＰｖ６ヘッダ生成部であることを特徴とする付記７に記載の通信装置。
【０１６１】
（付記１２）ＩＰｓｅｃ暗号化ヘッダを生成する暗号化ヘッダ生成部と、
ＴＣＰヘッダまたはＵＤＰヘッダを生成する上位層ヘッダ生成部と、
受信側へ転送すべきデータを生成するデータ生成部と、をさらに有することを特徴とする付記１１に記載の通信装置。
【０１６２】
（付記１３）前記フィルタキーヘッダ生成部、前記暗号化ヘッダ生成部、前記上位層ヘッダ生成部および前記データ生成部からの各出力を入力として、受信側へのパケットを生成するパケット組立／暗号化部をさらに有することを特徴とする付記１２に記載の通信装置。
【０１６３】
（付記１４）パケットフィルタリングを実施するための手段を含むパケット受信側の通信装置であって、
任意に定めたフィルタリング情報を、フィルタキーとして、パケットのヘッダ部分において格納して送信側より送信されたパケットを受信し、該ヘッダ部分より該フィルタキーを検出するフィルタキー検出部と、
前記フィルタキー検出部により検出した送信側のフィルタキーと予め保持している受信側のフィルタキーとを比較して、両者が不一致か否かを判定し、不一致のときに当該受信パケットを廃棄するよう指示する比較手段と、を備えることを特徴とする通信装置。
【０１６４】
（付記１５）前記パケットがＩＰｖ６に準拠したパケットであるとき、そのＩＰｖ６ヘッダに付加されるＩＰｖ６拡張ヘッダに、前記フィルタキーヘッダを形成することを特徴とする付記１４に記載の通信装置。
【０１６５】
（付記１６）前記パケットがＩＰｖ６に準拠したパケットであるとき、そのＩＰｖ６ヘッダ内のフローラベル領域に、前記フィルタキーヘッダを格納することを特徴とする付記１４に記載の通信装置。
【０１６６】
（付記１７）前記フィルタキー検出部を通過した受信パケットを一時的に格納するバッファを備えると共に、前記比較手段は、
予め定めた複数の異なるフィルタキーを保持するフィルタキーテーブルと、
前記フィルタキー検出部により検出されたフィルタキーと一致するフィルタキーが該フィルタキーテーブル内に有るか無いかを検索し、無しのときに廃棄指示を出力する検索部と、
前記廃棄指示を受けて、前記バッファ内に格納されていたパケットを廃棄するように制御するバッファ制御部と、からなることを特徴とする付記１４に記載の通信装置。
【０１６７】
（付記１８）フィルタリングサービスを受けるユーザから入力されたユーザ認証情報を受信して、該ユーザの認証を行うフィルタリング認証手段と、
前記フィルタリング認証手段での認証後に、該ユーザに対し、前記ユーザ認証情報に対応するフィルタリング情報としてのフィルタキーを割り当てて配布するフィルタキー提供手段と、
を有することを特徴とする認証装置。
【０１６８】
（付記１９）前記フィルタリング認証手段は、
前記ユーザ認証情報を予め登録したユーザ認証データベースと、
前記の入力されたユーザ認証情報の真偽を、該ユーザ認証データベースを参照して判定する判定部と、を有してなり、
前記フィルタキー提供手段は、
前記ユーザ認証情報対応に予め割り当てた前記フィルタキーを保持するフィルタキー割当テーブルと、
前記の真偽が真であるとき、前記フィルタキー割当テーブルより対応の前記フィルタキーを、前記ユーザに対して送出するフィルタキー送出部と、を有してなることを特徴とする付記１８に記載の認証装置。
【０１６９】
（付記２０）前記認証装置は、
認証用サーバ、ファイアウォール、ルータおよびホストのうちの少なくとも１つの中に構築されることを特徴とする付記１８に記載の認証装置。
【０１７０】
（付記２１）前記ユーザ認証情報は、ユーザＩＤおよびパスワードであることを特徴とする付記１８に記載の認証装置。
【０１７１】
（付記２２）前記フィルタキーとして、ＴＣＰまたはＵＤＰのポート番号を用いることを特徴とする付記１８に記載の認証装置。
【０１７２】
（付記２３）ＶｏＩＰを用いてユーザ間で通信を行うとき、該ユーザ間で取り決めたＶｏＩＰを示す値を、前記フィルタキーとすることを特徴とする付記１８に記載の認証装置。
【０１７３】
（付記２４）ある特定の条件のもとで前記ユーザに個別に個人ＩＤが割り当てられているとき、その個人ＩＤを前記フィルタキーとすることを特徴とする付記１８に記載の認証装置。
【０１７４】
（付記２５）前記ユーザがあるグループに属するユーザであるとき、該グループを特定する共有ＩＤを予め定めて、その共有ＩＤを前記フィルタキーとすることを特徴とする付記１８に記載の認証装置。
【０１７５】
（付記２６）複数のユーザに同時にマルチキャストパケットが配信されるとき、該マルチキャストパケットにより提供されるコンテンツを利用することが許可されたユーザにのみ予め告知された利用者ＩＤを、前記フィルタキーとすることを特徴とする付記１８に記載の認証装置。
【０１７６】
（付記２７）前記パケットがＩＰｖ６に準拠したパケットであるとき、そのＩＰｖ６拡張ヘッダに、前記フィルタリング情報を格納することを特徴とする付記１８に記載の認証装置。
【０１７７】
（付記２８）前記パケットがＩＰｖ６に準拠したパケットであるとき、そのＩＰｖ６ヘッダ内のフローラベル領域に、前記フィルタリング情報を格納することを特徴とする付記１８に記載の認証装置。
【０１７８】
（付記２９）転送されるパケットに対してフィルタリングが行われるパケット通信システムにおいて、
受信側に送信すべきパケットに、該受信側でのフィルタリングに供するためのフィルタリング情報を格納して送信側より送信するパケット送信装置と、
ネットワークを介してサーバおよびクライアント間で前記送信側からのパケットを受信し、その受信パケットに格納された前記フィルタリング情報を検出して、前記受信側でのフィルタリングに供するパケット受信装置と、
前記フィルタリングサービスを受けるユーザから入力されたユーザ認証情報を受信して、該ユーザの認証を行うと共に、その認証後に、該ユーザに対し、前記ユーザ認証情報に対応するフィルタリング情報としてのフィルタキーを割り当てて配布する認証装置と、
を備えることを特徴とするパケット通信システム。
【０１７９】
（付記３０）ネットワークを介しサーバおよびクライアント間で転送されるパケットに対してフィルタリングサービスが行われるパケット通信システムにおいて、
ユーザ側の前記サーバまたはクライアントから前記ネットワークへのアクセスに際し使用される手段であって、
ユーザ認証情報を受信して、該ユーザの認証を行う第１手段と、
その認証後に該ユーザに対し前記ユーザ認証情報に対応するフィルタリング情報としてのフィルタキーを割り当てて配布することによりアクセス制限を行う第２手段と、
を備えることを特徴とするパケット通信システム。
【０１８０】
（付記３１）ネットワークを介しサーバおよびクライアント間で転送されるパケットに対してフィルタリングサービスが行われるパケット通信システムにおいて、
前記ネットワーク側のユーザから前記サーバまたはクライアントへのアクセスに際し使用される手段であって、
ユーザ認証情報を受信して、該ユーザの認証を行う第１手段と、
その認証後に該ユーザに対し前記ユーザ認証情報に対応するフィルタリング情報としてのフィルタキーを割り当てて配布することによりアクセス制限を行う第２手段と、
を備えることを特徴とするパケット通信システム。
【図面の簡単な説明】
【０１８１】
【図１】本発明に係るパケットフィルタリング方法を示すフローチャートである。
【図２】ＴＣＰ／ＵＤＰヘッダを含む一般的なパケットを示す図である。
【図３】ＩＰｓｅｃを採用した一般的なパケットを示す図である。
【図４】従来のフィルタリングを採用した場合のパケットを示す図である。
【図５】本発明に基づくフィルタキーを格納したパケットを示す図である。
【図６】図５に示す本発明のパケットにＩＰｓｅｃを採用した場合のパケットを示す図である。
【図７】ＩＰｖ６拡張ヘッダの実際の内容を示すフォーマット図である。
【図８】本発明を適用したネットワークを図解的に表す図である。
【図９】本発明に基づく、パケット受信側の通信装置の基本構成を示す図である。
【図１０】図９の通信装置の第１の具体例を示す図である。
【図１１】図９の通信装置の第２の具体例を示す図である。
【図１２】本発明の基づく、パケット送信側の通信装置の基本構成を示す図である。
【図１３】図１２の通信装置の第１の具体例を示す図である。
【図１４】図１２の通信装置の第２の具体例を示す図である。
【図１５】本発明が適用されるパケット通信システムの概要を示す図である。
【図１６】図１５に示す認証装置の基本構成を示す図である。
【図１７】図１６に示す認証手段の具体的構成例を示す図である。
【図１８】図１７のフィルタキー割当テーブル６７の一例を示す図である。
【図１９】一連のフィルタキーの提供手続を表すシーケンス図である。
【図２０】本発明の対象となるネットワークを概略的に示す図である。
【図２１】従来の通信装置の一般的構成を表す図である。
【図２２】図２１の比較テーブル１２を詳細に示す図である。
【図２３】ＩＰｖ４ヘッダの実際の内容を示すフォーマット図である。
【図２４】ＩＰｖ６ヘッダの実際の内容を示すフォーマット図である。
【図２５】ＴＣＰヘッダの実際の内容を示すフォーマット図である。
【図２６】ＵＤＰヘッダの実際の内容を示すフォーマット図である。
【図２７】本発明を適用した具体的なネットワークを示す図である。
【特許請求の範囲】
【請求項１】
受信側に送信すべきパケットに、受信側でのフィルタリングに供するためのフィルタリング情報を格納して送信側より送信することを特徴とするパケットフィルタリング方法。
【請求項２】
送信側からのパケットを受信し、該パケットに格納されたフィルタリング情報を検出して、受信側でのフィルタリングに供することを特徴とするパケットフィルタリング方法。
【請求項３】
パケットフィルタリングを実施するための手段を含むパケット送信側の通信装置であって、
任意の定めたフィルタリング情報を設定する設定部と、
前記設定部より入力された前記フィルタリング情報をフィルタキーとして保持するフィルタキー保持部と、
保持された前記フィルタキーを入力として、パケットのヘッダ部分においてフィルタキーを格納するフィルタキー格納手段と、を少なくとも有してなることを特徴とする通信装置。
【請求項４】
パケットフィルタリングを実施するための手段を含むパケット受信側の通信装置であって、
任意に定めたフィルタリング情報を、フィルタキーとして、パケットのヘッダ部分において格納して送信側より送信されたパケットを受信し、該ヘッダ部分より該フィルタキーを検出するフィルタキー検出部と、
前記フィルタキー検出部により検出した送信側のフィルタキーと予め保持している受信側のフィルタキーとを比較して、両者が不一致か否かを判定し、不一致のときに当該受信パケットを廃棄するよう指示する比較手段と、を備えることを特徴とする通信装置。
【請求項５】
前記フィルタキー検出部を通過した受信パケットを一時的に格納するバッファを備えると共に、前記比較手段は、
予め定めた複数の異なるフィルタキーを保持するフィルタキーテーブルと、
前記フィルタキー検出部により検出されたフィルタキーと一致するフィルタキーが該フィルタキーテーブル内に有るか無いかを検索し、無しのときに廃棄指示を出力する検索部と、
前記廃棄指示を受けて、前記バッファ内に格納されていたパケットを廃棄するように制御するバッファ制御部と、からなることを特徴とする請求項４に記載の通信装置。
【請求項６】
フィルタリングサービスを受けるユーザから入力されたユーザ認証情報を受信して、該ユーザの認証を行うフィルタリング認証手段と、
前記フィルタリング認証手段での認証後に、該ユーザに対し、前記ユーザ認証情報に対応するフィルタリング情報としてのフィルタキーを割り当てて配布するフィルタキー提供手段と、
を有することを特徴とする認証装置。
【請求項７】
前記フィルタリング認証手段は、
前記ユーザ認証情報を予め登録したユーザ認証データベースと、
前記の入力されたユーザ認証情報の真偽を、該ユーザ認証データベースを参照して判定する判定部と、を有してなり、
前記フィルタキー提供手段は、
前記ユーザ認証情報対応に予め割り当てた前記フィルタキーを保持するフィルタキー割当テーブルと、
前記の真偽が真であるとき、前記フィルタキー割当テーブルより対応の前記フィルタキーを、前記ユーザに対して送出するフィルタキー送出部と、を有してなることを特徴とする請求項６に記載の認証装置。
【請求項８】
転送されるパケットに対してフィルタリングが行われるパケット通信システムにおいて、
受信側に送信すべきパケットに、該受信側でのフィルタリングに供するためのフィルタリング情報を格納して送信側より送信するパケット送信装置と、
ネットワークを介してサーバおよびクライアント間で前記送信側からのパケットを受信し、その受信パケットに格納された前記フィルタリング情報を検出して、前記受信側でのフィルタリングに供するパケット受信装置と、
前記フィルタリングサービスを受けるユーザから入力されたユーザ認証情報を受信して、該ユーザの認証を行うと共に、その認証後に、該ユーザに対し、前記ユーザ認証情報に対応するフィルタリング情報としてのフィルタキーを割り当てて配布する認証装置と、
を備えることを特徴とするパケット通信システム。
【請求項９】
ネットワークを介しサーバおよびクライアント間で転送されるパケットに対してフィルタリングサービスが行われるパケット通信システムにおいて、
ユーザ側の前記サーバまたはクライアントから前記ネットワークへのアクセスに際し使用される手段であって、
ユーザ認証情報を受信して、該ユーザの認証を行う第１手段と、
その認証後に該ユーザに対し前記ユーザ認証情報に対応するフィルタリング情報としてのフィルタキーを割り当てて配布することによりアクセス制限を行う第２手段と、
を備えることを特徴とするパケット通信システム。
【請求項１０】
ネットワークを介しサーバおよびクライアント間で転送されるパケットに対してフィルタリングサービスが行われるパケット通信システムにおいて、
前記ネットワーク側のユーザから前記サーバまたはクライアントへのアクセスに際し使用される手段であって、
ユーザ認証情報を受信して、該ユーザの認証を行う第１手段と、
その認証後に該ユーザに対し前記ユーザ認証情報に対応するフィルタリング情報としてのフィルタキーを割り当てて配布することによりアクセス制限を行う第２手段と、
を備えることを特徴とするパケット通信システム。
【請求項１】
受信側に送信すべきパケットに、受信側でのフィルタリングに供するためのフィルタリング情報を格納して送信側より送信することを特徴とするパケットフィルタリング方法。
【請求項２】
送信側からのパケットを受信し、該パケットに格納されたフィルタリング情報を検出して、受信側でのフィルタリングに供することを特徴とするパケットフィルタリング方法。
【請求項３】
パケットフィルタリングを実施するための手段を含むパケット送信側の通信装置であって、
任意の定めたフィルタリング情報を設定する設定部と、
前記設定部より入力された前記フィルタリング情報をフィルタキーとして保持するフィルタキー保持部と、
保持された前記フィルタキーを入力として、パケットのヘッダ部分においてフィルタキーを格納するフィルタキー格納手段と、を少なくとも有してなることを特徴とする通信装置。
【請求項４】
パケットフィルタリングを実施するための手段を含むパケット受信側の通信装置であって、
任意に定めたフィルタリング情報を、フィルタキーとして、パケットのヘッダ部分において格納して送信側より送信されたパケットを受信し、該ヘッダ部分より該フィルタキーを検出するフィルタキー検出部と、
前記フィルタキー検出部により検出した送信側のフィルタキーと予め保持している受信側のフィルタキーとを比較して、両者が不一致か否かを判定し、不一致のときに当該受信パケットを廃棄するよう指示する比較手段と、を備えることを特徴とする通信装置。
【請求項５】
前記フィルタキー検出部を通過した受信パケットを一時的に格納するバッファを備えると共に、前記比較手段は、
予め定めた複数の異なるフィルタキーを保持するフィルタキーテーブルと、
前記フィルタキー検出部により検出されたフィルタキーと一致するフィルタキーが該フィルタキーテーブル内に有るか無いかを検索し、無しのときに廃棄指示を出力する検索部と、
前記廃棄指示を受けて、前記バッファ内に格納されていたパケットを廃棄するように制御するバッファ制御部と、からなることを特徴とする請求項４に記載の通信装置。
【請求項６】
フィルタリングサービスを受けるユーザから入力されたユーザ認証情報を受信して、該ユーザの認証を行うフィルタリング認証手段と、
前記フィルタリング認証手段での認証後に、該ユーザに対し、前記ユーザ認証情報に対応するフィルタリング情報としてのフィルタキーを割り当てて配布するフィルタキー提供手段と、
を有することを特徴とする認証装置。
【請求項７】
前記フィルタリング認証手段は、
前記ユーザ認証情報を予め登録したユーザ認証データベースと、
前記の入力されたユーザ認証情報の真偽を、該ユーザ認証データベースを参照して判定する判定部と、を有してなり、
前記フィルタキー提供手段は、
前記ユーザ認証情報対応に予め割り当てた前記フィルタキーを保持するフィルタキー割当テーブルと、
前記の真偽が真であるとき、前記フィルタキー割当テーブルより対応の前記フィルタキーを、前記ユーザに対して送出するフィルタキー送出部と、を有してなることを特徴とする請求項６に記載の認証装置。
【請求項８】
転送されるパケットに対してフィルタリングが行われるパケット通信システムにおいて、
受信側に送信すべきパケットに、該受信側でのフィルタリングに供するためのフィルタリング情報を格納して送信側より送信するパケット送信装置と、
ネットワークを介してサーバおよびクライアント間で前記送信側からのパケットを受信し、その受信パケットに格納された前記フィルタリング情報を検出して、前記受信側でのフィルタリングに供するパケット受信装置と、
前記フィルタリングサービスを受けるユーザから入力されたユーザ認証情報を受信して、該ユーザの認証を行うと共に、その認証後に、該ユーザに対し、前記ユーザ認証情報に対応するフィルタリング情報としてのフィルタキーを割り当てて配布する認証装置と、
を備えることを特徴とするパケット通信システム。
【請求項９】
ネットワークを介しサーバおよびクライアント間で転送されるパケットに対してフィルタリングサービスが行われるパケット通信システムにおいて、
ユーザ側の前記サーバまたはクライアントから前記ネットワークへのアクセスに際し使用される手段であって、
ユーザ認証情報を受信して、該ユーザの認証を行う第１手段と、
その認証後に該ユーザに対し前記ユーザ認証情報に対応するフィルタリング情報としてのフィルタキーを割り当てて配布することによりアクセス制限を行う第２手段と、
を備えることを特徴とするパケット通信システム。
【請求項１０】
ネットワークを介しサーバおよびクライアント間で転送されるパケットに対してフィルタリングサービスが行われるパケット通信システムにおいて、
前記ネットワーク側のユーザから前記サーバまたはクライアントへのアクセスに際し使用される手段であって、
ユーザ認証情報を受信して、該ユーザの認証を行う第１手段と、
その認証後に該ユーザに対し前記ユーザ認証情報に対応するフィルタリング情報としてのフィルタキーを割り当てて配布することによりアクセス制限を行う第２手段と、
を備えることを特徴とするパケット通信システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【公開番号】特開２００６−３５２９１７（Ｐ２００６−３５２９１７Ａ）
【公開日】平成１８年１２月２８日（２００６．１２．２８）
【国際特許分類】
【出願番号】特願２００６−２４６０８５（Ｐ２００６−２４６０８５）
【出願日】平成１８年９月１１日（２００６．９．１１）
【分割の表示】特願２００２−５６６９１４（Ｐ２００２−５６６９１４）の分割
【原出願日】平成１４年２月１９日（２００２．２．１９）
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
【公開日】平成１８年１２月２８日（２００６．１２．２８）
【国際特許分類】
【出願日】平成１８年９月１１日（２００６．９．１１）
【分割の表示】特願２００２−５６６９１４（Ｐ２００２−５６６９１４）の分割
【原出願日】平成１４年２月１９日（２００２．２．１９）
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
[ Back to top ]