JP2010283553A

JP2010283553A - 機器の種類に基づいたネットワーク管理方法、ネットワーク管理装置、プログラム

Info

Publication number: JP2010283553A
Application number: JP2009134656A
Authority: JP
Inventors: Shunji Sugaya; 俊二菅谷
Original assignee: Optim Corp
Current assignee: Optim Corp
Priority date: 2009-06-04
Filing date: 2009-06-04
Publication date: 2010-12-16
Anticipated expiration: 2029-06-04
Also published as: JP4824100B2

Abstract

【課題】電子機器の種類に基づいたネットワークの接続を管理するネットワーク管理方法ネットワーク管理装置、プログラムを提供すること。
【解決手段】ルータ５０は、電子機器１０−ｃが第１のネットワークに接続されると、電子機器から所定のパケットを受信することで、電子機器１０−ｃの型名を判別し、判別された型名に基づいて、第２のネットワーク（例えば、ＷＡＮや他の認証を必要とするＬＡＮ）へのアクセスを許可するか否かを判別し、アクセスを許可する場合に、型名を判別した電子機器に対しては、第２のネットワークへのアクセスを許可する。
【選択図】図３

Description

本発明は、機器の種類に基づいたネットワーク管理方法、及びこれを実行するネットワーク管理装置、プログラムに関する。

従来より、ローカルネットワークに接続されるコンピュータが、ネットワークにアクセスするためには、アクセス許可の認証を行ってから、ネットワークへの接続を可能とすることが知られている。

例えば、ＵＳＢ（ＵｎｉｖｅｒｓａｌＳｅｒｉａｌＢｕｓ）等の携帯認証装置を接続して、このコンピュータを認証してから、ネットワークに接続する方法が知られている（例えば、特許文献１参照）。

特開２００６−２５１８５７号公報

しかしながら、特許文献１の方法では、コンピュータ等の電子機器ごとにネットワークへの接続設定を個別に管理者が行わなくてはならない。さらに、以下で説明するように、コンピュータ等の電子機器の種類ごとに、ネットワークへのアクセスを制御することはできない。

例えば、ある企業において、携帯型ゲーム機や、社内で購入していない携帯情報端末が、イントラネットに接続された場合に、これらの電子機器については、インターネットへの接続を制限したいというニーズがある。例えば、ユーザＩＤやパスワードのみで、イントラネット経由のインターネットへのアクセスを許可してしまっては、業務に関係ない使用用途で使用するゲーム機であっても、インターネットへのアクセスを許可し、ネットゲームを実行可能としてしまう。

さらに、上記のように接続された電子機器に対して、企業内の同一のイントラネット内でも認証方法が異なる他のネットワークにアクセスを可能にするか否かを管理したいというニーズがある。すなわち、社内で認証されていない私用の電子機器については、認証方法が異なる他のネットワークへのアクセスを許可しないという、網羅的な接続管理が可能であることが望ましい。

本発明者は、このような課題に鑑みて、ネットワークの接続を許可しない電子機器のアクセスを管理するため、ネットワークに接続される電子機器の種類に応じて、ネットワークの利用を制御することができないか、という点に着目した。

本発明は、電子機器の種類に基づいたネットワークの接続を管理するネットワーク管理方法、ネットワーク管理装置、プログラムを提供することを目的とする。

（１）電子機器と第１のネットワークを介して通信可能に接続されたネットワーク管理装置であって、前記電子機器が前記第１のネットワークに接続されたことに応じて、前記電子機器から所定のパケットを受信することで、前記電子機器の型名を判別する電子機器判別手段と、判別された前記型名に基づいて、第２のネットワークへのアクセスを許可するか否かを判別するアクセス判別手段と、前記アクセスが許可された場合に、前記型名を判別した電子機器に対して、前記第２のネットワークへのアクセスを許可するアクセス許可手段と、を備えることを特徴とするネットワーク管理装置。

（１）に係る発明によれば、ネットワーク管理装置（例えば、後述する、ルータ５０）は、電子機器から所定のパケット（例えば、後述する、リクエストパケット、パッシブパケット）を受信することで、電子機器の型名を判別し、判別された型名に基づいて、第２のネットワーク（例えば、後述する公衆回線網３等）へアクセスを許可するか否かを判別し、アクセスを許可した場合に、型名を判別した電子機器に対して、第２のネットワークへのアクセスを許可する。

したがって、電子機器の種類に応じて、第２のネットワークへの利用を制御することが可能となるため、管理者は、接続される電子機器ごとにネットワークの接続設定を個別に行う必要がなく、電子機器の種類により、網羅的にネットワークの利用を制限、管理することが可能となる。

（２）（１）に記載のネットワーク管理装置であって、前記第２のネットワークとは、ＷＡＮ（ＷｉｄｅＡｒｅａＮｅｔｗｏｒｋ）又は、他の認証を必要とするＬＡＮ（ＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）であることを特徴とするネットワーク管理装置。

（２）に係る発明によれば、アクセス許可が行われる第２のネットワークが、ＷＡＮもしくはセグメントの異なるＬＡＮであるので、インターネット等の公衆回線の接続を管理し又は、ＬＡＮ内の他のネットワークへのアクセスを制限、管理することが可能である。

（３）（１）に記載のネットワーク管理装置であって、前記アクセス判別手段は、前記型名を判別した電子機器から許可ＩＤの入力を受けたことに応じて、前記型名を判別した電子機器に対して、前記第２のネットワークへのアクセスを判別するネットワーク管理装置。

（３）に係る発明によれば、（１）に記載のネットワーク管理装置は、第２のネットワークへのアクセスを許可しなかった場合に、型名を判別した電子機器から許可ＩＤの入力を受けたことに応じて、型名を判別した電子機器に対して第２のネットワークへのアクセスを許可する。したがって、電子機器が所定の型名であれば、網羅的にアクセスを制限してしまうが、これに例外を設けることが可能となる。

（４）電子機器と第１のネットワークを介して通信可能に接続されたネットワーク管理装置が実行するネットワーク管理方法であって、前記電子機器が第１のネットワークに接続されたことに応じて、前記電子機器から所定のパケットを受信することで、前記電子機器の型名を判別する電子機器判別ステップと、判別された前記型名に基づいて、第２のネットワークへのアクセスを許可するか否かを判別するアクセス判別ステップと、前記アクセスが許可された場合に、前記型名を判別した電子機器に対して、前記第２のネットワークへのアクセスを許可するアクセス許可ステップと、を備えることを特徴とするネットワーク管理方法。

（４）に係る発明によれば、ネットワーク管理装置（例えば、後述する、ルータ５０）は、電子機器から所定のパケット（例えば、後述する、リクエストパケット、パッシブパケット）を受信することで、電子機器の型名を判別し、判別された型名に基づいて、第２のネットワークへのアクセスを許可するか否かを判別し、アクセスが許可された場合に、型名を判別した電子機器に対して、第２のネットワークへのアクセスを許可する。

（５）電子機器と第１のネットワークを介して通信可能に接続されたネットワーク管理装置に、前記電子機器が第１のネットワークに接続されたことに応じて、前記電子機器から、所定のパケットを受信することで、前記電子機器の型名を判別する電子機器判別ステップと、判別された前記型名に基づいて、第２のネットワークへのアクセスを許可するか否かを判別するアクセス判別ステップと、前記アクセスが許可された場合に、前記型名を判別した電子機器に対して、前記第２のネットワークへのアクセスを許可するアクセス許可ステップと、を実行させるためのプログラム。

（５）に係る発明によれば、ネットワーク管理装置（例えば、後述する、ルータ５０）は、電子機器から所定のパケット（例えば、後述する、リクエストパケット、パッシブパケット）を受信することで、電子機器の型名を判別し、判別された型名に基づいて、第２のネットワークへのアクセスを許可するか否かを判別し、アクセスが許可された場合に、型名を判別した電子機器に対して、第２のネットワークへのアクセスを許可する。

本発明によれば、ネットワークの接続を許可しない電子機器のアクセスを管理するため、接続される電子機器ごとにネットワークの接続設定を個別に行う必要がなく、ネットワークに接続される電子機器の種類に応じて、ネットワークの利用を制御するネットワーク管理方法、ネットワーク管理装置、プログラムを提供することができる。

図１は、ネットワーク接続管理システム１の全体構成を示す図である。図２は、ネットワーク接続管理システム１の接続構成及び、ルータ５０の機能構成を示す図である。図３は、アクセス許可フローを示す図である。図４は、電子機器判別処理を示す図である。図５は、ＭＡＣアドレスの一例を示す図である。図６は、ＭＡＣアドレスメーカテーブルの一例を示す図である。図７は、ＭＡＣアドレス機種テーブルの一例を示す図である。図８は、ポート番号の一例を示す図である。図９は、ポート番号テーブルの一例を示す図である。図１０は、得点化処理と電子機器を特定する処理の一例を示す概念図である。図１１は、許可ＩＤによるアクセス許可フローを示す図である。図１２は、電子機器ネットワーク管理テーブルを示す図である。図１３は、許可ＩＤテーブルを示す図である。図１４は、ルータ５０のハードウェア構成図である。

以下、図を参照して本発明の実施形態について説明する。

［全体概要］
図１を参照して本発明に係るネットワーク接続管理システム１の概要について説明する。図１は、ネットワーク接続管理システム１の全体構成を示す図である。

ネットワーク接続管理システム１は、Ｗｅｂサーバ１００，１１０と、公衆回線網（インターネット：ＷＡＮ（ＷｉｄｅＡｒｅａＮｅｔｗｏｒｋ））３と、ルータ５０と、ハブ２０−ａ、無線ＬＡＮアクセスポイント２０−ｂと、ネットワーク機能を有する電子機器１０として、電話機１０−ａ、コンテンツ再生・録画装置１０−ｂ、ゲーム機１０−ｃ、パソコン１０−ｄと、から構成される。なお、ハブ２０−ａ、無線ＬＡＮアクセスポイント２０−ｂは、本実施例において必須の構成要素ではない。

ローカルネットワーク２は、ホームネットワーク等の局所的なネットワーク（イントラネット）であってよい。ローカルネットワーク２は、セグメントが異なる２つのネットワーク（第１のローカルネットワーク５、第２のローカルネットワーク７）を有する。ここで、セグメントが異なるネットワークとは、ネットワークで使用されるＩＰアドレスのネットワークアドレスが異なるネットワークのことである。セグメントが異なるネットワークは、ルータ５０で分岐され、ルータ５０の処理によってネットワーク間の通信が可能となる。

ローカルネットワーク２内の機器としては、ルータ５０、ハブ２０−ａ、無線ＬＡＮアクセスポイント２０−ｂ、ローカルネットワーク２内の電子機器１０として、電話機１０−ａ、コンテンツ再生・録画装置１０−ｂ、ゲーム機１０−ｃ、パソコン１０−ｄから構成される。ルータ５０が公衆回線網３（ＷＡＮ）と接続されることで、電子機器１０−ａ〜ｄは、外部ネットワークである公衆回線網３を介して、例えば、Ｗｅｂサーバ１００，１１０と通信可能となる。

電子機器１０は、ネットワーク機能を有する電子機器であれば、上記の例に限られない。少なくとも通信機能を有し、固有の端末アドレス（ＭＡＣ（ＭｅｄｉａＡｃｃｅｓｓＣｏｎｔｒｏｌ）アドレス）とＩＰ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ）アドレスを有し、ネットワーク機能を実現する電子機器である。

無線ＬＡＮアクセスポイント２０−ｂは、ゲーム機１０−ｃ、パソコン１０−ｄのそれぞれと、無線により通信可能に接続されている。図示されているように、無線ＬＡＮアクセスポイント２０−ｂは、所定の電波範囲に第１のローカルネットワーク５となる無線エリアが形成される。

［機能構成］
図２を参照して、ルータ５０の機能構成について説明する。

ルータ５０は、制御部５１と、通信Ｉ／Ｆ（インターフェース）部６０とから構成される。制御部５１は、電子機器判別手段５２と、アクセス判別手段５３と、アクセス許可手段５４と、から構成される。

ルータ５０は、ＯＳＡＰ（ＯＳＧｉＳｅｒｖｉｃｅＡｇｇｒｅｇａｔｉｏｎＰｌａｔｆｏｒｍ）における、ＯＳＧｉプラットフォームを基盤として、この上で実行されるモジュールとして、上記の機能が実現されてよい。

制御部５１は、図１４に示すように、ＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）４０と、ＲＯＭ（ＲｅａｄＯｎｌｙＭｅｍｏｒｙ）４１、ＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）４２とから構成される。通信Ｉ／Ｆ部６０は、ＬＡＮが接続されるＬＡＮポート６２，６３、公衆回線網３が接続されるＷＡＮポート６１から構成される。ハードディスク６５は、下記で説明するテーブル等のデータが記憶され、制御部５１が、ハードディスク６５にアクセスし、テーブルを参照する。

電子機器判別手段５２と、アクセス判別手段５３と、アクセス許可手段５４は、これらのハードウェアが本機能を実現するプログラムを読み込んで協働して実現される。

電子機器判別手段５２は、ＬＡＮポート６２，６３に接続された電子機器１０の型名（メーカ名と製品型名）を、電子機器判別処理によって判別する機能を有する。電子機器判別処理は、後述するように、ルータ５０から電子機器１０に対して送信されるリクエストパケット及びこれに対する電子機器からのレスポンスパケットに基づいて、電子機器の型名を判別する。

なお、電子機器判別手段５２は、リクエストパケットを送信しなくても、電子機器１０から送信されるブロードキャストのパケット及びマルチキャストのパケット（パッシブパケット）を受信し、これらのパケットに基づいて、電子機器１０の型名を判別してよい。

アクセス判別手段５３は、判別された電子機器１０の型名に基づいて、第２のネットワークへのアクセスを許可するか否かを判別する。ここで、図１１にて説明するように、アクセス判別手段５３は、型名を判別した電子機器１０から許可ＩＤの入力を受けたことに応じて、第２のネットワークへのアクセスを判別する場合もある。

第２のネットワークとは、第１のネットワークと異なる端末、Ｗｅｂサーバ等のサーバと接続可能なネットワーク、又は、第１のネットワークとは異なる認証を必要とするネットワークである。

前者の例としては、例えば、第２のネットワークは、ＷＡＮ又はセグメントの異なるＬＡＮであってよい。後者の例としては、第２のネットワークは、例えば、第１のネットワークが、ＷＥＰ（ＷｉｒｅｄＥｑｕｉｖａｌｅｎｔＰｒｉｖａｃｙ）の設定で接続できるが、第２のネットワークは、これに加えて、認証サーバ（例えば、Ｒａｄｉｕｓサーバ）等にて認証を行った後に接続されるネットワークである。

アクセス許可手段５４は、アクセス判別手段５３の判断に基づいて、型名を判別した電子機器１０に対して、第２のネットワークへのアクセスを許可する。

通信Ｉ／Ｆ部６０は、ＷＡＮポート６１とＬＡＮポート１−６２、ＬＡＮポート２−６３とを備える。ＷＡＮポート６１は、外部ネットワーク（第２のネットワーク）である公衆回線網３と接続され、Ｗｅｂサーバ１００，１１０と通信可能に接続される。Ｗｅｂサーバ１００，１１０は、所定のＷｅｂページを要求した電子機器１０に、Ｗｅｂページを提供する機能を有するＷｅｂサーバである。

ＬＡＮポート１−６２、ＬＡＮポート２−６３は、ローカルネットワーク２のためのポートであり、異なるポートごとに、セグメントが異なるローカルネットワーク（第１のローカルネットワーク５、第２のローカルネットワーク７）が接続されている。

ルータ５０は、第１のローカルネットワーク５（第１のネットワーク）に、電子機器１０−ｃが接続された場合は、第２のローカルネットワーク７又は公衆回線網３（第２のネットワーク）へのアクセスを許可するか判断する。

図３は、ルータ５０と電子機器１０−ｃが実行するアクセス許可フローを示す図である。電子機器１０−ｃが、第１のネットワーク（例えば、第１のローカルネットワーク５）に接続される（物理的な優先接続に限らず、無線による通信接続を含む）と（ステップＳ０１）、ルータ５０は、図４により後述する、電子機器判別処理（ステップＳ０２）を実行する。

電子機器判別処理により、接続された電子機器１０−ｃの型名が判別され、ルータ５０が型名を記憶する。この間に、電子機器１０−ｃが、第２のネットワーク（ＮＷ）へのアクセス要求があったかを判断する（ステップＳ０３）。ここで、要求とは、電子機器１０−ｃを操作するユーザが、Ｗｅｂブラウザを起動して外部ネットワークへのアクセスを要求することや、ディレクトリを指定することでセグメントの異なる他のネットワークへのアクセスを要求することである。

電子機器１０−ｃは、第２のネットワーク（ＮＷ）へのアクセス要求があった場合には、ルータ５０にアクセスして、第２のネットワークへのアクセスを試みるが、ここで、ルータ５０が、このアクセスを許可するか否かを判別する（ステップＳ０４）。

アクセスの許可は、例えば、図１２に示す、電子機器ネットワーク管理テーブルに基づいて、アクセスの許可を判別する。電子機器判別処理により判別された電子機器の型名に基づいて、電子機器ネットワーク管理テーブルを参照して、ＷＡＮ接続、ネットワークセグメント１（第１のローカルネットワーク５に対応）、ネットワークセグメント２（第２のローカルネットワーク７に対応）のアクセス許可を判断する。電子機器ネットワーク管理テーブルは、ルータ５０の管理者が予め設定し、記憶しておいてよい。

ルータ５０は、アクセス判別処理により、アクセスを許可する場合（ステップＳ０４にて「ＹＥＳ」）、アクセス許可処理（ステップＳ０５）を実行する。

例えば、ＷＡＮ接続を要求した場合は、アクセス許可処理を実行するまで、ローカルネットワーク５内のプライベートアドレスを、グローバルアドレスに変換する処理（ＮＡＴ（ＮｅｔｗｏｒｋａｄｄｒｅｓｓＴｒａｎｓｌａｔｉｏｎ）や、ＩＰマスカレード）を実行しないで、待機状態として、アクセス判別処理によりアクセス許可がされた場合に、グローバルアドレスへの変換処理を実行する。セグメントの異なるローカルネットワークの場合も同様に、ルータ５０が、許可が判別されるまで、目的となる相手にルーティングを行わない。これにより、ルータ５０が、電子機器１０−ｃの第２のネットワークへのアクセスを制限することができる。

アクセス許可処理の結果として、電子機器１０−ｃは、第２のネットワークへのアクセスを開始（ステップＳ０６）（ＷＡＮであれば、Ｗｅｂサーバ１００，１１０へのアクセスを開始）して、処理を終了する。

アクセス判別処理（ステップＳ０４）において、アクセスを許可しない場合（ステップＳ０４にて「ＮＯ」）、ルータ５０は、アクセスが許可されないとして、これを示すアクセス規制表示を電子機器１０−ｃに表示することで、アクセス規制表示処理を行い（ステップＳ０７）、処理を終了する。この場合には、電子機器１０−ｃは、第２のネットワークに通信可能に接続することはできない。

［電子機器判別処理］
次に、ステップＳ０２の電子機器判別処理について説明する。図４は、電子機器判別処理のフローチャートである。まず、ルータ５０は、電子機器１０に対して、リクエストパケットを送信する（ステップＳ２０）。

リクエストパケットとは、電子機器１０の型名を判別するためのレスポンスパケットを受信するために、ルータ５０が、電子機器１０に送信するパケットデータである。

リクエストパケットは、例えば、ＡＲＰ（ＡｄｄｒｅｓｓＲｅｓｏｌｕｔｉｏｎＰｒｏｔｏｃｏｌ）、ＩＣＭＰ（ＩｎｔｅｒｎｅｔＣｏｎｔｒｏｌＭｅｓｓａｇｅＰｒｏｔｏｃｏｌ）、ＳＮＭＰ（ＳｉｍｐｌｅＮｅｔｗｏｒｋＭａｎｅｇｅｍｅｎｔＰｒｏｃｏｌ）等のコマンドであってよく、ｕＰｎＰ（ＵｎｉｖｅｒｓａｌＰｌｕｇａｎｄＰｌａｙ）、ＤＬＮＡ（ＤｉｇｉｔａｌＬｉｖｉｎｇＮｅｔｗｏｒｋＡｌｌｉａｎｃｅ）準拠のプロトコルであってよい。

なお、ルータ５０は、定期的に電子機器１０に対して、リクエストパケットを送信する態様であってよい。すなわち、ルータ５０が、数十秒毎、数分毎、数時間ごとに、リクエストパケットを送信することで、通信可能に接続された電子機器１０を、所定のタイミングで検知する。

すなわち、ネットワークシステム１に新たな電子機器１０が接続された場合に、この電子機器１０を検知するために、ルータ５０は、定期的に、所定のタイミングで、リクエストパケットを送信する。これによれば、ルータ５０は、ユーザが新たな電子機器１０を接続した場合に、電子機器１０に関する情報（電子機器情報）を得ることが可能となるため、ネットワーク接続管理システム１内の電子機器１０の管理が容易となる。

電子機器情報とは、電子機器に関する情報であって、電子機器の型名（電子機器の種類を特定するための型名であって、メーカ名、製品型名を示す）が少なくとも含まれる情報である。

なお、ルータ５０は、電子機器１０からブロードキャストのパケット及びマルチキャストのパケット等のパッシブパケットを受信する場合には、リクエストパケットを送信することを必要としない（ステップＳ２０を実行しない）。

次に、ルータ５０は、所定の電子機器１０からレスポンスパケットを受信する（ステップＳ２１）。

レスポンスパケットとは、電子機器１０から送信されるパケットであって、電子機器１０の型名を判別する、あるいは、電子機器１０の型名を判別する手がかりとなる、パケットデータである。すなわち、レスポンスパケットとは、ルータ５０から送信されたリクエストパケットを受信した電子機器１０から送信される応答パケットである。ここで、レスポンスパケットは、リクエストパケットの応答パケットではないが、ブロードキャスト又はマルチキャストで電子機器２０から送信されるパッシブパケットも含む。

次に、ルータ５０は、定義ファイル参照処理を行う（ステップＳ２２）。ルータ５０の制御部５１は、ハードディスク６５に記憶された定義ファイルを参照し、比較して、次の得点化処理（ステップＳ２３）を行う。

定義ファイルとは、電子機器１０ごとに予め定められたデータであって、電子機器１０の型名を特定するために必要なデータである。後述する図１０を参照すると、定義ファイル（電子機器Ａ定義ファイル）は、１以上の定義項目（Ｘ５，Ｙ２，Ｚ３）からなり、定義項目の一つ一つを得点化して比較し、電子機器１０（この場合、電子機器Ａ）を特定する。定義項目とは、一つのリクエストパケット及びレスポンスパケットで電子機器１０の型名を特定するための定義データである。

次に、ルータ５０は、定義ファイルとレスポンスパケットを比較して、得点化（スコアリング）を行う（ステップＳ２３）。

得点化について、図１０を参照して説明する。ルータ５０は、１以上のリクエストパケット（Ａ１，Ｂ１，Ｃ１）を送信し、これに対するレスポンスパケット（Ｘ５，Ｙ８，Ｚ９）を受信する。そして、ルータ５０は、電子機器毎の定義ファイル（電子機器Ａ定義ファイル、電子機器Ｂ定義ファイル、電子機器Ｃ定義ファイル）の定義項目を参照し、レスポンスパケットと比較する。

例えば、リクエストパケットとして、ＡＲＰコマンドを送信し、このレスポンスをある電子機器１０から受信した場合で説明する。ＡＲＰコマンドをターゲットの電子機器１０に送信することで、ターゲットの電子機器１０のＭＡＣアドレスの情報を含むパケットをレスポンスパケットとして受信する。

図５に示すように、ＭＡＣアドレスは、４８Ｂｉｔの符号からなり、上位２４ＢｉｔがベンダーＩＤとして、ベンダー固有のＩＤが付与され、次の８Ｂｉｔが機種ＩＤである。

そして、ルータ５０には、電子機器１０ごとの定義ファイルを構成するための、テーブルが記憶されていてよい。例えば、図６に示すように、ＭＡＣアドレスメーカテーブルとして、上位２４Ｂｉｔの符号と、電子機器１０のメーカ名（必ずしも、製造元のベンダー名でなくてよく、通信Ｉ／Ｆを備える電子機器１０のベンダー（メーカ）名であってよい）と、得点化のためのポイントと、ＩＤとが関係付けられている。さらに、図７に示すように、ＭＡＣアドレス機種テーブルとして、上位２４Ｂｉｔの符号と、電子機器１０の機種名と、得点化のためのポイントと、ＩＤとが関係付けられている。

このＭＡＣアドレスメーカテーブルと、ＭＡＣアドレス機種テーブルの、各要素を抽出することで、定義項目となり、電子機器１０ごとの定義ファイルを構成する。例えば、ＭＡＣアドレスメーカテーブルのＩＤ００１が、電子機器Ａ定義ファイルのＸ５（図１０参照）（定義項目Ｘ５）に該当し、ＭＡＣアドレス機器テーブルのＩＤ０１０が、電子機器Ａ定義ファイルのＹ２（定義項目Ｙ２）に該当する。

リクエストパケットとして送信されたＡ１のパケットを受けて、電子機器１０は、レスポンスパケットを送信する。このレスポンスパケット（Ｘ５）と、電子機器Ａの定義ファイルの定義項目を比較して、同一であれば、各テーブルを参照して、ポイントを付与する。

例えば、上記の例で、レスポンスパケットＸ５が、ターゲットのＭＡＣアドレスの情報を含むパケットであって、４８Ｂｉｔの符号が「０４−Ａ３−４３−５Ｆ−４３−２３」である場合で説明する。上位２４Ｂｉｔが定義項目Ｘ５（ＩＤ００１）と同一であるため、０．３のポイントを付与する。さらに、次の８Ｂｉｔにおいても、定義項目（ＩＤ０１０）と同一であるため、０．３のポイントを付与する。したがって、電子機器Ａ定義ファイルは、合計０．６ポイントを取得することができる。

なお、上記の例では、一のリクエストパケット（Ａ１）に対して、レスポンスパケット（Ｘ５）により、２つの定義項目（ＩＤ００１、ＩＤ０１０）に対して得点化しているが、このように、一のレスポンスパケットから複数の定義項目を得点化する態様であってよい。

次に、ルータ５０は、レスポンスパケットＹ８を、電子機器Ａ定義ファイルのＹ２と比較して、レスポンスパケットＺ９を、電子機器Ａ定義ファイルのＺ３と比較して、各ポイントを取得する（図１０参照）。電子機器Ａ定義ファイルの総合点は、このようにして求めた全てのポイントを足し合わせたものである。これを、電子機器Ａ定義ファイル、電子機器Ｂ定義ファイル、電子機器Ｃ定義ファイル・・と、全ての電子機器ごとの定義ファイルに対して、総合点を求める。

上記の説明では、レスポンスパケットＸ５と定義項目Ｘ５が同一である場合で説明したが、同一に限らず、類似度で判断してもよい。

類似度で判断する例として、レスポンスパケットＸ５の上位２４Ｂｉｔの上位１６Ｂｉｔまでが同一であれば０．２ポイントを付与し、上位８Ｂｉｔまでが同一であれば、０．１ポイントを付与する態様（パケットの文字列の類似度で判断する）であってよい。このようにすることで、レスポンスパケットと定義項目の類似度が高いとポイントを高くするといったように、ポイントの値を調整することができる。

ルータ５０は、複数種類のリクエストパケットを送信することで、複数のレスポンスパケットを電子機器１０から受信する。

次に、ルータ５０が、電子機器１０の型名を決定する（ステップＳ２４）。すなわち、上記のような得点化を、全ての電子機器の定義ファイルで行い、取得した得点を比較して、得点が高い定義ファイルを抽出することで、電子機器１０の型名を決定する。

例えば、前述の説明のように、電子機器Ａ定義ファイル、電子機器Ｂ定義ファイル、電子機器Ｃ定義ファイル・・と、全ての電子機器ごとの定義ファイルに対して、総合点を求め、最も得点の高い電子機器の定義ファイルを抽出して、電子機器１０を特定する。

図１０を用いて説明すると、例えば、レスポンスパケット（Ｘ５，Ｙ８，Ｚ９）と電子機器Ａ定義ファイル（Ｘ５，Ｙ２，Ｚ３）のＸ５が同一であるため、電子機器Ａ定義ファイルでは、０．６ポイントを取得するとする。これに対して、電子機器Ｂ定義ファイルの各定義項目（Ｘ１，Ｙ７，Ｚ１）は、レスポンスパケット（Ｘ５，Ｙ８，Ｚ９）と、どれも同一ではないが、類似度を考慮して、０．３ポイントを取得できたとする。

そして、電子機器Ｃ定義ファイル（Ｘ５，Ｙ８，Ｚ８）は、レスポンスパケット（Ｘ５，Ｙ８，Ｚ９）と、定義項目Ｙ８が同一であるため、電子機器Ａ定義ファイルでは、０．９ポイントを取得したとする。この場合には、電子機器ＡからＣの定義ファイルのうち、電子機器Ｃの定義ファイルが最も高い総合点（０．９ポイント）であると決定し、定義ファイルＣを抽出するため、電子機器１０の型名は、電子機器Ｃと決定される。

一例として、電子機器Ａ定義ファイルを、Ａ社というメーカ名までの定義ファイルとして、電子機器Ｂ定義ファイルを、Ａ社というメーカ名に加えて、機器の型名の一つである（ＡＢ−０１）まで特定できる定義ファイルとする。この場合は、ある電子機器１０が、Ａ社製で、ＡＢ−０１という型名である場合には、電子機器Ａ定義ファイルよりも、電子機器Ｂ定義ファイルの方が、ポイントが高くなる。したがって、電子機器１０は、総合点が高くなる、電子機器Ｂ（Ａ社のＡＢ−０１）であると決定される。

逆に、ある電子機器１０が、Ａ社製で、新規のＢＣ−０３という製品型名である場合には、Ａ社製というところまで、電子機器Ａもしくは電子機器Ｂの定義ファイルにより特定できる。したがって、機器名は特定できないが、少なくとも、メーカ名までは特定が可能であり、段階的に、電子機器情報を特定することができる。

ＭＡＣアドレス以外の得点化のための判断要素として、図８、図９を用いてＴＣＰ／ＩＰのポートにより判断する例について説明する。電子機器１０ウェルノウンポートその電子機器１０で特別に使用（バインド）されるポート番号の使用状況により、電子機器１０の型名を特定する。

図８に示すように、電子機器Ｘは、ポート番号５０００、５００２番は、使用中であり、５００１番は使用していないとする。例えば、ＮＥＴＳＴＡＴコマンドにより、このステイタスを検知する。そして、図９に示すように、ルータ５０に記憶されたポート番号テーブルを参照して、使用中（バインド中）のポート番号を比較して、ＩＤ１００の定義項目との同一を判断して、ポイントを付与する。この場合は、Ａ社製、ＡＢ−０１として、ポイントが０．２付与される。

ＮＥＴＳＴＡＴコマンドを使用する場合は、リクエストパケットとして、ＮＥＴＳＴＡＴコマンドが、相手となる電子機器１０にパケットを送信してもよいが、ルータ５０は、電子機器１０から、ブロードキャスト又はマルチキャストのパケットを予め受信しており、これらの受信したパケットを利用して、ＮＥＴＳＴＡＴのコマンド結果を得てもよい。

すなわち、ルータ５０が、リクエストパケットとなるＮＥＴＳＴＡＴコマンドを、電子機器１０に対して送信しなくても、これまでに受信していた電子機器１０から送信されるブロードキャスト又はマルチキャストのパケット（ポート番号のバインド状態を通知するパケット等）に基づいて、上記の得点化処理が行われてもよい。

なお、ポイントの付与は、ポート番号テーブルのポート番号とバインドの状態が完全に同一の場合のみではなく、存在するポートの何割が使用中であり、何割が不使用であるかということを判別して、使用程度（使用程度が完全に同一ではないが類似の程度）に応じてポイントが付与されてもよい。

例えば、テーブルとして、ポートの使用程度とポイントが対応付けられて予め記憶されているとする。この場合、ポート番号５０００、５００２番は、使用中であり、５００１番は使用していないときに、６６％のポートが使用中である。したがって、６６％のポートが使用中のときに、テーブルを参照して、所定のポイントを付与するといった処理である。

さらに、ＯＳ（ＯｐｅｒａｔｉｎｇＳｙｓｔｅｍ）のバージョンを確定して、ポイントの付与を実行してもよい。例えば、ブロードキャストに送信されるパッシブパケットとして、ｎｂｎｓ（ＮｅｔＢＩＯＳＮａｍｅＳｅｒｖｅｒ）パケットを電子機器１０から受信して、ＯＳのバージョン情報を取得し、これに基づいて、ＯＳを特定し、特定されたＯＳのバージョンに基づいて、ポイントが付与されてもよい。

例えば、Ｃ社の電子機器ＡＢ−０１の定義ファイルに、定義項目として、「ＯＳのバージョンが「Ｘ型」を使用している場合には、ポイントを０．５加算する」と登録されているとする。このとき、ｎｂｎｓパケットにより、ＯＳのバージョンが「Ｘ型」と特定されれば、Ｃ社の電子機器ＡＢ−０１のポイントを０．５加算する。

［許可ＩＤによるアクセス許可フロー］
次に、図１１の許可ＩＤによるアクセス許可フローに基づいて、ルータ５０、電子機器１０−ｃが実行する処理について、説明する。電子機器１０−ｃは、図３のアクセス判別処理（ステップＳ０４）において、第２のネットワークへのアクセスを許可しない場合（ステップＳ０４にて「ＮＯ」）、ルータ５０は、アクセスが許可されないとして、これを示すアクセス規制表示を電子機器１０−ｃに表示し、アクセス規制表示処理を行う（ステップＳ０７）。

この場合に、電子機器１０−ｃは、ユーザから許可ＩＤの入力を促す（ステップＳ０８）。許可ＩＤとは、アクセス規制を解除するための文字列（パスワード）であり、ネットワークを管理する管理者や、職場の上司、家庭であれば保護者等により管理されている。

電子機器１０−ｃから許可ＩＤが入力されると、ルータ５０は、これを受信して、許可ＩＤが適切であるか否かを判別する（ステップＳ０９）。許可ＩＤが適切であるか否かは、例えば、ルータ５０に記憶されている、許可ＩＤテーブル（図１３参照）を参照して、入力されたＩＤである文字列の一致を比較する。

ルータ５０は、入力された文字が適切であれば（ステップＳ０９：ＹＥＳ）、アクセス許可処理（ステップＳ１０：図３のステップＳ０５と同じ）を実行し、適切でなければ（ステップＳ０９：ＮＯ）ステップＳ０７に戻り、アクセスができないことを示すアクセス規制表示処理を行う。

この許可ＩＤを利用する処理によれば、電子機器１０が所定の型名であれば、網羅的にアクセスを制限してしまうが、これに管理者等の許可による例外を設けることが可能となる。

［ルータ５０のハードウェア構成］
図１４は、本発明の実施形態に係るルータ５０のハードウェア構成を示す図である。本発明が実施される装置は標準的なコンピュータでよく、以下に構成の一例を示す。

ルータ５０は、制御部５１、通信Ｉ／Ｆ部（Ｉ／Ｆ：インターフェース）６０、ハードディスク６５、を備える。

制御部５１は、ルータ５０を統括的に制御する部分であり、ＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）４０、ＲＯＭ（ＲｅａｄＯｎｌｙＭｅｍｏｒｙ）４１、ＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）４２とから構成され、ハードディスク６５に記憶された各種プログラムを適宜読み出して実行することにより、上述したハードウェアと協働し、本発明に係る各種機能を実現している。

通信Ｉ／Ｆ部６０は、ネットワークを介して情報を送受信する場合のネットワーク・アダプタである。通信Ｉ／Ｆ部６０は、ＬＡＮポート６２，６３、ＷＡＮポート６１を含んでよい。

ハードディスク６５は、本ハードウェアを機能させるための各種プログラム、本発明の機能を実行するプログラム及び前述したテーブル及びレコードを記憶する。なお、外部に別途設けたハードディスク（図示せず）を外部記憶装置として利用することもできる。

以上、本発明の実施形態について説明したが、本発明は本実施形態に限定されるものではなく、本発明の目的を達成できる範囲での変形、改良等は本発明に含まれるものである。

１ネットワーク接続管理システム
２ローカルネットワーク
３公衆回線網
１０電子機器
５０ルータ
１００，１１０Ｗｅｂサーバ

Claims

電子機器と第１のネットワークを介して通信可能に接続されたネットワーク管理装置であって、
前記電子機器が前記第１のネットワークに接続されたことに応じて、前記電子機器から所定のパケットを受信することで、前記電子機器の型名を判別する電子機器判別手段と、
判別された前記型名に基づいて、第２のネットワークへのアクセスを許可するか否かを判別するアクセス判別手段と、
前記アクセスが許可された場合に、前記型名を判別した電子機器に対して、前記第２のネットワークへのアクセスを許可するアクセス許可手段と、
を備えることを特徴とするネットワーク管理装置。
請求項１に記載のネットワーク管理装置であって、前記第２のネットワークとは、ＷＡＮ（ＷｉｄｅＡｒｅａＮｅｔｗｏｒｋ）又は、他の認証を必要とするＬＡＮ（ＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）であることを特徴とするネットワーク管理装置。
請求項１に記載のネットワーク管理装置であって、
前記アクセス判別手段は、前記第２のネットワークへのアクセスを許可しなかった場合に、前記型名を判別した電子機器から許可ＩＤの入力を受けたことに応じて、前記型名を判別した電子機器に対して、前記第２のネットワークへのアクセスを判別するネットワーク管理装置。
電子機器と第１のネットワークを介して通信可能に接続されたネットワーク管理装置が実行するネットワーク管理方法であって、
前記電子機器が第１のネットワークに接続されたことに応じて、前記電子機器から所定のパケットを受信することで、前記電子機器の型名を判別する電子機器判別ステップと、
判別された前記型名に基づいて、第２のネットワークへのアクセスを許可するか否かを判別するアクセス判別ステップと、
前記アクセスが許可された場合に、前記型名を判別した電子機器に対して、前記第２のネットワークへのアクセスを許可するアクセス許可ステップと、
を備えることを特徴とするネットワーク管理方法。
電子機器と第１のネットワークを介して通信可能に接続されたネットワーク管理装置に、
前記電子機器が第１のネットワークに接続されたことに応じて、前記電子機器から、所定のパケットを受信することで、前記電子機器の型名を判別する電子機器判別ステップと、
判別された前記型名に基づいて、第２のネットワークへのアクセスを許可するか否かを判別するアクセス判別ステップと、
前記アクセスが許可された場合に、前記型名を判別した電子機器に対して、前記第２のネットワークへのアクセスを許可するアクセス許可ステップと、
を実行させるためのプログラム。