JP2003101566A

JP2003101566A - ネットワーク機器の管理方法および装置

Info

Publication number: JP2003101566A
Application number: JP2001285808A
Authority: JP
Inventors: Takehiro Koyakata; 丈裕古舘
Original assignee: Hitachi Software Engineering Co Ltd
Current assignee: Hitachi Software Engineering Co Ltd
Priority date: 2001-09-19
Filing date: 2001-09-19
Publication date: 2003-04-04

Abstract

(57)【要約】【課題】プラグアンドプレイの利便性を損なうことな
く一定のセキュリティレベルを確保し、高度な知識と負
荷の高い作業を必要とせずにネットワーク上に接続され
る機器を管理することを可能にする。【解決手段】ＬＡＮに接続された機器を自動的に認識
する接続機器認識手段と、ＬＡＮに接続された機器を一
意に識別する識別子とそれぞれの機器に関する付加情報
を含む機器プロパティ情報を記憶した機器プロパティ情
報記憶手段と、機器プロパティ情報を表示する表示手段
と、前記機器プロパティ情報記憶手段に記憶された機器
プロパティ情報に基づいてＬＡＮに接続された機器を管
理する管理手段とを備え、前記接続機器認識手段によっ
て認識した機器が既に登録されている機器であるかを前
記プロパティ情報記憶手段に記憶されたプロパティ情報
を参照して判定するステップと、未登録の機器であれ
ば、その旨を表示装置画面に表示するステップとを備え
ることを特徴とする。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明はコンピュータネット
ワーク上に接続される機器の管理方法および装置に係
り、特に家庭向けのＬＡＮ(Local Area Network)環境に
おいて、専門的な知識が無くてもＬＡＮに接続されるパ
ーソナルコンピュータ（ＰＣ）や家電などの機器を簡単
な操作のみで管理できるようにするネットワーク機器の
管理方法および装置に関するものである。

【０００２】

【従来の技術】インターネットプロトコルIPv6が実用段
階に入ったこととあいまって、コンピュータネットワー
クの利用状況が幾つかの点でこれまでとは変わってきて
いる。１つは、ネットワークに接続される機器の多様化
である。これまではネットワークに接続される機器とい
えば、ＰＣやワークステーション、プリンタなどの機
器、あるいはルータやスイッチ、ハブなどのネットワー
ク機器が主なものであった。しかし、今後は、冷蔵庫や
テレビ、エアコンといった一般的な家電製品の他、温度
／湿度計などのセンサ類、自動車に設置した速度計など
もネットワーク化され、ネットワークを通して稼動状況
を調べたり、動作を制御しようとしたりする方向に向か
いつつある。また、ネットワークが構築される場所も、
これまでの大学や企業などから、一般の家庭や商店など
に徐々に広まってきている。

【０００３】もう１つは、ネットワークに接続される機
器の台数の増加である。ＩＰアドレスの枯渇問題がＩＰ
ｖ６の実用化によって解決される目処がたったことか
ら、これまでに比べて多数の機器がネットワークに接続
されることは容易に予想される。それに応じてネットワ
ークの管理にかかる作業量も増加すると考えられる。大
量の機器についてＩＰアドレスなどを１つ１つ設定して
いくのは大変負荷の高い作業になるので、プラグアンド
プレイ機能による自動接続が主流となりつつある。

【０００４】プラグアンドプレイ機能には、割り当てる
ＩＰアドレスを予めプールしておくステートフル方式
と、アドレスのプールを必要としないステートレス方式
がある。ステートフル方式としては、ＤＨＣＰ(Dynamic
Host Configuration Protocol)という仕組みが実現さ
れている。ステートレス方式はＩＰｖ６で規格化されて
いる方式であり、ネットワークのセグメントに対して、
ネットワークのプレフィックス情報（ネットワークアド
レスなど）を含んだルータ通知を発行し、各ネットワー
ク機器は通知されたネットワークプレフィックスと自身
のインタフェース識別子を利用してＩＰアドレスを自動
生成する。このようなプラグアンドプレイ機能を用いる
ことで、管理者の負担を増やさずに、多くの機器を簡単
にネットワークに接続することができるようになってい
る。特に、ＩＰｖ６の使用が主流になるようになれば、
その手軽さからステートレスなプラグアンドプレイで運
用されるネットワークが多くなると予想される。

【０００５】

【発明が解決しようとする課題】しかし、特別な設定を
することなく自動的にネットワークに接続できるという
ことは、ネットワーク管理者が意図していない不正な機
器も簡単に接続できてしまうことを意味する。特に、無
線ＬＡＮ環境においてプラグアンドプレイを実施してい
る場合は、接続ケーブル等による物理的な接続も不要な
ため、非常に簡単にネットワークに接続できてしまう。
そのため、例えば、ＬＡＮの管理者または利用者が知ら
ない間に不正な機器が接続され、ＬＡＮ上で提供されて
いるサービスを不正に利用されたり、不正に情報を持ち
出されたりすることが起こり得る。

【０００６】そこで、管理者が認めた特定の機器だけが
接続できるようにするために、接続を許可する機器を一
意に識別する何らかの識別子を予め登録しておき、接続
時に認証する手順を実施することが考えられる。しか
し、全ての機器について登録を行おうとすると、プラグ
アンドプレイの恩恵が全く受けられなくなり、機器数が
多い場合の登録作業量が膨大になってしまう。すなわ
ち、プラグアンドプレイの利便性と不正な機器の接続に
よるセキュリティ上の脅威とのジレンマに陥ることにな
る。また、ネットワークの管理作業はコンピュータやネ
ットワークに関する深い知識を必要とする。これまでの
大学や企業におけるネットワークでは、相応の技術をも
った人員が管理作業を担当していた。しかし、一般の家
庭でのネットワークを構築する場合には、必ずしも必要
な技術を持った人員を確保できるとは限らない。ゲート
ウェイ製品によっては、Ｗｅｂブラウザからメニューを
選択する形式で簡単に設定が行えるものもあるが、それ
でもＩＰやその上位プロトコルのＴＣＰやＵＤＰ、ある
いはＤＮＳの仕組み等について十分な知識を持っていな
ければ、どれを選択して良いか判断できない。

【０００７】更に、これまでは、例えばパケットフィル
タリングの設定をする際には、個々の機器をＩＰアドレ
スで一意に指定するか、同じサブネット上の機器をひと
まとめにして指定していた。しかし、ネットワークに多
数の機器が接続されるような環境では、個別に設定する
のでは作業の負荷が非常に高くなってしまう。機器を幾
つかのグループに分類して、グループごとに設定できる
ようになれば、管理作業を軽減することができる。

【０００８】本発明の目的は、プラグアンドプレイの利
便性を損なうことなく一定のセキュリティレベルを確保
し、高度な知識と負荷の高い作業を必要とせずにネット
ワーク上に接続される機器を管理することができるネッ
トワーク機器の管理方法および装置を提供することにあ
る。

【０００９】

【課題を解決するための手段】上記目的を達成するため
に、本発明は、ＬＡＮに接続された機器を自動的に認識
する接続機器認識手段と、ＬＡＮに接続された機器を一
意に識別する識別子とそれぞれの機器に関する付加情報
を含む機器プロパティ情報を記憶した機器プロパティ情
報記憶手段と、機器プロパティ情報を表示する表示手段
と、前記機器プロパティ情報記憶手段に記憶された機器
プロパティ情報に基づいてＬＡＮに接続された機器を管
理する管理手段とを備えるネットワーク機器管理装置に
おけるネットワーク機器の管理方法であって、前記接続
機器認識手段によって認識した機器が既に登録されてい
る機器であるかを前記プロパティ情報記憶手段に記憶さ
れたプロパティ情報を参照して判定するステップと、未
登録の機器であれば、その旨を表示装置画面に表示する
ステップとを備えることを特徴とする。また、前記未登
録の機器に対する登録指示と該機器のプロパティ情報を
受付け、前記機器プロパティ情報記憶手段に記憶させる
ステップとをさらに備えることを特徴とする。また、前
記未登録の機器に対する機器プロパティ情報を、当該機
器固有の識別子と機器のプロパティ情報とを関連付けた
データベースからインターネットを介して取得し、前記
機器プロパティ情報記憶手段に記憶させるステップとを
さらに備えることを特徴とする。また、機器プロパティ
情報のスキーマ定義を、機器プロパティ情報のスキーマ
定義情報を持つデータベースからインターネットを通し
て取得し、前記機器プロパティ情報のスキーマを動的に
変更し、対応する機器プロパティ情報のインスタンスを
新しいスキーマに合致するように自動的に修正するステ
ップをさらに備えることを特徴とする。また、ＬＡＮ上
の機器から受信したパケットのインターネットへのフォ
ワード、あるいはインターネットから受信したパケット
のＬＡＮ上の機器へのフォワードに対して、送信元もし
くは宛先となる機器が登録済みの機器であるかどうかに
よって、フォワードを許可するかどうかの設定指示を受
付け、その設定指示に応じて、前記機器プロパティ情報
記憶手段に記憶させるステップをさらに備えることを特
徴とする。また、ＬＡＮに接続されている機器同士での
通信を許可するかどうかの登録指示を、登録済み機器か
未登録機器かの組み合わせに応じて受付け、指示内容に
従って前記機器プロパティ情報記憶手段に記憶させるス
テップをさらに備えることを特徴とする。また、同一種
別の機器について同一の機器プロパティ情報を設定する
ステップを備えることを特徴とする。

【００１０】本発明に係るネットワーク機器の管理装置
は、ＬＡＮに接続された機器を自動的に認識する接続機
器認識手段と、ＬＡＮに接続された機器を一意に識別す
る識別子とそれぞれの機器に関する付加情報を含む機器
プロパティ情報を記憶した機器プロパティ情報記憶手段
と、機器プロパティ情報を表示する表示手段と、前記機
器プロパティ情報記憶手段に記憶された機器プロパティ
情報に基づいてＬＡＮに接続された機器を管理する管理
手段とを備えるネットワーク機器管理装置であって、前
記接続機器認識手段によって認識した機器が既に登録さ
れている機器であるかを前記プロパティ情報記憶手段に
記憶されたプロパティ情報を参照して判定する手段と、
未登録の機器であれば、その旨を表示装置画面に表示す
る手段とを備えることを特徴とする。また、前記未登録
の機器に対する登録指示と該機器のプロパティ情報を受
付け、前記機器プロパティ情報記憶手段に記憶させる手
段とをさらに備えることを特徴とする。また、前記未登
録の機器に対する機器プロパティ情報を、当該機器固有
の識別子と機器のプロパティ情報とを関連付けたデータ
ベースからインターネットを介して取得し、前記機器プ
ロパティ情報記憶手段に記憶させる手段とをさらに備え
ることを特徴とする。また、機器プロパティ情報のスキ
ーマ定義を、機器プロパティ情報のスキーマ定義情報を
持つデータベースからインターネットを通して取得し、
前記機器プロパティ情報のスキーマを動的に変更し、対
応する機器プロパティ情報のインスタンスを新しいスキ
ーマに合致するように自動的に修正する手段をさらに備
えることを特徴とする。また、ＬＡＮ上の機器から受信
したパケットのインターネットへのフォワード、あるい
はインターネットから受信したパケットのＬＡＮ上の機
器へのフォワードに対して、送信元もしくは宛先となる
機器が登録済みの機器であるかどうかによって、フォワ
ードを許可するかどうかの設定指示を受付け、その設定
指示に応じて、前記機器プロパティ情報記憶手段に記憶
させる手段をさらに備えることを特徴とする。また、Ｌ
ＡＮに接続されている機器同士での通信を許可するかど
うかの登録指示を、登録済み機器か未登録機器かの組み
合わせに応じて受付け、指示内容に従って前記機器プロ
パティ情報記憶手段に記憶させる手段をさらに備えるこ
とを特徴とする。また、同一種別の機器について同一の
機器プロパティ情報を設定する手段を備えることを特徴
とする。

【００１１】

【発明の実施の形態】以下、本発明の実施の形態を、図
面を用いて詳細に説明する。図１は本発明を利用するネ
ットワーク環境の一例を示す図である。図１において、
１０１は本発明を適用したルータ兼ネットワーク機器管
理装置（以下、ネットワーク管理装置と略記）である。
１０２はＬＡＮを模式的に示したものであり、実際には
10BaseTなどのケーブルとハブによる実現や、無線ＬＡ
Ｎによる実現が利用できる。ネットワーク管理装置１０
１はこのＬＡＮ１０２と接続すると共に、外部のインタ
ーネットとも接続するルータの役割を果たす。ＬＡＮ１
０２上には、Ｗｅｂサーバなどのサーバの機能を持つ登
録済みサーバ機器１０３と、このサーバ機器１０３に対
してアクセスするクライアントとなる登録済みクライア
ント機器１０４および未登録クライアント機器１０５が
接続される。

【００１２】本実施形態では、ＬＡＮ１０２に接続する
機器の重要度レベルとして、予めその機器を一意に識別
する識別子を登録している登録済み機器と、識別子を登
録していない未登録機器の２種類を設定している。ここ
では、サーバ機器１０３とクライアント機器１０４が登
録済み機器であり、もう１つのクライアント機器１０５
が未登録機器である。

【００１３】このようなネットワーク構成の下で、本発
明においては、登録済み機器と未登録機器に対して、ネ
ットワーク上で利用できるサービスの内容をそれぞれ別
々に設定することができる。ここでいうサービスとは、
インターネット上へのパケットの送信、インターネット
からのパケットの受信、ＬＡＮ上の登録済みの機器への
パケットの送信、登録済みの機器からのパケットの受
信、ＬＡＮ上の未登録の機器へのパケットの送信、未登
録の機器からのパケットの受信のことを指す。本発明に
おいては、プラグアンドプレイの利便性とセキュリティ
レベルの保持とのジレンマおよびネットワーク管理作業
に高度な知識と負荷の高い作業が要求されることに対し
て、次のような方法で解決を図っている。

【００１４】まず、ＬＡＮに接続される機器間で重要度
のレベルを設定し、重要度レベルの高い機器だけを登録
と認証を必須とし、プラグアンドプレイで接続可能とす
る機器は低いレベルに自動的に調整されるようにする。
そして、重要度レベルの異なる機器間、あるいは同一レ
ベルの機器間での通信を設定できるようにする。このよ
うにすることで、高いレベルを設定した機器に関しては
登録作業が必要になってしまうが、それだけの安全性を
確保しつつ、かつ、重要度のレベルを低く設定した機器
ではプラグアンドプレイの利便性を活かすことができ
る。センサ類のように主な目的がデータの送出で不正な
機器からアクセスされてもあまり深刻な問題が発生せ
ず、かつ、数が多くなり易い機器はプラグアンドプレイ
を利用可能にし、サーバ用ＰＣのような不正アクセスに
よって被害が大きくなり易いものは登録制にするという
運用とすることによって、従来技術の問題を改善できる
ことが期待できる。なお、プラグアンドプレイ機能は図
１のネットワーク機器管理装置１０１内に設けられるも
のであるが、図３においては接続機器認識手段３０８で
示している。また、認識した機器の重要度が高いかどう
かは、管理者が判定するしかないので、自動認識した機
器が登録されていない機器であれば、その旨を表示し、
管理者に重要度を判定させ、その判定結果に従って、登
録手続を行う、または行わないような仕組みを用意して
いる。

【００１５】ネットワーク管理作業の簡略化について
は、機器をグループ化して同じグループの機器に関して
は設定をひとまとめにすることで解決を図る。グループ
の分け方としては、「冷蔵庫」や「温度計」といった機
器の種別のような、抽象的な分類ができれば理解し易く
なる。しかし、この分類を全ての機器について手作業で
行っていたのでは作業の簡略化にはならない。機器のＭ
ＡＣアドレスのような識別子から、自動的に機器が分類
できるような仕組みが望ましい。そのために、ＭＡＣア
ドレス値からその機器に関する情報を取得できるデータ
ベースを構築し、インターネットを通して参照できるよ
うにすれば良い。ちょうど、ＩＰアドレスからホスト名
を逆引きするＤＮＳと同様の分散データベースである。

【００１６】しかし、ホスト名の場合とは異なり、機器
情報は構造を持ったデータ構造であり、しかも新しい種
類の機器が出現するたびに機器情報のスキーマの変更が
起こり得る。そのため、ＤＮＳとは異なり、機器情報デ
ータベースではスキーマの変更も伝播させ、それに応じ
て既存のインスタンスの構造も修正する機能が必要にな
る。そのために機器情報の構造をＸＭＬで記述すること
で、スキーマを柔軟に拡張できるようにする。

【００１７】図２は、登録済み機器か未登録機器かによ
って前記のサービスのどれを利用できるかの典型的な設
定例を示す図である。図２において、符号２０１で示す
列は登録済み機器のデフォルト設定例であり、この場合
は未登録機器へのパケット送信だけを禁止、他の全ての
サービスを利用できるように設定している。また、符号
２０２で示す列は、未登録機器でのデフォルト設定例で
あり、インターネットへのパケット送受信とＬＡＮ上の
登録済み機器からのパケットの受信を禁止し、登録済み
機器へのパケットの送信と、未登録機器同士でのパケッ
ト送受信は利用可能に設定している。この設定は、ネッ
トワーク１０２に接続される全ての機器について実施さ
れる。未登録済み機器がこの設定通りに登録済み機器か
らパケットを受信することを禁止する手順を示す前に、
最初に、ネットワーク機器管理装置の内部構成について
図３のブロック図を参照して説明する。

【００１８】図３は本実施形態におけるネットワーク機
器管理装置１０１の内部構成を示すブロック図である。
図３において、３０１は本装置がＬＡＮやインターネッ
トと接続するためのネットワーク接続／通信手段であ
り、通常のネットワーク機器と同等のものである。３０
２はＩＰｖ６パケットのルーティングと接続されている
ネットワークセグメントに対してルータ通知を行う部分
であり、通常のＩＰｖ６対応ルータと同様の働きをす
る。３０３は本実施形態の中心的な役割を担う部分であ
り、機器プロパティ情報の内容に応じて他の部分に指示
を出したり、機器プロパティ情報のアップデートを行っ
たりする機器プロパティ情報管理手段である。３０４は
機器プロパティ情報を読み込んでエラーチェックすると
共に内容を解釈する機器プロパティ情報解析手段であ
る。３０５は登録済みの機器のプロパティ情報を保持す
るデータベースおよび検索機能を提供する機器プロパテ
ィ情報記憶手段である。３０６は機器プロパティ情報の
内容と受信したパケットの内容に基づいて、受信したパ
ケットをどのように処理するか判定するアクセス制御適
用手段である。３０７はＬＡＮ１０２に接続されている
機器の一覧を表示する機器プロパティ情報表示手段であ
る。

【００１９】以上の構成例の上で、以下の事項を実施す
る手段を順に説明する。（１）登録済み機器と未登録機器の一覧を、ＬＡＮに接
続されているかどうかを含めて表示する。（２）未登録の機器のプロパティ情報を正当な機器とし
て登録する。（３）識別子ＤＢから機器の種別を問い合わせる。（４）スキーマ情報のダウンロードと機器プロパティ情
報インスタンスのアップデートを行う。（５）登録の有無に基づく、インターネットとのルーテ
ィング制御手順。（６）登録の有無に基づく、ＬＡＮ上の他の機器とのア
クセス制御の手順。（７）機器の種別によるアクセス制御手順。

【００２０】図４は、機器プロパティ情報とそのスキー
マ情報の記述例である。この例では、拡張性を保持する
ためにＸＭＬ(Extensible Markup Language)で記述して
いる。４０１は、図１のネットワーク機器管理装置１０
１が保持する機器プロパティ情報の内容を記述したＸＭ
Ｌインスタンスである。このインスタンス４０１には、
２つの機器の情報が記述されている。４０２は１つの機
器のプロパティ情報を記述している部分であり、この例
ではこの機器がビデオデッキであることを記述してい
る。４０３はもう１つの機器のプロパティ情報であり、
この例ではこの機器がパソコンであることを示してい
る。４０４はこれらのインスタンスの記述方法を定義し
ているＤＴＤ(Document Type Definition；文書型定義)
である。

【００２１】この例では、機器プロパティ情報は、devi
celist中にdeviceとして列挙され、deviceの内容は２行
目のinterface、v4addr、role、maker、optionから構成
されることを示している。ここでは、interfaceは機器
を一意に特定する識別子を意味しており、この例ではＭ
ＡＣアドレスが記述されている。v4addrはこの機器に割
り振られているIPv4アドレス値を、roleはこの機器の種
別を、makerはこの機器を製作したメーカ、optionはユ
ーザが付加するその他の情報を意味しており、optionに
は属性値を付けられるようになっている。すなわち、プ
ロパティ情報４０３のように、置き場所を意図するloca
tionや持ち主を意図するownerなどの属性を付加できる
ようになっている。

【００２２】図５は、ネットワーク機器管理装置１０１
の外観の一例を示す図である。この装置１０１は筐体５
０１と画面５０２、各種の操作ボタン５０５から成る。
画面５０２には、機器の一覧が表示される。画面の内容
は、図３で示した機器プロパティ情報表示手段３０７に
よって表示される。この画面例では、ゲートウェイ、パ
ソコンなどの５つの機器のそれぞれについて、識別子、
機器種別、登録の状況、接続の状況（稼動中、停止）を
表示している。５０３は現在選択されている機器を表し
ている。また、符号５０４のように、未登録の機器が接
続されている場合は反転表示などで強調される。

【００２３】図６は、図５で示したような画面を表示す
る手順を示したフローチャートである。まず、ネットワ
ーク機器管理装置はICMP echo requestを同一セグメン
ト上にマルチキャスト(ブロードキャスト)して、稼動中
の機器からecho replyを受信する(ステップ６０１)。そ
して、受信したパケットの内容からＭＡＣアドレスを取
り出し、稼動中機器のＭＡＣアドレスのリストを作成す
る(ステップ６０２)。次に、図３の機器プロパティ情報
ＤＢ３０５に登録済みの機器プロパティ情報があるかど
うかを問い合わせ（ステップ６０３）、ある場合は機器
プロパティ情報を１件取り出して稼動中機器リストとＭ
ＡＣアドレスを照合する（ステップ６０４）。もし、機
器プロパティ情報のinterfaceに示されているＭＡＣア
ドレスと同じ値が稼動中機器リスト中に存在するならば
（ステップ６０５）、その機器が稼動中であると判定
し、機器情報を画面に表示する（ステップ６０６）。そ
して、表示した機器については稼動中機器リストから削
除する（ステップ６０７）。

【００２４】ステップ６０５で、もしＭＡＣアドレスが
一致するものが稼動中機器リストに無かったならば、そ
の機器が停止中であると判定し、その機器情報を画面に
表示する（ステップ６０８）。そして、ステップ６０５
から６０８までは、機器プロパティ情報ＤＢ３０５から
全ての機器プロパティ情報を取り出すまで繰り返す。全
ての登録済み機器の情報を表示した後に、稼動中機器リ
ストに項目が残っているかを調べ（ステップ６０９）、
もし残っていた場合は、それらは未登録の機器であると
判定して、未登録機器として画面に表示する（ステップ
６１０）。未登録機器を正当な機器として登録する場合
は、機器がＬＡＮ１０２に接続され未登録機器として画
面に表示されている状態で、管理者は登録したい機器を
選択し、登録を指示することから始める。

【００２５】図７に以降の手順のフローチャートを示
す。まず、ネットワーク機器管理装置１０１は、パスワ
ード入力画面を表示し、管理者に対してパスワードの入
力を要求し、入力されたパスワードを照合する（ステッ
プ７０１）。認証が成功した場合は、対象機器のプロパ
ティ情報の入力画面を表示する（ステップ７０２）。入
力画面で入力を促す項目は、図４のスキーマ情報４０４
の示されているELEMENTの項目に従って作成する。この
時、interfaceの項目は、接続時に取得したＭＡＣアド
レスの値を予め表示しておく。

【００２６】管理者が各項目を入力し確定すると、ネッ
トワーク機器管理装置１０１は、入力された情報から図
４の例のような機器プロパティ情報のＸＭＬインスタン
スを生成する（ステップ７０３）。次に、必要な項目が
入力されているかチェックし、エラーが無ければ、生成
したＸＭＬインスタンスを機器プロパティ情報ＤＢ３０
５に格納する（ステップ７０４）。最後に、画面に未登
録機器として表示されていた内容を更新する（ステップ
７０５）。

【００２７】ところで、ＭＡＣアドレスから機器の種別
を調べるためには、ＭＡＣアドレス値から対応する機器
のプロパティ情報を検索する共通のデータベースが必要
になる。これは、原理的にはＤＮＳ(domain Name Syste
m)と同様の分散データベースシステムである。この分散
ＤＢは、図８（ａ），（ｂ）に示すような２つのテーブ
ル８０１，８０２を保持する。テーブル８０１はＭＡＣ
アドレスの前半のメーカ識別子をキーとして、問合せ先
ＩＰアドレス値を持つテーブルである。また、テーブル
８０２は製品識別子をキーとして、機器プロパティ情報
の格納先を持つテーブルである。

【００２８】図９に、分散ＤＢにおける機器種別の問合
せ処理手順のフローチャートを示す。分散ＤＢは、ＭＡ
Ｃアドレスを引数として問合せを受け付けると、まず後
半の製品識別子を元に図８（ｂ）のテーブル８０２を検
索し（ステップ９０１）、一致する識別子を持つレコー
ドがあるかどうか調べる（ステップ９０２）。製品識別
子の一致するレコードがあった場合は、格納先に示され
たＸＭＬインスタンスに含まれる機器種別の情報を返す
（ステップ９０３）。無かった場合は、ＭＡＣアドレス
の前半のメーカ識別子を元に図８（ａ）のテーブル８０
１を検索する（ステップ９０４）。レコードが見つかっ
た場合は（ステップ９０５）、そのレコードに記されて
いるＩＰアドレスで示されるサーバに対して問合せを転
送し、得られた結果を最初の問合せ元に返す（ステップ
９０６）。レコードが見つからなかった場合は、機器種
別が定義されていない旨を問合せの結果として返す（ス
テップ９０７）。これにより、製品識別子またはメーカ
識別子によって機器プロパティ情報を得ることができ
る。

【００２９】次に、分散ＤＢで管理されている機器プロ
パティ情報のスキーマが変更された場合に、それをネッ
トワーク機器管理装置１０１が保持する機器プロパティ
情報ＤＢに反映させる手順について説明する。ネットワ
ーク機器管理装置１０１は、現在のスキーマのバージョ
ン番号と問合せ先分散ＤＢのアドレスリストを機器プロ
パティ情報ＤＢ３０５内に保持しておき、リストに示さ
れた分散ＤＢに対して定期的にバージョン確認問合せを
発行する。バージョン確認問合せの引数には、ネットワ
ーク機器管理装置１０１が保持するスキーマのバージョ
ン番号が含まれる。バージョン確認問合せを受け取った
分散ＤＢは、問合せの引数のバージョン番号が、自身が
保持するバージョン番号と同じ場合は何もしないが、自
身が保持するバージョン番号の方が大きい値の場合は、
スキーマ情報、すなわち機器プロパティ情報のＤＴＤ
と、必要なら追加エレメントのデフォルト値を返す。

【００３０】ネットワーク機器管理装置１０１は、もし
新しいバージョンのＤＴＤが返ってきた場合には、古い
ＤＴＤを問い合わせ結果に含まれている新しいＤＴＤに
入れ替える。この時、ＤＴＤの変更内容によっては、機
器プロパティ情報のＸＭＬインスタンスを全て更新する
必要がある場合がある。例えば、古いＤＴＤでは定義さ
れていたエレメントが新しいＤＴＤでは削除されていた
り位置が変わっていたりする場合には、新しいＤＴＤに
マッチするようにインスタンスの構造を変更する。ある
いは、新しいエレメントが追加されており、そのエレメ
ントが必ず１回以上出現しなければならないように指定
されている場合は、全てのインスタンスに、問い合わせ
結果に含まれているデフォルト値を持つエレメントを挿
入する。エレメントが追加されている場合でも、必ずし
も出現しなくても良い場合、すなわち、ＤＴＤ内でクエ
スチョンマークや“＊”が指定されている場合は出現数
が０でも良いのでインスタンスに修正を加える必要はな
い。これらの処理は機器プロパティ情報を示すＸＭＬイ
ンスタンスに対してテキスト処理を施すことで実現でき
る。このような手順を踏むことにより、ネットワーク機
器管理装置１０１は、機器プロパティ情報を常に最新の
状態に保つことができる。

【００３１】次に、ＬＡＮ１０２に接続されている機器
が登録済み機器か未登録機器かによって、他の機器との
通信やインターネットとの接続を制限する手順について
説明する。まずは、ＬＡＮ１０２上で行える通信を、そ
の内容によって幾つかのサービスとして定義する。図１
０は、サービス定義の一例である。図１０において、１
００１はサービスの一覧を記述したＸＭＬインスタンス
である。この例では、ForwardToInternet、ForwardFrom
Internet、SendToRegNode、ReceiveFromRegNode、SendT
oUnknownNode、ReceiveFromUnknownNodeの６種類のサー
ビスが設定されている。これらは図２に示したサービス
をそれぞれ表したものであり、それぞれ「ルータを通し
てのパケットをインターネットへ送信」、「インターネ
ット側から送られてきたパケットを受信」、「登録済み
機器へパケットを送信」、「登録済み機器からのパケッ
トを受信」、「未登録機器へパケットを送信」、「未登
録機器からのパケットを受信」することを意味してい
る。これらのサービスを、登録済み機器もしくは未登録
機器に対して、それぞれ許可するかどうかは図１１に示
す別の設定ファイルに記述する。

【００３２】１００２は、このサービス一覧の書き方を
定義するＤＴＤである。サービスには、属性値としてサ
ービス名、３種類のサービス間の依存関係を定義してい
る。AutoDependは、参照先のサービスに対して設定され
ている許可情報をそのまま受け継ぐことを意味する。Po
sitiveDependは、参照先のサービスでの許可情報が「Ｏ
Ｋ」であれば、この属性を付けたサービスでも自動的に
ＯＫになるという依存関係を意味する。NegativeDepend
は、逆に参照先のサービスの許可情報が「ＮＧ」であれ
ば、この属性を付けたサービスでも自動的にＮＧになる
という依存関係を意味する。この例では、ForwardFromI
nternetというサービスは、ReceiveFromRegisteredNode
というサービスに対してNegativeDepend属性を持ってい
る。これは、「ＬＡＮ上の登録済み機器からのパケット
の受信が禁止されているならば、インターネットからの
パケットの受信も禁止とする」ことを意味する。

【００３３】図１１は、図１０で定義したサービスを、
登録済み機器および未登録機器において許可するかどう
かを設定した許可情報の例である。図１１において、１
１０１は許可情報の例であり、１１０５はその記法を定
義するＤＴＤである。１１０１では、機器ごとに図１０
で定義したサービスに対する許可情報を定義する。１１
０２は登録済み機器でのデフォルトの許可情報を定義し
ている。１１０３は未登録機器でのデフォルトの許可情
報を定義している。１１０４のように、個別の機器につ
いて許可情報を定義することもできる。

【００３４】図１３は、図１１に示した許可情報の内容
を、図２と同様に表形式で表したものである。図２とは
異なり、ここでは１１０４に示した個々の機器に関する
許可情報が表の列１３０３として追加されている。この
ように表の列を追加することによって、デフォルトの設
定以外にも機器ごとの特別な設定を、プログラムを変更
することなく追加することができる。表の列を表す内容
は、具体的には図１１の許可情報１１０１に対して、<n
ode>エレメントを追記していくことで実現する。登録済
み機器と未登録機器およびインターネット間とのパケッ
トのやり取りを許可するかどうかは、それぞれの機器が
パケットを受信した時に判定する。

【００３５】図１２に、図１０と図１１で示したサービ
ス定義と許可情報を参照して、ＬＡＮ上でのパケットの
送受信の制御を行う手順を示す。まず、パケットを受信
した機器は自分のＭＡＣアドレスを元に機器プロパティ
情報ＤＢ３０５を参照し、定義済みの機器名称を取得す
る（ステップ１２０１）。次に取得した機器名称を元
に、図１１の許可情報ファイル１１０１を参照し、個別
の許可情報が定義されているかどうか調べ、定義されて
いればそのnodeエレメントを読み込み、定義されていな
ければ名前が「RegNode-default」のnodeエレメントの
内容を読み込む(ステップ１２０２)。

【００３６】次に、受信したパケットの送信元が同一ド
メインかどうかを調べ（ステップ１２０３）、同一ドメ
イン内からのものであればそのパケットに含まれるＭＡ
Ｃアドレスから機器プロパティ情報ＤＢ３０５を検索す
る（ステップ１２０４）。そして、パケット送信元が登
録済み機器かどうかを調べ（ステップ１２０５）、もし
登録済み機器であれば、ステップ１２０２で読み込んだ
許可情報の中のReceiveFromRegNodeがname属性の値にな
っているserviceエレメントを参照する（ステップ１２
０６）。未登録であれば、同様にname属性の値がReceiv
eFromUnknowNodeであるserviceエレメントを参照する
（ステップ１２０７）。また、ステップ１２０３でパケ
ット送信元が同一ドメインでなければ、name属性の値が
ForwardFromInternetであるserviceエレメントを参照す
る（ステップ１２０８）。そして、参照したエレメント
の値を調べ（ステップ１２０９）、「ＯＫ」であれば受
信したパケットを処理する（ステップ１２１０）。「Ｎ
Ｇ」であった場合はパケットを破棄する。

【００３７】以上のような手順を踏むことによって、重
要度によってレベル分けした機器間でのパケットのやり
取りを制御することが可能となり、不正に接続された機
器がＬＡＮ１０２上に登録されている機器へ不正にアク
セスすることを防ぐことができる。なお、インターネッ
トとのパケットのやり取り、またはＬＡＮ上の機器同士
での通信を許可するかどうかを設定する際に、機器の識
別子ではなく機器の種別を指定することで同一種別の複
数の機器に対して、機器ごとの個別の設定を省略するよ
うに構成することができる。このように構成した場合に
は、管理者の作業をさらに低減することが可能になる。

【００３８】

【発明の効果】以上説明した通り、本発明によれば、プ
ラグアンドプレイの利便性を活かしつつ不正に接続され
た機器による被害を抑え、また、ネットワーク管理作業
に関する高度な知識を必要とせずに、機器の重要度レベ
ルに応じたアクセス制御および機器管理を実現すること
ができる。

【図面の簡単な説明】

【図１】本発明を適用したネットワーク機器管理装置の
ネットワーク環境の例を示す図である。

【図２】登録済み機器と未登録機器に対するサービスの
設定例を示す図である。

【図３】図１におけるネットワーク機器管理装置の内部
構成を表すブロック図である。

【図４】機器のプロパティ情報の例を示す図である。

【図５】図１におけるネットワーク機器管理装置の外観
と画面表示例を示す図である。

【図６】ＬＡＮに接続されている機器の一覧を表示する
処理のフローチャートである。

【図７】未登録機器を正当な機器として登録する処理の
フローチャートである。

【図８】共通の機器プロパティ情報を提供する分散ＤＢ
が持つテーブルの例を示す図である。

【図９】分散ＤＢに対してＭＡＣアドレスから機器の種
別情報を取得する処理のフローチャートである。

【図１０】ＬＡＮ上で利用可能なサービスの定義例であ
る。

【図１１】ＬＡＮ上のサービスに対するアクセス許可情
報の定義例である。

【図１２】ＬＡＮ上の機器に対するアクセスを許可する
かどうかを判定する処理のフローチャートである。

【図１３】登録済み機器と未登録機器の他に個々の機器
に対するサービスの設定例を示す図である。

【符号の説明】

１０１ネットワーク機器管理装置１０２ＬＡＮ１０３登録済みサーバ機器１０４登録済みクライアント機器１０５未登録クライアント機器３０１ネットワーク接続／通信手段３０２ルーティング制御手段３０３機器プロパティ情報管理手段３０４機器プロパティ情報解析手段３０５機器プロパティ情報ＤＢ３０６アクセス制御適用手段３０７機器プロパティ情報表示手段３０８接続機器認識手段４０１機器プロパティ情報のＸＭＬインスタンス５０２機器一覧表示画面１００１サービス一覧を記述したＸＭＬインスタンス１１０１アクセス許可情報

Claims

【特許請求の範囲】

【請求項１】ＬＡＮに接続された機器を自動的に認識
する接続機器認識手段と、ＬＡＮに接続された機器を一
意に識別する識別子とそれぞれの機器に関する付加情報
を含む機器プロパティ情報を記憶した機器プロパティ情
報記憶手段と、機器プロパティ情報を表示する表示手段
と、前記機器プロパティ情報記憶手段に記憶された機器
プロパティ情報に基づいてＬＡＮに接続された機器を管
理する管理手段とを備えるネットワーク機器管理装置に
おけるネットワーク機器の管理方法であって、前記接続機器認識手段によって認識した機器が既に登録
されている機器であるかを前記プロパティ情報記憶手段
に記憶されたプロパティ情報を参照して判定するステッ
プと、未登録の機器であれば、その旨を表示装置画面に表示す
るステップとを備えることを特徴とするネットワーク機
器の管理方法。
【請求項２】前記未登録の機器に対する登録指示と該
機器のプロパティ情報を受付け、前記機器プロパティ情
報記憶手段に記憶させるステップとをさらに備えること
を特徴とする請求項１に記載のネットワーク機器の管理
方法。
【請求項３】前記未登録の機器に対する機器プロパテ
ィ情報を、当該機器固有の識別子と機器のプロパティ情
報とを関連付けたデータベースからインターネットを介
して取得し、前記機器プロパティ情報記憶手段に記憶さ
せるステップとをさらに備えることを特徴とする請求項
１に記載のネットワーク機器の管理方法。
【請求項４】機器プロパティ情報のスキーマ定義を、
機器プロパティ情報のスキーマ定義情報を持つデータベ
ースからインターネットを通して取得し、前記機器プロ
パティ情報のスキーマを動的に変更し、対応する機器プ
ロパティ情報のインスタンスを新しいスキーマに合致す
るように自動的に修正するステップをさらに備えること
を特徴とする請求項１〜３のいずれか一項に記載のネッ
トワーク機器の管理方法。
【請求項５】ＬＡＮ上の機器から受信したパケットの
インターネットへのフォワード、あるいはインターネッ
トから受信したパケットのＬＡＮ上の機器へのフォワー
ドに対して、送信元もしくは宛先となる機器が登録済み
の機器であるかどうかによって、フォワードを許可する
かどうかの設定指示を受付け、その設定指示に応じて、
前記機器プロパティ情報記憶手段に記憶させるステップ
をさらに備えることを特徴とする請求項１〜４のいずれ
か一項に記載のネットワーク機器の管理方法。
【請求項６】ＬＡＮに接続されている機器同士での通
信を許可するかどうかの登録指示を、登録済み機器か未
登録機器かの組み合わせに応じて受付け、指示内容に従
って前記機器プロパティ情報記憶手段に記憶させるステ
ップをさらに備えることを特徴とする請求項１〜５のい
ずれか一項に記載のネットワーク機器の管理方法。
【請求項７】同一種別の機器について同一の機器プロ
パティ情報を設定するステップを備えることを特徴とす
る請求項５または６記載のネットワーク機器の管理方
法。
【請求項８】ＬＡＮに接続された機器を自動的に認識
する接続機器認識手段と、ＬＡＮに接続された機器を一
意に識別する識別子とそれぞれの機器に関する付加情報
を含む機器プロパティ情報を記憶した機器プロパティ情
報記憶手段と、機器プロパティ情報を表示する表示手段
と、前記機器プロパティ情報記憶手段に記憶された機器
プロパティ情報に基づいてＬＡＮに接続された機器を管
理する管理手段とを備えるネットワーク機器管理装置で
あって、前記接続機器認識手段によって認識した機器が既に登録
されている機器であるかを前記プロパティ情報記憶手段
に記憶されたプロパティ情報を参照して判定する手段
と、未登録の機器であれば、その旨を表示装置画面に表示す
る手段とを備えることを特徴とするネットワーク機器の
管理装置。
【請求項９】前記未登録の機器に対する登録指示と該
機器のプロパティ情報を受付け、前記機器プロパティ情
報記憶手段に記憶させる手段とをさらに備えることを特
徴とする請求項８に記載のネットワーク機器の管理装
置。
【請求項１０】前記未登録の機器に対する機器プロパ
ティ情報を、当該機器固有の識別子と機器のプロパティ
情報とを関連付けたデータベースからインターネットを
介して取得し、前記機器プロパティ情報記憶手段に記憶
させる手段とをさらに備えることを特徴とする請求項８
に記載のネットワーク機器の管理装置。
【請求項１１】機器プロパティ情報のスキーマ定義
を、機器プロパティ情報のスキーマ定義情報を持つデー
タベースからインターネットを通して取得し、前記機器
プロパティ情報のスキーマを動的に変更し、対応する機
器プロパティ情報のインスタンスを新しいスキーマに合
致するように自動的に修正する手段をさらに備えること
を特徴とする請求項８〜１０のいずれか一項に記載のネ
ットワーク機器の管理装置。
【請求項１２】ＬＡＮ上の機器から受信したパケット
のインターネットへのフォワード、あるいはインターネ
ットから受信したパケットのＬＡＮ上の機器へのフォワ
ードに対して、送信元もしくは宛先となる機器が登録済
みの機器であるかどうかによって、フォワードを許可す
るかどうかの設定指示を受付け、その設定指示に応じ
て、前記機器プロパティ情報記憶手段に記憶させる手段
をさらに備えることを特徴とする請求項８〜１１のいず
れか一項に記載のネットワーク機器の管理装置。
【請求項１３】ＬＡＮに接続されている機器同士での
通信を許可するかどうかの登録指示を、登録済み機器か
未登録機器かの組み合わせに応じて受付け、指示内容に
従って前記機器プロパティ情報記憶手段に記憶させる手
段をさらに備えることを特徴とする請求項８〜１２のい
ずれか一項に記載のネットワーク機器の管理装置。
【請求項１４】同一種別の機器について同一の機器プ
ロパティ情報を設定する手段を備えることを特徴とする
請求項１２または１３記載のネットワーク機器の管理装
置。