JP4358069B2 - COMMUNICATION DEVICE, COMMUNICATION DEVICE CONTROL METHOD, PROGRAM, AND RECORDING MEDIUM - Google Patents
COMMUNICATION DEVICE, COMMUNICATION DEVICE CONTROL METHOD, PROGRAM, AND RECORDING MEDIUM Download PDFInfo
- Publication number
- JP4358069B2 JP4358069B2 JP2004238325A JP2004238325A JP4358069B2 JP 4358069 B2 JP4358069 B2 JP 4358069B2 JP 2004238325 A JP2004238325 A JP 2004238325A JP 2004238325 A JP2004238325 A JP 2004238325A JP 4358069 B2 JP4358069 B2 JP 4358069B2
- Authority
- JP
- Japan
- Prior art keywords
- snmp
- command
- processing
- request
- setting
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Computer And Data Communications (AREA)
Description
この発明は、ＳＮＭＰ（シンプル・ネットワーク・マネジメント・プロトコル：Simple Network Management Protocol）に従ってコマンドを処理する機能を有する通信装置、このような通信装置を制御する通信装置の制御方法、コンピュータをこのような通信装置として機能させるためのプログラム、およびこのようなプログラムを記録したコンピュータ読取可能な記録媒体に関する。 The present invention relates to a communication device having a function of processing a command in accordance with SNMP (Simple Network Management Protocol), a communication device control method for controlling such a communication device, and a computer for such communication. The present invention relates to a program for functioning as a device and a computer-readable recording medium on which such a program is recorded.
従来から、ネットワークを介した通信が可能な通信装置において、ネットワーク機器管理プロトコルであるＳＮＭＰに対応させるようにすることが行われている。このような通信装置としては、例えば、プリンタやデジタル複合機といったオフィス機器が挙げられる。そして、このＳＮＭＰに対応している機器は、ＳＮＭＰマネージャと呼ばれる管理ツールにより、外部装置からでもネットワークを介して設定の参照や変更を行うことが可能である。
このようなＳＮＭＰ対応機器に関する技術は、例えば特許文献１や特許文献２に記載されている。
Technologies related to such SNMP-compatible devices are described in, for example,
また、近年では、装置の内部にＳＮＭＰマネージャと同等な機能を有するアプリケーションを搭載し、ウェブブラウザやｔｅｌｎｅｔ（テルネット）クライアント等を利用して外部のＰＣ（パーソナルコンピュータ）からアクセスして設定の参照や更新等を行うことができるようにした通信装置も開発されている。 Also, in recent years, an application having the same function as the SNMP manager is installed in the apparatus, and a setting reference is made by accessing from an external PC (personal computer) using a web browser, a telnet client, or the like. A communication device that can perform update or update has also been developed.
しかしながら、現在広く用いられているＳＮＭＰであるバージョン１（ｖ１）やバージョン２（ｖ２）では、ユーザ認証用の機能が特に設けられていない。そこで、コミュニティと呼ばれる文字列を実質的なパスワードとして利用し、アクセス時に使用するコミュニティに応じてアクセス可能な情報を制限することにより、セキュリティを確保するようにするといった対応を行うことが考えられる。 However, version 1 (v1) and version 2 (v2), which are currently widely used SNMP, are not particularly provided with a user authentication function. Therefore, it is conceivable to take measures such as securing security by using a character string called a community as a substantial password and restricting accessible information according to the community used at the time of access.
しかし、このような状況では、コミュニティ名さえ合致すれば、管理者用の権限で機器の設定を参照、変更することが可能となってしまう等、セキュリティの強度が低いと言わざるを得ないという問題があった。
特許文献２には、動的に生成したコミュニティ名を使用して設定変更の際のアクセス権限を確認するようにすることが記載されているが、特定のコミュニティ名を利用すればこの動的に生成したコミュニティ名を取得できてしまうため、やはりセキュリティ強度が十分とは言えない。
However, in this situation, as long as the community name matches, it is necessary to say that the strength of the security is low, such as it becomes possible to refer to and change the device settings with administrator rights. There was a problem.
Japanese Patent Application Laid-Open No. 2004-228620 describes that the access authority at the time of setting change is confirmed using a dynamically generated community name, but if a specific community name is used, this dynamic Since the generated community name can be acquired, the security strength is still not sufficient.
このような状況下であっても、全てのコミュニティ名について機器の設定の変更を許可しないようにしてしまえば、不正に設定を変更されてしまうような事態を防止することはできる。設定の参照についても同様である。しかし、このようにしてしまうと、ネットワークを介して機器の設定を参照したり変更したりすることが一切できなくなってしまい、機器の利便性が低下してしまうという問題があった。
この発明は、このような問題を解決し、ＳＮＭＰに従ってコマンドを処理する機能を有する通信装置において、外部装置からの設定変更を可能にしながら、高いセキュリティを維持できるようにすることを目的とする。
Even in such a situation, if it is not allowed to change the setting of the device for all community names, a situation in which the setting is changed illegally can be prevented. The same applies to setting reference. However, if this is done, there is a problem in that it is impossible to refer to or change the settings of the device via the network and the convenience of the device is reduced.
An object of the present invention is to solve such problems and to maintain high security while enabling a setting change from an external device in a communication device having a function of processing a command according to SNMP.
上記の目的を達成するため、この発明の通信装置は、ＳＮＭＰに従って、受け取ったコマンドに応じた処理を行う処理手段と、外部装置から受信したコマンドを上記処理手段が処理可能なコマンドに変換する内部ＳＮＭＰマネージャと、上記処理手段が処理すべきコマンドが上記内部ＳＮＭＰマネージャによって生成されたものか否かを識別する識別手段と、その手段の判断結果に基づいて上記処理手段による処理の内容を変更するアクセス制御手段とを設けたものである。 In order to achieve the above object, a communication device according to the present invention includes a processing unit that performs processing according to a received command according to SNMP, and an internal that converts a command received from an external device into a command that can be processed by the processing unit. An SNMP manager, an identification means for identifying whether or not a command to be processed by the processing means is generated by the internal SNMP manager, and the contents of processing by the processing means are changed based on a determination result of the means And an access control means.
このような通信装置において、上記アクセス制御手段に、上記内部ＳＮＭＰマネージャによって生成されたものでないコマンドに応じた設定変更処理を上記処理手段に実行させないようにする手段を設けるとよい。
さらに、上記識別手段に、処理すべきコマンドを上記処理手段が受け取った際に用いたソケットの情報によってそのコマンドが上記内部ＳＮＭＰマネージャによって生成されたものか否かを識別する手段を設けるとよい。
In such a communication apparatus, the access control means may be provided with means for preventing the processing means from executing a setting change process according to a command not generated by the internal SNMP manager.
Further, the identification means may be provided with means for identifying whether or not the command is generated by the internal SNMP manager based on the socket information used when the processing means receives the command to be processed.
また、この発明の通信装置の制御方法は、ＳＮＭＰに従って、受け取ったコマンドに応じた処理を行う処理手段と、外部装置から受信したコマンドを上記処理手段が処理可能なコマンドに変更する内部ＳＮＭＰマネージャとを有する通信装置を制御する通信装置の制御方法において、上記通信装置に、上記処理手段が処理すべきコマンドが上記内部ＳＮＭＰマネージャによって生成されたものか否かを識別する識別手順と、その手順における判断結果に基づいて上記処理手段による処理の内容を変更するアクセス制御手順とを実行させるようにしたものである。 The communication device control method according to the present invention includes a processing unit that performs processing according to a received command in accordance with SNMP, and an internal SNMP manager that changes a command received from an external device to a command that can be processed by the processing unit. In the control method of the communication device for controlling the communication device having the above, an identification procedure for identifying whether or not the command to be processed by the processing means is generated by the internal SNMP manager in the communication device, An access control procedure for changing the content of processing by the processing means based on the determination result is executed.
また、この発明のプログラムは、コンピュータを、ＳＮＭＰに従って、受け取ったコマンドに応じた処理を行う処理手段と、外部装置から受信したコマンドを上記処理手段が処理可能なコマンドに変更する内部ＳＮＭＰマネージャと、上記処理手段が処理すべきコマンドが上記内部ＳＮＭＰマネージャによって生成されたものか否かを識別する識別手段と、その手段の判断結果に基づいて上記処理手段による処理の内容を変更するアクセス制御手段として機能させるためのプログラムである。
また、この発明の記録媒体は、上記のプログラムを記録したコンピュータ読取可能な記録媒体である。
In addition, the program of the present invention includes a processing unit that performs processing according to a received command in accordance with SNMP, an internal SNMP manager that changes a command received from an external device to a command that can be processed by the processing unit, As identification means for identifying whether or not the command to be processed by the processing means is generated by the internal SNMP manager, and access control means for changing the contents of processing by the processing means based on the determination result of the means It is a program to make it function.
The recording medium of the present invention is a computer-readable recording medium on which the above program is recorded.
以上のようなこの発明の通信装置又は通信装置の制御方法によれば、ＳＮＭＰに従ってコマンドを処理する機能を有する通信装置において、外部装置からの設定変更を可能にしながら、高いセキュリティを維持できるようにすることができる。
また、この発明のプログラムによれば、コンピュータを上記の通信装置として機能させてその特徴を実現し、同様な効果を得ることができる。
この発明の記録媒体によれば、上記のプログラムを記憶していないコンピュータにそのプログラムを読み出させて実行させ、上記の効果を得ることができる。
According to the communication apparatus or the communication apparatus control method of the present invention as described above, in a communication apparatus having a function of processing a command according to SNMP, it is possible to maintain high security while enabling setting change from an external apparatus. can do.
Further, according to the program of the present invention, the computer can be functioned as the above communication device to realize its characteristics, and similar effects can be obtained.
According to the recording medium of the present invention, the above effect can be obtained by causing a computer not storing the above program to read and execute the program.
以下、この発明を実施するための最良の形態について、図面を参照して説明する。
まず、この発明の通信装置の実施形態であるネットワーク機器の構成について説明する。図１は、そのネットワーク機器の構成を、そのネットワーク機器にアクセス可能なＰＣ（パーソナルコンピュータ）と共に示したブロック図である。
図１に示したネットワーク機器１０は、コピー、プリンタ、スキャナ、ファクシミリ通信等の種々の機能を有する画像処理装置であるデジタル複合機であり、ＣＰＵ１１，ＲＯＭ１２，ＲＡＭ１３，不揮発性メモリ（ＮＶＲＡＭ）１４，ネットワークＩ／Ｆ１５，エンジン部１６を備えている。
The best mode for carrying out the present invention will be described below with reference to the drawings.
First, the configuration of a network device that is an embodiment of a communication apparatus according to the present invention will be described. FIG. 1 is a block diagram showing the configuration of the network device together with a PC (personal computer) that can access the network device.
A
ＣＰＵ１１は、ネットワーク機器１０全体を統括制御する制御手段であり、ＲＯＭ１２や不揮発性メモリ１４に記録された種々のプログラムを実行することにより、処理手段，識別手段，アクセス制御手段等の各手段として機能し、後述するようにこの実施形態の特徴に係る種々の機能を実現する。
ＲＯＭ１２は、不揮発性の記憶手段であり、ＣＰＵ１１が実行するプログラムや、固定的なパラメータ等を記憶する。ＲＯＭ１２を書き換え可能な記憶手段として構成し、これらのデータをアップデートできるようにしてもよい。
The CPU 11 is a control unit that performs overall control of the
The
ＲＡＭ１３は、一時的に使用するデータを記憶したり、ＣＰＵ１１のワークメモリとして使用したりする記憶手段である。
不揮発性メモリ１４は、フラッシュメモリやＨＤＤ（ハードディスクドライブ）等による書き換え可能な不揮発性記憶手段であり、ＣＰＵ１１が実行するプログラムや、装置の電源がＯＦＦされた後でも保持しておく必要があるパラメータの値等を記憶する。ＳＮＭＰコマンドを用いて参照及び変更するＭＩＢ（Management Information Base）ツリー形式のデータには、この不揮発性メモリ１４に記憶させるものもある。
The
The
ネットワークインタフェース（Ｉ／Ｆ）１５は、ネットワーク機器１０をネットワーク３０に接続するためのインタフェースであり、例えばイーサネット（登録商標）方式の通信を行うためのインタフェースである。そして、ネットワーク３０を介して他の装置と通信を行う場合、このネットワークＩ／Ｆ１５とＣＰＵ１１とが通信手段として機能する。なお、ネットワーク３０は、有線、無線を問わず種々の方式のものが使用可能であり、ネットワークＩ／Ｆ１５は、ネットワーク３０の規格や使用する通信プロトコル等に応じて適切なものを用意する。また、複数の規格に対応させて複数のネットワークＩ／Ｆ１５を設けることも当然可能である。
The network interface (I / F) 15 is an interface for connecting the
エンジン部１６は、画像形成部、画像読取部、ファクシミリ通信ユニット等であり、ＣＰＵ１１がこれらの動作を適切に制御することにより、ネットワーク機器１０にコピー、プリンタ、スキャナ、ファクシミリ通信等の種々の動作を実行させることができる。なお、この部分は、この実施形態の特徴とはあまり関係ないため、図示は簡単なものに留めている。
The
以上のようなネットワーク機器１０は、ここでは、ネットワーク３０を介してＰＣ２０と通信可能としている。また、このネットワーク機器１０は、後述するようにＳＮＭＰに対応しており、ＰＣ２０から種々のクライアントを用いてアクセスすることにより、設定されているパラメータの値の参照や変更が可能である。
The
次に、図２に、ネットワーク機器１０及びＰＣ２０における、この実施形態の特徴に関連する部分のソフトウェア構成を示す。なお、以下の説明において、説明を簡単にするため、ＣＰＵがソフトウェアを実行することによって実現される機能について、ソフトウェアがその機能を有する、あるいはソフトウェアによってその機能が実現される、等の表現を用いることもある。
Next, FIG. 2 shows a software configuration of a part related to the feature of this embodiment in the
図２に示すように、ネットワーク機器１０においてこの実施形態の特徴に関連する機能を実現するためのソフトウェアは、主としてネットワークモジュール１００とウェブモジュール１４０である。
そして、ネットワークモジュール１００は、ネットワークを介した通信に関する機能を提供するためのプログラムモジュールであり、ネットワーク機器１０が利用可能な通信プロトコル毎に、そのプロトコルによる通信を行う機能を提供するためのデーモンと呼ばれるプログラムを含む。
As shown in FIG. 2, software for realizing the functions related to the features of this embodiment in the
The
ここでは、ネットワークモジュールはＨＴＴＰ（Hypertext Transfer Protocol）デーモン１１０，Ｔｅｌｎｅｔ（テルネット）デーモン１２０，ＳＮＭＰデーモン１３０の３種のデーモンを含む。
そして、ＨＴＴＰデーモン１１０は、ＨＴＴＰによる通信を可能とし、ウェブ（Ｗｅｂ）サーバ機能を提供するプロトコルデーモンである。ウェブモジュール１４０は、このＨＴＴＰデーモン１１０を利用してウェブページを提供する機能を有している。
Here, the network module includes three types of daemons: an HTTP (Hypertext Transfer Protocol)
The HTTP
また、Ｔｅｌｎｅｔデーモン１２０は、Ｔｅｌｎｅｔプロトコルによる通信を可能とし、Ｔｅｌｎｅｔサーバ機能を提供するプロトコルデーモンである。また、Ｔｅｌｎｅｔデーモン１２０は、ＳＮＭＰライブラリ１２１とリンクしており、このＳＮＭＰライブラリ１２１を利用することにより、Ｔｅｌｎｅｔプロトコルで受信したＰＣ２０等の外部装置からのＴｅｌｎｅｔコマンドを、ＳＮＭＰデーモン１３０が処理可能なＳＮＭＰコマンドに変換し、そのコマンドをＳＮＭＰデーモン１３０に渡して処理させる機能も有する。なお、ＳＮＭＰライブラリ１２１は、内部ＳＮＭＰマネージャの機能を提供するためのモジュールである。
The Telnet
また、ＳＮＭＰデーモン１３０は、ＳＮＭＰによる通信（ＳＮＭＰコマンドの受信とそれに対する応答の送信）を可能とするためのプロトコルデーモンであり、ＳＮＭＰマスターエージェントの機能を提供する。そして、ＳＮＭＰコマンドは、ＳＮＭＰリクエストに記載された状態で受信するが、ＰＣ２０のような外部装置に備えたＳＮＭＰマネージャから受信することもできるし、ネットワーク機器１０内部のＳＮＭＰライブラリ１２１，１４２から受信することもできる。また、どちらから受信したコマンドでも同じように処理することは可能であるが、ここでは、機器内部からのコマンドと外部からのコマンドとで異なる取扱いをするようにしている。そしてこのため、ＳＮＭＰデーモン１３０には要求元判断部１３１と権限確認部１３２の機能を提供するためのモジュールを設けている。
The
そして、要求元判断部１３１は、ＳＮＭＰデーモン１３０がＳＮＭＰリクエストを受け取った際に用いたソケットの情報を用いて、そのＳＮＭＰリクエストが機器内部からのものか外部からのものかを識別する機能を有する。また、その判断結果に応じたファミリータイプ（familytype）の情報を、ＳＮＭＰリクエストに追加する機能も有し、ここでは識別手順の処理を実行する識別手段に該当する。
The request
ここで、上記のソケットとは、プロセス間通信を行うための通信のエンドポイントのことである。そして、機器内部で通信を行う場合と機器の外部との通信を行う場合とで使用するソケットが異なる。従って、ＳＮＭＰデーモン１３０がＳＮＭＰリクエストを受け取る際にどのソケットを使用したかがわかれば、特に送信元を認証するような処理を行わなくても、その送信元が機器の内部であるか外部であるかを識別することができるのである。
Here, the socket is a communication endpoint for performing inter-process communication. The socket used differs depending on whether communication is performed inside the device or communication with the outside of the device. Therefore, if the
なお、同じ外部との通信であっても、ＳＮＭＰデーモン１３０に係るプロセスが、他のプロセスとの通信を複数種類の下位プロトコルを用いて行う場合、例えばＩＰ（Internet Protocol）とＩＰＸ（Internetwork Packet eXchange）を用いる場合、使用するプロトコル毎に異なるソケットを設ける場合もある。そして、このような場合には、ソケットの情報により通信に使用した下位プロトコルも識別することができる。しかし、ここまで識別することは必須ではなく、最低限機器の内部か外部かが識別できればよい。ファミリータイプとして記載する情報についても、同様である。
Note that, even when communication is performed with the same external device, when a process related to the
また、権限確認部１３２は、要求元判断部１３１が取得した、ＳＮＭＰリクエストの送信元の情報と、そのリクエストに記載されているコミュニティ（Community）の情報を用い、受信したＳＮＭＰリクエストに記載されているＳＮＭＰコマンドの実行を許可してよいか否かを判断する機能を有し、ここではアクセス制御手順の処理を実行するアクセス制御手段に該当する。そして、この判断は、内部用コミュニティ情報管理テーブル１３３，外部用コミュニティ情報管理テーブル１３４，ＭＩＢビューテーブル１３５を参照して行う。
これら各テーブルの内容及び、権限確認部１３２によるコマンド実行可否確認に係る処理の内容は後述するが、権限確認部１３２がコマンドを実行してよいと判断した場合には、ＳＮＭＰデーモン１３０はそのコマンドをＳＮＭＰサブエージェント１６０に渡し、コマンドに係る処理を実行させる。
In addition, the
The contents of each of these tables and the contents of processing related to confirmation of command execution by the
なお、ＳＮＭＰサブエージェント１６０は、ＳＮＭＰマスターエージェントであるＳＮＭＰデーモン１３０からのコマンドを受け付け、そのコマンドに係る処理、例えば不揮発性メモリ１４に記憶しているＭＩＢ情報の参照や変更等を行って、適切な応答を返す機能を実現するプログラムである。またここでは、ＦＡＸサブエージェント、コピーサブエージェント等、ネットワーク機器１０が備えるひとまとまりの機能毎にＳＮＭＰサブエージェント１６０を設けるようにしている。また、ＳＮＭＰデーモン１３０とＳＮＭＰサブエージェント１６０とで処理手段の機能を実現する。
また、ＳＮＭＰデーモン１３０は、ＳＮＭＰサブエージェント１６０からコマンドに対する応答を受け取ると、この応答を、必要であれば適当な形式に変換して、ＳＮＭＰリクエストの送信元に返す機能も有する。
The SNMP subagent 160 accepts a command from the
In addition, when receiving a response to the command from the SNMP subagent 160, the
次に、ウェブモジュール１４０は、ウェブのＧＵＩ（グラフィカル・ユーザ・インタフェース）を用いてネットワーク機器１０における設定の参照や変更等を行う機能を提供するモジュールである。
そして、ＨＴＴＰデーモン１１０を介してＨＴＴＰリクエストを受信し、ＷＷＷライブラリ（ワールド・ワイド・ウェブ・ライブラリ：libwww）１４１によってＨＴＴＰリクエストによる要求の内容を解釈し、その要求がウェブページの表示であれば、ＨＴＴＰレスポンスにそのページのデータを記載して返す等の動作を行う。このウェブページには、ネットワーク機器１０における設定の参照や変更を指示するためのＧＵＩを含むページや、内容が動的に生成されるページも含む。
Next, the web module 140 is a module that provides a function to refer to or change settings in the
Then, an HTTP request is received via the
また、ウェブモジュール１４０は、ＳＮＭＰライブラリ１４２とリンクしており、ＨＴＴＰリクエストによる要求の内容が、ネットワーク機器１０における設定の参照や変更であった場合には、その内容をＳＮＭＰライブラリ１４２に渡してＳＮＭＰデーモン１３０が処理可能なＳＮＭＰコマンドを含むＳＮＭＰリクエストに変換させる。そして、ＳＮＭＰデーモン１３０にそのＳＮＭＰリクエストを渡してコマンドに係る処理を実行させ、その結果をＨＴＴＰレスポンスに記載してＨＴＴＰリクエストの送信元に返す機能も有する。この結果は、結果を記載したウェブページのデータとして返すこともできる。
なお、ＳＮＭＰライブラリ１４２は、図２にはＳＮＭＰライブラリ１２１と別々に示しているが、これらを共通のモジュールとし、Ｔｅｌｎｅｔデーモン１２０とウェブモジュール１４０から共通にリンクされるような構成としてもよい。
The web module 140 is linked to the
Although the
一方、ＰＣ２０は、ネットワーク機器１０にアクセスするためのプログラムとして、ＨＴＴＰクライアント２１，Ｔｅｌｎｅｔクライアント２２，ＳＮＭＰマネージャ２３を備えている。
ＨＴＴＰクライアント２１としては、例えばウェブブラウザを用いることができ、ＨＴＴＰリクエストをネットワーク機器１０に送信することができる。そして、ネットワーク機器１０の設定の参照や変更を行うためのＧＵＩを含むウェブページのデータをネットワーク機器１０から取得して表示したり、そのＧＵＩから設定の参照や変更を指示したりすることができる。
On the other hand, the
For example, a web browser can be used as the
図３に、このＨＴＴＰクライアント２１に表示させるＧＵＩの例を示す。
このＧＵＩ画面２１０は、ネットワーク機器１０の名前を始めとするいくつかの設定を指示する画面である。そして、ＧＵＩ画面２１０を表示する際には、（ネットワーク機器１０が情報の参照を許可すれば、）画面上の各項目に、表示時点での設定内容を表示するようにしている。
そして、例えば名前設定欄２１１にネットワーク機器１０に設定したい名前を入力して適用ボタン２１３を押下すると、ネットワーク機器１０に名前の設定を要求するコマンドを送信することができる。この場合のデータの流れは、図２では実線の矢印で示している。そして、このコマンドは、ＨＴＴＰリクエストに記載されてネットワーク機器１０に送信され（図２のＳ１１）、ＨＴＴＰデーモン１１０を介してウェブモジュール１４０のＷＷＷライブラリ１４１に渡され（Ｓ１２）、ＳＮＭＰライブラリ１４２によってＳＮＭＰコマンドに変換されてＳＮＭＰデーモン１３０に渡される（Ｓ１３）。
FIG. 3 shows an example of a GUI displayed on the
This
For example, when a name to be set for the
そして、権限確認部１３２がその実行を許可した場合、ＳＮＭＰデーモン１３０がコマンドをＳＮＭＰサブエージェント１６０に渡して実行させて結果を取得し（Ｓ１５，Ｓ１６）、ＳＮＭＰライブラリ１４２に返す（Ｓ１７）。権限確認部１３２が実行を許可しなかった場合には、その旨の応答をＳＮＭＰライブラリ１４２に返す。そして、ＳＮＭＰライブラリ１４２はこの結果をＷＷＷライブラリ１４１に渡し、ＷＷＷライブラリが設定処理の結果を含むＨＴＴＰレスポンスを生成し、ＨＴＴＰデーモン１１０を介してＨＴＴＰクライアント２１に返す（Ｓ１７，Ｓ１８）。ＨＴＴＰクライアント２１は、受け取ったＨＴＴＰレスポンスの情報に基づいて設定結果を示すウェブページを表示する。
また、ＧＵＩ画面２１０において表示更新ボタン２１２を押下すると、ネットワーク機器１０に上記の場合と同様に設定内容を参照するコマンドを送信し、その実行が許可されれば、ＧＵＩ画面２１０を最新の設定内容を反映させた表示に更新することができる。
If the
When the
また、Ｔｅｌｎｅｔクライアント２２は、Ｔｅｌｎｅｔプロトコルを用いてネットワーク機器１０にアクセスするためのプログラムである。そして、Ｔｅｌｎｅｔクライアント２２を用いてネットワーク機器１０にログインした後所定のコマンドを入力することにより、ネットワーク機器１０に設定の参照、変更等を指示することができる。
The
図４に、Ｔｅｌｎｅｔクライアント２２を用いて設定の変更を指示する場合の動作画面の例を示す。
この例において、動作画面２２０中の符号２２１で示す部分は、ＩＰアドレスを指定してネットワーク機器１０にアクセスする処理に対応する部分、符号２２２で示す部分は、パスワードを入力してネットワーク機器１０にログインする処理に対応する部分、符号２２３で示す部分が、コマンドラインからネットワーク機器１０の名称を「test」に変更するコマンドを入力してネットワーク機器１０に実行させる処理に対応する部分の表示である。
FIG. 4 shows an example of an operation screen in the case of instructing change of settings using the
In this example, the part indicated by
この場合のデータの流れは、図２では一点鎖線の矢印で示している。この場合、Ｔｅｌｎｅｔクライアント２２からネットワーク機器１０へは、コマンドはＴｅｌｎｅｔコマンドとして送信され、ネットワーク機器１０側ではＴｅｌｎｅｔデーモン１２０がこのコマンドを受け取ってＳＮＭＰライブラリ１２１に渡し（図２のＳ２１）、ＳＮＭＰライブラリ１２１がこのコマンドをＳＮＭＰコマンドに変換してＳＮＭＰデーモン１３０に渡す（Ｓ２２）。
The flow of data in this case is indicated by a dashed line arrow in FIG. In this case, the command is transmitted as a Telnet command from the
ＳＮＭＰデーモン１３０における処理は、上記のＨＴＴＰクライアント２１の場合と同様であるので説明を省略するが、ＳＮＭＰデーモン１３０はコマンドの実行結果あるいは実行を許可できない旨の結果をＳＮＭＰライブラリ１２１に返し（Ｓ２８）、Ｔｅｌｎｅｔデーモン１２０がこれを受け取ってＴｅｌｎｅｔコマンドに対する応答に変換し、Ｔｅｌｎｅｔクライアント２２に返す（Ｓ２９）。
そして、Ｔｅｌｎｅｔクライアント２２は受け取った応答に基づいてコマンドの実行結果を表示する。
The process in the
Then, the
また、ＳＮＭＰマネージャ２３は、ＰＣ２０からＳＮＭＰに対応した機器を管理するためのプログラムであり、ＳＮＭＰコマンドを生成してネットワーク機器１０に送信する機能を有する。
The
図５にＳＮＭＰマネージャ２３を用いて設定の変更を指示する場合の動作画面の例を示す。
この図に示すように、ここで用いるＳＮＭＰマネージャ２３においては、ウィザード形式のユーザインタフェースを用意しており、ユーザがプログラムからの質問に対して必要や回答を入力や選択することにより、ネットワーク機器１０の設定を行うことができるようにしている。そして、図５に示す設定画面２３０は、ネットワーク機器１０に設定する名前を入力する画面であり、例えば、名前入力部２３１に名前を入力し、次画面キー２３２を押下してその後の指示に従うことにより、ネットワーク機器１０に名前の変更を要求するコマンドを含むＳＮＭＰリクエストを送信することができる。
FIG. 5 shows an example of an operation screen in the case where a setting change is instructed using the
As shown in this figure, the
この場合のデータの流れは、図２では破線の矢印で示している。この場合において、ＳＮＭＰマネージャ２３からネットワーク機器１０へは、ＳＮＭＰコマンドを直接送信することができる。そして、ネットワーク機器１０側ではＳＮＭＰデーモン１３０がこれを受け取る（図２のＳ３１）。
ＳＮＭＰデーモン１３０における処理は、権限確認部１３２におけるコマンド実行可否の判断に係る後述の処理を除けば上記のＨＴＴＰクライアント２１の場合と同様であるので、説明を省略するが、ＳＮＭＰデーモン１３０はコマンドの実行結果あるいは実行を許可できない旨の結果をＳＮＭＰマネージャ２３に返すことができる（Ｓ３４）。
そして、ＳＮＭＰマネージャ２３は、受け取った結果に基づいて、ユーザにその内容を通知する画面を表示させることができる。
The data flow in this case is indicated by broken-line arrows in FIG. In this case, an SNMP command can be directly transmitted from the
The processing in the
Then, the
このように、ユーザは、ＨＴＴＰクライアント２１，Ｔｅｌｎｅｔクライアント２２，ＳＮＭＰマネージャ２３のいずれのプログラムを利用しても、ＰＣ２０からネットワーク３０を介してネットワーク機器１０にアクセスし、設定の参照や変更を指示することができる。ただし、その実行が許可されるか否かは、ネットワーク機器１０側の設定内容に依存する。
In this way, the user accesses the
次に、権限確認部１３２によるコマンド実行可否確認に係る処理について、この処理に使用する各テーブルの内容と併せて説明する。
まず、図６に、内部用コミュニティ情報管理テーブル１３３の例を示す。
このテーブルは、権限確認部１３２が、対象のＳＮＭＰリクエストがネットワーク機器１０の内部から受け取ったものであると判断した場合に参照するテーブルである。そして、内部から受信するＳＮＭＰリクエストに記載されていることが想定されるコミュニティ名（「コミュニティ名」の項目）毎に、ＭＩＢツリーのうちリードアクセス（参照）を許可してよい範囲（「read」の項目）とライトアクセス（変更）を許可してよい範囲とを示す情報（「write」の項目）を記載しておく。
Next, processing related to command execution permission confirmation by the
First, FIG. 6 shows an example of the internal community information management table 133.
This table is referred to when the
なお、read及びwriteの項目には、アクセスを許可する範囲をビュー（View）という情報を用いて記載し、ここで使用したビューの内容は、ＭＩＢビューテーブル１３５で定義するようにしている。
図６に示した例では、コミュニティ名が「internal」であった場合に、参照も変更も、ＭＩＢツリーのうち「View1」で定義される範囲について許可してよいことを示している。
In the read and write items, the access permitted range is described using information called view, and the contents of the view used here are defined in the MIB view table 135.
In the example illustrated in FIG. 6, when the community name is “internal”, both reference and change may be permitted for the range defined by “View1” in the MIB tree.
また、図７に、外部用コミュニティ情報管理テーブル１３４の例を示す。
このテーブルは、権限確認部１３２が、対象のＳＮＭＰリクエストがネットワーク機器１０の外部から受け取ったものであると判断した場合に参照するテーブルである。そして、このテーブルには、外部から受信するＳＮＭＰリクエストに記載されていることが想定されるコミュニティ名毎に、上記の内部用コミュニティ情報管理テーブル１３３の場合と同様、ＭＩＢツリーのうちリードアクセス（参照）を許可してよい範囲（「read」の項目）とライトアクセス（変更）を許可してよい範囲とを示す情報（「write」の項目）を記載しておく。
FIG. 7 shows an example of the external community information management table 134.
This table is a table that is referred to when the
図７に示した例では、コミュニティ名が「public」であった場合に、参照はＭＩＢツリーのうち「View1」で定義される範囲について、変更は同じく「View0」で定義される範囲について許可してよいことを示している。また、コミュニティ名が「admin」であった場合に、参照はＭＩＢツリーのうち「View1」で定義される範囲について、変更は同じく「View2」で定義される範囲について許可してよいことを示している。 In the example shown in FIG. 7, when the community name is “public”, the reference is permitted for the range defined by “View1” in the MIB tree, and the change is also permitted for the range defined by “View0”. It is good. In addition, when the community name is “admin”, the reference indicates that the range defined by “View1” in the MIB tree may be permitted, and the change may also be permitted for the range defined by “View2”. Yes.
また、図８に、ＭＩＢビューテーブル１３５の例を示す。
このテーブルは、上述したとおり、各コミュニティ情報管理テーブルでアクセスを許可してよいＭＩＢツリーの範囲を定めるビューの定義を記載したテーブルである。そして、ビューの種類（「ビュー名」の項目）毎に、アクセスを許可する範囲を指定するかアクセスを許可しない範囲を指定するかを示す情報と（「指定モード」の項目）、ＭＩＢツリーのうちアクセスを許可する範囲あるいは許可しない範囲の内容を示す情報（「対象ツリー」の項目）を記載しておく。
FIG. 8 shows an example of the MIB view table 135.
As described above, this table describes the definition of the view that defines the range of the MIB tree that may be permitted to be accessed in each community information management table. For each view type ("view name" item), information indicating whether to specify a range where access is permitted or a range where access is not permitted (item of "designation mode"), the MIB tree Among them, information indicating the contents of the range where access is permitted or not permitted (item of “target tree”) is described.
なお、アクセスを許可する範囲を指定する場合には、「対象ツリー」の項目に記載された範囲のみに対するアクセスを許可し、アクセスを許可しない範囲を指定する場合には、「対象ツリー」の項目に記載された範囲以外の範囲のみに対するアクセスを許可するような指定が可能である。また、「対象ツリー」には、不連続な複数の範囲を記載することも可能である。
図８に示した例では、「View1」のビューについては、ＭＩＢツリーの「1.3.6.1」で示される範囲、すなわち全ての範囲についてアクセスを許可する旨を定義している。また、「Viwe2」のビューについては、ＭＩＢツリーの「1.3.6.1.2.1.1」で示される範囲、すなわちシステム設定に係る範囲についてのみアクセスを許可する旨を定義している。また、「View0」のビューについては、ＭＩＢツリーの全ての範囲についてアクセスを許可しない旨を定義している。
When specifying a range to allow access, only allow access to the range described in the “Target Tree” item, and to specify a range not to allow access, specify the “Target Tree” item. It is possible to specify that access is permitted only to a range other than the range described in. In addition, a plurality of discontinuous ranges can be described in the “target tree”.
In the example illustrated in FIG. 8, for the view “
権限確認部１３２は、あるＳＮＭＰリクエストに記載されたＳＮＭＰコマンドの実行可否を判断する場合、まずＳＮＭＰリクエストに記載されたfamilytypeの情報（要求元判断部１３１が付加するものである）を参照し、そのＳＮＭＰリクエストがネットワーク機器１０の内部から受信したものか外部から受信したものかを判断する。
例えば、familytypeがＳＮＭＰライブラリ１２１又は１４２を示す「AF_SNMPLIB」であれば、内部から受信したと判断できるし、ＩＰを用いて受信したことを示す「AF_INET」であれば、外部から受信したと判断できる。
When determining whether or not to execute an SNMP command described in a certain SNMP request, the
For example, if the “family_type” is “AF_SNMPLIB” indicating the
そして、内部から受信したものであった場合には内部用コミュニティ情報管理テーブル１３３を参照して、外部から受信したものであった場合には外部用コミュニティ情報管理テーブル１３４を参照して、ＳＮＭＰリクエストに記載されているコミュニティ名と、コマンドの内容が設定の参照か変更かという情報とに基づいて、アクセスを許可してよい範囲を示すビューの情報を取得し、ＭＩＢビューテーブル１３５を参照してそのビューの定義を取得する。
そして、コマンドによる参照や変更の対象がアクセスを許可できる範囲内であれば、コマンドの実行を許可し、そうでない場合にはコマンドの実行を拒否するようにしている。
If it is received from the inside, the internal community information management table 133 is referred to, and if it is received from the outside, the external community information management table 134 is referred to To obtain view information indicating a range in which access is permitted based on the community name described in the above and information on whether the command content is reference or change of setting, and refer to the MIB view table 135 Get the definition of that view.
If the reference or change target by the command is within a range where access can be permitted, execution of the command is permitted, and if not, execution of the command is rejected.
なお、ＳＮＭＰデーモン１３０がＰＣ２０等の外部装置のプロセスとの間で複数の下位プロトコルを用いて通信する場合に、プロトコルに応じてソケットが異なり、それに応じてfamilytypeも異なる場合がある。例えばfamilytypeはＩＰを使用した場合には「AF_INET」であるが、ＩＰＸを使用した場合には「AF_IPX」となる。
この場合において、familytype毎に別々に外部用コミュニティ情報管理テーブルを用意するようにすることも考えられるが、familytypeが外部からの受信であることを示すものであった場合には、その内容によらず共通の外部用コミュニティ情報管理テーブルを使用するようにしてもよい。
また、familytypeが内部からの受信であることを示すものであった場合、コミュニティ名が内部用コミュニティ情報管理テーブル１３３に記載されているものと合っていなくても、デフォルトのビュー（例えば図６に示した「internal」の内容）に従ってアクセスを許可するようにしてもよい。
Note that when the
In this case, it may be possible to prepare a community information management table for each familytype separately. However, if the familytype indicates reception from the outside, the content depends on the contents. Instead, a common external community information management table may be used.
Further, when the familytype indicates reception from the inside, even if the community name does not match that described in the internal community information management table 133, the default view (for example, in FIG. Access may be permitted according to the content of “internal” shown).
次に、以上に説明た要求元判断部１３１及び権限確認部１３２の動作について、より具体的に説明する。
図９は、内部のＳＮＭＰライブラリ及び外部装置のＳＮＭＰマネージャからＳＮＭＰリクエストを受信した場合の処理について説明するための図である。この図において、各テーブル１３３−１３５の内容は、図６−８に示したものであるとする。
また、ここではネットワーク機器１０の名前を「test」に設定するコマンドを例として説明するが、このコマンドは、ＭＩＢツリーの「1.3.6.1.2.1.1.1」の位置の情報を「test」という値に「SET（変更）」するコマンドとして、ＳＮＭＰリクエスト３０１又は３１１の末尾３行のように記載される。
Next, the operations of the request
FIG. 9 is a diagram for explaining processing when an SNMP request is received from the internal SNMP library and the SNMP manager of the external device. In this figure, the contents of each table 133-135 are as shown in FIGS. 6-8.
Further, here, a command for setting the name of the
まず、内部のＳＮＭＰライブラリ１２１又は１４２が、コミュニティとして「internal」を記載したＳＮＭＰリクエスト３０１をＳＮＭＰデーモン１３０に送信してきた場合について説明する。この場合の処理の流れは、図９では実線の矢印で示す。
この場合、ＳＮＭＰデーモン１３０がＳＮＭＰリクエスト３０１を受け取ると、まず要求元判断部１３１が受信時に用いたソケットの情報をもとに、受信したＳＮＭＰリクエストはネットワーク機器１０内部からのものであると判断し、falimytypeとして「AF_SNMPLIB」を記載したＳＮＭＰリクエスト３０２として権限確認部１３２に渡す。
First, a case where the
In this case, when the
そして、権限確認部１３２は、familytypeの情報からＳＮＭＰリクエスト３０２が機器内部からのものであることがわかるので、内部用コミュニティ情報管理テーブル１３３を参照してアクセスを許可できる範囲を示すビューの情報を取得する。この場合、コミュニティが「internal」で、設定の変更を行うので、図６からビューは「View1」であることがわかる。
するとその後、権限確認部１３２はＭＩＢビューテーブル１３５にアクセスし、「View1」の内容を取得する。そしてこの場合、図８から「View1」は全情報にアクセス可であることを示す情報であることがわかる。従って、ＳＮＭＰリクエスト３０２の実行を許可してよいことがわかるので、そのＳＮＭＰリクエストをＳＮＭＰリクエスト３０３としてＳＮＭＰサブエージェント１６０に渡して実行させる。
Then, since the
Then, the
次に、外部のＳＮＭＰマネージャ２３が、コミュニティとして「admin」を記載したＳＮＭＰリクエスト２１１をＳＮＭＰデーモン１３０にコマンドを送信してきた場合について説明する。この場合の処理の流れは、図９では破線の矢印で示す。
この場合、ＳＮＭＰデーモン１３０がＳＮＭＰリクエスト３１１を受け取ると、まず要求元判断部１３１が受信時に用いたソケットの情報をもとに、受信したＳＮＭＰリクエストはネットワーク機器１０外部からのものであると判断し、falimytypeとして「AF_INET」を記載したＳＮＭＰリクエスト３１２として権限確認部１３２に渡す。
Next, a case where the
In this case, when the
そして、権限確認部１３２は、familytypeの情報からＳＮＭＰリクエスト３１２が機器外部からのものであることがわかるので、外部用コミュニティ情報管理テーブル１３４を参照してアクセスを許可できる範囲を示すビューの情報を取得する。この場合、コミュニティが「admin」で、設定の変更を行うので、図７からビューは「View2」であることがわかる。
Since the
するとその後、権限確認部１３２はＭＩＢビューテーブル１３５にアクセスし、「View2」の内容を取得する。そしてこの場合、図８から「View2」は1.3.6.1.2.1.1以下の情報にアクセス可であることを示す情報であることがわかる。そして、ＳＮＭＰリクエスト２１２においてアクセスしようとしているのは1.3.6.1.2.1.1.1であり、アクセスが許可されている範囲内に含まれるため、ＳＮＭＰリクエスト３１２の実行を許可してよいことがわかる。そこで、そのＳＮＭＰリクエストをＳＮＭＰリクエスト３１３としてＳＮＭＰサブエージェント１６０に渡して実行させる。
なお、コマンドが、1.3.6.1.2.1.2.1のように、アクセスが許可されている範囲外にアクセスしようとするものであった場合には、権限確認部１３２がコマンドの実行を拒否し、その旨を示すエラーをＳＮＭＰリクエスト３１１の送信元に返すようにする。
Then, the
If the command is an attempt to access outside the permitted range as in 1.3.6.1.2.1.2.1, the
ところで、内部用コミュニティ情報管理テーブル１３３、外部用コミュニティ情報管理テーブル１３４、およびＭＩＢビューテーブル１３５は、図２ではＳＮＭＰデーモン１３０の内部に記載したが、これらのテーブルの内容もネットワーク機器１０の設定の一部であり、内容を不揮発性メモリ１４に記憶させておき、ウェブモジュール１４０から参照及び変更できるようにしている。この場合、ユーザはＨＴＴＰクライアント２１上に表示されるＧＵＩからこの参照及び変更の指示を行い、ウェブモジュール１４０がこの指示を受け取ると、指示に従って各テーブルの内容の取得や変更を行う。
By the way, the internal community information management table 133, the external community information management table 134, and the MIB view table 135 are described in the
また、ネットワーク機器１０においては、テーブル内容の設定とは別に、外部のＳＮＭＰマネージャからの設定変更指示を一切受け付けないようにするモードを用意しており、設定の変更によりネットワーク機器１０をこのようなモードに移行させることが可能である。
このような設定も、やはりＨＴＴＰクライアント２１上に表示されるＧＵＩ上から可能である。なお、この場合のＧＵＩを含むページデータは、ウェブモジュール１４０により供給されるものである。
In addition to the setting of the table contents, the
Such setting is also possible from the GUI displayed on the
図１０に、このような設定を行うためのＧＵＩの例を示す。
このＧＵＩ画面２４０においては、外部設定禁止モード設定欄２４１において「有効」を選択し、適用キー２４２を押下することにより、ネットワーク機器１０を外部のＳＮＭＰマネージャからの設定変更指示を一切受け付けないようにするモードに移行させる指示を行うことができる。この指示は、ＨＴＴＰリクエストに記載されてネットワーク機器１０に送信される。
ネットワーク機器１０側では、この指示はＨＴＴＰデーモン１１０を介してウェブモジュール１４０に伝達される。そして、ＷＷＷライブラリ１４１が受信したＨＴＴＰリクエストの内容を解釈し、外部設定禁止禁止モードの設定指示であると判断すると、ウェブモジュール１４０がその設定に係る処理を実行する。
FIG. 10 shows an example of a GUI for performing such setting.
In this
On the
図１１にこの処理のフローチャートを示すが、この処理は、不揮発性メモリ１４の「外部からの設定禁止」を示すフラグをＯＮにすると共に（Ｓ１０１）、ＳＮＭＰデーモン１３０を再起動（Ｓ１０２）する処理である。実行結果を応答として返す処理は、この処理とは別に、一般的な処理の流れに従って行う。 FIG. 11 shows a flowchart of this process. This process turns ON the flag indicating “prohibition of setting from outside” in the nonvolatile memory 14 (S101) and restarts the SNMP daemon 130 (S102). It is. The process of returning the execution result as a response is performed according to a general process flow separately from this process.
また、図１２に、ＳＮＭＰデーモン１３０の起動処理のうち、「外部からの設定禁止」設定に関連する部分のフローチャートを示す。
この起動処理は、上記の再起動時だけでなく、ネットワーク機器１０の電源投入時やリセット時等にも行うものであり、不揮発性メモリ１４から外部用コミュニティ情報管理テーブル１３４の内容を読み出して権限確認部１３２から参照できるようにする処理（Ｓ１１１）を含むものである。しかし、ステップＳ１１２で不揮発性メモリ１４の「外部からの設定禁止」を示すフラグがＯＮであれば、ステップＳ１１３で外部用コミュニティ情報管理テーブル１３４のうち、「Ｗｒｉｔｅ」の項目を全てのコミュニティについてアクセス禁止を示すＶｉｅｗ（ここでは「View0」）に変更する処理を行うようにしている。なお、「外部からの設定禁止」を示すフラグがＯＦＦであれば、外部用コミュニティ情報管理テーブル１３４に特に変更を加えない。
なお、ＳＮＭＰデーモン１３０の起動処理は、図１２に示した部分以外にも、不揮発性メモリ１４から内部用コミュニティ情報管理テーブル１３３の内容を読み出す処理等を含むものであるが、これらの図示は省略している。
FIG. 12 is a flowchart of a portion related to the “setting prohibition from outside” setting in the startup process of the
This activation process is performed not only at the time of the above-described restart but also at the time of power-on or reset of the
The startup process of the
このような起動処理を行うことにより、「外部からの設定禁止」を示すフラグがＯＮになっている場合には、例えば不揮発メモリに図７に示したような情報が記憶されていたとしても、起動終了時には、図１３に示したような情報が権限確認部１３２によって参照される状態になる。
従って、権限確認部１３２は、もともとの外部用コミュニティ情報管理テーブル１３４の内容によらず、ネットワーク機器１０の外部から受信したＳＮＭＰリクエスト、すなわち内部のＳＮＭＰマネージャ（ここではＳＮＭＰライブラリ１２１，１４２）によって生成されたもの以外のＳＮＭＰリクエストに記載されていたＳＮＭＰコマンドついては、設定変更を行うコマンドの実行を許可しないような動作を行うことになる。
また、「外部からの設定禁止」を示すフラグをＯＮからＯＦＦに変更することも可能であり、この場合も変更後にＳＮＭＰデーモン１３０を再起動する。そしてこの場合、不揮発メモリに記憶されている外部用コミュニティ情報管理テーブル１３４の内容がそのまま動作に反映されるようになる。
By performing such activation processing, when the flag indicating “setting prohibition from the outside” is ON, for example, even if information as illustrated in FIG. 7 is stored in the nonvolatile memory, At the end of activation, the information as shown in FIG.
Therefore, the
It is also possible to change the flag indicating “prohibition of setting from outside” from ON to OFF. In this case as well, the
図１４は、「外部からの設定禁止」を示すフラグがＯＮになっている場合の要求元判断部１３１及び権限確認部１３２の動作を示す、図９と対応する図である。この場合において、外部用コミュニティ情報管理テーブル１３４の内容は、上述の通り図１３に示すような内容になる。内部用コミュニティ情報管理テーブル１３３及びＭＩＢビューテーブル１３５の内容については、それぞれ図６及び図８に示した内容であり、図９の場合と同様である。
FIG. 14 is a diagram corresponding to FIG. 9, showing the operations of the request
この図に示す通り、「外部からの設定禁止」を示すフラグがＯＮであっても、ネットワーク機器１０内部から受け取ったＳＮＭＰリクエストに関する動作は、図９の場合、すなわち「外部からの設定禁止」を示すフラグがＯＦＦである場合と変わらない。
また、外部から受け取ったものであっても、要求元判断部１３１の動作は図９の場合と変わらない。しかし、この場合、権限確認部１３２が参照する外部用コミュニティ情報管理テーブル１３４において、「write」のアクセスを許可しないような設定がなされているため、権限確認部１３２はＳＮＭＰリクエスト３１２に記載されているコマンドの実行を許可せず、エラーの応答を返す。
As shown in this figure, even when the flag indicating “setting prohibition from outside” is ON, the operation related to the SNMP request received from the inside of the
Even if it is received from the outside, the operation of the request
また、図１５及び図１６に、図２，図９及び図１４を用いて説明したような、ネットワーク機器１０の設定変更処理の処理シーケンスを示す。
図１５は、Ｔｅｌｎｅｔクライアント２２から変更を指示した場合の処理、すなわちＳＮＭＰデーモン１３０にネットワーク機器１０内部で生成されたＳＮＭＰコマンドが渡される場合の処理を示す図である。
図１５に記載した各ステップの処理のうち、図２に対応する番号があるものは、図２において説明した処理と対応する処理を示す。また、ステップＳ２３は、要求元判断部１３１においてＳＮＭＰリクエストにfamilytypeの情報を追加して権限確認部１３２に渡す処理、ステップＳ２４は権限確認部１３２が内部用コミュニティ情報管理テーブル１３３を参照して適用するビューの情報を取得する処理、ステップＳ２５は同じくＭＩＢビューテーブル１３５を参照してステップＳ２４で取得したビューの内容を取得する処理を示す。
15 and 16 show the processing sequence of the setting change process of the
FIG. 15 is a diagram showing processing when a change is instructed from the
Of the processes in each step described in FIG. 15, those having numbers corresponding to those in FIG. 2 indicate processes corresponding to the processes described in FIG. 2. Step S23 is processing in which the request
一方、図１６は、ＳＮＭＰマネージャ２３から変更を指示した場合の処理、すなわちすなわちＳＮＭＰデーモン１３０にネットワーク機器１０の外部で生成されたＳＮＭＰコマンドが渡される場合の処理を示す図である。
図１６に記載した各ステップの処理のうち、図２に対応する番号があるものは、図２において説明した処理と対応する処理を示す。また、ステップＳ３２は、要求元判断部１３１においてＳＮＭＰリクエストにfamilytypeの情報を追加して権限確認部１３２に渡す処理、ステップＳ３３は権限確認部１３２が外部用コミュニティ情報管理テーブル１３４を参照して適用するビューの情報を取得する処理、ステップＳ３４は同じくＭＩＢビューテーブル１３５を参照してステップＳ３３で取得したビューの内容を取得する処理を示す。
また、破線の上側のステップＳ３７は、コマンドの実行が許可されずにエラー応答が返される場合の処理、破線の下側のステップＳ３５−Ｓ３７は、破線の上側のステップＳ３４の処理の続きであり、コマンドの実行が許可される場合の処理を示す。
On the other hand, FIG. 16 is a diagram showing a process when a change is instructed from the
Of the processes in each step described in FIG. 16, those having numbers corresponding to those in FIG. 2 indicate processes corresponding to the processes described in FIG. 2. Step S32 is processing in which the request
Step S37 above the broken line is a process in the case where the execution of the command is not permitted and an error response is returned, and steps S35 to S37 below the broken line are a continuation of the process of step S34 above the broken line. The processing when command execution is permitted is shown.
以上説明してきたように、ネットワーク機器１０においては、要求元判断部１３１と権限確認部１３２とを設けたことにより、機器内部のＳＮＭＰマネージャが生成したＳＮＭＰリクエストと機器外部のＳＮＭＰマネージャが生成したＳＮＭＰリクエストに対して、異なる対応を行うことが可能となっている。
一般に、機器内部に搭載しているＳＮＭＰマネージャについては、機器のメーカーが内容を把握できることから、特定の設定については変更コマンドを出力する機能を設けない等、機能を制限し、誤って致命的な設定変更がなされてしまうことを防止するような対応が可能である。また、外部からこのＳＮＭＰマネージャにアクセスする際には、他のプロトコルに対応したクライアントを用いて機器にアクセスした上でＳＮＭＰマネージャに要求を伝達する必要があることから、そのアクセスの際に、パスワードや証明書を用いてユーザを認証することも可能である。
As described above, in the
In general, the SNMP manager installed in the device can be understood by the device manufacturer. Therefore, it is not possible to provide a function to output a change command for a specific setting. It is possible to take measures to prevent the setting from being changed. Further, when accessing the SNMP manager from the outside, it is necessary to transmit a request to the SNMP manager after accessing the device using a client compatible with another protocol. It is also possible to authenticate a user using a certificate.
一方で、機器外部のＳＮＭＰマネージャについては、機器のメーカー側でどのような機能を有するかを必ずしも把握することができないため、誤って致命的な設定変更がなされてしまう恐れがある。また、ＳＮＭＰには十分な認証機能が備えられていないため、不正なアクセスも比較的容易に可能になってしまう。従って、機器外部のＳＮＭＰマネージャからのアクセスを広範囲で許可すると、セキュリティの面で問題があるといえる。
そこで、上述したようにＳＮＭＰリクエストの送信元が機器の内部であるか外部（内部以外）であるかによって異なる対応を可能とし、外部からのＳＮＭＰリクエストに係るコマンドの実行を制限するようにすれば、セキュリティを向上させることができる。
On the other hand, regarding the SNMP manager outside the device, it is not always possible to grasp what function the device manufacturer has, and there is a risk that a fatal setting change may be made by mistake. Further, since SNMP does not have a sufficient authentication function, unauthorized access can be made relatively easily. Therefore, it can be said that there is a problem in terms of security if access from an SNMP manager outside the device is permitted over a wide range.
Therefore, as described above, if the SNMP request transmission source is internal or external (other than internal) of the device, it is possible to cope differently and limit the execution of commands related to the SNMP request from the outside. , Can improve security.
この場合において、外部からのＳＮＭＰリクエストについては、設定を変更するコマンドの実行を一切許可しないようにすれば、さらにセキュリティを向上させることができる。また、このようにしたとしても、内部にＳＮＭＰマネージャを設ければ、ＨＴＴＰクライアント２１やＴｅｌｎｅｔクライアント２２等からネットワーク機器１０にアクセスすることにより、外部からネットワークを介してネットワーク機器１０の設定を参照や変更することが可能であり、利便性はさほど低下しない。
また、「外部からの設定禁止」を示すフラグを設け、外部からのＳＮＭＰリクエストについて設定を変更するコマンドの実行を一切許可しないようにする動作を、１項目の設定で行わせることができるようにしているので、状況に応じてコマンドの実行を許可するか否か変更する必要がある場合であっても、簡単な操作で変更が可能である。
In this case, with respect to an SNMP request from the outside, security can be further improved if no execution of a command for changing the setting is permitted. Even if this is done, if an SNMP manager is provided inside, the
In addition, a flag indicating "prohibition of setting from outside" is provided so that an operation that does not permit any execution of a command for changing the setting of an external SNMP request can be performed by setting one item. Therefore, even if it is necessary to change whether or not to allow execution of the command according to the situation, it can be changed with a simple operation.
また、上述のネットワーク機器１０においては、要求元判断部１３１が、ＳＮＭＰデーモン１３０がＳＮＭＰリクエストを受信したソケットの情報を用いて識別を行うようにしたことにより、ＳＮＭＰリクエストの送信元が機器の内部か外部かを容易かつ確実に識別することができる。このようにすることは必須ではないが、ここで説明した用途においては、送信元を特定することまでは必ずしも必要ないため、このような識別法を採用することが、偽装防止の観点からも好ましい。
また、上述した実施形態では、外部からのＳＮＭＰリクエストによる設定変更を拒否するようにする場合であっても、設定の参照の場合にはもともとの設定に従うようにする例について説明した。しかし、参照についても全て拒否するようにしてもよい。
Further, in the
Further, in the above-described embodiment, an example has been described in which even when a setting change due to an SNMP request from the outside is rejected, the original setting is followed when referring to the setting. However, all references may be rejected.
また、ソフトウェアの構成や使用する通信プロトコル、データの形式、内容等が上述の実施形態で説明したものに限られないことはもちろんである。例えば、ビューを用いず、コミュニティ情報管理テーブルにアクセスを許可するＭＩＢツリーの範囲を直接記載するようにしてもよい。特に、「View0」のように全範囲についてアクセスを許可しない旨の情報は、「none」等の特殊なコードによって表現するようにすることも考えられる。また、要求元判断部１３１や権限確認部１３２の機能を実現するためのプログラムをＳＮＭＰデーモン１３０の外部に設け、ＳＮＭＰデーモン１３０が必要な場合にこれらのプログラムをコールするようにすることも考えられる。
Further, it goes without saying that the software configuration, communication protocol to be used, data format, contents, etc. are not limited to those described in the above-described embodiment. For example, the range of the MIB tree that allows access to the community information management table may be directly described without using a view. In particular, information indicating that access is not permitted for the entire range such as “View0” may be expressed by a special code such as “none”. It is also conceivable that programs for realizing the functions of the request
また、この発明が、ネットワークを介して他の通信装置と適用可能な通信装置であれば、どのような通信装置にも適用可能であることはもちろんである。適用対象としては、例えば、プリンタ，ＦＡＸ装置，デジタル複写機，スキャナ装置，デジタル複合機等の画像処理装置のほか、汎用コンピュータ，ネットワーク家電，自動販売機，医療機器，電源装置，空調システム，ガス・水道・電気等の計量システム，自動車，航空機等に通信機能を持たせた通信装置が考えられる。 Of course, the present invention can be applied to any communication device as long as it can be applied to other communication devices via a network. Applicable objects include, for example, general-purpose computers, network home appliances, vending machines, medical equipment, power supply devices, air conditioning systems, gas, in addition to image processing devices such as printers, fax machines, digital copiers, scanners, and digital multifunction peripherals.・ Communication devices that have a communication function in metering systems such as water and electricity, automobiles, and airplanes are conceivable.
また、この発明によるプログラムは、コンピュータを、上述したネットワーク機器１０のような通信装置として機能させるためのプログラムであり、このようなプログラムをコンピュータに実行させることにより、上述したような効果を得ることができる。
このようなプログラムは、はじめからコンピュータに備えるＲＯＭあるいはＨＤＤ等の記憶手段に格納しておいてもよいが、記録媒体であるＣＤ−ＲＯＭあるいはフレキシブルディスク，ＳＲＡＭ，ＥＥＰＲＯＭ，メモリカード等の不揮発性記録媒体（メモリ）に記録して提供することもできる。そのメモリに記録されたプログラムをコンピュータにインストールしてＣＰＵに実行させるか、ＣＰＵにそのメモリからこのプログラムを読み出して実行させることにより、上述した各手順を実行させることができる。
さらに、ネットワークに接続され、プログラムを記録した記録媒体を備える外部機器あるいはプログラムを記憶手段に記憶した外部機器からダウンロードして実行させることも可能である。
The program according to the present invention is a program for causing a computer to function as a communication device such as the
Such a program may be stored in a storage means such as a ROM or HDD provided in the computer from the beginning, but a non-volatile recording such as a CD-ROM or flexible disk, SRAM, EEPROM, memory card or the like as a recording medium. It can also be recorded on a medium (memory) and provided. Each procedure described above can be executed by installing a program recorded in the memory in a computer and causing the CPU to execute the program, or causing the CPU to read and execute the program from the memory.
Furthermore, it is also possible to download and execute an external device that is connected to a network and includes a recording medium that records the program, or an external device that stores the program in the storage unit.
以上説明してきたように、この発明の通信装置、通信装置の制御方法、プログラムあるいは記録媒体によれば、ＳＮＭＰに従ってコマンドを処理する機能を有する通信装置において、外部装置からの設定変更を可能にしながら、高いセキュリティを維持できるようにすることができる。
従って、この発明を利用することにより、高いセキュリティと利便性を両立した通信装置を構成することができる。
As described above, according to the communication device, the control method of the communication device, the program, or the recording medium of the present invention, the communication device having the function of processing the command according to the SNMP can change the setting from the external device. Can maintain high security.
Therefore, by utilizing the present invention, a communication device that achieves both high security and convenience can be configured.
１０：ネットワーク機器、１１：ＣＰＵ、１２：ＲＯＭ、１３：ＲＡＭ、
１４：不揮発性メモリ、１５：ネットワークＩ／Ｆ、１６：エンジン部、
１７：システムバス、２０：ＰＣ、２１：ＨＴＴＰクライアント、
２２：Ｔｅｌｎｅｔクライアント、２３：ＳＮＭＰマネージャ、３０：ネットワーク、
１００：ネットワークモジュール、１１０：ＨＴＴＰデーモン、
１２０：Ｔｅｌｎｅｔデーモン、１２１，１４２：ＳＮＭＰライブラリ、
１３０：ＳＮＭＰデーモン、１３１：要求元判断部、１３２：権限確認部、
１３３：内部用コミュニティ情報管理テーブル、
１３４：外部用コミュニティ情報管理テーブル、１３５：ＭＩＢビューテーブル、
１４０：ウェブモジュール、１４１：ＷＷＷライブラリ、
１６０：ＳＮＭＰサブエージェント
10: network device, 11: CPU, 12: ROM, 13: RAM,
14: non-volatile memory, 15: network I / F, 16: engine unit,
17: System bus, 20: PC, 21: HTTP client,
22: Telnet client, 23: SNMP manager, 30: Network
100: Network module, 110: HTTP daemon,
120:
130: SNMP daemon 131: Request source determination unit 132: Authority confirmation unit
133: Community information management table for internal use
134: Community information management table for external use, 135: MIB view table,
140: Web module, 141: WWW library,
160: SNMP subagent
Claims (6)
外部装置から受信したコマンドを前記処理手段が処理可能なコマンドに変換する内部ＳＮＭＰマネージャと、
前記処理手段が処理すべきコマンドが前記内部ＳＮＭＰマネージャによって生成されたものか否かを識別する識別手段と、
該手段の判断結果に基づいて前記処理手段による処理の内容を変更するアクセス制御手段とを設けたことを特徴とする通信装置。 Processing means for performing processing according to the received command in accordance with SNMP;
An internal SNMP manager that converts a command received from an external device into a command that can be processed by the processing means;
Identifying means for identifying whether a command to be processed by the processing means is generated by the internal SNMP manager;
An access control means for changing the contents of the processing by the processing means based on the determination result of the means.
前記アクセス制御手段が、前記内部ＳＮＭＰマネージャによって生成されたものでないコマンドに応じた設定変更処理を前記処理手段に実行させないようにする手段を有することを特徴とする通信装置。 The communication device according to claim 1,
The communication apparatus, wherein the access control means includes means for preventing the processing means from executing a setting change process according to a command not generated by the internal SNMP manager.
前記識別手段が、処理すべきコマンドを前記処理手段が受け取った際に用いたソケットの情報によって該コマンドが前記内部ＳＮＭＰマネージャによって生成されたものか否かを識別する手段を有することを特徴とする通信装置。 The communication device according to claim 1 or 2,
The identification means includes means for identifying whether or not the command is generated by the internal SNMP manager based on information on a socket used when the processing means receives a command to be processed. Communication device.
外部装置から受信したコマンドを前記処理手段が処理可能なコマンドに変更する内部ＳＮＭＰマネージャとを有する通信装置を制御する通信装置の制御方法であって、
前記通信装置に、
前記処理手段が処理すべきコマンドが前記内部ＳＮＭＰマネージャによって生成されたものか否かを識別する識別手順と、
該手順における判断結果に基づいて前記処理手段による処理の内容を変更するアクセス制御手順とを実行させることを特徴とする通信装置の制御方法。 Processing means for performing processing according to the received command in accordance with SNMP;
A communication device control method for controlling a communication device having an internal SNMP manager that changes a command received from an external device to a command that can be processed by the processing means,
In the communication device,
An identification procedure for identifying whether the command to be processed by the processing means is generated by the internal SNMP manager;
A control method for a communication apparatus, comprising: executing an access control procedure for changing a content of processing by the processing unit based on a determination result in the procedure.
ＳＮＭＰに従って、受け取ったコマンドに応じた処理を行う処理手段と、
外部装置から受信したコマンドを前記処理手段が処理可能なコマンドに変更する内部ＳＮＭＰマネージャと、
前記処理手段が処理すべきコマンドが前記内部ＳＮＭＰマネージャによって生成されたものか否かを識別する識別手段と、
該手段の判断結果に基づいて前記処理手段による処理の内容を変更するアクセス制御手段として機能させるためのプログラム。 Computer
Processing means for performing processing according to the received command in accordance with SNMP;
An internal SNMP manager that changes a command received from an external device into a command that can be processed by the processing means;
Identifying means for identifying whether a command to be processed by the processing means is generated by the internal SNMP manager;
A program for functioning as an access control means for changing the contents of processing by the processing means based on the determination result of the means.
A computer-readable recording medium on which the program according to claim 5 is recorded.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2004238325A JP4358069B2 (en) | 2004-08-18 | 2004-08-18 | COMMUNICATION DEVICE, COMMUNICATION DEVICE CONTROL METHOD, PROGRAM, AND RECORDING MEDIUM |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2004238325A JP4358069B2 (en) | 2004-08-18 | 2004-08-18 | COMMUNICATION DEVICE, COMMUNICATION DEVICE CONTROL METHOD, PROGRAM, AND RECORDING MEDIUM |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2006059011A JP2006059011A (en) | 2006-03-02 |
| JP4358069B2 true JP4358069B2 (en) | 2009-11-04 |
Family
ID=36106448
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2004238325A Expired - Fee Related JP4358069B2 (en) | 2004-08-18 | 2004-08-18 | COMMUNICATION DEVICE, COMMUNICATION DEVICE CONTROL METHOD, PROGRAM, AND RECORDING MEDIUM |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP4358069B2 (en) |
Families Citing this family (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP4745866B2 (en) * | 2006-03-07 | 2011-08-10 | キヤノン株式会社 | Device management system and control method thereof |
| JP4869033B2 (en) | 2006-11-13 | 2012-02-01 | キヤノン株式会社 | Network device, network device management apparatus, network device control method, network device management method, program, and storage medium |
| JP4906761B2 (en) * | 2008-03-17 | 2012-03-28 | 株式会社リコー | Information processing apparatus, information processing method, and information processing program |
-
2004
- 2004-08-18 JP JP2004238325A patent/JP4358069B2/en not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2006059011A (en) | 2006-03-02 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US8539243B2 (en) | Information processing apparatus capable of communicating with external authentication device | |
| US20060085527A1 (en) | Remote services for portable computing environment | |
| US7812984B2 (en) | Remote stored print job retrieval | |
| JP2005085090A (en) | Remote processor | |
| JP5423746B2 (en) | Image processing apparatus, access control method, and program | |
| US10754933B2 (en) | Processing apparatus, method for controlling processing apparatus, and non-transitory computer-readable storage medium | |
| US20140146363A1 (en) | Device, information processing system, and information processing method | |
| US20110067088A1 (en) | Image processing device, information processing method, and recording medium | |
| JP2008165368A (en) | Service restriction method, image processing restriction method, and image processing system | |
| US11140294B2 (en) | Communication device, non-transitory computer-readable recording medium storing computer-readable instructions for communication device, and method executed by communication device | |
| JP4455965B2 (en) | Authority information generating method, communication apparatus, program, and recording medium | |
| US8773695B2 (en) | Data communication apparatus and method of controlling the same | |
| JP6333005B2 (en) | Image forming apparatus, control method therefor, and program | |
| US7840666B2 (en) | Device, control method of the device, and program for causing computer to execute the control method | |
| JP5073250B2 (en) | apparatus | |
| JP7452198B2 (en) | Function execution device and computer program for the function execution device | |
| JP4358069B2 (en) | COMMUNICATION DEVICE, COMMUNICATION DEVICE CONTROL METHOD, PROGRAM, AND RECORDING MEDIUM | |
| JP4298630B2 (en) | Device management apparatus, control method therefor, and control program | |
| CA2523532A1 (en) | Portable computing environment | |
| JP2007122366A (en) | Network management system, network management method, and network management program | |
| JP2007206810A (en) | Network authentication system, information processor, network device, and program | |
| JP3770258B2 (en) | Multifunction machine, network system, control method, and control program | |
| JP2006079359A (en) | Communication device, control method for communication device, program and recording medium | |
| JP2010198334A (en) | Image processing apparatus and program | |
| JP2006251996A (en) | Client device, image processing system, control method for client device, program and recording medium |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20070126 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20090528 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20090804 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20090805 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120814 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120814 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120814 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130814 Year of fee payment: 4 |
|
| LAPS | Cancellation because of no payment of annual fees |