[发明专利]通信屏蔽装置及通信屏蔽方法

说明书

技术领域

本发明涉及屏蔽与网络连接的信息处理装置的通信的通信屏蔽装置。

背景技术

以往的网络通信系统中，有提案提出一种通信控制装置，通过网络接收从客户端接收到的对于其他机器的访问请求，提取目标IP地址，将该IP地址作为自己的地址注册在临时注册IP地址表中，将接收到的数据帧的复制件重发至网络（参照专利文献1）。此外，有提案提出一种网络访问控制方法，接收到访问请求装置的请求后，代理请求装置向认证处理装置以自己的认证数据发出请求，认证处理装置接收该请求后，根据认证处理结果，将访问控制数据发布给访问控制装置（参照专利文献2）。

现有技术文献

专利文献

【专利文献1】日本专利特开2007-336401号公报

【专利文献2】国际公开第2007/138663号

发明内容

例如，企业内网中，出于通过通信量的平均化减轻网络负荷和提升安全性的目的，多会设置代理服务器。这一连接在网络上的信息处理装置，必须通过代理服务器与互联网上的Web服务器等进行通信。

此外例如，企业内网中，为了防止网络的不正当使用造成信息泄露和恶意软件等的感染，与网络连接的信息处理装置进行的通信中，仅许可目的在于下载安全补丁和安全软件的定义文件、网络的使用申请等的必要通信，屏蔽除此以外的通信。以往，进行此种通信许可及屏蔽的装置和系统中，采用的是根据在网络中流转的IP数据包的目标IP地址和目标端口号，屏蔽与被许可的服务器以外的通信的方式等。

但是，该方式中，对于通过了代理服务器的通信，存在无法进行恰当的许可及屏蔽的问题。这是因为，发送给代理服务器的IP数据包的目标IP地址及目标端口号，是代理服务器的IP地址及端口号，无法判断是否构成与IP数据包得到许可的服务器的通信。

本发明鉴于上述问题，课题是提供对于来自与网络连接的信息处理装置的通信，即使是通过了代理服务器的通信，也可进行恰当的许可及屏蔽的装置。

解决问题的手段

本发明中，为了解决上述课题，采用了以下的单元。即，本发明是一种通信屏蔽装置，屏蔽与网络连接的信息处理装置的通信，所述通信屏蔽装置的特征在于，包括：通过将所述通信屏蔽装置的物理地址作为其他装置的物理地址通知给所述信息处理装置，将所述信息处理装置发送的信息引导至所述通信屏蔽装置的引导单元；满足规定条件时，通过不传输由所述引导单元引导的信息，屏蔽所述信息处理装置的通信的通信屏蔽单元；从所述引导单元引导的信息构成的、比传输层上层的规定的协议的消息中，获取识别所述消息的被通知方的识别信息的识别信息获取单元；至少根据所述识别信息获取单元获取的所述识别信息，决定是否许可所述消息的通信的许可决定单元；和满足所述规定条件的情况下，当所述许可决定单元决定许可时，不考虑所述通信屏蔽单元的通信屏蔽，通过传输所述消息，许可所述信息处理装置进行通信的通信许可单元。

此外，本发明涉及的通信屏蔽装置，还可具备有引导信息传输单元，其在不满足所述规定条件时，将所述引导单元引导的信息传输至所述其他装置。

此外，本发明中，所述通信许可单元向所述其他装置传输所述消息。

此外，本发明涉及的通信屏蔽装置，还包括设定单元，其设定所述消息的通信被许可的被通知方或所述消息的通信不被许可的被通知方的所述识别信息的全部或一部分，所述许可决定单元根据所述识别信息获取单元获取的所述识别信息是否包含所述设定单元设定的所述识别信息的全部或一部分，来决定是否许可所述消息的通信。

此外，本发明涉及的通信屏蔽装置，还包括，逻辑地址回复单元，其在所述引导单元引导的信息构成与所述识别信息对应的逻辑地址的询问时，将不是所述识别信息所识别的被通知方的逻辑地址的规定逻辑地址回复给所述询问。

此外，本发明中，所述逻辑地址回复单元的所述回复中，附加有所述规定逻辑地址的有效期，所述规定逻辑地址的有效期，与将所述识别信息所识别的被通知方的逻辑地址回复给所述询问的服务器向该回复附加的该逻辑地址的有效期是不同的有效期。

此外，本发明中，所述规定逻辑地址的有效期，短于将所述识别信息识别的被通知方逻辑地址回复给所述询问的服务器向该回复附加的该逻辑地址的有效期。