(57)【要約】【課題】動的に端末のＩＰアドレスが変化するネットワークにおいて、ホワイトリスト機能によるセキュリティを向上させる。【解決手段】ホワイトリスト生成可否判断部（ホワイトリスト生成可否判断プログラム４２３）は、プロトコル情報テーブル（ＤＨＣＰ情報テーブル４２５）に記憶された送信元ＭＡＣアドレスに対応するＩＰアドレスと抽出された送信元ＩＰアドレスとが一致し、プロトコル情報テーブル（ＤＨＣＰ情報テーブル４２５）に記憶された送信先ＭＡＣアドレスに対応するＩＰアドレスと抽出された送信先ＩＰアドレスとが一致した場合にホワイトリストの生成を許可する信号をホワイトリスト生成部（ホワイトリスト生成プログラム４２１）に送信する。【選択図】図１
2020017809.tif 000002
【特許請求の範囲】
【請求項１】
ＭＡＣアドレスとＩＰアドレスを含むホワイトリストに従って受信したパケットの中継を行う通信装置であって、
前記ＭＡＣアドレスと前記ＩＰアドレスを対応付けて記憶するプロトコル情報テーブルと、
前記ホワイトリストを生成するホワイトリスト生成部と、
前記ホワイトリストを記憶するホワイトリスト格納メモリと、
前記ホワイトリストの生成の可否を判断するホワイトリスト生成可否判断部と、を有し、
前記ホワイトリスト生成可否判断部は、
前記ＩＰアドレスの動的割当てを行うプロトコルによるサーバとクライアント端末との間の通信内容から、送信元ＭＡＣアドレス、送信元ＩＰアドレス、送信先ＭＡＣアドレス及び送信先ＩＰアドレスを抽出し、
抽出された前記送信元ＭＡＣアドレスに基づいて前記プロトコル情報テーブルを検索して、前記プロトコル情報テーブルに記憶された前記送信元ＭＡＣアドレスに対応する前記ＩＰアドレスと、抽出された前記送信元ＩＰアドレスとが一致し、かつ
抽出された前記送信先ＭＡＣアドレスに基づいて前記プロトコル情報テーブルを検索して、前記プロトコル情報テーブルに記憶された前記送信先ＭＡＣアドレスに対応する前記ＩＰアドレスと、抽出された前記送信先ＩＰアドレスとが一致した場合に、
前記ホワイトリストの生成を許可する信号を前記ホワイトリスト生成部に送信することを特徴とする通信装置。
【請求項２】
前記ホワイトリスト生成部は、
前記ホワイトリスト生成可否判断部から前記ホワイトリストの生成を許可する信号を受信した場合に、前記ホワイトリストの生成を行うことを特徴とする請求項１に記載の通信装置。
【請求項３】
前記ホワイトリスト生成部は、
前記ホワイトリスト生成可否判断部から前記ホワイトリストの生成を許可する信号を受信しなかった場合には、前記ホワイトリストの生成を行わないことを特徴とする請求項２に記載の通信装置。
【請求項４】
前記サーバと前記クライアント端末との間でやり取りされる前記プロトコルによる通信内容から前記プロトコル情報テーブルを作成する制御部を更に有することを特徴とする請求項１に記載の通信装置。
【請求項５】
前記ホワイトリスト生成部は、
前記ホワイトリストの生成を行うホワイトリスト生成状態中に前記パケットを受信すると、前記ホワイトリスト生成可否判断部が前記ホワイトリストの生成を許可した場合に、前記ホワイトリストを生成して前記ホワイトリスト格納メモリに書き込むことを特徴とする請求項１に記載の通信装置。
【請求項６】
前記ホワイトリスト生成部は、
前記ホワイトリストの生成を行う前記ホワイトリスト生成状態中に前記プロトコル情報テーブルの更新があった場合に、前記ホワイトリスト格納メモリに記憶されている前記ホワイトリストの更新を行うことを特徴とする請求項５に記載の通信装置。
【請求項７】
ＭＡＣアドレスとＩＰアドレスを含むホワイトリストに従って受信したパケットの中継を行う通信装置であって、
前記ＭＡＣアドレスと前記ＩＰアドレスを対応付けて記憶するプロトコル情報テーブルと、
前記ホワイトリストを生成するホワイトリスト生成部と、
前記ホワイトリストを記憶するホワイトリスト格納メモリと、
前記ホワイトリストの生成の可否を判断するホワイトリスト生成可否判断部と、を有し、
前記ホワイトリスト生成可否判断部は、
前記ＩＰアドレスの動的割当てを行うプロトコルによるサーバとクライアント端末との間の通信内容から、送信元ＭＡＣアドレス、送信元ＩＰアドレス、送信先ＭＡＣアドレス及び送信先ＩＰアドレスを抽出し、
抽出された前記送信元ＩＰアドレスに基づいて前記プロトコル情報テーブルを検索して、前記プロトコル情報テーブルに記憶された前記送信元ＩＰアドレスに対応する前記ＭＡＣアドレスと、抽出された前記送信元ＭＡＣアドレスとが一致し、かつ
抽出された前記送信先ＩＰアドレスに基づいて前記プロトコル情報テーブルを検索して、前記プロトコル情報テーブルに記憶された前記送信先ＩＰアドレスに対応する前記ＭＡＣアドレスと、抽出された前記送信先ＭＡＣアドレスとが一致した場合に、
前記ホワイトリストの生成を許可する信号を前記ホワイトリスト生成部に送信することを特徴とする通信装置。
【請求項８】
前記ホワイトリスト生成部は、
前記ホワイトリスト生成可否判断部から前記ホワイトリストの生成を許可する信号を受信した場合に、前記ホワイトリストの生成を行うことを特徴とする請求項７に記載の通信装置。
【請求項９】
前記ホワイトリスト生成部は、
前記ホワイトリスト生成可否判断部から前記ホワイトリストの生成を許可する信号を受信しなかった場合には、前記ホワイトリストの生成を行わないことを特徴とする請求項８に記載の通信装置。
【請求項１０】
前記サーバと前記クライアント端末との間でやり取りされる前記プロトコルによる通信内容から前記プロトコル情報テーブルを作成する制御部を更に有することを特徴とする請求項７に記載の通信装置。
【請求項１１】
前記ホワイトリスト生成部は、
前記ホワイトリストの生成を行うホワイトリスト生成状態中に前記パケットを受信すると、前記ホワイトリスト生成可否判断部が前記ホワイトリストの生成を許可した場合に、前記ホワイトリストを生成して前記ホワイトリスト格納メモリに書き込むことを特徴とする請求項７に記載の通信装置。
【請求項１２】
前記ホワイトリスト生成部は、
前記ホワイトリストの生成を行う前記ホワイトリスト生成状態中に前記プロトコル情報テーブルの更新があった場合に、前記ホワイトリスト格納メモリに記憶されている前記ホワイトリストの更新を行うことを特徴とする請求項１１に記載の通信装置。
【請求項１３】
請求項１に記載の通信装置と、
前記クライアント端末に前記ＩＰアドレスの動的割当てを行う前記サーバと、
を有することを特徴とする通信システム。
【請求項１４】
請求項７に記載の通信装置と、
前記クライアント端末に前記ＩＰアドレスの動的割当てを行う前記サーバと、
を有することを特徴とする通信システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信装置及び通信システムに関する。
【背景技術】
【０００２】
近年、発電所などの重要インフラ内のネットワークに攻撃者が侵入し、システムの制御を奪われることがないような対策が必要である。重要インフラのネットワークにおいては、ファイアウォール装置及びパーソナルコンピュータ等の端末に搭載されているウィルスソフト等による防御対策は実施されている。しかし、システム制御を奪おうとする攻撃者の侵入を防ぐために、より強力な対策が必要とされる。
【０００３】
攻撃者に侵入された際のリスクを軽減する手法として、通信装置によるホワイトリスト機能を利用する方法がある。通信装置によるホワイトリスト機能は、ネットワーク内を流れる正規通信に含まれる正規端末情報をホワイトリスト収容が可能な通信装置に登録し、ホワイトリスト収容が可能な通信装置に登録された正規端末以外からの非正規通信を遮断することでセキュリティレベルを高める機能である。このようなホワイトリスト機能を利用する方法は、例えば、特許文献１、特許文献２に記載されている。
【０００４】
また、他のセキュリティ技術として、ＤＨＣＰを用いたネットワークにおけるセキュリティ技術がある。このようなセキュリティ技術は、例えば、特許文献３に記載されている。具体的には、特許文献３では、ＤＨＣＰパケットとＡＲＰパケットのＩＰアドレスが一致すると、ＡＲＰパケットを送信したクライアント端末に対してポートフィルタリングを行う。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１５−０５０７６７号公報
【特許文献２】特開２０１７−０４６１４９号公報
【特許文献３】特開２００７−３６３７４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
特許文献３では、ＤＨＣＰを使用してＩＰアドレスの割当てを行っているネットワークにおいて、不正な端末が接続された際に転送装置のポートを閉塞して通信を遮断することで不正な端末の接続を防ぐ。しかし、特許文献３の方法だけでは、ホワイトリスト機能のように正規の端末の不審な挙動を捕らえて通信制御を行うことはできない。
【０００７】
一方、特許文献１、２に記載されているように、ホワイトリストには管理者が事前に設定する場合と通信内容から自動で生成する場合がある。しかし、通信内容から自動で生成する場合、正常な通信と不正な通信の分け隔てなく、生成状態時に受信したパケットについてホワイトリストを生成する。このため、生成状態時に不正な端末が接続された場合、不正な端末に関する通信についてもホワイトリストに登録してしまう。
【０００８】
ホワイトリスト機能を適用するネットワークが工場や重要インフラのように比較的閉じており、接続される機器も固定的なネットワークであれば、生成状態時における不正な端末接続は物理的な手段等で排除しやすい。
【０００９】
しかし、例えば、オフィス環境のようにＤＨＣＰなどの動的ＩＰアドレス割り当て技術により物理的な端末接続の自由度を高めたネットワークにホワイトリスト機能を適用しようとした場合、生成状態時の不正な端末接続への対処が問題となる。このような場合には、ホワイトリスト機能によるセキュリティを向上させることは困難である。
【００１０】
本発明の目的は、動的に端末のＩＰアドレスが変化するネットワークにおいて、ホワイトリスト機能によるセキュリティを向上させることにある。
【課題を解決するための手段】
【００１１】
本発明の一態様の通信装置は、ＭＡＣアドレスとＩＰアドレスを含むホワイトリストに従って受信したパケットの中継を行う通信装置であって、前記ＭＡＣアドレスと前記ＩＰアドレスを対応付けて記憶するプロトコル情報テーブルと、前記ホワイトリストを生成するホワイトリスト生成部と、前記ホワイトリストを記憶するホワイトリスト格納メモリと、前記ホワイトリストの生成の可否を判断するホワイトリスト生成可否判断部とを有し、前記ホワイトリスト生成可否判断部は、前記ＩＰアドレスの動的割当てを行うプロトコルによるサーバとクライアント端末との間の通信内容から、送信元ＭＡＣアドレス、送信元ＩＰアドレス、送信先ＭＡＣアドレス及び送信先ＩＰアドレスを抽出し、抽出された前記送信元ＭＡＣアドレスに基づいて前記プロトコル情報テーブルを検索して、前記プロトコル情報テーブルに記憶された前記送信元ＭＡＣアドレスに対応する前記ＩＰアドレスと、抽出された前記送信元ＩＰアドレスとが一致し、かつ抽出された前記送信先ＭＡＣアドレスに基づいて前記プロトコル情報テーブルを検索して、前記プロトコル情報テーブルに記憶された前記送信先ＭＡＣアドレスに対応する前記ＩＰアドレスと、抽出された前記送信先ＩＰアドレスとが一致した場合に、前記ホワイトリストの生成を許可する信号を前記ホワイトリスト生成部に送信することを特徴とする。
【００１２】
本発明の一態様の通信装置は、ＭＡＣアドレスとＩＰアドレスを含むホワイトリストに従って受信したパケットの中継を行う通信装置であって、前記ＭＡＣアドレスと前記ＩＰアドレスを対応付けて記憶するプロトコル情報テーブルと、前記ホワイトリストを生成するホワイトリスト生成部と、前記ホワイトリストを記憶するホワイトリスト格納メモリと、前記ホワイトリストの生成の可否を判断するホワイトリスト生成可否判断部とを有し、前記ホワイトリスト生成可否判断部は、前記ＩＰアドレスの動的割当てを行うプロトコルによるサーバとクライアント端末との間の通信内容から、送信元ＭＡＣアドレス、送信元ＩＰアドレス、送信先ＭＡＣアドレス及び送信先ＩＰアドレスを抽出し、抽出された前記送信元ＩＰアドレスに基づいて前記プロトコル情報テーブルを検索して、前記プロトコル情報テーブルに記憶された前記送信元ＩＰアドレスに対応する前記ＭＡＣアドレスと、抽出された前記送信元ＭＡＣアドレスとが一致し、かつ抽出された前記送信先ＩＰアドレスに基づいて前記プロトコル情報テーブルを検索して、前記プロトコル情報テーブルに記憶された前記送信先ＩＰアドレスに対応する前記ＭＡＣアドレスと、抽出された前記送信先ＭＡＣアドレスとが一致した場合に、前記ホワイトリストの生成を許可する信号を前記ホワイトリスト生成部に送信することを特徴とする。
【発明の効果】
【００１３】
本発明の一態様によれば、動的に端末のＩＰアドレスが変化するネットワークにおいて、ホワイトリスト機能によるセキュリティを向上させることができる。
【図面の簡単な説明】
【００１４】
【図１】パケットの中継装置及びパケット中継装置に接続されるＤＨＣＰサーバとＤＨＣＰクライアントの構成例を示すブロック図である。
【図２】ホワイトリスト及びホワイトリスト格納メモリ内情報の一例を示す図である。
【図３】ＤＨＣＰ情報テーブルの一例を示す図である。
【図４】転送設定メモリが保持する設定情報の一例を示す図である。
【図５】ＤＨＣＰサーバ６００及びＤＨＣＰクライアント７００間でＤＨＣＰを用いた通信を行った際にパケットを中継するパケット中継装置１００内の動作を示した説明図である。
【図６】パケット中継装置のパケット転送部がパケットを受信した際の動作を示した説明図である。
【図７Ａ】パケット中継装置のパケット転送部がパケットを受信した際の動作を説明するフロー図である。
【図７Ｂ】本実施例１において、パケット中継装置のホワイトリスト生成可否判断プログラムがパケット転送部からパケット情報を受信しホワイトリストの生成可否の判断を行う際のフロー図である。
【図７Ｃ】パケット中継装置のホワイトリスト生成プログラムがパケット転送部からパケット情報を受信しホワイトリスト格納メモリ内に格納するホワイトリストの生成を行う際のフロー図である。
【図８】入出力装置からパケット中継装置へ送信される命令の一例を示す図である。
【図９】本実施例２において、パケット中継装置のホワイトリスト生成可否判断プログラムがパケット転送部からパケット情報を受信しホワイトリストの生成可否の判断を行う際のフロー図である。
【発明を実施するための形態】
【００１５】
以下、図面を用いて、実施例について説明する。
【実施例１】
【００１６】
図１を参照して、実施例１の通信装置及び通信システムについて説明する。図１は、データの一例であるパケットを中継するパケット中継装置１００及びパケット中継装置１００に接続されるＤＨＣＰサーバ６００とＤＨＣＰクライアント７００の構成例を示す。
【００１７】
パケット中継装置１００は、通信装置の一例である。パケット中継装置１００は、例えば、パケットの中継、ホワイトリストの生成可否判断、ホワイトリストの生成、ＤＨＣＰサーバ６００とＤＨＣＰクライアント７００の間でやり取りされるＤＨＣＰによる通信からＤＨＣＰ情報テーブル４２５の作成を実行する。ホワイトリストとは、パケット中継装置１００により転送が許可されたパケットの一覧を示す。なお、ＤＨＣＰは、例えば、ＲＦＣ２１３１で規定されているが、これに限られない。
【００１８】
パケット中継装置１００は、例えば、複数のパケット送受信部２００、パケット転送部３００、Ｓ／Ｗ（ＳｏｆｔＷａｒｅ）制御部４００及び入出力インタフェース５００を有する。
【００１９】
パケット送受信部２００それぞれは、例えば、端末や他のパケット中継装置等の外部装置と、メタルケーブルや光ケーブル等の有線回線又は無線回線で接続される。そして、接続された外部装置からパケットを受信し、受信したパケットを接続された外部装置へと送信する。パケット送受信部２００は、それぞれパケット送受信部２００を一意に識別する送受信部番号を有する。
【００２０】
パケット送受信部２００は、それぞれパケットを受信した際に、当該パケットに当該パケット送受信部２００に対応する制御情報を付加する。制御情報は、例えば、パケット送受信部２００のパケット送受信部番号及び当該パケット送受信部２００が所属するＶＬＡＮ識別子であるＶＬＡＮ番号を含む。
【００２１】
パケット転送部３００は、例えば、パケット受信部２００からパケットを受信し、Ｓ／Ｗ制御部４００が生成したホワイトリストに従って、受信したパケットの転送又は廃棄等を行う。Ｓ／Ｗ制御部４００は、例えば、ホワイトリストの生成可否判断、ホワイトリストの生成及びＤＨＣＰサーバ６００とＤＨＣＰクライアント７００の間でやり取りされるＤＨＣＰによる通信からＤＨＣＰ情報テーブル４２５の作成を実行する。
【００２２】
入出力インタフェース５００は、入出力装置５１０が接続される。入出力インタフェース５００は、入出力装置５１０を介して、利用者からの入力を受け付ける。また、入出力インタフェース５００は、プログラムの実行結果等を入出力装置５１０に出力する。入出力装置５１０は、例えば、キーボードやマウス等の利用者からの入力を受ける入力装置及びディスプレイ装置やプリンタ等のパケット中継装置１００の処理結果を利用者が視認可能な形式で出力する出力装置を含む。
【００２３】
尚、図１では入出力装置５１０は、パケット中継装置１００と独立した装置として記載されているが、パケット中継装置１００にディスプレイや操作ボタン等の入出力装置５１０を配置しても良い。
【００２４】
ＤＨＣＰサーバ６００は、ＤＨＣＰによるＤＨＣＰクライアント７００へのＩＰアドレスの割当てを行うためのサーバであり、パケット中継装置１００とパケット送受信部２００によって接続される。
【００２５】
ＤＨＣＰクライアント７００は、ＤＨＣＰによるＩＰアドレスの割当てサービスを受ける端末であり、パケット中継装置１００とパケット送受信部２００によって接続される。尚、ＤＨＣＰクライアント７００が接続されるパケット送受信部２００は、ＤＨＣＰサーバ６００が接続されるパケット送受信部２００とは、異なる送受信部番号を持つものとする。
【００２６】
固定ＩＰアドレスを持つクライアント７１０は、ＤＨＣＰによるＩＰアドレスの割当てサービスを受けない端末であり、パケット中継装置１００とパケット送受信部２００によって接続される。尚、固定ＩＰアドレスを持つクライアント７１０が接続されるパケット送受信部２００は、ＤＨＣＰサーバ６００及びＤＨＣＰクライアント７００が接続されるパケット送受信部２００とは、異なる送受信部番号を持つものとする。
【００２７】
パケット転送部３００は、ホワイトリスト格納メモリ３１０、転送先決定部３２０、転送テーブルメモリ３３０及び転送設定メモリ３４０を有する。ホワイトリスト格納メモリ３１０は、例えば、ＣＡＭ（Ｃｏｎｔｅｎｔ  Ａｄｄｒｅｓｓａｂｌｅ  Ｍｅｍｏｒｙ）やＤＲＡＭ（Ｄｙｎａｍｉｃ  Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）等であり、Ｓ／Ｗ制御部４００が生成したホワイトリストを格納する。
【００２８】
転送テーブルメモリ３３０は、例えば、ＣＡＭやＤＲＡＭ等であり、パケットのヘッダ情報と、パケットの転送先即ちパケット送受信部２００との対応を示す情報を格納する。当該情報は管理者等によって作成され、予め転送テーブルメモリ３３０に格納されている。ＯＳＩ（Ｏｐｅｎ  Ｓｙｓｔｅｍｓ  Ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎ）参照モデルのレイヤ２の通信に用いられるＭａｃ  Ａｄｄｒｅｓｓ  Ｔａｂｌｅや、ＯＳＩ参照モデルのレイヤ３の通信に用いられるＲｏｕｔｉｎｇ  Ｔａｂｌｅは、当該対応を示す情報の一例である。
【００２９】
転送設定メモリ３４０は、例えば、ＤＲＡＭ等であり、後述するパケット中継装置１００のモードや状態、ホワイトリスト登録外パケット受信時の動作等の設定情報を格納する。転送設定メモリ３４０に格納される設定情報は、入出力装置５１０を介して管理者等により設定される。
【００３０】
転送先決定部３２０は、パケット送受信部２００からパケットを受信し、受信したパケットのヘッダ情報をキーに転送テーブルメモリ３３０内を検索することにより受信したパケットの転送先を決定する。
【００３１】
また、転送先決定部３２０は、後述するホワイトリスト運用状態中にパケットを受信した場合、ホワイトリスト格納メモリ３１０に格納されたホワイトリストを検索する。転送先決定部３２０は、受信したパケットがホワイトリスト登録外パケットであると判定した場合、当該パケットの廃棄を行う。
【００３２】
転送先決定部３２０は、後述するホワイトリスト生成状態中にパケットを受信すると、受信したパケットから所定のヘッダ情報及び所定の制御情報を抽出し、Ｓ／Ｗ制御部４００へと送信する。転送先決定部３２０は、転送設定メモリ３４０の設定内容に従い、ホワイトリストを利用した通信を実施するか否かなどの判別を行う。また、後述するＤＨＣＰ  ＡＣＫパケットを受信した際には、パケットからＤＨＣＰクライアント７００の情報を抽出し、Ｓ／Ｗ制御部４００へと送信する。
【００３３】
パケット転送部３００は、ホワイトリストの高速検索、パケットのワイヤレートでの通信など、単純で高速な命令を実行するため、通常、ハードウェアで構成されることができる。パケット転送部３００は、例えば、ＦＰＧＡ（Ｆｉｅｌｄ  Ｐｒｏｇｒａｍｍａｂｌｅ  Ｇａｔｅ  Ａｒｒａｙ）等で構成されてもよい。なお、パケット転送部３００は、ソフトウェアで構成されてもよい。
【００３４】
Ｓ／Ｗ制御部４００は、ＣＰＵ（Ｃｏｎｔｒｏｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）４１０とＳ／Ｗメモリ４２０とを有する。ＣＰＵ４１０は、Ｓ／Ｗメモリ４２０に格納されたプログラムを実行するプロセッサを有する。Ｓ／Ｗメモリ４２０は、不揮発性の記憶素子であるＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）及び揮発性の記憶素子であるＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）を含むことができる。ＲＯＭは、不変のプログラム（例えば、ＢＩＯＳ（Ｂａｓｉｃ  Ｉｎｐｕｔ／Ｏｕｔｐｕｔ  Ｓｙｓｔｅｍ））などを格納する。ＲＡＭは、ＤＲＡＭのような高速かつ揮発性の記憶素子であり、プロセッサが実行するプログラム及びプログラムの実行時に使用されるデータを一時的に格納する。
【００３５】
Ｓ／Ｗメモリ４２０は、ホワイトリスト生成プログラム４２１、転送設定プログラム４２２、ホワイトリスト生成可否判断プログラム４２３、ＤＨＣＰ情報登録プログラム４２４とＤＨＣＰ情報テーブル４２５を含む。
【００３６】
Ｓ／Ｗメモリ４２０に格納されたプログラムはＣＰＵ４１０（プロセッサ）によって実行されることで、定められた処理を記憶装置及び通信ポート（通信デバイス）等を用いながら行う。従って、実施例１においてプログラムを主語とする説明は、ＣＰＵ４１０（プロセッサ）を主語とした説明でもよい。若しくは、プログラムが実行する処理は、そのプログラムが動作する計算機及び計算機システムが行う処理である。
【００３７】
ＣＰＵ４１０（プロセッサ）は、プログラムに従って動作することによって、所定の機能を実現する機能部として動作する。例えば、ＣＰＵ４１０（プロセッサ）は、ホワイトリスト生成プログラム４２１に従って動作することでホワイトリスト生成部として機能し、転送設定プログラム４２２に従って動作することで転送設定部として機能し、ホワイトリスト生成可否判断プログラム４２３に従って動作することでホワイトリスト生成可否判断部として機能し、ＤＨＣＰ情報登録プログラム４２４に従って動作することでＤＨＣＰ情報登録部として機能する。ＤＨＣＰ情報テーブル４２５については、ＤＨＣＰ情報登録プログラム４２４及び入出力装置５１０を介して、管理者等により入力された情報によって作成される。
【００３８】
さらに、ＣＰＵ４１０（プロセッサ）は、各プログラムが実行する複数の処理のそれぞれを実現する機能部としても動作する。なお、Ｓ／Ｗ制御部４００（特にＣＰＵ４１０）及びパケット転送部３００（特に転送先決定部３２０）を処理部と呼ぶことができる。
【００３９】
ホワイトリスト生成プログラム４２１は、後述するホワイトリスト生成状態中にパケットを受信すると、後述するホワイトリスト生成可否判断プログラム４２３がホワイトリストの生成を許可した場合に、転送先決定部３２０から受信した制御情報及びヘッダ情報から、ホワイトリストを生成しホワイトリスト格納メモリ３１０へと書き込む。
【００４０】
また、ホワイトリスト生成状態中にＤＨＣＰ情報テーブル４２５に登録されているエントリの更新やエントリの削除があった場合には、ＤＨＣＰ情報登録プログラム４２４からＤＨＣＰ情報テーブル４２５の変更通知を受けて、変更通知の情報により、ホワイトリスト格納メモリ３１０に登録されている情報の更新及び削除を行う。
【００４１】
転送設定プログラム４２２は、入出力装置５１０から入力された転送設定を転送設定メモリ３４０に書き込む。ホワイトリスト生成可否判断プログラム４２３は、ホワイトリスト生成状態中にパケットを受信すると、転送先決定部３２０から受信した制御情報及びヘッダ情報から、送信元ＩＰアドレス、送信元ＭＡＣアドレス、送信先ＩＰアドレス及び送信先ＭＡＣアドレスの情報を取得する。そして、取得した送信元ＭＡＣアドレスでＤＨＣＰ情報テーブル４２５を検索し、当該のＭＡＣアドレスが存在した場合、当該エントリに登録されているＩＰアドレスと取得した送信元ＩＰアドレスを比較する。
【００４２】
比較の結果、同じＩＰアドレスであれば、取得した送信先ＭＡＣアドレスでＤＨＣＰ情報テーブル４２５を検索し、当該のＭＡＣアドレスが存在した場合、当該エントリに登録されているＩＰアドレスと、取得した送信先ＩＰアドレスを比較する。比較の結果、同じＩＰアドレスであれば、ホワイトリスト生成プログラム４２１に対し受信したパケットのホワイトリスト生成を許可する信号を送信する。
【００４３】
取得した送信元ＭＡＣアドレスや送信先ＭＡＣアドレスの情報がＤＨＣＰ情報テーブル４２５に存在しない場合や、比較したＩＰアドレスが異なった場合は、ホワイトリスト生成プログラム４２１に対し受信したパケットのホワイトリスト生成を許可する信号を送信しない。
【００４４】
尚、ホワイトリスト生成可否判断プログラム４２３がＤＨＣＰ情報テーブル４２５を検索する順番については、送信先ＭＡＣアドレスでの検索を先に実施してもよいし、検索キーについても、送信元ＭＡＣアドレスと送信元ＩＰアドレス、送信先ＭＡＣアドレスと送信先ＩＰアドレスの組合せになっていれば、送信元ＩＰアドレス、送信先ＩＰアドレスを検索キーとしてもよい。
【００４５】
ＤＨＣＰ情報登録プログラム４２４は、ＤＨＣＰサーバ６００とＤＨＣＰクライアント７００の間でやり取りされるＤＨＣＰによる通信から、ＤＨＣＰサーバ６００によってＤＨＣＰクライアント７００へと割り当てられるＩＰアドレスと、ＤＨＣＰクライアント７００のＭＡＣアドレスの組合せ及びＩＰアドレスに対するリースタイマを抽出する。そして、ＤＨＣＰ情報テーブル４２５をＤＨＣＰクライアント７００のＭＡＣアドレスをキーに検索する。ＤＨＣＰ情報テーブル４２５にＤＨＣＰクライアント７００のＭＡＣアドレスに関するエントリがなければ、ＤＨＣＰ情報登録プログラム４２４は、ＤＨＣＰ情報テーブル４２５に新しいエントリを作成し作成した情報を格納する。
【００４６】
ＤＨＣＰ情報テーブル４２５に既に当該のＤＨＣＰクライアント７００のＭＡＣアドレスに対するエントリが存在する場合には、ＤＨＣＰ情報登録プログラム４２４は、ＤＨＣＰ情報テーブル４２５をＩＰアドレス情報及びリースタイマを抽出した情報へと更新する。
【００４７】
尚、リースタイマについては情報が格納されたタイミングから残り時間に対する減算が行われていき、残り時間が０になったタイミングで後述するエントリの削除処理が実行される。
【００４８】
また、ＤＨＣＰ情報テーブル４２５のエントリの更新やエントリの削除があった場合には、ホワイトリスト生成プログラム４２１に対し、ＤＨＣＰ情報テーブル４２５の変更通知を送信する。変更通知には、更新時は、更新前と更新後のエントリの情報、削除時には、削除されたエントリの情報が含まれる。
【００４９】
図２を参照して、ホワイトリスト格納メモリ３１０に格納されるホワイトリストの一例について説明する。図２の例ではホワイトリストはｎ個のエントリを含む。ホワイトリストの各エントリは、複数のパラメータを含む。複数のパラメータそれぞれは、パケット送受信部２００から受信したパケットから転送先決定部３２０が抽出した制御情報又はヘッダ情報である。
【００５０】
エントリ８００は、ホワイトリストに含まれるエントリの一例である。エントリ８００は、例えば、それぞれパケットの制御情報を示すパラメータである、パケット受信部番号８０１及びＶＬＡＮ番号８０２を含む。エントリ８００は、例えば、それぞれパケットのヘッダ情報を示すパラメータであるＳｏｕｃｅ  Ｍａｃ  Ａｄｄｒｅｓｓ８０３、Ｄｅｓｔｉｎａｔｉｏｎ  Ｍａｃ  Ａｄｄｒｅｓｓ８０４、Ｐｒｏｔｏｃｏｌ８０５、Ｓｏｕｒｃｅ  ＩＰ  Ａｄｄｒｅｓｓ８０６、Ｄｅｓｔｉｎａｔｉｏｎ  ＩＰ  Ａｄｄｒｅｓｓ８０７、Ｓｏｕｒｃｅ  ｐｏｒｔ番号８０８及びＤｅｓｔｉｎａｔｉｏｎ  Ｐｏｒｔ番号８０９を含む。
【００５１】
パケット送受信部番号８０１は、パケット送受信部２００それぞれを一意に識別する番号である。パケット送受信部番号８０１により、パケットを受信したパケット送受信部２００が特定される。ＶＬＡＮ番号８０２は、パケット送受信部２００が所属するＶＬＡＮを一意に識別する番号である。
【００５２】
Ｓｏｕｒｃｅ  Ｍａｃ  Ａｄｄｒｅｓｓ８０３は、パケットの送信元Ｍａｃアドレスを示す。Ｄｅｓｔｉｎａｔｉｏｎ  Ｍａｃ  Ａｄｄｒｅｓｓ８０４は、パケットの宛先Ｍａｃアドレスを示す。ｐｒｏｔｏｃｏｌ８０５は、プロトコルの種類を示す。Ｓｏｕｒｃｅ  ＩＰ  Ａｄｄｒｅｓｓ８０６は、パケットの送信元ＩＰアドレスを示す。Ｄｅｓｔｉｎａｔｉｏｎ  ＩＰ  Ａｄｄｒｅｓｓ８０７は、パケットの宛先ＩＰアドレスを示す。Ｓｏｕｒｃｅ  ｐｏｒｔ番号８０８は、パケットの送信元ポート番号を示す。Ｄｅｓｔｉｎａｔｉｏｎ  ｐｏｒｔ番号８０９は、パケットの宛先ポート番号を示す。
【００５３】
尚、エントリ８００は、図２のパラメータ８０１〜８０９の例に限らず、１種類以上の制御情報を示すパラメータと、Ｓｏｕｒｃｅ  ＩＰ  Ａｄｄｒｅｓｓ８０６及びＤｅｓｔｉｎａｔｉｏｎ  ＩＰ  Ａｄｄｒｅｓｓ８０７を含む複数種類のヘッダ情報を示すパラメータとを含めばよい。エントリ８００は、例えば、前述したヘッダ情報を示すパラメータに加えて又は代えて、ＴＯＳ（Ｔｙｐｅ  Ｏｆ  Ｓｅｒｖｉｃｅ）、フラグ、ＴＴＬ（Ｔｉｍｅ  Ｔｏ  Ｌｉｖｅ）、ＩＤ、バージョン、及びヘッダ値等のヘッダ情報を含んでもよい。
【００５４】
図３を参照して、ＤＨＣＰ情報テーブル４２５に格納される情報の一例について説明する。
【００５５】
図３の例では、ＤＨＣＰ情報テーブル４２５はｍ個のエントリを含む。ＤＨＣＰ情報テーブル４２５の各エントリは複数のパラメータを含む。複数のパラメータそれぞれは、ＤＨＣＰサーバ６００からパケット送受信部２００を介して転送先決定部３２０が受信したＤＨＣＰ  ＡＣＫパケットから抽出した情報である。ＤＨＣＰ  ＡＣＫパケットにはＩＰアドレスを割り当てるＤＨＣＰクライアント７００のＭＡＣアドレス、ＤＨＣＰクライアント７００に割り当てるＩＰアドレス及びＩＰアドレスに対するリースタイマが含まれる。
【００５６】
尚、リースタイマは、ＤＨＣＰサーバ６００がＤＨＣＰ  ＡＣＫパケットを送出する際に、ＤＨＣＰ  ＡＣＫパケットにプリセットする情報である。エントリ９００は、ＤＨＣＰ情報テーブル４２５に含まれるエントリの一例である。Ｍａｃ  Ａｄｄｒｅｓｓ９０１は、ＤＨＣＰ  ＡＣＫパケットに含まれるＩＰアドレスを割り当てるＤＨＣＰクライアント７００のＭＡＣアドレスである。ＩＰ  Ａｄｄｒｅｓｓ９０２は、ＤＨＣＰ  ＡＣＫパケットに含まれる当該のＤＨＣＰクライアント７００に割り当てるＩＰアドレスである。リースタイマ９０３は、当該のＩＰアドレスに対する有効期限を格納する。
【００５７】
また、複数のパラメータそれぞれは、入出力装置５１０から入出力インタフェース５００を介して、管理者等により情報を書き込むことができ、ＤＨＣＰによるＩＰアドレスの割当てサービスを受けない固定ＩＰアドレスを持つクライアント７１０についてもＤＨＣＰ情報テーブル４２５に登録できる。
【００５８】
図４を参照して、転送設定メモリ３４０が保持する転送設定情報の一例について説明する。
【００５９】
転送設定情報は、例えば、転送設定の種別を示す保持情報５０１、保持情報５０１の状態を示す保持内容５０２及び保持内容５０２の初期状態を示す初期状態５０３を含む。図４において、保持内容５０２を示す各セルには「／」で区切られた複数の値が記載されているが、実際には複数の値のいずれか１つが格納される。初期状態５０３は、対応する保持内容５０２に記載されている複数の値のいずれか１つを格納する。
【００６０】
以下、転送設定情報に従ったパケット中継装置１００の動作の概略の一例を説明する。
【００６１】
転送先決定部３２０はパケットを受信すると、レコード５０４の保持内容５０２が、ホワイトリストの生成を行う生成状態であるか、ホワイトリストによる通信制御を行う運用状態であるかを判定する。
【００６２】
以下、レコード５０４の保持内容５０２が生成状態である場合の動作例を説明する。
【００６３】
転送先決定部３２０は、パケット送受信部２００から受信したパケットが、ＤＨＣＰ以外のパケットであった場合、通常のパケット中継装置と同様にパケットの転送を行いながら、受信したパケットの所定のヘッダ情報及び所定の制御情報をホワイトリスト生成プログラム４２１とホワイトリスト生成可否判断プログラム４２３に送信する。
【００６４】
ホワイトリスト生成可否判断プログラム４２３は、転送先決定部３２０から受信したパケットの所定のヘッダ情報及び所定の制御情報から送信元ＭＡＣアドレス、送信元ＩＰアドレス、送信先ＭＡＣアドレス及び送信先ＩＰアドレスを抽出して、抽出した送信元ＭＡＣアドレスでＤＨＣＰ情報テーブル４２５を検索する。当該ＭＡＣアドレスが登録されていた場合に、当該エントリに登録されているＩＰアドレスと、抽出した送信先ＩＰアドレスを比較し同じＩＰアドレスであれば、抽出した送信先ＭＡＣアドレスでＤＨＣＰ情報テーブル４２５を検索する。当該ＭＡＣアドレスが登録されていた場合に、当該エントリに登録されているＩＰアドレスと、抽出した送信先ＩＰアドレスを比較し、同じＩＰアドレスであれば、ホワイトリスト生成プログラム４２１にホワイトリストの生成を許可する信号を送信する。
【００６５】
ホワイトリスト生成可否判断プログラム４２３からホワイトリストの生成を許可する信号を受けた場合に、ホワイトリスト生成プログラム４２１は、転送先決定部３２０から受信したヘッダ情報及び制御情報（８０１〜８０９）からホワイトリストのパラメータを抽出し、抽出した情報をホワイトリスト格納メモリ３１０へ書き込む。
【００６６】
また、ホワイトリスト生成可否判断プログラム４２３で、転送先決定部３２０から受信したパケットの所定のヘッダ情報及び所定の制御情報から抽出した送信元ＭＡＣアドレス又は送信先ＭＡＣアドレスあるいはその両方がＤＨＣＰ情報テーブル４２５に登録されていない場合、抽出した送信元ＭＡＣアドレス及び送信先ＭＡＣアドレスはＤＨＣＰ情報テーブル４２５に登録されていたが、当該エントリに登録されているＩＰアドレスと抽出したＩＰアドレスが異なるＩＰアドレスであった場合については、ホワイトリスト生成プログラム４２１にホワイトリストの生成を許可する信号を送信せず、ホワイトリストの生成も行われない。
【００６７】
また、転送先決定部３２０が受信したパケットがＤＨＣＰ  ＡＣＫパケットであった場合、通常のパケット中継装置と同様にパケットの転送を行いながら、ＤＨＣＰ情報登録プログラム４２４がＤＨＣＰ情報テーブル４２５にエントリの登録及びエントリの更新を行う。また、この時、エントリの更新であったならば、ＤＨＣＰ情報登録プログラム４２４は、エントリの変更通知をエントリの更新前と更新後の情報と共にホワイトリスト生成プログラム４２１に送信する。
【００６８】
変更通知を受信したホワイトリスト生成プログラム４２１は、変更通知に含まれるエントリの更新前の情報で、ホワイトリスト格納メモリ３１０を検索し、検索の結果、ヒットした時は、変更通知に含まれる更新後の情報に書換えを実施する。検索の結果、ヒットしない時は、ホワイトリスト格納メモリ３１０の書換えは実施しない。
【００６９】
また、転送先決定部３２０が受信したパケットがＤＨＣＰ  ＲＥＬＥＡＳＥパケットであった場合、通常のパケット中継装置と同様にパケットの転送を行いながら、ＤＨＣＰ情報登録プログラム４２４がＤＨＣＰ情報テーブル４２５にエントリの削除を行う。この時、ＤＨＣＰ情報登録プログラム４２４は、エントリの変更通知を削除したエントリの情報と共にホワイトリスト生成プログラム４２１に送信する。変更通知を受信したホワイトリスト生成プログラム４２１は、変更通知に含まれる削除したエントリの情報で、ホワイトリスト格納メモリ３１０を検索する。検索の結果、ヒットした時は、ヒットしたエントリの削除を実施する。検索の結果、ヒットしない時は、ホワイトリスト格納メモリ３１０のエントリの削除は実施しない。
【００７０】
尚、ＤＨＣＰ情報テーブル４２５に登録されているエントリのリースタイマが０となり、エントリの削除処理が実施された場合は、ＤＨＣＰ情報登録プログラム４２４がエントリの削除を検知し、エントリの変更通知を削除されたエントリの情報と共にホワイトリスト生成プログラム４２１に送信する。変更通知を受信したホワイトリスト生成プログラム４２１は、変更通知に含まれる削除されたエントリの情報で、ホワイトリスト格納メモリ３１０を検索する。検索の結果、ヒットした時は、ヒットしたエントリの削除を実施する。検索の結果、ヒットしない時は、ホワイトリスト格納メモリ３１０のエントリの削除は実施しない。
【００７１】
以下、レコード５０４の保持内容５０２が運用状態である場合の動作例を説明する。
【００７２】
転送先決定部３２０は、パケット送受信部２００から受信したパケットが、ＤＨＣＰ以外のパケットであった場合、パケット情報がホワイトリスト格納Ｈ／Ｗメモリ３１０に格納されたホワイトリストに登録済みか否かを判定する。当該パケット情報がホワイトリストに登録済みの場合、転送先決定部３２０は、受信したパケットに対して、通常のパケット中継装置と同様にパケットの転送を行う。
【００７３】
当該パケット情報がホワイトリストに登録済みでない場合、転送先決定部３２０はパケットを廃棄する。
【００７４】
尚、転送先決定部３２０が受信したパケットがＤＨＣＰに関連するパケットであった場合については、レコード５０４の保持内容５０２に関わらずホワイトリストの検索や登録外廃棄の対象外としてパケットの転送を行う。
【００７５】
図５を参照して、ＤＨＣＰサーバ６００及びＤＨＣＰクライアント７００間で、ＤＨＣＰを用いた通信を行った際に、パケットを中継するパケット中継装置１００内の動作について説明する。
【００７６】
ＤＨＣＰクライアント７００からＳ１でＤＨＣＰ  ＲＥＱＵＥＳＴパケットが送出され、パケット中継装置１００で受信すると、Ｓ２でパケット転送部３００は、パケットの転送を行う。ＤＨＣＰクライアント７００からＤＨＣＰ  ＲＥＱＵＥＳＴパケットを受取ったＤＨＣＰサーバ６００はＳ３でＤＨＣＰ  ＡＣＫパケットを送出しパケット中継装置１００で受信すると、Ｓ４でパケット転送部３００はパケットの転送を行う。さらに、Ｓ５でＤＨＣＰ  ＡＣＫパケット内に格納されているＤＨＣＰクライアント７００のＭＡＣアドレス、ＤＨＣＰクライアント７００へ割り当てられるＩＰアドレス及びリースタイマを抽出し、Ｓ／Ｗ制御部４００へと送信する。
【００７７】
ＤＨＣＰ情報を受信したＳ／Ｗ制御部４００は、Ｓ６でＤＨＣＰ情報テーブル４２５への登録またはＤＨＣＰ情報テーブル４２５の更新を行う。この時の処理が、ＤＨＣＰ情報テーブル４２５の更新であった場合は、ホワイトリスト格納メモリ３１０に登録されているエントリの更新も併せて実施する。
【００７８】
また、ＤＨＣＰクライアント７００からＳ７でＤＨＣＰ  ＲＥＬＥＡＳＥパケットが送出され、パケット中継装置１００で受信すると、Ｓ８でパケット転送部３００はパケットの転送を行う。さらに、Ｓ９でＤＨＣＰ  ＲＥＬＥＡＳＥパケット内に格納されている情報（例えば、ＤＨＣＰクライアント７００のＭＡＣアドレス、ＤＨＣＰクライアント７００へ割り当てられていたＩＰアドレスなど）を抽出し、Ｓ／Ｗ制御部４００へと送信する。ＤＨＣＰ情報を受信したＳ／Ｗ制御部４００は、Ｓ１０でＤＨＣＰ情報テーブル４２５に登録されているエントリの削除を行う。この時、ホワイトリスト格納メモリ３１０に登録されているエントリの削除も併せて実施する。
【００７９】
図６を参照して、保持内容５０２が生成状態である場合に、異なる送受信部番号のパケット送受信部２００にそれぞれ接続されたＤＨＣＰクライアント７００間で通信を行った際に、パケットを中継するパケット中継装置１００内の動作について説明する。尚、図６のパケット受信時の動作に関しては、図７Ａ〜図７Ｃを用いて別途説明する。
【００８０】
ＤＨＣＰクライアント７００からＳ１でパケットが送出され、パケット中継装置１００で受信すると、Ｓ２でパケット転送部３００は、パケットの転送を行う。さらに、Ｓ３で受信したパケットから所定のヘッダ情報及び所定の制御情報を抽出しＳ／Ｗ制御部４００へと送信する。ＤＨＣＰ情報を受信したＳ／Ｗ制御部は、Ｓ４でホワイトリストの生成可否判断を行い、ホワイトリストの生成が許可された場合にホワイトリストの生成を行う。
【００８１】
図７Ａ〜図７Ｃを参照して、パケット受信時の動作について説明する。尚、図７Ａ〜図７Ｃついては、以下の説明の通り、図７Ａ、図７Ｂ、図７Ｃの順番にシーケンシャルに動作が実行されるものとする。
【００８２】
まず、図７Ａを参照して、パケット中継装置１００のパケット転送部３００がパケットを受信した際の動作について説明する。
【００８３】
ステップ１００１で、転送先決定部３２０は、パケット内の所定のヘッダ情報及び所定の制御情報を抽出する。その後、転送先決定部３２０は、ステップ１００２で抽出した情報（例えば、ＭＡＣアドレス情報）をホワイトリスト生成プログラム４２１とホワイトリスト生成可否判断プログラム４２３へ送信する。
【００８４】
次に、図７Ｂを参照して、実施例１において、パケット中継装置１００のホワイトリスト生成可否判断プログラム４２３がパケット転送部３００からパケット情報を受信し、ホワイトリスト生成の可否判断を行う際の動作について説明する。
【００８５】
ステップ１００３では、ホワイトリスト生成可否判断プログラム４２３は、ステップ１００３で転送先決定部３２０から受信したパケット内の所定のヘッダ情報及び所定の制御情報から送信元ＭＡＣアドレス、送信元ＩＰアドレス、送信先ＭＡＣアドレス及び送信先ＩＰアドレスを抽出する。
【００８６】
ステップ１００４では、抽出した送信元ＭＡＣアドレスをキーとし、ＤＨＣＰ情報テーブル４２５を検索する。ホワイトリスト生成可否判断プログラム４２３は、ステップ１００５で検索の結果ＨＩＴした場合には、ステップ１００６へと進み、ＨＩＴしなかった場合には、処理を終了する。
【００８７】
ホワイトリスト生成可否判断プログラム４２３は、ステップ１００６でＤＨＣＰ情報テーブル４２５のＨＩＴしたエントリに登録されているＩＰアドレスと抽出した送信元ＩＰアドレスを比較する。
【００８８】
ホワイトリスト生成可否判断プログラム４２３は、ステップ１００７で比較した結果、同じＩＰアドレスの場合にはステップ１００８へと進み、異なるＩＰアドレスだった場合には処理を終了する。
【００８９】
ホワイトリスト生成可否判断プログラム４２３は、ステップ１００８で抽出した送信先ＭＡＣアドレスをキーとし、ＤＨＣＰ情報テーブル４２５を検索する。ホワイトリスト生成可否判断プログラム４２３は、ステップ１００９で検索の結果ＨＩＴした場合にはステップ１０１０へと進み、ＨＩＴしなかった場合には処理を終了する。
【００９０】
ホワイトリスト生成可否判断プログラム４２３は、ステップ１０１０でＤＨＣＰ情報テーブル４２５のＨＩＴしたエントリに登録されているＩＰアドレスと抽出した送信先ＩＰアドレスを比較する。ホワイトリスト生成可否判断プログラム４２３は、ステップ１０１１で比較した結果、同じＩＰアドレスの場合には、ステップ１０１２へと進み、ホワイトリスト生成プログラム４２１にホワイトリストへの登録許可信号を送信する。また、異なるＩＰアドレスだった場合には処理を終了する。
【００９１】
尚、実施例１では、送信元ＭＡＣアドレスをキーにし、エントリに登録されているＩＰアドレスと送信元ＩＰアドレスを比較する処理（ステップ１００４〜ステップ１００７）と、送信先ＭＡＣアドレスをキーにし、エントリに登録されているＩＰアドレスと送信先ＩＰアドレスを比較する処理（ステップ１００８〜ステップ１０１１）とをシーケンシャルに実施しているが、この２つの処理は順番に依らず、シーケンシャルに実施してもパラレルに実施してもよい。
【００９２】
最後に、図７Ｃを参照して、パケット中継装置１００のホワイトリスト生成プログラム４２１がパケット転送部３００からパケット情報を受信し、ホワイトリストの生成を行う際の動作について説明する。
【００９３】
ホワイトリスト生成プログラム４２１は、ステップ１０１３で転送先決定部３２０から受信したパケット内の所定のヘッダ情報及び所定の制御情報を受信する。
【００９４】
ステップ１０１４では、ホワイトリスト生成可否判断プログラム４２３からホワイトリストへの登録許可信号を受信しているか判断し、ステップ１０１５で登録許可信号を受信していた場合にはステップ１０１６へと進み、転送先決定部３２０から受信したパケット内の所定のヘッダ情報及び所定の制御情報からホワイトリストを生成する。受信していない場合には、ステップ１０１７へ進み、ホワイトリストを生成せず処理を終える。
【００９５】
パケットの受信毎に、図７Ａ、図７Ｂ、図７Ｃの順番に動作を繰り返し実施することで、ＤＨＣＰ情報テーブル４２５に登録された信頼性の高いクライアントのみの通信を許可する高セキュリティなホワイトリストの生成が可能となる。
【００９６】
図８を参照して、転送設定プログラム４２２が入出力装置５１０から入力を受け付ける転送設定に関する命令の一例について説明する。
【００９７】
転送設定に関する命令は、例えば、命令の種別を示す命令種別１２０１、命令種別１２０１が示す命令による設定内容を示す設定内容１２０２及び設定内容１２０２の初期状態を示す初期状態１２０３を含む。
【００９８】
レコード１２０４が示す命令は、レコード５０４が示す転送設定を変更する命令である。レコード１２０４の命令種別１２０１、設定内容１２０２及び初期状態１２０３は、レコード５０４の保持情報５０１、保持内容５０２及び初期状態５０３に対応する。
【００９９】
尚、入出力装置５１０から転送設定プログラム４２２がホワイトリストの生成状態から運用状態へと変更する命令を受け付けた場合には、転送設定プログラム４２２からホワイトリスト生成可否判断プログラム４２３及びホワイトリスト生成プログラム４２１へと命令を受け付けた旨の連絡を出す。連絡を受けたホワイトリスト生成可否判断プログラム４２３は、図７Ｂの処理（あるいは後述の図９の処理）を停止し、ホワイトリスト生成プログラム４２１は図７Ｃの処理を停止する。
【０１００】
また、転送設定プログラム４２２が入出力装置５１０から入力を受け付ける転送設定に関する命令については、一例であり、例えばＤＨＣＰ情報テーブル４２５についても、転送設定プログラム４２２を経由してエントリの追加、修正及び削除などができるようにしてもよい。
【実施例２】
【０１０１】
図９を参照して、実施例２において、パケット中継装置１００のホワイトリスト生成可否判断プログラム４２３がパケット転送部３００からパケット情報を受信し、ホワイトリスト生成の可否判断を行う際の動作について説明する。
【０１０２】
尚、実施例１では、図７Ｂに示すように送信元ＭＡＣアドレスと送信先ＭＡＣアドレスをキーにしてＤＨＣＰ情報テーブル４２５を検索していた。これに対して、実施例２では、図９に示すように送信元ＩＰアドレスと送信先ＩＰアドレスをキーにしてＤＨＣＰ情報テーブル４２５を検索する。尚、図７Ａ及び図７Ｃに示された処理は、実施例２にもそのまま適用可能なのでその説明は省略する。
【０１０３】
図９に示すように、ホワイトリスト生成可否判断プログラム４２３は、ステップ２００３で転送先決定部３２０から受信したパケット内の所定のヘッダ情報及び所定の制御情報から送信元ＭＡＣアドレス、送信元ＩＰアドレス、送信先ＭＡＣアドレス及び送信先ＩＰアドレスを抽出する。ステップ２００４では、抽出した送信元ＩＰアドレスをキーとし、ＤＨＣＰ情報テーブル４２５を検索する。
【０１０４】
ホワイトリスト生成可否判断プログラム４２３は、ステップ２００５で検索の結果ＨＩＴした場合には、ステップ２００６へと進み、ＨＩＴしなかった場合には処理を終了する。ホワイトリスト生成可否判断プログラム４２３は、ステップ２００６でＤＨＣＰ情報テーブル４２５のＨＩＴしたエントリに登録されているＭＡＣアドレスと抽出した送信元ＭＡＣアドレスを比較する。
【０１０５】
ホワイトリスト生成可否判断プログラム４２３は、ステップ２００７で比較した結果、同じＭＡＣアドレスの場合にはステップ２００８へと進み、異なるＭＡＣアドレスだった場合には処理を終了する。
【０１０６】
ステップ２００８では、ホワイトリスト生成可否判断プログラム４２３は、ステップ２００８で抽出した送信先ＩＰアドレスをキーとし、ＤＨＣＰ情報テーブル４２５を検索する。ホワイトリスト生成可否判断プログラム４２３は、ステップ２００９で検索の結果ＨＩＴした場合にはステップ２０１０へと進み、ＨＩＴしなかった場合には処理を終了する。
【０１０７】
ホワイトリスト生成可否判断プログラム４２３は、ステップ２０１０でＤＨＣＰ情報テーブル４２５のＨＩＴしたエントリに登録されているＭＡＣアドレスと抽出した送信先ＭＡＣアドレスを比較する。ホワイトリスト生成可否判断プログラム４２３は、ステップ２０１１で比較した結果、同じＭＡＣアドレスの場合にはステップ２０１２へと進み、ホワイトリスト生成プログラム４２１にホワイトリストへの登録許可信号を送信する。また、異なるＭＡＣアドレスだった場合には処理を終了する。
【０１０８】
尚、実施例２では、送信元ＩＰアドレスをキーにしてエントリに登録されているＭＡＣアドレスと送信元ＭＡＣアドレスを比較する処理（ステップ２００４〜ステップ２００７）と、送信先ＩＰアドレスをキーにしてエントリに登録されているＭＡＣアドレスと送信先ＭＡＣアドレスを比較する処理（ステップ２００８〜ステップ２０１１）とをシーケンシャルに実施しているが、この２つの処理は順番に依らず、シーケンシャルに実施してもパラレルに実施してもよい。
【０１０９】
パケットの受信毎に、図７Ａ、図９、図７Ｃの順番に動作を繰り返し実施することで、ＤＨＣＰ情報テーブル４２５に登録された信頼性の高いクライアントのみの通信を許可する高セキュリティなホワイトリストの生成が可能となる。
【０１１０】
なお、以上では、サーバがクライアントからアドレス配布要求を受け、サーバからクライアントに対しＩＰアドレスの動的割当てをするＤＨＣＰを用いる場合を例に説明した。しかし、本発明は、ＩＰアドレスの動的割当てを行うことが可能ならば、ＤＨＣＰに限らず、ＤＨＣＰ以外の様々なプロトコルを用いることが可能である。
【符号の説明】
【０１１１】
１００  パケット中継装置
２００  パケット送受信部
３００  パケット転送部
３１０  ホワイトリスト格納メモリ
３２０  転送先決定部
３３０  転送テーブルメモリ
３４０  転送設定メモリ
４００  Ｓ／Ｗ制御部
４１０  ＣＰＵ
４２０  Ｓ／Ｗメモリ
４２１  ホワイトリスト生成プログラム
４２２  転送設定プログラム
４２３  ホワイトリスト生成可否判断プログラム
４２４  ＤＨＣＰ情報登録プログラム
４２５  ＤＨＣＰ情報テーブル
５００  入出力インタフェース
５１０  入出力装置
６００  ＤＨＣＰサーバ
７００  ＤＨＣＰクライアント
７１０  固定ＩＰアドレスを持つクライアント
【図１】
2020017809.tif 000003
【図２】
2020017809.tif 000004
【図３】
2020017809.tif 000005
【図４】
2020017809.tif 000006
【図５】
2020017809.tif 000007
【図６】
2020017809.tif 000008
【図７Ａ】
2020017809.tif 000009
【図７Ｂ】
2020017809.tif 000010
【図７Ｃ】
2020017809.tif 000011
【図８】
2020017809.tif 000012
【図９】
2020017809.tif 000013