(57)【要約】【課題】本開示は、低価格なアクセスブリッジ装置で構成されたＮＷでも、高階層な防御（ＦＷとアクセスリンクの２段）を可能にすることを目的とする。【解決手段】本開示は、アクセスブリッジ装置からＭＡＣアドレスを取得するパケット受信部３３と、ＭＡＣアドレスのホワイトリスト３１ａを保持するホワイトリスト保持部３１と、ＭＡＣアドレスがホワイトリスト３１ａに含まれるかを判定する比較部３２と、ホワイトリスト３１ａに含まれるパケットを転送するパケット送信部３５と、ホワイトリスト３１ａに含まれないパケットを廃棄するパケット廃棄部３４と、ホワイトリスト３１ａに含まれないＭＡＣアドレスが発見された場合、ホワイトリスト３１ａに含まれないＭＡＣアドレスを送信元とするパケットの通信を遮断させる外部機器制御部３６と、を備えるパケット制御装置である。【選択図】図３
2018064228.tif 000002
【特許請求の範囲】
【請求項１】
アクセスブリッジ装置（４）から送信されたパケットを受信し、当該パケットから送信元の装置識別子を取得するパケット受信部（３３）と、
前記アクセスブリッジ装置（４）に接続されている端末装置の装置識別子のホワイトリスト（３１ａ）を保持するホワイトリスト保持部（３１）と、
前記パケット受信部（３３）の取得した装置識別子が前記ホワイトリスト（３１ａ）に含まれているか否かを判定する比較部（３２）と、
送信元の装置識別子が前記ホワイトリスト（３１ａ）に含まれているパケットを、宛先に向けてパケットを転送するパケット送信部（３５）と、
送信元の装置識別子が前記ホワイトリスト（３１ａ）に含まれていないパケットを廃棄するパケット廃棄部（３４）と、
前記比較部（３２）において前記ホワイトリスト（３１ａ）に含まれていない装置識別子が発見された場合、前記アクセスブリッジ装置（４）の保持するパケット転送制御用テーブルを用いて、当該装置識別子が格納されているパケット転送制御用テーブルを保持する前記アクセスブリッジ装置（４）に対し、前記ホワイトリスト（３１ａ）に含まれていない装置識別子を送信元とするパケットの通信を遮断させる外部機器制御部（３６）と、
を備えるパケット制御装置。
【請求項２】
前記アクセスブリッジ装置は、Ｌ２スイッチであり、
前記パケット転送制御用テーブルは、各ポートに接続されている前記端末装置の装置識別子を格納し、
前記外部機器制御部は、前記比較部において前記ホワイトリストに含まれていない装置識別子が発見された場合、前記ホワイトリストに含まれていない装置識別子に対応するポートを閉鎖する、
請求項１に記載のパケット制御装置。
【請求項３】
前記アクセスブリッジ装置は、Ｌ２スイッチであり、
前記パケット転送制御用テーブルは、各ポートに接続されている前記端末装置の装置識別子を格納し、
前記外部機器制御部は、前記比較部において前記ホワイトリストに含まれていない装置識別子が発見された場合、前記ホワイトリストに含まれていない装置識別子を遮断する、
請求項１に記載のパケット制御装置。
【請求項４】
前記アクセスブリッジ装置は、無線アクセスポイントであり、
前記パケット転送制御用テーブルは、各チャネルに接続されている前記端末装置の装置識別子を格納し、
前記外部機器制御部は、前記比較部において前記ホワイトリストに含まれていない装置識別子が発見された場合、前記ホワイトリストに含まれていない装置識別子を遮断する、
請求項１に記載のパケット制御装置。
【請求項５】
前記端末装置は、コンピュータ、カメラ又はセンサを含む、
請求項１から４のいずれかに記載のパケット制御装置。
【請求項６】
パケット受信部（３３）が、アクセスブリッジ装置（４）から送信されたパケットを受信し、当該パケットから送信元の装置識別子を取得するパケット受信手順と、
比較部（３２）が、前記アクセスブリッジ装置（４）に接続されている端末装置の装置識別子のホワイトリスト（３１ａ）を参照し、前記パケット受信部（３３）の取得した装置識別子が前記ホワイトリスト（３１ａ）に含まれているか否かを判定する比較手順と、
パケット送信部（３５）が、送信元の装置識別子が前記ホワイトリスト（３１ａ）に含まれているパケットを、宛先に向けてパケットを転送するパケット送信手順と、
パケット廃棄部（３４）が、送信元の装置識別子が前記ホワイトリスト（３１ａ）に含まれていないパケットを廃棄するパケット廃棄手順と、
外部機器制御部（３６）が、前記比較部（３２）において前記ホワイトリスト（３１ａ）に含まれていない装置識別子が発見された場合、前記アクセスブリッジ装置（４）の保持するパケット転送制御用テーブルを用いて、当該装置識別子が格納されているパケット転送制御用テーブルを保持する前記アクセスブリッジ装置（４）に対し、前記ホワイトリスト（３１ａ）に含まれていない装置識別子を送信元とするパケットの通信を遮断させる外部機器制御手順と、
を実行するパケット制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は、パケット制御装置及びパケット制御方法に関する。
【背景技術】
【０００２】
ＩＰネットワーク用のパケット転送装置が提案されている（例えば、特許文献１参照。）。特許文献１のパケット転送装置は、パケット転送装置を介して通信できる端末又はサーバのアドレスを保持するアドレステーブルを備える。
【０００３】
特許文献１のパケット転送装置は、パケットの送信元のアドレスがアドレステーブルに保持されている場合、当該パケットを転送する。一方、パケットの送信元のアドレスがアドレステーブルに保持されていない場合、当該パケットを転送しない。これにより、特許文献１のパケット転送装置は、パケット転送装置のバックボーンに接続されているバックボーンネットワークへの不正なパケットの流入を防ぐ。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１５−１５９４８２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
特許文献１のパケット転送装置は、端末やサーバに直接接続されている。このため、端末やサーバとバックボーンネットワークとの間にＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）が構築されている場合、端末やサーバの数に合わせて特許文献１のパケット転送装置を配置する必要がある。このように、特許文献１のパケット転送装置は、ネットワーク全体を同一メーカーのパケット転送装置で統一しなければならないため、ネットワークの変更が大がかりとなり、投資がかさんでしまう。
【０００６】
ファイアーウォール装置と低価格なアクセスブリッジ装置のネットワークがＬＡＮに使用されている。侵入ＰＣの通信を遮断するのがファイアーウォール装置である。アクセスブリッジ装置は、パケット転送機能を有する任意の装置を含み、例えば、Ｌ２スイッチ、無線アクセスポイントが例示できる。しかし、ファイアーウォール装置は、特許文献１のパケット転送装置と同様に、バックボーンネットワークへの侵入は防げるが、ＬＡＮへの侵入を防ぐことはできない。
【０００７】
そこで、本開示は、低価格なアクセスブリッジ装置で構成されたネットワークであっても、バックボーンネットワークへの侵入を防ぐとともにアクセスブリッジ装置への侵入を防ぐ、高階層な防御を可能にすることを目的とする。
【課題を解決するための手段】
【０００８】
具体的には、本開示のパケット制御装置は、
アクセスブリッジ装置（４）から送信されたパケットを受信し、当該パケットから送信元の装置識別子を取得するパケット受信部（３３）と、
前記アクセスブリッジ装置（４）に接続されている端末装置の装置識別子のホワイトリスト（３１ａ）を保持するホワイトリスト保持部（３１）と、
前記パケット受信部（３３）の取得した装置識別子が前記ホワイトリスト（３１ａ）に含まれているか否かを判定する比較部（３２）と、
送信元の装置識別子が前記ホワイトリスト（３１ａ）に含まれているパケットを、宛先に向けてパケットを転送するパケット送信部（３５）と、
送信元の装置識別子が前記ホワイトリスト（３１ａ）に含まれていないパケットを廃棄するパケット廃棄部（３４）と、
前記比較部（３２）において前記ホワイトリスト（３１ａ）に含まれていない装置識別子が発見された場合、前記アクセスブリッジ装置（４）の保持するパケット転送制御用テーブルを用いて、当該装置識別子が格納されているパケット転送制御用テーブルを保持する前記アクセスブリッジ装置（４）に対し、前記ホワイトリスト（３１ａ）に含まれていない装置識別子を送信元とするパケットの通信を遮断させる外部機器制御部（３６）と、を備える。
【０００９】
具体的には、本開示のパケット制御方法は、
パケット受信部（３３）が、アクセスブリッジ装置（４）から送信されたパケットを受信し、当該パケットから送信元の装置識別子を取得するパケット受信手順と、
比較部（３２）が、前記アクセスブリッジ装置（４）に接続されている端末装置の装置識別子のホワイトリスト（３１ａ）を参照し、前記パケット受信部（３３）の取得した装置識別子が前記ホワイトリスト（３１ａ）に含まれているか否かを判定する比較手順と、
パケット送信部（３５）が、送信元の装置識別子が前記ホワイトリスト（３１ａ）に含まれているパケットを、宛先に向けてパケットを転送するパケット送信手順と、
パケット廃棄部（３４）が、送信元の装置識別子が前記ホワイトリスト（３１ａ）に含まれていないパケットを廃棄するパケット廃棄手順と、
外部機器制御部（３６）が、前記比較部（３２）において前記ホワイトリスト（３１ａ）に含まれていない装置識別子が発見された場合、前記アクセスブリッジ装置（４）の保持するパケット転送制御用テーブルを用いて、当該装置識別子が格納されているパケット転送制御用テーブルを保持する前記アクセスブリッジ装置（４）に対し、前記ホワイトリスト（３１ａ）に含まれていない装置識別子を送信元とするパケットの通信を遮断させる外部機器制御手順と、を実行する。
【００１０】
なお、上記各開示は、可能な限り組み合わせることができる。
【発明の効果】
【００１１】
本開示によれば、低価格なアクセスブリッジ装置で構成されたネットワークであっても、バックボーンネットワークへの侵入を防ぐとともにアクセスブリッジ装置への侵入を防ぐ、高階層な防御（ＦＷとアクセスリンクの２段）を可能にすることができる。
【図面の簡単な説明】
【００１２】
【図１】実施形態１に係るパケット制御システムの概略構成図である。
【図２】実施形態１に係るホワイトリストの一例である。
【図３】実施形態１に係るファイアーウォール装置の構成の一例である。
【図４】実施形態１に係るＥｔｈｅｒｎｅｔ（登録商標）フレームのフレーム構造の一例である。
【図５】実施形態１に係るフォワーディングデータベースの一例である。
【図６】実施形態１に係るＬ２ＳＷ一覧の一例である。
【図７】実施形態１に係る外部機器制御部におけるＬ２ＳＷ制御のフローチャートである。
【図８】実施形態１に係るポート閉鎖制御の一例である。
【図９】実施形態２に係るパケット制御システムの概略構成図である。
【図１０】実施形態２に係るＬ２ＳＷ一覧の一例である。
【図１１】実施形態２に係る外部機器制御部におけるＬ２ＳＷ制御のフローチャートである。
【図１２】実施形態２に係るフィルタ制御の一例である。
【図１３】実施形態３に係るパケット制御システムの概略構成図である。
【発明を実施するための形態】
【００１３】
以下、本開示の実施形態について、図面を参照しながら詳細に説明する。なお、本開示は、以下に示す実施形態に限定されるものではない。これらの実施の例は例示に過ぎず、本開示は当業者の知識に基づいて種々の変更、改良を施した形態で実施することができる。なお、本明細書及び図面において符号が同じ構成要素は、相互に同一のものを示すものとする。
【００１４】
（実施形態１）
図１に、本実施形態に係るパケット制御システムの概略構成図を示す。本実施形態に係るパケット制御システムは、複数のＬ２スイッチ（以下、Ｌ２ＳＷ）４Ａ−１〜４Ａ−３と、パケット制御装置として機能するファイアーウォール装置３と、を備える。
【００１５】
Ｌ２ＳＷ４Ａ−１〜４Ａ−３は、ＬＡＮを構成するアクセスブリッジ装置として機能する。正規ＰＣ５−１及び５−２は、端末装置として機能し、Ｌ２ＳＷ４Ａ−２に接続されている。正規ＰＣ５−３及び５−４は、端末装置として機能し、Ｌ２ＳＷ４Ａ−３に接続されている。正規ＰＣ５は、固有の装置識別子を持つ任意の端末であり、コンピュータ、カメラ又はセンサなど、通信機能を有する任意の端末を含む。装置識別子は、端末を識別可能な任意の識別であり、例えば、ＭＡＣアドレスである。以下、装置識別子がＭＡＣアドレスである場合について説明する。
【００１６】
本実施形態では、ＬＡＮの一例として、Ｌ２ＳＷ４Ａ−１、Ｌ２ＳＷ４Ａ−２及び４Ａ−３がカスケード接続されている例を示すが、ＬＡＮ接続のトポロジはこれに限定されない。トポロジは、例えば、リング形状及びスター形状を含む。なお、本実施形態で使用するＬ２ＳＷ４Ａの台数を３台としたが、使用できるＬ２ＳＷ４Ａの台数は特に限定されるものではない。
【００１７】
ファイアーウォール装置３は、バックボーンネットワークとＬＡＮの間に接続されている。ファイアーウォール装置３は、多段防御アクセスファイアーウォールを実現し、Ｌ２ＳＷ４Ａ−１〜４Ａ−３の各ポートを検査する。これにより、侵入ＰＣ６がＬ２ＳＷ４Ａ−３に接続された場合、侵入ＰＣ６の接続ポートを発見し、遮断する。
【００１８】
まず、正規ＰＣ５−１〜５−４はバックボーンＮＷ２へＬ２ＳＷ４Ａ−１〜４Ａ−３及びファイアーウォール装置３を経由して通信を行う。このとき、Ｌ２ＳＷ４Ａ−１〜４Ａ−３はパケットに含まれるＭＡＣアドレスに基づいてパケットを転送する。ファイアーウォール装置３は、ＬＡＮ側から受信したパケットのソースＭＡＣアドレスがホワイトリスト３１ａに含まれるかどうかを検査し、ホワイトリスト３１ａに含まれないＭＡＣアドレスは侵入ＰＣであると断定する。ホワイトリスト３１ａに一致しない、侵入ＰＣ６のＭＡＣアドレスがソースＭＡＣに含まれるパケットを廃棄することにより、侵入ＰＣ６からバックボーンＮＷ２に通過しようとする通信を遮断する。
【００１９】
更に、ファイアーウォール装置３は、配下のＬ２ＳＷ４Ａ−１〜４Ａ−３にアクセスし、侵入ＰＣ６のＭＡＣアドレスがＬ２ＳＷ４Ａ−１〜４Ａ−３のフォワーディングデータベース（以下、ＦＤＢと称する。）に入っているかどうかを検索する。Ｌ２ＳＷ４Ａ−１〜４Ａ−３へのアクセスはＴＥＬＮＥＴや、ＳＮＭＰ（Ｓｉｍｐｌｅ  Ｎｅｔｗｏｒｋ  Ｍａｎａｇｅｍｅｎｔ  Ｐｒｏｔｏｃｏｌ）などのＬ２ＳＷ４Ａ−１〜４Ａ−３がネットワーク管理用にサポートしている手順を用いる。
【００２０】
侵入ＰＣ６のＭＡＣアドレスがＦＤＢに入っていれば、そのＦＤＢを持つＬ２ＳＷ４Ａ−２、４Ａ−３のポートに侵入ＰＣ６がつながっている可能性が高いため、侵入ＰＣ６のＭＡＣアドレスが記録されているポートの閉鎖を命令する。これにより、低価格なアクセスブリッジ装置で構成されたネットワークでも、高階層な防御（ＦＷとアクセスリンクの２段）が可能になる。
【００２１】
図２は、ホワイトリスト３１ａの一例を示す。ホワイトリスト３１ａには登録済みの正規ＰＣ５−１〜５−４のＭＡＣアドレスが格納されている。侵入ＰＣ６のようにこれらＭＡＣアドレスに一致しないアドレスのＰＣは侵入ＰＣと判断される。
【００２２】
図３に、ファイアーウォール装置３の構成の一例を示す。本実施形態に係るファイアーウォール装置３は、パケット受信部３３と、ホワイトリスト保持部３１と、比較部３２と、パケット送信部３５と、パケット廃棄部３４と、外部機器制御部３６と、を備える。
【００２３】
ファイアーウォール装置３は２つのネットワークインタフェース３７−１、３７−２を持ち、片方がＬＡＮに接続され、もう片方がＷＡＮに接続される。例えば、ネットワークインタフェース３７−１はＬ２ＳＷ４Ａ−１に接続され、ネットワークインタフェース３７−２はバックボーンＮＷ２に接続されている。パケット受信部３３は、ＬＡＮネットワークインタフェース３７−１からパケットを受信すると、受信したパケットからソースＭＡＣアドレスを抽出する。
【００２４】
図４に、Ｅｔｈｅｒｎｅｔ（登録商標）フレームのフレーム構造の一例を示す。パケットで送信されるフレームには、宛先ＭＡＣアドレス、送信元ＭＡＣアドレス、タイプ、データ、ＦＣＳが含まれる。フレームの予め定められた位置に送信ＰＣのＭＡＣアドレスが格納されており、侵入ＰＣ６であれば、そのアドレスが格納されている。
【００２５】
抽出したソースＭＡＣアドレスは比較部３２に渡される。比較部３２は、ホワイトリスト保持部３１の保持するホワイトリスト３１ａのＭＡＣアドレスとパケット受信部３３で抽出したソースＭＡＣアドレスが一致するかを検査する。
【００２６】
ホワイトリスト３１ａのＭＡＣアドレスと一致した場合、登録済みの正規ＰＣであるため、パケット受信部３３は、パケットをパケット送信部３５に出力する。これにより、正規ＰＣからのパケットは、パケット送信部３５を経て、ＷＡＮ側のネットワークインタフェース３７−２へ出力（フォワード）される。一致しない場合、パケット廃棄部３４にて、ホワイトリスト３１ａに含まれていないパケットの廃棄処理を行う。
【００２７】
次に、廃棄されたパケットのソースＭＡＣアドレスを外部機器制御部３６に渡す。外部機器制御部３６はＬ２ＳＷ一覧３６ａに登録されているＬ２ＳＷ４Ａ−１〜４Ａ−３にアクセスする。外部機器制御部３６は、例えばＴＥＬＮＥＴによってＬ２ＳＷ４Ａ−１〜４Ａ−３にアクセスする。これにより、外部機器制御部３６は、Ｌ２ＳＷ４Ａ−１〜４Ａ−３からＦＤＢを取得する。
【００２８】
図５は、Ｌ２ＳＷのＦＤＢである。Ｌ２ＳＷのＦＤＢは、パケット転送制御用テーブルとして機能する。Ｌ２ＳＷ４Ａ−１〜４Ａ−３は、パケットを受信すると、その受信ポート、ＶＬＡＮ  ＩＤ、及び、そのパケットのソースＭＡＣアドレスをＦＤＢに格納する。
【００２９】
図６は、本実施形態に係るＬ２ＳＷ一覧３６ａの一例である。本実施形態では３台のＬ２ＳＷ４Ａ−１〜４Ａ−３が登録されており、Ｌ２ＳＷ４Ａ−１〜４Ａ−３にアクセスするためのＩＰアドレスが格納されている。また下位Ｌ２ＳＷ４Ａ−２、４Ａ−３がある場合は、その接続ポートと、下位Ｌ２ＳＷ４Ａ−２、４Ａ−３のＩＰアドレスが格納されている。
【００３０】
次に、本実施形態に係るパケット制御方法について説明する。本実施形態に係るパケット制御方法は、ファイアーウォール装置３が、パケット受信手順と、比較手順と、パケット処理手順と、を順に実行する。パケット処理手順では、ファイアーウォール装置３は、パケット送信手順、或いは、パケット廃棄手順及び外部機器制御手順を実行する。
【００３１】
パケット受信手順では、パケット受信部３３が、ＭＡＣアドレスに基づいてパケットを転送するアクセスブリッジ装置から送信されたパケットを受信し、当該パケットから送信元のＭＡＣアドレスを取得する。比較手順では、比較部３２が、アクセスブリッジ装置に接続されている端末装置のＭＡＣアドレスのホワイトリスト３１ａを参照し、パケット受信部３３の取得したＭＡＣアドレスがホワイトリスト３１ａに含まれているか否かを判定する。これにより、ファイアーウォール装置３は、パケットの送信元が正規ＰＣであるか又は侵入ＰＣであるかを判定する。
【００３２】
パケットの送信元が正規ＰＣである場合、ファイアーウォール装置３は、パケット送信手順を実行する。パケット送信手順では、パケット送信部３５が、送信元のＭＡＣアドレスがホワイトリスト３１ａに含まれているパケットを、宛先に向けて転送するネットワーク装置に送信する。
【００３３】
パケットの送信元が侵入ＰＣである場合、ファイアーウォール装置３は、パケット廃棄手順及び外部機器制御手順を実行する。
パケット廃棄手順では、パケット廃棄部３４が、送信元のＭＡＣアドレスがホワイトリスト３１ａに含まれていないパケットを廃棄する。
外部機器制御手順では、外部機器制御部３６が、比較部３２においてホワイトリスト３１ａに含まれていない侵入ＰＣ６のＭＡＣアドレスが発見された場合、Ｌ２ＳＷ４Ａ−１及び４Ａ−３の侵入ＰＣ６の接続されているポートを閉鎖する。
【００３４】
図７を参照しながら、外部機器制御手順における外部機器制御部３６におけるＬ２ＳＷ制御について説明する。ホワイトリスト３１ａに一致しなかった侵入ＰＣ６のソースＭＡＣアドレスは以下の処理により、侵入ポートを特定し、閉鎖を行う。
【００３５】
ステップＳ１００：比較部３２でホワイトリスト３１ａに含まれていないＭＡＣアドレスが発見される。
ステップＳ１０１：外部機器制御部３６は登録されたＬ２ＳＷ４Ａ−１〜４Ａ−３を順に巡回処理を行う。登録されたＬ２ＳＷ４Ａ−１〜４Ａ−３は図６に示すＬ２ＳＷ一覧３６ａに格納されており、それぞれのＬ２ＳＷ４Ａ−１〜４Ａ−３にアクセスするためのＩＰアドレスと、下位Ｌ２ＳＷ４Ａ−２、４Ａ−３が存在する場合は、その下位Ｌ２ＳＷ４Ａ−２、４Ａ−３のアドレスと接続ポート番号が格納されている。
【００３６】
ステップＳ１０２：外部機器制御部３６は登録されたＬ２ＳＷ４Ａ−１〜４Ａ−３に順にＴＥＬＮＥＴ接続する。
ステップＳ１０３：外部機器制御部３６はＬ２ＳＷ４Ａ−１〜４Ａ−３のＦＤＢ一覧を取得し、学習済みのＭＡＣアドレスを取得する。ＦＤＢは図５のようになっており、Ｌ２ＳＷ４Ａ−１〜４Ａ−３で受信したパケットのソースＭＡＣアドレスとＶＬＡＮ  ＩＤ、受信ポート番号が格納されている。このＦＤＢに格納されているＭＡＣアドレスのＰＣがそのポートに接続されていることを示す。
ステップＳ１０４：外部機器制御部３６は侵入ＰＣ６のＭＡＣアドレスがＦＤＢに格納されているＭＡＣアドレスと一致するかを検査する。
【００３７】
ステップＳ１０５：下位Ｌ２ＳＷ４Ａ−２、４Ａ−３の接続の有無を確認する。もし一致したポートが下位Ｌ２ＳＷ４Ａ−２、４Ａ−３に接続されたポートであれば、下位Ｌ２ＳＷ４Ａ−２、４Ａ−３のポートを閉鎖しなくてはならないため、本Ｌ２ＳＷ４Ａ−１のポートは閉鎖しない。
【００３８】
ステップＳ１０６：下位Ｌ２ＳＷ４Ａ−２、４Ａ−３が接続されていない場合は、該当ポートに侵入ＰＣ６が接続されていることとなるため、該当ポートを閉鎖する。そして、外部機器制御部３６におけるＬ２ＳＷ制御を終了する。
【００３９】
ステップＳ１０７：すべてのＭＡＣアドレスが侵入ＰＣ６のＭＡＣアドレスと一致しなかったかを確認する。
ステップＳ１０８：すべてのＭＡＣアドレスが侵入ＰＣ６のＭＡＣアドレスと一致しなかった場合、次のＬ２ＳＷへと処理を継続する。
【００４０】
また、本実施形態では、侵入ＰＣ６がファイアーウォール装置３で発見された後にＦＤＢを取得しているが、事前にＬ２ＳＷ４Ａ−１〜４Ａ−３を巡回アクセスし、あらかじめＦＤＢを取得しておいてもよい。
【００４１】
図８に、ＴＥＬＮＥＴを用いたポート閉鎖制御の一例を示す。外部機器制御部３６がＬ２ＳＷ４Ａ−１〜４Ａ−３にアクセスし、ＦＤＢに格納されている学習済みＭＡＣアドレス一覧を取得し、侵入ＰＣ６を発見し、ポートを閉鎖する。具体的には、まず外部機器制御部３６は、ＴＥＬＮＥＴにログインし、ＦＤＢ取得のためのコマンドを実行して、ＭＡＣアドレス及びポート番号の一覧を取得する。外部機器制御部３６は、取得したＭＡＣアドレスのなかに侵入ＰＣ６のＭＡＣアドレス「３ｃ９７．０ｅ８０．４ｂ８１」を発見すると、ポート番号「Ｇ１／０／２０」に侵入ＰＣ６が接続されていることが分かる。この場合、外部機器制御部３６は、次にポート番号「Ｇ１／０／２０」を閉鎖するコマンドを実行する。
【００４２】
以上説明したように、本実施形態に係るファイアーウォール装置３は、侵入ＰＣ６からのパケットを廃棄するとともに、侵入ＰＣ６の接続されているＬ２ＳＷ４Ａ−３のポート番号「Ｇ１／０／２０」を閉鎖する。これにより、本実施形態に係るファイアーウォール装置３は、低価格なアクセスブリッジ装置で構成されたネットワークであっても、バックボーンＮＷ２への侵入を防ぐとともにＬ２ＳＷ４Ａ−３への侵入を防ぐ、高階層な防御（ＦＷとアクセスリンクの２段）を可能にすることができる。
【００４３】
（実施形態２）
図９に、本実施形態に係るパケット制御システムの概略構成図を示す。本実施形態に係るパケット制御システムは、実施形態１と同様に、複数のＬ２ＳＷ４Ａ−１〜４Ａ−３と、パケット制御装置として機能するファイアーウォール装置３と、を備える。ファイアーウォール装置３の構成、並びに、パケット受信手順、比較手順、パケット送信手順、パケット廃棄手順については、実施形態１と同様である。
【００４４】
本実施形態のファイアーウォール装置３は、多段防御アクセスファイアーウォールを実現し、Ｌ２ＳＷ４Ａ−１〜４Ａ−３の各ポートを検査する。これにより、侵入ＰＣ６がＬ２ＳＷ４Ａ−３に接続された場合、外部機器制御手順において、Ｌ２ＳＷ４Ａ−３のＭＡＣフィルタ機能を利用して、ＬＡＮへの侵入ＰＣ６からのパケットの侵入を阻止する。
【００４５】
まず、正規ＰＣ５−１〜５−４はバックボーンＮＷ２へＬ２ＳＷ４及びファイアーウォール装置３を経由して通信を行う。このとき、ファイアーウォール装置３は、ＬＡＮ側から受信したパケットのソースＭＡＣアドレスがホワイトリスト３１ａに含まれるかどうかを検査し、ホワイトリスト３１ａに含まれないＭＡＣアドレスは侵入ＰＣ６であると判定する。ホワイトリスト３１ａに一致しない、侵入ＰＣ６のＭＡＣアドレスがソースＭＡＣに含まれるパケットを廃棄することにより、侵入ＰＣ６からバックボーンＮＷ２に通過しようとする通信を遮断する。
【００４６】
更に、ファイアーウォール装置３は、配下のＬ２ＳＷ４Ａ−２、４Ａ−３にアクセスし、侵入ＰＣ６のＭＡＣアドレスがＬ２ＳＷ４Ａ−２、４Ａ−３のＦＤＢに入っているかどうかを検索する。Ｌ２ＳＷ４Ａ−２、４Ａ−３へのアクセスはＴＥＬＮＥＴや、ＳＮＭＰなどのＬ２ＳＷ４Ａ−２、４Ａ−３がネットワーク管理用にサポートしている手順を用いる。
【００４７】
侵入ＰＣ６がＦＤＢに入っていれば、その侵入ＰＣ６が該当Ｌ２ＳＷ４Ａ−３を経由していることが分かるため、Ｌ２ＳＷ４Ａ−３のＭＡＣフィルタを設定し、以後侵入ＰＣ６のパケットが該当Ｌ２ＳＷ４Ａ−３を流れないように阻止する。これにより、低価格なＬ２ＳＷで構成されたネットワークでも、高階層な防御（ＦＷとアクセスリンクの２段）が可能になる。
【００４８】
図１０は、本実施形態に係るＬ２ＳＷ一覧３６ａの一例を示す。Ｌ２ＳＷ一覧３６ａには、各Ｌ２ＳＷ４Ａ−１〜４Ａ−３にアクセスするためのＩＰアドレスが格納される。
【００４９】
図１１を参照しながら、外部機器制御手順における外部機器制御部３６のＬ２ＳＷ制御について説明する。ホワイトリスト３１ａに一致しなかった侵入ＰＣ６のソースＭＡＣアドレスは、以下の処理により特定し、遮断を行う。
【００５０】
ステップＳ２００：比較部３２でホワイトリスト３１ａに含まれていないＭＡＣアドレスが発見される。
ステップＳ２０１：まず、外部機器制御部３６は登録されたＬ２ＳＷ４Ａ−１〜４Ａ−３を順に巡回処理を行う。登録されたＬ２ＳＷ４Ａ−１〜４Ａ−３にアクセスするためのＩＰアドレスは図１０に示すＬ２ＳＷ一覧３６ａに格納されており、それぞれのＬ２ＳＷ４Ａ−１〜４Ａ−３にアクセスするために使用される。
【００５１】
ステップＳ２０２：外部機器制御部３６は登録されたＬ２ＳＷ４Ａ−１〜４Ａ−３の順にＴＥＬＮＥＴ接続する。
ステップＳ２０３：Ｌ２ＳＷ４Ａ−１〜４Ａ−３のＦＤＢ一覧を取得し、学習済みのＭＡＣアドレスを取得する。使用するＦＤＢは実施形態１の図５と同様の形式である。ＦＤＢに格納されているＭＡＣアドレスのＰＣがそのポートに接続されていることを示す。
【００５２】
ステップＳ２０４：外部機器制御部３６は侵入ＰＣ６のＭＡＣアドレスがＦＤＢに格納されているＭＡＣアドレスと一致するかを検査する。
【００５３】
ステップＳ２０５：侵入ＰＣ６のＭＡＣアドレスと一致した場合は、そのポートから侵入ＰＣ６のＭＡＣアドレスをソースＭＡＣに持つパケットを受信できなくするフィルタを登録する。これにより、以後の侵入ＰＣ６からの通信を遮断することができる。
ステップＳ２０６：すべてのＭＡＣアドレスが侵入ＰＣ６のＭＡＣアドレスと一致しているかを確認する。
ステップＳ２０７：すべてのＭＡＣアドレスが侵入ＰＣ６のＭＡＣアドレスと一致しなかった場合、次のＬ２ＳＷの処理へと処理を継続する。
【００５４】
また、本実施形態では、侵入ＰＣ６がファイアーウォール装置３で発見されたのちにＦＤＢを取得しているが、事前にＬ２ＳＷ４Ａ−１〜４Ａ−３を巡回アクセスし、あらかじめＦＤＢを取得しておいてもよい。
【００５５】
図１２に本実施形態に係るフィルタ制御の一例を示す。実際の外部機器制御部３６がＬ２ＳＷ４にアクセスし、ＦＤＢを取得、侵入ＰＣ６を発見し、ＭＡＣアドレスのフィルタを行う。具体的には、まず、外部機器制御部３６がＴＥＬＮＥＴログインし、ＦＤＢ取得のためのコマンドを実行して、ＭＡＣアドレスの一覧を取得する。外部機器制御部３６は、取得したＭＡＣアドレスのなかに侵入ＰＣ６のＭＡＣアドレス「３ｃ９７．０ｅ８０．４ｂ８１」を発見すると、ポート「Ｇ１／０／２０」に侵入ＰＣ６が接続されていることが分かる。この場合、外部機器制御部３６は、該当ＭＡＣアドレスのパケットの受信を禁止するコマンドを実行する。
【００５６】
以上説明したように、本実施形態に係るファイアーウォール装置３は、侵入ＰＣ６からのパケットを廃棄するとともに、侵入ＰＣ６の接続されているＬ２ＳＷ４Ａ−３において侵入ＰＣ６のＭＡＣアドレス「３ｃ９７．０ｅ８０．４ｂ８１」のパケットの受信を禁止する。これにより、本実施形態に係るファイアーウォール装置３は、低価格なアクセスブリッジ装置で構成されたネットワークであっても、バックボーンＮＷ２への侵入を防ぐとともにＬ２ＳＷ４Ａ−３への侵入を防ぐ、高階層な防御（ＦＷとアクセスリンクの２段）を可能にすることができる。
【００５７】
（実施形態３）
図１３は、本実施形態に係るパケット制御システムの構成概略図を示す。本実施形態に係るパケット制御システムは、実施形態１及び２のＬ２ＳＷ４Ａ−１〜４Ａ−３に代えて、複数の無線アクセスポイント４Ｂ−１及び４Ｂ−２を備える。ファイアーウォール装置３の構成、並びに、パケット受信手順、比較手順、パケット送信手順、パケット廃棄手順については、実施形態１と同様である。
【００５８】
無線アクセスポイント４Ｂ−１、４Ｂ−２は、ＬＡＮを構成するアクセスブリッジ装置として機能する。正規ＰＣ５−１及び５−２は、端末装置として機能し、無線アクセスポイント４Ｂ−１に接続されている。正規ＰＣ５−３及び５−４は、端末装置として機能し、無線アクセスポイント４Ｂ−２に接続されている。本実施形態では、ＬＡＮの一例として、無線アクセスポイント４Ｂ−１及び４Ｂ−２がファイアーウォール装置３に接続されている例を示すが、ＬＡＮはこれに限定されない。例えば、無線アクセスポイント４Ｂ−１及び４Ｂ−２は、Ｌ２ＳＷ（不図示）を介してファイアーウォール装置３に接続されていてもよい。
【００５９】
ファイアーウォール装置３は、多段防御アクセスファイアーウォールを実現し、無線アクセスポイント４Ｂ−１、４Ｂ−２の各チャネルを検査する。これにより、侵入ＰＣ６が無線アクセスポイント４Ｂ−２に接続された場合、外部機器制御手順において、無線アクセスポイント４Ｂ−２のＭＡＣフィルタ機能を利用して、ＬＡＮへの侵入ＰＣ６からのパケットの侵入を阻止する。
【００６０】
本実施形態では、図３に示すＬ２ＳＷ一覧３６ａに代えて、無線アクセスポイント一覧が備わる。本実施形態では２台の無線アクセスポイント一覧４Ｂ−１〜４Ｂ−２が登録されており、無線アクセスポイント４Ｂ−１、４Ｂ−２にアクセスするためのＩＰアドレスが格納されている。
【００６１】
外部機器制御手順における外部機器制御部３６の動作は、図１１に示す実施形態２と同様である。ただし、図１１における「Ｌ２ＳＷ」は「無線アクセスポイント」に代わる。ＬＡＮにＬ２ＳＷ及び無線アクセスポイントの両方が備わる場合、図１１における「Ｌ２ＳＷ」は
「Ｌ２ＳＷ及び無線アクセスポイント」に代わる。
【００６２】
比較部３２でホワイトリスト３１ａに含まれていないＭＡＣアドレスが発見されると、外部機器制御部３６は、無線アクセスポイント一覧に登録されている無線アクセスポイント４Ｂ−１、４Ｂ−２にアクセスし、パケット転送制御用テーブルを取得する。外部機器制御部３６は、侵入ＰＣ６がパケット転送制御用テーブルに入っていれば、その侵入ＰＣ６が無線アクセスポイント４Ｂ−２を経由していることが分かるため、無線アクセスポイント４Ｂ−２のＭＡＣフィルタを設定し、以後侵入ＰＣ６のパケットが無線アクセスポイント４Ｂ−２を流れないように阻止する。
【００６３】
例えば、外部機器制御部３６がＴＥＬＮＥＴログインし、パケット転送制御用テーブル取得のためのコマンドを実行して、ＭＡＣアドレスの一覧を取得する。外部機器制御部３６は、取得したＭＡＣアドレスのなかに侵入ＰＣ６のＭＡＣアドレスを発見すると、チャネルに侵入ＰＣ６が接続されていることが分かる。この場合、外部機器制御部３６は、該当ＭＡＣアドレスのパケットの受信を禁止するコマンドを実行する。
【００６４】
以上説明したように、本実施形態に係るファイアーウォール装置３は、侵入ＰＣ６からのパケットを廃棄するとともに、侵入ＰＣ６の接続されている無線アクセスポイント４Ｂ−２において侵入ＰＣ６のＭＡＣアドレスのパケットの受信を禁止する。これにより、本実施形態に係るファイアーウォール装置３は、低価格なアクセスブリッジ装置で構成されたネットワークであっても、バックボーンＮＷ２への侵入を防ぐとともに無線アクセスポイント４Ｂ−２への侵入を防ぐ、高階層な防御（ＦＷとアクセスリンクの２段）を可能にすることができる。
【産業上の利用可能性】
【００６５】
本開示のパケット制御装置は、通信産業に適用することができる。
【符号の説明】
【００６６】
１：ホワイトリスト管理サーバ
２：バックボーンＮＷ
３：ファイアーウォール装置
３１：ホワイトリスト保持部
３１ａ：ホワイトリスト
３２：比較部
３３：パケット受信部
３４：パケット廃棄部
３５：パケット送信部
３６：外部機器制御部
３６ａ：Ｌ２ＳＷ一覧
３７：ネットワークインタフェース
４Ａ−１、４Ａ−２、４Ａ−３：Ｌ２ＳＷ
４Ｂ−１、４Ｂ−２：無線アクセスポイント
５−１、５−２、５−３、５−４：正規ＰＣ
６：侵入ＰＣ
【図１】
2018064228.tif 000003
【図２】
2018064228.tif 000004
【図３】
2018064228.tif 000005
【図４】
2018064228.tif 000006
【図５】
2018064228.tif 000007
【図６】
2018064228.tif 000008
【図７】
2018064228.tif 000009
【図８】
2018064228.tif 000010
【図９】
2018064228.tif 000011
【図１０】
2018064228.tif 000012
【図１１】
2018064228.tif 000013
【図１２】
2018064228.tif 000014
【図１３】
2018064228.tif 000015