(57)【要約】  ネットワーク内部の装備に対して通信許容または統制などに対するルールを強制することで、ネットワーク内部の装備の間に仮想の防火壁が存在するような環境を達成するネットワーク内部の装備の間の通信を制御する技術を開示する。そのための通信制御装置は、ネットワーク内で他のネットワーク内装備と同一レベルで連結されている。この通信制御装置を用いて、通信遮断の対象装備に対してデータリンク層アドレスが操作されたＡＲＰパケットを提供し、前記対象装備が送信するデータパケットが操作された非正常的なアドレスに送信されるように制御し、それにより、前記対象装備の通信を遮断する。通信遮断の対象ではないのに通信遮断状態にある装備に対しては正常なアドレス情報を内包するＡＲＰパケットを該当する装備に送信して通信遮断状態を解除する。
2007506353.tif 000002
【特許請求の範囲】
【請求項１】
特定ネットワーク上の装備の間の通信を前記ネットワーク上の装備と同一レベルに位置した通信制御装置を利用して制御する方法であって、前記方法は、
設定された通信制御ルールにしたがって通信遮断が必要な少なくとも１つの対象装備を決定する段階と、
前記対象装備に対してデータリンク層アドレスが操作されたＡＲＰパケットを提供する段階とを具備し、
前記対象装備が送信するデータパケットが操作された非正常的なアドレスに送信されるように制御して前記対象装備の通信を遮断することを特徴とする通信制御方法。
【請求項２】
これ以上通信遮断の対象ではないにもかかわらず通信遮断状態にある装備に対しては前記通信制御装置が正常なアドレス情報を内包するＡＲＰパケットを該当する装備に送信することで、そのような通信遮断状態を解除する段階をさらに具備することを特徴とする請求項１に記載の通信制御方法。
【請求項３】
前記遮断対象装備の間の通信を遮断するために前記遮断対象装備の一部または全部のデータリンク層アドレスを前記通信制御装置のデータリンク層アドレスまたは前記遮断対象装備のものではない第３のデータリンク層アドレスに設定する段階をさらに具備することを特徴とする請求項１に記載の通信制御方法。
【請求項４】
前記特定ネットワークに新規に連結された装備のＩＰアドレスを既存装備のＩＰアドレスと比べて、衝突がある場合、正しいＩＰアドレスをユニキャストで既存装備に伝達してＩＰアドレスの衝突を防止する段階をさらに具備することを特徴とする請求項１に記載の通信制御方法。
【請求項５】
前記通信制御ルールを設定する対象になる装備のネットワークレイヤアドレス及びデータリンク層アドレスを収集するアドレス収集段階をさらに具備することを特徴とする請求項１に記載の通信制御方法。
【請求項６】
前記アドレス収集段階は、前記ネットワークのある装備がネットワーク内の他の装備と通信するためにブロードキャスティングしたＡＲＰパケットを前記通信制御装置が受信してそのＡＲＰパケットに内包されたネットワークレイヤアドレス及びデータリンク層アドレスを検出する方法及び／またはネットワーク管理者により直接入力された管理対象装備のアドレスに基づいて前記通信制御装置がＡＲＰ要請パケットを送信して、これに応じて管理対象装備が送ったＡＲＰ応答パケットからネットワークレイヤアドレス及びデータリンク層アドレスを検出する方法で遂行されることを特徴とする請求項５に記載の通信制御方法。
【請求項７】
特定ネットワーク上の装備の間の通信を制御する方法において、
通信制御装置がネットワーク内に存在するネットワークレイヤアドレス及びデータリンク層アドレスを収集するアドレス収集段階と、
ネットワーク管理者により収集されたアドレスに対して所望の通信制御をするために設定した通信制御ルールを通信制御ルールデータベースに保存する段階と、
ネットワーク内のある装備がネットワーク内の他の装備と通信するために送信したアドレス決定プロトコル(ＡＲＰ)パケットを検出する段階と、
通信制御ルールデータベースに照会して検出されたＡＲＰパケットが通信遮断対象に該当するかどうかを判別する段階と、
通信遮断対象に該当する場合に通信遮断のためのＡＲＰパケットを送信し、それによりネットワーク内の装備の間の通信を必要に応じて選択的に制御する段階とを具備することを特徴とする通信制御方法。
【請求項８】
前記アドレス収集段階は、前記ネットワークのある装備がネットワーク内の他の装備と通信するためにブロードキャスティングしたＡＲＰパケットを前記通信制御装置が受信してそのＡＲＰパケットに内包されたネットワークレイヤアドレス及びデータリンク層アドレスを検出する方法及び／またはネットワーク管理者により直接入力された管理対象装備のアドレスに基づいて前記通信制御装置がＡＲＰ要請パケットを送信して、これに応じて管理対象装備が送ったＡＲＰ応答パケットからネットワークレイヤアドレス及びデータリンク層アドレスを検出する方法で遂行されることを特徴とする請求項７に記載の通信制御方法。
【請求項９】
前記通信制御ルールの設定対象は、ネットワークレイヤアドレス相互間、データリンク層アドレス相互間、ネットワークレイヤアドレス及びデータリンク層アドレス相互間の通信であることを特徴とする請求項７に記載の通信制御方法。
【請求項１０】
前記通信制御ルールの設定対象は、ネットワークレイヤアドレス及びネットワークレイヤアドレスグループ相互間、データリンク層アドレス及びデータリンク層アドレスグループ相互間、ネットワークレイヤアドレス及びデータリンク層アドレスグループ相互間、データリンク層アドレス及びネットワークレイヤアドレスグループ相互間、ネットワークレイヤアドレスグループ及びデータリンク層アドレスグループ相互間の通信をさらに含むことを特徴とする請求項９に記載の通信制御方法。
【請求項１１】
受信側アドレスが遮断対象である場合には、受信プロトコルアドレスと同じアドレスに対して遮断パケットを送信することを特徴とする請求項７に記載の通信制御方法。
【請求項１２】
送信側アドレスが遮断対象である場合には、送信側プロトコルと同一のネットワークに属するすべてのプロトコル−データリンク層アドレスに対して遮断パケットを送信することを特徴とする請求項７に記載の通信制御方法。
【請求項１３】
通信制御装置が送ったＡＲＰ要請パケットに応じてネットワーク内の装備がＡＲＰ応答パケットを送って来れば検出された応答パケットに含まれている送信側アドレスを利用して管理ルールを検索して、検索結果がその送信側アドレスに対して遮断ルールが存在することを示せば送信側プロトコルと同一のネットワークに属するすべてのプロトコル−データリンク層アドレスデータベース(ＤＢ-３)に対して遮断パケットを送信する段階をさらに具備することを特徴とする請求項７に記載の通信制御方法。
【請求項１４】
ネットワークレイヤパケットの検出によって、これ以上通信遮断の対象ではないにもかかわらず相変らず通信遮断状態になっている装備に対して、そのような通信遮断状態の解除のためのＡＲＰパケットを作って送信する段階をさらに具備することを特徴とする請求項７に記載の通信制御方法。
【請求項１５】
一定時間ごとに通信制御ルールデータベースを参照して、そこに登録された通信制御ルールによって通信遮断／通信遮断解除のためのＡＲＰ要請パケットを送信する段階をさらに具備することを特徴とする請求項７または１４に記載の通信制御方法。
【請求項１６】
受信側データリンク層アドレスが遮断アドレスであってパケットフォワーディングルールが存在する場合には、受信されたプロトコルレイヤパケットの目的地アドレスを正常なデータリンク層アドレスとして前記受信されたプロトコルレイヤパケットをフォワーディングする段階をさらに具備することを特徴とする請求項７に記載の通信制御方法。
【請求項１７】
ネットワークに新規に連結された装備のＩＰアドレスを既存装備のＩＰアドレスと比べて衝突がある場合、正しいＩＰアドレスをユニキャストで既存装備に伝達してＩＰアドレスの衝突を防止する段階をさらに具備することを特徴とする請求項７に記載の通信制御方法。
【請求項１８】
あるネットワーク上の装備と同一レベルに位置しながら、そのネットワークの管理者が必要に応じて前記装備相互間の通信を遮断することができる通信制御ルールを設定することができる環境を提供して、設定された前記通信制御ルールをデータベースに保存管理しながら、通信遮断対象に設定された装備に対してデータリンク層アドレスが操作されたＡＲＰパケットを提供して、前記通信遮断対象の装備により送信されたデータパケットが操作された非正常的なアドレスに送信されるようにすることで、前記通信遮断対象装備の間の通信を遮断することを特徴とする通信制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は１つのネットワーク内部の装備の間の通信を制御する技術に関するものであり、より詳細にはネットワーク内部の装備に対して通信許容、または統制などに対するルールを強制することで、ネットワーク内部の装備の間に仮想の防火壁が存在するような環境を達成することができる技術に関するものである
【背景技術】
【０００２】
複雑多様化して行くネットワーク環境のもとでは制限された人的資源を通じて膨大なネットワーク資源を效率的で統合的に管理して制御する必要がある。ＩＰ(Internet Protocol:ＩＰ)アドレス、メディアアクセス制御(Media Access Control:ＭＡＣ)アドレス、ホストアイディー(Host ＩＤ)などのようなネットワーク資源はこれを手動で管理すれば人的資源の無駄使いと業務能率の低下が招来される。また、ネットワーク使用者のＩＰの第三者による不正使用によって既存ネットワーク装備のＩＰと衝突を起こす障害が発生したりする。
【０００３】
一般的に会社や工場などは業務の效率性や生産性向上のために近距離ネットワーク(Local Area Network:ＬＡＮ)を利用する。ＬＡＮには、パーソナルコンピューター(ＰＣ)、ワークステーション、ロボット、プリンター、サーバーなどのような各種装備(以下、ネットワーク内装備と称す)が数十台から数千台ずつ連結される。これらネットワーク内装備の間の通信を何らの制限なしに許容することが作業の效率化及び便利さに役に立つ側面もあるが、一方ではネットワーク内装備の間の無制限的な通信許容は何種類もの問題点を生んだりする。すなわち、ネットワワーク内装備の間の通信を適切に制限しなければ、必要ではないデータパケットがＬＡＮ上にたくさん出回るようになって、これによりネットワーク資源が必要以上に使用されるので、ネットワーク資源の浪費が招来される。また、ネットワーク資源の利用ないし通信の自由に対する統制がなければ、不正な目的を有したネットワーク内部利用者間に情報の流出や、ハッキング、クラッキングなどの行為が何らの制約を受けずになされることができる弱みもある。したがって、ＬＡＮ環境を基盤とする会社や工場などでは、必要によってＬＡＮに連結された装備のそれぞれに対して他の装備との通信を適切に制限する必要がある。このためには、ネットワーク内部資源の間の通信権限を統制することができる手段が必要である。
【０００４】
通信を統制する手段として一番広く使用されるのが、まさに防火壁サーバーである。ところで既存の防火壁サーバーは、あるネットワーク(以下、内部ネットワークと称す)が外部の他のネットワーク(以下、外部ネットワークと称す)と連結されるゲートウェイに位置して、その外部ネットワークに連結されたある装備及び内部ネットワークのネットワーク内装備の間の通信を統制する役割を担当している。
ところで、既存の防火壁サーバーはある内部ネットワークにアクセスすることができる出入口、すなわち、ゲートウェイに位置して通信を統制するので、外部ネットワークとの通信を遮断するなどの統制はできても、内部ネットワーク内のネットワーク内装備の間の通信を統制することは不可能であった。既存の防火壁サーバーはまたネットワーク内装備の間の通信を統制しなければならない必要性に対しては認識を欠けている。さらに、内部ネットワーク及び外部ネットワークのゲートウェイに位置した通信統制方式は、通信制御ルール(communication control rule)を内部ネットワークに連結された装備全体に一律的に適用するしかない。その結果、通信を統制する必要性がない装備までも常に防火壁サーバーを経て通信をしなければならない。したがって、防火壁サーバーは不必要な処理負荷をたくさん引き取るようになって、これにより外部ネットワーク及び内部ネットワークとの間の通信速度が低下する問題が生じる。
【０００５】
このようないくつかの問題を考慮する時、既存の防火壁サーバーでは処理することができない、あるネットワークの内部に存在するネットワーク内装備の間の通信をネットワーク管理者が效果的に制限することができる手段が切実に要求される。
【発明の開示】
【発明が解決しようとする課題】
【０００６】
本発明はあるネットワークにおいてネットワーク内装備と水平的なレベル(同一レベル)で連結されて、必要に応じて前記ネットワーク内装備の間の通信を統制することができる通信制御装置と、前記ネットワークの管理者がその通信制御装置を利用して、必要に応じて前記ネットワーク内装備の間の通信を統制することができる通信制御方法を提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明の基本的な概念は、ある特定ネットワークの管理者がそのネットワークに他の装備と同一レベルに接続された本発明の通信制御装置を利用して通信制御ルールを設定して、その設定された通信制御ルールをその特定ネットワーク内の装備（すなわちネットワーク内装備）の間の通信に強制的に適用することで、統制対象とされる装備間のネットワーク内通信を、設定された通信制御ルールに従って制限することができるようにするものである。
【０００８】
前記のような目的を達成するための本発明の一態様によれば、特定ネットワーク上の装備の間の通信を前記ネットワーク上の装備と同一レベルに位置した通信制御装置を利用して制御する通信制御方法が提供される。前記通信制御方法は、設定された通信制御ルールにしたがって通信遮断が必要な少なくとも１つの対象装備を決定する段階と、前記対象装備に対してデータリンク層アドレスが操作されたＡＲＰパケットを提供する段階とを具備し、前記対象装備が送信するデータパケットが操作された非正常的なアドレスに送信されるように制御されて前記対象装備の通信を遮断することを特徴とする。
前記通信制御方法は、望ましくは、これ以上通信遮断の対象ではないにもかかわらず、通信遮断状態にある装備に対しては前記通信制御装置が正常なアドレス情報を内包するＡＲＰパケットを該当装備に送信することで、そのような通信遮断状態を解除する段階をさらに具備する。
また、前記通信制御方法は、望ましくは、前記遮断対象装備の一部または全部のデータリンク層アドレスを前記通信制御装置のデータリンク層アドレスまたは前記遮断対象装備のものではない第３のデータリンク層アドレスに設定して前記遮断対象装備の間の通信を遮断する段階をさらに具備する。
さらに、前記通信制御方法は、望ましくは、前記特定ネットワークに新規に連結された装備のＩＰアドレスを既存装備のＩＰアドレスと比べて衝突がある場合、正しいＩＰアドレスをユニキャストで既存装備に伝達してＩＰアドレスの衝突を防止する段階をさらに具備する。
さらにまた、前記通信制御方法は、前記通信制御ルールを設定する対象になる装備のネットワークレイヤアドレス及びデータリンク層アドレスを収集するアドレス収集段階をさらに具備する。ここで、アドレス収集段階は、前記ネットワークのある装備がネットワーク内の他の装備と通信するためにブロードキャスティングしたＡＲＰパケットを前記通信制御装置が受信してそのＡＲＰパケットに内包されたネットワークレイヤアドレス及びデータリンク層アドレスを検出する方法及び／またはネットワーク管理者により直接入力された管理対象装備のアドレスに基づいて前記通信制御装置がＡＲＰ要請パケットを送信して、これに応じて管理対象装備が送ったＡＲＰ応答パケットからネットワークレイヤアドレス及びデータリンク層アドレスを検出する方法で遂行されることを特徴とする。
【０００９】
一方、前記言及された目的を達成するための本発明の２番目の態様によれば、特定ネットワーク上の装備の間の通信を制御する通信制御方法が提供される。この通信制御方法は、通信制御装置がネットワーク内に存在するネットワークレイヤアドレス及びデータリンク層アドレスを収集するアドレス収集段階と、ネットワーク管理者により収集されたアドレスに対して所望の通信制御をするために設定した通信制御ルールを通信制御ルールデータベースに保存する段階と、ネットワーク内のある装備がネットワーク内の他の装備と通信するために送信したアドレス決定プロトコル(ＡＲＰ)パケットを検出する段階と、通信制御ルールデータベースに照会して検出されたＡＲＰパケットが通信遮断対象に該当するかどうかを判別する段階と、通信遮断対象に該当する場合に通信遮断のためのＡＲＰパケットを送信し、それによりネットワーク内の装備の間の通信を必要に応じて選択的に制御する段階とを具備することを特徴とする。
前記通信制御方法において、前記アドレス収集段階は、前記ネットワークのある装備がネットワーク内の他の装備と通信するためにブロードキャスティングしたＡＲＰパケットを前記通信制御装置が受信してそのＡＲＰパケットに内包されたネットワークレイヤアドレス及びデータリンク層アドレスを検出する第１方法及び／またはネットワーク管理者により直接入力された管理対象装備のアドレスに基づいて前記通信制御装置がＡＲＰ要請パケットを送信して、これに応じて管理対象装備が送ったＡＲＰ応答パケットからネットワークレイヤアドレス及びデータリンク層アドレスを検出する第２方法で遂行されることが望ましい。
前記通信制御方法において、前記通信制御ルールの設定対象は、望ましくは、ネットワークレイヤアドレス相互間、データリンク層アドレス相互間、ネットワークレイヤアドレス及びデータリンク層アドレス相互間の通信を含む。
また、前記通信制御ルールの設定対象は、望ましくは、ネットワークレイヤアドレス及びネットワークレイヤアドレスグループ相互間、データリンク層アドレス及びデータリンク層アドレスグループ相互間、ネットワークレイヤアドレス及びデータリンク層アドレスグループ相互間、データリンク層アドレス及びネットワークレイヤアドレスグループ相互間、ネットワークレイヤアドレスグループ及びデータリンク層アドレスグループ相互間の通信をさらに含むことができる。
さらに、前記通信制御方法において、受信側アドレスが遮断対象である場合には、受信プロトコルアドレスと同じアドレスに対して遮断パケットを送信することが望ましい。
また、送信側アドレスが遮断対象である場合には、送信側プロトコルと同一のネットワークに属するすべてのプロトコル−データリンク層アドレスに対して遮断パケットを送信することが望ましい。
前記通信制御方法は、望ましくは、通信制御装置が送ったＡＲＰ要請パケットに応じてネットワーク内の装備がＡＲＰ応答パケットを送って来れば検出された応答パケットに含まれている送信側アドレスを利用して管理ルールを検索して、検索結果がその送信側アドレスに対して遮断ルールが存在することを示せば送信側プロトコルと同一のネットワークに属するすべてのプロトコル−データリンク層アドレスデータベース(ＤＢ-３)に対して遮断パケットを送信する段階をさらに具備する。
さらに、前記通信制御方法は、望ましくは、ネットワークレイヤパケットの検出によって、これ以上通信遮断の対象ではないにもかかわらず相変らず通信遮断状態になっている装備に対して、そのような通信遮断状態の解除のためのＡＲＰパケットを作って送信する段階をさらに具備する。
望ましくは、前記通信制御方法は、次の段階を１つ以上さらに具備する。(i)一定時間ごとに通信制御ルールデータベースを参照して、そこに登録された通信制御ルールによって通信遮断／通信遮断解除のためのＡＲＰ要請パケットを送信する段階と、(ii)受信側データリンク層アドレスが遮断アドレスであってパケットフォワーディングルールが存在する場合には、受信されたプロトコルレイヤパケットの目的地アドレスを正常なデータリンク層アドレスとして前記受信されたプロトコルレイヤパケットをフォワーディングする段階と、そして(iii)ネットワークに新規に連結された装備のＩＰアドレスを既存装備のＩＰアドレスと比べて衝突がある場合、正しいＩＰアドレスをユニキャストで既存装備に伝達してＩＰアドレスの衝突を防止する段階。
【００１０】
一方、本発明の前記言及された目的を達成するために、あるネットワーク上の装備と同一レベルに位置しながら、そのネットワークの管理者が必要に応じて前記装備相互間の通信を遮断することができる通信制御ルールを設定することができる環境を提供して、設定された前記通信制御ルールをデータベースに保存管理しながら、通信遮断対象に設定された装備に対してデータリンク層アドレスが操作されたＡＲＰパケットを提供して、前記通信遮断対象の装備により送信されたデータパケットが操作された非正常的なアドレスに送信されるようにすることで、前記通信遮断対象装備の間の通信を遮断することを特徴とする通信制御装置が提供される。前記通信制御装置は、外部の特定ネットワークに通信しようとする時に、そのネットワークとの連結ゲートウェイになる位置に配置されて通信を統制する既存の防火壁サーバーとは異なり、そのネットワークに対する通信経路のゲートウェイではない、そのネットワーク内の任意の所、例えばそのネットワーク内部の他の内部装備と同一レベルに位置しながら通信に関する制御が必要な装備に対してアドレス決定プロトコル(address resolution protocol:ＡＲＰ)テーブルのアドレス情報の操作に基盤を置く通信制御ルールを強制的に適用することで、その装備に対してのみに選択的に通信を制限することができる。これによって、あるネットワークにおいてそのネットワークの内部資源と外部ネットワークの資源との間の不必要な通信を遮断する従来の防火壁サーバーの機能を有することは勿論、そのネットワークの内部資源の間の通信までも所望に応じて選別的に制御することが可能である。したがって、ネットワーク資源の節約をはかることができるし、それに加えて内部装備の間の認証されない情報の流出を防止することができる。
【発明を実施するための最良の形態】
【００１１】
例えば、ＬＡＮのような特定のネットワークに連結された資源の間の通信はＡＲＰを利用してなされる。ＡＲＰはネットワークレイヤアドレス(例えば、ＩＰアドレスのようなプロトコルレイヤ(Ｌ３)アドレス)を物理的アドレス(例えば、ＭＡＣアドレスのようなデータリンク層(Ｌ２)アドレス)で対応させるために使用されるプロトコルである。ここで、物理的アドレスであるということは、例えば、イーサネット（登録商標）またはトークンリングの４８ビット(bits)ネットワークカードアドレスを意味する。ＡＲＰパケットはイーサネットパケットデータ内の一部分として含まれる。イーサネットパケットのヘッダーは目的地イーサネットアドレス(４８ビット)、発信者イーサネットアドレス(４８ビット)、イーサネットプロトコルタイプ(１６ビット)を含む。このイーサネットパケットヘッダーの後にＡＲＰパケットが付く。パケットがＬＡＮ上で移動する時には目的地イーサネットアドレス(例えば、ＭＡＣアドレス)に送信される。参照すると、ＡＲＰパケットは次の表１のように構成されている。
【００１２】
【表１】
2007506353.tif 000003
【００１３】
例えば、ＩＰホストＡがＩＰホストＢにＩＰパケットを送信しようとする時にＩＰホストＢの物理的アドレスが分からない場合、ＩＰホストＡは、ＡＲＰプロトコルを使用して目的地であるＩＰホストＢのＩＰアドレス及びブロードキャスティング物理的アドレス(ＦＦ：ＦＦ:ＦＦ:ＦＦ:ＦＦ:ＦＦ)を有するＡＲＰパケットをネットワーク上に送る。ＩＰホストＢは、自分のＩＰアドレスが目的地に記録されているＡＲＰパケットを受信すれば自分の物理的ネットワークレイヤアドレスをＩＰホストＡに応答する。このような方式で収集されたＩＰアドレスと、これに該当する物理的ネットワークレイヤアドレス情報とは、各ＩＰホストのＡＲＰキャッシュと呼ばれるメモリーにテーブル形態(ＡＲＰ TABLE)で保存された後、次のパケット送信時に再び使用される。ＬＡＮのようなネットワークに連結されている資源同士はこのような方式で内部通信を行うようになる。
【００１４】
図１は本発明による通信統制方法を具現したシステムの構成例を示す図である。多数の装備(ＥＱ−１、ＥＱ−２、．．．、ＥＱ−１０)がレイヤ−２スイッチ５０を介して連結されたＬＡＮ４０の環境で、本発明による通信制御装置(ＥＱ−Ｘ)もＬＡＮ４０に連結された１つのノードとして、他の装備(ＥＱ−１、ＥＱ−２、．．．ＥＱ−１０)と同じレベルで連結されている。但し、所望の装備に対する通信を統制するための方法として、ＡＲＰテーブルを操作することでＬＡＮ４０の内部装備の間の通信を所望の形態で統制することができる。ＬＡＮ４０はルータ３０を経由してインターネット２０または他のネットワーク(例えば、社内の他の仮想ＬＡＮ(ＶＬＡＮ))などにも連結することができる。
【００１５】
同じネットワークレイヤ同士の通信を行うためにＡＲＰプロトコルを利用してデータリンク層アドレスを求めて、そのデータリンク層アドレスを利用して通信を行い、ネットワークレイヤアドレス及びデータリンク層アドレスをＡＲＰテーブル(ネットワークレイヤアドレス−データリンク層アドレス)で管理して、後で通信が必要な時に利用する。
【００１６】
１つのネットワーク内でそのネットワークに連結された内部装備の間の通信を許容／遮断／パケットフォワーディングするなどの通信制御を行うためには、各装備のＡＲＰテーブルを外部で所望の内容で作るか、または修正するなどの操作を行って、特定ネットワークレイヤアドレスとの通信が必要な時に、そのように外部で操作されたＡＲＰテーブルが利用されるようにしなければならない。また各装備は、どのような時もＡＲＰテーブルを削除するか、または新しくＡＲＰ要請パケットを発生してデータリンク層アドレスを求めようとするために、これらに対しても適切な処理ができなければならない。この時、一番重要なことは、ＡＲＰパケットを発生させてＡＲＰテーブルを生成／修正させる時に他の装備には影響を与えないで、所望の装備のみに適用されるようにしなければならないという点である。制御が必要ではない他の装備に影響を与えないものでありながら、通信の統制ができなければならないからである。このために通信制御対象ノードに操作されたＡＲＰアドレスを提供する時に、ユニキャスト送信方式を利用する。また、データリンク層アドレスを利用して通信を遮断すればネットワークレイヤのすべてのものに対して遮断されるから、ネットワークレイヤパケットに対しては必要な場合にフォワーディングすることができなければならない。すなわち、通信が必要なネットワークレイヤパケットに対しては本発明の通信制御装置がフォワーディングを行って通信が可能になるように中継することができなければならない。
【００１７】
このような通信統制方式が可能であることを理解するためには、ＬＡＮ上でネットワーク内装備の間の通信がどのようになされるかに対する理解が先行する必要がある。これと関連して、ネットワーク内装備の間の通信メカニズムを例示的に説明する。このようにすることで通信制御装置ＥＱ−Ｘがどのような原理でネットワーク内装備の間の通信を統制することができるかに関する理解ができる。
【００１８】
例えば、現在ＬＡＮ４０に連結されたネットワーク内装備がＥＱ−１、ＥＱ−２、ＥＱ−３であり、通信制御装置ＥＱ−Ｘがこれら装備と同じレベルに連結されている環境と、すべての装備にはＡＲＰテーブルが初めは空いているという条件とを仮定する。これら装備ＥＱ−１、ＥＱ−２、ＥＱ−３、ＥＱ−ＸのＩＰアドレス及びＭＡＣアドレスはそれぞれ、ＮＥＴ-１(ＭＡＣ-１)、ＮＥＴ-２(ＭＡＣ-２)、ＮＥＴ-３(ＭＡＣ-３)、ＮＥＴ−Ｘ(Block)であると仮定する。ここで受信側アドレス及び送信側アドレスは「ＩＰアドレス(ＭＡＣアドレス)」の形式で表現された。そして、ネットワーク内装備の間に通信のために次のようなＡＲＰ要請パケットが送信されたと仮定しよう。但し、ＡＲＰパケットはブロードキャスト(ＦＦ：ＦＦ：ＦＦ：ＦＦ：ＦＦ：ＦＦ)ではないユニキャスト方式で送信したことを前提する。
【００１９】
(１)過程１:目的地ＭＡＣがＭＡＣ-１であり、受信側アドレス及び送信側アドレスがそれぞれＮＥＴ-１(Null)及びＮＥＴ-２(Block)である要請パケット(要請パケット１)が送信される。参照として、要請パケット１は装備ＥＱ−２が装備ＥＱ−１と通信を行うためのＡＲＰ要請パケットであると見なすことができる。この要請パケット１の目的地ＭＡＣアドレス(すなわち、ＭＡＣ-１)と一致する装備ＥＱ−１がこの要請パケット１を受信する。そして、装備ＥＱ−１は装備ＥＱ−２のＭＡＣアドレスがBlockであるものとして認識する。このような認識によって、装備ＥＱ−１が装備ＥＱ−２に送るパケットは、実際にはＭＡＣアドレスがBlockである通信制御装置ＥＱ−Ｘが受信するようになる。
(２)過程２:目的地ＭＡＣがＭＡＣ-２であり、受信側アドレス及び送信側アドレスがそれぞれＮＥＴ-２(ＭＡＣ-２)及びＮＥＴ-１(Block)である要請パケット(要請パケット２)が送信される。参照として、この要請パケット１はＭＡＣアドレスがＭＡＣ-２である装備ＥＱ−２が受信するようになる。装備ＥＱ−２は装備ＥＱ−１のＭＡＣアドレスがBlockであるものとして認識する。このような認識によって、装備ＥＱ−２が装備ＥＱ−１に送るパケットは、実際にはＭＡＣアドレスがBlockである通信制御装置ＥＱ−Ｘが受信するようになる。
(３)過程３:目的地ＭＡＣはＭＡＣ-３であり、受信側アドレス及び送信側アドレスがそれぞれＮＥＴ-３(Null)及びＮＥＴ-１(ＭＡＣ-１)である要請パケット(要請パケット３)が送信される。これは、装備ＥＱ−１が装備ＥＱ−３と通信するためのＡＲＰ要請パケットとして見なすことができる。
(４)過程４:目的地ＭＡＣはＭＡＣ-３であり、受信側アドレス及び送信側アドレスがそれぞれＮＥＴ-３(Null)及びＮＥＴ-２(ＭＡＣ-２)である要請パケット(要請パケット４)が送信される。
以上の送信過程を表で整理すれば、下記の表２のようになる。
【００２０】
【表２】
2007506353.tif 000004
【００２１】
このような送信過程を介して送信された４個の要請パケットを受信した装備は次のように応答パケットの送信で応答する。
(５)過程５:「要請パケット１」を受信した装備ＥＱ−１(ＮＥＴ-１、ＭＡＣ-１)は、ＮＥＴ-１(ＭＡＣ-１)を送信側にして、ＮＥＴ-２(Block)を受信側にして、目的地ＭＡＣをBLOCKにするＡＲＰ応答パケット(応答パケット１)を送って、自分が管理するＡＲＰテーブルにはＮＥＴ-２に対するＭＡＣアドレスをBLOCKで記録して新規生成する。
(６)過程６:「要請パケット２」を受信したＥＱ−２(ＮＥＴ-２、ＭＡＣ-２)は、ＮＥＴ-２(ＭＡＣ-２)を送信側にして受信側をＮＥＴ-１(BLOCK)にして、目的地ＭＡＣをBLOCKにするＡＲＰ応答パケット(応答パケット２)を送って、自分のＡＲＰテーブルにはＮＥＴ-１に対するＭＡＣアドレスをBLOCKで新規生成する。
(７)過程７:「要請パケット３」を受信したＥＱ−３(ＮＥＴ-３、ＭＡＣ-３)は、ＮＥＴ-３(ＭＡＣ-３)を送信側にして、ＮＥＴ-１(ＭＡＣ-１)を受信側にして、目的地ＭＡＣをＮＥＴ-１にするＡＲＰ応答パケット(応答パケット３)を送って、自分のＡＲＰテーブルでＮＥＴ-１に対してＭＡＣ-１で新規生成する。
(８)過程８:「要請パケット４」を受信したＥＱ−３(ＮＥＴ-３、ＭＡＣ-３)は、ＮＥＴ-３(ＭＡＣ-３)を送信側にして、受信側をＮＥＴ-２(ＭＡＣ-２)にして、目的地ＭＡＣをＮＥＴ-２にするＡＲＰ応答パケット(応答パケット４)を送って、自分のＡＲＰテーブルでＮＥＴ-２に対してＭＡＣ-２で新規生成する。
以上の応答過程を表で整理すれば、下記の表３のようになる。
【００２２】
【表３】
2007506353.tif 000005
【００２３】
次に、上記のような４個の応答パケットを受信した各装備内では次のような処理がなされる。
(９)過程９:「応答パケット１」を受信した通信制御装置ＥＱ−Ｘは、ＡＲＰテーブルにＩＰアドレスＮＥＴ-１に対してＭＡＣアドレスをＭＡＣ-１で新規生成する。何故ならば応答パケット１が送信側をＭＡＣ-１にして送信されたからである。
(１０)過程１０:「応答パケット２」を受信した通信制御装置ＥＱ−Ｘは、ＡＲＰテーブルにＮＥＴ-２に対してＭＡＣ-２を新規生成する。
(１１)過程１１:「応答パケット３」を受信した装備ＥＱ−１は、ＡＲＰテーブルにＮＥＴ-３に対してＭＡＣ-３を新規生成する。
(１２)過程１２:「応答パケット４」を受信した装備ＥＱ−２は、ＡＲＰテーブルにＩＰアドレスＮＥＴ-３に対してＭＡＣアドレスＭＡＣ-３を新規生成する。
以上のような処理内容を表で整理すれば、下記の表４のようになる。
【００２４】
【表４】
2007506353.tif 000006
【００２５】
上記のような過程が終わった後の各装備に維持されているＡＲＰテーブルは、その内容に次のような変更があるものになる。
(１)装備ＥＱ−１が維持しているエントリーはＮＥＴ-２(BLOCK)及びＮＥＴ-３(ＭＡＣ-３)である(テーブル１)(過程５、過程１１)。
(２)装備ＥＱ−２が維持しているエントリーはＮＥＴ-１(BLOCK)及びＮＥＴ-３(ＭＡＣ-３)である(テーブル２)(過程６、過程１２)。
(３)装備ＥＱ−３が維持しているエントリーはＮＥＴ-１(ＭＡＣ-１)及びＮＥＴ-２(ＭＡＣ-２)である(テーブル３)(過程７、過程８)。
(４)装備ＥＱ−Ｘが維持しているエントリーはＮＥＴ-１(ＭＡＣ-１)及びＮＥＴ-２(ＭＡＣ-２)である(テーブル４)(過程９、過程１０)。
以上を表で整理すれば、下記の表５のようになる。
【００２６】
【表５】
2007506353.tif 000007
【００２７】
装備ＥＱ−１及びＥＱ−３のＡＲＰテーブルであるテーブル１及びテーブル３の場合に同一な装備ＥＱ−２のアドレスであるＮＥＴ-２に対してＭＡＣアドレスであるBLOCKとＭＡＣ-２を有しているから、装備ＥＱ−１及びＥＱ−３が装備ＥＱ−２にパケットを送ろうとする時に送信パケットの目的地が異なるようになる。そして、装備ＥＱ−２及びＥＱ−３のＡＲＰテーブルであるテーブル２及びテーブル３を見れば、同一な装備ＥＱ−１に対して互いに異なるＭＡＣアドレスであるBLOCK及びＭＡＣ-１を有しているから、装備ＥＱ−２及びＥＱ−３が装備ＥＱ−１にパケットを送ろうとする時に送られるパケットは目的地が異なるようになる。したがって、装備ＥＱ−１及びＥＱ−３の間の通信と装備ＥＱ−２及び装備ＥＱ−３の間の通信とは正常になされることができるが、装備ＥＱ−１及び装備ＥＱ−２の間の通信は通信制御装置ＥＱ−Ｘに設定されている通信制御ルールによって可能であるかどうかの可否が決定される。
【００２８】
上述したネットワーク内装備の間の通信メカニズムに基づいて、ＡＲＰテーブルのアドレスを適切に操作すればネットワーク内装備の間の通信を所望の形態で統制することができるようになることが分かる。このような概念に基づく、本発明が提案する通信制御方法は、通信制御装置ＥＱ−Ｘがネットワーク内装備(ＥＱ−１、ＥＱ−２、ＥＱ−３、．．．)のうち通信の遮断またはパケットフォワーディングなどのような通信統制の対象装備に対して通信統制のために意図的に操作されたアドレス情報を含んでいるＡＲＰパケットを作って送信するものである。通信制御ルールが装備ＥＱ−１及び装備ＥＱ−２の間の通信を遮断するように設定された場合を仮定する。通信制御装置ＥＱ−Ｘは、その通信制御ルールにしたがって装備ＥＱ−１及び装備ＥＱ−２の間の通信を遮断するために、通信制御装置ＥＱ−Ｘがこれら２つの装備のＡＲＰアドレスを操作する。すなわち、通信制御装置ＥＱ−Ｘは、装備ＥＱ−１には装備ＥＱ−２のＡＲＰアドレスをN２-MXで操作して提供すると同時に、装備ＥＱ−２には装備ＥＱ−１のＡＲＰアドレスをN１-MXで操作して提供する。このように操作されたＡＲＰアドレスをユニキャストで受信した２つの装備ＥＱ−１及びＥＱ−２は、自分のＡＲＰテーブルにその操作されたアドレスを反映させ、以後の通信は更新されたＡＲＰテーブルエントリーに基づいてなされる。以上を表で整理すれば、下記の表６のようになる。
【００２９】
【表６】
2007506353.tif 000008
【００３０】
これによって、第１装備ＥＱ−１及び第２装備ＥＱ−２のそれぞれは、通信制御装置ＥＱ−Ｘがまるで通信相手である第２装備ＥＱ−２及び第１装備ＥＱ−１であるかのように認識するようになる。したがって、２つの装備ＥＱ−１及びＥＱ−２が送信するパケットはＭＡＣアドレスがＭＸである通信制御装置ＥＱ−Ｘに伝達される。すなわち、ネットワーク内のある装備と通信をしようとする他の特定装備が送信したパケットは、関連装備のＡＲＰテーブルを操作することで、常に通信制御装置ＥＱ−Ｘ(または、第３のアドレス)に伝わるようにすることができる。通信制御装置ＥＱ−Ｘは、２つの装備から受信したそのパケットを無視してしまえば２つの装備の間の通信は遮断され、これによって通信制御装置がネットワーク内装備の間の通信をそれら装備の意図に拘わらず統制することができるようになることを理解することができる。
【００３１】
また、ネットワークに新規に連結された装備のＩＰアドレスが既存のネットワーク内装備とＩＰ衝突を起こす場合が発生することがあるが、通信制御装置はこのようなＩＰアドレスの衝突も自動で解決することができる。すなわち、ＭＡＣアドレスがＭＡＣ-９である新規装備ＥＱ−９がＮＥＴ-１として設定したＩＰアドレスで通信のためのブロードキャスティングをするようになれば、これを通信制御装置ＥＱ−Ｘが検出するようになる。その後、新規装備ＥＱ−９のアドレスを、正しい「ＩＰアドレス-ＭＡＣアドレス」情報を含んでいる通信統制ルールＤＢに照会して、新規装備のＩＰアドレスが正しいかどうかを判断する。この判断結果が、新規装備のＩＰアドレスが既存のＩＰアドレスと衝突を起こすものであることを示せば、正しいＩＰアドレスをユニキャストで既存装備に伝達してＩＰアドレスの衝突を解決する。
【００３２】
さらに、通信制御装置ＥＱ−Ｘは、これ以上通信統制の対象でないにもかかわらず、相変らず通信統制状態が維持されている装備に対しては、そのような通信統制状態を解除して正常な通信がなされるようにすべきである。このような解除のために、通信制御装置ＥＱ−Ｘは、正常なアドレス情報を含むＡＲＰパケットを作って該当する装備に送信する。特に、ＡＲＰ要請パケットを送る方法において一番重要なことは、ブロードキャストパケットで送るのではなく、必要な装備のそれぞれにユニキャストパケットで送信して、そのユニキャストパケットを受信した装備のＡＲＰテーブルに所望のエントリー（ネットワークレイヤアドレス、データリンク層アドレス)を維持するようにすることである。
【００３３】
通信制御ルールを設定する方法は、様々な方法によって行うことができる。通信制御装置ＥＱ−Ｘがネットワーク内の２つの装備ＥＱ−１及びＥＱ−２の間の通信を統制するルールを設定する場合を例にして説明する。
１番目の方法は、図３(a)に示すように、装備ＥＱ−１及び装備ＥＱ−２がお互いに相手に送ろうとするすべてのパケットを通信制御装置ＥＱ−Ｘがいつも受けるように設定しておき、通信制御装置ＥＱ−Ｘがこれら２つの装備の間の通信権限を照会して通信を許容する措置かまたは通信を遮断する措置を取る方法である。
２番目の方法は、図３(b)に示すように、装備ＥＱ−１が装備ＥＱ−２にパケットを送信する場合には通信制御装置ＥＱ−Ｘを経由しないで直接送信されるようにするが、装備ＥＱ−２から装備ＥＱ−１に送信されるパケットは必ず通信制御装置ＥＱ−Ｘに先に伝達されるように設定する方法である。
３番目の方法は、図３(c)に示すように、上記２番目の方法とは逆に、装備ＥＱ−１から装備ＥＱ−２に送信されるパケットは必ず通信制御装置ＥＱ−Ｘに先に伝達されるようにして、装備ＥＱ−２から装備ＥＱ−１に送信されるパケットは直接伝達されるように設定する方法である。
【００３４】
このような概念に基づいたネットワーク内装備の間の通信制御はソフトウェア的に実現することができ、この通信制御のための手段は、ソフトウェアと、このソフトウエアをインストールして実行することができるコンピューター(すなわち、通信制御装置ＥＱ−Ｘ)とを含んでいる。本発明の具現のために必要なプログラムは大きく分けて３つの部分、すなわち、サーバープログラム、エージェントプログラム及びクライアントプログラムに区分することができる。これら３つのプログラムは、同じ装置、すなわち、通信制御装置ＥＱ−Ｘに全部を配置することもでき、互いに異なる装置に配置することもできる。エージェントプログラムは、サーバープログラムを介して設定された通信制御ルール及び収集したアドレスデータを利用して特定装備の間の通信制御を実際に担当するプログラムとして、多数のユニットで構成することができる。サーバープログラムは、多数のエージェントプログラムを統合管理して使用者からのエージェントプログラムに対する命令を伝達する役割を担当して、エージェントプログラムから収集された管理データを統合管理するプログラムである。クライアントプログラムは、使用者のためのインターフェース役割を担当するプログラムであり、管理者コンピューターにインストールされる専用クライアントプログラムであるか、またはウエブ方式のブラウザとして使用することができるウェブ用プログラムである。
【００３５】
特に、エージェントプログラムは、本発明による通信制御を実現するのに核心的な役割を果たす機能を有する。このプログラムは、いくつかのイーサネットインターフェースを保有して多くのネットワークを管理することができるし、また８０２．１ＱのＶＬＡＮを利用した方式を取ることで１つのイーサネットインターフェースを利用して多くのネットワークを管理及び統制することができる機能も有する。エージェントプログラムは、図４に示すような構造を有するいくつかのモジュールで構成される。エージェントプログラムを構成するモジュールの種類及びそれぞれの主要機能を、次の表７に示す。
【００３６】
【表７】
2007506353.tif 000009
【００３７】
エージェントプログラムは、迅速な処理のためにすべてのデータベース（ＤＢ）をメモリーにハッシュ(HASH)及びデータリンクト(data linked)リストを利用して管理する。管理されるデータベース（ＤＢ）の種類を次の表８に示す。これらデータベースを管理するのがまさにアドレス及び遮断ルールデータベース管理モジュールである。
【００３８】
【表８】
2007506353.tif 000010
【００３９】
次に、ＬＡＮ４０に連結されたネットワーク内装備に対する通信を制御する本発明による通信制御方法を図２の概略的フローチャートによって説明する。
【００４０】
ＬＡＮ４０に連結されたネットワーク内装備(ＥＱ−１、ＥＱ−２、．．．、ＥＱ−１０)の間の通信を制御するために優先的に遂行しなければならない過程は、ＬＡＮ４０内に存在するネットワークレイヤアドレス及びデータリンク層アドレスを収集することである(Ｓ１０)。ネットワークレイヤアドレスの代表的な例はＩＰアドレスであり、データリンク層アドレスの代表的な例はＭＡＣアドレスである。図５はアドレス収集段階(Ｓ１０)の実行過程をより具体的に示す図である。アドレスの収集は大きく分けて２つの方式でなされる。
【００４１】
１つは、新しい装備がＬＡＮ４０に加えられてネットワーク内の他の装備と通信しようとする時、ＡＲＰパケットをブロードキャスティングして他の装備の応答を要請するが、通信制御装置がその過程で発生されるＡＲＰパケットを受け付けて、その新しい装備のアドレスを収集する方式である。具体的には、ＬＡＮ４０の内部のある装備がネットワーク内の他の装備と通信するためにＡＲＰパケットをブロードキャスティングする時(Ｓ１００)、通信制御装置ＥＱ−ＸがそのＡＲＰパケットを受信してそのなかに含まれたネットワークレイヤアドレス及びデータリンク層アドレスを検出する(Ｓ１０２)方式である。
もう１つは、ネットワーク管理者が管理対象装備のアドレスを直接入力した場合にその入力アドレスから収集する方式である。すなわち、ネットワーク管理者が通信制御のための管理対象を管理対象データベースに設定すれば(Ｓ１０６)、その設定内容は管理対象データベースに保存され(Ｓ１０８)、次に通信制御装置は管理対象データベースに設定されている管理対象装備に対してＡＲＰパケットをユニキャスト方式で送信して(Ｓ１１０)、これに応答して管理対象装備がＡＲＰパケットを送信すれば(Ｓ１１２)、通信制御装置はそのＡＲＰパケットを受信してそのなかに含まれたネットワークレイヤアドレス及びデータリンク層アドレスを検出する(Ｓ１０２)方式である。どちらの方式によっても、収集されたアドレスはアドレスデータベースに保存（記録）、管理される(Ｓ１０４)。
【００４２】
次に、収集されたアドレスに基づいてネットワーク管理者がネットワークレイヤアドレス及びデータリンク層アドレスに対して通信制御ルールを設定する(図２のＳ２０)。そして、通信制御ルールが設定されれば、通信制御装置(ＥＱ−Ｘ)はその設定された通信制御ルールにしたがってネットワーク内装備の間の通信を遮断、遮断解除またはパケットフォワーディングのような処理を行う(Ｓ３０)。通信遮断に関するルール設定及びそれによる遮断処理手続きを図示した図６を参照してこれに関してより具体的に説明する。
【００４３】
図６に示すようにして、ネットワーク管理者は通信を制御しなければならないネットワーク内装備に対して通信制御ルールを設定することができる。通信制御ルールの設定は次のような段階によって遂行される。
(１)１番目の段階では、ネットワーク内に存在するネットワークレイヤアドレス(イーサネットＩＰアドレス)及びデータリンク層アドレス(ＭＡＣアドレス)に関する収集されたデータ及び手作業で入力したデータに基づいてネットワークレイヤアドレスグループ、データリンク層アドレスグループを生成する。但し、ネットワークレイヤアドレスグループ及びデータリンク層アドレスグループは共通性があるアドレス資源を同じグループで縛って管理するのが便利な場合のみ利用すればよいので、必ず採用しなければならない必須な段階ではない。
(２)２番目の段階では、それぞれのネットワークレイヤアドレス、データリンク層アドレス、ネットワークレイヤアドレスグループ、データリンク層アドレスグループに対して基本的に通信を遮断するか、あるいは基本的に通信を遮断しないかに関する設定を行う。すなわち、通信の基本的な許容/遮断の可否を設定する。
(３)３番目の段階では、全てのネットワークレイヤアドレスのそれぞれに対して、各ネットワークレイヤアドレスと異なるネットワークレイヤアドレス、データリンク層アドレス、ネットワークレイヤアドレスグループ、データリンク層アドレスグループの間の通信を許容するか、あるいは遮断するかを設定する。
(４)４番目の段階では、全てのデータリンク層アドレスのそれぞれに対して、各データリンク層アドレスと異なるネットワークレイヤアドレス、データリンク層アドレス、ネットワークレイヤアドレスグループ、データリンク層アドレスグループの間の通信を許容するか、あるいは遮断するかを設定する。
(５)５番目の段階では、全てのネットワークレイヤアドレスグループのそれぞれに対して、各ネットワークレイヤアドレスグループと異なるネットワークレイヤアドレスグループ、データリンク層アドレスグループの間の通信遮断の可否を設定する。
(６)６番目の段階では、全てのデータリンク層アドレスグループのそれぞれに対して、各データリンク層アドレスグループ及びネットワークレイヤアドレスグループ、他のデータリンク層アドレスグループの間の通信遮断の可否を設定する。図３に示すように、通信遮断ルールを設定する際にパケット経路に対して方向性を設定することもできる。
【００４４】
このような通信制御ルールの設定は、ネットワーク管理者が通信制御装置ＥＱ−Ｘを利用して直接手動で入力する方式でなされる。入力された通信制御ルールは、通信制御ルールデータベースに保存管理されて、同時に管理のための用途で通信制御ルールを設定した時間などがアドレスデータベースに記録される(Ｓ１２３、Ｓ１２４、Ｓ１２５)。通信制御ルールの設定対象はネットワークレイヤアドレス相互間、データリンク層アドレス相互間、ネットワークレイヤアドレス及びデータリンク層アドレス相互間の通信である。さらに、ネットワークレイヤアドレス及びデータリンク層アドレスにグループ概念を取り入れる場合には、ネットワークレイヤアドレス及びネットワークレイヤアドレスグループ相互間、データリンク層アドレス及びデータリンク層アドレスグループ相互間、ネットワークレイヤアドレス及びデータリンク層アドレスグループ相互間、データリンク層アドレス及びネットワークレイヤアドレスグループ相互間、ネットワークレイヤアドレスグループ及びデータリンク層アドレスグループ相互間の通信も通信制御ルールの設定対象になる。通信制御の内容は通信の遮断、パケットフォワーディング、遮断の解除、許容などのようなものにすることができる。例えば、ネットワーク内装備のネットワークレイヤアドレス及びデータリンク層アドレスがそれぞれ、ＮＥＴ-i(但し、i=０、１、２、．．．)及びＭＡＣ-j(但し、j=０、１、２、．．．)と仮定する。ネットワーク内装備の管理などの必要によっていくつかのネットワークレイヤアドレス、またはいくつかのデータリンク層アドレスを１つのグループで縛って管理する場合がある。このようにアドレスに対してグループ概念を取り入れて管理する場合、ネットワークレイヤアドレスグループ及びデータリンク層アドレスグループをそれぞれ、ＮＥＴＧ-m(但し、m=０、１、２、．．．)及びＭＡＣＧ-n(但し、n=０、１、２、．．．)と仮定する。アドレスグループは管理の必要や便宜性を考慮して作られるものなので、ある装備のアドレスがいくつものグループに属することもあるし、どのグループにも全然属しないこともある。例えば、ネットワークレイヤアドレスがＮＥＴ-１である装備に対して通信制御ルールは次の表９のように設定することができる。他のネットワークレイヤアドレス、データリンク層アドレス、及びこれらアドレスの各グループに対しても同じ方式で通信制御ルールを設定することができる。
【００４５】
【表９】
2007506353.tif 000011
【００４６】
以上の過程を経てネットワーク内装備に対するアドレスの収集及び収集されたアドレスに対する通信制御ルールが設定されれば、設定された通信制御ルールに基づいてネットワーク内装備の間の通信を統制することができる条件が用意される。このような条件下でネットワーク内の特定装備ＥＱ−ｉがネットワーク内の他の装備ＥＱ−jと通信するためにＡＲＰパケットをブロードキャスティング方式で送信をすれば(図６のＳ１２０)、通信制御装置ＥＱ−ＸもそのＡＲＰパケットを受信するようになって、そのＡＲＰパケットの中に内包されたネットワークレイヤアドレス及びデータリンク層アドレスを検出する(Ｓ１２１)。通信制御装置ＥＱ−Ｘは、検出されたアドレスを通信制御ルールデータベースにあらかじめ登録されている情報と比較して、検出されたアドレスが通信遮断の対象であるか否かを判別する。通信遮断の対象である場合、通信制御装置ＥＱ−Ｘは通信遮断のための操作されたＡＲＰパケットをネットワーク内のすべての装備にユニキャスト方式で送信する。操作されたＡＲＰパケットには通信の主体になる装備ＥＱ−ｉ及びＥＱ−jのＭＡＣアドレスではない、通信制御装置ＥＱ−Ｘまたは第３の装備のＭＡＣアドレスが設定されている。その結果、装備ＥＱ−ｉ及び装備ＥＱ−ｊの間に送ろうとするパケットは、通信制御装置ＥＱ−Ｘ(または、第３の装備)に先に伝達された後、通信相手に伝達されないで無視されるように処理することで、上の２つの装備の間の通信が遮断される。
【００４７】
通信遮断の対象であったアドレスがある理由によって特定時点以後は自由な通信が保障されるようにする必要があり得る。この場合、ネットワーク管理者は通信遮断に設定されたルールが解除されるように再設定することができるし、それによってその遮断対象の通信遮断が解除される必要がある。このような過程が図７に示されている。管理者は通信制御装置(ＥＱ−Ｘ)を利用して通信遮断を解除するためのルールを設定する。設定された解除ルールも通信制御ルールデータベースに記録されて、そのような解除ルールの設定時間などがアドレスデータベースに管理目的で記録される(Ｓ１４４、Ｓ１４２、Ｓ１４６)。
【００４８】
一方、ネットワーク内の特定装備ＥＱ−ｉが異なる装備ＥＱ−jと通信するためにネットワークレイヤパケット(例えば、ＩＰパケット)をブロードキャスティング方式で送信すれば(Ｓ１３０)、通信制御装置ＥＱ−Ｘはそのパケットを受信してそのなかに内包されたネットワークレイヤパケットを検出する(Ｓ１３２)。参照として、通信遮断の解除は常にレイヤ３(Ｌ３)パケットを利用してなされる。その後、アドレスが通信遮断の対象のものである場合のみに通信遮断の解除を行う必要があるので、検出されたパケットに含まれたデータリンク層アドレスが遮断ＭＡＣであるか否かを判断する(Ｓ１３４)。ここで、遮断ＭＡＣとは、通信制御装置ＥＱ−Ｘが通信遮断のために意図的に操作したＭＡＣアドレスのことである。遮断ＭＡＣではない場合であれば、遮断されていない状態なので解除の必要性もないので、そのまま無視すればよい(Ｓ１３６)。しかし、遮断ＭＡＣである場合には現在は通信遮断になっている状態なので、通信制御装置ＥＱ−Ｘはデータリンク層アドレスを通信制御ルールＤＢに照会して登録された通信制御ルールと比較する(Ｓ１３８)。比較の結果、相変らず通信遮断の対象であると確認されれば、その状態をそのまま維持すれば良く、ネットワークの管理目的で検出時間をアドレスデータベースに更新しておく(Ｓ１４２)。しかし、上記の比較の結果、設定された通信制御ルールが通信遮断の解除対象であれば、通信制御装置は解除のためのＡＲＰパケットをネットワーク内のすべての装備にユニキャスト方式で送信して通信遮断状態が解除されるようにする(Ｓ１４０)。通信遮断を解除するために送信されるＡＲＰパケットには正常なＭＡＣアドレスが含まれているので、これを受信したネットワーク内装備は、以後はそのＭＡＣアドレスを有した装備に対しては通信を正常に行えるようになる。これによって通信遮断状態は解除される。
【００４９】
図８は通信制御ルールデータベースに設定されたルールによってネットワーク内装備の間の通信制御が処理される過程を示す図である。ネットワーク内のある装備ＥＱ−ｉがネットワーク内の他の装備と通信するためにネットワークレイヤパケットをブロードキャスティング方式で送信すれば(Ｓ１５０)、通信制御装置はそのネットワークレイヤパケットを検出して(Ｓ１５２)、そのパケットに内包されたデータリンク層アドレスが遮断ＭＡＣであるか否かを判断する(Ｓ１５４)。遮断ＭＡＣではなければ通信を遮断する対象ではないので、無視すればよい(Ｓ１５６)。その場合、そのデータリンク層アドレスを有した装備と通信を要請した装備ＥＱ−ｉとの間では正常の通信がなされる。しかし、データリンク層アドレスが遮断ＭＡＣである場合には、通信を統制しなければならない対象なので、通信制御装置はデータリンク通信制御ルールデータベースに登録された通信制御ルールと比較して(Ｓ１５８、Ｓ１６０)、どのような統制を加えるかを決定する。通信遮断の対象として設定されている場合には、上述した操作されたＡＲＰパケットの送信によって通信が遮断されるように処理する(Ｓ１６２)。通信が許容されるものとして設定されている場合には、元々の目的地にネットワークレイヤパケットをフォワーディングする(Ｓ１６４)。
【００５０】
図９はパケットの検出とそれによるアドレス収集の過程をより具体的に示すフローチャートである。ネットワークレイヤアドレス及びデータリンク層アドレスの収集ルートは大きく分けて２つがある。その１つは、図９に示すように、通信制御装置ＥＱ−Ｘが管理対象データベースにあるアドレスを参照してＡＲＰ要請パケットをブロードキャスティング方式で発送して(Ｓ１７０、Ｓ１７２)、発送されたＡＲＰ要請パケットに内包されたプロトコルアドレスを有したネットワーク内装備がＡＲＰ応答パケットで応答すれば通信制御装置がそのＡＲＰ応答パケットからアドレスを収集するものである(Ｓ１７４、Ｓ１７８)。他の１つは、図９に示すように、上記のような要請手続きがなく、ネットワーク内装備同士で通信するためにはＡＲＰパケットをブロードキャスティング方式でネットワークに送るが、そのようにして発送されたＡＲＰパケットを通信制御装置が検出することで、その検出されたＡＲＰパケットからアドレスを検出するものである(Ｓ１７６、Ｓ１７８)。検出されたアドレスはそのままアドレス関連データベースに保存管理され(Ｓ１７９)、この時に管理目的上の検出時間も一緒に保存される。
【００５１】
次に、エージェントプログラムの遮断/解除管理モジュールは、次のような処理を行う。検出されたパケットによる通信制御処理、ＡＲＰ要請(Request)パケット検出による処理、ＡＲＰ応答(Reply)パケット検出による処理、プロトコルレイヤ検出による処理、プロトコルアドレス及びデータリンク層アドレスによる管理ルール検索、プロトコルアドレスによる管理ルール検索などである。これらに関してより具体的に説明する。
図１０は検出されたパケットによる通信制御処理の過程を示す図である。検出されたパケットがＩＰパケットであるか、それともＡＲＰパケットであるかによって、後続する処理内容が異なるように決定する。通信制御装置ＥＱ−Ｘがどのようなルートによってもネットワーク内のパケットを検出すれば(Ｓ１８０)、検出されたパケットがＩＰパケットであるかあるいはＡＲＰパケットであるかを調査する(Ｓ１８２)。ＡＲＰパケットならばＡＲＰ要請パケット検出によるルーチン及びＡＲＰ応答パケット検出によるルーチンを実行する(Ｓ１８４)。ＩＰパケットである場合には、再びそのパケットのイーサネット目的地アドレスが遮断アドレスであるか否かをチェックする(Ｓ１８６)。遮断アドレスは通信制御装置によって操作されたアドレスである。よって、ここで該当しなかったら正常の通信が保障される必要があるので、通信制御装置は何らのアクションを取らないで無視さえすればよい(Ｓ１８８)。遮断アドレスである場合は、通信制御装置が通信遮断のための処理を遂行しなければならない。このためにプロトコルレイヤパケットを処理するルーチンを実行することで、解除モジュール及びパケットフォワーディングモジュールのうちからいずれか１つが実行されるようにする(Ｓ１８９)。
【００５２】
図１１は図１０のＳ１８４の「ＡＲＰ要請パケットの検出による処理ルーチン」をより具体的に示すフローチャートである。ＡＲＰ要請パケットは一般的にブロードキャスティング方式で送信される。ネットワーク内の特定装備が異なる装備と通信するためにＡＲＰ要請パケットをブロードキャスティングすれば、通信制御装置ＥＱ−ＸがそのＡＲＰ要請パケットを検出する(Ｓ１９０)。検出されたＡＲＰ要請パケットに内包されたアドレスを抽出して、プロトコルアドレスデータベース(ＤＢ-１)、データリンク-ＭＡＣアドレスデータベース(ＤＢ-２)、プロトコル-データリンク層アドレスデータベース(ＤＢ-３)のようなアドレスデータベースに、新規に生成するかあるいはアドレスを修正するなどによって反映させる(Ｓ１９２及び図１９のＳ３５０、Ｓ３５４)。その後、先に検出されたアドレス内の受信側アドレスで通信遮断のための処理を行う(Ｓ１９４、Ｓ１９６、Ｓ１９８)。このために先ず、通信制御装置は、受信側アドレスを利用してそれに関する管理ルールが存在するかどうかを検索して(Ｓ１９４)、受信側アドレスが遮断対象である場合、すなわち、遮断ルールが存在する場合には、プロトコルデータリンク層アドレスデータベース(ＤＢ-３)を利用して受信プロトコルアドレスと「同じアドレス」に対して遮断パケットを送信する処理を遂行する(Ｓ１９８)。通信制御装置は、例えば受信プロトコルアドレスがＮＥＴ-１及びＮＥＴ-３ならば、同じプロトコルアドレスを有する装備ＥＱ−１及びＥＱ−３に対して遮断パケットを送信する。例えば、ＮＥＴ-３が遮断対象であると仮定すれば、装備ＥＱ−１が装備ＥＱ−３との通信を希望する時に、装備ＥＱ−１がブロードキャスティングしたＡＲＰ要請パケットを通信制御装置が受信するが、この場合、通信制御装置はＥＱ−１及びＥＱ−３にＡＲＰパケットを送信する。送信するＡＲＰパケットによって、ＥＱ−１に対してはＥＱ−３がまるで通信制御装置であるかのように認識されるようにする誤ったアドレス(false address)情報が提供され、ＥＱ−３に対してはＥＱ−１が通信制御装置であるかのように認識されるようにする誤ったアドレス情報が提供される。これによって装備ＥＱ−１及びＥＱ−３が送信したパケットは通信制御装置ＥＱ−Ｘに伝達されて無視されるので、両装備の間の通信は遮断される。受信側アドレスを利用した処理が終わった後には、送信側アドレスに対しても通信遮断のための処理を行う(Ｓ２００、Ｓ２０２、Ｓ２０４)。この処理は受信側アドレスを利用した遮断パケットの送信処理の場合とほとんど類似しているが、遮断パケットの送信対象が送信側プロトコルと同一なネットワークに属する「すべての」プロトコル-データリンク層アドレスデータベース(ＤＢ-３)であるという点だけが異なっている。その理由は、送信側がブロードキャスティングしたＡＲＰ要請パケットはネットワーク内のすべての装備に対して影響を与えるからである。
【００５３】
図１２は図１０のＳ１８４の「ＡＲＰ応答パケットの検出による処理ルーチン」をより具体的に示すフローチャートである。通信制御装置が送信したＡＲＰ要請パケットに応じてネットワーク内装備がＡＲＰ応答パケットを送信して来れば、通信制御装置はこれを検出して(Ｓ２１０)、そのなかに内包されたアドレスを抽出してプロトコルアドレスデータベース(ＤＢ-１)、データリンク-ＭＡＣアドレスデータベース(ＤＢ-２)、プロトコル-データリンク層アドレスデータベース(ＤＢ-３)のようなアドレスデータベースに反映させる(Ｓ２１２及び図１９のＳ３５０、Ｓ３５４)。ＡＲＰ応答パケットは一般的にユニキャスト方式で送信される。したがって、検出された応答パケットがユニキャスト方式で送信されたパケットである場合は正常なものであるので、その応答パケットに対して通信制御装置が用意した後続の処理を適切に遂行するだけでよい(Ｓ２１４、Ｓ２１６)。しかし、その応答パケットがブロードキャスト方式のパケットである場合は、ネットワーク内の他の装備に伝達すべきではないパケットが非正常的に伝達された場合に該当する。したがって、適切な後続の手続きが必要である。すなわち、検出された応答パケットに含まれている送信側アドレスを利用して管理ルールを検索して(Ｓ２１８)、検索結果がその送信側アドレスに対して遮断ルールが存在することを示せば、送信側プロトコルと同一なネットワークに属するすべてのプロトコル-データリンク層アドレスデータベース(ＤＢ-３)に対して遮断パケットを送信する処理を遂行する(Ｓ２２０、Ｓ２２２)。その理由は、応答パケットがブロードキャストになって、ネットワーク内のすべての装備がそのパケットの影響を受けるようになって、そのパケットに基づく通信が起こりうるからである。したがって、その場合には、通信遮断の対象同士の通信は遮断しなければならない。
【００５４】
図１３はプロトコルレイヤパケットの検出による処理の過程を示すフローチャートである。これは図１０のＳ１８９に対応する。通信制御装置がプロトコルレイヤパケットを検出すれば(Ｓ２３０)、そのパケットに含まれたイーサネット目的地アドレスが遮断アドレスであるか否かをチェックする(Ｓ２３２)。このようなチェックの結果によって通信制御装置が次に遂行しなければならない処理内容は、通信遮断の解除、パケットフォワーディング及びそのパケットの無視である。イーサネット目的地が遮断アドレスではない場合には、正常な通信が保障されなければならないので、そのまま無視すればよい(Ｓ２３４)。イーサネット目的地アドレスが遮断アドレスである場合は、通信制御装置が操作されたＭＡＣアドレス、すなわち送信側ＭＡＣアドレスを通信制御装置のＭＡＣアドレスに設定しておいたパケットを該当する設備にあらかじめ提供して、その装備に対して通信を遮断しておいた場合である。この場合には、送信側アドレス(プロトコル及びデータリンク層アドレス)ならびに受信側アドレス(プロトコル及びデータリンク層アドレス)を検出して(Ｓ２３６)、送信側アドレス及び受信側アドレスによって通信の許容、遮断またはパケットフォワーディングのような処理を行う。先ず、通信制御装置は送信側アドレスによる管理ルールの検索を行い(Ｓ２３８)、すべて遮断に設定されている場合には、通信制御装置は、該当するパケットを無視してしまえばよい(Ｓ２４０)。その場合、そのパケットは通信制御装置を脱することができなくて、資源からの通信が遮断される。送信側アドレスによる管理ルールが一部遮断である場合には、受信側アドレスとの通信が可能であるか否かをチェックして(Ｓ２４２)、遮断に設定されていれば無視してしまい(Ｓ２４０)、通信が許容されていれば受信側アドレスによる管理ルールを検索する(Ｓ２４４)。同様にして、検索結果がすべて遮断ならばそのパケットを無視してしまえばよいし(Ｓ２４６)、検索結果が一部遮断である場合には送信側アドレスとの通信許容の可否をチェックする(Ｓ２４８)。ここで、通信が遮断された場合には該当するパケットを無視してしまえばよい(Ｓ２４６)。通信が許容されている場合にはプロトコルレイヤパケットのフォワーディングルーチンを実行する(Ｓ２５０)。その後、通信遮断が誤った場合に通信遮断状態を解除するためのパケットを送信することで、そのような誤った状態を直す処理を遂行する(Ｓ２５２)。このような解除処理によって、プロトコルレイヤパケットはこれ以上通信制御装置に送信されないで正常な目的地に送信されるようになる。
【００５５】
図１４は図１３のパケットフォワーディング(Ｓ２５０)をより具体的に示すフローチャートである。パケットフォワーディング過程において、通信制御装置が受信側データリンク層アドレスが遮断アドレスであるプロトコルレイヤパケットを検出すれば(Ｓ２５４)、送信側アドレス及び受信側アドレスによる遮断の可否を検索する(Ｓ２５５)。検索結果が通信遮断アドレスに設定されていないアドレスであることを示した場合には、現在の通信の遮られた状態は誤ったものであるので、その通信遮断を解除するための処理を遂行する(Ｓ２５６)。一方、通信遮断アドレスに設定されていた場合、そのパケットを遮断しなければならないか、それともフォワーディングするべきかをさらにチェックする(Ｓ２５７)。検索されたアドレスに対してパケットフォワーディングルールが存在する場合には、そのパケットの目的地アドレスを正常なデータリンク層アドレスにしてそのパケットをフォワーディングする(Ｓ２５９)。フォワーディングルールが存在しない場合には、そのパケットは正常に遮断しなければならないものなので、そのパケットを他のどのような装備にも伝達しないで無視してしまう(Ｓ２５８)。
【００５６】
次に、図１５を参照してＡＲＰ応答パケット及びＡＲＰ要請パケットの検出によるアドレスデータベースの管理段階(例えば、図１１のＳ１９２及び図１２のＳ２１２)の過程を説明する。アドレスデータベースを管理する理由はネットワーク内装備に対する管理、特に通信制御を行うためには管理及び制御の対象であるネットワーク内装備のリストを確保する必要があり、特に現在電源が投入されて正常に作動している装備を識別できるリストが必要であるからである。通信制御装置がネットワーク内のある装備から送信されたＡＲＰ要請パケットや応答パケットを検出すれば(Ｓ２６０)、検出されたパケット内のデータに内包された送信者プロトコルアドレスがプロトコルアドレスデータベース(ＤＢ-１)内に存在するかどうかをチェックする(Ｓ２６２)。存在しなかったらそのアドレスは新しいものであるので、その送信者プロトコルアドレスを生成して(Ｓ２６４)、存在したら次の段階で、パケット内のデータ中の送信者データリンク層アドレスがデータリンク層アドレスデータベース(ＤＢ-２)内に存在するかどうかをチェックする(Ｓ２６６)。存在しなかったら、同様にして送信者データリンク層アドレスを生成して(Ｓ２６８)、存在したら一対の送信者プロトコルアドレス-送信者データリンク層アドレスの組み合わせがプロトコル-データリンク層アドレスデータベース(ＤＢ-３)に存在するかどうかをチェックする(Ｓ２７０)。存在しなかったらそのプロトコル-データリンク層アドレスの組み合わせを生成して(Ｓ２７２)、存在したらアドレスを新たに生成させる必要はない。但し、ネットワーク上の装備を円滑に管理する目的で、通信制御装置はその装備からパケットを受信した時間をアドレス管理データベースに記録（修正）して、その装備の最近の活動時間が分かるようにする(Ｓ２７４)。
【００５７】
続いて、ネットワーク管理者はプロトコルアドレスまたはデータリンク層アドレスに対して個別的に通信制御ルールを設定することができるが、これら２つのアドレスの組み合わせに対しても通信制御ルールを設定することができる。図１６はプロトコルアドレス及びデータリンク層アドレスの組み合わせに対して設定された通信制御ルールを検索して処理する過程を示す図であり、図１７及び図１８はプロトコルアドレス及びデータリンク層アドレスにより通信制御ルールを検索して処理する過程を示す図である。
【００５８】
図１６のフローチャートにおいて、先ず通信制御装置がパケット内の送信側データまたは管理者が手動で入力したデータからプロトコルアドレス及びデータリンク層アドレスを検出する(Ｓ２８０)。このようにアドレス検出を行った後に次のような処理を遂行する。
(１)プロトコルアドレスデータベース(ＤＢ-１)及びデータリンク-ＭＡＣアドレスデータベース(ＤＢ-２)を参照して、検出されたプロトコルアドレス及びデータリンク層アドレスそのものが遮断対象であるか否かを照会する(Ｓ２８２)。
(２)データリンク-ＭＡＣアドレスデータベース(ＤＢ-２)及びプロトコル-データリンク層アドレスデータベース(ＤＢ-３)を参照して、検出されたプロトコルアドレス及び異なるアドレスの組み合わせ、ならびに検出されたデータリンク層アドレス及び異なるアドレスの組み合わせが通信遮断対象であるか否かを照会する(Ｓ２８６)。
(３)プロトコルアドレスグループデータベース(ＤＢ-４)、データリンク層アドレスグループデータベース(ＤＢ-５)、アイテム(ITEM)単位ルールデータベース(ＤＢ-６)を参照して、検出されたプロトコルアドレス及びデータリンク層アドレスのそれぞれが関連ルールによる通信遮断対象に該当するか否かを照会する(Ｓ２９０)。
(４)プロトコルアドレスグループデータベース(ＤＢ-４)、データリンク層アドレスグループデータベース(ＤＢ-５)、グループ間ルールデータベース(ＤＢ-７)を参照して、検出されたプロトコルアドレスを含んだグループ及び検出されたデータリンク層アドレスを含んだグループがグループルールによる通信遮断対象に該当するか否かを照会する(Ｓ２９４)。
(５)検出されたパケットに対してパケットフォワーディングルールが存在するか否かを照会する(Ｓ２９８)。
【００５９】
このような照会の結果、遮断対象として確認されれば通信遮断のための処理を行う。この時、Ｓ２８２及びＳ２８６の場合は、該当アドレスに対する全面的な通信遮断の措置を取ればよいし(Ｓ２８４、Ｓ２８８)、Ｓ２９０及びＳ２９４の場合は関係全体またはグループ全体に対して通信遮断を行うのではなく、その関係またはグループのうちから該当するアドレスのみに対して通信遮断を行う(Ｓ２９２、Ｓ２９６)。検出されたパケットに対してフォワーディングルールが存在する場合には、そのパケットをフォワーディング処理して(Ｓ３００)、そうではない場合には無視する(Ｓ３０２)。
【００６０】
図１７に示すプロトコルアドレスによる通信制御ルールの処理を以下に説明する。通信制御装置が受信したパケット内の受信側プロトコルアドレスまたは管理者が手動で入力したデータからプロトコルアドレスを検出して(Ｓ３１０)、プロトコルアドレスデータベース(ＤＢ-１)を参照してその検出されたプロトコルアドレスが遮断対象であるか否かを照会する(Ｓ３１２)。遮断対象ならばそのプロトコルアドレスに対する通信を完全に遮断し(Ｓ３１４)、そうではない場合にはプロトコルアドレスグループデータベース(ＤＢ-４)、データリンク層アドレスグループデータベース(ＤＢ-５)、ITEM単位ルールデータベース(ＤＢ-６)を参照して、検出されたプロトコルアドレスに関連する関連ルールによる遮断の可否を照会する(Ｓ３１６)。照会の結果、関連ルールが遮断対象であれば、検出されたプロトコルアドレスに関連するもののみに対して限定的に通信を遮断する(Ｓ３１８)。さらに、関連ルールが遮断対象でなければプロトコルアドレスグループデータベース(ＤＢ-４)、データリンク層アドレスグループデータベース(ＤＢ-５)、グループ間ルールデータベース(ＤＢ-７)を参照して、検出されたプロトコルアドレスが含まれたグループに対してグループによる遮断の可否を照会する(Ｓ３２０)。照会の結果、グループルールが遮断対象ならば、検出されたプロトコルアドレスに関連するもののみに対して限定的に通信を遮断する(Ｓ３２２)。また、グループルールが遮断対象でなければ、フォワーディングルールが存在するか否かを照会する(Ｓ３２４)。検出されたパケットに対してフォワーディングルールが存在する場合、そのパケットをフォワーディング処理して(Ｓ３２６)、そうではない場合には無視する(Ｓ３２８)。
【００６１】
データリンク層アドレスによる通信制御ルールの処理については上記と同様に遂行されるが、図１８に示すフローチャートを参照すれば容易に理解することができるので、ここではそれに関する説明を省略する。
【産業上の利用可能性】
【００６２】
以上説明したように、本発明はネットワークの資源管理ソフトウェアで具現することができる。そして、そのソフトウェアを汎用のコンピューターシステムまたは専用として製作された通信制御装備にインストールして上述した通信制御装置として利用することができる。
一方、以上においてはＬＡＮを例にして説明を行ったが、本発明は他の形態のネットワークに対しても適用可能であることは勿論である。
本発明は複雑多様化されて行くネットワーク環境下で制限された人的資源によって膨大なネットワーク資源を效率的で統合的に管理して制御することができる。さらに、ある特定ネットワーク上の各装備使用者に対して、そのネットワーク内の他の装備に対するアクセス範囲をあらかじめ設定して、その許諾されたアクセス範囲内のみで通信が可能になるように統制することができる。
さらに具体的に整理すれば、本発明は次のような效果を提供することができる。
第１に、ネットワーク運用の效率化をはかることができる。すなわち、ネットワークリソースに関する情報を自動で収集することができるし、障害発生に関する情報をリアルタイムでモニタリングすることができるので、障害に対する迅速な措置が可能である。また、ネットワーク上で内部/外部通信データパケットを選別的に制御統制することで、外部ネットワークを担当するネットワーク装備のリソースを節約することができるし、防火壁サーバーの資源（リソース）の軽減によって外部通信速度を増加させることができる。それに加えて、各ネットワーク別に使用制限することができるなど、ネットワークを效率的に運用することができる手段を確保することができるようになる。
第２に、ネットワーク内部のセキュリティを強化することができる。すなわち、外部ネットワークからのアクセスを制限することができるだけでなく、内部ネットワーク間のアクセスを制限することができるし、特定サーバーのアクセスも制限することができる。したがって、一般的な防火壁サーバーでは処理することができないネットワーク内部装備の間の通信制御ができるだけでなく、特定サーバーのＩＰアドレス保護及び、不正内部利用者間の情報の漏洩や、ハッキングや、クラッキングを防止することができるし、これによるデータパケットの減少をもたらすことができる。
第３に、ネットワークの安定的な運営をはかることができる。ネットワーク内の装備やリソースに関する情報収集及びネットワーク状況に関する情報をモニタリングして収集及び分析することで、障害発生の前に警告するか、または障害発生要素を前もってとり除くことができるし、さらには障害発生時の原因把握及び措置を迅速になすことができる。
第４に、ＩＰ衝突を效果的に解決することができる。ＭＡＣアドレスだけではなく、ＩＰアドレスも操作が可能であるので、ネットワーク内の装備の間のＩＰアドレスの衝突が発生する場合に、正しいＩＰアドレスを該当する装備に提供してＩＰアドレスの衝突を自動的に解決することができる。
【００６３】
以上においては本発明の望ましい実施例を参照して説明したが、当業者であれば、特許請求の範囲に記載した本発明の思想及び領域から脱しない範囲内で、本発明を様々に変形及び変更することができる。したがって、特許請求範囲の等価的な意味や範囲に属するすべての変形及び変更は全て本発明の権利範囲の中に属することを明らかにしておく。
【図面の簡単な説明】
【００６４】
【図１】本発明による通信統制方法を具現したシステムの構成例を示す図である。
【図２】ＬＡＮに連結されたネットワーク内装備に対する通信を制御する本発明による通信制御方法を示す概略的フローチャートである。
【図３】（ａ）〜（ｃ）は通信制御装置がネットワーク内の２つの装備の間の通信を統制するルールを設定する方法を説明するための図である。
【図４】本発明においてエージェントプログラムを構成するプログラムモジュールを示す図である。
【図５】図２のアドレス収集段階(Ｓ１０)の実行過程をより具体的に示す図である。
【図６】本発明における通信遮断に関するルール設定及びそれによる遮断処理手続きを示す図である。
【図７】本発明において既に設定された通信遮断ルールを解除する過程を示す図である。
【図８】本発明において通信制御ルールデータベースに設定されたルールによってネットワーク内装備の間の通信制御が処理される過程を示す図である。
【図９】本発明におけるパケットの検出とそれによるアドレス収集の過程をより具体的に示すフローチャートである。
【図１０】本発明における検出されたパケットによる通信制御処理の過程を示す図である。
【図１１】図１０のＳ１８４の「ＡＲＰ要請パケットの検出による処理ルーチン」をより具体的に示すフローチャートである。
【図１２】図１０のＳ１８４の「ＡＲＰ応答パケットの検出による処理ルーチン」をより具体的に示すフローチャートである。
【図１３】本発明におけるプロトコルレイヤパケットの検出による処理の過程を示すフローチャートである。
【図１４】図１３のパケットフォワーディング(Ｓ２５０)をより具体的に示すフローチャートである。
【図１５】本発明におけるＡＲＰ応答パケット及びＡＲＰ要請パケットの検出によるアドレスデータベースの管理段階の過程を示すフローチャートである。
【図１６】本発明においてプロトコルアドレス及びデータリンク層アドレスの組み合わせに対して設定された通信制御ルールを検索して処理する過程を示すフローチャートである。
【図１７】本発明においてプロトコルアドレス及びデータリンク層アドレスにより通信制御ルールを検索して処理する過程を示すフローチャートである。
【図１８】本発明においてプロトコルアドレス及びデータリンク層アドレスにより通信制御ルールを検索して処理する過程を示すフローチャートである。
【図１９】本発明においてネットワーク内装備のアドレスを検出してデータベースに保存管理するルートを示す図である。
【符号の説明】
【００６５】
１０  外部設備
２０  インターネット
３０  ルータ
４０  ＬＡＮ
５０  レイヤ−２スイッチ（Ｌ２  ＳＷ）
ＤＢ−１  プロトコルアドレスデータベース
ＤＢ−２  データリンク-ＭＡＣアドレスデータベース
ＤＢ−３  プロトコル-データリンク層アドレスデータベース
ＤＢ−４  プロトコルアドレスグループデータベース
ＤＢ−５  データリンク層アドレスグループデータベース
ＤＢ−６  アイテム(ITEM)単位ルールデータベース
ＤＢ−７  グループ間ルールデータベース
ＤＢ−８  管理対象設定データベース
ＥＱ−１〜ＥＱ−１０  装備１〜装備１０
ＥＱ−Ｘ  通信制御装置
【図１】
2007506353.tif 000012
【図２】
2007506353.tif 000013
【図３】
2007506353.tif 000014
【図４】
2007506353.tif 000015
【図５】
2007506353.tif 000016
【図６】
2007506353.tif 000017
【図７】
2007506353.tif 000018
【図８】
2007506353.tif 000019
【図９】
2007506353.tif 000020
【図１０】
2007506353.tif 000021
【図１１】
2007506353.tif 000022
【図１２】
2007506353.tif 000023
【図１３】
2007506353.tif 000024
【図１４】
2007506353.tif 000025
【図１５】
2007506353.tif 000026
【図１６】
2007506353.tif 000027
【図１７】
2007506353.tif 000028
【図１８】
2007506353.tif 000029
【図１９】
2007506353.tif 000030
【国際調査報告】
2007506353.tif 000031
2007506353.tif 000032