(57)【要約】【課題】  「ネットワークに接続することを許可された装置」のそのネットワークへの接続が防止されたままになってしまう場合がある。【解決手段】  ネットワークに接続することを許可されている許可装置の第１の識別情報を記憶するための許可情報記憶手段と、そのネットワークへの接続を許可されていない不許可装置がそのネットワークへ接続することを防止するための第１のパケットが、そのネットワークへ送信された場合に、その許可装置であってかつそのネットワークへ接続することを防止されている状態の副作用装置を、そのネットワークへ接続することを防止されていない状態へ復旧させるための第２のパケットを、その第１の識別情報に基づいてそのネットワークへ送信する復旧処理手段と、を含む。【選択図】      図１
2015154092.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに接続することを許可されている許可装置の第１の識別情報を記憶するための許可情報記憶手段と、
前記ネットワークへの接続を許可されていない不許可装置が前記ネットワークへ接続することを防止するための第１のパケットが、前記ネットワークへ送信された場合に、第２のパケットを、前記第１の識別情報に基づいて前記ネットワークへ送信する復旧処理手段と、を含み、
前記第２のパケットは、前記許可装置であってかつ前記ネットワークへ接続することを防止されている状態の副作用装置を、前記ネットワークへ接続することを防止されていない状態へ復旧させるためのパケットである
情報処理装置。
【請求項２】
前記第１のパケットは、アドレス解決要求パケットに対応するアドレス解決応答パケットであって、送信元物理アドレスとして偽の物理アドレスを含み、
前記第２のパケットは、前記アドレス解決要求パケットに対応する、正しい送信元物理アドレスを含む
ことを特徴とする請求項１記載の情報処理装置。
【請求項３】
自身の論理アドレス及び偽の物理アドレスを送信元論理アドレス及び送信元物理アドレスとして含む第３のパケットを生成し、生成された前記第３のパケットを前記ネットワークへ送信し、前記第１の識別情報に基づいて、前記許可装置に対して応答を要求する第４のパケットを前記ネットワークへ送信し、前記第４のパケットへの応答として受信した応答パケットに含まれる宛先物理アドレスに基づいて、前記第４のパケットの宛先の装置が前記副作用装置であるか否かを判定する判定手段と、を更に含み、
前記復旧処理手段は、前記判定手段が判定した結果に更に基づいて前記第２のパケットを前記ネットワークへ送信する
ことを特徴とする請求項１または２記載の情報処理装置
【請求項４】
前記副作用装置の第２の識別情報を記憶する副作用装置情報記憶手段を更に含み、
前記判定手段は、前記第２の識別情報で特定される前記副作用装置を除く、前記許可装置に宛てて、前記第４のパケットを前記ネットワークへ送信する
ことを特徴とする請求項３記載の情報処理装置。
【請求項５】
前記第４のパケットは、到達確認要求パケットであり、
前記応答パケットは、前記到達確認要求パケットに対応する到達確認応答パケットである
ことを特徴とする請求項３または４記載の情報処理装置。
【請求項６】
前記副作用装置情報記憶手段に基づいて、前記副作用装置を管理者が参照可能なように出力する手段と
管理者が入力する前記第２の識別情報に基づいて、前記副作用装置情報記憶手段を更新する手段と、を更に有する
ことを特徴とする請求項５記載の情報処理装置。
【請求項７】
第１の物理アドレスと第２の物理アドレスとを含み、
前記判定手段は、前記第１の物理アドレスを送信元物理アドレスとして前記第４のパケットを前記ネットワークへ送信し、前記第２の物理アドレスを送信元物理アドレスとして前記第３のパケットを前記ネットワークへ送信し、前記第１の物理アドレス及び前記第２の物理アドレスのそれぞれを宛先物理アドレスとする前記応答パケットを受信する
ことを特徴とする請求項３乃至６のいずれか１項に記載の情報処理装置。
【請求項８】
ネットワークに接続することを許可されている許可装置の第１の識別情報を記憶するための許可情報記憶手段を含むコンピュータが、
前記ネットワークへの接続を許可されていない不許可装置が前記ネットワークへ接続することを防止するための第１のパケットが、前記ネットワークへ送信されたことを検出し、
前記許可装置であってかつ前記ネットワークへ接続することを防止されている状態の副作用装置を、前記ネットワークへ接続することを防止されていない状態へ復旧させるための第２のパケットを、前記第１の識別情報に基づいて前記ネットワークへ送信する
接続復旧方法。
【請求項９】
ネットワークに接続することを許可されている許可装置の第１の識別情報を記憶するための許可情報記憶手段を含むコンピュータに、
前記ネットワークへの接続を許可されていない不許可装置が前記ネットワークへ接続することを防止するための第１のパケットが、前記ネットワークへ送信されたことを検出し、
前記許可装置であってかつ前記ネットワークへ接続することを防止されている状態の副作用装置を、前記ネットワークへ接続することを防止されていない状態へ復旧させるための第２のパケットを、前記第１の識別情報に基づいて前記ネットワークへ送信する処理を実行させる
プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークへの装置の接続を制御するための技術に関する。
【背景技術】
【０００２】
ネットワークへの装置の接続を制御するためのさまざまな関連技術が知られている。
【０００３】
例えば、特許文献１は、プロミスキャスノードを発見する方法を開示する。特許文献１に記載のプロミスキャスノードを発見する方法は、以下のステップを備える。
【０００４】
第１のステップは、ネットワークに接続されたノードに対して、特定のＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレスを有するノードの物理アドレスを問い合わせるリクエストパケットを生成する。
【０００５】
第２のステップは、生成したそのリクエストパケットをブロードキャストではない物理アドレス宛に送る。
【０００６】
第３のステップは、そのリクエストパケットに応答したレスポンスパケットを受けることによりプロミスキャスノードを特定する。
【０００７】
しかしながら、その方法には、ネットワークへの接続を許可されていない不許可装置がプロミスキャスモードで動作していない場合、その不許可装置を検出することができないという問題点があった。
【０００８】
このような問題点を解決する技術が特許文献２に記載されている。特許文献２は、不正接続防止装置の一例を開示する。特許文献２の不正接続防止装置は、ネットワークへの接続を許可されていない不許可装置を検出し、ネットワークへのその不許可装置の接続を防止する。
【０００９】
その不正接続防止装置を含む不正接続防止システムの構成は、以下の通りである。
【００１０】
ネットワークに、内部サーバ（以後、相手装置と呼ぶ）とＰＣ（Ｐｅｒｓｏｎａｌ  Ｃｏｍｐｕｔｅｒ、以下、不許可装置と呼ぶ）とその不正接続防止装置とが接続されている。
【００１１】
その相手装置は、ネットワークに接続することを許可された装置の1つである。
【００１２】
その不許可装置は、ネットワークに接続することを許可されていない装置である。
【００１３】
そのシステムにおいて、その不許可装置の不正接続が防止される動作は、以下の通りである。
【００１４】
その不許可装置は、ＡＲＰ（Ａｄｄｒｅｓｓ  Ｒｅｓｏｌｕｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）要求パケットを、ブロードキャストにより、ネットワークに送信する。
【００１５】
次に、その相手装置は、そのＡＲＰ要求パケットに応答して、正しいＡＲＰ応答パケットを、その不許可装置へ送信する。
【００１６】
次に、その不正接続防止装置は、その相手装置のＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）アドレスを偽のＭＡＣアドレスに偽装したＡＲＰ応答パケット（以後、偽装ＡＲＰ応答パケットと呼ぶ）を、その不許可装置へ送信する。
【００１７】
上述の構成と動作とにより、ネットワークへのその不許可装置の接続は防止される。
【００１８】
しかしながら、その不正接続防止装置には、以下に示す問題点があった。
【００１９】
接続を防止された不許可装置について、ネットワークへの接続が承認（許可）された場合、その不許可装置の接続を復旧させる必要が生じる。しかしながら、その不正接続防止装置は、その不許可装置のネットワークへの接続を復旧させる仕組みを持っていない。従って、その接続の復旧は、以下のような方法で行われる。
【００２０】
１つは、その不許可装置上で、管理者が手動でＡＲＰテーブルから偽装ＡＲＰ応答パケットの情報を削除する方法である。この方法は、管理者の負担を増大させる。
【００２１】
他の１つは、その不許可装置上のＡＲＰテーブルから、自動的に偽装ＡＲＰ応答パケットの情報が消去されるまで待つ方法である。この方法は、復旧までの時間を増大させ、更に承認後のどのタイミングで接続が保障されるかの把握を困難にする。
【００２２】
特許文献３は、接続制御装置の一例を開示する。特許文献３の接続制御装置は、接続を防止されたその不許可装置について、ネットワークへの接続が承認された場合に、その不許可装置のネットワークへの接続を復旧させる仕組みを備える。
【００２３】
特許文献３の接続制御装置は、外部装置から、「ネットワークに接続することを許可されていない未許可装置」に対する遮断指令を受信した場合に、その未許可装置の接続を遮断する。具体的には、その接続制御装置は、その遮断指令を受信した場合に、その未許可装置に上述の偽装ＡＲＰ応答パケットに相当するパケットを送信する。
【００２４】
また、その接続制御装置は、外部装置から、接続を遮断されたその未許可装置に対する承認指令を受信した場合に、その接続を遮断された未許可装置の接続を復旧する。具体的には、その接続制御装置は、その承認指令を受信した場合に、その未許可装置に上述の正しいＡＲＰ応答パケットに相当するパケットを送信する。
【先行技術文献】
【特許文献】
【００２５】
【特許文献１】特開２００２−２３７８２１号公報
【特許文献２】特開２００５−０７９７０６号公報
【特許文献３】特開２００９−１５９０４５号公報
【発明の概要】
【発明が解決しようとする課題】
【００２６】
しかしながら、上述した特許文献３に記載された技術においては、「ネットワークに接続することを許可された装置」のネットワークへの接続が防止されたままになってしまう場合があるという問題点がある。
【００２７】
その理由は、以下の通りである。第１に、特許文献３に記載の接続制御装置は、外部装置から、対象の装置に対する承認指令を受信しなければ、その装置の接続を復旧するための処理を実行しない。第２に、「ネットワークに接続することを許可された装置」がネットワークへの接続を防止された場合に、特許文献３に記載された外部装置は、その事実を認識できない。第３に、その事実を認識できないその外部装置は、「ネットワークへの接続が防止された、そのネットワークに接続することを許可された装置」への承認指令を送信しない。
【００２８】
その外部装置がその事実を認識できない場合は、例えば、以下の場合である。第１に、特許文献２に開示された技術により、その不許可装置のネットワークへの接続を防止する処理が実行される。第２に、その防止する処理によって、「ネットワークに接続することを許可された装置」のネットワークへの接続が防止される。
【００２９】
上述の「ネットワークに接続することを許可された装置」がネットワークへの接続を防止される場合について、詳細に説明する。
【００３０】
例えば、その不正接続防止装置を含む不正接続防止システムの構成は、以下の通りである。
【００３１】
不正接続防止システムは、許可装置と不許可装置と相手装置とその不正接続防止装置を備える。その許可装置とその不許可装置とその相手装置とその不正接続防止装置とは、ネットワークに接続されている。また、ネットワークは、リピータＨＵＢやルータなどのネットワーク機器を含む。
【００３２】
その許可装置は、ネットワークに接続することを許可された装置である。その許可装置は、ネットワーク機器の機能を含んでもよい。
【００３３】
その不許可装置は、ネットワークに接続することを許可されていない装置である。その不許可装置は、ネットワーク機器の機能を含んでもよい。
【００３４】
その相手装置は、許可装置の1つであり、その不許可装置が通信する相手先の、許可装置である。
【００３５】
その動作は、以下の通りである。
【００３６】
その不許可装置は、ＡＲＰ要求パケットを、ブロードキャストにより、ネットワークに送信する。
【００３７】
その相手装置、及びその相手装置とその不許可装置との間にあるネットワーク機器は、そのＡＲＰ要求パケットに応答して、正しいＡＲＰ応答パケットを、その不許可装置へ送信する。
【００３８】
次に、その不正接続防止装置は、その通信先装置のＭＡＣアドレスを偽のＭＡＣアドレスに偽装したＡＲＰ応答パケットを、その不許可装置へ送信する。
【００３９】
しかしながら、その不正接続防止装置がその不許可装置だけに対して偽装ＡＲＰ応答パケットを送信しているにもかかわらず、その許可装置も偽装ＡＲＰ応答パケットにより、通信妨害を受けてしまう場合がある。
【００４０】
例えば、以下の２つの場合において、その許可装置は影響を受ける。
【００４１】
１つは、以下の場合である。第1に、その不許可装置が、受け取ったパケットを全てのポートに転送するネットワーク機器（例えば、リピータＨＵＢ、転送ネットワーク機器と呼ぶ）に接続されている。第２に、そのネットワーク機器に、自分宛でないパケットも受信する設定であるプロミスキャスモードで稼動している許可装置（以後、副作用装置と呼ぶ）が接続されている。
【００４２】
この場合、その不許可装置だけでなく、その副作用装置も、偽装ＡＲＰ応答パケットを受け取る。このため、その副作用装置もその相手装置との通信を防止されることとなる。
【００４３】
他の１つは、以下の場合である。第１に、その不許可装置と相手装置とのセグメントに、ＡＲＰ応答パケットを受け取った際に自らのＡＲＰテーブルを更新してからＡＲＰ応答パケットを転送する、ネットワーク機器（例えば、ルータ）が接続されている。ここで、そのセグメントは、物理アドレスで到達する範囲、換言するとデータリンク層における通信範囲である。第２に、そのネットワーク機器を経由して別セグメントにその許可装置が接続されている。
【００４４】
この場合、そのネットワーク機器は、その偽装ＡＲＰ応答パケットに基づいて、その相手先装置のアドレスを学習してしまう。このため、そのネットワーク機器の配下に接続されているその許可装置は、相手装置との通信ができなくなる。
【００４５】
本発明の目的は、上述した問題点を解決する情報処理装置、接続復旧方法及びそのためのプログラムを提供することにある。
【課題を解決するための手段】
【００４６】
本発明の一様態における情報処理装置は、
ネットワークに接続することを許可されている許可装置の第１の識別情報を記憶するための許可情報記憶手段と、
前記ネットワークへの接続を許可されていない不許可装置が前記ネットワークへ接続することを防止するための第１のパケットが、前記ネットワークへ送信された場合に、第２のパケットを、前記第１の識別情報に基づいて前記ネットワークへ送信する復旧処理手段と、を含み、
前記第２のパケットは、前記許可装置であってかつ前記ネットワークへ接続することを防止されている状態の副作用装置を、前記ネットワークへ接続することを防止されていない状態へ復旧させるためのパケットである。
【００４７】
本発明の一様態における接続復旧方法は、
ネットワークに接続することを許可されている許可装置の第１の識別情報を記憶するための許可情報記憶手段を含むコンピュータが、
前記ネットワークへの接続を許可されていない不許可装置が前記ネットワークへ接続することを防止するための第１のパケットが、前記ネットワークへ送信されたことを検出し、
前記許可装置であってかつ前記ネットワークへ接続することを防止されている状態の副作用装置を、前記ネットワークへ接続することを防止されていない状態へ復旧させるための第２のパケットを、前記第１の識別情報に基づいて前記ネットワークへ送信する。
【００４８】
本発明の一様態におけるプログラムは、
ネットワークに接続することを許可されている許可装置の第１の識別情報を記憶するための許可情報記憶手段を含むコンピュータに、
前記ネットワークへの接続を許可されていない不許可装置が前記ネットワークへ接続することを防止するための第１のパケットが、前記ネットワークへ送信されたことを検出し、
前記許可装置であってかつ前記ネットワークへ接続することを防止されている状態の副作用装置を、前記ネットワークへ接続することを防止されていない状態へ復旧させるための第２のパケットを、前記第１の識別情報に基づいて前記ネットワークへ送信する処理を実行させる。
【発明の効果】
【００４９】
本発明は、「ネットワークに接続することを許可された装置」のネットワークへの接続が防止された場合に、その装置のネットワークへの接続を自動的にかつ速やかに復旧させることが可能になるという効果がある。
【図面の簡単な説明】
【００５０】
【図１】図１は、本発明の第１の実施形態に係る接続復旧装置の構成を示すブロック図である。
【図２】図２は、第１の実施形態に係る接続復旧装置を含む情報処理システムの構成を示すブロック図である。
【図３】図３は、第１の実施形態における許可装置リスト記憶部の一例を示す図である。
【図４】図４は、第１の実施形態に係る接続復旧装置を実現するコンピュータのハードウェア構成を示すブロック図である。
【図５】図５は、第１の実施形態における接続復旧装置の動作を示すフローチャートである。
【図６】図６は、本発明の第２の実施形態に係る接続復旧装置を含む情報処理システムの構成を示すブロック図である。
【図７】図７は、第２の実施形態における副作用装置リスト記憶部の一例を示す図である。
【図８】図８は、第２の実施形態における不正接続防止装置の動作を示すフローチャートである。
【図９】図９は、第２の実施形態における情報処理システムの動作を示すシーケンス図である。
【図１０】図１０は、本発明の第３の実施形態に係る接続復旧装置を含む情報処理システムの構成を示すブロック図である。
【発明を実施するための形態】
【００５１】
本発明を実施するための形態について図面を参照して詳細に説明する。尚、各図面及び明細書記載の各実施形態において、同様の構成要素には同様の符号を付与し、適宜説明を省略する。
【００５２】
＜＜＜第１の実施形態＞＞＞
図１は、本発明の第１の実施形態に係る接続復旧装置（情報処理装置とも呼ばれる）１００の構成を示すブロック図である。
【００５３】
図１に示すように、本実施形態に係る接続復旧装置１００は、復旧処理部１１０と、許可装置リスト記憶部１８０とを含む。
【００５４】
接続復旧装置１００は、ネットワークに接続することを許可されている装置（以後、許可装置と呼ぶ）を示す情報に基づいて、ネットワークへの接続を防止されているその許可装置の、ネットワークへの接続を復旧させる。ここで、「ネットワークへの接続の防止」は、ネットワーク上の各装置への接続の防止を意味する。
【００５５】
図２は、本実施形態に係る接続復旧装置１００を含む情報処理システム５０１の構成を示すブロック図である。
【００５６】
図２に示すように情報処理システム５０１は、許可装置５１０と、不許可装置５２０と、副作用装置５３０と、不正接続防止装置１０１（情報処理装置とも呼ばれる）と、ネットワーク５４０とを含む。許可装置５１０と不許可装置５２０と副作用装置５３０と不正接続防止装置１０１とのそれぞれは、任意の台数であってよい。
【００５７】
許可装置５１０と不許可装置５２０と副作用装置５３０と不正接続防止装置１０１とは、ネットワーク５４０を介して、互いに接続される。
【００５８】
許可装置５１０は、ネットワーク５４０への接続を許可されている装置である。
【００５９】
不許可装置５２０は、ネットワーク５４０への接続を許可されていない装置である。例えば、不許可装置５２０は、ネットワーク５４０を介して、許可装置５１０との通信を実行しようとするが、不正接続防止装置１０１によってネットワーク５４０（ネットワーク５４０上の各装置）への接続を防止される。
【００６０】
副作用装置５３０は、許可装置５１０の一種である。例えば、副作用装置５３０は、ネットワーク５４０に対して、プロミスキャスモードで動作する装置である。副作用装置５３０は、不正接続防止装置１０１が「不許可装置５２０のネットワーク５４０への接続」を防止するときに発生する副作用で、特定の許可装置５１０への接続を防止されるような許可装置５１０である。その特定の許可装置５１０は、不正接続防止装置１０１によって不許可装置５２０からの接続を防止される許可装置５１０である。
【００６１】
不正接続防止装置１０１は、接続復旧装置１００に含まれる復旧処理部１１０及び許可装置リスト記憶部１８０と、接続防止処理部１０２とを含む。
【００６２】
次に、接続復旧装置１００及び接続防止処理部１０２の各構成要素について説明する。尚、図１に示す接続復旧装置１００及び図２に示す不正接続防止装置１０１の各構成要素は、ハードウェア単位の回路でも、コンピュータ装置の機能単位に分割された構成要素でもよい。ここでは、それらの構成要素は、コンピュータ装置の機能単位に分割された構成要素として説明する。
【００６３】
＝＝＝許可装置リスト記憶部１８０＝＝＝
許可装置リスト記憶部（許可情報記憶手段とも呼ばれる）１８０は、許可装置（例えば、許可装置５１０及び副作用装置５３０の識別子（第１の識別情報）を記憶する。
【００６４】
図３は、許可装置リスト記憶部１８０の一例を示す図である。図３に示すように、許可装置リスト記憶部１８０は、許可レコード１８１を含む。許可レコード１８１は、識別子として、ＭＡＣアドレスとＩＰアドレスとの組を含む。そのＭＡＣアドレスとＩＰアドレスとの組は、例えば許可装置５１０及び副作用装置５３０のそれぞれに対応するＭＡＣアドレスとＩＰアドレスとの組である。
【００６５】
許可レコード１８１は、後述の図４に示す記憶部７０２或いは記憶装置７０３に、予め記憶されていてよい。また、許可レコード１８１は、後述の図４に示す入力部７０４を介して、管理者により入力されてもよい。また、接続復旧装置１００は、後述の図４に示す通信部７０６を介して図示しない機器から、許可レコード１８１を受信してもよい。また、接続復旧装置１００は、後述の図４に示す記憶装置７０３を介して、記録媒体７０７に記録された許可レコード１８１を取得してもよい。
【００６６】
＝＝＝復旧処理部１１０＝＝＝
復旧処理部１１０は、後述する第１偽装ＡＲＰ応答パケット（第１のパケットとも呼ばれる）８０３がネットワーク５４０へ送信された場合に、解除ＡＲＰ応答パケット（第２のパケットとも呼ばれる）８０４を、ネットワーク５４０へ送信する。その解除ＡＲＰ応答パケット８０４は、許可装置リスト記憶部１８０に記憶されているその識別子のそれぞれに対応する、許可装置５１０に対して送信される。換言すると、復旧処理部１１０は、第１偽装ＡＲＰ応答パケット８０３がネットワーク５４０へ送信された場合に、許可装置リスト記憶部１８０に記憶されている識別子に基づいて、解除ＡＲＰ応答パケット８０４を、ネットワーク５４０へ送信する。
【００６７】
尚、復旧処理部１１０は、第１偽装ＡＲＰ応答パケット８０３がネットワーク５４０へ送信されたことを、ネットワーク５４０上を流れるパケットを監視することにより検出してよい。また、復旧処理部１１０は、例えば図２に示す接続防止処理部１０２から、第１偽装ＡＲＰ応答パケット８０３の送信を通知されてもよい。
【００６８】
第１偽装ＡＲＰ応答パケット８０３は、ネットワーク５４０への不許可装置５２０の接続を防止するためのパケットである。第１偽装ＡＲＰ応答パケット８０３は、例えば接続防止処理部１０２によって、不許可装置５２０から許可装置５１０に対するＡＲＰ要求パケット８０１の応答として、送信される。
【００６９】
ＡＲＰ要求パケット８０１は、特定の論理アドレス（ＩＰアドレス）を持つ装置に対して、その装置の物理アドレス（ＭＡＣアドレス）の通知を要求するパケットである。ＡＲＰ要求パケット（例えば、ＡＲＰ要求パケット８０１）は、アドレス解決要求パケットとも呼ばれる。
【００７０】
例えば、不許可装置５２０は、許可装置５１０のＭＡＣアドレスを取得するために、ＡＲＰ要求パケット８０１を送信する。この場合、第１偽装ＡＲＰ応答パケット８０３は、許可装置５１０が送信するＡＲＰ応答パケット８０２の送信元ＭＡＣアドレスが、偽装ＭＡＣアドレスに置き換えられたパケットである。
【００７１】
ＡＲＰ応答パケット８０２は、ＡＲＰ要求パケット８０１に応答して、その装置の物理アドレス（ＭＡＣアドレス）を通知するパケットである。ＡＲＰ応答パケット（例えば、ＡＲＰ応答パケット８０２）は、アドレス解決応答パケットとも呼ばれる。
【００７２】
解除ＡＲＰ応答パケット８０４は、ネットワーク５４０への副作用装置５３０の接続を復旧（ネットワーク５４０への接続の防止を解除）するためのパケットである。
【００７３】
例えば、解除ＡＲＰ応答パケット８０４は、許可装置５１０のＭＡＣアドレス及びＩＰアドレスを、送信元ＭＡＣアドレス及び送信元ＩＰアドレスとして含む、ＡＲＰ応答パケットである。
【００７４】
＝＝＝接続防止処理部１０２＝＝＝
接続防止処理部１０２は、不許可装置５２０がＡＲＰ要求パケット８０１をネットワーク５４０へ送信した場合、そのＡＲＰ要求パケット８０１を検出し、その不許可装置５２０に対して第１偽装ＡＲＰ応答パケット８０３を送信する。
【００７５】
以上が、接続復旧装置１００の機能単位の各構成要素についての説明である。
【００７６】
次に、接続復旧装置１００のハードウェア単位の構成要素について説明する。
【００７７】
図４は、本実施形態における接続復旧装置１００及び不正接続防止装置１０１を実現するコンピュータ７００のハードウェア構成を示す図である。
【００７８】
図４に示すように、コンピュータ７００は、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）７０１、記憶部７０２、記憶装置７０３、入力部７０４、出力部７０５及び通信部７０６を含む。更に、コンピュータ７００は、外部から供給される記録媒体（または記憶媒体）７０７を含む。例えば、記録媒体７０７は、情報を非一時的に記憶する不揮発性記録媒体（非一時的記録媒体）である。また、記録媒体７０７は、情報を信号として保持する、一時的記録媒体であってもよい。
【００７９】
ＣＰＵ７０１は、オペレーティングシステム（不図示）を動作させて、コンピュータ７００の全体の動作を制御する。例えば、ＣＰＵ７０１は、記憶装置７０３に装着された記録媒体７０７から、そのプログラムやデータを読み込み、読み込んだそのプログラムやそのデータを記憶部７０２に書き込む。ここで、そのプログラムは、例えば、後述の図５に示すフローチャートの動作をコンピュータ７００に実行させるためのプログラムである。
【００８０】
そして、ＣＰＵ７０１は、その読み込んだプログラムに従って、またその読み込んだデータに基づいて、図１に示す復旧処理部１１０及び図２に示す接続防止処理部１０２として各種の処理を実行する。
【００８１】
尚、ＣＰＵ７０１は、通信網（不図示）に接続されている外部コンピュータ（不図示）から、記憶部７０２にそのプログラムやそのデータをダウンロードしてもよい。
【００８２】
記憶部７０２は、そのプログラムやそのデータを記憶する。記憶部７０２は、許可装置リスト記憶部１８０を含んでよい。
【００８３】
記憶装置７０３は、例えば、光ディスク、フレキシブルディスク、磁気光ディスク、外付けハードディスク及び半導体メモリであって、記録媒体７０７を含む。記憶装置７０３（記録媒体７０７）は、そのプログラムをコンピュータ読み取り可能に記憶する。また、記憶装置７０３は、そのデータを記憶してもよい。記憶装置７０３は、許可装置リスト記憶部１８０を含んでよい。
【００８４】
入力部７０４は、オペレータによる操作の入力や外部からの情報の入力を受け付ける。入力操作に用いられるデバイスは、例えば、マウスやキーボード、内蔵のキーボタン、タッチパネルなどである。
【００８５】
出力部７０５は、例えばディスプレイで実現される。出力部７０５は、例えばＧＵＩ（ＧＲＡＰＨＩＣＡＬ  Ｕｓｅｒ  Ｉｎｔｅｒｆａｃｅ）による入力要求や出力などの確認をするために用いられる。
【００８６】
通信部７０６は、ネットワーク５４０とのインタフェースを実現する。通信部７０６は、復旧処理部１１０及び接続防止処理部１０２の一部として含まれる。
【００８７】
以上説明したように、図１に示す接続復旧装置１００及び図２に示す不正接続防止装置１０１の機能単位のブロックは、図４に示すハードウェア構成のコンピュータ７００によって実現される。但し、コンピュータ７００が備える各部の実現手段は、上記に限定されない。すなわち、コンピュータ７００は、物理的に結合した１つの装置により実現されてもよいし、物理的に分離した２つ以上の装置を有線または無線で接続し、これら複数の装置により実現されてもよい。
【００８８】
尚、上述のプログラムのコードを記録した記録媒体７０７が、コンピュータ７００に供給される場合、ＣＰＵ７０１は、記録媒体７０７に格納されたそのプログラムのコードを読み出して実行してもよい。或いは、ＣＰＵ７０１は、記録媒体７０７に格納されたそのプログラムのコードを、記憶部７０２、記憶装置７０３またはその両方に格納してもよい。すなわち、本実施形態は、コンピュータ７００（ＣＰＵ７０１）が実行するそのプログラム（ソフトウェア）を、一時的にまたは非一時的に、記憶する記録媒体７０７の実施形態を含む。尚、情報を非一時的に記憶する記憶媒体は、不揮発性記憶媒体とも呼ばれる。
【００８９】
以上が、本実施形態における接続復旧装置１００及び不正接続防止装置１０１を実現するコンピュータ７００の、ハードウェア単位の各構成要素についての説明である。
【００９０】
次に本実施形態の動作について、図１乃至図５を参照して詳細に説明する。
【００９１】
図５は、復旧処理部１１０の動作を示すフローチャートである。尚、このフローチャートによる処理は、前述したＣＰＵ７０１によるプログラム制御に基づいて、実行されても良い。また、処理のステップ名については、ステップＳ６０１のように、記号で記載する。
【００９２】
復旧処理部１１０は、例えば接続防止処理部１０２が第１偽装ＡＲＰ応答パケット８０３を送信したことを契機に動作を開始する。
【００９３】
復旧処理部１１０は、許可装置リスト記憶部１８０に記憶された全てのＭＡＣアドレスについて、Ｓ６０２及びＳ６０３の処理を実行する（ステップＳ６０１）。
【００９４】
復旧処理部１１０は、許可装置リスト記憶部１８０から許可レコード１８１を取得する（ステップＳ６０２）。
【００９５】
次に、復旧処理部１１０は、取得したその許可レコード１８１に対応する許可装置５１０に解除ＡＲＰ応答パケット８０４を送信する（ステップＳ６０３）。
【００９６】
上述した本実施形態における効果は、副作用装置５３０のネットワーク５４０への接続が防止された場合に、その装置のネットワーク５４０への接続を自動的にかつ速やかに復旧させることを可能にする点である。
【００９７】
その理由は、許可装置リスト記憶部１８０が許可装置５１０（副作用装置５３０を含む）の識別子を記憶し、復旧処理部１１０が許可装置リスト記憶部１８０に記憶されたその識別子に基づいて、解除ＡＲＰ応答パケット８０４を送信するからである。解除ＡＲＰ応答パケット８０４は、上述した通り、接続の復旧のためのパケットである。
【００９８】
＜＜＜第２の実施形態＞＞＞
次に、本発明の第２の実施形態について図面を参照して詳細に説明する。以下、本実施形態の説明が不明確にならない範囲で、前述の説明と重複する内容については説明を省略する。
【００９９】
図６は、本発明の第２の実施形態に係る不正接続防止装置２０１を含む情報処理システム５０２の構成を示すブロック図である。
【０１００】
図６に示すように、本実施形態における不正接続防止装置２０１は、ＡＲＰ収集部２１０、第１偽装ＡＲＰ送信部２２０、装置管理部２３０、第２偽装ＡＲＰ送信部２４０、解除ＡＲＰ送信部２５０を含む。更に、不正接続防止装置２０１は、ｐｉｎｇ送信部２６０、ｐｉｎｇ応答確認部２７０、許可装置リスト記憶部１８０及び副作用装置リスト記憶部２８０を含む。不正接続防止装置２０１は、ネットワーク５４０に対して、プロミスキャスモードで動作する。
【０１０１】
尚、図６に示す不正接続防止装置２０１の各構成要素は、ハードウェア単位の回路でも、コンピュータ装置の機能単位に分割された構成要素でもよい。ここでは、それらの構成要素は、コンピュータ装置の機能単位に分割された構成要素として説明する。
【０１０２】
＝＝＝許可装置リスト記憶部１８０＝＝＝
許可装置リスト記憶部１８０は、図３に示す許可装置リスト記憶部１８０と同じである。
【０１０３】
＝＝＝副作用装置リスト記憶部２８０＝＝＝
副作用装置リスト記憶部２８０は、副作用装置５３０の識別子（第２の識別情報）を含む。
【０１０４】
図７は、副作用装置リスト記憶部２８０の一例を示す図である。図７に示すように、副作用装置リスト記憶部２８０は、副作用装置レコード２８１を含む。副作用装置レコード２８１は、識別子として、ＭＡＣアドレスとＩＰアドレスとの組を含む。そのＭＡＣアドレス及びＩＰアドレスは、例えば副作用装置５３０のＭＡＣアドレス及びＩＰアドレスである。
【０１０５】
副作用装置レコード２８１は、図４に示す記憶部７０２或いは記憶装置７０３に、予め記憶されていてよい。また、副作用装置レコード２８１は、図４に示す入力部７０４を介して、管理者により入力されてもよい。また、接続復旧装置１００は、図４に示す通信部７０６を介して図示しない機器から、副作用装置レコード２８１を受信してもよい。また、接続復旧装置１００は、図４に示す記憶装置７０３を介して、記録媒体７０７に記録された副作用装置レコード２８１を取得してもよい。
【０１０６】
尚、第２の識別情報は、許可レコード１８１が変形された許可レコード（不図示）に含まれる、副作用装置５３０であることを示すフラグ（不図示）であってもよい。
【０１０７】
＝＝＝ＡＲＰ収集部２１０＝＝＝
ＡＲＰ収集部２１０は、ＡＲＰ要求パケット８０１を受信する。次に、ＡＲＰ収集部２１０は、受信したそのＡＲＰ要求パケット８０１に含まれる送信元ＭＡＣアドレス、送信元ＩＰアドレス及び送信先ＩＰアドレスを装置管理部２３０に通知する。
【０１０８】
＝＝＝装置管理部２３０＝＝＝
装置管理部２３０は、ＡＲＰ収集部２１０から通知されたその送信元ＭＡＣアドレス及びその送信元ＩＰアドレスをキーとして、許可装置リスト記憶部１８０を検索する。許可装置リスト記憶部１８０を検索した結果、そのキーに一致する許可レコード１８１が検出されなかった場合、装置管理部２３０は、そのＡＲＰ要求パケット８０１の送信元の装置を不許可装置５２０として検出する。
【０１０９】
不許可装置５２０が検出された場合、装置管理部２３０は、第１偽装ＡＲＰ送信部２２０に、第１の処理の実行を指示する。その第１の処理とは、第１偽装ＡＲＰ応答パケット８０３を生成し、生成された第１偽装ＡＲＰ応答パケット８０３を、検出されたその不許可装置５２０宛に送信する処理のことである。同時に、装置管理部２３０は、第２偽装ＡＲＰ送信部２４０に、第２の処理の実行を指示する。その第２の処理とは、第２偽装ＡＲＰ応答パケット（第３のパケットとも呼ばれる）８０５を生成し、生成された第２偽装ＡＲＰ応答パケット８０５を、検出されたその不許可装置５２０宛に送信する処理のことである。
【０１１０】
ここで、第２偽装ＡＲＰ応答パケット８０５は、不正接続防止装置２０１自身のＩＰアドレス及び偽のＭＡＣアドレスを、送信元ＩＰアドレス及び送信元ＭＡＣアドレスとして含むＡＲＰ応答パケットである。
【０１１１】
また、装置管理部２３０は、許可装置リスト記憶部１８０の許可レコード１８１に基づいて、許可装置５１０に対して応答を要求する第４のパケットを送信するための処理を実行する。更に、装置管理部２３０は、その第４のパケットへの応答として受信した応答パケットに含まれる宛先物理アドレスに基づいて、その許可装置５１０が副作用装置５３０であるか否かを判定するための処理を実行する。具体的には、以下の処理を実行する。
【０１１２】
第１に、装置管理部２３０は、ｐｉｎｇ送信部２６０に対して、ｐｉｎｇ要求パケット（第４のパケットに相当）８０６を装置管理部２３０が指定したｐｉｎｇ送信対象装置へ送信することを指示する。そのｐｉｎｇ送信対象装置は、許可装置リスト記憶部１８０に記憶されているが副作用装置リスト記憶部２８０には記憶されていないＭＡＣアドレスで特定される許可装置５１０である。ｐｉｎｇ要求パケット８０６は、具体的には、Ｅｃｈｏ  Ｒｅｑｕｅｓｔ  Ｍｅｓｓａｇｅ（ＩＣＭＰ（Ｉｎｔｅｒｎｅｔ  Ｃｏｎｔｒｏｌ  Ｍｅｓｓａｇｅ  Ｐｒｏｔｏｃｏｌ）のＴｙｐｅ  ８  Ｍｅｓｓａｇｅ）である。
【０１１３】
第２に、装置管理部２３０は、ｐｉｎｇ応答確認部２７０から受け取った、ＩＰアドレスとＭＡＣアドレスとの組を副作用装置リスト記憶部２８０に登録（追加）する。そのＩＰアドレスとＭＡＣアドレスとの組は、その許可装置５１０が送信したｐｉｎｇ応答パケット（応答パケットとも呼ばれる）８０７に含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの組である。ｐｉｎｇ応答パケット８０７は、具体的には、Ｅｃｈｏ  Ｒｅｐｌｙ  Ｍｅｓｓａｇｅ  （ＩＣＭＰのＴｙｐｅ  ０  Ｍｅｓｓａｇｅ）である。
【０１１４】
尚、第４のパケットは、ｐｉｎｇ要求パケット８０６に限らず、ユニキャストでの応答を要求する、任意のパケットであってよい。
【０１１５】
また、装置管理部２３０は、「副作用装置５３０のネットワーク５４０への接続」の防止を解除するための処理を実行する。具体的には、装置管理部２３０は、副作用装置リスト記憶部２８０の副作用装置レコード２８１に基づいて、「副作用装置５３０のそれぞれに対し、解除ＡＲＰ応答パケット８０４を送信すること」を、解除ＡＲＰ送信部２５０に指示する。解除ＡＲＰ応答パケット８０４は、許可装置リスト記憶部１８０に登録されている正しいＭＡＣアドレスとＩＰアドレスとの組を送信元ＭＡＣアドレス及び送信元ＩＰアドレスとして含む、ＡＲＰ応答パケットである。その正しいＭＡＣアドレスは、不許可装置５２０が送信したＡＲＰ要求パケット８０１に含まれる宛先ＩＰアドレスに対応する、正しいＭＡＣアドレスである。
【０１１６】
＝＝＝第１偽装ＡＲＰ送信部２２０＝＝＝
第１偽装ＡＲＰ送信部２２０は、装置管理部２３０からの指示に基づいて、第１偽装ＡＲＰ応答パケット８０３を生成する。次に、第１偽装ＡＲＰ送信部２２０は、生成された第１偽装ＡＲＰ応答パケット８０３を、装置管理部２３０によって指定された不許可装置５２０のそれぞれを宛先として、ネットワーク５４０へ送信する。
【０１１７】
＝＝＝第２偽装ＡＲＰ送信部２４０＝＝＝
第２偽装ＡＲＰ送信部２４０は、装置管理部２３０からの指示に基づいて、第２偽装ＡＲＰ応答パケット８０５を生成する。次に、第２偽装ＡＲＰ送信部２４０は、生成された第２偽装ＡＲＰ応答パケット８０５を、装置管理部２３０によって指定された不許可装置５２０のそれぞれを宛先として、ネットワーク５４０へ送信する。
【０１１８】
＝＝＝解除ＡＲＰ送信部２５０＝＝＝
解除ＡＲＰ送信部２５０は、装置管理部２３０からの指示に基づいて、解除ＡＲＰ応答パケット８０４を生成する。次に、解除ＡＲＰ送信部２５０は、生成された解除ＡＲＰ応答パケット８０４を、装置管理部２３０によって指定された副作用装置５３０のそれぞれを宛先として、ネットワーク５４０へ送信する。
【０１１９】
＝＝＝ｐｉｎｇ送信部２６０＝＝＝
ｐｉｎｇ送信部２６０は、装置管理部２３０からの指示に基づいて、ｐｉｎｇ送信対象装置にｐｉｎｇ要求パケット８０６を送信する。
【０１２０】
＝＝＝ｐｉｎｇ応答確認部２７０＝＝＝
ｐｉｎｇ応答確認部２７０は、ｐｉｎｇ要求パケット８０６に対するｐｉｎｇ応答パケット８０７を受信する。次にｐｉｎｇ応答確認部２７０は、受信したｐｉｎｇ応答パケット８０７の内容を確認し、そのｐｉｎｇ応答パケット８０７を送信した許可装置５１０が副作用装置５３０であるか否かを判断する。そして、その許可装置５１０が副作用装置５３０である場合、ｐｉｎｇ応答確認部２７０は、そのｐｉｎｇ応答パケット８０７に含まれる送信元ＩＰアドレスと送信元ＭＡＣアドレスとの組を装置管理部２３０に送信する。
【０１２１】
ｐｉｎｇ応答確認部２７０は、許可装置５１０が副作用装置５３０であるか否かを、そのｐｉｎｇ応答パケット８０７に含まれる宛先ＭＡＣアドレスに基づいて判断する。即ち、そのｐｉｎｇ応答パケット８０７に含まれる宛先ＭＡＣアドレスが不正接続防止装置２０１のＭＡＣアドレスである場合、ｐｉｎｇ応答確認部２７０は、その許可装置５１０は、ネットワーク５４０への接続を防止されていないと判断する。また、そのｐｉｎｇ応答パケット８０７に含まれる宛先ＭＡＣアドレスが偽のＭＡＣアドレスである場合、ｐｉｎｇ応答確認部２７０は、その許可装置５１０がネットワーク５４０への接続を防止されている、即ち副作用装置５３０である、と判断する。
【０１２２】
ｐｉｎｇ応答確認部２７０は、その判断された結果に基づいて、その送信元ＩＰアドレスとその送信元ＭＡＣアドレスとの組を、装置管理部２３０に送信する。
【０１２３】
ｐｉｎｇ応答確認部２７０が上述のように判断することができる理由は、以下の通りである。ＡＲＰテーブルを含むネットワーク５４０上のネットワーク機器や許可装置５１０が、不許可装置５２０宛に送信された第２偽装ＡＲＰ応答パケット８０５を受信する。この場合、それらのネットワーク５４０上のネットワーク機器及び許可装置５１０は、そのＡＲＰテーブルに含まれる不正接続防止装置２０１のＭＡＣアドレスを、偽のＭＡＣアドレスに更新する。そのため、その後、不正接続防止装置２０１から送信されたｐｉｎｇ要求パケット８０６に対し、副作用装置５３０は、偽のＭＡＣアドレスを宛先ＭＡＣアドレスとして持つｐｉｎｇ応答パケット８０７を送信する。即ち、ｐｉｎｇ応答確認部２７０は、ｐｉｎｇ応答パケット８０７に含まれる宛先ＭＡＣアドレスが偽のＭＡＣアドレスである場合に、そのｐｉｎｇ応答パケット８０７を送信した装置が副作用端末５３０であると判断することができる。
【０１２４】
尚、副作用装置５３０は、偽のＭＡＣアドレス宛のｐｉｎｇ応答パケット８０７を、ユニキャストで送信する。しかし、ネットワーク５４０に含まれるネットワーク機器（不図示）は、そのｐｉｎｇ応答パケット８０７を宛先不明としてフラッディングする。このため、そのｐｉｎｇ応答パケット８０７は、不正接続防止装置２０１まで届く。
【０１２５】
以上が、不正接続防止装置２０１の機能単位の各構成要素の説明である。
【０１２６】
不正接続防止装置２０１のハードウェア単位の構成は、例えば、図４に示すコンピュータ７００のハードウェア構成である。この場合、ＣＰＵ７０１は、読み込んだプログラム及びデータに基づいて、図６に示すＡＲＰ収集部２１０、第１偽装ＡＲＰ送信部２２０、装置管理部２３０、第２偽装ＡＲＰ送信部２４０、解除ＡＲＰ送信部２５０として各種の処理を実行する。更に、ＣＰＵ７０１は、読み込んだプログラム及びデータに基づいて、図６に示すｐｉｎｇ送信部２６０、ｐｉｎｇ応答確認部２７０として各種の処理を実行する。そのプログラムは、例えば、後述の図８に示すフローチャートの動作をコンピュータ７００に実行させるためのプログラムである。
【０１２７】
また、記憶部７０２及び記憶装置７０３の任意の部分は、許可装置リスト記憶部１８０及び副作用装置リスト記憶部２８０に含まれてよい。
【０１２８】
また、通信部７０６は、ＡＲＰ収集部２１０、第１偽装ＡＲＰ送信部２２０、第２偽装ＡＲＰ送信部２４０、解除ＡＲＰ送信部２５０、ｐｉｎｇ送信部２６０、ｐｉｎｇ応答確認部２７０の一部として含まれる。
【０１２９】
以上が、不正接続防止装置２０１のハードウェア単位の構成の説明である。
【０１３０】
次に、本実施形態の動作を、図面を参照して詳細に説明する。
【０１３１】
図８は、不正接続防止装置２０１の動作を示すフローチャートである。
【０１３２】
不正接続防止装置２０１のＡＲＰ収集部２１０は、ネットワーク５４０からＡＲＰ要求パケット８０１を受信した場合に、処理を開始する。
【０１３３】
ＡＲＰ収集部２１０は、受信したＡＲＰ要求パケット８０１の送信元ＭＡＣアドレス、送信元ＩＰアドレス及び送信先ＩＰアドレスを装置管理部２３０へ送信する（ステップＳ６１１）。
【０１３４】
次に、装置管理部２３０は、ＡＲＰ収集部２１０から受け取った送信元ＭＡＣアドレスが、許可装置リスト記憶部１８０に記憶されているＭＡＣアドレスのいずれかと一致するか否かを確認する（ステップＳ６１２）。その送信元ＭＡＣアドレスが許可装置リスト記憶部１８０に記憶されているＭＡＣアドレスのいずれかと一致する場合（ステップＳ６１２でＹＥＳ）、処理は終了する。
【０１３５】
その送信元ＭＡＣアドレスが許可装置リスト記憶部１８０に記憶されているＭＡＣアドレスのいずれとも一致しない場合（ステップＳ６１２でＮＯ）、処理はステップＳ６１３へ進む。
【０１３６】
次に、装置管理部２３０は、第１偽装ＡＲＰ送信部２２０に対して、「第１偽装ＡＲＰ応答パケット８０３を生成し、生成された第１偽装ＡＲＰ応答パケット８０３を不許可装置５２０宛に送信する」ことを指示する（ステップＳ６１３）。
【０１３７】
次に、装置管理部２３０は、第２偽装ＡＲＰ送信部２４０に対して、「第２偽装ＡＲＰ応答パケット８０５を生成し、生成された第２偽装ＡＲＰ応答パケット８０５を不許可装置５２０宛に送信する」ことを指示する（ステップＳ６１４）。
【０１３８】
次に、第１偽装ＡＲＰ送信部２２０は、装置管理部２３０の指示に基づいて、第１偽装ＡＲＰ応答パケット８０３を生成する（ステップＳ６１５）。
【０１３９】
次に、第２偽装ＡＲＰ送信部２４０は、装置管理部２３０の指示に基づいて、第２偽装ＡＲＰ応答パケット８０５を生成する（ステップＳ６１６）。
【０１４０】
次に、第１偽装ＡＲＰ送信部２２０は、第１偽装ＡＲＰ送信部２２０が生成した第１偽装ＡＲＰ応答パケット８０３を、不許可装置５２０を宛先として、ネットワーク５４０へ送信する（ステップＳ６１７）。
【０１４１】
次に、第２偽装ＡＲＰ送信部２４０は、第２偽装ＡＲＰ送信部２４０が生成した第２偽装ＡＲＰ応答パケット８０５を、不許可装置５２０を宛先としてネットワーク５４０へ送信する（ステップＳ６１８）。
【０１４２】
次に、装置管理部２３０は、許可装置リスト記憶部１８０に記憶されていて、副作用装置リスト記憶部２８０に記憶されていないＩＰアドレスのそれぞれをｐｉｎｇ送信部２６０に送信する（ステップＳ６１９）。
【０１４３】
次に、ｐｉｎｇ送信部２６０は、受信したそのＩＰアドレスを宛先ＩＰアドレスとして、ｐｉｎｇ要求パケット８０６を送信する（ステップＳ６２０）。
【０１４４】
次に、ｐｉｎｇ応答確認部２７０は、ステップＳ６１６で送信したｐｉｎｇ要求パケット８０６に対するｐｉｎｇ応答パケット８０７を受信する（ステップＳ６２１）。
【０１４５】
次に、ｐｉｎｇ応答確認部２７０は、受信したｐｉｎｇ応答パケット８０７に含まれる宛先ＭＡＣアドレスを確認する（ステップＳ６２２）。その宛先ＭＡＣアドレスが不正接続防止装置２０１のＭＡＣアドレスであった場合（ステップＳ６２２でＮＯ）、処理は終了する。その宛先ＭＡＣアドレスが偽装ＭＡＣアドレスであった場合（ステップＳ６２２でＹＥＳ）、処理はステップＳ６２３へ進む。
【０１４６】
次に、ｐｉｎｇ応答確認部２７０は、そのｐｉｎｇ応答パケット８０７に含まれる送信元ＩＰアドレス及び送信元ＭＡＣアドレスを装置管理部２３０に送信する（ステップＳ６２３）。
【０１４７】
次に、装置管理部２３０は、受信したその送信元ＩＰアドレスとその送信元ＭＡＣアドレスとの組を副作用装置リスト記憶部２８０に登録する（ステップＳ６２４）。
【０１４８】
尚、ステップＳ１９の動作により、既に副作用装置リスト記憶部２８０に記憶されている装置に対しては、ステップＳ２０におけるｐｉｎｇ要求パケット８０６の送信は行われない。このため、副作用装置５３０の検知処理における効率を向上させることができる。
【０１４９】
次に、装置管理部２３０は、副作用装置リスト記憶部２８０に記憶されている副作用装置５３０のそれぞれに対して、解除ＡＲＰ応答パケット８０４を送信することを指示する（ステップＳ６２５）。
【０１５０】
次に、解除ＡＲＰ送信部２５０は、装置管理部２３０の指示に基づいて、解除ＡＲＰ応答パケット８０４を生成する（ステップＳ６２６）。
【０１５１】
次に、解除ＡＲＰ送信部２５０は、生成された解除ＡＲＰ応答パケット８０４を、副作用装置５３０のそれぞれを宛先として、ネットワーク５４０へ送信する（ステップＳ６２７）。
【０１５２】
不正接続防止装置２０１は、ステップＳ６２５及びステップＳ６２７の動作により、副作用装置リスト記憶部２８０に記憶されている副作用装置５３０に対してのみ、解除ＡＲＰ応答パケット８０４を送信すればよい。そのため、解除ＡＲＰ応答パケット８０４の送信処理における効率を向上できる。
【０１５３】
尚、ステップＳ６１１、６１２、６１４、６１６及び６１８−６２４の動作を実現する構成要素（例えば、装置管理部２３０、第２偽装ＡＲＰ送信部２４０、ｐｉｎｇ送信部２６０及びｐｉｎｇ応答確認部２７０）は、合わせて判定手段とも呼ばれる。
【０１５４】
図９は、不正接続防止装置２０１を含む情報処理システム５０２の動作を示すシーケンス図である。図９は、不正接続防止装置２０１が副作用装置５３０を検出し、その副作用装置５３０のそのネットワーク５４０への接続を復旧する例を、ネットワーク５４０を流れるパケットと各装置のＡＲＰテーブルの状態とで示すシーケンス図である。
【０１５５】
例えば、不正接続防止装置２０１のＭＡＣアドレスを「ＭＡＣ２０１」、ＩＰアドレスを「ＩＰ２０１」とする。また、許可装置５１０のＭＡＣアドレスを「ＭＡＣ５１０」、ＩＰアドレスを「ＩＰ５１０」とする。不許可装置５２０のＭＡＣアドレスを「ＭＡＣ５２０」、ＩＰアドレスを「ＩＰ５２０」とする。副作用装置５３０のＭＡＣアドレスを「ＭＡＣ５３０」、ＩＰアドレスを「ＩＰ５３０」とする。
【０１５６】
許可装置５１０、不許可装置５２０及び副作用装置５３０は、不正接続防止装置２０１が監視するネットワーク５４０上に存在する。
【０１５７】
また、副作用装置５３０は、プロミスキャスモードで動作しているものとする。また、図９に示すシーケンス開始時点において、副作用装置５３０は、副作用装置リスト記憶部２８０に登録されていないものとする。
【０１５８】
＝＝＝ステップＳ６３１＝＝＝
ステップＳ６３１において、不許可装置５２０は、許可装置５１０と通信を行うために、ＡＲＰ要求パケット８０１をブロードキャストで、ネットワーク５４０へ送信する。その時、不正接続防止装置２０１装置、許可装置５１０及び副作用装置５３０は、そのＡＲＰ要求パケット８０１を受信する。
【０１５９】
＝＝＝ステップＳ６３２＝＝＝
次に、ステップＳ６３２において、許可装置５１０は、そのＡＲＰ要求パケット８０１に対するＡＲＰ応答パケット８０２を不許可装置５２０宛で、ネットワーク５４０に送信する。
【０１６０】
その時、不正接続防止装置２０１は、そのＡＲＰ応答パケット８０２を受信する。次に、不正接続防止装置２０１のＡＲＰ収集部２１０は、必要に応じて、受信したそのＡＲＰ応答パケット８０２に基づいて、許可装置リスト記憶部１８０の内容を更新する。
【０１６１】
また、その時、不許可装置５２０は、そのＡＲＰ応答パケット８０２を受信する。次に、不許可装置５２０は、受信したそのＡＲＰ応答パケット８０２に基づいて、許可装置５１０の正しいＭＡＣアドレス（ここでは、「ＭＡＣ５１０」）をＡＲＰテーブルに記憶する。
【０１６２】
また、その時、副作用装置５３０は、そのＡＲＰ応答パケット８０２を受信する。次に、副作用装置５３０は、受信したそのＡＲＰ応答パケット８０２に基づいて、許可装置５１０の正しいＭＡＣアドレス（ここでは、「ＭＡＣ５１０」）をＡＲＰテーブルに記憶する。
【０１６３】
＝＝＝ステップＳ６３３＝＝＝
次に、ステップＳ６３３において、不正接続防止装置２０１は、不許可装置５２０と許可装置５１０との通信を防止するために、第１偽装ＡＲＰ応答パケット８０３を不許可装置５２０宛で、ネットワーク５４０へ送信する。
【０１６４】
その時、不許可装置５２０は、その第１偽装ＡＲＰ応答パケット８０３を受信する。次に、不許可装置５２０は、受信したその第１偽装ＡＲＰ応答パケット８０３に基づいて、ＡＲＰテーブルに記憶した許可装置５１０のＭＡＣアドレスを、偽のＭＡＣアドレスで更新（上書き）する。結果的に、不許可装置５２０は、許可装置５１０との通信を防止される。
【０１６５】
また、その時、副作用装置５３０は、その第１偽装ＡＲＰ応答パケット８０３を受信する。次に、副作用装置５３０は、受信したその第１偽装ＡＲＰ応答パケット８０３に基づいて、ＡＲＰテーブルに記憶した許可装置５１０のＭＡＣアドレスを、偽のＭＡＣアドレスで更新（上書き）する。結果的に、副作用装置５３０は、不正接続防止装置２０１の意図とは無関係に、許可装置５１０への通信を防止される。
【０１６６】
＝＝＝ステップＳ６３４＝＝＝
次に、ステップＳ６３４において、不正接続防止装置２０１は、副作用装置５３０の検出を行うために、第２偽装ＡＲＰ応答パケット８０５を不許可装置５２０宛で、ネットワーク５４０へ送信する。
【０１６７】
その時、不許可装置５２０は、その第２偽装ＡＲＰ応答パケット８０５を受信する。次に、不許可装置５２０は、受信したその第２偽装ＡＲＰ応答パケット８０５に基づいて、ＡＲＰテーブルに記憶した不正接続防止装置２０１のＭＡＣアドレスを、偽のＭＡＣアドレスで更新（上書き）する。
【０１６８】
また、その時、副作用装置５３０は、その第２偽装ＡＲＰ応答パケット８０５を受信する。次に、副作用装置５３０は、受信したその第２偽装ＡＲＰ応答パケット８０５に基づいて、ＡＲＰテーブルに記憶した不正接続防止装置２０１のＭＡＣアドレスを、偽のＭＡＣアドレスで更新（上書き）する。
【０１６９】
＝＝＝ステップＳ６３５＝＝＝
次に、ステップＳ６３５において、不正接続防止装置２０１は、ｐｉｎｇ要求パケット８０６を、副作用装置５３０及び許可装置５１０のそれぞれに宛てて、ネットワーク５４０へ送信する。許可装置５１０及び副作用装置５３０は、ｐｉｎｇ要求パケット８０６を受信する。
【０１７０】
＝＝＝ステップＳ６３６＝＝＝
次に、ステップＳ６３６において、許可装置５１０は、不正接続防止装置２０１のＭＡＣアドレス宛にｐｉｎｇ応答パケット８０７を送信する。不正接続防止装置２０１は、そのｐｉｎｇ応答パケット８０７を受信する。そのｐｉｎｇ応答パケット８０７に含まれる宛先ＭＡＣアドレスは、不正接続防止装置２０１の正しいＭＡＣアドレスである。従って、不正接続防止装置２０１は、そのｐｉｎｇ応答パケット８０７を受信したことに応じての特別な処理を実行しない。
【０１７１】
＝＝＝ステップＳ６３７＝＝＝
次に、ステップＳ６３７において、副作用装置５３０は、ＡＲＰテーブルを参照し、その偽装ＭＡＣアドレスを宛先ＭＡＣアドレスとして、ｐｉｎｇ応答パケット８０７をネットワーク５４０へ送信する。そのＡＲＰテーブルは、ステップＳ６３４において、不正接続防止装置２０１のＩＰアドレスに対するＭＡＣアドレスが偽のＭＡＣアドレスに更新されたＡＲＰテーブルである。
【０１７２】
不正接続防止装置２０１は、そのｐｉｎｇ応答パケット８０７を受信する。次に、不正接続防止装置２０１は、そのｐｉｎｇ応答パケット８０７の送信元が副作用装置５３０であると判定する。
【０１７３】
次に、不正接続防止装置２０１は、そのｐｉｎｇ応答パケット８０７に含まれる送信元ＭＡＣアドレスと送信元ＩＰアドレスとの組を副作用装置リスト記憶部２８０に記憶させる。換言すると、副作用装置５３０は、副作用装置リスト記憶部２８０に登録される。
【０１７４】
＝＝＝ステップＳ６３８＝＝＝
次に、ステップＳ６３８において、不正接続防止装置２０１は、副作用装置５３０に対する「許可装置５１０への通信の防止」を解除するために、解除ＡＲＰ応答パケット８０４を副作用装置５３０宛で、ネットワーク５４０へ送信する。その解除ＡＲＰ応答パケット８０４は、許可装置５１０のＩＰアドレス及びＭＡＣアドレスを、送信元ＩＰアドレス及び送信元ＭＡＣアドレスとして含む。
【０１７５】
上述した本実施形態における第１の効果は、第１の実施形態と同じく、副作用装置５３０のネットワーク５４０への接続が防止された場合に、その装置のネットワーク５４０への接続を自動的にかつ速やかに復旧させることを可能にする点である。
【０１７６】
その理由は、以下の構成を含むからである。第１に、許可装置リスト記憶部１８０が、許可装置５１０（副作用装置５３０を含む）の識別子を記憶する。第２に、装置管理部２３０及び第２偽装ＡＲＰ送信部２４０が、許可装置リスト記憶部１８０に記憶されたその識別子に基づいて、解除ＡＲＰ応答パケット８０４を送信する。
【０１７７】
上述した本実施形態における第２の効果は、送信される解除ＡＲＰ応答パケット８０４の数を削減することを可能にする点である。即ち、解除ＡＲＰ応答パケット８０４の送信処理における効率を向上できる点である。
【０１７８】
その理由は、副作用装置リスト記憶部２８０が副作用装置５３０の識別子を記憶し、装置管理部２３０が副作用装置リスト記憶部２８０を更新し、副作用装置リスト記憶部２８０の内容に基づいて解除ＡＲＰ応答パケット８０４を送信するからである。
【０１７９】
上述した本実施形態における第３の効果は、送信されるｐｉｎｇ要求パケット８０６の数を削減することを可能にする点である。即ち、副作用装置５３０の検知処理における効率を向上させることができる点である。
【０１８０】
その理由は、副作用装置リスト記憶部２８０が副作用装置５３０の識別子を記憶し、装置管理部２３０が副作用装置リスト記憶部２８０に記憶されているＭＡＣアドレスに対しては、ｐｉｎｇ要求パケット８０６を送信させないからである。
【０１８１】
上述した本実施形態における第４の効果は、一般的な端末装置やサーバ装置を変更することなく、許可装置５１０及び副作用装置５３０として使用した場合も、上述の効果を得ることが可能になる点である。
【０１８２】
その理由は、第４のパケットをＥｃｈｏ  Ｒｅｑｕｅｓｔ  Ｍｅｓｓａｇｅであるｐｉｎｇ要求パケット８０６とし、その応答パケットをＥｃｈｏ  Ｒｅｐｌｙ  Ｍｅｓｓａｇｅであるping応答パケット８０７としたからである。
【０１８３】
＜＜＜第３の実施形態＞＞＞
次に、本発明の第３の実施形態について図面を参照して詳細に説明する。以下、本実施形態の説明が不明確にならない範囲で、前述の説明と重複する内容については説明を省略する。
【０１８４】
図１０は、本発明の第３の実施形態に係る不正接続防止装置３０１を含む情報処理システム５０３の構成を示すブロック図である。
【０１８５】
図１０に示すように、本実施形態における不正接続防止装置３０１は、第２の実施形態の不正接続防止装置２０１と比べて、第２偽装ＡＲＰ送信部２４０に替えて第２偽装ＡＲＰ送信部３４０を含む。また、不正接続防止装置３０１は、第２の実施形態の不正接続防止装置２０１と比べて、ｐｉｎｇ応答確認部２７０に替えてｐｉｎｇ応答確認部３７０を含む。
【０１８６】
また、不正接続防止装置３０１は、第１のＭＡＣアドレス３３１と第２のＭＡＣアドレス３３２とを含む。換言すると、不正接続防止装置３０１は、宛先ＭＡＣアドレスを第１のＭＡＣアドレス３３１及び第２のＭＡＣアドレス３３２のいずれかとする、ネットワーク５４０からのパケットに対して、正常に応答する。
【０１８７】
＝＝＝第２偽装ＡＲＰ送信部３４０＝＝＝
第２偽装ＡＲＰ送信部３４０は、第２のＭＡＣアドレス３３２を送信元ＭＡＣアドレスとして、第２偽装ＡＲＰ応答パケット８０５を送信する。
【０１８８】
＝＝＝ｐｉｎｇ応答確認部３７０＝＝＝
ｐｉｎｇ応答確認部３７０は、第１のＭＡＣアドレス３３１及び第２のＭＡＣアドレス３３２のそれぞれを宛先ＭＡＣアドレスとする、ｐｉｎｇ応答パケット８０７を受信する。
【０１８９】
尚、図１０に示す不正接続防止装置３０１の第２偽装ＡＲＰ送信部３４０及びｐｉｎｇ応答確認部３７０以外の構成要素は、第１のＭＡＣアドレス３３１を、不正接続防止装置３０１のＭＡＣアドレスとして使用する。例えば、ｐｉｎｇ送信部２６０は、第１のＭＡＣアドレスを送信元ＭＡＣアドレスとして、ｐｉｎｇ要求パケット８０６を送信する。
【０１９０】
ｐｉｎｇ応答確認部３７０は、そのｐｉｎｇ応答パケット８０７に含まれる宛先ＭＡＣアドレスが第１のＭＡＣアドレス３３１である場合、ｐｉｎｇ応答確認部３７０は、その許可装置５１０は、ネットワーク５４０への接続を防止されていないと判断する。また、そのｐｉｎｇ応答パケット８０７に含まれる宛先ＭＡＣアドレスが第２のＭＡＣアドレス３３２である場合、ｐｉｎｇ応答確認部３７０は、その許可装置５１０がネットワーク５４０への接続を防止されている、即ち副作用装置５３０である、と判断する。
【０１９１】
次に、本実施形態の情報処理システム５０３における動作を説明する。
【０１９２】
副作用装置５３０は、第２偽装ＡＲＰ応答パケット８０５を受信した場合、自身の持つＡＲＰテーブルの不正接続防止装置３０１のＭＡＣアドレスを、第２のＭＡＣアドレス３３２に更新する。
【０１９３】
次に、副作用装置５３０は、ｐｉｎｇ要求パケット８０６を受信した場合、第２のＭＡＣアドレス３３２を宛先アドレスとするｐｉｎｇ応答パケット８０７を送信する。
【０１９４】
次に、ｐｉｎｇ応答確認部３７０は、その副作用装置５３０を副作用装置５３０であると判定する。
【０１９５】
上述した本実施形態における効果は、第２の実施形態の効果に加え、ｐｉｎｇ応答パケット８０７が送信された際のフラッディングの発生を防止できる点である。即ち、ネットワーク５４０上に流れるパケットの数を減らし、ネットワーク５４０の負荷を低減することが可能になる点である。
【０１９６】
その理由は、以下の構成を含むからである。第１に、第２偽装ＡＲＰ送信部３４０が第２のＭＡＣアドレス３３２を用いて、第２偽装ＡＲＰ応答パケット８０５を送信する。第２に、ｐｉｎｇ応答確認部３７０が、第１のＭＡＣアドレス３３１及び第２のＭＡＣアドレス３３２のそれぞれを宛先ＭＡＣアドレスとする、ｐｉｎｇ応答パケット８０７を受信する。第３に、ｐｉｎｇ応答確認部３７０が、第２のＭＡＣアドレス３３２を宛先アドレスとするｐｉｎｇ応答パケット８０７を受信した場合に、そのｐｉｎｇ応答パケット８０７の送信元を副作用装置５３０であると判定する。
【０１９７】
以上の各実施形態で説明した各構成要素は、必ずしも個々に独立した存在である必要はない。例えば、各構成要素は、複数の構成要素が１個のモジュールとして実現されてよい。また、各構成要素は、１つの構成要素が複数のモジュールで実現されてもよい。また、各構成要素は、ある構成要素が他の構成要素の一部であるような構成であってよい。また、各構成要素は、ある構成要素の一部と他の構成要素の一部とが重複するような構成であってもよい。
【０１９８】
以上説明した各実施形態における各構成要素及び各構成要素を実現するモジュールは、必要に応じ、可能であれば、ハードウェア的に実現されてよい。また、各構成要素及び各構成要素を実現するモジュールは、コンピュータ及びプログラムで実現されてよい。また、各構成要素及び各構成要素を実現するモジュールは、ハードウェア的なモジュールとコンピュータ及びプログラムとの混在により実現されてもよい。
【０１９９】
そのプログラムは、例えば、磁気ディスクや半導体メモリなど、不揮発性のコンピュータ可読記録媒体に記録されて提供され、コンピュータの立ち上げ時などにコンピュータに読み取られる。この読み取られたプログラムは、そのコンピュータの動作を制御することにより、そのコンピュータを前述した各実施形態における構成要素として機能させる。
【０２００】
また、以上説明した各実施形態では、複数の動作をフローチャートの形式で順番に記載してあるが、その記載の順番は複数の動作を実行する順番を限定するものではない。このため、各実施形態を実施するときには、その複数の動作の順番は内容的に支障のない範囲で変更することができる。
【０２０１】
更に、以上説明した各実施形態では、複数の動作は個々に相違するタイミングで実行されることに限定されない。例えば、ある動作の実行中に他の動作が発生したり、ある動作と他の動作との実行タイミングが部分的に乃至全部において重複していたりしていてもよい。
【０２０２】
更に、以上説明した各実施形態では、ある動作が他の動作の契機になるように記載しているが、その記載はある動作と他の動作との全ての関係を限定するものではない。このため、各実施形態を実施するときには、その複数の動作の関係は内容的に支障のない範囲で変更することができる。また各構成要素の各動作の具体的な記載は、各構成要素の各動作を限定するものではない。このため、各構成要素の具体的な各動作は、各実施形態を実施する上で機能的、性能的、その他の特性に対して支障を来さない範囲内で変更されてよい。
【０２０３】
以上、各実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解しえるさまざまな変更をすることができる。
【符号の説明】
【０２０４】
１００    接続復旧装置
１０１    不正接続防止装置
１０２    接続防止処理部
１１０    復旧処理部
１８０    許可装置リスト記憶部
１８１    許可レコード
２０１    不正接続防止装置
２１０    ＡＲＰ収集部
２２０    偽装ＡＲＰ送信部
２３０    装置管理部
２４０    偽装ＡＲＰ送信部
２５０    解除ＡＲＰ送信部
２６０    ｐｉｎｇ送信部
２７０    ｐｉｎｇ応答確認部
２８０    副作用装置リスト記憶部
２８１    副作用装置レコード
３０１    不正接続防止装置
３３１    ＭＡＣアドレス
３３２    ＭＡＣアドレス
３４０    偽装ＡＲＰ送信部
３７０    ｐｉｎｇ応答確認部
５０１    情報処理システム
５０２    情報処理システム
５０３    情報処理システム
５１０    許可装置
５２０    不許可装置
５３０    副作用装置
５４０    ネットワーク
７００    コンピュータ
７０１    ＣＰＵ
７０２    記憶部
７０３    記憶装置
７０４    入力部
７０５    出力部
７０６    通信部
７０７    記録媒体
８０１    ＡＲＰ要求パケット
８０２    ＡＲＰ応答パケット
８０３    第１偽装ＡＲＰ応答パケット
８０４    解除ＡＲＰ応答パケット
８０５    第２偽装ＡＲＰ応答パケット
８０６    ｐｉｎｇ要求パケット
８０７    ｐｉｎｇ応答パケット
【図１】
2015154092.tif 000003
【図２】
2015154092.tif 000004
【図３】
2015154092.tif 000005
【図４】
2015154092.tif 000006
【図５】
2015154092.tif 000007
【図６】
2015154092.tif 000008
【図７】
2015154092.tif 000009
【図８】
2015154092.tif 000010
【図９】
2015154092.tif 000011
【図１０】
2015154092.tif 000012