(57)【要約】本発明は、ネットワーク上において、特定ＩＰアドレスまたは特定装置を保護／遮断するためのＩＰ管理方法及び装置に関するものである。  本発明は、ネットワーク上において、特定ＩＰアドレスを保護するためのＩＰ管理方法であって、（ａ）ネットワーク上で伝送されるＡＲＰ（Address Resolution Protocol）パケットを検出するステップと、（ｂ）ＡＲＰパケットで送信者アドレスを検出するステップと、（ｃ）送信者アドレスの送信ＩＰ（Internet Protocol）アドレスが保護ＩＰに設定されているかどうかを判断するステップと、（ｄ）ステップ（ｃ）の判断結果、送信ＩＰアドレスが保護ＩＰに設定されている場合、送信者アドレスの送信ＭＡＣ（Media Access Control）アドレスが送信ＩＰアドレスを使用することができる指定ＭＡＣアドレスと同一であるかどうかを判断するステップと、（ｅ）ステップ（ｄ）の判断結果、送信ＭＡＣアドレスが指定ＭＡＣアドレスと相異する場合、送信ＩＰアドレスが既使用されているもので操作されたＡＲＰパケットを送信者アドレスに伝送するステップと、（ｆ）送信ＩＰアドレスの実際使用ＭＡＣアドレスが指定ＭＡＣアドレスになるように補償する補償パケットをネットワーク上の全ての装置に伝送するステップと、を含むことを特徴とするネットワーク上における特定ＩＰアドレスを保護するためのＩＰ管理方法及びこれを遂行するための装置を提供する。
2008520159.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク上において、特定ＩＰアドレスを保護するためのＩＰ管理方法であって、
（ａ）前記ネットワーク上で伝送されるＡＲＰ（Address Resolution Protocol）パケットを検出するステップと、
（ｂ）前記ＡＲＰパケットで送信者アドレスを検出するステップと、
（ｃ）前記送信者アドレスの送信ＩＰ（Internet Protocol）アドレスが保護ＩＰに設定されているかどうかを判断するステップと、
（ｄ）前記ステップ（ｃ）の判断結果、前記送信ＩＰアドレスが保護ＩＰに設定されている場合、前記送信者アドレスの送信ＭＡＣ（Media Access Control）アドレスが前記送信ＩＰアドレスを使用することができる指定ＭＡＣアドレスと同一であるかどうかを判断するステップと、
（ｅ）前記ステップ（ｄ）の判断結果、前記送信ＭＡＣアドレスが前記指定ＭＡＣアドレスと異なる場合、前記送信ＩＰアドレスが既に使用されているもので操作されたＡＲＰパケットを前記送信者アドレスに伝送するステップと、
（ｆ）前記送信ＩＰアドレスの実際使用ＭＡＣアドレスが前記指定ＭＡＣアドレスになるように補償する補償パケットを前記ネットワーク上の全ての装置に伝送するステップと
を含むことを特徴とする、ネットワーク上における特定ＩＰアドレスを保護するためのＩＰ管理方法。
【請求項２】
前記ステップ（ｅ）において、前記操作されたＡＲＰパケットは、イーサネット（登録商標）フレームの送信者ＭＡＣアドレスが前記指定ＭＡＣアドレスに設定されることを特徴とする、請求項１記載のネットワーク上における特定ＩＰアドレスを保護するためのＩＰ管理方法。
【請求項３】
前記ステップ（ｆ）遂行の後、
（ｇ）前記ＩＰ管理装置を送信者とし、前記指定ＭＡＣアドレスを有する装置を受信者とするＡＲＰ要請パケットを伝送して、スイッチ（Switch）のＭＡＣテーブル内のポート情報を復旧するステップを更に含むことを特徴とする、請求項１記載のネットワーク上における特定ＩＰアドレスを保護するためのＩＰ管理方法。
【請求項４】
ネットワーク上において、特定ＩＰアドレスを有する特定装置を遮断するためのＩＰ管理方法であって、
（ａ）前記ネットワーク上で伝送されるＡＲＰ（Address Resolution Protocol）パケットを検出するステップと、
（ｂ）前記ＡＲＰパケットで送信者アドレス及び／または受信者アドレスを検出するステップと、
（ｃ）送信者が遮断対象であるかどうかを判断して、前記送信者が遮断対象である場合、前記送信者の送信ＭＡＣ（Media Access Control）アドレスを操作した遮断パケットをブロードキャスト（Broadcast）伝送するステップと、
（ｄ）前記受信者アドレスの受信ＭＡＣアドレスを操作した遮断パケットを前記送信者アドレスにユニキャスト（Unicast）伝送するステップと、
を含むことを特徴とする、ネットワーク上における特定ＩＰアドレスを有する特定装置を遮断するためのＩＰ管理方法。
【請求項５】
前記ステップ（ｄ）遂行の後、
（ｅ）受信者が遮断対象であるかどうかを判断して、前記受信者が遮断対象である場合、前記受信者の受信ＭＡＣアドレスを操作した遮断パケットをブロードキャスト伝送するステップと、
（ｆ）前記送信者アドレスの送信ＭＡＣアドレスを操作した遮断パケットを前記受信者アドレスにユニキャスト伝送するステップと、
を更に含むことを特徴とする、請求項４に記載のネットワーク上における特定ＩＰアドレスを有する特定装置を遮断するためのＩＰ管理方法。
【請求項６】
前記ステップ（ｄ）遂行の後、
（ｅ１）受信者が遮断対象であるかどうかを判断して、前記受信者が遮断対象である場合、前記受信者の受信ＭＡＣアドレスを操作した遮断パケットを前記送信者アドレスにユニキャスト伝送するステップと、
（ｆ１）前記送信者アドレスの送信ＭＡＣアドレスを操作した遮断パケットを前記受信者アドレスにユニキャスト伝送するステップと、
を更に含むことを特徴とする、請求項４に記載のネットワーク上における特定ＩＰアドレスを有する特定装置を遮断するためのＩＰ管理方法。
【請求項７】
（ｇ）前記ステップ（ｄ）の前記受信者アドレスの受信ＩＰ（Internet Protocol）アドレスと正常受信ＭＡＣアドレス、前記受信者が遮断対象である場合の前記送信者アドレスの送信ＩＰアドレスと正常送信ＭＡＣアドレスを遮断伝送リストに貯蔵するステップと、
（ｈ）前記遮断に対する解除要請がある場合、前記遮断対象を送信者にして遮断解除ブロードキャストパケットを伝送するステップと、
（ｉ）前記遮断対象別に、前記遮断伝送リストに貯蔵されたアドレスを送信者とし、前記遮断対象を受信者として遮断解除ユニキャストパケットを伝送するステップと、
を更に含むことを特徴とする、請求項５又は６に記載のネットワーク上における特定ＩＰアドレスを有する特定装置を遮断するためのＩＰ管理方法。
【請求項８】
前記ステップ（ｄ）遂行の後、
（ｇ１）前記ステップ（ｄ）の前記受信者アドレスの受信ＩＰ（Internet Protocol）アドレスと正常受信ＭＡＣアドレスを遮断伝送リストに貯蔵するステップと、
（ｈ１）前記遮断に対する解除要請がある場合、前記遮断対象を送信者にして遮断解除ブロードキャストパケットを伝送するステップと、
（ｉ１）前記遮断対象別に、前記遮断伝送リストに貯蔵されたアドレスを送信者とし、前記遮断対象を受信者として遮断解除ユニキャストパケットを伝送するステップと、
を更に含むことを特徴とする、請求項４に記載のネットワーク上における特定ＩＰアドレスを有する特定装置を遮断するためのＩＰ管理方法。
【請求項９】
前記ステップ（ｉ）遂行の後、
（ｊ）前記ＩＰ管理装置を送信者とし、前記遮断対象を受信者とするＡＲＰ要請パケットを伝送して、スイッチ（Switch）のＭＡＣテーブル内のポート情報を復旧するステップを更に含むことを特徴とする、請求項７に記載のネットワーク上における特定ＩＰアドレスを有する特定装置を遮断するためのＩＰ管理方法。
【請求項１０】
ネットワーク上において、特定ＩＰアドレスを有する特定装置を遮断し、かつ、管理者が指定した主要装置への送信を遮断するためのＩＰ管理方法であって、
（ａ）前記ネットワーク上で伝送されるＡＲＰ（Address Resolution Protocol）パケットを検出するステップと、
（ｂ）前記ＡＲＰパケットで送信者アドレス及び／または受信者アドレスを検出するステップと、
（ｃ）送信者が遮断対象であるかどうかを判断して、前記送信者が遮断対象である場合、前記送信者の送信ＭＡＣ（Media Access Control）アドレスを操作した遮断パケットをブロードキャスト（Broadcast）伝送するステップと、
（ｄ）受信者が前記主要装置であるかどうかを判断して、前記受信者が前記主要装置である場合、前記受信者アドレスの受信ＭＡＣアドレスを操作した遮断パケットを前記送信者アドレスにユニキャスト（Unicast）伝送するステップと、
を含むことを特徴とする、特定ＩＰアドレスを有する特定装置を遮断し、かつ、管理者が指定した主要装置への送信を遮断するためのＩＰ管理方法。
【請求項１１】
前記ステップ（ｄ）遂行の後、
（ｅ）前記受信者が遮断対象であるかどうかを判断して、前記受信者が遮断対象である場合、前記受信者アドレスの受信ＭＡＣアドレスを操作した遮断パケットをブロードキャスト伝送するステップと、
（ｆ）前記送信者が前記主要装置であるかどうかを判断して、前記送信者が前記主要装置である場合、前記送信者アドレスの送信ＭＡＣアドレスを操作した遮断パケットを前記ネットワーク上の全ての前記遮断装置にユニキャスト伝送するステップと、
を更に含むことを特徴とする、請求項１０に記載の特定ＩＰアドレスを有する特定装置を遮断し、かつ、管理者が指定した主要装置への送信を遮断するためのＩＰ管理方法。
【請求項１２】
前記ステップ（ｄ）遂行の後、
（ｅ１）前記受信者が遮断対象であるかどうかを判断して、前記受信者が遮断対象である場合、前記受信者アドレスの受信ＭＡＣアドレスを操作した遮断パケットをユニキャスト伝送するステップと、
（ｆ１）前記送信者が前記主要装置であるかどうかを判断して、前記送信者が前記主要装置である場合、前記送信者アドレスの送信ＭＡＣアドレスを操作した遮断パケットを前記ネットワーク上の全ての前記遮断装置にユニキャスト伝送するステップと、
を更に含むことを特徴とする、請求項１０に記載の特定ＩＰアドレスを有する特定装置を遮断し、かつ、管理者が指定した主要装置への送信を遮断するためのＩＰ管理方法。
【請求項１３】
（ｇ）前記受信者が前記主要装置である場合、または前記受信者が遮断対象である場合の前記受信者アドレスの受信ＩＰ（Internet Protocol）アドレスと正常受信ＭＡＣアドレス、前記送信者が前記主要装置である場合の前記送信者アドレスの送信ＩＰアドレスと正常送信ＭＡＣアドレスを遮断伝送リストに貯蔵するステップと、
（ｈ）前記遮断に対する解除要請がある場合、前記遮断対象を送信者にして遮断解除ブロードキャストパケットを伝送するステップと、
（ｉ）前記遮断対象別に、前記遮断伝送リストに貯蔵されたアドレスを送信者とし、前記遮断対象を受信者として遮断解除ユニキャストパケットを伝送するステップと、
を更に含むことを特徴とする、請求項１１または１２に記載の特定ＩＰアドレスを有する特定装置を遮断し、かつ、管理者が指定した主要装置への送信を遮断するためのＩＰ管理方法。
【請求項１４】
前記ステップ（ｄ）遂行の後、
（ｇ１）前記ステップ（ｄ）の前記受信者アドレスの受信ＩＰ（Internet Protocol）アドレスと正常受信ＭＡＣアドレスを遮断伝送リストに貯蔵するステップと、
（ｈ１）前記遮断に対する解除要請がある場合、前記遮断対象を送信者にして遮断解除ブロードキャストパケットを伝送するステップと、
（ｉ１）前記遮断対象別に、前記遮断伝送リストに貯蔵されたアドレスを送信者とし、前記遮断対象を受信者として遮断解除ユニキャストパケットを伝送するステップと、
を更に含むことを特徴とする、請求項１０に記載の特定ＩＰアドレスを有する特定装置を遮断し、かつ、管理者が指定した主要装置への送信を遮断するためのＩＰ管理方法。
【請求項１５】
前記ステップ（ｉ）遂行の後、
（ｊ）前記ＩＰ管理装置を送信者とし、前記遮断対象を受信者とするＡＲＰ要請パケットを伝送して、スイッチ（Switch）のＭＡＣテーブル内のポート情報を復旧するステップを更に含むことを特徴とする、請求項１３に記載の特定ＩＰアドレスを有する特定装置を遮断し、かつ、管理者が指定した主要装置への送信を遮断するためのＩＰ管理方法。
【請求項１６】
ネットワーク上において、特定ＩＰアドレスを保護するためのＩＰ管理装置であって、
前記ネットワーク上で伝送されるＡＲＰ（Address Resolution Protocol）パケットを検出するパケット検出部と、
前記ＡＲＰパケットで送信者アドレスを検出して、前記送信者アドレスの送信ＩＰ（Internet Protocol）アドレスが保護ＩＰに設定されているかどうかを判断し、前記送信ＩＰアドレスが保護ＩＰに設定されている場合、前記送信者アドレスの送信ＭＡＣ（Media
Access Control）アドレスが前記送信ＩＰアドレスを使用することができる指定ＭＡＣアドレスと同一であるかどうかを判断して、前記送信ＭＡＣアドレスが前記指定ＭＡＣアドレスと異なる場合、前記送信ＩＰアドレスが既に使用されているもので操作されたＡＲＰパケットを前記送信者アドレスに伝送し、前記送信ＩＰアドレスの実際に使用されているＭＡＣアドレスが前記指定ＭＡＣアドレスになるように補償する補償パケットを前記ネットワーク上の全ての装置に伝送するパケット制御部と、
を含むことを特徴とする、ネットワーク上における特定ＩＰアドレスを保護するためのＩＰ管理装置。
【請求項１７】
ネットワーク上において、特定ＩＰアドレスを有する特定装置を遮断するためのＩＰ管理装置であって、
前記ネットワーク上で伝送されるＡＲＰ（Address Resolution Protocol）パケットを検出するパケット検出部と、
前記ＡＲＰパケットで送信者アドレス及び／または受信者アドレスを検出し、送信者が遮断対象であるかどうかを判断して、前記送信者が遮断対象である場合、前記送信者の送信ＭＡＣ（Media Access Control）アドレスを操作した遮断パケットをブロードキャスト（Broadcast）伝送し、前記受信者アドレスの受信ＭＡＣアドレスを操作した遮断パケットを前記送信者アドレスにユニキャスト（Unicast）伝送し、受信者が遮断対象であるかどうかを判断して、前記受信者が遮断対象である場合、前記受信者の受信ＭＡＣアドレスを操作した遮断パケットをブロードキャスト／ユニキャスト伝送し、前記送信者アドレスの送信ＭＡＣアドレスを操作した遮断パケットを前記受信者アドレスにユニキャスト伝送するパケット制御部と、
を含むことを特徴とする、ネットワーク上における特定ＩＰアドレスを有する特定装置を遮断するためのＩＰ管理装置。
【請求項１８】
前記送信者が遮断対象である場合の前記受信者アドレスの受信ＩＰ（Internet Protocol）アドレスと正常受信ＭＡＣアドレス、及び、前記受信者が遮断対象である場合の前記送信者アドレスの送信ＩＰアドレスと正常送信ＭＡＣアドレスを遮断伝送リストに貯蔵し、前記遮断に対する解除要請がある場合に前記遮断対象を送信者にして遮断解除ブロードキャストパケットを伝送した後、前記遮断対象別に、前記遮断伝送リストに貯蔵されたアドレスを送信者とし、前記遮断対象を受信者として遮断解除ユニキャストパケットを伝送する遮断解除部と、
を更に含むことを特徴とする、請求項１７に記載のネットワーク上における特定ＩＰアドレスを有する特定装置を遮断するためのＩＰ管理装置。
【請求項１９】
ネットワーク上において、特定ＩＰアドレスを有する特定装置を遮断し、かつ、管理者が指定した主要装置への送信を遮断するためのＩＰ管理装置であって、
前記ネットワーク上で伝送されるＡＲＰ（Address Resolution Protocol）パケットを検出するパケット検出部と、
前記ＡＲＰパケットで送信者アドレス及び／または受信者アドレスを検出し、送信者が遮断対象であるかどうかを判断して、前記送信者が遮断対象である場合、前記送信者の送信ＭＡＣ（Media Access Control）アドレスを操作した遮断パケットをブロードキャスト（Broadcast）伝送し、受信者が前記主要装置であるかどうかを判断して、前記受信者が前記主要装置である場合、前記受信者アドレスの受信ＭＡＣアドレスを操作した遮断パケットを前記送信者アドレスにユニキャスト（Unicast）伝送し、前記受信者が遮断対象であるかどうかを判断して、前記受信者が遮断対象である場合、前記受信者アドレスの受信ＭＡＣアドレスを操作した遮断パケットをブロードキャスト／ユニキャスト伝送し、前記送信者が前記主要装置であるかどうかを判断して、前記送信者が前記主要装置である場合、前記送信者アドレスの送信ＭＡＣアドレスを操作した遮断パケットを前記ネットワーク上の全ての前記遮断装置にユニキャスト伝送するパケット制御部と、
を含むことを特徴とする、特定ＩＰアドレスを有する特定装置を遮断し、かつ、管理者が指定した主要装置への送信を遮断するためのＩＰ管理装置。
【請求項２０】
前記受信者が前記主要装置である場合の前記受信者アドレスの受信ＩＰ（Internet Protocol）アドレスと正常受信ＭＡＣアドレス、前記受信者が遮断対象である場合の前記受信者アドレスの受信ＩＰアドレスと正常受信ＭＡＣアドレス、および、前記送信者が前記主要装置である場合の前記送信者アドレスの送信ＩＰアドレスと正常送信ＭＡＣアドレスを遮断伝送リストに貯蔵し、前記遮断に対する解除要請がある場合に前記遮断対象を送信者にして遮断解除ブロードキャストパケットを伝送した後、前記遮断対象別に、前記遮断伝送リストに貯蔵されたアドレスを送信者とし、前記遮断対象を受信者として遮断解除ユニキャストパケットを伝送する遮断解除部と、
を更に含むことを特徴とする、請求項１９記載の特定ＩＰアドレスを有する特定装置を遮断し、かつ、管理者が指定した主要装置への送信を遮断するためのＩＰ管理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク上における特定ＩＰアドレス、または特定装置を保護／遮断するためのＩＰ管理方法及び装置に関し、より詳しくは、ＩＰ（Internet Protocol）及びＭＡＣ（Media Access Control）に基づいた内部ネットワーク管理システムにおいて、ネットワークＡＲＰ（Address Resolution Protocol）パケットが収集される度に保護ＩＰとＭＡＣとの相関関係を判断して、接近が許されないＭＡＣである場合には、ネットワーク接近を遮断することによりＩＰを保護し、権限が無い（遮断された）装置に対してはＭＡＣ情報が操作されたＡＲＰパケットを提供して通信を遮断し、遮断装置から主要装置にパケットが伝送できないようにすることで、主要装置に流入するネットワークトラヒックを減らすネットワーク上における特定ＩＰアドレスまたは特定装置を保護／遮断するためのＩＰ管理方法及び装置に関する。
【背景技術】
【０００２】
情報通信技術の発達により情報化社会に進行するにつれて、社会、文化、及び経済など、全分野でインターネットが重要で、かつ必須の媒体になりつつある。このように、企業内で全ての業務がイントラネットにより処理されるによって、ネットワーク管理が非常に重要な問題として登場することになった。一般に、ネットワーク管理は、構成管理、障害管理、性能管理、保安管理、勘定管理、及び自動分析などに区分できるが、このための多様なネットワーク管理プロトコルが国際標準化機関により制定されて勧告されており、このためのＩＰ基盤ネットワーク管理システムも複数開発されている。
【０００３】
ここで、ＩＰ基盤ネットワーク管理システムとは、資源を管理し、網を監視する方法に関するものであって、イントラネット環境でネットワーク資源（例えば、ＰＣ、ルータ、プリンタ、各種サーバー等）を効率よく管理し、使用者に対する保安統制を可能にするものである。ＩＰ基盤ネットワーク管理システムの基本概念は、特定ネットワークの管理者がそのネットワークの他の装置と同一レベルに接続された管理装置を用いて通信制御ルールを設定し、設定された通信制御ルールをネットワーク内の装置間の通信に強制的に適用されるようにすることで、通信制御ルールによって網内通信を制限できるようにするものである。
【０００４】
ネットワークの使用が増加するにつれて、超高速インターネットの利用者数が急増することになり、これによって、トラヒックも増加しているが、このようなトラヒックの増加はサービス品質の低下をもたらす問題点があるので、より効果的なＩＰ管理システムが要求されている実状がある。
【０００５】
また、一般に、大部分の会社には重要なサーバー／装置が存在し、該装置は全てネットワーク機能を持っている。一例として、ウェブサーバーの場合は、サーバーのドメインネーム及びＩＰがＤＮＳに登録されているが、仮に、社内の他ＰＣが該ウェブサーバーの電源が消えている状態で該当ＩＰを使用すれば、ウェブサーバーが電源を付けるとしても自分のＩＰを使用できない状態になる。これは、運用体制の基本動作上、既に使われているＩＰは自身が使用することができないようにする一般的なＩＰ先占規則によるものであるが、この場合、外部の一般使用者は、ウェブサーバーを利用できない状態になるという問題点が発生する。したがって、このような主要装置は一般的なＩＰ先占規則の例外にして主要装置のＩＰを保護すべき必要性がある。
【０００６】
また、ネットワーク障害が生じたり、ウイルスなどが発生したりした場合、サーバー、ＤＢなどを始めとする特定主要装置に発生する問題点は全システムに致命的な影響を及ぼすことができるので、ネットワーク上でこれを効果的に保護しなければならないという要求も増加している。
【発明の開示】
【発明が解決しようとする課題】
【０００７】
前述した要求に応じるために、本発明は、ＩＰ（Internet Protocol）及びＭＡＣ（Media Access Control）に基づいた内部ネットワーク管理システムにおいて、ネットワークＡＲＰ（Address Resolution Protocol）パケットが収集される度に保護ＩＰアドレスとＭＡＣアドレスとの相関関係を判断して、接近が許されていないＭＡＣアドレスである場合には、ネットワーク接近を遮断することによりＩＰを保護し、非印加された（遮断された）装置に対してはＭＡＣ情報が操作されたＡＲＰパケットを提供して、通信を遮断し、遮断装置から主要装置にパケットを伝送できないようにすることで、主要装置に流入するネットワークトラヒックを減らすネットワーク上で特定ＩＰアドレスまたは特定装置を保護／遮断するためのＩＰ管理方法及び装置を提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明の第１の観点によれば、ネットワーク上において、特定ＩＰアドレスを保護するためのＩＰ管理方法であって、（ａ）ネットワーク上で伝送されるＡＲＰ（Address Resolution Protocol）パケットを検出するステップと、（ｂ）ＡＲＰパケットで送信者アドレスを検出するステップと、（ｃ）送信者アドレスの送信ＩＰ（Internet Protocol）アドレスが保護ＩＰに設定されているかどうかを判断するステップと、（ｄ）ステップ（ｃ）の判断結果、送信ＩＰアドレスが保護ＩＰに設定されている場合、送信者アドレスの送信ＭＡＣ（Media Access Control）アドレスが送信ＩＰアドレスを使用することができる指定ＭＡＣアドレスと同一であるかどうかを判断するステップと、（ｅ）ステップ（ｄ）の判断結果、送信ＭＡＣアドレスが指定ＭＡＣアドレスと異なる場合、送信ＩＰアドレスが既に使用されているもので操作されたＡＲＰパケットを送信者アドレスに伝送するステップと、（ｆ）送信ＩＰアドレスの実際使用ＭＡＣアドレスが指定ＭＡＣアドレスになるように補償する補償パケットをネットワーク上の全ての装置に伝送するステップと、を含むことを特徴とするネットワーク上における特定ＩＰアドレスを保護するためのＩＰ管理方法を提供する。
【０００９】
本発明の第２の観点によれば、ネットワーク上において、特定ＩＰアドレスを有する特定装置を遮断するためのＩＰ管理方法であって、（ａ）ネットワーク上で伝送されるＡＲＰ（Address Resolution Protocol）パケットを検出するステップと、（ｂ）ＡＲＰパケットで送信者アドレス及び／または受信者アドレスを検出するステップと、（ｃ）送信者が遮断対象であるかどうかを判断して、送信者が遮断対象である場合、送信者の送信ＭＡＣ（Media Access Control）アドレスを操作した遮断パケットをブロードキャスト（Broadcast）伝送するステップと、（ｄ）受信者アドレスの受信ＭＡＣアドレスを操作した遮断パケットを送信者アドレスにユニキャスト（Unicast）伝送するステップと、を含むことを特徴とするネットワーク上における特定ＩＰアドレスを有する特定装置を遮断するためのＩＰ管理方法を提供する。
【００１０】
本発明の第３の観点によれば、ネットワーク上において、特定ＩＰアドレスを有する特定装置を遮断し、かつ、管理者が指定した主要装置への送信を遮断するためのＩＰ管理方法であって、（ａ）ネットワーク上で伝送されるＡＲＰ（Address Resolution Protocol）パケットを検出するステップと、（ｂ）ＡＲＰパケットで送信者アドレス及び／または受信者アドレスを検出するステップと、（ｃ）送信者が遮断対象であるかどうかを判断して、送信者が遮断対象である場合、送信者の送信ＭＡＣ（Media Access Control）アドレスを操作した遮断パケットをブロードキャスト（Broadcast）伝送するステップと、（ｄ）受信者が主要装置であるかどうかを判断して、受信者が主要装置である場合、受信者アドレスの受信ＭＡＣアドレスを操作した遮断パケットを送信者アドレスにユニキャスト（Unicast）伝送するステップと、を含むことを特徴とする特定ＩＰアドレスを有する特定装置を遮断し、かつ、管理者が指定した主要装置への送信を遮断するためのＩＰ管理方法を提供する。
【００１１】
本発明の第４の観点によれば、ネットワーク上において、特定ＩＰアドレスを保護するためのＩＰ管理装置であって、ネットワーク上で伝送されるＡＲＰ（Address Resolution Protocol）パケットを検出するパケット検出部と、ＡＲＰパケットで送信者アドレスを検出して、送信者アドレスの送信ＩＰ（Internet Protocol）アドレスが保護ＩＰに設定されているかどうかを判断し、送信ＩＰアドレスが保護ＩＰに設定されている場合、送信者アドレスの送信ＭＡＣ（Media Access Control）アドレスが送信ＩＰアドレスを使用することができる指定ＭＡＣアドレスと同一であるかどうかを判断して、送信ＭＡＣアドレスが指定ＭＡＣアドレスと異なる場合、送信ＩＰアドレスが既に使用されているもので操作されたＡＲＰパケットを送信者アドレスに伝送し、送信ＩＰアドレスの実際使用ＭＡＣアドレスが指定ＭＡＣアドレスになるように補償する補償パケットをネットワーク上の全ての装置に伝送するパケット制御部と、を含むことを特徴とするネットワーク上における特定ＩＰアドレスを保護するためのＩＰ管理装置を提供する。
【００１２】
本発明の第５の観点によれば、ネットワーク上において、特定ＩＰアドレスを有する特定装置を遮断するためのＩＰ管理装置であって、ネットワーク上で伝送されるＡＲＰ（Address Resolution Protocol）パケットを検出するパケット検出部と、ＡＲＰパケットで送信者アドレス及び／または受信者アドレスを検出し、送信者が遮断対象であるかどうかを判断して、送信者が遮断対象である場合、送信者の送信ＭＡＣ（Media Access Control）アドレスを操作した遮断パケットをブロードキャスト（Broadcast）伝送し、受信者アドレスの受信ＭＡＣアドレスを操作した遮断パケットを送信者アドレスにユニキャスト（Unicast）伝送し、受信者が遮断対象であるかどうかを判断して、受信者が遮断対象である場合、受信者の受信ＭＡＣアドレスを操作した遮断パケットをブロードキャスト／ユニキャスト伝送し、送信者アドレスの送信ＭＡＣアドレスを操作した遮断パケットを受信者アドレスにユニキャスト伝送するパケット制御部と、を含むことを特徴とするネットワーク上における特定ＩＰアドレスを有する特定装置を遮断するためのＩＰ管理装置を提供する。
【００１３】
本発明の第６の観点によれば、ネットワーク上において、特定ＩＰアドレスを有する特定装置を遮断し、かつ、管理者が指定した主要装置への送信を遮断するためのＩＰ管理装置であって、ネットワーク上で伝送されるＡＲＰ（Address Resolution Protocol）パケットを検出するパケット検出部と、ＡＲＰパケットで送信者アドレス及び／または受信者アドレスを検出し、送信者が遮断対象であるかどうかを判断して、送信者が遮断対象である場合、送信者の送信ＭＡＣ（Media Access Control）アドレスを操作した遮断パケットをブロードキャスト（Broadcast）伝送し、受信者が主要装置であるかどうかを判断して、受信者が主要装置である場合、受信者アドレスの受信ＭＡＣアドレスを操作した遮断パケットを送信者アドレスにユニキャスト（Unicast）伝送し、受信者が遮断対象であるかどうかを判断して、受信者が遮断対象である場合、受信者アドレスの受信ＭＡＣアドレスを操作した遮断パケットをブロードキャスト／ユニキャスト伝送し、送信者が主要装置であるかどうかを判断して、送信者が主要装置である場合、送信者アドレスの送信ＭＡＣアドレスを操作した遮断パケットをネットワーク上の全ての遮断装置にユニキャスト伝送するパケット制御部と、を含むことを特徴とする特定ＩＰアドレスを有する特定装置を遮断し、かつ、管理者が指定した主要装置への送信を遮断するためのＩＰ管理装置を提供する。
【発明の効果】
【００１４】
本発明によれば、ネットワーク上において、重要サーバー、ウェブサーバー、ＤＢサーバーなど、主要装置が使用しているＩＰアドレスを保護ＩＰアドレスに設定して他装置が使用できないようにすることで、特定ＩＰアドレスを保護する効果がある。また、権限が無い（遮断された）装置で主要装置に設定されたシステム／装置への接近自体を源泉封鎖することで、主要装置に伝えられるネットワークトラヒック量を極小化して主要装置の性能低下を防ぐという効果がある。
【００１５】
また、本発明によれば、保護ＩＰアドレスに固定されたＭＡＣアドレスがＯＮ／ＯＦＦに関らず、その機能を遂行することができる。即ち、固定ＭＡＣアドレスがＯＦＦの場合にもこのＩＰを他のＭＡＣアドレスで使用できないようにすることで、以後、固定ＭＡＣアドレスがＯＮされる場合に該当ＩＰアドレスを何らの問題なく使用することができるように保障するという長所がある。
【発明を実施するための最良の形態】
【００１６】
以下に添付図面を参照しながら、本発明の好適な実施の形態について詳細に説明する。なお、本明細書及び図面において、実質的に同一の機能構成を有する構成要素については、同一の符号を付することにより重複説明を省略する。
【００１７】
図１は、本発明の好ましい実施形態に係るネットワーク上において、特定ＩＰアドレスまたは特定装置を保護／遮断するためのＩＰ管理システムを概略的に示す構成図である。
【００１８】
図１に示すように、本発明の好ましい実施形態に係るネットワーク上において、特定ＩＰアドレス、または特定装置を保護／遮断するためのＩＰ管理システムは、インターネット１００、ルータ１０２、スイッチ１０４、管理サーバー１０６、ＩＰ管理装置１０８、及び複数の装置（ＤＥＶ−１〜ＤＥＶ−５）などを含む。
【００１９】
図１に示したスイッチ１０４、管理サーバー１０６、ＩＰ管理装置１０８、及び複数の装置（ＤＥＶ−１〜ＤＥＶ−５）は、ＬＡＮ（Local Area Network）により連結されている。このように、ＬＡＮのような特定のネットワークに連結された資源間の通信は、ＡＲＰ（Address Resolution Protocol）を利用してなされる。ＡＲＰはネットワークレイヤアドレス（例えば、プロトコルレイヤ（Ｌ３）アドレス）を物理的アドレス（例えば、データリンクレイヤ（Ｌ２）アドレス）に対応させるために使われるプロトコルである。ここで、物理的アドレスとは、イーサネット、またはトークンリングの４８ビット（Bits）ネットワークカードアドレスなどを意味する。ＡＲＰパケットは、イーサネットパケットデータ内の一部分に含まれるが、イーサネットパケットのヘッダは目的地イーサネットアドレス（４８ビット）、発信者イーサネットアドレス（４８ビット）、及びイーサネットプロトコルタイプ（１６ビット）を含む。このようなイーサネットパケットヘッダの後にＡＲＰパケットが付くが、パケットがＬＡＮ上で移動する時には目的地イーサネットアドレス（例えば、ＭＡＣアドレス）に伝送される。
【００２０】
例えば、ＩＰホストＡがＩＰホストＢにＩＰパケットを伝送しようとする際、ＩＰホストＡでＩＰホストＢの物理的アドレスを知らない場合、ＩＰホストＡはＡＲＰプロトコルを使用して目的地であるＩＰホストＢのＩＰアドレスとブロードキャスティング物理的アドレス（ＦＦ：ＦＦ：ＦＦ：ＦＦ：ＦＦ：ＦＦ）情報を含むＡＲＰ要請パケットをネットワーク上に伝送する。ＩＰホストＢは、自身のＩＰアドレスが目的地と記録されているＡＲＰパケットを受信すれば、自身の物理的ネットワークレイヤアドレスをＩＰホストＡに応答する。このような方式により収集されたＩＰアドレスと、これに該当する物理的ネットワークレイヤアドレス情報は、各ＩＰホストのＡＲＰキャッシュ（Cache）と呼ばれるメモリにテーブル形態（ARP Table）で貯蔵された後、以後のパケット伝送時にまた使われる。ＬＡＮのようなネットワークに連結されている資源同士は、以上の説明のような方式で内部通信を行うことになる。
【００２１】
本発明の好ましい実施形態に係るＩＰ管理装置１０８は、本発明の好ましい実施形態に係る複数の装置（ＤＥＶ−１〜ＤＥＶ−５）がレイヤ２スイッチ１０４を通じて連結されたＬＡＮ環境で、ＬＡＮに連結された１つのノードであって、複数の装置（ＤＥＶ−１〜ＤＥＶ−５）のようなレベルに連結される。本発明の好ましい実施形態に係るＩＰ管理装置１０８は、希望する装置に対する通信を統制するために、前述したＡＲＰテーブルを操作することで、ＬＡＮ内部装置間の通信を希望する形態に統制する。このような機能をするＩＰ管理装置１０８に対する詳細は後述する。
【００２２】
一方、本発明の好ましい実施形態に係るＬＡＮは、ルータ１０２、インターネット１００、または他のネットワーク（例えば、仮想ＬＡＮ（VＬＡＮ））などにも連結されることができる。
【００２３】
図２は、本発明の好ましい実施形態に係るＩＰ管理装置の内部構成を概略的に示すブロック構成図である。
【００２４】
本発明の好ましい実施形態に係るＩＰ管理装置１０８は、パケット検出部２００、パケット制御部２０２、遮断解除部２０４、規則貯蔵部２０６、及びサーバー通信部２０８などを含むことができる。
【００２５】
本発明の好ましい実施形態に係るパケット検出部２００はネットワーク上で伝送されるＡＲＰパケットを検出し、パケット制御部２０２は遮断／解除／モニタリングなどを行い、遮断解除部２０４はパケット制御部２０２により遮断された装置を解除し、規則貯蔵部２０６は網内の装置を管理するための制御規則を制定し、サーバー通信部２０８は管理サーバー１０６との通信を行う。
【００２６】
本発明の好ましい実施形態に係るＩＰ管理装置１０８の動作を説明するために任意の通信装置がネットワークを始める時の動作を、ＡＲＰを中心に説明する。
【００２７】
まず、図１を参照して、同一なＬＡＮ上に５台の装置（ＤＥＶ−１〜ＤＥＶ−５）及び本発明の好ましい実施形態に係るＩＰ管理装置１０８があり、全ての装置のＡＲＰキャッシュは空いていると仮定する。表１は、装置別ＩＰアドレスとＭＡＣアドレスの例である。
【００２８】
【表１】
2008520159.tif 000003
【００２９】
本発明の好ましい実施形態に係るＡＲＰパケットは、図３の構造を持っている。ＡＲＰパケットは、ブロードキャスト（Broadcast）パケットとユニキャスト（Unicast）パケットとに大別できるが、ブロードキャストパケットは、ＬＡＮ上の全ての装置に送るものであって、ＡＲＰパケットの目的地のアドレスがＦＦ：ＦＦ：ＦＦ：ＦＦ：ＦＦ：ＦＦである形態を有する。また、ユニキャストパケットは、特定装置のみに送るものであって、目的地のアドレスが、特定装置のＭＡＣアドレスとＩＰアドレスとを有するという特徴がある。以下、ブロードキャストパケットはＢＲＤ（送信者ＩＰ、送信者ＭＡＣ、受信者ＩＰ、受信者ＭＡＣ）と表記するようにし、ユニキャストパケットはＵＮＩ（送信者ＩＰ、送信者ＭＡＣ、受信者ＩＰ、受信者ＭＡＣ）と表記するようにし、ＦＦ：ＦＦ：ＦＦ：ＦＦ：ＦＦ：ＦＦは、表現上ＦＦと縮めて表記する。
【００３０】
表１において、電源がＯＦＦされたＤＥＶ−５の電源をＯＮさせた場合を例にすれば、一旦、全ての装置はＩＰアドレスを使用する前に自身のＩＰアドレスを他装置が使用するかを確認するためにＩＰ状態チェックをすることになる。この際、使われるパケットがＡＲＰの中の、別名ハロー（Ｈｅｌｌｏ）パケットであり、その構造はＢＲＤ（ＩＰ−５、ＭＡＣ−５、ＩＰ−５、ＦＦ）である。仮に、ＬＡＮ内の他の装置がこのＩＰ−５を使用中であれば、これに対する応答を送るようになっているが、表１を見れば、現在ＩＰ−５を使用する装置がないので、何らの装置もこれに対する応答を送らないことになる。したがって、ＤＥＶ−５はＩＰ−５を使用できることになる。ＤＥＶ−５からＢＲＤ（ＩＰ−５、ＭＡＣ−５、ＩＰ−５、ＦＦ）パケットが伝送されれば、ＬＡＮ上の全ての装置のＡＲＰキャッシュは表２ように変わることになる。
【００３１】
【表２】
2008520159.tif 000004
【００３２】
一方、ＤＥＶ−５がＩＰ−５でないＩＰ−３を使用するというＡＲＰパケットを伝送すれば、ＤＥＶ−３とＩＰの衝突が生じることになる。即ち、ＤＥＶ−５がＩＰ使用のためにＢＲＤ（ＩＰ−３、ＭＡＣ−５、ＩＰ−３、ＦＦ）というハローパケットを送りだせば、このパケットはＬＡＮ上の全ての装置に伝達される。この際、ＤＥＶ−３はこのパケットに対して応答パケットＵＮＩ（ＩＰ−３、ＭＡＣ−３、ＩＰ−３、ＭＡＣ−５）を送ることになり、ＤＥＶ−５はこのパケットを見てＩＰ−３を使用しないことになる。ここで、応答パケットであるＵＮＩ（ＩＰ−３、ＭＡＣ−３、ＩＰ−３、ＭＡＣ−５）は、ユニキャストパケットであって、ＤＥＶ−５にのみに伝送されるので、他装置はこのパケットを見られなくなる。したがって、今までの各装置のＡＲＰキャッシュは表３の通りである。
【００３３】
【表３】
2008520159.tif 000005
【００３４】
この結果によれば、ＤＥＶ−５を除外した全ての装置がＩＰ−３のＭＡＣアドレスをＭＡＣ−５と知っているようになるので、ＤＥＶ−３と他装置との間には通信がなされない状態になるという問題がある。仮に、ＤＥＶ−３が重要な機能を遂行するサーバーの場合には多くの被害を受けることがある。上記のような状況は管理者も知らない間にネットワーク環境下で頻繁に起きることができる状況であるので、本発明の好ましい実施形態に係るＩＰ管理装置１０８では、このためにＩＰアドレスを保護する機能をする。
【００３５】
本発明の好ましい第１実施形態によりＩＰアドレスを保護する機能を遂行するためには、まず管理者が該当ＩＰアドレスに対して保護設定をしなければならない。保護設定をする方法は、該当ＩＰアドレスを使用することができるＭＡＣアドレスを指定するものであって、指定されたＭＡＣアドレス以外のＭＡＣアドレスに対してはＩＰアドレスの使用を禁止するように制御するものである。したがって、本発明の好ましい実施形態に係るＩＰ管理装置１０８のパケット制御部２０２では、ネットワーク上に伝送されたＡＲＰパケットで送信者アドレスを検出して、送信者アドレスの送信ＩＰアドレスが保護ＩＰアドレスに設定されているかどうかを判断する。送信ＩＰアドレスが保護ＩＰアドレスに設定されている場合には、送信者アドレスの送信ＭＡＣアドレスが送信ＩＰアドレスを使用することができる指定ＭＡＣアドレスと同一であるかどうかを判断して、送信ＭＡＣアドレスが指定ＭＡＣアドレスと異なる場合、送信ＩＰアドレスが既に使用されているもので操作されたＡＲＰパケットを送信者アドレスに伝送する。この場合、前述した表３の状況でのように、ＬＡＮ上の他装置は該当ＩＰアドレスで使われるＭＡＣアドレスを送信者ＭＡＣアドレスと誤認するはずであるので、本発明の好ましい実施形態に係るＩＰ管理装置１０８のパケット制御部２０２では、送信ＩＰアドレスの実使用ＭＡＣアドレスが指定ＭＡＣアドレスになるように補償する補償パケットをネットワーク上の全ての装置に伝送する。
【００３６】
また、本発明の好ましい実施形態では、本発明の好ましい第１実施形態に係るＩＰ保護作業だけでなく、非印加された装置からのパケット伝送を抑制する作業を通じてネットワークトラヒック負荷を減らすことができる。即ち、本発明の好ましい第２実施形態では、遮断対象になる装置に対して他ＩＰアドレスに対する情報を全て第３のＭＡＣアドレス（または、自身のＭＡＣアドレス）と誤認するようにＡＲＰキャッシュを操作する発明を開示し、本発明の好ましい第３実施形態では保護対象である主要装置のＩＰアドレスに限り、ＭＡＣアドレス情報を第３のＭＡＣアドレス（または、自身のＭＡＣアドレス）と誤認するように遮断することにより、管理者が設定した主要装置に対してのみこのような遮断機能が動作するようにする発明を開示する。
【００３７】
このために、本発明の好ましい第２実施形態に係るＩＰ管理装置１０８のパケット制御部２０２では、パケット検出部２００で検出されたＡＲＰパケットで送信者アドレス及び／または受信者アドレスを検出し、送信者が遮断対象であるかどうかを判断して、送信者が遮断対象である場合、送信者の送信ＭＡＣアドレスを操作した遮断パケットをブロードキャスト伝送し、受信者アドレスの受信ＭＡＣアドレスを操作した遮断パケットを送信者アドレスにユニキャスト伝送する。また、受信者が遮断対象であるかどうかを判断して、受信者が遮断対象である場合、受信者の受信ＭＡＣアドレスを操作した遮断パケットをブロードキャスト、またはユニキャスト伝送し、送信者アドレスの送信ＭＡＣアドレスを操作した遮断パケットを受信者アドレスにユニキャスト伝送する。
【００３８】
また、本発明の好ましい第２実施形態では、送信者が遮断対象である場合の受信者アドレスの受信ＩＰ（Internet Protocol）アドレスと正常受信ＭＡＣアドレス、及び受信者が遮断対象である場合の送信者アドレスの送信ＩＰアドレスと正常送信ＭＡＣアドレスを遮断伝送リストに貯蔵する。本発明の好ましい第２実施形態に係る遮断解除部２０４では、パケット制御部２０２での遮断に対する解除要請がある場合に遮断対象を送信者にして、遮断解除ブロードキャストパケットを伝送した後、遮断対象別に遮断伝送リストに貯蔵されたアドレスを送信者とし、遮断対象を受信者として遮断解除ユニキャストパケットを伝送する。
【００３９】
一方、本発明の好ましい第３実施形態に係るＩＰ管理装置１０８のパケット制御部２０２では、パケット検出部２００で検出されたＡＲＰパケットで送信者アドレス及び／または受信者アドレスを検出し、送信者が遮断対象であるかどうかを判断して、送信者が遮断対象である場合、送信者の送信ＭＡＣアドレスを操作した遮断パケットをブロードキャスト伝送し、受信者が主要装置であるかどうかを判断して受信者が主要装置である場合に受信者アドレスの受信ＭＡＣアドレスを操作した遮断パケットを送信者アドレスにユニキャスト伝送する。また、受信者が遮断対象であるかどうかを判断して受信者が遮断対象である場合に受信者アドレスの受信ＭＡＣアドレスを操作した遮断パケットをブロードキャスト、またはユニキャスト伝送し、送信者が主要装置であるかどうかを判断して、送信者が主要装置である場合、送信者アドレスの送信ＭＡＣアドレスを操作した遮断パケットをネットワーク上の全ての遮断装置にユニキャスト伝送する。
【００４０】
また、本発明の好ましい第３実施形態では、受信者が主要装置である場合の受信者アドレスの受信ＩＰアドレスと正常受信ＭＡＣアドレス、受信者が遮断対象である場合の受信者アドレスの受信ＩＰアドレスと正常受信ＭＡＣアドレス、及び、送信者が主要装置である場合の送信者アドレスの送信ＩＰアドレスと正常送信ＭＡＣアドレスを遮断伝送リストに貯蔵し、前述したパケット制御部２０２の遮断に対する解除要請がある場合に遮断解除部２０４では遮断対象を送信者にして遮断解除ブロードキャストパケットを伝送した後、遮断対象別に遮断伝送リストに貯蔵されたアドレスを送信者とし、遮断対象を受信者として遮断解除ユニキャストパケットを伝送する。
【００４１】
ここで、本発明の好ましい第３実施形態に係る主要装置がゲートウェイ（Gateway）である場合、遮断対象装置の全てのパケットは主要装置に指定されたゲートウェイを越えた他領域に伝達できなくなる。ゲートウェイは、２つ以上の異種、または同種の通信網（領域）を相互接続して通信網間の情報を授受できるようにする機能ユニットであるため、本発明の好ましい第３実施形態を利用すれば、特定通信網がウイルスに感染された場合に、該ウイルスがゲートウェイを越えた他領域に伝播されることを防ぐことができる。このために、本発明の好ましい第３実施形態に係るＩＰ管理装置１０８では、ゲートウェイを主要装置としてデフォルト（Defalut）指定することもできる。
【００４２】
図４は、本発明の好ましい第１実施形態に係るネットワーク上において、特定ＩＰアドレスを保護するためのＩＰ管理過程を示す順序図である。
【００４３】
まず、本発明の好ましい第１実施形態に係るＩＰ管理装置１０８のパケット検出部２００では、ネットワーク上で伝送されるＡＲＰパケットを検出する（Ｓ４００）。即ち、ＬＡＮ上の各装置から送信されるＡＲＰパケットを検出することになるが、このパケットは、表２、または表３の場合のように、ＬＡＮ上にある他装置のＡＲＰキャッシュに対し、該当ＩＰのＭＡＣを送信者ＭＡＣに変更させることになる。
【００４４】
次に、パケット制御部２０２では、検出されたＡＲＰパケットの内部で送信者アドレス（ＩＰアドレスとＭＡＣアドレス）を検出して（Ｓ４０２）、送信者アドレスの送信ＩＰアドレスが保護ＩＰアドレスに設定されているかどうかを判断する（Ｓ４０４）。ステップＳ４０４の判断結果、送信ＩＰアドレスが保護ＩＰアドレスに設定されている場合、送信者アドレスの送信ＭＡＣアドレスが送信ＩＰアドレスを使用することができる指定ＭＡＣアドレスと同一であるかどうかを判断する（Ｓ４０６）。仮に、同一であれば、正常に指定ＭＡＣアドレスが該ＩＰアドレスを使用するのであるので問題はないが、指定ＭＡＣアドレスと異なる場合には、指定ＩＰアドレスの保護のために送信者の使用を禁止させなければならない。また、指定ＭＡＣアドレスが使用中の場合には、よくＩＰ衝突という現象が表れることになるので、正確な補償手続きも必要である。
【００４５】
ステップＳ４０６の判断結果、送信ＭＡＣアドレスが指定ＭＡＣアドレスと異なる場合、イーサネットフレームの送信者ＭＡＣアドレスを指定ＭＡＣアドレスに設定する（Ｓ４０８）。これは、スイッチ１０４のルーティングテーブルとＣＡＭテーブルを一致させるためのものであって、ルーティングテーブルに該当ＩＰアドレスのＭＡＣアドレスが実際のＭＡＣアドレスと異なる場合、スイッチ１０４で正常ＭＡＣアドレスを探すためにブロードキャストを遂行することになるので、ネットワークに負荷を起こすことがあり、このために遂行される過程である。特に、指定ＭＡＣアドレスがＯＦＦの状態では、後述するステップＳ４１４の効果が得られないので、そのような場合に一層意味のあるステップである。しかしながら、必須のステップではなく、状況によって省略しても関係ない。
【００４６】
次に、パケット制御部２０２では、送信ＩＰアドレスが既に使用されているもので操作されたＡＲＰパケットを送信者アドレスに伝送する（Ｓ４１０）。即ち、指定ＩＰアドレスを使用しようとする送信者の使用を禁止させるために送信アドレスにＵＮＩ（送信者ＩＰアドレス、固定ＭＡＣアドレス、送信者ＩＰアドレス、送信者ＭＡＣアドレス）パケットを伝送するものである。このパケットを受けた送信者は該当ＩＰアドレスを使用する装置があると誤認し、該当ＩＰアドレスの使用を諦めることになり、その結果、送信者の画面にはＩＰ衝突メッセージがポップアップされる。
【００４７】
次に、パケット制御部２０２では、送信ＩＰアドレスの実使用ＭＡＣアドレスが指定ＭＡＣアドレスになるように補償する補償パケットをネットワーク上の全ての装置に伝送する（Ｓ４１２）。ステップＳ４１０までの結果を見れば、前述した表３の状況でのようにＬＡＮ上の他装置は該ＩＰアドレスで使われるＭＡＣアドレスを送信者ＭＡＣアドレスと誤認している。したがって、指定ＭＡＣアドレスのネットワーク使用に問題点が発生することになるので、指定ＭＡＣアドレスが正常にネットワークを使用するためにはＬＡＮ全体にこれらを解決するパケットを伝送しなければならない。このパケットは、ユニキャスト形態で全装置に一々に送ってもよいが、具現の利便性のために、ブロードキャストに伝送しても関係ない。言い換えると、ＩＰ管理装置１０８ではＢＲＤ（送信者ＩＰアドレス、固定ＭＡＣアドレス、送信者ＩＰアドレス、ＦＦ）を伝送して、ＬＡＮ上の全ての装置のＡＲＰキャッシュにＩＰアドレスの実際使用ＭＡＣアドレスを指定ＭＡＣアドレスになるようにする。
【００４８】
付加的なステップに、ＩＰ管理装置１０８ではＩＰ管理装置１０８を送信者とし、指定ＭＡＣを有する装置を受信者とするＡＲＰ要請パケットを伝送してスイッチ１０４のＭＡＣテーブル内のポート情報を復旧する（Ｓ４１４）。
【００４９】
ステップＳ４１２の補償パケットは、ＩＰ管理装置１０８で伝送されるため、スイッチ１０４のＭＡＣテーブルには指定されたＭＡＣアドレスを有する装置のポート番号が、ＩＰ管理装置１０８が存在するポート番号に貯蔵される。このようになれば、指定されたＭＡＣアドレスを有する装置と連結されているポートに伝送されるべきパケットが、ＩＰ管理装置１０８が連結されているポートに伝送されるので、通信が遮断されるような現象を見せることになる。このように、スイッチ１０４ではポートに連結されている装置のＭＡＣアドレスに対して混線を引き起こすことになるので、指定されたＭＡＣアドレスが正しく通信することができるように、ＡＲＰ要請パケットＵＮＩ（管理装置ＩＰ、管理装置ＭＡＣ、送信者ＩＰ、送信者ＭＡＣ）を伝送して指定されたＭＡＣアドレスを有する装置への応答を引き出す。
【００５０】
図５は、本発明の好ましい第２実施形態に係るネットワーク上において、特定ＩＰアドレスを有する特定装置を遮断するためのＩＰ管理過程を示す順序図である。
【００５１】
前述したように、本発明の好ましい第２実施形態は、遮断された装置が他装置のＭＡＣアドレスを無条件に自分のＭＡＣアドレスと誤認するようにする技法であって、遮断装置から出る全てのＡＲＰに対し、送／受信アドレスを検索して遮断制御を行う。
【００５２】
まず、本発明の好ましい実施形態に係るＩＰ管理装置１０８のパケット検出部２００ではネットワーク上で伝送されるＡＲＰパケットを検出する（Ｓ５００）。即ち、ＬＡＮ上の各装置から送信されるＡＲＰパケットを検出することになるが、このパケットは表２または表３の場合のように、ＬＡＮ上にある他装置のＡＲＰキャッシュに対し、該ＩＰアドレスのＭＡＣアドレスを送信者ＭＡＣアドレスに変更させることになる。次に、パケット制御部２０２では、検出されたＡＲＰパケットの内部で送／受信者アドレス（ＩＰアドレスとＭＡＣアドレス）を検出する（Ｓ５０２）。
【００５３】
本発明の好ましい実施形態に係るＩＰ管理装置１０８では、送信者が遮断対象であるかどうかを判断して（Ｓ５０４）、送信者が遮断対象である場合、送信者の送信ＭＡＣアドレスを操作した遮断パケットをブロードキャスト伝送する（Ｓ５０６）。即ち、一例として全帯域にブロードキャスト遮断パケットＢＲＤ（送信者ＩＰアドレス、ＭＡＣ−Ｐ、送信者ＩＰアドレス、ＦＦ）を伝送するのであるが、このパケットを通じて送信者を除外した他装置ではＡＲＰキャッシュの内容の変更により送信者ＩＰアドレスを制御装置ＭＡＣアドレス（ＭＡＣ−Ｐ）と誤認することになるので、他装置と送信者との間の通信は遮断される。
【００５４】
また、ＩＰ管理装置１０８では、受信者アドレスの受信ＭＡＣアドレスを操作した遮断パケットを送信者アドレスにユニキャスト伝送する（Ｓ５０８）。即ち、一例として送信アドレスにユニキャストパケットＵＮＩ（受信者ＩＰアドレス、送信者ＭＡＣアドレス、送信者ＩＰアドレス、送信者ＭＡＣアドレス）を伝送するが、このパケットは送信者が知ろうとしていた受信者のアドレスを自身のＭＡＣアドレスに変更するようにするものである。ここで、受信者アドレスの受信ＩＰアドレスと正常受信ＭＡＣアドレスを遮断伝送リストに貯蔵（Ｓ５１０）するが、これは後述する遮断解除過程のためのものである。
【００５５】
次に、ＩＰ管理装置１０８では、受信者が遮断対象であるかどうかを判断して（Ｓ５１２）、受信者が遮断対象である場合、受信者の受信ＭＡＣアドレスを操作した遮断パケットをブロードキャスト伝送またはユニキャスト伝送する（Ｓ５１４）。即ち、一例として全帯域にブロードキャスト遮断パケットＢＲＤ（送信者ＩＰアドレス、ＭＡＣ−Ｐ、送信者ＩＰアドレス、ＦＦ）、または送信アドレスにユニキャスト遮断パケットＵＮＩ（受信者ＩＰアドレス、ＭＡＣ−Ｐ、送信者ＩＰアドレス、送信者ＭＡＣアドレス）を伝送するが、検出されたパケットは送信者が遮断対象である受信者のＭＡＣアドレスを正常に認識するパケットである。よって、ＩＰ管理装置１０８は遮断状態になるようにするために変調されたパケットを伝送するものである。
【００５６】
また、ＩＰ管理装置１０８では、送信者アドレスの送信ＭＡＣアドレスを操作した遮断パケットを受信者アドレスにユニキャスト伝送する（Ｓ５１６）。ステップＳ５００で検出されたパケットはやはり遮断対象である受信者のＡＲＰキャッシュの送信者ＭＡＣアドレスが正常に変わるようにする。よって、ステップＳ５０８のように、遮断対象が他装置にパケットが伝送できなくするために、ユニキャスト遮断パケットＵＮＩ（送信者ＩＰアドレス、受信者ＭＡＣアドレス、受信者ＩＰアドレス、受信者ＭＡＣアドレス）を伝送する。ここで、送信者アドレスの送信ＩＰアドレスと正常送信ＭＡＣアドレスを遮断伝送リストに貯蔵（Ｓ５１８）するが、これは後述する遮断解除過程のためのものである。
【００５７】
一方、前述した過程で遮断された装置の遮断状態を解除するには、遮断により異常に操作された網内装置のＡＲＰキャッシュを正常に返しておかなければならない。以下、遮断解除過程について説明する。
【００５８】
遮断に対する解除要請がある場合、遮断解除部２０４では、遮断対象を送信者にして遮断解除ブロードキャストパケットを伝送するが、ここで、遮断解除ブロードキャストパケットは、ＢＲＤ（遮断ＩＰアドレス、遮断ＭＡＣアドレス、ＭＡＣ−ＩＰ、ＦＦ）の型式になることができる。次に、ステップＳ５１０及び／またはＳ５１８で、遮断伝送リストに貯蔵されたアドレスを送信者とし、遮断対象を受信者として遮断解除ユニキャストパケットを伝送するが、ここで、遮断解除ユニキャストパケットはＵＮＩ（リストＩＰアドレス、リストＭＡＣアドレス、遮断ＩＰアドレス、遮断ＭＡＣアドレス）の型式になることができる。このパケットは、遮断ＩＰアドレス別に貯蔵された遮断伝送リスト内のＩＰアドレスの数だけ伝送することになる。一方、付加的なステップに、ＩＰ管理装置１０８では、ＩＰ管理装置１０８を送信者とし、遮断装置を受信者とするＡＲＰ要請パケットを伝送してスイッチ１０４のＭＡＣテーブル内のポート情報を復旧する。ここで、ＡＲＰ要請パケットはＵＮＩ（ＩＰ−Ｐ、ＭＡＣ−Ｐ、遮断ＩＰアドレス、遮断ＭＡＣアドレス）の型式になることができるが、このステップを遂行する意味は、ステップＳ４１４での説明と同一である。
【００５９】
図６は、本発明の好ましい第３実施形態に係るネットワーク上において、特定ＩＰアドレスを有する特定装置を遮断し、かつ、管理者が指定した主要装置への送信を遮断するためのＩＰ管理過程を示す順序図である。
【００６０】
前述したように、本発明の好ましい第３実施形態は、網内の全ての装置に対する接近制御をするのでなく、管理者が指定した主要装置に対してのみその情報を操作するものである。
【００６１】
まず、本発明の好ましい実施形態に係るＩＰ管理装置１０８のパケット検出部２００では、ネットワーク上で伝送されるＡＲＰパケットを検出する（Ｓ６００）。即ち、ＬＡＮ上の各装置から送信されるＡＲＰパケットを検出することになるが、このパケットは、表２または表３の場合のように、ＬＡＮ上にある他装置のＡＲＰキャッシュに対し、該当ＩＰアドレスのＭＡＣアドレスを送信者ＭＡＣに変更させることになる。次に、パケット制御部２０２では検出されたＡＲＰパケットの内部で送／受信者アドレス（ＩＰアドレスとＭＡＣアドレス）を検出する（Ｓ６０２）。
【００６２】
本発明の好ましい実施形態に係るＩＰ管理装置１０８では、送信者が遮断対象であるかどうかを判断して（Ｓ６０４）、送信者が遮断対象である場合、送信者の送信ＭＡＣアドレスを操作した遮断パケットをブロードキャスト伝送する（Ｓ６０６）。即ち、一例として全帯域にブロードキャスト遮断パケットＢＲＤ（送信者ＩＰアドレス、ＭＡＣ−Ｐ、送信者ＩＰアドレス、ＦＦ）を伝送するのであるが、このパケットを通じて送信者を除外した他装置ではＡＲＰキャッシュ内容の変更により送信者ＩＰアドレスを制御装置ＭＡＣ（ＭＡＣ−Ｐ）と誤認することになるので、他装置と送信者との間の通信は遮断される。
【００６３】
次に、受信者が管理者により指定された主要装置であるかどうかを判断して（Ｓ６０８）、受信者が主要装置である場合、受信者アドレスの受信ＭＡＣアドレスを操作した遮断パケットを送信者アドレスにユニキャスト伝送する（Ｓ６１０）。ここで、遮断パケットはＵＮＩ（主要装置ＩＰアドレス、送信者ＭＡＣアドレス、送信者ＩＰアドレス、送信者ＭＡＣアドレス）という型式になることができるが、このパケットは送信者が知ろうとしていた受信者のアドレスを送信者自身のＭＡＣに変更するようにするものであって、第２実施形態と類似している。しかしながら、このパケットはＬＡＮ上に存在する主要装置の数だけ送信アドレスに伝送される。即ち、ＬＡＮ上に存在する全ての主要装置に対するＭＡＣアドレスを送信者自身のＭＡＣアドレスに変更させるようにするものである。ここで、受信者アドレスの受信ＩＰアドレスと正常受信ＭＡＣアドレスを遮断伝送リストに貯蔵するが（Ｓ６１２）、これは後述する遮断解除過程のためのものである。
【００６４】
次に、ＩＰ管理装置１０８では、受信者が遮断対象であるかどうかを判断して（Ｓ６１４）、受信者が遮断対象である場合、受信者の受信ＭＡＣアドレスを操作した遮断パケットをブロードキャスト伝送またはユニキャスト伝送する（Ｓ６１６）。即ち、一例として全帯域にブロードキャスト遮断パケットＢＲＤ（受信者ＩＰアドレス、ＭＡＣ−Ｐ、送信者ＩＰアドレス、ＦＦ）、または送信アドレスにユニキャスト遮断パケットＵＮＩ（受信者ＩＰアドレス、ＭＡＣ−Ｐ、送信者ＩＰアドレス、送信者ＭＡＣアドレス）を伝送するが、検出されたパケットは送信者が遮断対象である受信者のＭＡＣアドレスを正常に知るパケットである。よって、また遮断状態になるようにするために、変調されたパケットを伝送するのである。ここで、受信者アドレスの受信ＩＰアドレスと正常受信ＭＡＣアドレスを遮断伝送リストに貯蔵するが（Ｓ６１８）、これは後述する遮断解除過程のためのものである。
【００６５】
また、ＩＰ管理装置１０８では、送信者が管理者により指定された主要装置であるかどうかを判断して（Ｓ６２０）、送信者が主要装置である場合、送信者アドレスの送信ＭＡＣアドレスを操作した遮断パケットを遮断装置である受信者アドレスにユニキャスト伝送する（Ｓ６２２）。ここで、遮断パケットはＵＮＩ（主要装置ＩＰアドレス、遮断装置ＭＡＣアドレス、遮断装置ＩＰアドレス、遮断装置ＭＡＣアドレス）という型式になることができるが、このパケットは網内にある全ての遮断装置に送られて、送信者のアドレス、即ち主要装置アドレスを遮断装置自身のＭＡＣアドレスに変える機能を遂行するものである。ここで、送信者アドレスの送信ＩＰアドレスと正常送信ＭＡＣアドレスを遮断伝送リストに貯蔵するが（Ｓ６２４）、これは後述する遮断解除過程のためのものである。
【００６６】
一方、前述した過程で遮断された装置の遮断状態を解除するには、遮断により異常に操作された網内装置のＡＲＰキャッシュを正常に返しておかなければならない。以下、遮断解除過程について説明する。
【００６７】
遮断に対する解除要請がある場合、遮断解除部２０４では遮断対象を送信者にして遮断解除ブロードキャストパケットを伝送するが、ここで遮断解除ブロードキャストパケットは、ＢＲＤ（遮断ＩＰアドレス、遮断ＭＡＣアドレス、ＭＡＣ−ＩＰ、ＦＦ）という型式になることができる。次に、ステップＳ６１２、Ｓ６１８及び／またはＳ６２４で遮断伝送リストに貯蔵されたアドレスを送信者とし、遮断対象を受信者として遮断解除ユニキャストパケットを伝送するが、ここで遮断解除ユニキャストパケットはＵＮＩ（リストＩＰアドレス、リストＭＡＣアドレス、遮断ＩＰアドレス、遮断ＭＡＣアドレス）型式になることができる。このパケットは遮断ＩＰアドレス別に貯蔵された遮断伝送リスト内のＩＰアドレスの数だけ伝送することになる。一方、付加的なステップに、ＩＰ管理装置１０８ではＩＰ管理装置１０８を送信者とし、遮断装置を受信者とするＡＲＰ要請パケットを伝送してスイッチ１０４のＭＡＣテーブル内のポート情報を復旧する。ここで、ＡＲＰ要請パケットはＵＮＩ（ＩＰ−Ｐ、ＭＡＣ−Ｐ、遮断ＩＰアドレス、遮断ＭＡＣアドレス）の型式になることができるが、このステップを遂行する意味は、ステップＳ４１４での説明と同一である。
【００６８】
以上の説明は、本発明を例示的に説明したことに過ぎないものであって、本発明が属する技術分野で通常の知識を有する者であれば、本発明の本質的な特性から外れない範囲で多様な変形が可能である。したがって、本明細書に開示された実施形態は本発明を限定するためのものでなく、説明するためのものであり、このような実施形態により本発明の思想と範囲が限るのではない。本発明の範囲は下記の請求範囲により解されなければならなくて、それと同等な範囲内にある全ての技術は本発明の権利範囲に含まれることと解されているべきである。
【図面の簡単な説明】
【００６９】
【図１】本発明の好ましい実施形態に係るネットワーク上において、特定ＩＰアドレスまたは特定装置を保護／遮断するためのＩＰ管理システムを概略的に示す構成図である。
【図２】本発明の好ましい実施形態に係るＩＰ管理装置の内部構成を概略的に示すブロック構成図である。
【図３】ＡＲＰパケットの構造図である。
【図４】本発明の好ましい第１実施形態に係るネットワーク上において、特定ＩＰアドレスを保護するためのＩＰ管理過程を示す順序図である。
【図５】本発明の好ましい第２実施形態に係るネットワーク上において、特定ＩＰアドレスを有する特定装置を遮断するためのＩＰ管理過程を示す順序図である。
【図６】本発明の好ましい第３実施形態に係るネットワーク上において、特定ＩＰアドレスを有する特定装置を遮断し、かつ、管理者が指定した主要装置への送信を遮断するためのＩＰ管理過程を示す順序図である。
【図１】
2008520159.tif 000006
【図２】
2008520159.tif 000007
【図３】
2008520159.tif 000008
【図４】
2008520159.tif 000009
【図５】
2008520159.tif 000010
【図６】
2008520159.tif 000011
【国際調査報告】
2008520159.tif 000012
2008520159.tif 000013