(57)【要約】【課題】パケット中継装置内の設定の変更を少なくして、セキュリティ強度の高いパケット中継を行うパケット中継装置を得る。【解決手段】パケット中継装置１ａ、１ｂは、ネットワーク４に接続されたアップリンクポート６ａと、端末２ａ、２ｂに接続された支線ポート５ａ、５ｂと、アップリングポート６ａまたは支線ポート２ａ、２ｂのいずれかで受信されたパケットを他のポートに中継するパケット中継部９ａと、あらかじめ支線ポートとアップリンクポートが記録されたポート種別メモリ１０ａとを備え、パケット中継部９ａがパケットを受信したとき、ポート種別メモリ１０ａを参照して、このパケットを受信したポートが支線ポートかアップリンクポートかを判定し、支線ポートで受信したパケットは他の支線ポートに中継しないようにする。【選択図】図１
2008131466.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークシステムを構成し、パケットを中継するパケット中継装置において、上位ネットワークと接続されるアップリンクポート、複数のクライアント端末とそれぞれ接続される複数の支線ポート、及び上記アップリンクポート及び支線ポートのいずれかで受信したパケットを他のポートへ中継するパケット中継部を備え、上記パケット中継部は、受信したパケットが上記アップリンクポート及び支線ポートのいずれで受信したかを示すポート種別を判定するとともに、上記支線ポートで受信したパケットを他の支線ポートに中継しないことを特徴とするパケット中継装置。
【請求項２】
ネットワークシステムを構成し、パケットを中継するパケット中継装置において、上位ネットワークと接続されるアップリンクポート、複数のクライアント端末とそれぞれ接続される複数の支線ポート、及び上記アップリンクポート及び支線ポートのいずれかで受信したパケットを他のポートへ中継するパケット中継部を備え、上記パケット中継部は、上記パケット中のビット誤り検出用符号列を変更するＦＣＳ変更部を有し、受信したパケットが上記アップリンクポート及び支線ポートのいずれで受信したかを示すポート種別を判定するとともに、上記支線ポートで受信したパケットを他の支線ポートに中継するときに、上記ＦＣＳ変更部により上記パケット中のビット誤り検出用符号列を変更することを特徴とするパケット中継装置。
【請求項３】
ネットワークシステムを構成し、パケットを中継するパケット中継装置において、上位ネットワークと接続されるアップリンクポート、複数のクライアント端末とそれぞれ接続される複数の支線ポート、及び上記アップリンクポート及び支線ポートのいずれかで受信したパケットを他のポートへ中継するパケット中継部を備え、上記パケット中継部は、上記パケット中の一つのフィールドとその値を予め登録したパケットフィルタテーブルを有し、受信したパケットが上記アップリンクポート及び支線ポートのいずれで受信したかを示すポート種別を判定するとともに、上記パケットフィルタテーブルに登録された値を有するパケットを上記支線ポートで受信したとき、この受信したパケットを他の支線ポートに中継しないことを特徴とするパケット中継装置。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、ネットワーク間を接続し、パケットの中継を行うパケット中継装置に関するものである。
【背景技術】
【０００２】
クライアント端末をパケット中継装置に接続して、ネットワークを経由した通信を行う際、特に不特定多数のユーザが通信を行う際には、同じパケット中継装置に接続された他のクライアント端末からのＤｏＳアタック（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ  ａｔｔａｃｋ）やコンピュータウイルス感染、不正アクセス等のネットワーク攻撃にさらされる可能性がある。これらの攻撃を受けないようにするため、不要な通信を遮断させる必要があった。
【０００３】
この方法の一つとして、あらかじめ判明しているＩＰアドレスとポート番号を用いて不要な通信の遮断を行うものが提案されている。（例えば、特許文献１参照）
この特許文献１に記載されている従来技術によれば、指定した端末のＩＰアドレスを用い、必要最小限のポート番号のパケットのみ中継を許可することで、セキュリティの確保が可能となる。
【０００４】
【特許文献１】特開２００６−１１４９９１号公報（第９〜１６頁、図１）
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかし、特許文献１記載の従来技術では、クライアント装置のＩＰアドレスをあらかじめ設定しておく必要があり、クライアント装置のアドレスが変更になった場合やサブネットのアドレスが変更になった場合には、その都度パケット中継装置の設定を変更しなければならないという問題点があった。
その上、あらかじめポート番号を指定しておくため、許可していないポート番号を用いるアプリケーションが新たに登場した場合に、パケット中継装置の設定を変更しないと通信ができなくなるという問題があった。
【０００６】
この発明は、上記の課題を解決するためになされたものであり、パケット中継装置内の設定の変更を少なくして、セキュリティ強度の高いパケット中継を行うパケット中継装置を得ることを目的としている。
【課題を解決するための手段】
【０００７】
この発明に係わるパケット中継装置においては、ネットワークシステムを構成し、パケットを中継するパケット中継装置において、上位ネットワークと接続されるアップリンクポート、複数のクライアント端末とそれぞれ接続される複数の支線ポート、及びアップリンクポート及び支線ポートのいずれかで受信したパケットを他のポートへ中継するパケット中継部を備え、パケット中継部は、受信したパケットがアップリンクポート及び支線ポートのいずれで受信したかを示すポート種別を判定するとともに、支線ポートで受信したパケットを他の支線ポートに中継しないものである。
【発明の効果】
【０００８】
この発明は、以上説明したように、ネットワークシステムを構成し、パケットを中継するパケット中継装置において、上位ネットワークと接続されるアップリンクポート、複数のクライアント端末とそれぞれ接続される複数の支線ポート、及びアップリンクポート及び支線ポートのいずれかで受信したパケットを他のポートへ中継するパケット中継部を備え、パケット中継部は、受信したパケットがアップリンクポート及び支線ポートのいずれで受信したかを示すポート種別を判定するとともに、支線ポートで受信したパケットを他の支線ポートに中継しないので、支線ポートに接続されたクライアント端末間でのパケットについては、パケット中継しないようにし、セキュリティ強度を高めることが可能となる。
【発明を実施するための最良の形態】
【０００９】
実施の形態１．
図１は、この発明の実施の形態１によるパケット中継装置を有するネットワークシステムを示す構成図である。
図１において、パケット中継装置１ａ、１ｂは、ネットワーク４に接続されている。パケット中継装置１ａの支線ポート５ａ、５ｂには、各々端末２ａ、２ｂ（クライアント端末）が接続され、また、アップリンクポート６ａにはネットワーク４が接続される。またパケット中継装置１ｂの支線ポートには端末３（クライアント端末）がそれぞれ接続されている。
パケット中継装置１ａ内で、支線ポート５ａ、５ｂとアップリンクポート６ａは、パケット中継部９ａに接続している。パケット中継部９ａは、あらかじめ支線ポートとアップリンクポートが記録されたポート種別メモリ１０ａを有し、このポート種別メモリ１０ａを参照して、中継するパケットを受信したポートが支線ポートかアップリンクポートかを判定する。
パケット中継装置１ｂもパケット中継装置１ａと同様の構成である。
【００１０】
ネットワーク４は、例えば、ＩＥＥＥ８０２．３により規格化されたＣＳＭＡ／ＣＤ方式を適用することができ、さらに広域ネットワーク（ＷＡＮ）やローカルエリアネットワーク（ＬＡＮ）と称されるものも本発明のネットワークに含有される。
そして、この実施の形態１の場合、パケット中継装置１ａと端末２ａ、２ｂについては、同じサブネットに属している。
【００１１】
なお、図１では、２つのパケット中継装置１ａ、１ｂを図示しているが、これが１つのみの場合や、さらに多数のパケット中継装置が配置される場合もある。また、各パケット中継装置に接続される端末も図示した個数に限定されるものではない。
【００１２】
図２は、図１のネットワークシステムで採用される通信用のパケットの構造を示す図である。
図２において、この通信におけるパケットの構造は、例えば、イーサネット（登録商標）のフォーマットが使用される。すなわち、このパケットは、プリアンブルＦ０、宛先ＭＡＣアドレスＦ１、送信元ＭＡＣアドレスＦ２、データ種別Ｆ３、通信データＦ４、ビット誤り検出用符号列（以下、ＦＣＳという。）Ｆ５の計６つのフィールドＦ０〜Ｆ５で構成されている。
【００１３】
図３は、この発明の実施の形態１によるパケット中継装置の処理動作を示すフローチャートである。
【００１４】
次に、上記構成の一つのパケット中継装置１ａに着目し、このパケット中継装置１ａに、端末２ａからの及び端末３からのパケットが到着したときの各処理動作を図３に示すフローチャートを参照して説明する。
パケット中継装置１ａにおいて、端末からパケットを受信した際（Ｓ１）、パケット中継部９ａが受信したポートの判定を行う（Ｓ２）。パケット中継部９ａは、あらかじめ支線ポートとアップリンクポートが記録されたポート種別メモリ１０ａを参照することにより、受信したポートが支線ポートかアップリンクポートかを判定している。
今、アップリンクポート６ａにおいて端末３からのパケットを受信した場合は、受信したポートがアップリンクポートであることから、パケット中継部９ａは中継の制限を行わずに、他のアップリンクポート及び支線ポートの全てのポートまたは必要なポートへ、パケット中継を行う（Ｓ３）。
【００１５】
また、支線ポート５ａにおいて、端末２ａからのパケットを受信した場合は、受信したポートが支線ポートであることから、パケット中継部９ａは、他の支線ポートには中継を行わず、アップリンクポート６ａに対してのみ中継を行う（Ｓ４）。
これにより、端末２ａと端末３の間での通信は、確保しながら、端末２ａと端末２ｂの間での通信を遮断することが可能となる。
【００１６】
実施の形態１によれば、支線ポートに接続した端末とアップリンクポートの先にある端末との間での通信は許可し、支線ポートに接続した端末間でのパケットについては、パケット中継装置内で廃棄を行って、セキュリティ強度を高めることが可能となる。
【００１７】
実施の形態２．
図４は、この発明の実施の形態２によるパケット中継装置を有するネットワークシステムを示す構成図である。
図４において、１ａ、１ｂ、２ａ、２ｂ、３、４、５ａ、５ｂ、６ａ、９ａ、１０ａは図１におけるものと同一のものである。図４では、パケット中継部９ａにパケットのＦＣＳ（図２参照）の値を変更するＦＣＳ変更部７ａを設けている。
【００１８】
実施の形態２のネットワークシステムでは、パケット中継装置１ａに、ＦＣＳ変更処理部７ａがある。このＦＣＳ変更処理部７ａは、支線ポートから受信したパケットを他の支線ポートへ中継する際に、パケット内のＦＣＳの値を不正な値に変更する。
アップリンクポート６ａで端末３からのパケットを受信した場合は、パケット中継部９ａによるポート種別メモリ１０ａを用いた判定により、受信したポートがアップリンクポートであることから中継の制限を行わずに、パケット中継部９ａは、他のアップリンクポート及び支線ポートの全てのポートまたは必要なポートへパケット中継を行う。
【００１９】
一方、支線ポート５ａで端末２ａからのパケットを受信した場合は、パケット中継部９ａによるポート種別メモリ１０ａを用いた判定により、受信したポートが支線ポートであることから、アップリンクポート６ａに対してはそのまま中継し、他の支線ポート５ｂに対しては、一旦このパケットをパケット中継部９ａ内のＦＣＳ変更部７ａに送り、ＦＣＳの値を変更した上で、パケット中継を行う。これにより、支線ポート５ｂに接続された端末２ｂでこのパケットを受信した際に、ＦＣＳチェックにより、エラーとなって廃棄される。
【００２０】
実施の形態２によれば、支線ポートで受信したパケットを他の支線ポートに中継する際、ＦＣＳの値を変更することで、このＦＣＳの値が変更されたパケットを受信した端末にてパケットが廃棄され、支線ポートに接続した端末間での通信を行えなくして、セキュリティ強度を高めることが可能になる。
【００２１】
実施の形態３．
図５は、この発明の実施の形態３によるパケット中継装置を有するネットワークシステムを示す構成図である。
図５において、１ａ、１ｂ、２ａ、２ｂ、３、４、５ａ、５ｂ、６ａ、９ａ、１０ａは図１におけるものと同一のものである。図５では、パケット中継装置１ａに、パケット内のある特定のフィールドとその値のペアを登録したパケットフィルタテーブル８ａを設けている。
【００２２】
図６は、この発明の実施の形態３によるパケット中継装置のパケットフィルタテーブルの一例を示す図である。
図６において、パケット内フィールドとして、送信元ＭＡＣアドレスを選定し、その値として、実際の送信元ＭＡＣアドレスが示されている。
【００２３】
実施の形態３のネットワークシステムでは、パケット中継装置１ａに、パケットフィルタテーブル８ａを設ける。このパケットフィルタテーブル８ａには、パケット内のある特定のフィールドとその値のペアが登録され、このパケットフィルタテーブル８ａ内のエントリのいずれか一つと合致するパケットが支線ポートから入ってきたとき、そのパケットを他の支線ポートに中継しないようにする。
【００２４】
実施の形態３では、アップリンクポート６ａで端末３からのパケットを受信した場合は、パケット中継部９ａによるポート種別メモリ１０ａを用いた判定により、受信したポートがアップリンクポートであることから、中継の制限を行わずに、他のアップリンクポート及び支線ポートの全てのポートまたは必要なポートへ、パケット中継を行う。
【００２５】
支線ポート５ａで端末２ａからのパケットを受信した場合は、パケット中継部９ａによるポート種別メモリ１０ａを用いた判定により、受信したポートが支線ポートであることから、アップリンクポート６ａに対しては、そのまま中継する。一方、他の支線ポート５ｂに対しては、パケットフィルタテーブル８ａ内のエントリに合致しないパケットについてはそのまま中継し、合致するパケットについては廃棄を行う。
【００２６】
実施の形態３によれば、支線ポートから受信したパケットを他の支線ポートに対して送信する際、パケットフィルタテーブルに指定した種類のパケットについては廃棄し、セキュリティ強度を高めることが可能になる。
【００２７】
また、本発明は、実施の形態１〜実施の形態３の構成のみに限定されるものでは無く、例えば、実施の形態１〜実施の形態３の各構成を適時組み合わせることなど、発明の趣旨を逸脱しない範囲において、各種の変形を加えることが可能である。
【図面の簡単な説明】
【００２８】
【図１】この発明の実施の形態１によるパケット中継装置を有するネットワークシステムを示す構成図である。
【図２】図１のネットワークシステムで採用される通信用のパケットの構造を示す図である。
【図３】この発明の実施の形態１によるパケット中継装置の処理動作を示すフローチャートである。
【図４】この発明の実施の形態２によるパケット中継装置を有するネットワークシステムを示す構成図である。
【図５】この発明の実施の形態３によるパケット中継装置を有するネットワークシステムを示す構成図である。
【図６】この発明の実施の形態３によるパケット中継装置のパケットフィルタテーブルの一例を示す図である。
【符号の説明】
【００２９】
１ａ，１ｂ    パケット中継装置
２ａ，２ｂ    端末
３    端末
４    ネットワーク
５ａ，５ｂ    支線ポート
６ａ    アップリンクポート
７ａ    ＦＣＳ変更部
８ａ    パケットフィルタテーブル
９ａ    パケット中継部
１０ａ    ポート種別メモリ
【図１】
2008131466.tif 000003
【図２】
2008131466.tif 000004
【図３】
2008131466.tif 000005
【図４】
2008131466.tif 000006
【図５】
2008131466.tif 000007
【図６】
2008131466.tif 000008