(57)【要約】【課題】ＭＡＣアドレス学習機能の管理方法及びネットワーク機器に関し、ＭＡＣアドレスの詐称による成りすまし不正通信を防止し、また、エンドユーザが予め申告した台数のネットワーク端末装置に対してのみ通信サービスを提供することを可能にする。【解決手段】ネットワーク機器３，７の接続位置毎にネットワーク端末装置Ａ，ＢのＭＡＣアドレスを少なくとも含むネットワーク端末装置情報をＭＡＣアドレス管理テーブル３１，７１に登録し、一旦登録されたＭＡＣアドレスのネットワーク端末装置が別の接続位置に接続されても、ＭＡＣアドレス管理テーブル３１，７１の内容を変更することなく、ＭＡＣアドレスを含む新たなネットワーク端末装置情報の再学習による登録を禁止する。また、エンドユーザの各ネットワーク端末装置が有する固有のＭＡＣアドレスを学習する回数を管理し、エンドユーザが使用可能なＭＡＣアドレス数を制限する。【選択図】図１
2008042735.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク端末装置のＭＡＣ（Media Access Control）アドレスと該ネットワーク端末装置が接続されたネットワーク機器の接続位置との対応付けを学習するＭＡＣアドレス学習機能の管理方法であって、
前記ネットワーク機器の接続位置毎に、該接続位置に接続されたネットワーク端末装置のＭＡＣアドレスを少なくとも含むネットワーク端末装置情報をＭＡＣアドレス管理テーブルに登録するネットワーク端末装置情報登録ステップと、
前記ＭＡＣアドレス管理テーブルに一旦登録されたＭＡＣアドレスと同一のＭＡＣアドレスを有するネットワーク端末装置が、前記ＭＡＣアドレス管理テーブルに登録された接続位置と異なる接続位置に接続されたことを検出したとき、前記ＭＡＣアドレス管理テーブルに一旦登録されたネットワーク機器の接続位置とネットワーク端末装置情報との対応付けを変更することなく、該ＭＡＣアドレスを含む新たなネットワーク端末装置情報の登録を禁止するネットワーク端末装置情報登録禁止ステップと、
を含むことを特徴とするＭＡＣアドレス学習機能の管理方法。
【請求項２】
前記ネットワーク機器の接続位置毎に、前記ネットワーク端末装置情報を前記ＭＡＣアドレス管理テーブルに登録して学習する学習回数に予め上限回数を定めておき、
前記学習回数が上限回数以下のときは、前記ネットワーク機器の接続位置毎に、異なるＭＡＣアドレスを有するネットワーク端末装置情報を、前記ＭＡＣアドレス管理テーブルに登録するネットワーク端末装置情報登録ステップと、
前記学習回数が上限回数を越えたときは、前記ＭＡＣアドレス管理テーブルにおける前記ネットワーク機器の接続位置への新たなＭＡＣアドレスを有するネットワーク端末装置情報の登録を禁止するネットワーク端末装置情報登録禁止ステップと、
を含むことを特徴とする請求項１に記載のＭＡＣアドレス学習機能の管理方法。
【請求項３】
ネットワーク端末装置のＭＡＣ（Media Access Control）アドレスと該ネットワーク端末装置が接続された接続位置との対応付けを学習するＭＡＣアドレス学習機能を有するネットワーク機器であって、
前記接続位置毎に、該接続位置に接続されたネットワーク端末装置のＭＡＣアドレスを少なくとも含むネットワーク端末装置情報をＭＡＣアドレス管理テーブルに登録するネットワーク端末装置情報登録手段と、
前記ＭＡＣアドレス管理テーブルに一旦登録されたＭＡＣアドレスと同一のＭＡＣアドレスを有するネットワーク端末装置が、前記ＭＡＣアドレス管理テーブルに登録された接続位置と異なる接続位置に接続されたことを検出したとき、前記ＭＡＣアドレス管理テーブルに一旦登録されたネットワーク機器の接続位置とネットワーク端末装置情報との対応付けを変更することなく、該ＭＡＣアドレスを含む新たなネットワーク端末装置情報の登録を禁止するネットワーク端末装置情報登録禁止手段と、
を備えたことを特徴とするネットワーク機器。
【請求項４】
前記接続位置毎に、前記ネットワーク端末装置情報を前記ＭＡＣアドレス管理テーブルに登録して学習する学習回数に予め上限回数を定め、
前記学習回数が上限回数以下のときは、前記ネットワーク機器の接続位置毎に、異なるＭＡＣアドレスを有するネットワーク端末装置情報を、前記ＭＡＣアドレス管理テーブルに登録するネットワーク端末装置情報登録手段と、
前記学習回数が上限回数を越えたときは、前記ＭＡＣアドレス管理テーブルにおける前記ネットワーク機器の接続位置への新たなＭＡＣアドレスを有するネットワーク端末装置情報の登録を禁止するネットワーク端末装置情報登録禁止手段と、
を備えたことを特徴とする請求項３に記載のネットワーク機器。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＭＡＣ（Media Access Control）アドレス学習機能の管理方法及びネットワーク機器に関し、インターネット接続サービスシステムにおけるＭＡＣアドレスの学習機能の管理をベースとした不正通信の防止及び正規のエンドユーザに対する適正な通信サービスを提供する技術に係る。
【背景技術】
【０００２】
現在、光ファイバを利用した高速ブロードバンド通信サービスが急激に普及し、通信技術革新によりエンドユーザは一層安価で高速な通信サービスを受けることが可能となり、例えば、ＦＴＴＨ（Fiber To The Home）／ＦＴＴＢ（Fiber To The Building）サービスの一つとして、ＶｏＩＰ（Voice over Internet Protocol）技術による電話機能サービスに更に固定電話と同等の付加サービスを取り入れたサービスなどを提供する通信事業者が増加する一方、通信事業者による通信のセキュリティ強化が重要視され、通信事業者による適正にセキュリティが管理された有償の通信サービスがエンドユーザに対して提供されることが要望されている。
【０００３】
一般に、インターネットへの接続を実現するためには、エンドユーザのネットワーク端末装置は、まずＰＰＰ（Point-to-Point Protocol）と呼ばれるプロトコルを用いて、インターネットバックボーンへの入り口となる地域アクセスポイントに設置されるＢＡＳ（Broadband-Access-Server）に対してポイントツウポイント接続を試みるが、その際、ＩＰアドレスを使用するため、通常、各ネットワーク端末装置に手動にてＩＰアドレスを設定する必要がある。
【０００４】
但し、ネットワーク端末装置の設置台数が多い場合、各端末装置にＩＰアドレスを設定する作業が煩雑になるため、ＩＰアドレスを管理するサーバを設置することにより、ＩＰアドレスを自動的に払い出す仕組みであるＤＨＣＰ（Dynamic Host Configuration Protocol）が用いられる。
【０００５】
ＤＨＣＰは、ＲＦＣ（Request For Comments）２１３１により規定されているプロトコルで、コンピュータ等のネットワーク端末装置がＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）を利用して通信する場合に、ＩＰアドレスやデフォルトゲートウェイのアドレスなどを自動的に設定するプロトコルである。
【０００６】
ＤＨＣＰサーバには、予めＩＰアドレスやデフォルトゲートウェイのアドレスが登録され、コンピュータ等のクライアント装置は、起動時にＤＨＣＰサーバにアクセスし、ＤＨＣＰサーバは、アクセスしたクライアント装置に対してＩＰアドレスを払い出し、これによりクライアント装置はＩＰアドレスを取得する。
【０００７】
しかし、ＤＨＣＰによるＩＰアドレスの自動払い出し機能を備えることにより、コンピュータや情報家電等のネットワーク端末装置をモデム等のネットワーク機器に接続するだけでＩＰアドレスが自動的に払い出されて通信可能となるため、不正な通信が行われる可能性が生じる。このような不正通信を防ぐための機能として、ＤＨＣＰサーバには、事前に登録されたＭＡＣアドレスの端末装置に対してのみＩＰアドレスを払い出すＭＡＣフィルタリング機能を備えている。
【０００８】
また、エンドユーザの端末装置の接続数を契約時の接続数に制限する手段として、下記の特許文献１に、ＩＰ通信サービスのサービス管理を行う接続端末数管理方法等について記載されている。特許文献１に記載の接続端末数管理方法は、サービス提供者が顧客に接続端末数に応じた料金を設定してＩＰ通信サービスを提供する場合、顧客が契約数を超える端末を接続し、不正なアクセスを行うことを防ぐために、ＩＰ通信サービスを享受する端末のＭＡＣアドレスを収集し、収集したＭＡＣアドレスに基づき、特定の顧客が光加入者網終端装置に接続している端末の実際の数を算出し、顧客が実際に接続している端末数をサービス提供者が監視し、接続端末数を管理し得るようにしたものである。
【０００９】
【特許文献１】特開２００２−２３２４４５号公報
【発明の開示】
【発明が解決しようとする課題】
【００１０】
前述したように、ＤＨＣＰはその仕組み上、物理的にネットワークに繋ぎさえすればどの端末装置でもＩＰアドレスを取得することができ、ＭＡＣフィルタリング機能に対してもＭＡＣアドレスを詐称することにより、正規のエンドユーザ以外の者が簡単に通信サービスを受けることができ、悪意のユーザによるインターネット犯罪などを誘発する一因ともなっている。
【００１１】
一般的なＬＡＮ（Local Area Network）において、レイヤ２のスイッチング装置によるデータ転送を行う際、該スイッチング装置のポートに接続された端末装置のＭＡＣアドレスを各ポート対応に学習させ、ＭＡＣアドレスに対応したポートにのみデータフレームを流すことによりトラフィックの増大を防止している。ＭＡＣアドレスは、各ネットワーク端末装置に設定されている各装置固有のアドレスである。そのため、同一のＭＡＣアドレスのネットワーク端末装置は通常存在しないはずであり、ＭＡＣアドレスを管理することにより、エンドユーザの特定が可能である。
【００１２】
通常、レイヤ２スイッチング装置は、一度学習したポート対応のＭＡＣアドレスと同一のＭＡＣアドレスのネットワーク端末装置が別ポートに接続され、該ＭＡＣアドレスが別ポートから入力されると、ネットワーク端末装置が移設されたと見なし、学習したＭＡＣアドレスを別ポートに移す。即ち、ポートとＭＡＣアドレスとの対応を再度学習し、後発優先で上書きする。
【００１３】
しかし、一般的に、ネットワーク端末装置が別ポートに移設のために繋ぎ換えられることはめったになく、学習済みのＭＡＣアドレスとその接続ポートとの不一致は、学習済みのＭＡＣアドレスを故意的に詐称したネットワーク端末装置が別ポートに接続されたことにより発生した蓋然性が非常に高い。そのような場合、悪意のある他人が本来のエンドユーザに成りすまして通信サービスを受けることになり、インターネット犯罪などの発生に繋がりかねない。
【００１４】
本発明は、ＭＡＣアドレスの学習機能の管理により、学習済みのＭＡＣアドレスを詐称したネットワーク端末装置を用いた成りすましによる不正通信を防止し、また、エンドユーザが予め契約時に申告した台数のネットワーク端末装置に対してのみ通信サービスを提供することを可能にし、契約料金に応じたネットワーク端末装置台数の通信サービスを可能にする。
【課題を解決するための手段】
【００１５】
本発明のＭＡＣアドレス学習機能の管理について図１を参照して説明すると、ネットワーク機器３，７の接続位置毎に、該接続位置に接続されたネットワーク端末装置Ａ，ＢのＭＡＣアドレスを少なくとも含むネットワーク端末装置情報をＭＡＣアドレス管理テーブル３１，７１に登録し、ＭＡＣアドレス管理テーブル３１，７１に一旦登録されたＭＡＣアドレスと同一のＭＡＣアドレスを有するネットワーク端末装置が、ＭＡＣアドレス管理テーブル３１，７１に登録された接続位置と異なる接続位置に接続されたことを検出したとき、ＭＡＣアドレス管理テーブル３１，７１に一旦登録されたネットワーク機器の接続位置とネットワーク端末装置情報との対応付けを変更することなく、該ＭＡＣアドレスを含む新たなネットワーク端末装置情報の登録を禁止することを特徴とする。
【００１６】
また、ネットワーク機器の接続位置毎に、ネットワーク端末装置情報を前記ＭＡＣアドレス管理テーブル３１，７１に登録して学習する学習回数に予め上限回数を定めておき、該学習回数が上限回数以下のときは、ネットワーク機器の接続位置毎に、異なるＭＡＣアドレスを有するネットワーク端末装置情報を、前記ＭＡＣアドレス管理テーブル３１，７１に登録し、前記学習回数が上限回数を越えたときは、ＭＡＣアドレス管理テーブル３１，７１における前記ネットワーク機器の接続位置への新たなＭＡＣアドレスを有するネットワーク端末装置情報の登録を禁止することを特徴とする。
【発明の効果】
【００１７】
本発明によれば、通信サービスを許可するエンドユーザに対してそのネットワーク端末装置のＭＡＣアドレスの学習結果を固定化し、再学習を禁止することで、ＭＡＣアドレスを基にエンドユーザを特定することができ、学習により登録されているＭＡＣアドレスのネットワーク端末装置にのみＩＰアドレスを割り当てることにより、ＭＡＣアドレスを詐称した成りすましによる不正な第三者へのＩＰアドレス払い出しを防ぐことができる。
【００１８】
また、エンドユーザの各ネットワーク端末装置が有する固有のＭＡＣアドレスを学習する回数を管理することにより、エンドユーザが使用可能なＭＡＣアドレス数を制限することができ、それによりエンドユーザが使用可能なネットワーク端末装置の台数を制限することができ、エンドユーザが使用可能なネットワーク端末装置の台数に応じた契約料金に基づいた通信サービスを、正規の台数のネットワーク端末装置に対して提供することが可能となる。
【発明を実施するための最良の形態】
【００１９】
図１は本発明の実施形態のネットワークシステムの構成例を示す。同図の構成例において、端末Ａ，Ｂは、エンドユーザのコンピュータ又はセットトップボックス等のネットワーク端末装置であり、端末Ａは、ＧＥ−ＰＯＮ加入者線終端装置（ＯＮＵ：Optical Network Unit）４を介して通信事業者の局内設備のＧＥ−ＰＯＮ回線終端装置（ＯＬＴ：Optical Line Terminal）７に接続されている。
【００２０】
一方、端末Ｂは、エンドユーザ宅内のＶＤＳＬモデム１、集合型ＶＤＳＬ装置３及びＧＥ−ＰＯＮ加入者線終端装置（ＯＮＵ）６を介して通信事業者の局内設備のＧＥ−ＰＯＮ回線終端装置（ＯＬＴ）７に接続されている。ＧＥ−ＰＯＮ回線終端装置（ＯＬＴ）７は、レイヤ２スイッチ８を経てＩＰ網９に接続され、インターネット接続業者（ＩＳＰ：Internet Services Provider）又は通信事業者のＤＨＣＰサーバ１０及び各種情報データベースサーバ１１に接続される。
【００２１】
集合型ＶＤＳＬ装置３には、上記のエンドユーザ宅内のＶＤＳＬモデム１のほかに、他のエンドユーザ宅のＶＤＳＬモデム２を含む多数のＶＤＳＬモデム（図示省略）が接続される。集合型ＶＤＳＬ装置３は、その各ポート対応に、接続されているネットワーク端末装置の接続位置、端末名、そのＭＡＣアドレス及びＩＰアドレスを関連付けたネットワーク端末装置情報をＭＡＣアドレス管理テーブル３１に格納して記憶する。図示の例では、接続位置“ＶＤＳＬ−１”、端末名“端末Ｂ”、ＭＡＣアドレス“ＭＡＣ−Ｂ”、ＩＰアドレス“ＩＰ−Ｂ”を関連付けて記憶している。
【００２２】
ＧＥ−ＰＯＮ回線終端装置（ＯＬＴ）７には、上記のＧＥ−ＰＯＮ加入者線終端装置（ＯＮＵ）４のほかに、他のＧＥ−ＰＯＮ加入者線終端装置（ＯＮＵ）５，６を含む図示省略の多数のＧＥ−ＰＯＮ加入者線終端装置（ＯＮＵ）が接続される。ＧＥ−ＰＯＮ回線終端装置（ＯＬＴ）７は、その各ポート対応に、接続されているネットワーク端末装置の接続位置、端末名、そのＭＡＣアドレス及びＩＰアドレスを関連付けたネットワーク端末装置情報をＭＡＣアドレス管理テーブル７１に格納して記憶する。
【００２３】
図示の例では、接続位置“ＧＥＰＯＮ−４”、端末名“端末Ａ”、ＭＡＣアドレス“ＭＡＣ−Ａ”、ＩＰアドレス“ＩＰ−Ａ”のネットワーク端末装置情報と、接続位置“ＧＥＰＯＮ−６”、端末名“端末Ｂ”、ＭＡＣアドレス“ＭＡＣ−Ｂ”、ＩＰアドレス“ＩＰ−Ｂ”のネットワーク端末装置情報とを記憶している。
【００２４】
集合型ＶＤＳＬ装置３及びＧＥ−ＰＯＮ回線終端装置（ＯＬＴ）７では、既に記憶されたＭＡＣアドレスを、学習によって他ポートへ移動させることを禁止し、一旦設定したＭＡＣアドレスとポートとの対応付けを固定化し、各ポートに対応付けられたＭＡＣアドレスの変更を制限する。
【００２５】
通信事業者によりエンドユーザのＭＡＣアドレスを管理する手法として、通信事業者がエンドユーザにネットワーク端末装置を配布するものとし、該ネットワーク端末装置のＭＡＣアドレスを事前に把握して集合型ＶＤＳＬ装置３又はＧＥ−ＰＯＮ回線終端装置（ＯＬＴ）７に登録する。
【００２６】
或いは、エンドユーザが用意したネットワーク端末装置が集合型ＶＤＳＬ装置３又はＧＥ−ＰＯＮ回線終端装置（ＯＬＴ）７に接続されたとき、集合型ＶＤＳＬ装置３又はＧＥ−ＰＯＮ回線終端装置（ＯＬＴ）７で最初に認識したＭＡＣアドレスを該エンドユーザの固有のアドレスとして登録し、その後、ＤＨＣＰサーバ１０から該ＭＡＣアドレスに対応付けたＩＰアドレスを自動的に払い出すようにする。ＤＨＣＰサーバ１０の機能によりＩＰアドレス及びＭＡＣアドレスを管理し、エンドユーザの特定を行う。
【００２７】
図２は本発明におけるＭＡＣアドレス詐称時の動作例を示す。今、端末ＡのＭＡＣアドレス“ＭＡＣ−Ａ”を詐称した端末Ａ’が、ＧＥ−ＰＯＮ加入者線終端装置（ＯＮＵ）５を介してＧＥ−ＰＯＮ回線終端装置（ＯＬＴ）７に接続されたとする。ＧＥ−ＰＯＮ回線終端装置（ＯＬＴ）７は、既に、接続位置“ＧＥＰＯＮ−４”に対応付けて端末ＡのＭＡＣアドレス“ＭＡＣ−Ａ”が登録されていることを確認し、該ＭＡＣアドレス“ＭＡＣ−Ａ”の再学習による接続位置の変更登録を禁止する。そのため、接続位置“ＧＥＰＯＮ−５”にはＭＡＣアドレス“ＭＡＣ−Ａ”が登録されず、ＭＡＣアドレスを詐称した端末Ａ’による通信が阻止される。
【００２８】
また、端末ＢのＭＡＣアドレス“ＭＡＣ−Ｂ”を詐称した端末Ｂ’が、宅内のＶＤＳＬモデム２を介して集合型ＶＤＳＬ装置３に接続されたとする。集合型ＶＤＳＬ装置３は、既に、接続位置“ＶＤＳＬ−１”に対応付けた端末ＢのＭＡＣアドレス“ＭＡＣ−Ｂ”が登録されていることを確認し、該ＭＡＣアドレス“ＭＡＣ−Ｂ”の再学習による接続位置の変更登録を禁止する。
【００２９】
そのため、接続位置“ＶＤＳＬ−２”にはＭＡＣアドレス“ＭＡＣ−Ｂ”が登録されず、ＭＡＣアドレスを詐称した端末Ｂ’による通信が阻止される。このように、ＭＡＣアドレスが詐称されても、ＭＡＣアドレス学習結果を固定化しているため、新しく学習し直されず、悪意のある第三者による通信が阻止される。
【００３０】
図３は本発明におけるＭＡＣアドレス学習回数制限の動作例を示す。図３において、端末Ａのエンドユーザは、１つの端末のみ利用可能な低価格の通信サービスの契約を通信事業者との間に締結し、他方、端末Ｂのエンドユーザは、２つの端末を利用可能な高価格の通信サービスの契約を通信事業者との間に締結しているものとする。
【００３１】
ＧＥ−ＰＯＮ回線終端装置（ＯＬＴ）７は、端末Ａのエンドユーザに対するＭＡＣアドレスの学習回数を１回に制限し、該端末Ａの接続位置“ＧＥ−ＰＯＮ４”に対するＭＡＣアドレスを含むネットワーク端末装置情報の登録数を１つに制限する。
【００３２】
また、集合型ＶＤＳＬ装置３は、端末Ｂのエンドユーザに対するＭＡＣアドレスの学習回数が２回に設定されているため、端末Ｂのエンドユーザは端末Ｂの以外の端末Ｃを宅内のＶＤＳＬモデム１を介して集合型ＶＤＳＬ装置３に接続したとき、端末Ｂの接続位置“ＶＤＳＬ−１”に対するＭＡＣアドレスの登録数を２つまで許容し、該接続位置“ＶＤＳＬ−１”に対して、新たに接続された端末の端末名“端末Ｃ”、ＭＡＣアドレス“ＭＡＣ−Ｃ”、ＩＰアドレス“ＩＰ−Ｃ”のネットワーク端末装置情報を新たに登録する。
【００３３】
また、ＧＥ−ＰＯＮ回線終端装置（ＯＬＴ）７は、端末Ｂ、端末Ｃのエンドユーザに対して、ＭＡＣアドレスの学習回数が２回に設定されているため、端末ＢのＭＡＣアドレス登録後、端末Ｃが集合型ＶＤＳＬ装置３及びＧＥ−ＰＯＮ６を介して接続されると、端末Ｂの接続位置“ＧＥＰＯＮ−６”に対するＭＡＣアドレスの登録数を２つまで許容し、該接続位置“ＧＥＰＯＮ−６”に対して、新たに接続された端末の端末名“端末Ｃ”、ＭＡＣアドレス“ＭＡＣ−Ｃ”、ＩＰアドレス“ＩＰ−Ｃ”のネットワーク端末装置情報を新たに登録する。
【００３４】
このようにして、ＧＥ−ＰＯＮ回線終端装置（ＯＬＴ）７又は集合型ＶＤＳＬ装置３において、ＭＡＣアドレス学習回数を、予めエンドユーザ毎に契約時に登録された回数に制限することにより、通信事業者はエンドユーザ毎にネットワーク端末装置の接続台数を管理し、エンドユーザとの契約料金に応じた複数のネットワーク端末装置による通信サービスを提供することが可能となる。
【図面の簡単な説明】
【００３５】
【図１】本発明の実施形態のネットワークシステムの構成例を示す図である。
【図２】本発明におけるＭＡＣアドレス詐称時の動作例を示す図である。
【図３】本発明におけるＭＡＣアドレス学習回数制限の動作例を示す図である。
【符号の説明】
【００３６】
１，２  エンドユーザ宅内のＶＤＳＬモデム
３  集合型ＶＤＳＬ装置
３１  ＭＡＣアドレス管理テーブル
４，５，６  ＧＥ−ＰＯＮ加入者線終端装置（ＯＮＵ）
７  局内設備のＧＥ−ＰＯＮ回線終端装置（ＯＬＴ）
７１  ＭＡＣアドレス管理テーブル
８  レイヤ２スイッチ
９  ＩＰ網
１０  ＤＨＣＰサーバ
１１  各種情報データベースサーバ
【図１】
2008042735.tif 000003
【図２】
2008042735.tif 000004
【図３】
2008042735.tif 000005