(57)【特許請求の範囲】
【請求項１】
正規端末の通信を、ポートを介して中継するネットワーク中継装置であって、
前記正規端末に設定されたレイヤ２アドレスである正規レイヤ２アドレスと、前記正規端末に設定されたレイヤ３アドレスである正規レイヤ３アドレスと、前記正規端末が所属するＶＬＡＮを示す正規ＶＬＡＮ情報と、前記正規端末が接続されているポートを示す正規ポート情報と、を取得する取得部と、
前記取得部により取得された前記正規レイヤ２アドレスと、前記正規レイヤ３アドレスと、前記正規ＶＬＡＮ情報と、前記正規ポート情報を記憶し、かつ、受信フレームデータの送信先レイヤ３アドレスに基づいて、前記ポートのうち、前記受信フレームデータを出力する出力ポートを特定する１または複数の中継用検索テーブルと、
前記中継用検索テーブルを用いた転送処理と共通化した処理により前記ポートを介して受信される前記受信フレームデータの送信元レイヤ２アドレスと、送信元レイヤ３アドレスと、所属するＶＬＡＮと、受信ポートとの組が、前記中継用検索テーブルに記録されているか否かを判定する判定処理部と、
前記判定の結果、前記中継用検索テーブルに記録されている場合には、前記受信フレームデータの転送を実行し、前記中継用検索テーブルに記録されていない場合には、前記受信フレームデータの転送を実行しない転送処理部とを有し、
前記１または複数の中継用検索テーブルは、
認証領域と中継領域に分けて送信先のレイヤ３アドレスを、ネクストホップおよび所属ＶＬＡＮに対応付けるレイヤ３経路テーブルと、
認証領域と中継領域に分けて前記ネクストホップをレイヤ２アドレスに対応付けるレイヤ２アドレス検索テーブルと、
認証領域と中継領域に分けて前記レイヤ２アドレスを前記出力ポートに対応付けるポート検索テーブルと、を含み、
前記正規レイヤ３アドレスと正規ＶＬＡＮ情報は、前記レイヤ３経路テーブルの認証領域に記憶され、
前記正規レイヤ２アドレスは、前記レイヤ２アドレス検索テーブルの認証領域に記憶され、
前記正規ポート情報は、前記ポート検索テーブルの認証領域に記憶され、
前記中継用検索テーブルを用いた転送処理と共通化した処理により前記正規レイヤ３アドレスに基づいて、前記レイヤ３経路テーブルと前記レイヤ２アドレス検索テーブルと前記ポート検索テーブルを順次に検索すると、該正規レイヤ３アドレスに対応する前記正規ＶＬＡＮ情報と前記正規レイヤ２アドレスと前記正規ポート情報を抽出できる、ネットワーク中継装置。
【請求項２】
請求項１に記載のネットワーク中継装置であって、
前記受信フレームデータが送信元レイヤ３アドレスを有しない場合には、判定処理部は、該受信フレームデータの前記送信元レイヤ２アドレスと、所属するＶＬＡＮと、受信ポートとの組が、前記中継用検索テーブルに記録されているか否かを判定する、ネットワーク中継装置。
【請求項３】
請求項２に記載のネットワーク中継装置であって、
前記レイヤ３アドレスは、ＩＰアドレスである、ネットワーク中継装置。
【請求項４】
請求項２に記載のネットワーク中継装置であって、
前記レイヤ２アドレスは、ＭＡＣアドレスである、ネットワーク中継装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク中継装置、および、ネットワーク中継装置方法に関し、特にネットワーク上の不正端末検出を行うネットワーク中継装置、および、ネットワーク中継装置方法に関する。
【背景技術】
【０００２】
端末に自動的にＩＰアドレスを設定する方法としてＤＨＣＰ(Dynamic Host Configuration Protocol)がある。ＤＨＣＰは、ＩＥＴＦ(Internet Engineering Task Force)によって規格化され、ＲＦＣ(Request for Comments)２１３１として公開されている。ＤＨＣＰは、管理された端末だけにＩＰアドレスを設定し、不正端末にＩＰアドレスを設定しないことで、不正端末のネットワーク接続を制限できる。しかし、端末に、手動でＩＰアドレスを設定することで、ネットワークに不正に接続することができる。
【０００３】
従来から、ＩＰアドレスを手動で設定した不正端末の通信を防止するための技術が提案されている（例えば特許文献１）。
【０００４】
この従来技術１では、ＤＨＣＰサーバと端末の間でやりとりされるＤＨＣＰプロトコルを監視し、ＤＨＣＰでアドレスが設定された端末の情報をＩＰアドレスとＭＡＣアドレスで管理し、管理された情報に適合する端末の通信を許可する。
【０００５】
また、従来から、上記従来技術の他に、ＩＰアドレスを手動で設定した端末の通信を防止するための技術が提案されている(例えば、非特許文献２)。
【０００６】
この従来技術２では、ＤＨＣＰサーバと端末の間でやりとりされるＤＨＣＰプロトコルを監視し(DHCP snooping)、ＤＨＣＰでアドレスが設定された端末のＩＰアドレスとポートとＶＬＡＮ(Virtual Local Area Network)でフィルタリングし(IP Source Guard)、ＤＨＣＰでアドレスが設定された端末のＭＡＣアドレスとポートとＶＬＡＮでフィルタリングする(Port Security)。
【０００７】
【特許文献１】特開２００６―２６２３７８
【非特許文献１】” Configuring DHCP Snooping, IP Source Guard, and IPSG for Static Hosts”http://www.cisco.com/en/US/docs/switches/lan/catalyst4500/12.2/37sg/configuration/guides/dhcp.html
【非特許文献２】” Configuring Port Security”http://www.cisco.com/en/US/docs/switches/lan/catalyst4500/12.2/37sg/configuration/guides/port_sec.html
【発明の開示】
【発明が解決しようとする課題】
【０００８】
しかしながら、従来技術１および従来技術２では、端末のＭＡＣアドレスが手動で設定される可能性を考慮していない。このため、従来技術１では、ＤＨＣＰでアドレスが設定された端末と同じＩＰアドレスとＭＡＣアドレスを手動で設定した不正な端末が、ネットワーク中継装置の異なるポートや、異なるＶＬＡＮに接続した場合、不正通信を防止することができないおそれがあった。
【０００９】
また、従来技術２では、レイヤ３アドレスであるＩＰアドレスと、レイヤ２アドレスであるＭＡＣアドレスを個別に扱っている。このため、ＤＨＣＰでアドレスが設定された第１の端末のＩＰアドレスと、ＤＨＣＰでアドレスが設定された第２の端末のＭＡＣアドレスを持つ端末の不正通信を防止することができないおそれがあった。
【００１０】
このため、端末のＭＡＣアドレスが手動で設定される可能性を考慮し、より厳密に不正な端末による不正通信を判定する技術が望まれている。
【００１１】
本発明の目的は、不正端末による不正通信をより厳密に判定する技術を提供することである。
【課題を解決するための手段】
【００１２】
本発明は、上述の課題の少なくとも一部を解決するために以下の形態または適用例として実現することが可能である。
【００１３】
［適用例１］正規端末の通信を、ポートを介して中継するネットワーク中継装置であって、
前記正規端末に設定されたレイヤ２アドレスである正規レイヤ２アドレスと、前記正規端末に設定されたレイヤ３アドレスである正規レイヤ３アドレスと、前記正規端末が所属するＶＬＡＮを示す正規ＶＬＡＮ情報と、前記正規端末が接続されているポートを示す正規ポート情報と、を取得する取得部と、
取得された前記正規レイヤ２アドレスと、前記正規レイヤ３アドレスと、前記正規ＶＬＡＮと、前記正規ポートとの組を示す正規端末情報を記憶する正規端末情報記憶部と、
前記ポートを介して受信される対象フレームデータの送信元レイヤ２アドレスと、送信元レイヤ３アドレスと、所属するＶＬＡＮと、受信ポートとの組が、前記正規端末情報記憶部に前記正規端末情報として記録されているか否かを判定する判定処理部と、
を備える、ネットワーク中継装置。
こうすれば、対象フレームの送信元レイヤ２アドレスと、送信元レイヤ３アドレスと、所属するＶＬＡＮと、受信ポートとの組が、正規端末情報として記憶されている正規レイヤ２アドレスと、正規レイヤ３アドレスと、正規ＶＬＡＮ情報と、前記正規ポート情報の組と、適合しない対象フレームデータを、不正端末にかかるデータであると判定するので、不正端末による通信をより厳密に判定することができる。
【００１４】
［適用例２］適用例１に記載のネットワーク中継装置であって、
さらに、前記判定の結果、前記正規端末情報記憶部に前記正規端末情報として記録されている場合には、前記対象フレームデータの転送を実行し、前記正規端末情報記憶部に正規端末情報として記録されていない場合には、前記対象フレームデータの転送を実行しない、転送処理部を備える、ネットワーク中継装置。
こうすれば、対象フレームの送信元レイヤ２アドレスと、送信元レイヤ３アドレスと、所属するＶＬＡＮと、受信ポートとの組が、正規端末情報として記憶されている正規レイヤ２アドレスと、正規レイヤ３アドレスと、正規ＶＬＡＮ情報と、前記正規ポート情報の組と、適合しない場合には、対象フレームデータの転送を実行しない。この結果、不正端末による通信をより厳密に抑制することができる。
【００１５】
［適用例３］適用例１または適用例２に記載のネットワーク中継装置において、
前記正規端末情報取得部は、前記ポートを介して正規端末とＤＨＣＰサーバとの間で送受信されるフレームデータであるＤＨＣＰフレームを監視して、前記正規端末に設定されたレイヤ２アドレスである正規レイヤ２アドレスと、前記正規端末に設定されたレイヤ３アドレスである正規レイヤ３アドレスと、前記正規端末が所属するＶＬＡＮを示す正規ＶＬＡＮ情報と、前記正規端末が接続されているポートを示す正規ポート情報と、を取得する、ネットワーク中継装置。
こうすれば、ＤＨＣＰフレームを監視することにより、正規端末情報を取得することができる。
【００１６】
［適用例４］適用例３に記載のネットワーク中継装置であって、
前記対象フレームデータは、前記ＤＨＣＰフレーム以外のフレームデータである、ネットワーク中継装置。
こうすれば、前記ＤＨＣＰフレーム以外のフレームデータについて、不正端末による通信にかかるデータか否かをより厳密に判定することができる。
【００１７】
［適用例５］適用例１ないし適用例４のいずれかに記載のネットワーク中継装置であって、
前記判定は、前記対象フレームデータがレイヤ３転送の対象であるかレイヤ２転送の対象であるかに関わらず実行される、ネットワーク中継装置。
こうすれば、対象フレームデータがレイヤ３転送の対象であるかレイヤ２転送の対象であるかに関わらず、不正端末による通信にかかるデータか否かをより厳密に判定することができる。
【００１８】
［適用例６］適用例１ないし適用例５のいずれかに記載のネットワーク中継装置であって、
前記正規端末情報記憶部に正規端末情報として記録されていると判定された前記対象フレームデータについては、送信元レイヤ２アドレスの学習処理を行い、
前記正規端末情報記憶部に正規端末情報として記録されていないと判定された前記対象フレームデータについては、送信元レイヤ２アドレスの学習処理を行わない、ネットワーク中継装置。
こうすれば、不正端末による通信にかかるデータに基づいてレイヤ２アドレスの学習処理を行わないので、誤ったレイヤ２アドレスの学習を抑制することができる。
【００１９】
［適用例７］適用例１ないし適用例６のいずれかに記載のネットワーク中継装置は、さらに、
前記対象フレームデータの送信先レイヤ３アドレスに基づいて、前記ポートのうち、前記対象フレームデータを出力する出力ポートを特定する１または複数の中継用検索テーブルを、有し、
前記正規端末情報記憶部は、前記１または複数の中継用検索テーブルと共有されている、ネットワーク中継システム。
こうすれば、正規端末情報記憶部を、中継用検索テーブルとは別に用意しなくて良いので、ネットワーク中継装置の構成を簡便化できる。
【００２０】
［適用例８］適用例７に記載のネットワーク中継装置であって、
前記１または複数の中継用検索テーブルは、
送信先のレイヤ３アドレスを、ネクストホップおよび所属ＶＬＡＮに対応付けるレイヤ３経路テーブルと、
前記ネクストホップをレイヤ２アドレスに対応付けるレイヤ２アドレス検索テーブルと、
前記レイヤ２アドレスを前記出力ポートに対応付けるポート検索テーブルと、
を含み、
前記正規端末情報のうち、前記正規レイヤ３アドレスと正規ＶＬＡＮ情報は、前記レイヤ３経路テーブルに記憶され、
前記正規端末情報のうち、前記正規レイヤ２アドレスは、前記レイヤ２アドレス検索テーブルに記憶され、
前記正規端末情報のうち、前記正規ポート情報は、前記ポート検索テーブルに記憶され、
前記正規レイヤ３アドレスに基づいて、前記レイヤ３経路テーブルと前記レイヤ２アドレス検索テーブルと前記ポート検索テーブルを順次に検索すると、該正規レイヤ３アドレスに対応する前記正規ＶＬＡＮ情報と前記正規レイヤ２アドレスと前記正規ポート情報を抽出できる、ネットワーク中継装置。
こうすれば、転送処理に必要なレイヤ３経路テーブルと、レイヤ２アドレス検索テーブルと、ポート検索テーブルとに、正規端末情報を記憶するので、ネットワーク中継装置の構成を簡便化できる。
【００２１】
［適用例９］適用例８に記載のネットワーク中継装置であって、
前記対象フレームデータが送信元レイヤ３アドレスを有しない場合には、判定処理部は、該対象フレームデータの前記送信元レイヤ２アドレスと、所属するＶＬＡＮと、受信ポートとの組が、前記正規端末情報として記録されているか否かを判定する、ネットワーク中継装置。
こうすれば、レイヤ３アドレスを有しない対象フレームデータについて、不正端末による通信にかかるデータか否かをより厳密に判定することができる。
【００２２】
［適用例１０］適用例１ないし適用例９のいずれかに記載のネットワーク中継装置であって、
前記レイヤ３アドレスは、ＩＰアドレスである、ネットワーク中継装置。
【００２３】
［適用例１１］適用例１ないし適用例１０のいずれかに記載のネットワーク中継装置であって、
前記レイヤ２アドレスは、ＭＡＣアドレスである、ネットワーク中継装置。
【００２４】
本発明は、種々の形態で実現することが可能であり、例えば、ネットワーク中継装置の制御方法、あるいは、ネットワーク中継方法、ネットワーク中継システムの制御方法などの方法発明として実現することができる。また、本発明は、ネットワーク中継装置またはネットワーク中継システムの制御プログラム、当該制御プログラムを記録した記録媒体などの態様で実現することができる。
【発明を実施するための最良の形態】
【００２５】
Ａ．第１実施例：
図１は、第１実施例としてのネットワークシステムの構成を示す図である。第１実施例としてのネットワークシステムは、ＤＨＣＰサーバＤ１と、ネットワーク中継装置としてのＳＷ１、ＳＷ２と、端末Ｈ１〜Ｈ２、不正端末Ａを含んでいる。なお、説明を容易にするため、ネットワーク中継装置ＳＷ１の他のポートに接続されるネットワーク中継装置は省略する。図１では、端末Ｈ１〜Ｈ２は、ＤＨＣＰによりＩＰアドレスを設定されている端末である（以下、正規端末とも呼ぶ）。一方、不正端末Ａは、パケット盗聴等の手段により、ＭＡＣアドレスを端末Ｈ１のＭＡＣアドレスに、ＩＰアドレスを端末Ｈ２のＩＰアドレスに手動設定している。第１実施例の特徴である不正通信抑制手法が動作するのは、ネットワーク中継装置ＳＷ１である。ネットワーク中継装置ＳＷ２は、不正通信の抑制のためのフィルタリング機能を持たないスイッチであり、単にネットワークを階層化するために接続される。
【００２６】
ネットワーク中継装置ＳＷ１およびＳＷ２は、複数のポートＰ１１〜Ｐ１ｎ（ｎは２以上の整数）を備える。また、ネットワーク中継装置ＳＷ１は、複数のＶＬＡＮとしてＶ１１〜Ｐ１ｎ（ｎは２以上の整数）を構成している。
【００２７】
図２は、第１実施例におけるネットワーク中継装置ＳＷ１の構成を示すブロック図である。ネットワーク中継装置ＳＷ１は、管理部１００と、フレーム転送処理部２００と、プロトコル処理部３００と、宛先／処理判定部４００を備える。管理部１００は、利用者の指示を受け付けるユーザインターフェース１１０を有している。プロトコル処理部３００は、ルーティングプロトコルや、ＡＲＰ（Address Resolution Protocol）などのプロトコルに関連する処理を行うが、詳細は省略する。プロトコル処理部３００は、ＤＨＣＰに関連する処理を行うＤＨＣＰ解析処理部３１０を備えている。
【００２８】
宛先／処理判定部４００は、ポート状態判定部４１０と、ポート状態管理テーブル４１１と、ＶＬＡＮ状態判定部４２０と、ＶＬＡＮ状態管理テーブル４２１と、パケット種別判定部４３０と、Ｌ３中継処理部４４０と、経路表４４１と、ＡＲＰ処理部４５０とＡＲＰテーブル４５１と、Ｌ２検索処理部４６０と、ＦＤＢ（Fowarding Data Base）４６１と、不正端末検出部４７０と、認証用データベース４７１と、フレーム処理判定部４８０と、ＭＡＣ学習処理部４９０と、を備える。
【００２９】
図３は、第１実施例における不正端末の検出手法の概要を説明する図である。上述したネットワーク中継装置ＳＷ１の各構成要素の具体的な動作を説明する前に、不正端末の検出手法の概要を簡単に説明する。ネットワーク中継装置ＳＷ１が主として転送処理を行う対象フレームデータ８００は、イーサネットヘッダ８１０と、ＩＰヘッダ８２０と、ペイロード８３０を含んでいる。イーサネットヘッダ８１０は、レイヤ２プロトコル（本実施例ではイーサネット）で用いられる情報が記述されている。イーサネットヘッダ８１０は、宛先ＭＡＣアドレス（以下、ＤＭＡＣとも呼ぶ。）と、送信元ＭＡＣアドレス（以下、ＳＭＡＣとも呼ぶ。）と、ＶＬＡＮ−ＩＤとを含んでいる。ＶＬＡＮ−ＩＤは、対象フレームデータ８００が利用しているＶＬＡＮ（所属ＶＬＡＮ）を示す情報である。ＩＰヘッダ８２０は、ネットワーク層における処理に用いられる情報が記述されたヘッダである。ＩＰヘッダ８２０は、少なくとも送信元ＩＰアドレス（以下、ＳＩＰとも呼ぶ。）と、宛先ＩＰアドレス（以下、ＤＩＰとも呼ぶ。）を含んでいる。ペイロード８３０は、転送処理の対象のデータ本体である。
【００３０】
認証用データベース４７１には、ＤＨＣＰによってＩＰアドレスを設定された正規端末の情報（正規端末情報）が記述されている。認証用データベース４７１に記述された正規端末情報は、１つの正規端末ごとに、設定されたＩＰアドレス（正規ＩＰアドレスＩＰREG）と、正規ＶＬＡＮ情報ＶＬREGと、正規ポート情報ＰＯREGと、正規端末のＭＡＣアドレス（正規ＭＡＣアドレスＭＡＣREG）と、を含む。正規ＶＬＡＮ情報ＶＬREGは、正規端末の所属ＶＬＡＮ（正規ＶＬＡＮ）を示す情報である。正規ポート情報ＰＯREGは、正規端末と通信するポート（正規ポート）を示す情報である。
【００３１】
ネットワーク中継装置ＳＷ１は、対象フレームデータ８００が正規端末から送信された正規データであるか、不正端末から送信された不正データであるかを判定する。具体的には、ネットワーク中継装置ＳＷ１は、対象フレームデータ８００の送信元ＩＰアドレスと、所属ＶＬＡＮと、受信ポートと、対象フレームデータ８００の送信元ＭＡＣアドレスとの組み合わせが、認証用データベース４７１に記述されたいずれかの正規端末の正規ＩＰアドレスＩＰREGと、正規ＶＬＡＮ情報ＶＬREGと、正規ポート情報ＰＯREGと、正規ＭＡＣアドレスＭＡＣREGとの組み合わせと、一致するか否かを判定する。これらの組み合わせが一致した場合には、ネットワーク中継装置ＳＷ１は、対象フレームデータ８００を、正規端末から送信されたデータとして、通常の転送処理を行う。一方、これらの組み合わせが一致しない場合には、ネットワーク中継装置ＳＷ１は、対象フレームデータ８００を、不正端末から送信されたデータとして、廃棄する。
【００３２】
以下、ネットワーク中継装置ＳＷ１の動作の詳細を説明していく。
【００３３】
・ネットワーク中継装置の設定：
図４は、ネットワーク中継装置ＳＷ１を、ネットワーク構成に合わせて設定し、不正端末の検出を開始する為の処理フローを示すフローチャートである。ネットワーク中継装置ＳＷ１の管理部１００が、装置管理者からのポート毎の上流／下流指示を受信する（ステップＳ３１０）。ポートの上流とは、ＤＨＣＰサーバＤ１が接続されたポートである。ＤＨＣＰサーバが他のスイッチ経由で接続されているポートも上流となる。ポートの下流とは、ＤＨＣＰサーバＤ１が接続されていないポートである。ＤＨＣＰサーバＤ１によりＩＰアドレスが設定された正規端末は、スイッチの下流ポートに接続する。次に、ネットワーク中継装置ＳＷ１の管理部１００が、装置管理者からのＶＬＡＮ毎のＤＨＣＰｓｎｏｏｐｉｎｇ実行／非実行指示を受信する（ステップＳ３２０）。上記指示は、ネットワーク中継装置ＳＷ１に接続された図示しない管理端末を介して装置管理者によりネットワーク中継装置ＳＷ１に入力される。
【００３４】
・フレームデータ受信処理：
図５は、フレームデータ受信処理の処理ステップを示す第１のフローチャートである。フレーム転送処理部２００は、対象フレームデータ８００が到着したポートＰ１１〜Ｐ１ｎからそのフレームを受信して、図示しないフレーム蓄積用メモリに格納する（ステップＳ４１０）。フレーム転送処理部２００は、受信された対象フレームデータ８００の中から、宛先／処理判定部４００が必要な、宛先ＭＡＣアドレス、送信元ＭＡＣアドレス、ＶＬＡＮ−ＩＤ、宛先ＩＰアドレス、送信元ＩＰアドレス等のヘッダ情報を抽出して、宛先／処理判定部４００へ送信する（ステップＳ４２０）。
【００３５】
なお、ＤＨＣＰ等の制御フレームデータは、他の通常フレームデータよりも優先的に制御する方が、ネットワークの信頼性面で好ましい。そこで、フレーム転送処理部２００は、受信したフレームデータがＤＨＣＰ等の制御フレームであるか否かを判定し、ＤＨＣＰ等の制御フレームデータであった場合には優先的にフレーム蓄積用メモリへ格納するほうが好ましい。この場合の判定処理は、後述するパケット種別判定部４３０を用いればよい。
【００３６】
図６は、フレームデータ受信処理の処理ステップを示す第２のフローチャートである。次に、宛先／処理判定部４００のポート状態判定部４１０は、ポート状態管理テーブル４１１を検索し、受信ポートの状態を参照する（ステップＳ５１０）。これにより、例えば、受信ポートが上流側のポートであるか、下流側のポートであるかなどが認識される。
【００３７】
宛先／処理判定部４００のＶＬＡＮ状態判定部４２０は、フレーム転送処理部から受信された前記ヘッダ情報から、対象フレームデータ８００の所属ＶＬＡＮを決定する（ステップＳ５２０）。そして、宛先／処理判定部４００のＶＬＡＮ状態判定部４２０は、ＶＬＡＮ状態管理テーブル４２１を検索し、所属ＶＬＡＮの状態を参照する（ステップＳ５３０）。これにより、例えば、ＶＬＡＮのＤＨＣＰｓｎｏｏｐｉｎｇが有効であるか否かなどが認識される。
【００３８】
宛先／処理判定部４００のパケット種別判定部４３０は、フレーム転送処理部２００から受信したヘッダ情報から、対象フレームデータ８００のプロトコルを判定する（ステップＳ５４０）。判定したフレーム種別がＤＨＣＰフレームであった場合で、かつ、所属ＶＬＡＮのＶＬＡＮ状態がＤＨＣＰｓｎｏｏｐｉｎｇ有効に設定されている場合は、ＤＨＣＰ解析処理へ処理が進められる（ステップＳ５５０：ＹＥＳ）。一方、判定したフレーム種別がＤＨＣＰフレーム以外か、所属ＶＬＡＮのＶＬＡＮ状態がＤＨＣＰｓｎｏｏｐｉｎｇ無効に設定されている場合には（ステップＳ５５０：ＮＯ）、レイヤ３転送が必要か判定する（ステップＳ５６０）。レイヤ３転送が必要な場合は、レイヤ３転送処理フローへ（ステップＳ５６０：ＹＥＳ）、レイヤ３転送が不要な場合は、レイヤ２転送処理フローへ（ステップＳ５６０：ＮＯ）処理が進められる。
【００３９】
図７は、ＤＨＣＰフレームデータを示す説明図である。宛先／処理判定部４００のパケット種別判定部４３０は、対象フレームデータ８００の中に、イーサネットヘッダとＩＰヘッダとＵＤＰヘッダにカプセル化されているＤＨＣＰヘッダＦ２００の存在を調べることで、対象フレームデータ８００がＤＨＣＰフレームデータＦ１００であることを判断する。
【００４０】
図８は、ＤＨＣＰ解析処理の処理ステップを示すフローチャートである。ＤＨＣＰ解析処理処理では、まずＤＨＣＰヘッダＦ２００を、ＤＨＣＰフレームＦ１００から取り出し、参照する（ステップＳ７１０）。次に、ＤＨＣＰフレームデータのタイプがＡＣＫで、かつ、受信したポートのポート状態が上流であるかを判定（ステップＳ７２０）する。該判定が真の場合（ステップＳ７２０：ＹＥＳ）、正規端末を管理する認証用データベース４７１に、新しくＩＰアドレスが設定された正規端末の情報を、正規ＭＡＣアドレス、正規ＩＰアドレス、正規端末の所属するＶＬＡＮ、正規端末と通信するためのポートの組で追加する。なお、正規端末の情報には、有効な期間が管理されていても良く、有効期間が過ぎた場合、自動的に登録された情報は削除されても良い。たとえば、既に管理されている正規端末に対し、再度の設定が行われた場合、有効期間が初期化されることとしても良い。一方、上述の判定が偽であった場合（ステップＳ７２０：ＮＯ）、ＤＨＣＰフレームデータのタイプがＲＥＬＥＡＳＥで、かつ、受信したポートのポート状態が下流であるかを判定する（ステップＳ７３０）。該判定が真の場合には（ステップ７３０：ＹＥＳ）、ＲＥＬＥＡＳＥを送信した端末が、認証用データベース４７１に設定されているか検索を行う（ステップＳ７４０）。検索の結果、認証用データベース４７１に登録されている場合には（ステップＳ４７０：ＹＥＳ）、認証用データベース４７１よりＲＥＬＥＡＳＥを送信した端末の正規端末情報を削除する。一方、検索の結果、データベースに登録されていない場合には（ステップＳ４７０：ＮＯ）、対象フレームデータ８００を廃棄する。上述の判定が偽の場合には（ステップ７３０：ＮＯ）、レイヤ３転送が必要か否かを判定する（ステップＳ７５０）。レイヤ３転送が必要な場合には、レイヤ３転送処理へ（ステップＳ７５０：ＹＥＳ）、レイヤ３転送が不要な場合には、レイヤ２転送処理へ（ステップＳ７５０：ＮＯ）処理が進められる。
【００４１】
認証用データベース４７１に登録された正規端末情報は、例えば、Layer2情報とLayer3情報をが結合されたLayer2/3結合データベースという形で記憶される。
【００４２】
図９は、レイヤ３転送処理の処理ステップを示すフローチャートである。宛先／処理判定部４００のＬ３中継処理部４３０は、対象フレームデータ８００の宛先ＩＰアドレスで経路表４３１を検索し、対象フレームデータ８００を出力するＶＬＡＮ（出力ＶＬＡＮ）と転送先装置（ＮｅｘｔＨｏｐ）を決定し、宛先／処理判定部４００のＡＲＰ処理部４５０に通知する（ステップＳ８１０）。次に、宛先／処理判定部４００のＡＲＰ処理部４５０は、通知されたＮｅｘｔｈｏｐでＡＲＰテーブル４５１を検索し、ＮｅｘｔｈｏｐのＭＡＣアドレスを決定し、宛先／処理判定部４００のＬ２中継処理部４６０に通知する（ステップＳ８２０）。さらに、宛先／処理判定部４００のＬ２中継処理部４６０は、前記ＭＡＣアドレスでＦＤＢ４６１を検索し、対象フレームデータ８００の出力ポートを決定し、不正端末検出部４７０に通知する（ステップＳ８３０）。
【００４３】
図１０は、レイヤ２転送処理の処理ステップを示すフローチャートである。宛先／処理判定部４００のＬ２中継処理部４６０は、対象フレームデータ８００の所属ＶＬＡＮと宛先ＭＡＣアドレスでＦＤＢ４６１を検索し、対象フレームデータ８００の出力ポートを決定し、不正端末検出部４７０に通知する（ステップＳ９１０）。
【００４４】
・不正端末の検出処理：
図１１は、不正端末検出処理の処理フローを示す第１のフローチャートである。図１１は、対象フレームデータ８００がＩＰパケットであった場合の不正端末検出処理フローを示している。
【００４５】
まず、ＶＬＡＮ状態がＤＨＣＰｓｎｏｏｐｉｎｇ有効であり、かつ、受信ポートのポート状態が下流であるか否かを判定する（ステップＳ１００１）。ＶＬＡＮ状態がＤＨＣＰｓｎｏｏｐｉｎｇ有効であり、かつ、受信ポートのポート状態が下流であった場合には（Ｓ１００１：ＹＥＳ）、宛先／処理判定部４００の不正端末検出部４７０は、対象フレームデータ８００の送信元ＭＡＣアドレスと、送信元ＩＰアドレスと、所属ＶＬＡＮと、受信ポートで、認証用データベース４７１を検索する（ステップＳ１００２）。認証用データベース４７１の検索の結果、対応するエントリが存在する場合（ステップＳ１００３：ＹＥＳ）と、ＶＬＡＮ状態がＤＨＣＰｓｎｏｏｐｉｎｇ無効、または、受信ポートのポート状態が上流であった場合には（ステップＳ１００１：ＮＯ）、不正端末検出部４７０は、Ｌ２中継処理部４６０から通知された出力ポートを、フレーム処理判定部４８０に通知する（ステップＳ１００４）。一方、検索の結果、対応するエントリが存在しない場合（Ｓ１００３：ＮＯ）、不正端末検出部４７０は、フレーム処理判定部４８０に、廃棄指示を通知する（ステップＳ１００５）。
【００４６】
図１２は、不正端末検出処理の処理フローを示す第２のフローチャートである。図１２は、対象フレームデータ８００が非ＩＰパケットであった場合の不正端末検出処理フローを示している。まず、ＶＬＡＮ状態がＤＨＣＰｓｎｏｏｐｉｎｇ有効であり、かつ、受信ポートのポート状態が下流であるか否かを判定する（ステップＳ１１０１）。ＶＬＡＮ状態がＤＨＣＰｓｎｏｏｐｉｎｇ有効であり、かつ、受信ポートのポート状態が下流であった場合には（Ｓ１１０１：ＹＥＳ）、宛先／処理判定部４００の不正端末検出部４７０は、対象フレームデータ８００の送信元ＭＡＣアドレスと、所属ＶＬＡＮと、受信ポートで、認証用データベース４７１を検索する（ステップＳ１１０２）。認証用データベース４７１の検索の結果、対応するエントリが存在する場合（ステップＳ１１０３：ＹＥＳ）と、ＶＬＡＮ状態がＤＨＣＰｓｎｏｏｐｉｎｇ無効、または、受信ポートのポート状態が上流であった場合には（Ｓ１１０１：ＮＯ）、不正端末検出部４７０は、Ｌ２中継処理部４６０から通知された出力ポートを、フレーム処理判定部４８０に通知する（ステップＳ１１０４）。認証用データベース４７１の検索の結果、対応するエントリが存在しない場合（ステップＳ１１０３：ＮＯ）、不正端末検出部４７０は、フレーム処理判定部４８０に、廃棄指示を通知する（ステップＳ１１０５）。
【００４７】
図１３は、フレーム処理判定部４８０とＭＡＣアドレス学習処理部４９０の処理ステップを示すフローチャートである。宛先／処理判定部４００のフレーム処理判定部４８０は、不正端末検出部４７０から通知された判定結果を解析する（ステップＳ１２０１）。解析の結果、廃棄指示である場合には（ステップ１２０２：ＹＥＳ）、フレーム処理判定部４８０は、対象フレームデータ８００を廃棄する（ステップＳ１２０３）。一方、解析の結果、廃棄指示でない場合には（ステップ１２０２：ＮＯ）、ＭＡＣ学習処理部４９０は、対象フレームデータ８００の送信元ＭＡＣアドレスで、ＦＤＢ学習処理を行う（ステップＳ１２０４）。ＦＤＢ学習処理は、簡単に言えば、送信元ＭＡＣアドレスと、送信元ＭＡＣアドレスを有する装置が接続されているポートとを対応付けて学習する処理である。次に、ＭＡＣ学習処理部４９０は、フレーム処理判定部４８０から通知された判定結果を、フレーム転送処理部２００に通知する（ステップＳ１２０５）。フレーム転送処理部２００は、ＭＡＣ学習処理部４９０から通知された出力ポートから対象フレームデータ８００を送信する（ステップＳ１２０６）。
【００４８】
以上説明したネットワーク中継装置ＳＷ１によれば、ＤＨＣＰサーバによりＩＰアドレスが設定された正規端末と同じＩＰアドレスとＭＡＣアドレスを手動で設定した不正端末が、ネットワーク中継装置の異なるポートや、異なるＶＬＡＮに接続した場合、不正通信を抑制することができる。このため、ＤＨＣＰでＩＰアドレスが設定された端末のＩＰアドレスとＭＡＣアドレスをパケット盗聴などにより得ることができた不正端末が、手動で正規端末と同じＩＰアドレスの設定と、正常端末と同じＭＡＣアドレスへの変更をしても、ネットワークに接続できない。
【００４９】
また、対象フレームデータ８００に対してレイヤ３転送を行うかレイヤ２転送を行うかに関わらず、正規ＶＬＡＮ情報ＶＬREGと、正規ＭＡＣアドレスＭＡＣREGと、正規ポート情報ＰＯREGと共に、レイヤ３情報である正規ＩＰアドレスＩＰREGを組み合わせて、不正端末検出を行うので、より厳密に不正端末による通信を抑制することができる。
【００５０】
また、不正端末のフレームを廃棄し、ＭＡＣアドレス学習処理を防止することにより、不正端末からの通信により、正常端末の通信が妨害されることを防止することができる。
【００５１】
・第１実施例の変形例：
本発明はＤＨＣＰによる端末へのＩＰアドレス設定処理をもとに、不正端末の検出処理を行っている。しかしながら、ＩＰアドレス設定処理はＤＨＣＰに限られるものではなく、各種の端末へのＩＰアドレス設定技術に対応させることも、パケット種別判定部４３０と、プロトコル処理部３００を改造することで可能である。
【００５２】
なお、端末へのＩＰアドレス設定技術を用いず、端末のＩＰアドレスを手動で設定する場合にも、ユーザインタフェース経由で認証用データベース４７１を設定することで、本発明の検出方法で不正端末を検出することが可能である。
【００５３】
さらに、本実施例は、ＩＰｖ４のＩＰアドレスが設定された端末を例に説明しているが、ＩＰｖ６の不正端末の検出にも、同様に対応することが可能である。
【００５４】
Ｂ．第２実施例：
第２実施例におけるネットワークシステムの概略構成は、図１を参照して説明した第１実施例におけるネットワークシステムの概略構成と同一であるので、その説明を省略する。ただし、第２実施例におけるネットワークシステムでは、ネットワーク中継装置ＳＷ１に代えて、ネットワーク中継装置ＳＷ１Ａを備えている。第２実施例の特徴である不正通信抑制手法が動作するのは、ネットワーク中継装置ＳＷ１Ａである。ネットワーク中継装置ＳＷ２は、不正通信の抑制のためのフィルタリング機能を持たないスイッチであり、単にネットワークを階層化するために接続される。
【００５５】
図１４は、第２実施例におけるネットワーク中継装置ＳＷ１Ａの構成を示すブロック図である。ネットワーク中継装置ＳＷ１Ａは、管理部１００Ａと、フレーム転送処理部２００Ａと、プロトコル処理部３００Ａと、宛先／処理判定部４００Ａを備える。管理部１００Ａは、利用者の指示を受け付けるユーザインターフェース１１０Ａを有している。プロトコル処理部３００Ａは、ルーティングプロトコルや、ＡＲＰ（Address Resolution Protocol）などのプロトコルに関連する処理を行うが、詳細は省略する。プロトコル処理部３００Ａは、ＤＨＣＰに関連する処理を行うＤＨＣＰ解析処理部３１０Ａを備えている。
【００５６】
宛先／処理判定部４００Ａは、ポート状態判定部４１０Ａと、ポート状態管理テーブル４１１Ａと、ＶＬＡＮ状態判定部４２０Ａと、ＶＬＡＮ状態管理テーブル４２１Ａと、パケット種別判定部４３０Ａと、Ｌ３中継処理部４４０Ａと、経路表４４１Ａと、ＡＲＰ処理部４５０ＡとＡＲＰテーブル４５１Ａと、Ｌ２中継処理部４６０Ａと、ＦＤＢ４６１Ａと、不正端末検出部４７０Ａと、フレーム処理判定部４８０Ａと、ＭＡＣ学習処理部４９０Ａと、を備える。
【００５７】
図１５は、第２実施例における不正端末の検出手法の概要を説明する図である。上述したネットワーク中継装置ＳＷ１Ａの各構成要素の具体的な動作を説明する前に、不正端末の検出手法の概要を簡単に説明する。第１実施例では、正規端末情報は、独立したデータベースである認証用データベース４７１に記憶されているが、第２実施例では、正規端末情報は、ネットワーク中継装置が通常の転送処理において転送先を特定するために用いる中継用検索テーブルに記憶されている。すなわち、正規端末情報を記憶する記憶部と、中継用検索テーブルとが共有されている。第２実施例におけるネットワーク中継装置ＳＷ１Ａは、中継用検索テーブルとして、ルーティングテーブル４４１Ａと、ＡＲＰテーブル４５１Ａと、ＦＤＢ４６１Ａを備えている。第２実施例では、正規端末情報のうち、正規ＩＰアドレスＩＰREGと、正規ＶＬＡＮ情報ＶＬREGとは、ルーティングテーブル４４１Ａに格納されている。また、正規端末情報のうち、正規ＭＡＣアドレスＭＡＣREGは、ＡＲＰテーブル４５１Ａに格納され、正規ポート情報ＰＯREGは、ＦＤＢ４６１Ａに格納されている。各正規端末情報は、各テーブル４４１Ａ、４５１Ａ、４６１Ａにおいて、転送処理に用いられる情報が格納された領域（中継用領域）とは異なる領域（認証用領域）に記憶されている。
【００５８】
各テーブル４４１Ａ、４５１Ａ、４６１Ａにおいて転送用領域と認証用領域は、例えば、テーブルに格納するフラグによって識別する。転送処理のための検索時には、転送用領域を参照する。不正端末検出処理のための検索時には、認証用領域を参照する。転送用領域は、ルーティングプロトコル／ARPプロトコル／ＭＡＣ学習機能等の従来機能で、管理する。一方、認証用領域は、プロトコル処理部３００Ａが管理する。
【００５９】
ネットワーク中継装置ＳＷ１Ａは、対象フレームデータ８００の送信元ＩＰアドレスに基づいて、ルーティングテーブル４４１Ａを検索する。対象フレームデータ８００の送信元ＩＰアドレスが、正規ＩＰアドレスＩＰREGとしてルーティングテーブル４４１Ａに記憶されていれば、送信元ＩＰアドレスが正規ＩＰアドレスＩＰREGであることが認識されると共に、正規ＶＬＡＮ情報ＶＬREGと、Ｎｅｘｔｈｏｐが決定される。ネットワーク中継装置ＳＷ１Ａは、決定されたＮｅｘｔｈｏｐに基づいて、ＡＲＰテーブル４５１Ａを検索する。その結果、正規ＭＡＣアドレスＭＡＣREGが決定される。ネットワーク中継装置ＳＷ１Ａは、決定されたＭＡＣアドレスＭＡＣREGに基づいて、ＦＤＢ４６１Ａを検索する。その結果、正規ポート情報ＰＯREGが決定される。すなわち、ネットワーク中継装置ＳＷ１Ａは、対象フレームデータ８００の送信元ＩＰアドレスに基づいて、順次に、各テーブル４４１Ａ、４５１Ａ、４６１Ａを検索することによって、正規端末情報としての正規ＩＰアドレスＩＰREGと、正規ＶＬＡＮ情報ＶＬREGと、正規ＭＡＣアドレスＭＡＣREGと、正規ポート情報ＰＯREGを抽出することができる。
【００６０】
ネットワーク中継装置ＳＷ１Ａは、対象フレームデータ８００が正規端末から送信された正規データであるか、不正端末から送信された不正データであるかを判定する。具体的には、ネットワーク中継装置ＳＷ１Ａは、対象フレームデータ８００の送信元ＩＰアドレスと、所属ＶＬＡＮと、受信ポートと、送信元ＭＡＣアドレスとの組み合わせが、抽出された正規ＩＰアドレスＩＰREGと、正規ＶＬＡＮ情報ＶＬREGと、正規ポート情報ＰＯREGと、正規ＭＡＣアドレスＭＡＣREGとの組み合わせと、一致するか否かを判定する。これらの組み合わせが一致した場合には、第１実施例と同様に、ネットワーク中継装置ＳＷ１Ａは、対象フレームデータ８００を、正規端末から送信されたデータとして、通常の転送処理を行う。一方、これらの組み合わせが一致しない場合には、ネットワーク中継装置ＳＷ１Ａは、対象フレームデータ８００を、不正端末から送信されたデータとして、廃棄する。
【００６１】
以下、第２実施例のネットワーク中継装置ＳＷ１Ａの具体的動作を説明する。ネットワーク中継装置ＳＷ１Ａの動作は、不正端末検出処理を除いて、第１実施例のネットワーク中継装置ＳＷ１の動作と同様であるので、以下では、不正端末検出処理についてのみ説明する。
【００６２】
．不正端末検出処理：
図１６は、第２実施例における不正端末検出処理の処理ステップを示す第１のフローチャートである。図１６では、受信したフレームがＩＰパケットであった場合の不正端末検出処理を示している。
【００６３】
まず、ＶＬＡＮ状態がＤＨＣＰｓｎｏｏｐｉｎｇ有効であり、かつ、受信ポートのポート状態が下流であることを判定する（ステップＳ１４０１）。ＶＬＡＮ状態がＤＨＣＰｓｎｏｏｐｉｎｇ有効であり、かつ、受信したポートの状態が下流であった場合（Ｓ１４０１：ＹＥＳ）、宛先／処理判定部４００Ａの不正端末検出部４７０Ａは、宛先／処理判定部４００ＡのＬ３中継処理部４４０Ａに、受信したフレームの送信元ＩＰアドレスを通知する（ステップＳ１４０２）。次に、宛先／処理判定部４００ＡのＬ３中継処理部４４０Ａは、受信したフレームの送信元ＩＰアドレスでルーティングテーブル４４１Ａの認証用領域のダイレクト経路を対象に検索し、ＶＬＡＮとＮｅｘｔｈｏｐを決定し、宛先／処理判定部４００ＡのＡＲＰ処理部４５０Ａに、ＶＬＡＮとＮｅｘｔｈｏｐを通知する（ステップＳ１４０３）。ここで通知されるＶＬＡＮ情報は、正規ＶＬＡＮ情報ＶＬREGである。宛先／処理判定部４００ＡのＡＲＰ処理部４５０Ａは、決定されたＮｅｘｔｈｏｐでＡＲＰテーブル４５１Ａを検索し、当該Ｎｅｘｔｈｏｐに対応するＭＡＣアドレスを決定し、宛先／処理判定部４００ＡのＬ２中継処理部４６０Ａに、上述したＶＬＡＮ（正規ＶＬＡＮ情報ＶＬREG）と決定されたＭＡＣアドレスを通知する（ステップＳ１４０４）。ここで通知されるＭＡＣアドレスは、正規ＭＡＣアドレスＭＡＣREGである。宛先／処理判定部４００ＡのＬ２中継処理部４６０Ａは、決定されたＶＬＡＮ（正規ＶＬＡＮ情報ＶＬREG）と決定されたＭＡＣアドレス（正規ＭＡＣアドレスＭＡＣREG）でＦＤＢ４６１Ａを検索し、当該ＭＡＣアドレスに対応するポートを決定し、宛先／処理判定部４００Ａの不正端末検出部４７０Ａに、上述したＶＬＡＮ（正規ＶＬＡＮ情報ＶＬREG）と、ＭＡＣアドレス（正規ＭＡＣアドレスＭＡＣREG）と、決定されたポートを通知する（ステップＳ１４０）。ここで通知されるポート情報は、正規ポート情報ＰＯREGである。
【００６４】
ついで、上述したＶＬＡＮ（正規ＶＬＡＮ情報ＶＬREG）と、ＭＡＣアドレス（正規ＭＡＣアドレスＭＡＣREG）と、決定されたポート（正規ポート情報ＰＯREG）が、対象フレームデータ８００の所属ＶＬＡＮと送信元ＭＡＣアドレスと受信ポートと一致するか判定する。当該判定が一致であった場合（ステップＳ１４０６：ＹＥＳ）と、ＶＬＡＮ状態がＤＨＣＰｓｎｏｏｐｉｎｇ無効か、または、受信ポートのポート状態が上流であった場合には（ステップＳ１４０１：ＮＯ）、不正端末検出部４７０Ａは、Ｌ２中継処理部４６０Ａから通知された出力ポートを、フレーム処理判定部４８０Ａに通知する（ステップＳ１４０７）。当該判定が不一致だった場合には（ステップＳ１４０６：ＮＯ）、不正端末検出部４７０Ａは、フレーム処理判定部４８０Ａに、廃棄指示を通知する（ステップＳ１４０８）。
【００６５】
図１７は、第２実施例における不正端末検出処理の処理ステップを示す第２のフローチャートである。図１７は、受信したフレームが非ＩＰパケットであった場合の不正端末検出処理を示している。まず、ＶＬＡＮ状態がＤＨＣＰｓｎｏｏｐｉｎｇ有効であり、かつ、受信ポートのポート状態が下流であることを判定する（ステップＳ１５０１）。ＶＬＡＮ状態がＤＨＣＰｓｎｏｏｐｉｎｇ有効であり、かつ、受信したポートの状態が下流であった場合には（Ｓ１５０１：ＹＥＳ）、宛先／処理判定部４００Ａの不正端末検出部４７０Ａは、宛先／処理判定部４００ＡのＬ２中継処理部４６０Ａに、受信したフレームの送信元ＭＡＣアドレスを通知する（ステップＳ１５０２）。宛先／処理判定部４００ＡのＬ２中継処理部４６０Ａは、受信ＶＬＡＮと送信元ＭＡＣアドレスでＦＤＢ４６１Ａを検索し、ポートを決定し、不正端末検出部４７０Ａに通知する（ステップＳ１５０３）。ここで通知されるポート情報は、正規ポート情報ＰＯREGである。次に、通知された正規ポート情報ＰＯREGが、対象フレームデータ８００の受信ポートと一致しているかを判定する。当該判定が一致であった場合（ステップＳ１５０４：ＹＥＳ）と、ＶＬＡＮ状態がＤＨＣＰｓｎｏｏｐｉｎｇ無効、または、受信ポートのポート状態が上流であった場合には（ステップＳ１５０１：ＮＯ）、不正端末検出部４７０Ａは、Ｌ２中継処理部４６０Ａから通知された出力ポートを、フレーム処理判定部４８０Ａに通知する（ステップＳ１５０５）。当該判定が不一致だった場合には（ステップＳ１５０４：ＮＯ）、不正端末検出部４７０Ａは、フレーム処理判定部４８０Ａに、廃棄指示を通知する（ステップＳ１５０６）。
【００６６】
以上説明した第２実施例におけるネットワーク中継装置ＳＷ１Ａによれば、第１実施例のネットワーク中継装置ＳＷ１と同様の作用・効果を得ることができる。
【００６７】
さらに、第２実施例におけるネットワーク中継装置ＳＷ１Ａでは、第１実施例で必要であった認証用データベース４７１が不要となっている。このため、ネットワーク中継装置ＳＷ１Ａの部品点数削減や、必要なメモリ容量の低減など構成の簡便化を実現できる。また、ネットワーク中継装置ＳＷ１Ａのメモリ容量を、他の目的に使用するなどして、有効利用することができる。
【００６８】
さらに、実施例２は、既存のuRPF機能と処理の一部を共通化することが可能である。具体的には、送信元ＩＰアドレスによる経路検索処理を共通化できる。このため、uRPF機能と同時に動作させた場合、ネットワーク処理ＬＳＩの機能活性度を、２個の独立した機能を動作させるのに比べ、小さくすることができ、省エネルギー面での効果もある。
【００６９】
・第２実施例の変形例：
本発明はＤＨＣＰによる端末へのＩＰアドレス設定処理をもとに、不正端末の検出処理を行っている。しかしながら、ＩＰアドレス設定処理はＤＨＣＰに限られるものではなく、各種の端末へのＩＰアドレス設定技術に対応させることも、パケット種別判定部４３０Ａと、プロトコル処理部３００Ａを改造することで可能である。なお、端末へのＩＰアドレス設定技術を用いず、端末のＩＰアドレスを手動で設定する場合にも、ユーザインタフェース経由でルーティングテーブル４４１Ａ、ＡＲＰテーブル４５１Ａ、ＦＤＢ４６１Ａを設定することで、本発明の検出方法で不正端末を検出することが可能である。さらに、本実施例は、ＩＰｖ４のＩＰアドレスが設定された端末を例に説明しているが、ＩＰｖ６の不正端末の検出にも、同様に対応することが可能である。
【００７０】
Ｃ．第３実施例：
図１８は、第３実施例の概要を示す説明図である。第２実施例のように、正規端末情報をルーティングテーブル４４１Ａ、ＡＲＰテーブル４５１Ａ、ＦＤＢ４６１Ａに格納する場合、各テーブルの管理を、従来からある制御機能と調停する必要がある。つまり、ルーティングテーブル４４１Ａを管理するルーティングプロトコル、ＡＲＰテーブル４５１Ａを管理するＡＲＰプロトコル、ＦＤＢ４６１を管理するＭＡＣ学習処理機能と、不正端末検出のための機能とを、調停する必要がある。第２実施例では、図１５に示すように、各テーブル４４１Ａ、４５１Ａ、４６１Ａに認証用領域を設けて、他の制御機能が管理する中継用領域とは別に、正規端末情報を登録し、認証用領域を、不正端末検出のための機能で管理している。これに代えて、第３実施例では、認証領域を設けないで、中継用領域に中継用の情報と同様に、正規端末情報を登録している。そして、各テーブル４４１Ｂ、４５１Ｂ、４６１Ｂの正規端末情報が記述されたエントリについて、当該エントリが登録されてから削除されるまでの間、不正端末検出のための機能が当該エントリを管理することとしている。その他、不正端末検出処理等の他の処理は、第２実施例と同様であるので、その説明を省略する。
【００７１】
以上説明した第３実施例によれば、第２実施例と同様の作用・効果を生じる。さらに、各テーブル４４１Ａ、４５１Ａ、４６１Ａに認証用領域を設けないので、各テーブル４４１Ａ、４５１Ａ、４６１Ａに必要なメモリ容量を抑制することができる。
【００７２】
Ｄ．変形例：
・第１変形例：
上記各実施例では、各ネットワーク中継装置ＳＷ１、ＳＷ１Ａは、レイヤ３転送を行うスイッチを想定しているが、これに代えて、ルータに本発明を適用しても良い。また、ネットワーク中継装置ＳＷ１、ＳＷ１Ａは、レイヤ２転送を行うレイヤ２スイッチであっても良い。レイヤ２スイッチであっても、正規ＶＬＡＮ情報ＶＬREGと、正規ＭＡＣアドレスＭＡＣREGと、正規ポート情報ＰＯREGと共に、レイヤ３情報である正規ＩＰアドレスＩＰREGを組み合わせて、不正端末検出を行うことが好ましい。
【００７３】
・第２変形例：
上記各実施例では、レイヤ２（データリンク層）アドレスとしてＭＡＣアドレスを用いており、レイヤ３（ネットワーク層）アドレスとしてＩＰアドレスを用いているが、これは、本実施例において各装置を接続するネットワークが、データリンク層のプロトコルとしてEthernet（登録商標）を用い、ネットワーク層のプロトコルとしてIP(internet protocol)を用いているからである。もちろん、データリンク層およびネットワーク層のプロトコルに他のプロトコルを用いる場合には、それらのプロトコルにおいて用いられるアドレスを用いても良い。かかる場合は、転送されるデータはイーサネットフレームではなく、データリンク層のプロトコルに用いられるデータとなる。
【００７４】
・第３変形例：
上記実施例では、単一の筐体にフレーム転送処理部２００、プロトコル処理部３００、管理部１００、宛先／処理判定部４００を含むように構成されている。これに代えて、複数の筐体に別体にこれらの構成要素の一部を備えても良い。例えば、管理部１００とプロトコル処理部３００は、制御管理装置として別体としても良い。また、複数のネットワーク中継装置をケーブルで接続して、複数のネットワーク中継装置により１つのネットワーク中継装置ＳＷ１、ＳＷ１Ａを構成しても良い。係る場合には、上述した不正端末検出のための機能は、ネットワーク中継装置ＳＷ１、ＳＷ１Ａを構成する複数のネットワーク中継装置の一部または全部に備えても良い。
【００７５】
・第４変形例：
上記実施例および変形例において、ハードウェアによって実現されていた構成の一部をソフトウェアに置き換えてもよく、逆に、ソフトウェアによって実現されていた構成の一部をハードウェアに置き換えてもよい。
【００７６】
・第５変形例：
上記各実施例において、不正端末が送信した対象フレームデータ８００と判定されたフレームデータは廃棄されているが、これに代えて、不正フレームデータの解析装置などに転送することとしても良い。
【００７７】
以上、実施例、変形例に基づき本発明について説明してきたが、上記した発明の実施の形態は、本発明の理解を容易にするためのものであり、本発明を限定するものではない。本発明は、その趣旨並びに特許請求の範囲を逸脱することなく、変更、改良され得ると共に、本発明にはその等価物が含まれる。
【図面の簡単な説明】
【００７８】
【図１】第１実施例としてのネットワークシステムの構成を示す図。
【図２】第１実施例におけるネットワーク中継装置の構成を示すブロック図。
【図３】第１実施例における不正端末の検出手法の概要を説明する図。
【図４】ネットワーク中継装置をネットワーク構成に合わせて設定し不正端末の検出を開始する為の処理フローを示すフローチャート。
【図５】フレームデータ受信処理の処理ステップを示す第１のフローチャート。
【図６】フレームデータ受信処理の処理ステップを示す第２のフローチャート。
【図７】ＤＨＣＰフレームデータを示す説明図。
【図８】ＤＨＣＰ解析処理の処理ステップを示すフローチャート。
【図９】レイヤ３転送処理の処理ステップを示すフローチャート。
【図１０】レイヤ２転送処理の処理ステップを示すフローチャート。
【図１１】不正端末検出処理の処理フローを示す第１のフローチャート。
【図１２】不正端末検出処理の処理フローを示す第２のフローチャート。
【図１３】フレーム処理判定部とＭＡＣアドレス学習処理の処理ステップを示すフローチャート。
【図１４】第２実施例におけるネットワーク中継装置の構成を示すブロック図。
【図１５】第２実施例における不正端末の検出手法の概要を説明する図。
【図１６】第２実施例における不正端末検出処理の処理ステップを示す第１のフローチャート。
【図１７】第２実施例における不正端末検出処理の処理ステップを示す第２のフローチャート。
【図１８】第３実施例の概要を示す説明図である。
【符号の説明】
【００７９】
１００、１００Ａ…管理部
１１０、１１０Ａ…ユーザインターフェース
２００、２００Ａ…フレーム転送処理部
３００、３００Ａ…プロトコル処理部
４００、４００Ａ…宛先／処理判定部
４１０、４１０Ａ…ポート状態判定部
４１１、４１１Ａ…ポート状態管理テーブル
４３０、４３０Ａ…パケット種別判定部
４４１、４４１Ａ…ルーティングテーブル
４５１、４５１Ａ…ＡＲＰテーブル
４６１、４６１Ａ…ＦＤＢ
４７０、４７０Ａ…不正端末検出部
４７１…認証用データベース
４８０、４８０Ａ…フレーム処理判定部
８００…対象フレームデータ
８１０…イーサネットヘッダ
８３０…ペイロード
ＳＷ１、ＳＷ１Ａ…ネットワーク中継装置
【図１】
0004734374.tif 000002
【図２】
0004734374.tif 000003
【図３】
0004734374.tif 000004
【図４】
0004734374.tif 000005
【図５】
0004734374.tif 000006
【図６】
0004734374.tif 000007
【図７】
0004734374.tif 000008
【図８】
0004734374.tif 000009
【図９】
0004734374.tif 000010
【図１０】
0004734374.tif 000011
【図１１】
0004734374.tif 000012
【図１２】
0004734374.tif 000013
【図１３】
0004734374.tif 000014
【図１４】
0004734374.tif 000015
【図１５】
0004734374.tif 000016
【図１６】
0004734374.tif 000017
【図１７】
0004734374.tif 000018
【図１８】
0004734374.tif 000019