(57)【要約】【課題】  既存ネットワークや端末に手を付けずに、不正ネットワーク利用防止手段を低コストに導入する。【解決手段】  イントラネットを構成するLayer2デバイス（イーサネットの例では、ハブやスイッチや無線基地局）のトポロジーデータベースを有するアドレス管理サーバ100を用いる。このサーバ内で各Layer2デバイスに関して、アドレス/ポート番号対応取得手段341とパケットフィルタリング指定手段342を把握しておく。アドレス管理サーバ100がトポロジー情報に従い、各Layer2デバイスのアドレス/ポート番号対応取得手段341をネットワークの上流から再帰的に呼び出すことにより、与えられたLayer2アドレスを収容するLayer2デバイスならびにポート番号を求める。そしてパケットフィルタリング指定手段342をそのLayer2デバイスからネットワークの上流方向へ再帰的に呼び出すことにより、上で求めたLayer2デバイスならびにポート番号を最も端末に近いLayer2デバイスにてフィルタリングする。【選択図】  図４
2005252717.tif 000002
【特許請求の範囲】
【請求項１】
各々ネットワーク接続機器が配置された複数のサブネットから構成されるネットワークの管理方法において、
各サブネットのIPネットワークアドレスと当該サブネットを構成するネットワーク接続機器に関する情報を記憶したデータベースを有するネットワーク管理サーバが前記ネットワークに接続され、前記ネットワーク管理サーバは、
IPアドレスが与えられたとき、前記データベースを参照して各サブネットのIPネットワークアドレスと前記IPアドレスを照合し、当該IPアドレスが収容されるサブネットの最も上流に位置するネットワーク接続機器に要求して当該IPアドレスに対応する物理アドレスを検索するステップと、
前記IPアドレスが収容されるサブネットのネットワーク接続機器に要求して前記物理アドレスを収容するネットワーク接続機器で当該物理アドレスに最も近いネットワーク接続機器を検索するステップとを実行することを特徴とするネットワークの管理方法。
【請求項２】
請求項１記載のネットワークの管理方法において、前記ネットワーク接続機器を検索するステップは、前記物理アドレスの検索要求を順次下流のネットワーク接続機器に対して出すことにより行うことを特徴とするネットワークの管理方法。
【請求項３】
請求項１又は２記載のネットワークの管理方法において、前記ネットワーク管理サーバは、前記検索されたネットワーク接続機器に対して前記物理アドレスに関する通信のフィルタリングを要求することを特徴とするネットワークの管理方法。
【請求項４】
請求項３記載のネットワークの管理方法において、前記検索されたネットワーク接続機器がフィルタリング手段を持っていないとき、前記ネットワーク管理サーバは、当該ネットワーク接続機器の上流に向かってフィルタリング手段を有する最初のネットワーク接続機器を探索し、前記最初のネットワーク接続機器に対して前記物理アドレスに関する通信のフィルタリングを要求することを特徴とするネットワークの管理方法。
【請求項５】
ネットワークを構成する複数のサブネットのIPネットワークアドレスと当該サブネットを構成するネットワーク接続機器に関する情報を記憶したデータベースと、
IPアドレス受付手段と、
前記サブネットを構成するネットワーク接続機器と通信するための通信手段と、
前記データベースを参照して各サブネットのIPネットワークアドレスと前記IPアドレス受付手段によって受け付けたIPアドレスを照合し、当該IPアドレスが収容されるサブネットの最も上流に位置するネットワーク接続機器に要求して当該IPアドレスに対応する物理アドレスを検索する処理、及び前記IPアドレスが収容されるサブネットのネットワーク接続機器に要求して前記物理アドレスを収容するネットワーク接続機器で当該物理アドレスに最も近いネットワーク接続機器を検索する処理を実行する処理部とを備えることを特徴とするネットワーク管理サーバ。
【請求項６】
請求項５記載のネットワーク管理サーバにおいて、前記ネットワーク接続機器に関する情報には、IPアドレスと物理アドレス/ポート番号取得手段に関する情報及びパケットのフィルタリング手段に関する情報が含まれることを特徴とするネットワーク管理サーバ。
【請求項７】
請求項６記載のネットワーク管理サーバにおいて、前記処理部は、前記検索されたネットワーク接続機器がフィルタリング手段を持っていれば当該検索されたネットワーク接続機器に対して前記物理アドレスに関する通信のフィルタリングを要求し、前記検索されたネットワーク接続機器がフィルタリング手段を持っていなければ当該検索されたネットワーク接続機器の上流に向かってフィルタリング手段を有する最初のネットワーク接続機器を探索し、探索されたネットワーク接続機器に対して前記物理アドレスに関する通信のフィルタリングを要求する処理を実行する機能を有することを特徴とするネットワークの管理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、インターネットにおける通信制御技術に関し、特にネットワーク管理技術に関する。
【背景技術】
【０００２】
一般的なインターネットにおいては、端末はDHCPやRAなどのプロトコルによりネットワークから自動的にIPアドレスを取得して通信することが可能である。こういたプラグアンドプレイ機能はインターネット管理者のアドレス配布管理の軽減に寄与する。
【０００３】
しかしながら企業ネットワークを構成するイントラネットにおいてこうしたプラグアンドプレイ機能を無制限に用いることは、ネットワーク管理者の管理の軽減にはつながらない。イントラネット上の企業活動を守るために、ネットワーク管理者は不正なネットワーク接続を禁止する必要があるが、無制限にプラグアンドプレイ機能を用いたネットワークにおいて不正なネットワーク接続を禁止することは難しいからである。
【０００４】
不正なネットワーク接続を禁止しつつ、プラグアンドプレイを実現するために様々な技術がある。これらの技術は大きく、Layer3認証、Layer2認証の2つに分類することが出来る。
【０００５】
Layer3認証は、プラグアンドプレイでIPアドレスを配布するときに認証をかけることにより、不正な端末へのIPアドレス配布を防止する方法である。ネットワークへの接続自体はどのようなユーザでも可能である。具体例としては、認証付DHCPサーバ、公開鍵埋込型IPv6アドレス、DHCP snooping/IP Source Guard、MACアドレス登録強制型DHCPサーバといった事例がある。
【０００６】
認証付DHCPサーバは、特にIPv4アドレスのプラグアンドプレイによく用いられるDHCPプロトコルのオプション機能を用いたLayer3認証技術である。端末がDHCPでDHCPサーバへIPアドレス配布要求を送るときに、MACアドレスやホスト名やユーザIDなどの端末情報もDHCPプロトコルのオプションを用いて同時に送信する。DHCPサーバはDHCPプロトコルメッセージ内に含まれた端末情報に基づきIPアドレス配布の可否を決定することができる。
【０００７】
公開鍵IPv6アドレス（特許文献２及び非特許文献１参照）は、特にIPv6アドレスのプラグアンドプレイ機能に特化したLayer3認証技術である。端末がIPv6アドレスを自動設定するためには、端末は自らの有するリンクローカルアドレスを用いてネットワークからアドレスを取得する必要がある。公開鍵IPv6アドレス技術は、端末がそのリンクローカルを生成する際に公開鍵暗号技術を用いることにより、正しい秘密鍵を持たない端末ではIPv6アドレスを生成できないようにする技術である。
【０００８】
Cisco社のDHCP snooping/IP Source Guard（非特許文献２参照）は、DHCPサーバと端末の間にあるイーサネットスイッチのフィルタリング機能を用いたLayer3認証技術である。DHCPサーバと端末との間に置かれたイーサネットスイッチは、両者の間で交換されるDHCPプロトコルメッセージを覗き見することにより（DHCP snooping）、自らのどの回線上にどのようなIPアドレスが配布されたかを学習する。そしてイーサネットスイッチの各回線にて、その回線へ配布されたIPアドレス宛の通信とそのIPアドレス発の通信以外の通信を全てフィルタリングする（IP Source Guard）ことにより、DHCPサーバが配布していないアドレスからの通信を拒絶する技術である。
【０００９】
MACアドレス登録強制型DHCPサーバ（特許文献２参照）は、認証付DHCPサーバをよりセキュアにしたLayer3認証である。本方法では、登録済MACアドレスに対してしかIPアドレスを配布しないDHCPサーバを設置し、端末からのIPアドレス配布要求に含まれるMACアドレスに従ってIPアドレス配布の是非を決定する。登録されていないMACアドレスからアドレス配布要求が来たときには、その配布要求を行った端末へ認証サーバのユーザ認証画面を強制的に表示させ、認証サーバでの認証が通ったらその端末のMACアドレスをIPアドレス配布対象としてDHCPサーバへ登録する。MACアドレスの登録を認証しかつ強制することにより、IPアドレスの配布を管理する技術である。
【００１０】
以上のLayer3認証に対して、Layer2認証とはユーザが適切なユーザ/パスワードを提供しない限り、ネットワークへの接続すら許さない方法である。この方法では、不正なユーザはネットワークの接続すらできないためネットワークからアドレスを取得することもできない。具体例としては、IEEE 802.1x、認証VLAN、PPPといった事例がある。
【００１１】
IEEE 802.1xは、イーサネットプロトコルを拡張することにより、ユーザ認証を可能にしたLayer2認証技術である。802.1x対応端末が802.1x対応イーサネットスイッチへイーサネットフレームを送信すると、そのイーサネットスイッチが端末へユーザ認証要求を送り返す。端末が正しい認証応答を行ったときのみ、イーサネットスイッチはその端末からの通信を該当ポートにおいてのみ通すことにより、Layer2認証を行う技術である。特開2002-84306もユーザ認証プロトコルは異なるものの、イーサネット接続時に認証をかけるという点では同様な技術である。
【００１２】
Alcatel社の認証VLAN（非特許文献３参照）は、IEEE 802.1xを応用したイーサネットスイッチでのLayer2認証技術である。IEEE802.1xではユーザ認証結果に応じてあるネットワークに接続可能か否かの判断しか行わないのに対して、認証VLANではユーザ認証結果に応じて端末を異なるVLANに接続することが可能である。
【００１３】
PPPはユーザ認証付インターネット接続プロトコルであり、ダイアルアップ通信やADSL通信などでよく用いられる。PPPクライアントである端末がPPPサーバに対して接続要求を出し、それが認証されるとアドレスが配布され、PPPクライアントとPPPサーバとの間で通信ができるようになる。
【特許文献１】特開2003-51838号公報
【特許文献２】特開2002-232449号公報
【非特許文献１】"Cryptographically Generated Addresses (CGA)", IETF draft-ietf-send-cga-04.txt
【非特許文献２】"Configuring DHCP Snooping and IP Source Guard", http://www.cisco.com/univercd/cc/td/doc/product/lan/cat4000/12_1_19/config/dhcp.pdf
【非特許文献３】"Authenticated VLANs", 'http://www.ind.alcatel.com/library/techbrief/TB_Authenticated_VLAN.pdf
【発明の開示】
【発明が解決しようとする課題】
【００１４】
Layer3認証はDHCPサーバなどのアドレス配布サーバのみを変更することにより、アドレス配布管理を可能にするものの、アドレス配布サーバの関与しないところでアドレス設定された端末を管理できないという欠点を有する。例えば、アドレス配布サーバがまだどの端末にも配布していないアドレスを、アドレスを取得する権利のないユーザが端末へ勝手に割り振って使用することを防ぐことはできない。
【００１５】
Layer2認証では権限を有さないユーザをネットワーク接続させないため、上述のようなアドレス配布管理洩れを防ぐことが可能である。しかしながら、Layer2認証を実現するためには、全ての端末やスイッチが同一のLayer2認証技術をサポートする必要があるため、Layer2認証には初期導入コストがかかるという問題がある。
【００１６】
また、いずれの認証技術においても、ネットワーク接続権限を有するユーザがネットワークウィルス感染や誤操作などにより誤って異常パケットを発生させることを防ぐことはできない。
【００１７】
本発明は、このような問題に対応することのできるネットワーク管理方法及びネットワーク管理装置を提供することを目的とする。
【課題を解決するための手段】
【００１８】
本発明では、上記の3つの問題を以下の手段によりそれぞれ解決する。
まず、各端末に固有なLayer2アドレス（OSIネットワークモデルにおける物理層アドレス、イーサネットの例ではMACアドレス）により不正な端末をフィルタリングすることにより、アドレス配布サーバの管理洩れ問題を防止する。
【００１９】
次に、Layer2認証機能を有さない端末やスイッチからなる既存ネットワークを変更することなく、ネットワーク接続を防ぎたい端末の最近傍に存在するスイッチにて、その端末のLayer2アドレスからの通信をフィルタリングすることにより、不正なネットワーク接続を物理層で防止する。このようなLayer2アドレスでのフィルタリングを、ウィルス感染端末や誤操作を行っている端末に対して行うことにより、ネットワーク接続権限を持つユーザによる不正なネットワーク使用を防止することも可能とする。
【００２０】
本発明では、あるネットワークを構成するLayer2デバイス（イーサネットの例では、ハブやスイッチや無線基地局）のトポロジー情報ならびにLayer2デバイス自身への制御手段を有するサーバを用いる。そしてそのサーバからLayer2デバイスへフィルタリング要求を送信することにより、Layer2認証機能を有さない端末やスイッチからなる既存ネットワークを変更することなく、Layer2アドレスフィルタリングにより不正なネットワーク接続を物理層で防止する。
【００２１】
こうしたLayer2アドレスでのフィルタリングを、ウィルス感染端末や誤操作を行っている端末に対して行うことにより、ネットワーク接続権限を持つユーザによる不正なネットワーク使用を防止することも可能とする。
【発明の効果】
【００２２】
本発明によると、既存ネットワークや端末に手を付けず低コストに、不正ネットワーク利用を防止することが可能になる。
【発明を実施するための最良の形態】
【００２３】
以下、図面を参照して本発明の実施の形態を説明する。
まず、図１にて本発明の対象となるネットワークの構成を説明する。イントラネットのIP網は複数のサブネット120，121，…から構成される。サブネット120の中には、サブネット120を他のサブネットへ接続するためのルータ1（131）、サブネット内の端末141や143を収容するための複数のLayer2デバイス（Layer2スイッチ133、無線LAN基地局135、LANスイッチ137、リピータハブ139）が含まれている。サブネット121の中には、サブネット121を他のサブネットへ接続するためのルータ2（132）、サブネット内の端末142や144を収容するための複数のLayer2デバイス（Layer2スイッチ134、LANスイッチ136、スイッチングハブ138、無線LAN基地局140）が含まれている。
【００２４】
本発明の対象であるアドレス管理サーバ（ネットワーク管理サーバ）100は、図２に示すように通常のネットワークサーバと同様な構成を有する。即ち後述のプログラムを実行するためのCPU210が、後述のデータベースやプログラムを格納するための記憶装置220を用いて必要な情報を計算し、ネットワーク通信物理インタフェース230を介してLayer2デバイスへ必要な指示を送る仕組みになっている。アドレス管理サーバ100はネットワーク経由でLayer2デバイスへ指示を送るため、イントラネット内のサブネットに対して通信できる場所に存在しさえすればネットワーク上のどこにあっても構わない。
【００２５】
ここではイーサネットにより構築されたネットワークを例にとり、説明する。そのため物理層アドレスとしてはMACアドレスのみが用いられる。
【００２６】
図３にアドレス管理サーバ100内部のソフトウェアモジュール構成例を示す。アドレス管理サーバ100の中には、不正端末排除計算部310と、Layer2/3デバイスデータベース320とが存在する。以下両モジュールに関して説明する。
【００２７】
不正端末排除計算部310は、ネットワーク管理者入出力モジュール312にて管理コンソール（ネットワーク管理者）から端末排除要求を受け付けると共に、その実行結果を管理コンソール（ネットワーク管理者）へ返す。そして端末排除計算モジュール311にて図６及び図７のアルゴリズムを走らせ、指定された端末をネットワークから排除する。これらのアルゴリズムを走らせるときサブネット内のLayer2デバイスやルータと通信する必要がある場合は、Layer2/3デバイスデータベース320を参照し通信方法を確定させた上で、Layer2/3デバイス通信モジュール313を介して通信を行う。
【００２８】
次にLayer2/3デバイスデータベース320の構造について説明する。Layer2/3デバイスデータベース320は、イントラネットを構成する全サブネットにおけるLayer2デバイスやルータに関する情報を格納したデータベースである。具体的には、サブネットのIPネットワークアドレスとそのサブネットのルータリストとの対応付けを示したサブネット情報330のリストからなる。図示の例では、ルータリストの下に、その下流に接続されているデバイスのリストである下流デバイスリスト1があり、下流デバイスリスト1の下には更にその下流に接続されているデバイスのリストである下流デバイスリスト2、下流デバイスリスト3がある。下流デバイスリスト3の下には、更に下流デバイスリスト4がある。このようにLayer2/3デバイスデータベース320は、ツリー状の階層構造を持っている。
【００２９】
図４に、Layer2/3デバイスのリスト構造の一例を示す。図４にはサブネット1についてのみ詳細に示した。
【００３０】
ルータリスト内においては、ルータは以下の4要素により表現される。一つ目はIPアドレスとMACアドレス/ポート番号の対応付けの取得手段（341）、二つ目はIPアドレスやMACアドレスによるパケットフィルタの指定手段（342）、三つ目はルータの上流に存在するLayer2デバイスとその接続ポート番号のリスト（343）、四つ目はルータの下流に存在するLayer2デバイスとその接続ポートのリスト（344）である。サブネットのルータはサブネットの最上流に存在するため、343は空欄となる。
【００３１】
ルータの下流に存在するLayer2デバイスもルータと全く同じ形式で表現する。Layer2アドレス/ポート番号の対応付けを外から取得できない場合には、IPアドレスとMACアドレス/ポート番号の対応付けの取得手段（341）は空欄となる。またMACアドレスによるイーサネットフレームのフィルタ指定ができない場合も同様に、パケットフィルタの指定手段（342）が空欄となる。端末のみを収容するLayer2デバイスの場合、下流にLayer2デバイスが存在しないため、下流に存在するLayer2デバイスのリスト（344）は空欄となる。
【００３２】
IPアドレスとMACアドレス/ポート番号の対応付けの取得手段（341）やパケットフィルタの指定手段（342）の実現手段としては、各Layer2デバイスでサポートされている既存の手段をそのまま用いる。例えばSNMPのようなネットワーク管理通信プロトコルで特定のMIBの値を設定したり取得したりするコマンドや、機器固有なコマンドをネットワーク越しに実行するスクリプトが、これらの欄で指定されるべき内容である。
【００３３】
特にルータでは手段341や手段342が空欄になることはないものと仮定する。企業網に導入されるルータには手段341や手段342のようなパケットフィルタリング機能は通常存在するため、この仮定は十分現実的な仮定である。
【００３４】
図５Ａから図５Ｆに、図３に例示したサブネット情報リスト、ルータリスト、下流デバイスリスト1、下流デバイスリスト1-1、下流デバイスリスト1-2、下流デバイスリスト1-2-1の内部構造を表にして示した。図５Ａはサブネット情報リストの内部構造、図５Ｂはサブネット1のルータ1（131）に対応するルータリストの内部構造、図５ＣはLayer2スイッチ（133）に対応する下流デバイスリスト1の内部構造、図５Ｄは無線LAN（135）に対応する下流デバイスリスト1-1の内部構造、図５ＥはLANスイッチ（137）に対応する下流デバイスリスト1-2の内部構造、図５Ｆはリピータハブ（139）に対応する下流デバイスリスト1-2-1の内部構造である。
【００３５】
なお、Layer2/3デバイスデータベース320は手動で構築しても、何らかのプロトコルを用いて動的に構築しても、どちらでも構わない。
【００３６】
上記のアドレス管理サーバ100及びLayer2/3デバイスデータベース320を設定完了した状態で、ネットワーク管理者が管理コンソールを用いてネットワークから排除したいIPアドレスをアドレス管理サーバ100へ入力すると、アドレス管理サーバ100は、まずそのIPアドレスに対応するMACアドレスを検索する。次にそのMACアドレスを有する端末にネットワークトポロジー上最近傍に存在するLayer2デバイス及び端末の存在するポート番号を算出する。そして算出されたLayer2デバイス上の算出されたポートにおいて、検索されたMACアドレスを、パケットフィルタの指定手段342で示された手段を用いてフィルタリングする。以下、上記の3手順の詳細な実現方法について説明する。なお不正接続や不正通信を行っているIPアドレスは、ネットワーク管理者がIDSやサーバのアクセスログの解析などにより発見するため、その発見自体は本発明の対象外である。
【００３７】
まず図６のフローチャートを用いて、IPアドレスから対応するMACアドレスを検索する方法を示す。
【００３８】
ネットワーク管理者がネットワークから排除したい端末のIPアドレスを不正端末排除計算部310へ入力すると（400）、不正端末排除計算モジュール311はLayer2/3デバイスデータベース320内のサブネット情報330のネットワークアドレスとIPアドレスとを照合し、該当するサブネットのルータのリストを求める。
【００３９】
そしてそのリスト内に含まれる全ルータに関して、Layer2/3デバイスデータベース内に示されたルータの手段341を用いて、指定されたIPアドレスとMACアドレス/ポートの対応付けを取得する（ステップ404）。回答があれば、それが求めるべきMACアドレスである（ステップ405）。回答がなければそのリスト内の他のルータに関して同じ処理を行う（ステップ406）。全てのルータに関して返答がなければ、指定されたIPアドレスはそのサブネット内にはもはや存在しないため、不正端末排除計算部310は該当するMACアドレスは存在しない旨をネットワーク管理者へ報告して処理を終了する（ステップ420）。
【００４０】
引続き同じフローチャートを用いて、検索されたMACアドレスmを収容するLayer2デバイス及びポート番号を検索する方法を示す。
【００４１】
ステップ405にて求めるべきIPアドレスに対応するMACアドレスが求まったら、そのルータの手段341を用いてそのMACアドレスを収容するポート番号pを求める（ステップ408）。既にステップ405にて同じ検索が成功しているので、ステップ408が失敗することはありえない。ポート番号pが求まったら、不正端末排除計算モジュール311はそのルータの下流デバイスリスト344の中に、ポート番号pが含められているか否かを確認する（ステップ430）。もしも含められていなければ、端末は直接ルータに収容されていることになるので、ステップ405で求められたルータのポート番号pが求めるべき答えである（ステップ440）。
【００４２】
もしも含まれていれば、該当する全Layer2デバイスに関して上と全く同じ要領で、MACアドレスmを含むポート番号を算出し、更に算出されたポートの下流にLayer2デバイスがあるかどうかを確認することを繰り返す（ステップ460）。もしも端末を収容するだけのLayer2デバイスに至れば、それより下流への探索ができないので、そのLayer2デバイスにおいて求められたポート番号が求めるべき答えである（ステップ470）。
【００４３】
途中、手段341がないLayer2デバイスに至った場合は、それより下流への検索ができないので、その手段341がないLayer2デバイスの一つ上のデバイスの、そのLayer2デバイスを収容するポートが求めるべき答えである（ステップ490）。図１で図４のようなトポロジー情報を用意したときに端末143を収容するLayer2デバイスを探す場合を例にとると、実際に端末143を収容するLayer2デバイスであるリピータハブに関してはMACアドレスがどのポートに存在するか検索できないので、その一つ上流のLANスイッチのport7（リピータハブを収容するポート）を端末143を収容する場所の近似解とする、ということである。
【００４４】
以上の処理によりMACアドレスmを収容するLayer2デバイスLとそのポート番号pが確定したときに、そのMACアドレスmを有する端末をネットワークから排除する方法を図７のフローチャートを用いて説明する。
【００４５】
不正端末排除計算部310はLayer2/3デバイスデータベース320を参照し、Layer2デバイスLがフィルタリング手段342を有するか否かを確認する（ステップ510）。もし存在するならば、Layer2デバイスのポートpにてMACアドレスmをその手段342にてフィルタリングして処理を終了すればよい（ステップ520）。
【００４６】
フィルタリング手段342が存在しない場合には、Layer2/3デバイスデータベース320を参照し、Layer2デバイスLの上流に存在する全デバイスに対して、Layer2デバイス行きのポートにてMACアドレスmをフィルタリングする（ステップ540）。これらのフィルタリングは上と同じ要領で再帰的に行えばよい。ここで述べたLayer2デバイスでのフィルタリング処理の繰り返しは最後はそのサブネットのルータに至るが、サブネットのルータではフィルタリング手段342が存在するので、再帰処理は有限回で収束する。
【００４７】
図１で図４のようなトポロジー情報を用意したときに端末143のMACアドレスをLANスイッチのport7でフィルタリングする場合を例にとり説明すると、LANスイッチにはフィルタリング手段が存在しないため、その上流のLayer2スイッチのport0/16（LANスイッチ収容ポート）にて端末143のMACアドレスをフィルタリングすることにより、ネットワークから排除したい端末を最も端末に近いLayer2デバイスでフィルタリングすることができるようになる。
【００４８】
以上説明したように本発明によると、アドレス管理サーバにおいて、全てのLayer2デバイスのトポロジー情報及びそれらのLayer2デバイスからのLayer2アドレス取得方法とそれらのLayer2デバイスへのフィルタ設定方法とを管理することにより、既存のネットワークや端末に一切変更を加えることなく、不正な端末の接続をそのネットワークでできうる限り排除することができる。そのため、導入コストをアドレス管理サーバ分だけに抑えることができ、本発明は不正接続防止の安価なソリューションとなりえる。
【００４９】
また、端末に固有なLayer2アドレスに基づきフィルタリングを行っているため、アドレス配布サーバの管理外のアドレスを用いた攻撃を行われることもありえず、管理洩れも存在しない。IDSやサーバのアクセスログから求められたIPアドレスからLayer2アドレスを計算し、それに基づいたフィルタリングを行うことにより、ネットワーク接続権限を有するユーザが誤ってイントラネットを攻撃する事例も防止することができる。
【００５０】
図８は、アドレス管理サーバ100内部のソフトウェアモジュールの他の構成例を示す図である。また、図９は、図８における下流デバイスリストの内部構造例を示す図である。
【００５１】
サブネットの規模が大きい場合、図３に示すようにデバイスリストを階層化するのが有効であるが、小規模なサブネット（社内ＬＡＮなど）であれば、L2アドレスの階層構造がそれほど複雑では無いため必ずしも階層化する必要はない。図８、図９は、下流デバイスリストを階層化しない例を示している。
【００５２】
本発明では、サブネット内でも、Layer2アドレスによるフィルタリングができないLayer2デバイスよりも下流の部分を守ることができない。しかしながらそれ以外の部分にネットワーク攻撃が広がることを防ぐことはできるので、既存ネットワークに手を付けずに実現する不正アクセス防止ソリューションとしては有効である。
【図面の簡単な説明】
【００５３】
【図１】本発明の対象となるネットワークのブロック図。
【図２】アドレス管理サーバのハードウェアブロック図。
【図３】アドレス管理サーバのソフトウェアモジュール図。
【図４】Layer2/3デバイスデータベースのLayer2/3デバイスリスト構造の一例を示す図。
【図５Ａ】サブネット情報リストの内部構造を示す図。
【図５Ｂ】ルータリストの内部構造を示す図。
【図５Ｃ】下流デバイスリストの内部構造を示す図。
【図５Ｄ】下流デバイスリストの内部構造を示す図。
【図５Ｅ】下流デバイスリストの内部構造を示す図。
【図５Ｆ】下流デバイスリストの内部構造を示す図。
【図６】アドレス管理サーバにおいて、与えられたLayer2アドレスを持つ端末を収容するLayer2デバイスを検索するアルゴリズムのフローチャート。
【図７】アドレス管理サーバにおいて、与えられたLayer2アドレスを持つ端末をネットワークからフィルタリングするアルゴリズムのフローチャート。
【図８】アドレス管理サーバのソフトウェアモジュール図。
【図９】下流デバイスリストの内部構造を示す図。
【符号の説明】
【００５４】
100 アドレス管理サーバ
311 不正端末排除計算モジュール
312 ネットワーク管理者入出力モジュール
313 Layer2/3デバイス通信モジュール
320 Layer2/3デバイスデータベース
330 サブネット情報
341 アドレス/ポート番号対応取得手段
342 パケットフィルタリング指定手段
343 上流Layer2デバイスリスト
344 下流Layer2デバイスリスト
【図１】
2005252717.tif 000003
【図２】
2005252717.tif 000004
【図３】
2005252717.tif 000005
【図４】
2005252717.tif 000006
【図５Ａ】
2005252717.tif 000007
【図５Ｂ】
2005252717.tif 000008
【図５Ｃ】
2005252717.tif 000009
【図５Ｄ】
2005252717.tif 000010
【図５Ｅ】
2005252717.tif 000011
【図５Ｆ】
2005252717.tif 000012
【図６】
2005252717.tif 000013
【図７】
2005252717.tif 000014
【図８】
2005252717.tif 000015
【図９】
2005252717.tif 000016