(57)【要約】【課題】LAN内の閉域通信において、安価と導入工数が少ないネットワーク不正接続防止方法及び装置を提供する。【解決手段】端末よりLANを介して受信したARPリクエストに含まれる該端末の個有情報が登録済であるか否かを判定し、未登録と判定されたとき、該端末を不正端末と見做して該端末の個有情報が重複して存在することを示す妨害メッセージを送信する。該ARPリクエストは、ネットワーク接続時に送信されるARPリクエスト、又は該不正端末が他の端末に対して個有情報を要求するときのARPリクエストである。該妨害メッセージは、該不正端末が該個有情報の重複状態となるように、送信元アドレスに該不正端末の個有情報を設定した妨害リプライ及び妨害リクエストの内の少なくともいずれか一方から成る。登録済の端末の各々に対してARPリクエストを順次送信し、該ARPリクエストに応答して返って来たARPリプライから、その端末の個有情報が登録済であるか否かを判定してもよい。該個有情報は、MACアドレス又はIPアドレスを含み、又はこれにさらにVLANタグを含む。【選択図】図１
2005198090.tif 000002
【特許請求の範囲】
【請求項１】
端末よりLANを介して受信したARPリクエストに含まれる該端末の個有情報が登録済であるか否かを判定する第1ステップと、
該第1ステップで未登録と判定されたとき、該端末を不正端末と見做して該端末の個有情報が重複して存在することを示す妨害メッセージを送信する第2ステップと、
を備えたことを特徴とするネットワーク不正接続防止方法。
【請求項２】
請求項1において、
該ARPリクエストが、ネットワーク接続時に送信されるARPリクエストであることを特徴とするネットワーク不正接続防止方法。
【請求項３】
端末よりLANを介して受信したARPリクエストに含まれる該端末の個有情報が登録済であるか否かを判定する第1手段と、
該第1手段で未登録と判定されたとき、該端末を不正端末と見做して該端末の個有情報が重複して存在することを示す妨害メッセージを送信する第2手段と、
を備えたことを特徴とするネットワーク不正接続防止装置。
【請求項４】
請求項３において、
該ARPリクエストが、ネットワーク接続時に送信されるARPリクエストであることを特徴とするネットワーク不正接続防止装置。
【請求項５】
登録済の端末の各々に対してARPリクエストを順次送信する第1手段と、
該ARPリクエストに応答して返って来たARPリプライから、その端末の個有情報が登録済であるか否かを判定する第2手段と、
該第2手段で未登録と判定されたとき、該端末を不正端末と見做して該端末の個有情報が重複して存在することを示す妨害メッセージを送信する第3手段と、
を備えたことを特徴とするネットワーク不正接続防止装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク不正接続防止方法及び装置に関し、特に複数のルータやハブで構成されるLAN（閉域網）内における端末のネットワーク不正接続防止方法及び装置に関するものである。
【背景技術】
【０００２】
従来、LAN内で端末を誤接続又は不正接続（悪意を持った接続）がなされた場合は、ネットワーク機器によって次のような防止策を実施していた。
（1）事前に許可された端末のIPアドレスやMACアドレス以外の端末（許可されていない端末）についてはネットワーク機器によって接続を許可しない従来技術がある。
【０００３】
この例としては、全ポートへの接続許可を端末のIPアドレスで設定し、受信したARP（Address Resolution Protocol）フレームの送信元IPアドレスとポートへの接続許可が設定された端末のIPアドレスとが一致していれば、最後に受信したフレームの送信元MACアドレスが当該ARPフレームの送信元MACアドレスであるポートを使用できなくした侵入防止機能付ハブがある（例えば、特許文献1参照。）。
（2）外部ネットワークとLANを接続する際に、その中継装置（ファイアーウォール、ルータ）にデータベースを設け、流入するパケットを常に監視し、受信したパケットの内容から不正なパケットを検出し、この場合に不正なパケットの侵入に対する防止対策を講じた従来技術がある（例えば、特許文献2参照。）。
【特許文献１】特開平11−177597号公報（要約書、図1）
【特許文献２】特開2002−73433号公報（要約書、図1）
【発明の開示】
【発明が解決しようとする課題】
【０００４】
上記の従来技術（1）の場合には、侵入防止機能は中継装置であるハブに実装することが前提であり、現在運用中のイントラネットワーク内にこの機能を持ったハブが無い場合は全ハブに該侵入防止機能を実装する必要がある。また、ネットワーク構成に変更が生じた場合においても全ハブの装備に変更が伴うことから機器費用と導入工数が膨らむという問題がある。
【０００５】
またこの場合、不正ポートが検出されると、そのポートを使用できないようになっているため、そのポートがカスケードで別のハブに接続されている場合には、その別のハブに接続されている正規の端末も通信ができなくなってしまうという問題があった。
【０００６】
更に、上記の従来技術（2）の場合には、インターネット（外部ネットワーク）とLANを中継する装置（ファイアーウォール又はルータ）に不正接続監視機能を実装することで、不正パケットを中継させないで不正接続を抑制するものであり、LAN内の閉域通信においては不正接続防止ができないという問題があった。
【０００７】
従って本発明は、LAN内の閉域通信において、安価と導入工数が少ないネットワーク不正接続防止方法及び装置を提供することを目的とする。
【課題を解決するための手段】
【０００８】
上記の目的を達成するため本発明に係るネットワーク不正接続防止方法は、端末よりLANを介して受信したARPリクエストに含まれる該端末の個有情報が登録済であるか否かを判定する第1ステップと、該第1ステップで未登録と判定されたとき、該端末を不正端末と見做して該端末の個有情報が重複して存在することを示す妨害メッセージを送信する第2ステップと、を備えたことを特徴としている。
【０００９】
すなわち、第1ステップでは、LAN内に接続した端末からの個有情報がARPリクエストとして受信されたとき、この個有情報が予め登録してある情報と一致しているか否かを判定する。そして、第2ステップでは、この第1ステップで、未登録であることが分かった端末を不正端末と見做して妨害メッセージを送信する。
【００１０】
この妨害メッセージには、その端末の個有情報が重複して存在することを示す情報が含まれているので、この妨害メッセージを受信した不正端末12においては、自分の個有情報が重複していることを知るので、通信を止めてしまうこととなり、不正接続を防止できる。
【００１１】
このようにして本発明によれば、LAN内のノードをネットワークに接続させることが可能であるため、ネットワークの機器費用や変更に伴う作業工数の削減が可能となる。
【００１２】
また、不正接続端末のみ通信を妨害し、他の正規な接続端末への影響を与えなくすることが可能である。
【００１３】
更には、LAN内の閉域通信における不正接続防止が実現可能となる。
【００１４】
上記のARPリクエストは、例えば、ネットワーク接続時に送信されるARPリクエストであるが、これを逃れた場合の防止策として該不正端末が他の端末に対してアドレスを要求するときのARPリクエストを用いて不正接続端末通信の妨害を行ってもよい。
【００１５】
また、上記の第2ステップにおいては、該妨害メッセージを一定時間間隔毎に所定回数繰り返して送信するようにしてもよい。これにより不正端末は自分の個有情報が重複したことを確実に知ることが可能となり、不正接続端末の通信を確実に防止することが可能となる。
【００１６】
上記の妨害メッセージとしては、該不正端末が該個有情報の重複状態となるように、送信元アドレスに該不正端末の個有情報を設定した妨害リプライ及び妨害リクエストの内の少なくともいずれか一方から成るものとすることができる。
【００１７】
すなわち、不正端末を検出したときには、不正端末に対して個有情報が重複していることを検出したときに行われるシーケンスを真似て、妨害ARPリプライ及び妨害ARPリクエストの双方を送信しても良いし、或いは妨害ARPリプライのみを送信しても良く、若しくは重複したときに自分の個有情報が正しいか否かをチェックしに行くための妨害ARPリクエストのみを送信しても良い。
【００１８】
上記の個有情報としては、MACアドレス又はIPアドレスのいずれを用いてもよい。
【００１９】
一方、本発明においては、登録済の端末の各々に対してARPリクエストを順次送信する第1ステップと、該ARPリクエストに応答して返って来たARPリプライから、その端末の個有情報が登録済であるか否かを判定する第2ステップと、該第2ステップで未登録と判定されたとき、該端末を不正端末と見做して該端末の個有情報が重複して存在することを示す妨害メッセージを送信する第3ステップと、を備えることもできる。
【００２０】
すなわち、第1ステップにおいて予め登録してある端末の各々に対してARPリクエストを順次送信すると、このARPリクエストに応答して端末側からARPリプライが返ってくる。そこで第2ステップでは、このときの端末の個有情報が登録済であるか否かを判定し、更に第3ステップにおいて、上記の第2ステップで未登録と判定したとき、その端末を不正端末と見做して上記と同様の妨害メッセージを送信する。
【００２１】
これにより、不正接続端末の捜索をより強化することが可能となり、上記の場合に万が一ネットワーク不正接続防止策を逃れた場合においても、不正接続端末通信の妨害が可能となる。
【００２２】
更に本発明では、上記の場合において、該個有情報が判定対象としてアドレス及びVLAN(Virtual LAN)タグを含み、該妨害メッセージが、該アドレス及び該VLANタグを含むことができる。
【００２３】
すなわち、上記のように端末の固有情報として、アドレス及びVLANタグを用いることにより、VLANを使用したネットワーク環境下においても、そのセグメントと異なるアドレスを付与した端末を接続した場合には不正接続を検出し妨害することが可能となる。
【００２４】
上記の本発明に係るネットワーク不正接続防止方法を実現する本発明のネットワーク不正接続防止装置は、端末よりLANを介して受信したARPリクエストに含まれる該端末の個有情報が登録済であるか否かを判定する第1手段と、該第1手段で未登録と判定されたとき、該端末を不正端末と見做して該端末の個有情報が重複して存在することを示す妨害メッセージを送信する第2手段と、を備えたことを特徴としている。
【００２５】
上記のネットワーク不正接続防止装置において、ARPリクエストとして、ネットワーク接続時に送信されるARPリクエスト又は、該不正端末が他の端末に対して個有情報を要求するときのARPリクエストを用いることができる。
【００２６】
また、上記の第2手段は、該妨害メッセージを一定時間間隔毎に所定回数くり返して送信する手段を含むことができる。
【００２７】
上記のネットワーク不正接続防止装置において、該妨害メッセージは、該不正端末が、該個有情報の重複状態となるように、送信元アドレスに該不正端末の個有情報を設定した妨害リプライ及び妨害リクエストの内の少なくともいずれか一方で構成することができる。
【００２８】
上記の個有情報としては本発明方法と同様に、MACアドレス又はIPアドレスを用いることができる。
【００２９】
さらに本発明では、登録済の端末の各々に対してARPリクエストを順次送信する第1手段と、該ARPリクエストに応答して返って来たARPリプライから、その端末のアドレスが登録済であるか否かを判定する第2手段と、該第2手段で未登録と判定されたとき、該端末を不正端末と見做して該端末のアドレスが重複して存在することを示す妨害メッセージを送信する第3手段と、を備えたことを特徴とするネットワーク不正接続防止装置が提供される。
【００３０】
さらに本発明のネットワーク不正接続防止装置においても、個有情報が判定対象としてアドレス及びVLANタグを含み、該妨害メッセージが該アドレス及び該VLANタグを含むことができる。
【発明の効果】
【００３１】
以上のように本発明に係るネットワーク不正接続防止方法及び装置によれば、LAN内の不正接続防止を抑制するものであり、イントラネットワーク内の1ノード（パソコンレベル）として接続される装置に実装可能であり、現在運用中のハブ、ファイアーウォール、ルータに実装する必要が無いため、既設のネットワークに影響することなく且つコスト抑制も可能となる。
【００３２】
更に、本発明では、LAN構成（物理構成、論理構成）に依存していないため、LANの構成変更が生じた場合は、本発明のみの設定変更で不正接続防止が可能になり、LAN運用管理者の負担を軽減することが可能となる。
【００３３】
更には、従来のようにカスケード接続された場合に正規端末も通信不能になるというようなことが無く、不正接続端末のみを妨害することができる。
【００３４】
更に本発明ではVLANを使用しているネットワーク環境においても該当するセグメントで使用できないアドレスを設定した不正接続端末の検索又は通信妨害が可能であり、更に本発明装置1台で複数セグメントの制御が可能となる。
【００３５】
また本発明ではDHCP(Dynamic Host Configuration Protocol)環境でIPアドレスとMACアドレスが動的に変化するようなネットワーク運用でもMACアドレスのみにより不正接続検出するようにした場合、DHCP環境にも適用可能である。
【発明を実施するための最良の形態】
【００３６】
図1は、本発明に係るネットワーク不正接続防止方法及び装置に用いられるシステム構成例を示したもので、同図（1）は特に、LAN100内に正規端末10，11とネットワーク不正接続防止装置20のみが接続されたシステム構成例を示し、同図（2）は、正規端末10の代わりに、不正端末12が接続されたときのシステム構成例を示している。なお、図中、ARPリクエストはRQ〜で示し、ARPリプライはRP〜で示す。
【００３７】
図2は、本発明に係るネットワーク不正接続防止装置20をハブ30を介してVLAN110を構成するセグメントA及びセグメントBに接続したVLAN環境のシステム構成例を示している。
【００３８】
図1及び図2に示した本発明に係るネットワーク不正接続防止方法を実現する装置の実施例が図3に示されている。
【００３９】
この実施例では、ネットワーク不正接続防止装置20は、LAN100とのインタフェース制御及びタグ(VLANタグ)の解析又は付与を行うネットワークインタフェース部21と、ARPフレームの解析及び生成を行うARP処理部22と、接続端末からのアドレス等の端末個有情報とアドレス情報データベース部24内の情報との一致／不一致を検索又は検出する不正接続判定部23と、この不正接続判定部23で不正接続と判定した場合に妨害メッセージの送信を指示する妨害処理部25と、ネットワーク内に存在する不正接続端末を捜索するメッセージの送信を指示する捜索要求処理部26とで構成されている。
【００４０】
そして更に、ネットワークインタフェース部21は、VLANタグ解析部211とVLANタグ付与部212とで構成されており、ARP処理部22は、ARP受信部221とARP送信部222とで構成されており、不正接続判定部23は不正検出部231を備えており、妨害処理部25は妨害制御部251と受信アドレスバッファ252とタイマー制御部253とで構成されており、捜索要求処理部26は、捜索制御部261とタイマー処理部262とで構成されている。
【００４１】
以下、図3に示した本発明に係るネットワーク不正接続防止方法を実現する装置の実施例の動作を、図1及び図2並びに図4以降を参照して説明する。
実施例（1）：図4〜6
まず、図4（1）は図1（1）に示したように、正規端末10及び11とネットワーク不正接続防止装置20がLAN100に接続されたときのシーケンス例を示したものである。
【００４２】
このシーケンス例において、正規端末10は、LAN100に接続されると、その個有情報であるIPアドレスの重複確認を行うため、正規端末10の、やはり個有情報であるMACアドレスを要求する正規ARPリクエストRQ1がブロードキャストで送信される（ステップS1）。正規端末11は自分宛のARPリクエストではないため、何も応答を返さない（ステップS2）。
【００４３】
一方、これと同時に、ネットワーク不正接続防止装置20においても正規ARPリクエストRQ1はブロードキャストで送られて来るため、ネットワーク不正接続防止装置20においては、ネットワークインタフェース部21において、図5のフローチャートに示すようにパケットを受信する（ステップS401）とともに、VLANタグ解析部211でVLANタグ情報の解析を行う（ステップS402）。
【００４４】
なお、このステップS402のVLANタグ解析は点線で示したように、この実施例（1）では特に用いず、後述の実施例（3）で用いるものであるので、この実施例(1)では説明せず、実施例（3）において説明を行う。
【００４５】
この後、ARP処理部22が起動され、ARP受信部221でARPフレームか否かの判定（ステップS411）が行われ、送信元・送信先のアドレス情報（MACアドレス、IPアドレス）の抽出及び解析を行う（ステップS412）。ステップS411において受信パケットがARPフレームではないことが分かったときにはこの受信パケットを無視し、ステップS401に戻るが、ARPフレームであることが分かったときには、ARP処理部22は、ステップS412で抽出したアドレス情報を入力情報として不正接続判定部23を起動し、不正接続判定部23はその中の不正検出部231を用いて、その入力アドレス情報が、ネットワーク管理者によって予めアドレス情報データベース部24に登録されたアドレス情報内に存在するか否かを判定する（ステップS421及びS422）。
【００４６】
このステップS422における判定処理によって、入力アドレス情報がアドレス情報データベース部24内にこの例では存在するため、端末10を正常接続と見做し、上記の正規ARPリクエストRQ1を無視する（ステップS3）ことにより正規端末10は通信可能な状態になり、図5のフローチャートはステップS422からステップS401に戻ってパケット受信状態になる。
【００４７】
一方、図1（2）に示すように、不正端末12がLAN100に接続されたような場合、図4（2）に示すシーケンスが実行されることになる。
【００４８】
まず、不正端末12が図4（1）と同様に正規ARPリクエストRQ2を送信し、IPアドレスの重複確認が行われる（ステップS11）。このときの正規ARPリクエストRQ2のフレームフォーマットが図6に示されている。図示のように不正端末10の正規ARPリクエストRQ2においては、タイプ＝“806”（16進数）がARPフレームであることを示し、オプションコード＝“01”がARPリクエストであることを示している。
【００４９】
このようなARPリクエストRQ2には、送信元MACアドレス情報エリアD1101において不正端末10のMACアドレスが設定され、送信元IPアドレス情報エリアD1102においては不正端末10のIPアドレスが設定され、送信先MACアドレス情報エリアD1103には、ブロードキャストであるため特にアドレスは設定されておらず、そして送信先IPアドレス情報エリアD1104には不正端末10のIPアドレスが設定されて送信される。
【００５０】
正規端末11は自分宛のARPリクエストではないため、何も応答は返さない（ステップS12）。正規ARPリクエストRQ2を同時に受信するネットワーク不正接続防止装置20においては不正検出を行う（ステップS13）。
【００５１】
すなわち、ネットワーク不正接続防止装置20においては、図5に示したステップS401〜S422を実行することにより、不正接続判定部23における不正検出部231が、アドレス情報データベース部24内に該入力アドレス情報が存在しないことを検出し、端末12を不正接続と見做し、妨害処理部25の妨害制御部251を起動する。
【００５２】
妨害制御部251では、図6に示した正規ARPリクエストRQ2における送信元IPアドレス情報エリアD1102と送信先IPアドレス情報エリアD1104が同一であることからネットワーク接続時であると判定する（ステップS431）。
【００５３】
この結果、妨害制御部211は、不正端末12のアドレス情報を入力し、妨害ARPリプライ及び妨害ARPリクエストの送信要求をARP処理部22のARP送信部222に対して行う（ステップS432）。
【００５４】
ARP処理部22のARP送信部222は、図6の妨害ARPリプライRP1に示すように、送信元MACアドレス情報エリアD1105において、自分のMACアドレス、すなわちネットワーク不正接続防止装置20のMACアドレスを設定し、送信元IPアドレス情報エリアD1106に不正端末12のIPアドレスを設定し、送信先MACアドレス情報エリアD1107に不正端末12のMACアドレスを設定し、そして送信先IPアドレス情報エリアD1108に不正端末12のIPアドレスを設定し（ステップS441）たARPメッセージを生成し(ステップS441)、送信する（ステップS452及びS14）。なお、図5においては、ここにおいてもステップS451としてVLANタグ付与を行っているが、これも実施例（3）において説明する。
【００５５】
また、ネットワーク不正接続防止装置20においては、図6に示す妨害ARPリクエストRQ3を送信するため、送信元MACアドレス情報エリアD1109にネットワーク不正接続防止装置20のMACアドレスを設定し、送信元IPアドレス情報エリアD1110に不正端末12のIPアドレスを設定し、送信先IPアドレス情報エリアD1112に不正端末12のIPアドレスを設定したARPメッセージを生成し、送信する（ステップS441,S452, S15）。
【００５６】
これにより、不正端末12はIPアドレスが重複していることを知らされるので、通信を止めることになる。
【００５７】
なお、再度不正端末12から正規ARPリクエストRQ4が送信されるようなことがあった場合（ステップS16）、正規端末11においてはIPアドレスが重複していないため無視されるが（ステップS17）、ネットワーク不正接続防止装置20においては不正検出が行われ（ステップS18）、上記と同様にして妨害ARPリプライRP2が送信され（ステップS19）、これとともに妨害ARPリクエストRQ5を送信する（ステップS20）ことにより、不正端末12においては、IPアドレスが重複したことにより完全に閉塞したように見え、通信不能と判断することになる（ステップS21）。
実施例（2）：図7、図8、図5
この実施例（2）は、不正端末から正規端末への通信時における不正検出及び妨害を行うものであり、システム構成は、図1（2）に示すものに対応している。
【００５８】
まず、図7（1）は端末間の正常接続時のシーケンス例を示したもので、正規端末10が正規端末11に対し通信を開始したとき、正規端末10は正規ARPリクエストRQ11を送信することにより正規端末のMACアドレスを要求する（ステップS31）。
【００５９】
この正規ARPリクエストRQ11を受信した正規端末11は自分のMACアドレスを格納した正規ARPリプライRP11を正規端末10に対して返信する（ステップS33）ことで正規端末10から正規端末11へのIP通信（1）（ステップS34）が可能となる。なお、正規ARPリクエストRQ11を正規端末11と同時に受信したネットワーク不正接続防止装置20においては、正常時は、図5のステップS401〜S422を実行することによりステップS422において不正アドレスではないことが分かるので、この正規ARPリクエストRQ11を無視する（ステップS32）。
【００６０】
また、正規端末11は正規端末10へのIP通信（2）を実現するため、正規ARPリクエストRQ12を送信する（ステップS35）ことで正規端末10のMACアドレス要求後、正規端末10からの正規ARPリプライRP12を受信する（ステップS37）ことで正規端末11は正規端末10のMACアドレスを取得するので、双方向でのIP通信（1）及び（2）が確立される。
【００６１】
なお、ステップS35で送信された正規ARPリクエストRQ12は、ネットワーク不正接続防止装置20においても受信されるが、正常時は上記と同様に無視されることになる（ステップS36）。
【００６２】
一方、図7（2）に示すように、正規端末10の代わりに不正端末12がLAN100に接続された場合、不正端末12が正規端末11に対して通信を開始したとき、不正端末12は図8に示す正規ARPリクエストRQ13を送信することで正規端末11のMACアドレスを要求する（ステップS41）。正規ARPリクエストRQ13を受信した正規端末11は自分のMACアドレスを格納した正規ARPリプライRP13を不正端末12に対して送信する（ステップS43）ことで不正端末12から正規端末11へのIP通信（1）が可能となる（ステップS44）。
【００６３】
また、正規端末11は不正端末12へのIP通信（2）を実現するために、正規ARPリクエストRQ14を送信する（ステップS45）ことで不正端末12のMACアドレスを要求し、これに応答して不正端末12からの正規ARPリプライRP14が送られて来る（ステップS47）ことで正規端末11は不正端末12のMACアドレスを取得し双方向でのIP通信（1）及び（2）が確立される（ステップS44,S48）。
【００６４】
一方、正規ARPリクエストRQ13をブロードキャストで受信したネットワーク不正接続防止装置20は、不正接続判定部23における不正接続部231によって、入力アドレス情報がネットワーク管理者によって予め登録されたアドレス情報データベース部24に存在するか否かを判定し（図5のステップS422）、この結果、アドレス情報データベース部24内に入力アドレス情報が存在しない場合、不正接続と見做し（ステップS42）、アドレス情報を入力し、妨害処理部25内の妨害制御部251を起動する。なお、正規ARPリクエストRQ14を受信したときには、ネットワーク不正接続防止装置20は正規の端末であることが分かるので無視する（ステップS46）。
【００６５】
妨害制御部251においては、送信元のアドレス情報を受信アドレスバッファ252に格納した後、送信元のアドレス情報と送信先のアドレス情報を比較し、一致しない場合、不正端末12から正規端末11への通信と判断する（ステップS431）。
【００６６】
不正接続を認識した妨害制御部251は、アドレス情報を入力とし、ARP処理部22内のARP送信部222を起動する。ARP送信部222は入力情報を元にARPメッセージとしての妨害ARPリクエストを編集する。
【００６７】
すなわち、ARP送信部222は意図的に、ARPリクエスト内の送信元MACアドレス情報エリアD1205においてネットワーク不正接続防止装置20のMACアドレスを設定し、送信元IPアドレス情報エリアD1206に不正端末12のIPアドレスを設定し、送信先IPアドレス情報エリアD1208に不正端末12のIPアドレスをそれぞれ設定して、図8に示す妨害ARPリクエストRQ15を送信する（ステップS49）。
【００６８】
妨害ARPリクエストRQ15を受信した不正端末12は、自分自身が使用しているIPアドレスをネットワーク不正接続防止装置20が使用していることから、IPアドレスが重複していることを認識するため、正規端末11へのIP通信（3）（ステップS50）を妨害することが可能となる。
【００６９】
また、不正端末12は、妨害ARPリクエストRQ15を受信した後は、正規端末11宛のIPパケット（ステップS50）はネットワーク不正接続防止装置20に向けて流れるため（ステップS51）、通信は成立しないことになる。このときネットワーク不正接続防止装置20は正規端末11からのIP通信（3）を無視する（ステップS52）。
【００７０】
なお、ネットワーク不正接続防止装置20において、不正検出したとき（ステップS42）から、妨害ARPリクエストRQ15を送信する（ステップS49）まで時間がかかっているように示されているが、実際には即応答することになる。
【００７１】
また、万が一ネットワーク上でロスが発生し、不正端末12から正規端末11への通信を妨害できなかった場合の救済対策として、1回目の妨害ARPリクエストRQ15を送信した後、妨害処理部25内のタイマー制御部253は受信アドレスバッファ252内に書き込まれたアドレス情報に対し、一定間隔でこの例では3回、妨害制御部25を経由して妨害ARPリクエストRQ16〜RQ18の送信要求を実施することで、通信を妨害している（ステップS53,S57, S61）。
【００７２】
そして、タイマー満了時（ステップS434）、タイマー制御部253は受信アドレスバッファ252内に書き込まれた対応アドレス情報を解放することで不正端末12への妨害ARPメッセージの送信を中止することになる。
【００７３】
また、妨害ARPリクエストを受信したとき、不正端末12においては一時的に閉塞したように見えるが、しばらくするとIPパケット送信可能となるので（ステップS65）、上述したように数回妨害ARPリクエストRQ16〜RQ18を送信することが好ましい。これらの各妨害ARPリクエストに対して不正端末12からのIP通信(3)（ステップS54,S58, S62）はそれぞれ無視される（ステップS56, S60, S64）。
実施例（3）：図9〜図11
この実施例（3）は、ネットワーク不正接続防止装置20から、ネットワークに存在する不正端末の捜索を行う実施例を示したものである。
【００７４】
まずこの実施例においては、ネットワーク不正接続防止装置20は、捜索要求処理部26内のタイマー処理部262がタイマー満了時（図10のステップS501）、捜索制御部261を起動する。捜索制御部261は全端末のIPアドレスを検索するために、アドレス情報データベース部24に対しARP送出先アドレスデータベース検索の指示を出す（ステップS502）。
【００７５】
この結果、ARP送出先アドレスが判明すると、捜索要求処理部26はARP送信部222に対し、ARPリクエスト送信要求（ステップS503, S504）を指示し、捜索制御部261からの入力情報に基づき、ARPメッセージ（ARPリクエスト）の生成を行う（ステップS511）。
【００７６】
このときのメッセージ内容は、図11の正規ARPリクエストRQ21に示すように、送信元MACアドレス情報エリアD1301にネットワーク不正接続防止装置20のMACアドレスを設定し、送信元IPアドレス情報エリアD1302にネットワーク不正接続防止装置20のIPアドレスを設定し、送信先IPアドレス情報エリアD1304にARP送出先アドレスデータベース検索（ステップS502）によって判明した端末のIPアドレス（図示の例では正規端末11のIPアドレス）が設定される。
【００７７】
そして、ARP送信部222は、ネットワークインタフェース部21からの捜索ARPリクエスト送信指示（ステップS522）により、正規ARPリクエストRQ21をLAN100に送信する（ステップS522）。
【００７８】
このようにして、ネットワーク不正接続防止装置20から送信された正規ARPリクエストRQ21（図9のステップS71）が正規端末11宛の正規ARPリクエストの場合、正規端末11は正規ARPリプライRP21をネットワーク不正接続防止装置20に返す（ステップS72）。この正規ARPリプライRP21のメッセージ内容は、図11に示すように、タイプ＝“806”でARPフレームであることが示され、オプションコード＝“02”でARPリプライであることが設定されるとともに、送信元MACアドレス情報エリアD1305に正規端末11のMACアドレスが設定され、送信元IPアドレス情報エリアD1306に正規端末11のIPアドレスが設定され、送信先IPアドレス情報エリアD1307にネットワーク不正接続防止装置20のMACアドレスが設定され、そして送信先IPアドレス情報エリアD1308にネットワーク不正接続防止装置20のIPアドレスが設定されることになる。
【００７９】
ネットワーク不正接続防止装置20が正規ARPリプライRP21を受信すると、上述したように図5のステップS422により、不正でないと判断して無視する（ステップS74）。
【００８０】
更に、次のARP送出先アドレス検索が、捜索要求処理部26からのARP送出先アドレスデータベース検索指示（ステップS502）によって再開される。その後の制御方法は上記と同様に実行される。図9の例では、正規ARPリクエストRQ24及びその他全IPアドレスに正規ARPリクエストを送信する（ステップS84）。図示の例では、端末11及び10は応答しない（ステップS82,S83）。
【００８１】
そして、ARP送出先アドレスデータベース検索指示（ステップS502）により全端末のIPアドレスにARPリクエストを送信し終えると（ステップS85）、全処理終了（ステップS503）となり、不正端末検索フローが終了する。このとき、タイマー処理部262はリセットされ、タイマーが満了になると再び不正端末検索フローが開始され（ステップS86）、ネットワーク不正接続防止装置20から正規端末11宛の正規ARPリクエストRQ21が再度送信され（ステップS87）、正規端末11からは上記と同様に正規ARPリプライRP21が返送される（ステップS88）。
【００８２】
一方、ネットワーク不正接続防止装置20は、正規ARPリプライRP21を受信した後、図示の如く不正端末12宛の正規ARPリクエストRQ22を送信したとすると（ステップS75）、不正端末11から正規ARPリプライRP22を受信した結果（ステップS77）、上述したように図5のステップS422において不正と判定した場合には（ステップS78）、妨害ARPリクエストRQ23を送信する（ステップS79）。この妨害ARPリクエストRQ23は図8に示した妨害ARPリクエストRQ15〜RQ18と同様のものであり、これを不正端末12に送信することによって、不正端末12においてはIPアドレスが重複することとなり通信妨害を可能にする。
【００８３】
なお、上記と同様に妨害ARPリクエストを受信したときには一時的に閉塞したように見えるがしばらくするとIPパケット送信可能な状態となる（ステップS80）ので、この実施例においても、タイマーにより繰り返し妨害ARPリクエストを送信することが好ましい。
実施例（4）：図12及び図5
この実施例（4）は上記の実施例（1）の変形例を示すものである。すなわち、図12を図6と比較すると分かるように、不正端末12からの正規ARPリクエストRQ2に関しては、図6のフレームではVLANタグが付いていないが、図12の実施例においては、VLANタグが追加され、図2に示すVLAN環境のネットワークに対応させている。
【００８４】
すなわち、上記の実施例（1）において、図5に示すステップS402においてVLANタグの解析を行い、ステップS451においてVLANタグの付与を行う点が異なっており、ネットワーク不正接続防止装置20は、正規ARPリクエストRQ2を受信すると（図4(2)のステップS13）、ネットワークインタフェース部21内のVLANタグ解析部211で受信パケット内のVLANタグ情報の有無を判定し、VLANタグ情報が有る場合にはこのVLANタグ情報を解析し（ステップS402）、VLANタグ情報を上記のアドレス情報に加えた形の入力情報としてARP処理部22を起動し、ARP受信部221でARPメッセージか否かの判定を行い（ステップS411）、送信元・送信先のアドレス情報（MACアドレス、IPアドレス）の抽出を行う。
【００８５】
ARP受信部221でARPメッセージと判定したARP処理部22は、抽出したVLANタグ情報及びアドレス情報を入力情報として不正接続判定部23を起動する。起動された不正接続判定部23は不正検出部231により、入力VLANタグ情報及び入力アドレス情報の組がネットワーク管理者によって予め登録されたアドレス情報データベース部224に存在するか否かを判定する（ステップS422）。
【００８６】
この判定処理によって、アドレス情報データベース部24内に入力VLANタグ情報及び入力アドレス情報の組が存在する時には、図4（1）に示すようなシーケンスとなるが、存在しない場合には、不正接続と見做し、妨害処理部25内の妨害制御部251を起動する。
【００８７】
妨害制御部251では、ステップS431において、送信元IPアドレス情報エリアD1102と送信先IPアドレス情報エリアD1104が同一であることから、ネットワーク接続時と判断してVLANタグ情報及び不正端末12のアドレス情報を入力情報とし、妨害ARPリプライ及び妨害ARPリクエスト送信要求を、ARP処理部22内のARP送信部222に対して行う。ARP送信部222は、入力情報を元に上記と同様にARPメッセージを生成する（ステップS441）。ARP処理部22は、生成したメッセージ及びVLANタグ情報を入力してネットワークインタフェース部21を起動する。
【００８８】
ネットワークインタフェース部21では、VLANタグ付与部212において、VLAN環境下であれば入力VLANタグ情報を送信メッセージのVLANタグ情報として設定し、図12に示す妨害ARPリプライ（RP1,RP2）及び妨害ARPリクエスト（RQ3,RQ5）をARPメッセージとして送出する（ステップS452）。
【００８９】
ここで、受信時のVLANタグ情報と同じVLANタグ情報を挿入して送信することにより、図2に示すようなVLAN環境下でも、VLANタグが例えば、“A”であれば、これに対応するセグメント“A”内における不正端末12に対し確実に妨害ARPメッセージが届き妨害可能となる。
実施例（5）：図13及び図5
この実施例（5）は上記の実施例（2）の変形例を示したもので、上記の実施例（4）と実施例（1）との関係と同様に、入力情報としてアドレス情報に加えてVLANタグ情報を用いたものである。
【００９０】
すなわち、図7（2）に示す不正端末12からの正規ARPリクエストRQ13として図13に示すように、パケット内にVLANタグ情報が付加されており、ネットワーク不正接続防止装置20においては、上記の実施例（4）と同様にアドレス情報に加えてVLANタグ情報も不正アドレスの判定に用い（図5のステップS422）、図7（2）の場合には不正アドレスが検出されるので、ステップS431に進む。このとき、実施例（2）の場合には、端末間通信を行う場合であるので、この実施例(5)においても同様にステップS433に進んで図13に示す妨害ARPリクエストRQ13の送信要求を行う。
【００９１】
そして、ステップS441でARPメッセージを生成する際に、不正端末12から受信した正規ARPリクエストRQ13に設定されているVLANタグ情報をVLANタグ付与部212が付与することにより（ステップS451）、妨害ARPリクエストRQ13が送信され、VLAN環境下に置かれている不正端末12においても確実に妨害ARPメッセージが届き妨害可能となる。
実施例（6）：図14及び図10
この実施例（6）は上記の実施例（3）の変形例を示すものである。すなわち、図14に示すように、ネットワーク不正接続防止装置20からの正規ARPリクエストRQ21,RQ22は、図11に示したパケットに対して、VLANタグ情報が加えられた形になっており、これは図10に示すフローチャートにおいて、ARP処理部22がARPメッセージを生成する際（ステップS511）、アドレス情報に加えてVLANタグ情報も併せてVLANタグ付与部212において付与し（ステップS521）、捜索ARPリクエストとして送信するものである（ステップS522）。
【００９２】
したがって、このような捜索ARPリクエストを受けた端末においては、図14に示すように正規ARPリクエストのARPリプライRP21,RP22として、正規ARPリクエストに設定されているVLANタグ情報をそのまま追加したフレームが返送されて来るので、図9で説明したように、不正端末12からの正規ARPリプライRP22は、ネットワーク不正接続防止装置20において不正検出されることとなる（ステップS78）。
【００９３】
なお、本発明におけるARPリクエストは、IPアドレスが既知の通信相手の物理アドレス（もしくはリンク層アドレス）を求めるプロトコルの規定(RFC826)に基づく通信フレームであるARPフレームの1つを単に指すものではなく、本発明の主旨に照らしてその目的及び機能を有するあらゆる通信フレームとして構成し得るものである。
【００９４】
（付記１）
端末よりLANを介して受信したARPリクエストに含まれる該端末の個有情報が登録済であるか否かを判定する第1ステップと、
該第1ステップで未登録と判定されたとき、該端末を不正端末と見做して該端末の個有情報が重複して存在することを示す妨害メッセージを送信する第2ステップと、
を備えたことを特徴とするネットワーク不正接続防止方法。
（付記２）
付記1において、
該ARPリクエストが、ネットワーク接続時に送信されるARPリクエストであることを特徴とするネットワーク不正接続防止方法。
（付記３）
付記1において、
該ARPリクエストが、該不正端末が他の端末に対して個有情報を要求するときのARPリクエストであることを特徴とするネットワーク不正接続防止方法。
（付記４）
付記1において、
該第2ステップが、該妨害メッセージを一定時間間隔毎に所定回数くり返して送信するステップを含むことを特徴とするネットワーク不正接続防止方法。
（付記５）
付記1において、
該妨害メッセージは、該不正端末が該個有情報の重複状態となるように、送信元アドレスに該不正端末の個有情報を設定した妨害リプライ及び妨害リクエストの内の少なくともいずれか一方から成ることを特徴とするネットワーク不正接続防止方法。
（付記６）
付記1において、
該個有情報が、MACアドレス又はIPアドレスであることを特徴とするネットワーク不正接続防止方法。
（付記７）
登録済の端末の各々に対してARPリクエストを順次送信する第1ステップと、
該ARPリクエストに応答して返って来たARPリプライから、その端末の個有情報が登録済であるか否かを判定する第2ステップと、
該第2ステップで未登録と判定されたとき、該端末を不正端末と見做して該端末の個有情報が重複して存在することを示す妨害メッセージを送信する第3ステップと、
を備えたことを特徴とするネットワーク不正接続防止方法。
（付記８）
付記1から7のいずれか1つにおいて、
該個有情報が、判定対象としてアドレス及びVLANタグを含み、該妨害メッセージが該アドレス及び該VLANタグを含むことを特徴とするネットワーク不正接続防止方法。
（付記９）
端末よりLANを介して受信したARPリクエストに含まれる該端末の個有情報が登録済であるか否かを判定する第1手段と、
該第1手段で未登録と判定されたとき、該端末を不正端末と見做して該端末の個有情報が重複して存在することを示す妨害メッセージを送信する第2手段と、
を備えたことを特徴とするネットワーク不正接続防止装置。
（付記１０）
付記９において、
該ARPリクエストが、ネットワーク接続時に送信されるARPリクエストであることを特徴とするネットワーク不正接続防止装置。
（付記１１）
付記９において、
該ARPリクエストが、該不正端末が他の端末に対して個有情報を要求するときのARPリクエストであることを特徴とするネットワーク不正接続防止装置。
（付記１２）
付記９において、
該第2手段が、該妨害メッセージを一定時間間隔毎に所定回数くり返して送信する手段を含むことを特徴とするネットワーク不正接続防止装置。
（付記１３）
付記９において、
該妨害メッセージは、該不正端末が該個有情報の重複状態となるように、送信元アドレスに該不正端末の個有情報を設定した妨害リプライ及び妨害リクエストの内の少なくともいずれか一方から成ることを特徴とするネットワーク不正接続防止装置。
（付記１４）
付記９において、
該個有情報が、MACアドレス又はIPアドレスであることを特徴とするネットワーク不正接続防止装置。
（付記１５）
登録済の端末の各々に対してARPリクエストを順次送信する第1手段と、
該ARPリクエストに応答して返って来たARPリプライから、その端末の個有情報が登録済であるか否かを判定する第2手段と、
該第2手段で未登録と判定されたとき、該端末を不正端末と見做して該端末の個有情報が重複して存在することを示す妨害メッセージを送信する第3手段と、
を備えたことを特徴とするネットワーク不正接続防止装置。
（付記１６）
付記９から１５のいずれか1つにおいて、
該個有情報が、判定対象としてアドレス及びVLANタグを含み、該妨害メッセージが、該アドレス及び該VLANタグを含むことを特徴とするネットワーク不正接続防止装置。
【図面の簡単な説明】
【００９５】
【図１】本発明に係るネットワーク不正接続防止方法及び装置に用いられるシステム構成例を示した図である。
【図２】本発明に係るネットワーク不正接続防止方法及び装置をVLAN環境で用いたときのシステム構成図である。
【図３】本発明に係るネットワーク不正接続防止方法を実現する装置の構成例を示したブロック図である。
【図４】図3に示した本発明に係るネットワーク不正接続防止装置の実施例(1)の動作を示したシーケンス図である。
【図５】図3に示した本発明に係るネットワーク不正接続防止装置の受信動作例を示したフローチャート図である。
【図６】図4に示したシーケンス例で用いるARPプロトコルの概略フレーム（VLANタグ無し時）を示したフォーマット図である。
【図７】図3に示した本発明に係るネットワーク不正接続防止装置の実施例(2)の動作を示したシーケンス図である。
【図８】図7に示したシーケンス例で用いるARPプロトコルの概略フレーム（VLANタグ無し時）を示したフォーマット図である。
【図９】図3に示した本発明に係るネットワーク不正接続防止装置の実施例(3)の動作を示したシーケンス図である。
【図１０】図3に示した本発明に係るネットワーク不正接続防止装置の送信動作例を示したフローチャート図である。
【図１１】図9に示したシーケンス例で用いるARPプロトコルの概略フレーム（VLANタグ無し時）を示したフォーマット図である。
【図１２】図4に示したシーケンス例で実施例(4)として用いるARPプロトコルの概略フレーム（VLANタグ付き時）を示したフォーマット図である。
【図１３】図7に示したシーケンス例で実施例(5)として用いるARPプロトコルの概略フレーム（VLANタグ付き時）を示したフォーマット図である。
【図１４】図9に示したシーケンス例で実施例(6)として用いるARPプロトコルの概略フレーム（VLANタグ付き時）を示したフォーマット図である。
【符号の説明】
【００９６】
10，11  正規端末
12  不正端末
20  ネットワーク不正接続防止装置
30  ハブ
21  ネットワークインタフェース部
211  VLANタグ解析部
212  VLANタグ不要部
22  ARP処理部
221  ARP受信部
222  ARP送信部
23  不正接続判定部
231  不正検出部
24  アドレス情報データベース部
25  妨害処理部
100  LAN
110  VLAN
251  妨害制御部
252  受信アドレスバッファ
253  タイマー制御部
26  捜索要求処理部
261  捜索制御部
262  タイマー処理部
RP(RP1, RP11, RP12)  ARPリプライ
RQ(RQ1, RQ2 ,RQ3, RQ4, RQ11, RQ12)  ARPリクエスト
図中、同一符号は同一又は相当部分を示す。
【図１】
2005198090.tif 000003
【図２】
2005198090.tif 000004
【図３】
2005198090.tif 000005
【図４】
2005198090.tif 000006
【図５】
2005198090.tif 000007
【図６】
2005198090.tif 000008
【図７】
2005198090.tif 000009
【図８】
2005198090.tif 000010
【図９】
2005198090.tif 000011
【図１０】
2005198090.tif 000012
【図１１】
2005198090.tif 000013
【図１２】
2005198090.tif 000014
【図１３】
2005198090.tif 000015
【図１４】
2005198090.tif 000016