(57)【要約】【課題】  未登録端末からのＡＲＰ要求に対し登録済端末に記憶される通信可能な端末のＭＡＣアドレスが通信可能に書き換えられるなどの問題を防止する。【解決手段】  ネットワークに接続された複数の端末同士の通信が許可された端末のＭＡＣアドレスを記憶したデータベースを備えたアクセス制御装置であって、  受信したＡＲＰ要求の送信元ＭＡＣアドレスと前記データベースに記憶されたＭＡＣアドレスとを比較し、送信元ＭＡＣアドレスが端末同士の通信が許可されている前記データベースに登録済の端末からのＡＲＰ要求であった場合、端末同士の通信が許可されていない前記データベースに未登録の端末にブロードキャストされた前記送信元端末のＭＡＣアドレスを取り消す偽装のＭＡＣアドレスを送信する第１の手段を備えたことを特徴とする。【選択図】      図２
2007104058.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに接続された複数の端末同士の通信が許可された端末のＭＡＣアドレスを記憶したデータベースを備えたアクセス制御装置であって、
受信したＡＲＰ要求の送信元ＭＡＣアドレスと前記データベースに記憶されたＭＡＣアドレスとを比較し、送信元ＭＡＣアドレスが端末同士の通信が許可されている前記データベースに登録済の端末からのＡＲＰ要求であった場合、端末同士の通信が許可されていない前記データベースに未登録の端末にブロードキャストされた前記送信元端末のＭＡＣアドレスを取り消す偽装のＭＡＣアドレスを送信する第１の手段を備えたことを特徴とするアクセス制御装置。
【請求項２】
受信したＡＲＰ要求の送信元ＭＡＣアドレスと前記データベースに記憶されたＭＡＣアドレスとを比較し、送信元ＭＡＣアドレスが端末同士の通信が許可されていない前記データベースに未登録の端末からのＡＲＰ要求であった場合、端末同士の通信が許可されている前記データベースに登録済の端末にブロードキャストされた前記送信元端末のＭＡＣアドレスを取り消す偽装のＭＡＣアドレスを送信する第２の手段さらに備えたことを特徴とする請求項１に記載のアクセス制御装置。
【請求項３】
受信したＡＲＰ応答の送信元ＭＡＣアドレスと前記データベースに記憶されたＭＡＣアドレスとを比較し、送信元ＭＡＣアドレスが端末同士の通信が許可されていない前記データベースに未登録の端末から自アクセス制御装置へのＡＲＰ応答であった場合、自アクセス制御装置のデータベースに記憶された前記未登録の送信元端末のＭＡＣアドレスを取り消す偽装のＭＡＣアドレスを送信する第３の手段さらに備えたことを特徴とする請求項１または２に記載のアクセス制御装置。
【請求項４】
受信したＡＲＰ要求の送信元ＭＡＣアドレスと前記データベースに記憶されたＭＡＣアドレスとを比較し、送信元ＭＡＣアドレスが端末同士の通信が許可されていない前記データベースに未登録の端末からのＡＲＰ要求であった場合、当該ＡＲＰ要求の送信先の登録済端末にユニキャストされた前記送信元端末のＭＡＣアドレスを取り消す偽装のＭＡＣアドレスを所定時間継続して送信する第４の手段さらに備えたことを特徴とする請求項１に記載のアクセス制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークにおける端末間の通信のアクセス制御装置に関する。
【背景技術】
【０００２】
ネットワークにおける端末間の通信のアクセス制御に関する技術では、一般的にネットワークの構成は、複数台の通信端末と一台のアクセス制御装置がネットワークに接続しており、前記アクセス制御装置が未登録の通信端末の不正アクセスを禁止することにより検疫ネットワークを構成している。
【０００３】
図３は、従来における検疫ネットワークの一構成例を示す図であり、通信端末１（ＩＰアドレス：ｉｐ１，ＭＡＣアドレス：ｍａｃ１）と、通信端末２（ＩＰアドレス：ｉｐ２，ＭＡＣアドレス：ｍａｃ２）と、通信端末３（ＩＰアドレス：ｉｐ３，ＭＡＣアドレス：ｍａｃ３）と、通信端末４（ＩＰアドレス：ｉｐ４，ＭＡＣアドレス：ｍａｃ４）と、アクセス制御装置１１（ＩＰアドレス：ｉｐ１１，ＭＡＣアドレス：ｍａｃ１１）が、ネットワーク１０に接続している。
これらの各通信端末１〜４の間でＩＰ通信を行なうには、通信相手となる通信端末のＩＰアドレスとＭＡＣ（Media Access Control）アドレスが必要である。ところが、ＩＰアドレスは一般的に知られているが、ＭＡＣアドレスは一般的に知られていない。そこで、ＩＰアドレスからＭＡＣアドレスを取得する（解決する）ためにＡＲＰ（Address Resolution Protocol）と呼ばれるプロトコルがある。
各通信端末１〜４は、解決したＩＰアドレスとＭＡＣアドレスの組を記憶するデータベースを備え、解決したＩＰアドレスとＭＡＣアドレスの組を当該データベース内のＡＲＰテーブルに記憶する。
アクセス制御装置１１は、送信元アドレスと送信先アドレスの組毎に通信の許可不許可を制御するアクセスポリシーの情報を記憶するデータベースを備えている。
従来において、このような機能を有するアクセス制御装置として、下記の特許文献１に開示されたアクセス制御装置がある。
【特許文献１】特開２００４−１８５４９８号公報
【０００４】
図４は、特許文献１に開示されたアクセス制御装置が持つアクセスポリシーの一例を示す図である。
ここで、ＡＲＰの処理手順を、通信端末１が、通信端末２のＩＰアドレスからＭＡＣアドレスを解決する場合で説明する。
通信端末１が、ＡＲＰ要求（送信元ＩＰアドレス：ｉｐ１，送信元ＭＡＣアドレス：ｍａｃ１，送信先ＩＰアドレス：ｉｐ２，送信先ＭＡＣアドレス：FF-FF-FF-FF-FF-FF）を送信したとする。
ネットワーク１０は、送信先ＭＡＣアドレスがFF-FF-FF-FF-FF-FFであるので、ＡＲＰ要求を全ての通信端末１〜４とアクセス制御装置１１に届ける。全ての通信端末１〜４とアクセス制御装置１１に届く通信のことを、ブロードキャストと呼ぶ。
【０００５】
そこで、上記のＡＲＰ要求を受信した通信端末２では、ＡＲＰ応答（送信元ＩＰアドレス：ｉｐ２，送信元ＭＡＣアドレス：ｍａｃ２，送信先ＩＰアドレス：ｉｐ１，送信先ＭＡＣアドレス：ｍａｃ１）を送信する。ネットワーク１０は、送信先ＭＡＣアドレスがｍａｃ１であるので、ＡＲＰ応答を通信端末１に届ける。特定の通信端末に届く通信のことを、ユニキャストと呼ぶ。
上記のＡＲＰ応答を受信した通信端末１は、当該通信端末１のＡＲＰテーブルに、ＩＰアドレスとＭＡＣアドレスの組（ＩＰアドレス：ｉｐ２，ＭＡＣアドレス：ｍａｃ２）を記憶する。
ネットワークにおける端末間の通信のアクセス制御に関する技術では、アクセス制御装置１１の処理手順の概要は、下記の通りである。全てのブロードキャストされたＡＲＰ要求に対して、ＡＲＰ要求の送信元アドレスとＡＲＰ要求の送信先アドレスとの間の通信がアクセスポリシーで不許可ならば、アドレスを偽装したＡＲＰ要求またはＡＲＰ応答をアクセス制御装置１１からＡＲＰ要求の送信元と送信先に送信することで、ＡＲＰ要求の送信元通信端末とＡＲＰ要求の送信先通信端末との間の通信を不可能にする。
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、特許文献１の図４に記載されたアクセス制御装置の制御手順においては次のような問題がある。以下、図３の検疫ネットワーク構成において図４のアクセスポリシーが設定されていた場合を例に挙げて問題点を説明する。
【０００７】
１番目の問題点は、下記の通りである。
通信端末２が、ＡＲＰ要求（送信元ＩＰアドレス：ｉｐ２，送信元ＭＡＣアドレス：ｍａｃ２，送信先ＩＰアドレス：ｉｐ３，送信先ＭＡＣアドレス：FF-FF-FF-FF-FF-FF）を送信したとする。上記のＡＲＰ要求を受信した通信端末１が、ＡＲＰテーブルに記憶されているＩＰアドレスとＭＡＣアドレスの組を（ＩＰアドレス：ｉｐ２，ＭＡＣアドレス：ｍａｃ２）にＯＳによって更新する場合と更新しない場合がある。更新した場合、図４のアクセスポリシーでは通信端末１と通信端末２との通信は不許可に設定されているにも拘わらず通信端末１と通信端末２との間の通信が可能になってしまう場合がある。
【０００８】
２番目の問題点は、下記の通りである。
通信端末１が、ＡＲＰ要求（送信元ＩＰアドレス：ｉｐ１，送信元ＭＡＣアドレス：ｍａｃ１，送信先ＩＰアドレス：ｉｐ２，送信先ＭＡＣアドレス：FF-FF-FF-FF-FF-FF）を送信したとする。上記のＡＲＰ要求を受信した通信端末３またはアクセス制御装置１１が、ＡＲＰテーブルに記憶されているＩＰアドレスとＭＡＣアドレスの組を（ＩＰアドレス：ｉｐ１，ＭＡＣアドレス：ｍａｃ１）に更新する場合がある。更新した場合、図４のアクセスポリシーでは通信端末１と通信端末３またはアクセス制御装置１１との通信は不許可に設定されているにも拘わらず、実際は通信端末１と通信端末３またはアクセス制御装置１１との間の通信が可能になってしまう場合がある。
３番目の問題点は、下記の通りである。
通信端末１が、ＡＲＰ応答（送信元ＩＰアドレス：ｉｐ１，送信元ＭＡＣアドレス：ｍａｃ１，送信先ＩＰアドレス：ｉｐ１１，送信先ＭＡＣアドレス：ｍａｃ１１）を送信したとする。上記のＡＲＰ応答を受信したアクセス制御装置１１が、ＡＲＰテーブルに記憶されているＩＰアドレスとＭＡＣアドレスの組を（ＩＰアドレス：ｉｐ１，ＭＡＣアドレス：ｍａｃ１）に更新する場合がある。更新した場合、図４のアクセスポリシーでは通信端末１とアクセス制御装置１１との通信は不許可に設定されているにも拘わらず、実際は通信端末１とアクセス制御装置１１との間の通信が可能になってしまう場合がある。
【０００９】
４番目の問題点は、下記の通りである。
特許文献１の図４に記載の動作が終了した後に、通信端末１が、ＡＲＰ要求（送信元ＩＰアドレス：ｉｐ１，送信元ＭＡＣアドレス：ｍａｃ１，送信先ＩＰアドレス：ｉｐ２，送信先ＭＡＣアドレス：ｍａｃ２）を送信する場合がある。上記のＡＲＰ要求は、ブロードキャストではなくユニキャストであるので、アクセス制御装置１１に届かない。上記のＡＲＰ要求を受信した通信端末２が、ＡＲＰテーブルに記憶されているＩＰアドレスとＭＡＣアドレスの組を（ＩＰアドレス：ｉｐ１，ＭＡＣアドレス：ｍａｃ１）に更新する場合がある。更新した場合、図４のアクセスポリシーでは通信端末１と通信端末２との通信は不許可に設定されているにも拘わらず通信端末１と通信端末２との間の通信が可能になってしまう場合がある。
【００１０】
５番目の問題点は、下記の通りである。
アクセス制御装置１１が持つアクセスポリシーについて、２台の通信端末間における通信の許可不許可が変更された場合、２台の通信端末のどちらかがＡＲＰ要求を送信した後に、２台の通信端末間のＩＰ通信の可能不可能が変わる。
ところが、通信端末のＡＲＰテーブルに記憶されているＩＰアドレスとＭＡＣアドレスの組は、解決後一定時間は維持されるため、通信端末はＩＰ通信のたびにＡＲＰ要求を送信しない。
したがって、２台の通信端末間における通信の許可不許可が変更された直後に、２台の通信端末間におけるＩＰ通信の可能不可能が変わらない場合がある。
【００１１】
本発明の目的は、上記のアクセス制御に関する問題点を解決することができるアクセス制御装置を提供することである。
【課題を解決するための手段】
【００１２】
上記目的を達成するために、本発明に係るアクセス制御装置は、ネットワークに接続された複数の端末同士の通信が許可された端末のＭＡＣアドレスを記憶したデータベースを備えたアクセス制御装置であって、
受信したＡＲＰ要求の送信元ＭＡＣアドレスと前記データベースに記憶されたＭＡＣアドレスとを比較し、送信元ＭＡＣアドレスが端末同士の通信が許可されている前記データベースに登録済の端末からのＡＲＰ要求であった場合、端末同士の通信が許可されていない前記データベースに未登録の端末にブロードキャストされた前記送信元端末のＭＡＣアドレスを取り消す偽装のＭＡＣアドレスを送信する第１の手段を備えたことを特徴とする。
また、受信したＡＲＰ要求の送信元ＭＡＣアドレスと前記データベースに記憶されたＭＡＣアドレスとを比較し、送信元ＭＡＣアドレスが端末同士の通信が許可されていない前記データベースに未登録の端末からのＡＲＰ要求であった場合、端末同士の通信が許可されている前記データベースに登録済の端末にブロードキャストされた前記送信元端末のＭＡＣアドレスを取り消す偽装のＭＡＣアドレスを送信する第２の手段さらに備えたことを特徴とする。
また、受信したＡＲＰ応答の送信元ＭＡＣアドレスと前記データベースに記憶されたＭＡＣアドレスとを比較し、送信元ＭＡＣアドレスが端末同士の通信が許可されていない前記データベースに未登録の端末から自アクセス制御装置へのＡＲＰ応答であった場合、自アクセス制御装置のデータベースに記憶された前記未登録の送信元端末のＭＡＣアドレスを取り消す偽装のＭＡＣアドレスを送信する第３の手段さらに備えたことを特徴とする。
また、受信したＡＲＰ要求の送信元ＭＡＣアドレスと前記データベースに記憶されたＭＡＣアドレスとを比較し、送信元ＭＡＣアドレスが端末同士の通信が許可されていない前記データベースに未登録の端末からのＡＲＰ要求であった場合、当該ＡＲＰ要求の送信先の登録済端末にユニキャストされた前記送信元端末のＭＡＣアドレスを取り消す偽装のＭＡＣアドレスを所定時間継続して送信する第４の手段さらに備えたことを特徴とする。
【発明の効果】
【００１３】
本発明によれば、未登録端末からのＡＲＰ要求に対し登録済端末に記憶される通信可能な端末のＭＡＣアドレスが通信可能に書き換えられたり、登録済端末からのＡＲＰ要求が未登録端末にブロードキャストされて登録済端末と未登録端末との間の通信が可能になってしまうなど、上記の各問題を解決することができる。
【発明を実施するための最良の形態】
【００１４】
以下、本発明の実施の形態について図面を参照して詳細に説明する。
図１は、図３の検疫ネットワーク構成おいて、アクセス制御装置１１に設定されたアクセスポリシーの例を示す図である。
一般的に、検疫ネットワークでは、通信端末とアクセス制御装置を、登録支援端末，登録済端末，未登録端末の３種類に分類する。登録支援端末とは、ネットワークへの接続の許可申請を受け付ける、またはセキュリティパッチを提供する端末である。図１、図３の例では、通信端末４が登録支援端末に相当する。登録済端末とは、ネットワークへの接続が許可されていて、かつセキュリティパッチのバージョンなどのネットワークへの接続条件を満たしている端末である。未登録端末とは、ネットワークへの接続が許可されていない、またはセキュリティパッチのバージョンなどのネットワークへの接続条件を満たしていない端末である。
【００１５】
本実施形態におけるアクセス制御装置１１が持つアクセスポリシーは、登録支援端末と登録済端末のＭＡＣアドレスを記憶し、端末の種類の組毎に通信の許可・不許可を記憶している。
ＭＡＣアドレスが、登録支援端末または登録済端末のＭＡＣアドレス以外ならば、未登録端末のＭＡＣアドレスである。
図４のアクセスポリシーと図１のアクセスポリシーについて、送信元アドレスと送信先アドレスの組毎に通信の許可・不許可を比較すると、すべて等しい。
【００１６】
本実施形態におけるアクセス制御装置１１の一動作例について、図２のフローチャートを参照しながら説明する。
アクセス制御装置１１は、ＡＲＰパケットを受信するたびに、下記の動作を実行する。ただし、Ｘをアクセス制御装置１１が受信したＡＲＰパケット、Ｙをアクセス制御装置１１が送信するＡＲＰパケット、Ｚを利用申請している固定なＭＡＣアドレスとする。
＜ステップ１００＞
ＸがＡＲＰ要求の場合（Ｘのオペレーションコードがリクエストの場合）、ステップ２００へ進む。さもなければ、ＸがＡＲＰ応答の場合（Ｘのオペレーションコードがリプライの場合）であるので、ステップ３００へ進む。
＜ステップ２００＞
Ｘの送信元ＭＡＣアドレスが、Ｚの場合、終了する。さもなければ、ステップ２１０へ進む。
＜ステップ２１０＞
Ｘの送信元ＭＡＣアドレスが、アクセス制御装置１１のＭＡＣアドレスの場合、終了する。さもなければ、ステップ２２０へ進む。
＜ステップ２２０＞
Ｘの送信元ＭＡＣアドレスが、登録支援端末のＭＡＣアドレスの場合、終了する。さもなければ、ステップ２３０へ進む。
＜ステップ２３０＞
Ｘの送信元ＭＡＣアドレスが、登録済端末のＭＡＣアドレスの場合、ステップ２３１へ進む。さもなければ、ステップ２４０へ進む。
【００１７】
＜ステップ２３１＞
次のＡＲＰ要求Ｙ１を送信して、ステップ２３２へ進む。
（１）Ｙ１の送信元ＩＰアドレス：Ｘの送信元ＩＰアドレス
（２）Ｙ１の送信元ＭＡＣアドレス：Ｚ
（３）Ｙ１の送信先ＩＰ，ＭＡＣアドレス：過去一定時間内にブロードキャストされた、ＡＲＰ要求（送信元ＩＰアドレス：Ｘの送信元ＩＰアドレス）の送信先である未登録端末のＩＰ，ＭＡＣアドレス、またはＡＲＰ要求（送信先ＩＰアドレス：Ｘの送信元ＩＰアドレス）の送信元である未登録端末のＩＰ，ＭＡＣアドレス。
＜ステップ２３２＞
Ｘの送信先ＩＰアドレスに対応するＭＡＣアドレスが、登録支援端末または登録済端末のＭＡＣアドレスの場合、終了する。さもなければ、ステップ２３３へ進む。
【００１８】
＜ステップ２３３＞
Ｘの送信先ＩＰアドレスに対応するＭＡＣアドレスが、未登録端末のＭＡＣアドレスの場合である。次のＡＲＰ要求Ｙ２とＡＲＰ応答Ｙ３を送信して、終了する。
（１）Ｙ２の送信元ＩＰアドレス：Ｘの送信元ＩＰアドレス
（２）Ｙ２の送信元ＭＡＣアドレス：Ｚ
（３）Ｙ２の送信先ＩＰアドレス：Ｘの送信先ＩＰアドレス
（４）Ｙ２の送信先ＭＡＣアドレス：Ｘの送信先ＭＡＣアドレス
（５）Ｙ３の送信元ＩＰアドレス：Ｘの送信先ＩＰアドレス
（６）Ｙ３の送信元ＭＡＣアドレス：Ｚ
（７）Ｙ３の送信先ＩＰアドレス：Ｘの送信元ＩＰアドレス
（８）Ｙ３の送信先ＭＡＣアドレス：Ｘの送信元ＭＡＣアドレス
＜ステップ２４０＞
Ｘの送信元ＭＡＣアドレスが、未登録端末のＭＡＣアドレスの場合である。次のＡＲＰ要求Ｙ４とＡＲＰ要求Ｙ５を送信して、ステップ２４１へ進む。
（１）Ｙ４の送信元ＩＰアドレス：Ｘの送信元ＩＰアドレス
（２）Ｙ４の送信元ＭＡＣアドレス：Ｚ
（３）Ｙ４の送信先ＩＰアドレス：アクセス制御装置のＩＰアドレス
（４）Ｙ４の送信先ＭＡＣアドレス：FF-FF-FF-FF-FF-FF
（５）Ｙ５の送信元ＩＰアドレス：Ｘの送信元ＩＰアドレス
（６）Ｙ５の送信元ＭＡＣアドレス：Ｘの送信元ＭＡＣアドレス
（７）Ｙ５の送信先ＩＰ，ＭＡＣアドレス：登録支援端末のＩＰ，ＭＡＣアドレス
【００１９】
＜ステップ２４１＞
Ｘの送信先ＩＰアドレスに対応するＭＡＣアドレスが、登録支援端末のＭＡＣアドレスの場合、終了する。さもなければ、ステップ２４２へ進む。
＜ステップ２４２＞
Ｘの送信先ＩＰアドレスに対応するＭＡＣアドレスが、登録済端末または未登録端末のＭＡＣアドレスの場合である。次のＡＲＰ要求Ｙ６とＡＲＰ応答Ｙ７を送信して、終了する。
（１）Ｙ６の送信元ＩＰアドレス：Ｘの送信元ＩＰアドレス
（２）Ｙ６の送信元ＭＡＣアドレス：Ｚ
（３）Ｙ６の送信先ＩＰアドレス：Ｘの送信先ＩＰアドレス
（４）Ｙ６の送信先ＭＡＣアドレス：Ｘの送信先ＭＡＣアドレス
（５）Ｙ７の送信元ＩＰアドレス：Ｘの送信先ＩＰアドレス
（６）Ｙ７の送信元ＭＡＣアドレス：Ｚ
（７）Ｙ７の送信先ＩＰアドレス：Ｘの送信元ＩＰアドレス
（８）Ｙ７の送信先ＭＡＣアドレス：Ｘの送信元ＭＡＣアドレス
【００２０】
＜ステップ３００＞
Ｘの送信元ＭＡＣアドレスが、Ｚの場合、終了する。さもなければ、ステップ３１０へ進む。
＜ステップ３１０＞
Ｘの送信元ＭＡＣアドレスが、アクセス制御装置のＭＡＣアドレスの場合、終了する。さもなければ、ステップ３２０へ進む。
【００２１】
＜ステップ３２０＞
Ｘの送信元ＭＡＣアドレスが、登録支援端末のＭＡＣアドレスの場合、終了する。さもなければ、ステップ３３０へ進む。
＜ステップ３３０＞
Ｘの送信元ＭＡＣアドレスが、登録済端末のＭＡＣアドレスの場合、終了する。さもなければ、ステップ３４０へ進む。
【００２２】
＜ステップ３４０＞
Ｘの送信元ＭＡＣアドレスが、未登録端末のＭＡＣアドレスの場合である。次のＡＲＰ応答Ｙ８を送信して、終了する。
（１）Ｙ８の送信元ＩＰアドレス：Ｘの送信元ＩＰアドレス
（２）Ｙ８の送信元ＭＡＣアドレス：Ｚ
（３）Ｙ８の送信先ＩＰアドレス：アクセス制御装置のＩＰアドレス
（４）Ｙ８の送信先ＭＡＣアドレス：アクセス制御装置のＭＡＣアドレス
そして、ステップ２３２およびステップ２４１において、Ｘの送信先ＩＰアドレスに対応するＭＡＣアドレスが解決できない場合は、次のＡＲＰ要求Ｙ９を送信して解決する。
（１）Ｙ９の送信元ＩＰアドレス：アクセス制御装置のＩＰアドレス
（２）Ｙ９の送信元ＭＡＣアドレス：アクセス制御装置のＭＡＣアドレス
（３）Ｙ９の送信先ＩＰアドレス：Ｘの送信先ＩＰアドレス
（４）Ｙ９の送信先ＭＡＣアドレス：FF-FF-FF-FF-FF-FF
また、ステップ２３３のＡＲＰ要求Ｙ２およびＡＲＰ応答Ｙ３と、ステップ２４２のＡＲＰ要求Ｙ６およびＡＲＰ応答Ｙ７は、将来一定時間内は定期的に送信し続ける。
以上の制御を行うことにより、従来技術の第１〜第４の問題点が解決する。
【００２３】
一方、第５の問題点については、次のようにして解決する。
すなわち、任意の通信端末Ｔについて、端末の種類（登録支援端末，登録済端末，未登録端末）が変更された直後に、アクセス制御装置１１が下記の動作を実行する。
【００２４】
Ａ．通信端末Ｔの種類が登録支援端末に変更された場合、下記のＡＲＰ要求Ｙ１０〜Ｙ１１を送信する。
（１）Ｙ１０の送信元ＩＰ，ＭＡＣアドレス：通信端末ＴのＩＰ，ＭＡＣアドレス
（２）Ｙ１０の送信先ＩＰアドレス：アクセス制御装置１１のＩＰアドレス
（３）Ｙ１０の送信先ＭＡＣアドレス：FF-FF-FF-FF-FF-FF
（４）Ｙ１１の送信元ＩＰ，ＭＡＣアドレス：登録済端末および未登録端末のＩＰ，ＭＡＣアドレス
（５）Ｙ１１の送信先ＩＰ，ＭＡＣアドレス：通信端末ＴのＩＰ，ＭＡＣアドレス
【００２５】
Ｂ．通信端末Ｔの種類が登録済端末に変更された場合、下記のＡＲＰ要求Ｙ１２〜Ｙ１５を送信する。
（１）Ｙ１２の送信元ＩＰ，ＭＡＣアドレス：通信端末ＴのＩＰ，ＭＡＣアドレス
（２）Ｙ１２の送信先ＩＰアドレス：アクセス制御装置１１のＩＰアドレス
（３）Ｙ１２の送信先ＭＡＣアドレス：FF-FF-FF-FF-FF-FF
（４）Ｙ１３の送信元ＩＰアドレス：通信端末ＴのＩＰアドレス
（５）Ｙ１３の送信元ＭＡＣアドレス：Ｚ
（６）Ｙ１３の送信先ＩＰ，ＭＡＣアドレス：未登録端末のＩＰ，ＭＡＣアドレス
（７）Ｙ１４の送信元ＩＰ，ＭＡＣアドレス：登録済端末のＩＰ，ＭＡＣアドレス
（８）Ｙ１４の送信先ＩＰ，ＭＡＣアドレス：通信端末ＴのＩＰ，ＭＡＣアドレス
（９）Ｙ１５の送信元ＩＰアドレス：未登録端末のＩＰアドレス
（１０）Ｙ１５の送信元ＭＡＣアドレス：Ｚ
（１１）Ｙ１５の送信先ＩＰ，ＭＡＣアドレス：通信端末ＴのＩＰ，ＭＡＣアドレス
【００２６】
Ｃ．通信端末Ｔの種類が未登録端末に変更された場合、下記のＡＲＰ要求Ｙ１６〜１８を送信する。
（１）Ｙ１６の送信元ＩＰアドレス：通信端末ＴのＩＰアドレス
（２）Ｙ１６の送信元ＭＡＣアドレス：Ｚ
（３）Ｙ１６の送信先ＩＰアドレス：アクセス制御装置１１のＩＰアドレス
（４）Ｙ１６の送信先ＭＡＣアドレス：FF-FF-FF-FF-FF-FF
（５）Ｙ１７の送信元ＩＰ，ＭＡＣアドレス：通信端末ＴのＩＰ，ＭＡＣアドレス
（６）Ｙ１７の送信先ＩＰ，ＭＡＣアドレス：登録支援端末のＩＰ，ＭＡＣアドレス
（７）Ｙ１８の送信元ＩＰアドレス：登録済端末および未登録端末のＩＰアドレス
（８）Ｙ１８の送信元ＭＡＣアドレス：Ｚ
（９）Ｙ１８の送信先ＩＰ，ＭＡＣアドレス：通信端末ＴのＩＰ，ＭＡＣアドレス
なお、アクセス制御装置１１が、過去一定時間内にブロードキャストされた、ＡＲＰ要求（送信元ＩＰアドレス：通信端末ＴのＩＰアドレス）の送信先である登録済端末のＩＰ，ＭＡＣアドレスと、ＡＲＰ要求（送信先ＩＰアドレス：通信端末ＴのＩＰアドレス）の送信元である登録済端末のＩＰ，ＭＡＣアドレスとを記憶して、ＡＲＰ要求Ｙ１０〜Ｙ１８の登録済端末のＩＰ，ＭＡＣアドレスのうち、記憶された登録済端末のＩＰ，ＭＡＣアドレスに対してだけ送信しても良い。
また、アクセス制御装置１１が、過去一定時間内にブロードキャストされた、ＡＲＰ要求（送信元ＩＰアドレス：通信端末ＴのＩＰアドレス）の送信先である未登録端末のＩＰ，ＭＡＣアドレスと、ＡＲＰ要求（送信先ＩＰアドレス：通信端末ＴのＩＰアドレス）の送信元である未登録端末のＩＰ，ＭＡＣアドレスとを記憶して、ＡＲＰ要求Ｙ１０〜Ｙ１８の未登録端末のＩＰ，ＭＡＣアドレスのうち、記憶された未登録端末のＩＰ，ＭＡＣアドレスに対してだけ送信しても良い。
【００２７】
第１番目の問題点が解決できたことを検証する。
図３の通信端末２（登録済端末）が、ＡＲＰ要求Ｙ（送信元ＩＰアドレス：ｉｐ２，送信元ＭＡＣアドレス：ｍａｃ２，送信先ＩＰアドレス：ｉｐ３，送信先ＭＡＣアドレス：FF-FF-FF-FF-FF-FF）を送信したとする。上記のＡＲＰ要求Ｙを受信したアクセス制御装置１１は、ステップ２３１でＡＲＰ要求Ｙ１（送信元ＩＰアドレス：ｉｐ２，送信元ＭＡＣアドレス：Ｚ，送信元ＩＰアドレス：ｉｐ１，送信元ＭＡＣアドレス：ｍａｃ１）を送信する。上記のＡＲＰ要求Ｙ１を受信した通信端末１は、ＡＲＰテーブルに記憶されているＩＰアドレスとＭＡＣアドレスの組を（ＩＰアドレス：ｉｐ２，ＭＡＣアドレス：Ｚ）に更新することで、通信端末１と通信端末２との間の通信が不可能になる。
すなわち、登録済み端末同士での通信があった場合には、未登録端末である通信端末１に届いているＭＡＣアドレスｉｐ２を取り消す偽装のＭＡＣアドレスをアクセス制御装置１１から送信する（ステップ２３０，２３１）ことにより、未登録端末である通信端末１と登録済端末である通信端末２との通信が可能になることを取り消す。
これにより、第１番目の問題点が解決できたことになる。
【００２８】
次に、第２番目の問題点が解決できたことを検証する。
通信端末１（未登録端末）が、ＡＲＰ要求Ｙ（送信元ＩＰアドレス：ｉｐ１，送信元ＭＡＣアドレス：ｍａｃ１，送信先ＩＰアドレス：ｉｐ２，送信先ＭＡＣアドレス：FF-FF-FF-FF-FF-FF）を送信したとする。上記のＡＲＰ要求Ｙを受信したアクセス制御装置１１は、ステップ２４０でＡＲＰ要求Ｙ４（送信元ＩＰアドレス：ｉｐ１，送信元ＭＡＣアドレス：Ｚ，送信先ＩＰアドレス：アクセス制御装置１１のＩＰアドレス，送信先ＭＡＣアドレス：FF-FF-FF-FF-FF-FF）を送信する。上記のＡＲＰ要求Ｙ４を受信した通信端末３（登録済端末）またはアクセス制御装置１１が、ＡＲＰテーブルに記憶されているＩＰアドレスとＭＡＣアドレスの組を（ＩＰアドレス：ｉｐ１，ＭＡＣアドレス：Ｚ）に更新することで、未登録端末である通信端末１と他の全ての端末とが通信不可能になる。ただし、同時にＡＲＰ要求Ｙ５を送信することによって、未登録端末である通信端末１と登録支援端末４との通信は可能となる。結果として、未登録端末である通信端末１と通信端末３（登録済端末）またはアクセス制御装置１１との間の通信が不可能になる。
すなわち、未登録端末からのＡＲＰ要求に対しては、登録済端末に届いているＭＡＣアドレスを取り消す偽装のＭＡＣアドレスを送信し、未登録端末とアクセス制御装置または登録済端末とが通信可能になることを取り消す。
【００２９】
次に、第３番目の問題点が解決できたことを検証する。
通信端末１（未登録端末）が、ＡＲＰ応答Ｙ（送信元ＩＰアドレス：ｉｐ１，送信元ＭＡＣアドレス：ｍａｃ１，送信先ＩＰアドレス：ｉｐ１１，送信先ＭＡＣアドレス：ｍａｃ１１）を送信したとする。上記のＡＲＰ応答Ｙを受信したアクセス制御装置は、ステップ３４０でＡＲＰ応答Ｙ８（送信元ＩＰアドレス：ｉｐ１，送信元ＭＡＣアドレス：Ｚ，送信先ＩＰアドレス：アクセス制御装置１１のＩＰアドレス，送信先ＭＡＣアドレス：アクセス制御装置１１のＭＡＣアドレス）を送信する。上記のＡＲＰ応答Ｙ８を受信したアクセス制御装置１１は、ＡＲＰテーブルに記憶されているＩＰアドレスとＭＡＣアドレスの組を（ＩＰアドレス：ｉｐ１，ＭＡＣアドレス：Ｚ）に更新することで、未登録端末である通信端末１とアクセス制御装置１１との間の通信が不可能になる。
すなわち、未登録端末からのＡＲＰ応答に対しては、登録済み端末に届いているＭＡＣアドレスを取り消す偽装のＭＡＣアドレスを送信し、未登録端末とアクセス制御装置または登録済端末とが通信可能になることを取り消す。
【００３０】
次に、第４番目の問題点が解決できたことを検証する。
特許文献１の図４に記載の動作が終了した後に、アクセス制御装置１１が、ステップ２４２のＡＲＰ要求Ｙ６（送信元ＩＰアドレス：ｉｐ１，送信元ＭＡＣアドレス：Ｚ，送信先ＩＰアドレス：ｉｐ２，送信先ＭＡＣアドレス：ｍａｃ２）を将来一定時間内は定期的に送信し続ける。上記のＡＲＰ要求Ｙ６を受信した通信端末２が、ＡＲＰテーブルに記憶されているＩＰアドレスとＭＡＣアドレスの組を（ＩＰアドレス：ｉｐ１，ＭＡＣアドレス：Ｚ）に更新することで、通信端末１と通信端末２との間の通信が不可能になる。
すなわち、登録済端末である通信端末２にユニキャストされたＭＡＣアドレスｍａｃ１を偽装のＭＡＣアドレスＺに書き換えるＡＲＰ要求Ｙ６を一定時間内は定期的に送信することで、通信端末１（未登録端末）と通信端末２（登録済端末）との間の通信が可能になることを取り消す。
【００３１】
次に、第５番目の問題点が解決できたことを検証する。
例えば、通信端末１について端末の種類が未登録端末から登録済端末に変更された場合、すなわち通信端末１と通信端末２または通信端末３またはアクセス制御装置１１との間の通信が“許可”に変更された場合、変更された直後にアクセス制御装置１１がＡＲＰ要求Ｙ１２〜Ｙ１５を送信する。
ＡＲＰ要求Ｙ１２を受信した通信端末２または通信端末３またはアクセス制御装置１１が、ＡＲＰテーブルに記憶されているＩＰアドレスとＭＡＣアドレスの組を（ＩＰアドレス：ｉｐ１，ＭＡＣアドレス：ｍａｃ１）に更新する。
ＡＲＰ要求Ｙ１４を受信した通信端末１が、ＡＲＰテーブルに記憶されているＩＰアドレスとＭＡＣアドレスの組を（ＩＰアドレス：ｉｐ２，ＭＡＣアドレス：ｍａｃ２），（ＩＰアドレス：ｉｐ３，ＭＡＣアドレス：ｍａｃ３），（ＩＰアドレス：ｉｐ１１，ＭＡＣアドレス：ｍａｃ１１）に更新する。
上記の更新により、通信端末１と通信端末２または通信端末３またはアクセス制御装置１１との間の通信が可能になる。
【図面の簡単な説明】
【００３２】
【図１】本発明のアクセス制御装置が持つアクセスポリシーの一例を示す図である。
【図２】本発明のアクセス制御装置の一動作例を示すフローチャートである。
【図３】本発明が対象とする検疫ネットワークの一構成例を示す図である。
【図４】特許文献１のアクセス制御装置が持つアクセスポリシーの一例を示す図である。
【符号の説明】
【００３３】
１，２，３，４  通信端末
１０  ネットワーク
１１  アクセス制御装置
【図１】
2007104058.tif 000003
【図２】
2007104058.tif 000004
【図３】
2007104058.tif 000005
【図４】
2007104058.tif 000006