(57)【要約】【課題】ＭＡＣアドレスを偽装してネットワークに接続している端末の通信接続を防止するとともに、例えば、ネットワークを移動する端末に対しても、効率的に不正接続防止可能としている。【解決手段】ネットワーク上に送信される、通信相手のＩＰアドレスからＭＡＣアドレスを解決するための要求パケットを収集し、前記要求パケットの送信元のＭＡＣアドレスの重複を検知する手段、ＭＡＣアドレスの重複が検出された前記要求パケットの送信元の端末に対して、不正接続防止装置のＭＡＣアドレスを、前記通信相手のＭＡＣアドレスとして偽装した応答パケットを送信する手段と、前記偽装した応答パケットを受信した前記端末から、送信先のＩＰアドレスを前記通信相手のＩＰアドレスとし前記送信先のＭＡＣアドレスを前記偽装したＭＡＣアドレスとした接続要求を受けると、前記端末に対して認証を行う手段と、前記認証を通過した前記端末に対して、前記通信相手への接続を許可する制御を行う手段を備える。【選択図】図４
2016187113.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク上に送信される、通信相手のＩＰ（Internet Protocol）アドレスからＭＡＣ（Media Access Control）アドレスを解決するための要求パケットを収集し、前記要求パケットの送信元のＭＡＣアドレスの重複を検知する第１の手段と、
ＭＡＣアドレスの重複が検出された前記要求パケットの送信元の端末に対して、不正接続防止装置のＭＡＣアドレスを、前記通信相手のＭＡＣアドレスとして偽装した応答パケットを送信する第２の手段と、
前記偽装した応答パケットを受信した前記端末から、前記通信相手の宛先ＭＡＣアドレスを前記偽装したＭＡＣアドレスとした接続要求を受けると、前記端末に対して認証を行う第３の手段と、
前記認証を通過した前記端末に対して、前記通信相手への接続を許可する制御を行う第４の手段と、
を備えた、ことを特徴とする不正接続防止装置。
【請求項２】
前記第３手段は、前記接続要求に対して、前記端末に認証画面を表示させる応答を送信する手段と、
前記端末上の前記認証画面から入力された認証情報を受信し、記憶部に登録された正規な端末の認証情報と照合することで、認証を行う手段と、
を備えた、ことを特徴とする請求項１記載の不正接続防止装置。
【請求項３】
前記第４の手段は、前記通信相手の正しいＭＡＣアドレスを設定し偽装を解除した応答パケットを生成し、前記応答パケットを、前記認証を通過した前記端末に送信する、ことを特徴とする請求項１又は２記載の不正接続防止装置。
【請求項４】
ネットワークに接続する不正接続防止装置を用いて、端末のネットワークへの不正接続を防止する方法であって、
前記ネットワーク上に送信される、通信相手のＩＰ（Internet Protocol）アドレスからＭＡＣ（Media Access Control）アドレスを解決するための要求パケットを収集し、前記要求パケットの送信元のＭＡＣアドレスの重複を検知する第１の工程と、
ＭＡＣアドレスの重複が検出された前記要求パケットの送信元の端末に対して、前記不正接続防止装置のＭＡＣアドレスを、前記通信相手のＭＡＣアドレスとして偽装した応答パケットを送信する第２の工程と、
前記偽装した応答パケットを受信した前記端末から、前記通信相手の宛先ＭＡＣアドレスを前記偽装したＭＡＣアドレスとした接続要求を受けると、前記端末に対して認証を行う第３の工程と、
前記認証を通過した前記端末に対して、前記通信相手への接続を許可する制御を行う第４の工程と、
を含む、ことを特徴とする不正接続防止方法。
【請求項５】
前記第３の工程において、
前記接続要求に対して、前記端末に、認証画面を表示させる応答を送信し、
前記端末上の前記認証画面から入力された認証情報を受信し、記憶部に登録された正規な端末の認証情報と照合することで認証を行う、
ことを特徴とする請求項４記載の不正接続防止方法。
【請求項６】
前記第４の工程において、
前記通信相手の正しいＭＡＣアドレスを設定し偽装を解除した応答パケットを生成し、前記応答パケットを、前記認証を通過した前記端末に送信する、ことを特徴とする請求項４又は５記載の不正接続防止方法。
【請求項７】
前記第１の工程で、送信元のＭＡＣアドレスの重複を検知したタイミングで、前記第２の工程、つづいて前記第３の工程を実行する、ことを特徴とする請求項４乃至６のいずれか１項に記載の不正接続防止方法。
【請求項８】
ネットワーク上の複数の端末と、
前記ネットワークに接続する不正接続防止装置と、
を備え、
前記不正接続防止装置は、
複数の前記端末から前記ネットワーク上に送信される、通信相手の端末のＩＰ（Internet Protocol）アドレスからＭＡＣ（Media Access Control）アドレスを解決するための要求パケットを収集し、前記要求パケットの送信元のＭＡＣアドレスの重複を検知する第１の手段と、
ＭＡＣアドレスの重複が検出された前記要求パケットの送信元の端末に対して、不正接続防止装置のＭＡＣアドレスを、前記通信相手のＭＡＣアドレスとして偽装した応答パケットを送信する第２の手段と、
前記偽装した応答パケットを受信した前記端末から、宛先ＭＡＣアドレスを前記偽装したＭＡＣアドレスとした接続要求を受けると、前記端末に対して認証を行う第３の手段と、
前記認証を通過した前記端末に対して、前記通信相手の端末への接続を許可する制御を行う第４の手段と、
を備えた、ことを特徴とするネットワークシステム。
【請求項９】
前記第４の手段は、前記通信相手の端末の正しいＭＡＣアドレスを設定し偽装を解除した応答パケットを生成し、前記応答パケットを、前記認証を通過した前記端末に送信する、ことを特徴とする請求項８記載のネットワークシステム。
【請求項１０】
ネットワーク上に送信される、通信相手のＩＰ（Internet Protocol）アドレスからＭＡＣ（Media Access Control）アドレスを解決するための要求パケットを収集し、前記要求パケットの送信元のＭＡＣアドレスの重複を検知する第１の処理と、
ＭＡＣアドレスの重複が検出された前記要求パケットの送信元の端末に対して、不正接続防止装置のＭＡＣアドレスを、前記通信相手のＭＡＣアドレスとして偽装した応答パケットを送信する第２の処理と、
前記偽装した応答パケットを受信した前記端末から、前記通信相手の宛先ＭＡＣアドレスを前記偽装したＭＡＣアドレスとした接続要求を受けると、前記端末に対して認証を行う第３の処理と、
前記認証を通過した前記端末に対して、前記通信相手への接続を許可する制御を行う第４の処理と、
をコンピュータに実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、不正接続防止装置と不正接続防止方法とシステム並びにプログラムに関する。
【背景技術】
【０００２】
例えばＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）を用いた通信では、ネットワーク層(レイヤ３)のＩＰ(Internet Protocol)アドレスを用いて通信相手を特定するが、例えばネットワークセグメント内では、データリンク層（レイヤ２）のアドレスであるＭＡＣ（Media Access Control）アドレスをイーサネット（登録商標）ヘッダに設定した上で、当該フレームを送信する。ＡＲＰ(Address Resolution Protocol:アドレス解決プロトコル)は、通信相手のＩＰアドレスからＭＡＣアドレスを知るために用いられる。通信相手のＭＡＣアドレスを知りたい場合、通信相手のＩＰアドレスを設定したＡＲＰ要求（ARP request）パケットを送信元ノードが接続するネットワークセグメント上の全てのノードにブロードキャストする。ＡＲＰ要求パケットを受信したノードは、当該ＡＲＰ要求パケットに設定された宛先のＩＰアドレスが自ノードのＩＰアドレスと一致している場合、自ノードのＭＡＣアドレスを、当該ＡＲＰ要求パケットにおける通信相手のＭＡＣアドレス欄（問い合わせ対象のＭＡＣアドレス）に設定し、ＡＲＰ応答（ARP reply）パケットとして、ＡＲＰ要求パケットを送信したノードに返信する。なお、ＡＲＰ要求パケットは、ハードウェア種別（16ビット：イーサネットの場合、0x0001:0xは16進表示を表す）、プロトコル（16ビット：TCP/IPでは0x0800）、ＨＬＥＮ（hardware address length: 8ビット：ＭＡＣアドレスの長さ）、ＰＬＥＮ（protocol address length：8ビット、例えばVersion 4のＩＰアドレスは４バイトであるため0x04）、コード（動作）（16ビット：ＡＲＰ要求＝１、ＡＲＰ応答＝２）、送信元ＭＡＣアドレス（6バイト）、送信元ＩＰアドレス（４バイト）、目標ＭＡＣアドレス（6バイト：探索対象のＭＡＣアドレス）、目標ＩＰアドレス（４バイト）の各ビットフィールドを有している（詳細は、IETF(Internet Engineering Task Force)によるRFC（Request For Comments） 826等が参照される）。
【０００３】
ネットワークへの接続を許可されていない装置（端末）（「不許可装置」、「不許可端末」ともいう）を、当該ネットワークに接続させないようにする技術として、例えば以下が知られている。
【０００４】
例えば特許文献１には、ネットワークへの接続を許可された装置のＭＡＣアドレスを格納する承認リスト記憶部を備え、ネットワークにブロードキャストされたＡＲＰ要求の送信元のＭＡＣアドレスが前記承認リスト記憶部に存在しない場合、この送信元を不許可装置とし、ＡＲＰ要求に対して前記情報処理装置のＭＡＣアドレスとして偽りのＭＡＣアドレスを有するＡＲＰ応答パケットを前記不許可装置へ送信する不正接続防止装置が開示されている。不許可装置であるか否かをＭＡＣアドレスに登録されているか否かで判断し、登録されていないＭＡＣアドレスを持つ装置は、不正な装置と判断して、偽装したＡＲＰ応答パケットを送信してネットワークへの接続を防止する。
【０００５】
特許文献２には、正規端末、不正端末が接続される複数のポートを含むネットワーク装置は、ユーザ端末のＭＡＣアドレスと当該ユーザ端末が接続されるポートの情報とを対応付けたユーザ端末情報を保持するユーザ端末情報テーブルを備え、一定の時間内におけるユーザ端末情報テーブルの保持内容の差分からＭＡＣアドレスの重複を検出する構成が開示されている。
【０００６】
特許文献３には、ネットワークセグメントに接続された端末を検知する端末検知部と、前記端末検知部によって検知された被検知端末が用いるＩＰアドレスと、所定のＩＰアドレスとを比較することで、ＩＰアドレスの重複を検出する重複検出部と、重複検出部によってＩＰアドレスの重複が検出された場合に、被検知端末によって被検知端末のＭＡＣアドレスが通知された可能性のある通知対象端末に対して、被検知端末以外の端末のＭＡＣアドレスを通知する通知部を備えた情報処理装置が開示されている。
【０００７】
特許文献４には、承認済の情報処理装置の識別子をホワイトリストに記録し、また必要であれば、未承認の装置の識別子をブラックリストに記録する方法等では、同一の識別子を有する情報処理装置が複数接続された場合に、これらの情報処理装置を識別（区別）することが困難であり、承認済の情報処理装置と同一の識別子で偽装された未承認の情報処理装置が接続された場合に、これらの情報処理装置を識別し、承認済か未承認であるかを判断することは困難である、という問題に対処する構成が開示されている。未登録の端末は、偽りのＭＡＣアドレスに偽装したＡＲＰ応答パケットを送ることで偽装し、認証を行い、認証を通過した場合、ＭＡＣアドレスとスイッチのネットワークセグメントの組み合わせをホワイトリストに登録し、接続を許可し、認証がNGであった場合は接続を防止する。
【０００８】
特許文献５には、パケット監視手段が、情報処理端末からのＡＲＰ要求を受け取り、アクセス制御手段が当該ＡＲＰ要求の送信元アドレス情報から情報処理端末を特定し、アクセス制御手段が、アクセスポリシに基づき、情報処理端末とネットワーク上に接続された他の情報処理端末間の通信許可/通信不許可を判断し、通信遮断手段が、通信不許可を判断された情報処理端末間の通信を遮断するための情報（偽りのＡＲＰ応答）を一定時間毎に繰り返して送信する構成が開示されている。
【先行技術文献】
【特許文献】
【０００９】
【特許文献１】特許第４１７４３９２号公報
【特許文献２】特開２００９−６５３０３号公報
【特許文献３】特開２０１２−１３８７２７号公報
【特許文献４】特開２０１２−３４１２９号公報
【特許文献５】国際公開第２００９／０３１４５３号パンフレット
【発明の概要】
【発明が解決しようとする課題】
【００１０】
以下の分析は、本発明者によってなされたものである。
【００１１】
特許文献１に開示された技術では、不許可端末であっても、許可されたＭＡＣアドレスにＭＡＣアドレスを書き換えると、ネットワークへの接続が可能となる。ＭＡＣアドレスは、例えばＯＳ（Operating System）等の機能で書き換えることが可能であり、また、ＭＡＣアドレスはブロードキャスト通信で送信されるため、例えばＬＡＮ（Local Area Network）アナライザ等を利用してネットワーク上の通信をキャプチャすることで収集することも容易である。
【００１２】
特許文献２に開示された技術では、重複して接続された場合、初めに接続された端末がＭＡＣアドレスを不正に書き換えて接続した端末であっても、正規の端末としてみなして接続を許可し、どちらの端末が不正であるか判断することができない。
【００１３】
特許文献３に開示された技術においても、特許文献２と同様に、重複して接続された場合、初めに接続された端末を正規の端末としてみなして接続を許可し、どちらの端末が不正であるか判断することができない。
【００１４】
特許文献４に開示された技術では、接続場所を変更する度に認証チェックが必要であり、特に、接続場所が頻繁に変更される無線LAN環境では運用負荷が高い。
【００１５】
特許文献５に開示された技術では、通信不許可を判断された情報処理端末間の通信を遮断するための情報（偽りのＡＲＰ応答）を一定時間毎に繰り返して送信することが必要とされる。偽りのＡＲＰ応答の繰り返し送信は、通信不許可を判断された情報処理端末間のアクセスポリシが許可に更新されるまで行われる。
【００１６】
したがって、本発明の目的は、上記問題点を解消可能とする不正接続防止装置、方法、ネットワークシステム並びにプログラムを提供することにある。
【課題を解決するための手段】
【００１７】
本発明の一つの側面によれば、ネットワーク上に送信される、通信相手のＩＰアドレスからＭＡＣアドレスを解決するための要求パケットを収集し、前記要求パケットの送信元のＭＡＣアドレスの重複を検知する第１の手段と、
ＭＡＣアドレスの重複が検出された前記要求パケットの送信元の端末に対して、不正接続防止装置のＭＡＣアドレスを、前記通信相手のＭＡＣアドレスとして偽装した応答パケットを送信する第２の手段と、
前記偽装した応答パケットを受信した前記端末から、前記通信相手の宛先ＭＡＣアドレスを前記偽装したＭＡＣアドレスとした接続要求を受けると、前記端末に対して認証を行う第３の手段と、
前記認証を通過した前記端末に対して、前記通信相手への接続を許可する制御を行う第４の手段と、を備えた不正接続防止装置が提供される。
【００１８】
本発明の別の側面によれば、ネットワークに接続する不正接続防止装置を用いて、端末のネットワークへの不正接続を防止する方法であって、
前記ネットワーク上に送信される、通信相手のＩＰ（Internet Protocol）アドレスからＭＡＣ（Media Access Control）アドレスを解決するための要求パケットを収集し、前記要求パケットの送信元のＭＡＣアドレスの重複を検知する第１の工程と、
ＭＡＣアドレスの重複が検出された前記要求パケットの送信元の端末に対して、不正接続防止装置のＭＡＣアドレスを、前記通信相手のＭＡＣアドレスとして偽装した応答パケットを送信する第２の工程と、
前記偽装した応答パケットを受信した前記端末から、前記通信相手の宛先ＭＡＣアドレスを前記偽装したＭＡＣアドレスとした接続要求を受けると、前記端末に対して認証を行う第３の工程と、
前記認証を通過した前記端末に対して、前記通信相手への接続を許可する制御を行う第４の工程と、
を含む、不正接続防止方法が提供される。
【００１９】
本発明のさらに別の側面によれば、ネットワーク上の複数の端末と、前記ネットワークに接続する不正接続防止装置と、を備え、前記不正接続防止装置は、前記ネットワーク上に送信される、通信相手の端末のＩＰ（Internet Protocol）アドレスからＭＡＣ（Media Access Control）アドレスを解決するための要求パケットを収集し、前記要求パケットの送信元のＭＡＣアドレスの重複を検知する第１の手段と、
ＭＡＣアドレスの重複が検出された前記要求パケットの送信元の端末に対して、不正接続防止装置のＭＡＣアドレスを、前記通信相手の端末のＭＡＣアドレスとして偽装した応答パケットを送信する第２の手段と、
前記偽装した応答パケットを受信した前記端末から、送信先のＩＰアドレスを前記通信相手の端末とし宛先ＭＡＣアドレスを前記偽装したＭＡＣアドレスとした接続要求を受けると、前記端末に対して認証を行う第３の手段と、
前記認証を通過した前記端末に対して、前記通信相手への接続を許可する制御を行う第４の手段と、
を備えたネットワークシステムが提供される。
【００２０】
本発明のさらに別の側面によれば、ネットワーク上に送信される、通信相手のＩＰ（Internet Protocol）アドレスからＭＡＣ（Media Access Control）アドレスを解決するための要求パケットを収集し、前記要求パケットの送信元のＭＡＣアドレスの重複を検知する第１の処理と、
ＭＡＣアドレスの重複が検出された前記要求パケットの送信元の端末に対して、不正接続防止装置のＭＡＣアドレスを、前記通信相手のＭＡＣアドレスとして偽装した応答パケットを送信する第２の処理と、
前記偽装した応答パケットを受信した前記端末から、前記通信相手の宛先ＭＡＣアドレスを前記偽装したＭＡＣアドレスとした接続要求を受けると、前記端末に対して認証を行う第３の処理と、
前記認証を通過した前記端末に対して、前記通信相手への接続を許可する制御を行う第４の処理と、
をコンピュータに実行させるプログラムが提供される。本発明のさらに別の側面によれば、該プログラムを記録したコンピュータ読み出し可能な記録媒体（半導体メモリ、磁気／光記録媒体等：non-transitory computer readable recording medium）が提供される。
【発明の効果】
【００２１】
本発明によれば、ＭＡＣアドレスを偽装してネットワークに接続している端末の通信接続を防止するとともに、例えば、ネットワークを移動する端末に対しても、効率的に不正接続の防止を可能としている。
【図面の簡単な説明】
【００２２】
【図１】本発明の例示的な実施の形態のシステム構成の一例を模式的に示す図である。
【図２】図１の実施の形態の動作の一例を説明する流れ図である。
【図３】（Ａ）は、図１の実施の形態の具体例を模式的なシーケンスで例示する図である。（Ｂ）はＡＲＰ要求パケットとイーサネット（登録商標）フレームヘッダの一部、（Ｃ）はＡＲＰ応答パケットとイーサネット（登録商標）フレームヘッダの一部を模式的に例示する図である。
【図４】本発明の一形態を模式的に例示した図である。
【発明を実施するための形態】
【００２３】
本発明の一態様によれば、図４を参照すると、不正接続防止装置１１は、ＭＡＣアドレス重複検出手段１２１と、偽装応答パケット送信手段１２２と、認証手段１２３と、接続制御手段１２４と、を備えている。ＭＡＣアドレス重複検出手段１２１は、ネットワーク上に送信される、通信相手のＩＰアドレスからＭＡＣアドレスを解決するための要求パケットを収集し、前記要求パケットの情報を分析して、前記要求パケットの送信元のＭＡＣアドレスの重複を検知することが可能である。
【００２４】
偽装応答パケット送信手段１２２は、ＭＡＣアドレスの重複が検出された前記要求パケットの送信元の端末に対して、不正接続防止装置１１のＭＡＣアドレスを、前記通信相手のＭＡＣアドレスとして偽装した応答パケットを送信することが可能である。
【００２５】
不正接続防止装置１１が、前記偽装した応答パケットを受信した前記端末から、送信先のＩＰアドレスを前記通信相手のＩＰアドレスとし、宛先ＭＡＣアドレスを偽装ＭＡＣアドレスとした接続要求を受けると（当該接続要求は、本来、前記端末において前記通信相手へ送信することを意図したものであるが、当該接続要求の宛先ＭＡＣアドレスには偽装されたＭＡＣアドレスに設定されているため、当該接続要求は不正接続防止装置１１宛てに送信される）、認証手段１２３は、前記端末に対して認証（端末のユーザの認証）を行うことが可能である。
【００２６】
接続制御手段１２４は、前記認証を通過した前記端末に対して、前記通信相手への接続を許可する制御を行うことが可能である。
【００２７】
本発明の態様の一つによれば、認証手段１２３は、前記接続要求に対して、前記端末に、認証画面を表示させる応答を送信し、前記端末上の前記認証画面から入力された認証情報を受信して、正規な端末の認証情報を登録した記憶部（例えば図１の認証情報ＤＢ２４）を参照して認証を行う、構成としてもよい。
【００２８】
本発明の態様の一つによれば、接続制御手段１２４は、前記通信相手の正しいＭＡＣアドレスを設定し偽装を解除した応答パケットを生成し、前記応答パケットを、前記認証を通過した前記端末に送信する構成としてもよい。
【００２９】
本発明の態様の一つによれば、ＭＡＣアドレス重複検出手段１２１が、送信元のＭＡＣアドレスの重複を検知したタイミングで、偽装応答パケット送信手段１２２、つづいて認証手段１２３での処理を実行するようにしてもよい。
【００３０】
本発明の一形態によれば、ＭＡＣアドレスを偽装してネットワークに接続する端末に対して選択的にネットワークへの接続を防止している。さらに、ネットワークを移動する端末に対しても、運用負荷がかからず、効率的な方法で対処可能とする。
【００３１】
図１は、本発明の例示的な一実施形態における不正接続防止装置１１と、ネットワークシステムの基本概念を説明する図である。
【００３２】
ネットワーク上にブロードキャストされたＡＲＰ要求パケット（フレームのヘッダの宛先ＭＡＣアドレスは"0xFF-FF-FF-FF-FF-FF"）を監視する不正接続防止装置１１で、ＡＲＰ要求パケットの送信元のＭＡＣアドレスの重複を検知すると、当該送信元のＭＡＣアドレスの重複を検知したタイミングで、重複したＭＡＣアドレスを持つ全ての端末へ偽ＡＲＰ応答を送信することで、当該端末のネットワークへの接続を防止し、ＨＴＴＰ（Hyper Text Transfer Protocol）でのユーザ認証を行わせる。
【００３３】
そして、認証を通過した端末のみに対して、防止を解除するパケットを送信することで、正規の端末のみ、ネットワークへの接続を可能とする。
【００３４】
本発明の一形態によれば、不正接続防止装置１１は、以下の二つの機能を具備している。
【００３５】
（１）不正接続防止装置１１に、送信元のＭＡＣアドレス情報が付加されているＡＲＰ要求パケット収集機能に加えて、ＡＲＰ要求パケットから収集したＭＡＣアドレスを比較する機能を備えている。ＭＡＣアドレス比較機能で重複したＭＡＣアドレスを持つ複数の端末（ノード）の検知が可能となる。
【００３６】
（２）ＡＲＰ要求パケットからＭＡＣアドレスの重複が検知された全ての端末（ノード）に対して、ＭＡＣアドレスを偽装したＡＲＰ応答パケットを送信することで、当該端末によるネットワークへの接続を防止し、当該端末から、偽装したＭＡＣアドレスへのアクセスが行われた際に、ユーザ認証画面のみ表示を可能とさせる。当該端末からの認証が成功した場合、当該端末についてのみ偽装を解除する正しいＡＲＰ応答パケットを送信する。
【００３７】
これらの機能により、ＭＡＣアドレスが重複した端末が検知された場合、正しい端末のみネットワークへの接続を許可することが可能となる。
【００３８】
また、認証要求について、ＭＡＣアドレスの重複が検出されたタイミングでのみ行うことで、効率化を図る。
【００３９】
特に制限されるものではないが、例示的な実施の形態では、ＩｐＶ４(Internet Protocol Version  4)の例に即して説明する。
【００４０】
図１を参照すると、ネットワークシステムは、不正接続防止装置１１、許可端末２１、ＭＡＣアドレスを偽装した不許可端末２２（以下、単に「不許可端末」と称する）、許可端末２３、及び、認証情報データベース（ＤＢ）２４を、備える。なお、図１等に示される「端末」を、ホスト、ノード（ネットワークノード）、情報処理装置、情報処理端末等に置き換えてもよいことは勿論である。図１において、説明の簡単のため、端末は、許可端末２１、２３、不許可端末２２の３台が例示されているが、端末の台数は、上記に制限されるものでないことは勿論である。
【００４１】
次に、図１の各構成要素について説明する。
【００４２】
不正接続防止装置１１は、不正接続防止装置１１に接続するネットワーク３０を監視し、当該ネットワーク３０への接続が許可されていない端末の接続を防止する。なお、図１では、説明の簡単のため、不正接続防止装置１１には、１つのネットワーク３０（ネットワークセグメント）が接続された構成とされているが、複数のネットワーク（ネットワークセグメント）が不正接続防止装置１１に接続される構成としてもよいことは勿論である。あるいは、不正接続防止装置１１を複数のノードとして分散配置する構成としてもよい。
【００４３】
接続が許可されていない端末に対して、通信先のＭＡＣアドレスを偽りのＭＡＣアドレスに偽装した、ＡＲＰ応答パケットを送信することにより、通信先への接続を防止する。また、重複したＭＡＣアドレスを持つ端末に対しても偽装したＡＲＰ応答パケットを送信し、当該端末の利用者に対して、ユーザ認証を実施させる。ユーザ認証を通過した正規端末に対してのみ、正しい通信先のＭＡＣアドレスを設定することで、ＭＡＣアドレスの偽装を解除する偽装解除ＡＲＰ応答パケットを送信する。
【００４４】
許可端末２１は、ネットワーク３０への接続を許可された端末である。
【００４５】
不許可端末２２はネットワーク３０への接続を許可されていない端末であるが、ＭＡＣアドレスを許可端末２１の持つＭＡＣアドレスに書き換えることで、ネットワーク３０へ接続が可能となる端末である。
【００４６】
許可端末２３は、許可端末２１、不許可端末２２が通信相手とする端末である（サーバ機など）。
【００４７】
認証情報データベース（ＤＢ）２４は、重複したＭＡＣアドレスを持つ端末に対して行わせるユーザ認証に利用する認証情報（ユーザ名、パスワード）が格納されている。
【００４８】
不正接続防止装置１１は、ＡＲＰ収集部１１１、重複判定部１１２、承認リスト１１３、接続端末リスト１１４、偽装ＡＲＰ生成部１１５、ＡＲＰ送信部１１６、通信応答部１１７、認証制御部１１８、認証情報ＤＢ２４、及び、解除ＡＲＰ生成部１１９を備えている。
【００４９】
ＡＲＰ収集部１１１は、受信したＡＲＰ要求パケットを確認し、重複判定部１１２に収集したＡＲＰ要求パケットの送信元ＭＡＣアドレス、ＶＬＡＮ  ＩＤ（Virtual Local Area Network Identity）、ネットワークセグメント情報を通知する。ＶＬＡＮ  ＩＤはデータリンク層（レイヤ２）であるイーサネット（登録商標）フレームヘッダのＶＬＡＮ  ＴＡＧに含まれるＶＬＡＮ  ＩＤ（１２ビットフィールド）から取得される。ネットワークセグメント情報は、例えば３２ビットのＩＰアドレス（ネットワークアドレスとホストアドレス）におけるネットワークアドレスである。
【００５０】
承認リスト１１３には、ネットワーク３０への接続を許可された端末の情報が格納されている（例えば当該端末のＩＰアドレス、ＭＡＣアドレス）。
【００５１】
接続端末リスト１１４には、ネットワーク３０に接続している正規端末の情報が格納されている（ＭＡＣアドレス、ＩＰアドレス、ＶＬＡＮ  ＩＤ、ネットワークセグメント情報、認証フラグ）。許可端末２１が認証を通過したタイミングで接続端末リスト１１４に、許可端末２１の情報が、上記正規端末の情報として、設定される。
【００５２】
重複判定部１１２は、ＡＲＰ収集部１１１から通知されたＡＲＰ要求パケットの送信元ＭＡＣアドレスを確認する。その後、重複判定部１１２は、承認リスト１１３を確認し、承認リスト１１３に登録されている端末であった場合、通知されたＡＲＰ要求パケットの送信元ＭＡＣアドレス、ＶＬＡＮ  ＩＤ、ネットワークセグメント情報が、接続端末リスト１１４に登録されているか否かを確認する。
【００５３】
確認の結果、通知されたＡＲＰ要求パケットの送信元ＭＡＣアドレス、ＶＬＡＮ  ＩＤ、ネットワークセグメント情報が接続端末リスト１１４に登録されていた場合、重複判定部１１２は、重複が発生したと判断し、偽装ＡＲＰ生成部１１５に対して、重複した送信元ＭＡＣアドレスを持つ端末宛てに、目標ＭＡＣアドレス（ＡＲＰ要求により解決されるＭＡＣアドレス）を、偽りのＭＡＣアドレス（不正接続防止装置１１のＭＡＣアドレス）に偽装した、ＡＲＰ応答（リプライ）パケットを生成する指示を送る。
【００５４】
通知されたＡＲＰ要求パケットの送信元ＭＡＣアドレス、ＶＬＡＮ  ＩＤ、ネットワークセグメント情報が接続端末リスト１１４に登録されていない場合、重複判定部１１２は、重複が発生していないと判断し、接続端末リスト１１４に、通知されたＡＲＰ要求パケットの送信元ＭＡＣアドレス、ＶＬＡＮ  ＩＤ、ネットワークセグメント情報を保存する。
【００５５】
偽装ＡＲＰ生成部１１５は、重複判定部１１２によって通知された内容でＡＲＰ応答パケットを生成し、ＡＲＰ送信部１１６へ送る。
【００５６】
ＡＲＰ送信部１１６は、偽装ＡＲＰ生成部１１５、解除ＡＲＰ生成部１１９によって生成されたＡＲＰ応答パケットを、重複判定部１１２、認証制御部１１８によって指定された宛先（ＭＡＣアドレスの重複が検出されたＡＲＰ要求パケットの送信元）に送信する。
【００５７】
通信応答部１１７は、偽装された端末から不正接続防止装置１１宛てに送信されたＨＴＴＰ（Hypertext Transfer Protocol）要求パケットを受信すると、認証要求画面を、表示するコンテンツとして、ＨＴＴＰ応答パケットを返信する。なお、ＨＴＴＰ要求パケットは、イーサヘッダ、ＩＰヘッダ、ＴＣＰヘッダにつづいてＨＴＴＰコマンドが設けられる。ＨＴＴＰコマンドは、コマンド（request method：例えば、コンテンツの取得であるGET等）、アクセスするロケーション（request URI(Uniform Resource Identifier)）、リクエストバージョン(Request Version)、ホスト名、クッキー情報、ユーザエージェント情報（User Agent:端末のブラウザ情報）等が含まれる。ＨＴＴＰ応答パケットに、状態コード、送り返すデータのタイプ（Content-Type: text/html（hyper text markup language））等が含まれる。コンテンツ（ｈｔｍｌ）は、次のパケット以降で返信してもよい。
【００５８】
通信応答部１１７は、認証画面から入力されたユーザ名、パスワードを認証制御部１１８へ送信する。
【００５９】
認証制御部１１８は、認証情報ＤＢ２４を参照し、通信応答部１１７から入力されたユーザ名、パスワードを確認する。
【００６０】
認証制御部１１８は、ユーザ名、パスワードが、認証情報ＤＢ２４に登録されている組み合わせであれば、解除ＡＲＰ生成部１１９に対して、ＶＬＡＮ  ＩＤ、ネットワークセグメント情報を参照して、認証を通過した端末が存在するネットワークのみに、送信先のＭＡＣアドレスを正しいＭＡＣアドレスに設定し、偽装を解除したＡＲＰ応答パケットを生成する指示を送る。なお、不正接続防止装置１１は、例えば許可端末２３の正しいＭＡＣアドレスとＩＰアドレスの対応を予め取得しＡＲＰテーブルに保持しているものとする。
【００６１】
解除ＡＲＰ生成部１１９は、認証制御部１１８によって通知された内容でＡＲＰ要求パケットを生成し、ＡＲＰ送信部１１６へ送る。
【００６２】
図２は、本発明の例示的な実施の形態におけるシステムの動作概要をフローチャートで例示した図である。図２を参照して、図１の本実施形態の動作の一例を詳細に説明する。
【００６３】
不正接続防止装置１１のＡＲＰ収集部１１１は、ネットワーク３０上を流れるＡＲＰ要求パケットを監視している。
【００６４】
ＡＲＰ収集部１１１は、ＡＲＰ要求パケットを受信すると（ステップＡ−１）、ＡＲＰ要求パケットを取得したタイミングで、ＡＲＰ要求パケットを送信した端末の情報（ＭＡＣアドレス、ＩＰアドレス、ＶＬＡＮ  ＩＤ、ネットワークセグメント情報）を、重複判定部１１２に送信し、送信元ＭＡＣアドレスが正規端末か確認する（ステップＡ−２）。
【００６５】
重複判定部１１２は、ＡＲＰ収集部１１１から取得した端末のＭＡＣアドレス（ＡＲＰ要求の送信元のＭＡＣアドレス）が承認リスト１１３に登録されている場合（ステップＡ−２のＹＥＳ分岐）、さらに、接続端末リスト１１４を参照し、送信元ＭＡＣアドレスが重複ＭＡＣアドレスであるか否かをチェックする（ステップＡ−３）。
【００６６】
接続端末リスト１１４に、送信元ＭＡＣアドレスが重複したＡＲＰ要求の送信元のＭＡＣアドレスが登録されていない場合（ステップＡ−３のＮＯ分岐）、重複判定部１１２は、ＭＡＣアドレスの重複が発生していない正規端末による通信と判断し、接続端末リスト１１４に、当該ＡＲＰ要求パケットを送信した端末の情報の登録し、処理は終了する（ステップＡ−４）。
【００６７】
一方、接続端末リスト１１４に登録されている端末からのＡＲＰ要求パケットであった場合（ステップＡ−３のＹＥＳ分岐）、重複判定部１１２は、重複したＭＡＣアドレスを持つ端末がネットワーク３０に接続されていると判断し、接続端末リスト１１４に、当該ＡＲＰ要求パケットを送信した端末の情報（送信元ＭＡＣアドレス、送信先ＭＡＣアドレス、ＶＬＡＮ  ＩＤ、ネットワークセグメント情報等）の登録を行う（ステップＡ−５）。
【００６８】
重複判定部１１２は、偽装ＡＲＰ生成部１１５に対して、受信したＡＲＰ要求パケットの送信先ＭＡＣアドレスを不正接続防止装置１１のＭＡＣアドレスに偽装するＡＲＰ応答パケットを生成する指示を行う。
【００６９】
重複判定部１１２は、併せて、接続端末リスト１１４を参照し、ＡＲＰ収集部１１１から取得した端末のＭＡＣアドレスと同じＭＡＣアドレスを持つ全端末が接続されているネットワーク３０へ、生成した偽装ＡＲＰ応答パケットを送るよう指示を行う（ステップＡ−６）。ただし、承認フラグが設定されている端末が登録されているネットワークについては、生成した偽装ＡＲＰ応答パケットの送付対象から除外して指示を行う。
【００７０】
認証フラグの設定は、以降のステップＡ−１４で行われる。
【００７１】
これにより、例えば、不正な端末が通信を継続的に試みた場合であっても、一度、認証を通過した端末については、ネットワークへの接続を防止せずに、正規端末への影響を低減することが可能になる。
【００７２】
ＡＲＰ送信部１１６は、偽装ＡＲＰ生成部１１５が生成した偽装ＡＲＰ応答パケットを、送信元ＭＡＣアドレスの重複が検知されたＡＲＰ要求パケット送信元の端末へ送信する（ステップＡ−７）。偽装ＡＲＰ応答パケットは、ユニキャストで、ＭＡＣアドレスの重複が検出されたＡＲＰ要求パケットの送信元の各端末（ノード）に送信される。
【００７３】
当該偽装ＡＲＰ応答パケットをそれぞれ受信した許可端末２１、及び不許可端末２２では、それぞれのＡＲＰテーブル（ＡＲＰで取得したＭＡＣアドレスとＩＰアドレスの対応表）において、通信相手となる許可端末２３のＩＰアドレスに対応するＭＡＣアドレスは、不正接続防止装置１１のＭＡＣアドレスによって偽装されることになる。
【００７４】
許可端末２１、不許可端末２２は、ＡＲＰテーブルにおける許可端末２３のＭＡＣアドレスが不正接続防止装置１１のＭＡＣアドレスに偽装された状態で、許可端末２３宛てに、ＨＴＴＰ要求パケットを送信する。この場合、許可端末２３宛てのＨＴＴＰ要求パケットは、不正接続防止装置１１に送られる。
【００７５】
不正接続防止装置１１の通信応答部１１７は、許可端末２１、不許可端末２２からのＨＴＴＰ要求パケットを取得し、許可端末２１、不許可端末２２に対して、それぞれ、コンテンツとして認証画面を表示させるｈｔｍｌ（HyperText Markup Language）を含むＨＴＴＰ応答パケットを送信する（ステップＡ−８）。
【００７６】
本実施形態によれば、このように、ＭＡＣアドレスの重複を検知したタイミングでのみ、認証を行うことで、効率的な、不正接続防止の対処が可能になる。
【００７７】
認証画面には、ユーザ名、パスワードの認証情報の入力を求めるコンテンツが表示される。許可端末２１の利用者は、ユーザ名、パスワードを知る正規ユーザであるため、認証情報の入力を行う。入力された認証情報は通信応答部１１７に送信され、通信応答部１１７は認証制御部１１８に転送する。
【００７８】
認証制御部１１８は、認証情報ＤＢ２４を参照して、取得した認証情報が登録されているか否かを確認する（ステップＡ−９）（ステップＡ−１０）。
【００７９】
通信応答部１１７は、取得した認証情報が認証情報ＤＢ２４に登録されていない場合には、不正なユーザと判断し、接続端末リスト１１４から認証に失敗した端末の情報を削除して、処理を終了する（ステップＡ−１１）。
【００８０】
通信応答部１１７は、取得した認証情報が認証情報ＤＢ２４に登録されている場合は、正規なユーザと判断し、（ステップＡ−１）で収集したＡＲＰ要求パケットの送信先ＩＰアドレスと、該ＩＰアドレスに対応する正しい送信先ＭＡＣアドレスの情報を、解除ＡＲＰ生成部１１９に対して通知し、偽装解除用のＡＲＰパケットの生成指示を行う。併せて、通信応答部１１７は、接続端末リスト１１４を参照し、ＶＬＡＮ  ＩＤ、ネットワークセグメント情報から、認証を通過した端末が存在するネットワークにのみ、偽装解除用のＡＲＰパケットを送信するよう指定する（ステップＡ−１２）。ＶＬＡＮ環境であれば認証を通過した端末が存在するＶＬＡＮにのみ偽装解除用のＡＲＰパケットを送信する。そうでない場合は、検知したネットワークセグメントにのみ送信する。
【００８１】
ＡＲＰ送信部１１６は、生成した解除ＡＲＰパケットを、不正接続防止装置１１が接続されており、認証を通過した端末が接続されているネットワークにのみ送信する（ステップＡ−１３）。
【００８２】
認証制御部１１８は、接続端末リスト１１４に登録されている認証に成功した許可端末２１について、認証フラグを有効にする（ステップＡ−１４）。
【００８３】
以上により、認証を通過した正規の端末のみ接続を可能とさせることができる。
【００８４】
図３（Ａ）は、本発明の例示的な実施の形態において、図１の不正接続防止装置１１が、ＭＡＣアドレスが重複した端末を検出し、ＭＡＣアドレスが重複した端末のうち正規の端末のみの偽装を解除する一連のシーケンスを模式的に例示した図である。図３（Ｂ）はＡＲＰ要求パケットとイーサネット（登録商標）フレームヘッダの一部（宛先ＭＡＣアドレス、送信元ＭＡＣアドレス）、（Ｃ）はＡＲＰ応答パケットとイーサネット（登録商標）フレームヘッダの一部（宛先ＭＡＣアドレス、送信元ＭＡＣアドレス）を模式的に例示する図である。なお、図３（Ｂ）のＡＲＰ要求パケット、図３（Ｃ）のＡＲＰ応答パケットにおける制御情報は、前述した、ハードウェア種別、プロトコル、ＨＬＥＮ、ＰＬＥＮを含む。コード（動作）はＡＲＰ要求＝１、ＡＲＰ応答＝２である。
【００８５】
以下、図３を参照して、ネットワークを流れるパケットと端末のＡＲＰテーブルの状態についてシーケンス順に説明する。この例では、不正接続防止装置１１のＭＡＣアドレスをＭＡＣ１１、ＩＰアドレスをＩＰ１１、接続されているＶＬＡＮ  ＩＤを１１とする。
【００８６】
許可端末２１のＭＡＣアドレスをＭＡＣ２１、ＩＰアドレスをＩＰ２１、接続されているＶＬＡＮ  ＩＤを２１とする。
【００８７】
不許可端末２２のＭＡＣアドレスをＭＡＣ２２、ＩＰアドレスをＩＰ２２、接続されているＶＬＡＮ  ＩＤを２２とする。
【００８８】
許可端末２３のＭＡＣアドレスをＭＡＣ２３、ＩＰアドレスをＩＰ２３、接続されているＶＬＡＮ  ＩＤを２３とする。
【００８９】
不正接続防止装置１１は、許可端末２１、不許可端末２２、許可端末２３が存在するＶＬＡＮ２１、ＶＬＡＮ２２、ＶＬＡＮ２３の各ネットワークを監視している。なお、ＶＬＡＮを、ポートベースのＶＬＡＮで構成し、不正接続防止装置１１は、例えば複数のＶＬＡＮ２１、２２、２３に接続するレイヤ３（Ｌ３）のスイッチ又はルータを含む構成としてもよい。端末からのＡＲＰ要求パケットは当該端末が接続するＶＬＡＮ内をブロードキャストされるが、各ＶＬＡＮに接続する不正接続防止装置１１にも転送される。
【００９０】
許可端末２１は、許可端末２３と通信を行うために、ＡＲＰ要求パケットをブロードキャストで送信する。
【００９１】
許可端末２１からのＡＲＰ要求パケットには、フレームヘッダの宛先ＭＡＣアドレス："0xFF-FF-FF-FF-FF-FF"、送信元ＭＡＣアドレス：ＭＡＣ２１、送信元ＩＰアドレス：ＩＰ２１、目標ＩＰアドレス：ＩＰ２３が設定されている（目標ＩＰアドレス：ＩＰ２３に対応する目標ＭＡＣアドレスを探索する）。
【００９２】
不正接続防止装置１１はＡＲＰ要求パケットを取得する（ステップＢ−１）。
【００９３】
不許可端末２２は、許可端末２３と通信を行うために、ＡＲＰ要求パケットをブロードキャストで送信し、不正接続防止装置１１は、そのＡＲＰ要求パケットを取得する（ステップＢ−２）。
【００９４】
ここで、不許可端末２２からのＡＲＰ要求パケットには、フレームヘッダの宛先ＭＡＣアドレス："0xFF-FF-FF-FF-FF-FF"、送信元ＭＡＣアドレスにＭＡＣ２１が設定され、送信元ＩＰアドレス：ＩＰ２２、ＡＲＰ要求パケットの目標ＩＰアドレス：ＩＰ２３が設定されているものとする。
【００９５】
不正接続防止装置１１において、不許可端末２２からブロードキャストされたＡＲＰ要求パケットの送信元ＭＡＣアドレス：ＭＡＣ２１が、許可端末２１からブロードキャストされたＡＲＰ要求パケットの送信元ＭＡＣアドレス：ＭＡＣ２１と重複していることが検知されると、不正接続防止装置１１は、ＡＲＰ要求で問われている許可端末２３（ＩＰアドレス：ＩＰ２３）のＭＡＣアドレスとして、不正接続防止装置１１のＭＡＣアドレスで偽装したＡＲＰ応答パケットを、許可端末２１と不許可端末２２に送信する（ステップＢ−３）。これは、ＡＲＰ要求でＭＡＣアドレスの重複が検出された許可端末２１と不許可端末２２の通信を防止し、認証を要求するためである。
【００９６】
この場合、不正接続防止装置１１が、許可端末２１と不許可端末２２に送信する偽装ＡＲＰ応答パケットは、図３（Ｃ）のＡＲＰ応答パケットにおいて、目標ＭＡＣアドレスを、不正接続防止装置１１のＭＡＣアドレス：ＭＡＣ１１に偽装したものである。なお、図３（Ｃ）のＡＲＰ応答パケットにおいて、目標ＩＰアドレスは、許可端末２３のＩＰアドレス：ＩＰ２３のままである。
【００９７】
不正接続防止装置１１からの偽装ＡＲＰ応答パケットを受信した許可端末２１と不許可端末２２では、それぞれが保持するＡＲＰテーブルにおけるＩＰアドレス：ＩＰ２３に対応するＭＡＣアドレスをＭＡＣ１１に設定する。
【００９８】
ここで、許可端末２１が、許可端末２３宛てに、ＨＴＴＰ要求パケットを送信するものとする。なお、許可端末２１からのＨＴＴＰ要求パケットのイーサネット（登録商標）フレームヘッダの宛先ＭＡＣアドレスは、偽装されたＭＡＣアドレス：ＭＡＣ１１である。このため、許可端末２１からのＨＴＴＰ要求パケットは、不正接続防止装置１１で受信される（ステップＢ−４）。
【００９９】
不正接続防止装置１１は、許可端末２１からのＨＴＴＰ要求パケットを受信すると、ＨＴＴＰ応答パケットとして、認証画面を表示するコンテンツを、許可端末２１宛てに返信する（ステップＢ−５）。
【０１００】
許可端末２１は、許可端末２１の画面に表示された認証画面に要求された認証情報（ユーザ名（ＩＤ）、パスワード等）を入力する。入力した認証情報は、不正接続防止装置１１に送信される（ステップＢ−６）。
【０１０１】
不正接続防止装置１１は、受信した認証情報に対して、認証情報ＤＢ２４を参照して確認し、認証に成功すると、許可端末２１に対して行った偽装（ＭＡＣアドレスの偽装）を解除するために、許可端末２３のＩＰアドレス：ＩＰ２３に対応する目標ＭＡＣアドレスをＭＡＣ２３に設定した偽素解除ＡＲＰ応答パケットを、ＶＬＡＮ２１の許可端末２１へ送信する。偽素解除ＡＲＰ応答パケットは、図３（Ｃ）のＡＲＰ応答パケットにおいて、目標ＭＡＣアドレス：ＭＡＣ２３、目標ＩＰアドレス：ＩＰ２３に設定されている。偽素解除ＡＲＰ応答パケットのフレームヘッダの宛先ＭＡＣアドレスは、ＭＡＣ２１である。
【０１０２】
許可端末２１は、不正接続防止装置１１からユニキャストで送信された偽素解除ＡＲＰ応答パケットを受信すると、許可端末２１で保持するＡＲＰテーブルにおけるＩＰアドレス：ＩＰ２３に対応するＭＡＣアドレスをＭＡＣ１１からＭＡＣ２３に更新する。
【０１０３】
不許可端末２２は、不正接続防止装置１１での認証に成功しない。このため、不許可端末２２には、不正接続防止装置１１から、偽装解除ＡＲＰ応答パケットは送信されない。このため、不許可端末２２で保持するＡＲＰテーブルにおけるＩＰアドレス：ＩＰ２３に対応するＭＡＣアドレスはＭＡＣ１１（偽装ＭＡＣアドレス）のままである。この結果、不許可端末２２は、許可端末２３に、ＨＴＴＰリクエスト等を送信しようとしても、偽装ＭＡＣアドレス：ＭＡＣ１１の不正接続防止装置１１に接続してしまい、そのたびに、不許可端末２２の画面には、不正接続防止装置１１から送信される認証画面が表示される。そして、不許可端末２２では、この認証が失敗するため、許可端末２３への通信接続要求（ＨＴＴＰリクエスト）は許可されることはない。
【０１０４】
以上説明したように、例示的な実施の形態によれば、重複を検出した際に、どの端末がＭＡＣアドレスを書き換えて不正に接続しているかを判別して、その端末のみ接続を防止することが可能になる。またＡＲＰ要求から送信元ＭＡＣアドレスの重複を検知した時のみ、認証要求を行うため、上記した関連技術のように、接続場所が変更されるたびに、認証を要求することはない。このため、不正にネットワーク接続する端末への接続防止対処を効率的に行うことができる。
【０１０５】
なお、本発明は、上記したＩＰｖ４だけでなく、ＩＰｖ６（Internet Protocol Version  6）のＡＲＰ相当のプロトコルであるNeighbor Discovery（ＮＤ：近隣探索）にも適用可能である。ＩＰｖ６のNeighbor Discoveryは、ＩＣＭＰｖ６(Internet Control Message Protocol for IPv6）のメッセージ（Neighbor Solicitationメッセージ）と、solicited-node（要請ノード）マルチキャストアドレスで通信先のＭＡＣアドレスを解決する。応答は、自ノードのＭＡＣアドレスを格納した Neighbor Advertisement (NA) を送信する（ICMPｖ６の詳細はIETF RFC 4443等が参照される。また、Neighbor Discovery for IP version 6 (IPv6)についてはRFC 4861等が参照される）。
【０１０６】
また、不正接続防止装置１１は、例えばレイヤ３のスイッチ、ルータ等に実装してもよい。
【０１０７】
上記した実施形態は以下のように付記される（ただし、以下に制限されるものではない）。
【０１０８】
（付記１）
ネットワーク上に送信される、通信相手のＩＰアドレスからＭＡＣアドレスを解決するための要求パケットを収集し、前記要求パケットの送信元のＭＡＣアドレスの重複を検知する第１の手段と、
ＭＡＣアドレスの重複が検出された前記要求パケットの送信元の端末に対して、不正接続防止装置のＭＡＣアドレスを、前記通信相手のＭＡＣアドレスとして偽装した応答パケットを送信する第２の手段と、
前記偽装した応答パケットを受信した前記端末から、送信先のＩＰアドレスを前記通信相手のＩＰアドレスとし前記宛先ＭＡＣアドレスを前記偽装したＭＡＣアドレスとした接続要求を受けると、前記端末に対して認証を行う第３の手段と、
前記認証を通過した前記端末に対して、前記通信相手への接続を許可する制御を行う第４の手段と、を備えた、ことを特徴とする不正接続防止装置。
【０１０９】
（付記２）
前記第３手段は、前記接続要求に対して、前記端末に、認証画面を表示させる応答を送信する手段と、
前記端末上の前記認証画面から入力された認証情報を受信し、記憶部に登録された正規な端末の認証情報と照合することで認証を行う手段と、
を備えた、ことを特徴とする付記１記載の不正接続防止装置。
【０１１０】
（付記３）
前記第４の手段は、前記通信相手の正しいＭＡＣアドレスを設定し偽装を解除した応答パケットを生成し、前記応答パケットを、前記認証を通過した前記端末に送信する、ことを特徴とする付記１又は２記載の不正接続防止装置。
【０１１１】
（付記４）
前記第１の手段で、送信元のＭＡＣアドレスの重複を検知したタイミングで、前記第２の手段、つづいて前記第３の手段を実行する、ことを特徴とする付記１乃至３のいずれか一に記載の不正接続防止装置。
【０１１２】
（付記５）
ネットワークに接続する不正接続防止装置を用いて、端末のネットワークへの不正接続を防止する方法であって、
前記ネットワーク上に送信される、通信相手のＩＰアドレスからＭＡＣアドレスを解決するための要求パケットを収集し、前記要求パケットの送信元のＭＡＣアドレスの重複を検知する第１の工程と、
ＭＡＣアドレスの重複が検出された前記要求パケットの送信元の端末に対して、不正接続防止装置のＭＡＣアドレスを、前記通信相手のＭＡＣアドレスとして偽装した応答パケットを送信する第２の工程と、
前記偽装した応答パケットを受信した前記端末から、送信先のＩＰアドレスを前記通信相手のＩＰアドレスとし前記宛先ＭＡＣアドレスを前記偽装したＭＡＣアドレスとした接続要求を受けると、前記端末に対して認証を行う第３の工程と、
前記認証を通過した前記端末に対して、前記通信相手への接続を許可する制御を行う第４の工程と、
を含む、ことを特徴とする不正接続防止方法。
【０１１３】
（付記６）
前記第３の工程において、
前記接続要求に対して、前記端末に、認証画面を表示させる応答を送信し、
前記端末上の前記認証画面から入力された認証情報を受信し、記憶部に登録された正規な端末の認証情報と照合することで認証を行う、
ことを特徴とする付記５記載の不正接続防止方法。
【０１１４】
（付記７）
前記第４の工程において、
前記通信相手の正しいＭＡＣアドレスを設定し偽装を解除した応答パケットを生成し、前記応答パケットを、前記認証を通過した前記端末に送信する、ことを特徴とする付記５又は６記載の不正接続防止方法。
【０１１５】
（付記８）
前記第１の工程で、送信元のＭＡＣアドレスの重複を検知したタイミングで、前記第２の工程、つづいて前記第３の工程を実行する、ことを特徴とする付記５乃至７のいずれか一に記載の不正接続防止方法。
【０１１６】
（付記９）
ネットワーク上の複数の端末と、
前記ネットワークに接続する不正接続防止装置と、
を備え、
前記不正接続防止装置は、
前記ネットワーク上に送信される、通信相手のＩＰアドレスからＭＡＣアドレスを解決するための要求パケットを収集し、前記要求パケットの送信元のＭＡＣアドレスの重複を検知する第１の手段と、
ＭＡＣアドレスの重複が検出された前記要求パケットの送信元の端末に対して、不正接続防止装置のＭＡＣアドレスを、前記通信相手のＭＡＣアドレスとして偽装した応答パケットを送信する第２の手段と、
前記偽装した応答パケットを受信した前記端末から、送信先のＩＰアドレスを前記通信相手のＩＰアドレスとし前記宛先ＭＡＣアドレスを前記偽装したＭＡＣアドレスとした接続要求を受けると、前記端末に対して認証を行う第３の手段と、
前記認証を通過した前記端末に対して、前記通信相手への接続を許可する制御を行う第４の手段と、
を備えた、ことを特徴とするネットワークシステム。
【０１１７】
（付記１０）
前記第３手段は、前記接続要求に対して、前記端末に、認証画面を表示させる応答を送信する手段と、
前記端末上の前記認証画面から入力された認証情報を受信し、記憶部に登録された正規な端末の認証情報と照合することで認証を行う手段と、
を備えた、ことを特徴とする付記９記載のネットワークシステム。
【０１１８】
（付記１１）
前記第４の手段は、前記通信相手の正しいＭＡＣアドレスを設定し偽装を解除した応答パケットを生成し、前記応答パケットを、前記認証を通過した前記端末に送信する、ことを特徴とする付記９又は１０記載のネットワークシステム。
【０１１９】
（付記１２）
前記第１の手段で、送信元のＭＡＣアドレスの重複を検知したタイミングで、前記第２の手段、つづいて前記第３の手段を実行する、ことを特徴とする付記９乃至１１のいずれか一に記載のネットワークシステム。
【０１２０】
（付記１３）
ネットワーク上に送信される、通信相手のＩＰアドレスからＭＡＣアドレスを解決するための要求パケットを収集し、前記要求パケットの送信元のＭＡＣアドレスの重複を検知する第１の処理と、
ＭＡＣアドレスの重複が検出された前記要求パケットの送信元の端末に対して、不正接続防止装置のＭＡＣアドレスを、前記通信相手のＭＡＣアドレスとして偽装した応答パケットを送信する第２の処理と、
前記偽装した応答パケットを受信した前記端末から、送信先のＩＰアドレスを前記通信相手のＩＰアドレスとし前記宛先ＭＡＣアドレスを前記偽装したＭＡＣアドレスとした接続要求を受けると、前記端末に対して認証を行う第３の処理と、
前記認証を通過した前記端末に対して、前記通信相手への接続を許可する制御を行う第４の処理と、
をコンピュータに実行させるプログラム。
【０１２１】
（付記１４）
前記第３の処理は、前記接続要求に対して、前記端末に、認証画面を表示させる応答を送信し、
前記端末上の前記認証画面から入力された認証情報を受信し、記憶部に登録された正規な端末の認証情報と照合することで認証を行う、ことを特徴とする付記１３記載のプログラム。
【０１２２】
（付記１５）
前記第４の処理は、前記通信相手の正しいＭＡＣアドレスを設定し偽装を解除した応答パケットを生成し、前記応答パケットを、前記認証を通過した前記端末に送信する、ことを特徴とする付記１３又は１４記載のプログラム。
【０１２３】
（付記１６）
前記第１の処理で、送信元のＭＡＣアドレスの重複を検知したタイミングで、前記第２の処理、つづいて前記第３の処理を実行する、ことを特徴とする付記１３乃至１５のいずれか一に記載のプログラム。
【０１２４】
なお、引用した上記の特許文献等の各開示は、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の全開示の枠内において種々の開示要素（各付記の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし、選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。
【符号の説明】
【０１２５】
１１  不正接続防止装置
２１  許可端末
２２  不許可端末
２３  許可端末
２４  認証情報ＤＢ
３０  ネットワーク
１１１  ＡＲＰ収集部
１１２  重複判定部
１１３  承認リスト
１１４  接続端末リスト
１１５  偽装ＡＲＰ生成部
１１６  ＡＲＰ送信部
１１７  通信応答部
１１８  認証制御部
１１９  解除ＡＲＰ生成部
１２１  ＭＡＣアドレス重複検出手段
１２２  偽装応答パケット送信手段
１２３  認証手段
１２４  接続制御手段
【図１】
2016187113.tif 000003
【図２】
2016187113.tif 000004
【図３】
2016187113.tif 000005
【図４】
2016187113.tif 000006