(57)【要約】【課題】不正な端末による通信を防ぎ、タグベースＶＬＡＮのセキュリティを高めることができるようにしたタグベースＶＬＡＮのセキュリティ方法を提供する。【解決手段】スイッチ３４ａは、ＰＣ３１ａ〜３３ａから受信したフレーム内のＶＬＡＮタグ情報とＰＣ３１ａ〜３３ａが接続されたポートが持つＶＬＡＮタグ情報とが一致する場合にのみ、ＰＣ３１ａ〜３３ａから受信したフレームに対応する送信フレームを再作成する。スイッチ３４ｂは、ＰＣ３１ｂ〜３３ｂから受信したフレーム内のＶＬＡＮタグ情報とＰＣ３１ｂ〜３３ｂが接続されたポートが持つＶＬＡＮタグ情報とが一致する場合にのみ、ＰＣ３１ｂ〜３３ｂから受信したフレームに対応する送信フレームを再作成する。【選択図】図１
2009033577.tif 000002
【特許請求の範囲】
【請求項１】
中継装置に接続された端末の送信フレームにネットワーク管理者が前記端末に設定したＶＬＡＮタグ情報を含め、
前記中継装置は、前記端末から受信したフレーム内のＶＬＡＮタグ情報と前記端末が接続されたポートが持つＶＬＡＮタグ情報とが一致する場合にのみ、前記端末から受信したフレームに対応する送信フレームを再作成すること
を特徴とするタグベースＶＬＡＮのセキュリティ方法。
【請求項２】
端末から受信したフレーム内のＶＬＡＮタグ情報と前記端末が接続されたポートが持つＶＬＡＮタグ情報とを比較する比較手段と、
前記端末から受信したフレーム内のＶＬＡＮタグ情報と前記端末が接続されたポートが持つＶＬＡＮタグ情報とが一致したことを前記比較手段が検出した場合にのみ、前記端末から受信したフレームに対応する送信フレームを再作成する送信フレーム作成手段と、
を有することを特徴とする中継装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、中継装置間の転送フレームにＶＬＡＮ（Virtual Local Area Network）タグ情報を含めるタグベースＶＬＡＮのセキュリティ方法、および、このタグベースＶＬＡＮのセキュリティ方法の実施に使用する中継装置に関する。
【背景技術】
【０００２】
ネットワークグループを論理的に分割する方法として、ＶＬＡＮ技術が知られている。ＶＬＡＮは、例えば、ポートベースＶＬＡＮと、ＭＡＣ（Media Access Control）ベースＶＬＡＮと、タグベースＶＬＡＮとに分類することができる。
【０００３】
ポートベースＶＬＡＮは、中継装置のポート毎にＶＬＡＮ番号を割り当ててＶＬＡＮを構築する技術である。ＭＡＣベースＶＬＡＮは、端末のＭＡＣアドレス毎にＶＬＡＮ番号を割り当ててＶＬＡＮを構築する技術である。
【０００４】
タグベースＶＬＡＮは、ポートベースＶＬＡＮやＭＡＣベースＶＬＡＮの欠点である中継装置間の回線増大化を防ぐために工夫された技術であり、中継装置間のデータ転送に、ＩＥＥＥ８０２.１Ｑに従ったフレームを使用するものである。
【０００５】
ＩＥＥＥ８０２.１Ｑに従ったフレームは、ネットワークの基本であるＩＥＥＥ８０２.３に従ったフレームにＶＬＡＮ番号を記述したＶＬＡＮタグ情報を付加したフレームである。
【０００６】
図７はＩＥＥＥ８０２.３に従ったフレームの構成図である。即ち、ＩＥＥＥ８０２.３に従ったフレームは、「プリアンブル→ 送信先ＭＡＣアドレス→送信元ＭＡＣアドレス→長さ→ＩＰ（Internet Protocol）パケット→ＦＣＳ（Frame Check Sequence）」という構成を持つ。
【０００７】
「プリアンブル」部は、フレームの先頭を示す値が入る部分である。「送信先ＭＡＣアドレス」部は、フレームを送信する相手側の機器のＭＡＣアドレス値が入る部分である。「送信元ＭＡＣアドレス」部は、フレームを送信した側の機器のＭＡＣアドレス値が入る部分である。
【０００８】
「長さ」部は、フレームの長さを示す値が入る部分である。「ＩＰパケット」部は、送信元／送信先ＩＰアドレス、パケット長などのＩＰヘッダおよびデータが入る部分である。「ＦＣＳ」部は、フレームのヘッダ部とデータ部に誤りがないかどうかを検出するためのＣＲＣ（Cyclic Redundancy Check：巡回冗長検査）符号が入る部分である。
【０００９】
図８はＩＥＥＥ８０２.１Ｑに従ったフレームの構成図である。即ち、ＩＥＥＥ８０２.１Ｑに従ったフレームは、「プリアンブル→ 送信先ＭＡＣアドレス→送信元ＭＡＣアドレス→ＶＬＡＮタグ情報→長さ→ＩＰパケット→ＦＣＳ」という構成を持つ。
【００１０】
「ＶＬＡＮタグ情報」部は、ＶＬＡＮ番号を記述したＶＬＡＮタグ情報が入る部分である。ＶＬＡＮタグ情報は４バイトとされているが、１２ビットがＶＬＡＮ番号として使用される。したがって、最大で４０９６個のＶＬＡＮを識別することができることになる。なお、「ＶＬＡＮタグ情報」部が挿入されるので、「ＦＣＳ」部には再計算された値が入ることになる。
【００１１】
図９はポートベースＶＬＡＮの構成例を示す図である。図９中、１ａ〜３ａ、１ｂ〜３ｂは端末であるパーソナルコンピュータ（以下、ＰＣという）、４ａ、４ｂは中継装置であるスイッチ、５ａ〜１０ａはスイッチ４ａのポート、５ｂ〜１０ｂはスイッチ４ｂのポート、１１ａ〜１３ａ、１１ｂ〜１３ｂ、１４〜１６はＬＡＮケーブルである。
【００１２】
この構成例では、ＰＣ１ａは、ＬＡＮケーブル１１ａでスイッチ４ａのポート５ａに接続されている。ＰＣ２ａは、ＬＡＮケーブル１２ａでスイッチ４ａのポート６ａに接続されている。ＰＣ３ａは、ＬＡＮケーブル１３ａでスイッチ４ａのポート７ａに接続されている。
【００１３】
また、ＰＣ１ｂは、ＬＡＮケーブル１１ｂでスイッチ４ｂのポート５ｂに接続されている。ＰＣ２ｂは、ＬＡＮケーブル１２ｂでスイッチ４ｂのポート６ｂに接続されている。ＰＣ３ｂは、ＬＡＮケーブル１３ｂでスイッチ４ｂのポート７ｂに接続されている。
【００１４】
また、スイッチ４ａのポート８ａとスイッチ４ｂのポート８ｂはＬＡＮケーブル１４で接続されている。スイッチ４ａのポート９ａとスイッチ４ｂのポート９ｂはＬＡＮケーブル１５で接続されている。スイッチ４ａのポート１０ａとスイッチ４ｂのポート１０ｂはＬＡＮケーブル１６で接続されている。
【００１５】
ここで、たとえば、スイッチ４ａのポート５ａ、８ａおよびスイッチ４ｂのポート５ｂ、８ｂにＶＬＡＮ１を指定するＶＬＡＮ番号を割り当て、スイッチ４ａのポート６ａ、９ａおよびスイッチ４ｂのポート６ｂ、９ｂにＶＬＡＮ２を指定するＶＬＡＮ番号を割り当て、スイッチ４ａのポート７ａ、１０ａおよびスイッチ４ｂのポート７ｂ、１０ｂにＶＬＡＮ３を指定するＶＬＡＮ番号を割り当てるとする。
【００１６】
このようにすると、ＰＣ１ａ、１ｂは、ＶＬＡＮ１に属し、ＰＣ１ａ、１ｂ間でのみ通信が可能となる。また、ＰＣ２ａ、２ｂは、ＶＬＡＮ２に属し、ＰＣ２ａ、２ｂ間でのみ通信が可能となる。また、ＰＣ３ａ、３ｂは、ＶＬＡＮ３に属し、ＰＣ３ａ、３ｂ間でのみ通信が可能となる。
【００１７】
この場合、ＰＣ１ａ〜３ａとスイッチ４ａとの間、ＰＣ１ｂ〜３ｂとスイッチ４ｂとの間およびスイッチ４ａとスイッチ４ｂとの間の転送フレームの構成は、図７に示す構成に従うことになる。このように、ポートベースＶＬＡＮにおいては、ＰＣとスイッチとの間およびスイッチとスイッチとの間の転送フレームの構成は、図７に示す構成に従うことになる。
【００１８】
また、図９に示すポートベースＶＬＡＮの構成例では、スイッチ４ａとスイッチ４ｂとの間には、３本のＬＡＮケーブル１４〜１６が必要となる。このように、ポートベースＶＬＡＮにおいては、スイッチ間には、ＶＬＡＮ数と同数の回線が必要になる。
【００１９】
図１０はタグベースＶＬＡＮの構成例を示す図である。この構成例では、ＰＣ１ａ〜３ａとスイッチ４ａとの間およびＰＣ１ｂ〜３ｂとスイッチ４ｂとの間の転送フレームは、図７に示す構成に従い、スイッチ４ａとスイッチ４ｂとの間の転送フレームは、図８に示す構成に従うことになる。また、この構成例では、スイッチ４ａとスイッチ４ｂとの間は、１本のＬＡＮケーブル１４で足りる。
【００２０】
このように、タグベースＶＬＡＮにおいては、ＰＣとスイッチとの間の転送フレームは、図７に示す構成に従い、スイッチとスイッチとの間の転送フレームは、図８に示す構成に従うことになる。また、スイッチ間は、１本の回線で足りる。
【００２１】
図１１はスイッチ４ａの概略的構成図であり、スイッチ４ｂも同様に構成される。図１１中、１８はフレームの送受信および信号処理を行うネットワークＬＳＩ、１９はメモリ、２０ａ〜２３ａはＰＨＹ（物理層）デバイスである。
【００２２】
図１２はスイッチ４ａが実行するフレーム処理を説明するための図である。図１２中、２４はスイッチ４ａがＰＣ１ａ〜ＰＣ３ａのいずれかのＰＣから受信した受信フレームであり、スイッチ４ａでは、ＰＣ１ａ〜ＰＣ３ａのいずれかのＰＣからフレーム２４を受信すると、受信フレーム２４からＩＰパケットのみを抽出し、再度、送信フレーム２５を組み立てる。
【００２３】
この場合、スイッチ４ａは、ポートが持っている情報（送信先ＭＡＣアドレス、送信元ＭＡＣアドレスおよびＶＬＡＮタグ情報）２６を使用し、更に、プリアンブルの追加および長さとＦＣＳの計算を行い、送信フレーム２５を組み立てることになる。
【特許文献１】特開平１１−１２７１６７号公報
【特許文献２】特開平１１−７４９２３号公報
【特許文献３】特開２０００−１９６６４７号公報
【発明の開示】
【発明が解決しようとする課題】
【００２４】
図１３および図１４は図１０に示すタグベースＶＬＡＮが有する問題点を説明するための図であり、図１３は図１０に示すタグベースＶＬＡＮの構成例にＶＬＡＮ１メンバであるＰＣ１ａ、ＰＣ１ｂだけアクセスすることができるＶＬＡＮ１共有サーバ２８を接続した場合を示している。
【００２５】
図１４は図１３に示すＰＣ１ａを不正なＰＣ２９に差し替えた場合を示している。この場合、不正なＰＣ２９は、ＶＬＡＮ１に属することになり、ＰＣ１ｂとの通信および ＶＬＡＮ１共有サーバ２８への侵入が可能になる。
【００２６】
ここで、ＶＬＡＮ１共有サーバ２８へのアクセスに対して、パスワードなどのアクセス制限を施していても、パスワードなどが見破られない限り、アクセスは拒否されず、誰でも簡単にＶＬＡＮ１共有サーバ２８に侵入することができる。このため、この環境では十分なセキュリティがあるとは言えない。
【００２７】
たとえば、メンバの再編成などで、ＶＬＡＮ１メンバがＶＬＡＮ２に異動した場合に、ＶＬＡＮ１共有サーバ２８のパスワードを変えない限り、元のＶＬＡＮ１メンバは、ＶＬＡＮ１のポートにＰＣを接続するだけで、容易にＶＬＡＮ１メンバとなることができ、ＶＬＡＮ１共有サーバ２８に侵入することが可能となる。そのため、入り口であるＶＬＡＮのポートに他のＶＬＡＮメンバが接続した場合、通信ができないようにする工夫が必要である。
【００２８】
本発明は、かかる点に鑑み、不正な端末による通信を防ぐことができ、タグベースＶＬＡＮのセキュリティを高めることができるようにしたタグベースＶＬＡＮのセキュリティ方法、および、このタグベースＶＬＡＮのセキュリティ方法の実施に使用することができる中継装置を提供することを目的とする。
【課題を解決するための手段】
【００２９】
本発明のタグベースＶＬＡＮのセキュリティ方法は、中継装置に接続された端末の送信フレームにネットワーク管理者が前記端末に設定したＶＬＡＮタグ情報を含め、前記中継装置は、前記端末から受信したフレーム内のＶＬＡＮタグ情報と前記端末が接続されたポートが持つＶＬＡＮタグ情報とが一致する場合にのみ、前記端末から受信したフレームに対応する送信フレームを再作成するというものである。
【００３０】
本発明の中継装置は、端末から受信したフレーム内のＶＬＡＮタグ情報と前記端末が接続されたポートが持つＶＬＡＮタグ情報とを比較する比較手段と、前記端末から受信したフレーム内のＶＬＡＮタグ情報と前記端末が接続されたポートが持つＶＬＡＮタグ情報とが一致したことを前記比較手段が検出した場合にのみ、前記端末から受信したフレームに対応する送信フレームを再作成する送信フレーム作成手段とを有するものである。
【発明の効果】
【００３１】
本発明のタグベースＶＬＡＮのセキュリティ方法によれば、中継装置は、端末から受信したフレーム内のＶＬＡＮタグ情報と前記端末が接続されたポートが持つＶＬＡＮタグ情報とが一致する場合にのみ、前記端末から受信したフレームに対応する送信フレームを再作成する。換言すれば、中継装置は、端末から受信したフレーム内のＶＬＡＮタグ情報と前記端末が接続されたポートが持つＶＬＡＮタグ情報とが一致しない場合には、前記端末から受信したフレームに対応する送信フレームを再作成しない。
【００３２】
即ち、接続先ポートが持つＶＬＡＮタグ情報の設定がネットワーク管理者により行われていない端末を中継装置に接続しても通信を行うことができない。したがって、不正な端末による通信を防ぐことができ、タグベースＶＬＡＮのセキュリティを高めることができる。なお、中継装置として、本発明の中継装置を使用することができる。
【発明を実施するための最良の形態】
【００３３】
図１は本発明のタグベースＶＬＡＮのセキュリティ方法の一実施形態が実施されるタグベースＶＬＡＮの構成例を示す図である。図１中、３１ａ〜３３ａ、３１ｂ〜３３ｂはＰＣ、３４ａ、３４ｂは本発明の中継装置の一実施形態であるスイッチ、３５ａ〜３８ａはスイッチ３４ａのポート、３５ｂ〜３８ｂはスイッチ３４ｂのポート、４１ａ〜４３ａ、４１ｂ〜４３ｂ、４４はＬＡＮケーブルである。
【００３４】
この構成例では、ＰＣ３１ａは、ＬＡＮケーブル４１ａでスイッチ３４ａのポート３５ａに接続されている。ＰＣ３２ａは、ＬＡＮケーブル４２ａでスイッチ３４ａのポート３６ａに接続されている。ＰＣ３３ａは、ＬＡＮケーブル４３ａでスイッチ３４ａのポート３７ａに接続されている。
【００３５】
また、ＰＣ３１ｂは、ＬＡＮケーブル４１ｂでスイッチ３４ｂのポート３５ｂに接続されている。ＰＣ３２ｂは、ＬＡＮケーブル４２ｂでスイッチ３４ｂのポート３６ｂに接続されている。ＰＣ３３ｂは、ＬＡＮケーブル４３ｂでスイッチ３４ｂのポート３７ｂに接続されている。スイッチ３４ａのポート３８ａとスイッチ３４ｂのポート３８ｂとはＬＡＮケーブル４４で接続されている。
【００３６】
本発明のタグベースＶＬＡＮのセキュリティ方法の一実施形態においては、スイッチ３４ａとスイッチ３４ｂとの間のみならず、ＰＣ３１ａ〜３３ａとスイッチ３４ａとの間およびＰＣ３１ｂ〜３３ｂとスイッチ３４ｂとの間の転送フレームは、ＩＥＥＥ８０２.１Ｑに従った構成とされる。
【００３７】
そこで、ＰＣ３１ａ〜３３ａ、３１ｂ〜３３ｂ内のＬＡＮカードにはＶＬＡＮタグ情報がネットワーク管理者により設定される。このネットワーク管理者によるＰＣ３１ａ〜３３ａ、３１ｂ〜３３ｂ内のＬＡＮカードへのＶＬＡＮタグ情報の設定は、ＬＡＮカード内の書き換え可能な不揮発性メモリ、たとえば、フラッシュメモリにＶＬＡＮタグ情報を書き込むことにより行われる。
【００３８】
図２はＰＣ３１ａ〜３３ａ、３１ｂ〜３３ｂ内のＬＡＮカードを示す図である。図２中、５１ａはＰＣ３１a内のＬＡＮカードであり、６１ａはＣＰＵ（central processing unit）、７１ａはＣＰＵ６１ａによりアクセスされるフラッシュメモリである。５２ａはＰＣ３２ａ内のＬＡＮカードであり、６２ａはＣＰＵ、７２ａはＣＰＵ６２ａによりアクセスされるフラッシュメモリである。５３ａはＰＣ３３ａ内のＬＡＮカードであり、６３ａはＣＰＵ、７３ａはＣＰＵ６３ａによりアクセスされるフラッシュメモリである。
【００３９】
また、５１ｂはＰＣ３１ｂ内のＬＡＮカードであり、６１ｂはＣＰＵ、７１ｂはＣＰＵ６１ｂによりアクセスされるフラッシュメモリである。５２ｂはＰＣ３２ｂ内のＬＡＮカードであり、６２ｂはＣＰＵ、７２ｂはＣＰＵ６２ｂによりアクセスされるフラッシュメモリである。５３ｂはＰＣ３３ｂ内のＬＡＮカードであり、６３ｂはＣＰＵ、７３ｂはＣＰＵ６３ｂによりアクセスされるフラッシュメモリである。
【００４０】
本例では、ＰＣ３１ａ、３１ｂはＶＬＡＮ１に属させ、ＰＣ３２ａ、３２ｂはＶＬＡＮ２に属させ、ＰＣ３３ａ、３３ｂはＶＬＡＮ３に属させるものとする。このようにさせる場合には、ＬＡＮカード５１ａ内のフラッシュメモリ７１ａおよびＬＡＮカード５１ｂ内のフラッシュメモリ７１ｂには、ネットワーク管理者により、ネットワーク管理者のコンピュータとＰＣ３１ａ、３１ｂとの間の通信回線を介してＶＬＡＮ１を指定するＶＬＡＮ番号が記述されたＶＬＡＮタグ情報が書き込まれる。
【００４１】
また、ＬＡＮカード５２ａ内のフラッシュメモリ７２ａおよびＬＡＮカード５２ｂ内のフラッシュメモリ７２ｂには、ネットワーク管理者により、ネットワーク管理者のコンピュータとＰＣ３２ａ、３２ｂとの間の通信回線を介してＶＬＡＮ２を指定するＶＬＡＮ番号が記述されたＶＬＡＮタグ情報が書き込まれる。
【００４２】
また、ＬＡＮカード５３ａ内のフラッシュメモリ７３ａおよびＬＡＮカード５３ｂ内のフラッシュメモリ７３ｂには、ネットワーク管理者により、ネットワーク管理者のコンピュータとＰＣ３３ａ、３３ｂとの間の通信回線を介してＶＬＡＮ３を指定するＶＬＡＮ番号が記述されたＶＬＡＮタグ情報が書き込まれる。
【００４３】
このように、本実施形態では、ＬＡＮカード５１ａ〜５３ａ、５１ｂ〜５３ｂへのＶＬＡＮタグ情報の設定は、ネットワーク管理者により、ネットワーク管理者のコンピュータとＰＣ３１ａ〜３３ａ、３１ｂ〜３３ｂとの間の通信回線を介して行われるので、ユーザがＬＡＮカード５１ａ〜５３ａ、５１ｂ〜５３ｂ内のフラッシュメモリ７１ａ〜７３ａ、７１ｂ〜７３ｂにＶＬＡＮタグ情報を書き込むことはできない。
【００４４】
図３はＰＣ３１ａ〜３３ａ、３１ｂ〜３３ｂの送信フレーム例を示す図であり（Ａ）はＰＣ３１ａ、３１ｂの送信フレーム例、（Ｂ）はＰＣ３２ａ、３２ｂの送信フレーム例、（Ｃ）はＰＣ３３ａ、３３ｂの送信フレーム例を示している。
【００４５】
本例では、ＰＣ３１ａ、３１ｂは、ＶＬＡＮ１に属しているので、図３（Ａ）に示すように、ＶＬＡＮ１を指定するＶＬＡＮ番号が記述されたＶＬＡＮタグ情報を挿入してなるＩＥＥＥ８０２.１Ｑに従ったフレームを送信する。ＰＣ３１ａの送信フレームへのＶＬＡＮタグ情報の挿入は、ＬＡＮカード５１ａ内のＣＰＵ６１ａにより行われ、ＰＣ３１ｂの送信フレームへのＶＬＡＮタグ情報の挿入は、ＬＡＮカード５１ｂ内のＣＰＵ５１ｂにより行われる。
【００４６】
また、ＰＣ３２ａ、３２ｂは、ＶＬＡＮ２に属しているので、図３（Ｂ）に示すように、ＶＬＡＮ２を指定するＶＬＡＮ番号が記述されたＶＬＡＮタグ情報を挿入してなるＩＥＥＥ８０２.１Ｑに従ったフレームを送信する。ＰＣ３２ａの送信フレームへのＶＬＡＮタグ情報の挿入は、ＬＡＮカード５２ａ内のＣＰＵ６２ａにより行われ、ＰＣ３２ｂの送信フレームへのＶＬＡＮタグ情報の挿入は、ＬＡＮカード５２ｂ内のＣＰＵ６２ｂにより行われる。
【００４７】
また、ＰＣ３３ａ、３３ｂは、ＶＬＡＮ３に属しているので、図３（Ｃ）に示すように、ＶＬＡＮ３を指定するＶＬＡＮ番号が記述されたＶＬＡＮタグ情報を挿入してなるＩＥＥＥ８０２.１Ｑに従ったフレームを送信する。ＰＣ３３ａの送信フレームへのＶＬＡＮタグ情報の挿入は、ＬＡＮカード５３ａ内のＣＰＵ６３ａにより行われ、ＰＣ３３ｂの送信フレームへのＶＬＡＮタグ情報の挿入は、ＬＡＮカード５３ｂ内のＣＰＵ６３ｂにより行われる。
【００４８】
図４はスイッチ３４ａの概略的構成図であり、スイッチ３４ｂも同様に構成される。図４中、８０はフレームの送受信および信号処理を行うネットワークＬＳＩ、８１はネットワークＬＳＩ８０内のＣＰＵ、８２はＳＤＲＡＭ（synchronous dynamic random access memory）、８３はフラッシュメモリ、８４は比較器、８５ａ〜８８ａはＰＨＹ（物理層）デバイスである。
【００４９】
本例では、ＰＣ３１ａはＶＬＡＮ１に属し、ＰＣ３２ａはＶＬＡＮ２に属し、ＰＣ３３ａはＶＬＡＮ３に属するとされているので、ネットワーク管理者により、フラッシュメモリ８３には、ポート３５ａが持つＶＬＡＮ番号としてＶＬＡＮ１を指定するＶＬＡＮ番号が書き込まれ、ポート３６ａが持つＶＬＡＮ番号としてＶＬＡＮ２を指定するＶＬＡＮ番号が書き込まれ、ポート３７ａが持つＶＬＡＮ番号としてＶＬＡＮ３を指定するＶＬＡＮ番号が書き込まれる。
【００５０】
また、スイッチ３４ａと同様に構成されるスイッチ３４ｂ内のフラッシュメモリには、ネットワーク管理者により、ポート３５ｂが持つＶＬＡＮ番号としてＶＬＡＮ１を指定するＶＬＡＮ番号が書き込まれ、ポート３６ｂが持つＶＬＡＮ番号としてＶＬＡＮ２を指定するＶＬＡＮ番号が書き込まれ、ポート３７ｂが持つＶＬＡＮ番号としてＶＬＡＮ３を指定するＶＬＡＮ番号が書き込まれる。
【００５１】
ここで、スイッチ３４ａは、ポート３５ａに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３５ａが持っているＶＬＡＮタグ情報とを比較し、これらが一致した場合にのみ、ポート３５ａに接続されたＰＣから受信したフレームに対応する送信フレームを再作成してスイッチ３４ｂに送信する。なお、スイッチ３４ａは、ポート３５ａに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３５ａが持っているＶＬＡＮタグ情報とが一致しない場合には、受信したフレームを破棄する。
【００５２】
また、スイッチ３４ａは、ポート３６ａに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３６ａが持っているＶＬＡＮタグ情報とを比較し、これらが一致した場合にのみ、ポート３６ａに接続されたＰＣから受信したフレームに対応する送信フレームを再作成してスイッチ３４ｂに送信する。なお、スイッチ３４ａは、ポート３６ａに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３６ａが持っているＶＬＡＮタグ情報とが一致しない場合には、受信したフレームを破棄する。
【００５３】
また、スイッチ３４ａは、ポート３７ａに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３７ａが持っているＶＬＡＮタグ情報とを比較し、これらが一致した場合にのみ、ポート３７ａに接続されたＰＣから受信したフレームに対応する送信フレームを再作成してスイッチ３４ｂに送信する。なお、スイッチ３４ａは、ポート３５ａに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３７ａが持っているＶＬＡＮタグ情報とが一致しない場合には、受信したフレームを破棄する。
【００５４】
また、スイッチ３４ｂは、ポート３５ｂに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３５ｂが持っているＶＬＡＮタグ情報とを比較し、これらが一致した場合にのみ、ポート３５ｂに接続されたＰＣから受信したフレームに対応する送信フレームを再作成してスイッチ３４ａに送信する。なお、スイッチ３４ｂは、ポート３５ｂに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３５ｂが持っているＶＬＡＮタグ情報とが一致しない場合には、受信したフレームを破棄する。
【００５５】
また、スイッチ３４ｂは、ポート３６ｂに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３６ｂが持っているＶＬＡＮタグ情報とを比較し、これらが一致した場合にのみ、ポート３６ｂに接続されたＰＣから受信したフレームに対応する送信フレームを再作成してスイッチ３４ａに送信する。なお、スイッチ３４ｂは、ポート３６ｂに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３６ｂが持っているＶＬＡＮタグ情報とが一致しない場合には、受信したフレームを破棄する。
【００５６】
また、スイッチ３４ｂは、ポート３７ｂに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３７ｂが持っているＶＬＡＮタグ情報とを比較し、これらが一致した場合にのみ、ポート３７ｂに接続されたＰＣから受信したフレームに対応する送信フレームを再作成してスイッチ３４ａに送信する。なお、スイッチ３４ｂは、ポート３７ｂに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３７ｂが持っているＶＬＡＮタグ情報とが一致しない場合には、受信したフレームを破棄する。
【００５７】
図５はスイッチ３４ａが実行するフレーム処理例を説明するための図であり、スイッチ３４ａのポート３５ａにＶＬＡＮ１に属するＰＣ３１ａが接続されている場合である。図５中、９０はスイッチ３４ａがＰＣ３１ａから受信したフレームであり、スイッチ３４ａは、ＰＣ３１ａからフレーム９０を受信すると、この受信したフレーム９０からＶＬＡＮタグ情報とＩＰパケットのみを抽出し、比較器７４において、受信フレーム９０から抽出したＶＬＡＮタグ情報９１とポート３５ａが持っているＶＬＡＮタグ情報９２とを比較する。
【００５８】
本例の場合には、受信フレーム９０から抽出したＶＬＡＮタグ情報９１内のＶＬＡＮ番号と、ポート３５ａが持っているＶＬＡＮタグ情報９２内のＶＬＡＮ番号とは、共にＶＬＡＮ１を指定するＶＬＡＮ番号であるから、受信フレーム９０から抽出したＶＬＡＮタグ情報９１とポート３５ａが持っているＶＬＡＮタグ情報９２は一致する。
【００５９】
したがって、この場合には、再度、ネットワークＬＳＩ８０において送信フレーム９３が組み立てられる。具体的には、スイッチ３４ａは、従来の場合と同様に、ポート３５ａが持っている情報（送信先ＭＡＣアドレス、送信元ＭＡＣアドレスおよびＶＬＡＮタグ情報）を使用し、更に、プリアンブルの追加と、長さとＦＣＳの計算を行い、送信フレーム９３を組み立てることになる。
【００６０】
図６はスイッチ３４ａが実行するフレーム処理例を説明するための図であり、スイッチ３４ａのポート３５ａにＶＬＡＮ２に属するＰＣ３２ａが接続された場合である。図６中、９４はポート３５ａに接続されたＰＣ３２ａから受信したフレームであり、スイッチ３４ａは、ＰＣ３２ａからフレーム９４を受信すると、この受信フレーム９４からＶＬＡＮタグ情報とＩＰパケットのみを抽出し、比較器７４において、受信フレーム９４から抽出したＶＬＡＮタグ情報９５とポート３５ａが持っているＶＬＡＮタグ情報９２とを比較する。
【００６１】
本例の場合、受信フレーム９４から抽出したＶＬＡＮタグ情報９５内のＶＬＡＮ番号はＶＬＡＮ２を指定するＶＬＡＮ番号であり、ポート３５ａが持っているＶＬＡＮタグ情報９２はＶＬＡＮ１を指定するＶＬＡＮ番号であるから、受信フレーム９４から抽出したＶＬＡＮタグ情報９５とポート３５ａが持っているＶＬＡＮタグ情報９２は一致しない。この場合には、受信フレーム９４に対応する送信フレームが再作成されることはなく、受信フレーム９４は破棄される。
【００６２】
以上のように、本発明のタグベースＶＬＡＮのセキュリティ方法の一実施形態においては、スイッチ３４ａは、ＰＣ３１ａ〜３３ａから受信したフレーム内のＶＬＡＮタグ情報とＰＣ３１ａ〜３３ａが接続されたポートが持つＶＬＡＮタグ情報とが一致する場合にのみ、ＰＣ３１ａ〜３３ａから受信したフレームに対応する送信フレームを再作成し、これをスイッチ３４ｂに送信する。
【００６３】
換言すれば、スイッチ３４ａは、ＰＣ３１ａ〜３３ａから受信したフレーム内のＶＬＡＮタグ情報とＰＣ３１ａ〜３３ａが接続されたポートが持つＶＬＡＮタグ情報とが一致しない場合には、ＰＣ３１ａ〜３３ａから受信したフレームに対応する送信フレームを再作成しない。
【００６４】
即ち、スイッチ３４ａのポート３５ａ〜３７ａのいずれかに接続したＰＣは、その接続先のポートが持つＶＬＡＮタグ情報の設定をネットワーク管理者により行われていない場合には、他のＰＣと通信を行うことができない。
【００６５】
また、スイッチ３４ｂは、ＰＣ３１ｂ〜３３ｂから受信したフレーム内のＶＬＡＮタグ情報とＰＣ３１ｂ〜３３ｂが接続されたポートが持つＶＬＡＮタグ情報とが一致する場合にのみ、ＰＣ３１ｂ〜３３ｂから受信したフレームに対応する送信フレームを再作成し、これをスイッチ３４ａに送信する。
【００６６】
換言すれば、スイッチ３４ｂは、ＰＣ３１ｂ〜３３ｂから受信したフレーム内のＶＬＡＮタグ情報とＰＣ３１ｂ〜３３ｂが接続されたポートが持つＶＬＡＮタグ情報とが一致しない場合には、ＰＣ３１ｂ〜３３ｂから受信したフレームに対応する送信フレームを再作成しない。
【００６７】
即ち、スイッチ３４ｂのポート３５ｂ〜３７ｂのいずれかに接続したＰＣは、その接続先のポートが持つＶＬＡＮタグ情報の設定をネットワーク管理者により行われていない場合には、他のＰＣと通信を行うことができない。
【００６８】
したがって、本発明のタグベースＶＬＡＮのセキュリティ方法の一実施形態によれば、不正なＰＣによる通信を防ぐことができ、タグベースＶＬＡＮのセキュリティを高めることができる。
【図面の簡単な説明】
【００６９】
【図１】本発明のタグベースＶＬＡＮのセキュリティ方法の一実施形態が実施されるタグベースＶＬＡＮの構成例を示す図である。
【図２】図１に示すタグベースＶＬＡＮが備えるパーソナルコンピュータ内のＬＡＮカードを示す図である。
【図３】図１に示すタグベースＶＬＡＮが備えるパーソナルコンピュータの送信フレーム例を示す図である。
【図４】本発明の中継装置の一実施形態であるスイッチの概略的構成図である。
【図５】本発明の中継装置の一実施形態であるスイッチが実行するフレーム処理例を説明するための図である。
【図６】本発明の中継装置の一実施形態であるスイッチが実行するフレーム処理例を説明するための図である。
【図７】ＩＥＥＥ８０２.３に従ったフレームの構成図である。
【図８】ＩＥＥＥ８０２.１Ｑに従ったフレームの構成図である。
【図９】ポートベースＶＬＡＮの構成例を示す図である。
【図１０】タグベースＶＬＡＮの構成例を示す図である。
【図１１】図１０に示すタグベースＶＬＡＮが備えるスイッチの概略的構成図である。
【図１２】図１０に示すタグベースＶＬＡＮが備えるスイッチが実行するフレーム処理を説明するための図である。
【図１３】図１０に示すタグベースＶＬＡＮが有する問題点を説明するための図である。
【図１４】図１０に示すタグベースＶＬＡＮが有する問題点を説明するための図である。
【符号の説明】
【００７０】
１ａ〜３ａ、１ｂ〜３ｂ…パーソナルコンピュータ（ＰＣ）
４ａ、４ｂ…スイッチ
５ａ〜１０ａ、５ｂ〜１０ｂ…ポート
１１ａ〜１３ａ、１１ｂ〜１３ｂ、１４〜１６…ＬＡＮケーブル
１８…ネットワークＬＳＩ
１９…メモリ
２０ａ〜２３ａ…ＰＨＹ（物理層）デバイス
２４…受信フレーム
２５…送信フレーム
２６…スイッチのポートが持っている情報
２８…ＶＬＡＮ１共有サーバ
２９…不正なパーソナルコンピュータ（不正なＰＣ）
３１ａ〜３３ａ、３１ｂ〜３３ｂ…パーソナルコンピュータ（ＰＣ）
３４ａ、３４ｂ…スイッチ（本発明の中継装置の一実施形態）
３５ａ〜３８ａ、３５ｂ〜３８ｂ…ポート
４１ａ〜４３ａ、４１ｂ〜４３ｂ、４４…ＬＡＮケーブル
５１ａ〜５３ａ、５１ｂ〜５３ｂ…ＬＡＮカード
６１ａ〜６３ａ、６１ｂ〜６３ｂ…ＣＰＵ
７１ａ〜７３ａ、７１ｂ〜７３ｂ…フラッシュメモリ
８０…ネットワークＬＳＩ
８１…ＣＰＵ
８２…ＳＤＲＡＭ
８３…フラッシュメモリ
８４…比較器
８５ａ〜８８ａ…ＰＨＹ（物理層）デバイス
９０…受信フレーム
９１、９２…ＶＬＡＮタグ情報
９３…送信フレーム
９４…受信フレーム
９５…ＶＬＡＮタグ情報
【図１】
2009033577.tif 000003
【図２】
2009033577.tif 000004
【図３】
2009033577.tif 000005
【図４】
2009033577.tif 000006
【図５】
2009033577.tif 000007
【図６】
2009033577.tif 000008
【図７】
2009033577.tif 000009
【図８】
2009033577.tif 000010
【図９】
2009033577.tif 000011
【図１０】
2009033577.tif 000012
【図１１】
2009033577.tif 000013
【図１２】
2009033577.tif 000014
【図１３】
2009033577.tif 000015
【図１４】
2009033577.tif 000016