JP2017130963A - ネットワーク装置、及び、通信方法 - Google Patents
ネットワーク装置、及び、通信方法 Download PDFInfo
- Publication number
- JP2017130963A JP2017130963A JP2017050031A JP2017050031A JP2017130963A JP 2017130963 A JP2017130963 A JP 2017130963A JP 2017050031 A JP2017050031 A JP 2017050031A JP 2017050031 A JP2017050031 A JP 2017050031A JP 2017130963 A JP2017130963 A JP 2017130963A
- Authority
- JP
- Japan
- Prior art keywords
- address
- packet
- network device
- received
- learn
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
【課題】IPネットワークへの接続可能な端末を簡易に設定するネットワーク装置を提供する。
【解決手段】ネットワーク装置(パケット転送装置)は、複数の端末のアドレスを学習できるか否かを示す学習情報と、パケットの転送が許可されるか否かを示すフィルタ情報とを保持し、フィルタ情報に基づいてパケットを転送する転送部を有する。転送部は、端末からパケットを受信した場合、パケットを受信した際にネットワーク装置がアドレスを学習できるか否かを、学習情報に基づいて判定し、ネットワーク装置がアドレスを学習できる場合、受信したパケットの送信元のアドレスをフィルタ情報に格納し、ネットワーク装置がアドレスを学習できない場合、受信したパケットの送信元のアドレスをフィルタ情報に格納せず、フィルタ情報に含まれるアドレスに基づいて受信したパケットを転送すべきかを判定する。
【選択図】図1
【解決手段】ネットワーク装置(パケット転送装置)は、複数の端末のアドレスを学習できるか否かを示す学習情報と、パケットの転送が許可されるか否かを示すフィルタ情報とを保持し、フィルタ情報に基づいてパケットを転送する転送部を有する。転送部は、端末からパケットを受信した場合、パケットを受信した際にネットワーク装置がアドレスを学習できるか否かを、学習情報に基づいて判定し、ネットワーク装置がアドレスを学習できる場合、受信したパケットの送信元のアドレスをフィルタ情報に格納し、ネットワーク装置がアドレスを学習できない場合、受信したパケットの送信元のアドレスをフィルタ情報に格納せず、フィルタ情報に含まれるアドレスに基づいて受信したパケットを転送すべきかを判定する。
【選択図】図1
Description
本発明は、ネットワーク装置に関する。
現在、IPネットワークを利用するため、広く普及した汎用品を利用することができる。このため、ネットワーク装置がなんらかの制限をかけない場合、意図した端末だけでなく、さまざまな端末が容易にIPネットワークに接続することができる。そして、意図しない端末がIPネットワークに接続されることによって、IPネットワークに不正なデータが流れたり、セキュリティが侵害されたりする可能性がある。
一方、ネットワーク装置は、端末から送信されたパケットを他の端末に転送するため、ネットワーク装置が有するインタフェース(ポート)と端末との対応関係を保持する。そして、この対応関係を追加又は更新することは、アドレスの学習と呼ばれる。
従来、アドレス学習の可否を判定するため、ネットワーク装置が保持する条件を用いる技術が提案されている(例えば、特許文献1参照)。特許文献1には、「ネットワーク中継装置と接続された端末装置による特定ネットワークへの接続の可否を判定するWeb認証の結果に従い認証済み端末装置を特定する第1の情報を作成し、前記第1の情報に基づき端末装置と前記特定のネットワーク上のノードとの間の通信データの前記通信部による中継の可否を管理する」ネットワーク中継装置が記載される。
ネットワークの管理者は、本来意図しない端末がIPネットワークへ接続することを防ぎ、かつ、IPネットワークに不正なデータが流れないような安全なネットワークを構築する必要がある。そして、ネットワーク管理者は、安全なネットワークが構築されるようにネットワーク装置にアドレスを学習させる必要がある。
しかし、IPネットワークへ流入するデータをネットワーク装置が制限するようにネットワーク装置を設定することは、一般的なユーザにとって困難である。これは、そのネットワーク装置への設定が複雑であり、設定のために専門的かつ高度な知識が必要であるためである。
さらに、特許文献1の技術を用いた場合、特許文献1の技術を用いる場合、認証機能とDHCPサーバの利用が必要であり、ネットワークの設計およびネットワーク装置設定に専門知識が必要となる。
本発明では、ネットワークの特別な専門知識がなくても、IPネットワークへ接続可能な端末を設定でき、さらに、安全なIPネットワークの構築を可能にする装置を提供することを目的とする。
本発明の一態様によると、IPネットワークと複数の端末の間に位置するネットワーク装置であって、複数の端末に接続され、端末から送信されるパケットを受信した場合、受信したパケットを用いて端末のアドレスを学習しアドレス情報を生成する学習処理、または、パケットの転送が許可されるか否かを示すフィルタ情報に基づいて受信したパケットを転送制御するフィルタリング処理を行う。
より具体的には、本発明の一形態によると、ネットワーク装置であって、プロセッサ及びメモリを有し、複数の端末に接続され、前記複数の端末から送信されるパケットを受信するネットワークインタフェースを有し、前記ネットワーク装置が前記複数の端末のアドレスを学習できるか否かを示す学習情報と、前記パケットの転送が許可されるか否かを示すフィルタ情報と、を保持し、前記フィルタ情報に基づいてパケットを転送する転送部を有し、前記転送部は、端末からパケットを受信した場合、前記パケットを受信した際に前記ネットワーク装置が前記アドレスを学習できるか否かを、前記学習情報に基づいて判定し、前記ネットワーク装置がアドレスを学習できる場合、前記受信したパケットの送信元のアドレスを前記フィルタ情報に格納し、前記ネットワーク装置がアドレスを学習できない場合、前記受信したパケットの送信元のアドレスを前記フィルタ情報に格納せず、前記フィルタ情報に含まれるアドレスに基づいて前記受信したパケットを転送すべきかを判定する。
本発明の一実施形態によると、IPネットワークへの接続可能な端末を簡易に設定できる。
上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。
本実施例のネットワーク装置は、所定の有効時間内に通信した端末のみの通信を許可することによって、IPネットワークを設定する際に接続された端末のみの通信を可能にする。
以下において、図面を参照しながら本実施例のパケット転送装置を説明する。
図1は、本実施例のネットワークシステムを示すブロック図である。
本実施例のネットワークシステムは、ネットワーク10、少なくとも一つのパケット転送装置100(100a〜100c)、少なくとも一つのサーバ410、及び、複数の端末400(400a〜400e)を有する。ネットワーク10は、例えば、IPネットワークである。
パケット転送装置100は、ネットワーク10に設置され、端末400及びサーバ410から送信されるパケットを受信する。また、パケット転送装置100は、他のパケット転送装置100から送信されたパケットを受信する。パケット転送装置100は、プロセッサを有するネットワーク装置である。
端末400は、プロセッサを有する計算機であり、例えば、ユーザが直接使用するパーソナルコンピュータであってもよい。また、端末400は、例えば、温度等を測定するためのセンサを備える端末であってもよい。
サーバ410は、パケット転送装置100を介して端末400と通信する。サーバ410は、プロセッサを有する計算機である。サーバ410は、例えば、アプリケーションによるサービスを端末400に提供する計算機であってもよく、また、端末400が測定した結果を収集し、集計し、集計した結果をユーザに提供する計算機であってもよい。
また、サーバ410は、入出力装置500を有してもよい。入出力装置500は、ユーザが、サーバ410を介してパケット転送装置100に指示を入力するために用いられる装置である。また、入出力装置500は、パケット転送装置100における処理結果を、ユーザに出力するための装置である。
入出力装置500は、例えば、ディスプレイ、プリンタ、キーボード、マウス、又はタブレット端末を備える装置である。なお、入出力装置500は、パケット転送装置100が有してもよい。
図1に示すパケット転送装置100aは、複数の端末400(400a、400b)及びサーバ410に接続される。パケット転送装置100は、制御部202、転送部300及び少なくとも一つのインタフェース110を有する。
制御部202は、プロセッサ及びメモリを有する。プロセッサは、メモリ204が保持するプログラムを実行することによって制御部202の機能を実装する。
制御部202は、アドレス管理部200及び少なくとも一つのアドレステーブル201を有する。アドレス管理部200は、端末400及びサーバ間で送受信されるパケットを転送するためのアドレスを管理する機能部である。
アドレス管理部200は、ユーザからの指示1501を受け付ける。指示1501は、入出力装置500を介して、コンソールケーブルにてパケット転送装置100に送られる。なお、入出力装置500からパケット転送装置100への通知は、インタフェース110を介したパケット通信でもよい。
なお、アドレス管理部200は、プログラムによって実装されてもよいし、制御部202に組み込まれる集積回路等の物理的な装置によって実装されてもよい。また、制御部202は、プログラムによって実装されてもよいし、パケット転送装置100に組み込まれる集積回路等の物理的な装置として実装されてもよい。
アドレステーブル201は、パケット転送装置100を介して通信できる端末400又はサーバ410のアドレスを示す。さらに、本実施例のアドレステーブル201は、アドレス管理部200がアドレステーブル201にアドレスを設定することができるか否かを示す学習情報を保持する。また、アドレステーブル201は、学習してもよいアドレスを保持する。
本実施例における学習情報は、パケット転送装置100がアドレスを学習できるか否かを示す。例えば、学習情報は、単なる「学習可」又は「学習不可」を示してもよいし、アドレスを学習できる時間を、有効時間として示してもよい。
以下において、アドレステーブル201が有する学習情報が、有効時間(後述する有効時間211)である場合を説明する。
制御部202は、アドレステーブル201を、インタフェース110に対応させて保持してもよい。このため、アドレステーブル201は、パケット転送装置100が接続される端末400、又は、サーバ410ごとに設定されてもよいし、同一のネットワークアドレスを持つ装置で構成されるネットワークセグメントごとに設定されてもよい。
転送部300は、パケットを転送するための装置である。転送部300は、プロセッサ及びメモリを有する。また、転送部300は、機能部としてデータ転送部303を有し、情報として、転送テーブル301、フィルタテーブル302及び有効時間305を保持する。
データ転送部303は、プログラムによって実装されてもよいし、転送部300に組み込まれる集積回路等の物理的な装置によって実装されてもよい。また、転送部300は、プログラムによって実装されてもよいし、パケット転送装置100に組み込まれる集積回路等の物理的な装置として実装されてもよい。
転送テーブル301は、パケット転送装置100を介して通信できる端末400又はサーバ410のアドレスを示す。
フィルタテーブル302は、パケット転送装置100が転送しないパケットの送信元のアドレスを示す。
有効時間305は、アドレス管理部200に設定された有効時間211に対応する。具体的には、有効時間211がユーザの指示に従って設定された際、データ転送部303は、アドレステーブル201の有効時間211に基づいて、有効時間305を更新する。有効時間211が複数のインタフェース110に対応して複数設定される場合、有効時間305は、インタフェース110に対応して値を保持してもよいし、複数の有効時間211をマージした値を保持してもよい。
例えば、1時〜3時を示す有効時間211aと2時〜4時を示す有効時間211bとがアドレステーブル201に設定されていた場合、データ転送部303は、1時〜3時と2時〜4時とを、1時〜4時に変換することによってマージし、1時〜4時を示す値によって有効時間305を更新してもよい。これによって、有効時間305が保持する情報量を低減できる。
また、有効時間211が時間ではなく、「学習可」又は「学習不可」を示す場合、データ転送部303は、少なくとも一つの有効時間211が「学習可」を示す場合、有効時間305として「学習可」を保持してもよい。
本実施例において、アドレステーブル201のアドレス及び転送テーブル301のアドレスは、同じである。アドレステーブル201は、転送テーブル301にアドレスを設定するためのテーブルである。
また、本実施例におけるアドレスの学習は、アドレステーブル201にアドレスを設定し、アドレステーブル201のアドレスを転送テーブル301に格納することである。
インタフェース110(110a、110b)は、端末400又はサーバ410と接続するためのネットワークインタフェースである。本実施例のインタフェース110は、例えば、ポートである。また、インタフェース110は、他のパケット転送装置100のインタフェース110と接続されてもよい。
インタフェース110は、端末400又はサーバ410が属するネットワークセグメントの各々と接続されてもよいし、端末400の各々と接続されてもよいし、サーバ410の各々と接続されてもよい。
以下において、端末400aは、IPアドレスとして192.168.1.1が割り当てられており、さらに、MACアドレスとして0000.1111.1401が割り当てられる。また、端末400bは、IPアドレスとして192.168.1.2が割り当てられており、さらに、MACアドレスとして0000.1111.1402が割り当てられる。また、端末400a及び端末400bは、IPアドレスのうち上位24ビットがネットワークアドレスであり、端末400a及び端末400bはネットワークアドレスが192.168.1.0である一つのネットワークセグメントに属する。
サーバ410は、IPアドレスとして10.0.0.1が割り当てられ、MACアドレスとして0000.1111.1403が割り当てられる。また、サーバ410が属するネットワークは、端末400a及び端末400bが属するネットワークとは異なるネットワークセグメントに属する。サーバ410のIPアドレスは上位8ビットがネットワークアドレスであり、サーバ410が属するネットワークセグメントのネットワークアドレスは、10.0.0.0である。
図2は、本実施例のアドレステーブル201を示す説明図である。
アドレステーブル201(201a、201b)は、有効時間211(211a、211b)、アドレス212(212a、212b)及び許可アドレス213(213a、213b)を含む。有効時間211は、アドレス212にアドレスを設定できる期間である。
有効時間211は、時間、終了時刻、又は、開始時刻及び終了時刻等、所定の期間を示すことができれば、いずれの方法によって指定されてもよい。また、有効時間211は、前述の学習情報の内容を示してもよく、例えば、「学習可」又は「学習不可」を示してもよい。
アドレス管理部200は、指示1501によってユーザから学習情報として有効時間を入力された場合、アドレステーブル201の有効時間211に入力された有効時間を格納する。そして、アドレス管理部200は、例えば、有効時間211が、開始時刻を含まず、時間によって指定される場合、ユーザから入力された有効時間を有効時間211に格納した時から、有効時間211が示す時間、アドレス212を更新できる。
また、アドレス管理部200は、指示1501によって学習情報として「学習可」又は「学習不可」を入力された場合、アドレステーブル201の有効時間211に入力された値を格納する。
アドレス212は、パケット転送装置100を介して通信できる端末400又はサーバ410のアドレスを示す。本実施例のアドレス212は、IPアドレス及びMACアドレスを格納する。
許可アドレス213は、学習が許可されたアドレスを示す。具体的には、許可アドレス213は、アドレス212に設定することができるアドレスを示す。なお、許可アドレス213は、学習を許可されていないアドレスを示してもよい。
メモリ204は、一つのインタフェース110に対して一つのアドレステーブル201を有してもよいし、複数のインタフェース110に対して一つのアドレステーブル201を有してもよい。
すなわち、メモリ204は、パケット転送装置100に接続する端末400又はサーバ410が属するネットワークセグメントに対して、一つのアドレステーブル201を有してもよく、また、パケット転送装置100に接続する端末400の各々に対して、一つのアドレステーブル201を有してもよい。
インタフェース110に対してアドレステーブル201を有し、さらに、インタフェース110に対して有効時間211を有することによって、ユーザは、パケット転送装置100に、インタフェースの各々について、アドレスを学習させることができる。
図2に示すアドレステーブル201aは、端末400a及び端末400bが属するネットワークセグメントに対応するアドレステーブルである。また、図2に示すアドレステーブル201bは、サーバ410が属するネットワークに対応するアドレステーブルである。
また、図2に示すアドレス212aは、端末400a及び端末400bが属するネットワークセグメントにおいて、パケット転送装置100を介して通信することを許可された装置がないことを示す。また、図2に示すアドレス212bは、サーバ410が属するネットワークセグメントにおいて、サーバ410のみがパケット転送装置100を介して通信することを許可されていることを示す。
図3Aは、本実施例の転送テーブル301を示す説明図である。
転送テーブル301は、インタフェース3011、IPアドレス3012及びMACアドレス3013を含む。インタフェース3011は、パケット転送装置100のインタフェース110を示す。
IPアドレス3012は、インタフェース3011が示すインタフェース110に接続される装置のIPアドレスであり、かつ、パケット転送装置100を介して通信する装置のIPアドレスを示す。
MACアドレス3013は、インタフェース3011が示すインタフェース110に接続される装置のMACアドレスであり、かつ、パケット転送装置100を介して通信する装置のMACアドレスを示す。
図3Aに示す転送テーブル301は、パケット転送装置100が、サーバ410が属するネットワークセグメントが接続されるインタフェース110bから、サーバ410を宛先とするパケットのみを送信できることを示す。
パケット転送装置100が受信したパケットの宛先へのネクストホップが、転送テーブル301が示すIPアドレス3012及びMACアドレス3013と一致しない場合、転送部300は、受信したパケットを破棄してもよい。これによって、データ転送部303は、学習していないアドレスへのパケットの転送を防ぐことができる。そして、不正なデータがIPネットワークに流入することを防ぐことができる。
パケット転送装置100が受信したパケットの宛先へのネクストホップが、転送テーブル301が示すIPアドレス3012及びMACアドレス3013と一致する場合、データ転送部303はパケットの宛先に従ってパケットを転送する。
図3Bは、本実施例のフィルタテーブル302を示す説明図である。
フィルタテーブル302は、フィルタチェック順番3021、送信元IPアドレス3022、送信元MACアドレス3023、及び転送許可3024を含む。フィルタチェック順番3021は、フィルタテーブル302のエントリを採用する優先順位を示す。
具体的には、本実施例のデータ転送部303は、フィルタチェック順番3021の数字が低い順に、フィルタテーブル302のエントリを検索する。そして、データ転送部303は、エントリが示すアドレスの条件が一致した場合、一致したエントリの転送許可3024に従って、パケットを転送するか否かを決定する。データ転送部303は、フィルタテーブル302を用いて受信するパケットをフィルタリングし、パケット転送制御を行う。
送信元IPアドレス3022は、パケット転送装置100が受信したパケットの送信元のIPアドレスを示す。送信元MACアドレス3023は、パケット転送装置100が受信したパケットの送信元のMACアドレスを示す。
転送許可3024は、送信元IPアドレス3022及び送信元MACアドレス3023のアドレスをヘッダに含むパケットの転送を、許可するか否かを示す。
メモリ304は、フィルタテーブル302を、パケット転送装置100に接続する端末400又はサーバ410が属するネットワークセグメント毎に有してもよく、また、パケット転送装置100に接続する端末400又はサーバ410毎に有してもよい。
図3Bに示すフィルタテーブル302aは、端末400a及び端末400bが属するネットワークセグメントからの接続を制御するためのフィルタテーブル302である。また、図3Bに示すフィルタテーブル302bは、サーバ410が属するネットワークセグメントからの接続を制御するためのフィルタテーブル302である。
また、図3Bに示すフィルタテーブル302aは、端末400a及び端末400bが属するネットワークセグメントから送信されるパケットを、データ転送部303は、すべて転送しないことを示す。また、図3Bに示すフィルタテーブル302bは、サーバ410が属するネットワークセグメントから送信されるパケットのうち、サーバ410から送信されたパケット以外のパケットを、データ転送部303は、すべて転送しないことを示す。
フィルタテーブル302を用いることによって、データ転送部303は、一つのネットワークセグメントに属する複数の装置が、パケット転送装置100によるアドレス解決なしに、相互にアドレス解決を行うことを防ぐことができる。
具体的には、端末400a及び端末400bが同じネットワークセグメントに属する場合、端末400aは、パケット転送装置100宛てにパケットを送信することなく、端末400aが端末400bへアドレス解決要求を直接送信し、端末400bのMACアドレスを解決することができる。
そして、端末400aが端末400bのMACアドレス宛てにパケットを送信することによって、端末400a及び端末400bが通信することができる。しかし、この場合、パケット転送装置100のアドレス管理部200は、端末400a及び端末400bのIPアドレス及びMACアドレスを学習することができない。
また、一つのネットワークセグメントに属する複数の装置が、パケット転送装置100によるアドレス解決なしでパケットを相互に送受信することは、セキュリティの観点から望ましくない。
そこで、本実施例のパケット転送装置100は、一つのネットワークセグメントにおいて送受信されるパケットを有効時間(有効時間211及び有効時間305)内に受信した場合、そのパケットを正当なパケットとみなし、パケットの送信元のアドレスを学習する。そして、データ転送部303は、フィルタテーブル302を参照することによって、有効時間においてパケットを送信した装置のパケットのみを転送する。データ転送部303は、有効時間内に学習することにより取得したアドレスを含むフィルタテーブル302を用いて受信するパケットをフィルタリングし、パケット転送制御を行う。
これによって、パケット転送装置100は、学習されたアドレス以外のアドレスから送信されたパケットを有効時間外に受信した場合、パケットの転送を制限することができる。
さらに、本実施例のパケット転送装置100は、一つのネットワークセグメントに属する複数の装置が、有効時間内にアドレス解決要求を相互に送信した場合、アドレス解決要求の送信元のアドレスを学習する。このため、データ転送部303は、有効時間305が示す時間、一つのネットワークセグメントに属する複数の装置間のアドレス解決要求を、制御部203に転送する。
図4は、本実施例のパケットを受信した場合のアドレス管理部200の処理を示すフローチャートである。
以下の説明において、図4に示す処理の開始時、アドレステーブル201、転送テーブル301及びフィルタテーブル302は、図2に示すアドレステーブル201、並びに、図3Aに示す転送テーブル301及び図3Bに示すフィルタテーブル302と同じである。
端末400aは、パケット転送装置100に向けてパケットを送信する。端末400aがパケット転送装置100に向けて送信するパケットには、アドレス解決要求と、端末400aと同じネットワークセグメントに属する端末400へ送信するパケットとが含まれる。
アドレス解決要求には、送信元のIPアドレス及びMACアドレスが含まれ、さらに、解決したいアドレスとしてパケット転送装置100のIPアドレスが含まれる。なお、端末400及びサーバ410は、パケット転送装置100のIPアドレスを、あらかじめ保持する。
パケット転送装置100のデータ転送部303は、インタフェース110を介してパケットを受信する。インタフェース110を介してパケットを受信した場合、インタフェース110を制御する機能部、又は、転送部300は、受信したパケットに、パケットを受信したインタフェース110の識別子を付加する。
そして、データ転送部303は、パケットを受信した場合、有効時間305を参照し、受信した時刻が有効時間305が示す時間内であるか否かを判定する(S900)。
なお、以下においてパケットを受信した時刻は、インタフェース110がパケットを受信した時刻である。しかし、S900におけるパケットを受信した時刻は、インタフェース110がパケットを受信した時刻から、S900までの時刻であれば、いずれの時刻でもよい。
また、有効時間305がインタフェース110に対応して値を保持する場合、データ転送部303は、S900において、パケットを受信したインタフェース110に対応する有効時間305を参照する。
なお、有効時間305が「学習可」又は「学習不可」であるかを示す場合、データ転送部は、S900において、有効時間305が「学習可」か否かを判定する。そして、データ転送部303は、「学習可」である場合S901を実行し、「学習不可」である場合S1100を実行する。
S900において、受信した時刻が有効時間305が示す時間内である場合、データ転送部303は、受信したパケットが、パケット転送装置100を宛先とするパケット(自宛てのパケット)であるか、送信元のIPアドレスと宛先のIPアドレスとがパケット転送装置100を宛先としておらず且つ送信元のIPアドレスと宛先のIPアドレスとが同じネットワークセグメントに属するパケット(参照するパケット)であるか、又は、その他のパケットであるかを判定する(S901)。
本実施例では、端末400a及び端末400bはIPアドレスのうち上位24ビットをネットワークアドレスとしており、サーバ410はIPアドレスのうち上位8ビットをネットワークアドレスとしている。送信元のIPアドレスと宛先のIPアドレスとが、同じネットワークセグメントに属する場合は、送信元のIPアドレスと宛先のIPアドレスのネットワークアドレスが一致する。
S900においてパケットを受信した時刻が有効時間305が示す時間外である場合、又は、S901においてその他のパケットであると判定された場合、受信したパケットはアドレス学習対象パケットではないため、データ転送部303は、S1100に進む。
なお、図4に示す処理において、データ転送部303は、自宛てのパケットではなく、また、異なるネットワークセグメント間で送受信されるパケットを、アドレス学習対象パケットの候補から除外する。しかし、データ転送部303は、S901を省略してもよく、有効時間305内に受信するすべてのパケットをアドレス学習対象パケットの候補としてもよい。
データ転送部303は、フィルタテーブル302を参照し、受信したパケットが廃棄するパケットか否か判定する(S1100)。廃棄するパケットである場合、データ転送部303は、パケットを廃棄し、さらに、フィルタテーブル302に登録されていないパケットを受信したことを制御部202へ通知する。
制御部202のアドレス管理部200は、フィルタテーブル302に登録されていないパケットを受信したことをサーバ410の入出力装置500に表示する(S1007)。データ転送部303は、S1100において廃棄するパケットでないと判定した場合、S1101に進む。
データ転送部303は、S1101において、転送テーブル301を参照し、受信したパケットの宛先のネクストホップが登録されているか否か判定する。登録されている場合、S1101のYesに進み、データ転送部303は、パケットを宛先に向けて送信する。一方、受信したパケットが登録されていないネクストホップへのパケットである場合、データ転送部303は、パケットを廃棄し、さらに、転送テーブル301に登録されていないパケットを受信したことを制御部202へ通知する。
制御部202のアドレス管理部200は、データ転送部303から、転送テーブル301に登録されていないパケットを受信したことを通知された場合、転送テーブル301に登録されていないパケットを受信したことを、サーバ410の入出力装置500に表示する(S1007)。また、S1007において、アドレス管理部200は、転送すべきでないパケットを受信したことを示すログを生成してもよい。
S901においてパケットが自宛てのパケットであると判定された場合、データ転送部303は、パケットを制御部202へ転送する(S903)。
S901において、受信したパケットが同じネットワークにおけるパケットであると判定された場合、データ転送部303は、受信したパケットを参照し、受信したパケットからヘッダ情報等の内容を取得する(S902)。ここで取得する内容には、送信元のIPアドレス及びMACアドレス、並びに、受信したインタフェース110の識別子等が含まれる。
S902において、データ転送部303は、参照したパケットをパケットが示す宛先に従って転送する。
そして、S902の後、データ転送部303は、参照によって取得した内容を、パケットとして制御部202に転送する(S903)。これは、本実施例のパケット転送装置100は、同じネットワークセグメントに属する二つの装置間で有効時間内に送受信されるパケットを、必要な通信によるパケットとみなし、このようなパケットのアドレスを学習するためである。そして、これにより、パケット転送装置100は、同じネットワークセグメント内で必要な通信を許可することができる。
なお、データ転送部303は、S902において参照によってパケットの内容を取得したが、パケットを複製してもよい。
アドレス管理部200は、制御部202がデータ転送部303からパケットを受信した場合、受信したパケットがアドレス解決要求以外の自宛てのパケットであるか否かを、受信したパケットが含むヘッダ情報に基づいて判定する(S1000)。
受信したパケットがアドレス解決要求以外の自宛てのパケットである場合、受信したパケットは図4に示す処理の対象外であるため、アドレス管理部200は、図4に示す処理を終了する。
受信したパケットがアドレス解決要求であるか、又は、自宛て以外のパケットである場合、アドレス管理部200は、受信したパケットに付加されたインタフェース110の識別子を参照し、パケットを受信したインタフェース110に対応するアドレステーブル201を特定する。例えば、アドレス管理部200は、受信したパケットの送信元が端末400aであり、インタフェース110aを介してパケットを受信した場合、インタフェース110aに対応するアドレステーブル201aを特定する。
そして、アドレス管理部200は、パケットを受信した時刻が、特定されたアドレステーブル201(前述の例において、アドレステーブル201a)の有効時間211(前述の例において、有効時間211a)内であるか否かを判定する(S1001)。なお、S1001におけるパケットを受信した時刻は、インタフェース110がパケットを受信した時刻から、S1001までの時刻であれば、いずれの時刻でもよい。
また、有効時間305がインタフェース110に対応した値を保持する場合、S1001の処理は省略されてもよい。
S1001において、パケットを受信した時刻が有効時間211内である場合、受信したパケットは、アドレスを学習すべきパケットである可能性が高い。このため、アドレス管理部200は、特定されたアドレステーブル201の許可アドレス213を参照し、受信したパケットの送信元(前述の例において、端末400a)のアドレスを学習すべきであるか否かを判定する(S1002)。
S1002において、許可アドレス213に基づいて、受信したパケットの送信元のアドレスを学習すべきであると判定した場合、受信したパケットの送信元のアドレスを学習することが許可されているため、パケット転送装置100は、送信元のアドレスを学習する。
このため、アドレス管理部200は、S1003〜S1006を実行することによって、受信したパケットの送信元(前述の例において、端末400a)のアドレスを、転送部300に送信し、学習させる。許可アドレス213を用いることによって、ユーザが指定したアドレスのみをパケット転送装置100に学習させることができる。
また、S1001において、パケットを受信した時刻が有効時間211内ではないと判定された場合、又は、S1002において、パケットの送信元のアドレスを学習すべきではないと判定された場合、アドレス管理部200は、受信したパケットのアドレスを学習せず、受信したパケットを破棄する。
そして、アドレス管理部200は、アドレスを学習すべきではないパケットを受信したことを出力する(S1007)。例えばS1007において、アドレス管理部200は、有効時間外にアドレス解決要求を受信したこと、又は、許可されていない装置から同一ネットワークセグメント内の他の装置に向けて送信されたパケットを受信したこと等を、サーバ410の入出力装置500に表示する。
また、アドレス管理部200は、S1007において、アドレスを学習すべきでないパケットを受信したことを示すログを生成してもよい。これによって、ユーザは、有効時間外にアドレス解決要求を受信したこと、又は、許可されていない装置から同一ネットワークセグメント内の他の装置に向けてパケットが送信されたことを認識することができる。
アドレス管理部200は、S1001において参照したアドレステーブル201のアドレス212(具体的には、アドレス212a)に、受信したパケットの送信元のIPアドレス及びMACアドレスを追加する(S1003)。
図5は、本実施例のアドレス解決要求の送信元のアドレスを格納した後のアドレステーブル201を示す説明図である。
図5に示すアドレス212aは、S1003の処理後のアドレス212aであり、端末400aのIPアドレス及びMACアドレスを保持する。図5に示すアドレス212a以外のアドレステーブル201は、図2に示すアドレステーブル201と同じである。
S1003の後、アドレス管理部200は、アドレス212の内容をデータ転送部303に送信し、データ転送部303は、受信したアドレス212の内容に基づいて、転送テーブル301を更新する(S1004)。S1004において、データ転送部303は、アドレステーブル201が対応するインタフェース110の識別子と、アドレス212のIPアドレス及びMACアドレスとを対応させて、転送テーブル301に格納する。
データ転送部303は、S1003において追加されたエントリに基づいて、転送テーブル301にアドレスを追加してもよいし、すべてのアドレス212に基づいて転送テーブル301を更新してもよい。S1004の処理によって、パケット転送装置100は、アドレスを学習する。
データ転送部303は、S1004において、受信したパケットに付加されたインタフェース110を用いてフィルタテーブル302を特定する。そして、特定したフィルタテーブル302に、受信したパケットの送信元のアドレスを格納する。データ転送部303は、すべてのアドレス212に基づいてフィルタテーブル302を更新してもよいし、S1003においてアドレス212に追加されたエントリに基づいてフィルタテーブル302を更新してもよい。
また、データ転送部303は、新たに追加したエントリのフィルタチェック順番3021に、追加したエントリを最も優先して適用することを示す値を格納し、転送許可3024に転送を許可することを示す値を格納する。
図6Aは、本実施例のアドレスを新たに格納した後の転送テーブル301を示す説明図である。
図6Aに示す転送テーブル301は、端末400aのインタフェース3011に、インタフェース110aの識別子として「端末接続インタフェース」を含む。
図6Bは、本実施例のアドレスを新たに格納した後のフィルタテーブル302を示す説明図である。
図6Bに示すフィルタテーブル302には、端末400aの送信元のアドレスが格納され、転送許可3024に「許可」が格納される。なお、図6Bに示すフィルタテーブル302bと図3Bに示すフィルタテーブル302bとは、同じである。
S1004においてフィルタテーブル302に、受信したパケットの送信元のアドレスを格納することによって、データ転送部303は、有効時間外において、フィルタテーブル302以外の装置から送信されたパケットを転送せず、ユーザが意図しない装置間の通信を制限できる。
S1004の後、アドレス管理部200は、受信したパケットが自装置のIPアドレスの解決要求であるか否かを判定する(S1005)。アドレス管理部200は、受信したパケットのヘッダの内容に従って、受信したパケットが自装置のIPアドレスの解決要求であるか否かを判定する。
受信したパケットが自装置のIPアドレスの解決要求である場合、アドレス管理部200は、アドレス解決要求を送信した端末400に、パケット転送装置100のMACアドレスを応答する(S1006)。S1006の後、アドレス管理部200は、図4に示す処理を終了する。
また、S1005において、受信したパケットが自装置のIPアドレスの解決要求でないと判定された場合、アドレス管理部200は、図4に示す処理を終了する。
S1003〜S1006の処理によって、有効時間内に受信したアドレス解決要求、又は、同じネットワークセグメントの装置間において送信されるパケットの送信元のアドレスを、パケット転送装置100は学習することができる。そして、パケット転送装置100に接続される装置は、パケット転送装置100を介して、パケットを送受信できる。
具体的な例を以下に示す。図4に示す処理によって、端末400aのアドレスがパケット転送装置100によって学習され、端末400aからパケットを有効時間外に受信した場合、データ転送部303は、転送テーブル301及びフィルタテーブル302に従って、端末400aから受信したパケットを転送する。
しかし、図4に示す処理によってアドレスが学習されていない装置(例えば、端末400b)が、有効時間外にパケットをパケット転送装置100に送信した場合、フィルタテーブル302に端末400bのアドレスが格納されていないため、データ転送部303は、端末400bから送信されたパケットを転送しない。
また、端末400a及び端末400bが同じネットワークセグメントに属する場合においても、有効時間内に端末400bのアドレスが学習されなければ、パケット転送装置100は、端末400bから端末400aへのパケットの送信を制限できる。これによって、同じネットワークセグメントにおいても、セキュリティが向上する。
なお、転送テーブル301に宛先のアドレスが格納されておらず、かつ、データ転送部303が、転送テーブル301に格納されていないアドレスを宛先とするパケットを有効時間211内に受信した場合、データ転送部303及びアドレス管理部200は、転送テーブル301に登録されていないアドレス宛に、アドレス解決要求を送信してもよい。
具体的には、データ転送部303は、転送テーブル301に端末400aのアドレスが未設定であることをアドレス管理部200へ通知する。アドレス管理部200は、未設定の通知を受信した場合、端末400aのMACアドレスを解決するため、端末400aにアドレス解決要求を送信する。このアドレス解決要求には、端末400aのIPアドレスが含まれる。
そして、端末400aは、パケット転送装置100からアドレス解決要求を受信した場合、自らのMACアドレスをパケット転送装置100に応答する。パケット転送装置100は、端末400aからMACアドレスを受信した場合、アドレステーブル201に端末400aのIPアドレス及びMACアドレスを格納する。また、パケット転送装置100は、端末400aのIPアドレス及びMACアドレスを、データ転送部303によって転送テーブル301に登録させる。
図7は、本実施例の入出力装置500が表示する画面の例を示す説明図である。
入出力装置500は、画面510〜画面540を表示する。画面510は、ユーザが有効時間211を入力するための画面である。画面530は、ユーザが学習済みのアドレスを削除するための画面である。画面540は、許可アドレス213にアドレスを設定するための画面である。
なお、アドレステーブル201が有効時間211として、パケット転送装置100がアドレスを学習できるか否かを示す学習情報を保持する場合、画面510は、例えば、「学習可」又は「学習不可」をユーザが入力するための画面である。
画面510は、領域511〜領域520を含む。領域511は、画面510によって、有効時間を適用するインタフェース110を指定するための領域である。領域512及び領域516は、有効時間を入力するための領域である。
領域512は、有効時間として開始時刻及び終了時刻を入力するための領域である。領域512は、領域513〜領域515、及び領域520を含む。領域513は、開始時刻を入力するための領域であり、領域514は、終了時刻を入力するための領域である。
領域520は、曜日又は年月日を入力するための領域である。領域520に曜日が設定される場合、設定された曜日における領域513の開始時刻から領域514の終了時刻までの時間がアドレス学習時間として指定される。
領域520に年月日が設定された場合、設定された年月日における領域513の開始時刻から領域514の終了時刻までの時間がアドレス学習時間として指定される。
また、領域520に年、月及び日の少なくとも一つが設定される場合、領域520に設定された期間における領域513の開始時刻から領域514の終了時刻までの時間が学習期間として指定される、例えば、領域520に月及び日だけが設定された場合、毎年設定された月日における領域513の開始時刻から領域514の終了時刻までの時間がアドレス学習時間として指定されるものである。
領域515は、領域513及び領域514に入力された有効時間を、パケット転送装置100の有効時間211に反映するためのボタンである。
また、領域516は、有効時間として、時間を入力するための領域である。領域516は、領域517及び領域518を含む。領域517は、現在時刻からの時間を入力するための領域である。
領域518は、有効時間を開始するためのボタンである。領域518が操作された場合、操作された時点から領域517に入力された時間、パケット転送装置100は、アドレスを学習する。
領域519は、有効時間を削除するためのボタンである。領域519がユーザによって操作された場合、アドレス管理部200は、領域511が示すインタフェース110に対応して設定された有効時間211の値を削除する。有効時間211を削除することによって、パケット転送装置100は、対応するインタフェース110を介して受信したパケットからアドレスを学習しない。
画面510によって、ユーザは、アドレスを学習するための本実施例の有効時間を設定できる。このため、ユーザがネットワークに対する高度な技術を有さなくても、パケット転送装置100は、必要なアドレスを学習することができる。
そして、画面510によって、有効時間は任意に設定でき、さらに、有効時間を削除することができる。これによって、アドレスを学習しない期間を設定でき、セキュリティを向上させることができる。
なお、画面510によって有効時間211が設定された際、アドレス管理部200は、有効時間211が新たに設定されたアドレステーブル201のアドレス212を特定し、特定したアドレス212に格納されるアドレスを、アドレス212、転送テーブル301及びフィルタテーブル302から削除してもよい。これは、設定された有効時間211内のアドレス学習のみを有効にするためである。なお、アドレス管理部200は、データ転送部303に、転送テーブル301及びフィルタテーブル302からのアドレスの削除を指示する。
画面530は、領域531〜領域536を含む。領域531は、アドレステーブル201のアドレス212、転送テーブル301及びフィルタテーブル302に格納されたアドレスをすべて削除するためのボタンである。
領域532は、アドレス212、転送テーブル301及びフィルタテーブル302から削除するアドレスを入力するためのエントリである。領域532は、領域533〜領域536を含む。
領域533及び領域534は、アドレス212、転送テーブル301及びフィルタテーブル302から削除するIPアドレス及びMACアドレスを入力するための領域である。領域535は、アドレス212、転送テーブル301及びフィルタテーブル302から削除するアドレスのネットワークセグメントを入力するための領域である。
領域536は、領域533〜領域535に入力されたアドレスに従って、アドレステーブル201及び転送テーブル301からアドレスを削除するためのボタンである。
画面540は、領域541〜領域544を含む。領域541は、画面540によって、許可アドレスを適用するインタフェース110を指定するための領域である。
領域542は、許可アドレス213のIPアドレスを設定するための領域である。また、領域543は、許可アドレス213のMACアドレスを設定するための領域である。領域544は、領域542及び領域543において指定された値を、アドレステーブル201の許可アドレス213に設定するための領域である。
画面540を介して許可アドレス213を設定することによって、ユーザは、パケット転送装置100が不要なアドレスを学習することを防ぐことができる。
本実施例によれば、ユーザによって設定された有効時間211の間、パケット転送装置100が特定のパケットについてアドレスを学習する。このため、ユーザがネットワークの特別な専門知識を持たなくても、IPネットワークへ接続可能な端末を設定できる。
さらに、データ転送部303は、送信元として許可されたアドレスを示すフィルタテーブル302を有し、フィルタテーブル302を用いて、有効時間211外に送信されたパケットから不正なパケットを特定することができる。そして、データ転送部303は、不正なパケットを転送しない。
つまり、フィルタテーブル302は、アドレス学習の結果、生成され、転送が許可されるアドレスを示すホワイトリストである。そしてパケット転送装置は、アドレス学習停止中は作成したホワイトリストにより、受信したパケットについてフィルタリングを行い、転送すべきか否かを制御する。これによって、データ転送部303は、安全なIPネットワークの構築を可能にする装置を提供することができる。
なお、本発明は前述の実施例に限定されるものではなく、様々な変形例が含まれる。例えば、前述の実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。
また、前述の各構成、機能、処理部、手順等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、前述の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリ、ハードディスク、若しくは、SSD(Solid State Drive)等の記録装置、又は、ICカード、SDカード、若しくは、DVD等の記録媒体に置くことができる。
また、制御線又は情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線又は情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。
特許請求の範囲に記載した以外の本発明の観点の代表的なものとして、次のものがあげられる。
(1)ネットワーク装置であって、
プロセッサ及びメモリを有し、
複数の端末に接続され、
前記複数の端末から送信されるパケットを受信するネットワークインタフェースを有し、
前記ネットワーク装置が前記複数の端末のアドレスを学習できるか否かを示す学習情報と、
前記ネットワーク装置が転送するパケットを示すアドレス情報と、
前記パケットの転送が許可されるか否かを示すフィルタ情報と、を保持し、
前記アドレス情報及び前記フィルタ情報の少なくとも一方に基づいてパケットを転送する転送部を有し、
前記転送部は、
端末からパケットを受信した場合、前記パケットを受信した際に前記ネットワーク装置が前記アドレスを学習できるか否かを、前記学習情報に基づいて判定し、
前記ネットワーク装置がアドレスを学習できる場合、前記受信したパケットの送信元のアドレスを前記アドレス情報に格納し、
前記ネットワーク装置がアドレスを学習できない場合、前記受信したパケットの送信元のアドレスを前記アドレス情報に格納せず、前記フィルタ情報に含まれるアドレスに基づいて前記受信したパケットを転送すべきかを判定することを特徴とするネットワーク装置。
プロセッサ及びメモリを有し、
複数の端末に接続され、
前記複数の端末から送信されるパケットを受信するネットワークインタフェースを有し、
前記ネットワーク装置が前記複数の端末のアドレスを学習できるか否かを示す学習情報と、
前記ネットワーク装置が転送するパケットを示すアドレス情報と、
前記パケットの転送が許可されるか否かを示すフィルタ情報と、を保持し、
前記アドレス情報及び前記フィルタ情報の少なくとも一方に基づいてパケットを転送する転送部を有し、
前記転送部は、
端末からパケットを受信した場合、前記パケットを受信した際に前記ネットワーク装置が前記アドレスを学習できるか否かを、前記学習情報に基づいて判定し、
前記ネットワーク装置がアドレスを学習できる場合、前記受信したパケットの送信元のアドレスを前記アドレス情報に格納し、
前記ネットワーク装置がアドレスを学習できない場合、前記受信したパケットの送信元のアドレスを前記アドレス情報に格納せず、前記フィルタ情報に含まれるアドレスに基づいて前記受信したパケットを転送すべきかを判定することを特徴とするネットワーク装置。
(2)前記学習情報は、前記ネットワーク装置が複数の端末のアドレスを学習できる有効時間を示し、
前記転送部は、
前記端末からパケットを受信した場合、前記受信したパケットの送信元及び宛先が同じネットワークセグメントに属するか否かをさらに判定し、
前記有効時間内にパケットを受信し、かつ、前記受信したパケットの送信元及び宛先が同じネットワークセグメントに属する場合、前記受信したパケットの送信元のアドレスを取得し、
前記取得した送信元のアドレスを前記アドレス情報に格納することを特徴とする(1)に記載のネットワーク装置。
前記転送部は、
前記端末からパケットを受信した場合、前記受信したパケットの送信元及び宛先が同じネットワークセグメントに属するか否かをさらに判定し、
前記有効時間内にパケットを受信し、かつ、前記受信したパケットの送信元及び宛先が同じネットワークセグメントに属する場合、前記受信したパケットの送信元のアドレスを取得し、
前記取得した送信元のアドレスを前記アドレス情報に格納することを特徴とする(1)に記載のネットワーク装置。
(3)前記転送部は、
前記ネットワーク装置がアドレスを学習できる場合、前記受信したパケットの送信元のアドレスを、前記転送が許可されるパケットのアドレスとして前記フィルタ情報に格納し、
前記ネットワーク装置がアドレスを学習できず、かつ、前記受信したパケットの送信元のアドレスが、前記フィルタ情報に含まれるアドレスと異なる場合、前記受信したパケットを転送しないことを特徴とする(1)に記載のネットワーク装置。
前記ネットワーク装置がアドレスを学習できる場合、前記受信したパケットの送信元のアドレスを、前記転送が許可されるパケットのアドレスとして前記フィルタ情報に格納し、
前記ネットワーク装置がアドレスを学習できず、かつ、前記受信したパケットの送信元のアドレスが、前記フィルタ情報に含まれるアドレスと異なる場合、前記受信したパケットを転送しないことを特徴とする(1)に記載のネットワーク装置。
(4)前記転送部は、
前記ネットワーク装置が複数の端末のアドレスを学習できる有効時間内にパケットを受信した場合、前記受信したパケットの送信元のアドレスを取得し、
前記取得した送信元のアドレスを前記アドレス情報に格納することを特徴とする(1)に記載のネットワーク装置。
前記ネットワーク装置が複数の端末のアドレスを学習できる有効時間内にパケットを受信した場合、前記受信したパケットの送信元のアドレスを取得し、
前記取得した送信元のアドレスを前記アドレス情報に格納することを特徴とする(1)に記載のネットワーク装置。
(5)前記端末から受信するパケットは、アドレス解決要求を含み、
前記ネットワーク装置は、前記複数の端末が接続される複数のネットワークインタフェースを有し、
前記学習情報は、前記複数のネットワークインタフェースがアドレスを学習できるか否かを示し、
前記転送部は、
前記アドレスを学習できるネットワークインタフェースがアドレス解決要求を含むパケットを受信した場合、前記アドレス解決要求を送信した端末のアドレスを前記アドレス情報に格納し、
前記アドレスを学習できないネットワークインタフェースがアドレス解決要求を含むパケットを受信し、かつ、前記受信したパケットの送信元のアドレスが、前記フィルタ情報に含まれるアドレスと異なる場合、前記受信したパケットを転送しないことを特徴とする(4)に記載のネットワーク装置。
前記ネットワーク装置は、前記複数の端末が接続される複数のネットワークインタフェースを有し、
前記学習情報は、前記複数のネットワークインタフェースがアドレスを学習できるか否かを示し、
前記転送部は、
前記アドレスを学習できるネットワークインタフェースがアドレス解決要求を含むパケットを受信した場合、前記アドレス解決要求を送信した端末のアドレスを前記アドレス情報に格納し、
前記アドレスを学習できないネットワークインタフェースがアドレス解決要求を含むパケットを受信し、かつ、前記受信したパケットの送信元のアドレスが、前記フィルタ情報に含まれるアドレスと異なる場合、前記受信したパケットを転送しないことを特徴とする(4)に記載のネットワーク装置。
(6)ユーザへの通知を出力する出力インタフェースと、
前記ネットワーク装置がアドレスを学習できない場合、前記アドレスを学習できない状態において前記パケットを受信したことを、前記出力インタフェースを介して出力する制御部と、を有することを特徴とする(4)に記載のネットワーク装置。
前記ネットワーク装置がアドレスを学習できない場合、前記アドレスを学習できない状態において前記パケットを受信したことを、前記出力インタフェースを介して出力する制御部と、を有することを特徴とする(4)に記載のネットワーク装置。
(7)前記ネットワーク装置は、
前記アドレスの学習が許可されるか否かを示す許可情報を有し、
前記ネットワーク装置がアドレスを学習できる場合、前記受信したパケットの送信元のアドレスを学習することが許可されているか否かを、前記許可情報に基づいて判定し、
前記制御部が、前記受信したパケットの送信元のアドレスを学習することが許可されると判定した場合、前記転送部は、前記受信したパケットの送信元のアドレスを前記アドレス情報に格納することを特徴とする(6)に記載のネットワーク装置。
前記アドレスの学習が許可されるか否かを示す許可情報を有し、
前記ネットワーク装置がアドレスを学習できる場合、前記受信したパケットの送信元のアドレスを学習することが許可されているか否かを、前記許可情報に基づいて判定し、
前記制御部が、前記受信したパケットの送信元のアドレスを学習することが許可されると判定した場合、前記転送部は、前記受信したパケットの送信元のアドレスを前記アドレス情報に格納することを特徴とする(6)に記載のネットワーク装置。
(8)ユーザによる指示を受け付ける入力インタフェースを有し、
前記制御部は、前記入力インタフェースを介して受け付けた前記ユーザの指示に従って、前記許可情報を更新することを特徴とする(7)に記載のネットワーク装置。
前記制御部は、前記入力インタフェースを介して受け付けた前記ユーザの指示に従って、前記許可情報を更新することを特徴とする(7)に記載のネットワーク装置。
(9)ユーザによる指示を受け付ける入力インタフェースと、
前記入力インタフェースを介して受け付けた前記ユーザの指示に従って、前記学習情報を更新又は削除をする制御部と、を有することを特徴とする(1)に記載のネットワーク装置。
前記入力インタフェースを介して受け付けた前記ユーザの指示に従って、前記学習情報を更新又は削除をする制御部と、を有することを特徴とする(1)に記載のネットワーク装置。
(10)ネットワーク装置による通信方法であって、
前記ネットワーク装置は、
プロセッサ及びメモリを有し、
複数の端末に接続され、
前記複数の端末から送信されるパケットを受信するネットワークインタフェースを有し、
前記ネットワーク装置が前記複数の端末のアドレスを学習できるか否かを示す学習情報と、前記ネットワーク装置が転送するパケットを示すアドレス情報と、前記パケットの転送が許可されるか否かを示すフィルタ情報と、を保持し、
前記方法は、
前記プロセッサが、前記アドレス情報及び前記フィルタ情報の少なくとも一方に基づいてパケットを転送する転送手順を含み、
前記転送手順は、
端末からパケットを受信した場合、前記プロセッサが、前記パケットを受信した際に前記ネットワーク装置が前記アドレスを学習できるか否かを、前記学習情報に基づいて判定する手順と、
前記ネットワーク装置がアドレスを学習できる場合、前記プロセッサが、前記受信したパケットの送信元のアドレスを前記アドレス情報に格納する手順と、
前記ネットワーク装置がアドレスを学習できない場合、前記プロセッサが、前記受信したパケットの送信元のアドレスを前記アドレス情報に格納せず、前記フィルタ情報に含まれるアドレスに基づいてパケットを転送する手順と、を含むことを特徴とする通信方法。
前記ネットワーク装置は、
プロセッサ及びメモリを有し、
複数の端末に接続され、
前記複数の端末から送信されるパケットを受信するネットワークインタフェースを有し、
前記ネットワーク装置が前記複数の端末のアドレスを学習できるか否かを示す学習情報と、前記ネットワーク装置が転送するパケットを示すアドレス情報と、前記パケットの転送が許可されるか否かを示すフィルタ情報と、を保持し、
前記方法は、
前記プロセッサが、前記アドレス情報及び前記フィルタ情報の少なくとも一方に基づいてパケットを転送する転送手順を含み、
前記転送手順は、
端末からパケットを受信した場合、前記プロセッサが、前記パケットを受信した際に前記ネットワーク装置が前記アドレスを学習できるか否かを、前記学習情報に基づいて判定する手順と、
前記ネットワーク装置がアドレスを学習できる場合、前記プロセッサが、前記受信したパケットの送信元のアドレスを前記アドレス情報に格納する手順と、
前記ネットワーク装置がアドレスを学習できない場合、前記プロセッサが、前記受信したパケットの送信元のアドレスを前記アドレス情報に格納せず、前記フィルタ情報に含まれるアドレスに基づいてパケットを転送する手順と、を含むことを特徴とする通信方法。
(11)前記学習情報は、前記ネットワーク装置が複数の端末のアドレスを学習できる有効時間を示し、
前記転送手順は、
前記ネットワークインタフェースが前記端末からパケットを受信した場合、前記プロセッサが、前記受信したパケットの送信元及び宛先が同じネットワークセグメントに属するか否かをさらに判定する手順と、
前記ネットワークインタフェースが前記有効時間内に当該パケットを受信し、かつ、前記受信したパケットの送信元及び宛先が同じネットワークセグメントに属する場合、前記プロセッサが、前記受信したパケットの送信元のアドレスを取得する手順と、
前記プロセッサが、前記取得した送信元のアドレスを前記アドレス情報に格納する手順と、を含むことを特徴とする(10)に記載の通信方法。
前記転送手順は、
前記ネットワークインタフェースが前記端末からパケットを受信した場合、前記プロセッサが、前記受信したパケットの送信元及び宛先が同じネットワークセグメントに属するか否かをさらに判定する手順と、
前記ネットワークインタフェースが前記有効時間内に当該パケットを受信し、かつ、前記受信したパケットの送信元及び宛先が同じネットワークセグメントに属する場合、前記プロセッサが、前記受信したパケットの送信元のアドレスを取得する手順と、
前記プロセッサが、前記取得した送信元のアドレスを前記アドレス情報に格納する手順と、を含むことを特徴とする(10)に記載の通信方法。
(12)前記転送手順は、
前記ネットワーク装置がアドレスを学習できる場合、前記プロセッサが、前記受信したパケットの送信元のアドレスを、前記転送が許可されるパケットのアドレスとして前記フィルタ情報に格納する手順と、
前記ネットワーク装置がアドレスを学習できず、かつ、前記受信したパケットの送信元のアドレスが、前記フィルタ情報に含まれるアドレスと異なる場合、前記プロセッサが、前記受信したパケットを転送しない手順とを含むことを特徴とする(10)に記載の通信方法。
前記ネットワーク装置がアドレスを学習できる場合、前記プロセッサが、前記受信したパケットの送信元のアドレスを、前記転送が許可されるパケットのアドレスとして前記フィルタ情報に格納する手順と、
前記ネットワーク装置がアドレスを学習できず、かつ、前記受信したパケットの送信元のアドレスが、前記フィルタ情報に含まれるアドレスと異なる場合、前記プロセッサが、前記受信したパケットを転送しない手順とを含むことを特徴とする(10)に記載の通信方法。
(13)前記転送手順は、
前記ネットワーク装置がアドレスを学習できる場合、前記プロセッサが、前記受信したパケットの送信元のアドレスを取得する手順と、
前記プロセッサが、前記取得した送信元のアドレスを前記アドレス情報に格納する手順と、を含むことを特徴とする(10)に記載の通信方法。
前記ネットワーク装置がアドレスを学習できる場合、前記プロセッサが、前記受信したパケットの送信元のアドレスを取得する手順と、
前記プロセッサが、前記取得した送信元のアドレスを前記アドレス情報に格納する手順と、を含むことを特徴とする(10)に記載の通信方法。
(14)前記端末から受信するパケットは、アドレス解決要求を含み、
前記ネットワーク装置は、前記複数の端末が接続される複数のネットワークインタフェースを有し、
前記学習情報は、前記複数のネットワークインタフェースがアドレスを学習できるか否かを示し、
前記転送手順は、
前記アドレスを学習できるネットワークインタフェースがアドレス解決要求を含むパケットを受信した場合、前記プロセッサが、前記アドレス解決要求を送信した端末のアドレスを前記アドレス情報に格納する手順と、
前記アドレスを学習できないネットワークインタフェースがアドレス解決要求を含むパケットを受信し、かつ、前記受信したパケットの送信元のアドレスが、前記フィルタ情報に含まれるアドレスと異なる場合、前記プロセッサが、前記受信したパケットを転送しない手順と、を含むことを特徴とする(13)に記載の通信方法。
前記ネットワーク装置は、前記複数の端末が接続される複数のネットワークインタフェースを有し、
前記学習情報は、前記複数のネットワークインタフェースがアドレスを学習できるか否かを示し、
前記転送手順は、
前記アドレスを学習できるネットワークインタフェースがアドレス解決要求を含むパケットを受信した場合、前記プロセッサが、前記アドレス解決要求を送信した端末のアドレスを前記アドレス情報に格納する手順と、
前記アドレスを学習できないネットワークインタフェースがアドレス解決要求を含むパケットを受信し、かつ、前記受信したパケットの送信元のアドレスが、前記フィルタ情報に含まれるアドレスと異なる場合、前記プロセッサが、前記受信したパケットを転送しない手順と、を含むことを特徴とする(13)に記載の通信方法。
(15)前記ネットワーク装置は、ユーザへの通知を出力する出力インタフェースを有し、
前記方法は、前記ネットワーク装置がアドレスを学習できない場合、前記プロセッサが、前記アドレスを学習できない状態において前記パケットを受信したことを、前記出力インタフェースを介して出力する制御手順を含むことを特徴とする(13)に記載の通信方法。
前記方法は、前記ネットワーク装置がアドレスを学習できない場合、前記プロセッサが、前記アドレスを学習できない状態において前記パケットを受信したことを、前記出力インタフェースを介して出力する制御手順を含むことを特徴とする(13)に記載の通信方法。
100 パケット転送装置
110 インタフェース
200 アドレス管理部
202 制御部
201 アドレステーブル
300 転送部
301 転送テーブル
302 フィルタテーブル
303 データ転送部
400 端末
410 サーバ
110 インタフェース
200 アドレス管理部
202 制御部
201 アドレステーブル
300 転送部
301 転送テーブル
302 フィルタテーブル
303 データ転送部
400 端末
410 サーバ
本発明の一態様によると、IPネットワークと複数の端末の間に位置するネットワーク装置であって、複数の端末に接続され、端末から送信されるパケットを受信した場合、受信したパケットを用いて端末のアドレスを学習しフィルタ情報に記録する学習処理、または、パケットの転送が許可されるか否かを示すフィルタ情報に基づいて受信したパケットを転送制御するフィルタリング処理を行う。
より具体的には、本発明の一形態によると、ネットワーク装置であって、前記複数の装置とパケットを送受信するネットワークインタフェースと、前記ネットワークインタフェースを介して前記複数の装置から受信したパケットの転送が許可されるか否かを示すフィルタ情報と、前記フィルタ情報に基づいて前記ネットワークインタフェースを介して受信したパケットを転送する転送部と、を有し、前記転送部は、前記ネットワーク装置が、前記フィルタ情報を設定可能な期間に受信したパケットの送信元アドレスを前記フィルタ情報に格納し、前記フィルタ情報を設定可能な期間外は、前記フィルタ情報に含まれるアドレスに基づいて前記受信したパケットを転送すべきかを判定する。
Claims (11)
- ネットワーク装置であって、
プロセッサ及びメモリを有し、
複数の端末に接続され、
前記複数の端末から送信されるパケットを受信するネットワークインタフェースを有し、
前記ネットワーク装置が前記複数の端末のアドレスを学習できるか否かを示す学習情報と、
前記パケットの転送が許可されるか否かを示すフィルタ情報と、を保持し、
前記フィルタ情報に基づいてパケットを転送する転送部を有し、
前記転送部は、
端末からパケットを受信した場合、前記パケットを受信した際に前記ネットワーク装置が前記アドレスを学習できるか否かを、前記学習情報に基づいて判定し、
前記ネットワーク装置がアドレスを学習できる場合、前記受信したパケットの送信元のアドレスを前記フィルタ情報に格納し、
前記ネットワーク装置がアドレスを学習できない場合、前記受信したパケットの送信元のアドレスを前記フィルタ情報に格納せず、前記フィルタ情報に含まれるアドレスに基づいて前記受信したパケットを転送すべきかを判定することを特徴とするネットワーク装置。 - 請求項1に記載のネットワーク装置であって、
前記転送部は、
前記ネットワーク装置がアドレスを学習できる場合、前記受信したパケットの送信元のアドレスを、前記転送が許可されるパケットのアドレスとして前記フィルタ情報に格納し、
前記ネットワーク装置がアドレスを学習できず、かつ、前記受信したパケットの送信元のアドレスが、前記フィルタ情報に含まれるアドレスと異なる場合、前記受信したパケットを転送しないことを特徴とするネットワーク装置。 - 請求項1に記載のネットワーク装置であって、
前記学習情報は、前記ネットワーク装置が複数の端末のアドレスを学習できる有効時間を示し、
前記転送部は、
前記有効時間内にパケットを受信した場合、前記受信したパケットの送信元のアドレスを取得し、
前記取得した送信元のアドレスを前記フィルタ情報に格納することを特徴とするネットワーク装置。 - 請求項3に記載のネットワーク装置であって、
ユーザへの通知を出力する出力インタフェースと、
前記ネットワーク装置がアドレスを学習できない場合、前記アドレスを学習できない状態において前記パケットを受信したことを、前記出力インタフェースを介して出力する制御部と、を有することを特徴とするネットワーク装置。 - 請求項1に記載のネットワーク装置であって、
前記ネットワーク装置は、
前記アドレスの学習が許可されるか否かを示す許可情報を有し、
前記ネットワーク装置がアドレスを学習できる場合、前記受信したパケットの送信元のアドレスを学習することが許可されているか否かを、前記許可情報に基づいて判定し、
前記制御部が、前記受信したパケットの送信元のアドレスを学習することが許可されると判定した場合、前記転送部は、前記受信したパケットの送信元のアドレスを前記フィルタ情報に格納することを特徴とするネットワーク装置。 - 請求項5に記載のネットワーク装置であって、
ユーザによる指示を受け付ける入力インタフェースを有し、
前記制御部は、前記入力インタフェースを介して受け付けた前記ユーザの指示に従って、前記許可情報を更新することを特徴とするネットワーク装置。 - 請求項1に記載のネットワーク装置であって、
ユーザによる指示を受け付ける入力インタフェースと、
前記入力インタフェースを介して受け付けた前記ユーザの指示に従って、前記学習情報を更新又は削除をする制御部と、を有することを特徴とするネットワーク装置。 - ネットワーク装置による通信方法であって、
前記ネットワーク装置は、
プロセッサ及びメモリを有し、
複数の端末に接続され、
前記複数の端末から送信されるパケットを受信するネットワークインタフェースを有し、
前記ネットワーク装置が前記複数の端末のアドレスを学習できるか否かを示す学習情報と、
前記パケットの転送が許可されるか否かを示すフィルタ情報と、を保持し、
前記方法は、
前記プロセッサが、前記フィルタ情報に基づいてパケットを転送する転送手順を含み、
前記転送手順は、
端末からパケットを受信した場合、前記プロセッサが、前記パケットを受信した際に前記ネットワーク装置が前記アドレスを学習できるか否かを、前記学習情報に基づいて判定する手順と、
前記ネットワーク装置がアドレスを学習できる場合、前記プロセッサが、前記受信したパケットの送信元のアドレスを前記フィルタ情報に格納する手順と、
前記ネットワーク装置がアドレスを学習できない場合、前記プロセッサが、前記受信したパケットの送信元のアドレスを前記フィルタ情報に格納せず、前記フィルタ情報に含まれるアドレスに基づいてパケットを転送する手順と、を含むことを特徴とする通信方法。 - 請求項8に記載の通信方法であって、
前記転送手順は、
前記ネットワーク装置がアドレスを学習できる場合、前記プロセッサが、前記受信したパケットの送信元のアドレスを、前記転送が許可されるパケットのアドレスとして前記フィルタ情報に格納する手順と、
前記ネットワーク装置がアドレスを学習できず、かつ、前記受信したパケットの送信元のアドレスが、前記フィルタ情報に含まれるアドレスと異なる場合、前記プロセッサが、前記受信したパケットを転送しない手順とを含むことを特徴とする通信方法。 - 請求項8に記載の通信方法であって、
前記転送手順は、
前記ネットワーク装置がアドレスを学習できる場合、前記プロセッサが、前記受信したパケットの送信元のアドレスを取得する手順と、
前記プロセッサが、前記取得した送信元のアドレスを前記フィルタ情報に格納する手順と、を含むことを特徴とする通信方法。 - 請求項10に記載の通信方法であって、
前記ネットワーク装置は、ユーザへの通知を出力する出力インタフェースを有し、
前記方法は、前記ネットワーク装置がアドレスを学習できない場合、前記プロセッサが、前記アドレスを学習できない状態において前記パケットを受信したことを、前記出力インタフェースを介して出力する制御手順を含むことを特徴とする通信方法。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2017050031A JP2017130963A (ja) | 2017-03-15 | 2017-03-15 | ネットワーク装置、及び、通信方法 |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2017050031A JP2017130963A (ja) | 2017-03-15 | 2017-03-15 | ネットワーク装置、及び、通信方法 |
Related Parent Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2014034171A Division JP6114214B2 (ja) | 2014-02-25 | 2014-02-25 | ネットワーク装置、及び、通信方法 |
Publications (1)
Publication Number | Publication Date |
---|---|
JP2017130963A true JP2017130963A (ja) | 2017-07-27 |
Family
ID=59396342
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2017050031A Pending JP2017130963A (ja) | 2017-03-15 | 2017-03-15 | ネットワーク装置、及び、通信方法 |
Country Status (1)
Country | Link |
---|---|
JP (1) | JP2017130963A (ja) |
Cited By (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2019068417A (ja) * | 2018-09-26 | 2019-04-25 | 日本電気株式会社 | 通信装置、通信システム、デバイス接続制御方法およびデバイス接続制御プログラム |
JP2021145201A (ja) * | 2020-03-11 | 2021-09-24 | アラクサラネットワークス株式会社 | 中継装置 |
JPWO2021245909A1 (ja) * | 2020-06-05 | 2021-12-09 | ||
US11303476B2 (en) | 2017-09-28 | 2022-04-12 | Nec Corporation | Communication apparatus, communication system, communication control method, communication program and device connection control program |
CN114679427A (zh) * | 2022-03-16 | 2022-06-28 | 江苏省广电有线信息网络股份有限公司 | 一种基于hinoc***的mac地址学习方法及*** |
Citations (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JPH11308272A (ja) * | 1998-04-23 | 1999-11-05 | Toshiba Corp | パケット通信制御システム及びパケット通信制御装置 |
JP2007053703A (ja) * | 2005-08-19 | 2007-03-01 | Matsushita Electric Works Ltd | フィルタリング装置 |
JP2010098706A (ja) * | 2008-09-22 | 2010-04-30 | Fujitsu Ltd | フィルタ装置、フィルタプログラム及び方法 |
-
2017
- 2017-03-15 JP JP2017050031A patent/JP2017130963A/ja active Pending
Patent Citations (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JPH11308272A (ja) * | 1998-04-23 | 1999-11-05 | Toshiba Corp | パケット通信制御システム及びパケット通信制御装置 |
JP2007053703A (ja) * | 2005-08-19 | 2007-03-01 | Matsushita Electric Works Ltd | フィルタリング装置 |
JP2010098706A (ja) * | 2008-09-22 | 2010-04-30 | Fujitsu Ltd | フィルタ装置、フィルタプログラム及び方法 |
Cited By (8)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US11303476B2 (en) | 2017-09-28 | 2022-04-12 | Nec Corporation | Communication apparatus, communication system, communication control method, communication program and device connection control program |
JP2019068417A (ja) * | 2018-09-26 | 2019-04-25 | 日本電気株式会社 | 通信装置、通信システム、デバイス接続制御方法およびデバイス接続制御プログラム |
JP2021145201A (ja) * | 2020-03-11 | 2021-09-24 | アラクサラネットワークス株式会社 | 中継装置 |
JP7391727B2 (ja) | 2020-03-11 | 2023-12-05 | アラクサラネットワークス株式会社 | 中継装置 |
JPWO2021245909A1 (ja) * | 2020-06-05 | 2021-12-09 | ||
JP7439919B2 (ja) | 2020-06-05 | 2024-02-28 | 日本電信電話株式会社 | トラヒックを分散させるための装置、方法、システム及びプログラム |
CN114679427A (zh) * | 2022-03-16 | 2022-06-28 | 江苏省广电有线信息网络股份有限公司 | 一种基于hinoc***的mac地址学习方法及*** |
CN114679427B (zh) * | 2022-03-16 | 2024-04-05 | 江苏省广电有线信息网络股份有限公司 | 一种基于hinoc***的mac地址学习方法及*** |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
JP2017130963A (ja) | ネットワーク装置、及び、通信方法 | |
EP4030286A1 (en) | Distribution and management of services in virtual environments | |
US8910248B2 (en) | Terminal connection status management with network authentication | |
US10958725B2 (en) | Systems and methods for distributing partial data to subnetworks | |
JP4487150B2 (ja) | 通信装置、ファイアーウォール制御方法、及びファイアーウォール制御プログラム | |
US7684339B2 (en) | Communication control system | |
CN102195807B (zh) | 设备管理装置和***、信息管理方法、程序及记录介质 | |
KR101317178B1 (ko) | 지그비 게이트웨이 및 이의 메시지 동일화 방법 | |
US7532620B2 (en) | Routing table synchronization method, network apparatus, and routing table synchronization program | |
JP6114214B2 (ja) | ネットワーク装置、及び、通信方法 | |
CN107707557B (zh) | 匿名访问方法、装置、网络设备及可读存储介质 | |
JP2018133692A (ja) | 通信装置及びシステム及び方法 | |
US7359338B2 (en) | Method and apparatus for transferring packets in network | |
JPWO2017188417A1 (ja) | データ転送システム、データ転送装置、データ転送方法、及びプログラム | |
JP7180486B2 (ja) | データ処理装置、方法、及びプログラム | |
JP5011136B2 (ja) | 情報流出検知システム | |
US10367781B2 (en) | Information processing apparatus, method of controlling the same, and storage medium | |
JP6958176B2 (ja) | 情報処理装置、情報処理システム、制御方法およびプログラム | |
US10761788B2 (en) | Information processing apparatus, system, and control method | |
JP2021022805A (ja) | 情報処理装置、情報処理システムおよびプログラム | |
JP2020136827A (ja) | 情報処理システム、設定管理サーバ、及び設定管理方法 | |
KR20230106857A (ko) | 내부망의 네트워크 보안 시스템, 장치, 방법, 컴퓨터 판독 가능한 기록 매체, 및 컴퓨터 프로그램 | |
CN114338669B (zh) | 基于区块链的数据传输方法、装置、设备以及存储介质 | |
JP2006107158A (ja) | ストレージネットワークシステム及びアクセス制御方法 | |
AU2023203129B2 (en) | Systems and methods for distributing partial data to subnetworks |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20180411 |
|
A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20180417 |
|
A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20181023 |