JP4750750B2 - パケット転送システムおよびパケット転送方法 - Google Patents

パケット転送システムおよびパケット転送方法 Download PDF

Info

Publication number
JP4750750B2
JP4750750B2 JP2007126092A JP2007126092A JP4750750B2 JP 4750750 B2 JP4750750 B2 JP 4750750B2 JP 2007126092 A JP2007126092 A JP 2007126092A JP 2007126092 A JP2007126092 A JP 2007126092A JP 4750750 B2 JP4750750 B2 JP 4750750B2
Authority
JP
Japan
Prior art keywords
terminal
communication path
address
frame
mac address
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
JP2007126092A
Other languages
English (en)
Other versions
JP2008283495A (ja
Inventor
淳也 加藤
正久 川島
嘉人 大嶋
広和 北見
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nippon Telegraph and Telephone Corp
Original Assignee
Nippon Telegraph and Telephone Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph and Telephone Corp filed Critical Nippon Telegraph and Telephone Corp
Priority to JP2007126092A priority Critical patent/JP4750750B2/ja
Publication of JP2008283495A publication Critical patent/JP2008283495A/ja
Application granted granted Critical
Publication of JP4750750B2 publication Critical patent/JP4750750B2/ja
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Landscapes

  • Small-Scale Networks (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Description

この発明は、利用者が利用する端末から送信されるフレームが正当な利用者から送信されたフレームであることを判別して、外部ネットワークに転送するパケット転送システムおよびパケット転送方法に関する。
従来より、インターネットなどのネットワークが一般的に普及するにつれて、企業などの情報処理システムでは、正常なＩＰ（Internet Protocol）アドレスを詐称する詐称パケットの増加により処理遅延などの様々な問題が発生している。そこで、企業などの情報処理システムがこのような悪質な詐称パケットを受信しないようにするために、パケットの転送可否を判断して転送制御（フィルタリング）する様々な転送制御装置が開示されている。
一般的に、レイヤ２におけるイーサネット（登録商標）フレームの転送可否を判断する転送制御装置としてレイヤ２スイッチが利用されている。通常、レイヤ２スイッチは、ＭＡＣ（Media Access Control）アドレスを含むイーサネット（登録商標）ヘッダ情報のみを参照して転送可否を判断している。
また、最近では、イーサネット（登録商標）フレームに含まれる上位層のパケット情報（例えば、ＩＰヘッダ、ＴＣＰ／ＵＤＰ（Transmission Control Protocol/User Datagram Protocol）ヘッダなど）を参照してフレームの転送可否、方路を判断する手法が実施されており、この手法を用いて詐称パケットのフィルタリングを行うレイヤ２スイッチが利用されている（非特許文献１〜３参照）。具体的には、このレイヤ２スイッチは、ＭＡＣアドレスとＩＰアドレスとの対応関係を記憶する記憶テーブルを保持し、受信したパケットのＭＡＣアドレスとＩＰアドレスの組み合わせが保持する記憶テーブルに記憶されている場合に、当該パケットを宛先に転送し、記憶されていない場合に、当該パケットを破棄する。
また、マルチキャスト送信においては、ＭＬＤ（Multicast Listener Discovery）機構が多く用いられている。このＭＬＤは、受信したフレームに含まれるＩＰパケットのさらに内部に含まれるマルチキャスト経路情報を読み取り、リスナ要求を送信していない端末が接続されるポートへ、この受信したフレームを転送することを抑止する（非特許文献４）。
ところが、上記したいずれの手法を用いたとしても、ＩＰアドレスを動的に割り当てるＤＨＣＰサーバを用いたネットワークにおいて、ＩＰアドレスが詐称された通信を転送制御できないという問題が発生する。具体的には、ＩＰアドレスを動的に割り当てるアドレス割当て装置（ＤＨＣＰサーバ）は、ＩＰアドレス取得要求を受信すると、要求送信元端末のＭＡＣアドレスがあらかじめ記憶されるＭＡＣアドレスであることを条件に、ＩＰアドレスを割り当てる。そのため、ＭＡＣアドレスを不正に設定した端末からＩＰアドレス取得要求が送信されると、アドレス割当て装置は、その端末に対してＩＰアドレスを割り当てる。その結果、当該ネットワークにおいて、転送制御装置は、ＩＰアドレスを不正に入手した端末からのパケットを受信すると、つまり、ＩＰアドレスを詐称した端末からのパケットを受信すると、当該パケットを宛先に転送してしまうこととなる。
このような問題を解決するための手法として一般的には、端末が割当てを受けたＩＰアドレス以外を用いて、ＩＰアドレスを詐称した通信を行った場合に、パケットの転送を制限する転送制御装置が利用されている。具体的には、アドレス割当て装置によってＩＰアドレスが割り当てられると、転送制御装置は、割り当てられた「ＩＰアドレス」に対応付けて、割り当てられた端末の「ＭＡＣアドレス」と、割り与えられた端末が接続される「物理インターフェース番号（例えば、論理ポート番号や回線番号など）」とを記憶する。
そして、転送制御装置は、パケットを受信すると、当該パケットを受信した「物理インターフェース番号」を取得するとともに、当該パケットのＩＰヘッダから送信元の「ＩＰアドレス」、「ＭＡＣアドレス」を取得する。続いて、転送制御装置は、取得した「物理インターフェース番号」、「ＩＰアドレス」、「ＭＡＣアドレス」の組み合わせを記憶しているか否かを判定し、これらの組み合わせを記憶している場合には、受信したパケットを宛先に転送し、これらの組み合わせを記憶している場合には、受信したパケットを宛先に破棄することで、ＩＰアドレスを詐称したパケットの転送を制限する。
"FreeBSD Hypertext Man Pages"、［online］、［平成１９年４月２０日検索］、インターネット＜http://www.freebsd.org/cgi/man.cgi?query=bridge&apropos=0$sektion=0&manpath=FreeBSD+6.2-RELEASE&format-html＞ "FreeBSD Hypertext Man Pages"、［online］、［平成１９年４月２０日検索］、インターネット＜http://www.freebsd.org/cgi/man.cgi?query=bridge&apropos=0$sektion=0&manpath=FreeBSD+6.2-RELEASE＞ "IPTABLES"、［online］、［平成１９年４月２０日検索］、インターネット＜http://www.linux.or.jp/JM/html/iptables/man8/iptables.8.html＞ "Considerations for Internet Group Management Protocol（IGMP） and Multicast Listener Discovery（MLD）Snooping Switches,RFC4541"、［online］、［平成１９年４月２０日検索］、インターネット＜http://www.ietf.org/rfc/rfc4541.txt＞
しかしながら、上記した従来の技術は、無線ＬＡＮなどの単一の物理ネットワークを共有するシェアードメディア型のネットワークにおいて、詐称したＩＰアドレスを用いたパケットを正確にフィルタリングすることができないという課題があった。
具体的には、単一の物理ネットワークを用いる場合、「ＩＰアドレス」が割り当てられた端末全ての「物理インターフェース番号」が同じ値となるため、転送制御装置は、「ＭＡＣアドレス」を詐称して「ＩＰアドレス」を取得した端末を特定することができない。その結果、転送制御装置は、「ＭＡＣアドレス」を詐称して「ＩＰアドレス」を不正に入手した端末からのパケットを受信すると、つまり、「ＩＰアドレス」を詐称した端末からのパケットを受信すると、当該パケットを破棄する必要があるにも関わらず、「ＩＰアドレス」に対応付けて「ＭＡＣアドレス」と「物理インターフェース番号」とが記憶されているために、当該パケットを宛先に転送させてしまうこととなる。
そこで、この発明は、上述した従来技術の課題を解決するためになされたものであり、シェアードメディア型のネットワークにおいても、詐称したＩＰアドレスを用いたパケットを正確にフィルタリングすることが可能であるパケット転送システムおよびパケット転送方法を提供することを目的とする。
上述した課題を解決し、目的を達成するため、本発明は、利用者が利用する端末から送信されるフレームが正当な利用者から送信されたフレームであることを判別して、外部ネットワークに転送するパケット転送システムであって、前記端末との間に接続された仮想的な通信路を一意に識別する仮想通信路識別子と、当該端末のＭＡＣアドレスとを対応付けて記憶する通信路記憶手段と、前記端末に割当てられたＩＰアドレスと、前記ＩＰアドレスが割当てられた端末のＭＡＣアドレスとを対応付けて記憶するアドレス情報記憶手段と、前記端末から接続要求を受信した場合に、当該端末が正当な利用者であることを条件に、当該端末との間を仮想的な通信路で接続して、接続した仮想的な通信路に割り与えられている仮想通信路識別子と当該端末のＭＡＣアドレスとを対応付けて前記通信路記憶手段に格納する通信路接続制御手段と、前記通信路接続制御手段により仮想的な通信路で接続されて、ＩＰアドレスが割り当てられた端末からフレームを受信すると、当該フレームからＭＡＣアドレスを取得し、当該取得されたＭＡＣアドレスと、当該フレームが送信された仮想的な通信路の仮想通信路識別子から特定される前記通信路記憶手段に記憶されるＭＡＣアドレスとが一致する場合に、当該フレームの転送を許可し、一致しない場合に、当該フレームの転送を拒否するフレーム転送制御手段と、前記フレーム転送制御手段により転送が許可されたフレームからＩＰアドレスとＭＡＣアドレスを取得し、当該取得されたＩＰアドレスと、取得されたＭＡＣアドレスによって特定される前記アドレス情報記憶手段に記憶されるＩＰアドレスとが一致する場合に、当該フレームをパケットとして外部ネットワークに転送し、一致しない場合に、当該フレームを破棄する転送制御手段と、を備えたことを特徴とする。
また、本発明は、上記の発明において、前記端末のＭＡＣアドレスに対応付けて、前記端末と共有する暗号鍵を記憶する暗号鍵記憶手段をさらに備え、前記通信路接続制御手段は、前記端末から接続要求を受信した場合に、当該端末のＭＡＣアドレスに対応付けて前記暗号鍵記憶手段に記憶される暗号鍵を取得し、取得された暗号鍵を用いて当該端末との間を当該仮想的な通信路で接続することを特徴とする。
また、本発明は、上記の発明において、前記端末との間に接続された仮想的な通信路が無効状態であることを検出する無効化状態検出手段をさらに備え、前記通信路接続制御手段は、前記無効化状態検出手段によって前記仮想的な通信路が無効状態であると検出された場合に、前記仮想的な通信路に割り与えられている仮想通信路識別子に対応付けて前記通信路記憶手段に記憶される情報と、当該端末のＭＡＣアドレスに対応付けて前記アドレス情報記憶手段に記憶される情報とを削除することを特徴とする。
また、本発明は、上記の発明において、前記通信路接続制御手段によって前記端末との間に仮想的な通信路が確立されると、当該端末のＭＡＣアドレスに対応する暗号鍵を前記暗号鍵記憶手段から取得し、取得した暗号鍵と、当該端末のＭＡＣアドレスと、当該仮想的な通信路の仮想通信路識別子とをセッション情報として所定のセッション情報記憶手段に格納するセッション情報格納手段をさらに備え、前記通信路接続制御手段は、仮想的な通信路による接続を一時的に解消した端末から接続要求を受信した場合に、当該端末のＭＡＣアドレスに対応するセッション情報が前記所定のセッション情報記憶手段に記憶されていると、前記所定のセッション情報記憶手段からセッション情報を取得し、取得されたセッション情報を用いて、新たな仮想通信路識別子の仮想的な通信路ではなく、以前に接続されていた仮想通信路識別子の仮想的な通信路を当該端末との間に再構築することを特徴とする。
また、本発明は、上記の発明において、前記端末から接続要求を受信した場合に、当該端末が正当な利用者であるか否かを所定の認証手法で判定するユーザ認証手段をさらに備えたことを特徴とする。
また、本発明は、上記の発明において、前記端末には、当該端末を利用する利用者を一意に識別するユーザＩＤが割り与えられているものであって、前記ユーザ認証手段によって接続要求を送信した端末が正当な利用者であると判定された場合に、当該端末に割り当たられているユーザＩＤと、当該端末のＭＡＣアドレスとを対応付けて格納されるユーザ情報記憶手段と、前記ユーザ情報記憶手段に記憶されるユーザＩＤからＭＡＣアドレスを特定し、特定されたＭＡＣアドレスから前記アドレス情報記憶手段に記憶されるＩＰアドレスを特定するＩＰアドレス特定手段および／または前記アドレス情報記憶手段に記憶されるＩＰアドレスからＭＡＣアドレスを特定し、特定されたＩＰアドレスから前記ユーザ情報記憶手段に記憶されるユーザＩＤを特定するユーザ特定手段と、をさらに備えたことを特徴とする。
また、本発明は、上記の発明において、利用者が利用する端末から送信されるフレームが正当な利用者から送信されたフレームであることを判別して、外部ネットワークに転送することに適するパケット転送方法であって、前記端末との間に接続された仮想的な通信路を一意に識別する仮想通信路識別子と、当該端末のＭＡＣアドレスとを対応付けて記憶する通信路記憶手段と、前記端末に割当てられたＩＰアドレスと、前記ＩＰアドレスが割当てられた端末のＭＡＣアドレスとを対応付けて記憶するアドレス情報記憶手段と、前記端末から接続要求を受信した場合に、当該端末が正当な利用者であることを条件に、当該端末との間を仮想的な通信路で接続して、接続した仮想的な通信路に割り与えられている仮想通信路識別子と当該端末のＭＡＣアドレスとを対応付けて前記通信路記憶手段に格納する通信路接続制御工程と、前記通信路接続制御工程により仮想的な通信路で接続されて、ＩＰアドレスが割り当てられた端末からフレームを受信すると、当該フレームからＭＡＣアドレスを取得し、当該取得されたＭＡＣアドレスと、当該フレームが送信された仮想的な通信路の仮想通信路識別子から特定される前記通信路記憶手段に記憶されるＭＡＣアドレスとが一致する場合に、当該フレームの転送を許可し、一致しない場合に、当該フレームの転送を拒否するフレーム転送制御工程と、前記フレーム転送制御工程により転送が許可されたフレームからＩＰアドレスとＭＡＣアドレスを取得し、当該取得されたＩＰアドレスと、取得されたＭＡＣアドレスによって特定される前記アドレス情報記憶手段に記憶されるＩＰアドレスとが一致する場合に、当該フレームをパケットとして外部ネットワークに転送し、一致しない場合に、当該フレームを破棄する転送制御工程と、を含んだことを特徴とする。
本発明によれば、端末との間に接続された仮想的な通信路を一意に識別する仮想通信路識別子と、当該端末のＭＡＣアドレスとを対応付けて記憶し、端末に割当てられたＩＰアドレスと、ＩＰアドレスが割当てられた端末のＭＡＣアドレスとを対応付けて記憶し、端末から接続要求を受信した場合に、当該端末が正当な利用者であることを条件に、当該端末との間を仮想的な通信路で接続して、接続した仮想的な通信路に割り与えられている仮想通信路識別子と当該端末のＭＡＣアドレスとを対応付けて格納し、仮想的な通信路で接続されて、ＩＰアドレスが割り当てられた端末からフレームを受信すると、当該フレームからＭＡＣアドレスを取得し、当該取得されたＭＡＣアドレスと、当該フレームが送信された仮想的な通信路の仮想通信路識別子から特定されるＭＡＣアドレスとが一致する場合に、当該フレームの転送を許可し、一致しない場合に、当該フレームの転送を拒否し、転送が許可されたフレームからＩＰアドレスとＭＡＣアドレスを取得し、当該取得されたＩＰアドレスと、取得されたＭＡＣアドレスによって特定されるＩＰアドレスとが一致する場合に、当該フレームをパケットとして外部ネットワークに転送し、一致しない場合に、当該フレームを破棄するので、仮想的な通信路を識別する仮想通信路識別子によって正規に接続された端末を特定することができる結果、シェアードメディア型のネットワークにおいても、詐称したＩＰアドレスを用いたパケットを正確にフィルタリングすることが可能である。
例えば、仮想的な通信路で接続された端末からＭＡＣアドレスを詐称したフレームを受信した場合でも、仮想通信路識別子とＭＡＣアドレスとを対応付けて記憶している結果、当該フレームが不正な端末から送信されたフレームであると検出して破棄することができ、また、仮想的な通信路で接続された端末からＩＰアドレスを詐称したフレームを受信した場合でも、割当てられたＩＰアドレスとＭＡＣアドレスとを対応付けて記憶している結果、当該フレームが不正な端末から送信されたフレームであると検出して破棄することができる。また、端末が接続される仮想的な通信路（Ｌ２アクセスセッション）は一意に特定され、かつ、同一のＭＡＣアドレスを詐称する悪意のある端末は、当該Ｌ２アクセスセッションに接続することができないため、割当てたＩＰアドレスを用いてのみ通信可能となる。
また、本発明によれば、端末のＭＡＣアドレスに対応付けて、前記端末と共有する暗号鍵をさらに記憶し、端末から接続要求を受信した場合に、当該接続要求の送信先である端末に対応する暗号鍵が記憶されている場合に、当該端末が正当な利用者であると判定して、暗号鍵を取得し、取得された暗号鍵を用いて当該端末との間を当該仮想的な通信路で接続するので、セキュリティが高い仮想的な通信路を作成することができる結果、第三者の介入を強固に防止することが可能である。
例えば、暗号鍵を用いたＶＰＮ（Virtual Private Network）などを接続することができる結果、接続された仮想的な通信路に対して、第三者が不正に侵入することを強固に防止することが可能である。また、接続を希望する端末とパケット転送システムとの間で暗号鍵を共有しているので、当該暗号鍵を保持しているか否かにより、接続要求を送信する端末を認証することが可能である。さらに、ＭＡＣアドレスから生成された暗号鍵を用いることで、暗号鍵の詐称やＩＰアドレスを詐称する端末の介入をより強固に防止することが可能である。
また、本発明によれば、端末との間に接続された仮想的な通信路が無効状態であることを検出した場合に、仮想的な通信路に割り与えられている仮想通信路識別子に対応付けて記憶される情報と、当該端末のＭＡＣアドレスに対応付けて記憶される情報とを削除するので、当該ＭＡＣアドレスを保持する端末との仮想的な通信路を無効にすることができる結果、ＭＡＣアドレスやＩＰアドレスを詐称する悪意のある端末がネットワークに接続することを強固に防止することが可能である。
例えば、仮想的な通信路が無効状態であることを検出する手法としては、Ｌ２ネットワークアクセスポイントからの切断信号をリンク（アソシエーション）により検出した場合、新規の仮想的な通信路が確立されたときに、当該仮想的な通信路で接続された端末のＭＡＣアドレスに関する他の仮想的な通信路を無効と判断した場合、仮想的な通信路が確立された端末から周期的に接続更新信号を受信することとして、有効期限が過ぎても周期的な接続更新信号を受信しなかった場合などがあり、これらの手法によって無効状態であることが検出される。
その結果、悪意のある端末がパケット転送システムに接続しようとしたとしても、パケット転送システムは、正当端末との間で共有される暗号鍵Ａを保持していないため、正当な端末が接続されていた仮想的な通信路（Ｌ２アクセスセッション）を再現することはできない。また、悪意のある端末が異なる暗号鍵を用いてＬ２アクセスセッションを生成したとしても、正当な端末が接続されていたＬ２アクセスセッションとは異なるセッションであるため、端末から送信されるＩＰパケットを破棄することが可能である。
また、仮想的な通信路で接続された端末が周期的に接続を更新する更新信号をパケット転送システムに送信している場合、更新手続きの有効期限が切れても、更新信号を受信しなかったとすると、当該端末との接続を切断してもよいものとみなして接続が無効状態であると検出することができる結果、ＭＡＣアドレスやＩＰアドレスを詐称する悪意のある端末がネットワークに接続することを強固に防止することが可能である。
また、本発明によれば、端末との間に仮想的な通信路が確立されると、当該端末のＭＡＣアドレスに対応する暗号鍵を取得し、取得した暗号鍵と、当該端末のＭＡＣアドレスと、当該仮想的な通信路の仮想通信路識別子とをセッション情報としてさらに記憶し、仮想的な通信路による接続を一時的に解消した端末から接続要求を受信した場合に、当該端末のＭＡＣアドレス対応するセッション情報が記憶されていると、セッション情報を取得し、取得されたセッション情報を用いて、新たな仮想通信路識別子の仮想的な通信路ではなく、以前に接続されていた仮想通信路識別子の仮想的な通信路を当該端末との間に再構築するので、ＩＰアドレスの再払出によるレイヤ３通信の再接続を抑止することが可能である。
例えば、レイヤ２においてセッションを復元することができ、レイヤ３以上の上位の接続を再構築する必要がないため、ＩＰアドレスの再割当てを抑止することが可能であり、さらに、端末のＳＩＰ登録（Session Initiation Protocol registration）やＭｏｂｉｌｅ ＩＰを用いた際の位置登録、ＩＰアドレスとそれに対応する名前を動的に登録するＤＤＮＳ（Dynamic Domain Names Server）などの方式において、更新信号（例えば、再接続やＩＰアドレスの再割当てなど）の発生を抑止することが可能である。
また、本発明によれば、端末から接続要求を受信した場合に、当該端末が正当な利用者であるか否かを所定の認証手法で判定するので、Ｌ２レイヤレベルで端末を認証した上で仮想的な通信路を接続する結果、セキュリティを高く保つことが可能である。
例えば、ＩＥＥＥ８０２．ｘやＥＡＰ（Extensible Authentication Protocol）−ＴＬＳ（Transport Layer Security）「ＲＦＣ２７１６」などを用いて接続要求とともに第三者機関が発行する電子証明書などを受信することができ、この電子証明書に基づいて端末を認証することができる結果、セキュリティを高く保つことが可能である。
また、本発明によれば、端末には、当該端末を利用する利用者を一意に識別するユーザＩＤが割り与えられており、接続要求を送信した端末が正当な利用者であると判定された場合に、当該端末に割り当たられているユーザＩＤと、当該端末のＭＡＣアドレスとを対応付けて格納し、記憶されるユーザＩＤからＭＡＣアドレスを特定し、特定されたＭＡＣアドレスから記憶されるＩＰアドレスを特定したり、記憶されるＩＰアドレスからＭＡＣアドレスを特定し、特定されたＩＰアドレスから記憶されるユーザＩＤを特定したりすることができるので、ＩＰアドレスから端末に割り与えられているユーザＩＤ、また、ユーザＩＤから当該ユーザＩＤが割り与えられている端末のＩＰアドレスを容易に特定することが可能である。
例えば、ユーザＩＤとＭＡＣアドレスとの対応関係からＭＡＣアドレスを検索し、さらに、ＭＡＣアドレスとＩＰアドレスとの対応関係からＭＡＣアドレスをキーとして検索することで、ユーザＩＤとＩＰアドレスとの対応関係を得ることができる。また、ＭＡＣアドレスとＩＰアドレスとの対応関係からＩＰアドレスをキーとしてＭＡＣアドレスを得て、さらに、ユーザＩＤとＭＡＣアドレスとの対応関係から得られたＭＡＣアドレスをキーとしてユーザＩＤを検索することも可能である。
以下に添付図面を参照して、この発明に係るパケット転送システムおよびパケット転送方法の実施例を詳細に説明する。なお、以下では、本実施例で用いる主要な用語、本実施例に係るパケット転送システムの概要および特徴、パケット転送システムの構成および処理の流れを順に説明し、最後に本実施例に対する種々の変形例を説明する。
［用語の説明］
まず最初に、本実施例で用いる主要な用語を説明する。本実施例で用いる「通信システム」とは、「パケット転送システム（特許請求の範囲に記載の「パケット転送システム」に対応する。）」とは、端末からのアクセス要求を受け付けて、この端末が正規の端末である場合に接続を許可してＩＰアドレスを割当て、端末とインターネットなどの外部ネットワークの相互通信を可能とするシステムのことである。具体的には、このパケット転送システムは、Ｌ２ネットワークアクセスポイントと、フレーム転送装置と、ＩＰアドレス割当て装置と、ルール反映器と、Ｌ３ルーティング機構とから構成される。そして、Ｌ２ネットワークアクセスポイントとフレーム転送装置とが相互に通信可能に接続され、また、フレーム転送装置と、ＩＰアドレス割当て装置と、ルール反映器とがＬ３ルーティング機構を介して相互に通信可能に接続されている。
また、Ｌ２ネットワークアクセスポイントとは、無線通信により端末と接続される無線アクセスポイントなどの装置のことであり、フレーム転送装置とは、レイヤ２においてフレームを透過させる装置のことであり、フレーム内部に含まれる上位プロトコルの構造を解釈して当該フレームの転送可否を判断する装置のことである。
また、ＩＰアドレス割当て装置は、Ｌ２ネットワークアクセスポイントに接続された端末に対して、ＩＰアドレスを動的に発行して割り当て、割り当てた端末の「ＭＡＣアドレス」と「ＩＰアドレス」とを対応付けて記憶する装置のことであり、具体的には、ＤＨＣＰ（Dynamic Host Configuration Protocol）サーバなどがこれに該当する。また、Ｌ３ルーティング機構とは、ルーティング情報を記憶しており、フレーム転送装置から受信したパケットをこのルーティング情報に基づいて宛先に送信する装置のことであり、具体的には、ルータやＬ３スイッチなどがこれに該当する。また、ルール反映器とは、ＩＰアドレス割当て装置によって端末にＩＰアドレスが割り当てられて、割り当てられた端末の「ＭＡＣアドレス」と「ＩＰアドレス」とが記憶されると、記憶される情報に基づいて、フレーム転送装置が解釈可能な転送ルールを作成して、作成した転送ルールをフレーム転送装置に格納する装置である。
一般的に、端末とＬ２ネットワークアクセスポイントとが無線ＬＡＮなどのシェアードメディア型のネットワーク（共有型ネットワーク）で接続されている場合に、ＩＰ電話などのアプリケーションを安全に利用することが求められている。ＩＰ電話などのアプリケーションでは、ネットワーク内のサーバ装置がＩＰアドレスと通信者のＩＤとの対応関係を記憶している。そして、サーバ装置は、通信者宛ての呼を受信すると、当該通信者に対応するＩＰアドレスに対して着呼通知を送信する。そして、このＩＰアドレスが動的に割り当てられるＩＰアドレスである場合、複数の通信者間でＩＰアドレスが再利用される可能性があるので、ある通信者に割り当てたＩＰアドレスを別の通信者へ割り当てるまでに、一定の休止期間を設け、その休止期間の間に一度割り当てられたＩＰアドレスが無効となるようにシステムを運用しなければならない。このようなネットワークにおいて、ユーザが故意の設定により休止期間中のＩＰアドレスを設定すれば、別の通信者を詐称することができてしまう。このため、無線ＬＡＮなどのシェアードメディア型のネットワークにおいて、動的にＩＰアドレスを割り当てながら運用する状況では、「ＩＰアドレスの詐称」、つまり、「詐称されたＩＰアドレスを転送しないように制御する」ことが重要である。
［パケット転送システムの概要および特徴］
次に、図１を用いて、実施例１に係るパケット転送システムの概要および特徴を説明する。図１は、実施例１に係るパケット転送システムの全体構成を示すシステム構成図である。
図１に示すように、このパケット転送システムは、Ｌ２ネットワークアクセスポイントと、フレーム転送装置と、ＩＰアドレス割当て装置と、ルール反映器と、Ｌ３ルーティング機構とから構成され、Ｌ２ネットワークアクセスポイントとフレーム転送装置とが相互に通信可能に接続され、また、フレーム転送装置と、ＩＰアドレス割当て装置と、ルール反映器とがＬ３ルーティング機構を介して相互に通信可能に接続されている。また、利用者端末ＡとＬ２ネットワークアクセスポイントとは無線通信により接続されている。また、利用者端末Ａには、ＭＡＣアドレスとして「ＭＡＣアドレス１」が記憶されており、このＭＡＣアドレスを元に生成された暗号鍵Ａを記憶している。
このような構成において、このパケット転送システムは、上記したように、利用者が利用する端末から送信されるフレームが正当な利用者から送信されたフレームであることを判別して、外部ネットワークに転送することを概要とするものであり、特に、シェアードメディア型のネットワークにおいても、詐称したＩＰアドレスを用いたパケットを正確にフィルタリングすることが可能である点に主たる特徴がある。
この主たる特徴を具体的に説明すると、Ｌ２ネットワークアクセスポイントは、利用者端末との間に接続された仮想的な通信路を一意に識別する仮想通信路識別子と、当該端末のＭＡＣアドレスとを対応付けて通信路ＤＢに記憶する。具体的には、Ｌ２ネットワークアクセスポイントの通信路ＤＢは、『接続された仮想的な通信路を一意に識別する「仮想通信路識別子」、端末の「ＭＡＣアドレス」』を対応付けて記憶する。
ＩＰアドレス割当て装置は、Ｌ２ネットワークアクセスポイントに接続された端末に対して、ＩＰアドレスを動的に発行して割り当て、割り当てた端末の「ＭＡＣアドレス」と「ＩＰアドレス」とを対応付けてアドレス情報ＤＢに記憶する。アドレス情報ＤＢと通信路ＤＢは、利用者端末Ａとの間に接続された仮想的な通信路が接続されてから情報が記憶されるので、ここでは記憶される情報について省略する。
また、Ｌ２ネットワークアクセスポイントは、利用者端末のＭＡＣアドレスに対応付けて、利用者端末ＡのＭＡＣアドレスを元に生成した暗号鍵を暗号鍵ＤＢに記憶する。具体的に例を挙げると、Ｌ２ネットワークアクセスポイントの暗号鍵ＤＢは、『利用者端末のＭＡＣアドレスを示す「ＭＡＣアドレス」、利用者端末ＡのＭＡＣアドレスを元に生成した暗号鍵を示す「暗号鍵」』として「ＭＡＣアドレス１、暗号鍵Ａ」などと記憶する。ここで、暗号鍵を共有する手法としては、あらかじめ管理者などによって格納されていてもよく、ＷＰＡ（Wi−Fi Protected Access）などの既存の手法を用いて格納されていてもよい。
また、フレーム転送装置は、解釈可能な転送ルールを転送ルールＤＢに記憶する。具体的には、フレーム転送装置は、ルール反映器によって生成されて格納された転送ルールを転送ルールＤＢに記憶する。また、転送ルールＤＢは、『ルールを識別する「ルール番号」、転送可否を判断する「条件」、条件に一致した場合に実施する「アクション」』として「ルール０、フレームの内部に含まれるデータタイプがＩＰパケットである、フレームの通過を許可する」や「ルール１、端末とＩＰアドレス割り当て装置との通信である、フレームの通過を許可する」を予め記憶している。
このような条件において、パケット転送システムは、利用者端末から接続要求を受信した場合に、当該接続要求の送信先である利用者端末に対応する暗号鍵が暗号鍵ＤＢに記憶されている場合に、当該利用者端末が正当な利用者であると判定して、暗号鍵ＤＢから暗号鍵を取得して、取得された暗号鍵を用いて当該利用者端末との間を仮想的な通信路で接続して、接続した仮想的な通信路に割り与えられている仮想通信路識別子と当該端末のＭＡＣアドレスとを対応付けて通信路ＤＢに格納する（図１の（１）と（２）参照）。
上記した例で具体的に説明すると、パケット転送システムのＬ２ネットワークアクセスポイントは、利用者端末Ａから接続要求を示すフレームを無線通信により受信した場合に、当該フレームの送信先である利用者端末ＡのＭＡＣアドレスである「ＭＡＣアドレス１」を当該フレームから取得する。続いて、Ｌ２ネットワークアクセスポイントは、取得した「ＭＡＣアドレス１」に対応する暗号鍵Ａが暗号鍵ＤＢに記憶されていることより、当該利用者端末Ａが正当な利用者であると判定して、暗号鍵ＤＢから暗号鍵Ａを取得し、取得した暗号鍵Ａを用いて利用者端末Ａとの間を仮想的な通信路（Ｌ２アクセスセッション）で接続する。そして、Ｌ２ネットワークアクセスポイントは、接続した仮想的な通信路に割り与えられている識別子「仮想通信路Ａ」と、フレームから取得した接続された利用者端末ＡのＭＡＣアドレス「ＭＡＣアドレス１」とを通信路ＤＢに格納する。
利用者端末ＡとＬ２ネットワークアクセスポイントとの間でＬ２アクセスセッションが確立されると、利用者端末Ａは、このＬ２アクセスセッションを介してＩＰアドレス取得要求を示すＩＰパケットをパケット転送システムに送信する。このＩＰアドレス取得要求をＬ２ネットワークアクセスポイントを介して受信したフレーム転送装置は、転送ルールＤＢのルール番号を順に参照し、転送ルールＤＢに「ルール０、フレームの内部に含まれるデータタイプがＩＰパケットである、フレームの通過を許可する」と「ルール１、端末とＩＰアドレス割り当て装置との通信である、フレームの通過を許可する」とが記憶されているので、当該ＩＰアドレス取得要求をＬ３ルーティング機構に転送する。なお、ここで確立される仮想的な通信路とは、ＶＰＮ（Virtual Private Network）、ＶＣ（Virtual Circuit、Virtual Call、Virtual Connection）などの通信路である。
そして、パケット転送システムは、Ｌ２ネットワークアクセスポイントと端末とが仮想的な通信路で接続されると、ＩＰアドレスを割当てるとともに、転送ルールを生成して格納する（図１の（３）と（４）参照）。上記した例で具体的に説明すると、ＩＰアドレス取得要求を受信したパケット転送システムのＬ３ルーティング機構は、自装置に記憶されるルーティング情報に基づいて、当該要求をＩＰアドレス割当て装置に転送する。そして、ＩＰアドレス割当て装置は、要求を送信した利用者端末Ａに対してＩＰアドレスとして「ＩＰアドレス１」を割り当てる。そして、ＩＰアドレス割当て装置は、割り当てた端末の「ＭＡＣアドレス１」と「ＩＰアドレス１」とを対応付けてアドレス情報ＤＢに記憶する。すると、ルール反映器は、アドレス情報ＤＢによって記憶される「ＭＡＣアドレス１」と「ＩＰアドレス１」とを、フレーム転送装置が解釈可能な転送ルールに書き換えて、フレーム転送装置の転送ルールＤＢに格納する。
つまり、この時点で、Ｌ２ネットワークアクセスポイントの通信路ＤＢには、「仮想通信路識別子、ＭＡＣアドレス」として「仮想通信路Ａ、ＭＡＣアドレス１」とが記憶されており、ＩＰアドレス割当て装置のアドレス情報ＤＢには、「ＭＡＣアドレス、ＩＰアドレス」として「ＭＡＣアドレス１、ＩＰアドレス１」とが記憶されている。また、フレーム転送装置の転送ルールＤＢには、「ルール０、フレームの内部に含まれるデータタイプがＩＰパケットである、フレームの通過を許可する」、「ルール１、端末とＩＰアドレス割り当て装置との通信である、フレームの通過を許可する」、「ルール２、レイヤ２フレームの送信元アドレスがＭＡＣアドレス１である、かつ、フレーム内に含まれるＩＰヘッダの送信元ＩＰアドレスがＩＰアドレス１である、フレームの通過を許可する」が記憶されている。
その後、パケット転送システムは、Ｌ２ネットワークアクセスポイントにより仮想的な通信路で接続されて、ＩＰアドレス割当て装置によってＩＰアドレスが割り当てられた利用者端末からフレームを受信して、当該フレームからＭＡＣアドレスを取得し、当該フレームが送信された仮想的な通信路の仮想通信路識別子から特定される通信路ＤＢに記憶されるＭＡＣアドレスと、当該取得されたＭＡＣアドレスとが一致する場合に、当該フレームをフレーム転送装置に転送し、一致しない場合に、当該フレームを破棄する（図１の（５）と（６）参照）。
上記した例で具体的に説明すると、Ｌ２ネットワークアクセスポイントと接続され、ＩＰアドレスが割り当てられた利用者端末Ａは、接続されたＬ２アクセスセッションを介して無線通信により外部ネットワークに向けてフレーム（ＩＰパケット）を送信する。こうして送信されたフレームは、パケット転送システムのＬ２ネットワークアクセスポイントにより受信される。フレームを受信したＬ２ネットワークアクセスポイントは、当該フレームから「ＭＡＣアドレス１」を取得する。また、Ｌ２ネットワークアクセスポイントは、当該フレームが送信されたＬ２アクセスセッションの「仮想通信路識別子Ａ」に対応して通信路ＤＢに記憶される「ＭＡＣアドレス１」を取得する。そして、Ｌ２ネットワークアクセスセッションは、送信されたフレームから取得された「ＭＡＣアドレス１」と通信路ＤＢから取得された「ＭＡＣアドレス１」とが一致していることより、フレームを送信した利用者端末Ａを正規の利用者であると判定し、当該フレームをフレーム転送装置に転送する。
そして、パケット転送システムは、アクセスポイントにより転送されたフレームを受信した場合に、当該フレームからＩＰアドレスを取得し、取得されたＩＰアドレスと、取得されたＭＡＣアドレスによって特定されるアドレス情報ＤＢに記憶されるＩＰアドレスとが一致する場合に、当該フレームをパケットとしてルーティング機構に転送し、一致しない場合に、当該フレームを破棄する（図１の（７）と（８）参照）。
上記した例で具体的に説明すると、Ｌ２ネットワークアクセスポイントにより転送されたフレームを受信したフレーム転送装置は、フレーム送信元の利用者端末ＡのＭＡＣアドレスとＩＰアドレスとして「ＭＡＣアドレス１」と「ＩＰアドレス１」とを当該フレームから取得する。続いて、フレーム転送装置は、取得された「ＭＡＣアドレス１」に対応付けてＩＰアドレス割当て装置のアドレス情報ＤＢに記憶される「ＩＰアドレス１」を取得する。そして、フレーム転送装置は、当該フレームから取得された「ＩＰアドレス１」とＩＰアドレス割当て装置の記憶部から取得した「ＩＰアドレス１」とが一致する、つまり、転送ルールＤＢに「ルール２、レイヤ２フレームの送信元アドレスがＭＡＣアドレス１である、かつ、フレーム内に含まれるＩＰヘッダの送信元ＩＰアドレスがＩＰアドレス１である、フレームの通過を許可する」が記憶されていることより、当該フレームをＩＰパケットとしてルーティング機構に転送する。当該ＩＰパケットを受信したルーティング機構は、自装置に記憶されるルーティングテーブルに基づいて、当該ＩＰパケットを外部ネットワークに送信する。
ここで、ＩＰアドレスまたはＭＡＣアドレスを詐称したフレームの転送制御について説明する。例えば、上記したようにＬ２アクセスセッションで接続された利用者端末Ａ（ＩＰアドレス１、ＭＡＣアドレス１）がＭＡＣアドレスを「ＭＡＣアドレス２」と詐称してフレームを送信したとする。この場合、送信されたフレームを受信したＬ２ネットワークアクセスポイントは、当該フレームから「ＭＡＣアドレス２」を取得する。また、Ｌ２ネットワークアクセスセッションは、当該フレームが送信されたＬ２アクセスセッションの「仮想通信路識別子Ａ」に対応して通信路ＤＢに記憶される「ＭＡＣアドレス１」を取得する。そして、Ｌ２ネットワークアクセスセッションは、送信されたフレームから取得された「ＭＡＣアドレス２」と通信路ＤＢから取得された「ＭＡＣアドレス１」とが一致していないことより、フレームを送信した利用者端末Ａを正規の利用者でないと判定し、当該フレームを破棄する。
また、例えば、上記したようにＬ２アクセスセッションで接続された利用者端末Ａ（ＩＰアドレス１、ＭＡＣアドレス１）がＩＰアドレスを「ＩＰアドレス２」と詐称してフレームを送信したとする。送信されたフレームを受信したＬ２ネットワークアクセスポイントは、当該フレームから「ＭＡＣアドレス１」を取得する。また、Ｌ２ネットワークアクセスポイントは、当該フレームが送信されたＬ２アクセスセッションの「仮想通信路識別子Ａ」に対応して通信路ＤＢに記憶される「ＭＡＣアドレス１」を取得する。そしてＬ２ネットワークアクセスポイントは、送信されたフレームから取得された「ＭＡＣアドレス１」と通信路ＤＢから取得された「ＭＡＣアドレス１」とが一致していることより、フレームを送信した利用者端末Ａを正規の利用者であると判定し、当該フレームをフレーム転送装置に転送する。
続いて、Ｌ２ネットワークアクセスポイントにより転送されたフレームを受信したフレーム転送装置は、フレーム送信元の利用者端末ＡのＭＡＣアドレスとＩＰアドレスとして「ＭＡＣアドレス１」と「ＩＰアドレス２」とを当該フレームから取得する。続いて、フレーム転送装置は、転送ルールＤＢを順に参照し、取得した「ＭＡＣアドレス１」と「ＩＰアドレス２」とに転送するか否かを判定する。ここでは、フレーム転送装置は、「ルール２、レイヤ２フレームの送信元アドレスがＭＡＣ１である、かつ、フレーム内に含まれるＩＰヘッダの送信元ＩＰアドレスがＩＰアドレス１である、フレームの通過を許可する」が転送ルールＤＢに記憶されていることより、つまり、フレームから取得されたＩＰアドレスが「ＩＰアドレス２」であるため、当該フレームを破棄する。
このように、実施例１に係るパケット転送システムは、仮想的な通信路を識別する仮想通信路識別子によって正規に接続された端末を特定することができる結果、上記した主たる特徴のごとく、シェアードメディア型のネットワークにおいても、詐称したＩＰアドレスを用いたパケットを正確にフィルタリングすることが可能である。
［パケット転送システムの構成］
次に、図２を用いて、図１に示したパケット転送システムの構成を説明する。図２は、実施例１に係るパケット転送システムの構成を示すブロック図である。図２に示すように、実施例１に係るパケット転送システムは、ルール反映器１０と、Ｌ３ルーティング機構２０と、ＩＰアドレス割当て装置３０と、Ｌ２ネットワークアクセスポイント４０と、フレーム転送装置５０とから構成されるものであり、ここでは、それぞれについて説明する。
（ルール反映器１０）
ルール反映器１０は、フレーム転送装置５０が解釈可能な転送ルールを生成して、フレーム転送装置５０に格納する。具体的には、ルール反映器１０は、ＩＰアドレス割当て装置３０によって利用者端末ＡにＩＰアドレス（ＩＰアドレス１）が割り当てられて、割り当てられた端末の「ＭＡＣアドレス１」と「ＩＰアドレス１」とがアドレス情報ＤＢ３３に記憶されると、記憶される情報に基づいて、フレーム転送装置５０が解釈可能な転送ルールを作成して、作成した転送ルールをフレーム転送装置５０の転送ルールＤＢ５４に格納する。例えば、ルール反映器１０は、ＩＰアドレス割当て装置１０のアドレス情報ＤＢ３３に「ＭＡＣアドレス１」と「ＩＰアドレス１」とが記憶されると、この記憶される情報から、「レイヤ２フレームの送信元アドレスがＭＡＣ１である、かつ、フレーム内に含まれるＩＰヘッダの送信元ＩＰアドレスがＩＰアドレス１である場合に、フレームの通過を許可する」という転送ルールを生成して、フレーム転送装置５０の転送ルールＤＢ５４に格納する。
（Ｌ３ルーティング機構２０）
Ｌ３ルーティング機構２０は、記憶するルーティング情報（経路情報）に基づいて、受信したパケットを宛先に送信する。このルーティング機構２０は、一般的にネットワークセグメントの異なる複数のＬＡＮインターフェースを有するとともに、宛先ネットワーク／マスク、隣接ルータのＩＰアドレス、送出インターフェーステーブルを管理し、受信したＩＰパケットの宛先ＩＰアドレスを基にフレームを転送する。具体的には、Ｌ３ルーティング機構２０は、利用者端末Ａから送信されたＩＰアドレス割当て装置３０の宛てのブロードキャストであるＩＰアドレス取得要求をユニキャスト通信に書き換えて、ＩＰアドレス割当て装置３０に転送したり、ＩＰアドレスが割り当てられた利用者端末Ａから外部ネットワークに向けて送信されたＩＰパケットを外部ネットワークに転送したりする。
（ＩＰアドレス割当て装置３０の構成）
図２に示すように、ＩＰアドレス割当て装置３０は、通信制御Ｉ／Ｆ部３１と、記憶部３２と、制御部３４とから構成される。通信制御Ｉ／Ｆ部３１は、利用者端末Ａとの間でＬ３ルーティング機構２０を介してやり取りする各種情報に関する通信を制御する。上記した例で具体的に説明すると、通信制御Ｉ／Ｆ部３１は、利用者端末Ａから送信されたＩＰアドレス取得要求をＬ３ルーティング機構２０を介して受信したり、受信したＩＰアドレス取得要求に対する応答をＬ３ルーティング機構２０を介して利用者端末Ａに送信したりする。
記憶部３２は、制御部３４による各種処理に必要なデータおよびプログラムを格納するとともに、特に本発明に密接に関連するものとしては、アドレス情報ＤＢ３３を備える。
アドレス情報ＤＢ３３は、端末に割当てられたＩＰアドレスと、ＩＰアドレスが割当てられた端末のＭＡＣアドレスとを対応付けて記憶する。具体的には、アドレス情報ＤＢ３３は、後述するＩＰアドレス割当て部３５によってＩＰアドレスが割り当てられると、割り当てられたＩＰアドレスと、当該ＩＰアドレスが割り当てられた端末のＭＡＣアドレスとを対応付けて記憶する。例えば、アドレス情報ＤＢ３３は、図３に示すように、「ＭＡＣアドレス、ＩＰアドレス」として「ＭＡＣアドレス１、ＩＰアドレス１」や「ＭＡＣアドレス２、ＩＰアドレス２」などと記憶する。また、ここで示す各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。なお、図３は、ＩＰアドレス割当て装置のアドレス情報ＤＢに記憶される情報の例を示す図である。
制御部３４は、ＯＳ（Operating System）などの制御プログラム、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有するとともに、特に本発明に密接に関連するものとしては、ＩＰアドレス割当て部３５を備え、これらによって種々の処理を実行する。
ＩＰアドレス割当て部３５は、利用者端末に対してＩＰアドレスを動的に割り当てる。上記した例で具体的に説明すると、ＩＰアドレス割当て部３５は、利用者端末Ａから送信されたＩＰアドレス取得要求をＬ３ルーティング機構を介して受信すると、当該利用者端末ＡのＭＡＣアドレスである「ＭＡＣアドレス１」をＩＰアドレス取得要求から取得して、当該利用者端末Ａに対して「ＩＰアドレス１」を割当てる。そして、ＩＰアドレス割当て部３５は、割当てたＩＰアドレスである「ＩＰアドレス１」と、当該利用者端末のＭＡＣアドレスである「ＭＡＣアドレス１」とを対応付けてアドレス情報ＤＢ３３に格納する。
（Ｌ２ネットワークアクセスポイント４０の構成）
図２に示すように、Ｌ２ネットワークアクセスポイント４０は、無線通信部４１と、通信制御Ｉ／Ｆ部４２と、記憶部４３と、制御部４６とから構成される。
無線通信部４１は、無線ネットワークによる通信を制御するものであり、具体的には、利用者端末Ａから接続要求（Ｌ２ネットワークアクセス要求）を受信したり、利用者端末ＡからＩＰアドレス取得要求を受信したり、後述する通信制御Ｉ／Ｆ部４２によって受信されたＩＰアドレス取得要求に対する応答を送信したりする。
通信制御Ｉ／Ｆ部４２は、接続されるフレーム転送装置５０との通信を制御するものであり、具体的には、無線通信部４１によって受信された接続要求をフレーム転送装置５０に転送したり、ＩＰアドレス割当て装置３０によって送信されたＩＰアドレス取得要求に対する応答を受信したりする。
記憶部４３は、制御部４６による各種処理に必要なデータおよびプログラムを格納するとともに、特に本発明に密接に関連するものとしては、暗号鍵ＤＢ４４と、通信路ＤＢ４５とを備える。
暗号鍵ＤＢ４４は、利用者端末のＭＡＣアドレスに対応付けて、利用者端末ＡのＭＡＣアドレスを元に生成した暗号鍵を記憶する。上記した例で具体的に説明すると、暗号鍵ＤＢ４４は、図４に示すように、『利用者端末のＭＡＣアドレスを示す「ＭＡＣアドレス」、利用者端末ＡのＭＡＣアドレスを元に生成した暗号鍵を示す「暗号鍵」』として「ＭＡＣアドレス１、暗号鍵Ａ」や「ＭＡＣアドレス２、暗号鍵Ｂ」などと記憶する。ここで、暗号鍵を共有する手法としては、あらかじめ管理者などによって格納されていてもよく、ＷＰＡなどの既存の手法を用いて格納されていてもよい。また、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。なお、図４は、暗号鍵ＤＢに記憶される情報の例を示す図である。また、暗号鍵ＤＢ４４は、特許請求の範囲に記載の「暗号鍵記憶手段」に対応する。
通信路ＤＢ４５は、利用者端末との間に接続された仮想的な通信路を一意に識別する仮想通信路識別子と、当該端末のＭＡＣアドレスとを対応付けて記憶する。上記した例で具体的に説明すると、通信路ＤＢ４５は、図５に示すように、『接続された仮想的な通信路を一意に識別する「仮想通信路識別子」、端末の「ＭＡＣアドレス」』を対応付けて「ＭＡＣアドレス１、仮想通信路識別子Ａ」や「ＭＡＣアドレス２、仮想通信路識別子Ｂ」などと記憶する。ここで示す各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。また、図５は、通信路ＤＢに記憶される情報の例を示す図である。なお、通信路ＤＢ４５は、特許請求の範囲に記載の「通信路記憶手段」に対応する。
制御部４６は、ＯＳ（Operating System）などの制御プログラム、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有するとともに、特に本発明に密接に関連するものとしては、通信路接続部４７と、フレーム転送制御部４８とを備え、これらによって種々の処理を実行する。
通信路接続部４７は、利用者端末から接続要求を受信した場合に、当該接続要求の送信先である利用者端末に対応する暗号鍵が暗号鍵ＤＢ４４に記憶されている場合に、当該利用者端末が正当な利用者であると判定して、暗号鍵ＤＢ４４から暗号鍵を取得して、取得された暗号鍵を用いて当該利用者端末との間を仮想的な通信路で接続して、接続した仮想的な通信路に割り与えられている仮想通信路識別子と当該端末のＭＡＣアドレスとを対応付けて通信路ＤＢ４５に格納する。
上記した例で具体的に説明すると、通信路接続部４７は、利用者端末Ａから接続要求を示すフレームが無線通信部４１によって受信された場合に、当該フレームの送信先である利用者端末ＡのＭＡＣアドレスである「ＭＡＣアドレス１」を当該フレームから取得する。続いて、通信路接続部４７は、取得した「ＭＡＣアドレス１」に対応する暗号鍵Ａが暗号鍵ＤＢに記憶されていることより、当該利用者端末Ａが正当な利用者であると判定して、暗号鍵ＤＢから暗号鍵Ａを取得し、取得した暗号鍵Ａを用いて利用者端末Ａとの間を仮想的な通信路で接続する。そして、通信路接続部４７は、接続した仮想的な通信路に割り与えられている識別子「仮想通信路Ａ」と、フレームから取得した接続された利用者端末ＡのＭＡＣアドレス「ＭＡＣアドレス１」とを通信路ＤＢ４５に格納する。なお、通信路接続部４７は、特許請求の範囲に記載の「通信路接続制御手段」に対応する。
フレーム転送制御部４８は、通信路接続部４７により仮想的な通信路で接続されて、ＩＰアドレスが割り当てられた端末からフレームを受信した場合に、当該フレームからＭＡＣアドレスを取得し、当該取得されたＭＡＣアドレスと、当該フレームが送信された仮想的な通信路の仮想通信路識別子から特定される通信路ＤＢ４５に記憶されるＭＡＣアドレスとが一致すると、当該フレームの転送を許可し、一致しないと、当該フレームの転送を拒否する。
具体的に説明すると、フレーム転送制御部４８は、通信路接続部４７により利用者端末と仮想的な通信路で接続されて、ＩＰアドレスが割り当てられた利用者端末からフレームを受信した場合に、当該フレームからＭＡＣアドレスを取得する。そして、フレーム転送制御部４８は、当該フレームから送信された仮想的な通信路の仮想通信路識別子に対応して通信路ＤＢ４５に記憶されるＭＡＣアドレスを特定し、フレームから取得されたＭＡＣアドレスと、通信路ＤＢから特定されたＭＡＣアドレスとが一致する場合に、当該フレームをフレーム転送装置５０に転送し、一致しない場合に、当該フレームを破棄する。
上記した例で説明すると、フレーム転送制御部４８は、通信路接続部４７により利用者端末Ａと仮想的な通信路で接続されて、ＩＰアドレス「ＩＰアドレス１」が割り当てられた利用者端末Ａからフレームを受信した場合に、当該フレームからＭＡＣアドレスである「ＭＡＣアドレス１」を取得する。そして、フレーム転送制御部４８は、当該フレームから送信された仮想的な通信路の仮想通信路識別子Ａに対応して通信路ＤＢ４５に記憶されるＭＡＣアドレスとして「ＭＡＣアドレス１」を特定し、フレームから取得された「ＭＡＣアドレス１」と、通信路ＤＢから特定された「ＭＡＣアドレス１」とが一致するため、当該フレームをフレーム転送装置５０に転送する。なお、フレーム転送制御部４８は、特許請求の範囲に記載の「フレーム転送制御手段」に対応する。
（フレーム転送装置５０の構成）
図２に示すように、フレーム転送装置５０は、内部通信制御Ｉ／Ｆ部５１と、外部通信制御Ｉ／Ｆ部５２と、記憶部５３と、制御部５５とから構成される。
内部通信制御Ｉ／Ｆ部５１は、接続されるＬ２ネットワークアクセスポイント４０との間でやり取りする各種情報に関する通信を制御する。上記した例で具体的に説明すると、内部通信制御Ｉ／Ｆ部５１は、接続されるＬ２ネットワークアクセスポイント４０から転送された利用者端末Ａから接続要求やＩＰアドレス取得要求を受信したり、後述する外部通信制御Ｉ／Ｆ部５２によって受信されたＩＰアドレス取得要求に対する応答をＬ２ネットワークアクセスポイント４０に送信したりする。
外部通信制御Ｉ／Ｆ部５２は、接続されるＬ３ルーティング機構２０との間でやり取りする各種情報に関する通信を制御する。上記した例で具体的に説明すると、外部通信制御Ｉ／Ｆ部５２は、内部通信制御Ｉ／Ｆ部５１によって受信された利用者端末ＡのＩＰアドレス取得要求をＩＰアドレス割当て装置３０に送信するために、当該要求をＬ３ルーティング機構２０に転送したり、当該要求に対する応答をＬ３ルーティング機構２０から受信したりする。
記憶部５３は、制御部５５による各種処理に必要なデータおよびプログラムを格納するとともに、特に本発明に密接に関連するものとしては、転送ルールＤＢ５４とを備える。転送ルールＤＢ５４は、ルール反映器１０によって生成されて格納された解釈可能な転送ルールを記憶する。上記した例で具体的に説明すると、転送ルールＤＢ５４は、図６に示すように、『ルールを識別する「ルール番号」、転送可否を判断する「条件」、条件に一致した場合に実施する「アクション」』として「ルール０、フレームの内部に含まれるデータタイプがＩＰパケットである、フレームの通過を許可する」、「ルール１、端末とＩＰアドレス割り当て装置との通信である、フレームの通過を許可する」や「ルール２、レイヤ２フレームの送信元アドレスがＭＡＣアドレス１である、かつ、フレーム内に含まれるＩＰヘッダの送信元ＩＰアドレスがＩＰアドレス１である、フレームの通過を許可する」などと記憶する。また、ここで示す各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。なお、図６は、転送ルールＤＢに記憶される情報の例を示す図である。
制御部５５は、ＯＳ（Operating System）などの制御プログラム、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有するとともに、特に本発明に密接に関連するものとしては、転送制御部５６を備え、これらによって種々の処理を実行する。
転送制御部５６は、Ｌ２ネットワークアクセスポイント４０のフレーム転送制御部４８によりにより転送が許可されたフレームからＩＰアドレスとＭＡＣアドレスを取得し、当該取得されたＩＰアドレスと、取得されたＭＡＣアドレスによって特定されるアドレス情報ＤＢ３３に記憶されるＩＰアドレスとが一致する場合に、当該フレームをパケットとして外部ネットワークに転送し、一致しない場合に、当該フレームを破棄する。具体的には、転送制御部５６は、Ｌ２ネットワークアクセスポイント４０のフレーム転送制御部４８により転送されたフレームのＩＰヘッダからフレーム送信元の利用者端末ＡのＭＡＣアドレスとＩＰアドレスとして「ＭＡＣアドレス１」と「ＩＰアドレス１」とを当該フレーム取得する。続いて、転送制御部５６は、転送ルールＤＢ５４に記憶される転送ルールに基づき、当該フレームの転送可否を判断する。
上記した例で説明すると、転送制御部５６は、Ｌ２ネットワークアクセスポイント４０のフレーム転送制御部４８により転送されたフレームのＩＰヘッダからフレーム送信元の利用者端末ＡのＭＡＣアドレスとＩＰアドレスとして「ＭＡＣアドレス１」と「ＩＰアドレス１」とを当該フレーム取得する。そして、転送制御部５６は、転送ルールＤＢ５４に「ルール２、レイヤ２フレームの送信元アドレスがＭＡＣアドレス１である、かつ、フレーム内に含まれるＩＰヘッダの送信元ＩＰアドレスがＩＰアドレス１である、フレームの通過を許可する」が記憶されていることより、当該フレームをＩＰパケットとしてルーティング機構２０に転送する。
一方、転送ルールＤＢ５４に、「ルール２、レイヤ２フレームの送信元アドレスがＭＡＣアドレス１である、かつ、フレーム内に含まれるＩＰヘッダの送信元ＩＰアドレスがＩＰアドレス１である、フレームの通過を拒否する」や、「ルール３、レイヤ２フレームの送信元アドレスがＭＡＣアドレス１である、かつ、フレーム内に含まれるＩＰヘッダの送信元ＩＰアドレスがＩＰアドレス２である、フレームの通過を許可する」などが記憶されている場合、転送制御部５６は、当該フレームの転送を拒否し、当該フレームを破棄する。なお、転送制御部５６は、特許請求の範囲に記載の「転送制御手段」に対応する。
［パケット転送システムによる処理］
次に、図７と図８とを用いて、パケット転送システムによる処理を説明する。図７は、実施例１に係るパケット転送システムにおける仮想通信路接続処理の流れを示すフローチャートであり、図８は、実施例１に係るパケット転送システムにおけるフレーム転送処理の流れを示すフローチャートである。
（仮想通信路接続処理の流れ）
図７に示すように、利用者端末から接続要求を受信すると（ステップＳ７０１肯定）、パケット転送システムは、当該接続要求からＭＡＣアドレスを取得する（ステップＳ７０２）。上記した例で具体的に説明すると、利用者端末Ａから無線通信により送信された接続要求（Ｌ２ネットワークアクセス要求）を受信したＬ２ネットワークアクセスポイント４０は、当該接続要求からＭＡＣアドレスとして「ＭＡＣアドレス１」を取得する。
続いて、パケット転送システムは、取得したＭＡＣアドレスに対応する暗号鍵が記憶されているか否かを判定する（ステップＳ７０３）。上記した例で具体的に説明すると、Ｌ２ネットワークアクセスポイント４０は、取得した「ＭＡＣアドレス１」に対応する暗号鍵が暗号鍵ＤＢ４４に記憶されているか否かを判定する。
そして、取得したＭＡＣアドレスに対応する暗号鍵が記憶されている場合（ステップＳ７０３肯定）、パケット転送システムは、暗号鍵を取得して、利用者端末との間に取得した暗号鍵を用いて仮想的な通信路を確立し（ステップＳ７０４）、確立した仮想的な通信路に割り与えられている仮想通信路識別子と取得したＭＡＣアドレスとを対応付けて格納する（ステップＳ７０５）。
上記した例で具体的に説明すると、取得した「ＭＡＣアドレス１」に対応する「暗号鍵Ａ」が暗号鍵ＤＢ４４に記憶されている場合、Ｌ２ネットワークアクセスポイント４０は、「暗号鍵Ａ」を取得して、利用者端末との間に取得した「暗号鍵Ａ」を用いて仮想的な通信路「仮想通信路識別子Ａ」を確立し、確立した仮想的な通信路に割り与えられている仮想通信路識別子「仮想通信路識別子Ａ」と取得したＭＡＣアドレス「ＭＡＣアドレス１」とを対応付けて通信路ＤＢ４５に格納する。
一方、取得したＭＡＣアドレスに対応する暗号鍵が記憶されていない場合（ステップＳ７０３否定）、パケット転送システムは、接続を拒否する（ステップＳ７０６）。上記した例で具体的に説明すると、取得した「ＭＡＣアドレス１」に対応する暗号鍵が暗号鍵ＤＢ４４に記憶されていない場合、Ｌ２ネットワークアクセスポイント４０は、接続を拒否する旨の応答を利用者端末Ａに送信する。
（フレーム転送処理の流れ）
図８に示すように、利用者端末からフレームを受信すると（ステップＳ８０１肯定）、パケット転送システムは、当該フレームからＭＡＣアドレスを取得する（ステップＳ８０２）。上記した例で具体的に説明すると、仮想的な通信路で接続された利用者端末Ａから無線通信により送信されたフレームを受信したＬ２ネットワークアクセスポイント４０は、当該フレームからＭＡＣアドレスとして「ＭＡＣアドレス１」を取得する。
続いて、パケット転送システムは、当該フレームが送信された仮想的な通信路の仮想通信路識別子によって通信路ＤＢに記憶されるＭＡＣアドレスを特定して（ステップＳ８０３）、取得されたＭＡＣアドレスと特定されたＭＡＣアドレスとが一致するか否かを判定する（ステップＳ８０４）。上記した例で具体的に説明すると、Ｌ２ネットワークアクセスポイント４０は、当該フレームが送信された仮想的な通信路の仮想通信路識別子「仮想通信路識別子Ａ」に対応付けられているＭＡＣアドレスを、通信路ＤＢを参照して「ＭＡＣアドレス１」と特定し、取得された「ＭＡＣアドレス１」と特定された「ＭＡＣアドレス１」とが一致するか否かを判定する。
そして、取得されたＭＡＣアドレスと特定されたＭＡＣアドレスとが一致する場合（ステップＳ８０４肯定）、パケット転送システムは、当該フレームの転送を許可する（ステップＳ８０５）。上記した例で具体的に説明すると、取得された「ＭＡＣアドレス１」と特定された「ＭＡＣアドレス１」とが一致する場合、Ｌ２ネットワークアクセスポイント４０は、当該フレームをフレーム転送装置５０に転送する。
すると、パケット転送システムは、当該フレームからＩＰアドレスを取得し（ステップＳ８０６）、取得されたＩＰアドレスとＩＰアドレス割当て装置３０のアドレス情報ＤＢ３３に記憶されるＩＰアドレスとが一致するか否かを判定する（ステップＳ８０７）。
上記した例で具体的に説明すると、フレーム転送装置５０は、Ｌ２ネットワークアクセスポイント４０から転送されたＩＰヘッダから利用者端末ＡのＭＡＣアドレスとＩＰアドレスとして「ＭＡＣアドレス１」と「ＩＰアドレス１」とを取得する。続いて、フレーム転送装置５０は、取得された「ＭＡＣアドレス１」に対応付けてＩＰアドレス割当て装置３０のアドレス情報ＤＢ３３に記憶される「ＩＰアドレス１」を取得する。そして、当該フレームから取得された「ＩＰアドレス１」とＩＰアドレス割当て装置３０のアドレス情報ＤＢ３３から取得した「ＩＰアドレス１」とが一致する、つまり、転送ルールＤＢに当該フレームの転送を許可するルールが記憶されているか否かを判定する。
そして、取得されたＩＰアドレスとＩＰアドレス割当て装置３０のアドレス情報ＤＢ３３に記憶されるＩＰアドレスとが一致する場合（ステップＳ８０７肯定）、パケット転送システムは、当該フレームをパケットとして転送する（ステップＳ８０８）。
上記した例で具体的に説明すると、フレーム転送装置５０は、当該フレームから取得された「ＩＰアドレス１」とＩＰアドレス割当て装置３０のアドレス情報ＤＢ３３に記憶される「ＩＰアドレス１」とが一致する、つまり、転送ルールＤＢ５４に「ルール２、レイヤ２フレームの送信元アドレスがＭＡＣアドレス１である、かつ、フレーム内に含まれるＩＰヘッダの送信元ＩＰアドレスがＩＰアドレス１である、フレームの通過を許可する」が記憶されていることより、当該フレームをＩＰパケットとしてＬ３ルーティング機構２０を介して外部ネットワークに転送する。
一方、取得されたＭＡＣアドレスと特定されたＭＡＣアドレスとが一致しない場合（ステップＳ８０４否定）や取得されたＩＰアドレスとＩＰアドレス割当て装置３０のアドレス情報ＤＢ３３に記憶されるＩＰアドレスとが一致しない場合（ステップＳ８０７否定）、パケット転送システムは、当該フレームを破棄する（ステップＳ８０９）。
［実施例１による効果］
このように、実施例１によれば、利用者端末Ａとの間に接続された仮想的な通信路を一意に識別する仮想通信路識別子と、当該利用者端末ＡのＭＡＣアドレスとを対応付けて記憶し、利用者端末Ａから接続要求を受信した場合に、当該利用者端末Ａが正当な利用者であることを条件に、当該利用者端末Ａとの間を仮想的な通信路で接続して、接続した仮想的な通信路に割り与えられている仮想通信路識別子と当該利用者端末ＡのＭＡＣアドレスとを対応付けて格納し、仮想的な通信路で接続されて、ＩＰアドレスが割り当てられた利用者端末Ａからフレームを受信した場合に、当該フレームからＭＡＣアドレスを取得し、当該取得されたＭＡＣアドレスと、当該フレームが送信された仮想的な通信路の仮想通信路識別子から特定されるＭＡＣアドレスとが一致すると、当該フレームの転送を許可し、一致しないと、当該フレームの転送を拒否し、転送が許可されたフレームからＩＰアドレスとＭＡＣアドレスを取得し、当該取得されたＩＰアドレスと、取得されたＭＡＣアドレスによって特定されるアドレス情報ＤＢ３３に記憶されるＩＰアドレスとが一致する場合に、当該フレームをパケットとして外部ネットワークに転送し、一致しない場合に、当該フレームを破棄するので、仮想的な通信路を識別する仮想通信路識別子によって正規に接続された端末を特定することができる結果、シェアードメディア型のネットワークにおいても、詐称したＩＰアドレスを用いたパケットを正確にフィルタリングすることが可能である。
例えば、仮想的な通信路で接続された端末からＭＡＣアドレスを詐称したフレームを受信した場合でも、仮想通信路識別子とＭＡＣアドレスとを対応付けて記憶している結果、当該フレームが不正な端末から送信されたフレームであると検出して破棄することができ、また、仮想的な通信路で接続された端末からＩＰアドレスを詐称したフレームを受信した場合でも、割当てられたＩＰアドレスとＭＡＣアドレスとを対応付けて記憶している結果、当該フレームが不正な端末から送信されたフレームであると検出して破棄することができる。
また、端末が接続される仮想的な通信路（Ｌ２アクセスセッション）は一意に特定され、かつ、同一のＭＡＣアドレスを詐称する悪意のある端末は、当該Ｌ２アクセスセッションに接続することができないため、割当てたＩＰアドレスを用いてのみ通信可能となる。
また、実施例１によれば、利用者端末ＡのＭＡＣアドレスに対応付けて、利用者端末Ａと共有する暗号鍵を記憶し、利用者端末Ａから接続要求を受信した場合に、当該接続要求の送信先である端末に対応する暗号鍵が記憶されている場合に、当該利用者端末Ａが正当な利用者であると判定して、暗号鍵を取得し、取得された暗号鍵を用いて当該利用者端末Ａとの間を当該仮想的な通信路で接続するので、セキュリティが高い仮想的な通信路を作成することができる結果、第三者の介入を強固に防止することが可能である。
例えば、暗号鍵を用いたＶＰＮなどを接続することができる結果、接続された仮想的な通信路に対して、第三者が不正に侵入することを強固に防止することが可能である。また、接続を希望する端末とパケット転送システムとの間で暗号鍵を共有しているので、当該暗号鍵を保持しているか否かにより、接続要求を送信する端末を認証することが可能である。さらに、ＭＡＣアドレスから生成された暗号鍵を用いることで、暗号鍵の詐称やＩＰアドレスを詐称する端末の介入をより強固に防止することが可能である。
ところで、本発明におけるパケット転送システムでは、レイヤ２ネットワークへの認証機能を追加することもできる。そこで、実施例２では、図９を用いて、レイヤ２ネットワークへの認証機能を追加したパケット転送システムについて説明する。図９は、実施例２に係るパケット転送システムの全体構成を示す図である。
図９に示すように、このパケット転送システムは、実施例１で説明したパケット転送システムに、認証部６２（特許請求の範囲に記載の「ユーザ認証手段」に対応する）とユーザ情報ＤＢ６１（特許請求の範囲に記載の「ユーザ情報記憶手段」に対応する）とから構成されるＬ２アクセス認証装置６０とマッチング機構７０（特許請求の範囲に記載の「ＩＰアドレス特定手段」と「ユーザ特定手段」とに対応する）とがさらに追加されている。また、図９に示したＬ２ネットワークアクセスポイント４０は、ＩＥＥＥ８０２．ｘやＥＡＰ−ＴＬＳ（ＲＦＣ２７１６）に対応した装置である。
このＬ２アクセス認証装置６０のユーザ情報ＤＢ６１は、利用者端末Ａを一意に識別するユーザＩＤと、当該端末のＭＡＣアドレスとを対応付けて記憶する。具体的に例を挙げると、ユーザ情報ＤＢ６１は、図１０に示すように、『端末を一意に識別する「ユーザＩＤ」と、当該端末の「ＭＡＣアドレス」』として「ユーザＡ、ＭＡＣアドレス１」や「ユーザＢ、ＭＡＣアドレス２」などと記憶する。また、ここで示す各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。なお、図１０は、ユーザ情報ＤＢに記憶される情報の例を示す図である。
そして、Ｌ２アクセス認証装置６０の認証部６２は、利用者端末Ａから接続要求を受信した場合に、当該端末が正当な利用者であるか否かを所定の認証手法で判定し、接続要求を送信した端末が正当な利用者であると判定した場合に、当該端末のＭＡＣアドレスとＩＰアドレスとをユーザ情報ＤＢ６１に格納する。
また、マッチング機構７０とは、ユーザＩＤに対応してユーザ情報ＤＢ６１に記憶されるＭＡＣアドレスからアドレス情報ＤＢ３３に記憶されるＩＰアドレスを特定し、また、ＩＰアドレスに対応してアドレス情報ＤＢ３３に記憶されるＭＡＣアドレスからユーザ情報ＤＢ６１に記憶されるユーザＩＤを特定する。
ここで示す所定の認証について具体的に説明すると、ＩＥＥＥ８０２．ｘやＥＡＰ−ＴＬＳ（ＲＦＣ２７１６）などを用いて、利用者端末Ａから接続要求とともに電子証明書を受信したＬ２ネットワークアクセスポイント４０は、当該接続要求をＬ３ルーティング機構２０を介して、Ｌ２アクセス認証装置６０に転送する（図９の（１）参照）。
すると、Ｌ２アクセス認証装置６０の認証部６２は、受信した電子証明書から接続要求を送信した端末が正当な利用者であるか否かを判定する（図９の（２）参照）。そして、正当な利用者であると判定すると、Ｌ２アクセス認証装置６０の認証部６２は、当該利用者端末ＡのユーザＩＤとＭＡＣアドレスとして「ユーザＡ、ＭＡＣアドレス１」とをユーザ情報ＤＢ６１に格納する（図９の（３）参照）。
その後、実施例１で説明した同様の手法で、利用者端末Ａに対してＩＰアドレスが割り当てられて、利用者端末ＡのＩＰアドレスとＭＡＣアドレスとがＩＰアドレス割当て装置３０のアドレス情報ＤＢ３３に格納されると、マッチング機構７０は、ユーザＩＤに対応してユーザ情報ＤＢ６１に記憶されるＭＡＣアドレスからアドレス情報ＤＢ３３に記憶されるＩＰアドレスを特定し、また、ＩＰアドレスに対応してアドレス情報ＤＢ３３に記憶されるＭＡＣアドレスからユーザ情報ＤＢ６１に記憶されるユーザＩＤを特定する（図９の（５）参照）。つまり、マッチング機構７０は、ユーザＩＤとＭＡＣアドレスとの対応関係からＭＡＣアドレスを検索し、さらに、ＭＡＣアドレスとＩＰアドレスとの対応関係からＭＡＣアドレスをキーとして検索することで、ユーザＩＤとＩＰアドレスとの対応関係を得ることができる。また、ＭＡＣアドレスとＩＰアドレスとの対応関係からＩＰアドレスをキーとしてＭＡＣアドレスを得て、さらに、ユーザＩＤとＭＡＣアドレスとの対応関係から得られたＭＡＣアドレスをキーとしてユーザＩＤを検索することも可能である。
また、実施例２によれば、端末から接続要求を受信した場合に、当該接続要求から端末のＭＡＣアドレスとＩＰアドレスとを取得し、取得したＭＡＣアドレスとＩＰアドレスとに基づいて、当該端末が正当な利用者であるか否かを所定の認証手法で判定するので、Ｌ２レイヤレベルで端末を認証した上で仮想的な通信路を接続する結果、セキュリティを高く保つことが可能である。
例えば、ＩＥＥＥ８０２．ｘやＥＡＰ（Extensible Authentication Protocol）−ＴＬＳ（Transport Layer Security）「ＲＦＣ２７１６」などを用いて接続要求とともに第三者機関が発行する電子証明書などを受信することができ、この電子証明書に基づいて端末を認証することができる結果、セキュリティを高く保つことが可能である。
また、実施例２によれば、利用者端末Ａには、当該端末を利用する利用者を一意に識別するユーザＩＤが割り与えられており、接続要求を送信した端末が正当な利用者であると判定された場合に、当該端末に割り当たられているユーザＩＤと、当該端末のＭＡＣアドレスとを対応付けて格納されるユーザ情報ＤＢ６１と、ユーザ情報ＤＢ６１に記憶されるユーザＩＤからＭＡＣアドレスを特定し、特定されたＭＡＣアドレスからアドレス情報ＤＢ３３に記憶されるＩＰアドレスを特定し、アドレス情報ＤＢ３３に記憶されるＩＰアドレスからＭＡＣアドレスを特定し、特定されたＩＰアドレスからユーザ情報ＤＢ６１に記憶されるユーザＩＤを特定するので、ＩＰアドレスから端末に割り与えられているユーザＩＤ、また、ユーザＩＤから当該ユーザＩＤが割り与えられている端末のＩＰアドレスを容易に特定することが可能である。
例えば、ユーザＩＤとＭＡＣアドレスとの対応関係からＭＡＣアドレスを検索し、さらに、ＭＡＣアドレスとＩＰアドレスとの対応関係からＭＡＣアドレスをキーとして検索することで、ユーザＩＤとＩＰアドレスとの対応関係を得ることができる。また、ＭＡＣアドレスとＩＰアドレスとの対応関係からＩＰアドレスをキーとしてＭＡＣアドレスを得て、さらに、ユーザＩＤとＭＡＣアドレスとの対応関係から得られたＭＡＣアドレスをキーとしてユーザＩＤを検索することも可能である。
ところで、本発明におけるパケット転送システムでは、接続された仮想的な通信路が無効状態であると検出されると、接続されていた利用者端末に関する情報を削除するようにすることもできる。そこで、実施例３では、図１１を用いて、接続された仮想的な通信路が無効状態であると検出された場合に、接続されていた利用者端末に関する情報を削除するパケット転送システムについて説明する。図１１は、実施例３に係るパケット転送システムの全体構成を示す図である。
実施例１または実施例２と異なる点としては、図１１に示すように、Ｌ２アクセス認証装置には、利用者端末との間に仮想的な通信路が確立されると、当該端末のＭＡＣアドレスに対応する暗号鍵を暗号鍵ＤＢ４４から取得し、取得した暗号鍵と、当該端末のＭＡＣアドレスと、当該仮想的な通信路の仮想通信路識別子とをセッション情報として記憶するセッション情報ＤＢ８０が接続されている。また、Ｌ３ルーティング機構２０には、接続された仮想的な通信路が切断された場合に、接続されていた利用者端末に関する情報を削除する指示を各装置に送信するセッション情報通知器９０が接続されている。
このような構成において、実施例１または実施例２と同様に、利用者端末Ａから接続要求が送信されると、Ｌ２アクセス認証装置６０によってユーザ認証が実行されて、正当な利用者であると判定されると、Ｌ２ネットワークアクセスポイント４０は、当該利用者端末ＡのＭＡＣアドレスに対応した暗号鍵Ａを暗号鍵ＤＢ４４から取得し、取得した暗号鍵Ａを用いて、利用者端末Ａとの間に仮想的な通信路を確立する（図１１の（１）〜（４）参照）。すると、Ｌ２アクセス認証装置６０は、図１２に示すように、確立された仮想的な通信路のセッション情報（暗号鍵Ａ、ＭＡＣアドレス１、仮想通信路識別子Ａ）をセッション情報ＤＢ８０に格納する（図１１の（５）参照）。ここで、Ｌ２ネットワークアクセスポイント４０と仮想的な通信路で接続された利用者端末は、接続状態を継続するために周期的に接続更新信号をＬ２ネットワークアクセスポイント４０に送信している。なお、図１２は、セッション情報ＤＢに格納される情報の例を示す図である。
その後、Ｌ２ネットワークアクセスポイント４０は、接続された仮想的な通信路が無効状態であることを検出すると、（図１１の（６）参照）、通信路ＤＢ４５にそれぞれ記憶される無効状態であると検出された利用者端末ＡのＭＡＣアドレスに対応する情報である「仮想通信路識別子Ａ、ＭＡＣアドレス１」を削除するとともに、（図１１の（７）参照）、当該セッションが無効状態であると検出されたことをＬ２アクセス認証装置６０に通知する（図１１の（８）参照）。
ここで、仮想的な通信路が無効化状態であることを検出する手法としては、Ｌ２ネットワークアクセスポイント４０からの切断信号をリンク（アソシエーション）により検出した場合、新規の仮想的な通信路が確立されたときに、当該仮想的な通信路で接続された端末のＭＡＣアドレスに関する他の仮想的な通信路を無効と判断した場合、仮想的な通信路が確立された端末から周期的に接続更新信号を受信することとして、有効期限が過ぎても周期的な接続更新信号を受信しなかった場合などがあり、また、これ以外にも様々な手法で無効状態を検出することができる。
そして、当該セッションが無効化状態であると検出された通知を受信したＬ２アクセス認証装置６０は、セッション情報ＤＢ８０に記憶される「暗号鍵Ａ、ＭＡＣアドレス１、仮想通信路識別子Ａ」と、ユーザ情報ＤＢ６１に記憶されるユーザ情報「ユーザＡ、ＭＡＣアドレス１」とを削除するとともに（図１１の（９）参照）、転送ルールＤＢ５４に記憶される無効化状態であると検出された利用者端末ＡのＭＡＣアドレスに対応する情報である転送ルールを削除する指示をルール反映器１０に送信し、当該セッションが無効化状態であると検出された通知をセッション情報通知器９０に対して送信する（図１１の（１０）参照）。
削除指示を受けたルール反映器１０は、フレーム転送装置５０の転送ルールＤＢ５４に記憶される「ルール２、レイヤ２フレームの送信元アドレスがＭＡＣアドレス１である、かつ、フレーム内に含まれるＩＰヘッダの送信元ＩＰアドレスがＩＰアドレス１である、フレームの通過を許可する」転送ルールを削除する（図１１の（１１）参照）。
また、当該セッションが無効化状態であると検出された通知を受信したセッション情報通知器９０は、ＩＰアドレス割当て装置３０に対して、アドレス情報ＤＢ３３に記憶される無効状態であると検出された利用者端末ＡのＭＡＣアドレス「ＭＡＣアドレス１」に対応する情報「ＭＡＣアドレス１、ＩＰアドレス１」を削除する指示を送信し、当該指示を受信したＩＰアドレス割当て装置３０は、アドレス情報ＤＢ３３に記憶される「ＭＡＣアドレス１、ＩＰアドレス１」を削除することで、利用者端末ＡのＩＰアドレス割当てを終了する（図１１の（１２）参照）。
このように、実施例３によれば、利用者端末Ａとの間に接続された仮想的な通信路が無効化状態であると検出された場合に、仮想的な通信路に割り与えられている仮想通信路識別子Ａに対応付けて通信路ＤＢ４５に記憶される情報「仮想通信路氏識別子Ａ、ＭＡＣアドレス１」と、利用者端末ＡのＭＡＣアドレスに対応付けてアドレス情報ＤＢ３３に記憶される情報「ＭＡＣアドレス１、ＩＰアドレス１」とを削除するので、当該ＭＡＣアドレスを保持する端末との仮想的な通信路を無効にすることができる結果、ＭＡＣアドレスやＩＰアドレスを詐称する悪意のある端末がネットワークに接続することを強固に防止することが可能である。
例えば、悪意のある端末がＬ２ネットワークアクセスポイント４０に接続しようとしたとしても、パケット転送システムのＬ２ネットワークアクセスポイント４０は、正当端末との間で共有される暗号鍵Ａを保持していないため、正当な端末が接続されていたＬ２アクセスセッションを再現することはできない。また、悪意のある端末が異なる暗号鍵を用いてＬ２アクセスセッションを生成したとしても、正当な端末が接続されていたＬ２アクセスセッションとは異なるセッションであるため、端末から送信されるＩＰパケットをフレーム転送装置５０で破棄することが可能である。
また、仮想的な通信路で接続された端末が周期的に接続を更新する更新信号をパケット転送システムに送信している場合、更新手続きの有効期限が切れても、更新信号を受信しなかったとすると、当該端末との接続を切断してもよいものとみなして接続を無効にすることができる結果、ＭＡＣアドレスやＩＰアドレスを詐称する悪意のある端末がネットワークに接続することを強固に防止することが可能である。
ところで、本発明におけるパケット転送システムでは、Ｌ２ネットワークアクセスポイントが複数あり、あるＬ２ネットワークアクセスポイントから異なるＬ２ネットワークアクセスポイントに端末が再接続する際に、仮想的な通信路を迅速に再構築することができる。そこで、実施例４では、図１３を用いて、仮想的な通信路を迅速に再構築するパケット転送システムについて説明する。図１３は、実施例４に係るパケット転送システムの全体構成を示す図である。
実施例１〜３と異なる点としては、図１３に示すように、フレーム転送装置５０に複数のＬ２ネットワークアクセスポイントＡ〜Ｃが接続されている点である。このような構成において、ＩＰアドレス「ＩＰアドレス１」が割り当てられた利用者端末ＡとＬ２ネットワークアクセスポイントＣとが仮想的な通信路で接続されていたとする。その場合、セッション情報ＤＢ８０は、確立された仮想的な通信路のセッション情報（暗号鍵Ａ、ＭＡＣアドレス１、仮想通信路識別子Ａ）を記憶していることとなる。
このような状態から利用者端末ＡがＬ２ネットワークアクセスポイントＣとの仮想的な通信路を解消して、新たにＬ２ネットワークアクセスポイントＢと再接続を要求する接続要求をＬ２ネットワークアクセスポイントＢに送信したとする（図１３の（１）参照）。すると、Ｌ２ネットワークアクセスポイントＢは、セッション情報ＤＢ８０を参照して、当該接続要求を送信した利用者端末ＡのＭＡＣアドレスである「ＭＡＣアドレス１」に対応するセッション情報（暗号鍵Ａ、ＭＡＣアドレス１、仮想通信路識別子Ａ）が記憶されていることより、このセッション情報（暗号鍵Ａ、ＭＡＣアドレス１、仮想通信路識別子Ａ）を取得し（図１３の（２）参照）、取得したセッション情報（暗号鍵Ａ、ＭＡＣアドレス１、仮想通信路識別子Ａ）に基づいて、利用者端末ＡとＬ２ネットワークアクセスポイントＣとの間に接続された仮想的な通信路を再構築する（図１３の（３））参照）。これ以降のフレーム転送制御については、実施例１と同様の処理であるので、ここでは省略する。
このように、実施例４によれば、利用者端末Ａとの間に仮想的な通信路が確立されると、当該端末のＭＡＣアドレス１に対応する暗号鍵Ａを暗号鍵ＤＢ４４から取得し、取得した暗号鍵Ａと、当該利用者端末ＡのＭＡＣアドレス１と、当該仮想的な通信路の仮想通信路識別子Ａとをセッション情報として記憶し、仮想的な通信路による接続を一時的に解消した利用者端末Ａから接続要求を受信した場合に、当該利用者端末ＡのＭＡＣアドレス１に対応するセッション情報がセッション情報ＤＢ８０に記憶されていると、セッション情報ＤＢ８０からセッション情報を取得し、取得されたセッション情報を用いて、新たな仮想通信路識別子の仮想的な通信路ではなく、以前に接続されていた仮想通信路識別子Ａの仮想的な通信路を当該利用者端末Ａとの間に再構築するので、ＩＰアドレスの再払出によるレイヤ３通信の再接続を抑止することが可能である。
例えば、レイヤ２においてセッションを復元することができ、レイヤ３以上の上位の接続を再構築する必要がないため、ＩＰアドレスの再割当てを抑止することが可能であり、さらに、端末のＳＩＰ登録（registration）やＭｏｂｉｌｅ ＩＰを用いた際の位置登録、ＩＰアドレスとそれに対応する名前を動的に登録するＤＤＮＳなどの方式において、更新信号（例えば、再接続やＩＰアドレスの再割当てなど）の発生を抑止することが可能である。
さて、これまで本発明の実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下に示すように、（１）システム構成等、（２）プログラムにそれぞれ区分けして異なる実施例を説明する。
（１）システム構成等
また、本実施例において説明した各処理のうち、自動的におこなわれるものとして説明した処理（例えば、接続要求からＭＡＣアドレスやユーザＩＤを取得する処理など）の全部または一部を手動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報（例えば、図３〜図６、図１０、図１２など）については、特記する場合を除いて任意に変更することができる。
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合（例えば、Ｌ２ネットワークアクセスポイントとフレーム転送装置とを統合するなど）して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。例えば、フレーム転送装置とＬ２ネットワークアクセスポイントとを統合したり、また、フレーム転送装置とルール反映器を統合したり、Ｌ２ネットワークアクセスポイントの通信路接続部をフレーム装置が備えるように構成したりするなど、様々な装置構成を実現することができる。
（２）プログラム
なお、本実施例で説明したパケット転送システムは、あらかじめ用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。このプログラムは、インターネットなどのネットワークを介して配布することができる。また、このプログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。
以上のように、本発明に係るパケット転送システムおよびパケット転送方法は、利用者が利用する端末から送信されるフレームが正当な利用者から送信されたフレームであることを判別して、外部ネットワークに転送することに有用であり、特に、シェアードメディア型のネットワークにおいても、詐称したＩＰアドレスを用いたパケットを正確にフィルタリングすることに適する。
実施例１に係るパケット転送システムの全体構成を示すシステム構成図である。 実施例１に係るパケット転送システムの構成を示すブロック図である。 アドレス情報ＤＢに記憶される情報の例を示す図である。 暗号鍵ＤＢに記憶される情報の例を示す図である。 通信路ＤＢに記憶される情報の例を示す図である。 転送ルールＤＢに記憶される情報の例を示す図である。 実施例１に係るパケット転送システムにおける仮想通信路接続処理の流れを示すフローチャートである。 実施例１に係るパケット転送システムにおけるフレーム転送処理の流れを示すフローチャートである。 実施例２に係るパケット転送システムの全体構成を示す図である。 ユーザ情報ＤＢに記憶される情報の例を示す図である。 実施例３に係るパケット転送システムの全体構成を示す図である。 セッション情報ＤＢに格納される情報の例を示す図である。 実施例４に係るパケット転送システムの全体構成を示す図である。
符号の説明
１０ ルール反映器
２０ Ｌ３ルーティング機構
３０ ＩＰアドレス割当て装置
３１ 通信制御Ｉ／Ｆ部
３２ 記憶部
３３ アドレス情報ＤＢ
３４ 制御部
３５ ＩＰアドレス割当て部
４０ Ｌ２ネットワークアクセスポイント
４１ 無線通信部
４２ 通信制御Ｉ／Ｆ部
４３ 記憶部
４４ 暗号鍵ＤＢ
４５ 通信路ＤＢ
４６ 制御部
４７ 通信路接続部
４８ フレーム転送制御部
５０ フレーム転送装置
５１ 内部通信制御Ｉ／Ｆ部
５２ 外部通信制御Ｉ／Ｆ部
５３ 記憶部
５４ 転送ルールＤＢ
５５ 制御部
５６ 転送制御部
６０ Ｌ２アクセス認証装置
６１ ユーザ情報ＤＢ
６２ 認証部
７０ マッチング機構
８０ セッション情報ＤＢ
９０ セッション情報通知器

Claims (6)

  1. 利用者が利用する端末から送信されるフレームが正当な利用者から送信されたフレームであることを判別して、外部ネットワークに転送するパケット転送システムであって、
    前記端末との間に接続された仮想的な通信路を一意に識別する仮想通信路識別子と、当該端末のＭＡＣアドレスとを対応付けて記憶する通信路記憶手段と、
    前記端末に割当てられたＩＰアドレスと、前記ＩＰアドレスが割当てられた端末のＭＡＣアドレスとを対応付けて記憶するアドレス情報記憶手段と、
    前記端末から接続要求を受信した場合に、当該端末が正当な利用者であることを条件に、当該端末との間を仮想的な通信路で接続して、接続した仮想的な通信路に割り与えられている仮想通信路識別子と当該端末のＭＡＣアドレスとを対応付けて前記通信路記憶手段に格納する通信路接続制御手段と、
    前記通信路接続制御手段により仮想的な通信路で接続されて、ＩＰアドレスが割り当てられた端末からフレームを受信すると、当該フレームからＭＡＣアドレスを取得し、当該取得されたＭＡＣアドレスと、当該フレームが送信された仮想的な通信路の仮想通信路識別子から特定される前記通信路記憶手段に記憶されるＭＡＣアドレスとが一致する場合に、当該フレームの転送を許可し、一致しない場合に、当該フレームの転送を拒否するフレーム転送制御手段と、
    前記フレーム転送制御手段により転送が許可されたフレームからＩＰアドレスとＭＡＣアドレスを取得し、当該取得されたＩＰアドレスと、取得されたＭＡＣアドレスによって特定される前記アドレス情報記憶手段に記憶されるＩＰアドレスとが一致する場合に、当該フレームをパケットとして外部ネットワークに転送し、一致しない場合に、当該フレームを破棄する転送制御手段と、
    前記端末のＭＡＣアドレスに対応付けて、前記端末と共有する暗号鍵を記憶する暗号鍵記憶手段とを備え、
    前記通信路接続制御手段は、前記端末から接続要求を受信した場合に、当該端末のＭＡＣアドレスに対応付けて前記暗号鍵記憶手段に記憶される暗号鍵を取得し、取得された暗号鍵を用いて当該端末との間を当該仮想的な通信路で接続することを特徴とするパケット転送システム。
  2. 利用者が利用する端末から送信されるフレームが正当な利用者から送信されたフレームであることを判別して、外部ネットワークに転送するパケット転送システムであって、
    前記端末との間に接続された仮想的な通信路を一意に識別する仮想通信路識別子と、当該端末のＭＡＣアドレスとを対応付けて記憶する通信路記憶手段と、
    前記端末に割当てられたＩＰアドレスと、前記ＩＰアドレスが割当てられた端末のＭＡＣアドレスとを対応付けて記憶するアドレス情報記憶手段と、
    前記端末から接続要求を受信した場合に、当該端末が正当な利用者であることを条件に、当該端末との間を仮想的な通信路で接続して、接続した仮想的な通信路に割り与えられている仮想通信路識別子と当該端末のＭＡＣアドレスとを対応付けて前記通信路記憶手段に格納する通信路接続制御手段と、
    前記通信路接続制御手段により仮想的な通信路で接続されて、ＩＰアドレスが割り当てられた端末からフレームを受信すると、当該フレームからＭＡＣアドレスを取得し、当該取得されたＭＡＣアドレスと、当該フレームが送信された仮想的な通信路の仮想通信路識別子から特定される前記通信路記憶手段に記憶されるＭＡＣアドレスとが一致する場合に、当該フレームの転送を許可し、一致しない場合に、当該フレームの転送を拒否するフレーム転送制御手段と、
    前記フレーム転送制御手段により転送が許可されたフレームからＩＰアドレスとＭＡＣアドレスを取得し、当該取得されたＩＰアドレスと、取得されたＭＡＣアドレスによって特定される前記アドレス情報記憶手段に記憶されるＩＰアドレスとが一致する場合に、当該フレームをパケットとして外部ネットワークに転送し、一致しない場合に、当該フレームを破棄する転送制御手段と、
    前記端末との間に接続された仮想的な通信路が無効状態であることを検出する無効化状態検出手段とを備え、
    前記通信路接続制御手段は、前記無効化状態検出手段によって前記仮想的な通信路が無効状態であると検出された場合に、前記仮想的な通信路に割り与えられている仮想通信路識別子に対応付けて前記通信路記憶手段に記憶される情報と、当該端末のＭＡＣアドレスに対応付けて前記アドレス情報記憶手段に記憶される情報とを削除することを特徴とするパケット転送システム。
  3. 利用者が利用する端末から送信されるフレームが正当な利用者から送信されたフレームであることを判別して、外部ネットワークに転送するパケット転送システムであって、
    前記端末との間に接続された仮想的な通信路を一意に識別する仮想通信路識別子と、当該端末のＭＡＣアドレスとを対応付けて記憶する通信路記憶手段と、
    前記端末に割当てられたＩＰアドレスと、前記ＩＰアドレスが割当てられた端末のＭＡＣアドレスとを対応付けて記憶するアドレス情報記憶手段と、
    前記端末から接続要求を受信した場合に、当該端末が正当な利用者であることを条件に、当該端末との間を仮想的な通信路で接続して、接続した仮想的な通信路に割り与えられている仮想通信路識別子と当該端末のＭＡＣアドレスとを対応付けて前記通信路記憶手段に格納する通信路接続制御手段と、
    前記通信路接続制御手段により仮想的な通信路で接続されて、ＩＰアドレスが割り当てられた端末からフレームを受信すると、当該フレームからＭＡＣアドレスを取得し、当該取得されたＭＡＣアドレスと、当該フレームが送信された仮想的な通信路の仮想通信路識別子から特定される前記通信路記憶手段に記憶されるＭＡＣアドレスとが一致する場合に、当該フレームの転送を許可し、一致しない場合に、当該フレームの転送を拒否するフレーム転送制御手段と、
    前記フレーム転送制御手段により転送が許可されたフレームからＩＰアドレスとＭＡＣアドレスを取得し、当該取得されたＩＰアドレスと、取得されたＭＡＣアドレスによって特定される前記アドレス情報記憶手段に記憶されるＩＰアドレスとが一致する場合に、当該フレームをパケットとして外部ネットワークに転送し、一致しない場合に、当該フレームを破棄する転送制御手段と、
    前記端末のＭＡＣアドレスに対応付けて、前記端末と共有する暗号鍵を記憶する暗号鍵記憶手段と、
    前記通信路接続制御手段によって前記端末との間に仮想的な通信路が確立されると、当該端末のＭＡＣアドレスに対応する暗号鍵を前記暗号鍵記憶手段から取得し、取得した暗号鍵と、当該端末のＭＡＣアドレスと、当該仮想的な通信路の仮想通信路識別子とをセッション情報として所定のセッション情報記憶手段に格納するセッション情報格納手段とを備え、
    前記通信路接続制御手段は、前記端末から接続要求を受信した場合に、当該端末のＭＡＣアドレスに対応付けて前記暗号鍵記憶手段に記憶される暗号鍵を取得し、取得された暗号鍵を用いて当該端末との間を当該仮想的な通信路で接続するものであり、仮想的な通信路による接続を一時的に解消した端末から接続要求を受信した場合に、当該端末のＭＡＣアドレスに対応するセッション情報が前記所定のセッション情報記憶手段に記憶されていると、前記所定のセッション情報記憶手段からセッション情報を取得し、取得されたセッション情報を用いて、新たな仮想通信路識別子の仮想的な通信路ではなく、以前に接続されていた仮想通信路識別子の仮想的な通信路を当該端末との間に再構築することを特徴とするパケット転送システム。
  4. 利用者が利用する端末から送信されるフレームが正当な利用者から送信されたフレームであることを判別して、外部ネットワークに転送するパケット転送システムであって、
    前記端末との間に接続された仮想的な通信路を一意に識別する仮想通信路識別子と、当該端末のＭＡＣアドレスとを対応付けて記憶する通信路記憶手段と、
    前記端末に割当てられたＩＰアドレスと、前記ＩＰアドレスが割当てられた端末のＭＡＣアドレスとを対応付けて記憶するアドレス情報記憶手段と、
    前記端末から接続要求を受信した場合に、当該端末が正当な利用者であることを条件に、当該端末との間を仮想的な通信路で接続して、接続した仮想的な通信路に割り与えられている仮想通信路識別子と当該端末のＭＡＣアドレスとを対応付けて前記通信路記憶手段に格納する通信路接続制御手段と、
    前記通信路接続制御手段により仮想的な通信路で接続されて、ＩＰアドレスが割り当てられた端末からフレームを受信すると、当該フレームからＭＡＣアドレスを取得し、当該取得されたＭＡＣアドレスと、当該フレームが送信された仮想的な通信路の仮想通信路識別子から特定される前記通信路記憶手段に記憶されるＭＡＣアドレスとが一致する場合に、当該フレームの転送を許可し、一致しない場合に、当該フレームの転送を拒否するフレーム転送制御手段と、
    前記フレーム転送制御手段により転送が許可されたフレームからＩＰアドレスとＭＡＣアドレスを取得し、当該取得されたＩＰアドレスと、取得されたＭＡＣアドレスによって特定される前記アドレス情報記憶手段に記憶されるＩＰアドレスとが一致する場合に、当該フレームをパケットとして外部ネットワークに転送し、一致しない場合に、当該フレームを破棄する転送制御手段と、
    前記端末から接続要求を受信した場合に、当該端末が正当な利用者であるか否かを所定の認証手法で判定するユーザ認証手段と、
    を備えたことを特徴とするパケット転送システム。
  5. 前記端末には、当該端末を利用する利用者を一意に識別するユーザＩＤが割り与えられているものであって、
    前記ユーザ認証手段によって接続要求を送信した端末が正当な利用者であると判定された場合に、当該端末に割り当たられているユーザＩＤと、当該端末のＭＡＣアドレスとを対応付けて格納されるユーザ情報記憶手段と、
    前記ユーザ情報記憶手段に記憶されるユーザＩＤからＭＡＣアドレスを特定し、特定されたＭＡＣアドレスから前記アドレス情報記憶手段に記憶されるＩＰアドレスを特定するＩＰアドレス特定手段および／または前記アドレス情報記憶手段に記憶されるＩＰアドレスからＭＡＣアドレスを特定し、特定されたＩＰアドレスから前記ユーザ情報記憶手段に記憶されるユーザＩＤを特定するユーザ特定手段と、をさらに備えたことを特徴とする請求項４に記載のパケット転送システム。
  6. 利用者が利用する端末から送信されるフレームが正当な利用者から送信されたフレームであることを判別して、外部ネットワークに転送することに適するパケット転送方法であって、
    前記端末との間に接続された仮想的な通信路を一意に識別する仮想通信路識別子と、当該端末のＭＡＣアドレスとを対応付けて記憶する通信路記憶手段と、
    前記端末に割当てられたＩＰアドレスと、前記ＩＰアドレスが割当てられた端末のＭＡＣアドレスとを対応付けて記憶するアドレス情報記憶手段と、
    前記端末のＭＡＣアドレスに対応付けて、前記端末と共有する暗号鍵を記憶する暗号鍵記憶手段とを備え、
    前記端末から接続要求を受信した場合に、当該端末が正当な利用者であることを条件に、当該端末との間を仮想的な通信路で接続して、接続した仮想的な通信路に割り与えられている仮想通信路識別子と当該端末のＭＡＣアドレスとを対応付けて前記通信路記憶手段に格納する通信路接続制御工程と、
    前記通信路接続制御工程により仮想的な通信路で接続されて、ＩＰアドレスが割り当てられた端末からフレームを受信すると、当該フレームからＭＡＣアドレスを取得し、当該取得されたＭＡＣアドレスと、当該フレームが送信された仮想的な通信路の仮想通信路識別子から特定される前記通信路記憶手段に記憶されるＭＡＣアドレスとが一致する場合に、当該フレームの転送を許可し、一致しない場合に、当該フレームの転送を拒否するフレーム転送制御工程と、
    前記フレーム転送制御工程により転送が許可されたフレームからＩＰアドレスとＭＡＣアドレスを取得し、当該取得されたＩＰアドレスと、取得されたＭＡＣアドレスによって特定される前記アドレス情報記憶手段に記憶されるＩＰアドレスとが一致する場合に、当該フレームをパケットとして外部ネットワークに転送し、一致しない場合に、当該フレームを破棄する転送制御工程とを含み、
    前記通信路接続制御工程は、前記端末から接続要求を受信した場合に、当該端末のＭＡＣアドレスに対応付けて前記暗号鍵記憶手段に記憶される暗号鍵を取得し、取得された暗号鍵を用いて当該端末との間を当該仮想的な通信路で接続することを特徴とするパケット転送方法。
JP2007126092A 2007-05-10 2007-05-10 パケット転送システムおよびパケット転送方法 Expired - Fee Related JP4750750B2 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2007126092A JP4750750B2 (ja) 2007-05-10 2007-05-10 パケット転送システムおよびパケット転送方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2007126092A JP4750750B2 (ja) 2007-05-10 2007-05-10 パケット転送システムおよびパケット転送方法

Publications (2)

Publication Number Publication Date
JP2008283495A JP2008283495A (ja) 2008-11-20
JP4750750B2 true JP4750750B2 (ja) 2011-08-17

Family

ID=40143934

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2007126092A Expired - Fee Related JP4750750B2 (ja) 2007-05-10 2007-05-10 パケット転送システムおよびパケット転送方法

Country Status (1)

Country Link
JP (1) JP4750750B2 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11431706B2 (en) 2017-09-08 2022-08-30 Kabushiki Kaisha Toshiba Communication control system and communication control device
US11736219B2 (en) 2018-12-28 2023-08-22 Kabushiki Kaisha Toshiba Communication control device and communication control system

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4987820B2 (ja) * 2008-08-11 2012-07-25 日本電信電話株式会社 認証システム、接続制御装置、認証装置および転送装置
JP6478649B2 (ja) * 2015-01-16 2019-03-06 エヌ・ティ・ティ・コミュニケーションズ株式会社 通信システム、接続制御装置、仮想通信路設定方法、及びプログラム

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003162505A (ja) * 2001-11-26 2003-06-06 Kenwood Corp アクセス制御装置、ネットワークシステム、アクセス制御方法およびプログラム
JP4245486B2 (ja) * 2004-01-08 2009-03-25 富士通株式会社 ネットワーク不正接続防止方法及び装置
JP4320603B2 (ja) * 2004-02-26 2009-08-26 日本電気株式会社 加入者回線収容装置およびパケットフィルタリング方法
JP4923283B2 (ja) * 2004-08-20 2012-04-25 富士ゼロックス株式会社 無線通信システムおよび通信装置および通信制御プログラム
JP2006094417A (ja) * 2004-09-27 2006-04-06 Nec Corp 加入者回線収容装置およびパケットフィルタリング方法
JP2006279601A (ja) * 2005-03-29 2006-10-12 Toyota Industries Corp 無線装置の暗号鍵の管理方法及び無線装置

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11431706B2 (en) 2017-09-08 2022-08-30 Kabushiki Kaisha Toshiba Communication control system and communication control device
US11736219B2 (en) 2018-12-28 2023-08-22 Kabushiki Kaisha Toshiba Communication control device and communication control system

Also Published As

Publication number Publication date
JP2008283495A (ja) 2008-11-20

Similar Documents

Publication Publication Date Title
JP4727126B2 (ja) 近距離無線コンピューティング装置用のセキュア・ネットワーク・アクセスの提供
JP5497901B2 (ja) 匿名通信の方法、登録方法、メッセージ受発信方法及びシステム
US8073936B2 (en) Providing support for responding to location protocol queries within a network node
US20180270189A1 (en) Equipment for offering domain-name resolution services
WO2005036831A1 (ja) フレーム中継装置
AU2001288394A1 (en) Location-independent packet routing and secure access in a short-range wireless networking environment
JP2006203300A (ja) 転送装置、アクセス可否判定方法およびプログラム
WO2017107871A1 (zh) 访问控制方法和网络设备
WO2014206152A1 (zh) 一种网络安全监控方法和***
JP2006033206A (ja) 認証システム、ネットワーク集線装置及びそれらに用いる認証方法並びにそのプログラム
JP2008066907A (ja) パケット通信装置
JP4750750B2 (ja) パケット転送システムおよびパケット転送方法
CN102752266B (zh) 访问控制方法及其设备
JP2006352719A (ja) ネットワーク監視装置，ネットワーク監視方法，ネットワークシステム及びネットワーク監視方法及びネットワーク通信方法
JP4253520B2 (ja) ネットワーク認証装置及びネットワーク認証システム
JP4895793B2 (ja) ネットワーク監視装置及びネットワーク監視方法
JP2009218926A (ja) ネットワーク接続制御システム、ネットワーク接続制御プログラムおよびネットワーク接続制御方法
JP2003324457A (ja) アクセス制御装置、方法、プログラムおよび記録媒体
CA2419865C (en) Providing secure network access for short-range wireless computing devices
JP2002199003A (ja) 移動端末位置登録方法及びその実施装置
JP2006295340A (ja) 認証ゲートウェイ装置及びそのプログラム
Lu Novel method for transferring access control list rules to synchronize security protection in a locator/identifier separation protocol environment with cross‐segment host mobility
Kanematsu et al. A Proposal and Implementation of Communication Control Function for NTMobile
JP2004260243A (ja) 移動端末の認証方法、移動位置管理装置及び認証情報管理装置
CN113992583A (zh) 一种表项维护方法及装置

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20090722

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20110301

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20110315

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20110426

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20110517

A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20110519

R150 Certificate of patent or registration of utility model

Free format text: JAPANESE INTERMEDIATE CODE: R150

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20140527

Year of fee payment: 3

S531 Written request for registration of change of domicile

Free format text: JAPANESE INTERMEDIATE CODE: R313531

R350 Written notification of registration of transfer

Free format text: JAPANESE INTERMEDIATE CODE: R350

LAPS Cancellation because of no payment of annual fees