JP5413940B2 - シンクライアントネットワーク、シンクライアント、不正接続防止装置、これらの動作方法、及び記録媒体 - Google Patents

Description

本発明は、シンクライアントネットワーク、シンクライアント、不正接続防止装置、これらの動作方法、及び記録媒体に係り、特に検疫ネットワークにおけるシンクライアントに関する。

従来から、ＯＳ（Operating System）をサーバ上で動作させ、端末に情報を保持させない、いわゆる「シンクライアント」によるネットワークの運用が行われている。これによると、端末に情報を保持させないことにより、情報漏えいなどの危険性を軽減することができる。非特許文献１には、関連技術のシンクライアントネットワークシステムの一例が記載されている。

このように使用者の端末としてシンクライアントを用いたシンクライアントネットワークでは、端末に必要最小限の処理をさせ、ほとんどの処理をサーバ側に集中させている。近年では、ＰＣ（パーソナルコンピュータ）の盗難による情報漏えいのリスク軽減や、端末の管理コストの低減等の目的で、シンクライアントが特に注目されている。シンクライアントは、端末にデータを保持しないため、端末が盗難された場合でも個人情報などの重要なデータが漏洩する可能性が低い。また、ＯＳやアプリケーションをサーバで集中管理するため、個々の端末を管理する場合に比べて、全体の管理コストを低減できる等の利点がある。なお、クライアントサーバ型ネットワークにおいて、ハードディスク等の資源を保持しない端末である「シンクライアント」に対し、これらの資源を保持する端末のことを「ファットクライアント」とも呼ぶ（以下の説明でも、この用語を使用する）。

一方、企業内ネットワークのウイルス感染や不正侵入等に対するセキュリティ対策としては、社内ネットワークに接続しようとする端末に対し、その安全性を検査し端末に問題がないことを確認してから接続を許可する、いわゆる「検疫ネットワーク」を用いたシステムも知られている。これに関し、特許文献１では、低廉な検疫ネットワークを簡単に導入して検疫ネットワークを実現することによりセキュリティの向上を図ることを目的としたネットワーク技術が提案されている。また、特許文献２では、特に検疫ネットワークにおける端末間のアクセス制御を工夫したアクセス制御装置が提案されている。
特開２００６−２６２０１９号公報 特開２００７−１０４０５８号公報 ＮＥＣ Ｗｅｂページ「仮想ＰＣ型シンクライアントシステム ＶｉｒｔｕａｌＰＣＣｅｎｔｅｒ基盤ソフトウェア」、［online］、［平成２０年２月１８日検索］、インターネット<http://www.nec.co.jp/vpcc_sw/

しかしながら、関連技術のシンクライアントネットワークでは、シンクライアントのみでネットワークを構築しようとしても、外部から持ち込まれたファットクライアントなどをネットワークに接続されてしまう危険性があった。また、通常の方法では、シンクライアントとファットクライアントの識別ができないため、シンクライアントは接続を許可し、ファットクライアントは接続を許可しないといった検疫を行うことができないという問題があった。

さらに、特許文献１、２では、検疫ネットワーク技術に関するものであり、特にシンクライアントを用いたネットワークを意図したものではないため、上記のようなシンクライアントに特有の課題は認識されていない。従って、特許文献１、２においても、上記のような課題は解決されない。

本発明は、シンクライアントネットワークにおいて、ファットクライアントの接続を許可せず、シンクライアントの接続を許可するようなネットワークの構築を可能にすることを目的とする。

上記目的を達成するため、本発明に係るシンクライアントネットワークは、ネットワークに接続され、ルータ経由でシンクライアントサーバと通信を行うシンクライアントと、前記ネットワークに接続された不正接続防止装置とを有し、前記シンクライアントは、前記ネットワーク上にＡＲＰ（Address Resolution Protocol）要求を送信しないで、前記ルータのＩＰ（Internet Protocol）アドレス及びＭＡＣ（Media Access Control）アドレスの組をＡＲＰテーブルに静的に保持するように設定するＡＲＰテーブル設定手段と、前記ＡＲＰテーブルに設定された前記ルータのＩＰアドレス及びＭＡＣアドレスを用いて前記ルータ経由で前記シンクライアントサーバと通信を行う通信手段とを有し、前記不正接続防止装置は、前記ネットワーク上にブロードキャストされたＡＲＰ要求をルータ以外から受信すると、前記ＡＲＰ要求の送信元装置を前記ネットワークから遮断するように前記送信元装置のＭＡＣアドレスとは異なる所定のＭＡＣアドレスを含むＡＲＰ応答を前記ネットワーク上に送信するＡＲＰ応答手段を有し、前記ＡＲＰ応答手段は、前記送信元装置からのＡＲＰ要求に応答して前記ルータからのＡＲＰ応答が前記送信元装置に送信された後に、送信先ＩＰアドレス及び送信先ＭＡＣアドレスを前記送信元装置のＩＰアドレス及びＭＡＣアドレスとすると共に送信元ＩＰアドレスを前記ルータのＩＰアドレスとし且つ送信元ＭＡＣアドレスを前記所定のＭＡＣアドレスとする第１のＡＲＰ応答を前記送信元装置に送信し、その後、送信元ＩＰアドレスを前記送信元装置のＩＰアドレスとし且つ送信元ＭＡＣアドレスを前記所定のＭＡＣアドレスとする第２のＡＲＰ応答を前記ネットワーク上にブロードキャストすることを特徴とする。

また、本発明に係るシンクライアントネットワークの動作方法は、ネットワークに接続され、ルータ経由でシンクライアントサーバと通信を行うシンクライアントと、前記ネットワークに接続された不正接続防止装置とを有するシンクライアントネットワークの動作方法であって、前記シンクライアントが、前記ネットワーク上にＡＲＰ要求を送信しないで、前記ルータのＩＰアドレス及びＭＡＣアドレスの組をＡＲＰテーブルに静的に保持するように設定するＡＲＰテーブル設定ステップと、前記シンクライアントが、前記ＡＲＰテーブルに設定された前記ルータのＩＰアドレス及びＭＡＣアドレスを用いて前記ルータ経由で前記シンクライアントサーバと通信を行う通信ステップと、前記不正接続防止装置が、前記ネットワーク上にブロードキャストされたＡＲＰ要求をルータ以外から受信すると、前記ＡＲＰ要求の送信元装置を前記ネットワークから遮断するように前記送信元装置のＭＡＣアドレスとは異なる所定のＭＡＣアドレスを含むＡＲＰ応答を前記ネットワーク上に送信するＡＲＰ応答ステップと、を有し、前記ＡＲＰ応答ステップは、前記送信元装置からのＡＲＰ要求に応答して前記ルータからのＡＲＰ応答が前記送信元装置に送信された後に、送信先ＩＰアドレス及び送信先ＭＡＣアドレスを前記送信元装置のＩＰアドレス及びＭＡＣアドレスとすると共に送信元ＩＰアドレスを前記ルータのＩＰアドレスとし且つ送信元ＭＡＣアドレスを前記所定のＭＡＣアドレスとする第１のＡＲＰ応答を前記送信元装置に送信するステップと、送信元ＩＰアドレスを前記送信元装置のＩＰアドレスとし且つ送信元ＭＡＣアドレスを前記所定のＭＡＣアドレスとする第２のＡＲＰ応答を前記ネットワーク上にブロードキャストするステップとを有することを特徴とする。

本発明によれば、シンクライアントネットワークにおいて、ＡＲＰ要求を送信するファットクライアントの接続を許可せず、ＡＲＰ要求を送信しないシンクライアントの接続を許可するようなネットワークの構築が可能になる。

次に、本発明に係るシンクライアントネットワーク、シンクライアント、不正接続防止装置、これらの動作方法、及び記録媒体を実施するための最良の形態について図面を参照して詳細に説明する。

次に、本発明の実施例の構成について、図面を参照して詳細に説明する。

図１を参照すると、本発明の実施例に係るシンクライアントネットワークは、シンクライアント１と、ファットクライアント２と、不正接続防止装置３と、ルータ４と、業務ネットワーク５と、シンクライアントサーバ６とを有する。

本実施例のネットワークは、サブネット側のＬＡＮ（Local Area Network）８と、サブネット外の業務ネットワーク５とを含む。ＬＡＮ８と業務ネットワーク５とは、ルータ４を介して互いに通信可能に接続される。ＬＡＮ８上には、シンクライアント１、ファットクライアント２、及び不正接続防止装置３が配置される。業務ネットワーク５上には、シンクライアントサーバ６が配置されている。シンクライアント１は、ルータ４経由で、サブネット外の業務ネットワーク５上のシンクライアントサーバ６と通信を行う。

本実施例のシンクライアントシステムは、ネットワーク（ＬＡＮ８）上にブロードキャストされたＡＲＰ（Address Resolution Protocol）要求に対するＡＲＰ応答として、そのＡＲＰ要求の送信元端末と同一ネットワーク上の他の端末との間の通信を妨害するようにＡＲＰ要求の送信元端末のＭＡＣアドレスとは異なる予め設定された所定のＭＡＣアドレスを用いて偽装したＡＲＰ応答を行う、いわゆる「偽装ＡＲＰ」を使用した検疫方法を適用している。そして、ＡＲＰを使用しないシンクライアント１を導入することによって、ＡＲＰ要求を送信する送信元端末となるファットクライアント２の接続を許可せず、ＡＲＰ要求を送信しないシンクライアント１の接続を許可するようなネットワーク（検疫ネットワーク）の構築を可能にするものである。

すなわち、本実施例では、シンクライアント１は、ＡＲＰ要求を送信しないでルータ４のＩＰ（Internet Protocol）アドレス、ＭＡＣ（Media Access Control）アドレスの組をＡＲＰテーブル１２に静的に保持する。また、不正接続防止装置３は、ＡＲＰ要求のブロードキャストを受信すると、ＡＲＰ要求の送信元端末（本実施例のファットクライアント２に対応する。）をネットワークから遮断するような「偽装ＡＲＰ」を送信する。ここでの「偽装ＡＲＰ」とは、上述したようにＡＲＰ要求の送信元端末のＭＡＣアドレスとは異なる予め設定された所定のＭＡＣアドレス（本実施例では後述するダミーのＭＡＣアドレスに対応する。）を用いて偽装したＡＲＰ応答を行うことを意味する。以下、その詳細について説明する。

シンクライアント１は、本実施例では、通信装置（通信手段）１１と、ＡＲＰテーブル１２と、通信制御装置１３と、接続先保管部１４とを含む。このうち、通信装置１１は、ネットワークに対してパケットの送受信を行い、通常の通信装置と異なり、ＡＲＰ要求を送信しない。通信制御装置１３は、ＡＲＰテーブル１２へのエントリの追加や通信装置１１の制御を行う。接続先保管部１４は、ルータ４のＩＰアドレス、ＭＡＣアドレスの組が保管されている。接続先保管部１４に保管されているルータ４のＩＰアドレス、ＭＡＣアドレスの組は、シンクライアント１の使用者が手動で入力、保存する。なお、通信制御装置１３及び接続先保管部１４は、本発明のシンクライアントが有しているＡＲＰテーブル設定手段及びその動作方法で用いるＡＲＰテーブル設定ステップに対応する。

ファットクライアント２は、ハードディスクなどの資源を保持した通常のクライアントである。図中の符号２１は、ファットクライアント２のＡＲＰテーブルである。

不正接続防止装置３は、ＡＲＰ要求を受信すると、ＡＲＰ要求の送信元の端末をネットワークから遮断するような偽装ＡＲＰを送信する通信制御部３１を有する。通信制御部３１は、本発明の不正接続防止装置が有するＡＲＰ応答手段に対応する。

業務ネットワーク５は、ファイルサーバやＷｅｂサーバなどの資源を含むネットワークである。図１の例では、業務ネットワーク５には、シンクライアントサーバ６が接続され、ルータ４を介してＬＡＮ８との間で通信可能となっている。

シンクライアントサーバ６は、シンクライアント１の接続先のサーバである。

まず、図２を用いて、シンクライアント１がシンクライアントサーバ６に接続する際の動作について説明する。

図２のシーケンス図を参照すると、シンクライアント１では、シンクライアントサーバ６に接続しようとした際に、自分のＡＲＰテーブル１２にエントリが存在しなかった場合、通信制御部１３が、接続先保管部１４からルータ４のＩＰアドレスとＭＡＣアドレスの組を取得する（ステップ１）。ここで、接続先保管部１４に保管されているルータ４のＩＰアドレスとＭＡＣアドレスの組は、前述したようにシンクライアント１の使用者が予め手動で入力、保存したものである。

次に、通信制御部１３は、取得したＩＰアドレスとＭＡＣアドレスの組をＡＲＰテーブル１２に静的に保存する（ステップ２）。なお、シンクライアント１がシンクライアントサーバ６に接続しようとした際に、ＡＲＰテーブル１２にエントリが存在した場合、ステップ１とステップ２はスキップする。

次に、シンクライアント１では、通信制御装置１３が、通信装置１１にサブネット（ＬＡＮ８）外のシンクライアントサーバ６との接続を要求する（ステップ３）。通信装置１１は、サブネット外への接続要求を受けると、ＡＲＰテーブル１２のエントリから、上記のように保存されているルータ４のＩＰアドレス、ＭＡＣアドレスの組を取得し（ステップ４）、取得したルータ４のＩＰアドレス、ＭＡＣアドレスの組を用いて、ルータ４にシンクライアントサーバ１への接続要求を送信する（ステップ５）。

次に、ルータ４は、シンクライアント１からの接続要求を受信すると、その接続要求を業務ネットワーク５上のシンクライアントサーバ６にルーティングする（ステップ６）。シンクライアントサーバ６は、ルータ４からルーティングされてきたシンクライアント１からの接続要求を受信すると、そのシンクライアント１への応答をルータ４に送信する（ステップ７）。

ルータ４は、シンクライアントサーバ６からシンクライアント１への応答を受信すると、自分のＡＲＰテーブル４１にシンクライアント１のＩＰアドレス、ＭＡＣアドレスの組が登録されていない場合、シンクライアント１にＡＲＰ要求を行い（ブロードキャスト）、シンクライアント１からＡＲＰ応答を受け取り、シンクライアント１のＩＰアドレス、ＭＡＣアドレスの組をルータ４のＡＲＰテーブル４１に保存する（ステップ８）。

一方、ルータ４は、シンクライアントサーバ６からシンクライアント１への応答を受信した際に、自分のＡＲＰテーブル４１にシンクライアント１のＩＰアドレス、ＭＡＣアドレスの組が登録されている場合、ステップ８はスキップする。

次に、ルータ４は、ＡＲＰテーブル４１のエントリに登録されているシンクライアント１のＩＰアドレス、ＭＡＣアドレスの組を用いて、シンクライアント１にシンクライアントサーバ６からの応答を送信する（ステップ９）。

以上の動作により、ＡＲＰ要求を出さないシンクライアント１がシンクライアントサーバ６と通信することが可能となる。

次に、図３、図４を用いて、ファットクライアント２がネットワークから遮断される際の動作について説明する。図の例では、ＩＰアドレス、ＭＡＣアドレスは、ルータ４が「ＩＰ＿Ａ」、「ＭＡＣ＿Ａ」、ファットクライアント１が「ＩＰ＿Ｂ」、「ＭＡＣ＿Ｂ」、シンクライアント１が「ＩＰ＿Ｃ」、「ＭＡＣ＿Ｃ」の場合を例示している。

図３のシーケンス図を参照すると、ファットクライアント２が通信を行う際には、通信先のＭＡＣアドレスを取得するためにＡＲＰ要求を行う必要がある。すなわち、ファットクライアント２は、ＡＲＰ要求の送信元端末となる。

まず、ファットクライアント２は、「ＩＰ＿Ａ」のＩＰアドレスを持つルータ４との通信を行うためには、＜送信元ＩＰ：ＩＰ＿Ｂ（自分のＩＰアドレス）、送信元ＭＡＣ：ＭＡＣ＿Ｂ（自分のＭＡＣアドレス）、送信先ＩＰ：ＩＰ＿Ａ（ルータ４のＩＰアドレス）、送信先ＭＡＣ：未定義＞のようなＡＲＰ要求をブロードキャストする（ステップ１１）。

ルータ４は、ファットクライアント２からのＡＲＰ要求（ステップ１１）を受け取ると、そのＡＲＰ要求の送信元ＩＰアドレス「ＩＰ＿Ｂ」及びＭＡＣアドレス「ＭＡＣ＿Ｂ」に基づいて、自分のＡＲＰテーブル４１内のファットクライアント２のエントリをファットクライアント２のＩＰアドレス「ＩＰ＿Ｂ」、ＭＡＣアドレス「ＭＡＣ＿Ｂ」で更新する（ステップ１２）。続いて、ルータ４は、＜送信元ＩＰ：ＩＰ＿Ａ（自分のＩＰアドレス）、送信元ＭＡＣ：ＭＡＣ＿Ａ（自分のＭＡＣアドレス）、送信先ＩＰ：ＩＰ＿Ｂ（ファットクライアント２のＩＰアドレス）、送信先ＭＡＣ：ＭＡＣ＿Ｂ（ファットクライアント２のＭＡＣアドレス）＞のようなＡＲＰ応答をファットクライアント２にユニキャストする（ステップ１３）。

これにより、ファットクライアント２は、ルータ４からのＡＲＰ応答（ステップ１３）を受け取ると、そのＡＲＰ応答の送信元ＩＰアドレス「ＩＰ＿Ａ」及びＭＡＣアドレス「ＭＡＣ＿Ａ」に基づいて、自分のＡＲＰテーブル２１内のルータ４のエントリをルータ４のＩＰアドレス「ＩＰ＿Ａ」、ＭＡＣアドレス「ＭＡＣ＿Ａ」で更新する（ステップ１４）。

一方、不正接続防止装置３は、通信制御部３１により、ファットクライアント２からのＡＲＰ要求（ステップ１１）を検知すると、その後一定時間（ルータ４のＡＲＰ応答（ステップ１３）より時間的に後になるように）遅延させた動作タイミングで、偽装ＡＲＰとして、＜送信元ＩＰ：ＩＰ＿Ａ（ルータ４のＩＰアドレス）、送信元ＭＡＣ：ＭＡＣ＿Ｘ（ダミーのＭＡＣアドレス）、送信先ＩＰ：ＩＰ＿Ｂ（ファットクライアント２のＩＰアドレス）、送信先ＭＡＣ：ＭＡＣ＿Ｂ（ファットクライアント２のＭＡＣアドレス）＞のようなＡＲＰ応答（第１のＡＲＰ応答）をファットクライアント２にユニキャストする（ステップ１５）。ここで、「ＭＡＣ＿Ｘ」は、偽装ＡＲＰとして、事前に準備されたダミーのＭＡＣアドレス（予め設定された所定のＭＡＣアドレス）である。

これにより、ファットクライアント２は、不正接続防止装置３からのＡＲＰ応答（ステップ１５）を受け取ると、そのＡＲＰ応答の送信元ＩＰアドレス「ＩＰ＿Ａ」及びＭＡＣアドレス「ＭＡＣ＿Ｘ」に基づいて、再び、自分のＡＲＰテーブル２１内のルータ４のエントリをルータ４のＩＰアドレス「ＩＰ＿Ａ」、ダミーのＭＡＣアドレス（ＭＡＣ＿Ｘ）で更新する（ステップ１６）。

次に、不正接続防止装置３は、＜送信元ＩＰ：ＩＰ＿Ｂ（ファットクライアント２のＩＰアドレス）、送信元ＭＡＣ：ＭＡＣ＿Ｘ（ダミーのＭＡＣアドレス）、送信先ＩＰ：ブロードキャストアドレス、送信先ＭＡＣ：ブロードキャストアドレス＞のようなＡＲＰ応答（第２のＡＲＰ応答）をブロードキャストする（ステップ１７）。

これにより、シンクライアント１は、不正接続防止装置３からのＡＲＰ応答（ステップ１７）を受け取ると、そのＡＲＰ応答の送信元ＩＰアドレス「ＩＰ＿Ｂ」及びＭＡＣアドレス「ＭＡＣ＿Ｘ」に基づいて、自分のＡＲＰテーブル１２内のファットクライアント２のエントリをファットクライアント２のＩＰアドレス「ＩＰ＿Ｂ」、ダミーのＭＡＣアドレス「ＭＡＣ＿Ｘ」で更新する（ステップ１８）。

同様に、ルータ４も、不正接続防止装置３からのＡＲＰ応答（ステップ１７）を受け取ると、そのＡＲＰ応答の送信元ＩＰアドレス「ＩＰ＿Ｂ」及びＭＡＣアドレス「ＭＡＣ＿Ｘ」に基づいて、自分のＡＲＰテーブル４１内のファットクライアント２のエントリをファットクライアント２のＩＰアドレス「ＩＰ＿Ｂ」、ダミーのＭＡＣアドレス「ＭＡＣ＿Ｘ」で更新する（ステップ１８）。

なお、ファットクライアント２も、不正接続防止装置３からのＡＲＰ応答（ステップ１７）を受け取るが、そのＡＲＰ応答が「ＩＰ＿Ｂ」で自分のＩＰアドレスと同じであるため、自分のＡＲＰテーブル４１内のエントリを更新しない。

上記のステップ１１からステップ１８を実行すると、各端末（シンクライアント１、ファットクライアント２、ルータ４）のＡＲＰテーブル１２、２１、４１のエントリは、図４に示すようになる。

このうち、ファットクライアント２のＡＲＰテーブル２１では、図４（ｂ）に示すように、ルータ４へのエントリには、ルータ４のＩＰアドレス（ＩＰ＿Ａ）に対応付けてダミーのＭＡＣアドレス「ＭＡＣ＿Ｘ」が動的に登録されている。これにより、ファットクライアント２からルータ４に通信できないようにすることができている。また、ファットクライアント２からルータ４以外の端末、例えばシンクライアント１への通信を行おうとすると、再び図３のステップ１１からステップ１８が実行され、シンクライアント１に通信できないようにすることができる。

さらに、シンクライアント１、ルータ４のＡＲＰテーブル１２、４１では、図４（ａ）、（ｃ）に示すように、ファットクライアント２のエントリには、ファットクライアント２のＩＰアドレス「ＩＰ＿Ｂ」に対応してダミーのＭＡＣアドレス「ＭＡＣ＿Ｘ」が動的に登録されている。これにより、シンクライアント１、ルータ４からファットクライアント２に通信できないようにすることができている。

従って、本実施例によれば、次の効果が得られる。

第１の効果は、ファットクライアント２をネットワークから遮断することができることにある。その理由は、ファットクライアント２が通信を行おうとすると、ＡＲＰ要求を不正接続防止装置３が検知し、偽装ＡＲＰを送信することにより、ファットクライアント２のＡＲＰテーブル２１のエントリと、ネットワーク内の端末のＡＲＰテーブルのエントリ中のファットクライアント２のエントリとを破壊するためである。

第２の効果は、シンクライアント１がサブネットの外にあるシンクライアントサーバ６に接続できることである。その理由は、シンクライアント１はＡＲＰ要求を送信しないため、不正接続防止装置３に検知、遮断されることがなく、また、ルータ４へのＩＰアドレス、ＭＡＣアドレスの組を接続先保管部１４に保持しているため、ＡＲＰ要求を行わなくともルータ４と通信が可能であるためである。

次に、本発明の第２の実施例について説明する。

図５を参照すると、本実施例に係るシンクライアントネットワークは、シンクライアント１が接続先保管部１４を保持しない点と、ＵＳＢ（Universal Serial Bus）メモリ７を有する点で異なる。

ＵＳＢメモリ７は、接続先保管部７１と、ＡＲＰテーブル設定プログラム７２とを備えている。接続先保管部７１には、ルータ４のＩＰアドレス、ＭＡＣアドレスの組が保存されている。保存されているＩＰアドレス、ＭＡＣアドレスは、ネットワーク管理者が設定を行う。このＵＳＢメモリ７は、シンクライアント１の使用者に対して、ネットワーク管理者から配布される。また、ＡＲＰテーブル設定プログラム７２は、ＵＳＢメモリ７をシンクライアント１に接続すると自動起動し、シンクライアント１のＡＲＰテーブル１２に、接続先保管部７１に保存されているＩＰアドレス、ＭＡＣアドレスを静的に登録する。

次に、本実施例の動作について、図６のシーケンス図を用いて説明する。

ユーザは、シンクライアント１をシンクライアントサーバ６に接続する前に、ＵＳＢメモリ７をシンクライアント１に接続する。ＵＳＢメモリ７がシンクライアント１に接続されると、シンクライアント１は、ＵＳＢメモリ７内のＡＲＰテーブル設定プログラム７２を自動起動させ、ＡＲＰテーブル設定プログラム７２を実行することにより、ＵＳＢメモリ７内の接続先保管部７１からルータ４のＩＰアドレス、ＭＡＣアドレスの組を取得する（ステップ２１）。

次に、シンクライアント１は、ＡＲＰテーブル設定プログラム７２を実行することにより、ステップ１で取得したルータ４のＩＰアドレス、ＭＡＣアドレスを、自分のＡＲＰテーブル１２に静的に登録する（ステップ２２）。これ以降の動作は、第１の実施例の図２に示すステップ３〜９及び図３に示すステップ１１〜１８と同様であるので、その説明を省略する。

従って、本実施例でも、第１の実施例と同様の効果が得られると共に、シンクライアント１のＡＲＰテーブル１２の設定をＵＳＢメモリ７の接続によって自動的に行うため、シンクライアント１の使用者に直接ルータ４のＩＰアドレス、ＭＡＣアドレスを設定させる必要がないという新たな効果を有する。これによって、シンクライアント１の使用者の負担を軽減すると共に、ネットワーク管理者の意図しないＩＰアドレス、ＭＡＣアドレスをシンクライアント１の使用者により登録されることを防ぐことが可能となる。

なお、上記第２の実施例では、ＵＳＢメモリ７を用いた場合を説明しているが、それ以外の外部メモリや他の持ち運びが可能な可搬型の記録媒体等、シンクライアントに取り外し可能に接続される記録媒体を用いることも可能である。

また、上記各実施例のシンクライアント１は、いずれの実装方式のものでも適用可能である。例えば、ＯＳやアプリケーションやデータのファイルをサーバ上に集約し、これらをサーバから読み込み、端末側で実行するネットワークブート型や、サーバ側でアプリケーションを実行し、端末に画面情報を転送する画面転送型や、サーバ側でクライアント用の仮想マシンを実行し、仮想マシン上でアプリケーションを実行し端末に画面情報を転送する仮想ＰＣ型等、いずれの方式でも適用可能である。

また、上記各実施例に係るシンクライアントネットワークは、上述したシンクライアント１の構成要素（通信装置１１、通信制御装置１３、接続先保管部１４）、不正接続防止装置３の構成要素（通信制御部３１）、ＵＳＢメモリ７の構成要素（接続先保管部７１、ＡＲＰテーブル設定プログラム７２）の各処理（機能）を実現可能なものであれば、その装置の物理的構成、その装置内部のハードウェア（回路）及びソフトウェア（プログラム）構成については、特に限定されるものではない。例えば、独立して個別の回路やユニット或いはプログラム部品（プログラムモジュール等）を構成したり、１つの回路やユニット内に一体的に構成したりする等、いずれの形態でも適用可能である。これらの形態は、ネットワーク運用等の事情に応じて適宜選択可能である。例えば、不正接続防止装置３をルータ４に一体的に搭載してもよい。

また、上述したシンクライアント１及び不正接続防止装置３の構成要素の各機能に対応して、これらと同様の処理を行う各ステップを有するシンクライアントネットワークの動作方法も、本発明の範疇に含まれる。

また、上述したシンクライアント１及び不正接続防止装置３の構成要素の各機能の内の少なくとも一部の処理は、ＣＰＵ（Central Processing Unit）を有するプロセッサ等のコンピュータによるソフトウェア処理で実現してもよい。この場合、コンピュータを機能させるための動作プログラムは、本発明の範疇に含まれる。このプログラムは、ＣＰＵにより直接実行可能な形式のプログラムに限らず、ソース形式のプログラムや、圧縮処理されたプログラム、暗号化されたプログラム等、種々形態のプログラムを含む。また、このプログラムは、装置全体の制御を行うＯＳ（Operating System）やファームウェア等の制御プログラムと連携して動作し、或いはその一部に組み込まれて一体的に動作するアプリケーションプログラムやそれを構成するソフトウェア部品（ソフトウェアモジュール）等、いずれの形態でも適用可能である。さらに、このプログラムは、ネットワーク上のサーバからダウンロードして自装置内の記録媒体にインストールして使用することもできる。これらの形態は、ネットワーク運用等の事情に応じて適宜選択可能である。

また、上記のコンピュータプログラムを記録したコンピュータ読み取り可能な記録媒体も、本発明の範疇に含まれる。この場合、記録媒体は、ＲＯＭ（Read Only Memory）等のメモリ等、装置内に固定して使用されるものや、利用者により持ち運びが可能な可搬型のもの等、いずれの形態でも適用可能である。

以上説明したように、本発明によれば、シンクライアントネットワーク、シンクライアント、不正接続防止装置、これらの動作方法及び動作プログラム、ＵＳＢメモリ等の記録媒体等の用途に適用できる。

本発明の第１の実施例に係るシンクライアントネットワークの全体構成を示す概略ブロック図である。 第１の実施例において、シンクライアント１がシンクライアントサーバ６に接続する際の動作を説明するシーケンス図である。 第１の実施例において、ファットクライアント１がネットワークから遮断される際の動作を説明するシーケンス図である。 （ａ）はシンクライアントのＡＲＰテーブルのエントリを示す図、（ｂ）はファットクライアントのＡＲＰテーブルのエントリを示す図、（ｃ）ルータのＡＲＰテーブルのエントリを示す図である。 本発明の第２の実施例に係るシンクライアントネットワークの全体構成を示す概略ブロック図である。 第２の実施例の動作を説明するシーケンス図である。

符号の説明

１ シンクライアント
２ ファットクライアント
３ 不正接続防止装置
４ ルータ
５ 業務ネットワーク
６ シンクライアントサーバ
７ ＵＳＢメモリ
８ ＬＡＮ
１１ 通信装置（シンクライアント）
１２ ＡＲＰテーブル（シンクライアント）
１３ 通信制御装置（シンクライアント）
１４ 接続先保管部（シンクライアント）
２１ ＡＲＰテーブル（ファットクライアント）
４１ ＡＲＰテーブル（ルータ）
７１ 接続先保管部（シンクライアント）
７２ ＡＲＰテーブル設定プログラム

Claims (14)

1. ネットワークに接続され、ルータ経由でシンクライアントサーバと通信を行うシンクライアントと、
   前記ネットワークに接続された不正接続防止装置とを有し、
   前記シンクライアントは、
   前記ネットワーク上にＡＲＰ（Address Resolution Protocol）要求を送信しないで、前記ルータのＩＰ（Internet Protocol）アドレス及びＭＡＣ（Media Access Control）アドレスの組をＡＲＰテーブルに静的に保持するように設定するＡＲＰテーブル設定手段と、
   前記ＡＲＰテーブルに設定された前記ルータのＩＰアドレス及びＭＡＣアドレスを用いて前記ルータ経由で前記シンクライアントサーバと通信を行う通信手段とを有し、
   前記不正接続防止装置は、
   前記ネットワーク上にブロードキャストされたＡＲＰ要求をルータ以外から受信すると、前記ＡＲＰ要求の送信元装置を前記ネットワークから遮断するように前記送信元装置のＭＡＣアドレスとは異なる所定のＭＡＣアドレスを含むＡＲＰ応答を前記ネットワーク上に送信するＡＲＰ応答手段を有し、
   前記ＡＲＰ応答手段は、
   前記送信元装置からのＡＲＰ要求に応答して前記ルータからのＡＲＰ応答が前記送信元装置に送信された後に、送信先ＩＰアドレス及び送信先ＭＡＣアドレスを前記送信元装置のＩＰアドレス及びＭＡＣアドレスとすると共に送信元ＩＰアドレスを前記ルータのＩＰアドレスとし且つ送信元ＭＡＣアドレスを前記所定のＭＡＣアドレスとする第１のＡＲＰ応答を前記送信元装置に送信し、
   その後、送信元ＩＰアドレスを前記送信元装置のＩＰアドレスとし且つ送信元ＭＡＣアドレスを前記所定のＭＡＣアドレスとする第２のＡＲＰ応答を前記ネットワーク上にブロードキャストすることを特徴とするシンクライアントネットワーク。
2. 前記ＡＲＰテーブル設定手段は、
   予め入力された前記ルータのＩＰアドレス及びＭＡＣアドレスの組のデータを保管する保管部を有し、
   前記シンクライアントサーバとの通信時に前記ＡＲＰテーブルに前記ルータのＩＰアドレス及びＭＡＣアドレスの組が登録されていないときに前記保管部から前記データを取得し、取得された前記データを前記ＡＲＰテーブルに設定することを特徴とする請求項１に記載のシンクライアントネットワーク。
3. 前記シンクライアントに取り外し可能に接続される記録媒体をさらに有し、
   前記記録媒体は、
   前記ルータのＩＰアドレス及びＭＡＣアドレスの組のデータを保管する保管部と、
   前記保管部のデータを前記シンクライアントのＡＲＰテーブルに設定するためのＡＲＰテーブル設定プログラムとを有し、
   前記ＡＲＰテーブル設定手段は、前記記録媒体が前記シンクライアントに接続されたときに前記ＡＲＰテーブル設定プログラムを起動及び実行させることにより、前記保管部のデータを前記ＡＲＰテーブルに設定することを特徴とする請求項１に記載のシンクライアントネットワーク。
4. ネットワークに接続され、ルータ経由でシンクライアントサーバと通信を行うシンクライアントと、
   前記ネットワークに接続された不正接続防止装置とを有するシンクライアントネットワークの動作方法であって、
   前記シンクライアントが、前記ネットワーク上にＡＲＰ要求を送信しないで、前記ルータのＩＰアドレス及びＭＡＣアドレスの組をＡＲＰテーブルに静的に保持するように設定するＡＲＰテーブル設定ステップと、
   前記シンクライアントが、前記ＡＲＰテーブルに設定された前記ルータのＩＰアドレス及びＭＡＣアドレスを用いて前記ルータ経由で前記シンクライアントサーバと通信を行う通信ステップと、
   前記不正接続防止装置が、前記ネットワーク上にブロードキャストされたＡＲＰ要求をルータ以外から受信すると、前記ＡＲＰ要求の送信元装置を前記ネットワークから遮断するように前記送信元装置のＭＡＣアドレスとは異なる所定のＭＡＣアドレスを含むＡＲＰ応答を前記ネットワーク上に送信するＡＲＰ応答ステップと、を有し、
   前記ＡＲＰ応答ステップは、前記送信元装置からのＡＲＰ要求に応答して前記ルータからのＡＲＰ応答が前記送信元装置に送信された後に、送信先ＩＰアドレス及び送信先ＭＡＣアドレスを前記送信元装置のＩＰアドレス及びＭＡＣアドレスとすると共に送信元ＩＰアドレスを前記ルータのＩＰアドレスとし且つ送信元ＭＡＣアドレスを前記所定のＭＡＣアドレスとする第１のＡＲＰ応答を前記送信元装置に送信するステップと、
   送信元ＩＰアドレスを前記送信元装置のＩＰアドレスとし且つ送信元ＭＡＣアドレスを前記所定のＭＡＣアドレスとする第２のＡＲＰ応答を前記ネットワーク上にブロードキャストするステップとを有することを特徴とするシンクライアントネットワークの動作方法。
5. 前記ＡＲＰテーブル設定ステップは、
   予め入力された前記ルータのＩＰアドレス及びＭＡＣアドレスの組のデータを保管部に保管するステップと、
   前記シンクライアントサーバとの通信時に前記ＡＲＰテーブルに前記ルータのＩＰアドレス及びＭＡＣアドレスの組が登録されていないときに前記保管部から前記データを取得し、取得された前記データを前記ＡＲＰテーブルに設定するステップとを有することを特徴とする請求項４に記載のシンクライアントネットワークの動作方法。
6. 前記シンクライアントネットワークは、前記シンクライアントに取り外し可能に接続される記録媒体をさらに有し、
   前記記録媒体は、前記ルータのＩＰアドレス及びＭＡＣアドレスの組のデータを保管する保管部と、前記保管部のデータを前記シンクライアントのＡＲＰテーブルに設定するためのＡＲＰテーブル設定プログラムとを有し、
   前記ＡＲＰテーブル設定ステップは、前記記録媒体が前記シンクライアントに接続されたときに前記ＡＲＰテーブル設定プログラムを起動及び実行させることにより、前記保管部のデータを前記ＡＲＰテーブルに設定することを特徴とする請求項４に記載のシンクライアントネットワークの動作方法。
7. ネットワークに接続され、ルータ経由でシンクライアントサーバと通信を行うシンクライアントであって、
   前記ネットワーク上にＡＲＰ要求を送信しないで、前記ルータのＩＰアドレス及びＭＡＣアドレスの組をＡＲＰテーブルに静的に保持するように設定するＡＲＰテーブル設定手段と、
   前記ＡＲＰテーブルに設定された前記ルータのＩＰアドレス及びＭＡＣアドレスを用いて前記ルータ経由で前記シンクライアントサーバと通信を行う通信手段とを有し、
   前記ＡＲＰテーブル設定手段は、不正接続防止装置が前記ネットワーク上にブロードキャストされたＡＲＰ要求をルータ以外から受信したとき、前記ＡＲＰ要求の送信元装置を前記ネットワークから遮断するように前記送信元装置からのＡＲＰ要求に応答して前記ルータからのＡＲＰ応答が前記送信元装置に送信された後、送信先ＩＰアドレス及び送信先ＭＡＣアドレスを前記送信元装置のＩＰアドレス及びＭＡＣアドレスとすると共に送信元ＩＰアドレスを前記ルータのＩＰアドレスとし且つ送信元ＭＡＣアドレスを前記所定のＭＡＣアドレスとする第１のＡＲＰ応答を前記送信元装置に送信した後に、前記送信元装置のＭＡＣアドレスとは異なる所定のＭＡＣアドレスを含む第２のＡＲＰ応答を前記ネットワーク上にブロードキャストした場合に、前記シンクライアントが前記不正接続防止装置から前記第２のＡＲＰ応答を受信すると、前記送信元装置のＩＰアドレス及び前記所定のＭＡＣアドレスの組を前記ＡＲＰテーブルに動的に保持するように設定することを特徴とするシンクライアント。
8. 前記ＡＲＰテーブル設定手段は、
   予め入力された前記ルータのＩＰアドレス及びＭＡＣアドレスの組のデータを保管する保管部を有し、
   前記シンクライアントサーバとの通信時に前記ＡＲＰテーブルに前記ルータのＩＰアドレス及びＭＡＣアドレスの組が登録されていないときに前記保管部から前記データを取得し、取得された前記データを前記ＡＲＰテーブルに設定することを特徴とする請求項７に記載のシンクライアント。
9. 請求項７に記載のシンクライアントに取り外し可能に接続される記録媒体であって、
   前記記録媒体は、
   前記ルータのＩＰアドレス及びＭＡＣアドレスの組のデータを保管する保管部と、
   前記保管部のデータを前記シンクライアントのＡＲＰテーブルに設定するためのＡＲＰテーブル設定プログラムとを有し、
   前記シンクライアントに接続されたときに前記ＡＲＰテーブル設定プログラムを起動及び実行させることにより、前記保管部のデータを前記ＡＲＰテーブルに設定することを特徴とする記録媒体。
10. ネットワークに接続され、ルータ経由でシンクライアントサーバと通信を行うシンクライアントを有するシンクライアントネットワークで用いられ、前記ネットワークに接続されたた不正接続防止装置であって、
    前記ネットワーク上にブロードキャストされたＡＲＰ要求をルータ以外から受信すると、前記ＡＲＰ要求の送信元装置を前記ネットワークから遮断するように前記送信元装置のＭＡＣアドレスとは異なる所定のＭＡＣアドレスを含むＡＲＰ応答を前記ネットワーク上に送信するＡＲＰ応答手段を有し、
    前記ＡＲＰ応答手段は、前記送信元装置からのＡＲＰ要求に応答して前記ルータからのＡＲＰ応答が前記送信元装置に送信された後に、送信先ＩＰアドレス及び送信先ＭＡＣアドレスを前記送信元装置のＩＰアドレス及びＭＡＣアドレスとすると共に送信元ＩＰアドレスを前記ルータのＩＰアドレスとし且つ送信元ＭＡＣアドレスを前記所定のＭＡＣアドレスとする第１のＡＲＰ応答を前記送信元装置に送信すると共に、送信元ＩＰアドレスを前記送信元装置のＩＰアドレスとし且つ送信元ＭＡＣアドレスを前記所定のＭＡＣアドレスとする第２のＡＲＰ応答を前記ネットワーク上にブロードキャストすることを特徴とする不正接続防止装置。
11. ネットワークに接続され、ルータ経由でシンクライアントサーバと通信を行うシンクライアントの動作方法であって、
    前記ネットワーク上にＡＲＰ要求を送信しないで、前記ルータのＩＰアドレス及びＭＡＣアドレスの組をＡＲＰテーブルに静的に保持するように設定するＡＲＰテーブル設定ステップと、
    前記ＡＲＰテーブルに設定された前記ルータのＩＰアドレス及びＭＡＣアドレスを用いて前記ルータ経由で前記シンクライアントサーバと通信を行う通信ステップとを有し、
    前記ＡＲＰテーブル設定ステップは、不正接続防止装置が前記ネットワーク上にブロードキャストされたＡＲＰ要求をルータ以外から受信したとき、前記ＡＲＰ要求の送信元装置を前記ネットワークから遮断するように前記送信元装置からのＡＲＰ要求に応答して前記ルータからのＡＲＰ応答が前記送信元装置に送信された後、送信先ＩＰアドレス及び送信先ＭＡＣアドレスを前記送信元装置のＩＰアドレス及びＭＡＣアドレスとすると共に送信元ＩＰアドレスを前記ルータのＩＰアドレスとし且つ送信元ＭＡＣアドレスを前記所定のＭＡＣアドレスとする第１のＡＲＰ応答を前記送信元装置に送信した後に、前記送信元装置のＭＡＣアドレスとは異なる所定のＭＡＣアドレスを含む第２のＡＲＰ応答を前記ネットワーク上にブロードキャストした場合に、前記シンクライアントが前記不正接続防止装置から前記第２のＡＲＰ応答を受信すると、前記送信元装置のＩＰアドレス及び前記所定のＭＡＣアドレスの組を前記ＡＲＰテーブルに動的に保持するように設定することを特徴とするシンクライアントの動作方法。
12. ネットワークに接続され、ルータ経由でシンクライアントサーバと通信を行うシンクライアントを有するシンクライアントネットワークで用いられ、前記ネットワークに接続された不正接続防止装置の動作方法であって、
    前記ネットワーク上にブロードキャストされたＡＲＰ要求をルータ以外から受信すると、前記ＡＲＰ要求の送信元装置を前記ネットワークから遮断するように前記送信元装置のＭＡＣアドレスとは異なる所定のＭＡＣアドレスを含むＡＲＰ応答を前記ネットワーク上に送信するＡＲＰ応答ステップを有し、
    前記ＡＲＰ応答ステップは、前記送信元装置からのＡＲＰ要求に応答して前記ルータからのＡＲＰ応答が前記送信元装置に送信された後に、送信先ＩＰアドレス及び送信先ＭＡＣアドレスを前記送信元装置のＩＰアドレス及びＭＡＣアドレスとすると共に送信元ＩＰアドレスを前記ルータのＩＰアドレスとし且つ送信元ＭＡＣアドレスを前記所定のＭＡＣアドレスとする第１のＡＲＰ応答を前記送信元装置に送信すると共に、送信元ＩＰアドレスを前記送信元装置のＩＰアドレスとし且つ送信元ＭＡＣアドレスを前記所定のＭＡＣアドレスとする第２のＡＲＰ応答を前記ネットワーク上にブロードキャストすることを含むことを特徴とする不正接続防止装置の動作方法。
13. ネットワークに接続され、ルータ経由でシンクライアントサーバと通信を行うシンクライアントの動作プログラムであって、
    コンピュータに、
    前記ネットワーク上にＡＲＰ要求を送信しないで、前記ルータのＩＰアドレス及びＭＡＣアドレスの組をＡＲＰテーブルに静的に保持するように設定する処理と、
    前記ＡＲＰテーブルに設定された前記ルータのＩＰアドレス及びＭＡＣアドレスを用いて前記ルータ経由で前記シンクライアントサーバと通信を行う処理とを実行させ、
    前記設定する処理は、不正接続防止装置が前記ネットワーク上にブロードキャストされたＡＲＰ要求をルータ以外から受信したとき、前記ＡＲＰ要求の送信元装置を前記ネットワークから遮断するように前記送信元装置からのＡＲＰ要求に応答して前記ルータからのＡＲＰ応答が前記送信元装置に送信された後、送信先ＩＰアドレス及び送信先ＭＡＣアドレスを前記送信元装置のＩＰアドレス及びＭＡＣアドレスとすると共に送信元ＩＰアドレスを前記ルータのＩＰアドレスとし且つ送信元ＭＡＣアドレスを前記所定のＭＡＣアドレスとする第１のＡＲＰ応答を前記送信元装置に送信した後に、前記送信元装置のＭＡＣアドレスとは異なる所定のＭＡＣアドレスを含む第２のＡＲＰ応答を前記ネットワーク上にブロードキャストした場合に、前記シンクライアントが前記不正接続防止装置から前記第２のＡＲＰ応答を受信すると、前記送信元装置のＩＰアドレス及び前記所定のＭＡＣアドレスの組を前記ＡＲＰテーブルに動的に保持するように設定することを特徴とするシンクライアントの動作プログラム。
14. ネットワークに接続され、ルータ経由でシンクライアントサーバと通信を行うシンクライアントを有するシンクライアントネットワークで用いられ、前記ネットワークに接続されたた不正接続防止装置の動作プログラムであって、
    コンピュータに、
    前記ネットワーク上にブロードキャストされたＡＲＰ要求をルータ以外から受信すると、前記ＡＲＰ要求の送信元装置を前記ネットワークから遮断するように前記送信元装置のＭＡＣアドレスとは異なる所定のＭＡＣアドレスを含むＡＲＰ応答を前記ネットワーク上に送信する処理を実行させ、
    前記処理は、前記送信元装置からのＡＲＰ要求に応答して前記ルータからのＡＲＰ応答が前記送信元装置に送信された後に、送信先ＩＰアドレス及び送信先ＭＡＣアドレスを前記送信元装置のＩＰアドレス及びＭＡＣアドレスとすると共に送信元ＩＰアドレスを前記ルータのＩＰアドレスとし且つ送信元ＭＡＣアドレスを前記所定のＭＡＣアドレスとする第１のＡＲＰ応答を前記送信元装置に送信すると共に、送信元ＩＰアドレスを前記送信元装置のＩＰアドレスとし且つ送信元ＭＡＣアドレスを前記所定のＭＡＣアドレスとする第２のＡＲＰ応答を前記ネットワーク上にブロードキャストすることを含むことを特徴とする不正接続防止装置の動作プログラム。

Images