CN1905495A - 网络监视装置、网络监视方法、网络系统和网络通信方法 - Google Patents

Abstract

本发明公开了一种网络监视装置、网络监视方法、网络系统和网络通信方法，所克服的技术问题是：以前，为了实现隔离网络，必须引入具有与其对应的功能的专用交换式集线器等硬件，或者必须使网络整体为DHCP环境，并引入专用的DHCP服务器，或者必须向所有预计与LAN连接的装置安装专用的个人防火墙程序。本发明实现了一种隔离网络，在以太网的广播域中设置监视装置，该监视装置通过监视来自隔离对象装置的ARP请求并相应返回ARP响应，仅允许与特定的装置进行通信。本发明可以实现与以太网的各广播域连接的监视装置。

Description

网络监视装置、网络监视方法、 网络系统和网络通信方法

技术领域

本发明涉及一种网络监视装置、网络监视方法、网络系统和网络通信方法。

背景技术

为了保护企业内部LAN等受保护网络而限制向网络连接的所谓网络监视装置是已知的。例如在特开2003-303118号公报中记载了这种技术。

【专利文献1】特开2003-303118号公报

发明内容

这种隔离网络特别是在允许从外部带入的计算机等连接到受保护网络之前，确认该计算机的操作系统和病毒检测软件是否被更新，在未被更新的情况下，必须提供该计算机的操作系统和病毒检测软件的版本更新软件。

为此，考虑使用认证交换机。即，在将从外部带入的计算机连接到企业内部LAN等受保护网络时，支持隔离网络功能的交换式集线器将连接有该计算机的端口连接到由与受保护网络虚拟断开的虚拟LAN(VLAN)构成的隔离网络。然后，在隔离网络上操作系统(OS)和病毒检测软件的更新完成后，交换式集线器变更VLAN的设定，以使连接有该计算机的端口属于受保护网络侧。

然而，在受保护网络中，从终端所连接的交换式集线器到隔离服务器所连接的交换式集线器的路径上的所有交换式集线器都必须支持隔离网络功能。

此外，考虑利用认证DHCP方式。即，当从外部带入的计算机利用DHCP获得IP地址时，DHCP服务器向该计算机分配隔离网络用的IP地址和默认网关IP地址。由于隔离网络用的IP地址与受保护网络的IP地址体系不同，因而该计算机无法与受保护网络内的装置进行通信。该计算机在隔离网络上完成了OS和病毒检测软件的更新后，被再次分配可连接于受保护网络的IP地址和默认网关IP地址，从而可以与受保护网络内的装置进行通信。

此外，受保护网络可以应用于利用DHCP的环境下，但无法应用于固定分配IP地址的网络环境下，并且，即使是在利用DHCP的环境下，对固定分配了IP地址的装置也是无效的。

另外，考虑使用个人防火墙。即，预先在将要与受保护网络连接的计算机中安装具有防火墙功能的软件。当该计算机连接于受保护网络时，个人防火墙限制通信，从而只能与保存有OS和病毒检测软件的更新程序的隔离服务器进行通信。在完成更新后，个人防火墙的限制被解除，从而可以与受保护网络内的装置进行通信。

然而，必须预先在可能与受保护网络连接的计算机中安装个人防火墙软件，因而对没有安装该软件的装置是无效的。

本发明的目的是解决上述问题中的至少一个，提供一种可视网络监视装置、网络监视方法、网络系统和网络监视方法以及网络通信方法。

为了实现上述目的，本发明由接收部接收帧，当所接收的是从隔离对象节点发送的帧时，以下述方式进行运算处理并从发送部发送帧：不包含其它节点的网络地址与比上述网络更高的层中的相应地址的组合，以便不妨碍隔离对象节点与保存隔离信息的节点之间的通信。

具体地说，实现了一种隔离网络，其使用与以太网的广播域连接的监视装置，根据来自隔离对象装置的ARP请求来发送ARP响应，所述隔离网络包括：帧接收处理部，用于接收以太网上的以太帧；帧发送处理部，用于发送以太帧；可否连接信息表，用于蓄积与连接于隔离网络的装置有关的信息；可否连接判断处理部，用于根据所接收的以太帧和可否连接信息表来判断ARP帧发送；ARP响应帧生成部，用于按照来自可否连接判断处理部的指示发送ARP帧；和OS/病毒检测软件的更新数据保存部，用于存储隔离所必需的软件。

根据本发明，在允许从外部带入的计算机等节点向网络节点的通信之前，使计算机的操作系统和病毒检测软件等保持为适当的版本。

附图说明

【图1】实施例1的系统整体结构图。

【图2】监视装置的结构图。

【图3】ARP请求帧的说明图。

【图4】表示实施例1的监视装置的操作的流程图。

【图5】为了不允许向隔离对象装置的通信而由监视装置发送的ARP响应1。

【图6】为了不允许向隔离对象装置的通信而由监视装置发送的ARP响应2。

【图7】为了不允许来自隔离对象装置的通信而由监视装置发送的ARP响应。

【图8】可否连接信息表的结构。

【图9】实施例2的系统结构图。

【图10】表示实施例2的监视装置的操作的流程图。

【图11】为了可以进行向隔离对象装置的通信而由监视装置向一部分装置发送的ARP响应。

【图12】实施例3的系统结构图。

【图13】路由器的过滤设定表。

【图14】表示实施例3的监视装置的操作的流程图。

【图15】在实施例1中隔离对象装置尝试与监视装置以外的装置进行通信的情况下的图。

【图16】在实施例1中隔离对象装置与监视装置进行通信的情况下的图。

【图17】在实施例2中隔离对象装置与隔离服务器进行通信的情况下的图。

【图18】在实施例3中隔离对象装置经由路由器与隔离服务器进行通信的情况下的图。

具体实施方式

下面，利用附图来说明本发明的实施例。图1是本发明的隔离网络方式的实施例1。在本结构示例中，监视装置100、若干装置101a～101b和隔离对象装置103与由以太网的一个广播域构成的网络104连接。在本实施例中，监视装置100兼用于保存OS/病毒检测软件的更新数据的隔离服务器。

图2是本实施例中的监视装置100的结构，包括连接于网络104的帧接收处理部201、帧发送处理部202、OS/病毒检测软件的更新数据保存部203、可否连接判断处理部204、可否连接信息表205、ARP响应帧生成部206。ARP(地址解析协议，Address Resolution Protocol)是TCP/IP协议中用于从IP地址求得MAC地址的协议。具体地说，作为ARP请求，向LAN上广播自己的以太网地址和自己的IP地址以及通信目标的IP地址这三者的组。LAN上的各节点监视ARP询问的广播，因此如果自己的IP地址被指定，则作为ARP响应，在分组中加入自己的MAC地址并返回响应。通过该ARP请求和ARP响应，从IP地址获得MAC地址。MAC地址是用于在以太网中执行帧的收发的物理地址，并且被分配全部不同的固有地址，以便在世界范围内不具有相同的物理地址。此外，IP地址是在使用TCP/IP协议的网络等中向服务器和客户机、路由器等各个节点分配的固有地址，用于指定通信目标设备。

图8示出可否连接信息表205的结构。该表由与连接于网络104的各个装置相关的MAC地址810、IP地址811、状态812的组构成。对于状态812为允许连接的装置间的通信，监视装置100不做任何干涉。对于状态812为隔离对象的装置，监视装置100执行处理，以使该装置只能与监视装置100之间进行通信。在该表中没有表目的装置是不允许连接的装置。隔离对象装置103虽然被允许利用从外部带入的计算机与网络连接，但必须进行OS/病毒检测软件的更新。隔离对象装置103为了与其它装置进行通信，以广播方式发送ARP请求帧。

图3中示出ARP请求帧。当隔离对象装置103发送ARP请求帧时，在发送源MAC地址301中加入隔离对象装置103的MAC地址，在发送源IP地址302中加入隔离对象装置103的IP地址。在目的地MAC地址303中加入0。在目的地IP地址中加入隔离对象装置103将与之进行通信的对方装置的IP地址。

图4中示出监视装置100内的可否连接判断处理部204的处理流程。在处理401中，判断所接收的帧的协议类型，如果是ARP以外的协议，则结束处理。在处理402中，判断所接收的ARP的类型，如果是ARP响应，则结束处理。在处理403中，判断所接收的ARP请求的发送源MAC地址是否作为允许连接装置被登记在可否连接信息表205中。如果已经登记，则结束处理。在处理404中，判断是否有正在使用所接收的ARP请求的发送源IP地址的允许连接装置。如果没有，则执行处理405，如果有，则执行处理406。在处理405中，广播发送非法装置排除用ARP响应a，以防止例如从装置101a向隔离对象装置103的通信。在处理406中，广播发送非法装置排除用ARP响应b。该处理对应的情形是，隔离对象装置103正在使用已经分配给其它装置的IP地址。即，隔离对象装置103通过发送ARP请求，将发向该IP地址的通信的目的地改写成隔离对象装置103，但通过发送非法装置排除用ARP响应b，将发向该IP地址的通信修改成发向原来的装置。处理407向隔离对象装置103发送非法装置排除用ARP响应c，从而隔离对象装置103用监视装置100的MAC地址来盖写作为通信对方发送了ARP请求的装置的MAC地址，从而使来自隔离对象装置的通信发给监视装置100。

图5中示出非法装置排除用ARP响应a。在发送源MAC地址501中加入监视装置100的MAC地址，在发送源IP地址502中加入隔离对象装置的IP地址，在目的地MAC地址503中加入隔离对象装置的MAC地址，在目的地IP地址504中加入隔离对象装置的IP地址。

图6中示出非法装置排除用ARP响应b。在发送源MAC地址601中加入通信对方的MAC地址，在发送源IP地址602中加入通信对方的IP地址，在目的地MAC地址603中加入隔离对象装置的MAC地址，在目的地IP地址604中加入隔离对象装置的IP地址。

图7中示出非法装置排除用ARP响应b。在发送源MAC地址701中加入监视装置100的MAC地址，在发送源IP地址702中加入通信对方的IP地址，在目的地MAC地址703中加入隔离对象装置的MAC地址，在目的地IP地址704中加入隔离对象装置的IP地址。

这里，根据图4中所示的流程和图15中所示的图，来详细说明隔离对象装置103与监视装置100以外的装置、例如装置101a进行通信情况下的操作。这里，隔离对象装置103具有不与其它装置重复的IP地址。在开始与装置101a进行通信之前，隔离对象装置103广播发送ARP请求1501。此时，装置101a的IP地址被设定成图3中所示的通信对方的IP地址304。

针对ARP请求，装置101a返回ARP响应1502。此外，ARP请求1501由于是广播发送，因而监视装置100也接收到。监视装置100根据图4所示的流程对该帧进行处理。即，处理401由于是ARP而进入处理402，处理402由于是请求而进入处理403，在处理403中，由于隔离对象装置103的MAC地址作为隔离对象被登记在可否连接信息表205中，因而进入处理404。

在处理404中，由于隔离对象装置103的IP地址未在其它装置中使用，因而进入处理405。在处理405中，监视装置100广播发送图15的1503所示的非法装置排除用ARP响应a。由此，由于连接于网络104的装置将监视装置100的MAC地址存储作为隔离对象装置103的MAC地址，因而不可进行向隔离对象装置103的通信。

接着，根据图4的流程，监视装置100在处理407中向隔离对象装置103发送图15的1504所示的非法装置排除用ARP响应c。由此，由于隔离对象装置103将监视装置100的MAC地址存储作为装置101a的MAC地址，因而不可进行向装置101a的通信。

接下来，根据图4所示的流程和图16所示的图，来详细说明隔离对象装置103尝试与监视装置100进行通信的情况下的操作。到处理405为止的操作与上述操作没有差别。在后续的处理407中，监视装置100向隔离对象装置103发送图16的1604所示的非法装置排除用ARP响应c，但在这种情况下，隔离对象装置103将监视装置100的MAC地址存储作为监视装置100的MAC地址。即，由于隔离对象装置103正确地存储了监视装置100的IP地址和MAC地址的组合，从而可以进行向监视装置100的通信。由此，隔离对象装置103可以向自身装置传送监视装置100所具有的OS/病毒检测软件的更新数据，从而可以实施OS/病毒检测软件的更新。在确认该更新结束后，将可否连接信息表205上的隔离对象装置103的状态从隔离对象改写为允许连接。这样，此后隔离对象装置103也可以与装置101a～101b同等地进行通信。

下面，对实施例2进行说明。

图9是本发明的实施例2的结构。本实施例不同于实施例1，监视装置100在内部没有OS/病毒检测软件的更新数据保存部203，而是设置了用于保存这些数据的隔离服务器102。隔离服务器102的作用是根据来自隔离对象装置103的请求，将OS/病毒检测软件的更新数据传送到隔离对象装置103。

图10中示出实施例2的情况下监视装置100内的可否连接判断处理部204的处理流程。在此仅描述与图4不同的部分。处理401～处理403与图4相同。在处理403之后，在处理1001中，判断所接收的ARP请求的发送源MAC地址是否作为隔离对象被登记在可否连接信息表205中。如果未登记，则进入图4的处理404。在已经登记的情况下，进入处理1002。在处理1002中，判断所接收的ARP请求的目的地IP地址是否为隔离服务器102。如果不是隔离服务器102，则进入图4的处理404。如果是隔离服务器102，则执行处理405。在处理405中，广播发送非法装置排除用ARP响应a，以防止例如从装置101a向隔离对象装置103的通信。但是，由于这样也无法进行从隔离服务器102向隔离对象装置103的通信，因而在后续的处理1003中，向隔离服务器102发送隔离装置地址修复用ARP响应。

图11中示出隔离装置地址修复用ARP响应。将隔离对象装置103的MAC地址设定成发送源MAC地址1101，将隔离对象装置103的IP地址设定成发送源IP地址1102，将修复对方的MAC地址设定成目的地MAC地址1103，将修复对方的IP地址设定成目的地IP地址1104，并发送给修复对方。

这里，根据图10所示的流程和图17所示的图，来详细说明隔离对象装置103尝试与隔离服务器102进行通信的情况下的操作。在这里，隔离对象装置103具有不与其它装置重复的IP地址。

在开始与隔离服务器102进行通信之前，隔离对象装置103广播发送ARP请求1701。此时，将隔离服务器102的IP地址设定成图3的ARP请求帧的通信对方的IP地址304。根据该ARP请求，隔离服务器102发送ARP响应1702。此外，ARP请求1701由于是广播发送，因而监视装置也接收到，并根据图10所示的流程来对该帧进行处理。但是，处理401～处理402由于与实施例1的处理相同而省略其说明。

在后续的处理403中，由于隔离对象装置103的MAC地址不是作为允许连接被登记在可否连接信息表205中，因而进入处理1001。在处理1001中，由于隔离对象装置103的MAC地址作为隔离对象被登记在可否连接信息表205中，因而进入处理1002。在处理1002中，由于所接收的ARP请求的目的地IP地址为隔离服务器102，因而进入处理405。在处理405中，监视装置100广播发送非法装置排除用ARP响应a1703。由此，由于连接于网络104的装置将监视装置100的MAC地址存储作为隔离对象装置103的MAC地址，因而不能进行向隔离对象装置103的通信。在后续的处理1003中，监视装置100向隔离服务器102发送隔离装置地址修复用ARP响应1704。此时，将隔离服务器102的MAC地址设定成目的地MAC地址1103，将隔离服务器102的IP地址设定成目的地IP地址1104。由此，由于隔离服务器102将正确的MAC地址存储作为隔离对象装置103的MAC地址，因而隔离服务器102与隔离对象装置103之间可以通信。因此，隔离对象装置103可以向自身装置传送隔离服务器102所具有的OS/病毒检测软件的更新数据，从而可以实施OS/病毒检测软件的更新。这之后的操作与实施例1相同。

下面，对实施例3进行说明。

图12是本发明实施例3的结构。本实施例不同于实施例2，隔离服务器102经由路由器106与其它网络105连接。路由器106具有根据条件对通过它的IP分组进行过滤的功能。过滤功能本身是现已存在的一般技术。

图13中示出路由器106的过滤设定表的例子。过滤设定表1301由作为条件的发送源IP地址1302和目的地IP地址1303以及针对满足该条件的IP分组的动作1304构成。在本实施例中，针对从网络104向着其它网络105通过路由器106的IP分组应用本过滤器。其设定值是将隔离对象装置103的IP地址设定成发送源IP地址。在隔离对象装置为多个的情况下，象隔离对象装置103a～103c那样，生成多个表目。以不是隔离服务器102为条件，设定为目的地IP地址。动作设定为废弃。

此外，在本实施例中，将路由器106的网络104侧IP地址设定作为隔离对象装置的默认网关。

图14中示出实施例3的监视装置100内的可否连接判断处理部204的处理流程。在此仅描述与图10不同的部分。处理401～处理1001与图10相同。在处理1001之后，在处理1402中，判断所接收的ARP请求的目的地IP地址是否为路由器106。如果不是路由器106，则进入图4的处理404。如果是路由器106，则执行处理405。在处理405中，广播发送非法装置排除用ARP响应，以防止例如从装置101a向隔离对象装置103的通信。但是，由于这样也无法进行从路由器106向隔离对象装置103的通信，因而在后续的处理1403中，向路由器106发送隔离装置地址修复用ARP响应。

这里，按照图14所示的流程和图18所示的图，来详细说明隔离对象装置103尝试与隔离服务器102进行通信的情况下的操作。这里，隔离对象装置103具有不与其它装置重复的IP地址。在开始与隔离服务器102进行通信之前，隔离对象装置103广播发送ARP请求1801。此时，被设定作为隔离对象装置的默认网关的路由器106的IP地址被设定成图3的ARP请求帧的通信对方的IP地址304。根据该ARP请求，路由器106发送ARP响应1802。此外，ARP请求由于是广播发送，因而监视装置100也接收到，并按照图14所示的流程对该帧进行处理。但是，由于处理401～1001与实施例2的处理相同，因而省略其说明。在后续的处理1402中，由于所接收的ARP请求的目的地IP地址为路由器106，因而进入处理405。

在处理405中，监视装置100广播发送非法装置排除用ARP响应a1803。由此，由于连接于网络104的装置将监视装置100的MAC地址存储作为隔离对象装置103的MAC地址，因而不能进行向隔离对象装置103的通信。在后续的处理1403中，监视装置100向路由器106发送隔离装置地址修复用ARP响应1804。此时，将路由器106的MAC地址设定成目的地MAC地址1103，将路由器106的IP地址设定成目的地IP地址1104。由此，由于路由器106将正确的MAC地址存储作为隔离对象装置103的MAC地址，因而可以进行路由器106与隔离对象装置103之间的通信。当从隔离对象装置103发向隔离服务器102的IP分组通过路由器106时，将其与过滤设定表1301进行比较。在该例子中，由于发送源IP地址是隔离对象装置103、目的地IP地址是隔离服务器，因而IP分组可以通过路由器106、进入其它网络105、进而到达隔离服务器102。因此，隔离对象装置103可以向自身装置传送隔离服务器102所具有的OS/病毒检测软件的更新数据，从而可以实施OS/病毒检测软件的更新。这之后的操作与实施例2相同。

接下来，对隔离对象装置103与连接于其它网络105的隔离服务器102以外的装置进行通信的情况下的操作进行详细说明。在这种情况下，与上述隔离对象装置103和隔离服务器102之间的通信相同，由于网络104内的隔离对象装置103的通信对方是路由器106，因而即使目的地是隔离服务器102以外的装置，监视装置100也允许隔离对象装置102与路由器106之间的通信。然而，在与路由器106的过滤表1301的比较中，由于目的地IP地址不是隔离服务器102，因而IP分组被放弃。因此，不允许隔离对象装置103与连接于其它网络105的隔离服务器102以外的装置进行通信。

根据本实施例，不需要支持隔离网络功能的专用交换式集线器，此外，由于可以使用一般的中继器集线器来构成隔离网络，因而没有必要改变现有网络的硬件结构。此外，由于在DHCP环境下和固定IP地址环境下都可以同样地操作，因而不必改变现有的网络环境。而且，也不需要向所有终端安装个人防火墙等专用软件，从而可以更简便地实现隔离网络。

Claims (13)

1.一种网络监视装置，其特征在于，具有：

接收处理部，用于接收帧；

发送处理部，用于发送帧；和

处理部，当接收到从隔离对象节点发送的帧时，以下述方式发送帧：不包含其它节点的网络地址与比上述网络更高的层中的相应地址的组合，以便不妨碍与对隔离对象节点的隔离有关的信息的通信。

2.根据权利要求1所述的网络监视装置，其特征在于，具有用于存储隔离对象节点的地址的可否信息表，通过将上述帧的地址与上述可否信息表的存储内容相比较，来确定作为隔离对象的节点。

3.根据权利要求1所述的网络监视装置，其特征在于：上述隔离信息被存储在隔离服务器中。

4.根据权利要求3所述的网络监视装置，其特征在于：发送包含上述隔离服务器的网络地址与比上述网络更高的层中的相应地址的组合的帧。

5.根据权利要求4所述的网络监视装置，其特征在于：当接收到请求包含网络地址与比上述网络更高的层中的相应地址的组合的信息的帧时，执行上述帧的发送处理。

6.根据权利要求5所述的网络监视装置，其特征在于：发送包含自身装置的网络地址与比上述网络更高的层中的、与上述隔离对象节点相应的地址的组合的信息。

7.根据权利要求5所述的网络监视装置，其特征在于：发送包含自身装置的网络地址和与比上述网络更高的层中的通信对方节点相应的地址的组合的信息。

8.根据权利要求3所述的网络监视装置，其特征在于：上述隔离服务器被设置在其它网络中，并且经由具有IP分组的过滤功能的路由器与上述隔离服务器相连接。

9.根据权利要求1所述的网络监视装置，其特征在于：从保存OS或病毒检测软件的更新数据的保存部向上述隔离对象节点发送上述更新数据。

10.一种网络监视装置，其特征在于，具有：

接收处理部，用于接收帧；

发送处理部，用于发送帧；

处理部，当接收到从隔离对象节点发送的帧时，将隔离对象节点所确定的节点的网络地址或比上述网络更高的层中的地址中的至少一个作为不相应于该节点的地址来发送帧。

11.一种网络系统，其中：

在从隔离对象节点发送了帧后，从监视节点以下述方式发送帧：不包含其它节点的网络地址与比上述网络更高的层中的相应地址的组合，以便不妨碍上述隔离对象节点与存储与隔离有关的信息的节点之间的通信。

12.一种网络监视方法，其中：

由接收部接收帧，当所接收的是从隔离对象节点发送的帧时，以下述方式进行运算处理并从发送部发送帧：不包含其它节点的网络地址与比上述网络更高的层中的相应地址的组合，以便不妨碍与对隔离对象节点的隔离有关的信息的通信。

13.一种网络通信方法，其中：

在从隔离对象节点发送了帧后，从监视节点以下述方式发送帧：不包含其它节点的网络地址与比上述网络地址更高的层中的相应地址的组合，以便不妨碍上述隔离对象节点与存储与隔离有关的信息的节点之间的通信。

Images