JP2001186186A - パケット交換装置、ネットワークシステム、およびパケット交換方法 - Google Patents

Abstract

(57)【要約】 【課題】 使用許可を与えられていない計算機による不
正なネットワーク使用を防止可能なEthernetスイッチン
グハブやＩＰルータ等のパケット交換装置を提供する。 【解決手段】 計算機に内蔵された通信装置のアドレス
情報と認証用データとの組を予め記憶しておき、入出力
ポートに接続された通信装置から自装置のアドレス情報
と認証用データを含む認証用パケットが入力されたと
き、入力パケット内のアドレス情報に対応する前記予め
記憶された認証用データと入力パケット内の認証用デー
タとを比較し、入出力ポートに接続された通信装置の認
証を行う。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、Ethernetスイッチ
ングハブ、ＩＰルータ等のパケット交換装置、ネットワ
ークシステムおよびパケット交換方法に関する。

【０００２】

【従来の技術】ＬＡＮ(Local Area Network)では、デー
タパケットの交換を行うために、スイッチングハブやル
ータなどのパケット交換装置を用いている。代表的なパ
ケット交換装置には、Ethernetスイッチングハブ、ＩＰ
ルータ等がある。

【０００３】図１７に、このようなパケット交換装置の
構成を示す。

【０００４】同図に示すように、パケット交換装置９０
０は複数の入力／出力ポート９１（９１−１、９１−
２、…、９１−Ｎ）と、交換用ハードウェアを構成する
バス９２および共有メモリ９６と、ルーティングプロセ
ッサ９３とを備える。

【０００５】入力／出力ポート９１は、一対で、他の通
信装置とパケットの伝送を行うために必要な通信ケーブ
ルの一端に設けられた一つのコネクタと接続される。こ
のコネクタは、通信ケーブルの両端のコネクタが通電さ
れたときに電気信号を伝達可能なことを示す信号を持っ
ており、パケット交換装置９００はこの信号により通信
ケーブルを通じて接続された他の通信装置との間でパケ
ットを入出力できるかどうかを認識できる。

【０００６】交換用ハードウェアを構成するメモリ９３
はパケットを一時的に保持するために用いられ、バス９
２はパケットを入力／出力ポート９１の入力ポートから
メモリ９６へ、またはメモリ９６から出力ポートへ移動
させるためなどに使用される。

【０００７】ルーティングプロセッサ９３は、ルーティ
ング手順９０、ルーティングテーブル管理手順９５など
のソフトウェアを実行し、実際にパケットの交換を行う
ハードウェアである。ルーティングテーブル管理手順９
５は、パケットの宛先アドレスと出力ポートとの対応表
であるルーティングテーブル９４を作成、管理する手順
である。ルーティングテーブル管理手順９５は交換の目
的によって作成、管理の方法が異なる。例えば、データ
リンク層のパケットを交換するEthernetスイッチングハ
ブと、ネットワーク層のパケットを交換するＩＰルータ
とでは異なる。

【０００８】Ethernetスイッチングハブによるパケット
の交換処理は、入力されたパケットのEthernetヘッダに
ある宛先アドレスを参照し、その宛先アドレスをもつ通
信装置が接続されている出力ポートヘそのパケットを出
力するというものである。そして、したがって、Ethern
etスイッチングハブのルーティングテーブル９４は、入
力ポートから入力されたパケットのEthernetヘッダにあ
る宛先アドレスと、出力ポート（上記入力ポートと対に
なっている出力ポート）とを対応づけた表として作成さ
れる。

【０００９】一方、ＩＰルータによる交換処理は、入力
されたパケットのＩＰへッダにある宛先アドレスを参照
し、そのアドレスに到達可能な出力ポートへそのパケッ
トを出力するというものである。したがって、ＩＰルー
タのルーティングテーブル９４は、入力ポートから入力
されたパケットのＩＰヘッダにある宛先アドレスと、そ
のアドレスに到達可能な出力ポートとを対応づけた表と
して作成される。ただし、同じネットワークアドレスを
持つ宛先アドレスは１つのネットワークアドレスに集約
される。このＩＰルータのルーティングテーブル９４
は、管理ツールなどを使ってユーザが入力するか、パケ
ット交換装置自身がＲＩＰ（Routing Information Prot
ocol）などのプロトコルを利用し、ルーティング管理手
順９５により他の通信装置から情報を得ることで作成さ
れる。

【００１０】ルーティング手順９０は、パケット交換の
手順であり、ある入力ポートから受け取ったパケットが
特定の行き先を持っていれば、その行き先に到達できる
出力ポートヘ出力する。ルーティング手順９０の実装の
形態には、ルーティングプロセッサ９３の内部に回路と
して組み込まれる場合、ルーティングプロセッサ９３上
のＯＳで動作するソフトウェアとして組み込まれる場合
などがある。

【００１１】ルーティング手順９０を以下に示す。

【００１２】１．入力ポートからパケットを受信する。
すなわち、入出力ポートに接続されている通信媒体上の
電気信号をバイト単位のデータに変換する。

【００１３】２．変換したバイト単位のデータを交換用
ハードウェアのメモリ９６に記録する。

【００１４】３．メモリ９６に格納したバイトデータか
ら、通信プロトコルに従ってパケットの行き先アドレス
を探し、取り出す。

【００１５】４．ルーティングテーブル９４を参照し
て、行き先アドレスに対応する出力ポートを得る。

【００１６】５．上記パケットを電気信号に変換し、出
力ポートに接続されている通信媒体上へ出力する。

【００１７】

【発明が解決しようとする課題】一般に、Ethernetスイ
ッチングハブやＩＰルータなどのパケット交換装置は、
接続された計算機の認証を行う機能を備えておらず、計
算機を通信ケーブルを通じてEthernetスイッチングハブ
やＩＰルータに接続することは誰でも可能な状況にあ
る。このためセキュリティの更なる強化が望まれてい
る。

【００１８】本発明は、このような課題を解決するため
のもので、入出力ポートへの装置への接続時に、その接
続された装置の認証を行うことができ、許可を与えられ
ていない計算機による不正なネットワーク使用を防止す
ることのできるパケット交換装置、ネットワークシステ
ムおよびパケット方法の提供を目的とする。

【００１９】

【課題を解決するための手段】上記目的を達成するため
に、この発明は、複数の装置間でパケットの交換を行う
パケット交換装置において、前記装置が接続される入出
力ポートと、この入出力ポートに接続された前記装置の
認証を行う認証手段を有して構成されるものである。

【００２０】前記の認証手段は、認証用データを記憶す
る認証データ記憶手段と、前記入出力ポートを通じて前
記装置から入力された認証用データと前記認証データ記
憶手段に記憶された認証用データとを比較し、この比較
結果に基づいて認証の成否を判定する認証判定手段とに
より構成される。

【００２１】また、別の認証手段は、装置のアドレス情
報と認証用データとの組を記憶する認証データ記憶手段
と、前記入出力ポートを通じて前記装置から自装置のア
ドレス情報と認証用データを含むパケットが入力された
とき、前記認証データ記憶手段に記憶された、前記入力
パケット内のアドレス情報に対応する認証用データと前
記入力パケット内の認証用データとを比較し、この比較
結果に基づいて認証の成否を判定する認証判定手段とに
より構成される。

【００２２】さらに、別の認証手段は、管理者からの認
証許可通知を入力する認証許可通知入力手段と、前記認
証許可通知入力手段により認証許可通知が入力されてい
る時に前記入出力ポートへの接続が行われた装置を認証
が成功した装置として判定する認証判定手段とを具備し
て構成される。

【００２３】さらに、別の認証手段は、前記認証手段
は、認証用データを記憶する認証データ記憶手段と、認
証用データを入力する装置とのインターフェース手段
と、前記インターフェース手段により入力された認証用
データと前記認証データ記憶手段に記憶された認証用デ
ータとを比較し、この比較結果に基づいて認証の成否を
判定する認証判定手段とを備えて構成される。

【００２４】この発明のパケット交換装置では、入出力
ポートに装置が接続されたとき、その接続された装置の
認証を行い、認証に成功した装置のみパケットの交換を
行うことを許すことで、許可を与えられていない計算機
等によるネットワークの不正使用を防止することが可能
になるなど、セキュリティの向上を図ることができる。

【００２５】また、パケット交換装置において、未認証
の通信装置から認証用パケット以外のパケットが受信し
たとき、パケット未認証通知パケットを通信装置に送信
するようにし、通信装置はそのパケット未認証通知パケ
ットを受信したとき、認証用パケットを生成し、パケッ
ト交換装置へ送信するように構成することで、パケット
交換装置を再起動させた後の認証を自動でやり直すこと
ができる。

【００２６】

【発明の実施の形態】以下、本発明の実施の形態を図面
を参照して説明する。

【００２７】図１に、本発明の一実施形態に係るパケッ
ト交換装置であるEthernetスイッチングハブの構成を示
す。

【００２８】このパケット交換装置１００は、入出力ポ
ート１（１−１，１−２，…，１−Ｎ）、交換用ハード
ウェアを構成するバス２およびメモリ１３、ルーティン
グプロセッサ３、ルーティングテーブル４、ルーティン
グテーブル管理手順５、認証データテーブル６、認証デ
ータ管理手順７、ポート管理テーブル８、ポート管理手
順９、ルーティング手順１０、および認証手順１１を有
している。

【００２９】認証データテーブル６は、Ethernetのアド
レスと認証用データとの対応を示す表である（図４を参
照）。認証データテーブル６の管理は認証データ管理手
順７によって行われる。パケット交換装置１００は、Et
hernet以外の入力Ｉ／Ｆ（シリアルポートなど）１２を
持ち、ユーザはこの入力Ｉ／Ｆ１２を通じて接続された
端末機器を用いてEthernetアドレスと認証用データとの
組を入力することができる。認証データ管理手順７は入
力Ｉ／Ｆ１２から入力されたEthernetアドレスと認証用
データとの組を認証データテーブル６に登録する。

【００３０】ポート管理テーブル８は入出力ポート１の
ＩＤと、その入出力ポート１が認証済みか否かを示すフ
ラグとの対応表（図５を参照）である。ここで、ＩＤは
個々の入出力ポート１にユニークに付けられた番号とす
る。ＩＤとフラグの組はパケット交換装置１００がもつ
すべての入出力ポート分存在する。

【００３１】ポート管理手順９は、パケット交換装置１
００の起動時に前記のポート管理テーブル８を生成す
る。また、ポート管理手順９は、すべての入出力ポート
１に対してＩＤを割り当て、ＩＤと認証済みフラグとの
組をつくり、すべてのフラグの値を”ＦＡＬＳＥ”に設
定する。さらにポート管理手順９は、通信ケーブルが入
出力ポート１から抜かれることなどによって入出力ポー
ト１が電気的に通信不可になったとき、これを認識し、
その入出力ポート１のＩＤに対応するフラグの値を”Ｆ
ＡＬＳＥ”にする。

【００３２】ルーティング手順１０は、ある入出力ポー
ト１について、ポート管理テーブル８上の、その入出力
ポート１のＩＤに対応するフラグの値を調べ、フラグの
値が”ＴＲＵＥ”ならば、その入出力ポート１に関連す
るEthernetパケットの交換を行う。以下に、ルーティン
グ手順１０の詳細を示す。図６にルーティング手順１０
の流れを示す。

【００３３】入出力ポート１からパケットが入力されれ
ば、そのパケットを交換用ハードウェア２のメモリ１３
に保存する。入出力ポート１のＩＤを求め、ポート管理
テーブル８上でそのＩＤに対応する認証済みフラグの値
を調べる（ステップ６１）。入出力ポート１が認証済み
でないなら、入力パケットが認証用パケットかどうか判
断する（ステップ６２）。

【００３４】入力パケットが認証用パケットならば認証
手順１１を用いて認証を行う（ステップ６３）。認証手
順１１の詳細は後で説明する。認証に成功すれば（ステ
ップ６４のＹＥＳ）、ポート管理手順９でポート管理テ
ーブル８上のそのＩＤに対応する認証済みフラグの値
を”ＴＲＵＥ”に変更する（ステップ６５）。認証用パ
ケットでないか（ステップ６２のＮＯ）、或いは認証に
失敗した場合は（ステップ６４のＮＯ）パケットを破棄
し、処理を終える。

【００３５】ステップ６１で入出力ポート１が既に認証
済みであることが判断された場合は、入力パケットから
送信元Ethernetアドレスを取り出し、ルーティングテー
ブル４ヘそのEthernetアドレスと入出力ポート１のＩＤ
の組を追加する。さらに、入力パケットから宛先Ethern
etアドレスを取り出し、ルーティングテーブル４を参照
して出力先の入出力ポート１を探す。続いてポート管理
テーブル８上で出力先の入出力ポート１のＩＤに対応す
る認証済みフラグを調べ、フラグが”ＴＲＵＥ”なら
（ステップ６６のＹＥＳ）パケットを出力する（ステッ
プ６７）。また、認証済みフラグが”ＦＡＬＳＥ”なら
（ステップ６６のＮＯ）パケットを破棄し、処理を終え
る。

【００３６】図２に、認証用パケットのフォーマットを
示す。同図に示すように、認証用パケットは、Ethernet
ヘッダと認証用データから構成される。Ethernetヘッダ
は、宛先アドレス、送信元アドレス，フレーム長で構成
される。フレーム長には、このEthernetパケットが認証
用パケットであることを示す値がセットされる。ルーテ
ィング手順１０はこのフレーム長により入力パケットが
認証用パケットかどうかを判断する。

【００３７】次に、認証手順１１を示す。図７に認証手
順１１の流れを示す。

【００３８】認証用パケットのEthernetヘッダから送信
元アドレスを取り出す（ステップ７１）。この送信元ア
ドレスは入出力ポート１に通信ケーブルを通して接続さ
れた通信装置のEthernetアドレスである。次に、前記送
信元アドレスが認証データテーブル６にあるかを調べ
（ステップ７２）、送信元アドレスがあれば、その認証
用データを認証データテーブル６から取り出す（ステッ
プ７３）。また、認証用パケットから認証用データを取
り出す（ステップ７４）。続いて、認証データテーブル
６から取り出した認証用データと認証用パケットから取
り出した認証用データとを比較し（ステップ７５）、一
致すれば認証を成功とする。異なれば認証を失敗とす
る。

【００３９】次に、図３を参照して、計算機２００が本
実施形態のパケット交換装置１００を用いて他の計算機
３００と通信する際の手順について述べる。

【００４０】パケット交換装置１００には電源が入って
おり、認証データテーブル６には、既にユーザにより入
力Ｉ／Ｆ１２を通じて入力された情報が登録されている
ものとする。図４に、この時点での認証データテーブル
６の内容を示す。

【００４１】計算機２００と計算機３００はそれぞれ通
信装置２０１、３０１を内蔵しており、各通信装置２０
１、３０１は認証用パケットを送信するための認証パケ
ット送信手順２０２、３０２を持つ。

【００４２】ここで、計算機３００と通信装置３０１に
電源が入っており、通信装置３０１はEthernetアドレス
をもっているものとする。また、通信装置３０１はパケ
ット交換装置１００の入出力ポート１−２と接続され、
計算機３００は前述した認証方法によって、パケット交
換装置１００に接続されたときに認証が成功し、パケッ
ト交換装置１００とパケットの送受信が可能な状態にあ
るものとする。

【００４３】一方、計算機２００と通信装置２０１には
電源が入っており、通信装置２０１はEthernetアドレス
を持っているものとする。計算機２００のプロセッサ２
０５には認証データ作成手順２０４が存在する。また、
計算機２００はまだパケット交換装置１００と接続され
ておらす、認証も済んでいない状態とする。この時点で
のパケット交換装置１００におけるポート管理テーブル
８の内容を図５に示す。

【００４４】この状態において、計算機２００をパケッ
ト交換装置１００で認証する手順を説明する。

【００４５】ユーザは計算機２００の通信装置２０１と
パケット交換装置１００の入出力ポート１−１とを通信
ケーブル４０１で接続する。これにより、パケット交換
装置１００は通信装置２０１と接続された入出力ポート
１−１が電気的に通信可能な状態であることを認識す
る。

【００４６】このとき、通信装置２０１の認証パケット
送信手順２０２は、内部メモリに認証用データ２０３が
あれば、この認証データ２０３を基に認証用パケットを
作り、入出力ポート１−１よりパケット交換装置１００
に出力する。認証用データがなければ、認証データ作成
手順２０４に認証用データの作成を依頼する。認証デー
タ作成手順２０４は計算機２００の認証データ２０３を
作成し、通信装置２０１の内部メモリに記録する。図８
にこの認証データの送信の手順を示す。

【００４７】認証データ２０３は計算機の不正使用を防
止するための情報であるから、その計算機しか知りえな
い情報、例えばパスワードや計算機の構成情報などで構
成されている。ここでは、パスワードと計算機２００の
種類、通信装置２０１のロット番号を使う。認証データ
作成手順２０４は、パスワードの入力をユーザに要求
し、正しいパスワードが入力されたなら計算機２００の
種類をプロセッサ２０５内の情報から集め、ロット番号
を通信装置２０１の情報から集める。集められた情報は
通信装置２０１の内部メモリに認証用データ２０３とし
て保存される。

【００４８】パケット交換装置１００のルーティング手
順１０は入出力ポート１−１から入力された認証用パケ
ットを交換用ハードウェアのメモリ１３に保存する。こ
の保存された認証用パケットについて認証手順１１によ
って認証が行われる。認証に成功すれば、ポート管理手
順９がポート管理テーブル８を参照して、入出力ポート
１−１（ＩＤ＝１）に対応するフラグの値を”ＦＡＬＳ
Ｅ”から”ＴＲＵＥ”に変更する。この後、入出力ポー
ト１−１と入出力ポート１−２との間でパケットの通信
が可能になり、計算機２００と計算機３００との通信が
可能になる。

【００４９】次に、通信ケーブル４０１が入出力ポート
１−１からはずされたときの手順を説明する。

【００５０】通信ケーブル４０１がパケット交換装置１
００の入出力ポート１−１からはずされると、ポート管
理手順９がこれを認識し、ポート管理テーブル８上の、
入出力ポート１−１（ＩＤ＝１）に対応するフラグの値
を”ＴＲＵＥ”から”ＦＡＬＳＥ”に変更する。もう一
度認証を行う場合は、通信ケーブル４０１を再び接続し
なければならない。接続することで、上記で示した手順
により再び計算機２００の認証が行われる。

【００５１】このように本実施形態のパケット交換装置
１００によれば、入出力ポート１への計算機への接続時
に、その接続された計算機の認証を行うことができ、許
可を与えられていない計算機による不正なネットワーク
使用を防止することができる。

【００５２】次に、本実施形態の変形例として、パケッ
ト交換装置に指紋認証装置を接続し、この指紋認証装置
から認証データを入力して入出力ポートの認証を行う場
合について説明する。

【００５３】図９に、指紋認証装置を用いたパケット交
換装置１１０の構成を示す。なお、図９において、図１
のパケット交換装置１００と同一の部分には同一の符号
が付してあり、それらの詳細な説明は省略する。同図に
示すように、この実施形態のパケット交換装置１１０は
指紋認証装置５００を接続するための入力Ｉ／Ｆ１５を
備えている。

【００５４】認証データテーブル６に認証データを登録
する時、パケット交換装置１１０に計算機を接続するこ
とが許可されているユーザが指紋認証装置５００に自分
の指紋情報を入力する。この結果、指紋認証装置５００
によって作られた、指紋のパターンに対応したデータが
認証用データとして認証データテーブル６に登録され
る。

【００５５】次に、このパケット交換装置１１０での、
ある入出力ポート１の認証手順を説明する。

【００５６】上記のユーザによって計算機の通信装置と
パケット交換装置１１０の入出力ポート１とが通信ケー
ブルで接続されると、ルーティング手順１０は一定時間
この入出力ポート１の認証を行う状態となる。この状態
で、上記のユーザにより、指紋認証装置５００を使って
パケット交換装置１１０に認証用データが入力される
と、認証手順１１が、入力された認証用データと認証デ
ータテーブル６に登録されている認証用データとを比較
し、認証を行う。

【００５７】認証に成功すれば、ポート管理手順９がポ
ート管理テーブル８の、当該入出力ポート１のＩＤに対
応する認証済みフラグの値を”ＦＡＬＳＥ”から”ＴＲ
ＵＥ”にする。これにより、この入出力ポート１を経由
するパケットの交換が可能になる。

【００５８】また、一定時間内に認証用データが入力さ
れなければ、或いは入力されても認証データテーブル６
に登録されているどの認証用データとも一致しない場合
は、ポート管理テーブル８の、当該入出力ポート１のＩ
Ｄに対応する認証済みフラグを”ＦＡＬＳＥ”のままと
する。

【００５９】計算機の通信装置がパケット交換装置１１
０の入出力ポート１からはずされた場合、ポート管理手
順９がそれを認識し、ポート管理テーブル８上の、当該
入出力ポート１のＩＤに対応する認証済みフラグの値
を”ＴＲＵＥ”から”ＦＡＬＳＥ”に変更する。

【００６０】次に、本実施形態の別の変形例として、通
信ケーブルを接続する入出力ポートの認証にネットワー
ク管理者による認証用スイッチの操作を必要とするパケ
ット交換装置を説明する。

【００６１】図１０に、このパケット交換装置の構成を
示す。なお、図１０において、図１のパケット交換装置
１００と同一の部分には同一の符号が付してあり、それ
らの詳細な説明は省略する。

【００６２】この実施形態のパケット交換装置１１５は
認証用スイッチ１３０を有している。この認証スイッチ
１３０は押しボタン式のスイッチのほか、鍵を差し込む
構造のスイッチでもよい。この認証用スイッチ１３０が
押される間、認証手順１１に認証手続きが可能であるこ
とが通知されるようになっている。

【００６３】ポート管理手順９は、パケット交換装置１
１５の起動時にポート管理テーブル８のすべての入出力
ポート１に対する認証済みフラグの値を”ＦＡＬＳＥ”
に設定する。したがって、パケット交換装置１１５の起
動直後はすべての入出力ポート１を介するパケット交換
は不可の状態にある。

【００６４】認証手順１１は、認証スイッチ１３０から
認証手続きが可能なことが通知されている間に、ある入
出力ポート１が電気的に通信可能な状態に変化したと
き、その入出力ポート１を認証済みとする。

【００６５】ルーティング手順１０は、ある入出力ポー
ト１からパケットが入力された時、その入出力ポート１
と、ルーティングテーブル４から求められるパケット出
力先の入出力ポート１が認証済みである場合のみパケッ
ト交換を行う。

【００６６】次に、このパケット交換装置１１５のある
入出力ポート１に通信装置を通信ケーブルで接続する際
に行われる認証処理について説明する。

【００６７】まず、ユーザがパケット交換装置１１５の
入出力ポート１を使用することを許可する権利を有する
ネットワーク管理者が認証スイッチ１３０を押す。この
認証スイッチ１３０が押される間、認証手順１１に認証
を許可する通知が与えられる。認証手順１１に認証を許
可する通知が与えられている間に、上記のユーザ等によ
ってパケット交換装置１１５のある入出力ポート１にそ
のユーザが所有する計算機の通信装置が通信ケーブルで
接続されることでその入出力ポート１が電気的に通信可
能な状態になると、認証手順１１はその入出力ポート１
の認証成功を判断し、このことをポート管理手順９に通
知する。

【００６８】ポート管理手順９は、認証成功の通知を受
けると、その入出力ポート１のＩＤに対応する認証済み
フラグの値を”ＦＡＬＳＥ”から”ＴＲＵＥ”に変更す
る。これ以降、この入出力ポート１を介するパケットの
交換が可能になる。

【００６９】通信ケーブルが入出力ポート１からはずさ
れたとき、ポート管理手順９はそれを認識し、ポート管
理テーブル８上のその入出力ポート１のＩＤに対応する
認証済みフラグの値を”ＴＲＵＥ”から”ＦＡＬＳＥ”
に変更する。これ以降、もう一度認証するまでは、この
入出力ポート１に関するパケットの交換は不可能にな
る。

【００７０】次に、本発明のパケット交換装置をＩＰル
ータに適用した場合の実施形態を説明する。

【００７１】図１１に、本実施形態のパケット交換装置
１２０の全体的な構成を示す。このパケット交換装置１
２０は、入出力ポート２１（２１−１，２１−２，…，
２１−Ｎ）、交換用ハードウェアを構成するバス２２お
よびメモリ３３、ルーティングプロセッサ２３、ルーテ
ィングテーブル２４、ルーティングテーブル管理手順２
５、認証データテーブル２６、認証データ管理手順２
７、アドレス管理テーブル２８、アドレス管理手順２
９、ルーティング手順３０、認証手順３１を有してい
る。入出力ポート２１には、Ethernetを接続可能であ
る。

【００７２】認証データテーブル２６は、Ethernetのア
ドレスと認証用データとの対応を示す表である（図１４
を参照）。認証データテーブル２６の管理は、認証デー
タ管理手順２７によって行われる。このパケット交換装
置１２０はEthernet以外の入力Ｉ／Ｆ（シリアルポート
など）３２を持ち、ユーザはこの入力Ｉ／Ｆ３２を通じ
て接続された端末機器を用いてEthernetアドレスと認証
用データとの組を入力することができる。認証データ管
理手順２７は入力Ｉ／Ｆ３２から入力されたEthernetア
ドレスと認証用データとの組を認証データテーブル２６
に登録する。

【００７３】アドレス管理テーブル２８はアドレスと認
証済みフラグとの対応表である（図１５を参照）。アド
レス管理手順２９は、パケット交換装置１２０の起動時
にアドレス管理テーブル２８のすべてのアドレスに対す
る認証済みフラグの値を”ＦＡＬＳＥ”に設定する。ま
た、アドレス管理手順２９は、あるアドレスを送信元ア
ドレスとして持つパケットが一定期間パケット交換装置
１２０に入力されなければ、そのアドレスに対応する認
証済みフラグの値を”ＦＡＬＳＥ”にし、そのアドレス
を未認証の状態にする。

【００７４】ルーティング手順３０は、入力されたＩＰ
パケットのヘッダに含まれる送信元アドレスと送信先ア
ドレスが認証済みならば、そのＩＰパケットの交換を行
う。以下にルーティング手順３０の詳細を示す。

【００７５】入出力ポート２１からパケットが入力され
れば、そのパケットを交換用ハードウェアのメモリ３３
に保存する。入力されたＩＰパケットのヘッダから送信
元アドレスを取り出す。そしてアドレス管理テーブル２
８上で、その送信元アドレスの認証済みフラグを調べ
る。認証済みでないなら、入力パケットが認証用パケッ
トかどうか判断する。もしそうなら認証手順３１を用い
て認証を行う。

【００７６】認証に成功すれば、アドレス管理手順２９
でアドレス管理テーブル２８上に送信元アドレスを記録
し、その認証済みフラグの値を”ＴＲＵＥ”に変更す
る。認証に失敗した場合はパケットを破棄する。また、
認証用パケットでない場合は、パケット未認証パケット
を作成し、送信元アドレスを基にパケット送信元にパケ
ット未認証パケットを返送し、処理を終える。

【００７７】認証済みならば、入力パケットのヘッダか
ら送信元アドレスを取り出す。そしたアドレス管理テー
ブル２８上でその送信元アドレスの認証済みフラグを調
べ、このフラグの値が”ＴＲＵＥ”ならパケットを出力
する。また、”ＦＡＬＳＥ”ならパケットを破棄して、
処理を終える。

【００７８】図１２に、認証用パケットのフォーマット
を示す。同図に示すように、認証用パケットは、Ethern
etヘッダ、ＩＰヘッダおよび認証用データから構成され
る。Ethernetヘッダは、宛先アドレス、送信元アドレ
ス，フレーム長で構成される。ＩＰヘッダのプロトコル
フィールドには、このＩＰパケットが認証用パケットで
あることを示す値がセットされる。ルーティング手順３
０はこの値で入力パケットが認証用パケットであるかど
うかを識別する。

【００７９】次に、認証手順３１を示す。

【００８０】認証用パケットのEthernetヘッダから送信
元アドレスを取り出す。この送信元アドレスは、このパ
ケットを発信した通信装置のアドレスである。前記送信
元アドレスが認証データテーブル２６にあれば、その認
証用データを取り出し、送信元アドレスがなければ認証
失敗とする。前記記認証用データと認証用パケットの認
証用データとを比較し、一致すれば認証を成功とする。
異なれば認証を失敗とする。

【００８１】次に、図１３に示すように、ある計算機２
００が本実施形態のパケット交換装置１２０であるＩＰ
ルータを介して他のネットワークの計算機３００と通信
する際の手順について述べる。

【００８２】計算機２００と計算機３００はそれぞれ通
信装置２０１、３０１を内蔵している。それぞれの通信
装置２０１、３０１は通信ケーブル４０１、４０２で既
存のEthernetハブ６００、７００に接続されるようにな
っており、それぞれのEthernetハブ６００、７００は通
信ケーブル４１１、４１２で本実施形態のパケット交換
装置１２０であるＩＰルータに接続されている。また、
通信装置２０１、３０１は認証パケットを送信するため
の認証パケット送信手順２０２、３０２を持つ。認証パ
ケット送信手順２０２、３０２は、通信装置２０１、３
０１が電気的に通信可能な状態になった時点とパケット
未認証パケットを受け取った時点で認証用パケットを出
力する。

【００８３】パケット交換装置１２０の認証データテー
ブル２６には、既にユーザにより入力Ｉ／Ｆ３２を通じ
て入力された情報が登録されているものとする。図１４
にこの時点での認証データテーブル２６の内容を示す。

【００８４】さらに、計算機３００と通信装置３０１に
電源が入っており、通信装置３０１はEthernetアドレス
をもっているものとする。計算機３００は、電源が投入
されたときに通信装置３０１の認証パケット送信手順３
０２によってパケット交換装置１２０に送信された認証
パケットにより、既に認証を済ましてあるものとする。
一方、計算機２００はまだ認証が済んでいない状態とす
る。この時点でのパケット交換装置１２０のアドレス管
理テーブル２８の内容を図１５に示す。

【００８５】この状態において、計算機２００をパケッ
ト交換装置１００で認証する手順を説明する。

【００８６】ユーザによって計算機２００の通信装置２
０１がハブ６００を通じてパケット交換装置１２０の入
出力ポート２１−１と接続されると、パケット交換装置
１２０はその入出力ポート２１−１が電気的に通信可能
な状態であることを認識する。

【００８７】この後、通信装置２０１は認証用パケット
送信手順２０２により認証パケットを出力する。認証用
パケットの認証用データ２０３には、計算機の不正使用
を防止するための情報であるから、計算機２００しか知
り得ない情報、例えばパスワードや計算機２００の構成
情報などが用いられる。ここでは、パスワードと計算機
２００の種類、通信装置２０１のロット番号を使うもの
とする。

【００８８】パケット交換装置１２０のルーティング手
順３０は、通信装置２０１から入出力ポート２１−１を
通じて送られてきた認証用パケットを受け取ると、その
認証用パケットのヘッダから送信元アドレスをとりだ
し、さらに認証用パケットから認証用データをとりだ
す。そしてこれら送信元アドレスと認証用データについ
て認証手順３１によって認証を行う。

【００８９】認証に成功すれば、アドレス管理手順２９
がアドレス管理テーブル２８を参照して、通信装置２０
１のアドレスに対する認証済みフラグの値を”ＴＲＵ
Ｅ”に変更する。これにより、通信装置２０１と通信装
置３０１間のパケットの交換が可能になり、計算機２０
０と計算機３００は通信を行うことできる。認証が失敗
すれば、以降計算機２００、３００どうしは通信を行う
ことができない。

【００９０】次に、通信装置２０１がしばらく通信を行
わない場合の処理について述べる。通信装置２０１がし
ばらく通信を行わないと、パケット交換装置１２０のア
ドレス管理手順２９がそれを検知し、アドレス管理テー
ブル２８上の、通信装置２０１のアドレスに対する認証
済みフラグの値を”ＦＡＬＳＥ”に変更する。これによ
り、通信装置２０１はパケット交換装置１２０を介して
通信を行うことができなくなる。

【００９１】通信装置２０１が再び通信を行うためにパ
ケット交換装置１２０にＩＰパケットを送っても、パケ
ット交換装置１２０においては通信装置２０１の認証が
成立していないので、パケット交換装置１２０から通信
装置２０１にパケット未認証通知パケットが送られる。
通信装置２０１は、パケット未認証通知パケットを受け
取ると、再び認証用パケットを生成し、出力する。これ
によってパケット交換装置１２０で再び通信装置２０１
の認証が行われ、通信装置２０１はパケット交換装置１
２０を介した通信を行うことができるようになる。

【００９２】図１６にパケット未認証通知パケットの構
成を示す。同図に示すように、パケット未認証通知パケ
ットは、EthernetヘッダとＩＰヘッダから構成される。
ＩＰヘッダのプロトコルフィールドには、このＩＰパケ
ットがパケット未認証通知パケットであることを示す値
がセットされる。ルーティング手順３０は、この値でパ
ケット未認証通知パケットを識別することができる。

【００９３】

【発明の効果】以上説明したように、本発明によれば、
入出力ポートに装置が接続されたとき、その接続された
装置の認証を行い、認証に成功した装置のみパケットの
交換を行うことを許すことで、許可を与えられていない
計算機等によるネットワークの不正使用を防止すること
が可能になるなど、セキュリティの向上を図ることがで
きる。

【図面の簡単な説明】

【図１】本発明の一実施形態に係るパケット交換装置で
あるEthernetスイッチングハブの構成を示す図

【図２】図１のパケット交換装置で用いられる認証用パ
ケットのフォーマットを示す図

【図３】図１のパケット交換装置と複数計算機により構
成されるネットワークシステムの構成を示す図

【図４】認証データテーブルの例を示す図

【図５】ポート管理テーブルの例を示す図

【図６】ルーティング手順を示す流れ図

【図７】認証手順を示す流れ図

【図８】認証データの送信の手順を示す流れ図

【図９】指紋認証装置を用いたパケット交換装置の構成
を示す図

【図１０】認証用スイッチを用いたパケット交換装置の
構成を示す図

【図１１】本発明の他の実施形態に係るパケット交換装
置であるＩＰルータの構成を示す図

【図１２】図１１のパケット交換装置で用いられる認証
用パケットのフォーマットを示す図

【図１３】図１１のパケット交換装置と複数計算機によ
り構成されるネットワークシステムの構成を示す図

【図１４】認証データテーブルの例を示す図

【図１５】アドレス管理テーブルの例を示す図

【図１６】パケット未認証通知パケットの構成を示す図

【図１７】従来のパケット交換装置の構成を示す図

【符号の説明】

１００，１１０，１１５，１２０…パケット交換装置 １３０…認証用スイッチ ２００，３００…計算機 ２０１，３０１…通信装置 ２０２，３０２…認証パケット送信手順 ２０３…認証用データ ２０４…認証データ作成手順 ２０５…プロセッサ ４０１，４０２，４１１、４１２…通信ケーブル ５００…指紋認証装置 ６００、７００…Ethernetハブ １，２１…入出力ポート ２，２２…バス ３，２３…ルーティングプロセッサ ４，２４…ルーティングテーブル ５，２５…ルーティングテーブル管理手順 ６，２６…認証データテーブル ７，２７…認証データ管理手順 ８…ポート管理テーブル ９…ポート管理手順 １０，３０…ルーティング手順 １１，３１…認証手順 １２，３２…入力Ｉ／Ｆ １３，３３…メモリ １５…指紋認証装置接続用の入力Ｉ／Ｆ ２８…アドレス管理テーブル ２９…アドレス管理手順

フロントページの続き Ｆターム(参考） 5B089 GA31 GA32 GA34 HA06 HB02 KA17 KB06 KB13 KC15 KC58 5K030 GA15 HA08 HD03 HD06 HD09 JT02 KA04 KA13 LB02 LC16 LD19 5K033 AA08 BA04 CB01 CC01 DA01 DB17 DB20 EA07 EC01 EC03 9A001 BB04 CC04 LL03

Claims (22)

【特許請求の範囲】
1. 【請求項１】 複数の装置間でパケットの交換を行うパ
   ケット交換装置において、 前記装置が接続される入出力ポートと、 この入出力ポートに接続された前記装置の認証を行う認
   証手段とを備え、 前記認証手段により得られた認証結果に基づいてパケッ
   ト交換を行うことを特徴とするパケット交換装置。
2. 【請求項２】 前記認証手段は、 認証用データを記憶する認証データ記憶手段と、 前記入出力ポートを通じて前記装置から入力された認証
   用データと前記認証データ記憶手段に記憶された認証用
   データとを比較し、この比較結果に基づいて認証の成否
   を判定する認証判定手段とを有することを特徴とする請
   求項１記載のパケット交換装置。
3. 【請求項３】 前記認証手段が、 装置のアドレス情報と認証用データとの組を記憶する認
   証データ記憶手段と、 前記入出力ポートを通じて前記装置から自装置のアドレ
   ス情報と認証用データを含むパケットが入力されたと
   き、前記認証データ記憶手段に記憶された、前記入力パ
   ケット内のアドレス情報に対応する認証用データと前記
   入力パケット内の認証用データとを比較し、この比較結
   果に基づいて認証の成否を判定する認証判定手段とを有
   することを特徴とする請求項１記載のパケット交換装
   置。
4. 【請求項４】 前記認証手段が、 管理者からの認証許可通知を入力する認証許可通知入力
   手段と、 前記認証許可通知入力手段により認証許可通知が入力さ
   れている時に前記入出力ポートへの接続が行われた装置
   を認証が成功した装置として判定する認証判定手段とを
   具備することを特徴とする請求項１記載のパケット交換
   装置。
5. 【請求項５】 前記認証手段が、 認証用データを記憶する認証データ記憶手段と、 認証用データを入力する装置とのインターフェース手段
   と、 前記インターフェース手段により入力された認証用デー
   タと前記認証データ記憶手段に記憶された認証用データ
   とを比較し、この比較結果に基づいて認証の成否を判定
   する認証判定手段とを有することを特徴とする請求項１
   記載のパケット交換装置。
6. 【請求項６】 前記認証手段が、個々の入出力ポート毎
   に認証の結果を管理することを特徴とする請求項１ない
   し５記載のいずれかのパケット交換装置。
7. 【請求項７】 前記認証手段が、前記装置のアドレス毎
   に認証の結果を管理することを特徴とする請求項１ない
   し５記載のいずれかのパケット交換装置。
8. 【請求項８】 前記認証データ記憶手段に記憶されるデ
   ータを入力するインターフェース手段をさらに有するこ
   とを特徴とする請求項１ないし３記載のいずれかのパケ
   ット交換装置。
9. 【請求項９】 一定時間パケットの入出力が行われなか
   った装置の認証を解除する認証解除手段をさらに有する
   ことを特徴とする請求項１ないし５記載のいずれかのパ
   ケット交換装置。
10. 【請求項１０】 認証済みでない装置からパケットが入
    力されたときは、パケット未認証通知パケットを前記装
    置に送信する未認証通知パケット送信手段をさらに有す
    ることを特徴とする請求項１ないし５記載のいずれかの
    パケット交換装置。
11. 【請求項１１】 認証用データを含む認証用パケットを
    生成する認証用パケット生成手段と、この認証用パケッ
    ト生成手段により生成された認証用パケットを送信する
    認証用パケット送信手段とを有する通信装置と、 前記通信装置から送信された認証用パケットに含まれる
    認証用データに基づいて前記通信装置の認証を行う認証
    手段を有し、この認証手段による認証結果に基づいてパ
    ケット交換を行うパケット交換装置とを具備することを
    特徴とするネットワークシステム。
12. 【請求項１２】 前記通信装置から送信される認証用パ
    ケットが前記通信装置のアドレス情報を含んでおり、 前記パケット交換装置の前記認証手段は、前記通信装置
    のアドレス情報と認証用データとの組を記憶する認証デ
    ータ記憶手段と、前記通信装置から送信された認証用パ
    ケットに含まれるアドレス情報に対応する、前記認証デ
    ータ記憶手段に記憶された認証用データと前記通信装置
    から送信された認証用パケットに含まれる認証用データ
    とを比較して前記通信装置の認証を行うことを特徴とす
    る請求項１１記載のネットワークシステム。
13. 【請求項１３】 前記パケット交換装置は、未認証の通
    信装置から前記認証用パケット以外のパケットが受信し
    たとき、パケット未認証通知パケットを前記通信装置に
    送信する未認証通知パケット送信手段を有し、 前記通信装置は前記パケット未認証通知パケットを受信
    したとき、前記認証用パケット生成手段により認証用パ
    ケットを生成し、この生成された認証用パケットを前記
    認証用パケット送信手段により送信することを特徴とす
    る請求項１１記載のネットワークシステム。
14. 【請求項１４】 複数の装置間でパケットの交換を行う
    方法において、 入出力ポートに接続された前記装置の認証を行い、この
    認証結果に基づいてパケット交換を行うことを特徴とす
    るパケット交換方法。
15. 【請求項１５】 認証用データを予め記憶しておき、前
    記入出力ポートに接続された前記装置から入力された認
    証用データと前記予め記憶された認証用データとを比較
    して、前記入出力ポートに接続された装置の認証を行う
    ことを特徴とする請求項１４記載のパケット交換方法。
16. 【請求項１６】 装置のアドレス情報と認証用データと
    の組を予め記憶しておき、前記入出力ポートに接続され
    た前記装置から自装置のアドレス情報と認証用データを
    含むパケットが入力されたとき、前記入力パケット内の
    アドレス情報に対応する前記予め記憶された認証用デー
    タと前記入力パケット内の認証用データとを比較して、
    前記入出力ポートに接続された装置の認証を行うことを
    ことを特徴とする請求項１４記載のパケット交換方法。
17. 【請求項１７】 管理者からの認証許可通知が入力され
    ている時に前記入出力ポートへの接続が行われた装置を
    認証が成功した装置として判定することを特徴とする請
    求項１４記載のパケット交換方法。
18. 【請求項１８】 認証用データを予め記憶しておき、認
    証用データを入力する装置を使って入力された認証用デ
    ータと前記予め記憶された認証用データとを比較して、
    前記入出力ポートに接続された装置の認証を行うことを
    ことを特徴とする請求項１４記載のパケット交換方法。
19. 【請求項１９】 個々の入出力ポート毎に認証の結果を
    管理することを特徴とする請求項１４ないし１８記載の
    いずれかのパケット交換方法。
20. 【請求項２０】 前記装置のアドレス毎に認証の結果を
    管理することを特徴とする請求項１４ないし１８記載の
    いずれかのパケット交換方法。
21. 【請求項２１】 一定時間パケットの入出力が行われな
    かった装置の認証を解除することを特徴とする請求項１
    ４ないし１８記載のいずれかのパケット交換方法。
22. 【請求項２２】 認証済みでない装置からパケットが入
    力されたときは、パケット未認証通知パケットを前記装
    置に送信することを特徴とする請求項１４ないし１８記
    載のいずれかのパケット交換方法。