JP2002185522A

JP2002185522A - ルータのコンフィギュレーション設定情報転送方法、制御端末、ホスト端末及び記録媒体

Info

Publication number: JP2002185522A
Application number: JP2000378028A
Authority: JP
Inventors: Tomoji Fujita; 智士藤田
Original assignee: NEC System Technologies Ltd
Current assignee: NEC Solution Innovators Ltd
Priority date: 2000-12-12
Filing date: 2000-12-12
Publication date: 2002-06-28
Anticipated expiration: 2020-12-12
Also published as: JP3570987B2

Abstract

(57)【要約】【課題】各ルータのコンフィギュレーション設定情報
を集中管理するホストで設定情報転送要求を認証して、
不正アクセスや誤作動による設定情報破壊や漏洩を防止
する。【解決手段】各ルータ２に接続する制御端末３からル
ータ２のアドレスを暗号化した転送ファイル名を投入す
ることにより、ルータ２が転送要求ＲＱに転送ファイル
名を付加してホスト端末１に与えられる。ホスト端末１
が転送ファイル名に基づき転送要求ＲＱの正当性を判定
した後に、コンフィギュレーション設定情報の転送が開
始される。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ルータのコンフィ
ギュレーション設定情報転送方法と、それを実施する制
御端末、ホスト端末及び記録媒体に関し、特にコンフィ
ギュレーション設定情報の転送要求を認証できるコンフ
ィギュレーション設定情報転送方式に関する。

【０００２】

【従来の技術】ルータは、ＩＳＯ（国際標準化機構）で
規定するＯＳＩ(Open Systems Interconnection)の７階
層モデルのうちの下位３層（物理層、データリンク層、
ネットワーク層）を処理するためにＬＡＮ(Local Area
Network)やＷＡＮ(Wide Area Network)に接続される。
ルータのコンフィギュレーション設定情報は、ルータ間
の各プロトコルのアドレス情報、ネットワークの通信範
囲を制限するフィルタリング情報、ルータ間の経路情報
を示したルーティング情報などを含んでいる。近年、イ
ンターネットの普及に伴い、ＬＡＮやＷＡＮ間をつなぐ
ルータの数が増大しており、大規模なネットワークにお
いては、ルータの追加や故障したルータの置き換え等の
保守作業が日常的に行われている。

【０００３】ルータの保守作業を容易にする為に、ホス
ト端末を設置して、各ルータからホスト端末にコンフィ
ギュレーション設定情報を転送する方法や、必要に応じ
てホスト端末から各ルータにコンフィギュレーション設
定情報を入力する方法が採用されている。ルータからホ
スト端末にコンフィギュレーション設定情報を転送する
方法としては、ＴＦＴＰ等の転送プロトコルを用いて、
ルータのコンフィギュレーション設定情報全てを一括し
て転送する方法が広く用いられている。一方、ホスト端
末からルータにコンフィギュレーション設定情報を入力
する方法としては、例えば、ルータに制御端末を接続し
てコンフィギュレーション設定コマンドを用いて人手で
入力する方法が用いられている。また、ルータにシリア
ルインタフェースを介して制御端末を接続して、遠隔地
のホスト端末と接続する為の最低限の設定のみを人手で
入力しておき、他のコンフィギュレーション設定情報は
ホスト端末からＴＦＴＰ等の転送プロトコルを用いて一
括して転送する方法も用いられている。

【０００４】このような従来技術の例としては、例えば
特許第２７７１４３７号に開示されたものがある。以
下、その概要を示す。図７は、従来のネットワークを示
すブロック図である。特許第２７７１４３７号に開示さ
れているネットワークでは、ネットワークの構築時に、
ホスト端末１ｈのネットワーク記憶部１３ｈに、予め各
ルータ２ａ、２ｂのコンフィギュレーション設定情報を
集中的に入力する。各ルータ２ａ、２ｂは、コンフィギ
ュレーション設定情報の読み出し要求として、要求パケ
ット１０１ｐをホスト端末１ｈに送出する。ホスト端末
１ｈは、各ルータ２ａ、２ｂから送出された要求パケッ
ト１０１ｐを受信すると、自動的に、ネットワーク記憶
部１３ｈから送信元アドレスのコンフィギュレーション
設定情報を読み出し、応答パケット１０２ｐを返送す
る。そして、各ルータ２ａ、２ｂは、受信した応答パケ
ット１０２ｐをコンフィギュレーション記憶部２３ａ、
２３ｂに格納する。

【０００５】上記公報に開示されているネットワーク
は、各ルータ２ａ、２ｂがホスト端末１ｈに近い順に、
上述の一連の動作を行うことにより、全てのルータに自
動的にコンフィギュレーション設定情報を入力すること
を可能にしている。

【０００６】

【発明が解決しようとする課題】特許第２７７１４３７
号に開示されているコンフィギュレーション設定情報転
送方式は、各ルータからホスト端末へ送信されるコンフ
ィギュレーション設定情報の読み出し要求に対して、自
動的に応答パケットを送信する。すなわち、ホスト端末
は認証を行っていないという問題がある。各ルータが送
信する書き込み要求に対してホスト端末が認証をしない
と、各ルータのコンフィギュレーション設定情報が失わ
れたり改竄されるおそれがある。また、各ルータが送信
する読み出し要求に対してホスト端末が認証をしない
と、各ルータのコンフィギュレーション設定情報が権限
の無い利用者に漏洩するおそれがある。本発明は、上記
実情に鑑みてなされたものであり、ホスト端末が管理す
るルータのコンフィギュレーション設定情報を喪失や破
壊から守ると共に、漏洩を防ぐことが可能なコンフィギ
ュレーション設定情報転送方法を提供することを目的と
する。

【０００７】

【課題を解決するための手段】上記目的を達成するた
め、本発明のうちの第１の発明は、ネットワーク間を相
互にそれぞれ接続する複数のルータ、前記ネットワーク
を介して前記複数のルータに接続され、前記各ルータの
コンフィギュレーション設定情報を格納して該各ルータ
の保守を行うホスト端末、及び前記各ルータに接続され
て該各ルータへ制御コマンドを投入する制御端末から構
成されたシステムで、前記制御コマンドに従い、前記ホ
スト端末から前記コンフィギュレーション設定情報を読
み出して任意の前記ルータへ転送し、任意の前記ルータ
から前記ホスト端末へ前記コンフィギュレーション設定
情報を転送して書き込むルータのコンフィギュレーショ
ン設定情報転送方法において、次のような方法を講じて
いる。

【０００８】即ち、前記コンフィギュレーション設定情
報の読み出し或いは書き込みに先立ち、前記ホスト端末
に転送相手の情報を含む転送要求に該転送要求を作成し
た前記ルータを識別する識別情報を付加して該ルータか
ら送信させ、前記ホスト端末に前記識別情報と前記転送
相手の情報とが一致するか否かを判定させて前記転送要
求が正当か否かを判断させ、前記判断の結果、前記転送
要求が正当と判定された場合にのみ前記ホスト端末と前
記ルータとの間で前記コンフィギュレーション設定情報
を転送させるようにしている。

【０００９】第２の発明は、第１の発明のルータのコン
フィギュレーション設定情報転送方法において、次のよ
うな構成にしている。即ち、前記制御端末に、前記識別
情報を転送ファイル名として作成させ、該転送ファイル
名を前記制御コマンドに付加して前記ルータへ送出させ
る転送ファイル名生成処理と、前記ルータに、前記制御
コマンドの指示に従って前記転送要求を作成させ、該転
送要求に前記転送ファイル名を付加して前記ホスト端末
へ送信させる転送要求送信処理と、前記ホスト端末に、
前記ルータから受信した転送ファイル名と前記転送要求
に含まれる前記転送相手の情報とが一致するか否かを判
定させて該転送要求が正当か否かを判断させる認証処理
と、前記認証処理で前記転送要求が正当なものと判断さ
れたときにのみ、前記ルータと前記ホスト端末との間で
前記コンフィギュレーション設定情報を転送させる転送
制御処理とで構成している。

【００１０】第３の発明は、第１または第２の発明のル
ータのコンフィギュレーション設定情報転送方法におい
て、前記制御端末は、前記ネットワークにおける前記ル
ータのアドレスに基づいて前記識別情報を作成するよう
にしている。第１乃至第３の発明によれば、以上のよう
にルータのコンフィギュレーション設定情報転送方法を
構成したので、コンフィギュレーション設定情報の転送
の開始前に、転送要求に該転送要求を作成したルータの
識別情報が付加されて、ホスト端末に送信される。ホス
ト端末により、転送要求の正当性の認証が識別情報に基
づき行われる。認証が終了した後に、コンフィギュレー
ション設定情報が転送される。そのため、正当なルータ
からの要求か否かの認証を行うことができるので、ホス
ト端末が管理する各ルータのコンフィギュレーション設
定情報の破壊や改竄を防止できる。

【００１１】第４の発明は、第１乃至３のいずれかの発
明のルータのコンフィギュレーション設定情報転送方法
において、前記制御端末は、前記識別情報を暗号化し、
前記ホスト端末では前記暗号化された識別情報を復号化
し、その復号結果と前記転送相手の情報とから前記転送
要求が正当か否かを判断するようにしている。第４の発
明によれば、以上のようにルータのコンフィギュレーシ
ョン設定情報転送方法を構成したので、転送ファイル名
は暗号化されている。よって、転送ファイル名に含まれ
るルータの情報が他に知られることが防止でき、コンフ
ィギュレーション設定情報の漏洩も防止できる。

【００１２】第５の発明は、第４の発明のルータのコン
フィギュレーション設定情報転送方法において、次のよ
うな方法を講じている。即ち、前記識別情報に、当該識
別情報を作成する時刻を示す時刻情報を付加して暗号化
して前記ホスト端末に送信し、前記ホスト端末では、前
記時間情報に基づいて、過去に受理した同一の識別情報
が付加された転送要求を排除させる重複排除処理を行う
ようにしている。第５の発明によれば、以上のようにル
ータのコンフィギュレーション設定情報転送方法を構成
したので、時間情報が付加されて転送ファイル名がホス
ト端末に与えられるので、ホスト端末で時間情報と転送
ファイル名とに基づいて認証を行うことになる。そのた
め、ホスト端末が認証する情報が毎回変化するので、転
送ファイル名が漏洩したときでも、セキュリティを維持
できる。

【００１３】第６の発明は、ネットワーク間を接続する
ルータに対して制御コマンドを与え、該ネットワークに
接続されて該ルータのコンフィギュレーション設定情報
を格納するホスト端末と該ルータとの間で該コンフィギ
ュレーション設定情報を転送させる制御端末において、
次のような構成にしている。即ち、前記ルータを識別す
る識別情報からなる転送ファイル名を作成して前記制御
コマンドとともに該ルータに与え、該ルータに、前記コ
ンフィギュレーション設定情報を転送する前に前記ホス
ト端末に与える転送相手の情報を含む転送要求に、該転
送ファイル名を付加して該ホスト端末へ送信させる転送
ファイル名生成部を備えている。

【００１４】第７の発明は、第６の発明の制御端末にお
いて、前記識別情報は、前記ルータのアドレスであるこ
とを要旨とする。第８の発明は、第６または７の発明の
制御端末において、前記転送ファイル名生成部は、前記
転送ファイル名を、前記識別情報を暗号化して形成する
ことを要旨とする。第９の発明は、第８の発明の制御端
末において、前記転送ファイル名生成部は、前記ルータ
のアドレスを暗号化する時刻の時刻情報を暗号化し、該
暗号化した時刻情報を前記転送ファイル名に挿入する時
刻挿入処理部を有することを要旨とする。

【００１５】第６乃至第９の発明によれば、以上のよう
に制御端末を構成したので、制御端末がルータに識別情
報した転送要求を送信させるので、例えば後述する第１
０乃至１３の発明のホスト端末と相俟って第１乃至第５
の発明のルータのコンフィギュレーション設定情報転送
方法を実施できる。第１０の発明は、ネットワーク間を
接続する複数のルータに該ネットワークを介して接続さ
れるとともに該各ルータのコンフィギュレーション設定
情報を格納する設定情報記憶部を備え、前記複数のルー
タの保守を行うために、該各ルータとの間で前記コンフ
ィギュレーション設定情報を転送して前記設定情報記憶
部に格納されたコンフィギュレーション設定情報の読み
出しと書き込みを行うホスト端末において、次のような
構成にしている。

【００１６】即ち、前記読み出し或いは書き込みの前に
任意の前記ルータから前記ネットワークを介して送信さ
れた転送相手の情報を含む前記転送要求と該転送要求の
作成元のルータを識別する識別情報から作成された転送
ファイル名とを入力し、該転送ファイル名と該転送相手
の情報とから該転送要求が正当であるか否かを判断する
転送要求認証部と、前記転送要求認証部が前記転送要求
が正当であると判断した場合にのみ、前記設定情報記憶
部にアクセスして前記転送要求を作成したルータとの間
で前記コンフィギュレーション設定情報を転送させる設
定情報転送制御部とを設けている。

【００１７】第１１の発明は、第１０の発明のホスト端
末において、前記識別情報は、前記ルータのアドレスか
ら形成されていることを要旨とする。第１２の発明は、
第１０または１１の発明のホスト端末において、前記転
送ファイル名は、前記識別情報が暗号化されて形成され
ていることを要旨とする。第１３の発明は、第１２の発
明のホスト端末において、前記転送ファイル名には、前
記識別情報に加えて前記ルータのアドレスが暗号化され
た時刻の時刻情報が挿入され、前記転送要求認証部は、
前記暗号化された識別情報及び前記時刻情報から前記転
送要求が正当であるか否かを判断するとともに、過去に
同一の識別情報が付加されて与えられた転送要求を排除
することを要旨とする。

【００１８】第１０乃至第１３の発明によれば、以上の
ようにホスト端末を構成したので、読み出し或いは書き
込みの前に任意のルータから送信された転送要求と転送
ファイル名とを入力し、該転送要求が正当であるか否か
が転送要求認証部により判定される。転送要求認証部が
転送要求が正当であると判定した場合にのみ、設定情報
記憶部にアクセスして転送要求を作成したルータとの間
でコンフィギュレーション設定情報が転送される。その
ため、例えば第６〜第９の発明の制御端末と相俟って第
１乃至第５の発明のルータのコンフィギュレーション設
定情報転送方法を実施できる。

【００１９】第１４の発明は、記録媒体において、ネッ
トワーク間を接続するルータに対して制御コマンドを与
え、該ネットワークに接続されて該ルータのコンフィギ
ュレーション設定情報を格納するホスト端末と該ルータ
との間で該コンフィギュレーション設定情報を転送させ
るコンピュータに、前記ルータを識別する識別情報から
なる転送ファイル名を作成して前記制御コマンドととも
に該ルータに与えさせるプログラムを記録した記録媒体
にしている。第１５の発明は、第１４の発明の記録媒体
において、前記識別情報を、前記ルータのアドレスにし
ている。

【００２０】第１６の発明は、第１４または１５の発明
の記録媒体において、前記転送ファイル名は、前記識別
情報を暗号化して形成させている。第１７の発明は、第
１６の発明の記録媒体において、前記ルータのアドレス
を暗号化する時刻の時刻情報を暗号化し、該暗号化した
時刻情報を前記転送ファイル名に挿入させるようにして
いる。

【００２１】第１８の発明は、記録媒体において、ネッ
トワーク間を接続する複数のルータに該ネットワークを
介して接続されるとともに該各ルータのコンフィギュレ
ーション設定情報を格納する設定情報記憶部を備え、前
記複数のルータの保守を行うために、該各ルータとの間
で前記コンフィギュレーション設定情報を転送して前記
設定情報記憶部に格納されたコンフィギュレーション設
定情報の読み出しと書き込みを行うコンピュータに、前
記読み出し或は書き込みの前に任意の前記ルータから前
記ネットワークを介して送信された転送相手の情報を含
む転送要求と該転送要求の作成元のルータを識別する識
別情報から作成された転送ファイル名とを入力し、該転
送ファイル名と該転送相手の情報とが一致するか否かを
判定して該転送要求が正当であるか否かを判断する転送
要求認証処理と、前記転送要求認証処理により、前記転
送要求が正当であると判断した場合にのみ、前記設定情
報記憶部にアクセスして前記転送要求を作成したルータ
との間で前記コンフィギュレーション設定情報を転送さ
せる設定情報転送制御処理とを行わせるプログラムが格
納された記録媒体にしている。

【００２２】第１９の発明は、第１８の発明の記録媒体
において、前記識別情報は、前記ルータのアドレスから
形成されていることを要旨としている。第２０の発明
は、第１８または１９の発明の記録媒体において、前記
転送ファイル名は、前記識別情報が暗号化されて形成さ
れていることを要旨とする。第２１の発明は、第２０の
発明の記録媒体において、前記転送ファイル名には、前
記識別情報に加えて前記ルータのアドレスが暗号化され
た時刻の時刻情報が挿入され、前記転送要求認証処理で
は、前記暗号化された識別情報及び前記時刻情報から前
記転送要求が正当であるか否かを判断するとともに、過
去に同一の識別情報が付加された転送要求を排除するこ
と要旨としている。第１４乃至２１の発明によれば、以
上のように記録媒体を構成したので、該記録媒体に格納
されたプログラムを制御端末及びホスト端末に読み込ま
せることにより、第１から第５の発明のルータのコンフ
ィギュレーション設定情報転送方法が実施される。

【００２３】

【発明の実施の形態】［第１の実施形態］図１は、本発
明の第１の実施形態のシステムの構成を示すブロック図
である。このシステムは、プログラム制御により動作す
るホスト端末１と、ルータ２と、プログラム制御或いは
オペレータの操作により動作する制御端末３と、ネット
ワーク４とから構成されている。ホスト端末１は、ネッ
トワーク４を経由してルータ２と接続されており、ルー
タ２から送信される転送要求ＲＱに従って、コンフィギ
ュレーション設定情報の転送を行うものであり、ネット
ワーク４に信号を入出力するネットワークインタフェー
ス部１０と、転送要求認証部１１と、設定情報転送制御
部１２と、設定情報記憶部１３とを備えている。

【００２４】転送要求認証部１１は、定期的または不定
期に更新される解読用の復号鍵を保持しており、該復号
鍵を使用して転送要求ＲＱを解読し、与えられた転送要
求ＲＱが正当な要求か否かを判定する機能を持ってい
る。設定情報転送制御部１２は、ルータ２から送信され
る転送要求ＲＱに従って転送応答を送信することによっ
て、ルータ２にデータ送信の開始を指示する機能を有し
ている。また、設定情報転送制御部１２は、設定情報記
憶部１３へコンフィギュレーション設定情報の書き込み
を行い、設定情報記憶部１３からコンフィギュレーショ
ン設定情報の読み出しを行う機能を持っている。

【００２５】ルータ２は、シリアルインタフェース５を
介して制御端末３と接続されている。なお、ルータ２
は、シリアルインタフェース５の代わりに、例えばＴｅ
ｌｎｅｔプロトコル等を使用してネットワーク４経由で
制御端末３に接続してもよい。ルータ２は、例えばＴＦ
ＴＰプロトコル等を使用して、ネットワーク４経由でホ
スト端末１にも接続されており、制御端末３から制御コ
マンドＣＭを受けてネットワーク４経由でホスト端末１
に転送要求ＲＱを送付するようになっている。この転送
要求ＲＱには、制御コマンドＣＭで指定した後述する転
送ファイル名が付加される。また、ルータ２は、ネット
ワーク４を介してコンフィギュレーション設定情報を、
ホスト端末１に対して送受信し、コンフィギュレーショ
ン設定情報の転送完了を検出し、転送結果を制御端末３
に送信する機能を有している。

【００２６】制御端末３は、オペレータ（操作者）また
はプログラムからの転送開始の指示に従い、制御コマン
ドＣＭを組み立てて、シリアルインタフェース５を介し
てルータ２に送付する機能を有し、インタフェース部３
０と、転送ファイル名生成部３１とを備えている。転送
ファイル名生成部３１は、ホスト端末１が保持する解読
用の復号鍵と同期して更新される暗号化用の暗号鍵を用
いて、ルータ２のＩＰアドレス等を暗号化して転送ファ
イル名を生成する。なお、このシステムでは、暗号文を
容易に偽造できない暗号化方式を採用する。図２は、コ
ンフィギュレーション設定情報をホスト端末に書き込む
場合の転送方法を示すフローチャートーである。この図
２を参照しつつ、システム全体の動作について説明す
る。

【００２７】最初の処理ステップＳ２１は、転送ファイ
ル名生成処理であり、制御端末３が、オペレータまたは
プログラムからの転送開始指示に従い、転送ファイル名
生成部３１で転送ファイル名を生成する。そして、生成
した転送ファイル名を制御コマンドＣＭに付与し、イン
タフェース部３０及びシリアルインタフェース５を介し
てルータ２に送付する。ステップＳ２３において、ルー
タ２は、制御端末３から受け取った制御コマンドＣＭの
指示に従い転送要求ＲＱを作成し、該転送要求ＲＱをネ
ットワーク４経由でホスト端末１へ送信する。即ち、ス
テップＳ２３は、転送要求送信処理を構成している。

【００２８】ホスト端末１中の転送要求認証部１１は、
ステップＳ２４の認証処理で、ネットワークインタフェ
ース部１０を介してルータ２から受信した転送要求ＲＱ
を認証する。ステップＳ２５は転送制御処理であり、ホ
スト端末１中の設定情報転送制御部１２がルータ２に転
送応答を返送し、データ送信の開始を指示する。ルータ
２がその転送応答を受信し、ステップＳ２６において、
コンフィギュレーション設定情報をホスト端末１に転送
する。

【００２９】ホスト端末１の設定情報転送制御部１２
は、ステップＳ２７で、ルータ２から受信したコンフィ
ギュレーション設定情報を設定情報記憶部１３に書き込
む。最後のステップＳ２８において、ルータ２は、コン
フィギュレーション設定情報の転送完了を検知すると、
転送結果を制御端末３に送信する。図３は、転送要求Ｒ
Ｑが読み出し要求の場合の転送方法を示すフローチャー
トである。ホスト端末１からコンフィギュレーション設
定情報を読み出してルータ２に転送する場合には、図３
のステップＳ３１からステップＳ３７を行う。図３中の
ステップＳ３１からステップＳ３４は、図２中のステッ
プＳ２１からステップＳ２４とそれぞれ同様の処理であ
り、ステップＳ３１からステップＳ３４によって、読み
出しの転送要求ＲＱが転送ファイル名と共にホスト端末
１に送信される。以下、図２との差分のみ説明する。

【００３０】転送要求ＲＱが読み出し要求の場合には、
ステップＳ３５において、ホスト端末１の設定情報転送
制御部１２が、設定情報記憶部１３からコンフィギュレ
ーション設定情報を読み出す。そして、ステップＳ３６
において、設定情報転送制御部１２は、読み出した設定
情報を転送応答としてルータ２へ送信する。なお、コン
フィギュレーション設定情報が大きい場合には、複数の
電文に分割してルータ２へ送信する。最後に、ステップ
Ｓ３７において、コンフィギュレーション設定情報の転
送完了を検知したルータ２が、転送結果を制御端末３に
報告する。

【００３１】次に、具体的な例を用いてこのシステムの
認証方式を説明する。図４及び図８は、認証方式の具体
例を示す説明図である。これら図４及び図８を参照しつ
つ、排他的論理和と転置を組み合わせた暗号化方式につ
いて説明する。例えばルータ２の識別情報であるＩＰア
ドレスを“１．２．３．４”、暗号鍵と復号鍵を０ｘ１
２３４５６７８とする。はじめに、制御端末３の転送フ
ァイル名生成部３１は、ルータ２のＩＰアドレス“１．
２．３．４”を整数値０１０２０３０４に置き換え、こ
れを３２ｂｉｔの列とし、暗号鍵の下８桁の整数値１２
３４５６７８を３２ｂｉｔの列とし、図８（ａ）のよう
に、両者の排他的論理和を求める。排他的論理和の計算
の結果、３２ｂｉｔの整数値１３３６５５７ｃが求ま
る。

【００３２】暗号鍵の下８桁の整数値１２３４５６７８
を３２ｂｉｔの列0 001 001 000 110 100 010 101 100
111 100 0とする。列の両端を除いた３桁２進数の５組
の整数値(1,1),(0,6),(4,2),(5,4),(7,4)が、それぞれ
８桁の整数値の０番目から７番目を表すものとし、各組
のｘ座標とｙ座標を置き換えることにより転置を行う。
例えば、組(4,2)は、８桁の整数値の４番目と２番目を
置き換えることを表す。上述のように排他的論理和から
求めた３２ｂｉｔの整数値１３３６５５７ｃに対して、
順番に５回の転置を施すと、図８（ｂ）に示すように整
数値７３５６ｃ３１５を得る。

【００３３】転送ファイル名生成部３１は、排他的論理
和と転置から求めた整数値７３５６ｃ３１５の先頭に、
英字‘ｔ’を付けて、転送ファイル名“ｔ７３５６ｃ３
１５”を生成する。制御端末３は、シリアルインタフェ
ース５経由でルータ２にログインし、転送先のホスト端
末１のアドレスと転送ファイル名を指定して、コンフィ
ギュレーション設定情報の転送を行うための制御コマン
ドＣＭに投入する。制御コマンドＣＭを受け取ったルー
タ２は、例えば、ＴＦＴＰプロトコルでホスト端末１に
転送要求電文を送信する。この時、転送要求電文には、
制御コマンドＲＱで指定した転送ファイル名“ｔ７３５
６ｃ３１５”が付加される。

【００３４】ホスト端末１の転送要求認証部１１は、復
号鍵０ｘ１２３４５６７８を用いて、制御端末３の転送
ファイル名生成部３１が行った暗号化処理を逆に演算す
ることにより、暗号化されていたルータ２のＩＰアドレ
スを復元する。転送要求認証部１１が復元したＩＰアド
レスと、転送要求電文に指定された転送要求元のＩＰア
ドレスが一致した場合に、転送要求ＲＱの認証が成功す
る。転送要求ＲＱの認証が成功すると、転送要求認証部
１１は、復元したＩＰアドレスの１６進数表記の先頭に
英字‘ｓ’を付けて、格納ファイル名“ｓ０１０２０３
０４”を生成し、転送要求元のＩＰアドレス、ポート番
号と共に設定情報転送制御部１２に渡す。以後、設定情
報転送制御部１２がコンフィギュレーション設定情報の
転送を開始してから転送完了までの動作は、先述のシス
テム全体の動作と同様なので省略する。

【００３５】以上のように、この第１の実施形態のシス
テムで行うルータのコンフィギュレーション設定情報転
送方法では、ルータ２がホスト端末１へコンフィギュレ
ーション設定情報の書き込みを開始する前に、ルータ２
が送信した転送要求ＲＱをホスト端末１で認証し、認証
が成功したときに、コンフィギュレーション設定情報を
転送するようにしている。したがって、ホスト端末１が
管理する各ルータ２のコンフィギュレーション設定情報
の破壊や改竄を防止できる。また、このシステムでは、
ホスト端末１がルータ２へコンフィギュレーション設定
情報の読み出し転送を開始する前に、ルータ２が送信し
た転送要求ＲＱを、ホスト端末１の転送要求認証部１１
が認証するように構成されている。よって、各ルータ２
のコンフィギュレーション設定情報の漏洩を防止でき
る。

【００３６】［第２の実施形態］図５は、本発明の第２
の実施形態に係るシステムの構成を示すブロック図であ
る。このシステムは、第１の実施形態のシステムと同様
に、プログラム制御により動作するホスト端末１ａと、
ルータ２と、制御端末３ａと、ネットワーク４とから構
成されている。ただし、制御端末３ａの転送ファイル名
生成部３１は、時刻挿入処理部３１ａを含み、ホスト端
末１の転送要求認証部１１は、重複排除処理部１１ａを
含む。制御端末３ａの時刻挿入処理部３１ａは、現在時
刻を暗号鍵で暗号化し、暗号化した現在時刻を転送ファ
イル名に付加する。ホスト端末１ａの重複排除処理部１
１ａは、復号鍵を使用して、転送ファイル名に時刻挿入
処理部３１ａによって付加された時刻を抽出する。さら
に、重複排除処理部１１ａは、予め設定したしきい値よ
り古い転送要求を排除し、さらに、受理済みの転送ファ
イル名と同じ転送ファイル名を有する転送要求を排除す
る。

【００３７】この発明の第２の実施形態に係るシステム
の全体の動作は、基本的には第１の実施形態に係るシス
テムと同様であり、転送処理の流れは、図２または図３
に示すフローチャートで表される。ただし、制御端末３
ａは、転送ファイル名及び時刻情報を、転送ファイル名
生成部３１及び時刻挿入処理部３１ａで生成し、制御コ
マンドＣＭに付与する。また、ホスト端末１ａは、ネッ
トワークインタフェース部１０経由でルータ２から受信
した転送要求ＲＱを、転送要求認証部１１及び重複排除
処理部１１ａで認証する。次に、具体的な認証例を用い
てこのシステムの動作を説明する。図６に示すように、
ルータのＩＰアドレスを“１．２．３．４”、グリニッ
ジ標準時での現在時刻（ＧＭＴ）を０ｘ３８６ｄｅｃ４
０、暗号鍵と復号鍵を０ｘ１２３４５６７８とし、排他
的論理和と転置を組み合わせた暗号化方式を採用する。
この暗号化方式は、第１の実施形態に係るシステムの暗
号化方式と同様である。

【００３８】制御端末３ａの転送ファイル名生成部３１
は、ＩＰアドレス“１．２．３．４”と現在時刻０ｘ３
８６ｄｅｃ４０を３２ｂｉｔの整数値に置き換え、それ
ぞれ暗号鍵０ｘ１２３４５６７８との排他的論理和をと
る。図８（ａ）と図９（ａ）に示す表により、整数値１
３３６５５７ｃと整数値２ａ５９ｂａ３８が求まる。そ
れぞれに、暗号鍵から抽出した５組の転置を施すと、図
８（ｂ）と図９（ｂ）に示す表により、整数値７３５６
ｃ３１５及び整数値３ａｂ９８５２ａを得る。転送ファ
イル名生成部３１は、排他的論理和と転置を組み合わせ
た暗号化方式で得られた整数値７３５６ｃ３１５と整数
値３ａｂ９８５２ａとを、ハイフンで繋げて先頭に英字
‘ｔ’を付与し、転送ファイル名“ｔ７３５６ｃ３１５
−３ａｂ９８５２ａ”を生成する。以後、ホスト端末１
で転送要求を認証するまでは第１の実施形態に係るシス
テムの認証例と同様の処理を行う。

【００３９】ホスト端末１ａの転送要求認証部１１は、
復号鍵０ｘ１２３４５６７８を用いて、制御端末３の転
送ファイル名生成部３１が行った暗号化処理を逆に演算
することにより、暗号化されていたルータ２のＩＰアド
レスと現在時刻ＧＭＴとを復元する。転送要求認証部１
１は、復元したＩＰアドレスと、転送要求ＲＱ電文に指
定された転送要求元のＩＰアドレスが一致するか判別す
る。両方のＩＰアドレスが一致し、さらに、重複排除処
理部１１ａにより復元されたＧＭＴが、現在のＧＭＴの
前後１分以内であり、過去１分以内に受理した全ての転
送ファイル名と一致しない場合に、転送要求の認証が成
功する。転送要求の認証が成功すると、転送要求認証部
１１は、復元したＩＰアドレスの１６進数表記の先頭に
英字‘ｓ’を付けて格納ファイル名“ｓ０１０２０３０
４”を生成し、転送要求元のＩＰアドレス、ポート番号
と共に設定情報転送制御部１２に渡す。以後、このシス
テムは、設定情報転送制御部１２がコンフィギュレーシ
ョン設定情報の転送を開始してから転送完了まで第１の
実施形態に係るシステムと同様の処理をする。

【００４０】以上のように、この第２の実施形態では、
同一のルータが転送ファイル名を毎回変えるように構成
されている。従って、傍受などにより転送ファイル名が
漏洩した場合でもセキュリティを維持できる。

【００４１】

【発明の効果】以上詳細に説明したように、本発明によ
れば、転送要求にルータの識別情報を付加してそのホス
ト端末に与え、転送要求の正当性を判断させてからコン
フィギュレーション設定情報を転送するので、例えば、
ホスト端末にコンフィギュレーション設定情報を書き込
むときに、ホスト端末に格納された各ルータのコンフィ
ギュレーション設定情報の破壊や改竄を防止できる。そ
して、コンフィギュレーション設定情報をホスト端末か
ら読み出すときにも、同様に正当性を判断させてから転
送するようにしたので、各ルータのコンフィギュレーシ
ョン設定情報が不正によって漏洩することを防止でき
る。

【図面の簡単な説明】

【図１】本発明の第１の実施形態に係るシステムの構成
を示すブロック図である。

【図２】第１の実施形態に係るシステムにおける電文の
流れを示す図である（書き込み要求）。

【図３】第１の実施形態に係るシステムにおける電文の
流れを示す図である（読み出し要求）。

【図４】第１の実施形態に係るシステムの動作の具体例
を説明するための図である。

【図５】本発明の第２の実施形態に係るシステムの構成
を示すブロック図である。

【図６】第２の実施形態に係るシステムの動作の具体例
を説明するための図である。

【図７】従来の技術を説明するためのブロック図であ
る。

【図８】（ａ）、（ｂ）共に、ＩＰアドレスを暗号化処
理する説明のための表である。

【図９】（ａ）、（ｂ）共に、現在時刻を暗号化処理す
る説明のための表である。

【符号の説明】

１ホスト端末２ルータ３制御端末４ネットワーク５シリアルインタフェース１０ネットワークインタフェース部１１転送要求認証部１１ａ重複排除処理部１２設定情報転送制御部１３設定情報記憶部３０インタフェース部３１転送ファイル名生成部３１ａ時刻挿入処理部ＲＱ転送要求ＣＭ制御コマンド

Claims

【特許請求の範囲】

【請求項１】ネットワーク間を相互にそれぞれ接続する
複数のルータ、前記ネットワークを介して前記複数のル
ータに接続され、前記各ルータのコンフィギュレーショ
ン設定情報を格納して該各ルータの保守を行うホスト端
末、及び前記各ルータに接続されて該各ルータへ制御コ
マンドを投入する制御端末から構成されたシステムで、
前記制御コマンドに従い、前記ホスト端末から前記コン
フィギュレーション設定情報を読み出して任意の前記ル
ータへ転送し、任意の前記ルータから前記ホスト端末へ
前記コンフィギュレーション設定情報を転送して書き込
むルータのコンフィギュレーション設定情報転送方法に
おいて、前記コンフィギュレーション設定情報の読み出し或いは
書き込みに先立ち、前記ホスト端末に転送相手の情報を
含む転送要求に該転送要求を作成した前記ルータを識別
する識別情報を付加して該ルータから送信させ、前記ホスト端末に前記識別情報と前記転送相手の情報と
が一致するか否かを判定させて前記転送要求が正当か否
かを判断させ、前記判断の結果、前記転送要求が正当と判定された場合
にのみ前記ホスト端末と前記ルータとの間で前記コンフ
ィギュレーション設定情報を転送させることを特徴とす
るルータのコンフィギュレーション設定情報転送方法。
【請求項２】前記制御端末に、前記識別情報を転送ファ
イル名として作成させ、該転送ファイル名を前記制御コ
マンドに付加して前記ルータへ送出させる転送ファイル
名生成処理と、前記ルータに、前記制御コマンドの指示に従って前記転
送要求を作成させ、該転送要求に前記転送ファイル名を
付加して前記ホスト端末へ送信させる転送要求送信処理
と、前記ホスト端末に、前記ルータから受信した転送ファイ
ル名と前記転送要求に含まれる前記転送相手の情報とが
一致するか否かを判定させて該転送要求が正当か否かを
判断させる認証処理と、前記認証処理で前記転送要求が正当なものと判断された
ときにのみ、前記ルータと前記ホスト端末との間で前記
コンフィギュレーション設定情報を転送させる転送制御
処理とで構成したことを特徴とする請求項１記載のルー
タのコンフィギュレーション設定情報転送方法。
【請求項３】前記制御端末は、前記ネットワークにおけ
る前記ルータのアドレスに基づいて前記識別情報を作成
することを特徴とする請求項１または２記載のルータの
コンフィギュレーション設定情報転送方法。
【請求項４】前記制御端末は、前記識別情報を暗号化
し、前記ホスト端末では前記暗号化された識別情報を復号化
し、その復号結果と前記転送相手の情報とから前記転送
要求が正当か否かを判断することを特徴とする請求項１
乃至３のいずれか１項に記載のルータのコンフィギュレ
ーション設定情報転送方法。
【請求項５】前記識別情報に、当該識別情報を作成する
時刻を示す時刻情報を付加して暗号化して前記ホスト端
末へ送信し、前記ホスト端末では、前記時間情報に基づいて、過去に
受理した同一の識別情報が付加された転送要求を排除さ
せる重複排除処理を行うことを特徴とする請求項４記載
のルータのコンフィギュレーション設定情報転送方法。
【請求項６】ネットワーク間を接続するルータに対して
制御コマンドを与え、該ネットワークに接続されて該ル
ータのコンフィギュレーション設定情報を格納するホス
ト端末と該ルータとの間で該コンフィギュレーション設
定情報を転送させる制御端末において、前記ルータを識別する識別情報からなる転送ファイル名
を作成して前記制御コマンドとともに該ルータに与え、
該ルータが前記コンフィギュレーション設定情報を転送
する前に前記ホスト端末に与える転送相手の情報を含む
転送要求に、該転送ファイル名を付加して該ホスト端末
へ送信させる転送ファイル名生成部を有することを特徴
とする制御端末。
【請求項７】前記識別情報は、前記ルータのアドレスで
あることを特徴とする請求項６記載の制御端末。
【請求項８】前記転送ファイル名生成部は、前記識別情
報を暗号化して前記転送ファイル名を形成することを特
徴とする請求項６または７記載の制御端末。
【請求項９】前記転送ファイル名生成部は、前記ルータ
のアドレスを暗号化する時刻の時刻情報を暗号化し、該
暗号化した時刻情報を前記転送ファイル名に挿入する時
刻挿入処理部を有することを特徴とする請求項８記載の
制御端末。
【請求項１０】ネットワーク間を接続する複数のルータ
に該ネットワークを介して接続されるとともに該各ルー
タのコンフィギュレーション設定情報を格納する設定情
報記憶部を備え、前記複数のルータの保守を行うため
に、該各ルータとの間で前記コンフィギュレーション設
定情報を転送して前記設定情報記憶部に格納されたコン
フィギュレーション設定情報の読み出しと書き込みを行
うホスト端末において、前記読み出し或いは書き込みの前に任意の前記ルータか
ら前記ネットワークを介して送信された転送相手の情報
を含む前記転送要求と該転送要求の作成元のルータを識
別する識別情報から作成された転送ファイル名とを入力
し、該転送ファイル名と該転送相手の情報とが一致する
か否かを判定して該転送要求が正当であるか否かを判断
する転送要求認証部と、前記転送要求認証部が前記転送要求が正当であると判断
した場合にのみ、前記設定情報記憶部にアクセスして前
記転送要求を作成したルータとの間で前記コンフィギュ
レーション設定情報を転送させる設定情報転送制御部と
を、備えたことを特徴とするホスト端末。
【請求項１１】前記識別情報は、前記ルータのアドレス
から形成されていることを特徴とする請求項１０記載の
ホスト端末。
【請求項１２】前記転送ファイル名は、前記識別情報が
暗号化されて形成されていることを特徴とする請求項１
０または１１記載のホスト端末。
【請求項１３】前記転送ファイル名には、前記識別情報
に加えて前記ルータのアドレスが暗号化された時刻の時
刻情報が挿入され、前記転送要求認証部は、前記暗号化された識別情報及び
前記時刻情報から前記転送要求が正当であるか否かを判
断するとともに、過去に同一の識別情報が付加されて与
えられた転送要求を排除することを特徴とする請求項１
２記載のホスト端末。
【請求項１４】ネットワーク間を接続するルータに対し
て制御コマンドを与え、該ネットワークに接続されて該
ルータのコンフィギュレーション設定情報を格納するホ
スト端末と該ルータとの間で該コンフィギュレーション
設定情報を転送させるコンピュータに、前記ルータを識別する識別情報からなる転送ファイル名
を作成して前記制御コマンドとともに該ルータに与えさ
せるプログラムが記録されたコンピュータ読み取り可能
な記録媒体。
【請求項１５】前記識別情報は、前記ルータのアドレス
であることを特徴とする請求項１４記載のコンピュータ
読み取り可能な記録媒体。
【請求項１６】前記転送ファイル名を、前記識別情報を
暗号化して形成させることを特徴とする請求項１４また
は１５記載のコンピュータ読み取り可能な記録媒体。
【請求項１７】前記ルータのアドレスを暗号化する時刻
の時刻情報を暗号化し、該暗号化した時刻情報を前記転
送ファイル名に挿入させることを特徴とする請求項１６
記載のコンピュータ読み取り可能な記録媒体。
【請求項１８】ネットワーク間を接続する複数のルータ
に該ネットワークを介して接続されるとともに該各ルー
タのコンフィギュレーション設定情報を格納する設定情
報記憶部を備え、前記複数のルータの保守を行うため
に、該各ルータとの間で前記コンフィギュレーション設
定情報を転送して前記設定情報記憶部に格納されたコン
フィギュレーション設定情報の読み出しと書き込みを行
うコンピュータに、前記読み出し或いは書き込みの前に、任意の前記ルータ
から前記ネットワークを介して送信された転送相手の情
報を含む転送要求と該転送要求の作成元のルータを識別
する識別情報から作成された転送ファイル名とを入力
し、該転送ファイル名と該転送相手の情報とが一致する
か否かを判定させ該転送要求が正当であるか否かを判断
する転送要求認証処理と、前記転送要求認証処理により、前記転送要求が正当であ
ると判断した場合にのみ、前記設定情報記憶部にアクセ
スして前記転送要求を作成したルータとの間で前記コン
フィギュレーション設定情報を転送させる設定情報転送
制御処理とを行わせるプログラムが記録されたコンピュ
ータ読み取り可能な記録媒体。
【請求項１９】前記識別情報は、前記ルータのアドレス
から形成されていることを特徴とする請求項１８記載の
コンピュータ読み取り可能な記録媒体。
【請求項２０】前記転送ファイル名は、前記識別情報が
暗号化されて形成されていることを特徴とする請求項１
８または１９記載のコンピュータ読み取り可能な記録媒
体。
【請求項２１】前記転送ファイル名には、前記識別情報
に加えて前記ルータのアドレスが暗号化された時刻の時
刻情報が挿入され、前記転送要求認証処理では、前記暗号化された識別情報
及び前記時刻情報から前記転送要求が正当であるか否か
を判断させ、過去に同一の前記識別情報が付加されて与えられた転送
要求を排除する排除処理を行わせることを特徴とする請
求項２０記載のコンピュータ読み取り可能な記録媒体。