JP2003087297A - パケット転送装置およびパケット転送方法 - Google Patents

パケット転送装置およびパケット転送方法

Info

Publication number
JP2003087297A
JP2003087297A JP2001278475A JP2001278475A JP2003087297A JP 2003087297 A JP2003087297 A JP 2003087297A JP 2001278475 A JP2001278475 A JP 2001278475A JP 2001278475 A JP2001278475 A JP 2001278475A JP 2003087297 A JP2003087297 A JP 2003087297A
Authority
JP
Japan
Prior art keywords
packet
network
segment
destination
address
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2001278475A
Other languages
English (en)
Inventor
Masamichi Tateoka
正道 楯岡
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Toshiba Corp
Original Assignee
Toshiba Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Toshiba Corp filed Critical Toshiba Corp
Priority to JP2001278475A priority Critical patent/JP2003087297A/ja
Priority to US10/228,953 priority patent/US20030048783A1/en
Priority to EP02256003A priority patent/EP1294156B1/en
Priority to DE2002606720 priority patent/DE60206720T2/de
Publication of JP2003087297A publication Critical patent/JP2003087297A/ja
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Abstract

(57)【要約】 【課題】本発明は、接続対象となるネットワークセグメ
ントがそれぞれ異なるネットワークアドレス空間に属し
ていても、そのネットワーク相互間に於ける不正パケッ
トの転送防御機能をもつパケット転送動作を可能にした
フィルタ型ＩＤＳ機能を備えたパケット転送装置を提供
することを課題とする。 【解決手段】送出セグメント判定機構１６は、パケット
受信部１１で受信され、パケット解析機構１３で不正パ
ケットとして破棄されなかったパケットをパケット保留
キュー１４から取り出し、経路表（ＲＴ）を参照して、
パケットの宛先ネットワークアドレスから送出すべきネ
ットワークセグメントを判定し、ＭＡＣアドレス書換え
機構１７を介してパケット送出部１８へ渡す。ＭＡＣア
ドレス書換え機構１７は、受信パケットのＭＡＣアドレ
スを送出すべきセグメント上での宛先ネットワークアド
レスを持つ機器のＭＡＣアドレスに書換える。

Description

【発明の詳細な説明】
【０００１】
【発明の属する技術分野】本発明は、複数のネットワー
クセグメントの間に設けられて、ネットワークセグメン
ト相互間で転送されるパケットを監視するフィルタ型Ｉ
ＤＳ機能を備えたパケット転送装置およびパケット転送
方法に関する。
【０００２】
【従来の技術】従来、複数のネットワークセグメントに
接続されて、セグメント間でパケットを転送するパケッ
ト転送装置に於いて、サーバ計算機などを誤動作させる
要因を含んだ情報を持つ不正パケットの転送を防止する
フィルタ型ＩＤＳ（intrusiondetection system；不正
検知システム）の機能を持つものとして、図１０に示す
ようなパケット転送装置が提案されている。このパケッ
ト転送装置は、パケット受信部０２で受信したパケット
をパケット識別子付加機構０３を介してパケット保留キ
ュー０５に格納し、保留されたパケットが不正パケット
では無いことがパケット解析機構０４によって確認でき
たら、当該パケットをパケット送出部０６を介して送出
先セグメントへ送出する機能構成としている。
【０００３】従来のこの種、不正パケットの転送を防ぐ
ことのできるパケット転送装置は、接続するネットワー
ク相互が論理的に同一のネットワークに於いて適用され
るもので、異なるネットワークアドレス空間に属するネ
ットワーク相互間には適用できない。即ち、従来では、
パケット転送装置が接続されるネットワークセグメント
は、全て同じネットワークアドレス空間に属している必
要があった。不正パケットの転送を防ぐことのできるパ
ケット転送装置は、単一のネットワークアドレス空間内
に設置されることもあるが、組織外のネットワーク（外
部ネットワーク）と、組織内のネットワーク（内部ネッ
トワーク）の境界に設置されることも多い。この場合、
一般的には、外部ネットワークと内部ネットワークと
は、各々異なるネットワークアドレス空間に属する。し
たがって、従来の不正パケットの転送を防げるパケット
転送装置を用いるためには、異なるネットワークアドレ
ス空間のネットワークセグメント同士を接続可能とする
ための接続機構（ルータ等）が必要となり、システム全
体の構成が煩雑になってしまうという問題があった。ま
た、宛先として指定されたサーバ計算機などが、障害が
発生した等の理由によりサービスの継続ができなくなっ
た場合に、代替サーバへ、パケットを受け渡すことも困
難であった。
【０００４】
【発明が解決しようとする課題】上述したように、従来
では、サーバ計算機などを誤動作させる要因を含んだ情
報をもつ不正パケットの転送を防ぐことのできるフィル
タ型ＩＤＳ機能を備えたパケット転送装置に於いて、パ
ケット転送装置が接続されるネットワークセグメント
は、全て同じネットワークアドレス空間に属している必
要があり、異なるネットワークアドレス空間のネットワ
ークセグメント相互を接続可能にしようとすると、その
異なるネットワークアドレス空間のネットワークセグメ
ント相互の間を接続するための接続機構が必要となるこ
とから、システム全体の構成が煩雑になってしまうとい
う問題があった。
【０００５】本発明は上記実情に鑑みなされたもので、
接続対象となるネットワークセグメントがそれぞれ異な
るネットワークアドレス空間に属していても、そのネッ
トワーク相互間に於ける不正パケットの転送防御機能を
もつパケット転送動作を可能にした、経済的に有利なネ
ットワークシステムを構築できるフィルタ型ＩＤＳ機能
を備えたパケット転送装置およびパケット転送方法を提
供することを目的とする。
【０００６】
【課題を解決するための手段】上記目的を達成するため
に、本発明のパケット転送装置は、複数のネットワーク
セグメントの間に設けられ、ネットワークセグメント相
互間で転送されるパケットを監視するパケット転送装置
に於いて、前記ネットワークセグメント上のパケットを
受信し、一時保留するパケット保留手段と、前記受信パ
ケットの情報に、送出先ネットワークセグメントに接続
された装置のソフトウェアに対し誤動作させる要因を含
んでいるか否かを解析して、正常なパケットであるか否
かを判定するパケット解析手段と、前記受信パケットの
宛先ネットワークアドレスが属するネットワークアドレ
ス空間と送出セグメントとを対応付けた経路表を有し、
前記パケット解析手段により正常と判定された前記受信
パケットが前記パケット保留手段から渡された時、その
受信パケットの前記送信先ネットワークアドレスから前
記経路表に従って送出すべきネットワークセグメントを
決定する手段と、前記正常な受信パケットのＭＡＣアド
レスを前記送出すべきセグメント上の宛先ネットワーク
アドレスをもつ機器のＭＡＣアドレスに書換え、前記正
常な受信パケットを前記決定したネットワークセグメン
トに送出する手段とを具備することを特徴とする。
【０００７】また、本発明のパケット転送装置は、複数
のネットワークセグメントの間に設けられ、ネットワー
クセグメント相互間で転送されるパケットを監視するパ
ケット転送装置に於いて、前記ネットワークセグメント
上のパケットを受信するパケット受信手段と、前記パケ
ット受信手段で受信したパケットを一時保留するパケッ
ト保留手段と、前記パケット受信手段で受信したパケッ
トについて、送出先のネットワークセグメントに接続さ
れた装置のソフトウェアに対し誤動作させる要因を含ん
でいるか否かを解析し、正常なパケットであるか否かを
判定するパケット解析手段と、宛先ネットワークアドレ
スの属するネットワークアドレス空間と送出セグメント
との対応を記憶する経路表を有し、前記パケット解析手
段にて正常と判定されたパケットについて、当該パケッ
トの送信先ネットワークアドレスから前記経路表に従っ
て送出すべきネットワークセグメントを決定する手段
と、前記正常なパケットのＭＡＣアドレスを前記ネット
ワークセグメント上の宛先ネットワークアドレスをもつ
機器のＭＡＣアドレスに書換え、前記正常な受信パケッ
トを前記決定したネットワークセグメントに送出する手
段とを具備することを特徴とする。
【０００８】また、本発明のパケット転送装置は、複数
のネットワークセグメントの間に設けられ、ネットワー
クセグメント相互間で転送されるパケットを監視するパ
ケット転送装置に於いて、前記ネットワークセグメント
上のパケットを受信するパケット受信手段と、前記パケ
ット受信手段で受信したパケットについて、送出先のネ
ットワークセグメントに接続された装置のソフトウェア
に対し誤動作させる要因を含んでいるか否かを解析し、
正常なパケットであるか否かを判定するパケット解析手
段と、前記複数のネットワークセグメント各々に対応付
けて設けられた複数のパケット保留手段と、宛先ネット
ワークアドレスの属するネットワークアドレス空間と送
出セグメントの対応を記憶する経路表を有し、前記受信
パケットについて、当該パケットの送信先ネットワーク
アドレスから、前記経路表に従って送出すべきネットワ
ークセグメントを決定する送出セグメント決定手段と、
前記受信パケットについて、そのＭＡＣアドレスを、前
記ネットワークセグメント上の宛先ネットワークアドレ
スをもつ機器のＭＡＣアドレスに書換え、当該パケット
を前記送出ネットワークセグメントに対応して設けられ
た前記パケット保留手段に格納するパケット格納手段
と、前記パケット保留手段に保留された受信パケットの
内、前記パケット解析手段により正常と判定されたパケ
ットを前記決定したネットワークセグメントに送出する
手段とを具備することを特徴とする。
【０００９】また、本発明のパケット転送装置は、複数
のネットワークセグメントの間に設けられ、ネットワー
クセグメント相互間で転送されるパケットを監視するパ
ケット転送装置に於いて、前記ネットワークセグメント
上のパケットを受信するパケット受信手段と、前記パケ
ット受信手段で受信したパケットについて、送出先のネ
ットワークセグメントに接続された装置のソフトウェア
に対し誤動作させる要因を含んでいるか否かを解析し、
正常なパケットであるか否かを判定するパケット解析手
段と、前記複数のネットワークセグメント各々に対応付
けて設けられた複数のパケット保留手段と、宛先ネット
ワークアドレスの属するネットワークアドレス空間と送
出セグメントの対応を記憶する経路表を有し、前記パケ
ット解析手段により正常と判定された受信パケットにつ
いて、当該パケットの送信先ネットワークアドレスから
前記経路に従って送出すべきネットワークセグメントを
決定する送出セグメント決定手段と、前記正常なパケッ
トについて、そのＭＡＣアドレスを前記送出すべきネッ
トワークセグメント上の宛先ネットワークアドレスをも
つ機器のＭＡＣアドレスに書換え、前記送出すべきセグ
メントに対応して設けられた前記パケット保留手段に格
納するパケット格納手段と、前記パケット保留手段に保
留されたパケットを前記決定したネットワークセグメン
トに送出する手段とを具備することを特徴とする。
【００１０】また、本発明のパケット転送装置は、複数
のネットワークセグメントの間に設けられ、ネットワー
クセグメント相互間で転送されるパケットを監視するパ
ケット転送装置に於いて、前記ネットワークセグメント
上のパケットを受信するパケット受信手段と、前記パケ
ット受信手段で受信したパケットについて、送出先のネ
ットワークセグメントに接続された装置のソフトウェア
に対し誤動作させる要因を含んでいるか否かを解析し、
正常なパケットであるか否かを判定するパケット解析手
段と、前記複数のネットワークセグメント各々に対応付
けて設けられた複数のパケット保留手段と、宛先ネット
ワークアドレスの属するネットワークアドレス空間と送
出セグメントの対応を記憶する経路表を有し、前記受信
パケットについて、当該パケットの送信先ネットワーク
アドレスから、前記経路表に従って送出すべきネットワ
ークセグメントを決定する送出セグメント決定手段と、
前記正常な受信パケットについて、そのＭＡＣアドレス
を、前記送出すべきネットワークセグメント上の宛先ネ
ットワークアドレスをもつ機器のＭＡＣアドレスに書換
え、当該パケットを前記送出ネットワークセグメントに
対応して設けられた前記パケット保留手段に格納するパ
ケット格納手段と、前記パケット保留手段に保留された
受信パケットを前記決定したネットワークセグメントに
送出する手段とを具備することを特徴とする。
【００１１】上記した本発明のパケット転送装置によれ
ば、接続対象となるネットワークセグメントがそれぞれ
異なるネットワークアドレス空間に属していても、その
ネットワーク相互間に於ける不正パケットの転送防御機
能をもつパケット転送動作を可能にし、これにより、異
なるネットワークアドレス空間に属するネットワークセ
グメントの間を接続する際に、ルータ等のネットワーク
接続機構を必要とせず、経済的に有利なネットワークシ
ステムを構築できる。
【００１２】また、宛先として指定されたサーバ計算機
などが、障害が発生した等の理由によりサービスの継続
ができなくなった場合に、代替サーバへ、パケットを受
け渡すことが容易なパケット転送装置を実現することも
できる。
【００１３】
【発明の実施の形態】以下、図面を参照して本発明の実
施形態を説明する。
【００１４】図１は本発明の第１実施形態によるパケッ
ト転送装置の要部の構成要素を示すブロック図であり、
ここでは、受信パケットを送出すべきネットワークセグ
メントが複数存在する際に、その各ネットワークセグメ
ント（この例ではネットワークセグメント（Ｂ）とネッ
トワークセグメント（Ｃ））それぞれに対してパケット
保留キューを共通に設けた構成を例示している。
【００１５】この第１実施形態に於けるパケット転送装
置１０には、パケット受信部１１、パケット識別子付加
機構１２、パケット解析機構１３、パケット保留キュー
１４、送出セグメント判定機構１６、ＭＡＣアドレス書
換え機構１７等の構成要素に加え、２系の送出ネットワ
ークセグメント（Ｂ），（Ｃ）に対応して２つのパケッ
ト送出部１８，１８が設けられる。
【００１６】上記構成要素のうち、パケット受信部１１
は、ネットワークセグメント（Ａ）上に転送されるパケ
ットを受信する。パケット識別子付加機構１２は、パケ
ット受信部１１で受信したパケットに識別子を付加し
て、パケット保留キー１４およびパケット解析機構１３
に出力する。
【００１７】パケット解析機構１３は、パケット受信部
１１で受信したパケットの情報に、送出先のネットワー
クセグメント（（Ｂ），（Ｃ））に接続された装置のソ
フトウェアに対して誤動作させる要因を含んでいるか否
かを解析する。
【００１８】パケット保留キュー１４は、パケット識別
子付加機構１２によって識別子が付加されたパケット
を、パケット解析機構１３が、不正アクセスに関わるパ
ケットで無いことを判定するまで一時保留する。
【００１９】送出セグメント判定機構１６は、不正パケ
ットとして破棄されなかったパケットを、パケット保留
キュー１４から取り出し、後述する経路表（ＲＴ）を参
照して、パケットの宛先ネットワークアドレスから、送
出すべきネットワークセグメントを判定し、ＭＡＣアド
レス書換え機構１７を介してパケット送出部１８へ渡
す。
【００２０】ＭＡＣアドレス書換え機構１７は、受信パ
ケットのＭＡＣアドレスを、送出すべきセグメント上で
の宛先ネットワークアドレスを持つ機器のＭＡＣアドレ
スに書換える。
【００２１】パケット送出部１８は、ＭＡＣアドレスの
書換えが完了したパケットを、ネットワークセグメント
（Ｂ）若しくは（Ｃ）へ送出する。
【００２２】上記図１に示す第１実施形態のパケット転
送装置１０に於いて、送出セグメント判定機構１６に
は、図２に示すように、経路表（ＲＴ）と、経路表設定
機構（ＲＴ−ＳＵ）が設けられる。
【００２３】上記経路表（ＲＴ）には、図３に示すよう
に、宛先のネットワークアドレス空間と、そのネットワ
ークアドレス空間へアクセスするためのＧａｔｅｗａｙ
のネットワークアドレスと、送出すべきネットワークセ
グメントに接続されているパケット送出部名とがそれぞ
れ対応付けて格納されている。
【００２４】ここで上記第１実施形態に於けるパケット
転送装置１０のパケット転送処理動作を説明する。
【００２５】パケット転送装置１０の送出セグメント判
定機構１６には、図３に示すような内容の経路表（Ｒ
Ｔ）が設定されているものとする。
【００２６】パケット受信部１１は、ネットワークセグ
メント（Ａ）上のパケットを受信する。このパケット受
信部１１で受信したパケットが、例えばネットワークア
ドレス「１９２．１６８．１．１０」を持つサーバ計算
機宛てのパケットであるとする。
【００２７】上記パケット受信部１１で受信したパケッ
トは、パケット識別子付加機構１２により、識別子が付
加され、パケット保留キュー１４に格納される。
【００２８】パケット保留キュー１４に格納されたパケ
ットは、同時にパケット解析機構１３に送られ、送出先
のネットワークセグメント（（Ｂ），（Ｃ））に接続さ
れた装置のソフトウェアに対して誤動作させる要因を含
んだ不正パケットであるか否かが判別される。
【００２９】ここで、不正パケットであると判別された
場合、パケット保留キュー１４に格納された該当するパ
ケットは破棄され、そのパケット転送処理を終了する。
一方、不正パケットでは無いと判別された場合、当該パ
ケットは送出セグメント判定機構１６に渡される。
【００３０】送出セグメント判定機構１６では、図３に
示す経路表（ＲＴ）を参照して、当該パケットを送出す
るパケット送出部が「ｅｔｈｅｒ１」であることを判定
する。
【００３１】次いで、当該パケットは、ＭＡＣアドレス
書換え機構１７で、宛先ネットワークアドレス「１９
２．１６８．１．１０」を持つサーバ計算機のＭＡＣア
ドレスに書換えられ、上記判定された「ｅｔｈｅｒ１」
のパケット送出部１８からネットワークセグメント
（Ｂ）送出される。
【００３２】このようにして、パケット転送装置１０が
接続されるネットワークセグメントが、それぞれ異なる
ネットワークアドレス空間に属していても、サーバ計算
機などを誤動作させる要因を含んだ情報を持つ不正パケ
ットの転送を防御して、パケット転送を行うことのでき
るフィルタ型ＩＤＳ機能をもつパケット転送装置が実現
できる。
【００３３】次に、本発明の第２実施形態を説明する。
【００３４】図４は本発明の第２実施形態によるパケッ
ト転送装置の要部の構成要素を示すブロック図であり、
ここでは、受信パケットを送出すべきネットワークセグ
メントが複数存在する際に、その各ネットワークセグメ
ントそれぞれに対してパケット保留キューが設けられた
構成を例示している。
【００３５】この第２実施形態に於けるパケット転送装
置２０には、パケット受信部２１、パケット識別子付加
機構２２、パケット解析機構２３、送出セグメント判定
機構２６、ＭＡＣアドレス書換え機構２７等の構成要素
に加え、２系の送出ネットワークセグメント（Ｂ），
（Ｃ）に対応して、２つのパケット保留キュー２４，２
４、およびパケット送出部２８，２８が設けられてい
る。これら各構成要素のうち、上述した第１実施形態と
同一の構成要素については、その動作の説明を省略す
る。
【００３６】送出セグメント判定機構２６は、図２に示
すように、経路表（ＲＴ）と、経路表設定機構（ＲＴ−
ＳＵ）を備え、経路表（ＲＴ）を参照して、パケット識
別子付加機構２２により識別子が付加されたパケットに
ついて、そのパケットの宛先ネットワークアドレスか
ら、送出すべきネットワークセグメントを判定し、当該
パケットをＭＡＣアドレス書換え機構２７を介して送出
すべきネットワークセグメント（ネットワークセグメン
ト（Ｂ）若しくはネットワークセグメント（Ｃ））に対
応するパケット保留キュー２４に格納する。
【００３７】ＭＡＣアドレス書換え機構２７は、受信パ
ケットのＭＡＣアドレスを、送出すべきセグメント（ネ
ットワークセグメント（Ｂ）若しくはネットワークセグ
メント（Ｃ））上での宛先ネットワークアドレスを持つ
機器のＭＡＣアドレスに書換える。
【００３８】パケット保留キュー２４，２４は、送出セ
グメント判定機構２６によって格納されたパケットを、
パケット解析機構２３が、不正アクセスに関わるパケッ
トで無いことを判定するまで一時保留する。
【００３９】パケット送出部２８，２８は、パケット解
析機構２３が、不正アクセスに関わるパケットで無いこ
とを判定したパケットを、パケット保留キュー２４から
取り出し、対応するネットワークセグメント（Ｂ）若し
くはネットワークセグメント（Ｃ）に送出する。
【００４０】ここで上記第２実施形態に於けるパケット
転送装置２０のパケット転送処理動作を説明する。
【００４１】パケット転送装置２０の送出セグメント判
定機構２６には、図３に示すような内容の経路表（Ｒ
Ｔ）が設定されているものとする。そして、パケット受
信部２１は、ネットワークセグメント（Ａ）上のパケッ
トを受信する。このパケット受信部１１で受信したパケ
ットが、例えばネットワークアドレス「１９２．１６
８．１．１０」を持つサーバ計算機宛てのパケットであ
るとする。
【００４２】上記パケット受信部２１で受信したパケッ
トは、パケット識別子付加機構２２により、識別子が付
加され、送出セグメント判定機構２６に渡される。
【００４３】送出セグメント判定機構２６では、図３に
示す経路表（ＲＴ）を参照して、当該パケットを送出す
るパケット送出部が「ｅｔｈｅｒ１」であることを判定
する。
【００４４】次いで、当該パケットは、ＭＡＣアドレス
書換え機構２７で、宛先ネットワークアドレス「１９
２．１６８．１．１０」を持つサーバ計算機のＭＡＣア
ドレスに書換えられ、上記判定された「ｅｔｈｅｒ１」
のパケット送出部２８に対応するパケット保留キュー２
４（ネットワークセグメント（Ｂ）側）に格納される。
【００４５】パケット保留キュー２４に格納されたパケ
ットは、パケット解析機構２３により不正パケットであ
るか否かが判別される。ここで不正パケットであると判
別された場合、パケット保留キュー２４に格納された該
当するパケットは破棄され、そのパケット転送処理を終
了する。また、不正パケットでは無いと判別された場
合、当該パケットは、当該パケットが格納されたパケッ
ト保留キュー２４（ネットワークセグメント（Ｂ）側）
に対応する「ｅｈｔｅｒ１」のパケット送出部２８から
ネットワークセグメント（Ｂ）上に送出される。
【００４６】このようにして、パケット転送装置２０が
接続されるネットワークセグメントが、それぞれ異なる
ネットワークアドレス空間に属していても、サーバ計算
機などを誤動作させる要因を含んだ情報を持つ不正パケ
ットの転送を防御して、パケット転送を行うことのでき
るフィルタ型ＩＤＳ機能をもつパケット転送装置が実現
できる。
【００４７】次に本発明の第３実施形態を説明する。
【００４８】図５は本発明の第３実施形態によるパケッ
ト転送装置の要部の構成要素を示すブロック図であり、
ここでは、送出セグメント判定機構の前段に、ネットワ
ークアドレスを書き換えるための対応表を備えたネット
ワークアドレス変換手段が設けられた構成を例示してい
る。
【００４９】この第３実施形態に於けるパケット転送装
置３０には、パケット受信部３１、パケット識別子付加
機構３２、パケット解析機構３３、パケット保留キュー
３４、ネットワークアドレス書換え機構３５、送出セグ
メント判定機構３６、ＭＡＣアドレス書換え機構３７等
の構成要素に加え、２系の送出ネットワークセグメント
（Ｂ），（Ｃ）に対応して２つのパケット送出部３８，
３８が設けられる。これら各構成要素のうち、上述した
各実施形態と同一の構成要素については、その動作の説
明を省略する。
【００５０】パケット保留キュー３４は、パケット識別
子付加機構３２によって、識別子が付加されたパケット
を、パケット解析機構３３が、不正アクセスに関わるパ
ケットで無いことを判定するまで一時保留する。
【００５１】ネットワークアドレス書換え機構３５は、
ネットワークアドレスを書き換えるための対応表（Ｃ
Ｔ）を備え、不正パケットとして破棄されなかったパケ
ットのネットワークアドレスを対応表（ＣＴ）の内容に
従い変更する。
【００５２】送出セグメント判定機構３６は、図２に示
すように、経路表（ＲＴ）と、経路表設定機構（ＲＴ−
ＳＵ）を備え、不正パケットとして破棄されなかったパ
ケットを、パケット保留キュー３４から取り出し、経路
表（ＲＴ）を参照して、当該パケットの宛先ネットワー
クアドレスから、送出すべきネットワークセグメント
（（Ｂ），（Ｃ））を判定し、ＭＡＣアドレス書換え機
構３７を介してパケット送出部３８へ渡す。
【００５３】ＭＡＣアドレス書換え機構３７は、受信パ
ケットのＭＡＣアドレスを、送出すべきセグメント上で
の宛先ネットワークアドレスを持つ機器のＭＡＣアドレ
スに書換える。
【００５４】パケット送出部３８，３８は、ＭＡＣアド
レスの書換えが完了したパケットを、接続されたネット
ワークセグメント（Ｂ）若しくはネットワークセグメン
ト（Ｃ）へ送出する。
【００５５】上記ネットワークアドレス書換え機構３５
に設けられた、ネットワークアドレスを書換えるための
対応表（ＣＴ）に格納される内容例を図６に示す。対応
表（ＣＴ）には、宛先のサービス番号（ここでは、ＨＴ
ＴＰ，ＳＭＴＰ）と、書換え後のネットワークアドレス
（ここでは、「１９２．１６８．１．１２０」「１９
２．１６８．１．１３１」）が対応付けて格納される。
【００５６】このネットワークアドレス変換手段３５に
設けられた対応表（ＣＴ）に於ける、ＨＴＴＰサーバに
障害が発生した後の内容例を図７に示す。対応表（Ｃ
Ｔ）のＨＴＴＰアクセス時に於いて、パケットの宛先を
書換えるアドレスが、代替サーバのアドレス「１９２．
１６８．１．１２１」に修正されていることが分かる。
【００５７】上記ネットワークアドレス変換手段３５に
設けられた対応表（ＣＴ）に於ける、他の内容例を図８
に示す。ここでは、対応表（ＣＴ）に、宛先のネットワ
ークアドレスと宛先のサービス番号と書換え後のネット
ワークアドレスとがそれぞれ対応付けて格納されてい
る。
【００５８】ここで上記第３実施形態に於けるパケット
転送装置３０のパケット転送処理動作を説明する。
【００５９】パケット転送装置３０に於いて、送出セグ
メント判定機構３６には、図３に示すような内容の経路
表（ＲＴ）が設定され、ネットワークアドレス書換え機
構３５には、図６に示すような内容の対応表（ＣＴ）が
設定されているものとする。
【００６０】パケット受信部３１は、ネットワークセグ
メント（Ａ）上のパケットを受信する。このパケット受
信部３１で受信したパケットが、例えばネットワークア
ドレス「１９２．１６８．０．１」を持つサーバ計算機
宛てのパケットであり、その宛先サービス番号が「ＨＴ
ＴＰ」であるとする。
【００６１】上記パケット受信部３１で受信したパケッ
トは、パケット識別子付加機構３２により、識別子が付
加され、パケット保留キュー３４に格納される。パケッ
ト保留キュー３４に格納されたパケットは、同時にパケ
ット解析機構３３に送られ、不正パケットであるか否か
が判別される。ここで不正パケットであると判別された
場合、パケット保留キュー３４に格納された該当パケッ
トは破棄され、そのパケット転送処理が終了する。ま
た、不正パケットでは無い（正常パケット）と判別され
た場合、当該パケットはネットワークアドレス書換え機
構３５に渡される、ネットワークアドレス書換え機構３
５では、図６に示す対応表（ＣＴ）を参照して、当該パ
ケットの宛先ネットワークアドレスをＨＴＴＰのサービ
ス番号である「１９２．１６８．１．１２０」に書換
え、送出セグメント判定機構３６に渡す。
【００６２】送出セグメント判定機構３６では、図３に
示す経路表（ＲＴ）を参照して、当該パケットを送出す
るパケット送出部は「ｅｔｈｅｒ１」であることを判定
する。次いで、当該パケットは、ＭＡＣアドレス書換え
機構３７で、宛先ネットワークアドレス「１９２．１６
８．１．１２０」を持つサーバ計算機のＭＡＣアドレス
に書換えられ、上記判定した「ｅｔｈｅｒ１」のパケッ
ト送出部３８（ネットワークセグメント（Ｂ）側）から
送出される。
【００６３】このようにして、パケット転送装置３０が
接続されるネットワークセグメントが、それぞれ異なる
ネットワークアドレス空間に属していても、受信したパ
ケットを対応するサーバへ転送可能にして、かつサーバ
計算機などを誤動作させる要因を含んだ情報を持つ不正
パケットの転送を防御した、フィルタ型ＩＤＳ機能をも
つパケット転送装置が実現できる。
【００６４】次に、上記ネットワークシステムに於い
て、「１９２．１６８．１．１２０」のネットワークア
ドレスを持つサーバに障害が発生したとする。この障害
に対応するため、上記ネットワークアドレス書換え機構
３５の持つ対応表（ＣＴ）を図７のように書換える。こ
の書換えは、シリアルインターフェース、自身のネット
ワークインタフェース、あるいは、転送対象のネットワ
ークインタフェースからの対応表更新指示によって可能
である。
【００６５】ここで、障害発生前と同様に、本装置のネ
ットワークアドレス「１９２．１６８．０．１」を宛先
ネットワークアドレスとし、その宛先サービス番号が
「ＨＴＴＰ」であるパケットが受信されたとする。
【００６６】ネットワークアドレス書換え機構３５で
は、図７に示す対応表（ＣＴ）を参照して、当該パケッ
トの宛先ネットワークアドレスを、代替サーバのネット
ワークアドレスである「１９２．１６８．１．１２１」
に書換え、送出セグメント判定機構３６に渡す。
【００６７】送出セグメント判定機構３６では、図３に
示す経路表（ＲＴ）を参照して、当該パケットを送出す
るパケット送出部は「ｅｔｈｅｒ１」（このケースでは
変わらない）であることを判定する。次いで、当該パケ
ットは、ＭＡＣアドレス書換え機構３７で、宛先ネット
ワークアドレス「１９２．１６８．１．１２１」を持つ
代替サーバ計算機のＭＡＣアドレスに書換えられ、「ｅ
ｔｈｅｒ１」のパケット送出部３８（ネットワークセグ
メント（Ｂ）側）から送出される。
【００６８】このようにして、宛先として指定されたサ
ーバ計算機などが、障害が発生した等の理由により、サ
ービスの継続ができなくなった場合に於いて、代替サー
バへ、パケットを受け渡すことが容易なパケット転送装
置が実現できる。
【００６９】尚、上記ネットワークアドレス書換え機構
３５に設けられた対応表（ＣＴ）には、図８のような宛
先ネットワークアドレスを持つこともできる。この際、
ネットワークアドレスの書換えの対象となるのは、本装
置のネットワークアドレス「１９２．１６８．０．１」
を宛先ネットワークアドレスとするパケットではなく、
図８に示した対応表（ＣＴ）に格納された宛先ネットワ
ークアドレスを持つパケットとなる。例えば、宛先ネッ
トワークアドレスとして、「１９２．１６８．０．１
１」をもち、宛先サービス番号として「ＨＴＴＰ」をも
つパケットは、ネットワークアドレス書換え機構３５に
よって、宛先ネットワークアドレスが「１９２．１６
８．１．１２０」へ書換えられることになる。
【００７０】このようにすることで、パケット転送装置
３０が接続されるネットワークセグメントが、それぞれ
異なるネットワークアドレス空間に属していても、任意
のネットワークアドレスを宛先に持つパケットを対応す
るサーバへ転送可能で、かつサーバ計算機などを誤動作
させる要因を含んだ情報を持つ不正パケットの転送を防
御できるフィルタ型ＩＤＳ機能をもつパケット転送装置
が実現できる。
【００７１】次に本発明の第４実施形態を説明する。
【００７２】図９は本発明の第４実施形態によるパケッ
ト転送装置の要部の構成要素を示すブロック図であり、
ここでは、送出セグメント判定機構の前段に、ネットワ
ークアドレスを書き換えるための対応表ＣＴを備えたネ
ットワークアドレス変換機構４５が設けられるととも
に、パケット保留キューが送出ネットワークセグメント
（（Ｂ），（Ｃ））毎に設けられた構成を例示してい
る。
【００７３】この第４実施形態に於けるパケット転送装
置４０には、パケット受信部４１、パケット識別子付加
機構４２、パケット解析機構４３、ネットワークアドレ
ス書換え機構４５、送出セグメント判定機構４６、ＭＡ
Ｃアドレス書換え機構４７等の構成要素に加え、２系の
送出ネットワークセグメント（Ｂ），（Ｃ）に対応し
て、２つのパケット保留キュー４４，４４、およびパケ
ット送出部４８，４８が設けられている。これら各構成
要素のうち、上述した各実施形態と同一の構成要素につ
いては、その動作の説明を省略する。
【００７４】ネットワークアドレス書換え機構４５は、
ネットワークアドレスを書き換えるための対応表（Ｃ
Ｔ）を備え、パケット識別子付加装置４２によって識別
子を付加されたパケットのネットワークアドレスを対応
表（ＣＴ）の内容に従い変更する。
【００７５】送出セグメント判定機構４６は、図２に示
すように、経路表（ＲＴ）と、経路表設定機構（ＲＴ−
ＳＵ）を備え、ネットワークアドレス書換え機構４５に
よってアドレス変換処理されたパケットについて、経路
表（ＲＴ）を参照して、当該パケットの宛先ネットワー
クアドレスから、送出すべきネットワークセグメントを
判定し、当該パケットをＭＡＣアドレス書換え機構４７
を介して送出すべきネットワークセグメント（（Ｂ），
（Ｃ））に対応するパケット保留キュー４４に格納す
る。
【００７６】ＭＡＣアドレス書換え機構４７は、受信パ
ケットのＭＡＣアドレスを、送出すべきセグメント上に
接続される宛先機器のＭＡＣアドレスに書換える。
【００７７】パケット保留キュー４４，４４は、送出セ
グメント判定機構４６によって処理されたパケットを、
パケット解析機構４３が、不正アクセスに関わるパケッ
トで無いことを判定するまで一時保留する。
【００７８】パケット送出部４８，４８は、パケット解
析機構４３が不正アクセスに関わるパケットで無いこと
を判定したパケットをパケット保留キュー４４から取り
出し、ネットワークセグメント（（Ｂ），（Ｃ））に送
出する。
【００７９】ここで上記第４実施形態に於けるパケット
転送装置４０のパケット転送処理動作を説明する。
【００８０】パケット転送装置４０に於いて、送出セグ
メント判定機構４６には、図３に示すような内容の経路
表（ＲＴ）が設定され、ネットワークアドレス書換え機
構４５には、図６に示すような内容の対応表（ＣＴ）が
設定されているものとする。
【００８１】パケット受信部４１は、ネットワークセグ
メント（Ａ）上のパケットを受信する。ここで、パケッ
ト受信部４１が、本装置のネットワークアドレス「１９
２．１６８．０．１」を宛先ネットワークアドレスと
し、その宛先サービス番号が「ＨＴＴＰ」であるパケッ
トを受信したものとする。
【００８２】上記パケット受信部４１で受信したパケッ
トは、パケット識別子付加機構４２により、識別子がを
付加され、ネットワークアドレス書換え機構４５に渡さ
れる。
【００８３】ネットワークアドレス書換え機構４５で
は、図６に示す対応表（ＣＴ）を参照して、当該パケッ
トの宛先ネットワークアドレスを「１９２．１６８．
１．１２０」に書換え、当該パケットを送出セグメント
判定機構４６に渡す。
【００８４】送出セグメント判定機構４６では、図３に
示す経路表（ＲＴ）を参照して、ＨＴＴＰパケットであ
ることを判別して、当該パケットを送出するパケット送
出部は「ｅｔｈｅｒ１」であることを判定する。次い
で、当該パケットは、ＭＡＣアドレス書換え機構４７
で、宛先ネットワークアドレス「１９２．１６８．１．
１２０」を持つサーバ計算機のＭＡＣアドレスに書換え
られ、「ｅｔｈｅｒ１」のパケット送出部４８に対応す
るパケット保留キュー４４（ネットワークセグメント
（Ｂ）側）に格納される。
【００８５】パケット保留キュー４４格納されたパケッ
トは、パケット解析機構４３により、不正パケットであ
るか否かが判別される。ここで、不正パケットであると
判別された場合には、パケット保留キュー４４に格納さ
れた該当パケットは破棄され、そのパケット転送処理が
終了する。また、不正パケットでは無いと判別された場
合、当該パケットは、当該パケットか格納されたパケッ
ト保留キュー４４に対応する「ｅｈｔｅｒ１」のパケッ
ト送出部４８（ネットワークセグメント（Ｂ）側）から
送出される。
【００８６】このようにして、パケット転送装置が接続
されるネットワークセグメントが、それぞれ異なるネッ
トワークアドレス空間に属していても、受信したパケッ
トを対応するサーバへ転送可能にして、かつサーバ計算
機などを誤動作させる要因を含んだ情報を持つ不正パケ
ットの転送を防御した、フィルタ型ＩＤＳ機能をもつパ
ケット転送装置が実現できる。
【００８７】
【発明の効果】以上詳記したように本発明によれば、複
数のネットワークセグメントの間に設けられ、ネットワ
ークセグメント相互間で転送されるパケットを監視する
パケット転送装置に於いて、接続対象となるネットワー
クセグメントがそれぞれ異なるネットワークアドレス空
間に属していても、そのネットワーク相互間に於ける不
正パケットの転送防御機能をもつパケット転送動作を可
能にしたことにより、経済的に有利な構成でネットワー
クシステムを構築できる。
【図面の簡単な説明】
【図１】本発明の第１実施形態によるパケット転送装置
の要部の構成要素を示すブロック図。
【図２】本発明の第１実施形態乃至第４実施形態に於け
る送出セグメント判定機構の内部構成要素を示すブロッ
ク図。
【図３】上記図２に示す送出セグメント判定機構に設け
られた経路表（ＲＴ）の内容例を示す図。
【図４】本発明の第２実施形態によるパケット転送装置
の要部の構成要素を示すブロック図。
【図５】本発明の第３実施形態によるパケット転送装置
の要部の構成要素を示すブロック図。
【図６】本発明の第３実施形態および第４実施形態に於
けるネットワークアドレス書換え機構に設けられた対応
表（ＣＴ）の内容例を示す図。
【図７】上記図６に示した対応表（ＣＴ）の内容変更例
を示す図。
【図８】本発明の第３実施形態および第４実施形態に於
けるネットワークアドレス書換え機構に設けられた対応
表（ＣＴ）の他の内容例を示す図。
【図９】本発明の第４実施形態によるパケット転送装置
の要部の構成要素を示すブロック図。
【図１０】従来のパケット転送装置の構成を示すブロッ
ク図。
【符号の説明】
１０，２０，３０，４０…パケット転送装置 １１，２１，３１，４１…パケット受信部 １２，２２，３２，４２…パケット識別子付加機構 １３，２３，３３，４３…パケット解析機構 １４，２４，３４，４４…パケット保留キュー １６，２６，３６，４６…送出セグメント判定機構 １７，２７，３７，４７…ＭＡＣアドレス書換え機構 １８，２８，３８，４８…パケット送出部 ３５，４５…ネットワークアドレス書換え機構 ＲＴ…経路表 ＲＴ−ＳＵ…経路表設定機構 ＣＴ…対応表

Claims (14)

    【特許請求の範囲】
  1. 【請求項１】 複数のネットワークセグメントの間に設
    けられ、ネットワークセグメント相互間で転送されるパ
    ケットを監視するパケット転送装置に於いて、 前記ネットワークセグメント上のパケットを受信し、一
    時保留するパケット保留手段と、 前記受信パケットの情報に、送出先ネットワークセグメ
    ントに接続された装置のソフトウェアに対し誤動作させ
    る要因を含んでいるか否かを解析して、正常なパケット
    であるか否かを判定するパケット解析手段と、 前記受信パケットの宛先ネットワークアドレスが属する
    ネットワークアドレス空間と送出セグメントとを対応付
    けた経路表を有し、前記パケット解析手段により正常と
    判定された前記受信パケットが前記パケット保留手段か
    ら渡された時、その受信パケットの前記送信先ネットワ
    ークアドレスから前記経路表に従って送出すべきネット
    ワークセグメントを決定する手段と、前記正常な受信パ
    ケットのＭＡＣアドレスを前記送出すべきセグメント上
    の宛先ネットワークアドレスをもつ機器のＭＡＣアドレ
    スに書換え、前記正常な受信パケットを前記決定したネ
    ットワークセグメントに送出する手段とを具備すること
    を特徴とするパケット転送装置。
  2. 【請求項２】 複数のネットワークセグメントの間に設
    けられ、ネットワークセグメント相互間で転送されるパ
    ケットを監視するパケット転送装置に於いて、 前記ネットワークセグメント上のパケットを受信するパ
    ケット受信手段と、 前記パケット受信手段で受信したパケットを一時保留す
    るパケット保留手段と、 前記パケット受信手段で受信したパケットについて、送
    出先のネットワークセグメントに接続された装置のソフ
    トウェアに対し誤動作させる要因を含んでいるか否かを
    解析し、正常なパケットであるか否かを判定するパケッ
    ト解析手段と、 宛先ネットワークアドレスの属するネットワークアドレ
    ス空間と送出セグメントとの対応を記憶する経路表を有
    し、前記パケット解析手段にて正常と判定されたパケッ
    トについて、当該パケットの送信先ネットワークアドレ
    スから前記経路表に従って送出すべきネットワークセグ
    メントを決定する手段と、前記正常なパケットのＭＡＣ
    アドレスを前記ネットワークセグメント上の宛先ネット
    ワークアドレスをもつ機器のＭＡＣアドレスに書換え、
    前記正常な受信パケットを前記決定したネットワークセ
    グメントに送出する手段とを具備することを特徴とする
    パケット転送装置。
  3. 【請求項３】 複数のネットワークセグメントの間に設
    けられ、ネットワークセグメント相互間で転送されるパ
    ケットを監視するパケット転送装置に於いて、 前記ネットワークセグメント上のパケットを受信するパ
    ケット受信手段と、 前記パケット受信手段で受信したパケットについて、送
    出先のネットワークセグメントに接続された装置のソフ
    トウェアに対し誤動作させる要因を含んでいるか否かを
    解析し、正常なパケットであるか否かを判定するパケッ
    ト解析手段と、 前記複数のネットワークセグメント各々に対応付けて設
    けられた複数のパケット保留手段と、 宛先ネットワークアドレスの属するネットワークアドレ
    ス空間と送出セグメントの対応を記憶する経路表を有
    し、前記受信パケットについて、当該パケットの送信先
    ネットワークアドレスから、前記経路表に従って送出す
    べきネットワークセグメントを決定する送出セグメント
    決定手段と、 前記受信パケットについて、そのＭＡＣアドレスを、前
    記ネットワークセグメント上の宛先ネットワークアドレ
    スをもつ機器のＭＡＣアドレスに書換え、当該パケット
    を前記送出ネットワークセグメントに対応して設けられ
    た前記パケット保留手段に格納するパケット格納手段
    と、 前記パケット保留手段に保留された受信パケットの内、
    前記パケット解析手段により正常と判定されたパケット
    を前記決定したネットワークセグメントに送出する手段
    とを具備することを特徴とするパケット転送装置。
  4. 【請求項４】 複数のネットワークセグメントの間に設
    けられ、ネットワークセグメント相互間で転送されるパ
    ケットを監視するパケット転送装置に於いて、 前記ネットワークセグメント上のパケットを受信するパ
    ケット受信手段と、 前記パケット受信手段で受信したパケットについて、送
    出先のネットワークセグメントに接続された装置のソフ
    トウェアに対し誤動作させる要因を含んでいるか否かを
    解析し、正常なパケットであるか否かを判定するパケッ
    ト解析手段と、 前記複数のネットワークセグメント各々に対応付けて設
    けられた複数のパケット保留手段と、 宛先ネットワークアドレスの属するネットワークアドレ
    ス空間と送出セグメントの対応を記憶する経路表を有
    し、前記パケット解析手段により正常と判定された受信
    パケットについて、当該パケットの送信先ネットワーク
    アドレスから前記経路に従って送出すべきネットワーク
    セグメントを決定する送出セグメント決定手段と、 前記正常なパケットについて、そのＭＡＣアドレスを前
    記送出すべきネットワークセグメント上の宛先ネットワ
    ークアドレスをもつ機器のＭＡＣアドレスに書換え、前
    記送出すべきセグメントに対応して設けられた前記パケ
    ット保留手段に格納するパケット格納手段と、 前記パケット保留手段に保留されたパケットを前記決定
    したネットワークセグメントに送出する手段とを具備す
    ることを特徴とするパケット転送装置。
  5. 【請求項５】 複数のネットワークセグメントの間に設
    けられ、ネットワークセグメント相互間で転送されるパ
    ケットを監視するパケット転送装置に於いて、 前記ネットワークセグメント上のパケットを受信するパ
    ケット受信手段と、 前記パケット受信手段で受信したパケットについて、送
    出先のネットワークセグメントに接続された装置のソフ
    トウェアに対し誤動作させる要因を含んでいるか否かを
    解析し、正常なパケットであるか否かを判定するパケッ
    ト解析手段と、 前記複数のネットワークセグメント各々に対応付けて設
    けられた複数のパケット保留手段と、 宛先ネットワークアドレスの属するネットワークアドレ
    ス空間と送出セグメントの対応を記憶する経路表を有
    し、前記受信パケットについて、当該パケットの送信先
    ネットワークアドレスから、前記経路表に従って送出す
    べきネットワークセグメントを決定する送出セグメント
    決定手段と、 前記正常な受信パケットについて、そのＭＡＣアドレス
    を、前記送出すべきネットワークセグメント上の宛先ネ
    ットワークアドレスをもつ機器のＭＡＣアドレスに書換
    え、当該パケットを前記送出ネットワークセグメントに
    対応して設けられた前記パケット保留手段に格納するパ
    ケット格納手段と、 前記パケット保留手段に保留された受信パケットを前記
    決定したネットワークセグメントに送出する手段とを具
    備することを特徴とするパケット転送装置。
  6. 【請求項６】 前記請求項２記憶のパケット転送装置に
    於いて、前記パケット送出制御手段は、受信パケットの
    宛先サービス番号と書換え後の宛先ネットワークアドレ
    スの対応表を設定し保持する手段と、前記受信パケット
    のＭＡＣアドレスの書換えの前に、前記対応表に従い当
    該パケットの宛先サービス番号に対応する宛先ネットワ
    ークアドレスに書換える手段とを具備することを特徴と
    するパケット転送装置。
  7. 【請求項７】 前記請求項３乃至５のいずれかに記憶の
    パケット転送装置に於いて、パケット格納手段は、受信
    パケットの宛先サービス番号と書換え後の宛先ネットワ
    ークアドレスの対応表を設定し保持する手段と、前記受
    信パケットのＭＡＣアドレスの書換えの前に、前記対応
    表に従い当該パケットの宛先サービス番号に対応する宛
    先ネットワークアドレスに書換える手段とを具備するこ
    とを特徴とするパケット転送装置。
  8. 【請求項８】 前記請求項６または７のいずれかに記憶
    のパケット転送装置に於いて、前記対応表は、受信パケ
    ットの宛先ネットワークアドレスおよび宛先サービス番
    号と書換え後の宛先ネットワークアドレスの対応が記憶
    され、前記受信パケットの宛先ネットワークアドレスお
    よび宛先サービス番号に対応する宛先ネットワークアド
    レスに書換える手段を具備することを特徴とするパケッ
    ト転送装置。
  9. 【請求項９】 前記請求項６乃至８のいずれかに記憶の
    パケット転送装置に於いて、パケットの宛先サービス番
    号と宛先ネットワークアドレスの対応表を設定する手段
    は、シリアルインターフェース、自身のネットワークイ
    ンタフェース、あるいは、転送対象のネットワークイン
    タフェースからの前記対応表の更新指示を受信し、前記
    対応表を更新する手段とを具備することを特徴とするパ
    ケット転送装置。
  10. 【請求項１０】 複数のネットワークセグメントの間に
    設けられ、ネットワークセグメント相互間で転送される
    パケットを監視するパケット転送装置のパケット転送方
    法に於いて、 前記ネットワークセグメント上のパケットを受信し、パ
    ケット保留手段に一時保留し、 前記受信パケットの情報に、送出先ネットワークセグメ
    ントに接続された装置のソフトウェアに対し誤動作させ
    る要因を含んでいるか否かをパケット解析手段によって
    解析して、 前記受信パケットの宛先ネットワークアドレスが属する
    ネットワークアドレス空間と送出セグメントとを対応付
    けた経路表を用い、前記パケット解析手段により正常と
    判定された前記受信パケットが前記パケット保留手段か
    ら渡された時、その受信パケットの前記送信先ネットワ
    ークアドレスから前記経路表に従って送出すべきネット
    ワークセグメントを決定し、前記正常な受信パケットの
    ＭＡＣアドレスを前記送出すべきセグメント上の宛先ネ
    ットワークアドレスをもつ機器のＭＡＣアドレスに書換
    え、前記正常な受信パケットを決定したネットワークセ
    グメントに送出することを特徴とするパケット転送方
    法。
  11. 【請求項１１】 複数のネットワークセグメントの間に
    設けられ、ネットワークセグメント相互間で転送される
    パケットを監視するパケット転送装置のパケット転送方
    法に於いて、 前記ネットワークセグメント上のパケットを受信して、
    パケット保留手段に一時保留し、 前記受信したパケットについて、送出先のネットワーク
    セグメントに接続された装置のソフトウェアに対し誤動
    作させる要因を含んでいるか否かをパケット解析手段に
    より解析し、 宛先ネットワークアドレスの属するネットワークアドレ
    ス空間と送出セグメントとの対応を記憶する経路表を用
    い、前記パケット解析手段にて正常と判定されたパケッ
    トについて、当該パケットの送信先ネットワークアドレ
    スから前記経路表に従って送出すべきネットワークセグ
    メントを決定し、前記正常なパケットのＭＡＣアドレス
    を前記ネットワークセグメント上の宛先ネットワークア
    ドレスをもつ機器のＭＡＣアドレスに書換え、前記正常
    な受信パケットを決定したネットワークセグメントに送
    出することを特徴とするパケット転送方法。
  12. 【請求項１２】 複数のネットワークセグメントの間に
    設けられ、ネットワークセグメント相互間で転送される
    パケットを監視するパケット転送装置のパケット転送方
    法に於いて、 前記ネットワークセグメント上のパケットを受信し、 前記受信したパケットについて、送出先のネットワーク
    セグメントに接続された装置のソフトウェアに対し誤動
    作させる要因を含んでいるか否かをパケット解析手段に
    より解析し、 宛先ネットワークアドレスの属するネットワークアドレ
    ス空間と送出セグメントの対応を記憶する経路表を用
    い、前記受信パケットについて、当該パケットの送信先
    ネットワークアドレスから、前記経路表に従って送出す
    べきネットワークセグメントを決定し、 前記受信パケットについて、そのＭＡＣアドレスを、前
    記ネットワークセグメント上の宛先ネットワークアドレ
    スをもつ機器のＭＡＣアドレスに書換え、当該パケット
    を前記送出ネットワークセグメントに対応して設けられ
    たパケット保留手段に格納し、 前記パケット保留手段に保留された受信パケットの内、
    前記パケット解析手段により正常と判定されたパケット
    を決定したネットワークセグメントに送出することを特
    徴とするパケット転送方法。
  13. 【請求項１３】 複数のネットワークセグメントの間に
    設けられ、ネットワークセグメント相互間で転送される
    パケットを監視するパケット転送装置のパケット転送方
    法に於いて、 前記ネットワークセグメント上のパケットを受信し、 前記受信パケットについて、送出先のネットワークセグ
    メントに接続された装置のソフトウェアに対し誤動作さ
    せる要因を含んでいるか否かをパケット解析手段により
    解析し、 宛先ネットワークアドレスの属するネットワークアドレ
    ス空間と送出セグメントの対応を記憶する経路表を用
    い、前記パケット解析手段により正常と判定された受信
    パケットについて、当該パケットの送信先ネットワーク
    アドレスから前記経路に従って送出すべきネットワーク
    セグメントを決定し、 前記正常なパケットについて、そのＭＡＣアドレスを前
    記送出すべきネットワークセグメント上の宛先ネットワ
    ークアドレスをもつ機器のＭＡＣアドレスに書換え、前
    記送出すべきセグメントに対応して設けられた前記パケ
    ット保留手段に格納し、 前記パケット保留手段に保留されたパケットを決定した
    ネットワークセグメントに送出することを特徴とするパ
    ケット転送方法。
  14. 【請求項１４】 複数のネットワークセグメントの間に
    設けられ、ネットワークセグメント相互間で転送される
    パケットを監視するパケット転送装置のパケット転送方
    法に於いて、 前記ネットワークセグメント上のパケットを受信し、 前記受信パケットについて、送出先のネットワークセグ
    メントに接続された装置のソフトウェアに対し誤動作さ
    せる要因を含んでいるか否かをパケット解析手段をより
    解析し、 宛先ネットワークアドレスの属するネットワークアドレ
    ス空間と送出セグメントの対応を記憶する経路表を用
    い、前記受信パケットについて、当該パケットの送信先
    ネットワークアドレスから、前記経路表に従って送出す
    べきネットワークセグメントを決定し、 前記正常な受信パケットについて、そのＭＡＣアドレス
    を、前記送出すべきネットワークセグメント上の宛先ネ
    ットワークアドレスをもつ機器のＭＡＣアドレスに書換
    え、当該パケットを前記送出ネットワークセグメントに
    対応して設けられたパケット保留手段に格納し、 前記パケット保留手段に保留された受信パケットを決定
    したネットワークセグメントに送出することを特徴とす
    るパケット転送方法。
JP2001278475A 2001-09-13 2001-09-13 パケット転送装置およびパケット転送方法 Pending JP2003087297A (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
JP2001278475A JP2003087297A (ja) 2001-09-13 2001-09-13 パケット転送装置およびパケット転送方法
US10/228,953 US20030048783A1 (en) 2001-09-13 2002-08-28 Method and apparatus for transferring packets in network
EP02256003A EP1294156B1 (en) 2001-09-13 2002-08-29 Method and apparatus for transferring packets in network with monitoring of malicious packets
DE2002606720 DE60206720T2 (de) 2001-09-13 2002-08-29 Methode und Vorrichtung zur Paketübertragung in einem Netzwerk mit Überwachung von unzulässigen Paketen

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2001278475A JP2003087297A (ja) 2001-09-13 2001-09-13 パケット転送装置およびパケット転送方法

Publications (1)

Publication Number Publication Date
JP2003087297A true JP2003087297A (ja) 2003-03-20

Family

ID=19102838

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2001278475A Pending JP2003087297A (ja) 2001-09-13 2001-09-13 パケット転送装置およびパケット転送方法

Country Status (4)

Country Link
US (1) US20030048783A1 (ja)
EP (1) EP1294156B1 (ja)
JP (1) JP2003087297A (ja)
DE (1) DE60206720T2 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6012867B2 (ja) * 2013-06-13 2016-10-25 日立オートモティブシステムズ株式会社 ネットワーク装置およびネットワークシステム

Families Citing this family (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CA2567303C (en) * 2004-05-20 2015-03-24 Freebit Co., Ltd. Server for routing connection to client device
JP4082613B2 (ja) * 2004-09-06 2008-04-30 インターナショナル・ビジネス・マシーンズ・コーポレーション 通信サービスを制限するための装置
US7474617B2 (en) * 2005-03-04 2009-01-06 Ibahn General Holdings Corporation Detection of multiple users of a network access node
US8279893B2 (en) * 2006-06-16 2012-10-02 Nvidia Corporation System and method for communicating data utilizing multiple types of data connections
JP5090408B2 (ja) 2009-07-22 2012-12-05 インターナショナル・ビジネス・マシーンズ・コーポレーション ネットワーク通信において送信データの宛先を動的に制御する方法及び機器
US9612814B2 (en) * 2012-02-02 2017-04-04 Sungard Availability Services, Lp Network topology-aware recovery automation
US9317268B2 (en) 2012-02-02 2016-04-19 Sungard Availability Services Lp Recovery automation in heterogeneous environments
CN104205949B (zh) * 2012-11-28 2018-07-13 华为技术有限公司 一种移动网络通信方法、通信装置及通信系统
US9767283B2 (en) * 2014-06-27 2017-09-19 Mcafee, Inc. System and method to mitigate malicious calls

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5606668A (en) * 1993-12-15 1997-02-25 Checkpoint Software Technologies Ltd. System for securing inbound and outbound data packet flow in a computer network
US5835726A (en) * 1993-12-15 1998-11-10 Check Point Software Technologies Ltd. System for securing the flow of and selectively modifying packets in a computer network
US6360262B1 (en) * 1997-11-24 2002-03-19 International Business Machines Corporation Mapping web server objects to TCP/IP ports
US6822955B1 (en) * 1998-01-22 2004-11-23 Nortel Networks Limited Proxy server for TCP/IP network address portability
US6738814B1 (en) * 1998-03-18 2004-05-18 Cisco Technology, Inc. Method for blocking denial of service and address spoofing attacks on a private network
US6205511B1 (en) * 1998-09-18 2001-03-20 National Semiconductor Corp. SDRAM address translator
JP3149926B2 (ja) * 1998-09-28 2001-03-26 日本電気株式会社 アドレス変換方法及び装置
JP2003505934A (ja) * 1999-07-15 2003-02-12 サン・マイクロシステムズ・インコーポレイテッド 安全なネットワーク・スイッチ
JP4236364B2 (ja) * 2000-04-04 2009-03-11 富士通株式会社 通信データ中継装置
US6731652B2 (en) * 2001-02-14 2004-05-04 Metro Packet Systems Inc. Dynamic packet processor architecture
US7110404B1 (en) * 2001-09-04 2006-09-19 Cisco Technology, Inc. System and method for sending a packet to multiple destinations using a pipeline network processor

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6012867B2 (ja) * 2013-06-13 2016-10-25 日立オートモティブシステムズ株式会社 ネットワーク装置およびネットワークシステム

Also Published As

Publication number Publication date
DE60206720T2 (de) 2006-06-01
EP1294156A2 (en) 2003-03-19
EP1294156B1 (en) 2005-10-19
EP1294156A3 (en) 2004-01-02
US20030048783A1 (en) 2003-03-13
DE60206720D1 (de) 2005-11-24

Similar Documents

Publication Publication Date Title
US11165869B2 (en) Method and apparatus for dynamic destination address control in a computer network
US8856884B2 (en) Method, apparatus, signals, and medium for managing transfer of data in a data network
CA2753747C (en) Method for operating a node cluster system in a network and node cluster system
JP2000032056A (ja) 通信品質制御装置
US20090037587A1 (en) Communication system, communication apparatus, communication method, and program
US7269661B2 (en) Method using receive and transmit protocol aware logic modules for confirming checksum values stored in network packet
US10795912B2 (en) Synchronizing a forwarding database within a high-availability cluster
JP2003087297A (ja) パケット転送装置およびパケット転送方法
US20070022284A1 (en) Method, cluster system and computer-readable medium for distributing data packets
US8050266B2 (en) Low impact network debugging
JP4040045B2 (ja) データ転送装置
US7461142B2 (en) Method and apparatus for address management in a network device
US20220272079A1 (en) Method for managing communication between terminals in a communication network, and devices and system for implementing the method
US20070237088A1 (en) Apparatus and method for providing network security
Cisco Router Products Configuration and Reference Addendum Software Releases 9.1, 9.14 and 9.17 December 1993
JP2001358771A (ja) 通信品質制御装置
JP4029898B2 (ja) ネットワーク装置
JP2005072701A (ja) インタフェース提供装置
JP3725140B2 (ja) パケット転送装置およびパケット転送方法
JPH11331231A (ja) 多重化ネットワークシステムとその通信装置
US11962569B2 (en) Hardening a communication device
JP4899973B2 (ja) 通信セキュリティシステム及び通信セキュリティ装置
JP2000196669A (ja) 情報中継装置
JPH0556050A (ja) ネツトワークシステム
JP2006180246A (ja) Ｉｐパケット処理装置

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20040908

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20060630

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20060711

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20060911

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20070327

A02 Decision of refusal

Free format text: JAPANESE INTERMEDIATE CODE: A02

Effective date: 20080219