JP2003338826A

JP2003338826A - 信号出力制御方法及びネットワーク接続装置

Info

Publication number: JP2003338826A
Application number: JP2002143938A
Authority: JP
Inventors: Takanori Saito; 孝典齋藤
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2002-05-20
Filing date: 2002-05-20
Publication date: 2003-11-28

Abstract

(57)【要約】【課題】簡単な構成にてネットワークに不正にアクセス
しようとする端末の通信を遮断する。【解決手段】初期状態であって且つクライアント端末が
接続されたポートについて、ネットワーク情報を設定す
るDHCPサーバ5に対するDHCP_DISCOVER又はDHCP_REQUEST
の受信を検出するステップと、上記信号の受信が検出さ
れた場合、上記信号をDHCPサーバ5が接続されたネット
ワーク用のマスタポートのみに出力するステップとを含
む。このようにすれば初期状態において他のポートに接
続されている端末等に信号を出力することがなくなるの
で、不正な端末等がネットワーク情報を取得して悪用す
ることを防止できるようになる。また、マスタポートか
らクライアント端末に対するネットワーク情報の設定の
ためのDHCP_ACKを受信した場合、当該信号をクライアン
ト端末が接続されたポートに出力すると共に当該ポート
の状態を初期状態から送受信可能な状態に変更する。

Description

【発明の詳細な説明】

【０００１】

【発明が属する技術分野】本発明は、ネットワーク接続
技術に関し、より詳しくはセキュリティを向上させるた
めのネットワーク接続技術に関する。

【０００２】

【従来の技術】現在インターネットやイントラネット等
の様々なネットワークが相互接続されて、複雑化してい
る。ネットワークにおいてはセキュリティの問題は非常
に重要で、セキュリティについては多数の問題が指摘さ
れており、様々な対策が行われている。対策としては、
ユーザ認証や暗号化、フィルタリング等の手段を用い
て、サービスの提供相手を制限するようなものが一般的
であるが、総当り的な手法を用いたり、ネットワーク上
に流れるデータを参照したり、サーバの反応を見てみた
り、他のクライアントの情報を盗み見るといった手法に
より、ネットワークの情報を不正に取得し、不正なネッ
トワーク・アクセスを行ったり、不要なデータを大量に
送信したりする場合がある。これを防止するために、所
定の情報を所定の単位で遮断するなどの単純な手法を用
いると、ユーザの利便性を損なう恐れがある。

【０００３】例えば、あるネットワークにおいてＩＰ
（Internet Protocol）アドレスを保持していない端末
は、ＤＨＣＰ（Dynamic Host Configuration Protoco
l）サーバからＩＰアドレスの割り当てを受け、当該Ｉ
Ｐアドレスを用いてネットワークにおいて通信を行うの
が通常である。しかし、この端末はＤＨＣＰサーバがど
こにいるのかわからない状態なので、ＩＰアドレスの割
り当てを受ける際には所定のメッセージをブロードキャ
ストすることになるが、不正を行おうとする端末がネッ
トワークに接続されている場合には、当該ブロードキャ
ストされた情報を取得して悪用する場合がある。また、
ＤＨＣＰサーバからの応答が得られないと所定のメッセ
ージのブロードキャストを繰り返すため、ネットワーク
・トラフィックの増大を招くという問題もある。

【０００４】このため特開２００１−２１１１８０号公
報において、ＤＨＣＰサーバは、クライアントからのＩ
Ｐアドレス割り当て要求を受けると、そのＭＡＣアドレ
スが許容クライアントＭＡＣアドレスＤＢに登録されて
いるか照合し、登録されていればＩＰアドレスをＭＡＣ
アドレスと対応付けて割当て済みアドレスＤＢに記録
し、その後、定期的に当該ＩＰアドレスへＡＲＰパケッ
トを送信し、その応答パケット中の送信元ＭＡＣアドレ
ス及び送信元ＩＰアドレスの組み合わせが割当て済みア
ドレスＤＢに記録されているか照合し、記録されていれ
ば正規クライアント、記録されていなければ不正規クラ
イアントと判定する。また、特開２００１−２１１１８
０号では、不正規クライアントであると判定された場合
には、ＩＰアドレスの割当てを取り消すと共に、当該不
正規クライアントに対して強制ＩＰアドレス解放通知メ
ッセージを送信し、スイッチングハブ装置に当該不正規
クライアントのＭＡＣアドレスに対する通信を行わない
ように設定させるような構成も開示されている。

【０００５】しかし、この技術では、初期的にはどのク
ライアントもデータをブロードキャストすることがで
き、またデータを受信できるため、不正規クライアント
はネットワーク情報を取得して悪用することができるよ
うになる。また、ＤＨＣＰサーバは専用のサーバでなけ
ればならず、スイッチングハブも専用のサーバに対応す
る機能を有していなければならないので、導入の敷居が
高い。さらに、定期的にＡＲＰパケットを送信して応答
を得なければ不正規クライアントであることを確認でき
ないので、不正規クライアントはＡＲＰパケットに対し
て応答を返さないという対抗策を実施することが出来る
という問題がある。

【０００６】

【発明が解決しようとする課題】以上のように従来で
は、ネットワークに不正にアクセスしようとする端末を
簡単な構成にて締め出す技術は存在していない。

【０００７】従って本発明の目的は、簡単な構成にてネ
ットワークに不正にアクセスしようとする端末の通信を
遮断する技術を提供することである。

【０００８】

【課題を解決するための手段】本発明の第１の態様に係
る信号出力制御方法は、初期状態（例えば実施の形態に
おけるスタンバイ状態）であって且つクライアント端末
が接続されたポートについて、ネットワーク情報（例え
ば実施の形態におけるＩＰアドレス）を設定するための
処理を実施するサーバ（例えば実施の形態におけるＤＨ
ＣＰサーバ）に対する信号（例えば実施の形態における
DHCP_DISCOVERメッセージ又はDHCP_REQUESTリクエス
ト）の受信を検出する検出ステップと、検出ステップに
おいて上記信号の受信が検出された場合、上記信号をサ
ーバが接続されたネットワーク用のポートのみに出力す
るステップとを含む。

【０００９】このようにすれば、初期状態において他の
ポートに接続されている端末等に信号を出力することが
なくなるので、不正な端末等がネットワーク情報を取得
して悪用することを防止できるようになる。また、ネッ
トワーク・トラフィックの軽減にもつながる。

【００１０】また、初期状態であって且つクライアント
端末が接続されたポートに対する信号を受信した場合と
初期状態であって且つクライアント端末が接続されたポ
ートから上記サーバが接続されたネットワーク用のポー
ト以外の他のポートに対する信号を受信した場合との少
なくともいずれかにおいて、当該信号を破棄するステッ
プをさらに含むような構成であってもよい。これにて、
不正な端末等がネットワーク情報を取得したり、当該取
得したネットワーク情報を悪用することを防止できるよ
うになる。

【００１１】なお、上で述べたサーバに対する信号が、
ブロードキャストすべき信号である場合もある。ブロー
ドキャストすべき信号であっても、一つのポートにしか
流さないことで、ネットワーク情報の不正取得を防止し
たり、トラフィックを軽減したりすることが出来る。

【００１２】本発明の第２の態様に係る信号出力制御方
法は、初期状態であって且つクライアント端末が接続さ
れたポートから、ネットワーク情報を設定するための処
理を実施するサーバに対する信号を受信した場合、当該
信号をサーバが接続されたネットワーク用のポートに出
力するステップと、サーバが接続されたネットワーク用
のポートから、クライアント端末に対するネットワーク
情報の設定のための第２の信号（例えば実施の形態にお
けるDHCP_ACKメッセージ）を受信した場合、当該第２の
信号をクライアント端末が接続されたポートに出力する
と共に、クライアント端末が接続されたポートの状態を
初期状態から送受信可能な状態（例えば実施の形態にお
けるレディ状態）に変更するステップとを含む。

【００１３】本発明の第３の態様に係るネットワーク接
続装置は、各々初期状態と送受信可能な状態とが設定可
能になっている、クライアント端末用の１又は複数の第
１のポートと、ネットワーク情報を設定するための処理
を実施するサーバが接続されるネットワーク用の第２の
ポートと、初期状態である第１のポートについて、ブロ
ードキャスト・データの受信を検出する検出手段と、検
出手段によりブロードキャスト・データの受信が検出さ
れた場合、ブロードキャスト・データを第２のポートの
みに出力するように制御する制御手段とを有する。

【００１４】本発明の第４の態様に係るネットワーク接
続装置は、各々初期状態と送受信可能な状態とが設定可
能になっている、クライアント端末用の１又は複数の第
１のポートと、ネットワーク情報を設定するための処理
を実施するサーバが接続されるネットワーク用の第２の
ポートと、初期状態である第１のポートから、上記サー
バに対するネットワーク情報の設定要求を受信した場
合、当該設定要求を第２のポートに出力するように制御
する制御手段と、第２のポートからクライアント端末に
対するネットワーク情報の設定のための設定応答を受信
した場合、クライアント端末が接続される第１のポート
の状態を初期状態から送受信可能な状態に変更する状態
管理手段とを有し、上で述べた制御手段は、第２のポー
トから設定応答を受信した場合、当該設定応答をクライ
アント端末が接続される第１のポートに出力するように
制御する。

【００１５】このようにすることにより、サーバにより
認証されたクライアント端末のみネットワーク接続装置
を介して自由に通信できるようになり、認証されていな
いクライアント端末はサーバへの通信のみが許されるよ
うになるため、当該ネットワーク接続装置を導入するだ
けでセキュリティを向上させることが出来るようにな
る。

【００１６】また、上で述べた状態管理手段は、第１の
ポートの状態を初期状態から送受信可能な状態に変更し
た後所定時間以内に、第２のポートから、クライアント
端末に対するネットワーク情報の更新のための更新応答
の受信を検出しなかった場合には、第１のポートの状態
を送受信可能な状態から初期状態に変更するような構成
であってもよい。

【００１７】このようにすれば所定時間毎にクライアン
ト端末の状態を確認することができ、サーバに認証され
なくなったクライアント端末が接続されたポートを初期
状態にして、通信を制限することができるようになる。

【００１８】また、上で述べた状態管理手段は、第１の
ポートについてクライアント端末とのリンクが切れたこ
とを検出した場合、第１のポートの状態を送受信可能な
状態から初期状態に変更するような構成であってもよ
い。このようにすればサーバの認証を得た後に不正なク
ライアント端末をつなぎ直すといった不正行為に対処す
ることが出来る。

【００１９】なお、本発明に係る信号出力制御方法はプ
ログラム及びネットワーク接続装置のプロセッサにて実
施することができ、このプログラムは、例えばフレキシ
ブルディスク、ＣＤ−ＲＯＭ、光磁気ディスク、半導体
メモリ、ハードディスク等の記憶媒体又は記憶装置に格
納される。また、ネットワークなどを介して配布される
場合もある。尚、中間的な処理結果はメモリに一時保管
される。

【００２０】

【発明の実施の形態】図１に本発明の一実施の形態に係
るシステム構成図を示す。本実施の形態におけるスイッ
チングハブ３（ＳＷＨＵＢとも記す）には、マスタポー
ト３１、ポートＡ（３２）、ポートＢ（３３）、及びポ
ートＣ（３４）の４つのポートが含まれている。但し、
ポートの数に制限はない。マスタポート３１には、従来
と同じＤＨＣＰサーバ５が接続されるようになってお
り、クライアント端末を接続することはできない。ま
た、図１ではＤＨＣＰサーバ５がマスタポート３１に直
接接続されるような構成を示しているが、ルータなどの
他のネットワーク構成要素を介して接続するような構成
であってもよい。ポートＡ（３２）とポートＢ（３３）
とポートＣ（３４）には、ＤＨＣＰサーバ５以外のクラ
イアント端末が接続される。図１では、ポートＡ（３
２）にはクライアント端末１が、ポートＢ（３３）には
クライアント端末７が、ポートＣ（３４）にはクライア
ント端末９がそれぞれ接続されている。各クライアント
端末は、例えばパーソナルコンピュータであるが、ネッ
トワーク接続機能を有する他のコンピュータであっても
よい。

【００２１】スイッチングハブ３のマスタポート３１、
ポートＡ（３２）、ポートＢ（３３）及びポートＣ（３
４）は、それぞれ信号検出部３５及び通信制御部３６に
接続されている。信号検出部３５は、特定の信号（メッ
セージ）を検出する機能を有する。信号検出部３５は、
通信制御部３６及びポート状態管理部３８に接続されて
いる。通信制御部３６は、バッファ３７及びポート状態
管理部３８と接続されている。通信制御部３６は、各ポ
ートからの信号に基づくデータをバッファ３７に一旦格
納し、ポート状態管理部３８において管理されている各
ポートの状態及び信号検出部３５からの指示に従って、
バッファ３７に格納されたデータに基づく信号を適切な
ポートに出力するスイッチング制御を行う。

【００２２】ポート状態管理部３８は、マスタポート３
１以外の各ポートについてポート管理部を有している。
図１の例では、マスタポート３１以外のポートは３つで
あり、ポートＡ（３２）のためのポートＡ管理部３８１
と、ポートＢ（３３）のためのポートＢ管理部３８２
と、ポートＣ（３４）のためのポートＣ管理部３８３と
が設けられている。ポートＡ管理部３８１には、レジス
タ３８１ａとタイマ（Ｔｉｍｅｒとも記す）３８１ｂと
が含まれる。レジスタ３８１ａは、ポートＡ（３２）の
状態がレディ（Ready）状態とスタンバイ（Standby）状
態のいずれかであるかを記録するために用いられる。タ
イマ３８１ｂは、所定時間を計測するようになってい
る。ポートＢ管理部３８２には、レジスタ３８２ａとタ
イマ３８２ｂとが含まれる。ポートＣ管理部３８３に
は、レジスタ３８３ａとタイマ３８３ｂとが含まれる。

【００２３】スタンバイ状態は、初期状態であって、所
定の信号のみマスタポート３１に送信でき、所定の信号
のみマスタポート３１から受信できるような状態であ
る。レディ状態は、マスタポート３１及びレディ状態の
ポートと信号の送受信を行うことができるような状態で
ある。

【００２４】ポート状態管理部３８は、信号検出部３５
により特定の信号が検出されたことに基づき、対応する
ポートの状態を変更すべく、対応するポートのためのポ
ート管理部内のレジスタの値を書き換える。また、ポー
ト管理部内のレジスタの値がスタンバイ状態を表す値か
らレディ状態を表す値に書き換えられた場合には、対応
するタイマは、所定値のカウントダウンを開始する。も
し、カウンタの値が０になった場合には、ポート状態管
理部３８は、対応するレジスタの値をスタンバイ状態を
表す値に変更する。さらに、ポート状態管理部３８は、
信号検出部３５により特定の信号が検出されたことに基
づき、対応するポートのためのポート管理部内のカウン
タの値を初期値に戻す。また、ポート管理部に含まれる
レジスタは、通信制御部３６により参照可能になってい
る。

【００２５】次に図２を用いてスイッチングハブ３の通
信制御部３６及び信号検出部３５による、マスタポート
３１以外のポートの通信制御処理について説明する。例
えばポートＡ（３２）にクライアント端末１からの信号
が入力されると、信号検出部３５及び通信制御部３６は
ポートＡ（３２）に入力された信号を検出する（ステッ
プＳ１）。信号検出部３５は、どのような信号が入力さ
れたのかを検出するための処理を実施する。また、通信
制御部３６は、入力された信号に基づくデータをバッフ
ァ３７に格納する。そして、通信制御部３６は、ポート
状態管理部３８から各ポートのポート管理部に含まれる
レジスタの値を取得することにより、現時点におけるポ
ート状態を確認する（ステップＳ３）。

【００２６】そして送信元ポート（ここではポートＡ
（３２））はスタンバイ状態のポートであるかを判断す
る（ステップＳ５）。もし、送信元ポートがスタンバイ
状態ではなくレディ状態であれば（ステップＳ５：Ｎｏ
ルート）、通信制御部３６は、送信先ポートがスタンバ
イ状態であるか判断する（ステップＳ１３）。なお、マ
スタポート３１は状態が定義されていないが、レディ状
態であるものとして判断される。もし、送信先ポートが
スタンバイ状態であれば（ステップＳ１３：Ｙｅｓルー
ト）、通信制御部３６はバッファ３７に格納された送信
元ポート（ポートＡ（３２））からのデータを破棄し、
いずれのポートにも信号を送出しない（ステップＳ１
７）。このように不正なクライアント端末が接続されて
いるかもしれないスタンバイ状態のポートにネットワー
クの情報を送出しないことにより、情報の悪用を防止す
ることができるようになる。

【００２７】一方、送信先ポートがレディ状態であれば
（ステップＳ１３：Ｎｏルート）、通常どおりの処理を
行う（ステップＳ１５）。すなわち、送信先ポートに、
バッファ３７に格納されたデータに基づく信号を出力し
たり、従来行われているようにＭＡＣアドレスとポート
の対応テーブルを更新したりする。

【００２８】一方、信号検出部３５は、送信元ポート
（ポートＡ（３２））から受信した信号がDHCP_DISCOVE
Rメッセージ又はDHCP_REQUESTメッセージであるか判断
する。これらのメッセージは、ＤＨＣＰにおいてクライ
アント端末がＩＰアドレスを取得するため、又は取得し
たＩＰアドレスのリース期間を更新するために出力され
るものである。従って、これらのメッセージが検出され
た場合にはＤＨＣＰサーバ５に当該メッセージを送信し
なければならない。なお、これらのメッセージは、デー
タリンク層（レイヤ２）のレベルでブロードキャストさ
れる場合がある。従って、信号検出部３５は、ブロード
キャストが指定されたメッセージを検出するようにして
も良い。

【００２９】そして信号検出部３５は、送信元ポート
（ポートＡ（３２））を表す信号と共にDHCP_DISCOVER
メッセージ又はDHCP_REQUESTメッセージを受信したか否
かを表す信号を通信制御部３６に出力する。ステップＳ
５において送信元ポート（ポートＡ（３２））がスタン
バイ状態であると判断された場合（ステップＳ５：Ｙｅ
ｓルート）、通信制御部３６は、信号検出部３５からの
信号に基づき送信元ポート（ポートＡ（３２））にDHCP
_DISCOVERメッセージ又はDHCP_REQUESTメッセージが入
力されたか否かを判断する（ステップＳ７）。もし、DH
CP_DISCOVERメッセージ又はDHCP_REQUESTメッセージを
受信していないと判断した場合には、通信制御部３６は
バッファ３７に格納された送信元ポート（ポートＡ（３
２））からのデータを破棄し、いずれのポートにも信号
を送出しない（ステップＳ１１）。このように不正なク
ライアント端末が接続されているかもしれないスタンバ
イ状態のポートからの信号をブロックすることにより、
不正なアクセスなどを防止することができるようにな
る。

【００３０】一方、DHCP_DISCOVERメッセージ又はDHCP_
REQUESTメッセージを受信したと判断した場合には、通
信制御部３６はバッファ３７に格納された送信元ポート
（ポートＡ（３２））からのデータに基づく信号をマス
タポート３１にのみ出力する（ステップＳ９）。これに
より、送信元ポート（ポートＡ（３２））及びマスタポ
ート３１以外のポートに接続されているクライアント端
末には何らの信号も送出されないので、送信元ポート
（ポートＡ（３２））及びマスタポート３１以外のポー
トに接続されている不正なクライアント端末は他のクラ
イアント端末のネットワーク情報を取得することができ
なくなる。

【００３１】次に、図３を用いてスイッチングハブ３の
通信制御部３６及び信号検出部３５による、マスタポー
ト３１の通信制御処理について説明する。例えばマスタ
ポート３１に接続されたＤＨＣＰサーバ５からの信号が
入力されると、信号検出部３５及び通信制御部３６はマ
スタポート３１に入力された信号を検出する（ステップ
Ｓ２１）。信号検出部３５は、どのような信号が入力さ
れたのかを検出するための処理を実施する。また、通信
制御部３６は、入力された信号に基づくデータをバッフ
ァ３７に格納する。そして、通信制御部３６は、ポート
状態管理部３８から送信先ポートのポート管理部に含ま
れるレジスタの値を取得することにより、現時点におけ
るポート状態を確認する（ステップＳ２３）。

【００３２】そして通信制御部３６は、送信先ポートの
ポート状態がスタンバイ状態であるか判断する（ステッ
プＳ２５）。もし、送信先ポートがスタンバイ状態では
なくレディ状態であれば（ステップＳ２５：Ｎｏルー
ト）、通常処理を実施する。すなわち、送信先ポート
に、バッファ３７に格納されたデータに基づく信号を出
力したり、従来行われているようにＭＡＣアドレスとポ
ートの対応テーブルを更新したりする。

【００３３】一方、信号検出部３５は、マスタポート３
１から受信した信号がDHCP_OFFERメッセージ又はDHCP_A
CKメッセージであるか判断する。これらのメッセージ
は、ＤＨＣＰにおいてＤＨＣＰサーバ５がクライアント
端末にＩＰアドレスの割当て候補を通知するため、又は
ＩＰアドレスの割当てを確定させる又は更新させるため
に出力される。従って、これらのメッセージが検出され
た場合にはＩＰアドレスの割当てを要求したクライアン
ト端末に当該メッセージを送信しなければならない。な
お、これらのメッセージもデータリンク層（レイヤ２）
のレベルでブロードキャストされる場合がある。従っ
て、信号検出部３５は、ブロードキャストが指定された
メッセージを検出するようにしても良い。

【００３４】そして信号検出部３５は、送信先ポートを
表す信号と共にDHCP_OFFERメッセージ又はDHCP_ACKメッ
セージを受信したか否かを表す信号を通信制御部３６に
出力する。ステップＳ２５において送信元ポートがスタ
ンバイ状態であると判断された場合（ステップＳ２５：
Ｙｅｓルート）、通信制御部３６は、信号検出部３５か
らの信号に基づきマスタポート３１にDHCP_OFFERメッセ
ージ又はDHCP_ACKメッセージが入力されたか否かを判断
する（ステップＳ２９）。もし、DHCP_OFFERメッセージ
又はDHCP_ACKメッセージを受信していないと判断した場
合には、通信制御部３６はバッファ３７に格納されたマ
スタポート３１からのデータを破棄し、いずれのポート
にも信号を送出しない（ステップＳ３１）。このように
不正なクライアント端末が接続されているかもしれない
スタンバイ状態のポートへの信号をブロックすることに
より、取得したネットワーク情報の不正な利用を防止す
ることができるようになる。但し、マスタポート３１か
らの信号に限り、送信先ポートがスタンバイ状態であっ
ても信号を出力するような構成とすることも可能であ
る。

【００３５】もし、DHCP_OFFERメッセージ又はDHCP_ACK
メッセージを受信したと判断した場合には、通信制御部
３６はバッファ３７に格納されたマスタポート３１から
のデータに基づく信号をDHCP_OFFERメッセージ又はDHCP
_ACKメッセージに含まれるＭＡＣアドレスで特定される
送信先ポートに出力する（ステップＳ３３）。これによ
り、送信先ポートに接続されたクライアント端末は、DH
CP_OFFERメッセージに対応してDHCP_REQUESTメッセージ
を送信することができ、DHCP_ACKメッセージに対応して
ＩＰアドレスなどのネットワーク情報の設定を行うこと
ができるようになる。

【００３６】次に、図４を用いて、信号検出部３５及び
ポート状態管理部３８による各ポート管理部のレジスタ
の更新処理について説明する。なお、ここで１つのポー
ト管理部（例えばポートＢ（３３）のためのポートＢ管
理部３８２）につき図４のような処理が実施されるもの
とする。信号検出部３５は、ポートＢ（３３）とクライ
アント端末７との間にリンクダウンが生じたことを検出
すると、ポートの識別情報（ポートＢ（３３））と共に
リンクダウンを表す信号をポート状態管理部３８に出力
する。ポート状態管理部３８は、ポートの識別情報（ポ
ートＢ（３３））とリンクダウンを表す信号を受信する
と、対応するポート管理部（ポートＢ管理部３８２）に
含まれるレジスタ３８２ａの値をスタンバイ状態を表す
値に変更する（ステップＳ５１）。なお、レジスタ３８
２ａに既にスタンバイ状態を表す値が格納されている場
合には、何もしなくとも良い。そしてステップＳ５３に
移行する。

【００３７】このようにリンクダウンが検出されると、
クライアント端末の接続が入れ替えられたりする場合も
あるため、一度初期状態であるスタンバイ状態に戻し
て、再度不正なクライアント端末が接続されていないか
を確認する。

【００３８】一方、リンクダウンではなく、マスタポー
ト３１からポートの識別情報及びDHCP_ACKメッセージが
受信されたことが信号検出部３５から通知されると、ポ
ート状態管理部３８は、送信先ポート（ポートＢ（３
３））のポート管理部（ポートＢ管理部３８２）内のレ
ジスタ３８２ａの値をスタンバイ状態からレディ状態に
変更する（ステップＳ４５）。なお、既にレディ状態を
表す値がレジスタ３８２ａに格納されている場合には、
何もしなくとも良い。そして送信先ポートのポートＢ管
理部３８２のタイマ３８２ｂは、所定の初期値からカウ
ントダウンを開始する（ステップＳ４７）。既にカウン
トダウンを開始しているが０ではない場合にも、再度所
定の初期値に値を戻してカウントダウンを開始する。そ
してステップＳ５３に移行する。

【００３９】DHCP_ACKメッセージがマスタポート３１か
ら受信されたということは、送信先ポートに接続された
クライアント端末が、正規のクライアントとして認証さ
れ、その結果ＩＰアドレスなどのネットワーク情報が設
定されたということである。従って、スイッチングハブ
３においても送信先ポートの状態を、通常の送受信が可
能なレディ状態に変更する。

【００４０】一方、DHCP_ACKメッセージが受信されたわ
けではない場合には（ステップＳ４３：Ｎｏルート）、
ポートＢ管理部３８２のタイマ３８２ｂの値を確認する
（ステップＳ４９）。もし、タイマ３８２ｂの値が０に
なった場合には、ポートＢ管理部３８２のレジスタ３８
２ａの値をレディ状態を表す値からスタンバイ状態を表
す値に変更する（ステップＳ５１）。そしてステップＳ
５３に移行する。

【００４１】このようにタイマの値が０になるというこ
とは、ＩＰアドレスのリース期間の更新が所定時間内に
適切に行われなかったことを表しており、そのようなク
ライアント端末は不正なクライアント端末である可能性
があるため、一度初期状態であるスタンバイ状態に戻
し、不正の疑いのあるクライアント端末に再度ＩＰアド
レスの取得処理を行わせることにより、ＤＨＣＰサーバ
５による認証を受けさせるものである。

【００４２】ステップＳ４９においてタイマ３８２ｂの
値がまだ０ではない場合にはステップＳ５３に移行す
る。ステップＳ５３では、例えばスイッチングハブ３の
電源が切られたり、本実施の形態に基づく動作を中止す
るような設定がなされた場合を除き、ステップＳ４１に
戻る（ステップＳ５３：Ｎｏルート）。一方、処理を終
了する指示がなされた場合には処理を終了させる（ステ
ップＳ５３：Ｙｅｓルート）。

【００４３】このような処理を実施することにより、適
切に各ポートの状態を設定することができ、図２及び図
３で示したような適切な通信制御処理を実施することが
できるようになる。

【００４４】次に図５を用いて、クライアント端末１が
スイッチングハブ１に接続し、ＤＨＣＰサーバ５からＩ
Ｐアドレスの割当てを受け、割当てられたＩＰアドレス
の更新を受けるまでの処理の流れを示す。クライアント
端末１がポートＡ（３２）に接続されると、ポート状態
管理部３８におけるポートＡ（３２）の状態はスタンバ
イ状態になっている。従って、ＤＨＣＰサーバ５の認証
を得てＩＰアドレスの割当てを受けるまでは、通常のメ
ッセージを送信しても（図５：ステップ（１））スイッ
チングハブ３の通信制御部３６はいずれのポートへも信
号を出力することはない（ステップ（２））。これは図
２のステップＳ５、Ｓ７及びＳ１１のルートで信号がブ
ロックされるためである。

【００４５】従って、クライアント端末１は、ＤＨＣＰ
サーバ５からＩＰアドレスの割当てを受けるために、DH
CP_DISCOVERメッセージをスイッチングハブ３に送信す
る（ステップ（３））。なお、クライアント端末１はＤ
ＨＣＰサーバ５がいずれにいるのか分からないため、DH
CP_DISCOVERメッセージをブロードキャストするように
設定する。ポートＡ（３２）を介してDHCP_DISCOVERメ
ッセージを受信した通信制御部３６は、DHCP_DISCOVER
メッセージがブロードキャストするような設定になって
いるが、マスタポート３１のみに出力する（ステップ
（４））。これは図２のステップＳ５、Ｓ７及びＳ９の
ルートに従った処理である。なお、通信制御部３６は、
仮にDHCP_DISCOVERメッセージに含まれる送信元ＭＡＣ
アドレスとポート識別情報とを対にして格納しておく。
これは通常のスイッチング制御では用いられないが、DH
CP_DISCOVERメッセージに対応するDHCP_OFFERメッセー
ジの送信先を特定するために使用される。従って、所定
時間内にDHCP_OFFERメッセージを受信しない場合には、
これらの情報を破棄しても良い。

【００４６】マスタポート３１に接続されたＤＨＣＰサ
ーバ５は、DHCP_DISCOVERメッセージを受信すると、当
該DHCP_DISCOVERメッセージに含まれるクライアント端
末１のＭＡＣアドレスの認証処理を実施する（ステップ
（５））。すなわち、受信したDHCP_DISCOVERメッセー
ジに含まれるクライアント端末１のＭＡＣアドレスが、
接続を許可されたクライアント端末のＭＡＣアドレスで
あるか確認する。この処理は、一般的なＤＨＣＰサーバ
５の機能であり、従来と変わりない。もし、クライアン
ト端末１のＭＡＣアドレスが、接続を許可されたクライ
アント端末のＭＡＣアドレスではないと判断された場合
には、ＤＨＣＰサーバ５は何らの応答を返さない。一
方、クライアント端末１のＭＡＣアドレスが、接続を許
可されたクライアント端末のＭＡＣアドレスであると判
断された場合には、使用可能なＩＰアドレスを検出し、
当該使用可能なＩＰアドレスなどのネットワーク情報を
含むDHCP_OFFERメッセージをスイッチングハブ３に送信
する（ステップ（６））。なお、まだクライアント端末
１のＩＰアドレスは確定していないので、ＤＨＣＰサー
バ５もDHCP_OFFERメッセージをブロードキャストするよ
うに設定する。

【００４７】スイッチングハブ３の通信制御部３６は、
DHCP_OFFERメッセージをマスタポート３１から受信する
と、DHCP_OFFERメッセージに含まれる送信先ＭＡＣアド
レスに対応するポート（ここではポートＡ（３２））を
特定し、当該ポートのみにDHCP_OFFERメッセージを出力
する（ステップ（７））。この処理は、図３のステップ
Ｓ２５、Ｓ２９及びＳ３３のルートに従った処理であ
る。

【００４８】クライアント端末１は、スイッチングハブ
３からDHCP_OFFERメッセージを受信すると、使用するＩ
Ｐアドレスを選択し、使用するＩＰアドレスの情報等を
含むDHCP_REQUESTメッセージをスイッチングハブ３に送
信する（ステップ（８））。DHCP_REQUESTメッセージに
ついても、まだＩＰアドレスが確定しているわけではな
いので、ブロードキャストするように設定される。

【００４９】ポートＡ（３２）を介してDHCP_REQUESTメ
ッセージを受信した通信制御部３６は、DHCP_REQUESTメ
ッセージがブロードキャストするような設定になってい
るが、マスタポート３１のみに出力する（ステップ
（９））。これは図２のステップＳ５、Ｓ７及びＳ９の
ルートに従った処理である。なお、通信制御部３６は、
仮にDHCP_REQUESTメッセージに含まれる送信元ＭＡＣア
ドレスとポート識別情報とを対にして格納しておく。こ
れは通常のスイッチング制御では用いられないが、DHCP
_REQUESTメッセージに対応するDHCP_ACKメッセージの送
信先を特定するために使用される。従って、所定時間内
にDHCP_ACKメッセージを受信しない場合には、これらの
情報を破棄してよい。

【００５０】マスタポート３１に接続されたＤＨＣＰサ
ーバ５は、DHCP_REQUESTメッセージを受信すると、当該
DHCP_REQUESTメッセージに含まれるクライアント端末１
のＭＡＣアドレスの認証処理を実施する（ステップ（１
０））。すなわち、受信したDHCP_REQUESTメッセージに
含まれるクライアント端末１のＭＡＣアドレスが、接続
を許可されたクライアント端末のＭＡＣアドレスである
か確認する。この処理は、一般的なＤＨＣＰサーバ５の
機能であり、従来と変わりない。もし、クライアント端
末１のＭＡＣアドレスが、接続を許可されたクライアン
ト端末のＭＡＣアドレスではないと判断された場合に
は、ＤＨＣＰサーバ５は何らの応答も返さない。一方、
クライアント端末１のＭＡＣアドレスが、接続を許可さ
れたクライアント端末のＭＡＣアドレスであると判断さ
れた場合には、DHCP_REQUESTメッセージで指定されたＩ
Ｐアドレス等のネットワーク情報を設定登録する。そし
て、設定登録されたＩＰアドレスなどのネットワーク情
報を含むDHCP_ACKメッセージをスイッチングハブ３に送
信する（ステップ（１１））。なお、まだクライアント
端末１のＩＰアドレスは確定したがクライアント端末１
に設定されていないので、ＤＨＣＰサーバ５もDHCP_ACK
メッセージをブロードキャストするように設定する。

【００５１】スイッチングハブ３の通信制御部３６は、
DHCP_ACKメッセージをマスタポート３１から受信する
と、DHCP_ACKメッセージに含まれる送信先ＭＡＣアドレ
スに対応するポート（ここではポートＡ（３２））を特
定し、当該ポートのみにDHCP_ACKメッセージを出力する
（ステップ（１２））。この処理は、図３のステップＳ
２５、Ｓ２９及びＳ３３のルートに従った処理である。
なお、この段階において、スイッチングハブ３のポート
状態管理部３８のポートＡ管理部３８１に含まれるレジ
スタ３８１ａにレディ状態を表す値を格納する。また、
タイマ３８１ｂが所定の初期値をカウントダウンし始め
る。これは図４のステップＳ４３、Ｓ４５及びＳ４７の
ルートに従った処理である。

【００５２】クライアント端末１は、ポートＡ（３２）
を介してDHCP_ACKメッセージを受信すると、当該DHCP_A
CKメッセージに含まれるＩＰアドレスなどのネットワー
ク情報の設定を行う（ステップ（１３））。これによ
り、クライアント端末１は、通常どおりスイッチングハ
ブ３を介して他のクライアント端末やサーバ等と通信を
行うことができるようになる。

【００５３】なお、このようなメッセージのやりとりに
ついてはＲＦＣ２１３１に規定されており、本実施の形
態において変更された部分はない。変更されているのは
スイッチングハブ３の処理だけである。従って、現在の
ネットワークにおいてスイッチングハブを本実施の形態
におけるスイッチングハブ３に入れ替えればよいので、
導入が容易である。

【００５４】また、DHCP_ACKメッセージに含まれるネッ
トワーク情報には、ＩＰアドレスのリース期間の情報も
含まれており、クライアント端末１はこのリース期間の
情報に基づき、割当てられたＩＰアドレスのリース期間
の更新を行わなければならない。

【００５５】所定の更新時期が到来すると（ステップ
（１４））、クライアント端末１はDHCP_REQUESTメッセ
ージをスイッチングハブ３に送信する（ステップ（１
５））。スイッチングハブ３の通信制御部３６は、ポー
トＡ（３２）を介してDHCP_REQUESTメッセージを受信
し、ポートＡ管理部３８２のレジスタ３８２ａの値を確
認する。ここではレディ状態とする。その場合には、通
常のスイッチングハブとして動作するので、DHCP_REQUE
STメッセージをマスタポート３１に出力する（ステップ
（１６））。マスタポート３１に接続されたＤＨＣＰサ
ーバ５は、DHCP_REQUESTメッセージを受信すると、当該
DHCP_REQUESTメッセージに含まれるＭＡＣアドレスに対
して認証処理を実施する（ステップ（１７））。すなわ
ち、受信したDHCP_REQUESTメッセージに含まれるクライ
アント端末１のＭＡＣアドレスが、接続を許可されたク
ライアント端末のＭＡＣアドレスであるか確認する。こ
の処理は、一般的なＤＨＣＰサーバ５の機能であり、従
来と変わりない。

【００５６】もし、クライアント端末１のＭＡＣアドレ
スが、接続を許可されたクライアント端末のＭＡＣアド
レスではないと判断された場合には、ＤＨＣＰサーバ５
は何らの応答を返さない。一方、クライアント端末１の
ＭＡＣアドレスが、接続を許可されたクライアント端末
のＭＡＣアドレスであると判断された場合には、DHCP_R
EQUESTメッセージに含まれる更新すべきＩＰアドレス等
のネットワーク情報を更新登録する。そして、更新登録
されたＩＰアドレスなどのネットワーク情報を含むDHCP
_ACKメッセージをスイッチングハブ３に送信する（ステ
ップ（１８））。

【００５７】スイッチングハブ３の通信制御部３６は、
受信したDHCP_ACKメッセージを送信先ポートであるポー
トＡ（３２）に出力する（ステップ（１９））。

【００５８】スイッチングハブ３の信号検出部３５は、
DHCP_ACKメッセージを検出すると、送信先ポートの識別
情報とDHCP_ACKメッセージを受信したことを表す信号を
ポート状態管理部３８に出力する。そして、ポート状態
管理部３８のポートＡ管理部３８１に含まれるレジスタ
３８１ａにレディ状態を表す値を格納する。但し、既に
レディ状態であるから変更はない。また、タイマ３８１
ｂが所定の初期値をカウントダウンし始める。ここで
は、カウント値を所定の初期値に戻してからカウントダ
ウンを開始する。これは図４のステップＳ４３、Ｓ４５
及びＳ４７のルートに従った処理である。

【００５９】クライアント端末１は、ポートＡ（３２）
を介してDHCP_ACKメッセージを受信すると、当該DHCP_A
CKメッセージに含まれるネットワーク情報の更新を行
う。例えば、新たなリース期間の情報を登録する。これ
により、クライアント端末１は、通常どおりスイッチン
グハブ３を介して他のクライアント端末やサーバ等と通
信を続けることができるようになる。

【００６０】所定の更新時期が到来する毎にステップ
（１４）乃至ステップ（１９）を繰り返す。なお、ステ
ップ（１５）で送信されたDHCP_REQUESTメッセージをス
イッチングハブ３が受信した際に、既にポートＡ（３
２）の状態がスタンバイ状態になっている場合もある。
この場合にも、図２のステップＳ５、Ｓ７及びＳ９のル
ートで処理される。なお、ＤＨＣＰサーバ５において認
証されなければ、ＤＨＣＰサーバ５は応答しないので、
図６で述べるような処理を実施することになる。

【００６１】図６は、クライアント端末１とスイッチン
グハブ３との接続にリンクダウンが発生した場合、又は
ＩＰアドレスの更新が所定期間行わなかった場合の処理
を示すものである。何らかの理由で上で述べたような状
況が発生すると、スイッチングハブ３のポート状態管理
部３８におけるポートＡ管理部３８１のレジスタ３８１
ａにスタンバイ状態を表す値が登録される。これは、図
４のステップＳ４９及びＳ５１、又はステップＳ４１及
びＳ５１のルートに従ったものである。

【００６２】このように一度スタンバイ状態になってし
まうと、以前に割当てられたＩＰアドレスを保持してい
たとしても、クライアント端末１は通常のメッセージを
スイッチングハブ３に送信しても（図６：ステップ（２
１））、スイッチングハブ３の通信制御部３６はいずれ
のポートへも信号を出力することはない（ステップ（２
２））。これは図２のステップＳ５、Ｓ７及びＳ１１の
ルートで信号がブロックされるためである。

【００６３】従って、クライアント端末１は、ＤＨＣＰ
サーバ５から再度ＩＰアドレスの割当てを受けるため
に、DHCP_DISCOVERメッセージをスイッチングハブ３に
送信する（ステップ（３））。なお、クライアント端末
１はＤＨＣＰサーバ５がいずれにいるのか分からないた
め、DHCP_DISCOVERメッセージをブロードキャストする
ように設定する。ポートＡ（３２）を介してDHCP_DISCO
VERメッセージを受信した通信制御部３６は、DHCP_DISC
OVERメッセージがブロードキャストするような設定にな
っているが、マスタポート３１のみに出力する（ステッ
プ（２４））。これは図２のステップＳ５、Ｓ７及びＳ
９のルートに従った処理である。

【００６４】マスタポート３１に接続されたＤＨＣＰサ
ーバ５は、DHCP_DISCOVERメッセージを受信すると、当
該DHCP_DISCOVERメッセージに含まれるクライアント端
末１のＭＡＣアドレスの認証処理を実施する（ステップ
（２５））。すなわち、受信したDHCP_DISCOVERメッセ
ージに含まれるクライアント端末１のＭＡＣアドレス
が、接続を許可されたクライアント端末のＭＡＣアドレ
スであるか確認する。もし、クライアント端末１のＭＡ
Ｃアドレスが、接続を許可されたクライアント端末のＭ
ＡＣアドレスではないと判断された場合には、ＤＨＣＰ
サーバ５は何らの応答も返さない。一方、クライアント
端末１のＭＡＣアドレスが、接続を許可されたクライア
ント端末のＭＡＣアドレスであると判断された場合に
は、使用可能なＩＰアドレスを検出し、当該使用可能な
ＩＰアドレスなどのネットワーク情報を含むDHCP_OFFER
メッセージをスイッチングハブ３に送信する（ステップ
（２６））。なお、まだクライアント端末１のＩＰアド
レスは確定していないので、ＤＨＣＰサーバ５もDHCP_O
FFERメッセージをブロードキャストするように設定す
る。

【００６５】スイッチングハブ３の通信制御部３６は、
DHCP_OFFERメッセージをマスタポート３１から受信する
と、DHCP_OFFERメッセージに含まれる送信先ＭＡＣアド
レスに対応するポート（ここではポートＡ（３２））を
特定し、当該ポートのみにDHCP_OFFERメッセージを出力
する（ステップ（２７））。この処理は、図３のステッ
プＳ２５、Ｓ２９及びＳ３３のルートに従った処理であ
る。

【００６６】クライアント端末１は、スイッチングハブ
３からDHCP_OFFERメッセージを受信すると、使用するＩ
Ｐアドレスを選択し、使用するＩＰアドレスの情報等を
含むDHCP_REQUESTメッセージをスイッチングハブ３に送
信する（ステップ（２８））。DHCP_REQUESTメッセージ
についても、まだＩＰアドレスが確定しているわけでは
ないので、ブロードキャストするように設定される。

【００６７】ポートＡ（３２）を介してDHCP_REQUESTメ
ッセージを受信した通信制御部３６は、DHCP_REQUESTメ
ッセージがブロードキャストするような設定になってい
るが、マスタポート３１のみに出力する（ステップ（２
９））。これは図２のステップＳ５、Ｓ７及びＳ９のル
ートに従った処理である。

【００６８】マスタポート３１に接続されたＤＨＣＰサ
ーバ５は、DHCP_REQUESTメッセージを受信すると、当該
DHCP_REQUESTメッセージに含まれるクライアント端末１
のＭＡＣアドレスの認証処理を実施する（ステップ（３
０））。すなわち、受信したDHCP_REQUESTメッセージに
含まれるクライアント端末１のＭＡＣアドレスが、接続
を許可されたクライアント端末のＭＡＣアドレスである
か確認する。この処理は、一般的なＤＨＣＰサーバ５の
機能であり、従来と変わりない。もし、クライアント端
末１のＭＡＣアドレスが、接続を許可されたクライアン
ト端末のＭＡＣアドレスではないと判断された場合に
は、ＤＨＣＰサーバ５は何らの応答を返さない。一方、
クライアント端末１のＭＡＣアドレスが、接続を許可さ
れたクライアント端末のＭＡＣアドレスであると判断さ
れた場合には、DHCP_REQUESTメッセージで指定されたＩ
Ｐアドレス等のネットワーク情報を設定登録する。そし
て、設定登録されたＩＰアドレスなどのネットワーク情
報を含むDHCP_ACKメッセージをスイッチングハブ３に送
信する（ステップ（３１））。なお、まだクライアント
端末１のＩＰアドレスは確定したがクライアント端末１
に設定されていないので、ＤＨＣＰサーバ５もDHCP_ACK
メッセージをブロードキャストするように設定する。

【００６９】スイッチングハブ３の通信制御部３６は、
DHCP_ACKメッセージをマスタポート３１から受信する
と、DHCP_ACKメッセージに含まれる送信先ＭＡＣアドレ
スに対応するポート（ここではポートＡ（３２））を特
定し、当該ポートのみにDHCP_ACKメッセージを出力する
（ステップ（３２））。この処理は、図３のステップＳ
２５、Ｓ２９及びＳ３３のルートに従った処理である。
なお、この段階において、スイッチングハブ３のポート
状態管理部３８のポートＡ管理部３８１に含まれるレジ
スタ３８１ａにレディ状態を表す値を格納する。また、
タイマ３８１ｂが所定の初期値をカウントダウンし始め
る。これは図４のステップＳ４３、Ｓ４５及びＳ４７の
ルートに従った処理である。

【００７０】クライアント端末１は、ポートＡ（３２）
を介してDHCP_ACKメッセージを受信すると、当該DHCP_A
CKメッセージに含まれるＩＰアドレスなどのネットワー
ク情報の設定を行う（ステップ（３３））。これによ
り、クライアント端末１は、また通常どおりスイッチン
グハブ３を介して他のクライアント端末やサーバ等と通
信を行うことができるようになる。

【００７１】このように最初にＤＨＣＰサーバ５がスイ
ッチングハブ３に接続した際と同様の処理を実施する必
要がある。なお、リンクダウンしたのではなく、ＩＰア
ドレスの更新が所定期間行われない場合であって且つ使
用していたＩＰアドレスが他のコンピュータにより使用
されていなければ、DHCP_DISCOVERメッセージから処理
を開始せずに、リース期間の更新のためのDHCP_REQUEST
メッセージから処理を開始しても、レディ状態に遷移さ
せることができる場合もある。但し、他のクライアント
端末がそのＩＰアドレスを使用している場合には、通信
が適切に行われなくなるのでDHCP_DISCOVERメッセージ
から処理を開始せざるを得なくなる。

【００７２】図５及び図６は、クライアント端末１のＭ
ＡＣアドレスが使用可能なＭＡＣアドレスとしてＤＨＣ
Ｐサーバ５に登録されている場合を中心に説明したが、
図７乃至図９を用いて不正なクライアント端末がスイッ
チングハブに接続された場合等の動作について説明す
る。ここでスイッチングハブ３には、ＤＨＣＰサーバ５
と、ＤＨＣＰサーバ５にＭＡＣアドレスが登録されてい
るが認証未了である正常なクライアント端末１と、不正
なクライアント端末７と、ＤＨＣＰサーバ５による認証
が完了している正常なクライアント端末９とが接続され
ている。認証が完了しているというのは、ＤＨＣＰサー
バ５からDHCP_ACKメッセージが送信されていることを意
味している。すなわちクライアント端末９が接続されて
いるポートには、スイッチングハブ３においてレディ状
態が登録されている。一方、クライアント端末１及びク
ライアント端末７が接続されているポートには、スイッ
チングハブ３においてスタンバイ状態が登録されてい
る。

【００７３】図７（ａ）の状態では、クライアント端末
９は、既にＤＨＣＰサーバ５による認証が済んでいるた
め、ＤＨＣＰサーバ５及びその他のレディ状態のポート
に接続されたコンピュータとスイッチングハブ３を介し
て通信を行うことが出来る。しかし、クライアント端末
１及びクライアント端末７が接続されているポートはス
タンバイ状態であるから、クライアント端末１及びクラ
イアント端末７には通常のデータは出力されない。ま
た、クライアント端末９は、ＤＨＣＰサーバ５及びその
他のレディ状態のポートに接続されたコンピュータとス
イッチングハブ３を介して自由に通信を行うことができ
る。しかし、図７（ｂ）に示すように、クライアント端
末１及びクライアント端末７は、通常のデータであれば
スイッチングハブ３がブロックするため、他のコンピュ
ータに対してデータを送信することもできない。

【００７４】図７（ｃ）の状態では、クライアント端末
１及びクライアント端末７は、ＩＰアドレスの割当てを
受けるためにDHCP_DISCOVERメッセージ及びDHCP_REQUES
Tメッセージを送信する。このDHCP_DISCOVERメッセージ
及びDHCP_REQUESTメッセージはブロードキャストされる
が、スイッチングハブ３はブロードキャストが指定され
たこれらのメッセージをマスタポートに接続されたＤＨ
ＣＰサーバ５にのみ送信する。これにより、他に不正な
クライアント端末がスイッチングハブ３に接続している
場合であっても、当該不正なクライアント端末がネット
ワーク情報を不正に取得することができなくなる。クラ
イアント端末９は、図７（ａ）及び（ｂ）に示すよう
に、レディ状態のポート及びマスタポート３１に接続さ
れたコンピュータと自由に通信を行うことが出来る。

【００７５】図８（ａ）では、正常なクライアント端末
１は、ＤＨＣＰサーバ５においてＭＡＣアドレスが認証
されてＩＰアドレスを含むネットワーク情報が設定され
る。このネットワーク情報は最終的にDHCP_ACKメッセー
ジとしてＤＨＣＰサーバ５からスイッチングハブ３を介
してクライアント端末１に送信される。スイッチングハ
ブ３は、DHCP_ACKメッセージを検出すると、送信先ポー
トの状態をスタンバイ状態からレディ状態に変更する。
クライアント端末１は、DHCP_ACKメッセージを受信し
て、当該DHCP_ACKメッセージに含まれるネットワーク情
報を設定登録する。一方、不正なクライアント端末７
は、ＤＨＣＰサーバ５においてＭＡＣアドレスが認証さ
れず、何らの応答も返されない。従って、スイッチング
ハブ３もクライアント端末７が接続されたポートの状態
をスタンバイ状態に維持する。

【００７６】従って図８（ｂ）に示すように、クライア
ント端末１とクライアント端末９とＤＨＣＰサーバ５
は、スイッチングハブ３を介して自由にデータを送受信
することができるが、不正なクライアント端末７は通常
のデータの送受信を全く行うことができない。

【００７７】このように通常のデータの送受信をブロッ
クするため、パスワードを何度も入れたり、不正なデー
タを送りつづけるといったこともできなくなる。また、
他のコンピュータが送信しているデータを盗聴すること
もできなくなるため、不正行為を防止しやすくなる。ま
た、スイッチングハブ３において不正なデータの送信ロ
グを格納する機能を付加すれば、その不正なデータを送
信しているコンピュータを特定したりすることもできる
ようになる。

【００７８】次に図９を用いて他の状態遷移について説
明する。図９（ａ）では、スイッチングハブ３には、Ｄ
ＨＣＰサーバ５と、ＤＨＣＰサーバ５によるＭＡＣアド
レスの認証が完了している正常なクライアント端末１
と、同様にＤＨＣＰサーバ５によるＭＡＣアドレスの認
証が完了している正常なクライアント端末７とが接続さ
れている。認証が完了しているというのは、ＤＨＣＰサ
ーバ５からDHCP_ACKメッセージが送信されていることを
意味している。すなわちクライアント端末１及びクライ
アント端末７が接続されているポートには、スイッチン
グハブ３においてレディ状態が登録されている。図９
（ａ）では、クライアント端末１と、クライアント端末
７と、ＤＨＣＰサーバ５とはスイッチングハブ３を介し
て自由にデータを送受信することが出来る。

【００７９】ここで何らかの理由でクライアント端末７
がＤＨＣＰサーバ５において認証されない状態になるも
のとする。但し、スイッチングハブ３ではクライアント
端末７が接続されているポートの状態はレディ状態のま
まであり、図９（ｂ）に示すように不正なクライアント
端末７でも自由に通信ができてしまう。

【００８０】その後、図９（ｃ）において、ＩＰアドレ
スのリース期間の更新時期になり、クライアント端末１
及びクライアント端末７は、DHCP_REQUESTメッセージを
ＤＨＣＰサーバ５に送信することになる。

【００８１】しかし、図９（ｄ）に示すように、正常な
クライアント端末１には、DHCP_ACKメッセージが返信さ
れるが、不正なクライアント端末７にはDHCP_ACKメッセ
ージが返信されない。従って、クライアント端末７が接
続されているポートのポート管理部内のタイマのカウン
ト値が０になれば、当該ポートの状態はレディ状態から
スタンバイ状態に変更される。そうすれば、不正なクラ
イアント端末７は、通常のデータを送信することも受信
することもできなくなる。従って、途中で認証されない
状態になった場合には、所定時間以内にスイッチングハ
ブ３から締め出されることになる。クライアント端末７
とスイッチングハブ３との接続が途中でリンクダウンし
た場合も同様であり、スタンバイ状態になるため、クラ
イアント端末７は通常のデータを送信することも受信す
ることもできなくなる。

【００８２】もしクライアント端末７が、ＤＨＣＰサー
バ５に再登録されるなどにより認証されるような状態に
なった場合には図７（ｃ）及び図８に示すような手順に
て再度ＩＰアドレスを含むネットワーク情報の割当てを
受けることにより、データを送受信できるようになる。

【００８３】以上本発明の一実施の形態を説明したが、
本発明はこれに限定されるものではない。例えば、ＩＰ
アドレスの割当てを一例に示したが、他のネットワーク
情報の割当ての場面においても適用可能である。また、
スイッチングハブを前提として説明したが、他のネット
ワーク接続装置においても適用可能な場合もある。ま
た、スイッチングハブにＤＨＣＰサーバ５が直接接続さ
れる場合を説明したが、これも一例であって例えばルー
タなどの他のネットワーク接続装置を介して接続する場
合もある。

【００８４】また、上では説明しなかったが、現在使用
されているＩＰアドレスを確認するために、ICMP Echo
リクエストを送信するような場合もある。

【００８５】上で述べたようなメッセージのやりとりに
ついてはＲＦＣ２１３１に規定されており、本実施の形
態において変更された部分はない。従って、スイッチン
グハブ３などのネットワーク接続機器の構成を上で述べ
たような機能を有するものに置換すれば、上で述べたよ
うに不正なコンピュータを締め出すことができ且つ不要
な情報を与えることもなくなる。

【００８６】なお、上で述べた実施の形態では、常にマ
スタポートを設定しておくスイッチングハブを説明した
が、例えばマスタポートを設定しておくモードと、マス
タポートを設定しないモードを切り替え可能なスイッチ
ングハブ等のネットワーク接続装置であってもよい。

【００８７】また、ＤＨＣＰサーバは、１つのネットワ
ークにおいて複数設けられる場合もあるが、通常は１つ
のＤＨＣＰサーバがあれば十分である。例えばマスタポ
ートを１つしか設定しなければ、不正なコンピュータに
誤ってＩＰアドレスを割当てるといったことを防止で
き、セキュリティを高めることが出来る。

【００８８】（付記１）初期状態であって且つクライア
ント端末が接続されたポートについて、ネットワーク情
報を設定するための処理を実施するサーバに対する信号
の受信を検出する検出ステップと、前記検出ステップに
おいて前記信号の受信が検出された場合、前記信号を前
記サーバが接続されたネットワーク用のポートのみに出
力するステップと、を含む信号出力制御方法。

【００８９】（付記２）前記初期状態であって且つクラ
イアント端末が接続されたポートに対する信号を受信し
た場合と前記初期状態であって且つクライアント端末が
接続されたポートから前記サーバが接続されたネットワ
ーク用のポート以外の他のポートに対する信号を受信し
た場合との少なくともいずれかにおいて、当該信号を破
棄するステップをさらに含む付記１記載の信号出力制御
方法。

【００９０】（付記３）前記サーバに対する信号がブロ
ードキャストすべき信号であることを特徴とする付記１
記載の信号出力制御方法。

【００９１】（付記４）初期状態であって且つクライア
ント端末が接続されたポートから、ネットワーク情報を
設定するための処理を実施するサーバに対する信号を受
信した場合、当該信号を前記サーバが接続されたネット
ワーク用のポートに出力するステップと、前記サーバが
接続されたネットワーク用のポートから、前記クライア
ント端末に対するネットワーク情報の設定のための第２
の信号を受信した場合、当該第２の信号を前記クライア
ント端末が接続されたポートに出力すると共に、前記ク
ライアント端末が接続されたポートの状態を前記初期状
態から送受信可能な状態に変更するステップと、を含む
信号出力制御方法。

【００９２】（付記５）前記クライアント端末が接続さ
れたポートの状態を前記初期状態から前記送受信可能な
状態に変更した後所定時間以内に、前記サーバが接続さ
れたネットワーク用のポートについて、前記クライアン
ト端末に対するネットワーク情報の更新のための第３の
信号の受信を検出しなかった場合には、前記クライアン
ト端末が接続されたポートの状態を前記送受信可能な状
態から前記初期状態に変更するステップをさらに含む請
求項４記載の信号出力制御方法。

【００９３】（付記６）前記クライアント端末が接続さ
れたポートについて前記クライアント端末とのリンクが
切れたことを検出した場合、前記ポートの状態を前記送
受信可能な状態から前記初期状態に変更するステップを
さらに含む付記４記載の信号出力制御方法。

【００９４】（付記７）付記１乃至６のいずれか１つ記
載の信号出力制御方法をプロセッサに実行させるための
プログラム。

【００９５】（付記８）各々初期状態と送受信可能な状
態とが設定可能になっている、クライアント端末用の１
又は複数の第１のポートと、ネットワーク情報を設定す
るための処理を実施するサーバが接続されるネットワー
ク用の第２のポートと、初期状態である前記第１のポー
トについて、ブロードキャスト・データの受信を検出す
る検出手段と、前記検出手段により前記ブロードキャス
ト・データの受信が検出された場合、前記ブロードキャ
スト・データを前記第２のポートのみに出力するように
制御する制御手段と、を有するネットワーク接続装置。

【００９６】（付記９）前記制御手段は、前記初期状態
である前記第１のポートに対する信号を受信した場合と
前記初期状態である前記第１のポートから他の前記第１
のポートに対する信号を受信した場合との少なくともい
ずれかにおいて、当該信号を破棄することを特徴とする
付記８記載のネットワーク接続装置。

【００９７】（付記１０）各々初期状態と送受信可能な
状態とが設定可能になっている、クライアント端末用の
１又は複数の第１のポートと、ネットワーク情報を設定
するための処理を実施するサーバが接続されるネットワ
ーク用の第２のポートと、初期状態である前記第１のポ
ートから、前記サーバに対するネットワーク情報の設定
要求を受信した場合、当該設定要求を前記第２のポート
に出力するように制御する制御手段と、前記第２のポー
トから前記クライアント端末に対するネットワーク情報
の設定のための設定応答を受信した場合、前記クライア
ント端末が接続される第１のポートの状態を前記初期状
態から送受信可能な状態に変更する状態管理手段と、を
有し、前記制御手段は、前記第２のポートから前記設定
応答を受信した場合、当該設定応答を前記クライアント
端末が接続される第１のポートに出力するように制御す
ることを特徴とするネットワーク接続装置。

【００９８】（付記１１）前記状態管理手段は、前記第
１のポートの状態を前記初期状態から前記送受信可能な
状態に変更した後所定時間以内に、前記第２のポートか
ら、前記クライアント端末に対するネットワーク情報の
更新のための更新応答の受信を検出しなかった場合に
は、前記第１のポートの状態を前記送受信可能な状態か
ら前記初期状態に変更することを特徴とする付記１０記
載のネットワーク接続装置。

【００９９】（付記１２）前記状態管理手段は、前記第
１のポートについて前記クライアント端末とのリンクが
切れたことを検出した場合、前記第１のポートの状態を
前記送受信可能な状態から前記初期状態に変更すること
を特徴とする付記１０記載のネットワーク接続装置。

【０１００】

【発明の効果】以上述べたように本発明によれば、簡単
な構成にてネットワークに不正にアクセスしようとする
端末の通信を遮断する技術を提供することができる。

【図面の簡単な説明】

【図１】本発明の一実施の形態に係るシステム概要を示
す図である。

【図２】通信制御部及び信号検出部の処理フローを示す
図である。

【図３】通信制御部及び信号検出部の処理フロー（その
２）を示す図である。

【図４】信号検出部及びポート状態管理部の処理フロー
を示す図である。

【図５】メッセージのやりとりを示すフロー図（その
１）である。

【図６】メッセージのやりとりを示すフロー図（その
２）である。

【図７】（ａ）乃至（ｃ）は、不正なクライアント端末
が接続された場合の通信状態を示す図である。

【図８】（ａ）及び（ｃ）は、不正なクライアント端末
が接続された場合の通信状態を示す図である。

【図９】（ａ）乃至（ｄ）は、不正なクライアント端末
が接続された場合の通信状態を示す図である。

【符号の説明】

１，７，９クライアント端末３スイッチングハ
ブ５ＤＨＣＰサーバ３１マスタポート３２ポートＡ３３ポー
トＢ３４ポートＣ３５信号検出部３６通信制
御部３７バッファ３８ポート状態管理部３８１ポートＡ管理部３８１ａレジスタ３
８１ｂタイマ３８２ポートＢ管理部３８２ａレジスタ３
８２ｂタイマ３８３ポートＣ管理部３８３ａレジスタ３
８３ｂタイマ

Claims

【特許請求の範囲】

【請求項１】初期状態であって且つクライアント端末が
接続されたポートについて、ネットワーク情報を設定す
るための処理を実施するサーバに対する信号の受信を検
出する検出ステップと、前記検出ステップにおいて前記信号の受信が検出された
場合、前記信号を前記サーバが接続されたネットワーク
用のポートのみに出力するステップと、を含む信号出力制御方法。
【請求項２】前記初期状態であって且つクライアント端
末が接続されたポートに対する信号を受信した場合と前
記初期状態であって且つクライアント端末が接続された
ポートから前記サーバが接続されたネットワーク用のポ
ート以外の他のポートに対する信号を受信した場合との
少なくともいずれかにおいて、当該信号を破棄するステ
ップをさらに含む請求項１記載の信号出力制御方法。
【請求項３】各々初期状態と送受信可能な状態とが設定
可能になっている、クライアント端末用の１又は複数の
第１のポートと、ネットワーク情報を設定するための処理を実施するサー
バが接続されるネットワーク用の第２のポートと、初期状態である前記第１のポートから、前記サーバに対
するネットワーク情報の設定要求を受信した場合、当該
設定要求を前記第２のポートに出力するように制御する
制御手段と、前記第２のポートから前記クライアント端末に対するネ
ットワーク情報の設定のための設定応答を受信した場
合、前記クライアント端末が接続される第１のポートの
状態を前記初期状態から送受信可能な状態に変更する状
態管理手段と、を有し、前記制御手段は、前記第２のポートから前記設定応答を受信した場合、当
該設定応答を前記クライアント端末が接続される第１の
ポートに出力するように制御することを特徴とするネッ
トワーク接続装置。
【請求項４】前記状態管理手段は、前記第１のポートの状態を前記初期状態から前記送受信
可能な状態に変更した後所定時間以内に、前記第２のポ
ートから、前記クライアント端末に対するネットワーク
情報の更新のための更新応答の受信を検出しなかった場
合には、前記第１のポートの状態を前記送受信可能な状
態から前記初期状態に変更することを特徴とする請求項
１０記載のネットワーク接続装置。
【請求項５】請求項１又は２記載の信号出力制御方法を
プロセッサに実行させるためのプログラム。