JP2006262378A - フレーム中継装置 - Google Patents

Abstract

【課題】手動でＩＰアドレスが設定されたコンピュータによる不正利用を防止できるフレーム中継装置を提供する。
【解決手段】フレーム中継装置を、各下流ポート側のコンピュータからの通常のフレームに関しては、当該コンピュータのＭＡＣアドレスを含むクライアント情報がクライアント情報テーブルに記憶されている場合にのみフレーム中継処理を行う装置であると共に、各下流ポート側のコンピュータとＤＨＣＰサーバとの間で授受されるＤＨＣＰメッセージの内容を解析することにより、或るコンピュータに対してＤＨＣＰサーバによってＩＰアドレスが割り当てられた場合、そのコンピュータのＭＡＣアドレスを含むクライアント情報をクライアント情報テーブルに追加し、或るコンピュータがＩＰアドレスの使用を終了した場合、そのコンピュータのＭＡＣアドレスを含むクライアント情報をクライアント情報テーブルから削除する装置として構成しておく。
【選択図】 図８

Description

本発明は、フレームを中継するフレーム中継装置に関する。

オフィスや工場等で使用されている企業内ネットワークは、通常、ＤＨＣＰ(Dynamic Host Configuration Protocol)サーバにより、各コンピュータにＩＰアドレスが割り当てられるものとなっている。

そして、任意のコンピュータが企業内ネットワークを利用できるのでは、セキュリティ的に問題があるため、ＤＨＣＰサーバとして、ＩＰアドレスの割り当て対象とするコンピュータをＭＡＣアドレス等により予め指定しておくことができるものを用いること（例えば、特許文献１参照。）が、行われている。また、ネットワークのエッジに用いられるネットワーク機器を、ＤＨＣＰサーバを利用できるコンピュータのＭＡＣアドレスを登録できるもの〔送信元ＭＡＣアドレスが、登録されているものでない場合には、ＤＨＣＰに関する各種メッセージをネットワーク上に送信しないもの〕とすること（例えば、特許文献２参照。）も、行われている。

上記のような技術を用いれば、ネットワーク管理者が管理していないコンピュータ（ＤＨＣＰサーバ／ネットワーク機器にＭＡＣアドレスが登録されていないコンピュータ）が、ＤＨＣＰサーバからＩＰアドレスを取得できない企業内ネットワークを構築できることになる。ただし、上記技術は、手動でＩＰアドレスが設定されたコンピュータに対しては何等機能しない技術であるため、上記技術を用いたのでは、ＤＨＣＰサーバの不正利用は防げるが、手動でＩＰアドレスが設定されたコンピュータによる不正利用を防げない企業内ネットワークを実現することしか出来ない。

特開平９−１３０３９７号公報 特開２００３−３１８９３９号公報

そこで、本発明の課題は、手動でＩＰアドレスが設定されたコンピュータによる不正利用を防止できるネットワークを構築可能なフレーム中継装置を提供することにある。

上記課題を解決するために、本発明のフレーム中継装置は、コンピュータを接続するためのＮ個の下流ポートと，他のネットワーク機器に接続される少なくとも１つの上流ポートとを含む複数個のポートと、ＭＡＣアドレスを含むクライアント情報を少なくともＮ個記憶可能なクライアント情報テーブルと、各ポートから受信されたフレームを，当該フレームの宛先アドレスに応じたポートから送信するフレーム中継処理を行うフレーム中継手段であって、各下流ポートから受信された，ＤＨＣＰメッセージとは無関係な各フレームに関しては、それを送信したコンピュータのＭＡＣアドレスを含むクライアント情報がクライアント情報テーブルに記憶されている場合にのみフレーム中継処理を行うフレーム中継手段と、各下流ポートに接続されているコンピュータとＤＨＣＰサーバとの間で授受されるＤＨＣＰメッセージの内容を解析することにより、或る下流ポートに接続されている或るコンピュータに対してＤＨＣＰサーバによってＩＰアドレスが割り当てられた場合には、そのコンピュータのＭＡＣアドレスを含むクライアント情報をクライアント情報テーブルに追加し、或る下流ポートに接続されている或るコンピュータがＩＰアドレスの使用を終了した場合には、そのコンピュータのＭＡＣアドレスを含むクライアント情報をクライアント情報テーブルから削除するクライアント情報テーブル更新手段とを、備える。

このような構成を有する本発明のフレーム中継装置は、下流ポートに接続されたコンピュータがＤＨＣＰサーバからＩＰアドレスを取得したものであった場合に限り、当該コンピュータによって送信されたフレームを中継する装置して機能することになる。従って、本発明のフレーム中継装置を、ＩＰアドレスの割り当て対象とするコンピュータをＭＡＣアドレス等により予め指定しておくことができるＤＨＣＰサーバと共に用いれば、手動でＩＰアドレスが設定されたコンピュータによる不正利用を防止できるネットワークを構築出来ることになる。また、本発明のフレーム中継装置は、通信処理を終了したコンピュータに関するクライアント情報をクライアント情報テーブルから削除する機能を有している。従って、本発明のフレーム中継装置は、多数のコンピュータのいずれもが接続されることがある環境下で使用されても問題なく機能する装置（クライアント情報テーブルにクライアント情報を追加できない状況とならない）装置となっていると言うことが出来る。

本発明のフレーム中継装置を実現するに際しては、クライアント情報テーブルに記憶される各クライアント情報をＩＰアドレスも含む情報としておき、クライアント情報テーブル更新手段を、或る下流ポートに接続されている或るコンピュータに対してＤＨＣＰサーバによってＩＰアドレスが割り当てられた場合には、そのＩＰアドレスと当該コンピュータのＭＡＣアドレスとを含むクライアント情報をクライアント情報テーブルに追加する手段としておき、フレーム中継手段を、各下流ポートから受信された，ＤＨＣＰメッセージとは無関係な各フレームに関しては、それを送信したコンピュータのＭＡＣアドレス及びＩＰアドレスを含むクライアント情報がクライアント情報テーブルに記憶されている場合にのみフレーム中継処理を行う手段としておくことが出来る。

また、本発明のフレーム中継装置を実現するに際しては、クライアント情報テーブルに記憶される各クライアント情報を、自情報の有効期限を示す有効期限情報も含む情報としておき、クライアント情報テーブル更新手段を、或る下流ポートに接続されている或るコンピュータに対してＤＨＣＰサーバによってＩＰアドレスが割り当てられた場合、そのＩＰアドレスのリース時間に応じた内容の有効期限情報を含むクライアント情報をクライアント情報テーブルに追加する手段であると共に、或る下流ポートに接続されている或るコンピュータに対して割り当てられているＩＰアドレスのリース時間が延長された場合には、そのコンピュータのＭＡＣアドレスを含むクライアント情報内の有効期限情報を，延長されたリース時間に応じた内容のものに変更する手段としておき、クライアント情報テーブル上の，有効期限情報が示す有効期限が過ぎているクライアント情報を削除するクライアント情報削除手段を付加しておくことが、望ましい。何故ならば、このように、フレーム中継装置を構成しておけば、異常終了したコンピュータに関するクライアント情報がクライアント情報テーブル上に残ることを防止できることになるからである。

本発明のフレーム中継装置を用いれば、手動でＩＰアドレスが設定されたコンピュータによる不正利用を防止できるネットワークを構築することが出来る。

以下、本発明を実施するための最良の形態を、図面を参照して詳細に説明する。

まず、図１及び図２を用いて、本発明の一実施形態に係るフレーム中継装置１０の概要を説明する。

図１に模式的に示してあるように、本発明の一実施形態に係るフレーム中継装置１０は、ＤＨＣＰサーバ２０に接続されているネットワークのエッジ部分（コンピュータ３０が接続される部分）に使用される装置である。なお、フレーム中継装置１０は、通常、ＩＰアドレスの割り当て対象とするコンピュータ３０をＭＡＣアドレスにて予め指定しておくことができるＤＨＣＰサーバ２０（ＩＰアドレスの割り当て対象とするコンピュータ３０のＭＡＣアドレスを登録できるＤＨＣＰサーバ２０）と組み合わされて使用される装置となっている。

このフレーム中継装置１０は、コンピュータ３０を接続するためのＮ個のポート（以下、下流ポートと表記する）と、他のネットワーク機器に接続されるポート（そこから送信されたフレームが、他のフレーム中継装置１０やＤＨＣＰサーバ２０に受信されることになるポート；以下、上流ポートと表記する）とを、備えた装置である。また、フレーム中継装置１０は、そのメモリの一部が、図２に示した構成のクライアント情報テーブル，すなわち，ＭＡＣアドレスとＩＰアドレスとリース完了日時とからなるクライアント情報をＭ個（Ｍは、同時に接続可能なコンピュータ数として予め定められているＮ以上の値；ハブを介した接続を許可しない場合、Ｍ＝Ｎ）記憶可能なクライアント情報テーブルとして使用される装置となっている。

以上のことを前提として、以下、本実施形態に係るフレーム中継装置１０の動作を説明する。なお、本実施形態に係るフレーム中継装置１０は、既存のフレーム中継装置のファームウェアを改良した装置であるため、その具体的なハードウェア構成の説明は省略することにする。

まず、上流ポートから受信したフレーム（イーサーネット・フレーム：イーサーネットは富士ゼロックス（株）の商標）に対するフレーム中継装置１０の動作を説明する。

図３に示してあるように、上流ポートからフレームを受信した場合、フレーム中継装置１０は、まず、そのフレーム（以下、処理対象フレームと表記する）が，ＤＨＣＰ−ＡＣＫメッセージに関するフレームであるか否かを判断する(ステップＳ１０１)。

ここで、ＤＨＣＰ−ＡＣＫメッセージとは、図４に示した手順で行われる，ＤＨＣＰによるＩＰアドレスの割当て処理時や、図５に示した手順で行われる，ＩＰアドレスのリース時間の延長処理時に、ＩＰアドレスの割当て／ＩＰアドレスのリース時間の延長を要求したコンピュータ３０が最終的に受信するＤＨＣＰメッセージのことである。詳細説明は省略するが、ＤＨＣＰによる各種処理に用いられている各種ＤＨＣＰメッセージは、図６に示したフォーマットの情報となっている。そして、ＤＨＣＰ−ＡＣＫメッセージ（及びＤＨＣＰ−ＯＦＦＥＲメッセージ）は、或るコンピュータ３０に対してＤＨＣＰサーバ２０が，新規に割り当てた（使用を許可した）ＩＰアドレス，又は，リース時間の延長を許可したＩＰアドレスを、"Yiaddr"（Your IP address）として含み、当該コンピュータ３０のＭＡＣアドレスを、"Chaddr"（Client Hardware address）として含み、リース時間，自メッセージがＡＣＫメッセージであることを示すメッセージタイプ等からなる情報を、"opiton"として含むメッセージとなっている。

処理対象フレームが，このようなＤＨＣＰ−ＡＣＫメッセージに関するフレームであった場合(図３：ステップＳ１０１；ＹＥＳ)、フレーム中継装置１０は、ＤＨＣＰ−ＡＣＫメッセージに含まれる"Chaddr"，"Yiaddr"を，それぞれ、処理対象ＭＡＣアドレス、処理対象ＩＰアドレスとして記憶すると共に、ＤＨＣＰ−ＡＣＫメッセージに含まれる"option"中のリース時間を現在日時に加算した値（現在日時からリース時間が経過した日時を表す値）を、処理対象リース完了日時として記憶する処理(ステップＳ１０２)を行う。次いで、フレーム中継装置１０は、ＭＡＣアドレス，ＩＰアドレスが，それぞれ，処理対象ＭＡＣアドレス，処理対象ＩＰアドレスと一致しているクライアント情報（以下、対応クライアント情報と表記する）が，クライアント情報テーブル（図２参照）に記憶されているか否かを判断する(ステップＳ１０３)。

対応クライアント情報がクライアント情報テーブルに記憶されていた場合(ステップＳ１０３；ＹＥＳ)、フレーム中継装置１０は、クライアント情報テーブル上の，対応クライアント情報に関するリース完了日時を，処理対象リース完了日時に変更する(ステップＳ１０４)。一方、対応クライアント情報がクライアント情報テーブルに記憶されていなかった場合(ステップＳ１０３；ＮＯ)、フレーム中継装置１０は、処理対象ＭＡＣアドレス、処理対象ＩＰアドレス，処理対象リース完了日時を、それぞれ、ＭＡＣアドレス、ＩＰアドレス，リース完了日時として設定したクライアント情報を、クライアント情報テーブルに追加する(ステップＳ１０５)。

そして、ステップＳ１０４或いはＳ１０５の処理を終えたフレーム中継装置１０は、処理対象フレームを、その宛先アドレスに応じたポート（いずれかの下流ポート）から送信する処理(ステップＳ１０６)を行ってから、この図の処理を終了する。

また、処理対象フレームが，ＤＨＣＰ−ＡＣＫメッセージに関するフレームでなかった場合(ステップＳ１０１；ＮＯ)、フレーム中継装置１０は、クライアント情報テーブルの内容を変更することなく、ステップＳ１０６の処理を行ってから、この図の処理を終了する。

次に、各下流ポートから受信したフレームに対するフレーム中継装置１０の動作を説明する。

図７に示してあるように、フレーム中継装置１０は、或る下流ポートから或るフレームを受信した場合には、まず、そのフレーム（以下、処理対象フレームと表記する）が，ＤＨＣＰ−ＲＥＬＥＡＳＥメッセージに関するフレームであるか否かを判断する(ステップＳ２０１)。なお、ＤＨＣＰ−ＲＥＬＥＡＳＥメッセージとは、自身に割り当てられているＩＰアドレスの使用終了時にコンピュータ３０（ＤＨＣＰクライアント）がＤＨＣＰサーバ２０に対して送信するＤＨＣＰメッセージのことである。

処理対象フレームが、ＤＨＣＰ−ＲＥＬＥＡＳＥメッセージに関するフレームではなかった場合(ステップＳ２０１；ＮＯ)、フレーム中継装置１０は、対応クライアント情報（ＭＡＣアドレス，ＩＰアドレスが、それぞれ、処理対象フレームに含まれるＭＡＣアドレス，ＩＰアドレスと一致しているクライアント情報）がクライアント情報テーブルに記憶されているか否かを判断する(ステップＳ２０３)。

そして、フレーム中継装置１０は、対応クライアント情報テーブルがクライアント情報テーブルに記憶されていた場合(ステップＳ２０３；ＹＥＳ)には、ステップＳ２０５にて、処理対象フレームを当該フレームの宛先アドレスに応じたポートから送信する処理を行ってから、この図７の処理を終了する。一方、対応クライアント情報がクライアント情報テーブルに記憶されていなかった場合(ステップＳ２０３；ＮＯ)、フレーム中継装置１０は、処理対象フレームを破棄する処理（ステップＳ２０４）を行ってから、この図７の処理を終了する。

また、処理対象フレームが、ＤＨＣＰ−ＲＥＬＥＡＳＥメッセージに関するフレームであった場合(ステップＳ２０１；ＹＥＳ)、フレーム中継装置１０は、処理対象フレームの送信元コンピュータ３０に関するクライアント情報（処理対象フレームの送信元ＭＡＣアドレスと同じＭＡＣアドレスを含むクライアント情報）をクライアント情報テーブルから削除する処理(ステップＳ２０２)と、ステップＳ２０５の処理とを行ってから、図７の処理を終了する。

そして、本実施形態に係るフレーム中継装置１０は、上記のように、各ポートからのフレームを処理する装置であると共に、そのリース完了日時が過去を示しているクライアント情報をクライアント情報テーブルから消去する処理を周期的に行う装置となっている。

以上、説明したように、本実施形態に係るフレーム中継装置１０は、或る下流ポートに接続されている或るコンピュータ３０が、そのＭＡＣアドレスを含むクライアント情報がクライアント情報テーブルに記憶されているものであった場合に限り、当該コンピュータ３０が送信したフレームを中継する装置として構成されいる。また、フレーム中継装置１０は、図８に模式的に示してあるように、コンピュータ３０ＡがＤＨＣＰサーバ２０からＩＰアドレスを取得したときに、そのコンピュータ３０ＡのＭＡＣアドレスを含むクライアント情報（以下、クライアント情報Ａと表記する）をクライアント情報テーブルに追加し、そのコンピュータ３０ＡがＩＰアドレスの使用を終了したときに、クライアント情報Ａをクライアント情報テーブル上から消去する装置となっている。

従って、このフレーム中継装置１０を、ＩＰアドレスの割り当て対象とするコンピュータをＭＡＣアドレス等により予め指定しておくことができるＤＨＣＰサーバ２０と共に用いれば、手動でＩＰアドレスが設定されたコンピュータによる不正利用を防止できるネットワークを構築出来ることになる。

また、フレーム中継装置１０は、コンピュータ３０Ａに割り当てられたＩＰアドレスのリース時間が延長される度に、クライアント情報Ａ中のリース完了日時を変更する機能（図３，図８参照）と、リース完了日時が過去を示しているクライアント情報をクライアント情報テーブルから消去する機能とを有している。従って、フレーム中継装置１０は、多数のコンピュータのいずれもが接続されることがある環境下で使用されても問題なく機能する装置（クライアント情報テーブルにクライアント情報を追加できない状況とならない）装置となっていると言うことが出来る。

《変形形態》
上記したフレーム中継装置１０は、各種の変形を行うことが出来る。例えば、クライアント情報として、ＭＡＣアドレスのみからなる情報や、ＭＡＣアドレスとリース完了日時とからなる情報が記憶されるように、フレーム中継装置１０を変形することが出来る。また、フレーム中継装置１０を、上記したものとは異なる手順で、ＤＨＣＰ−ＲＥＬＥＡＳＥメッセージを送信することなく通信を終了したコンピュータ３０に関するクライアント情報がクライアント情報テーブル上から消去する装置（例えば、一定時間以上、そこに含まれるＭＡＣアドレスが送信元アドレスとなっているフレームを受信しなかったクライアント情報をクライアント情報テーブル上から消去する装置）に、変形することも出来る。

また、フレーム中継装置１０を、或る下流ポートに受信されたフレームの送信元ＭＡＣアドレスが、クライアント情報テーブル上のいずれのＭＡＣアドレスとも一致していなかった場合、当該渦中ポートを遮断してしまう装置に変形することも出来る。

本発明の一実施形態に係るフレーム中継装置の使用形態の説明図。 実施形態に係るフレーム中継装置が備えるクライアント情報テーブルの説明図。 実施形態に係るフレーム中継装置が，上流ポートからフレームを受信した際に実行する処理の流れ図。 ＤＨＣＰによるＩＰアドレスの割当て処理の説明図。 ＤＨＣＰによるＩＰアドレスのリース時間の延長処理の説明図。 ＤＨＣＰメッセージフォーマットの説明図。 実施形態に係るフレーム中継装置が，下流ポートからフレームを受信した際に実行する処理の流れ図。 実施形態に係るフレーム中継装置の動作内容の説明図。

符号の説明

１０ フレーム中継装置
２０ ＤＨＣＰサーバ
３０ コンピュータ

Claims (4)

1. コンピュータを接続するためのＮ個の下流ポートと，他のネットワーク機器に接続される少なくとも１つの上流ポートとを含む複数個のポートと、
   ＭＡＣアドレスを含むクライアント情報を少なくともＮ個記憶可能なクライアント情報テーブルと、
   各ポートから受信されたフレームを，当該フレームの宛先アドレスに応じたポートから送信するフレーム中継処理を行うフレーム中継手段であって、各下流ポートから受信された，ＤＨＣＰメッセージとは無関係な各フレームに関しては、それを送信したコンピュータのＭＡＣアドレスを含むクライアント情報が前記クライアント情報テーブルに記憶されている場合にのみ前記フレーム中継処理を行うフレーム中継手段と、
   各下流ポートに接続されているコンピュータとＤＨＣＰサーバとの間で授受されるＤＨＣＰメッセージの内容を解析することにより、或る下流ポートに接続されている或るコンピュータに対してＤＨＣＰサーバによってＩＰアドレスが割り当てられた場合には、そのコンピュータのＭＡＣアドレスを含むクライアント情報を前記クライアント情報テーブルに追加し、或る下流ポートに接続されている或るコンピュータがＩＰアドレスの使用を終了した場合には、そのコンピュータのＭＡＣアドレスを含むクライアント情報を前記クライアント情報テーブルから削除するクライアント情報テーブル更新手段と
   を備えることを特徴とするフレーム中継装置。
2. 前記クライアント情報テーブルに記憶される各クライアント情報が、ＩＰアドレスも含む情報であり、
   前記クライアント情報テーブル更新手段が、或る下流ポートに接続されている或るコンピュータに対してＤＨＣＰサーバによってＩＰアドレスが割り当てられた場合には、そのＩＰアドレスと当該コンピュータのＭＡＣアドレスとを含むクライアント情報を前記クライアント情報テーブルに追加する手段であり、
   前記フレーム中継手段が、各下流ポートから受信された，ＤＨＣＰメッセージとは無関係な各フレームに関しては、それを送信したコンピュータのＭＡＣアドレス及びＩＰアドレスを含むクライアント情報が前記クライアント情報テーブルに記憶されている場合にのみフレーム中継処理を行う手段である
   ことを特徴とする請求項１記載のフレーム中継装置。
3. 前記クライアント情報テーブルに記憶される各クライアント情報が、自情報の有効期限を示す有効期限情報も含む情報であり、
   前記クライアント情報テーブル更新手段が、或る下流ポートに接続されている或るコンピュータに対してＤＨＣＰサーバによってＩＰアドレスが割り当てられた場合、そのＩＰアドレスのリース時間に応じた内容の有効期限情報を含むクライアント情報を前記クライアント情報テーブルに追加する手段であると共に、或る下流ポートに接続されている或るコンピュータに対して割り当てられているＩＰアドレスのリース時間が延長された場合には、そのコンピュータのＭＡＣアドレスを含むクライアント情報内の有効期限情報を，延長されたリース時間に応じた内容のものに変更する手段であり、
   前記クライアント情報テーブル上の，有効期限情報が示す有効期限が過ぎているクライアント情報を削除するクライアント情報削除手段を、さらに、備える
   ことを特徴とする請求項１又は請求項２に記載のフレーム中継装置。
4. 前記フレーム中継手段が、各下流ポートから受信された，前記フレーム中継処理を行わなかった各フレームを破棄する手段である
   ことを特徴とする請求項１乃至請求項３のいずれかに記載のフレーム中継装置。