JP2009296246A - ネットワーク中継装置、および、ネットワーク中継装置方法 - Google Patents

ネットワーク中継装置、および、ネットワーク中継装置方法 Download PDF

Info

Publication number
JP2009296246A
JP2009296246A JP2008147131A JP2008147131A JP2009296246A JP 2009296246 A JP2009296246 A JP 2009296246A JP 2008147131 A JP2008147131 A JP 2008147131A JP 2008147131 A JP2008147131 A JP 2008147131A JP 2009296246 A JP2009296246 A JP 2009296246A
Authority
JP
Japan
Prior art keywords
regular
address
layer
port
network relay
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2008147131A
Other languages
English (en)
Other versions
JP4734374B2 (ja
Inventor
Tomohiko Kono
智彦 河野
Shinichi Akaha
真一 赤羽
Kosei Nara
孝生 奈良
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Alaxala Networks Corp
Original Assignee
Alaxala Networks Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Alaxala Networks Corp filed Critical Alaxala Networks Corp
Priority to JP2008147131A priority Critical patent/JP4734374B2/ja
Priority to US12/475,853 priority patent/US8422493B2/en
Publication of JP2009296246A publication Critical patent/JP2009296246A/ja
Application granted granted Critical
Publication of JP4734374B2 publication Critical patent/JP4734374B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/66—Layer 2 routing, e.g. in Ethernet based MAN's
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L49/00—Packet switching elements
    • H04L49/35—Switches specially adapted for specific applications
    • H04L49/354—Switches specially adapted for specific applications for supporting virtual local area networks [VLAN]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2101/00—Indexing scheme associated with group H04L61/00
    • H04L2101/60—Types of network addresses
    • H04L2101/618—Details of network addresses
    • H04L2101/622—Layer-2 addresses, e.g. medium access control [MAC] addresses
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2101/00—Indexing scheme associated with group H04L61/00
    • H04L2101/60—Types of network addresses
    • H04L2101/618—Details of network addresses
    • H04L2101/663—Transport layer addresses, e.g. aspects of transmission control protocol [TCP] or user datagram protocol [UDP] ports
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/10—Mapping addresses of different types
    • H04L61/103—Mapping addresses of different types across network layers, e.g. resolution of network layer into physical layer addresses or address resolution protocol [ARP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/50—Address allocation
    • H04L61/5007—Internet protocol [IP] addresses
    • H04L61/5014—Internet protocol [IP] addresses using dynamic host configuration protocol [DHCP] or bootstrap protocol [BOOTP]

Abstract

【課題】不正端末による不正通信を判定する技術を提供する。
【解決手段】ネットワーク中継装置は、取得部と、正規端末情報記憶部と、判定処理部と、を備える。取得部は、正規端末に設定された正規レイヤ２アドレスと、正規端末に設定されたる正規レイヤ３アドレスと、正規端末が所属する正規ＶＬＡＮ情報と、正規端末が接続されている正規ポート情報と、を取得する。正規端末情報記憶部は、取得された正規レイヤ２アドレスと、正規レイヤ３アドレスと、正規ＶＬＡＮと、正規ポートとの組を示す正規端末情報を記憶する。判定処理部は、ポートを介して受信される対象フレームデータの送信元レイヤ２アドレスと、送信元レイヤ３アドレスと、所属するＶＬＡＮと、受信ポートとの組が、正規端末情報記憶部に正規端末情報として記録されているか否かを判定する。
【選択図】図３

Description

本発明は、ネットワーク中継装置、および、ネットワーク中継装置方法に関し、特にネットワーク上の不正端末検出を行うネットワーク中継装置、および、ネットワーク中継装置方法に関する。
端末に自動的にＩＰアドレスを設定する方法としてＤＨＣＰ(Dynamic Host Configuration Protocol)がある。ＤＨＣＰは、ＩＥＴＦ(Internet Engineering Task Force)によって規格化され、ＲＦＣ(Request for Comments)２１３１として公開されている。ＤＨＣＰは、管理された端末だけにＩＰアドレスを設定し、不正端末にＩＰアドレスを設定しないことで、不正端末のネットワーク接続を制限できる。しかし、端末に、手動でＩＰアドレスを設定することで、ネットワークに不正に接続することができる。
従来から、ＩＰアドレスを手動で設定した不正端末の通信を防止するための技術が提案されている（例えば特許文献１）。
この従来技術１では、ＤＨＣＰサーバと端末の間でやりとりされるＤＨＣＰプロトコルを監視し、ＤＨＣＰでアドレスが設定された端末の情報をＩＰアドレスとＭＡＣアドレスで管理し、管理された情報に適合する端末の通信を許可する。
また、従来から、上記従来技術の他に、ＩＰアドレスを手動で設定した端末の通信を防止するための技術が提案されている(例えば、非特許文献２)。
この従来技術２では、ＤＨＣＰサーバと端末の間でやりとりされるＤＨＣＰプロトコルを監視し(DHCP snooping)、ＤＨＣＰでアドレスが設定された端末のＩＰアドレスとポートとＶＬＡＮ(Virtual Local Area Network)でフィルタリングし(IP Source Guard)、ＤＨＣＰでアドレスが設定された端末のＭＡＣアドレスとポートとＶＬＡＮでフィルタリングする(Port Security)。
特開２００６―２６２３７８ " Configuring DHCP Snooping, IP Source Guard, and IPSG for Static Hosts"http://www.cisco.com/en/US/docs/switches/lan/catalyst4500/12.2/37sg/configuration/guides/dhcp.html " Configuring Port Security"http://www.cisco.com/en/US/docs/switches/lan/catalyst4500/12.2/37sg/configuration/guides/port_sec.html
しかしながら、従来技術１および従来技術２では、端末のＭＡＣアドレスが手動で設定される可能性を考慮していない。このため、従来技術１では、ＤＨＣＰでアドレスが設定された端末と同じＩＰアドレスとＭＡＣアドレスを手動で設定した不正な端末が、ネットワーク中継装置の異なるポートや、異なるＶＬＡＮに接続した場合、不正通信を防止することができないおそれがあった。
また、従来技術２では、レイヤ３アドレスであるＩＰアドレスと、レイヤ２アドレスであるＭＡＣアドレスを個別に扱っている。このため、ＤＨＣＰでアドレスが設定された第１の端末のＩＰアドレスと、ＤＨＣＰでアドレスが設定された第２の端末のＭＡＣアドレスを持つ端末の不正通信を防止することができないおそれがあった。
このため、端末のＭＡＣアドレスが手動で設定される可能性を考慮し、より厳密に不正な端末による不正通信を判定する技術が望まれている。
本発明の目的は、不正端末による不正通信をより厳密に判定する技術を提供することである。
本発明は、上述の課題の少なくとも一部を解決するために以下の形態または適用例として実現することが可能である。
［適用例１］正規端末の通信を、ポートを介して中継するネットワーク中継装置であって、
前記正規端末に設定されたレイヤ２アドレスである正規レイヤ２アドレスと、前記正規端末に設定されたレイヤ３アドレスである正規レイヤ３アドレスと、前記正規端末が所属するＶＬＡＮを示す正規ＶＬＡＮ情報と、前記正規端末が接続されているポートを示す正規ポート情報と、を取得する取得部と、
取得された前記正規レイヤ２アドレスと、前記正規レイヤ３アドレスと、前記正規ＶＬＡＮと、前記正規ポートとの組を示す正規端末情報を記憶する正規端末情報記憶部と、
前記ポートを介して受信される対象フレームデータの送信元レイヤ２アドレスと、送信元レイヤ３アドレスと、所属するＶＬＡＮと、受信ポートとの組が、前記正規端末情報記憶部に前記正規端末情報として記録されているか否かを判定する判定処理部と、
を備える、ネットワーク中継装置。
こうすれば、対象フレームの送信元レイヤ２アドレスと、送信元レイヤ３アドレスと、所属するＶＬＡＮと、受信ポートとの組が、正規端末情報として記憶されている正規レイヤ２アドレスと、正規レイヤ３アドレスと、正規ＶＬＡＮ情報と、前記正規ポート情報の組と、適合しない対象フレームデータを、不正端末にかかるデータであると判定するので、不正端末による通信をより厳密に判定することができる。
［適用例２］適用例１に記載のネットワーク中継装置であって、
さらに、前記判定の結果、前記正規端末情報記憶部に前記正規端末情報として記録されている場合には、前記対象フレームデータの転送を実行し、前記正規端末情報記憶部に正規端末情報として記録されていない場合には、前記対象フレームデータの転送を実行しない、転送処理部を備える、ネットワーク中継装置。
こうすれば、対象フレームの送信元レイヤ２アドレスと、送信元レイヤ３アドレスと、所属するＶＬＡＮと、受信ポートとの組が、正規端末情報として記憶されている正規レイヤ２アドレスと、正規レイヤ３アドレスと、正規ＶＬＡＮ情報と、前記正規ポート情報の組と、適合しない場合には、対象フレームデータの転送を実行しない。この結果、不正端末による通信をより厳密に抑制することができる。
［適用例３］適用例１または適用例２に記載のネットワーク中継装置において、
前記正規端末情報取得部は、前記ポートを介して正規端末とＤＨＣＰサーバとの間で送受信されるフレームデータであるＤＨＣＰフレームを監視して、前記正規端末に設定されたレイヤ２アドレスである正規レイヤ２アドレスと、前記正規端末に設定されたレイヤ３アドレスである正規レイヤ３アドレスと、前記正規端末が所属するＶＬＡＮを示す正規ＶＬＡＮ情報と、前記正規端末が接続されているポートを示す正規ポート情報と、を取得する、ネットワーク中継装置。
こうすれば、ＤＨＣＰフレームを監視することにより、正規端末情報を取得することができる。
［適用例４］適用例３に記載のネットワーク中継装置であって、
前記対象フレームデータは、前記ＤＨＣＰフレーム以外のフレームデータである、ネットワーク中継装置。
こうすれば、前記ＤＨＣＰフレーム以外のフレームデータについて、不正端末による通信にかかるデータか否かをより厳密に判定することができる。
［適用例５］適用例１ないし適用例４のいずれかに記載のネットワーク中継装置であって、
前記判定は、前記対象フレームデータがレイヤ３転送の対象であるかレイヤ２転送の対象であるかに関わらず実行される、ネットワーク中継装置。
こうすれば、対象フレームデータがレイヤ３転送の対象であるかレイヤ２転送の対象であるかに関わらず、不正端末による通信にかかるデータか否かをより厳密に判定することができる。
［適用例６］適用例１ないし適用例５のいずれかに記載のネットワーク中継装置であって、
前記正規端末情報記憶部に正規端末情報として記録されていると判定された前記対象フレームデータについては、送信元レイヤ２アドレスの学習処理を行い、
前記正規端末情報記憶部に正規端末情報として記録されていないと判定された前記対象フレームデータについては、送信元レイヤ２アドレスの学習処理を行わない、ネットワーク中継装置。
こうすれば、不正端末による通信にかかるデータに基づいてレイヤ２アドレスの学習処理を行わないので、誤ったレイヤ２アドレスの学習を抑制することができる。
［適用例７］適用例１ないし適用例６のいずれかに記載のネットワーク中継装置は、さらに、
前記対象フレームデータの送信先レイヤ３アドレスに基づいて、前記ポートのうち、前記対象フレームデータを出力する出力ポートを特定する１または複数の中継用検索テーブルを、有し、
前記正規端末情報記憶部は、前記１または複数の中継用検索テーブルと共有されている、ネットワーク中継システム。
こうすれば、正規端末情報記憶部を、中継用検索テーブルとは別に用意しなくて良いので、ネットワーク中継装置の構成を簡便化できる。
［適用例８］適用例７に記載のネットワーク中継装置であって、
前記１または複数の中継用検索テーブルは、
送信先のレイヤ３アドレスを、ネクストホップおよび所属ＶＬＡＮに対応付けるレイヤ３経路テーブルと、
前記ネクストホップをレイヤ２アドレスに対応付けるレイヤ２アドレス検索テーブルと、
前記レイヤ２アドレスを前記出力ポートに対応付けるポート検索テーブルと、
を含み、
前記正規端末情報のうち、前記正規レイヤ３アドレスと正規ＶＬＡＮ情報は、前記レイヤ３経路テーブルに記憶され、
前記正規端末情報のうち、前記正規レイヤ２アドレスは、前記レイヤ２アドレス検索テーブルに記憶され、
前記正規端末情報のうち、前記正規ポート情報は、前記ポート検索テーブルに記憶され、
前記正規レイヤ３アドレスに基づいて、前記レイヤ３経路テーブルと前記レイヤ２アドレス検索テーブルと前記ポート検索テーブルを順次に検索すると、該正規レイヤ３アドレスに対応する前記正規ＶＬＡＮ情報と前記正規レイヤ２アドレスと前記正規ポート情報を抽出できる、ネットワーク中継装置。
こうすれば、転送処理に必要なレイヤ３経路テーブルと、レイヤ２アドレス検索テーブルと、ポート検索テーブルとに、正規端末情報を記憶するので、ネットワーク中継装置の構成を簡便化できる。
［適用例９］適用例８に記載のネットワーク中継装置であって、
前記対象フレームデータが送信元レイヤ３アドレスを有しない場合には、判定処理部は、該対象フレームデータの前記送信元レイヤ２アドレスと、所属するＶＬＡＮと、受信ポートとの組が、前記正規端末情報として記録されているか否かを判定する、ネットワーク中継装置。
こうすれば、レイヤ３アドレスを有しない対象フレームデータについて、不正端末による通信にかかるデータか否かをより厳密に判定することができる。
［適用例１０］適用例１ないし適用例９のいずれかに記載のネットワーク中継装置であって、
前記レイヤ３アドレスは、ＩＰアドレスである、ネットワーク中継装置。
［適用例１１］適用例１ないし適用例１０のいずれかに記載のネットワーク中継装置であって、
前記レイヤ２アドレスは、ＭＡＣアドレスである、ネットワーク中継装置。
本発明は、種々の形態で実現することが可能であり、例えば、ネットワーク中継装置の制御方法、あるいは、ネットワーク中継方法、ネットワーク中継システムの制御方法などの方法発明として実現することができる。また、本発明は、ネットワーク中継装置またはネットワーク中継システムの制御プログラム、当該制御プログラムを記録した記録媒体などの態様で実現することができる。
Ａ．第１実施例：
図１は、第１実施例としてのネットワークシステムの構成を示す図である。第１実施例としてのネットワークシステムは、ＤＨＣＰサーバＤ１と、ネットワーク中継装置としてのＳＷ１、ＳＷ２と、端末Ｈ１〜Ｈ２、不正端末Ａを含んでいる。なお、説明を容易にするため、ネットワーク中継装置ＳＷ１の他のポートに接続されるネットワーク中継装置は省略する。図１では、端末Ｈ１〜Ｈ２は、ＤＨＣＰによりＩＰアドレスを設定されている端末である（以下、正規端末とも呼ぶ）。一方、不正端末Ａは、パケット盗聴等の手段により、ＭＡＣアドレスを端末Ｈ１のＭＡＣアドレスに、ＩＰアドレスを端末Ｈ２のＩＰアドレスに手動設定している。第１実施例の特徴である不正通信抑制手法が動作するのは、ネットワーク中継装置ＳＷ１である。ネットワーク中継装置ＳＷ２は、不正通信の抑制のためのフィルタリング機能を持たないスイッチであり、単にネットワークを階層化するために接続される。
ネットワーク中継装置ＳＷ１およびＳＷ２は、複数のポートＰ１１〜Ｐ１ｎ（ｎは２以上の整数）を備える。また、ネットワーク中継装置ＳＷ１は、複数のＶＬＡＮとしてＶ１１〜Ｐ１ｎ（ｎは２以上の整数）を構成している。
図２は、第１実施例におけるネットワーク中継装置ＳＷ１の構成を示すブロック図である。ネットワーク中継装置ＳＷ１は、管理部１００と、フレーム転送処理部２００と、プロトコル処理部３００と、宛先／処理判定部４００を備える。管理部１００は、利用者の指示を受け付けるユーザインターフェース１１０を有している。プロトコル処理部３００は、ルーティングプロトコルや、ＡＲＰ（Address Resolution Protocol）などのプロトコルに関連する処理を行うが、詳細は省略する。プロトコル処理部３００は、ＤＨＣＰに関連する処理を行うＤＨＣＰ解析処理部３１０を備えている。
宛先／処理判定部４００は、ポート状態判定部４１０と、ポート状態管理テーブル４１１と、ＶＬＡＮ状態判定部４２０と、ＶＬＡＮ状態管理テーブル４２１と、パケット種別判定部４３０と、Ｌ３中継処理部４４０と、経路表４４１と、ＡＲＰ処理部４５０とＡＲＰテーブル４５１と、Ｌ２検索処理部４６０と、ＦＤＢ（Fowarding Data Base）４６１と、不正端末検出部４７０と、認証用データベース４７１と、フレーム処理判定部４８０と、ＭＡＣ学習処理部４９０と、を備える。
図３は、第１実施例における不正端末の検出手法の概要を説明する図である。上述したネットワーク中継装置ＳＷ１の各構成要素の具体的な動作を説明する前に、不正端末の検出手法の概要を簡単に説明する。ネットワーク中継装置ＳＷ１が主として転送処理を行う対象フレームデータ８００は、イーサネットヘッダ８１０と、ＩＰヘッダ８２０と、ペイロード８３０を含んでいる。イーサネットヘッダ８１０は、レイヤ２プロトコル（本実施例ではイーサネット）で用いられる情報が記述されている。イーサネットヘッダ８１０は、宛先ＭＡＣアドレス（以下、ＤＭＡＣとも呼ぶ。）と、送信元ＭＡＣアドレス（以下、ＳＭＡＣとも呼ぶ。）と、ＶＬＡＮ−ＩＤとを含んでいる。ＶＬＡＮ−ＩＤは、対象フレームデータ８００が利用しているＶＬＡＮ（所属ＶＬＡＮ）を示す情報である。ＩＰヘッダ８２０は、ネットワーク層における処理に用いられる情報が記述されたヘッダである。ＩＰヘッダ８２０は、少なくとも送信元ＩＰアドレス（以下、ＳＩＰとも呼ぶ。）と、宛先ＩＰアドレス（以下、ＤＩＰとも呼ぶ。）を含んでいる。ペイロード８３０は、転送処理の対象のデータ本体である。
認証用データベース４７１には、ＤＨＣＰによってＩＰアドレスを設定された正規端末の情報（正規端末情報）が記述されている。認証用データベース４７１に記述された正規端末情報は、１つの正規端末ごとに、設定されたＩＰアドレス（正規ＩＰアドレスＩＰREG）と、正規ＶＬＡＮ情報ＶＬREGと、正規ポート情報ＰＯREGと、正規端末のＭＡＣアドレス（正規ＭＡＣアドレスＭＡＣREG）と、を含む。正規ＶＬＡＮ情報ＶＬREGは、正規端末の所属ＶＬＡＮ（正規ＶＬＡＮ）を示す情報である。正規ポート情報ＰＯREGは、正規端末と通信するポート（正規ポート）を示す情報である。
ネットワーク中継装置ＳＷ１は、対象フレームデータ８００が正規端末から送信された正規データであるか、不正端末から送信された不正データであるかを判定する。具体的には、ネットワーク中継装置ＳＷ１は、対象フレームデータ８００の送信元ＩＰアドレスと、所属ＶＬＡＮと、受信ポートと、対象フレームデータ８００の送信元ＭＡＣアドレスとの組み合わせが、認証用データベース４７１に記述されたいずれかの正規端末の正規ＩＰアドレスＩＰREGと、正規ＶＬＡＮ情報ＶＬREGと、正規ポート情報ＰＯREGと、正規ＭＡＣアドレスＭＡＣREGとの組み合わせと、一致するか否かを判定する。これらの組み合わせが一致した場合には、ネットワーク中継装置ＳＷ１は、対象フレームデータ８００を、正規端末から送信されたデータとして、通常の転送処理を行う。一方、これらの組み合わせが一致しない場合には、ネットワーク中継装置ＳＷ１は、対象フレームデータ８００を、不正端末から送信されたデータとして、廃棄する。
以下、ネットワーク中継装置ＳＷ１の動作の詳細を説明していく。
・ネットワーク中継装置の設定：
図４は、ネットワーク中継装置ＳＷ１を、ネットワーク構成に合わせて設定し、不正端末の検出を開始する為の処理フローを示すフローチャートである。ネットワーク中継装置ＳＷ１の管理部１００が、装置管理者からのポート毎の上流／下流指示を受信する（ステップＳ３１０）。ポートの上流とは、ＤＨＣＰサーバＤ１が接続されたポートである。ＤＨＣＰサーバが他のスイッチ経由で接続されているポートも上流となる。ポートの下流とは、ＤＨＣＰサーバＤ１が接続されていないポートである。ＤＨＣＰサーバＤ１によりＩＰアドレスが設定された正規端末は、スイッチの下流ポートに接続する。次に、ネットワーク中継装置ＳＷ１の管理部１００が、装置管理者からのＶＬＡＮ毎のＤＨＣＰｓｎｏｏｐｉｎｇ実行／非実行指示を受信する（ステップＳ３２０）。上記指示は、ネットワーク中継装置ＳＷ１に接続された図示しない管理端末を介して装置管理者によりネットワーク中継装置ＳＷ１に入力される。
・フレームデータ受信処理：
図５は、フレームデータ受信処理の処理ステップを示す第１のフローチャートである。フレーム転送処理部２００は、対象フレームデータ８００が到着したポートＰ１１〜Ｐ１ｎからそのフレームを受信して、図示しないフレーム蓄積用メモリに格納する（ステップＳ４１０）。フレーム転送処理部２００は、受信された対象フレームデータ８００の中から、宛先／処理判定部４００が必要な、宛先ＭＡＣアドレス、送信元ＭＡＣアドレス、ＶＬＡＮ−ＩＤ、宛先ＩＰアドレス、送信元ＩＰアドレス等のヘッダ情報を抽出して、宛先／処理判定部４００へ送信する（ステップＳ４２０）。
なお、ＤＨＣＰ等の制御フレームデータは、他の通常フレームデータよりも優先的に制御する方が、ネットワークの信頼性面で好ましい。そこで、フレーム転送処理部２００は、受信したフレームデータがＤＨＣＰ等の制御フレームであるか否かを判定し、ＤＨＣＰ等の制御フレームデータであった場合には優先的にフレーム蓄積用メモリへ格納するほうが好ましい。この場合の判定処理は、後述するパケット種別判定部４３０を用いればよい。
図６は、フレームデータ受信処理の処理ステップを示す第２のフローチャートである。次に、宛先／処理判定部４００のポート状態判定部４１０は、ポート状態管理テーブル４１１を検索し、受信ポートの状態を参照する（ステップＳ５１０）。これにより、例えば、受信ポートが上流側のポートであるか、下流側のポートであるかなどが認識される。
宛先／処理判定部４００のＶＬＡＮ状態判定部４２０は、フレーム転送処理部から受信された前記ヘッダ情報から、対象フレームデータ８００の所属ＶＬＡＮを決定する（ステップＳ５２０）。そして、宛先／処理判定部４００のＶＬＡＮ状態判定部４２０は、ＶＬＡＮ状態管理テーブル４２１を検索し、所属ＶＬＡＮの状態を参照する（ステップＳ５３０）。これにより、例えば、ＶＬＡＮのＤＨＣＰｓｎｏｏｐｉｎｇが有効であるか否かなどが認識される。
宛先／処理判定部４００のパケット種別判定部４３０は、フレーム転送処理部２００から受信したヘッダ情報から、対象フレームデータ８００のプロトコルを判定する（ステップＳ５４０）。判定したフレーム種別がＤＨＣＰフレームであった場合で、かつ、所属ＶＬＡＮのＶＬＡＮ状態がＤＨＣＰｓｎｏｏｐｉｎｇ有効に設定されている場合は、ＤＨＣＰ解析処理へ処理が進められる（ステップＳ５５０：ＹＥＳ）。一方、判定したフレーム種別がＤＨＣＰフレーム以外か、所属ＶＬＡＮのＶＬＡＮ状態がＤＨＣＰｓｎｏｏｐｉｎｇ無効に設定されている場合には（ステップＳ５５０：ＮＯ）、レイヤ３転送が必要か判定する（ステップＳ５６０）。レイヤ３転送が必要な場合は、レイヤ３転送処理フローへ（ステップＳ５６０：ＹＥＳ）、レイヤ３転送が不要な場合は、レイヤ２転送処理フローへ（ステップＳ５６０：ＮＯ）処理が進められる。
図７は、ＤＨＣＰフレームデータを示す説明図である。宛先／処理判定部４００のパケット種別判定部４３０は、対象フレームデータ８００の中に、イーサネットヘッダとＩＰヘッダとＵＤＰヘッダにカプセル化されているＤＨＣＰヘッダＦ２００の存在を調べることで、対象フレームデータ８００がＤＨＣＰフレームデータＦ１００であることを判断する。
図８は、ＤＨＣＰ解析処理の処理ステップを示すフローチャートである。ＤＨＣＰ解析処理処理では、まずＤＨＣＰヘッダＦ２００を、ＤＨＣＰフレームＦ１００から取り出し、参照する（ステップＳ７１０）。次に、ＤＨＣＰフレームデータのタイプがＡＣＫで、かつ、受信したポートのポート状態が上流であるかを判定（ステップＳ７２０）する。該判定が真の場合（ステップＳ７２０：ＹＥＳ）、正規端末を管理する認証用データベース４７１に、新しくＩＰアドレスが設定された正規端末の情報を、正規ＭＡＣアドレス、正規ＩＰアドレス、正規端末の所属するＶＬＡＮ、正規端末と通信するためのポートの組で追加する。なお、正規端末の情報には、有効な期間が管理されていても良く、有効期間が過ぎた場合、自動的に登録された情報は削除されても良い。たとえば、既に管理されている正規端末に対し、再度の設定が行われた場合、有効期間が初期化されることとしても良い。一方、上述の判定が偽であった場合（ステップＳ７２０：ＮＯ）、ＤＨＣＰフレームデータのタイプがＲＥＬＥＡＳＥで、かつ、受信したポートのポート状態が下流であるかを判定する（ステップＳ７３０）。該判定が真の場合には（ステップ７３０：ＹＥＳ）、ＲＥＬＥＡＳＥを送信した端末が、認証用データベース４７１に設定されているか検索を行う（ステップＳ７４０）。検索の結果、認証用データベース４７１に登録されている場合には（ステップＳ４７０：ＹＥＳ）、認証用データベース４７１よりＲＥＬＥＡＳＥを送信した端末の正規端末情報を削除する。一方、検索の結果、データベースに登録されていない場合には（ステップＳ４７０：ＮＯ）、対象フレームデータ８００を廃棄する。上述の判定が偽の場合には（ステップ７３０：ＮＯ）、レイヤ３転送が必要か否かを判定する（ステップＳ７５０）。レイヤ３転送が必要な場合には、レイヤ３転送処理へ（ステップＳ７５０：ＹＥＳ）、レイヤ３転送が不要な場合には、レイヤ２転送処理へ（ステップＳ７５０：ＮＯ）処理が進められる。
認証用データベース４７１に登録された正規端末情報は、例えば、Layer2情報とLayer3情報をが結合されたLayer2/3結合データベースという形で記憶される。
図９は、レイヤ３転送処理の処理ステップを示すフローチャートである。宛先／処理判定部４００のＬ３中継処理部４３０は、対象フレームデータ８００の宛先ＩＰアドレスで経路表４３１を検索し、対象フレームデータ８００を出力するＶＬＡＮ（出力ＶＬＡＮ）と転送先装置（ＮｅｘｔＨｏｐ）を決定し、宛先／処理判定部４００のＡＲＰ処理部４５０に通知する（ステップＳ８１０）。次に、宛先／処理判定部４００のＡＲＰ処理部４５０は、通知されたＮｅｘｔｈｏｐでＡＲＰテーブル４５１を検索し、ＮｅｘｔｈｏｐのＭＡＣアドレスを決定し、宛先／処理判定部４００のＬ２中継処理部４６０に通知する（ステップＳ８２０）。さらに、宛先／処理判定部４００のＬ２中継処理部４６０は、前記ＭＡＣアドレスでＦＤＢ４６１を検索し、対象フレームデータ８００の出力ポートを決定し、不正端末検出部４７０に通知する（ステップＳ８３０）。
図１０は、レイヤ２転送処理の処理ステップを示すフローチャートである。宛先／処理判定部４００のＬ２中継処理部４６０は、対象フレームデータ８００の所属ＶＬＡＮと宛先ＭＡＣアドレスでＦＤＢ４６１を検索し、対象フレームデータ８００の出力ポートを決定し、不正端末検出部４７０に通知する（ステップＳ９１０）。
・不正端末の検出処理：
図１１は、不正端末検出処理の処理フローを示す第１のフローチャートである。図１１は、対象フレームデータ８００がＩＰパケットであった場合の不正端末検出処理フローを示している。
まず、ＶＬＡＮ状態がＤＨＣＰｓｎｏｏｐｉｎｇ有効であり、かつ、受信ポートのポート状態が下流であるか否かを判定する（ステップＳ１００１）。ＶＬＡＮ状態がＤＨＣＰｓｎｏｏｐｉｎｇ有効であり、かつ、受信ポートのポート状態が下流であった場合には（Ｓ１００１：ＹＥＳ）、宛先／処理判定部４００の不正端末検出部４７０は、対象フレームデータ８００の送信元ＭＡＣアドレスと、送信元ＩＰアドレスと、所属ＶＬＡＮと、受信ポートで、認証用データベース４７１を検索する（ステップＳ１００２）。認証用データベース４７１の検索の結果、対応するエントリが存在する場合（ステップＳ１００３：ＹＥＳ）と、ＶＬＡＮ状態がＤＨＣＰｓｎｏｏｐｉｎｇ無効、または、受信ポートのポート状態が上流であった場合には（ステップＳ１００１：ＮＯ）、不正端末検出部４７０は、Ｌ２中継処理部４６０から通知された出力ポートを、フレーム処理判定部４８０に通知する（ステップＳ１００４）。一方、検索の結果、対応するエントリが存在しない場合（Ｓ１００３：ＮＯ）、不正端末検出部４７０は、フレーム処理判定部４８０に、廃棄指示を通知する（ステップＳ１００５）。
図１２は、不正端末検出処理の処理フローを示す第２のフローチャートである。図１２は、対象フレームデータ８００が非ＩＰパケットであった場合の不正端末検出処理フローを示している。まず、ＶＬＡＮ状態がＤＨＣＰｓｎｏｏｐｉｎｇ有効であり、かつ、受信ポートのポート状態が下流であるか否かを判定する（ステップＳ１１０１）。ＶＬＡＮ状態がＤＨＣＰｓｎｏｏｐｉｎｇ有効であり、かつ、受信ポートのポート状態が下流であった場合には（Ｓ１１０１：ＹＥＳ）、宛先／処理判定部４００の不正端末検出部４７０は、対象フレームデータ８００の送信元ＭＡＣアドレスと、所属ＶＬＡＮと、受信ポートで、認証用データベース４７１を検索する（ステップＳ１１０２）。認証用データベース４７１の検索の結果、対応するエントリが存在する場合（ステップＳ１１０３：ＹＥＳ）と、ＶＬＡＮ状態がＤＨＣＰｓｎｏｏｐｉｎｇ無効、または、受信ポートのポート状態が上流であった場合には（Ｓ１１０１：ＮＯ）、不正端末検出部４７０は、Ｌ２中継処理部４６０から通知された出力ポートを、フレーム処理判定部４８０に通知する（ステップＳ１１０４）。認証用データベース４７１の検索の結果、対応するエントリが存在しない場合（ステップＳ１１０３：ＮＯ）、不正端末検出部４７０は、フレーム処理判定部４８０に、廃棄指示を通知する（ステップＳ１１０５）。
図１３は、フレーム処理判定部４８０とＭＡＣアドレス学習処理部４９０の処理ステップを示すフローチャートである。宛先／処理判定部４００のフレーム処理判定部４８０は、不正端末検出部４７０から通知された判定結果を解析する（ステップＳ１２０１）。解析の結果、廃棄指示である場合には（ステップ１２０２：ＹＥＳ）、フレーム処理判定部４８０は、対象フレームデータ８００を廃棄する（ステップＳ１２０３）。一方、解析の結果、廃棄指示でない場合には（ステップ１２０２：ＮＯ）、ＭＡＣ学習処理部４９０は、対象フレームデータ８００の送信元ＭＡＣアドレスで、ＦＤＢ学習処理を行う（ステップＳ１２０４）。ＦＤＢ学習処理は、簡単に言えば、送信元ＭＡＣアドレスと、送信元ＭＡＣアドレスを有する装置が接続されているポートとを対応付けて学習する処理である。次に、ＭＡＣ学習処理部４９０は、フレーム処理判定部４８０から通知された判定結果を、フレーム転送処理部２００に通知する（ステップＳ１２０５）。フレーム転送処理部２００は、ＭＡＣ学習処理部４９０から通知された出力ポートから対象フレームデータ８００を送信する（ステップＳ１２０６）。
以上説明したネットワーク中継装置ＳＷ１によれば、ＤＨＣＰサーバによりＩＰアドレスが設定された正規端末と同じＩＰアドレスとＭＡＣアドレスを手動で設定した不正端末が、ネットワーク中継装置の異なるポートや、異なるＶＬＡＮに接続した場合、不正通信を抑制することができる。このため、ＤＨＣＰでＩＰアドレスが設定された端末のＩＰアドレスとＭＡＣアドレスをパケット盗聴などにより得ることができた不正端末が、手動で正規端末と同じＩＰアドレスの設定と、正常端末と同じＭＡＣアドレスへの変更をしても、ネットワークに接続できない。
また、対象フレームデータ８００に対してレイヤ３転送を行うかレイヤ２転送を行うかに関わらず、正規ＶＬＡＮ情報ＶＬREGと、正規ＭＡＣアドレスＭＡＣREGと、正規ポート情報ＰＯREGと共に、レイヤ３情報である正規ＩＰアドレスＩＰREGを組み合わせて、不正端末検出を行うので、より厳密に不正端末による通信を抑制することができる。
また、不正端末のフレームを廃棄し、ＭＡＣアドレス学習処理を防止することにより、不正端末からの通信により、正常端末の通信が妨害されることを防止することができる。
・第１実施例の変形例：
本発明はＤＨＣＰによる端末へのＩＰアドレス設定処理をもとに、不正端末の検出処理を行っている。しかしながら、ＩＰアドレス設定処理はＤＨＣＰに限られるものではなく、各種の端末へのＩＰアドレス設定技術に対応させることも、パケット種別判定部４３０と、プロトコル処理部３００を改造することで可能である。
なお、端末へのＩＰアドレス設定技術を用いず、端末のＩＰアドレスを手動で設定する場合にも、ユーザインタフェース経由で認証用データベース４７１を設定することで、本発明の検出方法で不正端末を検出することが可能である。
さらに、本実施例は、ＩＰｖ４のＩＰアドレスが設定された端末を例に説明しているが、ＩＰｖ６の不正端末の検出にも、同様に対応することが可能である。
Ｂ．第２実施例：
第２実施例におけるネットワークシステムの概略構成は、図１を参照して説明した第１実施例におけるネットワークシステムの概略構成と同一であるので、その説明を省略する。ただし、第２実施例におけるネットワークシステムでは、ネットワーク中継装置ＳＷ１に代えて、ネットワーク中継装置ＳＷ１Ａを備えている。第２実施例の特徴である不正通信抑制手法が動作するのは、ネットワーク中継装置ＳＷ１Ａである。ネットワーク中継装置ＳＷ２は、不正通信の抑制のためのフィルタリング機能を持たないスイッチであり、単にネットワークを階層化するために接続される。
図１４は、第２実施例におけるネットワーク中継装置ＳＷ１Ａの構成を示すブロック図である。ネットワーク中継装置ＳＷ１Ａは、管理部１００Ａと、フレーム転送処理部２００Ａと、プロトコル処理部３００Ａと、宛先／処理判定部４００Ａを備える。管理部１００Ａは、利用者の指示を受け付けるユーザインターフェース１１０Ａを有している。プロトコル処理部３００Ａは、ルーティングプロトコルや、ＡＲＰ（Address Resolution Protocol）などのプロトコルに関連する処理を行うが、詳細は省略する。プロトコル処理部３００Ａは、ＤＨＣＰに関連する処理を行うＤＨＣＰ解析処理部３１０Ａを備えている。
宛先／処理判定部４００Ａは、ポート状態判定部４１０Ａと、ポート状態管理テーブル４１１Ａと、ＶＬＡＮ状態判定部４２０Ａと、ＶＬＡＮ状態管理テーブル４２１Ａと、パケット種別判定部４３０Ａと、Ｌ３中継処理部４４０Ａと、経路表４４１Ａと、ＡＲＰ処理部４５０ＡとＡＲＰテーブル４５１Ａと、Ｌ２中継処理部４６０Ａと、ＦＤＢ４６１Ａと、不正端末検出部４７０Ａと、フレーム処理判定部４８０Ａと、ＭＡＣ学習処理部４９０Ａと、を備える。
図１５は、第２実施例における不正端末の検出手法の概要を説明する図である。上述したネットワーク中継装置ＳＷ１Ａの各構成要素の具体的な動作を説明する前に、不正端末の検出手法の概要を簡単に説明する。第１実施例では、正規端末情報は、独立したデータベースである認証用データベース４７１に記憶されているが、第２実施例では、正規端末情報は、ネットワーク中継装置が通常の転送処理において転送先を特定するために用いる中継用検索テーブルに記憶されている。すなわち、正規端末情報を記憶する記憶部と、中継用検索テーブルとが共有されている。第２実施例におけるネットワーク中継装置ＳＷ１Ａは、中継用検索テーブルとして、ルーティングテーブル４４１Ａと、ＡＲＰテーブル４５１Ａと、ＦＤＢ４６１Ａを備えている。第２実施例では、正規端末情報のうち、正規ＩＰアドレスＩＰREGと、正規ＶＬＡＮ情報ＶＬREGとは、ルーティングテーブル４４１Ａに格納されている。また、正規端末情報のうち、正規ＭＡＣアドレスＭＡＣREGは、ＡＲＰテーブル４５１Ａに格納され、正規ポート情報ＰＯREGは、ＦＤＢ４６１Ａに格納されている。各正規端末情報は、各テーブル４４１Ａ、４５１Ａ、４６１Ａにおいて、転送処理に用いられる情報が格納された領域（中継用領域）とは異なる領域（認証用領域）に記憶されている。
各テーブル４４１Ａ、４５１Ａ、４６１Ａにおいて転送用領域と認証用領域は、例えば、テーブルに格納するフラグによって識別する。転送処理のための検索時には、転送用領域を参照する。不正端末検出処理のための検索時には、認証用領域を参照する。転送用領域は、ルーティングプロトコル／ARPプロトコル／ＭＡＣ学習機能等の従来機能で、管理する。一方、認証用領域は、プロトコル処理部３００Ａが管理する。
ネットワーク中継装置ＳＷ１Ａは、対象フレームデータ８００の送信元ＩＰアドレスに基づいて、ルーティングテーブル４４１Ａを検索する。対象フレームデータ８００の送信元ＩＰアドレスが、正規ＩＰアドレスＩＰREGとしてルーティングテーブル４４１Ａに記憶されていれば、送信元ＩＰアドレスが正規ＩＰアドレスＩＰREGであることが認識されると共に、正規ＶＬＡＮ情報ＶＬREGと、Ｎｅｘｔｈｏｐが決定される。ネットワーク中継装置ＳＷ１Ａは、決定されたＮｅｘｔｈｏｐに基づいて、ＡＲＰテーブル４５１Ａを検索する。その結果、正規ＭＡＣアドレスＭＡＣREGが決定される。ネットワーク中継装置ＳＷ１Ａは、決定されたＭＡＣアドレスＭＡＣREGに基づいて、ＦＤＢ４６１Ａを検索する。その結果、正規ポート情報ＰＯREGが決定される。すなわち、ネットワーク中継装置ＳＷ１Ａは、対象フレームデータ８００の送信元ＩＰアドレスに基づいて、順次に、各テーブル４４１Ａ、４５１Ａ、４６１Ａを検索することによって、正規端末情報としての正規ＩＰアドレスＩＰREGと、正規ＶＬＡＮ情報ＶＬREGと、正規ＭＡＣアドレスＭＡＣREGと、正規ポート情報ＰＯREGを抽出することができる。
ネットワーク中継装置ＳＷ１Ａは、対象フレームデータ８００が正規端末から送信された正規データであるか、不正端末から送信された不正データであるかを判定する。具体的には、ネットワーク中継装置ＳＷ１Ａは、対象フレームデータ８００の送信元ＩＰアドレスと、所属ＶＬＡＮと、受信ポートと、送信元ＭＡＣアドレスとの組み合わせが、抽出された正規ＩＰアドレスＩＰREGと、正規ＶＬＡＮ情報ＶＬREGと、正規ポート情報ＰＯREGと、正規ＭＡＣアドレスＭＡＣREGとの組み合わせと、一致するか否かを判定する。これらの組み合わせが一致した場合には、第１実施例と同様に、ネットワーク中継装置ＳＷ１Ａは、対象フレームデータ８００を、正規端末から送信されたデータとして、通常の転送処理を行う。一方、これらの組み合わせが一致しない場合には、ネットワーク中継装置ＳＷ１Ａは、対象フレームデータ８００を、不正端末から送信されたデータとして、廃棄する。
以下、第２実施例のネットワーク中継装置ＳＷ１Ａの具体的動作を説明する。ネットワーク中継装置ＳＷ１Ａの動作は、不正端末検出処理を除いて、第１実施例のネットワーク中継装置ＳＷ１の動作と同様であるので、以下では、不正端末検出処理についてのみ説明する。
．不正端末検出処理：
図１６は、第２実施例における不正端末検出処理の処理ステップを示す第１のフローチャートである。図１６では、受信したフレームがＩＰパケットであった場合の不正端末検出処理を示している。
まず、ＶＬＡＮ状態がＤＨＣＰｓｎｏｏｐｉｎｇ有効であり、かつ、受信ポートのポート状態が下流であることを判定する（ステップＳ１４０１）。ＶＬＡＮ状態がＤＨＣＰｓｎｏｏｐｉｎｇ有効であり、かつ、受信したポートの状態が下流であった場合（Ｓ１４０１：ＹＥＳ）、宛先／処理判定部４００Ａの不正端末検出部４７０Ａは、宛先／処理判定部４００ＡのＬ３中継処理部４４０Ａに、受信したフレームの送信元ＩＰアドレスを通知する（ステップＳ１４０２）。次に、宛先／処理判定部４００ＡのＬ３中継処理部４４０Ａは、受信したフレームの送信元ＩＰアドレスでルーティングテーブル４４１Ａの認証用領域のダイレクト経路を対象に検索し、ＶＬＡＮとＮｅｘｔｈｏｐを決定し、宛先／処理判定部４００ＡのＡＲＰ処理部４５０Ａに、ＶＬＡＮとＮｅｘｔｈｏｐを通知する（ステップＳ１４０３）。ここで通知されるＶＬＡＮ情報は、正規ＶＬＡＮ情報ＶＬREGである。宛先／処理判定部４００ＡのＡＲＰ処理部４５０Ａは、決定されたＮｅｘｔｈｏｐでＡＲＰテーブル４５１Ａを検索し、当該Ｎｅｘｔｈｏｐに対応するＭＡＣアドレスを決定し、宛先／処理判定部４００ＡのＬ２中継処理部４６０Ａに、上述したＶＬＡＮ（正規ＶＬＡＮ情報ＶＬREG）と決定されたＭＡＣアドレスを通知する（ステップＳ１４０４）。ここで通知されるＭＡＣアドレスは、正規ＭＡＣアドレスＭＡＣREGである。宛先／処理判定部４００ＡのＬ２中継処理部４６０Ａは、決定されたＶＬＡＮ（正規ＶＬＡＮ情報ＶＬREG）と決定されたＭＡＣアドレス（正規ＭＡＣアドレスＭＡＣREG）でＦＤＢ４６１Ａを検索し、当該ＭＡＣアドレスに対応するポートを決定し、宛先／処理判定部４００Ａの不正端末検出部４７０Ａに、上述したＶＬＡＮ（正規ＶＬＡＮ情報ＶＬREG）と、ＭＡＣアドレス（正規ＭＡＣアドレスＭＡＣREG）と、決定されたポートを通知する（ステップＳ１４０）。ここで通知されるポート情報は、正規ポート情報ＰＯREGである。
ついで、上述したＶＬＡＮ（正規ＶＬＡＮ情報ＶＬREG）と、ＭＡＣアドレス（正規ＭＡＣアドレスＭＡＣREG）と、決定されたポート（正規ポート情報ＰＯREG）が、対象フレームデータ８００の所属ＶＬＡＮと送信元ＭＡＣアドレスと受信ポートと一致するか判定する。当該判定が一致であった場合（ステップＳ１４０６：ＹＥＳ）と、ＶＬＡＮ状態がＤＨＣＰｓｎｏｏｐｉｎｇ無効か、または、受信ポートのポート状態が上流であった場合には（ステップＳ１４０１：ＮＯ）、不正端末検出部４７０Ａは、Ｌ２中継処理部４６０Ａから通知された出力ポートを、フレーム処理判定部４８０Ａに通知する（ステップＳ１４０７）。当該判定が不一致だった場合には（ステップＳ１４０６：ＮＯ）、不正端末検出部４７０Ａは、フレーム処理判定部４８０Ａに、廃棄指示を通知する（ステップＳ１４０８）。
図１７は、第２実施例における不正端末検出処理の処理ステップを示す第２のフローチャートである。図１７は、受信したフレームが非ＩＰパケットであった場合の不正端末検出処理を示している。まず、ＶＬＡＮ状態がＤＨＣＰｓｎｏｏｐｉｎｇ有効であり、かつ、受信ポートのポート状態が下流であることを判定する（ステップＳ１５０１）。ＶＬＡＮ状態がＤＨＣＰｓｎｏｏｐｉｎｇ有効であり、かつ、受信したポートの状態が下流であった場合には（Ｓ１５０１：ＹＥＳ）、宛先／処理判定部４００Ａの不正端末検出部４７０Ａは、宛先／処理判定部４００ＡのＬ２中継処理部４６０Ａに、受信したフレームの送信元ＭＡＣアドレスを通知する（ステップＳ１５０２）。宛先／処理判定部４００ＡのＬ２中継処理部４６０Ａは、受信ＶＬＡＮと送信元ＭＡＣアドレスでＦＤＢ４６１Ａを検索し、ポートを決定し、不正端末検出部４７０Ａに通知する（ステップＳ１５０３）。ここで通知されるポート情報は、正規ポート情報ＰＯREGである。次に、通知された正規ポート情報ＰＯREGが、対象フレームデータ８００の受信ポートと一致しているかを判定する。当該判定が一致であった場合（ステップＳ１５０４：ＹＥＳ）と、ＶＬＡＮ状態がＤＨＣＰｓｎｏｏｐｉｎｇ無効、または、受信ポートのポート状態が上流であった場合には（ステップＳ１５０１：ＮＯ）、不正端末検出部４７０Ａは、Ｌ２中継処理部４６０Ａから通知された出力ポートを、フレーム処理判定部４８０Ａに通知する（ステップＳ１５０５）。当該判定が不一致だった場合には（ステップＳ１５０４：ＮＯ）、不正端末検出部４７０Ａは、フレーム処理判定部４８０Ａに、廃棄指示を通知する（ステップＳ１５０６）。
以上説明した第２実施例におけるネットワーク中継装置ＳＷ１Ａによれば、第１実施例のネットワーク中継装置ＳＷ１と同様の作用・効果を得ることができる。
さらに、第２実施例におけるネットワーク中継装置ＳＷ１Ａでは、第１実施例で必要であった認証用データベース４７１が不要となっている。このため、ネットワーク中継装置ＳＷ１Ａの部品点数削減や、必要なメモリ容量の低減など構成の簡便化を実現できる。また、ネットワーク中継装置ＳＷ１Ａのメモリ容量を、他の目的に使用するなどして、有効利用することができる。
さらに、実施例２は、既存のuRPF機能と処理の一部を共通化することが可能である。具体的には、送信元ＩＰアドレスによる経路検索処理を共通化できる。このため、uRPF機能と同時に動作させた場合、ネットワーク処理ＬＳＩの機能活性度を、２個の独立した機能を動作させるのに比べ、小さくすることができ、省エネルギー面での効果もある。
・第２実施例の変形例：
本発明はＤＨＣＰによる端末へのＩＰアドレス設定処理をもとに、不正端末の検出処理を行っている。しかしながら、ＩＰアドレス設定処理はＤＨＣＰに限られるものではなく、各種の端末へのＩＰアドレス設定技術に対応させることも、パケット種別判定部４３０Ａと、プロトコル処理部３００Ａを改造することで可能である。なお、端末へのＩＰアドレス設定技術を用いず、端末のＩＰアドレスを手動で設定する場合にも、ユーザインタフェース経由でルーティングテーブル４４１Ａ、ＡＲＰテーブル４５１Ａ、ＦＤＢ４６１Ａを設定することで、本発明の検出方法で不正端末を検出することが可能である。さらに、本実施例は、ＩＰｖ４のＩＰアドレスが設定された端末を例に説明しているが、ＩＰｖ６の不正端末の検出にも、同様に対応することが可能である。
Ｃ．第３実施例：
図１８は、第３実施例の概要を示す説明図である。第２実施例のように、正規端末情報をルーティングテーブル４４１Ａ、ＡＲＰテーブル４５１Ａ、ＦＤＢ４６１Ａに格納する場合、各テーブルの管理を、従来からある制御機能と調停する必要がある。つまり、ルーティングテーブル４４１Ａを管理するルーティングプロトコル、ＡＲＰテーブル４５１Ａを管理するＡＲＰプロトコル、ＦＤＢ４６１を管理するＭＡＣ学習処理機能と、不正端末検出のための機能とを、調停する必要がある。第２実施例では、図１５に示すように、各テーブル４４１Ａ、４５１Ａ、４６１Ａに認証用領域を設けて、他の制御機能が管理する中継用領域とは別に、正規端末情報を登録し、認証用領域を、不正端末検出のための機能で管理している。これに代えて、第３実施例では、認証領域を設けないで、中継用領域に中継用の情報と同様に、正規端末情報を登録している。そして、各テーブル４４１Ｂ、４５１Ｂ、４６１Ｂの正規端末情報が記述されたエントリについて、当該エントリが登録されてから削除されるまでの間、不正端末検出のための機能が当該エントリを管理することとしている。その他、不正端末検出処理等の他の処理は、第２実施例と同様であるので、その説明を省略する。
以上説明した第３実施例によれば、第２実施例と同様の作用・効果を生じる。さらに、各テーブル４４１Ａ、４５１Ａ、４６１Ａに認証用領域を設けないので、各テーブル４４１Ａ、４５１Ａ、４６１Ａに必要なメモリ容量を抑制することができる。
Ｄ．変形例：
・第１変形例：
上記各実施例では、各ネットワーク中継装置ＳＷ１、ＳＷ１Ａは、レイヤ３転送を行うスイッチを想定しているが、これに代えて、ルータに本発明を適用しても良い。また、ネットワーク中継装置ＳＷ１、ＳＷ１Ａは、レイヤ２転送を行うレイヤ２スイッチであっても良い。レイヤ２スイッチであっても、正規ＶＬＡＮ情報ＶＬREGと、正規ＭＡＣアドレスＭＡＣREGと、正規ポート情報ＰＯREGと共に、レイヤ３情報である正規ＩＰアドレスＩＰREGを組み合わせて、不正端末検出を行うことが好ましい。
・第２変形例：
上記各実施例では、レイヤ２（データリンク層）アドレスとしてＭＡＣアドレスを用いており、レイヤ３（ネットワーク層）アドレスとしてＩＰアドレスを用いているが、これは、本実施例において各装置を接続するネットワークが、データリンク層のプロトコルとしてEthernet（登録商標）を用い、ネットワーク層のプロトコルとしてIP(internet protocol)を用いているからである。もちろん、データリンク層およびネットワーク層のプロトコルに他のプロトコルを用いる場合には、それらのプロトコルにおいて用いられるアドレスを用いても良い。かかる場合は、転送されるデータはイーサネットフレームではなく、データリンク層のプロトコルに用いられるデータとなる。
・第３変形例：
上記実施例では、単一の筐体にフレーム転送処理部２００、プロトコル処理部３００、管理部１００、宛先／処理判定部４００を含むように構成されている。これに代えて、複数の筐体に別体にこれらの構成要素の一部を備えても良い。例えば、管理部１００とプロトコル処理部３００は、制御管理装置として別体としても良い。また、複数のネットワーク中継装置をケーブルで接続して、複数のネットワーク中継装置により１つのネットワーク中継装置ＳＷ１、ＳＷ１Ａを構成しても良い。係る場合には、上述した不正端末検出のための機能は、ネットワーク中継装置ＳＷ１、ＳＷ１Ａを構成する複数のネットワーク中継装置の一部または全部に備えても良い。
・第４変形例：
上記実施例および変形例において、ハードウェアによって実現されていた構成の一部をソフトウェアに置き換えてもよく、逆に、ソフトウェアによって実現されていた構成の一部をハードウェアに置き換えてもよい。
・第５変形例：
上記各実施例において、不正端末が送信した対象フレームデータ８００と判定されたフレームデータは廃棄されているが、これに代えて、不正フレームデータの解析装置などに転送することとしても良い。
以上、実施例、変形例に基づき本発明について説明してきたが、上記した発明の実施の形態は、本発明の理解を容易にするためのものであり、本発明を限定するものではない。本発明は、その趣旨並びに特許請求の範囲を逸脱することなく、変更、改良され得ると共に、本発明にはその等価物が含まれる。
第１実施例としてのネットワークシステムの構成を示す図。 第１実施例におけるネットワーク中継装置の構成を示すブロック図。 第１実施例における不正端末の検出手法の概要を説明する図。 ネットワーク中継装置をネットワーク構成に合わせて設定し不正端末の検出を開始する為の処理フローを示すフローチャート。 フレームデータ受信処理の処理ステップを示す第１のフローチャート。 フレームデータ受信処理の処理ステップを示す第２のフローチャート。 ＤＨＣＰフレームデータを示す説明図。 ＤＨＣＰ解析処理の処理ステップを示すフローチャート。 レイヤ３転送処理の処理ステップを示すフローチャート。 レイヤ２転送処理の処理ステップを示すフローチャート。 不正端末検出処理の処理フローを示す第１のフローチャート。 不正端末検出処理の処理フローを示す第２のフローチャート。 フレーム処理判定部とＭＡＣアドレス学習処理の処理ステップを示すフローチャート。 第２実施例におけるネットワーク中継装置の構成を示すブロック図。 第２実施例における不正端末の検出手法の概要を説明する図。 第２実施例における不正端末検出処理の処理ステップを示す第１のフローチャート。 第２実施例における不正端末検出処理の処理ステップを示す第２のフローチャート。 第３実施例の概要を示す説明図である。
符号の説明
１００、１００Ａ…管理部
１１０、１１０Ａ…ユーザインターフェース
２００、２００Ａ…フレーム転送処理部
３００、３００Ａ…プロトコル処理部
４００、４００Ａ…宛先／処理判定部
４１０、４１０Ａ…ポート状態判定部
４１１、４１１Ａ…ポート状態管理テーブル
４３０、４３０Ａ…パケット種別判定部
４４１、４４１Ａ…ルーティングテーブル
４５１、４５１Ａ…ＡＲＰテーブル
４６１、４６１Ａ…ＦＤＢ
４７０、４７０Ａ…不正端末検出部
４７１…認証用データベース
４８０、４８０Ａ…フレーム処理判定部
８００…対象フレームデータ
８１０…イーサネットヘッダ
８３０…ペイロード
ＳＷ１、ＳＷ１Ａ…ネットワーク中継装置

Claims (12)

  1. 正規端末の通信を、ポートを介して中継するネットワーク中継装置であって、
    前記正規端末に設定されたレイヤ２アドレスである正規レイヤ２アドレスと、前記正規端末に設定されたレイヤ３アドレスである正規レイヤ３アドレスと、前記正規端末が所属するＶＬＡＮを示す正規ＶＬＡＮ情報と、前記正規端末が接続されているポートを示す正規ポート情報と、を取得する取得部と、
    取得された前記正規レイヤ２アドレスと、前記正規レイヤ３アドレスと、前記正規ＶＬＡＮと、前記正規ポートとの組を示す正規端末情報を記憶する正規端末情報記憶部と、
    前記ポートを介して受信される対象フレームデータの送信元レイヤ２アドレスと、送信元レイヤ３アドレスと、所属するＶＬＡＮと、受信ポートとの組が、前記正規端末情報記憶部に前記正規端末情報として記録されているか否かを判定する判定処理部と、
    を備える、ネットワーク中継装置。
  2. 請求項１に記載のネットワーク中継装置であって、
    さらに、前記判定の結果、前記正規端末情報記憶部に前記正規端末情報として記録されている場合には、前記対象フレームデータの転送を実行し、前記正規端末情報記憶部に正規端末情報として記録されていない場合には、前記対象フレームデータの転送を実行しない、転送処理部を備える、ネットワーク中継装置。
  3. 請求項１または請求項２に記載のネットワーク中継装置であって、
    前記正規端末情報取得部は、前記ポートを介して正規端末とＤＨＣＰサーバとの間で送受信されるフレームデータであるＤＨＣＰフレームを監視して、前記正規端末に設定されたレイヤ２アドレスである正規レイヤ２アドレスと、前記正規端末に設定されたレイヤ３アドレスである正規レイヤ３アドレスと、前記正規端末が所属するＶＬＡＮを示す正規ＶＬＡＮ情報と、前記正規端末が接続されているポートを示す正規ポート情報と、を取得する、ネットワーク中継装置。
  4. 請求項３記載のネットワーク中継装置であって、
    前記対象フレームデータは、前記ＤＨＣＰフレーム以外のフレームデータである、ネットワーク中継装置。
  5. 請求項１ないし請求項４のいずれかに記載のネットワーク中継装置であって、
    前記判定は、前記対象フレームデータがレイヤ３転送の対象であるかレイヤ２転送の対象であるかに関わらず実行される、ネットワーク中継装置。
  6. 請求項１ないし請求項５のいずれかに記載のネットワーク中継装置であって、
    前記正規端末情報記憶部に正規端末情報として記録されていると判定された前記対象フレームデータについては、送信元レイヤ２アドレスの学習処理を行い、
    前記正規端末情報記憶部に正規端末情報として記録されていないと判定された前記対象フレームデータについては、送信元レイヤ２アドレスの学習処理を行わない、ネットワーク中継装置。
  7. 請求項１ないし請求項６のいずれかに記載のネットワーク中継装置は、さらに、
    前記対象フレームデータの送信先レイヤ３アドレスに基づいて、前記ポートのうち、前記対象フレームデータを出力する出力ポートを特定する１または複数の中継用検索テーブルを、有し、
    前記正規端末情報記憶部は、前記１または複数の中継用検索テーブルと共有されている、ネットワーク中継システム。
  8. 請求項７に記載のネットワーク中継装置であって、
    前記１または複数の中継用検索テーブルは、
    送信先のレイヤ３アドレスを、ネクストホップおよび所属ＶＬＡＮに対応付けるレイヤ３経路テーブルと、
    前記ネクストホップをレイヤ２アドレスに対応付けるレイヤ２アドレス検索テーブルと、
    前記レイヤ２アドレスを前記出力ポートに対応付けるポート検索テーブルと、
    を含み、
    前記正規端末情報のうち、前記正規レイヤ３アドレスと正規ＶＬＡＮ情報は、前記レイヤ３経路テーブルに記憶され、
    前記正規端末情報のうち、前記正規レイヤ２アドレスは、前記レイヤ２アドレス検索テーブルに記憶され、
    前記正規端末情報のうち、前記正規ポート情報は、前記ポート検索テーブルに記憶され、
    前記正規レイヤ３アドレスに基づいて、前記レイヤ３経路テーブルと前記レイヤ２アドレス検索テーブルと前記ポート検索テーブルを順次に検索すると、該正規レイヤ３アドレスに対応する前記正規ＶＬＡＮ情報と前記正規レイヤ２アドレスと前記正規ポート情報を抽出できる、ネットワーク中継装置。
  9. 請求項８に記載のネットワーク中継装置であって、
    前記対象フレームデータが送信元レイヤ３アドレスを有しない場合には、判定処理部は、該対象フレームデータの前記送信元レイヤ２アドレスと、所属するＶＬＡＮと、受信ポートとの組が、前記正規端末情報として記録されているか否かを判定する、ネットワーク中継装置。
  10. 請求項１ないし請求項９のいずれかに記載のネットワーク中継装置であって、
    前記レイヤ３アドレスは、ＩＰアドレスである、ネットワーク中継装置。
  11. 請求項１ないし請求項１０のいずれかに記載のネットワーク中継装置であって、
    前記レイヤ２アドレスは、ＭＡＣアドレスである、ネットワーク中継装置。
  12. 正規端末の通信を、ポートを介して中継するネットワーク中継方法であって、
    （ａ）前記正規端末に設定されたレイヤ２アドレスである正規レイヤ２アドレスと、前記正規端末に設定されたレイヤ３アドレスである正規レイヤ３アドレスと、前記正規端末が所属するＶＬＡＮを示す正規ＶＬＡＮ情報と、前記正規端末が接続されているポートを示す正規ポート情報と、を取得する工程と、
    （ｂ）特定された前記正規レイヤ２アドレスと、前記正規レイヤ３アドレスと、前記正規ＶＬＡＮと、前記正規ポートとの組を示す正規端末情報を記憶して、前記正規端末を管理する工程と、
    （ｃ）前記ポートを介して受信される対象フレームデータの送信元レイヤ２アドレスと、送信元レイヤ３アドレスと、所属するＶＬＡＮと、受信ポートとの組が、前記正規端末情報記憶部に前記正規端末情報として記録されているか否かを判定する工程と、
    を備える、ネットワーク中継方法。
JP2008147131A 2008-06-04 2008-06-04 ネットワーク中継装置、および、ネットワーク中継装置方法 Active JP4734374B2 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2008147131A JP4734374B2 (ja) 2008-06-04 2008-06-04 ネットワーク中継装置、および、ネットワーク中継装置方法
US12/475,853 US8422493B2 (en) 2008-06-04 2009-06-01 Network relay device and network relay method

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2008147131A JP4734374B2 (ja) 2008-06-04 2008-06-04 ネットワーク中継装置、および、ネットワーク中継装置方法

Publications (2)

Publication Number Publication Date
JP2009296246A true JP2009296246A (ja) 2009-12-17
JP4734374B2 JP4734374B2 (ja) 2011-07-27

Family

ID=41400267

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2008147131A Active JP4734374B2 (ja) 2008-06-04 2008-06-04 ネットワーク中継装置、および、ネットワーク中継装置方法

Country Status (2)

Country Link
US (1) US8422493B2 (ja)
JP (1) JP4734374B2 (ja)

Cited By (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009239427A (ja) * 2008-03-26 2009-10-15 Nec Fielding Ltd 認証スイッチの接続を認証する装置及びその方法
JP2012060231A (ja) * 2010-09-06 2012-03-22 Nec Corp リモートアクセスシステム、サーバ、リモートアクセス方法
JP2012244554A (ja) * 2011-05-23 2012-12-10 Fujitsu Ltd 情報処理装置、システムおよび情報処理プログラム
JP2013526093A (ja) * 2010-02-17 2013-06-20 アルカテル−ルーセント 通信ネットワーク環境での共通グループ動作フィルタリングのための方法およびシステム
JP5534023B2 (ja) * 2010-09-24 2014-06-25 富士通株式会社 基地局、基地局の制御方法及び情報処理システム
JP2015532053A (ja) * 2012-08-30 2015-11-05 クゥアルコム・インコーポレイテッドＱｕａｌｃｏｍｍ Ｉｎｃｏｒｐｏｒａｔｅｄ 中継装置を有するネットワーク内の３つのアドレスのみ適応できるアクセスポイントにおけるレイヤ−２アドレスの管理
JP2019017123A (ja) * 2018-11-06 2019-01-31 ヤマハ株式会社 中継装置およびプログラム
DE102019217785A1 (de) 2018-11-21 2020-05-28 Denso Corporation Vermittlungsvorrichtung
DE102019218061A1 (de) 2018-11-29 2020-06-04 Denso Corporation Weiterleitungsgerät
US10985991B2 (en) 2014-06-02 2021-04-20 Yamaha Corporation Relay device, program, and display control method

Families Citing this family (33)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8341725B2 (en) * 2009-07-30 2012-12-25 Calix, Inc. Secure DHCP processing for layer two access networks
US8862705B2 (en) * 2009-07-30 2014-10-14 Calix, Inc. Secure DHCP processing for layer two access networks
EP2579509A1 (en) * 2010-06-07 2013-04-10 Huawei Technologies Co., Ltd. Method, device and system for service configuration
CN102377634B (zh) * 2010-08-06 2014-02-05 北京乾唐视联网络科技有限公司 一种接入网设备的入网方法及系统
RU2576492C2 (ru) * 2010-09-03 2016-03-10 Нек Корпорейшн Устройство управления, система связи, способ связи и носитель записи с записанной на нем программой связи
JP5364671B2 (ja) * 2010-10-04 2013-12-11 アラクサラネットワークス株式会社 ネットワーク認証における端末接続状態管理
JP5636940B2 (ja) * 2010-12-16 2014-12-10 村田機械株式会社 中継通信システムおよび中継サーバ
US9066287B2 (en) 2012-01-24 2015-06-23 Qualcomm Incorporated Systems and methods of relay selection and setup
US9794796B2 (en) 2012-06-13 2017-10-17 Qualcomm, Incorporation Systems and methods for simplified store and forward relays
US9155101B2 (en) 2012-08-30 2015-10-06 Qualcomm Incorporated Systems and methods for dynamic association ordering based on service differentiation in wireless local area networks
WO2014035819A1 (en) * 2012-08-30 2014-03-06 Qualcomm Incorporated Layer 2 address management in 3 address only capable access points in networks with relays
CN103152276B (zh) * 2012-11-23 2015-11-25 华为技术有限公司 一种端口配置的方法及以太网交换机
US9143437B1 (en) * 2013-03-15 2015-09-22 Extreme Networks, Inc. Apparatus and method for multicast data packet forwarding
WO2014191082A1 (en) * 2013-05-29 2014-12-04 Alcatel Lucent Detection of an unknown host device in a communication network
CN104253878B (zh) * 2014-09-09 2018-04-17 烽火通信科技股份有限公司 Dhcp relay终结子接口的vlan信息管理系统及方法
CN112291079B (zh) * 2017-03-28 2021-10-26 华为技术有限公司 一种网络业务配置方法及网络管理设备
CN107317755B (zh) * 2017-08-23 2020-07-31 普联技术有限公司 一种硬件转发表项纠错方法、装置及计算机可读存储介质
US10409743B1 (en) 2018-06-29 2019-09-10 Xilinx, Inc. Transparent port aggregation in multi-chip transport protocols
US10992671B2 (en) * 2018-10-31 2021-04-27 Bank Of America Corporation Device spoofing detection using MAC authentication bypass endpoint database access control
JP7306020B2 (ja) 2019-03-29 2023-07-11 株式会社デンソー 中継装置
JP7247712B2 (ja) 2019-03-29 2023-03-29 株式会社デンソー 中継装置及び中継方法
US10817455B1 (en) 2019-04-10 2020-10-27 Xilinx, Inc. Peripheral I/O device with assignable I/O and coherent domains
US10817462B1 (en) 2019-04-26 2020-10-27 Xilinx, Inc. Machine learning model updates to ML accelerators
US11586369B2 (en) 2019-05-29 2023-02-21 Xilinx, Inc. Hybrid hardware-software coherent framework
US11074208B1 (en) 2019-07-24 2021-07-27 Xilinx, Inc. Routing network using global address map with adaptive main memory expansion for a plurality of home agents
US11372769B1 (en) 2019-08-29 2022-06-28 Xilinx, Inc. Fine-grained multi-tenant cache management
US11277283B2 (en) 2019-08-30 2022-03-15 Hewlett Packard Enterprise Development Lp Resilient zero touch provisioning
US11093394B1 (en) 2019-09-04 2021-08-17 Xilinx, Inc. Delegated snoop protocol
US11113194B2 (en) 2019-09-04 2021-09-07 Xilinx, Inc. Producer-to-consumer active direct cache transfers
US11271860B1 (en) 2019-11-15 2022-03-08 Xilinx, Inc. Compressed tag coherency messaging
US11386031B2 (en) 2020-06-05 2022-07-12 Xilinx, Inc. Disaggregated switch control path with direct-attached dispatch
US11556344B2 (en) 2020-09-28 2023-01-17 Xilinx, Inc. Hardware coherent computational expansion memory
US11606333B1 (en) * 2022-03-04 2023-03-14 Cisco Technology, Inc. Synchronizing dynamic host configuration protocol snoop information

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2000174796A (ja) * 1998-12-07 2000-06-23 Hitachi Ltd 通信ネットワークシステムの管理方法および情報中継装置
JP2004104355A (ja) * 2002-09-06 2004-04-02 Furukawa Electric Co Ltd:The ネットワークアドレス管理方法、その管理装置およびネットワークアドレス管理システム
JP2005198090A (ja) * 2004-01-08 2005-07-21 Fujitsu Ltd ネットワーク不正接続防止方法及び装置
JP2006262378A (ja) * 2005-03-18 2006-09-28 Fujitsu Ltd フレーム中継装置

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB2425681A (en) * 2005-04-27 2006-11-01 3Com Corporaton Access control by Dynamic Host Configuration Protocol snooping
US7920548B2 (en) * 2005-08-18 2011-04-05 Hong Kong Applied Science And Technology Research Institute Co. Ltd. Intelligent switching for secure and reliable voice-over-IP PBX service
US7672293B2 (en) * 2006-03-10 2010-03-02 Hewlett-Packard Development Company, L.P. Hardware throttling of network traffic sent to a processor based on new address rates

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2000174796A (ja) * 1998-12-07 2000-06-23 Hitachi Ltd 通信ネットワークシステムの管理方法および情報中継装置
JP2004104355A (ja) * 2002-09-06 2004-04-02 Furukawa Electric Co Ltd:The ネットワークアドレス管理方法、その管理装置およびネットワークアドレス管理システム
JP2005198090A (ja) * 2004-01-08 2005-07-21 Fujitsu Ltd ネットワーク不正接続防止方法及び装置
JP2006262378A (ja) * 2005-03-18 2006-09-28 Fujitsu Ltd フレーム中継装置

Cited By (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009239427A (ja) * 2008-03-26 2009-10-15 Nec Fielding Ltd 認証スイッチの接続を認証する装置及びその方法
JP2013526093A (ja) * 2010-02-17 2013-06-20 アルカテル−ルーセント 通信ネットワーク環境での共通グループ動作フィルタリングのための方法およびシステム
JP2012060231A (ja) * 2010-09-06 2012-03-22 Nec Corp リモートアクセスシステム、サーバ、リモートアクセス方法
JP5534023B2 (ja) * 2010-09-24 2014-06-25 富士通株式会社 基地局、基地局の制御方法及び情報処理システム
JP2012244554A (ja) * 2011-05-23 2012-12-10 Fujitsu Ltd 情報処理装置、システムおよび情報処理プログラム
US8914467B2 (en) 2011-05-23 2014-12-16 Fujitsu Limited Information processing apparatus, system, and storage medium
JP2015532053A (ja) * 2012-08-30 2015-11-05 クゥアルコム・インコーポレイテッドＱｕａｌｃｏｍｍ Ｉｎｃｏｒｐｏｒａｔｅｄ 中継装置を有するネットワーク内の３つのアドレスのみ適応できるアクセスポイントにおけるレイヤ−２アドレスの管理
US10985991B2 (en) 2014-06-02 2021-04-20 Yamaha Corporation Relay device, program, and display control method
JP2019017123A (ja) * 2018-11-06 2019-01-31 ヤマハ株式会社 中継装置およびプログラム
DE102019217785A1 (de) 2018-11-21 2020-05-28 Denso Corporation Vermittlungsvorrichtung
DE102019218061A1 (de) 2018-11-29 2020-06-04 Denso Corporation Weiterleitungsgerät

Also Published As

Publication number Publication date
US20090304008A1 (en) 2009-12-10
US8422493B2 (en) 2013-04-16
JP4734374B2 (ja) 2011-07-27

Similar Documents

Publication Publication Date Title
JP4734374B2 (ja) ネットワーク中継装置、および、ネットワーク中継装置方法
CN107911258B (zh) 一种基于sdn网络的安全资源池的实现方法及系统
CN107920023B (zh) 一种安全资源池的实现方法及系统
US9596211B2 (en) Cloud based customer premises equipment
US11621926B2 (en) Network device and method for sending BGP information
US7656872B2 (en) Packet forwarding apparatus and communication network suitable for wide area Ethernet service
EP2773073B1 (en) Entry generation method, message receiving method, and corresponding device and system
EP3958521A1 (en) Method and apparatus for providing service for service flow
CN113132342B (zh) 方法、网络装置、隧道入口点装置及存储介质
EP2860882B1 (en) Service processing method, device and system
US20120173694A1 (en) Virtual private network implementation method and system
EP3026872B1 (en) Packet forwarding method, apparatus, and system
CN107948150B (zh) 报文转发方法及装置
WO2004051935A1 (ja) ユーザ特定システム、ユーザ特定装置、ユーザ特定方法、アドレス変換装置、及びプログラム
EP2239890A2 (en) Remote access method in a network comprising a nat device
CN106341423B (zh) 一种报文处理方法和装置
EP2548346B1 (en) Packet node for applying service path routing at the mac layer
CN107018076B (zh) 一种报文监控方法和装置
EP3618365B1 (en) Packet forwarding
WO2017107871A1 (zh) 访问控制方法和网络设备
US20160006656A1 (en) Packet Processing Method and System, and Device
US9166884B2 (en) Network location service
KR20140024051A (ko) 다수의 인터페이스 네트워크 노드들에 대한 통신 메커니즘
US8559431B2 (en) Multiple label based processing of frames
EP3477897B1 (en) Method for routing data packets in a network topology

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20100414

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20100706

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20100713

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20100908

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20101109

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20110107

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20110329

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20110425

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20140428

Year of fee payment: 3

R150 Certificate of patent or registration of utility model

Free format text: JAPANESE INTERMEDIATE CODE: R150

Ref document number: 4734374

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250