JP2010239591A - Network system, relay device, and method of controlling network - Google Patents

Network system, relay device, and method of controlling network Download PDF

Info

Publication number
JP2010239591A
JP2010239591A JP2009088207A JP2009088207A JP2010239591A JP 2010239591 A JP2010239591 A JP 2010239591A JP 2009088207 A JP2009088207 A JP 2009088207A JP 2009088207 A JP2009088207 A JP 2009088207A JP 2010239591 A JP2010239591 A JP 2010239591A
Authority
JP
Japan
Prior art keywords
address
frame
network
server
received
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2009088207A
Other languages
Japanese (ja)
Inventor
Eiya Wakayama
永哉 若山
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NEC Corp
Original Assignee
NEC Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NEC Corp filed Critical NEC Corp
Priority to JP2009088207A priority Critical patent/JP2010239591A/en
Publication of JP2010239591A publication Critical patent/JP2010239591A/en
Pending legal-status Critical Current

Links

Images

Abstract

<P>PROBLEM TO BE SOLVED: To provide: a network system which protects information and prevents illegal access; a relay device; and a method of controlling a network. <P>SOLUTION: A network system 101 includes terminals 6, a DHCP server 3 for managing the IP addresses of the terminals 6 in a network 7 and for dynamically allocating and applying the IP addresses to the terminals 6 in response to a request, and a relay device 10 located between the terminals 6 and the DHCP server 3 to be connected to the network. A plurality of DHCP servers 3a, 3b having different priorities are present in the network 7. The relay device 10 determines a transmission range of a broadcast frame based on an IP address acquisition message exchanged between the terminals 6 and the DHCP servers 3a, 3b, and transmits a response of only the DHCP server 3 that has the highest priority out of the DHCP servers 3a, 3b in responding to an address application server retrieval message from the terminal 6, to the terminal 6. <P>COPYRIGHT: (C)2011,JPO&INPIT

Description

本発明は、ネットワークシステム、中継装置、およびネットワーク制御方法に関し、異なるアクセス権をもつ端末を同時に収容するネットワークシステム、中継装置、およびネットワーク制御方法に関する。   The present invention relates to a network system, a relay device, and a network control method, and more particularly to a network system, a relay device, and a network control method that simultaneously accommodate terminals having different access rights.

同一ネットワーク内に、さまざまなアクセス権を持った端末が含まれる場合がある。例えば、企業内ＬＡＮ（Local Area Network）において、社員はすべてのネットワークならびにサーバへのアクセス権を持ち、社員以外で特別に許可されたメンバは外部ネットワークへのアクセス権のみを持つ場合などがある。   In some cases, terminals having various access rights are included in the same network. For example, in an in-house LAN (Local Area Network), an employee may have access to all networks and servers, and a member who is specially authorized other than the employee may only have access to an external network.

アクセス権は、ネットワークおよび接続先装置での確認、認証といった方法で確認される。アクセス権を確認する具体的な方法としては、（１）アクセスの都度、ＩＤとパスワードで認証する方法、（２）サーバ、ルータ、または、スイッチにて、ＩＰアドレスまたはＭＡＣアドレス（Media Access Control address）を確認し、合致したものだけを受信する方法、（３）ネットワークドメインをアクセス権ごとに複数用意する手法、が挙げられる。   The access right is confirmed by a method such as confirmation and authentication in the network and the connection destination device. As a specific method for confirming the access right, (1) a method of authenticating with an ID and a password every access, (2) an IP address or MAC address (Media Access Control address) at a server, router, or switch ) And receiving only matching ones, and (3) a method of preparing a plurality of network domains for each access right.

上記（１）は、アクセスの都度、ユーザがＩＤとパスワードを入力する方法であり、ユーザに手間を強いる点が問題となる。ユーザの手間を回避するために、最初の認証後は、ＩＰアドレスやＭＡＣアドレスを確認するなど、端末固有の情報を用いて、ネットワーク機器が自動で判別できる方法が望ましい。   The above (1) is a method in which the user inputs an ID and a password each time access is made, and there is a problem in that the user is troublesome. In order to avoid the trouble of the user, it is desirable to use a method in which the network device can automatically discriminate using terminal-specific information such as confirming the IP address or MAC address after the first authentication.

上記（２）は、例として、中継および遮断のスイッチング機能を持たせたスイッチングハブが特許文献１に示されている。だが、スイッチで管理する場合、ネットワークドメインをまたぐアクセスを管理できない、という問題がある。一方、ルータやサーバで管理する方法もあるが、この場合は端末のＩＰアドレスを個々に登録する必要がある、ＩＰアドレスと登録情報とを個々に照合する必要があるなど、装置負荷およびネットワーク管理の手間が増大する点が問題となる。   In the above (2), as an example, Patent Document 1 discloses a switching hub having a switching function of relaying and blocking. However, when managed by a switch, there is a problem that access across network domains cannot be managed. On the other hand, there is also a method of managing with a router or a server. In this case, it is necessary to individually register the IP address of the terminal, or it is necessary to individually check the IP address and registration information, and the device load and network management. The problem is that the amount of time and effort is increased.

以上より、上記（３）の、論理アドレスで分割する方法が望ましい。別ドメインを用意することにより、サーバ等の装置負荷、ネットワーク管理負荷を軽減できる。（３）を実現する方法として、特許文献２に示されるアドレス付与システムがある。   As described above, the method of dividing by logical address (3) above is desirable. By preparing a separate domain, it is possible to reduce the load on devices such as servers and the network management load. As a method of realizing (3), there is an address assignment system disclosed in Patent Document 2.

図２５に、特許文献２に記載のアドレス付与システムの構成を示す。
アドレス付与システムは、アドレス付与サーバ９１、ルータ９２、ネットワークドメイン９４（ドメインＡ）に属する端末Ａ−１、Ａ−２、ネットワークドメイン９４とは異なるネットワークドメイン９５（ドメインＢ）に属する端末Ｂ−１、Ｂ−２から構成される。端末は、ルータ９２を介して外部ネットワーク９３に接続することができる。アドレス付与サーバ９１は、ＤＨＣＰ機能９１ａ、コントローラ９１ｂを有し、ＤＨＣＰ機能９１ａはネットワークドメイン９４（ドメインＡ）とネットワークドメイン９５（ドメインＢ）のアドレスプールを保持する。 FIG. 25 shows the configuration of the address assignment system described in Patent Document 2.
The address assignment system includes an address assignment server 91, a router 92, terminals A-1 and A-2 belonging to a network domain 94 (domain A), and a terminal B-1 belonging to a network domain 95 (domain B) different from the network domain 94. , B-2. The terminal can be connected to the external network 93 via the router 92. The address assignment server 91 has a DHCP function 91a and a controller 91b. The DHCP function 91a holds address pools of the network domain 94 (domain A) and the network domain 95 (domain B).

特許文献２に記載のアドレス付与システムの動作を以下に説明する。
端末が新規にネットワーク９０に接続し、ＩＰアドレスを要求すると、アドレス付与サーバ９１はネットワークドメイン９４（ドメインＡ）のＩＰアドレスを払い出し、端末のデフォルトゲートウェイのアドレスをアドレス付与サーバ９１に設定する。このとき、端末はネットワークドメイン９４（ドメインＡ）に属する。 The operation of the address assignment system described in Patent Document 2 will be described below.
When a terminal newly connects to the network 90 and requests an IP address, the address assignment server 91 issues an IP address of the network domain 94 (domain A), and sets the address of the default gateway of the terminal in the address assignment server 91. At this time, the terminal belongs to the network domain 94 (domain A).

その後、端末が外部ネットワーク９３へパケットを送信すると、パケットはデフォルトゲートウェイとして設定されたアドレス付与サーバ９１に送られる。アドレス付与サーバ９１は外部ネットワーク９３へのパケットを受信すると、送信元の端末に認証要求を行う。端末が認証に成功したら、アドレス付与サーバ９１はネットワークドメイン９５（ドメインＢ）のＩＰアドレスを払い出し、端末のデフォルトゲートウェイをルータ９２に設定する。このとき、端末はネットワークドメイン９５（ドメインＢ）に属する。   Thereafter, when the terminal transmits a packet to the external network 93, the packet is transmitted to the address assignment server 91 set as the default gateway. When the address assignment server 91 receives the packet to the external network 93, it makes an authentication request to the terminal of the transmission source. If the terminal is successfully authenticated, the address assignment server 91 issues an IP address of the network domain 95 (domain B) and sets the default gateway of the terminal in the router 92. At this time, the terminal belongs to the network domain 95 (domain B).

すなわち、ネットワークドメイン９４（ドメインＡ）に属する端末が外部ネットワークに接続するには、認証に成功し、ネットワークドメイン９５（ドメインＢ）のＩＰアドレスを受け取ることで、ネットワークドメイン９５（ドメインＢ）に属する必要がある。このようにして、単一の物理ネットワーク内に複数の論理ドメインを構築できる。   That is, in order for a terminal belonging to the network domain 94 (domain A) to connect to the external network, the authentication succeeds and the IP address of the network domain 95 (domain B) is received, so that the terminal belongs to the network domain 95 (domain B). There is a need. In this way, a plurality of logical domains can be constructed within a single physical network.

上述した特許文献２に示されるアドレス付与システムには、不正な端末が手動でＩＰアドレスを設定した場合に対応できないという問題点があった。その理由は、不正な端末が手動でネットワークドメインＢのＩＰアドレスを割り当て、デフォルトゲートウェイをルータに設定することにより、不正な端末は認証を経ることなく外部ネットワークに接続できるからである。   The address assignment system disclosed in Patent Document 2 described above has a problem that it cannot cope with an unauthorized terminal manually setting an IP address. This is because an unauthorized terminal can connect to an external network without authentication by manually assigning an IP address of network domain B and setting a default gateway in the router.

また、不正な端末が手動でＩＰアドレスを設定することにより、同一の物理ネットワークに属する端末からのＡＲＰ（Address Resolution Protocol）などのブロードキャストフレームを盗み見することができるという問題点があった。その理由は、特許文献２は、論理ドメインの分割にのみ言及し、物理的なネットワークドメインの分割を考慮していないためである。ＡＲＰの盗み見により、ネットワークドメインＢに属する正規の端末のＩＰアドレスとＭＡＣアドレスの組や、デフォルトゲートウェイであるルータのＩＰアドレスなどを容易に知ることができる。   In addition, when an unauthorized terminal manually sets an IP address, a broadcast frame such as an ARP (Address Resolution Protocol) from a terminal belonging to the same physical network can be seen. This is because Patent Document 2 refers only to the division of the logical domain and does not consider the division of the physical network domain. By seeing the ARP, it is possible to easily know the IP address and MAC address pair of a regular terminal belonging to the network domain B, the IP address of the router that is the default gateway, and the like.

このような問題点を解決する技術が特許文献３に記載されている。特許文献３に記載のパケット転送装置は、端末からＩＰアドレス配布要求を受け付けると、ＤＨＣＰパケット中のＩＰアドレスとＭＡＣアドレスを、ユーザ管理テーブルに記憶することで、どの端末に対してどのＩＰアドレスを割り当てるか認識する。同文献に記載された装置は、不正に静的ＩＰアドレスを用いてネットワークにアクセスする端末の通信を遮断することができる。   A technique for solving such problems is described in Patent Document 3. When receiving a request for IP address distribution from a terminal, the packet transfer apparatus described in Patent Document 3 stores the IP address and MAC address in the DHCP packet in the user management table, so that which IP address is assigned to which terminal. Recognize whether to assign. The device described in the document can block communication of a terminal that accesses a network illegally using a static IP address.

また、特許文献４に記載されたネットワークシステムは、アドレス割合サーバが、アドレス割り当てを制限する端末のＭＡＣアドレスが登録されている場合には、当該端末にＩＰアドレスを割り当てず、アドレスを割り当てる端末として登録されている場合は、当該端末にＩＰアドレスを割り当てる。これにより、所定の端末によるサーバへのアクセスを制限できる。特許文献５にも同様の記載がある。   Further, in the network system described in Patent Literature 4, when the MAC address of the terminal whose address allocation is restricted is registered in the address ratio server, the IP address is not assigned to the terminal, but the terminal is assigned the address. If registered, an IP address is assigned to the terminal. Thereby, access to the server by a predetermined terminal can be restricted. Patent Document 5 also has a similar description.

特許文献６に記載されたＩＰ電話用構内システムは、ゲートウェイのＮＡＴ機能部は、外部電話機をＷＡＮ側ＩＰアドレスで判別するとともに、ＬＡＮ側のＩＰ電話機をＬＡＮ側ＩＰアドレス、ＭＡＣアドレスで判別し、ＩＰパケットデータの振り分けを可能とする。   In the IP telephone premises system described in Patent Document 6, the NAT function unit of the gateway discriminates the external telephone by the WAN side IP address, and the LAN side IP telephone by the LAN side IP address and the MAC address. Allows distribution of IP packet data.

特許文献７に記載されたネットワークコンピューティングシステムは、仮想ＰＣが、ホストサーバのネットワークアダプタを物理的に利用し、ＩＰアドレスとしてＬＡＮ内部で他のＰＣと直接通信が可能なローカルアドレスを取得する。また、外部との通信はホストサーバによって提供されるＮＡＴを利用し、ＩＰアドレスとしては、ホストサーバから割り当てられるプライベートアドレスを用い、ホストサーバのＩＰアドレスを付け替える。   In the network computing system described in Patent Document 7, a virtual PC physically uses a network adapter of a host server, and acquires a local address that allows direct communication with another PC inside the LAN as an IP address. The communication with the outside uses NAT provided by the host server, and the private address assigned by the host server is used as the IP address, and the IP address of the host server is changed.

特開平１１−５５３０２号公報JP-A-11-55302 特開２００６−８０７８９号公報JP 2006-80789 A 特開２００７−３６３７４号公報JP 2007-36374 A 特開２００３−３０９５６９号公報Japanese Patent Laid-Open No. 2003-309569 特開平９−２１４５５０号公報JP-A-9-214550 特開２００５−２５２８０９号公報Japanese Patent Laying-Open No. 2005-252809 特開２００７−１９３４２９号公報JP 2007-193429 A

しかしながら、上述したネットワークシステムのいずれにも、複数のアドレス付与サーバがネットワーク上に存在する場合に、不正な端末が手動でＩＰアドレスを設定した場合に対応できないという問題点があった。また、不正な端末が手動でＩＰアドレスを設定することにより、同一の物理ネットワークに属する端末からのＡＲＰなどのブロードキャストフレームを盗み見することができるという問題点があった。   However, none of the above-described network systems has a problem that when a plurality of address assignment servers exist on the network, it cannot cope with an unauthorized terminal manually setting an IP address. Further, there is a problem in that an unauthorized terminal can sniff broadcast frames such as ARP from terminals belonging to the same physical network by manually setting an IP address.

本発明の目的は、上述した課題である情報を保護し、ならびに不正アクセス防止を解決するネットワークシステム、中継装置、およびネットワーク制御方法を提供することにある。   An object of the present invention is to provide a network system, a relay device, and a network control method for protecting information, which is the above-described problem, and solving unauthorized access prevention.

本発明の第１のネットワークシステムは、
通信端末と、
ネットワーク上の前記通信端末に動的に割り当てられるＩＰ（Internet Protocol）アドレスを管理し、前記通信端末からの要求に応じて当該通信端末に前記ＩＰアドレスを割り当てて付与するアドレス付与サーバと、
前記通信端末と前記アドレス付与サーバとの間に配置されネットワーク接続される中継装置と、を備え、
前記ネットワーク上に前記アドレス付与サーバが複数存在し、かつ複数の前記アドレス付与サーバには優先度が設けられており、
前記中継装置は、
前記通信端末と前記アドレス付与サーバとの間で交換されるＩＰアドレス取得メッセージをもとに、ブロードキャストフレームの転送範囲を決定し、
複数の前記アドレス付与サーバのうち、前記通信端末からのアドレス付与サーバ検索メッセージに応答を返す最も優先度の高い前記アドレス付与サーバの応答のみを、前記通信端末に転送する。 The first network system of the present invention is:
A communication terminal;
Managing an IP (Internet Protocol) address dynamically assigned to the communication terminal on the network, and assigning and assigning the IP address to the communication terminal in response to a request from the communication terminal;
A relay device arranged between the communication terminal and the address assignment server and connected to the network,
There are a plurality of the address assignment servers on the network, and a plurality of the address assignment servers are provided with a priority,
The relay device is
Based on the IP address acquisition message exchanged between the communication terminal and the address assignment server, determine the transfer range of the broadcast frame,
Among the plurality of address assignment servers, only the response of the address assignment server with the highest priority that returns a response to the address assignment server search message from the communication terminal is transferred to the communication terminal.

本発明の第２のネットワークシステムは、
仮想マシン実行端末と、
前記仮想マシン実行端末とネットワーク接続されるアドレス付与サーバと、を備え、
前記ネットワーク上に前記アドレス付与サーバが複数存在し、かつ複数の前記アドレス付与サーバには優先度が設けられており、
前記仮想マシン実行端末は、
前記仮想マシン実行端末上で動作するホストＯＳのアプリケーションである仮想マシン実行環境を実現する手段を備え、
前記仮想マシン実行環境は、
請求項１乃至５いずれかに記載の中継装置が備える手段と、
前記仮想マシン実行環境上で動作するゲストＯＳのネットワークインターフェースから送出されるパケットをそのまま前記ホストＯＳのネットワークインターフェースを介し前記ネットワークに送出する仮想マシンブリッジ手段と、
前記中継装置が備える手段からは前記アドレス付与サーバのひとつとして認識され、前記アドレス付与サーバとは異なるネットワークドメインのＩＰアドレスを管理し、要求に応じ前記ＩＰアドレスを付与すると同時にデフォルトゲートウェイを設定する仮想マシンアドレス付与手段と、
前記ゲストＯＳのネットワークインターフェースから送出されるパケットをＮＡＴもしくはＮＡＰＴ処理し、前記パケットを前記ホストＯＳのネットワークインターフェースを介して前記ネットワークに送出する仮想マシンアドレス変換手段と、を実現し、
前記仮想マシン実行環境を実現する手段は、
前記ゲストＯＳが前記アドレス付与サーバからＩＰアドレスを取得できる場合は、前記ゲストＯＳのネットワークインターフェースから送出されるデータを仮想マシンブリッジ手段を介して前記ネットワークに送出し、
前記ゲストＯＳが前記アドレス付与サーバからＩＰアドレスを取得できない場合は、前記仮想マシンアドレス付与手段が前記ゲストＯＳのＩＰアドレスを付与し、前記ゲストＯＳのネットワークインターフェースから送出されるデータを仮想マシンアドレス変換手段を介して前記ネットワークに送出する。 The second network system of the present invention is:
A virtual machine execution terminal;
An address assignment server connected to the virtual machine execution terminal via a network,
There are a plurality of the address assignment servers on the network, and a plurality of the address assignment servers are provided with a priority,
The virtual machine execution terminal is
Means for realizing a virtual machine execution environment which is an application of a host OS operating on the virtual machine execution terminal;
The virtual machine execution environment is:
Means provided in the relay device according to any one of claims 1 to 5,
Virtual machine bridge means for sending a packet sent from the network interface of the guest OS operating on the virtual machine execution environment to the network as it is through the network interface of the host OS;
A virtual device that is recognized as one of the address assignment servers by the means included in the relay device, manages an IP address of a network domain different from the address assignment server, and assigns the IP address according to a request and simultaneously sets a default gateway A machine address assigning means;
A virtual machine address conversion unit that performs NAT or NAPT processing on a packet sent from the network interface of the guest OS, and sends the packet to the network via the network interface of the host OS;
Means for realizing the virtual machine execution environment includes:
When the guest OS can obtain an IP address from the address assignment server, the data sent from the network interface of the guest OS is sent to the network via the virtual machine bridge means,
If the guest OS cannot obtain an IP address from the address assigning server, the virtual machine address assigning means assigns the IP address of the guest OS and converts the data sent from the network interface of the guest OS to a virtual machine address To the network via the means.

本発明の中継装置は、
通信端末および、ネットワーク上の前記通信端末に動的に割り当てられるＩＰアドレスを管理し要求に応じて当該通信端末に前記ＩＰアドレスを割り当てて付与するアドレス付与サーバにネットワーク接続され、
前記ネットワーク上に前記アドレス付与サーバが複数存在し、かつ複数の前記アドレス付与サーバには優先度が設けられており、
前記通信端末と前記アドレス付与サーバとの間で交換されるＩＰアドレス取得メッセージをもとに、ブロードキャストフレームの転送範囲を決定し、
複数の前記アドレス付与サーバのうち、前記通信端末からのアドレス付与サーバ検索メッセージに応答を返す最も優先度の高い前記アドレス付与サーバの応答のみを、前記通信端末に転送する。 The relay device of the present invention
Network-connected to a communication terminal and an address assignment server that manages an IP address dynamically assigned to the communication terminal on the network and assigns and assigns the IP address to the communication terminal according to a request,
There are a plurality of the address assignment servers on the network, and a plurality of the address assignment servers are provided with a priority,
Based on the IP address acquisition message exchanged between the communication terminal and the address assignment server, determine the transfer range of the broadcast frame,
Among the plurality of address assignment servers, only the response of the address assignment server with the highest priority that returns a response to the address assignment server search message from the communication terminal is transferred to the communication terminal.

本発明の仮想マシン実行端末は、
アドレス付与サーバとはネットワーク接続され、
ホストＯＳのアプリケーションである仮想マシン実行環境を実現する手段を備え、
前記ネットワーク上に前記アドレス付与サーバが複数存在し、かつ複数の前記アドレス付与サーバには優先度が設けられており、
前記仮想マシン実行環境は、
本発明の中継装置が備える手段と、
前記仮想マシン実行環境上で動作するゲストＯＳのネットワークインターフェースから送出されるパケットをそのまま前記ホストＯＳのネットワークインターフェースを介し前記ネットワークに送出する仮想マシンブリッジ手段と、
前記中継装置が備える手段からは前記アドレス付与サーバのひとつとして認識され、前記アドレス付与サーバとは異なるネットワークドメインのＩＰアドレスを管理し、要求に応じ前記ＩＰアドレスを付与すると同時にデフォルトゲートウェイを設定する仮想マシンアドレス付与手段と、
前記ゲストＯＳのネットワークインターフェースから送出されるパケットをＮＡＴもしくはＮＡＰＴ処理し、前記パケットを前記ホストＯＳのネットワークインターフェースを介して前記ネットワークに送出する仮想マシンアドレス変換手段と、を実現し、
前記仮想マシン実行環境を実現する手段は、
前記ゲストＯＳが前記アドレス付与サーバからＩＰアドレスを取得できる場合は、前記ゲストＯＳのネットワークインターフェースから送出されるデータを仮想マシンブリッジ手段を介して前記ネットワークに送出し、
前記ゲストＯＳが前記アドレス付与サーバからＩＰアドレスを取得できない場合は、前記仮想マシンアドレス付与手段が前記ゲストＯＳのＩＰアドレスを付与し、前記ゲストＯＳのネットワークインターフェースから送出されるデータを仮想マシンアドレス変換手段を介して前記ネットワークに送出する。 The virtual machine execution terminal of the present invention is
Network connection with the address assignment server
Means for realizing a virtual machine execution environment as an application of the host OS,
There are a plurality of the address assignment servers on the network, and a plurality of the address assignment servers are provided with a priority,
The virtual machine execution environment is:
Means provided in the relay device of the present invention;
Virtual machine bridge means for sending a packet sent from the network interface of the guest OS operating on the virtual machine execution environment to the network as it is through the network interface of the host OS;
A virtual device that is recognized as one of the address assignment servers by the means included in the relay device, manages an IP address of a network domain different from the address assignment server, and assigns the IP address according to a request and simultaneously sets a default gateway A machine address assigning means;
A virtual machine address conversion unit that performs NAT or NAPT processing on a packet sent from the network interface of the guest OS, and sends the packet to the network via the network interface of the host OS;
Means for realizing the virtual machine execution environment includes:
When the guest OS can obtain an IP address from the address assignment server, the data sent from the network interface of the guest OS is sent to the network via the virtual machine bridge means,
If the guest OS cannot obtain an IP address from the address assigning server, the virtual machine address assigning means assigns the IP address of the guest OS and converts the data sent from the network interface of the guest OS to a virtual machine address To the network via the means.

本発明のネットワーク制御方法は、
通信端末と、
ネットワーク上の通信端末に動的に割り当てられるＩＰアドレスを管理し、前記通信端末からの要求に応じ前記ＩＰアドレスを割り当てて付与するアドレス付与サーバと、
前記通信端末と前記アドレス付与サーバとの間に配置されネットワーク接続される中継装置と、を備えたネットワークを制御し、
前記ネットワーク上に前記アドレス付与サーバが複数存在し、かつ複数の前記アドレス付与サーバには優先度が設けられており、
前記中継装置が、
前記通信端末と前記アドレス付与サーバとの間で交換されるＩＰアドレス取得メッセージをもとに、ブロードキャストフレームの転送範囲を決定し、
複数の前記アドレス付与サーバのうち、前記通信端末からのアドレス付与サーバ検索メッセージに応答を返す最も優先度の高い前記アドレス付与サーバの応答のみを、前記通信端末に転送する。 The network control method of the present invention includes:
A communication terminal;
An IP address assignment server that manages an IP address dynamically assigned to a communication terminal on a network, and assigns and assigns the IP address in response to a request from the communication terminal;
Controlling a network including a relay device arranged between the communication terminal and the address assignment server and connected to the network;
There are a plurality of the address assignment servers on the network, and a plurality of the address assignment servers are provided with a priority,
The relay device is
Based on the IP address acquisition message exchanged between the communication terminal and the address assignment server, determine the transfer range of the broadcast frame,
Among the plurality of address assignment servers, only the response of the address assignment server with the highest priority that returns a response to the address assignment server search message from the communication terminal is transferred to the communication terminal.

なお、以上の構成要素の任意の組合せ、本発明の表現を方法、装置、システム、記録媒体、コンピュータプログラムなどの間で変換したものもまた、本発明の態様として有効である。   It should be noted that any combination of the above-described constituent elements and a conversion of the expression of the present invention between a method, an apparatus, a system, a recording medium, a computer program, etc. are also effective as an aspect of the present invention.

また、本発明の各種の構成要素は、必ずしも個々に独立した存在である必要はなく、複数の構成要素が一個の部材として形成されていること、一つの構成要素が複数の部材で形成されていること、ある構成要素が他の構成要素の一部であること、ある構成要素の一部と他の構成要素の一部とが重複していること、等でもよい。   The various components of the present invention do not necessarily have to be independent of each other. A plurality of components are formed as a single member, and a single component is formed of a plurality of members. It may be that a certain component is a part of another component, a part of a certain component overlaps with a part of another component, or the like.

また、本発明の制御方法には複数の手順を順番に記載してあるが、その記載の順番は複数の手順を実行する順番を限定するものではない。このため、本発明の制御方法を実施するときには、その複数の手順の順番は内容的に支障しない範囲で変更することができる。   Moreover, although the several procedure is described in order in the control method of this invention, the order of the description does not limit the order which performs a several procedure. For this reason, when implementing the control method of this invention, the order of the several procedure can be changed in the range which does not interfere in content.

さらに、本発明の制御方法の複数の手順は個々に相違するタイミングで実行されることに限定されない。このため、ある手順の実行中に他の手順が発生すること、ある手順の実行タイミングと他の手順の実行タイミングとの一部ないし全部が重複していること、等でもよい。   Furthermore, the plurality of procedures of the control method of the present invention are not limited to being executed at different timings. For this reason, another procedure may occur during the execution of a certain procedure, or some or all of the execution timing of a certain procedure and the execution timing of another procedure may overlap.

本発明によれば、情報を保護し、ならびに不正アクセス防止を解決するネットワークシステム、中継装置、およびネットワーク制御方法が提供される。   According to the present invention, a network system, a relay device, and a network control method for protecting information and solving unauthorized access prevention are provided.

本発明の実施の形態に係るネットワークシステムの構成を示すブロック図である。It is a block diagram which shows the structure of the network system which concerns on embodiment of this invention. 本発明の実施の形態に係るネットワークシステムの中継装置の構成を示す機能ブロック図である。It is a functional block diagram which shows the structure of the relay apparatus of the network system which concerns on embodiment of this invention. 本発明の実施の形態に係るネットワークシステムのポート管理テーブルの構造の一例を示す図である。It is a figure which shows an example of the structure of the port management table of the network system which concerns on embodiment of this invention. 本発明の実施の形態に係るネットワークシステムの中継装置の動作の一例を示すフローチャートである。It is a flowchart which shows an example of operation | movement of the relay apparatus of the network system which concerns on embodiment of this invention. 本発明の実施の形態に係るネットワークシステムの構成を示すブロック図である。It is a block diagram which shows the structure of the network system which concerns on embodiment of this invention. 本発明の実施の形態に係るネットワークシステムの中継装置の構成を示す機能ブロック図である。It is a functional block diagram which shows the structure of the relay apparatus of the network system which concerns on embodiment of this invention. 本発明の実施の形態に係るネットワークシステムの中継装置の動作の一例を示すフローチャートである。It is a flowchart which shows an example of operation | movement of the relay apparatus of the network system which concerns on embodiment of this invention. 本発明の実施の形態に係るネットワークシステムの中継装置の動作の一例を示すフローチャートである。It is a flowchart which shows an example of operation | movement of the relay apparatus of the network system which concerns on embodiment of this invention. 本発明の実施の形態に係るネットワークシステムの中継装置の動作の一例を示すフローチャートである。It is a flowchart which shows an example of operation | movement of the relay apparatus of the network system which concerns on embodiment of this invention. 本実施の形態における中継装置の動作の一例を示すフローチャートである。It is a flowchart which shows an example of operation | movement of the relay apparatus in this Embodiment. 本発明の実施の形態に係るネットワークシステムの中継装置の構成を示す機能ブロック図である。It is a functional block diagram which shows the structure of the relay apparatus of the network system which concerns on embodiment of this invention. 本発明の実施の形態に係るネットワークシステムの中継装置の動作の一例を示すフローチャートである。It is a flowchart which shows an example of operation | movement of the relay apparatus of the network system which concerns on embodiment of this invention. 本発明の実施例におけるネットワークシステムの構成を示すブロック図である。It is a block diagram which shows the structure of the network system in the Example of this invention. 本発明の実施例におけるネットワークシステムの動作を示すシーケンス図である。It is a sequence diagram which shows operation | movement of the network system in the Example of this invention. 本発明の実施例におけるネットワークシステムの構成を示すブロック図である。It is a block diagram which shows the structure of the network system in the Example of this invention. 本発明の実施例におけるネットワークシステムの動作を示すシーケンス図である。It is a sequence diagram which shows operation | movement of the network system in the Example of this invention. 本発明の実施例におけるネットワークシステムの動作を示すシーケンス図である。It is a sequence diagram which shows operation | movement of the network system in the Example of this invention. 本発明の実施例におけるネットワークシステムの動作を示すシーケンス図である。It is a sequence diagram which shows operation | movement of the network system in the Example of this invention. 本発明の実施例におけるネットワークシステムの動作を示すシーケンス図である。It is a sequence diagram which shows operation | movement of the network system in the Example of this invention. 本発明の実施例におけるネットワークシステムの構成を示すブロック図である。It is a block diagram which shows the structure of the network system in the Example of this invention. 本発明の実施例におけるアドレス変換装置の構成を示す機能ブロック図である。It is a functional block diagram which shows the structure of the address translation apparatus in the Example of this invention. 本発明の実施例におけるネットワークシステムの動作を示すシーケンス図である。It is a sequence diagram which shows operation | movement of the network system in the Example of this invention. 本発明の実施例におけるネットワークシステム構成を示すブロック図である。It is a block diagram which shows the network system structure in the Example of this invention. 本発明の実施例におけるＶＭ実行端末の構成を示す機能ブロック図である。It is a functional block diagram which shows the structure of the VM execution terminal in the Example of this invention. 特許文献２に記載のアドレス付与システムの構成を示すブロック図である。10 is a block diagram illustrating a configuration of an address assignment system described in Patent Document 2. FIG.

以下、本発明の実施の形態について、図面を用いて説明する。尚、すべての図面において、同様な構成要素には同様の符号を付し、適宜説明を省略する。   Hereinafter, embodiments of the present invention will be described with reference to the drawings. In all the drawings, the same reference numerals are given to the same components, and the description will be omitted as appropriate.

（第１の実施の形態）
本発明の第１の実施の形態について、図面を用いて詳しく説明する。
図１は、本発明の実施の形態に係るネットワークシステム１００の構成を示すブロック図である。 (First embodiment)
A first embodiment of the present invention will be described in detail with reference to the drawings.
FIG. 1 is a block diagram showing a configuration of a network system 100 according to an embodiment of the present invention.

本実施形態のネットワークシステム１００は、通信端末（端末６）と、ネットワーク７上の端末６に動的に割り当てられるＩＰアドレスを管理し、端末６からの要求に応じて当該端末６にＩＰアドレスを割り当てて付与するアドレス付与サーバと、端末６とアドレス付与サーバ（ＤＨＣＰサーバ３）との間に配置されネットワーク接続される中継装置１と、を備え、中継装置１は、端末６とＤＨＣＰサーバ３との間で交換されるＩＰアドレス取得メッセージをもとに、ブロードキャストフレームの転送範囲を決定する。   The network system 100 according to this embodiment manages an IP address dynamically assigned to a communication terminal (terminal 6) and a terminal 6 on the network 7, and assigns an IP address to the terminal 6 in response to a request from the terminal 6. An address assignment server to be assigned and provided, and a relay device 1 disposed between the terminal 6 and the address assignment server (DHCP server 3) and connected to the network. The relay device 1 includes the terminal 6 and the DHCP server 3 The transmission range of the broadcast frame is determined based on the IP address acquisition message exchanged between the two.

具体的には、本実施形態におけるネットワークシステム１００は、中継装置１と、ＤＨＣＰサーバ３と、端末６（図では、例として複数の端末Ａ、端末Ｂ、端末Ｃが示されている。）と、ネットワーク７から構成される。中継装置１とＤＨＣＰサーバ３は、ネットワーク７に接続されている。端末６は中継装置１を介してネットワーク７と接続している。   Specifically, the network system 100 according to the present embodiment includes a relay device 1, a DHCP server 3, and a terminal 6 (in the figure, a plurality of terminals A, terminal B, and terminal C are shown as examples). The network 7 is configured. The relay device 1 and the DHCP server 3 are connected to a network 7. The terminal 6 is connected to the network 7 via the relay device 1.

本発明の実施の形態では、ＴＣＰ（Transmission Control Protocol）／ＩＰネットワークを前提とし、またアドレス付与サーバとしてＤＨＣＰサーバを前提とする。   In the embodiment of the present invention, a TCP (Transmission Control Protocol) / IP network is assumed, and a DHCP server is assumed as an address assignment server.

ＤＨＣＰサーバ３は、複数のネットワークドメインのＩＰアドレスプールを管理する。本実施形態では、例えば、“１９２．１６８．０．０／２４”と“１９２．１６８．１．０／２４”の２つのネットワークドメインのＩＰアドレスプールを管理している。   The DHCP server 3 manages IP address pools of a plurality of network domains. In the present embodiment, for example, two network domain IP address pools of “192.168.0.0/24” and “192.168.1.0/24” are managed.

例として、以下のような違いを持たせることができる。
（１）前者のネットワークドメイン（１９２．１６８．０．０／２４）に属する端末は、ネットワーク７に接続されたすべての通信装置にアクセスできる。
（２）後者のネットワークドメイン（１９２．１６８．１．０／２４）に属する端末は、ネットワーク７に接続された一部の装置にはアクセスできるが、他の一部の通信装置にはアクセスできない。 For example, the following differences can be made.
(1) A terminal belonging to the former network domain (192.168.0.0/24) can access all communication devices connected to the network 7.
(2) A terminal belonging to the latter network domain (192.168.1.0/24) can access some devices connected to the network 7, but cannot access other communication devices. .

通信装置へのアクセス権を管理する方法としては、ネットワークドメインでフィルタリングをかける方法、あるいは、通信装置とネットワーク７との間に中継装置１を配置する方法などがある。なお、図１には端末が３台の場合を記載しているが、３台以外の場合においても本発明を適用できる。   As a method of managing the access right to the communication device, there are a method of filtering in a network domain, a method of arranging the relay device 1 between the communication device and the network 7, and the like. Although FIG. 1 shows a case where there are three terminals, the present invention can be applied to cases where there are other than three terminals.

なお、以下の各図において、本発明の本質に関わらない部分の構成については省略してあり、図示されていない。
また、本発明のネットワークシステムの各構成要素は、任意のコンピュータのＣＰＵ、メモリ、メモリにロードされた本図の構成要素を実現するプログラム、そのプログラムを格納するハードディスクなどの記憶ユニット、ネットワーク接続用インターフェースを中心にハードウェアとソフトウェアの任意の組合せによって実現される。そして、その実現方法、装置にはいろいろな変形例があることは、当業者には理解されるところである。以下説明する各図は、ハードウェア単位の構成ではなく、機能単位のブロックを示している。 In the following drawings, the configuration of parts not related to the essence of the present invention is omitted and is not shown.
Each component of the network system of the present invention includes an arbitrary computer CPU, memory, a program for realizing the components shown in the figure loaded in the memory, a storage unit such as a hard disk for storing the program, and a network connection It is realized by any combination of hardware and software centering on the interface. It will be understood by those skilled in the art that there are various modifications to the implementation method and apparatus. Each figure described below shows functional unit blocks, not hardware unit configurations.

図２は、図１の本実施形態のネットワークシステム１００の中継装置１の構成を示す機能ブロック図である。
本実施形態の中継装置１は、ネットワーク７上の通信装置（不図示）および端末６と接続する複数のポート１４ａ、１４ｂと、ポート１４ａ、１４ｂのＩＤごとに、ＭＡＣアドレスおよびネットワークドメイン情報を記憶するポート管理テーブル１３と、受信したフレームのメッセージを確認し、フレームがＩＰアドレス取得メッセージに関するか否かを判断し、フレームがＩＰアドレス取得メッセージに関する場合はＩＰアドレス取得メッセージの内容をポート管理テーブル１３に更新したのち、フレームを出力し、ＩＰアドレス取得メッセージ以外の場合は、フレームをそのまま出力するメッセージ監視部１１と、メッセージ監視部１１から入力したフレームの送信元および宛先アドレスを参照し、ポート管理テーブル１３に記録されたＭＡＣアドレスおよびネットワークドメイン情報をもとにフレームの転送範囲を決定し、転送範囲に従いフレームを転送する転送部１２と、を備える。なお、本実施形態において、ＩＰアドレス取得メッセージの交換はＤＨＣＰに基づく。 FIG. 2 is a functional block diagram showing the configuration of the relay apparatus 1 of the network system 100 of the present embodiment shown in FIG.
The relay device 1 of the present embodiment stores a MAC address and network domain information for each of a plurality of ports 14a and 14b connected to a communication device (not shown) on the network 7 and the terminal 6, and the IDs of the ports 14a and 14b. The port management table 13 and the received frame message are checked to determine whether the frame is related to the IP address acquisition message. If the frame is related to the IP address acquisition message, the contents of the IP address acquisition message are displayed. In the case of a message other than an IP address acquisition message, the message monitoring unit 11 outputs the frame as it is, and the source and destination addresses of the frame input from the message monitoring unit 11 are referred to, and the port management is performed. Recorded in table 13 The AC address and network domain information to determine the transfer range of the frame on the basis, comprises a transfer unit 12 for transferring the frame in accordance with the transfer range. In the present embodiment, the exchange of the IP address acquisition message is based on DHCP.

具体的には、中継装置１は、メッセージ監視部１１と、転送部１２と、ポート管理テーブル１３と、端末６に接続される端末側ポート１４ａと、ネットワーク７に接続されるネットワーク側ポート１４ｂと、を含む。   Specifically, the relay device 1 includes a message monitoring unit 11, a transfer unit 12, a port management table 13, a terminal side port 14 a connected to the terminal 6, and a network side port 14 b connected to the network 7. ,including.

なお、以下、図２のような装置構成を示すブロック図において、実線矢印はフレームの流れを、実線はデータ更新を、破線矢印はデータの参照を、それぞれ示している。   In the following, in the block diagram showing the apparatus configuration as shown in FIG. 2, a solid line arrow indicates a frame flow, a solid line indicates data update, and a broken line arrow indicates data reference.

図３は、ポート管理テーブル１３の構造の一例を示す図である。ポート管理テーブル１３には、ポートＩＤ毎に、ＭＡＣアドレス、ネットワークドメイン、ＤＨＣＰ状態がそれぞれ記録される。図３の例では、ポートＩＤが、＃１から＃４までは端末側ポート１４ａ、＃５はネットワーク側ポート１４ｂに関する登録内容が示されている。   FIG. 3 is a diagram illustrating an example of the structure of the port management table 13. In the port management table 13, a MAC address, a network domain, and a DHCP state are recorded for each port ID. In the example of FIG. 3, the terminal IDs # 1 to # 4 indicate the terminal-side port 14a, and # 5 indicates the registration contents regarding the network-side port 14b.

端末側ポート１４ａのポートＩＤには、端末６のＭＡＣアドレス、ネットワークドメイン、ＤＨＣＰ状態が記録される。ＤＨＣＰ状態には、接続する端末６のＤＨＣＰ状態が記録される。ＤＨＣＰ状態は“ＤＩＳＣＯＶＥＲ”、“ＯＦＦＥＲ”、“ＲＥＱＵＥＳＴ”、“ＡＣＫ”の４種類からなる。   The port ID of the terminal-side port 14a records the MAC address, network domain, and DHCP status of the terminal 6. The DHCP state of the terminal 6 to be connected is recorded in the DHCP state. There are four types of DHCP states: “DISCOVER”, “OFFER”, “REQUEST”, and “ACK”.

“ＤＩＳＣＯＶＥＲ”は、端末６からＤＨＣＰ ＤＩＳＣＯＶＥＲパケットが送信された状態、“ＯＦＦＥＲ”は、端末６がＤＨＣＰサーバからＤＨＣＰ ＯＦＦＥＲパケットを受信した状態、“ＲＥＱＵＥＳＴ”は、端末６がＤＨＣＰ ＲＥＱＵＥＳＴパケットを送信した状態、“ＡＣＫ”は、端末６がＤＨＣＰサーバからＤＨＣＰ ＡＣＫパケットを受信した状態を、それぞれ表す。   “DISCOVER” is a state in which a DHCP DISCOVER packet is transmitted from the terminal 6, “OFFER” is a state in which the terminal 6 has received a DHCP OFFER packet from the DHCP server, and “REQUEST” is a state in which the terminal 6 has transmitted a DHCP REQUEST packet. The state “ACK” represents a state in which the terminal 6 has received a DHCP ACK packet from the DHCP server.

“ＡＣＫ”状態に遷移すると、端末６にＩＰアドレスが割り当てられるため、端末６のＩＰアドレスをもとにネットワークドメインが登録される。ＤＨＣＰによるＩＰアドレスの取得が完了していない場合、ネットワークドメインは登録されない。端末側ポート１４ａに端末６が登録されていない場合、もしくは端末側ポート１４ａに接続された端末６がＤＨＣＰを利用していない場合は、ＭＡＣアドレス、ネットワークドメイン、ＤＨＣＰ状態のいずれも登録されない。ポート管理テーブル１３への登録および更新処理は、後述するメッセージ監視部１１により行われる。   When the state transitions to the “ACK” state, an IP address is assigned to the terminal 6, so that the network domain is registered based on the IP address of the terminal 6. If the IP address acquisition by DHCP is not completed, the network domain is not registered. When the terminal 6 is not registered in the terminal side port 14a, or when the terminal 6 connected to the terminal side port 14a does not use DHCP, none of the MAC address, the network domain, and the DHCP state is registered. Registration and update processing in the port management table 13 is performed by the message monitoring unit 11 described later.

ネットワーク側ポート１４ｂには、ネットワーク７に接続する通信装置のＭＡＣアドレス、ネットワークドメイン、ＤＨＣＰ状態が登録される。ネットワーク側ポート１４ｂのＭＡＣアドレスおよびネットワークドメインは手動で登録してもよいし、ＤＨＣＰメッセージもしくはＡＲＰメッセージを利用して自動で登録してもよい。ＤＨＣＰ状態には、接続するネットワークのＤＨＣＰ状態が記録される。ＤＨＣＰ状態は“ＤＩＳＣＯＶＥＲ”、“ＯＦＦＥＲ”、“ＲＥＱＵＥＳＴ”の３種類からなり、端末側ポート１４ａにおけるＤＨＣＰ状態と同様である。ただし、ＭＡＣアドレスおよびネットワークドメインは、ＤＨＣＰ状態に関係なく登録される。   The network side port 14b registers the MAC address, network domain, and DHCP status of the communication device connected to the network 7. The MAC address and network domain of the network side port 14b may be registered manually or automatically using a DHCP message or an ARP message. The DHCP state of the network to be connected is recorded in the DHCP state. There are three types of DHCP states, “DISCOVER”, “OFFER”, and “REQUEST”, which are the same as those in the terminal side port 14a. However, the MAC address and the network domain are registered regardless of the DHCP state.

図２に戻り、メッセージ監視部１１は、ポート１４を介して受信したフレームの内容を確認する。ＤＨＣＰメッセージを含んだフレームの場合は、メッセージ内容を確認し、メッセージ内容に基づいて、ポート管理テーブル１３に該当するポートのＭＡＣアドレス、ネットワークドメイン、ＤＨＣＰ状態を登録または更新する。登録または更新の内容を以下に示す。
（１）ＤＨＣＰ ＤＩＳＣＯＶＥＲの場合、端末側ポート１４ａから受信した場合は、受信したポートＩＤにＭＡＣアドレスを登録し、そのＤＨＣＰ状態を“ＤＩＳＣＯＶＥＲ”に更新する。またネットワーク側ポート１４ｂのＤＨＣＰ状態を“ＤＩＳＣＯＶＥＲ”に更新する。ネットワーク側ポート１４ｂから受信した場合は、当該フレームを破棄する。
（２）ＤＨＣＰ ＯＦＦＥＲの場合、ＤＨＣＰ状態が“ＤＩＳＣＯＶＥＲ”であるポートＩＤ、およびＤＨＣＰ ＯＦＦＥＲの送信元であるネットワーク側ポート１４ｂのＤＨＣＰ状態を“ＯＦＦＥＲ”に更新し、他のネットワーク側ポート１４ｂのＤＨＣＰ状態をリセットする。
（３）ＤＨＣＰ ＲＥＱＵＥＳＴの場合、ＤＨＣＰ状態が“ＯＦＦＥＲ”であるポートＩＤについて、“ＲＥＱＵＥＳＴ”に更新する。
（４）ＤＨＣＰ ＡＣＫの場合、ＤＨＣＰ状態が“ＲＥＱＵＥＳＴ”であるポートＩＤについて、ＤＨＣＰ状態を“ＡＣＫ”に更新し、割り当てられたＩＰアドレスのネットワークドメインを登録する。ネットワーク側ポート１４ｂのＤＨＣＰ状態はリセットする。 Returning to FIG. 2, the message monitoring unit 11 confirms the content of the frame received via the port 14. In the case of a frame including a DHCP message, the message content is confirmed, and the MAC address, network domain, and DHCP status of the port corresponding to the port management table 13 are registered or updated based on the message content. The contents of registration or update are shown below.
(1) In the case of DHCP DISCOVER, when received from the terminal-side port 14a, the MAC address is registered in the received port ID, and the DHCP state is updated to “DISCOVER”. Also, the DHCP state of the network side port 14b is updated to “DISCOVER”. When received from the network side port 14b, the frame is discarded.
(2) In the case of DHCP OFFER, the port ID whose DHCP status is “DISCOVER” and the DHCP status of the network side port 14b that is the transmission source of DHCP OFFER are updated to “OFFER”, and the DHCP of the other network side port 14b Reset the state.
(3) In the case of DHCP REQUEST, the port ID whose DHCP state is “OFFER” is updated to “REQUEST”.
(4) In the case of DHCP ACK, for the port ID whose DHCP state is “REQUEST”, the DHCP state is updated to “ACK”, and the network domain of the assigned IP address is registered. The DHCP state of the network side port 14b is reset.

ポート管理テーブル１３への登録または更新完了後、メッセージ監視部１１は、当該フレームを転送部１２に渡す。なお、ＤＨＣＰメッセージを含まないフレームの場合は、そのまま転送部１２に渡す。   After registration or update in the port management table 13 is completed, the message monitoring unit 11 passes the frame to the transfer unit 12. If the frame does not include a DHCP message, the frame is transferred to the transfer unit 12 as it is.

転送部１２は、メッセージ監視部１１からフレームを渡された時、ポート管理テーブル１３を参照し、ポート１４のうち適切なものを経由して当該フレームをブロードキャストする。   When the frame is delivered from the message monitoring unit 11, the transfer unit 12 refers to the port management table 13 and broadcasts the frame via an appropriate port 14.

すなわち、本実施形態において、ブロードキャストフレームの転送範囲は、端末６に付与されたＩＰアドレスと同一のネットワークドメインに属するネットワークのみに限定される。   In other words, in the present embodiment, the broadcast frame transfer range is limited to networks belonging to the same network domain as the IP address assigned to the terminal 6.

具体的には、転送部１２は、当該フレームの送信元ポートとポート管理テーブル１３を比較し、ポート管理テーブル１３に記載されている送信元のネットワークドメインと合致するポートにのみ、当該フレームをブロードキャストする。   Specifically, the transfer unit 12 compares the transmission source port of the frame with the port management table 13 and broadcasts the frame only to a port that matches the transmission source network domain described in the port management table 13. To do.

フレームの送信元が端末６の場合、端末側ポート１４ａのＤＨＣＰ状態がＤＩＳＣＯＶＥＲもしくはＲＥＱＵＥＳＴの場合は、転送部１２は、ネットワーク側ポート１４ｂのうちＤＨＣＰ状態がＤＩＳＣＯＶＥＲまたはＲＥＱＵＥＳＴのポートにブロードキャストする。フレームの送信元がＤＨＣＰサーバ３の場合は、ＤＨＣＰ状態がＯＦＦＥＲまたはＡＣＫに該当する端末側ポート１４ａがあれば該当する端末側ポート１４ａにのみ転送し、該当するポートがない場合は、通常のブロードキャストフレームと同等の条件にて転送する。   When the transmission source of the frame is the terminal 6, when the DHCP state of the terminal side port 14a is DISCOVER or REQUEST, the transfer unit 12 broadcasts to the port of the network side port 14b whose DHCP state is DISCOVER or REQUEST. When the frame is transmitted from the DHCP server 3, if there is a terminal side port 14a whose DHCP state corresponds to OFFER or ACK, the frame is forwarded only to the corresponding terminal side port 14a. Transfer under the same conditions as the frame.

このように構成された本実施形態のネットワークシステム１００の中継装置１の動作を説明する。
図４は、図１に示したネットワークシステム１００の中継装置１の動作の一例を示すフローチャートである。以下、図１乃至図４を用いて説明する。 The operation of the relay apparatus 1 of the network system 100 of this embodiment configured as described above will be described.
FIG. 4 is a flowchart showing an example of the operation of the relay device 1 of the network system 100 shown in FIG. Hereinafter, description will be made with reference to FIGS.

中継装置１はフレームを受信すると、メッセージ監視部１１にて当該フレームの中身を確認する（ステップＳ１０１）。ＤＨＣＰメッセージの場合には（ステップＳ１０１のＹＥＳ）、メッセージ内容を確認し、ポート管理テーブル１３を更新する（ステップＳ１０２）。その後、転送部１２にて宛先ＭＡＣアドレスとポート管理テーブル１３とを参照し、適切なポートに転送する（ステップＳ１０３）。また、ステップＳ１０１で、ＤＨＣＰメッセージでない場合（ステップＳ１０１のＮＯ）、ステップＳ１０３に進む。   When the relay device 1 receives the frame, the message monitoring unit 11 confirms the contents of the frame (step S101). In the case of a DHCP message (YES in step S101), the message content is confirmed and the port management table 13 is updated (step S102). After that, the transfer unit 12 refers to the destination MAC address and the port management table 13 and transfers it to an appropriate port (step S103). If it is determined in step S101 that the message is not a DHCP message (NO in step S101), the process proceeds to step S103.

以上、説明したように、本実施形態のネットワークシステム１００によれば、端末６から送信されるフレームの転送範囲が、ＩＰアドレス取得の結果に基づき決定されるので、ＤＨＣＰサーバ３からＩＰアドレスを割り当てられていない不正な端末６からのネットワーク接続を拒否することができる。このように、本実施形態のネットワークシステム１００によれば、異なるアクセス権をもつ端末６を同時に収容でき、かつ装置負荷および管理負荷を軽減し、不正な端末６からのネットワーク接続を拒否できる高セキュリティおよび高信頼なネットワークシステムを実現できる。   As described above, according to the network system 100 of the present embodiment, since the transfer range of the frame transmitted from the terminal 6 is determined based on the IP address acquisition result, an IP address is assigned from the DHCP server 3. Network connection from an unauthorized terminal 6 that has not been made can be rejected. As described above, according to the network system 100 of the present embodiment, it is possible to accommodate terminals 6 having different access rights at the same time, reduce the device load and management load, and reject network connections from unauthorized terminals 6. And a highly reliable network system.

（第２の実施の形態）
次に、本発明の第２の実施の形態について、図面を用いて詳しく説明する。図５は、本実施形態のネットワークシステム１０１の構成を示すブロック図である。
本実施形態は、上記実施形態とは、中継装置のネットワーク側ポートに複数のネットワークが接続しており、それぞれのネットワークが独立にＤＨＣＰサーバを備え、また独立したネットワークドメインに属する点で相違する。本実施形態では、上記実施形態の変形により、かかる構成においても本発明を適用できることを示す。 (Second Embodiment)
Next, a second embodiment of the present invention will be described in detail with reference to the drawings. FIG. 5 is a block diagram showing the configuration of the network system 101 of this embodiment.
This embodiment is different from the above-described embodiment in that a plurality of networks are connected to the network side port of the relay apparatus, and each network independently includes a DHCP server and belongs to an independent network domain. In the present embodiment, it is shown that the present invention can be applied to such a configuration by modifying the above embodiment.

本実施形態のネットワークシステムは、端末６と、ネットワーク７上の端末６に動的に割り当てられるＩＰアドレスを管理し、端末６からの要求に応じて当該端末６にＩＰアドレスを割り当てて付与するＤＨＣＰサーバ３と、端末６とＤＨＣＰサーバ３との間に配置されネットワーク接続される中継装置１０と、を備え、ネットワーク７上にＤＨＣＰサーバ３が複数存在し、かつ複数のＤＨＣＰサーバ３ａ、３ｂには優先度が設けられており、中継装置１０は、端末６とＤＨＣＰサーバ３ａ、３ｂとの間で交換されるＩＰアドレス取得メッセージをもとに、ブロードキャストフレームの転送範囲を決定し、複数のＤＨＣＰサーバ３ａ、３ｂのうち、端末６からのアドレス付与サーバ検索メッセージに応答を返す最も優先度の高いＤＨＣＰサーバ３の応答のみを、端末６に転送する。   The network system of this embodiment manages the IP address dynamically assigned to the terminal 6 and the terminal 6 on the network 7, and assigns and assigns an IP address to the terminal 6 in response to a request from the terminal 6. A relay device 10 disposed between the terminal 3 and the DHCP server 3 and connected to the network. A plurality of DHCP servers 3 exist on the network 7, and the plurality of DHCP servers 3a and 3b include A priority is provided, and the relay apparatus 10 determines a transfer range of a broadcast frame based on an IP address acquisition message exchanged between the terminal 6 and the DHCP servers 3a and 3b, and a plurality of DHCP servers. Among the servers 3a and 3b, the DHCP server with the highest priority that returns a response to the address assignment server search message from the terminal 6 3 responses only, and transfers to the terminal 6.

本実施形態のネットワークシステムにおいて、中継装置１０は、ネットワーク７上の端末６と接続する複数のポート１４と、ポート１４のＩＤごとに、ＭＡＣアドレスおよびネットワークドメイン情報を記憶するポート管理テーブル１３と、受信したフレームのメッセージを確認し、フレームがＩＰアドレス取得メッセージに関するか否かを判断し、フレームがＩＰアドレス取得メッセージに関する場合はＩＰアドレス取得メッセージの内容をポート管理テーブル１３に更新したのち、フレームを出力し、ＩＰアドレス取得メッセージ以外の場合は、フレームをそのまま出力するメッセージ監視部１１と、メッセージ監視部１１から入力したフレームの送信元および宛先アドレスを参照し、ポート管理テーブル１３に記録されたＭＡＣアドレスおよびネットワークドメイン情報をもとにフレームの転送範囲を決定し、転送範囲に従いフレームを転送する転送部１２と、を備える。   In the network system of the present embodiment, the relay device 10 includes a plurality of ports 14 connected to the terminals 6 on the network 7, a port management table 13 that stores a MAC address and network domain information for each ID of the port 14, Check the message of the received frame, determine whether the frame is related to the IP address acquisition message, and if the frame is related to the IP address acquisition message, update the contents of the IP address acquisition message in the port management table 13, If the message is not an IP address acquisition message, the MAC is recorded in the port management table 13 by referring to the message monitoring unit 11 that outputs the frame as it is, and the source and destination addresses of the frame input from the message monitoring unit 11 Address And network domain information to determine the transfer range of the frame on the basis, comprises a transfer unit 12 for transferring the frame in accordance with the transfer range.

メッセージ監視部１１は、さらにバッファ１５を含む。
メッセージ監視部１１は、アドレス付与サーバ検索メッセージを含むフレームを受信した場合には、すべてのＤＨＣＰサーバ３にフレームを転送し、その後、優先度が最も高いＤＨＣＰサーバ３以外から応答フレームを受信した場合は、バッファ１５を確認し、
・バッファ１５内に応答フレームがない場合、もしくは保存されている応答フレームの送信元ＤＨＣＰサーバ３の優先度が受信した応答フレームの送信元ＤＨＣＰサーバ３の優先度より低い場合は、保存されている応答フレームを破棄したうえで受信した応答フレームを保存し、
・保存されている応答フレームの送信元ＤＨＣＰサーバ３の優先度が受信した応答フレームの送信元ＤＨＣＰサーバ３の優先度より高い場合は、受信した応答フレームを破棄し、優先度が最も高いＤＨＣＰサーバ３から応答フレームを受信した場合は、バッファ１５内の応答フレームを破棄して受信した応答フレームを転送手段に渡し、バッファ１５内に応答フレームを保存してから一定時間以上経過した場合には、バッファ１５内の応答フレームを取得して転送部１２に渡す。 The message monitoring unit 11 further includes a buffer 15.
When the message monitoring unit 11 receives a frame including the address assignment server search message, the message monitoring unit 11 transfers the frame to all the DHCP servers 3, and then receives a response frame from other than the DHCP server 3 having the highest priority. Checks the buffer 15,
Stored when there is no response frame in the buffer 15 or when the priority of the source DHCP server 3 of the stored response frame is lower than the priority of the source DHCP server 3 of the received response frame Discard the response frame, save the received response frame,
When the priority of the stored response frame transmission source DHCP server 3 is higher than the priority of the received response frame transmission source DHCP server 3, the received response frame is discarded, and the DHCP server with the highest priority When the response frame is received from 3, the response frame in the buffer 15 is discarded and the received response frame is transferred to the transfer means. The response frame in the buffer 15 is acquired and passed to the transfer unit 12.

中継装置１０の構成および動作は、メッセージ監視部１１ａを除き、図２の上記実施形態における中継装置１の構成および動作と同様である。
また、本実施形態は、上記実施形態と組み合わせてもよい。 The configuration and operation of the relay device 10 are the same as the configuration and operation of the relay device 1 in the above embodiment of FIG. 2 except for the message monitoring unit 11a.
Further, this embodiment may be combined with the above embodiment.

本実施形態では、複数のＤＨＣＰサーバ（３ａ、３ｂ）にそれぞれ優先度が設けられ、最も優先度の高いＤＨＣＰサーバからのＤＨＣＰ ＯＦＦＥＲメッセージのみが、端末６に転送されることを特徴とする。ＤＨＣＰサーバ（３ａ、３ｂ）の優先度の高さと、ＤＨＣＰサーバ（３ａ、３ｂ）が割り当てるネットワークドメインのアクセス権の広さとを関連付けることにより、端末６は、ネットワークシステム１０１で許可されるうち、最もアクセス権の広いネットワークドメインのＩＰアドレスを取得することができる。ＩＰアドレス取得後は、ＩＰアドレスのネットワークドメインに従い、通信範囲が決定される。   In the present embodiment, a plurality of DHCP servers (3a, 3b) are each assigned a priority, and only the DHCP OFFER message from the DHCP server with the highest priority is transferred to the terminal 6. By associating the high priority of the DHCP server (3a, 3b) with the wide access right of the network domain assigned by the DHCP server (3a, 3b), the terminal 6 is the most permitted in the network system 101. An IP address of a network domain having a wide access right can be acquired. After obtaining the IP address, the communication range is determined according to the network domain of the IP address.

図５の本実施形態におけるネットワークシステム１０１は、図１の上記実施形態において、中継装置にネットワークが複数接続されている構成である。本実施形態において、中継装置１０はネットワーク７ａを介して、ＤＨＣＰサーバ３ａと接続されている。また、中継装置１０は、ネットワーク７ｂを介して、ＤＨＣＰサーバ３ｂと接続されている。ネットワーク７ａ、７ｂはそれぞれ異なるネットワークドメインに属し、ＤＨＣＰサーバ３ａ、３ｂはそれぞれが接続するネットワーク７ａ、７ｂの属するネットワークドメインのＩＰアドレスプールを管理している。またネットワーク７ａ、７ｂにはそれぞれ優先度が設けられている。なお、図５には中継装置１０にネットワーク７が２つ接続されている例を示しているが、３つ以上の場合でも本発明を適用できる。また図５には端末６（端末Ａ、端末Ｂ、端末Ｃ）が３台接続されている例を示しているが、３台以外の場合においても本発明を適用できる。   The network system 101 in this embodiment of FIG. 5 has a configuration in which a plurality of networks are connected to the relay device in the above-described embodiment of FIG. In the present embodiment, the relay device 10 is connected to the DHCP server 3a via the network 7a. The relay device 10 is connected to the DHCP server 3b via the network 7b. The networks 7a and 7b belong to different network domains, and the DHCP servers 3a and 3b manage IP address pools of the network domains to which the networks 7a and 7b to which the networks 7a and 7b are connected respectively belong. Each network 7a, 7b has a priority. Note that FIG. 5 shows an example in which two networks 7 are connected to the relay apparatus 10, but the present invention can be applied to the case where there are three or more networks. FIG. 5 shows an example in which three terminals 6 (terminal A, terminal B, and terminal C) are connected, but the present invention can be applied to cases other than three.

図６は、本実施形態のネットワークシステム１０１の中継装置１０の構成を示す機能ブロック図である。中継装置１０は、上記実施形態の中継装置１と同様な転送部１２、ポート管理テーブル１３、およびポート１４に加え、メッセージ監視部１１ａを備える。ポート１４は、端末６に接続される端末側ポート１４ａと、ネットワーク７ａ、７ｂに接続されるネットワーク側ポート１４ｂと、を含む。また、メッセージ監視部１１ａは、ＤＨＣＰ ＯＦＦＥＲのフレームを格納するバッファ１５を含む。   FIG. 6 is a functional block diagram showing the configuration of the relay device 10 of the network system 101 of this embodiment. The relay device 10 includes a message monitoring unit 11a in addition to the transfer unit 12, the port management table 13, and the port 14 that are the same as those of the relay device 1 of the above embodiment. The port 14 includes a terminal side port 14a connected to the terminal 6 and a network side port 14b connected to the networks 7a and 7b. In addition, the message monitoring unit 11a includes a buffer 15 that stores a DHCP OFFER frame.

メッセージ監視部１１ａは、ポート１４を介して受信したフレームの内容を確認する。ＤＨＣＰメッセージを含んだフレームの場合は、メッセージ内容を確認する。内容がＤＨＣＰ ＯＦＦＥＲの場合、以下の動作を行う。
（１）優先度の最も高い、つまりプライマリのＤＨＣＰサーバが送信したＤＨＣＰ ＯＦＦＥＲであれば、メッセージ内容を確認しポート管理テーブル１３を更新する。このとき、バッファ１５内にフレームが保存されている場合はバッファ１５内のフレームを破棄する。更新が完了したら、当該フレームを転送部１２に渡す。
（２）プライマリのＤＨＣＰサーバが送信したものではないＤＨＣＰ ＯＦＦＥＲであれば、当該フレームとバッファ１５内のＤＨＣＰ ＯＦＦＥＲフレームとで、送信元ＤＨＣＰサーバの優先度と比較する。当該フレームの送信元ＤＨＣＰサーバの方が、優先度が高い場合、もしくはバッファ１５内にフレームが保存されていない場合は、当該フレームを保存する。このとき、バッファ１５内にフレームが保存されている場合は、バッファ１５内の既存のフレームを破棄した上で、フレームを保存する。当該フレームの送信元ＤＨＣＰサーバの方が、優先度が低い場合は、当該フレームを破棄する。 The message monitoring unit 11a confirms the contents of the frame received via the port 14. In the case of a frame including a DHCP message, the message content is confirmed. When the content is DHCP OFFER, the following operation is performed.
(1) If it is the highest priority, that is, DHCP OFFER transmitted by the primary DHCP server, the message content is confirmed and the port management table 13 is updated. At this time, if a frame is stored in the buffer 15, the frame in the buffer 15 is discarded. When the update is completed, the frame is transferred to the transfer unit 12.
(2) If the DHCP OFFER is not transmitted by the primary DHCP server, the frame and the DHCP OFFER frame in the buffer 15 are compared with the priority of the transmission source DHCP server. If the priority of the transmission source DHCP server of the frame is higher, or if the frame is not stored in the buffer 15, the frame is stored. At this time, if a frame is stored in the buffer 15, the frame is stored after discarding the existing frame in the buffer 15. If the transmission source DHCP server of the frame has a lower priority, the frame is discarded.

また、バッファ１５内にフレームが保存されている場合は、以下の動作を行う。
（３）バッファ１５内に一定時間以上ＤＨＣＰ ＯＦＦＥＲフレームが保存されている場合は、バッファ１５から当該フレームを取得し、メッセージ内容を確認し、ポート管理テーブル１３を更新する。更新が完了したら、当該フレームを転送部１２に渡す。 When a frame is stored in the buffer 15, the following operation is performed.
(3) If a DHCP OFFER frame has been stored in the buffer 15 for a predetermined time or longer, the frame is acquired from the buffer 15, the message content is confirmed, and the port management table 13 is updated. When the update is completed, the frame is transferred to the transfer unit 12.

メッセージ内容がＤＨＣＰ ＯＦＦＥＲ以外の場合、およびＤＨＣＰ以外のフレームの場合は、図２の上記実施形態のメッセージ監視部１１と同様の動作を行う。また、ポート管理テーブル１３の更新の内容も、図２の上記実施形態と同様である。   When the message content is other than DHCP OFFER or a frame other than DHCP OFFER, the same operation as the message monitoring unit 11 of the above embodiment of FIG. 2 is performed. Further, the contents of the update of the port management table 13 are the same as those in the above embodiment of FIG.

上述のような構成において、本実施の形態のネットワークシステム１０１おけるネットワーク制御方法を以下に説明する。図７および図８は、図５に示したネットワークシステム１０１の中継装置１０の動作の一例を示したフローチャートである。   In the configuration as described above, a network control method in the network system 101 of the present embodiment will be described below. 7 and 8 are flowcharts illustrating an example of the operation of the relay apparatus 10 of the network system 101 illustrated in FIG.

本実施形態のネットワーク制御方法は、端末６と、ネットワーク７上の端末６に動的に割り当てられるＩＰアドレスを管理し、端末６からの要求に応じＩＰアドレスを割り当てて付与するＤＨＣＰサーバ３と、端末６とＤＨＣＰサーバ３との間に配置されネットワーク接続される中継装置１０と、を備えたネットワーク７を制御し、ネットワーク７上にＤＨＣＰサーバ３が複数存在し、かつ複数のＤＨＣＰサーバ３ａ、３ｂには優先度が設けられており、中継装置１０が、端末６とＤＨＣＰサーバ３ａ、３ｂとの間で交換されるＩＰアドレス取得メッセージをもとに（ステップＳ１０１、Ｓ１１１）、ブロードキャストフレームの転送範囲を決定し（ステップＳ１１２〜Ｓ１１６、Ｓ１０２）、複数のＤＨＣＰサーバ３ａ、３ｂのうち、端末６からのアドレス付与サーバ検索メッセージに応答を返す最も優先度の高いＤＨＣＰサーバ３の応答のみを、端末６に転送する（Ｓ１０３）。   The network control method of the present embodiment manages a terminal 6, a DHCP server 3 that manages an IP address dynamically assigned to the terminal 6 on the network 7, and assigns and assigns an IP address in response to a request from the terminal 6. A network 7 including a relay device 10 disposed between the terminal 6 and the DHCP server 3 and connected to the network is controlled, and a plurality of DHCP servers 3 exist on the network 7 and a plurality of DHCP servers 3a, 3b Is assigned a priority, and the relay device 10 transmits a broadcast frame transfer range based on an IP address acquisition message exchanged between the terminal 6 and the DHCP servers 3a and 3b (steps S101 and S111). (Steps S112 to S116, S102), and the terminal out of the plurality of DHCP servers 3a and 3b. Only the response of the highest priority DHCP server 3 returns a response to the address assignment server search message from, and transfers to the terminal 6 (S103).

本実施形態のネットワーク制御方法において、中継装置１０は、ネットワーク７上の端末６と接続する複数のポート１４と、ポート１４のＩＤごとに、ＭＡＣアドレスおよびネットワークドメイン情報を記憶するポート管理テーブル１３と、をさらに含む。
中継装置１０が、受信したフレームのメッセージを確認し、フレームがＩＰアドレス取得メッセージに関するか否かを判断し、フレームがＩＰアドレス取得メッセージに関する場合は（ステップＳ１０１のＹＥＳ）、ＩＰアドレス取得メッセージの内容をポート管理テーブル１３に更新したのち、フレームを出力し（ステップＳ１０２〜Ｓ１１６）、ＩＰアドレス取得メッセージ以外の場合は（ステップＳ１０１のＮＯ）、フレームをそのまま出力するメッセージ監視手順（ステップＳ１０１）と、中継装置１０が、メッセージ監視手順において入力したフレームの送信元および宛先アドレスを参照し、ポート管理テーブル１３に記録されたＭＡＣアドレスおよびネットワークドメイン情報をもとにフレームの転送範囲を決定し、転送範囲に従いフレームを転送する転送手順と、を含む。 In the network control method of the present embodiment, the relay device 10 includes a plurality of ports 14 connected to the terminal 6 on the network 7, and a port management table 13 that stores a MAC address and network domain information for each ID of the port 14. Further included.
The relay apparatus 10 confirms the message of the received frame, determines whether the frame is related to the IP address acquisition message, and if the frame is related to the IP address acquisition message (YES in step S101), the content of the IP address acquisition message Is updated to the port management table 13, and then a frame is output (steps S102 to S116). If it is not an IP address acquisition message (NO in step S101), a message monitoring procedure (step S101) for outputting the frame as it is, The relay apparatus 10 refers to the frame source and destination addresses input in the message monitoring procedure, determines the frame transfer range based on the MAC address and network domain information recorded in the port management table 13, and transfers the transfer range. In Including, a transfer procedure for transferring the frame have.

中継装置１０は、さらにバッファ１５を含む。
メッセージ監視手順（ステップＳ１０１）において、アドレス付与サーバ検索メッセージを含むフレームを受信した場合には（ステップＳ１０１のＹＥＳ）、すべてのＤＨＣＰサーバ３にフレームを転送し、その後、優先度が最も高いＤＨＣＰサーバ３以外から応答フレームを受信した場合は（ステップＳ１１２のＮＯ）、バッファ１５を確認し（ステップＳ１１４）、
・バッファ１５内に応答フレームがない場合、もしくは保存されている応答フレームの送信元ＤＨＣＰサーバ３の優先度が受信した応答フレームの送信元ＤＨＣＰサーバ３の優先度より低い場合は、保存されている応答フレームを破棄したうえで受信した応答フレームを保存し（ステップＳ１１５）、
・保存されている応答フレームの送信元ＤＨＣＰサーバ３の優先度が受信した応答フレームの送信元ＤＨＣＰサーバ３の優先度より高い場合は、受信した応答フレームを破棄し（ステップＳ１１６）、優先度が最も高いＤＨＣＰサーバから応答フレームを受信した場合は（ステップＳ１１２のＹＥＳ）、バッファ１５内の応答フレームを破棄して（ステップＳ１１３）受信した応答フレームを転送手順（ステップＳ１０３）に遷移し（ステップＳ１０２）、バッファ１５内に応答フレームを保存してから一定時間以上経過した場合には（図８の開始）、バッファ１５内の応答フレームを取得して（ステップＳ１２１）転送手順（ステップＳ１０３）に遷移する（ステップＳ１０２）。 Relay device 10 further includes a buffer 15.
When a frame including an address assignment server search message is received in the message monitoring procedure (step S101) (YES in step S101), the frame is transferred to all the DHCP servers 3, and then the DHCP server having the highest priority. When a response frame is received from other than 3 (NO in step S112), the buffer 15 is checked (step S114),
Stored when there is no response frame in the buffer 15 or when the priority of the source DHCP server 3 of the stored response frame is lower than the priority of the source DHCP server 3 of the received response frame The response frame received after discarding the response frame is stored (step S115),
If the priority of the stored response frame transmission source DHCP server 3 is higher than the priority of the received response frame transmission source DHCP server 3, the received response frame is discarded (step S116). When a response frame is received from the highest DHCP server (YES in step S112), the response frame in the buffer 15 is discarded (step S113), and the received response frame is shifted to the transfer procedure (step S103) (step S102). ) When a predetermined time or more has elapsed since the response frame was stored in the buffer 15 (start of FIG. 8), the response frame in the buffer 15 is acquired (step S121) and the process proceeds to the transfer procedure (step S103). (Step S102).

このように構成された本実施形態のネットワークシステム１０１の中継装置１０の動作を以下に図面を用いて説明する。
はじめに、図５に示したネットワークシステム１０１における中継装置１０において、ポート１４がフレームを受信したときの動作について説明する。以下、図５乃至図７を用いて説明する。 The operation of the relay apparatus 10 of the network system 101 of this embodiment configured as described above will be described below with reference to the drawings.
First, the operation when the port 14 receives a frame in the relay apparatus 10 in the network system 101 shown in FIG. 5 will be described. This will be described below with reference to FIGS.

図７に示すように、はじめに、中継装置１０は、フレームを受信すると、メッセージ監視部１１ａにて当該フレームの中身を確認する（ステップＳ１０１）。ＤＨＣＰメッセージの場合には（ステップＳ１０１のＹＥＳ）、メッセージ内容を確認し、ＤＨＣＰ ＯＦＦＥＲであるかどうかを確認する（ステップＳ１１１）。ＤＨＣＰ ＯＦＦＥＲの場合には（ステップＳ１１１のＹＥＳ）、その送信元が最も優先度の高い、つまりプライマリのＤＨＣＰサーバからかどうかを確認する（ステップＳ１１２）。プライマリＤＨＣＰサーバからの場合は（ステップＳ１１２のＹＥＳ）、バッファ１５内のフレームを破棄する（ステップＳ１１３）。   As shown in FIG. 7, first, when the relay device 10 receives a frame, the message monitoring unit 11a confirms the contents of the frame (step S101). In the case of a DHCP message (YES in step S101), the content of the message is confirmed, and it is confirmed whether it is DHCP OFFER (step S111). In the case of DHCP OFFER (YES in step S111), it is confirmed whether the transmission source is the highest priority, that is, from the primary DHCP server (step S112). If it is from the primary DHCP server (YES in step S112), the frame in the buffer 15 is discarded (step S113).

プライマリＤＨＣＰサーバ以外からの場合は（ステップＳ１１２のＮＯ）、当該フレームとバッファ１５内のＤＨＣＰ ＯＦＦＥＲフレームとで、送信元ＤＨＣＰサーバの優先度を比較する（ステップＳ１１４）。当該フレームの送信元ＤＨＣＰサーバのほうが優先度が高い場合、もしくはバッファ１５内にフレームが保存されていない場合は、当該フレームを保存する（ステップＳ１１５）。このとき、バッファ１５内にフレームが既に保存されている場合は、バッファ１５内の既存のフレームを破棄した上で、フレームを保存する。当該フレームの送信元ＤＨＣＰサーバのほうが、優先度が低い場合は、当該フレームを破棄する（ステップＳ１１６）。   If it is from other than the primary DHCP server (NO in step S112), the priority of the transmission source DHCP server is compared between the frame and the DHCP OFFER frame in the buffer 15 (step S114). When the priority is higher in the source DHCP server of the frame, or when the frame is not stored in the buffer 15, the frame is stored (step S115). At this time, if a frame is already stored in the buffer 15, the frame is stored after discarding the existing frame in the buffer 15. If the transmission source DHCP server of the frame has a lower priority, the frame is discarded (step S116).

ステップＳ１１１にてＤＨＣＰ ＯＦＦＥＲ以外のフレームの場合（ステップＳ１１１のＮＯ）、およびステップＳ１１３完了後は、メッセージ内容を確認し、ポート管理テーブル１３を更新する（ステップＳ１０２）。また、ステップＳ１０１にてＤＨＣＰメッセージでなかった場合（ステップＳ１０１のＮＯ）、およびステップＳ１０２完了後は、転送部１２にて宛先ＭＡＣアドレスとポート管理テーブルとを参照し、適切なポートにブロードキャストする（ステップＳ１０３）。   In the case of a frame other than DHCP OFFER in step S111 (NO in step S111) and after completion of step S113, the message content is confirmed and the port management table 13 is updated (step S102). If it is not a DHCP message in step S101 (NO in step S101), and after step S102 is completed, the transfer unit 12 refers to the destination MAC address and the port management table and broadcasts it to an appropriate port ( Step S103).

次に、図５に示したネットワークシステム１０１における中継装置１０において、バッファ１５内にＤＨＣＰ ＯＦＦＥＲフレームが保存されてから一定時間以上が経過したときの動作について説明する。以下、図５、図６、および図８を用いて説明する。   Next, in the relay apparatus 10 in the network system 101 shown in FIG. 5, an operation when a predetermined time or more has elapsed since the DHCP OFFER frame was stored in the buffer 15 will be described. Hereinafter, description will be made with reference to FIGS. 5, 6, and 8.

図８に示すように、一定時間以上が経過したら、メッセージ監視部１１ａは、バッファ１５から当該フレームを取得し（ステップＳ１２１）、メッセージ内容を確認し、ポート管理テーブル１３を更新する（ステップＳ１０２）。更新が完了した後、転送部１２にて宛先ＭＡＣアドレスとポート管理テーブルとを参照し、適切なポートにブロードキャストする（ステップＳ１０３）。   As shown in FIG. 8, when a predetermined time or more elapses, the message monitoring unit 11a acquires the frame from the buffer 15 (step S121), confirms the message content, and updates the port management table 13 (step S102). . After the update is completed, the transfer unit 12 refers to the destination MAC address and the port management table and broadcasts it to an appropriate port (step S103).

なお、複数のネットワーク７ａ、７ｂのほかの接続形態としては、中継装置１０にてトンネルインターフェースを利用する形態がある。例えば、ネットワーク７ａとは直接接続し、ネットワーク７ｂとはトンネルインターフェースを介し、同一ネットワークに属する装置として接続する形態である。そのような形態においても、本実施形態に示す手法をそのまま適用できるため、詳細な説明は省略する。   As another connection form of the plurality of networks 7a and 7b, there is a form in which a tunnel interface is used in the relay device 10. For example, the network 7a is directly connected, and the network 7b is connected as a device belonging to the same network via a tunnel interface. Even in such a form, the method shown in this embodiment can be applied as it is, and thus detailed description thereof is omitted.

以上、説明したように、本実施形態のネットワークシステム１０１によれば、複数のＤＨＣＰサーバ３ａ、３ｂが存在するネットワークシステム１０１においても、上記実施形態と同様な効果を奏することができる。
その理由は、複数のＤＨＣＰサーバ３ａ、３ｂのうち、端末６からのＤＨＣＰサーバ検索メッセージに応答を返す、最も優先度の高いＤＨＣＰサーバ３の応答のみを転送するためである。 As described above, according to the network system 101 of this embodiment, the same effect as that of the above-described embodiment can be obtained even in the network system 101 in which a plurality of DHCP servers 3a and 3b exist.
The reason is that only the response of the DHCP server 3 with the highest priority that returns a response to the DHCP server search message from the terminal 6 among the plurality of DHCP servers 3a and 3b is transferred.

すなわち、端末６は、ネットワークシステム１０１で許可される、最も優先度の高いＤＨＣＰサーバ３からＩＰアドレスを割り当てられることとなる。優先度の高さとアクセス権の広さとを関連づけることにより、端末６は、ネットワークシステム１０１で許可される、最もアクセス権の広いＩＰアドレスを割り当てられることとなる。   That is, the terminal 6 is assigned an IP address from the DHCP server 3 having the highest priority that is permitted in the network system 101. By associating the high priority with the wide access right, the terminal 6 is assigned the IP address with the widest access right that is permitted by the network system 101.

（第３の実施の形態）
次に、本発明の第３の実施の形態について、図面を用いて詳しく説明する。なお、本実施形態におけるネットワークシステムの構成は、図５および図６の上記実施形態と同様である。本実施形態は、上記実施形態とは、メッセージ監視部（不図示）の動作が異なる。それ以外の中継装置の構成および動作は、上記実施形態、ならびに上記実施形態を組み合わせた場合の構成および動作と同様である。また、本実施形態は、上記実施形態と組み合わせてもよい。 (Third embodiment)
Next, a third embodiment of the present invention will be described in detail with reference to the drawings. Note that the configuration of the network system in the present embodiment is the same as that of the above-described embodiment of FIGS. This embodiment is different from the above embodiment in the operation of a message monitoring unit (not shown). The other configurations and operations of the relay device are the same as the configurations and operations in the case of combining the above embodiment and the above embodiment. Further, this embodiment may be combined with the above embodiment.

本実施形態のネットワークシステムにおいて、メッセージ監視部１１はさらに、アドレス付与サーバ検索メッセージを含むフレームを受信した場合は、優先度の最も高いＤＨＣＰサーバ３にフレームを送信して一定時間待ち、一定時間以内に応答フレームを受信したら応答フレームを転送部１２に渡し、一定時間以内に応答フレームを受信しなかったら、次に優先度の高いＤＨＣＰサーバ３にフレームを送信して一定時間待ち、一定時間以内に応答フレームを受信するか該当するＤＨＣＰサーバ３がなくなるまで順次動作を繰り返す。   In the network system of this embodiment, when the message monitoring unit 11 further receives a frame including the address assignment server search message, the message monitoring unit 11 transmits the frame to the DHCP server 3 having the highest priority, waits for a certain time, and within a certain time When the response frame is received, the response frame is transferred to the transfer unit 12. If the response frame is not received within a predetermined time, the frame is transmitted to the DHCP server 3 having the next highest priority, waits for a predetermined time, and within a predetermined time. The operation is sequentially repeated until a response frame is received or there is no corresponding DHCP server 3.

具体的には、本実施形態では、以下の点を特徴とする。すなわち、まず、優先度の最も高いＤＨＣＰサーバにＤＨＣＰ ＤＩＳＣＯＶＥＲメッセージが送信される。そして、一定時間以内にＤＨＣＰ ＯＦＦＥＲメッセージの返信がなければ、次に、優先度の高いＤＨＣＰサーバにＤＨＣＰ ＤＩＳＣＯＶＥＲメッセージが送信される。そして、本動作をＤＨＣＰ ＯＦＦＥＲメッセージの返信があるか該当するＤＨＣＰサーバがなくなるまで順次繰り返す。   Specifically, this embodiment is characterized by the following points. That is, first, the DHCP DISCOVER message is transmitted to the DHCP server having the highest priority. If no DHCP OFFER message is returned within a predetermined time, a DHCP DISCOVER message is transmitted to the DHCP server having the next highest priority. Then, this operation is sequentially repeated until a DHCP OFFER message is returned or there is no corresponding DHCP server.

ＤＨＣＰサーバの優先度の高さと、ＤＨＣＰサーバが割り当てるネットワークドメインのアクセス権の広さとを関連づけることにより、端末は、ネットワークシステムで許可されるうち、最もアクセス権の広いネットワークドメインのＩＰアドレスを取得することができる。ＩＰアドレス取得後は、ＩＰアドレスのネットワークドメインに従い、通信範囲が決定される。   By associating the high priority of the DHCP server with the wide access right of the network domain assigned by the DHCP server, the terminal acquires the IP address of the network domain with the widest access right, which is permitted in the network system. be able to. After obtaining the IP address, the communication range is determined according to the network domain of the IP address.

本実施形態において、メッセージ監視部は、受信したフレームの内容を確認する。ＤＨＣＰメッセージを含んだフレームの場合は、メッセージ監視部は、メッセージ内容を確認する。内容がＤＨＣＰ ＤＩＳＣＯＶＥＲの場合、メッセージ監視部は、当該フレームを最も優先度の高い、すなわちプライマリのＤＨＣＰサーバの存在するネットワークにブロードキャストするようポート管理テーブル１３を更新し、当該フレームを転送部１２に渡す。このとき、メッセージ監視部は、当該フレームをコピーしバッファ１５内に保存する。   In the present embodiment, the message monitoring unit confirms the content of the received frame. In the case of a frame including a DHCP message, the message monitoring unit confirms the message content. If the content is DHCP DISCOVER, the message monitoring unit updates the port management table 13 to broadcast the frame to the network having the highest priority, that is, the primary DHCP server, and passes the frame to the transfer unit 12. . At this time, the message monitoring unit copies the frame and stores it in the buffer 15.

その後、ＤＨＣＰ ＯＦＦＥＲを受信した場合は、メッセージ監視部は、バッファ１５内のフレームを破棄し、受信したフレームを転送部１２に渡す。   Thereafter, when the DHCP OFFER is received, the message monitoring unit discards the frame in the buffer 15 and passes the received frame to the transfer unit 12.

一定時間ＤＨＣＰ ＯＦＦＥＲを受信しなかったら、メッセージ監視部は、次に優先度の高い、すなわちセカンダリのＤＨＣＰサーバの存在するネットワークにＤＨＣＰ ＤＩＳＣＯＶＥＲをブロードキャストするよう、ポート管理テーブル１３を更新し、バッファ１５内のフレームをコピーして転送部１２に渡す。   If the DHCP OFFER is not received for a certain period of time, the message monitoring unit updates the port management table 13 so as to broadcast the DHCP DISCOVER to the network having the next highest priority, that is, the secondary DHCP server, and the buffer 15 Is copied to the transfer unit 12.

メッセージ監視部は、上記の動作を、ＤＨＣＰ ＯＦＦＥＲを受信するか、該当するＤＨＣＰサーバがなくなるまで順次繰り返す。   The message monitoring unit sequentially repeats the above operation until a DHCP OFFER is received or there is no corresponding DHCP server.

メッセージ内容がＤＨＣＰ ＤＩＳＣＯＶＥＲ、ＤＨＣＰ ＯＦＦＥＲ以外の場合、およびＤＨＣＰ以外のフレームの場合は、上記実施形態におけるメッセージ監視部１１、１１ａと同様の動作を行う。また、メッセージ内容がＤＨＣＰ ＤＩＳＣＯＶＥＲ以外の場合、ポート管理テーブル１３の更新の内容は、上記実施形態と同様である。   When the message content is other than DHCP DISCOVER and DHCP OFFER, and when it is a frame other than DHCP, the same operation as the message monitoring units 11 and 11a in the above embodiment is performed. When the message content is other than DHCP DISCOVER, the update content of the port management table 13 is the same as in the above embodiment.

上述のような構成において、本実施の形態のネットワークシステムおけるネットワーク制御方法を以下に説明する。図９および図１０は、本実施形態における中継装置の動作の一例を示すフローチャートである。図９は、中継装置にてフレームを受信したときの動作、図１０は、バッファ１５内にフレームが保存されているときの動作を、それぞれ示している。バッファ１５内にフレームが保存されているとき、図９に示す動作と図１０に示す動作とは、並行して行われる。以下、図５、図６、図９、および図１０を用いて説明する。   A network control method in the network system of the present embodiment having the above configuration will be described below. FIG. 9 and FIG. 10 are flowcharts showing an example of the operation of the relay device in this embodiment. FIG. 9 shows an operation when a frame is received by the relay apparatus, and FIG. 10 shows an operation when a frame is stored in the buffer 15. When a frame is stored in the buffer 15, the operation shown in FIG. 9 and the operation shown in FIG. 10 are performed in parallel. Hereinafter, description will be made with reference to FIGS. 5, 6, 9, and 10.

本実施形態のネットワーク制御方法において、メッセージ監視手順（ステップＳ１０１）はさらに、アドレス付与サーバ検索メッセージを含むフレームを受信した場合は（ステップＳ１０１のＹＥＳ）、優先度の最も高いアドレス付与サーバにフレームを送信して一定時間待ち（ステップＳ１４１）、一定時間以内に応答フレームを受信したら（ステップＳ１４２のＮＯ）転送手順に遷移し、一定時間以内に応答フレームを受信しなかったら（ステップＳ１４２のＹＥＳ）、次に優先度の高いアドレス付与サーバにフレームを送信して（ステップＳ１４３〜Ｓ１４５、Ｓ１０３）一定時間待ち（ステップＳ１４１）、一定時間以内に応答フレームを受信するか（ステップＳ１４２のＮＯ）該当するアドレス付与サーバがなくなる（ステップＳ１４３のいない）まで順次動作を繰り返す。   In the network control method of the present embodiment, when the message monitoring procedure (step S101) further receives a frame including the address assignment server search message (YES in step S101), the message monitoring procedure (step S101) sends the frame to the address assignment server with the highest priority. Transmit and wait for a certain time (step S141), if a response frame is received within a certain time (NO in step S142), transition to a transfer procedure, and if no response frame is received within a certain time (YES in step S142), Next, the frame is transmitted to the address assignment server with the highest priority (steps S143 to S145, S103), waits for a certain time (step S141), and receives a response frame within the certain time (NO in step S142) Corresponding address There is no grant server (step S 43 of not) repeat the sequential operation to.

このように構成された本実施形態のネットワークシステムの中継装置の動作を説明する。
はじめに、図９に従って、中継装置にてフレームを受信したときの動作を説明する。本実施形態における中継装置は、フレームを受信すると、メッセージ監視部にて当該フレームの中身を確認する（ステップＳ１０１）。ＤＨＣＰメッセージの場合には（ステップＳ１０１のＹＥＳ）、続いてＤＨＣＰ ＤＩＳＣＯＶＥＲであるかどうかを確認する（ステップＳ１３１）。 The operation of the relay device of the network system of this embodiment configured as described above will be described.
First, the operation when a frame is received by the relay apparatus will be described with reference to FIG. When the relay device in the present embodiment receives the frame, the message monitoring unit confirms the contents of the frame (step S101). In the case of a DHCP message (YES in step S101), it is subsequently confirmed whether the message is DHCP DISCOVER (step S131).

ＤＨＣＰ ＤＩＳＣＯＶＥＲの場合は（ステップＳ１３１のＹＥＳ）、該当する端末側ポート１４ａ、およびネットワーク側ポート１４ｂのうちプライマリＤＨＣＰサーバが存在するポートのみ、ポート管理テーブル１３中のＤＨＣＰ状態を“ＤＩＳＣＯＶＥＲ”に更新する（ステップＳ１３２）。続いて、当該フレームをコピーし、バッファ１５内に保存する（ステップＳ１３３）。   In the case of DHCP DISCOVER (YES in step S131), the DHCP state in the port management table 13 is updated to “DISCOVER” only for the port where the primary DHCP server exists among the corresponding terminal side port 14a and network side port 14b. (Step S132). Subsequently, the frame is copied and stored in the buffer 15 (step S133).

ステップＳ１３１にてＤＨＣＰ ＤＩＳＣＯＶＥＲ以外のフレームであった場合（ステップＳ１３１のＮＯ）、続いてＤＨＣＰ ＯＦＦＥＲであるかどうかを確認する（ステップＳ１３４）。ＤＨＣＰ ＯＦＦＥＲの場合は（ステップＳ１３４のＹＥＳ）、バッファ内のフレームを破棄する（ステップＳ１３５）。   If it is a frame other than DHCP DISCOVER in step S131 (NO in step S131), it is subsequently confirmed whether it is DHCP OFFER (step S134). In the case of DHCP OFFER (YES in step S134), the frame in the buffer is discarded (step S135).

ステップＳ１３４にてＤＨＣＰ ＯＦＦＥＲ以外のフレームであった場合（ステップＳ１３４のＮＯ）、およびステップＳ１３５が完了したら、ＤＨＣＰメッセージ内容を確認し、ポート管理テーブル１３を更新する（ステップＳ１０２）。ステップＳ１０１にてＤＨＣＰメッセージでなかった場合（ステップＳ１０１のＮＯ）、およびステップＳ１３３、ステップＳ１０２完了後は、転送部１２にて宛先ＭＡＣアドレスとポート管理テーブルとを参照し、当該フレームを適切なポートにブロードキャストする（ステップＳ１０３）。   When it is a frame other than DHCP OFFER in step S134 (NO in step S134) and when step S135 is completed, the contents of the DHCP message are confirmed, and the port management table 13 is updated (step S102). If it is not a DHCP message in step S101 (NO in step S101), and after completion of steps S133 and S102, the transfer unit 12 refers to the destination MAC address and the port management table, and designates the frame as an appropriate port. (Step S103).

次に、図１０に従って、中継装置にてバッファ１５内にＤＨＣＰ ＤＩＳＣＯＶＥＲフレームが保存されたときの動作を説明する。バッファ１５内にＤＨＣＰ ＤＩＳＣＯＶＥＲメッセージが保存されたのち、一定時間待つ（ステップＳ１４１）。一定時間経過後、バッファ１５内にフレームが保存されたままかを確認する（ステップＳ１４２）。保存されていない場合は（ステップＳ１４２のＮＯ）、一定時間以内にＤＨＣＰ ＯＦＦＥＲが到着し、バッファ１５内のフレームが破棄されたためとみなし、動作を終了する。保存されている場合は（ステップＳ１４２のＹＥＳ）、ＤＨＣＰ ＯＦＦＥＲが到着しなかったとみなし、次に優先度の高いＤＨＣＰサーバにＤＨＣＰ ＤＩＳＣＯＶＥＲを送信する処理を行うこととなる。   Next, the operation when the DHCP DISCOVER frame is stored in the buffer 15 in the relay apparatus will be described with reference to FIG. After the DHCP DISCOVER message is stored in the buffer 15, it waits for a predetermined time (step S141). After a certain time elapses, it is confirmed whether the frame remains stored in the buffer 15 (step S142). If not saved (NO in step S142), it is considered that the DHCP OFFER has arrived within a predetermined time and the frame in the buffer 15 has been discarded, and the operation is terminated. If it is stored (YES in step S142), it is considered that DHCP OFFER has not arrived, and processing for transmitting DHCP DISCOVER to the DHCP server having the next highest priority is performed.

すなわち、まず、次に優先度の高いＤＨＣＰサーバが存在するかを確認する（ステップＳ１４３）。存在しない場合は（ステップＳ１４３の「いない」）、バッファ１５内のフレームを破棄して動作を終了する（ステップＳ１４６）。存在する場合は（ステップＳ１４３の「いる」）、ネットワーク側ポート１４ｂのうち当該ＤＨＣＰサーバが存在するポートのみ、ポート管理テーブル１３中のＤＨＣＰ状態が“ＤＩＳＣＯＶＥＲ”となるよう更新する（ステップＳ１４４）。更新後、バッファ１５内のフレームをコピーし、取得する（ステップＳ１４５）。この時点で、バッファ１５内には当該フレームが保存されたままである。   That is, first, it is confirmed whether there is a DHCP server with the next highest priority (step S143). If it does not exist ("No" in step S143), the frame in the buffer 15 is discarded and the operation is terminated (step S146). If it exists ("Yes" in step S143), only the port where the DHCP server exists in the network side port 14b is updated so that the DHCP state in the port management table 13 becomes "DISCOVER" (step S144). After the update, the frame in the buffer 15 is copied and acquired (step S145). At this point, the frame remains stored in the buffer 15.

そして、取得したフレームは転送部１２に渡される。転送部１２はポート管理テーブル１３を参照し、当該フレームを適切なポートにブロードキャストする（ステップＳ１０３）。こののち、ステップＳ１４１に戻り、前述の動作を繰り返す。   The acquired frame is transferred to the transfer unit 12. The transfer unit 12 refers to the port management table 13 and broadcasts the frame to an appropriate port (step S103). Thereafter, the process returns to step S141, and the above-described operation is repeated.

なお、複数のネットワーク７ａ、７ｂのほかの接続形態としては、中継装置にてトンネルインターフェースを利用する形態がある。例えば、ネットワーク７ａとは直接接続し、ネットワーク７ｂとはトンネルインターフェースを介し、同一ネットワークに属する装置として接続する形態である。そのような形態においても、本実施形態に示す手法をそのまま適用できるため、詳細な説明は省略する。   As another connection form of the plurality of networks 7a and 7b, there is a form in which a tunnel interface is used in the relay device. For example, the network 7a is directly connected, and the network 7b is connected as a device belonging to the same network via a tunnel interface. Even in such a form, the method shown in this embodiment can be applied as it is, and thus detailed description thereof is omitted.

以上説明したように、本実施形態のネットワークシステムによれば、異なるアクセス権をもつ端末を同時に収容できるネットワークシステムであり、かつ不正な端末によるブロードキャストフレームの盗み見を防げるネットワークシステムを実現できるという効果を奏する。その理由は、端末から送信されるフレームの転送範囲が、ＩＰアドレス取得の結果に基づき決定されるためである。すなわち、アドレス付与サーバからＩＰアドレスを割り当てられていない不正な端末へは、他の端末からのブロードキャストフレームが到達しないこととなる。   As described above, according to the network system of the present embodiment, it is possible to realize a network system that can simultaneously accommodate terminals having different access rights, and that can prevent broadcast frames from being seen by unauthorized terminals. Play. This is because the transfer range of the frame transmitted from the terminal is determined based on the result of IP address acquisition. That is, a broadcast frame from another terminal does not reach an unauthorized terminal that is not assigned an IP address from the address assignment server.

（第４の実施の形態）
次に、本発明の第４の実施の形態について、図面を用いて詳しく説明する。図１１は、本実施形態のネットワークシステムの中継装置１９の構成を示す機能ブロック図である。 (Fourth embodiment)
Next, a fourth embodiment of the present invention will be described in detail with reference to the drawings. FIG. 11 is a functional block diagram showing the configuration of the relay device 19 in the network system of this embodiment.

本実施形態のネットワークシステムにおいて、中継装置は、受信したフレームの宛先アドレスを参照し、ブロードキャストアドレスであった場合にはフレームをメッセージ監視部１１に渡し、ブロードキャストでなかった場合にはフレームを出力するヘッダ監視部１６と、ヘッダ監視部１６から受信したフレームの宛先アドレスを参照し、ポート管理テーブル１３に記録されたＭＡＣアドレスをもとにフレームを転送するスイッチ部１７と、をさらに備える。   In the network system of the present embodiment, the relay device refers to the destination address of the received frame, passes the frame to the message monitoring unit 11 if it is a broadcast address, and outputs the frame if it is not broadcast. A header monitoring unit 16 and a switch unit 17 that refers to the destination address of the frame received from the header monitoring unit 16 and transfers the frame based on the MAC address recorded in the port management table 13 are further provided.

本実施形態では、上記実施形態に機能を追加することで、各実施の形態における中継装置の動作負荷を軽減できることを示す。具体的には、メッセージ監視部での監視対象をブロードキャストフレームのみとし、これ以外のフレームを通常のスイッチングハブと同様の動作にて処理することを特徴とする。これは、１対１のユニキャスト通信であっても、宛先ＭＡＣアドレスの取得に、ブロードキャストフレームにて送信されるＡＲＰが必須となるためである。すなわち、ブロードキャストフレームのみを監視すれば、すべての通信の転送範囲を制限でき、上記実施形態と同等の効果を得られる。   In this embodiment, it shows that the operation load of the relay apparatus in each embodiment can be reduced by adding a function to the said embodiment. Specifically, the monitoring target in the message monitoring unit is only a broadcast frame, and other frames are processed by the same operation as a normal switching hub. This is because even in one-to-one unicast communication, ARP transmitted in a broadcast frame is essential for obtaining a destination MAC address. That is, if only the broadcast frame is monitored, the transfer range of all communications can be limited, and the same effect as the above embodiment can be obtained.

なお、以下の説明では、図２の上記実施形態を基準として説明するが、他の上記実施形態においても、同様の手法にて実現できる。   In the following description, the above embodiment of FIG. 2 will be described as a reference, but other embodiments can be realized by the same method.

図１１に示すように、本実施形態の中継装置１９は、図２の上記実施形態の中継装置１の構成に加え、ヘッダ監視部１６と、スイッチ部１７と、をさらに有することを特徴とする。   As shown in FIG. 11, the relay device 19 of this embodiment further includes a header monitoring unit 16 and a switch unit 17 in addition to the configuration of the relay device 1 of the above-described embodiment of FIG. 2. .

ヘッダ監視部１６は、ポート１４が受信したフレームすべてを確認する。そして、ヘッダ監視部１６は、ブロードキャストフレームの場合、当該フレームをメッセージ監視部１１に渡し、それ以外の場合、当該フレームをスイッチ部１７に渡す。   The header monitoring unit 16 confirms all frames received by the port 14. The header monitoring unit 16 passes the frame to the message monitoring unit 11 in the case of a broadcast frame, and passes the frame to the switch unit 17 in other cases.

スイッチ部１７は、スイッチングハブと同様の動作を行う。スイッチ部１７は、ヘッダ監視部１６からフレームを渡された時、ポート管理テーブル１３に記載のＭＡＣアドレスと、フレームの宛先ＭＡＣアドレスとを参照し、ポート１４のうち適切なものを経由して当該フレームを転送する。   The switch unit 17 performs the same operation as that of the switching hub. When the frame is passed from the header monitoring unit 16, the switch unit 17 refers to the MAC address described in the port management table 13 and the destination MAC address of the frame, and transmits the frame via an appropriate port 14. Forward the frame.

上述のような構成において、本実施の形態のネットワークシステム１０１におけるネットワーク制御方法を以下に説明する。図１２は、図１１の本実施形態の中継装置１９の動作の一例を示すフローチャートである。以下、図１１および図１２を用いて説明する。   In the configuration as described above, a network control method in the network system 101 of the present embodiment will be described below. FIG. 12 is a flowchart showing an example of the operation of the relay device 19 of the present embodiment shown in FIG. Hereinafter, a description will be given with reference to FIGS. 11 and 12.

本実施形態のネットワーク制御方法において、中継装置１９が、受信したフレームの宛先アドレスを参照し、ポート管理テーブル１３に記録されたＭＡＣアドレスをもとにフレームを転送するスイッチ手順と、中継装置１９が、受信したフレームの宛先アドレスを参照し、ブロードキャストアドレスであった場合にはメッセージ監視手順に遷移し、ブロードキャストでなかった場合にはスイッチ手順に遷移するヘッダ監視手順と、をさらに含む。   In the network control method of the present embodiment, the relay device 19 refers to the destination address of the received frame and switches the frame based on the MAC address recorded in the port management table 13, and the relay device 19 A header monitoring procedure that refers to the destination address of the received frame, transitions to a message monitoring procedure if it is a broadcast address, and transitions to a switching procedure if it is not broadcast.

このように構成された本実施形態の中継装置１９の動作を以下に図面を用いて説明する。
まず、中継装置１９は、フレームを受信すると、ヘッダ監視部１６にて宛先ＭＡＣアドレスを確認する（ステップＳ１０４）。宛先ＭＡＣアドレスがブロードキャストでない場合は（ステップＳ１０４のＮＯ）、スイッチ部１７にて宛先ＭＡＣアドレスに従い適切なポートを経由して当該フレームを転送する（ステップＳ１０５）。ステップＳ１０１にて宛先ＭＡＣアドレスがブロードキャストであった場合は（ステップＳ１０４のＹＥＳ）、メッセージ監視部１１にて当該フレームの中身を確認する（ステップＳ１０１）。 The operation of the relay device 19 of the present embodiment configured as described above will be described below with reference to the drawings.
First, when the relay device 19 receives the frame, the header monitoring unit 16 confirms the destination MAC address (step S104). If the destination MAC address is not broadcast (NO in step S104), the switch unit 17 transfers the frame via an appropriate port according to the destination MAC address (step S105). If the destination MAC address is broadcast in step S101 (YES in step S104), the message monitoring unit 11 confirms the contents of the frame (step S101).

その結果、ＤＨＣＰメッセージの場合には（ステップＳ１０１のＹＥＳ）、メッセージ内容を確認し、ポート管理テーブル１３を更新する（ステップＳ１０２）。その後、転送部１２にて宛先ＭＡＣアドレスとポート管理テーブルとを参照し、適切なポートにブロードキャストする（ステップＳ１０３）。また、ステップＳ１０１で、ＤＨＣＰメッセージでない場合（ステップＳ１０１のＮＯ）、ステップＳ１０３に進む。   As a result, in the case of a DHCP message (YES in step S101), the message content is confirmed and the port management table 13 is updated (step S102). Thereafter, the transfer unit 12 refers to the destination MAC address and the port management table, and broadcasts to an appropriate port (step S103). If it is determined in step S101 that the message is not a DHCP message (NO in step S101), the process proceeds to step S103.

以上説明したように、本実施形態のネットワークシステムによれば、上記実施形態と同様な効果を奏するとともに、すべての受信フレームのメッセージ内容を確認することなく、中継装置の動作負荷を軽減することができる。   As described above, according to the network system of this embodiment, the same effect as that of the above embodiment can be obtained, and the operation load of the relay device can be reduced without checking the message contents of all received frames. it can.

次に、本発明の実施例について、図面を参照して詳細に説明する。なお、本発明の実施例にて示した図面および具体的な数値を、本発明の解釈に用いてはならない。   Next, embodiments of the present invention will be described in detail with reference to the drawings. Note that the drawings and specific numerical values shown in the embodiments of the present invention should not be used for the interpretation of the present invention.

（実施例１）
本実施例では、図１乃至図４に示した実施の形態のネットワークシステムの具体例を用いて、その動作について説明する。 Example 1
In the present embodiment, the operation will be described using a specific example of the network system according to the embodiment shown in FIGS.

図１３は、本実施例におけるネットワークシステム１１０の構成を示すブロック図である。本実施例におけるネットワークシステム１１０は、中継装置２０と、ルータ５０と、ＤＨＣＰサーバ３０と、共有サーバ４０と、インターネット７５と、端末６０と、ネットワーク７０と、を有する。中継装置２０、ルータ５０、ＤＨＣＰサーバ３０、および共有サーバ４０はネットワーク７０を介して互いに接続される。端末６０は中継装置２０を介してネットワーク７０に接続できる。またネットワーク７０はルータ５０を介してインターネット７５に接続できる。   FIG. 13 is a block diagram showing the configuration of the network system 110 in this embodiment. The network system 110 in this embodiment includes the relay device 20, the router 50, the DHCP server 30, the shared server 40, the Internet 75, the terminal 60, and the network 70. Relay device 20, router 50, DHCP server 30, and shared server 40 are connected to each other via network 70. The terminal 60 can be connected to the network 70 via the relay device 20. The network 70 can be connected to the Internet 75 via the router 50.

本実施例における中継装置２０は、図２の実施の形態における中継装置１と同様の構成を有する。以下、図２および図１３を用いて説明する。   The relay apparatus 20 in the present example has the same configuration as the relay apparatus 1 in the embodiment of FIG. Hereinafter, a description will be given with reference to FIGS. 2 and 13.

ネットワーク７０には、“Ａ．Ａ．Ａ．０／２４”と“Ｂ．Ｂ．Ｂ．０／２４”の２つのネットワークドメインが存在する。以下、前者のネットワークドメインをドメインＡ、後者のネットワークドメインをドメインＢと呼ぶ。ＤＨＣＰサーバ３０は、“Ａ．Ａ．Ａ．１０１”から“Ａ．Ａ．Ａ．１５０”までのドメインＡアドレス、および“Ｂ．Ｂ．Ｂ．１０１”から“Ｂ．Ｂ．Ｂ．１５０”までのドメインＢアドレスを管理する。   In the network 70, there are two network domains of “AAAA0 / 24” and “BBBB0 / 24”. Hereinafter, the former network domain is referred to as domain A, and the latter network domain is referred to as domain B. The DHCP server 30 has a domain A address from “AAAA101” to “AAAA150” and “BBBB101” to “BBBB150”. Domain B addresses up to

ルータ５０およびＤＨＣＰサーバ３０は、ドメインＡとドメインＢの両方のＩＰアドレスを持つ。一方、共有サーバ４０は、ドメインＡのみのＩＰアドレスを持つ。すなわち、端末６０は、ルータ５０へはドメインＡ、ドメインＢに関わらずアクセスすることができる。一方、共有サーバ４０は、ドメインＡに属する端末６０からのアクセスのみを受け付け、ドメインＢに属する端末６０からのアクセスを排除することができる。すなわち、ネットワークドメインの違いにより、異なるアクセス権をもつ端末６０を同時に収容できる。   The router 50 and the DHCP server 30 have both domain A and domain B IP addresses. On the other hand, the shared server 40 has an IP address only for the domain A. That is, the terminal 60 can access the router 50 regardless of the domain A and the domain B. On the other hand, the shared server 40 can accept only the access from the terminal 60 belonging to the domain A and can exclude the access from the terminal 60 belonging to the domain B. That is, the terminals 60 having different access rights can be accommodated simultaneously due to the difference in the network domain.

一方、中継装置２０には３台の端末６０（端末Ａ、端末Ｂ、端末Ｃ）が接続されている。端末ＢはドメインＢのＩＰアドレスを、端末ＣはドメインＡのＩＰアドレスを、それぞれＤＨＣＰサーバ３０から割り当てられている。ＤＨＣＰサーバ３０からＩＰアドレスを割り当てられている場合は、中継装置２０のポート管理テーブル１３にＭＡＣアドレス、ネットワークドメインおよびＤＨＣＰ状態が記載されている。端末ＢはドメインＢ、端末ＣはドメインＡに属し、ＤＨＣＰによるアドレス配布が完了していることからＤＨＣＰ状態は“ＡＣＫ”となっている。   On the other hand, three terminals 60 (terminal A, terminal B, and terminal C) are connected to the relay device 20. Terminal B is assigned an IP address of domain B, and terminal C is assigned an IP address of domain A from DHCP server 30. When an IP address is assigned from the DHCP server 30, the MAC address, network domain, and DHCP status are described in the port management table 13 of the relay device 20. The terminal B belongs to the domain B, the terminal C belongs to the domain A, and the DHCP status is “ACK” because the address distribution by DHCP is completed.

なお、このとき、中継装置２０のポート管理テーブル１３の端末ＡのＤＨＣＰ状態は“ＤＩＳＣＯＶＥＲ”となっている。すなわち、端末ＡはＤＨＣＰ ＤＩＳＣＯＶＥＲパケットを送出し、ＤＨＣＰ ＯＦＦＥＲパケットを待ち受けている状態である。ＤＨＣＰによるアドレス配布が完了していないため、ポート管理テーブルにおける端末Ａのネットワークドメインは空欄となっている。   At this time, the DHCP state of the terminal A in the port management table 13 of the relay device 20 is “DISCOVER”. That is, terminal A is in a state where it sends out a DHCP DISCOVER packet and waits for a DHCP OFFER packet. Since address distribution by DHCP has not been completed, the network domain of terminal A in the port management table is blank.

このように構成された本実施例のネットワークシステム１１０の動作について、以下に説明する。
図１４は、図１３の本実施例におけるネットワークシステム１１０のＤＨＣＰによるＩＰアドレス取得シーケンスの動作を示したシーケンス図である。以下、端末ＡがＩＰアドレスを取得するシーケンスについて、図２、図１３、および図１４を用いて詳細に説明する。 The operation of the network system 110 of this embodiment configured as described above will be described below.
FIG. 14 is a sequence diagram showing the operation of the IP address acquisition sequence by DHCP of the network system 110 in this embodiment of FIG. Hereinafter, the sequence in which the terminal A obtains the IP address will be described in detail with reference to FIGS. 2, 13, and 14.

端末ＡがＤＨＣＰ ＤＩＳＣＯＶＥＲを送出する（シーケンス１００１）。中継装置２０は、当該フレームを受信すると、ＤＨＣＰメッセージなので、ポート管理テーブル１３に、端末ＡのＭＡＣアドレスＭ６０ａを登録し（シーケンス１００２）、該当する端末側ポート１４ａおよびネットワーク側ポート１４ｂのＤＨＣＰ状態を“ＤＩＳＣＯＶＥＲ”に更新したうえで、ネットワーク側ポート１４ｂにブロードキャストする（シーケンス１００３）。この時点にて、ポート管理テーブル１３は図１３に示した状態となる。   Terminal A sends out DHCP DISCOVER (sequence 1001). When the relay device 20 receives the frame, it is a DHCP message. Therefore, the relay device 20 registers the MAC address M60a of the terminal A in the port management table 13 (sequence 1002), and sets the DHCP status of the corresponding terminal side port 14a and network side port 14b. After updating to “DISCOVER”, it is broadcast to the network side port 14b (sequence 1003). At this point, the port management table 13 is in the state shown in FIG.

ＤＨＣＰサーバ３０は、当該フレームを受信すると、所定のポリシーに従いアドレスプールからＩＰアドレスを選択し、ＤＨＣＰ ＯＦＦＥＲとして送信する（シーケンス１００４）。ポリシーは、ＭＡＣアドレスをもとに決定する等が挙げられる。すなわち、端末ＡのＭＡＣアドレスがＤＨＣＰサーバ３０に登録されていればアクセス権の強いドメインＡのアドレスプールから、登録されていなければアクセス権の弱いドメインＢのアドレスプールから、ＩＰアドレスを選択する、といった方法がある。   When receiving the frame, the DHCP server 30 selects an IP address from the address pool according to a predetermined policy, and transmits it as DHCP OFFER (sequence 1004). The policy is determined based on the MAC address. That is, if the MAC address of the terminal A is registered in the DHCP server 30, an IP address is selected from the domain A address pool with strong access right, and if not registered, the IP address is selected from the domain B address pool with weak access right. There is a method.

中継装置２０は当該フレームを受信すると、ＤＨＣＰメッセージなので、ポート管理テーブル１３のＤＨＣＰ状態が“ＤＩＳＣＯＶＥＲ”となっている、端末ＡのＤＨＣＰ状態を“ＯＦＦＥＲ”に更新（シーケンス１００５）したうえで、端末Ａのポートに転送する（シーケンス１００６）。このとき、ＤＨＣＰ ＯＦＦＥＲの送信元であるネットワーク側ポート１４ｂのＤＨＣＰ状態を“ＯＦＦＥＲ”に更新し、他のネットワーク側ポート１４ｂのＤＨＣＰ状態をリセットする。   When the relay device 20 receives the frame, it is a DHCP message. Therefore, the DHCP state of the port management table 13 is “DISCOVER”, and the DHCP state of the terminal A is updated to “OFFER” (sequence 1005). Transfer to port A (sequence 1006). At this time, the DHCP state of the network side port 14b that is the transmission source of DHCP OFFER is updated to “OFFER”, and the DHCP state of the other network side port 14b is reset.

端末Ａは当該フレームを受信すると、メッセージ内に示されたＩＰアドレスからひとつを選択し、ＤＨＣＰ ＲＥＱＵＥＳＴを送出する（シーケンス１００７）。中継装置２０は当該フレームを受信すると、ＤＨＣＰメッセージなので、ポート管理テーブル１３のＤＨＣＰ状態が“ＯＦＦＥＲ”となっているポートのＤＨＣＰ状態を“ＯＦＦＥＲ”から“ＲＥＱＵＥＳＴ”に更新する（シーケンス１００８）。更新後、ネットワーク側ポート１４ｂにブロードキャストする（シーケンス１００９）。   When the terminal A receives the frame, the terminal A selects one from the IP addresses indicated in the message, and transmits a DHCP REQUEST (sequence 1007). When receiving the frame, the relay device 20 updates the DHCP status of the port whose DHCP status in the port management table 13 is “OFFER” from “OFFER” to “REQUEST” because it is a DHCP message (sequence 1008). After the update, it is broadcast to the network side port 14b (sequence 1009).

ＤＨＣＰサーバ３０は、当該フレームを受信すると、端末Ａが要求したＩＰアドレスが利用可能なら、当該ＩＰアドレスを含むＤＨＣＰ ＡＣＫを送信する（シーケンス１０１０）。中継装置２０は、当該フレームを受信すると、ＤＨＣＰメッセージなので、ポート管理テーブル１３のＤＨＣＰ状態が“ＲＥＱＵＥＳＴ”となっている、端末ＡのＤＨＣＰ状態を“ＲＥＱＵＥＳＴ”から“ＡＣＫ”に更新し、割当ＩＰアドレスをもとに該当する端末側ポート１４ａのネットワークドメインをポート管理テーブル１３に登録する。また、ネットワーク側ポート１４ｂのＤＨＣＰ状態をリセットする（シーケンス１０１１）。登録および更新後、転送部１２は、登録されたネットワークドメインの端末側ポート１４ａにフレームを転送する（シーケンス１０１２）。   When the DHCP server 30 receives the frame, if the IP address requested by the terminal A is available, the DHCP server 30 transmits a DHCP ACK including the IP address (sequence 1010). When the relay device 20 receives the frame, it is a DHCP message, so the DHCP status of the port management table 13 is “REQUEST”, and the DHCP status of terminal A is updated from “REQUEST” to “ACK”, and the assigned IP Based on the address, the network domain of the corresponding terminal-side port 14a is registered in the port management table 13. Further, the DHCP state of the network side port 14b is reset (sequence 1011). After registration and update, the transfer unit 12 transfers the frame to the terminal-side port 14a of the registered network domain (sequence 1012).

端末Ａは、当該フレームを受信すると、受信した情報をもとにＩＰアドレスおよびネットワーク設定を行う。
なお、ＤＨＣＰメッセージ以外のブロードキャストフレームの場合、ネットワークドメインに基づき転送範囲が決められる。 When the terminal A receives the frame, the terminal A sets an IP address and a network based on the received information.
In the case of a broadcast frame other than a DHCP message, the transfer range is determined based on the network domain.

以上、説明したように、中継装置２０では、受信したフレームに基づいて、ポート管理テーブル１３の登録および更新を行うことができる。そして、ポート管理テーブル１３に記載されている送信元のネットワークドメインと合致するポート１４にのみ、当該フレームをブロードキャストするので、ポート１４のうち適切なものを経由して当該フレームを送出することができる。   As described above, the relay device 20 can register and update the port management table 13 based on the received frame. Then, since the frame is broadcast only to the port 14 that matches the transmission source network domain described in the port management table 13, the frame can be transmitted via an appropriate one of the ports 14. .

（実施例２）
本実施例では、図５乃至図８に示した実施の形態のネットワークシステムの具体例を用いて、その動作について説明する。
図１５は、本実施例におけるネットワークシステム１１２の構成を示す図である。
本実施例は、図１３の上記実施例とは、ネットワークが複数接続されている点で相違する。 (Example 2)
In this example, the operation will be described using a specific example of the network system according to the embodiment shown in FIGS.
FIG. 15 is a diagram illustrating a configuration of the network system 112 in the present embodiment.
This embodiment is different from the above embodiment of FIG. 13 in that a plurality of networks are connected.

本実施例において、中継装置２２は、ネットワーク７２ａを介して、ルータ５０ａ、ＤＨＣＰサーバ３２ａ、および共有サーバ４２ａと接続されている。また、中継装置２２は、ネットワーク７２ｂを介して、ルータ５２ｂ、およびＤＨＣＰサーバ３２ｂと接続されている。端末６０は、中継装置２２を介して、ネットワーク７２ａ、７２ｂに接続できる。また、ネットワーク７２ａ、７２ｂは、ルータ５２ａ、５２ｂを介してインターネット７５に接続できる。   In this embodiment, the relay device 22 is connected to the router 50a, the DHCP server 32a, and the shared server 42a via the network 72a. The relay device 22 is connected to the router 52b and the DHCP server 32b via the network 72b. The terminal 60 can be connected to the networks 72 a and 72 b via the relay device 22. The networks 72a and 72b can be connected to the Internet 75 via the routers 52a and 52b.

ネットワーク７２ａ、７２ｂは、それぞれドメインＡ、ドメインＢに属し、ＤＨＣＰサーバ３２ａ、３２ｂもまたそれぞれドメインＡ、ドメインＢのＩＰアドレスプールを管理している。ＤＨＣＰサーバ３２ａはプライマリＤＨＣＰサーバであり、ＤＨＣＰサーバ３２ｂはセカンダリＤＨＣＰサーバである。ドメインＡにのみ共有サーバ４２ａが設けられ、ドメインＡのＩＰアドレスはＤＨＣＰサーバ３２ａに登録された端末６のみが取得できる。一方、ドメインＢのＩＰアドレスは、ＤＨＣＰサーバ３２ｂに問い合わせれば、登録の有無に関わらず取得できる。すなわち、接続するネットワークの違いにより、異なるアクセス権をもつ端末６を同時に収容できる。   The networks 72a and 72b belong to the domain A and the domain B, respectively, and the DHCP servers 32a and 32b also manage the IP address pools of the domain A and the domain B, respectively. The DHCP server 32a is a primary DHCP server, and the DHCP server 32b is a secondary DHCP server. Only the domain A is provided with the shared server 42a, and the IP address of the domain A can be acquired only by the terminal 6 registered in the DHCP server 32a. On the other hand, the IP address of domain B can be obtained regardless of whether or not it is registered by inquiring to the DHCP server 32b. That is, terminals 6 having different access rights can be accommodated at the same time depending on the network to be connected.

本実施例における中継装置２２は、図６の上記実施形態の中継装置１０と同様の構成を有する。
このように構成された本実施例のネットワークシステム１１２の動作について、以下に説明する。
図１６および図１７は、本実施例におけるネットワークシステム１１２のＤＨＣＰによるＩＰアドレス取得の動作を示すシーケンス図である。図１６は、端末ＡがドメインＡのＩＰアドレスを取得できる場合、図１７は、端末ＡがドメインＡのＩＰアドレスを取得できない場合を、それぞれ示している。 The relay device 22 in the present example has the same configuration as the relay device 10 of the above embodiment in FIG.
The operation of the network system 112 of this embodiment configured as described above will be described below.
FIGS. 16 and 17 are sequence diagrams illustrating an IP address acquisition operation by DHCP of the network system 112 in this embodiment. FIG. 16 shows a case where the terminal A can acquire the IP address of the domain A, and FIG. 17 shows a case where the terminal A cannot acquire the IP address of the domain A.

まず、図６、図１５、および図１６を用いて、端末ＡがドメインＡのＩＰアドレスを取得するシーケンスについて詳細に説明する。   First, the sequence in which the terminal A acquires the IP address of the domain A will be described in detail with reference to FIGS. 6, 15, and 16. FIG.

まず、端末Ａが、ＤＨＣＰ ＤＩＳＣＯＶＥＲを送出する（シーケンス１１０１）。中継装置２２は、当該フレームを受信すると、ＤＨＣＰメッセージなので、ポート管理テーブル１３に、端末ＡのＭＡＣアドレスＭ６０ａを登録し（シーケンス１１０２）、該当する端末側ポート１４ａおよびすべてのネットワーク側ポート１４ｂのＤＨＣＰ状態を“ＤＩＳＣＯＶＥＲ”に更新したうえで、ネットワーク側ポート１４ｂにブロードキャストする（シーケンス１１０３）。このとき、ネットワーク７２ａ、７２ｂの双方に“ＤＩＳＣＯＶＥＲ”が登録されるため、双方にブロードキャストする。   First, terminal A sends out DHCP DISCOVER (sequence 1101). When the relay device 22 receives the frame, it is a DHCP message, so the MAC address M60a of the terminal A is registered in the port management table 13 (sequence 1102), and the DHCP of the corresponding terminal side port 14a and all the network side ports 14b are registered. The state is updated to “DISCOVER” and then broadcast to the network side port 14b (sequence 1103). At this time, since “DISCOVER” is registered in both the networks 72a and 72b, it is broadcast to both.

ＤＨＣＰサーバ３２ｂは、当該フレームを受信すると、アドレスプールからＩＰアドレスを選択し、ＤＨＣＰ ＯＦＦＥＲとして送信する（シーケンス１１０４）。中継装置２２は、当該フレームを受信すると、ＤＨＣＰ ＯＦＦＥＲメッセージなので、送信元ＤＨＣＰサーバを調べる。送信元であるＤＨＣＰサーバ３２ｂはセカンダリＤＨＣＰサーバなので、中継装置２２は、いったん当該フレームをバッファ１５に保存する（シーケンス１１０５）。   When receiving the frame, the DHCP server 32b selects an IP address from the address pool and transmits it as DHCP OFFER (sequence 1104). When the relay device 22 receives the frame, the relay device 22 checks the transmission source DHCP server because it is a DHCP OFFER message. Since the DHCP server 32b that is the transmission source is a secondary DHCP server, the relay device 22 temporarily stores the frame in the buffer 15 (sequence 1105).

一方、ＤＨＣＰサーバ３２ａは、当該フレームを受信すると、送信元である端末Ａが登録されていることから、アドレスプールからＩＰアドレスを選択し、ＤＨＣＰ ＯＦＦＥＲとして送信する（シーケンス１１０６）。中継装置２２は、当該フレームを受信すると、ＤＨＣＰ ＯＦＦＥＲメッセージなので、送信元ＤＨＣＰサーバを調べる。送信元であるＤＨＣＰサーバ３２ａはプライマリＤＨＣＰサーバなので、中継装置２２は、バッファ１５に保存しておいたフレームを破棄する（シーケンス１１０７）。続いて、中継装置２２は、ポート管理テーブル１３のＤＨＣＰ状態が“ＤＩＳＣＯＶＥＲ”となっている、端末Ａならびにネットワーク７２ａのＤＨＣＰ状態を“ＯＦＦＥＲ”に更新（シーケンス１１０８）し、受信したフレームを端末Ａのポートに転送する（シーケンス１１０９）。このとき、ネットワーク７２ｂのＤＨＣＰ状態はリセットされる。   On the other hand, when receiving the frame, the DHCP server 32a selects the IP address from the address pool and transmits it as DHCP OFFER (sequence 1106) because the transmission source terminal A is registered. When the relay device 22 receives the frame, the relay device 22 checks the transmission source DHCP server because it is a DHCP OFFER message. Since the DHCP server 32a that is the transmission source is the primary DHCP server, the relay device 22 discards the frame stored in the buffer 15 (sequence 1107). Subsequently, the relay device 22 updates the DHCP state of the terminal A and the network 72a to “OFFER” (sequence 1108) in which the DHCP state of the port management table 13 is “DISCOVER”, and the received frame is transmitted to the terminal A. (Sequence 1109). At this time, the DHCP state of the network 72b is reset.

以下に説明するシーケンス１１１０〜１１０５の動作は、図１４の実施形態におけるシーケンス１００７〜１０１２の動作と同様である。すなわち、端末Ａは当該フレームを受信すると、メッセージ内に示されたＩＰアドレスからひとつを選択し、ＤＨＣＰ ＲＥＱＵＥＳＴを送出する（シーケンス１１１０）。中継装置２２は当該フレームを受信すると、ＤＨＣＰメッセージなので、ポート管理テーブル１３のＤＨＣＰ状態が“ＯＦＦＥＲ”となっているポートのＤＨＣＰ状態を“ＯＦＦＥＲ”から“ＲＥＱＵＥＳＴ”に更新する（シーケンス１１１１）。更新後、ネットワーク側ポート１４ｂにブロードキャストする（シーケンス１１１２）。   The operations of sequences 1110 to 1105 described below are the same as the operations of sequences 1007 to 1012 in the embodiment of FIG. That is, when terminal A receives the frame, it selects one from the IP addresses indicated in the message, and sends out DHCP REQUEST (sequence 1110). When receiving the frame, the relay device 22 updates the DHCP status of the port whose DHCP status in the port management table 13 is “OFFER” from “OFFER” to “REQUEST” because it is a DHCP message (sequence 1111). After the update, it is broadcast to the network side port 14b (sequence 1112).

このとき、“ＲＥＱＵＥＳＴ”が登録されているネットワーク側ポート１４ｂはネットワーク７２ａ側のみなので、ネットワーク７２ａにのみブロードキャストされる。ＤＨＣＰサーバ３２ａは当該フレームを受信すると、端末Ａが要求したＩＰアドレスが利用可能なら、当該ＩＰアドレスを含むＤＨＣＰ ＡＣＫを送信する（シーケンス１１１３）。中継装置２２は当該フレームを受信すると、ＤＨＣＰメッセージなので、ポート管理テーブル１３のＤＨＣＰ状態が“ＲＥＱＵＥＳＴ”となっている、端末ＡのＤＨＣＰ状態を“ＲＥＱＵＥＳＴ”から“ＡＣＫ”に更新し、割当ＩＰアドレスをもとに該当する端末側ポート１４ａのネットワークドメインをポート管理テーブル１３に登録する。（シーケンス１１１４）。登録および更新後、転送部１２は、登録されたネットワークドメインの端末側ポート１４ａにフレームを転送する（シーケンス１１１５）。   At this time, since the network side port 14b in which “REQUEST” is registered is only on the network 72a side, it is broadcast only to the network 72a. When the DHCP server 32a receives the frame, if the IP address requested by the terminal A is available, the DHCP server 32a transmits a DHCP ACK including the IP address (sequence 1113). When the relay device 22 receives the frame, it is a DHCP message, so the DHCP status of the port management table 13 is “REQUEST”, and the DHCP status of the terminal A is updated from “REQUEST” to “ACK”, and the assigned IP address Then, the network domain of the corresponding terminal side port 14a is registered in the port management table 13. (Sequence 1114). After registration and update, the transfer unit 12 transfers the frame to the terminal-side port 14a of the registered network domain (sequence 1115).

端末Ａは、当該フレーム（ＤＨＣＰ ＡＣＫ）を受信すると、その情報をもとにＩＰアドレスおよびネットワーク設定を行う。   When the terminal A receives the frame (DHCP ACK), the terminal A sets an IP address and a network based on the information.

次に、図１７を用いて、端末Ａが、ドメインＡのＩＰアドレスを取得できない結果、ドメインＢのＩＰアドレスを取得するシーケンスについて詳細に説明する。なお、シーケンス１１０１〜１１０５までは、上述の図１６のシーケンスと同様であるため省略する。   Next, with reference to FIG. 17, a sequence for acquiring the IP address of domain B as a result of terminal A not being able to acquire the IP address of domain A will be described in detail. Note that sequences 1101 to 1105 are the same as the sequence in FIG.

ＤＨＣＰサーバ３２ａはＤＨＣＰ ＤＩＳＣＯＶＥＲを受信しても、端末Ａが登録されていないため、ＤＨＣＰ ＯＦＦＥＲを送信しない。よって、シーケンス１１０５から一定時間経過後、中継装置２２はバッファ１５内に保存してあるＤＨＣＰサーバ３２ｂからのＤＨＣＰ ＯＦＦＥＲフレームを取り出し（シーケンス１１２１）、メッセージを参照する。続いて、ポート管理テーブル１３のＤＨＣＰ状態が“ＤＩＳＣＯＶＥＲ”となっている、端末Ａならびにネットワーク７２ｂのＤＨＣＰ状態を“ＤＩＳＣＯＶＥＲ”から“ＯＦＦＥＲ”に更新（シーケンス１１２２）し、受信したフレームを端末Ａの端末側ポート１４ａに転送する（シーケンス１１２３）。このとき、ネットワーク７２ａのＤＨＣＰ状態はリセットされる。   Even if the DHCP server 32a receives the DHCP DISCOVER, the terminal A is not registered and therefore does not transmit the DHCP OFFER. Therefore, after a predetermined time has elapsed from the sequence 1105, the relay device 22 extracts the DHCP OFFER frame from the DHCP server 32b stored in the buffer 15 (sequence 1121), and refers to the message. Subsequently, the DHCP status of the port management table 13 is “DISCOVER”, and the DHCP status of the terminal A and the network 72b is updated from “DISCOVER” to “OFFER” (sequence 1122). The data is transferred to the terminal side port 14a (sequence 1123). At this time, the DHCP state of the network 72a is reset.

シーケンス１１２４〜１１２９の動作は、図１５におけるシーケンス１００７〜１０１２、図１７におけるシーケンス１１１０〜１１１５の動作と同様である。すなわち、端末Ａは当該フレームを受信すると、メッセージ内に示されたＩＰアドレスからひとつを選択し、ＤＨＣＰ ＲＥＱＵＥＳＴを送出する（シーケンス１１２４）。中継装置２２は当該フレームを受信すると、ＤＨＣＰメッセージなので、ポート管理テーブル１３のＤＨＣＰ状態が“ＯＦＦＥＲ”となっているポートのＤＨＣＰ状態を“ＯＦＦＥＲ”から“ＲＥＱＵＥＳＴ”に更新する（シーケンス１１２５）。更新後、ネットワーク側ポート１４ｂにブロードキャストする（シーケンス１１２６）。   The operations of sequences 1124 to 1129 are the same as the operations of sequences 1007 to 1012 in FIG. 15 and sequences 1110 to 1115 in FIG. That is, when the terminal A receives the frame, it selects one from the IP addresses indicated in the message and sends out a DHCP REQUEST (sequence 1124). When the relay device 22 receives the frame, it is a DHCP message, so the DHCP status of the port whose DHCP status in the port management table 13 is “OFFER” is updated from “OFFER” to “REQUEST” (sequence 1125). After the update, it is broadcast to the network side port 14b (sequence 1126).

このとき、“ＲＥＱＵＥＳＴ”が登録されているネットワーク側ポート１４ｂはネットワーク７２ｂ側のみなので、ネットワーク７２ｂにのみブロードキャストされる。ＤＨＣＰサーバ３２ｂは当該フレームを受信すると、端末Ａが要求したＩＰアドレスが利用可能なら、当該ＩＰアドレスを含むＤＨＣＰ ＡＣＫを送信する（シーケンス１１２７）。中継装置２２は当該フレームを受信すると、ＤＨＣＰメッセージなので、ポート管理テーブル１３のＤＨＣＰ状態が“ＲＥＱＵＥＳＴ”となっている、端末ＡのＤＨＣＰ状態を“ＲＥＱＵＥＳＴ”から“ＡＣＫ”に更新し、割当ＩＰアドレスをもとに該当する端末側ポート１４ａのネットワークドメインをポート管理テーブル１３に登録する。（シーケンス１１２８）。登録および更新後、転送部１２は、登録されたネットワークドメインの端末側ポート１４ａにフレームを転送する（シーケンス１１２９）。   At this time, since the network side port 14b in which “REQUEST” is registered is only on the network 72b side, it is broadcast only to the network 72b. When the DHCP server 32b receives the frame, if the IP address requested by the terminal A is available, the DHCP server 32b transmits a DHCP ACK including the IP address (sequence 1127). When the relay device 22 receives the frame, it is a DHCP message, so the DHCP status of the port management table 13 is “REQUEST”, and the DHCP status of the terminal A is updated from “REQUEST” to “ACK”, and the assigned IP address Then, the network domain of the corresponding terminal side port 14a is registered in the port management table 13. (Sequence 1128). After registration and update, the transfer unit 12 transfers the frame to the terminal-side port 14a of the registered network domain (sequence 1129).

端末Ａは、当該フレーム（ＤＨＣＰ ＡＣＫ）を受信すると、その情報をもとにＩＰアドレスおよびネットワーク設定を行う。   When the terminal A receives the frame (DHCP ACK), the terminal A sets an IP address and a network based on the information.

（実施例３）
本実施例では、図５、図６、図９、および図１０に示した実施の形態で示したネットワークシステムの具体例を用いて、その動作について説明する。
本実施例におけるネットワークシステム１１２の構成は、図１５の上記実施例におけるネットワークシステム１１２と同様である。本実施例における中継装置２２は、図１５の上記実施形態における中継装置２２と同様の構成を有するが、本実施例と図１５の上記実施例とは、中継装置２２における動作が異なる。 Example 3
In this example, the operation will be described using a specific example of the network system shown in the embodiment shown in FIG. 5, FIG. 6, FIG. 9, and FIG.
The configuration of the network system 112 in this embodiment is the same as that of the network system 112 in the above embodiment of FIG. The relay device 22 in this example has the same configuration as the relay device 22 in the above embodiment of FIG. 15, but the operation of the relay device 22 is different from this example and the above example of FIG.

以下、本実施例のネットワークシステム１１２の動作について説明する。
図１８および図１９は、本実施例におけるネットワークシステム１１２のＤＨＣＰによるＩＰアドレス取得の動作を示したシーケンス図である。図１８は、端末ＡがドメインＡのＩＰアドレスを取得できる場合、図１９、は端末ＡがドメインＡのＩＰアドレスを取得できない場合を、それぞれ示している。 Hereinafter, the operation of the network system 112 of this embodiment will be described.
FIG. 18 and FIG. 19 are sequence diagrams showing the IP address acquisition operation by DHCP of the network system 112 in this embodiment. FIG. 18 shows a case where the terminal A can obtain the IP address of the domain A, and FIG. 19 shows a case where the terminal A cannot obtain the IP address of the domain A.

まず、図６、図１５、および図１８を用いて、端末ＡがドメインＡのＩＰアドレスを取得するシーケンスについて詳細に説明する。
まず、端末Ａが、ＤＨＣＰ ＤＩＳＣＯＶＥＲを送出する（シーケンス１２０１）。中継装置２２は、当該フレームを受信すると、ＤＨＣＰ ＤＩＳＣＯＶＥＲメッセージなので、ポート管理テーブル１３に、端末ＡのＭＡＣアドレスＭ６０ａを登録し（シーケンス１２０２）、該当する端末側ポート１４ａおよびすべてのネットワーク側ポート１４ｂのＤＨＣＰ状態を“ＤＩＳＣＯＶＥＲ”に更新したうえで、プライマリＤＨＣＰサーバが存在するネットワーク７２ａのみにブロードキャストする（シーケンス１２０３）。 First, the sequence in which terminal A obtains the IP address of domain A will be described in detail with reference to FIGS. 6, 15, and 18.
First, terminal A sends out DHCP DISCOVER (sequence 1201). When the relay device 22 receives the frame, it is a DHCP DISCOVER message, so the MAC address M60a of the terminal A is registered in the port management table 13 (sequence 1202), and the corresponding terminal side port 14a and all the network side ports 14b are registered. The DHCP state is updated to “DISCOVER” and then broadcasted only to the network 72a where the primary DHCP server exists (sequence 1203).

そして、ＤＨＣＰサーバ３２ａは当該フレームを受信すると、送信元である端末Ａが登録されていることから、アドレスプールからＩＰアドレスを選択し、ＤＨＣＰ ＯＦＦＥＲとして送信する（シーケンス１２０４）。中継装置２２は、当該フレームを受信すると、ＤＨＣＰメッセージなので、ポート管理テーブル１３のＤＨＣＰ状態が“ＤＩＳＣＯＶＥＲ”となっている、端末Ａならびにネットワーク７２ａのＤＨＣＰ状態を“ＤＩＳＣＯＶＥＲ”から“ＯＦＦＥＲ”に更新（シーケンス１２０５）し、受信したフレームを端末Ａのポートに転送する（シーケンス１２０６）。このとき、ネットワーク７２ｂのＤＨＣＰ状態はリセットされる。   When receiving the frame, the DHCP server 32a selects the IP address from the address pool and transmits it as DHCP OFFER (sequence 1204) because the transmission source terminal A is registered. When the relay device 22 receives the frame, it is a DHCP message, so the DHCP status of the port management table 13 is “DISCOVER”, and the DHCP status of the terminal A and the network 72a is updated from “DISCOVER” to “OFFER” ( Then, the received frame is transferred to the port of terminal A (sequence 1206). At this time, the DHCP state of the network 72b is reset.

なお、図１８のシーケンス１２０７〜１２１２の動作は、図１６の実施形態におけるシーケンス１１１０〜１１１５の動作と同様であるので詳細な説明は省略する。
すなわち、端末Ａは当該フレーム（ＤＨＣＰ ＡＣＫ）を受信する（シーケンス１２１２）と、その情報をもとにＩＰアドレスおよびネットワーク設定を行う。 The operations of the sequences 1207 to 1212 in FIG. 18 are the same as the operations of the sequences 1110 to 1115 in the embodiment of FIG.
That is, when terminal A receives the frame (DHCP ACK) (sequence 1212), it performs IP address and network setting based on the information.

次に、図１９を用いて、端末Ａが、ドメインＡのＩＰアドレスを取得できない結果、ドメインＢのＩＰアドレスを取得するシーケンスについて詳細に説明する。なお、シーケンス１２０１〜１２０３までは、上述の図１８のシーケンスと同様であるため詳細な説明は省略する。   Next, with reference to FIG. 19, the sequence in which the terminal A acquires the IP address of the domain B as a result of not being able to acquire the IP address of the domain A will be described in detail. Note that sequences 1201 to 1203 are the same as the sequence of FIG.

ＤＨＣＰサーバ３２ａはＤＨＣＰ ＤＩＳＣＯＶＥＲを受信しても、端末Ａが登録されていないため、ＤＨＣＰ ＯＦＦＥＲを送信しない。よって、シーケンス１２０３から一定時間経過後、中継装置２２はセカンダリＤＨＣＰサーバが存在するネットワーク７２ｂにＤＨＣＰ ＤＩＳＣＯＶＥＲをブロードキャストする（シーケンス１２２１）。   Even if the DHCP server 32a receives the DHCP DISCOVER, the terminal A is not registered and therefore does not transmit the DHCP OFFER. Therefore, after a predetermined time has elapsed from the sequence 1203, the relay device 22 broadcasts DHCP DISCOVER to the network 72b in which the secondary DHCP server exists (sequence 1221).

ＤＨＣＰサーバ３２ｂは当該フレームを受信すると、アドレスプールからＩＰアドレスを選択し、ＤＨＣＰ ＯＦＦＥＲとして送信する（シーケンス１２２２）。中継装置２２は当該フレームを受信すると、ＤＨＣＰメッセージなので、ポート管理テーブル１３のＤＨＣＰ状態が“ＤＩＳＣＯＶＥＲ”となっている、端末Ａならびにネットワーク７２ｂのＤＨＣＰ状態を“ＤＩＳＣＯＶＥＲ”から“ＯＦＦＥＲ”に更新（シーケンス１２２３）し、受信したフレームを端末Ａのポートに転送する（シーケンス１２２４）。このとき、ネットワーク７２ａのＤＨＣＰ状態はリセットされる。   When receiving the frame, the DHCP server 32b selects an IP address from the address pool and transmits it as DHCP OFFER (sequence 1222). When the relay device 22 receives the frame, it is a DHCP message, so the DHCP status of the port management table 13 is “DISCOVER”, and the DHCP status of the terminal A and the network 72b is updated from “DISCOVER” to “OFFER” (sequence) 1223) and the received frame is transferred to the port of terminal A (sequence 1224). At this time, the DHCP state of the network 72a is reset.

シーケンス１２２５〜１２３０の動作は、図１８におけるシーケンス１２０７〜１２１２の動作と同様である。
すなわち、端末Ａは当該フレーム（ＤＨＣＰ ＡＣＫ）を受信する（シーケンス１２３０）と、その情報をもとにＩＰアドレスおよびネットワーク設定を行う。 The operations of sequences 1225 to 1230 are the same as the operations of sequences 1207 to 1212 in FIG.
That is, when terminal A receives the frame (DHCP ACK) (sequence 1230), it performs IP address and network setting based on the information.

（実施例４）
本実施例では、本実施形態の中継装置を拡張した、アドレス変換装置を用いた構成を例として、その構成および動作について説明する。
図２０は、本実施例におけるネットワークシステム１１４の構成を示すブロック図である。 Example 4
In the present embodiment, the configuration and operation will be described by taking as an example a configuration using an address translation device that is an extension of the relay device of the present embodiment.
FIG. 20 is a block diagram showing the configuration of the network system 114 in the present embodiment.

本実施例で示すアドレス変換装置２４は、上記実施例の中継装置が備える機能に加え、アドレス変換機能をさらに備えており、アドレス変換装置２４の端末側ポート１４ｅ、１４ｆ、１４ｇに接続される端末にＩＰアドレスを割り当てることができる。本実施例に示すアドレス変換装置２４を用いることの利点は、本発明の目的を達成し、かつ単一のネットワークドメインにて運用されているネットワークシステム１１４においても容易に導入できる点である。   The address translation device 24 shown in the present embodiment further includes an address translation function in addition to the functions of the relay device of the above-described embodiment, and is connected to the terminal side ports 14e, 14f, and 14g of the address translation device 24. Can be assigned an IP address. The advantage of using the address translation device 24 shown in the present embodiment is that the object of the present invention can be achieved and the network system 114 operated in a single network domain can be easily introduced.

本実施例におけるネットワークシステム１１４は、アドレス変換装置２４と、ルータ５４と、ＤＨＣＰサーバ３４と、共有サーバ４４と、インターネット７５と、端末６０と、ネットワーク７４と、を有する。アドレス変換装置２４、ルータ５４、ＤＨＣＰサーバ３４、および共有サーバ４４は、ネットワーク７４を介して接続されている。端末６０は、アドレス変換装置２４を介してネットワーク７４に接続できる。また、ネットワーク７４は、ルータ５４を介してインターネット７５に接続できる。   The network system 114 in this embodiment includes an address translation device 24, a router 54, a DHCP server 34, a shared server 44, the Internet 75, a terminal 60, and a network 74. The address translation device 24, the router 54, the DHCP server 34, and the shared server 44 are connected via a network 74. The terminal 60 can be connected to the network 74 via the address translation device 24. The network 74 can be connected to the Internet 75 via the router 54.

ネットワーク７４は、ドメインＡに属する。アドレス変換装置２４のネットワーク７４側インターフェース、ルータ５４、ＤＨＣＰサーバ３４、および共有サーバ４４は、ドメインＡのＩＰアドレスを持ち、ＤＨＣＰサーバ３４は、ドメインＡのアドレスプールを管理する。   The network 74 belongs to the domain A. The network 74 side interface of the address translation device 24, the router 54, the DHCP server 34, and the shared server 44 have an IP address of the domain A, and the DHCP server 34 manages the address pool of the domain A.

図２１は、本実施例におけるアドレス変換装置２４の構成を示す機能ブロック図である。
本実施例のネットワークシステム１１４において、中継装置は、メッセージ監視部、転送部およびポート管理テーブルからはアドレス付与サーバ（ＤＨＣＰサーバ３４）のひとつとして認識され、ＤＨＣＰサーバ３４とは異なるネットワークドメインのＩＰアドレスを管理し、要求に応じＩＰアドレスを付与すると同時にデフォルトゲートウェイをアドレス変換部１２４に設定するアドレス付与部１２６と、アドレス付与部１２６がネットワークアドレスを割り当てた端末６０と、ネットワーク７４に接続された装置との間でＮＡＴもしくはＮＡＰＴ動作を行うアドレス変換部１２４と、受信したフレームの宛先ＭＡＣアドレスをもとにフレームを転送するスイッチ部１２２（図では「スイッチ」）と、をさらに備える。 FIG. 21 is a functional block diagram showing the configuration of the address translation device 24 in this embodiment.
In the network system 114 of this embodiment, the relay device is recognized as one of the address assignment servers (DHCP server 34) from the message monitoring unit, the transfer unit, and the port management table, and has an IP address in a network domain different from the DHCP server 34. And assigning an IP address in response to a request and simultaneously setting a default gateway in the address conversion unit 124, a terminal 60 to which the address assignment unit 126 has assigned a network address, and a device connected to the network 74 And a switch unit 122 ("switch" in the figure) for transferring a frame based on the destination MAC address of the received frame.

具体的には、アドレス変換装置２４は、中継装置部１２０と、ポート１４と、アドレス変換部１２４と、アドレス付与部１２６と、スイッチ部１２２と、を有する。   Specifically, the address translation device 24 includes a relay device unit 120, a port 14, an address translation unit 124, an address assignment unit 126, and a switch unit 122.

ポート１４は、端末側ポート１４ｅ、１４ｆ、１４ｇと、ネットワーク側ポート１４ｈを有する。中継装置部１２０のネットワーク側ポートは、アドレス変換部１２４とスイッチ部１２２に接続される。アドレス変換部１２４は、ＷＡＮ側とＬＡＮ側の２つのインターフェースを持ち、ＬＡＮ側インターフェースは中継装置部１２０へ、ＷＡＮ側インターフェースはスイッチ部１２２、ネットワーク側ポート１４ｈを介してネットワーク７４へ接続される。アドレス変換装置２４のネットワーク７４側インターフェースのＩＰアドレスは、機能上、アドレス変換部１２４のＷＡＮ側インターフェースに割り当てられる。   The port 14 includes terminal-side ports 14e, 14f, and 14g, and a network-side port 14h. The network side port of the relay device unit 120 is connected to the address conversion unit 124 and the switch unit 122. The address conversion unit 124 has two interfaces on the WAN side and the LAN side. The LAN side interface is connected to the relay device unit 120, and the WAN side interface is connected to the network 74 via the switch unit 122 and the network side port 14h. The IP address of the network 74 side interface of the address translation device 24 is functionally assigned to the WAN side interface of the address translation unit 124.

中継装置部１２０は、図６に示した上記実施の形態における中継装置１０と同様の構成を有し、同様の動作を行う。以下、中継装置部１２０は、図７および図８に示した上記実施の形態の中継装置１０の動作を行うものとして説明するが、図９および図１０に示した上記実施の形態の中継装置１０の動作を行うものであっても同様に実現できる。   The relay device unit 120 has the same configuration as the relay device 10 in the above-described embodiment shown in FIG. 6 and performs the same operation. Hereinafter, the relay device unit 120 will be described as performing the operation of the relay device 10 according to the above-described embodiment illustrated in FIGS. 7 and 8, but the relay device 10 according to the above-described embodiment illustrated in FIGS. 9 and 10. Even if the operation is performed, the same can be realized.

アドレス変換部１２４は、ＮＡＴ（Network Address Translation）動作もしくはＮＡＰＴ（Network Address and Port Translation）動作を行う。ＮＡＴ動作およびＮＡＰＴ動作の詳細は当業者には広く知られていることから、説明を省略する。また、以下の説明では、アドレス変換部１２４はＮＡＰＴ動作を行うものとする。   The address translation unit 124 performs NAT (Network Address Translation) operation or NAPT (Network Address and Port Translation) operation. Details of the NAT operation and the NAPT operation are well known to those skilled in the art, and a description thereof will be omitted. In the following description, it is assumed that the address conversion unit 124 performs a NAPT operation.

アドレス付与部１２６は、ＤＨＣＰ機能を有し、ドメインＢのアドレスプールを管理する。機能上、アドレス変換部１２４のＬＡＮ側インターフェースには、ドメインＢのＩＰアドレスが割り当てられ、ドメインＢを割り当てられた端末のデフォルトゲートウェイとして設定される。また、アドレス付与部１２６も同様に、ドメインＢのＩＰアドレスが割り当てられる。   The address assigning unit 126 has a DHCP function and manages the domain B address pool. Functionally, an IP address of domain B is assigned to the LAN side interface of the address conversion unit 124 and is set as a default gateway of a terminal to which domain B is assigned. Similarly, the address assigning unit 126 is assigned an IP address of domain B.

このように構成された本実施例のネットワークシステム１１４の動作について、以下に説明する。
図２２は、本実施例のネットワークシステム１１４のＩＰアドレス取得の動作の一例を示すシーケンス図である。 The operation of the network system 114 of this embodiment configured as described above will be described below.
FIG. 22 is a sequence diagram illustrating an example of an IP address acquisition operation of the network system 114 according to this embodiment.

図２２に示したネットワークシステム１１４におけるＩＰアドレス取得シーケンスは、図１５および図１６に示した上記実施例のネットワークシステム１１４におけるＩＰアドレス取得シーケンスと同様である。すなわち、図１５の上記実施例におけるプライマリＤＨＣＰサーバ３２ａが、本実施例におけるＤＨＣＰサーバ３４、図１５の上記実施例におけるセカンダリＤＨＣＰサーバ３２ｂが、本実施例におけるアドレス変換部１２４に相当する。
すなわち、本実施例のアドレス変換装置２４において、アドレス付与部１２６の優先度は最も低く設定される。 The IP address acquisition sequence in the network system 114 shown in FIG. 22 is the same as the IP address acquisition sequence in the network system 114 of the above-described embodiment shown in FIGS. That is, the primary DHCP server 32a in the above embodiment of FIG. 15 corresponds to the DHCP server 34 in this embodiment, and the secondary DHCP server 32b in the above embodiment of FIG. 15 corresponds to the address conversion unit 124 in this embodiment.
That is, in the address translation device 24 of the present embodiment, the priority of the address assigning unit 126 is set to the lowest.

以下、図２０乃至図２２を用いて説明する。
図２２に示すように、端末ＢはドメインＢの、端末ＣはドメインＡのＩＰアドレスをそれぞれ取得している。共有サーバ４４にはドメインＡのＩＰアドレスが割り当てられる。また、アドレス変換装置２４におけるアドレス変換部１２４において、ＬＡＮ側インターフェースにはドメインＢのＩＰアドレス、およびＷＡＮ側インターフェースにはドメインＡのＩＰアドレスがそれぞれ割り当てられる。 This will be described below with reference to FIGS.
As shown in FIG. 22, terminal B has acquired the IP address of domain B, and terminal C has acquired the IP address of domain A. The shared server 44 is assigned an IP address of domain A. Further, in the address translation unit 124 in the address translation device 24, an IP address of domain B is assigned to the LAN side interface, and an IP address of domain A is assigned to the WAN side interface.

図２２に示すように、まず、端末Ｃから共有サーバ４４宛のフレームを送出する（シーケンス１３０１）場合、宛先ＭＡＣアドレスは共有サーバ４４のＭＡＣアドレスＭ４０となる（シーケンス１３２１）。当該フレームは、アドレス変換装置２４の中継装置部１２０にて受信される。アドレス変換装置２４の中継装置部１２０において、宛先ＭＡＣアドレスを参照し、当該フレームを、スイッチ部１２２を介してネットワーク７４に転送する（シーケンス１３０２）。当該フレームは、ネットワーク７４上の共有サーバ４４にて受信される。   As shown in FIG. 22, when a frame addressed to the shared server 44 is sent from the terminal C (sequence 1301), the destination MAC address is the MAC address M40 of the shared server 44 (sequence 1321). The frame is received by the relay device unit 120 of the address translation device 24. The relay device unit 120 of the address translation device 24 refers to the destination MAC address and transfers the frame to the network 74 via the switch unit 122 (sequence 1302). The frame is received by the shared server 44 on the network 74.

一方、端末Ｂから共有サーバ４４宛のフレームを送出する（シーケンス１３１１）場合、端末Ｂは共有サーバ４４と異なるネットワークドメインに属するため、宛先ＭＡＣアドレスはデフォルトゲートウェイであるアドレス変換部１２４のＭＡＣアドレスＬ＿ＮＴとなる（シーケンス１３２２）。当該フレームは、アドレス変換装置２４の中継装置部１２０にて受信される。アドレス変換装置２４の中継装置部１２０において、宛先ＭＡＣアドレスを参照し、当該フレームをアドレス変換部１２４に転送する（シーケンス１３１２）。   On the other hand, when the frame addressed to the shared server 44 is transmitted from the terminal B (sequence 1311), since the terminal B belongs to a different network domain from the shared server 44, the destination MAC address is the MAC address L_NT of the address conversion unit 124 that is the default gateway. (Sequence 1322). The frame is received by the relay device unit 120 of the address translation device 24. The relay device unit 120 of the address translation device 24 refers to the destination MAC address and transfers the frame to the address translation unit 124 (sequence 1312).

アドレス変換部１２４では、ＮＡＰＴ動作を行い、送信元のドメインＢのＩＰアドレスを、アドレス変換部１２４のＷＡＮ側インターフェースのドメインＡのＩＰアドレスに変換する（シーケンス１３２３）。そして、当該フレームをスイッチ部１２２を介してネットワーク７４に送信する（シーケンス１３１３）。当該フレームは、ネットワーク７４上の共有サーバ４４にて受信される。   The address conversion unit 124 performs a NAPT operation to convert the IP address of the source domain B into the IP address of the domain A of the WAN side interface of the address conversion unit 124 (sequence 1323). Then, the frame is transmitted to the network 74 via the switch unit 122 (sequence 1313). The frame is received by the shared server 44 on the network 74.

図２２に示したように、ドメインＢのＩＰアドレスを割り振られた端末が、ドメインＡに属する装置にアクセスする場合、送信元ＩＰアドレスはアドレス変換装置２４のネットワーク側ポートとなる。すなわち、アドレス変換装置２４配下かつドメインＢに属する端末は、ネットワーク７４に接続する際に送信元ＩＰアドレスを集約されることとなる。よって、ドメインＢに属する端末からのアクセス権を制限する場合には、アドレス変換装置２４配下の端末数に関係なく、アドレス変換装置２４のネットワーク側ポートに割り当てられたＩＰアドレスのみを対象とすればよい。   As shown in FIG. 22, when a terminal to which an IP address of domain B is assigned accesses a device belonging to domain A, the transmission source IP address is a network side port of the address translation device 24. That is, the terminals belonging to the domain B under the address translation device 24 are aggregated with the source IP addresses when connecting to the network 74. Therefore, when restricting access rights from terminals belonging to the domain B, only the IP address assigned to the network side port of the address translation device 24 is targeted regardless of the number of terminals under the address translation device 24. Good.

（実施例５）
図２３は、本実施例のネットワークシステム１１６の構成を示すブロック図である。本実施例のネットワークシステム１１６は、図２０の上記実施例のネットワークシステム１１４のアドレス変換装置２４に替えて、仮想マシン（Virtual Machine、以下「ＶＭ」とする）実行端末８０を備える。本実施例では、このＶＭ実行端末８０が備えるＶＭ実行環境に、本発明を適用する構成および動作を示す。ＶＭ実行環境の一例としては、ＶＭｗａｒｅ（登録商標）やＸｅｎ（登録商標）が知られている。 (Example 5)
FIG. 23 is a block diagram illustrating a configuration of the network system 116 according to the present embodiment. The network system 116 of the present embodiment includes a virtual machine (hereinafter referred to as “VM”) execution terminal 80 instead of the address translation device 24 of the network system 114 of the above-described embodiment of FIG. In the present embodiment, a configuration and operation in which the present invention is applied to a VM execution environment provided in the VM execution terminal 80 will be described. As an example of the VM execution environment, VMware (registered trademark) and Xen (registered trademark) are known.

具体的には、本実施例におけるネットワークシステム１１４は、ＶＭ実行端末８０と、ルータ５４と、ＤＨＣＰサーバ３４と、共有サーバ４４と、インターネット７５と、ネットワーク７４と、を有する。ＶＭ実行端末８０と、ルータ５４と、ＤＨＣＰサーバ３４と、共有サーバ４４と、は、ネットワーク７４を介して接続されている。また、ネットワーク７４は、ルータ５４を介してインターネット７５に接続できる。   Specifically, the network system 114 in this embodiment includes a VM execution terminal 80, a router 54, a DHCP server 34, a shared server 44, the Internet 75, and a network 74. The VM execution terminal 80, the router 54, the DHCP server 34, and the shared server 44 are connected via a network 74. The network 74 can be connected to the Internet 75 via the router 54.

図２４は、本実施例のＶＭ実行端末８０の構成を示す機能ブロック図である。ＶＭ実行端末８０には、ホストＯＳ８９とゲストＯＳ８７が存在する。ホストＯＳ８９上のアプリケーションとしてＶＭ実行環境８８が動作する。ＶＭ実行環境８８を仮想的なハードウェアとみなし、その上でゲストＯＳ８７が動作する。   FIG. 24 is a functional block diagram illustrating a configuration of the VM execution terminal 80 according to the present embodiment. The VM execution terminal 80 includes a host OS 89 and a guest OS 87. A VM execution environment 88 operates as an application on the host OS 89. The VM execution environment 88 is regarded as virtual hardware, and the guest OS 87 operates on it.

本実施例に示すＶＭ実行端末８０を用いることの利点としては、ホストＯＳ８９とゲストＯＳ８７とで異なるアクセス権の共存を、自動でかつ容易に適用できる点である。   An advantage of using the VM execution terminal 80 shown in the present embodiment is that the coexistence of different access rights between the host OS 89 and the guest OS 87 can be applied automatically and easily.

本実施例のネットワークシステム１１６は、ＶＭ実行端末８０と、ＶＭ実行端末８０とネットワーク接続されるＤＨＣＰサーバ３４と、を備え、ネットワーク７４上にＤＨＣＰサーバ３４が複数存在し、かつ複数のＤＨＣＰサーバ３４には優先度が設けられている。
ＶＭ実行端末８０は、ＶＭ実行端末８０上で動作するホストＯＳ８９のアプリケーションであるＶＭ実行環境８８を実現する。ＶＭ実行環境８８は、中継装置部１０ｙが備える手段と、ＶＭ実行環境８８上で動作するゲストＯＳ８７のネットワークインターフェース８５から送出されるパケットをそのままホストＯＳ８９のネットワークインターフェース８６を介しネットワーク７４に送出するＶＭブリッジ部８２と、中継装置部１０ｙが備える手段からはＤＨＣＰサーバ３４のひとつとして認識され、ＤＨＣＰサーバ３４とは異なるネットワークドメインのＩＰアドレスを管理し、要求に応じＩＰアドレスを付与すると同時にデフォルトゲートウェイをＶＭアドレス変換部８３に設定するＶＭアドレス付与部８４と、ゲストＯＳ８７のネットワークインターフェース８５から送出されるパケットをＮＡＴもしくはＮＡＰＴ処理し、パケットをホストＯＳ８９のネットワークインターフェース８６を介してネットワーク７４に送出するＶＭアドレス変換部８３と、を実現する。
ＶＭ実行環境８８は、ゲストＯＳ８７がＤＨＣＰサーバ３４からＩＰアドレスを取得できる場合は、ゲストＯＳ８７のネットワークインターフェース８５から送出されるデータをＶＭブリッジ部８２を介してネットワーク７４に送出し、ゲストＯＳ８７がＤＨＣＰサーバ３４からＩＰアドレスを取得できない場合は、ＶＭアドレス付与部８４がゲストＯＳ８７のＩＰアドレスを付与し、ゲストＯＳ８７のネットワークインターフェース８５から送出されるデータをＶＭアドレス変換部８３を介してネットワーク７４に送出する。 The network system 116 of this embodiment includes a VM execution terminal 80 and a DHCP server 34 connected to the VM execution terminal 80 through a network. A plurality of DHCP servers 34 exist on the network 74, and a plurality of DHCP servers 34 are provided. Has a priority.
The VM execution terminal 80 implements a VM execution environment 88 that is an application of the host OS 89 that runs on the VM execution terminal 80. The VM execution environment 88 sends a packet sent from the network interface 85 of the guest OS 87 operating on the VM execution environment 88 to the network 74 as it is via the network interface 86 of the host OS 89. It is recognized as one of the DHCP servers 34 from the means provided in the bridge unit 82 and the relay device unit 10y, manages an IP address of a network domain different from the DHCP server 34, assigns an IP address according to a request, and simultaneously sets a default gateway. Packets sent from the VM address assignment unit 84 set in the VM address conversion unit 83 and the network interface 85 of the guest OS 87 are subjected to NAT or NAPT processing, and the packet is sent to the network of the host OS 89. Via chromatography click interface 86 to implement the VM address converter 83 to be transmitted to the network 74, the.
When the guest OS 87 can obtain an IP address from the DHCP server 34, the VM execution environment 88 sends the data sent from the network interface 85 of the guest OS 87 to the network 74 via the VM bridge unit 82, and the guest OS 87 uses DHCP. If the IP address cannot be acquired from the server 34, the VM address assigning unit 84 assigns the IP address of the guest OS 87, and sends the data sent from the network interface 85 of the guest OS 87 to the network 74 via the VM address converting unit 83. To do.

図２３において、ネットワーク７４は、ドメインＡに属する。ＶＭ実行端末８０のホストＯＳ８９（図２４）、ルータ５４、ＤＨＣＰサーバ３４、共有サーバ４４はドメインＡのＩＰアドレスを持ち、ＤＨＣＰサーバ３４はドメインＡのアドレスプールを管理する。   In FIG. 23, the network 74 belongs to the domain A. The host OS 89 (FIG. 24), the router 54, the DHCP server 34, and the shared server 44 of the VM execution terminal 80 have domain A IP addresses, and the DHCP server 34 manages the domain A address pool.

ＶＭ実行端末８０のホストＯＳ８９とゲストＯＳ８７（図２４）との論理ネットワーク接続としては、ブリッジ接続、アドレス変換接続などが知られている。   As a logical network connection between the host OS 89 of the VM execution terminal 80 and the guest OS 87 (FIG. 24), a bridge connection, an address conversion connection, and the like are known.

ブリッジ接続は、ホストＯＳ８９とゲストＯＳ８７（図２４）とが同一のネットワークドメインに属する接続のひとつである。ゲストＯＳ８７（図２４）のＩＰアドレスは、ＶＭ実行環境８８（図２４）上のブリッジインターフェース、ＶＭ実行端末８０のＮＩＣ（Network Interface Card）を介して、ＤＨＣＰサーバ３４から取得する。   The bridge connection is one of connections in which the host OS 89 and the guest OS 87 (FIG. 24) belong to the same network domain. The IP address of the guest OS 87 (FIG. 24) is acquired from the DHCP server 34 via the bridge interface on the VM execution environment 88 (FIG. 24) and the NIC (Network Interface Card) of the VM execution terminal 80.

アドレス変換接続は、ＶＭ実行端末８０のホストＯＳ８９とゲストＯＳ８７（図２４）が別のネットワークドメインに属する接続のひとつである。ゲストＯＳ８７（図２４）がネットワーク７４に接続するときに、パケットの送信元アドレスは、ホストＯＳ８９（図２４）のＩＰアドレスにＮＡＴもしくはＮＡＰＴ変換される。ゲストＯＳ８７（図２４）のＩＰアドレスは、後述するＶＭ実行環境８８（図２４）上のＶＭアドレス変換部８３（図２４）にて割り当てられる。   The address translation connection is one of connections in which the host OS 89 and guest OS 87 (FIG. 24) of the VM execution terminal 80 belong to different network domains. When the guest OS 87 (FIG. 24) connects to the network 74, the source address of the packet is NAT or NAPT converted to the IP address of the host OS 89 (FIG. 24). The IP address of the guest OS 87 (FIG. 24) is assigned by the VM address conversion unit 83 (FIG. 24) on the VM execution environment 88 (FIG. 24) described later.

図２４に示すように、ＶＭ実行端末８０は、中継装置部１０ｙと、仮想インターフェース８１と、ＶＭブリッジ部８２と、ＶＭアドレス変換部８３と、ＶＭアドレス付与部８４と、ネットワークインターフェース８５、８６からなる。なお、図２４ではゲストＯＳ８７が１つのときの構成を示しているが、ゲストＯＳ８７が複数存在しても本発明の実現に問題はない。   As shown in FIG. 24, the VM execution terminal 80 includes a relay device unit 10y, a virtual interface 81, a VM bridge unit 82, a VM address conversion unit 83, a VM address assignment unit 84, and network interfaces 85 and 86. Become. Note that FIG. 24 shows a configuration with one guest OS 87, but even if there are a plurality of guest OSs 87, there is no problem in realizing the present invention.

中継装置部１０ｙは、図６に示した上記実施の形態における中継装置１０と同様の構成を有し、同様の動作を行う。以下、中継装置部１０ｙは、図７および図８に示した上記実施の形態における中継装置１０の動作を行うものとして説明するが、図９および図１０に示した上記実施の形態における中継装置１０の動作を行うものであっても同様に実現できる。   The relay device unit 10y has the same configuration as the relay device 10 in the above-described embodiment shown in FIG. 6, and performs the same operation. Hereinafter, the relay device unit 10y will be described as performing the operation of the relay device 10 in the embodiment shown in FIGS. 7 and 8, but the relay device 10 in the embodiment shown in FIGS. Even if the operation is performed, the same can be realized.

ＶＭブリッジ部８２は、ホストＯＳ８９とゲストＯＳ８７の各ネットワークインターフェース８５、８６の間に仮想的に接続され、論理ネットワーク上でのブリッジ動作を行う。   The VM bridge unit 82 is virtually connected between the network interfaces 85 and 86 of the host OS 89 and the guest OS 87, and performs a bridge operation on the logical network.

ＶＭアドレス変換部８３は、ホストＯＳ８９とゲストＯＳ８７の各ネットワークインターフェース８５、８６の間に仮想的に接続され、論理ネットワーク上でＮＡＴ動作もしくはＮＡＰＴ動作を行う。機能上、ＶＭアドレス変換部８３のＬＡＮ側インターフェースには、ドメインＢのＩＰアドレスが割り当てられ、ドメインＢを割り当てられたゲストＯＳ８７のデフォルトゲートウェイとして設定される。以下の説明では、ＶＭアドレス変換部８３はＮＡＰＴ動作を行うものとする。   The VM address conversion unit 83 is virtually connected between the network interfaces 85 and 86 of the host OS 89 and the guest OS 87, and performs NAT operation or NAPT operation on the logical network. Functionally, an IP address of domain B is assigned to the LAN side interface of the VM address conversion unit 83 and is set as a default gateway of the guest OS 87 to which domain B is assigned. In the following description, it is assumed that the VM address conversion unit 83 performs a NAPT operation.

ＶＭアドレス付与部８４は、ＤＨＣＰ機能を有し、ドメインＢのアドレスプールを管理する。
ネットワークインターフェース８５、８６は、ＯＳからみたときに外部ネットワークへ接続するためのインターフェースである。ネットワークインターフェース８５はゲストＯＳ８７が、ネットワークインターフェース８６はホストＯＳ８９が、それぞれ有する。
仮想インターフェース８１は、ＶＭ実行環境８８上の機能であり、ゲストＯＳ８７のネットワークインターフェース８５とフレーム交換を行う。 The VM address assigning unit 84 has a DHCP function and manages the domain B address pool.
The network interfaces 85 and 86 are interfaces for connecting to an external network when viewed from the OS. The guest OS 87 is included in the network interface 85, and the host OS 89 is included in the network interface 86.
The virtual interface 81 is a function on the VM execution environment 88 and exchanges frames with the network interface 85 of the guest OS 87.

本実施例のネットワークシステム１１４における動作は、図２２に示した上記実施例のネットワークシステム１１４における動作と同様である。すなわち、図２０および図２１の上記実施例におけるアドレス変換装置２４、アドレス変換部１２４、アドレス付与部１２６、スイッチ部１２２、ポート１４ｅ〜１４ｇ、端末６０が、図２４の本実施例におけるＶＭ実行端末８０のＶＭ実行環境８８、ＶＭアドレス変換部８３、ＶＭアドレス付与部８４、ＶＭブリッジ部８２、仮想インターフェース８１、ゲストＯＳ８７に、それぞれ相当する。   The operation in the network system 114 of this embodiment is the same as the operation in the network system 114 of the above-described embodiment shown in FIG. That is, the address translation device 24, the address translation unit 124, the address assigning unit 126, the switch unit 122, the ports 14e to 14g, and the terminal 60 in the above embodiment of FIGS. 20 and 21 are the VM execution terminal in the present embodiment of FIG. This corresponds to 80 VM execution environments 88, a VM address conversion unit 83, a VM address assignment unit 84, a VM bridge unit 82, a virtual interface 81, and a guest OS 87, respectively.

なお、本実施形態において、中継装置部１０ｙが備える各ユニットにおいて、ＶＭアドレス付与部８４の優先度は最も低く設定される。   In the present embodiment, the priority of the VM address assigning unit 84 is set to the lowest in each unit included in the relay device unit 10y.

以上、実施形態および実施例を参照して本願発明を説明したが、本願発明は上記実施形態および実施例に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。   Although the present invention has been described with reference to the embodiments and examples, the present invention is not limited to the above embodiments and examples. Various changes that can be understood by those skilled in the art can be made to the configuration and details of the present invention within the scope of the present invention.

１ 中継装置
３ ＤＨＣＰサーバ
６ 端末
７ ネットワーク
１０ 中継装置
１０ｙ 中継装置部
１１ メッセージ監視部
１２ 転送部
１３ ポート管理テーブル
１４ ポート
１５ バッファ
１６ ヘッダ監視部
１７ スイッチ部
１９ 中継装置
２０ 中継装置
２２ 中継装置
２４ アドレス変換装置
３０ ＤＨＣＰサーバ
３４ ＤＨＣＰサーバ
４０ 共有サーバ
４４ 共有サーバ
５０ ルータ
５２ ルータ
５４ ルータ
６０ 端末
７０ ネットワーク
７２ ネットワーク
７４ ネットワーク
７５ インターネット
８０ ＶＭ実行端末
８１ 仮想インターフェース
８２ ＶＭブリッジ部
８３ ＶＭアドレス変換部
８４ ＶＭアドレス付与部
８５ ネットワークインターフェース
８６ ネットワークインターフェース
８８ ＶＭ実行環境
１００ ネットワークシステム
１０１ ネットワークシステム
１１０ ネットワークシステム
１１２ ネットワークシステム
１１４ ネットワークシステム
１１６ ネットワークシステム
１２０ 中継装置部
１２２ スイッチ部
１２４ アドレス変換部
１２６ アドレス付与部
８７ ゲストＯＳ
８９ ホストＯＳ DESCRIPTION OF SYMBOLS 1 Relay apparatus 3 DHCP server 6 Terminal 7 Network 10 Relay apparatus 10y Relay apparatus part 11 Message monitoring part 12 Transfer part 13 Port management table 14 Port 15 Buffer 16 Header monitoring part 17 Switch part 19 Relay apparatus 20 Relay apparatus 22 Relay apparatus 24 Address Conversion device 30 DHCP server 34 DHCP server 40 Shared server 44 Shared server 50 Router 52 Router 54 Router 60 Terminal 70 Network 72 Network 74 Network 75 Internet 80 VM execution terminal 81 Virtual interface 82 VM bridge unit 83 VM address conversion unit 84 VM address assignment Unit 85 Network interface 86 Network interface 88 VM execution environment 100 Network system 101 Network system 11 Network system 112 network system 114 network system 116 network system 120 repeater unit 122 switch unit 124 the address conversion unit 126 address assignment unit 87 guest OS
89 Host OS

Claims (28)

通信端末と、
ネットワーク上の前記通信端末に動的に割り当てられるＩＰ（Internet Protocol）アドレスを管理し、前記通信端末からの要求に応じて当該通信端末に前記ＩＰアドレスを割り当てて付与するアドレス付与サーバと、
前記通信端末と前記アドレス付与サーバとの間に配置されネットワーク接続される中継装置と、を備え、
前記ネットワーク上に前記アドレス付与サーバが複数存在し、かつ複数の前記アドレス付与サーバには優先度が設けられており、
前記中継装置は、
前記通信端末と前記アドレス付与サーバとの間で交換されるＩＰアドレス取得メッセージをもとに、ブロードキャストフレームの転送範囲を決定し、
複数の前記アドレス付与サーバのうち、前記通信端末からのアドレス付与サーバ検索メッセージに応答を返す最も優先度の高い前記アドレス付与サーバの応答のみを、前記通信端末に転送するネットワークシステム。 A communication terminal;
Managing an IP (Internet Protocol) address dynamically assigned to the communication terminal on the network, and assigning and assigning the IP address to the communication terminal in response to a request from the communication terminal;
A relay device arranged between the communication terminal and the address assignment server and connected to the network,
There are a plurality of the address assignment servers on the network, and a plurality of the address assignment servers are provided with a priority,
The relay device is
Based on the IP address acquisition message exchanged between the communication terminal and the address assignment server, determine the transfer range of the broadcast frame,
A network system for transferring, to the communication terminal, only the response of the address assignment server having the highest priority that returns a response to an address assignment server search message from the communication terminal among the plurality of address assignment servers. 請求項１に記載のネットワークシステムにおいて、
前記ブロードキャストフレームの転送範囲は、前記通信端末に付与されたＩＰアドレスと同一のネットワークドメインに属するネットワークのみに限定されるネットワークシステム。 The network system according to claim 1,
A network system in which a transfer range of the broadcast frame is limited only to a network belonging to the same network domain as an IP address assigned to the communication terminal. 請求項１または２に記載のネットワークシステムにおいて、
前記中継装置は、
前記ネットワーク上の前記通信端末と接続する複数のポートと、
前記ポートのＩＤごとに、ＭＡＣアドレスおよびネットワークドメイン情報を記憶するポート管理テーブルと、
受信したフレームのメッセージを確認し、前記フレームが前記ＩＰアドレス取得メッセージに関するか否かを判断し、前記フレームが前記ＩＰアドレス取得メッセージに関する場合は前記ＩＰアドレス取得メッセージの内容を前記ポート管理テーブルに更新したのち、前記フレームを出力し、前記ＩＰアドレス取得メッセージ以外の場合は、前記フレームをそのまま出力するメッセージ監視手段と、
前記メッセージ監視手段から入力したフレームの送信元および宛先アドレスを参照し、前記ポート管理テーブルに記録された前記ＭＡＣアドレスおよび前記ネットワークドメイン情報をもとに前記フレームの転送範囲を決定し、前記転送範囲に従い前記フレームを転送する転送手段と、を備え、
前記メッセージ監視手段は、さらにバッファを含み、
前記メッセージ監視手段は、
前記アドレス付与サーバ検索メッセージを含むフレームを受信した場合には、すべての前記アドレス付与サーバに前記フレームを転送し、その後、
優先度が最も高い前記アドレス付与サーバ以外から応答フレームを受信した場合は、前記バッファを確認し、
・前記バッファ内に応答フレームがない場合、もしくは保存されている応答フレームの送信元アドレス付与サーバの優先度が前記受信した応答フレームの送信元アドレス付与サーバの優先度より低い場合は、前記保存されている応答フレームを破棄したうえで前記受信した応答フレームを保存し、
・保存されている応答フレームの送信元アドレス付与サーバの優先度が前記受信した応答フレームの送信元アドレス付与サーバの優先度より高い場合は、前記受信した応答フレームを破棄し、
優先度が最も高い前記アドレス付与サーバから応答フレームを受信した場合は、前記バッファ内の応答フレームを破棄して前記受信した応答フレームを前記転送手段に渡し、
前記バッファ内に応答フレームを保存してから一定時間以上経過した場合には、前記バッファ内の応答フレームを取得して前記転送手段に渡すネットワークシステム。 The network system according to claim 1 or 2,
The relay device is
A plurality of ports connected to the communication terminal on the network;
A port management table storing a MAC address and network domain information for each ID of the port;
Check the message of the received frame, determine whether the frame is related to the IP address acquisition message, and if the frame is related to the IP address acquisition message, update the contents of the IP address acquisition message in the port management table After that, when outputting the frame, and other than the IP address acquisition message, message monitoring means for outputting the frame as it is,
The frame transmission range is determined based on the MAC address and the network domain information recorded in the port management table with reference to the frame source and destination addresses input from the message monitoring means. Transfer means for transferring the frame according to
The message monitoring means further includes a buffer,
The message monitoring means includes:
If a frame containing the addressing server search message is received, transfer the frame to all the addressing servers, and then
If a response frame is received from other than the address assignment server with the highest priority, check the buffer,
If there is no response frame in the buffer, or the priority of the source address assignment server of the stored response frame is lower than the priority of the source address assignment server of the received response frame, the saved response frame The response frame received is discarded and the received response frame is saved,
If the priority of the source address assignment server of the stored response frame is higher than the priority of the source address assignment server of the received response frame, discard the received response frame;
If a response frame is received from the address assignment server having the highest priority, the response frame in the buffer is discarded and the received response frame is passed to the transfer means,
A network system for acquiring a response frame in the buffer and passing it to the transfer means when a predetermined time or more has elapsed since the response frame was stored in the buffer. 請求項３に記載のネットワークシステムにおいて、
前記メッセージ監視手段はさらに、
前記アドレス付与サーバ検索メッセージを含むフレームを受信した場合は、優先度の最も高いアドレス付与サーバに前記フレームを送信して一定時間待ち、
前記一定時間以内に応答フレームを受信したら前記応答フレームを前記転送手段に渡し、
前記一定時間以内に応答フレームを受信しなかったら、次に優先度の高い前記アドレス付与サーバに前記フレームを送信して一定時間待ち、前記一定時間以内に応答フレームを受信するか該当するアドレス付与サーバがなくなるまで順次動作を繰り返すネットワークシステム。 The network system according to claim 3,
The message monitoring means further includes
If a frame containing the addressing server search message is received, send the frame to the highest priority addressing server and wait for a certain period of time,
If the response frame is received within the predetermined time, the response frame is passed to the transfer means,
If the response frame is not received within the predetermined time, the frame is transmitted to the next highest priority address assignment server, waits for a predetermined time, and the response frame is received within the predetermined time or the corresponding address assignment server A network system that repeats operations until there is no more. 請求項４に記載のネットワークシステムにおいて、
前記中継装置は、
受信したフレームの宛先アドレスを参照し、前記ポート管理テーブルに記録されたＭＡＣアドレスをもとに前記フレームを転送するスイッチ手段と、
受信したフレームの宛先アドレスを参照し、ブロードキャストアドレスであった場合には前記フレームを前記メッセージ監視手段に渡し、ブロードキャストでなかった場合には前記フレームを前記スイッチ手段に渡すヘッダ監視手段と、
をさらに備えるネットワークシステム。 The network system according to claim 4, wherein
The relay device is
Switch means for referring to the destination address of the received frame and transferring the frame based on the MAC address recorded in the port management table;
Reference is made to the destination address of the received frame, and if it is a broadcast address, the frame is passed to the message monitoring means, and if it is not broadcast, the header monitoring means passes the frame to the switch means;
A network system further comprising: 請求項３乃至５いずれかに記載のネットワークシステムにおいて、
前記中継装置は、
前記メッセージ監視手段、前記転送手段および前記ポート管理テーブルからは前記アドレス付与サーバのひとつとして認識され、前記アドレス付与サーバとは異なるネットワークドメインのＩＰアドレスを管理し、要求に応じ前記ＩＰアドレスを付与すると同時にデフォルトゲートウェイを設定するアドレス付与手段と、
前記アドレス付与手段がネットワークアドレスを割り当てた端末と、前記ネットワークに接続された装置との間でＮＡＴ（Network Address Translation）もしくはＮＡＰＴ（Network Address and Port Translation）動作を行うアドレス変換手段と、
受信したフレームの宛先ＭＡＣアドレスをもとに前記フレームを転送するスイッチ手段と、をさらに備えるネットワークシステム。 The network system according to any one of claims 3 to 5,
The relay device is
It is recognized as one of the address assignment servers from the message monitoring means, the transfer means, and the port management table, manages an IP address of a network domain different from the address assignment server, and assigns the IP address in response to a request. Address assignment means for setting a default gateway at the same time;
Address conversion means for performing NAT (Network Address Translation) or NAPT (Network Address and Port Translation) operation between a terminal to which the address assigning means has assigned a network address and a device connected to the network;
Switch means for transferring the frame based on the destination MAC address of the received frame. 請求項６に記載のネットワークシステムにおいて、
前記中継装置において、前記アドレス付与手段の優先度は最も低く設定されるネットワークシステム。 The network system according to claim 6,
In the relay device, a network system in which the priority of the address assigning means is set to the lowest. 請求項１乃至７いずれかに記載のネットワークシステムにおいて、
前記アドレス付与サーバはＤＨＣＰ（Domain Host Configuration Protocol）サーバであり、前記ＩＰアドレス取得メッセージの交換はＤＨＣＰに基づくネットワークシステム。 The network system according to any one of claims 1 to 7,
The address assignment server is a DHCP (Domain Host Configuration Protocol) server, and the exchange of the IP address acquisition message is a network system based on DHCP. 仮想マシン実行端末と、
前記仮想マシン実行端末とネットワーク接続されるアドレス付与サーバと、を備え、
前記ネットワーク上に前記アドレス付与サーバが複数存在し、かつ複数の前記アドレス付与サーバには優先度が設けられており、
前記仮想マシン実行端末は、
前記仮想マシン実行端末上で動作するホストＯＳのアプリケーションである仮想マシン実行環境を実現する手段を備え、
前記仮想マシン実行環境は、
請求項１乃至５いずれかに記載の中継装置が備える手段と、
前記仮想マシン実行環境上で動作するゲストＯＳのネットワークインターフェースから送出されるパケットをそのまま前記ホストＯＳのネットワークインターフェースを介し前記ネットワークに送出する仮想マシンブリッジ手段と、
前記中継装置が備える手段からは前記アドレス付与サーバのひとつとして認識され、前記アドレス付与サーバとは異なるネットワークドメインのＩＰアドレスを管理し、要求に応じ前記ＩＰアドレスを付与すると同時にデフォルトゲートウェイを設定する仮想マシンアドレス付与手段と、
前記ゲストＯＳのネットワークインターフェースから送出されるパケットをＮＡＴもしくはＮＡＰＴ処理し、前記パケットを前記ホストＯＳのネットワークインターフェースを介して前記ネットワークに送出する仮想マシンアドレス変換手段と、を実現し、
前記仮想マシン実行環境を実現する手段は、
前記ゲストＯＳが前記アドレス付与サーバからＩＰアドレスを取得できる場合は、前記ゲストＯＳのネットワークインターフェースから送出されるデータを仮想マシンブリッジ手段を介して前記ネットワークに送出し、
前記ゲストＯＳが前記アドレス付与サーバからＩＰアドレスを取得できない場合は、前記仮想マシンアドレス付与手段が前記ゲストＯＳのＩＰアドレスを付与し、前記ゲストＯＳのネットワークインターフェースから送出されるデータを仮想マシンアドレス変換手段を介して前記ネットワークに送出するネットワークシステム。 A virtual machine execution terminal;
An address assignment server connected to the virtual machine execution terminal via a network,
There are a plurality of the address assignment servers on the network, and a plurality of the address assignment servers are provided with a priority,
The virtual machine execution terminal is
Means for realizing a virtual machine execution environment which is an application of a host OS operating on the virtual machine execution terminal;
The virtual machine execution environment is:
Means provided in the relay device according to any one of claims 1 to 5,
Virtual machine bridge means for sending a packet sent from the network interface of the guest OS operating on the virtual machine execution environment to the network as it is through the network interface of the host OS;
A virtual device that is recognized as one of the address assignment servers by the means included in the relay device, manages an IP address of a network domain different from the address assignment server, and assigns the IP address according to a request and simultaneously sets a default gateway A machine address assigning means;
A virtual machine address conversion unit that performs NAT or NAPT processing on a packet sent from the network interface of the guest OS, and sends the packet to the network via the network interface of the host OS;
Means for realizing the virtual machine execution environment includes:
When the guest OS can obtain an IP address from the address assignment server, the data sent from the network interface of the guest OS is sent to the network via the virtual machine bridge means,
If the guest OS cannot obtain an IP address from the address assigning server, the virtual machine address assigning means assigns the IP address of the guest OS and converts the data sent from the network interface of the guest OS to a virtual machine address A network system for sending to the network via means. 請求項９に記載のネットワークシステムにおいて、
前記中継装置が備える前記手段において、前記仮想マシンアドレス付与手段の優先度は最も低く設定されるネットワークシステム。 The network system according to claim 9, wherein
The network system in which, in the means included in the relay device, the priority of the virtual machine address assigning means is set to the lowest. 請求項９または１０に記載のネットワークシステムにおいて、
前記アドレス付与サーバはＤＨＣＰサーバであり、前記仮想マシンアドレス付与手段はＤＨＣＰに基づいて動作するネットワークシステム。 The network system according to claim 9 or 10,
The address assignment server is a DHCP server, and the virtual machine address assignment means operates based on DHCP. 通信端末および、ネットワーク上の前記通信端末に動的に割り当てられるＩＰアドレスを管理し要求に応じて当該通信端末に前記ＩＰアドレスを割り当てて付与するアドレス付与サーバにネットワーク接続され、
前記ネットワーク上に前記アドレス付与サーバが複数存在し、かつ複数の前記アドレス付与サーバには優先度が設けられており、
前記通信端末と前記アドレス付与サーバとの間で交換されるＩＰアドレス取得メッセージをもとに、ブロードキャストフレームの転送範囲を決定し、
複数の前記アドレス付与サーバのうち、前記通信端末からのアドレス付与サーバ検索メッセージに応答を返す最も優先度の高い前記アドレス付与サーバの応答のみを、前記通信端末に転送する中継装置。 Network-connected to a communication terminal and an address assignment server that manages an IP address dynamically assigned to the communication terminal on the network and assigns and assigns the IP address to the communication terminal according to a request,
There are a plurality of the address assignment servers on the network, and a plurality of the address assignment servers are provided with a priority,
Based on the IP address acquisition message exchanged between the communication terminal and the address assignment server, determine the transfer range of the broadcast frame,
A relay device that transfers only the response of the highest priority addressing server that returns a response to the addressing server search message from the communication terminal to the communication terminal among the plurality of addressing servers. 請求項１２に記載の中継装置において、
前記ブロードキャストフレームの転送範囲を、前記通信端末に付与されたＩＰアドレスと同一のネットワークドメインに属するネットワークのみに限定する中継装置。 The relay device according to claim 12,
A relay device that limits a transfer range of the broadcast frame only to networks belonging to the same network domain as an IP address assigned to the communication terminal. 請求項１２または１３に記載の中継装置において、
前記ネットワーク上の前記通信端末と接続する複数のポートと、
前記ポートのＩＤごとに、ＭＡＣアドレスおよびネットワークドメイン情報を記憶するポート管理テーブルと、
受信したフレームのメッセージを確認し、前記フレームが前記ＩＰアドレス取得メッセージに関するか否かを判断し、前記フレームが前記ＩＰアドレス取得メッセージに関する場合は前記ＩＰアドレス取得メッセージの内容を前記ポート管理テーブルに更新したのち、前記フレームを出力し、前記ＩＰアドレス取得メッセージ以外の場合は、前記フレームをそのまま出力するメッセージ監視手段と、
前記メッセージ監視手段から入力したフレームの送信元および宛先アドレスを参照し、前記ポート管理テーブルに記録された前記ＭＡＣアドレスおよび前記ネットワークドメイン情報をもとに前記フレームの転送範囲を決定し、前記転送範囲に従い前記フレームを転送する転送手段と、を備え、
前記メッセージ監視手段は、さらにバッファを含み、
前記メッセージ監視手段は、
前記アドレス付与サーバ検索メッセージを含むフレームを受信した場合には、すべての前記アドレス付与サーバに前記フレームを転送し、その後、
優先度が最も高い前記アドレス付与サーバ以外から応答フレームを受信した場合は、前記バッファを確認し、
・前記バッファ内に応答フレームがない場合、もしくは保存されている応答フレームの送信元アドレス付与サーバの優先度が前記受信した応答フレームの送信元アドレス付与サーバの優先度より低い場合は、前記保存されている応答フレームを破棄したうえで前記受信した応答フレームを保存し、
・保存されている応答フレームの送信元アドレス付与サーバの優先度が前記受信した応答フレームの送信元アドレス付与サーバの優先度より高い場合は、前記受信した応答フレームを破棄し、
優先度が最も高い前記アドレス付与サーバから応答フレームを受信した場合は、前記バッファ内の応答フレームを破棄して前記受信した応答フレームを前記転送手段に渡し、
前記バッファ内に応答フレームを保存してから一定時間以上経過した場合には、前記バッファ内の応答フレームを取得して前記転送手段に渡す中継装置。 The relay device according to claim 12 or 13,
A plurality of ports connected to the communication terminal on the network;
A port management table storing a MAC address and network domain information for each ID of the port;
Check the message of the received frame, determine whether the frame is related to the IP address acquisition message, and if the frame is related to the IP address acquisition message, update the contents of the IP address acquisition message in the port management table After that, when outputting the frame, and other than the IP address acquisition message, message monitoring means for outputting the frame as it is,
The frame transmission range is determined based on the MAC address and the network domain information recorded in the port management table with reference to the frame source and destination addresses input from the message monitoring means. Transfer means for transferring the frame according to
The message monitoring means further includes a buffer,
The message monitoring means includes:
If a frame containing the addressing server search message is received, transfer the frame to all the addressing servers, then
If a response frame is received from other than the address assignment server with the highest priority, check the buffer,
If there is no response frame in the buffer, or if the priority of the source address assignment server of the stored response frame is lower than the priority of the source address assignment server of the received response frame, the saved response frame The response frame received is discarded and the received response frame is saved,
If the priority of the source address assignment server of the stored response frame is higher than the priority of the source address assignment server of the received response frame, discard the received response frame;
If a response frame is received from the address assignment server having the highest priority, the response frame in the buffer is discarded and the received response frame is passed to the transfer means,
A relay device that acquires a response frame in the buffer and passes it to the transfer means when a predetermined time or more has elapsed since the response frame was stored in the buffer. 請求項１４に記載の中継装置において、
前記メッセージ監視手段はさらに、
前記アドレス付与サーバ検索メッセージを含むフレームを受信した場合は、優先度の最も高いアドレス付与サーバに前記フレームを送信して一定時間待ち、
前記一定時間以内に応答フレームを受信したら前記応答フレームを前記転送手段に渡し、
前記一定時間以内に応答フレームを受信しなかったら、次に優先度の高い前記アドレス付与サーバに前記フレームを送信して一定時間待ち、前記一定時間以内に応答フレームを受信するか該当するアドレス付与サーバがなくなるまで順次動作を繰り返す中継装置。 The relay device according to claim 14,
The message monitoring means further includes
If a frame containing the addressing server search message is received, send the frame to the highest priority addressing server and wait for a certain period of time,
If the response frame is received within the predetermined time, the response frame is passed to the transfer means,
If the response frame is not received within the predetermined time, the frame is transmitted to the next highest priority address assignment server, waits for a predetermined time, and the response frame is received within the predetermined time or the corresponding address assignment server A repeater that repeats the operation until there is no more. 請求項１５に記載の中継装置において、
受信したフレームの宛先アドレスを参照し、前記ポート管理テーブルに記録されたＭＡＣアドレスをもとに前記フレームを転送するスイッチ手段と、
受信したフレームの宛先アドレスを参照し、ブロードキャストアドレスであった場合には前記フレームを前記メッセージ監視手段に渡し、ブロードキャストでなかった場合には前記フレームを前記スイッチ手段に渡すヘッダ監視手段と、をさらに備える中継装置。 The relay device according to claim 15,
Switch means for referring to the destination address of the received frame and transferring the frame based on the MAC address recorded in the port management table;
A header monitoring unit that refers to the destination address of the received frame, passes the frame to the message monitoring unit if it is a broadcast address, and passes the frame to the switch unit if it is not broadcast; A relay device provided. 請求項１２乃至１６いずれかに記載の中継装置において、
前記メッセージ監視手段、前記転送手段および前記ポート管理テーブルからは前記アドレス付与サーバのひとつとして認識され、前記アドレス付与サーバとは異なるネットワークドメインのＩＰアドレスを管理し、要求に応じ前記ＩＰアドレスを付与すると同時にデフォルトゲートウェイを設定するアドレス付与手段と、
前記アドレス付与手段が前記ＩＰアドレスを割り当てた端末と、前記ネットワークに接続された装置との間でＮＡＴもしくはＮＡＰＴ動作を行うアドレス変換手段と、
受信したフレームの宛先ＭＡＣアドレスをもとに前記フレームを転送するスイッチ手段と、をさらに備える中継装置。 The relay device according to any one of claims 12 to 16,
It is recognized as one of the address assignment servers from the message monitoring means, the transfer means, and the port management table, manages an IP address of a network domain different from the address assignment server, and assigns the IP address in response to a request. Address assignment means for setting a default gateway at the same time;
Address conversion means for performing NAT or NAPT operation between a terminal to which the address assigning means has assigned the IP address and a device connected to the network;
And a switching unit that transfers the frame based on a destination MAC address of the received frame. 請求項１７に記載の中継装置において、
前記メッセージ監視手段において、前記アドレス付与手段の優先度は最も低く設定される中継装置。 The relay device according to claim 17,
In the message monitoring unit, a relay apparatus in which the priority of the address assigning unit is set to the lowest. 請求項１２乃至１８いずれかに記載の中継装置において、
前記アドレス付与サーバはＤＨＣＰサーバであり、前記アドレス付与手段はＤＨＣＰに基づいて動作し、前記ＩＰアドレス取得メッセージの交換はＤＨＣＰに基づく中継装置。 The relay device according to any one of claims 12 to 18,
The address assignment server is a DHCP server, the address assignment unit operates based on DHCP, and the exchange of the IP address acquisition message is a relay apparatus based on DHCP. アドレス付与サーバとはネットワーク接続され、
ホストＯＳのアプリケーションである仮想マシン実行環境を実現する手段を備え、
前記ネットワーク上に前記アドレス付与サーバが複数存在し、かつ複数の前記アドレス付与サーバには優先度が設けられており、
前記仮想マシン実行環境は、
請求項１２乃至１６いずれかに記載の中継装置が備える手段と、
前記仮想マシン実行環境上で動作するゲストＯＳのネットワークインターフェースから送出されるパケットをそのまま前記ホストＯＳのネットワークインターフェースを介し前記ネットワークに送出する仮想マシンブリッジ手段と、
前記中継装置が備える手段からは前記アドレス付与サーバのひとつとして認識され、前記アドレス付与サーバとは異なるネットワークドメインのＩＰアドレスを管理し、要求に応じ前記ＩＰアドレスを付与すると同時にデフォルトゲートウェイを設定する仮想マシンアドレス付与手段と、
前記ゲストＯＳのネットワークインターフェースから送出されるパケットをＮＡＴもしくはＮＡＰＴ処理し、前記パケットを前記ホストＯＳのネットワークインターフェースを介して前記ネットワークに送出する仮想マシンアドレス変換手段と、を実現し、
前記仮想マシン実行環境を実現する手段は、
前記ゲストＯＳが前記アドレス付与サーバからＩＰアドレスを取得できる場合は、前記ゲストＯＳのネットワークインターフェースから送出されるデータを仮想マシンブリッジ手段を介して前記ネットワークに送出し、
前記ゲストＯＳが前記アドレス付与サーバからＩＰアドレスを取得できない場合は、前記仮想マシンアドレス付与手段が前記ゲストＯＳのＩＰアドレスを付与し、前記ゲストＯＳのネットワークインターフェースから送出されるデータを仮想マシンアドレス変換手段を介して前記ネットワークに送出する仮想マシン実行端末。 Network connection with the address assignment server
Means for realizing a virtual machine execution environment as an application of the host OS,
There are a plurality of the address assignment servers on the network, and a plurality of the address assignment servers are provided with a priority,
The virtual machine execution environment is:
Means provided in the relay device according to any one of claims 12 to 16,
Virtual machine bridge means for sending a packet sent from the network interface of the guest OS operating on the virtual machine execution environment to the network as it is through the network interface of the host OS;
A virtual device that is recognized as one of the address assignment servers by the means included in the relay device, manages an IP address of a network domain different from the address assignment server, and assigns the IP address according to a request and simultaneously sets a default gateway A machine address assigning means;
A virtual machine address conversion unit that performs NAT or NAPT processing on a packet sent from the network interface of the guest OS, and sends the packet to the network via the network interface of the host OS;
Means for realizing the virtual machine execution environment includes:
When the guest OS can obtain an IP address from the address assignment server, the data sent from the network interface of the guest OS is sent to the network via the virtual machine bridge means,
If the guest OS cannot obtain an IP address from the address assigning server, the virtual machine address assigning means assigns the IP address of the guest OS and converts the data sent from the network interface of the guest OS to a virtual machine address A virtual machine execution terminal for sending to the network via means. 請求項２０に記載の仮想マシン実行端末において、
前記中継装置が備える前記手段において、前記仮想マシンアドレス付与手段の優先度は最も低く設定される仮想マシン実行端末。 The virtual machine execution terminal according to claim 20,
The virtual machine execution terminal in which the priority of the virtual machine address assigning means is set to the lowest in the means provided in the relay device. 請求項２０または２１に記載の仮想マシン実行端末において、
前記アドレス付与サーバはＤＨＣＰサーバであり、前記仮想マシンアドレス付与手段はＤＨＣＰに基づいて動作し、前記ＩＰアドレス取得メッセージの交換はＤＨＣＰに基づく仮想マシン実行端末。 In the virtual machine execution terminal according to claim 20 or 21,
The address assignment server is a DHCP server, the virtual machine address assignment means operates based on DHCP, and the exchange of the IP address acquisition message is a virtual machine execution terminal based on DHCP. 通信端末と、
ネットワーク上の通信端末に動的に割り当てられるＩＰアドレスを管理し、前記通信端末からの要求に応じ前記ＩＰアドレスを割り当てて付与するアドレス付与サーバと、
前記通信端末と前記アドレス付与サーバとの間に配置されネットワーク接続される中継装置と、を備えたネットワークを制御し、
前記ネットワーク上に前記アドレス付与サーバが複数存在し、かつ複数の前記アドレス付与サーバには優先度が設けられており、
前記中継装置が、
前記通信端末と前記アドレス付与サーバとの間で交換されるＩＰアドレス取得メッセージをもとに、ブロードキャストフレームの転送範囲を決定し、
複数の前記アドレス付与サーバのうち、前記通信端末からのアドレス付与サーバ検索メッセージに応答を返す最も優先度の高い前記アドレス付与サーバの応答のみを、前記通信端末に転送するネットワーク制御方法。 A communication terminal;
An IP address assignment server that manages an IP address dynamically assigned to a communication terminal on a network, and assigns and assigns the IP address in response to a request from the communication terminal;
Controlling a network including a relay device arranged between the communication terminal and the address assignment server and connected to the network;
There are a plurality of the address assignment servers on the network, and a plurality of the address assignment servers are provided with a priority,
The relay device is
Based on the IP address acquisition message exchanged between the communication terminal and the address assignment server, determine the transfer range of the broadcast frame,
A network control method for transferring, to the communication terminal, only a response from the address assignment server having the highest priority that returns a response to an address assignment server search message from the communication terminal among the plurality of address assignment servers. 請求項２３に記載のネットワーク制御方法において、
前記ブロードキャストフレームの転送範囲を、前記通信端末に付与されたＩＰアドレスと同一のネットワークドメインに属するネットワークのみに限定するネットワーク制御方法。 The network control method according to claim 23, wherein
A network control method for limiting a transfer range of the broadcast frame to only networks belonging to the same network domain as an IP address assigned to the communication terminal. 請求項２３または２４に記載のネットワーク制御方法において、
前記中継装置は、
前記ネットワーク上の前記通信端末と接続する複数のポートと、
前記ポートのＩＤごとに、ＭＡＣアドレスおよびネットワークドメイン情報を記憶するポート管理テーブルと、をさらに含み、
前記中継装置が、受信したフレームのメッセージを確認し、前記フレームが前記ＩＰアドレス取得メッセージに関するか否かを判断し、前記フレームが前記ＩＰアドレス取得メッセージに関する場合は前記ＩＰアドレス取得メッセージの内容を前記ポート管理テーブルに更新したのち、前記フレームを出力し、前記ＩＰアドレス取得メッセージ以外の場合は、前記フレームをそのまま出力するメッセージ監視手順と、
前記中継装置が、前記メッセージ監視手順において入力したフレームの送信元および宛先アドレスを参照し、前記ポート管理テーブルに記録された前記ＭＡＣアドレスおよび前記ネットワークドメイン情報をもとに前記フレームの転送範囲を決定し、前記転送範囲に従い前記フレームを転送する転送手順と、を含み、
前記中継装置は、さらにバッファを含み、
前記メッセージ監視手順において、
前記アドレス付与サーバ検索メッセージを含むフレームを受信した場合には、すべての前記アドレス付与サーバに前記フレームを転送し、その後、
優先度が最も高い前記アドレス付与サーバ以外から応答フレームを受信した場合は、前記バッファを確認し、
・前記バッファ内に応答フレームがない場合、もしくは保存されている応答フレームの送信元アドレス付与サーバの優先度が前記受信した応答フレームの送信元アドレス付与サーバの優先度より低い場合は、前記保存されている応答フレームを破棄したうえで前記受信した応答フレームを保存し、
・保存されている応答フレームの送信元アドレス付与サーバの優先度が前記受信した応答フレームの送信元アドレス付与サーバの優先度より高い場合は、前記受信した応答フレームを破棄し、
優先度が最も高い前記アドレス付与サーバから応答フレームを受信した場合は、前記バッファ内の応答フレームを破棄して前記受信した応答フレームを前記転送手順に遷移し、
前記バッファ内に応答フレームを保存してから一定時間以上経過した場合には、前記バッファ内の応答フレームを取得して前記転送手順に遷移するネットワーク制御方法。 The network control method according to claim 23 or 24, wherein:
The relay device is
A plurality of ports connected to the communication terminal on the network;
A port management table storing a MAC address and network domain information for each port ID; and
The relay device confirms the message of the received frame, determines whether the frame is related to the IP address acquisition message, and if the frame is related to the IP address acquisition message, the content of the IP address acquisition message is A message monitoring procedure for outputting the frame after updating to the port management table, and outputting the frame as it is in cases other than the IP address acquisition message;
The relay device refers to the frame source and destination addresses input in the message monitoring procedure, and determines the frame transfer range based on the MAC address and the network domain information recorded in the port management table. And a transfer procedure for transferring the frame in accordance with the transfer range,
The relay device further includes a buffer,
In the message monitoring procedure,
If a frame containing the addressing server search message is received, transfer the frame to all the addressing servers, then
If a response frame is received from other than the address assignment server with the highest priority, check the buffer,
If there is no response frame in the buffer, or if the priority of the source address assignment server of the stored response frame is lower than the priority of the source address assignment server of the received response frame, the saved response frame The response frame received is discarded and the received response frame is saved,
If the priority of the source address assignment server of the stored response frame is higher than the priority of the source address assignment server of the received response frame, discard the received response frame;
When a response frame is received from the address assignment server having the highest priority, the response frame in the buffer is discarded and the received response frame is shifted to the transfer procedure,
A network control method for acquiring a response frame in the buffer and transitioning to the transfer procedure when a predetermined time or more has elapsed since the response frame was stored in the buffer. 請求項２５に記載のネットワーク制御方法において、
前記メッセージ監視手順はさらに、
前記アドレス付与サーバ検索メッセージを含むフレームを受信した場合は、優先度の最も高いアドレス付与サーバに前記フレームを送信して一定時間待ち、
前記一定時間以内に応答フレームを受信したら前記転送手順に遷移し、
前記一定時間以内に応答フレームを受信しなかったら、次に優先度の高い前記アドレス付与サーバに前記フレームを送信して一定時間待ち、一定時間以内に応答フレームを受信するか該当するアドレス付与サーバがなくなるまで順次動作を繰り返すネットワーク制御方法。 The network control method according to claim 25,
The message monitoring procedure further includes:
If a frame containing the addressing server search message is received, send the frame to the highest priority addressing server and wait for a certain period of time,
If a response frame is received within the predetermined time, the process proceeds to the transfer procedure,
If a response frame is not received within the predetermined time, the frame is transmitted to the address assignment server having the next highest priority, waits for a predetermined time, and a response frame is received within a predetermined time. A network control method that repeats the operation until it runs out. 請求項２６に記載のネットワーク制御方法において、
前記中継装置が、受信したフレームの宛先アドレスを参照し、前記ポート管理テーブルに記録されたＭＡＣアドレスをもとに前記フレームを転送するスイッチ手順と、
前記中継装置が、受信したフレームの宛先アドレスを参照し、ブロードキャストアドレスであった場合には前記メッセージ監視手順に遷移し、ブロードキャストでなかった場合には前記スイッチ手順に遷移するヘッダ監視手順と、をさらに含むネットワーク制御方法。 The network control method according to claim 26, wherein
A switching procedure in which the relay device refers to the destination address of the received frame and transfers the frame based on the MAC address recorded in the port management table;
The relay device refers to the destination address of the received frame, transitions to the message monitoring procedure if it is a broadcast address, and transitions to the switch procedure if it is not broadcast. A network control method further comprising: 請求項２３乃至２７いずれかに記載のネットワーク制御方法において、
前記アドレス付与サーバはＤＨＣＰサーバであり、前記ＩＰアドレス取得メッセージの交換はＤＨＣＰに基づくネットワーク制御方法。 The network control method according to any one of claims 23 to 27,
The address assignment server is a DHCP server, and the exchange of the IP address acquisition message is a network control method based on DHCP.
JP2009088207A 2009-03-31 2009-03-31 Network system, relay device, and method of controlling network Pending JP2010239591A (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2009088207A JP2010239591A (en) 2009-03-31 2009-03-31 Network system, relay device, and method of controlling network

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2009088207A JP2010239591A (en) 2009-03-31 2009-03-31 Network system, relay device, and method of controlling network

Publications (1)

Publication Number Publication Date
JP2010239591A true JP2010239591A (en) 2010-10-21

Family

ID=43093500

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2009088207A Pending JP2010239591A (en) 2009-03-31 2009-03-31 Network system, relay device, and method of controlling network

Country Status (1)

Country Link
JP (1) JP2010239591A (en)

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011203887A (en) * 2010-03-25 2011-10-13 Nomura Research Institute Ltd Virtual environment data transfer system and virtual environment data transfer device
JP2014053004A (en) * 2012-09-04 2014-03-20 Alexeo Corp System and method for protecting terminals on dynamically configured network
EP3264677A1 (en) * 2016-06-30 2018-01-03 Thomson Licensing Method and device for processing, at a network equipment, a processing request from a terminal
JP2018152683A (en) * 2017-03-10 2018-09-27 エヌ・ティ・ティ・コミュニケーションズ株式会社 Grouping device, communication system, communication method, and program
CN113132498A (en) * 2019-12-30 2021-07-16 中兴通讯股份有限公司 Message processing method, relay equipment, system and storage medium
CN114520965A (en) * 2020-11-19 2022-05-20 瑞昱半导体股份有限公司 Wireless relay device and configuration method for wireless relay device
CN113132498B (en) * 2019-12-30 2024-04-23 中兴通讯股份有限公司 Message processing method, relay device, system and storage medium

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011203887A (en) * 2010-03-25 2011-10-13 Nomura Research Institute Ltd Virtual environment data transfer system and virtual environment data transfer device
JP2014053004A (en) * 2012-09-04 2014-03-20 Alexeo Corp System and method for protecting terminals on dynamically configured network
EP3264677A1 (en) * 2016-06-30 2018-01-03 Thomson Licensing Method and device for processing, at a network equipment, a processing request from a terminal
EP3264681A1 (en) * 2016-06-30 2018-01-03 Thomson Licensing Method and device for processing, at a network equipment, a processing request from a terminal
JP2018152683A (en) * 2017-03-10 2018-09-27 エヌ・ティ・ティ・コミュニケーションズ株式会社 Grouping device, communication system, communication method, and program
CN113132498A (en) * 2019-12-30 2021-07-16 中兴通讯股份有限公司 Message processing method, relay equipment, system and storage medium
CN113132498B (en) * 2019-12-30 2024-04-23 中兴通讯股份有限公司 Message processing method, relay device, system and storage medium
CN114520965A (en) * 2020-11-19 2022-05-20 瑞昱半导体股份有限公司 Wireless relay device and configuration method for wireless relay device
CN114520965B (en) * 2020-11-19 2024-03-01 瑞昱半导体股份有限公司 Wireless relay device and configuration method for wireless relay device

Similar Documents

Publication Publication Date Title
JP4883979B2 (en) Information processing apparatus and communication control method
JP4587446B2 (en) NETWORK SYSTEM, SWITCH DEVICE, ROUTE MANAGEMENT SERVER, ITS CONTROL METHOD, COMPUTER PROGRAM, AND COMPUTER-READABLE STORAGE MEDIUM
WO2013150925A1 (en) Network system, controller, and packet authentication method
JP5612468B2 (en) Method and apparatus for communication of diagnostic data in a real-time communication network
CN107809386B (en) IP address translation method, routing device and communication system
KR101282117B1 (en) Apparatus and method for UPnP service in public network environment
JP4920878B2 (en) Authentication system, network line concentrator, authentication method used therefor, and program thereof
JP2010531602A5 (en)
JP2010239591A (en) Network system, relay device, and method of controlling network
JP4636345B2 (en) Security policy control system, security policy control method, and program
JP2010177752A (en) Network communication node
WO2023114184A1 (en) Encrypted data packet forwarding
JP6445408B2 (en) Communication system and setting method
JP2010187314A (en) Network relay apparatus with authentication function, and terminal authentication method employing the same
JP2008154012A (en) Network monitoring device, network monitoring method, network communicating method, and network quarantine system
JP2005057693A (en) Network virtualizing system
JP5261432B2 (en) Communication system, packet transfer method, network switching apparatus, access control apparatus, and program
JP2008010934A (en) Gateway apparatus, communication control method, program, and storage medium with the program stored
Cisco AppleTalk Remote Access Commands
WO2015020393A1 (en) Method, device, and system for supporting communication between user terminal devices by using openflow, and computer-recordable recording medium
US20200274791A1 (en) Multi-vrf and multi-service insertion on edge gateway virtual machines
JP2007074059A (en) Communication support apparatus, system, communication method, and computer program
JP7211409B2 (en) NODE, CONTROL SYSTEM, COMMUNICATION CONTROL METHOD AND PROGRAM
JP3947141B2 (en) Inter-network communication method, management server, and user network management server
JP6422345B2 (en) Management device, management system, management method, and program