JP4334379B2 - ネットワークシステム - Google Patents

Description

本発明はネットワークシステムに関し、特にネットワーク上でフィルタリングを行ってフレームを伝送するネットワークシステムに関する。

現在、企業のネットワークは不正アクセスなどの危険にさらされている。また、企業ネットワークに限らず、ネットワーク上に存在して情報転送サービスを行うWebサーバやＦＴＰ（File Transfer Protocol）サーバなども同様に、不正アクセスなどの攻撃にさらされている。このため、ネットワーク内にファイアウォールを配備したり、ルータやスイッチといった中継装置に防御機構を設けて、不正アクセスや内部データの破壊行為などを防御する必要がある。

ネットワークを不正アクセスから守る機構としては、フィルタリング機能が一般に用いられている。これは、ネットワーク上を送られてきたフレームを検査して、通過させるかどうかを判断し、不正なフレームを見つけた場合には廃棄することでセキュリティを確保する仕組みである。また、フィルタリングを行うことで、不要なフレームが中継されなくなるので、トラフィックの軽減を図ることが可能になる。

従来のフィルタリング方式では、それぞれの装置に個別にフィルタリング設定をし、自装置に設定されたフィルタリング機能は、その装置でのみ有効となる。すなわち、フィルタリングが設定された装置にフレームが到着してはじめてフィルタリングの処理が行われる。

また、Webサーバ等のサーバにおけるフィルタリング方式として、アクセス制限を行っている場合、サーバのアプリケーション上でフィルタリング設定・判別がなされて、不要フレームを廃棄することが行われている。

従来のネットワーク上におけるフィルタリング技術としては、フィルタリングテーブルの情報を装置間でやりとりして、ネットワークの負荷を軽減する技術が提案されている（例えば、特許文献１）。
特開平１１−２７２７０号公報（段落番号〔０００８〕〜〔００１３〕，第１図）

上記のように、ネットワーク内のある中継装置にフィルタリング設定した場合は、その該当装置でのみ有効であるため、該当装置にフィルタリング対象のフレームが到着するまでフィルタリングは実行されない。そのため、フィルタリングされて廃棄となるフレームであっても、該当装置に到着するまでは中継が行われるので、ネットワークに無駄な負荷をかけるといった問題があった。

図２３は従来のフィルタリングの問題点を説明するためのサンプルネットワークを示す図である。ネットワーク２００内の装置の接続関係を記すと、サブネット５１は、サーバ８０、端末７１、中継装置６１と接続する。中継装置６１は、中継装置６２、６３と接続する。中継装置６２は、中継装置６３、６４、サブネット５２と接続し、サブネット５２は端末７２と接続する。

中継装置６３は、中継装置６５、サブネット５３と接続し、サブネット５３は端末７３と接続する。中継装置６４は、サブネット５４と接続し、サブネット５４は端末７４と接続する。中継装置６５は、中継装置６６、サブネット５５と接続し、サブネット５５は端末７５と接続する。中継装置６６は、サブネット５６と接続し、サブネット５６は端末７６と接続する。

ここで、端末７３、７５、７６からサーバ８０へのアクセスをフィルタリングするために中継装置６３にフィルタリング設定を行ったとする。この場合、端末７５からサーバ８０へのアクセスは中継装置６５によって中継され、また端末７６からサーバ８０へのアクセスは中継装置６６、６５によって中継されるが、フィルタリングは中継装置６３で行われるため、中継装置６５、６６においては、無駄な中継が行われていることになる。

このように、装置個別にフィルタリング設定をすると、無駄な中継フローが発生することになる。このため、装置個別ではなく、ネットワーク全体にフィルタリング情報を設定すれば（例えば、上記の例では、端末７３、７５、７６からサーバ８０へのアクセスをフィルタリングするための設定を、すべての中継装置６１〜６６に対して行う）、無駄な負荷をかけないようにすることもできるが、この場合、フィルタリング設定が変わったりすると、再設定は非常に手間のかかるものとなる。その上、フィルタリング設定の内容によっては、他の装置に設定するとフィルタリングしてはいけないフローまでフィルタリング対象となるため、現実的でないばかりでなく誤った設定をするおそれがある。

すなわち、図２３において、端末７３、７５、７６からサーバ８０へのアクセスをフィルタリングするために中継装置６３にフィルタリング設定を行った場合、ネットワークの効率性を考えて全中継装置６１〜６６に中継装置６３と同一のフィルタリング設定を行うと、端末７１、７２、７４からサーバ８０へのアクセスまでフィルタリングされてしまい、本来のフィルタリング設定が正しく反映されないといった問題が生じてしまう。

一方、従来のサーバでは、サーバのアプリケーション上で設定されているアクセス制限によってフィルタリングを行っているが、アクセス制限をかけていてもアクセス集中といった攻撃には耐えることができないといった問題があった。

特にサービス拒否攻撃（ＤＯＳ（Denial Of Service）攻撃：悪意を持つ者がサーバへ大量の接続要求を出して、サーバ・リソースを消耗させ、正当な要求者へのサービス提供を停止させる行為）といった不正アクセスには、サーバのみでアクセス制限をかけても意味がなく、またファイアウォール等の装置で防いだとしても、そのサーバに対するアクセスが集中することによって途中のネットワークリソースが食いつぶされ、他の通信を止めてしまうといった問題が発生する。

一方、上記の従来技術（特開平１１−２７２７０号公報）では、ネットワーク負荷の対象として、管理装置が全端末を把握するために投げるブロードキャストパケットに対しての負荷を指しており、中継フレームによる負荷軽減は行われていない。また、従来技術のフィルタリングテーブルは、アドレスと宛先ポートの組の簡易な構成となっているため、装置間で互いに多様なコマンドをやりとりしての高度なプロトコルのフィルタリング制御を実行することができない。

本発明はこのような点に鑑みてなされたものであり、フィルタリング情報をネットワーク全体で効率よく共有し、高度なフィルタリングを実現して、ネットワークの負荷軽減及びセキュリティの向上を図ったネットワークシステムを提供することを目的とする。

本発明では上記課題を解決するために、複数の中継装置を有するネットワークシステムにおいて、前記中継装置が、第１の他の中継装置から送信されたフィルタリング情報に宛先アドレスが含まれるときに、該宛先アドレス宛のデータ受信時に該アドレス宛のデータの出力に用いられるポートと、該フィルタリング情報を受信したポートとが一致するか否かを判定する判定手段と、前記判定手段において、前記宛先アドレス宛のデータ受信時に該アドレス宛のデータの出力に用いられる宛先アドレスの中継ポートと、前記フィルタリング情報を受信したポートとが一致し、かつ前記宛先アドレスの中継ポートが１つのみの場合には、受信した前記フィルタリング情報を、自装置に登録し、かつ、第２の他の中継装置に中継するフィルタリング情報共有制御部と、前記フィルタリング情報共有制御部により自装置に登録されたフィルタリング情報にもとづいて、フィルタリングを行うフィルタリング部と、を有することを特徴とするネットワークシステムが提供される。

ここで、判定手段は、中継装置が、第１の他の中継装置から送信されたフィルタリング情報に宛先アドレスが含まれるときに、該宛先アドレス宛のデータ受信時に該アドレス宛のデータの出力に用いられるポートと、該フィルタリング情報を受信したポートとが一致するか否かを判定する。フィルタリング情報共有制御部は、判定手段において、宛先アドレス宛のデータ受信時に該アドレス宛のデータの出力に用いられる宛先アドレスの中継ポートと、フィルタリング情報を受信したポートとが一致し、かつ宛先アドレスの中継ポートが１つのみの場合には、受信したフィルタリング情報を、自装置に登録し、かつ、第２の他の中継装置に中継する。フィルタリング部は、フィルタリング情報共有制御部により自装置に登録されたフィルタリング情報にもとづいて、フィルタリングを行う。

本発明のネットワークシステムは、フィルタリング情報の共有化を図る際に、フィルタリング情報に宛先アドレスがあり、宛先アドレスの中継先ポートとフィルタリング情報を受信したポートとが一致し、かつ宛先アドレスの中継先ポートが１つのみの場合には、フィルタリング情報を自装置に登録して隣接装置に中継し、フィルタリング情報に宛先アドレスの情報がない場合には、フィルタリング情報の受信ポートを宛先ポートとして自装置に登録し、フィルタリング情報を隣接装置に中継しない構成とした。これにより、フィルタリング情報をネットワーク全体で効率よく共有し、高度なフィルタリングを実現することができ、ネットワークの負荷軽減及びセキュリティの向上を図ることが可能になる。

以下、本発明の実施の形態を図面を参照して説明する。図１はネットワークシステムの原理図である。ネットワークシステム１は、伝送媒体Ｌ（有線でも無線でもよい）で各構成装置が接続し、中継装置１０−１〜１０−ｎ（総称する場合は、中継装置１０）、端末２０−１〜２０−ｎ、サーバ装置（以下、単にサーバ）３０、ネットワーク監視装置４０、サブネット５−１〜５−ｎから構成され、ネットワーク上でフィルタリングを行ってフレーム（またはパケット、セルなど）を伝送するシステムである。

中継装置１０は、フィルタリング情報共有制御部１１とフィルタリング部１２から構成され、フィルタリング情報共有制御部１１は、コマンド処理部１１ａ−１を含む。
コマンド処理部１１ａ−１は、ネットワーク全体で必要なフィルタリング情報を共有するための、フィルタリング情報を含むコマンドの生成、解析を行う。フィルタリング情報共有制御部１１は、コマンドの解析時、フィルタリング共有条件として、隣接装置から送信されたフィルタリング情報に宛先アドレスがあり、宛先アドレスの中継先ポートとフィルタリング情報を受信したポートとが一致し、かつ宛先アドレスの中継先ポートが１つのみの場合には、フィルタリング情報を自装置に登録して隣接装置にフィルタリング情報を中継するための制御を行う。

また、フィルタリング共有条件として、隣接装置から送信されたフィルタリング情報に宛先アドレスの情報がない場合には、フィルタリング情報の受信ポートを宛先ポートとし、フィルタリング情報を自装置に登録して、そのフィルタリング情報は隣接装置に中継しない制御を行う。フィルタリング部１２は、フィルタリング情報共有制御部１１で決定した制御指示にもとづいて、フィルタリング情報またはユーザへのサービス信号であるフレームの中継または廃棄のフィルタリングを行う。

サーバ３０は、ネットワーク内の端末に対して、特定のサービスを提供する。また、フィルタリング情報共有制御部１１内のコマンド処理部１１ａ−１と、コマンド送信部を有し、サーバ３０のサービスを許可する端末、アクセス許可リスト、自己のアドレス、サービスを提供しているポート番号の少なくとも１つにもとづいて、フィルタリング情報を含むコマンドを生成し、隣接の中継装置にコマンドを流して、サーバ３０へのアクセスに対する、端末のフィルタリング処理をネットワーク全体で実行させることもできる。

ネットワーク監視装置４０は、ネットワーク内の機器の運用監視を行う。また、フィルタリング情報共有制御部１１内のコマンド処理部１１ａ−１と、コマンド送信部を有し、外部から設定した（ユーザによるマニュアル設定等）フィルタリング情報によりコマンドを生成し、隣接の中継装置にコマンドを流して、運用監視対象のネットワーク全体（すなわち、中継装置１０−１〜１０−ｎ）にフィルタリング情報を一括して共有させることができる。

なお、フィルタリング情報共有制御を以降ではFISP(Filtering-Information Sharing Protocol)と呼ぶ。FISPはフィルタリング情報をネットワーク上の装置間でやりとりして共有化するための本発明で開発したプロトコルの呼び名である。

次にFISP機能を実装する中継装置１０の構成について説明する。図２は中継装置１０の構成を示す図である。中継装置１０は、FISP部１１とフィルタリング部１２から構成される。FISP部１１は、FISPのプロトコルの全体の制御を行うところで、FISP処理部１１ａ、テーブル管理部１１ｂから構成される。また、フィルタリング部１２は、フレーム識別部１２ａ、中継処理部１２ｂ、フィルタリング処理部１２ｃ、キュー制御部１２ｄ、スイッチ部１２ｅから構成される。

FISP部１１に対し、テーブル管理部１１ｂは、隣接装置一覧テーブルＴ１、フィルタリングテーブルＴ２、FISPテーブルＴ３のテーブル管理を行う。隣接装置一覧テーブルＴ１は、ネットワーク上での隣接装置の中で、FISPを理解する隣接装置のアドレスと、その隣接装置のルータ番号とを組として保持するテーブルである。フィルタリングテーブルＴ２は、中継装置の持つフィルタリングの設定情報（フレームの中継／廃棄の内容）を登録するテーブルである。FISPテーブルＴ３は、隣接装置から送信された後述のADD ENTRYコマンド及びADD RELATIVE ENTRYコマンド等のコマンド内容を保持するテーブルである。

FISP処理部１１ａは、コマンド処理部１１ａ−１を含み、FISPコマンドを処理（コマンド生成、解析を含む）し、上記のテーブルＴ１〜Ｔ３への登録／削除を行う。
フィルタリング部１２に対し、フレーム識別部１２ａは、ポート＃１〜＃ｎから入力するフレームを受信して、フレームの識別処理を行い、通常の中継装置の持つフレームの識別処理に加え、FISPコマンドを認識した場合は、FISP処理部１１ａへ送信する。中継処理部１２ｂは、識別されたフレームが持つ情報から宛先を決定する（中継処理部１２ｂが、フレーム識別部１２ａの機能を有する構成としてもよい）。

フィルタリング処理部１２ｃは、フレームのフィルタリング処理を行う（図では、フィルタリング処理部１２ｃは中継処理の後段に位置しているが、中継処理部１２ｂの前段に位置してもよい）。

キュー制御部１２ｄは、装置に設定された優先制御を行う。スイッチ部１２ｅは、ポート＃１〜＃ｎの中から中継処理部１２ｂによって決定した宛先ポートを介してフレームを出力する。またはFISP部１１によって生成されたフィルタリング情報（フィルタリング情報を含むコマンド）を該当ポートから出力する。

次にFISPで定義するコマンドについて説明する。中継装置やサーバの起動時またはFISPの機能をＯＮにしたとき、中継装置であれば隣接装置、サーバであればデフォルトゲートウェイ（送信するフレームをルータに転送することによって、そのフレームを宛先まで届けてくれるルータのことをデフォルトゲートウェイと呼ぶ）に指定されている中継装置に対してTCP（Transmission Control Protocol）コネクションが張られる（FISPのTCPポート番号は現在Well-Knownであるポートでなければ何でもよいが、例えば、７３７３とする）。TCPコネクションを張った後は、以下に示す本発明で定義した７種類のコマンドを投げることでフィルタリング情報のやりとりを行う。なお、以降に示すフォーマットのOctet値やコマンド番号等の数値は一例を示すものである。

図３はREGISTRATION、HELLO、SHUTDOWNのコマンドフォーマットを示す図である。REGISTRATIONコマンドＣ１、HELLOコマンドＣ３、SHUTDOWNコマンドＣ４は、いずれも同じフォーマットであり、コマンド番号、ルータ番号で構成される。

REGISTRATIONコマンドＣ１は、自装置でFISP機能が動作開始したことを隣接装置に伝えるために使用され、FISP起動時に最初に投げるコマンドである。コマンド番号とは、コマンドの種別を表すもので、REGISTRATIONコマンドＣ１においては１とする。

ルータ番号とは、中継装置を区別するために付ける番号であり、ネットワーク内で一意となる自装置の番号を記載する（ルータ番号の決定方法は、従来のルーティングプロトコル（例えばＯＳＰＦ（Open Shortest Path First）等）で決められるルータ番号と同一のものを使用するか、または同一方式で決定すればよい）。また、自装置のルータ番号は一度決めたら変更はされない（すなわち、REGISTRATIONコマンドＣ１で通知した値は使いつづける）。

HELLOコマンドＣ３は、自装置のFISP機能が生きていることを示すために定期的に隣接装置に送信されるコマンドである。HELLOのコマンド番号は３とする。また、ルータ番号は自装置のルータ番号を設定する。HELLOコマンドＣ３の送信間隔はデフォルトで３０秒とするが、ネットワーク内で決めた値でもって運用してよい。

SHUTDOWNコマンドＣ４は、自装置のFISP機能がＯＦＦになる時に隣接装置に投げるコマンドである。または、隣接装置からHELLOコマンドＣ３が送られてこない時に、障害が発生したとみなせるその隣接装置を知らせるために他の隣接装置に投げるコマンドである。

SHUTDOWNのコマンド番号は４とする。ルータ番号は、自装置がFISPサービスを停止することを隣接装置に通知する際には、自装置のルータ番号を設定する。または、HELLOコマンドＣ３を送信しない応答のない装置がある場合には、その装置のルータ番号を設定して、障害が発生していると思われる該当装置を他の隣接装置へ通知する（SHUTDOWNコマンドＣ４は、実際は後者の状況で利用されることが多い）。

図４はREGISTRATION REPLYのコマンドフォーマットを示す図である。REGISTRATION REPLYコマンドＣ２は、上述のREGISTRATIONコマンドＣ１を受け取った隣接装置が返す応答コマンドである。REGISTRATION REPLYコマンドのコマンド番号は２とする。また、ルータ番号はREGISTRATIONコマンド中にあったルータ番号をそのまま設定し、隣接ルータ番号はREGISTRATIONコマンドＣ１を受け取った隣接装置が持つルータ番号を設定する。これによって、REGISTRATIONコマンドＣ１を送信した中継装置は、隣接装置のルータ番号を獲得する。

図５はADD ENTRYのコマンドフォーマットを示す図である。ADD ENTRYコマンドＣ５は、FISP機能のメインのコマンドであり、自装置に設定されたフィルタリング情報、もしくは隣接装置から来たフィルタリング情報を転送する際に使用するコマンドである。コマンドフォーマットは、コマンド番号、エントリ種別、フィルタ、ルータ番号、エントリ番号、設定データ数、設定データ長１〜ｎ、設定データ１〜ｎで構成される。ADD ENTRYコマンドＣ５のコマンド番号は５とする。また、その他のフィールド（ｆ１）〜（ｆ７）はそれぞれ以下のように定義する。

（ｆ１）エントリ種別
フィルタリング情報を共有するかどうかを指定するフィールドである。０と１の２種類の値を取る。０ならば送られてきたフィルタリング情報（フォーマット中の設定データｆ７に該当する）を隣接装置に伝えてもよい場合のみ中継するが、フィルタリング情報を共有するためのフィルタリング共有条件に合わない場合は中継しない。１ならばフィルタリング共有条件によらずに必ず隣接装置に中継し登録される（フィルタリング情報の強制共有）。

なお、フィルタリング共有条件とは、フィルタリング情報を隣接の中継装置へ中継して共有させるか否かを決める条件のことである。条件の内容は３つある。１つ目は、送信されたフィルタリング情報に宛先アドレスの情報があって、その宛先アドレスの中継先ポートとフィルタリング情報を受信したポートとが一致して、かつ宛先アドレスの中継先ポートが１つのみあるときで、この場合のみフィルタリング情報を自装置に登録し、さらにフィルタリング情報を隣接装置に中継する。

２つ目は、送信されたフィルタリング情報に宛先アドレスの情報があっても、その宛先アドレスの中継先ポートとフィルタリング情報を受信したポートとが不一致なときで、この場合は自装置に登録せず中継もしない。

３つ目は、送信されたフィルタリング情報に宛先アドレスの情報がないときで、この場合はフィルタリング情報の受信ポートを宛先ポートとして、フィルタリング情報に追加した後に自装置に登録を行い、そのフィルタリング情報を隣接装置に中継しない。

エントリ種別が０の場合は、これら３つの条件を判定して、中継・登録を行うかを決定し、エントリ種別が１の場合は、これら３つの条件に関係なく、強制的に中継・登録を行うものである。なお、フィルタリング共有条件の具体的な例については後述する。

（ｆ２）フィルタ
フレームを廃棄するか中継するかのフィルタリングを指定するフィールドである。０と１の２種類の値を取る。０であればフィルタリング情報と一致するフレームは廃棄とし、１ならばフィルタリング情報と一致するフレームは中継対象とする。

（ｆ３）ルータ番号
自装置にフィルタリング情報が設定され（例えば、オペレータによるマニュアル設定等）、それをADD ENTRYコマンドＣ５を用いて隣接装置に中継する場合には自装置のルータ番号を設定する。また、隣接装置から送られてきたADD ENTRYコマンドＣ５をさらに隣接装置に中継する場合には、受け取ったADD ENTRYコマンドＣ５中のルータ番号と同一の値を設定する。

（ｆ４）エントリ番号
自装置に設定されたフィルタリング情報毎に一意になるようにつけた、フィルタリング情報に対応する番号である。例えば、中継装置Ａにフィルタリング情報として、設定データ１〜３が設定されたら、設定データ１〜３に対応してエントリ番号１をつけるなど。また、隣接装置から送られてきたADD ENTRYコマンドＣ５をさらに隣接装置に中継する場合は、受け取ったADD ENTRYコマンド中のエントリ番号と同一の値を設定する。

なお、エントリ番号は、装置内のみで一意になればよい。例えば、中継装置Ａに対して、設定データ１〜３に対応するエントリ番号が１と設定されている場合に、中継装置Ｂも設定データ１〜３を共有するときは、中継装置Ｂ内で１という番号が一意となるならば、中継装置Ｂはエントリ番号を中継装置Ａと同じ１として設定してよい（異なる装置間に同じエントリ番号が存在しても、ルータ番号とエントリ番号の組み合わせによって識別可能であるから）。

（ｆ５）設定データ数
設定データ１〜ｎのフィルタリング情報に必要とする対象フィールド数を指定する。例えば、フィルタリング情報として、宛先アドレスによって設定される設定データ１と、ポート番号によって設定される設定データ２がある場合は、設定データ数は２となる（すなわち、設定データ１〜ｎのｎの値を設定するということ）。

（ｆ６）設定データ長１〜ｎ
設定データ１〜ｎの長さをOctet単位で指定するフィールドである。図では、設定データ長１〜ｎは、設定データ１〜ｎの対応する設定データフィールドの前段に設けられる構成をとっている。

（ｆ７）設定データ１〜ｎ
フィルタリング情報を設定するフィールドであり、ｎ種類のフィルタリング情報を設定できる。１つの設定データの領域は、さらに図６に示すような複数のフィールドから構成される。

図６は設定データのフィールド・フォーマットを示す図である。設定データｆ７は、以下に示す（ｆ７−１）〜（ｆ７−７）のフィールドを有する。
（ｆ７−１）識別ヘッダ種別
フィルタリング対象とするヘッダ（プロトコル）を指定するフィールドである。対象ヘッダと識別ヘッダ種別値は一意に決まっていればよい。一例を図７に示す。図７はフィルタリング対象ヘッダと識別ヘッダ種別値との対応を示す図である。例えば、ＩＰｖ４のフレームがフィルタリング対象ならば識別ヘッダ種別のフィールドに０ｘ１０００を記載する。

（ｆ７−２）フィールド種別
識別ヘッダ種別で指定したヘッダの中の、どのフィールドがフィルタリングのエントリ対象なのかを指定するフィールドである。ヘッダ種別毎に一意に値が決まっていればよい。一例を図８に示す。図８はフィールド種別の設定値を示す図である。図はＩＰｖ４のフィールド種別に対応する設定値例を示している。例えば、宛先アドレス（Destination Address）を見てフィルタリングをするのであれば、フィールド種別値を１２とする。

（ｆ７−３）データ種別
フィルタリングのエントリ対象が、宛先アドレスかそれ以外かを示すフィールドである。１ならば宛先アドレスであることを指し、０ならばそれ以外のフィールドのデータがフィルタリングエントリ対象であることを指す。FISPは宛先アドレスが指定してある時のみ下流に遡ってフィルタリング情報を設定することから、フィルタリング情報の他への中継可否を決定するために使用する。宛先アドレスに対してこのような特別な扱いをする理由については図９で後述する。

（ｆ７−４）データOctet長
識別ヘッダ種別、フィールド種別で指定したフィールドの長さ（Octet長）を指定するフィールドである。例えば、識別ヘッダ種別で０ｘ１０００、フィールド種別で宛先アドレスが指定されたら、ＩＰｖ４の宛先アドレスのフィールド長をOctet（４である）で指定する。

（ｆ７−５）データbit長
識別ヘッダ種別、フィールド種別で指定したフィールドの長さ（bit長）を指定する。データbit長は、フィルタリングのエントリ対象である指定フィールドがOctet単位にならない場合、以降のフィールド値、マスク値のフィールドのパディング部分を決定する際に使用する。

例えば、ＩＰｖ６のFlow Labelは２０bitのフィールドであるため、Octet単位にはならない。このような場合は、データOctet長は３、データbit長は２０となり、フィールド値ｆ７−６に右詰でFlow Labelの値を記載して、フィールド値ｆ７−６の左側のパディングが４bitとなる。

（ｆ７−６）フィールド値
データOctet長で指定されたOctet数のフィールドに、指定したフィールドのフィルタリング条件を右詰めで入れる。余りはパディングとなる。

（ｆ７−７）マスク値
データOctet長で指定されたOctet数のフィールドに、指定したフィールドのマスク条件を右詰めで入れる。マスクとは、指定フィールドの一部分だけがフィルタリング条件対象であり、残りの部分はdon't careであるような条件指定をする際の有効／無効を示すものである。bit毎に０ならば無効、１ならば有効を指す。マスク値の使用例については図１０で後述する。

図９はフィルタリング情報の中継・登録動作を説明するための図である。ネットワーク１００は、サーバ１０１、中継装置１１１〜１１５、端末１２１〜１２５で構成される（サブネットは省略）。装置間の接続関係を記すと、中継装置１１１〜１１５はそれぞれ端末１２１〜１２５と接続する。中継装置１１１はサーバ１０１、中継装置１１２、１１３と接続する。さらに中継装置１１３は中継装置１１４と接続し、中継装置１１４は中継装置１１５と接続する。

最初に宛先アドレスを含むフィルタリング情報の中継・登録動作について説明する。ネットワーク１００の構成において、中継装置１１３に対して、マニュアル設定等でサーバ１０１宛のフレームは廃棄する旨のフィルタリング情報（フィルタリング情報Ａとする）を設定したとする。フィルタリング情報Ａは、データ種別ｆ７−３のフィールドに１が記されて、フィールド値ｆ７−６に宛先アドレスとしてサーバ１０１のアドレスが記されているものである。

ここで、中継装置１１３にこのような設定を行った意図は、中継装置１１３を含めこれより下流に位置する装置からサーバ１０１宛に向かうフレームをすべて廃棄したいということであるから、中継装置１１３にマニュアル設定した後の中継装置間によるフィルタリング情報Ａの中継動作においては、中継装置１１３に登録されたフィルタリング情報Ａは、中継装置１１４、１１５に中継・登録され、中継装置１１１、１１２には登録されないことが必要である。

もし、中継装置１１１、１１２にも中継・登録が行われると、すべての端末１２１〜１２５からサーバ１０１へのアクセスが不可能となってしまうからである（なお、フィルタリング情報Ａがマニュアル設定された中継装置１１３は、隣接に位置する中継装置１１１にフィルタリング情報Ａを送信はするが、中継装置１１１ではフィルタリング情報Ａの登録は行われない）。

したがって、宛先アドレスが含まれているフィルタリング情報Ａを受信した中継装置１１４は、自身が中継装置１１３よりも下流にあること（フィルタリング情報Ａを登録すべきこと）、また、宛先アドレスが含まれているフィルタリング情報Ａを受信した中継装置１１１は、自身が中継装置１１３よりも上流にあること（フィルタリング情報Ａは登録しないこと）を判断する必要がある。

判断の仕方として、隣接装置から送信されたフィルタリング情報に宛先アドレスの情報があり（データ種別ｆ７−３が１であり）、フィルタリング情報を受信したポートと、宛先アドレスの中継先ポートとが一致し、かつ宛先アドレスの中継先ポートが１つある場合のみ、フィルタリング情報の自装置への登録を行うものとする。

例えば、中継装置１１４は、ポートＰ４ａでラインＬ１を介して中継装置１１３と接続しているので、フィルタリング情報Ａを受信するポートは、ポートＰ４ａである。また、サーバ１０１の宛先アドレスへ向けて、何らかの情報を中継送信する場合にもポートＰ４ａを使うことになる。

すなわち、フィルタリング情報Ａを受信したポートと宛先アドレスの中継先ポートとはポートＰ４ａで一致し、該当宛先に対する他の中継ポートはないので、フィルタリング情報Ａは中継装置１１４で登録されることになる。中継装置１１５についても同様にして、ポートＰ５ａでフィルタリング情報Ａを受信したポートと宛先アドレスの中継先ポートが一致し、かつ該当宛先に対する中継先ポートも１つなのでフィルタリング情報Ａが登録される。

一方、中継装置１１１について見ると、中継装置１１１は、ポートＰ１ａでラインＬ２を介して中継装置１１３と接続し、ポートＰ１ｂでラインＬ３を介してサーバ１０１と接続している。よって、フィルタリング情報Ａを受信するポートは、ポートＰ１ａである。また、サーバ１０１の宛先アドレスへ向けて、何らかの情報を中継送信する場合にはポートＰ１ｂを使うことになる。すなわち、フィルタリング情報Ａを受信したポートと宛先アドレスの中継先ポートとは、ポートＰ１ａ、Ｐ１ｂであり一致しないので、フィルタリング情報Ａは中継装置１１１で登録されないことになる（登録せず隣接装置への中継も行わない）。このような制御を行うことで、フィルタリング対象とすべきでないフローまでフィルタリングされることを防ぐことが可能になる。なお、ネットワーク内にFISP機能を実装していない装置があっても、実装している装置間のみでフィルタリング情報を共有するものである。

次に宛先アドレスを含まないフィルタリング情報の中継・登録動作について説明する。中継装置１１３に対して、TCPのポート番号８０のフレームは廃棄する旨のフィルタリング情報（フィルタリング情報Ｂとする）を設定したとする。これは、Webアクセスのフレーム廃棄を意味している。

ここで、中継装置１１３にこのような設定を行った意図は、中継装置１１３を通過するWebアクセスのフレームを廃棄するということであるから、中継装置１１３−端末１２３間のフロー、中継装置１１３−中継装置１１４間のフロー、中継装置１１１−中継装置１１３間のフローにおいて、Webアクセスのフレームが中継装置１１３で廃棄されればよいことになる。ここで、サーバ１０１がWebサーバであって、もし、中継装置１１１にもフィルタリング情報Ｂの中継・登録が行われてしまうと、サーバ１０１には何もアクセスされなくなってしまう。

したがって、最初にマニュアル設定等で１つの中継装置に宛先アドレスを含まないフィルタリング情報を設定すると、その中継装置はフィルタリング情報を隣接装置に送信する。そして、宛先アドレスの情報が含まれていないフィルタリング情報（データ種別ｆ７−３が０のフィルタリング情報）を中継受信した中継装置は、フィルタリング情報を受信したポートを宛先ポートとして自装置に登録し、宛先ポートから廃棄対象のフレームを出力させない制御を行い（フィルタリング条件が廃棄の場合）、かつそのフィルタリング情報は隣接装置に中継しないようにする。

例えば、中継装置１１３にフィルタリング情報Ｂをマニュアル設定すると、中継装置１１３は、隣接の中継装置１１４、１１１にフィルタリング情報Ｂを送信する。中継装置１１４は、中継されたフィルタリング情報Ｂに宛先アドレスがないことを認識すると、フィルタリング情報Ｂを受信した受信ポートＰ４ａを宛先ポートとして登録し、宛先ポートとなったポートＰ４ａからWebアクセスフレームの出力を停止する。同様に中継装置１１１は、中継されたフィルタリング情報Ｂに宛先アドレスがないことを認識すると、フィルタリング情報Ｂを受信した受信ポートＰ１ａを宛先ポートとして登録し、宛先ポートとなったポートＰ１ａからWebアクセスフレームの出力を停止する（例えば、中継装置１１５にWebサーバが接続していたとすると、このWebサーバへのアクセスフレームの出力が停止する）。

したがって、中継装置１１３は、端末１２３からのWebアクセスフレームを廃棄し、中継装置１１１、１１４からはWebアクセスフレームが中継装置１１３へ送信されなくなる（中継装置１１１、１１４からのWebアクセスフレームを中継装置１１３で廃棄するのではなく、中継装置１１１、１１４で出力させないようにしたので、中継装置１１３−中継装置１１４間のフロー及び中継装置１１１−中継装置１１３間のフローのトラフィック負荷の軽減を図ることができる）。

次にマスク値の使用例について説明する。図１０はマスク値の使用例を説明するための図である。サブネット５−３に中継装置１１６、端末１２６、サーバ１０２が接続している。サブネット５−３のアドレス（ＩＰアドレス）が、１０．１１．１２．○○（○○は任意の値）であり、サーバ１０２のアドレスを１０．１１．１２．１３、中継装置１１６のアドレスを１０．１１．１２．１４、端末１２６のアドレスを１０．１１．１２．１５とする。

サーバ１０２宛のフレームをフィルタリングしたい場合には、フィルタリング情報のフィールド値ｆ７−６に、サーバ１０２の宛先アドレス１０．１１．１２．１３を記載し、１０．１１．１２．１３はすべての値が有効であることを示すため、マスク値ｆ７−７にはall“１”を設定する。

また、サブネット５−３に接続するすべての装置に対してフィルタリングを行う場合には、フィルタリング情報のフィールド値ｆ７−６に、サーバ１０２の宛先アドレス１０．１１．１２．○○を記載し、１０．１１．１２．の値が有効、○○に該当する下位８bitは無効であることを示すため、マスク値ｆ７−７には１０．１１．１２．に該当する上位２４bitに１を立て、下位８bitに０を設定する。

ここで、もし、マスク値ｆ７−７のようなフィールドがないとすると、サブネット５−３に接続するすべての装置をフィルタリング対象としたい場合、サブネット５−３には１０．１１．１２．○○の、○○に該当する下位８bitの２５６台の装置（２５６通りのアドレスが割り当てできる）が接続可能であるため、最大２５６個のフィルタリング情報を生成しなければならなくなるが、フィールド値ｆ７−６の有効／無効を示すマスク値をフィールド情報内に設けることで、効率よくフィルタリング対象の装置を設定することが可能になる。

次にコマンドの説明に戻って、残りのADD RELATIVE ENTRYとREMOVE ENTRYについて説明する。図１１はADD RELATIVE ENTRYのコマンドフォーマットを示す図である。ADD RELATIVE ENTRYコマンドＣ６は、ADD ENTRYコマンドＣ５と同じくフィルタリング情報を指定する際に使用するコマンドである。

フィルタリングポリシーは中継装置毎に異なるため、フィルタリング設定条件にあてはまらないフレームはすべて廃棄するのか、すべて中継するのかは一意に決まっていない（すなわち、ネットワーク内に配置された中継装置に対して、フィルタリング情報の設定がなされなければ、すべてのフレームを通過させるとデフォルト指定されている装置もあれば、すべてのフレームを廃棄するとデフォルト指定されている装置もあるということ）。そのため、あるフィルタリング条件のみ廃棄指定をする場合は、それ以外の条件では中継する設定を別途指定する必要があり、ADD RELATIVE ENTRYはそのために使用するコマンドである。

例えば、フィルタリング情報が設定されていない場合は、すべてのフレームを通過させるデフォルト指定がなされている中継装置Ｒ１があるとする。このような中継装置Ｒ１に、ADD ENTRYコマンドＣ５を使って、“サーバ１宛のフレームだけを通過させる”といったフィルタリング情報を設定したとしても何ら意味はない（中継装置Ｒ１はすべてのフレームを通過させるとデフォルト時に指定されているのだから）。

“サーバ１宛のフレームだけを通過させる”ということは、“サーバ１宛以外のフレームは廃棄させる”という意味を持つから、中継装置Ｒ１のようなデフォルト指定がされている装置には、“サーバ１宛以外のフレームは廃棄させる”というフィルタリング情報が必要である。この“サーバ１宛以外のフレームは廃棄させる”というフィルタリング情報を設定する際に、ADD RELATIVE ENTRYコマンドＣ６を用いることになる。

図１２はADD RELATIVE ENTRYコマンドの使用例を説明するための図である。ADD ENTRYコマンドＣ５によって、“宛先アドレスＡでTCPポート番号Ｂ宛は廃棄する”というフィルタリング情報Ｆ１の設定を行うものとする。この場合、宛先アドレスＡ以外のフレームを中継させたい場合には、ADD RELATIVE ENTRYコマンドＣ６を使って、“TCPポート番号Ｂ宛のフレームを中継する”というフィルタリング情報Ｆ１ａの設定を行う。

また、フィルタリング情報Ｆ１に対して、TCPポート番号Ｂ宛以外は中継させたい場合には、ADD RELATIVE ENTRYコマンドＣ６を使って、宛先アドレスＡ宛のフレームは中継するというフィルタリング情報Ｆ１ｂの設定を行う。なお、ADD RELATIVE ENTRYのフィルタリング情報は、関連元のADD ENTRYのフィルタリング情報よりも優先度が低くなるように登録時には設定される。

一方、ADD RELATIVE ENTRYコマンドＣ６のコマンド番号は６とする。ADD RELATIVE ENTRYコマンドＣ６の設定フィールドは、ADD ENTRYコマンドＣ５とほぼ同一であり、関連エントリ番号だけが追加されている。関連エントリ番号には、関連元のADD ENTRYコマンドＣ５に付与したエントリ番号を指定して、どのフィルタリング情報に関連しているかを示すようにする。例えば、エントリ番号＝１のADD ENTRYコマンドに関連するADD RELATIVE ENTRYコマンドの関連エントリ番号には、関連エントリ番号＝１が記載される。

図１３はREMOVE ENTRYのコマンドフォーマットを示す図である。REMOVE ENTRYコマンドＣ７は、ADD ENTRYコマンドＣ５及びADD RELATIVE ENTRYコマンドＣ６によって指定したフィルタリング情報を削除する際に使用するコマンドである。中継装置に設定したフィルタリング情報が削除された際に送信される。REMOVE ENTRYコマンドＣ７のコマンド番号は７とする。ルータ番号、エントリ番号は、削除するフィルタリングエントリのルータ番号、エントリ番号を設定する。

次にFISP機能を実装したサーバ／中継装置を含むネットワークシステムの動作について説明する。図１４はネットワークシステムを示す図である。ネットワーク内の装置の接続関係を記すと、サブネット５−１は、サーバ３０、端末２１、中継装置１０−１と接続する。中継装置１０−１は、中継装置１０−２、１０−３と接続する。中継装置１０−２は、中継装置１０−３、１０−４、サブネット５−２と接続し、サブネット５−２は端末２２と接続する。

中継装置１０−３は、中継装置１０−５、サブネット５−３と接続し、サブネット５−３は端末２３と接続する。中継装置１０−４は、サブネット５−４と接続し、サブネット５−４は端末２４と接続する。中継装置１０−５は、中継装置１０−６、サブネット５−５と接続し、サブネット５−５は端末２５と接続する。中継装置１０−６は、サブネット５−６と接続し、サブネット５−６は端末２６と接続する。

ここで、サーバ３０がWebのサーバを起動しており、そのWebサーバの設定にアクセス許可リストがある場合（例えば特定部署のみのアクセスを許すといった設定）を想定する。アクセス許可リストには、サブネット５−３及びサブネット５−４からのアクセスのみ許可を与えるものと設定する。

〔Ｓ１ａ〕サーバ３０は、サブネット５−３からサーバ３０へのアクセスフレームを中継させるためのADD ENTRYコマンドＣ５ａを送信する。ADD ENTRYコマンドＣ５ａには、エントリ種別：０（フィルタリング共有条件で判定した中継・登録）、フィルタ：中継、設定データ１：宛先アドレス（サーバ３０のアドレス、またデータ種別は１となる。以下同様）、設定データ２：送信元アドレス（サブネット５−３）、設定データ３：宛先TCPポート番号８０が設定される。

〔Ｓ１ｂ〕サーバ３０は、サブネット５−４からサーバ３０へのアクセスフレームを中継させるためのADD ENTRYコマンドＣ５ｂを送信する。ADD ENTRYコマンドＣ５ｂには、エントリ種別：０、フィルタ：中継、設定データ１：宛先アドレス（サーバ３０）、設定データ２：送信元アドレス（サブネット５−４）、設定データ３：宛先TCPポート番号８０が設定される。

〔Ｓ１ｃ〕サーバ３０は、サブネット５−３、５−４以外からサーバ３０へアクセスするフレームを廃棄させるためのADD RELATIVE ENTRYコマンドＣ６ａ（ADD RELATIVE ENTRYコマンドＣ６ａのフィルタリング情報は、ADD ENTRYコマンドＣ５ａ、Ｃ５ｂよりも優先度は低い）を送信する。ADD RELATIVE ENTRYコマンドＣ６ａには、エントリ種別：０、フィルタ：廃棄、設定データ１：宛先アドレス（サーバ３０）、またデータ種別は１となる。設定データ２：宛先TCPポート番号８０が設定される。

ここで、サーバ３０のアクセス許可リストは送信元アドレスのみのエントリであるが、ステップＳ１ａ〜Ｓ１ｃのようにFISPのコマンドには、サーバ３０のアドレスを宛先アドレスとして設定する。これにより、フィルタリングを実行させたい中継装置にフィルタリング情報の内容を共有させることができる（宛先アドレスがないと他のサーバ宛のフローまで止めてしまう可能性があるから）。

〔Ｓ２〕中継装置１０−１は、ADD ENTRYコマンドＣ５ａ、Ｃ５ｂ、ADD RELATIVE ENTRYＣ６ａを受信する。コマンド内のエントリ種別が０であるので、フィルタリング共有条件の判定が行われる。この場合、送信されたフィルタリング情報に宛先アドレスがあって、その宛先アドレスの中継先ポートとフィルタリング情報を受信したポートとが一致（ポートＰ１ａ）するので、フィルタリング情報を登録して隣接の装置に中継する。

ADD ENTRYコマンドＣ５ａにより、フィルタ種別：中継、設定データ：宛先アドレス（サーバ３０）、送信元アドレス：サブネット５−３、宛先TCPポート番号：８０、送信ポート番号：Ｐ１ａと登録する。ADD ENTRYコマンドＣ５ｂにより、フィルタ種別：中継、設定データ：宛先アドレス（サーバ３０）、送信元アドレス：サブネット５−４、宛先TCPポート番号：８０、送信ポート番号：Ｐ１ａと登録する。ADD RELATIVE ENTRYコマンドＣ６ａにより、フィルタ種別：廃棄、設定データ：宛先アドレス（サーバ３０）、宛先TCPポート番号：８０、送信ポート番号：Ｐ１ａと登録する。なお、ADD RELATIVE ENTRYコマンドＣ６ａの登録内容は、ADD ENTRYコマンドＣ５ａ、Ｃ５ｂより優先度が低く設定される。

〔Ｓ３〕中継装置１０−１は、ADD ENTRYコマンドＣ５ａ、Ｃ５ｂ、ADD RELATIVE ENTRYＣ６ａを隣接の中継装置１０−２、１０−３へ中継する（中継装置１０−１からサーバ３０にもコマンド内容が実際は送信されるが、サーバ３０ではADD ENTRY／ADD RELATIVE ENTRYの受信処理は行わないので、図からは外している）。

〔Ｓ４ａ〕中継装置１０−２は、ADD ENTRYコマンドＣ５ａ、Ｃ５ｂ、ADD RELATIVE ENTRYＣ６ａを受信する。コマンド内のエントリ種別が０であるので、フィルタリング共有条件の判定が行われる。この場合、送信されたフィルタリング情報に宛先アドレスがあって、その宛先アドレスの中継先ポートとフィルタリング情報を受信したポートとが一致（ポートＰ２ａ）するので、フィルタリング情報を登録して隣接の装置に中継する。

ADD ENTRYコマンドＣ５ａにより、フィルタ種別：中継、設定データ：宛先アドレス（サーバ１）、送信元アドレス：サブネット５−３、宛先TCPポート番号：８０、送信ポート番号：Ｐ２ａと登録する。ADD ENTRYコマンドＣ５ｂにより、フィルタ種別：中継、設定データ：宛先アドレス（サーバ３０）、送信元アドレス：サブネット５−４、宛先TCPポート番号：８０、送信ポート番号：Ｐ２ａと登録する。ADD RELATIVE ENTRYコマンドＣ６ａにより、フィルタ種別：廃棄、設定データ：宛先アドレス（サーバ３０）、宛先TCPポート番号：８０、送信ポート番号：Ｐ２ａと登録する。

〔Ｓ４ｂ〕中継装置１０−３は、ADD ENTRYコマンドＣ５ａ、Ｃ５ｂ、ADD RELATIVE ENTRYＣ６ａを受信する。コマンド内のエントリ種別が０であるので、フィルタリング共有条件の判定が行われる。この場合、送信されたフィルタリング情報に宛先アドレスがあって、その宛先アドレスの中継先ポートとフィルタリング情報を受信したポートとが一致（ポートＰ３ａ）するので、フィルタリング情報を登録して隣接の装置に中継する。

ADD ENTRYコマンドＣ５ａにより、フィルタ種別：中継、設定データ：宛先アドレス（サーバ３０）、送信元アドレス：サブネット５−３、宛先TCPポート番号：８０、送信ポート番号：Ｐ３ａと登録する。ADD ENTRYコマンドＣ５ｂにより、フィルタ種別：中継、設定データ：宛先アドレス（サーバ３０）、送信元アドレス：サブネット５−４、宛先TCPポート番号：８０、送信ポート番号：Ｐ３ａと登録する。ADD RELATIVE ENTRYコマンドＣ６ａにより、フィルタ種別：廃棄、設定データ：宛先アドレス（サーバ３０）、宛先TCPポート番号：８０、送信ポート番号：Ｐ３ａと登録する。

〔Ｓ５〕中継装置１０−２は中継装置１０−４へ、中継装置１０−３は中継装置１０−５へ、ADD ENTRYコマンドＣ５ａ、Ｃ５ｂ、ADD RELATIVE ENTRYＣ６ａを中継する（中継装置１０−２と中継装置１０−３間でも実際は中継が行われるが、すでに同一のコマンドを受信しているため、中継装置１０−２、１０−３では何も処理されずに終了する）。

以降、中継装置１０−４〜１０−６においても同様の処理が行われ、結果として全中継装置にサーバ３０宛、送信元アドレスはサブネット５−３もしくはサブネット５−４、TCPのポート番号８０のフレームが中継対象として登録され、それ以外の送信元アドレスを持つフレームで、かつサーバ３０宛、TCPポート番号８０のフレームが廃棄対象として登録されることとなる。

したがって、サブネット５−３、５−４以外の端末からは、隣接する中継装置において即座に廃棄されるため（例えば、端末２２からサーバ３０へWebアクセスしようとしても、中継装置１０−２内のフィルタリング登録内容により、即座に廃棄される）、ネットワークに負荷がかからず、またサーバ３０内でソフトウェア処理をしているアクセス制限処理に負荷がかかることもない。

このように、従来のサーバでは、サーバのアプリケーション上で、フィルタリング設定していたため、ＤＯＳ攻撃など受けると、途中のネットワークリソースに被害を与えることになっていたが、サーバがFISPコマンドを中継装置に投げて、ネットワーク全体でフィルタリングする構成としたので、サーバに対する不当アクセスがあっても途中の中継装置ですべて廃棄されるので、ネットワークリソースが無駄に消費され、他の通信を止めてしまうといった問題を解決することが可能になる。

なお、上記の動作では、サーバ３０へのアクセス許可は必ず中継対象としてADD ENTRYコマンドで送信し、それ以外は必ず廃棄となるようにADD RELATIVE ENTRYコマンドを送信している。ここで、それ以外は廃棄となるコマンドをADD RELATIVE ENTRYとしたのは、廃棄となるエントリの優先度が高く設定されてしまうと、許可リストに関わらず全端末からのアクセスをフィルタリングにて廃棄してしまうからである。ADD RELATIVE ENTRYであれば、ADD ENTRYの内容より必ず低い優先度で引っかかるように登録されるため、サブネット５−３、５−４宛の中継対象エントリが先に引っかかるので、意図した通りの設定がなされることとなる。

次に図１４のサーバ３０をネットワーク監視装置とみなして、FISP機能を搭載したネットワーク監視装置の動作について説明する。今、ネットワーク全体でTCPの宛先ポート１３５番は使用しないので、すべてフィルタリングにより廃棄と設定したい場合を考える。

従来ならば全中継装置にマニュアル設定等を必要とするため、ネットワークが複雑になると設定も大変であるが、FISPを実装したネットワーク監視装置では、宛先TCPポート１３５番を廃棄とするADD ENTRYコマンドを、エントリ種別を１（強制共有）に設定して隣接装置に送信する。また、TCPポート１３５番以外は中継対象とするために、エントリ条件なしのADD RELATIVE ENTRYコマンドを、エントリ種別を１に設定して隣接装置に送信する。これらのコマンドはネットワーク全体に中継される。これにより、全中継装置において、宛先TCPポート１３５番のフレームは廃棄されることとなり、ネットワーク全体でフィルタリング情報が共有されることとなる。

次に装置固有のフィルタリング情報が中継装置に設定されたときの動作について説明する。図１５は装置固有のフィルタリング情報が中継装置に設定されたときの動作を説明するための図である。ネットワーク内の装置の接続関係を記すと、サブネット５−１は、サーバ３０−１と中継装置１０−１と接続する。中継装置１０−１は、中継装置１０−２、１０−３と接続する。サブネット５−２は、中継装置１０−３と端末２２と接続し、サブネット５−３は、中継装置１０−４と端末２３と接続する。サブネット５−４は、中継装置１０−２とサーバ３０−２と接続する。

ここで、中継装置１０−２において、マニュアル設定により、TCPの宛先ポート番号８０で、かつ送信先の物理ポートがＰ２ａのフレームを廃棄とする設定がなされた場合を考える。

中継装置１０−２では、このようなフィルタリングのエントリ登録は可能だが、送信先ポートＰ２ａというのは中継装置１０−２固有の情報であり、この情報は隣接装置で共有しても意味を持たないため登録の必要性がない。そのため、この場合は中継装置１０−２内部での設定のみに留め、隣接装置へフィルタリング情報を送信しない。

なお、設定された情報が装置固有か否かの判断は、あらかじめ装置固有情報をFISP処理部１１ａ内のメモリに設定しておき、外部から設定された入力情報が、格納済みの装置固有情報と一致するならば、入力情報は装置固有のものと判断して、登録は自装置内に留め、隣接装置には中継しないようにする。このように、装置固有のフィルタリング情報については中継しないことで、無駄なフィルタリング情報を流すことを防ぐことが可能になる。

次に詳細な動作（FISP部１１の動作）についてフローチャートを用いて説明する。図１６はFISP起動時の動作を示すフローチャートである。FISP機能を持つ装置は、起動時またはFISP機能がONとなった時に以下のフローを実行する。

〔Ｓ１１〕自装置（中継装置／サーバ共に）のルータ番号を決定する。
〔Ｓ１２〕自装置が中継装置であればすべての隣接装置、サーバであればデフォルトゲートウェイに指定されたアドレスに対してＴＣＰコネクションを張る（ポート番号：７３７３）。

〔Ｓ１３〕コネクションを張ったすべての隣接装置に対し、REGISTRATIONコマンドＣ１を発行する。
〔Ｓ１４〕REGISTRATION REPLYコマンドＣ２が来た隣接装置のアドレス及び隣接ルータ番号を、隣接装置一覧テーブルＴ１に登録する。

上記のように、FISP起動時には、自装置から隣接装置への情報通知及び隣接装置からの情報獲得を行っている。また、隣接装置一覧テーブルＴ１は、ネットワーク上での隣接装置の中で、FISPを理解する隣接装置とそのルータ番号を組として保持するテーブルであり、FISPコマンドの中継に利用する。

図１７はREGISTRATIONコマンドＣ１受信時の動作を示すフローチャートである。REGISTRATIONコマンドＣ１により、隣接装置一覧テーブルＴ１の更新が行われる。
〔Ｓ２１〕REGISTRATIONコマンドＣ１が来たら、コマンド内に記されている隣接装置のアドレス及びルータ番号を、隣接装置一覧テーブルＴ１に追加する。

〔Ｓ２２〕REGISTRATION REPLYコマンドＣ２を作成する。ルータ番号は、受信したREGISTRATIONコマンドＣ１のルータ番号を設定し、隣接ルータ番号には自装置のルータ番号を設定する。

〔Ｓ２３〕作成したREGISTRATION REPLYコマンドＣ２を、REGISTRATIONコマンドＣ１の送信元に送り返す。
図１８、図１９はADD ENTRYコマンドＣ５／ADD RELATIVE ENTRYコマンドＣ６の受信時の動作を示すフローチャートである。外部からのマニュアル設定等によりフィルタリング情報が設定された装置は、設定された情報にもとづいて、ADD ENTRYコマンドＣ５やADD RELATIVE ENTRYコマンドＣ６を生成して、隣接装置へ送信する。ADD ENTRY／ADD RELATIVE ENTRYコマンドＣ５、Ｃ６（以下、単にコマンドＣ５、Ｃ６とも表記する）を受信した装置は以下のフローを実行する。

〔Ｓ３１〕ADD ENTRY／ADD RELATIVE ENTRYコマンドＣ５、Ｃ６内にあるルータ番号、エントリ番号と同一のルータ番号、エントリ番号を持つエントリがフィルタリングテーブルＴ２内にあるか否かを判断する。あれば終了し（ここでの処理は、ルータ番号とエントリ番号による重複チェックを行うことで重複登録を回避している。すなわち、すでに同じ内容のADD ENTRY／ADD RELATIVE ENTRYコマンドＣ５、Ｃ６を受信していたら、そのコマンドを捨てる動作を示している）、なければステップＳ３２へいく。

また、このとき（重複受信でないとき）、FISPテーブルＴ３に、受信したコマンドＣ５、Ｃ６の内容をそのまま保存する。FISPテーブルＴ３は、「コマンド」、「隣接中継フラグ」、「フィルタリングテーブル登録フラグ」の項目から構成される。

「コマンド」には、受信したADD ENTRY／ADD RELATIVE ENTRYコマンドＣ５、Ｃ６などの中継コマンドの内容をそのまま設定する（中継する必要がないコマンドは保持しない）。「隣接中継フラグ」には、受信したコマンドＣ５、Ｃ６を隣接装置に中継した場合は１を、隣接装置に中継しなかった場合は０を設定し、エントリの削除時にその内容を中継するかどうかを判断するために使用する（隣接装置への中継を行ってよいコマンドのみ中継対象とする機能を実現している）。

「フィルタリングテーブル登録フラグ」には、受信したコマンドＣ５、Ｃ６を実際に装置に登録したかどうか（すなわち、フィルタリングテーブルＴ２に登録したかどうか）を示すフラグを設定する欄で、０ならフィルタリング機能の不備等で登録できなかったことを示し、１なら登録したことを示す。エントリの削除時にフィルタリングテーブルＴ２まで削除する必要があるかどうかを判断するために使用する（中継装置のもつフィルタリングの機能不備によって登録できない場合は中継処理のみ行う機能を実現している）。

〔Ｓ３２〕ADD ENTRY／ADD RELATIVE ENTRYコマンドＣ５、Ｃ６内の各フィルタリング対象フィールドを取り出す。
〔Ｓ３３〕ADD ENTRY／ADD RELATIVE ENTRYコマンドＣ５、Ｃ６内のエントリ種別が１（強制共有）か否かを判断する。強制共有ならステップＳ３４へ、そうでなければステップＳ４０へいく。

〔Ｓ３４〕取り出した各フィルタリングフィールド条件で、フィルタリングテーブルＴ２にエントリを追加する。なお、ADD RELATIVE ENTRYコマンドＣ６の場合は、ADD ENTRYコマンドＣ５によって登録されたフィルタリングテーブルＴ２のどのエントリよりも優先度が低くなるように登録する。

〔Ｓ３５〕登録できたか否かを判断する。登録できなければステップＳ３６へ、登録できればステップＳ３７へいく。
〔Ｓ３６〕フィルタリングテーブル登録フラグを０に設定する。ステップＳ３８へいく。

〔Ｓ３７〕フィルタリングテーブル登録フラグを１に設定する。
〔Ｓ３８〕隣接装置一覧テーブルＴ１にあるすべての隣接装置に対し、受信したコマンドをそのまま中継する。

〔Ｓ３９〕中継されたコマンドを受信した装置は、そのコマンドをFISPテーブルＴ３に登録する（隣接中継フラグは１、フィルタリングテーブル登録フラグは設定値をそのまま設定）。

〔Ｓ４０〕設定データフィールド内のデータ種別に、１（宛先アドレスあり）の設定がされているか否かを判断する。設定がされていなければステップＳ４１へ、設定されていればステップＳ４５へいく。

〔Ｓ４１〕取り出した各フィルタリングフィールド及び受信ポートを宛先ポートした、その宛先ポートの番号宛の条件で、フィルタリングテーブルＴ２にエントリを追加する。なお、ADD RELATIVE ENTRYコマンドＣ６の場合は、ADD ENTRYコマンドＣ５によって登録されたフィルタリングテーブルＴ２のどのエントリよりも優先度が低くなるように登録する。

〔Ｓ４２〕登録できたか否かを判断する。登録できなければステップＳ４３へ、登録できればステップＳ４４へいく。
〔Ｓ４３〕フィルタリングテーブル登録フラグを０に設定する。ステップＳ５２へいく。

〔Ｓ４４〕フィルタリングテーブル登録フラグを１に設定する。ステップＳ５２へいく。
〔Ｓ４５〕設定されている宛先アドレスのフィールドを取り出し、そのアドレスに対する宛先ポートを求める。（宛先アドレスへ向けてフレームを出力する際に使用するポート番号を求める）。なお、宛先アドレスがネットワークアドレスである場合は、該当する宛先ポートすべてを求める。

〔Ｓ４６〕ステップＳ４５で求めたポート群の中にコマンドＣ５、Ｃ６を受信した受信ポートがあるか否かを判断する。なければ終了し（自装置は上流に位置することになるから）、あればステップＳ４７へいく。

〔Ｓ４７〕取り出した各フィルタリングフィールド及び宛先アドレスの中継先ポート番号宛の条件で、フィルタリングテーブルＴ２にエントリを追加する。なお、ADD RELATIVE ENTRYコマンドＣ６の場合は、ADD ENTRYコマンドＣ５によって登録されたフィルタリングテーブルＴ２のどのエントリよりも優先度が低くなるように登録する。

〔Ｓ４８〕登録できたか否かを判断する。登録できなければステップＳ４９へ、登録できればステップＳ５０へいく。
〔Ｓ４９〕フィルタリングテーブル登録フラグを０に設定する。ステップＳ５１へいく。

〔Ｓ５０〕フィルタリングテーブル登録フラグを１に設定する。
〔Ｓ５１〕ステップＳ４５で求めたポート群は１つのポートであったか否かを判断する。１つならばステップＳ３８へいき、１つでなければステップＳ５２へいく。

〔Ｓ５２〕受信したコマンドをFISPテーブルＴ３に登録する（隣接中継フラグは０、フィルタリングテーブル登録フラグは設定値をそのまま設定）。
ここで、図１８、図１９で示した動作フローの概念についてまとめて説明する。フィルタリング情報の共有を行う際は、フィルタリングの情報をどこまで共有すればよいかが重要となる。ある装置において、特定の送信元アドレスのフレームはすべて廃棄とするフィルタリング設定を行った場合、その装置を通る該当フレームは設定通り廃棄するのは当然だが、その装置を通らない該当フレームは当然廃棄してはいけない。

FISPではフィルタリング情報を共有するが、送られてきた情報をそのまま設定してしまうと、特定の送信元アドレスのフレームは全中継装置で廃棄対象となってしまう。このため、コマンド中に宛先アドレス情報がない場合は、コマンドの送信元である隣接装置（設定が行われた装置）宛に中継されるフレームで、かつ設定されたフィルタリング情報に一致するフレームのみフィルタリング対象可能になるため、送信先のポート情報を追加してフィルタリングに登録している（ステップＳ４１）。

また、中継装置は受信したフレームがどの隣接装置に投げるかといった情報は獲得できるが、次の次の中継装置が何になるかの情報は通常持っていないため、受信したフィルタリング情報をさらに次の隣接装置に送ってしまうと、それを受信した隣接装置は登録してよいのかどうかの判断ができない。

そのため、送信先のアドレス情報がない場合は、指定がない限り隣接装置には中継しないようにすることで、フィルタリング対象としてはいけないフローまでを対象としてしまう問題を回避している（ステップＳ４２〜Ｓ４４において、登録をして中継はしていない）。

さらに、コマンド中に宛先アドレスがある場合は、隣接装置がその宛先アドレスの送信する隣接装置がコマンドを受信したポートと同一になるかどうかを調べることで、設定が行われた装置を通るかどうかが判別できるため、その一致性によってフィルタリングテーブルＴ２への登録可否を決定している（ステップＳ４６）。

また、自装置においてフィルタリングテーブルＴ２に登録したということは、さらに次の隣接装置にコマンド内容を通知しても同一の処理で設定が行われた装置を通るかどうかが判別可能となるため、フィルタリングテーブルＴ２に登録できた場合は基本的に隣接装置への中継対象となるが、コマンド中の宛先アドレス（宛先ネットワーク）のポートが複数あるかどうかを調べ、複数ある場合は隣接装置への中継対象としていない（ステップＳ５１、Ｓ５２）。

これは、フィルタリングの設定アドレスに、コマンドを受信したポート以外の宛先も含まれているため、その宛先へのフレームをフィルタリング対象としないためである。
このことを図１５のネットワークを用いて説明する。中継装置１０−１を通るサブネット５−１及びサブネット５−４宛のフレームを廃棄とする設定を行うために、中継装置１０−１に宛先アドレス10.1/16のフレームは廃棄するといった設定がなされた場合を考える。

中継装置１０−１はADD ENTRY／ADD RELATIVE ENTRYによって中継装置１０−２に10.1/16宛のフレームを廃棄するといった情報を送り、それを受信した中継装置１０−２は10.1/16 宛でかつ送信ポートがＰ２ａであるフレームを廃棄とするようにフィルタリングテーブルに登録する。

ここで、中継装置１０−２が本情報を中継装置１０−４にまで中継すると、中継装置１０−４も同様に10.1/16宛でかつ送信ポートＰ４ａであるフレームを廃棄する設定が行われてしまう。

そのため、端末２３からサーバ３０−２への通信は中継装置１０−１を通らないにも関わらず、フィルタリングテーブルに引っかかり廃棄されてしまう。複数ポートの識別をしているのはこれを回避するためであり、実際に動作フローにしたがうと、中継装置１０−２に送られたフィルタリング情報は中継装置１０−２のフィルタリングテーブルに登録されるが、中継装置１０−４には該当情報が中継されない。

そのため、端末２３からサーバ３０−２へのアクセスは中継装置１０−４から中継装置１０−２へ渡り、中継装置１０−２においても送信ポートがＰ２ｂであるためにフィルタリングテーブルに引っかからず中継される。すなわち、中継装置１０−１を通らないフレームまで廃棄されてしまうといった問題を回避することが可能となる。

なお、端末２３からサーバ３０−１へのアクセスは中継装置１０−１を通るため、中継装置１０−２のフィルタリングテーブルに引っかかり、設定どおり正しく廃棄される（中継装置１０−１まで中継せず、手前の中継装置１０−２で廃棄できているため、ネットワークに余分な負荷もかけていない）。

図２０はREMOVE ENTRYコマンドＣ７の受信時の動作を示すフローチャートである。REMOVE ENTRYコマンドＣ７は、設定していたフィルタリング情報を消した場合にその中継装置によって作成され、隣接装置に送信される。

〔Ｓ６１〕REMOVE ENTRYコマンドＣ７内のルータ番号とエントリ番号を獲得する。
〔Ｓ６２〕獲得したルータ番号及びエントリ番号と同一のルータ番号、エントリ番号を持つFISPテーブルＴ３のエントリを検索する。

〔Ｓ６３〕エントリがある宛先アドレスを判断する。あればステップＳ６４へなければ終了する。
〔Ｓ６４〕検索したFISPテーブルＴ３のエントリを削除する。

〔Ｓ６５〕削除したエントリのフィルタリングテーブル登録フラグが１か判断する。１ならステップＳ６６へ、０ならステップＳ６７へいく。
〔Ｓ６６〕フィルタリングテーブルＴ２から削除したエントリに対応したフィルタリングエントリを削除する。

〔Ｓ６７〕削除したエントリの隣接中継フラグは１か判断する。１ならステップＳ６８へ、０なら終了する。
〔Ｓ６８〕隣接装置一覧テーブルＴ１にあるすべての隣接装置に対し、受信したコマンドをそのまま中継する。

このように、REMOVE ENTRYコマンドＣ７を受信した時は、コマンド毎に一意に決まっているルータ番号、エントリ番号が送られてくるので、その内容で検索してFISPテーブルＴ３から削除している。また、FISPテーブルＴ３にはフィルタリングテーブル登録フラグ、隣接中継フラグの情報もあるので、送られてきた番号に対応するコマンドに対し、フィルタリングテーブルＴ２からの削除が必要かどうか、受け取った情報の中継が必要かどうかを判断している。

図２１はFISP起動中に定常的に行われる動作を示すフローチャートである。隣接装置の生死確認を行うためのHELLOコマンドＣ３の動作を示している。
〔Ｓ７１〕HELLOコマンドＣ３が来たか判断する。来たらステップＳ７２へ、来なければステップＳ７３へいく。

〔Ｓ７２〕HELLOコマンドＣ３中のルータ番号と同一のルータ番号を隣接装置一覧テーブルＴ１から探し、そのアドレスに対するHELLOコマンドＣ３未到着時間を０にする。
〔Ｓ７３〕隣接装置一覧テーブルＴ１中のアドレスすべてに対し、HELLOコマンドＣ３未到着時間を計算する。

〔Ｓ７４〕一定時間以上HELLOコマンドＣ３が来ていない隣接装置があるか判断する。あればステップＳ７５へ、なければステップＳ７１へ戻る。
〔Ｓ７５〕隣接装置一覧テーブルＴ１から、その隣接装置のエントリを削除する。

〔Ｓ７６〕削除したエントリのルータ番号を、SHUTDOWNコマンドＣ４のルータ番号フィールドに設定し、SHUTDOWNコマンドＣ４を隣接装置一覧テーブルＴ１にあるアドレスすべてに送信する。

〔Ｓ７７〕SHUTDOWN処理が行われる（図２２を参照）。ステップＳ７１へ戻る。
ここで、HELLOコマンドＣ３の送信間隔時間は、デフォルト時に３０秒と定義するが、ネットワークで一意に決まっていれば、任意に変更してもよい。また、上記の動作フローでは、すべての隣接装置に対し、HELLOコマンドＣ３の未到着時間を計算し、一定時間以上HELLOコマンドＣ３が来なかったら隣接装置が停止したと判断し、その隣接装置のルータ番号を使ってSHUTDOWNコマンドＣ４を送信するようにしている。

図２２はSHUTDOWNコマンドＣ４の受信時、または隣接装置の停止を認識した時の動作を示すフローチャートである。
〔Ｓ８１〕SHUTDOWNコマンドＣ４中のルータ番号を対象ルータ番号とする。

〔Ｓ８２〕対象ルータ番号と同一のルータ番号を持つFISPテーブルＴ３のエントリを検索する。
〔Ｓ８３〕エントリがあるか判断する。あればステップＳ８４へなければステップＳ８７へいく。

〔Ｓ８４〕検索したFISPテーブルＴ３のエントリを削除する。
〔Ｓ８５〕削除したエントリのフィルタリングテーブル登録フラグは１か判断する。１ならステップＳ８６へ、０ならステップＳ８２へ戻る。

〔Ｓ８６〕フィルタリングテーブルＴ２から、削除したエントリに対応したフィルタリングエントリを削除する。
〔Ｓ８７〕隣接装置一覧テーブルＴ１中に対象ルータと同じルータ番号のエントリがあるか判断する。あればステップＳ８８へなければステップＳ８９へいく。

〔Ｓ８８〕隣接装置一覧テーブルＴ１から、その隣接装置のエントリを削除する。
〔Ｓ８９〕対象ルータ番号をルータ番号とするSHUTDOWNコマンドＣ４を、隣接装置一覧テーブルＴ１にあるアドレスすべてに送信する。

上記の動作フローでは、「開始」はSHUTDOWNコマンドＣ４を受信した時の開始位置、「SHUTDOWN処理」は図２１のステップＳ７７の開始位置となる。SHUTDOWN時は、ルータ番号で登録していたフィルタリング情報をすべて削除する必要があるため、ルータ番号のみでエントリを順次削除していく処理となっている。

また、SHUTDOWNコマンドＣ４による削除処理終了後に隣接装置に中継することで、全体にSHUTDOWNコマンドＣ４を通知する。ここで、一度SHUTDOWNコマンドＣ４を受信した場合は、対象ルータ番号を持つ隣接装置一覧テーブルＴ１中のエントリがなくなるため、別の隣接装置から同一のSHUTDOWNコマンドＣ４を複数受信しても、SHUTDOWNコマンドＣ４の中継処理は行われない。これにより、SHUTDOWNコマンドＣ４が永久に送信されるといった不具合は発生しない。

以上説明したように、本発明によれば、フィルタリング情報の共有化を図る際に、フィルタリング情報に宛先アドレスがあり、かつ宛先アドレスの中継先ポートとフィルタリング情報を受信したポートとが一致した場合には、フィルタリング情報を自装置に登録して隣接装置に中継し、フィルタリング情報に宛先アドレスの情報がない場合には、フィルタリング情報の受信ポートを宛先ポートとし、自装置に登録してフィルタリング情報を隣接装置に中継しない構成とした。

ネットワークの構築においては、従来、優先制御といった設定は、事前に考慮に入れてネットワーク構築を行うため、変更する際の手順や処理をも考慮している場合が多いが、フィルタリング情報はネットワーク構築時にはあまり考慮される点ではなく、またセキュリティ上の問題が発生した時に設定するといった突発的な設定が多い。そのため、設定が増えると一元的管理が難しくなり、また、ネットワーク構成が変化した時の変更も手間がかかってしまう。

本発明では、中継装置間でフィルタリング情報の共有化を行うことで管理の手間を省くと共に、フィルタリング対象外のフレームまでフィルタリング対象となってしまう問題点も克服することができる。

また、ネットワーク上でサービスを提供しているサーバにおいて、従来、アクセス制御のリストが設定される場合は多々あるが、これらの設定によるフィルタリングはあくまでサーバ内で行われるため、負荷が上がるとフィルタリングに必要となる負荷が非常に大きくなり、本来の情報転送のサービスが行えなくなるといった問題があった。さらに、ネットワーク上に流れる無駄なフレーム（フィルタリングによって廃棄対象となるフレーム）によって他の通信が阻害されるという問題もあった。

本発明では、サーバのアクセスリストに連動して、フィルタリング情報を持つFISPのコマンドを隣接装置に投げ、ネットワーク全体で共有するため、フィルタリングは中継装置で行われることとなり、サーバの全負荷をサービスそのものに振り分けることが可能となる。さらにまた、ネットワーク全体でフィルタリング設定がなされることから、フィルタリングによって廃棄対象となるパケットは、ネットワークの入り口で廃棄されるため、ネットワークに無駄なフレームが流れるのを防ぎ、他の通信を妨害する問題も回避可能となる。

さらに、本発明では、ネットワーク監視装置においても、外部から設定したフィルタリング情報によりFISPのコマンドを生成し、隣接の中継装置にコマンドを流して、運用監視対象のネットワーク全体にフィルタリング情報を一括して共有／解除させる構成とした。これにより、運用管理の効率化を図ることが可能になる。

なお、上記の説明では、FISP機能を中継装置に設けた場合を中心にして説明したが、中継装置以外の例えば、サーバやネットワーク監視装置にも適用することで、サーバやネットワーク監視装置のフィルタリング情報を共有したり、フィルタリング処理をサーバでなく中継装置に代用させることも可能になる。

また、FISP機能をサーバやネットワーク監視装置にも適用した場合には、サーバやネットワーク監視装置自体は、隣接装置からのフィルタリング情報を登録する必要はないので、図１６の起動時処理、図１７の登録処理、図２１の定常動作、図２２のSHUTDOWN処理の機能を中心に実装すればよい。

さらに、隣接装置からのFISPエントリを中継したり保持したりする必要もないので、図２２のSHUTDOWN処理におけるFISPテーブル検索処理や削除処理も不要となる（FISPテーブル自体持つ必要はない）。

ただし、サーバにおいては、サーバが提供するサービスに連動してADD ENTRY／ADD RELATIVE ENTRYコマンドを送信する機構は別途必要であり、サービスが設定するフィルタリング情報からコマンドを作成し、送信する処理を実装する必要がある。また、ネットワーク監視装置で、中継装置にフィルタリング情報を一括して共有させ、その後に設定したフィルタリング情報を削除したい場合は、REMOVE ENTRYコマンドを用いて、一括解除することが可能である。

（付記１） ネットワーク上でフィルタリングを行ってフレームを伝送するネットワークシステムにおいて、
ネットワーク全体で必要なフィルタリング情報を共有するための、フィルタリング情報を含むコマンドの生成、解析を行うコマンド処理部を持ち、フィルタリング共有条件を適用する場合は、フィルタリング共有条件として隣接装置から送信されたフィルタリング情報に宛先アドレスがあり、かつ宛先アドレスの中継先ポートとフィルタリング情報を受信したポートとが一致し、宛先アドレスの中継先ポートが１つのみの場合には、フィルタリング情報を自装置に登録して隣接装置に中継するための制御を行い、フィルタリング共有条件として隣接装置から送信されたフィルタリング情報に宛先アドレスの情報がない場合には、フィルタリング情報の受信ポートを宛先ポートとして自装置に登録し、フィルタリング情報を隣接装置に中継しない制御を行うフィルタリング情報共有制御部と、前記フィルタリング情報共有制御部の指示にもとづいて、フィルタリング情報及びフレームの中継または廃棄のフィルタリングを行うフィルタリング部と、から構成される中継装置と、
前記中継装置を含む、ネットワークを構成する装置を接続する伝送媒体と、
を有することを特徴とするネットワークシステム。

（付記２） 前記フィルタリング情報共有制御部は、フィルタリング共有条件を適用しない場合には、強制的にフィルタリング情報の中継・登録を行うことを特徴とする付記１記載のネットワークシステム。

（付記３） 前記フィルタリング情報共有制御部は、フィルタリング情報に装置固有の情報が含まれている場合は、フィルタリング情報を中継しないことを特徴とする付記１記載のネットワークシステム。

（付記４） 前記フィルタリング情報共有制御部は、関連元の第１のフィルタリング情報に関連性を付けた第２のフィルタリング情報を持つコマンドを生成し、第２のフィルタリング情報は、第１のフィルタリング情報よりも優先度が低くなるように登録することを特徴とする付記１記載のネットワークシステム。

（付記５） 前記フィルタリング情報共有制御部は、すでに共有されたフィルタリング情報が外部指定により消された場合、消去用のコマンドを隣接装置へ流すことを特徴とする付記１記載のネットワークシステム。

（付記６） 前記フィルタリング情報共有制御部は、隣接装置の動作を常に確認するためのコマンドを送信し、隣接装置の動作が確認できない時は、停止した隣接装置を他装置に通知することを特徴とする付記１記載のネットワークシステム。

（付記７） 前記フィルタリング情報共有制御部は、隣接装置から送られてきたフィルタリング情報をすでに受け取っている場合は、受信情報を破棄することを特徴とする付記１記載のネットワークシステム。

（付記８） 前記フィルタリング情報共有制御部は、指定されたフィルタリング情報を登録できない場合は、登録は行わず、隣接装置への中継条件にしたがって中継制御のみを行うことを特徴とする付記１記載のネットワークシステム。

（付記９） 前記フィルタリング情報共有制御部は、自装置が停止する際に、停止する旨を隣接装置に通知し、または停止通知を受けた場合は隣接装置へ中継して、停止装置が設定したフィルタリング情報をすべて破棄することを特徴とする付記１記載のネットワークシステム。

（付記１０） フィルタリング情報を含むコマンドを生成し、隣接の中継装置にコマンドを流して、自装置へのアクセスに対するフィルタリング処理をネットワーク全体で実行させるサーバ装置をさらに有することを特徴とする付記１記載のネットワークシステム。

（付記１１） 外部から設定したフィルタリング情報によりコマンドを生成し、隣接の中継装置にコマンドを流して、運用監視対象のネットワーク全体にフィルタリング情報を一括して共有／解除させるネットワーク監視装置をさらに有することを特徴とする付記１記載のネットワークシステム。

（付記１２） ネットワーク上でフィルタリングを行ってフレームを伝送する中継装置において、
ネットワーク全体で必要なフィルタリング情報を共有するための、フィルタリング情報を含むコマンドの生成、解析を行うコマンド処理部を持ち、フィルタリング共有条件を適用する場合は、フィルタリング共有条件として隣接装置から送信されたフィルタリング情報に宛先アドレスがあり、宛先アドレスの中継先ポートとフィルタリング情報を受信したポートとが一致し、かつ宛先アドレスの中継先ポートが１つのみの場合には、フィルタリング情報を自装置に登録して隣接装置に中継するための制御を行い、フィルタリング共有条件として隣接装置から送信されたフィルタリング情報に宛先アドレスの情報がない場合には、フィルタリング情報の受信ポートを宛先ポートとして自装置に登録し、フィルタリング情報を隣接装置に中継しない制御を行うフィルタリング情報共有制御部と、
前記フィルタリング情報共有制御部の指示にもとづいて、フィルタリング情報及びフレームの中継または廃棄のフィルタリングを行うフィルタリング部と、
を有することを特徴とする中継装置。

（付記１３） 前記フィルタリング情報共有制御部は、フィルタリング共有条件を適用しない場合は、強制的にフィルタリング情報の中継・登録を行うことを特徴とする付記１２記載の中継装置。

（付記１４） 前記フィルタリング情報共有制御部は、フィルタリング情報に装置固有の情報が含まれている場合は、フィルタリング情報を中継しないことを特徴とする付記１２記載の中継装置。

（付記１５） 前記フィルタリング情報共有制御部は、関連元の第１のフィルタリング情報に関連性を付けた第２のフィルタリング情報を持つコマンドを生成し、第２のフィルタリング情報は、第１のフィルタリング情報よりも優先度が低くなるように登録することを特徴とする付記１２記載の中継装置。

（付記１６） 前記フィルタリング情報共有制御部は、すでに共有されたフィルタリング情報が外部指定により消された場合、消去用のコマンドを隣接装置へ流すことを特徴とする付記１２記載の中継装置。

（付記１７） 前記フィルタリング情報共有制御部は、隣接装置の動作を常に確認するためのコマンドを送信し、隣接装置の動作が確認できない時は、停止した隣接装置を他装置に通知することを特徴とする付記１２記載の中継装置。

（付記１８） 前記フィルタリング情報共有制御部は、隣接装置から送られてきたフィルタリング情報をすでに受け取っている場合は、受信情報を破棄することを特徴とする付記１２記載の中継装置。

（付記１９） 前記フィルタリング情報共有制御部は、指定されたフィルタリング情報を登録できない場合は、登録は行わず、隣接装置への中継条件にしたがって中継制御のみを行うことを特徴とする付記１２記載の中継装置。

（付記２０） 前記フィルタリング情報共有制御部は、自装置が停止する際に、停止する旨を隣接装置に通知し、または停止通知を受けた場合は隣接装置へ中継して、停止装置が設定したフィルタリング情報をすべて破棄することを特徴とする付記１２記載の中継装置。

（付記２１） ネットワーク上でフレームのフィルタリングを行うためのフィルタリング情報を共有するフィルタリング情報共有方法において、
ネットワークに接続された装置に対し、装置に設定されたフィルタリング情報を、ネットワーク上に隣接する装置に通知し、
通知を受けた装置が、送られてきたフィルタリング情報をもとに自装置へのフィルタリング情報を設定して、他装置への通知を行い、
フィルタリング共有条件を適用する場合は、フィルタリング共有条件として隣接装置から送信されたフィルタリング情報に宛先アドレスがあり、宛先アドレスの中継先ポートとフィルタリング情報を受信したポートとが一致し、かつ宛先アドレスの中継先ポートが１つのみの場合には、フィルタリング情報を自装置に登録して隣接装置に中継するための制御を行い、
フィルタリング共有条件として隣接装置から送信されたフィルタリング情報に宛先アドレスの情報がない場合には、フィルタリング情報の受信ポートを宛先ポートとして自装置に登録し、フィルタリング情報を隣接装置に中継しない制御を行って、ネットワーク全体でフィルタリング情報を共有することを特徴とするフィルタリング情報共有方法。

（付記２２） フィルタリング共有条件を適用しない場合は、強制的にフィルタリング情報の中継・登録を行うことを特徴とする付記２１記載のフィルタリング情報共有方法。
（付記２３） フィルタリング情報に装置固有の情報が含まれている場合は、フィルタリング情報を中継しないことを特徴とする付記２１記載のフィルタリング情報共有方法。

（付記２４） 関連元の第１のフィルタリング情報に関連性を付けた第２のフィルタリング情報を持つコマンドを生成し、第２のフィルタリング情報は、第１のフィルタリング情報よりも優先度が低くなるように登録することを特徴とする付記２１記載のフィルタリング情報共有方法。

（付記２５） すでに共有されたフィルタリング情報が外部指定により消された場合、消去用のコマンドを隣接装置へ流すことを特徴とする付記２１記載のフィルタリング情報共有方法。

（付記２６） 隣接装置の動作を常に確認するためのコマンドを送信し、隣接装置の動作が確認できない時は、停止した隣接装置を他装置に通知することを特徴とする付記２１記載のフィルタリング情報共有方法。

（付記２７） 隣接装置から送られてきたフィルタリング情報をすでに受け取っている場合は、受信情報を破棄することを特徴とする付記２１記載のフィルタリング情報共有方法。

（付記２８） 指定されたフィルタリング情報を登録できない場合は、登録は行わず、隣接装置への中継条件にしたがって中継制御のみを行うことを特徴とする付記２１記載のフィルタリング情報共有方法。

（付記２９） 自装置が停止する際に、停止する旨を隣接装置に通知し、または停止通知を受けた場合は隣接装置へ中継して、停止装置が設定したフィルタリング情報をすべて破棄することを特徴とする付記２１記載のフィルタリング情報共有方法。

（付記３０） フィルタリング情報を含むコマンドを生成し、隣接の中継装置にコマンドを流して、自装置へのアクセスに対するフィルタリング処理をネットワーク全体で実行させるサーバ装置をさらに有することを特徴とする付記２１記載のフィルタリング情報共有方法。

（付記３１） 外部から設定されたフィルタリング情報によりコマンドを生成し、隣接の中継装置にコマンドを流して、運用監視対象のネットワーク全体にフィルタリング情報を一括して共有／解除させるネットワーク監視装置をさらに有することを特徴とする付記２１記載のフィルタリング情報共有方法。

ネットワークシステムの原理図である。 中継装置の構成を示す図である。 REGISTRATION、HELLO、SHUTDOWNのコマンドフォーマットを示す図である。 REGISTRATION REPLYのコマンドフォーマットを示す図である。 ADD ENTRYのコマンドフォーマットを示す図である。 設定データのフィールド・フォーマットを示す図である。 フィルタリング対象ヘッダと識別ヘッダ種別値との対応を示す図である。 フィールド種別の設定値を示す図である。 フィルタリング情報の中継・登録動作を説明するための図である。 マスク値の使用例を説明するための図である。 ADD RELATIVE ENTRYのコマンドフォーマットを示す図である。 ADD RELATIVE ENTRYコマンドの使用例を説明するための図である。 REMOVE ENTRYのコマンドフォーマットを示す図である。 ネットワークシステムを示す図である。 装置固有のフィルタリング情報が中継装置に設定されたときの動作を説明するための図である。 FISP起動時の動作を示すフローチャートである。 REGISTRATIONコマンド受信時の動作を示すフローチャートである。 ADD ENTRYコマンド／ADD RELATIVE ENTRYコマンドの受信時の動作を示すフローチャートである。 ADD ENTRYコマンド／ADD RELATIVE ENTRYコマンドの受信時の動作を示すフローチャートである。 REMOVE ENTRYコマンドの受信時の動作を示すフローチャートである。 FISP起動中に定常的に行われる動作を示すフローチャートである。 SHUTDOWNコマンドの受信時、または隣接装置の停止を認識した時の動作を示すフローチャートである。 従来のフィルタリングの問題点を説明するためのサンプルネットワークを示す図である。

符号の説明

１ ネットワークシステム
１０−１〜１０−ｎ、１０ 中継装置
２０−１〜２０−ｎ 端末
３０ サーバ装置
４０ ネットワーク監視装置
５−１〜５−ｎ サブネット
１１ フィルタリング情報共有制御部
１１ａ−１ コマンド処理部
１２ フィルタリング部
Ｌ 伝送媒体

Claims (5)

1. 複数の中継装置を有するネットワークシステムにおいて、
   前記中継装置が、
   第１の他の中継装置から送信されたフィルタリング情報に宛先アドレスが含まれるときに、該宛先アドレス宛のデータ受信時に該アドレス宛のデータの出力に用いられるポートと、該フィルタリング情報を受信したポートとが一致するか否かを判定する判定手段と、
   前記判定手段において、前記宛先アドレス宛のデータ受信時に該アドレス宛のデータの出力に用いられる宛先アドレスの中継ポートと、前記フィルタリング情報を受信したポートとが一致し、かつ前記宛先アドレスの中継ポートが１つのみの場合には、受信した前記フィルタリング情報を、自装置に登録し、かつ、第２の他の中継装置に中継するフィルタリング情報共有制御部と、
   前記フィルタリング情報共有制御部により自装置に登録されたフィルタリング情報にもとづいて、フィルタリングを行うフィルタリング部と、
   を有することを特徴とするネットワークシステム。
2. 前記フィルタリング情報共有制御部は、前記第１の他の中継装置から送信された前記フィルタリング情報に宛先アドレスの情報が含まれないときには、該フィルタリング情報の受信ポートを宛先ポートとして自装置に登録し、
   前記フィルタリング部は、当該宛先ポートから出力されるデータについて、前記フィルタリング情報にもとづきフィルタリングを行う、
   ことを特徴とする請求項１記載のネットワークシステム。
3. 前記フィルタリング情報共有制御部は、フィルタリング情報に装置固有の情報が含まれている場合は、フィルタリング情報を中継しないことを特徴とする請求項１記載のネットワークシステム。
4. 前記フィルタリング情報共有制御部は、関連元の第１のフィルタリング情報に関連性を付けた第２のフィルタリング情報を持つコマンドを生成し、第２のフィルタリング情報は、第１のフィルタリング情報よりも優先度が低くなるように登録することを特徴とする請求項１記載のネットワークシステム。
5. ネットワークシステム内の複数の中継装置で、フレームのフィルタリングを行うためのフィルタリング情報を共有するフィルタリング情報共有方法において、
   前記中継装置が、
   第１の他の中継装置から送信されたフィルタリング情報に宛先アドレスが含まれるときに、該宛先アドレス宛のデータ受信時に該アドレス宛のデータの出力に用いられるポートと、該フィルタリング情報を受信したポートとが一致するか否かを判定する判定ステップと、
   前記判定ステップにおいて、前記宛先アドレス宛のデータ受信時に該アドレス宛のデータの出力に用いられる宛先アドレスの中継ポートと、前記フィルタリング情報を受信したポートとが一致し、かつ前記宛先アドレスの中継ポートが１つのみの場合には、受信した前記フィルタリング情報を、自装置に登録し、かつ、第２の他の中継装置に中継するステップとを、
   実行することを特徴とするフィルタリング情報共有方法。

Images