JP4620527B2 - パケット通信装置 - Google Patents

Description

本発明は、フレームやパケットを転送するパケット通信装置に関し、特に、その動作を規定する構成定義の設定技術に関する。

通信事業者や企業などの大規模なネットワークでパケット通信装置（ルータ、スイッチなど）のネットワーク機器を運用する場合、ネットワーク管理者は、セキュリティ確保のために、スイッチが業務上不要なパケットやフレームをフィルタリングするように、スイッチを設定する。また、管理者は、スイッチの稼働状態を監視するためにログや負荷状態を運用管理サーバへ出力するように、スイッチを設定する。

このため、新たなスイッチをネットワークへ導入する場合、管理者はネットワークへの接続前に、ＩＰアドレスやホスト名を設定するとともに、フィルタリングルールやログ取得項目などの多数の項目を各機器へ設定する必要がある。

特に、ネットワークの大規模な変更に伴い、多数の機器を同時に設置する場合、この設定の作業量は膨大なものとなる。

ネットワーク内のスイッチの設定作業を低減して運用管理コストを削減するために、以下に示す従来技術が存在する。

スイッチの動作を定義するための構成定義を記述したファイルを配布するための技術が提案されている。具体的には、ネットワーク内に配備された運用管理サーバがスイッチ毎の構成定義が記述されたファイルを保持し、スイッチがＴＦＴＰ（Trivial File Transfer Protocol）を用いて、構成定義が記述されたファイルを運用管理サーバから取得し、その内容を自装置に設定する。

また、ネットワーク下流に接続する加入者ホストのＩＰアドレスを、上流ネットワークが保持するＩＰアドレスプールと経路構成に応じて自動的に設定するための技術が提案されている。具体的には、ＲＦＣ２１３１及びＲＦＣ３３１５でＤＨＣＰ（Dynamic Host Configuration Protocol）が規定され、ＩＰｖ４又はＩＰｖ６網でのＩＰアドレス自動設定が実現されている。ＤＨＣＰｖ６では、上位ルータ／下位ルータ間でＤＨＣＰを利用し、プレフィックスを割譲するPrefix Delegationを実現できる（非特許文献１及び非特許文献２参照）。

また、ＶＬＡＮ ＩＤとＶＬＡＮ名との組み合わせをレイヤ２ネットワーク内のスイッチで自動的に共有し、各スイッチへの設定作業を不要とするための技術が提案されている。具体的には、スイッチが非特許文献３に示すＶＴＰ（VLAN Trunk Protocol）の処理機能を備え、レイヤ２Ethernetネットワーク内でＶＴＰ処理機能を備えるスイッチは(Ethernetは登録商標。以下同じ）、ＶＴＰサーバからのブロードキャストメッセージを受信することにより、ＶＴＰサーバでのＶＬＡＮ設定の作成・更新情報を自動的に反映する。
IETF RFC2131，Dynamic Host Configuration Protocol IETF RFC3315，Dynamic Host Configuration Protocol for IPv6 Understanding and Configuring VLAN Trunk Protocol (VTP)，Tech Notes，Document ID: 10558，Cisco Systems，2005年4月25日

スイッチが、運用管理サーバからＴＦＴＰによって構成定義ファイルを取得して、フィルタリングルールなどのセキュリティ設定を含むネットワークの運用ポリシーを適用する場合、運用管理サーバとの間にＩＰレイヤでの到達性が確立されている必要がある。管理者は、スイッチのこのＩＰレイヤの接続を確保するために、予めスイッチの構成定義を設定する。

しかし、運用管理サーバ上の構成定義をスイッチへ反映するまでの間、一時的にセキュリティが低下する。スイッチの回線インターフェース（又は、仮想インターフェース）にＩＰアドレスを設定すると、スイッチに接続されたＩＰ機器へのＩＰパケットの到達性も同時に確立される。よって、運用管理サーバからセキュリティが設定されていない状態でフレームの転送が開始される。よって、セキュリティが設定されるまでの間、スイッチは攻撃トラフィックを転送し、スイッチ又はスイッチに接続されるＩＰ機器が攻撃にさらされる可能性がある。

また、ＤＨＣＰでのＩＰアドレスの自動設定を利用した場合、又はＶＴＰでのＶＬＡＮの自動設定方式を利用した場合、ネットワークに新たに導入されたスイッチは、設定作業をすることなく、ＩＰパケット又はタグ付きフレームの転送を開始することができる。このような自動設定技術を利用してスイッチを導入することによって、導入時の利便性が高まる。

しかし、セキュリティ確保のためのフィルタ設定がなされていないスイッチがネットワーク内で自動的に稼働することによって、ネットワークのセキュリティが低下する。また、稼働状態監視のためのログ設定が施されていないスイッチが稼働することによって、管理者はネットワークの稼働状態を正しく把握できなくなり、効率的な運用ができなくなる。

本発明は、既設の運用管理サーバによるネットワーク機器の構成定義の設定や、ＤＨＣＰやＶＴＰによるＩＰアドレスやＶＬＡＮの設定における問題点を解決し、セキュリティ低下を回避しながら、多数のネットワーク機器への運用ポリシーの設定作業を軽減することを課題とする。

本発明は、ネットワーク内に設けられ、該ネットワーク内でフレームを転送するパケット通信装置であって、構成定義を保持する記憶部と、制御プログラムを記憶するメモリと、前記メモリに記憶された制御プログラムを実行するＣＰＵと、複数のポートを備える回線インターフェースと、前記回線インターフェースと接続されるスイッチと、を備え、前記構成定義に基づいてフレーム転送機能とフィルタ機能を設定する構成定義管理部と、前記構成定義に関する指示を受け付けるインターフェースを管理者に提供する構成定義設定部と、他のパケット通信装置と前記構成定義を送受信する構成定義送受信部とを、前記ＣＰＵが前記制御プログラムを実行することによって構成し、前記スイッチは、設定されたフィルタ条件に基づいて、転送されるフレームをフィルタリングし、前記構成定義送受信部は、前記ネットワークに設けられた他のパケット通信装置へ構成定義を要求し、前記他のパケット通信装置から構成定義を受信し、前記受信した構成定義に基づいて自装置の構成定義を更新し、前記構成定義管理部へ構成定義の更新を通知し、前記構成定義管理部は、前記構成定義送受信部から構成定義の更新の通知を受信すると、前記更新された構成定義を前記記憶部から取得し、前記取得した構成定義に基づいて前記フィルタ条件を設定する。

本発明によると、スイッチの増設時に、既設ネットワークの運用ポリシーを反映させるためのスイッチに対する設定を簡易にすることができる。これによって、ネットワーク管理者の作業量を軽減できる。

まず、本発明実施の形態の概要を説明する。

前述した課題を解決するため、本発明の実施の形態に係るスイッチ（又は、ルータ）は、他のスイッチと構成定義の内容を送受信する構成定義送受信部を備える。構成定義送受信部は、スイッチ内に設けられた構成定義管理部及び構成定義設定部と連携しながら、隣接スイッチとの間で構成定義の内容を送受信する。

既設スイッチの構成定義送受信部は、新規に設置されたスイッチが接続されると、そのスイッチからの要求に応じて、新規に設置されたスイッチへ構成定義を通知する。この構成定義には、セキュリティ設定及び管理設定が含まれている。

また、既設スイッチは、設定インターフェースからの指示により、又は接続ポートの活性状態への遷移を認識した後に自動で、構成定義を通知する。

新設スイッチの構成定義送受信部は、起動すると活性状態のポートを検索して、既設のスイッチへ構成定義の転送を要求する。また、新設スイッチは、又は設定インターフェースからの指示、又は構成定義に記述された内容に従って、構成定義の転送を要求する。

そして、新設スイッチの構成定義送受信部は、セキュリティ設定及び管理設定を含む構成定義を既設のスイッチから受信すると、自装置の構成定義を更新し、構成定義管理部へ構成定義の更新を通知する。構成定義管理部は、構成定義の更新通知を受けると、更新された構成定義を読み出し、スイッチのセキュリティ設定項目及び運用管理設定項目を設定する。

また、本発明の実施の形態のスイッチは、回線インターフェースのポートに接続された隣接スイッチとの構成定義の同期状態を含む接続機器管理テーブルと、接続機器管理テーブル上のエントリを作成・更新する接続機器管理機能部を備える。

また、本発明の実施の形態のスイッチは、回線インターフェースのポートに接続された隣接スイッチの認証状態を含む認証状態管理テーブルを備える。また、認証状態管理テーブルのエントリは、構成定義送受信部によって参照される。

ネットワーク内で運用されているスイッチへ、新規に導入されたスイッチが接続されると、既設スイッチは新設スイッチへ構成定義を通知する前に、新設スイッチを認証し、構成定義を通知するかを判定する。そしてこの判定結果を認証状態管理テーブルへ記録する。

既設スイッチは、要求メッセージの受信又は設定インターフェースからの指示によって新設スイッチへ構成定義を通知する際、上記の認証状態管理テーブルを参照し、構成定義の通知が認可されている場合のみ、構成定義を通知する。

このように、本発明の実施の形態によると、ホストコンピュータの増加に合わせて、ネットワークを拡張するために新しいスイッチを導入する際、管理者がフィルタリングルールの設定に要する作業量を軽減できる。また、一様なセキュリティポリシーを、ネットワーク内に設けられたスイッチへ反映することができる。

ネットワーク構築・運用に伴う担当者の作業量が減ることで、企業は、外部への作業委託などに頼ることなく自社内の情報システム担当部署により大規模なネットワークの構築が可能になる。

以下、本発明の実施の形態を図面を参照して説明する。

（実施形態１）
図１は、第１の実施の形態のスイッチ含むネットワークの構成図である。

既設のネットワーク５は、ネットワーク内でフレームを転送するスイッチ２Ａ〜２Ｄを備える。

スイッチ２Ａ〜２Ｄには、フィルタリングルールが設定されており、設定されたフィルタリングルールに基づいてフレーム及びパケットを選択し、不必要なフレーム及びパケットを廃棄する。これによって、ネットワークのセキュリティを確保するポリシーが運用されている。

第１の実施の形態では、部署の新設や人員の増加等によって、コンピュータが増加した場合に、増加したコンピュータを社内ネットワークに接続するスイッチ１を新たに設置する場合を考える。新設されるスイッチ１は既設のスイッチ２Ａと接続される。この場合、スイッチ１と既設のスイッチ２Ａとの間でフィルタ設定を同期させて、新設されるスイッチ１にも、既設スイッチ２Ａ〜２Ｄと同じフィルタリングルールを設定する必要がある。

スイッチ２Ａ〜２Ｄには既設の端末群４ａ及び端末群４ｂが接続されている。スイッチ１には新規に設置される端末群３が接続されている。

図２は、第１の実施の形態のスイッチを含むネットワークの構成図であり、スイッチ１にフィルタリングルールの設定が完了した状態を示す。

スイッチ１に、既設スイッチ２Ａ〜２Ｄと同じフィルタリングルールの設定が完了すると、フィルタリングルールが適用されるネットワークが、スイッチ１及びスイッチ２Ａ〜２Ｄを含む範囲に拡張される。すなわち、新設の端末群３、既設の端末群４ａ及び既設の端末群４ｂが送受信する全てのトラフィックがフィルタリングの対象となる。

図３は、第１の実施の形態の新設スイッチ１と既設スイッチ２Ａとの間の構成定義同期処理のシーケンス図である。

既設スイッチ２Ａは、フィルタルールが設定され（１００１）、ネットワーク５内で動作している。

その後、ネットワークの拡張のため、管理者が既設スイッチ２Ａと新設スイッチ１との間をケーブルで接続する（１００２、１００３）。

新設スイッチ１は、ポートに加わる電圧を監視することによって、ポートにケーブルが接続されたことを確認する（１００３）。その後、管理者が入出力装置１０４によって構成定義要求を指示すると（１００４）、構成定義要求メッセージ７１を既設スイッチ２Ａに送信する。なお、第２の実施の形態（図２３）に示すように、既設スイッチ２Ａとの接続による回線インターフェースのリンクアップを契機として、構成定義要求メッセージ７１を送信してもよい。

既設スイッチ２Ａは、新設スイッチ１から構成定義要求メッセージ７１を受信すると、構成定義２４を読み出し、読み出した構成定義を格納した構成定義通知メッセージ７２を生成する。そして、生成した構成定義通知メッセージ７２を、構成定義要求メッセージ７１の応答として、新設スイッチ１へ返信する。

新設スイッチ１は、構成定義通知メッセージ７２を受信することによって、既設スイッチ２Ａに設定された構成定義を取得する。この取得した構成定義によって自装置の構成定義を更新する。また、この構成定義通知メッセージ７２からフィルタ設定を抽出し、フィルタ設定を更新する（１００５）。

新設スイッチ１は、フィルタの設定が終了すると、端末群３が接続されているポートを開放し、フレームの転送を開始する（１００６）。

このように、既設ネットワーク上のスイッチ２Ａからフィルタ設定を取得することによって、従来は管理者が行っていた初期設定の作業量を削減できる。また、既に稼働実績のある設定内容を複製することによって、初期設定時の人的エラーによって生じる、機器の意図しない動作を防止でき、ネットワークの拡張時にもネットワークを安定して稼働させることができる。

また、本発明を適用したスイッチを用いることによって、ネットワークへ新たなスイッチを導入した場合に、フィルタリングルールのようなセキュリティポリシーを均一に適用できる。これによって、セキュリティポリシーの不統一によるセキュリティの低下を防止できる。

図４は、第１の実施の形態の構成定義要求メッセージ７１のフォーマットの説明図である。

構成定義要求メッセージ７１は、ヘッダ７１１及びメッセージ種別フィールド７１２を含む。ヘッダ７１１は、宛先フィールド、送信元フィールド及びＴｙｐｅフィールドを含む。

ヘッダ７１１の宛先フィールドには、既設スイッチ２ＡのＭＡＣアドレスが格納される。ヘッダ７１１の送信元フィールドには、新設スイッチ１のＭＡＣアドレスが格納される。ヘッダ７１１のＴｙｐｅフィールドには、第１の実施の形態の構成定義同期処理に用いるメッセージであることを表す識別子が格納される。

メッセージ種別フィールド７１２には、構成定義の要求であることを表す識別子が格納される。

図５は、第１の実施の形態の構成定義通知メッセージ７２のフォーマットの説明図である。

構成定義通知メッセージ７２は、ヘッダ７１１と、メッセージ種別フィールド７２２及び構成定義フィールド７２１を含む。ヘッダ７１１は、構成定義要求メッセージと同様に、宛先、送信元及びＴｙｐｅのフィールドを含む。

ヘッダ７１１の宛先フィールドには、既設スイッチ２ＡのＭＡＣアドレスが格納される。ヘッダ７１１の送信元フィールドには、新設スイッチ１のＭＡＣアドレスが格納される。ヘッダ７１１のＴｙｐｅフィールドには、第１の実施の形態の構成定義同期処理に用いるメッセージであることを表す識別子が格納される。

メッセージ種別フィールド７２２には、構成定義の通知であることを表す識別子が格納される。構成定義フィールド７２１には、要求元のスイッチへ通知する構成定義の内容が格納される。

図６は、第１の実施の形態の構成定義通知メッセージ７２の構成定義フィールド７２１の説明図である。

構成定義フィールド７２１は、構成定義の内容を格納するために、固定長の項目種別と固定長のデータ長、及び可変長のデータを含むＴＬＶ形式で構成される。

図７は、第１の実施の形態の構成定義通知メッセージ７２の別の構成の構成定義フィールド７２１の説明図である。

図７に示す構成定義フィールド７２１は、ＸＭＬ（Extensible Markup Language）によってフィルタルールの設定を記述されている。

この構成定義フィールド７２１には、宛先ポート番号が１３７又は１３８のＵＤＰパケットと、宛先ポート番号が１３９のＴＣＰパケットとをフィルタリングによって破棄する設定が記述されている。

図８は、第１の実施の形態のスイッチ１の機能ブロック図である。

スイッチ１は、構成定義送受信部１１、構成定義設定部１２、構成定義管理部１３、構成定義データ１４、フレーム転送部１５及びフィルタ部１６を備える。なお、図８及び図９において、スイッチ１について説明するが、他のスイッチ２Ａ〜２Ｄも同じ構成である。

フレーム転送部１５は、入力されたフレームを所定の宛先に転送する。フィルタ部１６は、予め設定された条件に適合するフレームを破棄する（又は、予め設定された条件に適合するフレームだけを転送する）。よって、フレーム転送部１５及びフィルタ部１６によってあらかじめ定められたフレームだけが転送される。

構成定義管理部１３は、スイッチの動作を制御する構成定義データ１４を管理する。構成定義設定部１２は、専用のインターフェース又は回線インターフェースを介して構成定義管理部１３によって管理される構成定義データ１４を作成及び更新する。構成定義送受信部１１は、接続されたスイッチとの間で構成定義を送受信する。

図９は、第１の実施の形態のスイッチ１のブロック図である。

スイッチ１は、ＣＰＵ１０３、入出力装置１０４、メモリ１０５、外部記憶装置１０２、ブリッジ１０６及びスイッチング部１０７を備える。ＣＰＵ１０３、入出力装置１０４及びメモリ１０５は、内部バスによって接続されている。

ＣＰＵ１０３は、メモリ１０５に記憶された各種プログラムを実行する。

入出力装置１０４は、スイッチ１に設定データを入出力するインターフェースである。例えば、ＲＳ−２３２Ｃ等のシリアルインターフェースが用いられる。なお、入出力装置１０４は、入力部及び表示部を備え、管理者がスイッチ１に対して直接データを入力するものでもよい。

メモリ１０５は、ＣＰＵにて実行される各種プログラム及びデータを記憶する。具体的には、構成定義送受信プログラム１１、構成定義設定プログラム１２、構成定義管理プログラム１３、構成定義データ１４が格納される。構成定義データ１４の内部にはフィルタ設定１０１が含まれる。

外部記憶装置１０２は、フラッシュメモリ又はハードディスクドライブ等によって構成され、メモリ１０５に記憶されるプログラム及びデータを格納する。そして、スイッチの起動時に、これらのプログラム及びデータは外部記憶装置１０２から読み出されて、メモリ１０５に展開される。

ブリッジ１０６は、スイッチ１の内部バスとスイッチング部１０７とを接続し、両者の間でデータの橋渡しをする。

スイッチング部１０７は、複数のポート１０８、ポート１０８を接続するスイッチ、転送データベース及びフィルタルールテーブルを備える。フィルタルールテーブルは、構成定義１４内部のフィルタ設定１０１に基づいて生成される。

スイッチング部１０７は、ポート１０８の接続を切り替えることによって、入力されたフレームをスイッチングする。すなわち、スイッチング部１０７は、転送データベースを参照して、ポート１０８に入力されたフレームの転送先を決定し、決定された転送先のポートに出力する。

また、スイッチング部１０７は、入力されたフレームをフィルタリングする。すなわち、スイッチング部１０７は、入力されたフレームのヘッダを解析して、その結果をフィルタルールテーブルと照合する。そして、入力されたフレームの転送可否を判定し、転送してよいフレームは、決定された転送先のポートに出力する。一方、転送してはならないフレームを破棄する。

また、スイッチング部１０７は、入力されたフレームを一時的に蓄積するメモリが接続されてもよい。

なお、一つのスイッチング部１０７を図示したが、複数のスイッチング部を備えてもよい。また、複数のスイッチング部１０７を一つの転送用モジュールとしてまとめ、この転送用モジュールにフレーム蓄積用メモリを備えてもよい。

また、ＣＰＵ１０３、入出力装置１０４及びメモリ１０５を、一つの制御用モジュールとしてまとめてもよい。そして、一つ又は複数の転送用モジュールと一つ又は複数の制御用モジュールとを接続する（例えば、クロスバスイッチによって接続する）、分散型の構成とすることもできる。

また、本発明のスイッチは、スイッチング部１０７を備えず、内部バスを介して複数の回線インターフェースをＣＰＵと接続することもできる。このようにすると、ＣＰＵ１０３において実行されるソフトウェアによってフレームスイッチングを実現する集中処理型の構成とすることもできる。

次に、このフィルタルールを記述した構成定義の内容を、既設スイッチ２Ａから新設スイッチ１へ反映させる場合の、スイッチ内部の各部の動作を説明する。

まず、新設スイッチの構成定義に明示的に記述する例を示す。

図１０は、第１の実施の形態の新設スイッチの構成定義の記述例の説明図である。

図１０に示す構成定義は、管理者が入出力装置１０４から入力する。

構成定義１４１中の<synchronization/>エレメントは、スイッチに対して外部のスイッチとの構成定義の同期を指示する。

図１１は、第１の実施の形態の新設スイッチの構成定義の別の記述例の説明図である。

構成定義１４２中の<synchronization>エレメント内に、<interface>エレメントを記述し、構成定義の同期に使用する回線インターフェースのポートを指定する。ここでは、ボード０のポート１が指定されている。この場合、新設スイッチ１の構成定義中の<interface>エレメントで指定されたポートを経由して、既設スイッチ２Ａと新設スイッチ１との間のメッセージが交換される。

図１２は、第１の実施の形態の新設スイッチに構成定義の同期を指示する画面の説明図である。

管理者は、新設スイッチ１の入出力装置１０４を操作して、構成定義の同期に利用するポートを指定する。この設定画面には、複数のポートが表示される。管理者は、表示された複数のポートのうち、構成定義の同期に利用する新設スイッチのポートを指定する。

入出力装置１０４は、ポート番号の妥当性（ポートの有効／無効及び活性／不活性）、を調べた結果を表示し、当該ポートが有効かつ活性な場合は、該当ポートを介した構成定義同期の成功又は失敗を入出力装置１０４に表示する。

なお、管理者が、コマンド・ライン・インターフェースによって構成定義の同期に利用するポートを指定するように構成することもできる。その場合、管理者は、構成定義の同期を表すコマンド文字列及び利用するポートの番号を入力する。

図１３は、第１の実施の形態の構成定義の同期処理の説明図であり、新設スイッチ１の構成定義１４に既設スイッチ２Ａとの間での構成定義の同期指示を記述した場合の、スイッチ内及びスイッチ間のメッセージの通信を示す。

まず、新設スイッチ１が起動すると、構成定義設定部１２は、管理者が入出力装置１０４へ入力した構成定義の同期指示を構成定義送受信部１１へ通知する（１０１１）。

構成定義送受信部１１は、管理者が入力した構成定義の同期指示を受信すると、受信した同期指示に含まれる利用ポート番号を解析する。そして、解析された番号のポートの有効性及びポートの活性状態を調べる。そして、当該ポートが利用可能（有効かつ活性）であれば、既設スイッチ２の構成定義送受信部２１へ構成定義要求メッセージ７１を送信する。

既設スイッチ２の構成定義送受信部２１は、新設スイッチ１から構成定義要求メッセージ７１を受信すると、構成定義２４の内容を読み出し（１０１２）、構成定義２４の内容を格納した構成定義通知メッセージ７２を作成する。そして、作成した構成定義通知メッセージ７２を新設スイッチ１へ返信する。

新設スイッチ１の構成定義送受信部１１は、既設スイッチ２から構成定義通知メッセージ７２を受信すると、受信したメッセージから構成定義を抽出し、抽出された構成定義の内容によって自装置の構成定義１４を更新する（１０１３）。その後、構成定義管理部１３へ構成定義の更新を通知する（１０１４）。

構成定義管理部１３は、構成定義送受信部１１から構成定義の更新通知を受信すると、自装置内の構成定義１４を読み出して（１０１５）、更新されたフィルタルールをフィルタ部１６に適用する（１０１６）。その後、フレーム転送部１５へフレーム転送の開始を指示する（１０１７）。

図１４は、第１の実施の形態の管理者が構成定義要求操作を実行した場合の処理のフローチャートであり、構成定義送受信部１１で実行される。

スイッチ１が起動すると（Ｓ１０１）、構成定義設定部１２は、管理者が入力した構成定義を構成定義送受信部１１に送る。

構成定義送受信部１１は、管理者が入力した構成定義を受信すると、その内容を解析し（Ｓ１０２）、当該構成定義に既設スイッチとの同期を指示する<synchronization>エレメントが存在するか否かを調べる（Ｓ１０３）。

その結果、<synchronization>エレメントが存在しなければ、既設スイッチ２Ａとの同期は不要であると判定し、さらに、当該構成定義に<synchronization>エレメント以外の他のエレメントが存在するか否かを調べる（Ｓ１０５）。その結果、他のエレメントが存在しなければ、待ち受け状態へ戻り、他のエレメントが存在すれば、管理者が入力した内容によって構成定義を更新するように、構成定義管理部１３に指示する（Ｓ１０６）。その後、待ち受け状態へ戻る。

一方、<synchronization>エレメントが存在すれば、既設スイッチ２Ａとの同期が必要であると判定し、さらに<synchronization>エレメント内に<interface>エレメントが存在するか否かを調べる（Ｓ１０４）。<interface>エレメントが存在すれば、<interface>エレメントで指定されるポートを介して、既設スイッチ２Ａとの間で構成定義要求メッセージ７１及び構成定義通知メッセージ７２を送受信する（図１５参照）。

一方、<interface>エレメントが存在しなければ、活性ポートを介して、既設スイッチ２Ａとの間で構成定義要求メッセージ７１及び構成定義通知メッセージ７２を送受信する（図１６参照）。

図１５は、第１の実施の形態の指定ポートを介して構成定義を同期する処理のフローチャートである。

図１５に示す構成定義同期処理は、管理者が入力した構成定義において同期に利用するポートが指定されていた場合に、構成定義送受信部１１で実行される。

まず、構成定義送受信部１１は、構成定義中の<interface>エレメント内のboard属性及びport属性を解析し、同期に利用するポートを取得する。そして、該当ポートの有効性及びポートの活性状態を調べる（Ｓ１１１）。

その結果、同期に利用するポートが無効である、又は活性状態でない場合、構成定義設定部１２へエラーを通知する。このとき、併せてエラーの内容も通知するとよい（Ｓ１１７）。その後、既設スイッチ２Ａから構成定義を取得することなく、待ち受け状態へ戻る。

一方、同期に利用するポートが有効かつ活性状態であれば、該当ポートを介して構成定義を取得する。具体的には、構成定義送受信部１１は、構成定義要求メッセージ７１を作成し、作成したメッセージを指定ポートから送信する（Ｓ１１２）。

その後、指定ポートにおいて構成定義通知メッセージ７２を待ち受ける（Ｓ１１３）。そして、構成定義通知メッセージ７２を受信すると（Ｓ１１４）、構成定義通知メッセージ７２中の構成定義フィールドを解析して、通知された構成定義の内容によって新設スイッチ１の構成定義１４を更新する（Ｓ１１５）。その後、構成定義管理部１３へ構成定義の更新を通知する（Ｓ１１６）。

構成定義送受信部１１は、構成定義要求メッセージの送信後、構成定義通知メッセージを受信せずに、予め定められた時間が経過すると、構成定義設定部１２へエラーを通知する。そして、構成定義の同期処理を終了して、待ち受け状態へ戻る。

図１６は、第１の実施の形態の活性ポートを介して構成定義を同期する処理のフローチャートであり、管理者が入力した構成定義において同期に利用するポートが指定されていた場合に、構成定義送受信部１１で実行される。

新設スイッチ１は、活性状態のポートを検索し、活性状態のポートを介して既設スイッチ２Ａから構成定義を取得する。

まず、構成定義送受信部１１は、新設スイッチ１に備わるポートの一つを選択し（Ｓ１２１）、選択されたポートが活性状態かを調べる（Ｓ１２２）。

その結果、選択されたポートが活性状態でなければ、スイッチ１内に未選択ポートがあるか否かを調べる（Ｓ１２８）。その結果、未選択ポートが見つかれば、次のポートを選択し、ステップＳ１２２に戻る。一方、未選択ポートが見つからなければ、全てのポートの調査が完了したので、待ち受け状態へ戻る。

一方、選択されたポートが活性状態であれば、構成定義要求メッセージ７１を作成し、作成したメッセージを指定ポートから送信する（Ｓ１２３）。

その後、指定ポートにおいて構成定義通知メッセージ７２を待ち受ける（Ｓ１２４）。そして、構成定義通知メッセージ７２を受信すると（Ｓ１２５）、構成定義通知メッセージ７２中の構成定義フィールドを解析して、通知された構成定義の内容によって新設スイッチ１の構成定義１４を更新する（Ｓ１２６）。その後、構成定義管理部１３へ構成定義の更新を通知する（Ｓ１２７）。

構成定義送受信部１１は、構成定義要求メッセージの送信後予め定められた時間が経過しても、構成定義通知メッセージを受信しなかった場合、スイッチ１内に未選択ポートがあるか否かを調べる（Ｓ１２８）。その結果、未選択ポートが見つかれば、次のポートを選択し、ステップＳ１２２に戻る。一方、未選択ポートが見つからなければ、全てのポートの調査が完了したので、待ち受け状態へ戻る。

図１７は、第１の実施の形態の構成定義更新処理のフローチャートであり、構成定義管理部１３で実行される。

新設スイッチ１の構成定義管理部１３は、構成定義送受信部１１から構成定義の更新通知を受信すると、構成定義１４を読み出して（Ｓ１３１）、構成定義の記述内容にしたがってフレーム転送部１５及びフィルタ部１６を設定する。

具体的には、構成定義管理部１３は、読み出した構成定義にフィルタの設定が含まれるか否かを調べる（Ｓ１３２）。その結果、読み出した構成定義にフィルタの設定が含まれる場合、読み出した構成定義の内容に従ってフィルタ部１６に格納されるフィルタルールを更新する（Ｓ１３３）。

さらに、その他の設定が必要であれば、読み出した構成定義を解析し、構成定義を更新する（Ｓ１３４）。

その後、フレームを転送するポートを開放し、フレーム転送部１５へフレーム転送の開始を指示する（Ｓ１３５）。

図１８は、第１の実施の形態のフィルタルールテーブル１０１の構成図である。

フィルタルールテーブル１０１は、読み込んだ構成定義１４２に従って構成定義管理部１３によって生成される。

フィルタルールテーブル１０１は、ポート、フィルタ条件及び動作のデータを含む。

フィルタ部１６は、フィルタルールテーブル１０１に従って、フィルタ条件に適合するフレームに対し動作に規定された処理をする。

具体的には、構成定義送受信部１１が図７に示す構成定義を受信し、構成定義管理部１３に構成定義の更新を通知した場合、構成定義管理部１３は、宛先ポート番号が１３７のＵＤＰパケット、宛先ポート番号が１３８のＵＤＰパケット及び宛先ポート番号が１３９のＴＣＰパケットを廃棄するようフィルタ部１６を設定する。

図１９は、第１の実施の形態の構成定義送信処理のフローチャートであり、構成定義送受信部２１で実行される。

既設スイッチ２Ａの構成定義送受信部２１は、新設スイッチ１の構成定義送受信部１１から構成定義要求メッセージ７１を受信すると、既設スイッチ２Ａの構成定義２４を読み出す（Ｓ１４１）。そして、読み出した内容を構成定義フィールドに格納した構成定義通知メッセージ７２を作成する（Ｓ１４２）。そして、作成した構成定義通知メッセージ７２を構成定義要求メッセージ７１を受信したポートから返信し（Ｓ１４３）、待ち受け状態へ戻る。

以上説明したように、第１の実施の形態のスイッチ１は、運用中のネットワークへ接続された際に、既設スイッチ２Ａからフィルタ設定を含む構成定義を受信して、自装置の設定に反映させる。これによって、運用中のネットワークのセキュリティポリシーを反映させるためのフィルタルールを記述する必要がなくなる。新設スイッチの導入に伴って、管理者がフィルタルールを記述する作業が不要になることで、ネットワークの増設に伴う作業コストを低減できる。

また、第１の実施の形態のスイッチを用いると、スイッチ設置時の管理者の操作ミスを防止できる。スイッチの構成定義の中でもフィルタルールの設定を含むセキュリティの設定は、設定内容の誤りがネットワークのセキュリティを低下させるため、指定するプロトコルやポート番号を誤りなく構成定義に記述することが求められる。

本発明のスイッチは、管理者による操作を介さずに、新設スイッチ１に、運用中のセキュリティの設定及びネットワークの運用管理の設定を適用できる。これによって、操作ミスによるセキュリティの低下と管理設定の未適用を防止できる。

（実施形態２）
本発明の第２の実施の形態のスイッチは、起動時に自装置のポートに他のスイッチが接続されたことを検出し、接続された他のスイッチから自動的に構成定義を取得する。この場合、スイッチは、起動後に読み込んだ構成定義中に<synchronization>エレメントが存在しない場合にも、活性状態のポートを自動的に検索し、既設スイッチから構成定義を取得する。

なお、第２の実施の形態では、後述する相違点を除き、前述した第１の実施の形態とスイッチの構成は同じであるため、同一の構成は同一の符号を付し、その説明は省略する。

図２０は、第２の実施の形態の新設スイッチ１と既設スイッチ２Ａとの間の構成定義同期処理のシーケンス図である。

第２の実施の形態では、構成定義が定義されていない場合に、活性ポートを自動検索して構成情報を取得する。

既設スイッチ２Ａは、フィルタルールが設定され（２００１）、ネットワーク５内で動作している。

その後、ネットワークの拡張のため、管理者が既設スイッチ２Ａと新設スイッチ１との間をケーブルで接続する（２００２、２００３）。

その後、新設スイッチ１が起動すると、自装置の構成定義１４を読み出し、その内容を解析する（２００５）。具体的には、構成定義１４に<synchronization>エレメントが存在しない場合、活性ポートを検索して（２００６）、活性ポートを介して構成定義要求メッセージ７１を送信する。

既設スイッチ２Ａは、新設スイッチ１から構成定義要求メッセージ７１を受信すると、構成定義２４を読み出し、読み出した構成定義を格納した構成定義通知メッセージ７２を生成する。そして、生成した構成定義通知メッセージ７２を、構成定義要求メッセージ７１の応答として、新設スイッチ１へ返信する。

新設スイッチ１は、構成定義通知メッセージ７２を受信することによって、既設スイッチ２Ａに設定された構成定義を取得する。この取得した構成定義によって自装置の構成定義を更新する。また、この構成定義通知メッセージ７２からフィルタ設定を抽出し、フィルタ設定を更新する（２００７）。

新設スイッチ１は、フィルタの設定が終了すると、端末群３が接続されているポートを開放し、入力されたフレームの転送を開始する（２００８）。

図２１は、第２の実施の形態の構成定義の同期処理の説明図であり、新設スイッチ１の構成定義１４が定義されていないときに活性ポートを自動検索する場合の、スイッチ内及びスイッチ間のメッセージの通信を示す。

まず、新設スイッチ１が起動すると、自装置の構成定義１４を読み出し（２０１１）、その内容を解析する。その後、利用可能なポートを検索する。そして検索されたポートを介して、既設スイッチ２の構成定義送受信部２１へ構成定義要求メッセージ７１を送信する。

既設スイッチ２の構成定義送受信部２１は、新設スイッチ１から構成定義要求メッセージ７１を受信すると、構成定義２４の内容を読み出し（２０１２）、構成定義２４の内容を格納した構成定義通知メッセージ７２を作成する。そして、作成した構成定義通知メッセージ７２を新設スイッチ１へ返信する。

新設スイッチ１の構成定義送受信部１１は、既設スイッチ２から構成定義通知メッセージ７２を受信すると、受信したメッセージから構成定義を抽出し、抽出された構成定義の内容によって自装置の構成定義１４を更新する（２０１３）。その後、構成定義管理部１３へ構成定義の更新を通知する（２０１４）。

構成定義管理部１３は、構成定義送受信部１１から構成定義の更新通知を受信すると、自装置内の構成定義１４を読み出して（２０１５）、更新されたフィルタルールをフィルタ部１６に適用する（２０１６）。その後、フレーム転送部１５へフレーム転送の開始を指示する（２０１７）。

図２２は、第２の実施の形態の管理者が構成定義要求操作を実行した場合の処理のフローチャートであり、構成定義送受信部１１で実行される。

スイッチ１が起動すると（Ｓ２０１）、構成定義送受信部１１は、自装置の構成定義１４が既に定義されているか否かを調べる（Ｓ２０２）。その結果、構成定義１４が定義されていなければ、活性ポートを介して、既設スイッチ２Ａとの間で構成定義要求メッセージ７１及び構成定義通知メッセージ７２を送受信する（図１６参照）。

一方、構成定義１４が既に定義されていれば、構成定義１４を読み出し、読み出した構成定義の内容を解析する（Ｓ２０３）。そして、当該構成定義に既設スイッチとの同期を指示する<synchronization>エレメントが存在するか否かを調べる（Ｓ２０４）。

その結果、<synchronization>エレメントが存在しなければ、活性ポートを介して、既設スイッチ２Ａとの間で構成定義要求メッセージ７１及び構成定義通知メッセージ７２を送受信する（図１６参照）。

一方、<synchronization>エレメントが存在すれば、構成定義に記述された方法で、既設スイッチ２Ａとの同期が必要であると判定し、さらに<synchronization>エレメント内に<interface>エレメントが存在するか否かを調べる（Ｓ２０５）。<interface>エレメントが存在すれば、<interface>エレメントで指定されるポートを介して、既設スイッチ２Ａとの間で構成定義要求メッセージ７１及び構成定義通知メッセージ７２を送受信する（図１５参照）。

一方、<interface>エレメントが存在しなければ、活性ポートを介して、既設スイッチ２Ａとの間で構成定義要求メッセージ７１及び構成定義通知メッセージ７２を送受信する（図１６参照）。

第２の実施の形態の既設スイッチ２Ａの構成定義送受信部２１は、第１の実施の形態の構成定義送信処理（図１９）と同様に動作する。すなわち、構成定義要求メッセージ７１を受信すると、構成定義２４を読み出し（Ｓ１４１）、読み出した構成定義を含む構成定義通知メッセージ７２を作成し（Ｓ１４２）、構成定義通知メッセージ７２を送信する（Ｓ１４３）。

また、新設スイッチ１の構成定義管理部１３は、第１の実施の形態の構成定義更新処理（図１７）と同様に動作する。すなわち、構成定義送受信部から構成定義の更新通知を受信すると、構成定義１４を読み出し（Ｓ１３１）、更新されたフィルタルールをフィルタ部に設定し（Ｓ１３３）、他の設定項目があればそれを反映し（Ｓ１３４）、フレーム転送部１５へフレーム転送の開始を指示する（Ｓ１３５）。

図２３は、第２の実施の形態の新設スイッチ１と既設スイッチ２Ａとの間の別の構成定義同期処理のシーケンス図である。

図２３に示す構成定義同期処理は、リンクアップを契機に構成定義を同期させる。すなわち、新設スイッチ１と既設スイッチ２Ａとをケーブルで接続すると、回線インターフェースが活性状態へと遷移する。この活性状態への遷移を契機に、新設スイッチ１と既設スイッチ２Ａとの間で構成定義を同期させる。

電源の投入によって新設スイッチ１が起動すると（２０２１）、活性状態のポートがあるかを調べる（２０２２）。その結果、活性状態のポートがなければ待ち受け状態に入る。

待ち受け状態の新設スイッチ１と既設スイッチ２Ａとが接続されると（２０２３、２０２４）、新設スイッチ１は回線インターフェースの活性状態への遷移を検出する。そして、新設スイッチ１は、活性状態に遷移したポートを介して、既設スイッチ７２に、構成定義要求メッセージ７１を送信する。

既設スイッチ２Ａは、新設スイッチ１から構成定義要求メッセージ７１を受信すると、構成定義２４を読み出し、読み出した構成定義を格納した構成定義通知メッセージ７２を生成する。そして、生成した構成定義通知メッセージ７２を、構成定義要求メッセージ７１の応答として、新設スイッチ１へ返信する。

新設スイッチ１は、構成定義通知メッセージ７２を受信することによって、既設スイッチ２Ａに設定された構成定義を取得する。この取得した構成定義によって自装置の構成定義を更新する。また、この構成定義通知メッセージ７２からフィルタ設定を抽出し、フィルタ設定を更新する（２０２５）。

新設スイッチ１は、フィルタの設定が終了すると、更新されたフィルタルールを適用してフレーム転送を開始する（２０２６）。
図２３に示す構成定義同期処理時の新設スイッチ１及び既設スイッチ２Ａの構成は、図２１にて前述したものと同じである。新設スイッチ１の構成定義送受信部１１は、第１の実施の形態の構成同期処理（図１５）と同様に動作する。すなわち、活性状態に遷移したポートを指定して（Ｓ１１１）、指定ポートを介して構成定義要求メッセージ７１を送信する（Ｓ１１２）。そして、既設スイッチ２Ａから構成定義通知メッセージ７２を受信すると（Ｓ１１４）、構成定義１４を更新し（Ｓ１１５）、構成定義１４の更新を構成定義管理部１３へ通知する（Ｓ１１６）。

また、既設スイッチ２Ａの構成定義送受信部２１は、前述した第１の実施の形態の構成定義送信処理（図１９）と同様に動作する。すなわち、構成定義要求メッセージ７１を受信すると、構成定義２４を読み出し（Ｓ１４１）、読み出した構成定義を含む構成定義通知メッセージ７２を作成し（Ｓ１４２）、構成定義通知メッセージ７２を送信する（Ｓ１４３）。

また、新設スイッチ１の構成定義管理部１３は、第１の実施の形態の構成定義送信処理（図１７）と同様に動作する。すなわち、構成定義送受信部１１から構成定義の更新通知を受信すると、構成定義１４を読み出し（Ｓ１３１）、更新されたフィルタルールをフィルタ部に設定し（Ｓ１３３）、フレーム転送部１５へフレーム転送の開始を指示する（Ｓ１３５）。

以上説明したように、第２の実施の形態のスイッチ１は、新設スイッチ１の起動時に既設スイッチ２Ａから新設スイッチ１へ構成定義を通知することによって、起動時にフィルタ設定を同期することができる。また、リンクアップを契機に既設スイッチ２Ａから新設スイッチ１へ構成定義を通知することによって、起動時だけでなく、運用開始後にもフィルタ設定を同期することができる。起動時及び運用開始後にフィルタ設定を同期させることによって、任意の時点で新設スイッチ１のフィルタ設定を同期させ、セキュリティの低下を防止することができる。

（実施形態３）
本発明の第３の実施の形態のスイッチは、前述したように構成定義内に隣接スイッチとの構成定義同期の指示を記述するだけでなく、新設スイッチを既設スイッチに接続した後、既設スイッチ側の入出力装置１０４から構成定義の同期を指示することができる。このため、既設スイッチと新設スイッチの間でセキュリティ設定及び運用管理設定を同期させることができる。

なお、第３の実施の形態では、後述する相違点を除き、前述した第１の実施の形態とスイッチの構成は同じであるため、同一の構成は同一の符号を付し、その説明は省略する。

図２４は、第３の実施の形態の新設スイッチ１と既設スイッチ２Ａとの間の構成定義同期処理のシーケンス図である。

既設スイッチ２Ａは、フィルタルールが設定され（３００１）、ネットワーク５内で動作している。

その後、ネットワークの拡張のため、管理者が既設スイッチ２Ａと新設スイッチ１との間をケーブルで接続する（３００２、３００３）。

その後、管理者が既設スイッチ２Ａの入出力装置１０４を介して構成定義要求を指示すると（３００４）、構成定義２４を読み出し、読み出した構成定義を格納した構成定義通知メッセージ７２を生成する。そして、生成した構成定義通知メッセージ７２を、構成定義要求メッセージ７１の応答として、新設スイッチ１へ送信する。

新設スイッチ１は、構成定義通知メッセージ７２を受信することによって、既設スイッチ２Ａに設定された構成定義を取得する。この取得した構成定義によって自装置の構成定義を更新する。また、この構成定義通知メッセージ７２からフィルタ設定を抽出し、フィルタ設定を更新する（３００５）。

新設スイッチ１は、フィルタの設定が終了すると、更新されたフィルタルールを適用してフレーム転送を開始する（３００６）。

図２５は、第３の実施の形態の新設スイッチに構成定義の同期を指示する画面の説明図である。

管理者は、既設スイッチ２Ａの入出力装置１０４を操作して、この設定画面によって構成定義の同期を実行するポートを指定する。この設定画面には、既設スイッチ２Ａが持つポートの名称と、それらのポートと隣接スイッチとの間のリンク状態とが表示される。管理者は、設定画面上に表示された複数のポートのうち、既設スイッチ２Ａと構成定義を同期させる新規スイッチ１が接続されたポートを指定する。

管理者は、設定画面に表示されるポート毎のリンク状態を確認できるため、新規スイッチ１と既設スイッチ２Ａとの接続時に、接続に利用しているポートを容易に把握できる。このため、管理者は構成定義を同期させるポートを指定する際の作業誤りを軽減できる。

入出力装置１０４は、ポート番号の妥当性（ポートの有効／無効及び活性／不活性）、を調べた結果を表示し、有効かつ活性なポートである場合は、該当ポートを介した構成定義同期の成功又は失敗を入出力装置１０４に表示する。

なお、管理者が、コマンド・ライン・インターフェースによって構成定義の同期に利用するポートを指定するように構成することもできる。その場合、管理者は、構成定義の同期を表すコマンド文字列と、利用するポートの番号を入力する。

図２６は、第３の実施の形態の構成定義の同期処理の説明図であり、既設スイッチ２Ａから構成情報の同期を指示する場合の、スイッチ内及びスイッチ間のメッセージの通信を示す。

まず、新設スイッチ１と既設スイッチ２Ａとが接続された状態で、管理者は既設スイッチ２Ａ側の入出力装置へ構成定義の同期指示を入力する（３０１１）。

構成定義設定２２は、管理者が入力した構成定義の同期指示を受信すると、構成定義送受信部２１に送る（３０１２）。

構成定義送受信部２１は、管理者が入力した構成定義の同期指示を受信すると、受信した同期指示に含まれる利用ポート番号を解析する。そして、解析された番号のポートの有効性及びポートの活性状態を調べる。そして、ポートが利用可能であれば、構成定義２４の内容を読み出し（３０１３）、構成定義２４の内容を格納した構成定義通知メッセージ７２を作成する。そして、作成した構成定義通知メッセージ７２を新設スイッチ１へ送信する。

新設スイッチ１の構成定義送受信部１１は、既設スイッチ２から構成定義通知メッセージ７２を受信すると、受信したメッセージから構成定義を抽出し、抽出された構成定義の内容によって自装置の構成定義１４を更新する（３０１４）。その後、構成定義管理部１３へ構成定義の更新を通知する（３０１５）。

構成定義管理部１３は、構成定義送受信部１１から構成定義の更新通知を受信すると、自装置内の構成定義１４を読み出して（３０１６）、更新されたフィルタルールをフィルタ部１６に適用する（３０１７）。その後、フレーム転送部１５へフレーム転送の開始を指示する（３０１８）。

図２７は、第３の実施の形態の構成定義送信処理のフローチャートであり、既設スイッチ２Ａ側から構成定義の同期を指示する場合に、構成定義送受信部２１で実行される。

既設スイッチ２Ａの構成定義送受信部２１は、管理者が入力した構成定義同期指示を受信すると、その内容を解析しポート番号を抽出する。そして、管理者が指定した番号のポートが有効か否か、活性状態であるか否か、また、アップリンクかダウンリンクかを調べる（Ｓ３０１）。

その結果、指定されたポートが有効であり、活性状態であり、かつ、アップリンク状態であれば、構成定義２４を読み出す（Ｓ３０２）。そして、読み出した内容を構成定義フィールドに格納した構成定義通知メッセージ７２を作成する（Ｓ３０３）。そして、作成した構成定義通知メッセージ７２を当該ポートから返信し（Ｓ３０４）、待ち受け状態へ戻る。

一方、指定されたポートが無効である、活性状態でない、又は、ダウンリンク状態であるのいずれかの場合、構成定義設定部２２へエラーを通知する（Ｓ３０５）。

以上説明したように、第３の実施の形態のスイッチは、既設スイッチの２Ａ入出力装置から構成定義の同期を指示することができるので、スイッチの起動時だけでなく起動後も、新設スイッチ１と既設スイッチ２Ａの間で構成定義を同期させることができる。

また、構成定義の同期に利用するポートを入出力装置１０４から設定するので、管理者は、構成定義通知メッセージ７２の送信先を新設スイッチのみに限定できる。これによって、既設スイッチ２Ａに接続されている複数のスイッチ及び端末に構成定義通知メッセージ７２が送信されることがない。これによって、セキュリティ設定及び運用管理設定の不要な拡散を防止し、ネットワーク運用上のセキュリティを高めることができる。

図２８は、第３の実施の形態の構成定義同期処理のフローチャートであり、構成定義送受信部１１で実行される。

構成定義送受信部１１は、隣接スイッチ２Ａから構成定義通知メッセージ７２を受信すると（Ｓ３１１）、構成定義通知メッセージ７２中の構成定義フィールドを解析して、通知された構成定義の内容によって新設スイッチ１の構成定義１４を更新する（Ｓ３１２）。その後、構成定義管理部１３へ構成定義の更新を通知する（Ｓ３１３）。その後、構成定義同期処理を終了して、待ち受け状態へ戻る。

（実施形態４）
本発明の第４の実施の形態のスイッチは、リンクアップを契機として構成定義を既設スイッチから新設スイッチへ通知する際、互いの構成定義の設定状態を把握して構成定義を同期させる。

なお、第４の実施の形態では、後述する相違点を除き、前述した第１の実施の形態とスイッチの構成は同じであるため、同一の構成は同一の符号を付し、その説明は省略する。

図２９は、第４の実施の形態の新設スイッチ１と既設スイッチ２Ａとの間の構成定義同期処理のシーケンス図である。

電源の投入によって新設スイッチ１が起動すると（４００１）、活性状態のポートがあるかを調べる（４００２）。その結果、活性状態のポートがなければ待ち受け状態に入る。

待ち受け状態の新設スイッチ１と既設スイッチ２Ａとが接続されると（４００３、４００４）、新設スイッチ１は回線インターフェースの活性状態への遷移を検出する。そして、新設スイッチ１は、活性状態に遷移したポートを介して、既設スイッチ７２に、状態通知メッセージ７３を送信する。

既設スイッチ２Ａは、新設スイッチ１から状態通知メッセージ７３を受信すると、自装置の状態を状態通知メッセージ７３にして、新設スイッチ１へ返信する。この状態通知メッセージ７３の交換によって、新設スイッチ１及び既設スイッチ２Ａは、互いの構成定義の設定状態を把握する。

新設スイッチ１は、状態通知メッセージ７３を受信すると、新設スイッチ１の設定状態及び既設スイッチ２Ａの設定状態を調べる。そして、新設スイッチ１が未設定状態で、かつ既設スイッチ２Ａが既設定状態の場合に、当該ポートを介して、既設スイッチ２Ａに、構成定義要求メッセージ７１を送信する。

既設スイッチ２Ａは、新設スイッチ１から構成定義要求メッセージ７１を受信すると、構成定義２４を読み出し、読み出した構成定義を格納した構成定義通知メッセージ７２を生成する。そして、生成した構成定義通知メッセージ７２を、構成定義要求メッセージ７１の応答として、新設スイッチ１へ返信する。

新設スイッチ１は、構成定義通知メッセージ７２を受信することによって、既設スイッチ２Ａに設定された構成定義を取得する。この取得した構成定義によって自装置の構成定義を更新する。また、この構成定義通知メッセージ７２からフィルタ設定を抽出し、フィルタ設定を更新する（４００５）。

図３０は、第４の実施の形態の状態通知メッセージ７３のフォーマットの説明図である。

状態通知メッセージ７３は、ヘッダ７１１、メッセージ種別フィールド７３１、同期状態フィールド７３２及び設定状態フィールド７３３を含む。

ヘッダ７１１の宛先アドレスフィールドには、状態通知先のスイッチのＭＡＣアドレスが格納される。ヘッダ７１１の信元アドレスフィールドには、状態通知元のスイッチのＭＡＣアドレスが格納される。ヘッダ７１１のＴｙｐｅフィールドには、第４の実施の形態の構成定義同期処理に用いるメッセージであることを示す識別子が格納される。

メッセージ種別フィールド７３１には、状態通知であることを表す識別子が格納される。

同期状態フィールド７３２には、メッセージの宛先のスイッチとの同期状態が格納される。

設定状態フィールド７３３には、自装置の構成定義の設定状態が格納される。具体的には、状態通知メッセージ７３を送信する際、スイッチが初期状態で起動したままの場合（すなわち、構成定義が設定されていない場合）は未設定状態のフラグが設定される。また、既に構成定義が設定されている場合は、既設定状態のフラグが設定される。

図３１は、第４の実施の形態の構成定義の同期処理の説明図であり、スイッチの同期状態によって構成定義を同期する場合の、スイッチ内及びスイッチ間のメッセージの通信を示す。

第４の実施の形態の新設スイッチ１は、同期状態管理テーブル１７ａを備える。また、既設スイッチ２Ａは、同期状態管理テーブル１７ｂを備える。同期状態管理テーブル１７ａ、１７ｂは、各スイッチのメモリに格納されている。

新設スイッチ１が起動し、隣接するスイッチとの間でリンクが確立すると、構成定義送受信部１１は、同期状態管理テーブル１７ａから同期状態を読み出して（４０１１）、状態通知メッセージ７３を作成する。そして、作成した状態通知メッセージ７３を、リンクアップしたポートを介して隣接する既設スイッチ２Ａへ送信する。

既設スイッチ２の構成定義送受信部２１は、新設スイッチ１から状態通知メッセージ７３を受信すると、同期状態管理テーブル１７ｂから同期状態を読み出して（４０１２）、状態通知メッセージ７３を作成する。そして、作成した状態通知メッセージ７３を、新設スイッチ１へ返信する。

新設スイッチ１は、状態通知メッセージ７３を受信すると、自装置及び隣接する装置の状態を判定する。その結果、新設スイッチ１が未設定状態で、かつ既設スイッチ２Ａが既設定状態の場合に、既設スイッチ２の構成定義送受信部２１へ構成定義要求メッセージ７１を送信する。

既設スイッチ２の構成定義送受信部２１は、新設スイッチ１から構成定義要求メッセージ７１を受信すると、構成定義２４の内容を読み出し（４０１３）、構成定義２４の内容を格納した構成定義通知メッセージ７２を作成する。そして、作成した構成定義通知メッセージ７２を新設スイッチ１へ返信する。

新設スイッチ１の構成定義送受信部１１は、既設スイッチ２から構成定義通知メッセージ７２を受信すると、受信したメッセージから構成定義を抽出し、抽出された構成定義の内容によって自装置の構成定義１４を更新する（４０１４）。その後、構成定義管理部１３へ構成定義の更新を通知する（４０１５）。

構成定義管理部１３は、構成定義送受信部１１から構成定義の更新通知を受信すると、自装置内の構成定義１４を読み出して（４０１６）、更新されたフィルタルールをフィルタ部１６に適用する（４０１７）。その後、フレーム転送部１５へフレーム転送の開始を指示する（４０１８）。

図３２は、第４の実施の形態の同期状態管理テーブル１７ａの説明図である。

なお、新設スイッチ１に備わる同期状態管理テーブル１７ａについて説明するが、既設スイッチ２Ａに備わる同期状態管理テーブル１７ｂの構成も同一である。

同期状態管理テーブル１７ａは、ポート番号、同期状態及び隣接スイッチの状態を含む。

ポート番号は、スイッチ１に備わるポートの番号である。同期状態は、当該ポートに接続された隣接スイッチとの構成定義の同期状態である。隣接スイッチの状態は、接続された隣接スイッチの構成定義の設定状態である。

図３３は、第４の実施の形態の同期状態の遷移の説明図である。図３３に示される同期状態は、同期状態管理テーブル１７ａ、１７ｂの「同期状態」欄に格納される。

第４の実施の形態では、スイッチ１の同期状態は、リンクダウン４０２１、リンクアップ４０２２、状態通知受信４０２３、状態通知送信４０２４、状態通知完了４０２５及び構成定義同期４０２６の、六つの状態があり、ポート毎にその状態が判定される。

リンクダウン状態４０２１は、ポートに何も接続されていない状態、又は、入出力装置１０４によってポートが不活性に設定されている状態である。リンクアップ状態４０２２は、回線インターフェースが活性になっている状態である。

状態通知受信状態４０２３は、隣接するスイッチから状態通知メッセージを受信したが、状態通知メッセージを送信していない状態である。状態通知送信状態４０２４は、隣接するスイッチへ状態通知メッセージを送信したが、状態通知メッセージを受信していない状態である。

状態通知完了状態４０２５は、隣接するスイッチとの間で状態通知メッセージを送受信が完了した状態である。構成定義同期状態４０２６は、構成定義の同期が完了した状態である。

構成定義送受信部１１は、リンクダウン状態４０２１において、ポートに隣接スイッチが接続されて回線インターフェースが活性状態になると、そのポートの状態はリンクアップ４０２２へ遷移する。

第４の実施の形態のスイッチは、ポートがリンクアップ状態４０２２に遷移した場合、予め定められた待ち時間の後に、そのポートを介して隣接スイッチへ、自装置の構成定義の設定状態を格納した状態通知メッセージ７３を送信する。状態通知メッセージ７３の送信後、そのポートの状態は状態通知送信状態４０２３へ遷移する。

状態通知メッセージ７３を送信した後、そのポートを介して隣接スイッチから状態通知メッセージを受信すると、そのポートの状態は状態通知完了状態４０２５へ遷移する。

また、リンクアップ状態に遷移したポートで、状態通知メッセージ７３を送信する前に、隣接するスイッチから状態通知メッセージ７３を受信した場合、そのポートの状態は状態通知受信状態４０２４へ遷移する。

ポートの状態が状態通知受信状態４０２４に遷移すると、自装置の構成定義の設定状態を含めた状態通知メッセージ７３をそのポートから隣接スイッチへ返信する。そして、この状態通知メッセージ７３の送信後、そのポートの状態は状態通知完了状態４０２４へ遷移する。

また、状態通知完了状態４０２４に遷移したポートがあると、当該ポートに接続された隣接スイッチと、このスイッチとの間で、互いの構成定義の設定状態を把握している。自装置及び隣接スイッチの構成定義の設定状態に応じて以下のように動作する。

自装置及び隣接スイッチの双方が未設定状態である場合、又は双方が既設定状態である場合、ポートの状態は状態通知完了状態４０２４から構成定義同期状態４０２５へ遷移する。

自装置が未設定状態で、隣接スイッチが既設定状態である場合、隣接スイッチへ構成定義要求メッセージ７１を送信し、その返信として隣接スイッチから構成定義通知メッセージ７２を受信する。この構成定義通知メッセージ７２を解析し、自装置の構成定義を変更する。そして、ポートの状態は状態通知完了状態４０２４から構成定義同期状態４０２５へ遷移する。

自装置が既設定状態で隣接スイッチが未設定状態である場合、隣接スイッチからの構成定義要求メッセージ７１を待ち受け、構成定義要求メッセージ７１の返信として構成定義通知メッセージ７２を送信する。そして、隣接スイッチが構成定義通知メッセージの内容によって構成定義を変更した後、ポートの状態は状態通知完了状態４０２４から構成定義同期状態４０２５へ遷移する。

また、隣接スイッチと構成定義を同期させた後に、構成定義を消去すると、リンクアップしている全てのポートの状態は構成定義同期状態４０２５からリンクアップ状態４０２２へ遷移する。この状態は、初期状態において既設装置に接続された場合と等しい。隣接スイッチには構成定義が設定されているので、再度この隣接スイッチとの間で、状態通知メッセージ７３、構成定義要求メッセージ７１及び構成定義通知メッセージ７２を送受信して、構成定義を同期する。

図３４は、第４の実施の形態の設定状態の遷移の説明図である。図３３に示される同期状態は、同期状態管理テーブル１７ａ、１７ｂの「隣接スイッチの状態」欄に格納される。

未設定状態のスイッチは、隣接スイッチからの構成定義の通知７２、又は入出力装置１０４にからの構成定義の設定によって既設定状態４０３１に遷移する。既設定状態４０３１のスイッチは、構成定義の消去によって未設定状態４０３２へ遷移する。

また、ポートがリンクアップして隣接スイッチからの構成定義を待ち受けているスイッチは、構成定義待受状態４０３３となる。構成定義待受状態４０３３のスイッチは、構成定義の通知７２の受信によって既設定状態４０３１へ遷移し、タイムアウト又は通知不許可により未設定状態４０３２へ遷移する。

図３５は、第４の実施の形態の状態通知送信処理のフローチャートであり、構成定義送受信部１１及び２１で実行される。

新設スイッチ１及び既設スイッチ２Ａは、自装置のポートがリンクアップすると、状態通知送信処理を開始する（Ｓ４０１）。

まず、同期状態管理テーブル１７ａ等を参照し、自装置の構成定義の設定状態を調べる（Ｓ４０２）。そして、その設定状態を格納し、同期状態をリンクダウン状態に設定した状態通知メッセージを作成する（Ｓ４０３）。

この状態通知メッセージをリンクアップしたポートを介して送信する（Ｓ４０４）。そして、同期状態管理テーブル１７ａ等に格納された当該ポートの同期状態を、状態通知送信状態へ更新する（Ｓ４０５）。

最後に、状態通知タイマを設定する（Ｓ４０６）。この状態通知タイマによって、隣接スイッチから状態通知の受信を待受時間が定まる。

すなわち、待受状態にある構成定義送受信部１１、２１は、状態通知タイマの動作中は、隣接スイッチから状態通知の受信を待ち受ける。その後、状態通知タイマがタイムアップすると、再度、状態通知処理を開始し、リンクアップしたポートを介して状態通知メッセージ７３を送信する。これによって、状態通知を送信した隣接スイッチから状態通知を受信しない場合に、隣接スイッチに再度自装置の設定状態を通知する。

その後、待ち受け状態へ戻り、状態通知送信フローを終了する（Ｓ４０７）。

図３６は、第４の実施の形態の状態通知受信処理のフローチャートであり、構成定義送受信部１１及び２１で実行される。

新設スイッチ１及び既設スイッチ２Ａは、隣接スイッチから状態通知メッセージ７３を受信すると、状態通知受信フローを開始する（Ｓ４１１）。

まず、状態通知メッセージ７３を受信したポートに状態通知タイマが設定されている場合、その状態通知タイマを解除する（Ｓ４１２）。

続いて、受信した状態通知メッセージを解析して、隣接スイッチの設定状態を状態通知メッセージから抽出する（Ｓ４１３）。そして、隣接スイッチの構成定義の設定状態を同期状態管理テーブルに反映する（Ｓ４１４）。

その後、構成定義要求送信処理を実行し、隣接スイッチに構成定義要求メッセージを送信するかを判定する（Ｓ４１５）。その後、待ち受け状態へ戻り、状態通知受信フローを終了する（Ｓ４１６）。

図３７は、第４の実施の形態の構成定義要求処理のフローチャートであり、構成定義送受信部１１、１２で実行される。

新設スイッチ１及び既設スイッチ２Ａは、状態通知メッセージ７３の受信による同期状態管理テーブル１７ａ等の更新に続き、構成定義要求送信処理を開始する。

同期状態管理テーブル１７ａ等から、状態通知メッセージ７３を受信したポートの同期状態を取得する（Ｓ４２２）。

そして、隣接スイッチとの同期状態が状態通知完了状態であるか否かを調べる（Ｓ４２３）。その結果、隣接スイッチとの同期状態が状態通知完了状態でなければ（状態通知受信状態であれば）、隣接スイッチが自装置の状態通知メッセージ７３を認識していないので、状態通知送信処理（図３５）を実行する（Ｓ４２４）。

一方、隣接スイッチとの同期状態が状態通知完了状態であれば、自装置と隣接スイッチが状態通知メッセージ７３を交換済みなので、自装置と隣接スイッチの構成定義の設定状態を比較する（Ｓ４２５）。

その結果、自装置が未設定状態でかつ隣接スイッチが既設定状態であれば、構成定義要求メッセージ７１を作成して（Ｓ４２６）、作成した構成定義要求メッセージ７１を隣接スイッチに送信する（Ｓ４２７）。

新設スイッチ１の構成定義送受信部１１は、前述と同様に、構成定義要求メッセージ７１に対する構成定義通知メッセージ７２の受信によって、構成定義を同期し、フィルタ設定を同期する。新設スイッチ１の構成定義管理部１３は、前述と同様に、更新された構成定義に基づいてフィルタルールを更新する。

一方、自装置が未設定状態ではなく、又は隣接スイッチが既設定状態でなければ、構成定義を同期しない。

その後、構成定義要求処理を終了する（Ｓ４２８）。

第４の実施の形態では、新設スイッチが未設定でかつ既設スイッチが設定済の場合を例として説明したが、状態通知メッセージ中に詳細な状態情報を格納することで、新設スイッチと既設スイッチの間の構成定義の同期動作を細かく制御することもできる。

以上説明したように、第４の実施の形態では、設定状態通知メッセージ７３の送受信によって、接続されたスイッチ間での構成定義を同期の必要性を判定する。そして、構成定義の同期が必要と判定すると、構成定義要求メッセージ７１及び構成定義通知メッセージ７２の送受信によって、互いに接続されたスイッチ間で構成定義を同期させる。

これによって、スイッチの設定状態に応じて構成定義を設定できる。また、新規導入装置への管理ポリシー及びセキュリティポリシーを自動的に適用することによって、ネットワークの拡張に伴う管理コストを低減し、セキュリティ低下リスクを軽減することができる。

（実施形態５）
本発明の第５の実施の形態は、構成定義が同期したスイッチの一方がフィルタ設定を変更した場合に、両スイッチが自動的にフィルタ設定を同期させる場合について説明する。

第５の実施の形態では、既設スイッチ２Ａにおける構成定義の変更を、新設スイッチ１に自動的に適用する場合を説明する。

なお、第５の実施の形態では、後述する相違点を除き、前述した第１の実施の形態とスイッチの構成は同じであるため、同一の構成は同一の符号を付し、その説明は省略する。

図３８は、第５の実施の形態の新設スイッチ１と既設スイッチ２Ａとの間の構成定義同期処理のシーケンス図である。

新設スイッチ１と既設スイッチ２Ａとの間で構成定義が同期される（５００１）。その後、既設スイッチ２Ａでフィルタの設定が変更される（５００２）。例えば、異なる種類のパケットを廃棄するフィルタルールが追加される。

既設スイッチ２Ａでフィルタ設定を変更すると、既設スイッチ２Ａは、新設スイッチ１へ、構成定義通知メッセージ７２が送信する。この構成定義通知メッセージ７２は、追加されたフィルタルールの記述が含む。

新設スイッチ１は、既設スイッチ２Ａから受信した構成定義通知メッセージ７２を解析し、追加されたフィルタルールを自装置に追加する（５００３）。

図３９は、第５の実施の形態の構成定義通知メッセージ７２の構成定義フィールド７２１の説明図であり、既設スイッチ２Ａでフィルタ設定が更新された時に、既設スイッチ２Ａから新設スイッチ１へ通知される構成定義通知メッセージの構成定義フィールドの内容を示す。

図３９に示す構成定義フィールド７２１は、図７にて説明した構成定義フィールド７２１に加え、<flow>エレメントに、宛先ポート番号が４４５番のＴＣＰパケットを破棄する設定が記述されている。

図４０は、第５の実施の形態の構成定義の同期処理の説明図であり、既設スイッチ２Ａのフィルタ設定が変更された場合の、スイッチ内及びスイッチ間のメッセージの通信を示す。

第５の実施の形態の既設スイッチ２Ａは、構成定義通知管理テーブル２８を備える。構成定義通知管理テーブル２８は、既設スイッチ２Ａのメモリに格納されており、構成定義通知メッセージ７２を送信したポートを検索するために用いられる。

新設スイッチ１の構成定義と既設スイッチ２Ａの構成定義とが同期した状態で、管理者は既設スイッチ２Ａの入出力装置２０４でフィルタ設定の変更を指示する（５０１１）。

構成定義設定部２２は、管理者からの設定変更の指示に従って、構成定義２４を更新し（５０１２）、構成定義送受信部２１へ構成定義の更新を通知する（５０１３）。

構成定義送受信部２１は、構成定義更新の通知を受信すると、更新された構成定義２４の内容を読み出し（５０１４）、構成定義２４の内容を格納した構成定義通知メッセージ７２を作成する。次に、構成定義通知管理テーブル２８を読み出し（５０１５）、構成定義通知メッセージの送信記録があるポートを介して、作成した構成定義通知メッセージ７２を送信する。

新設スイッチ１の構成定義送受信部１１は、既設スイッチ２から構成定義通知メッセージ７２を受信すると、受信したメッセージから構成定義を抽出し、抽出された構成定義の内容によって自装置の構成定義１４を更新する（５０１６）。その後、構成定義管理部１３へ構成定義の更新を通知する（５０１７）。

構成定義管理部１３は、構成定義送受信部１１から構成定義の更新通知を受信すると、自装置内の構成定義１４を読み出して（５０１８）、更新されたフィルタルールをフィルタ部１６に適用する（５０１９）。すなわち、宛先ポート番号が４４５番のＴＣＰパケットを廃棄対象に加える。

その後、更新されたフィルタルールを適用してフレームを転送する。

図４１は、第５の実施の形態のスイッチ２Ａのブロック図である。

スイッチ２Ａは、ＣＰＵ２０３、入出力装置２０４、メモリ２０５、外部記憶装置２０２、ブリッジ２０６及びスイッチング部２０７を備える。ＣＰＵ２０３、入出力装置２０４及びメモリ２０５は、内部バスによって接続されている。

ＣＰＵ２０３、入出力装置２０４、外部記憶装置２０２、ブリッジ２０６及びスイッチング部２０７は、前述した第１の実施の形態のスイッチ１（図９）の対応する構成と同じである。

メモリ２０５は、ＣＰＵにて実行される各種プログラム及びデータを記憶する。具体的には、構成定義送受信プログラム２１、構成定義設定プログラム２２、構成定義管理プログラム２３、構成定義データ２４及び構成定義通知管理テーブル２８が格納される。構成定義データ２４には、フィルタ設定２０１が格納される。

構成定義通知管理テーブル２８は、構成定義通知メッセージ７２の各ポートからの送信履歴が格納される（図４３参照）。

メモリ２０５に格納された他の構成は、前述した第１の実施の形態のスイッチ１（図９）の対応する構成と同じである。

図４２は、第５の実施の形態のフィルタルールテーブル１０１の構成図である。

フィルタルールテーブル１０１は、受信した構成定義通知メッセージ７２に従って構成定義送受信部１１によって更新される。図４２に示すフィルタルールテーブル１０１は、フィルタルールの更新後を示す。

フィルタルールテーブル１０１は、ポート、フィルタ条件及び動作のデータを含む。

フィルタ部１６は、フィルタルールテーブル１０１に従って、フィルタ条件に適合するフレームに対し動作に規定された処理をする。

具体的には、構成定義管理部１３は、構成定義送受信部１１が図７に示す構成定義を受信し、構成定義管理部１３に構成定義の更新を通知した場合、宛先ポート番号が１３７のＵＤＰパケット、宛先ポート番号が１３８のＵＤＰパケット及び宛先ポート番号が１３９のＴＣＰパケットを廃棄するようフィルタ部１６を設定する。さらに、第５の実施の形態では、構成定義の更新によって、宛先ポート番号が４４５番のＴＣＰパケットを破棄するように設定される。

図４３は、第５の実施の形態の構成定義通知管理テーブル２８の構成図である。

構成定義通知管理テーブル２８は、ポート番号及び該当ポートでの構成定義通知メッセージの送信の有無を含み、スイッチの全てのポートの情報が格納される。

ここでは、スイッチが備えるポートのうち１番と２番のポートを介して、構成定義通知メッセージが送信され、隣接するスイッチとの間で構成定義が同期していることを示す。

図４４は、第５の実施の形態の構成定義送信処理のフローチャートであり、構成定義の初期同期時に構成定義送受信部２１で実行される。

既設スイッチ２Ａの構成定義送受信部２１は、新設スイッチ１の構成定義送受信部１１から構成定義要求メッセージ７１又は構成定義通知メッセージ送信指示を受信すると、構成定義２４を読み出す（Ｓ５０１）。

そして、読み出した内容を構成定義フィールドに格納した構成定義通知メッセージ７２を作成する（Ｓ５０２）。そして、作成した構成定義通知メッセージ７２を指定されたポートから送信する（Ｓ５０３）。

その後、構成定義通知管理テーブル２８に格納された当該ポートの構成定義送受信フラグを「１」に更新する（Ｓ５０４）。この更新によって構成定義を通知したポートがテーブルに記録され、管理者によって構成定義が更新された時に、構成定義通知メッセージを送信すべきポートを検索することができる。

図４５は、第５の実施の形態の構成定義送信処理のフローチャートであり、構成定義の変更時に構成定義送受信部２１で実行される。

既設スイッチ２Ａの構成定義送受信部２１は、構成定義設定部２２から構成定義更新通知を受信すると、構成定義２４を読み出す（Ｓ５１１）。

そして、読み出した内容を構成定義フィールドに格納した構成定義通知メッセージ７２を作成する（Ｓ５１２）。そして、構成定義通知管理テーブル２８を参照して、構成定義の同期に利用されているポートを検索する。そして、構成定義の送信記録があるポートから、作成した構成定義通知メッセージ７２を送信する（Ｓ５１３）。

図４６は、第５の実施の形態のポート検索処理のフローチャートであり、図４５のステップＳ５１３で、構成定義送受信部２１によって実行される。

構成定義更新通知の受信に基づき構成定義通知メッセージ７２が作成されると、ポート検索処理が開始する（Ｓ５２１）。

構成定義送受信部２１は、構成定義通知管理テーブル２８の先頭エントリを選択し、先頭エントリのデータを読み出す（Ｓ５２２）。

そして、読み出した先頭エントリの送受信フラグが「１」か否かを調べる（Ｓ５２３）。

その結果、送受信フラグが「１」でない場合、そのポートでは構成定義通知メッセージを送信していないと判定し、何も処理せずにステップＳ５２６に進み、次のエントリへ移動する。

一方、送受信フラグが「１」であれば、さらにこのエントリのポートが活性状態か否かを調べる（Ｓ５２４）。

その結果、対象とするポートが活性状態であれば、そのポートを送信ポートであると決定し、決定された送信ポートへ更新内容を含む構成定義通知メッセージ７２を送信する（Ｓ５２５）。

一方、送受信フラグが「１」で、かつポートが不活性状態である場合、そのポートに接続されているスイッチとの接続に不具合が発生していると判定し、そのエントリの送受信フラグを「０」にする（Ｓ５２９）。さらに、入出力部２０４へエラーを出力する（Ｓ５３０）。

その後、次のエントリへ移動する（Ｓ５２６）。

その後、全てのエントリの調査が終了しているかを調べる（Ｓ５２７）。そして、全てのエントリが調査されていれば、ポート検索処理を終了し、構成定義送信処理（図４５）に戻る。一方、調査がされていないエントリがあれば、ステップＳ５２３に戻り、更に調査を進める。

新設スイッチ１の構成定義送受信部１１は、第３の実施の形態の構成定義同期処理（図２８）と同様に動作する。すなわち、構成定義通知メッセージ７２を受信すると、メッセージから構成定義を抽出し（Ｓ３１１）、構成定義１４を更新し（Ｓ３１２）、構成定義管理部１３へ構成定義の更新を通知する（Ｓ３１３）。

新設スイッチ１の構成定義管理部１３は、第１の実施の形態の構成定義更新処理（図１７）と同様に動作する。すなわち、構成定義送受信部１１から構成定義の更新通知を受信すると、構成定義１４を読み出し（Ｓ１３１）、更新されたフィルタルールをフィルタ部に設定し（Ｓ１３３）、フレーム転送部１５へフレーム転送の開始を指示する（Ｓ１３５）。

このように、第５の実施の形態では、構成定義通知メッセージ７２の送信によって構成定義を同期させたスイッチに対して、構成定義の更新を通知し、隣接スイッチ１の更新内容を更新することによって、ネットワークの設定変更時に必要な管理者の設定作業を低減できる。また、管理者が人手で作業する場合に問題となる、人的ミスによる設定作業の洩れを回避できる。

なお、第５の実施の形態では既設スイッチ２Ａの構成定義送受信部２１が、構成定義を同期させたスイッチに対して構成定義の更新を通知したが、既設スイッチ２Ａでの構成定義の更新時に活性状態の全てのポートを介して構成定義通知メッセージ７２を送信してもよい。

（実施形態６）
本発明の第６の実施の形態は、第５の実施の形態の変形例であり、既設スイッチ２Ａから新設スイッチ１に更新された部分の構成定義のみを通知することによって、両者のセキュリティ設定及び運用管理設定を同期させる。

また、第６の実施の形態では、新設スイッチ１が既設スイッチ２Ａに構成定義の更新を確認し、構成定義が更新されている場合のみ構成定義を同期させる。

なお、第６の実施の形態では、後述する相違点を除き、前述した第５の実施の形態とスイッチの構成は同じであるため、同一の構成は同一の符号を付し、その説明は省略する。

図４７は、第６の実施の形態の構成定義通知メッセージ７２の構成定義フィールド７２１の説明図であり、既設スイッチ２Ａでフィルタ設定が更新された時に、既設スイッチ２Ａから新設スイッチ１へ通知される構成定義通知メッセージの構成定義フィールドの内容を示す。

<add-config>エレメントは、このエレメント内に含まれる記述が、構成定義の更新部分であることを示す。構成定義通知フィールドの記述は、<add-config>エレメント内に、宛先ポート番号が４４５番のＴＣＰパケットをフィルタ条件に加える<flow>エレメントを含む。

新設スイッチ１の構成定義送受信部１１は、既設スイッチ２Ａから構成定義の差分を含んだ構成定義通知メッセージ７２を受信すると、構成定義１４の該当部分に構成定義通知メッセージに含まれる<flow>エレメントを追加し、構成定義管理部１３へ構成定義の更新を通知する。構成定義管理部１３は、構成定義更新の通知を受信すると、新しいフィルタルールによってフィルタ部１６を更新する。

すなわち、図４７に示す構成定義フィールド７２を含む構成定義通知メッセージ７２によって、既に設定されている３つのフィルタルールに加え、宛先ポート番号が４４５番のＴＣＰパケットの廃棄がフィルタルールに加えられる。

このように、第６の実施の形態では、既設スイッチ２Ａから新設スイッチ１に更新された部分の構成定義のみを通知することによって、両者のセキュリティ設定及び運用管理設定を同期させ際のトラフィックを減少させることができる。

図４８は、第６の実施の形態の新設スイッチ１と既設スイッチ２Ａとの間の構成定義同期処理のシーケンス図であり、新設スイッチ１が構成定義の更新確認をポーリングする場合を示す。

既設スイッチ２Ａは、１２時０分に構成定義が更新されている（６００１）。そして、この更新時刻が、構成定義２４の更新時刻格納領域に保存される（６００２）。

その後、既設スイッチ２Ａと新設スイッチ１との間で、構成定義要求メッセージ７１及び構成定義通知メッセージ７２を交換し、構成定義を同期させる（６００３）。新設スイッチ１は、フィルタ設定を更新する（６００４）。

構成定義の同期後、新設スイッチ１は、隣接する既設スイッチ２Ａへ構成定義の最終更新時刻を要求する更新時刻要求メッセージ７４Ａを所定のタイミングで（例えば、定期的）に送信する。既設スイッチ２Ａは、新設スイッチからの最終更新時刻要求メッセージ７４Ａに対して、更新時刻通知メッセージ７５Ａで構成定義の最終更新時刻を返信する。ここでは、更新時刻通知メッセージ７５Ａ、７５Ｂには、更新時刻１２：００が含まれている。

管理者が１８：００に既設スイッチのフィルタ設定を変更すると、構成定義２４の更新時刻格納領域に更新時刻が保存される（６００２）。

その後、新設スイッチ１が、既設スイッチ２Ａへ更新時刻要求メッセージ７４Ｃを送信すると、既設スイッチ２Ａは、更新時刻１８：００を含む更新時刻通知メッセージ７５Ｃを返信する。

新設スイッチ１は、既設スイッチ２Ａの更新時刻が変わったことを検出すると、構成定義要求メッセージ７１を送信する。そして、新設スイッチ１は、既設スイッチ２Ａから構成定義通知メッセージ７２を受信すると、既設スイッチ２Ａから受信した構成定義に含まれる更新されたフィルタ設定を用いて、フィルタ設定を更新する。

図４９及び図５０は、第６の実施の形態の構成定義の同期処理の説明図であり、新設スイッチ１が既設スイッチ２Ａにポーリングで構成定義の更新を確認する場合の、スイッチ内及びスイッチ間のメッセージの通信を示す。

第６の実施の形態の既設スイッチ２Ａの構成定義２４は、更新によって内容が変化していない部分２４２と、更新によって内容が変化した部分２４１とに区分して記憶されている。

新設スイッチ１の構成定義１４は、構成定義が最後に更新された時刻を格納する更新時刻格納領域１４３含む。更新時刻格納領域１４３は、構成定義設定部１２及び構成定義送受信部１１によって更新できる。

既設スイッチ２の構成定義中２４は、構成定義が最後に更新された時刻を格納する更新時刻格納領域２４３を含む。更新時刻格納領域２４３は、構成定義設定部２２及び構成定義送受信部２１によって更新できる。

管理者は、既設スイッチ２Ａの入出力装置２０４でフィルタ設定の変更を指示する（６０１１）。構成定義設定部２２は、管理者からの設定変更の指示に従って、構成定義２４を更新し、更新時刻を更新時刻格納領域２４３に格納する（６０１２）。その後、構成定義送受信部２１へ構成定義の更新を通知する（６０１３）。

新設スイッチ１の構成定義送受信部１１は、所定のタイミングになると、既設スイッチ２Ａに最終更新時刻要求メッセージ７４Ａを送信する。

既設スイッチ２の構成定義送受信部２１は、構成定義送受信部１１から更新時刻要求メッセージ７４Ａを受信すると、構成定義２４から最終更新時刻２４３を読み出す（６０１４）。そして、読み出した最終更新時刻２４３を格納した更新時刻通知メッセージ７５Ａを作成し、構成定義送受信部１１に更新時刻通知メッセージ７５Ａを送信する。

新設スイッチ１の構成定義送受信部１１は、構成定義更新時刻通知メッセージ７５Ａを受信すると構成定義１４から構成定義更新時刻１４３を読み出す（６０１４）。そして、既設スイッチ２Ａの構成定義更新時刻と自装置の構成定義更新時刻とを比較し、既設スイッチ２Ａの構成定義の更新と自装置の構成定義の更新の先行を判定する。

そして、自装置の構成定義の更新より後に、既設スイッチ２Ａの構成定義が更新されていれば、既設スイッチ２Ａへ構成定義要求メッセージ７１を送信する。

構成定義送受信部２１は、構成定義更新の通知を受信すると、構成定義２４の更新された部分２４２の内容及び更新時刻を読み出し（６０２１）、構成定義の更新部分２４１の内容を格納した構成定義通知メッセージ７２を送信する。なお、このとき、構成定義通知メッセージ７２に構成定義の最終更新時刻２４３を含めてもよい。

新設スイッチ１の構成定義送受信部１１は、既設スイッチ２から構成定義通知メッセージ７２を受信すると、受信したメッセージから構成定義を抽出し、抽出された構成定義の内容によって自装置の構成定義１４を更新する（６０２２）。その後、構成定義管理部１３へ構成定義の更新を通知する（６０２３）。

構成定義管理部１３は、構成定義送受信部１１から構成定義の更新通知を受信すると、自装置内の構成定義１４を読み出して（６０２４）、更新されたフィルタルールをフィルタ部１６に適用する（６０２５）。その後、フレーム転送部１５へフレーム転送の開始を指示する（６０２６）。

図５１は、第６の実施の形態の構成定義確認処理のフローチャートであり、新設スイッチ１がポーリングによって構成定義の更新を確認する場合に、新設スイッチ１側の構成定義送受信部１１で実行される。

構成定義送受信部１１は、所定のタイミングになると、構成定義更新確認処理を実行する（Ｓ６０１）。

まず、隣接する既設スイッチ２Ａに対して、最終更新時刻要求メッセージ７４Ａを送信する（Ｓ６０２）。その後、構成定義更新時刻通知メッセージ７５Ａを待ち受ける（Ｓ６０３）。

そして、構成定義更新時刻通知メッセージ７５Ａを受信すると（Ｓ６０４）、受信した構成定義更新時刻通知メッセージ７５Ａから、既設スイッチ２Ａにおける構成定義の最終更新時刻を抽出する（Ｓ６０５）。また、自装置の構成定義１４から構成定義更新時刻を読み出す（Ｓ６０６）。

そして、既設スイッチ２Ａの構成定義更新時刻と自装置の構成定義更新時刻とを比較する（Ｓ６０７）。その結果、既設スイッチ２Ａの構成定義更新時刻が自装置の構成定義更新時刻より後であれば、既設スイッチ２Ａへ構成定義要求メッセージ７１を送信して（Ｓ６０８）、新設スイッチの構成定義１４を既設スイッチ２Ａの構成定義２４に同期させる。

一方、構成定義更新時刻要求メッセージ７４Ａの送信後一定時間が経過しても、既設スイッチ１からの返信がない場合、タイマを設定して（Ｓ６０９）、待ち受け状態へ戻る。構成定義送受信部１１は、このタイマによって、一定時間の経過後に構成定義更新確認処理（図５１）を再び実行する。

なお、既設スイッチ２Ａからの構成定義更新時刻通知メッセージ７５Ａに含まれる更新時刻が自装置内の構成定義に保持されている更新時刻と同じか早い場合も、タイマを設定して（Ｓ６０９）、待ち受け状態へ戻る。

図５２は、第６の実施の形態の構成定義確認処理のフローチャートであり、新設スイッチ１が構成定義の更新をポーリングによって確認する場合に、既設スイッチ２Ａ側の構成定義送受信部２１で実行される。

構成定義送受信部２１は、新設スイッチ１から更新時刻要求メッセージ７４Ａを受信すると（Ｓ６１１）、構成定義２４から最終更新時刻を読み出す。そして、読み出した最終更新時刻を格納した更新時刻通知メッセージ７５Ａを作成する（Ｓ６１３）。そして、新設スイッチ１からの更新時刻要求メッセージ７４Ａを受信したポートを介して更新時刻通知メッセージ７５Ａを送信する（Ｓ６１４）。

第６の実施の形態の既設スイッチ２Ａの構成定義送受信部２１は、第１の実施の形態の構成定義送信処理（図１９）と同様に動作する。すなわち、構成定義要求メッセージ７１を受信すると、構成定義２４を読み出し（Ｓ１４１）、読み出した構成定義を含む構成定義通知メッセージ７２を作成し（Ｓ１４２）、構成定義通知メッセージ７２を送信する（Ｓ１４３）。

また、新設スイッチ１の構成定義送受信部１１は、第３の実施の形態の構成定義同期処理（図２８）と同様に動作する。すなわち、構成定義通知メッセージ７２を受信すると、メッセージから構成定義を抽出し（Ｓ３１１）、構成定義１４を更新し（Ｓ３１２）、構成定義管理部１３へ構成定義の更新を通知する（Ｓ３１３）。

また、新設スイッチ１の構成定義管理部１３は、第１の実施の形態の構成定義更新処理（図１７）と同様に動作する。すなわち、構成定義送受信部１１から構成定義の更新通知を受信すると、構成定義１４を読み出し（Ｓ１３１）、更新されたフィルタルールをフィルタ部に設定し（Ｓ１３３）、フレーム転送部１５へフレーム転送の開始を指示する（Ｓ１３５）。

このように、第６の実施の形態では、既設スイッチ２Ａから構成定義を受信した新設スイッチ１が、既設スイッチ２Ａにおける構成定義の更新を定期的に確認し、既設スイッチ２Ａの更新時刻の変化によって構成定義の更新を検出して、構成定義を要求する。よって、既設スイッチ２Ａがポート毎の構成定義通知履歴を保持する必要がない。既設スイッチ２Ａは、新設スイッチ１からの返信に応じて、構成定義の通知が必要なスイッチが接続されたポートに対してのみ構成定義の更新内容を通知する。

（実施形態７）
本発明の第７の実施の形態は、新設スイッチ１が接続先の既設スイッチ２から構成定義を取得する際に、ネットワーク５に接続されている各種管理サーバの所在に関する情報を取得する。

なお、第７の実施の形態では、後述する相違点を除き、前述した第１の実施の形態とスイッチの構成は同じであるため、同一の構成は同一の符号を付し、その説明は省略する。

図５３は、第７の実施の形態のスイッチ含むネットワークの構成図である。

既設のネットワーク５は、ネットワーク内でフレームを転送するスイッチ２Ａ〜２Ｄを備える。

スイッチ２Ａ〜２Ｄには、フィルタリングルールが設定されており、設定されたフィルタリングルールに基づいてフレーム及びパケットを選択し、不必要なフレーム及びパケットを廃棄する。これによって、ネットワークのセキュリティを確保するポリシーが運用されている。

スイッチ２Ａ〜２Ｄには既設の端末群４ａ及び端末群４ｂが接続されている。スイッチ１には新規に設置される端末群３が接続されている。

第７の実施の形態では、増加したコンピュータ（端末群３）をネットワークに接続するスイッチ１を新たに設置する場合を考える。この場合、スイッチ１が既設のスイッチ２Ａに接続され、スイッチ２Ａからフィルタ設定を取得して、自装置に反映させる。

管理サーバ８１、８２は、既設スイッチ２Ｃと通信可能に接続されている。本実施の形態では管理サーバとしてＳＮＭＰサーバ８１及びｓｙｓｌｏｇサーバ８２が設けられている。

ＳＮＭＰサーバ８１は、ネットワークに接続された機器（スイッチ１、２Ａ〜２Ｄ）をネットワーク経由で監視し、これらの機器の稼動状態と、トラフィックの状態を管理する。ｓｙｓｌｏｇサーバ８２は、ネットワークに接続された上記機器の出力するログをネットワーク経由で収集し、一元管理する。新設スイッチ１がこれらのサーバによる稼動状態の監視を受け及びそのログが収集されるためには、これらのサーバのアドレス又はホスト名を状態通知要求元及びログの送信先として新設スイッチ１の構成定義に設定する必要がある。

図５４は、第７の実施の形態のスイッチ含むネットワークの構成図であり、スイッチ１に構成定義及び管理サーバの所在の設定が完了した状態を示す。

図５５は、第７の実施の形態のスイッチのブロック図である。第７の実施の形態のスイッチは、フィルタ設定１４０１、ｓｙｓｌｏｇ設定１４０２及びＳＮＭＰ設定１４０３を構成定義１４内に格納する。

前述した実施の形態によって、新設スイッチ１と既設スイッチ２Ａとの間で構成定義が同期する際に、新設スイッチ１は既設スイッチ２Ａから管理サーバ８１及び８２のアドレス又はホスト名の情報を取得する。そして、新設スイッチ１は既設スイッチ２Ａから取得した管理サーバ８１及び８２のアドレス又はホスト名を設定することによって、管理サーバ８１及び８２との通信を開始する。

これにより、新設スイッチ１のネットワークへの導入時に、管理者が管理サーバ８１及び８２のアドレス又はホスト名を設定することなく、自動的に新設スイッチ１を管理サーバ８１及び８２による監視及びログ収集の対象とすることができる。新設スイッチ１のネットワークへの導入時に、監視及びログ収集の設定を自動化することによって、管理者によるネットワーク構成の把握を補助し、運用管理がされないネットワーク機器が生じることを防止できる。

なお、第７の実施の形態は、この他に、他の種類のサーバ（例えば、ＮＴＰサーバやＲＡＤＩＵＳ認証サーバ）のアドレスの設定にも適用することができる。

（実施形態８）
本発明の第８の実施の形態は、新設スイッチ１と既設スイッチ２Ａとの間にレイヤ２スイッチ８４を設けた。

なお、第８の実施の形態では、後述する相違点を除き、前述した第１の実施の形態とスイッチの構成は同じであるため、同一の構成は同一の符号を付し、その説明は省略する。

図５８は、第８の実施の形態のスイッチ含むネットワークの構成図である。

第８の実施の形態のネットワークは、ネットワーク内でフレームを転送するスイッチ２Ａ〜２Ｄを備える。

スイッチ２Ａ〜２Ｄには、フィルタリングルールが設定されており、設定されたフィルタリングルールに基づいてフレーム及びパケットを選択し、不必要なフレーム及びパケットを廃棄する。これによって、ネットワークのセキュリティを確保するポリシーが運用されている。

スイッチ２Ａ〜２Ｄには既設の端末群４ａ及び端末群４ｂが接続されている。

新設スイッチ１は、レイヤ２スイッチ８４を介して、既設スイッチ２Ａへ接続される。新設スイッチ１は、起動すると自身の指定ポート又は活性ポートを介して構成定義要求メッセージ７１をレイヤ２スイッチ８４へ送信する。このとき、構成定義要求メッセージ７１のヘッダ７１１の宛先ＭＡＣアドレスにはブロードキャストアドレスが格納される。レイヤ２スイッチ８４は、新設スイッチ１から送信されたこの構成定義要求メッセージ７１の宛先がブロードキャストアドレスであるため、全ポートへ構成定義要求メッセージ７１を送信する。したがって、レイヤ２スイッチ８４を介して既設スイッチ２Ａへ構成定義要求メッセージ７１が送信される。

第８の実施の形態の既設スイッチ２Ａの構成定義送受信部２１は、第１の実施の形態の構成定義送信処理（図１９）と同様に動作する。すなわち、レイヤ２スイッチを介して新設スイッチ１から構成定義要求メッセージ７１を受信すると、構成定義２４を読み出し（Ｓ１４１）、読み出した構成定義を含む構成定義通知メッセージ７２を作成し（Ｓ１４２）、構成定義メッセージ７２を送信する（Ｓ１４３）。

このとき、構成定義通知メッセージ７２のヘッダ７１１の宛先ＭＡＣアドレスには、新設スイッチ１が構成定義要求メッセージ７１のヘッダ７１１の送信元ＭＡＣアドレスに指定したＭＡＣアドレスが格納される。既設スイッチ２Ａは、新規スイッチ１からの構成定義要求メッセージ７１受信時にこのＭＡＣアドレスを取得しているため、構成定義通知メッセージ７２をレイヤ２スイッチ８４に送信する。レイヤ２スイッチ８４も同様に新規スイッチ１のＭＡＣアドレスを取得しているため、新規スイッチ１の接続されたポートを介して構成定義通知メッセージ７２を転送する。

新設スイッチ１の構成定義管理部１３は、第１の実施の形態の構成定義更新処理（図１７）と同様に動作する。すなわち、構成定義送受信部から構成定義の更新通知を受信すると、構成定義１４を読み出し（Ｓ１３１）、更新されたフィルタルールをフィルタ部に設定し（Ｓ１３３）、フレーム転送部にフレーム転送開始を指示する（Ｓ１３５）。

以上説明した動作によって、レイヤ２スイッチ８４を介して既設スイッチ２Ａに接続された新規スイッチ１が、スイッチ２Ａ〜２Ｄで構成するネットワークとフィルタルールを同期することができる。これによって、ネットワーク増設時に、管理者が新規スイッチ１へフィルタルールを設定することなく、端末群３への攻撃フレームの送信又は端末群３からの不正なフレームの送信を抑えることができる。

企業網向けの中規模なルータ及びスイッチ、さらに無線ＬＡＮアクセスポイントへ本発明を適用すると好適である。

第１の実施の形態のスイッチ含むネットワークの構成図である。 第１の実施の形態のスイッチ含むネットワークの構成図である。 第１の実施の形態の構成定義同期処理のシーケンス図である。 第１の実施の形態の構成定義要求メッセージのフォーマットの説明図である。 第１の実施の形態の構成定義通知メッセージのフォーマットの説明図である。 第１の実施の形態の構成定義通知メッセージの構成定義フィールドの説明図である。 第１の実施の形態の構成定義通知メッセージの別の構成の構成定義フィールドの説明図である。 第１の実施の形態のスイッチの機能ブロック図である。 第１の実施の形態のスイッチのブロック図である。 第１の実施の形態の新設スイッチの構成定義の記述例の説明図である。 第１の実施の形態の新設スイッチの構成定義の別の記述例の説明図である。 第１の実施の形態の構成定義同期指示画面の説明図である。 第１の実施の形態の構成定義の同期処理の説明図であり 第１の実施の形態の管理者が構成定義要求操作を実行した場合の処理のフローチャートである。 第１の実施の形態の指定ポートを介した構成定義同期処理のフローチャートである。 第１の実施の形態の活性ポートを介した構成定義同期処理のフローチャートである。 第１の実施の形態の構成定義更新処理のフローチャートである。 第１の実施の形態のフィルタルールテーブルの構成図である。 第１の実施の形態の構成定義送信処理のフローチャートである。 第２の実施の形態の構成定義同期処理のシーケンス図である。 第２の実施の形態の構成定義の同期処理の説明図である。 第２の実施の形態の管理者が構成定義要求操作を実行した場合の処理のフローチャートである。 第２の実施の形態の別の構成定義同期処理のシーケンス図である。 第３の実施の形態の構成定義同期処理のシーケンス図である。 第３の実施の形態の構成定義同期指示画面の説明図である。 第３の実施の形態の構成定義の同期処理の説明図である。 第３の実施の形態の構成定義送信処理のフローチャートである。 第３の実施の形態の構成定義同期処理のフローチャートである。 第４の実施の形態の構成定義同期処理のシーケンス図である。 第４の実施の形態の状態通知メッセージのフォーマットの説明図である。 第４の実施の形態の構成定義の同期処理の説明図である。 第４の実施の形態の同期状態管理テーブルの説明図である。 第４の実施の形態の同期状態の遷移の説明図である。 第４の実施の形態の設定状態の状態遷移図である。 第４の実施の形態の状態通知送信処理のフローチャートである。 第４の実施の形態の状態通知受信処理のフローチャートである。 第４の実施の形態の構成定義要求処理のフローチャートである。 第５の実施の形態の構成定義同期処理のシーケンス図である。 第５の実施の形態の構成定義通知メッセージの構成定義フィールドの説明図である。 第５の実施の形態の構成定義の同期処理の説明図である。 第５の実施の形態のスイッチのブロック図である。 第５の実施の形態のフィルタルールテーブルの構成図である。 第５の実施の形態の構成定義通知管理テーブルの構成図である。 第５の実施の形態の構成定義送信処理のフローチャートである。 第５の実施の形態の構成定義送信処理のフローチャートである。 第５の実施の形態のポート検索処理のフローチャートである。 第６の実施の形態の構成定義通知メッセージの構成定義フィールドの説明図である。 第６の実施の形態の構成定義同期処理のシーケンス図である。 第６の実施の形態の構成定義の同期処理の説明図である。 第６の実施の形態の構成定義の同期処理の説明図である。 第６の実施の形態の構成定義確認処理のフローチャートである。 第６の実施の形態の構成定義確認処理のフローチャートである。 第７の実施の形態のスイッチ含むネットワークの構成図である。 第７の実施の形態のスイッチ含むネットワークの構成図である。 第７の実施の形態のスイッチのブロック図である。 第８の実施の形態のスイッチ含むネットワークの構成図である。

符号の説明

１ 新設スイッチ
２Ａ〜２Ｄ 既設スイッチ
３ 端末群
４Ａ、４Ｂ 端末群
５ ネットワーク
６ ネットワーク
１１、２１ 構成定義送受信部
１２、２２ 構成定義設定部
１３、２３ 構成定義管理部
１４、２４ 構成定義データ
１５、２５ フレーム転送部
１６、２６ フィルタ部
８１、８２、８３ 管理サーバ
８４ レイヤ２スイッチ
８５ 中継サーバ
１０１、２０１ フィルタルール
１０２、２０２ 外部記憶装置
１０３、２０３ ＣＰＵ
１０４、２０４ 入出力装置
１０５、２０５ メモリ
１０６、２０６ ブリッジ
１０７、２０７ スイッチング部
１０８、２０８ ポート

Claims (10)

1. ネットワーク内に設けられ、該ネットワーク内でフレームを転送するパケット通信装置であって、
   構成定義を保持する記憶部と、制御プログラムを記憶するメモリと、前記メモリに記憶された制御プログラムを実行するＣＰＵと、複数のポートを備える回線インターフェースと、前記回線インターフェースと接続されるスイッチと、を備え、
   前記構成定義に基づいてフレーム転送機能とフィルタ機能を設定する構成定義管理部と、前記構成定義に関する指示を受け付けるインターフェースを管理者に提供する構成定義設定部と、他のパケット通信装置と前記構成定義を送受信する構成定義送受信部とを、前記ＣＰＵが前記制御プログラムを実行することによって構成し、
   前記スイッチは、設定されたフィルタ条件に基づいて、転送されるフレームをフィルタリングし、
   前記構成定義送受信部は、前記ネットワークに設けられた他のパケット通信装置へ構成定義を要求し、前記他のパケット通信装置から構成定義を受信し、前記受信した構成定義に基づいて自装置の構成定義を更新し、前記構成定義管理部へ構成定義の更新を通知し、
   前記構成定義管理部は、前記構成定義送受信部から構成定義の更新の通知を受信すると、前記更新された構成定義を前記記憶部から取得し、前記取得した構成定義に基づいて前記フィルタ条件を設定することを特徴とするパケット通信装置。
2. 前記構成定義送受信部は、前記パケット通信装置の起動時に、前記ネットワークにて運用中の他のパケット通信装置から構成定義を受信し、当該受信した構成定義を自装置の構成定義に設定することを特徴とする請求項１に記載のパケット通信装置。
3. 前記構成定義送受信部は、管理者から指定されたポートを介して構成定義の要求を送信することを特徴とする請求項１に記載のパケット通信装置。
4. 前記構成定義送受信部は、活性状態のポートを検索し、前記検索されたポート介して構成定義の要求を送信することを特徴とする請求項１に記載のパケット通信装置。
5. 前記構成定義送受信部は、
   前記パケット通信装置の起動時に、前記記憶部から前記構成定義を取得し、
   前記取得した構成定義に、前記ネットワークにて運用中の他のパケット通信装置からの構成定義の取得指示が含まれているか否かを判定し、
   前記構成定義の取得指示が含まれていれば、当該取得指示に従って前記他のパケット通信装置へ構成定義を要求することを特徴とする請求項１に記載のパケット通信装置。
6. 前記構成定義設定部は、管理者から構成定義の同期の指示を受けると、前記構成定義送受信部へ構成定義の同期を指示し、
   前記構成定義送受信部は、前記構成定義設定部から構成定義の同期の指示を受けると、前記他のパケット通信装置に、構成定義を要求することを特徴とする請求項１に記載のパケット通信装置。
7. 前記構成定義送受信部は、ポートの状態が活性状態に変化すると、当該ポートを介して構成定義の要求を送信することを特徴とする請求項１に記載のパケット通信装置。
8. 前記ポートを介した構成定義の同期状態、及び当該ポートに接続された他のパケット通信装置の状態を含む同期状態情報を保持し、
   前記構成定義送受信部は、
   ポートの状態が活性状態に変化すると、当該ポートを介して構成定義の同期状態を通知し、
   前記構成定義の同期状態を通知の応答として、当該ポートに接続された他のパケット通信装置の構成定義の同期状態の通知を受信し、
   前記受信した同期状態に含まれる他のパケット通信装置の状態が既に構成定義が設定されている状態であれば、当該パケット通信装置に構成定義を要求することを特徴とする請求項１に記載のパケット通信装置。
9. 自装置の構成定義の更新時刻を保持し、
   前記構成定義送受信部は、
   前記構成定義を受信したポートから、前記他のパケット通信装置に周期的に更新時刻を要求し、
   前記他のパケット通信装置からの更新時刻の通知を受信し、
   前記受信した他装置の更新時刻と前記保持された自装置の構成定義の更新時刻とを比較し、
   前記他装置の更新時刻が前記自装置の更新時刻より後であれば、当該他のパケット通信装置に構成定義を要求することを特徴とする請求項１に記載のパケット通信装置。
10. ネットワーク内に設けられ、該ネットワーク内でフレームを転送するパケット通信装置であって、
    構成定義を保持する記憶部と、制御プログラムを記憶するメモリと、前記メモリに記憶された制御プログラムを実行するＣＰＵと、複数のポートを備える回線インターフェースと、前記回線インターフェースと接続されるスイッチと、を備え、
    前記構成定義に基づいてフレーム転送機能とフィルタ機能を設定する構成定義管理部と、前記構成定義に関する指示を受け付けるインターフェースを管理者に提供する構成定義設定部と、他のパケット通信装置と前記構成定義を送受信する構成定義送受信部とを、前記ＣＰＵが前記制御プログラムを実行することによって構成し、
    前記スイッチは、設定されたフィルタ条件に基づいて、転送されるフレームをフィルタリングし、
    前記構成定義送受信部は、前記ネットワーク内に設けられたパケット通信装置へ、自装置に設定された構成定義を送信することを特徴とするパケット通信装置。

Images