JP4752722B2 - パケット転送装置及びパケット転送方法 - Google Patents

Description

本発明は、複数の端末間で通信されているパケットに対してフィルタリング処理を行ってパケットの転送を行うパケット転送装置及びパケット転送方法に関する。

従来より、通信セキュリティ上の監視・防御対象となる端末で送受信されるパケットを代理して受信してフィルタリング処理を行って転送するための技術としては、例えば下記の特許文献１に記載された情報通信システムが知られている。

この情報通信システムは、パケット転送装置にて監視・防御対象端末のＩＰアドレスを登録しておき、通信相手端末から監視・防御対象端末のＩＰアドレスを宛先ＩＰアドレスとして含むＡＲＰメッセージを受信した場合に、パケット転送装置のＭＡＣアドレスを含む代理ＡＲＰメッセージを監視・防御対象端末の通信相手端末に送信する。これにより、通信相手端末から監視・防御対象端末に送信されるパケットをパケット転送装置で受信可能とし、監視・防御対象端末に転送するか否かを判定している。
特開２００６−５０１５２号公報

しかしながら、上述した情報通信システムは、通信相手端末から監視・防御対象端末宛のＡＲＰメッセージを受信した後にパケット転送装置から代理ＡＲＰメッセージを送信して、パケット転送を行う構成であるので、既に監視・防御対象端末と通信相手端末との間で通信を行っている状態では、通信相手端末が監視・防御対象端末宛てにＡＲＰメッセージを送信しない限り、代理ＡＲＰメッセージを送信してパケット転送を開始することができない。

そこで、本発明は、上述した実情に鑑みて提案されたものであり、監視対象となる端末で送受信されるパケットの転送処理を所望のタイミングで開始することができるパケット転送装置及びパケット転送方法を提供することを目的とする。

本発明に係るパケット転送装置は、自己のＩＰアドレス及びＭＡＣアドレスと、監視対象となる複数の端末のＩＰアドレスとを記憶するアドレス記憶手段と、アドレス記憶手段に記憶された複数の端末のＩＰアドレスを用いて当該複数の端末との間でＡＲＰ要求メッセージ及びＡＲＰ応答メッセージを送受信して、当該複数の端末が記憶しているＩＰアドレスとＭＡＣアドレスとの組を記述したＡＲＰテーブルを書き換える代理ＡＲＰ処理手段と、複数の端末のうちの何れかの端末から送信されたパケットを受信するパケット受信手段と、パケット受信手段で受信したパケットを解析して所定の条件に合致する場合にパケットに所定のフィルタリング処理を施すフィルタリング手段と、フィルタリング手段によって処理されたパケットを他の端末に転送するパケット転送手段とを備える。

このような本発明に係るパケット転送装置は、上述の課題を解決するために、代理ＡＲＰ処理手段により、所定のタイミングにて複数の端末にＡＲＰ要求メッセージを送信し、当該複数の端末から返信されたＡＲＰ応答メッセージを受信して、各端末のＩＰアドレスとＭＡＣアドレスとの組を取得し、ＡＲＰテーブルの書き換え対象の端末に、当該端末の通信相手となる他の端末のＩＰアドレス及び自己のＭＡＣアドレスを送信元のＩＰアドレス及びＭＡＣアドレスとして格納したＡＲＰ要求メッセージを送信して、当該ＡＲＰテーブルの書き換え対象の端末のＡＲＰテーブルを書き換える代理ＡＲＰ処理を行う。
このパケット転送装置において、代理ＡＲＰ処理手段は、所定の周期で定期的に前記代理ＡＲＰ処理を行い、複数の端末から自発的に送信されるＡＲＰ要求メッセージを監視して各端末のＡＲＰ要求メッセージの送信間隔を取得し、複数の端末の送信間隔のうち最小の送信間隔を所定の周期に設定して、代理ＡＲＰ処理を行う。

本発明は、監視対象となる複数の端末間で通信されるパケットを解析するフィルタリング処理を行って当該パケットを転送するパケット転送装置のパケット転送方法であって、上述の課題を解決するために、パケットを転送する処理を開始する所定のタイミングとなった場合に、予め記憶しておいた複数の端末のＩＰアドレスを用いて、複数の端末にＡＲＰ要求メッセージを送信し、当該複数の端末から返信されたＡＲＰ応答メッセージを受信して、各端末のＩＰアドレスとＭＡＣアドレスとの組を取得し、ＡＲＰテーブルの書き換え対象の端末に、当該ＡＲＰテーブルの書き換え対象の端末の通信相手となる他の端末のＩＰアドレス及びパケット転送装置のＭＡＣアドレスを送信元のＩＰアドレス及びＭＡＣアドレスとして格納したＡＲＰ要求メッセージを送信して、当該ＡＲＰテーブルの書き換え対象の端末のＡＲＰテーブルを書き換える代理ＡＲＰ処理を行う。
このパケット転送方法において、所定のタイミングとして、所定の周期で定期的に代理ＡＲＰ処理を行い、複数の端末から自発的に送信されるＡＲＰ要求メッセージを監視して各端末のＡＲＰ要求メッセージの送信間隔を取得し、複数の端末の送信間隔のうち最小の送信間隔を所定の周期に設定して、代理ＡＲＰ処理を行う。

本発明に係るパケット転送装置及びパケット転送方法によれば、複数の端末のＡＲＰテーブルを書き換えて、当該複数の端末で送受信されるパケットを転送する場合に、所定のタイミングにて能動的に複数の端末にＡＲＰ要求メッセージを送信して代理ＡＲＰ処理を開始するので、監視対象となる端末で送受信されるパケットの転送処理を所望のタイミングで開始することができる。

以下、本発明の実施の形態について図面を参照して説明する。

本発明は、例えば図１に示すように通信端末１Ａと通信端末１Ｂとがスイッチ２を介してパケット通信するネットワーク構成において、当該スイッチ２に接続されたパケット転送装置３に適用される。なお、以下では、通信端末１Ａと通信端末１Ｂとの２台の間で通信されるパケットをパケット転送装置３で転送する例について説明するが、更に多くの端末が存在していても良い。

スイッチ２は、受信したパケットに含まれるＭＡＣ（Media Access Control）アドレスを参照して、当該ＭＡＣアドレスを有する通信端末１Ａ，１Ｂやパケット転送装置３にパケットを中継する。

通信端末１Ａ，１Ｂは、通信相手の端末のＩＰ（Internet Protocol）アドレスとＭＡＣアドレスとの組を記憶したＡＲＰ（Address Resolution Protocol）テーブルを記憶する記憶部１１Ａ，１１Ｂと、パケット送受信部１２Ａ，１２Ｂとを備える。パケット送受信部１２Ａ，１２Ｂは、通信端末１Ａ，１Ｂ間でＴＣＰ（Transmission Control Protocol）／ＩＰに準拠したパケット通信を行うためのＡＲＰテーブルを記憶するために、通信相手との間でＡＲＰに準拠した処理を行う。パケット送受信部１２Ａ，１２Ｂは、予め設定されたタイミングごとに、記憶部１１Ａ，１１Ｂに記憶されたＡＲＰテーブルを消去及び作成するため、ＡＲＰ要求メッセージをブロードキャストし、ＡＲＰ要求メッセージに対して通信相手の端末から返信されたＡＲＰ応答メッセージを受信する。

ＡＲＰ要求メッセージには、自己のＩＰアドレス及びＭＡＣアドレスが送信元のＩＰアドレス及びＭＡＣアドレスとして格納され、通信相手の端末のＩＰアドレスが送信先のＩＰアドレスとして格納される。パケット送受信部１２Ａ，１２Ｂは、ＡＲＰ要求メッセージを受信し、送信先ＩＰアドレスが自己のＩＰアドレスである場合に、自己のＭＡＣアドレスを送信元ＭＡＣアドレスとして格納したＡＲＰ応答メッセージを、ＡＲＰ要求メッセージの送信元の端末に返信する。これにより、通信端末１Ａ，１Ｂは、相互にＭＡＣアドレスを通知して、記憶部１１Ａ，１１Ｂに通信相手の端末のＩＰアドレスとＭＡＣアドレスとの組を含むＡＲＰテーブルを記憶する。

パケット転送装置３は、図２に示すように、ネットワークインターフェース（ＩＦ）処理部２１と、データリンク層処理部２２と、ネットワーク層（ＩＰ）処理部２３と、トランスポート層処理部２４と、入力部２５とを備える。

ネットワークインターフェース処理部２１は、ＯＳＩ（Open Systems Interconnection）参照モデルにおける物理層に相当し、Ａ／Ｄ変換処理や復変調処理を行う。ネットワークインターフェース処理部２１は、パケットを送信するＩＦ出力部３１と、パケットを受信するＩＦ入力部３２とを備える。

データリンク層処理部２２は、ＯＳＩ参照モデルにおけるデータリンク層における処理を行う。このデータリンク層処理部２２は、ＩＦ出力部３１にパケットを出力するデータリンク出力部３３と、ＩＦ入力部３２からパケットが供給されるデータリンク入力部３４とを備える。
パケット転送装置３によってパケットを受信した場合、データリンク入力部３４は、ＩＦ入力部３２を介して当該パケットが入力される。データリンク入力部３４は、受信したパケットに含まれるＭＡＣアドレスが自己のＭＡＣアドレスである場合に、当該パケットをネットワーク層処理部２３に出力する。データリンク入力部３４は、ＡＲＰメッセージ（ＡＲＰ要求メッセージ、ＡＲＰ応答メッセージを含む）を受信した場合には当該ＡＲＰメッセージをＡＲＰ処理部３６に出力し、ＡＲＰメッセージとは異なるパケットを受信した場合にはＩＰ入力部３５に出力する。

パケット転送装置３によってパケットを送信する場合、データリンク出力部３３は、自己のＭＡＣアドレスをパケットに格納すると共に送信先のＭＡＣアドレスをパケットに付加してＩＦ出力部３１に出力する。データリンク出力部３３は、ＡＲＰメッセージがＡＲＰ処理部３６から供給されると、当該ＡＲＰメッセージをＩＦ入力部３２に供給する。

入力部２５は、パケット転送装置３の管理者、通信端末１Ａ，１Ｂの監視者によって操作される入力インターフェースを備える。入力部２５によって入力される情報としては、監視対象となる通信端末１Ａ，１ＢのＩＰアドレス、代理ＡＲＰ処理を行うタイミング、パケット転送処理を行う期間であって代理ＡＲＰ処理を行う有効期間、フィルタリング条件等である。入力部２５に入力された情報は、記憶部３８に記憶される。

ネットワーク層処理部２３は、ＯＳＩ参照モデルにおけるネットワーク層処理として、代理ＡＲＰ処理、パケット転送処理、フィルタリング処理等を行う。このネットワーク層処理部２３は、ＩＰ入力部３５、ＡＲＰ処理部３６、登録情報監視部３７、記憶部３８、ＩＰ出力部３９、転送処理部４０、パケットフィルタリング部４１を備える。

トランスポート層処理部２４は、ＯＳＩ参照モデルにおけるトランスポート層の処理を行うことによって、パケットの再送制御等を行う。

ＡＲＰ処理部３６は、データリンク層処理部２２を介してＡＲＰ要求メッセージの送信及びＡＲＰ応答メッセージの受信を行う。また、ＡＲＰ処理部３６は、通信端末１Ａ，１Ｂ間で送受信されているパケットの転送を行うに際して、記憶部３８に記憶された所定のタイミングで代理ＡＲＰ処理を行う。この代理ＡＲＰ処理は、パケット転送装置３から能動的にＡＲＰ要求メッセージを通信端末１Ａ，１Ｂに送信して、通信端末１Ａ，１Ｂ間で送受信するパケットをパケット転送装置３に送信するように通信端末１Ａ，１ＢのＡＲＰテーブルを書き換える処理である。

ＡＲＰ処理部３６は、所定のタイミングとなると、通信端末１Ａ，１ＢにＡＲＰ要求メッセージを送信し、当該通信端末１Ａ，１Ｂから返信されたＡＲＰ応答メッセージを受信する。そして、各通信端末１Ａ，１ＢのＩＰアドレスとＭＡＣアドレスとの組を取得する。次に、ＡＲＰテーブルの書き換え対象の通信端末１Ａの通信相手となる通信端末１ＢのＩＰアドレス及びパケット転送装置３のＭＡＣアドレスを送信元のＩＰアドレス及びＭＡＣアドレスとして格納したＡＲＰ要求メッセージ（代理ＡＲＰ要求メッセージ）を通信端末１Ａに送信して、当該通信端末１ＡのＡＲＰテーブルを書き換える。同様に、ＡＲＰテーブルの書き換え対象の通信端末１Ｂの通信相手となる通信端末１ＡのＩＰアドレス及びパケット転送装置３のＭＡＣアドレスを送信元のＩＰアドレス及びＭＡＣアドレスとして格納したＡＲＰ要求を当該通信端末１Ｂに送信して、当該通信端末１ＢのＡＲＰテーブルを書き換える。

このような代理ＡＲＰ処理により、通信端末１Ａの記憶部１１Ａには、通信端末１ＢのＩＰアドレスとパケット転送装置３のＭＡＣアドレスの組が記述されたＡＲＰテーブルが格納され、通信端末１Ｂの記憶部１１Ｂには、通信端末１ＡのＩＰアドレスとパケット転送装置３のＭＡＣアドレスの組が記述されたＡＲＰテーブルが格納される。そして、通信端末１Ａから通信端末１Ｂに送信されるパケットは、宛先ＭＡＣアドレスがパケット転送装置３のＭＡＣアドレスとなるためにパケット転送装置３で受信され、通信端末１Ｂから通信端末１Ａに送信されるパケットは、宛先ＭＡＣアドレスがパケット転送装置３のＭＡＣアドレスとなるためにパケット転送装置３で受信されるようになる。

なお、代理ＡＲＰ処理を行う所定のタイミングは、パケット転送装置３がスイッチ２に接続されたタイミングでも良い。これにより、パケット転送装置３がスイッチ２に接続されると略同時に通信端末１Ａ，１Ｂ間で送受信されているパケットの転送が実現できる。

登録情報監視部３７は、記憶部３８に記憶されて登録された情報を監視する。登録情報監視部３７は、記憶部３８に記憶された代理ＡＲＰ処理を行う所定のタイミングとなった場合に、代理ＡＲＰ処理を行う命令をＡＲＰ処理部３６に通知する。例えば定期的に代理ＡＲＰ処理を行うことが記憶部３８に登録されている場合、ＡＲＰ処理部３６は、登録情報監視部３７の命令に従って所定の間隔で定期的に代理ＡＲＰ処理を行う。これにより、通信端末１Ａ，１Ｂに記憶されたＡＲＰテーブルが定期的に消去されても、通信端末１Ａ，１ＢのＡＲＰテーブルを定期的に書き換えて、通信端末１Ａ，１Ｂから送信されたパケットがパケット転送装置３に送信されないことを抑制できる。

ＡＲＰ処理部３６は、代理ＡＲＰ処理を行った後にパケット転送を停止する場合、通信端末１Ａ，１Ｂから送信されるパケットをパケット転送装置３で受信させるように書き換えたＡＲＰテーブルを、通信端末１Ａ，１Ｂ間で直接パケットを送受信するように戻す停止処理を行う。この停止処理は、通信端末１Ａに、当該通信端末１Ａの通信相手となる通信端末１ＢのＩＰアドレス及びＭＡＣアドレスを送信元のＩＰアドレス及びＭＡＣアドレスとして格納したＡＲＰ要求を送信して、当該通信端末１ＡのＡＲＰテーブルを書き換える。同様に、通信端末１Ｂに、当該通信端末１Ｂの通信相手となる通信端末１ＡのＩＰアドレス及びＭＡＣアドレスを送信元のＩＰアドレス及びＭＡＣアドレスとして格納したＡＲＰ要求を送信して、当該通信端末１ＢのＡＲＰテーブルを書き換える。パケット転送処理を行う期間であって代理ＡＲＰ処理を行う有効期間が記憶部３８に記憶されている場合、ＡＲＰ処理部３６は、当該有効期間の終了時に代理ＡＲＰ処理の停止処理を行う。

このような停止処理を行うことにより、パケットの転送終了時に、通信端末１Ａ，１ＢのＡＲＰテーブルを正しいＡＲＰテーブルに書き換えて、通信端末１Ａ，１Ｂ間によって正常に通信可能な状態に戻すことができる。

ＩＰ入力部３５は、データリンク入力部３４から出力されたパケットを入力すると、送信先ＩＰアドレスを参照して、パケット転送の対象となっている通信端末１Ａ，１ＢのＩＰアドレスである場合に、パケットフィルタリング部４１にパケットを出力する。

パケットフィルタリング部４１は、ＩＰ入力部３５から出力されたパケットを入力すると、当該パケットを解析して、当該パケットに所定のフィルタリング処理を行う。例えば、フィルタリング処理は、転送するか否かを決定する処理や、パケットの一部を変更する処理、パケットの内容を通信ログとして記録する処理などを含む。

このフィルタリング処理のフィルタリング条件は、入力部２５によって予め記憶部３８に記憶されている。パケットを転送しないフィルタリング条件としては、送信元ＩＰアドレス及びＭＡＣアドレスが転送を禁止するものである場合、トランスポート層ヘッダに含まれるポート番号が転送を禁止する番号である場合など、監視対象となる通信端末１Ａ，１Ｂでの通信を禁止するパラメータとして設定されている。このフィルタリング条件は、パケット転送装置３の管理者であって通信端末１Ａ，１Ｂの通信を監視する管理者によって設定される。パケットフィルタリング部４１は、フィルタリング条件によって転送を許可するパケット又はフィルタリング処理によって一部が変更されたパケットを転送処理部４０に出力する。また、パケットフィルタリング部４１は、転送したパケットそのものや、フィルタリング処理の結果を記憶部３８に記憶させて、パケット転送装置３の管理者などに参照可能とする。

転送処理部４０は、パケットフィルタリング部４１で転送することが決定されたパケットが入力されると、当該パケットをトランスポート層処理部２４に出力し、トランスポート層処理部２４から再度入力したパケットをＩＰ出力部３９に出力する。

つぎに、上述したように構成されたパケット転送装置３による代理ＡＲＰ処理を図３を参照して説明し、パケット転送処理を図４を参照して説明する。また、代理ＡＲＰ処理の説明においては、図５に示すシーケンス図を参照する。

パケット転送装置３は、代理ＡＲＰ処理の前に、記憶部３８に通信端末１Ａ，１ＢのＩＰアドレス、代理ＡＲＰ処理を行う間隔、パケット転送を行う期間であって代理ＡＲＰ処理を行う有効期間が記憶されている。この状態において、ＡＲＰ処理部３６は、先ずステップＳ１において、記憶部３８にＩＰアドレスが記憶されている通信端末１Ａ，１ＢのＩＰアドレスを宛先としたＡＲＰ要求メッセージをブロードキャストで送信する。

図５は、パケット転送装置３のＩＰアドレスが１．１．１．３、ＭＡＣアドレスが３：３：３：３：３：３であり、通信端末１ＡのＩＰアドレスが１．１．１．１、ＭＡＣアドレスが１：１：１：１：１：１であり、通信端末１ＢのＩＰアドレスが１．１．１．２、ＭＡＣアドレスが２：２：２：２：２：２である場合について示している。

この場合、ＡＲＰ処理部３６は、自己のＩＰアドレス及びＭＡＣアドレスを送信元アドレスとし通信端末１ＡのＩＰアドレスを送信先ＩＰアドレスとしたＡＲＰ要求メッセージ、自己のＩＰアドレス及びＭＡＣアドレスを送信元アドレスとし通信端末１ＢのＩＰアドレスを送信先ＩＰアドレスとしたＡＲＰ要求メッセージをブロードキャストする。

次のステップＳ２において、ＡＲＰ処理部３６は、ステップＳ１でブロードキャストしたＡＲＰ要求メッセージに対するＡＲＰ応答メッセージを受信する。このＡＲＰ応答メッセージは、図５に示すように、通信端末１Ａ，１ＢそれぞれのＭＡＣアドレスが送信元ＭＡＣアドレスとして格納されている。

次のステップＳ３において、ＡＲＰ処理部３６は、ステップＳ２で受信したＡＲＰ応答メッセージに含まれる通信端末１Ａ，１ＢそれぞれのＭＡＣアドレスを取り出して、記憶部３８に登録する。これにより、記憶部３８には、通信端末１Ａ，１ＢそれぞれについてＩＰアドレスとＭＡＣアドレスとの組が登録される。

次のステップＳ４において、ＡＲＰ処理部３６は、ステップＳ３にて登録した通信端末１Ａ，１ＢそれぞれのＭＡＣアドレスを用いて、代理ＡＲＰ処理を行う。ＡＲＰ処理部３６は、図５に示すように、通信端末１Ａに、送信元ＩＰアドレスを通信端末１ＢのＩＰアドレスとし送信元ＭＡＣアドレスをパケット転送装置３のＭＡＣアドレスとした代理ＡＲＰ要求メッセージを送信する。同様に、通信端末１Ｂに、送信元ＩＰアドレスを通信端末１ＡのＩＰアドレスとし送信元ＭＡＣアドレスをパケット転送装置３のＭＡＣアドレスとした代理ＡＲＰ要求メッセージを送信する。

これに応じ、通信端末１Ａは、代理ＡＲＰ要求メッセージを受信すると、記憶部１１Ａに記憶されたＡＲＰテーブルのうち、通信端末１ＢのＩＰアドレスに対応したＭＡＣアドレスをパケット転送装置３のＭＡＣアドレスに更新する。同様に、通信端末１Ｂは、代理ＡＲＰ要求メッセージを受信すると、記憶部１１Ａに記憶されたＡＲＰテーブルのうち、通信端末１ＡのＩＰアドレスに対応したＭＡＣアドレスをパケット転送装置３のＭＡＣアドレスに更新する。これにより、以降の通信端末１Ａ，１Ｂから送信されるパケットは、スイッチ２を介してパケット転送装置３で受信されることになる。

次に、通信端末１Ａは、送信先ＩＰアドレスを通信端末１ＢのＩＰアドレスとし送信先ＭＡＣアドレスをパケット転送装置３のＭＡＣアドレスとしたＡＲＰ応答メッセージを送信する。同様に、通信端末１Ｂは、送信先ＩＰアドレスを通信端末１ＡのＩＰアドレスとし送信先ＭＡＣアドレスをパケット転送装置３のＭＡＣアドレスとしたＡＲＰ応答メッセージを送信する。その後、パケット転送装置３は、通信端末１Ａ，１Ｂ間で送受信されるパケットを受信した場合には、図４に示すパケット転送処理を行う。

このパケット転送処理は、先ず、ＩＦ入力部３２、データリンク入力部３４及びＩＰ入力部３５を介してパケットフィルタリング部４１にパケットが受信されると、ステップＳ１０において、パケットフィルタリング部４１により、受信したパケットがフィルタリング条件にマッチするか否かを判定する。その結果、フィルタリング条件にマッチする場合には、ステップＳ１１でフィルタリング処理を行って、ステップＳ１２において転送処理部４０によってパケットの転送を行わせる。一方、フィルタリング条件にマッチしない場合には、フィルタリング処理を行わずにステップＳ１２でパケット転送を行う。ここで、ステップＳ１２において、転送処理部４０は、送信元ＩＰアドレスに対応付けられたＭＡＣアドレスを参照して、通信端末１Ａ，１Ｂから受信した送信先ＭＡＣアドレスを、パケット転送装置３のＭＡＣアドレスから本来の送信先の通信端末１Ａ，１ＢのＭＡＣアドレスに変更する。

通信端末１Ａ，１Ｂから代理ＡＲＰ要求メッセージに対するＡＲＰ応答メッセージをパケット転送装置３で受信すると、次に、ＡＲＰ処理部３６は、ステップＳ５において、記憶部３８に記憶された代理ＡＲＰ処理を行う有効期間が経過したか否かを判定することによって、パケットの転送を終了するか否かを判定する。パケットの転送を終了する場合にはステップＳ９に処理を進め、パケットの転送を終了しない場合には、ステップＳ６に処理を進める。

ステップＳ６において、ＡＲＰ処理部３６は、ステップＳ２において通信端末１Ａ，１ＢからＡＲＰ応答メッセージを受信した時刻からの経過時刻を取得する。

次のステップＳ７において、ＡＲＰ処理部３６は、ステップＳ６で取得した経過時間と、予め記憶部３８に記憶された代理ＡＲＰ処理を行う間隔とを比較して、経過時間が代理ＡＲＰ処理を行う間隔を超えているか否かを判定し、超えている場合にはステップＳ８に処理を進め、超えていない場合にはステップＳ５に処理を戻す。この代理ＡＲＰ処理を行う間隔によって決定される代理ＡＲＰ処理を行う所定のタイミングは、上述したように定期的に代理ＡＲＰ処理を行う時間であっても良い。

ステップＳ８において、ＡＲＰ処理部３６は、ステップＳ４と同様に、通信端末１Ａに対しては通信端末１ＢのＩＰアドレス及びパケット転送装置３のＭＡＣアドレスを含む代理ＡＲＰ要求メッセージを送信し、通信端末１Ｂに対しては通信端末１ＡのＩＰアドレス及びパケット転送装置３のＭＡＣアドレスを含む代理ＡＲＰ要求メッセージを送信して、ステップＳ４で変更させたＡＲＰテーブルを維持させて、ステップＳ５に処理を進める。

これにより、ステップＳ５において代理ＡＲＰ処理を行う期間であってパケットの転送を行う期間においては、所定のタイミングで通信端末１Ａ，１Ｂに代理ＡＲＰ要求メッセージを送信して、通信端末１Ａ，１Ｂ間で送受信されるパケットをパケット転送装置３で受信できる状態を維持する。

ステップＳ５において代理ＡＲＰ処理を行う有効期間が終了したと判定し、パケットの転送を終了すると判定した場合には、処理をステップＳ９に進める。

ステップＳ９において、ＡＲＰ処理部３６は、代理ＡＲＰ処理を停止することによってパケットの転送を停止する停止処理を行う。このとき、ＡＲＰ処理部３６は、通信端末１Ａ，１Ｂの通信相手となる端末のＩＰアドレス及びＭＡＣアドレスを送信元のＩＰアドレス及びＭＡＣアドレスとして格納したＡＲＰ要求メッセージを送信して、代理ＡＲＰ処理を行う前のＡＲＰテーブルに戻す。

以上のように、本発明を適用したパケット転送装置３によれば、通信端末１Ａ，１Ｂ間で送受信されるパケットを監視したい期間においては、能動的に代理ＡＲＰ要求メッセージを通信端末１Ａ，１Ｂに送信することによって通信端末１Ａ，１ＢのＡＲＰテーブルを書き換えることができ、パケットの転送処理を所望のタイミングで開始することができる。

また、パケットの転送終了時には、パケット転送装置３が能動的にＡＲＰ要求メッセージを送信して、通信端末１Ａ，１ＢのＡＲＰテーブルを元に戻して通信端末１Ａ，１Ｂ間のみで通信させることができる。これにより、代理ＡＲＰ処理を行う有効期間の終了時に即座に通信端末１Ａ，１ＢのＡＲＰテーブルを元に戻すことができる。

つぎに、上述したパケット転送装置３において、通信トラフィックの集中を抑制しつつパケット転送処理を行う場合について説明する。なお、上述した構成や処理と同じ部分については、同一符号、ステップ番号を付することによりその詳細な説明を省略する。

このパケット転送装置３は、図６に示すように、物理的な通信ポートとして、通信端末１Ａ用のＮＩＣ（Ａ）と通信端末１Ｂ用のＮＩＣ（Ｂ）とを備える。このパケット転送装置３の機能的な構成は、図７に示すように、ＮＩＣ（Ａ）に相当するＩＦ出力部３１Ａ及びＩＦ入力部３２Ａと、ＮＩＣ（Ｂ）に相当するＩＦ出力部３１Ｂ及びＩＦ入力部３２Ｂとを備える。このようなパケット転送装置３は、通信端末１Ａ，１Ｂごとの複数の通信ポートを備えることにより、単一の通信ポートで通信を行う場合と比較して、トラフィックが集中することによる通信速度の低下を抑制できる。

また、パケット転送装置３は、登録情報監視部３７によって、通信端末１Ａ，１Ｂから自発的に送信されるＡＲＰ要求メッセージの送信間隔を監視する。登録情報監視部３７は、ＡＲＰ処理部３６によって通信端末１Ａ，１Ｂから送信されたＡＲＰ要求メッセージが記憶部３８に記憶される間隔を監視することによって、通信端末１Ａ，１Ｂから自発的に送信されるＡＲＰ要求メッセージの送信間隔を監視する。そして、登録情報監視部３７は、通信端末１Ａ，１Ｂの送信間隔のうち最小間隔ごとにＡＲＰ処理部３６による代理ＡＲＰ処理を行わせる。これにより、パケット転送装置３によって通信端末１Ａ，１Ｂ間で送受信されるパケットに対してフィルタリング処理を行いたい期間において、通信端末１Ａ，１ＢのＡＲＰテーブルが更新されて、パケット転送装置３にパケットが送信されないことを回避できる。また、パケット転送装置３にパケットが送信されないことを回避するために必要な代理ＡＲＰ処理を行う間隔を最小とでき、トラフィックの負担を最小限とできる。

このようなパケット転送装置３の処理を図８に示し、図９にシーケンス図を示す。図９に示すように、パケット転送装置３は、ＮＩＣごとにＭＡＣアドレスが設定されており、ＮＩＣ（Ａ）のＭＡＣアドレスが３：３：３：３：３：３であり、ＮＩＣ（Ｂ）のＭＡＣアドレスが４：４：４：４：４：４である。

パケット転送装置３は、ステップＳ１において、ＮＩＣ（Ａ）及びＮＩＣ（Ｂ）の双方から、ＡＲＰ要求メッセージをブロードキャストし、ステップＳ２において、通信端末１ＡからのＡＲＰ応答メッセージをＮＩＣ（Ａ）で受信し、通信端末１ＢからのＡＲＰ応答メッセージをＮＩＣ（Ｂ）で受信する。そして、ステップＳ３において通信端末１Ａ，１ＢのＭＡＣアドレスを記憶部３８に記憶する。この時点において、記憶部３８には、通信端末１Ａ，１Ｂに対応した通信ポート、通信端末１Ａ，１ＢのＩＰアドレスとＭＡＣアドレスとの組が登録されている。

ステップＳ２１において、ＡＲＰ処理部３６は、記憶部３８に登録されている通信ポートを用いて、ＮＩＣ（Ａ）から通信端末１Ａに代理ＡＲＰ要求メッセージを送信し、ＮＩＣ（Ｂ）から通信端末１Ｂに代理ＡＲＰ要求メッセージを送信する。これにより、通信端末１Ａから通信端末１Ｂ宛のパケットをＮＩＣ（Ａ）で受信可能とし、通信端末１Ｂから通信端末１Ａ宛のパケットをＮＩＣ（Ｂ）で受信可能とする。すなわち、通信端末１Ａから通信端末１Ｂに送信されるパケットには、パケット転送装置３のＮＩＣ（Ａ）のＭＡＣアドレス（３：３：３：３：３：３）が格納され、通信端末１Ｂから通信端末１Ａに送信されるパケットには、パケット転送装置３のＮＩＣ（Ｂ）のＭＡＣアドレス（４：４：４：４：４：４）が格納される。

次に、ステップＳ５においてパケット転送を終了しないと判定したステップＳ２２において、ＡＲＰ処理部３６により、通信端末１Ａ，１Ｂから自発的に送信されたＡＲＰ要求メッセージを受信したか否かを判定し、受信した場合にはステップＳ２３に処理を進め、受信していない場合にはステップＳ６に処理を進める。

ステップＳ２３において、登録情報監視部３７は、ＡＲＰ処理部３６が通信端末１Ａ，１ＢからのＡＲＰ要求メッセージを受信したことに応じて、通信端末１Ａ，１ＢごとにＡＲＰ要求メッセージの送信間隔を記録する。ここで、登録情報監視部３７は、既に登録されたＡＲＰ要求メッセージの送信間隔よりも、ＡＲＰ要求メッセージの送信間隔が短いと判定した場合には、当該短いＡＲＰ要求メッセージの送信間隔を記憶部３８に登録する。これにより、登録情報監視部３７は、通信端末１Ａ，１Ｂのうちで最もＡＲＰテーブルを更新する間隔が短い情報を、代理ＡＲＰ処理を行う間隔とする。

そして、ＡＲＰ処理部３６は、ステップＳ２３で更新された代理ＡＲＰ処理を行って代理ＡＲＰ要求メッセージを送信する間隔をステップＳ６で取得し、当該代理ＡＲＰ要求メッセージを送信する間隔となったことをステップＳ７で判定した場合に、ステップＳ２４において、各ＮＩＣから通信端末１Ａ，１Ｂに代理ＡＲＰ要求メッセージを送信する。

このように、パケット転送装置３は、通信端末１Ａ，１ＢごとのＮＩＣを設けることによってトラフィックの集中を抑制すると共に、通信端末１Ａ，１Ｂのうちで最もＡＲＰテーブルの更新間隔が短いものを代理ＡＲＰ処理を行う間隔とすることによって最小限のトラフィックでパケット転送が不可能となる期間をなくすことができる。

なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。

本発明を適用したパケット転送装置を含む通信システムを示す図である。 本発明を適用したパケット転送装置の機能的な構成を示すブロック図である。 本発明を適用したパケット転送装置による代理ＡＲＰ処理の処理手順を示すフローチャートである。 本発明を適用したパケット転送装置によるパケット転送処理の処理手順を示すフローチャートである。 本発明を適用したパケット転送装置によって代理ＡＲＰ処理を行った時のシーケンス図である。 本発明を適用した他のパケット転送装置を含む通信システムを示す図である。 本発明を適用した他のパケット転送装置の機能的な構成を示すブロック図である。 本発明を適用した他のパケット転送装置による代理ＡＲＰ処理の処理手順を示すフローチャートである。 本発明を適用した他のパケット転送装置によって代理ＡＲＰ処理を行った時のシーケンス図である。

符号の説明

１Ａ，１Ｂ 通信端末
２ スイッチ
３ パケット転送装置
１１Ａ，１１Ｂ 記憶部
１２Ａ，１２Ｂ パケット送受信部
２１ ネットワークインターフェース処理部
２２ データリンク層処理部
２３ ネットワーク層処理部
２４ トランスポート層処理部
２５ 入力部
３１，３１Ａ，３１Ｂ ＩＦ出力部
３２，３２Ａ，３２Ｂ ＩＦ入力部
３３ データリンク出力部
３４ データリンク入力部
３５ ＩＰ入力部
３６ ＡＲＰ処理部
３７ 登録情報監視部
３８ 記憶部
３９ ＩＰ出力部
４０ 転送処理部
４１ パケットフィルタリング部

Claims (5)

1. 自己のＩＰアドレス及びＭＡＣアドレスと、監視対象となる複数の端末のＩＰアドレスとを記憶するアドレス記憶手段と、
   前記アドレス記憶手段に記憶された複数の端末のＩＰアドレスを用いて当該複数の端末との間でＡＲＰ要求メッセージ及びＡＲＰ応答メッセージを送受信して、当該複数の端末が記憶しているＩＰアドレスとＭＡＣアドレスとの組を記述したＡＲＰテーブルを書き換える代理ＡＲＰ処理手段と、
   前記複数の端末のうちの何れかの端末から送信されたパケットを受信するパケット受信手段と、
   前記パケット受信手段で受信したパケットを解析して所定の条件に合致する場合にパケットに所定のフィルタリング処理を施すフィルタリング手段と、
   前記フィルタリング手段によって処理されたパケットを他の端末に転送するパケット転送手段とを備え、
   前記代理ＡＲＰ処理手段は、所定のタイミングにて前記複数の端末にＡＲＰ要求メッセージを送信し、当該複数の端末から返信されたＡＲＰ応答メッセージを受信して、各端末のＩＰアドレスとＭＡＣアドレスとの組を取得し、ＡＲＰテーブルの書き換え対象の端末に、当該端末の通信相手となる他の端末のＩＰアドレス及び前記自己のＭＡＣアドレスを送信元のＩＰアドレス及びＭＡＣアドレスとして格納したＡＲＰ要求メッセージを送信して、当該ＡＲＰテーブルの書き換え対象の端末のＡＲＰテーブルを書き換える代理ＡＲＰ処理を行い、
   前記代理ＡＲＰ処理手段は、所定の周期で定期的に前記代理ＡＲＰ処理を行い、
   前記代理ＡＲＰ処理手段は、前記複数の端末から自発的に送信されるＡＲＰ要求メッセージを監視して各端末のＡＲＰ要求メッセージの送信間隔を取得し、複数の端末の送信間隔のうち最小の送信間隔を前記所定の周期に設定して、前記代理ＡＲＰ処理を行うこと
   を特徴とするパケット転送装置。
2. 前記代理ＡＲＰ処理を行って前記複数の端末からのパケットを受信する処理を停止する場合に、前記代理ＡＲＰ処理手段は、ＡＲＰテーブルの書き換え対象の端末の通信相手となる他の端末のＩＰアドレス及びＭＡＣアドレスを送信元のＩＰアドレス及びＭＡＣアドレスとして格納したＡＲＰ要求メッセージを当該ＡＲＰテーブルの書き換え対象の端末に送信して、当該ＡＲＰテーブルの書き換え対象の端末のＡＲＰテーブルを書き換える停止処理を行うことを特徴とする請求項１に記載のパケット転送装置。
3. 前記代理ＡＲＰ処理を行う有効期間を記憶する有効期間記憶手段を更に備え、
   前記代理ＡＲＰ処理手段は、前記有効期間記憶手段に記憶された有効期間が開始した時に前記代理ＡＲＰ処理を行い、前記有効期間記憶手段に記憶された有効期間が終了した時に前記停止処理を行うことを特徴する請求項２に記載のパケット転送装置。
4. 前記複数の端末に対応した通信ポートを備え、
   当該各通信ポートを介して各端末に対して代理ＡＲＰ処理、パケットの受信及びパケットの転送を行うことを特徴とする請求項１に記載のパケット転送装置。
5. 監視対象となる複数の端末間で通信されるパケットを解析するフィルタリング処理を行って当該パケットを転送するパケット転送装置のパケット転送方法であって、
   パケットを転送する処理を開始する所定のタイミングとなった場合に、
   予め記憶しておいた複数の端末のＩＰアドレスを用いて、前記複数の端末にＡＲＰ要求メッセージを送信し、
   当該複数の端末から返信されたＡＲＰ応答メッセージを受信して、各端末のＩＰアドレスとＭＡＣアドレスとの組を取得し、
   ＡＲＰテーブルの書き換え対象の端末に、当該ＡＲＰテーブルの書き換え対象の端末の通信相手となる他の端末のＩＰアドレス及び前記パケット転送装置のＭＡＣアドレスを送信元のＩＰアドレス及びＭＡＣアドレスとして格納したＡＲＰ要求メッセージを送信して、当該ＡＲＰテーブルの書き換え対象の端末のＡＲＰテーブルを書き換える代理ＡＲＰ処理を行い、
   前記所定のタイミングとして、所定の周期で定期的に前記代理ＡＲＰ処理を行い、
   前記複数の端末から自発的に送信されるＡＲＰ要求メッセージを監視して各端末のＡＲＰ要求メッセージの送信間隔を取得し、複数の端末の送信間隔のうち最小の送信間隔を前記所定の周期に設定して、前記代理ＡＲＰ処理を行うこと
   を特徴とするパケット転送方法。

Images