JP4864735B2 - Ｉｐアドレス払い出し管理システムおよびｉｐアドレス払い出し管理方法 - Google Patents

Description

本発明は、ＩＰアドレス払い出し管理システムおよびＩＰアドレス払い出し管理方法に関する。

ＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）通信を行う場合、端末（パーソナルコンピュータ）、サーバ、スイッチ、ルータ等のネットワーク機器は、ネットワーク上で各機器を識別するためのＩＰアドレスが割り当てられていることが必要である。ＩＰアドレスがネットワーク上で重複することは、許されない。このため、ＩＰアドレスは、例えば、ＩＰアドレスを管理するＤＨＣＰ（Dynamic Host Configuration Protocol）サーバをネットワーク上に設置し、ＤＨＣＰサーバにより自動的にＩＰアドレスを払い出すことにより、各機器に割り当てられる。

ＤＨＣＰサーバを用いただけの管理システムでは、物理的にネットワークに接続できれば、どの端末でもＩＰアドレスが割り当てられるため、第三者が簡単にネットワークを利用できてしまう。このため、第三者によるネットワークの利用を防止するために、事前に登録したＭＡＣ（Media Access Control）アドレスのみにＩＰアドレスを払い出すＤＨＣＰサーバを用いて管理するシステムがある。例えば、利用者は、利用者の認証を実施する認証サーバを介して、ＭＡＣアドレスをＤＨＣＰサーバに登録する（例えば、特許文献１）。
特開２００２−２３２４４９号公報

一般的に、ネットワークを利用する全端末のＭＡＣアドレスを事前に登録するシステムでは、端末数の増加に伴い、登録作業および管理作業が増加する。例えば、特許文献１では、ＤＨＣＰサーバにＭＡＣアドレスが事前に登録されていない端末を利用する者は、ＩＰアドレスを取得するために必要な認証情報を認証サーバに入力する。そして利用者は、認証が正しく行われた場合に、認証サーバを介して、ＭＡＣアドレスをＤＨＣＰサーバに登録する。このため、ＭＡＣアドレスをＤＨＣＰサーバに登録するために利用者が実施する作業は、煩雑になる。また、認証のための情報を管理するデータベース、認証サーバ等が必要になり、管理者の負担が増加する。

本発明の目的は、簡易な手段で、許可したい利用者の端末のみにＩＰアドレスを払い出し、第三者の端末へのＩＰアドレスの払い出しを防止することである。

ＩＰアドレス払い出し管理システムは、ＩＧＭＰ（Internet Group Management Protocol）に基づくメンバーシップ・レポートを送信する端末と、ＩＧＭＰスヌーピング機能を備えたネットワーク中継機器と、ＩＰアドレスを管理するサーバとを有している。例えば、ネットワーク中継機器は、端末から受信したメンバーシップ・レポートをサーバへ転送する。また、サーバは、メンバーシップ・レポートの受信に基づいて、メンバーシップ・レポートを送信した端末のみにＩＰアドレスを払い出す。

本発明では、簡易な手段で、許可したい利用者の端末のみにＩＰアドレスを払い出し、第三者の端末へのＩＰアドレスの払い出しを防止できる。

以下、本発明の実施形態を図面を用いて説明する。
図１は、本発明の一実施形態を示している。この実施形態では、ＩＰアドレス払い出し管理システム１０は、ＩＧＭＰ（Internet Group Management Protocol）に基づくメンバーシップ・レポート（ＭＲ：Membership Report）を送信する端末（例えば、パーソナルコンピュータ、以後、ＰＣとも称する）１０１、１０２と、ＩＧＭＰスヌーピング機能を備えたＬ２スイッチ（ネットワーク中継機器）２０１、２０２、２０３と、ＩＰアドレスを管理するＤＨＣＰサーバ３０１とを有している。

ネットワーク２０は、ＩＰアドレス払い出し管理システム１０および他のネットワークにデータを中継するルータ４０１を有している。なお、ＩＰアドレス払い出し管理システム１０のＤＨＣＰサーバ３０１により管理されているネットワーク２０に、第三者のＰＣ１０３、１０４が、物理的に接続される場合もある。
ＰＣ１０１−１０２は、例えば、上位（ＤＨＣＰサーバ３０１）からのＩＧＭＰのクエリ（Ｑｕｅｒｙ）に対して、メンバーシップ・レポート（以後、ＭＲとも称する）を応答するソフトウエアがインストールされている。以後、このソフトウエアをＭＲ送信用ソフトウエアとも称する。ＭＲ送信用ソフトウエアは、例えば、正規にＩＰアドレスを割り当てたい利用者が、ネットワークの利用を申請したときに配布される。なお、ＰＣ１０３−１０４は、ＭＲ送信用ソフトウエアがインストールされていない。

ＰＣ１０１−１０２は、ネットワーク接続時あるいは電源導入時にメンバーシップ・レポートをＤＨＣＰサーバ３０１に送信する。なお、ネットワーク接続時とは、例えば、ＰＣ１０１とＬ２スイッチ２０１とをＬＡＮ（Local Area Network）ケーブルで接続したときである。Ｌ２スイッチ２０１−２０３は、データリンク層（Ｌｅｖｅｌ２：Ｌ２）で行き先を振り分けるネットワーク中継機器であり、ＩＧＭＰスヌーピング機能を用いて、ＰＣ１０１−１０２から送信されたＭＲをＤＨＣＰサーバ３０１に転送する。

ＤＨＣＰサーバ３０１は、ネットワーク２０に接続された各機器に割り当てるＩＰアドレスを管理するサーバであり、ＭＲを送信したＰＣ１０１、１０２およびネットワーク２０に接続されている各機器にＩＰアドレスを払い出す。また、ＤＨＣＰサーバ３０１は、ＩＰアドレスの払い出しを許可する端末のＭＡＣアドレスを記憶する許可リスト３０２を有している。許可リスト３０２は、例えば、ＤＨＣＰサーバ３０１の図示しないメモリに記憶される。

図２は、図１に示したＤＨＣＰサーバ３０１および端末（ＰＣ）のＩＰアドレス払い出し手順の基本動作を示している。ＤＨＣＰｄｉｓｃｏｖｅｒ３１１、ＤＨＣＰｒｅｑｕｅｓｔ３１３は、ＰＣ１０１からＤＨＣＰサーバ３０１に送信されるフレームを示している。また、ＤＨＣＰｏｆｆｅｒ３１２、ＤＨＣＰａｃｋ３１４、ＤＨＣＰｎａｃｋ３１６は、ＤＨＣＰサーバ３０１からＰＣ１０１に送信されるフレームを示している。

ＰＣ１０１は、電源投入時あるいはネットワーク接続時に、ＤＨＣＰｄｉｓｃｏｖｅｒ３１１をブロードキャスト形式でネットワーク全体に送信し、ＩＰアドレスを管理しているＤＨＣＰサーバを探索する。ＤＨＣＰｄｉｓｃｏｖｅｒ３１１を受信したＤＨＣＰサーバ３０１は、ＤＨＣＰｏｆｆｅｒ３１２を、ＤＨＣＰｄｉｓｃｏｖｅｒ３１１の送信元のＰＣ１０１に返信する。

なお、ネットワーク内に複数のＤＨＣＰサーバが存在する場合、ＰＣ１０１は、複数のＤＨＣＰｏｆｆｅｒを受信することになる。この場合は、ＰＣ１０１は、最も先に受信したＤＨＣＰｏｆｆｅｒを参照し、そのＤＨＣＰｏｆｆｅｒを送信したＤＨＣＰサーバにＤＨＣＰｒｅｑｕｅｓｔを返信する。図の例では、ＰＣ１０１は、ＤＨＣＰｒｅｑｕｅｓｔ３１３をＤＨＣＰサーバ３０１に送信する。

ＤＨＣＰｒｅｑｕｅｓｔ３１３を受信したＤＨＣＰサーバ３０１は、ＩＰアドレス情報等を含んだＤＨＣＰａｃｋ３１４をＰＣ１０１に返信する。これにより、ＰＣ１０１は、ＩＰアドレスが割り当てられると共に、他のネットワークにデータを中継するルータ４０１のＩＰアドレスも通知される。なお、ＤＨＣＰｎａｃｋ３１６がＤＨＣＰサーバ３０１からＰＣ１０１に送信された場合、ＰＣ１０１は、ＩＰアドレスの割り当てを受けられず、ネットワークを利用することができない。

後述する図３で説明するが、本発明では、ＤＨＣＰサーバ３０１は、第３者の端末（例えば、図１のＰＣ１０３）からのＤＨＣＰｄｉｓｃｏｖｅｒを破棄し、ＤＨＣＰｏｆｆｅｒを送信しない。あるいは、ＤＨＣＰサーバ３０１は、第３者の端末に対しては、ＤＨＣＰｎａｃｋを返信する。これにより、第三者の端末へのＩＰアドレスの払い出しを防止できる。

図３は、図１に示したＩＰアドレス払い出し管理システム１０のＩＰアドレス払い出し動作の一例を示している。ステップＳ１１０、Ｓ１１２、Ｓ１１４、Ｓ１１６、Ｓ１１８は、ＰＣ１０１−１０２をソフトウエア（例えば、上述のＭＲ送信用ソフトウエア）により制御することにより実現される。ステップＳ２１０は、Ｌ２スイッチ２０１−２０３により実行され、ハードウエアのみで実現されてもよく、ハードウエアをソフトウエアにより制御することにより実現されてもよい。ステップＳ３１０、Ｓ３１２、Ｓ３１４、Ｓ３１６、Ｓ３１８、Ｓ３２０、Ｓ３２２は、ＤＨＣＰサーバ３０１をソフトウエアにより制御することにより実現される。

図中の破線は、メンバーシップ・レポート（ＭＲ）等のフレームの流れを示している。なお、ステップＳ１１２、Ｓ１１４、Ｓ１１６、Ｓ１１８、Ｓ３１４、Ｓ３１８、Ｓ３２０、Ｓ３２２は、上述した図２の動作に対応する。
先ず、ステップＳ１１０では、ＰＣ１０１−１０２は、ＰＣ１０１−１０２がＬ２スイッチ２０１−２０２に接続されたときに、ＭＲをＩＧＭＰのマルチキャスト形式で、ＤＨＣＰサーバ３０１に数秒おきに送信する。また、ＰＣ１０１−１０２は、ステップＳ１１２において、ＰＣ１０１−１０２がＬ２スイッチ２０１−２０２に接続されたときに、ＤＨＣＰｄｉｓｃｏｖｅｒを、ブロードキャスト形式でネットワーク全体に数秒間隔で送信する。

なお、ＤＨＣＰサーバ３０１のステップＳ３１２の処理の後に、ＤＨＣＰｄｉｓｃｏｖｅｒがＤＨＣＰサーバ３０１に到達すれば、ステップＳ１１０、Ｓ１１２の処理は、どちらが先に実行されてもよい。例えば、ＰＣ１０１−１０２は、ＭＲおよびＤＨＣＰｄｉｓｃｏｖｅｒを、ＤＨＣＰサーバ３０１に数秒おきに同時に送信してもよい。ステップＳ１１４−Ｓ１１８の動作は、上述した図２のＰＣ１０１の動作と同じため、詳細な説明を省略する。

ステップＳ２１０では、Ｌ２スイッチ２０１−２０３は、ＩＧＭＰスヌーピング機能を用いて、ＰＣ１０１−１０２から受信したＭＲをＤＨＣＰサーバ３０１に転送する。換言すれば、ＭＲは、マルチキャスト形式でＤＨＣＰサーバ３０１に送信されるため、Ｌ２スイッチ２０１−２０３により上位ポートへ転送され、ＤＨＣＰサーバ３０１に到達する（ステップＳ３１０）。また、ＤＨＣＰｄｉｓｃｏｖｅｒは、ブロードキャスト形式でネットワーク全体に送信されるため、ネットワークに接続されているＤＨＣＰサーバ３０１に到達する（ステップＳ３１４）。

ステップＳ３１２では、ＤＨＣＰサーバ３０１は、ステップＳ３１０で受信したＭＲの送信元の端末（例えば、ＰＣ１０１）のＭＡＣアドレスを、許可リストに記憶する。なお、ＭＲは、送信元のＭＡＣアドレスを含むフィールドと一緒に送信されるため、ＤＨＣＰサーバ３０１は、受信したＭＲに基づいて、ＭＲの送信元の端末のＭＡＣアドレスを認識できる。

ステップＳ３１４では、ＤＨＣＰサーバ３０１は、ＰＣ１０１−１０２から送信されたＤＨＣＰｄｉｓｃｏｖｅｒを受信する。ここで、ＤＨＣＰｄｉｓｃｏｖｅｒは、上述したように、ＩＰアドレスを管理しているＤＨＣＰサーバを探索するために、ＰＣ１０１−１０２から送信されたフレームである。換言すれば、ＤＨＣＰｄｉｓｃｏｖｅｒは、ＩＰアドレスを取得するために端末（ＰＣ１０１−１０２）から送信されたフレームである。

ステップＳ３１６では、ＤＨＣＰサーバ３０１は、ＤＨＣＰｄｉｓｃｏｖｅｒの送信元の端末のＭＡＣアドレスが、許可リストに記憶されているか否かを判定する。ＤＨＣＰｄｉｓｃｏｖｅｒの送信元の端末のＭＡＣアドレスが、許可リストに記憶されている場合、処理は、ステップＳ３１８に移る。一方、ＤＨＣＰｄｉｓｃｏｖｅｒの送信元の端末のＭＡＣアドレスが、許可リストに記憶されていない場合、ＤＨＣＰサーバ３０１は、受信したＤＨＣＰｄｉｓｃｏｖｅｒを破棄し、ＤＨＣＰｏｆｆｅｒを端末に送信せずに、処理を終了する。

なお、正規な端末であるＰＣ１０１では、ＭＲおよびＤＨＣＰｄｉｓｃｏｖｅｒをＤＨＣＰサーバ３０１に数秒おきに送信するため、ステップＳ３１２の後にＤＨＣＰサーバ３０１に到達したＤＨＣＰｄｉｓｃｏｖｅｒにより、処理は継続される。すなわち、ＤＨＣＰサーバ３０１は、許可リストに記憶されているＭＡＣアドレスに対応する端末のみにＤＨＣＰｏｆｆｅｒを送信し（ステップＳ３１８）、ＩＰアドレスの払い出し処理を実行する。このため、許可リストに記憶されていない第三者の端末にＩＰアドレスを払い出すことを防止できる。

ステップＳ３１８−Ｓ３２０の動作は、上述した図２のＤＨＣＰサーバ３０１のＤＨＣＰｏｆｆｅｒ３１２の送信以降の動作と同じため、詳細な説明を省略する。ＭＲ送信用ソフトウエアがインストールされていないＰＣ１０３−１０４は、上述のステップＳ３１０、Ｓ３１２、Ｓ３１６の処理により、ＤＨＣＰｄｉｓｃｏｖｅｒが破棄されるため、ＩＰアドレスの払い出し処理を継続できない。このため、ＭＲ送信用ソフトウエアがインストールされていない第三者の端末にＩＰアドレスを払い出すことを防止できる。

なお、ＤＨＣＰサーバ３０１は、限られたＩＰアドレスを有効に活用するために、ＩＰアドレスの有効期限を設定して、ＩＰアドレスを端末に払い出してもよい。この場合、ＤＨＣＰサーバ３０１は、端末存在確認を定期的に実行し、ネットワークを利用している端末のみに、ＩＰアドレスを再払い出しする。ここで、端末存在確認とは、ＩＰアドレスが割り当てられた端末がネットワークを利用しているか否かを確認することである。なお、端末存在確認が実行されないＩＰアドレス払い出し管理システムでは、ＩＰアドレスの有効期限が切れた端末は、上述のステップＳ１１０−Ｓ１１８を再度実行し、ＩＰアドレスを新たに取得する。

図４は、図１に示したＩＰアドレス払い出し管理システム１０の端末存在確認の動作の一例を示している。ステップＳ１５０、Ｓ１５２は、ＰＣ１０１−１０２をソフトウエア（例えば、上述のＭＲ送信用ソフトウエア）により制御することにより実現される。ステップＳ２５０、Ｓ２５２は、Ｌ２スイッチ２０１−２０３により実行され、ハードウエアのみで実現されてもよく、ハードウエアをソフトウエアにより制御することにより実現されてもよい。ステップＳ３５０、Ｓ３５２、Ｓ３５４、Ｓ３５６、Ｓ３５８は、ＤＨＣＰサーバ３０１をソフトウエアにより制御することにより実現される。

図中の破線は、メンバーシップ・レポート（ＭＲ）等のフレームの流れを示している。ステップＳ３５０を実行する前に、クエリ（Ｑｕｅｒｙ）に対する端末からの応答の制限時間が予め設定されている。また、ＰＣ１０１−１０２は、上述した図３のフローにより、ＩＰアドレスが割り当てられた端末である。
先ず、ステップＳ３５０では、ＤＨＣＰサーバ３０１は、ＱｕｅｒｙをＩＧＭＰのマルチキャスト形式で、ＩＰアドレスが割り当てられたＰＣ１０１−１０２等に定期的に送信する。

ステップＳ２５０では、Ｌ２スイッチ２０１−２０３は、ＩＧＭＰスヌーピング機能を用いて、ＤＨＣＰサーバ３０１から受信したＱｕｅｒｙをＰＣ１０１−１０２に転送する。Ｑｕｅｒｙは、マルチキャスト形式でＩＰアドレスが割り当てられた端末に送信されるため、Ｌ２スイッチ２０１−２０３により、ＰＣ１０１−１０２に転送される。このため、ＩＰアドレスが割り当てられていない第三者のＰＣ１０３−１０４が、物理的にネットワークに接続されていても、Ｑｕｅｒｙは、ＰＣ１０３−１０４に転送されない。これにより、第三者がＱｕｅｒｙの情報を悪用することを防止できる。

ステップＳ１５０では、ＰＣ１０１−１０２は、Ｑｕｅｒｙを受信する。ステップＳ１５２では、ＰＣ１０１−１０２は、Ｑｕｅｒｙの受信に応答して、ＭＲをマルチキャスト形式で、ＤＨＣＰサーバ３０１に送信する。
ステップＳ２５２では、Ｌ２スイッチ２０１−２０３は、ＩＧＭＰスヌーピング機能を用いて、ＰＣ１０１−１０２から受信したＭＲをＤＨＣＰサーバ３０１に転送する。

ステップＳ３５２では、ＤＨＣＰサーバ３０１は、ＭＲを受信する。ステップＳ３５４では、ＤＨＣＰサーバ３０１は、Ｑｕｅｒｙを送信してから制限時間内にＭＲを受信できたか否かを判定する。制限時間内にＭＲを受信できた場合、ステップＳ３５６において、ＭＲを送信した端末のＭＡＣアドレスは、図１に示した許可リスト３０２に保持される。
一方、制限時間内にＭＲを受信できなかった場合、ステップＳ３５８において、ＤＨＣＰサーバ３０１は、ＭＲを制限時間内に送信しなかった端末のＭＡＣアドレスを、許可リスト３０２から削除する。

上述の処理により、定期的に更新される許可リスト３０２には、制限時間内にＭＲを送信した端末のＭＡＣアドレスのみが記憶される。この結果、ＩＰアドレスの有効期限が切れたときに、ネットワークを利用しない端末にＩＰアドレスを再払い出しすることを防止でき、限られたＩＰアドレスを有効に活用できる。
また、許可リスト３０２が定期的に更新されるため、ＭＲ送信用ソフトウエアを使用せずにネットワークを継続的に利用することを防止できる。例えば、ＭＲ送信用ソフトウエアの異常終了により、ＭＲの応答を返さなかった端末は、ＩＰアドレスの有効期限が切れたときに、ネットワークを利用できなくなる。これにより、ネットワークの不正利用の防止を向上できる。

図５は、図１に示した許可リスト３０２の一例を示している。許可リスト３０２は、整理番号Ｎｏ、ＭＡＣアドレス、払い出し状況ＳＴ、リース時刻ＬＴを示す情報を有している。ＭＡＣアドレスには、ＭＲをＤＨＣＰサーバに送信した端末のＭＡＣアドレスが記憶される。払い出し状況ＳＴには、払い出し中や待機中等を示す情報が記憶される。例えば、払い出し中は、端末にＩＰアドレスが払い出された状態を示している。また、待機中は、端末にＩＰアドレスが払い出されていない状態、例えば、上述した図３に示したステップＳ１１０を実行し、ステップＳ１１２を実行する前の状態を示している。リース時刻ＬＴには、ＩＰアドレスを払い出した時刻が記憶される。

例えば、整理番号Ｎｏ１では、ＭＲをＤＨＣＰサーバに送信した正規の端末であるＰＣ１０１のＭＡＣアドレスが記憶され、１２時にＩＰアドレスをＰＣ１０１に払い出したことを示している。また、整理番号Ｎｏ２では、正規の端末としてＰＣ１０２のＭＡＣアドレスが記憶され、ＩＰアドレスがＰＣ１０２に、まだ払い出されていないことを示している。上述した図３に示したステップＳ１１０、Ｓ２１０、Ｓ３１０、Ｓ３１２および図４に示したフローにより、許可リスト３０２には、ＭＲをＤＨＣＰサーバに送信した正規の端末のＭＡＣアドレスのみが、受信したＭＲに基づいて、自動的に記憶される。なお、払い出し状況ＳＴに、払い出したＩＰアドレスを記憶してもよい。この場合、ＤＨＣＰサーバ３０１は、許可リスト３０２を用いて、正規の端末およびＩＰアドレスを管理できる。

図６は、図１に示したＩＰアドレス払い出し管理システム１０で使用するＩＧＭＰフレームの構成を示している。図に示したＩＧＭＰフレームの構成は、ＩＦＴＥ（Internet Engineering Task Force）により、ＲＦＣ（Request For Comment）２２３６で公開されているため、詳細な説明を省略する。ＩＧＭＰフレームは、８ビットのＴｙｐｅ、８ビットのＭａｘ Ｒｅｓｐ Ｔｉｍｅ、１６ビットのＣｈｅｃｋｓｕｍ、３２ビットのＧｒｏｕｐ Ａｄｄｒｅｓｓを有している。

Ｔｙｐｅは、ＩＧＭＰのメッセージのタイプを示している。例えば、０ｘ１１は、マルチキャストグループのメンバを問い合わせるＭｅｍｂｅｒｓｈｉｐ Ｑｕｅｒｙ、すなわち、上述した図４に示したＱｕｅｒｙを示している。ここで、”０ｘ”は、後に続く２桁の数字が１６進数であることを示している。０ｘ１２および０ｘ１６は、マルチキャストグループに参加することを示すＭｅｍｂｅｒｓｈｉｐ Ｒｅｐｏｒｔ、すなわち、上述した図３等に示したメンバーシップ・レポート（ＭＲ）を示している。また、０ｘ１２が示すＭｅｍｂｅｒｓｈｉｐ Ｒｅｐｏｒｔは、ＩＧＭＰｖ１を使用しているシステムとの互換用である。０ｘ１７は、マルチキャストグループからの離脱を示すＬｅａｖｅ Ｇｒｏｕｐ（後述する図９に示すＬｅａｖｅ）を示している。

Ｍａｘ Ｒｅｓｐ Ｔｉｍｅは、最大応答時間であり、例えば、上述した図４で説明した制限時間が設定される。Ｃｈｅｃｋｓｕｍは、誤り検出に用いられるチェックサムであり、Ｇｒｏｕｐ Ａｄｄｒｅｓｓは、対象マルチキャストのグループアドレスである。例えば、事前に配布されたＭＲ送信用ソフトウエアにより、Ｇｒｏｕｐ Ａｄｄｒｅｓｓに、図１に示したＤＨＣＰサーバ３０１宛のグループアドレスが設定される。これにより、ＰＣ１０１は、ネットワーク接続時等に、ＤＨＣＰサーバ３０１にＭＲを送信できる。

図７は、図３に示したフローの具体例を示している。上述した図１、図２および図３で説明した要素と同一の要素については、同一の符号を付し、これ等については、詳細な説明を省略する。図中の破線は、メンバーシップ・レポート（ＭＲ）等のフレームの流れを示している。
先ず、ＭＲ送信用ソフトウエアが予めインストールされている正規の端末であるＰＣ１０１は、電源投入時あるいはネットワーク接続時にＭＲ１１１をＤＨＣＰサーバ３０１に数秒間隔で送信する。Ｌ２スイッチ２０１−２０３は、ＩＧＭＰの動作に基づき、ＰＣ１０１のＭＡＣアドレスを記憶し、ＭＲ１１１をＤＨＣＰサーバ３０１に転送する。ＤＨＣＰサーバ３０１は、受信したＭＲ１１１の送信元のＭＡＣアドレス（ＰＣ１０１のＭＡＣアドレス）を、許可リスト３０２に記憶する。また、ＰＣ１０１は、ＤＨＣＰｄｉｓｃｏｖｅｒ３１１もＤＨＣＰサーバ３０１に数秒間隔で送信する。ＰＣ１０１のＭＡＣアドレスは、許可リスト３０２に登録されているため、上述した図２に示した動作が実行され、ＰＣ１０１にＩＰアドレスが払い出される。

一方、ＭＲ送信用ソフトウエアがインストールされていないＰＣ１０３は、電源投入時あるいはネットワーク接続時にＤＨＣＰｄｉｓｃｏｖｅｒ３１１のみをＤＨＣＰサーバ３０１に数秒間隔で送信する。ＰＣ１０３のＭＡＣアドレスは、許可リスト３０２に登録されていないため、ＤＨＣＰサーバは、受信したＤＨＣＰｄｉｓｃｏｖｅｒ３１１を破棄し、ＤＨＣＰｏｆｆｅｒ３１２をＰＣ１０３に送信しない。したがって、上述した図２に示した動作が実行されない。この実施形態では、正規の端末へのＭＲ送信用ソフトウエアのインストールにより、許可したい利用者の端末のみにＩＰアドレスを払い出し、第三者の端末へのＩＰアドレスの払い出しを防止することができる。

図８は、図４に示した端末存在確認のフローの具体例を示している。上述した図４および図７で説明した要素と同一の要素については、同一の符号を付し、これ等については、詳細な説明を省略する。図の例では、ＰＣ１０１およびＰＣ１０２は、上述した図３に示したフローにより、ＩＰアドレスを取得し、さらに、ＰＣ１０２は、ＩＰアドレスの取得後、ＭＲ送信用ソフトウエアが異常終了している状態である。

ＤＨＣＰサーバ３０１は、ネットワークを利用している端末を確認するために、マルチキャスト形式で、ＰＣ１０１およびＰＣ１０２にＱｕｅｒｙ１１２を定期的に送信する。Ｌ２スイッチ２０１−２０３は、ＩＧＭＰスヌーピング機能を用いて、対象マルチキャストのグループに参加している端末（ＰＣ１０１、ＰＣ１０２等）にＱｕｅｒｙ１１２を転送する。ＰＣ１０１は、ネットワークを利用することを明示するために、Ｑｕｅｒｙ１１２の受信に応答して、ＭＲ１１１をＤＨＣＰサーバ３０１に送信する。

ＤＨＣＰサーバ３０１は、ＰＣ１０１からのＭＲ１１１を予め設定された制限時間内に受信できたため、許可リスト３０２に記憶されているＰＣ１０１のＭＡＣアドレスを保持する。また、ＤＨＣＰサーバ３０１は、ＰＣ１０１に払い出したＩＰアドレスの有効期限を更新する。この結果、ＰＣ１０１は、ネットワークを継続して利用できる。
一方、ＭＲ送信用ソフトウエアが異常終了しているＰＣ１０２は、Ｑｕｅｒｙ１１２の受信に応答して、ＭＲ１１１をＤＨＣＰサーバ３０１に送信できない。したがって、ＤＨＣＰサーバ３０１は、ＰＣ１０２からのＭＲ１１１を制限時間内に受信できないため、ＰＣ１０２に払い出したＩＰアドレスの有効期限を更新せずに、ＰＣ１０２のＭＡＣアドレスを許可リスト３０２から削除する。この結果、ＰＣ１０２は、ＩＰアドレスの有効期限が切れたときに、ネットワークを利用できなくなる。

これにより、ＤＨＣＰサーバ３０１は、ＩＰアドレスの有効期限が切れたときに、ＰＣ１０２に割り当てたＩＰアドレスを他の機器に割り当てることができる。この結果、限られたＩＰアドレスを有効に活用できる。
また、ＭＲ送信用ソフトウエアを使用せずにネットワークを利用することを防止でき、ネットワークの不正利用の防止を向上できる。例えば、ＰＣ１０２がネットワークを利用していないときに、ＭＲ送信用ソフトウエアがインストールされていない端末（例えば、ＰＣ１０３）が、ＰＣ１０２のＭＡＣアドレスになりすまして、ＩＰアドレスを取得することを防止できる。なお、ＰＣ１０２は、ＭＲ送信用ソフトウエアを再度起動し、上述の図３に示したフローを実行することにより、新たなＩＰアドレスを取得できる。

図９は、図１に示したＩＰアドレス払い出し管理システム１０の端末がネットワークの利用を終了するときの動作の一例を示している。ネットワークの利用を終了するＰＣ１０１は、ＩＰアドレス返却のためのＤＨＣＰｒｅｌｅａｓｅ３１５をＤＨＣＰサーバ３０１に送信する。さらに、ＰＣ１０１は、Ｌｅａｖｅ１１３（上述した図６に示したＩＧＭＰフレームのＬｅａｖｅ Ｇｒｏｕｐ）をＤＨＣＰサーバ３０１に送信する。Ｌ２スイッチ２０１、２０３は、ＩＧＭＰスヌーピング機能を用いて、ＤＨＣＰサーバ３０１にＬｅａｖｅ１１３を転送する。Ｌｅａｖｅ１１３を受信したＤＨＣＰサーバ３０１は、Ｌｅａｖｅ１１３の送信元のＰＣ１０１のＭＡＣアドレスを、許可リスト３０２から削除する。これにより、ＰＣ１０１がネットワークを利用していないときに、ＭＲ送信用ソフトウエアがインストールされていない端末（例えば、ＰＣ１０３）が、ＰＣ１０１のＭＡＣアドレスになりすまして、ＩＰアドレスを取得することを防止できる。許可リスト３０２は、上述した図８に示したＱｕｅｒｙ１１２の送信間隔に拘わらず、ネットワークの利用が終了したときに更新されるため、ネットワークの不正利用の防止をさらに向上できる。

以上、この実施形態では、正規の利用者は、ＤＨＣＰサーバからのＱｕｅｒｙに対してＭＲを応答するソフトウエア（ＭＲ送信用ソフトウエア）を、端末に予めインストールする。すなわち、正規な端末には、ＭＲ送信用ソフトウエアが予めインストールされる。これにより、正規の端末は、電源投入時、ネットワーク接続時、あるいは、ＤＨＣＰサーバ３０１からの問い合わせ時に、ＭＲを自動的にＤＨＣＰサーバ３０１に送信できる。ＤＨＣＰサーバ３０１は、受信したＭＲに基づいて、ＩＰアドレスの払い出しを許可する端末として、その端末のＭＡＣアドレスを自動的に許可リスト３０２に記憶する。

したがって、端末（ＰＣ１０１−１０２）、各Ｌ２スイッチ２０１−２０３、ＤＨＣＰサーバ３０１等に、煩わしい設定をすることなく、許可したい利用者の端末のみにＩＰアドレスを払い出し、第三者の端末へのＩＰアドレスの払い出しを防止することができる。さらに、ＤＨＣＰサーバ３０１は、端末によるネットワークの利用の終了時およびＱｕｅｒｙを用いた定期的な端末存在確認時に、許可リスト３０２を自動的に更新する。これにより、ＭＲ送信用ソフトウエアを使用せずにネットワークを利用することを防止でき、ネットワークの不正利用の防止を向上できる。また、ＩＰアドレスは、有効期限が設定されて払い出されるため、限られたＩＰアドレスを有効に活用できる。

なお、上述した実施形態では、許可リスト３０２に基づいてＩＰアドレスを払い出すか否かを判定する例について述べた。本発明は、かかる実施形態に限定されるものではない。例えば、ＤＨＣＰサーバは、図５に示した許可リスト３０２と一緒に、図１０に示す拒否リスト３０３を用いて、ＩＰアドレスを払い出すか否かを判定してもよい。図１０は、ＩＰアドレスの払い出しを拒否する端末のＭＡＣアドレスを記憶する拒否リスト３０３の一例を示している。

拒否リスト３０３は、整理番号ＮｏおよびＭＡＣアドレスの情報を有している。ＭＡＣアドレスには、ＩＰアドレスの払い出しを拒否する端末、例えば、他のネットワークで悪質な利用者として知られている人が利用する端末のＭＡＣアドレスが記憶される。例えば、整理番号Ｎｏ１には、ＰＣ１０３のＭＡＣアドレスが記憶される。これにより、ＤＨＣＰサーバ３０１は、ＰＣ１０３からＭＲを受信しても、拒否リスト３０３に記憶されているＭＡＣアドレスのため、ＩＰアドレスをＰＣ１０３に払い出さない。

なお、正規の利用者が、長期出張等で端末を利用しない期間だけ、その端末のＭＡＣアドレスを、拒否リスト３０３に記憶し、再度利用するときに拒否リスト３０３から削除してもよい。この場合にも、上述した実施形態と同様の効果を得ることができる。さらに、第三者がＭＲ送信用ソフトウエアを入手した場合でも、第三者の端末へのＩＰアドレスの払い出しを防止することができる。

上述した実施形態では、第三者の端末へのＩＰアドレスの払い出しを防止するために、図３に示したフローを実施する例について述べた。本発明は、かかる実施形態に限定されるものではない。例えば、ＤＨＣＰサーバ３０１は、図１１に示すフローを実施することにより、第三者の端末へのＩＰアドレスの払い出しを防止してもよい。
図１１は、図１に示したＤＨＣＰサーバ３０１のＩＰアドレス払い出し動作の別の例を示している。上述した図３で説明したステップと同一のステップについては、同一の符号を付し、これ等については、詳細な説明を省略する。図１に示したＰＣ１０１−１０２およびＬ２スイッチ２０１−２０３の動作は、図３に示した動作と同じである。図１１に示したフローは、図３に示したステップＳ３１６に対応する処理（ステップＳ３２１）をステップＳ３２０の処理の後に実施する点が、図３に示したフローと異なる。

ＤＨＣＰサーバ３０１は、ＤＨＣＰｒｅｑｕｅｓｔを受信（ステップＳ３２０）した後に、ステップＳ３２１において、ＤＨＣＰｒｅｑｕｅｓｔの送信元の端末のＭＡＣアドレスが、許可リストに記憶されているか否かを判定する。ＤＨＣＰｒｅｑｕｅｓｔの送信元の端末のＭＡＣアドレスが、許可リストに記憶されている場合、ステップＳ３２２ａにおいて、ＤＨＣＰサーバ３０１は、ＤＨＣＰｒｅｑｕｅｓｔの送信元の端末にＤＨＣＰａｃｋを返信する。これにより、ＤＨＣＰサーバ３０１は、許可したい利用者の端末にＩＰアドレスを払い出すことができる。

一方、ＤＨＣＰｒｅｑｕｅｓｔの送信元の端末のＭＡＣアドレスが、許可リストに記憶されていない場合、ステップＳ３２２ｂにおいて、ＤＨＣＰサーバ３０１は、ＤＨＣＰｒｅｑｕｅｓｔの送信元の端末にＤＨＣＰｎａｃｋを返信する。なお、ＤＨＣＰサーバ３０１は、ステップＳ３２２ｂにおいて、無効なＩＰアドレス（例えば、０．０．０．０）を、ＤＨＣＰｒｅｑｕｅｓｔの送信元の端末に払い出してもよい。これにより、許可リストに記憶されていない第三者の端末への有効なＩＰアドレスの払い出しを防止できる。図１１に示したフローにおいても、上述した実施形態と同様の効果を得ることができる。

以上、本発明について詳細に説明してきたが、上記の実施形態およびその変形例は発明の一例に過ぎず、本発明はこれに限定されるものではない。本発明を逸脱しない範囲で変形可能であることは明らかである。

本発明は、ＩＰアドレス払い出し管理システムおよびＩＰアドレス払い出し管理方法に利用できる。

本発明の一実施形態を示すブロック図である。 図１に示したＤＨＣＰサーバおよび端末のＩＰアドレス払い出し手順の基本動作の説明図である。 図１に示したＩＰアドレス払い出し管理システムのＩＰアドレス払い出し動作の一例を示すフロー図である。 図１に示したＩＰアドレス払い出し管理システムの端末存在確認の動作の一例を示すフロー図である。 図１に示した許可リストの一例を示す説明図である。 図１に示したＩＰアドレス払い出し管理システムで使用するＩＧＭＰフレームの構成を示す説明図である。 図３に示したフローの具体例を示す説明図である。 図４に示したフローの具体例を示す説明図である。 図１に示したＩＰアドレス払い出し管理システムの端末がネットワークの利用を終了するときの動作の一例を示す説明図である。 ＩＰアドレスの払い出しを拒否する端末の拒否リストの一例を示す説明図である。 図１に示したＤＨＣＰサーバのＩＰアドレス払い出し動作の別の例を示すフロー図である。

符号の説明

１０‥ＩＰアドレス払い出し管理システム；２０‥ネットワーク；１０１−１０４‥端末（ＰＣ）；１１１−１１３‥ＩＧＭＰフレーム；２０１−１０３‥Ｌ２スイッチ；３０１‥ＤＨＣＰサーバ；３０２‥許可リスト；３０３‥拒否リスト；３１１−３１６‥ＤＨＣＰフレーム；４０１‥ルータ

Claims (10)

1. ネットワークに接続される機器を識別するためのＩＰアドレスを管理するサーバと、
   ＩＧＭＰ（Internet Group Management Protocol）に基づくメンバーシップ・レポートを送信する端末と、
   ＩＧＭＰスヌーピング機能を有し、前記端末から受信したメンバーシップ・レポートを前記サーバへ転送するネットワーク中継機器とを備え、
   前記サーバは、受信した前記メンバーシップ・レポートに基づいて、前記メンバーシップ・レポートを送信した端末のみにＩＰアドレスを払い出すことを特徴とするＩＰアドレス払い出し管理システム。
2. 請求項１記載のＩＰアドレス払い出し管理システムにおいて、
   前記サーバは、
   ＩＰアドレスの払い出しを許可する端末のＭＡＣアドレスを記憶する許可リストを有し、
   受信した前記メンバーシップ・レポートに基づいて、前記メンバーシップ・レポートを送信した端末のＭＡＣアドレスを前記許可リストに記憶し、
   ＩＰアドレスの取得のためのフレームを端末から受信したときに、前記フレームを送信した端末のＭＡＣアドレスが、前記許可リストに記憶されているか否かを判定し、
   前記フレームを送信した端末のＭＡＣアドレスが、前記許可リストに記憶されている場合のみ、ＩＰアドレスを払い出すことを特徴とするＩＰアドレス払い出し管理システム。
3. 請求項２記載のＩＰアドレス払い出し管理システムにおいて、
   前記サーバは、
   ＩＧＭＰに基づくクエリ（Query）を端末に送信し、
   前記クエリに対する応答である前記メンバーシップ・レポートを、予め設定された制限時間内に受信できたか否かを判定し、
   前記制限時間内に受信できなかったメンバーシップ・レポートに対応する端末のＭＡＣアドレスを、前記許可リストから削除することを特徴とするＩＰアドレス払い出し管理システム。
4. 請求項３記載のＩＰアドレス払い出し管理システムにおいて、
   前記端末は、ネットワークを利用することを明示するために、前記クエリを前記サーバから受信した場合、前記メンバーシップ・レポートを前記サーバに返信することを特徴とするＩＰアドレス払い出し管理システム。
5. 請求項１記載のＩＰアドレス払い出し管理システムにおいて、
   前記端末は、ネットワーク接続時に、前記メンバーシップ・レポートを前記サーバに送信することを特徴とするＩＰアドレス払い出し管理システム。
6. ネットワークに接続される機器を識別するためのＩＰアドレスを管理するサーバと、端末と、ネットワーク中継機器とを備えたネットワークにおけるＩＰアドレス払い出し管理方法であって、
   前記端末は、ＩＧＭＰに基づくメンバーシップ・レポートを送信し、
   前記ネットワーク中継機器は、ＩＧＭＰスヌーピング機能に基づいて、前記端末から受信したメンバーシップ・レポートを前記サーバへ転送し、
   前記サーバは、受信した前記メンバーシップ・レポートに基づいて、前記メンバーシップ・レポートを送信した端末のみにＩＰアドレスを払い出すことを特徴とするＩＰアドレス払い出し管理方法。
7. 請求項６記載のＩＰアドレス払い出し管理方法において、
   前記サーバは、
   ＩＰアドレスの払い出しを許可する端末のＭＡＣアドレスを記憶する許可リストを備え、
   受信した前記メンバーシップ・レポートに基づいて、前記メンバーシップ・レポートを送信した端末のＭＡＣアドレスを前記許可リストに記憶し、
   ＩＰアドレスの取得のためのフレームを端末から受信したときに、前記フレームを送信した端末のＭＡＣアドレスが、前記許可リストに記憶されているか否かを判定し、
   前記フレームを送信した端末のＭＡＣアドレスが、前記許可リストに記憶されている場合のみ、ＩＰアドレスを払い出すことを特徴とするＩＰアドレス払い出し管理方法。
8. 請求項７記載のＩＰアドレス払い出し管理方法において、
   前記サーバは、
   ＩＧＭＰに基づくクエリを端末に送信し、
   前記クエリに対する応答である前記メンバーシップ・レポートを、予め設定された制限時間内に受信できたか否かを判定し、
   前記制限時間内に受信できなかったメンバーシップ・レポートに対応する端末のＭＡＣアドレスを、前記許可リストから削除することを特徴とするＩＰアドレス払い出し管理方法。
9. 請求項８記載のＩＰアドレス払い出し管理方法において、
   前記端末は、ネットワークを利用することを明示するために、前記クエリを前記サーバから受信した場合、前記メンバーシップ・レポートを前記サーバに返信することを特徴とするＩＰアドレス払い出し管理方法。
10. 請求項６記載のＩＰアドレス払い出し管理方法において、
    前記端末は、ネットワーク接続時に、前記メンバーシップ・レポートを前記サーバに送信することを特徴とするＩＰアドレス払い出し管理方法。
    

Images