JP6407610B2

JP6407610B2 - ネットワーク装置、及び、通信方法

Info

Publication number: JP6407610B2
Application number: JP2014158321A
Authority: JP
Inventors: 奉行林; 流　一秀; 一秀流; 善文新
Original assignee: Alaxala Networks Corp
Current assignee: Alaxala Networks Corp
Priority date: 2014-08-04
Filing date: 2014-08-04
Publication date: 2018-10-17
Anticipated expiration: 2034-08-04
Also published as: JP2016036087A

Description

本発明は、ネットワーク装置に関する。

現在、ＩＰネットワークを利用するため、広く普及した汎用品を利用することができる。このため、ネットワーク装置が何らかの制限をかけない場合、意図した端末だけでなく、さまざまな端末が容易にＩＰネットワークに接続することができる。そして、意図しない端末がＩＰネットワークに接続されることによって、ＩＰネットワークに不正なデータが流れたり、セキュリティが侵害されたりする可能性がある。

従来、ネットワーク装置におけるパケット転送の可否を判定するため、ネットワーク装置が保持する条件を用いる技術が提案されている（例えば、特許文献１参照）。特許文献１には、「ネットワーク中継装置と接続された端末装置による特定ネットワークへの接続の可否を判定するＷｅｂ認証の結果に従い認証済み端末装置を特定する第１の情報を作成し、前記第１の情報に基づき端末装置と前記特定のネットワーク上のノードとの間の通信データの前記通信部による中継の可否を管理する」ネットワーク中継装置が記載される。

また、ネットワーク装置の設定を簡易にするため、物理的な鍵などのハードウェアによる選択手段によってネットワーク装置の設定を切り替える技術が提案されている（特許文献２参照）。特許文献２には、「動作設定を変更可能な通信装置を、複数の設定プログラムを選択するためのハードウェアによる設定選択指示入力手段と、設定選択の操作権限を確認するための鍵及びその鍵識別手段と、前記鍵識別手段により権限が確認された場合にのみ前記選択された設定プログラムの内容を実行して機器を動作させる実行手段」を有する通信装置が記載される。

特開２０１２−０８０４１８号公報特開２００４−２１５０６８号公報

ネットワークの管理者は、本来意図しない端末がＩＰネットワークへ接続することを防ぎ、かつ、ＩＰネットワークに不正なデータが流れないような安全なネットワークを構築する必要がある。そして、ネットワーク管理者は、安全なネットワークが構築されるようにネットワーク装置にパケットの転送を許可する送信元アドレスをあらかじめ設定する必要がある。

しかし、ＩＰネットワークへ流入するデータをネットワーク装置が制限するようにネットワーク装置を設定することは、一般的なユーザにとって困難である。これは、そのネットワーク装置への設定が複雑であり、設定のために専門的かつ高度な知識が必要であるためである。

ネットワーク装置の設定は、ネットワーク装置の設置状況（設置環境）によって異なるので、専門知識が必要となり、予め設定をプログラムしておくことは難しい。そのため、鍵によって予め設定されたプログラムを実行させたとしても、専門家以外が所望のネットワーク装置の設定を行うことは難しい。

複数の装置と接続される通信装置であって、制御部と施錠部とアドレス学習部とフィルタリング部を有し、施錠部は、施錠状態に関する状態信号を制御部に対して出力し、制御部は、状態信号で示される状態に基づいて、複数の装置から受信するパケットに含まれるアドレスを学習するか、中止するか制御し、フィルタリング部は、学習したアドレスを用いて、複数の装置から受信するパケットをフィルタリングする。

ＩＰネットワークに接続可能な端末を簡易に設定できる。

実施例のネットワークシステムを示すブロック図である。実施例のフィルタテーブルを示す説明図である。実施例のアドレス学習の処理を示すフローチャートである。実施例のアドレスを新たに追加した後のフィルタテーブルを示す説明図である。実施例のパケット転送装置を示す外観図である。変形例１のアドレス学習の処理を示すフローチャートである。変形例１のパケット転送装置を示すブロック図である。変形例１のパケット転送装置を示す外観図である。変形例１の操作パネルを示すブロック図である。ユーザによる認証装置３０１の操作と施錠部３００の状態を図示したものである。

本発明の実施形態を実施例に基づいて以下の順序で説明する。
Ａ．実施例
Ｂ．変形例
Ａ．実施例：
図１は本実施例のネットワークシステムを示すブロック図である。

本実施例のネットワークシステムは、ネットワーク１０、少なくとも一つのパケット転送装置１００、及び、複数の端末７００（７００ａ〜７００ｆ）を有する。ネットワーク１０は、例えば、ＩＰネットワークである。

パケット転送装置１００は、ネットワーク１０に設置され、端末７００及び他のパケット転送装置１００から転送されたパケットを受信する。パケット転送装置１００は、プロセッサを有するネットワーク装置である。

端末７００はプロセッサを有する計算機であり、例えば、ユーザが直接使用するパーソナルコンピュータであってもよい。また、端末７００は、例えば、ネットワーク１０を介して前記パーソナルコンピュータに情報サービスを提供するサーバであってもよい。また、例えば、端末７００は温度等を測定するためのセンサを備える端末であってもよい。

また、図１は、パケット転送装置１００の装置構成図を示す。

パケット転送装置１００は入出力装置５００を接続することが可能である。入出力装置５００は、パケット転送装置１００における処理結果を、ユーザに出力するための装置である。入出力装置は、例えば、ディスプレイ、プリンタ、キーボード、またはマウスを備える装置である。また、入出力装置は、例えば、タブレット端末であってもよい。なお、入出力装置５００は、パケット転送装置１００が有してもよい。コネクタ１２０は入出力装置５００をパケット転送装置１００に接続するためのインタフェースである。

図１に示すパケット転送装置１００は、インタフェース１３０を介してネットワーク１０、インタフェース１１０を介して複数の端末７００（７００ａ〜７００ｃ）及びインタフェース１２０を介して入出力装置５００に接続される。パケット転送装置１００は、制御部２００、施錠部３００、転送部４００、少なくとも一つのインタフェース１１０（１１０ａ、１１０ｂ）及び少なくとも一つのインタフェース１３０を有する。インタフェース１３０はネットワーク１０と接続する専用のインタフェースであってもよいし、インタフェース１１０と共用してもよい。

制御部２００は、プロセッサ及びメモリを有する。プロセッサは、メモリが保持するプログラムを実行することによって制御部２００の機能を実装する。

制御部２００はアドレス学習部２０１を有する。アドレス学習部２０１は施錠部３００から送信される状態信号３０２に基づいて、転送部４００が有するフィルタリング部にアドレスの学習を指示する機能部である。

アドレス学習部２０１は、プロセッサが、プログラムを読む込みことによって実装されてもよいし、制御部２００に組み込まれる集積回路等の物理的な装置によって実装されてもよい。また、制御部２００は、プロセッサが、プログラムを読み込むことによって実装されてもよいし、パケット転送装置１００に組み込まれる集積回路等の物理的な装置として実装されてもよい。

制御部２００は、施錠部３００から状態信号３０２を受け付ける。状態信号３０２は施錠部３００の状態が変化した時に施錠部３００から制御部２００に送信され、制御部２００及び制御部が有する各機能部に施錠部３００の状態を通知する。アドレス学習部２０１は受け付けた状態信号３０２に従って、施錠部の状態を保持する。

施錠部３００はパケット転送装置１００の操作権限を持ったユーザの物理的な接近によって有効となる認証装置３０１を有する機能部である。認証装置３０１はパケット転送装置１００の操作権限を持ったユーザが所持する鍵６００の正当性を確認する機構を備える。鍵６００は、例えば、物理的な鍵、メモリカード、接触式ＩＣカード、非接触式ＩＣカード等である。認証装置３０１は、例えば、物理的な鍵の挿入、メモリカードの挿入、接触式ICカードの挿入、非接触式ICカードの接近、又は暗証番号の入力等によってユーザの操作権限を認証する。認証装置３０１が、暗証番号等の、パケット装置１００の使用権限を持ったユーザのみが知り得る情報を使用して、認証を行う場合は、鍵６００は不要である。

施錠部３００は、ユーザが認証装置３０１による認証に成功した時に施錠部３００を解錠状態又は施錠状態にする手段を有する。前記手段は、例えば、認証装置３０１に挿入した物理的な鍵の回転角度と施錠部３００の状態とを対応させる手段、認証装置３０１に、認証装置３０１による認証が成功した場合の施錠部３００の状態を指示するボタンを備える手段、認証装置３０１による認証が成功した場合に一定期間のみ施錠部３００の状態を解錠状態とし、一定期間経過した後は施錠状態とする手段、認証装置３０１による認証が行われる前の状態が施錠状態であった場合は解錠状態とし、解錠状態であった場合は施錠状態とする手段、又はこれらを組み合わせた手段等であってもよい。

施錠部３００は、ユーザによる認証装置３０１の操作によって施錠部３００の状態が解錠状態、又は施錠状態になった時、状態信号３０２を制御部２００に送信する。状態信号３０２は施錠部３００の状態（解錠状態又は施錠状態）の情報を含む。

図１０は鍵６００が物理的な鍵であり、鍵６００の回転角度と施錠部３００の状態を対応させる手段を用いた場合のユーザによる認証装置３０１の操作と施錠部３００の状態を図示したものである。認証装置３０１はパケット転送装置１００の外部から鍵６００を挿入するための鍵穴３０１aを有する。鍵穴３０１aに鍵６００を挿入していない場合は施錠部３００の状態は施錠状態である(図１０(a))。ユーザが鍵穴３０１aに鍵６００を挿入した状態で元の位置から９０度左回転することで施錠部３００の状態は解錠状態となる（図１０(b)、図１０(c)）。認証装置３０１は鍵６００が認証装置３０１と対応する正当な鍵でない場合、ユーザが鍵穴３０１aに鍵６００を挿入した状態で鍵６００を回転させるために回転力を加えても鍵６００が回転しない機構を有する。したがって、ユーザが認証装置３０１と対応する正当な鍵６００を所有していない場合は施錠部３００は解錠状態とならない。

転送部４００は、パケットを転送するための装置である。転送部４００は、プロセッサ及びメモリを有する。また、転送部４００は、データ転送部４０１とフィルタリング部４０２を機能部として有する。

データ転送部４０１はプロセッサがプログラムを読み込むことによって実装されてもよいし、転送部４００に組み込まれる集積回路等の物理的な装置によって実装されてもよい。また、フィルタリング部４０２はプロセッサがプログラムを読み込むことによって実装されてもよいし、転送部４００に組み込まれる集積回路等の物理的な装置によって実装されてもよい。さらに、転送部４００は、プロセッサがプログラムを読み込むことによって実装されてもよいし、パケット転送装置１００に組み込まれる集積回路などの物理的な装置として実装されてもよい。

データ転送部４０１は転送装置１００に到着したパケットのヘッダに含まれる送信先アドレスに従ってパケットを転送する機能部である。また、データ転送部４０１は、転送処理とともに、到着したパケットをスヌーピングし、ヘッダ情報を取得する。そして、データ転送部４０１は、取得したヘッダ情報をアドレス学習部２０１に送信する。

フィルタリング部４０２は、フィルタテーブル４０３を有し、フィルタテーブル４０３を参照して、パケット転送装置１００が受信したパケットに対して、転送を行うか否かを決定する機能部である。フィルタリング部４０２は、パケット転送装置１００が受信したパケットに対して、転送を行わないことを決定した場合は、データ転送部４０１は前記パケットを転送せず、破棄する。

また、フィルタリング部４０２はアドレス学習部２０１からの指示を受けて、フィルタリングを停止する機能を有する。フィルタリング部４０２によるフィルタリングが停止している期間は、データ転送部４０１はパケット転送装置１００が受信したすべてのパケットを転送する。また、フィルタリング部４０２は、フィルタリングを停止する一方、アドレス学習部２０１から送信された学習指示２０１１により、フィルタテーブル４０３に、スヌーピングにより取得した受信したパケットのヘッダ情報に含まれるアドレスを登録し、転送許可と設定する。

図２は本実施例のフィルタテーブル４０３を示す説明図である。

フィルタテーブル４０３はフィルタチェック順番４０３１、送信元ＩＰアドレス４０３２、送信元ＭＡＣアドレス４０３３、及び転送許可４０３４を含む。フィルタチェック順番４０３１は、フィルタテーブル４０３のエントリを採用する優先順位を示す。

具体的には、本実施例のフィルタリング部４０２は、フィルタチェック順番４０３１の数字が低い順に、フィルタテーブル４０３のエントリを検索する。そして、フィルタリング部４０２は、エントリが示すアドレスの条件が一致した場合、一致したエントリの転送許可４０３４に従って、パケットを転送するか否かを決定する。

送信元ＩＰアドレス４０３２は、パケット転送装置１００が受信したパケットの送信元のＩＰアドレスを示す。送信元ＭＡＣアドレス４０３３は、パケット転送装置１００が受信したパケットの送信元のＭＡＣアドレスを示す。

転送許可４０３４は、送信元ＩＰアドレス４０３２及び送信元ＭＡＣアドレス４０３３のアドレスをヘッダに含むパケットの転送を許可するか否かを示す。

フィルタリング部４０２はフィルタテーブル４０３を、パケット転送装置１００に接続する端末７００が属するネットワークセグメント毎に有してもよく、また、パケット転送装置１００が有するインタフェース１１０毎に有してもよい。

図２に示すフィルタテーブル４０３aは、端末７００a及び端末７００bが属するネットワークセグメントから送信されるパケットを、データ転送部４０１は、すべて転送しないことを示す。また、図２に示すフィルタテーブル４０３bは、端末７００ｃが属するネットワークセグメントから送信されるパケットのうち、端末７００ｃから送信されたパケット以外のパケットをデータ転送部４０１は、すべて転送しないことを示す。

本実施例におけるアドレスの学習は、施錠部３００が解錠状態の時、フィルタテーブル４０３にパケット転送装置１００が受信したパケットのアドレスを追加することで行う。

アドレス学習部２０１は、施錠部３００から解錠状態となったことを示す状態信号３０２を受信した時、フィルタリング部４０２に対して、フィルタリングの停止を指示する。また、アドレス学習部２０１は、前記指示を行った後、フィルタテーブル４０３に格納されたアドレスをすべて削除する。具体的には、アドレス学習部２０１は、フィルタテーブル４０３を図２のフィルタテーブル４０３aと等しい状態にする。なお、前記のアドレスの削除を行わない実装としてもよい。さらに、アドレス学習部は２０１は、施錠部３００から施錠状態となったことを示す状態信号３０２を受信した時、フィルタリング部４０２に対して、フィルタリングの再開を指示する。

本実施例では、パケット転送装置１００は、一つのネットワークセグメントにおいて送受信されるパケットを施錠部３００が解錠状態である時に受信した場合のみ、そのパケットを正当なパケットとみなし、パケットの送信元アドレスを学習する。そして、パケット転送装置１００は、フィルタリング部４０２がフィルタテーブルを参照することによって、施錠部３００が解錠状態である時に受信したパケットのみを転送する。

これによって、パケット転送装置１００は、学習されたアドレス以外のアドレスから送信されたパケットを施錠部３００が施錠状態である時に受信した場合、パケットの転送を制限することができる。そして、不正なデータがＩＰネットワークに流入することを防ぐことができる。

図３は、本実施例のパケットを受信した場合のデータ転送部４０１及びアドレス学習部２０１の処理を示すフローチャートである。

以下の説明において、図３に示す処理開始時、フィルタテーブル４０３は図２に示すフィルタテーブル４０３と同じである。

端末７００aは、パケット転送装置１００に向けてパケットを送信する。端末７００aがパケット転送装置１００に向けて転送するパケットのヘッダにはパケットの送信先ＩＰアドレス、送信先ＭＡＣアドレス、送信元ＩＰアドレス、並びに送信元ＭＡＣアドレスが含まれる。

パケット転送装置１００のデータ転送部４０１はインタフェース１１０を介してパケットを受信する。そして、データ転送部４０１は受信したパケットをスヌーピング（覗き見）し、受信したパケットからヘッダ情報等の内容を取得する（Ｓ４０１１）。Ｓ４０１１において、取得する内容には、送信元のＩＰアドレス及びＭＡＣアドレス、並びに、受信したインタフェース１１０を示す識別子が含まれる。

Ｓ４０１１において、データ転送部４０１は、受信したパケットをパケットが示す宛先に従って転送する。そして、Ｓ４０１１の後、データ転送部４０１は、スヌーピングによって取得した内容を、アドレス学習部２０１に送信する（Ｓ４０１２）。アドレス学習部の負荷軽減のため、又はすでに学習済みのアドレスを有する端末７００から送信されたパケットから再度アドレスを学習する必要はないため、データ転送部３００は、Ｓ４０１１及びＳ４０１２を特定の種類のパケットに対してのみ実施してもよい。例えば、データ転送部４０１はＩＰネットワークにおけるアドレス解決要求に対してのみ、Ｓ４０１１及びＳ４０１２を実施してもよい。

データ転送部４０１はＳ４０１１及びＳ４０１２を行わない場合、受信したパケットの転送のみを行う。

アドレス学習部２０１は、データ転送部４０１からスヌーピングによって取得した情報を受信した場合、施錠部３００の状態に基づいて、続いて実施する処理を判定する（Ｓ２０１１）。Ｓ２０１１において、施錠部３００の状態が施錠状態であった場合は、アドレス学習部２０１は処理を終了する。

施錠部３００の状態が解錠状態であった場合、アドレス学習部２０１は転送部４００が有するフィルタリング部に学習指示２０１１を送信し、学習させる（Ｓ２０１２）。

Ｓ２０１２において、学習指示２０１１は受信したパケットの送信元のアドレス（前述の例においては、端末７００ａ）、受信したパケットの送信元のアドレスが属するネットワークセグメント、及び前記パケットを受信したインタフェース１１０を示す識別子を含む。

フィルタリング部４０２は、アドレス学習部２０１から送信された学習指示２０１１の受信時、学習指示２０１１に付加されたインタフェース１１０の識別子、又は受信したパケットが属するネットワークセグメントを用いて、フィルタテーブル４０３を特定する。そして、特定したフィルタテーブル４０３に、学習指示２０１１に含まれる、受信したパケットの送信元アドレスを格納する（Ｓ４０２１）。

Ｓ４０２１において、フィルタリング部４０２は、新たに追加したエントリのフィルタチェック順番４０３１に追加したエントリを最も優先して適用することを示す値を格納し、転送許可４０３４に転送を許可することを示す値を格納する。

図４は、本実施例のアドレスを新たに格納した後のフィルタテーブル４０３を示す説明図である。

図４に示すフィルタテーブル４０３には、端末７００ａの送信元のアドレスが格納され、転送許可４０３４に「許可」が格納される。なお、図４に示すフィルタテーブル４０３ｂと図２に示すフィルタテーブル４０３ｂとは、同じである。

Ｓ４０２１において、フィルタテーブル４０３に、受信したパケットの送信元アドレスを格納することによって、データ転送部４０１は、施錠部３００が施錠状態である時、フィルタテーブル４０３が保持するアドレスを持つ端末以外の装置から送信されたパケットを転送せず、ユーザが意図しない装置間の通信を制限できる。

図５は、本実施例における、鍵６００が物理的な鍵であり認証装置３０１が挿入された鍵６００の回転角度によって施錠部３００の状態を操作する場合の、パケット転送装置１００を前面から見た外観図である。認証装置３０１は鍵６００を挿入するための鍵穴３０１aを有する。ユーザは認証装置３０１と対応する正当な鍵６００を鍵穴３０１aに挿入し「解錠」と記載された角度まで鍵６００を回転することで施錠部３００を解錠状態とすることができる。パケット転送装置１００は端末７００を接続するためのインタフェース１１０を多数有する。なお、コネクタ１２０は入出力装置５００をパケット転送装置１００に接続するためのインタフェースである。

本実施例によれば、パケット転送装置１００のユーザが、認証装置３０１の操作によって、施錠部３００を解錠状態にしている間、パケット転送装置１００はパケット転送装置１００が転送するパケットのアドレスを学習する。このため、ユーザがネットワークの特別な専門知識を持たなくても、ＩＰネットワークへ接続可能な端末を設定できる。

本実施例の各構成、機能、処理部、手順等は、それらの一部又は全部を、例えば、集積回路で設計する等によりハードウェアで実現してもよい。また、前述の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリ、ハードディスク、若しくは、ＳＳＤ（ＳｏｌｉｄＳｔａｔｅＤｒｉｖｅ）等の記録装置、又は、ＩＣカード、ＳＤカード、若しくは、ＤＶＤ等の記録媒体に置くことができる。

また、制御線又は情報線は、説明上必要と考えられるものを示しており、製品上必ずしもすべての制御線又は情報線を示しているとは限らない。実際にはほとんどすべての構成が相互に接続されていると考えてもよい。

Ｂ．変形例：
なお、本発明は上述の実施例や実施形態に限られるものではなく、その要旨を逸脱しない範囲において種々の態様において実施することが可能であり、例えば次のような変形も可能である。

Ｂ１．変形例１
図６は本変形例におけるアドレス学習の処理を示すフローチャートである。

アドレス学習部３０１は、アドレス学習部３０１が行うアドレスを学習するか否か決定する判定処理Ｓ２０１１の替わりに、パケット転送装置１００はアドレスの学習の開始又は停止を指示する入力装置と、アドレス学習部３０１でのアドレスの学習が有効であるか否かを表示する表示装置とを備えた操作パネルを有し、その操作パネルからの信号又は制御部２００が保持する状態を用いてアドレスを学習するか否かを決定する処理Ｓ２０１３を実装してもよい。この場合、制御部２００はアドレス学習部２０１が判定処理Ｓ２０１３においてアドレスを学習するか否かを示す状態を保持する。

図７は、本変形例におけるパケット転送装置１００を示すブロック図である。本変形例では、制御部２００は操作パネル５１０から送信されるアドレスの学習を開始又は停止する指示信号に従って、制御部の状態を学習中状態又は運用中状態となる。制御部２００は操作パネル５１０からアドレスの学習を開始する指示信号を受信した場合は、制御部２００の状態を学習中状態とし、アドレスの学習を停止する指示信号を受信した場合は、制御部２００の状態を運用中状態とする。ただし、制御部２００は施錠部３００の状態が解錠状態である場合のみ、操作パネル５１０からの指示信号を受け付け、施錠部３００の状態が施錠状態の場合には操作パネル５１０からの指示信号を受け付けない。

また、制御部２００は制御部２００の状態が変更された時、又は施錠部３００から状態信号を受信した時、制御部２００の状態及び施錠部３００の状態を操作パネル５１０に対して送信する。操作パネル５１０は操作パネル５１０が有する表示装置に受信した制御部２００の状態及び施錠部３００の状態を表示する。これによって、パケット転送装置１００のユーザはパケット転送装置１００に対して行った操作の結果を、入出力装置５００を接続することなしに確認することができる。

さらに、Ｓ２０１３において、アドレス学習部２０１は制御部２００の状態を参照し、運用中状態の場合は処理を終了し、学習中状態の場合はフィルタリング部４０２に受信したパケットの送信元アドレスを送信する処理Ｓ２０１２を実施する。

なお、操作パネル５１０はアドレスの学習の開始又は停止以外にパケット転送装置１００を操作するインタフェースを有してもよい。

図８は、本変形例におけるパケット転送装置１００の１つの実施形態を前面から見た外観図である。ディスプレイ５１１はパケット転送装置がユーザによるアドレスの学習に関する指示を受け付けるか否か、パケット転送装置がアドレスの学習を行っているか否か、選択中のパケット転送装置１００に対する指示、又はその他のパケット転送装置１００の状態を表示する。また、パケット転送装置１００のユーザはボタン５１２〜５１４を操作することで、アドレス学習に関する指示を含むパケット転送装置１００に対する指示を選択及び実行できる。そのほかの部分については実施例と同様である。

図９は、本変形例における図８とは異なる操作パネル５１０の実施形態の一つである。パネル５１０は表示灯５１５及びボタン５１６を有する。表示灯５１５は学習を行っているか否かを点灯状態や点灯時の色などを用いて表示する。また、パケット転送装置１００のユーザはボタン５１６を押下することで、学習の開始又は停止をパケット転送装置１００に指示する。

本変形例によって、パケット転送装置１００は、パケット転送装置１００がアドレスの学習以外の機能を操作するインタフェースを有する場合に、それらのインタフェースとアドレスの学習を操作するインタフェースとを統合した、一貫したインタフェースを有することができる。

Ｂ２．変形例２
実施例において、フィルタリング部４０２によって受信したパケットの転送が不許可と判定された場合、パケット転送装置１００は、受信したパケットに含まれる情報及びフィルタリング部４０２によって不許可と判定されたことを、パケット転送装置１００が有するメモリ、ハードディスク、若しくはＳＳＤ等の記録媒体に記録してもよい。また、フィルタリング部４０２によって受信したパケットの転送が不許可と判定された場合、パケット転送装置１００は、受信したパケットに含まれる情報及びフィルタリング部４０２によって不許可と判定されたことを、外部に対して出力し、入出力装置５００に表示してもよい。さらに、フィルタリング部４０２によって受信したパケットの転送が不許可と判定された場合、パケット転送装置１００は、受信したパケットに含まれる情報及びフィルタリング部４０２によって不許可と判断されたことを、パケット転送装置１００の外部に出力し、ＩＰネットワーク１０に接続された端末７００のいずれかに送信してもよい。

本変形例において、転送部４００は、フィルタリング部４０２によって不許可と判断されたパケットを転送するよう実装してもよい。

これによって、フィルタリング部４０２によって不許可と判定されたパケットが、実際には正当な端末７００からの通信によるパケットであった場合でも、端末４００と端末４００の通信先との通信をパケット転送装置１００は阻害しない。また、ＩＰネットワーク１０の管理者は不正である可能性が高いパケットのＩＰネットワーク１０への流入を監視することができる。

Claims

複数の端末装置とネットワークとに接続されるネットワーク装置であって、
データ転送部と制御部と施錠部とフィルタリング部とを有し、前記施錠部は施錠状態に関する状態信号を前記制御部に対して出力し、前記制御部はアドレス学習部を有し、前記データ転送部は前記複数の端末装置から受信する前記ネットワークに向けたパケットに含まれるヘッダ情報を取得して前記アドレス学習部に送信し、前記アドレス学習部は、前記データ転送部から受信したヘッダ情報と前記状態信号で示される状態に基づいて前記ヘッダ情報に含まれるアドレスを学習するか否かを判定し、前記フィルタリング部に対し、前記状態信号が解錠状態を示す場合には前記パケットの送信元のアドレスを前記フィルタリング部のフィルタテーブルに格納するよう制御し、前記状態信号が施錠状態を示す場合には前記パケットの送信元アドレスをフィルタリング部のフィルタテーブルに格納せず、前記フィルタテーブルに含まれるアドレスに基づいて前記端末装置から受信するパケットをフィルタリングすべきかを判定するよう制御し、前記状態信号で示される状態が施錠状態から解錠状態に変更した場合に、前記フィルタリング部にアドレスの学習を指示し、前記状態信号で示される状態が解錠状態から施錠状態に変更した場合に、前記フィルタリング部に対してアドレスの学習は行わず、フィルタテーブルに含まれる学習したアドレスを用いて転送するか廃棄するかを決定するよう制御し、施錠状態から解錠状態となったことを示す前記状態信号を受信すると、前記フィルタテーブルをリセットすることを特徴とするネットワーク装置。
請求項１に記載のネットワーク装置であって、操作パネルをさらに有し、前記制御部は前記状態信号で示される状態が解錠状態である場合に前記操作パネルからの入力を受け付け、前記状態信号で示される状態が施錠状態である場合に前記操作パネルからの入力を受け付けないことを特徴とするネットワーク装置。
請求項１に記載のネットワーク装置であって、前記施錠部は外部媒体からの入力に基づいて前記施錠状態に関する状態信号を出力することを特徴とするネットワーク装置。
請求項１に記載のネットワーク装置であって、前記ネットワーク装置は、記録媒体を有し、前記フィルタリング部が受信したパケットに対して転送を許可しないと判定した場合、前記記録媒体に対して、前記転送を許可しない判定が発生したことを記録することを特徴とするネットワーク装置。
請求項１に記載のネットワーク装置であって、前記フィルタリング部が受信したパケットに対して転送を許可しないと判定した場合、外部に対して、前記転送を許可しない判定が発生したことを通知することを特徴とするネットワーク装置。
請求項２に記載のネットワーク装置であって、前記操作パネルは、ディスプレイと１つ以上のボタンを有し、前記ディスプレイは前記状態信号で示される施錠状態又は選択中の前記ネットワーク装置への指示を表示し、前記ボタンは前記ネットワーク装置への指示を選択又は実行することを特徴とするネットワーク装置。
請求項２に記載のネットワーク装置であって、前記操作パネルは、１つ以上の状態表示灯と１つ以上のボタンを有し、前記状態表示灯は前記状態信号で示される施錠状態を点灯又は点滅又は前記状態表示灯の色を変えることで表示し、前記ボタンは押下によって前記ボタンに割り当てられた指示を実行することを特徴とするネットワーク装置。
請求項３に記載のネットワーク装置であって、前記外部媒体が物理的な鍵であることを特徴とするネットワーク装置。
複数の端末装置とネットワークとに接続されるネットワーク装置であって、
データ転送部と制御部と認証部とフィルタリング部とを有し、前記認証部は前記ネットワーク装置を操作するユーザの操作権限の認証状態に関する状態信号を前記制御部に対して出力し、前記制御部はアドレス学習部を有し、前記データ転送部は前記複数の端末装置から受信する前記ネットワークに向けたパケットに含まれるヘッダ情報を取得して前記アドレス学習部に送信し、前記アドレス学習部は、前記データ転送部から受信したヘッダ情報と前記状態信号で示される状態に基づいて前記ヘッダ情報に含まれるアドレスを学習するか否かを判定し、前記フィルタリング部に対し、前記状態信号が認証成功状態を示す場合には一定期間前記パケットの送信元のアドレスを前記フィルタリング部のフィルタテーブルに格納するよう制御し、前記一定期間経過後は前記パケットの送信元アドレスをフィルタリング部のフィルタテーブルに格納せず、前記フィルタテーブルに含まれるアドレスに基づいて前記端末装置から受信するパケットをフィルタリングすべきかを判定するよう制御し、前記状態信号が認証成功状態を示す場合に、前記フィルタリング部にアドレスの学習を指示し、前記状態信号で示される状態が認証成功状態となってから一定期間経過した後に、前記フィルタリング部に対してアドレスの学習は行わず、フィルタテーブルに含まれる学習したアドレスを用いて転送するか廃棄するかを決定するよう制御し、認証成功状態となったことを示す前記状態信号を受信すると、前記フィルタテーブルをリセットすることを特徴とするネットワーク装置。
請求項９に記載のネットワーク装置であって、前記認証部は外部媒体からの入力に基づいて前記認証状態に関する状態信号を出力することを特徴とするネットワーク装置。