JP6623917B2 - Integrated threat management system, integrated threat management device, and integrated threat management method - Google Patents
Integrated threat management system, integrated threat management device, and integrated threat management method Download PDFInfo
- Publication number
- JP6623917B2 JP6623917B2 JP2016088318A JP2016088318A JP6623917B2 JP 6623917 B2 JP6623917 B2 JP 6623917B2 JP 2016088318 A JP2016088318 A JP 2016088318A JP 2016088318 A JP2016088318 A JP 2016088318A JP 6623917 B2 JP6623917 B2 JP 6623917B2
- Authority
- JP
- Japan
- Prior art keywords
- communication
- communication terminal
- switching hub
- connection configuration
- request
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000007726 management method Methods 0.000 title claims 25
- 238000004891 communication Methods 0.000 claims description 498
- 238000012546 transfer Methods 0.000 claims description 131
- 230000006870 function Effects 0.000 claims description 35
- 230000005540 biological transmission Effects 0.000 claims description 21
- 238000012790 confirmation Methods 0.000 claims description 19
- 238000000034 method Methods 0.000 description 24
- 230000008569 process Effects 0.000 description 21
- 101100048435 Caenorhabditis elegans unc-18 gene Proteins 0.000 description 20
- 238000010586 diagram Methods 0.000 description 13
- 230000004044 response Effects 0.000 description 8
- 230000008859 change Effects 0.000 description 5
- 238000012545 processing Methods 0.000 description 3
- 238000010276 construction Methods 0.000 description 2
- 241000700605 Viruses Species 0.000 description 1
- 230000004913 activation Effects 0.000 description 1
- 230000000903 blocking effect Effects 0.000 description 1
- 208000015181 infectious disease Diseases 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 230000007704 transition Effects 0.000 description 1
Images
Description
本発明は、通信端末のセキュリティを管理する統合脅威管理技術に関する。 The present invention relates to an integrated threat management technique for managing security of a communication terminal.
特許文献１には、通信端末のセキュリティを管理する統合脅威管理システムが開示されている。この統合脅威管理システムは、配下のネットワークと外部ネットワークとの間に設置された統合脅威管理装置（ＵＴＭ設定ネットワーク装置）を有する。統合脅威管理装置は、通信トラヒックを受け入れまたは拒否する条件を定義する１つ以上のルールを含むルールセットを備えており、このルールセットに従い、配下のネットワークを介して外部ネットワークと通信トラヒックをやり取りする通信端末のセキュリティを管理する。
特許文献１に記載の統合脅威管理システムは、配下のネットワークを介して外部ネットワークと通信トラヒックをやり取りする通信端末のセキュリティを管理することができるが、配下のネットワーク内で通信トラヒックをやり取りする通信端末のセキュリティを管理することはできない。
The integrated threat management system described in
なお、配下のネットワークを構成するハブ各々に、このハブが中継する通信トラヒックを統合脅威管理装置にミラーリングする機能を持たせることにより、配下のネットワーク内で通信トラヒックをやり取りする通信端末のセキュリティを管理することもできる。しかしながら、この方法では、配下のネットワーク内でやり取りされる通信トラヒックにセキュリティ上の問題が検出された場合に、この通信トラヒックを遮断することはできない。 In addition, each hub that configures the subordinate network has a function of mirroring the communication traffic relayed by the hub to the integrated threat management device, thereby managing the security of communication terminals that exchange communication traffic within the subordinate network. You can also. However, according to this method, when a security problem is detected in communication traffic exchanged in a subordinate network, the communication traffic cannot be blocked.
本発明は上記事情に鑑みてなされたものであり、本発明の目的は、配下のネットワークのセキュリティを管理して、セキュリティ上の問題がある通信トラヒックを確実に遮断することができる技術を提供することにある。 The present invention has been made in view of the above circumstances, and an object of the present invention is to provide a technique capable of managing the security of a subordinate network and reliably blocking communication traffic having a security problem. It is in.
上記課題を解決するために、本発明では、統合脅威管理装置にスイッチングハブ機能を持たせるともに、仮想プライベートネットワーク機能を有する１以上のスイッチングハブで配下のネットワークを構成する。そして、配下のネットワークに接続された通信端末毎に、通信端末と統合脅威管理装置との間に仮想プライベートネットワークが形成されるように各スイッチングハブを設定することにより、通信端末と相手端末との間の通信ルートに統合脅威管理装置を介在させて、相手端末と通信トラヒックをやり取りする通信端末のセキュリティを統合脅威管理装置に管理させる。 In order to solve the above-described problems, in the present invention, the integrated threat management device has a switching hub function, and a subordinate network is configured by one or more switching hubs having a virtual private network function. Then, for each communication terminal connected to the subordinate network, each switching hub is set such that a virtual private network is formed between the communication terminal and the integrated threat management device, so that the communication terminal and the partner terminal can communicate with each other. An integrated threat management device is interposed in a communication route between the terminals, and the security of the communication terminal that exchanges communication traffic with the partner terminal is managed by the integrated threat management device.
例えば、本発明は、複数の異なるセキュリティ機能を統合して、配下のネットワークに接続された複数の通信端末のセキュリティを管理する統合脅威管理システムであって、
前記配下のネットワークおよび外部ネットワークに接続された統合脅威管理装置と、
前記配下のネットワークを構成する１以上のスイッチングハブと、を備え、
前記統合脅威管理装置は、
前記配下のネットワークあるいは前記外部ネットワークから受信した通信パケットを当該通信パケットの宛先アドレスに従って中継するスイッチング手段と、
前記配下のネットワークあるいは前記外部ネットワークから受信した通信パケットのセキュリティをチェックして、所定の条件に該当する通信パケットを中継することなく破棄するセキュリティチェック手段と、
前記配下のネットワークに接続構成確認要求を同報送信する接続構成確認要求手段と、
通信パケットの送信元のアドレスおよび当該通信パケットが入力された前記通信ポートのポート番号を含む転送パラメータを前記スイッチングハブから受信する転送パラメータ受信手段と、
前記転送パラメータ受信手段により受信された転送パラメータを当該転送パラメータの送信元の前記スイッチングハブに対応付けて記憶する接続構成情報記憶手段と、
前記通信端末から帰属要求を受信する帰属要求受信手段と、
前記帰属要求受信手段により受信された帰属要求に従い、前記接続構成情報記憶手段を参照して、当該帰属要求の発信元である前記通信端末と前記統合脅威管理装置とを繋ぐ通信ルートを探索する通信ルート探索手段と、
前記通信ルート探索手段により探索された通信ルート上に位置する前記スイッチングハブに対して、前記統合脅威管理装置と前記帰属要求の発信元である前記通信端末との間に仮想プライベートネットワークを形成するための、当該通信ルート上に位置する当該スイッチングハブの２つの前記通信ポートおよび前記帰属要求の発信元である前記通信端末の指定を含む仮想プライベートネットワーク設定要求を送信する仮想プライベートネットワーク設定要求手段と、を有し、
前記スイッチングハブは、
複数の通信ポートと、
いずれかの前記通信ポートに入力された通信パケットを当該通信パケットの宛先アドレスに従っていずれかの前記通信ポートに中継する中継手段と、
前記統合脅威管理装置側に接続されている前記通信ポートおよび前記通信端末側に接続されている前記通信ポートの一方に入力された通信パケットを他方へ中継するよう前記中継手段を制御する仮想プライベートネットワーク設定手段と、
前記通信ポートのポート番号および当該通信ポートに入力された通信パケットの送信元のアドレスを含む転送パラメータを記憶する転送パラメータ記憶手段と、
いずれかの前記通信ポートに通信パケットが入力された場合に、前記転送パラメータ記憶手段に記憶されている当該通信ポートの転送パラメータに含まれている送信元のアドレスが当該通信パケットの送信元のアドレスと異なるならば、あるいは、当該通信ポートの転送パラメータが前記転送パラメータ記憶手段に記憶されていないならば、当該通信ポートの転送パラメータを登録する転送パラメータ更新手段と、
前記転送パラメータ更新手段により登録された転送パラメータを前記統合脅威管理装置に送信する転送パラメータ送信手段と、を有し、
前記スイッチングハブの前記仮想プライベートネットワーク設定手段は、
前記統合脅威管理装置より受信した仮想プライベートネットワーク設定要求で指定されている前記通信端末を発信元あるいは宛先とする通信パケットが、当該仮想プライベートネットワーク設定要求で指定されている２つの通信ポート間を中継されるように前記中継手段を制御して、当該通信端末と前記統合脅威管理装置との間に仮想プライベートネットワークを形成する。
For example, the present invention is an integrated threat management system that integrates a plurality of different security functions and manages the security of a plurality of communication terminals connected to a subordinate network,
An integrated threat management device connected to the subordinate network and an external network,
And one or more switching hubs constituting the subordinate network,
The integrated threat management device,
Switching means for relaying a communication packet received from the subordinate network or the external network according to a destination address of the communication packet,
Security check means for checking the security of a communication packet received from the subordinate network or the external network, and discarding the communication packet corresponding to a predetermined condition without relaying the communication packet;
Connection configuration confirmation request means for broadcasting a connection configuration confirmation request to the subordinate network;
Transfer parameter receiving means for receiving, from the switching hub, transfer parameters including a source address of a communication packet and a port number of the communication port to which the communication packet has been input,
Connection configuration information storage means for storing the transfer parameters received by the transfer parameter receiving means in association with the switching hub of the transmission source of the transfer parameters,
Belonging request receiving means for receiving a belonging request from the communication terminal,
Communication for searching for a communication route connecting the communication terminal that is the source of the belonging request and the integrated threat management device with reference to the connection configuration information storage unit according to the belonging request received by the belonging request receiving unit. Route search means;
For forming a virtual private network between the integrated threat management device and the communication terminal that is the source of the belonging request for the switching hub located on the communication route searched by the communication route searching means. Virtual private network setting request means for transmitting a virtual private network setting request including designation of the two communication ports of the switching hub located on the communication route and the communication terminal that is the source of the belonging request; Has,
The switching hub,
Multiple communication ports,
Relay means for relaying a communication packet input to any of the communication ports to any of the communication ports according to a destination address of the communication packet;
A virtual private network that controls the relay unit to relay a communication packet input to one of the communication port connected to the integrated threat management device and the communication port connected to the communication terminal to the other Setting means;
Transfer parameter storage means for storing transfer parameters including a port number of the communication port and a source address of a communication packet input to the communication port,
When a communication packet is input to any of the communication ports, the source address included in the transfer parameter of the communication port stored in the transfer parameter storage unit is the source address of the communication packet. Transfer parameter updating means for registering the transfer parameter of the communication port, if the transfer parameter of the communication port is not stored in the transfer parameter storage means,
Transfer parameter transmitting means for transmitting the transfer parameter registered by the transfer parameter updating means to the integrated threat management device ,
The virtual private network setting means of the switching hub,
A communication packet destined to or from the communication terminal specified in the virtual private network setting request received from the integrated threat management device relays between the two communication ports specified in the virtual private network setting request Controlling the relay means so as to form a virtual private network between the communication terminal and the integrated threat management device.
本発明によれば、配下のネットワークに接続された通信端末毎に、通信端末と統合脅威管理装置との間に仮想プライベートネットワークが形成されるように各スイッチングハブを設定し、通信端末と相手端末との間の通信ルートに統合脅威管理装置を介在させているので、配下のネットワークおよび外部ネットワーク間の通信トラヒックのみならず、配下のネットワーク内の通信端末間の通信トラヒックについても、そのセキュリティを管理して、セキュリティ上の問題がある通信トラヒックを確実に遮断することができる。 According to the present invention, for each communication terminal connected to a subordinate network, each switching hub is set such that a virtual private network is formed between the communication terminal and the integrated threat management device, and the communication terminal and the partner terminal Since the integrated threat management device is interposed in the communication route between the network and the network, the security of not only the communication traffic between the subordinate network and the external network but also the communication traffic between the communication terminals in the subordinate network is managed. As a result, communication traffic having a security problem can be reliably blocked.
以下に、本発明の一実施の形態について説明する。 Hereinafter, an embodiment of the present invention will be described.
図１は、本実施の形態に係るＵＴＭ（統合脅威管理）システムの概略構成図である。 FIG. 1 is a schematic configuration diagram of a UTM (Integrated Threat Management) system according to the present embodiment.
図示するように、本実施の形態に係るＵＴＭシステムは、１以上のスイッチングハブ１−１、１−２（以下、単にスイッチングハブ１とも呼ぶ）で構成されたＬＡＮ２と、ＬＡＮ２およびＷＡＮ４に接続されたＵＴＭ装置３と、ＬＡＮ２に接続された複数の通信端末５−１、５−２（以下、単に通信端末５とも呼ぶ）と、を備えている。
As shown in the figure, the UTM system according to the present embodiment is connected to a
ＵＴＭ装置３は、複数の異なるセキュリティ機能を統合して、通信端末５のセキュリティを管理する。また、ＵＴＭ装置３は、スイッチングハブ機能およびＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）サーバ機能を備えている。
The UTM
スイッチングハブ１は、複数の通信ポート１０を備え、いずれかの通信ポート１０に入力された通信パケットを、その宛先アドレスに従って他の通信ポート１０に中継する。ここでは、スイッチングハブ１−１のポート番号「１」の通信ポート１０およびポート番号「３」の通信ポート１０に、それぞれＵＴＭ装置３およびスイッチングハブ１−２が接続され、スイッチングハブ１−２のポート番号「１」の通信ポート１０、ポート番号「２」の通信ポート１０、およびポート番号「３」の通信ポート１０に、それぞれスイッチングハブ１−１、通信端末５−１、および通信端末５−２が接続されているものとする。また、スイッチングハブ１は、ＶＰＮ（仮想プライベートネットワーク）機能を備えている。
The
上記構成のＵＴＭシステムにおいて、各スイッチングハブ１は、通信端末５毎に通信端末５とＵＴＭ装置３との間に仮想プライベートネットワークが形成されるように設定されている。これにより、ＵＴＭ装置３は、各通信端末５の通信ルート上に配置され、各通信端末５が相手端末と送受する通信パケットをスイッチングハブ機能により中継する。
In the UTM system having the above configuration, each
図２ないし図４は、本実施の形態に係るＵＴＭシステムのＶＰＮ構成動作の一例を説明するためのシーケンス図である。このシーケンスでは、初期状態において、ＵＴＭ装置３および通信端末５の電源が切断されているものとする。また、ＬＡＮ２におけるＵＴＭ装置３およびスイッチングハブ１のＩＰアドレス（ローカルＩＰアドレス）が予め設定されているものとする。
2 to 4 are sequence diagrams illustrating an example of a VPN configuration operation of the UTM system according to the present embodiment. In this sequence, it is assumed that the power of the
まず、ＵＴＭ装置３は、電源が投入されると（Ｓ１００）、ＬＡＮ２の接続構成を確認するための接続構成確認要求をＬＡＮ２側に同報送信する（Ｓ１０１）。この接続構成確認要求は、スイッチングハブ１−１およびスイッチングハブ１−２を経由して通信端末５−１、５−２へ送られるが、通信端末５−１、５−２は、いずれも電源が投入されていないため、接続構成確認要求を受信しない。
First, when the power is turned on (S100), the
ここで、ＵＴＭ装置３から送信された接続構成確認要求は、スイッチングハブ１−１のポート番号「１」の通信ポート１０に入力される。スイッチングハブ１−１は、接続構成要求が入力されたポート番号「１」の通信ポート１０の転送パラメータが登録されていないことを確認し、この通信ポート１０のポート番号「１」および接続構成確認要求の送信元であるＵＴＭ装置３のＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスを含む転送パラメータを登録する（Ｓ１０２）。それから、この転送パラメータを含む接続構成通知を、例えばＳＮＭＰ（Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）トラップを利用してＵＴＭ装置３に送信する（Ｓ１０４）。
Here, the connection configuration confirmation request transmitted from the
また、スイッチングハブ１−１から送信された接続構成確認要求は、スイッチングハブ１−２のポート番号「１」の通信ポート１０に入力される。スイッチングハブ１−２は、接続構成要求が入力されたポート番号「１」の通信ポート１０の転送パラメータが登録されていないことを確認し、この通信ポート１０のポート番号「１」および接続構成確認要求の送信元であるＵＴＭ装置３のＭＡＣアドレスを含む転送パラメータを登録する（Ｓ１０３）。それから、この転送パラメータを含む接続構成通知を、例えばＳＮＭＰトラップを利用してＵＴＭ装置３に送信する（Ｓ１０５）。この接続構成通知は、スイッチングハブ１−１を経由してＵＴＭ装置３へ送られる。
The connection configuration confirmation request transmitted from the switching hub 1-1 is input to the
ＵＴＭ装置３は、スイッチングハブ１−１、１−２から接続構成通知を受信すると、これらの接続構成通知に含まれている転送パラメータに基づいて、接続構成情報を生成して登録する（Ｓ１０６）。
Upon receiving the connection configuration notifications from the switching hubs 1-1 and 1-2, the
具体的には、図５（Ａ）に示すように、接続構成通知の発信元であるスイッチングハブ１−１、１−２のＩＰアドレス毎に接続構成情報テーブル６−１、６−２（以下、接続構成情報テーブル６とも呼ぶ）を生成する。そして、スイッチングハブ１−１のＩＰアドレスに対応付けられた接続構成情報テーブル６−１に、ポート番号を登録するフィールド６１および送信元のＭＡＣアドレスを登録するフィールド６２を有するレコード６０を追加して、このレコード６０のフィールド６１およびフィールド６２に、スイッチングハブ１−１から受信した接続構成通知に含まれている転送パラメータのポート番号「１」およびＵＴＭ装置３のＭＡＣアドレスを登録する。同様に、スイッチングハブ１−２のＩＰアドレスに対応付けられた接続構成情報テーブル６−２にレコード６０を追加して、このレコード６０のフィールド６１およびフィールド６２に、スイッチングハブ１−２から受信した接続構成通知に含まれている転送パラメータのポート番号「１」およびＵＴＭ装置３のＭＡＣアドレスを登録する。
Specifically, as shown in FIG. 5A, the connection configuration information tables 6-1 and 6-2 (hereinafter, referred to as connection configuration information tables 6-1 and 6-2 for each of the IP addresses of the switching hubs 1-1 and 1-2, which are the sources of the connection configuration notification. , Connection configuration information table 6). Then, a
また、スイッチングハブ１−２から送信された接続構成通知は、スイッチングハブ１−１のポート番号「３」の通信ポート１０に入力される。スイッチングハブ１−１は、接続構成通知が入力されたポート番号「３」の通信ポート１０の転送パラメータが登録されていないことを確認し、この通信ポート１０のポート番号「３」および接続構成通知の送信元であるスイッチングハブ１−２のＭＡＣアドレスを含む転送パラメータを登録する（Ｓ１０７）。それから、この接続構成通知を、例えばＳＮＭＰトラップを利用してＵＴＭ装置３に送信する（Ｓ１０８）。
The connection configuration notification transmitted from the switching hub 1-2 is input to the
ＵＴＭ装置３は、スイッチングハブ１−１から接続構成通知を受信すると、この接続構成通知に含まれている転送パラメータに基づいて接続構成情報を更新する（Ｓ１０９）。
Upon receiving the connection configuration notification from the switching hub 1-1, the
具体的には、図５（Ｂ）に示すように、スイッチングハブ１−１のＩＰアドレスに対応付けられた接続構成情報テーブル６−１にレコード６０を追加して、このレコード６０のフィールド６１およびフィールド６２に、スイッチングハブ１−１から受信した接続構成通知に含まれている転送パラメータのポート番号「３」およびスイッチングハブ１−２のＭＡＣアドレスを登録する。
Specifically, as shown in FIG. 5B, a
その後、通信端末５−１の電源が投入されたものとする（Ｓ１１０）。 Thereafter, it is assumed that the power of the communication terminal 5-1 is turned on (S110).
まず、通信端末５−１は、ＤＨＣＰクライアントとして、ＤＨＣＰサーバであるＵＴＭ装置３にＩＰアドレス設定要求を送信する（Ｓ１１１）。このＩＰアドレス設定要求は、ＵＴＭ装置３への帰属要求として機能し、スイッチングハブ１−２およびスイッチングハブ１−１を経由してＵＴＭ装置３へ送られる。
First, the communication terminal 5-1 transmits an IP address setting request to the
ＵＴＭ装置３は、通信端末５−１からＩＰアドレス設定要求を受信すると、接続構成情報テーブル６を用いてＵＴＭ装置３と通信端末５−１との間の通信ルートを探索可能か否か判断する。この段階では、ＵＴＭ装置３のＭＡＣアドレスがフィールド６２に登録されたレコード６０は接続構成情報テーブル６−１、６−２に登録されているが、通信端末５−１のＭＡＣアドレスがフィールド６２に登録されたレコード６０はいずれの接続構成情報テーブル６−１、６−２にも登録されていないため、ＵＴＭ装置３と通信端末５−１との間の通信ルートを探索できない。そこで、ＵＴＭ装置３は、ＵＴＭ装置３と通信端末５−１との間の通信ルートが確立されていないと判断し、この通信ルートが確立されるのを待つ（Ｓ１１２）。
When receiving the IP address setting request from the communication terminal 5-1, the
ここで、通信端末５−１から送信されたＩＰアドレス設定要求は、スイッチングハブ１−２のポート番号「２」の通信ポート１０に入力される。スイッチングハブ１−２は、ＩＰアドレス設定要求が入力されたポート番号「２」の通信ポート１０の転送パラメータが登録されていないことを確認し、この通信ポート１０のポート番号「２」およびＩＰアドレス設定要求の送信元である通信端末５−１のＭＡＣアドレスを含む転送パラメータを登録する（Ｓ１１３）。それから、この転送パラメータを含む接続構成通知を、例えばＳＮＭＰトラップを利用してＵＴＭ装置３に送信する（Ｓ１１４）。この接続構成通知は、スイッチングハブ１−１を介してＵＴＭ装置３に送られる。
Here, the IP address setting request transmitted from the communication terminal 5-1 is input to the
また、スイッチングハブ１−２から送信されたＩＰアドレス設定要求は、スイッチングハブ１−１のポート「３」の通信ポート１０に入力される。スイッチングハブ１−１は、ポート番号「３」の通信ポート１０の転送パラメータに含まれているＭＡＣアドレスがＩＰアドレス設定要求の送信元の通信端末５−１のＭＡＣアドレスと一致しないことを確認し、通信ポート１０のポート番号「３」およびＩＰアドレス設定要求の送信元である通信端末５−１のＭＡＣアドレスを含む転送パラメータを登録する（Ｓ１１５）。それから、この転送パラメータを含む接続構成通知を、例えばＳＮＭＰトラップを利用してＵＴＭ装置３に送信する（Ｓ１１６）。
The IP address setting request transmitted from the switching hub 1-2 is input to the
なお、スイッチングハブ１−２から送信された接続構成通知は、スイッチングハブ１−１のポート番号「３」の通信ポート１０に入力される。ポート番号「３」の通信ポート１０の転送パラメータが登録されており、かつこの転送パラメータに含まれているＭＡＣアドレスが接続構成通知の送信元のスイッチングハブ１−２のＭＡＣアドレスと一致するため、つまり転送パラメータに変更がないため、スイッチングハブ１−１は、この転送パラメータを含む接続構成通知をＵＴＭ装置３に送信しない。
The connection configuration notification transmitted from the switching hub 1-2 is input to the
ＵＴＭ装置３は、スイッチングハブ１−１、１−２から接続構成通知を受信すると、この接続構成通知に含まれている転送パラメータに基づいて接続構成情報を更新する（Ｓ１１７）。
Upon receiving the connection configuration notification from the switching hubs 1-1 and 1-2, the
具体的には、図５（Ｃ）に示すように、スイッチングハブ１−２のＩＰアドレスに対応付けられた接続構成情報テーブル６−２にレコード６０を追加して、このレコード６０のフィールド６１およびフィールド６２に、スイッチングハブ１−２から受信した接続構成通知に含まれている転送パラメータのポート番号「２」および通信端末５−１のＭＡＣアドレスを登録する。同様に、スイッチングハブ１−１のＩＰアドレスに対応付けられた接続構成情報テーブル６−１にレコード６０を追加して、このレコード６０のフィールド６１およびフィールド６２に、スイッチングハブ１−１から受信した接続構成通知に含まれている転送パラメータのポート番号「３」および通信端末５−１のＭＡＣアドレスを登録する。
More specifically, as shown in FIG. 5C, a
さて、ＵＴＭ装置３は、接続構成情報テーブル６が更新されると、更新された接続構成情報テーブル６を用いてＵＴＭ装置３と通信端末５−１との間の通信ルートを探索可能か否か再度判断する。この段階では、ＵＴＭ装置３のＭＡＣアドレスがフィールド６２に登録されたレコード６０は接続構成情報テーブル６−１、６−２に登録されており、かつ通信端末５−１のＭＡＣアドレスがフィールド６２に登録されたレコード６０は接続構成情報テーブル６−１、６−２に登録されているため、ＵＴＭ装置３と通信端末５−１との間の通信ルートを探索できる。そこで、ＵＴＭ装置３は、ＵＴＭ装置３と通信端末５−１との間の通信ルートが確立されたと判断し（Ｓ１１８）、後述の通信ルート探索処理を実施して、この通信ルートを探索する。そして、探索した通信ルート上にＶＰＮを構築するべく、例えばＳＮＭＰセットを利用してＶＰＮ設定要求をスイッチングハブ１−１、１−２に送信する（Ｓ１１９、Ｓ１２２）。
Now, when the connection configuration information table 6 is updated, the
ここでは、スイッチングハブ１−１のポート番号「１」およびポート番号「３」の通信ポート１０間を接続して、スイッチングハブ１−１にＵＴＭ装置３とスイッチングハブ１−２との間を中継させ、かつスイッチングハブ１−２のポート番号「１」およびポート番号「２」の通信ポート１０間を接続して、スイッチングハブ１−２にスイッチングハブ１−１と通信端末５−１との間を中継させることにより、ＵＴＭ装置３と通信端末５−１との間に通信ルートを確立できる。ＵＴＭ装置３は、スイッチングハブ１−１に対して、通信端末５−１のＭＡＣアドレスおよび通信ポート１０のポート番号「１」、「３」の指定を含むＶＰＮ設定要求を送信し（Ｓ１１９）、スイッチングハブ１−２に対して、通信端末５−１のＭＡＣアドレスおよび通信ポート１０のポート番号「１」、「２」の指定を含むＶＰＮ設定要求を送信する（Ｓ１２２）。
Here, the
スイッチングハブ１−１、１−２は、ＵＴＭ装置３からＶＰＮ設定要求を受信すると、このＶＰＮ設定要求で指定されているＭＡＣアドレスにより特定される通信端末５−１を宛先あるいは発信元とする通信パケットが、このＶＰＮ設定要求で指定されている２つの通信ポート１０間を中継されるようにＶＰＮを設定する（Ｓ１２０、Ｓ１２３）。ここで、スイッチングハブ１−１は、通信端末５−１を宛先あるいは発信元とする通信パケットがポート番号「１」およびポート番号「３」の通信ポート１０間を中継されるようにＶＰＮを設定し（Ｓ１２０）、スイッチングハブ１−２は、通信端末５−１を宛先あるいは発信元とする通信パケットがポート番号「１」およびポート番号「２」の通信ポート１０間を中継されるようにＶＰＮを設定する（Ｓ１２３）。これにより、ＵＴＭ装置３と通信端末５−１との間にＶＰＮが構築される。それから、スイッチングハブ１−１、１−２は、例えばＳＮＭＰレスポンスを利用してＶＰＮ設定完了通知をＵＴＭ装置３に送信する（Ｓ１２１、Ｓ１２４）。
Upon receiving the VPN setting request from the
つぎに、ＵＴＭ装置３は、スイッチングハブ１−１、１−２からＶＰＮ設定完了通知を受信すると、ＩＰアドレスを発行して、このＩＰアドレスを通信端末５−１に付与する（Ｓ１２５）。それから、ＵＴＭ装置３は、このＩＰアドレスを含むＩＰアドレス付与通知を通信端末５−１に送信する（Ｓ１２６）。このＩＰアドレス付与通知は、スイッチングハブ１−１およびスイッチングハブ１−２を介して通信端末５−１に送られる。
Next, upon receiving the VPN setting completion notification from the switching hubs 1-1 and 1-2, the
ここで、ＵＴＭ装置３から送信されたＩＰアドレス付与通知は、スイッチングハブ１−１のポート番号「１」の通信ポート１０に入力される。スイッチングハブ１−１は、ポート番号「１」の通信ポート１０の転送パラメータが登録されており、かつこの転送パラメータに含まれているＭＡＣアドレスがＩＰアドレス付与通知の送信元のＵＴＭ装置３のＭＡＣアドレスと一致するため、つまり転送パラメータに変更がないため、この転送パラメータを含む接続構成通知をＵＴＭ装置３に送信しない。同様に、スイッチングハブ１−１から送信されたＩＰアドレス付与通知は、スイッチングハブ１−２のポート番号「１」の通信ポート１０に入力される。スイッチングハブ１−２は、ポート番号「１」の通信ポート１０の転送パラメータが登録されており、かつこの転送パラメータに含まれているＭＡＣアドレスがＩＰアドレス付与通知の送信元のＵＴＭ装置３のＭＡＣアドレスと一致するため、つまり転送パラメータに変更がないため、この転送パラメータを含む接続構成通知をＵＴＭ装置３に送信しない。
Here, the IP address assignment notification transmitted from the
通信端末５−１は、スイッチングハブ１−１、１−２を介してＵＴＭ装置３からＩＰアドレス付与通知を受信すると、自身のＩＰアドレスを、このＩＰアドレス付与通知に含まれているＩＰアドレスに設定する（Ｓ１２７）。
Upon receiving the IP address assignment notification from the
つぎに、通信端末５−２の電源が投入されたものとする（Ｓ１２８）。 Next, it is assumed that the power of the communication terminal 5-2 is turned on (S128).
まず、通信端末５−２は、ＤＨＣＰクライアントとして、ＤＨＣＰサーバであるＵＴＭ装置３にＩＰアドレス設定要求を送信する（Ｓ１２９）。このＩＰアドレス設定要求は、ＵＴＭ装置３への帰属要求として機能し、スイッチングハブ１−２およびスイッチングハブ１−１を経由してＵＴＭ装置３へ送られる。
First, the communication terminal 5-2 transmits an IP address setting request to the
ＵＴＭ装置３は、通信端末５−２からＩＰアドレス設定要求を受信すると、接続構成情報テーブル６を用いてＵＴＭ装置３と通信端末５−２との間の通信ルートを探索可能か否か判断する。この段階では、ＵＴＭ装置３のＭＡＣアドレスがフィールド６２に登録されたレコード６０は接続構成情報テーブル６−１、６−２に登録されているが、通信端末５−２のＭＡＣアドレスがフィールド６２に登録されたレコード６０はいずれの接続構成情報テーブル６−１、６−２にも登録されていないため、ＵＴＭ装置３と通信端末５−２との間の通信ルートを探索できない。そこで、ＵＴＭ装置３は、ＵＴＭ装置３と通信端末５−２との間の通信ルートが確立されていないと判断し、この通信ルートが確立されるのを待つ（Ｓ１３０）。
When receiving the IP address setting request from the communication terminal 5-2, the
ここで、通信端末５−２から送信されたＩＰアドレス設定要求は、スイッチングハブ１−２のポート番号「３」の通信ポート１０に入力される。スイッチングハブ１−２は、ＩＰアドレス設定要求が入力されたポート番号「３」の通信ポート１０の転送パラメータが登録されていないことを確認し、この通信ポート１０のポート番号「３」およびＩＰアドレス設定要求の送信元の通信端末５−２のＭＡＣアドレスを含む転送パラメータを登録する（Ｓ１３１）。それから、この転送パラメータを含む接続構成通知を例えばＳＮＭＰトラップを利用してＵＴＭ装置３に送信する（Ｓ１３２）。この接続構成通知は、スイッチングハブ１−１を介してＵＴＭ装置３に送られる。
Here, the IP address setting request transmitted from the communication terminal 5-2 is input to the
また、スイッチングハブ１−２から送信されたＩＰアドレス設定要求は、スイッチングハブ１−１のポート「３」の通信ポート１０に入力される。スイッチングハブ１−１は、ポート番号「３」の通信ポート１０の転送パラメータに含まれているＭＡＣアドレスがＩＰアドレス設定要求の送信元の通信端末５−２のＭＡＣアドレスと一致しないことを確認し、通信ポート１０のポート番号「３」およびＩＰアドレス設定要求の送信元である通信端末５−２のＭＡＣアドレスを含む転送パラメータを登録する（Ｓ１３３）。それから、この転送パラメータを含む接続構成通知を、例えばＳＮＭＰトラップを利用してＵＴＭ装置３に送信する（Ｓ１３４）。
The IP address setting request transmitted from the switching hub 1-2 is input to the
なお、スイッチングハブ１−２から送信された接続構成通知は、スイッチングハブ１−１のポート番号「３」の通信ポート１０に入力される。スイッチングハブ１−１は、ポート番号「３」の通信ポート１０の転送パラメータが登録されており、かつこの転送パラメータに含まれているＭＡＣアドレスが接続構成通知の送信元のスイッチングハブ１−２のＭＡＣアドレスと一致するため、つまり転送パラメータに変更がないため、この転送パラメータを含む接続構成通知をＵＴＭ装置３に送信しない。
The connection configuration notification transmitted from the switching hub 1-2 is input to the
ＵＴＭ装置３は、スイッチングハブ１−１、１−２から接続構成通知を受信すると、この接続構成通知に含まれている転送パラメータに基づいて接続構成情報を更新する（Ｓ１３５）。
Upon receiving the connection configuration notification from the switching hubs 1-1 and 1-2, the
具体的には、図５（Ｄ）に示すように、スイッチングハブ１−２のＩＰアドレスに対応付けられた接続構成情報テーブル６−２にレコード６０を追加して、このレコード６０のフィールド６１およびフィールド６２に、スイッチングハブ１−２から受信した接続構成通知に含まれている転送パラメータのポート番号「３」および通信端末５−２のＭＡＣアドレスを登録する。同様に、スイッチングハブ１−１のＩＰアドレスに対応付けられた接続構成情報テーブル６−１にレコード６０を追加して、このレコード６０のフィールド６１およびフィールド６２に、スイッチングハブ１−１から受信した接続構成通知に含まれている転送パラメータのポート番号「３」および通信端末５−２のＭＡＣアドレスを登録する。
Specifically, as shown in FIG. 5D, a
さて、ＵＴＭ装置３は、接続構成情報テーブル６が更新されると、更新された接続構成情報テーブル６を用いてＵＴＭ装置３と通信端末５−２との間の通信ルートを探索可能か否か再度判断する。この段階では、ＵＴＭ装置３のＭＡＣアドレスがフィールド６２に登録されたレコード６０は接続構成情報テーブル６−１、６−２に登録されており、かつ通信端末５−２のＭＡＣアドレスがフィールド６２に登録されたレコード６０は接続構成情報テーブル６−１、６−２に登録されているため、ＵＴＭ装置３と通信端末５−２との間の通信ルートを探索できる。そこで、ＵＴＭ装置３は、ＵＴＭ装置３と通信端末５−２との間の通信ルートが確立されたと判断し（Ｓ１３６）、後述の通信ルート探索処理を実施して、この通信ルートを探索する。そして、探索した通信ルート上にＶＰＮを構築するべく、例えばＳＮＭＰセットを利用してＶＰＮ設定要求をスイッチングハブ１−１、１−２に送信する（Ｓ１３７、Ｓ１４０）。
Now, when the connection configuration information table 6 is updated, the
ここでは、スイッチングハブ１−１のポート番号「１」およびポート番号「３」の通信ポート１０間を接続して、スイッチングハブ１−１にＵＴＭ装置３とスイッチングハブ１−２との間を中継させるとともに、スイッチングハブ１−２のポート番号「１」およびポート番号「３」の通信ポート１０間を接続して、スイッチングハブ１−２にスイッチングハブ１−１と通信端末５−２との間を中継させることにより、ＵＴＭ装置３と通信端末５−２との間に通信ルートを確立できる。ＵＴＭ装置３は、通信端末５−２のＭＡＣアドレスおよび通信ポート１０のポート番号「１」、「３」の指定を含むＶＰＮ設定要求をスイッチングハブ１−１に送信し（Ｓ１３７）、通信端末５−２のＭＡＣアドレスおよび通信ポート１０のポート番号「１」、「３」の指定を含むＶＰＮ設定要求をスイッチングハブ１−２に送信する（Ｓ１４０）。
Here, the
スイッチングハブ１−１、１−２は、ＵＴＭ装置３からＶＰＮ設定要求を受信すると、このＶＰＮ設定要求で指定されているＭＡＣアドレスにより特定される通信端末５−２を宛先あるいは発信元とする通信パケットが、このＶＰＮ設定要求で指定されている２つの通信ポート１０間を中継されるようにＶＰＮを設定する（Ｓ１３８、Ｓ１４１）。ここで、スイッチングハブ１−１は、通信端末５−２を宛先あるいは発信元とする通信パケットがポート番号「１」およびポート番号「３」の通信ポート１０間を中継されるようにＶＰＮを設定し（Ｓ１３８）、スイッチングハブ１−２は、通信端末５−２を宛先あるいは発信元とする通信パケットがポート番号「１」およびポート番号「３」の通信ポート１０間が中継されるようにＶＰＮを設定する（Ｓ１４１）。これにより、ＵＴＭ装置３と通信端末５−２との間にＶＰＮが構築される。それから、スイッチングハブ１−１、１−２は、例えばＳＮＭＰレスポンスを利用してＶＰＮ設定完了通知をＵＴＭ装置３に送信する（Ｓ１３９、Ｓ１４２）。
Upon receiving the VPN setting request from the
つぎに、ＵＴＭ装置３は、スイッチングハブ１−１、１−２からＶＰＮ設定完了通知を受信すると、ＩＰアドレスを発行して、このＩＰアドレスを通信端末５−２に付与する（Ｓ１４３）。それから、ＵＴＭ装置３は、このＩＰアドレスを含むＩＰアドレス付与通知を通信端末５−２に送信する（Ｓ１４４）。このＩＰアドレス付与通知は、スイッチングハブ１−１およびスイッチングハブ１−２を介して通信端末５−２に送られる。
Next, upon receiving the VPN setting completion notification from the switching hubs 1-1 and 1-2, the
ここで、ＵＴＭ装置３から送信されたＩＰアドレス付与通知は、スイッチングハブ１−１のポート番号「１」の通信ポート１０に入力される。スイッチングハブ１−１は、ポート番号「１」の通信ポート１０の転送パラメータが登録されており、かつこの転送パラメータに含まれているＭＡＣアドレスがＩＰアドレス付与通知の送信元のＵＴＭ装置３のＭＡＣアドレスと一致するため、つまり転送パラメータに変更がないため、この転送パラメータを含む接続構成通知をＵＴＭ装置３に送信しない。同様に、スイッチングハブ１−１から送信されたＩＰアドレス付与通知は、スイッチングハブ１−２のポート番号「１」の通信ポート１０に入力される。スイッチングハブ１−２は、ポート番号「１」の通信ポート１０の転送パラメータが登録されており、かつこの転送パラメータに含まれているＭＡＣアドレスがＩＰアドレス付与通知の送信元のＵＴＭ装置３のＭＡＣアドレスと一致するため、つまり転送パラメータに変更がないため、この転送パラメータを含む接続構成通知をＵＴＭ装置３に送信しない。
Here, the IP address assignment notification transmitted from the
通信端末５−２は、スイッチングハブ１−１、１−２を介してＵＴＭ装置３からＩＰアドレス付与通知を受信すると、自身のＩＰアドレスを、このＩＰアドレス付与通知に含まれているＩＰアドレスに設定する（Ｓ１４５）。
Upon receiving the IP address assignment notification from the
つぎに、本実施の形態に係るＵＴＭシステムを構成するＵＴＭ装置３およびスイッチングハブ１の詳細を説明する。なお、通信端末５には既存の通信端末を利用できるので、その詳細な説明を省略している。
Next, details of the
まず、ＵＴＭ装置３について説明する。
First, the
図６は、ＵＴＭ装置３の概略機能構成図である。
FIG. 6 is a schematic functional configuration diagram of the
図示するように、ＵＴＭ装置３は、ＬＡＮインターフェース部３０と、ＷＡＮインターフェース部３１と、スイッチングハブ機能部３２と、セキュリティチェック部３３と、ＤＨＣＰサーバ機能部３４と、接続構成情報記憶部３５と、接続構成確認要求部３６と、接続構成通知受信部３７と、接続構成情報登録部３８と、通信ルート探索部３９と、ＶＰＮ設定要求部４０と、を備えている。
As illustrated, the
ＬＡＮインターフェース部３０はＬＡＮ２と通信するためのインターフェースであり、ＷＡＮインターフェース部３１はＷＡＮ４と通信するためのインターフェースである。
The
スイッチングハブ機能部３２は、スイッチングハブとして機能し、セキュリティチェック部３３を介してＬＡＮインターフェース部３０あるいはＷＡＮインターフェース部３１から受け取った通信パケットを、その宛先アドレスに基づいてＬＡＮインターフェース部３０あるいはＷＡＮインターフェース部３１に中継する。
The switching
セキュリティチェック部３３は、予め定められたルールに従い、ＬＡＮインターフェース部３０あるいはＷＡＮインターフェース部３１から受け取った通信パケットのセキュリティをチェックする。
The
ＤＨＣＰサーバ機能部３４は、ＤＨＣＰサーバとして機能し、ＤＨＣＰクライアントである通信端末５に対してＩＰアドレスを発行し付与する。
The DHCP
接続構成情報記憶部３５には、ＬＡＮ２を構成するスイッチングハブ１毎に、図５（Ａ）ないし図５（Ｄ）に示す接続構成情報テーブル６が記憶される。
The connection configuration
接続構成確認要求部３６は、ＵＴＭ装置３の起動を含む所定のイベント発生時に、ＬＡＮ２の接続構成を確認するための接続構成確認要求を、ＬＡＮインターフェース部３０からＬＡＮ２へ同報送信する。
The connection configuration
接続構成通知受信部３７は、ＬＡＮインターフェース部３０を介してスイッチングハブ１から接続構成通知を受信する。
The connection configuration
接続構成情報登録部３８は、接続構成通知受信部３７により受信された接続構成通知に含まれている転送パラメータに従って接続構成情報記憶部３５の登録内容を更新する。
The connection configuration
通信ルート探索部３９は、接続構成情報記憶部３５を用いて、ＤＨＣＰサーバ機能部３４にＩＰアドレス設定要求を送信した通信端末５とＵＴＭ装置３との間の通信ルートを探索する。
The communication
ＶＰＮ設定要求部４０は、通信ルート探索部３９により探索された通信端末５とＵＴＭ装置３との間の通信ルートにＶＰＮを構築するため、この通信ルート上に位置するスイッチングハブ１に、例えばＳＮＭＰセットを利用してＶＰＮ設定要求を送信する。
The VPN setting request unit 40 establishes a VPN on a communication route between the communication terminal 5 and the
図７は、ＵＴＭ装置３の動作を説明するためのフロー図である。このフローは、ＵＴＭ装置３が起動あるいは再起動することにより開始される。
FIG. 7 is a flowchart for explaining the operation of the
まず、接続構成確認要求部３６は、接続構成確認要求をＬＡＮインターフェース部３０から同報送信する（Ｓ３００）。
First, the connection configuration
つぎに、ＬＡＮインターフェース部３０あるいはＷＡＮインターフェース部３１は、通信パケットを受信すると（Ｓ３０１でＹＥＳ）、この通信パケットを解析する（Ｓ３０２）。ここで、ＬＡＮインターフェース部３０は、ＬＡＮ２から受信した通信パケットが、自ＵＴＭ装置３を宛先とするＩＰアドレス設定要求であるならば（Ｓ３０２で「ＩＰアドレス設定要求」）、このＩＰアドレス設定要求をＤＨＣＰサーバ機能部３４に渡して処理をＳ３０３に進め、自ＵＴＭ装置３を宛先とする接続構成通知であるならば（Ｓ３０２で「接続構成通知」）、この接続構成通知を接続構成通知受信部３７に渡して処理をＳ３０５に進め、そして、自ＵＴＭ装置３以外を宛先とする中継対象の通信パケットであるならば（Ｓ３０２で「中継パケット」）、この通信パケットをセキュリティチェック部３３に渡して処理をＳ３１４に進める。また、ＷＡＮインターフェース部３１は、ＷＡＮ４から受信した通信パケットが、自ＵＴＭ装置３以外を宛先とする中継対象の通信パケットであるならば（Ｓ３０２で「中継パケット」）、この通信パケットをセキュリティチェック部３３に渡して処理をＳ３１４に進める。
Next, upon receiving the communication packet (YES in S301), the
Ｓ３０３において、ＤＨＣＰサーバ機能部３４は、通信ルート探索部３９に、ＩＰアドレス設定要求発信元の通信端末５のＭＡＣアドレスを渡して、この通信端末５および自ＵＴＭ装置３間の通信ルートの探索を依頼する。これを受けて、通信ルート探索部３９は、接続構成情報記憶部３５を用いて通信ルートの探索可否を判断する。
In S303, the DHCP
具体的には、接続構成情報記憶部３５内のいずれかの接続構成情報テーブル６に、自ＵＴＭ装置３のＭＡＣアドレスが登録されたレコード６０が登録され、かつ接続構成情報記憶部３５内の自ＵＴＭ装置３のＭＡＣアドレスが登録されたレコード６０が登録されたすべての接続構成情報テーブル６に、ＩＰアドレス設定要求発信元の通信端末５のＭＡＣアドレスが登録されたレコード６０が登録されている場合には、通信ルートを探索可能と判断し、それ以外の場合には、通信ルートを探索不可能と判断する。そして、通信ルートを探索可能と判断したならば（Ｓ３０３でＹＥＳ）、Ｓ３０８に進む。一方、通信ルートを探索不可能と判断したならば（Ｓ３０３でＮＯ）、ＩＰアドレス設定要求発信元の通信端末５のＭＡＣアドレスに対応付けられた通信ルート確立待ちフラグを登録し（Ｓ３０４）、ＤＨＣＰサーバ機能部３４に、ＩＰアドレスの発行を待つように指示する。それから、Ｓ３０１に戻り、ＬＡＮインターフェース部３０あるいはＷＡＮインターフェース部３１が通信パケットを新たに受信するのを待つ。
Specifically, a
また、Ｓ３０５において、接続構成通知受信部３７は、ＬＡＮインターフェース部３０から受け取った接続構成通知を接続構成情報登録部３８に渡す。そして、接続構成情報登録部３８は、この接続構成通知に基づいて接続構成情報記憶部３５に接続構成情報を登録または接続構成情報記憶部３５の接続構成情報を更新する。
In S305, the connection configuration
具体的には、接続構成情報登録部３８は、接続構成通知の発信元であるスイッチングハブ１のＩＰアドレスに対応付けられた接続構成情報テーブル６が接続構成情報記憶部３５に記憶されているか否かを判断する。記憶されていないならば、接続構成通知の発信元であるスイッチングハブ１のＩＰアドレスに対応付けられた接続構成情報テーブル６を接続構成情報記憶部３５に追加して、この接続構成情報テーブル６にレコード６０を追加する。そして、追加したレコード６０に、接続構成通知に含まれている転送パラメータ（通信ポート１０のポート番号およびこの通信ポート１０に入力された通信パケットの送信元のＭＡＣアドレス）を登録する。一方、接続構成通知の発信元であるスイッチングハブ１のＩＰアドレスに対応付けられた接続構成情報テーブル６が接続構成情報記憶部３５に記憶されているならば、この接続構成情報テーブル６から、接続構成通知に含まれている転送パラメータのポート番号およびＭＡＣアドレスを含むレコード６０を検索する。そして、レコード６０を検索できなかったならば、この接続構成情報テーブル６にレコード６０を追加し、このレコード６０に、接続構成通知に含まれている転送パラメータを登録する。
Specifically, the connection configuration
接続構成情報登録部３８によって接続構成情報記憶部３５が更新されると、通信ルート探索部３９は、通信ルート確立待ちフラグが登録されているか否かを判断する（Ｓ３０６）。通信ルート確立待ちフラグが登録されていないならば（Ｓ３０６でＮＯ）、Ｓ３０１に戻り、ＬＡＮインターフェース部３０あるいはＷＡＮインターフェース部３１が通信パケットを新たに受信するのを待つ。
When the connection configuration
一方、通信ルート確立待ちフラグが登録されているならば（Ｓ３０６でＹＥＳ）、通信ルート探索部３９は、Ｓ３０３と同様の要領により、接続構成情報記憶部３５を用いて通信ルートの探索可否を判断する（Ｓ３０７）。通信ルートを探索不可能と判断したならば（Ｓ３０７でＮＯ）、Ｓ３０１に戻り、ＬＡＮインターフェース部３０あるいはＷＡＮインターフェース部３１が通信パケットを新たに受信するのを待つ。
On the other hand, if the communication route establishment waiting flag is registered (YES in S306), communication
一方、通信ルートを探索可能と判断したならば（Ｓ３０７でＹＥＳ）、接続構成情報記憶部３５を用いて後述の通信ルート探索処理を実施して、自ＵＴＭ装置３とＩＰアドレス設定要求発信元の通信端末５との間の中継ルートを探索する（Ｓ３０８）。つぎに、通信ルート探索部３９は、探索した中継ルートを、ＩＰアドレス設定要求発信元の通信端末５のＭＡＣアドレスとともにＶＰＮ設定要求部４０に渡してＶＰＮの構築を指示する。これを受けて、ＶＰＮ設定要求部４０は、中継ルート上に位置するスイッチングハブ１各々に対して、自ＵＴＭ装置３とＩＰアドレス設定要求発信元の通信端末５との間にＶＰＮを構築するためのＶＰＮ設定要求を、ＬＡＮインターフェース部３０から送信する（Ｓ３０９）。具体的には、中継ルートに含まれている後述の中継ポイント情報毎に、ＩＰアドレス設定要求発信元の通信端末５のＭＡＣアドレスおよび中継ポイント情報に含まれている２つの中継ポートのポート番号を含むＶＰＮ設定要求を、中継ポイント情報に含まれている中継ハブに送信する。それから、通信ルート探索部３９は、ＬＡＮインターフェース部３０を介して、通信ルート上に位置するスイッチングハブ１各々からＶＰＮ設定完了通知を受信して（Ｓ３１０）、ＶＰＮの構築完了を通信ルート探索部３９に通知する。
On the other hand, if it is determined that the communication route can be searched (YES in S307), a communication route search process described later is performed using the connection configuration
通信ルート探索部３９は、ＶＰＮ設定要求部４０からＶＰＮの構築完了の通知を受け取ったならば、通信ルート確立待ちフラグの登録を解除する（Ｓ３１１）。その後、ＤＨＣＰサーバ機能部３４にＩＰアドレスの発行を許可する。これを受けて、ＤＨＣＰサーバ機能部３４は、ＩＰアドレス設定要求発信元の通信端末５に対して、ＩＰアドレスを発行し（Ｓ３１２）、このＩＰアドレスを含むＩＰアドレス付与通知をＬＡＮインターフェース部３０から送信する（Ｓ３１３）。その後、Ｓ３０１に戻り、ＬＡＮインターフェース部３０あるいはＷＡＮインターフェース部３１が通信パケットを新たに受信するのを待つ。
Upon receiving the notification of the completion of the VPN construction from the VPN setting request unit 40, the communication
また、Ｓ３１４において、セキュリティチェック部３３は、予め定められたルールに従い、ＬＡＮインターフェース部３０あるいはＷＡＮインターフェース部３１から受け取った通信パケットのセキュリティをチェックする（Ｓ３１４）。そして、既知のウィルスに感染している等の所定の条件に該当せず、セキュリティに問題がない場合は（Ｓ３１５でＹＥＳ）、この通信パケットをスイッチングハブ機能部３２に渡す。スイッチングハブ機能部３２は、セキュリティチェック部３３から受け取った通信パケットを、その宛先アドレスに従いＬＡＮインターフェース部３０からＬＡＮ２あるいはＷＡＮインターフェース部３１からＷＡＮ４に中継する（Ｓ３１６）。その後、Ｓ３０１に戻り、ＬＡＮインターフェース部３０あるいはＷＡＮインターフェース部３１が通信パケットを新たに受信するのを待つ。
Further, in S314, the
一方、所定の条件に該当し、セキュリティに問題がある場合（Ｓ３１５でＮＯ）、セキュリティチェック部３３は、この通信パケットを、スイッチングハブ機能部３２に渡すことなく破棄する（Ｓ３１７）。その後、Ｓ３０１に戻り、ＬＡＮインターフェース部３０あるいはＷＡＮインターフェース部３１が通信パケットを新たに受信するのを待つ。
On the other hand, if the predetermined condition is satisfied and there is a security problem (NO in S315), the
図８は、図７に示す通信ルート探索処理Ｓ３０８を説明するためのフロー図である。 FIG. 8 is a flowchart for explaining the communication route search processing S308 shown in FIG.
まず、通信ルート探索部３９は、接続構成情報記憶部３５から注目テーブルとして未設定の接続構成情報テーブル６を選択し、これを注目テーブルに設定する（Ｓ３２０）。
First, the communication
つぎに、通信ルート探索部３９は、注目テーブルから自ＵＴＭ装置３のＭＡＣアドレスがフィールド６２に登録されているレコード６０を検索する（Ｓ３２１）。そして、注目テーブルに、自ＵＴＭ装置３のＭＡＣアドレスがフィールド６２に登録されているレコード６０が登録されていないならば（Ｓ３２１でＮＯ）、Ｓ３２４に進む。
Next, the communication
一方、注目テーブルに、自ＵＴＭ装置３のＭＡＣアドレスがフィールド６２に登録されているレコード６０が登録されているならば（Ｓ３２１でＹＥＳ）、通信ルート探索部３９は、注目テーブルからＩＰアドレス設定要求発信元の通信端末５のＭＡＣアドレスがフィールド６２に登録されているレコード６０をさらに検索する（Ｓ３２２）。そして、注目テーブルに、ＩＰアドレス設定要求発信元の通信端末５のＭＡＣアドレスがフィールド６２に登録されているレコード６０が登録されていないならば（Ｓ３２２でＮＯ）、Ｓ３２４に進む。
On the other hand, if the
一方、注目テーブルに、ＩＰアドレス設定要求発信元の通信端末５のＭＡＣアドレスがフィールド６２に登録されているレコード６０が登録されているならば（Ｓ３２２でＮＯ）、通信ルート探索部３９は、中継ポイント情報を作成する（Ｓ３２３）。具体的には、注目テーブルに対応付けられているスイッチングハブ１を中継ハブに設定する。また、注目テーブルにおいて、自ＵＴＭ装置３のＭＡＣアドレスがフィールド６２に登録されているレコード６０のフィールド６１に登録されている通信ポート１０のポート番号、およびＩＰアドレス設定要求発信元の通信端末５のＭＡＣアドレスがフィールド６２に登録されているレコード６０のフィールド６１に登録されている通信ポート１０のポート番号を、この中継ハブにおける中継ポートに設定する。そして、中継ハブおよび中継ポートを含む中継ポイント情報を作成する。それから、Ｓ３２４に進む。
On the other hand, if the
Ｓ８２４において、通信ルート探索部３９は、接続構成情報記憶部３５内のすべての接続構成情報テーブル６を注目テーブルとして設定済みか否かを判断する。接続構成情報記憶部３５内に注目テーブルとして未設定の接続構成情報テーブル６があるならば（Ｓ３２４でＮＯ）、Ｓ３２０に戻る。
In S824, the communication
一方、接続構成情報記憶部３５内のすべての接続構成情報テーブル６を注目テーブルとして設定済みならば（Ｓ３２４でＹＥＳ）、これまでに作成した中継ポイント情報により特定される通信ルートを、自ＵＴＭ装置３およびＩＰアドレス設定要求発信元の通信端末５間の中継ルートに決定する（Ｓ３２５）。
On the other hand, if all the connection configuration information tables 6 in the connection configuration
つぎに、スイッチングハブ１について説明する。
Next, the switching
図９は、スイッチングハブ１の概略機能構成図である。
FIG. 9 is a schematic functional configuration diagram of the
図示するように、スイッチングハブ１は、ＬＡＮインターフェース部１１と、スイッチング部１２と、転送パラメータ記憶部１３と、転送パラメータ更新部１４と、接続構成通知送信部１５と、ＶＰＮ設定部１６と、を備えている。
As illustrated, the switching
ＬＡＮインターフェース部１１はＬＡＮ２と通信するためのインターフェースであり、複数の通信ポート１０を有する。
The LAN interface unit 11 is an interface for communicating with the
スイッチング部１２は、ＬＡＮインターフェース部１１のいずれかの通信ポート１０に入力された通信パケットを、その宛先アドレスに基づいてＬＡＮインターフェース部１１のいずれかの通信ポート１０に中継する。
The switching unit 12 relays a communication packet input to any of the
転送パラメータ記憶部１３には、ＬＡＮインターフェース部１１の通信ポート１０の転送パラメータが記憶される。図１０は、転送パラメータ記憶部１３の登録内容例を模式的に表した図である。図示するように、転送パラメータ記憶部１３には、通信ポート１０およびＭＡＣアドレスの組合せ毎に転送パラメータのレコード１３０が記憶される。レコード１３０は、通信ポート１０のポート番号が登録されたフィールド１３１と、この通信ポート１０に入力された通信パケットの送信元ＭＡＣアドレスを登録するためのフィールド１３２と、を有する。
The transfer parameters of the
転送パラメータ更新部１４は、ＬＡＮインターフェース部１１の通信ポート１０に入力された通信パケットに基づいて転送パラメータ記憶部１３の登録内容を更新する。
The transfer parameter update unit 14 updates the registered contents of the transfer
接続構成通知送信部１５は、転送パラメータ記憶部１３を監視し、転送パラメータ更新部１４により追加された転送パラメータのレコード１３０を含む接続構成通知を、例えばＳＮＭＰトラップを利用してＵＴＭ装置３に送信する。
The connection configuration notification transmission unit 15 monitors the transfer
ＶＰＮ設定部１６は、ＬＡＮインターフェース部１１を介してＵＴＭ装置３から受信したＶＰＮ設定要求に従い、通信端末５を宛先あるいは発信元とする通信パケットがＬＡＮインターフェース部１１内の２つの通信ポート１０間を中継されるようにＶＰＮを設定する。そして、例えばＳＮＭＰレスポンスを利用してＵＴＭ装置３にＶＰＮ設定完了通知を送信する。
According to the VPN setting request received from the
図１１は、スイッチングハブ１の動作を説明するためのフロー図である。
FIG. 11 is a flowchart for explaining the operation of the
ＬＡＮインターフェース部１１は、いずれかの通信ポート１０に通信パケットが入力されると（Ｓ４００でＹＥＳ）、この通信パケットが、ＵＴＭ装置３から自スイッチングハブ１に送られたＶＰＮ設定要求ならば（Ｓ４０１でＹＥＳ）、このＶＰＮ設定要求をＶＰＮ設定部１６に渡す。これを受けて、ＶＰＮ設定部１６は、このＶＰＮ設定要求で指定されている通信端末５を宛先あるいは発信元とする通信パケットが、このＶＰＮ設定要求で指定されている２つの中継ポート１０間を中継されるようにＶＰＮを設定する（Ｓ４０２）。それから、ＶＰＮ設定部１６は、ＬＡＮインターフェース部１１（具体的にはＶＰＮ設定要求が入力された通信ポート１０）からＵＴＭ装置３にＶＰＮ設定完了通知を送信する（Ｓ４０３）。その後、Ｓ４００に戻り、新たな通信パケットがＬＡＮインターフェース部１１のいずれかの通信ポート１０に入力されるのを待つ。
When a communication packet is input to any of the communication ports 10 (YES in S400), the LAN interface unit 11 is a VPN setting request sent from the
一方、ＬＡＮインターフェース部１１は、ＬＡＮインターフェース部１１のいずれかの通信ポート１０に入力された通信パケットが、自スイッチングハブ１以外を宛先とする中継対象の通信パケットならば（Ｓ４０１でＮＯ）、この通信パケットをスイッチング部１２に渡す。これを受けて、スイッチング部１２は、ＬＡＮインターフェース部１１から受け取った通信パケットの宛先あるいは発信元の通信端末５に対してＶＰＮが設定されているか否かを判断する（Ｓ４０４）。
On the other hand, if the communication packet input to any one of the
そして、ＶＰＮが設定されているならば（Ｓ４０４でＹＥＳ）、このＶＰＮに従って通信パケットを中継する（Ｓ４０５）。具体的には、ＶＰＮが設定されている２つの中継ポート１０のうち、通信パケットが入力された中継ポート１０以外の中継ポート１０に、この通信パケットを中継する。その後、Ｓ４００に戻り、新たな通信パケットがＬＡＮインターフェース部１１のいずれかの通信ポート１０に入力されるのを待つ。
If a VPN has been set (YES in S404), the communication packet is relayed in accordance with the VPN (S405). Specifically, the communication packet is relayed to a
一方、ＬＡＮインターフェース部１１から受け取った通信パケットの宛先あるいは発信元の通信端末５に対してＶＰＮが設定されていない場合（Ｓ４０４でＮＯ）、スイッチング部１２は、この通信パケットを、その宛先アドレスに従いＬＡＮインターフェース部１１のいずれかの通信ポート１０に中継する（Ｓ４０６）。
On the other hand, when the VPN is not set for the destination of the communication packet received from the LAN interface unit 11 or the communication terminal 5 of the transmission source (NO in S404), the switching unit 12 converts the communication packet according to the destination address. The data is relayed to one of the
また、転送パラメータ更新部１４は、通信パケットが入力された通信ポート１０のポート番号がフィールド１３１に登録されている転送パラメータのレコード１３０を転送パラメータ記憶部１３から検索する。そして、この検索したレコード１３０のフィールド１３２に登録されているＭＡＣアドレスが通信パケットの送信元ＭＡＣアドレスと一致するか否かを判断する（Ｓ４０７）。そして、一致するならば（Ｓ４０７でＹＥＳ）、Ｓ４００に戻り、新たな通信パケットがＬＡＮインターフェース部１１のいずれかの通信ポート１０に入力されるのを待つ。一方、検索したレコード１３０のフィールド１３２に登録されているＭＡＣアドレスが通信パケットの送信元のＭＡＣアドレスと一致しない場合、あるいは、通信パケットが入力された通信ポート１０のポート番号がフィールド１３１に登録されている転送パラメータのレコード１３０が存在しない場合（Ｓ４０７でＮＯ）、転送パラメータ更新部１４は、転送パラメータ記憶部１３にレコード６０を追加し、このレコード６０のフィールド６１およびフィールド６２に、通信パケットが入力された通信ポート１０のポート番号および通信パケットの送信元ＭＡＣアドレスを登録する（Ｓ４０８）。そして、接続構成通知送信部１５は、更新あるいは新規登録された転送パラメータのレコード１３０を含む接続構成通知をＬＡＮインターフェース部１１からＵＴＭ装置３に送信する（Ｓ４０９）。その後、Ｓ４００に戻り、新たな通信パケットがＬＡＮインターフェース部１１のいずれかの通信ポート１０に入力されるのを待つ。
Further, the transfer parameter updating unit 14 searches the transfer
以上、本発明の一実施の形態を説明した。 The embodiment of the present invention has been described above.
本実施の形態では、ＵＴＭ装置３にスイッチングハブ機能を持たせるともに、ＶＰＮ機能を有する１以上のスイッチングハブ１でＬＡＮ２を構成する。そして、ＬＡＮ２に接続された通信端末５毎に、通信端末５とＵＴＭ装置３との間にＶＰＮが形成されるように各スイッチングハブ１を設定することにより、通信端末５と相手端末との間の通信ルートにＵＴＭ装置３を介在させて、相手端末と通信トラヒックをやり取りする通信端末５のセキュリティをＵＴＭ装置３に管理させる。したがって、本実施の形態によれば、ＬＡＮ２およびＷＡＮ４間の通信トラヒックのみならず、ＬＡＮ２内の通信端末５間の通信トラヒックについても、そのセキュリティを管理して、セキュリティ上の問題がある通信トラヒックを確実に遮断することができる。
In the present embodiment, the
また、本実施の形態において、ＵＴＭ装置３は、ＬＡＮ２に接続構成確認要求の通信パケットを同報送信して、ＬＡＮ２を構成する各スイッチングハブ１から、通信パケットの送信元のアドレスおよびこの通信パケットが入力された通信ポート１０のポート番号を含む転送パラメータ（接続構成通知）を受信し、受信した転送パラメータを、この転送パラメータの発信元であるスイッチングハブ１に対応付けて記憶する。また、ＵＴＭ装置３は、帰属要求（ＩＰアドレス設定要求）を受信すると、各スイッチングハブ１から受信した転送パラメータに基づいて、帰属要求発信元の通信端末５とＵＴＭ装置３とを繋ぐ通信ルートを探索する。そして、探索された通信ルート上に位置するスイッチングハブ１に対して、この通信ルート上に位置する２つの通信ポート１０および帰属要求発信元の通信端末５の指定を含むＶＰＮ設定要求を送信する。
Further, in the present embodiment, the
また、スイッチングハブ１は、通信ポート１０のポート番号およびこの通信ポート１０に入力された通信パケットの送信元のアドレスを含む転送パラメータを記憶しており、いずれかの通信ポート１０に通信パケットが入力された場合に、この通信ポートの転送パラメータに含まれている送信元のアドレスがこの通信パケットの送信元のアドレスと異なるならば、あるいはこの通信ポートの転送パラメータが記憶されていないならば、この通信ポートの転送パラメータを登録するとともに、登録された転送パラメータを含む接続構成通知をＵＴＭ装置３に送信する。また、スイッチングハブ１は、ＵＴＭ装置３より受信したＶＰＮ設定要求で指定されている通信端末５を発信元あるいは宛先とする通信パケットが、ＶＰＮ設定要求で指定されている２つの通信ポート間を中継されるようにＶＰＮを設定する。
The
したがって、本実施の形態によれば、ＵＴＭ装置３は、ＬＡＮ２の接続構成を自動的に認識して、通信端末５毎に、通信端末５とＵＴＭ装置３との間にＶＰＮを構築することができる。このため、操作者は、通信端末５毎に、通信端末５およびＵＴＭ装置３間の通信ルートを調べて、この通信ルート上にＶＰＮが構築されるように各スイッチングハブ１を設定する必要がない。したがって、操作者の作業負担を低減することができる。
Therefore, according to the present embodiment, the
なお、本発明は上記の実施の形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。 It should be noted that the present invention is not limited to the above embodiment, and various modifications can be made within the scope of the gist.
例えば、上記の実施の形態では、ＵＴＭ装置３において、通信端末５およびＵＴＭ装置３間の通信ルートを探索するトリガとして、この通信端末５から送信されたＩＰアドレス設定要求を用いているが、通信端末５から送信されたＩＰアドレス設定要求以外の通信パケット（帰属要求）を用いることができる。
For example, in the above embodiment, the
また、上記の実施の形態において、図６に示すＵＴＭ装置３の機能構成は、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）などの集積ロジックＩＣによりハード的に実現されるものでもよいし、あるいはＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）などの計算機によりソフトウエア的に実現されるものでもよい。または、ＣＰＵ、メモリ、ＨＤＤ、ＤＶＤ−ＲＯＭ等の補助記憶装置、およびＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）等の通信機を備えたＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）等のコンピュータシステムにおいて、ＣＰＵが所定のプログラムを補助記憶装置からメモリ上にロードして実行することで実現されるものでもよい。また、図９に示すスイッチングハブ１の機能構成も、ＡＳＩＣ、ＦＰＧＡなどの集積ロジックＩＣによりハード的に実現されるものでもよいし、あるいはＤＳＰなどの計算機によりソフトウエア的に実現されるものでもよい。
In the above-described embodiment, the functional configuration of the
１、１−１、１−２：スイッチングハブ、 ２：ＬＡＮ、 ３：ＵＴＭ装置、 ４：ＷＡＮ、 ５、５−１、５−２：通信端末、 １０：通信ポート、 １１：ＬＡＮインターフェース部、 １２：スイッチング部、 １３：転送パラメータ記憶部、 １４：転送パラメータ更新部、 １５：接続構成通知送信部、 １６：ＶＰＮ設定部、 ３０：ＬＡＮインターフェース部、 ３１：ＷＡＮインターフェース部、 ３２：スイッチングハブ機能部、 ３３：セキュリティチェック部、 ３４：ＤＨＣＰサーバ機能部、 ３５：接続構成情報記憶部、 ３６：接続構成確認要求部、 ３７：接続構成通知受信部、 ３８：接続構成情報登録部、 ３９：通信ルート探索部、 ４０：ＶＰＮ設定要求部
1, 1-1, 1-2: switching hub, 2: LAN, 3: UTM device, 4: WAN, 5, 5-1 and 5-2: communication terminal, 10: communication port, 11: LAN interface unit, 12: switching section, 13: transfer parameter storage section, 14: transfer parameter update section, 15: connection configuration notification transmission section, 16: VPN setting section, 30: LAN interface section, 31: WAN interface section, 32: switching hub function Unit, 33: security check unit, 34: DHCP server function unit, 35: connection configuration information storage unit, 36: connection configuration confirmation request unit, 37: connection configuration notification receiving unit, 38: connection configuration information registration unit, 39: communication Route search unit, 40: VPN setting request unit
Claims (3)
前記配下のネットワークおよび外部ネットワークに接続された統合脅威管理装置と、
前記配下のネットワークを構成する１以上のスイッチングハブと、を備え、
前記統合脅威管理装置は、
前記配下のネットワークあるいは前記外部ネットワークから受信した通信パケットを当該通信パケットの宛先アドレスに従って中継するスイッチング手段と、
前記配下のネットワークあるいは前記外部ネットワークから受信した通信パケットのセキュリティをチェックして、所定の条件に該当する通信パケットを中継することなく破棄するセキュリティチェック手段と、
前記配下のネットワークに接続構成確認要求を同報送信する接続構成確認要求手段と、
通信パケットの送信元のアドレスおよび当該通信パケットが入力された前記通信ポートのポート番号を含む転送パラメータを前記スイッチングハブから受信する転送パラメータ受信手段と、
前記転送パラメータ受信手段により受信された転送パラメータを当該転送パラメータの送信元の前記スイッチングハブに対応付けて記憶する接続構成情報記憶手段と、
前記通信端末から帰属要求を受信する帰属要求受信手段と、
前記帰属要求受信手段により受信された帰属要求に従い、前記接続構成情報記憶手段を参照して、当該帰属要求の発信元である前記通信端末と前記統合脅威管理装置とを繋ぐ通信ルートを探索する通信ルート探索手段と、
前記通信ルート探索手段により探索された通信ルート上に位置する前記スイッチングハブに対して、前記統合脅威管理装置と前記帰属要求の発信元である前記通信端末との間に仮想プライベートネットワークを形成するための、当該通信ルート上に位置する当該スイッチングハブの２つの前記通信ポートおよび前記帰属要求の発信元である前記通信端末の指定を含む仮想プライベートネットワーク設定要求を送信する仮想プライベートネットワーク設定要求手段と、を有し、
前記通信端末毎に、当該通信端末と間に形成された仮想プライベートネットワークを介して、当該通信端末と前記外部ネットワークおよび他の前記通信端末との間でやり取りされる通信パケットを中継し、
前記スイッチングハブは、
複数の通信ポートと、
いずれかの前記通信ポートに入力された通信パケットを当該通信パケットの宛先アドレスに従っていずれかの前記通信ポートに中継する中継手段と、
前記統合脅威管理装置側に接続されている前記通信ポートおよび前記通信端末側に接続されている前記通信ポートの一方に入力された通信パケットを他方へ中継するよう前記中継手段を制御する仮想プライベートネットワーク設定手段と、
前記通信ポートのポート番号および当該通信ポートに入力された通信パケットの送信元のアドレスを含む転送パラメータを記憶する転送パラメータ記憶手段と、
いずれかの前記通信ポートに通信パケットが入力された場合に、前記転送パラメータ記憶手段に記憶されている当該通信ポートの転送パラメータに含まれている送信元のアドレスが当該通信パケットの送信元のアドレスと異なるならば、あるいは、当該通信ポートの転送パラメータが前記転送パラメータ記憶手段に記憶されていないならば、当該通信ポートの転送パラメータを登録する転送パラメータ更新手段と、
前記転送パラメータ更新手段により登録された転送パラメータを前記統合脅威管理装置に送信する転送パラメータ送信手段と、を有し、
前記スイッチングハブの前記仮想プライベートネットワーク設定手段は、
前記統合脅威管理装置より受信した仮想プライベートネットワーク設定要求で指定されている前記通信端末を発信元あるいは宛先とする通信パケットが、当該仮想プライベートネットワーク設定要求で指定されている２つの通信ポート間を中継されるように前記中継手段を制御して、当該通信端末と前記統合脅威管理装置との間に仮想プライベートネットワークを形成する
ことを特徴とする統合脅威管理システム。 An integrated threat management system that integrates a plurality of different security functions and manages security of a plurality of communication terminals connected to a subordinate network ,
An integrated threat management device connected to the subordinate network and an external network,
And one or more switching hubs constituting the subordinate network,
The integrated threat management device,
Switching means for relaying a communication packet received from the subordinate network or the external network according to a destination address of the communication packet,
Security check means for checking security of a communication packet received from the subordinate network or the external network, and discarding the communication packet corresponding to a predetermined condition without relaying the communication packet;
Connection configuration confirmation request means for broadcasting a connection configuration confirmation request to the subordinate network;
Transfer parameter receiving means for receiving, from the switching hub, transfer parameters including a source address of a communication packet and a port number of the communication port to which the communication packet has been input,
Connection configuration information storage means for storing the transfer parameters received by the transfer parameter receiving means in association with the switching hub of the transmission source of the transfer parameters,
Belonging request receiving means for receiving a belonging request from the communication terminal,
Communication for searching for a communication route connecting the communication terminal that is the source of the belonging request and the integrated threat management device with reference to the connection configuration information storage unit according to the belonging request received by the belonging request receiving unit. Route search means;
For forming a virtual private network between the integrated threat management device and the communication terminal that is the source of the belonging request for the switching hub located on the communication route searched by the communication route searching means. of a virtual private network setup request means for transmitting a virtual private network configuration request including designation of said communication terminal is the source of two of the communication ports and the belonging request of the switching hub located on the communication route, Has,
For each communication terminal, via a virtual private network formed between the communication terminal, relay communication packets exchanged between the communication terminal and the external network and the other communication terminal,
The switching hub,
Multiple communication ports,
Relay means for relaying a communication packet input to any of the communication ports to any of the communication ports according to a destination address of the communication packet;
A virtual private network that controls the relay unit to relay a communication packet input to one of the communication port connected to the integrated threat management device and the communication port connected to the communication terminal to the other Setting means;
Transfer parameter storage means for storing transfer parameters including a port number of the communication port and a source address of a communication packet input to the communication port,
When a communication packet is input to any of the communication ports, the source address included in the transfer parameter of the communication port stored in the transfer parameter storage means is the source address of the communication packet. Transfer parameter updating means for registering the transfer parameter of the communication port, if the transfer parameter of the communication port is not stored in the transfer parameter storage means,
Transfer parameter transmitting means for transmitting the transfer parameter registered by the transfer parameter updating means to the integrated threat management device,
The virtual private network setting means of the switching hub,
A communication packet destined to or from the communication terminal specified in the virtual private network setting request received from the integrated threat management device relays between the two communication ports specified in the virtual private network setting request A virtual private network between the communication terminal and the integrated threat management device by controlling the relay means so as to be controlled.
前記配下のネットワークあるいは前記外部ネットワークから受信した通信パケットを当該通信パケットの宛先アドレスに従って中継するスイッチング手段と、
前記配下のネットワークあるいは前記外部ネットワークから受信した通信パケットのセキュリティをチェックして、所定の条件に該当する通信パケットを中継することなく破棄するセキュリティチェック手段と、
前記配下のネットワークに接続構成確認要求を同報送信する接続構成確認要求手段と、
通信パケットの送信元のアドレスおよび当該通信パケットが入力された前記通信ポートのポート番号を含む転送パラメータを前記スイッチングハブから受信する転送パラメータ受信手段と、
前記転送パラメータ受信手段により受信された転送パラメータを当該転送パラメータの送信元の前記スイッチングハブに対応付けて記憶する接続構成情報記憶手段と、
前記通信端末から帰属要求を受信する帰属要求受信手段と、
前記帰属要求受信手段により受信された帰属要求に従い、前記接続構成情報記憶手段を参照して、当該帰属要求の発信元である前記通信端末と前記統合脅威管理装置とを繋ぐ通信ルートを探索する通信ルート探索手段と、
前記通信ルート探索手段により探索された通信ルート上に位置する前記スイッチングハブに対して、前記統合脅威管理装置と前記帰属要求の発信元である前記通信端末との間に仮想プライベートネットワークを形成するための、当該通信ルート上に位置する当該スイッチングハブの２つの前記通信ポートおよび前記帰属要求の発信元である前記通信端末の指定を含む仮想プライベートネットワーク設定要求を送信する仮想プライベートネットワーク設定要求手段と、を備え、
前記通信端末毎に、当該通信端末と間に形成された仮想プライベートネットワークを介して、当該通信端末と前記外部ネットワークおよび他の前記通信端末との間でやり取りされる通信パケットを中継する
ことを特徴とする統合脅威管理装置。 Integrating a plurality of different security functions, connecting to a subordinate network constituted by an external network and one or more switching hubs having a plurality of communication ports, and connecting a plurality of communication terminals connected to the subordinate network An integrated threat management device for managing security,
Switching means for relaying a communication packet received from the subordinate network or the external network according to a destination address of the communication packet,
Security check means for checking security of a communication packet received from the subordinate network or the external network, and discarding the communication packet corresponding to a predetermined condition without relaying the communication packet;
Connection configuration confirmation request means for broadcasting a connection configuration confirmation request to the subordinate network;
Transfer parameter receiving means for receiving, from the switching hub, transfer parameters including a source address of a communication packet and a port number of the communication port to which the communication packet has been input,
Connection configuration information storage means for storing the transfer parameters received by the transfer parameter receiving means in association with the switching hub of the transmission source of the transfer parameters,
Belonging request receiving means for receiving a belonging request from the communication terminal,
Communication for searching for a communication route connecting the communication terminal that is the source of the belonging request and the integrated threat management device with reference to the connection configuration information storage unit according to the belonging request received by the belonging request receiving unit. Route search means;
For forming a virtual private network between the integrated threat management device and the communication terminal that is the source of the belonging request for the switching hub located on the communication route searched by the communication route searching means. of a virtual private network setup request means for transmitting a virtual private network configuration request including designation of said communication terminal is the source of two of the communication ports and the belonging request of the switching hub located on the communication route, equipped with a,
Relaying a communication packet exchanged between the communication terminal, the external network, and another communication terminal via a virtual private network formed between the communication terminal and the communication terminal; Integrated threat management device.
仮想プライベートネットワーク機能を有する１以上のスイッチングハブで前記配下のネットワークを構成し、
スイッチングハブ機能を有する統合脅威管理装置を前記配下のネットワークおよび外部ネットワークに接続し、
前記通信端末毎に、当該通信端末と前記統合脅威管理装置との間に仮想プライベートネットワークが形成されるように前記スイッチングハブを設定することにより、当該通信端末と相手端末との間に前記統合脅威管理装置を介在させて、前記統合脅威管理装置に当該通信端末のセキュリティを管理させ、
前記統合脅威管理装置は、
前記配下のネットワークあるいは前記外部ネットワークから受信した通信パケットのセキュリティをチェックして、所定の条件に該当する通信パケットを破棄するとともに、所定の条件に該当しない通信パケットを当該通信パケットの宛先アドレスに従って中継し、
前記配下のネットワークに接続構成確認要求を同報送信し、
通信パケットの送信元のアドレスおよび当該通信パケットが入力された前記通信ポートのポート番号を含む転送パラメータを前記スイッチングハブから受信して、当該転送パラメータを当該転送パラメータの送信元の前記スイッチングハブに対応付けて記憶し、
前記通信端末から帰属要求を受信して、当該帰属要求に従い、前記スイッチングハブに対応付けて記憶された前記転送パラメータを参照して、当該帰属要求の発信元である前記通信端末と前記統合脅威管理装置とを繋ぐ通信ルートを探索し、
前記探索された通信ルート上に位置する前記スイッチングハブに対して、前記統合脅威管理装置と前記帰属要求の発信元である前記通信端末との間に仮想プライベートネットワークを形成するための、当該通信ルート上に位置する当該スイッチングハブの２つの前記通信ポートおよび前記帰属要求の発信元である前記通信端末の指定を含む仮想プライベートネットワーク設定要求を送信し、
前記通信端末毎に、当該通信端末と間に形成された仮想プライベートネットワークを介して、当該通信端末と前記外部ネットワークおよび他の前記通信端末との間でやり取りされる通信パケットを中継する
ことを特徴とする統合脅威管理方法。 An integrated threat management method for integrating a plurality of different security functions and managing security of a plurality of communication terminals connected to a subordinate network,
Configuring the subordinate network with one or more switching hubs having a virtual private network function,
Connect an integrated threat management device having a switching hub function to the subordinate network and an external network,
By setting the switching hub such that a virtual private network is formed between the communication terminal and the integrated threat management device for each of the communication terminals, the integrated threat is set between the communication terminal and the partner terminal. With a management device interposed, the integrated threat management device manages the security of the communication terminal ,
The integrated threat management device,
Checks the security of communication packets received from the subordinate network or the external network, discards communication packets that meet predetermined conditions, and relays communication packets that do not meet predetermined conditions according to the destination address of the communication packets. And
Broadcasting a connection configuration confirmation request to the subordinate network,
A transfer parameter including a source address of a communication packet and a port number of the communication port to which the communication packet is input is received from the switching hub, and the transfer parameter corresponds to the switching hub of the transmission source of the transfer parameter. Attach and remember,
Upon receiving the belonging request from the communication terminal, and referring to the transfer parameter stored in association with the switching hub according to the belonging request, the communication terminal that is the source of the belonging request and the integrated threat management Search for a communication route connecting the device,
For the switching hub located on the searched communication route, the communication route for forming a virtual private network between the integrated threat management device and the communication terminal that is the source of the belonging request. Transmitting a virtual private network setting request including designation of the two communication ports of the switching hub located above and the communication terminal that is the source of the belonging request;
Relaying a communication packet exchanged between the communication terminal and the external network and another communication terminal via a virtual private network formed between the communication terminal and each communication terminal; Integrated threat management method.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2016088318A JP6623917B2 (en) | 2016-04-26 | 2016-04-26 | Integrated threat management system, integrated threat management device, and integrated threat management method |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2016088318A JP6623917B2 (en) | 2016-04-26 | 2016-04-26 | Integrated threat management system, integrated threat management device, and integrated threat management method |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2017200012A JP2017200012A (en) | 2017-11-02 |
| JP6623917B2 true JP6623917B2 (en) | 2019-12-25 |
Family
ID=60239584
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2016088318A Active JP6623917B2 (en) | 2016-04-26 | 2016-04-26 | Integrated threat management system, integrated threat management device, and integrated threat management method |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP6623917B2 (en) |
Families Citing this family (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP7225740B2 (en) | 2018-11-30 | 2023-02-21 | 株式会社デンソー | repeater |
| JP7425294B2 (en) | 2020-02-14 | 2024-01-31 | 富士通株式会社 | Communication device |
Family Cites Families (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP3804585B2 (en) * | 2002-07-03 | 2006-08-02 | 株式会社日立製作所 | Network construction system and construction method |
| JP4290526B2 (en) * | 2003-10-29 | 2009-07-08 | 富士通株式会社 | Network system |
| JP4773387B2 (en) * | 2007-03-19 | 2011-09-14 | 株式会社日立製作所 | Network system |
| JP5699799B2 (en) * | 2010-06-01 | 2015-04-15 | ヤマハ株式会社 | Topology detection system and relay device |
| JP5889813B2 (en) * | 2013-02-19 | 2016-03-22 | 日本電信電話株式会社 | Communication system and program |
-
2016
- 2016-04-26 JP JP2016088318A patent/JP6623917B2/en active Active
Also Published As
| Publication number | Publication date |
|---|---|
| JP2017200012A (en) | 2017-11-02 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US9225641B2 (en) | Communication between hetrogenous networks | |
| US9215175B2 (en) | Computer system including controller and plurality of switches and communication method in computer system | |
| JP5874726B2 (en) | Communication control system, control server, transfer node, communication control method, and communication control program | |
| JP3797937B2 (en) | Network connection system, network connection method, and network connection device used therefor | |
| US9621516B2 (en) | Firewall configured with dynamic membership sets representing machine attributes | |
| US20140233569A1 (en) | Distributed Gateway in Virtual Overlay Networks | |
| KR20150113597A (en) | Method and apparatus for processing arp packet | |
| US10122654B2 (en) | Divided hierarchical network system based on software-defined networks | |
| EP3753232B1 (en) | Cloud access to local network addresses | |
| US11316739B2 (en) | Methods, controller manager and controller agent for enabling a connection between a switch of a communication network and a switch controller | |
| JP2006262193A (en) | Controller, packet transferring method, and packet processor | |
| JP6662136B2 (en) | Relay device, communication system, relay method, and relay program | |
| US9344399B2 (en) | Relay server and relay communication system | |
| CN105794158A (en) | Methods and systems for processing internet protocol packets | |
| JP6623917B2 (en) | Integrated threat management system, integrated threat management device, and integrated threat management method | |
| US20130275620A1 (en) | Communication system, control apparatus, communication method, and program | |
| WO2016019676A1 (en) | Method, apparatus and system for processing data packet in software defined network (sdn) | |
| US7796614B1 (en) | Systems and methods for message proxying | |
| JP6191191B2 (en) | Switch device and control method of switch device | |
| EP2600568B1 (en) | Relay server and relay communication system | |
| JP5350333B2 (en) | Packet relay apparatus and network system | |
| JP6360012B2 (en) | Network integration system and network integration method | |
| Cisco | IP Routing | |
| Cisco | IP Routing | |
| Cisco | IP Routing |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20181030 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20190802 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20190820 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20191011 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20191029 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20191111 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 6623917 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |