JP7042069B2 - Network equipment and network systems - Google Patents

Network equipment and network systems Download PDF

Info

Publication number
JP7042069B2
JP7042069B2 JP2017235921A JP2017235921A JP7042069B2 JP 7042069 B2 JP7042069 B2 JP 7042069B2 JP 2017235921 A JP2017235921 A JP 2017235921A JP 2017235921 A JP2017235921 A JP 2017235921A JP 7042069 B2 JP7042069 B2 JP 7042069B2
Authority
JP
Japan
Prior art keywords
mac address
port
packet
network device
ports
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2017235921A
Other languages
Japanese (ja)
Other versions
JP2019103103A (en
Inventor
智則 上田
宏征 吉野
賢介 猪野
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Alaxala Networks Corp
Original Assignee
Alaxala Networks Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Alaxala Networks Corp filed Critical Alaxala Networks Corp
Priority to JP2017235921A priority Critical patent/JP7042069B2/en
Publication of JP2019103103A publication Critical patent/JP2019103103A/en
Application granted granted Critical
Publication of JP7042069B2 publication Critical patent/JP7042069B2/en
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Landscapes

  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Description

本発明はネットワーク装置およびネットワークシステムに関する。 The present invention relates to network devices and network systems.

一般的なネットワークは、認証機能によりネットワークに接続する端末を検査し、ネットワークのセキュリティを確保している。このようなネットワークの認証機能として、特許文献１が提案されている。 In a general network, the authentication function inspects the terminals connected to the network to ensure the security of the network. Patent Document 1 has been proposed as an authentication function for such a network.

特許文献１では、端末がネットワークへ接続される際に送信されるＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）の応答のパケットを偽装して、パスワードによる認証を行い、正常な端末のＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスと同じＭＡＣアドレスになりすました不正な端末は、不正接続防止装置に接続したままにする技術が開示されている。 In Patent Document 1, an ARP (Address Resolution Protocol) response packet transmitted when a terminal is connected to a network is disguised, password authentication is performed, and the MAC (Media Access Control) address of a normal terminal is used. A technique for keeping an unauthorized terminal spoofing the same MAC address connected to an unauthorized connection prevention device is disclosed.

特開２０１６－１８７１１３号公報Japanese Unexamined Patent Publication No. 2016-187113

特許文献１に開示された技術を用いれば、不正な端末が送信するパケットは、不正接続防止装置へ届き、不正な端末が不正の目的とする端末へは届かない。しかしながら、なりすましのＭＡＣアドレスに基づいて、正常な端末へ向けて送信されたパケットが、不正な端末で受信される可能性がある。 According to the technique disclosed in Patent Document 1, the packet transmitted by the unauthorized terminal reaches the unauthorized connection prevention device, and the packet transmitted by the unauthorized terminal does not reach the terminal intended by the unauthorized terminal. However, a packet sent to a normal terminal based on the spoofed MAC address may be received by an unauthorized terminal.

特に、ＦＤＢ（Ｆｉｌｔｅｒｉｎｇ ＤａｔａＢａｓｅ）テーブルを用いてパケットを中継するネットワーク装置に、正常な端末が接続された後、不正な端末が接続されると、正常な端末のＭＡＣアドレスと不正な端末のＭＡＣアドレスは同じＭＡＣアドレスであるため、ＦＤＢテーブルの正常な端末の情報が不正な端末の情報で上書きされ、ネットワーク装置は不正な端末へパケットを中継してしまう可能性がある。 In particular, if a normal terminal is connected to a network device that relays packets using the FDB (Filtering DataBase) table and then an unauthorized terminal is connected, the MAC address of the normal terminal and the MAC address of the invalid terminal Since is the same MAC address, the information of a normal terminal in the FDB table may be overwritten with the information of an invalid terminal, and the network device may relay the packet to the invalid terminal.

本発明は、ネットワーク装置を経由した不正な端末によるパケットの受信も防止することを目的とする。 An object of the present invention is to prevent a packet from being received by an unauthorized terminal via a network device.

本発明は、上述の課題を解決するためになされたものであり、本発明に係る代表的なネットワーク装置は、複数のポートを有し、前記複数のポート間でパケットを中継するネットワーク装置であって、前記複数のポートの中の第１のポートで受信したパケットの送信元のＭＡＣアドレスを前記第１のポートに依存した第１のＭＡＣアドレスに変換し、前記複数のポートの中の第２のポートで受信したパケットの送信元のＭＡＣアドレスを前記第２のポートに依存した第２のＭＡＣアドレスに変換する生成部と、前記複数のポートのいずれかのポートで受信したパケットの宛先のＭＡＣアドレスを前記第１のＭＡＣアドレスあるいは前記第２のＭＡＣアドレスに変換するための検知部と、前記第１のＭＡＣアドレスあるいは前記第２のＭＡＣアドレスに基づいて前記複数のポートの中から、受信したパケットの送信ポートを特定するための転送制御部と、を備えたことを特徴とする。 The present invention has been made to solve the above-mentioned problems, and a typical network device according to the present invention is a network device having a plurality of ports and relaying packets between the plurality of ports. Then, the MAC address of the source of the packet received by the first port among the plurality of ports is converted into the first MAC address depending on the first port, and the second among the plurality of ports. The generator that converts the source MAC address of the packet received on the port of the above to the second MAC address that depends on the second port, and the MAC of the destination of the packet received on any of the plurality of ports. Received from the detection unit for converting the address to the first MAC address or the second MAC address, and the plurality of ports based on the first MAC address or the second MAC address. It is characterized by having a forwarding control unit for specifying a packet transmission port.

本発明によれば、ネットワーク装置を経由した不正な端末によるパケットの受信も防止することが可能になる。 According to the present invention, it is possible to prevent a packet from being received by an unauthorized terminal via a network device.

ネットワーク構成の例を示す図である。It is a figure which shows the example of the network configuration. ネットワーク装置の内部構造の例を示す図である。It is a figure which shows the example of the internal structure of a network device. 端末を交換したネットワーク構成の例を示す図である。It is a figure which shows the example of the network configuration which exchanged the terminal. コンフィグレーションテーブルの例を示す図である。It is a figure which shows the example of the configuration table. ＦＤＢテーブルの例を示す図である。It is a figure which shows the example of the FDB table. 不正端末管理テーブルの例を示す図である。It is a figure which shows the example of the fraudulent terminal management table. 不正端末が接続されたネットワーク構成の例を示す図である。It is a figure which shows the example of the network configuration to which the unauthorized terminal is connected. 不正端末接続後のＦＤＢテーブルの例を示す図である。It is a figure which shows the example of the FDB table after an unauthorized terminal connection. 不正端末接続後の不正端末管理テーブルの例を示す図である。It is a figure which shows the example of the unauthorized terminal management table after the unauthorized terminal connection. 不正端末が通信するネットワーク構成の例を示す図である。It is a figure which shows the example of the network configuration in which an unauthorized terminal communicates. 不正端末が遮断されたネットワーク構成の例を示す図である。It is a figure which shows the example of the network configuration in which an unauthorized terminal is blocked.

以下、本発明の実施の形態を実施例として説明する。 Hereinafter, embodiments of the present invention will be described as examples.

図１は、ネットワーク構成の例を示す図である。ネットワーク装置１００は、パケットを転送（中継）するネットワーク装置であって、ポート１０３より回線５０３を介してサーバ端末３００のポート３０１に接続されている。そして、ネットワーク装置１００とサーバ端末３００がネットワークを構成し、このネットワークに端末が接続される。 FIG. 1 is a diagram showing an example of a network configuration. The network device 100 is a network device that forwards (relays) packets, and is connected to port 301 of the server terminal 300 from port 103 via line 503. Then, the network device 100 and the server terminal 300 form a network, and the terminal is connected to this network.

ここで、このネットワークに接続することが許可されている端末を正常端末と記述する。この許可は何らかの仕様などによって規定されていてもよい。また、後で説明するようにネットワーク装置１００が正常端末の接続であるか否かに応じて動作を変更するという点において、ネットワーク装置１００は不正端末監視装置であるとも言える。 Here, a terminal that is permitted to connect to this network is described as a normal terminal. This permission may be specified by some specifications or the like. Further, as will be described later, it can be said that the network device 100 is an unauthorized terminal monitoring device in that the operation is changed depending on whether or not the network device 100 is connected to a normal terminal.

ネットワークに端末が接続されている状態として、ネットワーク装置１００は、ポート１０１より回線５０１を介して正常端末２１０のポート２１１に接続され、ポート１０２より回線５０２を介して正常端末２２０のポート２２１に接続されている。 Assuming that the terminal is connected to the network, the network device 100 is connected to the port 211 of the normal terminal 210 from the port 101 via the line 501, and is connected to the port 221 of the normal terminal 220 from the port 102 via the line 502. Has been done.

以上のような接続により、正常端末２１０は、ネットワーク装置１００を介したパケット１１、パケット１２を用いてサーバ端末３００と通信を行い、正常端末２２０は、ネットワーク装置１００を介したパケット２１、パケット２２を用いてサーバ端末３００と通信を行う。 Through the above connection, the normal terminal 210 communicates with the server terminal 300 using the packet 11 and the packet 12 via the network device 100, and the normal terminal 220 communicates with the packet 21 and the packet 22 via the network device 100. Is used to communicate with the server terminal 300.

なお、正常端末２１０と正常端末２２０もネットワークに含めて、ネットワーク装置１００、正常端末２１０、正常端末２２０、およびサーバ端末３００がネットワークシステムであってもよい。 The normal terminal 210 and the normal terminal 220 may be included in the network, and the network device 100, the normal terminal 210, the normal terminal 220, and the server terminal 300 may be a network system.

図２は、ネットワーク装置１００の内部構造の例を示す図である。ＦＤＢ用ＭＡＣアドレス生成部１０００は、ＦＤＢテーブルに登録するＭＡＣアドレスの生成処理を行い、コンフィグレーションテーブル５１００を管理する。コンフィグレーションテーブル５１００については、図４を用いて後で説明する。 FIG. 2 is a diagram showing an example of the internal structure of the network device 100. The FDB MAC address generation unit 1000 performs a MAC address generation process to be registered in the FDB table, and manages the configuration table 5100. The configuration table 5100 will be described later with reference to FIG.

転送制御部２０００は、パケットの転送処理、ＭＡＣアドレスの学習処理を行い、ＦＤＢテーブル５２００を管理する。ＦＤＢテーブル５２００については、図５と図８を用いて後で説明する。 The transfer control unit 2000 performs packet transfer processing and MAC address learning processing, and manages the FDB table 5200. The FDB table 5200 will be described later with reference to FIGS. 5 and 8.

ＭＡＣ重複検知部３０００は、ＡＲＰの応答のパケットなどネットワーク装置１００に接続された端末宛のパケットを監視し、不正端末管理テーブル５３００を管理する。不正端末管理テーブル５３００については、図６と図９を用いて後で説明する。 The MAC duplication detection unit 3000 monitors packets addressed to terminals connected to the network device 100, such as ARP response packets, and manages the unauthorized terminal management table 5300. The unauthorized terminal management table 5300 will be described later with reference to FIGS. 6 and 9.

ポート状態制御部４０００は、ポート１０１、ポート１０２、およびポート１０３の各ポートの状態を制御し、各ポートのリンクアップあるいはリンクダウンの処理を行う。メモリ５０００は、コンフィグレーションテーブル５１００、ＦＤＢテーブル５２００、不正端末管理テーブル５３００が格納されている。 The port state control unit 4000 controls the state of each port of port 101, port 102, and port 103, and performs link-up or link-down processing of each port. The memory 5000 stores a configuration table 5100, an FDB table 5200, and an unauthorized terminal management table 5300.

ネットワーク装置１００のハードウェアは、一般的なネットワーク装置のハードウェアであってもよい。このため、例えば、ネットワーク装置１００は図示を省略したプロセッサを備え、メモリ５０００に格納されたプログラムを実行するプロセッサが、ＦＤＢ用ＭＡＣアドレス生成部１０００、転送制御部２０００、ＭＡＣ重複検知部３０００、およびポート状態制御部４０００になってもよい。 The hardware of the network device 100 may be the hardware of a general network device. Therefore, for example, the network device 100 includes a processor (not shown), and the processor that executes the program stored in the memory 5000 includes a MAC address generation unit 1000 for FDB, a transfer control unit 2000, a MAC duplication detection unit 3000, and a processor. It may become the port state control unit 4000.

一般的なネットワーク装置を変更してネットワーク装置１００としてもよく、転送制御部２０００とＦＤＢテーブル５２００は一般的なネットワーク装置のものをそのまま利用し、ポート状態制御部４０００は一般的なネットワーク装置のものを後で説明する動作も含むように変更してもよい。 The general network device may be changed to the network device 100, the transfer control unit 2000 and the FDB table 5200 use the general network device as they are, and the port state control unit 4000 is the general network device. May be modified to include the behavior described later.

また、一般的なネットワーク装置に、ＦＤＢ用ＭＡＣアドレス生成部１０００、ＭＡＣ重複検知部３０００、コンフィグレーションテーブル５１００、および不正端末管理テーブル５３００を新たに追加してもよい。 Further, a MAC address generation unit 1000 for FDB, a MAC duplication detection unit 3000, a configuration table 5100, and an unauthorized terminal management table 5300 may be newly added to a general network device.

図３は、端末を交換したネットワーク構成の例を示す図である。交換により新たに接続する端末は、ネットワークに接続することを許可されていない端末であり、このような端末を不正端末と記述する。すなわち、図１を用いて説明したネットワーク構成において、正常端末２２０に代わり不正端末２３０が接続される直前の状態である。 FIG. 3 is a diagram showing an example of a network configuration in which terminals are exchanged. A terminal newly connected by exchange is a terminal that is not permitted to connect to the network, and such a terminal is described as an unauthorized terminal. That is, in the network configuration described with reference to FIG. 1, it is a state immediately before the unauthorized terminal 230 is connected instead of the normal terminal 220.

ネットワーク装置１００は、ポート１０２より回線５０２を介して不正端末２３０のポート２３１に物理的に接続されている。不正端末２３０がネットワークに接続される直前の状態を示すことから、回線５０２はリンクダウンしており、物理的に接続されてリンクダウンした回線５０２を破線で表している。 The network device 100 is physically connected to the port 231 of the unauthorized terminal 230 from the port 102 via the line 502. Since the state immediately before the unauthorized terminal 230 is connected to the network is shown, the line 502 is linked down, and the physically connected and linked down line 502 is represented by a broken line.

なお、特に物理的に接続とは記述せず、単に接続と記述する場合の接続は、物理的に接続されてリンクアップし、通信の可能な状態あるいは通信している状態を表すとする。また、不正端末２３０以外は、図１を用いて説明したとおりであるので、図１と同じ符号を用いて説明を省略する。 It should be noted that the connection, which is not specifically described as a physical connection but is simply described as a connection, is physically connected and linked up, and represents a state in which communication is possible or a state in which communication is being performed. Further, since the description is as described with reference to FIG. 1 except for the unauthorized terminal 230, the description will be omitted using the same reference numerals as those in FIG.

以下では、正常端末２１０がサーバ端末３００宛に送信するパケット１１、およびサーバ端末３００が正常端末２１０宛に送信するパケット１２について、図４から図６を用いて説明し、不正端末２３０の遮断について、図７から図１１を用いて説明する。 In the following, the packet 11 transmitted by the normal terminal 210 to the server terminal 300 and the packet 12 transmitted by the server terminal 300 to the normal terminal 210 will be described with reference to FIGS. 4 to 6, and the blocking of the unauthorized terminal 230 will be described. , FIGS. 7 to 11 will be described.

図４はコンフィグレーションテーブル５１００の例を示す図である。コンフィグレーションテーブル５１００は、ポート番号５１１０と不正端末監視の実行状態５１２０の要素を持つテーブルである。 FIG. 4 is a diagram showing an example of the configuration table 5100. The configuration table 5100 is a table having elements of the port number 5110 and the execution state 5120 of unauthorized terminal monitoring.

ポート番号５１１０は、ネットワーク装置１００がイーサネット（登録商標）を収容するポートを登録する要素であり、図３に示したポート１０１、ポート１０２、およびポート１０３のそれぞれに対応して「Ｐ１０１」、「Ｐ１０２」、および「Ｐ１０３」が登録されている。 The port number 5110 is an element for registering a port in which the network device 100 accommodates Ethernet (registered trademark), and corresponds to each of the port 101, the port 102, and the port 103 shown in FIG. "P102" and "P103" are registered.

不正端末監視の実行状態５１２０は、ポート単位に不正端末監視機能の実行状態を登録する要素である。「Ｐ１０１」と「Ｐ１０２」のポート１０１とポート１０２については端末を接続するポートであり、不正端末監視機能が「有効」として登録されている。「Ｐ１０３」のポート１０３についてはサーバ端末３００に接続するポートであり、不正端末監視機能が「無効」として登録されている。 The unauthorized terminal monitoring execution state 5120 is an element for registering the execution state of the unauthorized terminal monitoring function for each port. The ports 101 and 102 of "P101" and "P102" are ports for connecting terminals, and the unauthorized terminal monitoring function is registered as "valid". The port 103 of "P103" is a port connected to the server terminal 300, and the unauthorized terminal monitoring function is registered as "invalid".

図５はＦＤＢテーブル５２００の例を示す図である。ＦＤＢテーブル５２００は、ＶＬＡＮ ＩＤ５２１０、ポート番号５２２０、およびＭＡＣアドレス５２３０の要素を持つ。なお、図３に示す各端末は、パケット通信用のＶＬＡＮ（Ｖｉｒｔｕａｌ ＬＡＮ）としてＶＬＡＮ ＩＤが「１」のＶＬＡＮにより通信を行っているものとする。 FIG. 5 is a diagram showing an example of the FDB table 5200. The FDB table 5200 has elements of VLAN ID 5210, port number 5220, and MAC address 5230. It is assumed that each terminal shown in FIG. 3 communicates with a VLAN having a VLAN ID of "1" as a VLAN (Virtual LAN) for packet communication.

このため、ＶＬＡＮ ＩＤ５２１０はパケットの通信に使用しているＶＬＡＮ ＩＤが登録される。図５の例では、ＶＬＡＮ ＩＤが「１」を使用した例を記載しているが、他のＶＬＡＮ ＩＤを使用されてもよい。 Therefore, the VLAN ID used for packet communication is registered in the VLAN ID 5210. In the example of FIG. 5, an example in which the VLAN ID is “1” is described, but other VLAN IDs may be used.

ポート番号５２２０はパケットを受信したポートのポート番号が登録される。このポート番号は図４に示したポート番号５１１０のポート番号と対応する。ＭＡＣアドレス５２３０は受信したパケットの送信元ＭＡＣアドレスが登録される。 As the port number 5220, the port number of the port that received the packet is registered. This port number corresponds to the port number of port number 5110 shown in FIG. As the MAC address 5230, the source MAC address of the received packet is registered.

ＦＤＢテーブル５２００の登録処理を図３も参照しながら説明する。ネットワーク装置１００の転送制御部２０００は、正常端末２１０が送信するパケット１１をポート１０１で受信すると、ポート１０１のポート番号である「Ｐ１０１」と正常端末２１０のＭＡＣアドレスである「Ｍ２１０」をＦＤＢテーブル５２００へ登録する（この状態の図示は省略）。 The registration process of the FDB table 5200 will be described with reference to FIG. When the transfer control unit 2000 of the network device 100 receives the packet 11 transmitted by the normal terminal 210 on the port 101, it sets the port number “P101” of the port 101 and the MAC address “M210” of the normal terminal 210 in the FDB table. Register to 5200 (not shown in this state).

ネットワーク装置１００のＦＤＢ用ＭＡＣアドレス生成部１０００は、ＦＤＢテーブル５２００への登録を監視して登録が発生すると、登録されたポート番号に基づいて、図４に示すコンフィグレーションテーブル５１００を参照する。 When the registration to the FDB table 5200 is monitored and the registration occurs, the FDB MAC address generation unit 1000 of the network device 100 refers to the configuration table 5100 shown in FIG. 4 based on the registered port number.

ＦＤＢ用ＭＡＣアドレス生成部１０００は、登録されたポート番号の「Ｐ１０１」すなわちポート１０１の不正端末監視の実行状態５１２０が「有効」であると判定すると、ＭＡＣアドレス５２３０の「Ｍ２１０」にポート１０１の識別子を加味したＭＡＣアドレス「Ｍ２１０ａ」に変換する。そして、ＦＤＢテーブル５２００のＭＡＣアドレス５２３０には、変換後のＭＡＣアドレスである「Ｍ２１０ａ」が上書きされる。 When the FDB MAC address generator 1000 determines that the registered port number "P101", that is, the execution state 5120 of the unauthorized terminal monitoring of the port 101 is "valid", the MAC address 5230 "M210" of the port 101 Convert to the MAC address "M210a" with the identifier added. Then, the MAC address 5230 of the FDB table 5200 is overwritten with the converted MAC address "M210a".

ＭＡＣアドレスの変換前の「Ｍ２１０」と変換後の「Ｍ２１０ａ」の対応は、不正端末管理テーブル５３００で管理される。不正端末管理テーブル５３００については、図６を用いて後で説明する。 The correspondence between the "M210" before the conversion of the MAC address and the "M210a" after the conversion is managed by the unauthorized terminal management table 5300. The unauthorized terminal management table 5300 will be described later with reference to FIG.

ネットワーク装置１００の転送制御部２０００は、サーバ端末３００が送信するパケット１２をポート１０３で受信すると、ポート１０３のポート番号である「Ｐ１０３」とサーバ端末３００のＭＡＣアドレスである「Ｍ３００」をＦＤＢテーブル５２００へ登録する。 When the transfer control unit 2000 of the network device 100 receives the packet 12 transmitted by the server terminal 300 on the port 103, the FDB table displays the port number “P103” of the port 103 and the MAC address “M300” of the server terminal 300. Register to 5200.

ネットワーク装置１００のＦＤＢ用ＭＡＣアドレス生成部１０００は、ＦＤＢテーブル５２００への登録を監視して登録が発生すると、登録されたポート番号に基づいて、図４に示すコンフィグレーションテーブル５１００を参照する。 When the registration to the FDB table 5200 is monitored and the registration occurs, the FDB MAC address generation unit 1000 of the network device 100 refers to the configuration table 5100 shown in FIG. 4 based on the registered port number.

ＦＤＢ用ＭＡＣアドレス生成部１０００は、登録されたポート番号の「Ｐ１０３」すなわちポート１０３の不正端末監視の実行状態５１２０が「無効」であると判定すると、ＭＡＣアドレスを変換せず、ＦＤＢテーブル５２００に上書きしない（変換と上書きをスキップする）。 When the FDB MAC address generation unit 1000 determines that the registered port number "P103", that is, the execution state 5120 of the unauthorized terminal monitoring of the port 103 is "invalid", the MAC address is not converted and the FDB table 5200 is displayed. Do not overwrite (skip conversions and overwrites).

図６は不正端末管理テーブル５３００の例を示す図である。不正端末管理テーブル５３００は、ＭＡＣアドレス５３１０、変換ＭＡＣアドレス５３２０、および登録数５３３０の要素を持つ。ＭＡＣアドレス５３１０は、ネットワーク装置１００が受信したパケットのＭＡＣアドレスが登録される。 FIG. 6 is a diagram showing an example of the unauthorized terminal management table 5300. The fraudulent terminal management table 5300 has elements of a MAC address 5310, a translated MAC address 5320, and a registration number 5330. As the MAC address 5310, the MAC address of the packet received by the network device 100 is registered.

変換ＭＡＣアドレス５３２０は、ＦＤＢ用ＭＡＣアドレス生成部１０００により変換された後のＭＡＣアドレスが登録され、登録数５３３０は、変換ＭＡＣアドレス５３２０に登録されたＭＡＣアドレスの個数が登録される。登録数５３３０は設けられずに、変換ＭＡＣアドレス５３２０の内容がＭＡＣアドレスであるか否かがカウントされてもよい。 For the converted MAC address 5320, the MAC address after being converted by the FDB MAC address generation unit 1000 is registered, and for the registered number 5330, the number of MAC addresses registered in the converted MAC address 5320 is registered. The number of registrations 5330 may not be provided, and it may be counted whether or not the content of the converted MAC address 5320 is a MAC address.

図５を用いて説明したように、ネットワーク装置１００は、正常端末２１０が送信するパケット１１を受信すると、ＭＡＣアドレス５３１０に「Ｍ２１０」が登録され、変換ＭＡＣアドレス５３２０に「Ｍ２１０ａ」が登録されて、登録数５３３０が「１」となる。なお、変換ＭＡＣアドレス５３２０に複数のＭＡＣアドレスを登録する処理については図９を用いて説明する。 As described with reference to FIG. 5, when the network device 100 receives the packet 11 transmitted by the normal terminal 210, "M210" is registered in the MAC address 5310 and "M210a" is registered in the converted MAC address 5320. , The number of registrations 5330 becomes "1". The process of registering a plurality of MAC addresses in the converted MAC address 5320 will be described with reference to FIG.

不正端末管理テーブル５３００を使用する処理を図３も参照しながら説明する。サーバ端末３００が正常端末２１０宛に送信するパケット１２はパケットの宛先ＭＡＣアドレスに正常端末２１０のＭＡＣアドレスである「Ｍ２１０」が格納されている。ＭＡＣ重複検知部３０００は、パケット１２を受信すると宛先ＭＡＣアドレスである「Ｍ２１０」が不正端末管理テーブル５３００のＭＡＣアドレス５３１０に登録されているか検索する。 The process of using the unauthorized terminal management table 5300 will be described with reference to FIG. In the packet 12 transmitted by the server terminal 300 to the normal terminal 210, "M210", which is the MAC address of the normal terminal 210, is stored in the destination MAC address of the packet. When the MAC duplication detection unit 3000 receives the packet 12, it searches whether the destination MAC address "M210" is registered in the MAC address 5310 of the unauthorized terminal management table 5300.

図６に示すように不正端末管理テーブル５３００のＭＡＣアドレス５３１０に「Ｍ２１０」が登録されている場合、「Ｍ２１０」に対応する変換ＭＡＣアドレス５３２０に登録されているＭＡＣアドレスが１個であることを検知すると、重複はないため、変換ＭＡＣアドレス５３２０の「Ｍ２１０ａ」を取得して、宛先ＭＡＣアドレスの「Ｍ２１０」を「Ｍ２１０ａ」に置き換える。 As shown in FIG. 6, when "M210" is registered in the MAC address 5310 of the unauthorized terminal management table 5300, it is determined that there is only one MAC address registered in the converted MAC address 5320 corresponding to "M210". If it is detected, there is no duplication, so the conversion MAC address 5320 "M210a" is acquired and the destination MAC address "M210" is replaced with "M210a".

ここで、ＭＡＣ重複検知部３０００による「Ｍ２１０ａ」の取得は、「Ｍ２１０」に対応する変換ＭＡＣアドレス５３２０の最初に登録された（変換後の）ＭＡＣアドレス、例えば変換ＭＡＣアドレス５３２０のテーブルとしての最初の欄の（変換後の）ＭＡＣアドレスの取得であってもよい。 Here, the acquisition of "M210a" by the MAC duplication detection unit 3000 is the first as a table of the MAC address (after conversion) registered at the beginning of the converted MAC address 5320 corresponding to "M210", for example, the converted MAC address 5320. It may be the acquisition of the MAC address (after conversion) in the column of.

このために、変換ＭＡＣアドレス５３２０への登録の時点で登録数５３３０が「０」の場合、変換ＭＡＣアドレス５３２０のテーブルとしての最初の欄に（変換後の）ＭＡＣアドレスが登録されてもよい。 Therefore, if the number of registrations 5330 is "0" at the time of registration to the converted MAC address 5320, the (converted) MAC address may be registered in the first column of the converted MAC address 5320 table.

そして、転送制御部２０００は、置き換えられた「Ｍ２１０ａ」をキーワードとして、ＦＤＢテーブル５２００のＭＡＣアドレス５２３０を検索する。図５に示すようにＦＤＢテーブル５２００にはＭＡＣアドレス５２３０の「Ｍ２１０ａ」がポート番号５２２０の「Ｐ１０１」すなわちポート１０１で登録されており、ネットワーク装置１００はパケット１２をポート１０１から送信する。 Then, the transfer control unit 2000 searches for the MAC address 5230 of the FDB table 5200 using the replaced "M210a" as a keyword. As shown in FIG. 5, in the FDB table 5200, the “M210a” of the MAC address 5230 is registered in the “P101” of the port number 5220, that is, the port 101, and the network device 100 transmits the packet 12 from the port 101.

図７は、不正端末が接続されたネットワーク構成の例を示す図である。図３で説明したネットワーク構成において、不正端末２３０がネットワークに接続した直後の状態、すなわち回線５０２がリンクアップすると、不正端末２３０は通信を開始するためにパケット３１を送信する。ここで、パケット３１はＡＲＰパケットであることが一般的であるが、ＡＲＰパケット以外のパケットでもよい。 FIG. 7 is a diagram showing an example of a network configuration to which an unauthorized terminal is connected. In the network configuration described with reference to FIG. 3, when the unauthorized terminal 230 is immediately connected to the network, that is, when the line 502 is linked up, the unauthorized terminal 230 transmits a packet 31 to start communication. Here, the packet 31 is generally an ARP packet, but a packet other than the ARP packet may be used.

また、不正端末２３０は、正常端末２１０と同じＭＡＣアドレスになりすました端末であり、不正端末２３０のＭＡＣアドレスである「Ｍ２１０」は、正常端末２１０のＭＡＣアドレスである「Ｍ２１０」と同一のＭＡＣアドレスである。 Further, the unauthorized terminal 230 is a terminal impersonating the same MAC address as the normal terminal 210, and the MAC address "M210" of the unauthorized terminal 230 is the same MAC address as the MAC address "M210" of the normal terminal 210. Is.

なお、不正端末２３０の通信以外は、図１および図３を用いて説明したとおりであるので、図１および図３と同じ符号を用いて説明を省略する。 Since the explanation is as described with reference to FIGS. 1 and 3 except for the communication of the unauthorized terminal 230, the description will be omitted using the same reference numerals as those of FIGS. 1 and 3.

以下では、不正端末２３０が送信するパケット３１について、図８と図９を用いて説明する。 Hereinafter, the packet 31 transmitted by the unauthorized terminal 230 will be described with reference to FIGS. 8 and 9.

図８は、不正端末接続後のＦＤＢテーブル５２００の例を示す図である。図５に示したＦＤＢテーブル５２００と同じ要素、同じ符号、あるいは同じ値は、図５を用いた説明と同じ説明であるので、説明を省略する。 FIG. 8 is a diagram showing an example of the FDB table 5200 after connecting to an unauthorized terminal. The same elements, the same reference numerals, or the same values as those of the FDB table 5200 shown in FIG. 5 have the same description as the description using FIG. 5, and therefore the description thereof will be omitted.

ネットワーク装置１００の転送制御部２０００は、不正端末２３０が送信するパケット３１をポート１０２で受信すると、ポート１０２のポート番号である「Ｐ１０２」と不正端末２３０のＭＡＣアドレスである「Ｍ２１０」をＦＤＢテーブル５２００へ登録する（この状態の図示は省略）。 When the transfer control unit 2000 of the network device 100 receives the packet 31 transmitted by the unauthorized terminal 230 on the port 102, the FDB table displays the port number “P102” of the port 102 and the MAC address “M210” of the unauthorized terminal 230. Register to 5200 (not shown in this state).

ネットワーク装置１００のＦＤＢ用ＭＡＣアドレス生成部１０００は、ＦＤＢテーブル５２００への登録を監視して登録が発生すると、登録されたポート番号に基づいて、図４に示すコンフィグレーションテーブル５１００を参照する。 When the registration to the FDB table 5200 is monitored and the registration occurs, the FDB MAC address generation unit 1000 of the network device 100 refers to the configuration table 5100 shown in FIG. 4 based on the registered port number.

ＦＤＢ用ＭＡＣアドレス生成部１０００は、登録されたポート番号の「Ｐ１０２」すなわちポート１０２の不正端末監視の実行状態５１２０が「有効」であると判定すると、ＭＡＣアドレス５２３０の「Ｍ２１０」にポート１０２の識別子を加味したＭＡＣアドレス「Ｍ２１０ｂ」に変換する。そして、ＦＤＢテーブル５２００のＭＡＣアドレス５２３０には、変換後のＭＡＣアドレスである「Ｍ２１０ｂ」が上書きされる。 When the FDB MAC address generator 1000 determines that the registered port number "P102", that is, the execution state 5120 of the unauthorized terminal monitoring of the port 102 is "valid", the MAC address 5230 "M210" of the port 102 Convert to the MAC address "M210b" with the identifier added. Then, the MAC address 5230 of the FDB table 5200 is overwritten with the converted MAC address "M210b".

ＭＡＣアドレスの変換前の「Ｍ２１０」と変換後の「Ｍ２１０ｂ」の対応は、不正端末管理テーブル５３００で管理される。この場合の不正端末管理テーブル５３００については、図９を用いて後で説明する。 The correspondence between "M210" before the conversion of the MAC address and "M210b" after the conversion is managed by the unauthorized terminal management table 5300. The unauthorized terminal management table 5300 in this case will be described later with reference to FIG.

図７で説明したように、不正端末２３０のＭＡＣアドレスである「Ｍ２１０」は、正常端末２１０のＭＡＣアドレスである「Ｍ２１０」と同一のＭＡＣアドレスであるが、ポートの識別子を加味したＭＡＣアドレスに変換することにより、ＦＤＢテーブル５２００のＭＡＣアドレス５２３０に登録された「Ｍ２１０ａ」と「Ｍ２１０ｂ」は異なるＭＡＣアドレスとなる。 As described with reference to FIG. 7, the MAC address “M210” of the unauthorized terminal 230 is the same MAC address as the MAC address “M210” of the normal terminal 210, but the MAC address is added to the port identifier. By the conversion, "M210a" and "M210b" registered in the MAC address 5230 of the FDB table 5200 become different MAC addresses.

これにより、一般的な従来のＦＤＢテーブルの処理として、ＦＤＢテーブル５２００のポート番号５２２０の「Ｐ１０１」に対応するＭＡＣアドレス５２３０へ「Ｍ２１０」が登録され、その後、ポート番号５２２０の「Ｐ１０２」に対応するＭＡＣアドレス５２３０へ「Ｍ２１０」が登録されることにより、「Ｍ２１０」が「Ｐ１０１」から「Ｐ１０２」へ移動することが防止される。 As a result, as a general conventional FDB table process, "M210" is registered in the MAC address 5230 corresponding to "P101" of port number 5220 of FDB table 5200, and then "P102" of port number 5220 is supported. By registering "M210" to the MAC address 5230, it is possible to prevent "M210" from moving from "P101" to "P102".

すなわち、ポート１０１に接続された正常端末２１０宛に、サーバ端末３００により送信されたパケット１２が、ＦＤＢテーブル５２００に基づいてポート１０２に接続された不正端末２３０に送信されることが防止される。 That is, the packet 12 transmitted by the server terminal 300 to the normal terminal 210 connected to the port 101 is prevented from being transmitted to the unauthorized terminal 230 connected to the port 102 based on the FDB table 5200.

図９は、不正端末接続後の不正端末管理テーブル５３００の例を示す図である。図６に示した不正端末管理テーブル５３００と同じ要素、同じ符号、あるいは同じ値は、図６を用いた説明と同じ説明であるので、説明を省略する。 FIG. 9 is a diagram showing an example of the unauthorized terminal management table 5300 after the unauthorized terminal is connected. Since the same elements, the same codes, or the same values as those of the unauthorized terminal management table 5300 shown in FIG. 6 are the same as the explanations using FIG. 6, the description thereof will be omitted.

図８を用いて説明したように、ネットワーク装置１００は、不正端末２３０が送信するパケット３１を受信すると、ＭＡＣアドレス５３１０に「Ｍ２１０」を、変換ＭＡＣアドレス５３２０に「Ｍ２１０ｂ」を登録する。 As described with reference to FIG. 8, when the network device 100 receives the packet 31 transmitted by the unauthorized terminal 230, it registers "M210" in the MAC address 5310 and "M210b" in the converted MAC address 5320.

ここで、ＭＡＣアドレス５３１０には同一の「Ｍ２１０」が既に登録されているため、変換後のＭＡＣアドレスである「Ｍ２１０ｂ」は、登録済の「Ｍ２１０」に対応する２個目の変換ＭＡＣアドレスとして、不正端末管理テーブル５３００に登録され、登録数５３３０が「２」に更新される。２個目の変換ＭＡＣアドレスであることは、登録数５３３０の値から判定されてもよい。 Here, since the same "M210" is already registered in the MAC address 5310, the converted MAC address "M210b" is used as the second converted MAC address corresponding to the registered "M210". , Is registered in the unauthorized terminal management table 5300, and the number of registrations 5330 is updated to "2". It may be determined from the value of the registered number 5330 that it is the second converted MAC address.

図１０は、不正端末が通信するネットワーク構成の例を示す図である。図７で説明したネットワーク構成において、不正端末２３０が通信を開始するために送信したパケット３１の応答のパケット３２をネットワーク装置１００がポート１０３で受信した状態である。 FIG. 10 is a diagram showing an example of a network configuration in which an unauthorized terminal communicates. In the network configuration described with reference to FIG. 7, the network device 100 receives the packet 32 in response to the packet 31 transmitted by the unauthorized terminal 230 to start communication on the port 103.

ここで、パケット３１はＡＲＰパケットであり、パケット３２はＡＲＰの応答のパケットであることが一般的であるが、ＡＲＰに関するパケット以外のパケットであってもよい。 Here, the packet 31 is generally an ARP packet, and the packet 32 is generally a packet for an ARP response, but it may be a packet other than a packet related to ARP.

ネットワーク装置１００はパケット３２を受信すると、ＭＡＣ重複検知部３０００により、パケット３２の宛先ＭＡＣアドレスで、不正端末管理テーブル５３００のＭＡＣアドレス５３１０に登録されたＭＡＣアドレスが検索される。 When the network device 100 receives the packet 32, the MAC duplication detection unit 3000 searches for the MAC address registered in the MAC address 5310 of the unauthorized terminal management table 5300 with the destination MAC address of the packet 32.

パケット３２の宛先ＭＡＣアドレスは不正端末２３０のＭＡＣアドレスである「Ｍ２１０」であるが、正常端末２１０のＭＡＣアドレスである「Ｍ２１０」と同一のＭＡＣアドレスである場合、図９に示すようにＭＡＣアドレス５３１０の「Ｍ２１０」に対応する変換ＭＡＣアドレス５３２０に２個が登録されていることを検知する（登録数５３３０の「２」を検知してもよい）。 The destination MAC address of the packet 32 is "M210" which is the MAC address of the unauthorized terminal 230, but when it is the same MAC address as the MAC address "M210" of the normal terminal 210, the MAC address is as shown in FIG. It is detected that two are registered in the conversion MAC address 5320 corresponding to the "M210" of the 5310 (the "2" of the registered number 5330 may be detected).

ネットワーク装置１００は、不正端末管理テーブル５３００のＭＡＣアドレス５３１０の１個に対応する変換ＭＡＣアドレス５３２０が複数個登録されていることを検知すると、不正端末が接続されている可能性があるため、変換後ＭＡＣアドレス「Ｍ２１０ａ」と「Ｍ２１０ｂ」が不正端末の可能性がある端末とする処理を実行する。 When the network device 100 detects that a plurality of converted MAC addresses 5320 corresponding to one of the MAC addresses 5310 in the unauthorized terminal management table 5300 are registered, the unauthorized terminal may be connected, so conversion is performed. After that, the MAC addresses "M210a" and "M210b" are processed as terminals that may be unauthorized terminals.

不正端末の可能性がある端末とする処理として、ネットワーク装置１００は、パケット３２を破棄する。図１０では図示を省略したが、この処理を開始した時点以降で、正常端末２１０を宛先とするパケット１２をネットワーク装置が受信した場合、パケット１２も破棄してもよい。 The network device 100 discards the packet 32 as a process of making the terminal a possibility of an unauthorized terminal. Although not shown in FIG. 10, if the network device receives the packet 12 destined for the normal terminal 210 after the time when this process is started, the packet 12 may also be discarded.

そして、ネットワーク装置１００は、図８に示すＦＤＢテーブル５２００からＭＡＣアドレス５２３０が「Ｍ２１０ａ」と「Ｍ２１０ｂ」に対応するポート番号の「Ｐ１０１」と「Ｐ１０２」を取得し、ポート状態制御部４０００を用いてポート番号の「Ｐ１０１」と「Ｐ１０２」に対応するポート１０１とポート１０２を停止する。 Then, the network device 100 acquires the port numbers "P101" and "P102" whose MAC addresses 5230 correspond to "M210a" and "M210b" from the FDB table 5200 shown in FIG. 8, and uses the port state control unit 4000. The port 101 and the port 102 corresponding to the port numbers "P101" and "P102" are stopped.

図１１は、停止後のネットワーク構成の例を示す図である。図１０を用いて説明したネットワーク構成において、ポート１０１とポート１０２を停止した後の状態である。ポート１０１とポート１０２の停止により、物理的には接続されているものの、回線５０１と回線５０２がリンクダウンし、正常端末２１０と不正端末２３０がネットワークから遮断される。 FIG. 11 is a diagram showing an example of the network configuration after the stoppage. In the network configuration described with reference to FIG. 10, it is a state after the port 101 and the port 102 are stopped. Due to the suspension of port 101 and port 102, although physically connected, the line 501 and the line 502 are linked down, and the normal terminal 210 and the unauthorized terminal 230 are cut off from the network.

この結果、停止後は不正端末２３０から一切パケットを受信することなく、不正端末２３０をネットワークから遮断できる。 As a result, after the stop, the unauthorized terminal 230 can be blocked from the network without receiving any packet from the unauthorized terminal 230.

以上の説明では、パケット３２の宛先ＭＡＣアドレスに基づいて不正端末２３０をネットワークから遮断したが、パケット３１をネットワーク装置１００が受信したときの動作で不正端末２３０をネットワークから遮断してもよい。 In the above description, the unauthorized terminal 230 is blocked from the network based on the destination MAC address of the packet 32, but the unauthorized terminal 230 may be blocked from the network by the operation when the network device 100 receives the packet 31.

例えば、ＦＤＢ用ＭＡＣアドレス生成部１０００は、パケット３１に対して、不正端末管理テーブル５３００の変換ＭＡＣアドレス５３２０へ「Ｍ２１０ｂ」を登録して、登録数５３３０を「２」にし、ＭＡＣ重複検知部３０００は、この登録数５３３０が「２」となる登録を検知し、ポート状態制御部４０００を用いてポート１０１とポート１０２を停止してもよい。 For example, the FDB MAC address generation unit 1000 registers "M210b" in the conversion MAC address 5320 of the unauthorized terminal management table 5300 for the packet 31, sets the registration number 5330 to "2", and sets the registration number 5330 to "2", and the MAC duplication detection unit 3000. May detect the registration in which the number of registrations 5330 is "2" and stop the port 101 and the port 102 by using the port state control unit 4000.

以上で説明したように、不正端末が正常端末のＭＡＣアドレスと同じＭＡＣアドレスになりすましても、ポートに依存して変換されたＭＡＣアドレスを用いるため、正常端末へのパケットの転送路が、不正端末の方へ変更されることはない。 As explained above, even if the malicious terminal impersonates the same MAC address as the MAC address of the normal terminal, the MAC address converted depending on the port is used, so the packet transfer path to the normal terminal is the illegal terminal. It will not be changed to.

また、不正端末へのパケットを検出すると、ポートを停止するため、この停止によっても、不正端末へパケットが届くことはない。さらに、このような不正端末監視装置としての機能を、一般的なネットワーク装置への付加機能として実現することも可能である。 Further, when a packet to an unauthorized terminal is detected, the port is stopped, so that the packet does not reach the unauthorized terminal even by this stop. Further, it is possible to realize such a function as an unauthorized terminal monitoring device as an additional function to a general network device.

１１ 正常端末からのパケット
１２ 正常端末宛のパケット
３１ 不正端末からのパケット
３２ 不正端末宛のパケット
１００ ネットワーク装置
２１０ 正常端末
２３０ 不正端末
３００ サーバ端末 11 Packets from normal terminals 12 Packets destined for normal terminals 31 Packets from fraudulent terminals 32 Packets destined for fraudulent terminals 100 Network equipment 210 Normal terminals 230 Unauthorized terminals 300 Server terminals

Claims (8)

複数のポートを有し、前記複数のポート間でパケットを中継するネットワーク装置であって、
前記複数のポートの中の第１のポートで受信したパケットの送信元のＭＡＣアドレスを前記第１のポートに依存した第１のＭＡＣアドレスに変換し、前記複数のポートの中の第２のポートで受信したパケットの送信元のＭＡＣアドレスを前記第２のポートに依存した第２のＭＡＣアドレスに変換する生成部と、
前記第１のポートで受信したパケットの送信元のＭＡＣアドレスと、前記生成部により変換された前記第１のＭＡＣアドレスとを関連付ける情報、および前記第２のポートで受信したパケットの送信元のＭＡＣアドレスと、前記生成部により変換された前記第２のＭＡＣアドレスとを関連付ける情報が格納される管理テーブルと、
前記複数のポートのいずれかのポートで受信したパケットの宛先のＭＡＣアドレスを、前記管理テーブルで検索し、受信したパケットの宛先のＭＡＣアドレスに関連付けられた前記第１のＭＡＣアドレスあるいは前記第２のＭＡＣアドレスを特定し、特定された前記第１のＭＡＣアドレスあるいは前記第２のＭＡＣアドレスに変換する検知部と、
前記第１のＭＡＣアドレスあるいは前記第２のＭＡＣアドレスに基づいて前記複数のポートの中から、受信したパケットの送信ポートを特定する転送制御部と、を有し、
前記検知部は、
前記管理テーブルにおいて、前記複数のポートのいずれかのポートで受信したパケットの宛先のＭＡＣアドレスに前記第１のＭＡＣアドレス及び前記第２のＭＡＣアドレスが関連付けられていることを検知して、前記第１のポートと前記第２のポートを停止するよう制御すること
を備えたことを特徴とするネットワーク装置。 A network device having a plurality of ports and relaying packets between the plurality of ports.
The MAC address of the source of the packet received on the first port among the plurality of ports is converted into the first MAC address depending on the first port, and the second among the plurality of ports. A generator that converts the MAC address of the source of the packet received on the port into the second MAC address that depends on the second port, and
Information that associates the MAC address of the source of the packet received in the first port with the first MAC address converted by the generator, and the MAC of the source of the packet received in the second port. A management table that stores information that associates the address with the second MAC address converted by the generator.
The MAC address of the destination of the packet received by any of the plurality of ports is searched in the management table, and the first MAC address or the second MAC address associated with the MAC address of the destination of the received packet is searched. A detector that identifies the MAC address and converts it to the identified first MAC address or the second MAC address .
It has a transfer control unit that identifies a transmission port of a received packet from the plurality of ports based on the first MAC address or the second MAC address.
The detector is
In the management table, it is detected that the first MAC address and the second MAC address are associated with the MAC address of the destination of the packet received on any of the plurality of ports, and the first MAC address is detected. A network device comprising controlling one port and the second port to be stopped. 複数のポートを有し、前記複数のポート間でパケットを中継するネットワーク装置であって、
前記複数のポートの中の第１のポートで受信したパケットの送信元のＭＡＣアドレスを前記第１のポートに依存した第１のＭＡＣアドレスに変換し、前記複数のポートの中の第２のポートで受信したパケットの送信元のＭＡＣアドレスを前記第２のポートに依存した第２のＭＡＣアドレスに変換する生成部と、
前記第１のポートで受信したパケットの送信元のＭＡＣアドレスと、前記生成部により変換された前記第１のＭＡＣアドレスとを関連付ける情報、および前記第２のポートで受信したパケットの送信元のＭＡＣアドレスと、前記生成部により変換された前記第２のＭＡＣアドレスとを関連付ける情報が格納される管理テーブルと、
前記複数のポートのいずれかのポートで受信したパケットの宛先のＭＡＣアドレスを、前記管理テーブルで検索し、受信したパケットの宛先のＭＡＣアドレスに関連付けられた前記第１のＭＡＣアドレスあるいは前記第２のＭＡＣアドレスを特定し、特定された前記第１のＭＡＣアドレスあるいは前記第２のＭＡＣアドレスに変換する検知部と、
前記第１のＭＡＣアドレスあるいは前記第２のＭＡＣアドレスに基づいて前記複数のポートの中から、受信したパケットの送信ポートを特定する転送制御部と、を有し、
前記検知部は、
前記管理テーブルにおいて、同一のＭＡＣアドレスに前記第１のＭＡＣアドレス及び前記第２のＭＡＣアドレスが関連付けられていることを検知して、前記第１のポートと前記第２のポートを停止するよう制御すること
を備えたことを特徴とするネットワーク装置。 A network device having a plurality of ports and relaying packets between the plurality of ports.
The MAC address of the source of the packet received on the first port among the plurality of ports is converted into the first MAC address depending on the first port, and the second among the plurality of ports. A generator that converts the MAC address of the source of the packet received on the port into the second MAC address that depends on the second port, and
Information that associates the MAC address of the source of the packet received in the first port with the first MAC address converted by the generator, and the MAC of the source of the packet received in the second port. A management table that stores information that associates the address with the second MAC address converted by the generator.
The MAC address of the destination of the packet received by any of the plurality of ports is searched in the management table, and the first MAC address or the second MAC address associated with the MAC address of the destination of the received packet is searched. A detector that identifies the MAC address and converts it to the identified first MAC address or the second MAC address .
It has a transfer control unit that identifies a transmission port of a received packet from the plurality of ports based on the first MAC address or the second MAC address.
The detector is
In the management table, it is detected that the first MAC address and the second MAC address are associated with the same MAC address, and control is performed to stop the first port and the second port. A network device characterized by being equipped with. 請求項１および２の何れかに記載のネットワーク装置であって、
前記第１のポートと前記生成部により変換された前記第１のＭＡＣアドレスとを関連付ける情報、および前記第２のポートと前記生成部により変換された前記第２のＭＡＣアドレスとを関連付ける情報が格納されるＦＤＢテーブルをさらに備え、
前記転送制御部は、
前記検知部により変換された前記第１のＭＡＣアドレスあるいは前記第２のＭＡＣアドレスを、前記ＦＤＢテーブルで検索し、前記第１のＭＡＣアドレスあるいは前記第２のＭＡＣアドレスに関連付けられた前記第１のポートあるいは前記第２のポートを、受信したパケットの送信ポートとして特定すること
を特徴とするネットワーク装置。 The network device according to any one of claims 1 and 2.
Information that associates the first port with the first MAC address converted by the generator, and information relating the second port to the second MAC address converted by the generator is stored. Further equipped with FDB table to be
The transfer control unit
The first MAC address or the second MAC address converted by the detection unit is searched for in the FDB table, and the first MAC address associated with the first MAC address or the second MAC address is associated with the first MAC address. A network device characterized in that a port or the second port is specified as a transmission port of a received packet. 請求項１および２の何れかに記載のネットワーク装置であって、
前記検知部は、
前記複数のポートのいずれかのポートで受信したパケットの宛先のＭＡＣアドレスを、前記管理テーブルで検索し、受信したパケットの宛先のＭＡＣアドレスに関連付けられた前記第１のＭＡＣアドレスあるいは前記第２のＭＡＣアドレスを特定し、特定された前記第１のＭＡＣアドレスあるいは前記第２のＭＡＣアドレスに変換すること
を特徴とするネットワーク装置。 The network device according to any one of claims 1 and 2.
The detector is
The MAC address of the destination of the packet received by any of the plurality of ports is searched in the management table, and the first MAC address or the second MAC address associated with the MAC address of the destination of the received packet is searched. A network device characterized in that a MAC address is specified and converted into the specified first MAC address or the second MAC address. 請求項３に記載のネットワーク装置であって、
前記複数のポートのそれぞれに第１の状態と第２の状態が設定される構成テーブルをさらに備え、
前記生成部は、
前記構成テーブルにおいて前記第１のポートが前記第１の状態であると判定すると、前記第１のポートで受信したパケットの送信元のＭＡＣアドレスを前記第１のポートに依存した第１のＭＡＣアドレスに変換し、前記構成テーブルにおいて前記第２のポートが前記第１の状態であると判定すると、前記第２のポートで受信したパケットの送信元のＭＡＣアドレスを前記第２のポートに依存した第２のＭＡＣアドレスに変換し、前記構成テーブルにおいて前記複数のポートの中の第３のポートが前記第２の状態であると判定すると、変換をスキップし、
前記ＦＤＢテーブルは、
前記第１のポートと前記生成部により変換された前記第１のＭＡＣアドレスとを関連付ける情報、前記第２のポートと前記生成部により変換された前記第２のＭＡＣアドレスとを関連付ける情報、および前記第３のポートと前記第３のポートで受信したパケットの送信元のＭＡＣアドレスとを関連付ける情報が格納されること
を特徴とするネットワーク装置。 The network device according to claim 3.
A configuration table in which the first state and the second state are set for each of the plurality of ports is further provided.
The generator is
When it is determined in the configuration table that the first port is in the first state, the MAC address of the source of the packet received by the first port is the first MAC address depending on the first port. When it is determined in the configuration table that the second port is in the first state, the MAC address of the source of the packet received by the second port depends on the second port. When it is converted to the MAC address of 2 and it is determined in the configuration table that the third port among the plurality of ports is in the second state, the conversion is skipped.
The FDB table is
Information relating the first port to the first MAC address converted by the generation unit, information relating the second port to the second MAC address converted by the generation unit, and the above. A network device characterized in that information relating to a third port and a MAC address of a source of a packet received in the third port is stored. 請求項４に記載のネットワーク装置であって、
前記検知部は、
前記複数のポートのいずれかのポートで受信したパケットの宛先のＭＡＣアドレスが、前記第１のＭＡＣアドレス及び前記第２のＭＡＣアドレスに関連付けて前記管理テーブルに格納される第３のＭＡＣアドレスであることを検知して、受信したパケットを破棄すること
を特徴とするネットワーク装置。 The network device according to claim 4.
The detector is
The MAC address of the destination of the packet received on any of the plurality of ports is the third MAC address stored in the management table in association with the first MAC address and the second MAC address. A network device characterized in that it detects that and discards the received packet. 請求項６に記載のネットワーク装置であって、
前記第１のポートと前記第２のポートで送信元が前記第３のＭＡＣアドレスのＡＲＰパケットを受信し、前記複数のポートのいずれかのポートで宛先が前記第３のＭＡＣアドレスのＡＲＰの応答のパケットを受信すること
を特徴とするネットワーク装置。 The network device according to claim 6.
The source receives the ARP packet of the third MAC address on the first port and the second port, and the destination is the ARP response of the third MAC address on any of the plurality of ports. A network device characterized by receiving a packet of. サーバと複数の端末がネットワーク装置に接続され、パケットで通信されるネットワークシステムであって、
前記複数の端末の中の第１の端末は、
前記第１の端末のＭＡＣアドレスを送信元のＭＡＣアドレスとするパケットを、前記ネットワーク装置の第１のポートへ送信し、
前記複数の端末の中の第２の端末は、
前記第２の端末のＭＡＣアドレスを送信元のＭＡＣアドレスとするパケットを、前記ネットワーク装置の第２のポートへ送信し、
前記サーバは、
前記第１の端末のＭＡＣアドレスあるいは前記第２の端末のＭＡＣアドレスを宛先のＭＡＣアドレスとするパケットを、前記ネットワーク装置の第３のポートへ送信し、
前記ネットワーク装置は、
前記複数のポートの中の第１のポートで受信したパケットの送信元のＭＡＣアドレスを前記第１のポートに依存した第１のＭＡＣアドレスに変換し、前記複数のポートの中の第２のポートで受信したパケットの送信元のＭＡＣアドレスを前記第２のポートに依存した第２のＭＡＣアドレスに変換する生成部と、
前記第１のポートで受信したパケットの送信元のＭＡＣアドレスと、前記生成部により変換された前記第１のＭＡＣアドレスとを関連付ける情報、および前記第２のポートで受信したパケットの送信元のＭＡＣアドレスと、前記生成部により変換された前記第２のＭＡＣアドレスとを関連付ける情報が格納される管理テーブルと、
前記複数のポートのいずれかのポートで受信したパケットの宛先のＭＡＣアドレスを、前記管理テーブルで検索し、受信したパケットの宛先のＭＡＣアドレスに関連付けられた前記第１のＭＡＣアドレスあるいは前記第２のＭＡＣアドレスを特定し、特定された前記第１のＭＡＣアドレスあるいは前記第２のＭＡＣアドレスに変換する検知部と、
前記第１のＭＡＣアドレスあるいは前記第２のＭＡＣアドレスに基づいて前記複数のポートの中から、受信したパケットの送信ポートを特定する転送制御部と、を有し、
前記検知部は、
前記管理テーブルにおいて、前記複数のポートのいずれかのポートで受信したパケットの宛先のＭＡＣアドレスに前記第１のＭＡＣアドレス及び前記第２のＭＡＣアドレスが関連付けられていることを検知して、前記第１のポートと前記第２のポートを停止するよう制御すること
を特徴とするネットワークシステム。 A network system in which a server and multiple terminals are connected to a network device and communicated by packets.
The first terminal among the plurality of terminals is
A packet having the MAC address of the first terminal as the source MAC address is transmitted to the first port of the network device.
The second terminal among the plurality of terminals is
A packet having the MAC address of the second terminal as the source MAC address is transmitted to the second port of the network device.
The server
A packet having the MAC address of the first terminal or the MAC address of the second terminal as the destination MAC address is transmitted to the third port of the network device.
The network device is
The MAC address of the source of the packet received by the first port among the plurality of ports is converted into the first MAC address depending on the first port, and the second port among the plurality of ports is converted. A generator that converts the MAC address of the source of the packet received in step 1 to the second MAC address that depends on the second port.
Information that associates the MAC address of the source of the packet received in the first port with the first MAC address converted by the generator, and the MAC of the source of the packet received in the second port. A management table that stores information that associates the address with the second MAC address converted by the generator.
The MAC address of the destination of the packet received by any of the plurality of ports is searched in the management table, and the first MAC address or the second MAC address associated with the MAC address of the destination of the received packet is searched. A detector that identifies the MAC address and converts it to the identified first MAC address or the second MAC address .
It has a transfer control unit that identifies a transmission port of a received packet from the plurality of ports based on the first MAC address or the second MAC address .
The detector is
In the management table, it is detected that the first MAC address and the second MAC address are associated with the MAC address of the destination of the packet received on any of the plurality of ports, and the first MAC address is detected. A network system characterized in that one port and the second port are controlled to be stopped.
JP2017235921A 2017-12-08 2017-12-08 Network equipment and network systems Active JP7042069B2 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2017235921A JP7042069B2 (en) 2017-12-08 2017-12-08 Network equipment and network systems

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2017235921A JP7042069B2 (en) 2017-12-08 2017-12-08 Network equipment and network systems

Publications (2)

Publication Number Publication Date
JP2019103103A JP2019103103A (en) 2019-06-24
JP7042069B2 true JP7042069B2 (en) 2022-03-25

Family

ID=66977253

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2017235921A Active JP7042069B2 (en) 2017-12-08 2017-12-08 Network equipment and network systems

Country Status (1)

Country Link
JP (1) JP7042069B2 (en)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7491772B2 (en) * 2020-08-19 2024-05-28 アズビル株式会社 NETWORK DEVICE AND NETWORK CONFIGURATION DETECTION METHOD

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008153905A (en) 2006-12-18 2008-07-03 Fujitsu Ltd Network relay program, network relay device, communication system and network relay method
JP2009065303A (en) 2007-09-05 2009-03-26 Nec Corp Network unit, network management system, and mac address duplication detecting method used for them

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008153905A (en) 2006-12-18 2008-07-03 Fujitsu Ltd Network relay program, network relay device, communication system and network relay method
JP2009065303A (en) 2007-09-05 2009-03-26 Nec Corp Network unit, network management system, and mac address duplication detecting method used for them

Also Published As

Publication number Publication date
JP2019103103A (en) 2019-06-24

Similar Documents

Publication Publication Date Title
US9118716B2 (en) Computer system, controller and network monitoring method
US10212160B2 (en) Preserving an authentication state by maintaining a virtual local area network (VLAN) association
JP5062967B2 (en) Network access control method and system
US7552478B2 (en) Network unauthorized access preventing system and network unauthorized access preventing apparatus
US8209529B2 (en) Authentication system, network line concentrator, authentication method and authentication program
US9154509B2 (en) Intelligent electric device and network system including the device
JP2007036374A (en) Packet transfer apparatus, communication network, and packet transfer method
JP2007006054A (en) Packet repeater and packet repeating system
EP2127309A2 (en) Method and system for restricting a node from communicating with other nodes in a broadcast domain of an ip (internet protocol) network
CN107241313B (en) Method and device for preventing MAC flooding attack
JP5134141B2 (en) Unauthorized access blocking control method
JP2008054204A (en) Connection device, terminal device, and data confirmation program
KR101064382B1 (en) Arp attack blocking system in communication network and method thereof
JP2015035724A (en) Network control device
JP7042069B2 (en) Network equipment and network systems
EP3499808B1 (en) Network device and controlling method thereof applicable for mesh networks
CN109428884B (en) Communication protection device, control method, and recording medium
JP4020134B2 (en) Switching hub device, router device
JP2019041369A (en) Communication protection device, control method, and program
JP2006067057A (en) NETWORK EQUIPMENT, Radius CLIENT, WIRED LAN AUTHENTICATION SYSTEM, AUTHENTICATION PACKET TRANSMISSION METHOD, CONTROL PROGRAM, RECORDING MEDIUM, AND SUPPLICANT
JP2018064228A (en) Packet controller
JP2018196100A (en) Virtual exchange system
US20190028436A1 (en) Apparatus and method for forwarding of data packets
JP6568495B2 (en) Unauthorized access prevention apparatus and method
JP7474554B2 (en) Equipment monitoring method, equipment monitoring device, and program

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20200423

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20210222

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20210302

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20210408

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20211005

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20211118

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20220301

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20220314

R150 Certificate of patent or registration of utility model

Ref document number: 7042069

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150