JP7264767B2 - パケット中継装置及びパケット中継システム - Google Patents

Description

本発明は、パケット中継装置及びパケット中継システムに関する。

近年、発電所などの重要インフラ内のネットワークに攻撃者が侵入し、システムの制御を奪われることがないような対策が必要となっている。重要インフラのネットワークにおいては、ファイアウォール装置及びパーソナルコンピュータ等の端末に搭載されているウィルスソフト等による防御対策は実施されている。しかし、システム制御を奪おうとする攻撃者の侵入を防ぐために、より強力な対策が必要とされる。

攻撃者に侵入された際のリスクを軽減する手法として、通信装置によるホワイトリスト機能を利用する方法がある。通信装置によるホワイトリスト機能は、ネットワーク内を流れる正規通信に含まれる正規端末情報をホワイトリスト収容が可能な通信装置に登録し、ホワイトリスト収容が可能な通信装置に登録された正規端末以外からの非正規通信を遮断することでセキュリティレベルを高める機能である。

このようなホワイトリスト機能を利用する方法は、例えば、特許文献１、特許文献２に記載されている。特許文献１、特許文献２に記載のホワイトリスト機能では、通信パケットに含まれ、通信許可を決定する条件の一部としても使用される端末等のＩＰアドレスが固定的に割り当てられているネットワークに適用することを前提としている。

また、これを拡張して、ＩＰアドレスが動的に変化する端末等を含むネットワークにもホワイトリスト機能を適用できるようにするため、端末等のＩＰアドレス割り当てを管理するＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）通信の情報を用いて運用中にホワイトリストの内容を逐次更新する技術が特許文献３に記載されている。

この技術によれば、ホワイトリスト機能を持ったパケット中継装置を含むネットワークにおいて、運用中に端末等のＩＰアドレスが変化した場合でも、本来通信が許可されるべき通信が遮断される、あるいは、本来遮断されるべき通信が許可されてしまうようなことを起こさずに運用を継続できる。

特開２０１５－０５０７６７号公報 特開２０１７－０４６１４９号公報 特開２０１８－１３３６９２号公報

特許文献３に記載の技術では、パケット中継装置がＤＨＣＰ通信のパケット（以後、ＤＨＣＰパケットと呼ぶ）を中継する際に、ホワイトリストの更新に必要なＩＰアドレス割り当て情報をＤＨＣＰパケットから抽出する手法（以後、この手法をＤＨＣＰスヌーピングと呼ぶ）を用いている。

そのため、特許文献３は、ホワイリスト機能を持つすべてのパケット中継装置をＤＨＣＰパケットが通過するネットワークに適用することが前提であり、ＤＨＣＰパケットが通過しないパケット中継装置を有するネットワークに適用することは困難であった。

本発明の目的は、ＤＨＣＰパケットが通過しないパケット中継装置を有するネットワークにおいても、パケット中継装置がＤＨＣＰ情報を収集可能とすることにある。

本発明の一態様のパケット中継装置は、少なくとも処理部を有するパケット中継装置であって、前記処理部は、受信したパケットに含まれる通信内容に基づいて、前記パケット中継装置が保持するプロトコル情報を更新してプロトコル更新情報を生成し、予め指定された他のパケット中継装置に前記プロトコル更新情報を送信することを特徴とする。

本発明の一態様のパケット中継システムは、第１のパケット中継装置と第２のパケット中継装置がネットワークを介して接続されたパケット中継システムであって、前記第１のパケット中継装置は、前記ネットワークを介してパケットが転送され、前記ネットワークを介して転送されてきた前記パケットに含まれる通信内容に基づいて、前記第１のパケット中継装置が保持する第１のプロトコル情報を更新して第１のプロトコル更新情報を生成し、前記第２のパケット中継装置に前記第１のプロトコル更新情報を送信し、前記第２のパケット中継装置は、前記ネットワークを介して前記パケットは転送されず、前記第１のパケット中継装置から送信されてきた前記第１のプロトコル更新情報に基づいて、前記第２のパケット中継装置が保持する第２のプロトコル情報を更新することを特徴とする。

本発明の一態様によれば、ＤＨＣＰパケットが通過しないパケット中継装置を有するネットワークにおいても、パケット中継装置がＤＨＣＰ情報を収集することができる。

実施例によるパケット中継装置の構成図である。 パケット中継装置内のＤＨＣＰ情報テーブルの構成図である。 パケット中継装置内のＤＨＣＰ更新情報通知先テーブルの構成図である。 パケット中継装置内のホワイトリスト格納メモリの構成図である。 パケット中継装置内の転送設定メモリの構成図である。 パケット中継装置内の転送テーブルメモリの構成図である。 実施例によるパケット中継装置を利用したネットワークシステムの一例を示す図である。 実施例によるパケット中継装置の動作の一例を示すシーケンス図である。 パケット中継装置内の転送テーブルメモリが保持する値の一例を示す図である。 パケット中継装置内のＤＨＣＰ更新情報通知先テーブルが保持する値の一例を示す図である。 パケット中継装置内のＤＨＣＰ情報テーブルが保持する値の一例を示す図である。 ＤＨＣＰ更新情報パケットの構成図である。 パケット中継装置内の制御プログラムのＤＨＣＰ情報更新処理を示すフローチャートである。 パケット中継装置内の制御プログラムのホワイトリスト更新処理を示すフローチャートである。 実施例によるパケット中継装置を利用したネットワークシステムの他の例を示す図である。 実施例によるパケット中継装置を利用したネットワークシステムの一例を示す図である。 実施例によるパケット中継装置を利用したネットワークシステムの一例を示す図である。 実施例によるパケット中継装置を利用したネットワークシステムのパケット中継装置の動作の一例を示すシーケンス図である。

以下、図面を用いて、実施例について説明する。

図１は、実施例によるパケット中継装置１０の内部構成を示す図である。
パケット中継装置１０は、パケットの送信および受信を行う複数のパケット送受信部１２０、パケット送受信部１２０で受信したパケットを別のパケット送受信部１２０等へ転送するパケット転送部１１０、パケット中継装置１０の全体の各種動作の制御を行う制御部１００を有する。パケット中継装置１０は、パケット送受信部１２０を介して接続された他の装置から受信したパケットを通信規約に従って他の外部装置に転送する処理を行う。

パケット転送部１１０は、パケットの転送先を決定するための情報を格納した転送テーブルメモリ１１１、許可されない不正な通信を防止する目的で、通信を許可するパケットの識別に必要な情報を格納するホワイトリスト格納メモリ１１３、パケット転送部１１０の動作を決定するための設定情報を格納する転送設定メモリ１１４、転送テーブルメモリ１１１、ホワイトリスト格納メモリ１１３、転送設定メモリ１１４の内容を参照して、パケット送受信部１２０で受信したパケットをどのパケット送受信部１２０に転送するかを決定して転送する転送先決定部１１２を有する。

転送先決定部１１２は、例えばＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）やＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）などの専用ハードウェア回路で構成されるか、あるいはＣＰＵがプログラムを実行して動作する構成であってもよい。

制御部１００は、ＣＰＵ（処理部）１０１、ＣＰＵ１０１が実行する制御プログラム１０４とＤＨＣＰ情報テーブル１０５とＤＨＣＰ更新情報通知先テーブル１０６を格納するメモリ１０２、入出力装置４０と接続されて管理者等がパケット中継装置１０の各種設定等を行うための入出力インタフェース１０３を有する。パケット中継装置１０において、基本的なパケット転送は転送部１１０が実行し、複雑なパケット処理を伴うものや装置全体の管理は制御部１００が制御プログラム１０４によって実行する。

図２から図６は、それぞれパケット中継装置１０に含まれるメモリやテーブルに格納されるデータの内容を示す図である。

図２は、ＤＨＣＰ情報テーブル１０５の内容を示す図である。
ＤＨＣＰ情報テーブル１０５は、パケット中継装置１０が転送するＤＨＣＰパケットの内容を抽出して一時的に保持するためのテーブルであり、一連のデータ群を格納するエントリ１０５０を０個以上格納する構造となっている。各エントリ１０５０には識別用のエントリ番号が付される。一つのエントリ１０５０には、ＭＡＣアドレス１０５１、ＩＰアドレス１０５２、リースタイマ１０５３の値を格納する。ＤＨＣＰ情報テーブル１０５の具体的な操作内容については、後述する図８のシーケンス図で説明する。

図３は、ＤＨＣＰ更新情報通知先テーブル１０６の内容を示す図である。
ＤＨＣＰ更新情報通知先テーブル１０６は、パケット中継装置１０が図８で後述するＤＨＣＰ更新情報パケットの送信先を指定するテーブルである。ＤＨＣＰ更新情報通知先テーブル１０６は、ＤＨＣＰ更新情報パケットの送信先となるパケット送受信部１２０の番号を格納するパケット送受信部番号１０６０を０個以上含む構成となっている。パケット送受信部番号１０６０に格納する値はネットワークシステムの階層構造に応じて決まるものであり、例えばネットワーク管理者が入出力装置４０を通してシステム稼動前に設定しておくものである。

図４は、ホワイトリスト格納メモリ１１３の内容を示す図である。
ホワイトリストとは、パケット中継装置１０が転送を許可する通信を識別するための情報であり、これらの情報を格納する０個以上のエントリ１１３０から構成される。

一つのエントリ１１３０には、このエントリ１１３０による転送可否判断を適用するパケットが受信されるパケット送受信部１２０の番号を格納するパケット送受信部番号１１３１、転送を許可するパケット内容の条件を格納する転送許可パケット条件１１３２、検索用送信元ＭＡＣアドレス１１３３、送信元有効ビット１１３４、検索用宛先ＭＡＣアドレス１１３５、宛先有効ビット１１３６が格納される。

転送許可パケット条件１１３２は、ここでは送信元ＩＰアドレス、宛先ＩＰアドレス、プロトコル、送信元ポート番号、宛先ポート番号を含むものとしている。これらの項目は一例であり、ホワイトリストの目的に応じて他の項目を含んでいても良い。検索用送信元ＭＡＣアドレス１１３３と検索用宛先ＭＡＣアドレス１１３５は、それぞれ転送許可パケット条件１１３２が送信元ＩＰアドレスと宛先アドレスを含んでいた場合に、これらのＩＰアドレスを割り当てられている装置のＭＡＣアドレスを格納する。

送信元有効ビット１１３４と宛先有効ビット１１３６は、それぞれＭＡＣアドレス１１３３と検索用宛先ＭＡＣアドレス１１３５に有効なＭＡＣアドレスが格納されている場合に「有効」という値を格納する。この値が「無効」の場合は、転送許可パケット条件１１３２内のＩＰアドレスを割り当てられている装置が存在しないことを意味し、送信元有効ビット１１３４と宛先有効ビット１１３６のいずれかが「無効」となっている場合、当該エントリは無効、すなわち、当該エントリの転送許可パケット条件１１３２に合致していても、そのパケットの通信は許可されないという扱いになる。

ホワイトリスト格納メモリ１１３内の各エントリ１１３０は、ホワイトリスト機能が生成状態の時に通過したパケットを通過させるように生成され、運用状態においてはエントリ１１３０の転送許可パケット条件１１３２の内容に合致するパケットのみ転送するように使用される。これらの動作例については、例えば特許文献３に開示されているため、ここでの詳細な説明は省略する。

図５は、転送設定メモリ１１４が格納するデータの内容を示す図である。
転送設定メモリ１１４は、動作設定情報の意味を示す保持情報１１４１と、その設定値を示す内容１１４２の二つの項目の組み合わせでパケット転送部１１０の動作に関する設定情報を格納する。例えば、本実施例ではホワイトリスト機能の動作状態を設定する情報として、保持内容１１４１が「ホワイトリスト機能状態」、内容１１４２が「機能無効」、「生成状態」、「運用状態」のいずれか値を取るようになっている。ここでは、本実施例の説明に必要な設定情報のみを記載しているが、その他の設定情報を転送設定メモリ１１４に格納するようにしてもよい。

図６は、転送テーブルメモリ１１１の内容を示す図である。
転送テーブルメモリ１１１は、パケット送受信部番号１１１１とＭＡＣアドレス１１１２の組み合わせを格納するエントリ１１１０を０個以上格納できる構成で、各エントリ１１１０には識別するためのエントリ番号が付される。

なお、転送テーブルメモリ１１１は、一般的なレイヤ２パケット中継装置において「ＭＡＣ学習テーブル」とも呼ばれているものであり、無駄なパケット転送を防ぐ目的で、パケット送受信部１２０毎に、受信パケットのレイヤ２ヘッダ内の送信元ＭＡＣアドレス情報に基づいてその先に接続されている装置のＭＡＣアドレスを一時的に学習しておくものである。転送テーブルメモリ１１１へのエントリの作成、削除の方法はレイヤ２パケット中継装置における周知の技術であるため、ここでの詳細説明は省略する。

以上が実施例によるパケット中継装置１０の説明である。次に、パケット中継装置１０を含むネットワークシステムにおけるパケット中継装置１０の動作例を示し、本実施例が従来技術での課題を解決していることを説明する。

図７は、実施例によるパケット中継装置１０を複数用いて構成したネットワークの一例を示す図である。
このネットワークシステムは、３台のパケット中継装置１０（以下、個々のパケット中継装置１０を区別する場合は、それぞれ符号を１０－１、１０－２、１０－３と記載し、パケット送受信部１２０以外のパケット中継装置１０内部の構成要素についても、区別が必要な場合は同様の枝番符号を付けて記載）、パケット中継装置１０－１のパケット送受信部１２０－１に接続されるＤＨＣＰサーバ３０、パケット中継装置１０－２のパケット送受信部１２０－５と１２０－６にそれぞれ接続される端末２０－１および端末２０－２、パケット中継装置１０－３のパケット送受信部１２０－８と１２０－９にそれぞれ接続される端末２０－３および端末２０－４から構成される（以下、個々の端末２０－１から２０－４を区別せずに説明する必要がある場合は端末２０と記載する）。

パケット中継装置１０の間は、パケット中継装置１０－１のパケット送受信部１２０－２とパケット中継装置１０－２のパケット送受信部１２０－４が、パケット中継装置１０－１のパケット送受信部１２０－３とパケット中継装置１０－３のパケット送受信部１２０－７がそれぞれ接続される。

図７の構成において、例えばパケット中継装置１０－２に端末２０－１と端末２０－４の間の通信を許可するホワイトリストのエントリがパケット中継装置１０－２内のホワイトリスト格納メモリ１１３に格納されていたとして、その運用中に端末２０－４のＩＰアドレスがＤＨＣＰサーバ３０とのＤＨＣＰ通信により変更または解放された場合、従来技術ではパケット中継装置１０－２は、当該ＤＨＣＰ通信に伴うＤＨＣＰパケットをスヌーピングできず、端末２０－４のＩＰアドレスの変化をホワイトリスト格納メモリ１１３に反映することができない。これは、意図しない別の端末にそれまで端末２０－４に割り当てられていたＩＰアドレスが割り当てられた場合に、本来許可してはならない端末の通信を許可してしまうといったセキュリティ上の問題を引き起こす可能性がある。

しかし、実施例によるパケット中継装置１０を用いれば、ＤＨＣＰパケットが直接通過するかどうかに係わらず、すべてのパケット中継装置１０でＤＨＣＰ情報テーブル１０５の内容を適切に更新することができ、それに基づいてホワイトリスト格納メモリ１１３の内容も更新することができる。その動作を以下で詳細に説明する。

図８は、図７に示したネットワークシステムにおいて構成要素となる装置の動作を示したシーケンス図である。
ここで、本シーケンス図の動作を始める前の初期状態として、各パケット中継装置１０内のテーブル内容は図９、図１０、図１１のようになっているものとする。

図９は、転送テーブルメモリ１１１の初期状態を示すものである。
パケット中継装置１０－１の転送テーブルメモリ１１１－１には、パケット送受信部１２０－２の配下に端末２０－１（ＭＡＣアドレスＭＡＣ２０－１）と端末２０－２（ＭＡＣアドレスＭＡＣ２０－２）が、パケット送受信部１２０－３の配下に端末２０－３（ＭＡＣアドレスＭＡＣ２０－３）と端末２０－４（ＭＡＣアドレスＭＡＣ２０－４）が、パケット送受信部１２０－１の配下にＤＨＣＰサーバ（ＭＡＣアドレスＭＡＣ３０）が接続されていることを示している。

同様に、パケット中継装置１０－２の転送テーブルメモリ１１１－２とパケット中継装置１０－３の転送テーブルメモリ１１１－３にも、図示したとおりの値が格納され、転送先となる装置のＭＡＣアドレスとそれらが接続されているパケット送受信部１２０の対応付けが学習された状態になっているものとする。

図１０は、ＤＨＣＰ更新情報通知先テーブル１０６の初期状態を示すものでる。
パケット中継装置１０－１のＤＨＣＰ更新情報通知先テーブル１０６－１には、ＤＨＣＰ更新情報パケットを送信すべきパケット中継装置１０－２と１０－３が接続されているパケット送受信部１２０－２とパケット送受信部１２０－３が指定されていることを示している。また、パケット中継装置１０－２のＤＨＣＰ更新情報テーブル１０６－２とパケット中継装置１０－３のＤＨＣＰ更新情報テーブル１０６－３にはＤＨＣＰ更新情報パケットの送信先が設定されていないことを示している。

図１１は、ＤＨＣＰ情報テーブル１０５の初期状態を示すものである。
初期状態として、図７の３台のパケット中継装置１０のＤＨＣＰ情報テーブル１０５の内容はすべて同じになっており、それぞれ固有のＭＡＣアドレスを持つ４台の端末２０とそれらに割り当てられているＩＰアドレスの対応およびリースタイマが、複数のエントリ１０５０に格納されている。

以上のような初期状態になっている前提で、まず、端末２０－４がシャットダウンする等の理由で、割り当てられているＩＰアドレスを解放する場合のネットワークシステム全体の動作を図８により説明する。

まず、端末２０－４が割り当てられたＩＰアドレス（ＩＰ４）を解放するため、ＤＨＣＰプロトコルに基づいてＤＨＣＰ Ｒｅｌｅａｓｅパケット５１をＤＨＣＰサーバ３０に向けて送信する。ＤＨＣＰ Ｒｅｌｅａｓｅパケット５１のレイヤ２ヘッダに含まれる宛先ＭＡＣアドレスはＤＨＣＰサーバ３０のＭＡＣアドレスＭＡＣ３０が格納される。

ＤＨＣＰ Ｒｅｌｅａｓｅパケット５１は、パケット中継装置１０－３の転送先決定部１１２－３がパケット送受信部１２０－９を通して受信し、転送テーブルメモリ１１１－３でＤＨＣＰ Ｒｅｌｅａｓｅパケット５１の宛先ＭＡＣアドレス（ＭＡＣ３０）を含むエントリ番号５の内容に従ってパケット送受信部１２０－７へ転送する。その際、転送先決定部１１２－３は、転送したＤＨＣＰ Ｒｅｌｅａｓｅパケット５１がＤＨＣＰ情報の更新に係わるパケットであることを認識し、ＤＨＣＰ Ｒｅｌｅａｓｅパケット５１の複製を制御部１００－３へも転送する。

そして、ＣＰＵ１０１－３が複製されたＤＨＣＰ Ｒｅｌｅａｓｅパケット５１を入力として制御プログラム１０４によってＤＨＣＰ情報更新処理Ｓ５００－１を実行し、ＤＨＣＰ情報テーブル１０５－３を図１１に示した状態からエントリ番号４（ＭＡＣ２０－４にＩＰ４が割り当てられていることを示すエントリ）が削除された状態とする。さらに、ＣＰＵ１０１－３は制御プログラム１０４によってホワイトリスト更新処理Ｓ５１０－１を実行する。制御プログラム１０４の詳細動作は、図１３と図１４のフローチャートを用いて後述する。

次に、パケット中継装置１０－３が転送したＤＨＣＰ Ｒｅｌｅａｓｅパケット５１は、パケット中継装置１０－１の転送先決定部１１２－１がパケット送受信部１２０－３を通して受信し、転送テーブルメモリ１１１－１でＤＨＣＰ Ｒｅｌｅａｓｅパケット５１の宛先ＭＡＣアドレス（ＭＡＣ３０）を含むエントリ番号５の内容に従ってパケット送受信部１２０－１へ転送し、ＤＨＣＰサーバ３０に到達する。

その際、転送先決定部１１２－１は、転送したＤＨＣＰ Ｒｅｌｅａｓｅパケット５１がＤＨＣＰ情報の更新に係わるパケットであることを認識し、ＤＨＣＰ Ｒｅｌｅａｓｅパケット５１の複製を制御部１００－１へも転送する。そして、ＣＰＵ１０１－１が複製されたＤＨＣＰ Ｒｅｌｅａｓｅパケット５１を入力として制御プログラム１０４によってＤＨＣＰ情報更新処理Ｓ５００－２を実行し、ＤＨＣＰ情報テーブル１０５－１を図１１に示した状態からエントリ番号４（ＭＡＣ２０－４にＩＰ４が割り当てられていることを示すエントリ）が削除された状態とする。

さらに、ＤＨＣＰ情報更新処理Ｓ５００－２の中で、ＤＨＣＰ更新情報通知先テーブル１０６－１の内容と転送テーブルメモリ１１１－１の内容に基づいた処理（図１３で後述）の結果としてＤＨＣＰ更新情報パケット５０－１を生成し、転送先決定部１１２－１とパケット送受信部１２０－２を通してパケット中継装置１０－２へ送信する。その後、ＣＰＵ１０１－１は制御プログラム１０４によってホワイトリスト更新処理Ｓ５１０－２を実行する。

図１２は、ＤＨＣＰ更新情報パケット５０（ＤＨＣＰ更新情報パケット一般を指す場合は、符号を５０と記載）のフォーマットの一例を示す図である。
この例では、ＤＨＣＰ更新情報パケット５０はレイヤ２ヘッダ４０１と各種の情報を格納するペイロードから構成され、ペイロードにはＭＡＣアドレス４０２、ＩＰアドレス４０３、リースタイマ４０４、処理タイプ４０５が格納される。レイヤ２ヘッダ４０１には、本パケットがＤＨＣＰ更新情報であることを示す固有の識別子も含まれる。ＤＨＣＰ更新情報パケット５０は、ＤＨＣＰパケットのスヌーピングを行ったパケット中継装置１０が、下位のパケット中継装置１０にＤＨＣＰ情報の更新を伝えるためのパケットである。ＤＨＣＰ更新情報パケット５０－１の例では、ＭＡＣアドレス４０２に端末２０－４のＭＡＣアドレスＭＡＣ２０－４、ＩＰアドレス４０３に端末２０－４に割り当てられていたＩＰアドレスＩＰ４、処理タイプ４０５に処理内容がＩＰアドレスの解放であることを示す値「解放」がそれぞれ格納される。

図８に戻り、パケット中継装置１０－２では、転送先決定部１１２－２がパケット送受信部１２０－４を通してＤＨＣＰ更新情報パケット５０－１を受信すると、制御部１００－２に転送し、ＣＰＵ１０１－２が制御プログラム１０４によりＤＨＣＰ情報更新処理Ｓ５００－３を実行する。その結果、ＤＨＣＰ情報テーブル１０５－２は図１１に示した状態からエントリ番号４（ＭＡＣ２０－４にＩＰ４が割り当てられていることを示すエントリ）が削除された状態となる。さらに、ＣＰＵ１０１－２は制御プログラム１０４によってホワイトリスト更新処理Ｓ５１０－３を実行する。

以上の一連の処理により、端末２０－４がＤＨＣＰプロトコルによりＩＰアドレスの解放を行った場合に、その情報が当該ＤＨＣＰプロトコルのパケットが通過しないパケット中継装置１０にも伝わり、図１１に示す状態のＤＨＣＰ情報テーブル１０５からエントリ番号４を削除する処理がすべてのパケット中継装置１０で実行される。さらに、その更新されたＤＨＣＰ情報テーブル１０５に基づいて、ホワイトリスト格納メモリ１１３の内容もすべてのパケット中継装置１０において適切に更新される。

次にもう一つの動作例として、端末２０－４が再起動する等により、ＤＨＣＰで新たなＩＰアドレスを取得した際の動作を同じく図８により説明する。ここで説明する動作は、先に説明したＩＰアドレス解放処理が完了した後の状態からに引き続き行われるものとする。

まず、端末２０－４は新たなＩＰアドレスの割り当てをＤＨＣＰサーバ３０に要求するため、ＤＨＣＰ Ｒｅｑｕｅｓｔパケット５２をＤＨＣＰサーバ３０に向けて送信する。ＤＨＣＰ Ｒｅｑｕｅｓｔパケット５２は、先に説明したＤＨＣＰ Ｒｅｌｅａｓｅパケット５１と同様、各パケット中継装置１０が持つ転送テーブルメモリ１１１の内容に従って、パケット中継装置１０－３とパケット中継装置１０－１を経由して転送される。ここで、ＤＨＣＰ Ｒｅｑｕｅｓｔパケット５２は新たなＩＰアドレス割り当てをＤＨＣＰサーバ３０に要求するもので、この段階ではまだＩＰアドレスの割り当ては完了していないので、パケット中継装置１０－１とパケット中継装置１０－３は、ＤＨＣＰ Ｒｅｑｕｅｓｔパケット５２の転送以外の処理は行わない。

ＤＨＣＰサーバ３０は、ＤＨＣＰ Ｒｅｑｕｅｓｔパケット５２を受信すると、その応答として、新たなＩＰアドレス（ＩＰ５）の割り当てを通知するＤＨＣＰ Ａｃｋパケット５３を端末２０－４に向けて送信する。

ＤＨＣＰ Ａｃｋパケット５３は、パケット中継装置１０－１の転送先決定部１１２－１がパケット送受信部１２０－１を通して受信し、転送テーブルメモリ１１１－１のエントリ番号４の内容に従ってパケット送受信部１２０－３へ転送する。その際、転送先決定部１１２－１は、転送したＤＨＣＰ Ａｃｋパケット５３がＤＨＣＰ情報の更新に係わるパケットであることを認識し、ＤＨＣＰ Ａｃｋパケット５３の複製を制御部１００－１へも転送する。

そして、ＣＰＵ１０１－１が複製されたＤＨＣＰ Ａｃｋパケット５３を入力として制御プログラム１０４によってＤＨＣＰ情報更新処理Ｓ５００－４を実行し、ＤＨＣＰ情報テーブル１０５－１にＩＰアドレスＩＰ５がＭＡＣアドレスＭＡＣ２０－４の端末に割り当てられたことを示す新たなエントリ１０５０を作成する。さらに、ＤＨＣＰ情報更新処理Ｓ５００－４の中で、ＤＨＣＰ更新情報通知先テーブル１０６－１の内容と転送テーブルメモリ１１１－１の内容に基づいた処理（図１３で後述）の結果としてＤＨＣＰ更新情報パケット５０－２を生成し、転送先決定部１１２－１とパケット送受信部１２０－２を通してパケット中継装置１０－２へ送信する。

ＤＨＣＰ更新情報パケット５０－２では、ＭＡＣアドレス４０２には端末２０－４のＭＡＣアドレスＭＡＣ２０－４が、ＩＰアドレス４０３には端末２０－４に割り当てられるＩＰアドレスＩＰ５が、リースタイマ４０４には新たに割り当てられるＩＰ５の有効期限である時刻５が、処理タイプ４０５には処理内容がＩＰアドレスの割り当てであることを示す値「割り当て」がそれぞれ格納される。その後、ＣＰＵ１０１－１は制御プログラム１０４によってホワイトリスト更新処理Ｓ５１０－４を実行する。

パケット中継装置１０－２では、転送先決定部１１２－２がパケット送受信部１２０－４を通してＤＨＣＰ更新情報パケット５０－２を受信すると、それがＤＨＣＰ更新情報パケットであることを認識して制御部１００－２に転送し、ＣＰＵ１０１－２が制御プログラム１０４によりＤＨＣＰ情報更新処理Ｓ５００－５を実行する。その結果、ＤＨＣＰ情報テーブル１０５－２には、ＭＡＣアドレス２０－４の装置にＩＰアドレスＩＰ５が時刻５を期限として割り当てられたことを示す新たなエントリ１０５０が作成される。さらに、ＣＰＵ１０１－２は制御プログラム１０４によってホワイトリスト更新処理Ｓ５１０－５を実行する。

次に、パケット中継装置１０－１が転送したＤＨＣＰ Ａｃｋパケット５３は、パケット中継装置１０－３の転送先決定部１１２－３がパケット送受信部１２０－７を通して受信し、転送テーブルメモリ１１１－３のエントリ番号２の内容に従ってパケット送受信部１２０－９へ転送して端末２０－４に到達する。その際、転送先決定部１１２－３は、転送したＤＨＣＰ Ａｃｋパケット５３がＤＨＣＰ情報の更新に係わるパケットであることを認識し、ＤＨＣＰ Ａｃｋパケット５３の複製を制御部１００－３へも転送する。

そして、ＣＰＵ１０１－３が複製されたＤＨＣＰ Ａｃｋパケット５３を入力として制御プログラム１０４によってＤＨＣＰ情報更新処理Ｓ５００－６を実行し、ＤＨＣＰ情報テーブル１０５－３には、ＭＡＣアドレス２０－４の装置にＩＰアドレスＩＰ５が時刻５を期限として割り当てられたことを示す新たなエントリ１０５０が作成される。その後、ＣＰＵ１０１－１は制御プログラム１０４によってホワイトリスト更新処理Ｓ５１０－６を実行する。

以上の一連の処理により、ＤＨＣＰプロトコルにより新たなＩＰアドレスが端末２０－４に割り当てられた場合に、その情報が当該ＤＨＣＰプロトコルのパケットが通過しないパケット中継装置１０－２にも伝わり、すべてのパケット中継装置１０のＤＨＣＰ情報テーブル１０５にその割り当て結果を示す新たなエントリ１０５０が作成されることとなる。さらに、その更新されたＤＨＣＰ情報テーブル１０５に基づいて、ホワイトリスト格納メモリ１１３の内容もすべてのパケット中継装置１０において更新される。

次に、フローチャートを用いて制御プログラム１０４の詳細動作を説明する。
図１３は、図８のシーケンス図で示したＤＨＣＰ情報更新処理Ｓ５００－１からＳ５００－６の処理を示すフローチャートである。これらの処理はすべて同じであるため、以下ではＳ５００と表現する。

ＤＨＣＰ情報更新処理Ｓ５００は、制御部１００がＤＨＣＰ情報を更新するＤＨＣＰパケット、または、ＤＨＣＰ更新情報パケットを受信したときに起動する。

最初の処理として、ＤＨＣＰ情報を更新するＤＨＣＰパケットを受信した場合は、該ＤＨＣＰパケットの内容からＩＰアドレス割り当て変更の対象となる装置のＭＡＣアドレス、割り当てまたは削除されるＩＰアドレス、該ＩＰアドレスを割り当てる場合の有効期限であるリースタイマ、該ＤＨＣＰパケットによる処理がＩＰアドレスの「割り当て」であるか「削除」であるかを示す処理タイプを抽出する（Ｓ５００１）。

処理タイプは該ＤＨＣＰパケットの種類によって決まり、例えばＤＨＣＰ Ａｃｋパケットであれば「割り当て」となり、ＤＨＣＰ Ｒｅｌｅａｓｅパケットであれば「削除」となる。ＤＨＣＰ更新情報パケットを受信した場合は、図１２に示したＤＨＣＰ更新情報パケット５０のペイロード部分からＭＡＣアドレス、ＩＰアドレス、リースタイマ、処理タイプをそれぞれ抽出する（Ｓ５００２）。

次に、Ｓ５００１またはＳ５００２で抽出したＭＡＣアドレスと同じ値をＭＡＣアドレス１０５１に持つエントリ１０５０をＤＨＣＰ情報テーブル１０５から検索する（Ｓ５００３）。

Ｓ５００３でエントリ１０５０が見つかった場合は（Ｓ５００４）、Ｓ５００１またはＳ５００２で抽出した処理タイプが「割り当て」であれば（Ｓ５００５）、前記エントリ１０５０の内容を更新し（Ｓ５００６）、Ｓ５００２で抽出した処理タイプが「削除」であれば（Ｓ５００５）、前記エントリ１０５０を削除する（Ｓ５００７）。Ｓ５００６のエントリ更新とは、具体的には、前記エントリ１０５０のＩＰアドレス１０５２とリースタイマ１０５３の値を、Ｓ５００１またはＳ５００２で抽出したＩＰアドレスとリースタイマの値にそれぞれ書き換える処理である。

Ｓ５００３でエントリ１０５０が見つからなかった場合は（Ｓ５００４）、Ｓ５００１またはＳ５００２で抽出した処理タイプが「割り当て」であれば（Ｓ５００８）、新規のエントリ１０５０を作成する（Ｓ５００９）。Ｓ５００９で新規作成するエントリ１０５０のＭＡＣアドレス１０５１とＩＰアドレス１０５２とリースタイマ１０５３には、Ｓ５００１またはＳ５００２で抽出したＭＡＣアドレスとＩＰアドレスとリースタイマの値をそれぞれ格納する。

以上、Ｓ５００３からＳ５００９の処理により、パケット中継装置１０が受信したＤＨＣＰパケットまたはＤＨＣＰ更新情報パケットの内容に基づいて、ＤＨＣＰ情報テーブル１０５の内容が更新される。

次に、ＤＨＣＰ更新情報処理Ｓ５００では、配下に接続されるパケット中継装置１０に必要に応じてＤＨＣＰ更新情報を伝えるためのＤＨＣＰ更新情報パケット５０を作成する（Ｓ５０１０）。ここで作成するＤＨＣＰ更新情報パケット５０のＭＡＣアドレス１０５１とＩＰアドレス１０５２とリースタイマ１０５３には、Ｓ５００１またはＳ５００２で抽出したＭＡＣアドレスとＩＰアドレスとリースタイマの値をそれぞれ格納する。

次に、ＤＨＣＰ更新情報通知先テーブル１０６のエントリ１０６０に登録されているすべてのパケット送受信部番号に対して、Ｓ５０１２とＳ５０１３を実行する（Ｓ５０１１）。以下の説明では、処理対象となるＤＨＣＰ更新情報通知先テーブル１０６のエントリ１０６０を「処理対象エントリ１０６０」と表記する。

Ｓ５０１２では、転送テーブルメモリ１１１から、パケット送受信部番号１１１１が処理対象エントリ１０６０の値と同じであり、かつ、ＭＡＣアドレス１１１２がＳ５００１またはＳ５００２で抽出したＭＡＣアドレスと同じ値であるエントリ１１１０を検索する（Ｓ５０１２）。

Ｓ５０１２でエントリが見つからなかった場合は、転送先決定部１１２を経由してＳ５０１０で作成したＤＨＣＰ更新情報パケット５０を処理対象エントリ１０６０に格納される番号のパケット送受信部から送信する（Ｓ５０１３）。Ｓ５０１２でエントリが見つかった場合は、ＤＨＣＰ更新情報パケットの送信は行わない。

Ｓ５０１０からＳ５０１３までの処理の目的は、ＤＨＣＰ更新情報をＤＨＣＰ更新情報通知先テーブル１０６で指定されるパケット送受信部に接続された配下のパケット中継装置１０にも送信することであり、さらにその際、ＤＨＣＰ更新の対象となっている端末が配下につながっているパケット中継装置１０に対してはＤＨＣＰ更新情報を送信する対象から除外するということである。ＤＨＣＰ更新の対象となっている端末が配下につながるパケット中継装置１０はＤＨＣＰ更新の契機となったＤＨＣＰパケットが通過しているので、すでにＤＨＣＰ更新を認識できているためである。すなわち、Ｓ５０１１からＳ５０１３の処理によれば、配下のＤＨＣＰパケットが経由していないパケット中継装置１０宛に限定してＤＨＣＰ更新情報を送信できるようになり、システム全体で最小限のＤＨＣＰ更新情報パケットの送信により効率的なＤＨＣＰ更新情報の共有が行えるようになる効果がある。
以上が、制御プログラム１０４におけるＤＨＣＰ情報更新処理Ｓ５００の詳細である。

図１４は、図８のシーケンス図で示したホワイトリスト更新処理Ｓ５１０－１からＳ５１０－６の処理を示すフローチャートである。これらの処理はすべて同じであるため、以下ではＳ５１０と表現する。

ホワイトリスト更新処理Ｓ５１０では、まず、転送設定メモリ１１４のホワイトリスト機能状態の値を確認し、その値が「機能無効」であればこのパケット中継装置１０ではホワイトリスト機能を使用していないという意味なので、Ｓ５１０はここで終了する（Ｓ５１０１）。

転送設定メモリ１１４のホワイトリスト機能状態の値が「機能無効」以外であれば、ホワイトリスト格納メモリ１１３のすべてのエントリ１１３０に対してＳ５１０３以降の処理を実行する（Ｓ５１０２）。以下の説明では、処理対象となるホワイトリスト格納メモリ１１３のエントリ１１３０を「処理対象エントリ１１３０」と表記する。

まず、Ｓ５１０３で、ＤＨＣＰ情報テーブル１０５から処理対象エントリ１１３０の検索用送信元ＭＡＣアドレス１１３３の値をＭＡＣアドレス１０５１に持つエントリ１０５０を検索する。

Ｓ５１０３で該当するエントリ１０５０が見つかった場合は（Ｓ５１０４）、対象エントリ１１３０の転送許可パケット条件１１３２に含まれる送信元ＩＰアドレスに検索された前記エントリ１０５０のＩＰアドレス１０５２に格納されているＩＰアドレスの値を設定し、送信元有効ビット１１３３の値を「有効」に設定する（Ｓ５１０５）。

Ｓ５１０３で該当するエントリ１０５０が見つからなかった場合は（Ｓ５１０４）、送信元有効ビット１１３４の値を「無効」に設定する（Ｓ５１０６）。

続いて、Ｓ５１０７で、ＤＨＣＰ情報テーブル１０５から処理対象エントリ１１３０の検索用宛先ＭＡＣアドレス１１３５の値をＭＡＣアドレス１０５１に持つエントリ１０５０を検索する。

Ｓ５１０７で該当するエントリ１０５０が見つかった場合は（Ｓ５１０８）、対象エントリ１１３０の転送許可パケット条件１１３２に含まれる宛先ＩＰアドレスに検索された前記エントリ１０５０のＩＰアドレス１０５２に格納されているＩＰアドレスの値を設定し、宛先有効ビット１１３６の値を「有効」に設定する（Ｓ５１０９）。

Ｓ５１０７で該当するエントリ１０５０が見つからなかった場合は（Ｓ５１０４）、宛先有効ビット１１３６の値を「無効」に設定する（Ｓ５１１０）。

制御プログラム１０４は、以上のような処理でホワイトリスト更新処理Ｓ５１０を実行し、ＤＨＣＰによる端末のＩＰアドレス再割り当てや解除が行われた際、その変更内容が反映されたＤＨＣＰ情報テーブル１０５に基づいて、ホワイトリスト格納テーブルの各エントリに含まれるＩＰアドレス情報の変更や、エントリの有効化や無効化の制御をおこなう。このような制御により、ＤＨＣＰプロトコルにより解放されたＩＰアドレスを含むホワイトリストは無効となり、新たなＩＰアドレスが割り当てられればホワイトリスト内のＩＰアドレスを更新したうえで再度有効となる。さらに、一度解放されたＩＰアドレスが異なるＭＡＣアドレスを持つ別の端末に再割り当てされたとしても、その端末にホワイトリストに基づく通信許可が行われることはない。

以上説明した構成により、複数のパケット中継装置１０が階層的に接続されたネットワークシステムにおいて、不正パケットの中継をホワイトリストにより抑止することが可能で、すべてのパケット中継装置１０がすべてのＤＨＣＰパケットを直接監視できない場合でも、その情報をすべてのパケット中継装置１０の間で共有し、各パケット中継装置１０が自装置内のホワイトリストの内容を修正することが可能なネットワークシステムが得られる。

ここまでは図７のネットワークシステムを例に説明したが、さらに複雑な構成でも複数のパケット転送装置間でＤＨＣＰ更新情報の共有が行えることを説明するため、他のネットワーク構成における動作についても、ＤＨＣＰ更新情報の伝達部分に絞って説明する。

図１５は、第２のネットワークシステム構成例を示す図である。
このシステムは、図７のシステムおいて、パケット中継装置１０－２の配下に２台のパケット中継装置１０－４と１０－５を接続するように変更し、それらの配下に端末が接続されるようにした構成である。各パケット中継装置１０内に設定されているＤＨＣＰ更新情報通知先テーブル１０６の内容も併せて記載している。

図１５の構成では、まずパケット中継装置１０－１が図８のＳ５００－２に相当する処理によりＤＨＣＰ更新情報パケット５０－１０をパケット中継装置１０－２に送信する。

パケット中継装置１０－２では、制御プログラム１０４がＤＨＣＰ更新情報パケット５０－１０を受信することで開始するＤＨＣＰ情報更新処理５００において、ＤＨＣＰ更新情報通知先テーブル１０６－２に基づいてＤＨＣＰ更新情報パケット５０－１１、５０－１２をパケット転送装置１０－４と１０－５にもそれぞれ送信する。これにより、パケット転送装置１０－４と１０－５でも、制御プログラム１０４のＳ５００とＳ５１０の処理によりＤＨＣＰ情報テーブル１０５とホワイトリスト格納メモリ１１３の内容が更新される。

図１６は、第３のネットワークシステム構成例を示す図である。
このシステムは、図７のシステムおいて、パケット中継装置１０－３のパケット送受信部１２０－８の先にパケット中継装置１０－６を接続するように変更し、その配下に端末が接続されるようにした構成である。各パケット中継装置１０内に設定されているＤＨＣＰ更新情報通知先テーブル１０６の内容も併せて記載している。

図１６の構成では、まずパケット中継装置１０－１が図８のＳ５００－２に相当する処理によりＤＨＣＰ更新情報パケット５０－１０をパケット中継装置１０－２に送信する。ここで、パケット中継装置１０－１ではパケット送受信部１２０－３がＤＨＣＰ更新対象の端末２０－４が接続されるポートとなるため、ＤＨＣＰ更新情報通知先テーブル１０６－１にパケット送受信部１２０－３は登録されているが、Ｓ５００におけるＳ５０１２で「エントリ有り」の判定となり、パケット中継装置１０－１はパケット中継装置１０－２に対してＤＨＣＰ更新情報パケット５０を送信しない。

しかし、パケット中継装置１０－３で端末２０－４からのＤＨＣＰパケット受信を契機として起動する制御プログラム１０４のＤＨＣＰ情報更新処理５００において、パケット中継装置１０－６へＤＨＣＰ更新情報パケット５０－１３を送信するため、最終的にパケット中継装置１０－６も含めてネットワークシステム内のすべてのパケット中継装置１０にＤＨＣＰ更新情報が行き渡ることとなる。

上記実施例では、パケット中継装置がＤＨＣＰパケットを転送する際、ＤＨＣＰパケットに含まれる情報に基づいてパケット中継装置が保持するＤＨＣＰ情報を更新するとともに、あらかじめ指定された他のパケット中継装置に前記情報を送信し、他のパケット中継装置は前記情報に基づいて前記他のパケット中継装置が保持するＤＨＣＰ情報を更新する。そして、各パケット中継装置は、更新されたＤＨＣＰ情報に基づいてホワイトリストを更新する。

上記実施例によれば、動的に端末のＩＰアドレスが変化するネットワークが多数のパケット中継装置で構成されていた場合であっても、ホワイトリスト機能によるセキュリティを向上させることができる。

図１７は、第４のネットワークシステム構成例を示す図である。
この例は、第２、第３の例とは異なり、本発明を実施する最小構成のシステムの一例を示すもので、本発明によるパケット中継装置２台から構成される。図７の例に対し、パケット中継装置１０－３と端末２０－３を削除し、端末２０－４をパケット中継装置１０－１のパケット送受信部１２０－３に直接接続した構成となっている。

パケット中継装置１０－１のＤＨＣＰ更新情報通知先テーブル１０６－１の内容は、パケット送受信部１２０－２のみを指定したものとなる。これは、パケット中継装置１０－１で下流となるパケット中継装置が接続されるパケット送受信部が１２０－２のみであることを示す。

図１８は、図１７のシステムの動作を示したシーケンス図である。
図８のシーケンス図と同様に、端末２０－４が割り当てられているＩＰアドレスを解放する場合、および、ＩＰアドレスを新たに取得する場合の動作を示している。
図８との動作上の差分は、端末２０－４のＤＨＣＰパケットをパケット中継装置１０－１が直接送受信するようになることと、パケット中継装置１０－１のＤＨＣＰ情報更新処理Ｓ５００－７、Ｓ５００－８の処理のみである。図８と同一のステップ番号を付している処理は図８と同じであるため説明は省略する。

ＤＨＣＰ情報更新処理Ｓ５００－７と図８のＤＨＣＰ情報更新処理Ｓ５００－２を比較して違いがあるのは、図１３のフローチャートのＳ５０１１からＳ５０１３に対応する処理である。図８の場合は、図１０が示すとおりＤＨＣＰ更新情報通知先テーブル１０６－１にはパケット送受信部１２０－２と１２０－３が登録されており、このうち１２０－３の先にＤＨＣＰパケット送信元の端末２０－４が接続されていることが転送テーブル１１１－１から確認できる。

その結果、ＤＨＣＰ更新情報パケットの送信元となるパケット送受信部から１２０－３が除外され、パケット送受信部１２０－２のみからＤＨＣＰ更新情報パケットが送信される。一方、図１７の場合は、ＤＨＣＰ更新情報通知先テーブル１０６－１には１２０－２のみが登録されており、その先にＤＨＣＰパケット送信元の端末２０－４が接続されていないことが転送テーブル１１１－１から確認できるので、ＤＨＣＰ更新情報パケットはパケット送受信部１２０－２のみから送信される。

以上の動作は、Ｓ５００－８でも同様である。以上説明したような図１８の動作の結果として、パケット中継装置１０－１とパケット中継装置１０－２のそれぞれが持つＤＨＣＰ情報テーブル１０５の内容は同じになる。

以上、パケット中継装置の数が異なるいくつかのシステム例で動作を説明したが、いずれの構成においても、ＤＨＣＰ更新情報送信先テーブルと転送テーブルを参照することで不要なＤＨＣＰ更新情報パケットを送信することなく、全てのパケット中継装置の間で効率的にＤＨＣＰ情報テーブルの内容を同期できるようになる。

上記実施例においては、多数のパケット中継装置から構成され、個々のパケット中継装置がすべてのＤＨＣＰ通信に対するＤＨＣＰスヌーピングを行えないようなネットワークであっても、個々のパケット中継装置がＤＨＣＰ情報を収集可能とし、このＤＨＣＰ情報に基づいてホワイトリストの内容を適切に更新することができる。

具体的には、多数のパケット中継装置を含む規模の大きなネットワークにおいても、ＤＨＣＰパケットが通過するか否かに係わらず、各パケット中継装置がＤＨＣＰスヌーピングによるＩＰアドレス割り当て情報を収集できるようになる。そして、各パケット中継装置がホワイトリスト機能を持っていた場合、収集したＩＰアドレス割り当て情報に基づいて、動的にアドレスが変更される端末に関するホワイトリストを各パケット中継装置で更新できるようになる。この結果、規模の大きなネットワークでもホワイトリスト機能によるセキュリティ確保を行えるようになる。

また、以上の実施例では、ネットワークシステムは単一のレイヤ２セグメントで構成されている前提で説明したが、本発明はＶＬＡＮを利用してレイヤ２ネットワークが論理的に多重化されたネットワークシステムにも適用可能である。この場合、パケット送受信部の識別子として、ＶＬＡＮ番号と物理的なパケット送受信部の組み合わせで特定される論理的なパケット送受信部の識別子を用いるようにすればよい。

１０ パケット中継装置
２０ 端末
３０ ＤＨＣＰサーバ
４０ 入出力装置
５０ ＤＨＣＰ更新情報パケット
１００ 制御部
１０１ ＣＰＵ
１０２ メモリ
１０３ 入出力インタフェース
１０４ 制御プログラム
１０５ ＤＨＣＰ情報テーブル
１０６ ＤＨＣＰ更新情報通知先テーブル
１１０ パケット転送部
１１１ 転送テーブルメモリ
１１２ 転送先決定部
１１３ ホワイトリスト格納メモリ
１１４ 転送設定メモリ
１２０ パケット送受信部

Claims (8)

1. 少なくとも処理部を有するパケット中継装置であって、
   前記処理部は、
   受信したパケットに含まれる通信内容に基づいて、前記パケット中継装置が保持するプロトコル情報を更新してプロトコル更新情報を生成し、
   予め指定された他のパケット中継装置に前記プロトコル更新情報を送信し、
   複数のパケット送受信部と、
   複数の前記パケット送受信部の識別情報をそれぞれ格納するプロトコル情報通知先テーブルと、を更に有し、
   前記処理部は、
   前記プロトコル情報通知先テーブルに格納された前記識別情報に基づいて、前記他のパケット中継装置が接続された前記パケット送受信部を特定し、
   特定された前記パケット送受信部を介して、前記他のパケット中継装置に前記プロトコル更新情報を送信することを特徴とするパケット中継装置。
2. 前記パケット送受信部毎に、前記パケット送受信部の前記識別情報と前記パケット送受信部が受信した前記パケットの送信元ＭＡＣアドレスの組み合わせ格納する転送テーブルメモリと、
   ＭＡＣアドレス、ＩＰアドレス及び前記ＩＰアドレスの有効期限を対応させてエントリ毎に格納するプロトコル情報テーブルと、を更に有し、
   前記処理部は、
   サーバとクライアント端末の間を転送する前記パケットに含まれる前記通信内容から、クライアントＭＡＣアドレス、クライアントＩＰアドレス及び前記クライアントＩＰアドレスのクライアント有効期限を抽出し、
   前記クライアントＭＡＣアドレスにより前記プロトコル情報テーブル内の前記ＭＡＣアドレスを検索して、前記ＭＡＣアドレスが検索された場合、前記クライアントＩＰアドレス及び前記クライアント有効期限により、検索された前記エントリの前記ＩＰアドレス及び前記有効期限を更新し、
   前記ＭＡＣアドレスが検索されなかった場合、前記クライアントＭＡＣアドレス、前記クライアントＩＰアドレス及び前記クライアント有効期限を含む前記エントリを新規に作成し、
   前記クライアントＭＡＣアドレス、前記クライアントＩＰアドレス及び前記クライアント有効期限を格納した前記プロトコル更新情報を生成し、
   前記プロトコル情報通知先テーブルに格納されている前記識別情報のそれぞれについて、前記クライアントＭＡＣアドレスとの組み合わせが前記転送テーブルメモリに格納されているかどうかを検索し、前記組み合わせが前記転送テーブルメモリに格納されていない場合に、前記識別情報で特定される前記パケット送受信部に前記プロトコル更新情報を送信することを特徴とする請求項１に記載のパケット中継装置。
3. 前記ＭＡＣアドレス及び前記ＩＰアドレスを含むホワイトリストをエントリ毎に格納するホワイトリスト格納メモリを更に有し、
   前記処理部は、
   前記クライアントＭＡＣアドレスにより前記ホワイトリスト格納メモリの前記エントリの前記ＭＡＣアドレスを検索し、
   前記クライアントＩＰアドレスを用いて、検索された前記エントリの前記ＩＰアドレスを更新することを特徴とする請求項２に記載のパケット中継装置。
4. 前記処理部は、
   前記パケット中継装置が保持する前記プロトコル情報として、ＤＨＣＰ情報を更新することを特徴とする請求項１に記載のパケット中継装置。
5. 第１のパケット中継装置と第２のパケット中継装置がネットワークを介して接続されたパケット中継システムであって、
   前記第１のパケット中継装置は、
   前記ネットワークを介してパケットが転送され、
   前記ネットワークを介して転送されてきた前記パケットに含まれる通信内容に基づいて、前記第１のパケット中継装置が保持する第１のプロトコル情報を更新して第１のプロトコル更新情報を生成し、前記第２のパケット中継装置に前記第１のプロトコル更新情報を送信し、
   前記第２のパケット中継装置は、
   前記ネットワークを介して前記パケットは転送されず、
   前記第１のパケット中継装置から送信されてきた前記第１のプロトコル更新情報に基づいて、前記第２のパケット中継装置が保持する第２のプロトコル情報を更新し、
   第３のパケット中継装置が前記第２のパケット中継装置に更に接続されており、
   前記第２のパケット中継装置は、
   送信されてきた前記第１のプロトコル更新情報に基づいて、第２のプロトコル更新情報を生成して、前記第３のパケット中継装置に前記第２のプロトコル更新情報を送信し、
   前記第３のパケット中継装置は、
   前記ネットワークを介して前記パケットは転送されず、
   前記第２のパケット中継装置から送信されてきた前記第２のプロトコル更新情報に基づいて、前記第３のパケット中継装置が保持する第３のプロトコル情報を更新することを特徴とするパケット中継システム。
6. 前記パケットは、
   ＩＰアドレスの動的割当てを行うプロトコルによるサーバとクライアント端末の間を転送することを特徴とする請求項５に記載のパケット中継システム。
7. 前記第１のパケット中継装置は、
   第１のホワイトリストを保持し、
   更新された前記第１のプロトコル情報に基づいて、前記第１のホワイトリストを更新し、
   前記第２のパケット中継装置は、
   第２のホワイトリストを保持し、
   更新された前記第２のプロトコル情報に基づいて、前記第２のホワイトリストを更新し、
   前記第３のパケット中継装置は、
   第３のホワイトリストを保持し、
   更新された前記第３のプロトコル情報に基づいて、前記第３のホワイトリストを更新することを特徴とする請求項５に記載のパケット中継システム。
8. 前記第１のパケット中継装置は、
   前記第１のパケット中継装置が保持する前記第１のプロトコル情報として、第１のＤＨＣＰ情報を更新し、
   前記第２のパケット中継装置は、
   前記第２のパケット中継装置が保持する前記第２のプロトコル情報として、第２のＤＨＣＰ情報を更新し、
   前記第３のパケット中継装置は、
   前記第３のパケット中継装置が保持する前記第３のプロトコル情報として、第３のＤＨＣＰ情報を更新することを特徴とする請求項５に記載のパケット中継システム。

Images