JPH05207028A - マルチポート中継装置 - Google Patents

Abstract

(57)【要約】 【目的】 ネットワークを流れる情報の機密を守る手段
及び不正なアドレス割当てによる通信障害を防止する手
段を提供する。 【構成】 マルチポート中継装置１０は、入力ポートと
その入力ポートの対になる出力ポートからなる複数のポ
ートを有し、ポートに接続された機器から物理的もしく
は論理的な接続完了後直ちに若しくは事前に指定した有
効期間内に、少なくとも接続された機器の物理的もしく
は論理的なアドレス情報を含む接続承認用のフレームが
送信されないとき、このポートに対するフレームの送信
を中止する接続承認手段１１を具備する。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、ネットワークを構成す
るマルチポート中継装置及びこれを用いたネットワーク
管理システムに係り、特に、ネットワークを流れる情報
の機密を守る手段及び不正なアドレス割当てによる通信
障害を防止する手段を備えたマルチポート中継装置に関
するものである。

【０００２】

【従来の技術】マルチポート中継装置の規格として、米
国電気電子学会（以下ＩＥＥＥ）の定めるＩＥＥＥ８０
２．３Ｉ／Ｔｙｐｅ１０ＢＡＳＥ−Ｔ規格や、ＩＥＥＥ
８０２．３Ｊ／Ｔｙｐｅ１０ＢＡＳＥ−Ｆ規格が広く知
られている。これらの規格においては、マルチポート中
継装置の各ポートに接続された機器に対して、他のポー
トで受信された全てのフレームが中継される。

【０００３】

【発明が解決しようとする課題】しかしながら、上記の
ようなＩＥＥＥ８０２．３Ｉの規格若しくはＩＥＥＥ８
０２．３Ｊの規格に基づいたマルチポート中継装置に
は、以下に述べるような問題点がある。

【０００４】（１）マルチポート中継装置に接続された
全ての機器に対してフレームの中継が行われるので、マ
ルチポート中継装置に不正に接続された機器が、マルチ
ポート中継装置の中継する情報を不正に入手することを
防止できない。

【０００５】このため、マルチポート中継装置に不正に
機器を接続し、この機器により、ネットワークに流れる
フレームの捕獲を行い、これを解析することによりネッ
トワークに流れる機密情報等を得ることが可能である。

【０００６】（２）マルチポート中継装置に不正なアド
レスを持った機器が接続されても、これを検出する手段
がない。

【０００７】このため、重複するアドレスをモータ機器
が接続された場合や、特定のネットワークセグメント内
において許されない論理アドレスを持った機器が接続さ
れた場合、正しい通信が行えない場合が発生する。

【０００８】そこで、本発明の目的は、上記課題を解決
し、ネットワークを流れる情報の機密を守る手段及び不
正なアドレス割当てによる通信障害を防止する手段を提
供することにある。

【０００９】

【課題を解決するための手段】上記目的を達成するため
に本発明に係るマルチポート中継装置は、ネットワーク
セグメントを構成すべく入力ポートとその入力ポートの
対になる出力ポートからなる複数のポートを有し、ポー
トに接続された機器から物理的もしくは論理的な接続完
了後直ちに若しくは事前に指定した有効期間内に、少な
くとも接続された機器の物理的もしくは論理的なアドレ
ス情報を含む接続承認用のフレームが送信されないと
き、このポートに対するフレームの送信を中止する接続
承認手段を具備するものである。

【００１０】また、マルチポート中継装置にネットワー
ク管理ステーションを接続し、マルチポート中継装置
は、接続承認用のフレームに含まれる情報を元に、当該
ポートへの中継の継続を判断し、中継が適当でないと判
断するか或いは、上記ネットワーク管理ステーションか
ら中継中止の判定が与えられたときには、このポートへ
の中継を中止する接続承認手段を具備するものである。

【００１１】また、上記接続承認手段は、上記接続承認
用のフレームに含まれるアドレス情報が、マルチポート
中継装置若しくは上記ネットワーク管理ステーションに
事前に登録されたデータベースに含まれない場合、或い
は現在他の接続機器において使用中のアドレスと重複す
る場合、或いはマルチポート中継装置で構成されるネッ
トワークセグメント内において許されない値の場合、中
継が適当でないと判断するように構成される。

【００１２】

【作用】上記構成により、ポートへの中継開始時に、接
続機器からの接続承認用のフレームが送信されるかどう
か、或いは、接続承認用のフレームの内容から接続機器
の認証を行うことができるので、不正な機器へのフレー
ム中継が防止される。

【００１３】また、ポートへの中継開始時に、接続機器
のアドレスをチェックすることができるので、不正なア
ドレスの使用を防止することができる。

【００１４】

【実施例】以下、本発明の一実施例を添付図面に基づい
て詳述する。

【００１５】以下の説明においては、ＩＥＥＥ８０２．
３Ｉ／Ｔｙｐｅ１０ＢＡＳＥ−Ｔ規格に準拠したハブ
を、マルチポート中継装置の例として用いる。

【００１６】図１に本発明が利用されるネットワークの
構成例を示す。このネットワークは、４つの入出力ポー
トを持つ１０ＢＡＳＥ−Ｔハブ１０１のポートに端末局
（パソコン又はワークステーション）１１１、ネットワ
ーク管理ステーション１２１、及び他のネットワークセ
グメント１４１との中継を行うルータ１３１を接続し
て、一つのネットワークセグメントを構成するものであ
る。

【００１７】１０ＢＡＳＥ−Ｔハブ１０１は、本発明に
係るマルチポート中継装置１０であって、ポートに接続
された機器から物理的もしくは論理的な接続完了後直ち
に若しくは事前に指定した有効期間内に、少なくとも接
続された機器の物理的もしくは論理的なアドレス情報を
含む接続承認用のフレームが送信されないとき、このポ
ートに対するフレームの送信を中止する接続承認手段１
１を具備している。

【００１８】また、接続承認手段１１は、接続承認用の
フレームに含まれるアドレス情報が、マルチポート中継
装置若しくはネットワーク管理ステーションに事前に登
録されたデータベースに含まれない場合、或いは現在他
の接続機器において使用中のアドレスと重複する場合、
或いはマルチポート中継装置で構成されるネットワーク
セグメント内において許されない値の場合、中継が適当
でないと判断しこのポートへの中継を中止する機能を有
し、且つネットワーク管理ステーションから中継中止の
判定が与えられたときには、このポートへの中継を中止
する機能を有している。

【００１９】また、１０ＢＡＳＥ−Ｔハブ１０１は、マ
イクロプロセッサとメモリとを持っており、ポートに接
続された機器の電源投入等により、この機器とポート間
の論理的接続が活性化されたことを検知し、このポート
に対するフレームの中継を活性化するように設定されて
いる。

【００２０】ネットワーク管理ステーション１２１は、
接続承認用のフレームに含まれるアドレス情報を元に、
接続された機器がが事前に承認された機器であるかとい
った検証の他にアドレスの重複や、アドレスがマルチポ
ート中継装置の設置されているネットワークセグメント
内において許された値であるか等のアドレスの正当性も
検証し、中継の継続を判断するように設定されている。

【００２１】ここでは説明のために、ハブのポート番号
を図の左から順に第一ポート１、第二ポート２、第三ポ
ート３、第四ポート４と呼ぶものとする。

【００２２】また、ここでは、物理アドレスとは、ＩＥ
ＥＥ８０２．３に規定される４８ビットのＭＡＣアドレ
スを指すものとし、論理アドレスとは、ＲＦＣ７９１に
おいて規定される３２ビットのＩＰ(Internet Protoco
l) アドレスを指すものとする。

【００２３】ＭＡＣアドレスは、ネットワークに接続す
る装置（端末局、ルータ、管理ステーション）に対し
て、世界中において重複しない固有の値が各装置の製造
者により割当てられる。

【００２４】ＩＰアドレスは、ネットワークを構成する
際に、ユーザが各接続装置に割り当てるものである。通
常、このＩＰアドレスの上位何ビットかをサブネットワ
ークアドレスとし、各ネットワークセグメントに一定の
値を割当てる。ルータ等の中継装置においては、このサ
ブネットワークを元に、セグメント間のフレーム中継の
制御を行う。例えば、ルータにおいては、一方のセグメ
ントから到着したフレームの送信先ＩＰアドレスのサブ
ネットワークアドレスが、もう一方のセグメントのサブ
ネットワークアドレスと一致した場合、このフレームの
中継を行い、その他の場合中継を行わない等の制御を行
う。

【００２５】次に実施例の作用を述べる。

【００２６】上記の１０ＢＡＳＥ−Ｔハブ１０１の第一
ポート１に未知の機器Ｘが接続されたものとする。

【００２７】１０ＢＡＳＥ−Ｔハブ１０１は、機器Ｘの
電源投入等により、機器Ｘと第一ポート１間の論理的接
続が活性化されたことを検知し、第一ポート１に対する
フレームの中継を活性化する。中継の活性後、事前にポ
ート毎に設定された所定の時間内に、機器Ｘから機器Ｘ
のＭＡＣアドレス及びＩＰアドレス等の情報を含む接続
承認用の所定の中継継続要求フレームが得られない場
合、このポートに対するフレームの中継を中止する。こ
のため、ポートにネットワークアナライザ等の中継フレ
ームの取り込みを目的とした不正な機器が接続された場
合、このポートに対するフレームの中継は所定の時間内
に中止される。

【００２８】機器Ｘより中継継続要求フレームが得られ
た場合、この要求フレームに含まれるＭＡＣアドレス及
びＩＰアドレスの組が、１０ＢＡＳＥ−Ｔハブ１０１の
接続許可データベースに登録されているかを検証する。
検証の結果、この局のＭＡＣアドレス及びＩＰアドレス
の組が、接続許可データベースに含まれ、他のポートに
接続する機器のＭＡＣアドレスやＩＰアドレスと重複し
ない場合、このポートに対する中継を継続する。

【００２９】この局のＭＡＣアドレス及びＩＰアドレス
の組が、接続許可データベースに含まれないような場合
や、他のポートに接続する機器のＭＡＣアドレスやＩＰ
アドレスと重複する場合、ネットワーク管理ステーショ
ン１２１に対して、事象の発生を通知する。

【００３０】ネットワーク管理ステーション１２１にお
いては、この通知に含まれる情報を元に、中継の継続を
判断する。この判定においては、ＭＡＣアドレスやＩＰ
アドレスを元に、接続された機器がが事前に承認された
機器であるかといった検証の他にアドレスの重複や、Ｉ
Ｐアドレスのサブネットワークアドレスが所定のセグメ
ントにおいて許された値であるか等のアドレスの正当性
も検証する。

【００３１】これらの検証の結果、不正が発見された場
合、ネットワーク管理者に対する通知及び１０ＢＡＳＥ
−Ｔハブ１０１に対して中継中止要求の送信を行う。

【００３２】１０ＢＡＳＥ−Ｔハブ１０１においては、
ネットワーク管理ステーションから中継中止要求を受信
した場合、直ちにこのポートに対する中継を中止する。

【００３３】ネットワーク管理ステーションにおける検
証の結果、接続機器に対する中継の継続を決定した場
合、１０ＢＡＳＥ−Ｔハブ１０１に対して中継継続要求
を送信する。

【００３４】１０ＢＡＳＥ−Ｔハブ１０１においては、
ネットワーク管理ステーションから中継継続要求を受信
した場合、ポートに対する中継を継続すると共に、この
ポートに接続された機器のＭＡＣアドレス及びＩＰアド
レスの組を接続許可データベースに登録する。

【００３５】以上に述べたように、本発明のマルチポー
ト中継装置及びネットワーク管理ステーションを用いる
ことにより、ネットワークを流れる情報の不正な取り込
みを目的とした機器や、事前に登録されていない不正な
機器、重複したアドレスや不正なサブネットワークアド
レスが割当てられた機器のネットワークへの接続を防止
することができ、ネットワークの機密を保護し、不正な
アドレスによるネットワーク障害を防止できる。

【００３６】なお、本実施例にあっては、マルチポート
中継装置１０として、ＩＥＥＥ８０２．３Ｉ／Ｔｙｐｅ
１０ＢＡＳＥ−Ｔ規格に準拠したハブを用いたが、ＩＥ
ＥＥ８０２．３Ｊ／Ｔｙｐｅ１０ＢＡＳＥ−Ｆ規格に基
づいて構成してもよい。また、接続承認手段１１はマル
チポート中継装置１０内のマイクロプロセッサで構成し
てもよい。

【００３７】

【発明の効果】本発明は次の如き優れた効果を発揮す
る。

【００３８】（１）ネットワークを流れる情報の不正入
手が防止されるので、ネットワークの機密性が守られ、
安全性が向上する。

【００３９】（２）不正なアドレスによるネットワーク
障害が防止されるので、通信の信頼性が向上する。

【図面の簡単な説明】

【図１】本発明の一実施例を示すブロック図である。

【符号の説明】

１、２、３、４ ポート １０ マルチポート中継装置 １１ 接続承認手段

Claims (3)

【特許請求の範囲】
1. 【請求項１】 ネットワークセグメントを構成すべく入
   力ポートと該入力ポートの対になる出力ポートからなる
   複数のポートを有し、ポートに接続された機器から物理
   的もしくは論理的な接続完了後直ちに若しくは事前に指
   定した有効期間内に、少なくとも接続された機器の物理
   的もしくは論理的なアドレス情報を含む接続承認用のフ
   レームが送信されないとき、このポートに対するフレー
   ムの送信を中止する接続承認手段を具備することを特徴
   とするマルチポート中継装置。
2. 【請求項２】 ネットワークセグメントを構成すべく入
   力ポートと該入力ポートの対になる出力ポートからなる
   複数のポートを有し、且つネットワーク管理ステーショ
   ンが接続され、ポートに接続された機器から、少なくと
   も接続された機器の物理的もしくは論理的なアドレス情
   報を含む接続承認用のフレームを受信し、この接続承認
   用のフレームに含まれる情報を元に、当該ポートへの中
   継の継続を判断し、中継が適当でないと判断するか或い
   は、上記ネットワーク管理ステーションからの情報で中
   継中止の判定が与えられたときには、このポートへの中
   継を中止する接続承認手段を具備することを特徴とする
   マルチポート中継装置。
3. 【請求項３】 上記接続承認手段は、上記接続承認用の
   フレームに含まれるアドレス情報が、マルチポート中継
   装置若しくは上記ネットワーク管理ステーションに事前
   に登録されたデータベースに含まれない場合、或いは現
   在他の接続機器において使用中のアドレスと重複する場
   合、或いはマルチポート中継装置で構成されるネットワ
   ークセグメント内において許されない値の場合、中継が
   適当でないと判断するように構成されていることを特徴
   とする請求項２記載のマルチポート中継装置。