JPH05219060A - Ｌａｎ間接続装置 - Google Patents

Abstract

(57)【要約】 【目的】 特定の端末からのトラヒックを指定したＬＡ
Ｎ以外に流入させないようなパケットのフィルタリング
を高速に、且つ、ハードウエアの増加を伴わずに、実現
するＬＡＮ間接続装置を提供する。 【構成】 複数のＬＡＮ25〜28をデータリンク層または
ネットワーク層で接続するＬＡＮ間接続装置12におい
て、受信したパケットの送信元のアドレスによってパケ
ットをフィルタリングするフィルタリング手段を設け
る。ＬＡＮ間接続装置の連想メモリには、送信元アドレ
スによるフィルタリング・テーブルの記憶領域と宛先ア
ドレスによるフィルタリング・テーブルの記憶領域とを
設け、各領域の割合を各フィルタリング・テーブルのエ
ントリー数の比に応じて配分する。特定の端末を送信元
とするパケットは、このフィルタリング手段によって送
り先が限定される。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、複数のＬＡＮを接続し
てネットワークを構成するＬＡＮ間接続装置に関し、特
に、ＬＡＮ間のデータ伝送におけるセキュリティ機能を
持たせたものである。

【０００２】

【従来の技術】ＬＡＮ間接続装置は、図４に示すよう
に、端末41、42やデータベース・サーバ31、32等の機器
類を接続した各種のＬＡＮ20、21、22、23、24を繋いで
ネットワークを構成している。図４において、ＬＡＮ間
接続装置10は、バックボーン（幹線）ＬＡＮ20と支線Ｌ
ＡＮ21、22および23とを接続し、また、ＬＡＮ間接続装
置11は、バックボーンＬＡＮ20と支線ＬＡＮ24との間を
接続している。

【０００３】ＬＡＮ間接続装置の内部には、図３に示す
ように、各ＬＡＮとのインターフェースをとるＬＡＮイ
ンタフェース61、62、63、64と、各ＬＡＮから受信した
パケットを一時的に格納する共通メモリ２と、フィルタ
リング・テーブルを記憶する内容検索メモリ（連想メモ
リ：ＣＡＭ）３と、ＣＰＵ、ＲＯＭ、ＲＡＭおよび周辺
回路からなる制御部１と、各ＬＡＮインタフェース61〜
64、制御部１および共有メモリ２間の高速データ転送を
行なうデータ・バス５と、制御部１および連想メモリ３
間のデータ転送を行なうローカル・バス４とを備えてい
る。

【０００４】ＬＡＮ間接続装置11は、ある特定のプロト
コル（例えば、ＴＣＰ／ＩＰ）のパケットに対しては、
ネットワーク層での接続を提供し（すなわち、ルータと
して動作し）、その他のプロトコルのパケットに対して
はデータリンク層での接続を提供する（すなわち、ブリ
ッジとして動作する）。

【０００５】各ＬＡＮインタフェース61〜64から受信し
たパケットは、一旦、共有メモリ２に転送して記憶さ
れ、その後、パケットに含まれるネットワーク層あるい
はデータリンク層アドレス（ＭＡＣアドレス）に従っ
て、該当するＬＡＮインタフェース61〜64から送信され
る。

【０００６】内容検索メモリ３には、宛先ＭＡＣアドレ
スに対して送信すべきＬＡＮの物理的番号を定めたフィ
ルタリング・テーブルが記憶されている。このフィルタ
リング・テーブルは、図５に例示するように、宛先ＭＡ
Ｃアドレスに対応して、パケットを受信する受信ポート
（ＬＡＮ）毎の送信ポート（ＬＡＮ）の組合せについて
規定している。この例では、ＬＡＮ間接続装置が、接続
する３つのＬＡＮの内の第２のＬＡＮ（ポート２）か
ら、ＭＡＣアドレスＸ宛のパケットを受信した場合に
は、ポート１に送信（中継）し、ポート３には送信しな
いこと、また、第３のＬＡＮ（ポート３）からそのパケ
ットを受信した場合には、ポート１およびポート２から
送信すること等が規定されている。

【０００７】制御部１では、ＬＡＮ間接続装置からのパ
ケットの送信が、この内容検索メモリ３で設定したフィ
ルタリング・テーブルにしたがって処理されるように、
装置の制御を行なっている。また、この処理を高速で実
行できるように、アドレスの一致の判断には連想メモリ
が用いられている。

【０００８】この従来のＬＡＮ間接続装置におけるパケ
ット・フィルタリングは、ネットワーク間の不要なトラ
ヒックの増加を抑制し、また、パケットの送信先を特定
してセキュリティを確保する機能を果している。

【０００９】

【発明が解決しようとする課題】しかし、従来のＬＡＮ
間接続装置では、宛先アドレスによってフィルタリング
を行なっているため、ある端末からのトラヒックを別の
ＬＡＮに流入させないようなフィルタリングを行なうこ
とができない。例えば、図４のバックボーンＬＡＮ20上
のデータベース・サーバ31に対して、支線ＬＡＮ22の特
定の端末（データベース・サーバ32）からはアクセスで
きるが、一般の端末42からはアクセスできないような設
定とすることができず、そのような形でのセキュリティ
の実現を図ることができなかった。

【００１０】本発明は、このような従来の問題点を解決
するものであり、特定の端末からのトラヒックを指定し
たＬＡＮ以外に流入させないようなパケットのフィルタ
リングを高速に、且つ、ハードウエアの増加を伴わず
に、実現できるＬＡＮ間接続装置を提供することを目的
としている。

【００１１】

【課題を解決するための手段】そこで、本発明では、複
数のＬＡＮをデータリンク層またはネットワーク層で接
続するＬＡＮ間接続装置において、受信したパケットの
送信元のアドレスによってパケットをフィルタリングす
るフィルタリング手段を設けている。

【００１２】また、宛先アドレスによってパケットをフ
ィルタリングするフィルタリング手段と併せて前記送信
元アドレスによるフィルタリング手段を設けている。

【００１３】さらに、ＬＡＮ間接続装置に、送信元アド
レスによるフィルタリング・テーブルの記憶領域と宛先
アドレスによるフィルタリング・テーブルの記憶領域と
を具備する連想メモリを設け、各記憶領域の占める割合
を各フィルタリング・テーブルのエントリー数の比に応
じて配分している。

【００１４】

【作用】そのため、特定の端末を送信元とするパケット
の送り先のＬＡＮをフィルタリング手段によって限定す
ることができる。また、このフィルタリングに使用する
テーブルを、宛先アドレスによるフィルタリング・テー
ブルと共に連想メモリに記憶させることにより、ハード
ウエアの増設を必要としない。

【００１５】

【実施例】本発明の実施例におけるＬＡＮ間接続装置
は、図１に示すように、データベース・サーバ33を備え
たバックボーンＬＡＮ25と、データベース・サーバ34、
35、36および一般端末43、44、45、46、47を備えた複数
の支線ＬＡＮ26、27、28とを接続してネットワークを形
成している。ここで、一般端末43以外の端末33〜36、44
〜47は、ＴＣＰ／ＩＰプロトコルを実装しているものと
する。

【００１６】ＬＡＮ間接続装置12の内部構成は、図３に
示すものと変わりがない。ただ、内容検索メモリ（連想
メモリ）３には、図２のメモリ・マップに示すように、
ＭＡＣアドレスによるフィルタリング・テーブルを格納
するＭＡＣアドレス・フィルタリング領域52の外に、ネ
ットワーク層（ＩＰ）アドレスによるフィルタリング・
テーブルを格納するＩＰアドレス・フィルタリング領域
53が設けられている。

【００１７】このＩＰアドレス・フィルタリング領域53
のフィルタリング・テーブルは、送信元ＩＰアドレスに
よってパケット・フィルタリングを行なうためのテーブ
ルである。

【００１８】図１のネットワークにおいて、バックボー
ンＬＡＮ25のデータベース・サーバ33に対するアクセス
は、各支線ＬＡＮ26〜28のデータベース・サーバ34、3
5、36からは可能であるが、一般端末43〜47からはアク
セスできないものとする。但し、一般端末44〜47は、端
末43を除いて、各々の支線ＬＡＮ上のデータベース・サ
ーバ34〜36にはアクセスすることができる。

【００１９】このとき、ＬＡＮ間接続装置12の連想メモ
リ３のＩＰアドレス・フィルタリング・テーブルには、
送信元のＩＰアドレスに対応して、受信ポートと送信ポ
ートとの関係を次の（１）〜（４）のようにエントリ−
する。このエントリ−以外のＩＰアドレスに対しては、
全てフィルタリングされる。

【００２０】（１）送信元のＩＰアドレスがデータベー
ス・サーバ34のときは、ＬＡＮ26のポートからＬＡＮ25
のポートへの送信のみTrue、（２）送信元のＩＰアドレ
スがデータベース・サーバ35のときは、ＬＡＮ27のポー
トからＬＡＮ25のポートへの送信のみTrue、（３）送信
元のＩＰアドレスがデータベース・サーバ36のときは、
ＬＡＮ28のポートからＬＡＮ25のポートへの送信のみTr
ue、（４）送信元のＩＰアドレスがデータベース・サー
バ33のときは、ＬＡＮ25のポートから他の全てのＬＡＮ
26〜28のポートへの送信がTrue。

【００２１】ＬＡＮ間接続装置の制御部１では、パケッ
トを受信すると、そこに含まれる送信元のＩＰアドレス
から、ＩＰアドレス・フィルタリング・テーブルに基づ
いてパケットの送信先を決め、該当するＬＡＮに送信す
る。その結果、データベース・サーバ33に対しては、デ
ータベース・サーバ34、35、36からのアクセスのみが可
能となり、セキュリティが保持される。

【００２２】連想メモリ３では、システム固有領域51以
外の領域がＭＡＣアドレス・フィルタリング領域52とＩ
Ｐアドレス・フィルタリング領域53とに分割されるが、
この領域分割は、装置の初期化時に定められる。

【００２３】各領域の占める割合は、ＭＡＣアドレス・
フィルタリングのエントリ−数とＩＰアドレス・フィル
タリングのエントリー数との比に応じて設定される。

【００２４】このエントリ−数の比は、結局、プロトコ
ル別の端末数の分布に依存することになり、図１の例の
ように、大部分の端末が共通してＴＣＰ／ＩＰプロトコ
ルを実装し、それ以外のプロトコルの端末43の台数が少
ないネットワークでは、ブリッジ動作をするパケットの
発生量が少ないため、ＭＡＣアドレス・フィルタリング
領域52の占める割合は小さく、大部分がＩＰアドレス・
フィルタリング領域53として用いられる。

【００２５】このように、連想メモリをＭＡＣアドレス
・フィルタリング・テーブルとＩＰアドレス・フィルタ
リング・テーブルとに共用し、その領域の比率を端末の
状況に応じて決めることにより、ハードウエア資源の有
効利用が図れる。また、ＩＰアドレス・フィルタリング
を連想メモリで実現しているため、高速処理が可能とな
る。

【００２６】

【発明の効果】以上の実施例に基づく説明から明らかな
ように、本発明のＬＡＮ間接続装置では、パケットの送
信元のアドレスに基づいてフィルタリングすることによ
り、ネットワークの不要なトラヒックを制限し、セキュ
リティの向上を図ることができる。また、そのフィルタ
リングの動作を高速に処理することができ、さらに、従
来のＬＡＮ間接続装置と同程度のハードウエアによっ
て、このフィルタリングを実行することができる。

【図面の簡単な説明】

【図１】本発明のＬＡＮ間接続装置を用いた実施例にお
けるネットワーク構成図、

【図２】前記ＬＡＮ間接続装置の連想メモリのメモリ・
マップ概念図、

【図３】ＬＡＮ間接続装置の内部構成図、

【図４】従来のＬＡＮ間接続装置を用いたネットワーク
構成図、

【図５】従来のフィルタリング・テーブルを示す図であ
る。

【符号の説明】

１ 制御部 ２ 共有メモリ ３ 内容検索メモリ（連想メモリ） ４ ローカル・バス ５ データ・バス 10〜12 ＬＡＮ間接続装置 20、25 バックボーンＬＡＮ 21〜24、26〜28 支線ＬＡＮ 31〜36 データベース・サーバ 41〜47 一般端末 51 システム固有領域 52 ＭＡＣアドレス・フィルタリング領域 53 ＩＰアドレス・フィルタリング領域 61〜64 ＬＡＮインタフェース

───────────────────────────────────────────────────── フロントページの続き (72)発明者 武佐 睦 神奈川県横浜市港北区綱島東四丁目３番１ 号 松下通信工業株式会社内 (72)発明者 森 孝志 神奈川県横浜市港北区綱島東四丁目３番１ 号 松下通信工業株式会社内

Claims (3)

【特許請求の範囲】
1. 【請求項１】 複数のＬＡＮをデータリンク層またはネ
   ットワーク層で接続するＬＡＮ間接続装置において、受
   信したパケットの送信元のアドレスによって前記パケッ
   トをフィルタリングするパケット・フィルタリング手段
   を設けたことを特徴とするＬＡＮ間接続装置。
2. 【請求項２】 宛先アドレスによって前記パケットをフ
   ィルタリングするパケット・フィルタリング手段を併せ
   て具備することを特徴とする請求項１に記載のＬＡＮ間
   接続装置。
3. 【請求項３】 送信元アドレスによるフィルタリング・
   テーブルの記憶領域と宛先アドレスによるフィルタリン
   グ・テーブルの記憶領域とを具備する連想メモリを備
   え、前記各記憶領域の占める割合を前記各フィルタリン
   グ・テーブルのエントリー数の比に応じて配分したこと
   を特徴とする請求項２に記載のＬＡＮ間接続装置。