JPH05327717A - セキュリティ方式 - Google Patents

Abstract

(57)【要約】 【目的】 複数の幹線ＬＡＮにまたがるネットワ−クに
対しても、セキュリティの高い、しかも離れたＬＡＮか
らも同一グル−プ間毎での、自由な通信を許すセキュリ
ティ方式を得ることを目的とする。 【構成】 ＬＡＮを接続するノ−ド装置において、フイ
ルタリング・テ−ブルとして、端末番号と、各端末がそ
のノ−ド装置に接続するポ−ト番号を対にして登録、記
憶しする手段を設け、フィルタリング動作は、宛先端末
のポ−ト番号を見て必要ポ−トに中継し、それ以外のポ
−トには中継しないようにした。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】この発明は幹線ロ−カルエリアネ
ットワ−ク（以下ＬＡＮと称す）と複数の支線ＬＡＮと
を接続するノ−ド装置を用いたシステムのセキュリティ
方式に関するものである。

【０００２】

【従来の技術】図７は特願平２−１１３６６９号に記載
された、従来のノ−ド装置の構成ブロック図である。ま
た図８は図７のノ−ド装置の動作を示すフロ−チャ−ト
図であり、図９は図７のノ−ド装置を用いたネットワ−
クシステムの構成図である。図９において、４０は幹線
ＬＡＮ、４１から４４は支線ＬＡＮを示し、Ｔは端末、
ＴＡ１からＴＡ５は端末アドレスを、またＮ１０からＮ
４０はノ−ド装置を示す。またＧ１、Ｇ２はグル−プ番
号であり、ＴＢ１からＴＢ４はノ−ド装置内のフィルタ
リングテ−ブルであり、ＴＴＢ１からＴＴＢ４は同じく
ノ−ド装置内の特権端末テ−ブルである。７０から７３
は、端末装置間の通信を示す矢印である。図７におい
て、３０はノ−ド装置を示し、３１はノ−ド装置内の幹
線制御部、３２は支線制御部、３３はノ−ド装置全体の
制御をする中央制御部である。更に３４のメモリが他の
構成要素と共に３５のバスに接続され、３６の比較部、
３７のフィルタリングテ−ブル、３８の特権端末テ−ブ
ル、３９のデ−タバッファも構成要素となっている。

【０００３】次にこの従来例の動作を説明する。ノ−ド
装置Ｎｉ（図９ではＮ１０からＮ４０）は支線ＬＡＮ上
に送出される全ての通信フレ−ムの内容を監視し、フィ
ルタリングテ−ブルＴＢｉ（図９ではＴＢ１からＴＢ
４）を自動的に生成する。すなわち、各ノ−ド装置Ｎ１
０ないしＮ４０は受信したフレ−ムフォ−マットの送信
元アドレスＳＡを調べることにより、自支線ＬＡＮ内に
どのような端末アドレスが接続されているかを知ること
ができる。また送信先アドレスＤＡを調べ、他のＬＡＮ
にどのようなアドレスの端末があるかを知ることができ
る。フィルタリングテ−ブルＴＢｉにこれらの情報を自
動的に登録して、自支線ＬＡＮ、他のＬＡＮ系統ごとに
端末アドレスを整理しておく。ノ−ド装置Ｎｉはフレ−
ムを受信すると、宛先アドレスＤＡを検索し（ステップ
５１）、自ＬＡＮ宛であれば廃棄し（ステップ５２）、
他ＬＡＮ宛であれば中継する（ステップ５３）。こうし
てフィルタリング動作が行われ、トラフィックが抑えら
れる。

【０００４】他ＬＡＮから送られてきたフレ−ムは、グ
ル−プ間通信のためにグル−プ番号を比較し、自ＬＡＮ
への宛先であれば（ステップ６２）、受け入れて中継し
（ステップ６３）端末に送る。この例では、グル−プ間
通信の他に、特権端末の思想も取り入れ、グル−プが異
なっても特定端末間では通信が行われるように考慮され
ている。すなわち、グル−プ番号が一致しなくても（ス
テップ６１）、特権端末として登録されている端末宛で
あれば（ステップ６５）、中継して転送する（ステップ
６７）。自ＬＡＮ宛でなく、特権端末に登録もされてい
なければ廃棄する。以上のフィルタリング手段を持たせ
たことにより、図９に示す、異なるＬＡＮ間にまたがる
同一グル−プ（例えばＧ１）内の通信７１が可能にな
り、異なるグル−プ（例えばＧ１とＧ２）間の通信７２
は阻止される。そして異なるグル−プ間の通信であって
も、登録されていれば通信７３が可能になる。

【０００５】

【発明が解決しようとする課題】従来のノ−ド装置は以
上のように構成され、セキュリティ方式は以上のように
動作したので、一つの幹線ＬＡＮと複数の支線ＬＡＮの
ネットワ−クに対してはセキュリティが働き、かつ自由
度の高い通信ができる。しかし複数の幹線ＬＡＮを接続
したより大きなネットワ−クについては考慮されておら
ず、ＬＡＮ間のトラフィックを減らし、かつ複数のグル
−プ間通信を可能にし、しかも決められたグル−プ間通
信だけを認めるセキュリティを保証することができない
という課題があった。

【０００６】この発明は上記の課題を解決するためにな
されたもので、各ノ−ドにポ−ト番号を振り当て、複数
幹線ＬＡＮにまたがるネットワ−クについても、セキュ
リティの高い、しかも離れたＬＡＮからも同一グル−プ
間毎の自由な通信を許すセキュリティ方式を得ることを
目的とする。

【０００７】

【課題を解決するための手段】この発明に係わるセキュ
リティ方式は、ＬＡＮ間の接続のためのノ−ド装置のフ
ィルタリング用のテ−ブルとして、端末番号と各端末が
ノ−ド装置に接続するポ−ト番号とを対にして登録、記
憶する手段を設け、さらにフィルタリング動作は、この
テ−ブルのポ−ト番号を見て、必要なポ−トに対してだ
け中継するようにした。請求項２の発明は、更に通信フ
レ−ムにグル−プ番号を付与して中継し、支線への中継
に対しては、グル−プ番号とポ−ト番号が共に一致する
フレ−ムだけを必要支線に中継するようにした。

【０００８】

【作用】この発明におけるセキュリティ方式は、端末番
号とポ−ト番号が対になって記憶され、記憶されている
ポ−トに対して、フレ−ムが転送される。または更にグ
ル−プ番号が一致するフレ−ムだけが転送される。

【０００９】

【実施例】

実施例１．図１はこの発明の一実施例のセキュリティ方
式を適用したノ−ド装置の構成ブロック図である。図に
おいて、１１はフィルタリング・テ−ブルで詳細は後で
説明する。１２はノ−ド装置全体を制御する中央制御
部、３１は従来と同じノ−ド装置内の幹線制御部、４
３、４４は広域網等を経由して他の幹線ＬＡＮ等に送受
信される通信を制御する広域側制御部である。図２は図
１のフィルタリング・テ−ブル１１の登録、記憶内容を
示す図である、端末番号とポ−ト番号とが対になって記
憶されている。図３はその具体的な様子を示した図であ
り、図４に示すネットワ−ク構成図中の、対応するノ−
ド装置のフィルタリング・テ−ブルの状態図である。図
４で、１、２、３は各々幹線ＬＡＮであり、Ｎ１０、Ｎ
１１、Ｎ２０等のＮｉはノ−ド装置で、ＴＢ₁₀、Ｔ
Ｂ₁₁、ＴＢ₂₀等のＴＢｉは各ノ−ド装置内のフィルタリ
ング・テ−ブルである。Ｔは端末で、ＴＡ１〜ＴＡ４は
その端末番号である。また、Ｐ₁ 、Ｐ₂ 、Ｐ₃ 等はその
ノ−ド装置が接続するノ−ド装置毎のポ−ト番号であ
る。またＧ１、Ｇ２、Ｇ３は必要に応じてグル−プ間だ
けに通信を制限するセキュリティ用のグル−プ番号、Ｃ
１、Ｃ２、Ｃ３は端末間の通信を表す。

【００１０】次にこの実施例の動作について説明する。
図５は、図１に示すノ−ド装置がＬＡＮ間通信に関して
動作する様子を説明するフロ−チャ−ト図である。この
動作は主として図１の中央制御部１が、通信フレ−ムに
対し中継（フォワ−ディング）または廃棄の判断をす
る。幹線ＬＡＮ１につながる支線ＬＡＮにある端末（ア
ドレスＴＡ１）から、幹線ＬＡＮ２につながる支線ＬＡ
Ｎにある端末（アドレスＴＡ２）に通信する、通信Ｃ２
を考える。ここでノ−ド装置Ｎ１０、Ｎ２０には既に端
末番号の学習がされてそのフィルタリング・テ−ブルＴ
Ｂ₁₀、ＴＢ₂₀に図３の値が記憶されているものとする。
ノ−ド装置Ｎ１１、Ｎ２１内のフィルタリング・テ−ブ
ルにも同様の値が記憶されている。ノ−ド装置Ｎ１１は
端末アドレスＴＡ１から通信フレ−ムを受信すると、宛
先アドレスＴＡ２を見て幹線ＬＡＮ１上にポ−トＰ１を
経由して送信する。ノ−ド装置１０はこのフレ−ムをポ
−トＰ１から受信すると（図５ステップＳ１）、宛先ア
ドレスＴＡ２を見て図３の宛先テ−ブルを検索し（図５
ステップＳ３）、この場合は受け取ったポ−トＰ１以外
のポ−トに中継する（ステップＳ６）。もし、ＴＢ₁₀の
内容がＴＡ２に対してＰ１が登録されていた場合には、
受け取ったポ−トＰ１に対してはフレ−ムを中継せず廃
棄する（ステップＳ５）。なお、宛先が登録されていず
不明の場合は、受け取ったポ−ト以外の全てのポ−トへ
同じ内容のフレ−ムを中継する（ステップＳ８）。

【００１１】ノ−ド装置Ｎ２０は、ノ−ド装置Ｎ１０か
らのフレ−ムをポ−トＰ２から受信すると（ステップＳ
１）、宛先アドレスＴＡ２を見て図３の宛先テ−ブルを
検索し（ステップＳ３）、受け取ったポ−トＰ２以外の
ポ−トに中継する（ステップＳ６）。ノ−ド装置Ｎ２１
は宛先アドレスＴＡ２を見てポ−トＰ２から支線ＬＡＮ
に中継し、端末アドレスＴＡ２の端末にフレ−ムが送ら
れる。

【００１２】実施例２．上記実施例では、グル−プ番号
をつけない例を説明したが、複数の幹線ＬＡＮにわたる
システムに対しセキュリティを保証する例として、グル
−プ番号を与える場合を説明する。図４において、ネッ
トワ−ク間で点線で示すグル−プＧ１、Ｇ２、Ｇ３を設
定し、グル−プ内の端末間でだけ通信を許すものとす
る。この場合にはＣ１、Ｃ３の通信は許され、Ｃ２の通
信は許されない。このときは図５でステップＳ７、Ｓ９
が追加される。また、受信側の支線へ接続するノ−ド装
置では、従来例の図８（ｂ）の処理動作をするものとす
る。図５において、端末番号ＴＡ１から端末番号ＴＡ２
への通信Ｃ２を説明する。ノ−ド装置Ｎ１１は、端末Ｔ
Ａ１からのフレ−ムをポ−ト２から受けると、ポ−ト２
以外のポ−トにグル−プ番号Ｇ１を付加したフレ−ムを
中継する。同様にノ−ド装置Ｎ１０はポ−トＰ１からフ
レ−ムを受け、アドレス検索後、ポ−トＰ１以外のポ−
トからグル−プ番号Ｇ１を外さずに中継、送信する。以
後、実施例１で述べたノ−ド装置を経て、グル−プ番号
Ｇ１を付加したフレ−ムがノ−ド装置Ｎ２１に到着し、
そこでグル−プ番号が外され、フレ−ムが支線ＬＡＮの
端末ＴＡ２に送られる。

【００１３】グル−プが異なる端末間のセキュリティ
は、以下に述べるように保証される。即ち、グル−プＧ
１Ｇ２間の通信である端末ＴＡ１と端末ＴＡ３間の通信
Ｃ２では、途中の各ノ−ド装置ではフレ−ムが廃棄され
ないのでノ−ド装置Ｎ２１に到着する。しかしノ−ド装
置Ｎ２１が持っている従来例の処理と同様に、自支線Ｌ
ＡＮに接続された端末へのグル−プ照合手段でグル−プ
番号が異なればフレ−ムが廃棄され（図８ステップ６
１）、端末には到達しない。

【００１４】実施例３．実施例１．実施例２．ではノ−
ド装置Ｎｉの動作として図５の処理動作をするとした
が、中央制御部１２の動作として図８のステップＳ６と
して、「宛先アドレスと対になっているポ−トにだけフ
ォワ−ディング」する処理に変更すれば、各ノ−ド装置
Ｎｉの中継動作は短縮され、かつトラフィックを減らす
ことができる。例えば、ノ−ド装置Ｎ１０が端末番号Ｔ
Ａ１から端末番号ＴＡ２へのフレ−ムを受け取ると、ポ
−トＰ２にだけ中継する（図５ステップＳ６）。同様
に、ノ−ド装置Ｎ２０はこれをポ−トＰ１にだけ中継す
る。

【００１５】実施例４．図６はグル−プＧ１、Ｇ２、Ｇ
３としてそれぞれＡ社、Ｂ社、Ｃ社がもっぱら使用する
例を示したシステム構成図である。このように各社別に
グル−プ番号を割り当てることで、幹線ＬＡＮ間を相互
接続する伝送路および幹線ＬＡＮ間を接続する装置を共
有しながら、東京と大阪という遠く離れた場所にまたが
って自社端末間では通信が自由に、しかも各社が互いに
自社間以外の通信を許さないセキュリティ運用が可能と
なる。

【００１６】実施例５．さらに、図１の中央制御部１２
によって、図２のフィルタリング・テ−ブルにおける各
端末番号毎にタイマを持ち、ある一定時間内にその端末
番号の再登録（タイマ値の更新）がなければ、その端末
番号をフィルタリング・テ−ブルから削減する機能を付
加することにより、端末の移設やネットワ−ク構成の変
更に自動的に柔軟に対応できる。

【００１７】

【発明の効果】以上のようにこの発明によれば、幹線Ｌ
ＡＮ間にわたる通信に対してノ−ド装置に、端末番号と
それがノ−ド装置に接続するポ−ト番号とを対にしたフ
ィルタリング・テ−ブルを設け、このテ−ブルを見て必
要なポ−トにだけ中継するようにしたので、または更に
通信フレ−ムにグル−プ番号を付与して中継するように
したので、複数幹線ＬＡＮ間の通信に対しても、セキュ
リティの高い、しかも離れたＬＡＮからも同一グル−プ
間毎の自由な通信ができる効果がある。

【図面の簡単な説明】

【図１】本発明の一実施例を適用したノ−ド装置の構成
ブロック図である。

【図２】図１のノ−ド装置のフィルタリング・テ−ブル
を示す図である。

【図３】図２の具体的な値の様子を表した図である。

【図４】本発明を説明するためのネットワ−ク構成図で
ある。

【図５】ノ−ド装置のフィルタリング動作を説明するフ
ロ−チャ−ト図である。

【図６】本発明の他の実施例を示す広域システム構成図
である。

【図７】従来のノ−ド装置の構成ブロク図である。

【図８】従来のノ−ド装置の動作を示すフロ−チャ−ト
図である。

【図９】図７のノ−ド装置を用いたネットワ−クシステ
ム構成図である。

【符号の説明】

１１ フィルタリング・テ−ブル １２ 中央制御部 Ｎ１、Ｎ２ ポ−ト番号 Ｎ１０、Ｎ２０、Ｎ３０、Ｎｉ ノ−ド装置 Ｐ１、Ｐ２、Ｐ３ ポ−ト ＴＡ１、ＴＡ２、ＴＡ３、ＴＡ４ 端末アドレス ＴＢ₁₀、ＴＢ₂₀、ＴＢ₃₀ フィルタリング・テ−ブル例

Claims (2)

【特許請求の範囲】
1. 【請求項１】 幹線ロ−カルエリアネットワ−ク（以下
   ＬＡＮと称す）と支線ＬＡＮとを接続する、または幹線
   ＬＡＮ間を接続する複数のノ−ド装置において、 フィルタリング動作のためのフィルタリング・テ−ブル
   として、端末番号と各端末がそのノ−ド装置に接続する
   ポ−ト番号を対にして登録、記憶し、 上記ノ−ド装置のフィルタリング動作は、フィルタリン
   グ・テ−ブルを検索し宛先端末のポ−ト番号を見て必要
   ポ−トに中継し、それ以外のポ−トには中継しないこと
   を特徴とするセキュリティ方式。
2. 【請求項２】 複数の幹線ロ−カルエリアネットワ−ク
   （以下ＬＡＮと称す）と複数の支線ＬＡＮとを接続す
   る、または幹線ＬＡＮ間を接続する複数のノ−ド装置に
   おいて、 フィルタリング動作のためのフィルタリング・テ−ブル
   として、端末番号と各端末がそのノ−ド装置に接続する
   ポ−ト番号を対にして登録、記憶し、 また中継のための通信フレ−ムにはグル−プ番号を付与
   する方式とし、 上記ノ−ド装置のフィルタリング動作は宛先のポ−ト番
   号を見て、受信したフレ−ムのグル−プ番号を付与して
   中継し、それ以外のポ−トには中継せず、更に自支線Ｌ
   ＡＮ宛の通信フレ−ムに対してはグル−プ番号が異なる
   場合に廃棄し、グル−プ番号が同じ場合に中継送信する
   ことを特徴とするセキュリティ方式。