JPH06334671A - ローカルエリアネットワーク監視システム - Google Patents

Abstract

(57)【要約】 【目的】 ネットワークの性能低下を招くことなく、高
いセキュリティおよび管理運用の効率化を実現すること
が可能なローカルエリアネットワーク監視技術を提供す
る。 【構成】 ネットワーク監視装置１ａが接続されたセグ
メント２に対して、マシン名５３，ＩＰアドレス５１，
ＭＡＣアドレス５２等からなるメモリ情報５ａ〜５ｎを
備えたマシン３ａ〜３ｎが接続されている。ネットワー
ク監視装置１ａの記憶装置４にはセグメント２に接続許
可されたマシン３ａ〜３ｎのメモリ情報が登録される。
任意のマシン３ａ〜３ｎの一つが電源投入に際してセグ
メント２に発行する、メモリ情報５ａ〜５ｎを含む信号
をネットワーク監視装置１ａが検知して、自身の記憶装
置４内の情報と照合し、未登録の場合には当該マシンに
宛てた衝突信号を発行して未登録マシンのアクセスを阻
止し、プリンタ１ｂに印字出力する。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、ローカルエリアネット
ワーク監視技術に関し、特に、衝突検出型搬送波多重ア
クセス（ＣＳＭＡ／ＣＤ）方式を用いるイーサネット
（Ethernet）等のローカルエリアネットワークの管理運
用に適用して有効な技術に関するものである。

【０００２】

【従来の技術】従来、ローカルエリアネットワーク（以
下、ＬＡＮと略記する）に接続されたマシン（端末）が
保有するソフトウェア財産に対し、ＬＡＮ入口のルータ
によるセキュリティ機能でハッカ（侵入者）をＬＡＮに
侵入させない防御策が主である。つまり、ルータで接続
されたセグメント間では、自セグメントから他セグメン
トへの通信に対し、ルータが許可したマシンの信号のみ
ルータを通過させ、許可されていないマシンの信号に対
しては一切の信号を他のセグメント上に送出せず、セキ
ュリティを維持しようとするものが知られている。

【０００３】一方、例えば、通信網などのネットワーク
資源を効率的に運用するためのネットワーク管理技術と
しては、特開平２−２７１７５４号公報に開示される技
術が知られている。すなわち、ネットワーク管理装置と
通信機器の間に中間変換装置を設け、マシン言語と共通
中間言語を相互に変換することにより、通信機器を一元
的に管理しようとするものである。

【０００４】

【発明が解決しようとする課題】ところが上記従来技術
では、ネットワーク管理装置に中間変換装置を介して接
続された通信装置の送受信信号は一元的に管理できるも
のの、中間変換装置を介さずに接続された通信装置の管
理技術については言及していない。

【０００５】このため、たとえば、ＬＡＮの移設や再構
築などの作業において、マシンの誤接続等によって当該
マシンが運用不能状態に陥っても、当該マシンの操作者
は故障原因の特定ができず、ＬＡＮに接続された全マシ
ンをしらみ潰しにチェックする等の煩雑な作業が必要と
なる。

【０００６】また、ＬＡＮに接続する全ての通信装置に
中間変換装置が必要となるので、コストが嵩むばかりで
なく、ネットワーク管理装置が信号を解析できるよう
に、中間変換装置で信号を変換することから、通信速度
の低下が避けられなくなるなどの問題を生じる。

【０００７】従って本発明の目的は、ネットワークの性
能低下を招くことなく、高いセキュリティおよび管理運
用の効率化を実現することが可能なローカルエリアネッ
トワーク監視技術を提供することにある。

【０００８】本発明の前記ならびにその他の目的と新規
な特徴は、本明細書の記述および添付図面から明らかに
なるであろう。

【０００９】

【課題を解決するための手段】本願において開示される
発明のうち、代表的なものの概要を簡単に説明すれば、
下記のとおりである。

【００１０】本発明のローカルエリアネットワーク監視
システムは、少なくとも一つのセグメントに接続された
複数の端末装置の間で、衝突検出型搬送波多重アクセス
方式によって情報の授受を行うローカルエリアネットワ
ークにおいて、ネットワーク管理者がセグメント上に接
続許可した端末装置の識別情報を登録する記憶手段と、
この記憶手段に未登録の端末装置に対して衝突信号を発
行する制御論理とからなり、セグメントの任意の位置に
接続されるネットワーク監視装置を備え、ネットワーク
監視装置は、記憶手段に登録済みの識別情報を有する受
発信信号のセグメント中の通過は黙認し、記憶手段に未
登録の識別情報を有する受発信信号を検出した時は直ち
に衝突信号をセグメントに発行する動作を行うようにし
たものである。

【００１１】

【作用】上記した本発明のローカルエリアネットワーク
監視システムによれば、たとえば、セグメントに接続さ
れる複数の端末の各々には、それぞれ、たとえばＩＰア
ドレスおよびＭＡＣアドレスおよび端末名などからなる
識別情報を付与して記憶させておくとともに、ネットワ
ーク監視装置の記憶手段には、各端末の識別情報を予め
記憶させておく。

【００１２】そして、端末の電源投入時に、当該端末に
関する識別情報を含み、ネットワーク環境を立ち上げた
ことを示す受発信信号の一種であるブロードキャスト信
号がセグメント上に発行され、ネットワーク監視装置
は、このブロードキャスト信号を受信し、ネットワーク
監視装置内の記憶手段の識別情報を検索し、照合する。
この時、記憶手段内に受信した当該端末の識別情報が存
在する場合には、当該端末のセグメントに対するアクセ
スを黙認し、特になにも行わない。一方、記憶手段内に
当該識別情報が存在しないと判明した場合には、制御論
理が自動的に当該端末に対して衝突信号を発行し、当該
端末によるＬＡＮの利用を阻止し、必要に応じて、利用
を阻止した当該端末に関する識別情報を印字出力するな
どの操作を行う。

【００１３】

【実施例】以下、本発明の実施例を図面を参照しながら
詳細に説明する。

【００１４】（実施例１）図１は、本発明の一実施例で
あるローカルエリアネットワーク監視システムの構成の
一例を示す概念図である。

【００１５】本実施例のＬＡＮは、一つのセグメント２
を備えており、このセグメント２には、ネットワーク監
視装置１ａと、複数のマシン３ａ，マシン３ｂ・・・・
マシン３ｎが接続されている。

【００１６】セグメント２に接続された複数のマシン３
ａ〜３ｎの各々には、自身を一意的に特定するグローバ
ルなＩＰアドレス５１，ＭＡＣアドレス５２と、当該ア
ドレス対応のマシン名５３とが格納されたメモリ情報５
ａ〜５ｎが設けられており、このメモリ情報５ａ〜５ｎ
内のデータは、個々のマシン３ａ〜３ｎがセグメント２
にアクセスする際のブロードキャスト信号等の受発信信
号の一部を構成する。

【００１７】この場合、ネットワーク監視装置１ａに
は、セグメント２に接続された複数のマシン３ａ〜３ｎ
の各々に付与されたマシン名４３，ＩＰアドレス４１，
ＭＡＣアドレス４２と、各マシンを使用中のユーザを特
定するユーザ名４４が格納される記憶装置４と、プリン
タ１ｂとが備えられている。

【００１８】また、ネットワーク監視装置１ａ内には、
セグメント２を監視し、セグメント２に接続されたマシ
ン３ａ〜３ｎの各々において、電源投入時等に際して当
該マシンがセグメント２に関するネットワーク環境を立
ち上げたことを示す受発信信号の一種であるブロードキ
ャスト信号を発行した時に、当該受発信信号を検知する
制御論理が設けられている。

【００１９】そして、この制御論理は、検知した当該受
発信信号に含まれるマシン名５３，ＩＰアドレス５１，
ＭＡＣアドレス５２によって、記憶装置４内をサーチ
し、対応するマシン名４３，ＩＰアドレス４１，ＭＡＣ
アドレス４２が記憶装置４に存在する場合には、なにも
せず、セグメント２に対する当該マシンのアクセスを黙
認する。

【００２０】一方、当該マシン名５３，ＩＰアドレス５
１，ＭＡＣアドレス５２が記憶装置４に存在しない場合
には、当該マシンの発行した受発信信号に含まれるＩＰ
アドレス５１、ＭＡＣアドレス５２を指定して衝突信号
をセグメント２に発行し、当該マシンのセグメント２に
対するアクセスを不能にするとともに、アクセスを不能
にした当該マシンに関するマシン名５３，ＩＰアドレス
５１，ＭＡＣアドレス５２等の情報を必要に応じてプリ
ンタ１ｂに出力する、という動作を行う。

【００２１】以下、本実施例のローカルエリアネットワ
ーク監視システムの作用の一例を説明する。

【００２２】まず、ネットワーク監視装置１ａは、常時
通電されて正常に稼働している状態にあり、また、それ
に接続されているプリンタ１ｂも正常に稼働している。
そして、マシン３ａ〜３ｎは電源ＯＦＦの状態にあり、
セグメント２にはエラー信号は無く、トラヒック量が通
信に影響する状態にはない。

【００２３】このような状態から、たとえばマシン３ａ
の電源をＯＮすると、マシン３ａに設けられたメモリ情
報５ａに保持されている当該マシン３ａのグローバルな
ＩＰアドレス５１，ＭＡＣアドレス５２等の情報を含む
受発信信号の一種であるブロードキャスト信号がセグメ
ント２に発行される。

【００２４】ネットワーク監視装置１ａでは、このブロ
ードキャスト信号を受信し、当該ブロードキャスト信号
に含まれるＩＰアドレス５１，ＭＡＣアドレス５２，マ
シン名５３等の情報によって、自身の記憶装置４内に予
め設定／格納されているＩＰアドレス４１，ＭＡＣアド
レス４２，マシン名４３等の情報を検索し、照合する。
この検索照合操作は、マシン名５３，ＩＰアドレス５
１，ＭＡＣアドレス５２の順序で行われ、全てのデータ
が一致したら、当該マシン３ａは、正式な登録マシンで
あると判断され、当該マシン３ａによるセグメント２へ
のアクセスは黙認される。

【００２５】一方、たとえば、セグメント２への誤接続
等の原因によって、マシン３ｂに関する情報がネットワ
ーク監視装置１ａの記憶装置４に未登録であるとする。

【００２６】この時、マシン３ｂの電源をＯＮすると、
当該マシン３ｂに設けられたメモリ情報５ｂの内容を含
むブロードキャスト信号がセグメント２に発行される。
ネットワーク監視装置１ａでは、検知したマシン３ｂの
ブロードキャスト信号に付随したメモリ情報５ｂと、記
憶装置４内の情報とを前述のマシン３ａの場合と同様の
手順で照合し、マシン名５３の検索を行った時点で未登
録と判明する。

【００２７】そして、ネットワーク監視装置１ａは、受
信したメモリ情報５ｂ宛に衝突信号を送信し、未登録の
マシン３ｂがセグメント２にアクセスすることを阻止す
るとともに、マシン３ｂに関するメモリ情報５ｂをプリ
ンタ１ｂに出力する。

【００２８】これにより、セグメント２に未知のマシン
３ｂがアクセスすることを確実に防止でき、セキュリテ
ィの向上が図れる。また、ネットワーク管理者は、プリ
ンタ１ｂの出力を参照することにより、セグメント２上
にどのような未登録マシンが接続されたかを迅速に知る
ことができ、たとえば、マシンの誤接続等の障害の特定
も迅速に行える。

【００２９】さらに、セグメント２と各マシン３ａ〜３
ｎの間に、信号の変換を行う特別な変換装置等も全く不
要であり、変換操作に伴うオーバーヘッド等に起因する
性能低下が発生することもない。

【００３０】（実施例２）図２は、本発明の他の実施例
であるローカルエリアネットワーク監視システムの構成
を示す概念図である。

【００３１】この実施例２の場合には、ネットワーク監
視装置６が接続されたセグメント７ａに対して、他の複
数のセグメント７ｂ，７ｃを、通信装置リピータ８や通
信装置ブリッジ９を介して並列に接続したものである。

【００３２】この場合、通信装置リピータ８や通信装置
ブリッジ９は、自身の、後述のＯＳＩ参照モデルにおけ
るレイヤ（層）により、信号の透過および透過不可の制
御を行うように設定されている。

【００３３】すなわち、図３は、ＩＳＯ（Internationa
l Organization for Standardization：国際標準化機
構）が定めたデータ通信の標準モデルであるＯＳＩ（Op
en Sysytems Interconnection ：開放型システム間相互
接続）参照モデルであり、７つのレイヤに機能分けされ
ている各階層と、ＬＡＮにおいて主に使用される機器の
当該参照モデル内における位置付けを示している。

【００３４】同図において、リピータは、物理層が共通
な二つのネットワークを接続する機器で、ネットワーク
上の電気あるいは光信号を単純に中継するものである。

【００３５】また、ブリッジは、データリンク層が共通
な二つのＬＡＮを相互に接続する機器であり、一方のＬ
ＡＮからデータを受信し、他方のＬＡＮに中継する。そ
の際、マシンの電源をＯＮした一回目の信号（ブロード
キャスト信号）は中継するが、二回目以降の信号は、中
継すべきデータか否かの判断をデータリンク層のアドレ
ス（たとえばグローバルアドレス）で行う。

【００３６】本実施例２の場合には、通信装置リピータ
８は、ネットワーク上の信号を単純に中継するものであ
るから、セグメント７ｂ上にあるマシン１０ａについて
は、ネットワーク監視装置６で常時監視することができ
る。

【００３７】また、通信装置ブリッジ９は、前述のとお
り、マシン１０ｂの電源をＯＮすると、一回目のブロー
ドキャスト信号は中継するので、ネットワーク監視装置
６で監視することができる。

【００３８】このように、複数のセグメント７ａ，７
ｂ，７ｃを、通信装置リピータ８や通信装置ブリッジ９
などで相互に接続したネットワーク構成においても、一
つのセグメント７ａに設けられたネットワーク監視装置
６によって未登録のマシンの接続の有無を確実に知るこ
とができ、ネットワークのセキュリティや保守性が確実
に向上する。

【００３９】以上本発明者によってなされた発明を実施
例に基づき具体的に説明したが、本発明は前記実施例に
限定されるものではなく、その要旨を逸脱しない範囲で
種々変更可能であることはいうまでもない。

【００４０】

【発明の効果】本願において開示される発明のうち、代
表的なものによって得られる効果を簡単に説明すれば、
以下のとおりである。

【００４１】本発明のローカルエリアネットワーク監視
システムによれば、ネットワークの性能低下を招くこと
なく、高いセキュリティおよび管理運用の効率化を実現
することができる、という効果が得られる。

【図面の簡単な説明】

【図１】本発明の一実施例であるローカルエリアネット
ワーク監視システムの構成の一例を示す概念図である。

【図２】本発明の他の実施例であるローカルエリアネッ
トワーク監視システムの構成を示す概念図である。

【図３】ＩＳＯが定めたデータ通信の標準モデルである
ＯＳＩ参照モデルを示す概念図である。

【符号の説明】

１ａ ネットワーク監視装置 １ｂ プリンタ ２ セグメント ３ａ〜３ｎ マシン（端末装置） ４ 記憶装置（記憶手段） ５ａ〜５ｎ メモリ情報（識別情報） ６ ネットワーク監視装置 ７ａ〜７ｃ セグメント ８ 通信装置リピータ ９ 通信装置ブリッジ １０ａ，１０ｂ マシン（端末装置） ４１ ＩＰアドレス ４２ ＭＡＣアドレス ４３ マシン名 ４４ ユーザ名 ５１ ＩＰアドレス ５２ ＭＡＣアドレス ５３ マシン名

Claims (1)

【特許請求の範囲】
1. 【請求項１】 少なくとも一つのセグメントに接続され
   た複数の端末装置の間で、衝突検出型搬送波多重アクセ
   ス方式によって情報の授受を行うローカルエリアネット
   ワークにおいて、ネットワーク管理者が前記セグメント
   上に接続許可した前記端末装置の識別情報を登録する記
   憶手段と、この記憶手段に未登録の前記端末装置に対し
   て衝突信号を発行する制御論理とからなり、前記セグメ
   ントの任意の位置に接続されるネットワーク監視装置を
   備え、前記ネットワーク監視装置は、前記記憶手段に登
   録済みの前記識別情報を有する受発信信号の前記セグメ
   ント中の通過は黙認し、前記記憶手段に未登録の前記識
   別情報を有する前記受発信信号を検出した時は直ちに前
   記衝突信号を前記セグメントに発行する動作を行うこと
   を特徴とするローカルエリアネットワーク監視システ
   ム。