JPH0818582A - ネットワーク中継装置およびこれを使用したネットワークシステム - Google Patents

Abstract

(57)【要約】 【目的】各ポートを必要に応じてイネーブル／ディスエ
ーブル制御できるようにして、不正端末によるネットワ
ーク使用の防止を実現する。 【構成】ネットワーク中継装置１１は、ポートＰ１〜Ｐ
４にそれぞれ対応して設けられた受信イネーブル／ディ
スエーブル回路１Ｂ、および送信イネーブル／ディスエ
ーブル回路４Ａを有しており、これら回路は端末からの
コマンドによってその送信動作または受信動作がイネー
ブル／ディスエーブル制御される。このため、例えばネ
ットワークの管理者などが、ネットワーク上の端末アド
レスやプロトコルの監視によって不正端末の存在を発見
した場合には、その不正端末が存在するネットワークに
対応するポートの受信動作などを禁止することができ
る。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】この発明は、サーバ、ブリッジ、
ルータ、またはゲートウェイ等のネットワーク中継装
置、およびそのネットワーク中継装置を使用したネット
ワークシステムに関する。

【０００２】

【従来の技術】一般に、複数のＬＡＮ（ローカルエリア
ネットワーク）やＷＡＮ（ワイドエリアネットワーク）
を相互に接続する方式として、ブリッジ、ルータ、ゲー
トウェイ等のネットワーク中継装置が知られている。

【０００３】これら各ネットワーク中継装置は、ネット
ワークセグメントに接続される複数のポートを有してお
り、それらポート間で受信パケットの転送を行うことに
よってネットワークセグメントを相互接続する。ポート
間の転送は次のようなフィルタリング処理によって行わ
れる。

【０００４】例えば、第１および第２の２つのポートを
有するブリッジ装置が第１ポートでパケットを受信した
時には、その受信したパケットの宛先アドレスによって
指定されるデータステーションが接続されているポート
が調べられ、そのポートに受信パケットが転送される。
もしそのポートが受信ポートであれば、受信パケットは
廃棄される。

【０００５】このようなネットワーク中継装置において
は、ネットワークシステムの安全性を確保するために、
次のようなポート制御が行われている。すなわち、ネッ
トワークに接続されたあるデータステーションが故障
し、それがデータ送信し続けことによってネットワーク
全体に影響が及ぶことを防止するために、ネットワーク
中継装置は、ある一定以上のデータ長を検出した場合、
そのポートを論理的に切り離す機能を有している。

【０００６】また、信号／衝突検出型のネットワークで
は、ある単位時間中に所定回数以上の衝突を検出した場
合に、該当するポートを切り離す機能を持つ中継装置も
ある。

【０００７】しかしながら、このような従来のポート制
御機能は、ある特定の信号の送受信状態が発生した時に
自動的に働くいわゆる障害対策としての機能に過ぎず、
正常なプロトコルでデータ送受信が行なわれている限り
は何等ポート制御を行うことはできない。

【０００８】このため、ネットワーク上に不正端末が存
在することが発見された場合であっても、その不正端末
が正常な手続きでアクセス動作している限りはポート制
御機能は働かない。したがって、不正端末によるネット
ワークアクセスを防止することはできなかった。

【０００９】また、従来のネットワークの形態は、バ
ス、スター、リングの組み合わせでのみ可能であり、一
部のネットワークが故障した場合の迂回路形成等が困難
であった。

【００１０】

【発明が解決しようとする課題】従来のポート制御機能
は、ある特定の信号の送受信状態が発生した時に自動的
に働くいわゆる障害対策としての機能に過ぎず、正常な
プロトコルでデータ送受信が行なわれている限りは何等
ポート制御を行うことはできなかった。このため、必要
に応じてポートを動的に制御する事ができず、不正端末
によるネットワーク使用の防止や、障害発生時の迂回路
設定などを行うことができない欠点があった。

【００１１】この発明はこの様な点に鑑みてなされたも
ので、各ポートを必要に応じてイネーブル／ディスエー
ブル制御できるようにして、不正端末によるネットワー
ク使用の防止や、障害発生時の迂回路設定などを行うこ
とができるネットワーク中継装置を提供することを目的
とする。

【００１２】

【課題を解決するための手段および作用】この発明は、
ネットワークにそれぞれ接続される複数のポートを有
し、それらポート間のデータ転送によってネットワーク
を相互接続するネットワーク中継装置において、前記ポ
ート毎に設けられた複数の送受信装置と、外部からのコ
マンドを受信し、そのコマンドに応じて前記複数の送受
信装置の送信または受信動作をポート毎に個別に許可／
禁止するポート制御手段とを具備することを特徴とす
る。

【００１３】このネットワーク中継装置においては、外
部からのコマンドによって任意のポートの送信動作また
は受信動作をイネーブル／ディスエーブル制御すること
ができる。このため、例えばネットワークの管理者など
が、ネットワーク上の端末アドレスやプロトコルの監視
によって不正端末の存在を発見した場合には、その不正
端末が存在するネットワークに対応するポートの受信動
作などをコマンドによって禁止することができる。

【００１４】また、この発明は、ネットワークにそれぞ
れ接続される複数のポートを有し、それらポート間のデ
ータ転送によってネットワーク間を相互接続するネット
ワーク中継装置において、前記ポート毎に設けられた複
数の送受信装置と、外部からのコマンドを受信し、その
コマンドに応じて前記複数の送受信装置の送信または受
信動作をポート毎に個別に許可／禁止するポート制御手
段と、受信動作が禁止されたポートに供給されるデータ
の送信元アドレスと予め登録された端末のアドレス情報
とを比較し、一致した際に該当する送受信装置の受信動
作の禁止を解除する受信禁止解除手段とを具備すること
を特徴とする。

【００１５】このネットワーク中継装置においては、受
信動作が禁止されたポートに供給されるデータの送信元
アドレスが予め登録されたアドレス情報と一致する場合
には受信動作が許可されるように構成されており、不正
端末以外の他の端末の送受信に影響を与えること無く、
不正端末のネットワークアクセスだけを防止することが
できる。

【００１６】また、この発明は、ネットワーク上の端末
から他のネットワーク上の端末へのデータ転送経路が複
数設定できるように相互接続された複数のネットワーク
中継装置を具備するネットワークシステムであって、前
記各ネットワーク中継装置は、ネットワークに接続され
る複数のポートと、前記ポート毎に設けられた複数の送
受信装置と、外部からのコマンドを受信し、そのコマン
ドに応じて前記複数の送受信装置の送信または受信動作
をポート毎に個別に許可／禁止するポート制御手段とを
具備し、送信元端末から送信先端末へのデータ転送経路
を任意に設定できるようにしたことを特徴とする。

【００１７】このネットワークシステムにおいては、複
数のネットワーク中継装置を例えばメッシュ状に結合す
ることにより複数のデータ転送経路が設けられており、
通常は、ある端末間の経路がポイントツーポイントとな
るようにポートのイネーブル／ディスエーブル制御を行
っておき、障害発生やトラフィック状態に応じてその経
路を動的に変更するといった運用が可能になる。

【００１８】

【実施例】以下、図面を参照してこの発明の実施例を説
明する。図１にはこの発明の一実施例に係わるネットワ
ーク中継装置を用いたネットワークシステムの構成が示
されている。ネットワーク中継装置１１は２以上のポー
トを持つマルチポートタイプの中継装置であり、ここで
は、ネットワーク中継装置１１が図示のように４つのポ
ートＰ１〜Ｐ４を持ち、それらポートＰ１〜Ｐ４がそれ
ぞれＬＡＮセグメント１２〜１５に接続されている場合
を例示して説明する。

【００１９】ＬＡＮセグメント１２〜１５の各々には、
データ処理端末が接続されている。これらデータ処理端
末は、ワークステーションやパーソナルコンピュータ、
またはミニコンピュータ等によって実現されるものであ
り、対応するＬＡＮセグメントを介して相互に通信を行
うと共に、ネットワーク中継装置１１を介して他のＬＡ
Ｎセグメント上のデータ処理端末などと通信を行う。

【００２０】ネットワーク中継装置１１は、例えば、ネ
ットワークサーバ、リピータ、ブリッジ、ルータ、また
はゲートウェイ等を構成するものであり、ＬＡＮセグメ
ント１２〜１５間の相互接続、またはＷＡＮ、公衆回線
網等に接続するため等に使用される。

【００２１】このネットワーク中継装置１１は、ポート
Ｐ１〜Ｐ４を個別にイネーブル／ディスエーブル制御す
るためのポートイネーブル／ディスエーブル制御ユニッ
ト１１１を備えている。ポートイネーブル／ディスエー
ブル制御ユニット１１１は、斜線で図示されているＬＡ
Ｎセグメン上の遠隔端末や、またはネットワーク中継装
置１１に直接接続された管理装置などからの要求に応じ
て、４つのポートＰ１〜Ｐ４それぞれの受信動作および
送信動作を個別に制御する事ができる。

【００２２】次に、図２を参照して、ネットワーク中継
装置１１の具体的な構成の一例を説明する。ネットワー
ク中継装置１１は、図示のように、受信部１、送受信制
御部２、共通制御部３、および送信部４を備えている。

【００２３】受信部１はポートＰ１〜Ｐ４それぞれから
のパケット受信データ１Ａを受信するためのものであ
り、ポートＰ１〜Ｐ４にそれぞれ対応して設けられた４
つの受信データイネーブル／ディスエーブル回路１Ｂを
有している。

【００２４】これら４つの受信データイネーブル／ディ
スエーブル回路１Ｂは、それぞれ対応するポートＰ１〜
Ｐ４からパケットデータ１Ａを受信する回路であり、イ
ネーブル／ディスエーブル信号１Ｃによってその受信動
作が個別に許可／禁止されるように構成されている。

【００２５】すなわち、受信データイネーブル／ディス
エーブル回路１Ｂはイネーブルの時には受信データ１Ａ
を選択し、ディスエーブルの場合には接地電位１Ａ´を
選択する。これら４つの受信データイネーブル／ディス
エーブル回路１Ｂからの受信データ出力１Ｄは、送受信
制御部２に共通に供給される。

【００２６】送信部４は、ポートＰ１〜Ｐ４それぞれか
らパケットデータ４Ｂを送信するためのものであり、ポ
ートＰ１〜Ｐ４にそれぞれ対応して設けられた４つの送
信データイネーブル／ディスエーブル回路４Ａを有して
いる。これら４つの送信データイネーブル／ディスエー
ブル回路４Ａは、それぞれ対応するポートＰ１〜Ｐ４か
らパケットデータ４Ｂを送信するために設けられた回路
であり、イネーブル／ディスエーブル信号３Ｃによって
その受信動作が個別に許可／禁止されるように構成され
ている。

【００２７】４つの送信データイネーブル／ディスエー
ブル回路４Ａには、送受信制御部２からの送信データが
共通に供給され、相手先端末に対応するポートに対応す
る送信データイネーブル／ディスエーブル回路４Ａから
出力される。

【００２８】送受信制御部２は、受信データイネーブル
／ディスエーブル回路１Ｂから受信した受信データの制
御、および送信データイネーブル／ディスエーブル回路
４Ａに出力する送信データの制御を行うためのものであ
り、通常、クロックリカバリ回路、ＦＩＦＯバッファ、
メモリなどから構成される。また、送受信制御部２は、
受信データイネーブル／ディスエーブル回路１Ｂの制御
のために、受信データ２Ａ、および受信クロック２Ｂを
利用して、共通制御３に受信したコマンドなどを送信す
る。

【００２９】共通制御部３は、受信データイネーブル／
ディスエーブル回路１Ｂ、および送信データイネーブル
／ディスエーブル回路４Ａをイネーブル／ディスエーブ
ル制御するためのものであり、送受信制御部２から転送
されるコマンドに応じて動作する。

【００３０】この共通制御部３は、通常、シリアルコン
トローラ、データシリアル／パラレル変換回路、ＣＰ
Ｕ、メモリなどから構成される。また、３４Ａ，３Ｂは
共通制御部３が送受信制御部２との通信にしようするデ
ータ、クロックなどである。

【００３１】次に、図２の中継装置１１の動作を説明す
る。通常のデータ転送時においては、各ポートの受信イ
ネーブル／ディスエーブル回路１Ｂは制御信号１Ｃによ
って受信データ１Ａを選択するイネーブル状態に設定さ
れている。また、各ポートの送信イネーブル／ディスエ
ーブル回路４Ａも制御信号３Ｃにより送信イネーブル状
態に設定されている。

【００３２】ここで、ネットワークの管理者などが別途
ネットワークに接続された装置、または中継装置１１の
持つ機能などによって、ネットワーク上に不正端末の存
在を発見した場合、または障害／トラフィックに応じて
あるポートのイネーブル／ディスエーブル制御により経
路を変更したい場合を考える。

【００３３】この場合、ネットワーク管理者は、ネット
ワーク１３上の所定の端末などを利用して、中継装置１
１に対してコマンドを発行し、イネーブル／ディスエー
ブルするポート番号などを通知する。

【００３４】この時、ポートＰ２から受信した中継装置
１１宛のコマンドは送受信制御部２を経由して共通制御
部３に入力される。共通制御部３は、受信コマンドを解
析し、それが上記コマンドであった場合には、受信制御
信号１Ｃまたは送信制御信号３Ｃ、あるいはそれら両方
の制御信号を用いて、送受信のイネーブル／ディスエー
ブル制御を行う。

【００３５】コマンドによってポートＰ１の受信動作を
ディスエーブルすることが指定されると、受信部１にお
いては、制御信号１Ｃにより受信イネーブル／ディスエ
ーブル回路１Ｂの入力を受信データ１Ａから１Ａ´に切
り替えられ、その受信動作が禁止される。

【００３６】この構成においては、端末からコマンドな
どによって任意のポートの送信動作または受信動作をイ
ネーブル／ディスエーブル制御することができる。この
ため、例えばネットワークの管理者などが、ネットワー
ク上の端末アドレスやプロトコルの監視によって不正端
末の存在を発見した場合には、その不正端末が存在する
ネットワークに対応するポートの受信動作などを禁止す
ることができ、ネットワークの信頼性の向上を図る事が
できる。

【００３７】次に、図３を参照して、受信イネーブル／
ディスエーブル回路１Ｂ周辺の他の回路構成を説明す
る。すなわち、この図３においては、図２の構成に加
え、各ポート毎にシリアル／パラレル変換回路１Ｅ、パ
ラメータレジスタ１Ｆ、および復旧回路１Ｉを備えてい
る。

【００３８】シリアル／パラレル変換回路１Ｅは、受信
イネーブル／ディスエーブル回路１Ｂと並列に設けられ
ており、受信イネーブル／ディスエーブル回路１Ｂのイ
ネーブル／ディスエーブル状態に関係なく受信データ１
Ａを受信し、それをシリアルデータからパラレルデータ
に変換し、パラメータレジスタ１Ｆの設定値と比較す
る。この比較動作は、受信データの送信元アドレスが、
パラメータレジスタ１Ｆに予め設定された受信許可端末
のアドレスと一致するか否かを検出するために行われ
る。

【００３９】復旧回路１Ｉは、制御信号１Ｃにより受信
ディスエーブルが宣告されていても、シリアル／パラレ
ル変換回路１Ｅから一致検出信号１Ｈが発生された時に
は受信イネーブル／ディスエーブル回路１Ｂをイネーブ
ル状態に設定する回路である。

【００４０】すなわち、この図３の構成においては、例
えばポートＰ１が受信ディスエーブルの場合において
は、制御信号１Ｃ（図３では１Ｊ）により受信データ１
Ａは無視され、１Ｄには受信データは出力されない。し
かし、この状態に於いても、受信データ１Ａは常にシリ
アル／パラレル変換回路１Ｅにて受信されており、その
送信元アドレス（または、送信先アドレスなど）のモニ
タが行われている。予め登録された各端末の物理アドレ
スはレジスタ１Ｆに設定されており、シリアル／パラレ
ル変換回路１Ｅのアドレス値と常に比較される。

【００４１】両者が合致した場合には、信号１Ｈにてア
ドレスの一致が復旧回路１Ｉに通知され、仮に共通制御
部３から受信ディスエーブル信号１Ｃ（ここでは、１Ｃ
２）が発生されていても、復旧回路１Ｉは正当な端末か
らのデータであると判断し、受信イネーブル／ディスエ
ーブル回路１Ｂをイネーブル状態に切り替える。

【００４２】この場合、受信イネーブル／ディスエーブ
ル回路１Ｂの受信データの先頭がカットされる危険があ
るので、ディスエーブル状態であっても受信データを保
持するバッファを受信イネーブル／ディスエーブル回路
１Ｂに設けるなどの手法を採用する事が好ましい。この
場合、その受信バッファの内容はポートがイネーブルで
あれば読み出され、ディスエーブルであれば読み出され
ない。

【００４３】この構成においては、受信動作が禁止され
たポートに供給されるデータの送信元アドレスが予め登
録されたアドレス情報と一致する場合には受信動作が許
可されるように構成されているので、不正端末以外の他
の端末の送受信に影響を与えること無く、不正端末のネ
ットワークアクセスだけを防止することができる。

【００４４】次に、図４を参照して、図２または図３の
構成を持つネットワーク中継装置１１を用いたネットワ
ークシステムの構築例を説明する。このネットワークシ
ステムにおいては、複数のネットワーク中継装置１１が
ＬＡＮセグメントを介してメッシュ状に結合されてお
り、これによって、あるＬＡＮセグメント上の端末から
他のＬＡＮセグメント上の端末までのデータ転送経路が
複数設定されるようになっている。

【００４５】この場合、通常は、ある端末間の経路がポ
イントツーポイントとなるようにポートのイネーブル／
ディスエーブル制御を行っておき、障害発生やトラフィ
ック状態に応じて、コマンドによるポートのイネーブル
／ディスエーブル制御を行ってその経路を自動的または
人為的に変更するといった運用を行うことが可能にな
る。

【００４６】

【発明の効果】以上のように、この発明によれば、各ポ
ートを必要に応じてイネーブル／ディスエーブル制御で
きるようになり、不正端末によるネットワーク使用の防
止や、障害発生時の迂回路設定などを行うことが可能と
なる。

【図面の簡単な説明】

【図１】この発明の一実施例に係わるネットワーク中継
装置を用いたネットワークシステムの構成を示すブロッ
ク図。

【図２】図１に示したネットワーク中継装置の具体的構
成の一例を示すブロック図。

【図３】図１に示したネットワーク中継装置の他の具体
的構成の一例を示すブロック図。

【図４】図１のネットワーク中継装置を多数用いて構成
したネットワークシステムの一例を示す図。

【符号の説明】

１…受信部、１Ｂ…受信イネーブル／ディスエーブル回
路、１Ｅ…シリアル／パラレル変換回路、１Ｆ…パラメ
ータレジスタ、１Ｉ…復旧回路、２…送受信制御部、３
…共通制御部、４…受信部、４Ａ…送信イネーブル／デ
ィスエーブル回路、１１…ネットワーク中継装置、１
２，１３，１４，１５…ＬＡＮセグメント、Ｐ１，Ｐ
２，Ｐ３，Ｐ４…ポート。

Claims (3)

【特許請求の範囲】
1. 【請求項１】 ネットワークにそれぞれ接続される複数
   のポートを有し、それらポート間のデータ転送によって
   ネットワークを相互接続するネットワーク中継装置にお
   いて、 前記ポート毎に設けられた複数の送受信装置と、 外部からのコマンドを受信し、そのコマンドに応じて前
   記複数の送受信装置の送信または受信動作をポート毎に
   個別に許可／禁止するポート制御手段とを具備すること
   を特徴とするネットワーク中継装置。
2. 【請求項２】 ネットワークにそれぞれ接続される複数
   のポートを有し、それらポート間のデータ転送によって
   ネットワーク間を相互接続するネットワーク中継装置に
   おいて、 前記ポート毎に設けられた複数の送受信装置と、 外部からのコマンドを受信し、そのコマンドに応じて前
   記複数の送受信装置の送信または受信動作をポート毎に
   個別に許可／禁止するポート制御手段と、 受信動作が禁止されたポートに供給されるデータの送信
   元アドレスと予め登録された端末のアドレス情報とを比
   較し、一致した際に該当する送受信装置の受信動作の禁
   止を解除する受信禁止解除手段とを具備することを特徴
   とするネットワーク中継装置。
3. 【請求項３】 ネットワーク上の端末から他のネットワ
   ーク上の端末へのデータ転送経路が複数設定できるよう
   に相互接続された複数のネットワーク中継装置を具備す
   るネットワークシステムであって、 前記各ネットワーク中継装置は、 ネットワークに接続される複数のポートと、 前記ポート毎に設けられた複数の送受信装置と、 外部からのコマンドを受信し、そのコマンドに応じて前
   記複数の送受信装置の送信または受信動作をポート毎に
   個別に許可／禁止するポート制御手段とを具備し、 送信元端末から送信先端末へのデータ転送経路を任意に
   設定できるようにしたことを特徴とするネットワークシ
   ステム。