JPH09186713A - Ｌａｎ集線装置 - Google Patents

Abstract

(57)【要約】 【課題】本発明は、セキュリティ用のメディアアドレス
の設定を自動的に行える技術を提供し、ネットワーク管
理者にかかる負担を軽減すると共に、メディアアドレス
の入力ミスを防止することを課題とする。 【解決手段】各ポートを特定するポート識別情報毎に、
少なくとも、各ポートに接続されている端末のメディア
アドレスを登録する管理テーブルと、管理テーブルから
ポート識別情報及び各ポートに接続されている端末のメ
ディアアドレスとを読み出すセキュリティ情報読出手段
と、セキュリティ情報読出手段が読み出したポート識別
情報及びメディアアドレスを登録するセキュリティテー
ブルと、あるポートに、送信元の端末のメディアアドレ
ス及び宛先の端末のメディアアドレスを付加された信号
が送信されてきたときに、前記セキュリティテーブルを
参照して、セキュリティ処理を実行するセキュリティ実
行手段とを備える。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、構内交換網（ＬＡ
Ｎ）に利用される集線装置のセキュリティ自動設定シス
テムに関する。

【０００２】

【従来の技術】構内交換網（ＬＡＮ）では、基幹ＬＡＮ
にＨＵＢと呼ばれる集線装置を接続し、この集線装置に
複数の端末を接続している。

【０００３】この集線装置は、網内の他の端末、あるい
は網外からの信号を受信すると、この信号を、接続され
ている全ての端末へ分配したり、特定の端末のみへ送信
したりする装置である。

【０００４】ＨＵＢと呼ばれる集線装置には、スイッチ
ングＨＵＢ、マルチモジュールＨＵＢ等のように、様々
の種類のものがある。また、最近では、ネットワークが
拡張され、多数のユーザが参加するようになってきてい
るため、不正なユーザが参加してきても簡単に発見する
ことが困難になってきている。そこで、ネットワークの
入り口であるＨＵＢにセキュリティ機能をもたせ、不正
アクセスを事前に防止することが重要になってきてい
る。

【０００５】セキュリティ機能を実現させる方法として
は、ＨＵＢの各ポートに接続される端末毎にメディアア
ドレスを登録し、信号の送受信を行う場合には、送信元
の端末のアドレスと宛先の端末のアドレスとを信号に付
加することを前提とし、登録されていないアドレスが付
加されている信号を受信すると、その信号のデータ部分
にスクランブルをかける方法や、ＨＵＢの複数のポート
を一つのグループとして、複数のグループに分割し、各
グループ毎にメディアアドレスを設定し、信号の送受信
を行う場合には、送信元の端末のグループのメディアア
ドレスと宛先の端末のグループのメディアアドレスとを
信号に付加することを前提とし、登録されていないアド
レスが付加されている信号を受信すると、そのグループ
へ送受信される信号のデータ部分にスクランブルをかけ
る方法等がある。

【０００６】

【発明が解決しようとする課題】ところで、各ポートや
ポートのグループ毎にメディアアドレスを設定する場合
には、予めネットワーク管理者がメディアアドレスの設
定及び入力を行わなければならず、作業が煩雑である上
に、入力ミスの虞がある。

【０００７】そこで、本発明は、前記問題点に鑑みてな
されたものであり、セキュリティ用のメディアアドレス
の設定を自動的に行える技術を提供し、ネットワーク管
理者にかかる負担を軽減すると共に、メディアアドレス
の入力ミスを防止することを課題とする。

【０００８】

【課題を解決するための手段】本発明は、前記課題を解
決するために以下のような手段を採用した。すなわち、
本発明のＬＡＮ集線装置は、端末を接続するポートを複
数有する装置であり、管理テーブル、セキュリティ情報
読出手段、セキュリティテーブル、及びセキュリティ実
行手段を備えている。

【０００９】管理テーブルは、各ポートを特定するポー
ト識別情報毎に、各ポートに接続されている端末のメデ
ィアアドレスを登録している。セキュリティ情報読出手
段は、管理テーブルからポート識別情報と、各ポートに
接続されている端末のメディアアドレスとを読み出す。

【００１０】セキュリティテーブルは、セキュリティ情
報読出手段が読み出したポート識別情報と、メディアア
ドレスとを登録するセキュリティテーブルと、セキュリ
ティ実行手段は、或るポートに、送信元の端末のメディ
アアドレス及び宛先の端末のメディアアドレスを付加さ
れた信号が送信されてきたときに、セキュリティテーブ
ルを参照して、前記ポートのメディアアドレスと前記送
信元の端末のメディアアドレスとが不一致ならば、前記
ポートを切断する。

【００１１】また、セキュリティ情報読出手段は、一定
周期毎に、管理テーブルからポート識別情報及びメディ
アアドレスを読み出して、セキュリティテーブルの登録
内容を更新させるようにしてもよい。

【００１２】尚、セキュリティ情報読出手段は、セキュ
リティ実行手段が動作していない間に、セキュリティテ
ーブルの内容を更新させることが好ましい。さらに、セ
キュリティテーブルには、ポート識別情報とメディアア
ドレスとに加えて、登録内容の更新回数を登録するよう
にしてもよい。

【００１３】次に、端末を接続するポートを複数有する
スロットを複数装填することができるマルチメディア型
ＬＡＮ集線装置の場合には、スロット管理テーブル、セ
キュリティ情報読出手段、グループ化手段、セキュリテ
ィテーブル、及びセキュリティ実行手段を備えるように
する。

【００１４】スロット管理テーブルは、各スロット毎
に、各ポートを特定するポート識別情報と各ポートに接
続されている端末のメディアアドレスとを登録するテー
ブルである。

【００１５】セキュリティ情報読出手段は、スロット管
理テーブルからスロット識別情報と各スロットのポート
に接続されている端末のメディアアドレスとを読み出
す。グループ化手段は、各スロットの属性情報に基づい
て、前記端末のメディアアドレスをグループ分けして、
各グループにグループ識別情報を付加する。

【００１６】セキュリティテーブルは、グループ化手段
によりグループ分けされたグループのグループ識別情報
毎に、各グループのメディアアドレス群を登録する。セ
キュリティ実行手段は、あるグループのポートに、送信
元の端末のメディアアドレス及び宛先の端末のメディア
アドレスを付加された信号が送信されてきたときに、前
記セキュリティテーブルを参照して、前記グループのメ
ディアアドレス群に、前記送信元の端末のメディアアド
レスと同一のメディアアドレスが登録されていなけれ
ば、前記ポートを切断する。

【００１７】

【発明の実施の形態】以下、本発明の実施形態について
図面に沿って説明する。 《実施形態１》本実施形態では、本発明のＬＡＮ集線装
置として、スイッチングＨＵＢ装置を例に挙げて説明す
る。

【００１８】図１は、スイッチングＨＵＢ装置１を、Ｅ
ｔｈｅｒｎｅｔ通信に適用した場合の概略構成を示す図
である。同図に示すように、スイッチングＨＵＢ装置１
は、基幹ＬＡＮを接続するためのバックボーン用ポート
２と、端末を接続するための５個のポート３とを有して
いる。

【００１９】バックボーン用ポート２には、基幹ＬＡＮ
が接続されている。５個の各ポート３には、本発明の端
末として、パーソナルコンピュータ（ＰＣ）４が接続さ
れている。

【００２０】ここで、各パーソナルコンピュータ（Ｐ
Ｃ）４には、本発明のメディアアドレスとして、ＭＡＣ
（Media Access Control;媒体アクセス制御）アドレス
が割り当てられている。そして、各パーソナルコンピュ
ータ（ＰＣ）４は、データを送信する際にパケットを作
成することになるが、このとき、パケットには、図２に
示すように、送信元アドレス（ＳＡ）と宛先アドレス
（ＤＡ）とが挿入される。

【００２１】スイッチングＨＵＢ装置１は、あるパーソ
ナルコンピュータ（ＰＣ）４からパケットを受信する
と、このパケットから宛先アドレス（ＤＡ）を抽出し、
この宛先アドレスが示すパーソナルコンピュータ（Ｐ
Ｃ）４のポート３を判別する。そして、スイッチングＨ
ＵＢ装置１は、宛先アドレス（ＤＡ）が示すポート３
と、前記パケットを受信したポート３とを接続（スイッ
チング）し、受信したパケットを宛先のパーソナルコン
ピュータ（ＰＣ）４へ送信することができるようになっ
ている。

【００２２】図３は、本実施形態におけるスイッチング
ＨＵＢ装置の概略構成を示す図である。スイッチングＨ
ＵＢ装置１は、基幹ＬＡＮとのインタフェース処理を行
うＬＡＮインタフェース部５と、ＬＡＮインタフェース
部５とポート３との接続／切断あるいはポート３間の接
続／切断を切り換えるスイッチング回路６と、スイッチ
ング回路６の動作を制御するコントロール回路７とを備
えている。

【００２３】コントロール回路７は、図４に示すよう
に、ＣＰＵ７ａ、ＲＡＭ７ｂ、及びＲＯＭ７ｃをバスで
接続して構成されている。ＲＡＭ７ｂには、図５に示す
ように、管理テーブル７０とセキュリティテーブル７１
とが格納されている。

【００２４】管理テーブル７０は、各ポート３を特定す
るポート番号毎に、各ポート３に接続されているパーソ
ナルコンピュータ（ＰＣ）４のＭＡＣアドレスを含む情
報を登録している。

【００２５】セキュリティテーブル７１は、各ポート３
を特定するポート番号毎に、各ポート３に接続されてい
るパーソナルコンピュータ（ＰＣ）４のＭＡＣアドレス
のみを登録している。

【００２６】図４に戻ってＲＯＭ７ｃは、ＣＰＵ７ａが
実行すべきアプリケーションプログラムを格納してい
る。ここで、ＣＰＵ７ａがＲＯＭ７ｃのアプリケーショ
ンプログラムを実行することにより、実現される機能に
ついて図６に沿って説明する。

【００２７】即ち、ＣＰＵ７ａがＲＯＭ７ｃのアプリケ
ーションプログラムを実行することにより、本発明のセ
キュリティ情報読出手段としてのセキュリティ情報読出
部と、本発明のセキュリティ実行手段としてのセキュリ
ティ実行部と、スイッチング処理部とが実現される。

【００２８】セキュリティ情報読出部は、スイッチング
ＨＵＢ１のセキュリティ機能がオンになると（図示しな
い入力装置からセキュリティ機能の起動命令が入力され
ると）、ＲＡＭ７ｂの管理テーブル７０から各ポートの
ポート番号と各ポートに接続されているパーソナルコン
ピュータ（ＰＣ）４のＭＡＣアドレスとを読み出し、セ
キュリティテーブル７１上に登録する。

【００２９】セキュリティ実行部は、あるポート３にパ
ケットが入力されると、このポートのポート番号を判別
すると共に、入力されたパケットから送信元アドレス
（ＳＡ）を読み出す。そして、セキュリティ実行部は、
判別されたポート番号をキーワードにしてセキュリティ
テーブル７１へアクセスし、前記ポート番号に対応する
ＭＡＣアドレスを読み出す。そして、パケットから読み
出された送信元アドレス（ＳＡ）とセキュリティテーブ
ル７１から読み出されたＭＡＣアドレスとが一致するか
否かを判別する。そして、セキュリティ実行部は、双方
のアドレスが一致すれば、スイッチング処理部に対し
て、前記ポートと、宛先のパーソナルコンピュータ（Ｐ
Ｃ）が接続されているポートとの接続を依頼する。一
方、双方のアドレスが不一致ならば、スイッチング処理
部に対して、前記ポートの切断を依頼する。

【００３０】スイッチング処理部は、セキュリティ実行
部からポートの接続を依頼されると、入力したパケット
から宛先アドレス（ＤＡ）を読み出し、この宛先アドレ
ス（ＤＡ）をキーワードにして管理テーブル７０へアク
セスする。そして、スイッチング処理部は、前記宛先ア
ドレス（ＤＡ）に対応するポート番号を判別する。そし
て、スイッチング処理部は、スイッチング回路６を動作
させて、前記パケットを入力したポートと前記宛先アド
レス（ＤＡ）に対応するポートとを接続させる。

【００３１】一方、スイッチング処理部は、セキュリテ
ィ実行部からポートの切断を依頼されると、前記ポート
の接続処理は行わない。以下、本実施形態におけるセキ
ュリティ情報の自動設定処理について図７のフローチャ
ートに沿って説明する。

【００３２】図示しない入力装置からセキュリティ機能
の起動命令が入力されると、ＣＰＵ７ａは、ＲＯＭ７ｃ
のアプリケーションプログラムを実行して、以下の処理
を実現する。

【００３３】すなわち、ＣＰＵ７ａは、ＲＡＭ７ｂの管
理テーブル７０へアクセスして、各ポート３のポート番
号と各ポート３に接続されているパーソナルコンピュー
タ（ＰＣ）４のＭＡＣアドレスとを読み出す（ステップ
７０１）。

【００３４】管理テーブル７０から読み出されたポート
番号とＭＡＣアドレスとは、ＲＡＭ７ｂのセキュリティ
テーブル７１へ書き込まれる（ステップ７０２）。この
とき、セキュリティテーブル７１に書き込まれたポート
番号とＭＡＣアドレスとは、固定値になり（ステップ７
０３）、これ以降、スイッチングＨＵＢ装置１のセキュ
リティ機能が起動される（ステップ７０４）。ここでい
う、セキュリティ機能とは、前述のセキュリティ実行部
により実現される機能をいう。

【００３５】また、管理テーブル７０の内容が更新・変
更された場合などには、セキュリティ機能を一旦停止し
て、再度セキュリティ機能の起動命令を入力すれば、前
述のステップ７０１〜ステップ７０３の処理が繰り返し
実行されるので、更新・変更された管理テーブル７０の
内容が、自動的にセキュリティテーブル７１に反映され
る。

【００３６】以上、本実施態様によれば、従来、手作業
により作成していたセキュリティテーブルを自動的に作
成することができる。 《実施形態２》本実施態様におけるスイッチングＨＵＢ
装置は、前述の実施態様１の構成に対して、コントロー
ル回路７の構成が異なっており、その他の構成は同一で
ある。

【００３７】ここで、本実施態様におけるコントロール
回路７の構成を図８に示す。同図に示すように、コント
ロール回路７は、前述の実施態様１の構成に加えて、タ
イマ７ｄを備えている。このタイマ７ｄは、一定時間を
計時するものであり、セキュリティ機能がオフ状態の時
に、起動される。そして、タイマ７ｄが一定時間を計時
すると、ＣＰＵ７ａは、セキュリティテーブル７１の内
容を更新するようになっている。即ち、セキュリティテ
ーブル７１に、ポート番号とＭＡＣアドレスとが一旦登
録された後に、セキュリティ機能がオフ状態になってい
ると、ＣＰＵ７ａは、タイマ７ｄを起動する。そして、
ＣＰＵ７ａは、タイマ７ｄが一定時間を計時し終わる
と、再度ＲＡＭ７ｂの管理テーブル７０からポート番号
とＭＡＣアドレスとを読み出し、セキュリティテーブル
７１に上書きする。

【００３８】以下、本実施形態におけるセキュリティ情
報の自動設定処理について図９に沿って説明する。ＣＰ
Ｕ７ａは、図示しない入力装置からセキュリティ機能の
起動命令が入力させると、ＲＯＭ７ｃのアプリケーショ
ンプログラムを実行することにより、以下の処理を実現
する。

【００３９】すなわち、ＣＰＵ７ａは、ＲＡＭ７ｂの管
理テーブル７０へアクセスし、各ポートのポート番号
と、各ポートに接続されているパーソナルコンピュータ
（ＰＣ）４のＭＡＣアドレスを読み出す（ステップ９０
１）。

【００４０】管理テーブル７０から読み出されたポート
番号とＭＡＣアドレスとは、ＲＡＭ７ｂのセキュリティ
テーブル７１に書き込まれる（ステップ９０２）。ここ
で、ＣＰＵ７ａは、再度、セキュリティ機能が引き続き
起動状態にあるか、あるいは停止命令が入力されたかを
判別する（ステップ９０３）。

【００４１】ここで、セキュリティ機能が引き続き起動
状態にあれば、ＣＰＵ７ａは、セキュリティテーブル７
１の内容を固定値として（ステップ９０４）、セキュリ
ティ機能を開始する（ステップ９０５）。

【００４２】一方、前述のステップ９０４において、セ
キュリティ機能の停止命令が入力されていれば、タイマ
７ｄを起動する（ステップ９０６）。そして、タイマ７
ｄが一定時間の計時を終了すると、ＣＰＵ７ａは、前述
のステップ９０１以降の処理を繰り返し実行する。

【００４３】以上、本実施形態によれば、セキュリティ
テーブル７１の登録内容を、自動的に更新・変更するこ
とができ、オペレータにかかる負担をより軽減すること
ができる。

【００４４】《実施形態３》本実施態様におけるスイッ
チングＨＵＢ装置は、前述の実施態様２の構成と同様で
あるが、コントロール回路７のタイマ７ｄは、セキュリ
ティ機能がオン状態のときに起動される。そして、タイ
マ７ｄが一定時間を計時すると、ＣＰＵ７ａは、セキュ
リティテーブル７１の内容を更新するようになってい
る。即ち、ＣＰＵ７ａは、セキュリティテーブル７１
に、ポート番号とＭＡＣアドレスとを登録したときに、
タイマ７ｄを起動する。そして、ＣＰＵ７ａは、タイマ
７ｄが一定時間を計時し終わると、再度ＲＡＭ７ｂの管
理テーブル７０からポート番号とＭＡＣアドレスとを読
み出し、各ポート毎に、管理テーブル７０から読み出さ
れたＭＡＣアドレスと、セキュリティテーブル７１に登
録されているＭＡＣアドレスとを比較する。ここで、両
者のＭＡＣアドレスが不一致ならば、セキュリティテー
ブル７１に登録されていたＭＡＣアドレスを、管理テー
ブル７０から読み出されたＭＡＣアドレスへ書き換え
る。

【００４５】管理テーブル７０の情報とセキュリティテ
ーブル７１の情報とが不一致になる場合としては、例え
ば、以下の３つの場合が考えられる。 （１）一定時間の間に、空き状態にあったポートにパー
ソナルコンピュータ（ＰＣ）４が接続されると、管理テ
ーブル７０の前記ポートのエントリは、前記パーソナル
コンピュータ（ＰＣ）４が接続された時点で、空き状態
を示す情報から前記パーソナルコンピュータ（ＰＣ）４
のＭＡＣアドレスへ書き換えられることになる。このた
め、一定時間後に管理テーブル７０から読み出された情
報と、セキュリティテーブル７１に登録されている情報
とは不一致になる。

【００４６】（２）一定時間の間に、あるポートに接続
されていたパーソナルコンピュータ（ＰＣ）４が他のパ
ーソナルコンピュータ（ＰＣ）４へ変更されると、管理
テーブル７０の前記ポートのエントリは、前記ポートに
前記他のパーソナルコンピュータ（ＰＣ）４が接続され
た時点で、前記パーソナルコンピュータ（ＰＣ）４のＭ
ＡＣアドレスから前記他のパーソナルコンピュータ（Ｐ
Ｃ）４のＭＡＣアドレスへ書き換えられることになる。
このため、一定時間後に管理テーブル７０から読み出さ
れた情報と、セキュリティテーブル７１に登録されてい
る情報とは不一致になる。

【００４７】（３）一定時間の間に、あるポートに接続
されていたパーソナルコンピュータ（ＰＣ）４が切り離
されると、管理テーブル７０の前記ポートのエントリ
は、前記パーソナルコンピュータ（ＰＣ）４が切り離さ
れた時点で、前記パーソナルコンピュータ（ＰＣ）４の
ＭＡＣアドレスから空き状態を示す情報へ書き換えられ
ることになる。このため、一定時間後に管理テーブル７
０から読み出された情報と、セキュリティテーブル７１
に登録されている情報とは不一致になる。

【００４８】上記の（１）〜（３）のような場合には、
一定時間経過後に、セキュリティテーブル７１の情報
は、管理テーブル７０から読み出された情報によって更
新されることになる。

【００４９】以下、本実施形態におけるセキュリティ情
報の自動設定処理について図１０に沿って説明する。Ｃ
ＰＵ７ａは、図示しない入力装置からセキュリティ機能
の起動命令が入力させると、ＲＯＭ７ｃのアプリケーシ
ョンプログラムを実行することにより、以下の処理を実
現する。

【００５０】すなわち、ＣＰＵ７ａは、ＲＡＭ７ｂの管
理テーブル７０へアクセスし、各ポートのポート番号
と、各ポートに接続されているパーソナルコンピュータ
（ＰＣ）４のＭＡＣアドレスを読み出す（ステップ１０
０１）。

【００５１】そして、各ポート番号毎に、管理テーブル
７０から読み出された情報と、セキュリティテーブル７
１に登録されている情報とが比較される。そして、セキ
ュリティテーブル７１のエントリのうち、管理テーブル
７０から読み出された情報と異なる情報が登録されてい
るエントリが存在する場合には、そのエントリの情報
を、管理テーブル７０から読み出された情報によって更
新することになるが、セキュリティ機能の起動直後で
は、セキュリティテーブル７１のエントリには何も登録
されていないので、管理テーブル７０から読み出された
全ての情報が、セキュリティテーブル７１に登録される
（ステップ１００２、１００３）。

【００５２】セキュリティテーブル７１に情報が登録し
終わると、ＣＰＵ７ａは、セキュリティテーブル７１の
情報に従ってセキュリティ機能の実行を開始する（ステ
ップ１００４）とともに、タイマ７ｄを起動する。

【００５３】そして、タイマ７ｄが一定時間を計時する
と、ＣＰＵ７ａは、再度ＲＡＭ７ｂの管理テーブル７０
へアクセスし、ポート番頭とＭＡＣアドレスとを読み出
す（ステップ１００１）。

【００５４】ＣＰＵ７ａは、各ポート番号毎に、管理テ
ーブル７０から読み出された情報と、セキュリティテー
ブル７１に登録されている情報とを比較し（ステップ１
００２）、セキュリティテーブル７１のエントリのう
ち、管理テーブル７０から読み出された情報と不一致の
情報が登録されているエントリが存在する場合には、そ
のエントリの情報を、管理テーブル７０から読み出され
た情報で更新する（ステップ１００３）。そして、ＣＰ
Ｕ７ａは、更新後のセキュリティテーブル７１に従って
セキュリティ機能を実行する。

【００５５】以上、本実施形態によれば、セキュリティ
テーブル７１の登録内容を、自動的に更新・変更するこ
とができる。さらに、セキュリティ機能の実行中に、空
き状態のポートにパーソナルコンピュータ（ＰＣ）４が
接続された場合や、あるポートに接続されているパーソ
ナルコンピュータ（ＰＣ）４が変更された場合でも、一
定時間経過後には、新たに接続されたパーソナルコンピ
ュータ（ＰＣ）４に対するセキュリティ機能を実行する
ことができる。

【００５６】また、セキュリティ機能の実行中に、ある
ポートのパーソナルコンピュータ（ＰＣ）４が切り離さ
れた場合には、一定時間経過後からは、そのポートに対
するセキュリティ機能を実行しないようにすることもで
きる。

【００５７】《実施形態４》本実施態様におけるスイッ
チングＨＵＢ装置は、前述の実施態様１の構成に対し
て、コントロール回路７の構成が異なっている。すなわ
ち、本実施形態では、コントロール回路７のＲＡＭ７ｂ
に設定されている管理テーブル７０の構成が異なってい
る。

【００５８】図１１は、本実施形態におけるＲＡＭ７ｂ
の内部構成を示している。同図に示すように、管理テー
ブル７０は、ポート番号毎に、各ポートに接続されてい
るパーソナルコンピュータ（ＰＣ）４のＭＡＣアドレス
を登録するエントリに加え、各ポートのＭＡＣアドレス
が変更された回数、すなわち、あるポートに接続されて
いるパーソナルコンピュータ（ＰＣ）４が他のパーソナ
ルコンピュータ（ＰＣ）４に変更された回数（以下、変
更回数と記す）を登録するエントリが設定されている。
これに対応して、コントロール回路７のＣＰＵ７ａは、
セキュリティ機能がオフ状態にあるときに、各ポートの
ＭＡＣアドレスが変更されると、そのポートの変更回数
をインクリメントする。そして、ＣＰＵ７ａは、セキュ
リティ機能がオンになったときに、管理テーブル７０の
変更回数を参照し、変更回数が特定値以下のポートのＭ
ＡＣアドレスだけを読み出し、セキュリティテーブル７
１へ登録する。一方、ＭＡＣアドレスの変更回数が特定
値を超えているポートについては、そのポートのＭＡＣ
アドレスがセキュリティテーブル７１へ登録されず、セ
キュリティ機能が実行されないようになっている。

【００５９】例えば、図１０において、前記特定値を
“１”に設定すると、管理テーブル７０に登録されてい
る３つのポート（ポート１〜ポート３）のうち、変更回
数が“１”以下のポートは、「ポート１」と「ポート
２」であるから、ＣＰＵ７ａは、セキュリティ機能がオ
ンになったときに、「ポート１」のＭＡＣアドレス「０
００００ｅ１２３４５６」と「ポート３」のＭＡＣアド
レス「０００００ｅ３４５６７８」とだけを、セキュリ
ティテーブル７１に登録する。そして、ＣＰＵ７ａは、
「ポート１」と「ポート３」についてのみ、セキュリテ
ィ機能を実行する。

【００６０】尚、コントロール回路７に、一定時間を計
時するタイマを設け、このタイマが一定時間を計時して
いる間、ＭＡＣアドレスが変更されなかったポートにつ
いては、その変更回数を特定値以下にリセットするよう
にしてもよい。

【００６１】《実施形態５》本実施形態では、本発明の
ＬＡＮ集線装置として、マルチモジュールＨＵＢ装置を
例に挙げて説明する。

【００６２】図１２は、マルチモジュールＨＵＢ装置８
の概略構成を示す図である。同図に示すように、マルチ
モジュールＨＵＢ装置８は、モジュールを装填するため
の６つのスロット９ａ〜９ｆ（以下、総称してスロット
９と記す）を備えている。

【００６３】スロット１（９ａ）には、同軸ケーブルを
利用する１０BASE５用のインタフェースモジュール１３
が装填されている。スロット２（９ｂ）には、同軸ケー
ブルを利用する１０BASE５用のインタフェースモジュー
ル１２が装填されている。

【００６４】スロット３（９ｃ）には、ツィストペア・
ケーブルを使用する１０BASE-T用のインタフェースモジ
ュール１１が装填されている。スロット４（９ｄ）に
は、ツィストペア・ケーブルを使用する１０BASE-T用の
インタフェースモジュール１０が装填されている。

【００６５】スロット５（９ｅ）には、異なるセグメン
ト間の接続／切断を切り換えるブリッジモジュール１５
が装填されている。スロット６（９ｆ）には、各スロッ
ト１（９ａ）〜スロット５（９ｅ）に装填されているモ
ジュールを制御する管理モジュール１４が装填されてい
る。

【００６６】ここで、スロット１（９ａ）〜スロット４
（９ｄ）に装填されている、１０BASE-Tインタフェース
モジュール（１０）、１０BASE-Tインタフェースモジュ
ール（１１）、１０BASE５インタフェースモジュール
（１２）、及び１０BASE５インタフェースモジュール
（１３）は、各々４つのポートを有しており、各ポート
には、各通信ケーブルの形態に対応した端末が接続され
ている。

【００６７】ここで、１０BASE-Tインタフェースモジュ
ール（１０）のポートに接続されている端末と、１０BA
SE-Tインタフェースモジュール（１１）のポートに接続
されている端末との計８個の端末は、一つのセグメント
を形成している。

【００６８】また、１０BASE５インタフェースモジュー
ル（１２）のポートに接続されている端末と、１０BASE
５インタフェースモジュール（１３）のポートに接続さ
れている端末との計８個の端末も、一つのセグメントを
形成しているものとする。

【００６９】また、各端末には、本発明のメディアアド
レスとしてのＭＡＣアドレスが割り当てられているもの
とする。ここで、図１３に管理モジュール１４の概略構
成を示す。

【００７０】同図に示すように、管理モジュール１４
は、ＣＰＵ１４ａ、ＲＡＭ１４ｂ、及びＲＯＭ１４ｃを
バスで接続して構成されている。ＲＡＭ１４ｂには、図
１４に示すように、管理テーブル１４０と、セグメント
テーブル１４１と、セキュリティテーブル１４２とが格
納されている。

【００７１】管理テーブル１４０は、各インタフェース
モジュール１０・１１・１２・１３が装填されているス
ロット９ａ・９ｂ・９ｃ・９ｄの各スロット番号毎に、
各インタフェースモジュール１０・１１・１２・１３の
各ポートを特定するポート番号と、各ポートに接続され
ている端末のＭＡＣアドレスとを格納している。

【００７２】セグメントテーブル１４１は、各インタフ
ェースモジュール１０・１１・１２・１３が装填されて
いるスロットのスロット番号毎に、各インタフェースモ
ジュール１０・１１・１２・１３に接続されている端末
群のセグメントを特定するセグメントＩＤが格納されて
いる。本実施形態では、スロット１（９ａ）の１０BASE
５インタフェースモジュール１３に接続されている４つ
の端末と、スロット２（９ｂ）の１０BASE５インタフェ
ースモジュール１２に接続されている４つの端末との計
８個の端末は、セグメント１に属するものとする。ま
た、スロット３（９ｃ）の１０BASE-Tインタフェースモ
ジュール１１に接続されている４つの端末と、スロット
４（９ｄ）の１０BASE-Tインタフェースモジュール１０
に接続されている４つの端末との計８個の端末は、セグ
メント２に属するものとする。

【００７３】従って、セグメントテーブル１４１には、
スロット１とスロット２のエントリにセグメントＩＤ
「１」が登録され、スロット３とスロット４のエントリ
にセグメントＩＤ「２」が登録される。

【００７４】セキュリティテーブル１４２は、マルチモ
ジュールＨＵＢ装置８に接続されている１６つの端末を
グループに分割し、各グループを特定するグループ番号
毎に、各グループに属する端末のＭＡＣアドレスを登録
するテーブルである。本実施形態では、セグメントテー
ブル１４１のセグメントに従って端末をグループ分けす
るものとする。従って、セグメント１に属する端末をグ
ループ１とし、セグメント２に属するグループ２とす
る。

【００７５】図１３に戻ってＲＯＭ１４ｃには、ＣＰＵ
１４ａが実行すべきアプリケーションプログラムが格納
されている。ここで、ＣＰＵ１４ａがＲＯＭ１４ｃのア
プリケーションプログラムを実行することにより、実現
される機能について述べる。

【００７６】即ち、ＣＰＵ１４ａがＲＯＭ１４ｃのアプ
リケーションプログラムを実行することにより、本発明
のセキュリティ情報読出手段としてのセキュリティ情報
読出部と、本発明のグループ化手段としてのグループ化
部と、本発明のセキュリティ実行手段としてのセキュリ
ティ実行部と、スイッチング処理部とが実現される。

【００７７】セキュリティ情報読出部は、マルチモジュ
ールＨＵＢ装置８のセキュリティ機能がオンになると
（図示しない入力装置からセキュリティ機能の起動命令
が入力されると）、ＲＡＭ１４ｂの管理テーブル１４０
から各スロット９ａ・９ｂ・９ｃ・９ｄのスロット番号
と、各スロット９ａ・９ｂ・９ｃ・９ｄのポートのポー
ト番号と、各ポートに接続されている端末のＭＡＣアド
レスとを読み出す。

【００７８】グループ化部は、セキュリティ情報読出部
が読み出したスロット番号をキーワードにしてセグメン
トテーブル１４１を参照し、１６つの端末をグループ分
けする。そして、グループ化部は、各グループにグルー
プ番号を付加し、各グループのグループ番号と、各グル
ープに属する端末のＭＡＣアドレスとをセキュリティテ
ーブル１４２に登録する。

【００７９】セキュリティ実行部は、あるポートにパケ
ットが入力されると、このポートを有するインタフェー
スモジュール１０・１１・１２・１３のスロット番号を
判別し、さらにスロット番号に基づいて送信元の端末が
属するセグメント（グループ）番号を判別する。また、
セキュリティ実行部は、入力されたパケットから送信元
アドレス（ＳＡ）を読み出す。そして、セキュリティ実
行部は、判別されたグループ番号をキーワードにしてセ
キュリティテーブル１４１へアクセスし、前記グループ
番号に対応するＭＡＣアドレス群の中に、パケットから
読み出された送信元アドレス（ＳＡ）と一致するＭＡＣ
アドレスが存在するか否かを判別する。そして、セキュ
リティ実行部は、前記グループの中に、パケットから読
み出された送信元アドレス（ＳＡ）と一致するＭＡＣア
ドレスが存在すれば、スイッチング処理部に対して、前
記ポートと、宛先の端末が接続されているポートとの接
続を依頼する。一方、双方のアドレスが不一致ならば、
スイッチング処理部に対して、前記ポートの切断を依頼
する。

【００８０】スイッチング処理部は、セキュリティ実行
部からポートの接続を依頼されると、入力したパケット
から宛先アドレス（ＤＡ）を読み出し、この宛先アドレ
ス（ＤＡ）をキーワードにして管理テーブル１４０へア
クセスする。そして、スイッチング処理部は、前記宛先
アドレス（ＤＡ）に対応するポート番号を判別する。そ
して、スイッチング処理部は、双方のポートを収容する
インタフェースモジュール１０・１１・１２・１３に対
して、前記パケットを入力したポートと前記宛先アドレ
ス（ＤＡ）に対応するポートとを接続させる。

【００８１】一方、スイッチング処理部は、セキュリテ
ィ実行部からポートの切断を依頼されると、前記ポート
の接続処理は行わない。以上、本実施形態によれば、マ
ルチモジュールＨＵＢ装置８でも、セキュリティテーブ
ルを自動的に作成することができ、オペレータにかかる
負担を軽減することができるとともに、手入力による入
力ミスを防止することができる。

【００８２】また、本実施形態では、端末をグループ化
する際に、セグメントテーブルを利用しているが、ブリ
ッジモジュールに設定されているフォワーディングテー
ブルを利用して端末群のグループ化を行うようにしても
よい。

【００８３】《実施形態６》本実施形態では、前述の実
施形態５と同様に、マルチモジュールＨＵＢ装置を例に
挙げて説明する。

【００８４】図１５は、マルチモジュールＨＵＢ装置８
の概略構成を示す図である。このマルチモジュールＨＵ
Ｂ装置８は、前述の実施形態５では６つのスロットを備
えていたのに対して、５つのスロット９ａ・９ｂ・９ｃ
・９ｄ・９ｅ（以下、総称してスロット９と記す）を備
えている。

【００８５】そして、スロット１（９ａ）には、同軸ケ
ーブルを利用する１０BASE５用のインタフェースモジュ
ール１３が装填されている。スロット２（９ｂ）には、
同軸ケーブルを利用する１０BASE５用のインタフェース
モジュール１２が装填されている。

【００８６】スロット３（９ｃ）には、同軸ケーブルを
利用する１０BASE５用のインタフェースモジュール１６
が装填されている。スロット４（９ｄ）には、異なるセ
グメント間の接続／切断を切り換えるブリッジモジュー
ル１５が装填されている。

【００８７】スロット５（９ｅ）には、各スロット１
（９ａ）〜スロット４（９ｄ）に装填されているモジュ
ールを制御する管理モジュール１４が装填されている。
ここで、スロット１（９ａ）〜スロット３（９ｃ）に装
填されている、１０BASE５インタフェースモジュール１
６、１０BASE５インタフェースモジュール１２、及び１
０BASE５インタフェースモジュール１３には、各々４つ
のポートが設けられており、各ポートには、各通信ケー
ブルの形態に対応した端末が接続されている。

【００８８】ここで、１０BASE５インタフェースモジュ
ール１６と、１０BASE５インタフェースモジュール１２
と、１０BASE５インタフェースモジュール１３とは、一
つのセグメントを形成しているものとする。

【００８９】ここで、図１６に、ＲＡＭ１４ｂの内部構
成を示す。ＲＡＭ１４ｂには、前述の実施形態５と同様
に、管理テーブル１４０と、セグメントテーブル１４１
と、セキュリティテーブル１４２とが設定されている。

【００９０】管理テーブル１４０は、各インタフェース
モジュール１２・１３・１６が装填されているスロット
９ａ・９ｂ・９ｃのスロット番号毎に、各インタフェー
スモジュール１２・１３・１６の各ポートを特定するポ
ート番号と、各ポートに接続されている端末のＭＡＣア
ドレスとを格納している。

【００９１】セグメントテーブル１４１は、各インタフ
ェースモジュール１２・１３・１６が装填されているス
ロット９ａ・９ｂ・９ｃのスロット番号毎に、各インタ
フェースモジュール１２・１３・１６に接続されている
端末群のセグメントを特定するセグメントＩＤが格納さ
れている。本実施形態では、スロット１（９ａ）〜スロ
ット３（９ｃ）のインタフェースモジュール１２・１３
・１６に接続されている計１２個の端末は、同一のセグ
メント「１」に属しているため、スロット１〜スロット
３のエントリには、セグメントＩＤとして「１」が登録
されている。

【００９２】ところで、本実施形態では、同一のセグメ
ントに３つのスロットが属しているが、グループ化を行
う場合に、２つのスロットを一つのグループにすること
はできるが、残りの一つのスロットは同一のグループに
することができないため、残りの１つのスロットについ
ては、グループセキュリティを適用することができな
い。従って、本実施形態では、グループ化されたスロッ
トについては、グループセキュリティを適用し、残りの
スロットについてはポートセキュリティを適用するよう
にした。具体的には、スロット１（９ａ）のインタフェ
ースモジュール１３の４つのポートと、スロット２（９
ｂ）のインタフェースモジュール１２の４つのポートと
の計８つのポートを一つのグループとし、グループセキ
ュリティの対象としている。そして、スロット３（９
ｃ）のインタフェースモジュール１６の４つのポート
は、ポートセキュリティの対象としている。これによ
り、本実施形態のセキュリティテーブル１４２は、グル
ープに属するポートについては、前述の実施形態５と同
様に、グループ番号毎に、グループに属するポートに割
り当てられているＭＡＣアドレスを登録する。一方、グ
ループに属していないポートについては、前述の実施形
態１〜実施形態４に示したように、各ポートのポート番
号毎に、各ポートに割り当てられているＭＡＣアドレス
を登録するようにしている。

【００９３】以上のような構成を採用することにより、
グループセキュリティとポートセキュリティとを同時に
実現することができる。

【００９４】

【発明の効果】本発明によれば、従来、人手に頼ってい
たセキュリティテーブルの設定作業を、自動的に行うこ
とができ、ネットワーク管理者にかかる負担を軽減する
ことができると共に、入力ミスを防止することができ
る。

【図面の簡単な説明】

【図１】スイッチングＨＵＢ装置を適用した通信網の概
略構成図

【図２】パケットのデータ構造を示す図

【図３】スイッチングＨＵＢ装置の内部構成を示す図

【図４】コントロール回路７の構成図

【図５】実施形態１におけるＲＡＭの内部構成図

【図６】実施形態１におけるスイッチングＨＵＢ装置の
機能別構成ブロック図

【図７】実施形態１におけるセキュリティ情報の自動設
定処理を示すフローチャート図

【図８】実施形態２におけるコントロール回路７の構成
図

【図９】実施形態２におけるセキュリティ情報の自動設
定処理を示すフローチャート図

【図１０】実施形態３におけるセキュリティ情報の自動
設定処理を示すフローチャート図

【図１１】実施形態４におけるＲＡＭの内部構成図

【図１２】実施形態５におけるマルチモジュールＨＵＢ
装置の概略構成図

【図１３】管理モジュールの内部構成図

【図１４】実施形態５におけるＲＡＭの内部構成図

【図１５】実施形態６におけるマルチモジュールＨＵＢ
装置の概略構成図

【図１６】実施形態６におけるＲＡＭの内部構成図

【符号の説明】

１・・スイッチングＨＵＢ装置 ２・・バックボーン用ポート ３・・ポート ４・・パーソナルコンピュータ（ＰＣ） ５・・ＬＡＮインタフェース部 ６・・スイッチング回路 ７・・コントロール回路 ７ａ・・ＣＰＵ ７ｂ・・ＲＡＭ ７ｃ・・ＲＯＭ ７０・・管理テーブル ７１・・セキュリティテーブル ７ｄ・・タイマ ８・・マルチモジュールＨＵＢ装置 ９・・スロット ９ａ・・スロット１ ９ｂ・・スロット２ ９ｃ・・スロット３ ９ｄ・・スロット４ ９ｅ・・スロット５ ９ｆ・・スロット６ １０・・１０BASE-Tインタフェースモジュール １１・・１０BASE-Tインタフェースモジュール １２・・１０BASE５インタフェースモジュール １３・・１０BASE５インタフェースモジュール １４・・管理モジュール １４ａ・・ＣＰＵ １４ｂ・・ＲＡＭ １４ｃ・・ＲＯＭ １４１・・管理テーブル １４２・・セグメントテーブル １４３・・セキュリティテーブル １５・・ブリッジモジュール １６・・１０BASE５インタフェースモジュール

Claims (5)

【特許請求の範囲】
1. 【請求項１】 端末を接続するポートを複数有するＬＡ
   Ｎ集線装置であり、 各ポートを特定するポート識別情報毎に、少なくとも、
   各ポートに接続されている端末のメディアアドレスを登
   録する管理テーブルと、 前記管理テーブルからポート識別情報と、各ポートに接
   続されている端末のメディアアドレスとを読み出すセキ
   ュリティ情報読出手段と、 前記セキュリティ情報読出手段が読み出したポート識別
   情報及びメディアアドレスを登録するセキュリティテー
   ブルと、 前記ポートに、送信元の端末のメディアアドレス及び宛
   先の端末のメディアアドレスを付加された信号が送信さ
   れてきたときに、前記セキュリティテーブルを参照し
   て、前記ポートのメディアアドレスと前記送信元の端末
   のメディアアドレスとが不一致ならば、前記ポートを切
   断するセキュリティ実行手段と、 を備えるＬＡＮ集線装置。
2. 【請求項２】 前記セキュリティ情報読出手段は、一定
   周期毎に、前記管理テーブルからポート識別情報及びメ
   ディアアドレスを読み出し、 前記セキュリティテーブルは、前記セキュリティ情報読
   出手段がポート識別情報及びメディアアドレスを読み出
   すと、これらの情報により登録内容を更新する請求項１
   記載のＬＡＮ集線装置。
3. 【請求項３】 前記セキュリティ情報読出手段及びセキ
   ュリティテーブルは、前記セキュリティ実行手段が動作
   していない間に、セキュリティテーブルの内容を更新・
   変更させる請求項２記載のＬＡＮ集線装置。
4. 【請求項４】 前記セキュリティテーブルには、前記ポ
   ート識別情報とメディアアドレスとに加えて、登録内容
   の更新回数を登録する請求項２記載のＬＡＮ集線装置。
5. 【請求項５】 端末を接続するポートを複数有するスロ
   ットを複数有するマルチメディア型ＬＡＮ集線装置であ
   り、 各スロット毎に、各ポートを特定するポート識別情報、
   及び各ポートに接続されている端末のメディアアドレス
   を登録するスロット管理テーブルと、 前記スロット管理テーブルからスロット識別情報と各ス
   ロットのポートに接続されている端末のメディアアドレ
   スとを読み出すセキュリティ情報読出手段と、 各スロットの属性情報に基づいて、前記端末のメディア
   アドレスをグループ分けして、各グループにグループ識
   別情報を付加するグループ化手段と、 前記グループ化手段によりグループ分けされたグループ
   のグループ識別情報毎に、各グループのメディアアドレ
   ス群を登録するセキュリティテーブルと、 前記グループのポートに、送信元の端末のメディアアド
   レス及び宛先の端末のメディアアドレスを付加された信
   号が送信されてきたときに、前記セキュリティテーブル
   を参照して、前記グループのメディアアドレス群に、前
   記送信元の端末のメディアアドレスと同一のメディアア
   ドレスが未登録ならば、前記ポートを切断するセキュリ
   ティ実行手段と、 を備えるマルチメディア型ＬＡＮ集線装置。