JPH09270813A - パケットフィルタ機能付きルータ装置 - Google Patents
パケットフィルタ機能付きルータ装置Info
- Publication number
- JPH09270813A JPH09270813A JP8078514A JP7851496A JPH09270813A JP H09270813 A JPH09270813 A JP H09270813A JP 8078514 A JP8078514 A JP 8078514A JP 7851496 A JP7851496 A JP 7851496A JP H09270813 A JPH09270813 A JP H09270813A
- Authority
- JP
- Japan
- Prior art keywords
- packet
- filter
- router
- information
- station
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Landscapes
- Small-Scale Networks (AREA)
- Computer And Data Communications (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
(57)【要約】
【課題】本発明の課題は、ローカルエリアネットワーク
に接続するルータ装置において、不正なパケットを破棄
しても、不正なパケットによる伝送媒体の占有を防止
し、快適なネットワーク環境を提供することを目的とす
る。 【解決手段】特定のフィルタの情報により入力したパケ
ットの中継を禁止し、破棄した場合には、該フィルタの
情報を該パケットを中継したルータ装置に送り、該パケ
ットを受け取ったルータ装置はデータベースに該フィル
タの情報を追加することにある。
に接続するルータ装置において、不正なパケットを破棄
しても、不正なパケットによる伝送媒体の占有を防止
し、快適なネットワーク環境を提供することを目的とす
る。 【解決手段】特定のフィルタの情報により入力したパケ
ットの中継を禁止し、破棄した場合には、該フィルタの
情報を該パケットを中継したルータ装置に送り、該パケ
ットを受け取ったルータ装置はデータベースに該フィル
タの情報を追加することにある。
Description
【０００１】
【発明の属する技術分野】本発明は中継装置、特にロー
カルエリアネットワークにおける中継装置に関するもの
である。
カルエリアネットワークにおける中継装置に関するもの
である。
【０００２】
【従来の技術】ローカルエリアネットワークにおける中
継装置として、ルータ装置が広く用いられている。ルー
タ装置は複数のネットワークに接続され、一方のネット
ワークからのパケットを他方のネットワークに、必要に
応じて中継する機能を持つ。特に、事前に送信元と宛先
のアドレス等の情報を基に、中継を許可あるいは禁止す
るパケットフィルタと呼ばれるフィルタを設定できるル
ータ装置が一般化している。
継装置として、ルータ装置が広く用いられている。ルー
タ装置は複数のネットワークに接続され、一方のネット
ワークからのパケットを他方のネットワークに、必要に
応じて中継する機能を持つ。特に、事前に送信元と宛先
のアドレス等の情報を基に、中継を許可あるいは禁止す
るパケットフィルタと呼ばれるフィルタを設定できるル
ータ装置が一般化している。
【０００３】このルータ装置を使用し、組織外からの不
正なパケットを組織内へ中継しないというパケットフィ
ルタを設定することにより、セキュリティを確保するこ
とができる。以下、IAB RFC791 Internet Protocolで定
義されたInternet Pro- tocol パケット、略してＩＰパ
ケットを中継するパケットフィルタ機能付きルータ装置
について説明する。
正なパケットを組織内へ中継しないというパケットフィ
ルタを設定することにより、セキュリティを確保するこ
とができる。以下、IAB RFC791 Internet Protocolで定
義されたInternet Pro- tocol パケット、略してＩＰパ
ケットを中継するパケットフィルタ機能付きルータ装置
について説明する。
【０００４】図２は、従来の技術に関わり、ＩＰパケッ
トを中継するパケットフィルタ機能付きルータ装置の中
継処理の手順を説明するものである。１００はＩＰルー
タ装置、１１０は経路制御用データベース手段、１１１
はパケットフィルタデータベース手段、１２０は中継判
定処理手段、１３０、１３１は媒体アクセス手段、１４
０、１４１、１４２、１４３は伝送媒体、１５０、１５
１、１５２、１５３、１５４はネットワークに接続した
局、１６０は局が送出したＩＰパケット、１７０、１８
０は１００と同様なＩＰルータ装置である。
トを中継するパケットフィルタ機能付きルータ装置の中
継処理の手順を説明するものである。１００はＩＰルー
タ装置、１１０は経路制御用データベース手段、１１１
はパケットフィルタデータベース手段、１２０は中継判
定処理手段、１３０、１３１は媒体アクセス手段、１４
０、１４１、１４２、１４３は伝送媒体、１５０、１５
１、１５２、１５３、１５４はネットワークに接続した
局、１６０は局が送出したＩＰパケット、１７０、１８
０は１００と同様なＩＰルータ装置である。
【０００５】ＩＰルータ装置１００は、局１５０より局
１５３宛にＩＰパケット１６０が送信されると、媒体ア
クセス手段１３０によって、このパケットを受信する。
中継判定処理手段１２０は、ＩＰパケット１６０の送信
元および宛先のアドレスが、パケットデータベース手段
１１１に登録されているかを調べる。登録されていない
場合や、登録されていても中継が禁止されている場合
は、ＩＰパケット１６０に対する処理をここで中断す
る。
１５３宛にＩＰパケット１６０が送信されると、媒体ア
クセス手段１３０によって、このパケットを受信する。
中継判定処理手段１２０は、ＩＰパケット１６０の送信
元および宛先のアドレスが、パケットデータベース手段
１１１に登録されているかを調べる。登録されていない
場合や、登録されていても中継が禁止されている場合
は、ＩＰパケット１６０に対する処理をここで中断す
る。
【０００６】中継が許可されている場合、中継判定処理
手段１２０は次に、経路制御データベース手段１１０に
より、宛先アドレスである局１５３が、どのネットワー
クに属するかを調べる。ここで経路制御データベース手
段１１０は、事前に人手により情報設定を行うか、ある
いはIAB RFC1058 Routing Information Protocolにより
定義されている、ＲＩＰ等の経路制御プロトコルを用
い、ルータ装置間で経路情報を交換することにより構築
されている。
手段１２０は次に、経路制御データベース手段１１０に
より、宛先アドレスである局１５３が、どのネットワー
クに属するかを調べる。ここで経路制御データベース手
段１１０は、事前に人手により情報設定を行うか、ある
いはIAB RFC1058 Routing Information Protocolにより
定義されている、ＲＩＰ等の経路制御プロトコルを用
い、ルータ装置間で経路情報を交換することにより構築
されている。
【０００７】中継判定処理手段１２０は、局１５３が属
するネットワークがルータ装置１７０の先にあることを
知ると、ルータ装置１７０が媒体アクセス手段１３１側
にあるため、中継の必要があると判断し、媒体アクセス
手段１３１によって、ルータ装置１７０に向けてＩＰパ
ケット１６０を送信する。ルータ装置１７０も上記と同
様な処理を行うことによりＩＰパケット１６０は局１５
３に届く。
するネットワークがルータ装置１７０の先にあることを
知ると、ルータ装置１７０が媒体アクセス手段１３１側
にあるため、中継の必要があると判断し、媒体アクセス
手段１３１によって、ルータ装置１７０に向けてＩＰパ
ケット１６０を送信する。ルータ装置１７０も上記と同
様な処理を行うことによりＩＰパケット１６０は局１５
３に届く。
【０００８】次に、中継判定処理手段１２０が、パケッ
トフィルタデータベースによって、入力したパケットの
中継の可否の判断を行う手順を説明する。図３はパケッ
トフィルタデータベースの構成例である。２００はパケ
ットフィルタデータベース手段、２１０から２１２は事
前に設定されたフィルタ、２２０は中継の可否の欄、２
２１は送信元アドレスの欄、２２２は送信元アドレスマ
スクの欄、２２３は宛先アドレスの欄、２２４は宛先ア
ドレスマスクの欄、２２５は上位プロトコルの欄であ
る。
トフィルタデータベースによって、入力したパケットの
中継の可否の判断を行う手順を説明する。図３はパケッ
トフィルタデータベースの構成例である。２００はパケ
ットフィルタデータベース手段、２１０から２１２は事
前に設定されたフィルタ、２２０は中継の可否の欄、２
２１は送信元アドレスの欄、２２２は送信元アドレスマ
スクの欄、２２３は宛先アドレスの欄、２２４は宛先ア
ドレスマスクの欄、２２５は上位プロトコルの欄であ
る。
【０００９】図４はＩＰパケットの構造を示す。３００
はＩＰパケット、３０１は送信元アドレス、３０２は宛
先アドレス、３０３は上位プロトコルの種別である。中
継判定処理手段１２０は、入力ＩＰパケットの送信元ア
ドレス３０１をパケットフィルタデータベース手段２０
０の送信元アドレスマスクの欄２２２でマスクした値を
送信元アドレスの欄２２１と、そして宛先アドレス３０
２を宛先アドレスマスクの欄２２４でマスクした値を宛
先アドレスの欄２２３と、そして上位プロトコルの種別
３０３を上位プロトコルの欄２２５と、上から順に比較
していき、そのすべてが一致したフィルタが見つかる
と、そのフィルタの中継の可否の欄２２０を参照する。
中継の可否の欄２２０が禁止であれば、そのパケットの
中継は禁止であり、中継の可否の欄が許可であれば、そ
のパケットの中継は許可であることがわかる。
はＩＰパケット、３０１は送信元アドレス、３０２は宛
先アドレス、３０３は上位プロトコルの種別である。中
継判定処理手段１２０は、入力ＩＰパケットの送信元ア
ドレス３０１をパケットフィルタデータベース手段２０
０の送信元アドレスマスクの欄２２２でマスクした値を
送信元アドレスの欄２２１と、そして宛先アドレス３０
２を宛先アドレスマスクの欄２２４でマスクした値を宛
先アドレスの欄２２３と、そして上位プロトコルの種別
３０３を上位プロトコルの欄２２５と、上から順に比較
していき、そのすべてが一致したフィルタが見つかる
と、そのフィルタの中継の可否の欄２２０を参照する。
中継の可否の欄２２０が禁止であれば、そのパケットの
中継は禁止であり、中継の可否の欄が許可であれば、そ
のパケットの中継は許可であることがわかる。
【００１０】ここでマスク値を使用する意味は、特定の
アドレスで表わされる一つの端末のみを指定するだけで
なく、ある範囲のアドレスを持つ端末を一まとめにして
扱うためである。図５に、マスクの演算方法を示す。４
００は端末のアドレス、４０１は端末のアドレスを二進
数で表わしたもの、４０２はマスク値、４０３はマスク
値を二進数で表わしたもの、４０４はマスクした値、４
０５はマスクした値を二進数で表わしたもの、４０６は
比較値、４０７は比較値を二進数で表わしたものであ
る。
アドレスで表わされる一つの端末のみを指定するだけで
なく、ある範囲のアドレスを持つ端末を一まとめにして
扱うためである。図５に、マスクの演算方法を示す。４
００は端末のアドレス、４０１は端末のアドレスを二進
数で表わしたもの、４０２はマスク値、４０３はマスク
値を二進数で表わしたもの、４０４はマスクした値、４
０５はマスクした値を二進数で表わしたもの、４０６は
比較値、４０７は比較値を二進数で表わしたものであ
る。
【００１１】例えば、ＩＰアドレスのクラスＢネットワ
ーク150.88.0.0に存在する全端末を指定する場合は、マ
スク値４０２を255.255.0.0 とし、比較する値４０６は
150.88.0.0とする。このネットワーク内のある端末のア
ドレス４００、すなわち150.88.128.50 をマスク値４０
２、すなわち255.255.0.0 でマスクすると、マスクした
値４０４、すなわち150.88.0.0となり、このマスクした
値４０４が比較する値４０６と等しいことから、この端
末がネットワーク150.88.0.0の中の端末の一つであるこ
とが分かる。上記の説明から明らかなように、マスクす
るとは、端末のアドレスを二進数で表わしたもの４０１
と、マスク値を二進数で表わしたもの４０３をビット毎
にアンド演算を施すことであり、その結果がマスクした
値４０５になる。
ーク150.88.0.0に存在する全端末を指定する場合は、マ
スク値４０２を255.255.0.0 とし、比較する値４０６は
150.88.0.0とする。このネットワーク内のある端末のア
ドレス４００、すなわち150.88.128.50 をマスク値４０
２、すなわち255.255.0.0 でマスクすると、マスクした
値４０４、すなわち150.88.0.0となり、このマスクした
値４０４が比較する値４０６と等しいことから、この端
末がネットワーク150.88.0.0の中の端末の一つであるこ
とが分かる。上記の説明から明らかなように、マスクす
るとは、端末のアドレスを二進数で表わしたもの４０１
と、マスク値を二進数で表わしたもの４０３をビット毎
にアンド演算を施すことであり、その結果がマスクした
値４０５になる。
【００１２】
【発明が解決しようとする課題】上記の従来技術におい
ては、ルータ装置上でパケットを破棄することにより、
不正なパケットの侵入を防ぐことができる。しかしなが
ら、不正なパケットが連続した場合、パケットを破棄し
たルータ装置までの、伝送媒体がその破棄したパケット
によって占められてしまい、他の重要な通信の遅延等を
引き起こす欠点があった。この現象は特に、伝送媒体が
広域網等で、回線容量の低い時は深刻な問題である。
ては、ルータ装置上でパケットを破棄することにより、
不正なパケットの侵入を防ぐことができる。しかしなが
ら、不正なパケットが連続した場合、パケットを破棄し
たルータ装置までの、伝送媒体がその破棄したパケット
によって占められてしまい、他の重要な通信の遅延等を
引き起こす欠点があった。この現象は特に、伝送媒体が
広域網等で、回線容量の低い時は深刻な問題である。
【００１３】この問題を図２を用いて説明する。局１５
４は局１５１を使用する権限が無いものとする。すなわ
ち、ＩＰルータ装置１００において、送信元アドレスを
局１５４のアドレス、宛先アドレスを局１５１のアドレ
ス、中継は禁止としたフィルタを設定したとする。この
時、局１５４が局１５１宛てのＩＰパケットを送信した
場合、既に述べた手順でルータ装置１８０、および１７
０はこのパケットを中継する。ルータ装置１７０から中
継されたパケットを受け取ったルータ装置１００は、フ
ィルタデータベースに設定したフィルタに基づき、この
パケットを破棄する。これにより、局１５１は局１５４
からの不正なアクセスを受けることが無くなる。しかし
ながら、局１５４が引き続いて不正なパケットを送信し
た場合、局１５４からルータ装置１００に至る間の、伝
送媒体１４３、１４２、１４１が不正なパケットにより
占有されてしまう。
４は局１５１を使用する権限が無いものとする。すなわ
ち、ＩＰルータ装置１００において、送信元アドレスを
局１５４のアドレス、宛先アドレスを局１５１のアドレ
ス、中継は禁止としたフィルタを設定したとする。この
時、局１５４が局１５１宛てのＩＰパケットを送信した
場合、既に述べた手順でルータ装置１８０、および１７
０はこのパケットを中継する。ルータ装置１７０から中
継されたパケットを受け取ったルータ装置１００は、フ
ィルタデータベースに設定したフィルタに基づき、この
パケットを破棄する。これにより、局１５１は局１５４
からの不正なアクセスを受けることが無くなる。しかし
ながら、局１５４が引き続いて不正なパケットを送信し
た場合、局１５４からルータ装置１００に至る間の、伝
送媒体１４３、１４２、１４１が不正なパケットにより
占有されてしまう。
【００１４】従って、本発明は上記の問題点を解決すべ
く創案されたものであり、不正なパケットによる伝送媒
体の占有を防止し、快適なネットワーク環境を提供する
ことを目的とする。
く創案されたものであり、不正なパケットによる伝送媒
体の占有を防止し、快適なネットワーク環境を提供する
ことを目的とする。
【００１５】
【課題を解決するための手段】本発明は上記の目的を実
現するため、事前に送信元と宛先のアドレス等の組をフ
ィルタとして、データベースに複数個登録することが可
能で、パケットが入力した場合、該入力パケットと前記
データベースに登録された前記フィルタの情報を基に、
中継の許可あるいは禁止を決定する機能を有し、さらに
ルータ装置間で前記フィルタの情報をやり取りする機能
を持ち、前記フィルタの情報を受け取ったルータ装置は
前記データベースに受け取った前記フィルタの情報を追
加する機能を有し、特定のフィルタの情報により入力し
たパケットの中継を禁止した場合には、該フィルタの情
報を該パケットを中継したルータ装置に送り、該パケッ
トを受け取ったルータ装置は前記データベースに該フィ
ルタの情報を追加することを特徴とするパケットフィル
タ機能付きルータ装置を用いた。
現するため、事前に送信元と宛先のアドレス等の組をフ
ィルタとして、データベースに複数個登録することが可
能で、パケットが入力した場合、該入力パケットと前記
データベースに登録された前記フィルタの情報を基に、
中継の許可あるいは禁止を決定する機能を有し、さらに
ルータ装置間で前記フィルタの情報をやり取りする機能
を持ち、前記フィルタの情報を受け取ったルータ装置は
前記データベースに受け取った前記フィルタの情報を追
加する機能を有し、特定のフィルタの情報により入力し
たパケットの中継を禁止した場合には、該フィルタの情
報を該パケットを中継したルータ装置に送り、該パケッ
トを受け取ったルータ装置は前記データベースに該フィ
ルタの情報を追加することを特徴とするパケットフィル
タ機能付きルータ装置を用いた。
【００１６】
【発明の実施の形態】図１に本発明に係わるパケットフ
ィルタ機能付きルータ装置の実施例を示す。５００は本
発明に関わるパケットフィルタ機能付きルータ装置、５
１０は経路制御用データベース手段、５１１はパケット
フィルタデータベース手段、５２０は中継判定処理手
段、５２１はフィルタ情報交換手段、５２２はフィルタ
情報登録手段、５３０と５３１は媒体アクセス手段、５
４０、５４１、５４２、５４３は伝送媒体、５５０、５
５１、５５２、５５３、５５４はネットワークに接続し
た局、５６０は局が送出したＩＰパケット、５７０、５
８０は５００と同様、本発明に係わるパケットフィルタ
機能付きルータ装置、５９０はフィルタ情報パケットで
ある。
ィルタ機能付きルータ装置の実施例を示す。５００は本
発明に関わるパケットフィルタ機能付きルータ装置、５
１０は経路制御用データベース手段、５１１はパケット
フィルタデータベース手段、５２０は中継判定処理手
段、５２１はフィルタ情報交換手段、５２２はフィルタ
情報登録手段、５３０と５３１は媒体アクセス手段、５
４０、５４１、５４２、５４３は伝送媒体、５５０、５
５１、５５２、５５３、５５４はネットワークに接続し
た局、５６０は局が送出したＩＰパケット、５７０、５
８０は５００と同様、本発明に係わるパケットフィルタ
機能付きルータ装置、５９０はフィルタ情報パケットで
ある。
【００１７】本発明に係わるパケットフィルタ機能付き
ルータ装置の中継処理の手順を説明する。局５５４は局
５５１を使用する権限が無いものとする。すなわち、本
発明のパケットフィルタ機能付きルータ装置５００にお
いて、送信元アドレスを局５５４のアドレス、宛先アド
レスを局５５１のアドレス、中継は禁止としたフィルタ
を設定したとする。この時、局５５４が局５５１宛ての
ＩＰパケットを送信した場合、既に述べた手順でルータ
装置５８０、および５７０はこのパケットを中継する。
ルータ装置の中継処理の手順を説明する。局５５４は局
５５１を使用する権限が無いものとする。すなわち、本
発明のパケットフィルタ機能付きルータ装置５００にお
いて、送信元アドレスを局５５４のアドレス、宛先アド
レスを局５５１のアドレス、中継は禁止としたフィルタ
を設定したとする。この時、局５５４が局５５１宛ての
ＩＰパケットを送信した場合、既に述べた手順でルータ
装置５８０、および５７０はこのパケットを中継する。
【００１８】ルータ装置５００は、媒体アクセス手段５
３１によって、このパケットを受信する。中継判定処理
手段５２０は、ＩＰパケット５６０の送信元および宛先
のアドレスが、パケットフィルタデータベース手段５１
１に登録されているかを調べる。今、考慮しているケー
スでは、登録されてはいても、中継が禁止されているた
め、ＩＰパケット５６０はここで破棄される。
３１によって、このパケットを受信する。中継判定処理
手段５２０は、ＩＰパケット５６０の送信元および宛先
のアドレスが、パケットフィルタデータベース手段５１
１に登録されているかを調べる。今、考慮しているケー
スでは、登録されてはいても、中継が禁止されているた
め、ＩＰパケット５６０はここで破棄される。
【００１９】次に、ルータ装置５００は、ＩＰパケット
５６０がルータ装置５７０により中継されたものである
ので、ルータ装置５７０に対し、フィルタ情報交換手段
５２１を用いて、フィルタ情報パケット５９０を送信す
る。このフィルタ情報パケット５９０をフィルタ情報交
換手段５２１により受信したルータ装置５７０は、フィ
ルタ情報登録手段５２２により、パケットフィルタデー
タベース手段５１１に、フィルタ情報パケット５９０の
情報を登録する。
５６０がルータ装置５７０により中継されたものである
ので、ルータ装置５７０に対し、フィルタ情報交換手段
５２１を用いて、フィルタ情報パケット５９０を送信す
る。このフィルタ情報パケット５９０をフィルタ情報交
換手段５２１により受信したルータ装置５７０は、フィ
ルタ情報登録手段５２２により、パケットフィルタデー
タベース手段５１１に、フィルタ情報パケット５９０の
情報を登録する。
【００２０】再び、局５５４より局５５１宛てにＩＰパ
ケット５６０が送信されると、ルータ装置５８０はこれ
を中継する。ルータ装置５７０はＩＰパケット５６０を
受信すると、上に述べたルータ装置５００と同様の手順
により、フィルタ情報パケット５９０をルータ装置５８
０に送信する。その後、ルータ装置５７０と同様に、フ
ィルタ情報データベース手段５２３に、フィルタ情報パ
ケット５９０の情報が登録され、これにより再び局５５
４から局５５１宛てにＩＰパケット５６０が送信されて
も、ルータ装置５８０はＩＰパケット５６０を中継しな
くなる。この結果、伝送媒体５４３、５４２、５４１を
不正なパケットが占有することは無くなり、伝送媒体を
効率良く使用することができる。
ケット５６０が送信されると、ルータ装置５８０はこれ
を中継する。ルータ装置５７０はＩＰパケット５６０を
受信すると、上に述べたルータ装置５００と同様の手順
により、フィルタ情報パケット５９０をルータ装置５８
０に送信する。その後、ルータ装置５７０と同様に、フ
ィルタ情報データベース手段５２３に、フィルタ情報パ
ケット５９０の情報が登録され、これにより再び局５５
４から局５５１宛てにＩＰパケット５６０が送信されて
も、ルータ装置５８０はＩＰパケット５６０を中継しな
くなる。この結果、伝送媒体５４３、５４２、５４１を
不正なパケットが占有することは無くなり、伝送媒体を
効率良く使用することができる。
【００２１】
【発明の効果】本発明によれば、事前に送信元と宛先の
アドレス等の組をフィルタとして、データベースに複数
個登録することが可能で、パケットが入力した場合、該
入力パケットと前記データベースに登録された前記フィ
ルタの情報を基に、中継の許可あるいは禁止を決定する
機能を有し、さらにルータ装置間で前記フィルタの情報
をやり取りする機能を持ち、前記フィルタの情報を受け
取ったルータ装置は前記データベースに受け取った前記
フィルタの情報を追加する機能を有し、特定のフィルタ
の情報により入力したパケットの中継を禁止した場合に
は、該フィルタの情報を該パケットを中継したルータ装
置に送り、該パケットを受け取ったルータ装置は前記デ
ータベースに該フィルタの情報を追加することを特徴と
するパケットフィルタ機能付きルータ装置を用いたこと
で、不正なパケットが多発しても、伝送媒体が占有され
ることは無く、快適なネットワーク環境を提供すること
ができる。
アドレス等の組をフィルタとして、データベースに複数
個登録することが可能で、パケットが入力した場合、該
入力パケットと前記データベースに登録された前記フィ
ルタの情報を基に、中継の許可あるいは禁止を決定する
機能を有し、さらにルータ装置間で前記フィルタの情報
をやり取りする機能を持ち、前記フィルタの情報を受け
取ったルータ装置は前記データベースに受け取った前記
フィルタの情報を追加する機能を有し、特定のフィルタ
の情報により入力したパケットの中継を禁止した場合に
は、該フィルタの情報を該パケットを中継したルータ装
置に送り、該パケットを受け取ったルータ装置は前記デ
ータベースに該フィルタの情報を追加することを特徴と
するパケットフィルタ機能付きルータ装置を用いたこと
で、不正なパケットが多発しても、伝送媒体が占有され
ることは無く、快適なネットワーク環境を提供すること
ができる。
【図１】本発明に係わり、パケットフィルタ機能付きル
ータ装置の実施例を示す。
ータ装置の実施例を示す。
【図２】従来技術に係わり、ルータ装置の実施例を示
す。
す。
【図３】従来技術に係わり、パケットフィルタデータベ
ースの構成例を示す。
ースの構成例を示す。
【図４】従来技術に係わり、ＩＰパケットの構造を示
す。
す。
【図５】従来技術に係わり、マスクの演算方法を示す。
１００ ＩＰルータ装置 １１０ 経路制御用データベース手段 １１１ パケットフィルタデータベース手段 １２０ 中継判定処理手段 １３０、１３１ 媒体アクセス手段 １４０、１４１、１４２、１４３ 伝送媒体 １５０、１５１、１５２、１５３、１５４ ネットワー
クに接続した局 １６０ 局が送出したＩＰパケット １７０、１８０ １００と同様なＩＰルータ装置 ２００ パケットフィルタデータベースの構成例 ２１０、２１１ ２１２ 事前に設定されたフィルタ ２２０ 中継可否の欄 ２２１ 送信元アドレスの欄 ２２２ 送信元アドレスマスクの欄 ２２３ 宛先アドレスの欄 ２２４ 宛先アドレスマスクの欄 ２２５ 上位プロトコルの欄 ３００ ＩＰパケット ３０１ 送信元アドレス ３０２ 宛先アドレス ３０３ 上位プロトコルの種別 ４００ 端末のアドレス ４０１ 端末のアドレスを二進数で表わしたもの ４０２ マスク値 ４０３ マスク値を二進数で表わしたもの ４０４ マスクした値 ４０５ マスクした値を二進数で表わしたもの ４０６ 比較値 ４０７ 比較値を二進数で表わしたもの ５００ 本発明のＩＰルータ装置 ５１０ 経路制御用データベース手段 ５１１ パケットフィルタデータベース手段 ５２０ 中継判定処理手段 ５２１ フィルタ情報交換手段 ５２２ フィルタ情報登録手段 ５３０、５３１ 媒体アクセス手段 ５４０、５４１、５４２、５４３ 伝送媒体 ５５０、５５１、５５２、５５３、５５４ ネットワー
クに接続した局 ５６０ 局が送出したＩＰパケット ５７０、５８０ ５００と同様な本発明のＩＰルータ装
置 ５９０ フィルタ情報パケット
クに接続した局 １６０ 局が送出したＩＰパケット １７０、１８０ １００と同様なＩＰルータ装置 ２００ パケットフィルタデータベースの構成例 ２１０、２１１ ２１２ 事前に設定されたフィルタ ２２０ 中継可否の欄 ２２１ 送信元アドレスの欄 ２２２ 送信元アドレスマスクの欄 ２２３ 宛先アドレスの欄 ２２４ 宛先アドレスマスクの欄 ２２５ 上位プロトコルの欄 ３００ ＩＰパケット ３０１ 送信元アドレス ３０２ 宛先アドレス ３０３ 上位プロトコルの種別 ４００ 端末のアドレス ４０１ 端末のアドレスを二進数で表わしたもの ４０２ マスク値 ４０３ マスク値を二進数で表わしたもの ４０４ マスクした値 ４０５ マスクした値を二進数で表わしたもの ４０６ 比較値 ４０７ 比較値を二進数で表わしたもの ５００ 本発明のＩＰルータ装置 ５１０ 経路制御用データベース手段 ５１１ パケットフィルタデータベース手段 ５２０ 中継判定処理手段 ５２１ フィルタ情報交換手段 ５２２ フィルタ情報登録手段 ５３０、５３１ 媒体アクセス手段 ５４０、５４１、５４２、５４３ 伝送媒体 ５５０、５５１、５５２、５５３、５５４ ネットワー
クに接続した局 ５６０ 局が送出したＩＰパケット ５７０、５８０ ５００と同様な本発明のＩＰルータ装
置 ５９０ フィルタ情報パケット
Claims (1)
- 【請求項１】ローカルエリアネットワークに接続する、
パケットフィルタと呼ばれるフィルタが設定可能なルー
タ装置において、事前に送信元と宛先のアドレス等の組
をフィルタとして、データベースに複数個登録すること
が可能で、パケットが入力した場合、該入力パケットと
前記データベースに登録された前記フィルタの情報を基
に、中継の許可あるいは禁止を決定する機能を有し、さ
らにルータ装置間で前記フィルタの情報をやり取りする
機能を持ち、前記フィルタの情報を受け取ったルータ装
置は前記データベースに受け取った前記フィルタの情報
を追加する機能を有し、特定のフィルタの情報により入
力したパケットの中継を禁止した場合には、該フィルタ
の情報を該パケットを中継したルータ装置に送り、該パ
ケットを受け取ったルータ装置は前記データベースに該
フィルタの情報を追加することを特徴とするパケットフ
ィルタ機能付きルータ装置。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP8078514A JPH09270813A (ja) | 1996-04-01 | 1996-04-01 | パケットフィルタ機能付きルータ装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP8078514A JPH09270813A (ja) | 1996-04-01 | 1996-04-01 | パケットフィルタ機能付きルータ装置 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JPH09270813A true JPH09270813A (ja) | 1997-10-14 |
Family
ID=13664054
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP8078514A Pending JPH09270813A (ja) | 1996-04-01 | 1996-04-01 | パケットフィルタ機能付きルータ装置 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JPH09270813A (ja) |
Cited By (8)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US6584069B1 (en) | 1998-08-31 | 2003-06-24 | Matsushita Electric Industrial Co., Ltd | Packet filtering apparatus that applies a plurality of filtering conditions including different comparison criteria to a single packet |
| KR100422802B1 (ko) * | 2001-09-05 | 2004-03-12 | 한국전자통신연구원 | 네트워크간의 침입에 대응하기 위한 보안 시스템 및 그 방법 |
| KR100424457B1 (ko) * | 2001-08-29 | 2004-03-26 | 삼성전자주식회사 | 디지털 가입자 회선 가입자측 단말장치의 인터넷 프로토콜패킷 필터링방법 |
| JP2006186877A (ja) * | 2004-12-28 | 2006-07-13 | Fujitsu Ltd | パケットフィルタ同期方法及びパケット中継システム |
| JP2008042506A (ja) * | 2006-08-04 | 2008-02-21 | Fujitsu Ltd | ネットワーク装置およびフィルタリングプログラム |
| JP2009021957A (ja) * | 2007-07-13 | 2009-01-29 | Yamaha Corp | 中継装置およびプログラム |
| WO2011081020A1 (ja) * | 2010-01-04 | 2011-07-07 | 日本電気株式会社 | ネットワークシステム、コントローラ、ネットワーク制御方法 |
| JP2015008521A (ja) * | 2010-06-30 | 2015-01-15 | 沖電気工業株式会社 | 通信制御装置及びプログラム、並びに、通信システム |
-
1996
- 1996-04-01 JP JP8078514A patent/JPH09270813A/ja active Pending
Cited By (10)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US6584069B1 (en) | 1998-08-31 | 2003-06-24 | Matsushita Electric Industrial Co., Ltd | Packet filtering apparatus that applies a plurality of filtering conditions including different comparison criteria to a single packet |
| KR100424457B1 (ko) * | 2001-08-29 | 2004-03-26 | 삼성전자주식회사 | 디지털 가입자 회선 가입자측 단말장치의 인터넷 프로토콜패킷 필터링방법 |
| KR100422802B1 (ko) * | 2001-09-05 | 2004-03-12 | 한국전자통신연구원 | 네트워크간의 침입에 대응하기 위한 보안 시스템 및 그 방법 |
| JP2006186877A (ja) * | 2004-12-28 | 2006-07-13 | Fujitsu Ltd | パケットフィルタ同期方法及びパケット中継システム |
| JP2008042506A (ja) * | 2006-08-04 | 2008-02-21 | Fujitsu Ltd | ネットワーク装置およびフィルタリングプログラム |
| US8223756B2 (en) | 2006-08-04 | 2012-07-17 | Fujitsu Limited | Network device and computer product |
| JP2009021957A (ja) * | 2007-07-13 | 2009-01-29 | Yamaha Corp | 中継装置およびプログラム |
| WO2011081020A1 (ja) * | 2010-01-04 | 2011-07-07 | 日本電気株式会社 | ネットワークシステム、コントローラ、ネットワーク制御方法 |
| US8611220B2 (en) | 2010-01-04 | 2013-12-17 | Nec Corporation | Network system, controller, and network control method |
| JP2015008521A (ja) * | 2010-06-30 | 2015-01-15 | 沖電気工業株式会社 | 通信制御装置及びプログラム、並びに、通信システム |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| EP1844613B1 (en) | Providing security in an unlicensed mobile access network | |
| JP4166942B2 (ja) | 移動無線網用インターネットプロトコルトラフィックフィルタ | |
| US20020110123A1 (en) | Network connection control apparatus and method | |
| EP2033111B1 (en) | Implementation of reflexive access control lists on distributed platforms | |
| US20080250496A1 (en) | Frame Relay Device | |
| CN104243472A (zh) | 具有mac表溢出保护的网络 | |
| JPH10271154A (ja) | 不正アクセス防止方法およびシステム | |
| JPH09270813A (ja) | パケットフィルタ機能付きルータ装置 | |
| CN101146026A (zh) | 报文过滤方法及系统和装置 | |
| JP2003179647A (ja) | パケット転送装置およびパケット転送方法 | |
| JP2012070225A (ja) | ネットワーク中継装置及び転送制御システム | |
| CN114978563B (zh) | 一种封堵ip地址的方法及装置 | |
| JPH10243021A (ja) | 相手選択型アドレス解決方法及びその装置 | |
| Cisco | Using Access Control | |
| Cisco | Using Access Control | |
| Cisco | Using Access Control | |
| Cisco | Using Access Control | |
| Cisco | Using Access Control | |
| Cisco | Using Access Control | |
| Cisco | Using Access Control | |
| Cisco | Using Access Control | |
| KR20020063314A (ko) | 데이터통신망의 보안시스템 및 그 방법 | |
| JPH09275404A (ja) | アドレス解決処理方法 | |
| JPH06104900A (ja) | Ｌａｎ間接続方法 | |
| JP2008131466A (ja) | パケット中継装置 |