JPH09307580A - 不正パケット防止方法およびブリッジ装置 - Google Patents

Abstract

(57)【要約】 【課題】 コンピュータ間でデータをパケット化して伝
送する場合に、パケット内のデータに含まれる上位レイ
ヤのプロトコルで使用されるアドレスの不正を防止す
る。 【解決手段】 二つのレイヤのプロトコルで使用するア
ドレスの組み合わせをあらかじめ登録しておき、受信し
たパケットからその二つのレイヤのそれぞれのアドレス
を検出してあらかじめ登録された組み合わせと比較し、
一致するものがない場合にはそのパケットを廃棄する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明はデータをパケット化
して伝送するコンピュータ通信に関する。特に、ネット
ワーク間のパケット中継を行うブリッジ装置に関する。
さらに詳しくは、ブリッジ装置での不正パケットの検出
および防止に関する。

【０００２】本明細書において「ネットワーク」とは、
１以上の端末がパケットの送受信可能に接続されたもの
をいう。すなわち、ブリッジ装置によりパケットが中継
される少なくとも一部のネットワークについて、その端
末数が「１」の場合を含む。

【０００３】

【従来の技術】コンピュータ間でデータをパケット化し
て伝送するコンピュータ通信においては、ネットワーク
間のパケット中継を行うため、ＯＳＩ参照モデルのデー
タリンク層のプロトコルでパケット転送を行うブリッジ
装置が従来から広く用いられている。また、このような
ブリッジ装置は、複数の端末を収容するためにも用いら
れる。以下では、加入者線を介したイーサネット間の中
継を例に説明する。

【０００４】図８は従来例のブリッジ装置３０およびそ
の利用形態を示すブロック構成図である。ブリッジ装置
３０は複数の加入者側イーサネット２１とセンタ側イー
サネット２２との間のパケット中継を行う。加入者側イ
ーサネット２１にはそれぞれ１以上の加入者端末２３と
ローエンドカード（ＬＥＣ）２４とが接続され、ローエ
ンドカード２４はそれぞれ加入者側終端装置２５を介し
て加入者線２６に接続される。これらの加入者線２６は
ネットワーク業者側の加入者通信系終端装置（ＳＬＴ：
Subscriber Line Terminal）２７により終端され、ブリ
ッジ装置３０を介してセンタ側イーサネット２２に接続
される。図には、センタ側イーサネット２２に接続され
た装置（コンピュータ）として、情報サーバ２８を示
す。

【０００５】加入者端末２３としては、例えばパーソナ
ルコンピュータが用いられる。ローエンドカード２４は
一種のブリッジ装置であり、イーサネットと加入者線と
の間のインタフェース／プロトコル変換を行う。加入者
側終端装置２５としては、加入者線２６により提供され
る通信回線がＩＳＤＮ回線あるいはディジタル専用回線
の場合にはＤＳＵ（Digital Service Unit）、光通信系
の場合には光電気信号変換機能を備えたＯＮＵ（Optica
l Network Unit）と呼ばれるものが用いられる。加入者
線２６としてはメタルあるいは光ファイバが用いられ、
６４ｋｂｉｔ／ｓ、１２８ｋｂｉｔ／ｓあるいは１．５
Ｍｂｉｔ／ｓで回線接続する。また、加入者線２６によ
り提供される通信回線がアナログ回線の場合には、加入
者側終端装置２５の代わりにモデムが用いられる。

【０００６】ブリッジ装置３０は、多重・分離回路３
１、ＨＤＬＣ処理回路３２およびイーサネットコントロ
ーラ３３を備える。多重・分離回路３１は、加入者通信
系終端装置２７の入出力信号に複数の加入者回線信号が
多重化されていることから、各加入者毎の回線につい
て、受信信号に対しては分離、送信信号に対しては多重
する。ＨＤＬＣ処理回路３２は、加入者からセンタ側へ
のＨＤＬＣパケットからイーサネットパケットを抽出
し、センタ側から加入者へのイーサットパケットをＨＤ
ＬＣパケットにカプセル化する。イーサネットコントロ
ーラ３３は、イーサパケットの加入者側あるいはセンタ
側への振り分け、およびセンタ側イーサネット２２との
インタフェース機能を実行する。

【０００７】加入者端末２３から通信を行う場合、その
加入者端末２３が備えているイーサネットインタフェー
スからのパケットは、最初にローエンドカード２４に送
られる。ローエンドカード２４は、受信したイーサネッ
トパケットをＨＤＬＣ（High-Level Data Link Contro
l）プロトコルにより処理し、ＨＤＬＣパケットデータ
にカプセル化あるいはマッピングして、加入者線２６上
の通信回線によりネットワーク側に送信する。具体的に
は、イーサネットパケットの前後にＨＤＬＣ開始フラグ
と終了フラグとを付加して送信する。なお、ＨＤＬＣの
代わりにＰＰＰ（Point-to-Point Protocol ）その他の
プロトコルを用いることも可能である。

【０００８】加入者線２６上の通信回線に送出されたＨ
ＤＬＣパケットは加入者通信系終端装置２７により終端
され、複数回線の信号が多重化されてブリッジ装置３０
に入力される。ブリッジ装置３０では、その多重化され
た信号を多重・分離回路３１により各加入者の回線信号
に分離し、次にＨＤＬＣ処理回路３２において各回線の
ＨＤＬＣパケットから開始および終了フラグを検出する
ことによりイーサネットパケットを復元する。復元され
たイーサネットパケットは、イーサネットコントローラ
３３を経由してセンタ側イーサネット２２に送出される
とともに、送信元とは別の加入者側イーサネット２１に
対しても、逆の手順により、ブリッジ装置３０から加入
者通信系終端装置２７、加入者線２６、加入者側終端装
置２５およびローエンドカード２４を経由して送られ
る。

【０００９】無駄なトラヒックを低減するため、イーサ
ネットパケットの宛先が情報サーバ２８のようなセンタ
側にあればそのパケットをセンタ側イーサネット２２の
みに送信し、宛先が他の加入者側にあればイーサネット
コントローラ３３でそのパケットを折り返して宛先の加
入者端末２３に送信することもできる。この場合、どの
端末がどの加入者回線（通信ポート）あるいはセンタ側
イーサネットに接続されているかという情報が必要であ
るため、イーサネットパケットのイーサネットアドレス
を学習し、メモリテーブル（図示せず）に保持する。

【００１０】

【発明が解決しようとする課題】従来のブリッジ装置で
は、通常は複数の通信ポートが設けられ、全通信ポート
の間あるいは各通信ポートの先に接続されている端末
（コンピュータ）のイーサネットアドレス、すなわち４
８ビットのＭＡＣ（Media Access Control）アドレスを
検知することで、それらの間のパケット送受信を可能と
していた。しかし、従来のブリッジ装置では、イーサネ
ットアドレスを学習することはできるが、上位レイヤで
処理されるＩＰ通信用パケットのＩＰアドレスとイーサ
ネットアドレスとの対応の正当性までチェックすること
はできなかった。このため、例えば設定ミスや故意に他
の端末になりすますために他の端末と同じＩＰアドレス
が端末に設定された場合でも、その端末からのパケット
をそのまま通過させ、通信に混乱が生じるという問題が
あった。さらに、そのような場合に、問題を起こしてい
る端末を特定することも困難であった。

【００１１】本発明は、このような課題を解決し、上位
レイヤのアドレスの設定ミスや故意による不正パケット
による通信の混乱を防止して安定したコンピュータ通信
を行うことのできる不正パケット防止方法およびブリッ
ジ装置を提供することを目的とする。

【００１２】

【課題を解決するための手段】本発明の第一の観点は不
正パケット防止方法であり、パケット化されたデータを
ネットワーク間で中継するブリッジ装置に互いに異なる
レイヤのプロトコルで処理されるアドレスの対応をあら
かじめ登録しておき、転送されるパケットのヘッダに含
まれそのパケットのネットワーク内での送信元または宛
先を示す第一のアドレスと、転送されるパケットのデー
タに含まれ上位レイヤのプロトコルにおける送信元また
は宛先を示す第二のアドレスとを検出し、検出された第
一のアドレスと第二のアドレスとの組み合わせがあらか
じめ登録された組み合わせのいずれとも異なる場合には
そのパケットを廃棄することを特徴とする。

【００１３】ネットワークとしてイーサネットを用い、
上位レイヤでＩＰ（Internet Protocol ）通信を行う場
合には、イーサネットパケットのヘッダおよびデータに
付与されたイーサネットアドレスとＩＰアドレスとの組
について、あらかじめ登録されたアドレスの組と比較す
る。そして、一致するものがない場合には、そのパケッ
トを廃棄する。これにより、ＩＰアドレスの設定ミスや
故意による不正パケットによる通信の混乱を防止でき
る。

【００１４】コンピュータ間の通信では、上位レイヤの
アドレスが既知であっても下位レイヤのアドレスが未知
の場合、その上位レイヤのアドレスを同報送信し、その
応答により下位レイヤのアドレスを知ることが行われて
いる。ＩＰ通信の場合であれば、ＡＲＰ（Address Reso
lution Protocol ）要求パケットにより相手先ＩＰアド
レスを同報送信し、相手先の端末がそれに応答してＡＲ
Ｐ応答パケットにより自分のイーサネットアドレスを返
送することで、送信元で相手先のイーサネットアドレス
を知ることができる。このような場合にも、相手先ＩＰ
アドレスの設定ミスや故意により、不正なアドレスの組
み合わせが返送される可能性がある。

【００１５】本発明の第二の観点はこのような不正を防
止するものであり、パケット化されたデータをネットワ
ーク間で中継するブリッジ装置に互いに異なるレイヤの
プロトコルで処理されるアドレスの対応をあらかじめ登
録しておき、転送されるパケットのデータが第一のレイ
ヤのアドレスを用いた第二のレイヤのアドレスの問い合
わせに対する応答であるとき、そのパケットのデータに
含まれる第一のレイヤのアドレスと第二のレイヤのアド
レスとの組み合わせがあらかじめ登録された組み合わせ
のいずれとも異なる場合にはそのパケットを廃棄するこ
とを特徴とする。

【００１６】具体的には、イーサネットパケットのデー
タにカプセル化されたＡＲＰ応答パケットを検出し、そ
のＡＲＰパケットのヘッダ内の「探している宛先」のＩ
Ｐアドレスとイーサネットアドレスとの組について、あ
らかじめ登録されたアドレスの組と比較する。そして、
一致するものがない場合には、そのパケットを廃棄す
る。

【００１７】本発明の第三の観点は第一の観点の方法を
実行する装置であり、パケット化されたデータをネット
ワーク間で中継するブリッジ装置において、互いに異な
るレイヤのプロトコルで処理されるアドレスの組み合わ
せがあらかじめ登録される記憶手段と、転送されるパケ
ットのヘッダに含まれそのパケットの送信元または宛先
を示す第一のアドレスを検出する第一の検出手段と、転
送されるパケットのデータに含まれ上位レイヤのプロト
コルにおける送信元または宛先を示す第二のアドレスを
検出する第二の検出手段と、第一の手段により検出され
た第一のアドレスと第二の手段により検出された第二の
アドレスとの組み合わせが記憶手段に登録された組み合
わせのいずれとも異なる場合にはそのパケットを廃棄す
る手段とを備えたことを特徴とする。

【００１８】本発明の第四の観点は第二の観点の方法を
実行する装置であり、パケット化されたデータをネット
ワーク間で中継するブリッジ装置において、互いに異な
るレイヤのプロトコルで処理されるアドレスの組み合わ
せがあらかじめ登録される記憶手段と、転送されるパケ
ットのデータが第一のレイヤのアドレスを用いた第二の
レイヤのアドレスの問い合わせに対する応答であること
を検出する手段と、この第一の手段により検出されたパ
ケットのデータに含まれる第一のレイヤのアドレスと第
二のレイヤのアドレスとの組み合わせが記憶手段に登録
された組み合わせのいずれとも異なる場合にはそのパケ
ットを廃棄する手段とを備えたことを特徴とする。

【００１９】

【発明の実施の形態】図１は本発明の実施形態を示すブ
ロック構成図であり、ブリッジ装置１０とその利用形態
を示す。ここでは、加入者線を介したイーサネット間の
中継を例に説明する。

【００２０】この実施形態において、ブリッジ装置１０
は複数の加入者側イーサネット２１とセンタ側イーサネ
ット２２との間のパケット中継を行う。加入者側イーサ
ネット２１にはそれぞれ１以上の加入者端末２３とロー
エンドカード（ＬＥＣ）２４とが接続され、ローエンド
カード２４はそれぞれ加入者側終端装置（ＯＮＵ／ＤＳ
Ｕ）２５を介して加入者線２６に接続される。これらの
加入者線２６はネットワーク業者側の加入者通信系終端
装置（ＳＬＴ）２７により終端され、ブリッジ装置１０
を介してセンタ側イーサネット２２に接続される。図に
は、センタ側イーサネット２２に接続された装置（コン
ピュータ）として、情報サーバ２８および管理サーバ２
９を示す。

【００２１】ブリッジ装置１０は、多重・分離回路１
１、ＨＤＬＣ処理回路１２、アドレスチェック回路１
３、メモリ１４およびイーサネットコントローラ１５を
備える。多重・分離回路１１は、加入者通信系終端装置
２７の入出力信号に複数の加入者回線信号が多重化され
ていることから、各加入者毎の回線について、受信信号
に対しては分離、送信信号に対しては多重する。ＨＤＬ
Ｃ処理回路１２は、加入者からセンタ側へのＨＤＬＣパ
ケットからイーサネットパケットを抽出し、センタ側か
ら加入者へのイーサットパケットをＨＤＬＣパケットに
カプセル化する。アドレスチェック回路１３は、イーサ
ネットパケットのアドレス情報をチェックし、あらかじ
めメモリ１４に登録されている内容と異なるアドレス情
報を有するパケットを廃棄する。イーサネットコントロ
ーラ１５は、イーサパケットの加入者側あるいはセンタ
側への振り分け、およびセンタ側イーサネット２２との
インタフェース機能を実行する。

【００２２】ここで、図２ないし図５を参照して、イー
サネットパケット、ＩＰパケットの構造ならびに端末間
の通信に必要なアドレス解決プロトコル（ＡＲＰ）につ
いて説明する。

【００２３】図２はイーサネットパケットの構造を示
す。イーサネットパケットには、ヘッダとして宛先イー
サネットアドレス、送信元イーサネットアドレスおよび
上位プロトコルの種別（ＥＴＹＰＥ）を示すフィールド
が設けられ、さらに、データフィールドおよび誤り訂正
のためのフレームチェックシーケンスフィールド（ＦＣ
Ｓ）が設けられる。

【００２４】図３はＩＰパケットの概略的な構造を示
し、図４は詳しい構造を４バイト単位に示す。ＩＰパケ
ットはヘッダフィールドとデータフィールドとにより構
成され、これらがイーサネットパケットのデータ領域に
収められて送受信される。ＩＰパケットのヘッダフィー
ルドには、バージョン、ヘッダ長、サービスタイプ、Ｉ
Ｐパケット長、パケット識別子、フラグ、データ分割用
オフセット、パケット存続時間、上位層用識別子、ヘッ
ダ用チェックサム、送信元ＩＰアドレス、相手先ＩＰア
ドレス、およびオプションの各フィールドから構成され
る。

【００２５】図５はＡＲＰパケットのヘッダ構造を４バ
イト単位に示す。ＡＲＰパケットもまた、イーサネット
パケットのデータ領域に収められて送受信される。ＡＲ
Ｐパケットのヘッダは、ハードウェアタイプ、プロトコ
ルタイプ、ハードウェアアドレスの長さ、プロトコルア
ドレスの長さ、オペレーション、送信元イーサネットア
ドレス、送信元ＩＰアドレス、探している宛先イーサネ
ットアドレス、探している宛先ＩＰアドレスの各フィー
ルドから構成される。イーサネットを介して通信を行う
ためには、互いの端末のイーサネットアドレスが必要で
ある。このためＩＰ通信においては、始めに相手先ＩＰ
アドレスを有する端末のイーサネットアドレスを得る必
要がある。そこで、最初にＡＲＰ要求パケットをブロー
ドキャスト送信する。このＡＲＰ要求パケットに対して
該当するＩＰアドレスを有する端末は、自分のイーサネ
ットアドレスをＡＲＰ応答パケットとして返送する。こ
れにより、該当するイーサネットアドレスを得ることが
できる。以降は、相手先ＩＰアドレスとイーサネットア
ドレスとを所定のアドレスフィールドで指定することに
より、通信が可能となる。ＡＲＰ要求と応答との区別
は、オペレーションフィールドの指定内容により認識す
る。

【００２６】再び図１を参照してその動作を説明する。
加入者端末２３からパケットを送信する場合、その加入
者端末２３が備えているイーサネットインタフェースか
らのパケットは、最初にローエンドカード２４に送られ
る。ローエンドカード２４は、受信したイーサネットパ
ケットをＨＤＬＣプロトコルにより処理し、ＨＤＬＣパ
ケットデータにカプセル化あるいはマッピングして、加
入者線２６上の通信回線によりネットワーク側に送信す
る。具体的には、イーサネットパケットの前後にＨＤＬ
Ｃ開始フラグと終了フラグとを付加して送信する。ＨＤ
ＬＣの代わりにＰＰＰその他のプロトコルを用いること
も可能である。加入者線２６上の通信回線に送出された
ＨＤＬＣパケットは加入者通信系終端装置２７により終
端され、複数回線の信号が多重化されてブリッジ装置１
０に入力される。ブリッジ装置１０では、その多重化さ
れた信号を多重・分離回路１１により各加入者の回線信
号に分離し、次にＨＤＬＣ処理回路１２において各回線
のＨＤＬＣパケットから開始および終了フラグを検出す
ることによりイーサネットパケットを復元する。イーサ
ネットパケットの復元処理は並列に行われる。復元され
たイーサネットパケットはアドレスチェック回路１３に
送られる。アドレスチェック回路１３は、イーサネット
アドレスとＩＰアドレスとの組をメモリ１４にあらかじ
め登録されたメモリテーブルの内容と比較し、登録内容
と異なる組み合わせのパケットであれば不正パケットと
して廃棄する。不正パケット以外のパケットはイーサネ
ットコントローラ１５に送り、従来例と同様に、センタ
側イーサネット２２に送出するとともに、送信元とは別
の加入者側イーサネット２１に対しても逆の手順により
送出する。

【００２７】図６はアドレスチェック回路１３の動作フ
ローを示す。アドレスチェック回路１３によるアドレス
のチェック対象としては、通常のＩＰパケットを含むイ
ーサネットパケットのみの場合、ＡＲＰパケットを含む
イーサネットパケットのみの場合、およびその双方の場
合が考えられる。ここでは、双方をチェック対象とする
場合について説明する。

【００２８】イーサネットパケットが入力されると、ア
ドレスチェック回路１３は、そのデータフィールドの内
容がＩＰパケットかＡＲＰ応答パケットかを判断する。
ＩＰパケットの場合には、イーサネットパケットのヘッ
ダに含まれる送信元または宛先のイーサネットアドレス
と、ＩＰパケットのヘッダに含まれる送信元または宛先
のＩＰアドレスとを検出し、検出されたイーサネットア
ドレスとＩＰアドレスとの組み合わせとメモリ１４内の
テーブルにあらかじめ登録された組み合わせとを比較
し、いずれとも異なる場合にはそのパケットを廃棄す
る。また、イーサネットパケットのデータフィールドの
内容がＡＲＰ応答パケットの場合には、そのＡＲＰ応答
パケットのヘッダ内の探している宛先のイーサネットア
ドレスとＩＰアドレスとの組み合わせと、メモリ１４内
のテーブルにあらかじめ登録された組み合わせとを比較
し、いずれとも異なる場合にはそのパケットを廃棄す
る。

【００２９】不正パケットを防止する目的からすると、
基本的には、ＡＲＰパケットのチェックで十分である。
ただし、通常のＩＰパケットを含むイーサネットパケッ
トをもチェックすることで、不正パケットをより確実に
防止することができる。

【００３０】図７はメモリ１４にあらかじめ登録される
テーブルの一例を示す。このテーブルには、加入端末分
のイーサネットアドレスとＩＰアドレスとの対応が登録
される。アドレスチェック回路１３と、これらのアドレ
スの対応関係をチェックする。例えば、宛先イーサネッ
トアドレスが「イーサネットアドレス１」で宛先ＩＰア
ドレスが「ＩＰアドレス１」のものは通過させるが、宛
先イーサネットアドレスが「イーサネットアドレス１」
で宛先ＩＰアドレスが「ＩＰアドレス２」に設定されて
いるようなパケットは廃棄する。ＡＲＰパケットについ
ても同様で、ＡＲＰ応答パケットのヘッダ内の探してい
る宛先のＩＰアドレスが「ＩＰアドレス１」でイーサネ
ットアドレスが「イーサネットアドレス１」に設定され
ている場合は通過させるが、いずれかのアドレスがテー
ブルの内容と異なるパケットは廃棄する。

【００３１】このようなテーブルをメモリ１４内に登録
する方法としては、ブリッジ装置１０で作成することも
可能であるが、ネットワーク上の汎用コンピュータある
いはワークステーションで作成して転送することが便利
である。すなわち、管理サーバ２９によりテーブルを作
成し、ＦＴＰ（File Transfer Protocol）あるいはＳＮ
ＭＰ（Simple Network Managentnt Protocol）その他の
方法によりブリッジ装置１０に転送する。この方法によ
れば、リモートで制御可能である。

【００３２】この実施形態においても従来例と同様に、
無駄なトラヒックを低減するため、イーサネットパケッ
トの宛先が情報サーバ２８のようなセンタ側にあればそ
のパケットをセンタ側イーサネット２２のみに送信し、
宛先が他の加入者側にあればイーサネットコントローラ
１５でそのパケットを折り返して宛先の加入者端末２３
に送信することもできる。この場合、どの端末がどの加
入者回線（通信ポート）あるいはセンタ側イーサネット
に接続されているかという情報が必要である。そこで、
ブリッジ装置１０でイーサネットパケットのイーサネッ
トアドレスを学習し、メモリテーブルに保持しておく。
このメモリテーブルを不正パケットチェック用のテーブ
ルと共用し、ポート情報を追加した形態のテーブルを使
用することで、メモリ量を低減できる。

【００３３】以上説明した実施形態では、ＩＰアドレス
とイーサネットアドレスとの組をあらかじめ登録されて
いるものかどうかチェックし、登録情報と異なる不正イ
ーサネットパケットは廃棄するため、不正パケットによ
る通信の混乱を防止することができる。

【００３４】以上説明した実施形態では、通信回線とセ
ンタ側イーサネットとを接続する場合を例に説明した
が、複数のイーサネットを直接ブリッジ装置のポートに
接続する構成でも同様に本発明を実施できる。また、管
理サーバを用いずに、制御用端末をブリッジ装置に接続
して直接にメモリテーブルを変更する構成とすることも
可能である。さらに、ＩＰ通信を例にイーサネットアド
レスとＩＰアドレスとの組み合わせについてチェックす
る形態について説明したが、ＩＰ以外の上位プロトコル
に対しても同様にアドレスチェックすることにより、同
様に不正パケットを防止することができる。

【００３５】

【発明の効果】以上説明したように、本発明の不正パケ
ット防止方法およびブリッジ装置は、コンピュータ通信
における互いに異なるレイヤのプロトコルで処理される
アドレスの対応について、あらかじめ登録されたものと
一致するかどうかをチェックし、登録されたものと異な
るパケットは廃棄する。これにより、不正パケットによ
る通信の混乱が生じることがなく、安定したコンピュー
タ通信ネットワークを実現することが可能となる効果が
ある。

【図面の簡単な説明】

【図１】本発明の実施形態を示すブロック構成図。

【図２】イーサネットパケットの構造を示す図。

【図３】ＩＰパケットの概略的な構造を示す図。

【図４】ＩＰパケットの詳しい構造を示す図。

【図５】ＡＲＰパケットのヘッダ構造を示す図。

【図６】アドレスチェック回路の動作フローを示す図。

【図７】メモリにあらかじめ登録されるテーブルの一例
を示す図。

【図８】従来例のブリッジ装置およびその利用形態を示
すブロック構成図。

【符号の説明】

１０、３０ ブリッジ装置 １１、３１ 多重・分離回路 １２、３２ ＨＤＬＣ処理回路 １３ アドレスチェック回路 １４ メモリ １５、３３ イーサネットコントローラ ２１ 加入者側イーサネット ２２ センタ側イーサネット ２３ 加入者端末 ２４ ローエンドカード ２５ 加入者側終端装置 ２６ 加入者線 ２７ 加入者通信系終端装置 ２８ 情報サーバ ２９ 管理サーバ

───────────────────────────────────────────────────── フロントページの続き (72)発明者 森崎 正人 東京都新宿区西新宿三丁目19番２号 日本 電信電話株式会社内

Claims (4)

【特許請求の範囲】
1. 【請求項１】 パケット化されたデータをネットワーク
   間で中継するブリッジ装置に互いに異なるレイヤのプロ
   トコルで処理されるアドレスの対応をあらかじめ登録し
   ておき、 転送されるパケットのヘッダに含まれそのパケットのネ
   ットワーク内での送信元または宛先を示す第一のアドレ
   スと、転送されるパケットのデータに含まれ上位レイヤ
   のプロトコルにおける送信元または宛先を示す第二のア
   ドレスとを検出し、 検出された第一のアドレスと第二のアドレスとの組み合
   わせがあらかじめ登録された組み合わせのいずれとも異
   なる場合にはそのパケットを廃棄することを特徴とする
   不正パケット防止方法。
2. 【請求項２】 パケット化されたデータをネットワーク
   間で中継するブリッジ装置に互いに異なるレイヤのプロ
   トコルで処理されるアドレスの対応をあらかじめ登録し
   ておき、 転送されるパケットのデータが第一のレイヤのアドレス
   を用いた第二のレイヤのアドレスの問い合わせに対する
   応答であるとき、そのパケットのデータに含まれる第一
   のレイヤのアドレスと第二のレイヤのアドレスとの組み
   合わせがあらかじめ登録された組み合わせのいずれとも
   異なる場合にはそのパケットを廃棄することを特徴とす
   る不正パケット防止方法。
3. 【請求項３】 パケット化されたデータをネットワーク
   間で中継するブリッジ装置において、 互いに異なるレイヤのプロトコルで処理されるアドレス
   の組み合わせがあらかじめ登録される記憶手段と、 転送されるパケットのヘッダに含まれそのパケットの送
   信元または宛先を示す第一のアドレスを検出する第一の
   検出手段と、 転送されるパケットのデータに含まれ上位レイヤのプロ
   トコルにおける送信元または宛先を示す第二のアドレス
   を検出する第二の検出手段と、 前記第一の手段により検出された第一のアドレスと前記
   第二の手段により検出された第二のアドレスとの組み合
   わせが前記記憶手段に登録された組み合わせのいずれと
   も異なる場合にはそのパケットを廃棄する手段とを備え
   たことを特徴とするブリッジ装置。
4. 【請求項４】 パケット化されたデータをネットワーク
   間で中継するブリッジ装置において、 互いに異なるレイヤのプロトコルで処理されるアドレス
   の組み合わせがあらかじめ登録される記憶手段と、 転送されるパケットのデータが第一のレイヤのアドレス
   を用いた第二のレイヤのアドレスの問い合わせに対する
   応答であることを検出する手段と、 この第一の手段により検出されたパケットのデータに含
   まれる第一のレイヤのアドレスと第二のレイヤのアドレ
   スとの組み合わせが前記記憶手段に登録された組み合わ
   せのいずれとも異なる場合にはそのパケットを廃棄する
   手段とを備えたことを特徴とするブリッジ装置。