JPH10508996A

JPH10508996A - 安全なネットワークのためのプログラム可能な発信元アドレスロック機構

Info

Publication number: JPH10508996A
Application number: JP8516069A
Authority: JP
Inventors: ロー，ウィリアム
Original assignee: Advanced Micro Devices Inc
Current assignee: Advanced Micro Devices Inc
Priority date: 1994-11-10
Filing date: 1995-10-11
Publication date: 1998-09-02
Also published as: TW257910B; US5590201A; EP0791260A1; KR970706671A; WO1996015608A1

Abstract

(57)【要約】アドレス学習能力を有する管理されるレピータ（１０）であって、特定のポート（３０）と組合された格納済発信元アドルスと異なった受信された発信元アドレスを有するデータパケットを特定ポート（３０）で受信すると、格納済発信元アドレスを受信された発信元アドレスで置き換えるものにおける、発信元アドレスロック回路であって、格納済発信元アドレスが、受信された発信元アドレスと一致しないとき、格納済発信元アドレスを受信された発信元アドレスで置き換えるための、特定ポートと組合されたアドレス学習回路と、アドレス学習回路と結合されアドレス学習回路が格納済発信元アドレスを受信された発信元アドレスで置き換えられないようにするためのビット値を格納するための、特定ポートに対応するアドレスロックレジスタとを含む。この管理されるレピータは、管理されるレピータ内の特定ポートについての発信元アドレス更新を管理者が、不能化できるようにすることで、発信元アドレス更新機能を持つネットワークのセキュリティを向上させる。各アドレスロックレジスタは、外部からプログラムでき、管理者は、特定のポートについての発信元アドレス更新を不能化するようにタイムウインドウをプログラムできる。管理者は、各ポートに組合された格納済発信元アドレスが更新されないよう、各アドレスロックレジスタを個別にプログラムできる。この管理されるレピータにより、管理者は、ポート１つ１つについて、管理されるレピータのアドレス学習能力を可能化するか不能化するか、プログラム可能なタイムウインドウに対して決定できる。

Description

【発明の詳細な説明】安全なネットワークのためのプログラム可能な発信元アドレスロック機構関連出願との相互参照本出願は、１９９４年１０月１０日発行の、米国特許第５，３５３，３５３号「レピータベースのネットワークでのアドレストラッキング」および、１９９４年４月２０日に出願され１９９５年１月１７日に公開された特開平７−１５４５４「データを送信および受信するための複数のポートを含むネットワークの安全を提供するためのシステム」と関連し、この２件は、あらゆる目的のために、ここに明示的に引用によって援用される。発明の背景この発明は、発信元アドレス更新機能を有するネットワークのセキュリティに関し、より特定的には、安全なネットワークのためのプログラム可能な発信元アドレスロック機構に関する。（あらゆる目的のためここに引用により援用される）ＩＥＥＥ８０２．３規格に基づくネットワークのような、典型的なネットワークにおいては、あるデータ端末装置（ＤＴＥ）、すなわち、ある端末局から他のＤＴＥへ送信されるデータパケットは、すべてのレピータを通過する。普通、２つまたはそれ以上の端末局が、レピータのポートを通じて、レピータに接続されている。レピータはまた、他のレピータに接続されることもある。典型的なデータパケットは、プリアンブルと、フレーム開始デリミタ（ＳＦＤ）と、行先アドレスフィールドと、発信元アドレスフィールドと、型／長さフィールドと、データフィールドと、フレームチェックシーケンス（ＦＣＳ）フィールドと、送信終了デリミタ（ＥＴＤ）とを含む。各ＤＴＥは、メディアアクセスコントロール（ＭＡＣ）アドレスと呼ばれる、割当てられた個別かつ一意のアドレスを有する。ＤＴＥがデータパケットを送信するとき、送信されるデータパケットは、データパケットの発信元アドレスフィールド内に、送信したＤＴＥのＭＡＣアドレスを含み、その行先アドレスフィールド内に、データパケットが向けられたＤＴＥのＭＡＣアドレスを含んでいる。レピータが、レピータのポートの１つにおいて、そのポートに接続されているＤＴＥからのデータパケットを受信すると、レピータは、このデータパケットを変更することなく、他のポートに接続されているすべてのＤＴＥに再送信する。通常は、データパケットの行先アドレスフィールド内にあるＭＡＣアドレスを持つＤＴＥのみが、そのデータパケットを読取り、他のＤＴＥはただそのデータパケットを無視する。しかしながら、レピータがデータパケットを変更せずにすベてのポートに再送信するということは、ネットワークのセキュリティを危うくする。可能性として、行先アドレスフィールドに含まれる行先アドレスと一致しないＭＡＣアドレスを有する、目標とされていないＤＴＥも、行先であるＤＴＥのみに向けられているデータパケットを読出し得るのである。レピータのポートが各々、（スタートポロジのネットワークでのように）１つのＤＴＥに接続されていると仮定すると、レピータに接続された管理ユニット内のハードウェアは、各ポートに接続されたＤＴＥのＭＡＣアドレスを学習できることになる。このような管理ユニットに接続されたレピータは、アドレス学習能力を有する管理されるレピータと呼ばれる。学習されたＭＡＣアドレスは、管理ユニット内のメモリロケーションＡＤＲ（ｘ）に格納される。ただしｘは、１からｎまでの範囲内で、ｘは管理されるレピータのｎ個のポートの中のｘポートを識別する。複数のＤＴＥ（たとえば、同軸ケーブル上の局や他のレピータ）に接続されたポートは例外として、一度ポートｘに接続されたＤＴＥのＭＡＣアドレスがわかり、ＡＤＲ（ｘ）に格納されると、ＡＤＲ（ｘ）内の値はネットワークが再構成されない限り変わらない。もし、管理されるレピータのポートと接続されたＤＴＥが変われば、管理ユニットは、ＩＥＥＥ８０２．３規格に従い、そのポートに対し格納されたＭＡＣアドレスを更新する。ポートｘで受信されたデータパケットの発信元アドレスフィールド内のＭＡＣアドレスと、以前にＡＤＲ（ｘ）に格納された発信元アドレスとの不一致が検出されると、管理ユニットは、格納されたＭＡＣアドレスを、受信されたデータパケットの発信元アドレスフィールド内に含まれた受信された発信元アドレスと置き換えることで、メモリロケーションＡＤＲ（ｘ）を更新する。学習されたＭＡＣアドレスの更新を可能にすることにより、ネットワークは、ネットワークセキュリティに対する深刻な侵害という可能性にさらされる。たとえば、侵入者は、以前にＡＤＲ（ｘ）に格納されていたＭＡＣアドレスを有するＤＴＥを切離し、別の装置をポートｘに接続して置き換えることができる。セキュリティ対策がされたネットワークにおいては、ポートｘの使用をもくろむ侵入者が以前にＡＤＲ（ｘ）に格納されていたＭＡＣアドレスを知ることは困難なので、侵入者は、ポートｘにおいて異なったＭＡＣアドレスを使う可能性が大である。一度侵入者がデータパケットを送信し、管理されるレピータが、そのデータパケットの発信元アドレスフィールドに違ったＭＡＣアドレスを検出すると、管理ユニットは、以前に学習したＭＡＣアドレスを侵入者のＭＡＣアドレスで置き換える。その後は、侵入者のアドレスがＡＤＲ（ｘ）に格納されているので、侵入者はネットワークにアクセスできる。さらに深刻な問題が生じるのは、侵入者がＡＤＲ（ｘ）にネットワーク上の別のＤＴＥに対応するＭＡＣアドレスを格納させるときである。この場合、侵入者は他のＤＴＥに向けられたデータパケットを受信することになる。先行技術では、発信元アドレスが更新された後、割込みフラグをセットすることで、この種のネットワークのセキュリティの問題に対処してきた。割込みフラグは、ＭＡＣアドレスの更新が特定のポートで起こったことをネットワーク管理者に警告する。もし、そのＭＡＣアドレスの更新が、許可されたＤＴＥの変更の結果ならば、管理者は割込みに応答しない。もし、その変化が許可されたものでなければ、管理者は、次のデータパケットが届く前に、ポートを閉じるか、ＡＤＲ（ｘ）を元の学習したＭＡＣアドレスでプログラムし直す。格納されたＭＡＣアドレスを更新し、ネットワークのセキュリティを提供するために更新後に割込みフラグをセットする、アドレス学習能力を有する管理されるレピータの例は、カリフォルニア州サニィベイルのアドバンスト・マイクロ・ディバイシズが製造し、援用された特許第５，３５３，３５３号に記載されたＩＭＲ＋／ＨＩＭＩＢ（Ｐ／ＮＡＭ７９Ｃ９８１（ＩＭＲ）およびＡＭ７９Ｃ９８７（ＨＩＭＩＢ））である。この種のネットワークセキュリティシステムは、割込みフラグに適時に対応すれば、十分なものだが、ネットワークのセキュリティが、割込みフラグに適時に対応するためのマイクロプロセッサの速さと、複雑なソフトウェアの効率的実行とに依存しているという点で、その性能は最適とは言えない。毎秒、数千ものデータパケットがネットワークを通過するので、割込みフラグに対応する前に侵入者にデータパケットが送信されるとすると、セキュリティの侵害は甚大になる。割込みへの対応が遅れると、侵入者は他のＤＴＥのふりをして、そのＤＴＥに向けられたデータパケットを盗聴できる。先行技術では、優先順位の高い割込みに対応するための非常に迅速なマイクロプロセッサと複雑なソフトウェアとを用いて、この種のセキュリティの侵害を最小限に抑えている。しかし、このような装置は高価なので、この解決法は望ましくない。先行技術においては、アドレス学習能力を有する管理されるレピータは、許可されていないポートには改変したデータパケットを送信し、許可されたポートには改変されていないデータパケットを送信することで、ある程度のネットワークのセキュリティを提供していた。つまり、管理されるレピータは、もし、ＡＤＲ（ｘ）に格納されたポートｘのＭＡＣアドレスが受信されたデータパケットの行先アドレスと一致すれば、ポートｘのデータパケットを変更せずに送信する。他の、アドレスが一致しないポートすべてに対しては、管理されるレピータはポートｘのデータパケットを改変して送信する。こうして、許可されていないＤＴＥが他のＤＴＥに向けられたデータパケットを盗聴することを防いでいる。この種のセキュリティシステムの一例は、援用された特開平７−１５４５４号に示されている。しかし、行先アドレスマッチングを用いて許可されていないＤＴＥへのデータパケットを改変する先行技術は、依然として、先に述べた発信元アドレス更新シナリオから生じるセキュリティの侵害には弱い。発明の概要この発明は、発信元アドレス更新機能を持つ管理されるレピータを備えたネットワークにおいて、セキュリティを高めるための機構を提供する。この発明は、発信元アドレス更新がネットワークのセキュリティに与える潜在的な問題のより効率的で経済的な解決法を提供する、という点を含め、先行技術より優れたさまざまな利点を有する。この解決法によれば、先行技術において必要とされたような、非常に迅速なマイクロプロセッサまたは複雑なソフトウェアは必要ない。この発明の一局面によれば、これは、アドレス学習能力を持ち特定のポートで、そのポートと組合された格納された発信元アドレスと異なる受信された発信元アドレスを持つデータパケットを受信すると、格納された発信元アドレスを受信された発信元アドレスで置き換える管理されるレピータにおいて動作する。好ましい実施例は、格納されている発信元アドレスが受信された発信元アドレスに一致しないとき、格納されている発信元アドレスを受信された発信元アドレスで置き換えるための、特定のポートと組合されたアドレス学習回路を含む発信元アドレスロック回路と、アドレス学習回路に結合され、アドレス学習回路が格納されている発信元アドレスを受信された発信元アドレスで置き換えるのを不能化するビット値を格納するための、上記特定ポートに対するアドレスロックレジスタとを含む。発信元アドレスロック回路は、管理者が、管理されるレピータ内のどの特定のポートまたはポートの組についても、発信元アドレス更新を不能化できるようにすることで、発信元アドレス更新機能を持つネットワークのセキュリティを向上させる。各アドレスロックレジスタは外部から個別にプログラムでき、管理者は、特定のポートについての発信元アドレス更新が時間の関数として不能化されるタイムウインドウをプログラムすることができる。この発明によれば、管理者はポート１つ１つについて管理されるレピータのアドレス学習能力がプログラムされたタイムウインドウについて可能化されるべきか、不能化されるべきかを決定できる。明細書の以下の説明および図を参照することで、この発明の性質および利点がさらに理解されるであろう。図面の簡単な説明図１はこの発明の好ましい実施例による管理されるレピータのブロック図である。図２はＣＡＭアドレス更新回路の詳細な概略ブロック図である。好ましい実施例の説明図１は、マイクロプロセッサ２０に結合された管理されるレピータ１０のブロック図である。管理されるレピータ１０は、複数のポート３０_x（ｘ＝１からｎ）と、レピータのフロントエンド４０と、データ入力コントローラ５０と、マイクロプロセッサインタフェース６０と、データ入力セレクタ７０と、内容参照可能メモリ（ＣＡＭ）一致インジケータ８０と、ＣＡＭアドレス更新回路１００とを含む。複数のデータ端末装置（ＤＴＥ）が、複数のポート３０_xを通じて、管理されるレピータ１０に接続する。電源が投入されると、アドレス学習能力を持つ管理されるレピータ１０は、ポート３０_xに接続するＤＴＥの各ＭＡＣアドレスを学習し、ＣＡＭ一致インジケータ８０内のこれと組合されたアドレスロケーションＡＤＲ（ｘ）に格納する。管理されるレピータ１０は、ポート３０_xで受信された発信元アドレスが、ＡＤＲ（ｘ）に格納されたＭＡＣアドレスと異なるときは、ＡＤＲ（ｘ）に格納されたＭＡＣアドレスを、ポート３０_xで受信されたデータパケットの受信された発信元アドレスで更新する。レピータフロントエンド４０は、ポート３０₁でデータパケットを受信し、他のポート３０_xにこのデータパケットを再送信する。レピータフロントエンド４０はまた、データパケットを処理して、管理されるレピータ１０内で使用されるべき、ＰＯＲＴ信号、ＤＡＴＡ信号、ＥＮＡＢＬＥ信号、およびＶＡＬＩＤ信号を発生させる。ＰＯＲＴ信号は、データパケットを受信するポート３０₁に付けられたポート番号を表わす４ビットの値を含む。レピータフロントエンド４０は、すべてのデータパケットをシリアルビットストリームで送信する。このシリアルビットストリームは、ポート３０₁でのデータパケットの受信された発信元アドレスを含む。ＥＮＡＢＬＥ信号がアサートされると、ＤＡＴＡ信号内のデータが有効であることを示す。ＶＡＬＩＤ信号がアサートされると、データパケットに誤りがないことが示される。データ入力コントローラ５０は、ＰＯＲＴ信号、ＤＡＴＡ信号、およびＥＮＡＢＬＥ信号を、レピータフロントエンド４０から受信する。データ入力コントローラ５０は、ＤＡＴＡ信号をフォーマット化する。データ入力コントローラ５０は、受信された発信元アドレスのビットをＣＡＭ一致インジケータ８０への入力に適したフォーマットに配置するためのシフトレジスタとコントローラ（図示せず）とを含む。データ入力コントローラ５０は受信された発信元アドレスとポート番号とを適切なフォーマットで出力する。フォーマット化した後、データ入力コントローラ５０はＣＡＭ一致インジケータに対して、ＣＯＭＰＡＲＥ信号をアサートして比較の手順を開始させる。マイクロプロセッサ２０に結合されたマイクロプロセッサインタフェース６０は、マイクロプロセッサデータ（ＭＤＡＴＡ）信号、マイクロプロセッサポート（ＭＰＯＲＴ）信号、およびマイクロプロセッサ書込（ＭＷＲＩＴＥ）信号を発生させる。ＭＤＡＴＡ信号は、マイクロプロセッサがＡＤＲ（ｘ）メモリロケーションにプログラムしようとする、ポート３０_xに対応するＭＡＣアドレスを含む。ＭＰＯＲＴ信号は、マイクロプロセッサがプログラムしようとしているＭＡＣアドレスを有するポート３０_xを識別するポート番号を含む。マイクロプロセッサインタフェース６０はＭＷＲＩＴＥ信号をアサートし、プログラムされたＭＡＣアドレスとプログラムされたポート番号とをＣＡＭ一致インジケータ８０に書込む。データ入力セレクタ７０は、データ入力コントローラ５０と結合されており、ポート番号と受信された発信元アドレスとを受信する。データ入力セレクタ７０はまた、マイクロプロセッサインタフェース６０にも結合されており、ＭＰＯＲＴおよびＭＤＡＴＡを受信する。ＳＥＬＥＣＴ信号（ＳＥＬ）に応答して、２つのマルチプレクサ（図示しないがデータ入力セレクタ７０に含まれる。）は、ＣＡＭ一致インジケータ８０への入力として、データ入力コントローラ５０またはマイクロプロセッサインタフェース６０のいずれかから、ポート番号とアドレスとを選択する。通常は、ＳＥＬＥＣＴ信号はＬＯＷに設定され、データ入力セレクタ７０はプログラムされたポート番号とアドレスとをマイクロプロセッサインタフェース６０から選択する。データ入力セレクタ７０から、ＣＡＭ一致インジケータ８０は、ＰＯＲＴＡＤＲ入力において、選択されたポート番号を受信し、ＤＡＴＡＩＮ入力において、これに対応する選択されたアドレスを受信する。ＣＡＭ一致インジケータ８０はまた、適切にフォーマット化された受信された発信元アドレスを、ＣＭＰＩＮ入力で受信する。ＣＡＭ一致インジケータ８０は、データ入力コントローラ５０からのＣＯＭＰＡＲＥ信号がアサートされたのに応答して、ＣＭＰＩＮの受信された発信元アドレスを、ＣＡＭ一致インジケータ８０のＡＤＲ（ｘ）に格納されたＭＡＣアドレスの各々と比較する。好ましい実施例では、ポート３０_xに対し、１つの記憶ロケーションＡＤＲ（ｘ）がある。所望ならば、１つのポートに接続された複数アドレスに対処するため、各ポートについて複数の記憶ロケーションを用いて、他の実施例を実現することもできる。比較の後、ＣＭＰＩＮ入力の受信された発信元アドレスがＡＤＲ（ｘ）に格納されたＭＡＣアドレスと一致するときは、ＣＡＭ一致インジケータ８０はＭＡＴＣＨ（ｘ）信号をアサートする。ＣＡＭ一致インジケータ８０は、複数のＭＡＴＣＨ（ｘ）信号を有し、その１つ１つが各ポート３０_xに対応する。たとえばポート３０₁から受信された発信元アドレスが、ＡＤＲ（２）に格納されたＭＡＣアドレスと一致したら、ＣＡＭ一致インジケータ８０はＭＡＴＣＨ（２）信号をアサートする。ＣＡＭ一致インジケータ８０は、ＷＲＩＴＥ信号がアサートされたのに応答して、ＤＡＴＡＩＮ入力の選択されたアドレス情報を、ＰＯＲＴＡＤＲ入力の選択されたポート番号に対応するメモリロケーションＡＤＲ（ＰＯＲＴＡＤＲ）に書込む。管理されるレピータ１０内での上述の機能の動作および実装に関する具体的詳細は、援用された米国特許第５，３５３，３５３号および、特開平７−１５４５４において、さらに説明されている。ＣＡＭアドレス更新回路１００は、レピータフロントエンド４０からＰＯＲＴ信号およびＶＡＬＩＤ信号を受信し、ＣＡＭ一致インジケータ８０から複数のＭＡＴＣＨ（ｘ）信号を受信し、マイクロプロセッサインタフェース６０からＭＷＲＩＴＥ信号を受信する。これらの信号に応答して、ＣＡＭアドレス更新回路１００は、データ入力セレクタ７０に対し、ＳＥＬＥＣＴ信号をＨＩＧＨに設定し、ＣＡＭ一致インジケータ８０に対し、ＷＲＩＴＥ信号をＨＩＧＨに設定する。ＣＡＭアドレス更新回路１００は、ＣＡＭ一致インジケータ８０に格納されたＭＡＣアドレスをいつ更新するかを制御し、同時に、受信された発信元アドレスまたはプログラムされたアドレスで、特定ポートに対応する格納されたＭＡＣアドレスを置き換えるかどうかを決定する。好ましい実施例は、ＣＡＭアドレス更新回路１００内で選択的にＭＡＣアドレス更新を不能化するよう動作する。図２は、ＣＡＭアドレス更新回路１００の詳細な概略図である。ＣＡＭアドレス更新回路１００は、デコーダ１１０と、パルス回路１２０と、発信元アドレスロック機構１３０とを含む。デコーダ１１０およびパルス回路１２０は、発信元アドレスロック機構１３０で使えるよう入力信号を処理する。デコーダ１１０はレピータフロントエンド４０からのＰＯＲＴ信号をデコードし、各ポート３０_xに１つのＡＣＴＩＶＥ（ｘ）信号が対応する複数のＡＣＴＩＶＥ（ｘ）信号をアサートする。ＡＣＴＩＶＥ（ｘ）信号は、ポート３０_xが活性のとき、すなわち、ポート３０_xがデータパケットを受信したとき、アサートされる。好ましい実施例では、デコーダ１１０はＰＯＲＴ信号をデコードし、ポート３０_xがデータパケットを受信したことを示すときはＡＣＴＩＶＥ信号を１つだけアサートする。パルス回路１２０は、レピータフロントエンド４０からＶＡＬＩＤ信号を受信し、１周期のパルスであるＶＸ信号を出力する。パルス回路１２０は、ＶＡＬＩＤ信号がＬＯＷからＨＩＧＨに遷移するとき、ＶＸをアサートする。レピータフロントエンド４０は、データパケットに誤りがないとき、それを示すよう、データパケットの終わりにＶＡＬＩＤ信号をアサートする。発信元アドレスロック機構１３０は、デコーダ１１０からＡＣＴＩＶＥ（ｘ）信号を受信し、パルス回路１２０からＶＸ信号を受信し、ＣＡＭ一致インジケータ８０からＭＡＴＣＨ（ｘ）信号を受信し、マイクロプロセッサインタフェース６０からＭＷＲＩＴＥ信号を受信する。発信元アドレスロック機構１３０は、複数のＡＮＤゲート１４０_xと、複数のインバータゲート１５０_xと、複数のアドレスロックレジスタ１６０_xと、選択ＯＲゲート１７０と、書込ＯＲゲート１８０とを含む。各ポート３０_xに対して、ＡＣＴＩＶＥ（ｘ）信号と、反転されたＭＡＴＣＨ（ｘ）信号（ＭＡＴＣＨ（ｘ）信号と結合されたインバータゲート１５０_xからの出力）と、ＶＸ信号とが、入力ＡＮＤゲート１４０_xに結合される。アドレスロックレジスタＡ（ｘ）１６０_xは、また、ＡＮＤゲート１４０_xの入力に結合される。アドレスロックレジスタＡ（ｘ）がアサートされると、ポート３０_xに対するＡＤＲ（ｘ）はロックされず、ポートｘに対し格納されたＭＡＣアドレスは更新できる。Ａ（ｘ）がデアサートされるときは、ＵＰＤＡＴＥ（ｘ）信号は決してアサートせず、ＡＤＲ（ｘ）がロックされることを保証する。ＡＤＲ（ｘ）をロックすることで、受信された一致しない発信元アドレスによる更新は不能化される。好ましい実施例においては、アドレスロックレジスタＡ（ｘ）１６０（ｘ）は個別に外部からプログラムできる内部レジスタとして実装され、各ポート３０_x は異なったプログラムが可能である。他の実施例では、アドレスロックレジスタＡ（ｘ）を異なった形で実装できる。ＡＮＤゲート１４０₁は、ＣＡＭ一致インジケータ８０内のＡＤＲ（１）のロケーションのポート３０₁で受信された発信元アドレスとの更新を制御するＵＰＤＡＴＥ（１）信号を出力する。複数のＡＮＤゲート１４０_xの出力は、選択ＯＲゲート１７０の入力と結合される。選択ＯＲゲート１７０は、データ入力セレクタ７０へのＳＥＬＥＣＴ信号をアサートする。選択ＯＲゲート１７０は、データ入力セレクタ７０がプログラムされたポート番号およびアドレスを選択するか、ポート３０₁で受信されたポート番号とアドレスを選択するかを制御する。選択ＯＲゲート１７０からのＳＥＬＥＣＴ信号は、また、書込ＯＲゲート１８０の入力に結合される。ＭＷＲＩＴＥ信号は、また、書込ＯＲゲート１８０の他方の入力に結合される。書込ＯＲゲート１８０は、ＣＡＭ一致インジケータ８０へのＷＲＩＴＥ信号をアサートする。この発明の好ましい実施例によれば、ＶＸがアサートされ（誤りのないパケットが受信されたことを示す）、ＡＣＴＩＶＥ（１）がアサートされ（ポート３０₁ が活性であることを示す）、ＭＡＴＣＨ（１）がデアサートされ（受信された発信元アドレスがＡＤＲ（１）に格納されたＭＡＣアドレスと一致しないことを示す）、Ａ（１）がアサートされる（ロックがないことを示す）ときは、ＵＰＤＡＴＥ（１）信号がアサートされる。したがって、選択ＯＲゲート１７０および書込ＯＲゲート１８０は、それぞれ、ＳＥＬＥＣＴ信号およびＷＲＩＴＥ信号をアサートし、受信された発信元アドレスがＡＤＲ（１）に書込まれる。しかし、もし、Ａ（１）がＬＯＷに設定され、ロックを示すと、ＵＰＤＡＴＥ（１）信号は、デアサートされ、ＡＤＲ（１）は受信された発信元アドレスでは更新されない。この発明の好ましい実施例の利点は、これによって、ネットワーク管理者に、柔軟性を持ったネットワークのセキュリティが提供されることである。レピータに電源が投入されると、すべてのポートが、対応するＡＤＲ（ｘ）を更新できるようにプログラムされる。これが学習フェーズである。予め定められた時間が満了すると、または、ポート３０_xでアドレスが変化したことが検出されると、管理者は、管理されるレピータがポート３０_xに対応するＡＤＲ（ｘ）をロックするようプログラムする。これは、単に、好ましい実施例の一使用例である。この発明によると、管理者は、いつ、どのポートに対し、アドレス学習を可能化または不能化するか、全く柔軟に対応できる。管理者は、ポート１つ１つに対し、所望のどんな方法ででもアドレスロックレジスタＡ（ｘ）をプログラムできる。一度ＡＤＲ（ｘ）がロックされると、管理者は、先行技術で要されたような速度第１というやり方で割込みフラグに対応せねばと、心配する必要がない。この発明のもう１つの利点は、これによって、既に各ポートに接続されたＭＡＣアドレスを知っているネットワーク管理者が、アドレスロックレジスタＡ（ｘ）１６０_xを用いて格納されたＭＡＣアドレスをロックし、しかる後に、これらのＭＡＣアドレスをＡＤＲ（ｘ）メモリロケーションにプログラムできる、ということである。この発明について、好ましい実施例に関して説明してきたが、当業者には、この発明を逸脱することなく、さまざまな変更、修正が行ない得、均等物が使用できることは明らかであろう。したがって、上述の説明は、この発明の範囲を限定するものではなく、この発明は添付された請求項によってのみ規定される。

【手続補正書】特許法第１８４条の８第１項【提出日】１９９６年１１月１１日【補正内容】請求の範囲１．アドレス学習能力を有し、特定ポートでその特定ポートに組合わされた格納されている発信元アドレスと異なる受信された発信元アドレスを有するデータパケットを受信すると、格納されている発信元アドレスを受信された発信元アドレスで置き換える、管理されるレピータで使用するための、発信元アドレスロック回路であって、前記発信元アドレスロック回路は、格納されている発信元アドレスが受信された発信元アドレスと一致しないとき、格納されている発信元アドレスを受信された発信元アドレスで置き換えるための、特定ポートに対する学習モード回路と、前記学習モード回路と結合され、前記学習モード回路が、格納されている発信元アドレスを受信された発信元アドレスと置き換えるのを防ぐためのビット値を格納するための、特定ポートに対する、アドレスロックレジスタとを含む、発信元アドレスロック回路。２．前記アドレスロックレジスタは、前記学習モード回路を不能化する時間を設定するよう、外部からプログラム可能である、請求項１に記載の発信元アドレスロック回路。３．複数のポートを有し、アドレス学習能力を有し、特定ポートでその特定ポートと組合された格納されている発信元アドレスと異なる受信された発信元アドレスを有するデータパケットを受信すると、格納されている発信元アドレスを受信された発信元アドレスで置き換える、管理されるレピータで使用するための、発信元アドレスロック機構であって、前記発信元アドレスロック機構は、複数の学習モード回路を含み、前記複数の学習モード回路の１つが複数のポートの１つに対応し、各学習モード回路は、格納されている発信元アドレスが、受信された発信元アドレスと異なっていると、格納されている発信元アドレスを受信された発信元アドレスで置き換え、前記学習モード回路と組合された特定ポートがデータパケットを受信し、前記発信元アドレスロック機構はさらに、複数のアドレスロックレジスタを含み、前記複数のアドレスロックレジスタの１つは各学習モード回路と結合され、格納されている発信元アドレスが受信された発信元アドレスと異なるとき、前記学習モード回路が、格納されている発信元アドレスを受信された発信元アドレスで置き換えるのを防ぐための、ビット値を格納し、前記学習モード回路と組合された特定のポートがデータパケットを受信する、発信元アドレスロック機構。４．前記アドレスロックレジスタの各々は、前記アドレスロックレジスタと組合された前記学習モード回路を不能化する時間を設定するため、個別に外部からプログラム可能である、請求項３に記載の発信元アドレスロック機構。５．前記学習モード回路がさらに、格納されている発信元アドレスを受信された発信元アドレスで置き換えるか、または、特定のポートに対しプログラムされた発信元アドレスで置き換えるかを選択する、請求項３に記載の発信元アドレスロック機構。

───────────────────────────────────────────────────── 【要約の続き】ポートについての発信元アドレス更新を不能化するようにタイムウインドウをプログラムできる。管理者は、各ポートに組合された格納済発信元アドレスが更新されないよう、各アドレスロックレジスタを個別にプログラムできる。この管理されるレピータにより、管理者は、ポート１つ１つについて、管理されるレピータのアドレス学習能力を可能化するか不能化するか、プログラム可能なタイムウインドウに対して決定できる。

Claims

【特許請求の範囲】１．アドレス学習能力を有し、特定ポートでその特定ポートに組合わされた格納されている発信元アドレスと異なる受信された発信元アドレスを有するデータパケットを受信すると格納されている発信元アドレスを受信された発信元アドレスで置き換える管理されるレピータにおける、発信元アドレスロック回路であって、格納されている発信元アドレスが受信された発信元アドレスと一致しないとき、格納されている発信元アドレスを受信された発信元アドレスで置き換えるための、特定ポートに対する学習モード回路と、前記学習モード回路と結合され、前記学習モード回路が、格納されている発信元アドレスを受信された発信元アドレスと置き換えるのを防ぐためのビット値を格納するための、特定ポートに対するアドレスロックレジスタとを含む、発信元アドレスロック回路。２．前記アドレスロックレジスタは、前記学習モード回路を不能化する時間を設定するよう、外部からプログラム可能である、請求項１に記載の発信元アドレスロック回路。３．複数のポートを有し、アドレス学習能力を有し、特定ポートでその特定ポートと組合された格納されている発信元アドレスと異なる受信された発信元アドレスを有するデータパケットを受信すると、格納されている発信元アドレスを受信された発信元アドレスで置き換える管理されるレピータにおける、発信元アドレスロック機構であって、複数の学習モード回路を含み、前記複数の学習モード回路の１つが複数のポートの１つに対応し、各学習モード回路は、格納されている発信元アドレスが受信された発信元アドレスと異なっていると、格納されている発信元アドレスを受信された発信元アドレスで置き換え、前記学習モード回路と組合された特定ポートがデータパケットを受信し、前記発信元アドレスロック機構はさらに、複数のアドレスロックレジスタを含み、前記複数のアドレスロックレジスタの１つは各学習モード回路と結合され、格納されている発信元アドレスが受信された発信元アドレスと異なるとき、前記学習モード回路が、格納されている発信元アドレスを受信された発信元アドレスで置き換えないようにするためのビット値を格納し、前記学習モード回路と組合された特定のポートがデータパケットを受信する、発信元アドレスロック機構。４．前記アドレスロックレジスタの各々は、前記アドレスロックレジスタと組合された前記学習モード回路を不能化する時間を設定するため、個別に外部からプログラム可能である、請求項３に記載の発信元アドレスロック機構。５．前記学習モード回路がさらに、格納されている発信元アドレスを受信された発信元アドレスで置き換えるか、または、特定のポートに対しプログラムされた発信元アドレスで置き換えるかを選択する、請求項３に記載の発信元アドレスロック機構。