JPWO2005036831A1 - フレーム中継装置 - Google Patents

Abstract

本発明は、自装置でのフレームの中継処理で使用するＭＡＣアドレスとＩＰアドレスとの組を含むエントリが登録されるテーブルを備える。また、本発明は、受信されたフレーム中の送信元ＭＡＣアドレス及び送信元ＩＰアドレスで前記テーブルを検索し、この送信元アドレスの組がレイヤ３での中継対象として登録されているか否かを判定する判定手段を備える。さらに、本発明は、前記送信元アドレスの組が中継対象として登録されていると判定されたフレームのみを対象としてレイヤ３の中継処理を行うレイヤ３中継処理手段を備える。

Description

本発明は、フレーム中継装置に関し、特に、アドレスのなりすましによる、他のサーバまたは端末に対する攻撃を防止するフレーム中継装置に関する。

従来から、個々のネットワーク接続機器に付与されるＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス、あるいは上記ネットワーク接続機器に固有なＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスを他の接続機器のものと偽る、いわゆるアドレスのなりすましの問題があった。このようなアドレスのなりすましのうち、ＩＰアドレスのなりすましは、例えば、送信元ＩＰアドレスを適当な他人のものに書き換えることによって容易に行うことができる。また、ＭＡＣアドレスのなりすましは、ＩＰアドレスのなりすましと比較すると難しいものの、他人が用いるＭＡＣアドレスになりすますことは可能である。そして、アドレスをなりすました後で、インターネットに接続している各種サーバや端末に対してＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅｓ：サービス拒否）攻撃等のネットワークからの攻撃、あるいはネットワークからの侵入が行われた場合には、ＩＰアドレスやＭＡＣアドレスが本来のアドレスとは異なるため、その攻撃元あるいは侵入元を特定するのは困難であった。
通常は、アドレスのなりすましを防止するために、所定の条件によってフレームを選別して、中継が必要なフレームのみを中継する、いわゆるフィルタリング処理を行う。このようなフィルタリング処理の機能は、ファイアウォール、負荷分散装置、あるいはルータやレイヤ３スイッチ等の中継装置に実装されている。
ところで、上記のようなフレームの中継装置に実装されているフィルタリング機能は、装置本来のフレームの中継性能を維持するために、フレームのヘッダについている情報（例えばＩＰアドレス等）がフィルタリングの対象であるか否かを見ることによって中継するフレームであるか否かを選別していた。このため、なりすましによって侵入元や攻撃元のアドレスを度々変更された場合には、その変更に係るアドレスがフィルタリング対象を判定するアドレステーブルに無ければ、このようなフレームはフィルタリングされないので、なりすましを防止することができない。一方、中継装置が受け付ける或るサービスに係る全てのフレームをそのアドレスの如何に拘わらずフィルタリング対象にすると、当該中継装置で当該サービスに係るフレームは全て遮断されてしまうので、当該中継装置を経由してサーバにアクセスする全ての端末が当該サーバの提供するサービスを受けることができなくなる可能性があった。
また、ファイアウォールあるいは負荷分散装置では、ネットワークを経由した攻撃を検知した段階でその攻撃の送信元アドレスからのフレームを中継しないようにすることは可能であった。しかしながら、なりすましのアドレスが再三にわたって変更された上で攻撃を継続するなどされた場合には、送信されたフレームが攻撃のためのフレームか否かの判別が困難であった。
さらに、通常のファイアウォールは、インターネットなどの外部のネットワークに接続する箇所に設置される。また、負荷分散装置は、負荷分散対象となるサーバに直結する箇所に設置される。この場合、ファイアウォールあるいは負荷分散装置に至るまでの経路に当たるネットワークが攻撃用の多量のフレームによって輻輳を起こしてしまうため他のフレームが伝送されないという問題があった。
このような問題を解決するには、全ての端末付近にファイアウォールあるいは負荷分散装置を設置し、端末の直近でその攻撃フレームを排除する必要があった。しかしながら、設置の費用及び作業を考慮すると、全ての端末付近にこのような装置を設置することは困難であった。
なお、このようなＩＰアドレスやＭＡＣアドレスといったアドレスのなりすましによる攻撃防止に関する技術として、無線通信における端末移動によるアドレス変更において、アクチベーション（正規のライセンスを持っていることを証明すること）を行うことでなりすましを防止する技術（例えば、特許文献１参照。）が開示されている。
特表２００３−５１８８２１号公報

本発明は上述したような従来の技術の問題点に鑑みてなされたものである。すなわち、本発明の課題は、ルータ、レイヤ３スイッチ、レイヤ２スイッチ（スイッチングＨＵＢ）のようなフレーム中継装置において、アドレスのなりすましによるフレームの中継を防止できるような技術を提供することにある。

本発明は前記課題を解決するために、以下の手段を採用した。
すなわち、本発明は、フレーム中継装置であり、自装置でのフレームの中継処理で使用するＭＡＣアドレスとＩＰアドレスとの組を含むエントリが登録されるテーブルと、受信されたフレーム中の送信元ＭＡＣアドレス及び送信元ＩＰアドレスで前記テーブルを検索し、この送信元アドレスの組がレイヤ３での中継対象として登録されているか否かを判定する判定手段と、前記送信元アドレスの組が中継対象として登録されていると判定されたフレームのみを対象としてレイヤ３の中継処理を行うレイヤ３中継処理手段とを備える。
本発明のフレーム中継装置によると、中継対象がＭＡＣアドレスとＩＰアドレスとの組を含むエントリが登録されるテーブルに基づいて、受信したフレームに対する中継対象（ルーティング対象）であるか否かの判別処理を行う。そして、本発明のフレーム中継装置では、ルーティング対象のフレームについて中継処理（ルーティング処理）を行う。テーブルには、正規に端末や中継装置に割り当てられたＭＡＣアドレス及びＩＰアドレスの組が登録され、ＭＡＣアドレスやＩＰアドレスをなりすました不正なアドレスの組は登録されないように構成される。従って、本発明によれば、受信したフレームのうち、なりすましなどの中継が許可されていないフレームの中継を防ぐことができる。
また、本発明は、前記フレームの送信元アドレスの組が前記テーブルに登録されていなかった場合に、この送信元アドレスの組が正常か否かを問い合わせるための問い合わせフレームを送信し、この問い合わせフレームに対する応答フレームが前記問い合わせフレームを送信してから所定期間内に到着し且つこの応答フレーム中の情報が前記送信元アドレスの組が正常であることを示すという条件を満たすか否かを判定し、前記条件を満たす送信元アドレスの組を含むエントリを前記テーブルに登録し、前記条件を満たさない送信元アドレスの組を前記テーブルへの登録対象から除外する中継対象登録手段を備えるように構成することが好ましい。
本発明のフレーム中継装置によると、受信したフレームを前記テーブルに登録する（ルーティングを許可する登録を行う）前に、問い合わせフレームを送信する。そして、フレーム中継装置では、問い合わせフレームに対する応答が正しいことを判断した後に、この送信元アドレスの組み合わせが正しいものとして受信したフレームの送信元アドレスの組を含むエントリの登録を行う。このようにすれば、フレーム受信時に、例えば、アドレスをなりすましたフレームの送信元アドレスの組を中継対象として登録することを防止できる。
また、本発明の前記中継対象登録手段は、前記問い合わせフレームとして前記フレームの送信元ＩＰアドレスに対応するＭＡＣアドレスを問い合わせるためのＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）要求フレームを送信し、前記応答フレームとしてＡＲＰ応答フレームを受信し、このＡＲＰ応答フレーム中の問い合わせ先のＭＡＣアドレスが前記フレームの送信元ＭＡＣアドレスと一致する場合に、前記送信元アドレスの組み合わせが正常であると判定してもよい。
このようにすれば、本発明の問い合わせフレームとして、既存のＡＲＰ要求フレームを用いるため、新たな問い合わせフレームを生成することなく、本発明の処理を実行することができる。
さらに、本発明の前記中継対象登録手段は、前記問い合わせフレームとして前記フレームの送信元ＭＡＣアドレス及び送信元ＩＰアドレスをそれぞれ宛先ＭＡＣアドレス及び宛先ＩＰアドレスとするｐｉｎｇ（Ｐａｃｋｅｔ ＩＮｔｅｒｎｅｔ Ｇｒｏｐｅｒ）フレームを送信し、前記応答フレームとしてｐｉｎｇリプライフレームを受信し、このｐｉｎｇリプライフレームの送信元ＭＡＣアドレス及び送信元ＩＰアドレスが前記フレームの送信元ＭＡＣアドレス及び送信元ＩＰアドレスにそれぞれ一致する場合に、前記送信元アドレスの組み合わせが正常であると判定してもよい。
このようにすれば、本発明の問い合わせフレームとして、既存のｐｉｎｇフレームを用いるため、新たな問い合わせフレームを生成することなく、本発明の処理を実行することができる。
また、本発明の前記中継対象登録手段は、前記フレームの送信元ＩＰアドレスと同一のＩＰアドレスを含むエントリが既に前記テーブルに登録されている場合には、前記応答フレームに係る条件が満されるか否かに拘わらず、前記フレームの送信元アドレスの組を前記テーブルへの登録対象から除外してもよい。
このようにすれば、ＭＡＣアドレスをなりすましたフレームが中継対象としてテーブルに登録されるのを防止することができる。
また、本発明の前記中継対象登録手段は、前記フレームの送信元ＭＡＣアドレスと同一のＭＡＣアドレスを含むエントリが既に前記テーブルに登録されている場合には、前記応答フレームに係る条件が満されるか否かに拘わらず、前記フレームの送信元アドレスの組を前記テーブルへの登録対象から除外してもよい。
このようにすれば、例えば、ＩＰアドレスをなりすましたフレームが中継対象として登録されることを防止することができる。
また、本発明は、前記テーブルに対してＭＡＣアドレスが同一でありＩＰアドレスが異なるエントリを登録可能な数が予め規定されており、前記中継対象登録手段は、前記フレームの送信元ＭＡＣアドレスと同一のＭＡＣアドレスを含む前記登録可能数以上のエントリが既に前記テーブルに登録されているときには、前記応答フレームに係る条件が満されるか否かに拘わらず、前記フレームの送信元アドレスの組を前記テーブルへの登録対象から除外するように構成してもよい。
本発明によると、中継対象として許可するフレームの送信元アドレスの組をテーブルに登録する前に、このフレームの送信元ＭＡＣアドレスと同一のＭＡＣアドレスに対応する登録済のＩＰアドレスの数を取得する。そして、このＩＰアドレスの登録数が、予め定められた同一ＭＡＣアドレスに対するＩＰアドレスの登録可能数以上であれば登録処理を行わない。従って、本発明によれば、登録可能数を複数に設定することで、同一の端末がＩＰアドレスを変更した場合におけるＭＡＣアドレス及びＩＰアドレスの組をテーブルに登録することを許容する。一方で、登録可能数以上のアドレスの登録を防止して、なりすましのアドレスの登録を防止することができる。
また、本発明は、前記テーブルが、ＭＡＣアドレスとこのＭＡＣアドレスに対応する宛先ポート番号とを含むエントリを格納し、フレームのレイヤ２での中継において宛先ポートを割り出すために参照されるＭＡＣアドレステーブルの各エントリに、ＭＡＣアドレスに対応するＩＰアドレスのフィールドと、中継対象か否かを示す情報を格納するフィールドとを設けることによって構成され、自装置で受信されるフレームのレイヤ２の中継処理を前記テーブルを参照して行うレイヤ２中継処理手段と、前記テーブルから一定時間使用されなったエントリを削除する削除手段とをさらに備えるように構成してもよい。
本発明によると、中継対象とするか否かを判断するためのテーブルを、通常のレイヤ２の中継装置で用いるＭＡＣアドレステーブルに組み込むことができる。従って、本発明によれば、レイヤ２の中継処理とルーティング対象のチェックを１つのテーブルで行うことができる。また、ＭＡＣアドレステーブルに対するエージング処理の利用による自動エントリ削除を実現することができる。
また、本発明は、前記フレームの送信元アドレスの組を含むエントリを前記テーブルに登録する際に、この送信元アドレスの組を構成するＭＡＣアドレスと同一のＭＡＣアドレスを含む他のエントリが既に前記テーブルに登録されている場合には、前記判定手段による処理において当該エントリが前記他のエントリよりも先に検索される状態で当該エントリを登録してもよい。
本発明によると、所定時間経過後のエントリを削除する、いわゆるエージング処理によって、古いＩＰアドレスを持つエントリが自動で削除される。従って、本発明によれば、使用されていないＩＰアドレスを含むエントリを、テーブルから確実に削除することができる。
また、本発明は、自装置が有するポート毎に前記判定手段及び前記中継対象登録手段による処理を行うか否かを設定可能に構成されてもよい。
このようにすれば、個々のポートに接続する接続装置やネットワークの状況に応じて、本発明の処理を実行するか否かを設定することができる。
また、本発明は、自装置が有するポート毎に受信可能なＭＡＣアドレスを一つだけ登録可能なテーブルと、各ポートで受信されたフレームに対し、このフレームの送信元ＭＡＣアドレス及び受信ポート番号の組と同一のＭＡＣアドレス及びポート番号の組が前記テーブルに登録されているか否かを判定する判定手段と、前記送信元ＭＡＣアドレス及び受信ポート番号の組が登録されていると判定されたフレームのみを対象としてレイヤ２の中継処理を行う中継手段とを含むフレーム中継装置として特定することができる。
本発明によると、中継対象を定義したテーブルには、中継装置の持つポート毎に一つのＭＡＣアドレスが用意される。また、本発明では、受信したフレームの送信元ＭＡＣアドレスと対応するＭＡＣアドレス及び受信ポート番号の組を、テーブルから検索して中継処理を行う。従って、本発明によれば、レイヤ２中継処理において、ＭＡＣアドレスがなりすまされたフレームの中継を防ぐことができる。
また、本発明は、前記フレームの送信元ＭＡＣアドレスが、前記テーブルに登録されていない場合に、この送信元ＭＡＣアドレス及び受信ポート番号の組が有効であるか否かを判定し、有効なフレームの送信元ＭＡＣアドレス及び受信ポート番号の組を前記テーブルに登録する、ＭＡＣアドレス学習部をさらに含んでもよい。
このようにすれば、ＭＡＣアドレス学習機能を利用して、有効と認められるＭＡＣアドレス及びポート番号の組をテーブルに登録することができる。ここで、ＭＡＣアドレスがなりすまされた送信元アドレス及び受信ポート番号の組が無効とされることで、当該組が登録されるのを防止することができる。
また、本発明の前記ＭＡＣアドレス学習部は、前記ポートがフレームを受信可能な状態となってから、最初に受信したフレームの送信元ＭＡＣアドレス及び受信ポート番号の組を、前記有効な組としてテーブルに登録するのが好ましい。ここで、当該状態とは、中継装置が起動したときに、この中継装置の全てのポートについて生じる。あるいは、中継装置起動中において、あるポートに対するリンクが切れ、その後、このポートについてリンクが接続されたときに生じる。
本発明によると、ＭＡＣアドレス学習部が、ポートから最初に受信したフレームの送信元ＭＡＣアドレス及び受信ポート番号の組を有効な組として登録し、このフレームの中継を行うためにテーブルに登録する。従って、本発明によれば、有効な組をテーブルに登録した後に受信したなりすましフレームの中継を防止することができる。
また、本発明の前記ＭＡＣアドレス学習部は、送信元ＭＡＣアドレス及び受信ポート番号の組が有効であるか否かの判断を行うか否かをポート毎に設定可能であってもよい。
このようにすれば、個々のポートに接続される装置やネットワークの状況に応じて、本発明の処理を実行するか否かを設定することができる。
なお、本発明は、コンピュータに本発明に係る手段の何れかの機能を実現させるプログラムとして特定することができる。また、本発明は、そのようなプログラムが記録されたコンピュータが読み取り可能な記憶媒体として特定することができる。さらに、本発明は、フレーム中継装置に搭載される、レイヤ３やレイヤ２の中継の判定処理を行う装置として特定することができる。

図１は、第１の実施の形態に係るフレーム中継装置の構成を示すブロック図であり、
図２は、従来のレイヤ２スイッチにおけるレイヤ２中継処理を示すフローチャート及びＭＡＣアドレステーブルの一例であり、
図３は、第１の実施の形態に係るＭＡＣアドレステーブルの一例であり、
図４は、フレーム中継装置のレイヤ２中継処理部によるレイヤ２中継処理を示すフローチャートの一例であり、
図５は、従来のレイヤ２スイッチにおけるレイヤ２アドレス学習処理を説明するフローチャートの一例であり、
図６は、フレーム中継装置のレイヤ２アドレス学習処理部による、レイヤ２アドレス学習処理を説明するフローチャートの一例であり、
図７は、第２の実施の形態に係るフレーム中継装置の構成を示すブロック図であり、
図８は、ルーティング対象チェック部による、ルーティング前処理について説明するフローチャートの一例であり、
図９は、ルーティング対象登録処理部による、ルーティング対象登録処理を説明するフローチャートの一例である。
図１０は、ルーティング対象登録処理部による、ルーティング対象登録処理を説明するフローチャートの一例である。

以下、図面を参照して、本発明のフレーム中継装置の一実施の形態を説明する。本発明のフレーム中継装置は、スイッチングハブ、レイヤ２スイッチ、ルータ、レイヤ３スイッチ、Ｌ２及びＬ３の中継機能を併せ持つ装置（Ｌ２／Ｌ３スイッチ）等に適用できる。
本実施の形態は、レイヤ２スイッチやスイッチングＨＵＢに適用可能な本発明に係るフレーム中継装置の一例を、第１の実施の形態として説明する。また、レイヤ３スイッチ、ルータ、Ｌ２／Ｌ３スイッチに適用可能な本発明に係るフレーム中継装置の一例を、第２の実施の形態として説明する。
〈第１の実施の形態〉
図１は、第１の実施の形態に係るフレーム中継装置の構成を示すブロック図である。フレーム中継装置１０は、レイヤ２中継処理部１１、ＭＡＣアドレステーブル１２、レイヤ２アドレス学習処理部１３、許容ＭＡＣアドレステーブル１４を備える。
なお、フレーム中継装置１０の機能ブロックのうち、レイヤ２中継処理部１１は、本発明の判定手段及び中継手段として機能する。また、レイヤ２アドレス学習処理部１３は、本発明の判定手段、登録手段、及び切り替え手段として機能する。
レイヤ２中継処理部１１は、複数（例えばｎ個）のポート１５のそれぞれで受信されるフレームを受け取る。レイヤ２中継処理部１１は、ＭＡＣアドレステーブル１２を参照して、各フレームに対する後述のレイヤ２中継処理を実行する。このレイヤ２中継処理によってフレームを中継するあて先が定められる。レイヤ２中継処理後、レイヤ２中継処理部１１は、フレームをレイヤ２アドレス学習処理部１３に送信する。
なお、レイヤ２中継処理部１１は、ＭＡＣアドレステーブル１２から、古い検索対象のフレームの情報（エントリ）を削除するために、いわゆるエージング処理（時間経過による処理）を行う。エージング処理では、エントリが登録されてから所定の時間（例えば、ＩＰｖ４であれば通常３０秒）が経過するまでの間に、そのエントリに対するアクセスが無ければ、そのエントリが削除される。
図３は、フレーム中継装置１０に搭載されるＭＡＣアドレステーブル１２の一例である。ＭＡＣアドレステーブル１２には、フレーム中継装置１０の中継対象であるＭＡＣアドレスが格納されている。そして、ＭＡＣアドレステーブル１２には、ＭＡＣアドレスにそれぞれ対応するＩＰアドレス，宛先ポート，ルーティング対象の有無が格納されている。
レイヤ２アドレス学習処理部１３は、後述の許容ＭＡＣアドレステーブル１４を用いて、入力されたフレームに対する後述のレイヤ２アドレス学習処理を実行する。レイヤ２アドレス学習処理後、レイヤ２アドレス学習処理部１３は、レイヤ２中継処理に基づいたあて先に対応した出力先のポート１５へフレームを出力し、フレームは当該ポート１５から送出される。
許容ＭＡＣアドレステーブル１４は、レイヤ２アドレス学習処理部１３による処理のために新規に用意されるテーブルである。また、許容ＭＡＣアドレステーブル１４は、なりすましたＭＡＣアドレスでの学習処理を防ぐために用意される。図６に、許容ＭＡＣアドレステーブル１４の一例を示す。本テーブル１４は、フレーム中継装置１０の持つ個々のポート１５に対応するエントリを持つ。そして、個々のエントリは、個々のポート１５のポート番号に対応する、ＭＡＣアドレスの有効／無効を示す値を格納するフィールドと、そのポート番号で受信して良いＭＡＣアドレスを格納するフィールドとを持つ。各エントリにおいて、ＭＡＣアドレスの有効／無効を示す値は、ＭＡＣアドレスのフィールドに設定されたＭＡＣアドレスが有効であるか否かを示す。
上述したフレーム中継装置１０に係る構成のうち、レイヤ２中継処理部１１及びレイヤ２アドレス学習処理部１３は、従来のフレーム中継装置における中継機能及び学習機能のそれぞれの処理内容に改変を加えることで実現することができる。
〈レイヤ２中継処理〉
次に、フレーム中継装置１０で実行されるレイヤ２中継処理について説明する。
図２は、本発明との比較のための、従来のレイヤ２スイッチにおけるレイヤ２中継処理を示すフローチャート及びＭＡＣアドレステーブルの一例である。図２に示す処理では、レイヤ２スイッチは、受信されたフレームの宛先ＭＡＣアドレスを抽出して、レイヤ２スイッチ内のＭＡＣアドレステーブルからこの宛先ＭＡＣアドレスに対応するポートを検索する。ＭＡＣアドレステーブルには、ＭＡＣアドレスと、これに対応する宛先のポートの識別情報が格納されている。レイヤ２スイッチは、ＭＡＣアドレステーブルから宛先ＭＡＣアドレスに対応する宛先ポートが検索できた（送信元ＭＡＣアドレスと同じＭＡＣアドレスを持つエントリがヒットした）場合には、当該フレームを当該宛先ポートから送信していた。これに対し、レイヤ２スイッチは、ＭＡＣアドレステーブルから宛先ポートを検索できなかった（エントリがヒットしなかった）場合には、当該フレームを、レイヤ２スイッチが属するサブネット内に同報送信（ブロードキャスト）していた。
また、従来においても、ＭＡＣアドレステーブルのエントリに対し、上述したようなエージング処理が行われていた。
このような従来のレイヤ２スイッチに対して、フレーム中継装置１０は、ＭＡＣアドレステーブル１２を用いて、以下のレイヤ２中継処理を行う。
図４は、レイヤ２中継処理部１１によるレイヤ２中継処理を示すフローチャートの一例である。本処理が開始すると、最初に、レイヤ２中継処理部１１は、受信したフレームの送信元ＭＡＣアドレスを抽出する（Ｓ１０１）。
レイヤ２中継処理部１１は、検索条件の一つとして、抽出した送信元ＭＡＣアドレスを含むことを設定する。また、レイヤ２中継処理部１１は、検索条件の一つとして、レイヤ２中継処理でＩＰアドレスを考慮しない条件（例えば、「ｄｏｎ’ｔ ｃａｒｅ」）とする。そして、レイヤ２中継処理部１１は、これらの検索条件に基づいて、ＭＡＣアドレステーブル１２から送信元ＭＡＣアドレスと同じＭＡＣアドレスを含むエントリを検索する（Ｓ１０２）。
レイヤ２中継処理部１１は、ＭＡＣアドレステーブル１２を検索した結果、検索対象のＭＡＣアドレスの情報（検索に引っかかるエントリ）があるか否かを判断する。そして、レイヤ２中継処理部１１は、ＭＡＣアドレスのエントリが検索された場合に、このフレームを受信したポート１５がＭＡＣアドレステーブル１２内のエントリの宛先ポートと一致しているか否かを判断する（Ｓ１０３）。
このとき、Ｓ１０３の処理において、いずれの条件も満たした場合（Ｓ１０３：Ｙｅｓ）には、レイヤ２中継処理部１１は、Ｓ１０４の処理を行う。また、Ｓ１０３の処理において、いずれかの条件が満たされない場合（Ｓ１０３：Ｎｏ）は、中継対象のフレームではない（なりすましのフレーム）と判断して、本処理を終了する。Ｓ１０３にてＮｏと判断されたときのフレームは、フレーム中継装置１０において、中継対象のフレームとして取り扱われない。例えば、当該フレームはフレーム中継装置１０内で廃棄される。
Ｓ１０３の処理においていずれの条件も満たした場合には、レイヤ２中継処理部１１は、受信されたフレームから、宛先ＭＡＣアドレスを抽出する（Ｓ１０４）。
レイヤ２中継処理部１１は、抽出した宛先ＭＡＣアドレスを、検索対象のＭＡＣアドレスとする（エントリの検索条件に設定する）。このとき、レイヤ２中継処理部１１は、ＩＰアドレスを「ｄｏｎ’ｔ ｃａｒｅ」、即ちエントリの検索条件に含めない。そして、レイヤ２中継処理部１１は、これらの検索条件に基づいて、ＭＡＣアドレステーブル１２から宛先ＭＡＣアドレスを検索する（Ｓ１０５）。
レイヤ２中継処理部１１は、ＭＡＣアドレステーブル１２を検索した結果、検索対象の宛先ＭＡＣアドレスが検索された（検索条件に合致するエントリが検索に引っかかった）場合には、このＭＡＣアドレスに対応する宛先ポート宛にフレームを送信する（Ｓ１０６）。但し、検索対象の宛先ＭＡＣアドレスが検索されなかった（エントリにヒットしなかった）場合には、フレーム中継装置１０に接続するサブネット内（受信ポートを除く他のポート）に同報送信する。
上述したレイヤ２中継処理によれば、図４に示すように、従来における中継処理（図２）にＳ１０３の判断処理が付加され、この判断処理においてＭＡＣアドレスとポートとの対応関係がＭＡＣアドレステーブル１２の登録内容に合致しなければ、当該フレームがなりすましのフレームであるものとして当該中継処理を終了する。これによって、なりすましのフレームの中継処理を防止することができる。
〈レイヤ２アドレス学習処理〉
次に、フレーム中継装置１０で実行されるレイヤ２アドレス学習処理について説明する。このレイヤ２アドレス学習処理は、なりすましたフレームを中継対象のフレームとしてＭＡＣアドレステーブル１２に登録されることを防止する。
図５は、本発明との比較のための、従来のレイヤ２スイッチにおけるレイヤ２アドレス学習処理を説明するフローチャートの一例である。レイヤ２アドレス学習処理とは、レイヤ２の中継処理を行う際に必要なＭＡＣアドレスを、ＭＡＣアドレステーブルに追加または更新する処理である。
図５に示す例では、レイヤ２スイッチは、受信フレームから送信元ＭＡＣアドレスを抽出し、当該ＭＡＣアドレスを含むエントリがＭＡＣアドレステーブルに既に登録されているか否かを判定する。そして、該当するエントリがない場合、又は当該ＭＡＣアドレスを含むエントリがあるがこのエントリ中の宛先ポートと当該受信フレームの受信ポートとが一致しない場合にＭＡＣアドレステーブル登録処理を行う。一方、レイヤ２スイッチは、当該フレームの送信元ＭＡＣアドレス及び受信ポートがヒットしたエントリに合致する場合には、ＭＡＣアドレステーブル登録処理を行わず、当該処理を終了する。
このような従来のレイヤ２スイッチのレイヤ２アドレス学習処理に対して、フレーム中継装置１０のレイヤ２アドレス学習処理部１３は、ＭＡＣアドレステーブル１２及び許容ＭＡＣアドレステーブル１４を用いて、以下のレイヤ２アドレス学習処理を行う。
図６は、レイヤ２アドレス学習処理部１３による、レイヤ２アドレス学習処理の一例を説明するフローチャートである。
本処理が開始すると、最初に、レイヤ２アドレス学習処理部１３は、許容ＭＡＣアドレステーブル１４を参照して、受信したフレームを受信したポート１５の端末直結モードがオン（ＯＮ）であるか否かを判断する（Ｓ２０１）。
ここに、「端末直結モード」とは、端末がフレーム中継装置１０の或るポートに直接に（他のＨＵＢやスイッチを介さずに）接続されている場合に適用されるモードを指し、フレーム中継装置１０のポート単位でそのオン／オフができるように構成される。端末直結モードがオンである場合には、レイヤ２アドレス学習処理部１３は、許容ＭＡＣアドレステーブル１４を用いて登録可能なＭＡＣアドレスのチェックを行う。これに対し、端末直結モードがオフの場合には、レイヤ２アドレス学習処理部１３は、登録可能なＭＡＣアドレスのチェックを行わない。
Ｓ２０１において、受信ポートの端末直結モードがＯＮではない（ＯＦＦである）と判断される場合（Ｓ２０１：Ｎｏ）には、レイヤ２アドレス学習処理部１３は、Ｓ２０６の処理に移行する。これに対し、Ｓ２０１において、端末直結モードがＯＮであると判断される場合（Ｓ２０１：Ｙｅｓ）には、レイヤ２アドレス学習処理部１３は、Ｓ２０２の処理に移行する。
端末直結モードがＯＮである場合に、レイヤ２アドレス学習処理部１３は、フレームを受信したポート１５のポート番号（受信ポート番号）と同一のポート番号を含むエントリを、許容ＭＡＣアドレステーブル１４から取得する（Ｓ２０２）。
フレーム中継装置１０の起動直後では、許容ＭＡＣアドレステーブル１４の全てのエントリに対し、“無効”が設定されるように、フレーム中継装置１０が構成される。この時点では、ＭＡＣアドレステーブル１２には、登録エントリがないので、許容ＭＡＣテーブル１４で有効が設定されたＭＡＣアドレスに係るエントリのみがＭＡＣアドレステーブル１２に登録されるようにするためである。また、フレーム中継装置１０（例えば、レイヤ２アドレス学習処理部１３）は、フレーム中継装置１０が持つポートＰａ（ａ＝１，２，３・・・）に接続されたリンクが切れたことを認識した場合には、許容ＭＡＣアドレステーブル１４のる当該ポート番号Ｐａに対するＭＡＣアドレスの有効／無効の設定を“無効”とする。このようなリンク切れの監視及び無効設定に係る処理は、フレーム中継装置１０の起動時において常時行われるように構成される。
レイヤ２アドレス学習処理部１３は、許容ＭＡＣアドレステーブル１４から取得したエントリを参照して、当該エントリの有効／無効フィールドに“有効（○）”が設定されている否かを判断する（Ｓ２０３）。このとき、有効／無効フィールドに“有効”が設定されている場合（Ｓ２０３：Ｙｅｓ）には、レイヤ２アドレス学習処理部１３は、Ｓ２０５の処理に移行する。これに対し、有効／無効フィールドに“有効”が設定されていない（“無効（×）”が設定されている場合（Ｓ２０３：Ｎｏ）には、レイヤ２アドレス学習処理部１３は、Ｓ２０４の処理に移行する。
Ｓ２０４では、レイヤ２アドレス学習処理部１３は、処理対象のフレームに係る情報を許容ＭＡＣアドレステーブル１４に登録する処理を行う。このとき、レイヤ２アドレス学習処理部１３は、許容ＭＡＣアドレステーブル１４における、当該フレームの受信ポート番号に対応するエントリについて、有効／無効フィールドに“有効（○）”を設定するとともに、当該フレームの送信元ＭＡＣアドレスを登録する。Ｓ２０４の処理が終了すると、レイヤ２アドレス学習処理部１３は、Ｓ２０６の処理に移行する。
一方、Ｓ２０５では、レイヤ２アドレス学習処理部１３は、フレームの送信元ＭＡＣアドレスが、Ｓ２０２で取得されたエントリのＭＡＣアドレスのフィールドに登録されているＭＡＣアドレスと同一であるか否かを判断する。このとき、レイヤ２アドレス学習処理部１３は、ＭＡＣアドレスが同一でない場合（Ｓ２０５：Ｎｏ）には、このフレームをなりすましのフレームであると判断して、本学習処理を終了する。これに対し、ＭＡＣアドレスが同一である場合には、Ｓ２０６の処理の処理に移行する。
Ｓ２０６では、レイヤ２アドレス学習処理部１３は、受信したフレームに係る情報をＭＡＣアドレステーブル１２に登録する。このとき、レイヤ２アドレス学習処理部１３は、このフレームに対応する情報として、テーブル１２のＭＡＣアドレスのフィールドに対してフレームの送信元ＭＡＣアドレスが設定され、ＩＰアドレスのフィールドに対して“ｄｏｎ’ｔ ｃａｒｅ”が設定され、宛先ポートのフィールドにフレームの受信ポート番号が設定され、ルーティング対象であるか否かの情報を格納するフィールドにルーティング対象でないことを示す情報（フラグ。「○」及び「×」のような二値で表現できる。）が設定されたエントリをＭＡＣアドレステーブル１２に登録する。Ｓ２０６の処理が終了すると、レイヤ２アドレス学習処理部１３は、本学習処理を終了する。
以上説明したフレーム中継装置１０によると、次の作用効果を得ることができる。即ち、端末直結モードがオンにされるような、端末とフレーム中継装置１０とが直接接続されている状況下では、その端末を収容するポートＰａは、その端末のＭＡＣアドレスが送信元アドレスに設定されたフレームしか受信しない筈である。このため、当該ポートＰａに対して有効なＭＡＣアドレスが許容ＭＡＣアドレステーブル１４に登録されている場合において、登録されたＭＡＣアドレスと異なる送信元ＭＡＣアドレスを持つフレームが当該ポートＰａから受信された場合には、当該端末がなりすましのフレームを送信した可能性が高い。フレーム中継装置１０の学習処理によれば、このようなフレームに対してはＳ２０５の判断で学習処理を途中で終了することで、当該フレームに係るエントリがＭＡＣアドレス学習テーブル１２に登録されることが防止される。また、フレーム中継装置１０のフレームの中継処理によれば、当該フレームの中継処理がＳ１０３の判断で中止されるので、当該フレームが中継されることはない。
以上のように、フレーム中継装置１０によれば、自装置と直結している端末からのなりすましのフレームの中継を防止することができる。従って、中継装置に対し複雑なフィルタリング設定を行う必要はない。また、なりすましのフレームがインターネットやイントラネット上に流れ込むのを抑えることができる。
なお、上述したレイヤ２アドレス学習処理において、端末直結モードがＯＦＦの場合に許容ＭＡＣアドレステーブル１４によるチェック処理を行わない理由は次の通りである。
フレーム中継装置１０に他のレイヤ２スイッチやスイッチングＨＵＢがカスケード接続される場合では、フレーム中継装置１０の他のレイヤ２スイッチを収容するポートには、他のレイヤ２スイッチの先に接続する複数の端末のＭＡＣアドレスが、送信元ＭＡＣアドレスとして到着する。この場合に、端末直結モードがオンであると、許容ＭＡＣアドレステーブル１４は、一つのポートに対して一つのＭＡＣアドレスしか有効なＭＡＣアドレスとして登録しないので、有効として登録されたＭＡＣアドレス以外のＭＡＣアドレスの中継が行われなくなってしまう。このような状況を防止すべく、１つのポートに対して複数の正常な送信元ＭＡＣアドレスを持つフレームが受信されるような接続状況下では、端末直結モードをオフにできるようにしている。
なお、上述したフレーム中継装置１０の構成では、ＭＡＣアドレステーブル１２にＩＰアドレス及びルーティング対象か否かを示す情報を登録するフィールドを設け、図４及び図６において、ＩＰアドレスの検索や登録に係る処理を行う（Ｓ１０２，Ｓ１０５，Ｓ２０６）。このようなレイヤ３に係る構成は、フレーム中継装置１０に無くても良い。
〈第２の実施の形態〉
次に、本発明のフレーム中継装置の第２の実施の形態について説明する。
図７は、第２の実施の形態に係るフレーム中継装置２０の構成を示すブロック図である。フレーム中継装置２０は、ＭＡＣアドレステーブル１２、許容ＭＡＣアドレステーブル１４、レイヤ２中継処理部２１（本発明のレイヤ２中継処理手段に対応）、スイッチ２２、レイヤ２アドレス学習処理部２３、中継対象識別部２４、ポート２５、ルーティング処理部（本発明のレイヤ３中継処理手段に対応）２６、ルーティング対象登録処理部２７、及びルーティング対象チェック部２８を備える。
ルーティング対象登録処理部２７は、本発明のフレーム中継装置における中継対象登録手段として機能する。また、ルーティング対象チェック部２８は、本発明の判定手段として機能する。
なお、フレーム中継装置２０の構成のうち、レイヤ２中継処理部２１，レイヤ２アドレス学習処理部２３，ポート２５の構成は、第１の実施の形態におけるフレーム中継装置１０のレイヤ２中継処理部１１，レイヤ２アドレス学習処理部１３，ポート１５と同様である。従って、第２の実施の形態において、これらの機能に関する説明は省略する。
スイッチ２２は、レイヤ２中継処理部２１やルーティング処理部２６で決定されたポートへ向けて、中継対象のフレームを転送する。スイッチ２２は、従来の装置に搭載されているものを適用することができる。
中継対象識別部２４は、複数（例えばｎ個）のポート２５からそれぞれ受信される各フレームが、レイヤ２の中継対象であるかあるいはレイヤ３の中継対象であるかを、受信したフレームの宛先ＭＡＣアドレスに基づいて判断する。なお、この中継対象識別部２４の機能は、従来の装置の機能と同様の機能でもよい。
ルーティング対象チェック部２８は、ＭＡＣアドレステーブル１２を参照して、受信したフレームに対する後述のルーティング前処理を実行する。ルーティング前処理後、ルーティング対象チェック部２８は、受信したフレームがルーティング対象であるか否かによって、受信したフレームをルーティング処理部２６またはルーティング対象登録処理部２７に送信する。このルーティング対象チェック部２８は、本発明に係る新規な構成である。
ルーティング処理部２６は、ルーティング対象チェック部２８から受信した、ルーティング対象のフレームに対するルーティング処理（レイヤ３の中継処理）を行う。なお、このルーティング処理部２６によるルーティング処理は、従来のルータによるルーティング処理と同様の処理でもよい。
ルーティング対象登録処理部２７は、ルーティング対象チェック部２８においてルーティング対象ではないと判定されたフレームに対して、後述のルーティング対象登録処理を行う。このルーティング対象登録処理部２７は、本発明に係る新規な構成である。
〈ルーティング前処理〉
次に、本フレーム中継装置２０のルーティング対象チェック部２８による、ルーティング前処理について説明する。
図８は、本ルーティング対象チェック部２８による、ルーティング前処理の一例について説明するフローチャートである。前処理が開始すると、最初に、ルーティング対象チェック部２８は、受信したフレームの受信ポート番号に基づいて、このフレームに対するルーティング対象チェックを行うか否か（ルーティング対象チェックモードがＯＮか否か）を判断する（図８におけるＳ３０１）。
ここで、ルーティング対象チェックモードについて説明する。ルーティング対象チェックモードとは、受信フレームの送信元ＭＡＣアドレスと送信元ＩＰアドレスの組から、当該受信フレームがフレーム中継装置２０におけるルーティング対象であるか否かのチェックを実行するモードである。すなわち、ルーティング対象チェックモードを設定しない場合（チェックモード：ＯＦＦ）には、受信したフレームに対してルーティング対象であるか否かのチェックを行わない。これに対し、ルーティング対象チェックモードがＯＮの場合には、受信フレームがルーティング対象か否かのチェックが行われる。ルーティング対象チェックモードは、各ポート番号単位にチェックを実行するか否か（モードのＯＮ／ＯＦＦ）を設定することができる。
Ｓ３０１において、フレームの受信ポートに対するルーティング対象チェックモードがＯＮである場合（Ｓ３０１：Ｙｅｓ）には、ルーティング対象チェック部２８は、Ｓ３０２の処理に移行する。また、ルーティング対象チェックモードがＯＦＦである場合（Ｓ３０１：Ｎｏ）には、ルーティング対象チェック部２８は、ルーティング前処理を終了して、フレームをルーティング処理部２６に送信する。そして、ルーティング処理部２６によるフレームのルーティング処理が行われる。なお、ルーティング処理は、従来と同様の処理であるので、説明は省略する。
ルーティング対象チェックモードがＯＮである場合には、ルーティング対象チェック部２８は、受信したフレームから送信元ＭＡＣアドレス、及び送信元ＩＰアドレスを抽出する（Ｓ３０２）。
送信元ＭＡＣアドレス及び送信元ＩＰアドレス抽出後、ルーティング対象チェック部２８は、このＭＡＣアドレスとＩＰアドレスとの組み合わせを持つエントリを、ＭＡＣアドレステーブル１２から検索する（Ｓ３０３）。
ルーティング対象チェック部２８は、Ｓ３０３で検索した結果、ＭＡＣアドレステーブル１２に対応する組み合わせ（エントリ）があるか否かを判断する。さらに、ルーティング対象チェック部２８は、該当するエントリがある場合に、そのエントリがルーティング対象であるか否かを、検索されたエントリ中のルーティング対象か否かを示す情報（フラグ）に基づいて判断する（Ｓ３０４）。このとき、ルーティング対象チェック部２８は、このエントリがＭＡＣアドレステーブル１２から検索されない場合とこのフレームがルーティング対象ではない場合のいずれかである場合（Ｓ３０４：Ｎｏ）には、このフレームをルーティング対象登録処理部２７に送信する。これにより、当該フレームについて、ルーティング対象登録処理部２７によるルーティング対象登録処理が実行される。
また、ルーティング対象チェック部２８は、受信したフレームが上記の条件のいずれも満たした場合（Ｓ３０４：Ｙｅｓ）には、このフレームをルーティング処理部２６に送信する。
以上のような前処理によれば、ＭＡＣアドレステーブル１２において、ルーティング対象である旨が登録されたＭＡＣアドレス及びＩＰアドレスがそれぞれ送信元アドレスとして設定されたフレームのみが、ルーティング処理部２６によるルーティング処理（中継処理）の対象となる。
〈ルーティング対象登録処理〉
次に、ルーティング対象登録処理部２７による、ルーティング対象登録処理について説明する。
図９，１０は、ルーティング対象登録処理部２７による、ルーティング対象登録処理の一例を説明するフローチャートである。
まず、ルーティング対象登録処理部２７は、ルーティング対象チェック部２８から受信したフレームの受信ポートに対応する端末直結モードがＯＮであるか否かを判断する（Ｓ４０１）。このとき、端末直結モードがＯＮである場合（Ｓ４０１：Ｙｅｓ）には、ルーティング対象登録処理部２７はＳ４０２の処理に移行する。また、端末直結モードがＯＦＦである場合（Ｓ４０１：Ｎｏ）には、ルーティング対象登録処理部２７は、Ｓ４０６の処理に移行する。
端末直結モードがＯＮである場合には、ルーティング対象登録処理部２７は、受信したフレームの受信ポート番号と同一のポートを持つエントリを、許容ＭＡＣアドレステーブル１４から取得する（Ｓ４０２）。
続いて、ルーティング対象登録処理部２７は、許容ＭＡＣアドレステーブル１４の情報に基づいて、このエントリに含まれるＭＡＣアドレスの有効／無効を示す値を格納するフィールド（有効フィールド）の値が“有効”であるか否かを判断する（Ｓ４０３）。このとき、有効フィールドの値が有効ではない場合（Ｓ４０３：Ｎｏ）には、ルーティング対象登録処理部２７は、このフレームの送信元ＭＡＣアドレスに係るエントリを許容ＭＡＣアドレステーブル１４に登録する（Ｓ４０４）。このとき、許容ＭＡＣアドレステーブル１４には、当該フレームの受信ポートのポート番号，に対応するエントリの有効フィールドに対し、有効を示す値を設定するとともに、当該エントリのＭＡＣアドレスの格納フィールドに対し、当該フレームの送信元ＭＡＣアドレスを登録する。登録後、ルーティング対象登録処理部２７は、Ｓ４０６の処理に移行する。
Ｓ４０３の処理において、検索されたエントリの有効フィールドの値が有効であると判断された場合には、ルーティング対象登録処理部２７は、フレームの送信元ＭＡＣアドレスが当該エントリのＭＡＣアドレスと同一であるか否かを判断する（Ｓ４０５）。このとき、フレームの送信元ＭＡＣアドレスとエントリのＭＡＣアドレスとが同一ではない場合（Ｓ４０５：Ｎｏ）には、ルーティング対象登録処理部２７は、このフレームがなりすましのフレームであるものとして、ルーティング対象として登録せずに本処理を終了する。これに対し、フレームの送信元ＭＡＣアドレスとエントリのＭＡＣアドレスとが同一である場合（Ｓ４０５：Ｙｅｓ）には、ルーティング対象登録処理部２７は、Ｓ４０６の処理に移行する。
Ｓ４０１，４０４，４０５の処理後、ルーティング対象登録処理部２７は、受信したフレームの送信元ＩＰアドレスと同一のＩＰアドレス持つエントリを、ＭＡＣアドレステーブル１２から検索する（Ｓ４０６）。
そして、ルーティング対象登録処理部２７は、ＭＡＣアドレステーブル１２にフレームの送信元ＩＰアドレスと同一のＩＰアドレスを持つエントリがあったか否かを判断する（Ｓ４０７）。このとき、該当するエントリがあった場合（Ｓ４０７：Ｙｅｓ）には、ルーティング対象登録処理部２７は、このフレームがなりすましのフレームであるものとして、ルーティング対象として登録せずに本処理を終了する。
Ｓ４０７において、該当するエントリが検索されなかった場合（Ｓ４０７：Ｙｅｓ）には、ルーティング対象登録処理部２７は、当該フレームがなりすましのフレームか否かを判断するために、当該フレームの送信元ＭＡＣアドレスを問い合わせ先のＭＡＣアドレスとしたＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）要求フレームを送信する（Ｓ４０８）。即ち、フレームに設定された送信元ＩＰアドレスに対応するＭＡＣアドレスを問い合わせるためのＡＲＰ要求フレームを生成し、受信したフレームの送信元ＭＡＣアドレス宛に送信する。
ルーティング対象登録処理部２７は、ＡＲＰ要求フレームに対する応答が所定時間内にあり（所定時間内にＡＲＰ応答フレームを受信し）、かつ応答フレームに入っているＭＡＣアドレス（問い合わせ元のＩＰアドレスに対応するＭＡＣアドレス）が、受信したフレームの送信元ＭＡＣアドレスと同一であるか否かを判断する（Ｓ４０９）。
応答フレームを所定期間内に受信しなかった場合、或いは応答フレーム中のＭＡＣアドレスとフレームの送信元ＭＡＣアドレスとが一致しなかった場合（Ｓ４０９：Ｎｏ）には、ルーティング対象登録処理部２７は、受信したフレームがなりすましのフレームであるものとして、このフレームをルーティング対象として登録せずに本処理を終了する。
Ｓ４０８において、ＡＲＰ要求フレームの代わりにｐｉｎｇ（Ｐａｃｋｅｔ ＩＮｔｅｒｎｅｔ Ｇｒｏｐｅｒ）フレームを送信するようにしても良い。この場合には、ｐｉｎｇフレームの宛先ＭＡＣアドレスには、当該フレームの送信元ＭＡＣアドレスを設定し、且つ宛先ＩＰアドレスには、当該フレームの送信元ＩＰアドレスを設定する。
ｐｉｎｇフレームを送信する場合には、ルーティング対象登録処理部２７は、Ｓ４０９において、ｐｉｎｇのＲｅｐｌｙフレームを所定期間内に受信でき、このｐｉｎｇのＲｅｐｌｙフレームの送信元ＭＡＣアドレスと送信元ＩＰアドレスとが、受信したフレームの送信元ＭＡＣアドレスと送信元ＭＡＣアドレスと一致するか否かを判断する。Ｒｅｐｌｙフレームを所定期間内に受信できなかった場合、及びＲｅｐｌｙフレームの送信元ＭＡＣアドレス及び送信元ＩＰアドレスがフレームの送信元ＭＡＣアドレス及び送信元ＩＰアドレスに一致しない場合（Ｓ４０９：Ｎｏ）には、処理を終了し、そうでない場合（Ｓ４０９：Ｙｅｓ）には、処理をＳ４１０に進める。
Ｓ４０９において、所定期間内に受信された応答フレーム中の問い合わせ先のＭＡＣアドレスがフレームの送信元ＭＡＣアドレスに一致する場合、即ち、問い合わせに対する正常な応答が得られた場合には、ルーティング対象登録処理部２７は、受信したフレームの送信元ＭＡＣアドレスと同一のＭＡＣアドレスを持ち、かつＩＰアドレスに対する設定が「ｄｏｎ’ｔ ｃａｒｅ」であるエントリがＭＡＣアドレステーブル１２に存在するか否かを判断する（Ｓ４１０）。
Ｓ４１０において、上記条件を満たすエントリがＭＡＣアドレステーブル１２に存在する（該当するエントリが見つかった）場合（Ｓ４１０：Ｙｅｓ）には、ルーティング対象登録処理部２７は、当該エントリの内容を、以下のように書き換える（更新する）。すなわち、ルーティング対象登録処理部２７は、当該エントリのＭＡＣアドレスのフィールドに対してフレームの送信元ＭＡＣアドレスを登録し、ＩＰアドレスのフィールドに対してフレームの送信元ＩＰアドレスを登録し、宛先ポート番号のフィールドに対してフレームの受信ポート番号を登録し、ルーティング対象か否かを示す情報を格納するフィールドにルーティング対象であることを示す値（フラグ値）、例えば○）を登録する（Ｓ４１１）。Ｓ４１１が終了すると、ルーティング対象登録処理部２７は、本処理を終了する。
Ｓ４１０において、条件を満たすエントリがＭＡＣアドレステーブル１２に存在しない場合には、ルーティング対象登録処理部２７は、受信したフレームの送信元ＭＡＣアドレスと同一のＭＡＣアドレスを持つ、ＭＡＣアドレステーブル１２のエントリの数を取得する（Ｓ４１２）。
そして、取得したエントリの数が、予め定められた同一のＭＡＣアドレスに対するＩＰアドレスの登録可能数未満であるか否かを判断する（Ｓ４１３）。ここで、同一のＭＡＣアドレスに対するＩＰアドレスの登録可能数について説明する。ＩＰアドレスの登録可能数とは、ＭＡＣアドレステーブル１２に対し、同一のＭＡＣアドレスに対応する異なるＩＰアドレスの登録（ＭＡＣアドレスが同一でＩＰアドレスが異なるエントリの登録）を幾つまで許容するかを指定する値である。例えば、ＩＰアドレスの登録可能数として、２を設定した場合は、あるＭＡＣアドレスが共通でＩＰアドレスが異なるエントリを２つまでＭＡＣアドレステーブル１２に登録することができることを示す。なお、ＩＰアドレスの登録可能数は、ルーティング対象登録処理部２７がアクセス可能なメモリ（図示せず）上に予め用意される。当該登録可能数は、ユーザインターフェイス等を介して変更可能に構成することができる。
Ｓ４１３において、取得したエントリの数がＩＰアドレスの登録可能数未満である場合には、ルーティング対象登録処理部２７は、ＭＡＣアドレステーブル１２に対し、当該フレームに係るエントリを登録する。具体的には、エントリのＭＡＣアドレスのフィールドにフレームの送信元ＭＡＣアドレスが設定されＩＰアドレスのフィールドにフレームの送信元ＩＰアドレスが設定され、宛先ポート番号のフィールドにフレームの受信ポート番号が設定され、ルーティング対象か否かを示す値の格納フィールドにルーティング対象であることを示す値が設定されたエントリを、ＭＡＣアドレステーブル１２に登録する（Ｓ４１４）。そして、ＭＡＣアドレステーブル１２への書き込み終了後、ルーティング対象登録処理部２７は本処理を終了する。
Ｓ４１３において、取得したエントリの数が、ＩＰアドレスの登録可能数以上である場合（Ｓ４１３：Ｎｏ）には、このエントリに対してはこれ以上ＩＰアドレスの登録は不可能、すなわち、このフレームがなりすましである可能性があるとして登録せずに本処理を終了する。
上記のＳ４１４においてＭＡＣアドレステーブルに追加されるエントリは、上述した前処理やレイヤ２中継処理時において、最優先で検索（ヒット）される状態で、或いは、追加エントリと同一のＭＡＣアドレスを含む既登録の他のエントリよりも先に検索（参照）される状態で登録される。この理由は、次の通りである。通常、送信元ＭＡＣアドレスに対応する送信元ＩＰアドレスは１つであるので、一つのＭＡＣアドレスについては一つのエントリ（一つのＩＰアドレス）のみがＭＡＣアドレステーブル１２に登録されるようにすれば、その後、ＩＰアドレスをなりすました（ＩＰアドレスが異なる）フレームに対するエントリの登録を防止することができる。一方、端末が使用するＩＰアドレスが設定等により適正に変更されることは全く考えられない訳ではない。このため、ＩＰアドレスの登録可能数を２以上に設定可能にすることで、ＭＡＣアドレスが共通でＩＰアドレスが異なる複数のエントリがＭＡＣアドレステーブル１２に登録されることを許容している。但し、端末が使用するＩＰアドレスは通常一つであるので、ＩＰアドレスが変更された場合には、変更前のＩＰアドレスは使われなくなる。一方、上述したように、一定時間使用されなかったエントリは、エージング処理によって、ＭＡＣアドレステーブル１２から削除される。従って、上述したように、追加エントリが変更前のＩＰアドレスを含む他のエントリよりも先にヒットするように登録すれば、当該他のエントリをエージング処理によって自動的に削除することが可能となる。
なお、上述したＳ４１３の処理では、登録可能数未満か否かを判定しているが、登録可能数以下か否かで判定するようにしても良い。すなわち、登録可能数よりも多くの共通のＭＡＣアドレスを含むエントリがＭＡＣアドレステーブル１２に登録されないようになっていれば良い。
また、ルーティング対象登録処理において、端末直結モードがＯＮの時のみ許容ＭＡＣアドレステーブルのチェックを行う理由は、該当ポートに端末でなくレイヤ２スイッチ等がカスケード接続されている場合に対応するためである。これは、第１の実施の形態で説明したのと同様の理由である。
〈実施の形態の効果〉
以上の本発明のフレーム中継装置に係る第１の実施の形態及び第２の実施の形態によれば、以下のような効果が得られる。
図５から、端末直結モードがＯＮの時は、許容ＭＡＣアドレステーブルで許可されたＭＡＣアドレスしか学習対象とならない。フレーム中継装置１０又は２０に直接繋がった端末が、ＭＡＣアドレスのなりすましを行った場合、いままで通信してきたＭＡＣアドレスで既に許容ＭＡＣアドレステーブル１４に対する登録が行われていることから、なりすましたＭＡＣアドレスでは学習処理が行われない。すなわちＭＡＣアドレステーブルにエントリが登録されないため、図４の中継方式で示したように、なりすましたＭＡＣアドレスは中継されないといった効果を得ることができる。
また、許容ＭＡＣアドレステーブル１４は、リンクが切れたときにそのリンクを収容するポートに対する有効／無効の設定が無効となる。このため、例えば別の端末に接続を変更した時は、許容ＭＡＣアドレステーブル１４の当該ポートに対するエントリのＭＡＣアドレスの有効／無効が無効となっているので、端末が通信を開始した時点でのＭＡＣアドレスで再登録がなされる。従って、フレーム中継装置１０及び２０によれば、ユーザが或るポートに対する端末の入れ替えや移動（ポートの変更）を行っても、アドレスのなりすましに対応することができる。
また、例えば、フレーム中継装置１０及び２０において、接続する他のレイヤ２スイッチの先にいる複数の端末のＭＡＣアドレスが送信元ＭＡＣアドレスとして到着する場合、端末直結モードをＯＮにすると、許容ＭＡＣアドレステーブルのチェック処理によって、レイヤ２スイッチ配下の端末のうち１つだけしか通信できなくなってしまう。そのため、本フレーム中継装置１０及びフレーム中継装置２０では、端末直結モードをＯＦＦに設定し、そのポートからのＭＡＣアドレスを全てＭＡＣアドレステーブルに登録できるようにすることで、全端末からの通信を確保することが可能となる。
〈変形例〉
本実施の形態に係るフレーム中継装置１０及び２０は、例えば以下のような変形や運用が可能である。
例えば、フレーム中継装置１０又は２０に対して他のレイヤ２スイッチ等がカスケード接続される場合には、端末直結モードをＯＦＦにしなければならない。しかしながら、この場合には、許容ＭＡＣアドレステーブル１４を用いたＭＡＣアドレスのチェックが行われない。そこで、他のレイヤ２スイッチが接続されたポートからやってくるＭＡＣアドレスのなりすましフレームを防ぐために、他のレイヤ２スイッチをフレーム中継装置１０に置き換え、そのフレーム中継装置１０に端末が直結されるように接続することで、そのフレーム中継装置１０においてなりすましのフレーム中継を防止することができる。
また、フレーム中継装置２０では、ルーティング対象チェックモードがＯＮの時のみルーティング対象のチェックを行っている。この理由は、該当ポート２５に他のレイヤ３の中継装置（ルータやレイヤ３スイッチなど）が接続されている場合に対応するためである。フレーム中継装置２０に他のレイヤ３の中継装置が接続されている場合には、当該他の中継装置から来るフレーム（ルーティングフレーム）のＭＡＣアドレスは、全て他の中継装置の持つＭＡＣアドレスとなる。このため、フレーム中継装置２０は、同一の送信元ＭＡＣアドレスに対して多数の送信元ＩＰアドレスを受信する。すなわち、同一の送信元ＭＡＣアドレスに対して送信元ＩＰアドレスが多数ある場合には、フレーム中継装置２０ではなりすましと判断され、ルーティング対象とならない。この場合は、そのポート２５に対するルーティング対象チェックモードをＯＦＦにすることで、ルータ間接続にも対応することが可能となる。
但し、フレーム中継装置２０において、ルーティング対象チェックモードをＯＦＦにした場合、ＩＰアドレスやＭＡＣアドレスのなりすましを防ぐことはできない。その場合は、接続先のレイヤ３の中継装置をフレーム中継装置２０に置き換える。このような置き換えによって、置き換えられたフレーム中継装置２０において、なりすましのフレーム中継を防止することができる。
また、フレーム中継装置２０では、ルーティング対象か否かの判断に用いるテーブルとして、従来のＭＡＣアドレステーブルに改変を加えたテーブルを利用している。これによって、装置構成を簡易にするとともに、中継装置が従来持つエージング機能を用いて不要なエントリを削除することが可能となる。但し、ＭＡＣアドレステーブルとは別にルーティングの許可／不許可（対象か否か）を判断するための情報を登録するテーブルを別途もってもよい。ただし、その場合は、古いエントリの自動削除機能がなくなる（ＭＡＣアドレステーブルに融合させていることで、レイヤ２のエージング処理による自動削除を実現していたため）。このため、別途作成したテーブルにおいて、ＭＡＣアドレステーブルとは別にエージング処理を追加する必要がある。なお、この場合におけるエージング処理方法は、レイヤ２中継処理でのエージング処理と同一の処理でよい。
また、ＭＡＣアドレス／ＩＰアドレスの双方をなりすまし、かつＡＲＰやｐｉｎｇに対する擬似応答まで行われる場合を防ぐには、フレーム中継装置２０で、図４及び図５に示したような処理がルーティング対象登録処理とともに実行されるようにすれば良い。このようにすれば、ＭＡＣアドレス／ＩＰアドレスの双方をなりすましたフレームの中継も完全に防ぐことが可能となる。
さらに、フレーム中継装置２０は、ＩＰがＩＰｖ４である場合を想定して説明している。但し、ＩＰがＩＰｖ６の場合でも処理を変更することなく対処が可能である。具体的には、ＩＰｖ６を適用する場合には、ＭＡＣアドレステーブルのＩＰアドレスの格納フィールドのサイズを、ＩＰｖ４に応じた３２ビットからＩＰｖ６に応じた１２８ビットに拡張する。また、図１０のＳ４０８において、ＭＡＣアドレスのチェックのために送信するフレームとして、ＡＲＰフレームの代わりにＩＣＭＰｖ６の近隣要請メッセージを送信する。そして、ＡＲＰ応答フレームの代わりにＩＣＭＰｖ６の近隣通知メッセージを待ち受けるようにすれば良い。この場合、Ｓ４０９の判断処理に変更はない。このように、本発明に係るフレーム中継装置は、ＩＰｖ４だけではなくＩＰｖ６にも対応することができる。

本発明は、アドレスのなりすましを防止するフレームの中継処理を提供する産業に適用可能である。

Claims (16)

1. 自装置でのフレームの中継処理で使用するＭＡＣアドレスとＩＰアドレスとの組を含むエントリが登録されるテーブルと、
   受信されたフレーム中の送信元ＭＡＣアドレス及び送信元ＩＰアドレスで前記テーブルを検索し、この送信元アドレスの組がレイヤ３での中継対象として登録されているか否かを判定する判定手段と、
   前記送信元アドレスの組が中継対象として登録されていると判定されたフレームのみを対象としてレイヤ３の中継処理を行うレイヤ３中継処理手段と、
   を含むフレーム中継装置。
2. 前記フレームの送信元アドレスの組が前記テーブルに登録されていなかった場合に、この送信元アドレスの組が正常か否かを問い合わせるための問い合わせフレームを送信し、この問い合わせフレームに対する応答フレームが前記問い合わせフレームを送信してから所定期間内に到着し且つこの応答フレーム中の情報が前記送信元アドレスの組が正常であることを示すという条件を満たすか否かを判定し、前記条件を満たす送信元アドレスの組を含むエントリを前記テーブルに登録し、前記条件を満たさない送信元アドレスの組を前記テーブルへの登録対象から除外する中継対象登録手段をさらに含む
   請求項１記載のフレーム中継装置。
3. 前記中継対象登録手段は、前記問い合わせフレームとして前記フレームの送信元ＩＰアドレスに対応するＭＡＣアドレスを問い合わせるためのＡＲＰ要求フレームを送信し、前記応答フレームとしてＡＲＰ応答フレームを受信し、このＡＲＰ応答フレーム中の問い合わせ先のＭＡＣアドレスが前記フレームの送信元ＭＡＣアドレスと一致する場合に、前記送信元アドレスの組み合わせが正常であると判定する
   請求項２記載のフレーム中継装置。
4. 前記中継対象登録手段は、前記問い合わせフレームとして前記フレームの送信元ＭＡＣアドレス及び送信元ＩＰアドレスをそれぞれ宛先ＭＡＣアドレス及び宛先ＩＰアドレスとするｐｉｎｇフレームを送信し、前記応答フレームとしてｐｉｎｇリプライフレームを受信し、このｐｉｎｇリプライフレームの送信元ＭＡＣアドレス及び送信元ＩＰアドレスが前記フレームの送信元ＭＡＣアドレス及び送信元ＩＰアドレスにそれぞれ一致する場合に、前記送信元アドレスの組み合わせが正常であると判定する
   請求項２記載のフレーム中継装置。
5. 前記中継対象登録手段は、前記フレームの送信元ＩＰアドレスと同一のＩＰアドレスを含むエントリが既に前記テーブルに登録されている場合には、前記応答フレームに係る条件が満されるか否かに拘わらず、前記フレームの送信元アドレスの組を前記テーブルへの登録対象から除外する
   請求項２〜４の何れかに記載のフレーム中継装置。
6. 前記中継対象登録手段は、前記フレームの送信元ＭＡＣアドレスと同一のＭＡＣアドレスを含むエントリが既に前記テーブルに登録されている場合には、前記応答フレームに係る条件が満されるか否かに拘わらず、前記フレームの送信元アドレスの組を前記テーブルへの登録対象から除外する
   請求項２〜５の何れかに記載のフレーム中継装置。
7. 前記テーブルに対してＭＡＣアドレスが同一でありＩＰアドレスが異なるエントリを登録可能な数が予め規定されており、
   前記中継対象登録手段は、前記フレームの送信元ＭＡＣアドレスと同一のＭＡＣアドレスを含む前記登録可能数以上のエントリが既に前記テーブルに登録されているときには、前記応答フレームに係る条件が満されるか否かに拘わらず、前記フレームの送信元アドレスの組を前記テーブルへの登録対象から除外する
   請求項２〜６の何れかに記載のフレーム中継装置。
8. 前記テーブルは、ＭＡＣアドレスとこのＭＡＣアドレスに対応する宛先ポート番号とを含むエントリを格納し、フレームのレイヤ２での中継において宛先ポートを割り出すために参照されるＭＡＣアドレステーブルの各エントリに、ＭＡＣアドレスに対応するＩＰアドレスのフィールドと、中継対象か否かを示す情報を格納するフィールドとを設けることによって構成され、
   自装置で受信されるフレームのレイヤ２の中継処理を前記テーブルを参照して行うレイヤ２中継処理手段と、
   前記テーブルから一定時間使用されなったエントリを削除する削除手段とをさらに含む
   請求項１〜７の何れかに記載のフレーム中継装置。
9. 前記フレームの送信元アドレスの組を含むエントリを前記テーブルに登録する際に、この送信元アドレスの組を構成するＭＡＣアドレスと同一のＭＡＣアドレスを含む他のエントリが既に前記テーブルに登録されている場合には、前記判定手段による処理において当該エントリが前記他のエントリよりも先に検索される状態で当該エントリを登録する
   請求項８記載のフレーム中継装置。
10. 自装置が有するポート毎に前記判定手段及び前記中継対象登録手段による処理を行うか否かを設定可能に構成されている
    請求項１〜９の何れかに記載のフレーム中継装置。
11. 自装置が有するポート毎に受信可能なＭＡＣアドレスを一つだけ登録可能なテーブルと、
    各ポートで受信されたフレームに対し、このフレームの送信元ＭＡＣアドレス及び受信ポート番号の組と同一のＭＡＣアドレス及びポート番号の組が前記テーブルに登録されているか否かを判定する判定手段と、
    前記送信元ＭＡＣアドレス及び受信ポート番号の組が登録されていると判定されたフレームのみを対象としてレイヤ２の中継処理を行う中継手段と
    を含むフレーム中継装置。
12. 前記フレームの送信元ＭＡＣアドレスが、前記テーブルに登録されていない場合に、この送信元ＭＡＣアドレス及び受信ポート番号の組が有効であるか否かを判定し、有効な送信元ＭＡＣアドレス及び受信ポート番号の組を前記テーブルに登録する、ＭＡＣアドレス学習部をさらに含む、請求項１１に記載のフレーム中継装置。
13. 前記ＭＡＣアドレス学習部は、前記ポートがフレームを受信可能な状態となってから、最初に受信したフレームの送信元ＭＡＣアドレス及び受信ポート番号の組を、前記有効な組としてテーブルに登録する、請求項１２に記載のフレーム中継装置。
14. 前記ＭＡＣアドレス学習部は、送信元ＭＡＣアドレス及び受信ポート番号の組が有効であるか否かの判断を行うか否かを個々のポート番号毎に設定可能である、請求項１１または１２に記載のフレーム中継装置。
15. 自装置が有するポート毎に受信可能なＭＡＣアドレスを一つだけ登録可能なテーブルと、
    各ポートで受信されたフレームに対し、このフレームの送信元ＭＡＣアドレス及び受信ポート番号の組と同一のＭＡＣアドレス及びポート番号の組が前記テーブルに登録されているか否かを判定する判定手段と、
    を含むフレーム判定装置。
16. 自装置でのフレームの中継処理で使用するＭＡＣアドレスとＩＰアドレスとの組を含むエントリが登録されるテーブルと、
    受信されたフレーム中の送信元ＭＡＣアドレス及び送信元ＩＰアドレスで前記テーブルを検索し、この送信元アドレスの組がレイヤ３での中継対象として登録されているか否かを判定する判定手段とを含むフレーム判定装置。

Images