特許 6114214 ネットワーク装置、及び、通信方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6114214

(24)【登録日】2017年3月24日

(45)【発行日】2017年4月12日

(54)【発明の名称】ネットワーク装置、及び、通信方法

(51)【国際特許分類】

   H04L 12/70 20130101AFI20170403BHJP

   H04L 12/46 20060101ALI20170403BHJP

【ＦＩ】

   H04L12/70 B

   H04L12/46 E

【請求項の数】15

【全頁数】23

(21)【出願番号】特願2014-34171(P2014-34171)

(22)【出願日】2014年2月25日

(65)【公開番号】特開2015-159482(P2015-159482A)

(43)【公開日】2015年9月3日

【審査請求日】2016年3月16日

(73)【特許権者】

【識別番号】504411166

【氏名又は名称】アラクサラネットワークス株式会社

(74)【代理人】

【識別番号】110001678

【氏名又は名称】特許業務法人藤央特許事務所

(72)【発明者】

【氏名】流 一秀

(72)【発明者】

【氏名】新 善文

(72)【発明者】

【氏名】清野 崇

【審査官】 宮島 郁美

(56)【参考文献】

【文献】 特開２００５−２４４６０３（ＪＰ，Ａ）

【文献】 特開２００９−０７１４２３（ＪＰ，Ａ）

【文献】 米国特許第０６６５４３８２（ＵＳ，Ｂ１）

【文献】 特開２００６−２９５９３７（ＪＰ，Ａ）

【文献】 米国特許出願公開第２００５／０２０４０６２（ＵＳ，Ａ１）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｈ０４Ｌ１２／００−１２／２８，１２／４４−１２／９５５

(57)【特許請求の範囲】

【請求項1】

ネットワーク装置であって、
プロセッサ及びメモリを有し、
複数の端末に接続され、
前記複数の端末から送信されるパケットを受信するネットワークインタフェースを有し、
前記ネットワーク装置が前記複数の端末のアドレスを学習できるか否かを示す学習情報と、
前記ネットワーク装置が転送するパケットを示すアドレス情報と、
前記パケットの転送が許可されるか否かを示すフィルタ情報と、を保持し、
前記アドレス情報及び前記フィルタ情報の少なくとも一方に基づいてパケットを転送する転送部を有し、
前記転送部は、
端末からパケットを受信した場合、前記パケットを受信した際に前記ネットワーク装置が前記アドレスを学習できるか否かを、前記学習情報に基づいて判定し、
前記ネットワーク装置がアドレスを学習できる場合、前記受信したパケットの送信元のアドレスを前記アドレス情報に格納し、
前記ネットワーク装置がアドレスを学習できない場合、前記受信したパケットの送信元のアドレスを前記アドレス情報に格納せず、前記フィルタ情報に含まれるアドレスに基づいて前記受信したパケットを転送すべきかを判定することを特徴とするネットワーク装置。

【請求項2】

請求項１に記載のネットワーク装置であって、
前記学習情報は、前記ネットワーク装置が複数の端末のアドレスを学習できる有効時間を示し、
前記転送部は、
前記端末からパケットを受信した場合、前記受信したパケットの送信元及び宛先が同じネットワークセグメントに属するか否かをさらに判定し、
前記有効時間内にパケットを受信し、かつ、前記受信したパケットの送信元及び宛先が同じネットワークセグメントに属する場合、前記受信したパケットの送信元のアドレスを取得し、
前記取得した送信元のアドレスを前記アドレス情報に格納することを特徴とするネットワーク装置。

【請求項3】

請求項１に記載のネットワーク装置であって、
前記転送部は、
前記ネットワーク装置がアドレスを学習できる場合、前記受信したパケットの送信元のアドレスを、前記転送が許可されるパケットのアドレスとして前記フィルタ情報に格納し、
前記ネットワーク装置がアドレスを学習できず、かつ、前記受信したパケットの送信元のアドレスが、前記フィルタ情報に含まれるアドレスと異なる場合、前記受信したパケットを転送しないことを特徴とするネットワーク装置。

【請求項4】

請求項１に記載のネットワーク装置であって、
前記転送部は、
前記ネットワーク装置が複数の端末のアドレスを学習できる有効時間内にパケットを受信した場合、前記受信したパケットの送信元のアドレスを取得し、
前記取得した送信元のアドレスを前記アドレス情報に格納することを特徴とするネットワーク装置。

【請求項5】

請求項４に記載のネットワーク装置であって、
前記端末から受信するパケットは、アドレス解決要求を含み、
前記ネットワーク装置は、前記複数の端末が接続される複数のネットワークインタフェースを有し、
前記学習情報は、前記複数のネットワークインタフェースがアドレスを学習できるか否かを示し、
前記転送部は、
前記アドレスを学習できるネットワークインタフェースがアドレス解決要求を含むパケットを受信した場合、前記アドレス解決要求を送信した端末のアドレスを前記アドレス情報に格納し、
前記アドレスを学習できないネットワークインタフェースがアドレス解決要求を含むパケットを受信し、かつ、前記受信したパケットの送信元のアドレスが、前記フィルタ情報に含まれるアドレスと異なる場合、前記受信したパケットを転送しないことを特徴とするネットワーク装置。

【請求項6】

請求項４に記載のネットワーク装置であって、
ユーザへの通知を出力する出力インタフェースと、
前記ネットワーク装置がアドレスを学習できない場合、前記アドレスを学習できない状態において前記パケットを受信したことを、前記出力インタフェースを介して出力する制御部と、を有することを特徴とするネットワーク装置。

【請求項7】

請求項６に記載のネットワーク装置であって、
前記ネットワーク装置は、
前記アドレスの学習が許可されるか否かを示す許可情報を有し、
前記ネットワーク装置がアドレスを学習できる場合、前記受信したパケットの送信元のアドレスを学習することが許可されているか否かを、前記許可情報に基づいて判定し、
前記制御部が、前記受信したパケットの送信元のアドレスを学習することが許可されると判定した場合、前記転送部は、前記受信したパケットの送信元のアドレスを前記アドレス情報に格納することを特徴とするネットワーク装置。

【請求項8】

請求項７に記載のネットワーク装置であって、
ユーザによる指示を受け付ける入力インタフェースを有し、
前記制御部は、前記入力インタフェースを介して受け付けた前記ユーザの指示に従って、前記許可情報を更新することを特徴とするネットワーク装置。

【請求項9】

請求項１に記載のネットワーク装置であって、
ユーザによる指示を受け付ける入力インタフェースと、
前記入力インタフェースを介して受け付けた前記ユーザの指示に従って、前記学習情報を更新又は削除をする制御部と、を有することを特徴とするネットワーク装置。

【請求項10】

ネットワーク装置による通信方法であって、
前記ネットワーク装置は、
プロセッサ及びメモリを有し、
複数の端末に接続され、
前記複数の端末から送信されるパケットを受信するネットワークインタフェースを有し、
前記ネットワーク装置が前記複数の端末のアドレスを学習できるか否かを示す学習情報と、
前記ネットワーク装置が転送するパケットを示すアドレス情報と、
前記パケットの転送が許可されるか否かを示すフィルタ情報と、を保持し、
前記方法は、
前記プロセッサが、前記アドレス情報及び前記フィルタ情報の少なくとも一方に基づいてパケットを転送する転送手順を含み、
前記転送手順は、
端末からパケットを受信した場合、前記プロセッサが、前記パケットを受信した際に前記ネットワーク装置が前記アドレスを学習できるか否かを、前記学習情報に基づいて判定する手順と、
前記ネットワーク装置がアドレスを学習できる場合、前記プロセッサが、前記受信したパケットの送信元のアドレスを前記アドレス情報に格納する手順と、
前記ネットワーク装置がアドレスを学習できない場合、前記プロセッサが、前記受信したパケットの送信元のアドレスを前記アドレス情報に格納せず、前記フィルタ情報に含まれるアドレスに基づいてパケットを転送する手順と、を含むことを特徴とする通信方法。

【請求項11】

請求項１０に記載の通信方法であって、
前記学習情報は、前記ネットワーク装置が複数の端末のアドレスを学習できる有効時間を示し、
前記転送手順は、
前記ネットワークインタフェースが前記端末からパケットを受信した場合、前記プロセッサが、前記受信したパケットの送信元及び宛先が同じネットワークセグメントに属するか否かをさらに判定する手順と、
前記ネットワークインタフェースが前記有効時間内に当該パケットを受信し、かつ、前記受信したパケットの送信元及び宛先が同じネットワークセグメントに属する場合、前記プロセッサが、前記受信したパケットの送信元のアドレスを取得する手順と、
前記プロセッサが、前記取得した送信元のアドレスを前記アドレス情報に格納する手順と、を含むことを特徴とする通信方法。

【請求項12】

請求項１０に記載の通信方法であって、
前記転送手順は、
前記ネットワーク装置がアドレスを学習できる場合、前記プロセッサが、前記受信したパケットの送信元のアドレスを、前記転送が許可されるパケットのアドレスとして前記フィルタ情報に格納する手順と、
前記ネットワーク装置がアドレスを学習できず、かつ、前記受信したパケットの送信元のアドレスが、前記フィルタ情報に含まれるアドレスと異なる場合、前記プロセッサが、前記受信したパケットを転送しない手順とを含むことを特徴とする通信方法。

【請求項13】

請求項１０に記載の通信方法であって、
前記転送手順は、
前記ネットワーク装置がアドレスを学習できる場合、前記プロセッサが、前記受信したパケットの送信元のアドレスを取得する手順と、
前記プロセッサが、前記取得した送信元のアドレスを前記アドレス情報に格納する手順と、を含むことを特徴とする通信方法。

【請求項14】

請求項１３に記載の通信方法であって、
前記端末から受信するパケットは、アドレス解決要求を含み、
前記ネットワーク装置は、前記複数の端末が接続される複数のネットワークインタフェースを有し、
前記学習情報は、前記複数のネットワークインタフェースがアドレスを学習できるか否かを示し、
前記転送手順は、
前記アドレスを学習できるネットワークインタフェースがアドレス解決要求を含むパケットを受信した場合、前記プロセッサが、前記アドレス解決要求を送信した端末のアドレスを前記アドレス情報に格納する手順と、
前記アドレスを学習できないネットワークインタフェースがアドレス解決要求を含むパケットを受信し、かつ、前記受信したパケットの送信元のアドレスが、前記フィルタ情報に含まれるアドレスと異なる場合、前記プロセッサが、前記受信したパケットを転送しない手順と、を含むことを特徴とする通信方法。

【請求項15】

請求項１３に記載の通信方法であって、
前記ネットワーク装置は、ユーザへの通知を出力する出力インタフェースを有し、
前記方法は、前記ネットワーク装置がアドレスを学習できない場合、前記プロセッサが、前記アドレスを学習できない状態において前記パケットを受信したことを、前記出力インタフェースを介して出力する制御手順を含むことを特徴とする通信方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、ネットワーク装置に関する。

【背景技術】

【0002】

現在、ＩＰネットワークを利用するため、広く普及した汎用品を利用することができる。このため、ネットワーク装置がなんらかの制限をかけない場合、意図した端末だけでなく、さまざまな端末が容易にＩＰネットワークに接続することができる。そして、意図しない端末がＩＰネットワークに接続されることによって、ＩＰネットワークに不正なデータが流れたり、セキュリティが侵害されたりする可能性がある。

【0003】

一方、ネットワーク装置は、端末から送信されたパケットを他の端末に転送するため、ネットワーク装置が有するインタフェース（ポート）と端末との対応関係を保持する。そして、この対応関係を追加又は更新することは、アドレスの学習と呼ばれる。

【0004】

従来、アドレス学習の可否を判定するため、ネットワーク装置が保持する条件を用いる技術が提案されている（例えば、特許文献１参照）。特許文献１には、「ネットワーク中継装置と接続された端末装置による特定ネットワークへの接続の可否を判定するＷｅｂ認証の結果に従い認証済み端末装置を特定する第１の情報を作成し、前記第１の情報に基づき端末装置と前記特定のネットワーク上のノードとの間の通信データの前記通信部による中継の可否を管理する」ネットワーク中継装置が記載される。

【先行技術文献】

【特許文献】

【0005】

【特許文献1】特開２０１２−０８０４１８号公報

【発明の概要】

【発明が解決しようとする課題】

【0006】

ネットワークの管理者は、本来意図しない端末がＩＰネットワークへ接続することを防ぎ、かつ、ＩＰネットワークに不正なデータが流れないような安全なネットワークを構築する必要がある。そして、ネットワーク管理者は、安全なネットワークが構築されるようにネットワーク装置にアドレスを学習させる必要がある。

【0007】

しかし、ＩＰネットワークへ流入するデータをネットワーク装置が制限するようにネットワーク装置を設定することは、一般的なユーザにとって困難である。これは、そのネットワーク装置への設定が複雑であり、設定のために専門的かつ高度な知識が必要であるためである。

【0008】

さらに、特許文献１の技術を用いた場合、特許文献１の技術を用いる場合、認証機能とＤＨＣＰサーバの利用が必要であり、ネットワークの設計およびネットワーク装置設定に専門知識が必要となる。

【0009】

本発明では、ネットワークの特別な専門知識がなくても、ＩＰネットワークへ接続可能な端末を設定でき、さらに、安全なＩＰネットワークの構築を可能にする装置を提供することを目的とする。

【課題を解決するための手段】

【0010】

本発明の一態様によると、ＩＰネットワークと複数の端末の間に位置するネットワーク装置であって、複数の端末に接続され、端末から送信されるパケットを受信した場合、受信したパケットを用いて端末のアドレスを学習しアドレス情報を生成する学習処理、または、パケットの転送が許可されるか否かを示すフィルタ情報に基づいて受信したパケットを転送制御するフィルタリング処理を行う。

【0011】

より具体的には、本発明の一形態によると、ネットワーク装置であって、プロセッサ及びメモリを有し、複数の端末に接続され、前記複数の端末から送信されるパケットを受信するネットワークインタフェースを有し、前記ネットワーク装置が前記複数の端末のアドレスを学習できるか否かを示す学習情報と、前記ネットワーク装置が転送するパケットを示すアドレス情報と、前記パケットの転送が許可されるか否かを示すフィルタ情報と、を保持し、前記アドレス情報及び前記フィルタ情報の少なくとも一方に基づいてパケットを転送する転送部を有し、前記転送部は、端末からパケットを受信した場合、前記パケットを受信した際に前記ネットワーク装置が前記アドレスを学習できるか否かを、前記学習情報に基づいて判定し、前記ネットワーク装置がアドレスを学習できる場合、前記受信したパケットの送信元のアドレスを前記アドレス情報に格納し、前記ネットワーク装置がアドレスを学習できない場合、前記受信したパケットの送信元のアドレスを前記アドレス情報に格納せず、前記フィルタ情報に含まれるアドレスに基づいて前記受信したパケットを転送すべきか否かを判定する。

【発明の効果】

【0012】

本発明の一実施形態によると、ＩＰネットワークへの接続可能な端末を簡易に設定できる。

【0013】

上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。

【図面の簡単な説明】

【0014】

【図1】本実施例のネットワークシステムを示すブロック図である。

【図2】本実施例のアドレステーブルを示す説明図である。

【図3A】本実施例の転送テーブルを示す説明図である。

【図3B】本実施例のフィルタテーブルを示す説明図である。

【図4】本実施例のパケットを受信した場合のアドレス管理部の処理を示すフローチャートである。

【図5】本実施例のアドレス解決要求の送信元のアドレスを格納した後のアドレステーブルを示す説明図である。

【図6A】本実施例のアドレスを新たに格納した後の転送テーブルを示す説明図である。

【図6B】本実施例のアドレスを新たに格納した後のフィルタテーブルを示す説明図である。

【図7】本実施例の入出力装置が表示する画面の例を示す説明図である。

【発明を実施するための形態】

【0015】

本実施例のネットワーク装置は、所定の有効時間内に通信した端末のみの通信を許可することによって、ＩＰネットワークを設定する際に接続された端末のみの通信を可能にする。

【0016】

以下において、図面を参照しながら本実施例のパケット転送装置を説明する。

【0017】

図１は、本実施例のネットワークシステムを示すブロック図である。

【0018】

本実施例のネットワークシステムは、ネットワーク１０、少なくとも一つのパケット転送装置１００（１００ａ〜１００ｃ）、少なくとも一つのサーバ４１０、及び、複数の端末４００（４００ａ〜４００ｅ）を有する。ネットワーク１０は、例えば、ＩＰネットワークである。

【0019】

パケット転送装置１００は、ネットワーク１０に設置され、端末４００及びサーバ４１０から送信されるパケットを受信する。また、パケット転送装置１００は、他のパケット転送装置１００から送信されたパケットを受信する。パケット転送装置１００は、プロセッサを有するネットワーク装置である。

【0020】

端末４００は、プロセッサを有する計算機であり、例えば、ユーザが直接使用するパーソナルコンピュータであってもよい。また、端末４００は、例えば、温度等を測定するためのセンサを備える端末であってもよい。

【0021】

サーバ４１０は、パケット転送装置１００を介して端末４００と通信する。サーバ４１０は、プロセッサを有する計算機である。サーバ４１０は、例えば、アプリケーションによるサービスを端末４００に提供する計算機であってもよく、また、端末４００が測定した結果を収集し、集計し、集計した結果をユーザに提供する計算機であってもよい。

【0022】

また、サーバ４１０は、入出力装置５００を有してもよい。入出力装置５００は、ユーザが、サーバ４１０を介してパケット転送装置１００に指示を入力するために用いられる装置である。また、入出力装置５００は、パケット転送装置１００における処理結果を、ユーザに出力するための装置である。

【0023】

入出力装置５００は、例えば、ディスプレイ、プリンタ、キーボード、マウス、又はタブレット端末を備える装置である。なお、入出力装置５００は、パケット転送装置１００が有してもよい。

【0024】

図１に示すパケット転送装置１００ａは、複数の端末４００（４００ａ、４００ｂ）及びサーバ４１０に接続される。パケット転送装置１００は、制御部２０２、転送部３００及び少なくとも一つのインタフェース１１０を有する。

【0025】

制御部２０２は、プロセッサ及びメモリを有する。プロセッサは、メモリ２０４が保持するプログラムを実行することによって制御部２０２の機能を実装する。

【0026】

制御部２０２は、アドレス管理部２００及び少なくとも一つのアドレステーブル２０１を有する。アドレス管理部２００は、端末４００及びサーバ間で送受信されるパケットを転送するためのアドレスを管理する機能部である。

【0027】

アドレス管理部２００は、ユーザからの指示１５０１を受け付ける。指示１５０１は、入出力装置５００を介して、コンソールケーブルにてパケット転送装置１００に送られる。なお、入出力装置５００からパケット転送装置１００への通知は、インタフェース１１０を介したパケット通信でもよい。

【0028】

なお、アドレス管理部２００は、プログラムによって実装されてもよいし、制御部２０２に組み込まれる集積回路等の物理的な装置によって実装されてもよい。また、制御部２０２は、プログラムによって実装されてもよいし、パケット転送装置１００に組み込まれる集積回路等の物理的な装置として実装されてもよい。

【0029】

アドレステーブル２０１は、パケット転送装置１００を介して通信できる端末４００又はサーバ４１０のアドレスを示す。さらに、本実施例のアドレステーブル２０１は、アドレス管理部２００がアドレステーブル２０１にアドレスを設定することができるか否かを示す学習情報を保持する。また、アドレステーブル２０１は、学習してもよいアドレスを保持する。

【0030】

本実施例における学習情報は、パケット転送装置１００がアドレスを学習できるか否かを示す。例えば、学習情報は、単なる「学習可」又は「学習不可」を示してもよいし、アドレスを学習できる時間を、有効時間として示してもよい。

【0031】

以下において、アドレステーブル２０１が有する学習情報が、有効時間（後述する有効時間２１１）である場合を説明する。

【0032】

制御部２０２は、アドレステーブル２０１を、インタフェース１１０に対応させて保持してもよい。このため、アドレステーブル２０１は、パケット転送装置１００が接続される端末４００、又は、サーバ４１０ごとに設定されてもよいし、同一のネットワークアドレスを持つ装置で構成されるネットワークセグメントごとに設定されてもよい。

【0033】

転送部３００は、パケットを転送するための装置である。転送部３００は、プロセッサ及びメモリを有する。また、転送部３００は、機能部としてデータ転送部３０３を有し、情報として、転送テーブル３０１、フィルタテーブル３０２及び有効時間３０５を保持する。

【0034】

データ転送部３０３は、プログラムによって実装されてもよいし、転送部３００に組み込まれる集積回路等の物理的な装置によって実装されてもよい。また、転送部３００は、プログラムによって実装されてもよいし、パケット転送装置１００に組み込まれる集積回路等の物理的な装置として実装されてもよい。

【0035】

転送テーブル３０１は、パケット転送装置１００を介して通信できる端末４００又はサーバ４１０のアドレスを示す。

【0036】

フィルタテーブル３０２は、パケット転送装置１００が転送しないパケットの送信元のアドレスを示す。

【0037】

有効時間３０５は、アドレス管理部２００に設定された有効時間２１１に対応する。具体的には、有効時間２１１がユーザの指示に従って設定された際、データ転送部３０３は、アドレステーブル２０１の有効時間２１１に基づいて、有効時間３０５を更新する。有効時間２１１が複数のインタフェース１１０に対応して複数設定される場合、有効時間３０５は、インタフェース１１０に対応して値を保持してもよいし、複数の有効時間２１１をマージした値を保持してもよい。

【0038】

例えば、１時〜３時を示す有効時間２１１ａと２時〜４時を示す有効時間２１１ｂとがアドレステーブル２０１に設定されていた場合、データ転送部３０３は、１時〜３時と２時〜４時とを、１時〜４時に変換することによってマージし、１時〜４時を示す値によって有効時間３０５を更新してもよい。これによって、有効時間３０５が保持する情報量を低減できる。

【0039】

また、有効時間２１１が時間ではなく、「学習可」又は「学習不可」を示す場合、データ転送部３０３は、少なくとも一つの有効時間２１１が「学習可」を示す場合、有効時間３０５として「学習可」を保持してもよい。

【0040】

本実施例において、アドレステーブル２０１のアドレス及び転送テーブル３０１のアドレスは、同じである。アドレステーブル２０１は、転送テーブル３０１にアドレスを設定するためのテーブルである。

【0041】

また、本実施例におけるアドレスの学習は、アドレステーブル２０１にアドレスを設定し、アドレステーブル２０１のアドレスを転送テーブル３０１に格納することである。

【0042】

インタフェース１１０（１１０ａ、１１０ｂ）は、端末４００又はサーバ４１０と接続するためのネットワークインタフェースである。本実施例のインタフェース１１０は、例えば、ポートである。また、インタフェース１１０は、他のパケット転送装置１００のインタフェース１１０と接続されてもよい。

【0043】

インタフェース１１０は、端末４００又はサーバ４１０が属するネットワークセグメントの各々と接続されてもよいし、端末４００の各々と接続されてもよいし、サーバ４１０の各々と接続されてもよい。

【0044】

以下において、端末４００ａは、ＩＰアドレスとして１９２.１６８.１.１が割り当てられており、さらに、ＭＡＣアドレスとして００００.１１１１.１４０１が割り当てられる。また、端末４００ｂは、ＩＰアドレスとして１９２.１６８.１.２が割り当てられており、さらに、ＭＡＣアドレスとして００００.１１１１.１４０２が割り当てられる。また、端末４００ａ及び端末４００ｂは、ＩＰアドレスのうち上位２４ビットがネットワークアドレスであり、端末４００ａ及び端末４００ｂはネットワークアドレスが１９２．１６８．１．０である一つのネットワークセグメントに属する。

【0045】

サーバ４１０は、ＩＰアドレスとして１０.０.０.１が割り当てられ、ＭＡＣアドレスとして００００.１１１１.１４０３が割り当てられる。また、サーバ４１０が属するネットワークは、端末４００ａ及び端末４００ｂが属するネットワークとは異なるネットワークセグメントに属する。サーバ４１０のＩＰアドレスは上位８ビットがネットワークアドレスであり、サーバ４１０が属するネットワークセグメントのネットワークアドレスは、１０．０．０．０である。

【0046】

図２は、本実施例のアドレステーブル２０１を示す説明図である。

【0047】

アドレステーブル２０１（２０１ａ、２０１ｂ）は、有効時間２１１（２１１ａ、２１１ｂ）、アドレス２１２（２１２ａ、２１２ｂ）及び許可アドレス２１３（２１３ａ、２１３ｂ）を含む。有効時間２１１は、アドレス２１２にアドレスを設定できる期間である。

【0048】

有効時間２１１は、時間、終了時刻、又は、開始時刻及び終了時刻等、所定の期間を示すことができれば、いずれの方法によって指定されてもよい。また、有効時間２１１は、前述の学習情報の内容を示してもよく、例えば、「学習可」又は「学習不可」を示してもよい。

【0049】

アドレス管理部２００は、指示１５０１によってユーザから学習情報として有効時間を入力された場合、アドレステーブル２０１の有効時間２１１に入力された有効時間を格納する。そして、アドレス管理部２００は、例えば、有効時間２１１が、開始時刻を含まず、時間によって指定される場合、ユーザから入力された有効時間を有効時間２１１に格納した時から、有効時間２１１が示す時間、アドレス２１２を更新できる。

【0050】

また、アドレス管理部２００は、指示１５０１によって学習情報として「学習可」又は「学習不可」を入力された場合、アドレステーブル２０１の有効時間２１１に入力された値を格納する。

【0051】

アドレス２１２は、パケット転送装置１００を介して通信できる端末４００又はサーバ４１０のアドレスを示す。本実施例のアドレス２１２は、ＩＰアドレス及びＭＡＣアドレスを格納する。

【0052】

許可アドレス２１３は、学習が許可されたアドレスを示す。具体的には、許可アドレス２１３は、アドレス２１２に設定することができるアドレスを示す。なお、許可アドレス２１３は、学習を許可されていないアドレスを示してもよい。

【0053】

メモリ２０４は、一つのインタフェース１１０に対して一つのアドレステーブル２０１を有してもよいし、複数のインタフェース１１０に対して一つのアドレステーブル２０１を有してもよい。

【0054】

すなわち、メモリ２０４は、パケット転送装置１００に接続する端末４００又はサーバ４１０が属するネットワークセグメントに対して、一つのアドレステーブル２０１を有してもよく、また、パケット転送装置１００に接続する端末４００の各々に対して、一つのアドレステーブル２０１を有してもよい。

【0055】

インタフェース１１０に対してアドレステーブル２０１を有し、さらに、インタフェース１１０に対して有効時間２１１を有することによって、ユーザは、パケット転送装置１００に、インタフェースの各々について、アドレスを学習させることができる。

【0056】

図２に示すアドレステーブル２０１ａは、端末４００ａ及び端末４００ｂが属するネットワークセグメントに対応するアドレステーブルである。また、図２に示すアドレステーブル２０１ｂは、サーバ４１０が属するネットワークに対応するアドレステーブルである。

【0057】

また、図２に示すアドレス２１２ａは、端末４００ａ及び端末４００ｂが属するネットワークセグメントにおいて、パケット転送装置１００を介して通信することを許可された装置がないことを示す。また、図２に示すアドレス２１２ｂは、サーバ４１０が属するネットワークセグメントにおいて、サーバ４１０のみがパケット転送装置１００を介して通信することを許可されていることを示す。

【0058】

図３Ａは、本実施例の転送テーブル３０１を示す説明図である。

【0059】

転送テーブル３０１は、インタフェース３０１１、ＩＰアドレス３０１２及びＭＡＣアドレス３０１３を含む。インタフェース３０１１は、パケット転送装置１００のインタフェース１１０を示す。

【0060】

ＩＰアドレス３０１２は、インタフェース３０１１が示すインタフェース１１０に接続される装置のＩＰアドレスであり、かつ、パケット転送装置１００を介して通信する装置のＩＰアドレスを示す。

【0061】

ＭＡＣアドレス３０１３は、インタフェース３０１１が示すインタフェース１１０に接続される装置のＭＡＣアドレスであり、かつ、パケット転送装置１００を介して通信する装置のＭＡＣアドレスを示す。

【0062】

図３Ａに示す転送テーブル３０１は、パケット転送装置１００が、サーバ４１０が属するネットワークセグメントが接続されるインタフェース１１０ｂから、サーバ４１０を宛先とするパケットのみを送信できることを示す。

【0063】

パケット転送装置１００が受信したパケットの宛先へのネクストホップが、転送テーブル３０１が示すＩＰアドレス３０１２及びＭＡＣアドレス３０１３と一致しない場合、転送部３００は、受信したパケットを破棄してもよい。これによって、データ転送部３０３は、学習していないアドレスへのパケットの転送を防ぐことができる。そして、不正なデータがＩＰネットワークに流入することを防ぐことができる。

【0064】

パケット転送装置１００が受信したパケットの宛先へのネクストホップが、転送テーブル３０１が示すＩＰアドレス３０１２及びＭＡＣアドレス３０１３と一致する場合、データ転送部３０３はパケットの宛先に従ってパケットを転送する。

【0065】

図３Ｂは、本実施例のフィルタテーブル３０２を示す説明図である。

【0066】

フィルタテーブル３０２は、フィルタチェック順番３０２１、送信元ＩＰアドレス３０２２、送信元ＭＡＣアドレス３０２３、及び転送許可３０２４を含む。フィルタチェック順番３０２１は、フィルタテーブル３０２のエントリを採用する優先順位を示す。

【0067】

具体的には、本実施例のデータ転送部３０３は、フィルタチェック順番３０２１の数字が低い順に、フィルタテーブル３０２のエントリを検索する。そして、データ転送部３０３は、エントリが示すアドレスの条件が一致した場合、一致したエントリの転送許可３０２４に従って、パケットを転送するか否かを決定する。データ転送部３０３は、フィルタテーブル３０２を用いて受信するパケットをフィルタリングし、パケット転送制御を行う。

【0068】

送信元ＩＰアドレス３０２２は、パケット転送装置１００が受信したパケットの送信元のＩＰアドレスを示す。送信元ＭＡＣアドレス３０２３は、パケット転送装置１００が受信したパケットの送信元のＭＡＣアドレスを示す。

【0069】

転送許可３０２４は、送信元ＩＰアドレス３０２２及び送信元ＭＡＣアドレス３０２３のアドレスをヘッダに含むパケットの転送を、許可するか否かを示す。

【0070】

メモリ３０４は、フィルタテーブル３０２を、パケット転送装置１００に接続する端末４００又はサーバ４１０が属するネットワークセグメント毎に有してもよく、また、パケット転送装置１００に接続する端末４００又はサーバ４１０毎に有してもよい。

【0071】

図３Ｂに示すフィルタテーブル３０２ａは、端末４００ａ及び端末４００ｂが属するネットワークセグメントからの接続を制御するためのフィルタテーブル３０２である。また、図３Ｂに示すフィルタテーブル３０２ｂは、サーバ４１０が属するネットワークセグメントからの接続を制御するためのフィルタテーブル３０２である。

【0072】

また、図３Ｂに示すフィルタテーブル３０２ａは、端末４００ａ及び端末４００ｂが属するネットワークセグメントから送信されるパケットを、データ転送部３０３は、すべて転送しないことを示す。また、図３Ｂに示すフィルタテーブル３０２ｂは、サーバ４１０が属するネットワークセグメントから送信されるパケットのうち、サーバ４１０から送信されたパケット以外のパケットを、データ転送部３０３は、すべて転送しないことを示す。

【0073】

フィルタテーブル３０２を用いることによって、データ転送部３０３は、一つのネットワークセグメントに属する複数の装置が、パケット転送装置１００によるアドレス解決なしに、相互にアドレス解決を行うことを防ぐことができる。

【0074】

具体的には、端末４００ａ及び端末４００ｂが同じネットワークセグメントに属する場合、端末４００ａは、パケット転送装置１００宛てにパケットを送信することなく、端末４００ａが端末４００ｂへアドレス解決要求を直接送信し、端末４００ｂのＭＡＣアドレスを解決することができる。

【0075】

そして、端末４００ａが端末４００ｂのＭＡＣアドレス宛てにパケットを送信することによって、端末４００ａ及び端末４００ｂが通信することができる。しかし、この場合、パケット転送装置１００のアドレス管理部２００は、端末４００ａ及び端末４００ｂのＩＰアドレス及びＭＡＣアドレスを学習することができない。

【0076】

また、一つのネットワークセグメントに属する複数の装置が、パケット転送装置１００によるアドレス解決なしでパケットを相互に送受信することは、セキュリティの観点から望ましくない。

【0077】

そこで、本実施例のパケット転送装置１００は、一つのネットワークセグメントにおいて送受信されるパケットを有効時間（有効時間２１１及び有効時間３０５）内に受信した場合、そのパケットを正当なパケットとみなし、パケットの送信元のアドレスを学習する。そして、データ転送部３０３は、フィルタテーブル３０２を参照することによって、有効時間においてパケットを送信した装置のパケットのみを転送する。データ転送部３０３は、有効時間内に学習することにより取得したアドレスを含むフィルタテーブル３０２を用いて受信するパケットをフィルタリングし、パケット転送制御を行う。

【0078】

これによって、パケット転送装置１００は、学習されたアドレス以外のアドレスから送信されたパケットを有効時間外に受信した場合、パケットの転送を制限することができる。

【0079】

さらに、本実施例のパケット転送装置１００は、一つのネットワークセグメントに属する複数の装置が、有効時間内にアドレス解決要求を相互に送信した場合、アドレス解決要求の送信元のアドレスを学習する。このため、データ転送部３０３は、有効時間３０５が示す時間、一つのネットワークセグメントに属する複数の装置間のアドレス解決要求を、制御部２０３に転送する。

【0080】

図４は、本実施例のパケットを受信した場合のアドレス管理部２００の処理を示すフローチャートである。

【0081】

以下の説明において、図４に示す処理の開始時、アドレステーブル２０１、転送テーブル３０１及びフィルタテーブル３０２は、図２に示すアドレステーブル２０１、並びに、図３Ａに示す転送テーブル３０１及び図３Ｂに示すフィルタテーブル３０２と同じである。

【0082】

端末４００ａは、パケット転送装置１００に向けてパケットを送信する。端末４００ａがパケット転送装置１００に向けて送信するパケットには、アドレス解決要求と、端末４００ａと同じネットワークセグメントに属する端末４００へ送信するパケットとが含まれる。

【0083】

アドレス解決要求には、送信元のＩＰアドレス及びＭＡＣアドレスが含まれ、さらに、解決したいアドレスとしてパケット転送装置１００のＩＰアドレスが含まれる。なお、端末４００及びサーバ４１０は、パケット転送装置１００のＩＰアドレスを、あらかじめ保持する。

【0084】

パケット転送装置１００のデータ転送部３０３は、インタフェース１１０を介してパケットを受信する。インタフェース１１０を介してパケットを受信した場合、インタフェース１１０を制御する機能部、又は、転送部３００は、受信したパケットに、パケットを受信したインタフェース１１０の識別子を付加する。

【0085】

そして、データ転送部３０３は、パケットを受信した場合、有効時間３０５を参照し、受信した時刻が有効時間３０５が示す時間内であるか否かを判定する（Ｓ９００）。

【0086】

なお、以下においてパケットを受信した時刻は、インタフェース１１０がパケットを受信した時刻である。しかし、Ｓ９００におけるパケットを受信した時刻は、インタフェース１１０がパケットを受信した時刻から、Ｓ９００までの時刻であれば、いずれの時刻でもよい。

【0087】

また、有効時間３０５がインタフェース１１０に対応して値を保持する場合、データ転送部３０３は、Ｓ９００において、パケットを受信したインタフェース１１０に対応する有効時間３０５を参照する。

【0088】

なお、有効時間３０５が「学習可」又は「学習不可」であるかを示す場合、データ転送部は、Ｓ９００において、有効時間３０５が「学習可」か否かを判定する。そして、データ転送部３０３は、「学習可」である場合Ｓ９０１を実行し、「学習不可」である場合Ｓ１１００を実行する。

【0089】

Ｓ９００において、受信した時刻が有効時間３０５が示す時間内である場合、データ転送部３０３は、受信したパケットが、パケット転送装置１００を宛先とするパケット（自宛てのパケット）であるか、送信元のＩＰアドレスと宛先のＩＰアドレスとがパケット転送装置１００を宛先としておらず且つ送信元のＩＰアドレスと宛先のＩＰアドレスとが同じネットワークセグメントに属するパケット（参照するパケット）であるか、又は、その他のパケットであるかを判定する（Ｓ９０１）。

【0090】

本実施例では、端末４００ａ及び端末４００ｂはＩＰアドレスのうち上位２４ビットをネットワークアドレスとしており、サーバ４１０はＩＰアドレスのうち上位８ビットをネットワークアドレスとしている。送信元のＩＰアドレスと宛先のＩＰアドレスとが、同じネットワークセグメントに属する場合は、送信元のＩＰアドレスと宛先のＩＰアドレスのネットワークアドレスが一致する。

【0091】

Ｓ９００においてパケットを受信した時刻が有効時間３０５が示す時間外である場合、又は、Ｓ９０１においてその他のパケットであると判定された場合、受信したパケットはアドレス学習対象パケットではないため、データ転送部３０３は、Ｓ１１００に進む。

【0092】

なお、図４に示す処理において、データ転送部３０３は、自宛てのパケットではなく、また、異なるネットワークセグメント間で送受信されるパケットを、アドレス学習対象パケットの候補から除外する。しかし、データ転送部３０３は、Ｓ９０１を省略してもよく、有効時間３０５内に受信するすべてのパケットをアドレス学習対象パケットの候補としてもよい。

【0093】

データ転送部３０３は、フィルタテーブル３０２を参照し、受信したパケットが廃棄するパケットか否か判定する（Ｓ１１００）。廃棄するパケットである場合、データ転送部３０３は、パケットを廃棄し、さらに、フィルタテーブル３０２に登録されていないパケットを受信したことを制御部２０２へ通知する。

【0094】

制御部２０２のアドレス管理部２００は、フィルタテーブル３０２に登録されていないパケットを受信したことをサーバ４１０の入出力装置５００に表示する（Ｓ１００７）。データ転送部３０３は、Ｓ１１００において廃棄するパケットでないと判定した場合、Ｓ１１０１に進む。

【0095】

データ転送部３０３は、Ｓ１１０１において、転送テーブル３０１を参照し、受信したパケットの宛先のネクストホップが登録されているか否か判定する。登録されている場合、Ｓ１１０１のＹｅｓに進み、データ転送部３０３は、パケットを宛先に向けて送信する。一方、受信したパケットが登録されていないネクストホップへのパケットである場合、データ転送部３０３は、パケットを廃棄し、さらに、転送テーブル３０１に登録されていないパケットを受信したことを制御部２０２へ通知する。

【0096】

制御部２０２のアドレス管理部２００は、データ転送部３０３から、転送テーブル３０１に登録されていないパケットを受信したことを通知された場合、転送テーブル３０１に登録されていないパケットを受信したことを、サーバ４１０の入出力装置５００に表示する（Ｓ１００７）。また、Ｓ１００７において、アドレス管理部２００は、転送すべきでないパケットを受信したことを示すログを生成してもよい。

【0097】

Ｓ９０１においてパケットが自宛てのパケットであると判定された場合、データ転送部３０３は、パケットを制御部２０２へ転送する（Ｓ９０３）。

【0098】

Ｓ９０１において、受信したパケットが同じネットワークにおけるパケットであると判定された場合、データ転送部３０３は、受信したパケットを参照し、受信したパケットからヘッダ情報等の内容を取得する（Ｓ９０２）。ここで取得する内容には、送信元のＩＰアドレス及びＭＡＣアドレス、並びに、受信したインタフェース１１０の識別子等が含まれる。

【0099】

Ｓ９０２において、データ転送部３０３は、参照したパケットをパケットが示す宛先に従って転送する。

【0100】

そして、Ｓ９０２の後、データ転送部３０３は、参照によって取得した内容を、パケットとして制御部２０２に転送する（Ｓ９０３）。これは、本実施例のパケット転送装置１００は、同じネットワークセグメントに属する二つの装置間で有効時間内に送受信されるパケットを、必要な通信によるパケットとみなし、このようなパケットのアドレスを学習するためである。そして、これにより、パケット転送装置１００は、同じネットワークセグメント内で必要な通信を許可することができる。

【0101】

なお、データ転送部３０３は、Ｓ９０２において参照によってパケットの内容を取得したが、パケットを複製してもよい。

【0102】

アドレス管理部２００は、制御部２０２がデータ転送部３０３からパケットを受信した場合、受信したパケットがアドレス解決要求以外の自宛てのパケットであるか否かを、受信したパケットが含むヘッダ情報に基づいて判定する（Ｓ１０００）。

【0103】

受信したパケットがアドレス解決要求以外の自宛てのパケットである場合、受信したパケットは図４に示す処理の対象外であるため、アドレス管理部２００は、図４に示す処理を終了する。

【0104】

受信したパケットがアドレス解決要求であるか、又は、自宛て以外のパケットである場合、アドレス管理部２００は、受信したパケットに付加されたインタフェース１１０の識別子を参照し、パケットを受信したインタフェース１１０に対応するアドレステーブル２０１を特定する。例えば、アドレス管理部２００は、受信したパケットの送信元が端末４００ａであり、インタフェース１１０ａを介してパケットを受信した場合、インタフェース１１０ａに対応するアドレステーブル２０１ａを特定する。

【0105】

そして、アドレス管理部２００は、パケットを受信した時刻が、特定されたアドレステーブル２０１（前述の例において、アドレステーブル２０１ａ）の有効時間２１１（前述の例において、有効時間２１１ａ）内であるか否かを判定する（Ｓ１００１）。なお、Ｓ１００１におけるパケットを受信した時刻は、インタフェース１１０がパケットを受信した時刻から、Ｓ１００１までの時刻であれば、いずれの時刻でもよい。

【0106】

また、有効時間３０５がインタフェース１１０に対応した値を保持する場合、Ｓ１００１の処理は省略されてもよい。

【0107】

Ｓ１００１において、パケットを受信した時刻が有効時間２１１内である場合、受信したパケットは、アドレスを学習すべきパケットである可能性が高い。このため、アドレス管理部２００は、特定されたアドレステーブル２０１の許可アドレス２１３を参照し、受信したパケットの送信元（前述の例において、端末４００ａ）のアドレスを学習すべきであるか否かを判定する（Ｓ１００２）。

【0108】

Ｓ１００２において、許可アドレス２１３に基づいて、受信したパケットの送信元のアドレスを学習すべきであると判定した場合、受信したパケットの送信元のアドレスを学習することが許可されているため、パケット転送装置１００は、送信元のアドレスを学習する。

【0109】

このため、アドレス管理部２００は、Ｓ１００３〜Ｓ１００６を実行することによって、受信したパケットの送信元（前述の例において、端末４００ａ）のアドレスを、転送部３００に送信し、学習させる。許可アドレス２１３を用いることによって、ユーザが指定したアドレスのみをパケット転送装置１００に学習させることができる。

【0110】

また、Ｓ１００１において、パケットを受信した時刻が有効時間２１１内ではないと判定された場合、又は、Ｓ１００２において、パケットの送信元のアドレスを学習すべきではないと判定された場合、アドレス管理部２００は、受信したパケットのアドレスを学習せず、受信したパケットを破棄する。

【0111】

そして、アドレス管理部２００は、アドレスを学習すべきではないパケットを受信したことを出力する（Ｓ１００７）。例えばＳ１００７において、アドレス管理部２００は、有効時間外にアドレス解決要求を受信したこと、又は、許可されていない装置から同一ネットワークセグメント内の他の装置に向けて送信されたパケットを受信したこと等を、サーバ４１０の入出力装置５００に表示する。

【0112】

また、アドレス管理部２００は、Ｓ１００７において、アドレスを学習すべきでないパケットを受信したことを示すログを生成してもよい。これによって、ユーザは、有効時間外にアドレス解決要求を受信したこと、又は、許可されていない装置から同一ネットワークセグメント内の他の装置に向けてパケットが送信されたことを認識することができる。

【0113】

アドレス管理部２００は、Ｓ１００１において参照したアドレステーブル２０１のアドレス２１２（具体的には、アドレス２１２ａ）に、受信したパケットの送信元のＩＰアドレス及びＭＡＣアドレスを追加する（Ｓ１００３）。

【0114】

図５は、本実施例のアドレス解決要求の送信元のアドレスを格納した後のアドレステーブル２０１を示す説明図である。

【0115】

図５に示すアドレス２１２ａは、Ｓ１００３の処理後のアドレス２１２ａであり、端末４００ａのＩＰアドレス及びＭＡＣアドレスを保持する。図５に示すアドレス２１２ａ以外のアドレステーブル２０１は、図２に示すアドレステーブル２０１と同じである。

【0116】

Ｓ１００３の後、アドレス管理部２００は、アドレス２１２の内容をデータ転送部３０３に送信し、データ転送部３０３は、受信したアドレス２１２の内容に基づいて、転送テーブル３０１を更新する（Ｓ１００４）。Ｓ１００４において、データ転送部３０３は、アドレステーブル２０１が対応するインタフェース１１０の識別子と、アドレス２１２のＩＰアドレス及びＭＡＣアドレスとを対応させて、転送テーブル３０１に格納する。

【0117】

データ転送部３０３は、Ｓ１００３において追加されたエントリに基づいて、転送テーブル３０１にアドレスを追加してもよいし、すべてのアドレス２１２に基づいて転送テーブル３０１を更新してもよい。Ｓ１００４の処理によって、パケット転送装置１００は、アドレスを学習する。

【0118】

データ転送部３０３は、Ｓ１００４において、受信したパケットに付加されたインタフェース１１０を用いてフィルタテーブル３０２を特定する。そして、特定したフィルタテーブル３０２に、受信したパケットの送信元のアドレスを格納する。データ転送部３０３は、すべてのアドレス２１２に基づいてフィルタテーブル３０２を更新してもよいし、Ｓ１００３においてアドレス２１２に追加されたエントリに基づいてフィルタテーブル３０２を更新してもよい。

【0119】

また、データ転送部３０３は、新たに追加したエントリのフィルタチェック順番３０２１に、追加したエントリを最も優先して適用することを示す値を格納し、転送許可３０２４に転送を許可することを示す値を格納する。

【0120】

図６Ａは、本実施例のアドレスを新たに格納した後の転送テーブル３０１を示す説明図である。

【0121】

図６Ａに示す転送テーブル３０１は、端末４００ａのインタフェース３０１１に、インタフェース１１０ａの識別子として「端末接続インタフェース」を含む。

【0122】

図６Ｂは、本実施例のアドレスを新たに格納した後のフィルタテーブル３０２を示す説明図である。

【0123】

図６Ｂに示すフィルタテーブル３０２には、端末４００ａの送信元のアドレスが格納され、転送許可３０２４に「許可」が格納される。なお、図６Ｂに示すフィルタテーブル３０２ｂと図３Ｂに示すフィルタテーブル３０２ｂとは、同じである。

【0124】

Ｓ１００４においてフィルタテーブル３０２に、受信したパケットの送信元のアドレスを格納することによって、データ転送部３０３は、有効時間外において、フィルタテーブル３０２以外の装置から送信されたパケットを転送せず、ユーザが意図しない装置間の通信を制限できる。

【0125】

Ｓ１００４の後、アドレス管理部２００は、受信したパケットが自装置のＩＰアドレスの解決要求であるか否かを判定する（Ｓ１００５）。アドレス管理部２００は、受信したパケットのヘッダの内容に従って、受信したパケットが自装置のＩＰアドレスの解決要求であるか否かを判定する。

【0126】

受信したパケットが自装置のＩＰアドレスの解決要求である場合、アドレス管理部２００は、アドレス解決要求を送信した端末４００に、パケット転送装置１００のＭＡＣアドレスを応答する（Ｓ１００６）。Ｓ１００６の後、アドレス管理部２００は、図４に示す処理を終了する。

【0127】

また、Ｓ１００５において、受信したパケットが自装置のＩＰアドレスの解決要求でないと判定された場合、アドレス管理部２００は、図４に示す処理を終了する。

【0128】

Ｓ１００３〜Ｓ１００６の処理によって、有効時間内に受信したアドレス解決要求、又は、同じネットワークセグメントの装置間において送信されるパケットの送信元のアドレスを、パケット転送装置１００は学習することができる。そして、パケット転送装置１００に接続される装置は、パケット転送装置１００を介して、パケットを送受信できる。

【0129】

具体的な例を以下に示す。図４に示す処理によって、端末４００ａのアドレスがパケット転送装置１００によって学習され、端末４００ａからパケットを有効時間外に受信した場合、データ転送部３０３は、転送テーブル３０１及びフィルタテーブル３０２に従って、端末４００ａから受信したパケットを転送する。

【0130】

しかし、図４に示す処理によってアドレスが学習されていない装置（例えば、端末４００ｂ）が、有効時間外にパケットをパケット転送装置１００に送信した場合、フィルタテーブル３０２に端末４００ｂのアドレスが格納されていないため、データ転送部３０３は、端末４００ｂから送信されたパケットを転送しない。

【0131】

また、端末４００ａ及び端末４００ｂが同じネットワークセグメントに属する場合においても、有効時間内に端末４００ｂのアドレスが学習されなければ、パケット転送装置１００は、端末４００ｂから端末４００ａへのパケットの送信を制限できる。これによって、同じネットワークセグメントにおいても、セキュリティが向上する。

【0132】

なお、転送テーブル３０１に宛先のアドレスが格納されておらず、かつ、データ転送部３０３が、転送テーブル３０１に格納されていないアドレスを宛先とするパケットを有効時間２１１内に受信した場合、データ転送部３０３及びアドレス管理部２００は、転送テーブル３０１に登録されていないアドレス宛に、アドレス解決要求を送信してもよい。

【0133】

具体的には、データ転送部３０３は、転送テーブル３０１に端末４００ａのアドレスが未設定であることをアドレス管理部２００へ通知する。アドレス管理部２００は、未設定の通知を受信した場合、端末４００ａのＭＡＣアドレスを解決するため、端末４００ａにアドレス解決要求を送信する。このアドレス解決要求には、端末４００ａのＩＰアドレスが含まれる。

【0134】

そして、端末４００ａは、パケット転送装置１００からアドレス解決要求を受信した場合、自らのＭＡＣアドレスをパケット転送装置１００に応答する。パケット転送装置１００は、端末４００ａからＭＡＣアドレスを受信した場合、アドレステーブル２０１に端末４００ａのＩＰアドレス及びＭＡＣアドレスを格納する。また、パケット転送装置１００は、端末４００ａのＩＰアドレス及びＭＡＣアドレスを、データ転送部３０３によって転送テーブル３０１に登録させる。

【0135】

図７は、本実施例の入出力装置５００が表示する画面の例を示す説明図である。

【0136】

入出力装置５００は、画面５１０〜画面５４０を表示する。画面５１０は、ユーザが有効時間２１１を入力するための画面である。画面５３０は、ユーザが学習済みのアドレスを削除するための画面である。画面５４０は、許可アドレス２１３にアドレスを設定するための画面である。

【0137】

なお、アドレステーブル２０１が有効時間２１１として、パケット転送装置１００がアドレスを学習できるか否かを示す学習情報を保持する場合、画面５１０は、例えば、「学習可」又は「学習不可」をユーザが入力するための画面である。

【0138】

画面５１０は、領域５１１〜領域５２０を含む。領域５１１は、画面５１０によって、有効時間を適用するインタフェース１１０を指定するための領域である。領域５１２及び領域５１６は、有効時間を入力するための領域である。

【0139】

領域５１２は、有効時間として開始時刻及び終了時刻を入力するための領域である。領域５１２は、領域５１３〜領域５１５、及び領域５２０を含む。領域５１３は、開始時刻を入力するための領域であり、領域５１４は、終了時刻を入力するための領域である。

【0140】

領域５２０は、曜日又は年月日を入力するための領域である。領域５２０に曜日が設定される場合、設定された曜日における領域５１３の開始時刻から領域５１４の終了時刻までの時間がアドレス学習時間として指定される。

【0141】

領域５２０に年月日が設定された場合、設定された年月日における領域５１３の開始時刻から領域５１４の終了時刻までの時間がアドレス学習時間として指定される。

【0142】

また、領域５２０に年、月及び日の少なくとも一つが設定される場合、領域５２０に設定された期間における領域５１３の開始時刻から領域５１４の終了時刻までの時間が学習期間として指定される、例えば、領域５２０に月及び日だけが設定された場合、毎年設定された月日における領域５１３の開始時刻から領域５１４の終了時刻までの時間がアドレス学習時間として指定されるものである。

【0143】

領域５１５は、領域５１３及び領域５１４に入力された有効時間を、パケット転送装置１００の有効時間２１１に反映するためのボタンである。

【0144】

また、領域５１６は、有効時間として、時間を入力するための領域である。領域５１６は、領域５１７及び領域５１８を含む。領域５１７は、現在時刻からの時間を入力するための領域である。

【0145】

領域５１８は、有効時間を開始するためのボタンである。領域５１８が操作された場合、操作された時点から領域５１７に入力された時間、パケット転送装置１００は、アドレスを学習する。

【0146】

領域５１９は、有効時間を削除するためのボタンである。領域５１９がユーザによって操作された場合、アドレス管理部２００は、領域５１１が示すインタフェース１１０に対応して設定された有効時間２１１の値を削除する。有効時間２１１を削除することによって、パケット転送装置１００は、対応するインタフェース１１０を介して受信したパケットからアドレスを学習しない。

【0147】

画面５１０によって、ユーザは、アドレスを学習するための本実施例の有効時間を設定できる。このため、ユーザがネットワークに対する高度な技術を有さなくても、パケット転送装置１００は、必要なアドレスを学習することができる。

【0148】

そして、画面５１０によって、有効時間は任意に設定でき、さらに、有効時間を削除することができる。これによって、アドレスを学習しない期間を設定でき、セキュリティを向上させることができる。

【0149】

なお、画面５１０によって有効時間２１１が設定された際、アドレス管理部２００は、有効時間２１１が新たに設定されたアドレステーブル２０１のアドレス２１２を特定し、特定したアドレス２１２に格納されるアドレスを、アドレス２１２、転送テーブル３０１及びフィルタテーブル３０２から削除してもよい。これは、設定された有効時間２１１内のアドレス学習のみを有効にするためである。なお、アドレス管理部２００は、データ転送部３０３に、転送テーブル３０１及びフィルタテーブル３０２からのアドレスの削除を指示する。

【0150】

画面５３０は、領域５３１〜領域５３６を含む。領域５３１は、アドレステーブル２０１のアドレス２１２、転送テーブル３０１及びフィルタテーブル３０２に格納されたアドレスをすべて削除するためのボタンである。

【0151】

領域５３２は、アドレス２１２、転送テーブル３０１及びフィルタテーブル３０２から削除するアドレスを入力するためのエントリである。領域５３２は、領域５３３〜領域５３６を含む。

【0152】

領域５３３及び領域５３４は、アドレス２１２、転送テーブル３０１及びフィルタテーブル３０２から削除するＩＰアドレス及びＭＡＣアドレスを入力するための領域である。領域５３５は、アドレス２１２、転送テーブル３０１及びフィルタテーブル３０２から削除するアドレスのネットワークセグメントを入力するための領域である。

【0153】

領域５３６は、領域５３３〜領域５３５に入力されたアドレスに従って、アドレステーブル２０１及び転送テーブル３０１からアドレスを削除するためのボタンである。

【0154】

画面５４０は、領域５４１〜領域５４４を含む。領域５４１は、画面５４０によって、許可アドレスを適用するインタフェース１１０を指定するための領域である。

【0155】

領域５４２は、許可アドレス２１３のＩＰアドレスを設定するための領域である。また、領域５４３は、許可アドレス２１３のＭＡＣアドレスを設定するための領域である。領域５４４は、領域５４２及び領域５４３において指定された値を、アドレステーブル２０１の許可アドレス２１３に設定するための領域である。

【0156】

画面５４０を介して許可アドレス２１３を設定することによって、ユーザは、パケット転送装置１００が不要なアドレスを学習することを防ぐことができる。

【0157】

本実施例によれば、ユーザによって設定された有効時間２１１の間、パケット転送装置１００が特定のパケットについてアドレスを学習する。このため、ユーザがネットワークの特別な専門知識を持たなくても、ＩＰネットワークへ接続可能な端末を設定できる。

【0158】

さらに、データ転送部３０３は、送信元として許可されたアドレスを示すフィルタテーブル３０２を有し、フィルタテーブル３０２を用いて、有効時間２１１外に送信されたパケットから不正なパケットを特定することができる。そして、データ転送部３０３は、不正なパケットを転送しない。

【0159】

つまり、フィルタテーブル３０２は、アドレス学習の結果、生成され、転送が許可されるアドレスを示すホワイトリストである。そしてパケット転送装置は、アドレス学習停止中は作成したホワイトリストにより、受信したパケットについてフィルタリングを行い、転送すべきか否かを制御する。これによって、データ転送部３０３は、安全なＩＰネットワークの構築を可能にする装置を提供することができる。

【0160】

なお、本発明は前述の実施例に限定されるものではなく、様々な変形例が含まれる。例えば、前述の実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。

【0161】

また、前述の各構成、機能、処理部、手順等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、前述の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリ、ハードディスク、若しくは、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記録装置、又は、ＩＣカード、ＳＤカード、若しくは、ＤＶＤ等の記録媒体に置くことができる。

【0162】

また、制御線又は情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線又は情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

【符号の説明】

【0163】

１００ パケット転送装置
１１０ インタフェース
２００ アドレス管理部
２０２ 制御部
２０１ アドレステーブル
３００ 転送部
３０１ 転送テーブル
３０２ フィルタテーブル
３０３ データ転送部
４００ 端末
４１０ サーバ

【図1】

【図2】

【図3A】

【図3B】

【図4】

【図5】

【図6A】

【図6B】

【図7】