JP2009033577A

JP2009033577A - Tag-based VLAN security method and relay device

Info

Publication number: JP2009033577A
Application number: JP2007196832A
Authority: JP
Inventors: Yukiaki Abe; 幸哲阿部
Original assignee: Fujitsu Semiconductor Ltd
Current assignee: Fujitsu Semiconductor Ltd
Priority date: 2007-07-30
Filing date: 2007-07-30
Publication date: 2009-02-12

Abstract

【課題】不正な端末による通信を防ぎ、タグベースＶＬＡＮのセキュリティを高めることができるようにしたタグベースＶＬＡＮのセキュリティ方法を提供する。
【解決手段】スイッチ３４ａは、ＰＣ３１ａ〜３３ａから受信したフレーム内のＶＬＡＮタグ情報とＰＣ３１ａ〜３３ａが接続されたポートが持つＶＬＡＮタグ情報とが一致する場合にのみ、ＰＣ３１ａ〜３３ａから受信したフレームに対応する送信フレームを再作成する。スイッチ３４ｂは、ＰＣ３１ｂ〜３３ｂから受信したフレーム内のＶＬＡＮタグ情報とＰＣ３１ｂ〜３３ｂが接続されたポートが持つＶＬＡＮタグ情報とが一致する場合にのみ、ＰＣ３１ｂ〜３３ｂから受信したフレームに対応する送信フレームを再作成する。
【選択図】図１There is provided a tag-based VLAN security method capable of preventing communication by an unauthorized terminal and enhancing tag-based VLAN security.
A switch 34a changes a frame received from a PC 31a to 33a only when the VLAN tag information in the frame received from the PC 31a to 33a matches the VLAN tag information held by the port to which the PC 31a to 33a is connected. Recreate the corresponding transmission frame. The switch 34b transmits the transmission frame corresponding to the frame received from the PCs 31b to 33b only when the VLAN tag information in the frame received from the PCs 31b to 33b matches the VLAN tag information of the port to which the PCs 31b to 33b are connected. Recreate.
[Selection] Figure 1

Description

本発明は、中継装置間の転送フレームにＶＬＡＮ（Virtual Local Area Network）タグ情報を含めるタグベースＶＬＡＮのセキュリティ方法、および、このタグベースＶＬＡＮのセキュリティ方法の実施に使用する中継装置に関する。 The present invention relates to a tag-based VLAN security method in which VLAN (Virtual Local Area Network) tag information is included in a transfer frame between relay devices, and a relay device used to implement the tag-based VLAN security method.

ネットワークグループを論理的に分割する方法として、ＶＬＡＮ技術が知られている。ＶＬＡＮは、例えば、ポートベースＶＬＡＮと、ＭＡＣ（Media Access Control）ベースＶＬＡＮと、タグベースＶＬＡＮとに分類することができる。 VLAN technology is known as a method of logically dividing a network group. VLANs can be classified into, for example, port-based VLANs, MAC (Media Access Control) -based VLANs, and tag-based VLANs.

ポートベースＶＬＡＮは、中継装置のポート毎にＶＬＡＮ番号を割り当ててＶＬＡＮを構築する技術である。ＭＡＣベースＶＬＡＮは、端末のＭＡＣアドレス毎にＶＬＡＮ番号を割り当ててＶＬＡＮを構築する技術である。 The port-based VLAN is a technology for constructing a VLAN by assigning a VLAN number to each port of the relay device. The MAC-based VLAN is a technology for constructing a VLAN by assigning a VLAN number to each MAC address of a terminal.

タグベースＶＬＡＮは、ポートベースＶＬＡＮやＭＡＣベースＶＬＡＮの欠点である中継装置間の回線増大化を防ぐために工夫された技術であり、中継装置間のデータ転送に、ＩＥＥＥ８０２.１Ｑに従ったフレームを使用するものである。 Tag-based VLAN is a technology devised to prevent an increase in the line between relay devices, which is a disadvantage of port-based VLAN and MAC-based VLAN, and uses frames conforming to IEEE802.1Q for data transfer between relay devices. To do.

ＩＥＥＥ８０２.１Ｑに従ったフレームは、ネットワークの基本であるＩＥＥＥ８０２.３に従ったフレームにＶＬＡＮ番号を記述したＶＬＡＮタグ情報を付加したフレームである。 The frame according to IEEE802.1Q is a frame in which VLAN tag information describing a VLAN number is added to a frame according to IEEE802.3, which is the basic of the network.

図７はＩＥＥＥ８０２.３に従ったフレームの構成図である。即ち、ＩＥＥＥ８０２.３に従ったフレームは、「プリアンブル→ 送信先ＭＡＣアドレス→送信元ＭＡＣアドレス→長さ→ＩＰ（Internet Protocol）パケット→ＦＣＳ（Frame Check Sequence）」という構成を持つ。 FIG. 7 is a configuration diagram of a frame according to IEEE 802.3. That is, a frame according to IEEE 802.3 has a configuration of “preamble → destination MAC address → source MAC address → length → IP (Internet Protocol) packet → FCS (Frame Check Sequence)”.

「プリアンブル」部は、フレームの先頭を示す値が入る部分である。「送信先ＭＡＣアドレス」部は、フレームを送信する相手側の機器のＭＡＣアドレス値が入る部分である。「送信元ＭＡＣアドレス」部は、フレームを送信した側の機器のＭＡＣアドレス値が入る部分である。 The “preamble” portion is a portion in which a value indicating the head of the frame is entered. The “destination MAC address” portion is a portion in which the MAC address value of the counterpart device that transmits the frame is entered. The “transmission source MAC address” portion is a portion in which the MAC address value of the device that has transmitted the frame is entered.

「長さ」部は、フレームの長さを示す値が入る部分である。「ＩＰパケット」部は、送信元／送信先ＩＰアドレス、パケット長などのＩＰヘッダおよびデータが入る部分である。「ＦＣＳ」部は、フレームのヘッダ部とデータ部に誤りがないかどうかを検出するためのＣＲＣ（Cyclic Redundancy Check：巡回冗長検査）符号が入る部分である。 The “length” portion is a portion where a value indicating the length of the frame is entered. The “IP packet” portion is a portion in which an IP header and data such as a source / destination IP address and a packet length are entered. The “FCS” part is a part where a CRC (Cyclic Redundancy Check) code for detecting whether or not there is an error in the header part and the data part of the frame.

図８はＩＥＥＥ８０２.１Ｑに従ったフレームの構成図である。即ち、ＩＥＥＥ８０２.１Ｑに従ったフレームは、「プリアンブル→ 送信先ＭＡＣアドレス→送信元ＭＡＣアドレス→ＶＬＡＮタグ情報→長さ→ＩＰパケット→ＦＣＳ」という構成を持つ。 FIG. 8 is a configuration diagram of a frame according to IEEE802.1Q. That is, the frame according to IEEE802.1Q has a configuration of “preamble → destination MAC address → source MAC address → VLAN tag information → length → IP packet → FCS”.

「ＶＬＡＮタグ情報」部は、ＶＬＡＮ番号を記述したＶＬＡＮタグ情報が入る部分である。ＶＬＡＮタグ情報は４バイトとされているが、１２ビットがＶＬＡＮ番号として使用される。したがって、最大で４０９６個のＶＬＡＮを識別することができることになる。なお、「ＶＬＡＮタグ情報」部が挿入されるので、「ＦＣＳ」部には再計算された値が入ることになる。 The “VLAN tag information” portion is a portion in which VLAN tag information describing a VLAN number is entered. The VLAN tag information is 4 bytes, but 12 bits are used as the VLAN number. Therefore, a maximum of 4096 VLANs can be identified. Since the “VLAN tag information” part is inserted, a recalculated value is entered in the “FCS” part.

図９はポートベースＶＬＡＮの構成例を示す図である。図９中、１ａ〜３ａ、１ｂ〜３ｂは端末であるパーソナルコンピュータ（以下、ＰＣという）、４ａ、４ｂは中継装置であるスイッチ、５ａ〜１０ａはスイッチ４ａのポート、５ｂ〜１０ｂはスイッチ４ｂのポート、１１ａ〜１３ａ、１１ｂ〜１３ｂ、１４〜１６はＬＡＮケーブルである。 FIG. 9 is a diagram illustrating a configuration example of a port-based VLAN. In FIG. 9, 1a to 3a, 1b to 3b are personal computers (hereinafter referred to as PCs) which are terminals, 4a and 4b are switches which are relay devices, 5a to 10a are ports of the switch 4a, and 5b to 10b are switches of the switch 4b. Ports 11a to 13a, 11b to 13b, and 14 to 16 are LAN cables.

この構成例では、ＰＣ１ａは、ＬＡＮケーブル１１ａでスイッチ４ａのポート５ａに接続されている。ＰＣ２ａは、ＬＡＮケーブル１２ａでスイッチ４ａのポート６ａに接続されている。ＰＣ３ａは、ＬＡＮケーブル１３ａでスイッチ４ａのポート７ａに接続されている。 In this configuration example, the PC 1a is connected to the port 5a of the switch 4a by a LAN cable 11a. The PC 2a is connected to the port 6a of the switch 4a with a LAN cable 12a. The PC 3a is connected to the port 7a of the switch 4a by a LAN cable 13a.

また、ＰＣ１ｂは、ＬＡＮケーブル１１ｂでスイッチ４ｂのポート５ｂに接続されている。ＰＣ２ｂは、ＬＡＮケーブル１２ｂでスイッチ４ｂのポート６ｂに接続されている。ＰＣ３ｂは、ＬＡＮケーブル１３ｂでスイッチ４ｂのポート７ｂに接続されている。 The PC 1b is connected to the port 5b of the switch 4b with a LAN cable 11b. The PC 2b is connected to the port 6b of the switch 4b with a LAN cable 12b. The PC 3b is connected to the port 7b of the switch 4b with a LAN cable 13b.

また、スイッチ４ａのポート８ａとスイッチ４ｂのポート８ｂはＬＡＮケーブル１４で接続されている。スイッチ４ａのポート９ａとスイッチ４ｂのポート９ｂはＬＡＮケーブル１５で接続されている。スイッチ４ａのポート１０ａとスイッチ４ｂのポート１０ｂはＬＡＮケーブル１６で接続されている。 The port 8a of the switch 4a and the port 8b of the switch 4b are connected by a LAN cable 14. The port 9a of the switch 4a and the port 9b of the switch 4b are connected by a LAN cable 15. The port 10a of the switch 4a and the port 10b of the switch 4b are connected by a LAN cable 16.

ここで、たとえば、スイッチ４ａのポート５ａ、８ａおよびスイッチ４ｂのポート５ｂ、８ｂにＶＬＡＮ１を指定するＶＬＡＮ番号を割り当て、スイッチ４ａのポート６ａ、９ａおよびスイッチ４ｂのポート６ｂ、９ｂにＶＬＡＮ２を指定するＶＬＡＮ番号を割り当て、スイッチ４ａのポート７ａ、１０ａおよびスイッチ４ｂのポート７ｂ、１０ｂにＶＬＡＮ３を指定するＶＬＡＮ番号を割り当てるとする。 Here, for example, a VLAN number designating VLAN1 is assigned to ports 5a and 8a of switch 4a and ports 5b and 8b of switch 4b, and VLAN2 is designated to ports 6a and 9a of switch 4a and ports 6b and 9b of switch 4b. Assume that a VLAN number is assigned and a VLAN number designating VLAN 3 is assigned to the ports 7a and 10a of the switch 4a and the ports 7b and 10b of the switch 4b.

このようにすると、ＰＣ１ａ、１ｂは、ＶＬＡＮ１に属し、ＰＣ１ａ、１ｂ間でのみ通信が可能となる。また、ＰＣ２ａ、２ｂは、ＶＬＡＮ２に属し、ＰＣ２ａ、２ｂ間でのみ通信が可能となる。また、ＰＣ３ａ、３ｂは、ＶＬＡＮ３に属し、ＰＣ３ａ、３ｂ間でのみ通信が可能となる。 In this way, the PCs 1a and 1b belong to the VLAN 1 and can communicate only between the PCs 1a and 1b. The PCs 2a and 2b belong to the VLAN 2 and can communicate only between the PCs 2a and 2b. Further, the PCs 3a and 3b belong to the VLAN 3 and can communicate only between the PCs 3a and 3b.

この場合、ＰＣ１ａ〜３ａとスイッチ４ａとの間、ＰＣ１ｂ〜３ｂとスイッチ４ｂとの間およびスイッチ４ａとスイッチ４ｂとの間の転送フレームの構成は、図７に示す構成に従うことになる。このように、ポートベースＶＬＡＮにおいては、ＰＣとスイッチとの間およびスイッチとスイッチとの間の転送フレームの構成は、図７に示す構成に従うことになる。 In this case, the configuration of the transfer frame between the PCs 1a to 3a and the switch 4a, between the PCs 1b to 3b and the switch 4b, and between the switch 4a and the switch 4b follows the configuration shown in FIG. Thus, in the port-based VLAN, the configuration of the transfer frame between the PC and the switch and between the switch and the switch follows the configuration shown in FIG.

また、図９に示すポートベースＶＬＡＮの構成例では、スイッチ４ａとスイッチ４ｂとの間には、３本のＬＡＮケーブル１４〜１６が必要となる。このように、ポートベースＶＬＡＮにおいては、スイッチ間には、ＶＬＡＮ数と同数の回線が必要になる。 Further, in the configuration example of the port-based VLAN shown in FIG. 9, three LAN cables 14 to 16 are required between the switch 4a and the switch 4b. Thus, in the port-based VLAN, as many lines as the number of VLANs are required between the switches.

図１０はタグベースＶＬＡＮの構成例を示す図である。この構成例では、ＰＣ１ａ〜３ａとスイッチ４ａとの間およびＰＣ１ｂ〜３ｂとスイッチ４ｂとの間の転送フレームは、図７に示す構成に従い、スイッチ４ａとスイッチ４ｂとの間の転送フレームは、図８に示す構成に従うことになる。また、この構成例では、スイッチ４ａとスイッチ４ｂとの間は、１本のＬＡＮケーブル１４で足りる。 FIG. 10 is a diagram illustrating a configuration example of a tag-based VLAN. In this configuration example, transfer frames between the PCs 1a to 3a and the switch 4a and between the PCs 1b to 3b and the switch 4b follow the configuration shown in FIG. 7, and the transfer frames between the switch 4a and the switch 4b are illustrated in FIG. The configuration shown in FIG. Further, in this configuration example, a single LAN cable 14 is sufficient between the switch 4a and the switch 4b.

このように、タグベースＶＬＡＮにおいては、ＰＣとスイッチとの間の転送フレームは、図７に示す構成に従い、スイッチとスイッチとの間の転送フレームは、図８に示す構成に従うことになる。また、スイッチ間は、１本の回線で足りる。 Thus, in the tag-based VLAN, the transfer frame between the PC and the switch follows the configuration shown in FIG. 7, and the transfer frame between the switch and the switch follows the configuration shown in FIG. A single line is sufficient between the switches.

図１１はスイッチ４ａの概略的構成図であり、スイッチ４ｂも同様に構成される。図１１中、１８はフレームの送受信および信号処理を行うネットワークＬＳＩ、１９はメモリ、２０ａ〜２３ａはＰＨＹ（物理層）デバイスである。 FIG. 11 is a schematic configuration diagram of the switch 4a, and the switch 4b is configured similarly. In FIG. 11, 18 is a network LSI that performs frame transmission / reception and signal processing, 19 is a memory, and 20a to 23a are PHY (physical layer) devices.

図１２はスイッチ４ａが実行するフレーム処理を説明するための図である。図１２中、２４はスイッチ４ａがＰＣ１ａ〜ＰＣ３ａのいずれかのＰＣから受信した受信フレームであり、スイッチ４ａでは、ＰＣ１ａ〜ＰＣ３ａのいずれかのＰＣからフレーム２４を受信すると、受信フレーム２４からＩＰパケットのみを抽出し、再度、送信フレーム２５を組み立てる。 FIG. 12 is a diagram for explaining frame processing executed by the switch 4a. In FIG. 12, reference numeral 24 denotes a reception frame received by the switch 4a from any one of the PCs 1a to 3a. When the switch 4a receives the frame 24 from any one of the PCs 1a to 3a, an IP packet is received from the reception frame 24. Only, and the transmission frame 25 is assembled again.

この場合、スイッチ４ａは、ポートが持っている情報（送信先ＭＡＣアドレス、送信元ＭＡＣアドレスおよびＶＬＡＮタグ情報）２６を使用し、更に、プリアンブルの追加および長さとＦＣＳの計算を行い、送信フレーム２５を組み立てることになる。
特開平１１−１２７１６７号公報特開平１１−７４９２３号公報特開２０００−１９６６４７号公報 In this case, the switch 4a uses the information (transmission destination MAC address, transmission source MAC address, and VLAN tag information) 26 that the port has, further adds a preamble and calculates the length and FCS, and transmits the transmission frame 25. Will be assembled.
JP 11-127167 A JP 11-74923 A JP 2000-196647 A

図１３および図１４は図１０に示すタグベースＶＬＡＮが有する問題点を説明するための図であり、図１３は図１０に示すタグベースＶＬＡＮの構成例にＶＬＡＮ１メンバであるＰＣ１ａ、ＰＣ１ｂだけアクセスすることができるＶＬＡＮ１共有サーバ２８を接続した場合を示している。 FIGS. 13 and 14 are diagrams for explaining the problems of the tag-based VLAN shown in FIG. 10. FIG. 13 accesses the configuration example of the tag-based VLAN shown in FIG. 10 only to PC1a and PC1b which are VLAN1 members. This shows a case where a VLAN1 shared server 28 capable of being connected is connected.

図１４は図１３に示すＰＣ１ａを不正なＰＣ２９に差し替えた場合を示している。この場合、不正なＰＣ２９は、ＶＬＡＮ１に属することになり、ＰＣ１ｂとの通信およびＶＬＡＮ１共有サーバ２８への侵入が可能になる。 FIG. 14 shows a case where the PC 1a shown in FIG. In this case, the unauthorized PC 29 belongs to the VLAN 1 and can communicate with the PC 1 b and enter the VLAN 1 shared server 28.

ここで、ＶＬＡＮ１共有サーバ２８へのアクセスに対して、パスワードなどのアクセス制限を施していても、パスワードなどが見破られない限り、アクセスは拒否されず、誰でも簡単にＶＬＡＮ１共有サーバ２８に侵入することができる。このため、この環境では十分なセキュリティがあるとは言えない。 Here, even if the access to the VLAN 1 shared server 28 is restricted such as a password, the access is not denied unless the password or the like is seen, and anyone can easily enter the VLAN 1 shared server 28. be able to. For this reason, it cannot be said that there is sufficient security in this environment.

たとえば、メンバの再編成などで、ＶＬＡＮ１メンバがＶＬＡＮ２に異動した場合に、ＶＬＡＮ１共有サーバ２８のパスワードを変えない限り、元のＶＬＡＮ１メンバは、ＶＬＡＮ１のポートにＰＣを接続するだけで、容易にＶＬＡＮ１メンバとなることができ、ＶＬＡＮ１共有サーバ２８に侵入することが可能となる。そのため、入り口であるＶＬＡＮのポートに他のＶＬＡＮメンバが接続した場合、通信ができないようにする工夫が必要である。 For example, when the VLAN1 member is moved to VLAN2 due to reorganization of the member or the like, the original VLAN1 member can easily connect the VLAN1 port to the VLAN1 port by simply connecting a PC to the VLAN1 unless the password of the VLAN1 shared server 28 is changed. It becomes possible to become a member and intrude into the VLAN 1 shared server 28. Therefore, when another VLAN member is connected to the VLAN port which is the entrance, it is necessary to devise so that communication is not possible.

本発明は、かかる点に鑑み、不正な端末による通信を防ぐことができ、タグベースＶＬＡＮのセキュリティを高めることができるようにしたタグベースＶＬＡＮのセキュリティ方法、および、このタグベースＶＬＡＮのセキュリティ方法の実施に使用することができる中継装置を提供することを目的とする。 In view of the above, the present invention provides a tag-based VLAN security method and a tag-based VLAN security method capable of preventing communication by an unauthorized terminal and enhancing tag-based VLAN security. It is an object to provide a relay device that can be used for implementation.

本発明のタグベースＶＬＡＮのセキュリティ方法は、中継装置に接続された端末の送信フレームにネットワーク管理者が前記端末に設定したＶＬＡＮタグ情報を含め、前記中継装置は、前記端末から受信したフレーム内のＶＬＡＮタグ情報と前記端末が接続されたポートが持つＶＬＡＮタグ情報とが一致する場合にのみ、前記端末から受信したフレームに対応する送信フレームを再作成するというものである。 The tag-based VLAN security method of the present invention includes VLAN tag information set in the terminal by a network administrator in a transmission frame of a terminal connected to the relay apparatus, and the relay apparatus includes a frame in a frame received from the terminal. Only when the VLAN tag information matches the VLAN tag information of the port to which the terminal is connected, a transmission frame corresponding to the frame received from the terminal is recreated.

本発明の中継装置は、端末から受信したフレーム内のＶＬＡＮタグ情報と前記端末が接続されたポートが持つＶＬＡＮタグ情報とを比較する比較手段と、前記端末から受信したフレーム内のＶＬＡＮタグ情報と前記端末が接続されたポートが持つＶＬＡＮタグ情報とが一致したことを前記比較手段が検出した場合にのみ、前記端末から受信したフレームに対応する送信フレームを再作成する送信フレーム作成手段とを有するものである。 The relay apparatus according to the present invention includes a comparison unit that compares VLAN tag information in a frame received from a terminal with VLAN tag information held by a port to which the terminal is connected, and VLAN tag information in a frame received from the terminal. A transmission frame creation means for recreating a transmission frame corresponding to a frame received from the terminal only when the comparison means detects that the VLAN tag information of the port to which the terminal is connected matches. Is.

本発明のタグベースＶＬＡＮのセキュリティ方法によれば、中継装置は、端末から受信したフレーム内のＶＬＡＮタグ情報と前記端末が接続されたポートが持つＶＬＡＮタグ情報とが一致する場合にのみ、前記端末から受信したフレームに対応する送信フレームを再作成する。換言すれば、中継装置は、端末から受信したフレーム内のＶＬＡＮタグ情報と前記端末が接続されたポートが持つＶＬＡＮタグ情報とが一致しない場合には、前記端末から受信したフレームに対応する送信フレームを再作成しない。 According to the tag-based VLAN security method of the present invention, the relaying apparatus can be used only when the VLAN tag information in the frame received from the terminal matches the VLAN tag information of the port to which the terminal is connected. The transmission frame corresponding to the frame received from is recreated. In other words, if the VLAN tag information in the frame received from the terminal does not match the VLAN tag information held by the port to which the terminal is connected, the relay device transmits a transmission frame corresponding to the frame received from the terminal. Do not recreate.

即ち、接続先ポートが持つＶＬＡＮタグ情報の設定がネットワーク管理者により行われていない端末を中継装置に接続しても通信を行うことができない。したがって、不正な端末による通信を防ぐことができ、タグベースＶＬＡＮのセキュリティを高めることができる。なお、中継装置として、本発明の中継装置を使用することができる。 In other words, communication cannot be performed even if a terminal whose VLAN tag information of the connection destination port is not set by the network administrator is connected to the relay device. Therefore, communication by an unauthorized terminal can be prevented and the security of the tag-based VLAN can be improved. In addition, the relay apparatus of this invention can be used as a relay apparatus.

図１は本発明のタグベースＶＬＡＮのセキュリティ方法の一実施形態が実施されるタグベースＶＬＡＮの構成例を示す図である。図１中、３１ａ〜３３ａ、３１ｂ〜３３ｂはＰＣ、３４ａ、３４ｂは本発明の中継装置の一実施形態であるスイッチ、３５ａ〜３８ａはスイッチ３４ａのポート、３５ｂ〜３８ｂはスイッチ３４ｂのポート、４１ａ〜４３ａ、４１ｂ〜４３ｂ、４４はＬＡＮケーブルである。 FIG. 1 is a diagram showing a configuration example of a tag-based VLAN in which an embodiment of the tag-based VLAN security method of the present invention is implemented. In FIG. 1, 31a to 33a and 31b to 33b are PCs, 34a and 34b are switches according to an embodiment of the relay apparatus of the present invention, 35a to 38a are ports of the switch 34a, 35b to 38b are ports of the switch 34b, 41a ˜43a, 41b˜43b, 44 are LAN cables.

この構成例では、ＰＣ３１ａは、ＬＡＮケーブル４１ａでスイッチ３４ａのポート３５ａに接続されている。ＰＣ３２ａは、ＬＡＮケーブル４２ａでスイッチ３４ａのポート３６ａに接続されている。ＰＣ３３ａは、ＬＡＮケーブル４３ａでスイッチ３４ａのポート３７ａに接続されている。 In this configuration example, the PC 31a is connected to the port 35a of the switch 34a by a LAN cable 41a. The PC 32a is connected to the port 36a of the switch 34a by a LAN cable 42a. The PC 33a is connected to the port 37a of the switch 34a by a LAN cable 43a.

また、ＰＣ３１ｂは、ＬＡＮケーブル４１ｂでスイッチ３４ｂのポート３５ｂに接続されている。ＰＣ３２ｂは、ＬＡＮケーブル４２ｂでスイッチ３４ｂのポート３６ｂに接続されている。ＰＣ３３ｂは、ＬＡＮケーブル４３ｂでスイッチ３４ｂのポート３７ｂに接続されている。スイッチ３４ａのポート３８ａとスイッチ３４ｂのポート３８ｂとはＬＡＮケーブル４４で接続されている。 The PC 31b is connected to the port 35b of the switch 34b by a LAN cable 41b. The PC 32b is connected to the port 36b of the switch 34b by a LAN cable 42b. The PC 33b is connected to the port 37b of the switch 34b by a LAN cable 43b. The port 38a of the switch 34a and the port 38b of the switch 34b are connected by a LAN cable 44.

本発明のタグベースＶＬＡＮのセキュリティ方法の一実施形態においては、スイッチ３４ａとスイッチ３４ｂとの間のみならず、ＰＣ３１ａ〜３３ａとスイッチ３４ａとの間およびＰＣ３１ｂ〜３３ｂとスイッチ３４ｂとの間の転送フレームは、ＩＥＥＥ８０２.１Ｑに従った構成とされる。 In one embodiment of the tag-based VLAN security method of the present invention, transfer frames not only between the switch 34a and the switch 34b but also between the PCs 31a to 33a and the switch 34a and between the PCs 31b to 33b and the switch 34b. Is configured in accordance with IEEE802.1Q.

そこで、ＰＣ３１ａ〜３３ａ、３１ｂ〜３３ｂ内のＬＡＮカードにはＶＬＡＮタグ情報がネットワーク管理者により設定される。このネットワーク管理者によるＰＣ３１ａ〜３３ａ、３１ｂ〜３３ｂ内のＬＡＮカードへのＶＬＡＮタグ情報の設定は、ＬＡＮカード内の書き換え可能な不揮発性メモリ、たとえば、フラッシュメモリにＶＬＡＮタグ情報を書き込むことにより行われる。 Therefore, VLAN tag information is set by the network administrator in the LAN cards in the PCs 31a to 33a and 31b to 33b. Setting of the VLAN tag information on the LAN cards in the PCs 31a to 33a and 31b to 33b by the network administrator is performed by writing the VLAN tag information in a rewritable nonvolatile memory such as a flash memory in the LAN card. .

図２はＰＣ３１ａ〜３３ａ、３１ｂ〜３３ｂ内のＬＡＮカードを示す図である。図２中、５１ａはＰＣ３１a内のＬＡＮカードであり、６１ａはＣＰＵ（central processing unit）、７１ａはＣＰＵ６１ａによりアクセスされるフラッシュメモリである。５２ａはＰＣ３２ａ内のＬＡＮカードであり、６２ａはＣＰＵ、７２ａはＣＰＵ６２ａによりアクセスされるフラッシュメモリである。５３ａはＰＣ３３ａ内のＬＡＮカードであり、６３ａはＣＰＵ、７３ａはＣＰＵ６３ａによりアクセスされるフラッシュメモリである。 FIG. 2 is a diagram showing LAN cards in the PCs 31a to 33a and 31b to 33b. In FIG. 2, 51a is a LAN card in the PC 31a, 61a is a CPU (central processing unit), and 71a is a flash memory accessed by the CPU 61a. 52a is a LAN card in the PC 32a, 62a is a CPU, and 72a is a flash memory accessed by the CPU 62a. 53a is a LAN card in the PC 33a, 63a is a CPU, and 73a is a flash memory accessed by the CPU 63a.

また、５１ｂはＰＣ３１ｂ内のＬＡＮカードであり、６１ｂはＣＰＵ、７１ｂはＣＰＵ６１ｂによりアクセスされるフラッシュメモリである。５２ｂはＰＣ３２ｂ内のＬＡＮカードであり、６２ｂはＣＰＵ、７２ｂはＣＰＵ６２ｂによりアクセスされるフラッシュメモリである。５３ｂはＰＣ３３ｂ内のＬＡＮカードであり、６３ｂはＣＰＵ、７３ｂはＣＰＵ６３ｂによりアクセスされるフラッシュメモリである。 Reference numeral 51b denotes a LAN card in the PC 31b, 61b denotes a CPU, and 71b denotes a flash memory accessed by the CPU 61b. 52b is a LAN card in the PC 32b, 62b is a CPU, and 72b is a flash memory accessed by the CPU 62b. 53b is a LAN card in the PC 33b, 63b is a CPU, and 73b is a flash memory accessed by the CPU 63b.

本例では、ＰＣ３１ａ、３１ｂはＶＬＡＮ１に属させ、ＰＣ３２ａ、３２ｂはＶＬＡＮ２に属させ、ＰＣ３３ａ、３３ｂはＶＬＡＮ３に属させるものとする。このようにさせる場合には、ＬＡＮカード５１ａ内のフラッシュメモリ７１ａおよびＬＡＮカード５１ｂ内のフラッシュメモリ７１ｂには、ネットワーク管理者により、ネットワーク管理者のコンピュータとＰＣ３１ａ、３１ｂとの間の通信回線を介してＶＬＡＮ１を指定するＶＬＡＮ番号が記述されたＶＬＡＮタグ情報が書き込まれる。 In this example, the PCs 31a and 31b belong to the VLAN 1, the PCs 32a and 32b belong to the VLAN 2, and the PCs 33a and 33b belong to the VLAN 3. In this case, the flash memory 71a in the LAN card 51a and the flash memory 71b in the LAN card 51b are connected to the flash memory 71b in the LAN card 51b via a communication line between the network administrator's computer and the PCs 31a and 31b. VLAN tag information describing the VLAN number designating VLAN1 is written.

また、ＬＡＮカード５２ａ内のフラッシュメモリ７２ａおよびＬＡＮカード５２ｂ内のフラッシュメモリ７２ｂには、ネットワーク管理者により、ネットワーク管理者のコンピュータとＰＣ３２ａ、３２ｂとの間の通信回線を介してＶＬＡＮ２を指定するＶＬＡＮ番号が記述されたＶＬＡＮタグ情報が書き込まれる。 The flash memory 72a in the LAN card 52a and the flash memory 72b in the LAN card 52b are VLANs in which the network administrator designates VLAN 2 via a communication line between the network administrator's computer and the PCs 32a and 32b. VLAN tag information in which a number is described is written.

また、ＬＡＮカード５３ａ内のフラッシュメモリ７３ａおよびＬＡＮカード５３ｂ内のフラッシュメモリ７３ｂには、ネットワーク管理者により、ネットワーク管理者のコンピュータとＰＣ３３ａ、３３ｂとの間の通信回線を介してＶＬＡＮ３を指定するＶＬＡＮ番号が記述されたＶＬＡＮタグ情報が書き込まれる。 Further, the flash memory 73a in the LAN card 53a and the flash memory 73b in the LAN card 53b are VLANs in which the network administrator designates VLAN 3 via a communication line between the network administrator's computer and the PCs 33a and 33b. VLAN tag information in which a number is described is written.

このように、本実施形態では、ＬＡＮカード５１ａ〜５３ａ、５１ｂ〜５３ｂへのＶＬＡＮタグ情報の設定は、ネットワーク管理者により、ネットワーク管理者のコンピュータとＰＣ３１ａ〜３３ａ、３１ｂ〜３３ｂとの間の通信回線を介して行われるので、ユーザがＬＡＮカード５１ａ〜５３ａ、５１ｂ〜５３ｂ内のフラッシュメモリ７１ａ〜７３ａ、７１ｂ〜７３ｂにＶＬＡＮタグ情報を書き込むことはできない。 Thus, in this embodiment, the setting of VLAN tag information on the LAN cards 51a to 53a and 51b to 53b is performed by the network administrator between the network administrator's computer and the PCs 31a to 33a and 31b to 33b. Since it is performed via a line, the user cannot write VLAN tag information in the flash memories 71a to 73a and 71b to 73b in the LAN cards 51a to 53a and 51b to 53b.

図３はＰＣ３１ａ〜３３ａ、３１ｂ〜３３ｂの送信フレーム例を示す図であり（Ａ）はＰＣ３１ａ、３１ｂの送信フレーム例、（Ｂ）はＰＣ３２ａ、３２ｂの送信フレーム例、（Ｃ）はＰＣ３３ａ、３３ｂの送信フレーム例を示している。 3A and 3B are diagrams showing transmission frame examples of the PCs 31a to 33a and 31b to 33b. FIG. 3A is a transmission frame example of the PCs 31a and 31b, FIG. 3B is a transmission frame example of the PCs 32a and 32b, and FIG. An example of a transmission frame is shown.

本例では、ＰＣ３１ａ、３１ｂは、ＶＬＡＮ１に属しているので、図３（Ａ）に示すように、ＶＬＡＮ１を指定するＶＬＡＮ番号が記述されたＶＬＡＮタグ情報を挿入してなるＩＥＥＥ８０２.１Ｑに従ったフレームを送信する。ＰＣ３１ａの送信フレームへのＶＬＡＮタグ情報の挿入は、ＬＡＮカード５１ａ内のＣＰＵ６１ａにより行われ、ＰＣ３１ｂの送信フレームへのＶＬＡＮタグ情報の挿入は、ＬＡＮカード５１ｂ内のＣＰＵ５１ｂにより行われる。 In this example, since the PCs 31a and 31b belong to the VLAN 1, as shown in FIG. 3A, conforming to IEEE802.1Q in which the VLAN tag information in which the VLAN number designating the VLAN 1 is described is inserted. Send a frame. The insertion of the VLAN tag information into the transmission frame of the PC 31a is performed by the CPU 61a in the LAN card 51a, and the insertion of the VLAN tag information into the transmission frame of the PC 31b is performed by the CPU 51b in the LAN card 51b.

また、ＰＣ３２ａ、３２ｂは、ＶＬＡＮ２に属しているので、図３（Ｂ）に示すように、ＶＬＡＮ２を指定するＶＬＡＮ番号が記述されたＶＬＡＮタグ情報を挿入してなるＩＥＥＥ８０２.１Ｑに従ったフレームを送信する。ＰＣ３２ａの送信フレームへのＶＬＡＮタグ情報の挿入は、ＬＡＮカード５２ａ内のＣＰＵ６２ａにより行われ、ＰＣ３２ｂの送信フレームへのＶＬＡＮタグ情報の挿入は、ＬＡＮカード５２ｂ内のＣＰＵ６２ｂにより行われる。 Since the PCs 32a and 32b belong to the VLAN 2, as shown in FIG. 3B, a frame conforming to IEEE802.1Q in which the VLAN tag information in which the VLAN number designating the VLAN 2 is described is inserted. Send. The insertion of the VLAN tag information into the transmission frame of the PC 32a is performed by the CPU 62a in the LAN card 52a, and the insertion of the VLAN tag information into the transmission frame of the PC 32b is performed by the CPU 62b in the LAN card 52b.

また、ＰＣ３３ａ、３３ｂは、ＶＬＡＮ３に属しているので、図３（Ｃ）に示すように、ＶＬＡＮ３を指定するＶＬＡＮ番号が記述されたＶＬＡＮタグ情報を挿入してなるＩＥＥＥ８０２.１Ｑに従ったフレームを送信する。ＰＣ３３ａの送信フレームへのＶＬＡＮタグ情報の挿入は、ＬＡＮカード５３ａ内のＣＰＵ６３ａにより行われ、ＰＣ３３ｂの送信フレームへのＶＬＡＮタグ情報の挿入は、ＬＡＮカード５３ｂ内のＣＰＵ６３ｂにより行われる。 Further, since the PCs 33a and 33b belong to the VLAN 3, as shown in FIG. 3C, a frame conforming to IEEE802.1Q formed by inserting VLAN tag information in which the VLAN number designating the VLAN 3 is described. Send. The insertion of the VLAN tag information into the transmission frame of the PC 33a is performed by the CPU 63a in the LAN card 53a, and the insertion of the VLAN tag information into the transmission frame of the PC 33b is performed by the CPU 63b in the LAN card 53b.

図４はスイッチ３４ａの概略的構成図であり、スイッチ３４ｂも同様に構成される。図４中、８０はフレームの送受信および信号処理を行うネットワークＬＳＩ、８１はネットワークＬＳＩ８０内のＣＰＵ、８２はＳＤＲＡＭ（synchronous dynamic random access memory）、８３はフラッシュメモリ、８４は比較器、８５ａ〜８８ａはＰＨＹ（物理層）デバイスである。 FIG. 4 is a schematic configuration diagram of the switch 34a, and the switch 34b is configured similarly. In FIG. 4, reference numeral 80 denotes a network LSI that performs frame transmission / reception and signal processing, 81 denotes a CPU in the network LSI 80, 82 denotes an SDRAM (synchronous dynamic random access memory), 83 denotes a flash memory, 84 denotes a comparator, and 85a to 88a denote It is a PHY (physical layer) device.

本例では、ＰＣ３１ａはＶＬＡＮ１に属し、ＰＣ３２ａはＶＬＡＮ２に属し、ＰＣ３３ａはＶＬＡＮ３に属するとされているので、ネットワーク管理者により、フラッシュメモリ８３には、ポート３５ａが持つＶＬＡＮ番号としてＶＬＡＮ１を指定するＶＬＡＮ番号が書き込まれ、ポート３６ａが持つＶＬＡＮ番号としてＶＬＡＮ２を指定するＶＬＡＮ番号が書き込まれ、ポート３７ａが持つＶＬＡＮ番号としてＶＬＡＮ３を指定するＶＬＡＮ番号が書き込まれる。 In this example, the PC 31a belongs to VLAN 1, the PC 32a belongs to VLAN 2, and the PC 33a belongs to VLAN 3. Therefore, the network administrator designates VLAN 1 as the VLAN number of the port 35a in the flash memory 83 by the network administrator. The number is written, the VLAN number specifying VLAN2 is written as the VLAN number of the port 36a, and the VLAN number specifying VLAN3 is written as the VLAN number of the port 37a.

また、スイッチ３４ａと同様に構成されるスイッチ３４ｂ内のフラッシュメモリには、ネットワーク管理者により、ポート３５ｂが持つＶＬＡＮ番号としてＶＬＡＮ１を指定するＶＬＡＮ番号が書き込まれ、ポート３６ｂが持つＶＬＡＮ番号としてＶＬＡＮ２を指定するＶＬＡＮ番号が書き込まれ、ポート３７ｂが持つＶＬＡＮ番号としてＶＬＡＮ３を指定するＶＬＡＮ番号が書き込まれる。 In the flash memory in the switch 34b configured similarly to the switch 34a, a VLAN number designating VLAN1 is written as the VLAN number of the port 35b by the network administrator, and VLAN2 is set as the VLAN number of the port 36b. The designated VLAN number is written, and the VLAN number that designates VLAN 3 is written as the VLAN number of the port 37b.

ここで、スイッチ３４ａは、ポート３５ａに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３５ａが持っているＶＬＡＮタグ情報とを比較し、これらが一致した場合にのみ、ポート３５ａに接続されたＰＣから受信したフレームに対応する送信フレームを再作成してスイッチ３４ｂに送信する。なお、スイッチ３４ａは、ポート３５ａに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３５ａが持っているＶＬＡＮタグ情報とが一致しない場合には、受信したフレームを破棄する。 Here, the switch 34a compares the VLAN tag information in the frame received from the PC connected to the port 35a with the VLAN tag information held by the port 35a, and connects to the port 35a only when they match. A transmission frame corresponding to the frame received from the received PC is recreated and transmitted to the switch 34b. The switch 34a discards the received frame when the VLAN tag information in the frame received from the PC connected to the port 35a does not match the VLAN tag information held by the port 35a.

また、スイッチ３４ａは、ポート３６ａに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３６ａが持っているＶＬＡＮタグ情報とを比較し、これらが一致した場合にのみ、ポート３６ａに接続されたＰＣから受信したフレームに対応する送信フレームを再作成してスイッチ３４ｂに送信する。なお、スイッチ３４ａは、ポート３６ａに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３６ａが持っているＶＬＡＮタグ情報とが一致しない場合には、受信したフレームを破棄する。 The switch 34a compares the VLAN tag information in the frame received from the PC connected to the port 36a with the VLAN tag information held by the port 36a, and is connected to the port 36a only when they match. The transmission frame corresponding to the frame received from the PC is recreated and transmitted to the switch 34b. The switch 34a discards the received frame when the VLAN tag information in the frame received from the PC connected to the port 36a does not match the VLAN tag information held by the port 36a.

また、スイッチ３４ａは、ポート３７ａに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３７ａが持っているＶＬＡＮタグ情報とを比較し、これらが一致した場合にのみ、ポート３７ａに接続されたＰＣから受信したフレームに対応する送信フレームを再作成してスイッチ３４ｂに送信する。なお、スイッチ３４ａは、ポート３５ａに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３７ａが持っているＶＬＡＮタグ情報とが一致しない場合には、受信したフレームを破棄する。 The switch 34a compares the VLAN tag information in the frame received from the PC connected to the port 37a with the VLAN tag information held by the port 37a, and is connected to the port 37a only when they match. The transmission frame corresponding to the frame received from the PC is recreated and transmitted to the switch 34b. Note that the switch 34a discards the received frame when the VLAN tag information in the frame received from the PC connected to the port 35a does not match the VLAN tag information held by the port 37a.

また、スイッチ３４ｂは、ポート３５ｂに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３５ｂが持っているＶＬＡＮタグ情報とを比較し、これらが一致した場合にのみ、ポート３５ｂに接続されたＰＣから受信したフレームに対応する送信フレームを再作成してスイッチ３４ａに送信する。なお、スイッチ３４ｂは、ポート３５ｂに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３５ｂが持っているＶＬＡＮタグ情報とが一致しない場合には、受信したフレームを破棄する。 The switch 34b compares the VLAN tag information in the frame received from the PC connected to the port 35b with the VLAN tag information held by the port 35b, and is connected to the port 35b only when they match. The transmission frame corresponding to the frame received from the PC is recreated and transmitted to the switch 34a. The switch 34b discards the received frame when the VLAN tag information in the frame received from the PC connected to the port 35b does not match the VLAN tag information held by the port 35b.

また、スイッチ３４ｂは、ポート３６ｂに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３６ｂが持っているＶＬＡＮタグ情報とを比較し、これらが一致した場合にのみ、ポート３６ｂに接続されたＰＣから受信したフレームに対応する送信フレームを再作成してスイッチ３４ａに送信する。なお、スイッチ３４ｂは、ポート３６ｂに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３６ｂが持っているＶＬＡＮタグ情報とが一致しない場合には、受信したフレームを破棄する。 The switch 34b compares the VLAN tag information in the frame received from the PC connected to the port 36b with the VLAN tag information held by the port 36b, and is connected to the port 36b only when they match. The transmission frame corresponding to the frame received from the PC is recreated and transmitted to the switch 34a. Note that the switch 34b discards the received frame when the VLAN tag information in the frame received from the PC connected to the port 36b does not match the VLAN tag information held by the port 36b.

また、スイッチ３４ｂは、ポート３７ｂに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３７ｂが持っているＶＬＡＮタグ情報とを比較し、これらが一致した場合にのみ、ポート３７ｂに接続されたＰＣから受信したフレームに対応する送信フレームを再作成してスイッチ３４ａに送信する。なお、スイッチ３４ｂは、ポート３７ｂに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３７ｂが持っているＶＬＡＮタグ情報とが一致しない場合には、受信したフレームを破棄する。 The switch 34b compares the VLAN tag information in the frame received from the PC connected to the port 37b with the VLAN tag information held by the port 37b, and is connected to the port 37b only when they match. The transmission frame corresponding to the frame received from the PC is recreated and transmitted to the switch 34a. Note that the switch 34b discards the received frame when the VLAN tag information in the frame received from the PC connected to the port 37b does not match the VLAN tag information held by the port 37b.

図５はスイッチ３４ａが実行するフレーム処理例を説明するための図であり、スイッチ３４ａのポート３５ａにＶＬＡＮ１に属するＰＣ３１ａが接続されている場合である。図５中、９０はスイッチ３４ａがＰＣ３１ａから受信したフレームであり、スイッチ３４ａは、ＰＣ３１ａからフレーム９０を受信すると、この受信したフレーム９０からＶＬＡＮタグ情報とＩＰパケットのみを抽出し、比較器７４において、受信フレーム９０から抽出したＶＬＡＮタグ情報９１とポート３５ａが持っているＶＬＡＮタグ情報９２とを比較する。 FIG. 5 is a diagram for explaining an example of frame processing executed by the switch 34a, in which the PC 31a belonging to the VLAN 1 is connected to the port 35a of the switch 34a. In FIG. 5, reference numeral 90 denotes a frame received by the switch 34a from the PC 31a. When the switch 34a receives the frame 90 from the PC 31a, the switch 34a extracts only the VLAN tag information and the IP packet from the received frame 90. The VLAN tag information 91 extracted from the received frame 90 is compared with the VLAN tag information 92 possessed by the port 35a.

本例の場合には、受信フレーム９０から抽出したＶＬＡＮタグ情報９１内のＶＬＡＮ番号と、ポート３５ａが持っているＶＬＡＮタグ情報９２内のＶＬＡＮ番号とは、共にＶＬＡＮ１を指定するＶＬＡＮ番号であるから、受信フレーム９０から抽出したＶＬＡＮタグ情報９１とポート３５ａが持っているＶＬＡＮタグ情報９２は一致する。 In the case of this example, the VLAN number in the VLAN tag information 91 extracted from the received frame 90 and the VLAN number in the VLAN tag information 92 possessed by the port 35a are both VLAN numbers that specify VLAN1. The VLAN tag information 91 extracted from the received frame 90 matches the VLAN tag information 92 held by the port 35a.

したがって、この場合には、再度、ネットワークＬＳＩ８０において送信フレーム９３が組み立てられる。具体的には、スイッチ３４ａは、従来の場合と同様に、ポート３５ａが持っている情報（送信先ＭＡＣアドレス、送信元ＭＡＣアドレスおよびＶＬＡＮタグ情報）を使用し、更に、プリアンブルの追加と、長さとＦＣＳの計算を行い、送信フレーム９３を組み立てることになる。 Therefore, in this case, the transmission frame 93 is assembled again in the network LSI 80. Specifically, the switch 34a uses the information (transmission destination MAC address, transmission source MAC address, and VLAN tag information) held by the port 35a as in the conventional case, and further adds a preamble, FCS is calculated and the transmission frame 93 is assembled.

図６はスイッチ３４ａが実行するフレーム処理例を説明するための図であり、スイッチ３４ａのポート３５ａにＶＬＡＮ２に属するＰＣ３２ａが接続された場合である。図６中、９４はポート３５ａに接続されたＰＣ３２ａから受信したフレームであり、スイッチ３４ａは、ＰＣ３２ａからフレーム９４を受信すると、この受信フレーム９４からＶＬＡＮタグ情報とＩＰパケットのみを抽出し、比較器７４において、受信フレーム９４から抽出したＶＬＡＮタグ情報９５とポート３５ａが持っているＶＬＡＮタグ情報９２とを比較する。 FIG. 6 is a diagram for explaining an example of frame processing executed by the switch 34a, in which the PC 32a belonging to the VLAN 2 is connected to the port 35a of the switch 34a. In FIG. 6, reference numeral 94 denotes a frame received from the PC 32a connected to the port 35a. When the switch 34a receives the frame 94 from the PC 32a, it extracts only the VLAN tag information and the IP packet from the received frame 94, and a comparator. At 74, the VLAN tag information 95 extracted from the received frame 94 is compared with the VLAN tag information 92 possessed by the port 35a.

本例の場合、受信フレーム９４から抽出したＶＬＡＮタグ情報９５内のＶＬＡＮ番号はＶＬＡＮ２を指定するＶＬＡＮ番号であり、ポート３５ａが持っているＶＬＡＮタグ情報９２はＶＬＡＮ１を指定するＶＬＡＮ番号であるから、受信フレーム９４から抽出したＶＬＡＮタグ情報９５とポート３５ａが持っているＶＬＡＮタグ情報９２は一致しない。この場合には、受信フレーム９４に対応する送信フレームが再作成されることはなく、受信フレーム９４は破棄される。 In the case of this example, the VLAN number in the VLAN tag information 95 extracted from the received frame 94 is a VLAN number that specifies VLAN2, and the VLAN tag information 92 that the port 35a has is a VLAN number that specifies VLAN1. The VLAN tag information 95 extracted from the received frame 94 and the VLAN tag information 92 held by the port 35a do not match. In this case, the transmission frame corresponding to the reception frame 94 is not recreated, and the reception frame 94 is discarded.

以上のように、本発明のタグベースＶＬＡＮのセキュリティ方法の一実施形態においては、スイッチ３４ａは、ＰＣ３１ａ〜３３ａから受信したフレーム内のＶＬＡＮタグ情報とＰＣ３１ａ〜３３ａが接続されたポートが持つＶＬＡＮタグ情報とが一致する場合にのみ、ＰＣ３１ａ〜３３ａから受信したフレームに対応する送信フレームを再作成し、これをスイッチ３４ｂに送信する。 As described above, in one embodiment of the tag-based VLAN security method of the present invention, the switch 34a includes the VLAN tag information in the frame received from the PCs 31a to 33a and the VLAN tag possessed by the port to which the PCs 31a to 33a are connected. Only when the information matches, the transmission frame corresponding to the frame received from the PCs 31a to 33a is recreated and transmitted to the switch 34b.

換言すれば、スイッチ３４ａは、ＰＣ３１ａ〜３３ａから受信したフレーム内のＶＬＡＮタグ情報とＰＣ３１ａ〜３３ａが接続されたポートが持つＶＬＡＮタグ情報とが一致しない場合には、ＰＣ３１ａ〜３３ａから受信したフレームに対応する送信フレームを再作成しない。 In other words, when the VLAN tag information in the frames received from the PCs 31a to 33a does not match the VLAN tag information held by the port to which the PCs 31a to 33a are connected, the switch 34a changes the frame received from the PCs 31a to 33a. Do not recreate the corresponding transmission frame.

即ち、スイッチ３４ａのポート３５ａ〜３７ａのいずれかに接続したＰＣは、その接続先のポートが持つＶＬＡＮタグ情報の設定をネットワーク管理者により行われていない場合には、他のＰＣと通信を行うことができない。 That is, the PC connected to any of the ports 35a to 37a of the switch 34a communicates with other PCs if the VLAN tag information of the connection destination port is not set by the network administrator. I can't.

また、スイッチ３４ｂは、ＰＣ３１ｂ〜３３ｂから受信したフレーム内のＶＬＡＮタグ情報とＰＣ３１ｂ〜３３ｂが接続されたポートが持つＶＬＡＮタグ情報とが一致する場合にのみ、ＰＣ３１ｂ〜３３ｂから受信したフレームに対応する送信フレームを再作成し、これをスイッチ３４ａに送信する。 The switch 34b corresponds to the frame received from the PCs 31b to 33b only when the VLAN tag information in the frame received from the PCs 31b to 33b matches the VLAN tag information of the port to which the PCs 31b to 33b are connected. The transmission frame is recreated and transmitted to the switch 34a.

換言すれば、スイッチ３４ｂは、ＰＣ３１ｂ〜３３ｂから受信したフレーム内のＶＬＡＮタグ情報とＰＣ３１ｂ〜３３ｂが接続されたポートが持つＶＬＡＮタグ情報とが一致しない場合には、ＰＣ３１ｂ〜３３ｂから受信したフレームに対応する送信フレームを再作成しない。 In other words, if the VLAN tag information in the frames received from the PCs 31b to 33b does not match the VLAN tag information held by the port to which the PCs 31b to 33b are connected, the switch 34b updates the frames received from the PCs 31b to 33b. Do not recreate the corresponding transmission frame.

即ち、スイッチ３４ｂのポート３５ｂ〜３７ｂのいずれかに接続したＰＣは、その接続先のポートが持つＶＬＡＮタグ情報の設定をネットワーク管理者により行われていない場合には、他のＰＣと通信を行うことができない。 That is, the PC connected to any of the ports 35b to 37b of the switch 34b communicates with other PCs if the VLAN tag information of the connection destination port is not set by the network administrator. I can't.

したがって、本発明のタグベースＶＬＡＮのセキュリティ方法の一実施形態によれば、不正なＰＣによる通信を防ぐことができ、タグベースＶＬＡＮのセキュリティを高めることができる。 Therefore, according to an embodiment of the tag-based VLAN security method of the present invention, it is possible to prevent communication by an unauthorized PC and to enhance the security of the tag-based VLAN.

本発明のタグベースＶＬＡＮのセキュリティ方法の一実施形態が実施されるタグベースＶＬＡＮの構成例を示す図である。It is a figure which shows the structural example of the tag base VLAN by which one Embodiment of the security method of the tag base VLAN of this invention is implemented. 図１に示すタグベースＶＬＡＮが備えるパーソナルコンピュータ内のＬＡＮカードを示す図である。It is a figure which shows the LAN card in the personal computer with which the tag base VLAN shown in FIG. 1 is provided. 図１に示すタグベースＶＬＡＮが備えるパーソナルコンピュータの送信フレーム例を示す図である。It is a figure which shows the example of a transmission frame of the personal computer with which the tag base VLAN shown in FIG. 1 is provided. 本発明の中継装置の一実施形態であるスイッチの概略的構成図である。It is a schematic block diagram of the switch which is one Embodiment of the relay apparatus of this invention. 本発明の中継装置の一実施形態であるスイッチが実行するフレーム処理例を説明するための図である。It is a figure for demonstrating the example of a frame process which the switch which is one Embodiment of the relay apparatus of this invention performs. 本発明の中継装置の一実施形態であるスイッチが実行するフレーム処理例を説明するための図である。It is a figure for demonstrating the example of a frame process which the switch which is one Embodiment of the relay apparatus of this invention performs. ＩＥＥＥ８０２.３に従ったフレームの構成図である。It is a block diagram of the frame according to IEEE802.3. ＩＥＥＥ８０２.１Ｑに従ったフレームの構成図である。It is a block diagram of a frame according to IEEE802.1Q. ポートベースＶＬＡＮの構成例を示す図である。It is a figure which shows the structural example of a port base VLAN. タグベースＶＬＡＮの構成例を示す図である。It is a figure which shows the structural example of a tag base VLAN. 図１０に示すタグベースＶＬＡＮが備えるスイッチの概略的構成図である。It is a schematic block diagram of the switch with which the tag base VLAN shown in FIG. 10 is provided. 図１０に示すタグベースＶＬＡＮが備えるスイッチが実行するフレーム処理を説明するための図である。It is a figure for demonstrating the frame process which the switch with which the tag base VLAN shown in FIG. 10 is provided. 図１０に示すタグベースＶＬＡＮが有する問題点を説明するための図である。It is a figure for demonstrating the problem which the tag base VLAN shown in FIG. 10 has. 図１０に示すタグベースＶＬＡＮが有する問題点を説明するための図である。It is a figure for demonstrating the problem which the tag base VLAN shown in FIG. 10 has.

Explanation of symbols

１ａ〜３ａ、１ｂ〜３ｂ…パーソナルコンピュータ（ＰＣ）
４ａ、４ｂ…スイッチ
５ａ〜１０ａ、５ｂ〜１０ｂ…ポート
１１ａ〜１３ａ、１１ｂ〜１３ｂ、１４〜１６…ＬＡＮケーブル
１８…ネットワークＬＳＩ
１９…メモリ
２０ａ〜２３ａ…ＰＨＹ（物理層）デバイス
２４…受信フレーム
２５…送信フレーム
２６…スイッチのポートが持っている情報
２８…ＶＬＡＮ１共有サーバ
２９…不正なパーソナルコンピュータ（不正なＰＣ）
３１ａ〜３３ａ、３１ｂ〜３３ｂ…パーソナルコンピュータ（ＰＣ）
３４ａ、３４ｂ…スイッチ（本発明の中継装置の一実施形態）
３５ａ〜３８ａ、３５ｂ〜３８ｂ…ポート
４１ａ〜４３ａ、４１ｂ〜４３ｂ、４４…ＬＡＮケーブル
５１ａ〜５３ａ、５１ｂ〜５３ｂ…ＬＡＮカード
６１ａ〜６３ａ、６１ｂ〜６３ｂ…ＣＰＵ
７１ａ〜７３ａ、７１ｂ〜７３ｂ…フラッシュメモリ
８０…ネットワークＬＳＩ
８１…ＣＰＵ
８２…ＳＤＲＡＭ
８３…フラッシュメモリ
８４…比較器
８５ａ〜８８ａ…ＰＨＹ（物理層）デバイス
９０…受信フレーム
９１、９２…ＶＬＡＮタグ情報
９３…送信フレーム
９４…受信フレーム
９５…ＶＬＡＮタグ情報 1a-3a, 1b-3b ... Personal computer (PC)
4a, 4b ... switches 5a-10a, 5b-10b ... ports 11a-13a, 11b-13b, 14-16 ... LAN cables 18 ... network LSI
DESCRIPTION OF SYMBOLS 19 ... Memory 20a-23a ... PHY (physical layer) device 24 ... Reception frame 25 ... Transmission frame 26 ... Information which the port of a switch has 28 ... VLAN1 shared server 29 ... Unauthorized personal computer (illegal PC)
31a-33a, 31b-33b ... Personal computer (PC)
34a, 34b ... switches (one embodiment of the relay device of the present invention)
35a-38a, 35b-38b ... Ports 41a-43a, 41b-43b, 44 ... LAN cables 51a-53a, 51b-53b ... LAN cards 61a-63a, 61b-63b ... CPU
71a to 73a, 71b to 73b ... flash memory 80 ... network LSI
81 ... CPU
82 ... SDRAM
83 ... Flash memory 84 ... Comparator 85a to 88a ... PHY (physical layer) device 90 ... Reception frame 91, 92 ... VLAN tag information 93 ... Transmission frame 94 ... Reception frame 95 ... VLAN tag information

Claims

Including the VLAN tag information set in the terminal by the network administrator in the transmission frame of the terminal connected to the relay device,
The relay apparatus retransmits a transmission frame corresponding to the frame received from the terminal only when the VLAN tag information in the frame received from the terminal matches the VLAN tag information held by the port to which the terminal is connected. A tag-based VLAN security method comprising: creating a tag-based VLAN.

Comparison means for comparing the VLAN tag information in the frame received from the terminal with the VLAN tag information of the port to which the terminal is connected;
A transmission corresponding to the frame received from the terminal only when the comparison means detects that the VLAN tag information in the frame received from the terminal matches the VLAN tag information of the port to which the terminal is connected. A transmission frame creation means for re-creating a frame;
A relay apparatus comprising: