JP2009033577A - タグベースｖｌａｎのセキュリティ方法および中継装置 - Google Patents

Abstract

【課題】不正な端末による通信を防ぎ、タグベースＶＬＡＮのセキュリティを高めることができるようにしたタグベースＶＬＡＮのセキュリティ方法を提供する。
【解決手段】スイッチ３４ａは、ＰＣ３１ａ〜３３ａから受信したフレーム内のＶＬＡＮタグ情報とＰＣ３１ａ〜３３ａが接続されたポートが持つＶＬＡＮタグ情報とが一致する場合にのみ、ＰＣ３１ａ〜３３ａから受信したフレームに対応する送信フレームを再作成する。スイッチ３４ｂは、ＰＣ３１ｂ〜３３ｂから受信したフレーム内のＶＬＡＮタグ情報とＰＣ３１ｂ〜３３ｂが接続されたポートが持つＶＬＡＮタグ情報とが一致する場合にのみ、ＰＣ３１ｂ〜３３ｂから受信したフレームに対応する送信フレームを再作成する。
【選択図】図１

Description

本発明は、中継装置間の転送フレームにＶＬＡＮ（Virtual Local Area Network）タグ情報を含めるタグベースＶＬＡＮのセキュリティ方法、および、このタグベースＶＬＡＮのセキュリティ方法の実施に使用する中継装置に関する。

ネットワークグループを論理的に分割する方法として、ＶＬＡＮ技術が知られている。ＶＬＡＮは、例えば、ポートベースＶＬＡＮと、ＭＡＣ（Media Access Control）ベースＶＬＡＮと、タグベースＶＬＡＮとに分類することができる。

ポートベースＶＬＡＮは、中継装置のポート毎にＶＬＡＮ番号を割り当ててＶＬＡＮを構築する技術である。ＭＡＣベースＶＬＡＮは、端末のＭＡＣアドレス毎にＶＬＡＮ番号を割り当ててＶＬＡＮを構築する技術である。

タグベースＶＬＡＮは、ポートベースＶＬＡＮやＭＡＣベースＶＬＡＮの欠点である中継装置間の回線増大化を防ぐために工夫された技術であり、中継装置間のデータ転送に、ＩＥＥＥ８０２.１Ｑに従ったフレームを使用するものである。

ＩＥＥＥ８０２.１Ｑに従ったフレームは、ネットワークの基本であるＩＥＥＥ８０２.３に従ったフレームにＶＬＡＮ番号を記述したＶＬＡＮタグ情報を付加したフレームである。

図７はＩＥＥＥ８０２.３に従ったフレームの構成図である。即ち、ＩＥＥＥ８０２.３に従ったフレームは、「プリアンブル→ 送信先ＭＡＣアドレス→送信元ＭＡＣアドレス→長さ→ＩＰ（Internet Protocol）パケット→ＦＣＳ（Frame Check Sequence）」という構成を持つ。

「プリアンブル」部は、フレームの先頭を示す値が入る部分である。「送信先ＭＡＣアドレス」部は、フレームを送信する相手側の機器のＭＡＣアドレス値が入る部分である。「送信元ＭＡＣアドレス」部は、フレームを送信した側の機器のＭＡＣアドレス値が入る部分である。

「長さ」部は、フレームの長さを示す値が入る部分である。「ＩＰパケット」部は、送信元／送信先ＩＰアドレス、パケット長などのＩＰヘッダおよびデータが入る部分である。「ＦＣＳ」部は、フレームのヘッダ部とデータ部に誤りがないかどうかを検出するためのＣＲＣ（Cyclic Redundancy Check：巡回冗長検査）符号が入る部分である。

図８はＩＥＥＥ８０２.１Ｑに従ったフレームの構成図である。即ち、ＩＥＥＥ８０２.１Ｑに従ったフレームは、「プリアンブル→ 送信先ＭＡＣアドレス→送信元ＭＡＣアドレス→ＶＬＡＮタグ情報→長さ→ＩＰパケット→ＦＣＳ」という構成を持つ。

「ＶＬＡＮタグ情報」部は、ＶＬＡＮ番号を記述したＶＬＡＮタグ情報が入る部分である。ＶＬＡＮタグ情報は４バイトとされているが、１２ビットがＶＬＡＮ番号として使用される。したがって、最大で４０９６個のＶＬＡＮを識別することができることになる。なお、「ＶＬＡＮタグ情報」部が挿入されるので、「ＦＣＳ」部には再計算された値が入ることになる。

図９はポートベースＶＬＡＮの構成例を示す図である。図９中、１ａ〜３ａ、１ｂ〜３ｂは端末であるパーソナルコンピュータ（以下、ＰＣという）、４ａ、４ｂは中継装置であるスイッチ、５ａ〜１０ａはスイッチ４ａのポート、５ｂ〜１０ｂはスイッチ４ｂのポート、１１ａ〜１３ａ、１１ｂ〜１３ｂ、１４〜１６はＬＡＮケーブルである。

この構成例では、ＰＣ１ａは、ＬＡＮケーブル１１ａでスイッチ４ａのポート５ａに接続されている。ＰＣ２ａは、ＬＡＮケーブル１２ａでスイッチ４ａのポート６ａに接続されている。ＰＣ３ａは、ＬＡＮケーブル１３ａでスイッチ４ａのポート７ａに接続されている。

また、ＰＣ１ｂは、ＬＡＮケーブル１１ｂでスイッチ４ｂのポート５ｂに接続されている。ＰＣ２ｂは、ＬＡＮケーブル１２ｂでスイッチ４ｂのポート６ｂに接続されている。ＰＣ３ｂは、ＬＡＮケーブル１３ｂでスイッチ４ｂのポート７ｂに接続されている。

また、スイッチ４ａのポート８ａとスイッチ４ｂのポート８ｂはＬＡＮケーブル１４で接続されている。スイッチ４ａのポート９ａとスイッチ４ｂのポート９ｂはＬＡＮケーブル１５で接続されている。スイッチ４ａのポート１０ａとスイッチ４ｂのポート１０ｂはＬＡＮケーブル１６で接続されている。

ここで、たとえば、スイッチ４ａのポート５ａ、８ａおよびスイッチ４ｂのポート５ｂ、８ｂにＶＬＡＮ１を指定するＶＬＡＮ番号を割り当て、スイッチ４ａのポート６ａ、９ａおよびスイッチ４ｂのポート６ｂ、９ｂにＶＬＡＮ２を指定するＶＬＡＮ番号を割り当て、スイッチ４ａのポート７ａ、１０ａおよびスイッチ４ｂのポート７ｂ、１０ｂにＶＬＡＮ３を指定するＶＬＡＮ番号を割り当てるとする。

このようにすると、ＰＣ１ａ、１ｂは、ＶＬＡＮ１に属し、ＰＣ１ａ、１ｂ間でのみ通信が可能となる。また、ＰＣ２ａ、２ｂは、ＶＬＡＮ２に属し、ＰＣ２ａ、２ｂ間でのみ通信が可能となる。また、ＰＣ３ａ、３ｂは、ＶＬＡＮ３に属し、ＰＣ３ａ、３ｂ間でのみ通信が可能となる。

この場合、ＰＣ１ａ〜３ａとスイッチ４ａとの間、ＰＣ１ｂ〜３ｂとスイッチ４ｂとの間およびスイッチ４ａとスイッチ４ｂとの間の転送フレームの構成は、図７に示す構成に従うことになる。このように、ポートベースＶＬＡＮにおいては、ＰＣとスイッチとの間およびスイッチとスイッチとの間の転送フレームの構成は、図７に示す構成に従うことになる。

また、図９に示すポートベースＶＬＡＮの構成例では、スイッチ４ａとスイッチ４ｂとの間には、３本のＬＡＮケーブル１４〜１６が必要となる。このように、ポートベースＶＬＡＮにおいては、スイッチ間には、ＶＬＡＮ数と同数の回線が必要になる。

図１０はタグベースＶＬＡＮの構成例を示す図である。この構成例では、ＰＣ１ａ〜３ａとスイッチ４ａとの間およびＰＣ１ｂ〜３ｂとスイッチ４ｂとの間の転送フレームは、図７に示す構成に従い、スイッチ４ａとスイッチ４ｂとの間の転送フレームは、図８に示す構成に従うことになる。また、この構成例では、スイッチ４ａとスイッチ４ｂとの間は、１本のＬＡＮケーブル１４で足りる。

このように、タグベースＶＬＡＮにおいては、ＰＣとスイッチとの間の転送フレームは、図７に示す構成に従い、スイッチとスイッチとの間の転送フレームは、図８に示す構成に従うことになる。また、スイッチ間は、１本の回線で足りる。

図１１はスイッチ４ａの概略的構成図であり、スイッチ４ｂも同様に構成される。図１１中、１８はフレームの送受信および信号処理を行うネットワークＬＳＩ、１９はメモリ、２０ａ〜２３ａはＰＨＹ（物理層）デバイスである。

図１２はスイッチ４ａが実行するフレーム処理を説明するための図である。図１２中、２４はスイッチ４ａがＰＣ１ａ〜ＰＣ３ａのいずれかのＰＣから受信した受信フレームであり、スイッチ４ａでは、ＰＣ１ａ〜ＰＣ３ａのいずれかのＰＣからフレーム２４を受信すると、受信フレーム２４からＩＰパケットのみを抽出し、再度、送信フレーム２５を組み立てる。

この場合、スイッチ４ａは、ポートが持っている情報（送信先ＭＡＣアドレス、送信元ＭＡＣアドレスおよびＶＬＡＮタグ情報）２６を使用し、更に、プリアンブルの追加および長さとＦＣＳの計算を行い、送信フレーム２５を組み立てることになる。
特開平１１−１２７１６７号公報 特開平１１−７４９２３号公報 特開２０００−１９６６４７号公報

図１３および図１４は図１０に示すタグベースＶＬＡＮが有する問題点を説明するための図であり、図１３は図１０に示すタグベースＶＬＡＮの構成例にＶＬＡＮ１メンバであるＰＣ１ａ、ＰＣ１ｂだけアクセスすることができるＶＬＡＮ１共有サーバ２８を接続した場合を示している。

図１４は図１３に示すＰＣ１ａを不正なＰＣ２９に差し替えた場合を示している。この場合、不正なＰＣ２９は、ＶＬＡＮ１に属することになり、ＰＣ１ｂとの通信および ＶＬＡＮ１共有サーバ２８への侵入が可能になる。

ここで、ＶＬＡＮ１共有サーバ２８へのアクセスに対して、パスワードなどのアクセス制限を施していても、パスワードなどが見破られない限り、アクセスは拒否されず、誰でも簡単にＶＬＡＮ１共有サーバ２８に侵入することができる。このため、この環境では十分なセキュリティがあるとは言えない。

たとえば、メンバの再編成などで、ＶＬＡＮ１メンバがＶＬＡＮ２に異動した場合に、ＶＬＡＮ１共有サーバ２８のパスワードを変えない限り、元のＶＬＡＮ１メンバは、ＶＬＡＮ１のポートにＰＣを接続するだけで、容易にＶＬＡＮ１メンバとなることができ、ＶＬＡＮ１共有サーバ２８に侵入することが可能となる。そのため、入り口であるＶＬＡＮのポートに他のＶＬＡＮメンバが接続した場合、通信ができないようにする工夫が必要である。

本発明は、かかる点に鑑み、不正な端末による通信を防ぐことができ、タグベースＶＬＡＮのセキュリティを高めることができるようにしたタグベースＶＬＡＮのセキュリティ方法、および、このタグベースＶＬＡＮのセキュリティ方法の実施に使用することができる中継装置を提供することを目的とする。

本発明のタグベースＶＬＡＮのセキュリティ方法は、中継装置に接続された端末の送信フレームにネットワーク管理者が前記端末に設定したＶＬＡＮタグ情報を含め、前記中継装置は、前記端末から受信したフレーム内のＶＬＡＮタグ情報と前記端末が接続されたポートが持つＶＬＡＮタグ情報とが一致する場合にのみ、前記端末から受信したフレームに対応する送信フレームを再作成するというものである。

本発明の中継装置は、端末から受信したフレーム内のＶＬＡＮタグ情報と前記端末が接続されたポートが持つＶＬＡＮタグ情報とを比較する比較手段と、前記端末から受信したフレーム内のＶＬＡＮタグ情報と前記端末が接続されたポートが持つＶＬＡＮタグ情報とが一致したことを前記比較手段が検出した場合にのみ、前記端末から受信したフレームに対応する送信フレームを再作成する送信フレーム作成手段とを有するものである。

本発明のタグベースＶＬＡＮのセキュリティ方法によれば、中継装置は、端末から受信したフレーム内のＶＬＡＮタグ情報と前記端末が接続されたポートが持つＶＬＡＮタグ情報とが一致する場合にのみ、前記端末から受信したフレームに対応する送信フレームを再作成する。換言すれば、中継装置は、端末から受信したフレーム内のＶＬＡＮタグ情報と前記端末が接続されたポートが持つＶＬＡＮタグ情報とが一致しない場合には、前記端末から受信したフレームに対応する送信フレームを再作成しない。

即ち、接続先ポートが持つＶＬＡＮタグ情報の設定がネットワーク管理者により行われていない端末を中継装置に接続しても通信を行うことができない。したがって、不正な端末による通信を防ぐことができ、タグベースＶＬＡＮのセキュリティを高めることができる。なお、中継装置として、本発明の中継装置を使用することができる。

図１は本発明のタグベースＶＬＡＮのセキュリティ方法の一実施形態が実施されるタグベースＶＬＡＮの構成例を示す図である。図１中、３１ａ〜３３ａ、３１ｂ〜３３ｂはＰＣ、３４ａ、３４ｂは本発明の中継装置の一実施形態であるスイッチ、３５ａ〜３８ａはスイッチ３４ａのポート、３５ｂ〜３８ｂはスイッチ３４ｂのポート、４１ａ〜４３ａ、４１ｂ〜４３ｂ、４４はＬＡＮケーブルである。

この構成例では、ＰＣ３１ａは、ＬＡＮケーブル４１ａでスイッチ３４ａのポート３５ａに接続されている。ＰＣ３２ａは、ＬＡＮケーブル４２ａでスイッチ３４ａのポート３６ａに接続されている。ＰＣ３３ａは、ＬＡＮケーブル４３ａでスイッチ３４ａのポート３７ａに接続されている。

また、ＰＣ３１ｂは、ＬＡＮケーブル４１ｂでスイッチ３４ｂのポート３５ｂに接続されている。ＰＣ３２ｂは、ＬＡＮケーブル４２ｂでスイッチ３４ｂのポート３６ｂに接続されている。ＰＣ３３ｂは、ＬＡＮケーブル４３ｂでスイッチ３４ｂのポート３７ｂに接続されている。スイッチ３４ａのポート３８ａとスイッチ３４ｂのポート３８ｂとはＬＡＮケーブル４４で接続されている。

本発明のタグベースＶＬＡＮのセキュリティ方法の一実施形態においては、スイッチ３４ａとスイッチ３４ｂとの間のみならず、ＰＣ３１ａ〜３３ａとスイッチ３４ａとの間およびＰＣ３１ｂ〜３３ｂとスイッチ３４ｂとの間の転送フレームは、ＩＥＥＥ８０２.１Ｑに従った構成とされる。

そこで、ＰＣ３１ａ〜３３ａ、３１ｂ〜３３ｂ内のＬＡＮカードにはＶＬＡＮタグ情報がネットワーク管理者により設定される。このネットワーク管理者によるＰＣ３１ａ〜３３ａ、３１ｂ〜３３ｂ内のＬＡＮカードへのＶＬＡＮタグ情報の設定は、ＬＡＮカード内の書き換え可能な不揮発性メモリ、たとえば、フラッシュメモリにＶＬＡＮタグ情報を書き込むことにより行われる。

図２はＰＣ３１ａ〜３３ａ、３１ｂ〜３３ｂ内のＬＡＮカードを示す図である。図２中、５１ａはＰＣ３１a内のＬＡＮカードであり、６１ａはＣＰＵ（central processing unit）、７１ａはＣＰＵ６１ａによりアクセスされるフラッシュメモリである。５２ａはＰＣ３２ａ内のＬＡＮカードであり、６２ａはＣＰＵ、７２ａはＣＰＵ６２ａによりアクセスされるフラッシュメモリである。５３ａはＰＣ３３ａ内のＬＡＮカードであり、６３ａはＣＰＵ、７３ａはＣＰＵ６３ａによりアクセスされるフラッシュメモリである。

また、５１ｂはＰＣ３１ｂ内のＬＡＮカードであり、６１ｂはＣＰＵ、７１ｂはＣＰＵ６１ｂによりアクセスされるフラッシュメモリである。５２ｂはＰＣ３２ｂ内のＬＡＮカードであり、６２ｂはＣＰＵ、７２ｂはＣＰＵ６２ｂによりアクセスされるフラッシュメモリである。５３ｂはＰＣ３３ｂ内のＬＡＮカードであり、６３ｂはＣＰＵ、７３ｂはＣＰＵ６３ｂによりアクセスされるフラッシュメモリである。

本例では、ＰＣ３１ａ、３１ｂはＶＬＡＮ１に属させ、ＰＣ３２ａ、３２ｂはＶＬＡＮ２に属させ、ＰＣ３３ａ、３３ｂはＶＬＡＮ３に属させるものとする。このようにさせる場合には、ＬＡＮカード５１ａ内のフラッシュメモリ７１ａおよびＬＡＮカード５１ｂ内のフラッシュメモリ７１ｂには、ネットワーク管理者により、ネットワーク管理者のコンピュータとＰＣ３１ａ、３１ｂとの間の通信回線を介してＶＬＡＮ１を指定するＶＬＡＮ番号が記述されたＶＬＡＮタグ情報が書き込まれる。

また、ＬＡＮカード５２ａ内のフラッシュメモリ７２ａおよびＬＡＮカード５２ｂ内のフラッシュメモリ７２ｂには、ネットワーク管理者により、ネットワーク管理者のコンピュータとＰＣ３２ａ、３２ｂとの間の通信回線を介してＶＬＡＮ２を指定するＶＬＡＮ番号が記述されたＶＬＡＮタグ情報が書き込まれる。

また、ＬＡＮカード５３ａ内のフラッシュメモリ７３ａおよびＬＡＮカード５３ｂ内のフラッシュメモリ７３ｂには、ネットワーク管理者により、ネットワーク管理者のコンピュータとＰＣ３３ａ、３３ｂとの間の通信回線を介してＶＬＡＮ３を指定するＶＬＡＮ番号が記述されたＶＬＡＮタグ情報が書き込まれる。

このように、本実施形態では、ＬＡＮカード５１ａ〜５３ａ、５１ｂ〜５３ｂへのＶＬＡＮタグ情報の設定は、ネットワーク管理者により、ネットワーク管理者のコンピュータとＰＣ３１ａ〜３３ａ、３１ｂ〜３３ｂとの間の通信回線を介して行われるので、ユーザがＬＡＮカード５１ａ〜５３ａ、５１ｂ〜５３ｂ内のフラッシュメモリ７１ａ〜７３ａ、７１ｂ〜７３ｂにＶＬＡＮタグ情報を書き込むことはできない。

図３はＰＣ３１ａ〜３３ａ、３１ｂ〜３３ｂの送信フレーム例を示す図であり（Ａ）はＰＣ３１ａ、３１ｂの送信フレーム例、（Ｂ）はＰＣ３２ａ、３２ｂの送信フレーム例、（Ｃ）はＰＣ３３ａ、３３ｂの送信フレーム例を示している。

本例では、ＰＣ３１ａ、３１ｂは、ＶＬＡＮ１に属しているので、図３（Ａ）に示すように、ＶＬＡＮ１を指定するＶＬＡＮ番号が記述されたＶＬＡＮタグ情報を挿入してなるＩＥＥＥ８０２.１Ｑに従ったフレームを送信する。ＰＣ３１ａの送信フレームへのＶＬＡＮタグ情報の挿入は、ＬＡＮカード５１ａ内のＣＰＵ６１ａにより行われ、ＰＣ３１ｂの送信フレームへのＶＬＡＮタグ情報の挿入は、ＬＡＮカード５１ｂ内のＣＰＵ５１ｂにより行われる。

また、ＰＣ３２ａ、３２ｂは、ＶＬＡＮ２に属しているので、図３（Ｂ）に示すように、ＶＬＡＮ２を指定するＶＬＡＮ番号が記述されたＶＬＡＮタグ情報を挿入してなるＩＥＥＥ８０２.１Ｑに従ったフレームを送信する。ＰＣ３２ａの送信フレームへのＶＬＡＮタグ情報の挿入は、ＬＡＮカード５２ａ内のＣＰＵ６２ａにより行われ、ＰＣ３２ｂの送信フレームへのＶＬＡＮタグ情報の挿入は、ＬＡＮカード５２ｂ内のＣＰＵ６２ｂにより行われる。

また、ＰＣ３３ａ、３３ｂは、ＶＬＡＮ３に属しているので、図３（Ｃ）に示すように、ＶＬＡＮ３を指定するＶＬＡＮ番号が記述されたＶＬＡＮタグ情報を挿入してなるＩＥＥＥ８０２.１Ｑに従ったフレームを送信する。ＰＣ３３ａの送信フレームへのＶＬＡＮタグ情報の挿入は、ＬＡＮカード５３ａ内のＣＰＵ６３ａにより行われ、ＰＣ３３ｂの送信フレームへのＶＬＡＮタグ情報の挿入は、ＬＡＮカード５３ｂ内のＣＰＵ６３ｂにより行われる。

図４はスイッチ３４ａの概略的構成図であり、スイッチ３４ｂも同様に構成される。図４中、８０はフレームの送受信および信号処理を行うネットワークＬＳＩ、８１はネットワークＬＳＩ８０内のＣＰＵ、８２はＳＤＲＡＭ（synchronous dynamic random access memory）、８３はフラッシュメモリ、８４は比較器、８５ａ〜８８ａはＰＨＹ（物理層）デバイスである。

本例では、ＰＣ３１ａはＶＬＡＮ１に属し、ＰＣ３２ａはＶＬＡＮ２に属し、ＰＣ３３ａはＶＬＡＮ３に属するとされているので、ネットワーク管理者により、フラッシュメモリ８３には、ポート３５ａが持つＶＬＡＮ番号としてＶＬＡＮ１を指定するＶＬＡＮ番号が書き込まれ、ポート３６ａが持つＶＬＡＮ番号としてＶＬＡＮ２を指定するＶＬＡＮ番号が書き込まれ、ポート３７ａが持つＶＬＡＮ番号としてＶＬＡＮ３を指定するＶＬＡＮ番号が書き込まれる。

また、スイッチ３４ａと同様に構成されるスイッチ３４ｂ内のフラッシュメモリには、ネットワーク管理者により、ポート３５ｂが持つＶＬＡＮ番号としてＶＬＡＮ１を指定するＶＬＡＮ番号が書き込まれ、ポート３６ｂが持つＶＬＡＮ番号としてＶＬＡＮ２を指定するＶＬＡＮ番号が書き込まれ、ポート３７ｂが持つＶＬＡＮ番号としてＶＬＡＮ３を指定するＶＬＡＮ番号が書き込まれる。

ここで、スイッチ３４ａは、ポート３５ａに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３５ａが持っているＶＬＡＮタグ情報とを比較し、これらが一致した場合にのみ、ポート３５ａに接続されたＰＣから受信したフレームに対応する送信フレームを再作成してスイッチ３４ｂに送信する。なお、スイッチ３４ａは、ポート３５ａに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３５ａが持っているＶＬＡＮタグ情報とが一致しない場合には、受信したフレームを破棄する。

また、スイッチ３４ａは、ポート３６ａに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３６ａが持っているＶＬＡＮタグ情報とを比較し、これらが一致した場合にのみ、ポート３６ａに接続されたＰＣから受信したフレームに対応する送信フレームを再作成してスイッチ３４ｂに送信する。なお、スイッチ３４ａは、ポート３６ａに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３６ａが持っているＶＬＡＮタグ情報とが一致しない場合には、受信したフレームを破棄する。

また、スイッチ３４ａは、ポート３７ａに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３７ａが持っているＶＬＡＮタグ情報とを比較し、これらが一致した場合にのみ、ポート３７ａに接続されたＰＣから受信したフレームに対応する送信フレームを再作成してスイッチ３４ｂに送信する。なお、スイッチ３４ａは、ポート３５ａに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３７ａが持っているＶＬＡＮタグ情報とが一致しない場合には、受信したフレームを破棄する。

また、スイッチ３４ｂは、ポート３５ｂに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３５ｂが持っているＶＬＡＮタグ情報とを比較し、これらが一致した場合にのみ、ポート３５ｂに接続されたＰＣから受信したフレームに対応する送信フレームを再作成してスイッチ３４ａに送信する。なお、スイッチ３４ｂは、ポート３５ｂに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３５ｂが持っているＶＬＡＮタグ情報とが一致しない場合には、受信したフレームを破棄する。

また、スイッチ３４ｂは、ポート３６ｂに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３６ｂが持っているＶＬＡＮタグ情報とを比較し、これらが一致した場合にのみ、ポート３６ｂに接続されたＰＣから受信したフレームに対応する送信フレームを再作成してスイッチ３４ａに送信する。なお、スイッチ３４ｂは、ポート３６ｂに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３６ｂが持っているＶＬＡＮタグ情報とが一致しない場合には、受信したフレームを破棄する。

また、スイッチ３４ｂは、ポート３７ｂに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３７ｂが持っているＶＬＡＮタグ情報とを比較し、これらが一致した場合にのみ、ポート３７ｂに接続されたＰＣから受信したフレームに対応する送信フレームを再作成してスイッチ３４ａに送信する。なお、スイッチ３４ｂは、ポート３７ｂに接続されたＰＣから受信したフレーム内のＶＬＡＮタグ情報とポート３７ｂが持っているＶＬＡＮタグ情報とが一致しない場合には、受信したフレームを破棄する。

図５はスイッチ３４ａが実行するフレーム処理例を説明するための図であり、スイッチ３４ａのポート３５ａにＶＬＡＮ１に属するＰＣ３１ａが接続されている場合である。図５中、９０はスイッチ３４ａがＰＣ３１ａから受信したフレームであり、スイッチ３４ａは、ＰＣ３１ａからフレーム９０を受信すると、この受信したフレーム９０からＶＬＡＮタグ情報とＩＰパケットのみを抽出し、比較器７４において、受信フレーム９０から抽出したＶＬＡＮタグ情報９１とポート３５ａが持っているＶＬＡＮタグ情報９２とを比較する。

本例の場合には、受信フレーム９０から抽出したＶＬＡＮタグ情報９１内のＶＬＡＮ番号と、ポート３５ａが持っているＶＬＡＮタグ情報９２内のＶＬＡＮ番号とは、共にＶＬＡＮ１を指定するＶＬＡＮ番号であるから、受信フレーム９０から抽出したＶＬＡＮタグ情報９１とポート３５ａが持っているＶＬＡＮタグ情報９２は一致する。

したがって、この場合には、再度、ネットワークＬＳＩ８０において送信フレーム９３が組み立てられる。具体的には、スイッチ３４ａは、従来の場合と同様に、ポート３５ａが持っている情報（送信先ＭＡＣアドレス、送信元ＭＡＣアドレスおよびＶＬＡＮタグ情報）を使用し、更に、プリアンブルの追加と、長さとＦＣＳの計算を行い、送信フレーム９３を組み立てることになる。

図６はスイッチ３４ａが実行するフレーム処理例を説明するための図であり、スイッチ３４ａのポート３５ａにＶＬＡＮ２に属するＰＣ３２ａが接続された場合である。図６中、９４はポート３５ａに接続されたＰＣ３２ａから受信したフレームであり、スイッチ３４ａは、ＰＣ３２ａからフレーム９４を受信すると、この受信フレーム９４からＶＬＡＮタグ情報とＩＰパケットのみを抽出し、比較器７４において、受信フレーム９４から抽出したＶＬＡＮタグ情報９５とポート３５ａが持っているＶＬＡＮタグ情報９２とを比較する。

本例の場合、受信フレーム９４から抽出したＶＬＡＮタグ情報９５内のＶＬＡＮ番号はＶＬＡＮ２を指定するＶＬＡＮ番号であり、ポート３５ａが持っているＶＬＡＮタグ情報９２はＶＬＡＮ１を指定するＶＬＡＮ番号であるから、受信フレーム９４から抽出したＶＬＡＮタグ情報９５とポート３５ａが持っているＶＬＡＮタグ情報９２は一致しない。この場合には、受信フレーム９４に対応する送信フレームが再作成されることはなく、受信フレーム９４は破棄される。

以上のように、本発明のタグベースＶＬＡＮのセキュリティ方法の一実施形態においては、スイッチ３４ａは、ＰＣ３１ａ〜３３ａから受信したフレーム内のＶＬＡＮタグ情報とＰＣ３１ａ〜３３ａが接続されたポートが持つＶＬＡＮタグ情報とが一致する場合にのみ、ＰＣ３１ａ〜３３ａから受信したフレームに対応する送信フレームを再作成し、これをスイッチ３４ｂに送信する。

換言すれば、スイッチ３４ａは、ＰＣ３１ａ〜３３ａから受信したフレーム内のＶＬＡＮタグ情報とＰＣ３１ａ〜３３ａが接続されたポートが持つＶＬＡＮタグ情報とが一致しない場合には、ＰＣ３１ａ〜３３ａから受信したフレームに対応する送信フレームを再作成しない。

即ち、スイッチ３４ａのポート３５ａ〜３７ａのいずれかに接続したＰＣは、その接続先のポートが持つＶＬＡＮタグ情報の設定をネットワーク管理者により行われていない場合には、他のＰＣと通信を行うことができない。

また、スイッチ３４ｂは、ＰＣ３１ｂ〜３３ｂから受信したフレーム内のＶＬＡＮタグ情報とＰＣ３１ｂ〜３３ｂが接続されたポートが持つＶＬＡＮタグ情報とが一致する場合にのみ、ＰＣ３１ｂ〜３３ｂから受信したフレームに対応する送信フレームを再作成し、これをスイッチ３４ａに送信する。

換言すれば、スイッチ３４ｂは、ＰＣ３１ｂ〜３３ｂから受信したフレーム内のＶＬＡＮタグ情報とＰＣ３１ｂ〜３３ｂが接続されたポートが持つＶＬＡＮタグ情報とが一致しない場合には、ＰＣ３１ｂ〜３３ｂから受信したフレームに対応する送信フレームを再作成しない。

即ち、スイッチ３４ｂのポート３５ｂ〜３７ｂのいずれかに接続したＰＣは、その接続先のポートが持つＶＬＡＮタグ情報の設定をネットワーク管理者により行われていない場合には、他のＰＣと通信を行うことができない。

したがって、本発明のタグベースＶＬＡＮのセキュリティ方法の一実施形態によれば、不正なＰＣによる通信を防ぐことができ、タグベースＶＬＡＮのセキュリティを高めることができる。

本発明のタグベースＶＬＡＮのセキュリティ方法の一実施形態が実施されるタグベースＶＬＡＮの構成例を示す図である。 図１に示すタグベースＶＬＡＮが備えるパーソナルコンピュータ内のＬＡＮカードを示す図である。 図１に示すタグベースＶＬＡＮが備えるパーソナルコンピュータの送信フレーム例を示す図である。 本発明の中継装置の一実施形態であるスイッチの概略的構成図である。 本発明の中継装置の一実施形態であるスイッチが実行するフレーム処理例を説明するための図である。 本発明の中継装置の一実施形態であるスイッチが実行するフレーム処理例を説明するための図である。 ＩＥＥＥ８０２.３に従ったフレームの構成図である。 ＩＥＥＥ８０２.１Ｑに従ったフレームの構成図である。 ポートベースＶＬＡＮの構成例を示す図である。 タグベースＶＬＡＮの構成例を示す図である。 図１０に示すタグベースＶＬＡＮが備えるスイッチの概略的構成図である。 図１０に示すタグベースＶＬＡＮが備えるスイッチが実行するフレーム処理を説明するための図である。 図１０に示すタグベースＶＬＡＮが有する問題点を説明するための図である。 図１０に示すタグベースＶＬＡＮが有する問題点を説明するための図である。

符号の説明

１ａ〜３ａ、１ｂ〜３ｂ…パーソナルコンピュータ（ＰＣ）
４ａ、４ｂ…スイッチ
５ａ〜１０ａ、５ｂ〜１０ｂ…ポート
１１ａ〜１３ａ、１１ｂ〜１３ｂ、１４〜１６…ＬＡＮケーブル
１８…ネットワークＬＳＩ
１９…メモリ
２０ａ〜２３ａ…ＰＨＹ（物理層）デバイス
２４…受信フレーム
２５…送信フレーム
２６…スイッチのポートが持っている情報
２８…ＶＬＡＮ１共有サーバ
２９…不正なパーソナルコンピュータ（不正なＰＣ）
３１ａ〜３３ａ、３１ｂ〜３３ｂ…パーソナルコンピュータ（ＰＣ）
３４ａ、３４ｂ…スイッチ（本発明の中継装置の一実施形態）
３５ａ〜３８ａ、３５ｂ〜３８ｂ…ポート
４１ａ〜４３ａ、４１ｂ〜４３ｂ、４４…ＬＡＮケーブル
５１ａ〜５３ａ、５１ｂ〜５３ｂ…ＬＡＮカード
６１ａ〜６３ａ、６１ｂ〜６３ｂ…ＣＰＵ
７１ａ〜７３ａ、７１ｂ〜７３ｂ…フラッシュメモリ
８０…ネットワークＬＳＩ
８１…ＣＰＵ
８２…ＳＤＲＡＭ
８３…フラッシュメモリ
８４…比較器
８５ａ〜８８ａ…ＰＨＹ（物理層）デバイス
９０…受信フレーム
９１、９２…ＶＬＡＮタグ情報
９３…送信フレーム
９４…受信フレーム
９５…ＶＬＡＮタグ情報

Claims (2)

1. 中継装置に接続された端末の送信フレームにネットワーク管理者が前記端末に設定したＶＬＡＮタグ情報を含め、
   前記中継装置は、前記端末から受信したフレーム内のＶＬＡＮタグ情報と前記端末が接続されたポートが持つＶＬＡＮタグ情報とが一致する場合にのみ、前記端末から受信したフレームに対応する送信フレームを再作成すること
   を特徴とするタグベースＶＬＡＮのセキュリティ方法。
2. 端末から受信したフレーム内のＶＬＡＮタグ情報と前記端末が接続されたポートが持つＶＬＡＮタグ情報とを比較する比較手段と、
   前記端末から受信したフレーム内のＶＬＡＮタグ情報と前記端末が接続されたポートが持つＶＬＡＮタグ情報とが一致したことを前記比較手段が検出した場合にのみ、前記端末から受信したフレームに対応する送信フレームを再作成する送信フレーム作成手段と、
   を有することを特徴とする中継装置。

Images