JP7042069B2

JP7042069B2 - ネットワーク装置およびネットワークシステム

Info

Publication number: JP7042069B2
Application number: JP2017235921A
Authority: JP
Inventors: 智則上田; 宏征吉野; 賢介猪野
Original assignee: Alaxala Networks Corp
Current assignee: Alaxala Networks Corp
Priority date: 2017-12-08
Filing date: 2017-12-08
Publication date: 2022-03-25
Anticipated expiration: 2037-12-08
Also published as: JP2019103103A

Description

本発明はネットワーク装置およびネットワークシステムに関する。

一般的なネットワークは、認証機能によりネットワークに接続する端末を検査し、ネットワークのセキュリティを確保している。このようなネットワークの認証機能として、特許文献１が提案されている。

特許文献１では、端末がネットワークへ接続される際に送信されるＡＲＰ（ＡｄｄｒｅｓｓＲｅｓｏｌｕｔｉｏｎＰｒｏｔｏｃｏｌ）の応答のパケットを偽装して、パスワードによる認証を行い、正常な端末のＭＡＣ（ＭｅｄｉａＡｃｃｅｓｓＣｏｎｔｒｏｌ）アドレスと同じＭＡＣアドレスになりすました不正な端末は、不正接続防止装置に接続したままにする技術が開示されている。

特開２０１６－１８７１１３号公報

特許文献１に開示された技術を用いれば、不正な端末が送信するパケットは、不正接続防止装置へ届き、不正な端末が不正の目的とする端末へは届かない。しかしながら、なりすましのＭＡＣアドレスに基づいて、正常な端末へ向けて送信されたパケットが、不正な端末で受信される可能性がある。

特に、ＦＤＢ（ＦｉｌｔｅｒｉｎｇＤａｔａＢａｓｅ）テーブルを用いてパケットを中継するネットワーク装置に、正常な端末が接続された後、不正な端末が接続されると、正常な端末のＭＡＣアドレスと不正な端末のＭＡＣアドレスは同じＭＡＣアドレスであるため、ＦＤＢテーブルの正常な端末の情報が不正な端末の情報で上書きされ、ネットワーク装置は不正な端末へパケットを中継してしまう可能性がある。

本発明は、ネットワーク装置を経由した不正な端末によるパケットの受信も防止することを目的とする。

本発明は、上述の課題を解決するためになされたものであり、本発明に係る代表的なネットワーク装置は、複数のポートを有し、前記複数のポート間でパケットを中継するネットワーク装置であって、前記複数のポートの中の第１のポートで受信したパケットの送信元のＭＡＣアドレスを前記第１のポートに依存した第１のＭＡＣアドレスに変換し、前記複数のポートの中の第２のポートで受信したパケットの送信元のＭＡＣアドレスを前記第２のポートに依存した第２のＭＡＣアドレスに変換する生成部と、前記複数のポートのいずれかのポートで受信したパケットの宛先のＭＡＣアドレスを前記第１のＭＡＣアドレスあるいは前記第２のＭＡＣアドレスに変換するための検知部と、前記第１のＭＡＣアドレスあるいは前記第２のＭＡＣアドレスに基づいて前記複数のポートの中から、受信したパケットの送信ポートを特定するための転送制御部と、を備えたことを特徴とする。

本発明によれば、ネットワーク装置を経由した不正な端末によるパケットの受信も防止することが可能になる。

ネットワーク構成の例を示す図である。ネットワーク装置の内部構造の例を示す図である。端末を交換したネットワーク構成の例を示す図である。コンフィグレーションテーブルの例を示す図である。ＦＤＢテーブルの例を示す図である。不正端末管理テーブルの例を示す図である。不正端末が接続されたネットワーク構成の例を示す図である。不正端末接続後のＦＤＢテーブルの例を示す図である。不正端末接続後の不正端末管理テーブルの例を示す図である。不正端末が通信するネットワーク構成の例を示す図である。不正端末が遮断されたネットワーク構成の例を示す図である。

以下、本発明の実施の形態を実施例として説明する。

図１は、ネットワーク構成の例を示す図である。ネットワーク装置１００は、パケットを転送（中継）するネットワーク装置であって、ポート１０３より回線５０３を介してサーバ端末３００のポート３０１に接続されている。そして、ネットワーク装置１００とサーバ端末３００がネットワークを構成し、このネットワークに端末が接続される。

ここで、このネットワークに接続することが許可されている端末を正常端末と記述する。この許可は何らかの仕様などによって規定されていてもよい。また、後で説明するようにネットワーク装置１００が正常端末の接続であるか否かに応じて動作を変更するという点において、ネットワーク装置１００は不正端末監視装置であるとも言える。

ネットワークに端末が接続されている状態として、ネットワーク装置１００は、ポート１０１より回線５０１を介して正常端末２１０のポート２１１に接続され、ポート１０２より回線５０２を介して正常端末２２０のポート２２１に接続されている。

以上のような接続により、正常端末２１０は、ネットワーク装置１００を介したパケット１１、パケット１２を用いてサーバ端末３００と通信を行い、正常端末２２０は、ネットワーク装置１００を介したパケット２１、パケット２２を用いてサーバ端末３００と通信を行う。

なお、正常端末２１０と正常端末２２０もネットワークに含めて、ネットワーク装置１００、正常端末２１０、正常端末２２０、およびサーバ端末３００がネットワークシステムであってもよい。

図２は、ネットワーク装置１００の内部構造の例を示す図である。ＦＤＢ用ＭＡＣアドレス生成部１０００は、ＦＤＢテーブルに登録するＭＡＣアドレスの生成処理を行い、コンフィグレーションテーブル５１００を管理する。コンフィグレーションテーブル５１００については、図４を用いて後で説明する。

転送制御部２０００は、パケットの転送処理、ＭＡＣアドレスの学習処理を行い、ＦＤＢテーブル５２００を管理する。ＦＤＢテーブル５２００については、図５と図８を用いて後で説明する。

ＭＡＣ重複検知部３０００は、ＡＲＰの応答のパケットなどネットワーク装置１００に接続された端末宛のパケットを監視し、不正端末管理テーブル５３００を管理する。不正端末管理テーブル５３００については、図６と図９を用いて後で説明する。

ポート状態制御部４０００は、ポート１０１、ポート１０２、およびポート１０３の各ポートの状態を制御し、各ポートのリンクアップあるいはリンクダウンの処理を行う。メモリ５０００は、コンフィグレーションテーブル５１００、ＦＤＢテーブル５２００、不正端末管理テーブル５３００が格納されている。

ネットワーク装置１００のハードウェアは、一般的なネットワーク装置のハードウェアであってもよい。このため、例えば、ネットワーク装置１００は図示を省略したプロセッサを備え、メモリ５０００に格納されたプログラムを実行するプロセッサが、ＦＤＢ用ＭＡＣアドレス生成部１０００、転送制御部２０００、ＭＡＣ重複検知部３０００、およびポート状態制御部４０００になってもよい。

一般的なネットワーク装置を変更してネットワーク装置１００としてもよく、転送制御部２０００とＦＤＢテーブル５２００は一般的なネットワーク装置のものをそのまま利用し、ポート状態制御部４０００は一般的なネットワーク装置のものを後で説明する動作も含むように変更してもよい。

また、一般的なネットワーク装置に、ＦＤＢ用ＭＡＣアドレス生成部１０００、ＭＡＣ重複検知部３０００、コンフィグレーションテーブル５１００、および不正端末管理テーブル５３００を新たに追加してもよい。

図３は、端末を交換したネットワーク構成の例を示す図である。交換により新たに接続する端末は、ネットワークに接続することを許可されていない端末であり、このような端末を不正端末と記述する。すなわち、図１を用いて説明したネットワーク構成において、正常端末２２０に代わり不正端末２３０が接続される直前の状態である。

ネットワーク装置１００は、ポート１０２より回線５０２を介して不正端末２３０のポート２３１に物理的に接続されている。不正端末２３０がネットワークに接続される直前の状態を示すことから、回線５０２はリンクダウンしており、物理的に接続されてリンクダウンした回線５０２を破線で表している。

なお、特に物理的に接続とは記述せず、単に接続と記述する場合の接続は、物理的に接続されてリンクアップし、通信の可能な状態あるいは通信している状態を表すとする。また、不正端末２３０以外は、図１を用いて説明したとおりであるので、図１と同じ符号を用いて説明を省略する。

以下では、正常端末２１０がサーバ端末３００宛に送信するパケット１１、およびサーバ端末３００が正常端末２１０宛に送信するパケット１２について、図４から図６を用いて説明し、不正端末２３０の遮断について、図７から図１１を用いて説明する。

図４はコンフィグレーションテーブル５１００の例を示す図である。コンフィグレーションテーブル５１００は、ポート番号５１１０と不正端末監視の実行状態５１２０の要素を持つテーブルである。

ポート番号５１１０は、ネットワーク装置１００がイーサネット（登録商標）を収容するポートを登録する要素であり、図３に示したポート１０１、ポート１０２、およびポート１０３のそれぞれに対応して「Ｐ１０１」、「Ｐ１０２」、および「Ｐ１０３」が登録されている。

不正端末監視の実行状態５１２０は、ポート単位に不正端末監視機能の実行状態を登録する要素である。「Ｐ１０１」と「Ｐ１０２」のポート１０１とポート１０２については端末を接続するポートであり、不正端末監視機能が「有効」として登録されている。「Ｐ１０３」のポート１０３についてはサーバ端末３００に接続するポートであり、不正端末監視機能が「無効」として登録されている。

図５はＦＤＢテーブル５２００の例を示す図である。ＦＤＢテーブル５２００は、ＶＬＡＮＩＤ５２１０、ポート番号５２２０、およびＭＡＣアドレス５２３０の要素を持つ。なお、図３に示す各端末は、パケット通信用のＶＬＡＮ（ＶｉｒｔｕａｌＬＡＮ）としてＶＬＡＮＩＤが「１」のＶＬＡＮにより通信を行っているものとする。

このため、ＶＬＡＮＩＤ５２１０はパケットの通信に使用しているＶＬＡＮＩＤが登録される。図５の例では、ＶＬＡＮＩＤが「１」を使用した例を記載しているが、他のＶＬＡＮＩＤを使用されてもよい。

ポート番号５２２０はパケットを受信したポートのポート番号が登録される。このポート番号は図４に示したポート番号５１１０のポート番号と対応する。ＭＡＣアドレス５２３０は受信したパケットの送信元ＭＡＣアドレスが登録される。

ＦＤＢテーブル５２００の登録処理を図３も参照しながら説明する。ネットワーク装置１００の転送制御部２０００は、正常端末２１０が送信するパケット１１をポート１０１で受信すると、ポート１０１のポート番号である「Ｐ１０１」と正常端末２１０のＭＡＣアドレスである「Ｍ２１０」をＦＤＢテーブル５２００へ登録する（この状態の図示は省略）。

ネットワーク装置１００のＦＤＢ用ＭＡＣアドレス生成部１０００は、ＦＤＢテーブル５２００への登録を監視して登録が発生すると、登録されたポート番号に基づいて、図４に示すコンフィグレーションテーブル５１００を参照する。

ＦＤＢ用ＭＡＣアドレス生成部１０００は、登録されたポート番号の「Ｐ１０１」すなわちポート１０１の不正端末監視の実行状態５１２０が「有効」であると判定すると、ＭＡＣアドレス５２３０の「Ｍ２１０」にポート１０１の識別子を加味したＭＡＣアドレス「Ｍ２１０ａ」に変換する。そして、ＦＤＢテーブル５２００のＭＡＣアドレス５２３０には、変換後のＭＡＣアドレスである「Ｍ２１０ａ」が上書きされる。

ＭＡＣアドレスの変換前の「Ｍ２１０」と変換後の「Ｍ２１０ａ」の対応は、不正端末管理テーブル５３００で管理される。不正端末管理テーブル５３００については、図６を用いて後で説明する。

ネットワーク装置１００の転送制御部２０００は、サーバ端末３００が送信するパケット１２をポート１０３で受信すると、ポート１０３のポート番号である「Ｐ１０３」とサーバ端末３００のＭＡＣアドレスである「Ｍ３００」をＦＤＢテーブル５２００へ登録する。

ＦＤＢ用ＭＡＣアドレス生成部１０００は、登録されたポート番号の「Ｐ１０３」すなわちポート１０３の不正端末監視の実行状態５１２０が「無効」であると判定すると、ＭＡＣアドレスを変換せず、ＦＤＢテーブル５２００に上書きしない（変換と上書きをスキップする）。

図６は不正端末管理テーブル５３００の例を示す図である。不正端末管理テーブル５３００は、ＭＡＣアドレス５３１０、変換ＭＡＣアドレス５３２０、および登録数５３３０の要素を持つ。ＭＡＣアドレス５３１０は、ネットワーク装置１００が受信したパケットのＭＡＣアドレスが登録される。

変換ＭＡＣアドレス５３２０は、ＦＤＢ用ＭＡＣアドレス生成部１０００により変換された後のＭＡＣアドレスが登録され、登録数５３３０は、変換ＭＡＣアドレス５３２０に登録されたＭＡＣアドレスの個数が登録される。登録数５３３０は設けられずに、変換ＭＡＣアドレス５３２０の内容がＭＡＣアドレスであるか否かがカウントされてもよい。

図５を用いて説明したように、ネットワーク装置１００は、正常端末２１０が送信するパケット１１を受信すると、ＭＡＣアドレス５３１０に「Ｍ２１０」が登録され、変換ＭＡＣアドレス５３２０に「Ｍ２１０ａ」が登録されて、登録数５３３０が「１」となる。なお、変換ＭＡＣアドレス５３２０に複数のＭＡＣアドレスを登録する処理については図９を用いて説明する。

不正端末管理テーブル５３００を使用する処理を図３も参照しながら説明する。サーバ端末３００が正常端末２１０宛に送信するパケット１２はパケットの宛先ＭＡＣアドレスに正常端末２１０のＭＡＣアドレスである「Ｍ２１０」が格納されている。ＭＡＣ重複検知部３０００は、パケット１２を受信すると宛先ＭＡＣアドレスである「Ｍ２１０」が不正端末管理テーブル５３００のＭＡＣアドレス５３１０に登録されているか検索する。

図６に示すように不正端末管理テーブル５３００のＭＡＣアドレス５３１０に「Ｍ２１０」が登録されている場合、「Ｍ２１０」に対応する変換ＭＡＣアドレス５３２０に登録されているＭＡＣアドレスが１個であることを検知すると、重複はないため、変換ＭＡＣアドレス５３２０の「Ｍ２１０ａ」を取得して、宛先ＭＡＣアドレスの「Ｍ２１０」を「Ｍ２１０ａ」に置き換える。

ここで、ＭＡＣ重複検知部３０００による「Ｍ２１０ａ」の取得は、「Ｍ２１０」に対応する変換ＭＡＣアドレス５３２０の最初に登録された（変換後の）ＭＡＣアドレス、例えば変換ＭＡＣアドレス５３２０のテーブルとしての最初の欄の（変換後の）ＭＡＣアドレスの取得であってもよい。

このために、変換ＭＡＣアドレス５３２０への登録の時点で登録数５３３０が「０」の場合、変換ＭＡＣアドレス５３２０のテーブルとしての最初の欄に（変換後の）ＭＡＣアドレスが登録されてもよい。

そして、転送制御部２０００は、置き換えられた「Ｍ２１０ａ」をキーワードとして、ＦＤＢテーブル５２００のＭＡＣアドレス５２３０を検索する。図５に示すようにＦＤＢテーブル５２００にはＭＡＣアドレス５２３０の「Ｍ２１０ａ」がポート番号５２２０の「Ｐ１０１」すなわちポート１０１で登録されており、ネットワーク装置１００はパケット１２をポート１０１から送信する。

図７は、不正端末が接続されたネットワーク構成の例を示す図である。図３で説明したネットワーク構成において、不正端末２３０がネットワークに接続した直後の状態、すなわち回線５０２がリンクアップすると、不正端末２３０は通信を開始するためにパケット３１を送信する。ここで、パケット３１はＡＲＰパケットであることが一般的であるが、ＡＲＰパケット以外のパケットでもよい。

また、不正端末２３０は、正常端末２１０と同じＭＡＣアドレスになりすました端末であり、不正端末２３０のＭＡＣアドレスである「Ｍ２１０」は、正常端末２１０のＭＡＣアドレスである「Ｍ２１０」と同一のＭＡＣアドレスである。

なお、不正端末２３０の通信以外は、図１および図３を用いて説明したとおりであるので、図１および図３と同じ符号を用いて説明を省略する。

以下では、不正端末２３０が送信するパケット３１について、図８と図９を用いて説明する。

図８は、不正端末接続後のＦＤＢテーブル５２００の例を示す図である。図５に示したＦＤＢテーブル５２００と同じ要素、同じ符号、あるいは同じ値は、図５を用いた説明と同じ説明であるので、説明を省略する。

ネットワーク装置１００の転送制御部２０００は、不正端末２３０が送信するパケット３１をポート１０２で受信すると、ポート１０２のポート番号である「Ｐ１０２」と不正端末２３０のＭＡＣアドレスである「Ｍ２１０」をＦＤＢテーブル５２００へ登録する（この状態の図示は省略）。

ＦＤＢ用ＭＡＣアドレス生成部１０００は、登録されたポート番号の「Ｐ１０２」すなわちポート１０２の不正端末監視の実行状態５１２０が「有効」であると判定すると、ＭＡＣアドレス５２３０の「Ｍ２１０」にポート１０２の識別子を加味したＭＡＣアドレス「Ｍ２１０ｂ」に変換する。そして、ＦＤＢテーブル５２００のＭＡＣアドレス５２３０には、変換後のＭＡＣアドレスである「Ｍ２１０ｂ」が上書きされる。

ＭＡＣアドレスの変換前の「Ｍ２１０」と変換後の「Ｍ２１０ｂ」の対応は、不正端末管理テーブル５３００で管理される。この場合の不正端末管理テーブル５３００については、図９を用いて後で説明する。

図７で説明したように、不正端末２３０のＭＡＣアドレスである「Ｍ２１０」は、正常端末２１０のＭＡＣアドレスである「Ｍ２１０」と同一のＭＡＣアドレスであるが、ポートの識別子を加味したＭＡＣアドレスに変換することにより、ＦＤＢテーブル５２００のＭＡＣアドレス５２３０に登録された「Ｍ２１０ａ」と「Ｍ２１０ｂ」は異なるＭＡＣアドレスとなる。

これにより、一般的な従来のＦＤＢテーブルの処理として、ＦＤＢテーブル５２００のポート番号５２２０の「Ｐ１０１」に対応するＭＡＣアドレス５２３０へ「Ｍ２１０」が登録され、その後、ポート番号５２２０の「Ｐ１０２」に対応するＭＡＣアドレス５２３０へ「Ｍ２１０」が登録されることにより、「Ｍ２１０」が「Ｐ１０１」から「Ｐ１０２」へ移動することが防止される。

すなわち、ポート１０１に接続された正常端末２１０宛に、サーバ端末３００により送信されたパケット１２が、ＦＤＢテーブル５２００に基づいてポート１０２に接続された不正端末２３０に送信されることが防止される。

図９は、不正端末接続後の不正端末管理テーブル５３００の例を示す図である。図６に示した不正端末管理テーブル５３００と同じ要素、同じ符号、あるいは同じ値は、図６を用いた説明と同じ説明であるので、説明を省略する。

図８を用いて説明したように、ネットワーク装置１００は、不正端末２３０が送信するパケット３１を受信すると、ＭＡＣアドレス５３１０に「Ｍ２１０」を、変換ＭＡＣアドレス５３２０に「Ｍ２１０ｂ」を登録する。

ここで、ＭＡＣアドレス５３１０には同一の「Ｍ２１０」が既に登録されているため、変換後のＭＡＣアドレスである「Ｍ２１０ｂ」は、登録済の「Ｍ２１０」に対応する２個目の変換ＭＡＣアドレスとして、不正端末管理テーブル５３００に登録され、登録数５３３０が「２」に更新される。２個目の変換ＭＡＣアドレスであることは、登録数５３３０の値から判定されてもよい。

図１０は、不正端末が通信するネットワーク構成の例を示す図である。図７で説明したネットワーク構成において、不正端末２３０が通信を開始するために送信したパケット３１の応答のパケット３２をネットワーク装置１００がポート１０３で受信した状態である。

ここで、パケット３１はＡＲＰパケットであり、パケット３２はＡＲＰの応答のパケットであることが一般的であるが、ＡＲＰに関するパケット以外のパケットであってもよい。

ネットワーク装置１００はパケット３２を受信すると、ＭＡＣ重複検知部３０００により、パケット３２の宛先ＭＡＣアドレスで、不正端末管理テーブル５３００のＭＡＣアドレス５３１０に登録されたＭＡＣアドレスが検索される。

パケット３２の宛先ＭＡＣアドレスは不正端末２３０のＭＡＣアドレスである「Ｍ２１０」であるが、正常端末２１０のＭＡＣアドレスである「Ｍ２１０」と同一のＭＡＣアドレスである場合、図９に示すようにＭＡＣアドレス５３１０の「Ｍ２１０」に対応する変換ＭＡＣアドレス５３２０に２個が登録されていることを検知する（登録数５３３０の「２」を検知してもよい）。

ネットワーク装置１００は、不正端末管理テーブル５３００のＭＡＣアドレス５３１０の１個に対応する変換ＭＡＣアドレス５３２０が複数個登録されていることを検知すると、不正端末が接続されている可能性があるため、変換後ＭＡＣアドレス「Ｍ２１０ａ」と「Ｍ２１０ｂ」が不正端末の可能性がある端末とする処理を実行する。

不正端末の可能性がある端末とする処理として、ネットワーク装置１００は、パケット３２を破棄する。図１０では図示を省略したが、この処理を開始した時点以降で、正常端末２１０を宛先とするパケット１２をネットワーク装置が受信した場合、パケット１２も破棄してもよい。

そして、ネットワーク装置１００は、図８に示すＦＤＢテーブル５２００からＭＡＣアドレス５２３０が「Ｍ２１０ａ」と「Ｍ２１０ｂ」に対応するポート番号の「Ｐ１０１」と「Ｐ１０２」を取得し、ポート状態制御部４０００を用いてポート番号の「Ｐ１０１」と「Ｐ１０２」に対応するポート１０１とポート１０２を停止する。

図１１は、停止後のネットワーク構成の例を示す図である。図１０を用いて説明したネットワーク構成において、ポート１０１とポート１０２を停止した後の状態である。ポート１０１とポート１０２の停止により、物理的には接続されているものの、回線５０１と回線５０２がリンクダウンし、正常端末２１０と不正端末２３０がネットワークから遮断される。

この結果、停止後は不正端末２３０から一切パケットを受信することなく、不正端末２３０をネットワークから遮断できる。

以上の説明では、パケット３２の宛先ＭＡＣアドレスに基づいて不正端末２３０をネットワークから遮断したが、パケット３１をネットワーク装置１００が受信したときの動作で不正端末２３０をネットワークから遮断してもよい。

例えば、ＦＤＢ用ＭＡＣアドレス生成部１０００は、パケット３１に対して、不正端末管理テーブル５３００の変換ＭＡＣアドレス５３２０へ「Ｍ２１０ｂ」を登録して、登録数５３３０を「２」にし、ＭＡＣ重複検知部３０００は、この登録数５３３０が「２」となる登録を検知し、ポート状態制御部４０００を用いてポート１０１とポート１０２を停止してもよい。

以上で説明したように、不正端末が正常端末のＭＡＣアドレスと同じＭＡＣアドレスになりすましても、ポートに依存して変換されたＭＡＣアドレスを用いるため、正常端末へのパケットの転送路が、不正端末の方へ変更されることはない。

また、不正端末へのパケットを検出すると、ポートを停止するため、この停止によっても、不正端末へパケットが届くことはない。さらに、このような不正端末監視装置としての機能を、一般的なネットワーク装置への付加機能として実現することも可能である。

１１正常端末からのパケット
１２正常端末宛のパケット
３１不正端末からのパケット
３２不正端末宛のパケット
１００ネットワーク装置
２１０正常端末
２３０不正端末
３００サーバ端末

Claims

複数のポートを有し、前記複数のポート間でパケットを中継するネットワーク装置であって、
前記複数のポートの中の第１のポートで受信したパケットの送信元のＭＡＣアドレスを前記第１のポートに依存した第１のＭＡＣアドレスに変換し、前記複数のポートの中の第２のポートで受信したパケットの送信元のＭＡＣアドレスを前記第２のポートに依存した第２のＭＡＣアドレスに変換する生成部と、
前記第１のポートで受信したパケットの送信元のＭＡＣアドレスと、前記生成部により変換された前記第１のＭＡＣアドレスとを関連付ける情報、および前記第２のポートで受信したパケットの送信元のＭＡＣアドレスと、前記生成部により変換された前記第２のＭＡＣアドレスとを関連付ける情報が格納される管理テーブルと、
前記複数のポートのいずれかのポートで受信したパケットの宛先のＭＡＣアドレスを、前記管理テーブルで検索し、受信したパケットの宛先のＭＡＣアドレスに関連付けられた前記第１のＭＡＣアドレスあるいは前記第２のＭＡＣアドレスを特定し、特定された前記第１のＭＡＣアドレスあるいは前記第２のＭＡＣアドレスに変換する検知部と、
前記第１のＭＡＣアドレスあるいは前記第２のＭＡＣアドレスに基づいて前記複数のポートの中から、受信したパケットの送信ポートを特定する転送制御部と、を有し、
前記検知部は、
前記管理テーブルにおいて、前記複数のポートのいずれかのポートで受信したパケットの宛先のＭＡＣアドレスに前記第１のＭＡＣアドレス及び前記第２のＭＡＣアドレスが関連付けられていることを検知して、前記第１のポートと前記第２のポートを停止するよう制御すること
を備えたことを特徴とするネットワーク装置。
複数のポートを有し、前記複数のポート間でパケットを中継するネットワーク装置であって、
前記複数のポートの中の第１のポートで受信したパケットの送信元のＭＡＣアドレスを前記第１のポートに依存した第１のＭＡＣアドレスに変換し、前記複数のポートの中の第２のポートで受信したパケットの送信元のＭＡＣアドレスを前記第２のポートに依存した第２のＭＡＣアドレスに変換する生成部と、
前記第１のポートで受信したパケットの送信元のＭＡＣアドレスと、前記生成部により変換された前記第１のＭＡＣアドレスとを関連付ける情報、および前記第２のポートで受信したパケットの送信元のＭＡＣアドレスと、前記生成部により変換された前記第２のＭＡＣアドレスとを関連付ける情報が格納される管理テーブルと、
前記複数のポートのいずれかのポートで受信したパケットの宛先のＭＡＣアドレスを、前記管理テーブルで検索し、受信したパケットの宛先のＭＡＣアドレスに関連付けられた前記第１のＭＡＣアドレスあるいは前記第２のＭＡＣアドレスを特定し、特定された前記第１のＭＡＣアドレスあるいは前記第２のＭＡＣアドレスに変換する検知部と、
前記第１のＭＡＣアドレスあるいは前記第２のＭＡＣアドレスに基づいて前記複数のポートの中から、受信したパケットの送信ポートを特定する転送制御部と、を有し、
前記検知部は、
前記管理テーブルにおいて、同一のＭＡＣアドレスに前記第１のＭＡＣアドレス及び前記第２のＭＡＣアドレスが関連付けられていることを検知して、前記第１のポートと前記第２のポートを停止するよう制御すること
を備えたことを特徴とするネットワーク装置。
請求項１および２の何れかに記載のネットワーク装置であって、
前記第１のポートと前記生成部により変換された前記第１のＭＡＣアドレスとを関連付ける情報、および前記第２のポートと前記生成部により変換された前記第２のＭＡＣアドレスとを関連付ける情報が格納されるＦＤＢテーブルをさらに備え、
前記転送制御部は、
前記検知部により変換された前記第１のＭＡＣアドレスあるいは前記第２のＭＡＣアドレスを、前記ＦＤＢテーブルで検索し、前記第１のＭＡＣアドレスあるいは前記第２のＭＡＣアドレスに関連付けられた前記第１のポートあるいは前記第２のポートを、受信したパケットの送信ポートとして特定すること
を特徴とするネットワーク装置。
請求項１および２の何れかに記載のネットワーク装置であって、
前記検知部は、
前記複数のポートのいずれかのポートで受信したパケットの宛先のＭＡＣアドレスを、前記管理テーブルで検索し、受信したパケットの宛先のＭＡＣアドレスに関連付けられた前記第１のＭＡＣアドレスあるいは前記第２のＭＡＣアドレスを特定し、特定された前記第１のＭＡＣアドレスあるいは前記第２のＭＡＣアドレスに変換すること
を特徴とするネットワーク装置。
請求項３に記載のネットワーク装置であって、
前記複数のポートのそれぞれに第１の状態と第２の状態が設定される構成テーブルをさらに備え、
前記生成部は、
前記構成テーブルにおいて前記第１のポートが前記第１の状態であると判定すると、前記第１のポートで受信したパケットの送信元のＭＡＣアドレスを前記第１のポートに依存した第１のＭＡＣアドレスに変換し、前記構成テーブルにおいて前記第２のポートが前記第１の状態であると判定すると、前記第２のポートで受信したパケットの送信元のＭＡＣアドレスを前記第２のポートに依存した第２のＭＡＣアドレスに変換し、前記構成テーブルにおいて前記複数のポートの中の第３のポートが前記第２の状態であると判定すると、変換をスキップし、
前記ＦＤＢテーブルは、
前記第１のポートと前記生成部により変換された前記第１のＭＡＣアドレスとを関連付ける情報、前記第２のポートと前記生成部により変換された前記第２のＭＡＣアドレスとを関連付ける情報、および前記第３のポートと前記第３のポートで受信したパケットの送信元のＭＡＣアドレスとを関連付ける情報が格納されること
を特徴とするネットワーク装置。
請求項４に記載のネットワーク装置であって、
前記検知部は、
前記複数のポートのいずれかのポートで受信したパケットの宛先のＭＡＣアドレスが、前記第１のＭＡＣアドレス及び前記第２のＭＡＣアドレスに関連付けて前記管理テーブルに格納される第３のＭＡＣアドレスであることを検知して、受信したパケットを破棄すること
を特徴とするネットワーク装置。
請求項６に記載のネットワーク装置であって、
前記第１のポートと前記第２のポートで送信元が前記第３のＭＡＣアドレスのＡＲＰパケットを受信し、前記複数のポートのいずれかのポートで宛先が前記第３のＭＡＣアドレスのＡＲＰの応答のパケットを受信すること
を特徴とするネットワーク装置。
サーバと複数の端末がネットワーク装置に接続され、パケットで通信されるネットワークシステムであって、
前記複数の端末の中の第１の端末は、
前記第１の端末のＭＡＣアドレスを送信元のＭＡＣアドレスとするパケットを、前記ネットワーク装置の第１のポートへ送信し、
前記複数の端末の中の第２の端末は、
前記第２の端末のＭＡＣアドレスを送信元のＭＡＣアドレスとするパケットを、前記ネットワーク装置の第２のポートへ送信し、
前記サーバは、
前記第１の端末のＭＡＣアドレスあるいは前記第２の端末のＭＡＣアドレスを宛先のＭＡＣアドレスとするパケットを、前記ネットワーク装置の第３のポートへ送信し、
前記ネットワーク装置は、
前記複数のポートの中の第１のポートで受信したパケットの送信元のＭＡＣアドレスを前記第１のポートに依存した第１のＭＡＣアドレスに変換し、前記複数のポートの中の第２のポートで受信したパケットの送信元のＭＡＣアドレスを前記第２のポートに依存した第２のＭＡＣアドレスに変換する生成部と、
前記第１のポートで受信したパケットの送信元のＭＡＣアドレスと、前記生成部により変換された前記第１のＭＡＣアドレスとを関連付ける情報、および前記第２のポートで受信したパケットの送信元のＭＡＣアドレスと、前記生成部により変換された前記第２のＭＡＣアドレスとを関連付ける情報が格納される管理テーブルと、
前記複数のポートのいずれかのポートで受信したパケットの宛先のＭＡＣアドレスを、前記管理テーブルで検索し、受信したパケットの宛先のＭＡＣアドレスに関連付けられた前記第１のＭＡＣアドレスあるいは前記第２のＭＡＣアドレスを特定し、特定された前記第１のＭＡＣアドレスあるいは前記第２のＭＡＣアドレスに変換する検知部と、
前記第１のＭＡＣアドレスあるいは前記第２のＭＡＣアドレスに基づいて前記複数のポートの中から、受信したパケットの送信ポートを特定する転送制御部と、を有し、
前記検知部は、
前記管理テーブルにおいて、前記複数のポートのいずれかのポートで受信したパケットの宛先のＭＡＣアドレスに前記第１のＭＡＣアドレス及び前記第２のＭＡＣアドレスが関連付けられていることを検知して、前記第１のポートと前記第２のポートを停止するよう制御すること
を特徴とするネットワークシステム。