スイッチングハブ及び検疫ネットワークシステム
【課題】ＶＬＡＮによって業務ネットワークと隔離ネットワークとが構築されている場合において、隔離ネットワーク内での端末間の通信を制限し得る、スイッチングハブ、及び検疫ネットワークシステムを提供する。
【解決手段】ネットワークを管理する管理サーバに接続されるＶＬＡＮ機能付のスッチングハブ２０を用いる。スイッチングハブ２０は、管理サーバからの指示に応じて、スイッチングハブ２０に接続された端末の接続先のＶＬＡＮを、業務用のＶＬＡＮ及び隔離用のＶＬＡＮのいずれかに設定する、ＶＬＡＮ設定部２０１と、端末から送信されたパケットを受信し、受信したパケットの送信元のＭＡＣアドレス及び送信先のＭＡＣアドレスに基づいて、隔離用のＶＬＡＮ内での端末間の通信が行なわれているかどうかを判定し、通信が行なわれている場合に、受信したパケットを破棄する、パケット処理部２１０と、を備えている。
【解決手段】ネットワークを管理する管理サーバに接続されるＶＬＡＮ機能付のスッチングハブ２０を用いる。スイッチングハブ２０は、管理サーバからの指示に応じて、スイッチングハブ２０に接続された端末の接続先のＶＬＡＮを、業務用のＶＬＡＮ及び隔離用のＶＬＡＮのいずれかに設定する、ＶＬＡＮ設定部２０１と、端末から送信されたパケットを受信し、受信したパケットの送信元のＭＡＣアドレス及び送信先のＭＡＣアドレスに基づいて、隔離用のＶＬＡＮ内での端末間の通信が行なわれているかどうかを判定し、通信が行なわれている場合に、受信したパケットを破棄する、パケット処理部２１０と、を備えている。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＶＬＡＮ機能を有するスイッチングハブ、及びそれを備えた検疫ネットワークシステムに関する。
【背景技術】
【０００２】
近年、情報漏えい対策の１つの技術として、検疫ネットワークシステムが注目されている。検疫ネットワークシステムは、まず、社内ＬＡＮに接続している端末における、各ベンダーから配信されるセキュリティパッチの適用状態、ウイルス対策ソフトのパターンファイルの更新状態などをチェックする。
【０００３】
そして、検疫ネットワークシステムは、セキュリティポリシーに適合していない端末を隔離用のネットワークに隔離し、セキュリティパッチの適用などを強制的に促す。この結果、企業内のセキュリティレベルの向上が図られる。また、検疫ネットワークシステムは、ウイルスに感染している端末についても、隔離用のネットワークに隔離する。この結果、ウイルス感染の拡大も防止される。
【０００４】
このような検疫ネットワークシステムでは、一般に、ネットワークの制御をより厳密に行うために、ＶＬＡＮ（Virtual LAN）機能を有するハブが利用されている（例えば、特許文献１参照）。このようなハブは、レイヤ２スイッチとも呼ばれ、インターネットプロトコルの通信に利用されるレイヤよりも低いレイヤ（データリンク層）において、ネットワークを制御している。
【０００５】
具体的には、ハブは、業務用のＶＬＡＮと隔離用のＶＬＡＮとを備えている。そして、この二つのＶＬＡＮによって、通常の業務で使用するネットワーク（業務ネットワーク）と、セキュリティレベルが十分でない端末を隔離するためのネットワーク（隔離ネットワーク）とが構築される。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】国際公開第２００４／１１４５９９号
【発明の概要】
【発明が解決しようとする課題】
【０００７】
ところで、特許文献１に開示されている従来からの検疫ネットワークシステムでは、ウイルスに感染した端末も、セキュリティポリシーに適合していない端末が隔離されている隔離ネットワークに隔離される。このため、隔離ネットワーク内で、セキュリティポリシーに適合していない端末と、ウイルスに感染した端末とが通信可能となってしまい、結果、セキュリティポリシーに適合していない端末がウイルスに感染してしまうという問題が発生する。
【０００８】
本発明の目的の一例は、上記問題を解消し、ＶＬＡＮによって業務ネットワークと隔離ネットワークとが構築されている場合において、隔離ネットワーク内での端末間の通信を制限し得る、スイッチングハブ、及び検疫ネットワークシステムを提供することにある。
【課題を解決するための手段】
【０００９】
上記目的を達成するため、本発明の一側面におけるスイッチングハブは、ネットワークを管理する管理サーバに接続されるＶＬＡＮ機能付のスッチングハブであって、
前記管理サーバからの指示に応じて、当該スイッチングハブに接続された端末の接続先のＶＬＡＮを、業務用のＶＬＡＮ及び隔離用のＶＬＡＮのいずれかに設定する、ＶＬＡＮ設定部と、
前記端末から送信されたパケットを受信し、受信したパケットの送信元のＭＡＣアドレス及び送信先のＭＡＣアドレスに基づいて、前記隔離用のＶＬＡＮ内での端末間の通信が行なわれているかどうかを判定し、前記通信が行なわれている場合に、前記受信したパケットを破棄する、パケット処理部と、
を備えている、ことを特徴とする。
【００１０】
また、上記目的を達成するため、本発明の一側面における検疫ネットワークシステムは、ネットワークを管理する管理サーバと、それに接続されるＶＬＡＮ機能付のスッチングハブとを備え、
前記管理サーバは、
前記スイッチングハブに接続された端末におけるセキュリティポリシーの状況を判定する、セキュリティポリシー判定部と、
前記セキュリティポリシー判定部による判定の結果に応じて、前記端末の接続先のＶＬＡＮとして、業務用のＶＬＡＮ及び隔離用のＶＬＡＮのいずれかを選択し、前記スイッチングハブに、選択したＶＬＡＮへの前記端末の接続を指示する、ネットワーク制御部とを備え、
前記スイッチングハブは、
前記管理サーバからの指示に応じて、当該スイッチングハブに接続された端末の接続先のＶＬＡＮを、業務用のＶＬＡＮ及び隔離用のＶＬＡＮのいずれかに設定する、ＶＬＡＮ設定部と、
前記端末から送信されたパケットを受信し、受信したパケットの送信元のＭＡＣアドレス及び送信先のＭＡＣアドレスに基づいて、前記隔離用のＶＬＡＮ内での端末間の通信が行なわれているかどうかを判定し、前記通信が行なわれている場合に、前記受信したパケットを破棄する、パケット処理部と、
を備えている、ことを特徴とする。
【発明の効果】
【００１１】
以上のように、本発明におけるスイッチングハブ及び検疫ネットワークシステムによれば、ＶＬＡＮによって業務ネットワークと隔離ネットワークとが構築されている場合において、隔離ネットワーク内での端末間の通信を制限することができる。
【図面の簡単な説明】
【００１２】
【図１】図１は、本発明の実施の形態１における検疫ネットワークシステムの全体構成を示す図である。
【図２】図２は、本発明の実施の形態における管理サーバの構成を示すブロック図である。
【図３】図３は、本発明の実施の形態１において、端末情報データベースが格納している情報の一例を示す図である。
【図４】図４は、本発明の実施の形態１におけるスイッチングハブの構成を示すブロック図である。
【図５】図５は、本発明の実施の形態１において用いられるリストの一例を示している。
【図６】図６は、本発明の実施の形態１において検疫対象となる端末の構成を示すブロック図である。
【図７】図７は、本発明の実施の形態１で用いられる情報収集データベースに格納されている情報の一例を示す図である。
【図８】図８は、本発明の実施の形態における検疫ネットワークシステムの動作を示すシーケンス図である。
【図９】図９は、本発明の実施の形態２における検疫ネットワークシステムの全体構成を示す図である。
【発明を実施するための形態】
【００１３】
（実施の形態１）
以下、本発明の実施の形態１におけるスイッチングハブ及び検疫ネットワークシステムについて、図１〜図８を参照しながら説明する。
【００１４】
［システム構成及び装置構成］
最初に、本実施の形態１における検疫ネットワークシステムの全体構成について図１を用いて説明する。図１は、本発明の実施の形態１における検疫ネットワークシステムの全体構成を示す図である。
【００１５】
図１に示すように、本実施の形態１における検疫ネットワークシステム４０は、ネットワークを管理する管理サーバ１０と、ＶＬＡＮ機能を有するスイッチングハブ２０とを備えている。そして、スイッチングハブ２０において、管理サーバ１０はポート２１に、端末３０はポート２２に、端末３１はポート２３に、それぞれ接続されており、ネットワークが構築されている。
【００１６】
管理サーバ１０は、端末３０及び端末３１がセキュリティポリシーを満たしているかどうかを判定し、その判定結果に基づき、スイッチングハブ２０にＶＬＡＮを切り替える指示を出力する。端末３０及び３１は、一般的な業務用のパーソナルコンピュータである。
【００１７】
スイッチングハブ２０は、ポート２１〜２３に接続されている機器間の通信用のパケットを送信及び受信する。また、スイッチングハブ２０は、管理サーバ１０からの指示に応じて、端末３０及び端末３１が接続しているＶＬＡＮを、業務用のＶＬＡＮ及び隔離用のＶＬＡＮのいずれかに設定する。
【００１８】
そして、検疫ネットワークシステム４０においては、管理サーバ１０は、この業務用のＶＬＡＮと隔離用のＶＬＡＮとを用いて検疫処理を実行する。なお、図１においては、隔離用のＶＬＡＮを「ＶＬＡＮ（Ａ）」と表記し、業務用のＶＬＡＮを「ＶＬＡＮ（Ｂ）」と表記する。
【００１９】
また、本実施の形態では、後述するように、スイッチングハブ２０は、パケットの送信に優先度を設定する機能、即ち、「ＱｏＳ（Quality of Service）機能」を有している。そして、スイッチングハブ２０は、この機能を利用して、受信したパケットの廃棄または送信の判定を行い、判定結果に応じた動作を実行する。
【００２０】
なお、「ＱｏＳ」とは、ネットワーク上のパケットの中に存在するClass of Service値等を用いて、特定の通信を優先的に処理する技術である。「ＱｏＳ」は、ＲＦＣ２２１１及びＲＦＣ２２１２によって定義されている。
【００２１】
［管理サーバの構成］
続いて、図２を用いて、本実施の形態における管理サーバの構成について説明する。図２は、本発明の実施の形態における管理サーバの構成を示すブロック図である。
【００２２】
図２に示すように、管理サーバ１０は、端末情報データベース１０１と、セキュリティポリシー判定部１０２と、ネットワーク制御部１０５とを備えている。端末情報データベース１０１には、スイッチングハブ２０に接続される端末の情報（端末情報）が格納されている。端末情報の具体例については図３を用いて後述する。
【００２３】
セキュリティポリシー判定部１０２は、スイッチングハブ２０に接続されている端末のセキュリティポリシーの状況を判定する。具体的には、セキュリティポリシー判定部１０２は、各端末が、設定されたセキュリティポリシーを満たしているかどうかを判定し、判定結果をネットワーク制御部１０５に出力する。
【００２４】
ネットワーク制御部１０５は、セキュリティポリシー判定部１０２による判定の結果に応じて、端末の接続先のＶＬＡＮとして、業務用のＶＬＡＮ及び隔離用のＶＬＡＮのいずれかを選択し、スイッチングハブ２０に、選択したＶＬＡＮへの端末の接続を指示する。
【００２５】
具体的には、ネットワーク制御部１０５は、ＶＬＡＮ切替判定部１０３と、ＶＬＡＮ切替指示部１０４とを備えている。このうち、ＶＬＡＮ切替判定部１０３は、セキュリティポリシー判定部１０２による判定結果に基づいて、端末が接続している現在のＶＬＡＮを切り替える必要があるかどうかを判定し、判定結果を、ＶＬＡＮ切替指示部１０４に出力する。
【００２６】
ＶＬＡＮ切替指示部１０４は、ＶＬＡＮ切替判定部１０３からの判定結果に基づいて、スイッチングハブ２０に、対象となる端末にＶＬＡＮの切替を指示する命令を出力する。
【００２７】
ここで、端末情報データベース１０１が格納している端末情報の具体例について説明する。図３は、本発明の実施の形態１において、端末情報データベースが格納している情報の一例を示す図である。なお、以降の説明では、「データベース」は「ＤＢ」と表記する。
【００２８】
図３に示すように、端末情報ＤＢ１０１は、スイッチングハブ２０に接続している端末の名称（マシン名）、端末のＭＡＣアドレス、ウイルスの感染状況、適用されるセキュリティポリシー、端末が収集した情報（収集情報）、セキュリティポリシーのチェック結果、現在端末が接続しているネットワーク名を格納している。
【００２９】
［スイッチングハブの構成］
次に、図４を用いて、本実施の形態１におけるスイッチングハブ２０の構成について説明する。図４は、本発明の実施の形態１におけるスイッチングハブの構成を示すブロック図である。
【００３０】
図４に示すスイッチングハブ２０は、レイヤ２スイッチであり、ＶＬＡＮ機能を備えている。図４に示すように、スイッチングハブ２０は、ＶＬＡＮ設定部２０１と、パケット処理部２１０とを備えている。
【００３１】
ＶＬＡＮ設定部２０１は、管理サーバ１０（図１及び図２参照）からの指示に応じて、スイッチングハブ２０に接続された端末（図１の例では、端末３０及び３１）の接続先のＶＬＡＮを、業務用のＶＬＡＮ及び隔離用のＶＬＡＮのいずれかに設定する。
【００３２】
パケット処理部２１０は、端末から送信されたパケットを受信し、受信したパケットの送信元のＭＡＣアドレス及び送信先のＭＡＣアドレスに基づいて、隔離用のＶＬＡＮ（図１中のＶＬＡＮ（Ａ））内での端末間の通信が行なわれているかどうかを判定する。そして、パケット処理部２１０は、判定の結果、隔離用のＶＬＡＮ内で端末間の通信が行なわれている場合は、受信したパケットを破棄する。
【００３３】
このように、本実施の形態１においては、スイッチングハブ２０は、ＶＬＡＮによって業務ネットワークと隔離ネットワークとが構築されている場合において、隔離ネットワーク内での端末間の通信を制限することができる。このため、隔離ネットワーク内に、セキュリティポリシーに適合していない端末と、ウイルスに感染している端末とが接続されている場合に、前者がウイルスに感染してしまう事態の発生が回避される。
【００３４】
ここで、図４に加えて図５を用いて、本実施の形態１におけるスイッチングハブ２０の構成を更に具体的に説明する。図４に示すように、本実施の形態１においては、スイッチングハブ２０は、ＶＬＡＮ設定部２０１及びパケット処理部２１０に加えて、設定実行部２０２と、端末検知部２０９とを備えている。
【００３５】
端末検知部２０９は、端末がスイッチングハブ２０のポート２２または２３に接続されると、端末の接続を検知し、接続が検知された端末から情報を取得し、取得した情報を管理サーバ１０に送信する。
【００３６】
また、パケット処理部２１０は、本実施の形態では、Ｑｏｓ機能が備え、このＱｏｓ機能を用いて、隔離用のＶＬＡＮ内での端末間の通信であるかどうかの判定と、そうである場合のパケットの破棄とを実行する。
【００３７】
具体的には、本実施の形態では、パケット処理部２１０は、クラス分け実行部２０３と、リスト記憶部２０４と、入力キュー２０５及び２０６と、出力キュー２０７と、パケットの破棄を実行するパケット破棄実行部２０８と、を備えている。
【００３８】
リスト記憶部２０４は、管理サーバ１０のＭＡＣアドレスが少なくとも登録されたリストを記憶している。具体的には、本実施の形態１において用いられるリストは、Ｑｏｓで用いられるクラス分けリストである。以下、リスト記憶部２０４に記憶されているリストは、「クラス分けリスト」と表記する場合もある。図５は、本発明の実施の形態１において用いられるリストの一例を示している。
【００３９】
図５に示すように、クラス分けリストには、アクセスコントロールリストと同様に、パケット毎に、送信元のＭＡＣアドレスと、送信先のＭＡＣアドレスとが登録される。また、クラス分けリストには、事前設定として、管理サーバ１０のＭＡＣアドレスと、ブロードキャストアドレスとが登録される。
【００４０】
クラス分け実行部２０３は、クラス分けリストに基づいて、受信したパケットをどのキューに割り振るかを決定する。入力キュー２０５は、優先度が最高に設定されているキューである。入力キュー２０６は、入力されたパケットを破棄するように設定されているキューである。出力キュー２０７は、パケットを送信する機能を持つキューである。
【００４１】
つまり、パケット処理部２１０では、まず、クラス分け実行部２０３は、受信したパケットの送信元のＭＡＣアドレス及び送信先のＭＡＣアドレスと、クラス分けリスト（図５参照）とを比較する。
【００４２】
そして、比較の結果、クラス分けリストにおいて、送信元のＭＡＣアドレスが登録されておらず、且つ、送信先のＭＡＣアドレスが管理サーバ１０のＭＡＣアドレス以外である場合は、隔離用のＶＬＡＮ内で端末間の通信が行なわれていると判定できる。よって、クラス分け実行部２０３は、受信したパケットを入力キュー２０６に送る。この場合、入力キュー２０６は、パケットをパケット破棄部２０８に送り、結果、パケットは破棄される。
【００４３】
また、比較の結果、クラス分けリストにおいて、送信元のＭＡＣアドレスが登録されている場合、または送信先のＭＡＣアドレスが管理サーバのＭＡＣアドレスである場合は、隔離用のＶＬＡＮ内で端末間の通信が行なわれていないと判定できる。よって、クラス分け実行部２０３は、受信したパケットを入力キュー２０５に出力する。そして、入力キュー２０５では、優先度が最高に設定されているので、入力キュー２０５は、即座に、パケットを出力キュー２０７に渡す。この結果、パケットは、送信先に送信される。
【００４４】
また、設定実行部２０２は、管理サーバ１０から端末を業務用のＶＬＡＮに接続するように指示された場合に、端末のＭＡＣアドレスを、図５に示すクラス分けリストに登録する。この結果、パケット処理部２１０は、指示が行なわれた端末を送信元とするパケットの送信を可能にする。本実施の形態１において、設定実行部２０２は、ＱｏＳの設定変更を行なっている。
【００４５】
［端末の構成］
次に、図６を用いて、本実施の形態１において検疫対象となる端末の構成について説明する。図６は、本発明の実施の形態１において検疫対象となる端末の構成を示すブロック図である。図６に示すように、端末３０は、情報収集部３０１と、情報収集ＤＢ３０２と、通信部３０３とを備えている。なお、図６においては示していないが、端末３１も、端末３０と同様の構成を備えている。
【００４６】
情報収集部３０１は、当該端末３０に適用されているセキュリティポリシーに基づいて、セキュリティポリシーのチェックに必要な端末自身の情報、例えば、ウイルス対策ソフトのバージョン、使用されているソフトウェアに適用されているパッチファイルのバージョン等、を収集する。
【００４７】
情報収集ＤＢ３０２は、情報収集部３０１が収集した端末自身情報と、適用されているセキュリティポリシーとを格納する。また、通信部３０３は、端末３０から他の端末へとパケットを発信する。
【００４８】
ここで、情報収集ＤＢ３０２に格納されている情報について説明する。図７は、本発明の実施の形態１で用いられる情報収集データベースに格納されている情報の一例を示す図である。図７に示すように、情報収集ＤＢ３０２は、端末３０に適用されているセキュリティポリシー、そのセキュリティポリシーで適用が指示されているパッチファイルのリスト、インストールされているウイルス対策ソフトの状況（または、ウイルス対策ソフトの適用されるべきパターンファイルのリスト）、チェックされるレジストリ値を格納している。
【００４９】
［システム動作］
次に、本発明の実施の形態１における検疫ネットワークシステムの動作について図８を用いて説明する。図８は、本発明の実施の形態における検疫ネットワークシステムの動作を示すシーケンス図である。なお、図８においては、管理サーバ１０、スイッチングハブ２０、端末３０それぞれを構成する各機能ブロックの処理が示されている。
【００５０】
図８に示すように、まず、端末３０がスイッチングハブ２０のいずれかのポートに接続されると、そのタイミングで、スイッチングハブ２０の端末検知部２０９は、端末３０がスイッチングハブ２０に接続されたことを検知する。そして、端末検知部２０９が、端末３０のＭＡＣアドレス等の情報を、管理サーバ１０に送信すると、これらの情報は、管理サーバ１０の端末情報ＤＢ１０１に登録される（ステップ１）。
【００５１】
そして、スイッチングハブ２０に接続された端末３０に対して、未だセキュリティポリシーのチェックが実行されていない場合、端末３０は、隔離ＶＬＡＮに接続されている。この状態で端末３０が、同じ隔離ＶＬＡＮに接続されている端末３１に通信しようとした場合、端末３０の通信部３０３から、スイッチングハブ２０のクラス分け実行部２０３へとパケットが送信される（ステップ２）。
【００５２】
次に、クラス分け実行部２０３は、リスト記憶部２０４に記憶されているクラス分けリストを参照する（ステップ３）。更に、クラス分け実行部２０３は、受信したパケットの送信元のＭＡＣアドレス及び送信先のＭＡＣアドレスと、クラス分けリスト２０４に登録されているＭＡＣアドレスとを比較する（ステップ４）。
【００５３】
この場合、クラス分けリストには、パケットの送信元のＭＡＣアドレスは存在しないので、クラス分け実行部２０３は、入力キュー２０６にパケットを渡す（ステップ５）。
【００５４】
入力キュー２０６は、入力されたパケットを破棄するように設定されており、受け取ったパケットをパケット破棄実行部２０８に渡す（ステップ６）。次に、パケットを受け取ったパケット破棄実行部２０８は、パケットを破棄する（ステップ７）。
【００５５】
このように、スイッチングハブ２０に接続された端末３０に対して、セキュリティポリシーのチェックが実行されていない状態では、クラス分けリストには、端末３０のＭＡＣアドレスは存在していない。このため、端末３０から端末３１へ送信したパケットは破棄される。
【００５６】
次に、管理サーバ１０に端末３０のセキュリティポリシーのチェックを依頼するため、端末３０において、情報収集部３０１は、情報収集ＤＢ３０２を参照して、現在適用されているセキュリティポリシーを確認する（ステップ８）。そして、情報収集部３０１は、セキュリティポリシーに基づいて、収集対象とする端末３０自身の情報を選定し、選定した情報を収集する（ステップ９）。
【００５７】
ステップ９で収集された情報は、端末３０から管理サーバ１０へと送信されるが、このとき、スイッチングハブ２０は、端末３０を送信元とするパケットを受信する。スイッチングハブ２０が受信したパケットは、クラス分け実行部２０３に渡される（ステップ１０）。
【００５８】
次に、クラス分け実行部２０３は、リスト記憶部２０４に記憶されているクラス分けリストを参照し（ステップ１１）、パケットの送信先及び送信元のＭＡＣアドレスが、クラス分けリストに登録されているかどうかを確認する（ステップ１２）。この場合、パケットの送信先に管理サーバ１０のＭＡＣアドレスが存在するため、クラス分け実行部２０３は、パケットを入力キュー２０５に渡す（ステップ１３）。
【００５９】
入力キュー２０５では、パケットを送信する優先度が最大値に設定されているため、即座に、入力キュー２０５は、出力キュー２０７にパケットを渡す（ステップ１４）。次に、出力キュー２０７は、パケットを管理サーバ１０に送信する。そして、パケットを受信した管理サーバ１０は、パケットに含まれる端末３０の情報を、端末情報ＤＢ１０１に登録する（ステップ１５）。なお、ステップ８からステップ１５は、定期的に実行される。つまり、端末の情報は、定期的に収集され、管理サーバ１０にアップロードされる。
【００６０】
管理サーバ１０が、端末３０においてセキュリティポリシーが満たされているかどうかをチェックする場合、管理サーバ１０のポリシー判定部１０２は、端末情報ＤＢ１０１を参照し、端末３０の情報を参照する（ステップ１６）。
【００６１】
次に、ポリシー判定部１０２は、ステップ１５で登録した情報に基づいて、端末３０がセキュリティポリシーを満たしているかどうかを判定する（ステップ１７）。そして、ポリシー判定部１０２は、判定した結果を、ＶＬＡＮ切替判定部１０３に通知する（ステップ１８）。
【００６２】
ＶＬＡＮ切替判定部１０３は、ポリシー判定部１０２から通知された結果を受け取り、端末情報ＤＢ１０１を参照し、端末３０が現在接続しているＶＬＡＮが、業務用のＶＬＡＮ及び隔離用のＶＬＡＮのいずれであるかを確認する（ステップ１９）。
【００６３】
次に、ＶＬＡＮ切替判定部１０３は、ポリシー判定部１０２からの判定結果と端末情報ＤＢ１０１の情報とに基づいて、端末３０が接続されているＶＬＡＮ切り替える必要があるかどうか判定する（ステップ２０）。また、ＶＬＡＮ切替判定部１０３は、その結果をＶＬＡＮ切替指示部１０４に通知する（ステップ２１）。
【００６４】
ここで、端末３０がセキュリティポリシーを満たしているとするならば、ＶＬＡＮ切替判定部１０３は、端末３０が接続されているＶＬＡＮを、隔離用のＶＬＡＮから業務用のＶＬＡＮへと切り替える必要があると判定する。よって、ＶＬＡＮ切替判定部１０３は、ＶＬＡＮ切替指示部１０４に、ＶＬＡＮの切替を指示する。
【００６５】
この場合、ＶＬＡＮ切替指示部１０４は、ＶＬＡＮ切替判定部１０３からのＶＬＡＮの切替の指示に従い、スイッチングハブ２０の設定実行部２０２とＶＬＡＮ設定部２０１とに、ＶＬＡＮの設定を切り替えるように指示を送信する（ステップ２２、ステップ２４）。
【００６６】
そして、ＶＬＡＮ切替の指示を受け取ったスイッチングハブ２０において、設定実行部２０２は、リスト記憶部２０４に格納されているクラス分けリストに、端末３０のＭＡＣアドレスを登録する（ステップ２３）。また、ＶＬＡＮ切替実行部２０１は、端末３０が現在接続している隔離用のＶＬＡＮを、業務用のＶＬＡＮに切り替える（ステップ２５）。
【００６７】
なお、ステップ１６からステップ２０は定期的に実行され、端末がセキュリティポリシーを満たしているかどうかは定期的にチェックされる。その際、ＶＬＡＮの設定変更が必要であれば、ステップ２１〜ステップ２５の処理が実行される。
【００６８】
その後、業務用のＶＬＡＮに接続された端末３０は、同じ業務用のＶＬＡＮに接続されている端末３１と通信するため、端末３０の通信部３０３からパケットを端末３１に送信する（ステップ２６）。ステップ２６が実行されると、スイッチングハブ２０のクラス分け実行部２０３は、端末３０から端末３１への送信パケットを受け取る。そして、クラス分け実行部２０３は、リスト記憶部に格納されているクラス分けリストを参照する（ステップ２７）。
【００６９】
次に、クラス分け実行部２０３は、受信したパケットの送信元及び送信先のＭＡＣアドレスと、クラス分けリストとを比較する（ステップ２８）。この場合、クラス分けリストには、端末３０のＭＡＣアドレスが存在するため、パケットは入力キュー２０５へ渡される（ステップ２９）。
【００７０】
パケットを受け取った入力キュー２０５は、出力キュー２０７へパケットを渡し（ステップ３０）、出力キュー２０７は、端末３１へパケットを送信する（ステップ３１）。このように、端末３０と端末３１との間でのパケットの送信が可能となる。
【００７１】
［実施の形態１による効果］
以上のように、本実施の形態１では、スイッチングハブ２０によって、業務用のＶＬＡＮと隔離用のＶＬＡＮとの２つのＶＬＡＮで分けたネットワークを構築し、それに加え、スイッチングハブ２０に、ＱｏＳを設定する。そして、このＱｏＳの設定によって、隔離用のＶＬＡＮに接続されている端末同士の通信が制限される。
【００７２】
具体的には、スイッチングハブ２０は、受信したパケットの送信元及び送信先のＭａｃアドレスと、ＱｏＳを制御するクラス分けリストとを照合し、隔離用のＶＬＡＮに接続されている端末同士の通信に用いられるパケットを破棄する。一方、端末が隔離用のＶＬＡＮに接続されていても、スイッチングハブ２０は、ＱｏＳによって、端末と管理サーバと間の通信については優先度を上げ、両者の間の通信を可能にする。結果、本実施の形態１によれば、隔離用のＶＬＡＮでの端末同士のウイルス感染は、回避される。
【００７３】
（実施の形態２）
次に、本発明の実施の形態２におけるスイッチングハブ及び検疫ネットワークについて、図９を参照しながら説明する。図９は、本発明の実施の形態２における検疫ネットワークシステムの全体構成を示す図である。
【００７４】
図９に示すように、本実施の形態２においては、検疫ネットワークシステム４１は、管理サーバ１１と、スイッチングハブ５０及び６０とを備えている。本実施の形態２における検疫ネットワークシステム４１は、スイッチングハブが複数接続されている点で、実施の形態１において図１に示した検疫ネットワークシステム４０と異なっている。
【００７５】
本実施の形態２において、スイッチングハブ５０及び６０は、実施の形態１において図１及び図４に示したスイッチングハブ２０と同様の構成及び機能を備えている。また、スイッチングハブ５０とスイッチングハブ６０とは、互いのトランクポート（ポート５２及びポート６１）によって接続されており、両者間では、業務用のＶＬＡＮと隔離用のＶＬＡＮの両方におけるパケットの送受信が可能となっている。
【００７６】
図９の例では、管理サーバ１１は、スイッチングハブ５０のポート５１に接続されている。図１でも示した端末３０及び３１は、それぞれ、スイッチングハブ６０のポート６２及び６３に接続されている。また、スイッチングハブ５０において、ポート５３は、業務用のＶＬＡＮのポートに設定されており、これにはセキュリティポリシーを満たす端末３２が接続されている。なお、図９に示す端末３０〜３２は、それぞれ、図６に示した端末３０と同様の構成及び機能を備えている。
【００７７】
また、本実施の形態２において、管理サーバ１１は、実施の形態１において図１及び図２に示した管理サーバ１０と同様の構成を備えているが、ネットワーク制御部（ＶＬＡＮ切替判定部及びＶＬＡＮ切替指示部）の機能の点で、管理サーバ１０と異なっている。この点について、図８を参照しながら、以下に説明する。
【００７８】
本実施の形態２における検疫ネットワークシステム４０のシーケンスは、基本的には実施の形態１と同様となるが、端末のＶＬＡＮを隔離用のＶＬＡＮから業務用のＶＬＡＮに切り替える処理の点で、実施の形態１と異なっている。本実施の形態２では、図８に示したシーケンス図において点線で囲んだステップ２２〜ステップ２５が、実施の形態１とは異なっている。
【００７９】
具体的には、管理サーバ１１において、ＶＬＡＮ切替指示部１０４（図２参照）は、スイッチングハブ５０の設定実行部２０２（図４参照）に対して、クラス分けリストの更新を指示する（ステップ２３参照）。このとき、本実施の形態では、複数のスイッチングハブが接続されているので、全てのスイッチングハブに対して、即ち、スイッチングハブ５０だけでなく、スイッチングハブ６０に対しても、クラス分けリストの更新を指示する。この結果、端末５０と端末６０との両方において、クラス分けリストが更新される。
【００８０】
但し、ＶＬＡＮ切替指示部１０４は、ＶＬＡＮの切替に関しては、ＶＬＡＮの切替の対象となる端末が接続されているスイッチングハブのみに対して、指示を行うこととなる（ステップ２３及び２４参照）。つまり、ＶＬＡＮの切替の対象となる端末が端末３０であるとすると、ＶＬＡＮ切替指示部１０４は、スイッチングハブ６０のみに対して、ＶＬＡＮを切り替えるようにＶＬＡＮ切替の命令を送信する。
【００８１】
以上のように、本実施の形態２によれば、複数のスイッチングハブを用いる場合にも対応でき、この場合においても、隔離用のＶＬＡＮでの端末同士のウイルス感染は、回避される。
【産業上の利用可能性】
【００８２】
以上のように、本発明によれば、ＶＬＡＮによって業務ネットワークと隔離ネットワークとが構築されている場合において、隔離ネットワーク内での端末間の通信を制限することができる。本発明は、検疫ネットワークシステムに有用であり、本発明によれば、検疫ネットワークシステムの隔離ネットワーク内でのウイルス感染を防止することが可能となる。
【符号の説明】
【００８３】
１０ 管理サーバ（実施の形態１）
１１ 管理サーバ（実施の形態２）
２０ スイッチングハブ（実施の形態１）
２２、２３ ポート
３０、３１、３２ 端末
４０ 検疫ネットワークシステム（実施の形態１）
４１ 検疫ネットワークシステム（実施の形態２）
５０ スイッチングハブ（実施の形態２）
５１、５２、５３ ポート
６０ スイッチングハブ（実施の形態２）
６１、６２、６３ ポート
１０１ 端末情報データベース
１０２ セキュリティポリシー判定部
１０３ ＶＬＡＮ切替判定部
１０４ ＶＬＡＮ切替指示部
１０５ ネットワーク制御部
２０１ ＶＬＡＮ設定部
２０２ 設定実行部
２０３ クラス分け実行部
２０４ リスト記憶部
２０５、２０６ 入力キュー
２０７ 出力キュー
２０８ パケット破棄実行部
２０９ 端末検知部
２１０ パケット処理部
３０１ 情報収集部
３０２ 情報収集データベース
３０３ 通信部
【技術分野】
【０００１】
本発明は、ＶＬＡＮ機能を有するスイッチングハブ、及びそれを備えた検疫ネットワークシステムに関する。
【背景技術】
【０００２】
近年、情報漏えい対策の１つの技術として、検疫ネットワークシステムが注目されている。検疫ネットワークシステムは、まず、社内ＬＡＮに接続している端末における、各ベンダーから配信されるセキュリティパッチの適用状態、ウイルス対策ソフトのパターンファイルの更新状態などをチェックする。
【０００３】
そして、検疫ネットワークシステムは、セキュリティポリシーに適合していない端末を隔離用のネットワークに隔離し、セキュリティパッチの適用などを強制的に促す。この結果、企業内のセキュリティレベルの向上が図られる。また、検疫ネットワークシステムは、ウイルスに感染している端末についても、隔離用のネットワークに隔離する。この結果、ウイルス感染の拡大も防止される。
【０００４】
このような検疫ネットワークシステムでは、一般に、ネットワークの制御をより厳密に行うために、ＶＬＡＮ（Virtual LAN）機能を有するハブが利用されている（例えば、特許文献１参照）。このようなハブは、レイヤ２スイッチとも呼ばれ、インターネットプロトコルの通信に利用されるレイヤよりも低いレイヤ（データリンク層）において、ネットワークを制御している。
【０００５】
具体的には、ハブは、業務用のＶＬＡＮと隔離用のＶＬＡＮとを備えている。そして、この二つのＶＬＡＮによって、通常の業務で使用するネットワーク（業務ネットワーク）と、セキュリティレベルが十分でない端末を隔離するためのネットワーク（隔離ネットワーク）とが構築される。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】国際公開第２００４／１１４５９９号
【発明の概要】
【発明が解決しようとする課題】
【０００７】
ところで、特許文献１に開示されている従来からの検疫ネットワークシステムでは、ウイルスに感染した端末も、セキュリティポリシーに適合していない端末が隔離されている隔離ネットワークに隔離される。このため、隔離ネットワーク内で、セキュリティポリシーに適合していない端末と、ウイルスに感染した端末とが通信可能となってしまい、結果、セキュリティポリシーに適合していない端末がウイルスに感染してしまうという問題が発生する。
【０００８】
本発明の目的の一例は、上記問題を解消し、ＶＬＡＮによって業務ネットワークと隔離ネットワークとが構築されている場合において、隔離ネットワーク内での端末間の通信を制限し得る、スイッチングハブ、及び検疫ネットワークシステムを提供することにある。
【課題を解決するための手段】
【０００９】
上記目的を達成するため、本発明の一側面におけるスイッチングハブは、ネットワークを管理する管理サーバに接続されるＶＬＡＮ機能付のスッチングハブであって、
前記管理サーバからの指示に応じて、当該スイッチングハブに接続された端末の接続先のＶＬＡＮを、業務用のＶＬＡＮ及び隔離用のＶＬＡＮのいずれかに設定する、ＶＬＡＮ設定部と、
前記端末から送信されたパケットを受信し、受信したパケットの送信元のＭＡＣアドレス及び送信先のＭＡＣアドレスに基づいて、前記隔離用のＶＬＡＮ内での端末間の通信が行なわれているかどうかを判定し、前記通信が行なわれている場合に、前記受信したパケットを破棄する、パケット処理部と、
を備えている、ことを特徴とする。
【００１０】
また、上記目的を達成するため、本発明の一側面における検疫ネットワークシステムは、ネットワークを管理する管理サーバと、それに接続されるＶＬＡＮ機能付のスッチングハブとを備え、
前記管理サーバは、
前記スイッチングハブに接続された端末におけるセキュリティポリシーの状況を判定する、セキュリティポリシー判定部と、
前記セキュリティポリシー判定部による判定の結果に応じて、前記端末の接続先のＶＬＡＮとして、業務用のＶＬＡＮ及び隔離用のＶＬＡＮのいずれかを選択し、前記スイッチングハブに、選択したＶＬＡＮへの前記端末の接続を指示する、ネットワーク制御部とを備え、
前記スイッチングハブは、
前記管理サーバからの指示に応じて、当該スイッチングハブに接続された端末の接続先のＶＬＡＮを、業務用のＶＬＡＮ及び隔離用のＶＬＡＮのいずれかに設定する、ＶＬＡＮ設定部と、
前記端末から送信されたパケットを受信し、受信したパケットの送信元のＭＡＣアドレス及び送信先のＭＡＣアドレスに基づいて、前記隔離用のＶＬＡＮ内での端末間の通信が行なわれているかどうかを判定し、前記通信が行なわれている場合に、前記受信したパケットを破棄する、パケット処理部と、
を備えている、ことを特徴とする。
【発明の効果】
【００１１】
以上のように、本発明におけるスイッチングハブ及び検疫ネットワークシステムによれば、ＶＬＡＮによって業務ネットワークと隔離ネットワークとが構築されている場合において、隔離ネットワーク内での端末間の通信を制限することができる。
【図面の簡単な説明】
【００１２】
【図１】図１は、本発明の実施の形態１における検疫ネットワークシステムの全体構成を示す図である。
【図２】図２は、本発明の実施の形態における管理サーバの構成を示すブロック図である。
【図３】図３は、本発明の実施の形態１において、端末情報データベースが格納している情報の一例を示す図である。
【図４】図４は、本発明の実施の形態１におけるスイッチングハブの構成を示すブロック図である。
【図５】図５は、本発明の実施の形態１において用いられるリストの一例を示している。
【図６】図６は、本発明の実施の形態１において検疫対象となる端末の構成を示すブロック図である。
【図７】図７は、本発明の実施の形態１で用いられる情報収集データベースに格納されている情報の一例を示す図である。
【図８】図８は、本発明の実施の形態における検疫ネットワークシステムの動作を示すシーケンス図である。
【図９】図９は、本発明の実施の形態２における検疫ネットワークシステムの全体構成を示す図である。
【発明を実施するための形態】
【００１３】
（実施の形態１）
以下、本発明の実施の形態１におけるスイッチングハブ及び検疫ネットワークシステムについて、図１〜図８を参照しながら説明する。
【００１４】
［システム構成及び装置構成］
最初に、本実施の形態１における検疫ネットワークシステムの全体構成について図１を用いて説明する。図１は、本発明の実施の形態１における検疫ネットワークシステムの全体構成を示す図である。
【００１５】
図１に示すように、本実施の形態１における検疫ネットワークシステム４０は、ネットワークを管理する管理サーバ１０と、ＶＬＡＮ機能を有するスイッチングハブ２０とを備えている。そして、スイッチングハブ２０において、管理サーバ１０はポート２１に、端末３０はポート２２に、端末３１はポート２３に、それぞれ接続されており、ネットワークが構築されている。
【００１６】
管理サーバ１０は、端末３０及び端末３１がセキュリティポリシーを満たしているかどうかを判定し、その判定結果に基づき、スイッチングハブ２０にＶＬＡＮを切り替える指示を出力する。端末３０及び３１は、一般的な業務用のパーソナルコンピュータである。
【００１７】
スイッチングハブ２０は、ポート２１〜２３に接続されている機器間の通信用のパケットを送信及び受信する。また、スイッチングハブ２０は、管理サーバ１０からの指示に応じて、端末３０及び端末３１が接続しているＶＬＡＮを、業務用のＶＬＡＮ及び隔離用のＶＬＡＮのいずれかに設定する。
【００１８】
そして、検疫ネットワークシステム４０においては、管理サーバ１０は、この業務用のＶＬＡＮと隔離用のＶＬＡＮとを用いて検疫処理を実行する。なお、図１においては、隔離用のＶＬＡＮを「ＶＬＡＮ（Ａ）」と表記し、業務用のＶＬＡＮを「ＶＬＡＮ（Ｂ）」と表記する。
【００１９】
また、本実施の形態では、後述するように、スイッチングハブ２０は、パケットの送信に優先度を設定する機能、即ち、「ＱｏＳ（Quality of Service）機能」を有している。そして、スイッチングハブ２０は、この機能を利用して、受信したパケットの廃棄または送信の判定を行い、判定結果に応じた動作を実行する。
【００２０】
なお、「ＱｏＳ」とは、ネットワーク上のパケットの中に存在するClass of Service値等を用いて、特定の通信を優先的に処理する技術である。「ＱｏＳ」は、ＲＦＣ２２１１及びＲＦＣ２２１２によって定義されている。
【００２１】
［管理サーバの構成］
続いて、図２を用いて、本実施の形態における管理サーバの構成について説明する。図２は、本発明の実施の形態における管理サーバの構成を示すブロック図である。
【００２２】
図２に示すように、管理サーバ１０は、端末情報データベース１０１と、セキュリティポリシー判定部１０２と、ネットワーク制御部１０５とを備えている。端末情報データベース１０１には、スイッチングハブ２０に接続される端末の情報（端末情報）が格納されている。端末情報の具体例については図３を用いて後述する。
【００２３】
セキュリティポリシー判定部１０２は、スイッチングハブ２０に接続されている端末のセキュリティポリシーの状況を判定する。具体的には、セキュリティポリシー判定部１０２は、各端末が、設定されたセキュリティポリシーを満たしているかどうかを判定し、判定結果をネットワーク制御部１０５に出力する。
【００２４】
ネットワーク制御部１０５は、セキュリティポリシー判定部１０２による判定の結果に応じて、端末の接続先のＶＬＡＮとして、業務用のＶＬＡＮ及び隔離用のＶＬＡＮのいずれかを選択し、スイッチングハブ２０に、選択したＶＬＡＮへの端末の接続を指示する。
【００２５】
具体的には、ネットワーク制御部１０５は、ＶＬＡＮ切替判定部１０３と、ＶＬＡＮ切替指示部１０４とを備えている。このうち、ＶＬＡＮ切替判定部１０３は、セキュリティポリシー判定部１０２による判定結果に基づいて、端末が接続している現在のＶＬＡＮを切り替える必要があるかどうかを判定し、判定結果を、ＶＬＡＮ切替指示部１０４に出力する。
【００２６】
ＶＬＡＮ切替指示部１０４は、ＶＬＡＮ切替判定部１０３からの判定結果に基づいて、スイッチングハブ２０に、対象となる端末にＶＬＡＮの切替を指示する命令を出力する。
【００２７】
ここで、端末情報データベース１０１が格納している端末情報の具体例について説明する。図３は、本発明の実施の形態１において、端末情報データベースが格納している情報の一例を示す図である。なお、以降の説明では、「データベース」は「ＤＢ」と表記する。
【００２８】
図３に示すように、端末情報ＤＢ１０１は、スイッチングハブ２０に接続している端末の名称（マシン名）、端末のＭＡＣアドレス、ウイルスの感染状況、適用されるセキュリティポリシー、端末が収集した情報（収集情報）、セキュリティポリシーのチェック結果、現在端末が接続しているネットワーク名を格納している。
【００２９】
［スイッチングハブの構成］
次に、図４を用いて、本実施の形態１におけるスイッチングハブ２０の構成について説明する。図４は、本発明の実施の形態１におけるスイッチングハブの構成を示すブロック図である。
【００３０】
図４に示すスイッチングハブ２０は、レイヤ２スイッチであり、ＶＬＡＮ機能を備えている。図４に示すように、スイッチングハブ２０は、ＶＬＡＮ設定部２０１と、パケット処理部２１０とを備えている。
【００３１】
ＶＬＡＮ設定部２０１は、管理サーバ１０（図１及び図２参照）からの指示に応じて、スイッチングハブ２０に接続された端末（図１の例では、端末３０及び３１）の接続先のＶＬＡＮを、業務用のＶＬＡＮ及び隔離用のＶＬＡＮのいずれかに設定する。
【００３２】
パケット処理部２１０は、端末から送信されたパケットを受信し、受信したパケットの送信元のＭＡＣアドレス及び送信先のＭＡＣアドレスに基づいて、隔離用のＶＬＡＮ（図１中のＶＬＡＮ（Ａ））内での端末間の通信が行なわれているかどうかを判定する。そして、パケット処理部２１０は、判定の結果、隔離用のＶＬＡＮ内で端末間の通信が行なわれている場合は、受信したパケットを破棄する。
【００３３】
このように、本実施の形態１においては、スイッチングハブ２０は、ＶＬＡＮによって業務ネットワークと隔離ネットワークとが構築されている場合において、隔離ネットワーク内での端末間の通信を制限することができる。このため、隔離ネットワーク内に、セキュリティポリシーに適合していない端末と、ウイルスに感染している端末とが接続されている場合に、前者がウイルスに感染してしまう事態の発生が回避される。
【００３４】
ここで、図４に加えて図５を用いて、本実施の形態１におけるスイッチングハブ２０の構成を更に具体的に説明する。図４に示すように、本実施の形態１においては、スイッチングハブ２０は、ＶＬＡＮ設定部２０１及びパケット処理部２１０に加えて、設定実行部２０２と、端末検知部２０９とを備えている。
【００３５】
端末検知部２０９は、端末がスイッチングハブ２０のポート２２または２３に接続されると、端末の接続を検知し、接続が検知された端末から情報を取得し、取得した情報を管理サーバ１０に送信する。
【００３６】
また、パケット処理部２１０は、本実施の形態では、Ｑｏｓ機能が備え、このＱｏｓ機能を用いて、隔離用のＶＬＡＮ内での端末間の通信であるかどうかの判定と、そうである場合のパケットの破棄とを実行する。
【００３７】
具体的には、本実施の形態では、パケット処理部２１０は、クラス分け実行部２０３と、リスト記憶部２０４と、入力キュー２０５及び２０６と、出力キュー２０７と、パケットの破棄を実行するパケット破棄実行部２０８と、を備えている。
【００３８】
リスト記憶部２０４は、管理サーバ１０のＭＡＣアドレスが少なくとも登録されたリストを記憶している。具体的には、本実施の形態１において用いられるリストは、Ｑｏｓで用いられるクラス分けリストである。以下、リスト記憶部２０４に記憶されているリストは、「クラス分けリスト」と表記する場合もある。図５は、本発明の実施の形態１において用いられるリストの一例を示している。
【００３９】
図５に示すように、クラス分けリストには、アクセスコントロールリストと同様に、パケット毎に、送信元のＭＡＣアドレスと、送信先のＭＡＣアドレスとが登録される。また、クラス分けリストには、事前設定として、管理サーバ１０のＭＡＣアドレスと、ブロードキャストアドレスとが登録される。
【００４０】
クラス分け実行部２０３は、クラス分けリストに基づいて、受信したパケットをどのキューに割り振るかを決定する。入力キュー２０５は、優先度が最高に設定されているキューである。入力キュー２０６は、入力されたパケットを破棄するように設定されているキューである。出力キュー２０７は、パケットを送信する機能を持つキューである。
【００４１】
つまり、パケット処理部２１０では、まず、クラス分け実行部２０３は、受信したパケットの送信元のＭＡＣアドレス及び送信先のＭＡＣアドレスと、クラス分けリスト（図５参照）とを比較する。
【００４２】
そして、比較の結果、クラス分けリストにおいて、送信元のＭＡＣアドレスが登録されておらず、且つ、送信先のＭＡＣアドレスが管理サーバ１０のＭＡＣアドレス以外である場合は、隔離用のＶＬＡＮ内で端末間の通信が行なわれていると判定できる。よって、クラス分け実行部２０３は、受信したパケットを入力キュー２０６に送る。この場合、入力キュー２０６は、パケットをパケット破棄部２０８に送り、結果、パケットは破棄される。
【００４３】
また、比較の結果、クラス分けリストにおいて、送信元のＭＡＣアドレスが登録されている場合、または送信先のＭＡＣアドレスが管理サーバのＭＡＣアドレスである場合は、隔離用のＶＬＡＮ内で端末間の通信が行なわれていないと判定できる。よって、クラス分け実行部２０３は、受信したパケットを入力キュー２０５に出力する。そして、入力キュー２０５では、優先度が最高に設定されているので、入力キュー２０５は、即座に、パケットを出力キュー２０７に渡す。この結果、パケットは、送信先に送信される。
【００４４】
また、設定実行部２０２は、管理サーバ１０から端末を業務用のＶＬＡＮに接続するように指示された場合に、端末のＭＡＣアドレスを、図５に示すクラス分けリストに登録する。この結果、パケット処理部２１０は、指示が行なわれた端末を送信元とするパケットの送信を可能にする。本実施の形態１において、設定実行部２０２は、ＱｏＳの設定変更を行なっている。
【００４５】
［端末の構成］
次に、図６を用いて、本実施の形態１において検疫対象となる端末の構成について説明する。図６は、本発明の実施の形態１において検疫対象となる端末の構成を示すブロック図である。図６に示すように、端末３０は、情報収集部３０１と、情報収集ＤＢ３０２と、通信部３０３とを備えている。なお、図６においては示していないが、端末３１も、端末３０と同様の構成を備えている。
【００４６】
情報収集部３０１は、当該端末３０に適用されているセキュリティポリシーに基づいて、セキュリティポリシーのチェックに必要な端末自身の情報、例えば、ウイルス対策ソフトのバージョン、使用されているソフトウェアに適用されているパッチファイルのバージョン等、を収集する。
【００４７】
情報収集ＤＢ３０２は、情報収集部３０１が収集した端末自身情報と、適用されているセキュリティポリシーとを格納する。また、通信部３０３は、端末３０から他の端末へとパケットを発信する。
【００４８】
ここで、情報収集ＤＢ３０２に格納されている情報について説明する。図７は、本発明の実施の形態１で用いられる情報収集データベースに格納されている情報の一例を示す図である。図７に示すように、情報収集ＤＢ３０２は、端末３０に適用されているセキュリティポリシー、そのセキュリティポリシーで適用が指示されているパッチファイルのリスト、インストールされているウイルス対策ソフトの状況（または、ウイルス対策ソフトの適用されるべきパターンファイルのリスト）、チェックされるレジストリ値を格納している。
【００４９】
［システム動作］
次に、本発明の実施の形態１における検疫ネットワークシステムの動作について図８を用いて説明する。図８は、本発明の実施の形態における検疫ネットワークシステムの動作を示すシーケンス図である。なお、図８においては、管理サーバ１０、スイッチングハブ２０、端末３０それぞれを構成する各機能ブロックの処理が示されている。
【００５０】
図８に示すように、まず、端末３０がスイッチングハブ２０のいずれかのポートに接続されると、そのタイミングで、スイッチングハブ２０の端末検知部２０９は、端末３０がスイッチングハブ２０に接続されたことを検知する。そして、端末検知部２０９が、端末３０のＭＡＣアドレス等の情報を、管理サーバ１０に送信すると、これらの情報は、管理サーバ１０の端末情報ＤＢ１０１に登録される（ステップ１）。
【００５１】
そして、スイッチングハブ２０に接続された端末３０に対して、未だセキュリティポリシーのチェックが実行されていない場合、端末３０は、隔離ＶＬＡＮに接続されている。この状態で端末３０が、同じ隔離ＶＬＡＮに接続されている端末３１に通信しようとした場合、端末３０の通信部３０３から、スイッチングハブ２０のクラス分け実行部２０３へとパケットが送信される（ステップ２）。
【００５２】
次に、クラス分け実行部２０３は、リスト記憶部２０４に記憶されているクラス分けリストを参照する（ステップ３）。更に、クラス分け実行部２０３は、受信したパケットの送信元のＭＡＣアドレス及び送信先のＭＡＣアドレスと、クラス分けリスト２０４に登録されているＭＡＣアドレスとを比較する（ステップ４）。
【００５３】
この場合、クラス分けリストには、パケットの送信元のＭＡＣアドレスは存在しないので、クラス分け実行部２０３は、入力キュー２０６にパケットを渡す（ステップ５）。
【００５４】
入力キュー２０６は、入力されたパケットを破棄するように設定されており、受け取ったパケットをパケット破棄実行部２０８に渡す（ステップ６）。次に、パケットを受け取ったパケット破棄実行部２０８は、パケットを破棄する（ステップ７）。
【００５５】
このように、スイッチングハブ２０に接続された端末３０に対して、セキュリティポリシーのチェックが実行されていない状態では、クラス分けリストには、端末３０のＭＡＣアドレスは存在していない。このため、端末３０から端末３１へ送信したパケットは破棄される。
【００５６】
次に、管理サーバ１０に端末３０のセキュリティポリシーのチェックを依頼するため、端末３０において、情報収集部３０１は、情報収集ＤＢ３０２を参照して、現在適用されているセキュリティポリシーを確認する（ステップ８）。そして、情報収集部３０１は、セキュリティポリシーに基づいて、収集対象とする端末３０自身の情報を選定し、選定した情報を収集する（ステップ９）。
【００５７】
ステップ９で収集された情報は、端末３０から管理サーバ１０へと送信されるが、このとき、スイッチングハブ２０は、端末３０を送信元とするパケットを受信する。スイッチングハブ２０が受信したパケットは、クラス分け実行部２０３に渡される（ステップ１０）。
【００５８】
次に、クラス分け実行部２０３は、リスト記憶部２０４に記憶されているクラス分けリストを参照し（ステップ１１）、パケットの送信先及び送信元のＭＡＣアドレスが、クラス分けリストに登録されているかどうかを確認する（ステップ１２）。この場合、パケットの送信先に管理サーバ１０のＭＡＣアドレスが存在するため、クラス分け実行部２０３は、パケットを入力キュー２０５に渡す（ステップ１３）。
【００５９】
入力キュー２０５では、パケットを送信する優先度が最大値に設定されているため、即座に、入力キュー２０５は、出力キュー２０７にパケットを渡す（ステップ１４）。次に、出力キュー２０７は、パケットを管理サーバ１０に送信する。そして、パケットを受信した管理サーバ１０は、パケットに含まれる端末３０の情報を、端末情報ＤＢ１０１に登録する（ステップ１５）。なお、ステップ８からステップ１５は、定期的に実行される。つまり、端末の情報は、定期的に収集され、管理サーバ１０にアップロードされる。
【００６０】
管理サーバ１０が、端末３０においてセキュリティポリシーが満たされているかどうかをチェックする場合、管理サーバ１０のポリシー判定部１０２は、端末情報ＤＢ１０１を参照し、端末３０の情報を参照する（ステップ１６）。
【００６１】
次に、ポリシー判定部１０２は、ステップ１５で登録した情報に基づいて、端末３０がセキュリティポリシーを満たしているかどうかを判定する（ステップ１７）。そして、ポリシー判定部１０２は、判定した結果を、ＶＬＡＮ切替判定部１０３に通知する（ステップ１８）。
【００６２】
ＶＬＡＮ切替判定部１０３は、ポリシー判定部１０２から通知された結果を受け取り、端末情報ＤＢ１０１を参照し、端末３０が現在接続しているＶＬＡＮが、業務用のＶＬＡＮ及び隔離用のＶＬＡＮのいずれであるかを確認する（ステップ１９）。
【００６３】
次に、ＶＬＡＮ切替判定部１０３は、ポリシー判定部１０２からの判定結果と端末情報ＤＢ１０１の情報とに基づいて、端末３０が接続されているＶＬＡＮ切り替える必要があるかどうか判定する（ステップ２０）。また、ＶＬＡＮ切替判定部１０３は、その結果をＶＬＡＮ切替指示部１０４に通知する（ステップ２１）。
【００６４】
ここで、端末３０がセキュリティポリシーを満たしているとするならば、ＶＬＡＮ切替判定部１０３は、端末３０が接続されているＶＬＡＮを、隔離用のＶＬＡＮから業務用のＶＬＡＮへと切り替える必要があると判定する。よって、ＶＬＡＮ切替判定部１０３は、ＶＬＡＮ切替指示部１０４に、ＶＬＡＮの切替を指示する。
【００６５】
この場合、ＶＬＡＮ切替指示部１０４は、ＶＬＡＮ切替判定部１０３からのＶＬＡＮの切替の指示に従い、スイッチングハブ２０の設定実行部２０２とＶＬＡＮ設定部２０１とに、ＶＬＡＮの設定を切り替えるように指示を送信する（ステップ２２、ステップ２４）。
【００６６】
そして、ＶＬＡＮ切替の指示を受け取ったスイッチングハブ２０において、設定実行部２０２は、リスト記憶部２０４に格納されているクラス分けリストに、端末３０のＭＡＣアドレスを登録する（ステップ２３）。また、ＶＬＡＮ切替実行部２０１は、端末３０が現在接続している隔離用のＶＬＡＮを、業務用のＶＬＡＮに切り替える（ステップ２５）。
【００６７】
なお、ステップ１６からステップ２０は定期的に実行され、端末がセキュリティポリシーを満たしているかどうかは定期的にチェックされる。その際、ＶＬＡＮの設定変更が必要であれば、ステップ２１〜ステップ２５の処理が実行される。
【００６８】
その後、業務用のＶＬＡＮに接続された端末３０は、同じ業務用のＶＬＡＮに接続されている端末３１と通信するため、端末３０の通信部３０３からパケットを端末３１に送信する（ステップ２６）。ステップ２６が実行されると、スイッチングハブ２０のクラス分け実行部２０３は、端末３０から端末３１への送信パケットを受け取る。そして、クラス分け実行部２０３は、リスト記憶部に格納されているクラス分けリストを参照する（ステップ２７）。
【００６９】
次に、クラス分け実行部２０３は、受信したパケットの送信元及び送信先のＭＡＣアドレスと、クラス分けリストとを比較する（ステップ２８）。この場合、クラス分けリストには、端末３０のＭＡＣアドレスが存在するため、パケットは入力キュー２０５へ渡される（ステップ２９）。
【００７０】
パケットを受け取った入力キュー２０５は、出力キュー２０７へパケットを渡し（ステップ３０）、出力キュー２０７は、端末３１へパケットを送信する（ステップ３１）。このように、端末３０と端末３１との間でのパケットの送信が可能となる。
【００７１】
［実施の形態１による効果］
以上のように、本実施の形態１では、スイッチングハブ２０によって、業務用のＶＬＡＮと隔離用のＶＬＡＮとの２つのＶＬＡＮで分けたネットワークを構築し、それに加え、スイッチングハブ２０に、ＱｏＳを設定する。そして、このＱｏＳの設定によって、隔離用のＶＬＡＮに接続されている端末同士の通信が制限される。
【００７２】
具体的には、スイッチングハブ２０は、受信したパケットの送信元及び送信先のＭａｃアドレスと、ＱｏＳを制御するクラス分けリストとを照合し、隔離用のＶＬＡＮに接続されている端末同士の通信に用いられるパケットを破棄する。一方、端末が隔離用のＶＬＡＮに接続されていても、スイッチングハブ２０は、ＱｏＳによって、端末と管理サーバと間の通信については優先度を上げ、両者の間の通信を可能にする。結果、本実施の形態１によれば、隔離用のＶＬＡＮでの端末同士のウイルス感染は、回避される。
【００７３】
（実施の形態２）
次に、本発明の実施の形態２におけるスイッチングハブ及び検疫ネットワークについて、図９を参照しながら説明する。図９は、本発明の実施の形態２における検疫ネットワークシステムの全体構成を示す図である。
【００７４】
図９に示すように、本実施の形態２においては、検疫ネットワークシステム４１は、管理サーバ１１と、スイッチングハブ５０及び６０とを備えている。本実施の形態２における検疫ネットワークシステム４１は、スイッチングハブが複数接続されている点で、実施の形態１において図１に示した検疫ネットワークシステム４０と異なっている。
【００７５】
本実施の形態２において、スイッチングハブ５０及び６０は、実施の形態１において図１及び図４に示したスイッチングハブ２０と同様の構成及び機能を備えている。また、スイッチングハブ５０とスイッチングハブ６０とは、互いのトランクポート（ポート５２及びポート６１）によって接続されており、両者間では、業務用のＶＬＡＮと隔離用のＶＬＡＮの両方におけるパケットの送受信が可能となっている。
【００７６】
図９の例では、管理サーバ１１は、スイッチングハブ５０のポート５１に接続されている。図１でも示した端末３０及び３１は、それぞれ、スイッチングハブ６０のポート６２及び６３に接続されている。また、スイッチングハブ５０において、ポート５３は、業務用のＶＬＡＮのポートに設定されており、これにはセキュリティポリシーを満たす端末３２が接続されている。なお、図９に示す端末３０〜３２は、それぞれ、図６に示した端末３０と同様の構成及び機能を備えている。
【００７７】
また、本実施の形態２において、管理サーバ１１は、実施の形態１において図１及び図２に示した管理サーバ１０と同様の構成を備えているが、ネットワーク制御部（ＶＬＡＮ切替判定部及びＶＬＡＮ切替指示部）の機能の点で、管理サーバ１０と異なっている。この点について、図８を参照しながら、以下に説明する。
【００７８】
本実施の形態２における検疫ネットワークシステム４０のシーケンスは、基本的には実施の形態１と同様となるが、端末のＶＬＡＮを隔離用のＶＬＡＮから業務用のＶＬＡＮに切り替える処理の点で、実施の形態１と異なっている。本実施の形態２では、図８に示したシーケンス図において点線で囲んだステップ２２〜ステップ２５が、実施の形態１とは異なっている。
【００７９】
具体的には、管理サーバ１１において、ＶＬＡＮ切替指示部１０４（図２参照）は、スイッチングハブ５０の設定実行部２０２（図４参照）に対して、クラス分けリストの更新を指示する（ステップ２３参照）。このとき、本実施の形態では、複数のスイッチングハブが接続されているので、全てのスイッチングハブに対して、即ち、スイッチングハブ５０だけでなく、スイッチングハブ６０に対しても、クラス分けリストの更新を指示する。この結果、端末５０と端末６０との両方において、クラス分けリストが更新される。
【００８０】
但し、ＶＬＡＮ切替指示部１０４は、ＶＬＡＮの切替に関しては、ＶＬＡＮの切替の対象となる端末が接続されているスイッチングハブのみに対して、指示を行うこととなる（ステップ２３及び２４参照）。つまり、ＶＬＡＮの切替の対象となる端末が端末３０であるとすると、ＶＬＡＮ切替指示部１０４は、スイッチングハブ６０のみに対して、ＶＬＡＮを切り替えるようにＶＬＡＮ切替の命令を送信する。
【００８１】
以上のように、本実施の形態２によれば、複数のスイッチングハブを用いる場合にも対応でき、この場合においても、隔離用のＶＬＡＮでの端末同士のウイルス感染は、回避される。
【産業上の利用可能性】
【００８２】
以上のように、本発明によれば、ＶＬＡＮによって業務ネットワークと隔離ネットワークとが構築されている場合において、隔離ネットワーク内での端末間の通信を制限することができる。本発明は、検疫ネットワークシステムに有用であり、本発明によれば、検疫ネットワークシステムの隔離ネットワーク内でのウイルス感染を防止することが可能となる。
【符号の説明】
【００８３】
１０ 管理サーバ（実施の形態１）
１１ 管理サーバ（実施の形態２）
２０ スイッチングハブ（実施の形態１）
２２、２３ ポート
３０、３１、３２ 端末
４０ 検疫ネットワークシステム（実施の形態１）
４１ 検疫ネットワークシステム（実施の形態２）
５０ スイッチングハブ（実施の形態２）
５１、５２、５３ ポート
６０ スイッチングハブ（実施の形態２）
６１、６２、６３ ポート
１０１ 端末情報データベース
１０２ セキュリティポリシー判定部
１０３ ＶＬＡＮ切替判定部
１０４ ＶＬＡＮ切替指示部
１０５ ネットワーク制御部
２０１ ＶＬＡＮ設定部
２０２ 設定実行部
２０３ クラス分け実行部
２０４ リスト記憶部
２０５、２０６ 入力キュー
２０７ 出力キュー
２０８ パケット破棄実行部
２０９ 端末検知部
２１０ パケット処理部
３０１ 情報収集部
３０２ 情報収集データベース
３０３ 通信部
【特許請求の範囲】
【請求項１】
ネットワークを管理する管理サーバに接続されるＶＬＡＮ機能付のスッチングハブであって、
前記管理サーバからの指示に応じて、当該スイッチングハブに接続された端末の接続先のＶＬＡＮを、業務用のＶＬＡＮ及び隔離用のＶＬＡＮのいずれかに設定する、ＶＬＡＮ設定部と、
前記端末から送信されたパケットを受信し、受信したパケットの送信元のＭＡＣアドレス及び送信先のＭＡＣアドレスに基づいて、前記隔離用のＶＬＡＮ内での端末間の通信が行なわれているかどうかを判定し、前記通信が行なわれている場合に、前記受信したパケットを破棄する、パケット処理部と、
を備えている、ことを特徴とするスイッチングハブ。
【請求項２】
前記管理サーバのＭＡＣアドレスが少なくとも登録されたリストを記憶する、リスト記憶部と、
前記管理サーバから前記端末を業務用のＶＬＡＮに接続するように指示された場合に、前記端末のＭＡＣアドレスを前記リストに登録する、設定実行部と、を更に備え、
前記パケット処理部が、
前記受信したパケットの送信元のＭＡＣアドレス及び送信先のＭＡＣアドレスと前記リストとを比較し、
前記リストにおいて、前記送信元のＭＡＣアドレスが登録されておらず、且つ、前記送信先のＭＡＣアドレスが前記管理サーバのＭＡＣアドレス以外である場合に、前記通信が行なわれていると判定し、
前記リストにおいて、前記送信元のＭＡＣアドレスが登録されている場合、または前記送信先のＭＡＣアドレスが前記管理サーバのＭＡＣアドレスである場合に、前記通信が行なわれていないと判定し、そして、前記通信が行なわれていないと判定した場合に、前記受信したパケットを送信先に送信する、
請求項１に記載のスイッチングハブ。
【請求項３】
前記パケット処理部が、パケットの送信に優先度を設定する機能を備え、前記受信したパケットを送信先に送信する場合に、その優先度を最優先に設定する、請求項２に記載のスイッチングハブ。
【請求項４】
ネットワークを管理する管理サーバと、それに接続されるＶＬＡＮ機能付のスッチングハブとを備え、
前記管理サーバは、
前記スイッチングハブに接続された端末におけるセキュリティポリシーの状況を判定する、セキュリティポリシー判定部と、
前記セキュリティポリシー判定部による判定の結果に応じて、前記端末の接続先のＶＬＡＮとして、業務用のＶＬＡＮ及び隔離用のＶＬＡＮのいずれかを選択し、前記スイッチングハブに、選択したＶＬＡＮへの前記端末の接続を指示する、ネットワーク制御部とを備え、
前記スイッチングハブは、
前記管理サーバからの指示に応じて、当該スイッチングハブに接続された端末の接続先のＶＬＡＮを、業務用のＶＬＡＮ及び隔離用のＶＬＡＮのいずれかに設定する、ＶＬＡＮ設定部と、
前記端末から送信されたパケットを受信し、受信したパケットの送信元のＭＡＣアドレス及び送信先のＭＡＣアドレスに基づいて、前記隔離用のＶＬＡＮ内での端末間の通信が行なわれているかどうかを判定し、前記通信が行なわれている場合に、前記受信したパケットを破棄する、パケット処理部と、
を備えている、ことを特徴とする検疫ネットワークシステム。
【請求項５】
前記スイッチングハブが、前記管理サーバのＭＡＣアドレスが少なくとも登録されたリストを記憶する、リスト記憶部と、前記管理サーバから前記端末を業務用のＶＬＡＮに接続するように指示された場合に、前記端末のＭＡＣアドレスを前記リストに登録する、設定実行部と、を更に備え、
前記スイッチングハブにおいて、前記パケット処理部が、
前記受信したパケットの送信元のＭＡＣアドレス及び送信先のＭＡＣアドレスと前記リストとを比較し、
前記リストにおいて、前記送信元のＭＡＣアドレスが登録されておらず、且つ、前記送信先のＭＡＣアドレスが前記管理サーバのＭＡＣアドレス以外である場合に、前記通信が行なわれていると判定し、
前記リストにおいて、前記送信元のＭＡＣアドレスが登録されている場合、または前記送信先のＭＡＣアドレスが前記管理サーバのＭＡＣアドレスである場合に、前記通信が行なわれていないと判定し、そして、前記通信が行なわれていないと判定した場合に、前記受信したパケットを送信先に送信する、
請求項４に記載の検疫ネットワークシステム。
【請求項６】
前記スイッチングハブにおいて、前記パケット処理部が、パケットの送信に優先度を設定する機能を備え、前記受信したパケットを送信先に送信する場合に、その優先度を最優先に設定する、請求項５に記載の検疫ネットワークシステム。
【請求項７】
当該検疫ネットワークシステムが、前記スイッチングハブを複数備え、
前記管理サーバにおいて、前記ネットワーク制御部は、前記端末の接続先のＶＬＡＮとして、業務用のＶＬＡＮを選択した場合に、複数の前記スイッチングハブのうち、前記端末が接続されているスイッチングハブに対して、業務用のＶＬＡＮへの前記端末の接続を指示し、更に、複数の前記スイッチングハブ全てに対して、前記端末のＭＡＣアドレスの前記リストへの登録を指示する、請求項５または６に記載の検疫ネットワークシステム。
【請求項１】
ネットワークを管理する管理サーバに接続されるＶＬＡＮ機能付のスッチングハブであって、
前記管理サーバからの指示に応じて、当該スイッチングハブに接続された端末の接続先のＶＬＡＮを、業務用のＶＬＡＮ及び隔離用のＶＬＡＮのいずれかに設定する、ＶＬＡＮ設定部と、
前記端末から送信されたパケットを受信し、受信したパケットの送信元のＭＡＣアドレス及び送信先のＭＡＣアドレスに基づいて、前記隔離用のＶＬＡＮ内での端末間の通信が行なわれているかどうかを判定し、前記通信が行なわれている場合に、前記受信したパケットを破棄する、パケット処理部と、
を備えている、ことを特徴とするスイッチングハブ。
【請求項２】
前記管理サーバのＭＡＣアドレスが少なくとも登録されたリストを記憶する、リスト記憶部と、
前記管理サーバから前記端末を業務用のＶＬＡＮに接続するように指示された場合に、前記端末のＭＡＣアドレスを前記リストに登録する、設定実行部と、を更に備え、
前記パケット処理部が、
前記受信したパケットの送信元のＭＡＣアドレス及び送信先のＭＡＣアドレスと前記リストとを比較し、
前記リストにおいて、前記送信元のＭＡＣアドレスが登録されておらず、且つ、前記送信先のＭＡＣアドレスが前記管理サーバのＭＡＣアドレス以外である場合に、前記通信が行なわれていると判定し、
前記リストにおいて、前記送信元のＭＡＣアドレスが登録されている場合、または前記送信先のＭＡＣアドレスが前記管理サーバのＭＡＣアドレスである場合に、前記通信が行なわれていないと判定し、そして、前記通信が行なわれていないと判定した場合に、前記受信したパケットを送信先に送信する、
請求項１に記載のスイッチングハブ。
【請求項３】
前記パケット処理部が、パケットの送信に優先度を設定する機能を備え、前記受信したパケットを送信先に送信する場合に、その優先度を最優先に設定する、請求項２に記載のスイッチングハブ。
【請求項４】
ネットワークを管理する管理サーバと、それに接続されるＶＬＡＮ機能付のスッチングハブとを備え、
前記管理サーバは、
前記スイッチングハブに接続された端末におけるセキュリティポリシーの状況を判定する、セキュリティポリシー判定部と、
前記セキュリティポリシー判定部による判定の結果に応じて、前記端末の接続先のＶＬＡＮとして、業務用のＶＬＡＮ及び隔離用のＶＬＡＮのいずれかを選択し、前記スイッチングハブに、選択したＶＬＡＮへの前記端末の接続を指示する、ネットワーク制御部とを備え、
前記スイッチングハブは、
前記管理サーバからの指示に応じて、当該スイッチングハブに接続された端末の接続先のＶＬＡＮを、業務用のＶＬＡＮ及び隔離用のＶＬＡＮのいずれかに設定する、ＶＬＡＮ設定部と、
前記端末から送信されたパケットを受信し、受信したパケットの送信元のＭＡＣアドレス及び送信先のＭＡＣアドレスに基づいて、前記隔離用のＶＬＡＮ内での端末間の通信が行なわれているかどうかを判定し、前記通信が行なわれている場合に、前記受信したパケットを破棄する、パケット処理部と、
を備えている、ことを特徴とする検疫ネットワークシステム。
【請求項５】
前記スイッチングハブが、前記管理サーバのＭＡＣアドレスが少なくとも登録されたリストを記憶する、リスト記憶部と、前記管理サーバから前記端末を業務用のＶＬＡＮに接続するように指示された場合に、前記端末のＭＡＣアドレスを前記リストに登録する、設定実行部と、を更に備え、
前記スイッチングハブにおいて、前記パケット処理部が、
前記受信したパケットの送信元のＭＡＣアドレス及び送信先のＭＡＣアドレスと前記リストとを比較し、
前記リストにおいて、前記送信元のＭＡＣアドレスが登録されておらず、且つ、前記送信先のＭＡＣアドレスが前記管理サーバのＭＡＣアドレス以外である場合に、前記通信が行なわれていると判定し、
前記リストにおいて、前記送信元のＭＡＣアドレスが登録されている場合、または前記送信先のＭＡＣアドレスが前記管理サーバのＭＡＣアドレスである場合に、前記通信が行なわれていないと判定し、そして、前記通信が行なわれていないと判定した場合に、前記受信したパケットを送信先に送信する、
請求項４に記載の検疫ネットワークシステム。
【請求項６】
前記スイッチングハブにおいて、前記パケット処理部が、パケットの送信に優先度を設定する機能を備え、前記受信したパケットを送信先に送信する場合に、その優先度を最優先に設定する、請求項５に記載の検疫ネットワークシステム。
【請求項７】
当該検疫ネットワークシステムが、前記スイッチングハブを複数備え、
前記管理サーバにおいて、前記ネットワーク制御部は、前記端末の接続先のＶＬＡＮとして、業務用のＶＬＡＮを選択した場合に、複数の前記スイッチングハブのうち、前記端末が接続されているスイッチングハブに対して、業務用のＶＬＡＮへの前記端末の接続を指示し、更に、複数の前記スイッチングハブ全てに対して、前記端末のＭＡＣアドレスの前記リストへの登録を指示する、請求項５または６に記載の検疫ネットワークシステム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【公開番号】特開２０１２−２０９６３３（Ｐ２０１２−２０９６３３Ａ）
【公開日】平成２４年１０月２５日（２０１２．１０．２５）
【国際特許分類】
【出願番号】特願２０１１−７１７２１（Ｐ２０１１−７１７２１）
【出願日】平成２３年３月２９日（２０１１．３．２９）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
【公開日】平成２４年１０月２５日（２０１２．１０．２５）
【国際特許分類】
【出願日】平成２３年３月２９日（２０１１．３．２９）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
[ Back to top ]