+

WO2018142571A1 - 転送装置および通信ネットワーク - Google Patents

転送装置および通信ネットワーク Download PDF

Info

Publication number
WO2018142571A1
WO2018142571A1 PCT/JP2017/003949 JP2017003949W WO2018142571A1 WO 2018142571 A1 WO2018142571 A1 WO 2018142571A1 JP 2017003949 W JP2017003949 W JP 2017003949W WO 2018142571 A1 WO2018142571 A1 WO 2018142571A1
Authority
WO
WIPO (PCT)
Prior art keywords
frame
encryption
encrypted
unit
necessity determination
Prior art date
Application number
PCT/JP2017/003949
Other languages
English (en)
French (fr)
Inventor
佑介 坂上
礼子 井上
幸子 谷口
竜介 川手
Original Assignee
三菱電機株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社 filed Critical 三菱電機株式会社
Priority to PCT/JP2017/003949 priority Critical patent/WO2018142571A1/ja
Priority to JP2018565195A priority patent/JP6529694B2/ja
Priority to US16/471,867 priority patent/US11159495B2/en
Priority to CN201780084823.9A priority patent/CN110226312A/zh
Priority to TW106109507A priority patent/TWI653856B/zh
Publication of WO2018142571A1 publication Critical patent/WO2018142571A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/2801—Broadband local area networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2101/00—Indexing scheme associated with group H04L61/00
    • H04L2101/60—Types of network addresses
    • H04L2101/618—Details of network addresses
    • H04L2101/622—Layer-2 addresses, e.g. medium access control [MAC] addresses
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/30—Definitions, standards or architectural aspects of layered protocol stacks
    • H04L69/32—Architecture of open systems interconnection [OSI] 7-layer type protocol stacks, e.g. the interfaces between the data link level and the physical level
    • H04L69/322—Intralayer communication protocols among peer entities or protocol data unit [PDU] definitions
    • H04L69/324—Intralayer communication protocols among peer entities or protocol data unit [PDU] definitions in the data link layer [OSI layer 2], e.g. HDLC

Definitions

  • the present invention relates to a transfer device for transferring data in a network.
  • MACsec Media Access Control Security
  • IEEE The Institute of Electrical Engineering and Electronics Engineers 802.1AE.
  • Patent Document 1 has a configuration in which a transfer frame uses VLAN-ID for identifying a VLAN (Virtual Local AreaMACNetwork) other than the MAC address as non-encrypted information, and the VLAN is set.
  • VLAN Virtual Local AreaMACNetwork
  • a transfer apparatus has been proposed that can perform transfer control not only with a MAC address but also with a VLAN-ID even if the transfer apparatus on the transfer path cannot read the encrypted information.
  • Patent No. 5060081 (FIGS. 3A and 3B)
  • the transfer device of Patent Document 1 only determines whether or not the transfer frame needs to be encrypted based on the VLAN-ID, and can select either encrypted communication or plaintext communication for each VLAN. There is a problem that finer control is not possible for each transfer frame using information other than ID.
  • the present invention has been made to solve the above-described problem, and an object of the present invention is to realize a transfer device that can switch between encrypted communication and plaintext communication according to the attribute even for transfer frames for the same VLAN. To do.
  • the transfer apparatus of the present invention determines whether or not a plurality of ports through which layer 2 frames are input and output and whether or not the frames received at the ports are encrypted.
  • a frame identification unit for identifying, an address filter unit for determining a port from which the frame is output, an encryption necessity determination table for determining whether or not to encrypt the frame according to destination information and priority information included in the frame;
  • a plain culture necessity determination table that determines whether or not a plain culture is necessary according to destination information included in the frame, and when the frame identification unit identifies that the frame is not encrypted, the encryption necessity determination table If the frame identification unit identifies that the frame is encrypted, the frame identification unit determines whether the frame is encrypted based on the plain culture necessity determination table.
  • An encryption necessity determination unit that determines whether or not culture is necessary, and an encrypted plain culture process that encrypts a frame that is determined to be necessary for encryption by an encryption necessity determination unit and plainly converts the frame that is determined to be a common necessity
  • a switching processing unit for outputting a frame determined to be unnecessary for encryption or plain culture and a frame determined for encryption or plain culture to a port determined by the address filter unit.
  • the transfer device Since the transfer device according to the present invention has the above-described configuration, it is possible to apply encrypted communication or plaintext communication in units of frames according to the attributes of transfer frames belonging to the same VLAN.
  • Embodiment 1 is a structural diagram illustrating an example of a transfer device according to a first embodiment of the present invention. It is a block diagram which shows an example of a structure of the process part in Embodiment 1 of this invention. It is a frame block diagram which shows an example of the data structure of the frame in Embodiment 1 of this invention. It is a frame block diagram which shows an example of the data structure of the encrypted frame in Embodiment 1 of this invention. It is a database block diagram which shows an example of the transfer destination corresponding
  • FIG. 1 is a configuration diagram showing an example of a communication network according to Embodiment 1 of the present invention.
  • a communication network 100 includes a terminal device 10 (10a to 10f), a relay network 20, a transmission path 30, and a transfer device 200 (200a to 200e).
  • the communication network 100 includes six terminal devices 10 and five transfer devices 200.
  • the present invention is not limited to this, and any terminal device 10 and transfer device 200 may be included.
  • the communication network 100 is a network that transmits a MAC (Media Access Control) frame corresponding to a VLAN.
  • MAC Media Access Control
  • the terminal device 10 is a main device of communication for transmitting / receiving data to / from other devices connected to the communication network 100, and is a personal computer or the like.
  • the relay network 20 is a network that interconnects the transfer apparatuses 200 and is a layer 2 network that relays information between the transfer apparatuses 200.
  • the transmission path 30 is a transmission path that connects the terminal apparatus 10 and the transfer apparatus 200 and between the transfer apparatus 200 and the relay network 20, and is a coaxial cable, an optical cable, a LAN cable, or the like. Devices connected to the transmission line 30 via the relay network 20 can transmit and receive data to and from each other.
  • the transfer device 200 is connected to the terminal device 10 and the relay network 20 via the transmission line 30 and transfers the received data to the connected terminal device 10 or the relay network 20. Details of the transfer method of the transfer apparatus 200 will be described later.
  • FIG. 2 is a structural diagram showing an example of the transfer apparatus according to the first embodiment of the present invention.
  • the transfer device 200 includes N ports 210 (210-1 to 210-N) which are interfaces with the outside, a processing unit 220 for executing processing, and a processing unit 220.
  • Control unit 230 for controlling, memory 240 for storing data, interface 250 (250-1 to 250-N) for connecting port 210 and processing unit 220, processing unit 220, control unit 230, and memory 240 are connected Local bus 260.
  • the processing unit 220 executes a transfer process of the transfer frame.
  • the processing unit 220 may be an FPGA (Field Programmable Gate Array) or an LSI (Large Scale Integration).
  • the control unit 230 controls the processing unit 220 such as setting change.
  • the controller 230 may be a CPU (Central Processing Unit) or the like.
  • the memory 240 stores a transfer processing program for transferring a transfer frame called from the processing unit 220, a control program called from the control unit 230, and various databases.
  • the interface 250 may be an interface based on a general standard such as MII (Media Independent Interface) or XAUI (10 Gigabit Attachment Unit Interface).
  • MII Media Independent Interface
  • XAUI Gigabit Attachment Unit Interface
  • the local bus 260 may be an expansion bus such as a PCI (Peripheral Component Interconnect) bus or a PCI Express (registered trademark).
  • PCI Peripheral Component Interconnect
  • PCI Express registered trademark
  • processing unit 220 and the control unit 230 may be configured by a CPU or the like as an integrated processing unit.
  • FIG. 3 is a configuration diagram showing an example of the configuration of the processing unit according to the first embodiment of the present invention.
  • three ports 210 are connected to the processing unit 220.
  • the processing unit 220 includes a frame identification unit 221, an address filter unit 222, an encryption necessity determination unit 223, a switching processing unit 224, and an encrypted plain culture processing unit 225.
  • the frame identification unit 221 identifies whether the frame received from the port 210 to be connected is an encrypted frame. If the frame is encrypted, information indicating that the frame has been encrypted is encrypted. To 223. Details of the identification method of the frame identification unit 221 will be described later.
  • FIG. 4 is a frame configuration diagram showing an example of the data configuration of the MAC frame according to Embodiment 1 of the present invention.
  • the frame format shown in FIG. 4 has a structure in which a VLAN tag 318 is added to an Ethernet frame of DIX format, and includes a header section 301, a data section 302 including data transmitted in a MAC frame, and a frame. It includes FCS (Frame Check Sequence) 303 which is information for checking whether there is an error.
  • the header section 301 includes a destination MAC address 311, a transmission source MAC address 312, a VLAN tag 318, and an Ethernet type 316.
  • the VLAN tag 318 includes a US (User Priority) 313, a CF (Canonical Format) 314, and a VLAN-ID 315.
  • US313 is IEEE801.
  • the user priority order defined by D consisting of values from 0 to 7, with 0 being the lowest priority and 7 being the highest priority.
  • the CF 314 is information indicating whether the destination MAC address and the source MAC address comply with the standard format.
  • VLAN-ID 315 is ID information indicating the VLAN to which the frame belongs.
  • the Ethernet type 316 is a number for identifying the communication protocol of the upper layer, and for example, 0x0800 indicates that it is a communication protocol of IPv4 (Internet Protocol version 4).
  • IPv4 Internet Protocol version 4
  • a MAC frame based on the DIX format will be described as an example.
  • the present invention is not limited to the DIX format.
  • IEEE802.NET including LLC / SNAP Logical Link Control / Subnetwork Access Protocol
  • the present invention can also be applied to transmission of 3 standard MAC frames and other layer 2 frames.
  • FIG. 5 is a frame configuration diagram showing an example of the data configuration of the encrypted frame.
  • the configuration of the encrypted frame is basically the same as that of the MAC frame shown in FIG. The difference is that a specific value indicating that the frame is an encrypted MAC frame is set in the Ethernet type 331, and an ICV (Integrity Check Value) 333 that is integrity check data of the encrypted data is added. It is a point.
  • ICV Integrity Check Value
  • 0x88E5 indicating a MACsec frame defined by IEEE802.1AE is used for the Ethernet type 331.
  • the encrypted data part 332 is data obtained by encrypting the Ethernet type 316 and the data part 302 of the MAC frame shown in FIG.
  • the frame identification unit 221 refers to the information immediately after the VLAN tag of the received frame, the Ethernet type 316 or the Ethernet type 331 in FIGS. 4 and 5, and the input frame is encrypted. It is identified whether or not the frame is converted into a frame.
  • the frame identifying unit 221 identifies that the frame is an encrypted frame
  • the frame identifying unit 221 adds the encrypted flag 341 to the frame and transmits the frame to the address filter unit 222.
  • the signal line connecting the frame identification unit 221 and the encryption necessity determination unit 223 runs side by side and information indicating that encryption has been performed directly. You may transmit to the encryption necessity determination part 223 from the frame identification part 221.
  • the address filter unit 222 compares the destination MAC address 311 of the frame received from the frame identification unit 221 with the transfer destination correspondence table to determine the transfer destination, and sends information about the determined transfer destination to the encryption necessity determination unit 223. Send.
  • FIG. 6 is a database configuration diagram showing an example of the transfer destination correspondence table according to the first embodiment of the present invention.
  • the transfer destination correspondence table is recorded in the memory 240.
  • the transfer destination correspondence table is a correspondence table in which the correspondence relationship between the destination MAC address 311 and the port that is the transfer destination and the transfer destination terminal device that is the final transfer destination is set.
  • the destination MAC address 311 of the received frame is compared with the transfer destination correspondence table to determine the transfer destination. For example, when the destination MAC address 311 is 000A01AAA001, the address filter unit 222 refers to the transfer destination correspondence table shown in FIG. 6 and uses the port 210-1 as the transfer destination port (transfer destination port) as the final address.
  • the terminal device 10a is determined as the transfer destination.
  • the transfer destination correspondence table shown in FIG. 6 is recorded in the memory 240, and may be automatically downloaded via the network, or may be manually input by the user.
  • the address filter unit 222 adds the determined transfer destination port 210-1 and the terminal device 10a to the frame as transfer destination information 342, and transmits the frame to the encryption necessity determination unit 223.
  • FIG. 7 is a frame configuration diagram showing an example of a data configuration of a frame output by the address filter unit in Embodiment 1 of the present invention. 7, the frame output from the address filter unit 222 includes an encrypted flag 341 added by the frame identification unit 221 to the MAC frame shown in FIG. 4 and transfer destination information 342 added by the address filter unit 222. This is an added configuration.
  • the destination MAC address 311 may be a multicast address associated with two or more transfer destination ports and two or more transfer destination terminal devices.
  • the transfer apparatus 200 can output not only the transfer to the transfer destination terminal apparatus but also the frame from all the ports except the total discard or the reception port.
  • the present invention is not limited to this, and transmission source information may be added.
  • the source terminal device may be added to the frame as transfer destination information 342 with reference to a correspondence table showing the correspondence between the source MAC address 312 and the source terminal device that is the source.
  • the transfer apparatus 200 can output not only the transfer to the transfer destination terminal apparatus but also the frame from all the ports except the total discard or the reception port.
  • the method of adding the transfer destination information 342 to the frame has been described as a method for the address filter unit 222 to transmit the transfer destination information 342 to the encryption necessity determination unit 223, the present invention is not limited to this.
  • the signal line connecting the unit 222 and the encryption necessity determination unit 223 may be run in parallel to directly transmit the transfer destination information 342 to the encryption necessity determination unit 223.
  • the signal lines are transmitted side by side in this way, the data capacity of the frame to be transmitted is not increased, so that it is possible to obtain the effect that the transfer destination information 342 having a larger data capacity can be transmitted. it can.
  • the encryption necessity determination unit 223 determines that the frame is a plaintext frame, and transfers the transfer destination information 342 and the encryption necessity determination table. The comparison determines whether encryption is necessary or not, and transmits information related to the determined encryption necessity to the switching processing unit 224. On the other hand, if the received frame includes the encrypted flag 341, the encryption necessity determination unit 223 determines that the frame is an encrypted frame, and compares the transfer destination information 342 with the plain culture necessity determination table. Thus, whether or not the common culture is necessary is determined, and information regarding the determined common culture necessity is transmitted to the switching processing unit 224.
  • FIG. 8 is a block diagram showing an example of the relationship between devices in the communication network according to Embodiment 1 of the present invention.
  • the terminal device 10 the relay network 20, the transmission path 30, and the transfer device 200 are the same as those in FIG.
  • a solid line indicates a device belonging to the same VLAN, and a dotted line indicates a device sharing an encryption key used for encryption and plain culture.
  • the solid line 1 is VLAN 1 with VLAN-ID 315 of 1, and the terminal devices 10e and 10f and the transfer devices 200a and 200e belong to it.
  • a solid line 2 is VLAN 2 having VLAN-ID 315 of 2, and the terminal devices 10a, 10b, 10c, and 10d and the transfer devices 200a, 200b, 200c, and 200d belong to the solid line 2.
  • a dotted line 101 indicates a device that shares the encryption key 1, and the transfer devices 200a, 200b, and 200e share the encryption key 1.
  • a dotted line 102 indicates an apparatus that shares the encryption key 2, and the transfer apparatuses 200 b and 200 c share the encryption key 2.
  • the encryption key is stored in the memory 240 of each transfer device 200 in association with the transfer destination terminal device.
  • the encryption necessity determination unit 223 and the shared encryption key recorded in the memory 240 and the transfer destination terminal device The correspondence table is compared with the transfer destination terminal device determined by the address filter unit 222 to identify the encryption key.
  • FIG. 9 is a database configuration diagram showing an example of the encryption necessity determination table according to Embodiment 1 of the present invention.
  • FIG. 9 is an encryption necessity determination table corresponding to the transfer apparatus 200b in FIG.
  • the encryption necessity determination table is a database recorded in the memory 240 and referred to by the encryption necessity determination unit 223.
  • FIG. 9 is a determination table for determining whether encryption is necessary for each combination of the US 313 included in the received frame and the transfer destination terminal device included in the transfer destination information 342 transmitted from the address filter unit 222.
  • plain text indicates that encryption is not performed.
  • the transfer device 200b indicates that US313 performs encryption in all of 0 to 7 and transmits a frame. Since the transfer device 200a and the transfer device 200b connected to the terminal device 10a share the encryption key 1, the frame addressed from the transfer device 200b to the terminal device 10a can be encrypted.
  • the transfer device 200b indicates that US313 transmits a frame in plain text in all of 0 to 7. Since the terminal device 10b is directly connected to the transfer device 200b, the terminal device 10b does not need to encrypt the frame and transmits it in plain text.
  • the transfer device 200 b transmits a frame in plain text when US 313 is 0 to 3, and encrypts and transmits a frame when US 313 is 4 to 7. Is shown. Since the transfer device 200c and the transfer device 200b connected to the terminal device 10c share the encryption key 2, the frame addressed from the transfer device 200b to the terminal device 10c can be encrypted.
  • the transfer device 200b indicates that US 313 transmits a frame in plain text in all of 0 to 7.
  • the terminal device 10d and the transfer device 200b belong to the same VLAN 1, since the transfer device 200d and the transfer device 200b connected to the terminal device 10d do not share the encryption key, the transfer device 200b addresses the terminal device 10d.
  • the frame cannot be encrypted and is all transmitted in plain text.
  • the transfer device 200b indicates that US313 transmits a frame in plain text in all of 0 to 7. Since the transfer device 200e and the transfer device 200b connected to the terminal device 10e do not share the encryption key, the frame addressed to the terminal device 10e from the transfer device 200b cannot be encrypted, and is transmitted in plain text. .
  • the transfer device 200b transmits a frame in plain text when US313 is 2 to 5, and encryption is performed when US313 is 0 to 1 and 6 to 7, Indicates that a frame is to be transmitted. In this way, fine settings can be made for each frame priority. Since the transfer device 200a and the transfer device 200b connected to the terminal device 10f share the encryption key 1, a frame addressed to the terminal device 10f from the transfer device 200b can be encrypted.
  • the VLAN tag can be read in the relay network 20 in both plaintext frames and encrypted frames transmitted from the transfer device 200b, and relay processing can be performed according to the VLAN-ID 315.
  • the terminal devices 10e and 10f belong to the VLAN 2 and the VLAN to which the transfer device 200b belongs to the VLAN 1 is different, both the plaintext frame and the encrypted frame transmitted from the transfer device 200b are terminals. It is not transferred to the devices 10e and 10f.
  • the encryption necessity determination unit 223 compares the US 313, the transfer destination information 342, and the encryption necessity determination table shown in FIG. 9, determines whether the encryption is necessary, and determines that the encryption is to be performed. 343 is added to the frame, and the frame is transmitted to the switching processing unit 224.
  • FIG. 10 is a database configuration diagram showing an example of a common culture necessity determination table according to Embodiment 1 of the present invention.
  • it is a plain culture necessity determination table in the case of the encryption key 1 corresponding to the transfer device 200b in FIG.
  • FIG. 10 shows a database recorded in the memory 240 and referred to by the encryption necessity determination unit 223.
  • the encryption necessity determination unit 223 and the shared encryption key recorded in the memory 240 and the MAC The address correspondence table is compared with the destination MAC address and the source MAC address of the received frame to identify the encryption key.
  • “encrypted” means that the frame has already been encrypted and no plainness is required, and the encryption necessity determination unit 223 transmits the frame to the switching processing unit 224 without changing the encrypted frame.
  • the plain culture indicates that the common culture is important, and the encryption necessity determination unit 223 adds a plain culture flag to the frame and transmits the frame to the switching processing unit 224.
  • the encryption necessity determination unit 223 discards the frame and does not transmit it to the switching processing unit 224.
  • the place where both encrypted and discarded can be selected in FIG. 10 is described as encrypted or discarded, but actually, a determination table in which one of the items selected by the user is described is used.
  • the transfer destination terminal device that is not a directly connected terminal device is encrypted. Use the selected decision table.
  • the determination table in which discard is selected is used.
  • the transfer device 200 that is directly connected to the terminal device 10 shares the encryption key 1 and is encrypted. If not, it is encrypted or discarded.
  • the transfer device 200b encrypts the frame because the transfer device 200 directly connected to the corresponding terminal device 10 can plainly frame the frame.
  • the transfer device 200 directly connected to the terminal device 10 cannot dispose of the frame, so the frame selected by the user is discarded as described above. Depending on the time, either the encrypted frame is transmitted or the frame is discarded.
  • the terminal device 10b which is the terminal device 10 directly connected to the transfer device 200b, is plain culture. This is because the transfer device 200b directly transfers the frame to the terminal device 10b, and thus it is necessary to level the frame.
  • the encryption necessity determination unit 223 compares the US 313 and the transfer destination information 342 with the common culture necessity determination table shown in FIG. 344 is added to the frame, and the frame is transmitted to the switching processing unit 224.
  • FIG. 10 illustrates a plain culture necessity determination table in the case of the encryption key 1 in which the transfer apparatus 200b shares the encryption key.
  • the encryption key used in the encrypted frame is When the encryption key is not shared by the transfer device 200b, the terminal device 10b directly connected to the transfer device 200b becomes a determination table that is a determination result of discard. This is because, with respect to the terminal device 10b, the transfer device 200b directly transfers the frame, and therefore, the frame that cannot be plainly read by the transfer device 200b cannot be read by the terminal device 10b.
  • FIG. 11 is a frame configuration diagram showing an example of a data configuration of a transmission frame of the encryption necessity determination unit in Embodiment 1 of the present invention.
  • FIG. 11A is a frame configuration diagram showing an example of the data configuration of the transmission frame of the encryption necessity determination unit 223 that requires encryption
  • FIG. 11B shows encryption that requires plain culture.
  • It is a frame block diagram which shows an example of the data structure of the transmission frame of the conversion necessity determination part 223.
  • 11A shows a configuration in which an encryption flag 343 is added to the transmission frame of the address filter unit 222 shown in FIG. 7, and
  • FIG. 11B shows a configuration of the address filter unit 222 shown in FIG. In this configuration, a plain culture flag 344 is added to the transmission frame.
  • the switching processing unit 224 transmits the frame to the encryption plain culture processing unit 225. If the frame does not include the encryption flag 343 and the plain culture flag 344, the frame is output to the port 210.
  • the encryption plaintext processing unit 225 uses the encryption key stored in the memory 240 to delete the encryption flag 343 from the frame. To the switching processing unit 224.
  • the encryption plain culture processing unit 225 performs plain culture using the encryption key stored in the memory 240 and sets the plain culture flag 344 from the frame. Delete it and send it to the switching processor 224.
  • the encryption is performed using the encryption key corresponding to the destination terminal device that is the destination of the received frame.
  • FIG. 12 is a flowchart showing an example of the processing flow of the processing unit in the first embodiment of the present invention.
  • the processing unit 220 starts processing when a frame is input via the port 210.
  • the frame identification unit 221 refers to the Ethernet type 316 of the received frame and identifies whether the frame is an encrypted frame.
  • the frame identifying unit 221 identifies that the frame is an encrypted frame.
  • step S102 the frame identification unit 221 adds an encrypted flag 341 to the frame when identifying that the frame is encrypted according to the identification result.
  • step S103 the address filter unit 222 compares the destination MAC address, which is the destination information of the received frame, with the transfer destination correspondence table shown in FIG. 6, and determines the transfer destination port and transfer destination terminal device that are transfer destinations. It is added to the frame as the previous information 342.
  • step S104 the encryption necessity determination unit 223 determines whether the frame is encrypted based on the presence / absence of the encrypted flag 341 added to the frame.
  • the encryption necessity determination unit 223 determines that the frame is not encrypted if the frame does not include the encrypted flag 341, and if the frame includes the encrypted flag 341, Judged as encrypted.
  • step S105 the encryption necessity determination unit 223 moves to step S106 if the frame is not encrypted according to the determination result in step S104, and if the frame is encrypted, The process proceeds to step S107.
  • step S106 the necessity of encryption is determined by comparing the transfer destination information 342 and the encryption necessity determination table shown in FIG. 9, and in the case of encryption, an encryption flag 343 is added to the frame. Transition.
  • step S107 the necessity of common culture is determined by comparing the transfer destination information 342 and the common culture necessity determination table shown in FIG. 10, and in the case of common culture, the common culture flag 344 is added to the frame, and in step S108. Transition.
  • step S108 if the frame includes the encryption flag 343 or the plain culture flag 344, the switching processing unit 224 proceeds to step S109 to encrypt or plain culture, and the encryption flag 343 or the plain culture flag If 344 is not included, the process proceeds to step S110.
  • step S109 the encryption plain culture processing unit 225 encrypts the frame using the encryption key recorded in the memory 240 when the frame has the encryption flag 343, and when the frame has the plain culture flag 344, The frame is standardized using the encryption key recorded in the memory 240. Thereafter, the encryption flag 343 and the plain culture flag 344 are deleted from the frame.
  • step S110 the switching processing unit 224 outputs the frame to the transfer destination port that is the transfer destination of the transfer destination information 342, and then ends the processing.
  • the transfer apparatus 200 of the first embodiment for frames belonging to the same VLAN, it is determined whether encryption is necessary for each frame according to attributes such as priority information included in the VLAN tag.
  • the encrypted communication and the plain culture communication can be applied to each frame.
  • the transfer apparatus 200 of Embodiment 1 since the transfer apparatus 200 can encrypt a frame, encrypted communication can be performed between terminal apparatuses 10 that do not have an encryption function. The effect that can be obtained.
  • arrows indicate the flow of frame transmission / reception
  • arrows indicated by dotted lines indicate plaintext frames
  • arrows indicated by solid lines indicate encrypted frames.
  • all the frames 11 are plaintext frames between the terminal devices 10
  • the frame 12 is an encrypted frame between the transfer devices 200, and becomes a plain culture frame between the transfer devices 200 and the terminal devices 10.
  • the transfer device 200 according to the first embodiment can transmit an encrypted frame and a plaintext frame from the same transfer destination port, and performs encrypted communication even in the terminal device 10 that does not have the encryption function. The effect that it is possible can be acquired.
  • the present invention is not limited to this, and the encryption key shared information and the transfer destination are used. The determination may be made based on whether a certain transfer destination port is a transfer destination port directly connected to the terminal device 10 or a transfer destination port connected to the transfer device 200.
  • the encryption necessity determination unit 223 determines whether the transfer destination port is a port directly connected to the terminal device 10, for example, information on the terminal device 10 directly connected to the memory 240 is recorded. If the terminal device 10 recorded in the memory 240 matches the transfer destination terminal device determined by the address filter unit 222 using the transfer destination correspondence table shown in FIG.
  • 210 is a transfer destination port directly connected to the terminal device 10.
  • the transfer destination port connected to the transfer apparatus 200 is a port other than the transfer destination port directly connected to the terminal apparatus 10, and is finally transmitted via the transfer destination port directly connected to the transfer apparatus 200 or the relay network 20.
  • This is a transfer destination port connected to the transfer apparatus 200 connected to a typical destination terminal apparatus.
  • FIG. 14 is a database configuration diagram showing an example of a common culture necessity determination table according to Embodiment 1 of the present invention.
  • FIG. 14 is a determination table for determining whether or not the common culture is necessary for each transfer destination port.
  • the transfer destination port is the terminal device 10.
  • the transfer destination port directly connects to the terminal device 10.
  • the transfer device 200 indicates that the transfer destination port is a transfer destination port connected to the transfer device 200.
  • the terminal device 10 that does not share the encryption key in FIG. 14 does not share the encryption key used in the received encrypted frame with the transfer device 200 that determines whether or not the common culture is necessary.
  • FIG. 14 is a database recorded in the memory 240 and referred to by the encryption necessity determination unit 223.
  • it is divided for each port 210 as a transfer destination port, in a network in which a VLAN is set, a plurality of transfer destination ports can be set by setting the VLAN in the same port 210.
  • the encryption necessity determination unit 223 determines whether or not the common culture is necessary, so that it is recorded in the memory 240 rather than the method for determining whether or not the common culture is necessary using the plain culture necessity determination table shown in FIG. The effect that the data capacity is small can be obtained.
  • Embodiment 2 determines whether or not the frame is encrypted, and adds the encrypted flag 341 to the frame when the frame is encrypted.
  • the frame identification unit 221 further extracts information related to the transfer destination and information related to the necessity determination of encryption from the frame and adds them to the frame as an internal header. Note that the structure of the communication network 100 and the structure of the transfer device 200 are the same as those in the first embodiment, and thus the description thereof is omitted.
  • the frame identification unit 221 extracts the destination MAC address 311 and / or the source MAC address 312 as the transfer destination related information 345 that is information related to the transfer destination of the frame from the frame shown in FIG. US313, VLAN-ID315, Ethernet type 316, etc. are extracted as the encryption necessity / unrelated information 346.
  • the frame identification unit 221 extracts the destination MAC address 311 as the transfer destination related information 345 and the US 313 as the encryption necessity related information 346 will be described.
  • the frame identification unit 221 adds the extracted transfer destination related information 345 and the encryption necessity related information 346 to the frame as an internal header 350 and transmits the frame to the address filter unit 222.
  • FIG. 15 is a frame configuration diagram showing an example of a data configuration of a transmission frame of the frame identification unit in Embodiment 2 of the present invention.
  • the internal header 350 includes transfer destination related information 345 that is information related to a frame transfer destination, and encryption necessity related information 346 that is information related to the necessity of frame encryption.
  • the destination MAC address 311 extracted by the frame identification unit 221 is the transfer destination related information 345
  • US 313 is the encryption necessity related information 346.
  • the transfer destination related information 345 and the encryption necessity related information from the unencrypted header portion 301 even if the frame is already encrypted. 346 may be extracted.
  • the address filter unit 222 that has received the frame to which the internal header 350 is added determines the transfer destination port and transfer destination terminal device of the frame using the transfer destination related information 345 of the internal header 350, and the encryption necessity determination unit 223
  • the encryption necessity / unnecessity related information 346 of the internal header 350 is used to determine whether or not the frame is encrypted.
  • the address filter unit 222 and the encryption necessity determination unit 223 use the internal header 350 extracted by the frame identification unit 221 and added to the frame. Since it is possible to determine a frame transfer destination and determine whether or not to encrypt a frame, it is not necessary for the address filter unit 222 and the encryption necessity determination unit 223 to search for a target portion of each frame, and the processing speed can be increased. The effect that can be obtained.
  • the present invention is not limited to this, and the signal lines connecting the frame identification unit 221 and the address filter unit 222 and the frame identification unit 221 and the encryption necessity determination unit 223 are run in parallel to directly transfer destination related information 345.
  • the encryption necessity information 346 may be transmitted.
  • the frame identification unit 221 has explained the method of transmitting the information included in the frame as it is to the address filter unit 222 and the encryption necessity determination unit 223 as the transfer destination related information 345 and the encryption necessity related information 346.
  • the information processed by the frame identification unit 221 may be transmitted as the transfer destination related information 345 and the encryption necessity related information 346.
  • the frame identification unit 221 obtains a priority identification result from US 313, and a frame in which the priority identification result is added to the internal header 350 as the encryption necessity information 346 is sent to the address filter unit 222 and the encryption necessity determination unit 223. You may send it.
  • FIG. 16 is a priority identification result correspondence table showing an example of the priority identification result in Embodiment 2 of the present invention.
  • the case where US313 is 0 to 1 corresponds to the low priority
  • the case where US313 is 2 to 3 the medium priority
  • the case where US313 is 4 to 5 corresponds to the highest priority.
  • the frame identification unit 221 obtains a priority identification result based on the correspondence table of FIG. FIG. 16 shows a database recorded in the memory 240 and referred to by the frame identification unit 221.
  • the encryption necessity determination unit 223 is a determination table using information originally included in a frame as in US313 shown in FIG. 9 as an encryption necessity determination table used for determining whether encryption is necessary or not.
  • the present invention is not limited to this, and a determination table using information obtained by the frame identification unit 221 as a priority identification result shown in FIG. 16 may be used.
  • FIG. 17 is a database configuration diagram showing an example of the encryption necessity determination table according to Embodiment 2 of the present invention.
  • FIG. 17 is a determination table of priority identification results and transfer destination terminal devices instead of US313 in FIG.
  • there are four priority identification results of highest priority, high priority, medium priority, and low priority and an effect that the data capacity is smaller than that of the determination table using US313 shown in FIG. 9 can be obtained.
  • FIG. 17 is omitted because US313 in FIG. 9 is merely replaced with the priority identification result.
  • FIG. 17 shows a database recorded in the memory 240 and referred to by the encryption necessity determination unit 223.
  • the transfer apparatus 200 adds the information of the upper layer in addition to the information of the layer 2 May be used to perform the transfer process.
  • the case where the MAC frame shown in FIG. 18 is a TCP (Transmission Control Protocol) / IPv4 frame will be described below as an example.
  • FIG. 18 is a frame configuration diagram showing an example of a data configuration of a frame in the second embodiment of the present invention.
  • FIG. 18A shows the configuration of the frame shown in FIG.
  • FIG. 18B shows the structure of an IPv4 frame.
  • the IPv4 frame includes IP version information 361, TOS (Type (of Service) 362, protocol number 363, source IP address 364, destination IP address 365, and other headers. It consists of an IPv4 header composed of information 366 and other information 367 which is a data portion. Note that FIG. 18B is intended to show information included in the IP frame, and does not show the exact structure of the IP frame.
  • the IP version information 361 is a value indicating the type of communication protocol, and is 4 in the IPv4 frame.
  • TOS 362 is a value indicating the type of communication, and is a value indicating the priority of the frame.
  • TOS362 consists of values from 0 to 7, with 0 being the lowest priority and 7 being the highest priority.
  • the protocol number 363 is a number for identifying the communication protocol of the upper layer. For example, 6 indicates that it is a TCP communication protocol.
  • the destination IP address 364 and the source IP address 365 are IP addresses corresponding to the third layer, which are numbers for identifying the destination of the frame and the terminal device 10 that is the source of the frame, respectively.
  • FIG. 18C shows the structure of a TCP frame, which is composed of a TCP header including a source logical port number 371, a destination logical port number 372, and other header information 373 and other information 374 which is a data portion.
  • FIG. 18C is intended to show information included in the TCP frame, and does not show the exact structure of the TCP frame.
  • the destination logical port number 371 and the transmission source logical port number 372 are numbers assigned to virtual ports connected to the terminal devices 10 that are the frame destination and the frame transmission source, respectively, and have values from 0 to 65535. Consists of.
  • the transfer apparatus 200 When the transfer apparatus 200 according to the second embodiment performs the transfer process of the MAC frame including the TCP / IPv4 frame illustrated in FIG. 18, the destination MAC address 311, the source MAC address 312, and the destination IP address 364 as the transfer destination related information 345.
  • the source IP address 365, the destination logical port number 371, or the source logical port number 372 are extracted, and the encryption necessity / unnecessity related information 346 includes US313, VLAN-ID315, Ethernet type 316, TOS362 or protocol number 363. Extract one.
  • the address filter unit 222 determines the transfer destination terminal device that is the final destination, and the encryption necessity determination unit 223 determines whether the encryption is necessary or not. .
  • the determination may be made using an encryption necessity determination table using TOS362 instead of US313 in the encryption necessity determination table shown in FIG.
  • Embodiment 3 In the first embodiment, the case where the processing unit 220 of the transfer apparatus 200 includes the frame identification unit 221, the address filter unit 222, and the encryption necessity determination unit 223 corresponding to each port has been described.
  • the third embodiment an embodiment in which a frame transmitted from each port is multiplexed once before being transmitted to each unit will be described. Note that the configuration of the communication network is the same as that of the first embodiment, and thus description thereof is omitted. The configuration of the transfer device 200 is also omitted because the processing unit 220 in the first embodiment is simply replaced with the processing unit 420.
  • FIG. 19 is a configuration diagram illustrating an example of a configuration of a processing unit according to the third embodiment of the present invention.
  • the input multiplexing unit 421 is added to the processing unit 220 of the first embodiment, and the frame identification unit 221, the address filter unit 222, and the encryption necessity determination unit 223 are each one. It is a configuration.
  • FIG. 19 shows ports 210 (210-1 to 210-3) in addition to the processing unit 420.
  • the input multiplexing unit 421 receives a frame from each port 210, multiplexes the input frame, and transmits the multiplexed frame to the frame identification unit 221.
  • the frame identification unit 221, the address filter unit 222, the encryption necessity determination unit 223, the switching processing unit 224, and the encrypted plain culture processing unit 225 process the frames multiplexed by the input multiplexing unit 421.
  • the frame identification unit 221, the address filter unit 222, the encryption necessity determination unit 223, the switching processing unit 224, and the encrypted plain culture processing unit 225 are the same as those in the first embodiment, the description thereof is omitted. Also, the processing flow of the processing unit 420 is omitted because only the processing of multiplexing the frame in the input multiplexing unit 421 is added to the processing unit 220 of the first embodiment.
  • the processing unit 220 includes the input multiplexing unit 421, so that the frame identification unit 221, the address filter unit 222, and the encryption required component included in the processing unit 220. It is possible to reduce the number of rejection determination units 223 and to obtain an effect that the circuit scale of the processing unit 420 can be reduced.
  • the frame identification unit 221, the address filter unit 222, and the encryption necessity determination unit 223 included in the processing unit 420 are described as one, two or more may be provided according to the number of ports to be connected.
  • Embodiment 4 FIG.
  • a description will be given of a transfer apparatus 200 that includes two transmission paths in which the switching processing unit 224 performs transmission / reception of a frame that performs encryption plain culture and a transmission path that does not perform encryption plain culture.
  • the configuration of the communication network 100 and the configuration of the transfer device 200 are the same as those in the first embodiment, and thus description thereof is omitted.
  • FIG. 20 is a configuration diagram illustrating an example of a switching processing unit according to the fourth embodiment of the present invention.
  • the switching processing unit 224 in FIG. 20 includes an encrypted plain culture required recording unit 501 having a queue for recording a frame for performing the encrypted plain culture, and an encryption plain culture not having a queue for recording a frame for which the encrypted plain culture is not performed.
  • the recording unit 502, an encrypted plain path 503 for transmitting / receiving a frame for performing encrypted plain culture, a low delay path 504 for transmitting / receiving a frame as it is without performing encrypted plain culture, and a frame transmission timing are controlled.
  • a transmission control unit 505 is provided.
  • the transmission control unit 505 controls the transmission of frames from the encrypted plain culture requirement recording unit 501 and the encrypted plain culture rejection recording unit 502 and the transmission of frames to each port 210 (not shown).
  • a solid line indicates data transmission / reception
  • a dotted line indicates a control command.
  • an encrypted plain culture processing unit 225 connected to the switching processing unit 224 is described.
  • a frame including the encryption flag or the plain culture flag is received by the encryption plain culture necessity recording unit 501, and a frame not including the encryption flag or the plain culture flag is recorded as the encrypted plain culture rejection record.
  • the unit 502 receives it.
  • the encrypted plain culture required recording unit 501 has a queue for recording a frame for performing encrypted plain culture. Upon receiving an instruction to transmit a frame from the transmission control unit 505, the oldest information recorded in the queue is The data is transmitted to the encrypted plain culture processing unit 225 via the encrypted plain culture path 503.
  • the encrypted plaintext rejection unit 502 has a queue for recording frames that are not encrypted, and when receiving an instruction to transmit a frame from the transmission control unit 505, the oldest information recorded in the queue is displayed. Then, the data is transmitted to the transmission control unit 505 through the low delay path 504.
  • the transmission control unit 505 instructs the encrypted plain culture required recording unit 501 and the encrypted plain culture rejection recording unit 502 to transmit a frame, and when receiving a frame transmitted from the encrypted plain culture processing unit 225, the transmission included in the frame
  • the transmission of a frame to each port 210 is controlled according to the destination information 342.
  • the switching processing unit 224 includes the encrypted plain culture path 503 and the low delay path 504, so that The transmission paths of frames that do not require culture can be made different, and the transfer apparatus 200 can obtain an effect that transmission of frames that do not require encrypted plain culture can be prevented from being delayed.
  • VLAN 1 area 1 VLAN 1 area, 2 VLAN 2 area, 10 terminal device, 11, 12 frame, 20 relay network, 30 transmission path, 100 communication network, 101 encryption key 1 shared area, 102 encryption key 2 shared area, 200 transfer device, 210 port, 220, 420 processing unit, 230 control unit, 240 memory, 250 interface, 260 local bus, 221 frame identification unit, 222 address filter unit, 223 encryption necessity determination unit, 224 switching processing unit, 225 encryption plain culture processing unit 421, input multiplexing unit, 501 encrypted plain culture required recording unit, 502 encrypted plain culture rejected recording unit, 503 encrypted plain culture path, 504 low delay path, 505 transmission control unit.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Small-Scale Networks (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

レイヤ２のフレームが入出力される複数のポートと、フレームが暗号化されているか否かを識別するフレーム識別部（２２１）と、フレームが出力されるポートを決定するアドレスフィルタ部（２２２）と、フレームに含まれる宛先情報と優先度情報とに応じた暗号化要否判定表と、フレームに含まれる宛先情報に応じた平文化要否判定表とを備え、暗号化されていないフレームの場合、暗号化要否判定表に基づいて当該フレームの暗号化要否を判定し、暗号化されているフレームの場合、平文化要否判定表に基づいて当該フレームの平文化要否を判定する暗号化要否判定部（２２３）と、暗号化要と判定されたフレームを暗号化し、平文化要と判定されたフレームを平文化する暗号化平文化処理部（２２５）と、フレームをポートに出力するスイッチング処理部（２２４）と、を備えることで暗号化通信と平文通信の両方を実現することができる転送装置（２００）を提供する。

Description

転送装置および通信ネットワーク
　本発明は、ネットワークにおいてデータを転送する転送装置に関するものである。
　従来、スイッチングハブなどの転送装置を有するレイヤ２ネットワークにおける暗号化および認証技術として、ＩＥＥＥ（The Institute of Electrical and Electronics Engineers）　８０２．１ＡＥにて標準化されたＭＡＣｓｅｃ（Media Access Control Security）がある。ＭＡＣｓｅｃでは、隣り合う転送装置間（リンクバイリンク）の暗号化通信のみが想定され、転送するフレーム（転送フレーム）の転送先に関する情報についてＭＡＣアドレス以外が全て暗号化される。そのため、転送経路にＭＡＣｓｅｃ非対応の転送装置を挟んでしまうと暗号化された情報を読み取れずＭＡＣアドレス以外の転送先に関する情報を取得できないので、ＭＡＣアドレスでの転送制御しか行えなくなり、ＶＬＡＮが設定されたレイヤ２ネットワークにおいて設定されたＶＬＡＮに適した転送フレームの転送ができないという問題がある。
　上述の問題を解決するため特許文献１では、転送フレームがＭＡＣアドレス以外にＶＬＡＮ（Virtual Local Area Network）を識別するＶＬＡＮ－ＩＤを暗号化しない情報とする構成となっており、ＶＬＡＮが設定されたレイヤ２ネットワークにおいて転送経路の転送装置が暗号化された情報を読み取れなくてもＭＡＣアドレスだけでなくＶＬＡＮ－ＩＤにて転送制御を行える転送装置が提案されている。
特許第５０６００８１（図３Ａ、図３Ｂ）
　しかしながら、特許文献１の転送装置では、ＶＬＡＮ－ＩＤにて転送フレームの暗号化要否を判断しているのみであり、ＶＬＡＮごとに暗号化通信あるいは平文通信のいずれかを選択できるものの、ＶＬＡＮ－ＩＤ以外の情報を用いた転送フレーム毎のよりきめ細かい制御ができないという問題があった。
　本発明は上述の問題を解決するためになされたもので、同じＶＬＡＮに対する転送フレームであってもその属性に応じて暗号化通信と平文通信を切り替えることができる転送装置を実現することを目的とする。
　上述した課題を解決し、目的を達成するために、本発明の転送装置は、レイヤ２のフレームが入出力される複数のポートと、ポートで受信されたフレームが暗号化されているか否かを識別するフレーム識別部と、フレームが出力されるポートを決定するアドレスフィルタ部と、フレームに含まれる宛先情報と優先度情報とに応じたフレームの暗号化要否を定める暗号化要否判定表と、フレームに含まれる宛先情報に応じた平文化要否を定める平文化要否判定表とを備え、フレーム識別部において暗号化されていないフレームであると識別された場合、暗号化要否判定表に基づいて当該フレームの暗号化要否を判定し、フレーム識別部において暗号化されているフレームであると識別された場合、平文化要否判定表に基づいて当該フレームの平文化要否を判定する暗号化要否判定部と、暗号化要否判定部において暗号化要と判定されたフレームを暗号化し、平文化要と判定されたフレームを平文化する暗号化平文化処理部と、暗号化不要もしくは平文化不要と判定されたフレームおよび暗号化もしくは平文化されたフレームをアドレスフィルタ部において決定されたポートに出力するスイッチング処理部と、を備えるものである。
　本発明にかかる転送装置によれば、上述の構成を備えるため、同一のＶＬＡＮに属する転送フレームの属性に応じてフレーム単位に暗号化通信あるいは平文通信を適用することができる。
本発明の実施の形態１に係る通信ネットワークの一例を示す構成図である。 本発明の実施の形態１における転送装置の一例を示す構造図である。 本発明の実施の形態１における処理部の構成の一例を示す構成図である。 本発明の実施の形態１におけるフレームのデータ構成の一例を示すフレーム構成図である。 本発明の実施の形態１における暗号化されたフレームのデータ構成の一例を示すフレーム構成図である。 本発明の実施の形態１における転送先対応表の一例を示すデータベース構成図である。 本発明の実施の形態１におけるアドレスフィルタ部の送信フレームのデータ構成の一例を示すフレーム構成図である。 本発明の実施の形態１に係る通信ネットワークにおける各装置関係の一例を示す構成図である。 本発明の実施の形態１における暗号化要否判定表の一例を示すデータベース構成図である。 本発明の実施の形態１における平文化要否判定表の一例を示すデータベース構成図である。 本発明の実施の形態１における暗号化要否判定部の送信フレームのデータ構成の一例を示すフレーム構成図である。 本発明の実施の形態１における処理部の処理の流れの一例を示す処理フローチャートである。 本発明の実施の形態１における転送装置の効果の一例を示す説明図である。 本発明の実施の形態１における平文化要否判定表の一例を示すデータベース構成図である。 本発明の実施の形態２におけるフレーム識別部の送信フレームのデータ構成の一例を示すフレーム構成図である。 本発明の実施の形態２における優先度識別結果の一例を示す優先度識別結果対応表である。 本発明の実施の形態２における暗号化要否判定表の一例を示すデータベース構成図である。 本発明の実施の形態２におけるフレームのデータ構成の一例を示すフレーム構成図である。 本発明の実施の形態３における処理部の構成の一例を示す構成図である。 本発明の実施の形態４におけるスイッチング処理部の一例を示す構成図である。
　以下に、本発明にかかる転送装置の実施の形態を図面に基づいて詳細に説明する。以下で参照する図面においては、同一もしくは相当する部分に同一の符号を付している。なお、この実施の形態によりこの発明が限定されるものではない。
　実施の形態１．
　図１は、本発明の実施の形態１に係る通信ネットワークの一例を示す構成図である。図１において、通信ネットワーク１００は、端末装置１０（１０ａから１０ｆ）、中継ネットワーク２０、伝送路３０、および転送装置２００（２００ａから２００ｅ）を備える。なお、説明のため通信ネットワーク１００が６台の端末装置１０と５台の転送装置２００とを備えているとしているが、これに限定されず任意の端末装置１０と転送装置２００を備えていてよい。また、通信ネットワーク１００は、ＶＬＡＮに対応したＭＡＣ（Media Access Control）フレームを伝送するネットワークである。
　端末装置１０は、通信ネットワーク１００に接続された他の装置とデータの送受信を行う通信の主体となる装置であり、パーソナルコンピュータなどである。
　中継ネットワーク２０は、転送装置２００間を相互接続するネットワークであり、各転送装置２００間に情報を中継するレイヤ２ネットワークである。
　伝送路３０は、端末装置１０と転送装置２００との間、および転送装置２００と中継ネットワーク２０の間を接続する伝送路であり、同軸ケーブル、光ケーブル、およびＬＡＮケーブルなどである。伝送路３０と中継ネットワーク２０を介して接続された装置は、相互にデータの送受信を行える。
　転送装置２００は、端末装置１０および中継ネットワーク２０と伝送路３０を介して接続され、受信したデータを接続された端末装置１０あるいは中継ネットワーク２０へ転送する。転送装置２００の転送方法の詳細については後述する。
　次に、図２を用いて転送装置２００のハードウェア構成を説明する。図２は、本発明の実施の形態１における転送装置の一例を示す構造図である。図２において、転送装置２００は、外部とのインタフェースであるＮ個（Ｎは２以上の整数）のポート２１０（２１０－１から２１０－Ｎ）、処理を実行する処理部２２０、処理部２２０を制御する制御部２３０、データが記録されるメモリ２４０、ポート２１０と処理部２２０を接続するインタフェース２５０（２５０－１から２５０－Ｎ）、処理部２２０、制御部２３０、およびメモリ２４０とをそれぞれ接続するローカルバス２６０とを備える。
　ここで、処理部２２０は、転送フレームの転送処理を実行する。処理部２２０は、ＦＰＧＡ（Field Programmable Gate Array）、あるいはＬＳＩ（Large Scale Integration）などであればよい。
　制御部２３０は、設定の変更など処理部２２０を制御する。制御部２３０は、ＣＰＵ（Central Processing Unit）などであればよい。
　メモリ２４０は、処理部２２０から呼び出される転送フレームを転送する転送処理プログラムと制御部２３０から呼び出される制御プログラム、および各種データベースが記録される。
　インタフェース２５０は、ＭＩＩ（Media Independent Interface）あるいはＸＡＵＩ（10Gigabit Attachment Unit Interface）などの一般的な規格に基づくインタフェースであればよい。
　ローカルバス２６０は、ＰＣＩ（Peripheral Component Interconnect）バスあるいはＰＣＩ　Ｅｘｐｒｅｓｓ（登録商標）などの拡張バスであればよい。
　なお、処理部２２０と制御部２３０を別体である場合について説明しているが、一体の処理部としてＣＰＵなどで構成されてもよい。
　図３は、本発明の実施の形態１における処理部の構成の一例を示す構成図である。なお、ここでは説明のため処理部２２０に接続するポート２１０を３台とする。なお、図示は省略しているが、処理部２２０に接続するポートは２１０－１、２１０－２、および２１０－３の３台である。
　図３において処理部２２０は、フレーム識別部２２１、アドレスフィルタ部２２２、暗号化要否判定部２２３、スイッチング処理部２２４、および暗号化平文化処理部２２５を備える。
　フレーム識別部２２１は、接続するポート２１０から受信したフレームが暗号化されているフレームであるかを識別し、暗号化されている場合は暗号化済みである旨の情報を暗号化要否判定部２２３に送信する。フレーム識別部２２１の識別方法の詳細は後述する。
　図４は、本発明の実施の形態１におけるＭＡＣフレームのデータ構成の一例を示すフレーム構成図である。図４に示すフレームフォーマットは、ＤＩＸフォーマットのイーサネット（登録商標）フレームにＶＬＡＮタグ３１８を付加した構造になっており、ヘッダ部３０１、ＭＡＣフレームで伝送されるデータが含まれるデータ部３０２、フレームに誤りがないかを調べるための情報であるＦＣＳ（Frame Check Sequence）３０３を含んでいる。さらにヘッダ部３０１は、宛先ＭＡＣアドレス３１１、送信元ＭＡＣアドレス３１２、ＶＬＡＮタグ３１８、イーサネットタイプ３１６を含んでいる。また、ＶＬＡＮタグ３１８はＵＳ（User Priority）３１３、ＣＦ（Canonical Format）３１４、ＶＬＡＮ－ＩＤ３１５を含んでいる。
　ＵＳ３１３は、ＩＥＥＥ８０１．Ｄにて規定されたユーザ優先順位であり、０から７までの値からなり、０が最も優先度が低く、７が最も優先度が高く規定されている。ＣＦ３１４は、宛先ＭＡＣアドレスと送信元ＭＡＣアドレスが標準フォーマットに従っているかを示す情報である。ＶＬＡＮ－ＩＤ３１５は、フレームが所属するＶＬＡＮを示すＩＤ情報である。
　イーサネットタイプ３１６は上位層の通信規約を識別するための番号であり、例えば、０ｘ０８００がＩＰｖ４（Internet Protocol version 4）の通信規約であることを示している。この実施の形態ではＤＩＸフォーマットに基づいたＭＡＣフレームを例に説明するが、この発明はＤＩＸフォーマットだけに限定されるものではなく、例えばＬＬＣ／ＳＮＡＰ（Logical Link Control/Subnetwork Access Protocol）を含むＩＥＥＥ８０２．３規格のＭＡＣフレームや、その他のレイヤ２フレームを伝送する場合にも適用可能である。
　次に、図５を用いてこの実施の形態に係る暗号化されたＭＡＣフレーム（暗号化フレーム）の構成について説明する。図５は、暗号化フレームのデータ構成の一例を示すフレーム構成図である。
　図５において暗号化フレームの構成は図４に示したＭＡＣフレームと基本的に同じである。異なる点は、イーサネットタイプ３３１に暗号化されたＭＡＣフレームであることを示す特定の値が設定されることと、暗号化データの整合性チェックデータであるＩＣＶ（Integrity Check Value）３３３が付加されている点である。ここでは、イーサネットタイプ３３１にＩＥＥＥ８０２．１ＡＥにて規定されたＭＡＣｓｅｃのフレームであることを示す０ｘ８８Ｅ５を用いることとする。なお暗号化データ部３３２は、図４に示すＭＡＣフレームのイーサネットタイプ３１６とデータ部３０２が暗号化されたデータである。
　図３に戻って、フレーム識別部２２１は、受信したフレームのＶＬＡＮタグの一つ後ろの情報、図４と図５におけるイーサネットタイプ３１６、あるいはイーサネットタイプ３３１を参照して、入力されたフレームが暗号化されているフレームであるか否かを識別する。フレーム識別部２２１は、フレームが暗号化されているフレームであると識別した場合、暗号化済みフラグ３４１をフレームに付加し、アドレスフィルタ部２２２に送信する。なお、フレーム識別部２２１がフレームに暗号化済みフラグ３４１を付加する以外にフレーム識別部２２１と暗号化要否判定部２２３を接続する信号線を並走させ直接暗号化済みである旨の情報をフレーム識別部２２１から暗号化要否判定部２２３に送信してもよい。
　アドレスフィルタ部２２２は、フレーム識別部２２１から受信したフレームの宛先ＭＡＣアドレス３１１と転送先対応表とを比較して転送先を決定し、決定した転送先に関する情報を暗号化要否判定部２２３に送信する。
　図６は、本発明の実施の形態１における転送先対応表の一例を示すデータベース構成図である。なお、転送先対応表はメモリ２４０に記録されている。
　図６において転送先対応表は、宛先ＭＡＣアドレス３１１と転送先であるポート、および最終的な転送先である転送先端末装置との対応関係が設定された対応表であり、アドレスフィルタ部２２２は、受信したフレームの宛先ＭＡＣアドレス３１１と転送先対応表を比較し、転送先を決定する。例えば、宛先ＭＡＣアドレス３１１が０００Ａ０１ＡＡＡ００１である場合、アドレスフィルタ部２２２は、図６に示す転送先対応表を参照して、転送先のポート（転送先ポート）としてポート２１０－１を、最終的な転送先として端末装置１０ａを決定する。なお、図６に示す転送先対応表は、メモリ２４０に記録されており、ネットワーク経由にて自動でダウンロードされても、あるいはユーザが手入力により入力してもよい。
　アドレスフィルタ部２２２は、決定した転送先ポートであるポート２１０－１と端末装置１０ａを転送先情報３４２としてフレームに付加し、暗号化要否判定部２２３に送信する。図７は、本発明の実施の形態１におけるアドレスフィルタ部が出力するフレームのデータ構成の一例を示すフレーム構成図である。図７において、アドレスフィルタ部２２２が出力するフレームは、図４に示すＭＡＣフレームにフレーム識別部２２１にて付加された暗号化済みフラグ３４１とアドレスフィルタ部２２２にて付加された転送先情報３４２が付加された構成である。
　なお、転送先対応表として図６に示すように宛先ＭＡＣアドレス３１１に対して１つの転送先ポートおよび１つの転送先端末装置が対応付けられている例について説明したが、これに限定されず、宛先ＭＡＣアドレス３１１が２つ以上の転送先ポートおよび２つ以上の転送先端末装置が対応付けられるマルチキャストアドレスであってもよい。
　また、特定の宛先ＭＡＣアドレス３１１に対しては転送先対応表において転送先端末装置の代わりにフレームを全廃棄する、あるいは受信ポートを除く全ポートから出力すると設定してもよい。このようにすることで、転送装置２００は、転送先端末装置への転送だけでなく、フレームを全廃棄あるいは受信ポートを除く全ポートから出力することができる。
　また、転送先情報３４２として宛先情報のみがフレームに付加されている場合について説明しているが、これに限定されず、送信元情報が付加されていてもよい。例えば、送信元ＭＡＣアドレス３１２と送信元である送信元端末装置の対応関係を示す対応表を参照し、送信元端末装置を転送先情報３４２としてフレームに付加してもよい。
　また、特定の送信元ＭＡＣアドレス３１２に対しては送信元端末装置の対応関係を示す対応表において送信元先端末装置の代わりにフレームを全廃棄する、あるいは受信ポートを除く全ポートから出力すると設定してもよい。このようにすることで、転送装置２００は、転送先端末装置への転送だけでなく、フレームを全廃棄あるいは受信ポートを除く全ポートから出力することができる。
　なお、アドレスフィルタ部２２２が暗号化要否判定部２２３に転送先情報３４２を送信する方法として、フレームに転送先情報３４２を付加する方法を説明しているが、これに限定されず、アドレスフィルタ部２２２と暗号化要否判定部２２３を接続する信号線を並走させ直接転送先情報３４２を暗号化要否判定部２２３に送信するとしてもよい。このように信号線を並走させて送信する場合は、送信するフレームのデータ容量を大きくすることがないため、より大きなデータ容量の転送先情報３４２を送信することができるという効果を得ることができる。
　図３に戻って、暗号化要否判定部２２３は、受信したフレームに暗号化済みフラグ３４１の無い場合、フレームは平文フレームであると判定し転送先情報３４２と暗号化要否判定表とを比較して暗号化要否を決定し、決定した暗号化要否に関する情報をスイッチング処理部２２４に送信する。一方、暗号化要否判定部２２３は、受信したフレームに暗号化済みフラグ３４１が有る場合、フレームは暗号化されたフレームであると判定し転送先情報３４２と平文化要否判定表とを比較して平文化要否を決定し、決定した平文化要否に関する情報をスイッチング処理部２２４に送信する。
　まず、受信したフレームに暗号化済みフラグ３４１の無い場合について説明する。
　図８は、本発明の実施の形態１に係る通信ネットワークにおける各装置関係の一例を示す構成図である。ここで、端末装置１０、中継ネットワーク２０、伝送路３０、および転送装置２００は図１と同様であるため、説明を省略する。
　図８において、実線は同じＶＬＡＮに所属している装置を、点線は暗号化と平文化に用いる暗号鍵を共有している装置を示している。実線１はＶＬＡＮ－ＩＤ３１５が１であるＶＬＡＮ１であり、端末装置１０ｅと１０ｆ、および転送装置２００ａと２００ｅが所属している。実線２はＶＬＡＮ－ＩＤ３１５が２であるＶＬＡＮ２であり、端末装置１０ａ、１０ｂ、１０ｃ、１０ｄ、および転送装置２００ａ、２００ｂ、２００ｃ、２００ｄが所属している。
　点線１０１は、暗号鍵１を共有している装置を示しており、転送装置２００ａ、２００ｂおよび２００ｅが暗号鍵１を共有している。点線１０２は、暗号鍵２を共有している装置を示しており、転送装置２００ｂと２００ｃが暗号鍵２を共有している。なお、暗号鍵は転送先端末装置と対応付けられて各転送装置２００のメモリ２４０に記憶されている。また、暗号化要否判定部２２３が暗号化に用いる暗号鍵を特定する方法としては、例えば暗号化要否判定部２２３がメモリ２４０に記録された共有している暗号鍵と転送先端末装置の対応表と、アドレスフィルタ部２２２にて決定した転送先端末装置とを比較し、暗号鍵を特定する。
　図９は、本発明の実施の形態１における暗号化要否判定表の一例を示すデータベース構成図である。ここで、図９は図８における転送装置２００ｂに対応する暗号化要否判定表である。なお、暗号化要否判定表は、メモリ２４０に記録されており、暗号化要否判定部２２３が参照するデータベースである。
　図９は、受信したフレームに含まれるＵＳ３１３とアドレスフィルタ部２２２から送信された転送先情報３４２に含まれる転送先端末装置との組み合わせごとの暗号化要否の判定表である。ここで、平文とは暗号化しないことを示している。
　図９において、転送先端末装置が端末装置１０ａである場合、転送装置２００ｂはＵＳ３１３が０から７全てにおいて暗号化を行い、フレームを送信することを示している。なお、端末装置１０ａに接続する転送装置２００ａと転送装置２００ｂが暗号鍵１を共有しているため、転送装置２００ｂから端末装置１０ａ宛てのフレームは暗号化することができる。
　図９において、転送先端末装置が端末装置１０ｂである場合、転送装置２００ｂはＵＳ３１３が０から７全てにおいて平文にてフレームを送信することを示している。なお、端末装置１０ｂは転送装置２００ｂと直接接続しているため、端末装置１０ｂはフレームを暗号化する必要がなく平文にて送信する。
　図９において、転送先端末装置が端末装置１０ｃである場合、転送装置２００ｂはＵＳ３１３が０から３において平文にてフレームを送信し、ＵＳ３１３が４から７において暗号化を行い、フレームを送信することを示している。なお、端末装置１０ｃに接続する転送装置２００ｃと転送装置２００ｂが暗号鍵２を共有しているため、転送装置２００ｂから端末装置１０ｃ宛てのフレームは暗号化することができる。
　図９において、転送先端末装置が端末装置１０ｄである場合、転送装置２００ｂはＵＳ３１３が０から７全てにおいて平文にてフレームを送信することを示している。なお、端末装置１０ｄと転送装置２００ｂは同じＶＬＡＮ１に所属しているが、端末装置１０ｄに接続する転送装置２００ｄと転送装置２００ｂが暗号鍵を共有していないため、転送装置２００ｂから端末装置１０ｄ宛てのフレームは暗号化することができず、全て平文にて送信する。
　図９において、転送先端末装置が端末装置１０ｅである場合、転送装置２００ｂはＵＳ３１３が０から７全てにおいて平文にてフレームを送信することを示している。なお、端末装置１０ｅに接続する転送装置２００ｅと転送装置２００ｂが暗号鍵を共有していないため、転送装置２００ｂから端末装置１０ｅ宛てのフレームは暗号化することができず、全て平文にて送信する。
　図９において、転送先端末装置が端末装置１０ｆである場合、転送装置２００ｂはＵＳ３１３が２から５において平文にてフレームを送信し、ＵＳ３１３が０から１、および６から７において暗号化を行い、フレームを送信することを示している。このようにフレームの優先度ごとに細かい設定を行うことができる。なお、端末装置１０ｆに接続する転送装置２００ａと転送装置２００ｂが暗号鍵１を共有しているため、転送装置２００ｂから端末装置１０ｆ宛てのフレームは暗号化することができる。
　なお、転送装置２００ｂから送信された平文フレームと暗号化フレームのいずれにおいても中継ネットワーク２０においてＶＬＡＮタグを読み取ることができ、ＶＬＡＮ－ＩＤ３１５に従って中継処理を行える。例えば、端末装置１０ｅと１０ｆはＶＬＡＮ２に所属しておりＶＬＡＮ１に所属している転送装置２００ｂと所属するＶＬＡＮが異なっているため、転送装置２００ｂから送信された平文フレームと暗号化フレームのいずれも端末装置１０ｅと１０ｆには転送されない。
　暗号化要否判定部２２３は、ＵＳ３１３と転送先情報３４２と、図９に示す暗号化要否判定表とを比較し、暗号化要否を判定し暗号化すると判定した場合は、暗号化フラグ３４３をフレームに付加し、フレームをスイッチング処理部２２４に送信する。
　次に、受信したフレームに暗号化済みフラグ３４１の有る場合について説明する。
　図１０は、本発明の実施の形態１における平文化要否判定表の一例を示すデータベース構成図である。ここで、図１０における転送装置２００ｂに対応し暗号鍵１である場合の平文化要否判定表である。なお、図１０は、メモリ２４０に記録されており、暗号化要否判定部２２３が参照するデータベースである。また、暗号化要否判定部２２３が受信した暗号化されたフレームの暗号鍵を特定する方法としては、例えば暗号化要否判定部２２３がメモリ２４０に記録された共有している暗号鍵とＭＡＣアドレスの対応表と、受信したフレームの宛先ＭＡＣアドレスおよび送信元ＭＡＣアドレスとを比較し、暗号鍵を特定する。
　図１０において、暗号化済みとは既にフレームが暗号化されており平文化不要であることを示し、暗号化要否判定部２２３は暗号化されたフレームのままスイッチング処理部２２４へフレームを送信する。平文化とは平文化要であることを示し、暗号化要否判定部２２３はフレームに平文化フラグを付加し、スイッチング処理部２２４へフレームを送信する。廃棄は、暗号化要否判定部２２３がフレームを廃棄し、スイッチング処理部２２４へは送信しない。なお、説明のため図１０において暗号化済みと廃棄のどちらも選択できるところは暗号化済みｏｒ廃棄と記載しているが、実際はユーザが選択したどちらか一方が記載された判定表を用いる。例えば、ユーザが、転送装置２００がフレームを廃棄するのは端末装置１０に直接送信する時のみであることを選択するのであれば、直接接続する端末装置でない転送先端末装置については暗号化済みを選択した判定表を用いる。一方、ユーザが、端末装置１０に直接接続された転送装置２００が暗号鍵を共有していないと判明した時点でフレームを廃棄するのであれば、廃棄を選択した判定表を用いる。
　また、図１０において、転送装置２００ｂに直接接続されていない端末装置１０の場合は、端末装置１０に直接接続する転送装置２００が暗号鍵１を共有していると暗号化済みであり、共有していないと暗号化済みｏｒ廃棄である。これは、端末装置１０に直接接続する転送装置２００が暗号鍵１を共有している場合は、該当する端末装置１０に直接接続する転送装置２００がフレームを平文化できるため転送装置２００ｂが暗号化されたフレームをそのまま送信し、暗号鍵１を共有していない場合は、端末装置１０に直接接続する転送装置２００がフレームを平文化できないため、上述のようにユーザが選択したフレームの廃棄を行う時点によって暗号化されたフレームまま送信するかあるいはフレームを廃棄するかのいずれかの処理を行う。
　図１０において、転送装置２００ｂに直接接続されている端末装置１０である端末装置１０ｂの場合は、平文化である。これは、転送装置２００ｂが直接端末装置１０ｂにフレームを転送するのでフレームを平文化する必要があるためである。
　暗号化要否判定部２２３は、ＵＳ３１３と転送先情報３４２と、図１０に示す平文化要否判定表とを比較し、平文化要否を判定し平文化すると判定した場合は、平文化フラグ３４４をフレームに付加し、フレームをスイッチング処理部２２４に送信する。
　なお、図１０において、ＵＳ３１３の値によって判定結果が変わらない場合について説明しているが、これに限らず、必要に応じてＵＳ３１３の値によって判定結果を変更してもよい。
　また、図１０は、転送装置２００ｂが暗号鍵を共有している暗号鍵１の場合の平文化要否判定表について説明しているが、暗号化されたフレームに用いられている暗号鍵が、転送装置２００ｂが共有していない暗号鍵である場合は、転送装置２００ｂに直接接続する端末装置１０ｂは廃棄との判定結果である判定表となる。これは、端末装置１０ｂについては転送装置２００ｂが直接フレームを転送するので、転送装置２００ｂで平文化できないフレームは端末装置１０ｂでは読み取ることができないためである。
　図１１は、本発明の実施の形態１における暗号化要否判定部の送信フレームのデータ構成の一例を示すフレーム構成図である。図１１（ａ）は、暗号化要否要の暗号化要否判定部２２３の送信フレームのデータ構成の一例を示すフレーム構成図であり、図１１（ｂ）は、平文化要否要の暗号化要否判定部２２３の送信フレームのデータ構成の一例を示すフレーム構成図である。ここで、図１１（ａ）は、図７に示すアドレスフィルタ部２２２の送信フレームに暗号化フラグ３４３が付加された構成であり、図１１（ｂ）は、図７に示すアドレスフィルタ部２２２の送信フレームに平文化フラグ３４４が付加された構成である。
　図３に戻って、スイッチング処理部２２４は、暗号化要否判定部２２３から受信したフレームに暗号化フラグ３４３あるいは平文化フラグ３４４が含まれる場合、フレームを暗号化平文化処理部２２５に送信し、フレームに暗号化フラグ３４３および平文化フラグ３４４が含まれない場合、フレームをポート２１０に出力する。
　暗号化平文化処理部２２５は、スイッチング処理部２２４から受信したフレームに暗号化フラグ３４３が含まれる場合、メモリ２４０に記憶された暗号鍵を用いて暗号化しフレームから暗号化フラグ３４３を削除して、スイッチング処理部２２４に送信する。一方、暗号化平文化処理部２２５は、スイッチング処理部２２４から受信したフレームに平文化フラグ３４４が含まれる場合、メモリ２４０に記憶された暗号鍵を用いて平文化しフレームから平文化フラグ３４４を削除して、スイッチング処理部２２４に送信する。
　なお、メモリ２４０に記録された暗号鍵が２つある場合は、受信したフレームの宛先である宛先端末装置に対応する暗号鍵を用いて暗号化する。
　次に処理部２２０の処理の流れについて図１２を用いて説明する。図１２は、本発明の実施の形態１における処理部の処理の流れの一例を示すフローチャートである。処理部２２０は、ポート２１０を介してフレームが入力されると処理を開始する。
　まず、ステップＳ１０１では、フレーム識別部２２１は受信したフレームのイーサネットタイプ３１６を参照しフレームが暗号化されているフレームであるかを識別する。フレーム識別部２２１は、値が０ｘ８８Ｅ５である場合、暗号化されているフレームであると識別する。
　ステップＳ１０２では、フレーム識別部２２１は、識別結果に応じて、フレームが暗号化されていると識別した場合に暗号化済みフラグ３４１をフレームに付加する。
　ステップＳ１０３では、アドレスフィルタ部２２２は、受信したフレームの宛先情報である宛先ＭＡＣアドレスと図６に示す転送先対応表を比較し転送先である転送先ポートと転送先端末装置を決定し、転送先情報３４２としてフレームに付加する。
　ステップＳ１０４では、暗号化要否判定部２２３は、フレームに付加された暗号化済みフラグ３４１の有無からフレームが暗号化されているかを判定する。暗号化要否判定部２２３は、フレームに暗号化済みフラグ３４１が含まれていない場合、フレームは暗号化されていないと判定し、フレームに暗号化済みフラグ３４１が含まれている場合、フレームは暗号化されていると判定する。
　ステップＳ１０５では、暗号化要否判定部２２３は、ステップＳ１０４での判定結果に応じて、フレームが暗号化されていないのであればステップＳ１０６に移行し、フレームが暗号化されているのであれば、ステップＳ１０７に移行する。
　ステップＳ１０６では、転送先情報３４２と図９に示す暗号化要否判定表を比較することで暗号化要否を判定し、暗号化する場合はフレームに暗号化フラグ３４３を付加し、ステップＳ１０８に移行する。
　ステップＳ１０７では、転送先情報３４２と図１０に示す平文化要否判定表を比較することで平文化要否を判定し、平文化する場合はフレームに平文化フラグ３４４を付加し、ステップＳ１０８に移行する。
　ステップＳ１０８では、スイッチング処理部２２４は、フレームに暗号化フラグ３４３あるいは平文化フラグ３４４が含まれている場合は、暗号化あるいは平文化するとしてステップＳ１０９に移行し、暗号化フラグ３４３あるいは平文化フラグ３４４が含まれていない場合は、ステップＳ１１０に移行する。
　ステップＳ１０９では、暗号化平文化処理部２２５は、フレームに暗号化フラグ３４３がある場合、メモリ２４０に記録された暗号化鍵を用いてフレームを暗号化し、フレームに平文化フラグ３４４がある場合、メモリ２４０に記録された暗号化鍵を用いてフレームを平文化する。その後、フレームから暗号化フラグ３４３および平文化フラグ３４４を削除する。
　ステップＳ１１０では、スイッチング処理部２２４は、転送先情報３４２の転送先である転送先ポートにフレームを出力し、その後処理を終了する。
　以上のように、実施の形態１の転送装置２００によれば、同じＶＬＡＮに属するフレームについて、ＶＬＡＮタグに含まれる優先度情報などの属性に応じたフレームごとの暗号化要否を判定することができ、フレーム単位に暗号化通信と平文化通信を適用することができるという効果を得ることができる。
　また、実施の形態１の転送装置２００によれば、転送装置２００がフレームを暗号化することができるため、暗号化機能を有していない端末装置１０間にて暗号化通信を行うことができるという効果を得ることができる。
　図１３を用いて実施の形態１の転送装置２００の効果を説明する。図１３において矢印はフレームの送受信の流れを示し、点線で示す矢印が平文フレームを、実線で示す矢印が暗号化フレームである。図１３においてフレーム１１は端末装置１０間において全て平文フレームであり、フレーム１２は転送装置２００間において暗号化フレームであり、転送装置２００と端末装置１０の間にて平文化フレームとなる。このように実施の形態１の転送装置２００は、同じ転送先ポートより暗号化フレームと平文フレームを送信することができ、また暗号化機能を有していない端末装置１０においても暗号化通信を行うことができるという効果を得ることができる。
　なお、暗号化要否判定部２２３における平文化要否の判定方法として図１０に示す平文化要否判定表を用いる場合について説明したが、これに限らず、暗号鍵の共有情報と転送先である転送先ポートが直接端末装置１０に接続された転送先ポートか、それとも転送装置２００に繋がる転送先ポートか、から判定してもよい。ここで、暗号化要否判定部２２３が転送先ポートを直接端末装置１０に接続されたポートであるかを判定する方法は、例えば、メモリ２４０に直接接続している端末装置１０の情報が記録されており、このメモリ２４０に記録された端末装置１０とアドレスフィルタ部２２２が図６に示す転送先対応表を用いて決定した転送先端末装置とが一致する場合に、転送先ポートであるポート２１０が直接端末装置１０に接続された転送先ポートと判定する。なお、転送装置２００に繋がる転送先ポートとは、直接端末装置１０に接続された転送先ポート以外のポートであり、転送装置２００に直接接続された転送先ポートあるいは中継ネットワーク２０などを経由し最終的な宛先端末装置に接続する転送装置２００に繋がる転送先ポートである。
　図１４は、本発明の実施の形態１における平文化要否判定表の一例を示すデータベース構成図である。図１４は、転送先ポート毎に平文化要否を判定するための判定表であり、転送先ポートが端末装置１０であるとは、転送先ポートが直接端末装置１０に直接接続する転送先ポートであることを示し、転送装置２００であるとは転送先ポートが転送装置２００に繋がる転送先ポートであることを示している。また、図１４における暗号鍵を共有していない端末装置１０とは、受信した暗号化されたフレームに用いられている暗号鍵を、平文化要否を判定する転送装置２００が共有していないことを示している。また、図１４は、メモリ２４０に記録されており、暗号化要否判定部２２３が参照するデータベースである。なお、転送先ポートとしてポート２１０ごとに分けているが、ＶＬＡＮが設定されたネットワークにおいては同じポート２１０においてＶＬＡＮを設定することで複数の転送先ポートを設定することができる。
　図１４において、暗号鍵を共有しており転送先ポートが端末装置１０である場合は平文化であり、暗号鍵を共有しており転送ポートが転送装置２００である場合は暗号化済みである。一方、暗号鍵を共有しておらず転送ポートが端末装置１０である場合は廃棄であり、暗号鍵を共有しており転送ポートが転送装置２００である場合は暗号化済みｏｒ廃棄である。暗号化要否判定部２２３は、図１４を用いて受信した暗号済みフレームの平文化要否を判定する。
　このように暗号化要否判定部２２３が平文化要否を判定することで、図１０に示す平文化要否判定表を用いて平文化要否を判定する方法よりも、メモリ２４０に記録するデータ容量が少ないという効果を得ることができる。
　実施の形態２．
　実施の形態１では、フレーム識別部２２１が、フレームが暗号化されているか否かを判定し、暗号化されている場合は暗号化済みフラグ３４１をフレームに付加する実施の形態について説明した。実施の形態２では、フレーム識別部２２１がさらにフレームから転送先に関連する情報と暗号化の要否判定に関連する情報を抽出し、内部ヘッダとしてフレームに付加する実施の形態について説明する。なお、通信ネットワーク１００の構造と転送装置２００の構造ついては実施の形態１と同様のため説明を省略する。
　フレーム識別部２２１は、図４に示すフレームからフレームの転送先に関する情報である転送先関連情報３４５として、宛先ＭＡＣアドレス３１１あるいは送信元ＭＡＣアドレス３１２あるいはその両方を抽出し、暗号化要否に関する情報である暗号化要否関連情報３４６としてＵＳ３１３、ＶＬＡＮ－ＩＤ３１５、イーサネットタイプ３１６等を抽出する。なお、以降においてフレーム識別部２２１は、転送先関連情報３４５として宛先ＭＡＣアドレス３１１を、暗号化要否関連情報３４６としてＵＳ３１３を抽出した例について説明する。
　フレーム識別部２２１は、抽出した転送先関連情報３４５と暗号化要否関連情報３４６を内部ヘッダ３５０としてフレームに付加し、アドレスフィルタ部２２２に送信する。図１５は、本発明の実施の形態２におけるフレーム識別部の送信フレームのデータ構成の一例を示すフレーム構成図である。図１５において、内部ヘッダ３５０は、フレームの転送先に関する情報である転送先関連情報３４５とフレームの暗号化要否に関する情報である暗号化要否関連情報３４６から構成される。ここでは、フレーム識別部２２１が抽出した宛先ＭＡＣアドレス３１１が転送先関連情報３４５であり、ＵＳ３１３が暗号化要否関連情報３４６である。
　なお、フレームが暗号化されていないフレームである場合について説明しているが、暗号化済みのフレームであっても暗号化されていないヘッダ部３０１から転送先関連情報３４５と暗号化要否関連情報３４６を抽出してよい。
　内部ヘッダ３５０を付加されたフレームを受信したアドレスフィルタ部２２２は内部ヘッダ３５０の転送先関連情報３４５を用いてフレームの転送先ポートと転送先端末装置を決定し、暗号化要否判定部２２３は、内部ヘッダ３５０の暗号化要否関連情報３４６を用いてフレームの暗号化要否を判定する。
　以上のように、実施の形態２の転送装置２００によれば、フレーム識別部２２１にて抽出されフレームに付加された内部ヘッダ３５０を用いてアドレスフィルタ部２２２と暗号化要否判定部２２３にてそれぞれフレームの転送先の決定とフレームの暗号化要否の判定を行えるため、アドレスフィルタ部２２２と暗号化要否判定部２２３がそれぞれフレームの対象箇所を探索する必要がなく、処理速度を速くできるという効果を得ることができる。
　なお、フレーム識別部２２１がアドレスフィルタ部２２２と暗号化要否判定部２２３に転送先関連情報３４５と暗号化要否関連情報３４６を送信する方法として、フレームに内部ヘッダ３５０として付加する方法を説明しているが、これに限定されず、フレーム識別部２２１とアドレスフィルタ部２２２、およびフレーム識別部２２１と暗号化要否判定部２２３を接続する信号線を並走させ直接転送先関連情報３４５と暗号化要否関連情報３４６を送信するとしてもよい。このように信号線を並走させて送信する場合は、転送先関連情報３４５と暗号化要否関連情報３４６のデータ容量によりフレームのデータ容量が大きくなることを防ぐことができるという効果を得ることができる。
　なお、フレーム識別部２２１は、フレームに含まれる情報をそのまま転送先関連情報３４５と暗号化要否関連情報３４６としてアドレスフィルタ部２２２と暗号化要否判定部２２３に送信する方法について説明したが、これに限らず、フレーム識別部２２１が加工した情報を転送先関連情報３４５と暗号化要否関連情報３４６として送信するとしてもよい。例えば、フレーム識別部２２１がＵＳ３１３から優先度識別結果を求め、優先度識別結果を暗号化要否関連情報３４６として内部ヘッダ３５０に付加したフレームをアドレスフィルタ部２２２と暗号化要否判定部２２３に送信してもよい。
　図１６は、本発明の実施の形態２における優先度識別結果の一例を示す優先度識別結果対応表である。図１６においてＵＳ３１３が０から１の場合が低優先、ＵＳ３１３が２から３の場合が中優先、ＵＳ３１３が４から５の場合が高優先、ＵＳ３１３が６から７の場合が最高優先に対応している。フレーム識別部２２１は、図１６の対応表に基づいて優先度識別結果を求め、暗号化要否関連情報３４６とする。なお、図１６はメモリ２４０に記録されており、フレーム識別部２２１が参照するデータベースである。
　また、暗号化要否判定部２２３が暗号化要否の判定に用いる暗号化要否判定表として図９に示すＵＳ３１３のようにフレームに元々含まれている情報を用いた判定表である場合を説明しているが、これに限定されず、図１６に示す優先度識別結果のようにフレーム識別部２２１が求めた情報を用いた判定表であってもよい。
　図１７は、本発明の実施の形態２における暗号化要否判定表の一例を示すデータベース構成図である。図１７は、図９におけるＵＳ３１３の代わりに優先度識別結果と転送先端末装置との判定表である。ここで、優先度識別結果は最高優先、高優先、中優先、および低優先の４つであり、図９に示すＵＳ３１３を用いた判定表よりもデータ容量が小さいという効果を得ることができる。なお、図１７は、図９におけるＵＳ３１３が優先識別結果に代わっただけであるため、説明は省略する。また、図１７はメモリ２４０に記録されており、暗号化要否判定部２２３が参照するデータベースである
　なお、転送先に関連する情報としてレイヤ２のヘッダ情報のみを用いる場合について説明しているが、暗号化されていないフレームの場合、転送装置２００はレイヤ２の情報に加えて上位レイヤの情報を用いて転送処理を行ってもよい。以下に、図１８に示す、ＭＡＣフレームがＴＣＰ（Transmission Control Protocol）／ＩＰｖ４のフレームを伝送する場合を例に説明する。
　図１８は、本発明の実施の形態２におけるフレームのデータ構成の一例を示すフレーム構成図である。図１８（ａ）は、図４に示したフレームの構成を示している。
　図１８（ｂ）は、ＩＰｖ４フレームの構造を示しており、ＩＰｖ４フレームはＩＰバージョン情報３６１、ＴＯＳ（Type of Service）３６２、プロトコル番号３６３、送信元ＩＰアドレス３６４、宛先ＩＰアドレス３６５、およびその他ヘッダ情報３６６からなるＩＰｖ４ヘッダと、データ部であるその他情報３６７により構成される。なお、図１８（ｂ）はＩＰフレームに含まれる情報を示すことを目的としており、ＩＰフレームの正確な構造を示すものではない。
　ＩＰバージョン情報３６１は、通信規約の種類を示す値であり、ＩＰｖ４フレームでは４である。
　ＴＯＳ３６２は、通信の種別を示す値であり、フレームの優先度を示す値である。ＴＯＳ３６２は、０から７までの値からなり、０が最も優先度が低く、７が最も優先度が高く規定されている。
　プロトコル番号３６３は、上位層の通信規約を識別するための番号であり、例えば、６がＴＣＰの通信規約であることを示す。
　宛先ＩＰアドレス３６４と送信元ＩＰアドレス３６５は、それぞれフレームの宛先とフレームの送信元である端末装置１０を識別するための番号である、第３層に対応するＩＰアドレスである。
　図１８（ｃ）はＴＣＰフレームの構造を示しており、送信元論理ポート番号３７１、宛先論理ポート番号３７２、およびその他ヘッダ情報３７３を含むＴＣＰヘッダとデータ部であるその他情報３７４により構成される。なお、図１８（ｃ）はＴＣＰフレームに含まれる情報を示すことを目的としており、ＴＣＰフレームの正確な構造を示すものではない。
　宛先論理ポート番号３７１と送信元論理ポート番号３７２は、それぞれフレームの宛先とフレームの送信元である各端末装置１０に接続する仮想的なポートに割り当てられた番号であり、０から６５５３５までの値からなる。
　実施の形態２における転送装置２００が図１８に示すＴＣＰ／ＩＰｖ４フレームを含むＭＡＣフレームの転送処理を行う場合、転送先関連情報３４５として、宛先ＭＡＣアドレス３１１、送信元ＭＡＣアドレス３１２、宛先ＩＰアドレス３６４、送信元ＩＰアドレス３６５、宛先論理ポート番号３７１あるいは送信元論理ポート番号３７２のいずれかを抽出し、暗号化要否関連情報３４６としてＵＳ３１３、ＶＬＡＮ－ＩＤ３１５、イーサネットタイプ３１６、ＴＯＳ３６２あるいはプロトコル番号３６３のいずれかを抽出する。
　上述のように抽出された転送先関連情報３４５よりアドレスフィルタ部２２２が最終宛先である転送先端末装置を決定し、暗号化要否判定部２２３が暗号化要否および平文化要否を判定する。例えば、図９に示す暗号化要否判定表のＵＳ３１３の代わりにＴＯＳ３６２を用いた暗号化要否判定表にて判定するとしてもよい。
　実施の形態３．
　実施の形態１では、転送装置２００の処理部２２０が各ポートそれぞれに対応するフレーム識別部２２１、アドレスフィルタ部２２２、および暗号化要否判定部２２３を備える場合について説明した。実施の形態３では、各ポートから送信されたフレームを各部に送信する前に一度多重化する実施の形態について説明する。なお、通信ネットワークの構成については実施の形態１同様のため説明を省略する。また、転送装置２００の構成についても実施の形態１における処理部２２０が処理部４２０に代わっただけであるため、説明を省略する。
　図１９は、本発明の実施の形態３における処理部の構成の一例を示す構成図である。図１９における処理部４２０は、実施の形態１の処理部２２０に入力多重化部４２１が追加し、フレーム識別部２２１、アドレスフィルタ部２２２、および暗号化要否判定部２２３がそれぞれ１つとなった構成である。なお、説明のため、図１９には処理部４２０の他にポート２１０（２１０－１から２１０－３）を記載している。
　図１９において、入力多重化部４２１は、各ポート２１０からフレームが入力され、入力されたフレームを多重化しフレーム識別部２２１に送信する。フレーム識別部２２１、アドレスフィルタ部２２２、暗号化要否判定部２２３、スイッチング処理部２２４、および暗号化平文化処理部２２５は入力多重化部４２１にて多重化されたフレームについて処理を行う。
　なお、フレーム識別部２２１、アドレスフィルタ部２２２、暗号化要否判定部２２３、スイッチング処理部２２４、および暗号化平文化処理部２２５は実施の形態１と同様であるため説明を省略する。また、処理部４２０の処理の流れについても実施の形態１の処理部２２０に入力多重化部４２１でのフレームを多重化する処理が追加されただけであるため、説明を省略する。
　以上のように、実施の形態３の転送装置２００によれば、処理部２２０が入力多重化部４２１を備えることで、処理部２２０構成するフレーム識別部２２１、アドレスフィルタ部２２２、および暗号化要否判定部２２３を少なくすることができ、処理部４２０の回路規模を小さくできるという効果を得ることができる。
　なお、処理部４２０が備えるフレーム識別部２２１、アドレスフィルタ部２２２、および暗号化要否判定部２２３を１つとして説明しているが、接続するポート数に応じて２つ以上備えてもよい。
　実施の形態４．
　実施の形態４では、スイッチング処理部２２４が暗号化平文化を行うフレームを送受信する伝送路と暗号化平文化を行わない伝送路の２つを備える転送装置２００について説明する。なお、通信ネットワーク１００の構成と転送装置２００の構成については実施の形態１同様のため説明を省略する。
　図２０は、本発明の実施の形態４におけるスイッチング処理部の一例を示す構成図である。図２０におけるスイッチング処理部２２４は、暗号化平文化を行うフレームを記録するキューを有する暗号化平文化要記録部５０１、暗号化平文化を行わないフレームを記録するキューを有する暗号化平文化否記録部５０２、暗号化平文化を行うフレームを送受信する暗号化平文化パス５０３、暗号化平文化を行わず低遅延にてフレームをそのまま送受信する低遅延パス５０４、およびフレームの送信タイミングを制御する送信制御部５０５を備える。ここで、送信制御部５０５は、暗号化平文化要記録部５０１と暗号化平文化否記録部５０２からのフレームの送信と、図示しない各ポート２１０へのフレームの送信を制御する。なお、図面において実線はデータの送受信を、点線は制御命令を示している。また、説明のためスイッチング処理部２２４に接続する暗号化平文化処理部２２５を記載している。
　図２０において、暗号化フラグあるいは平文化フラグが含まれているフレームは暗号化平文化要記録部５０１が受信し、暗号化フラグあるいは平文化フラグが含まれていないフレームは暗号化平文化否記録部５０２が受信する。
　暗号化平文化要記録部５０１は暗号化平文化を行うフレームを記録するキューを有しており、送信制御部５０５からフレームを送信する指示を受信するとキューに記録された一番古い情報を、暗号化平文化パス５０３を介して暗号化平文化処理部２２５に送信する。
　暗号化平文化否記録部５０２は暗号化平文化を行わないフレームを記録するキューを有しており、送信制御部５０５からフレームを送信する指示を受信するとキューに記録された一番古い情報を、低遅延パス５０４を介して送信制御部５０５に送信する。
　送信制御部５０５は暗号化平文化要記録部５０１と暗号化平文化否記録部５０２にフレーム送信を指示し、また暗号化平文化処理部２２５から送信されたフレームを受信するとフレームに含まれる転送先情報３４２に従って図示しない各ポート２１０へのフレームの送信を制御する。
　以上のように、実施の形態４の転送装置２００によれば、スイッチング処理部２２４が暗号化平文化パス５０３と低遅延パス５０４を備えることで、暗号化平文化が必要なフレームと暗号化平文化が必要ないフレームの送信経路を異ならせることができ、転送装置２００は暗号化平文化の必要のないフレームの送信が遅延することを防ぐことができるという効果を得ることができる。
　１　ＶＬＡＮ１領域、２　ＶＬＡＮ２領域、１０　端末装置、１１，１２　フレーム、２０　中継ネットワーク、３０　伝送路、１００　通信ネットワーク、１０１　暗号鍵１共有領域、１０２　暗号鍵２共有領域、２００　転送装置、２１０　ポート、２２０，４２０　処理部、２３０　制御部、２４０　メモリ、２５０　インタフェース、２６０　ローカルバス、２２１　フレーム識別部、２２２　アドレスフィルタ部、２２３　暗号化要否判定部、２２４　スイッチング処理部、２２５　暗号化平文化処理部、４２１　入力多重化部、５０１　暗号化平文化要記録部、５０２　暗号化平文化否記録部、５０３　暗号化平文化パス、５０４　低遅延パス、５０５　送信制御部。

Claims (5)

  1. 　レイヤ２のフレームが入出力される複数のポートと、
    　前記ポートで受信された前記フレームが暗号化されているか否かを識別するフレーム識別部と、
    　前記フレームが出力される前記ポートを決定するアドレスフィルタ部と、
    　フレームに含まれる宛先情報と優先度情報とに応じたフレームの暗号化要否を定める暗号化要否判定表と、フレームに含まれる宛先情報に応じた平文化要否を定める平文化要否判定表とを備え、前記フレーム識別部において暗号化されていないフレームであると識別された場合、前記暗号化要否判定表に基づいて当該フレームの暗号化要否を判定し、前記フレーム識別部において暗号化されているフレームであると識別された場合、前記平文化要否判定表に基づいて当該フレームの平文化要否を判定する暗号化要否判定部と、
    　前記暗号化要否判定部において暗号化要と判定された前記フレームを暗号化し、平文化要と判定された前記フレームを平文化する暗号化平文化処理部と、
    　暗号化不要もしくは平文化不要と判定された前記フレームおよび暗号化もしくは平文化された前記フレームを前記アドレスフィルタ部において決定された前記ポートに出力するスイッチング処理部と、
    を備える転送装置。
  2. 　前記フレームはレイヤ２より上位レイヤの情報を含んでおり、
    　前記アドレスフィルタ部は前記上位レイヤの情報に含まれる宛先情報に基づいて出力される前記ポートを決定し、
    　前記暗号化要否判定部が備える暗号化要否判定表は前記上位レイヤの情報に含まれる宛先情報と優先度情報に応じた判定表であり、
    　前記暗号化要否判定部が備える平文化要否判定表は前記上位レイヤの情報に含まれる宛先情報に応じた判定表であることを特徴とする請求項１に記載の転送装置。
  3. 　前記複数のポートから入力されたフレームを多重化する入力多重化部と、
    を備え、
    　前記フレーム識別部、前記アドレスフィルタ部、前記暗号化要否判定部、および前記暗号化平文化処理部は前記入力多重化部が多重化したフレームについて処理を行うことを特徴とする請求項１あるいは２に記載の転送装置。
  4. 　前記スイッチング処理部は前記暗号化平文化処理部へ送信するフレームが通過する暗号化平文化パスと前記暗号化平文化処理部へ送信しないフレームが通過する低遅延パスとを備えることを特徴とする請求項１あるいは２に記載の転送装置。
  5. 　請求項１あるいは２に記載の転送装置と、
    　前記フレームを生成する端末装置と、
    　前記転送装置間を接続する中継ネットワークと、
    を備える通信ネットワーク。
PCT/JP2017/003949 2017-02-03 2017-02-03 転送装置および通信ネットワーク WO2018142571A1 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
PCT/JP2017/003949 WO2018142571A1 (ja) 2017-02-03 2017-02-03 転送装置および通信ネットワーク
JP2018565195A JP6529694B2 (ja) 2017-02-03 2017-02-03 転送装置および通信ネットワーク
US16/471,867 US11159495B2 (en) 2017-02-03 2017-02-03 Transfer device and communication network
CN201780084823.9A CN110226312A (zh) 2017-02-03 2017-02-03 传送装置和通信网络
TW106109507A TWI653856B (zh) 2017-02-03 2017-03-22 轉傳裝置及通訊網路

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2017/003949 WO2018142571A1 (ja) 2017-02-03 2017-02-03 転送装置および通信ネットワーク

Publications (1)

Publication Number Publication Date
WO2018142571A1 true WO2018142571A1 (ja) 2018-08-09

Family

ID=63039471

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2017/003949 WO2018142571A1 (ja) 2017-02-03 2017-02-03 転送装置および通信ネットワーク

Country Status (5)

Country Link
US (1) US11159495B2 (ja)
JP (1) JP6529694B2 (ja)
CN (1) CN110226312A (ja)
TW (1) TWI653856B (ja)
WO (1) WO2018142571A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110351281A (zh) * 2019-07-15 2019-10-18 珠海格力电器股份有限公司 一种通用数据帧解析方法、装置及设备
JP2020088478A (ja) * 2018-11-19 2020-06-04 三菱電機株式会社 中継装置、中継方法及び中継プログラム

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US12238076B2 (en) * 2018-10-02 2025-02-25 Arista Networks, Inc. In-line encryption of network data
JP7390879B2 (ja) * 2019-12-05 2023-12-04 三菱重工業株式会社 通信処理装置、通信処理方法およびプログラム、並びにネットワーク層のヘッダ部のデータ構造
JP7437196B2 (ja) * 2020-03-16 2024-02-22 住友電気工業株式会社 スイッチ装置、車載通信システムおよび通信方法

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2012501108A (ja) * 2008-08-22 2012-01-12 マーベル ワールド トレード リミテッド 高精度時間プロトコルおよび媒体アクセス制御セキュリティをネットワークエレメントに統合する方法および装置
JP2013062745A (ja) * 2011-09-14 2013-04-04 Brother Ind Ltd 通信制御装置、通信制御方法、および通信制御プログラム

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH11239184A (ja) 1998-02-23 1999-08-31 Matsushita Electric Works Ltd スイッチングハブ
JP2004015141A (ja) * 2002-06-04 2004-01-15 Fuji Xerox Co Ltd データ伝送システムおよびその方法
US7398386B2 (en) 2003-04-12 2008-07-08 Cavium Networks, Inc. Transparent IPSec processing inline between a framer and a network component
JP2005295468A (ja) * 2004-04-06 2005-10-20 Hitachi Hybrid Network Co Ltd 通信装置及び通信システム
CN101112041A (zh) 2005-02-28 2008-01-23 日本电气株式会社 通信系统、通信装置、通信方法以及程序
CN101180838B (zh) 2005-05-09 2013-05-08 三菱电机株式会社 通信装置及交换处理装置
US8000344B1 (en) * 2005-12-20 2011-08-16 Extreme Networks, Inc. Methods, systems, and computer program products for transmitting and receiving layer 2 frames associated with different virtual local area networks (VLANs) over a secure layer 2 broadcast transport network
JP5060081B2 (ja) * 2006-08-09 2012-10-31 富士通株式会社 フレームを暗号化して中継する中継装置
CN101141241B (zh) 2006-09-06 2010-08-18 华为技术有限公司 实现mac安全的方法以及网络设备
CN100563148C (zh) * 2006-09-15 2009-11-25 华为技术有限公司 Mac安全网络通信方法以及网络设备
JP5258305B2 (ja) 2008-01-08 2013-08-07 キヤノン株式会社 セキュリティ通信装置、及び方法
JP5310824B2 (ja) 2011-11-10 2013-10-09 株式会社リコー 伝送管理装置、プログラム、伝送管理システムおよび伝送管理方法
CN104935593B (zh) * 2015-06-16 2018-11-27 新华三技术有限公司 数据报文的传输方法及装置

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2012501108A (ja) * 2008-08-22 2012-01-12 マーベル ワールド トレード リミテッド 高精度時間プロトコルおよび媒体アクセス制御セキュリティをネットワークエレメントに統合する方法および装置
JP2013062745A (ja) * 2011-09-14 2013-04-04 Brother Ind Ltd 通信制御装置、通信制御方法、および通信制御プログラム

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2020088478A (ja) * 2018-11-19 2020-06-04 三菱電機株式会社 中継装置、中継方法及び中継プログラム
JP7213664B2 (ja) 2018-11-19 2023-01-27 三菱電機株式会社 中継装置、中継方法及び中継プログラム
CN110351281A (zh) * 2019-07-15 2019-10-18 珠海格力电器股份有限公司 一种通用数据帧解析方法、装置及设备

Also Published As

Publication number Publication date
TW201830926A (zh) 2018-08-16
JPWO2018142571A1 (ja) 2019-04-18
JP6529694B2 (ja) 2019-06-12
US11159495B2 (en) 2021-10-26
TWI653856B (zh) 2019-03-11
CN110226312A (zh) 2019-09-10
US20200127978A1 (en) 2020-04-23

Similar Documents

Publication Publication Date Title
WO2018142571A1 (ja) 転送装置および通信ネットワーク
US9015467B2 (en) Tagging mechanism for data path security processing
US7506065B2 (en) Remote mirroring using IP encapsulation
US7979693B2 (en) Relay apparatus for encrypting and relaying a frame
US7587587B2 (en) Data path security processing
JP4407452B2 (ja) サーバ、ｖｐｎクライアント、ｖｐｎシステム、及びソフトウェア
WO2020072678A1 (en) Proxy ports for network device functionality
US9414136B2 (en) Methods and apparatus to route fibre channel frames using reduced forwarding state on an FCoE-to-FC gateway
US11418434B2 (en) Securing MPLS network traffic
US10284471B2 (en) AIA enhancements to support lag networks
CN1981485B (zh) 通信系统、无线局域网基站控制装置以及无线局域网基站装置
US20050220091A1 (en) Secure remote mirroring
US20100296395A1 (en) Packet transmission system, packet transmission apparatus, and packet transmission method
US20160191421A1 (en) Communication system, switch, controller, ancillary data management apparatus, data forwarding method, and program
WO2023124880A1 (zh) 一种基于MACSec网络的报文处理方法和装置
US11095610B2 (en) Methods and apparatus for autonomous network segmentation
CN113709091B (zh) 用于基于策略的分组处理的方法、设备和系统
US20220103535A1 (en) Selectively disclosing content of data center interconnect encrypted links
CN114731292A (zh) 低延迟介质访问控制安全认证
WO2014137351A1 (en) Routing a data packet to a shared security engine
US20180262473A1 (en) Encrypted data packet
US9912575B2 (en) Routing network traffic packets through a shared inline tool
US12021658B2 (en) Switch device, in-vehicle communication system, and communication method
CN114365455A (zh) 用于在自动化网络中处理电报的方法、自动化网络、主用户以及从用户
JP2017200153A (ja) 通信装置、通信システム、通信制御方法、及びプログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17894725

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2018565195

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 17894725

Country of ref document: EP

Kind code of ref document: A1

点击 这是indexloc提供的php浏览器服务，不要输入任何密码和下载