JP2001274831A - アクセスゲートウェイ - Google Patents

Abstract

(57)【要約】 【課題】 配下の複数のコンピュータ端末がそれぞれ個
別に接続先を設定したときのアドレス重複の問題を解決
する。コンピュータ端末のセキュリテイ確保を可能とす
る。 【解決手段】 宅内系コンピュータ端末間でのみ通信す
る場合は前記端末接続用ポート間でのみパケットを転送
し、コンピュータ端末が外部接続要求を送信した場合に
は、このコンピュータ端末からのパケットはアクセスポ
ート側にのみ転送し、アクセスポートからこのコンピュ
ータ端末宛のパケットはこのコンピュータ端末が接続さ
れる前記端末接続用ポートにのみ転送する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ＡＤＳＬ(Asymmet
ric Digital Subscriber Line)のようなコンピュータ通
信をサポートするアクセス系と接続し、配下に接続され
ている複数のコンピュータ端末の通信先を端末毎に設定
する装置に利用する。

【０００２】

【従来の技術】近年、ＣＡＴＶ網にケーブルモデムを接
続してユーザ宅にコンピュータ通信用のイーサネットイ
ンタフェースを提供し、ユーザがコンピュータ端末を使
って通信できる環境を構築したり、電話回線を利用して
同様にイーサネット（登録商標）インタフェースを提供
するＡＤＳＬ用モデムを接続することによりコンピュー
タ通信をサポートするシステムが開発されている。この
ようなシステムでは通常、各ユーザが接続する相手先
（サービスプロバイダ：ＩＳＰあるいはＮＳＰと呼ばれ
る）は一つに固定されている。

【０００３】一方、同一宅内に複数のユーザが存在し、
リピータハブ等を設置して複数のコンピュータ端末を使
用している場合には、各ユーザの希望接続先が異なるこ
とが想定される。また、単一ユーザの場合でも用途によ
って接続先の変更（例えば、プライベートにはインター
ネット、仕事では会社のネットワークに接続先を変更）
を希望することが想定される。

【０００４】

【発明が解決しようとする課題】しかし、従来のシステ
ムではそのような場合に、宅内の他のコンピュータ端末
と接続先ネットワークのコンピュータ端末の使用アドレ
スが重複することにより通信に支障をきたす可能性があ
る。

【０００５】また、ユーザのコンピュータ端末がリピー
タハブ等により接続されている場合には、宅内ネットワ
ークに接続されている総てのコンピュータ端末に対して
外部からのパケットが届くことになり、セキュリテイ上
の問題がある。

【０００６】従来のシステム構成およびプロトコル構造
の一例を図３に示す。図３（１）は、ＡＤＳＬシステム
にリピータハブを介して接続されたコンピュータ端末の
例を示している。図中、符号２−１１〜１４はコンピュ
ータ端末、符号２−２はリピータハブ、符号２−３はＡ
ＤＳＬモデム（ＡＴＵと呼ばれる）、符号２−４はＤＳ
ＬＡＭと呼ばれるＡＤＳＬの終端装置、符号２−５はＢ
ＡＳと呼ばれるアクセスサーバ、符号２−６１および２
−６２はＩＳＰあるいは企業ＬＡＮなどのネットワー
ク、符号２−７はコンピュータ端末である。

【０００７】ＡＴＵとＤＳＬＡＭの間はppp-over-ATM(p
pp:Point-to-Point Protocol)と呼ばれる標準的な伝送
方式あるいはIP-over-ATMによりＩＰパケットが転送さ
れる。図３（２）のプロトコル構造はppp-over-ATMの場
合の例を示している。ＡＴＵは変復調機能およびプロト
コル変換機能（ppp-over-ATMの場合はｐｐｐ処理機能
等）を有し、ＤＳＬＡＭはＡＴＵを収容する装置で変復
調機能を具備しており、ＢＡＳはｐｐｐ終端処理機能あ
るいは認証機能を有している。

【０００８】一般にこのようなシステムではユーザの通
信プロトコルとしてはＩＰプロトコルが中心であり、ユ
ーザのコンピュータ端末２−１１〜２−１４からのＩＰ
パケットはＡＴＵ２−３とＢＡＳ２−５間に張られるＡ
ＴＭ回線上を転送され、ＢＡＳ２−５からネットワーク
２−６１あるいは２−６２までは同様にＡＴＭを利用し
たＩＰ通信用の専用線等により転送される。ＢＡＳ２−
５はユーザからの認証情報にしたがってネットワーク２
−６１あるいは２−６２の接続先を設定する。

【０００９】すなわち、どのネットワークと接続するか
は接続時のユーザ認証情報によって指定される。このと
き、コンピュータ端末２−１１〜２−１４のＩＰアドレ
スやＤＮＳサーバ情報、ルータ情報等が接続先から指定
される。

【００１０】このように、宅内ネットワークで複数のコ
ンピュータ端末を使用する場合には、安価なリピータハ
ブ２−２により接続されることが一般的と想定される。
リピータハブ２−２ではポートＡ〜Ｅ間で総てのイーサ
ネットパケットが転送される。そのため、宅内ネットワ
ークにリピータハブ２−２により接続される他のコンピ
ュータ端末が外部と接続されないでローカルで使用され
る場合、あるいは別の相手先ネットワークと接続される
場合、そのコンピュータ端末が使用するＩＰアドレスと
先のコンピュータ端末が接続したネットワーク内のコン
ピュータ端末のアドレスとが重複し、通信に支障をきた
す可能性がある。

【００１１】総てのコンピュータ端末がグローバルなＩ
Ｐアドレスを使用していればこのような問題は発生しな
いが、申請手続きの簡単なプライベートＩＰアドレスが
使用されるケースが多いので重複が発生する可能性があ
る。例えば、コンピュータ端末２−１１がネットワーク
２−６１に接続され、コンピュータ端末２−１２がロー
カルで使用されているとき、ネットワーク２−６１内の
コンピュータ端末２−７とコンピュータ端末２−１２が
同じＩＰアドレスを使用した場合には、コンピュータ端
末２−１１はコンピュータ端末２−７、２−１２を識別
することができないため通信が混乱することになる。

【００１２】また、接続先からのパケットが外部と接続
していないコンピュータ端末あるいはローカルで使用す
る用途のコンピュータ端末にも届くことになり、セキュ
リテイが保てないという問題がある。

【００１３】このような従来のシステム構成では、宅内
で複数のコンピュータ端末が使用される状況で、各々の
コンピュータ端末の接続先が異なる場合や外部と接続し
ないコンピュータ端末が存在する場合には、アドレスの
重複により通信に支障をきたすという問題がある。ま
た、宅内系のコンピュータ端末がリピータハブ等で接続
される場合に、接続先からのパケットが総てのコンピュ
ータ端末に届くことになり、セキュリテイが保てないと
いう問題がある。

【００１４】本発明は、このような背景に行われたもの
であって、配下の複数のコンピュータ端末がそれぞれ個
別に接続先を設定したときのアドレス重複の問題を解決
することができるアクセスゲートウェイを提供すること
を目的とする。本発明は、コンピュータ端末のセキュリ
テイ確保を可能とするアクセスゲートウェイを提供する
ことを目的とする。

【００１５】

【課題を解決するための手段】本発明はアクセスゲート
ウェイであって、複数のコンピュータ端末を収容する端
末接続用ポートと、外部アクセス装置を収容するアクセ
スポートと、前記端末接続用ポート間でパケットを転送
するブリッジ接続手段と、前記端末接続用ポートと前記
アクセスポートとの間でパケットを転送する外部接続手
段とを備え、前記コンピュータ端末の外部接続要求にし
たがって前記ブリッジ接続手段に接続された当該コンピ
ュータ端末を前記外部接続手段に切替接続する手段を備
えたことを特徴とする。

【００１６】前記アクセスポートが他のアクセスゲート
ウェイの前記端末接続用ポートに接続された多段構成と
することもできる。

【００１７】すなわち、宅内系コンピュータ端末間での
み通信する場合は前記端末接続用ポート間でのみパケッ
トを転送し、コンピュータ端末が外部接続要求を送信し
た場合には、このコンピュータ端末からのパケットはア
クセスポート側にのみ転送し、アクセスポートからこの
コンピュータ端末宛のパケットはこのコンピュータ端末
が接続される前記端末接続用ポートにのみ転送すること
を主要な特徴とする。

【００１８】本発明によれば、配下の複数のコンピュー
タ端末のそれぞれに個別に接続先を設定したときのアド
レス重複の問題を解決すると共に、コンピュータ端末の
セキュリテイ確保が可能となる。

【００１９】また、本発明のアクセスゲートウェイを多
段接続することにより、収容するコンピュータ端末数を
増加させることができる。したがって、端末接続用ポー
ト数は所定数のアクセスゲートウェイをあらかじめ複数
用意しておくことにより、コンピュータ端末数の増加に
即座に対応することができる。

【００２０】

【発明の実施の形態】本発明実施例のアクセスゲートウ
ェイの構成を図１および図２を参照して説明する。図１
は本発明実施例のアクセスゲートウェイの全体構成図で
ある。図２は本発明実施例の多段接続されたアクセスゲ
ートウェイを示す図である。

【００２１】本発明はアクセスゲートウェイであって、
図１に示すように、複数のコンピュータ端末２−１１〜
２−１４を収容する端末接続用ポートＡ〜Ｄのイーサネ
ットインタフェース部１−３と、外部アクセス装置とし
てのＡＴＵ２−３を収容するアクセスポートＥのイーサ
ネットインタフェース部１−４と、端末接続用ポートＡ
〜Ｄ間でパケットを転送するブリッジ接続または端末接
続用ポートＡ〜ＤとアクセスポートＥとの間でパケット
を転送する外部接続の双方の接続形態を実現できるパケ
ットフィルタリング処理部１−５とを備え、ユーザイン
タフェース処理部１−２により受け付けられるコンピュ
ータ端末２−１１〜２−１４の外部接続要求にしたがっ
てパケットフィルタリング処理部１−５はブリッジ接続
された当該コンピュータ端末２−１１〜２−１４を外部
接続に切替接続することを特徴とする。

【００２２】また、図２に示すように、アクセスゲート
ウェイ３−１のアクセスポートＥが他のアクセスゲート
ウェイ１−１の端末接続用ポートＡに接続された構成と
することもできる。

【００２３】本発明実施例のアクセスゲートウェイを詳
細に説明する。図１の符号１−１は本発明によるアクセ
スゲートウェイである。符号１−２はコンピュータ端末
からの外部ネットワークヘの接続要求を受け付けるため
のユーザインタフェース処理部、符号１−３は端末接続
用ポート（マルチポート）Ａ〜Ｄの宅内側イーサネット
インタフェース部、符号１−４はＡＴＵ側アクセスポー
トＥのイーサネットインタフェース部、符号１−５はパ
ケットフィルタリング処理部である。

【００２４】以下にその動作概要を説明する。いずれの
コンピュータ端末２−１１〜２−１４も外部と接続され
ていない状況では、アクセスゲートウェイ１−１は端末
接続用ポートＡ〜Ｄ間をブリッジ接続し、相互にイーサ
ネットパケットを転送する。

【００２５】ユーザインタフェース処理部１−２は、コ
ンピュータ端末２−１１〜２−１４からのアクセスを受
け付け、外部ネットワークヘの接続要求を検出する。こ
こで、例えば、ユーザ端末２−１１から外部への接続要
求があった場合には、ユーザインタフェース処理部１−
２では接続要求を受け付けたコンピュータ端末２−１１
のＭＡＣアドレスを検知し、パケットフィルタリング処
理部１−５に通知する。以降は、パケットフィルタリン
グ処理部１−５によってイーサネットパケットのＭＡＣ
アドレスによるフィルタリングを行い、コンピュータ端
末２−１１のイーサネットパケットはＡＴＵ２−３側の
アクセスポートＥへのみ転送し、他の宅内ネットワーク
側の端末接続用ポートＢ〜Ｄには転送しないようにす
る。

【００２６】また、他の端末接続用ポートＢ〜Ｄに接続
されているコンピュータ端末２−１２〜１４からコンピ
ュータ端末２−１１宛のパケットも端末接続用ポートＡ
には転送しないようにフィルタリングを行う。その他の
宛先のパケットは端末接続用ポートＡにも転送される
が、コンピュータ端末２−１１で廃棄される。

【００２７】これにより、コンピュータ端末２−１１は
外部接続要求を行った後はローカル（宅内側）ネットワ
ークから隠蔽されることになり、もしネットワーク２−
６１内のコンピュータ端末２−７とコンピュータ端末２
−１２が同じＩＰアドレスを使用した場合でも、コンピ
ュータ端末２−１２からのパケットはコンピュータ端末
２−１１に届かず、また、コンピュータ端末２−７から
のパケットもコンピュータ端末２−１２に届かないため
通信が混乱することはなくなる。さらに、ネットワーク
２−６１からのパケットが外部接続していないコンピュ
ータ端末２−１２〜１４に届かないため、これらのセキ
ュリテイを確保することが可能となる。

【００２８】次に、アクセスゲートウェイの詳細構成に
ついて説明する。ユーザインタフェース処理部１−２の
構成としてＨＴＴＰサーバを利用することにより、汎用
的なユーザインタフェースを提供できる。コンピュータ
端末２−１１〜２−１４から一般的なＷＷＷクライアン
トアプリケーションによるアクセスがあったときにイン
タフェース画面を提供し、外部ネットワークへの接続要
求を受け付ける。このとき、要求元端末のＭＡＣアドレ
スを検知し、パケットフィルタリング処理部１−５に通
知する。

【００２９】パケットフィルタリング処理部１−５で
は、このＭＡＣアドレスとポート情報（受信動作時に検
出）を用いて、以降の送受信パケットに対してＭＡＣア
ドレスによるフィルタリング処理を行う。なお、ユーザ
インタフェース処理部１−２とパケットフィルタリング
処理部１−５は、汎用的なＣＰＵに実装することが可能
である。

【００３０】上記の例は、端末接続用ポートＡ〜Ｄ配下
に１台のコンピュータ端末が接続されている場合の実施
例であるが、適用領域によってはポート数以上のコンピ
ュータ端末が設置される可能性がある。このような場合
に、本発明によるゲートウェイを多段に接続することに
より対応可能である。図２に具体的な構成例を示す。図
中、符号３−１は本発明による多段接続（カスケード接
続）用のアクセスゲートウェイであり、符号３−２はコ
ンピュータ端末２−１１〜２−１４からの外部ネットワ
ークヘの接続要求の受け付けを代理処理するためのユー
ザインタフェース処理部、符号３−３はパケットフィル
タリング処理部である。

【００３１】以下にその動作概要を説明する。アクセス
ゲートウェイ３−１および１−１の配下のいずれのコン
ピュータ端末２−１１〜２−１７も外部と接続されてい
ない状況では、アクセスゲートウェイ３−１の端末接続
用ポートＡ〜ＤおよびアクセスポートＥおよびアクセス
ゲートウェイ１−１の端末接続用ポートＡ〜Ｄ間をブリ
ッジ接続し、相互にイーサネットパケットを転送する。
コンピュータ端末２−１１〜２−１４からの外部接続要
求があった場合には、ユーザインタフェース処理部３−
２では、コンピュータ端末２−１１〜２−１４からのア
クセスを代理で受け付け、アクセスゲートウェイ１−１
のユーザインタフェース処理部１−２に中継する。ここ
で、例えば、コンピュータ端末２−１１から外部への接
続要求があった場合には、アクセスゲートウェイ３−１
のユーザインタフェース処理部３−２では接続要求を受
け付けたコンピュータ端末２−１１のＭＡＣアドレスと
ＩＰアドレスを検知し、パケットフィルタリング処理部
３−３に通知すると共に接続要求をアクセスゲートウェ
イ１−１のユーザインタフェース処理部１−２に転送す
る。

【００３２】以降は、ゲートウェイ３−１ではパケット
フィルタリング処理部３−３によってイーサネットパケ
ットのＭＡＣアドレスによるフィルタリングを行い、コ
ンピュータ端末２−１１のイーサネットパケットはＡＴ
Ｕ２−３側のアクセスポートＥへのみ転送し、他の宅内
ネットワーク側の端末接続用ポートＢ〜Ｄには転送しな
いようにする。また、他の端末接続用ポートＢ〜Ｄに接
続されているコンピュータ端末２−１２〜１４からコン
ピュータ端末２−１１宛のパケットも端末接続用ポート
Ａには転送しないようにフィルタリングを行う。

【００３３】なお、カスケード接続の場合には、コンピ
ュータ端末２−１２〜１４のパケットはＥポートには転
送される。アクセスゲートウェイ１−１においては、前
記の実施例と同様の動作により、コンピュータ端末２−
１１のイーサネットパケットはＡＴＵ２−３側のアクセ
スポートＥへのみ転送し、他の宅内ネットワーク側の端
末接続用ポートＢ〜Ｄには転送しないようにする。ま
た、他の端末接続用ポートＢ〜Ｄに接続されているコン
ピュータ端末２−１５〜１７からコンピュータ端末２−
１１宛のパケットも端末接続用ポートＡには転送しない
ようにフィルタリングを行う。その他の宛先のパケット
は端末接続用ポートＡにも転送される。

【００３４】このように、カスケード接続されたシステ
ム構成においても、コンピュータ端末２−１１は外部接
続要求を行った後はローカル（宅内側）ネットワークか
ら隠蔽されることになり、もしネットワーク２−６１内
のコンピュータ端末２−７とコンピュータ端末２−１２
が同じＩＰアドレスを使用した場合においても、コンピ
ュータ端末２−１２からのパケットはコンピュータ端末
２−１１に届かず、またコンピュータ端末２−７からの
パケットもコンピュータ端末２−１２に届かないため通
信が混乱することはなくなる。なお、単独動作とカスケ
ード接続動作の切り替えをスイッチにより設定すること
により同一のハードウェアにより、いずれのモードにも
適用可能となる。すべてのポートをカスケード接続する
ことにより、ポート数×ポート数のコンピュータ端末台
数を収容可能である。

【００３５】上記の例では、ユーザインタフェース処理
部１−２の構成としてＨＴＴＰサーバを利用し、ユーザ
がＷＷＷクライアントアプリケーションにより外部接続
要求するシステムについて説明したが、コンピュータ端
末からの外部接続要求がppp-over-Ethernetのパケット
直接アクセス系に対して送られるシステム構成法もあ
る。このとき、ユーザインタフェース処理部１−２では
イーサネットパケットのヘッダ領域のプロトコル情報部
分をチェックすることにより、パケットフィルタリング
処理部１−５の動作を実行させることが可能である。そ
の場合には、カスケード接続されたゲートウェイでは独
立に外部接続要求を検出することが可能となるため、代
理処理は不要となる。

【００３６】外部接続の切断のタイミングについては、
接続のときと同様にＷＷＷクライアントアプリケーショ
ンによる切断要求を受け付けるか、あるいは外部との通
信パケットのモニタにより、パケットが一定時間発生し
ないときに切断し、フィルタリング動作を解除する。

【００３７】

【発明の効果】以上説明したように、本発明によれば、
配下の複数のコンピュータ端末がそれぞれ個別に接続先
を設定したときのアドレス重複の問題を解決することが
できる。また、コンピュータ端末のセキュリテイ確保を
可能とすることができる。

【図面の簡単な説明】

【図１】本発明実施例のアクセスゲートウェイの全体構
成図。

【図２】本発明実施例の多段に接続されたアクセスゲー
トウェイを示す図。

【図３】従来のＡＤＳＬシステムにリピータハブを介し
て接続されたコンピュータ端末の例を示す図。

【符号の説明】

１−１、３−１ アクセスゲートウェイ １−２、３−２ ユーザインタフェース処理部 １−３、１−４ イーサネットインタフェース部 １−５、３−３ パケットフィルタリング処理部 ２−２ リピータハブ ２−３ ＡＴＵ ２−４ ＤＳＬＡＭ ２−５ ＢＡＳ ２−７、２−１１〜２−１７ コンピュータ端末 ２−６１、２−６２ ネットワーク Ａ〜Ｄ 端末接続用ポート Ｅ アクセスポート

Claims (2)

【特許請求の範囲】
1. 【請求項１】 複数のコンピュータ端末を収容する端末
   接続用ポートと、 外部アクセス装置を収容するアクセスポートと、 前記端末接続用ポート間でパケットを転送するブリッジ
   接続手段と、 前記端末接続用ポートと前記アクセスポートとの間でパ
   ケットを転送する外部接続手段とを備え、 前記コンピュータ端末の外部接続要求にしたがって前記
   ブリッジ接続手段に接続された当該コンピュータ端末を
   前記外部接続手段に切替接続する手段を備えたことを特
   徴とするアクセスゲートウェイ。
2. 【請求項２】 前記アクセスポートが他のアクセスゲー
   トウェイの前記端末接続用ポートに接続された請求項１
   記載のアクセスゲートウェイ。