JP2004104709A

JP2004104709A - アクセスネットワークシステム

Info

Publication number: JP2004104709A
Application number: JP2002267291A
Authority: JP
Inventors: Takakazu Oda; 小田　孝和; Masakazu Kitamura; 北村　雅一; Takushi Oshiumi; 押海　卓志; Masashi Fukutomi; 福富　昌司; Norio Matsufuru; 松古　典夫
Original assignee: Furukawa Electric Co Ltd; Nippon Telegraph and Telephone Corp; Nippon Telegraph and Telephone West Corp
Current assignee: Furukawa Electric Co Ltd; Nippon Telegraph and Telephone Corp; Nippon Telegraph and Telephone West Corp
Priority date: 2002-09-12
Filing date: 2002-09-12
Publication date: 2004-04-02

Abstract

【課題】不正アクセスなどに対してセキュリティの確保を図る。
【解決手段】複数の加入者ＰＣ１８〜３２とアクセスネットワーク１０がエッジルータ１４と加入者集約装置１５〜１７を介して接続され、パケットの中継を行うアクセスネットワークシステムにて、エッジルータ１４は、同一サブネットワーク配下の加入者ＰＣからのＡＲＰ要求／応答に対して、加入者ＩＰテーブルを用いて正規の加入者からのＡＲＰだけを受信し、またＩＰパケットの受信時には、この加入者ＩＰテーブルを用いて正規のアドレスのパケットのみを中継する。
【選択図】　　　図１

Description

【０００１】
【発明の属する技術分野】
この発明は、タグ（ｔａｇ）ＶＬＡＮを加入者ホストに固定アドレスを割り当てるアクセスネットワークシステムに関するものである。
【０００２】
【従来の技術】
従来のネットワークシステムでは、ＡＤＳＬ（Ａｓｙｍｍｅｔｒｉｃ　Ｄｉｇｉｔａｌ　Ｓｕｂｓｃｒｉｂｅｒ　Ｌｉｎｅ）やＣＡＴＶなどを用いた高速なデータ伝送を行うアクセスネットワークが普及することにより、例えばこのアクセスネットワークを利用してインターネットを使った動画などのコンテンツ配信が行われるようになってきた。このコンテンツ配信のサービスでは、バックボーンネットワークであるアクセスネットワーク上に設けられたサービス事業者の配信サーバから、動画などのデータをＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）パケット構成にして、加入者の端末装置（加入者ホスト）である加入者ＰＣ（パーソナルコンピュータ）に送信している。このＩＰを使った配信ネットワークでは、各加入者に個別のＩＰアドレスまたはネットワークアドレスが割り振られており、この割り振られたアドレスに基づいて、コンテンツ配信のサービスを行っていた。
【０００３】
このコンテンツ配信などを行うアクセスネットワークでは、加入者を収容する回線として、近年ＩＥＥＥ８０２．３で規定されるＬＡＮが用いられつつあり、安価なスイッチングハブとメディアコンバータを使ったＦＴＴＨ（Ｆｉｂｅｒ　Ｔｏ　Ｔｈｅ　Ｈｏｍｅ）のアクセスネットワークを構成することが可能となってきた。このアクセスネットワークで加入者を収容する場合には、ネットワーク構成上、レイヤ３中継で終端することが望まれるが、収容する加入者数を増やすためには、ＶＬＡＮタグを使って加入者を論理的にグループ化して、１つのＬＡＮインタフェース上の通信を多重化することが可能である。これは、ＩＥＥＥ８０２．１Ｑの規定で決められた方式である。
【０００４】
このようなＶＬＡＮタグで通信を多重化する方式の場合には、通常ＩＰの論理的なネットワークを各ＶＬＡＮタグに相当する加入者に対して割り当てるが、アドレスの利用効率を良くするための方法として、ＲＦＣ３０６９の規定では、ＶＬＡＮ　Ａｇｇｒｅｇａｔｉｏｎというアドレス割り当ての方法が提案されている。このＶＬＡＮ　Ａｇｇｒｅｇａｔｉｏｎという環境下では、ブロードキャストのネットワークの境界とＩＰのサブネットワークの境界が一致していないという特徴をもつ。
そのような環境下では、複数の加入者ホストと前記ネットワークを中継装置を介して接続させ、パケットの中継を行うアクセスネットワークシステムにおいて、前記加入者ホストは、パケットを送受信するための仮想ネットワーク（ＶＬＡＮで識別される論理的ネットワーク）を構築しており、前記中継装置は、パケットの入力の仮想ネットワークと出力の仮想ネットワークが所属する論理インターフェース（ＩＰのサブネットワーク単位に割り当てられるインターフェース）が同一で、かつ入力、出力の仮想ネットワークが異なる形態となる。
【０００５】
【発明が解決しようとする課題】
しかしながら、ＲＦＣ３０６９の規定による、ＶＬＡＮ　Ａｇｇｒｅｇａｔｉｏｎの方式において、中継装置は、加入者ＰＣからのＡＲＰ要求に対して、応答が必要となり、従来方式の場合には、全てのＡＲＰ要求に対して中継装置の物理アドレスを応答するという方法でＰｒｏｘｙＡＲＰの動作を行うため、同一ＶＬＡＮ内のＡＲＰ要求にも応答してしまい、不要なＡＲＰパケットを送信するという問題があった。
【０００６】
また、この割り当て方法では、同一サブネットワーク内に異なるユーザが接続されることから、あるユーザが別のユーザのＩＰアドレスを利用して通信を行うアドレス詐称の問題があった。
【０００７】
また、この割り当て方法では、ＡＲＰパケットのソースＩＰに他のユーザのＩＰアドレスを入れ、ソースＭＡＣアドレスには自身のＭＡＣアドレスを入れて、エッジルータに送信することによって、エッジルータのＡＲＰテーブルを書き換え、この他のユーザの通信パケットを覗き見ることが可能になるといったセキュリティの問題があった。
【０００８】
また、アクセスネットワークの設備を構築する場合には、ＶＬＡＮによる多重化のために、接続された加入者ＰＣを集約する集約装置と、マルチキャストやユニキャスト中継を行うアクセスネットワーク上に配置されたエッジ装置（エッジルータ）に分けて運用するネットワークシステムにおいて、上位側に設置されたエッジ装置では、通常全加入者のＶＬＡＮタグを個別に設定する必要があり、加入者を集約する集約装置側においても、エッジ装置の個別設定に応じた個別設定が必要となるので、この設備構築時の設定動作が煩雑になるとともに、その工数が多く増加するという問題点があった。また、エッジ装置全体で収容できるＶＬＡＮ数は、ＶＬＡＮ　ＩＤの大きさに制限されるという問題点もあった。
【０００９】
この発明は、上記問題点に鑑みなされたもので、ブロードキャストのネットワークの境界とＩＰのサブネットワークの境界が一致しない環境下でも加入者間の通信を可能とするとともに、不正アクセスなどに対してセキュリティの確保を図ることができるアクセスネットワークシステムを提供することを目的とする。
【００１０】
【課題を解決するための手段】
上記目的を達成するため、この発明の請求項１では、ブロードキャストのネットワークの境界とＩＰのサブネットワークの境界が一致していない環境下で、複数の加入者ホストと前記ネットワークを中継装置を介して接続させ、パケットの中継を行うアクセスネットワークシステムにおいて、前記加入者ホストは、パケットを送受信するための仮想ネットワークを構築しており、前記中継装置は、加入者ホストのＩＰアドレスと当該加入者ホストが所属する仮想ネットワークの識別データを対応づけて記憶する加入者ＩＰテーブルを有し、アドレス解決用の要求パケットが入力すると、該要求パケットの送信元ＩＰアドレスに対応した前記仮想ネットワークの識別データに基づいて、該要求パケットのターゲットＩＰアドレスが所属する仮想ネットワークおよび物理アドレスを検索して、前記ソースＩＰアドレスに対応した仮想ネットワークが前記ターゲットＩＰアドレスが所属する仮想ネットワークと異なる場合に前記物理アドレスを含んだ応答パケットを送信することを特徴とするアクセスネットワークシステムが提供される。
【００１１】
この発明によれば、ＡＲＰを受信した仮想ネットワークが所属する論理インターフェースと出力論理インターフェースが同じ場合でも、この出力仮想ネットワークが異なる場合には、例えばＭＡＣアドレスを含んだＡＲＰ応答パケットを応答して、ブロードキャストのネットワークの境界とＩＰのサブネットワークの境界が一致していない環境下でも加入者間の通信を可能とする。
【００１２】
また、この発明によれば、例えば入力するＡＲＰ要求パケットに対して加入者ＩＰテーブルを検索し、ＡＲＰ要求パケットの送信元ＩＰアドレスがこの加入者ＩＰテーブルにエントリされている場合にのみ、ＡＲＰ応答パケットの送信を可能として、不正アクセスなどに対するセキュリティを確保する。
【００１３】
この発明の請求項２にかかるアクセスネットワークシステムでは、上記発明において、前記中継装置は、前記要求パケットのソースＩＰアドレスと該要求パケットを受信した仮想ネットワークの対が前記ＩＰテーブルにエントリされていない場合には、前記要求パケットを廃棄することを特徴とする。
【００１４】
この発明によれば、例えば不正アクセスなどにより、ＡＲＰ要求パケットのソースＩＰアドレスと該パケットを受信した仮想ネットワークの対が加入者ＩＰテーブルにエントリされてない場合には、ＡＲＰ要求パケットを廃棄することで、正規の加入者にだけＡＲＰ応答を行う。
【００１５】
この発明の請求項３にかかるアクセスネットワークシステムでは、上記発明において、前記中継装置は、前記要求パケットのソースＩＰアドレスが前記ＩＰテーブルにエントリされていない場合には、前記要求パケットを廃棄することを特徴とする。
【００１６】
この発明によれば、例えば不正アクセスなどにより、ＡＲＰ要求パケットのソースＩＰアドレスが加入者ＩＰテーブルにエントリされてない場合には、ＡＲＰ要求パケットを廃棄することで、正規の加入者にだけＡＲＰ応答を行う。
【００１７】
この発明の請求項４にかかるアクセスネットワークシステムでは、上記発明において、前記応答パケットで送信される物理アドレスは、前記中継装置の物理アドレスからなることを特徴とする。
【００１８】
この発明によれば、正規の加入者へのＡＲＰ応答時には、エッジルータの物理アドレスを含むＡＲＰ応答パケットを送信するプロキシＡＲＰを行う。
【００１９】
この発明の請求項５にかかるアクセスネットワークシステムでは、上記発明において、前記中継装置は、アドレス解決用のパケットが入力すると、前記パケットのソースＩＰアドレスと前記パケットを受信した仮想ネットワークの識別データの対が前記加入者ＩＰテーブルにエントリされたかどうかを確認し、エントリされている場合には、パケットの送信元ＩＰアドレスと送信元のＭＡＣアドレスを学習しアドレス解決用のテーブルを更新することを特徴とする。
【００２０】
この発明によれば、例えば正常なアクセスにより、ＡＲＰパケットのソースＩＰアドレスと前記パケットを受信した仮想ネットワークの識別データの対が加入者ＩＰテーブルにエントリされている場合には、アドレス解決用テーブルの更新を可能として、不正なエントリを登録しようとする攻撃に対するセキュリティを確保する。
【００２１】
この発明の請求項６にかかるアクセスネットワークシステムでは、上記発明において、前記中継装置は、アドレス解決用のパケットが入力すると、前記パケットのソースＩＰアドレスと該アドレス解決用のパケットを受信した仮想ネットワークの対が前記加入者ＩＰテーブルにエントリされていない場合には、前記パケットを廃棄することを特徴とする。
【００２２】
この発明によれば、例えば不正アクセスなどにより、ＡＲＰパケットのソースＩＰアドレスと該アドレス解決用のパケットを受信した仮想ネットワークの対が加入者ＩＰテーブルにエントリされてない場合には、ＡＲＰパケットを廃棄することで、正規の加入者からのＡＲＰパケットだけ受信し、不正なエントリを登録しようとする攻撃に対するセキュリティを確保する。
【００２３】
この発明の請求項７にかかるアクセスネットワークシステムでは、上記発明において、前記中継装置は、アドレス解決用のパケットが入力すると、前記パケットのソースＩＰアドレスが前記加入者ＩＰテーブルにエントリされていない場合には、前記パケットを廃棄することを特徴とする。
【００２４】
この発明によれば、例えば不正アクセスなどにより、ＡＲＰパケットのソースＩＰアドレスが加入者ＩＰテーブルにエントリされてない場合には、ＡＲＰパケットを廃棄することで、正規の加入者からのＡＲＰパケットだけ受信し、不正なエントリを登録しようとする攻撃に対するセキュリティを確保する。
【００２５】
この発明の請求項８にかかるアクセスネットワークシステムでは、上記発明において、前記中継装置は、ＩＰパケットの中継時、該ＩＰパケットを送信するための物理アドレスを決定するために、アドレス解決用の要求パケットを送信する場合、前記要求パケットのターゲットＩＰアドレスが、前記加入者ＩＰテーブルにエントリされているかどうかを確認し、エントリされている場合には、その加入者ホストが所属する仮想ネットワークに要求パケットを送信することを特徴とする。
【００２６】
この発明によれば、ＩＰパケットの中継時、該ＩＰパケットを送信するための物理アドレスを決定するために、アドレス解決用の要求パケットを送信する場合、前記要求パケットのターゲットＩＰアドレスが、前記加入者ＩＰテーブルにエントリされている場合に、アドレス解決用の要求パケットを該当するＶＬＡＮにだけ送信することで、正規の加入者にだけアドレス解決用の要求パケットの送信を行い、他の加入者に通信の様子が漏れることを防止する。
【００２７】
この発明の請求項９にかかるアクセスネットワークシステムでは、上記発明において、前記中継装置は、ＩＰパケットの中継時、該ＩＰパケットを送信するための物理アドレスを決定するために、アドレス解決用の要求パケットを送信する場合、前記要求パケットのターゲットＩＰアドレスが、前記加入者ＩＰテーブルにエントリされているかどうかを確認し、エントリされていない場合には、要求パケットを送信しないことを特徴とする。
【００２８】
この発明によれば、ＩＰパケットの中継時、該ＩＰパケットを送信するための物理アドレスを決定するために、アドレス解決用の要求パケットを送信する場合、前記要求パケットのターゲットＩＰアドレスが、前記加入者ＩＰテーブルにエントリされていない場合には、要求パケットを送信しないことで、正規の加入者にだけアドレス解決用の要求パケットの送信を行い、他の加入者に通信の様子が漏れることを防止する。
【００２９】
【発明の実施の形態】
以下に示す図１〜図７の添付図面を参照して、この発明にかかるアクセスネットワークシステムの好適な実施の形態を説明する。なお、以下の図において、同一の構成部分に関しては、説明の都合上、同一符号を付記するものとする。
【００３０】
図１は、この発明にかかるアクセスネットワークシステムの構成を示す構成図である。図において、アクセスネットワークシステムは、アクセスネットワーク１０に配設されるサービス事業者（データセンタ）のルータ１１と、このルータ１１に接続されるコンテンツ配信サーバ１２を含むサーバ群１３と、同じくアクセスネットワーク１０に配設される複数のエッジルータ１４と、上位側のエッジルータ１４に接続されるとともに、下位側の加入者ＰＣと接続される加入者集約装置１５〜１７と、この加入者集約装置１５〜１７によってそれぞれ集約される複数の加入者ＰＣ１８〜２２，２３〜２７，２８〜３２とから構成されている。
【００３１】
このサーバ群１３は、コンテンツ配信サーバ１２の他に、例えば加入者認証サーバ、配信受付サーバ、課金サーバなどから構成されている。ルータ１１は、アクセスネットワーク１０を介してコンテンツ配信サーバ１２から配信されるマルチキャストパケットおよびユニキャストのストリームを各エッジルータ１４に配信している。
【００３２】
エッジルータ１４は、ＩＥＥＥ８０２．１Ｑの規定で決められた方式で、ＶＬＡＮタグを使って加入者ＰＣを論理的にグループ化し、加入者ＰＣからの要求に応じてコンテンツ配信サーバ１２からのストリームをフォワードするとともに、加入者ＰＣからのＡＲＰ（アドレス解決プロトコル）要求に応じて、宛先のＭＡＣアドレスをＡＲＰ送信元の加入者ＰＣに送信する機能を有している。
【００３３】
すなわち、このシステムでは、ＩＰアドレスの効率利用のために、エッジルータ１４の同一サブネット配下に複数のＶＬＡＮを設定し、図２のパケットフォーマットに示すようなＡＲＰのパケットを必要なノードにだけ送信することと、受信したＡＲＰパケットに対して、正規の加入者のＡＲＰパケットだけ受信するＡＲＰフィルタリング機能と、ＩＰパケットのＩＰアドレスを抽出して、正規のＩＰアドレスのパケットのみ中継するＩＰフィルタリング機能を有している。さらに、エッジルータ１４は、異なるポート上の同一ＶＬＡＮタグについては、レイヤ２での接続を分離する機能も有している。
【００３４】
図３は、図１に示したエッジルータ１４の構成を示す構成図である。図において、入力するパケットを受信するパット受信部１４ａと、パケットを送信するパケット送信部１４ｂと、入力するパケットからのデータを処理するデータ処理部１４ｃと、加入者ＰＣのＩＰアドレスと当該加入者のＶＬＡＮ識別番号とのデータを対応付けて記憶する加入者ＩＰテーブル１４ｄと、ＩＰアドレスと出力論理Ｉ／Ｆ（インターフェース）とのデータを対応付けて記憶するルーティングテーブル１４ｅと、検索されたＩＰアドレスとＭＡＣアドレスのデータを対応付けて記憶するＡＲＰテーブル１４ｆとから構成されている。
【００３５】
なお、この実施例における加入者ＩＰテーブル１４ｄは、図４に示すように、加入者ＰＣに割り当てられたＩＰアドレスと、サブネットマスクと、この加入者ＰＣが所属するＶＬＡＮの識別データであるＶＬＡＮ　ＩＤとでエントリ構成されている。
【００３６】
上述したごとく、ＡＲＰパケットは、図２に示したパケットフォーマットで構成されている。このデータ処理部１４ｃでは、プロトコルタイプのデータによってプロトコルがＩＰであることを認識し、オペレーションのデータによって、受信したパケットがＡＲＰ要求パケットであるかＡＲＰ応答パケットであるかを認識している。また、このデータ処理部１４ｃでは、送信元のＩＰアドレスに基づいて、この受信パケットが正規の加入者からのＡＲＰパケットであるかどうかを判断している。
【００３７】
このような構成において、アクセスネットワークシステムのＡＲＰフィルタリング時の動作を図５のフローチャートを用いて説明する。まず、エッジルータ１４のデータ処理部１４ｃは、加入者集約装置を介して所定の加入者ＰＣからＡＲＰ要求／応答パケットを受信すると（ステップ１０１）、当該パケットの送信元ＩＰアドレスを抽出して、加入者ＩＰテーブル１４ｄから対応するＶＬＡＮ識別番号を検索する（ステップ１０２）。
【００３８】
ここで、該当するエントリが検索できたかどうか判断し（ステップ１０３）、該当するエントリが検索できない場合には、受信したＡＲＰ要求／応答パケットを廃棄し（ステップ１０４）、また該当するエントリがある場合には、ＡＲＰ要求／応答パケット内のＭＡＣアドレスを抽出し、そのＭＡＣアドレスとＩＰアドレスをＡＲＰテーブル１４ｆに登録する（ステップ１０５）。
【００３９】
次に、ステップ１０６においてＡＲＰ要求パケットの場合には、ルーティングテーブル１４ｅから出力論理Ｉ／Ｆのデータを検索し（ステップ１０７）、この検索した出力論理Ｉ／Ｆが、上述したＡＲＰ要求パケットが入力した論理Ｉ／Ｆと異なるかどうか判断する（ステップ１０８）。ここで、入力論理Ｉ／Ｆと出力論理Ｉ／Ｆが異なる場合には、エッジルータ１４は、自装置のＭＡＣアドレスのデータを、ターゲットＭＡＣアドレス（宛先ＭＡＣアドレス）としてプロキシＡＲＰ応答パケットを作成して、ＡＲＰ要求パケット送信元の加入者ＰＣに送信する（ステップ１０９）。
【００４０】
また、この入力論理Ｉ／Ｆと出力論理Ｉ／Ｆが同じ場合には、入力仮想ネットワークと出力仮想ネットワークが異なるＶＬＡＮに所属するかどうか判断する（ステップ１１０）。ここで、入力仮想ネットワークと出力仮想ネットワークが異なるＶＬＡＮに所属する場合には、ステップ１０９に進んでプロキシＡＲＰ応答パケットを送信し、また入力仮想ネットワークと出力仮想ネットワークが同じＶＬＡＮに所属する場合には、ＡＲＰの応答を行わずに上記動作を終了する（ステップ１１１）。
【００４１】
なお、ステップ１１０において、例えば論理Ｉ／Ｆに設定されたＶＬＡＮが複数の場合も想定されるので、この場合には、例えば予め各加入者ＰＣのＭＡＣアドレスとＶＬＡＮ識別番号を学習している。そして、検索対象のＩＰアドレスからＡＲＰテーブルを検索して、該当するエントリが検索できた場合には、この該当するＭＡＣアドレスに対応したＶＬＡＮを出力仮想ネットワークが所属するＶＬＡＮとして、上記入力仮想ネットワークのＶＬＡＮと比較する。また、該当するエントリが検索できない場合には、Ｕｎｋｎｏｗｎとして比較を終了する。
【００４２】
このように、この実施例のアクセスネットワークシステムでは、ＡＲＰ要求／応答パケットを受信すると、このＡＲＰ要求／応答パケットの送信元ＩＰアドレスを予め設定された加入者ＩＰテーブルから検索して、この加入者ＩＰテーブルにエントリされている場合にのみ、プロキシＡＲＰを応答するので、ＡＲＰパケットを必要な加入者にだけ送信するとともに、正規の加入者からのＡＲＰパケットだけを受信でき、これにより不正アクセスなどに対してセキュリティの確保を図ることができる。
【００４３】
また、この実施例では、異なるポート上の同一ＶＬＡＮタグについては、エッジルータによって接続を分離する構成とするので、加入者集約装置は、ＶＬＡＮタグを個別に設定する必要がなくなり、ＶＬＡＮ設定を全て同じ設定にでき、このため設備構築時の設定動作が簡単になり、その工数および製作コストを減少させることができる。
【００４４】
次に、アクセスネットワークシステムのＩＰフィルタリング時の動作を図６のフローチャートを用いて説明する。まず、エッジルータ１４のデータ処理部１４ｃは、加入者集約装置を介して所定の加入者ＰＣからＩＰパケットを受信すると（ステップ２０１）、当該パケットの送信元ＩＰアドレスを抽出して、加入者ＩＰテーブル１４ｄを検索して（ステップ２０２）、この送信元ＩＰアドレスが加入者ＩＰテーブルにエントリされているかどうか判断する（ステップ２０３）。
【００４５】
ここで、該当するエントリがない場合には、不正ＩＰパケットと判断して、受信したＩＰパケットを廃棄し（ステップ２０４）、また送信元ＩＰアドレスが加入者ＩＰテーブルにエントリされている場合には、通常のフォワーディングの処理を行う。すなわち、ルーティングテーブルを検索して、この送信元ＩＰアドレスに対応する出力論理Ｉ／Ｆを決定する（ステップ２０５）。
【００４６】
次に、宛先のＩＰアドレスにパケットを送るための宛先ＭＡＣアドレスが必要になるので、ＡＲＰテーブル１４ｆからこのＭＡＣアドレスを検索する（ステップ２０６）。そして、該当するＭＡＣアドレスがＡＲＰテーブルにエントリされているかどうか判断する（ステップ２０７）。
【００４７】
ここで、該当するエントリが検索できない場合には、後述するＡＲＰパケット送信のルーチンに移行し（ステップ２０８）、また該当するエントリがある場合には、このＭＡＣアドレスから出力ＶＬＡＮを決定する（ステップ２０９）。次に、この決定したＶＬＡＮに対する宛先ＩＰアドレスを加入者ＩＰテーブル１４ｄから検索する（ステップ２１０）。そして、検索されたＶＬＡＮに対してＭＡＣヘッダを付けたＩＰパケットを作成して送信する（ステップ２１１）。
【００４８】
また、ステップ２０７において、ＡＲＰテーブル１４ｆに該当するエントリがない場合には、ＡＲＰ送信のルーチンによってＡＲＰパケットを送信することになる。図７は、このＡＲＰ送信のルーチンを示すフローチャートである。図において、エッジルータ１４は、このターゲットＩＰアドレスに基づいて加入者ＩＰテーブル１４ｄを検索して、対応するＶＬＡＮを得る（ステップ３０１）。次に、この検索されたＶＬＡＮに対してＡＲＰ要求パケットを作成して送信する（ステップ３０２）。
【００４９】
そして、このＡＲＰ要求に対するＡＲＰ応答パケットが入力すると、このＡＲＰ応答パケットを受信して（ステップ３０３）、宛先ＭＡＣアドレスを得て、上述したＩＰパケットをこの宛先に送信する（ステップ３０４）。
【００５０】
このように、この実施例のアクセスネットワークシステムでは、ＩＰパケットを受信すると、このＩＰパケットの送信元ＩＰアドレスを加入者ＩＰテーブルから検索して、正規のＩＰアドレスのパケットのみを中継するＩＰフィルタリング機能を実行するので、必要なＶＬＡＮにのみＩＰパケットを送信でき、不正アクセスなどに対してセキュリティの確保を図ることができる。
【００５１】
この発明は、これら実施形態に限定されるものではなく、この発明の要旨を逸脱しない範囲で種々の変形実施が可能である。
【００５２】
【発明の効果】
以上説明したように、この発明の請求項１，４にかかるアクセスネットワークシステムでは、前記入力論理インターフェースと出力論理インターフェースが同じで、かつ入力仮想ネットワークと出力仮想ネットワークが異なる場合に、中継装置の物理アドレスを含んだ応答を行うので、入力仮想ネットワークと出力仮想ネットワークが所属する論理インターフェースが同じ場合でも、異なる仮想ネットワークが存在する場合には、応答パケットを送信することが可能となる。
【００５３】
この発明の請求項１にかかるアクセスネットワークシステムでは、入力する要求パケットに対して加入者ＩＰテーブルを検索し、前記要求パケットのソースＩＰアドレスと該要求パケットを受信した仮想ネットワークの対が前記加入者ＩＰテーブルにエントリされている場合にのみ、物理アドレスを含む応答パケットを送信するので、不要な応答パケットの送信を行わないと同時に、不正アクセスなどに対してセキュリティの確保を図ることができる。
【００５４】
この発明の請求項２にかかるアクセスネットワークシステムでは、要求パケットのソースＩＰアドレスと該要求パケットを受信した仮想ネットワークの対が加入者ＩＰテーブルにエントリされてない場合には、前記要求パケットを廃棄するので、不正アクセスなどを排除し、正規の加入者にだけ応答を行うことができる。
【００５５】
この発明の請求項３にかかるアクセスネットワークシステムでは、要求パケットのソースＩＰアドレスが加入者ＩＰテーブルにエントリされてない場合には、前記要求パケットを廃棄するので、不正アクセスなどを排除し、正規の加入者にだけ応答を行うことができる。
【００５６】
この発明の請求項５，６，７にかかるアクセスネットワークシステムでは、ＡＲＰパケットのソースＩＰアドレスと前記パケットを受信した仮想ネットワークの識別データの対が加入者ＩＰテーブルにエントリされてない場合には、前記ＡＲＰパケットを廃棄し、正規ユーザのＡＲＰパケットのみをＡＲＰテーブルに登録するので、不正ユーザによる偽ＡＲＰパケット攻撃を排除し、正規の加入者へのサービスを行うことができる。
【００５７】
この発明の請求項８，９にかかるアクセスネットワークシステムでは、アドレス解決用の要求パケットのターゲットＩＰアドレスが、加入者ＩＰテーブルにエントリされてない場合には、要求パケットを送信せず、エントリされている場合には、加入者ホストが所属する仮想ネットワークにだけ要求パケットを送信するので、不要な要求パケットの送信を防ぐと共に、加入者の利用しているＩＰアドレスの情報や通信の様子が、その加入者以外の加入者の仮想ネットワークに漏れることを防ぐことができる。
【図面の簡単な説明】
【図１】この発明にかかるアクセスネットワークシステムの構成を示す構成図である。
【図２】ＡＲＰパケットのパケットフォーマットの構成を示す構成図である。
【図３】図１に示したエッジルータのブロック構成を示す構成図である。
【図４】図３に示した加入者ＩＰテーブルの構成を示す構成図である。
【図５】アクセスネットワークシステムのＡＲＰフィルタリングを説明するためのフローチャートである。
【図６】同じく、ＩＰフィルタリングを説明するためのフローチャートである。
【図７】同じく、ＡＲＰ送信のためのルーチンを示すフローチャートである。
【符号の説明】
１０　アクセスネットワーク
１１　ルータ
１２　コンテンツ配信サーバ
１３　サーバ群
１４　エッジルータ
１４ａ　パット受信部
１４ｂ　パケット送信部
１４ｃ　データ処理部
１４ｄ　加入者ＩＰテーブル
１４ｅ　ルーティングテーブル
１４ｆ　ＡＲＰテーブル
１５〜１７　加入者集約装置
１８〜３２　加入者ＰＣ

Claims

ブロードキャストのネットワークの境界とＩＰのサブネットワークの境界が一致していない環境下で、複数の加入者ホストと前記ネットワークを中継装置を介して接続させ、パケットの中継を行うアクセスネットワークシステムにおいて、
前記加入者ホストは、パケットを送受信するための仮想ネットワークを構築しており、
前記中継装置は、加入者ホストのＩＰアドレスと当該加入者ホストが所属する仮想ネットワークの識別データを対応づけて記憶する加入者ＩＰテーブルを有し、アドレス解決用の要求パケットが入力すると、該要求パケットのソースＩＰアドレスに対応した前記仮想ネットワークの識別データに基づいて、該要求パケットのターゲットＩＰアドレスが所属する仮想ネットワークおよび物理アドレスを検索して、前記ソースＩＰアドレスに対応した仮想ネットワークが前記ターゲットＩＰアドレスが所属する仮想ネットワークと異なる場合に、前記物理アドレスを含んだ応答パケットを送信することを特徴とするアクセスネットワークシステム。
前記中継装置は、前記要求パケットのソースＩＰアドレスと該要求パケットを受信した仮想ネットワークの対が前記加入者ＩＰテーブルにエントリされていない場合には、前記要求パケットを廃棄することを特徴とする請求項１に記載のアクセスネットワークシステム。
前記中継装置は、前記要求パケットのソースＩＰアドレスが前記加入者ＩＰテーブルにエントリされていない場合には、前記要求パケットを廃棄することを特徴とする請求項１に記載のアクセスネットワークシステム。
前記応答パケットで送信される物理アドレスは、前記中継装置の物理アドレスからなることを特徴とする請求項１に記載のアクセスネットワークシステム。
前記中継装置は、アドレス解決用のパケットが入力すると、前記パケットのソースＩＰアドレスと前記パケットを受信した仮想ネットワークの識別データの対が前記加入者ＩＰテーブルにエントリされているかどうかを確認し、エントリされている場合には、パケットの送信元ＩＰアドレスと送信元のＭＡＣアドレスを学習しアドレス解決用のテーブルを更新することを特徴とする請求項１〜４のいずれか一つに記載のアクセスネットワークシステム。
前記中継装置は、アドレス解決用のパケットが入力すると、前記パケットのソースＩＰアドレスと該アドレス解決用のパケットを受信した仮想ネットワークの対が前記加入者ＩＰテーブルにエントリされていない場合には、前記パケットを廃棄することを特徴とする請求項１〜５のいずれか一つに記載のアクセスネットワークシステム。
前記中継装置は、アドレス解決用のパケットが入力すると、前記パケットのソースＩＰアドレスが前記加入者ＩＰテーブルにエントリされていない場合には、前記パケットを廃棄することを特徴とする請求項１〜５のいずれか一つに記載のアクセスネットワークシステム。
前記中継装置は、ＩＰパケットの中継時、該ＩＰパケットを送信するための物理アドレスを決定するために、アドレス解決用の要求パケットを送信する場合、前記要求パケットのターゲットＩＰアドレスが、前記加入者ＩＰテーブルにエントリされているかどうかを確認し、エントリされている場合には、その加入者ホストが所属する仮想ネットワークにだけ要求パケットを送信することを特徴とする請求項１〜５のいずれか一つに記載のアクセスネットワークシステム。
前記中継装置は、ＩＰパケットの中継時、該ＩＰパケットを送信するための物理アドレスを決定するために、アドレス解決用の要求パケットを送信する場合、前記要求パケットのターゲットＩＰアドレスが、前記加入者ＩＰテーブルにエントリされているかどうかを確認し、エントリされていない場合には、要求パケットを送信しないことを特徴とする請求項１〜５のいずれか一つに記載のアクセスネットワークシステム。
前記中継装置は、異なるポート上の同一ＶＬＡＮタグについては、レイヤ２での接続を分離する機能を持つことを特徴とする請求項１〜１０のいずれか一つに記載のアクセスネットワークシステム。