JP2004180316A - ８０２．１ｘプロトコルベースマルチキャスト制御方法 - Google Patents

Abstract

【課題】８０２．１Ｘプロトコルベースマルチキャスト制御方法を提供すること。
【解決手段】認証された加入者のホストからのマルチキャストグループに参加する要求メッセージをインターセプトし（ステップ３）、インターセプトしたメッセージから、加入者のホストのポートおよびＭＡＣアドレスの情報を取得し（ステップ４）、そのポートおよびＭＡＣアドレスの情報に従って、対応する加入者アカウント情報を認証データから検索し（ステップ５）、加入者のアカウント番号およびマルチキャストＩＰアドレスを認証し（ステップ６）、認証が成功した後、その加入者をマルチキャストグループに追加する（ステップ７）。したがって、本方法により、制御マルチキャストと、マルチキャストに追加する正当性の認証と、課金とを達成することができ、よって、それまでの投資と、加入者のホストにある既存のソフトウエアとの互換性とを保護することもできる。
【選択図】図４

Description

本発明は、通信ネットワークにおけるマルチキャスト制御方法に関し、特に、８０２．１Ｘプロトコルベースマルチキャスト制御方法に関する。

通信ネットワークでは、スイッチまたはルータなどのデータ転送装置の場合、加入者グループによってネットワークデータを転送することが、データセキュリティ、およびネットワークリソースの使用にとって有利である。たとえば、マルチキャストグループＧが通信ネットワークに存在する場合、ルータが、マルチキャストグループＧの任意のメンバ端末が依然として存在するか否かを検証するために、マルチキャストグループＧのデータを転送してからある時間の後に、問合わせメッセージを送信し、マルチキャストグループＧのメンバ端末が、インターネットグループ管理プロトコル（ＩＧＭＰ）メッセージを再び送信して、問合わせメッセージに応答する。マルチキャストグループのメンバ端末がネットワークに存在しない場合、ルータは応答を受信せず、したがって、ルータは再び問合わせを試みる。ルータが依然としてメッセージを受信しない場合、ルータは、マルチキャストグループＧのメンバ端末がネットワークに存在しないと見なし、マルチキャストグループＧのデータ転送を停止する。このマルチキャストグループ管理方法でのデータ転送は、ブロードキャストモードと比較して、より限定的であるという理由で、データセキュリティおよび転送効率が、より高くなる。

しかし、ＩＥＥＥ８０２．１Ｘプロトコルを使用する従来のＬＡＮは、ポートベースマルチキャスト制御を実施することしかできない。すなわち、ポートをマルチキャストグループに追加することによってしか、加入者をマルチキャストグループに追加できない。マルチキャストグループに参加する要求が加入者の端末から送信されたとき、ネットワーク切り換え装置は、加入者の端末がマルチキャストグループに追加されるように、状況に応じて、加入者の端末のＭＡＣアドレスをマルチキャストグループに追加する。そのような方法は、加入者の情報ではなく、加入者の端末のポート番号およびＭＡＣアドレスを提供するだけであり、したがって、その他の加入者の情報が欠如しているために、加入者に関する全ての制御を実施することができない。ＩＥＥＥ８０２．１Ｘプロトコルは、加入者の管理をサポートし、単一ポートを介して複数の加入者認証を受け入れるポートベースネットワークアクセス制御プロトコルであるが、加入者をマルチキャストグループに追加することを制御するためには、そのような能力を使用することができず、加入者をマルチキャストグループに追加することを制御できない。

本発明の目的は、加入者をマルチキャストグループに追加するための制御機能を実現する８０２．１Ｘプロトコルベースマルチキャスト制御方法を提供することにある。

上記の目的を達成するために、８０２．１Ｘプロトコルベースマルチキャスト制御方法（１）は、
認証された加入者のホストによって送信された、マルチキャストグループに参加するための要求メッセージをインターセプトする第１ステップと、
インターセプトされた前記要求メッセージから、前記加入者のホストのポートおよびＭＡＣアドレスを取得する第２ステップと、
前記ポートおよびＭＡＣアドレスに対応する加入者アカウント情報を認証データから検索する第３ステップと、
前記加入者のアカウント番号およびマルチキャストＩＰアドレスを認証し、認証をパスした場合、加入者をマルチキャストグループに追加し、そうでない場合、前記加入者のホストからの要求を拒否する第４ステップとを含むことを特徴としている。

８０２．１Ｘプロトコルベースマルチキャスト制御方法（２）は、上記の８０２．１Ｘプロトコルベースマルチキャスト制御方法（１）において、前記加入者のアカウント番号およびマルチキャストＩＰアドレスの認証が、８０２．１Ｘ認証側の認証サーバを使用して行われることを特徴としている。

８０２．１Ｘプロトコルベースマルチキャスト制御方法（３）は、上記の８０２．１Ｘプロトコルベースマルチキャスト制御方法（２）において、前記加入者のアカウント番号およびマルチキャストＩＰアドレスの認証が、前記アカウント番号を有する加入者を受け入れるように前記マルチキャストＩＰアドレスが認可されているか否かを検証することによって、実施されることを特徴としている。

８０２．１Ｘプロトコルベースマルチキャスト制御方法（４）は、上記の８０２．１Ｘプロトコルベースマルチキャスト制御方法（１）において、前記８０２．１Ｘプロトコルがポート認証に基づく場合、前記ポートに接続された加入者のホストがマルチキャストグループへの参加を要求するメッセージを送信するとき、まず前記加入者のホストのＭＡＣアドレスを検索し、前記ＭＡＣアドレスが検出された場合、次に前記ＭＡＣアドレスおよびポート番号に従って、加入者のアカウント番号を検索することを特徴としている。

８０２．１Ｘプロトコルベースマルチキャスト制御方法（５）は、上記の８０２．１Ｘプロトコルベースマルチキャスト制御方法（１）において、前記８０２．１ＸプロトコルがＭＡＣ認証に基づく場合、前記ポートに接続された加入者のホストがマルチキャストグループへの参加を要求するメッセージを送信するとき、前記加入者のホストのＭＡＣアドレスおよびポート番号に従って、前記加入者のアカウント番号を直接検索することを特徴としている。

８０２．１Ｘプロトコルベースマルチキャスト制御方法（６）は、上記の８０２．１Ｘプロトコルベースマルチキャスト制御方法（１）〜（５）の何れかにおいて、前記加入者が、ＩＧＭＰプロトコルによって前記マルチキャストグループに参加することを特徴としている。

本発明に係る８０２．１Ｘプロトコルベースマルチキャスト制御方法によれば、８０２．１Ｘプロトコルによって認証された加入者が、マルチキャストグループに参加することを要求するとき、まず、加入者のホストからのマルチキャストグループに参加する要求メッセージがインターセプトされる。次いで、加入者をマルチキャスティンググループに直接追加する代わりに、加入者のホストのポートおよびＭＡＣアドレスの情報が、前記インターセプトされたメッセージから取得される。次に、対応する加入者情報が、前記ポートおよびＭＡＣアドレスの情報に従って、認証データから検索され、加入者のアカウント番号およびマルチキャストＩＰアドレスが、再び認証される。次に、認証を首尾よくパスした場合、加入者は、マルチキャストグループに追加される。そうでない場合、加入者のホストからの要求は拒否される。従って、本発明に係る８０２．１Ｘプロトコルベースマルチキャスト制御方法によれば、制御されたマルチキャストと、マルチキャストに追加する正当性の認証と、課金とを実施することができる。さらに、本発明に係る８０２．１Ｘプロトコルベースマルチキャスト制御方法によれば、マルチキャストクライアントソフトウエアまたはサーバソフトウエアに対する修正を必要とせず、その代わりに、８０２．１Ｘ装置側のごく簡単な構成と、認証側の認証サーバのみが必要であり、それまでの投資、及び既存のソフトウエアに対する互換性が保護されることが有利である。

本発明の好ましい実施の形態について以下に図面を参照して説明する。

図１を参照すると、図１に示したＩＥＥＥ８０２．１Ｘプロトコルは、ポートベースネットワークアクセス制御プロトコルであって、ネットワークの物理層におけるクライアントアクセスを認証および制御するために使用される。図１には、８０２．１Ｘクライアント側と、８０２．１Ｘ装置側と、認証側との３つのエンティティ（entity）が存在する。認証側の認証サーバと８０２．１Ｘ装置側との間で、拡張可能認証プロトコル（ＥＡＰ：Extensible Authentication Protocol）により、認証情報が交換される。ＥＡＰＯＬ（EAP over LAN）は、８０２．１Ｘクライアント側と８０２．１Ｘ装置との間において、認証プロトコルとして機能する。通常、８０２．１Ｘ装置側は、ネットワークのアクセス層に実装され、８０２．１Ｘクライアント側は、加入者のＰＣに装備され、８０２．１Ｘ認証サーバシステムは、通常、オペレータのＡＡＡ（課金（Accounting）、認証（Authentication）、および認可（Authorization））センターにある。８０２．１Ｘ装置側の内側には、制御ポートおよび非制御ポートがある。非制御ポートは、常に、２方向接続状態にあり、主に、ＥＡＰＯＬフレームを転送するために使用される。したがって、ＥＡＰＯＬフレームは、随時非制御ポートを介して、送受信され得る。制御ポートは、認証をパスしたときのみ、ネットワークリソースおよびサービスを転送するために開放される。応用の環境に応じて、制御ポートを、２方向制御または１方向制御として構成することが可能である。８０２．１Ｘ装置側が、上記のアーキテクチャで、イーサネットスイッチまたは広帯域アクセス装置を実装される場合、イーサネットスイッチまたは広帯域アクセス装置上のポートに接続されたクライアント側の任意の加入者装置は、認証をパスした場合に内部ネットワークリソースにアクセスすることができるが、そうでない場合には、内部ネットワークリソースにアクセスすることはできない。上記のポートは、物理ポートまたは論理ポートの何れでもよい。たとえば、通常の応用例では、クライアントのＰＣをイーサネットスイッチの物理ポートに接続する。

現在、Ｒａｄｉｕｓプロトコルも、図１に示したアーキテクチャの８０２．１Ｘ装置側と認証サーバとの間で実行することができる。その場合、認証サーバは、Ｒａｄｉｕｓサーバであり、８０２．１Ｘ装置側は、Ｒａｄｉｕｓサーバに接続されたクライアントと見なすことができる。

上記からわかるように、図１に示したアーキテクチャでは、８０２．１Ｘプロトコルは、イーサネットスイッチが８０２．１Ｘクライアント側から８０２．１Ｘ装置側に送信されたＥＡＰＯＬ開始メッセージを転送したとき、加入者を認証するために、起動される。認証側の認証サーバが、加入者を首尾よく認証した後、８０２．１Ｘ装置側の制御ポートが、加入者のホストのためにネットワークリソースおよびサービスを転送するように開放される。したがって、加入者のホストは、オンライン状態になる。オンライン状態の加入者のホストが、マルチキャストグループに参加することを望む場合、そのホストは、マルチキャストグループに参加することを示すために、マルチキャストクライアントソフトウエアにより、ＩＧＭＰメッセージ（ここでは、ＩＧＭＰプロトコルを使用すると想定するが、このプロトコルに限定されるものではない）をイーサネットスイッチ（装置側）に送信する。これにより、イーサネットスイッチは、マルチキャストグループのデータを、加入者のホストに転送し始める。

その結果、加入者が、８０２．１Ｘプロトコルベース認証をパスする限り、加入者のホストへのネットワーク接続が、８０２．１Ｘプロトコルにより確立される。これに基づいて、加入者のホストが、マルチキャストグループに参加することを要求する場合、加入者のホストのＭＡＣアドレスおよびポート番号を、接続によって転送された加入者のメッセージまたは要求から取得することが可能である。このようにして、加入者の詳細な情報を、ＭＡＣアドレスおよびポート番号に従って加入者の認証データから取得し、マルチキャスト追加の制御を実施し、かつ従来の方法におけるマルチキャスト追加の非制御性の問題を解決することができる。

本発明の基本原理を図２に示す。図２に示したイーサネットスイッチは、図１に示した装置側に実装され、図１に示したクライアント側を接続するように設計されている。したがって、このイーサネットスイッチは、クライアントとのネットワーク接続のオン／オフを制御するのに使用される。イーサネットスイッチ上のポートは、認証されていない加入者には利用不可能であって、認証された加入者に対しては、自動的且つ動的に構成され、さらにネットワークリソースにアクセスするために使用できる。よって、図２に示した８０２．１Ｘプロトコルベースイーサネットスイッチは、制御機能をオペレータにもたらす。図２の８０２．１Ｘ装置側にあるイーサネットスイッチは、Ｒａｄｉｕｓプロトコルモジュールを使用して、認証側にあるＲａｄｉｕｓサーバに認証情報を転送する。８０２．１Ｘ認証モジュールは、イーサネットスイッチ上の対応するポートを介して、加入者のホストから送信された８０２．１Ｘプロトコルベース認証情報を受信し、Ｒａｄｉｕｓ認証モジュールによる認証のために、その認証情報（ユーザ名およびパスワードなど、加入者の詳細な情報を含む）を認証側にある認証サーバに転送するのに使用される。加入者が認証をパスした場合、認証情報は、加入者の詳細な情報を含んでおり、８０２．１Ｘ認証モジュールは、加入者のホストのためにポートサービスチャネルを開始する（図２に示したスイッチＫ１への接続と等価）。このようにして、加入者のホストは、このポートサービスチャネルを介してネットワークリソースにアクセスすることができる。すなわち、８０２．１Ｘプロトコルベースネットワーク接続が、その加入者のホストのために確立される。上記した８０２．１Ｘ接続に基づいて、加入者のホストが、ポートサービスチャネルを介して、マルチキャストグループに参加するために要求メッセージを送信する場合（ここでは、ＩＧＭＰベースメッセージであると想定する）、そのＩＧＭＰメッセージをインターセプトして、ＩＧＭＰメッセージの加入者のホストのＭＡＣアドレスおよびポート番号を取得するように、イーサネットスイッチのマルチキャスト制御モジュールを構成することができる。このマルチキャスト制御モジュールは、ＭＡＣアドレスおよびポート番号に従って、加入者について、その加入者のアカウント番号情報（ユーザ名、パスワードなど）を８０２．１Ｘ接続を介して取得する。次に、加入者の情報およびマルチキャストＩＰアドレスに従って、制御されたマルチキャスト接続が確立される。すなわち、マルチキャスト制御モジュールは、要求に応じて、マルチキャストスイッチＫ２のオン／オフを制御する。したがって、マルチキャストと８０２．１Ｘ認証ポートおよび加入者のホストのＭＡＣアドレスとの組み合わせで、マルチキャストの追加を制御することができる。図２の場合については、８０２．１Ｘ認証モジュールは、ポートサービスチャネルのスイッチＫ１を制御し、マルチキャスト制御モジュールは、ポートサービスチャネルのマルチキャストスイッチＫ２を制御する。

図４は、本発明の実施の形態に係る制御方法を示すフローチャートである。図４に示した８０２．１Ｘ認証ベース制御マルチキャスト認証プロセスの説明においては、図３を参照されたい。また、図４に示した実施の形態の制御方法では、ＩＧＭプロトコルを使用して、加入者をマルチキャストグループに追加し、イーサネットスイッチのマルチキャスト制御モジュールは、加入者のホストによって送信されたＩＧＭＰメッセージをインターセプトするように、事前に構成されていることに留意されたい。

ステップ１において、加入者のホストが、オンラインの開始時に、８０２．１Ｘ装置側にある８０２．１Ｘプロトコル認証を起動するために、ＥＡＰＯＬメッセージを送信する。すなわち、図３に示したように、ＥＡＰＯＬメッセージは、イーサネットスイッチ（装置側）にある８０２．１Ｘ認証モジュールに転送される。ステップ２において、８０２．１Ｘ認証モジュールは、認証のために、加入者の認証情報をＲａｄｉｕｓモジュールを介して認証側にあるＲａｄｉｕｓサーバに送信する。認証を首尾よくパスしたとき、認証された加入者の情報は、例えば、８０２．１Ｘ認証モジュール内のイーサネットスイッチに記憶される。これらの２つのステップは、加入者認証プロセスを遂行し、かつ加入者のホストをオンライン状態にするために主に設計される。ステップ３において、認証された加入者のホストが、マルチキャストグループに参加することを要求するためのＩＧＭＰメッセージを送信し、ステップ４において、マルチキャスト制御モジュールが、そのＩＧＭＰメッセージをインターセプトする。この段階では、マルチキャスト制御モジュールは、その加入者をマルチキャストグループに直接追加せずに、その代わりに、ＩＧＭＰメッセージから取得した加入者のホストのポート番号およびＭＡＣアドレスの情報を８０２．１Ｘ認証モジュールに送信する。ステップ５において、８０２．１Ｘ認証モジュールが、ポート番号およびＭＡＣアドレスの情報に従って、認証データにおける対応する加入者アカウント番号情報を検索して、加入者アカウント番号情報をマルチキャスト制御モジュールにフィードバックする。ステップ６において、マルチキャスト制御モジュールは、認証のために、再びＲａｄｉｕｓモジュールを介して加入者アカウント番号およびマルチキャストＩＰアドレスを認証側にあるＲａｄｉｕｓサーバに送信する。Ｒａｄｉｕｓサーバは、加入者アカウント番号およびマルチキャストＩＰアドレスに従って、即ち、マルチキャストＩＰアドレスが、そのアカウント番号の加入者を受け入れるように認可されているか否かを検証することによって、加入者を認証する。ステップ７において、認証を首尾よくパスした加入者を、マルチキャストグループに追加する。認証をパスしなかった場合、その加入者のホストからの要求は、拒否される。加入者が前記マルチキャストグループに追加された後、マルチキャスト制御モジュールは、加入者のホストからの要求が終了するまで、加入者のホストとのマルチキャスト接続を維持する。

既存のイーサネットスイッチにおける８０２．１Ｘプロトコルベース認証は、ポートベースまたはＭＡＣベースである可能性があり、２つの場合は別々に扱うべきであることに留意されたい。ポートベース認証モードでは、各ポートの８０２．１Ｘモジュールは、単一の認証された加入者のホストを制御するだけであり、したがって１つの８０２．１Ｘ接続を維持するだけである。しかし、８０２．１Ｘの認証をパスしたとき、ポートに複数のクライアントＰＣを接続することができる。その結果、そのポートに接続されたクライアントＰＣのいずれかが、マルチキャストグループに参加することを要求したとき、ＭＡＣ代用方法が使用される。すなわち、イーサネットスイッチは、加入者のホストのＭＡＣアドレスが存在するか否かを検証するように、８０２．１Ｘモジュールに命令する。存在する場合、そのことは、加入者が認証をパスしたことを示しており、８０２．１Ｘモジュールは、認証された加入者のホストのＭＡＣアドレスをイーサネットスイッチに返す。これを受けて、マルチキャスト制御モジュールは、返されたＭＡＣアドレスおよびポート番号に従って、加入者のアカウント番号を検索する。

ＭＡＣアドレスベース認証モードでは、８０２．１Ｘモジュールは、ポートに接続された各ＰＣを認証しており、対応する接続が利用可能である。したがって、ポートに接続された加入者のホストが、マルチキャストグループに参加することを要求するとき、イーサネットスイッチは、直接８０２．１Ｘモジュールに、加入者のホストのＭＡＣアドレスを問い合わせる。８０２．１Ｘモジュールが、ＭＡＣアドレスを返したとき、イーサネットスイッチは、ＭＡＣアドレスおよびポート番号に従って、加入者のアカウント番号を検索する。したがって、各加入者のホストが、それぞれのＭＡＣアドレスおよびポート番号に従って、対応する８０２．１Ｘ接続を見つけることができる。すなわち、加入者のアカウント情報を取得することができる。

図４に示した実施の形態では、加入者情報を管理するために、Ｒａｄｉｕｓサーバを使用する。したがって、この実施の形態では、加入者のマルチキャストの追加を制御するために、やはりＲａｄｉｕｓサーバを使用する。具体的には、これは、制御マルチキャスト特性項目をＲａｄｉｕｓサーバに追加することによって実施される。すなわち、加入者のアカウント番号をＲａｄｉｕｓサーバ上に構成し、次に、それらのアカウント番号に制御マルチキャスト特性項目を対応させることによって、付加価値マルチキャストサービスを追加する。その特性項目によって、１つまたは複数のマルチキャストアドレスを、加入者に割り当てることができる。Ｒａｄｉｕｓサーバが、加入者のアカウント番号およびマルチキャストＩＰアドレスを含んでいる認証要求を受信したとき、制御マルチキャスト特性が利用可能である場合、Ｒａｄｉｕｓサーバは、マルチキャストＩＰアドレスが認可されているか否かを検証する。認可されている場合、Ｒａｄｉｕｓサーバは、「認証パス」メッセージを返す、そうでない場合、Ｒａｄｉｕｓサーバは、「認証失敗」メッセージを返す。

その結果、マルチキャストサービス特性項目を、付加価値サービス特性として、加入者のアカウントに添付することができる。すなわち、まず、加入者が追加され、次に、マルチキャストチャネルがその加入者のホストについて開始される。このようにして、異なるサービスプロバイダ間の合意を促進する目的で、付加価値マルチキャストサービスの課金を、基本的な８０２．１Ｘアクセス認証接続の課金から分離するために、本発明によって、付加価値マルチキャストサービスをオペレータのために実施することが可能である。

８０２．１Ｘプロトコルのアーキテクチャを示すブロック図である。 本発明の実施の形態に係る８０２．１Ｘプロトコルベースマルチキャストのアーキテクチャを示すブロック図である。 本発明の実施の形態に係る８０２．１Ｘプロトコルベースマルチキャスト制御方法の認証プロセスを示すブロック図である。 本発明の実施の形態に係る８０２．１Ｘプロトコルベースマルチキャスト制御方法を示すフローチャートである。

符号の説明

Ｋ１、Ｋ２ スイッチ

Claims (5)

1. 認証された加入者のホストによって送信された、マルチキャストグループに参加するための要求メッセージをインターセプトする第１ステップと、
   インターセプトされた前記要求メッセージから、前記加入者のホストのポートおよびＭＡＣアドレスを取得する第２ステップと、
   前記ポートおよびＭＡＣアドレスに対応する加入者アカウント情報を認証データから検索する第３ステップと、
   前記加入者のアカウント番号およびマルチキャストＩＰアドレスを認証し、認証をパスした場合、加入者をマルチキャストグループに追加し、そうでない場合、前記加入者のホストからの要求を拒否する第４ステップとを含むことを特徴とする８０２．１Ｘプロトコルベースマルチキャスト制御方法。
2. 前記加入者のアカウント番号およびマルチキャストＩＰアドレスの認証が、８０２．１Ｘ認証側の認証サーバを使用して行われることを特徴とする請求項１に記載の８０２．１Ｘプロトコルベースマルチキャスト制御方法。
3. 前記加入者のアカウント番号およびマルチキャストＩＰアドレスの認証が、前記アカウント番号を有する加入者を受け入れるように前記マルチキャストＩＰアドレスが認可されているか否かを検証することによって、実施されることを特徴とする請求項２に記載の８０２．１Ｘプロトコルベースマルチキャスト制御方法。
4. 前記第３ステップにおいて、
   前記８０２．１Ｘプロトコルがポート認証に基づく場合、まず、前記加入者のホストのＭＡＣアドレスを検索し、ＭＡＣアドレスが検出された場合、次に、前記加入者のアカウント番号を前記ＭＡＣアドレスおよびポート番号に従って検索し、
   前記８０２．１ＸプロトコルがＭＡＣ認証に基づく場合、前記加入者のアカウント番号を、前記加入者のホストのＭＡＣアドレスおよびポート番号に従って直接検索することを特徴とする請求項１に記載の８０２．１Ｘプロトコルベースマルチキャスト制御方法。
5. 前記加入者が、ＩＧＭＰプロトコルによって前記マルチキャストグループに参加することを特徴とする請求項１〜４の何れかの項に記載の８０２．１Ｘプロトコルベースマルチキャスト制御方法。

Images