JP2006005443A

JP2006005443A - 通信制御装置とそのフレーム転送制御方法およびプログラム

Info

Publication number: JP2006005443A
Application number: JP2004176973A
Authority: JP
Inventors: Akihiro Otaka; 明浩大▲高▼
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2004-06-15
Filing date: 2004-06-15
Publication date: 2006-01-05

Abstract

【課題】認証をもとに接続先のネットワークを切り替えるネットワークにおいて、接続先のネットワーク側からの各ユーザセッションの切断を可能とする。
【解決手段】通信制御装置１は、認証機構部１ａにより、端末に対する認証を行い、この認証結果に基づき、記憶部１ｂにおいて、アクセス側ポート番号と送信元アドレスおよびネットワーク識別子等の情報組を、ネットワーク側ポート番号とネットワーク側ポートに接続された装置のアドレスおよび当該装置との通信に用いるネットワーク識別子等の情報組に対応付けて記憶しておき、上りフレーム変換部１ｃにおいて、受信した上りフレーム内の宛先アドレスとネットワーク識別子を、記憶部１ｂを参照して接続先ルータのＭＡＣアドレスとネットワーク識別子に変換し、下りフレーム変換部１ｄにおいて、下りフレーム内のネットワーク識別子を、記憶部１ｂを参照して端末側のネットワーク識別子に変換し、変換した上りフレーム、下りフレームを当該ポートから出力する。尚、情報組が記憶部１ｂに記憶されていないフレームは破棄する。
【選択図】図１

Description

本発明は、通信フレームを用いた通信技術に係わり、特に、ＢＲＡＳ（Broadband Remote Access Server）機能等を用いて、認証をもとに接続先のネットワークを切り替える技術に関するものである。

一つの通信端末（以下、単に「端末」という）が、複数のネットワークから１つを選択して接続する技術については、特にインタネット・サービス・プロバイダ（ＩＳＰ）への接続サービスで使用されている。例えば、ＡＤＳＬ（Asymmetric Digital Subscriber Line）や光アクセス回線を用いたアクセスサービスにおいて、契約によって固定的にあるＩＳＰのネットワークに接続を行うサービスだけではなく、認証を用いて接続先を端末側が自由に変更可能な技術が用いられている。

図２１は、従来のネットワーク構成例を示すブロックである。ここでは、ＰＰＰ／ＰＰＰｏＥ（Point to Point Protocol／ＰＰＰover Ｅｔｈｅｒｎｅｔ（登録商標））を用いたネットワークの第１の従来技術例を示している。尚、本第１の従来技術は、例えば、非特許文献１における「PPP Termination and Aggregation Architectures」の「Figure 1-2 PTA to VRF Architectural Model」に記載されている。

図２１に示すネットワークシステムにおいて、端末（１）２１０２ａ〜（ｎ）２１０２ｃは、アクセス装置２１０３を介して、ＰＰＰｏＥを終端するブロードバンド・アクセス・サーバ（ＢＲＡＳ）２１０１と接続され、このＢＲＡＳ２１０１において、ブロードバンド・サービスの加入者が管理される。また、ＢＲＡＳ２１０１は、複数のＩＳＰ（１）〜（ｍ）のネットワーク２１０６ａ〜ｃとルータ（１）２１０５ａ〜（ｍ）２１０５ｃを介して接続されている。この場合、アクセス装置２１０３およびＢＲＡＳ２１０１はアクセス事業者が管理する。

まず、端末（１）２１０２ａ〜（ｎ）２１０２ｃは、ＢＲＡＳ２１０１とのＰＰＰ／ＰＰＰｏＥセッションを確立するために、認証を行う。認証には一般的にＣＨＡＰ（チャレンジ・ハンドシェイク・プロトコル）やＰＡＰ（パスワード認証プロトコル）が用いられる。

これらのプロトコルの認証の際、端末（１）２１０２ａ〜（ｎ）２１０２ｃからＢＲＡＳ２１０１に、ユーザ名を通知するが、本第１の従来技術では、ユーザ名として「名前＠ドメイン名」の形でＢＲＡＳ２１０１へ通知する。

ＢＲＡＳ２１０１はドメイン名を判別し、ドメイン名で示されたＩＳＰの認証サーバ（１）２１０７ａ〜（ｍ）２１０７ｃに対して、プロキシ認証を行う。すなわち、ユーザの認証をドメイン名で示されたＩＳＰの認証サーバ（１）２１０７ａ〜（ｍ）２１０７ｃとの間で行う。

認証が成功したならば、ＢＲＡＳ２１０１は、当該ＩＳＰとＰＰＰ／ＰＰＰｏＥセッションとを関連づける。このような動作により、端末（１）２１０２ａ〜（ｎ）２１０２ｃは、「ドメイン名」で指定したＩＳＰ（１）〜（ｍ）への接続が可能となる。

しかし、この第１の従来技術の場合、ＰＰＰ／ＰＰＰｏＥセッションがアクセス事業者が保有するＢＲＡＳ２１０１で終端されてしまう。そのため、ＩＳＰのルータ（１）２１０５ａ〜（ｍ）２１０５ｃは、ユーザ個々のセッションを識別することができない。この結果、例えばＩＳＰ側から、あるユーザのセッションを強制的に切断しようとする場合、アクセス事業者ヘセッションの切断の依頼をする必要があり、処理が煩雑である。

また、個々のユーザ毎に、ＩＰｖ４、ＩＰｖ６といった、使用するプロトコルが異なる場合には、ＰＰＰ／ＰＰＰｏＥを終端するＢＲＡＳ２１０１において、それぞれのプロトコルに対応することが必要であり、認証に基づいてＩＳＰ側から動的に指定するということができない。

図２２は、従来の他のネットワーク構成例を示すブロックである。ここでは、ＰＰＰ／Ｌ２ＴＰ（Layer ２ Tunneling Protocol）を用いた第２の従来技術のネットワーク構成例を示している。尚、本第２の従来技術に関しては、上記非特許文献１の「L2TP Architectures」の「Figure 1-4 LNS Architectural Model」に記載されている。

端末（１）２２０２ａ〜（ｎ）２２０２ｃは、アクセス装置２２０３を介してＰＰＰｏＥを終端し、ＰＰＰセッションをＬ２ＴＰで転送するＬ２ＴＰアクセス・コンセントレータ（ＬＡＣ）２２０１と接続され、ＬＡＣ２２０１は、ＩＳＰ毎に設置された、ＰＰＰ／Ｌ２ＴＰを終端するＬ２ＴＰネットワーク・サーバ（ＬＮＳ：L2TP Network Server）（１）２２０４ａ〜（ｍ）２２０４ｃを介して、それぞれのＩＳＰ（１）〜（ｍ）のネットワーク２２０６ａ〜２２０６ｃとルータ（１）２２０５ａ〜（ｍ）２２０５ｃ経由で接続されている。

この場合、アクセス装置２２０３およびＬＡＣ２２０１、ＬＮＳ（１）２２０４ａ〜（ｍ）２２０４ｃはアクセス事業者が管理する。尚、ＬＮＳ（１）２２０４ａ〜（ｍ）２２０４ｃをＩＳＰ（１）〜（ｍ）が管理する場合もある。

まず、端末（１）２２０２ａ〜（ｎ）２２０２ｃは、ＬＮＳ（１）２２０４ａ〜（ｍ）２２０４ｃとのＰＰＰセッションを確立するために、認証を行う。認証には一般的にＣＨＡＰ（チャレンジ・ハンドシェイク・プロトコル）やＰＡＰ（パスワード認証プロトコル）が用いられる。

これらのプロトコルの認証の際に、端末（１）２２０２ａ〜（ｎ）２２０２ｃからユーザ名をＬＡＣ２２０１へ通知するが、本第２の従来技術では、ユーザ名として「名前＠ドメイン名」の形でＬＡＣ２２０１へ通知する。

ＬＡＣ２２０１は、ドメイン名を判別し、このドメイン名で示されたＬＮＳ（１）２２０４ａ〜（ｍ）２２０４ｃに対してＬ２ＴＰトンネルを形成し、このトンネルを用いてＰＰＰをＬＮＳ（１）２２０４ａ〜（ｍ）２２０４ｃまで転送する。

ＬＮＳ（１）２２０４ａ〜（ｍ）２２０４ｃは、ＩＳＰ（１）〜（ｍ）の認証サーバ（１）２２０７ａ〜（ｍ）２２０７ｃに対して、認証を行う。すなわち、ユーザの認証をドメイン名で示されたＩＳＰ（１）〜（ｍ）の認証サーバ（１）２２０７ａ〜（ｍ）２２０７ｃとの間で行う。認証が成功したならば、ＬＮＳ（１）２２０４ａ〜（ｍ）２２０４ｃは、ＰＰＰ／Ｌ２ＴＰセッションを確立する。このような動作により、端末（１）２２０２ａ〜２２０２ｃは、指定したＩＳＰ（１）〜（ｍ）への接続が可能となる。

この第２の従来技術では、ＰＰＰセッションがＬＮＳ（１）２２０４ａ〜（ｍ）２２０４ｃで終端されているために、ＬＮＳ（１）２２０４ａ〜（ｍ）２２０４ｃの管理者がＩＳＰ（１）〜（ｍ）であれば、ＩＳＰ（１）〜（ｍ）は個々のユーザを識別することが可能である。

しかし、前述の第１の従来技術と同様に、本第２の従来技術でも、ＰＰＰを用いているために、ネットワーク内でＩＰｖ４およびＩＰｖ６を用いる場合には、ＬＡＣ２２０１、ＬＮＳ（１）２２０４ａ〜（ｍ）２２０４ｃといった各中継装置がそれぞれのプロトコルに対応しなければならない。

また、ＰＰＰを用いているために、マルチキャストはＬＮＳ（１）２２０４ａ〜（ｍ）２２０４ｃで各ＰＰＰセッションにコピーする必要があり、ＬＡＣ２２０１からＬＮＳ（１）２２０４ａ〜（ｍ）２２０４ｃ間の帯域が無駄になるといった問題があった。

「Broadband Aggregation Overview (Cisco 10000 Series Internet Router Broadband Aggregation Configuration Guide)」、［online］、［平成１６年５月１８日検索］、インターネット<URL: http://www.cisco.com/univercd/cc/td/doc/product/aggr/10000/config/10kbba/overview.pdf>

解決しようとする問題点は、認証をもとに接続先のネットワークを切り替えるネットワークサービス技術において、従来のＰＰＰ／ＰＰＰｏＥを用いた技術では、接続先のネットワーク（例えばＩＳＰ）側から各ユーザセッションを識別することができない点、また、ＰＰＰ／Ｌ２ＴＰを用いた技術では、マルチキャストを用いる場合に帯域が無駄になる点、さらに、両技術では、各中継装置が、ＩＰｖ４あるいはＩＰｖ６といった、使用するプロトコルに対応しなけれなならない点である。

本発明の目的は、これら従来技術の課題を解決し、認証をもとに接続先のネットワークを切り替えるネットワークサービス技術において、接続先のネットワーク側からの各ユーザセッションの切断を可能とすると共に、効率的かつ経済的なネットワーク構築を可能とすることである。

上記目的を達成するため、本発明の通信制御装置は、通信端末とネットワーク間における通信フレームの転送を、この通信フレーム内に設けられた宛先アドレスと送信元アドレスおよびネットワーク識別子に基づき制御する際、端末から受信した認証用の通信フレーム内の送信元アドレスの端末に対して認証を行い、この認証に成功した場合、少なくとも、認証用の通信フレームを受信したアクセス側ポート番号と当該通信フレーム内の送信元アドレスおよびネットワーク識別子からなる組を、少なくとも認証結果で得られるネットワーク側ポート番号と、このネットワーク側ポートに接続された装置のアドレスおよび当該装置との通信に用いるネットワーク識別子からなる組に対応付けて記憶装置に記憶しておき、アクセス側ポートで受信した通信フレーム（上りフレーム）内の送信元アドレスとネットワーク識別子および当該アクセス側ポート番号が、記憶装置で記憶されているか否かを判別し、記憶されていれば、受信した通信フレーム内の宛先アドレスとネットワーク識別子を、記憶装置で対応付けて記憶したネットワーク側ポートに接続された装置のアドレスと当該装置との通信に用いるネットワーク識別子に変換し、記憶されていなければ当該通信フレームを破棄すると共に、ネットワーク側ポートで受信した通信フレーム（下りフレーム）内の送信元のアドレスとネットワーク識別子および当該ネットワーク側ポート番号が、記憶装置で記憶されているか否かを判別し、記憶されていれば、受信した通信フレーム内のネットワーク識別子を、記憶装置で対応付けて記憶した端末側のネットワーク識別子に変換し、記憶されていなければ当該通信フレームを破棄し、変換した通信フレーム（上りフレーム、下りフレーム）を当該ポートから出力する。そして、記憶装置の記憶内容として、複数のネットワーク側のネットワーク識別子、プロトコル情報やマルチキャスト要求情報等を、付加することにより、これらの付加情報を条件とした種々の転送制御を行う。

本発明によれば、認証をもとに、接続先の例えばルータのＭＡＣアドレスおよびそのルータで使用するＶＬＡＮタグを指定するので、接続先のルータで個々のユーザをＶＬＡＮといった単位で識別することを可能となる。また、接続先ルータから送信された通信フレームについて、送信元ＭＡＣアドレスが認証結果によって定められた接続先ルータのＭＡＣアドレスであり、かつ、通信フレームに記載されたＶＬＡＮタグが認証結果によって定められたＶＬＡＮタグである場合にのみ端末へ転送することにより、接続先ルータ以外からの通信を遮断することが可能となり、特定の接続先のみとの通信を可能とすることができる。また、本発明の処理は、レイヤ２のみの処理であるので、ＩＰｖ４あるいはＩＰｖ６といった上位プロトコルに依存せずに転送することが可能であり、接続先ネットワークで使用するプロトコルに制限がない通信が可能となる。また、使用するプロトコルによって接続先を変更することが可能である。また、マルチキャスト通信フレームに関しては、認証によって定められたマルチキャスト送信ルータのＭＡＣアドレスおよび認証によって定められたＶＬＡＮタグを有するマルチキャスト通信フレームのみを転送することにより、認証によって接続されたＩＳＰから送信されたマルチキャスト通信フレームのみを端末側に転送することが可能であり、かつ、ＩＳＰのルータでユーザの数だけコピーすることなく転送するので、ＩＳＰのルータから通信制御装置の間のネットワークの帯域を無駄にすることがない。また、端末が使用するＭＡＣアドレスを書き換えることにより、ネットワーク側に接続されたレイヤ２スイッチのＭＡＣアドレス学習エントリが不用意に削除されたり、莫大な数になったりすることを防止することが可能である。これにより、認証をもとに接続先のネットワークを切り替えるネットワークサービス技術において、接続先のネットワーク側からの各ユーザセッションの切断が可能となると共に、効率的かつ経済的なネットワーク構築が可能となる。

以下、図を用いて本発明を実施するための最良の形態例を説明する。

図１は、本発明に係わる通信制御装置の構成例を示すブロック図であり、図２は、図１における通信制御装置を設けたネットワークの構成例を示すブロック、図３は、図２におけるネットワークで送受信される通信フレームの構成例を示す説明図、図４は、図１における通信制御装置で作成されるテーブル内容例を示す説明図、図５は、図１における通信制御装置の第１のフレーム変換例を示す説明図、図６は、図１における通信制御装置の第２のフレーム変換例を示す説明図、図７は、図１における通信制御装置の第３のフレーム変換例を示す説明図である。

図１における通信制御装置１は、ＣＰＵ（Central Processing Unit）あるいはＡＳＩＣ（Application Specific Integrated Circuit：特定用途向け集積回路）、ＦＰＧＡ（Field Programmable Gate Array）、等の論理回路や主メモリ、表示装置、入力装置、外部記憶装置等からなるコンピュータ機能を有し、光ディスク駆動装置等を介してＣＤ−ＲＯＭ等の記憶媒体に記録されたプログラムやデータを外部記憶装置内にインストールした後、この外部記憶装置から主メモリに読み込みＣＰＵ等で処理することにより、認証機構部１ａ、記憶部１ｂ、上りフレーム変換部１ｃ、下りフレーム変換部１ｄ等の、各処理部の本発明に係わる機能を実行する。

すなわち、本例の通信制御装置１は、通信端末とネットワーク間における通信フレームの転送を、通信フレーム内に設けられた宛先アドレスと送信元アドレスおよびネットワーク識別子に基づき制御する際、認証機構部１ａにおいて、端末から受信した認証用の通信フレーム内の送信元アドレスの端末に対して認証を行い、この認証機構部１ａでの認証に成功した場合、記憶部１ｂにおいて、少なくとも、認証用の通信フレームを受信したアクセス側ポート番号と当該認証用通信フレーム内の送信元アドレスおよびネットワーク識別子からなる組を、少なくとも認証機構部１ａでの認証結果で得られるネットワーク側ポート番号とこのネットワーク側ポートに接続された装置のアドレスおよびこの装置との通信に用いるネットワーク識別子からなる組に対応付けて記憶する。

そして、上りフレーム変換部１ｃにおいては、アクセス側ポートで受信した通信フレーム内の送信元アドレスとネットワーク識別子および当該アクセス側ポート番号が、記憶部１ｂで記憶されているか否かを判別し、記憶されていれば、受信した通信フレーム内の宛先アドレスとネットワーク識別子を、記憶部１ｂで対応付けて記憶したネットワーク側ポートに接続された装置のアドレスとこの装置との通信に用いるネットワーク識別子に変換し、記憶されていなければ当該通信フレームを破棄する。

また、下りフレーム変換部１ｄにおいては、ネットワーク側ポートで受信した通信フレーム内の送信元のアドレスとネットワーク識別子および当該ネットワーク側ポート番号が、記憶部１ｂで記憶されているか否かを判別し、記憶されていれば、受信した通信フレーム内のネットワーク識別子を、記憶部１ｂで対応付けて記憶した端末側のネットワーク識別子に変換し、記憶されていなければ当該通信フレームを破棄する。

そして、通信制御装置１は、上りフレーム変換部１ｃおよび下りフレーム変換ｂ１ｄで変換した通信フレームを当該ポートから出力する。

以下、このような構成からなる通信制御装置１を設けたネットワーク構成の第１の実施例について、図２を用いて説明する。本例では、通信方式としてＥｔｈｅｒｎｅｔ（登録商標）を用いた場合で、ネットワーク識別子がＩＥＥＥ８０２．１Ｑ規定のＶＬＡＮの場合を例にとり説明を行う。

図２に示すように、端末（１）２ａ〜（ｎ）２ｃは、アクセス装置３を介して通信制御装置１のアクセス側ポート（１）〜（ｘ）と接続される。本例では、アクセス装置３は、複数の回線を収容し、各回線単位にＩＥＥＥ８０２．１Ｑ規定のＶＬＡＮで多重し、通信制御装置１のアクセス側ポート（１）〜（ｘ）と接続している。

また、通信制御装置１は、ＶＬＡＮ対応のレイヤ２スイッチ４とネットワーク側ポート（１）〜（ｙ）で接続され、レイヤ２スイッチ４には複数のルータ（１）５ａ〜（ｍ）５ｃが接続されている。このようなネットワーク構成における通信制御装置１による、上り方向の通信（端末からネットワーク）での宛先アドレスの変換とＶＬＡＮＩＤの変換、および、下り方向の通信（ネットワークから端末）でのフィルタリング動作について説明する。

まず、端末（１）２ａ〜（ｎ）２ｃからネットワーク（１）６ａ〜（ｍ）６ｃに向かう方向（上り方向）の通信に関しての説明を行う。ここでは、端末（１）２ａがルータ（１）５ａと接続する場合について説明を行う。アクセス装置３は、端末（１）２ａが接続されている回線に対してＶＬＡＮＩＤ１０１を付与し、端末（２）２ｂが接続されている回線に対してＶＬＡＮＩＤ１０２を付与するものとする。

また、端末（１）２ａが接続されている回線を収容するアクセス装置３は、通信制御装置１のアクセス側ポート（１）に接続され、また、ルータ（１）５ａが接続されているレイヤ２スイッチ４は、通信制御装置１のネットワーク側ポート（１）に接続されている。

まず、端末（１）２ａは、通信制御装置１との間で認証を行う。端末（１）２ａは認証用のＥｔｈｅｒｎｅｔ（登録商標）フレームを送信する。このフレームには、図３に示すように、アクセス装置３において、ネットワーク識別子としてのＶＬＡＮタグが付与されて、通信制御装置１のアクセス側ポート（１）で受信する。ＩＥＥＥ８０２．１Ｑ規定のＶＬＡＮの場合、ネットワーク識別子はタグプロトコルＩＤ、ユーザ優先度、ＶＬＡＮＩＤなどの情報を含む。

このネットワーク識別子が付与されたフレームを受信した通信制御装置１は、受信したフレームが認証用のフレームであったならば、フレームを認証機構部１ａに転送する。認証機構部１ａは、受信したフレームの送信元ＭＡＣアドレスの端末（１）２ａに対して認証を行い、受信したアクセス側ポート番号（１）および受信したフレームに記載されたネットワーク識別子を、認証の結果と関連付ける。

認証機構部１ａにおいて認証が成功した場合には、図４に示すようなテーブルが記憶部１ｂにおいて作成される。すなわち、アクセス側ポートに関する情報として、アクセス側のポート番号（１）、端末（１）２ａのＭＡＣアドレス、端末（１）２ａが用いたネットワーク識別子が作成される。

ここで、ネットワーク識別子の内容の全てを記憶する必要はなく、例えばユーザ優先度についてはネットワークに関する情報ではないことから、任意の値を許可することも可能である。また、タグプロトコルＩＤおよびＣＦＩについては、図４の例では情報として記憶しているが、特定の値しか用いないことが予め分かっている場合は、認証の度にその値を記憶する必要はない。

また、ネットワーク側ポートに関する情報としては、ネットワーク側ポートの番号（１）、ルータ（１）５ａのＭＡＣアドレス、ルータ（１）５ａとの通信に用いるネットワーク識別子が作成される。このルータ（１）５ａとの通信に用いるネットワーク識別子についても、その内容の全てを記憶する必要がないことは、アクセス側ポートで用いるネットワーク識別子と同様である。

この状態で、図２において、次に、端末（１）２ａがＥｔｈｅｒｎｅｔ（登録商標）フレームを送信した場合を考える。先ほどと同様に、このフレームはアクセス装置３でＶＬＡＮＩＤ１０１を有するＶＬＡＮタグ（ネットワーク識別子）を付与され、通信制御装置１に転送される。

通信制御装置１は、このフレームを受信したならば、上りフレーム変換部１ｃにおいて、受信したアクセス側のポート番号、受信したフレームに記載されている送信元ＭＡＣアドレス、および受信したフレームに記載されているネットワーク識別子を用いて、記憶部１ｂに記憶されたテーブルの検索を行う。この場合には、図４に示すテーブルがすでに作成されていることから、テーブルの１行目が検索でヒットすることになる。

上りフレーム変換部１ｃでは、この検索結果を用いて、受信したフレームの宛先ＭＡＣアドレスをルータ（１）５ａのＭＡＣアドレスに変換し、受信したフレームのネットワーク識別子をネットワーク側ポート（１）で用いるネットワーク識別子に変換する。図４に記載のテーブルエントリでは、ユーザ優先度の値については書き換えを行わない。その結果、フレームは、図５に示すようにして変換される。

通信制御装置１は、この変換したフレームを検索結果に従い、ネットワーク側ポート（１）から出力する。

通信制御装置１から出力されたＥｔｈｅｒｎｅｔ（登録商標）フレームは、図２におけるレイヤ２スイッチ４において、通常のレイヤ２スイッチの動作に基づき、ＶＬＡＮＩＤ２０１を有してルータ（１）５ａに宛てられたＥｔｈｅｒｎｅｔ（登録商標）フレームとして解釈されることから、ルータ（１）５ａに転送される。

また、この時、認証が終了していない端末（２）２ｂがＥｔｈｅｒｎｅｔ（登録商標）フレームを転送した場合について説明を行う。このフレームはアクセス装置３でＶＬＡＮＩＤ１０２を有するＶＬＡＮタグを付与され、通信制御装置１に転送される。通信制御装置１は、このフレームを受信したならば、先ほどと同様に、上りフレーム変換部１ｃにおいて、受信したアクセス側のポート番号、受信したフレームに記載されている送信元ＭＡＣアドレス、および、受信したフレームに記載されているネットワーク識別子を用いて、記憶部１ｂに記憶されたテーブルの検索を行う。

この場合には、図４に示すテーブルがすでに作成されていることから、アクセス側ポート（１）、端末（２）２ｂのＭＡＣアドレス、ＶＬＡＮＩＤ１０２を含むネットワーク識別子に関連する検索はヒットするエントリがない。その結果、上りフレーム変換部１ｃは、受信したフレームを破棄する。

このような動作により、認証が終了していない端末（２）２ｂから送信されたフレームは、通信制御装置１で破棄される。

さらに、以上の説明で明らかなように、本例では、全てＥｔｈｅｒｎｅｔ（登録商標）フレームの処理であるために、ＩＰｖ４、ＩＰｖ６などレイヤ３プロトコルあるいは、ＰＰＰ／ＰＰＰｏＥなどのプロトコルに依存しない。このため、Ｅｔｈｅｒｎｅｔ（登録商標）上で転送可能なプロトコルであれば全て転送が可能である。

次に、ネットワーク（１）６ａ〜（ｍ）６ｃから端末（１）２ａ〜（ｎ）２ｃに向かう方向（下り方向）の通信の説明を行う。

基本的に、ネットワーク（１）６ａ〜（ｍ）６ｃヘの接続サービスは、すでに説明したような端末（１）２ａ〜（ｎ）２ｃ側からの接続が初めに行われる。このため、ルータ（１）５ａは、自装置のインタフェース上のＶＬＡＮＩＤ２０１を端末（１）２ａが使用していることを接続時に行われた認証により知ることができる。

まず、ルータ（１）５ａから端末（１）２ａに宛てたユニキャストのＥｔｈｅｒｎｅｔ（登録商標）フレームについて説明を行う。

ルータ（１）５ａから端末（１）２ａに宛てたユニキャストのＥｔｈｅｒｎｅｔ（登録商標）フレームは、送信される際、あて先アドレスを端末（１）２ａのＭＡＣアドレス、送信元アドレスをルータ（１）５ａのＭＡＣアドレス、ネットワーク識別子をＶＬＡＮＩＤ２０１を含むネットワーク識別子として送信される。

このフレームは、レイヤ２スイッチ４においては、通常のレイヤ２スイッチの動作に基づき、ＶＬＡＮＩＤ２０１を有した、端末（１）２ａに宛てられたＥｔｈｅｒｎｅｔ（登録商標）フレームとして解釈されることから、通信制御装置１のネットワーク側ポート（１）に転送される。

このフレームを受信した通信制御装置１は、下りフレーム変換部１ｄにおいて、受信したネットワーク側のポート番号、受信したフレームに記載されている送信元ＭＡＣアドレス、および受信したフレームに記載されているネットワーク識別子を用いて、記憶部１ｂに記憶されたテーブルの検索を行う。

この場合には、受信したネットワーク側ポート番号が（１）、受信したフレームに記載されている送信元ＭＡＣアドレスがルータ（１）５ａのＭＡＣアドレス、受信した通信フレームに記載されているネットワーク識別子が、ＶＬＡＮＩＤ２０１を含むネットワーク識別子であるため、図４に示すテーブルの１行目が検索でヒットすることになる。

下りフレーム変換部１ｄでは、この検索結果を用いて、受信したフレームのネットワーク識別子をアクセス側ポートで用いるネットワーク識別子に変換する。

図４に記載のテーブルエントリでは、ユーザ優先度の値については書き換えを行わない。その結果、フレームは図６に示すように変換されることになる。通信制御装置１は、この変換したフレームを検索結果に従い、アクセス側ポート（１）から出力する。

次に、ルータ（１）５ａから端末（１）２ａに宛てたブロードキャストあるいはマルチキャストのＥｔｈｅｒｎｅｔ（登録商標）フレームについて説明を行う。

ルータ（１）５ａから端末（１）２ａに宛てたブロードキャストあるいはマルチキャストのＥｔｈｅｒｎｅｔ（登録商標）フレームは、送信される際に、宛先アドレスをブロードキャストあるいはマルチキャストとし、送信元アドレスをルータ（１）５ａのＭＡＣアドレス、ネットワーク識別子をＶＬＡＮＩＤ２０１を含むネットワーク識別子として送信される。

このフレームは、レイヤ２スイッチ４においては、通常のレイヤ２スイッチの動作に基づき、ＶＬＡＮＩＤ２０１を有するブロードキャストあるいはマルチキャストのＥｔｈｅｒｎｅｔ（登録商標）フレームとして解釈されることから、レイヤ２スイッチ４に接続されている全ての通信制御装置１のネットワーク側ポートに転送される。

このフレームを受信した通信制御装置１は、先ほどのユニキャストの場合と同様に、下りフレーム変換部１ｄにおいて、受信したネットワーク側のポート番号、受信したフレームに記載されている送信元ＭＡＣアドレス、および受信したフレームに記載されているネットワーク識別子を用いて、記憶部１ｂに記憶されたテーブルの検索を行う。

この場合には、受信したネットワーク側ポート番号が（１）、受信したフレームに記載されている送信元ＭＡＣアドレスがルータ（１）５ａのＭＡＣアドレス、受信した通信フレームに記載されているネットワーク識別子がＶＬＡＮＩＤ２０１を含むネットワーク識別子であるため、端末（１）２ａに接続されている通信制御装置１においては、図４に示すテーブルの１行目が検索でヒットすることになる。

下りフレーム変換部１ｄでは、この検索結果を用いて、受信したフレームの受信したフレームのネットワーク識別子をアクセス側ポートで用いるネットワーク識別子に変換する。図４に記載のテーブルエントリでは、ユーザ優先度の値については書き換えを行わない。その結果、フレームは図７に示すように変換される。

通信制御装置１は、この変換したフレームを検索結果に従い、アクセス側ポート（１）から出力する。逆に、端末（１）２ａに接続されていない通信制御装置１においては、検索でヒットするテーブルのエントリはない。この場合、通信制御装置１は下りフレーム変換部１ｄにおいて、通信フレームを破棄する。

通信制御装置１において、以上のようなフィルタリング動作を行うことにより、ルータ（１）５ａからＶＬＡＮＩＤ２０１で送信されたフレームは、端末（１）２ａが接続された通信回線にのみ転送され、他の通信回線に転送されることはなく、ユニキャスト、ブロードキャスト、マルチキャスト共に正常に転送が可能となる。

さらに、以上の説明で明らかなように、全てＥｔｈｅｒｎｅｔ（登録商標）フレームの処理であるために、ＩＰｖ４、ＩＰｖ６などレイヤ３プロトコルあるいは、ＰＰＰ／ＰＰＰｏＥなどのプロトコルに依存しない。このため、Ｅｔｈｅｒｎｅｔ（登録商標）上で転送可能なプロトコルであれば全て転送が可能である。

次に、本発明の第２の実施例として、記憶部（１ｂ）に記憶するネットワーク側ポートで用いるネットワーク識別子が複数のネットワーク識別子の組み合わせ（スタックＶＬＡＮ使用）であることを特徴とする通信制御装置（１）の説明を、図８から図１１を用いて行う。

図８は、本発明に係わる通信制御装置を設けたネットワークの構成例を示すブロックであり、図９は、図８における通信制御装置で作成されるテーブル内容例を示す説明図、図１０は、図８における通信制御装置の第１のフレーム変換例を示す説明図、図１１は、図８における通信制御装置の第２のフレーム変換例を示す説明図である。

図８に示すネットワーク構成例は、図２に示すネットワーク構成例と同様であるが、ここでは、通信方式としてＥｔｈｅｒｎｅｔ（登録商標）を用いた場合でネットワーク識別子が２つ組み合わさったスタックＶＬＡＮの場合を例にとり説明を行う。

図８に示すように、端末（１）８２ａ〜（ｎ）８２ｃは、アクセス装置８３を介して通信制御装置８１のアクセス側ポート（１）〜（ｘ）と接続される。本例では、アクセス装置８３は複数の回線を収容し、各回線単位にＩＥＥＥ８０２．１Ｑ規定のＶＬＡＮで多重し、通信制御装置８１のアクセス側ポート（１）〜（ｘ）と接続している。

また、通信制御装置８１は、スタックＶＬＡＮ対応のレイヤ２スイッチ８４とネットワーク側ポート（１）〜（ｙ）で接続され、レイヤ２スイッチ８４には、複数のルータ（１）８５ａ〜（ｍ）８５ｃが接続され、各ルータ（１）８５ａ〜（ｍ）８５ｃを介してネットワーク（１）８６ａ〜（ｍ）８６ｃが接続されている。

レイヤ２スイッチ８４では、スタックＶＬＡＮのタグプロトコルＩＤとして「０ｘ９１００」を用いているとする。この場合、認証機構部１ａの認証により、ネットワーク側ポートで用いるネットワーク識別情報として、各ルータ（１）８５ａ〜（ｍ）８５ｃからの識別子と共に、レイヤ２スイッチ８４において各ルータ（１）８５ａ〜（ｍ）８５ｃと通信制御装置８１を接続するためのネットワーク識別子が得られる。

この結果、認証機構部１ａで、端末（１）２ａとの認証が成功した場合、例えば、図９に示すようなテーブルが記憶部１ｂに作成される。この図９に示すテーブルにおいて、図１における通信制御装置１の例と異なる点は、ネットワーク側で使用するネットワーク識別子が２つ記憶されていることである。すなわち、記憶部１ｂにおいては、ネットワーク側ポートの組となるネットワーク識別子として、複数のネットワーク識別子を記憶している。

より詳細には、記憶部１ｂにおいては、認証機構部１ａの認証結果に応じて、接続先のルータ（１）８５ａに関するネットワーク識別子と共に、端末（１）２ａの接続要求先のネットワーク（１）８６ａ経路上にあるスタックＶＬＡＮ対応レイヤ２スイッチ８４に関するネットワーク識別子も記憶している。そして、上りフレーム変換部１ｃにおける通信フレームの変換では、受信した通信フレーム（上りフレーム）内のネットワーク識別子を、記憶部１ｂにおいて端末（１）２ａのネットワーク識別子に対応付けて記憶された複数のネットワーク識別子に変換し、また、下りフレーム変換１ｄにおける通信フレームの変換では、受信した通信フレーム（下りフレーム）内の複数のネットワーク識別子を、記憶部１ｂにおいてルータ（１）８５ａのネットワーク識別子とスタックＶＬＡＮ対応レイヤ２スイッチ８４のネットワーク識別子の組に対応付けて記憶された端末（１）２ａのネットワーク識別子に変換する。

すなわち、端末（１）８２ａがＥｔｈｅｒｎｅｔ（登録商標）フレームを送信した、上り方向の通信の場合には、上述した第１の実施例の場合と同様に、上りフレーム変換部１ｃにおいて、フレームの変換がなされる。この場合は図１０に示すように変換され、ネットワーク側ポート（１）から出力される。

このフレームを受信したスタックＶＬＡＮ対応のレイヤ２スイッチ８４は、通常のスタックＶＬＡＮ対応のレイヤ２スイッチと同様に、タグプロトコルＩＤが「０ｘ９１００」のネットワーク識別子を削除し、ルータ（１）８５ａに転送する。他の動作については、第１の実施例で説明した動作と同様である。

このような動作により、第１の実施例で説明を行った通信制御装置１と同様に、認証が終了していない端末から送信されたフレームは、通信制御装置８１で破棄される。

さらに、本第２の実施例においても、第１の実施例と同様、全てＥｔｈｅｒｎｅｔ（登録商標）フレームの処理であるために、ＩＰｖ４、ＩＰｖ６などレイヤ３プロトコルあるいは、ＰＰＰ／ＰＰＰｏＥなどのプロトコルに依存しない。このため、Ｅｔｈｅｒｎｅｔ（登録商標）上で転送可能なプロトコルであれば全て転送が可能である。また、上位のレイヤ２スイッチ８４において、スタックＶＬＡＮを使用することが可能となる。

次に、ネットワーク（１）８６ａ〜（ｍ）８６ｃから端末（１）８２ａ〜（ｎ）８２ｃに向かう方向（下り方向）の通信の場合、ルータ（１）８５ａは、「０ｘ８１００」のタグプロトコルＩＤを有し、ＶＬＡＮＩＤ２０１のネットワーク識別子（２）を有するＥｔｈｅｒｎｅｔ（登録商標）フレームを送信する。これを受信したスタックＶＬＡＮ対応のレイヤ２スイッチ８４は、タグプロトコルＩＤが「０ｘ９１００」で、ＶＬＡＮＩＤが３０１のネットワーク識別子（１）をさらに付加する。

このような動作により、通信制御装置８１のネットワーク側ポート（１）には、ネットワーク識別子が２つ付加された（２０１，３０１）スタックＶＬＡＮの形態のフレームが到着する。

このフレームを受信した通信制御装置８１は、第１の実施例における通信制御装置１と同様に、記憶部１ｂに記憶されたテーブルの検索を行い、その結果に従い、図１１に示すように、下りフレーム変換部１ｄにおいて、ネットワーク識別子（１），（２）のそれぞれを―つのネットワーク識別子に変換する。

記憶部１ｂに記憶されたテーブルの検索でヒットしなかった場合には、第１の実施例と同様に下りフレーム変換部１ｄで破棄する。

このような動作をすることにより、通信制御装置８１は、第１の実施例で説明を行った通信制御装置１と同様に、ルータ（１）８５ａからＶＬＡＮＩＤ２０１で送信されたフレームは、端末（１）８２ａが接続された通信回線にのみ転送され、他の通信回線に転送されることはなく、ユニキャスト、ブロードキャスト、マルチキャスト共に正常に転送が可能となる。

さらに、以上の説明で明らかなように、全てＥｔｈｅｒｎｅｔ（登録商標）フレームの処理であるために、ＩＰｖ４、ＩＰｖ６などレイヤ３プロトコルあるいは、ＰＰＰ／ＰＰＰｏＥなどのプロトコルに依存しない。このため、Ｅｔｈｅｒｎｅｔ（登録商標）上で転送可能なプロトコルであれば全て転送が可能である。また、上位のレイヤ２スイッチ８４において、スタックＶＬＡＮを使用することが可能となる。

次に、本発明の第３の実施例として、記憶部（１ｂ）に記憶するテーブルの内容により、プロトコル判定を行う通信制御装置（１，８１）についての説明を、図１２を用いて行う。

図１２は、本発明に係わる通信制御装置で作成されるテーブル内容例を示す説明図である。

第１の実施例および第２の実施例で説明したように、記憶部１ｂで記憶するテーブルの内容により様々な変換規則を実現することができる。本第３の実施例では、アクセス側ポートおよびネットワーク側ポートで使用するプロトコルに関する情報を、認証の結果に基づいて、記憶部１ｂにおいてテーブルに追加することにより、プロトコル情報まで含めてフレームの変換を決めることを可能とする通信制御装置の例を示す。

すなわち、認証の結果に当該通信フレームの通信に用いるプロトコル情報が設けられていれば、記憶部１ｂにおいて、当該プロトコル情報をアクセス側ポート番号の組とネットワーク側ポート番号の組とに含めて記憶する。そして、上りフレーム変換部１ｃでは、アクセス側ポートで受信した通信フレームを変換する際、当該通信フレーム内のプロトコル情報を含めた組で記憶部１ｂを参照する。

図１２においては、記憶部１ｂで記憶するテーブルの具体例を示し、このようなテーブルを上りフレーム変換部１ｃが検索することにより、ＩＰｖ４の場合はルータ（１）５ａ，８５ａに転送し、ＩＰｖ６の場合はルータ（２）５ｂ，８５ｂに転送することが可能となる。

次に、本発明の第４の実施例として、図１３から図１６を用いて、マルチキャスト対応の技術について説明する。

図１３は、本発明に係わる通信制御装置を設けたネットワークの他の構成例を示すブロックであり、図１４は、図１３における通信制御装置で作成されるテーブル内容例を示す説明図、図１５は、図１３における通信制御装置の第１のフレーム変換例を示す説明図、図１６は、図１３における通信制御装置の第２のフレーム変換例を示す説明図である。

上述の第１〜第３の実施例においては、ユニキャストとマルチキャストの差分なく転送する場合について説明を行った。しかし、マルチキャストによる映像配信などを考えた場合、個々のルータから接続されているユーザに対してマルチキャスト配信を行うよりも、マルチキャスト専用のルータを配置して全体に対してマルチキャストをした方が効率的である。

例えば、図２および図８に示す接続ネットワーク構成において、あるＩＳＰが、ルータを１０台保有しており、それぞれ４０００人ずつユーザと接続していたとする。この場合、全てのユーザに対してマルチキャストを行うために、それぞれのルータにおいて４０００人分のコピーを作成する必要があり、効率的ではない。

これに対し、図１３に示すように、マルチキャスト専用のＶＬＡＮと全てのユーザに対してマルチキャスト可能な１台のマルチキャストルータ（１）１３０５ｃがあれば、他のルータ（１１）１３０５ａ〜（１２）１３０５ｂでコピーを行うことなく、マルチキャストが可能となる。

図１３に示すネットワークでは、通信方式としてＥｔｈｅｒｎｅｔ（登録商標）を用いた場合でネットワーク識別子が２つ組み合わさったスタックＶＬＡＮの場合を例にとり説明を行う。

図１３に示すように、端末（１）１３０２ａ〜（ｎ）１３０２ｃは、アクセス装置１３０３を介して通信制御装置１３０１のアクセス側ポート（１）〜（ｘ）と接続される。本実施例では、アクセス装置１３０３は複数の回線を収容し、各回線単位にＩＥＥＥ８０２．１Ｑ規定のＶＬＡＮで多重し、通信制御装置１３０１のアクセス側ポート（１）〜（ｘ）と接続している。

また、通信制御装置１３０１は、スタックＶＬＡＮ対応のレイヤ２スイッチ１３０４とネットワーク側ポート（１）〜（ｙ）で接続され、レイヤ２スイッチ１３０４には複数のルータ（１１）１３０５ａ〜（１２）１３０５ｂ、マルチキャストルータ（１）１３０５ｃ、ルータ（２１）１３０７が接続されている。レイヤ２スイッチ１３０４では、スタックＶＬＡＮのタグプロトコルＩＤとして「０ｘ９１００」を用いているとする。

スタックＶＬＡＮ対応のレイヤ２スイッチ１３０４は、複数のルータ（ルータ（１１）１３０５ａ、ルータ（１２）１３０５ｂ）およびマルチキャスト対応ルータ（１）１３０５ｃを経由してネットワーク（１）１３０６に接続されており、ネットワーク（２）１３０８など他のネットワークについても同様な接続構成である。

また、ルータ（１１）１３０５ａ、ルータ（１２）１３０５ｂは、スタックＶＬＡＮ対応のレイヤ２スイッチ１３０４において、同一のスタックＶＬＡＮに所属しており、そのＶＬＡＮＩＤを「３０１」とする。

さらに、マルチキャスト対応ルータ（１）１３０５ｃは、ルータ（１１）１３０５ａおよびルータ（１２）１３０５ｂのスタックＶＬＡＮとは別のスタックＶＬＡＮに所属しており、そのＶＬＡＮＩＤを「４０１」とする。

このように、本例では、ネットワーク（１）１３０６に対して、スタックＶＬＡＮ対応のレイヤ２スイッチ１３０４は、少なくとも２つのスタックＶＬＡＮＩＤ（「３０１」、「４０１」）を用いて接続していることになる。他のネットワーク（２）１３０８についても同様である。

上述の第２の実施例で説明を行った通信制御装置８１と同様に、認証機構部１ａで端末（１）１３０２ａとの認証が成功した場合に、図１４に示すようなテーブルが記憶部１ｂに作成される。ここで、第２の実施例と異なる点は、ユニキャストかマルチキャストかに依存してテーブルエントリが２種類になっている点である。

すなわち、図１４の１行目のテーブルエントリは、上り通常通信用のテーブルエントリであり、第２の実施例で説明した内容と同じである。これに対し、図１４の２行目のテーブルエントリは、上りマルチキャスト受信要求用のテーブルエントリであり、アクセス側の情報は１行目と同一であるが、ネットワーク側において設定される情報が、マルチキャストルータ（１）１３０５ｃのＭＡＣアドレスとネットワーク識別子（１）およびネットワーク側ポート番号（１）のみになっている。また、各テーブルエントリについて、アクティブか非アクティブかを示す識別情報が付与されている、

さらに、図１４のテーブルにおいては、別の回線からアクセスする端末（２）１３０２ｂについても認証が成功した場合のテーブルエントリを３行目および４行目に記載している。

この状態で、端末（１）１３０２ａがＥｔｈｅｒｎｅｔ（登録商標）フレームを送信した場合には、通信制御装置１３０１において、第２の実施例の場合と同様に、上りフレーム変換部１ｃによるフレームの変換がなされる。

まず、上りフレーム変換部１ｃは、フレームがマルチキャストあるいはブロードキャスト受信要求であるかどうか判別する。マルチキャストあるいはブロードキャスト受信要求でなかった場合については、第２の実施例ので説明した動作と全く同じであるが、マルチキャストあるいはブロードキャスト受信要求であった場合については、記憶部１ｂに記憶されたテーブルの検索を行い、マルチキャスト受信要求のエントリを参照する。この場合は、図１４の２行目のエントリがヒットする。

上りフレーム変換部１ｃは、この検索結果に従って、図１５に示すようにフレームを変換し、ネットワーク側ポート（１）から出力する。宛先ＭＡＣアドレスについては、マルチキャストルータ（１）１３０５ｃのＭＡＣアドレスに書き換えることはしない。また、ヒットしたテーブルエントリについて、アクティブか非アクティブ化の識別情報をアクティブに設定し記憶する。

このフレームを受信したスタックＶＬＡＮ対応のレイヤ２スイッチ１３０４は、通常のスタックＶＬＡＮ対応のレイヤ２スイッチと同様に、タグプロトコルＩＤが「０ｘ９１００」のネットワーク識別子を削除し、マルチキャストルータ（１）１３０５ｃに転送する。

これにより、マルチキャスト受信要求のフレームがマルチキャストルータ（１）１３０５ｃに到達することから、マルチキャストルータ（１）１３０５ｃは、スタックＶＬＡＮ対応のレイヤ２スイッチ１３０４と接続されているポートにマルチキャストの配信を開始する。

ここで、注意すべきは、マルチキャストルータ（１）１３０５ｃの前記ポートにはＶＬＡＮタグなしのフレームが到達する。すなわち全ての端末がＶＬＡＮで識別されることなく、同じＬＡＮ上に接続されている形態となっている。

このために、他の回線に接続された他の端末（２）１３０２ｂが、端末（１）１３０２ａと同一のマルチキャストを受信する場合には、マルチキャストルータ（１）１３０５ｃにおいて、端末（１）１３０２ａ、（２）１３０２ｂに対してフレームのコピーをする必要がなく、１本のマルチキャストストリームを流すだけでよい。このため、マルチキャストルータ（１）１３０５ｃの処理が非常に軽くなる。

このようにして、マルチキャストルータ（１）１３０５ｃから送信されたマルチキャストのフレームは、スタックＶＬＡＮ対応のレイヤ２スイッチ１３０４で、タグプロトコルＩＤに「０ｘ９１００」を有し、ＶＬＡＮＩＤに４０１を有するネットワーク識別子を付与され、通信制御装置１３０１に転送される。

このフレームを受信した本例の通信制御装置１３０１は、下りフレーム変換部１ｄにより、記憶部１ｂに記憶されたテーブルにおいてテーブルエントリがアクティブなものを検索する。

この場合、図１４において、全テーブルエントリがアクティブであった場合は、２行目および４行目の複数のエントリが検索にヒットすることから、下りフレーム変換部１ｄは、図１６のように、それぞれのエントリに対してフレーム変換の逆変換を行って複数のフレームを作成し、アクセス側ポート（１）に転送する、

すなわち、マルチキャストフレームのコピーポイントはマルチキャストルータ（１）１３０５ｃではなく、通信制御装置１３０１となる。

さらに、端末（１）１３０２ａからマルチキャスト受信終了要求を受けた場合もしくは、マルチキャストあるいはブロードキャスト受信要求を受信していない場合、もしくは受信してから一定時間経過した場合については、テーブルエントリの２行目を非アクティブに設定する。

このような動作を行うことで、例えば、端末（２）１３０２ｂがマルチキャストを受信中であるために、通信制御装置１３０１に、マルチキャストルータ（１）１３０５ｃからマルチキャストトラフィックが送信されていても、端末（１）１３０２ａのマルチキャスト受信に関するテーブルエントリ（図１４の２行目）は下りフレーム変換部１ｄにおける検索にヒットすることがないために、端末（１）１３０２ａがマルチキャストを受信することはない。

このように、本例では、認証機構部１ａの認証結果として得られる、予め接続要求先のネットワーク側に設けられたマルチキャスト専用ルータ装置のアドレスと当該マルチキャスト専用ルータ装置用のネットワーク識別子とを、記憶部１ｂにおいて、ネットワーク側ポートの組として記憶し、上りフレーム変換部１ｃでは、受信した通信フレーム（上りフレーム）の宛先アドレスがマルチキャスト受信要求あるいは受信終了要求であれば、記憶部１ｂにおける該当する組を参照して、ネットワーク識別子のみの変換を行い、下りフレーム変換部１ｄでは、受信した通信フレーム（下りフレーム）の宛先アドレスがマルチキャストアドレスであれば、記憶部１ｂにおける該当する全ての組を参照し、全ての組に対応してネットワーク識別子のみの変換を行い、全ての組分の通信フレームを生成し、そして、記憶部１ｂにおいては、マルチキャスト要求に応じての記憶内容を、当該端末からの終了を要求する通信フレームの受信後、もしくは、予め定められた経過時間後に、無効（非アクティブ）とする。

通信制御装置１３０１が、以上説明したような動作を行うことにより、通常の通信に対しては、各端末がルータ上でＶＬＡＮにより区別されている一方で、マルチキャストのコピーポイントをルータではなく、端末により近い通信制御装置とすることが可能であり、ルータより端末側のネットワーク帯域を節約することが可能となる。

次に、第５の実施例として、図１７を用いて、ＶＬＡＮＩＤで認証制限をする技術について説明する。図１７は、本発明に係わる通信制御装置で作成されるテーブル内容例を示す説明図である。

上述の第１〜第４の実施例では、認証が成功すれば記憶部１ｂにテーブルエントリが追加されたが、ここでは記憶部１ｂに追加されるテーブルエントリの内容を、端末が所属するＶＬＡＮのＶＬＡＮＩＤによって変える技術について説明を行う。

この場合、本例の認証機構部１ａは、端末が認証に用いたフレームにアクセス装置（３，８３，１３０３）で付与されたネットワーク識別子内のＶＬＡＮＩＤの値を用いて、認証成功時に記憶部１ｂに作成するテーブルエントリの内容を変更する。

図１７に示すテーブルの例では、同じ端末から同じユーザ名とパスワードで認証を行った場合であっても、ＶＬＡＮＩＤ１０１がアクセス装置で付与される回線からアクセスした場合には、ルータ（１）に接続される図１７の１行目のエントリが記憶部１ｂに作成され、ＶＬＡＮＩＤ１０２がアクセス装置で付与される回線からアクセスした場合には、ルータ（２）に接続される図１７の２行目のエントリが記憶部１ｂに作成される。

このように、本例では、認証機構部１ａは、同じ送信元アドレスで異なるネットワーク識別子の認証用通信フレームのそれぞれに対して、同じネットワーク側ポート番号で、それぞれ異なる装置アドレスおよびネットワーク識別子を、認証結果として出力し、この認証機構部１ａの認証結果に応じた記憶部１ｂにおける記憶内容に基づき、同じ送信元アドレスの端末からの通信フレームの転送先を、ネットワーク識別子を条件として特定する。これにより、アクセス回線の種別や契約種別により接続先を固定することが可能となる。尚、ここでは、同じネットワーク側ポートを用いる例を示したが、以上の説明から明らかなように、ネットワーク側ポートが異なっていても良い。

次に、第６の実施例として、図１８〜図２０を用いて、以上説明を行った第１〜第５の実施例に加え、さらに、通信制御装置における上りフレーム変換部１ｃ、および、下りフレーム変換部１ｄで、端末側のアドレス（端末のＭＡＣアドレス）も変換する技術について説明する。

この第６の実施例においては、記憶部１ｂで記憶する、認証機構部１ａでの認証結果で得られるネットワーク側ポート番号とこのネットワーク側ポートに接続された装置のアドレスおよびこの装置との通信に用いるネットワーク識別子からなる組に、予め定められた第２の装置アドレスを含み、上りフレーム変換部１ｃでは、受信した通信フレームを変換する際、送信元アドレスを第２の装置アドレスに変換し、下りフレーム変換部１ｄでは、第２の装置アドレスを宛先アドレスに有する通信フレームに対して、当該第２の装置アドレスを、記憶部１ｂにおいて当該第２の装置アドレスと送信元アドレスおよびネットワーク側ポート番号とネットワーク識別子の組に対応付けて記憶されたアクセス側ポート番号と送信元アドレスおよびネットワーク識別子の組の当該送信元アドレスに変換する。

図１８は、本発明に係わる通信制御装置で作成されるテーブル内容の他の例を示す説明図であり、図１９は、図１８におけるテーブル内容に基づく上りフレーム変換例を示す説明図、図２０は、図１８におけるテーブル内容に基づく下りフレーム変換例を示す説明図である。

本例では、認証が成功した端末（１）のテーブルエントリとして図１８に示すようなテーブルエントリが記憶部１ｂに作成される。そして、上りフレーム変換部１ｃは他の実施例と同様に、このテーブルの検索を行い、図１９に示すような変換を行い、フレームをネットワーク側ポート（１）に転送する。

また、下りフレーム変換部１ｄは、他の実施例と同様に、図１８のテーブルの検索を行い、図２０に示すような変換を行い、フレームをアクセス側ポート（１）に転送する、

このような動作を行うことにより、端末側のＭＡＣアドレスを通信制御装置が書き換えたのと同様の作用・効果が得られる。すなわち、ユーザ側の端末のＭＡＣアドレスが仮に重複していたとしても、通信制御装置において別々のＭＡＣアドレスに付け替えることができるため、ネットワーク側ポートに接続されたレイヤ２スイッチのＭＡＣアドレス学習テーブルが不用意に消去されることがなくなる。

また、通信制御装置のネットワーク側ポートに対して一意のＭＡＣアドレスに付け替えることにより、ネットワーク側ポートに接続されたレイヤ２スイッチにとっては、複数のユーザが単一のＭＡＣアドレスを共用して使用する状態となり、レイヤ２スイッチのＭＡＣアドレス学習数を削減することができる。

以上、図１〜図２０を用いて説明したように、本例の通信制御装置１，８１，１３０１では、通信端末（１）〜（３）とネットワーク（１）〜（３）間における通信フレームの転送を、この通信フレーム内に設けられた宛先アドレスと送信元アドレスおよびネットワーク識別子に基づき制御する際、認証機構部１ａにおいて、端末（１）〜（３）から受信した認証用の通信フレーム内の送信元アドレスの端末に対して認証を行い、この認証に成功した場合、記憶部１ｂにおいて、この認証用の通信フレームを受信したアクセス側ポート番号とこの認証用の通信フレーム内の送信元アドレスおよびネットワーク識別子などからなる組を、認証結果で得られるネットワーク側ポート番号と、このネットワーク側ポートに接続された装置のアドレスおよび当該装置との通信に用いるネットワーク識別子などからなる組に対応付けて記憶しておき、上りフレーム変換部１ｃにおいて、アクセス側ポートで受信した通信フレーム（上りフレーム）内の送信元アドレスとネットワーク識別子および当該アクセス側ポート番号が、記憶部１ｂで記憶されているか否かを判別し、記憶されていれば、受信した通信フレーム内の宛先アドレスとネットワーク識別子を、記憶部１ｂで対応付けて記憶したネットワーク側ポートに接続された装置のアドレスと当該装置との通信に用いるネットワーク識別子に変換し、記憶されていなければ当該通信フレームを破棄し、下りフレーム変換部１ｄにおいて、ネットワーク側ポートで受信した通信フレーム（下りフレーム）内の送信元のアドレスとネットワーク識別子および当該ネットワーク側ポート番号が、記憶部１ｂで記憶されているか否かを判別し、記憶されていれば、受信した通信フレーム内のネットワーク識別子を、記憶部１ｂで対応付けて記憶した端末側のネットワーク識別子に変換し、記憶されていなければ当該通信フレームを破棄し、変換した通信フレーム（上りフレーム、下りフレーム）を当該ポートから出力する。さらに、記憶部１ｂの記憶内容として、複数のネットワーク側のネットワーク識別子、プロトコル情報やマルチキャスト要求情報等を、付加することにより、これらの付加情報を条件とした種々の転送制御を行う。

このようような本実施例の通信制御装置を用いることにより、認証をもとに接続先のルータのＭＡＣアドレスおよびそのルータで使用するＶＬＡＮタグを指定することができ、接続先のルータで個々のユーザをＶＬＡＮといった単位で識別することが可能となる。

さらに、接続先ルータから送信された通信フレームについて、送信元ＭＡＣアドレスが認証結果によって定められた接続先ルータのＭＡＣアドレスであり、かつ、通信フレームに記載されたＶＬＡＮタグが認証結果によって定められたＶＬＡＮタグである場合にのみ端末へ転送することにより、接続先ルータ以外からの通信を遮断することが可能であり、特定の接続先のみとの通信が可能となる。

さらに、通信制御装置は、レイヤ２のみの処理であるため、ＩＰｖ４あるいはＩＰｖ６といった上位プロトコルに依存せずに転送することが可能であり、接続先ネットワークで使用するプロトコルに制限がない通信が可能となる。

さらに、使用するプロトコルによって接続先を変更することが可能である。

また、マルチキャスト通信フレームに関しては、認証によって定められたマルチキャスト送信ルータのＭＡＣアドレスおよび認証によって定められたＶＬＡＮタグを有するマルチキャスト通信フレームのみを転送することにより、認証によって接続されたＩＳＰから送信されたマルチキャスト通信フレームのみを端末側に転送することが可能であり、かつ、ＩＳＰのルータでユーザの数だけコピーすることなく転送することにより、ＩＳＰのルータから通信制御装置の間のネットワークの帯域を無駄にしないことが可能である。

さらに、端末が使用するＭＡＣアドレスを書き換えることにより、ネットワーク側に接続されたレイヤ２スイッチのＭＡＣアドレス学習エントリが不用意に削除されたり、莫大な数になったりすることを防止することが可能である。

尚、本発明は、図１〜図２０を用いて説明した例に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能である。例えば、図８〜図１１で示した第２の実施例では、スタックＶＬＡＮ対応レイヤ２スイッチ８４において、タグプロトコルＩＤが「０ｘ９１００」のネットワーク識別子を削除しているが、タグプロトコルＩＤが「０ｘ９１００」のネットワーク識別子を削除しない動作・構成としても良い。

また、本例でのコンピュータ構成に関しても、キーボードや光ディスクの駆動装置の無いコンピュータ構成としても良い。また、本例では、光ディスクを記録媒体として用いているが、ＦＤ（Flexible Disk）等を記録媒体として用いることでも良い。また、プログラムのインストールに関しても、通信制御装置を介してネットワーク経由でプログラムをダウンロードしてインストールすることでも良い。

本発明に係わる通信制御装置の構成例を示すブロック図である。図１における通信制御装置を設けたネットワークの構成例を示すブロックである。図２におけるネットワークで送受信される通信フレームの構成例を示す説明図である。図１における通信制御装置で作成されるテーブル内容例を示す説明図である。図１における通信制御装置の第１のフレーム変換例を示す説明図である。図１における通信制御装置の第２のフレーム変換例を示す説明図である。図１における通信制御装置の第３のフレーム変換例を示す説明図である。本発明に係わる通信制御装置を設けたネットワークの構成例を示すブロックである。図８における通信制御装置で作成されるテーブル内容例を示す説明図である。図８における通信制御装置の第１のフレーム変換例を示す説明図である。図８における通信制御装置の第２のフレーム変換例を示す説明図である。本発明に係わる通信制御装置で作成されるテーブル内容例を示す説明図である。本発明に係わる通信制御装置を設けたネットワークの他の構成例を示すブロックである。図１３における通信制御装置で作成されるテーブル内容例を示す説明図である。図１３における通信制御装置の第１のフレーム変換例を示す説明図である。図１３における通信制御装置の第２のフレーム変換例を示す説明図である。本発明に係わる通信制御装置で作成されるテーブル内容例を示す説明図である。本発明に係わる通信制御装置で作成されるテーブル内容の他の例を示す説明図である。図１８におけるテーブル内容に基づく上りフレーム変換例を示す説明図である。図１８におけるテーブル内容に基づく下りフレーム変換例を示す説明図である。従来のネットワーク構成例を示すブロックである。従来の他のネットワーク構成例を示すブロックである。

符号の説明

１，８１，１３０１：通信制御装置、１ａ：認証機構部、１ｂ：記憶部、１ｃ：上りフレーム変換部、１ｄ：下りフレーム変換部、２ａ〜２ｃ，８２ａ〜８２ｃ，１３０２ａ〜１３０２ｃ：端末（１）〜（ｎ）、３，８３，１３０３：アクセス装置、４：レイヤ２スイッチ、５ａ〜５ｃ，８５ａ〜８５ｃ：ルータ（１）〜（ｍ）、６ａ〜６ｃ，８６ａ〜８６ｃ：ネットワーク（１）〜（ｍ）、８４，１３０４：スタックＶＬＡＮ対応レイヤ２スイッチ、１３０５ａ，１３０５ｂ：ルータ（１１），（１２）、１３０５ｃ：マルチキャストルータ（１）、１３０６：ネットワーク（１）、１３０７：ルータ（２１）、１３０８：ネットワーク（２）、２１０１：ＢＲＡＳ、２１０２ａ〜２１０２ｃ，２２０２ａ〜２２０２ｃ：端末（１）〜（ｎ）、２１０３，２２０３：アクセス装置、２１０５ａ〜２１０５ｃ，２２０５ａ〜２２０５ｃ：ルータ（１）〜（ｍ）、２１０６ａ〜２１０６ｃ，２２０６ａ〜２２０６ｃ：ネットワーク（ＩＳＰ１）〜（ＩＳＰｍ）、２１０７ａ〜２１０７ｃ，２２０７ａ〜２２０７ｃ：認証サーバ（１）〜（ｍ）、２２０１：ＬＡＣ、２２０４ａ〜２２０４ｃ：ＬＮＳ（１）〜（ｍ）。

Claims

通信端末とネットワーク間における通信フレームの転送を、該通信フレーム内に設けられた宛先アドレスと送信元アドレスおよびネットワーク識別子に基づき制御する通信制御装置であって、
端末から受信した認証用の通信フレーム内の上記送信元アドレスの端末に対して認証を行う認証機構手段と、
該認証機構手段での認証に成功した場合、少なくとも上記認証用の通信フレームを受信したアクセス側ポート番号と該通信フレーム内の送信元アドレスおよびネットワーク識別子からなる組を、少なくとも上記認証機構手段での認証結果で得られるネットワーク側ポート番号と該ネットワーク側ポートに接続された装置のアドレスおよび該装置と通信するために用いるネットワーク識別子からなる組に対応付けて記憶する記憶手段と、
アクセス側ポートで受信した通信フレーム内の送信元アドレスとネットワーク識別子および当該アクセス側ポート番号が、上記記憶手段で記憶されているか否かを判別し、記憶されていれば、受信した通信フレーム内の宛先アドレスとネットワーク識別子を、上記記憶手段で対応付けて記憶したネットワーク側ポートに接続された装置のアドレスと該装置と通信するために用いるネットワーク識別子に変換し、記憶されていなければ当該通信フレームを破棄する上りフレーム変換手段と、
ネットワーク側ポートで受信した通信フレーム内の送信元のアドレスとネットワーク識別子および当該ネットワーク側ポート番号が、上記記憶手段で記憶されているか否かを判別し、記憶されていれば、受信した通信フレーム内のネットワーク識別子を、上記記憶手段で対応付けて記憶したアクセス側ポートのネットワーク識別子に変換し、記憶されていなければ当該通信フレームを破棄する下りフレーム変換手段と
を有し、
上記上りフレーム変換手段および上記下りフレーム変換手段で変換した通信フレームを当該ポートから出力することを特徴とする通信制御装置。
請求項１に記載の通信制御装置であって、
上記記憶手段においては、上記認証機構手段の認証結果に応じて、上記ネットワーク側ポートの組となるネットワーク識別子を複数記憶し、
上記上りフレーム変換手段では、受信した通信フレーム内のネットワーク識別子を、上記記憶手段において当該ネットワーク識別子に対応付けて記憶された上記複数のネットワーク識別子に変換し、
上記下りフレーム変換手段では、受信した通信フレーム内の上記複数のネットワーク識別子を、上記記憶手段において当該複数のネットワーク識別子に対応付けて記憶されたアクセス側ポートのネットワーク識別子に変換することを特徴とする通信制御装置。
請求項１もしくは請求項２のいずれかに記載の通信制御装置であって、
上記通信フレームに当該通信フレームの通信に用いるプロトコル情報が設けられており、
上記認証機構手段での認証に成功した場合、上記記憶手段において、認証の結果で得られるネットワーク側ポート番号と該ネットワーク側ポートに接続された装置のアドレスおよび該装置と通信するために用いるネットワーク識別子とプロトコル情報からなる１つあるいは複数の組を記憶し、
上記上りフレーム変換手段は、上記アクセス側ポートで受信した通信フレームを変換する際、当該通信フレーム内のプロトコル情報を含めた組で上記記憶手段を参照することを特徴とする通信制御装置。
請求項１から請求項３のいずれかに記載の通信制御装置であって、
上記認証機構手段の認証結果として得られる、予め接続要求先のネットワーク側に設けられたマルチキャスト用ルータ装置のアドレスと該マルチキャスト用ルータ装置用のネットワーク識別子とを、上記記憶手段において、上記ネットワーク側ポートの組として記憶し、
さらに上記記憶手段において、アクセス側ポートに接続され認証が成功した端末からのマルチキャスト受信要求を受信したか否かを記憶し、
上記下りフレーム変換手段では、ネットワーク側ポートで受信した通信フレームの宛先アドレスがマルチキャストアドレスであれば、上記記憶手段における該当する全ての組を参照し、既にマルチキャスト受信要求を受信した全ての組に対応してネットワーク識別子のみの変換を行い、全ての組分の通信フレームを生成することを特徴とする通信制御装置。
請求項４に記載の通信制御装置であって、
上記記憶手段は、上記マルチキャスト要求に応じての記憶内容を、当該端末からの終了を要求する通信フレームの受信後、もしくは、予め定められた経過時間後に、無効とする手段を有することを特徴とする通信制御装置。
請求項１から請求項５のいずれかに記載の通信制御装置であって、
上記認証機構手段は、同じ送信元アドレスで異なるネットワーク識別子の認証用通信フレームのそれぞれに対して、ネットワーク側ポート番号、装置アドレスおよびネットワーク識別子のうち少なくとも１つが異なる組を、認証結果として出力する手段を有し、
該認証機構手段の認証結果に応じた上記記憶手段における記憶内容に基づき、同じ送信元アドレスの端末からの通信フレームの転送先を、上記ネットワーク識別子を条件として特定することを特徴とする通信制御装置。
請求項１から請求項６のいずれかに記載の通信制御装置であって、
上記記憶手段で記憶する、上記認証機構手段での認証結果で得られるネットワーク側ポート番号と該ネットワーク側ポートに接続された装置のアドレスおよび該装置との通信に用いるネットワーク識別子からなる組に、予め定められた第２の装置アドレスを含み、
上記上りフレーム変換手段は、受信した通信フレームを変換する際、送信元アドレスを上記第２の装置アドレスに変換し、
上記下りフレーム変換手段は、上記第２の装置アドレスを宛先アドレスに有する通信フレームに対して、当該第２の装置アドレスを、上記記憶手段において当該第２の装置アドレスと送信元アドレスおよびネットワーク側ポート番号とネットワーク識別子の組に対応付けて記憶されたアクセス側ポート番号と送信元アドレスおよびネットワーク識別子の組の当該送信元アドレスに変換する
ことを特徴とする通信制御装置。
コンピュータを、請求項１から請求項７のいずれかに記載の通信制御装置における各手段として機能させるためのプログラム。
通信端末とネットワーク間における通信フレームの転送を、該通信フレーム内に設けられた宛先アドレスと送信元アドレスおよびネットワーク識別子に基づき制御する通信制御装置におけるフレーム転送制御方法であって、
端末から受信した認証用の通信フレーム内の上記送信元アドレスの端末に対して認証を行う第１の手順と、
該第１の手順での認証に成功した場合、少なくとも上記認証用の通信フレームを受信したアクセス側ポート番号と該通信フレーム内の送信元アドレスおよびネットワーク識別子からなる組を、少なくとも上記第１の手順での認証結果で得られるネットワーク側ポート番号と該ネットワーク側ポートに接続された装置のアドレスおよび該装置と通信するために用いるネットワーク識別子からなる組に対応付けて記憶装置に記憶する第２の手順と、
アクセス側ポートで受信した通信フレーム内の送信元アドレスとネットワーク識別子および当該アクセス側ポート番号が、上記記憶装置で記憶されているか否かを判別し、記憶されていれば、受信した通信フレーム内の宛先アドレスとネットワーク識別子を、上記記憶装置で対応付けて記憶されたネットワーク側ポートに接続された装置のアドレスと該装置と通信するために用いるネットワーク識別子に変換し、記憶されていなければ当該通信フレームを破棄する第３の手順と、
ネットワーク側ポートで受信した通信フレーム内の送信元のアドレスとネットワーク識別子および当該ネットワーク側ポート番号が、上記記憶装置で記憶されているか否かを判別し、記憶されていれば、受信した通信フレーム内のネットワーク識別子を、上記記憶装置で対応付けて記憶されたアクセス側ポートのネットワーク識別子に変換し、記憶されていなければ当該通信フレームを破棄する第４の手順と
を有し、
上記第３の手順および上記第４の手順で変換した通信フレームを当該ポートから出力することを特徴とする通信制御装置のフレーム転送制御方法。
請求項９に記載の通信制御装置のフレーム転送制御方法であって、
上記第２の手順においては、上記第１の手順での認証結果に応じて、上記ネットワーク側ポートの組となるネットワーク識別子を複数記憶し、
上記第３の手順では、受信した通信フレーム内のネットワーク識別子を、上記第２の手順において記憶装置に当該ネットワーク識別子に対応付けて記憶された上記複数のネットワーク識別子に変換し、
上記第４の手順では、受信した通信フレーム内の上記複数のネットワーク識別子を、上記第２の手順において記憶装置に当該複数のネットワーク識別子に対応付けて記憶されたアクセス側ポートのネットワーク識別子に変換することを特徴とする通信制御装置のフレーム転送制御方法。
請求項９もしくは請求項１０のいずれかに記載の通信制御装置のフレーム転送制御方法であって、
上記通信フレームに当該通信フレームの通信に用いるプロトコル情報が設けられており、
上記第２の手順においては、上記第１の手順での認証が成功した場合、該認証の結果で得られるネットワーク側ポート番号と該ネットワーク側ポートに接続された装置のアドレスおよび該装置と通信するために用いるネットワーク識別子とプロトコル情報からなる１つあるいは複数の組を記憶装置に記憶し、
上記第３の手順では、上記アクセス側ポートで受信した通信フレームを変換する際、当該通信フレーム内のプロトコル情報を含めた組で上記記憶装置を参照することを特徴とする通信制御装置のフレーム転送制御方法。
請求項９から請求項１１のいずれかに記載の通信制御装置のフレーム転送制御方法であって、
上記第１の手順での認証結果として得られる、予め接続要求先のネットワーク側に設けられたマルチキャスト用ルータ装置のアドレスと該マルチキャスト用ルータ装置用のネットワーク識別子とを、上記第２の手順において、上記ネットワーク側ポートの組として記憶装置に記憶し、
さらに上記第２の手順において、アクセス側ポートに接続され認証が成功した端末からのマルチキャスト受信要求を受信したか否かを記憶装置に記憶し、
上記第４の手順では、ネットワーク側ポートで受信した通信フレームの宛先アドレスがマルチキャストアドレスであれば、上記記憶装置における該当する全ての組を参照し、既にマルチキャスト受信要求を受信した全ての組に対応してネットワーク識別子のみの変換を行い、全ての組分の通信フレームを生成することを特徴とする通信制御装置のフレーム転送制御方法。
請求項１２に記載の通信制御装置のフレーム転送制御方法であって、
上記第２の手順では、上記マルチキャスト要求に応じての記憶装置における記憶内容を、当該端末からの終了を要求する通信フレームの受信後、もしくは、予め定められた経過時間後に、無効とすることを特徴とする通信制御装置のフレーム転送制御方法。
請求項９から請求項１３のいずれかに記載の通信制御装置のフレーム転送制御方法であって、
上記第１の手順では、同じ送信元アドレスで異なるネットワーク識別子の認証用通信フレームのそれぞれに対して、ネットワーク側ポート番号、装置アドレスおよびネットワーク識別子のうち少なくとも１つが異なる組を、認証結果として出力し、
該第１の手順での認証結果に応じた上記第２の手順による記憶装置における記憶内容に基づき、同じ送信元アドレスの端末からの通信フレームの転送先を、上記ネットワーク識別子を条件として特定することを特徴とする通信制御装置のフレーム転送制御方法。
請求項９から請求項１４のいずれかに記載の通信制御装置のフレーム転送制御方法であって、
上記第２の手順で記憶装置に記憶する、上記第１の手順での認証結果で得られるネットワーク側ポート番号と該ネットワーク側ポートに接続された装置のアドレスおよび該装置との通信に用いるネットワーク識別子からなる組に、予め定められた第２の装置アドレスを含み、
上記第３の手順では、受信した通信フレームを変換する際、送信元アドレスを上記第２の装置アドレスに変換し、
上記第４の手順では、上記第２の装置アドレスを宛先アドレスに有する通信フレームに対して、当該第２の装置アドレスを、上記第２の手順において当該第２の装置アドレスと送信元アドレスおよびネットワーク側ポート番号とネットワーク識別子の組に対応付けて記憶装置に記憶されたアクセス側ポート番号と送信元アドレスおよびネットワーク識別子の組の当該送信元アドレスに変換することを特徴とする通信制御装置のフレーム転送制御方法。