JP2006025341A - Ｖｌａｎの近隣探索代理方式および方法、並びにルータ装置 - Google Patents

Abstract

【課題】 リンク層の通信が制限された状況であっても、ＩＰｖ６の近隣探索プロトコルを支障なく実現する。
【解決手段】 本発明は、複数の加入者端末を収容するレイヤ２スイッチと、レイヤ２スイッチに接続され、加入者端末のＩＰｖ６アドレスとリンク層アドレスを近隣キャッシュによって管理するルータ装置とを備える。加入者端末は、『アドレス解決』、『近隣ノード非到達性検出』、および『アドレス重複検出』の少なくとも１つの近隣探索プロトコルを実行する。ルータ装置は、加入者端末のＩＰｖ６アドレス及びリンク層アドレスを近隣キャッシュを用いて管理する。ルータ装置は、この近隣キャッシュを参照することで、近隣探索プロトコルに返答すべき別の加入者端末の有無を判定し、この別の加入者端末に代わってルータ装置が近隣探索プロトコルに返答する。
【選択図】 図２

Description

本発明は、加入者端末間において本来実施される近隣探索プロトコルを、加入者端末間に接続性が無いネットワークにおいて円滑に実施する技術に関する。

［ＩＰｖ６の近隣探索プロトコルについて］
ＩＰｖ６（Internet Protocol Version6)では、加入者端末のネットワーク接続に際して、各種設定を自動実行するプラグアンドプレイ機能を有する。このプラグアンドプレイ機能を支える重要な仕組みが、近隣探索プロトコルである（詳しくは、下記の非特許文献１を参照）。
この近隣探索プロトコルは、具体的に下記の役割を有する。

（１）同一リンク上のルータ装置の発見と、プレフィクスの取得
加入者端末は、同一リンク上の機器に対して、ルータ発見メッセージ（ＲＳ）を発信する。このルータ発見メッセージ（ＲＳ）を受け取ったルータ装置は、その発信元に対して、ＩＰｖ６アドレスの上位６４ビット（プレフィクス）を含むルータ広告（ＲＡ）を返信する。
これにより、加入者端末はネットワーク接続によって、ＩＰｖ６アドレスの上位６４ビットを取得することができる。

（２）アドレス重複検出
加入者端末は、自身のＭａｃアドレスを加工するなどして、ＩＰｖ６アドレスの下位６４ビット（インターフェースＩＤ）を生成する。加入者端末は、このように完成したＩＰｖ６アドレスを、同一リンク上の機器に対して同報発信する。
このＩＰｖ６アドレスを既に使用中の加入者端末が別に存在していた場合、この別の加入者端末は、発信元に対してアドレス重複を返信する。
この返信の有無により、加入者端末は、自身のＩＰｖ６アドレスが、ネットワーク上で唯一か否かを判断できる。

（３）アドレス解決
同一リンク内での通信には、通信相手のリンク層アドレス（例えばＭａｃアドレス）が必要となる。
そこで、加入者端末は、同一リンク上の機器に対して、相手先のＩＰｖ６アドレスを発信し、対応するリンク層アドレスを要求する。相手先の加入者端末は、この要求を受けると、その発信元に対して自己のリンク層アドレスを返信する。
返信を受けた加入者端末では、このＩＰｖ６アドレスとリンク層アドレスとの対応データをキャッシュ記憶する。

（４）近隣ノード非到達性検出
加入者端末の接続状況は時々刻々と変化する。そこで、アドレス解決で取得した対応データにはタイマー情報が付加される。このタイマー情報により一定期間が過ぎたものについて、加入者端末はアドレスの再確認を実施する。このとき、相手先から返答が有れば、到達可能を検知する。逆に、相手先から返答が無ければ、到達不能を検知する。

［ＶＬＡＮの加入者端末間の通信制限について］
加入者端末をレイヤ２スイッチに収容し、このレイヤ２スイッチをルータ装置に接続することにより、ＶＬＡＮ（仮想ＬＡＮ）の構築が可能になる。
従来、このようなＶＬＡＮでは、加入者端末のセキュリティを確保したり、加入者端末間において通信の課金処理を確実に実施する要請があった。このような要請に答えるためには、同一リンク上の加入者端末間において、リンク層の通信を制限する必要があった。

Marcus Goncalves、Kitty Niles 著、生田りえ子・勝本道哲・重野寛 訳「ＩＰｖ６プロトコル徹底解説」第２版、日経ＢＰ社、２００２年３月１４日、ｐ．１４６

上述したような理由から、リンク層通信を制限した場合、ＩＰｖ６の近隣探索プロトコルが実施不可能になる。
例えば、アドレス重複検出において、加入者端末は、完成したＩＰｖ６アドレスを、同一リンク上の機器に対して同報発信する。しかし、この発信は、リンク層通信の制限された別の加入者端末には到達しない。そのため、その別の加入者端末が、同一のＩＰｖ６アドレスを既に使用していても、アドレス重複は検出されない。
この場合、ネットワーク上にＩＰｖ６アドレスが重複して存在することになり、ＩＰｖ６アドレスを宛先に用いたパケット転送等に弊害が生じる。
そこで、本発明は、このようなリンク層通信が制限された状況であっても、ＩＰｖ６の近隣探索プロトコルを支障なく実現するための技術を提供することを目的とする。

《１》
本発明方式は、複数の加入者端末を収容するレイヤ２スイッチと、レイヤ２スイッチに接続され、加入者端末のＩＰｖ６アドレスとリンク層アドレスを近隣キャッシュによって管理するルータ装置とを備えたＶＬＡＮの近隣探索代理方式である。
まず、加入者端末は、『アドレス解決』、『近隣ノード非到達性検出』、および『アドレス重複検出』の少なくとも１つの近隣探索プロトコルを実行する。この近隣探索プロトコルの要請メッセージは、レイヤ２スイッチに接続されたルータ装置が代理で受け付ける。
ルータ装置は、加入者端末のＩＰｖ６アドレスおよびリンク層アドレスを、近隣キャッシュを用いて管理する。ルータ装置は、この近隣キャッシュを参照することで、近隣探索プロトコルに返答すべき別の加入者端末の有無を判定する。もし別の加入者端末が存在する場合、この別の加入者端末に代わってルータ装置が近隣探索プロトコルに返答する。

《２》
また、本発明のルータ装置は、リンク層の接続性が無い複数の加入者端末を収容するＶＬＡＮに接続使用される装置である。このルータ装置は、近隣管理部、近隣判定部および返答代理部を備える。
まず、近隣管理部は、加入者端末のＩＰｖ６アドレスとリンク層アドレスとを近隣キャッシュによって管理する。
近隣判定部は、加入者端末から近隣探索プロトコルを受け付ける。ここでの近隣探索プロトコルは、『アドレス解決』、『近隣ノード非到達性検出』、および『アドレス重複検出』の少なくとも１つである。近隣判定部は、この近隣探索プロトコルに対して、近隣キャッシュ内のＩＰｖ６アドレス及びリンク層アドレスを参照し、近隣探索プロトコルに返答する必要のある『別の加入者端末』が存在するか否かを判定する。
返答代理部は、返答すべき別の加入者端末が存在する場合、この別の加入者端末に代理して近隣探索プロトコルの返答を行う。

《３》
また、本発明方法は、複数の加入者端末を収容するレイヤ２スイッチと、レイヤ２スイッチに接続され、加入者端末のＩＰｖ６アドレスとリンク層アドレスを近隣キャッシュによって管理するルータ装置とを備えたＶＬＡＮにおいて実施される近隣探索代理方法である。
まず、加入者端末が、『アドレス解決』、『近隣ノード非到達性検出』、および『アドレス重複検出』の少なくとも１つの近隣探索プロトコルを実行する。
すると、ルータ装置が、近隣キャッシュで管理する加入者端末のＩＰｖ６アドレス及びリンク層アドレスを参照して、この近隣探索プロトコルにおいて返答すべき別の加入者端末が存在するか否かを判定する。
別の加入者端末が存在する場合、ルータ装置は、この別の加入者端末に代わって近隣探索プロトコルの返答を行う。

本発明において、ルータ装置は、近隣キャッシュを用いて、加入者端末のＩＰｖ６アドレスおよびリンク層アドレスを管理する。
ルータ装置は、この近隣キャッシュを参照することで、『アドレス解決』、『近隣ノード非到達性検出』、および『アドレス重複検出』に対して、代理で返答を行うことができる。

例えば、『アドレス解決』や『近隣ノード非到達性検出』であれば、ルータ装置は、加入者端末から問い合わせを受けたＩＰｖ６アドレスを、近隣キャッシュ内で探索する。このとき、近隣キャッシュ内にＩＰｖ６アドレスが見つかれば、ルータ装置は、対応するリンク層アドレスを、発信元に対して返答する。

また例えば、『アドレス重複検出』であれば、ルータ装置は、加入者端末から問い合わせを受けたＩＰｖ６アドレスを、近隣キャッシュ内で探索する。このとき、発信元とは別の加入者端末に対して同一のＩＰｖ６アドレスが既に付与されている場合、ルータ装置は、発信元に対して、アドレス重複を返答する。

このような動作により、加入者端末間においてリンク層通信が制限されている状況にあっても、上記いずれかの近隣探索プロトコルを支障なく実行することが可能になる。

［本実施形態の構成説明］
図１は、本実施形態におけるプライベートＶＬＡＮ（Virtual LAN）５の構成ブロック図である。
図１において、複数の加入者端末１は、イーサネット（登録商標）４を介して、レイヤ２スイッチ３に収容される。
このような構成では、レイヤ２スイッチ３の設定により、加入者端末１ごとにリンク層の接続を個別に制限することができる。この制限により、加入者端末１のセキュリティを高めたり、加入者端末１の相互間における通信を禁止することが可能になる。
なお、このレイヤ２スイッチ３には、個々の加入者端末１とリンク層通信が可能なポート（オーバーラップポート）が設けられる。このオーバーラップポートには、イーサネット（登録商標）４を介して、ルータ装置２が接続される。このルータ装置２は、インターネットなどのコアネットワークへ接続される。

［本実施形態の動作説明］
以下、本実施形態における近隣探索代理方式を機能毎に説明する。

（１）同一リンク上のルータ装置２の発見と、プレフィクスの取得
加入者端末１が、プライベートＶＬＡＮ５に新たに接続されると、その加入者端末１は同一リンク上の機器に対して、ルータ発見メッセージ（ＲＳ）を発信する。このルータ発見メッセージ（ＲＳ）は、レイヤ２スイッチ３を介して、ルータ装置２に到達する。
ルータ装置２は、このルータ発見メッセージ（ＲＳ）の発信元である加入者端末１に対して、ＩＰｖ６アドレスの上位６４ビット（プレフィクス）を含むルータ広告（ＲＡ）を返信する。
これにより、加入者端末１はネットワーク接続に際して、ＩＰｖ６アドレスの上位６４ビットを取得することができる。

（２）アドレス重複検出（Duplicated Address Detection）
加入者端末１は、自身のＭａｃアドレスを加工するなどして、ＩＰｖ６アドレスの下位６４ビット（インターフェースＩＤ）を生成する。加入者端末１は、このように完成したＩＰｖ６アドレス（図２に示す『Ａ』）を含む近隣要請メッセージ（ＮＳ）を、同一リンク上の機器に対して発信する。

この発信は、図２に示すように、リンク層通信が制限された別の加入者端末１には到達しない。しかしながら、ルータ装置２には、このような制限がないため、近隣要請メッセージはルータ装置２に必ず到達する。
このルータ装置２は、リンク上の加入者端末１について、ＩＰｖ６アドレスとＭａｃアドレスとの対応関係を保持し、近隣キャッシュ（Neighbor Cache）２ａとして管理している。ルータ装置２は、この近隣キャッシュ２ａを参照することで、重複確認を求められたＩＰｖ６アドレスが、別の加入者端末１において既に使用中か否かを判定する。

このとき、ＩＰｖ６アドレスが既に使用中であり、アドレス重複が明らかになった場合、ルータ装置２は、別の加入者端末１に代わって、アドレス重複を知らせる近隣広告メッセージ（ＮＡ）を、ＮＳの発信元に返信する。
一方、ＩＰｖ６アドレスが現在未使用中であれば、ルータ装置２は、図２に示すように近隣広告メッセージ（ＮＡ）を返信せずに沈黙する。

このようなルータ装置２の動作により、加入者端末１側では、自動作成したＩＰｖ６アドレスの重複を確認することができる。
なお、ルータ装置２は、アドレス重複がないことを確認すると、近隣キャッシュ２ａ内に、このＩＰｖ６アドレスを持った加入者端末１を新規エントリーとして登録することが好ましい。この動作により、近隣キャッシュを最新の状態に更新することができる。

また、加入者端末１は、近隣広告メッセージ（つまりアドレス重複）を受けることにより、プライベートＶＬＡＮでありながら、別の加入者端末１のＩＰｖ６アドレスを知ってしまう。このような状態は、プライバシーやセキュリティ上の問題を生じる。
この問題を避けるため、ルータ装置２は、近隣広告メッセージの発信に伴って、ＩＰｖ６アドレスを既に使用中の加入者端末１に対し、ＩＰｖ６アドレスの変更を促すことが好ましい。
この場合、２つの加入者端末１は、ほぼ同時にＩＰｖ６アドレスを変更することになる。その結果、プライベートＶＬＡＮにおけるＩＰｖ６アドレスの秘匿状態を維持することが可能になる。

（３）アドレス解決（Address Resolution）
同一リンク内での通信には、通信相手のＭａｃアドレスが必要となる。
そこで、加入者端末は、同一リンク上の機器に対して、相手先のＩＰｖ６アドレス（図２に示す『Ｂ』）を発信し、対応するリンク層アドレスを要求する。
この要求メッセージも、図２に示すように、リンク層通信がデフォルトで制限された加入者端末１には到達しない。ルータ装置２は、この加入者端末１に代わって、要求メッセージを受け付ける。
すなわち、ルータ装置２は、近隣キャッシュ２ａを参照することにより、ＩＰｖ６アドレスに対応するＭａｃアドレス（図２に示す『ｂ』）を得る。ルータ装置２は、このＭａｃアドレスを、要求メッセージの発信元である加入者端末１に返信する。この動作により、加入者端末１は、通信相手のＭａｃアドレスを知ることができる。

（４）近隣ノード非到達性検出（Neighbor Unreachability Detection）
ルータ装置２は、近隣キャッシュ２ａの各エントリーにタイマー情報を付加して管理する。このタイマー情報から一定期間が過ぎたものについて、ルータ装置２は、加入者端末１に対して非到達性を随時に確認し、非到達性の確認されたエントリーを近隣キャッシュ２ａ内から消去する。このような動作により、ルータ装置２の近隣キャッシュ２ａには、加入者端末１の現在の接続状況が随時に反映される。

一方、加入者端末１においても、アドレス解決で取得した情報にタイマー情報を付加して管理する。このタイマー情報により一定期間が過ぎたものについて、加入者端末１は非到達性の確認メッセージを発信する。
この確認メッセージは、リンク層通信の制限によって、確認対象の加入者端末１に到達するとは限らない。ルータ装置２は、この確認対象の加入者端末１に代わって、確認メッセージを受け付ける。

すなわち、ルータ装置２は、近隣キャッシュ２ａ内に、非到達性の確認対象であるＩＰｖ６アドレス（図２に示す『Ｃ』）が存在するか否かを判断する。
近隣キャッシュ２ａに存在する場合、ルータ装置２は、確認メッセージの発信元に対して到達可能を通知する。
一方、近隣キャッシュ２ａ内に存在しない場合、ルータ装置２は、到達不能と判断し、確認メッセージの発信元に対して沈黙する。
このような動作により、加入者端末１では、非到達性の判定を行うことができる。

［本実施形態の効果］
以上説明したように、本実施形態では、リンク層通信が制限される状況下であっても、ルータ装置２が代理することによって、ＩＰｖ６の近隣探索プロトコル（Neighbor Discovery Protocol）を支障なく実施することが可能になる。

以上説明したように、本発明は、プライベートＶＬＡＮなどに利用可能な技術である。

本実施形態におけるプライベートＶＬＡＮの構成ブロック図である。 近隣探索代理方式を説明する図である。

符号の説明

１ 加入者端末
２ ルータ装置
２ａ 近隣キャッシュ
３ レイヤ２スイッチ
４ イーサネット（登録商標）
５ プライベートＶＬＡＮ

Claims (3)

1. 複数の加入者端末を収容するレイヤ２スイッチと、
   前記レイヤ２スイッチに接続され、前記加入者端末のＩＰｖ６アドレスとリンク層アドレスを近隣キャッシュによって管理するルータ装置と
   を備えたＶＬＡＮの近隣探索代理方式であって、
   前記加入者端末が、『アドレス解決』、『近隣ノード非到達性検出』、および『アドレス重複検出』の少なくとも１つの近隣探索プロトコルを実行すると、
   前記ルータ装置は、
   前記近隣キャッシュが管理する加入者端末のＩＰｖ６アドレス及びリンク層アドレスを参照して、前記近隣探索プロトコルに返答すべき別の前記加入者端末が存在するか否かを判定し、その別の加入者端末に代理して前記近隣探索プロトコルの返答を行う
   ことを特徴とするＶＬＡＮの近隣探索代理方式。
2. リンク層の接続性が無い複数の加入者端末を収容するＶＬＡＮに接続使用されるルータ装置であって、
   前記加入者端末のＩＰｖ６アドレスとリンク層アドレスとを近隣キャッシュによって管理する近隣管理部と、
   前記加入者端末が、『アドレス解決』、『近隣ノード非到達性検出』、および『アドレス重複検出』の少なくとも１つの近隣探索プロトコルを実行すると、前記近隣キャッシュ内の前記ＩＰｖ６アドレス及び前記リンク層アドレスを参照して、前記近隣探索プロトコルに返答する必要のある別の前記加入者端末が存在するか否かを判定する近隣判定部と、
   別の前記加入者端末が存在する場合、別の前記加入者端末に代理して前記近隣探索プロトコルの返答を行う返答代理部と
   を備えたことを特徴とするルータ装置。
3. 複数の加入者端末を収容するレイヤ２スイッチと、
   前記レイヤ２スイッチに接続され、前記加入者端末のＩＰｖ６アドレスとリンク層アドレスを近隣キャッシュによって管理するルータ装置と
   を備えたＶＬＡＮにおいて実施される近隣探索代理方法であって、
   前記加入者端末が、『アドレス解決』、『近隣ノード非到達性検出』、および『アドレス重複検出』の少なくとも１つの近隣探索プロトコルを実行すると、
   前記ルータ装置が、前記近隣キャッシュが管理する加入者端末のＩＰｖ６アドレス及びリンク層アドレスを参照して、前記近隣探索プロトコルに返答すべき別の前記加入者端末が存在するか否かを判定し、その別の加入者端末に代理して前記近隣探索プロトコルの返答を行う
   ことを特徴とするＶＬＡＮの近隣探索代理方法。

Images