JP2006501757A - アクセスネットワークに接続されるホストの分離 - Google Patents

Abstract

アクセスネットワークに接続されているホスト（５、Ａ、Ｂ）間の直接通信を防止するための、アクセスネットワークにおける方法及び装置である。この方法は、ホストからスイッチに到来するトラフィックがアクセスルータに渡されるように、スイッチ（３、１２、１２’、３５、３６、３７、８３）内において、仮想ローカルエリアネットワークであるＶＬＡＮを定義するステップと、かつスイッチ内で、かつアクセスルータからホストへのダウンリンクトラフィックに対する非対称ダウンリンクＶＬＡＮを定義するステップとを備え、このダウンリンクＶＬＡＮは、アクセスネットワークに接続されるホストに共通している。本発明に従えば、この方法は、更に、アクセスネットワークに接続されるホストが、同一のＩＰサブネットに属するように、ＶＬＡＮを構成するステップと、かつアドレス解決プロトコルプロキシとなり、かつイントラサブネットルーティングを実行するように、アクセスルータを構成するステップとを備える。

Description

本発明の技術分野
本発明は、アクセスネットワークに接続されているホスト間の直接通信を防止するためのアクセスネットワークにおける方法及び装置に関するものである。

本発明の背景
本発明は、イーサネットアクセスネットワークの分野に関するものである。イーサネットとＩＥＥＥ８０２．３は同一のものではなく、「イーサネット」という用語を、イーサネットあるいはＩＥＥＥ８０２．３を示すために使用するのは、ここでは、いくぶん不適切である。アクセスネットワークは、プレーンイーサネットワーク、あるいは、固定イーサネットワークと、ＷＬＡＮ（無線ＬＡＮ）技術であるＩＥＥＥ８０２．１１（たいていは、ＩＥＥＥ８０２．１１ｂ）を使用する無線部分の組み合わせであり得る。本発明の主な対象は、パブリックアクセスネットワークであるが、企業の無線アクセスネットワークに適用することもできる。図１では、すべてが固定のイーサネットアクセスネットワークを示しており、図２では、イーサネットとＷＬＡＮを組み合わせたアクセスネットワーク（即ち、ＷＬＡＮアクセスネットワーク）を示している。図１のアクセスネットワークは、スイッチ３に接続されるアクセスルータ１を備え、このスイッチ３は、６つの下位スイッチ４に接続されている。５つのホスト５が、下位スイッチ４のそれぞれに接続されている。すべての接続が、ここでは、イーサネット接続である。図２のアクセスネットワークは、スイッチ３に接続されるアクセスルータ１を備え、このスイッチは６つのアクセスポイントであるＡＰ７に接続されている。５つのホスト５が、ＷＬＡＮを介して、無線でＡＰのそれぞれと接続されている。アクセスルータ１、スイッチ３及びＡＰ間の接続は、イーサネット接続である。

本明細書の内容においては、ホストは、ＩＰプロトコルと、イーサネット及びＷＬＡＮ（ＩＥＥＥ８０２．１１）のどちらかあるいはその両方を使用して通信することができるが、あるノードから別のノードへはデータ（パケットあるいはフレーム）を転送しない装置として定義される。

ホストの典型例は、イーサネットインタフェースカードを備えるＰＣ、あるいはＷＬＡＮ ＰＣＭＣＩＡカードを備えるラップトップであり、どちらもＩＰプロトコルスタックを含むオペレーティングシステムを備えている。

本明細書の内容において、アクセスネットワークは、１つ以上のアクセスルータとノードとを備え、かつアクセスルータ（群）と１つ以上のホスト間の接続性（connectivity）を提供する接続を備えるものとして定義され、このホストは、アクセスネットワークに接続されるものであり、この接続性は、ルータ越え（router traversals）が発生しないで達成される。

図１及び図２の例は、１つで、かつ同一のアクセスネットワークに属するホスト以外の部分の全てを示している。図１及び図２のアクセスネットワークが、スイッチに接続される、１つ以上あるいは複数のアクセスルータ（群）を備えることも可能となる。

より近年で、益々注目されていることは、パブリックエリア内でさえも、イーサネットをアクセス技術として与えていることである。この技術の単純性及び随所性（ubiquity）は、十分に実証され、かつ容易に構成されるブローバンド機能と、低価格帯の装置の類の特徴でもって、オペレータに魅力あるものとしている（lure）。イーサネットに対する無線の拡張である、ＩＥＥＥ８０２．１１は、ＷＬＡＮとして広く知られており、また、これは、公共の場（public sector）でのセルラーネットワーク（多くは、ＩＥＥＥ８０２．１１規格（flavour））を補完する高速アクセスを取り扱っている。ＷＬＡＮという用語は混同されやすく、これは、ＩＥＥＥ８０２．１１とハイパーＬＡＮ（ハイパーＬＡＮあるいはハイパーＬＡＮ／２）のどちらかを示すために（人によって）使用されるからである。本明細書では、ＷＬＡＮという用語は、常に、ＩＥＥＥ８０２．１１を言及するものである。また、ＩＥＥＥ８０２．１１については、「無線ＬＡＮ媒体アクセス制御（ＭＡＣ）及び物理レイヤ（ＰＨＹ）仕様書」を参照されたい。ＷＬＡＮアクセスネットワークは、ＩＳＰ（時には、無線ＩＳＰ、ＷＩＳＰと呼ばれる）によって、あるいは、ホットスポットでの自身のセルラーアクセスを補完することを希望するセルラー（ＧＳＭ／ＧＰＲＳ／ｃｄｍａＯｎｅ／３Ｇ）オペレータによって、あるいは、ホテルやショッピングモールのようなかなり局所的な事業体でさえにもよって制御することができる。

しかしながら、イーサネットもＩＥＥＥ８０２．１１も、公衆アクセス用には設計されていない。これらは、どちらも企業用ネットワーク用に設計されている。従って、これらの技術の本来の特性のいくつかが、公衆アクセス用にはあまり適していないことは驚かされることではない。企業ネットワークでは、すべてのユーザが、互いに信頼があると想定できるものである。これは、公衆ネットワークとはかなり異なる状況であり、この状況では、デフォルトの想定として、各ユーザが他のユーザのだれをも信頼していないとするべきである。ブロードキャスト／ランダムアクセス（イーサネット用ＣＳＭＡ／ＣＤと、ＷＬＡＮ用ＣＳＭＡ／ＣＡ）のパラダイムは、単純性という利点を持っているが、これは、信頼性のある環境で使用されるべきであることが好ましいことは自明なことである。この状況は、ＩＰアドレスとＭＡＣ（ハードウェア）アドレス間を解決するために使用されるＡＲＰ（アドレス解決プロトコル）についても同様であり、その単純性は創意工夫に富んでいるが、信頼性のない環境での悪意の攻撃に対しても広く解放されてしまっている。また、他のメカニズム、例えば、ブロードキャストルータ通知（broadcast router advertisements）は、公衆環境でのセキュリティリスクをもたらす。

悪意のあるユーザによって行われる最も明確なタイプの攻撃は、いわゆる、リダイレクション攻撃と中間者攻撃（man-in-the-middle attack）がある。単純な形態の中間者攻撃は、不正なＡＲＰリプライに基づいている。ホストＡのＭＡＣアドレスのサーチにおいて、ＡＲＰリクエストがブロードキャストされると、不正なユーザによって制御されているホストＢが、ホストＡに代って自身のＭＡＣアドレスをリプライする可能性がある。続いて、ＩＰパケットがホストＡに代ってホストＢに送信される。次に、ホストＢは、そのパケットをホストＡに送信し、ホストＡがその応答として任意のパケットを送信すると、ホストＢはそれを本来の要求元の受信機へ送信する。このように、通信経路の途中で自身を置き換えることによって、ホストＢの不正なユーザは、ホストＡのユーザが知らないところで、ホストＡの通信を監視することができる。ホストＡのユーザは、たいていは、この構成についてはひどく不満を持っている。

リダイレクション攻撃の例には、いわゆる「不正ルータ」攻撃がある。不正ルータ攻撃を行うために、不正なユーザは、自身のコンピュータ（ホストＢ）をネットワークに接続し、不正ルータ通知の送信を開始する。次にネットワーク（ホストＡを使用して）に接続する別のユーザは、不正ルータ通知を受信すると、自身のログイン信用証明（credential）を、正規のアクセスルータに代ってホストＢに送信する可能性がある。この不正なユーザは、ホストＡへ多くの証明要求（authentication challenge）を送信することによってシークレット証明キーをクラックする、あるいは、クリアテキストで送信されるユーザ名とパスワードを簡単に「借用」する構成を使用することができる。より多くの使用の策略を行うために、ホストＢの不正ユーザは、正規なルータのログイン信用証明を送信して、そのルータからのリプライを傍受して送信することを選択することができる。これは、リダイレクション攻撃から中間者攻撃となる。

上述のような攻撃は、同一のアクセスネットワークに接続されている２つのホスト間での直接通信機能に依存している。つまり、これらは、無制限ブロードキャストアクセスネットワークに依存しており、この無制限ブロードキャストアクセスネットワークは、アクセスルータによって制御されないホスト間通信（host-to-host communication）を可能にする。このような無制限ローカルホスト間通信は、公衆環境で、別の問題をもたらす：無料（uncharged）及び未許可の少なくとも一方のトラフィックに対して解放されている。この種のローカルトラフィックはアクセスルータを通過しないので、従量式の課金に適用できず、固定レートのみが選択される。また、クライアントとアクセスルータ（公衆ＷＬＡＮアクセスネットワークで多かれ少なかれ必要とされる）間で、証明（及び許可）処理が使用される場合、この処理はローカルトラフィックに対して容易に回避される、これによって、不法ユーザがアクセスネットワークで通信することを防止することができる。

結論としては、ホスト間の直接通信は許可されるべきでなく、かつアクセスルータは、アクセスネットワーク内のすべてのトラフィック発信及び終了の少なくとも一方の制御下にあるべきであることである。そうでなければ、セキュリティが危うくなり、柔軟な課金方法が妨げられ、かつ（無線）アクセスネットワークが不法ユーザに対して解放されてしまう。必要とされることは、ユーザを互いに分離し（それらがネットワークに接続され、かつブロードキャスト技術を元々採用しているとしても）、かつアクセスルータを、イントラアクセスネットワークトラフィックの制御下にすることを可能にするメカニズムである。

仮想ＬＡＮ（ＶＬＡＮ）の概念
本明細書で概説される本発明のソリューションは、仮想ＬＡＮ（ＶＬＡＮ）メカニズムの効率的な使用を実現するものであり、ＶＬＡＮの概念の一般的な理解は、本発明のソリューションの理解を容易にする。ＶＬＡＮの概念は、ＩＥＥＥ８０２．１Ｑ、「仮想ブリッジ化ローカルエリアネットワーク」で説明されている。ＶＬＡＮは、交換（switched）イーサネットＬＡＮインフラストラクチャによって定義される物理的なブロードキャストセグメントの論理的な制限である。同一の物理的なブロードキャストセグメント上にいくつかのＶＬＡＮが重複して存在しても良いが、基幹の媒体の物理的な特性に関わらず、フレームは、あるＶＬＡＮから別のＶＬＡＮへは流出しない。ＶＬＡＮ間通信（Inter-VLAN communication）は、ＩＰ転送を介して処理されなければならない。

フレームタギング（タグ付け：tagging）
どのＶＬＡＮにフレームが属しているかを判定するために、「タグヘッダ」が通常のイーサネットフレームヘッダに付加される。このタグヘッダは、１２ビットのＶＬＡＮタグ形式のＶＬＡＮアイデンティティを含んでいる。ＶＬＡＮタグは、転送対象のフレームがどのポート（群）を介するかを判定するために、ＬＡＮ内のスイッチによって使用される。このメカニズムに加えて、スイッチ内の通常のＭＡＣアドレス学習処理が、単一のポートへの転送に（あるいは、宛先ホストが、フレームが到来するＬＡＮセグメント上に配置されていることを知っている場合には、どのポートにも転送しないように）制限することができる。この規格は、ＶＬＡＮ ａｗａｒｅである（ＶＬＡＮを認識する）ホストを除外しない、このような機能は、既存のホストコンピュータでは存在しない（あるいは、少なくともかなりまれである）。このように、ＶＬＡＮタグが付加されたフレームは、典型的には、スイッチ間でのみ使用され、また、タグヘッダは、フレームがその宛先ホストへ送信される前に取り除かれる。同様に、ホストは、タグヘッダなしでフレームを送信し、また、そのタグヘッダは、適切な時に、経路内の最初のスイッチによって付加される。

ＶＬＡＮ分類
スイッチはどのようにして、タグが付加されていない（untagged）受信フレームにどのＶＬＡＮタグを付加するのであろうか？このＶＬＡＮ分類は、スイッチ内で定義される入場ルール（ingress rule）によって決定される。これらの入場ルールは、理論的には、どのようなものでもたいていは定義することができるが、実際には、いくつかの原理が使用される。ＩＥＥＥ８０２．１Ｑは、ＶＬＡＮ分類のいくつかの例を示している：
・ポートに基づくＶＬＡＮ分類
・プロトコルに基づくＶＬＡＮ分類
・サブネットに基づくＶＬＡＮ分類
・ＭＡＣアドレスに基づくＶＬＡＮ分類
ポートに基づく分類の単純なルールは、あるポートで受信された、タグが付加されていないフレームのすべてが、あるＶＬＡＮに属していると分類することである。一方、プロトコルに基づく分類は、次のレイヤプロトコル（例えば、ＩＰあるいはＩＰＸ）に基づいてＶＬＡＮタグを選択する、この次のレイヤプロトコルはフレーム内で搬送される。サブネットに基づく分類が使用される場合、スイッチは、受信フレームのＩＰサブネットアドレス指定特性に基づいて、ＶＬＡＮタグを選択する。ＭＡＣアドレスに基づく分類を用いると、ＭＡＣアドレスのセットは、あるＶＬＡＮアイデンティティに関連付けられる。次に、ＶＬＡＮタグは、タグが付加されていない受信フレームのソースＭＡＣアドレスに基づいて選択される。ＭＡＣアドレスに基づく分類は、ＩＥＥＥ８０２．１Ｑで定義されるプロトコルを使用して、あるＶＬＡＮ内の自身のメンバーシップを通知することができる。

実際には、ポートに基づくＶＬＡＮが、随所で実施されている唯一の分類原理である。ポートに基づくＶＬＡＮは、どのような進歩的なソリューションに基づいているかであり、以下では、「ＶＬＡＮ」という用語は、常に、ポートに基づくＶＬＡＮを示すものとする。

ポートに基づくＶＬＡＮは、以下の属性によってスイッチ内で完全に定義される：
・ＶＬＡＮアイデンティティ
・メンバーセット
・タグが付加されていないセット（untagged set）
・ポートＶＬＡＮ識別子（ＰＶＩＤ）の割当
ＶＬＡＮアイデンティティはＶＬＡＮのアイデンティティであり、これは、ＶＬＡＮタグに相当し、これは、ＶＬＡＮに属するフレームのタグヘッダ内に含まれている。メンバーセットは（関係するスイッチ内の）ポートのセットであり、このポートのセットを介して、関係するＶＬＡＮのアイデンティティでタグが付加された（tagged）フレームが送信される。タグが付加されていないセットは、メンバーセットのサブセットである、即ち、メンバーセット内のこれらのポートを介して、ＶＬＡＮに属するフレームはタグが付加されないで送信されるべきである。ポートのＰＶＩＤは、ポートに基づく分類が使用される場合に、タグが付加されていない受信フレームにどのＶＬＡＮタグを付加するべきかを決定するものである。従って、ポートに基づくＶＬＡＮ分類を採用するスイッチ内の各ポートは、それに関連付けられている、１つでかつ唯一のＰＶＩＤを持つべきである。

上述したように、これらの属性は、スイッチ内のＶＬＡＮを完全に定義する。この属性を操作することによって、異なるプロパティをＶＬＡＮに与えることができる。但し、これらが規格で示される属性であるとしても、スイッチ製造業者は、同一の用途を達成する他の属性を選択することもできる。また、スイッチ製造業者がユーザインタフェースの抽象化のレベルを上げることが広まっているので、個々の属性は不可視となる。これは、管理者による、ＶＬＡＮ構成処理を簡略化することができるが、操作することができる属性の柔軟性を低下させてしまう。

ＶＬＡＮ定義はスイッチに対して厳密なローカルであることに注意すべきである。複数のスイッチに跨るＶＬＡＮを構成するためには、管理者は、個々のスイッチを構成する場合に使用されるＶＬＡＮアイデンティティが、所望の方法で互いに一致することを確実にしなければならない。うまく構成される場合、相互接続されているスイッチは、調整された一貫性のある方法で、特定のＶＬＡＮタグを扱うことができる。

独立及び共有ＶＬＡＮ
スイッチ内の異なるＶＬＡＮ間のプロパティの別の識別は、それらが独立ＶＬＡＮあるいは共有ＶＬＡＮであるかである。最も広く使用されるタイプである独立ＶＬＡＮは、スイッチ内の各ＶＬＡＮに対して、別々のＭＡＣアドレス学習データベースを使用する（但し、少なくとも概念的には、このデータベースは、単一のデータベースとして実現されても良い）。これは、独立ＶＬＡＮ内のＭＡＣアドレス学習処理が互いに独立していることを意味する。

一方、共有ＶＬＡＮは、共通のＭＡＣアドレス学習データベース（少なくとも概念的には）を使用する。この結果、共有ＶＬＡＮ内で学習されるＭＡＣアドレスは、同一のＭＡＣアドレス学習データベースを使用して、他の共有ＶＬＡＮすべてにおいて自動的に学習される。

関連技術
従来のソリューションで知られているものは、仮想ＬＡＮ（ＶＬＡＮ）を利用するものがあり、これは、ＩＥＥＥ８０２．１Ｑで示されており、様々な方法で、互いにホストから分離している。

共通の特徴は、各ホストが自身のＶＬＡＮを取得することであり、このＶＬＡＮ内では、ホスト自身とアクセスルータのみがメンバーである。この基本構成においては、これが健全であることは、このソリューションに当てはまる。各ＶＬＡＮは、別々のＩＰサブネットである。アクセスルータは、すべてのＶＬＡＮのメンバーであり、ＶＬＡＮによって表現されるＩＰサブネット間の通常のＩＰルーティングを実行する。このような構成の結果、アクセスルータは、各ＶＬＡＮ（多数である場合がある）に対して１つのＩＰアドレスを持つ必要がある。（ＩＰアドレスのブロックは各ＶＬＡＮに割り当てられるべきであるが、ここでは、各ＶＬＡＮ内に１つのホストだけが存在すると仮定するので、このＩＰアドレスのブロックは、できるだけ少ない２つのアドレス（即ち、３１のサブネットマスク長）を含んでいる。）ＩＰアドレスは不十分なリソースであり、その結果、多数のＩＰアドレスがアクセスルータに割り当てなければならないという欠点がある。加えて、これらのＩＰアドレスとサブネットマスクのすべてを構成する時に関わる管理作業はかなりの量となる可能性がある。更なる欠点は、単一のブロードキャストメッセージで同時にすべてのホストへ到達することができないことである。それどころか、アクセスルータは、各ＶＬＡＮ（即ち、各ホスト）において、別々のメッセージを生成して、送信しなければならない。

各ＶＬＡＮ（即ち、アクセスネットワークに接続される各ホスト）に対するルータに１つのＩＰアドレスを割り当て、かつ各ＶＬＡＮにＩＰアドレスの１つのブロックを割り当てなければならないことを回避する方法は、ＶＬＡＮアグリゲーション（aggregation：統合）特性を使用することであり、これは、ＲＦＣ３０６９の、「効率的なＩＰアドレス割当に対するＶＬＡＮアグリゲーション」に記載されている。このＶＬＡＮアグリゲーションの概念では、スーパーＶＬＡＮ（super-VLAN）に属するサブＶＡＬＮ（sub-VLAN）の通知を導入している。各サブＶＬＡＮは別々のブロードキャストドメインに存在しているが、ＩＰアドレス指定の観点からは、同一のスーパーＶＬＡＮに属するすべてのサブＶＬＡＮは、単一のＩＰサブネットを構成し、かつ共通のデフォルトゲートウェイＩＰアドレスを使用する。このサブネットアドレス、サブネットマスク及びデフォルトゲートウェイアドレスは、スーパーＶＬＡＮ用に構成され、かつそれらは、サブＶＬＡＮによって「継承される」。スーパーＶＬＡＮ自身には、任意のトラフィックに対して使用されないという意味の「擬似ＶＬＡＮ」のラベルを付けることができる。つまり、ＶＬＡＮタグフィールド内にスーパーＶＬＡＮアイデンティティを持って送信されるフレームはない。従って、スーパーＶＬＡＮは、多かれ少なかれ構成トリックとなる。サブＶＬＡＮは別々のブロードキャストドメインであるので、それらが、同一のＩＰサブネットの一部であるとしてもであり、スーパーＶＬＡＮルータは、サブＶＬＡＮ間通信を可能にするために、ホストのＡＲＰメカニズムをサポートしなければならい。この「サポート」は、プロキシＡＲＰ（これは、ＲＦＣ９２５の、「マルチＶＬＡＮアドレス解決」で示されている）と同様のメカニズムの形態で表現される。これは、また、サブＶＬＡＮ間のＩＰパケットの転送を含んでいる。

各ホストに対するＶＬＡＮとのアクセスネットワークにおける、ＶＬＡＮアグリゲーション概念のマッピングは、「ホストＶＬＡＮ」のすべてがサブＶＬＡＮとなり、スーパーＶＬＡＮが構成目的用に定義され、かつアクセスルータがスーパーＶＬＡＮルータになることを単に意味する。

ＩＰアドレス構成はＶＬＡＮアグリゲーションの概念によってかなり簡略化されるが、ブロードキャストにおける制限は依然として残っている。つまり、サブネットワイドブロードキャストメッセージ（これは、極めて通常の機能である）、例えば、ルータ通知を用いてすべてのホストへ到達するためには、そのブロードキャストメッセージは、各サブＶＬＡＮで複製されなければならない。これは、処理リソースを消費するばかりか、アクセスルータの帯域幅を消費してしまう。

書込時には、ＶＬＡＮアグリゲーションの利用可能な構成だけがエクストリームネットワーク（Extreme Networks）からのスイッチに存在する。これは、サブＶＬＡＮとスーパーＶＬＡＮが内部に定義されているスイッチも、スーパーＶＬＡＮルータ（残念なことに）としなければならないという制約を持っている。この制約が概念における固有のものであるか、あるいは単なる設計事項であるかは不明である。

本明細書で提案される発明のソリューションに関連する別のソリューションには、ＩＥＥＥ８０２．１Ｑ、付録Ｂ、セクションＢ．１．３で説明される、非対称ＶＬＡＮの使用がある。このソリューションの目的は、アクセスネットワークに接続されている個々のホストを分離しない（かつ、ＶＬＡＮアグリゲーション特性の本来の目的ではない）ばかりか、ＬＡＮ上のホストあるいはホストのグループを互いに分離しない、一方で、共通のリソース、例えば、サーバへのアクセスは許容する。また、本発明のソリューションとの類似点は、それが関連技術で説明されることが与えられる（motivates）。このソリューションでは、各ホストあるいはホストのグループは、サーバへのフレーム送信に対し、ＶＬＡＮに基づいて自身が所有するポートを取得する、一方、共通のＶＬＡＮ（即ち、すべてのホストに対して共通）が、ホスト方向に対する、サーバ内のフレーム送信に対して使用される。ホスト間通信がどのようにして制御可能であるかについては説明されておらず、かつＩＰアドレス割当の問題についても言及されていない、これは、アクセスネットワーク観点からは明らかに問題となる。

「ホスト単位のＶＬＡＮ」の概念を採用するソリューションのすべてにおいて共通する問題は、これには、上述の従来のソリューションのすべてを含む、構成し、かつ維持するすべてのＶＬＡＮが、ネットワークのオペレータに対する管理負荷がかなりの量となることである。これは、特に、公衆イーサネットアクセスネットワークにおいては明らかであり、この場合、ホスト数は数千となる可能性がある。

上述の従来のソリューションのすべてに共通する別の問題は、数千万のホストを有するかなり大規模のアクセスネットワークには拡張できないことである。この理由は、ＶＬＡＮアイデンティティが貧弱なリソースであるからである。１２ビットのＶＬＡＮ識別子は、同一の物理的なブロードキャストドメイン内でのＶＬＡＮの数を４０９６までに制限している。

「ホスト単位のＶＬＡＮ」の概念の更なる欠点は、ＷＬＡＮアクセスネットワークで採用できないということである。この理由は、ホストに接続されているスイッチ上に、各ホストが自身の専用のポートを持つことが必要であるからである。これは、ＷＬＡＮアクセスネットワーク内の場合にはない、これは、各アクセスポイントが、任意数のホストを同時に処理するからである。

発明の要約
本発明の目的は、制御された方法で通信が可能ではあるが、ホストが互いに分離され、かつ関連技術の上述の問題を解決するアクセスネットワークを提供することである。

この目的は、アクセスネットワークにおける方法によって達成され、このアクセスネットワークは、アクセスルータ及び１つ以上のスイッチを備え、ここで、ホストは、スイッチを介してアクセスルータと通信接続されている。この方法は、ホストからスイッチに到来するトラフィックがアクセスルータに渡される（is forced）ように、スイッチ内で、仮想ローカルエリアネットワークであるＶＬＡＮを定義するステップと、スイッチ内で、非対称で、かつアクセスルータからホストへのダウンリンクトラフィックを搬送するダウンリンクＶＬＡＮを定義するステップを備えている。このダウンリンクＶＬＡＮは、アクセスネットワークに接続されるホストに共通している。この方法は、更に、アクセスネットワークに接続されるホストが、同一のＩＰサブネットに属するように、ＶＬＡＮを構成するステップと、アドレス解決プロトコルプロキシとなり、かつイントラサブネットルーティングを実行するように、アクセスルータを構成するステップとを備える。

この目的は、アクセスネットワーク内の装置（arrangement）でも達成される。この装置は、アクセスルータ、アクセスルータに接続される１つ以上のスイッチ、及びスイッチを介してアクセスルータと通信接続している１つ以上のホストを備える。このスイッチとアクセスルータは、上述の方法に対するものとして構成される。

これによって、アクセルルータを介してすべてのトラフィックが渡され、かつアクセスネットワークに接続されるホストが互いに直接通信することができない方法及び装置が達成される。また、１つのＶＬＡＮだけが、アクセスルータからのダウンリンクトラフィックに対して使用されるので、アクセスルータからのトラフィックのブロードキャストが効率的に実行される。また、ホストは同一のＩＰサブネットに属するので、ＩＰアドレスが節約される、これは、それぞれがＩＰサブネットを構成する多数のＶＬＡＮそれぞれに対するＩＰアドレスに代って、アクセスネットワーク内の自身のインタフェースに関連付けられているＩＰアドレスをアクセスルータだけが必要とするからである。アクセスルータは、イントラサブネットルーティングを実行する、これは、アクセスルータが受信したトラフィックを自身のアクセスネットワークへ変更して転送することを意味し、これは、単一のＩＰサブネットを構成する。また、アクセスルータは、ＡＲＰプロキシであり、これは、アクセスルータが、そのアクセスルータのアクセスネットワークに接続されるホストに代って、ＡＲＰリクエストに応答することを意味する。

一実施形態では、スイッチは、非対称で、かつホストからアクセスルータへのアップリンクトラフィックを搬送する１つのアップリンクＶＬＡＮを定義するように構成される、ここで、アップリンクＶＬＡＮは、アクセスネットワークに接続されるホストに共通している。これによって、ＶＬＡＮ構成は非常に単純となる、これは、２つのＶＬＡＮだけが使用され、かつ同一の構成（原理的には）がアクセスネットワーク内の各スイッチで繰り返されるからである。また、この実施形態は、固定アクセスネットワーク及びＷＬＡＮアクセスネットワークの両方に対して適用可能である。

本発明の別の実施形態では、固定アクセスネットワーク内のスイッチは、ホストそれぞれに対して、あるいはホストの１つ以上のグループそれぞれに対して、１つのアップリンクＶＬＡＮを定義するように構成され、このアップリンクＶＬＡＮは、ホストからアクセスルータへのアップリンクトラフィック対してのみ使用される。これによって、アクセスルータは、フレームを送信することができる加入者の識別として、受信フレームのＶＬＡＮタグを使用することができる。

本発明の変形では、固定アクセスネットワーク内のスイッチは、ホストそれぞれに対して、あるいはホストの１つ以上のグループそれぞれに対して、１つのアップリンクＶＬＡＮを定義するように構成され、このアップリンクＶＬＡＮは、ホストから前記アクセスルータへのアップリンクトラフィック対して使用され、かつこのアップリンクＶＬＡＮを、アクセスルータからホストへのダウンリンクユニキャストトラフィックを転送するように定義する。これによって、ダウンリンクユニキャストフレームが、自身の意図する宛先ホストだけに到達することが補償される。

ＷＬＡＮアクセスネットワークにおいて、スイッチは、アクセスポイントであるＡＰそれぞれに対して、あるいはＡＰの１つ以上のグループそれぞれに対して、１つのアップリンクＶＬＡＮを定義するように構成することができ、このアップリンクＶＬＡＮは、ＡＰからアクセスルータへのアップリンクトラフィックに対して使用される。これによって、アクセスルータに、送信側ホストについてのＶＬＡＮタグを介して明確な位置情報を提供することができる。

ＷＬＡＮアクセスネットワークにおいて、アクセスポイントであるＡＰは、ＡＰを組み込むようにダウンリンクＶＬＡＮとアップリンクＶＬＡＮを拡張することによって、あるいはＡＰの固有の構成機能を利用することによって、同一のＡＰに接続されるホスト間のＡＰを介する直接通信を防止するように適切に構成される。

ホストから送信される適切なフレームは、スイッチ内に、ＶＬＡＮとともに提供され、かつアクセスルータは、ＶＬＡＮ ａｗａｒｅとなるように構成される。これによって、位置情報を、ＷＬＡＮアクセスネットワーク内で上述のように取得することができ、かつＶＬＡＮタグを、固定アクセスネットワーク内でフレームを送信する加入者の識別として使用することができる。

好ましくは、ＶＬＡＮは、共有ＶＬＡＮとして構成される。これによって、ＶＬＡＮは、共通のＭＡＣアドレス学習データベースを使用する、即ち、ＭＡＣアドレス（どのスイッチポートにそれが接続されているかの観点においては）が１つのＶＬＡＮ内で学習される場合、これは、同一のＭＡＣアドレス学習データベースを共有する他のＶＬＡＮすべてにおいても自動的に学習される。

アクセスルータは、ユーザ証明処理中に、あるいはＩＰ割当処理中のどちらかで、ホストからアドレスマッピング情報を検索することができる。これによって、アクセスルータは、ＡＲＰプロキシとして動作することができる。

アクセスネットワークは、１つ以上のアクセスルータを構成することができる。

実施形態の詳細説明
基本的には、２種類のソリューションが存在する。どちらも、ホストの分離を提供するための非対称ＶＬＡＮの概念に基づいている。加えて、アクセスルータを介して、アクセスネットワーク内のホスト間通信を制御する方法を説明する。どちらの形態でも、アクセスルータとすべてのホストは、同一で、かつ単一のＩＰサブネットに属している。

第１実施形態：２つの非対称ＶＬＡＮ
この形態では、２つの非対称ＶＬＡＮだけを使用して、ホストの数に関係なく、ホスト間を分離する。これは、ＶＬＡＮ構成をかなり簡単にし、かつスケーラブルにする。

２つの非対称ＶＬＡＮの内の１つは、アップリンク（ホストからアクセスルータへの）トラフィック用に使用される、もう１つは、ダウンリンク（アクセスルータからホストへの）トラフィック用に使用される。概念的には、２つのＶＬＡＮは、図３ａ及び図３ｂと、図４ａ及び図４ｂで示すことができる。図３ａは、固定アクセスネットワークにおけるアップリンクＶＬＡＮを示している。アクセスルータ１１は、スイッチ１２に接続されている。スイッチ１２は、２つのホストＡ及びＢに接続されている。矢印は、許容されているトラフィック経路を示している。このアップリンクＶＬＡＮにおいては、ホストＡ及びＢからアクセスルータ１１へのアップリンクトラフィックのみが許容されている。また、アップリンクＶＬＡＮは、ホストＡ及びＢからスイッチ１２に受信されるトラフィックのすべてが、アクセスルータ１１へ転送されなければならいように、即ち、ホスト間の直接通信がなされないように定義されている。図３ｂは、図３ａの同一のアクセスネットワーク内のダウンリンクＶＬＡＮを示している。矢印は、許容されているトラフィック経路を示している。

図４ａは、ＷＬＡＮアクセスネットワーク内のアップリンクＶＬＡＮを示している。アクセスルータ１１’は、スイッチ１２’に接続されている。スイッチ１２’は、２つのアクセスポイントＡＰ１４及び１５に接続されている。ホストＡ及びホストＢは、ＡＰ１４及び１５と無線で通信する。また、ここでの矢印は、図３ａで示されるものと同様に、許容されているトラフィック経路を示している。図４ｂは、図３ｂにかなり類似している、即ち、矢印は、ダウンリンクＶＬＡＮ内で許容されているトラフィック経路を示している。

図３及び図４は、ホスト、アクセスルータ及び、ＷＬＡＮの場合にはアクセスポイントを含むようなＶＬＡＮを示しているが、ホストは、完全なＶＬＡＮ ｕｎａｗａｒｅである（ＶＬＡＮを認識していない）と想定している、即ち、ホストは、タグが付加されていないイーサネットフレームのみを処理することに注意すべきである。また、ＷＬＡＮの場合のアクセスポイント（ＡＰ）は、ＶＬＡＮ ｕｎａｗａｒｅであると想定している。このアクセスルータは、ＶＬＡＮ ａｗａｒｅである、あるいはＶＬＡＮ ｕｎａｗａｒｅである。おそらく、実際のＶＬＡＮが、アクセスネットワーク内で送信されるタグが付加されているフレームを持たないスイッチ内に存在することはない。また、スイッチ内ＶＬＡＮの効果は、図３及び図４で示されることである。このＶＬＡＮは、ポートに基づくＶＬＡＮであり、また、フレームの分類は、上述したように、スイッチ内で定義されるＶＬＡＮパラメータに基づいている。

上述の２つの非対称ＶＬＡＮを達成するために、スイッチ内で必要とされるパラメータ定義は、図５を参照して説明される。この図は、本質的には、図３及び図４と同一である。アクセスルータ１１／１１’は、スイッチ１２／１２’に接続されている。スイッチ１２／１２’は、第１ポート１８、第２ポート１９及び第３ポート２０を備えている。アクセスルータ１１／１１’は、スイッチ１２／１２’の第１ポート１８に接続されている。また、第１ホストＡ、あるいはＷＬＡＮの場合の第１ＡＰ１４は、スイッチ１２／１２’の第２ポート１９に接続されていて、また、第２ホストＢあるいは第２ＡＰ１５は、スイッチ１２／１２’の第３ポート２０に接続されている。本発明の実施形態では、第１ＶＬＡＮであるＶＬＡＮ１は、スイッチ１２／１２’の第２ポート１９及び第３ポート２０に到来するトラフィックのすべてに割り当てられる、即ち、第２ポート１９及び第３ポート２０のＰＶＩＤはＶＬＡＮ１である。第１ポート１８のＰＶＩＤはＶＬＡＮ２に置き換わっている、即ち、スイッチ１２／１２’の第１ポート１８で受信される、タグが付加されていないトラフィックのすべては、第２ＶＬＡＮであるＶＬＡＮ２に割り当てられる。また、２つのＶＬＡＮ用のメンバーセットは：ＶＬＡＮ１：第１ポート１８、ＶＬＡＮ２：第２ポート１９及び第３ポート２０である。タグが付加されていないセットは、本実施形態では、同一のメンバーセットである、即ち、すべてのトラフィックは、タグが付加されずにスイッチ１２／１２’から送信される。

より汎用的な用語としては、図５のパラメータ定義は、スイッチ１２／１２’によって受信される（ＷＬＡＮの場合は、ＡＰを介して）アップリンクフレーム（ユニキャストあるいはブロードキャスト）は、アクセルルータ１１／１１’へのポート１８を介してのみスイッチ１２／１２’に存在できることを意味する。この理由は、タグが付加されていない受信フレームがアップリンクＶＬＡＮであるＶＬＡＮ１（受信ポートのＰＶＩＤパラメータによって示される）に属するように分類され、かつアップリンクＶＬＡＮ内のメンバーポートのみ（即ち、アップリンクＶＬＡＮフレームが転送される可能性がある場合に介するポートのみ）が、アクセスルータ１１／１１’へのポート１８であるからである。

アクセスルータ１１／１１’からスイッチ１２／１２’に到来するフレームに対しては、この状況はいくらか異なる。フレームは、ダウンリンクＶＬＡＮであるＶＬＡＮ２に属するように分類されるが、フレームが転送されるべき場合に介するポート（あるいはポート群）は、一義的である必要はない。フレームがブロードキャストフレームである場合、それはすべてのメンバーポート、即ち、アクセスルータ向けのポート１８以外のすべてのポートを介して転送されることになる。フレームがユニキャストフレームである場合、スイッチ１２／１２’は、どのポートを介してフレームが転送されるかを判定するために、自身のＭＡＣアドレス学習データベースを制御する。フレームの宛先ＭＡＣアドレスがＭＡＣアドレス学習データベースで検出されない場合、フレームは、メンバーポート１９及び２０のすべてを介して流出される、これは、ブロードキャストフレームである場合である。

ホストから受信されるアップリンクフレーム（ＷＬＡＮの場合は、ＡＰを介して）は、常に、タグは付加されない。（どちらの方向でも）スイッチ１２／１２’とアクセスルータ１１／１１’間のフレームは、タグが付加されるあるいはタグが付加されない、これは、アクセススータ１１／１１’がＶＬＡＮ ａｗａｒｅ、あるいはＶＬＡＮ ｕｎａｗａｒｅであるからである。この場合、ＶＬＡＮタグは有用な情報を提供しないので、単純な選択としては、スイッチ１２／１２’とアクセスルータ１１／１１’（両方向において）間ではタグが付加されていないフレームを使用することである。

この構成に対して意図する動作を実行するために、２つの非対称ＶＬＡＮは、共有ＶＬＡＮとしなければならない。この理由は、ダウンリンクＶＬＡＮ内のダウンリンクフレームの効率的な処理を必要とするＭＡＣアドレス学習データベースが、アップリンクＶＬＡＮのＭＡＣアドレス学習処理に依存するからである。これは、ソースアドレスとするホストＭＡＣアドレスを搬送するフレームが、アップリンクＶＬＡＮ内のみで送信されるからである。

ＷＬＡＮの場合、上述のＶＬＡＮ構成は、異なるＡＰに関連付けられているホスト間の直接通信を防止するが、同一のＡＰに関連付けられているホスト間の（ＡＰを介する）通信は防止しない。従って、ＷＬＡＮの場合、ＶＬＡＮ構成は、同一のＡＰに関連付けられているホスト間のホスト間通信を防止するメカニズムで補完されるべきである。これを達成するための方法の１つは、非対称ＶＬＡＮ構成をＡＰまで拡張することである。これについては、図６で示される。スイッチ１２’は、ＡＰ１４に接続されている。ＡＰ１４は、２つのホストＡ及びＢが無線で接続される第１ポート２７と、スイッチ１２’に接続されている第２ポート２８を備えている。第１ＶＬＡＮであるＶＬＡＮ１のメンバーセットは第２ポート２８であり、第１ポート２７のＰＶＩＤはＶＬＡＮ１である、即ち、第１ポート２７で受信されるトラフィックのすべては、ＰＶＩＤ ＶＬＡＮ１が与えられ、それによって、第２ポート２８に転送される。これによって、すべてのトラフィックはスイッチに渡され（forced up）、そのスイッチから、更に、アクセスルータへ渡され、ホストＡ及びＢは、互いの直接通信が防止される。また、第２ＶＬＡＮであるＶＬＡＮ２のメンバーセットは第１ポート２７であり、第２ポート２８のＰＶＩＤはＶＬＡＮ２である、即ち、第２ポート２７で受信されるトラフィックのすべては、ＰＶＩＤ ＶＬＡＮ２が与えられ、それによって、ＶＬＡＮ２内のメンバーポートのみである第１ポート２７に転送される。

しかしながら、ＷＬＡＮ ＡＰが、ＶＬＡＮ ａｗａｒｅであるという想定はできない（即ち、それは、ＶＬＡＮのタグが付加されたフレームを処理することができる）。別の方法には、ＡＰの固有の構成機能を使用して、ＡＰを介するホスト間通信を防止するものがある。

説明を簡単にするために、ここまでで使用される構成の例は、単一のスイッチのみを備えるかなり簡単なアクセスネットワークとしている。しかしながら、１つがアップリンクトラフィック用でもう１つがダウンリンクトラフィック用である、２つの非対称ＶＬＡＮを使用する原理は、ツリー構造の複数のスイッチを備えるアクセスネットワークに容易に拡張することができる。同一のＶＬＡＮ構成と、パラメータ定義は、各スイッチで簡単に再使用される。このスイッチは、自身間でタグが付加されているフレームですら使用しなければならないことはない。図７では、ツリー構造内の３つのスイッチを使用するアクセスネットワークに対して、同一の原理が示されている。アクセスルータ１１’’は、第１スイッチ３５内の第１ポート３１に接続されているように示されている。第２スイッチ３６は、第１スイッチ３５の第２ポート３２に接続されている。第２スイッチ３６は、第１ポート３８、第２ポート３９及び第３ポート４０を備えていて、かつこれは、自身の第１ポート３８を介して第１スイッチ３５に接続されている。第３スイッチ３７は、第１スイッチ３５の第３ポート３３に接続されている。第３スイッチ３７は、第１ポート４１、第２ポート４２及び第３ポート４３を備えていて、かつ自身の第１ポート４１を介して第１スイッチ３５に接続されている。ホストＡ（あるいはＷＬＡＮの場合は第１ＡＰ４５）は、第２スイッチ３６の第２ポート３９に接続され、ホストＢ（あるいは第２ＡＰ４６）は、第２スイッチ３６の第３ポート４０に接続され、ホストＣ（あるいは第３ＡＰ４７）は、第３スイッチ３７の第２ポート４２に接続され、ホストＤ（あるいは第４ＡＰ４８）は、第３スイッチ３７の第３ポート４３に接続されている。第２ポート３２、３９及び４２と、第３ポート３３、４０及び４３のすべてに対するＰＶＩＤはＶＬＡＮ１であり、第１ポート３１、３８及び４１のすべてに対するＰＶＩＤはＶＬＡＮ２である。また、ＶＬＡＮ１に対するメンバーセットは第１ポートであり、ＶＬＡＮ２に対するメンバーセットは第２及び第３ポートである。これによって、例えば、第２スイッチ３６の第２ポート３９で受信されるトラフィックのすべては、ＰＶＩＤ ＶＬＡＮ１で与えられ、かつ第２スイッチ３６の第１ポート３８を介して転送される、これは、ＶＬＡＮ１内のメンバーポートだけが第１ポートであるからである。第２スイッチ３６の第１ポート３８から送信される場合、トラフィックは、第１スイッチ３５の第２ポート２３で受信される。ここで、トラフィックにＰＶＩＤ ＶＬＡＮ１が与えられると、そのトラフィックは、第１スイッチ３５の第１ポート３１を介して、アクセスルータへ転送される。これによって、ホストＡ、Ｂ、Ｃ及びＤからのトラフィックすべてがアクセスルータ１１’’に渡され、かつ直接通信が防止される。すべてのトラフィックが、タグが付加されずに、適切に送信される。

制御されたホスト間通信の実現
上述のＶＬＡＮ構成を用いると、通常のイントラサブネットでのホスト間の直接通信が防止される（これは、目的となっている）。ホストとアクセスルータ間と、アクセスルータとホスト間の直接通信だけも実現することができる。

共有メディアネットワークである、イーサネットＬＡＮにおいて、イントラサブネットＩＰ通信はＡＲＰプロトコルに基づいている、これは、ブロードキャストメカニズムに依存している。通常は（ホスト間が構成を妨げることなしに）、ホストＡが、同一のアクセスルータに接続されているホストＢとの通信を行いたい場合には、これは、同一のＩＰサブネットに配置されているホストＢのＩＰアドレスから導出される。従って、ホストＡは、ホストＢのＩＰアドレスを含むＡＲＰリクエストをブロードキャストすることによって、ホストＢのＭＡＣアドレスの検索を試行する。しかしながら、ホスト間通信の防止メカニズムによって、ホストＢは、ＡＲＰリクエストを決して受信することはなく、その結果、ホストＡは、ホストＢのＭＡＣアドレスを検索することはできない。このデッドロックは、解決されなければならない。

これを解決するための方法は、接続されているホストに対し、変更されたＡＲＰプロキシエージェントとして、アクセスルータを動作させることである。（ここで、「変更された」という表現を使用しているのは、このＡＲＰプロキシの機能が、ＲＦＣ９２５の「マルチＬＡＮアドレス解決」の説明されているものから派生するからである）ＡＲＰプロキシエージェントとして、アクセスルータは、自身のサブネット上のホストに関するＡＲＰリクエストのすべてに応答する。ＡＲＰリプライでは、アクセスルータは、ターゲットホストのＭＡＣアドレスの代りに、「送信側ハードウェアアドレス」フィールド内に自身のＭＡＣアドレスを組み込む。

そのため、ホストＡがホストＢへＩＰパケットを送信し、かつ「ターゲットＩＰアドレス」フィールド内のホストＢのＩＰアドレスでＡＲＰリクエストをブロードキャストを実行したい場合、アクセスルータは、「送信側ハードウェアアドレス」フィールド内のアクセスルータのＭＡＣアドレスを含むＡＲＰリプライをホストＡへ返信する。ホストＡが続いて実際のＩＰパケットをホストＢへ送信する場合、ホストＡはそのＩＰパケットを、宛先アドレスとするアクセスルータのＭＡＣアドレスを有するイーサネット（あるいはＩＥＥＥ８０２．１１）フレームにカプセル化する。このフレーム、及びそれに従うカプセル化されたＩＰパケットは、アクセスルータによって受信だけがされることになる。ここで、これは、ＩＰパケットが自身の意図する宛先、即ち、ホストＢへ到達することを監視するためのアクセスルータの責務となる。つまり、アクセスルータは、ＩＰパケットの宛先アドレスに基づいて、ＩＰパケットをホストＢへ転送しなければならない。

つまり、ＡＲＰプロキシエージェントとして動作することは、アクセスルータもそれ自身のサブネット（即ち、アクセスネットワークのサブネット）上のホスト間でＩＰパケットを転送しなければならないことである、即ち、アクセスルータは、「イントラサブネットルーティング」の形式を実行しなければならない。

ＡＲＰリクエストに応答する場合、ＡＲＰプロキシエージェントは、２つのことを把握していなければならない：これは、ターゲットホストがサブネット上に実際に存在していることを知っていなければならず、また、次のＩＰパケットを転送することを可能にするために、ターゲットホストのＭＡＣアドレスを知っていなければならない（あるいは、少なくとも検出できるようにしなければならない）。通常のＡＲＰプロキシ動作では、ＲＦＣ９２５の「マルチＬＡＮアドレス解決」に記載されているように、ＡＲＰプロキシエージェントは、それが接続されている（ＡＲＰリクエストが受信されたＬＡＮ以外の）ＬＡＮ上での受信ＡＲＰリクエストを繰り返し、かつ実際のターゲットホストからＡＲＰリプライを受信するまで、ＡＲＰリクエストへのリプライは実行しない。

変更されたＡＲＰプロキシエージェントとして動作する場合、アクセスルータは、受信ＡＲＰリクエストを繰り返さない。その代わり、これは、内部ＩＰアドレスとＭＡＣアドレスとのマッピング情報（ＡＲＰキャッシュ以外）に基づいて、ＡＲＰリクエストをリプライするための自身の決定の基礎にする。内部ＩＰアドレスとＭＡＣアドレスとのマッピング情報は、アクセスネットワークの環境で変更する場合がある。特に、固定アクセスネットワークと、ＷＬＡＮアクセスネットワークとの間では異なる可能性がある。

ＷＬＡＮアクセスネットワークにおける内部アドレスマッピング情報の提供及び使用
移動体ユーザが出入りする、ＷＬＡＮの場合、いくつかの種類のユーザ証明と、セキュリティアソシエーション（security association）の確立は不可欠である。いつホストがアクセスネットワークから離れるかを検出するためのメカニズムが存在する必要があり、これには、例えば、明確な登録抹消処理及びアソシエーションタイムアウトがある。ここで、アクセスルータは、常に、どのホストがアクセスネットワークに接続されているかを常に把握している。次のステップは、アドレスマッピング情報を検索することである。

ユーザ証明処理中には、アクセスルータは、関係するホストからのメッセージ（群）から、関連アドレス情報を抽出し、かつそれをＡＲＰプロキシエンティティ（あるいは、ＡＲＰプロキシ機能にアクセス可能ないくつかの他のエンティティ）に記憶する。アクセスルータは、アドレスマッピング情報を検索するために、ＩＰ割当処理を使用することもできる。正確には、アドレス情報がどのようにして取得されるかについては、使用されるアドレス割当方法に依存し、かつユーザ証明が、ＩＰアドレスが割り当てられる前のリンク上で実行されるか、あるいはＩＰアドレスが割り当てられた後のＩＰレイヤ上で実行されるかに依存する。

ＩＰアドレスが割り当てられた後に、ユーザ証明が実行される場合、アクセスルータは、ＭＡＣアドレスとＩＰアドレスの両方を抽出して記憶する、これは、すべて必要とされるものである。

ＩＰアドレスが割り当てられる前に、ユーザ証明が実行される場合、アクセスルータは、関係するホストのＭＡＣアドレスのみを記憶する。次に、アクセスルータは、ＩＰアドレスが割り当てられる場合に、記憶されたＭＡＣアドレスをＩＰアドレスで補完しなければならない。この処理は、使用されるＩＰアドレス割当方法に依存する。これには、いくつかの可能性がある。

−ＩＰアドレスは、ＤＨＣＰ（動的ホスト構成プロトコル）を使用して割り当てられても良い。この状況では（おそらくほとんどの多くがそうである）、アクセスルータ内のＤＨＣＰサーバがＩＰアドレスを割り当てる。これを実行する場合、ＤＨＣＰサーバは、割り当てたＩＰアドレスと、それが割り当てられているホストのＭＡＣアドレスを記憶する（これは、通常のＤＨＣＰサーバの動作である）。次に、ＡＲＰプロキシエンティティは、その情報へアクセスすることが許可される、あるいは選択的には、その情報はＡＲＰプロキシエンティティにコピーされる。代替構成としては、単に、発信中のＤＨＣＰ提供メッセージを捕捉し、関連情報を抽出することである。

−ＩＰアドレスは、ユーザの移動体ＩＰホームエージェント（ＨＡ）によって動的に割り当てられても良い。この場合では、ＩＰアドレスは、移動体ＩＰ登録リプライに組み込まれ、これは、ＨＡからホストへ送信される。このメッセージは、移動体ＩＰ外部エージェント（ＦＡ）によってリプライされ、これは、アクセスルータに配置される。ここで、ＦＡは、ＩＰアドレスを抽出して、かつそれをアクセスルータ内の他のエンティティに利用可能にすることができる。代替構成としては、単に、発信中の移動体ＩＰ登録リプライメッセージを捕捉して、その関連情報を抽出することである。ホストのＨＡによって割り当てられるＩＰアドレスはアクセスネットワーク以外の別のＩＰサブネットに属しているように見えるので、アクセスネットワークに接続している他のホストで、関係するホストに対してターゲットとされるＡＲＰリクエストを送信するものはない。従って、ＡＲＰプロキシエージェントは、このホストに代って応答しなければならないことは決してない。しかしながら、アクセスルータが関係するホストへＩＰパケットを（転送される、あるいはソースとするアクセスルータで）送信する場合に、ＡＲＰリクエストを削除するために、アドレスマッピング情報は依然として有用である可能性がある。

−ホスト（移動体ＩＰを使用する）は、自身のホームネットワークによって割り当てられる固定ＩＰアドレスを持つことができる。この場合、ＩＰアドレスは、ホストからＨＡへ送信される移動体ＩＰ登録リクエストに組み込まれることになる。このメッセージはＦＡによってリプライされ、これは、ＩＰアドレスを抽出することができ、かつそれをＡＲＰプロキシエンティティで利用可能にすることができる。代替構成としては、単に、着信中あるいは発信中の移動体ＩＰ登録リクエストメッセージを捕捉して、その関連情報を抽出する。ホストのホームネットワークによって割り当てられているＩＰアドレスがアクセスネットワーク以外の別のＩＰサブネットに属しているように見えるので、アクセスネットワークに接続している他のホストは、関係するホストに対してターゲットとされるＡＲＰリクエストを送信しない。従って、ＡＲＰプロキシエージェントは、このホストに代って応答しなければならないことは決してない。しかしながら、アクセスルータが関係するホストへＩＰパケットを（転送される、あるいはソースとするアクセスルータで）送信する場合に、ＡＲＰリクエストを削除するために、アドレスマッピング情報は依然として有用である可能性がある。

−ＩＰアドレスは、ＰＰＰｏＥ（ポイントツーポイントプロトコルオーバイーサネット）セッションで割り当てられても良い。この場合、ＩＰアドレスは、アクセスルータ内の内部エンティティによってローカルで割り当てられる、あるいは、例えば、ユーザのホームネットワーク、例えば、企業ネットワーク内のＲＡＤＩＵＳ（リモート証明ダイアルインユーザサービス）サーバによってリモートで割り当てられる。遠隔割当の場合、ＩＰアドレスは、リモートエンティティから受信され、かつホストへ送信される前に、アクセスルータに記憶される。従って、ローカル及びリモート割当の両方は、アクセスルータに、アクセスルータ内のＡＲＰプロキシエンティティ及び他のエンティティの少なくとも一方で利用可能なＩＰアドレスを生成することを可能にする。ＩＰアドレスが、別のネットワーク内のサーバによってリモートで割り当てられる場合、ＩＰアドレスは、アクセスネットワーク以外の別のＩＰサブネットに属しているように見える。つまり、このような場合、アクセスネットワークに接続している他のホストで、関係するホストに対してターゲットとされるＡＲＰリクエストを送信するものはない。従って、ＡＲＰプロキシエージェントは、このホストに代って応答しなければならないことは決してない。しかしながら、アクセスルータが関係するホストへＩＰパケットを（転送される、あるいはソースとするアクセスルータで）送信する場合に、ＡＲＰリクエストを削除するために、アドレスマッピング情報は依然として有用である可能性がある。

ＩＰアドレス割当がユーザ証明の前あるいは後で発生するかに関係なく、割当は時限設定されていても良く、また新規のあるいは同一のＩＰアドレスは、ある時間後に再割当しなければならないようにしても良い。これは、ＤＨＣＰが使用される場合に確実に発生することとなり、また、移動体ＩＰがＩＰアドレスを割り当てるために使用される場合に発生しても良い。これが発生する場合、新規のＩＰアドレスは、オリジナルのアドレス割当時と同一のメカニズムを使用して、ＡＲＰプロキシエンティティで利用可能にしなければならない。

ここで、アクセスルータがＷＬＡＮアクセスネットワーク内のホストＡから、「ターゲットプロトコルアドレス」フィールド内のＷＬＡＮアクセスネットワーク内の別のホストＢのＩＰアドレスを含むＡＲＰリクエストを受信する場合には、この状況は安全に処理することができることを、新たに結論付けることができる。アクセルルータ内のＡＲＰプロキシエンティティは、関連する内部レコードを調べて、ターゲットホストがＷＬＡＮアクセスネットワーク内に存在することを判定する。同時に、これは、ターゲットホストのＭＡＣアドレスを検索し、これにより、ＡＲＰリプライを構築し、かつ、「送信側ハードウェアアドレス」フィールド内のルータのＭＡＣアドレスを有するホストへ返信することができる。ホストＡが次にホストＢを宛先にするＩＰパケットを送信する場合、このＩＰパケットは、宛先アドレスとするアクセスルータのＭＡＣアドレスを有するフレーム内にカプセル化される。アクセスルータは、このパケットを受信し、それが自身のアクセスネットワークに接続されるホストへの転送対象であることを判定し、関連する内部レコード内のホストＢのＭＡＣアドレスを参照して（これによって、再度のＡＲＰリクエストを回避する）、そして、宛先アドレスとするホストＢのＭＡＣアドレスを有するイーサネットフレーム内でカプセル化されている、そのＩＰパケットを、アクセスネットワークへ送信する。ＶＬＡＮ構成及びアクセスネットワーク内のスイッチ（群）のＭＡＣアドレス学習データベース（群）は、パケットが最終的にホストＢへ到達することを補償する。

固定アクセスネットワーク内の内部アドレスマッピング情報の提供及び使用
固定アクセスネットワークの状況は、ユーザが移動体でない場合のＷＬＡＮアクセスネットワークの状況とは異なる。（移動体ユーザを有する固定アクセスネットワークは実際には考えられるが、この場合、本明細書の目的に対しては、この状況は、ＷＬＡＮアクセスネットワークに対して上述したものに向けられる。従って、この特殊な状況については、更なる詳細は必要としない、また、このセクションの残りの部分では、ユーザは移動体でないと想定する）別の違いは、無線インタフェースは存在せず、すべての接続が有線（銅線、同軸あるいはファイバー）であり、これは、盗聴されにくい。

ユーザ移動性及び無線インタフェースがないことは、以下のことを意味する：
−ユーザとアクセスルータ間のセキュリティ関係に対する要求は、あまり重要でなくなる。これは、加入に対する課金方式として固定レートが使用される場合には、特にそうである。従って、アクセスネットワークは、ユーザ証明を採用しない選択をすることができ、また、どのホストが接続されているかの追跡を継続しない選択をすることができる。

−ユーザは、加入時にアクセスネットワークオペレータから割り当てられる固定ＩＰアドレスを持つことができる。このような場合、ＩＰアドレス割当処理は、ＩＰアドレスとＭＡＣアドレスとのマッピング情報を取得するために使用することはできない。

上述の関係に関わらず、アクセスルータは、各ユーザとのセキュリティ関係（例えば、ユーザ証明及び、可能であれば、連続暗号化によって表現される）をいまだなお持つことができ、またホスト上で現在取られているログを追跡することができる。これは、極めて一般的なことであり、ある会計機能に対しては必要な条件である。同様に、ＩＰアドレスは（たいていは）、動的に割り当てることができる。

アクセスルータが、ユーザ証明を採用し、かつ接続されているホストを追跡する場合（例えば、ログイン処理及びセッション管理）で、かつＩＰアドレスが動的に割り当てられる場合、この状況は、上述のＷＬＡＮアクセスネットワークと同一となる。その結果、内部アドレスマッピング情報の提供及び使用も、この場合、同一となる。そうでない場合、異なる方法が、ＷＬＡＮアクセスネットワークとは別に使用されなければならない。

例えば、ユーザ証明及びセッション管理メカニズム（ログイン、ログアウト及びセッションタイムアウトメカニズムの類）を介して、どのホストが現在接続されているかをアクセスルータが追跡する場合、ＩＰアドレスは永久的に割り当てられる、ここで、アクセスルータを取り扱うための問題として、ＩＰアドレスとＭＡＣアドレスとのマッピング情報がどのようにして取得されるかがある。これを実行するための絶好の機会は、ユーザ証明あるいはログイン処理中である。この処理中に、アクセスルータは、関係するホストから受信されるメッセージから、ソースＩＰアドレスとソースＭＡＣアドレスを抽出することができる。そして、このアドレスマッピング情報は、アクセスルータ、例えば、ＡＲＰプロキシエンティティに記憶される。記憶されたアドレスマッピング情報は、ＡＲＰプロキシエンティティによって使用することができる、これは、ＩＰパケットがアクセスルータから（転送される、あるいはソースとするアクセスルータで）関係するホストへ送信される場合である。

ＩＰアドレスが動的に割り当てられる場合、アクセスルータは、どのホストが現在接続されているかを追跡しないので、アドレスマッピング情報（これは、上述のＩＰアドレス割当処理中に取得することができる）の問題はないが、特定ホストに関するＡＲＰリクエストにいつ応答しているかを把握すること、また、あるホストが宛先とされているパケットをいつ転送するかを把握することの問題がある。正当なＡＲＰプロキシの動作に対しては、アクセスルータは、ＡＲＰリプライがＡＲＰリクエストの応答時に送信される前に、関係するホストが現在アクセスネットワークに接続されているかを把握しなければならない。アクセスルータで利用できる信頼性のある情報がないので（アドレスマッピング情報は、通常、この状況では信頼性があるものとして、かなり長く存在している）、アクセスルータは、関係するホストが存在するかを監視するために、なんとかして、アクセスネットワークを「探索（probe）」しなければならない。これを実行するための最も簡単な方法は、ＡＲＰメカニズムを使用することである。つまり、まず、アクセスルータは、自身のＡＲＰキャッシュを制御する、また、関係するホストがキャッシュ内で検出される場合、アクセスルータは、ホストがアクセスネットワーク内に存在すると決定し、そして、ＡＲＰリプライが送信される。そうでない場合、アクセスルータは、ホストが存在するかどうかを検出するために、通常のＡＲＰリクエストを送信しなければならない。ＡＲＰメカニズムは、アクセスルータが、ＩＰパケットを（転送する、あるいはソースとするアクセスルータで）アクセスネットワークに接続されているホストへ送信する場合にも使用される。

アクセスルータは、選択的には、関係するホストが存在するかを検出する責務を果たす必要はない。アドレスマッピング情報がタイムアウトしない限り、ホストが現在アクセスネットワークに接続されているか否かの検出をすることなく、アクセスルータは、ホストに代ってＡＲＰリプライを送信し、また、関係するホストへパケットを転送する。これは、関係するホストが存在しない場合を検出するために、関係するホストとの通信を試行するホスト内のより上位のプロトコルレイヤ（上述のＩＰレイヤ）となる。これは、面倒であるが、代替構成も可能である。

ＩＰアドレスが固定的に割り当てられ、かつアクセスルータが、どのホストが現在アクセスネットワークに接続されているかを追跡しない場合、アクセスルータは、上述の２つの問題を持つことになる。この２つの問題に対するソリューションは、ＡＲＰメカニズムである（即ち、ＡＲＰキャッシュのチェック、必要であれば、ＡＲＰリクエストの送信）。ＡＲＰメカニズムは、あるホストが存在するかどうかをチェックするために、また、ＩＰアドレスとＭＡＣアドレスとのマッピング情報を取得するために使用される。これは、プロキシのＡＲＰリプライが生成対象である場合、また、ＩＰパケットが関係するホストへの送信対象である場合の両方に適用する。これは、ＲＦＣ９２５の「マルチＬＡＮアドレス解決」で示されるように、多かれ少なかれ、アクセスルータ内のＡＲＰプロキシエンティティを、通常のＡＲＰプロキシエージェントに変更する。

本発明の第１実施形態を用いると、スケーリング問題が解消される、これは、２つのＶＬＡＮしか使用されないからである。ＶＬＡＮ構成はかなり単純である、これは、２つのＶＬＡＮだけが使用され、かつ同一の構成（原理上は）が、アクセスネットワーク内の各スイッチで繰り返されるからである。また、アクセスネットワークは、単一のＩＰサブネットとすることができる、これは、イントラサブネットルーティングの使用によるものである。これは、ＩＰアドレスを節約し、かつＩＰアドレス及びサブネットマスクの構成を簡単にする。また、アクセスルータにおける、ブロードキャスト複製についての問題が解消される、これは、アクセスルータからの単一のブロードキャストメッセージが、ダウンリンクＶＬＡＮを介してアクセスネットワークに接続されているホストのすべてに到達するからである。第１実施形態の別の効果は、アクセスルータをＶＬＡＮ ｕｎａｗａｒｅにすることができることである。また、アクセスルータは、自身のアクセスネットワーク（どのホストが現在接続されているかを追跡しない固定アクセスネットワーク以外）に接続されているホストのＭＡＣアドレスを検出するために、ＡＲＰリクエストを送信する必要はない。これは、帯域幅を節約し、また、いくつかのパケットの遅延を低減する。このソリューションは、固定アクセスネットワークとＷＬＡＮアクセスネットワークの両方で利用可能である。

第２実施形態：複数の（マルチプル：multiple）非対称ＶＬＡＮ
ホストの分離
このソリューションでは、ホストの分離の原理が、ＷＬＡＮアクセスネットワークと固定アクセスネットワーク間でいくつか異なっている。

ＷＬＡＮアクセスネットワークに接続されているホストの分離
アップリンク用の単一の非対称ＶＬＡＮを使用する代りに、各ＡＰは、アップリンクトラフィック用の専用ＶＬＡＮを持っている、この状況は、ＷＬＡＮアクセスネットワークにおける状況とは異なるものである。その結果、あるＡＰに関連づけられているホストからのアップリンクトラフィックは、ＡＰ専用のＬＡＮを介して搬送されることになる。単一の非対称ＶＬＡＮが、すべてのダウンリンクトラフィックに対して使用される。各ＡＰに対して専用のＶＬＡＮを持つことは、いかなるスケーリング問題も発生するべきでない、これは、アクセスネットワーク内のＡＰの数が４０９６よりずっと少なくなることが予想されるからである。概念的には、ＶＬＡＮは、図８ａ、ｂ及びｃで示すことができる。アクセスルータ８１、そのアクセスルータ８１に接続されているスイッチ８３、そのスイッチ８３に接続されている第１ＡＰ８５及び第２ＡＰ８６、ホストＡ及びＢを備えるアクセスネットワークが、例として示されている。もちろん、より多くのスイッチ、ＡＰ及びホストがアクセスネットワークに存在することも可能である。以下で説明するように、アクセスネットワーク内では、実際には、１つ以上のアクセスルータがアクセスネットワークに存在することができる。図８ａの矢印は、アップリンクＶＬＡＮであるＶＬＡＮ１を示し、図８ｂの矢印は、アップリンクＶＬＡＮであるＶＬＡＮ２を示し、また、図８ｃの２つの矢印は、ダウンリンクＶＬＡＮであるＶＬＡＮ３を示している。これによって、各ＡＰは、自身のアップリンクＶＬＡＮを持っているが、これらはすべて、共通のダウンリンクＶＬＡＮを共有している。

図８は、ホスト、ＡＰ、及びアクセスルータを含むＶＬＡＮを示しているが、かつホストとＡＰは完全なＶＬＡＮ ｕｎａｗａｒｅである、即ち、それらは、タグが付加されていないイーサネットフレームのみを扱うことが想定されていることに注意するべきである。アクセスルータは、ＶＬＡＮ ａｗａｒｅであってもなくても良い。以下で説明するように、ＶＬＡＮ ａｗａｒｅとすることが有効となる場合がある。アクセスルータがＶＬＡＮ ｕｎａｗａｒｅである場合、ＶＬＡＮは完全にスイッチの内部にある。また、スイッチ内ＶＬＡＮが有効であることは、図８で示されることである。ＶＬＡＮは、ポートに基づくＶＬＡＮであり、また、フレームの分類は、上述のように、スイッチで定義されるＶＬＡＮパラメータに基づいている。第１実施形態のように、ＶＬＡＮは、ＶＬＡＮを共有しなければならない。

上述の非対称ＶＬＡＮを達成するために、スイッチで必要とされるパラメータ定義は、図９で説明される。スイッチ８３の第１ポート９２に接続されているアクセスルータ８１が示されている。第１ＡＰ８５及び第２ＡＰ８６はそれぞれ、スイッチ８３の第２ポート９６及び第３ポート９７にも接続されて示されている。３つの異なるＶＬＡＮに対するメンバーセットは：ＶＬＡＮ１：第１ポート９２、ＶＬＡＮ２：第１ポート９２、ＶＬＡＮ３：第２ポート９６及び第３ポート９７である。フレームにタグが付加されて、スイッチからアクセスルータに送信されるべきである場合は、タグが付加されていないセットは：ＶＬＡＮ１：−、ＶＬＡＮ２：−、ＶＬＡＮ３：第２ポート及び第３ポートである。第２ポート９６に対するＰＶＩＤはＶＬＡＮ１であり、第３ポート９７に対するＰＶＩＤはＶＬＡＮ２であり、第１ポート９２に対するＰＶＩＤはＶＬＡＮ３である。これは、例えば、スイッチ８３の第２ポート９６で受信されるトラフィックのすべてが、ＶＬＡＮ１に属するように分類されることを意味する。ＶＬＡＮ１のメンバーポートだけが第１ポート９２であるので、トラフィックは第１ポート９２に転送される。ＶＬＡＮ１は、タグが付加されていないセットではメンバーを持たないので、トラフィックには、第１ポート９２から出る前にタグが付加される。

フレームにタグが付加されないで、スイッチ８３からアクセスルータ８１に送信されるべきである場合は、タグが付加されていないセットは：ＶＬＡＮ１：第１ポート９２、ＶＬＡＮ２：第１ポート９２、ＶＬＡＮ３：第２ポート９６及び第３ポート９７である。例えば、スイッチ８３の第３ポート９７で受信されるトラフィックは、ＶＬＡＮ２に属するように分類されるので、ＶＬＡＮ２のメンバーポートのみ、即ち、第１ポート９２を介してそのトラフィックが転送される。第１ポート９２も、タグが付加されていない状態のＶＬＡＮ２のメンバーポートであるので、トラフィックは、タグが付加されないで、アクセスルータ８１に送信される。

図９のパラメータ定義からは、ＡＰを介してホストから送信され、かつスイッチ８３によって受信されるアップリンクフレーム（ユニキャストあるいはブロードキャスト）は、アクセスルータ８１向けのポート９２を介してのみスイッチ８３から出る（exit）ことができるように見える。この理由は、タグが付加された受信フレームがアップリンクＶＬＡＮ（受信ポートのＰＶＩＤパラメータによって示される）の１つに属するように分類されるからであり、ここで、そのメンバーポートだけがアクセスルータ８１向けのポートとなる。

アクセスルータ８１から到来するフレームは、自動的にダウンリンクＶＬＡＮに属するように分類される（これは、それが、ダウンリンクＶＬＡＮのＶＬＡＮ ＩＤのタグが付加されているからである、あるいはＰＶＩＤパラメータが、ダウンリンクＶＬＡＮに属するように、タグが付加されていないフレームを分類するからである）、しかし、転送されるべきフレームが介するポート（あるいはポート群）は必ずしも一義的ではない。この状況は、第１実施形態におけるダウンリンクトラフィックに対するものと同じである。フレームがブロードキャストフレームである場合、これは、すべてのメンバーポート、即ち、アクセスルータ８１向けのポート９２以外のすべてのポートを介して転送される。フレームがユニキャストフレームである場合、スイッチ８３は、どのポートを介してフレームが転送されるかを判定するために、ＭＡＣアドレス学習データベースを制御する。フレームの宛先ＭＡＣアドレスがＭＡＣアドレス学習データベースで検出されない場合、あたかもブロードキャストフレームのように、フレームはすべてのメンバーポートを介して流出する。

ホストとスイッチ（ＡＰを介する）間では、すべてのフレームがタグが付加されないで送信される。スイッチ８３とアクセスルータ８１間では、フレームはタグが付加されても良いし、あるいはタグが付加されなくても良い。スイッチ８３からアクセスルータ８１へタグが付加されたフレームを送信することは有益である、これは、ホストの位置情報をアクセスルータ８１に確実に提供することになるからである。これは、ＡＰ毎に１つのアップリンクＶＬＡＮを持つという利点があり、これは、アップリンクフレーム内のＶＬＡＮタグが、アクセスルータ８１に、どのＡＰが送信中のホストと関連づけられているかを示すからである、これによって、確実に、自身のおおよその位置（ＡＰの位置が構成データに含まれることで提供される）を示す。このメカニズムは、ホストの位置決め及び位置に基づくサービスを簡単にし、かつ改善するために使用することができる。

第１実施形態と同様に、スイッチ内のＶＬＡＮ構成は、同一ＡＰで関連付けられているホスト間のホスト間通信を防止するメカニズムで補完されるべきである。これは、図６で示されている、第１実施形態と同一の方法で達成される。唯一の違いは、ＶＬＡＮがＡＰに拡張されている場合に、アップリンクＶＬＡＮがアクセスネットワークワイド共通アップリンクＶＬＡＮ（第１実施形態で示されるように）ではなく、関係するＡＰに専用されるアップリンクＶＬＡＮであることである。

第１実施形態と同様に、図の例では、単一のスイッチだけを持つ単純なアクセスネットワークを示しているが、このソリューションの原理は、ツリー構造を持つ複数のスイッチを備えるアクセスネットワークに拡張することができる。アクセスネットワークは、図７に示されるアクセスネットワークと極めて類似している。唯一の違いは、ＶＬＡＮが別々に定義されることである。ここで、図７で使用された同一部分と参照番号は、ここでは、マルチプルアップリンクＶＬＡＮを有するツリー構造を表現するために使用される。第２スイッチ３６の第２ポート３９に到来するトラフィックに割り当てられるＰＶＩＤはＶＬＡＮ１であり、第２スイッチ３６の第３ポート４０に到来するトラフィックに割り当てられるＰＶＩＤはＶＬＡＮ２であり、第３スイッチ３７の第２ポート４２に到来するトラフィックに割り当てられるＰＶＩＤはＶＬＡＮ３であり、かつ第３スイッチ３７の第３ポート４３に到来するトラフィックに割り当てられるＰＶＩＤはＶＬＡＮ４である。第１スイッチ３５の第１ポート３１、第２スイッチ３６の第１ポート３８及び第３スイッチ３７の第１ポート４１に対するＰＶＩＤはＶＬＡＮ５である、即ち、すべてのＡＰに対する共通ダウンリンクＶＬＡＮである。第１スイッチ３５の第２ポート３２及び第３ポート３３に対するＰＶＩＤはこの場合は重要でなく、未定義であっても良い。これらのポート３２及び３３に到来するフレームは、ＶＬＡＮ１、ＶＬＡＮ２、ＶＬＡＮ３あるいはＶＬＡＮ４となり得るＶＬＡＮタグを既に持っている。また、第１スイッチ３５に対するメンバーセットは：ＶＬＡＮ１：第１ポート３１、ＶＬＡＮ２：第１ポート３１、ＶＬＡＮ３：第１ポート３１、ＶＬＡＮ４：第１ポート３１及びＶＬＡＮ５：第２ポート３２及び第３ポート３３である。第２スイッチ３６に対するメンバーセットは：ＶＬＡＮ１：第１ポート３８、ＶＬＡＮ２：第１ポート３８、及びＶＬＡＮ５：第２ポート３９及び第３ポート４０である。第３スイッチ３７に対するメンバーセットは：ＶＬＡＮ３：第１ポート４１、ＶＬＡＮ４：第１ポート４１及びＶＬＡＮ５：第２ポート４２及び第３ポート４３である。第１スイッチ３５からアクセスルータ１１’’にタグが付加されたフレームが送信される場合の第１スイッチ３５に対するタグが付加されていないセットは：ＶＬＡＮ１：−、ＶＬＡＮ２：−、ＶＬＡＮ３：−、ＶＬＡＮ４：−、及びＶＬＡＮ５：第２ポート３２及び第３ポート３３あるいはなしである。第１スイッチ３５からアクセスルータ１１’’にタグが付加されていないフレームが送信される場合の第１スイッチ３５に対するタグが付加されていないセットは：ＶＬＡＮ１：第１ポート３１、ＶＬＡＮ２：第１ポート３１、ＶＬＡＮ３：第１ポート３１、ＶＬＡＮ４：第１ポート３１、及びＶＬＡＮ５：第２ポート３２及び第３ポート３３あるいはなしである。第２スイッチ３６に対するタグが付加されていないセットは（第１スイッチ３５からアクセスルータ１１’’にタグが付加されている、あるいは付加されていないフレームが送信されるかに関係なく）：ＶＬＡＮ１：−、ＶＬＡＮ２：−、及びＶＬＡＮ５：第２ポート３９及び第３ポート４０である。第３スイッチ３７に対するタグが付加されていないセットは（第１スイッチ３５からアクセスルータ１１’’にタグが付加されている、あるいは付加されていないフレームが送信されるかに関係なく）：ＶＬＡＮ３：−、ＶＬＡＮ４：−、及びＶＬＡＮ５：第２ポート４２及び第３ポート４３である。これによって、例えば、第２スイッチ３６の第３ポート４０に対して受信されるフレームは、ＶＬＡＮ２のＶＬＡＮ ＩＤでタグが付加される（ＰＩＶＤで示されるように）、これは、ＶＬＡＮ２のメンバーだけが第３ポート３８であるからであり、フレームは、第２スイッチ３６の第１ポート３８を介して第１スイッチ３５の第２ポート３２に転送される。第１スイッチ３５の第２ポート３２で受信される場合、フレームには新規のＶＬＡＮタグは与えられない、これは、既に持っているからである。フレームは、いまだなお、ＶＬＡＮ２のＶＬＡＮ ＩＤに設定されるＶＬＡＮタグを持っているので、それは、第１スイッチ３５の第１ポート３１を介してアクセスルータ１１’’に転送される。タグが付加されていないフレームがアクセスルータ１１’’の送信対象である場合、ＶＬＡＮタグは、第１スイッチ３５の第１ポート３１を介して送信される前に、フレームから削除される。ダウンリンク方向でアクセスルータ１１’’から送信される、タグが付加されていないフレームのすべては、（ＰＶＩＤによって示されるように）、ＶＬＡＮ５のＶＬＡＮ ＩＤを示すＶＬＡＮタグが与えられ、また、それは、第２ポートあるいは第３ポート、あるいはそれらの両方を介して転送される。

固定アクセスネットワークに接続されるホストの分離
固定アクセスネットワークに対する第２実施形態では、各ホストは、自身が専用するアップリンクＶＬＡＮを持っていて、また、オプションとしては、専用ＶＬＡＮは、ダウンリンクトラフィックに対しても使用されても良い。各ホストに対して専用ＶＬＡＮを持つことが可能である、これは、各スイッチポートに接続されるホストがただ１つだけ（あるいは、少なくとも１つの加入だけ）であるからである。また、第１実施形態と同様に、すべてのホストに対して共通のダウンリンクＶＬＡＮが存在する。ホスト毎に専用ＶＬＡＮを持つことの利点にはいくつかあるが、この概念は、上述いくつかの問題も持っている。概念的には、ＶＬＡＮは図８で示すことができ、ここでは、ＡＰがホストに変更されている。

図８がホスト及びアクセスルータを含むＶＬＡＮを示しているとしても、ホストは完全にＶＬＡＮ ｕｎａｗａｒｅであると想定される、即ち、それらは、タグが付加されていないイーサネットフレームだけを取り扱うことに注意すべきである。アクセスルータは、ＶＬＡＮ ａｗａｒｅであってもなくても良い。以下で説明するように、ＶＬＡＮ ａｗａｒｅとすることは利点がある。アクセスルータがＶＬＡＮ ｕｎａｗａｒｅである場合、ＶＬＡＮは完全にスイッチ内となる。また、スイッチ内ＶＬＡＮとなることの効果は、図８で示されることである。ＶＬＡＮは、ポートに基づくＶＬＡＮであり、フレームの分類は、上述のように、スイッチで定義されるＶＬＡＮパラメータに基づいている。第１実施形態のように、ＶＬＡＮは共有ＶＬＡＮとしなければならない。

基本的な前提は、専用ＶＬＡＮ（「ホストＶＬＡＮ」と呼ぶことができる）がアップリンクトラフィックに対してのみ使用され、かつすべてのダウンリンクトラフィックが共通のダウンリンクＶＬＡＮで搬送されることである。しかしながら、オプションとしては、ホストＶＬＡＮは、ダウンリンクトラフィックに対しても使用することができる（また、このような場合、これは、非対称ＶＬＡＮでないことはない）。ホストＶＬＡＮがダウンリンクトラフィックに対して使用される場合、これは、ユニキャストトラフィックだけに関与する。どちらの場合でも、すべてのダウンリンクブロードキャストパケット（おそらくは、マルチキャストパケット）が、共通ダウンリンクＶＬＡＮで搬送される。

上述の非対称ＶＬＡＮ（即ち、アップリンクトラフィックだけを搬送するホストＶＬＡＮ）を達成するためにスイッチで必要とされるパラメータ定義は、図９で説明されるものと同一である。唯一の違いは、ＡＰがホストに変更されていることである。

固定ネットワークに対して図９で説明されるパラメータ定義から明らかなように、ホストから送信され、かつスイッチ８３によって受信されるアップリンクフレーム（ユニキャストあるいはブロードキャスト）は、アクセスルータ８１向けのポート９２を介してのみスイッチ８３から出ることができる。これは、ＷＬＡＮアクセスネットワークに対する第２実施形態にかなり類似している。

アクセスルータ８１から到来するフレームは、自動的に、ダウンリンクＶＬＡＮに属するように分類されても良い（これは、ダウンリンクＶＬＡＮがＶＬＡＮ ＩＤでタグが付加されているからである、あるいはＰＶＩＤパラメータを、ダウンリンクＶＬＡＮに属するように、タグが付加されていないフレームを分類するからである）。フレームがブロードキャストフレームである場合、これは、すべてのポート（それが到来するもの以外のもの、即ち、アクセスルータ８１向けのポート９２）を介して送信されることになり、かつフレームがユニキャストフレームである場合、それを転送するためのポートあるいはポート群は、スイッチのＭＡＣアドレス学習データベースによって判定される。

ホストとスイッチ間では、すべてのフレームがタグが付加されて送信される。スイッチ８３とアクセスルータ８１間では、フレームはタグが付加されても良いし、付加されてなくもて良い。スイッチからアクセスルータへタグが付加されたフレームを送信することは有益である、これは、ＶＬＡＮタグを送信側ユーザの識別（あるいは、むしろ、フレームを送信することができる加入の識別）として使用することができるからである。例えば、暗号メッセージ証明のような、他の形態のソース識別が使用されない場合、これは、ホスト毎に１つのアップリンクＶＬＡＮを使用することは有益である。ソースＩＰアドレスとソースＭＡＣアドレスは両方とも構成できるが、ＶＬＡＮタグはユーザによって構成することはできない、これは、ユーザの制御を及ばないところで、スイッチによって設定されるからである。

上述のホストＶＬＡＮは、オプションとして、ダウンリンクユニキャストトラフィックに対して使用することもできる。これは、アクセスルータが、各接続されているホストに専用されるＶＬＡＮを追跡することを必要とする（また、これは、スイッチからアクセスルータへ送信されるフレームにタグが付加されている場合には容易になされる）。固定アクセスネットワークに対する図９のパラメータ定義は、この状況をサポートしていない。このオプションのＶＬＡＮ構成を達成するためにスイッチで必要とされるパラメータ定義は（即ち、ユニキャストダウンリンクトラフィックとすべてのアップリンクトラフィックを搬送するホストＶＬＡＮを有する）は、ＶＬＡＮ１に対するメンバーセットが第１ポート９２及び第２ポート９６の両方とし、かつＶＬＡＮ２に対するメンバーセットが第１ポート９２及び第３ポート９７としなければならない場合とで異なる。これらのパラメータ定義を用いると、ユニキャストダウンリンクトラフィックは、アップリンクＶＬＡＮ、即ち、ＶＬＡＮ１及びＶＬＡＮ２上でも送信することができる。

アクセスルータが、専用ＶＬＡＮを介してユニキャストフレームをホストへ送信する場合、フレームは、正しいＶＬＡＮ ＩＤでタグが付加されなければならない。この状況では、共通ダウンリンクＶＬＡＮが、ブロードキャスト（かつ、たいていはマルチキャスト）フレームに対してのみ使用される。アクセスルータ向けのポートのＰＶＩＤパラメータが、共通ダウンリンクＶＬＡＮのＶＬＡＮ ＩＤに設定される場合、共通ダウンリンクＶＬＡＮを介してアクセスルータから送信されるブロードキャストフレームは、タグを付加することができる、あるいはタグを付加することができない。つまり、このオプションの構成を用いると、アクセスルータからホストへ送信されるユニキャストフレームはタグが付加されなければならい、一方、ブロードキャストフレームは、タグが付加されても付加されてなくても良い。

ダウンリンクユニキャストトラフィックに対してホストＶＬＡＮを使用することの利点は、この構成を用いると、ユニキャストフレームが、宛先となるホストだけに到達するように制限されることである。ユニキャストフレームが共通ダウンリンクＶＬＡＮを介して送信される場合、これは、時には（まれではあるが）、すべてのスイッチポート（アクセスルータ向けのポート以外）から流出し、結果として、スイッチに接続されるすべてのホストに到達することになる。これは、宛先ＭＡＣアドレスがＭＡＣアドレス学習データベースで検出されない場合に発生し、これは、典型的には、自身のエントリに対して５分間のタイムアウトを持っている。しかしながら、クライアントサーバ環境において、典型的にはクライアントであるホストを用いると、これが発生するのはかなりまれである、これは、ホストから送信されるフレームがホストから送信されるフレームへの応答であることに気づくからである。その結果、ＭＡＣアドレス学習データベースは、関係するホストのＭＡＣアドレスでの新たなエントリを持つことになる。

ダウンリンクユニキャストトラフィックに対するホストＶＬＡＮを使用することの欠点は、アクセスルータでの転送がより複雑になることである。ＩＰパケットをアクセスネットワークに転送するのに十分な長さがないどころか、アクセスルータはＩＰパケットを送信するために介する正しいホストＶＬＡＮを参照し、かつその正しいＶＬＡＮタグをＩＰパケットをカプセル化するフレームに組み込まなければならない。

この場合も、ソリューションの原理は、ツリー構造のマルチプルスイッチを備えるアクセスルータに容易に拡張することができる。このソリューションを示す図は、図７にかなり類似しており、これは、第２実施形態に対するマルチスイッチＷＬＡＮアクセスネットワークを示している。この図が、ホスト毎に１つのアップリンクＶＬＡＮ（アップリンクトラフィックだけを搬送する）を備える固定アクセスネットワークを示すために、ＡＰはホストに変更しなければならず、かつＶＬＡＮパラメータは上述のように定義されなければならない、これは、第２実施形態に対するマルチスイッチＷＬＡＮアクセスネットワークとともに図７が示される場合である。この図が、アップリンクＶＬＡＮがダウンリンクユニキャストトラフィックにも使用されるホスト毎に１つのアップリンクＶＬＡＮを備える固定アクセスネットワークを示すために、ＶＬＡＮパラメータは、次のように更に変更されるべきである。第１スイッチ３５のメンバーセットは：ＶＬＡＮ１：第１ポート３１及び第２ポート３２、ＶＬＡＮ２：第１ポート３１及び第２ポート３２、ＶＬＡＮ３：第１ポート３１及び第３ポート３３、ＶＬＡＮ４：第１ポート３１及び第３ポート３３、及びＶＬＡＮ５：第２ポート３２及び第３ポート３３である。第２スイッチ３６のメンバーセットは：ＶＬＡＮ１：第１ポート３８及び第２ポート３９、ＶＬＡＮ２：第１ポート３８及び第３ポート４０、及びＶＬＡＮ５：第２ポート３９及び第３ポート４０である。第３スイッチ３７のメンバーセットは：ＶＬＡＮ３：第１ポート４１及び第２ポート４２、ＶＬＡＮ４：第１ポート４１及び第３ポート４３、及びＶＬＡＮ５：第２ポート４２及び第３ポート４３である。タグが付加されていないセットは、第２実施形態に対するマルチスイッチＷＬＡＮアクセスネットワークとともに図７で説明され、かつタグが付加されたフレームが第１スイッチ３５からアクセスルータ１１’’に送信される場合と同一であるべきである。

制御されたホスト間通信の実現
第１実施形態と同様に、アクセスルータは、変更されたＡＲＰプロキシエージェントとして動作することによって、かつイントラサブネットルーティングを実行することによって、制御されたイントラアクセスネットワークのホスト間通信を可能にする。

ＡＲＰプロキシエージェントとして、アクセスルータは、自身のサブネット（即ち、アクセスネットワークのサブネット）上のホストに関するＡＲＰリクエストのすべてに応答する。ＡＲＰリプライでは、アクセスルータは、ターゲットホストのＭＡＣアドレスの代りに、自身が所有するＭＡＣアドレスを「送信側ハードウェアアドレス」フィールドに組み込む。

第１実施形態と同様に、アクセスルータは、取り得る動作を行うための２つの事項を把握していなければならない：ターゲットホストがサブネット上に実際に存在していることを把握していなければならない、また、次のＩＰパケットをターゲットホストへ転送できるようにするために、ターゲットホストのＭＡＣアドレスを把握していなければならない（あるいは、少なくとも検出できるようにしなければならない）。専用ホストＶＬＡＮがダウンリンクユニキャストトラフィック（即ち、オプションとしての、固定アクセスネットワークだけに）に対しても使用される場合では、アクセスルータは、どのホストＶＬＡＮが関係するホストに属しているかも把握していなければならない。

あるホストがサブネット上に存在しているかどうかを把握する方法と、アドレスマッピング情報を検索するために使用する方法は、第１実施形態と同一である。

アクセスルータがホストの専用ＶＬＡＮを把握することを必要としている場合、これは、例えば、ユーザ証明処理中にホストがサブネット上に存在していることをアクセスルータが検出する場合には、あるいは関係するホストが、アクセスルータからのＡＲＰリクエストの応答としてＡＲＰリプライを送信する場合には、記録されることが好ましい。この処理では、アクセスルータは、関係するホストから受信されるフレームのＶＬＡＮタグを抽出し、かつこのＶＬＡＮタグは、ホストに対して専用されるＶＬＡＮのアイデンティティを表現する。次に、このＶＬＡＮ情報は、ユニキャストフレームが関係するホストへの送信対象である場合に使用されるアクセスルータに記憶される、これは、ソースとするアクセスルータについてのデータを含むフレーム、あるいはアクセスルータによって転送されるＩＰパケットを含むフレームのどちらかである。

第２の実施形態のいくつかの効果：
−アクセスネットワークは単一のＩＰサブネットとすることができる、これは、イントラサブネットルーティングの使用によるものである。これは、ＩＰアドレスを節約し、かつＩＰアドレスとサブネットマスクの構成を簡単にする。

−アクセスルータにおける、ブロードキャスト複製についての問題が解消される、これは、アクセスルータからの単一のブロードキャストメッセージが、共通ダウンリンクＶＬＡＮを介してアクセスネットワークに接続されているホストのすべてに到達するからである。

−アクセスルータをＶＬＡＮ ｕｎａｗａｒｅとすることができる（但し、ダウンリンクユニキャストトラフィックが、固定アクセスネットワーク内の専用ホストＶＬＡＮを介して送信される場合はない）。

−ホスト間イントラアクセスネットワーク通信が、規格ＲＦＣ９２５のプロキシＡＲＰよりもオーバヘッドが少ない（ほとんどの場合）効果的な方法で解決される、これは、規格ＲＦＣ９２５のプロキシＡＲＰの場合と比較して、繰り返される／中継されるＡＲＰリクエストを回避することができるからである。

−アクセスルータは、自身のアクセスネットワーク（どのホストが現在接続されているかを追跡しない固定アクセスネットワーク以外）に接続されているホストのＭＡＣアドレスを検出するために、ＡＲＰリクエストを送信する必要はない。これは、帯域幅を節約し、また、いくつかのパケットの遅延を低減する。

−このソリューションは、固定アクセスネットワークとＷＬＡＮアクセスネットワークの両方で利用可能である。（但し、このソリューションの原理は、２つの場合において多少の違いがある。固定アクセスネットワークでは、各ホストに対して専用アップリンクＶＬＡＮが使用される、一方、ＷＬＡＮアクセスネットワークでは、各ＡＰに対して専用アップリンクＶＬＡＮが存在する。）
−ＷＬＡＮアクセスネットワーク内のＡＰで専用されるアップリンクＶＬＡＮは、（アクセスルータがＶＬＡＮ ａｗａｒｅである場合に提供される）送信側ホストについての明確な位置情報を（ＶＬＡＮタグを介して）アクセスルータに提供する。

−固定アクセスネットワーク内のＶＬＡＮ ａｗａｒｅであるアクセスルータは、フレームを送信することができる加入者の識別として、受信フレームのＶＬＡＮタグを使用することができる。

−専用ホストＶＬＡＮが、固定アクセスネットワーク内のダウンリンクユニキャストトラフィックに対しても使用される場合、これは、ダウンリンクユニキャストフレームが自身が意図する宛先ホストのみに到達することを補償する。そうでない場合、共通ダウンリンクＶＬＡＮがユニキャストフレームに対して使用される場合、アクセスネットワーク内のスイッチ（群）のＭＡＣアドレス学習データベース（群）は、どのホスト（群）がフレームへ転送されるかを判定する。この場合、ユニキャストフレームが、アクセスネットワークに接続されている多数のホスト（すべてに等しい）に流出することが発生する可能性がある。

本発明は、１つだけのアクセスルータを備える、典型的なアクセスネットワークの内容で説明されている。しかしながら、アクセスネットワークは、例えば、負荷共有あるいは冗長性目的のために、１つ以上のアクセスネットワークを持っていても良い。本発明は、複数のアクセスルータを備えるアクセスネットワークに同様に適用することができる。

複数のアクセスルータを備えるアクセスネットワークでは、上述のＶＬＡＮ構成は、同一のＶＬＡＮにアクセスルータが常に含まれるように拡張される。つまり、アクセスルータに接続されている１つのスイッチポートがスイッチ内のあるＶＬＡＮのメンバーセットに含まれる場合、同一のスイッチ内で、アクセスルータに接続されている、それ以外のすべてのスイッチポートも、同一のＶＬＡＮのメンバーセットに含まれる。同一のＰＶＩＤは、アクセスルータに接続されているスイッチポートのすべてに対しても定義されるべきである。しかしながら、スイッチとアクセスルータ間で、タグが付加されている、あるいは付加されていないフレームの使用は、スイッチと他のアクセスルータ間の通信が、タグが付加されているあるいは付加されていないフレームを使用するかどうかとは無関係である。

上述のＶＬＡＮ構成の結果、スイッチ（群）のＭＡＣアドレス学習データベース（群）によって検索されない限り、すべてのアップリンクトラフィックは、すべてのアクセスルータに到達することになる。アクセスルータは、（アクセスルータのオペレータによって構成される）自身間で、どれがトラフィクのある部分を取り扱うことができるかを判定する。これは、例えば、負荷均衡原理、あるいは関係するパケットのソースあるいは宛先アドレスに基づくことができる。

また、例えば、操作及びメンテナンス目的のために、本発明で説明されるＶＬＡＮとは別に、アクセスルータ内で構成される、より多くのＶＬＡＮが存在しても良い。これは、本発明の適用に影響を与えない。

与えられる例では、「アクセスネットワークに接続されているホスト」という表現は、アクセスネットワークに接続されるホストのすべてを必要とすると解釈されるべきではない。もちろん、アクセスネットワークに接続されているホストのいくつかは、専用ＶＬＡＮ構造の一部としないとすることも可能である。

また、各ホストが、自身が所有するアップリンクＶＬＡＮを持っている第２実施形態では、ホストのグループを定義し、かつホストの各グループに対して１つのアップリンクＶＬＡＮを定義することも可能である。

固定イーサネットアクセスネットワークの典型的な（簡略化）アーキテクチャを示す図である。 ＷＬＡＮアクセスネットワークの典型的な（簡略化）アーキテクチャを示す図である。 固定イーサネットアクセスネットワークにおける、アップリンクトラフィック用の非対称ＶＬＡＮの概念図である。 固定イーサネットアクセスネットワークにおける、ダウンリンクトラフィック用の非対称ＶＬＡＮの概念図である。 ＷＬＡＮアクセスネットワークにおける、アップリンクトラフィック用の非対称ＶＬＡＮの概念図である。 ＷＬＡＮアクセスネットワークにおける、ダウンリンクトラフィック用の非対称ＶＬＡＮの概念図である。 ２つの共通非対称ＶＬＡＮを達成するために、スイッチで必要とされるＶＬＡＮパラメータ定義を示す図である。 同一のＡＰに関連付けられているホスト間のホスト間通信が、ＶＬＡＮ構成をＡＰへ拡張することによってどのように防止されるかを示す図である。 ツリー構造の３つのスイッチを備える固定あるいはＷＬＡＮアクセスネットワークにおける２つの共通非対称ＶＬＡＮを達成するために必要とされるＶＬＡＮパラメータ定義を示す図である。 ＷＬＡＮアクセスネットワーク内の複数の非対称ＶＬＡＮの概念図であって、ここでは、各ＡＰ（及びそのＡＰに関連付けられているホスト）に対する１つのアップリンクＶＬＡＮと、すべてのホスト（及びＡＰ）に対する共通のダウンリンクＶＬＡＮが存在している状態を示す図である。 ＷＬＡＮアクセスネットワーク内の複数の非対称ＶＬＡＮの概念図であって、ここでは、各ＡＰ（及びそのＡＰに関連付けられているホスト）に対する１つのアップリンクＶＬＡＮと、すべてのホスト（及びＡＰ）に対する共通のダウンリンクＶＬＡＮが存在している状態を示す図である。 ＷＬＡＮアクセスネットワーク内の複数の非対称ＶＬＡＮの概念図であって、ここでは、各ＡＰ（及びそのＡＰに関連付けられているホスト）に対する１つのアップリンクＶＬＡＮと、すべてのホスト（及びＡＰ）に対する共通のダウンリンクＶＬＡＮが存在している状態を示す図である。 スイッチからアクセスルータへ送信されるタグが付加されているあるいはタグが付加されていないアップリンクフレームで、ＷＬＡＮアクセスネットワーク内で複数の非対称ＶＬＡＮを達成するために、スイッチ内で必要とされるＶＬＡＮパラメータ定義を示す図である。

Claims (25)

1. アクセスネットワークにおいて、前記アクセスネットワークに接続されるホスト（５、Ａ、Ｂ）間の直接通信を防止する方法であって、前記アクセスネットワークは、アクセスルータ（１、１１、１１’、１１’’、８３）、及び１つ以上のスイッチ（３、１２、１２’、３５、３６、３７、３８）を備え、前記ホストは、前記スイッチを介して前記アクセスルータと通信接続しており、前記方法は、
   −前記ホストから前記スイッチに到来するトラフィックが前記アクセスルータに渡されるように、前記スイッチ内で、仮想ローカルエリアネットワークであるＶＬＡＮを定義するステップと、
   −前記スイッチ内で、非対称で、かつ前記アクセスルータから前記ホストへのダウンリンクトラフィックを搬送するダウンリンクＶＬＡＮを定義するステップであって、前記ダウンリンクＶＬＡＮは、前記アクセスネットワークに接続される前記ホストに共通している、ステップとを備え、
   更に、
   −前記アクセスネットワークに接続される前記ホストが、同一のＩＰサブネットに属するように、前記ＶＬＡＮを構成するステップと、
   −アドレス解決プロトコルプロキシとなり、かつイントラサブネットルーティングを実行するように、前記アクセスルータを構成するステップと
   を備えることを特徴とする方法。
2. 前記ホストは、前記アクセスネットワークに接続されるすべてのホストを備えている
   ことを特徴とする請求項１に記載の方法。
3. 前記スイッチ（３、１２、１２’、３５、３６、３７）内で、非対称で、かつ前記ホスト（５、Ａ、Ｂ）から前記アクセスルータ（１、１１、１１’、１１’’）へのアップリンクトラフィックを搬送するアップリンクＶＬＡＮを定義し、前記アップリンクＶＬＡＮは、前記アクセスネットワークに接続される前記ホストに共通している
   ことを特徴とする請求項１または２に記載の方法。
4. 固定アクセスネットワーク内の前記スイッチ（８３）において、前記ホストそれぞれに対して、あるいは前記ホストの１つ以上のグループそれぞれに対して、アップリンクＶＬＡＮを定義し、前記アップリンクＶＬＡＮは、前記ホストから前記アクセスルータ（８１）へのアップリンクトラフィック対してのみ使用される
   ことを特徴とする請求項１または２に記載の方法。
5. 固定アクセスネットワーク内の前記スイッチ（８３）において、前記ホストそれぞれに対して、あるいは前記ホストの１つ以上のグループそれぞれに対して、アップリンクＶＬＡＮを定義し、前記アップリンクＶＬＡＮは、前記ホストから前記アクセスルータ（８１）へのアップリンクトラフィック対して使用され、かつ更に、前記アクセスルータから前記ホストへのダウンリンクユニキャストトラフィックを転送するように前記アップリンクＶＬＡＮを定義する
   ことを特徴とする請求項１または２に記載の方法。
6. ＷＬＡＮアクセスネットワーク内の前記スイッチ（８３）において、アクセスポイントであるＡＰ（８５、８６）それぞれに対して、あるいはＡＰの１つ以上のグループそれぞれに対して、アップリンクＶＬＡＮを定義し、前記アップリンクＶＬＡＮは、前記ＡＰと、該ＡＰに接続されるホストから前記アクセスルータ（８１）へのアップリンクトラフィックに対して使用される
   ことを特徴とする請求項１または２に記載の方法。
7. 前記ＡＰを組み込むように、前記ダウンリンクＶＬＡＮと前記アップリンクＶＬＡＮを拡張することによって、あるいは前記ＡＰの固有の構成機能を利用することによって、同一のＡＰ（１４）に接続されるホスト（Ａ、Ｂ）間の前記ＡＰを介する直接通信を防止するために、アクセスポイントであるＡＰ（１４）をＷＬＡＮに構成する
   ことを特徴とする請求項３または６に記載の方法。
8. 前記スイッチ（８３）において、前記ホスト（Ａ、Ｂ）から前記アクセスルータ（８１）へ送信されるフレームに、ＶＬＡＮタグを提供し、かつＶＬＡＮ ａｗａｒｅとなる前記アクセスルータ（８１）を構成する
   ことを特徴とする請求項４乃至７のいずれか１項に記載の方法。
9. 共有ＶＬＡＮとなる前記ＶＬＡＮを構成する
   ことを特徴とする請求項１乃至８のいずれか１項に記載の方法。
10. ユーザ証明処理中に、前記ホスト（５、Ａ、Ｂ）に対するアドレスマッピング情報を、前記アクセスルータ（１、１１、１１’、１１’’、８１）によって検索する
    ことを特徴とする請求項１乃至９のいずれか１項に記載の方法。
11. ＩＰ割当処理中に、前記ホスト（５、Ａ、Ｂ）に対するアドレスマッピング情報を、前記アクセスルータ（１、１１、１１’、１１’’、８１）によって検索する
    ことを特徴とする請求項１乃至１０のいずれか１項に記載の方法。
12. 前記アクセスネットワーク内に１つ以上のアクセスルータを提供し、前記ＶＬＡＮは、前記アクセスルータが同一ＶＬＡＮに属するように構成される
    ことを特徴とする請求項１乃至１１のいずれか１項に記載の方法。
13. アクセスネットワークにおける装置（arrangement）であって、前記装置は、アクセスルータ（１、１１、１１’、１１’’、８１）、前記アクセスルータに接続される１つ以上のスイッチ（３、１２、１２’、３５、３６、３７、８３）、及び、前記スイッチを介して前記アクセスルータと通信接続している１つ以上のホスト（５、Ａ、Ｂ）を備え、前記装置は、前記ホスト間の直接通信を防止するように適合され、前記スイッチは、前記ホストから前記スイッチに到来するトラフィックが前記アクセスルータに渡されるように、仮想ローカルエリアネットワークであるＶＬＡＮを定義するように構成され、前記スイッチは、非対称で、かつ前記アクセスルータから前記ホストへのダウンリンクトラフィックを搬送するダウンリンクＶＬＡＮを定義するように構成され、前記ダウンリンクＶＬＡＮは、前記アクセスネットワークに接続される前記ホストに共通していて、前記ＶＬＡＮは、前記ホストが、同一のＩＰサブネットに属するように構成され、かつ前記アクセスルータは、アドレス解決プロトコルプロキシとなり、かつイントラサブネットルーティングを実行するように構成されている
    ことを特徴とする装置。
14. 前記ホストは、前記アクセスネットワークに接続されるすべてのホストを備えている
    ことを特徴とする請求項１３に記載の装置。
15. 前記スイッチ（３、１２、１２’、３５、３６、３７）は、非対称で、かつ前記ホスト（５、Ａ、Ｂ）から前記アクセスルータ（１、１１、１１’、１１’’）へのアップリンクトラフィックを搬送するアップリンクＶＬＡＮを定義するように構成され、前記アップリンクＶＬＡＮは、前記ホストに共通している
    ことを特徴とする請求項１３または１４に記載の装置。
16. 固定アクセスネットワーク内において、前記スイッチ（８３）は、前記ホストそれぞれに対して、あるいは前記ホストの１つ以上のグループそれぞれに対して、アップリンクＶＬＡＮを定義するように構成され、前記アップリンクＶＬＡＮは、非対称で、かつ前記ホスト（５、Ａ、Ｂ）から前記アクセスルータ（８１）へのアップリンクトラフィック対して使用される
    ことを特徴とする請求項１３または１４に記載の装置。
17. 固定アクセスネットワーク内において、前記スイッチ（８３）は、前記ホストそれぞれに対して、あるいは前記ホストの１つ以上のグループそれぞれに対して、アップリンクＶＬＡＮを定義するように構成され、前記アップリンクＶＬＡＮは、前記ホストから前記アクセスルータ（８１）へのアップリンクトラフィック対して、かつ前記アクセスルータから前記ホストへのダウンリンクユニキャストトラフィックに対して使用される
    ことを特徴とする請求項１３または１４に記載の装置。
18. ＷＬＡＮアクセスネットワーク内において、前記スイッチ（８３）は、アクセスポイントであるＡＰ（８５、８６）それぞれに対して、あるいはＡＰの１つ以上のグループそれぞれに対して、アップリンクＶＬＡＮを定義するように構成され、前記アップリンクＶＬＡＮは、前記ＡＰから前記アクセスルータ（８１）へのアップリンクトラフィックに対して使用される
    ことを特徴とする請求項１３または１４に記載の装置。
19. 前記アクセスルータ（８１）は、ＶＬＡＮ ａｗａｒｅとなるように構成され、かつ前記スイッチ（８３）は、前記ホスト（Ａ、Ｂ）から前記アクセスルータ（８１）に送信されるフレームに、ＶＬＡＮタグを提供するように適合されている
    ことを特徴とする請求項１６乃至１８のいずれか１項に記載の装置。
20. 前記スイッチ（３、１２、１２’、３５、３６、３７、８３）は、共有ＶＬＡＮとして前記ＶＬＡＮを構成するように適合されている
    ことを特徴とする請求項１３乃至１９のいずれか１項に記載の装置。
21. 前記アクセスルータ（１、１１、１１’、１１’’、８１）は、ユーザ証明処理中に、前記ホスト（５、Ａ、Ｂ）に対するアドレスマッピング情報を検索するように適合されている
    ことを特徴とする請求項１３乃至２０のいずれか１項に記載の装置。
22. 前記アクセスルータ（１、１１、１１’、１１’’、８１）は、ＩＰ割当処理中に、前記ホスト（５、Ａ、Ｂ）に対するアドレスマッピング情報を検索するように適合されている
    ことを特徴とする請求項１３乃至２１のいずれか１項に記載の装置。
23. システム内に、１つ以上のアクセスルータが提供され、前記ＶＬＡＮは、前記アクセスルータが同一ＶＬＡＮに属するように構成される
    ことを特徴とする請求項１３乃至２２のいずれか１項に記載の装置。
24. 請求項１３乃至２３のいずれか１項に記載の装置におけるアクセスルータ。
25. 請求項１３乃至２３のいずれか１項に記載の装置におけるスイッチ。

Images