JP2007174583A

JP2007174583A - ネットワーク中継装置

Info

Publication number: JP2007174583A
Application number: JP2005373031A
Authority: JP
Inventors: Daisuke Takita; 大介滝田
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2005-12-26
Filing date: 2005-12-26
Publication date: 2007-07-05
Anticipated expiration: 2025-12-26
Also published as: JP4615435B2

Abstract

【課題】マルチキャストグループに参加している通信端末に対して、通信端末と接続が認証されたネットワークからのマルチキャストのＩＰパケットのみを転送するネットワーク中継装置を得ること。
【解決手段】通信端末３１−１〜３１−３に対応付けて、通信端末３１−１〜３１−３との接続が認証されたＶＬＡＮ５１−１〜５１−３が登録される認証情報テーブル１４２と、ＶＬＡＮ５１−１〜５１−３およびマルチキャストグループに対応付けて、ＶＬＡＮ５１−１〜５１−３においてマルチキャストグループの物理的または論理的なインタフェースであるルート情報が登録されるマルチキャストルーティングテーブル１４４とを備え、ルーティング処理部１３は、マルチキャストのＩＰパケットを転送する際には、認証情報テーブル１４２およびマルチキャストルーティングテーブル１４４を用いてＩＰパケットの送信先を選択する。
【選択図】図１

Description

本発明は、異なるネットワークを相互接続するネットワーク中継装置に関するものであり、特に、一方のネットワークに接続される通信端末がマルチキャストによる通信を行う際のセキュリティを強化するネットワーク中継装置に関するものである。

ネットワーク中継装置であるゲートウェイ装置は、たとえば、家庭に構築されたＬＡＮ（Local Area Network）とインターネット接続業者が構築するネットワーク、オフィス内に構築されたＬＡＮと企業幹線網など、ＬＡＮとＷＡＮ（Wide Area Network）とを接続する目的で利用されている。

一般的に、ゲートウェイ装置は、ＩＰ（Internet Protocol）パケット内の宛先アドレスに基づいてＩＰパケットを転送するルータ機能に加え、ＬＡＮ側に接続される通信装置におけるＩＰアドレス設定を簡易化するためにＩＰアドレスを自動的に払い出すＤＨＣＰ（Dynamic Host Configuration Protocol）サーバ機能や、ＩＰアドレス資源を効率的に使用するためにＬＡＮ側に接続された通信装置が使用するプライベートＩＰアドレスとＷＡＮ側で使用するグローバルＩＰアドレスとを変換するＮＡＴ（Network Address Translation）機能などを備えている。

また、ゲートウェイ装置は、ＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）通信において、ＬＡＮ側の通信装置とＷＡＮ側の通信装置とが用いる制御用プロトコルのメッセージを中継するためのＤＮＳ（Domain Name System）やＩＧＭＰ(
Internet Group Management Protocol）などのプロキシ機能を備えている。

一方、ゲートウェイ装置に接続されるＷＡＮは、物理的な接続形態とは独立に仮想的なグループを設定し、接続する通信端末の物理的な位置を意識することなくネットワークを構成するＶＬＡＮ（Virtual Local Area Network）によって構成されることが多い。そのため、従来から、ＶＬＡＮに対応するゲートウェイ装置に関する種々の技術が考えられている。

たとえば、特許文献１には、ユーザの認証結果に応じて特定のＶＬＡＮとユーザが利用する通信端末とを接続させる制御機能を有したゲートウェイ装置に関する技術が開示されている。具体的には、認証情報送受信手段が、ユーザを認証するための認証情報を通信端末から受信し、認証要求手段が、認証情報送受信手段によって受信された認証情報に応じて認証ネットワークある認証サーバに認証要求を行い、認証応答手段が、認証サーバから認証の要求に対する応答を表す認証応答情報を受信し、認証応答手段によって受信された認証応答情報が認証の成功を示す場合に、ユーザ認可手段が、ユーザと対応する仮想ネットワークを識別するための仮想ネットワーク識別情報に従って仮想ネットワークとユーザが利用する通信端末とを接続する。すなわち、ゲートウェイ装置は、複数のＬＡＮ側の通信端末が、通信端末毎に論理的に分離された異なるＷＡＮに認証を得た上で接続するようにしている。

これにより、ＬＡＮ側においては全ての通信端末が同一のネットワークに属しながら、これらのＬＡＮ側の通信端末は認証された場合にはそれぞれ異なるＷＡＮに接続することができる。換言すれば、ＷＡＮに接続するための認証されていないＬＡＮ側の通信端末は、そのＷＡＮに接続することができない。したがって、ＬＡＮ側の通信端末は、ＬＡＮに接続されたプリンタのような機器を共用することができ、かつ通信端末毎に異なるサービスを提供するＷＡＮに認証を経た上で接続することができる。

また、異なるＷＡＮにおいて重複したＩＰアドレスが使用される場合でも、認証されたＬＡＮ側の通信装置は、目的とするＷＡＮにのみ接続することができるという副次的な効果もある。

特開２００５−１４９３３７号公報

しかしながら、上記特許文献１に記載の従来のゲートウェイ装置は、ＬＡＮ側の通信端末を認証してそれぞれ異なるＷＡＮに接続した後のＩＰパケットの中継する際に、ＷＡＮ側からのＩＰマルチキャストトラフィックの転送に関して、いくつかの問題を含んでいる。

通常のＩＰマルチキャスト転送機能を備えるゲートウェイ装置は、ＷＡＮ側からのＩＰマルチキャストトラフィックをＬＡＮ側の全通信端末が受信可能な形態で転送する。そのため、ＬＡＮ側の通信端末は、接続していないＷＡＮからのマルチキャストトラフィックを受信してしまう。

上記特許文献１には、マルチキャストトラフィックの転送に関する技術は開示されていない。上記特許文献１に記載のゲートウェイ装置が通常のＩＰマルチキャスト転送機能によってマルチキャストトラフィックを転送する場合、ＬＡＮ側の通信端末が特定のＷＡＮのみに接続することを認証していても、ＷＡＮ側からのマルチキャストトラフィックに関しては、接続認証を経ていないＷＡＮからのマルチキャストトラフィックをＬＡＮ側の通信端末に送信する。これにより、ＬＡＮ側の通信端末は、接続認証されていないＷＡＮからのマルチキャストトラフィックを受信可能となる。すなわち、上記特許文献１に記載の従来技術では、ＷＡＮ側からのマルチキャストトラフィックに対しては、認証結果を考慮することができず、認証機能を十分に生かしてセキュリティを向上することができないという問題があった。

また、従来のゲートウェイ装置は、複数のＷＡＮからのマルチキャストトラフィックをＬＡＮ側の全通信端末が受信可能な形態で転送するため、ＬＡＮ側の通信端末がマルチキャストトラフィックを誤って受信することがあるという通信システム上の問題があった。たとえば、ゲートウェイ装置が接続する複数のＷＡＮを介してインターネットのような同一のネットワークに接続されている場合に、ネットワーク上のマルチキャスト配信装置からのマルチキャストトラフィックが、複数のＷＡＮを経由してゲートウェイ装置に入力されると、重複したマルチキャストトラフィックがＬＡＮ側の通信端末に転送されることとなり、ＬＡＮ側の通信端末が同一のマルチキャストトラフィックを重複して受信することとなってしまう場合がある。

さらに、従来のゲートウェイ装置がＷＡＮ側からのＩＰマルチキャストトラフィックをＬＡＮ側の全通信端末が受信可能な形態で転送ため、ＬＡＮにおけるＩＰマルチキャストトラフィックが不要に増大して、通信システムとしての性能を低下させるという問題もあった。

本発明は、上記に鑑みてなされたものであって、マルチキャストグループに参加している通信端末に対して、当該通信端末と接続が認証されたネットワークからのマルチキャストのＩＰパケットのみを転送するネットワーク中継装置を得ることを目的とする。

上述した課題を解決し、目的を達成するために、本発明は、１若しくは複数の通信端末が接続される第１のネットワークと、複数の仮想ネットワークが構築される第２のネットワークとの間に配置され、前記通信端末が前記複数の仮想ネットワークの少なくとも１つへ接続を認証する認証処理部を有し、この認証処理部によって認証された場合のみ、前記通信端末を前記仮想ネットワークに接続してＩＰパケットを転送するネットワーク中継装置において、前記通信端末に対応付けて、前記認証処理部によって接続が認証された仮想ネットワークが登録される認証情報テーブルと、前記ＩＰパケットの受信インタフェースに対応付けて前記受信インタフェースが収容する仮想ネットワークが登録されるインタフェーステーブルと、前記仮想ネットワークおよびマルチキャストグループに対応付けて、当該仮想ネットワークにおいて当該マルチキャストグループの物理的、または論理的なインタフェースが登録されるマルチキャストルーティングテーブルと、前記仮想ネットワークおよび宛先ＩＰプリフィックスに対応付けて、当該仮想ネットワークにおいて当該宛先ＩＰプリフィックスの物理的、または論理的なインタフェースが登録されるルーティングテーブルと、前記中継すべきＩＰパケットがマルチキャストのＩＰパケットの場合には、前記認証情報テーブルおよび前記マルチキャストルーティングテーブルを用いてＩＰパケットの送信先を選択し、前記中継すべきＩＰパケットがマルチキャストとは異なるＩＰパケットの場合には、前記インタフェーステーブルおよび前記ルーティングテーブルを用いてＩＰパケットの送信先を選択し、選択した送信先にＩＰパケットを送信するルーティング処理部と、を備えることを特徴とする。

この発明によれば、通信端末との接続が認証された仮想ネットワークおよびマルチキャストグループとに対応付けて、当該仮想ネットワークにおいて当該マルチキャストグループの物理的、または論理的なインタフェースが登録されるマルチキャストルーティングテーブルを備え、複数の仮想ネットワークが構築されるネットワークからのマルチキャストのＩＰパケットを転送する場合、マルチキャストのＩＰアドレスを受信した仮想ネットワーク、マルチキャストのＩＰパケットのマルチキャストグループアドレス、およびマルチキャストルーティングテーブルに基づいてマルチキャストのＩＰパケットの送信先を選択するようにしているため、マルチキャストグループに参加している通信端末に対して、当該通信端末と接続が認証されたネットワークからのマルチキャストのＩＰパケットのみを転送することを可能にし、通信システムのセキュリティを向上することができるネットワーク中継装置を得ることができるという効果を奏する。

以下に、本発明にかかるネットワーク中継装置の実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態によりこの発明が限定されるものではない。

実施の形態１．
図１〜図１２を参照してこの発明の実施の形態１を説明する。図１は、この発明における実施の形態１のネットワーク中継装置であるゲートウェイ装置の構成、およびゲートウェイ装置が適用される通信システムの構成を示す図である。図１において、通信システムは、１若しくは複数（この場合は３台）の通信端末３１−１〜３１−３を有するＬＡＮ（Local Area Network）３と、複数（この場合は３つ）のＶＬＡＮ（Virtual Local Area Network）５１−１〜５１−３が構築されているＷＡＮ（Wide Area Network）５と、ＬＡＮ３とＷＡＮ５との間に配置され、ＬＡＮ３内の通信端末３１−１〜３１−３のＶＬＡＮ５１−１〜５１−３へのアクセス認証、およびアクセス認証した通信端末３１−１〜３１−３とＶＬＡＮ５１−１〜５１−３とのＩＰ（Internet Protocol）パケットを転送するゲートウェイ装置１を備えている。

通信端末３１−１〜３１−３は、たとえば、パーソナルコンピュータやＩＰ（Internet Protocol）電話、ＴＶ放送受信機などの通信機器であり、ＬＡＮ３のネットワークインタフェース機能、およびＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）に基づいた通信機能を備え、ゲートウェイ装置１を介してＶＬＡＮ５１−１〜５１−３と接続して、ＶＬＡＮ５１−１〜５１−３に接続される図示していない通信端末やサーバなどと相互通信を行う。

通信端末３１−１〜３１−３とゲートウェイ装置１との間の通信、すなわちＬＡＮ３側における通信は、一般的な、ＴＣＰ／ＩＰに基づいたＩＰパケットを含むイーサネット（登録商標）で用いられるイーサネット（登録商標）フレーム（以下、レイヤ２フレームとする）が用いられる。具体的には、レイヤ２フレームは、宛先ＭＡＣアドレス、送信元ＭＡＣアドレス、およびデータ長を有するＭＡＣヘッダと、バージョン、インターネットヘッダ長、サービスタイプ、トータル長、識別子、フラグ、フラグメント・オフセット、プロトコルタイプ、ヘッダ・チェックサム、送信元ＩＰアドレス、および宛先ＩＰアドレスを有するＩＰヘッダと、データとで構成される。

ＶＬＡＮ５１−１〜５１−３は、通信端末３１−１〜３１−３が接続する物理的、若しくは論理的なネットワーク（仮想ネットワーク）である。以下、ＶＬＡＮ５１−１〜５１−３は、ＩＥＥＥ（Institute of Electrical and Electronic Engineers）８０２．１Ｑによって規定されるＶＬＡＮであることを前提として説明するが、ゲートウェイ装置１が選択的に通信可能なネットワークであれば、たとえば、ＭＰＬＳ（Multi-Protocol Label Switching）におけるＬＳＰ（Label Switched Path）や、ＰＰＰ(Point-to-Point Protocol）コネクションなどであってもかまわない。

ＶＬＡＮ５１−１〜５１−３とゲートウェイ装置１との間の通信、すなわち、ＷＡＮ３側における通信は、一般的な、ＴＣＰ／ＩＰに基づいたＩＰパケットを含むＶＬＡＮタグ付きのイーサネット（登録商標）フレーム（以下、タグ付きレイヤ２フレームとする）が用いられるものとする。また。タグ付きレイヤ２フレームは、上述したレイヤ２フレームのＭＡＣヘッダの送信元ＭＡＣアドレスとデータ長との間に、ＶＬＡＮ識別子を含むＶＬＡＮに関する情報が設定されるＶＬＡＮタグを有している。

ゲートウェイ装置１は、認証処理部１１、ＩＧＭＰ(Internet Group Management Protocol）プロキシ処理部１２、ルーティング処理部１３、記憶部１４、および複数（この場合は４つ）のポート１５−１〜１５−４を備えている。

ポート１５−１〜１５−４は、通信端末３１−１〜３１−３が接続されるＬＡＮ３のネットワークインタフェース、およびＶＬＡＮ５１−１〜５１−３のネットワークインタフェースの機能を備えている。図１においては、ポート１５−１が通信端末３１−１を収容し、ポート１５−２が通信端末３１−２を収容し、ポート１５−３が通信端末３１−３を収容し、ポート１５−４がＶＬＡＮ５１−１〜５１−３を収容している。ここでは、ＬＡＮ３およびＶＬＡＮ５１−１〜５１−３のネットワークインタフェースをイーサネット（登録商標）とするがこれに限るものではない。また、ネットワークインタフェースは、有線であっても、無線であってもよく、その通信速度も特に制限するものではない。

記憶部１４は、ゲートウェイ装置１がＩＰパケットを転送するために必要な情報を記憶する。図１においては、接続情報テーブル１４１、認証情報テーブル１４２、マルチキャスト参加状態情報テーブル１４３、マルチキャストルーティングテーブル１４４、ルーティングテーブル１４５、インタフェーステーブル１４６、およびポートテーブル１４７を記憶する。

接続情報テーブル１４１には、通信端末３１−１〜３１−３を利用するユーザおよび通信端末３１−１〜３１−３のアクセス認証に必要な情報が登録される。図２は、接続情報テーブル１４１に対する登録項目を示すものであり、ここでは登録項目として、ユーザ名およびパスワードを挙げている。ユーザ名には、通信端末３１−１〜３１−３を利用するユーザを識別するためのユーザ識別子が登録される。パスワードはユーザ名に対応付けられており、ユーザ名に登録されたユーザ識別子を認証するためのパスワードが登録される。

認証情報テーブル１４２には、認証されたユーザが利用する通信端末３１−１〜３１−３が接続するネットワークを識別するために必要な情報が登録される。図３は、認証情報テーブル１４２に対する登録項目を示すものであり、ここでは登録項目として、端末情報およびＶＬＡＮ情報を挙げている。端末情報には、通信端末３１−１〜３１−３を識別するための端末識別子が登録される。端末識別子としては、通信端末３１−１〜３１−３のＩＰアドレスやＭＡＣアドレス、通信端末３１−１〜３１−３を収容するポート１５−１〜１５−３に付与されているポート識別子などが用いられる。ＶＬＡＮ情報は端末情報に対応付けられており、端末情報に登録された端末識別子を有する通信端末３１−１〜３１−３が接続するネットワークであるＶＬＡＮ５１−１〜５１−３を識別するためのネットワーク識別子であるＶＬＡＮ識別子が登録される。

マルチキャスト参加状態情報テーブル１４３には、通信端末３１−１〜３１−３が参加するマルチキャストグループの情報が登録される。図４は、マルチキャスト参加状態情報テーブル１４３に対する登録項目を示すものであり、ここでは登録項目として、端末情報および宛先マルチキャストグループ情報を挙げている。端末情報には、通信端末３１−１−１〜３１−３を識別するための端末識別子が登録さる。宛先マルチキャストグループ情報は端末情報に対応付けられており、端末情報に登録された端末識別子を有する通信端末３１−１〜３１−３が参加するマルチキャストグループを識別するためのマルチキャストグループ識別子が登録される。ここでは、マルチキャストグループ識別子として、マルチキャストグループアドレスを用いている。

インタフェーステーブル１４６は、図５に示すように、ＩＰパケットの受信インタフェースとネットワーク情報との対応付けが登録される。図５は、図１に示したＷＡＮ５側の物理的もしくは論理的なネットワークがＶＬＡＮ５１−１〜５１−３の場合であり、受信インタフェースおよびネットワーク情報には、ＶＬＡＮ５１−１〜５１−３のＶＬＡＮ識別子が登録されている。

マルチキャストルーティングテーブル１４４には、マルチキャストのＩＰパケットを転送する際のルーティング処理に必要な情報が登録される。図６は、マルチキャストルーティングテーブル１４４に対する登録項目を示すものであり、ここでは登録項目として、ＶＬＡＮ情報と、宛先マルチキャストグループ情報と、ルート情報とを挙げている。ＶＬＡＮ情報には、ＶＬＡＮ５１−１〜５１−３を識別するためのＶＬＡＮ識別子が登録される。宛先マルチキャストグループ情報には、転送すべきＩＰパケットがどのマルチキャストグループのＩＰパケットであるかを識別するためのマルチキャストグループ識別子が登録される。図６においては、マルチキャストグループ識別子として、マルチキャストグループアドレスを用いている。ルート情報はＶＬＡＮ情報および宛先マルチキャストグループ情報に対応付けられており、ＶＬＡＮ情報に登録されたＶＬＡＮ識別子が示すＶＬＡＮにおいて、宛先マルチキャストグループ情報に登録されたマルチキャストグループ識別子が示すマルチキャストグループの物理的、または論理的なインタフェースが登録される。ここでは、ルート情報として、宛先マルチキャストグループ情報に登録されたマルチキャストグループアドレスが示すマルチキャストグループに参加している通信端末３１−１〜３１−３を識別するための端末識別子が登録されている。

ルーティングテーブル１４５には、マルチキャストのＩＰパケットとは異なるＩＰパケットを転送する際のルーティング処理に必要な情報が登録される。図７は、ルーティングテーブル１４５に対する登録項目を示すものであり、ここでは登録項目として、ＶＬＡＮ情報と、宛先ＩＰプリフィックス情報と、ルート情報とが挙げられている。ＶＡＬＮ情報には、ＩＰパケットを送信するＶＬＡＮ５１−１〜ＶＬＡＮ５１−３を識別するためのＶＬＡＮ識別子が登録される。宛先ＩＰプリフィックス情報には、ＩＰパケットの宛先ＩＰプリフィックスが登録される。ルート情報はＶＬＡＮ情報および宛先ＩＰプリフィックス情報に対応付けられており、ＶＬＡＮ情報に登録されているＶＬＡＮ識別子が示すＶＬＡＮ５１−１〜５１−３において、宛先ＩＰプリフィックス情報に登録されている宛先ＩＰプリフィックスが示す物理的、または論理的なインタフェースが登録される。ここでは、ルート情報として、ＶＬＡＮ識別子や通信端末３１−１〜３１−３のＭＡＣアドレス、通信端末３１−１〜３１−３を収容するポート識別子などを用いている。

ポートテーブル情報には、ＩＰパケットを出力するポート１５−１〜１５−３を選択するために必要な情報が登録される。図８は、ポートテーブル１４７に対する登録項目を示すものであり、ここでは登録項目として、ポート情報および接続情報が登録される。ポート情報には、ポート１５−１〜１５−４を識別するためのポート識別子が登録される。接続情報はポート情報に対応付けられており、ポート情報に登録されたポート識別子が示すポート１５−１〜１５−４が収容する通信端末３１−１〜３１−３を識別するための端末識別子や、ＶＬＡＮ５１−１〜５１−３を識別するためのＶＬＡＮ識別子が登録される。

認証処理部１１は、通信端末３１−１〜３１−３から受信した認証要求のレイヤ２フレーム（以下、認証要求フレームとする）および離脱要求のレイヤ２フレーム（以下、離脱要求フレームとする）と、接続情報テーブル１４１とに基づいて、通信端末３１−１〜３１−３がＶＬＡＮ５１−１〜５１−３への接続を認証するアクセス認証処理を行うとともに、認証情報テーブル１４２の登録および抹消処理を行う。

ＩＧＭＰプロキシ処理部１２は、一般的なＩＧＭＰプロキシの機能に加え、マルチキャスト参加状態情報テーブル１４３およびマルチキャストルーティングテーブル１４４を管理する機能を備えている。具体的には、ＩＧＭＰプロキシ処理部１２は、ＬＡＮ３に対しては、通信端末３１−１〜３１−３との間でＩＧＭＰ通信を行って、通信端末３１−１〜３１−３が参加するマルチキャストグループの情報を収集し、収集した情報に基づいてマルチキャスト参加状態情報テーブル１４３およびマルチキャストルーティングテーブル１４４の登録および更新処理を行う。また、ＷＡＮ５側に対してはＶＬＡＮ５１−１〜５１−３において独立したＩＧＭＰホストとしての処理を行う。

ルーティング処理部１３は、認証情報テーブル１４２、マルチキャストルーティングテーブル１４４、ルーティングテーブル１４５、インタフェーステーブル１４６、およびポートテーブル１４７に基づいてＩＰパケットの転送先を選択してＩＰパケットを転送する。

なお、図１に示したゲートウェイ装置１は、本発明に関わる構成要素のみを記載しており、実際には、たとえば、ファイアウォール機能、ＤＮＳ（Domain Name System）プロキシ機能、ＤＨＣＰ（Dynamic Host Configuration Protocol）サーバ機能、ＤＨＣＰクライアント機能、ＮＡＴ（Network Address Translation）機能など、一般的なゲートウェイ装置の機能を備えていてもかまわない。

また、ＷＡＮ５を構成するネットワークが、ＭＰＬＳにおけるＬＳＰやＰＰＰコネクションなどである場合、当該する論理ネットワークにおける通信に必要な機能を備える必要があるが、これらの機能は、一般的な論理ネットワークにおける通信に必要とされる機能であり、本発明に関わる機能ではないためここではその説明を省略する。

つぎに、図１〜図１２を参照してこの発明におけるゲートウェイ装置１の動作を説明する。まず、図９のフローチャートを参照して、認証情報テーブル１４２の登録処理を含む認証処理の動作について説明する。通信端末３１−１〜３１−１を用いて通信を行なう際に、ユーザは、予め付与されたユーザ名およびパスワードなどを入力して接続処理を行う。通信端末３１−１〜３１−３は、入力されたユーザ名、パスワード、予め付与されている端末識別子およびＶＬＡＮ識別子を含む認証要求フレームをゲートウェイ装置１に送信する。

ゲートウェイ装置１の認証処理部１１は、ポート１５−１〜１５−３を介して認証要求フレームを受信すると（ステップＳ１００）、認証要求フレームからユーザ名およびパスワードを抽出する（ステップＳ１０１）。認証処理部１１は、抽出したユーザ名およびパスワードを検索キーとして接続テーブルを検索する（ステップＳ１０２）。

検索キーと一致するユーザ名およびパスワードを検出した場合（ステップＳ１０３，Ｙｅｓ）、認証処理部１１は、認証要求フレームから端末識別子およびＬＶＡＮ識別子を抽出する（ステップＳ１０４）。認証処理部１１は、抽出した端末識別子およびＶＬＡＮ識別子を認証情報テーブル１４２に登録する（ステップＳ１０５）。認証処理部１１は、接続を認証したことを示す認証処理結果を含むレイヤ２フレームを通信端末３１−１に送信して認証処理を終了する（ステップＳ１０６）。

一方、検索キーと一致するユーザ名およびパスワードを検出できなかった場合（ステップＳ１０３，Ｎｏ）、接続不可であることを示す認証処理結果を含むレイヤ２フレームを通信端末３１−１に送信して認証処理を終了する（ステップＳ１０７）。

この認証処理によって認証を受け、認証情報テーブル１４２に登録された通信端末３１−１〜３１−３のみが、認証情報テーブル１４２に登録されたＶＬＡＮ５１−１〜５１−３への接続が可能となる。

なお、認証に用いる接続情報テーブル１４１は、ゲートウェイ装置１とは異なる認証サーバに備えるようにしてもよい。この場合、ゲートウェイ装置１は、認証サーバとの通信手段および認証サーバ内の接続情報テーブル１４１を参照する機能を備えるようにすればよい。認証サーバとの通信手段は、一般的には、ＲＡＤＩＵＳ（Remote Authentication Dial In User Service）などが用いられるが、本発明においては、どのようなものであってもかまわない。

また、認証要求フレーム内にＶＬＡＮ識別子を含めるようにしたが、通信端末３１−１〜３１−３が接続するＶＬＡＮ５１−１〜５１−３が１つである場合には、認証要求フレーム内にＶＬＡＮ識別子を含めなくてもかまわない。この場合、通信端末３１−１〜３１−３の端末識別子と当該通信端末３１−１〜３１−３が接続するＶＬＡＮ５１−１〜５１−３を示すＶＬＡＮ識別子とを対応付けたテーブルをゲートウェイ装置１の記憶部１４に記憶しておき、認証要求フレーム内の端末識別子に基づいてテーブルを検索してＶＬＡＮ識別子を選択するようにすればよい。

つぎに、認証情報テーブル１４２の抹消処理の動作について説明する。通信を終了する際に、通信端末３１−１〜３１−３は、端末識別子を含む離脱要求フレームをゲートウェイ装置１に送信する。

ゲートウェイ装置１の認証処理部１１は、ポート１５−１〜１５−３を介して離脱要求フレームを受信すると、離脱要求フレームから端末識別子を抽出する。認証処理部１１は、抽出した端末識別子を検索キーとして認証情報テーブル１４２の端末情報に登録されている端末識別子を検索し、検索キーと一致する端末識別子を検出する。認証処理部１１は、検出した端末識別子を端末情報から削除するとともに、当該端末情報に対応付けてＶＬＡＮ情報に登録されているＶＬＡＮ識別子を削除する。

認証処理部１１は、認証情報テーブル１４２から端末識別子およびＶＬＡＮ識別子を削除した後に、削除した端末識別子およびＶＬＡＮ識別子を含む抹消指示をＩＧＭＰプロキシ処理部１２に通知する。ＩＧＭＰプロキシ処理部１２は、抹消指示を受けると後述するマルチキャスト参加状態情報テーブル１４３およびマルチキャストルーティングテーブル１４４の抹消処理を実行する。

なお、認証情報テーブル１４２の抹消処理は、離脱要求フレームの受信以外を契機として実行するようにしてもよい。たとえば、ゲートウェイ装置１の図示しない入力手段から入力される削除指示や、予め定められた所定の時間内に通信が行われなかった場合、通信端末３１−１〜３１−３とゲートウェイ装置１を接続するケーブルがはずされたことを検出した場合などに実行するようにしてもよい。

具体的には、ゲートウェイ装置１の図示しない入力手段から入力される削除指示によって認証情報テーブル１４２の抹消処理を実行する場合、管理者は、入力手段を用いて、認証情報テーブル１４２から削除する通信端末３１−１〜３１−３の端末識別子を含む削除指示を入力する。削除指示を受けると、認証処理部１１は、削除指示内から端末識別子を抽出して、離脱要求から抽出した端末識別子の代わりに抽出した端末識別子を用いて認証情報テーブル１４２の抹消処理を実行する。

また、予め定められた所定の時間内に通信が行われなかった際に認証情報テーブル１４２の抹消処理を実行する場合、認証処理部１１は、認証処理を行った通信端末３１−１〜３１−３毎に転送するＩＰパケットを監視する。監視の結果予め定められた所定の時間内に通信が行われなかった通信端末３１−１〜３１−３を検出した場合、認証処理部１１は、離脱要求から抽出した端末識別子の代わりに、検出した通信端末３１−１〜３１−３の端末識別子を用いて認証情報テーブル１４２の抹消処理を実行する。

また、通信端末３１−１〜３１−３とゲートウェイ装置１を接続するケーブルがはずされたことを検出して認証譲歩テーブルの抹消処理を実行する場合、認証処理部１１は、ポートケーブルのリンクダウンによってポート１５−１〜１５−３からケーブルがはずされたことを検出し、検出したポート１５−１〜１５−３に接続されている端末識別子をポートテーブル１４７から検出する。認証処理部１１は、離脱要求から抽出した端末識別子の代わりに、検出した端末識別子を用いて認証情報テーブル１４２の抹消処理を実行する。

つぎに、図１０のフローチャートを参照して、マルチキャスト参加状態テーブルおよびマルチキャストルーティングテーブル１４４の登録処理の動作について説明する。ゲートウェイ装置１のＩＧＭＰプロキシ処理部１２は、ＩＧＭＰ通信として、マルチキャストグループ問い合せ要求（ＩＧＭＰＱｕｅｒｙメッセージ）をＬＡＮ３側の通信端末３１−１〜３１−３に送信する。マルチキャストグループ問い合せ要求を受信すると、マルチキャストグループに参加している通信端末３１−１〜３１−３は、端末識別子および参加しているマルチキャストグループのマルチキャストグループアドレスを含むマルチキャスト参加要求（ＩＧＭＰＲｅｐｏｒｔメッセージ）を送信する。

ゲートウェイ装置１のＩＧＭＰプロキシ処理部１２は、マルチキャスト参加要求を受信すると（ステップＳ２００）、受信したマルチキャスト参加要求から端末識別子およびマルチキャストグループアドレスを抽出する（ステップＳ２０１）。ＩＧＭＰプロキシ処理部１２は、抽出した端末識別子およびマルチキャストグループアドレスの組がマルチキャスト参加状態情報テーブル１４３に登録済みであるか否かを判定する（ステップＳ２０２）。抽出した端末識別子およびマルチキャストグループアドレスの組がマルチキャスト参加情報状態テーブルに登録済みである場合、ＩＧＭＰプロキシ処理部１２は、マルチキャスト参加状態テーブルおよびマルチキャストルーティングテーブル１４４の登録処理を終了する。

抽出した端末識別子およびマルチキャストグループアドレスの組がマルチキャスト参加情報状態テーブルに登録に登録されていない場合、ＩＧＭＰプロキシ処理部１２は、抽出した端末識別子およびマルチキャストグループアドレスの組をマルチキャスト参加状態情報テーブル１４３に登録する（ステップＳ２０３）。具体的には、マルチキャスト参加状態情報テーブル１４３の端末情報に抽出した端末識別子を、宛先マルチキャストグループ情報に抽出したマルチキャストグループアドレスを登録する。

ＩＧＭＰプロキシ処理部１２は、抽出した端末識別子および認証情報テーブル１４２に基づいてＶＬＡＮ識別子を選択する（ステップＳ２０４）。具体的には、ＩＧＭＰプロキシ処理部１２は、抽出した端末識別子を検索キーとして認証情報テーブル１４２の端末情報に登録されている端末識別子を検索し、検索キーと一致する端末識別子に対応付けて認証情報テーブル１４２のＶＬＡＮ情報に登録されているＶＬＡＮ識別子を選択する。

ＩＧＭＰプロキシ処理部１２は、選択したＶＬＡＮ識別子と、マルチキャスト参加要求から抽出した端末識別子およびマルチキャストグループアドレスをマルチキャストルーティングテーブル１４４に登録する（ステップＳ２０５）。具体的には、ＩＧＭＰプロキシ処理部１２は、選択したＶＬＡＮ識別子およびマルチキャストグループアドレスを検索キーとして、マルチキャストルーティングテーブル１４４のＶＬＡＮ情報および宛先マルチキャストグループ情報を検索する。検索キーと一致するＶＬＡＮ識別子およびマルチキャストグループアドレスを検出した場合、ＩＧＭＰプロキシ処理部１２は、検出したＶＬＡＮ識別子およびマルチキャストグループアドレスが登録されているＶＬＡＮ情報および宛先マルチキャストグループ情報に対応付けられているルート情報にマルチキャスト参加要求から抽出した端末識別子を追加する。検索キーと一致するＶＬＡＮ識別子およびマルチキャストグループアドレスが検出することができなかった場合、ＩＧＭＰプロキシ処理部１２は、ＶＬＡＮ情報に選択したＶＬＡＮ識別子を登録し、宛先マルチキャストグループ情報にマルチキャスト参加要求から抽出したマルチキャストグループアドレスを登録し、ルート情報にマルチキャスト参加要求から抽出した端末識別子を登録する。

ＩＧＭＰプロキシ処理部１２は、マルチキャスト参加状態情報テーブル１４３およびマルチキャストルーティングテーブル１４４の登録処理を終了した後に、ＩＧＭＰホストの機能として、図示していないＷＡＮ５側に接続されたルータとの間でＩＧＭＰ通信を行う。具体的には、ＷＡＮ５を介して受信したマルチキャストグループ問合せ要求に対して、当該ＷＡＮ５が示すＶＬＡＮ５１−１〜５１−３に関して保持するマルチキャスト参加状態情報を参照して、マルチキャストグループ問合せ内容に合致するマルチキャストグループ参加要求を送信する。

つぎに、図１１のフローチャートを参照して、マルチキャスト参加状態情報テーブル１４３およびマルチキャストルーティングテーブル１４４の抹消処理の動作について説明する。ゲートウェイ装置１のＩＧＭＰプロキシ処理部１２は、ＩＧＭＰ通信として、マルチキャストグループ問い合せ要求（ＩＧＭＰＱｕｅｒｙメッセージ）をＬＡＮ３側の通信端末３１−１〜３１−３に送信する。マルチキャストグループ問い合せ要求を受信すると、マルチキャストグループから離脱する通信端末３１−１〜３１−３は、端末識別子および離脱するマルチキャストグループのマルチキャストグループアドレスを含むマルチキャスト離脱要求（ＩＧＭＰＬｅａｖｅメッセージ）を送信する。

ゲートウェイ装置１のＩＧＭＰプロキシ処理部１２は、マルチキャスト離脱要求を受信すると（ステップＳ３００）、受信したマルチキャスト離脱要求から端末識別子およびマルチキャストグループアドレスを抽出する（ステップＳ３０１）。

ＩＧＭＰプロキシ処理部１２は、抽出した端末識別子およびマルチキャストグループアドレスの組をマルチキャスト参加状態情報テーブル１４３から削除する（ステップＳ３０２）。ＩＧＭＰプロキシ処理部１２は、抽出したマルチキャストアドレスに対応付けてマルチキャストルーティングテーブル１４４に登録されている端末識別子に関する情報を削除する（ステップＳ３０３）。

具体的には、ＩＧＭＰプロキシ処理部１２は、抽出した（マルチキャストグループ参加状態情報テーブルから削除した）マルチキャストグループアドレスを検索キーとして、マルチキャストルーティングテーブル１４４の宛先マルチキャストグループ情報を検索し、検索キーと一致するマルチキャストグループアドレスを抽出する。ＩＧＭＰプロキシ処理部１２は、マルチキャストグループ参加状態情報テーブルから削除した端末識別子を抽出したマルチキャストグループに対応付けられているルート情報から削除する。ルート情報に他の端末識別子が登録されている場合、ＩＧＭＰプロキシ処理部１２は、マルチキャスト参加状態情報テーブル１４３およびマルチキャストルーティングテーブル１４４の抹消処理を終了する。

ルート情報に他の端末識別子が登録されていない場合、ＩＧＭＰプロキシ処理部１２は、削除した端末識別子が登録されているルーと情報に対応付けられている宛先マルチキャストグループ情報に登録されているマルチキャストグループアドレスおよびＶＬＡＮ情報に登録されているＶＬＡＮ識別子を削除して、マルチキャスト参加状態情報テーブル１４３およびマルチキャストルーティングテーブル１４４の抹消処理を終了する。

ＩＧＭＰプロキシ処理部１２は、マルチキャスト参加状態情報テーブル１４３およびマルチキャストルーティングテーブル１４４の抹消処理を終了した後に、ＩＧＭＰホストの機能として、図示していないＷＡＮ５側に接続されたルータとの間でＩＧＭＰ通信を行う。具体的には、ＷＡＮ５を介して受信したマルチキャストグループ問合せ要求に対して、当該ＷＡＮ５が示すＶＬＡＮ５１−１〜５１−３に関して保持するマルチキャスト参加状態情報を参照して、マルチキャストグループ問合せ内容に合一するマルチキャストグループ離脱要求を送信する。

なお、上述したマルチキャスト参加状態情報テーブル１４３およびマルチキャストルーティングテーブル１４４の抹消処理は、上述した認証処理部１１からの抹消指示によっても実行される。この場合、ＩＧＭＰプロキシ処理部１２は、抹消指示に含まれる端末識別子を検索キーとしてマルチキャスト参加状態情報テーブル１４３の端末情報を検索して、検索キーと一致する端末情報に対応付けられている宛先マルチキャストグループ情報を削除するとともに、削除したマルチキャストグループアドレスおよび抹消処理に含まれる端末識別子を用いてマルチキャストルーティングテーブル１４４を更新するようにすればよい。

つぎに、図１２のフローチャートを参照して、ＩＰパケットの転送処理の動作について説明する。なお、ルーティングテーブル１４５は、一般的なルータの機能によって予め作成されているものとする。ルーティング処理部１３は、ポート１５−１〜１５−４を介してＩＰパケットを含むフレームを受信すると（ステップＳ４００）、受信したフレームがタグ付きレイヤ２フレームであるか否かを判定する（ステップＳ４０１）。受信したフレームがタグ付きレイヤ２フレームの場合、ルーティング処理部１３は、インタフェーステーブル１４６に基づいてＶＬＡＮ５１−１〜５１−３を選択する（ステップＳ４０２）。具体的には、タグ付きレイヤ２フレームのＶＬＡＮタグから受信インタフェースであるＶＬＡＮ識別子を抽出し、抽出したＶＬＡＮ識別子を検索キーとしてインタフェーステーブル１４６の受信インタフェースを検索し、検索キーと一致する受信インタフェースに対応付けられてインタフェーステーブル１４６のユーザネットワーク情報に登録されているＶＬＡＮ識別子を選択する。

一方、受信したフレームがレイヤ２フレームの場合、ルーティング処理部１３は、認証情報テーブル１４２に基づいてＶＬＡＮを選択する（ステップＳ４０３）。具体的には、レイヤ２フレームに含まれる端末識別子を検索キーとして認証情報テーブル１４２の端末情報を検索し、検索キーと一致する端末情報に対応付けて認証情報テーブル１４２のＶＬＡＮ情報に登録されているＶＬＡＮ識別子を選択する。

ＶＬＡＮ識別子を選択した後、ルーティング処理部１３は、受信したフレームのＩＰヘッダの送信先ＩＰアドレスに設定されているＩＰアドレスがマルチキャストグループアドレスであるか否かを判定する（ステップＳ４０４）。送信先ＩＰアドレスに設定されているＩＰアドレスがマルチキャストアドレスである場合、ルーティング処理部１３は、マルチキャストルーティングテーブル１４４およびポートテーブル１４７に基づいてＩＰパケットの送信先を選択してＩＰパケットを転送する（ステップＳ４０５）。

具体的には、ルーティング処理部１３は、インタフェーステーブル１４６または認証情報テーブル１４２を用いて選択したＶＬＡＮ識別子、およびＩＰヘッダの送信先ＩＰアドレスに設定されているＩＰアドレス（マルチキャストグループアドレス）の組を検索キーとして、マルチキャストルーティングテーブル１４４のＶＬＡＮ情報および宛先マルチキャストグループ情報を検索し、検索キーと一致するＶＬＡＮ情報および宛先マルチキャストグループ情報に対応付けてマルチキャストルーティングテーブル１４４のルート情報に登録されている端末識別子を取得する。ルーティング処理部１３は、取得した端末識別子を検索キーとしてポートテーブル１４７の接続情報を検索して端末識別子が示す通信端末３１−１〜３１−３を収容しているポート１５−１〜１５−３を示すポート識別子を選択する。ルーティング処理部１３は、ＩＰヘッダ中の生存時間の減算、チェックサム再計算などの一般的なルータのパケット転送処理によってＩＰパケットを含むレイヤ２フレームを生成し、生成したレイヤ２フレームを選択したポート識別子が示すポート１５−１〜１５−３に送信する。

一方、送信先ＩＰアドレスに設定されているＩＰアドレスがマルチキャストアドレスではない場合、ルーティング処理部１３は、ルーティングテーブル１４５およびポートテーブル１４７に基づいてＩＰパケットの送信先を選択してＩＰパケットを転送する（ステップＳ４０６）。

具体的には、ルーティング処理部１３は、インタフェーステーブル１４６または認証情報テーブル１４２を用いて選択したＶＬＡＮ識別子、およびＩＰヘッダの送信先ＩＰアドレスに設定されているＩＰアドレス（ＩＰプリフィックス）の組を検索キーとしてルーティングテーブル１４５のＶＬＡＮ情報および宛先ＩＰプリフィックス情報を検索し、検索キーと一致するＶＬＡＮ情報および宛先プリフィックス情報に対応付けてルーティングテーブル１４５のルート情報に登録されているＶＬＡＮ識別子や通信端末３１−１〜３１−３のＭＡＣアドレス、通信端末３１−１〜３１−３を収容するポート識別子などの送信先の識別情報を取得する。ルーティング処理部１３は、宛先ＩＰプリフィックス情報の検索においては、最長一致検索を行う。

送信先の識別情報が、自身を示す場合には、ルーティング処理部１３は、ＩＰパケットを送信することなく当該ＩＰパケットのデータに基づいた処理を実行する。送信先の識別情報が通信端末３１−１〜３１−３を示す場合、ルーティング処理部１３は、ＩＰヘッダ中の生存時間の減算、チェックサム再計算などの一般的なルータのパケット転送処理によってＩＰパケットを含むレイヤ２フレームを生成する。送信先の識別情報がＷＡＮ５側を示す場合、ルーティング処理部１３は、チェックサム再計算などの一般的なルータのパケット転送処理によってＩＰパケットを含むタグ付きレイヤ２フレームを生成する。タグ付きレイヤ２フレームのＶＬＡＮタグには、認証情報テーブル１４２を用いて選択したＶＬＡＮ識別子を設定する。ルーティング処理部１３は、送信先の識別情報がポート識別子の場合には、ポート識別子が示すポート１５−１〜１５−４に生成したレイヤ２フレームまたはタグ付きレイヤ２フレームを送信し、送信先の識別情報がポート識別子ではない場合には、送信先の識別情報を検索キーとしてポートテーブル１４７の接続情報を検索してポート識別子を選択し、選択したポート識別子が示すポート１５−１〜１５−４に生成したレイヤ２フレームまたはタグ付きレイヤ２フレームを送信する。

以上説明したように、この実施の形態１においては、通信端末３１−１〜３１−３との接続が認証された仮想ネットワークであるＶＬＡＮ５１−１〜５１−３およびマルチキャストグループとに対応付けて、ＶＬＡＮ５１−１〜５１−３において当該マルチキャストグループの物理的、または論理的なインタフェースであるルート情報が登録されるマルチキャストルーティングテーブ１４４を備え、ＶＬＡＮ５１−１〜５１−３が構築されるＷＡＮ５からのマルチキャストのＩＰパケットを転送する場合、マルチキャストのＩＰアドレスを受信したＶＬＡＮ５１−１〜５１−３、マルチキャストのＩＰパケットのマルチキャストグループアドレス、およびマルチキャストルーティングテーブル１４４に基づいてマルチキャストのＩＰパケットの送信先を選択するようにしているため、マルチキャストグループに参加している通信端末３１−１〜３１−３に対して、当該通信端末３１−１〜３１−３と接続が認証されたＶＬＡＮ５１−１〜５１−３からのマルチキャストのＩＰパケットのみを転送することを可能にし、通信システムのセキュリティを向上することができる。

また、この実施の形態１においては、ＶＬＡＮ５１−１〜５１−３が構築されるＷＡＮ５からのマルチキャストのＩＰパケットを転送する場合、マルチキャストのＩＰアドレスを受信したＶＬＡＮ５１−１〜５１−３、マルチキャストのＩＰパケットのマルチキャストグループアドレス、およびマルチキャストルーティングテーブル１４４に基づいてマルチキャストのＩＰパケットの送信先を選択するようにしているため、ＬＡＮ３側の通信端末３１−１〜３１−３がマルチキャストのＩＰパケットを誤って受信することを防止することができるとともに、不要なＩＰパケットを転送するとがなくなり、ＬＡＮ３におけるマルチキャストの通信によるトラフィックの増加を抑制することができ、通信システムとしての性能を向上することができる。

なお、この実施の形態１においては、ＩＰパケットの転送先を選択する際に用いるマルチキャストルーティングテーブル１４４およびルーティングテーブル１４５のルート情報に、端末識別子としてＭＡＣアドレスまたはＩＰアドレスを用いたため、端末識別子が示す通信端末３１−１〜３１−３や、ＶＬＡＮ識別子が示すＶＬＡＮ５１−１〜５１−３を収容するポート１５−１〜１５−４を選択するために記憶部１４にポートテーブル１４７を記憶させるようにしたが、マルチキャストルーティングテーブル１４４およびルーティングテーブル１４５のルート情報にポート識別子を用いた場合には、ＩＰパケットを送信するポート１５−１〜１５−４を認識することができるので、ポートテーブル１４７は不要となる。

また、この実施の形態１においては、マルチキャストルーティングテーブル１４４のルート情報には複数の通信端末３１−１〜３１−３の端末識別子が登録可能であること、また、宛先マルチキャストグループ情報に登録されるマルチキャストグループアドレスが必ずしも最長一致検索を要さないことから、マルチキャストルーティングテーブル１４４とルーティングテーブル１４５とを分離したが、ＩＰアドレス体系においてマルチキャストグループアドレスとその他のアドレスが分離されているので、必ずしもマルチキャストルーティングテーブル１４４とルーティングテーブル１４５とを分離する必要はなく、１つのテーブルとしてもかまわない。

実施の形態２．
図１３を用いてこの発明の実施の形態２を説明する。一般的なゲートウェイ装置には、複数のインタフェース（ポート）をレイヤ２で接続し、レイヤ３においては、当該複数のポートが単一であるように扱うブリッジ接続機能を有するものがある。この実施の形態２では、ブリッジ接続機能を有するゲートウェイ装置に、本発明を適用する場合について説明する。

図１３は、この発明における実施の形態２のネットワーク中継装置であるゲートウェイ装置の構成、およびゲートウェイ装置が適用される通信システムの構成を示す図である。図１３に示した通信システムは、先の図１に示した実施の形態１の通信システムのゲートウェイ装置１の代わりに、ゲートウェイ装置１ａを備えている。ゲートウェイ装置１ａは、ゲートウェイ装置１のＩＧＭＰプロキシ処理部１２の代わりにＩＧＭＰプロキシ処理部１２ａを備え、さらにブリッジ１６が追加されている。なお、図１に示した通信システムおよびゲートウェイ装置１と同じ機能を持つ構成部分には同一符号を付し、重複する説明は省略する。

ゲートウェイ装置１ａは、ＬＡＮ３側のインタフェースであるポート１５−１〜１５−３をブリッジ接続する構成であり、ブリッジ１６が、ポート１５−１〜１５−３をレイヤ２で接続し、ポート１５−１〜１５−３を介して送受信するフレームのレイヤ２に関する処理を行なう。これにより、レイヤ３において、ゲートウェイ装置１ａ内の認証処理部１１、ＩＧＭＰプロキシ処理部１２ａ、およびルーティング処理部１３は、ポート１５−１〜１５−３を識別することなく単一のインタフェース（ポート）として扱うことになる。

ＩＧＭＰプロキシ処理部１２ａは、ＩＧＭＰプロキシ処理部１２の機能に加えて、レイヤ３通信であるＩＧＭＰ通信においてＩＧＭＰメッセージの受信インタフェースを特定するためのスヌーピング機能を備えている。ゲートウェイ装置１ａは、ブリッジ１６によってポート１５−１〜１５−３がレイヤ２によって接続され、レイヤ３通信であるＩＧＭＰ通信（ＬＡＮ３側の通信端末３１−１〜３１−３に対するマルチキャストグループ問い合わせ要求の送信と、マルチキャストグループ参加要求およびマルチキャストグループ離脱要求の受信）においては、ポート１５−１〜１５−３を単一のインタフェースとなる。そのため、ＩＧＭＰプロキシ処理部１２ａは、スヌーピング機能によってＩＧＭＰメッセージのブリッジにおける受信インタフェースおよびＬＡＮ３側の通信端末３１−１〜３１−３が参加するマルチキャストグループの情報を収集する。

なお、この実施の形態２のゲートウェイ装置１ａの動作は、先の実施の形態１のゲートウェイ装置１とほぼ同じであり、相違点は、ＩＧＭＰメッセージの受信インタフェースをスヌーピング機能によって特定することだけであるので、ここではその動作の説明を省略する。

このように、この実施の形態２においては、ＩＧＭＰプロキシ処理部１２が、ブリッジ１６内のレイヤ２接続をスヌーピングして、マルチキャスト参加要求および／またはマルチキャスト離脱要求を送信した通信端末３１−１〜３１−３およびマルチキャストグループを抽出するようにしているため、ＬＡＮ３側の通信端末３１−１〜３１−３を収容するポート１５−１〜１５−３をレイヤ２で接続し、レイヤ３においては、ポート１５−１〜１５−３が単一のインタフェースとして扱うブリッジ機能を有する場合でも、マルチキャストグループに参加している通信端末３１−１〜３１−３に対して、当該通信端末３１−１〜３１−３と接続が認証されたＶＬＡＮ５１−１〜５１−３からのマルチキャストのＩＰパケットのみを転送することを可能にし、通信システムのセキュリティを向上することができる。

以上のように、本発明にかかるネットワーク中継装置は、相互接続する異なるネットワークとしてＬＡＮとＷＡＮを用いた場合に有用であり、特に、ＬＡＮ側に接続される通信装置を通信装置毎に論理的に分離された異なるＷＡＮに接続する通信システムに適している。

この発明における実施の形態１のネットワーク中継装置であるゲートウェイ装置の構成、およびゲートウェイ装置が適用される通信システムの構成を示す図である。図１に示したゲートウェイ装置の記憶部が記憶する接続情報テーブルの構成を示す図である。図１に示したゲートウェイ装置の記憶部が記憶する認証情報テーブルの構成を示す図である。図１に示したゲートウェイ装置の記憶部が記憶するマルチキャスト参加状態情報テーブルの構成を示す図である。図１に示したゲートウェイ装置の記憶部が記憶するインタフェーステーブルの構成を示す図である。図１に示したゲートウェイ装置の記憶部が記憶するマルチキャストルーティングテーブルの構成を示す図である。図１に示したゲートウェイ装置の記憶部が記憶するポートテーブルの構成を示す図である。図１に示したゲートウェイ装置の記憶部が記憶するルーティングテーブルの構成を示す図である。この発明における実施の形態１のゲートウェイ装置の認証情報テーブルの登録処理を含む認証処理の動作を説明するためのフローチャートである。この発明における実施の形態１のゲートウェイ装置のマルチキャスト参加状態テーブルおよびマルチキャストルーティングテーブルの登録処理の動作を説明するためのフローチャートである。この発明における実施の形態１のゲートウェイ装置のマルチキャスト参加状態テーブルおよびマルチキャストルーティングテーブルの抹消処理の動作を説明するためのフローチャートである。この発明における実施の形態１のゲートウェイ装置のＩＰパケットの転送処理の動作を説明するためのフローチャートである。この発明における実施の形態２のネットワーク中継装置であるゲートウェイ装置の構成、およびゲートウェイ装置が適用される通信システムの構成を示す図である。

符号の説明

１，１ａゲートウェイ装置
３ＬＡＮ
５ＷＡＮ
１１認証処理部
１２ＩＧＭＰプロキシ処理部
１３ルーティング処理部
１４記憶部
１５−１，１５−２，１５−３，１５−４ポート
３１−１，３１−２，３１−３通信端末
５１−１，５１−２，５１−３ＶＬＡＮ
１４１接続情報テーブル
１４２認証情報テーブル
１４３マルチキャスト参加状態情報テーブル
１４４マルチキャストルーティングテーブル
１４５ルーティングテーブル
１４６インタフェーステーブル
１４７ポートテーブル

Claims

１若しくは複数の通信端末が接続される第１のネットワークと、複数の仮想ネットワークが構築される第２のネットワークとの間に配置され、前記通信端末が前記複数の仮想ネットワークの少なくとも１つへ接続を認証する認証処理部を有し、この認証処理部によって認証された場合のみ、前記通信端末を前記仮想ネットワークに接続してＩＰパケットを転送するネットワーク中継装置において、
前記通信端末に対応付けて、前記認証処理部によって接続が認証された仮想ネットワークが登録される認証情報テーブルと、
前記ＩＰパケットの受信インタフェースに対応付けて前記受信インタフェースが収容する仮想ネットワークが登録されるインタフェーステーブルと、
前記仮想ネットワークおよびマルチキャストグループに対応付けて、当該仮想ネットワークにおいて当該マルチキャストグループの物理的、または論理的なインタフェースが登録されるマルチキャストルーティングテーブルと、
前記仮想ネットワークおよび宛先ＩＰプリフィックスに対応付けて、当該仮想ネットワークにおいて当該宛先ＩＰプリフィックスの物理的、または論理的なインタフェースが登録されるルーティングテーブルと、
前記中継すべきＩＰパケットがマルチキャストのＩＰパケットの場合には、前記認証情報テーブルおよび前記マルチキャストルーティングテーブルを用いてＩＰパケットの送信先を選択し、前記中継すべきＩＰパケットがマルチキャストとは異なるＩＰパケットの場合には、前記インタフェーステーブルおよび前記ルーティングテーブルを用いてＩＰパケットの送信先を選択し、選択した送信先にＩＰパケットを送信するルーティング処理部と、
を備えることを特徴とするネットワーク中継装置。
前記通信端末から参加するマルチキャストグループを含むマルチキャスト参加要求を受信した場合、マルチキャスト参加要求を送信した通信端末に対応付けて認証情報テーブルに登録されている仮想ネットワークを抽出し、前記マルチキャストルーティングテーブルに、抽出した仮想ネットワークおよび前記マルチキャスト参加要求に含まれるマルチキャストグループに対応付けてマルチキャスト参加要求を送信した通信端末を登録するＩＧＭＰプロキシ処理部、
をさらに備えることを特徴とする請求項１に記載のネットワーク中継装置。
前記通信端末から離脱するマルチキャストグループを含むマルチキャスト離脱要求を受信した場合、マルチキャスト参加要求を送信した通信端末に対応付けて認証情報テーブルに登録されている仮想ネットワークを抽出し、前記マルチキャストルーティングテーブルから、抽出した仮想ネットワークおよび前記マルチキャスト離脱要求に含まれるマルチキャストグループに対応付けて登録されているマルチキャスト参加要求を送信した通信端末を削除すること、
を特徴とする請求項１または２に記載のネットワーク中継装置。
前記認証処理部は、
前記通信端末からの参加要求によって前記仮想ネットワークに接続することを認証した後に、認証した通信端末に対応付けて接続を認証した仮想ネットワークを前記認証情報テーブルに登録すること、
を特徴とする請求項１〜３の何れか１つに記載のネットワーク中継装置。
前記認証処理部は、
前記通信端末からの離脱要求によって、前記認証情報テーブルから、前記離脱要求を送信した通信端末と当該端末に対応付けられている仮想ネットワークとを削除すること、
を特徴とする請求項１〜４の何れか１つに記載のネットワーク中継装置。
前記第１のネットワークの通信端末を収容するインタフェースをレイヤ２接続するプリッをさらに備えることを特徴とする請求項１〜５の何れか１つに記載のネットワーク中継装置。
前記ＩＧＭＰプロキシ処理部は、
前記ブリッジ内のレイヤ２接続をスヌーピングして、前記マルチキャスト参加要求および／または前記マルチキャスト離脱要求を送信した通信端末およびマルチキャストグループを抽出すること、
を特徴とする請求項６に記載のネットワーク中継装置。