JP2007288748A - スイッチングハブ、ルータおよび仮想ｌａｎシステム - Google Patents

Abstract

【課題】分割された仮想セグメント間で効率よく的確に、且つ、セキュリティを維持しながらパケット転送を行うことのできるスイッチングハブを提供する。
【解決手段】接続した複数の端末装置を複数の仮想セグメントに分割する仮想ＬＡＮ機能を備えたスイッチングハブであって、上位装置からルーティング情報を受信する制御部と、前記複数の仮想セグメントの１つに属する端末装置から受信したパケットが他のネットワーク宛であった場合、その宛先ＩＰアドレスがどの端末装置のものであるかを前記ルーティング情報に基づいて判断し、その宛先ＩＰアドレスが他の仮想セグメントに属する端末装置宛のものである場合には、このパケットを前記上位装置に転送することなく内部で転送するスイッチング部と、を備えた。
【選択図】図１

Description

この発明は、１つのスイッチングハブ内に複数の仮想セグメントを設定した仮想ＬＡＮにおいて効率的且つ安全にパケット転送を行うスイッチングハブ、ルータおよび仮想ＬＡＮシステムに関する。

仮想ＬＡＮとは、論理的な接続形態を物理的な接続形態から分離して仮想的なセグメントを構築したネットワーク形態であり、１つのネットワーク機器で複数のセグメントを管理したい場合や複数のネットワーク機器で１つのセグメントを共有したい場合等に用いられる。このうち、１つのネットワーク機器で複数のセグメントを管理したい場合には、内部でセグメントを分割することのできるレイヤ２スイッチを用いて構築される。レイヤ２スイッチとは、データリンク層(第２層)でパケットの宛先を判断してパケット転送を行なう機器であり、スイッチングハブがこれにあたる。

レイヤ２スイッチ内でセグメントを分割すると、これら分割されたセグメント相互間のデータ転送は、上位レイヤ（ネットワーク層）装置の役割となり、同じレイヤ２スイッチ内でパケットを転送する場合でも、ルータ等の上位レイヤ機器を経由して行うことになる。

しかし、同じレイヤ２スイッチ内のパケット転送を上位レイヤ装置を経由して行うと、上記レイヤ装置へのトラフィック増大につながり、上位レイヤ装置の処理負担が増大するうえ通信の輻輳の原因にもなる。

そこで、同じレイヤ２スイッチ内の分割されたセグメント相互間のパケット転送は、上位レイヤ装置を経由せずにレイヤ２スイッチ内部で行うようにしたものが提案されている（たとえば、特許文献１）。この文献のレイヤ２スイッチでは、接続されている端末からアドレス解決要求パケット（ＡＲＰパケット）や近隣探索要求パケット（ＮＤＰパケット）またはその返信パケットをスヌーピングしてＩＰアドレス，ＭＡＣアドレス，ポートの対応関係を学習しておき、レイヤ２スイッチ内の分割されたセグメント間で送受されるパケットを上位レイヤ装置を経由せずに内部で直接転送するものである。
特開２００５−２１７７１５号公報

ところで、レイヤ２スイッチ内部でセグメントを分割する仮想ＬＡＮは、たとえば各セグメント間のデータ送受信を制限することによってセキュリティを維持するため等の目的をもって構築されるものである。

しかし、上記特許文献１の装置では、端末装置（ホスト）間で送受されるパケットをスヌーピングしてＩＰアドレス，ＭＡＣアドレス，物理ポート番号の対応関係を学習し、学習したＩＰアドレス，ＭＡＣアドレス，ポートの対応関係に基づいて自由にパケット転送が行われるため、上記セキュリティが維持できないという問題点があった。

この発明は、分割された仮想セグメント間で効率よく的確に、且つ、セキュリティを維持しながらパケット転送を行うことのできるスイッチングハブ、ルータ、仮想ＬＡＮシステムを提供することを目的とする。

（１）この発明は、接続した複数の端末装置を複数の仮想セグメントに分割する仮想ＬＡＮ機能を備えたスイッチングハブであって、上位装置からルーティング情報を受信する制御部と、前記複数の仮想セグメントの１つに属する端末装置から受信したパケットの宛先を前記ルーティング情報に基づいて判断し、その宛先が他の仮想セグメントに属する端末装置宛のものである場合には、このパケットを前記上位装置に転送することなく内部で転送するスイッチング部と、を備えたことを特徴とする。

（２）この発明は、上記発明において、前記制御部は、前記上位装置から、前記複数の仮想セグメント間の転送を許可するパケットを選別するためのパケット選別情報をさらに受信し、前記スイッチング部は、前記受信したパケットの種類が前記パケット選別情報により前記複数の仮想セグメント間の転送が許可されている場合のみ、このパケットを内部で転送することを特徴とする。

（３）この発明は、ルーティング情報を記憶する記憶手段と、前記ルーティング情報が変更される毎に、または、一定時間毎に前記記憶手段に記憶しているルーティング情報を下位に接続しているスイッチングハブに転送する手段と、を備えたことを特徴とする。

（４）この発明は、ルーティング情報および前記セグメント間の転送を許可するパケットを選別するためのパケット選別情報を記憶する記憶手段と、前記ルーティング情報またはパケット選別情報が変更される毎に、または、一定時間毎に前記記憶手段に記憶しているルーティング情報およびパケット選別情報を下位に接続しているスイッチングハブに転送する手段と、を備えたことを特徴とする。

（５）この発明は、（３）に記載のルータに、（１）に記載のスイッチングハブを接続して構成したことを特徴とする。

（６）この発明は、（４）に記載のルータに、（２）に記載のスイッチングハブを接続して構成したことを特徴とする。

この発明によれば、ルータ等の上位装置からルーティング情報を受信し、このルーティング情報に基づいて内部の仮想セグメント間でパケットを転送することにより、ＡＲＰパケット等の送受信が行われていない状況であっても全体のルーティング情報を把握することができ、的確なパケット転送をすることができる。また、ネットワーク設定が変更された場合でも、上位装置からルーティング情報が送信されてくるため、その変更に的確に対応することができる。

また、この発明によれば、ルータ等の上位装置からセグメント間転送を許可するパケットを選別するためのパケット選別情報を受信して、仮想セグメント間を転送するパケットを選別するようにしたことにより、仮想ＬＡＮ機能を用いてセグメントを分割した趣旨に沿ったセキュリティ設定でパケットの転送を規制することができる。ここで、パケット選別情報とは、たとえば、たとえば未使用のプロトコルを用いたパケット，未使用ポート宛のパケットを排除する情報やＩＣＭＰパケットのうちエコー要求およびその応答のみ許可する等の情報である。

図面を参照してこの発明の実施形態について説明する。図１はこの発明の実施形態であるスイッチングハブの概略構成図である。また、図２は該スイッチングハブの物理的な接続形態を示す図である。

図１において、スイッチングハブ１は、複数の下位ポート１２、アップリンクポート１３、スイッチング部１０、制御部１１を有している。複数の下位ポート１２には、それぞれパーソナルコンピュータ等の端末装置（ホスト）３が接続される。アップリンクポート１３には、上位装置であるルータ２が接続される。

なお、この実施形態では、アップリンクポート１３を通常のポート（下位ポート１２）と別に設けているが、アップリンクポート１３は必須の構成ではない。

スイッチング部１０は、高速ＬＳＩで構成され、上記下位ポート１２、アップリンクポート１３から入力されたパケットを所定の宛先ポートへ転送する。どのポートへ転送するかは、Ｅｔｈｅｒｎｅｔ（登録商標）の場合、そのパケットに付された宛先ＭＡＣアドレスに基づいて決定する。また、このスイッチング部１０は、仮想ＬＡＮ設定情報記憶部１０１およびパケット転送設定情報記憶部１０２を有している。仮想ＬＡＮ設定情報記憶部１０１には、前記複数の下位ポートに接続されている複数の端末装置３を複数の仮想セグメントに分割するための仮想ＬＡＮ設定情報が記憶されている。また、パケット転送設定情報記憶部１０２には、仮想セグメント間の転送を許可するパケットを選別するためのパケット選別情報および転送アドレス書換情報が記憶されている。このパケット転送設定情報の詳細については後述する。

制御部１１は、マイクロコンピュータで構成され、スイッチング部１０の上記パケット転送機能を設定する。また制御部１１は、半導体メモリで構成される記憶部１１０を有している。この記憶部１１０には、上位装置であるルータ２から送られてきたネットワーク設定情報が記憶される。ネットワーク設定情報は、各セグメントのルーティング情報およびセグメント間セキュリティ設定情報を含む情報である。制御部１１は、このネットワーク設定情報に基づいて前記パケット転送設定情報を作成し、スイッチング部１０に設定する。

図２において、アップリンクポート１３にはルータ２が接続され、複数の下位ポート１２にはそれぞれ端末装置３が接続されている。複数の端末装置３は、仮想ＬＡＮ設定により、複数の仮想セグメントに分割されている。セグメント分割は、物理ポート番号、ＭＡＣアドレス、上位プロトコル等（これらに限定されない）に基づく分割条件にしたがって行われ、その分割の設定は、仮想ＬＡＮ設定情報記憶部１０１に記憶されている。ルータ２は、複数のネットワーク（セグメント）間のパケット転送を制御する装置であり、記憶部２０に各ネットワークのＩＰアドレス、ルーティング情報、セキュリティ設定等を記憶している。ルーティング情報は、ＩＰアドレス−ＭＡＣアドレス対応テーブル、ＩＰアドレス変換情報、プロトコル変換情報等からなる。また、セキュリティ設定とは、たとえば未使用のプロトコル，ポートの遮断、入力／出力フィルタリング、ＩＣＭＰ選別（エコー要求／応答のみ許可）等である。異なるネットワーク間のパケット転送は、通常、ルータ２を経由して行われ、このときルータ２はパケットの始点ＭＡＣアドレスおよび宛先ＭＡＣアドレスを書き換える。

上記のように構成されたスイッチングハブ１は、制御部１１が、ルータ２から受信したネットワーク設定情報に基づいてパケット転送設定情報を作成し、このパケット転送設定情報をスイッチング部１０に設定する。

スイッチング部１０は、下位ポート１２から受信したパケットの宛先ＭＡＣアドレスを読み取り、そのアドレスがルータ２のアドレスであるかを判断する。受信したパケットの宛先ＭＡＣアドレスがルータ２のものでなければ、同じスイッチングハブ内の同じセグメントの端末装置宛であるため、通常のスイッチングハブの動作として無条件にそのパケットを該当の物理ポート１２に転送する。受信したパケットの宛先ＭＡＣアドレスがルータ２のものであった場合には、このパケットの宛先ＩＰアドレスを読み取る。読み取った宛先ＩＰアドレスが同じスイッチングハブ内の異なるセグメントに属する端末装置宛であった場合には、パケット選別情報に基づきこのパケットの転送を許可してよいかを判断し、転送が許可されたパケットの場合には、宛先ＭＡＣアドレスをルータ２のＭＡＣアドレスから目的の端末装置のＭＡＣアドレスに書き換えて、このパケットを該当の物理ポート１２に転送（内部転送）する。目的の端末装置のＭＡＣアドレスは、ルータ２から送られてきたルーティング情報に基づいて作成された転送アドレス書換情報に含まれている。

図３、図４のフローチャートを参照して、ルータ２およびスイッチングハブ１の動作について説明する。

図３（Ａ）はルータ２の動作を示すフローチャートである。ルーティング情報およびセグメント間セキュリティ設定情報を含むネットワーク設定情報が変更されるごとに（Ｓ１）、そのセグメントに属するスイッチングハブに対してこのネットワーク設定を転送する（Ｓ２）。仮想ＬＡＮにより複数のセグメントを有するスイッチングハブ１に対しては、それぞれのセグメントに関するネットワーク設定情報を送信する。

同図（Ｂ）は、スイッチングハブ１の制御部１１のフローチャートである。ルータ２からスイッチング部１０を介してネットワーク設定情報を受信すると（Ｓ３）、このネットワーク設定情報を記憶部１１０に書き込んで情報を更新する（Ｓ４）。このなかから、パケット転送の設定に関わる情報を抜き出してパケット転送設定情報を作成してスイッチング部１０のパケット転送設定情報記憶部１０２に設定する（Ｓ５）。

図４はスイッチングハブ１のスイッチング部１０の動作を示すフローチャートである。同図（Ａ）は、アップリンクポート１３を介してルータ２からネットワーク設定情報を受信したときの動作を示すフローチャートである。ルータ２からネットワーク設定情報を受信すると（Ｓ１０）、このネットワーク設定情報を制御部１１に転送する（Ｓ１１）。

同図（Ｂ）は、制御部１１からパケット転送設定情報を受信したときの動作を示すフローチャートである。制御部１１からパケット転送設定情報を受信すると（Ｓ１２）、このパケット転送設定情報をパケット転送設定情報記憶部１０２に書き込む（Ｓ１３）。

次に、同図（Ｃ）は、複数の下位ポート１２のいずれかからパケットを受信したときのスイッチング部１０の動作を示すフローチャートである。いずれかの下位ポート１２からパケットを受信すると（Ｓ２０）、そのパケットに書き込まれている宛先ＭＡＣアドレスを読み取ってチェックする（Ｓ２１）。この宛先ＭＡＣアドレスがルータのＭＡＣアドレスでない場合には、同一セグメント内の他の端末装置に転送すべきパケットであると判断されるため、通常のスイッチングハブの動作としてＳＡＴ(Source Address Table)を参照して該当の下位ポート１２にこのパケットを転送する（Ｓ２３）。ＭＡＣアドレスをチェックした結果、ルータ２宛のパケットすなわち発信元端末装置が他のネットワーク（セグメント）に属する端末装置に宛てたパケットであった場合には、このパケットの宛先ＩＰアドレスを読み取ってチェックする（Ｓ２４）。このＩＰアドレスがこのスイッチングハブ１に接続されている端末装置のものでない場合には（Ｓ２５でＮＯ）、このパケットをルータ２に転送する（Ｓ２６）。

一方、このパケットの宛先ＩＰアドレスがこのスイッチングハブ１の他の仮想セグメントに属する端末装置のものであった場合には、このパケットの種類等に基づいて内部転送が許可されたパケットであるかを判断する（Ｓ２７）。この判断に前記パケット選別情報を用いる。内部転送が許可されたパケットであれば（Ｓ２８でＹＥＳ）、このパケットの宛先ＭＡＣアドレスを目的の端末装置のものに書き換えて（Ｓ２９）、該当の下位ポート１２に転送する（Ｓ３０）。もし、内部転送が許可されていないパケットであれば（Ｓ２８でＮＯ）、これを破棄する（Ｓ３１）。

図３（Ｂ）および図４の各動作は、所定の時間毎にそれぞれ繰り返し実行される動作であり、最初に該当の情報（パケット）を受信ているか否かを判断し、該当の情報を受信したときのみメインの処理が実行される。

なお、内部の他の仮想セグメント宛のパケットであって内部転送が許可されていないものについてもルータ２に転送するようにしてもよい。
なお、この実施形態では、同じスイッチングハブの（内部の）他のセグメント宛のパケットであっても転送がパケット選別情報に基づいて転送を許可されたパケットのみを選別して内部転送するようにしているが、内部の他のセグメント宛のパケットは無条件に転送を許可するように設定することも可能である。

なお、図３、図４の処理動作は一例であり、本発明はこの処理動作に限定されるものではない。

この発明の実施形態であるスイッチングハブの概略構成図 同スイッチングハブの接続形態を示す図 同スイッチングハブの制御部およびルータの動作を示すフローチャート 同スイッチングハブのスイッチング部の動作を示すフローチャート

符号の説明

１…スイッチングハブ
２…ルータ
３…端末装置（ホスト）
１０…スイッチング部
１１…制御部
１２…下位ポート
１３…アップリンクポート
１０１…仮想ＬＡＮ設定情報記憶部
１０２…パケット転送設定情報記憶部
１１０…ネットワーク設定情報記憶部

Claims (6)

1. 接続した複数の端末装置を複数の仮想セグメントに分割する仮想ＬＡＮ機能を備えたスイッチングハブであって、
   上位装置からルーティング情報を受信する制御部と、
   前記複数の仮想セグメントの１つに属する端末装置から受信したパケットの宛先を前記ルーティング情報に基づいて判断し、その宛先が他の仮想セグメントに属する端末装置宛のものである場合には、このパケットを前記上位装置に転送することなく内部で転送するスイッチング部と、
   を備えたスイッチングハブ。
2. 前記制御部は、前記上位装置から、前記複数の仮想セグメント間の転送を許可するパケットを選別するためのパケット選別情報をさらに受信し、
   前記スイッチング部は、前記受信したパケットの種類が前記パケット選別情報により前記複数の仮想セグメント間の転送が許可されている場合のみ、このパケットを内部で転送する請求項１に記載のスイッチングハブ。
3. ルーティング情報を記憶する記憶手段と、
   前記ルーティング情報が変更される毎に、または、一定時間毎に前記記憶手段に記憶しているルーティング情報を下位に接続しているスイッチングハブに転送する手段と、
   を備えたルータ。
4. ルーティング情報および前記セグメント間の転送を許可するパケットを選別するためのパケット選別情報を記憶する記憶手段と、
   前記ルーティング情報またはパケット選別情報が変更される毎に、または、一定時間毎に前記記憶手段に記憶しているルーティング情報およびパケット選別情報を下位に接続しているスイッチングハブに転送する手段と、
   を備えたルータ。
5. 請求項３に記載のルータに、請求項１に記載のスイッチングハブを接続して構成した仮想ＬＡＮシステム。
6. 請求項４に記載のルータに、請求項２に記載のスイッチングハブを接続して構成した仮想ＬＡＮシステム。

Images