JP4289562B2

JP4289562B2 - トラフィック分離用のフィルタ

Info

Publication number: JP4289562B2
Application number: JP2004519463A
Authority: JP
Inventors: ニーマン，フレドリック; エーマン，アンドレアス; ルンドストレム，マグヌス; グッナルッソン，アントン
Original assignee: Packetfront Sweden AB
Current assignee: Packetfront Sweden AB
Priority date: 2002-07-05
Filing date: 2003-07-03
Publication date: 2009-07-01
Anticipated expiration: 2023-07-03
Also published as: DE60316158T2; WO2004006513A1; EP1532773A1; RU2005102830A; AU2003243116B8; SE523714C2; US20050232254A1; SE0202125L; JP2005532730A; NO20050558L; EP1532773B1; CN100438477C; CN1679280A; DE60316158D1; KR20050051632A; AU2003243116A1; ATE372626T1; AU2003243116B2; SE0202125D0; RU2310994C2

Description

本発明は、ネットワークにおける少なくとも１つのルータにおける開放型システム・インタフェース（ＯＳＩ）層２のトラフィック（トラヒック）分離を行うフィルタ、およびその方法に関する。

例えばイーサーネット（登録商標）ベースのネットワークまたは同様のネットワーク用のルータおよびスイッチのようなネットワーク装置（デバイス）を配備するとき、ＭＡＣアドレシング（メディア・アクセス・コントロール・アドレシング）を展開する現在のＯＳＩ層２（開放型システム相互接続）の技術を用いて可能になる複数のＶＬＡＮ（仮想ローカル・エリア・ネットワーク）によって、例えば層２上のルータおよびスイッチのような装置における物理ポートを分離し、複数の装置の上で同じＶＬＡＮに属する複数のポートを共に互いに結びつけ、いわゆる“トランキング（trunking、中継）”を行うことができる。

各ＶＬＡＮは、複数のルータを通してＩＰアドレシングを展開するＯＳＩ層３上で、アドレッシングのために相異なるＩＰサブネットを必要とする。過去数年にわたって、この技術を用いてブロードバンド・ネットワークを展開しようとする幾つかの試みが行われた。

イーサーネット（登録商標）は、ＣＳＭＡ／ＣＤ（Carrier Sense Multiple Access with Collision Detect、衝突検出付き搬送波感知多重アクセス）に従って共有されるメディアである。これは、１つの同じイーサーネット（登録商標）に接続される全てのホストが全てのトラフィックを取得するがそれらのＭＡＣアドレスに応じてそれを選択することを意味する。

典型的なブロードバンド・ネットワークは、個々の家庭用の装置を、共通のインフラストラクチャに、いわゆるサービス・プロバイダ・インフラストラクチャに接続するための宅内エリアに配備された多数のスイッチまたはルータで構成されている。

これを実現するためにイーサーネット（登録商標）技術を用いると、直ぐに、家庭用装置等のような様々な設備（建物）を、イーサーネット（登録商標）のような単一の共通のインフラストラクチャに接続するためのセキュリティ問題が生じる。

サービス・プロバイダは、次の点を考慮しなければならない。

−各顧客を別々のＶＬＡＮに接続すること。それには、層２の分離を確保するために、各ＶＬＡＮにつき１つのＩＰサブネットが必要であり、小さい多数のＩＰサブネットが必要となる。

−複数の顧客を単一のＶＬＡＮに接続すること。それには、より大きな単一のＩＰサブネットが必要となるが、例えばマイクロソフト（登録商標）ファイル共有（file-sharing）のような様々な顧客間で層２のアクセスを許容するというリスクが生じる。

このフィルタリングの問題を解決するために、幾つかのインプレメンテーション（実装）に用いられるポート保護機能では、同じＶＬＡＮに含まれる同じ装置の２つのポートの間でのトラフィックが阻止される。これは、それらの２つのポート上に接続されるそれぞれのホストはいかなるトラフィックをも交換することができないことを意味する。さらに、このタイプの解決法を改善した技術は、保護されたポート間のパケットをアップストリーム（上流の）フィルタ装置に転送することを含む。そのアップストリーム・フィルタ装置は、データ・パケット・トラフィックを許可すべきかどうかを判定し、それを許可すべき場合には、そのトラフィックをその宛先に送信し返す。これによって、当然、スイッチとフィルタリング装置の間で用いられる幹線（主ケーブル）リンクに、より大きい負荷が加わる。

イーサーネット（登録商標）のネットワークに接続されるコンピュータの数が現在のように増加すると、データ・トラフィック衝突に関する問題が大きくなる。この問題を解決するために、本発明によれば、イーサーネット（登録商標）を幾つかのセグメントに分割するブリッジが、相異なる様々なＭＡＣアドレスがどのセグメントに位置するかを、記憶し／学習する。その後、パケットを送信したのとは別のセグメントに位置するＭＡＣアドレスにまたはブロードキャスト（broadcast、同報、放送）アドレスに向けたパケットのみについて、パケットの転送を行う。それでも、その相異なる様々なセグメントは、依然として同じブロードキャスト領域の一部である。

現在のスイッチはそのブリッジをさらに発展させたものである。それらのスイッチは、各ポートに１つのブリッジを有するといえる。そのスイッチは、各ポートにどのＭＡＣアドレスがそれぞれ位置するかを記憶し／学習し、トラフィックが異なる別のポート上のＭＡＣアドレスに宛てられたものである場合にだけポート間の転送を行う。従って、各ポートが１つのセグメントとなるが、全ての各ポート（全てのセグメント）は依然として同じブロードキャスト領域の一部であり、ブロードキャストは全ての各ポートに対して行われる。スイッチの利点は、高速で通信することであり、それによって多数のポートが互いに同時に最高速度で通信できることである。

スイッチング技術は、例えばＶＬＡＮ、トランキングおよびスパンニング（spanning）ツリーの導入によって、進歩した。

ＶＬＡＮによって、相異なるブロードキャスト領域に対して１つのスイッチの複数のポートをグループ化（グループ分け）することができる。この場合、特定のＶＬＡＮに含まれる複数のポートは、異なるＶＬＡＮにおけるポートとは通信することができない。そのようなポートを接続するためにルータを必要とする層２を少なくとも通さない。

ＲＦＣ１０２７（ＩＥＴＦ：Internet Engineering Task Forceの管理下にあるRequest For Commentドキュメント）には、“プロキシＡＲＰ”（Proxy-ARP）として知られている技術が記載されている。この技術では、ルーティング・デバイス（装置）（ルータ）が、ローカルに（局所的に）接続されたホストによって要求されたローカル・サブネットの外側の任意のアドレスを求めるＡＲＰ要求に応答し、それによって、ＩＰデフォルト・ルートの理解を必要とすることなく、そのホストが全てのトラフィックをルータに送信するようにする。インターネットの最初の頃にこの方法が用いられて、ＩＰを完全に理解することなくＩＰプロトコルを用いて通信するようホストをガイド（案内）していた。それは、現在ではほとんど用いられない。
ＲＦＣ１０２７

発明の概要
本発明の目的は、ＯＳＩ層２のブロードキャスト（放送、同報通信）と、複数のＩＰアドレスを複数のＶＬＡＮ用の複数のサブネットに分けるための制限された可能性とに関する問題を、解決することである。

最終目標と目的を達成すべく、本発明は、ネットワークにおける少なくとも１つのアクセス・スイッチング・ルータ（ＡＳＲ）における開放型システム相互接続（ＯＳＩ）層２トラフィック分離用のフィルタに関するものである。それらのルータにおける複数のポートは、同じ仮想ローカル・エリア・ネットワークに接続されるよう構成されている。そのフィルタは、それらのポートへのデータ・パケット・トラフィックをフィルタリングする。それ（フィルタ）は、さらに、次の構成を具える。

その仮想ローカル・エリア・ネットワークに属するＭＡＣ（メディア・アクセス・コントロール）アドレスについて、ネットワーク接続された発信元装置からの層２のトラフィックを傍受し（検出し）、トラフィックが他のポートに転送されるのを許可するかどうかを判定する手段と、
そのようなトラフィックにおけるアドレス・レゾリューション・プロトコル（ＡＲＰ）ブロードキャストを傍受し、宛先装置の層２領域が発信元装置の層２領域と同じであるかどうかに関係なく、その発信元装置の（に）そのブロードキャストに応答する手段と、を具える。
それによって、その発信元装置は、そのブロードキャストによって、探した宛先装置の層２のアドレスが確認（acknowledge）されたと判定し、それによってその発信元装置はデータ・パケットをその宛先装置に送信し、その１つのルータはその送信されたデータ・パケットを受信する。
さらに、その宛先装置への出力ポートを決定する手段と、
その宛先装置の層２のアドレスを決定する手段と、
その受信したデータ・パケット中の層２のヘッダを調整する手段と、を具える。
その発信元の層２のアドレスを設定（調整）する手段は、そのデータ・パケット用のルータの発信元アドレスを設定し、その宛先装置の層２のアドレスを決定するその手段は、その宛先の層２のアドレスをその宛先装置のアドレスに設定し、そのデータ・パケットをその宛先装置に送信する。
それによって、その発信元装置および宛先装置が同じ層２の領域にある場合は、そのルータ層２のアドレスがその発信元および宛先装置の実際の宛先アドレスであることをシミュレート（確認）し、または、その発信元装置および宛先装置が同じ層２の領域にないが同じ層３のサブネットにある場合は、そのルータの層２のアドレスがその宛先へのその発信元用の実際の宛先層２のアドレスであることをシミュレートする。

本発明の一実施形態において、その宛先装置をアドレスするときに、上述のルータの層２アドレスを、サブルータに存在するポートに割り当てる。

別の実施形態において、ルータは、発信元（ソース）および／または宛先アドレスを調査して、パケット用の最良の出力ポートを決定し、そのパケットがレート（速度）制限のためのプロフィール（profile、条件設定）を有するかどうかを判定し、または開放型システム相互接続（ＯＳＩ）層３およびより上位のプロトコル層における情報に基づくその他のフィルタリングを行う。

さらに別の実施形態において、アクセス・スイッチング・ルータ（ＡＳＲ）は、層２スイッチと層３ルータの組み合わせであり、高度のパケット制御を用いた層２のスイッチング機能と、層３のルータにおける転送の判断の機能と（層２のスイッチング機能と、層３のルータにおける高度のパケット制御および転送の判断と）を組み合わせたものである。

さらに別の実施形態において、ＩＰサブネットの利用を実現し、幾つかの設備および複数（多重）のアクセス・スイッチング・ルータ（Access Switching Router、ＡＳＲ）、および複数の層２領域における同じサブネットにわたってＩＰサブネットを拡張し、それによってより多くの顧客をカバーする。しかし、別の実施形態では、顧客が、複数のコンピュータにより多くのアドレスを受信させるようにする。

本発明は、ネットワークにおいて少なくとも１つのアクセス・スイッチング・ルータにおける開放型システム相互接続（ＯＳＩ）層２トラフィック分離用のフィルタにおける方法に関するものである。それらのルータにおける複数のポートは、同じ仮想ローカル・エリア・ネットワークに接続されるよう構成されている。そのフィルタは、それらのポートへのデータ・パケット・トラフィックをフィルタリングする。それ（フィルタ）は、さらに、次のステップを含む。

その仮想ローカル・エリア・ネットワークに属するＭＡＣ（メディア・アクセス・コントロール）アドレスについて、ネットワーク接続された発信元装置（ホストＡ、ホストＢ）からの層２のトラフィックを傍受し、トラフィックが他のポートに転送されるのを許可するかどうかを判定するステップと、
そのようなトラフィックにおけるアドレス・レゾリューション・プロトコル（ＡＲＰ）ブロードキャストを傍受し、宛先装置層２領域が発信元装置層２領域と同じであるかどうかに関係なく、その発信元装置の（に）そのブロードキャストに応答するステップと、
を含む。
それによって、その発信元装置は、そのブロードキャストによって、探した宛先装置の層２のアドレスが確認（肯定応答）されたと判定し、それによってその発信元装置はデータ・パケットをその宛先装置に送信し、１つのルータはその送信されたデータ・パケットを受信する。
さらに、その宛先装置への出力ポートを決定ステップと、
その宛先装置の層２のアドレスを決定するステップと、
その受信したデータ・パケット中の層２のヘッダを調整するステップと、
を含む。
その発信元の層２のアドレスを設定する手段は、データ・パケット用のそのルータの発信元アドレスを設定し、その宛先装置の層２のアドレスを決定するその手段は、その宛先層２のアドレスをその宛先装置のアドレスに設定し、そのデータ・パケットをその宛先装置に送信する。
さらに、それによって、その発信元装置および宛先装置が同じ層２の領域にある場合は、そのルータの層２のアドレスがその発信元および宛先装置の実際の宛先アドレスであることをシミュレートし、または、その発信元装置および宛先装置が同じ層２の領域にないが同じ層３のサブネットにある場合は、そのルータの層２のアドレスがその宛先へのその発信元用の実際の宛先層２のアドレスであることをシミュレートするステップを含む。

その方法は、上述の実施形態に従う従属請求項のステップを実行することができることが分かる。

以下、本発明の所与の例および実施形態をより良く理解するために図面を参照する。

本発明に従って、層２のデータ・トラフィックに関する問題に対する解決方法を理解するには、ＩＰアドレシングの基本的機能（特徴）を理解することが重要である。ＩＰ通信用のイーサーネット（登録商標）（Ethernet（登録商標））を用いることの基本的部分は、ＡＲＰ（Address Resolution Protocol、アドレス解決プロトコル）のプロトコルの利用である。ＡＲＰを用いて、ＯＳＩの層２アドレスと層３アドレスの間の課題が解決される。それによって、層３のアドレスが既知のときに、ホストは別の装置の層２のアドレスを決定することができる。これが使用されるのは、ＩＰサブネット上のホストが同じサブネット上の別のホストと通信しようとするときである。従って、ＡＲＰを用いて、層２のアドレス（イーサーネット（登録商標）ＭＡＣアドレス）と層３のアドレス（ＩＰ）の間の変換または翻訳が行われる。

ＩＰの基本的部分は、ネットワークにおける全ての機器（デバイス、装置）が所定のグローバル・ルーティング・テーブルに関する情報を知る必要はない、というものである。機器が未知の宛先にパケットを送信した場合には、その機器は、デフォルト・ルート、明示的ルートが存在しない任意のトラフィックに用いられるパス（経路）、を用いて構成されればよい。そのデフォルト・ルートは、常に、ホストが直接接続されるサブネット上のＩＰアドレスである。デフォルト・ルートの層２アドレスは、ホストにおいて静的（固定的）に構成されている場合は（構成されていないのでない限り）、ＡＲＰプロトコルによって記憶され／学習される。

本発明によれば、ルータは、トラフィック転送判断を行うためのＯＳＩ層３またはより上位層のプロトコル情報を分析する機器または装置として定義される。

ここでは、発信元（ソース）および／または宛先アドレスを調査して、パケット用の最良の出力ポートを決定し、そのパケットがレート（速度）制限のためのプロフィール（profile）を有するかどうかを判定し、またはＯＳＩ層３およびより上位のプロトコル層における情報に基づくその他のフィルタリングを行うことを含んでいるが、それに限定されるものではない。

アクセス・スイッチング・ルータ（ＡＳＲ）は、層２スイッチと層３ルータの組み合わせである。また、それは、高度のパケット制御を用いた層２のスイッチング機能と、層３のルータにおける転送の判断の機能とを組み合わせたものである。この定義は、本発明によるルータの定義に適合し、また、ここで説明する固有のフィルタリング機能を含んでいる。

本発明の利点によって、ＡＳＲ上の全てのイーサーネット（登録商標）ポートが同じＶＬＡＮに接続されるよう構成でき、それによってそのポートが同じＩＰサブネットを共有できる。従って、サブネットの分割、例えば３２ビットＩＰアドレスの分割は必要ない。１つのサブネットが形成されるたびに、２つのアドレスが消滅する。それは、いわゆるネット・アドレスと、サブネット・ブロードキャスト・アドレスであるアドレスとである。会社、インターネット・サービス・プロバイダ等がインターネットに接続するとき、それらはＩＰアドレスを申し込む。アドレスの割り当ては、そのネットワークに何台のコンピュータを接続するか、そのネットワークはどのように設計されるべきか、およびその後の年々のその成長のペース（速度）によって決まる。

例を挙げると、或る会社にアドレスとして192.168.1.0/24が割り当てられ、ここで/24はサブネットの次元（dimension、領域、規模）を表す。ＩＰアドレスは３２個の２進ビットを有するので、２進法表記の例を挙げるのは簡単である。

192.168.1.0 = 11000000 10101000 00000001 00000000
/24は、２進法構成で
11111111 11111111 11111111 00000000
となる255.255.255.0の１（つ）の１０進サブネット・マスクに等しい。

サブネット・マスクが０であるサブネットの部分は、下記のようなホスト部分を示し、単一のコンピュータ用のＩＰアドレスを設定するのに用いることができる部分である。サブネット・マスクが１であるサブネット部分は常に同じでなければならない。この部分の２つのアドレスはコンピュータに用いられることはなく、これらは、ホスト部が２進法０だけを含むときはネット番号そのものであり、ホスト部が２進法１のみを含むときはブロードキャスト・アドレスである。即ち、

11000000 10101000 00000001 00000000 192.168.1.0
11000000 10101000 00000001 11111111 192.168.1.255

２５０台のコンピュータが同じ１つのセグメントに接続されることはありそうもない。おそらく、それは複数の層２ブロードキャスト領域に分割された複数のセグメントで構成され、従って各層２領域はそれ自身の１つのＩＰサブネットを必要とする。従って、２５６個のアドレスをより小さいサブネットに分割する必要がある。これは、サブネット・マスクをさらに延長（拡張）することによって、即ち２進法１からなる部分によって実現される。

例：
11000000 10101000 00000001 00000000 192.168.1.0
11111111 11111111 11111111 11000000 255.255.255.192

こうして、サブネット・マスクは、最後のオクテット（バイト）の２つのビットに進入する。これは、１０進法の６４を再構成するホスト・アドレスに残された６つのビットが存在することを意味する。従って、２５６個のアドレスは、各々が６４個のアドレスからなる次のような４つのサブネットに変換される。

11000000 10101000 00000001 00000000 192.168.1.0
11111111 11111111 11111111 11000000 255.255.255.192

11000000 10101000 00000001 01000000 192.168.1.64
11111111 11111111 11111111 11000000 255.255.255.192

11000000 10101000 00000001 10000000 192.168.1.128
11111111 11111111 11111111 11000000 255.255.255.192

11000000 10101000 00000001 11000000 192.168.1.192
11111111 11111111 11111111 11000000 255.255.255.192

これらの４つのサブネットの各々は、使用できない２つのアドレスを有する。１０進法でそれらは次のようなものである。

サブネット192.168.1.0 禁止192.168.1.0および192.168.1.63
サブネット192.168.1.64 禁止192.168.1.64および192.168.1.127
サブネット192.168.1.128 禁止192.168.1.128および192.168.1.191
サブネット192.168.1.192 禁止192.168.1.192および192.168.1.255

２進法再構成：
11000000 10101000 00000001 00000000 192.168.1.0
11111111 11111111 11111111 11000000 255.255.255.192
11000000 10101000 00000001 00111111 192.168.1.63
11111111 11111111 11111111 11000000 255.255.255.192

11000000 10101000 00000001 01000000 192.168.1.64
11111111 11111111 11111111 11000000 255.255.255.192
11000000 10101000 00000001 01111111 192.168.1.127
11111111 11111111 11111111 11000000 255.255.255.192

11000000 10101000 00000001 10000000 192.168.1.128
11111111 11111111 11111111 11000000 255.255.255.192
11000000 10101000 00000001 10111111 192.168.1.191
11111111 11111111 11111111 11000000 255.255.255.192

11000000 10101000 00000001 11000000 192.168.1.192
11111111 11111111 11111111 11000000 255.255.255.192
11000000 10101000 00000001 11111111 192.168.1.255
11111111 11111111 11111111 11000000 255.255.255.192

次に、これらの６４個のアドレス・サブネットの１つを、３２個のアドレスからなる２つのサブネットを受信する（受け入れる）２つの部分に分割することができるが、その各々は２つの禁止アドレスを含む。それは、次のようなものである。

11000000 10101000 00000001 11000000 192.168.1.192
11111111 11111111 11111111 11100000 255.255.255.224
11000000 10101000 00000001 11011111 192.168.1.223
11111111 11111111 11111111 11100000 255.255.255.224

11000000 10101000 00000001 11000000 192.168.1.224
11111111 11111111 11111111 11100000 255.255.255.224
11000000 10101000 00000001 11111111 192.168.1.255
11111111 11111111 11111111 11100000 255.255.255.224

ブロードバンド・ネットワークにおいて、３２個のアドレスは、１つの家庭には多すぎる。それぞれ１つのアドレスを有する全ての各コンピュータは、デフォルト・ゲートウェイ・ルータをも含む１つのサブネットに接続されると考えられ、各家庭に少なくとも２つのアドレスが要求され、その１つはコンピュータのアドレスであり、その１つがルータのアドレスである。家庭装置が１つより多くの（２つ以上の）コンピュータによって制御される場合は、より大きいサブネットが必要となる。

従って、１つの家庭につき２つのアドレスとするには、最小のサブネットが４つのアドレスの次元（大きさ）を持たなければならない。２進法では次の通りである。

11000000 10101000 00000001 10000000 192.168.1.0
11111111 11111111 11111111 11111100 255.255.255.252

次の２つのアドレスが禁止されているので、

11000000 10101000 00000001 00000000 192.168.1.0
11111111 11111111 11111111 11111100 255.255.255.252

11000000 10101000 00000001 00000011 192.168.1.3
11111111 11111111 11111111 11111100 255.255.255.252

使用可能な残りのアドレスは、192.168.1.1および192.168.1.2である。次のサブネットにおいて、アドレス192.168.1.4および192.168.1.7は禁止される。使用可能なアドレスは192.168.1.5および192.168.1.6である。以下、同様である。

２５６個のアドレスのうち最初から２５６／４＝６４個のサブネットまたは６４の顧客が存在する。これらの種類の小さいサブネットにおけるアドレスの半分は、ブロードキャストおよびネット・アドレスとして確保され、アドレス空間のうち５０％が失われる。

サブネットがより大きい次元（規模）で設計される場合は、アドレス空間の消失分は、ブロードキャストおよびネット・アドレスによって減少する（１サブネット当たり８つのアドレスの場合は、２５６／８＝３２個のサブネットであり、２５％のアドレス空間がなくなる）。しかし、１サブネット当たり６つの有用なアドレスが存在し、ルータに１つが割り当てられる場合は、１つの家庭につき５つのアドレスが存在する。各家庭に２台以下のコンピュータしか存在しないことによりこれらの５つのアドレスが全て使用されない場合は、３つのアドレスが使用されずに失われる。

本発明の一実施形態による解決法によれば、サブネットに設けられた２５６個のアドレスのうち２５４個のアドレスを使用することができ、それを幾つかの設備および複数のＡＳＲにわたって拡張することができ、それによってより多くの顧客をカバーできる。１人の顧客が別の顧客より多くのコンピュータを持っている場合は、より多くのコンピュータを持っている顧客がより多くのアドレスを受け取るのでアドレス空間が過度に失われることはない。従って、本発明によるアドレス空間の消失は、ネットワークがアドレス空間を最適化するように構築された場合は、数％にとどまる。

本発明によれば、層２パケットで搬送されるデータがＩＰ、ＩＰｖ６、または通信のために受け入れ可能な任意のその他のトラフィックであることを示すプロトコル・オプションを用いたトラフィックを除いて、ＶＬＡＮに属するポート間の任意の層２のトラフィックを阻止するフィルタが適用される。これは、複数のポートが同じ層２ブロードキャスト領域に属したとしても、それらの間のトラフィックが、それらの発信元と宛先の層２アドレスに基づいてスイッチングされることが防止されることを意味する。

ポートに接続されたクライアントが送信を開始したとき、最初の（第１の）パケットが、ＡＳＲを含むイーサーネット（登録商標）セグメントを渡る（通る）。

クライアント・ホストは、別のホストと通信しようとするときはいつでも、宛先がクライアント・ホストＩＰサブネットの一部でない場合にはデフォルト・ルートを要求するＡＲＰ要求を発行するか、または宛先アドレスがクライアント・ホストと同じサブネット上ある場合には宛先そのものを要求するＡＲＰ要求を発行する。このＡＲＰ要求は、典型的にはＶＬＡＮ全体を渡る（通る）層２ブロードキャスト（同報通信）である。本発明によれば、ＡＲＰメッセージはＡＳＲによって傍受され、そのＶＬＡＮに属する任意のその他のポートに転送されることが防止される。ＡＲＰ要求がＡＳＲ上の任意のその他のポートに存在する宛先を要求する場合、または宛先がＡＳＲ層３ルーティング・テーブルで分かっている場合には、ＡＳＲは、その自己のＭＡＣアドレスを次の段階（ホップ）として用いてそのＡＲＰ要求に応答する。この手順によって、クライアント・ホストは、ＡＳＲの層２のアドレスが、実（実際）の層３の宛先に到達するのに使用される宛先の層２のアドレスであることを想定しシミュレートする。従って、クライアント・ホストはパケットをＡＳＲの層２のアドレスに送信する。

宛先の層３アドレスとＡＳＲルーティング・テーブルおよび／またはアドレス解決テーブルの内容とに基づいて、ＡＳＲポートの中の別のポート上でパケットを転送出力することが決定された場合、そのパケットの発信元ＭＡＣアドレスは出力ポート上のＡＳＲの層２のアドレスに変更される。発信元ＩＰアドレスは元のクライアント・ホスト・アドレスのＩＰアドレスのままとなる。それによって、ＡＳＲにおける受信機は、発信元クライアント・ホスト・アドレスがＡＳＲの層２のアドレスにマップ（写像）されることを記憶し／学習し、発信元クライアント・ホストへの任意の戻りトラフィックは、発信元のクライアントＭＡＣアドレスに直接宛てられるものではなくて、ＡＳＲに宛てられる。このようにして、発信元および宛先クライアント・ホストの双方がシミュレートされ、ＡＳＲＭＡＣアドレスが他のホストのアドレスであると想定され、通信フローが維持される。

ＴＣＰ／ＩＰを用いて通信するためには、ホストは次のものを用いて構成されなければならない。
− ＩＰアドレス
− サブネット・マスク
− デフォルト・ゲートウェイ
− ネーム・サーバ（name server）

ネーム・サーバを用いて、ネームと、インターネット上のＩＰアドレスとの間が接続される。

図１は、従来技術による、ブロードバンド・ネットワーク１０に接続された宅内領域を概略的に示している。スイッチ１２が全てのポート１４をＶＬＡＮに接続するように示されており、これは、近隣のものが互いに層２のアクセスを行うことを意味する。それによって、１つの近隣のものが、例えば別の近隣のハードドライブをブラウズする（browse）ことができる。スイッチ１６は異なるＶＬＡＮに属する各ポート１４を具えており、１つのＶＬＡＮにつき１つの小さいＩＰサブネットを必要とする。これはアドレス空間を浪費する。その理由は、全ての各サブネットが、ネットワークおよびブロードキャスト機能用に利用できないアドレスを導入するからである。利用できる２つのアドレスを有する１つのサブネットは、利用できない２つのアドレスを必要とし、アドレス空間の５０％が無駄になる。図１の機器１８はルータである。

図２は、従来技術による、２つのブロードバンド・ネットワーク３２、３４の間に接続されるゲートウェイ３０と、ホストＡ、ホストＢおよびホストＣとを示している。

次のシーケンスはＡＲＰルーティング・プロトコルの通常の動作を示している。

ステップ１）〜９）からなる第１のシーケンスは、図２を参照すると、ホストＡがホストＢに送信する場合の例を示している。

１）ホストＡは送信すべきＩＰパケットを有する。
２）ホストＡは、ホストＡのアドレス＋サブネット・マスクを、ホストＢのアドレスと比較する。
３）ホストＢはホストＡと同じネットワーク上にある。
４）ホストＡは、ホストＢの層２アドレスを要求するＡＲＰブロードキャストをネットワーク１に送信する。
５）ホストＢは、その層２アドレスの要求を認識する。
６）ホストＢは応答する。
７）今度は、ホストＡはホストＢの層２アドレスを保有する。
８）ホストＡはデータを送信する。
９）ホストＢはデータを受信する。

ステップ１）〜１７）からなる次の第２のシーケンスは、図２を参照すると、ホストＡがホストＣに送信する場合の例を示している。

１）ホストＡは送信すべきＩＰパケットを有する。
２）ホストＡは、ホストＡのアドレス＋サブネット・マスクを、ホストＣのアドレスと比較する。
３）ホストＣはホストＡと同じネットワーク上にない。
４）ホストＡは、ゲートウェイの層２アドレスを要求するＡＲＰブロードキャストをネットワーク１に送信する。
５）ゲートウェイは、その層２アドレスの要求を認識する。
６）ゲートウェイは応答する。
７）今度は、ホストＡはゲートウェイの層２アドレスを保有する。
８）ホストＡはデータを送信する。
９）ゲートウェイはデータを受信する。
１０）ゲートウェイは、パケットから層２の情報を分離する（剥ぎ取る）。
１１）ゲートウェイは、ルーティング・テーブル中のホストＣアドレスをルックアップし（検索し）、出力インタフェースを決定する。
１２）ゲートウェイは、ホストＣの層２アドレスを要求するＡＲＰブロードキャストをネットワーク２に送信する。
１３）ホストＣは、その層２アドレスの要求を認識する。
１４）ホストＣは応答する。
１５）今度は、ゲートウェイはホストＣの層２アドレスを保有する。
１６）ゲートウェイは、パケット用の新しい層２のヘッダを組み立て、データを送信する。
１７）ホストＣはデータを受信する。

ゲートウェイ３０がネットワーク２に直接接続されていない場合には、ステップ１２は、その代わりに“ネットワーク２に向けてパケットを転送し”、ゲートウェイがネットワーク２に直接接続するまで、パス（経路）に沿った全ての各ゲートウェイにおいてステップ９、１０、１１および新しいステップ１２を繰り返し、パケットを受信し、そこで上述のフローによるステップ１２〜１７が開始する。

図３は、本発明による、２つのＡＳＲルータ４２、４４を有するブロードバンド・ネットワーク４０を概略的に示している。ホストＡおよびホストＢはルータ４２に接続され、ホストＣはルータ４４に接続される。ルータ４２と４４の双方が互いに直接接続する接続線を有し、ルータ４２は本発明のフィルタを具えている。図３は、インターネットを介してブロードバンド・ネットワークに接続されるホストＤをも示している。

本発明のフィルタは、ブロードバンド・ネットワーク４０における少なくとも１つのＡＳＲルータ４２において開放型システム相互接続（ＯＳＩ）層２のトラフィック分離を行うために設けられている。ルータ４２、４４における全てのポート（図示せず）は同じＶＬＡＮに接続されるよう構成されている。ＡＳＲ４４は、ルータ４２へのサブルータであり、または単に接続されるサブルータであり、本発明による同じフィルタリング利点を有する。データ・パケット・トラフィックは、ポートへのデータ・パケット・トラフィックをフィルタリングするフィルタを具えるルータ４２によって傍受される。そのフィルタは次の構成を具えている。

仮想ローカル・エリア・ネットワークに属するＭＡＣアドレスについて、ネットワーク接続の発信元装置（ホストＡ、ホストＢ）からの層２のトラフィックを傍受し、他のポートへのトラフィックの転送を許可すべきかどうか判定する手段と、
そのようなトラフィックにおけるアドレス・レゾリューション・プロトコル（ＡＲＰ）ブロードキャストを傍受し、宛先装置層２領域が発信元装置層２領域と同じであるかどうかに関係なく、発信元装置のそのブロードキャストに応答する手段と、を具え、
従って発信元装置は、そのブロードキャストによって、探した宛先装置の層２アドレスが確認（肯定応答）されたことを判定し、それによって発信元装置はデータ・パケットを宛先装置に送信し、そのルータはその送信されたデータ・パケットを受信し、
さらに、宛先装置への出力ポートを決定する手段と、
宛先装置の層２アドレスを判定する手段と、
受信したデータ・パケット中の層２ヘッダを調整する手段と、を具え、
発信元の層２アドレスを設定する手段がデータ・パケット用のルータの発信元アドレスを設定し、宛先装置の層２アドレスを決定する手段が宛先層２アドレスを宛先装置のアドレスに設定し、データ・パケットを宛先装置に送信する。

従って、本発明のフィルタは、発信元装置と宛先装置が同じ層２の領域にある場合には、ルータ層２アドレスが発信元と宛先装置の双方用の実際の宛先アドレスであることをシミュレートし、または、そのフィルタは、発信元および宛先装置が同じ層２領域にないが同じ層３サブネットにある場合には、ルータ層２アドレスが宛先への発信元用の実際の宛先層２のアドレスであることをシミュレートする。

本発明の手段は、ルータにおけるソフトウェア構成のブロック、またはハードウェアとソフトウェアの組み合わせであることが分かる。

次に、図３を参照して、本発明によるパケット・フローの３つのシナリオを説明する。

ＩＰルーティングにおいて、ＩＰパケット上の層２ヘッダのカプセル化および脱カプセル化（カプセル解除）は通常の手順である。ＩＰ発信元および宛先アドレスを有するＩＰヘッダは変更されることなくそのままにされ、イーサーネット（登録商標）、トークンリング（TokenRing）、フレームリレー（FrameRelay）、ＡＴＭ、または使用されるその他の層２技術用の層２ヘッダは変更（変換）される。層２のプロトコルはルーティング可能ではないので、発信元アドレスは、常に、パケットを送信する装置のアドレスに設定される。これは、通常のことである。

ステップ１）〜１３）からなるシーケンスを有する第１のシナリオは、ホストＡからホストＢへのパケット送信を記述したものである。双方のホストは同じＡＳＲにおける各ポートに接続される。それらのポートは、同じブロードキャスト領域（ＶＬＡＮ）に属するように接続されるよう構成されるが、本発明によって追加的機能を用いたポート保護がＡＳＲ上で可能になる。

第１のシナリオ
１）ホストＡは送信すべきＩＰパケットを有する。
２）ホストＡは、ホストＡのアドレス＋サブネットをホストＢのものと比較し、それら（両者）が同じサブネット上にあると判定（決定）する。
３）ホストＡは、ホストＢのアドレス用のＡＲＰブロードキャストを送信する。
４）ＡＳＲ４２のポートの相互間にフィルタがあるので、ブロードキャストはホストＢに到達できない。
５）ＡＳＲは、ＡＲＰブロードキャストを傍受し、ホストＢがどこに位置するかをそれが知っていると判定（決定）する。
６）ＡＳＲはホストＢに対するＡＲＰ要求に応答し、その自己の層２アドレスを、ホストＢ用のアドレスとして設定する。
７）ホストＡは、ＡＲＰ応答を受信し、今度は、ホストＢ用の層２アドレスをそれが知っていると判断する。
８）ホストＡはデータを送信する。
９）ＡＳＲ４２はデータを受信する。
１０）ＡＳＲ４２は、層２情報を除去し、ホストＢ用の出力ポートを決定する。
１１）ＡＳＲ４２は、その自己の層２アドレスを、パケット用の発信元として設定し、ホストＢ用のパケットをカプセル化する。
１２）ＡＳＲ４２はデータを送信する。
１３）ホストＢはホストＡからデータを受信する。

ＡＳＲ４２の層２アドレスが発信元として設定されるので、ホストＢは、ＡＳＲ４２の層２のアドレスがホストＡのアドレスであると判断する。同様に、ＡＲＰ応答によって、ホストＡは、ＡＳＲ４２の層２アドレスがホストＢのアドレスであると判断する。

ステップ１）〜１８）からなるシーケンスを有する第２のシナリオは、ホストＡからホストＣへのパケット送信を記述したものである。各ホストは相異なるＡＳＲ上のポートに接続される。しかし、ＡＳＲおよび中央管理システムのアドレス共有機能は、ホストが同じＩＰサブネットからＤＨＣＰによってＩＰアドレスを受信することに合意した。複数のＡＳＲは、接続されたホストに関して互いに知らせるルーティング情報を交換した。

第２のシナリオ
１）ホストＡは送信すべきＩＰパケットを有する。
２）ホストＡは、ホストＡのアドレス＋サブネット・マスクを、ホストＣのものと比較し、両者が同じサブネット上にあると判定する。
３）ホストＡは、ホストＣのアドレスにＡＲＰブロードキャストを送信する。
４）ＡＳＲ４２のポートの相互間にフィルタがあるので、そのブロードキャストはＡＳＲ上の他のポートに到達しない。
５）ＡＳＲ４２は、ＡＲＰブロードキャストを傍受し、ホストＣがどこに位置するかをそれが知っていると判定する。
６）ＡＳＲ４２は、ホストＣに対するＡＲＰ要求に応答し、その自己の層２アドレスをホストＣ用のアドレスとして設定する。
７）ホストＡは、ＡＲＰ応答を受信し、今度は、ホストＣ用の層２アドレスをそれが知っていると判断する。
８）ホストＡはパケットを送信する。
９）ＡＳＲ４２はパケットを受信する。
１０）ＡＳＲ４２は、層２情報を分離し（取り出し）、ホストＣ用の出力ポートを決定する。
１１）ＡＳＲ４２は、ＡＳＲ４４へのリンクのための適当な層２ヘッダを用いてパケットをカプセル化する。
１２）ＡＳＲ４２はパケットをＡＳＲ４４に転送する。
１３）ＡＳＲ４４はパケットを受信する。
１４）ＡＳＲ４４は、リンク上で用いられるＡＳＲ４２からの層２のカプセル化を分離する（取り出す、解除する）。
１５）ＡＳＲ４４は、ホストＣへのパケット用の出力ポートを決定する。
１６）ＡＳＲ４４は、層２のヘッダを用いてパケットをカプセル化し、その自己の層２アドレスを発信元として設定する。
１７）ＡＳＲ４４はデータを送信する。
１８）ホストＣはホストＡからデータを受信する。

ＡＳＲ４２がＡＲＰ要求に応答しているので、ホストＡは、ＡＳＲ４２の層２アドレスはホストＣのアドレスであると判断する。ＡＳＲ４４は、上述の最後の数ステップにおいて、自己の層２アドレスを、ホストＣへのパケット用の発信元として設定する。従って、ホストＣは、ＡＳＲ４４の層２アドレスがホストＡのアドレスであると判断する。

ステップ１）〜１５）からなるシーケンスを有する第３のシナリオは、ホストＡからホストＤへのパケット送信を記述したものである。ホストＡはＡＳＲ４２上のポートに接続される。ホストＤはインターネット上のどこか（或る位置）に接続される。

第３のシナリオ
１）ホストＡは送信すべきＩＰパケットを有する。
２）ホストＡは、ホストＡのアドレス＋サブネット・マスクを、ホストＤのものと比較し、両者が同じサブネット上にないと判定（決定）する。
３）ホストＡは、デフォルト・ゲートウェイ・アドレスに対するＡＲＰブロードキャストを送信する。
４）ＡＳＲ４２のポートの相互間にフィルタがあるので、そのブロードキャストはＡＳＲ上の他のポートに到達しない。
５）ＡＳＲ４２はＡＲＰブロードキャストを傍受して、それがデフォルト・ゲートウェイであると判定（決定）する。
６）ＡＳＲは、その自己の層２のアドレスを用いて、デフォルト・ゲートウェイに対するＡＲＰ要求に応答する。
７）ホストＡは、ＡＲＰ応答を受信し、今度は、デフォルト・ゲートウェイ用の層２アドレスをそれが知っていると判断する。
８）ホストＡはデータを送信する。
９）ＡＳＲ４２はデータを受信する。
１０）ＡＳＲ４２は、層２情報を分離し（取り出し）、ホストＤ用の出力ポートを決定する。
１１）ＡＳＲ４２は、ホストＤへのリンク用の適当な層２ヘッダを用いてパケットをカプセル化する。
１２）ゲートウェイは、ＡＳＲ４２とホストＤの間のパスに沿ってステップ９〜１１を繰り返す。
１３）ホストＤに接続するゲートウェイはパケットを受信する。
１４）ゲートウェイは、ＡＲＰルックアップを実行し、インターネット標準に従ってパケットをホストＤに向けて転送する。
１５）ホストＤはデータを受信する。

本発明は、実施例および実施形態を用いて説明したが、それらは保護の範囲を限定することを意図したものではなく、この分野の専門家であれば、請求の範囲の記載によって他の実施形態を導き出すことができる。

図１は、従来技術によるブロードバンド・ネットワークに接続された宅内エリアを概略的に示している。図２は、従来技術による２つのブロードバンド・ネットワークの間に接続されたゲートウェイを概略的に示している。図３は、本発明によるブロードバンド・ネットワークを概略的に示している。

Claims

ネットワーク（４０）における複数のアクセス・スイッチング・ルータ（４２、４４）において１つのＩＰサブネットを形成するためのＯＳＩ層２トラフィック分離用のフィルタであって、
前記複数のルータ（４２、４４）における複数のポートは、同じ仮想ローカル・エリア・ネットワークに接続されるよう構成されており、
前記フィルタは前記複数のポートへのデータ・パケット・トラフィックをフィルタリングし、
特徴として、
前記仮想ローカル・エリア・ネットワークに属するＭＡＣアドレスを取得するために、ネットワーク接続された発信元装置（ホストＡ、ホストＢ）からの層２のトラフィックを受信し、そのトラフィックが他のポートに転送されるのを許可するかどうかを判定する手段と、
そのようなトラフィックにおけるＡＲＰブロードキャストを受信し、宛先装置層２領域が発信元装置層２領域と同じであるかどうかに関係なく、前記ブロードキャストに応答して前記発信元装置（ホストＡ、ホストＢ）に応答を送信する手段と、
を具え、
前記発信元装置（ホストＡ、ホストＢ）は、前記応答から、探した宛先装置（ホストＣ、ホストＤ）の層２のアドレスを取得し、それによって前記発信元装置（ホストＡ、ホストＢ）はデータ・パケットを前記宛先装置（ホストＣ、ホストＤ）に送信し、前記複数のルータは前記送信されたデータ・パケットを受信し、
さらに、前記宛先装置への出力ポートを決定する決定手段と、
前記受信したデータ・パケットから、前記宛先装置（ホストＣ、ホストＤ）の層２のアドレスを取得する取得手段と、
前記受信したデータ・パケット中の層２のヘッダを調整し、その際、設定手段に前記データ・パケット中に送信元アドレスとして前記ルータの層２アドレスを設定させ、前記取得手段に前記データ・パケット中に宛先アドレスとして前記宛先装置（ホストＣ、ホストＤ）の層２アドレスを設定させる調整手段であって、さらに前記データ・パケットを前記宛先装置（ホストＣ、ホストＤ）に送信する調整手段と、
を具え、
前記発信元装置（ホストＡ、ホストＢ）および宛先装置（ホストＣ、ホストＤ）が同じ層２の領域にある場合は、前記ルータの層２アドレスが、前記発信元および宛先装置によって送信されるデータ・パケットにおける宛先アドレスとして使用され、前記発信元装置および宛先装置が同じ層２の領域にないが同じ層３のサブネットにある場合は、前記ルータの層２アドレスが、前記発信元装置によって前記宛先装置へ送信されるデータ・パケットにおける宛先層２アドレスとして使用され、前記ルータは前記データ・パケットをルーティングするための宛先を層３ルーティング・テーブルで確認し、
前記複数のアクセス・スイッチング・ルータにわたっておよび複数の層２領域において前記１つのＩＰサブネットが形成される、
フィルタ。
前記ルータ（４２、４４）の層２アドレスが、前記ルータ（４２、４４）における１つのポートから前記宛先装置（ホストＣ）へ送信されるデータ・パケットにおける発信元アドレスとして使用されること特徴とする、請求項１に記載のフィルタ。
前記ルータ（４２、４４）は、発信元および／または宛先アドレスを調査して、パケット用の最良の出力ポートを決定し、前記パケットがレート制限の条件設定を有するかどうかを判定し、またはＯＳＩ層３およびより上位のプロトコル層における情報に基づくその他のフィルタリングを行うことを特徴とする、請求項１または２に記載のフィルタ。
前記ルータ（４２、４４）は、層２スイッチと層３ルータの組み合わせであり、パケット制御を用いた層２スイッチング機能と、層３ルータにおける転送の判断の機能とを組み合わせたものであることを特徴とする、請求項１乃至３のいずれかに記載のフィルタ。
ネットワーク（４０）における複数のアクセス・スイッチング・ルータ（４２、４４）において１つのＩＰサブネットを形成するためのＯＳＩ層２トラフィック分離用のフィルタに用いられる方法であって、
前記複数のルータ（４２、４４）における複数のポートは、同じ仮想ローカル・エリア・ネットワークに接続されるよう構成されており、
前記フィルタは前記複数のポートへのデータ・パケット・トラフィックをフィルタリングするものであり、
特徴として、
前記仮想ローカル・エリア・ネットワークに属するＭＡＣアドレスを取得するために、ネットワーク接続された発信元装置（ホストＡ、ホストＢ）からの層２のトラフィックを受信し、そのトラフィックが他のポートに転送されるのを許可するかどうかを判定し、
そのようなトラフィックにおけるＡＲＰブロードキャストを受信し、宛先装置層２領域が発信元装置層２領域と同じであるかどうかに関係なく、前記ブロードキャストに応答して前記発信元装置（ホストＡ、ホストＢ）に応答を送信し、
それによって、前記発信元装置（ホストＡ、ホストＢ）は、前記応答から、探した宛先装置（ホストＣ、ホストＤ）の層２のアドレスを取得し、それによって前記発信元装置（ホストＡ、ホストＢ）はデータ・パケットを前記宛先装置（ホストＣ、ホストＤ）に送信し、前記複数のルータは前記送信されたデータ・パケットを受信するものであり、
さらに、前記宛先装置への出力ポートを決定し、
前記宛先装置（ホストＣ、ホストＤ）の層２のアドレスを取得し、
前記データ・パケット中に送信元アドレスとして前記ルータの層２アドレスを設定し前記データ・パケット中に宛先アドレスとして前記宛先装置（ホストＣ、ホストＤ）の層２アドレスを設定することによって、前記受信したデータ・パケット中の層２のヘッダを調整し、さらに前記データ・パケットを前記宛先装置（ホストＣ、ホストＤ）に送信し、
前記発信元装置（ホストＡ、ホストＢ）および宛先装置（ホストＣ、ホストＤ）が同じ層２の領域にある場合は、前記ルータの層２アドレスが、前記発信元および宛先装置によって送信されるデータ・パケットにおける宛先アドレスとして使用され、前記発信元装置および宛先装置が同じ層２の領域にないが同じ層３のサブネットにある場合は、前記ルータの層２アドレスが、前記発信元装置によって前記宛先装置へ送信されるデータ・パケットにおける宛先層２アドレスとして使用され、前記ルータは前記データ・パケットをルーティングするための宛先を層３ルーティング・テーブルで確認し、
前記複数のアクセス・スイッチング・ルータにわたっておよび複数の層２領域において前記１つのＩＰサブネットが形成される、
方法。
前記ルータ（４２、４４）の層２アドレスが、前記ルータ（４２、４４）における１つのポートから前記宛先装置（ホストＣ）へ送信されるデータ・パケットにおける発信元アドレスとして使用されること特徴とする、請求項５に記載の方法。
前記ルータ（４２、４４）は、発信元および／または宛先アドレスを調査して、パケット用の最良の出力ポートを決定し、前記パケットがレート制限の条件設定を有するかどうかを判定し、またはＯＳＩ層３およびより上位のプロトコル層における情報に基づくその他のフィルタリングを行うことを特徴とする、請求項５または６に記載の方法。
前記ルータ（４２、４４）は、層２スイッチと層３ルータの組み合わせであり、高度のパケット制御を用いた層２のスイッチング機能と、層３のルータにおける転送の判断の機能とを組み合わせたものであることを特徴とする、請求項５乃至７のいずれかに記載の方法。