JP4401942B2 - パケット転送装置および通信ネットワーク - Google Patents

Description

本発明は、パケット転送装置および通信ネットワークに関し、更に詳しくは、広域イーサネット（登録商標名）サービスに適したパケット転送装置およびインターネットアクセス用の通信ネットワークに関する。

従来、遠隔地との通信でレイヤ２の接続性を確保するためには、専用線が用いられてきた。しかしながら、専用線はポイント・ツー・ポイントの接続方式となっているため、通信拠点が増加すると、拠点間をフルメッシュで接続する必要があり、ネットワーク管理とコスト面で問題があった。
近年になって、複数の拠点をイーサネットで接続し、これらの拠点間でイーサフレームをスイッチングする広域イーサネットサービスが注目されている。このネットワーク方式は、ユーザにとって、複数の拠点間があたかもスイッチング・ハブで直接繋がっているように見えるため、ＬＡＮを構築するのと同様の容易さで拠点間を接続することができ、複数の専用線を契約する場合に比較して、通信コストを削減できるという利点がある。

広域イーサネットの実現方式は、次の３方式に大別される。
第１の方式は、スイッチング・ハブと光インタフェースを用いて、ブリッジ接続された巨大なイーサネットワークを実際に構築するものである。この方式は、例えば、ＩＥＥＥ８０２．１Ｑに準拠したＶＬＡＮタグを使用することによって、ネットワーク上に複数のコネクションを多重化することも可能となる。
第２の方式は、ＥｏＭＰＬＳ（Ethernet over Multi Protocol Label Switching）技術を適用して、ＭＰＬＳルータ上で仮想的にブリッジ接続されたイーサネットワークを構築するものである。この方式によれば、例えば、ＳＨＩＭヘッダとＶＬＡＮタグを用いて、ネットワーク上に複数のコネクションを多重化することが可能となる。
第３の方式は、ＩＰネットワーク上に仮想的なトンネルを設定しておき、このトンネルを仮想的なスイッチング・ハブとして機能するサーバと接続することによって、仮想的にブリッジ接続されたイーサネットワークを構築するものである。この方式は、多数のスイッチング・ハブ（ルータ）を設置することによって、ネットワーク上に多数のコネクションを多重化することができる。

上述した広域イーサネットによる通信サービスは、通常、中規模以上の事業者ユーザ向けに提供される。しかしながら、広域イーサネットサービスは、例えば、家庭やＳＯＨＯユーザに対しても有益な通信サービスとなる。

図２は、アクセス通信事業者が一般家庭およびＳＯＨＯユーザに提供するインターネット接続サービスの一般的な形態の１例を示す。このネットワーク形態は、例えば、特開２００２−３５４０５４号公報（特許文献１）に記載されている。
図２において、網１、２は、それぞれ異なるインターネット・サービス・プロバイダ（ＩＳＰ）が管理するＩＳＰ網、網３はインターネット網、網４は、ＩＰ網で形成されるアクセス網を示す。アクセス網４とＩＳＰ網１、２は、それぞれＬＮＳ（L2TP (Layer 2 Tunneling Protocol) Network Server）２０−１、２０−２で接続され、各ＩＳＰ網１、２には、ＬＮＳ管理サーバ２１−１、２１−２が接続されている。また、アクセス網４には、複数のＬＡＣ（L2TP Access Concentrator）１０（１０−１、１０−２）と、ＬＡＣ管理サーバ１１が配置されている。尚、Ｌ２ＴＰについては、ＲＦＣ２６６１（非特許文献１）で規定されている。

家庭内に構築された宅内ＬＡＮ：Ｌ１〜Ｌ４は、宅内ゲートウェイＲｉ−１〜Ｒｉ−４を介して、ＬＡＣ１０−１またはＬＡＣ１０−２に接続されている。従って、ＬＡＣ１０−１、１０−２が、ゲートウェイからアクセス網４への入り口となり、ＬＮＳ２０−１、２０−２がアクセス網４から各ＩＳＰ網１、２への入り口となる。

ゲートウェイＲｉ−１〜Ｒｉ−４とアクセス網の入り口であるＬＡＣ１０との間には、通信に先立って、PPP over PPPoE（PPP Over Ethernet）によってＰＰＰセッションｉｐ１〜ｉｐ４が設定され、通信時には、これらのセッション上をＩＰパケットがカプセル化した形で通過する。ＰＰＰは、ＲＦＣ１６６１（非特許文献２）で、ＰＰＰｏＥについてはＲＦＣ２５１６（非特許文献３）で規定されている。アクセス網４は、通常、インターネット網３とは別個の存在であり、ＬＡＣ１０とＬＮＳ２０との間には、予めＬ２ＴＰトンネルＴｎ−１〜Ｔｎ−４が形成されている。アクセス網４内では、ユーザトラフィックはこれらのトンネルを通過するだけであり、各ユーザがアクセス網４内の通信ノードを直接アクセスすることはできない。

各ＬＡＣ１０は、ＬＡＮに接続されたユーザ端末ＴＥ（ＴＥ−１、ＴＥ−２、…）からインターネットへの接続要求を受けた時、ＬＡＣ管理サーバ１１と交信し、ユーザＩＤと対応したＬ２ＴＰトンネルの出口となるＬＮＳ識別子を問い合わせる。ＬＡＣ管理サーバ１１は、ユーザＩＤの一部となっているドメイン名から、トンネルの出口に位置したＬＮＳを特定し、ＬＡＣにＬＮＳ識別子を通知する。ＬＡＣ１０は、ＬＡＣ管理サーバ１１から通知されたＬＮＳに向かうトンネルＴｎ−ｊ上に、Ｌ２ＴＰセッションｉＬ（ｉＬ１〜ｉＬ４）を設定し、パケット通信時には、ＬＡＣとゲートウェイＲｉとの間のＰＰＰｏＥセッションからＬ２ＴＰトンネル上のＬ２ＴＰセッションに、受信したＰＰＰパケットの乗せ替えを行う。

一方、ＬＮＳ２０（２０−１、２０−２）は、ユーザからの接続要求時に、ＬＮＳ管理サーバによるユーザ認証を行うため、対応するＬＮＳ管理サーバ２１（２１−１、２１−２）と交信する。ＬＮＳ管理サーバ２１は、ユーザ認証結果をＬＮＳ２０に通知する。パケット通信時には、ＬＮＳ２０は、Ｌ２ＴＰトンネルおよびＬ２ＴＰセッション上のＰＰＰパケットをデカプセル化し、受信ＰＰＰパケットから抽出されたＩＰパケットをＩＳＰ網１または２にルーティングする。上述したＰＰＰｏＥセッション（ｉｐ１〜ｉｐ４）、Ｌ２ＴＰセッション（ｉＬ１〜ｉＬ４）、Ｌ２ＴＰトンネル（ＴＥ−１〜ＴＥ−４）には、それぞれ識別子（ＩＤ）が割り当てられており、ＬＮＳ２０は、Ｌ２ＴＰトンネルＩＤとＬ２ＴＰセッションＩＤとの組合せによってユーザを特定できる。

特開２００２−３５４０５４号公報 ＲＦＣ２６６１：Layer Two Tunneling Protocol "L2TP" ＲＦＣ１６６１：The Point-to-Point Protocol (PPP) ＲＦＣ２５１６：A Method for Transmitting PPP Over Ethernet (PPPoE) ＲＦＣ３５１８：Point-to-Point Protocol (PPP) Bridging Control Protocol (BCP)

然るに、上述した従来の広域イーサネットには、以下のような問題がある。
例えば、スイッチング・ハブと光インターフェイスを用いる第１の方式は、光インタフェースの物理的制約により、通信エリアが広くなると、設置すべきスイッチング・ハブ数が増加し、コスト的に高くなる。

ＥｏＭＰＬＳを使う第２の方式は、ネットワークの全域で、ラベルスイッチによる特殊な転送方法をサポートする必要がある。ラベルスイッチは、通常、既存のＩＰルータに新たな機能に追加した形で提供されるため、一般的なＩＰルータに比較して装置価格が高価であり、ＥｏＭＰＬＳパケットが通過する全ての経路上の通信ノードにラベルスイッチ機能を装備するためには、多額の設備投資が必要となる。
また、ＩＰネットワーク上に設定された仮想的なトンネルを仮想スイッチング・ハブサーバに接続する第３の方式は、各ユーザにＩＰアドレスによるサーバへの接続サービスを提供する必要があるため、サーバがクラッキングされる可能性があり、セキュリティ上の問題がある。

更に、家庭ユーザ向けのアクセス通信事業者が、上述した従来方式によって、契約ユーザ間に広域イーサネットによる接続サービスを提供しようとすると、次のような問題が発生する。
第１方式を採用した場合、ＩＰ網で構成されるアクセス網とは別に、広域イーサネット網を構築する必要があり、新たなコストが発生する。特に、アクセス事業者が広い範囲でインターネット網への接続サービスを提供している場合、契約ユーザ間に新たな接続サービスを提供するために、非常に大きなコストが必要となる。
ＥｏＭＰＬＳを使う第２方式を採用した場合、アクセス通信事業者が形成しているアクセス網（ＩＰ網）内のパケット転送装置の全てをラベルスイッチング機能付きの装置に置き換える必要があるため、第１方式と同様、大きなコストを必要とする。

また、仮想スイッチング・ハブサーバを用いる第３方式を採用する場合、例えば、図２に示したアクセス網（ＩＰ網）４内に新たなサーバを設置し、各ＬＡＣ１０でＬ２ＴＰ処理を行う代わりに、上記サーバでユーザ端末のＰＰＰを終端し、ＩＰ網でユーザ間を接続するネットワーク構成が考えられる。しかしながら、この構成では、アクセス網へのユーザ端末の接続を許すことになるため、ユーザが上記サーバ以外のコア網構成装置をアクセスする危険が生じ、セキュリティ面で大きなリスクは発生する。

従って、本発明の目的は、アクセス事業者が、インターネットアクセス契約ユーザに対する広域イーサネットサービスを低コストで実現できる通信ネットワークおよびパケット転送装置を提供することにある。
本発明の他の目的は、アクセス網の安全を保証し、契約ユーザへの広域イーサネットサービスを可能とする通信ネットワークおよびパケット転送装置を提供することにある。

上記目的を達成するため、本発明の通信ネットワークは、Ｌ２ＴＰセッションから受信したＰＰＰパケットを同一の仮想的な広域イーサネットに所属する他のＬ２ＴＰセッションに転送するパケット転送装置をアクセス網に含むことを特徴とする。

更に詳述すると、本発明によるパケット転送装置は、Ｌ２ＴＰ（Layer 2 Tunneling Protocol）セッションを介して少なくとも２つのＬＡＣ（L2TP Access Concentrator）に接続され、ユーザ端末を収容するゲートウェイからの送信パケットをＬ２ＴＰパケット形式で受信するＬ２ＴＰパケット転送装置であって、
トンネルＩＤとセッションＩＤとの組合せと、ユーザ端末が所属する広域ネットワークの識別子（以下、ＶＰＮ−ＩＤと言う）との対応関係を記憶した検索テーブルと、
受信パケットのＬ２ＴＰヘッダが示すトンネルＩＤとセッションＩＤに基づいて、上記検索テーブルから受信パケットのＶＰＮ−ＩＤを特定し、上記検索テーブルで同一ＶＰＮ−ＩＤを持つ他のトンネルＩＤとセッションＩＤの存在が確認された場合に、上記他のトンネルＩＤとセッションＩＤの組合せで特定される他のＬ２ＴＰセッションに対して、受信パケットをＬ２ＴＰパケット形式で転送するパケット転送処理部とを有することを特徴とする。

本発明によるＬ２ＴＰパケット転送装置は、ＬＡＣとの間に新たなＬ２ＴＰセッションを設定する時、ユーザ認証情報を保持する管理サーバからユーザ識別情報と対応したＶＰＮ−ＩＤを取得し、上記検索テーブルに、該ＶＰＮ−ＩＤと上記Ｌ２ＴＰセッションのトンネルＩＤとセッションＩＤとの対応関係を記憶する制御部を備える。

本発明の実施例では、上記検索テーブルが、トンネルＩＤとセッションＩＤとの組合せを検索キーとして、ＶＰＮ−ＩＤを検索するためのＶＰＮ−ＩＤテーブルと、ＶＰＮ−ＩＤを検索キーとして、同一の広域ネットワークに所属するＬ２ＴＰセッションのトンネルＩＤとセッションＩＤとの組合せを検索するための転送先判定テーブルとからなり、上記パケット転送処理部が、受信パケットのＬ２ＴＰヘッダが示すトンネルＩＤとセッションＩＤに基づいて、上記ＶＰＮ−ＩＤテーブルからＶＰＮ−ＩＤを特定し、上記転送先判定テーブルから上記特定ＶＰＮ−ＩＤをもつ前記他のＬ２ＴＰセッションを特定する。

上記各ＬＡＣには、それぞれ宅内ＬＡＮに接続された複数のゲートウェイが収容され、ＬＡＣと各ゲートウェイとの間では、IP over PPP（Point to Point Protocol）形式またはBridge over PPP形式でカプセル化されたパケットが送受信される。インターネットのアクセス網は、上記ＬＡＣにＬ２ＴＰ（Layer 2 Tunneling Protocol）セッションを介して接続される少なくとも１つのＬＮＳ（L2TP Network Server）を有し、ＬＮＳは、各ＬＡＣから受信したIP over PPP形式のＬ２ＴＰパケットからＩＰパケットを抽出し、該ＩＰパケットをインターネット・サービス・プロバイダ（ＩＳＰ）網に転送する。本発明のＬ２ＴＰパケット転送装置は、各ＬＡＣとBridge over PPP形式のＬ２ＴＰパケットを送受信するために、上述したＬＮＳとは別にアクセス網内に設置される。

更に詳述すると、本発明の仮想的な広域ネットワークを利用するユーザ端末を収容したゲートウェイは、ユーザ端末によるパケット通信に先立って、ＬＡＣに、ＲＦＣ３５１８で規定されたBridge over PPP over PPPoEのセッション設定を要求する。ゲートウェイからセッション接続要求を受けたＬＡＣは、ユーザ識別情報が示すドメイン名から、接続先となるＬ２ＴＰパケット転送装置を特定し、Ｌ２ＴＰパケット転送装置との間にＬ２ＴＰセッションを設定する。

上記Ｌ２ＴＰセッションの設定シーケンスにおいて、Ｌ２ＴＰパケット転送装置と対応付けられた管理サーバによって、ユーザ認証が実行される。この管理サーバに、ユーザ情報と広域イーサネットワークの識別子（ＶＰＮ−ＩＤ）とを対応付けたユーザ管理テーブルを備えることによって、Ｌ２ＴＰセッションと対応するＶＰＮ−ＩＤを認証結果と共にＬ２ＴＰパケット転送装置に通知することができる。管理サーバから認証結果を受信したＬ２ＴＰパケット転送装置は、ＬＡＣを介してゲートウェイとの間に、ＢＣＰによるBridge over PPP over PPPoEのセッションを設定する。

広域イーサネットワークを利用する通信パケットは、各ゲートウェイにおいてＲＦＣ３５１８で規定されたbridge over PPP形式でカプセル化され、ＰＰＰｏＥセッションを介してＬＡＣに送信される。ＬＡＣは、ＰＰＰよりも上位のプロトコルは意識しないため、受信パケットからPPPoEヘッダを削除し、Ｌ２ＴＰ形式でＰＰＰパケットをカプセル化し、事前に設定されたＬ２ＴＰセッションを通してＬ２ＴＰパケット転送装置に転送する。Ｌ２ＴＰパケット転送装置は、受信パケットのトンネルＩＤとセッションＩＤとの組合せ基づいてＶＰＮ−ＩＤを検索し、このＶＰＮ−ＩＤと対応する他のＬ２ＴＰセッションの有無を判定し、もし、同一のＶＰＮ−ＩＤをもつ他のＬ２ＴＰセッションが存在していれば、このＬ２ＴＰセッションに対して受信パケットを転送することにより、ユーザ間の仮想的なイーサネットの接続性を確保できる。

本発明によれば、ＩＰ網で形成されるインターネットのアクセス網にＬ２ＴＰパケット転送装置を追加し、ＬＡＣに収容されるゲートウェイに多少の設定変更を加えるだけで、アクセス事業者が契約ユーザに仮想的な広域イーサネットサービスを提供することが可能となる。本発明によれば、一般的なＩＰ網通信技術と一般的なトンネリングプロトコルを利用して、多拠点を結ぶ広域のイーサネットワークを形成でき、従来技術として説明したスイッチング・ハブと光インターフェイスを用いる第１の方式や、ＥｏＭＰＬＳを用いる第２の方式に比較して、必要コストを大幅に低減できる。

以下、本発明の幾つかの実施例について図面を参照して説明する。

図１は、本発明を適用したネットワークの第１実施例を示す構成図である。ここでは、図２に示した従来例と同一の要素には同一符号が使用してあるため、重複する説明は省略する。また、Ｌ２ＴＰでは、トンネルＩＤとセッションＩＤは、各々の端点で互いに独立した値を設定できるが、ここでは説明を簡単化にするため、各トンネルとセッションのＩＤがトンネルの両端で一致するものとする。但し、トンネルＩＤとセッションＩＤの値がトンネルの両端で異なった場合でも、以下に説明する動作に変更はない。

図１のネットワークは、図２と比較すると、アクセス網４に、各ＬＡＣから受信したＬ２ＴＰパケットを別のＬＡＣに向かうＬ２ＴＰセッションに転送可能なＬ２ＴＰパケット転送装置３０と、このＬ２ＴＰパケット転送装置３０に対応して設けられた転送装置管理サーバ３１とが追加された点に特徴がある。
図では、簡略化のためにＬ２ＴＰトンネルＴｎ−２とＴｎ−３を省略してあるが、ＬＡＣ１０−１、１０−２と、ＬＮＳ２０−１、２０−２との間には、図２と同様に、Ｌ２ＴＰトンネルＴｎ−１〜Ｔｎ−４が設定されており、これらのトンネル上に、IP over PPP over L2TPセッションｉＬ１〜ｉＬ４が形成される。Ｌ２ＴＰパケット転送装置３０とＬＡＣ１０−１、１０−２との間には、それぞれＬ２ＴＰトンネルＴｎ−５、Ｔｎ−６が設定され、これらのトンネル上には、Bridge over PPP over L2TPセッションｅＬ１、ｅＬ２が設定される。

本実施例では、破線で示すように、ＬＡＮ：Ｌ２とＬ３が仮想的な広域イーサネットワーク５に所属している。また、これらのＬＡＮ：Ｌ２、Ｌ３が、図２に示した宅内ゲートウェイＲｉ−２、Ｒｉ−３に代わって、Bridge over PPP機能を持つ宅内ゲートウェイＲｅ−１、Ｒｅ−２を介してＬＡＣ１０−１、１０−２に接続されている。ゲートウェイＲｅ−１、Ｒｅ−２とＬＡＣ１０−１、１０−２との間には、IP over PPP over PPPoEセッションｉｐ２、ｉｐ３に代わって、Bridge over PPP over PPPoEセッションｅｐ１、ｅｐ２が設定される。

図３は、図１に示したネットワーク構成において、ＬＡＣ管理サーバ１１が備える接続管理テーブル１１０の１例を示す。
接続管理テーブル１１０は、ドメイン名１１１と接続先１１２との関係を示す複数のテーブルエントリ１１０−１、１１０−２、…からなる。本実施例の場合、接続管理テーブル１１０には、広域イーサネットサービス用のドメイン名「ether.net」をＬ２ＴＰパケット転送装置３０のホスト名「lns-s.access.net」と対応付けたテーブルエントリ１１０−３が新たに追加されている。尚、接続管理テーブル１１０への新たなエントリの追加は、ＬＡＣ管理サーバ１１が備える一般的な機能を利用して実現できるため、ＬＡＣ１０とＬＡＣ管理サーバ１１には、本発明を実施するための特別な機能変更を必要としない。

図４は、転送装置管理サーバ３１が備えるユーザ管理テーブル３１０の１例を示す。
ユーザ管理テーブル３１０は、ユーザ名３１１と、ユーザ認証のためのパスワード３１２と、ユーザに関するその他の属性情報３１３と、仮想ネットワーク識別子（ＶＰＮ−ＩＤ）３１４との関係を示す複数のテーブルエントリからなる。同一の広域イーサネットワークに所属するユーザには、同一のＶＰＮ−ＩＤ：３１４が割り当てられる。図１では、広域イーサネットワーク５が１つしか示されていないが、Ｌ２ＴＰパケット転送３０には、ＶＰＮ−ＩＤの異なる複数の広域イーサネットワークを収容することができる。

図５は、Ｌ２ＴＰパケット転送装置３０の１実施例を示す構成図である。
Ｌ２ＴＰパケット転送装置３０は、ＬＡＣ１０（またはアクセス網４内の中継ノード）および転送装置管理サーバ３１に接続するための複数の入力回線インタフェース３０１（３０１−１〜３０１−ｎ）および出力回線インタフェース３０２（３０２−１〜３０２−ｎ）と、これらのインタフェースに接続されたパケット転送処理部３０３と、パケット転送処理部３０３に接続された制御部３０４とからなる。

パケット転送処理部３０３は、Ｌ２ＴＰ転送テーブル３２０、ＶＰＮ−ＩＤテーブル３３０、転送先判定テーブル３４０、その他のテーブル３５０を備えており、入力回線インタフェース３０１で受信されたＬＡＣ１０からのＬ２ＴＰパケットのヘッダ情報を解析し、これらのテーブルを利用して、ヘッダ変換した後、何れかの出力回線インタフェース３０２に選択的に転送する。パケット転送処理部３０３は、ＬＡＣ１０または転送装置管理サーバ３１から制御パケットを受信すると、これを制御部３０４に転送する。また、制御部３０４から制御パケットを受信すると、これを宛先アドレスに応じた何れかの出力回線インタフェース３０２に選択的に転送する。

制御部３０４は、パケット転送処理部３０３と送受信する制御パケットが一時的に蓄積されるＩ／Ｏバッファ３０５と、プロセッサ３０６と、メモリ３０７とからなり、メモリ３０７には、プロセッサ３０６が実行するセッション管理ルーチン３０８、プロトコル処理ルーチン３０９、その他の各種のプログラムと、プロセッサ３０６が必要とするデータが格納されている。プロセッサ３０６は、Ｉ／Ｏバッファ３０５から読み出された受信制御パケットに応じて、パケット転送処理部３０３が参照するテーブル３２０〜３５０の更新処理と、トンネルおよびセッションを設定するためのプロトコル処理とを実行する。プロセッサ３０６は、必要に応じて、パケット転送処理部３０３では処理できない複雑なルーティング処理をソフトウェアで実行することができる。

パケット転送処理部３０３は、受信パケットを高速に転送できるように、完全にハードウェアロジックで構成されたプロセッサ（または、ネットワークプロセッサと呼ばれるパケット処理に特化した特殊なＭＰＵ）と、各インタフェース３０１、３０２との間でパケットを送受信するための内部バス（またはスイッチ）からなり、受信パケットのヘッダ情報を解析し、テーブル３２０〜３５０に従って、各ＬＡＣから受信したＬ２ＴＰパケットを選択的に別セッションに転送する。また、パケット転送処理部３０３は、受信パケットの複製機能を備えており、後述するように、転送先判定テーブル３４０の状態に応じて、受信パケットを複数のＬＡＮにブロードキャストする。

Ｌ２ＴＰパケット転送装置３０は、既存のＬＮＳに、上述したＬ２ＴＰパケットの転送機能を付加した構造のものであってよい。この場合、その他のテーブル３５０として、Ｌ２ＴＰとＩＰパケットとの相互変換を行うＬＮＳの基本的なパケット転送動作に必要な各種テーブルが保持される。

図６は、ＶＰＮ−ＩＤテーブル３３０の１例を示す。
ＶＰＮ−ＩＤテーブル３３０は、受信されたＬ２ＴＰパケットの発信元を特定するために必要なＬ２ＴＰセッションＩＤとトンネルＩＤとの組合せ３３１から、その発信元が所属する広域イーサネットのグループ識別子を表すＶＰＮ−ＩＤ：３３２を検索するためのテーブルであり、Ｌ２ＴＰセッションＩＤとトンネルＩＤとの組合せ３３１と対応した複数のテーブルエントリ３３００−１、３３００−２、…からなる。

図７は、転送先判定テーブル３４０の１例を示す。
転送先判定テーブル３４０は、ＶＰＮ−ＩＤテーブル３３０とは逆に、ＶＰＮ−ＩＤ：３４１から、受信パケットの転送先を示すセッション情報（Ｌ２ＴＰセッションＩＤとトンネルＩＤとの組合せ）３４２を検索するためのテーブルである。転送先判定テーブル３４０は、ＶＰＮ−ＩＤ：３３０１と対応した１つまたは複数のテーブルエントリ３４００−１、…からなり、各テーブルエントリのセッション情報欄３４２には、同一の広域イーサネットグループ（ＶＰＮ−ＩＤ）に所属するＬ２ＴＰセッションＩＤとトンネルＩＤとの組合せが、Ｌ２ＴＰセッションの設定の都度、次々と登録される。

パケット転送処理部３０３は、受信したＬ２ＴＰパケットのＬ２ＴＰセッションＩＤとトンネルＩＤとの組合せに基づいて、先ず、ＶＰＮ−ＩＤテーブル３３０でＶＰＮ−ＩＤを特定し、次に、このＶＰＮ−ＩＤに基づいて転送先判定テーブル３４０を検索することによって、受信パケットの転送先を示すセッション情報を知ることができる。

図８は、図１に示した仮想的な広域イーサネットワーク５における宅内ゲートウェイＲｅ−１とＲｅ−２との接続シーケンス図を示す。
ゲートウェイＲｅ−１は、ユーザ端末ＴＥ−２からのパケット送信に先立って、ＬＡＣ１０−１との間で、ＰＰＰｏＥの接続手順およびＰＰＰのＬＣＰ接続手順を実行する（ＳＱ１）。ＬＡＣ１０−１は、上記接続手順によってゲートウェイＲｅ−１との間にセッションｅｐ１が設定されると、ゲートウェイＲｅ−１にユーザ名の送信を要求し、ゲートウェイＲｅ−１からユーザ名「user1＠ether.net」を取得する（ＳＱ２）。

ＬＡＣ１０−１は、ゲートウェイＲｅ−１からユーザ名「user1＠ether.net」を取得すると、ＬＡＣ管理サーバ１１に、このユーザ名と対応する接続先識別情報を問い合わせる（ＳＱ３）。上記問合せを受けたＬＡＣ管理サーバ１１は、ユーザ名からドメイン名部分「ether.net」を抽出し、接続管理テーブル１１０から、上記ドメイン名と対応する接続先識別情報として、Ｌ２ＴＰパケット転送装置３０のアドレス「ins-s.access.net」を検索し、これをＬＡＣ１０−１に通知する（ＳＱ４）。

ＬＡＣ１０−１は、ＬＡＣ管理サーバ１１から通知された接続先識別情報に従って、Ｌ２ＴＰパケット転送装置３０との間で、予め確立されているＬ２ＴＰトンネルＴｎ５上に新たなＬ２ＴＰセッション（ｅＬ１）を設定するための通信手順を実行する（ＳＱ５）。Ｌ２ＴＰパケット転送装置３０は、Ｌ２ＴＰセッション（ｅＬ１）の設定が完了すると、ＬＡＣ１０−１を介してゲートウェイＲｅ−１にユーザ認証情報を要求し、ゲートウェイＲｅ−１から、ユーザ認証情報としてユーザ名「user1」とパスワードを取得する（ＳＱ６）。この後、Ｌ２ＴＰパケット転送装置３０は、転送装置管理サーバ３１に上記認証情報を含む認証要求を送信する（ＳＱ７）。

転送装置管理サーバ３１は、ユーザ管理テーブル３１０から、上記認証要求が示すユーザ名「user1」をもつテーブルエントリを検索し、上記認証要求が示すパスワードと、検索エントリに登録されたパスワード３１２とを照合し、ユーザ認証結果をＬ２ＴＰパケット転送装置３０に通知する（ＳＱ８）。ユーザ認証に成功した場合、上記認証結果通知は、上記検索エントリが示すＶＰＮ−ＩＤ３１４の値と、必要に応じてその他の属性情報３１３が含んでいる。

Ｌ２ＴＰパケット転送装置３０は、上記認証結果通知を受信すると、ゲートウェイＲｅ−１との間で、ＢＣＰ（Bridging Control Protocol）の接続手順を実行し（ＳＱ９）、Ｌ２ＴＰトンネルＴｎ５の識別子、Ｌ２ＴＰセッションｅＬ１の識別子、ＶＰＮ−ＩＤの関係をＶＰＮ−ＩＤテーブル３３０と転送先判定テーブル３４０に登録する。上記ＢＣＰ接続によって、ゲートウェイＲｅ−１は、ＬＡＣ１０−１を介して、ユーザ端末ＴＥ−２からの送信パケットをBridge over PPPパケット形式、ここでは、Ethernet over PPPパケット形式でＬ２ＴＰパケット転送装置３０に送信することが可能となる。

シーケンスＳＱ１１〜ＳＱ１９は、仮想的な広域イーサネットワーク５に所属するもう１つのゲートウェイＲｅ−２とＬ２ＴＰパケット転送装置３０との間をＢＣＰ接続するための通信シーケンスを示している。
ユーザ端末ＴＥ−３からのパケット送信に先立って、ゲートウェイＲｅ−２は、ＬＡＣ１０−２との間で、ＰＰＰｏＥの接続手順およびＰＰＰのＬＣＰ接続手順を実行する（ＳＱ１１）。ＬＡＣ１０−２は、ゲートウェイＲｅ−２との間にセッションｅｐ２が設定されると、ゲートウェイＲｅ−２にユーザ名の送信を要求し、ゲートウェイＲｅ−２からユーザ名「user2＠ether.net」を取得する（ＳＱ１２）。

ＬＡＣ１０−２は、ゲートウェイＲｅ−２からユーザ名「user2＠ether.net」を取得すると、ＬＡＣ管理サーバ１１に、このユーザ名と対応する接続先識別情報を問い合わせる（ＳＱ１３）。上記問合せを受けたＬＡＣ管理サーバ１１は、ユーザ名からドメイン名部分「ether.net」を抽出し、接続管理テーブル１１０から、上記ドメイン名と対応する接続先識別情報として、Ｌ２ＴＰパケット転送装置３０のアドレス「ins-s.access.net」を検索し、これをＬＡＣ１０−２に通知する（ＳＱ１４）。

ＬＡＣ１０−２は、ＬＡＣ管理サーバ１１から通知された接続先識別情報に従って、Ｌ２ＴＰパケット転送装置３０との間で、予め確立されているＬ２ＴＰトンネルＴｎ６上に新たなＬ２ＴＰセッション（ｅＬ２）を設定するための通信手順を実行する（ＳＱ１５）。Ｌ２ＴＰパケット転送装置３０は、Ｌ２ＴＰセッション（ｅＬ２）の設定が完了すると、ＬＡＣ１０−２を介してゲートウェイＲｅ−２にユーザ認証情報を要求し、ゲートウェイＲｅ−２から、ユーザ認証情報としてユーザ名「user2」とパスワードを取得する（ＳＱ１６）。この後、Ｌ２ＴＰパケット転送装置３０は、転送装置管理サーバ３１に上記ユーザ認証情報を含む認証要求を送信する（ＳＱ１７）。

転送装置管理サーバ３１は、ユーザ管理テーブル３１０から、上記認証要求が示すユーザ名「user2」をもつテーブルエントリを検索し、上記認証要求が示すパスワードと、検索エントリに登録されたパスワード３１２とを照合し、ユーザ認証結果をＬ２ＴＰパケット転送装置３０に通知する（ＳＱ１８）。ユーザ認証に成功した場合、上記認証結果通知は、上記検索エントリが示すＶＰＮ−ＩＤ３１４の値と、必要に応じてその他の属性情報３１３とを含んでいる。

Ｌ２ＴＰパケット転送装置３０は、上記認証結果通知を受信すると、ゲートウェイＲｅ−２との間で、ＢＣＰの接続手順を実行し（ＳＱ１９）、Ｌ２ＴＰトンネルＴｎ６の識別子、Ｌ２ＴＰセッションｅＬ２の識別子、ＶＰＮ−ＩＤの関係をＶＰＮ−ＩＤテーブル３３０、転送先判定テーブル３４０に登録する。これによって、ゲートウェイＲｅ−２は、ＬＡＣ１０−２を介して、ユーザ端末ＴＥ−３からの送信パケットをEthernet over PPPパケット形式でＬ２ＴＰパケット転送装置３０に送信することが可能となる。

ゲートウェイＲｅ−２とＬ２ＴＰパケット転送装置３０の間のＢＣＰ接続が完了する迄は、ＶＰＮ−ＩＤ＝「１」をもつ仮想的な広域イーサネットワーク５に所属するゲートウェイは、Ｒｅ−１だけであり、転送先判定テーブル３４０には、ＶＰＮ−ＩＤ＝「１」と対応する転送先セッション情報として、トンネルＴｎ−５のＩＤ（＝５）とセッションＩＤ（＝１）との組合せ「（５、１）」しか登録されていない。この状態では、仮にユーザ端末ＴＥ−２がパケットを送信しても、転送先判定テーブル３４０上で、受信パケットの転送先となる別のトンネルＩＤとセッションＩＤとの組合せが存在しないため、Ｌ２ＴＰパケット転送装置３０は、受信パケットを廃棄することになる。

ゲートウェイＲｅ−２とＬ２ＴＰパケット転送装置３０の間のＢＣＰ接続が完了すると、転送先判定テーブル３４０は、図７に示したように、転送先セッション情報として、トンネルＴｎ−６のＩＤ（＝６）とセッションＩＤ（＝１）との組合せ「（６、１）」が追加された状態となる。従って、Ｌ２ＴＰパケット転送装置３０によって、ゲートウェイＲｅ−１からの受信パケットがゲートウェイＲｅ−２に転送され、逆に、ゲートウェイＲｅ−２からの受信パケットがゲートウェイＲｅ−１に転送され、ゲートウェイＲｅ−１とＲｅ−２に接続されたユーザ端末に、Ｌ２ＴＰパケット転送装置３０を経由したＥｔｈｅｎｅｔパケットの通信を可能とする通信サービス（ＳＱ２０）が提供される。

図９は、Ｌ２ＴＰパケット転送装置３０の制御部３０４が実行するセッション管理ルーチン３０８のフローチャートを示す。
制御部３０４は、ＬＡＣ１０からＬ２ＴＰ接続要求を受信すると、プロトコル処理ルーチン３０９によってＬ２ＴＰ処理（ＳＱ５またはＳＱ１５）を実行し、ゲートウェイ（Ｒｅ−１またはＲｅ−２）に対応するトンネルＩＤとセッションＩＤを確定し（ステップ３７１）、確定したＩＤに基づいて、Ｌ２ＴＰ転送テーブル３２０を更新する（３７２）。次に、制御部３０４は、ＬＮＳを介してゲートウェイと交信し、転送装置管理サーバ３１と交信して、ゲートウェイのＰＰＰ認証処理（ＳＱ６またはＳＱ１６）を実行し、転送装置管理サーバ３１から、ＶＰＮ−ＩＤを含むセッション属性を取得する（３７３）。ゲートウェイの認証に成功すると、制御部３０４は、プロトコル処理ルーチン３０９によって、ＲＦＣ３５１８（非特許文献３）に規定されたＰＰＰのＢＣＰ接続手順（ＳＱ９またはＳＱ１９）を実行し（３７４）、ゲートウェイがbridge over PPP送信可能な状態にする。

この後、制御部３０４は、ステップ３８３で転送装置管理サーバ３１から得たＶＰＮ−ＩＤと、ステップ３８１で確定したトンネルＩＤおよびセッションＩＤを適用して、ＶＰＮ−ＩＤテーブル３３０にＶＰＮ−ＩＤを検索するための新たなエントリを登録し（３７５）、転送先判定テーブル３４０に、上記ＶＰＮ−ＩＤを検索キーとするエントリが既に存在するか否かを判定する（３７６）。

もし、目的のエントリが存在していなければ、上記ＶＰＮ−ＩＤから上記トンネルＩＤとセッションＩＤとの組合せを検索するための新たなエントリを生成し、これを転送先判定テーブル３４０に登録し（３７７）、このルーチンを終了する。目的エントリが転送先判定テーブル３４０に既に存在していた場合は、目的エントリにＬ２ＴＰパケットの新たな転送先セッションを示す上記トンネルＩＤとセッションＩＤとの組合せを追加し（３７８）、このルーチンを終了する。

図１０は、Ｌ２ＴＰパケット転送装置３０のパケット転送処理部３０３が実行するパケット転送動作のフローチャートを示す。
パケット転送処理部３０３は、ＬＡＣを介してＬ２ＴＰ形式でゲートウェイからのＰＰＰパケットを受信すると、受信パケットのＬ２ＴＰヘッダからトンネルＩＤとセッションＩＤを抽出し（３８１）、抽出されたトンネルＩＤとセッションＩＤとの組合せを検索キーとして、ＶＰＮ−ＩＤテーブル３３０からＶＰＮ−ＩＤを検索する（３８２）。次に、上記ＶＰＮ−ＩＤを検索キーとして、転送先判定テーブル３４０から、受信パケットの転送先セッション情報３４２となるトンネルＩＤとセッションＩＤとの組合せを検索する（３８３）。転送先セッション情報３４２には、受信パケットの送信元のセッション情報も含まれているため、パケット転送処理部３０３は、検索された転送先セッション情報から、ステップ３８１で抽出されたトンネルＩＤとセッションＩＤとの組合せを除外し（３８４）、残ったセッション（トンネルＩＤとセッションＩＤとの組合せ）の数を判定する（３８５）。

残ったセッション数がゼロの場合は、受信パケットの転送先が皆無であることを意味しているため、受信パケットを破棄し（３８６）、この受信パケットについての転送動作を終了する。残ったセッション数がゼロでなければ、パケット転送処理部３０３は、セッション数に応じて受信パケットのコピーを生成し（３８７）、転送先セッション情報に基づいてトンネルＩＤとセッションＩＤを書き換えたＬ２ＴＰパケットを生成し（３８８）、通常のＬ２ＴＰ転送処理に従って、各Ｌ２ＴＰパケットのＩＰヘッダを書き換え（３８９）、各パケットをそれぞれの転送先セッション情報に対応した出力回線インタフェース３０２に送出する（３９０）。

上記実施例によれば、アクセス網４にＬ２ＴＰパケット転送装置３０と管理サーバ３１とを追加することによって、Ｌ２ＴＰの枠組みを生かして、安全な広域イーサネットサービスを安価に実現できる。

図１１は、本発明を適用したネットワークの第２実施例を示す構成図である。
図１に示した第１実施例のネットワークと比較すると、本実施例は、図１におけるゲートウェイはＲｉ−１とＲｅ−１に代えて、IP over PPP over PPPoE機能とBridge over PPP over PPPoE機能の両方を備えたゲートウェイＲｉｅ−１が使用され、図１における２つのＬＡＮ：Ｌ１とＬ２が、一つのＬＡＮ：Ｌ１２に統合された形になっている。ゲートウェイＲｉｅ−１とＬＡＣ１０−１との間には、IP over PPP over PPPoEのトンネルｉｐ１と、Bridge over PPP over PPPoEのトンネルｅｐ１が設定されている。

図１２は、ゲートウェイＲｉｅ−１の構成の１例を示す。
ゲートウェイＲｉｅ−１は、ＬＡＮおよびＬＡＣ１０と接続するための複数の入力回線インタフェース５０１（５０１−１〜５０１−ｍ）および出力回線インタフェース５０２（５０２−１〜５０２−ｍ）と、これらのインタフェースに接続されたパケット転送処理部５０３と、パケット転送処理部５０３に接続された制御部５０４とからなる。

パケット転送処理部５０３は、ＰＰＰやＩＰパケットなどゲートウェイとして基本的なパケット転送に必要とされるＰＰＰ／ＩＰ転送テーブル５１０の他に、後述するBridge over PPPテーブル５２０、その他のテーブル５３０を備えており、入力回線インタフェース５０１で受信されたＬＡＮまたはＬＡＣからの受信パケットのヘッダ情報を解析し、これらのテーブルを利用してヘッダ変換した後、受信パケットを何れかの出力回線インタフェース５０２に選択的に転送する。パケット転送処理部５０３は、ＬＡＣ１０から制御パケットを受信すると、これを制御部５０４に転送する。また、制御部５０４から制御パケットを受信すると、これを宛先アドレスに応じた何れかの出力回線インタフェース５０２に選択的に転送する。

制御部５０４は、パケット転送処理部５０３と送受信する制御パケットが一時的に蓄積されるＩ／Ｏバッファ５０５と、プロセッサ５０６と、メモリ５０７とからなり、メモリ５０７には、プロセッサ５０６が実行するプロトコル制御、その他の各種のプログラムと、プロセッサ５０６が必要とするデータが格納されている。プロセッサ５０６は、Ｉ／Ｏバッファ５０５から読み出した受信制御パケットに応じて、パケット転送処理部５０３が参照するテーブル５１０〜５３０の更新処理と、ＬＡＣへのトンネルおよびセッション設定のためのプロトコル処理とを実行する。プロセッサ５０６は、必要に応じて、パケット転送処理部５０３では処理できない複雑なルーティング処理をソフトウェアで実現する。

パケット転送処理部５０３は、受信パケットを高速に転送できるように、完全にハードウェアロジックで構成されたプロセッサ（または、ネットワークプロセッサと呼ばれるパケット処理に特化した特殊なＭＰＵと、ソフトウェアを格納したプログラム専用メモリ）と、各インタフェース５０１、５０２との間でパケットを送受信するための内部バス（またはスイッチ）からなる。

図１３は、本実施例におけるゲートウェイＲｉｅ−１からＬＡＣ１０への送信パケットのフィーマットを示す。
ゲートウェイＲｉｅ−１がＬＡＮ：Ｌ１２から受信するパケットは、ペイロード６００とＩＰヘッダ６０１とからなるＩＰパケットに、Ｌ２レイヤのイーサヘッダ６０２が付加されたフォーマットとなっている。ゲートウェイＲｉｅ−１は、ＬＡＮから受信したパケットのヘッダ条件によって、図（Ａ）に示すように、イーサヘッダ６０２を残したまま、カプセル化ヘッダ６０３を付加してＬＡＣ１０に送出する場合と、図（Ｂ）に示すように、イーサヘッダ６０２を除去し、ＩＰパケットにカプセル化ヘッダ６０３を付加してＬＡＣ１０に送出する場合とがある。

図１４は、パケット転送処理部５０３が参照するBridge over PPPテーブル５２０の１例を示す。
Bridge over PPPテーブル５２０には、Bridge over PPP処理してＬＡＣに転送されるパケットが備えるべきヘッダ条件を定義した複数のテーブルエントリからなる。

ヘッダ条件は、ＩＰアドレス５２１と、ＴＣＰ／ＵＤＰのポート番号５２２と、その他のヘッダ情報５２３とで指定される。テーブルエントリには、例えば、エントリ５２００−１のように、ＩＰアドレス５２１でプライベートアドレス範囲を指定したものや、エントリ５２００−２のように、ＩＰアドレスには関係なく、ポート番号５２２で特定のアプリケーション（ここでは、ポート２３「ｔｅｌｎｅｔ」）を指定したものがある。Bridge over PPP処理すべきパケットのヘッダ条件は、ＩＰヘッダの任意のヘッダ項目で指定でき、必要に応じて、イーサ（Ethernet）のヘッダ情報項目をヘッダ条件に加えることができる。

図１５は、ゲートウェイＲｉｅ−１のパケット転送処理部５０３が実行するパケット転送処理のフローチャートを示す。
パケット転送処理部５０３は、入力回線インタフェース５０１（５０１−１〜５０１−ｍ）からの受信パケットが、ＬＡＮからの受信パケットか否かを判定し（ステップ７０１）、それがＬＡＣに転送すべきＬＡＮからの受信パケットの場合、イーサヘッダ６０１が付加されたままの状態で、ヘッダ走査を行い、Bridge over PPPテーブル５２０が示すヘッダ条件と照合する（７０２）。照合の結果（７０３）、受信パケットがBridge over PPPテーブル５２０の何れかのヘッダ条件を満たしていた場合、イーサヘッダ６０２を残したまま、受信パケットをBridge over PPP形式でカプセル化し（７０４）、ＰＰＰｏＥセッション（ＬＡＣに向かうトンネルｅｐ１）と対応する出力回線インタフェース５０２に、図１３（Ａ）のパケットフォーマットで送信する（７０６）。受信パケットがBridge over PPPテーブル５２０のヘッダ条件に該当しない場合は、イーサヘッダ６０２を除去した後、受信パケットをIP over PPP形式でカプセル化し（７０５）、ＰＰＰｏＥセッション（ＬＡＣに向かうトンネルｉｐ１）と対応する出力回線インタフェース５０２に、図１３（Ｂ）のパケットフォーマットで送信する。

受信パケットがＬＡＮ側に転送すべきＬＡＣからのパケットの場合、パケット転送処理部５０３は、受信パケットからカプセル化ヘッダを除去し（７１０）、イーサヘッダの付加またはヘッダ変換（７１１）を行った後、受信パケットをＬＡＮ側の出力回線インタフェース５０２に転送する。

本実施例によれば、ゲートウェイＲｉｅ−１とＬＡＣとの間に、インターネット接続用のユーザＩＤによるＰＰＰｏＥセッションｉｐ１と、広域イーサネットサービス用のユーザＩＤによるＰＰＰｏＥセッションｅｐ１を設定し、ゲートウェイＲｉｅ−１が、ユーザ端末からの受信パケットの内容に応じて、ＰＰＰパケットを出力すべきセッションを選択することにより、単一にユーザに対して、インターネット接続サービスと広域イーサネットサービスを同時に提供することが可能となる。

図１６は、本発明を適用したネットワークの第３実施例を示す構成図である。
第１、第２実施例では、アクセス網４とＩＳＰ網１、２とが独立して存在するネットワーク構成について説明したが、第３実施例は、アクセス網４とＩＳＰ網１、２とを統合したネットワーク構成に本発明を適用した場合を示す。
アクセス網とＩＳＰ網を統合した場合、図１６に示すように、アクセス網とＩＳＰ網を接続するＬＮＳ２０が省略され、アクセス網４は、インターネット３と同じアドレス空間を持つＩＰ網となる。Ｌ２ＴＰパケット転送装置３０による広域イーサネットサービスは、第１実施例と同様に実現される。

本実施例では、ＬＡＣ１０−１、１０−２の代わりに、ＬＡＣ機能とＢＡＳ（Broadband Access Server）機能とを備えたＬＡＣ・ＢＡＳ１００−１、１００−２が使用される。また、ＬＡＣ・ＢＡＳ１００−１、１００−２には、ＬＡＣ管理サーバ１１の機能とＬＮＳ管理サーバ２１の機能とを兼ね備えたＬＡＣ・ＢＡＳ管理サーバ２２が接続される。

本実施例では、第１実施例と同様に、ゲートウェイＲｉ−１（Ｒｉ−２）とゲートウェイＲｅ−１（Ｒｅ−２）は、ＬＡＣ・ＢＡＳ１００−１（１００−２）との間に、それぞれＰＰＰセッションｉｐ１（ｉｐ２）、ｅｐ１（ｅｐ２）を確立する。ＬＡＣ・ＢＡＳ１００−１（１００−２）は、管理サーバ２２に問い合わせ、IP over PPPのセッションｉｐ１（ｉｐ２）は終端し、Bridge over PPPのセッションｅｐ１（ｅｐ２）は、Ｌ２ＴＰセッションｅＬ１（ｅＬ２）でＬ２ＴＰパケット転送装置３０に接続する。

ＬＡＣ・ＢＡＳ１００−１（１００−２）は、ゲートウェイＲｉ−１（Ｒｉ−２）からIP over PPPでカプセル化されたパケットを受信すると、受信パケットからカプセル化ヘッダを除去し、得られたＩＰパケットを通常のＩＰルーティングによってＩＰ網４経由でインターネット３に転送する（ＢＡＳ機能）。一方、ゲートウェイＲｅ−１（Ｒｅ−２）からBridge over PPPでカプセル化されたパケットを受信すると、ＬＡＣ・ＢＡＳ１００−１（１００−２）は、受信パケットをBridge over PPPのセッションｅｐ１（ｅｐ２）にＬ２ＴＰ転送する（ＬＡＣ機能）。従って、この受信パケットは、第１実施例と同様、Ｌ２ＴＰパケット転送装置３０によって、パケット送信元と同じ広域イーサネットワークに属する他のＬＡＮに転送される。

本実施例は、ユーザ端末から送信されたインターネットアクセス用のパケットが、アクセス網内をトンネリングすることなく通過するようになっているため、セキュリティに関しては第１、第２実施例よりも劣化するように見えるが、Ｌ２ＴＰパケット転送装置３０のＩＰアドレスは、ＬＡＣ・ＢＡＳ１００−１、１００−２にのみに通知され、ユーザ端末には公開されていないため、実際の応用において、アクセス網事業者にサーバタイプの広域イーサネットワーク装置よりも高いセキュリティを保証できる。

本発明を適用したネットワークの第１実施例を示す構成図。 従来のインターネット接続サービス網の１例を示す図。 図１のＬＡＣ管理サーバが備える接続管理テーブル１１０の１例を示す図。 図１の転送装置管理サーバ３１が備えるユーザ管理テーブル３１０の１例を示す図。 本発明のＬ２ＴＰパケット転送装置３０の１実施例を示す構成図。 Ｌ２ＴＰパケット転送装置３０のパケット処理部３０３が備えるＶＰＮ−ＩＤテーブル３３０の１例を示す図。 Ｌ２ＴＰパケット転送装置３０のパケット処理部３０３が備える転送先判定テーブル３４０の１例を示す図。 図１の仮想的な広域イーサネットワーク５におけるゲートウェイＲｅ−１、Ｒｅ−２の接続シーケンス図。 Ｌ２ＴＰパケット転送装置３０の制御部３０４が実行するセッション管理ルーチンのフローチャート。 Ｌ２ＴＰパケット転送装置３０のパケット処理部３０３が実行するパケット転送動作を示すフローチャート。 本発明を適用したネットワークの第２実施例を示す構成図。 第２実施例におけるゲートウェイＲｅｉ−１の構成の１例を示す図。 ゲートウェイＲｅｉ−１からの送信パケットのフォーマットを示す図。 第２実施例においてゲートウェイＲｅｉ−１のパケット転送処理部５０３が参照するBridge over PPPテーブルの１例を示す図。 パケット転送処理部５０３が実行するパケット転送処理のフローチャート。 本発明を適用したネットワークの第３実施例を示す構成図。

符号の説明

１、２：ＩＳＰのＩＰ網、３：インターネット、４：アクセス網、
５：広域イーサネットワーク、１０：ＬＡＣ、１１：ＬＡＣ管理サーバ、
２０：ＬＮＳ装置、２１：ＬＮＳ管理サーバ、３０：Ｌ２ＴＰパケット転送装置、
３１：転送装置管理サーバ、２２：ＬＡＣ・ＢＡＳ管理サーバ、Ｌ１〜Ｌ４：ＬＡＮ、
Ｒｉ：IP over PPP over PPPoE用のゲートウェイ、
Ｒｅ：Bridge over PPP over PPPoE用のゲートウェイ、
ｉｐ：IP over PPP over PPPoEセッション、
ｅｐ：Bridge over PPP over PPPoEセッション、
Ｔｎ：Ｌ２ＴＰトンネル、ｉＬ：IP over PPP over L2TPセッション、
ｅＬ：bridge over PPP over L2TPセッション、１００：ＬＡＣ・ＢＡＳ、
３０１、５０１：入力回線インタフェース、３０２、５０２：出力回線インタフェース、３０３、５０３：パケット転送処理部、３０４、５０４：制御部、
３２０：Ｌ２ＴＰ転送テーブル、３３０：ＶＰＮ−ＩＤテーブル、
３４０：転送先判定テーブル、５１０：ＰＰＰ／ＩＰ転送テーブル、
５２０：Bridge over PPPテーブル。

Claims (10)

1. Ｌ２ＴＰ（Layer 2 Tunneling Protocol）セッションを介して少なくとも２つのＬＡＣ（L2TP Access Concentrator）に接続され、ユーザ端末を収容するゲートウェイから送信されたＰＰＰ（Point to Point Protocol）パケットをＬ２ＴＰパケット形式で受信するＬ２ＴＰパケット転送装置であって、
   Ｌ２ＴＰセッションのトンネルＩＤとセッションＩＤとの組合せと、ユーザ端末が所属する仮想的な広域ネットワークの識別子（以下、ＶＰＮ−ＩＤと言う）との対応関係を記憶した検索テーブルと、
   受信パケットに付されたＬ２ＴＰヘッダが示すトンネルＩＤとセッションＩＤに基づいて、上記検索テーブルから上記受信パケットのＶＰＮ−ＩＤを特定し、上記検索テーブルで上記特定ＶＰＮ−ＩＤと同一のＶＰＮ−ＩＤを持つ他のトンネルＩＤとセッションＩＤとの組合せの存在が確認された場合に、上記Ｌ２ＴＰヘッダのトンネルＩＤとセッションＩＤを上記他のトンネルＩＤとセッションＩＤに書き換え、上記他のトンネルＩＤとセッションＩＤの組合せで特定される他のＬ２ＴＰセッションに対して、上記ＰＰＰパケットをＬ２ＴＰパケット形式で転送するパケット転送処理部とを有することを特徴とするＬ２ＴＰパケット転送装置。
2. 前記ＬＡＣとの間に新たなＬ２ＴＰセッションを設定する時、ユーザ認証情報を保持する管理サーバからユーザ識別情報と対応したＶＰＮ−ＩＤを取得し、前記検索テーブルに、該ＶＰＮ−ＩＤと上記新たなＬ２ＴＰセッションのトンネルＩＤおよびセッションＩＤの対応関係を記憶する制御部を有することを特徴とする請求項１に記載のＬ２ＴＰパケット転送装置。
3. 前記検索テーブルが、トンネルＩＤとセッションＩＤとの組合せを検索キーとして、ＶＰＮ−ＩＤを検索するためのＶＰＮ−ＩＤテーブルと、ＶＰＮ−ＩＤを検索キーとして、同一の広域ネットワークに所属するＬ２ＴＰセッションのトンネルＩＤとセッションＩＤとの組合せを検索するための転送先判定テーブルとからなり、
   前記パケット転送処理部が、受信パケットのＬ２ＴＰヘッダが示すトンネルＩＤとセッションＩＤに基づいて、上記ＶＰＮ−ＩＤテーブルからＶＰＮ−ＩＤを特定し、上記転送先判定テーブルから上記特定ＶＰＮ−ＩＤをもつ前記他のＬ２ＴＰセッションを特定することを特徴とする請求項１または請求項２に記載のＬ２ＴＰパケット転送装置。
4. 前記パケット転送処理部が、前記各ＬＡＣから、Bridge over PPP（Point to Point Protocol）パケットをＬ２ＴＰヘッダでカプセル化した形式のＬ２ＴＰパケットを受信することを特徴とする請求項１〜請求項３の何れかに記載のＬ２ＴＰパケット転送装置。
5. それぞれ宅内ＬＡＮに接続された複数のゲートウェイを収容し、各ゲートウェイとの間で、IP over PPP（Point to Point Protocol）パケットまたはBridge over PPPパケットを送受信する複数のＬＡＣ（L2TP Access Concentrator）と、
   上記ＬＡＣにＬ２ＴＰ（Layer 2 Tunneling Protocol）セッションを介して接続され、各ＬＡＣからＬ２ＴＰパケット形式で受信したIP over PPPパケットからＩＰパケットを抽出し、該ＩＰパケットをインターネット・サービス・プロバイダ（ＩＳＰ）網に転送する少なくとも１つのＬＮＳ（L2TP Network Server）と、
   上記複数のＬＡＣにＬ２ＴＰセッションを介して接続されるＬ２ＴＰパケット転送装置とからなる通信ネットワークにおいて、
   上記各ＬＡＣが、上記ゲートウェイからの受信パケットを、IP over PPPパケットは上記ＬＮＳに、Bridge over PPPパケットは上記Ｌ２ＴＰパケット転送装置に、それぞれＬ２ＴＰパケット形式で転送し、
   上記Ｌ２ＴＰパケット転送装置が、
   Ｌ２ＴＰセッションのトンネルＩＤとセッションＩＤとの組合せと、ユーザ端末が所属する仮想的な広域ネットワークの識別子（以下、ＶＰＮ−ＩＤと言う）との対応関係を記憶した検索テーブルと、
   上記ＬＡＣから受信したBridge over PPPパケットに付されたＬ２ＴＰヘッダが示すトンネルＩＤとセッションＩＤとの組合せに基づいて、上記検索テーブルから上記受信パケットのＶＰＮ−ＩＤを特定し、上記検索テーブルで上記特定ＶＰＮ−ＩＤと同一のＶＰＮ−ＩＤを持つ他のトンネルＩＤとセッションＩＤとの組合せの存在が確認された場合に、上記Ｌ２ＴＰヘッダのトンネルＩＤとセッションＩＤを上記他のトンネルＩＤとセッションＩＤに書き換え、上記他のトンネルＩＤとセッションＩＤの組合せで特定される他のＬ２ＴＰセッションに対して、上記Bridge over PPPパケットをＬ２ＴＰパケット形式で転送するパケット転送処理部とを有することを特徴とする通信ネットワーク。
6. 前記Ｌ２ＴＰパケット転送装置と対応づけられたユーザ認証用の転送装置管理サーバを含み、
   前記Ｌ２ＴＰパケット転送装置が、
   前記ＬＡＣとの間に新たなＬ２ＴＰセッションを設定する時、上記転送装置管理サーバから上記Ｌ２ＴＰセッションの設定要求元ユーザのユーザ識別情報と対応したＶＰＮ−ＩＤを取得し、前記検索テーブルに、該ＶＰＮ−ＩＤと上記新たなＬ２ＴＰセッションのトンネルＩＤおよびセッションＩＤの対応関係を記憶する制御部を備えることを特徴とする請求項５に記載の通信ネットワーク。
7. 前記検索テーブルが、トンネルＩＤとセッションＩＤとの組合せを検索キーとして、ＶＰＮ−ＩＤを検索するためのＶＰＮ−ＩＤテーブルと、ＶＰＮ−ＩＤを検索キーとして、同一の広域ネットワークに所属するＬ２ＴＰセッションのトンネルＩＤとセッションＩＤとの組合せを検索するための転送先判定テーブルとからなり、
   前記Ｌ２ＴＰパケット転送装置のパケット転送処理部が、前記Bridge over PPPパケットに付されたＬ２ＴＰヘッダが示すトンネルＩＤとセッションＩＤに基づいて、上記ＶＰＮ−ＩＤテーブルからＶＰＮ−ＩＤを特定し、上記転送先判定テーブルから上記特定ＶＰＮ−ＩＤをもつ前記他のトンネルＩＤとセッションＩＤを特定することを特徴とする請求項５または請求項６に記載の通信ネットワーク。
8. 前記ユーザ識別情報から抽出されるドメイン名と、接続先識別子との関係を記憶したＬＡＣ管理サーバと、
   前記ＬＮＳに対応づけられたユーザ認証用のＬＮＳ管理サーバとを含み、
   前記各ＬＡＣが、前記何れかのゲートウェイから新たなセッション接続要求を受けた時、上記ＬＡＣ管理サーバから、上記セッション接続要求の要求元ユーザのユーザ識別情報と対応する接続先情報を取得し、該接続先情報に従って前記ＬＮＳまたはＬ２ＴＰパケット転送装置との間に新たなＬ２ＴＰセッションを設定し、セッション接続先となったＬＮＳまたはＬ２ＴＰパケット転送装置が、上記ＬＮＳ管理サーバにユーザ認証を要求することを特徴とする請求項６に記載の通信ネットワーク。
9. 前記ゲートウェイのうちの少なくとも１つが、前記Ｌ２ＴＰパケット転送装置に転送すべきパケットのヘッダ条件を示すテーブルを備え、前記宅内ＬＡＮからパケットを受信したとき、上記ヘッダ条件に適合する受信パケットは、Ｌ２ヘッダを残したままBridge over PPP形式のカプセル化パケットとして前記ＬＡＣに送信し、上記ヘッダ条件に適合しない受信パケットは、Ｌ２ヘッダを除去し、IP over PPP形式のカプセル化パケットとして前記ＬＡＣに送信することを特徴とする請求項５〜請求項８の何れかに記載の通信ネットワーク。
10. 前記各ゲートウェイが、前記Ｌ２ＴＰパケット転送装置を経由すべきパケットをBridge over PPP over PPPoE （PPP over Ethernet）形式のカプセル化パケットとして、前記ＬＡＣに送信することを特徴とする請求項５〜請求項９の何れかに記載の通信ネットワーク。

Images