JP4575439B2 - イーサネット（登録商標）受動光ネットワークにおけるｌ３−アウェアスイッチングの方法と装置 - Google Patents

Description

本発明は、通信ネットワークにおけるパケット交換に関する。特に、本発明は、イーサネット（登録商標）受動光ネットワークにおいてパケットを交換する方法および装置に関する。

インターネットの増加するトラフィックに歩調を合わせることを目的として、基幹ネットワークの容量を実質的に増加させるように光ファイバーと光学的な伝送装置とが幅広く配置されてきた。しかしながら、基幹ネットワークにおけるこの容量の増加は、対応するアクセスネットワークの容量の増加を伴ってはこなかった。このため、たとえデジタル加入者線（ＤＳＬ）やケーブルモデム（ＣＭ）のような広帯域アクセスによる解決策を用いたとしても、現在のアクセスネットワークによって提示される制限された帯域幅は、高帯域をエンドユーザに送達することにおいては、シビアな隘路として残される。

現在発達している複数の異なる技術の中で、イーサネット（登録商標）受動光ネットワーク（ＥＰＯＮ；Ｅｔｈｅｒｎｅｔ（登録商標） ｐａｓｓｉｖｅ ｏｐｔｉｃａｌ ｎｅｔｗｏｒｋ）は、次世代のアクセスネットワークの最も優れた候補である。ＥＰＯＮは、ユビキタスイーサネット（登録商標）技術と安価な受動光学素子とを結びつける。ＥＰＯＮは、受動光学素子の費用効率性と高容量性とにより、イーサネット（登録商標）の単純性と拡張性とを提示する。ＥＰＯＮは、光ファイバーの高帯域性により、広帯域の音声、データ、および映像のトラフィックを同時に搬送することができる。そのような統合型のサービスをＤＳＬ技術またはＣＭ技術に提供することは困難である。さらに、イーサネット（登録商標）・フレームは、原始的なＩＰパケットを異なるサイズにカプセル化（ｅｎｃａｐｓｕｌａｔｅ）することができるため、ＥＰＯＮは、インターネットプロトコル（ＩＰ）トラフィックにより適合している。対照的に、ＡＴＭ受動光ネットワーク（ＡＰＯＮ；ＡＴＭ ｐａｓｓｉｖｅ ｏｐｔｉｃａｌ ｎｅｔｗｏｒｋ）は、サイズが一定のＡＴＭセルを使用し、パケットの断片化と再構築とを必要とする。

典型的に、ＥＰＯＮは、ネットワークの「第１マイル（ｆｉｒｓｔ ｍｉｌｅ）」に存在する。上記「第１マイル」は、サービスプロバイダの中央オフィスと、仕事場または自宅の加入者との間の接続性を提供する。たいてい、この第１マイルのネットワークは、中央オフィスが多数の加入者に情報提供を行なう１点から複数点への論理ネットワークである。典型的なツリートポロジーのＥＰＯＮにおいて、１本のファイバーは、中央オフィスと受動光結合器とを結合し、下流（ｄｏｗｎｓｔｒｅａｍ）の光信号を複数のユーザ（加入者）に振り分けまたは分配する。結合器はまた、加入者からの上流（ｕｐｓｔｒｅａｍ）の信号をも結合する（図１参照）。

典型的に、ＥＰＯＮにおける伝送は、光回線端末（ＯＬＴ；ｏｐｔｉｃａｌ ｌｉｎｅ ｔｅｒｍｉｎａｌ）と光ネットワークユニット（ＯＮＵ；ｏｐｔｉｃａｌ ｎｅｔｗｏｒｋｓ ｕｎｉｔ）との間で行なわれる（図２参照）。一般に、ＯＬＴは、中央オフィスに存在し、光アクセスネットワークを外部のネットワーク（例えば、搬送ネットワーク）に結合する。ＯＮＵは、縁（ｃｕｒｂ）またはエンドユーザ位置のいずれかに配置され、広帯域の音声、データ、および映像サービスを提供することができる。典型的に、ＯＮＵは、単一の光リンクを介してＯＬＴと結合された１対Ｎ（１ｘＮ）の受動光結合器と結合される。（多数の光結合器がカスケード接続され得ることに注意されたい）。この構成は、ファイバーの本数およびハードウェアの容量において、顕著な節約を達成することができる。

ＥＰＯＮ内における通信は、（ＯＬＴからＯＮＵへの）下流のトラフィックと、（ＯＮＵからＯＬＴへの）上流のトラフィックとに分けられる。上流方向において、複数のＯＮＵは、チャネル容量とリソースとを共有する。これは、受動光結合器をＯＬＴに結合するリンクが１本しか存在しないからである。下流方向において、１ｘＮ受動光結合器の一斉送信性（ｂｒｏａｄｃａｓｔ ｎａｔｕｒｅ）により、パケットは、ＯＬＴから複数のＯＮＵに一斉送信され、その後、行き先のＯＮＵによって抽出される。ＩＥＥＥ８０２．３ａｈ規格にしたがい、各ネットワークデバイスには論理リンクＩＤ（ＬＬＩＤ；Ｌｏｇｉｃａｌ Ｌｉｎｋ ＩＤ）が割り当てられる。まず、下流のパケットは、パケットがその行き先のＬＬＩＤを受信するＯＬＴにおいて処理され、その後、複数のＯＮＵに伝送される。パケットは、すべてのＯＮＵに一斉送信されるが、パケットとマッチするＬＬＩＤを有するＯＮＵのみがパケットを受信することを許される。このため、ＯＬＴは、パケットに適切なＬＬＩＤを付随させることにより、パケットを交換する。一斉送信または複数送信（ｍｕｌｔｉｃａｓｔ）が望ましい特定の場合において、ＯＬＴは、多数のＯＮＵがパケットの受信を許可されるようにするために、対応する一斉送信／複数送信ＬＬＩＤを、下流のパケットに付随させることに注意されたい。

安全かつ費用効率の良いＥＰＯＮの設計することに関する挑戦の１つは、望ましくない一斉送信パケットを低減することである。望ましくないパケットは、ＩＰ層の機能（第３層の機能またはＬ３−機能とも呼称される）を実行する特定のパケットが、（例えばアドレス解決プロトコル（ＡＲＰ）パケットまたは動的ホスト構成プロトコル（ＤＨＣＰ）のような）ＩＰ層における一斉送信パケットとして定義されるために、ＥＰＯＮに存在する。一般に、従来のＥＰＯＮにおいて、ＯＬＴは、第２層（Ｌ２）のデバイスとして見なされ、Ｌ３の機能性に対しては、トランスパレントであることが期待される。このため、典型的に、Ｌ３一斉送信パケットは、ＯＬＴによりＥＰＯＮ内のすべてのＯＮＵに一斉送信される。このことは、セキュリティに関する懸念を生じさせる。なぜならば、異なるＯＮＵが異なる加入者に対応しており、悪意のある加入者は、例えば別の加入者に帰属するＩＰアドレスになりすますことにより、ＩＰ層におけるセキュリティを破ることができるからである。

このため、ＥＰＯＮにおけるこれらセキュリティリスクを低減する方法と装置が必要とされる。

（要約）
本発明の一実施形態は、中央ノードと少なくとも１つの遠隔ノードとを含むイーサネット（登録商標）受動光ネットワーク（ＥＰＯＮ）において第３層（Ｌ３）アウェアスイッチングを実行するシステムを提供する。動作の間、システムは、遠隔ノードの論理リンク識別子と、遠隔ノードに結合された加入者用の媒体アクセス制御（ＭＡＣ）アドレスと、加入者用のＩＰアドレスとの間の対応関係を示唆するマッピング情報のセットを維持する。システムは、ＩＰアドレスを含むパケットを受信すると、マッピング情報とパケットに含まれるＩＰアドレスとに基づいて、適切な論理リンク識別子をパケットに選択的に付随させ、これにより、唯１つの適切な遠隔ノードのみがパケットを受信できるようにする。

この実施形態のバリエーションにおいて、適切な論理リンク識別子をパケットに選択的に付随させることは、マッピング情報が、パケットに含まれるＩＰアドレスが遠隔ノードの論理リンク識別子に対応することを示唆する場合に、遠隔ノードの論理リンク識別子をパケットに付随させることを含む。加えて、マッピング情報がパケットに含まれるＩＰアドレスと任意の遠隔ノードの論理リンク識別子との間に対応関係がないことを示唆する場合に、システムは、パケットを放棄する。

この実施形態のバリエーションにおいて、パケットは、アドレス解決プロトコル（ＡＲＰ）要求パケットである。このバリエーションにおいて、適切な論理リンク識別子をパケットに選択的に付随させることは、マッピング情報が、ＡＲＰ要求パケットに含まれるターゲットのＩＰアドレスが遠隔ノードの論理リンク識別子に対応することを示唆する場合に、遠隔ノードの論理リンク識別子をＡＲＰ要求パケットに付随させることを含む。

この実施形態のバリエーションにおいて、パケットは、ＡＲＰ要求パケットであり、システムは、ＡＲＰ要求パケットに含まれるターゲットのＩＰアドレスに対応するユーザＭＡＣアドレスを用いてＡＲＰ要求に応答し、これによりＡＲＰ要求パケットを任意の遠隔ノードに転送することを防ぐ。

この実施形態のバリエーションにおいて、システムは、ＩＰアドレスが遠隔ノードの論理リンク識別子、加入者のＭＡＣアドレス、あるいはその両方に静的にマッピングされる構成を許容する。

この実施形態のバリエーションにおいて、システムは、加入者と動的ホスト構成プロトコル（ＤＨＣＰ）サーバとの間の１つ以上のＤＨＣＰメッセージを観察することにより、遠隔ノードの論理リンク識別子と、遠隔ノードに結合された加入者用のＩＰアドレスと、加入者用のＭＡＣアドレスとの間の対応関係を確立する。

さらなるバリエーションにおいて、システムは、ＤＨＣＰを要求する加入者が結合されている遠隔ノードにのみＤＨＣＰ応答メッセージを転送し、これにより、ＥＰＯＮにおける複数の遠隔ノードにＤＨＣＰメッセージを一斉送信することを防ぎ、ＩＰの成りすましに関連するセキュリティリスクを低減する。

さらなるバリエーションにおいて、システムは、ユーザまたは遠隔ノードに関連するＩＰアドレスの個数が上限に達した後に、ユーザまたは遠隔ノードからのＤＨＣＰ要求を放棄することにより、ユーザまたは遠隔ノードに関連するＩＰアドレスの個数を制限する。

この実施形態のさらなるバリエーションにおいて、システムは、中央ノードの論理リンク識別子および遠隔ノードの論理リンク識別子にＤＨＣＰ要求メッセージを追加し、これにより、ＤＨＣＰサーバが、ＤＨＣＰ要求メッセージが送信されるＥＰＯＮを決定できるようにする。

本発明の別の実施形態は、中央ノードと少なくとも１つの遠隔ノードとを含むＥＰＯＮにおいてＬ３−アウェアスイッチングを実行するシステムを提供する。動作の間、システムは、遠隔ノードにおいて、遠隔ノードに結合された１人以上の加入者に関連するＩＰアドレスのリストを維持する。システムは、ユーザからのパケットを、パケットのＩＰアドレスが加入者に対応するＩＰアドレスにマッチする場合に転送する。加えて、システムは、加入者からのパケットを、パケットのソースＩＰアドレスが加入者に対応するＩＰアドレスにマッチしない場合に放棄する。

（好ましい実施形態に関する詳細な記述）
以下の記述は、任意の当業者が本発明を実施または使用できるようにするために提示されており、特定の用途とその要求という文脈で提供されている。当業者は、開示された実施形態に対する様々な改変を理解し得る。また、本明細書で定義された一般原理は、本発明の精神および目的から逸れることなしに、その他の実施形態および用途に適用され得る。このため、本発明は、示された実施形態に制限されるようには意図されてはおらず、本明細書に開示された原理および特徴に整合する最も広い範囲に一致するように意図されている。

この詳細な記述において記述されているデータ構造およびコードは、典型的にはコンピュータ読み取り可能な格納媒体に格納される。上記コンピュータ読み取り可能な格納媒体は、コンピュータシステムによって用いられるコードおよび／またはデータを格納することができる任意のデバイスまたは媒体であり得る。上記コンピュータ読み取り可能な格納媒体は、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、半導体メモリ、ディスクドライブのような磁気的および光学的な媒体、磁気テープ、ＣＤ（コンパクトディスク）およびＤＶＤ（デジタル用途ディスクまたはデジタルビデオディスク）、ならびに伝送媒体に実体化されたコンピュータ命令信号（その上で信号が変調される搬送波を有するまたは有さない）を含むが、それらには限定されない。

（受動光ネットワークのトポロジー）
図１は、受動光ネットワークを図示しており、中央オフィスおよび多数の加入者が、光ファイバーおよび受動光スプリッタ（従来技術）を介してツリートポロジーを形成している。図１に示されているように、多数の加入者は、光ファイバーと受動光スプリッタ１０２とを介して中央オフィス１０１に結合されている。初期のファイバーの配設費用を最小化させるため、受動光スプリッタ１０２は、エンドユーザ位置の近くに配置され得る。中央オフィスは、例えばＩＳＰによって運営されるメトロポリタンエリアネットワークのような外部のネットワークと結合される。

（ＥＰＯＮにおける通常動作モード）
図２は、通常動作モードにおけるＥＰＯＮを図示している。典型的に、ＯＮＵは、パーソナルコンピュータ、電話、ビデオ装置、ネットワークサーバ、等のような、１つ以上のネットワークデバイスに対応することができる。ＯＮＵは、ＩＥＥＥ８０２．３規格に定義されているような論理リンク識別子（ＬＬＩＤ）を用いることにより、自身を識別することができることに注意されたい。ＯＮＵがＥＰＯＮにいつでも参加できるようにするため、ＥＰＯＮは２つの動作モード、すなわち通常モードと発見（初期化）モードとを有する。通常モードは、初期化されたＯＮＵのすべてに伝送の機会が割り当てられる上流の標準的なデータ伝送を許容する。

図２に示されているように、下流方向において、ＯＬＴ２０１は、ＯＮＵ１（２１１）、ＯＮＵ２（２１２）、およびＯＮＵ３（２１３）に下流のデータを一斉送信する。すべてのＯＮＵが下流のデータと同一のコピーを受信する一方で、各ＯＮＵは、自身を行き先とするデータのみを、自身に対応するユーザであるユーザ１（２２１）、ユーザ２（２２２）、およびユーザ３（２２３）にそれぞれ転送する。

上流方向において、ＯＬＴ２０１はまず、ＯＮＵのサービスレベル合意（ｓｅｒｖｉｃｅ−ｌｅｖｅｌ ａｇｒｅｅｍｅｎｔ）にしたがって、各ＯＮＵに対し、伝送ウィンドウをスケジュールして、割り当てる。典型的に、ＯＮＵは、自身の伝送タイムスロット内に存在しない場合、自身のユーザから受信したデータをバッファする。ＯＮＵは、スケジュールされた自身の伝送タイムスロットが到着すると、バッファされたユーザデータを、割り当てられた伝送ウィンドウ内に伝送する。

すべてのＯＮＵが、ＯＬＴのスケジュールにしたがって、上流のデータを交代で伝送するため、上流のリンクの容量は、効果的に利用され得る。しかしながら、適切に機能するようにスケジュールするためには、ＯＬＴは、新たに参加したＯＮＵを発見して初期化しなければならない。発見の間、ＯＬＴは、例えばＯＮＵの往復の伝送遅延、自身の媒体アクセス（ＭＡＣ）アドレス、自身のサービスレベル合意、等の伝送のスケジュールに関する重要な情報を収集し得る。

（ＥＰＯＮにおけるＬ３アウェアスイッチング）
従来のＥＰＯＮにおいて、ＯＬＴは、各パケットに単送信（ｕｎｉｃａｓｔ）または一斉送信のＬＬＩＤを付随させることにより、下流のパケットを交換する。ＯＬＴが、ある加入者が結合されているＯＮＵのＬＬＩＤに関する知見を有している場合、ＯＬＴは、上記加入者のＭＡＣアドレスに基づいて、適切な単送信ＬＬＩＤをパケットに付随させることにより、上記加入者を行き先とする下流のパケットを交換することができる。下流のパケットの行き先のＭＡＣアドレスがＯＬＴには知られていない場合、ＯＬＴは、典型的には一斉送信ＬＬＩＤをパケットに付随させることにより、すべてのＯＮＵにパケットを転送する。

一斉送信パケットは、例えばＡＲＰやＤＨＣＰのようなＬ３アプリケーションにおいては一般的である。一般に、従来のＯＬＴは、そのようなＩＰパケットをすべてのＯＮＵに対して盲目的に一斉送信する。これは、典型的にはＯＬＴがＬ２デバイスとして見なされ、Ｌ３アプリケーションに対してはトランスパレントであることが期待されるためである。この構成は実施が単純だが、ＩＰ攻撃に対しては十分に安全ではない。例えば、外部のネットワークからのＡＲＰ要求は、単一のＯＮＵに結合された単一の加入者に意図されていたとしても、すべてのＯＮＵに一斉送信され得る。ＡＲＰ要求がすべてのＯＮＵに一斉送信されるとき、悪意のある加入者は、別の加入者に帰属するＡＲＰ要求に格納されたターゲットのＩＰアドレスを見ることができる。この悪意のある加入者は、このＡＲＰ要求メッセージに応答することにより、引き続きこのＩＰアドレスになりすますことができる。

同様なセキュリティリスクは、ＤＨＣＰアプリケーションにも存在する。従来、ＤＨＣＰサーバは、加入者のＤＨＣＰ要求に対し、要求中の加入者に割り当てられたＩＰアドレスを格納する一斉送信パケットを用いることにより応答していた。ＯＬＴがこのＤＨＣＰ応答を盲目的に一斉送信すると、同一のＥＰＯＮに存在する悪意のある加入者は、割り当てられたＩＰアドレスを傍受することができる。

前述のセキュリティリスクのため、特定のＩＰパケットを不必要に一斉送信しないことが望ましい。可能性のある解決策の１つは、ＩＦＴＦ ＲＦＣ ２５１６に記述されているような、ＤＳＬネットワークにおいて用いられる、イーサネット（登録商標）上の１点から１点への（ＰＰＰｏＥ；Ｐｏｉｎｔ−ｔｏ−Ｐｏｉｎｔ ｏｖｅｒ Ｅｔｈｅｒｎｅｔ（登録商標））アプローチに類似したものである。この解決策は、典型的には各加入者を認証する遠隔アクセスサーバを必要とする。ＰＰＰｏＥは、低速のＤＳＬネットワークではよく機能するが、ＥＰＯＮのような高速のアクセスネットワークには適していない。これは、ＥＰＯＮの容量がＤＳＬネットワークの容量よりも遥かに高く、ＥＰＯＮが極めて多数の加入者に対応し得るためである。このため、遠隔アクセスサーバは、費用効率および拡張性の面で、加入者からのすべての要求を取り扱うことは不可能であり得る。

別のアプローチは、すべての加入者に別個の仮想ローカルエリアネットワーク（ＶＬＡＮ）を用意することである。この解決策は、少数のハイエンドな商業上の加入者に適している。しかしながら、多数の自宅の加入者に対しては、費用効率があり拡張性がある解決策ではない。多数のＶＬＡＮを用意することは、必然的にエッジルーター、ゲートウェイ、およびビデオサーバのようなコア・ネットワーク装置に負担を課すことになる。これは、ＶＬＡＮトラフィックを取り扱う一部のコア・ネットワーク装置に対し、すべてのＶＬＡＮの状態情報を維持することが要求されるからである。このため、多数のＶＬＡＮは、その性能を損なうことになる。

Ｌ３セキュリティリスクを低減するためのより望ましいアプローチは、ＥＰＯＮ内においてＬ３−アウェアスイッチングを実行することである。本発明の一実施形態は、ＥＰＯＮ内の下流および上流のＩＰトラフィックを監視し、ＩＰパケット内に格納された情報を用いてそのスイッチ決定を補助するスキームを取り入れる。このアプローチを用いると、通常モードに対しては（例えばＰＰＰｏＥにおいて用いられる遠隔アクセスサーバのような）追加的なサーバが必要なくなり、コア・ネットワーク装置への特別な負担がいらなくなる。

図３は、本発明の一実施形態にしたがう、ＯＬＴによるＬ３−アウェアスイッチングを図示している。下流のＩＰパケット３０１がＯＬＴ３００に到着すると、ＯＬＴ３００は、パケット３０１に格納されたＩＰアドレス情報を読取り、パケット３０１に適切なＬＬＩＤを割り当てる。ルックアップエンジン３１０は、臨界ループ処理を実行し、どのＬＬＩＤをパケット３０１に付随させるべきかを決定する。

したがって、ルックアップエンジン３１０は、ＩＰアドレスとＯＮＵのＬＬＩＤとユーザのＭＡＣアドレスとの間の対応関係を示唆するマッピングテーブルに基づいて、スイッチング決定を行なう。このようにして、パケット３０１が従来の一斉送信ＩＰパケット（例えば、ＡＲＰ要求パケットまたはＤＨＣＰ応答パケット）の場合、ＯＬＴ３００は、単送信ＬＬＩＤを用いることにより、正しい行き先の署名と一致するＯＮＵにのみパケット３０１を転送することができる。

ルックアップエンジン３１０がパケット３０１にＬＬＩＤを割り当てるとき、ルックアップエンジン３１０はまた、パケット３０１のサービス品質（ＱｏＳ；ｑｕｑｌｉｔｙ−ｏｆ−ｓｅｒｖｉｃｅ）レベルにしたがって、どの先入先出（ＦＩＦＯ；ｆｉｒｓｔ−ｉｎ−ｆｉｒｓｔ−ｓｅｒｖｅ）待ち行列パケット３０１が格納され得るかをも決定する。図３に示されているように、多数のＦＩＦＯ待ち行列は、伝送される前に、下流のパケットを格納している。スケジューラ３３０は、各ＦＩＦＯ待ち行列から一様にパケットを引き抜き、下流のＯＮＵにパケットを伝送する。各ＦＩＦＯ待ち行列に対応する周波数を調整することにより、スケジューラ３３０は、サービスレベル合意（ＳＬＡ）にしたがって、異なるＱｏＳレベルを実施することができる。パケット３０１がすべてのＯＮＵに一斉送信するとき、パケット３０１によって搬送されたＬＬＩＤにマッチするＬＬＩＤを有するＯＮＵのみが、パケット３０１を受信することが許可される。このため、適切なＬＬＩＤを用いてパケットにラベル付けをし、適切なＦＩＦＯ待ち行列にパケットを格納することにより、ルックアップエンジン３１０は、パケットのＱｏＳ要求を満足しながら、スイッチング機能を実行する。

図４は、本発明の一実施形態にしたがう、ＩＰアドレスと、ＬＬＩＤと、加入者のＭＡＣアドレスとの間の対応関係を示唆するマッピングテーブルを図示している。この例において、マッピングテーブル４００は、３つの列、すなわち、加入者に割り当てられたＩＰアドレスを格納する列４０２と、加入者のＭＡＣアドレスを格納する列４０３と、上記加入者に対応するＯＮＵのＬＬＩＤを格納する列４０４とを含む。

例えば、ＡＲＰ要求パケットがＯＬＴに到着するとき、ＯＬＴは、ターゲットのＩＰアドレスを読み取り、テーブル４００でこのＩＰアドレスを探す。ＩＰアドレスが見つかった場合、ＯＬＴは、引き続き、対応する行のＬＬＩＤをパケットに付随させる。このＬＬＩＤは、ターゲットの加入者が結合されているＯＮＵに対応している。このため、ＯＬＴは、単送信ＬＬＩＤを用いることにより、単一のＯＮＵにＡＲＰ要求パケットを転送することができる。

（マッピング関係の静的構成と動的学習）
図５は、本発明の一実施形態にしたがう、加入者のＩＰアドレスと、上記加入者のＭＡＣアドレスと、対応するＯＮＵ ＬＬＩＤとの間のマッピングに関する静的構成と動的学習とを図示している。Ｌ３−アウェアスイッチングを正しく実行するため、ＯＬＴは、理想的には、加入者のＭＡＣアドレスと、対応するＯＮＵのＬＬＩＤと、上記加入者に割り当てられたＩＰアドレスとの間の対応関係を正確に示唆するマッピングテーブルを維持する。ＯＬＴは、静的構成または動的学習を介してこのマッピングテーブルを確立することができる。

図５に示されているように、静的構成が用いられるとき、ネットワーク管理ホスト５１２は、ＯＬＴ５０６に結合される。ホスト５１２は、複数の加入者にＩＰアドレスを割り当て、加入者のＩＰアドレスと、上記加入者のＭＡＣアドレスと、上記加入者のＯＮＵのＬＬＩＤとの間のマッピング関係を、マッピングテーブル５０８に確立する。典型的に、ネットワーク管理ホスト５１２によって割り当てられたＩＰアドレスは、静的である。マッピングテーブル５０８における静的なＩＰアドレスとマッチするＩＰ行き先アドレスを有する下流のパケットは、適切なＬＬＩＤを割り当てられ、引き続き、唯１つのＯＮＵによって、受信され、適切な加入者に転送される。逆に、マッピングテーブル５０８におけるどのＩＰアドレスともマッチしないＩＰ行き先アドレスを有するパケットは、放棄され得る。

一旦マッピングテーブル５０８が確立されると、そこに格納されている情報はまた、上流のパケットのフィルタリングをも補助し得る。本発明の一実施形態において、マッピングテーブル５０８におけるどのＩＰアドレスともマッチしないＩＰソースアドレスを有する上流のパケットは、放棄される。加えて、システムは、マッピングテーブル５０８における加入者またはＯＮＵに対応するＩＰアドレスの個数を制限するか、上流のＤＨＣＰ要求の個数を制限するかのいずれかにより、各ユーザまたはＯＮＵが有し得るＩＰアドレスの個数を制限し得る。上流のパケットフィルタリングが、ＯＬＴまたはＯＮＵにおいて発生し得ることに注意されたい。上流のフィルタリングがＯＮＵにおいて発生する場合、ＯＮＵは、理想的には、ＩＰアドレスと加入者のＭＡＣアドレスとの間の対応関係を示唆する同様のマッピングテーブルを維持する。

加入者のＩＰアドレスの静的構成に加え、ＯＬＴ５０６はまた、加入者からおよび加入者に通信されたＤＨＣＰパケットを詮索することにより、加入者のＩＰアドレスを動的に学習することもできる。図５に示されているように、加入者（この例ではＰＣ ５０４）がＥＰＯＮに参加するとき、加入者はまず、ＤＨＣＰ発見（ＤＩＳＣ；ｄｉｓｃｏｖｅｒｙ）メッセージを送信し（ステップ１）、これを受け、いずれかのＯＮＵ５０２が、このメッセージをＯＬＴ５０６に転送する。ＤＨＣＰ発見メッセージを受信すると、ＯＬＴ５０６は、加入者のＭＡＣアドレスを学習し、それをＯＮＵ５０２のＬＬＩＤに関連させ、マッピングテーブル５０８へのエントリに追加する。その後、ＯＬＴ５０６は、ＤＨＣＰ発見メッセージをさらに上流のＤＨＣＰサーバ５１０に転送する（ステップ２）。

ＤＨＣＰ発見メッセージを受信すると、ＤＨＣＰサーバ５１０は、ＤＨＣＰ提示メッセージに応答する（ステップ３）。引き続き、ＯＬＴ５０６は、ＤＨＣＰ提示メッセージにＯＮＵ５０２のＬＬＩＤを付随させ、それをＯＮＵ５０２に引き渡す。その後、ＯＮＵ５０２は、ユーザＰＣ５０４にそのメッセージを転送する（ステップ４）。ＤＨＣＰ提示メッセージを受信した後、ユーザＰＣ５０４は、ＤＨＣＰ要求（ＲＥＱ）メッセージをＰＣ５０４に送信する（ステップ５）。次に、ＯＬＴ５０６は、ＤＨＣＰ要求メッセージをＤＨＣＰサーバ５１０に転送する（ステップ６）。

ＤＨＣＰ要求メッセージを受信すると、ＤＨＣＰサーバ５１０は、ユーザＰＣ５０４へのＩＰアドレスを割り当るＤＨＣＰ応答（ＡＣＫ；ａｃｋｎｏｗｌｅｄｇｅｍｅｎｔ）メッセージを送信する（ステップ７）。引き続き、ＯＬＴ５０６は、ＤＨＣＰ応答メッセージを読み取り、ユーザＰＣ５０４に割り当てられたＩＰアドレスを学習する。その結果、ＯＬＴ５０６は、このＩＰアドレスを、マッピングテーブル５０８における対応するエントリに入力する。引き続き、ＯＬＴ５０６は、ＯＮＵ５０２のＬＬＩＤをＤＨＣＰ応答メッセージに付随させ、それをＯＮＵ５０２に引き渡し、ＯＮＵ５０２は、メッセージをユーザＰＣ５０４に転送する（ステップ８）。

本発明の一実施形態において、ＯＬＴ５０６は、要求を行なうＯＮＵとＯＬＴとの論理リンク識別子を含めるように、上流のＤＨＣＰパケットを改変し得る。このようにして、ＤＨＣＰサーバは、発行されたＩＰアドレスとそれらに対応するＯＬＴとＯＮＵとの間のマッピング関係を決定することができる。

（ＡＲＰプロキシおよび指向性のＡＲＰ動作）
ＥＰＯＮにおけるＬ３−アウェアスイッチングの利点の１つは、ＯＬＴがより安全なＡＲＰ動作を実行することが可能であるという点である。本発明の一実施形態において、ＯＬＴは、ＡＲＰプロキシとして機能することができ、格納された加入者に対するマッピング情報に基づいて、上記加入者に標的付けられたＡＲＰ要求に応答することができる。そうすることにより、ＯＬＴは、すべてのＯＮＵにＡＲＰ要求を一斉送信することを防ぐことができ、ＩＰのなりすましに関するリスクを低減することができる。

図６は、本発明の一実施形態にしたがう、ＡＲＰ要求に応答するＯＬＴの処理を図示している。図６に示されているように、ネットワーククライアント６１０は、ＡＲＰ要求メッセージをＯＬＴ６０６に送信する（ステップ１）。ここに、ＡＲＰ要求メッセージは、ユーザＰＣ６０４のターゲットのＩＰアドレスを格納している。ＡＲＰ要求を受信すると、ＯＬＴ６０６は、マッピングテーブル６０８を調べ、ＡＲＰ要求におけるターゲットのＩＰアドレスにマッチするＩＰアドレスのエントリを見付ける（ステップ２）。引き続き、ＯＬＴ６０６は、ターゲットの加入者のＭＡＣアドレスを用いることにより、ネットワーククライアント６１０にＡＲＰ応答を送信する（ステップ３）。交換処理の間、ユーザＰＣ６０４およびそのＯＮＵは、ＡＲＰ通信から遮断されていることに注意されたい。事実上、ＯＬＴ６０６は、ユーザＰＣ６０４に対するＡＲＰプロキシとして機能する。

ときどき、ネットワークのオペレータは、ＯＬＴではなく加入者がＡＲＰ要求に応答することを好み得る。この場合、ＯＬＴは、指向性のＡＲＰ動作を実行し得る。図７は、本発明の一実施形態にしたがう、ターゲットのＯＮＵにＡＲＰ要求を転送するＯＬＴの処理を図示している。この例において、まず、ネットワーククライアント７１０は、ＡＲＰ要求をＯＬＴ７０６に送信する（ステップ１）。ＡＲＰ要求を受信すると、ＯＬＴ７０６は、マッピングテーブル７０８を調べ、ＡＲＰ要求におけるターゲットのＩＰアドレスにマッチするＩＰアドレスのエントリを見付ける（ステップ２）。引き続き、ＯＬＴ７０６は、上記ＩＰアドレスに対応するＯＮＵ ＬＬＩＤを取り出し、上記ＬＬＩＤをＡＲＰ要求メッセージに付随させ、それをターゲットのＯＮＵ７０２に送信する（ステップ３）。次に、ＯＮＵ７０２は、ターゲットのＩＰアドレスを処理するユーザＰＣ７０４にＡＲＰ要求を転送する（ステップ４）。引き続き、ユーザＰＣ７０４は、そのＭＡＣアドレスを含むＡＲＰ要求に返答する（ステップ５）。その後、ＯＮＵ７０２は、上流のＯＬＴ７０６にＡＲＰ応答を転送し、ＯＬＴ７０６は、ＡＲＰ要求をネットワーククライアント７１０に中継する（ステップ６）。

上記システムは、指向性のＡＲＰ動作における様々なセキュリティ基準を実装し得ることに注意されたい。例えば、ＯＬＴ７０６は、マッピングテーブル７０８においてマッチするＩＰアドレスを見付けることができないときに、ＡＲＰ要求メッセージを放棄し得る。加えて、上流のＡＲＰ要求における加入者のＭＡＣアドレスがマッピングテーブル７０８に格納されたＭＡＣアドレスにマッチしないとき、ＯＬＴ７０６はまた、ＩＰのなりすましを防ぐために、ＡＲＰ要求を放棄し得る。本発明の実施形態に関する上記の記述は、図示と言葉による記述のみを目的として与えられている。これらは、本発明を網羅すること、あるいは開示された形態に制限することを意図されてはいない。したがって、当業者には多くの改変やバリエーションが明確に理解され得る。加えて、上記の開示は、本発明を制限することを意図されてはいない。本発明の範囲は、添付の請求項によって定義される。

図１は、受動光ネットワークを図示しており、中央オフィスおよび多数の加入者が、光ファイバーおよび受動光スプリッタにより、結合されている。 図２は、通常動作モードにおけるＥＰＯＮを図示している。 図３は、本発明の一実施形態にしたがう、ＯＬＴによるＬ３−アウェアスイッチングを図示している。 図４は、本発明の一実施形態にしたがう、ＩＰアドレスと、ＬＬＩＤと、加入者ＭＡＣアドレスとの間の対応関係を示唆するマッピングテーブルを図示している。 図５は、本発明の一実施形態にしたがう、加入者のＩＰアドレスと、上記加入者のＭＡＣアドレスと、対応するＯＮＵ ＬＬＩＤとの間のマッピングに関する静的構成と動的学習とを図示している。 図６は、本発明の一実施形態にしたがう、ＡＲＰ要求に応答するＯＬＴの処理を図示している。 図７は、本発明の一実施形態にしたがう、ＡＲＰ要求をターゲットのＯＮＵに転送するＯＬＴの処理を図示している。

Claims (18)

1. 中央ノードと少なくとも１つの遠隔ノードとを含むイーサネット（登録商標）受動光ネットワーク（ＥＰＯＮ）においてレイヤ３（Ｌ３）アウェアスイッチングを実行する方法であって、該方法は、
   該中央ノードが、少なくとも１つの対応情報を含むマッピング情報を該中央ノードにおいて維持することであって、該少なくとも１つの対応情報の各々は、該少なくとも１つの遠隔ノードのうちの対応する１つの遠隔ノードに関連付けられており、
   各対応情報は、
   該対応情報に関連付けられた該遠隔ノードの位置を示す論理リンク識別子と、
   該遠隔ノードに結合された加入者デバイスの媒体アクセス制御（ＭＡＣ）アドレスと、
   該加入者デバイスのＩＰアドレスと
   を含む、ことと、
   該中央ノードが、受信加入者デバイスのＩＰアドレスを含むパケットを該中央ノードにおいて受信することと、
   該中央ノードが、該マッピング情報が、該パケットに含まれる該受信加入者デバイスのＩＰアドレスによって特定される該受信加入者デバイスの位置と、該加入者デバイスのＭＡＣアドレスおよびＩＰアドレスの両方によって特定される該加入者デバイスの位置との間の一致を示すか否かを該中央ノードにおいて決定することと、
   該マッピング情報が一致を示すと決定された場合には、該中央ノードが、該一致によって示される該加入者デバイスのＩＰアドレスおよびＭＡＣアドレスとして同一の対応情報の中に含まれている該論理リンク識別子を、該中央ノードにおいて、該パケットに付加することと
   を包含する、方法。
2. 前記マッピング情報が一致を示さないと決定された場合には、前記中央ノードが、前記パケットを放棄する、請求項１に記載の方法。
3. 前記パケットは、アドレス解決プロトコル（ＡＲＰ）要求パケットであり、
   前記決定することは、前記中央ノードが、前記マッピング情報が、該ＡＲＰ要求パケットに含まれるターゲットのＩＰアドレスによって示される位置と、前記遠隔ノードの論理リンク識別子によって示される位置との間の第２の一致をさらに示すか否かを決定することをさらに含む、請求項１に記載の方法。
4. 前記パケットは、ＡＲＰ要求パケットであり、
   前記方法は、
   該ＡＲＰ要求パケットに含まれる前記ターゲットのＩＰアドレスに対応するユーザＭＡＣアドレスを用いてＡＲＰ要求に応答し、これにより、該ＡＲＰ要求パケットを任意の遠隔ノードに転送することを防ぐことをさらに包含する、請求項１に記載の方法。
5. 前記加入者デバイスのＩＰアドレスの構成が、前記遠隔ノードの論理リンク識別子、前記加入者デバイスのＭＡＣアドレス、または、その両方に静的にマッピングされることを可能にすることをさらに包含する、請求項１に記載の方法。
6. 前記決定することは、前記加入者デバイスと動的ホスト構成プロトコル（ＤＨＣＰ）サーバとの間の１つ以上のＤＨＣＰメッセージを観察することをさらに包含する、請求項１に記載の方法。
7. 前記中央ノードが、ＤＨＣＰを要求する加入者デバイスが結合されている遠隔ノードにのみＤＨＣＰ応答メッセージを転送し、これにより、前記ＥＰＯＮにおける複数の遠隔ノードにＤＨＣＰメッセージを一斉送信することを防ぎ、ＩＰのなりすましに関連するセキュリティリスクを低減することをさらに包含する、請求項６に記載の方法。
8. 前記決定することを行うことが可能な回数が上限に達した後に前記加入者デバイスと前記遠隔ノードとの間でのＤＨＣＰ要求を放棄することによって、該決定することを行うことが可能な回数を制限することをさらに包含する、請求項６に記載の方法。
9. 前記中央ノードの論理リンク識別子および前記遠隔ノードの論理リンク識別子をＤＨＣＰ要求メッセージに追加し、これにより、ＤＨＣＰサーバが、どのＥＰＯＮからＤＨＣＰ要求メッセージが送信されたかを決定することを可能にすることを包含する、請求項１に記載の方法。
10. 中央ノードと少なくとも１つの遠隔ノードとを含むＥＰＯＮにおいてＬ３−アウェアスイッチングを実行する装置であって、該装置は、
    少なくとも１つの対応情報を含むマッピング情報のセットを維持するように構成されたマッピングテーブルであって、該少なくとも１つの対応情報の各々は、該少なくとも１つの遠隔ノードのうちの対応する１つの遠隔ノードに関連付けられており、
    各対応情報は、
    該対応情報に関連付けられた該遠隔ノードの位置を示す該遠隔ノードの論理リンク識別子と、
    該遠隔ノードに結合された加入者デバイスのＭＡＣアドレスと、
    該加入者デバイスのＩＰアドレスと
    を含む、マッピングテーブルと、
    受信加入者デバイスのＩＰアドレスを含むパケットを受信するように構成された受信機構と、
    該マッピング情報が、該パケットに含まれる該受信加入者デバイスのＩＰアドレスによって特定される該受信加入者デバイスの位置と、該加入者デバイスのＭＡＣアドレスおよびＩＰアドレスの両方によって特定される該加入者デバイスの位置との間の一致を示すか否かを決定するように構成されたスイッチ機構と
    を備え、
    該マッピング情報が一致を示すと決定された場合には、該スイッチ機構は、該一致によって示される該加入者デバイスのＩＰアドレスおよびＭＡＣアドレスとして同一の対応情報の中に含まれている該論理リンク識別子を該パケットに付加するように構成されている、装置。
11. 前記スイッチ機構は、前記マッピング情報が一致を示さない場合には、該スイッチ機構が該パケットを放棄するようにさらに構成されている、請求項１０に記載の装置。
12. 前記パケットは、アドレス解決プロトコル（ＡＲＰ）要求パケットであり、
    前記スイッチ機構は、前記マッピング情報が、該ＡＲＰ要求パケットに含まれるターゲットのＩＰアドレスによって示される位置と、前記遠隔ノードの論理リンク識別子によって示される位置との間の第２の一致をさらに示すか否かの決定に基づいて決定するようにさらに構成されている、請求項１０に記載の装置。
13. 前記パケットは、ＡＲＰ要求パケットであり、
    前記装置は、
    該ＡＲＰ要求パケットに含まれる前記ターゲットのＩＰアドレスに対応するユーザＭＡＣアドレスを用いてＡＲＰ要求に応答し、これにより、該ＡＲＰ要求パケットを任意の遠隔ノードに転送することを防ぐように構成された応答機構をさらに備えている、請求項１０に記載の装置。
14. 前記マッピングテーブルは、ＩＰアドレスの構成が、前記遠隔ノードの論理リンク識別子、前記加入者デバイスのＭＡＣアドレス、または、その両方に静的にマッピングされることを可能にする、請求項１０に記載の装置。
15. 前記スイッチ機構は、前記加入者デバイスとＤＨＣＰサーバとの間の１つ以上のＤＨＣＰメッセージを観察することに基づいて決定するようにさらに構成されている、請求項１０に記載の装置。
16. 前記スイッチ機構は、ＤＨＣＰを要求する加入者デバイスが結合されている遠隔ノードにのみＤＨＣＰ応答メッセージを転送し、これにより、前記ＥＰＯＮにおける複数の遠隔ノードにＤＨＣＰメッセージを一斉送信することを防ぎ、ＩＰのなりすましに関連するセキュリティリスクを低減するように構成されている、請求項１５に記載の装置。
17. 前記スイッチ機構の決定の試みの数が上限に達した後に、前記加入者デバイスと前記遠隔ノードとの間でのＤＨＣＰ要求を放棄することによって、該スイッチ機構の決定の試みの数を制限するように構成された制限機構をさらに備えている、請求項１５に記載の装置。
18. 前記中央ノードの論理リンク識別子および前記遠隔ノードの論理リンク識別子をＤＨＣＰ要求メッセージに追加し、これにより、ＤＨＣＰサーバが、どのＥＰＯＮからＤＨＣＰ要求メッセージが送信されたかを決定することを可能にするように構成された改変機構をさらに備えている、請求項１０に記載の装置。

Images