JP4988143B2 - コンピュータネットワーク - Google Patents

Description

本発明は、ＩＰプロトコルを使用し、イーサネットおよびウエーブラン技術およびトークンリングおよびＦＤＤＩ技術を伴うネットワークのようなデータリンク層アドレスを含んでいるコンピュータネットワークに関する。

インターネット上の全てのノードはＩＰアドレスによって識別される。残念ながら、利用可能な限定された公共ＩＰアドレスプロトコルと管理および保守の要求により、ユーザに静的ＩＰアドレスを割当てることはしばしばできなくなる。その代わりにユーザは例えば各インターネットアクセスセッションに対して異なったＩＰアドレスを受取ることができる。
これはイントラネットまたはインターネット上のエンドユーザの識別において問題を生じる。

この問題に対してＤＤＮＳ（ダイナミックドメインネームシステム）のような種々の解決方法が与えられ、それはＩＰアドレス、その内部に埋設されたユーザ情報を有するＸ５０３クライアント証明書およびもっと簡単なユーザ記録認証に対するホストネームのダイナミックなマッピングを使用する。

しかしながら、これらの解決方法は、付加的なクライアントソフトウエアサポート要求および通信を開始するためのエンドユーザに対する依存性のようなそれ自身の欠点を有している。

本発明の目的は、エンドユーザの識別を容易にするネットワークシステムを提供することである。本発明は前述の解決方法に代わる方法を提供するがそれらを相互に除外する必要はない。

本発明は、特に、2000年８月１７日出願の国際特許出願ＰＣＴ／ＳＧ00/00107号（本発明の参考文献とされる）に記載されたコンピュータシステムに関して有効であるが、それに限定されるものではない。

本発明の第１の特徴によれば、それぞれ特有のデータ層リンクアドレスを有する複数のクライアントノードを含むコンピュータネットワークシステムが提供され、そのシステムは、クライアントノードのデータリンク層アドレスにアクセスすることのできる１以上のネットワーク装置を含み、このネットワーク装置はアクセスされたデータリンク層アドレスを使用してそのクライアントノードを特有に識別し、前記データリンク層アドレスに基づいたノードにネットワーク層または上記サービス（例えばアプリケーション層）を提供する。

本発明によれば、ルータ（ネットワーク装置として）は例えばデータリンク層アドレス情報、例えば標準的なネットワークおよびアプリケーションサービスの機能性を拡張するためにクライアントノードにより送信されたデータパケット中に含まれているような情報を監視し、クライアントノードのデータリンク層アドレスを使用してホストおよびその関連するエンドユーザを特有に識別することができる。

本発明は、ＩＰアドレスを使用してサービスを提供してクライアントノードにマップする伝統的な方法とは対照的である。

データリンク層アドレスは典型的に媒体アクセス制御（ＭＡＣ）アドレスを含むことができる。ネットワークの各クライアントノードは、ネットワークに物理的に接続することを可能にするために少なくとも１つの取付けられたネットワークインターフェースカードＮＩＣ（別の呼び方ではネットワークカードまたはネットワークアダプタカードと呼ばれる）を含んでいる。これらの各カードはそれと関連する特有のＭＡＣアドレスを有している。これらのＭＡＣアドレスは６バイトのフィールドを有している。最初の３バイト（ＯＵＩ−オーガニゼイショナルユニーク識別子）はカードの販売者を識別し、ＩＥＥＥによりグローバルに割当てられる。後の３バイトは、各カードが特有のアドレスを有することを確実にするように販売者に割当てられる。

本発明の背後にある基礎理論は、デフォルトハードコード化されたＭＡＣアドレスを有するネットワークカードであるハードウエアが他のソフトウエア制御されたネットワーク設定に比較して変化が少なく、それ故ＩＰアドレスにのみ依存する代わりにネットワークおよびアプリケーション層中のノードを識別するためにＭＡＣアドレスが使用される。

好ましい実施形態では、システムはリンク認識ルータを含み、それはデータパケットを送信するクライアントノードのリンク層アドレスを決定することができ、ルータによりホストされることのできるデータベースのリンク層アドレスとユーザ情報を含んでいる。情報は例えばクライアントノードのユーザが登録されている部局およびそれらの権限のレベルおよびセキュリティのゆとりに関係している。

したがって、ＨＴＣＰＰリクエストのようなリクエストがクライアントノードから受信されたとき、ルータはＭＡＣアドレスからクライアントノードを識別することができ、１以上の適切なネットワークとネットワーク管理者がクライアントノードに対して規定することのできるアプリケーションポリシーを構成することができる。

例えば、ＨＴＴＰリクエストの場合に、ルータはそれらが同じＵＲＬをリクエストするとき異なったウエブページを２つのクライアントノードに与えるために透明なプロキシ関数を与えることができる。これは例えばクライアントノードが登録されている部局に依存する。その代わりに、ｅメール、ウエブページ、ＦＴＰ、等のようなある機能に対するアクセスは、あるドメインを含みまたは除外するように制限されることができる。

１つの好ましい形態では、例えばシステムがＰＣＴ／ＳＧ00/00107号に開示されたような再構成可能なコンピュータネットワークである場合には、ルータはエンドユーザのリンク層アドレスが前記データベース中に含まれているか否かを決定し、例えばクライアントノードから構成ページへＨＴＴＰリクエストを再度導くことによって前記アドレスが前記データベース中にないとき構成手順を開始することができる。

さらに、好ましくは、ルータはクライアントノードのリンク層アドレスがデータベースに含まれているか否かを決定し、前記アドレスがデータベース中にないとき、例えばＨＴＴＰリクエストを権限のないアクセスが試みられていることを監視しているウエブページへ再度導くことによってセキュリティ手順を開始する。

システムはまた、クライアントノードの位置情報を決定し、その情報をデータベース中に記録する。この情報は例えばクライアントノードからのデータパケットが受信されるルータのネットワークカードＮＩＣの番号（例えばイーサネットカード番号０に対してｅｔｈ０）であってもよい。それはまたバーチャルＬＡＮに対するクライアントノードの割当、例えばＶＬＡＮ ＩＤに関する情報を含んでいてもよい。したがってＭＡＣアドレスで決定されサービスと同様に、クライアントノードは位置特定ウエブページ内容のような位置特定サービスを与えられてもよい。

特に好ましい実施形態では、システムは透明なＤＮＳサーバを含み、それはリンク認識ルータにホストされてもよい。ＤＮＳサーバを使用するとき、ＤＮＳサーバはネームでクライアントノードのリンク層アドレスをマップすることによりクライアントノードに特有のネームを割当てることが好ましい。このネームは例えば充分に適格なドメインネーム（ＦＱＤＮ）またはホストネームであってもよい。また、以前にＩＰアドレスと関係していたリンク層アドレスに他の属性を割当てることも可能である。これはネットワークリソース、例えばプリンタおよびダイナミックファイアウォールルール（例えば静的でないＩＰ）を含んでいる。

ＭＡＣアドレスをＤＮＳのＡタイプリソースレコードに直接マップすることにより、ＦＱＤＮまたはホストネームをクライアントからの付加的なサポートなしにエンドユーザコンピュータに割当てることが可能であり、ノードは仲間の現在のＩＰアドレスに関係なく、リンク認識ＤＮＳネットワーク内のＦＱＤＮまたはホストネームにより仲間の対応するノードに常に到達することができる。

さらにシステムは、クライアントノードＩＰアドレスを割当てられたＩＰアドレスにマップするネットワークアドレストランスレータ（ＮＡＴ）を備えていることが好ましい。これはアドレス領域を横切って透明なルート設定を可能にし、それにおいて、例えば、ＬＡＮのプライベトＩＰアドレスは、ネットワークアドレスおよびポートトランスレータ（ＮＡＰＴ）を使用したとき１以上の公共アドレス、恐らく１以上のＩＰアドレスおよびポート組合わせにマップされる。便宜上ここでの説明では用語ＮＡＴはＮＡＰＴを含むものと解釈されるべきである。

好ましくは、ネットワークアドレストランスレータ（ＮＡＴ）は前記エンドノードのＩＰアドレスを割当られたノードにマップするときクライアントノードのリンク層アドレスを使用する。これはその後同じＩＰアドレスを有するクライアントノードがＮＡＴによりサービスされることを可能にする。

例えば、ＰＣＴ／ＳＧ00/00107号に開示されたような構成可能なルータが設けられた場合、ネットワークアドレストランスレータはクライアントノードのＩＰアドレスのマッピングにおいてクライアントノードに対する物理的な位置情報を使用することができる。これはクライアントノードからのパケットが受信されるルータのＮＩＣ番号およびＶＬＡＮのＩＤを含んでいてもよい。

ネットワークアドレストランスレータは逆ＮＡＴ動作を行うことが好ましく、それにおいて、割当られたＩＰアドレスはクライアントノードＩＰアドレスおよびデータリンク層アドレスにマップされれる。

さらに、好ましくは、ネットワークアドレストランスレータは２回ＮＡＴ動作を行い、それにおいてマッピングはクライアントノードＩＰアドレスを割当られたＩＰアドレスへマップするものと、割当られたＩＰアドレスをクライアントノードＩＰアドレスおよびそのデータリンク層アドレスへマップするものとの両方が行われる。

さらに別の観点から見て、本発明は、複数のエンドシステムと、ＮＡＴルータと、ＤＮＳサーバとを含むコンピュータネットワークシステムを提供し、それおいて、前記ＮＡＴルータはエンドシステムのリンク層アドレスを決定することができ、ＮＡＴおよびＤＮＳ手順は前記リンク層アドレスに基づいており各リンク層アドレスは特有のネームと関係している。

別の観点から見て、本発明は、複数のエンドシステムと、ＮＡＴルータとを含んでいるコンピュータネットワークシステムを提供し、それおいて、前記ＮＡＴルータは、実際のソースエンドシステムＩＰアドレスと、見掛けのソースエンドシステムＩＰアドレスとの間のバインディングを生成し、前記ＮＡＴルータは前記バインディングの一部として前記ソースエンドシステムのリンク層アドレスを記録する。

さらに別の観点から見て、本発明は、複数のエンドシステムとＤＮＳサーバとを含むコンピュータネットワークシステムを提供し、それにおいて、前記ＤＮＳサーバは特有のネームにより前記エンドシステムのリンク層アドレスをマップする。

さらに別の観点から見て、本発明は、複数のエンドシステムと１以上の中間システムとを含むコンピュータネットワークシステムを提供し、それにおいてデータはネットワークおよびリンク層プロトコルを使用して中間システムを通ってエンドシステムとの間で転送され、エンドシステムは特有のネームを各エンドシステムのリンク層アドレスに割当ることによってシステム中で特有に識別され、前記特有のネームは中間システムによってエンドシステムへのデータのルート設定に使用される。

さらに別の観点から見て、本発明は、複数のクライアントノードとプロキシサーバとを備えているコンピュータネットワークシステムを提供し、それにおいてプロキシサーバは前記ノードによって送信されたデータパケットからデータリンク層アドレス情報を検索してそのデータリンク層アドレス情報に基づいてネットワークレベルまたは前記（例えばアプリケーションレベル）ポリシー明細にしたがって前記クライアントノードをサービスするように構成されている。

さらに別の観点から見て、本発明は、データリンク層アドレスを有する複数のネットワークノードと前記ノードとの間でトラフィックのルート設定を行うルータとを含んでいるコンピュータネットワークシステムを提供し、それにおいて、システムはノードの属性に対するデータリンク層アドレスのデータベースを含み、ルータはノードのデータリンク層アドレスを決定して、前記ノードをサービスするために前記データベースの検索を行うように構成されている。

本発明はまた、上記の特徴およびその構成に対するソフトウエアおよびハードウエアにしたがってコンピュータシステムを管理し、サービスする方法に拡張される。

本発明の種々の実施例を添付図面を参照にして以下説明するが、これは単なる例示であり、特定の図面は先行する本発明の説明の一般性を限定するものではないことを理解すべきである。

図１は、本発明の１実施例によるリンク認識ルータを含むコンピュータネットワークシステムの１つの可能なネットワークトポロジーを示しているが、もちろん他の多くのトポロジーが可能である。

図１において、複数のクライアントノード1 はルータ2 に接続され、このルータ2 は外部ネットワーク3 に接続されている。外部ネットワークは多数の異なった形態をとることが可能であり、例えばインターネットを含んでいてもよい。

この実施例において、クライアントノードの１つであるノード1 は無線基地局4 およびＶＬＡＮタグポートを有する管理スイッチ5 を介してルータ2 の第１のネットワークカードＮＩＣ Iに接続され、一方、第２のクライアントノードであるノード2 はハブ6 および管理スイッチ5 を介して同じルータのカードＮＩＣ1 に接続されている。これらのノード1, 2は分離したバーチャルＬＡＮ、すなわちＶＬＡＮ ＡおよびＶＬＡＮ Ｂ中にあり、例えばネットワークを動作している組織内の部局に対応しており、この効果に対して出て行くデータパケット中に識別子を含んでいる。別のクライアントノード3 は直接ルータ2 の第２のネットワークカードＮＩＣIIに接続されている。

ルータ2 は例えば種々の透明プロキシ7 を使用することによりクライアントノード1 を含むプライベートネットワークに対するプロキシサービスを行い、プライベートネットワークから外部ネットワーク3 への全てのユーザリクエストを集めてもよく、応答を適切なユーザに送り返してもよい。またウエブページやｆｔｐキャッシュおよびアプリケーションファイアウォール保護のような他の標準的プロキシサービスを与えることもできる。

ルータは国際出願ＰＣＴ／ＳＧ00/00107号に記載されているような再構成可能なルータの形態であってもよい。この場合、クライアントノード1 はそこにおいてネットワークから除去することも付加することも可能であり、或いは任意の時点で同じ、または別の論理的および物理的ネットワーク位置でネットワークのユーザによりクライアントノード1 のシームレスな使用を可能にするためにルータ2 は各接続／遮断において適切にその記録を更新する。したがって、各クライアントノードの位置は入来するパケットリンク情報（例えばパケットデータ中に埋設されたＶＬＡＮ ＩＤ）およびルータのネットワークカード（例えばＮＩＣI またはII）から決定され、それにおいてクライアントノードからのパケットが受信される。

各クライアントノード、すなわちノード1 、ノード2 、ノード3 は特有のＭＡＣアドレス、すなわち、Ｌ1 、Ｌ2 、Ｌ3 を有する。

ＭＡＣアドレスは物理的アドレスであり（すなわちそれはハードウエア明細）、ネットワークアダプタが製造されたとき、クライアントノードのネットワークアダプタカードに特有の通し番号を付けられる。ＭＡＣアドレスは６バイトフィールドを有しており、その最初の３バイト（ＯＵＩ−オーガニゼイショナルユニーク識別子）はカードの販売者を識別し、ＩＥＥＥにより割当てられ、後の３バイトは販売者により割当てられる。

一般的にこれらのアドレスは例えばイーサネットまたはトークンリングＭＡＣレベルでネットワークのデータリンク層中で使用される。

しかしながら本発明によれば、これらのＭＡＣアドレスはネットワークのクライアントノードをネットワークのアプリケーション層に対して特有に識別するためにも使用され、ルータ2 は各ノード1 のＭＡＣアドレスに認識するように構成される。

したがってルータ2 はユーザ情報に対するＭＡＣアドレスのデータベース8 を含んでいる。この情報は任意の適当な形態をとることができ、ネーム、部局、アクセス特権、クライアントノード現在および許可された位置情報を含むクライアントノードを所有するユーザの詳細に関係してもよい。

このようなデータベースを提供し、クライアントノード1 のＭＡＣアドレスを得ることをルータ2 ができるようにするため、ルータ2 は利用可能な特定のネットワークおよびアプリケーションサービスを形成してインテリジェントなサービスを行い、ユーザデータベースに対するＭＡＣアドレスから得られたそれらのユーザプロファイルおよびもしも所望ならばそれらの論理的および、または物理的ネットワーク位置に基づいてユーザを選択することができる（例えばＶＬＡＮ ＩＤおよび入来ルータＮＩＣ番号により）。

それ故、ネットワークおよびアプリケーションポリシーはＭＡＣアドレスおよび入来ルータのＮＩＣ番号から転送されたネットワーク位置、および、またはＶＬＡＮ ＩＤから転送されたユーザ属性（例えばユーザネーム、部局等）に基づいて強められる。これはすでに既存のネットワークアプリケーション（例えばＩＰアドレスを使用）でサポートされている他の標準的な基準に付加されてもよい。

１例として、企業はイントラネットウエブサイトを維持し、全ての従業員はクライアントノード、例えばＭＡＣアドレスを有する専用のネットワークカードによるパーソナルコンピュータを割当られてもよい。その後、データベースがこれらのアドレスを有するエンドユーザおよびこれらのエンドユーザに関する情報と共に全てのＭＡＣアドレスを構成する。２つの異なる部署から従業員が同じＵＲＬに彼等に割当られたコンピュータからアクセスするとき、それらはその部署が必要とする妥当な異なったウエブページを示される。これはそれらが同じＩＰアドレスを有している場合でも、或いは同じネットワーク点に接続されている場合でも可能である。その理由はそれらの特有のＭＡＣアドレスの使用がそれらを識別するからである。

さらに、異なる物理的ネットワーク位置に対して、同じ従業員が彼等のＭＡＣアドレスにより識別されて、ページ内容が位置依存性である場合に、同じＵＲＬに対して異なるウエブページでサービスされてもよい。

この例はルータ2 による透明なＨＴＴＰプロキシを使用して構成されることができる。すなわち、全てのＨＴＴＰリクエストはルータ2 のファイアウォールにより迎えられてもよく（例えばパケットのＴＣＰヘッダにおける目的地ポート番号80,8080 または3128を決定することにより、または、全ての出て行くＴＣＰパケットを解釈し、およびＨＴＴＰリクエスト、例えば“獲得http//*** ＨＴＴＰ/1.0”に対するペイロードを解析することにより）、またＨＴＴＰプロキシへ再指向してもよい（例えば、伝統的なソースＩＰアドレスＮＡＴの代わりに目的地ＩＰアドレスＮＡＴを介して）。その後プロキシはリクエストされたソースＭＡＣアドレスおよびＶＬＡＮ ＩＤおよび適用可能であれば入来ルータＮＩＣ情報を検索され、ＭＡＣアドレスおよびＶＬＡＮ ＩＤおよび適用可能であれば入来ルータＮＩＣ情報に基づいて関係する情報の検索を実行する。その後、情報に基づいて必要になったとき異なったＵＲＬにもとのリクエストをマップし、新しいＵＲＬにプロキシリクエストを発行する。

上記において、ファイアウォールは目的地ＩＰアドレスＮＡＰＴ、例えば目的地アドレスであってよく、ポートのwww.antlabs.com.80はローカルホストの目的地ＩＰアドレスおよびプロキシが存在する目的地ＴＣＰポート3128へのＮＡＰＴであってもよい。その後、ＴＣＰソケット接続がｗｗｗ．ａｎｔｌａｂｓ．ｃｏｍ．による代わりにクライアントと透明プロキシとの間に設定されてもよい。各ＴＣＰソケットはクライアントＭＡＣアドレスおよび入来するＮＩＣ番号論理インデックス（ＮＩＣにより監視された各ＶＬＡＮ ＩＤが新しい論理数を割当られるとき、その論理数からＮＩＣとＶＬＡＮ ＩＤを導出することが可能である）を含むように増加されたエンドノードセッション情報を記憶する。プロキシにより読取られた各解釈されたＴＣＰパケットに対して、ソケットオプション呼はクライアントＭＡＣアドレスおよび選択されたソケットのＮＩＣ論理数を得るために形成されることができる。

ＰＣＴ／ＳＧ00/00107号明細書に記載されているようなルータがゼロ構成能力を有する別の実施例では、両方の技術の組合わせはウエブベースのＧＵＩを介して遠隔的に新しいネットワークアプライアンスを構成するために使用されることができる。

すなわち、ルータ2 はデータベースにリストされていない異質のＭＡＣアドレスから、および例えば遠隔構成に割当られたルータＮＩＣからＨＴＴＰリクエストを検出し、エンドユーザをデフォルト開始構成ページへ再指向させることができる。

したがって、検出された新しい各ユーザに対して、開始ページは、ネーム、部局、優先度（例えば将来の開始ページ）、好ましいプリンタ等のようなユーザの情報を登録するために使用されることができる。この特徴はまたウエブサーバのような新しいネットワークアプライアンス（伝統的なコンピュータサーバではなく“ブラックボックス”ウエブベースの管理されたアプライアンス）を構成するために使用されることができ、それに対して、最初のＩＰアドレスを与えることが問題である。本発明によれば、最初のＩＰアドレスを設定する必要はなく、代わりにウエブサーバが単にプラグインされ、そのウエブブラウザがスタートされる。それから開始構成ページが与えられ、その後、ウエブベースの管理がＷＡＮ接続および他のアプライアンス形態に対してＩＰを設定することができる。

さらに、同様の方法を使用してルータ2 はセキュリティアクセス制御装置として使用されてもよい。すなわち、ＩＰスプーフを受けるＩＰアドレスに基づいた典型的なパケットベースのファイアウォール制御の代わりに、登録されていないクライアントノードのネットワークアダプタカード（例えばデータベースに登録されたＭＡＣアドレスのないカード）からの任意のＨＴＴＰリクエストはウエブページ監視装置へ再度導かれ、その監視装置はそれらが権限のないアクセスを試みるものであることをエンドユーザに報告する。

このようにして、既存のアプリケーションファイアウォールと異なって、セキュリティ制御は個々の各アプリケーションに対して（それらのＭＡＣアドレスにより識別された）ユーザへの物理的なソケット接続からあるゆる方法で与えられることができる。

サービス配送を行うのと同様に、ＭＡＣアドレスの使用はルータ2 がＭＡＣアドレスの直接の使用により適切なパケット転送決定のリターンを行うことを可能にする。

図２および３は入来トラフィックが例えば図１のシステムで構成されることのできるクライアントノード1 との間でどのように出入するかを示している。もっとも、ここでは図はクライアントノード1 とリンク認識ルータ2 との間に他のルータが設けられる可能性も示している。

一般に、２つの通信ノード間の少なくとも１つのクライアントノード（この例ではＭＡＣアドレスＬ1 およびＩＰアドレスＮ1 を有するノード）はリンク認識ルータ2 から１ルータホップされなければならない。しかしながら、クライアントノード1 とリンク認識ルータ2 の間に多数の介在層2 スイッチ（ＶＬＡＮまたはその他）を設けることができる。また、クライアントノード1 とリンク認識ルータ2 との間に共同して動作するルータ9 （例えば透明ルータまたはＰＣＴ／ＳＧ00/00107号によるルータ）が存在してもよく、それは例えばリンク認識ルータ2 に必要な情報を提供して正確な出て行くパケット層2 のリンクヘッダを生成してクライアントノードに送るために共同して動作するエッジルータ10に報告することができる。

中間ルータ9 はリンク認識ルータ2 にパケットを導きポリシー決定を行うことを可能にする。所望ならば、出て行くトラフィックに対して、例えば目的地ＩＰアドレスに基づいてルート決定を行うことができ、トラフィックが異なるリンク認識ルータに送られることを可能にする。それらはまた１つのＶＬＡＮから他へ経路設定することができる。

図１および２に示されているように、クライアントノードＭＡＣ，Ｌ1 はリンクヘッダ（ソースおよび目的地の物理的アドレスを含んでいる）とネットワークヘッダ（ソースおよび目的地のＩＰアドレスを含んでいる）との間のデータパケット中に埋設されていてもよい。その代わりにソースＭＡＣアドレスが変化しないスイッチベースの構成では、クライアントのＭＡＣはリンクヘッダの一部を形成することができる。これらはただ２つの例であり、クライアントＭＡＣアドレスをリンク認識ルータ2 およびエッジルータ10へ与える他の手段、例えば帯域外メッセージによることも可能である。

ルータ2 の例えばインターネット側のリンク認識ルータ2 と次のホップルータ11との間のルート設定動作は技術的に知られており、例えばルータ11により、ネットワークヘッダ中のＩＰアドレス目的地からのデータパケットの目的地の同様な決定とＩＰアドレスに対するルート表によるパケットのルート設定が行われる。

リンク認識ルータ2 は技術的に知られているように例えばプライベートＩＰアドレスを公共ＩＰアドレスにマップするため、およびアドレス衝突の問題を阻止するためにＮＡＴ（ネットワークアドレス変換）またはＮＡＰＴ（ネットワークアドレスおよびポート変換）を行うことができる。ＮＡＰＴはまたポート番号をマップし、本発明の目的に対してＮＡＴへの参照がＮＡＰＴおよびＮＡＴの他の変形（例えばポート転送のために使用される２回のＮＡＰＴの使用および透明プロキシにより使用される目的地ＮＡＴ）への参照を含めて採取されなければならない。

本発明では、図１のルータ2 のようなリンク認識ルータはＮＡＴ能力を与えられ、それはまたマッピングにおけるクライアントノードのＭＡＣアドレスを伴っている。

したがって、ＮＡＴ機能は標準的なＮＡＴ機能（目的地ＮＡＴのような任意の変数および例えばＲＦＣ2663，P.Srisuresh,M.Holdrege,1999 年８月の“ＩＰネットワークアドレス変換器（ＮＡＴ）ターミノロジーおよび考察”）と同様の方法で動作できるが、以下のものは除外される。

１）ＮＡＴである全ての新しい入来するセッションに対して、クライアントＭＡＣアドレスならびに適用可能であれば入来するルータＮＩＣ番号および任意の他のオプションの位置特定情報（例えばＶＬＡＮ ＩＤ）はオリジナルのバインド中に記憶され、他の公称のリクエストされたＮＡＴ情報に付加されてＩＰアドレスを与えられる。

２）クライアントＩＰアドレス（ＮＡＰＴに対する付加的なトランスポートポート番号）バックをマップする任意の整合反転セッショントラフィックに対して、トラフィック転送のためのルータは前に記憶されたリンク情報を使用してパケットを生成し、そのパケットをクライアントに送信し、正常なルート処理をバイパスする。

ステップ２に対して、上述のように、クライアントが自動車であり、運動の検出がサポートされた場合に（例えばＰＣＴ／ＳＧ00/00107号のように）、出て行くトラフィックが送られるルータのＮＩＣ番号はステップ１で前に記録されたものと同じでない可能性があり、この情報は現在の検出処理によって更新されなければならない。ＭＡＣアドレスはしかしながら変化しない。

リンク認識ＮＡＴ手順は同じＩＰアドレスを有する２人のクライアントがＮＡＴを彼等が同じリンクの放送ドメインにある場合でも可能にする。それは彼等がそのＭＡＣアドレスによって他方から弁別されることができるからであり、例えばＡＲＰリクエストを発行する必要がないからである。

同じＩＰアドレスを有する２つのノード間で通信するために、別々の特有のエンド・ツー・エンド識別形態、例えば充分に適格なドメインネーム（ＦＱＤＮ）でなければならない。

両方の例のリンク認識ＮＡＴ手順およびＦＱＤＮは本発明の特徴に関連して以下詳細に説明する。それはリンク認識ダイナミックドメインネームサービスである。

説明したように、クライアントノード1 に取付けられたネットワークインターフェースカードのＭＡＣアドレスはクライアントノード1 および関連するエンドユーザを特有に識別するために使用される（従来技術のようにクライアントノードにマップするためにＩＰアドレスを使用するのではなく）。

この概念をＤＮＳシステムに拡張すると、リンク認識ダイナミックＤＮＳシステムによりサービスされるネットワーク内で充分適格なドメインネーム（ＦＱＤＮ）、例えばlohn.antlabs.com. またはホストネーム、例えばjohnをクライアントからの付加的なサートなしにエンドユーザに割当ることが可能である。

ＭＡＣアドレスをＤＮＳのＡタイプリソース記録に直接マップすることにより、ネットワークは常にそのＦＱＤＮまたはリンク認識ＤＮＳネットワークに内のハウスネームによって同等の対応するノードに同等の現在のＩＰアドレスに関係なく、クライアントノードがそのＩＰアドレスを登録する必要なく到達することができる。

リンク認識ＤＮＳシステムでは、各ノードはそのＭＡＣアドレスによって、ネットワークトラフィックを監視して例えばＰＣＴ／ＳＧ00/00107号明細書に記載されているように運動検出を行うことによりり識別され、リンク認識ルータは各クライアントノードの位置およびそれらの関連するＭＡＣアドレスおよびＩＰアドレスを決定することができる。

図４に示されているように、リンク認識ＤＮＳシステムはリンク認識ルータ2 とそ子に位置されることのできるリンク認識ＤＮＳサーバから構成されており、ＦＱＤＮテーブル12に対する予め構成されたＭＡＣアドレスを含んでいる。

アドレス衝突のない内部ＬＡＮに対して、最も簡単な機構は、ダイナミックにホストベースのルートを設定し、発見された個々の各クライアントの実際のＩＰアドレスによりＤＮＳを更新するためのリンク認識ルータに対するものである。

クライアントがＦＱＤＮまたはホストネームを解読するとき、ホストの実際の現在のＩＰアドレスが戻される。対応するホストに対して目的地とする任意のトラフィックは設定されたダイナミックホストベースのルートにより転送される（クライアントノードが移動する場合にはそれは変化する）。

図５はそのような内部ＬＡＮを示している。トラフィックがクライアントノード1 により発生するとき、リンク認識ルータ2 上のルートテーブル13とＤＤＮＳテーブル14とは更新される。例えば、もしもＭＡＣアドレスＡおよびソースＩＰアドレス１．１．１．１を有するパケットがルータＮＩＣ1 上で受信されると、ホストベースルートがルートテーブル13中に設定される。その後ルータはＭＡＣアドレスＡに対してリンク認識ＤＮＳテーブル12を検索し、これはＦＤＱＮ“albert.a.com. ”を戻す。ＤＤＮＳテーブル14はその後更新され、ＦＤＱＮ“albert.a.com. ”に対してＩＰアドレス１．１．１．１を反映するように更新される。

クライアントノード1 が図６に示されるようにＤＮＳ質問を、例えばalbert.a.com. に対して行なうとき、その質問はリンク認識ルータ2 の透明なリンク認識ＤＮＳサーバにより受取られル。もしも、ＦＤＱＮがＤＤＮＳテーブル14中で発見されるならば、そのＦＤＱＮの現在のＩＰアドレス、例えば１．１．１．１はＤＮＳ回答中で戻される。発見されない場合には、それ自体は既知のＤＮＳ動作である回帰的ＤＮＳ解決法が使用される。

図７に示されているように、一度ＦＤＱＮが解かれると、トラフィックは図５に示されたルートテーブル13の予め設定されたホストベースルートによりルータ2 を通って送信および受信ノード1 間で伝送されることができる。

アドレス衝突が存在する場合、或いは通信が２以上のルート領域を横切って生じた場合には、ＮＡＴの形態はリンク認識ＤＮＳサーバにより供給されることができる。

例えば、ネットワーク衝突のない交差ルート領域通信の場合に、恒久的なＦＤＱＮまたはホストネームがクライアントノードのＩＰアドレスを発見するため、およびそのＩＰアドレスにトラフィックを送信するために使用されることができる。クライアントの対応するノードが送信しているノードからデータを受信するとき、目的地ＩＰアドレス（すなわち送信者のＩＰアドレス）はすでに受信されたデータから対応するノードにより知られているので、送信者のＦＤＱＮまたはホストネームについて類似するネームを検索する必要はない。それ故、この場合にはネームの検索は１方向に行う必要があるだけである。

ネームの検索を開始するノードのＩＰアドレスが特有である場合には、すなわち、アドレス衝突がない場合には、リンク認識ルータはドメインネームサービスアプリケーションレベルゲートウエイ（ＤＮＳ ＡＬＧ）をサポートすることだけが必要であり、プライベートネットワークにおいてアドレス衝突がない場合には、ＤＮＳ ＡＬＧを有するＮＡＴで充分である。リンク認識ＤＮＳサーバはクライアント発見においてＤＤＮＳテーブル中の対応するノードのＩＰアドレスを更新するために依然として必要である。

図８は、インターネットおよび登録されたドメインネーム“a.com ”を有するプライベートネットワークのクライアントノード1 のような公共ネットワーク3 のノード15と、ＤＮＳ ＡＬＧをサポートするＮＡＴできてドメイン“a.com ”に対する権限のあるネームサーバであるリンク認識ルータ2 との間のルート領域を横切る通信の衝突のない例を示している。

図８に示されているように、リンク認識ルータ2 はクライアントノードのＭＡＣアドレスＡを発見してルートテーブル13（クライアントノード1 からのパケットが受信されるルータ2 の入来するＮＩＣに対して）および“albert.a.com”に対するＤＮＡＴＳテーブル14を更新する。

図９に示されるようにＩＰアドレス10.0.0.3を有する公共ネットワークノード15が“albert.a.com”を解読しようとするとき、ＤＮＳの質問はリンク認識ルータ2 に送られる。それは“a.com ”ドメインに対して権限のあるネームサーバであるからである。したがってＤＮＳ ＡＬＧはプライベートネットワークリンク認識ＤＮＳサーバ、すなわちＤＤＮＳテーブルに質問し、それは結果1.1.1.1 を送り返す。その後ＤＮＳ ＡＬＧはアドレスバインディング16を設定してクライアントノードのＩＰアドレス1.1.1.1 を公共ＩＰアドレスにマップし、その公共ＩＰアドレスはＮＡＴ目的に対するリンク認識ルータ2 に属しており、この場合にはＩＰアドレス11.0.0.1であり、ＤＮＳ回答の11.0.0.1をリクエストしているノード15に送信する。

一度ＤＮＳ解読が完了すると、２つのノード15と1 との間の通信は標準的に行われ、これは文献（“ＤＮＳのネットワークアドレス変換器への拡張”P.Srisuresh,G.Tsirtsis,P.Akkiraki,およびA.Heffeman, 1999年９月）に記載されている。

図１０はＩＰアドレス1.1.1.1 を有する対応するノード1 にＩＰアドレス10.0.0.3を有するノード15からのトラフィックに対するＮＡＴ動作の結果を示しており、一方、図１１は対応するノード1 から公共ノード15への回答トラフィックに対するＮＡＴ動作を示している。

アドレス衝突の可能性について検討すると、そのような衝突の１つは対応するクライアントノード（外部ノードによるネーム検索のターゲット）と、同じプライベートネットワーク上の別のクライアントノードとの間のアドレス衝突である。これは逆リンク認識ＮＡＴをサポートするリンク認識ルータを有することによって解決される。これはクライアントノードのリンク層情報の使用を必要とする。

この状態において、通信は衝突問題を有するプライベートノード1 の１つではなく、プライベートネットワークの外側の公共ノードによって設定されるから、バインディング情報がＤＮＳ ＡＬＧにより生成されたときに逆リンク認識ＮＡＴリンク層情報が設定されることができる。

ルート領域を横切って、例えばインターネット3 からプライベートネットワークへ通信するとき、プライベートネットワークの対応するノード1 に公共ＩＰアドレスを割当ることが必要である。

全てのシナリオに対して、他の可能な対応するノードと衝突することのない特有のＩＰアドレス（公共である必要はない）が使用されなければならない。

図１２は同じＩＰアドレス1.1.1.1 を有する２つのクライアントノード1 によるプライベートネットワークａ．ｃｏｍに対するリンク認識ＤＮＳテーブル12およびＤＤＮＳテーブル14を示している。

図８乃至１１の衝突のない実施例および図１３に示された実施例のように、公共ノード15が“albert.a.com”に対するＤＮＳリクエストを送信するとき、ＤＮＳ ＡＬＧはＤＤＮＳサーバに質問してドメインネーム“albert.a.com”を有する対応するノードのＩＰアドレス1.1.1.1 を獲得してプライベートクライアントノードアドレス1.1.1.1 を有する公共ＩＰアドレス11.0.0.1のＤＮＳ ＡＬＧバインディング16を設定する。

さらに、逆リンク認識ＮＡＴの設定を可能にするために、ＤＮＳ ＡＬＧは、対応するノードのＦＱＤＮに割当られた公共ＩＰアドレス11.0.0.1のリンク認識ＤＮＳサーバを報告する。この情報を使用して、リンク認識ＤＮＳサーバは、そのＭＡＣアドレスＡにより特徴付けられた適切なクライアントノードに割当られたＩＰアドレス11.0.0.1をマップするリンク認識ＮＡＴテーブル17を構成することができる。これはＦＱＤＮ／ホストネームマップ（図１２のリンク認識ＤＮＳテーブル12の）へのＭＡＣアドレスとして生成され、特有であり（１対１）、ＦＱＤＮ／ホストネームから対応するＭＡＣアドレスを検索する逆検索が可能になる。

ルータ2 が各クライアントノード1 に対するリンクレベルおよび入来ＮＩＣ情報を監視するので、リンク認識ＤＮＳシステムを更新するために、リンク認識ルータ2 は対応するノード1 のＩＰアドレスとネットワーク位置を設定することができる。対応するノードの実際およびダイナミックに割当られた（ＤＮＳ ＡＬＧ）ＩＰアドレス、そのＭＡＣアドレスおよび入来するＮＩＣインターフェース情報（もしもあればＶＬＡＮ ＩＤ情報と共に）により、逆リンク認識ＮＡＴは実行されることができる。

図１４はノードＩＰアドレス10.0.0.3から対応するノードアドレス1.1.1.1 へ逆方向リンク認識ＮＡＴによるトラフィックに対する動作を示している。対応するノードからの回答トラフィック1.1.1.1 により、ＩＰアドレス10.0.0.3へのＭＡＣＡは標準的な方法を使用して行うことができる。

図１５乃至１７はリンク認識ＤＮＳサービスされたプライベートネットワーク内のノード1.1'間にＩＰ衝突が存在する実施例を示しており、交差ルート領域通信は存在しない（全ての通信ノードはリンク認識ルータ2 から１ホップである）。

そのようなＩＰ衝突が通信ノード間に存在する場合には、リンク認識の２回のＮＡＴが使用され、すなわち、リンク認識ＮＡＴはソースおよび目的地ＩＰアドレスの両者に対して行われる。

そのような方法において、特有のＩＰアドレス（アドレス衝突のない）、この場合11.0.0.2は送信ノード1'と同じ位置にあり、ネームを検索する。リンク認識ＮＡＴは同じ位置のＩＰアドレス11.0.0.2を記録し、それを送信側ノードＩＰアドレス1.1.1.1 、およびそのＭＡＣアドレスＢに整合させ、また存在すればＮＩＣ情報およびＶＬＡＮ ＩＤと整合させる。これはリンク認識ＮＡＴテーブル18中に記憶される。

その後、ＤＮＳ ＡＬＧは送信側ノード1'にＤＮＳ回答する対応するノード1 と同じ位置の別の特有のＩＰアドレス11.0.0.1に戻る。このＩＰアドレス11.0.0.1はクライアントノードＩＰアドレス1.1.1.1 およびＭＡＣアドレスＡ、ＮＩＣインターフェース情報および、存在する場合にはＶＬＡＮ ＩＤと共にリンク認識ＮＡＴにより記憶される。これは図１２乃至１４の実施例と同様に行われ、逆方向リンク認識ＮＡＴテーブル17に記憶される。

これらの２つの同じ位置のＩＰアドレス11.0.0.1および11.0.0.2は、他のネーム検索の前の２つのノード1 および1'間の存在する任意の通信の期間に対して有効である。

２つのノード1 および1'間の通信は２回のＮＡＴである。従来の通常の２回のＮＡＴとの相違は、パケットを構成して任意のノード1 および1'に転送するために、利用可能なリンク層およびＮＩＣ情報がルートテーブル検索（アドレス衝突が存在するとき破壊する）またはＡＲＰリクエスト（アドレス衝突が存在するとき多重回答が生じる可能性がある）の必要がなくなることである。

ＤＮＳ ＡＬＧバインディング16、リンク認識ＮＡＴテーブル18、リンク認識逆方向ＮＡＴテーブル17はＭＡＣアドレスＢを有する対応するノードがＤＮＳ質問を発生するときに設定される。

図１６は、ＭＡＣアドレスＢを有するクライアントノード1'からＭＡＣアドレスＡを有する対応するクライアントノード1 へのトラフィックのためのリンク認識２回のＮＡＴ動作を示しており、一方図１７は、ＭＡＣアドレスＡを有する対応するクライアントノード1 からＭＡＣアドレスＢを有するクライアントノード1'へのＮＡＴ動作を示している。

交差ルート領域通信（プライベートネットワークからインターネットへ、またはその反対に開始される）でプライベートノードと公共ノードとの間でアドレス衝突が発生する場合に、プライベートネットワーク内の特有のＩＰアドレスは公共の対応するノードと同じ位置になければならず、リンク認識ルータに属する特有の公共ＩＰアドレスはプライベートノードと同じ位置になければならず、ＤＮＳ ＡＬＧによる２回のＮＡＴが使用されて前述の文献（“ネットワークアドレス変換器に対するＤＮＳ拡張”ＲＦＣ2694セクション６）に記載されているように通信できるように使用される。もしもアドレス衝突がまたプライベートネットワーク内で発生した場合には、リンク認識は公共ノードからプライベートノードへのトラフィックに対して２回のＮＡＴを行うが、プライベートノードから公共ノードへのトラフィックに対してはＮＡＴは使用されてはならない。

全体として、本発明の特徴は、特に、ＰＣＴ／ＳＧ00/00107号に記載された再構成可能なネットワークシステムにより使用される場合には多くの利点を与える。

この技術は、管理装置の介入する必要なしに、必要なときに構成可能なエンドユーザに対するデマンドにアクセスするネットワークを提供するのに充分にインテリジェントである。エンドユーザの個々のシステムの再構成を必要とするものは、実時間で全体のネットワークに対して管理装置介入により構成され、展開され、構成の変化は個々のユーザの粒状性まで適用できる。例えば、ウエブベースのサーバ管理ページから、ネットワーク管理装置は遠隔的に、新しいＳＭＰＴへの切換え、イントラネットウエブサーバマシーンまたはＵＲＬの変更、新しいネットワークリソース、例えばプリンタの全てのユーザへのインストールまたはアクセス可能にし、新しい充分適格にされたドメインネームまたは内部ホストネームのエンドユーザのコンピュータへの割当て、或いは公共的にアクセス可能なＩＰアドレスのエンドユーザのコンピュータへの割当て等を可能にする。

さらに、この技術はクライアントノードをネットワークに接続することができるだけではなく、インテリジェントナサービスを配送するための発射パッドであることも可能である。サーバは彼等のユーザ情報から彼等の現在の位置までネットワーク中の全てのクライアントシステムの完全なデータベースを有することができ、管理装置は選択されたユーザに利用可能にされる特定のサービスを構成することができ、物理的位置およびユーザプロファイルに基づいてそのようなサービスに特定してアクセスすることができる。

永久的な人間の理解できるバーチャルＦＱＤＮまたはホストネームが面倒なＩＰアドレスに依存する代わりにクライアントノードを識別するために使用されることができ、エンドユーザは、同等のものが新しい位置へＩＰアドレスを変化し、或いはさまよう場合でさえその割当られたネームにより同等の対応するノードに到達することができる。

例えば、カラーレーザプリンタの割当を有するセールス員がＬＡＮに無線接続することができ、建物のどこか未知の部分にいる同僚に最も近いカラーレーザプリンタ（制限されたアクセス）に緊急のカラーパンフレットの特別の配送を行うことができる。

また、セールスプレゼンテーションはデジタル的に第１の開いている会議室（検出されたクライアントノードのない）に送信され、情報は提出者がネットワークに接続される瞬間に特定の提出者に自動化されたメモを介してフィードバックされることができる。

セキュリティ制御は全ての方法で物理的ソケット接続から実際のユーザの個々のアプリケーションアクセスおよびモニタについて行われる。ファイアウォール、アクセイ制御、およびネットワークポリシーはネットワーク構成のポイント間セキュリティを有する中央化されたサーバから行われることができ、リンク層においてルールは発生源ま個々のクライアントリンク層ＭＡＣアドレスおよびネットワークポイントに適用されることができる。ネットワークおよび転送レベルにおいて、サーバはダイナミックファイアウォールを有するホストベースファイアウォールのように生成されることができ、クライアントの物理的位置およびユーザの分類等に基づいて挿入、削除さけることができる。ウエブベースの認証ページはさらに実時間でユーザが接続されている正確なポートに特定のサービスに対するアクセスを承認できる。ダイナミックファイアウォールはクライアントがネットワークから遮断されたとき自動的にアクセス特権を抹消することができる。

アプリケーションレベルでＤＮＳ、ｅメール（ＳＭＴＰ）およびウエブ（ＨＴＴＰ）のような共通のアプリケーションリクエストが監視され、物理的接続、リンクフレーム、またはネットワークアドレスベース／基準に基づいて制御された特性を有することができる。

種々の置換、追加、および／または変更が本発明の技術的範囲を逸脱することなく前述の構成について行うことができることが理解されるであろう。また、本発明の技術的範囲内において種々のネットワークコンポーネントおよび機能が種々の方法でソフトウエアおよび／またはハードウエアデ構成されることが認識されるであろう。

本願発明の１実施形態による可能なネットワーク技術の概略図。 本願発明の１実施形態による１以上の中間システムを有するリンク認識ルータとの間のコンピュータネットワークのクライアントノードとの間の出入トラフィックを示す概略図。 本願発明の１実施形態による１以上の中間システムを有するリンク認識ルータとの間のコンピュータネットワークのクライアントノードとの間の出入トラフィックを示す概略図。 本願発明の１実施形態によるリンク認識ＤＮＳサーバをホストするリンク認識ルータの概略図。 イントラネットの２つのノード間のトラフィックのルート設定で使用されるルータの使用態様を示す概略図。 イントラネットの２つのノード間のトラフィックのルート設定で使用されるルータの使用態様を示す概略図。 イントラネットの２つのノード間のトラフィックのルート設定で使用されるルータの使用態様を示す概略図。 ルート領域境界を横切ってノードを接続している本発明の１実施形態によるルータを示す概略図。 ルート領域境界を横切ってノードを接続している本発明の１実施形態によるルータを示す概略図。 ルート領域境界を横切ってノードを接続している本発明の１実施形態によるルータを示す概略図。 ルート領域境界を横切ってノードを接続している本発明の１実施形態によるルータを示す概略図。 アドレス衝突が受信ノードと受信ノードのイントラネット中の別のノードとの間で発生するルート領域を横切ってノードを接続しているルータを示す概略図。 アドレス衝突が受信ノードと受信ノードのイントラネット中の別のノードとの間で発生するルート領域を横切ってノードを接続しているルータを示す概略図。 アドレス衝突が受信ノードと受信ノードのイントラネット中の別のノードとの間で発生するルート領域を横切ってノードを接続しているルータを示す概略図。 同じＩＰアドレスを有するイントラネット内の２つのノード間の通信を示す概略図。 同じＩＰアドレスを有するイントラネット内の２つのノード間の通信を示す概略図。 同じＩＰアドレスを有するイントラネット内の２つのノード間の通信を示す概略図。

Claims (15)

1. それぞれ特有のデータリンク層アドレスを有する複数のクライアントノードを含むコンピュータネットワークシステムにおいて、
   前記ネットワークシステムは１以上のネットワーク装置と、
   データベースとを具備しており、
   前記ネットワーク装置はデータリンク層アドレスがデータパケット中に含まれているときには前記クライアントノードの特有のデータリンク層アドレスにアクセス可能であり、
   前記ネットワーク装置はアクセスされた特有のデータリンク層アドレスを使用して前記クライアントノードを識別して特定し、前記データリンク層アドレスに基づいてそのクライアントノードにネットワーク層またはサービスを提供し、
   前記ネットワーク装置はルータを具備し、
   前記ルータはそのルータにより受信されたデータパケットに含まれている特有のデータリンク層アドレスからクライアントノードのデータリンク層アドレスを決定するように構 成されており、
   前記データベースは前記データリンク層アドレスに関連するクライアントノードを識別するために特有のデータリンク層アドレスのデータベースと、ルータによりアクセスされるクライアントノードに関係するユーザ情報とを保持しているコンピュータネットワークシステム。
2. 前記ルータは前記リンク層アドレスとデータベース情報に基づいて前記クライアントノードに対する１以上のポリシーを導く請求項１記載のシステム。
3. 前記ルータは，クライアントノードのリンク層アドレスが前記データベース中に含まれているか否かを決定し、前記アドレスが前記データベースに存在しないとき構成手順を開始する請求項１または２記載のシステム。
4. 前記ルータは，エンドユーザのリンク層アドレスが前記データベース中に含まれているか否かを決定し、前記アドレスが前記データベースに存在しないときセキュリティ手順を開始する請求項１乃至３のいずれか１項記載のシステム。
5. 前記システムは，前記クライアントノードの位置情報を決定し、前記情報を前記データベース中に記録する請求項１乃至４のいずれか１項記載のシステム。
6. ＤＮＳサーバを含み、前記ＤＮＳサーバは前記特有のネームによりクライアントノードのリンク層アドレスをマップすることによりクライアントノードに特有のネームを割当てる請求項１乃至５のいずれか１項記載のシステム。
7. ＤＮＳサーバは、完全修飾ドメインネーム（ＦＱＤＮ）に対するデータベースのリンク層アドレスを含んでいる請求項６記載のシステム。
8. ＤＮＳサーバは、ホストネームに対するデータベースのリンク層アドレスを含んでいる請求項６記載のシステム。
9. トラフィックがクライアントノードにより発生されたとき、ルータはそのリンク層アドレスからクライアントノードに対する特有のネームを決定し、ＤＤＮＳテーブル中の前記ネームに対するＩＰアドレスを更新する請求項６乃至８のいずれか１項記載のシステム。
10. 前記コンピュータネットワークシステムはさらに、複数のエンドシステムとＤＮＳサーバとを具備しており、前記ＤＮＳサーバは特有のネームにより前記エンドシステムのリンク層アドレスをマップする請求項１記載のコンピュータネットワークシステム。
11. 前記コンピュータネットワークシステムはさらに、複数のエンドシステムと１以上の中間システムとを具備しており、データはネットワークおよびリンク層プロトコルを使用して中間システムを通ってエンドシステムとの間で転送され、エンドシステムは特有のネームを各エンドシステムのリンク層アドレスに割当てることによってシステム中で識別されて特定され、前記特有のネームは中間システムによってエンドシステムへのデータのルート設定に使用されている請求項１記載のコンピュータネットワークシステム。
12. 前記コンピュータネットワークシステムはさらに、複数のクライアントノードとプロキシサーバとを具備し、
    前記プロキシサーバは前記ノードによって送信されたデータパケットからリンク層アドレス情報を検索し、前記データリンク層アドレス情報に基づいてネットワークレベルまたはポリシーの明細にしたがって前記クライアントノードをサービスするように構成されている請求項１記載のコンピュータネットワークシステム。
13. 前記コンピュータネットワークシステムはさらに、データリンク層アドレスを有している複数のネットワークノードと、それらのノードとの間でトラフィックのルート設定を行うルータとを具備し、
    前記システムはノードの属性に対する前記データリンク層アドレスのデータベースを含み、前記ルータは前記ノードのデータリンク層アドレスを決定して、前記ノードをサービスするために前記データベースの検索を行うように構成されている請求項１記載のコンピュータネットワークシステム。
14. 複数のノードと、これらのノードとの間のトラフィックのルートを設定するためのルータとを具備している請求項１記載のコンピュータネットワークシステムのノードをサービスする方法において、
    前記ノードに対するデータリンク層アドレスを獲得し、
    前記ノードのユーザの属性に対する前記アドレスのデータベースを構成し、
    トラフィックが前記ノードから受信されたとき前記データベース中の前記ノードのアドレスの検索を行い、
    この検索から得られた属性情報に基づいて請求項１記載のコンピュータネットワークシステムのノードをサービスするサービス方法。
15. データリンク層アドレスを有している複数のノードと、前記ノードとの間のトラフィックのルートを設定するルータとを含んでいる請求項１記載のコンピュータネットワークシステム中のノードを識別する方法において、
    特有のネームを前記ノードのデータリンク層アドレスにマップするＤＮＳサーバを有するネットワークを設けるステップを含んでいる請求項１記載のコンピュータネットワークのノードの識別方法。

Images