WO2023209877A1 - 宅内通信装置及びフィルタリング方法 - Google Patents

宅内通信装置及びフィルタリング方法 Download PDF

Info

Publication number
WO2023209877A1
WO2023209877A1 PCT/JP2022/019112 JP2022019112W WO2023209877A1 WO 2023209877 A1 WO2023209877 A1 WO 2023209877A1 JP 2022019112 W JP2022019112 W JP 2022019112W WO 2023209877 A1 WO2023209877 A1 WO 2023209877A1
Authority
WO
WIPO (PCT)
Prior art keywords
packet
address
unit
filtering
mac
Prior art date
Application number
PCT/JP2022/019112
Other languages
English (en)
French (fr)
Inventor
雅英 西川
Original Assignee
三菱電機株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社 filed Critical 三菱電機株式会社
Priority to PCT/JP2022/019112 priority Critical patent/WO2023209877A1/ja
Priority to JP2024517707A priority patent/JPWO2023209877A1/ja
Priority to TW112114906A priority patent/TW202344020A/zh
Publication of WO2023209877A1 publication Critical patent/WO2023209877A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L51/00—User-to-user messaging in packet-switching networks, transmitted according to store-and-forward or real-time protocols, e.g. e-mail
    • H04L51/21—Monitoring or handling of messages
    • H04L51/212—Monitoring or handling of messages using filtering or selective blocking

Definitions

  • the present disclosure relates to an in-home communication device and a filtering method.
  • IPv4 Internet Protocol version 4
  • IPv6 Due to the problem of IP address exhaustion in IPv4 (Internet Protocol version 4), IPv6 has been used in recent years.
  • IPv6 it is no longer possible to perform filtering judgment by specifying the IP (Internet Protocol) address of a terminal accommodated by a home communication device, which was generally performed as a packet filtering process in a home communication device in conventional IPv4. Have difficulty.
  • IP Internet Protocol
  • the IPv6 address assigned to the terminal on the LAN (Local Area Network) side is an address that redistributes part of the global IPv6 (Internet Protocol version 6) address prefix distributed by the communication network operator using the IPv6 Prefix Delegation operation. Become. Therefore, the Prefix part of the IPv6 address of a terminal on the LAN side depends on the address distributed by the communication network operator, and the Prefix part of the IPv6 address cannot be freely determined in advance. Furthermore, since the subnet length of the Prefix section is also specified by the communication carrier, the subnet length of the Suffix section of the terminal on the LAN side also depends on the subnet length of the Prefix section. (b) In IPv6, an address setting operation such as MultiHoming, in which a terminal on the LAN side belongs to a plurality of networks and a terminal address is generated using a plurality of prefixes distributed from each network, is also commonly performed.
  • IPv6 address specification cannot be realized unless the address distributed by the communication network operator and redistributed to the LAN side terminals by the IPv6 Prefix Delegation operation is confirmed. Can not. Furthermore, when a terminal connects to a new IPv6 network after configuring a packet filter and a new prefix is distributed due to IPv6 MultiHoming operation or the like, the packet filter does not follow the new address.
  • filtering does not necessarily require specifying an IP address, and a method of specifying a target terminal using a MAC (Media Access Control) address of a LAN-side terminal known to the in-home communication device may also be considered.
  • MAC Media Access Control
  • Linux an OS (Operating System)
  • a filter mechanism called iptables which Linux has, is used as a packet filter.
  • Linux iptables provides filtering specifications based on the source MAC address.
  • Patent Document 1 discloses a method of configuring a load balancer as an example of a configuration using filtering using MAC addresses and iptables.
  • Procedure 1 The home communication device routes the packet from the WAN side to the LAN side and determines the destination I/F (InterFace) for the destination IP address.
  • Step 2 The home communication device determines the destination MAC address corresponding to the destination IP address using the determined destination I/F.
  • the home communication device needs to perform IPv4 ARP (Address Resolution Protocol) resolution or IPv6 Neighbor resolution and hold the packet during that time.
  • Step 3 The home communication device performs filtering based on the destination MAC address.
  • Steps 1 to 3 because of the processing order of Steps 1 to 3 above, the destination MAC address to be executed later is unresolved at the stage of Layer 3 IP packet filtering, which is executed first, and therefore the LAN side terminal It is not possible to specify the destination MAC address.
  • in-home communication devices have the advantage that by specifying LAN-side IPv6 terminals using MAC addresses, it becomes possible to specify LAN-side terminals that do not depend on the IPv6 Prefix distributed from the communication network.
  • one or more aspects of the present disclosure aim to make it possible to implement filtering for communication of terminals on the LAN side without relying on IPv6 prefixes distributed from a communication network.
  • An in-home communication device includes a receiving interface that receives a packet, a transfer unit that performs address resolution of the packet and routes the packet, and a transfer unit that performs address resolution of the packet and routes the packet, and a The present invention is characterized by comprising an extended function unit that executes MAC filtering, which is filtering of a destination MAC (Media Access Control) address of the packet after routing.
  • MAC Media Access Control
  • a filtering method receives a packet, performs routing of the packet, performs address resolution of the packet after the routing according to rules of an IP (Internet Protocol) packet filter, and resolves the packet by the address resolution. Further, the present invention is characterized in that MAC filtering, which is filtering of the destination MAC (Media Access Control) address of the packet, is performed.
  • FIG. 1 is a block diagram schematically showing the configuration of a communication system including an HGW, which is an in-home communication device according to Embodiments 1 to 3.
  • FIG. 2 is a block diagram schematically showing the configuration of an IPv6 packet filter function unit in Embodiment 1.
  • FIG. It is a schematic diagram showing an example of a screen image for LAN side filtering setting.
  • FIG. 3 is a schematic diagram showing an example of an entry input screen image for inputting one entry of a LAN side filter. It is a schematic diagram showing an example of a screen image for WAN side filtering setting.
  • FIG. 3 is a schematic diagram showing an example of an entry input screen image for inputting one entry of a WAN side filter.
  • (A) and (B) are block diagrams showing examples of hardware configurations.
  • FIG. 2 is a flowchart schematically showing a packet filter operation inside Linux.
  • FIG. 2 is a schematic diagram showing a first example of deployment to a packet filter operation inside Linux.
  • FIG. 3 is a schematic diagram showing a second example of deployment to a packet filter operation inside Linux.
  • FIG. 2 is a block diagram showing simplified IP packet filter processing and destination MAC resolution processing in the first embodiment.
  • 3 is a flowchart showing DSTMAC target processing.
  • FIG. 2 is a block diagram schematically illustrating an implementation example of a DSTMAC target queuing process.
  • 3 is a flowchart showing processing performed by a routed-dst-mac processing unit.
  • FIG. 2 is a block diagram schematically showing the configuration of an IPv6 packet filter function unit in Embodiment 2.
  • FIG. 7 is a schematic diagram showing a third example of deployment to packet filter operations inside Linux.
  • FIG. 3 is a block diagram showing simplified IP packet filter processing and destination MAC resolution processing in Embodiment 2.
  • FIG. 12 is a flowchart showing the operation of the DSTMAC processing unit when packet retention during destination MAC resolution is implemented using NFQUEUE in the second embodiment.
  • FIG. 3 is a block diagram schematically showing the configuration of an IPv6 packet filter function unit in Embodiment 3.
  • FIG. 1 is a block diagram schematically showing the configuration of a communication system 100 including an HGW (Home Gateway) 110, which is an in-home communication device according to the first embodiment.
  • the communication system 100 includes a plurality of terminals 101A, 101B, 101C, . . . , a subscriber access server 102, a first ISP (Internet Service Provider) system 103A, a second ISP system 103B, and an HGW 110. Be prepared.
  • ISP Internet Service Provider
  • the terminal 101 and the HGW 110 are connected to a LAN 104, and the HGW 110 and the subscriber access server 102 are connected to a subscriber communication network 105 such as the Internet.
  • Terminal 101 accesses subscriber communication network 105 via HGW 110.
  • the subscriber access server 102 is a server that the terminal 101 accesses in order to access the subscriber communication network 105.
  • the first ISP system 103A is a system of an operator that provides a first Internet service
  • the second ISP system 103B is a system of an operator that provides a second Internet service.
  • the HGW 110 includes a LAN I/F section 111, a WANI/F section 112, and a network processing section 120.
  • the LAN I/F unit 111 is a LAN side communication interface for communicating via the LAN 104.
  • the WAN I/F unit 112 is a communication interface on the WAN side for communicating via the subscriber communication network 105 as a WAN.
  • the LANI/F unit 111 or WANI/F unit 112 functions as a reception I/F that receives packets
  • the LANI/F unit 111 or WANI/F unit 112 functions as a transmission I/F that transmits packets. also works.
  • the network processing unit 120 controls processing at the HGW 110.
  • the network processing unit 120 controls relay processing for outputting packets from the subscriber communication network 105 to the LAN 104 and outputting packets from the LAN 104 to the subscriber communication network 105.
  • the network processing unit 120 is compatible with IPv6.
  • the network processing unit 120 includes a PPPoEv6 client function unit 121, a DHCPv6 client function unit 122, a DHCPv6 server function unit 123, an IPv6 router advertisement server function unit 124, and an IPv6 packet filter function unit 125.
  • the PPPoEv6 client function unit 121 executes communication via the subscriber communication network 105 via the WANI/F unit 112 using PPPoE (Point-to-Point Protocol over Ethernet), which is an IPv6 Internet connection service. do.
  • PPPoE Point-to-Point Protocol over Ethernet
  • the DHCPv6 client function unit 122 receives IPv6 information from a DHCP (Dynamic Host Configuration Protocol) server (not shown) included in the first ISP system 103A or the second ISP system 103B via the WAN I/F unit 112. Obtain an IP address.
  • DHCP Dynamic Host Configuration Protocol
  • the DHCPv6 server function unit 123 functions as an IP address distribution unit that distributes IP addresses to the terminal 101. For example, the DHCPv6 server function unit 123 distributes IPv6 IP address information to the terminal 101 via the LAN I/F unit 111. Specifically, the DHCPv6 server function unit 123 selects IP addresses included in the IPv6 address band according to the IPv6 prefix acquired from the first ISP system 103A or the second ISP system 103B connected to the subscriber communication network 105. The address is distributed to the terminal 101.
  • the IPv6 router advertisement server function unit 124 automatically sets an IPv6 IP address via the LAN I/F unit 111. For example, the IPv6 router advertisement server function unit 124 advertises to the terminal 101 an IPv6 address range according to an IPv6 prefix acquired from the first ISP system 103A or the second ISP system 103B connected to the subscriber communication network 105. By doing so, it functions as an IP address advertising unit that causes the terminal 101 to generate an IP address.
  • the IPv6 packet filter function unit 125 controls and executes filtering of packets received by the LAN I/F unit 111 from the LAN 104 side and packets received by the WANI/F unit 112 from the subscriber communication network 105 side.
  • FIG. 2 is a block diagram schematically showing the configuration of the IPv6 packet filter function section 125.
  • the IPv6 packet filter function section 125 includes a S/W (SoftWare) transfer setting control section 130 and a S/W transfer processing section 140.
  • S/W SoftWare
  • the S/W transfer setting control unit 130 performs GUI settings from any terminal 101 via the LAN I/F unit 111, or reads configuration settings from an information processing device such as another computer (not shown), etc.
  • LAN side filtering settings which are settings for filtering packets from the LAN 104 side, from an information processing device such as another computer by the method of
  • the S/W transfer processing unit 140 receives input of WAN-side filtering settings, which are packet filtering settings, from the subscriber communication network 105 side, which is the WAN, and performs the S/W transfer processing unit 140 according to the LAN-side filtering settings or WAN-side filtering settings. to perform filtering.
  • the S/W transfer setting control unit 130 includes an IPv6 packet filter GUI (Graphical User Interface) processing unit 131 and an IPv6 table rule deployment AP (APplication) execution unit 132.
  • IPv6 packet filter GUI Graphic User Interface
  • IPv6 table rule deployment AP APplication
  • the IPv6 packet filter GUI processing unit 131 causes the above-mentioned terminal 101 or information processing device (not shown) to display a GUI screen image for LAN side filtering setting or WAN side filtering setting, and displays the screen image.
  • LAN-side filtering settings or WAN-side filtering settings are input from the operator via the network controller.
  • FIG. 3 is a schematic diagram showing an example of a screen image for LAN side filtering settings.
  • the LAN side filtering setting screen image 113 includes a packet filter target I/F selection area 113a, a packet filter direction selection area 113b, and a packet filter entry list display area 113c. .
  • the LAN side filtering setting screen image 113 shown in FIG. This is a setting screen image for a connection that starts in the direction to the subscriber communication network 105.
  • the entry list display area 113c is an area for setting a filter for packets transferred in the direction from the LAN 104 to the subscriber communication network 105.
  • the entry list display area 113c is an area for displaying filter settings input by the operator, as will be described later.
  • One entry corresponding to one row in the entry list display area 113c indicates one filter.
  • the entry list display area 113c includes an entry number column 113c#1, a source address display column 113c#2, a destination address display column 113c#3, a protocol type display column 113c#4, and a source port number display column. 113c#5, a destination port number display column 113c#6, and an entry operation display column 113c#7.
  • Entry number string 113c#1 displays entry numbers as identification information for identifying entries.
  • the source address display column 113c#2 displays the specified address when the source address is specified as a filter on the LAN 104 side.
  • the destination address display column 113c#3 displays the specified address when the destination address is specified as a filter on the LAN 104 side.
  • the protocol type display column 113c#4 displays the specified protocol when the protocol is specified as a filter on the LAN 104 side.
  • the source port number display column 113c#5 displays the specified port when the source port is specified as a filter on the LAN 104 side.
  • the destination port number display column 113c#6 displays the specified port when the destination port is specified as a filter on the LAN 104 side.
  • the entry operation display column 113c#7 displays the operation as a filter on the LAN 104 side.
  • FIG. 4 is a schematic diagram showing an example of an entry input screen image for inputting one entry of the LAN side filter.
  • the entry input screen image 114 shown in FIG. 4 is a screen image when the entry with entry number "3" in FIG. 3 is input.
  • the entry input screen image 114 includes a title field 114a, a source address designation field 114b, a destination address designation field 114c, a protocol designation field 114d, a source port number designation field 114e, and a destination port number designation field 114f. and an operation designation field 114g.
  • the start value input column 114h and the end value input column 114i are used when specifying a range in the source address specification column 114b, destination address specification column 114c, source port number specification column 114e, or destination port number specification column 114f. This is a field for input.
  • the source address specification field 114b allows you to specify the target for filtering based on the source address from "IP address range”, "IP subnet”, and "MAC address”.
  • the source MAC address is specified.
  • the destination address specification field 114c also allows you to specify the target for filtering based on the destination address from "IP address range”, “IP subnet”, and "MAC address”. A subnet is specified.
  • FIG. 5 is a schematic diagram showing an example of a WAN side filtering setting screen image.
  • the WAN-side filtering setting screen image 115 includes a packet filter target I/F selection area 115a, a packet filter direction selection area 115b, and a packet filter entry list display area 115c. .
  • the WAN side filtering setting screen image 115 shown in FIG. This is a setting screen image of a connection starting from a certain subscriber communication network 105 to the LAN 104.
  • the entry list display area 115c is an area for setting a filter for packets transferred in the direction from the subscriber communication network 105 to the LAN 104.
  • the entry list display area 115c is an area for displaying filter settings input by the operator, as will be described later.
  • One entry corresponding to one row in the entry list display area 115c indicates one filter.
  • the entry list display area 115c includes an entry number column 115c#1, a source address display column 115c#2, a destination address display column 115c#3, a protocol type display column 115c#4, and a source port number display column. 115c#5, a destination port number display column 115c#6, and an entry operation display column 115c#7.
  • Entry number string 115c#1 displays entry numbers as identification information for identifying entries.
  • the source address display column 115c#2 displays the specified address when the source address is specified as a filter on the subscriber communication network 105 side.
  • the destination address display column 115c#3 displays the specified address when the destination address is specified as a filter on the subscriber communication network 105 side.
  • the protocol type display column 115c#4 displays the specified protocol when the protocol is specified as a filter on the subscriber communication network 105 side.
  • the source port number display column 115c#5 displays the designated port when the source port is designated as a filter on the subscriber communication network 105 side.
  • the destination port number display column 115c#6 displays the designated port when the destination port is designated as a filter on the subscriber communication network 105 side.
  • the entry operation display column 115c#7 displays the operation as a filter on the subscriber communication network 105 side.
  • FIG. 6 is a schematic diagram showing an example of an entry input screen image for inputting one entry of the WAN side filter.
  • the entry input screen image 116 shown in FIG. 6 is a screen image when the entry with entry number "1" in FIG. 5 is input.
  • the entry input screen image 116 includes a title field 116a, a source address designation field 116b, a destination address designation field 116c, a protocol designation field 116d, a source port number designation field 116e, and a destination port number designation field 116f. and an operation designation column 116g.
  • start value input column 116h and the end value input column 116i are used when specifying a range in the source address specification column 116b, destination address specification column 116c, source port number specification column 116e, or destination port number specification column 116f. This is a field for input.
  • the source address specification field 116b allows you to specify the target for filtering based on the source address from "IP address range”, “IP subnet”, and "MAC address”.
  • IP address range a source address range
  • IP subnet a target for filtering based on the source address
  • MAC address a source address
  • the destination address specification field 116c also allows you to specify the target for filtering based on the destination address from "IP address range”, “IP subnet”, and "MAC address”. An address has been specified.
  • the IPv6tables rule deployment AP execution unit 132 transfers the LAN side filtering settings or WAN side filtering settings received by the IPv6 packet filter GUI processing unit 131 to the IP6tables main unit 141 (described later) of the S/W transfer processing unit 140. and execute filtering according to the filtering settings.
  • the S/W transfer processing unit 140 filters the LAN side packets received by the LAN I/F unit 111 or the WAN side packets received by the WANI/F unit 112, and transfers these packets. .
  • the S/W transfer processing unit 140 includes an ip6tables main unit 141, a S/W packet transfer processing unit 142, and an ip6tables extension unit 143.
  • the ip6tables main unit 141 sets, manages, and inspects a table of IPv6 packet filter rules of the Linux kernel, and executes filtering using the table.
  • the ip6tables main unit 141 includes a PRE ROUTING execution unit 141a, a FORWARDING execution unit 141b, and a POST ROUTING execution unit 141c.
  • the processing of these functional units is packet filter processing that is normally performed within Linux, and is described in detail in the following literature, etc., so the explanation here will be omitted.
  • Literature Iptables tutorial 1.2.2, “Searched on December 16, 2021”, URL: ⁇ https://www. frozen. net/iptables-tutorial/iptables-tutorial. html>
  • the ip6tables main unit 141 specifies the IP address. It functions as a filtering execution unit that executes IP filtering, which is the filtering used.
  • the S/W packet transfer processing unit 142 transfers the LAN side packet received by the LAN I/F unit 111 or the WAN side packet received by the WANI/F unit 112.
  • the S/W packet transfer processing unit 142 includes a route resolution unit 142a and a destination MAC resolution unit 142b.
  • the processing in these functional units is also packet transfer processing that is normally performed within Linux, so a detailed explanation will be omitted.
  • the ip6tables main unit 141 and the S/W packet transfer processing unit 142 described above constitute a transfer unit that resolves the address of a packet and routes the packet.
  • the ip6tables extension unit 143 functions as an extension function unit that executes MAC filtering, which is filtering of the destination MAC address of a packet after being routed by the ip6tables main unit 141 and the S/W packet transfer processing unit 142, according to the rules of the IP packet filter. .
  • the rule here is to perform address resolution of the packet after routing, and perform MAC filtering using the destination MAC address resolved by the address resolution. Therefore, the ip6tables extension unit 143 causes the destination MAC resolution unit 142b to perform address resolution according to the rules, and performs MAC filtering using the resolved MAC address.
  • the WANI/F unit 112 serving as a reception I/F receives a packet from the subscriber communication network 105, and the ip6tables main unit 141 and the S/W packet transfer processing unit 142 receive the packet. Routing is performed to the LAN 104, and the ip6tables extension unit 143 performs MAC filtering on the destination MAC address that specifies the MAC address of the terminal 101 connected to the LAN 104, without using the IP address of the terminal 101. be able to.
  • the ip6tables extension unit 143 executes filtering based on the destination MAC address using the destination MAC resolution determination chain PPOE1_WAN_TO_LAN_rule1, which is an extension of the processing in the ip6tables main unit 141.
  • the ip6tables extension unit 143 includes a DSTMAC processing unit 143a and a routed-dst-mac processing unit 143b.
  • the DSTMAC processing unit 143a is activated to perform processing for resolving a destination MAC address from a destination IP address, and processes received packets according to evaluation rules configured so that packets for which destination MAC filtering is to be performed pass through the DSTMAC target. , is given to the routed-dst-mac processing unit 143b.
  • the routed-dst-mac processing unit 143b determines whether the destination MAC address of the packet from the DSTMAC processing unit 143a matches the destination MAC address resolved from the destination IP address.
  • Part or all of the network processing unit 120 described above includes, for example, the memory 10 and a CPU (Central Processing) that executes a program stored in the memory 10, as shown in FIG. 7(A). It can be configured by a processor 11 such as a processor unit. Such a program may be provided through a network, or may be provided recorded on a recording medium. That is, such a program may be provided as a program product, for example.
  • a CPU Central Processing
  • part or all of the network processing unit 120 may include, for example, a single circuit, a composite circuit, a programmed processor, a parallel programmed processor, or an ASIC (Application Specific), as shown in FIG. 7(B). It can also be configured with a processing circuit 12 such as an integrated circuit (integrated circuit) or a field programmable gate array (FPGA). As described above, the network processing unit 120 can be configured with a processing circuit network.
  • a processing circuit 12 such as an integrated circuit (integrated circuit) or a field programmable gate array (FPGA).
  • the LAN I/F unit 111 can be realized by a communication interface such as a NIC (Network Interface Card) that can be connected to the LAN 104.
  • the WANI/F unit 112 can be realized by a communication interface such as a NIC that can be connected to the subscriber communication network 105.
  • FIG. 8 is a flowchart schematically showing the packet filter operation inside Linux.
  • the LANI/F unit 111 or the WANI/F unit 112 receives a packet (S10).
  • the received packet is sent to the S/W transfer processing section 140.
  • the PRE ROUTING execution unit 141a of the S/W transfer processing unit 140 executes three predetermined filtering processes based on ip6tables, and provides the packet to the route resolution unit 142a (S11).
  • the route resolution unit 142a executes a routing table search based on the destination of the packet (S12). Then, the route solving unit 142a determines whether the result of the routing table search in step S12 is directed to the HGW 110, which is the own device (S13). If the destination of the packet is an external device other than the HGW 110 (No in S13), the process proceeds to step S14, and if the destination of the packet is the HGW 110 (Yes in S13), the process proceeds to step Proceed to S19.
  • step S14 the packet is given to the FORWARDING execution unit 141b, and two predetermined filtering processes are performed. The packet is then given to the POST ROUTING execution unit 141c.
  • the POST ROUTING execution unit 141c After executing two predetermined filtering processes, the POST ROUTING execution unit 141c performs an output I/F transmission process (S15). In the output I/F transmission process, the POST ROUTING execution unit 141c determines whether the destination of the packet is an Ether type I/F (S16). If the destination of the packet is an Ether type I/F (Yes in S16), the process proceeds to step S17, and if the destination of the packet is not an Ether type I/F (No in S16), the process proceeds to step S17. The process proceeds to step S18.
  • step S17 the destination MAC resolution unit 142b executes destination MAC resolution for the destination IP address.
  • the process then proceeds to step S18.
  • step S18 the packet is given to the LANI/F unit 111 or WANI/F unit 112 depending on the destination, and is transmitted from the LANI/F unit 111 or WANI/F unit 112.
  • the packet whose destination is determined to be the HGW 110 in step S13 is subjected to two filtering processes in the INPUT unit 126 (see FIG. 11) in step S19. Thereafter, it is given to the application of the HGW 110 (S20).
  • the route resolution unit 142a performs a routing table search for the packet (S22). Then, the OUTPUT unit 127 (see FIG. 11) performs two predetermined filtering processes on the packet (S23). Thereafter, the packet is sent to the POST ROUTING execution unit 141c, and the processes of steps S15 to S18 are performed in the same manner as described above.
  • the LAN side filtering settings shown in FIG. 3 are expanded to packet filter operations inside Linux, as shown in FIG.
  • a chain is a block that summarizes each evaluation rule.
  • an I/F corresponding to LAN (here, eth0) is specified as the input I/F
  • an I/F corresponding to PPPoE (here, ppp1000) is specified as the output I/F.
  • the rules 31 are configured so that transfer packets having the corresponding input/output I/F are passed.
  • filtering settings using the source MAC address shown in entry number 3 in FIG. " already exists, so it is configured as the rule 34 that specifies it as is.
  • the WAN-side filtering settings shown in FIG. 5 are expanded to packet filter operations inside Linux, as shown in FIG. 10.
  • the WAN side filtering setting is a filter corresponding to packets destined for LAN from ISP1's PPPoE
  • a corresponding chain 40, PPPoE1_WAN_TO_LAN is created.
  • an I/F corresponding to LAN (here, eth0) is specified as the output I/F
  • an I/F corresponding to PPPoE (here, ppp1000) is specified as the input I/F.
  • the rules 42 are configured so that transfer packets having the corresponding input/output I/F are passed.
  • evaluation rules 43 and 44 corresponding to entry numbers 1 and 2 of the WAN side filtering settings shown in FIG. 5 are written.
  • entry number 1 in which the destination MAC address is specified as the filtering condition becomes rule 43.
  • the filtering settings other than the destination MAC address are directly applied to the filtering condition settings of the rule 43.
  • the filtering settings for the destination MAC address are configured to shift to the chains 45 and 46 that evaluate the destination MAC resolution determination chain PPPoE1_WAN_TO_LAN_rule1.
  • Chains 45 and 46 show two extended operations configured in iptables to implement filtering by destination MAC address in destination MAC resolution determination chain PPPoE1_WAN_TO_LAN_rule1.
  • Chain 45 is an evaluation rule that creates a new target DSTMAC that starts the process of resolving the destination MAC address from the destination IP address, and allows a packet that attempts to perform destination MAC filtering to pass through the DSTMAC target.
  • Chain 46 creates a new option -routed-dst-mac for determining a match with the destination MAC address resolved from the destination IP address in the extended matching module mac for MAC address determination in iptables, and adds the destination MAC address filter there.
  • This is an evaluation rule that allows you to specify conditions.
  • the existing extended matching module mac and the option -mac-source that matches the source MAC address are described in the following document.
  • Literature iptables-extensions, "Searched on December 16, 2021”, URL: ⁇ https:linuxjm. osdn. jp/html/iptables/man8/iptables-extensions. 8. html>
  • FIG. 11 is a simplified diagram of the IP packet filtering process and destination MAC resolution process shown in FIG. 8.
  • FIG. 11 it is assumed that the operations in the DSTMAC processing unit 143a and the operations in the routed-dst-mac processing unit 143b are specified by rules under the FORWARD chain.
  • the DSTMAC processing unit 143a targets the destination I/F of the packet obtained by the route resolution 60 performed by the route resolution unit 142a.
  • a destination MAC address resolution request 50 is sent to the destination MAC resolution unit 142b from the destination IP address of the packet.
  • the DSTMAC processing unit 143a immediately sets the destination MAC address to the DSTMAC target. Return from the operation and evaluate the next rule.
  • the DSTMAC processing unit 143a queues the corresponding packet. ing, interrupts the rule evaluation, and waits until receiving the asynchronous destination MAC address resolution response 51 from the destination MAC resolution unit 142b.
  • the DSTMAC processing unit 143a returns from the DSTMAC target operation and evaluates the next rule.
  • the routed-dst-mac processing unit 143b instructs the destination MAC resolution unit 142b to perform the extended filtering operation by the route resolution unit 142a.
  • a destination MAC address search 52 is requested from the destination IP address of the packet.
  • the routed-dst-mac processing unit 143b further performs a process based on the destination MAC address filter condition passed as a parameter of the extended filtering operation. Make a comparison. If the comparison results in a match, the routed-dst-mac processing unit 143b determines that the extended filtering condition is satisfied.
  • the routed-dst-mac processing unit 143b determines that the extended filtering condition is not satisfied.
  • the filter with entry number 1 shown in FIG. It can be expanded and realized.
  • FIG. 12 is a flowchart showing DSTMAC target processing performed by the DSTMAC processing unit 143a.
  • internal processing of the DSTMAC target is requested from the iptables side at the timing of evaluating the rule describing the DSTMAC target for the received packet.
  • the DSTMAC processing unit 143a When DSTMAC target processing is requested (S70), the DSTMAC processing unit 143a first checks the type of the destination I/F of the packet and determines whether the type is Ether type (S71). If the type is not Ether type (No in S71), there is no need to resolve the destination MAC address, so the process immediately moves to step S79, this DST MAC target process ends, and moves to evaluation of the next rule. On the other hand, if the type is Ether type (Yes in S71), the process advances to step S72.
  • step S72 the DSTMAC processing unit 143a issues a destination MAC address resolution request to the destination MAC resolution unit 142b.
  • the destination I/F for packets is executed at the timing of route resolution 60 in FIG. 11, and operates only for packets to be transferred to another I/F. Therefore, the DSTMAC operation here can only be used in the chain after route resolution 60, for example, FORWARD or POSTROUTING.
  • the DSTMAC processing unit 143a determines whether a destination MAC resolved response has been returned from the destination MAC resolution unit 142b (S73). If a destination MAC resolved response is returned (Yes in S73), the destination MAC has been resolved, so the process immediately moves to step S79, this DST MAC target processing ends, and moves to evaluation of the next rule. . On the other hand, if a destination MAC resolving response is returned (No in S73), the process proceeds to step S74.
  • step S74 the DSTMAC processing unit 143a checks the number of packets being queued within the DSTMAC processing unit 143a, and determines whether the number of packets is equal to or greater than a threshold value. If the number of packets is equal to or greater than the threshold (Yes in S74), the process proceeds to step S75, and the DSTMAC processing unit 143a discards the packet as the destination MAC cannot be resolved. On the other hand, if the number of packets is less than the threshold (No in S74), the process advances to step S76.
  • step S76 the DSTMAC processing unit 143a queues the packet.
  • the DSTMAC processing unit 143a determines whether or not a destination MAC resolution result response has been received from the destination MAC resolution unit 142b (S77). If the destination MAC resolution result response is received (Yes in S77), the process proceeds to step S78.
  • step S78 the DSTMAC processing unit 143a takes out the packet from the queue. The process then proceeds to step S79.
  • step S79 the DSTMAC processing unit 143a ends the DSTMAC target processing and moves on to evaluation of the next rule.
  • the DSTMAC processing unit 143a checks whether the destination IP address of the packet exists in the destination MAC resolving IP list 85. If the destination IP address of the packet exists in the destination MAC resolution IP list 85, the DSTMAC processing unit 143a pairs the packet for which the DSTMAC processing request 80 was made with the target DSTMAC rule, and The packets are queued in the order of arrival.
  • the DST MAC processing unit 143a calls the destination MAC resolution unit 142b with a destination MAC address resolution request 82.
  • the destination MAC resolution unit 142b responds with a destination MAC address resolution response 83, which is a synchronization response, as resolved or under resolution. If the destination MAC address resolution response is resolved, the DSTMAC processing unit 143a responds to the ip6tables main unit 141 as DSTMAC end 84, and moves on to the next rule evaluation.
  • the DST MAC processing unit 143a creates a destination MAC resolution IP list 85 for each destination IP to avoid requesting destination MAC resolution twice.
  • the DSTMAC processing unit 143a pairs the packet for which the DSTMAC processing request 80 has been made and the target DSTMAC rule, creates a destination MAC resolving packet list 81 for each destination IP address, and creates a list 81 for each destination IP address. Queue packets in the order of arrival.
  • the DSTMAC processing unit 143a when the DSTMAC processing unit 143a receives the asynchronous destination MAC resolution result response 86 from the destination MAC resolution unit 142b, the DSTMAC processing unit 143a receives the destination MAC resolution result response 86 received from the destination MAC resolution packet list 81. For all packets in the pending packet list that correspond to the destination IP of , a DSTMAC processing end 84 is responded, and the process moves to the next rule evaluation.
  • FIG. 14 is a flowchart showing the processing performed by the routed-dst-mac processing unit 143b.
  • the routed-dst-mac processing unit 143b In accordance with the rule simply using the extended matching module for MAC address determination in FIG. This is a process of inquiring whether or not.
  • the routed-dst-mac processing unit 143b checks the type of destination I/F of the packet, and determines the destination I/F of the packet. It is determined whether the type is Ether type (S91). If the type is not Ether type (No in S91), the destination MAC cannot be resolved, so the process immediately moves to step S95, ends the destination MAC determination process as a mismatch, and moves on to evaluation of the next rule. .
  • the routed-dst-mac processing unit 143b requests the destination MAC resolution unit 142b to check the destination MAC (S92). This corresponds to the process indicated by reference numeral 52 in FIG.
  • the routed-dst-mac processing unit 143b determines whether the destination MAC address exists based on the response from the destination MAC resolution unit 142b (S93). If the destination MAC address does not exist (No in S93), the process immediately moves to step S95, ends this destination MAC determination process as a mismatch, and moves on to evaluation of the next rule.
  • step S94 the routed-dst-mac processing unit 143b determines whether the destination MAC address matches the MAC address of the determination condition. If they do not match (No in S94), the process moves to step S95, and if they match (Yes in S94), the process moves to step S96.
  • step S95 the routed-dst-mac processing unit 143b terminates the destination MAC determination process as a mismatch, and moves on to evaluation of the next rule.
  • step S96 the routed-dst-mac processing unit 143b determines that the destination MAC determination process is a match, ends the process, and moves on to evaluation of the next rule.
  • the filtering that includes the destination MAC address as a filtering condition which is indicated by entry number 1 in FIG.
  • the HGW 110 resolves the destination MAC address for the destination IP address at any timing during the packet filter evaluation after searching the routing table, and Since the configuration is configured to be able to evaluate the packet filter of The connection from the subscriber communication network 105 to the LAN 104 can also be specified using the destination MAC address. This makes it possible to specify packet filtering that is not affected by changes in the IP address assigned to the terminal 101 on the LAN 104 side.
  • the destination MAC filtering is applied to packets that require destination MAC filtering.
  • the configuration can be configured such that only the destination MAC address is requested to be resolved, and the rule 46 evaluates the condition of only the destination MAC address. With this configuration, destination MAC resolution processing is not performed for packets that do not require destination MAC filtering, thereby reducing the processing load.
  • the above explanation mainly took as an example an IPv6 address in which the address of the terminal 101 on the LAN 104 side changes depending on the prefix allocated from the ISP network, but in the first embodiment, the terminal 101 on the LAN 104 side changes the address of the terminal 101 on the LAN 104 side. It is also applicable in any case.
  • Embodiment 2 In the first embodiment, a new DSTARP target is created to request destination MAC address resolution and to hold packets while the destination MAC is being resolved.
  • the configuration method for performing such operations is as follows. It is not limited to this.
  • Embodiment 2 shows a configuration example in which an existing QUEUE target holds a packet while the destination MAC is being resolved, and a DSTARP application that has received a notification from the NFQUEUE target issues a request for destination MAC address resolution.
  • Literature iptables-extensions, "Searched on December 16, 2021”, URL: ⁇ https://linuxjm. osdn. jp/html/iptables/man8/iptables-extensions. 8. html>
  • a communication system 200 including an HGW 210 which is an in-home communication device according to the second embodiment, includes a plurality of terminals 101, a subscriber access server 102, a first ISP system 103A, It includes a second ISP system 103B and an HGW 210.
  • the terminal 101, the subscriber access server 102, the first ISP system 103A, and the second ISP system 103B of the communication system 200 in the second embodiment are the same as the terminal 101, the subscriber access server 102 of the communication system 100 in the first embodiment. , the first ISP system 103A and the second ISP system 103B.
  • the HGW 210 includes a LAN I/F section 111, a WANI/F section 112, and a network processing section 220.
  • the LAN I/F unit 111 and the WANI/F unit 112 of the HGW 210 according to the second embodiment are the same as the LAN I/F unit 111 and the WANI/F unit 112 of the HGW 110 according to the first embodiment.
  • the network processing unit 220 controls processing at the HGW 210.
  • the network processing unit 220 controls relay processing for outputting packets from the subscriber communication network 105 to the LAN 104 and outputting packets from the LAN 104 to the subscriber communication network 105.
  • the network processing unit 220 is compatible with IPv6.
  • the network processing unit 220 includes a PPPoEv6 client function unit 121, a DHCPv6 client function unit 122, a DHCPv6 server function unit 123, an IPv6 router advertisement server function unit 124, and an IPv6 packet filter function unit 225.
  • the PPPoEv6 client function unit 121, DHCPv6 client function unit 122, DHCPv6 server function unit 123, and IPv6 router advertisement server function unit 124 of the network processing unit 220 in the second embodiment are the PPPoEv6 client function of the network processing unit 120 in the first embodiment. section 121 , DHCPv6 client function section 122 , DHCPv6 server function section 123 , and IPv6 router advertisement server function section 124 .
  • the IPv6 packet filter function unit 225 filters packets received by the LAN I/F unit 111 from the LAN 104 side and packets received by the WANI/F unit 112 from the subscriber communication network 105 side.
  • FIG. 15 is a block diagram schematically showing the configuration of the IPv6 packet filter function section 225 in the second embodiment.
  • the IPv6 packet filter function section 225 includes a S/W transfer setting control section 130 and a S/W transfer processing section 240.
  • the S/W transfer setting control unit 130 of the IPv6 packet filter function unit 225 in the second embodiment is the same as the S/W transfer setting control unit 130 of the IPv6 packet filter function unit 125 in the first embodiment.
  • the S/W transfer processing unit 240 filters the LAN side packets received by the LAN I/F unit 111 or the WAN side packets received by the WANI/F unit 112, and transfers these packets. .
  • the S/W transfer processing unit 240 includes an ip6tables main unit 141, a S/W packet transfer processing unit 142, an ip6tables extension unit 243, and an NFQUEUE processing unit 244.
  • the ip6tables main unit 141 and the S/W packet transfer processing unit 142 of the S/W transfer processing unit 240 in the second embodiment are the same as the ip6tables main unit 141 and the S/W packet transfer processing unit 140 of the S/W transfer processing unit 140 in the first embodiment. It is similar to the transfer processing unit 142.
  • the ip6tables extension unit 243 executes filtering based on the destination MAC address using the destination MAC resolution determination chain PPOE1_WAN_TO_LAN_rule1, which is an extension of the processing in the ip6tables main unit 141, in response to instructions from the ip6tables main unit 141.
  • the ip6tables extension unit 243 includes a DSTMAC processing unit 243a and a routed-dst-mac processing unit 143b.
  • the routed-dst-mac processing unit 143b of the ip6tables extension unit 243 in the second embodiment is the same as the routed-dst-mac processing unit 143b of the ip6tables extension unit 143 in the first embodiment.
  • the DSTMAC processing unit 243a is activated to perform a process of resolving a destination MAC address from a destination IP address, and processes received packets according to evaluation rules configured so that packets for which destination MAC filtering is to be performed pass through the DSTMAC target. , is given to the routed-dst-mac processing unit 143b.
  • the DSTMAC processing unit 243a does not hold or retransmit received packets, but causes the NFQUEUE processing unit 244 to perform these processes.
  • the NFQUEUE processing unit 244 holds and retransmits received packets. For example, the NFQUEUE processing unit 244 temporarily stores the packet before address resolution is performed in a memory (not shown) that functions as a temporary storage unit. Note that this memory may be the memory 10 shown in FIG. 7(A), or may be provided separately from the memory 10.
  • the ip6tables extension unit 243 causes the destination MAC resolution unit 142b to resolve the address of the packet. After making a request and performing address resolution of the packet, MAC filtering is performed using the MAC address resolved by the address resolution.
  • the WAN-side filtering settings shown in FIG. 5 are expanded to the packet filter operation inside Linux, as shown in FIG. 16.
  • the expansion shown in FIG. 16 is almost the same as the expansion shown in FIG. 10, but rule 45 in the expansion shown in FIG. 10 is changed to rule 47.
  • rule 47 the operation for starting destination MAC resolution is expanded to NFQUEUE, which is an existing extension target of iptables, and furthermore, the parameter -queue-num is set to ifindex, which is the I/F number of the LAN side I/F. is specified.
  • FIG. 17 is a simplified diagram of the IP packet filtering process and the destination MAC resolution process.
  • the NFQUEUE processing unit 244 that executes the NFQUEUE target operates instead of the DSTMAC target in accordance with the specification of the rule 47 that requests destination MAC address resolution.
  • the NFQUEUE processing unit 244 holds the packet and transmits an NFQUEUE pending packet notification 53 to the DSTMAC processing unit 243a that executes the DSTMAC application in the user space.
  • the DSTMAC processing unit 243a analyzes the destination IP address of the notified pending packet, and if the destination MAC address for the destination IP address has not been resolved, transmits a destination MAC address resolution request 50 to the destination MAC resolution unit 142b.
  • the destination MAC resolution unit 142b sends a destination MAC address resolution response 51 to the DSTMAC processing unit 243a.
  • the DSTMAC processing unit 243a transmits to the NFQUEUE processing unit 244 an NFQUEUE pending packet response 54 in response to all NFQUEUE pending packet notifications 53 for the corresponding destination IP address.
  • the NFQUEUE processing unit 244 Upon receiving the NFQUEUE pending packet response 54, the NFQUEUE processing unit 244 discards the packet or restarts the next rule evaluation based on the notification from the DSTMAC processing unit 243a.
  • FIG. 18 is a flowchart showing the operation of the DSTMAC processing unit 243a in the second embodiment when packet retention during destination MAC resolution is implemented using NFQUEUE.
  • the DSTMAC processing unit 243a When the DSTMAC processing unit 243a is notified of the held packet from the NFQUEUE processing unit 244 (S100), the DSTMAC processing unit 243a first obtains the I/F number of the destination I/F from the held packet queue number (S101). ).
  • the DSTMAC processing unit 243a checks the type of the destination I/F, and determines whether the type of the destination I/F is Ether type (S102). If the type of destination I/F is not Ether type (No in S102), the process proceeds to step S103, and if the type of destination I/F is Ether type (Yes in S102), the process proceeds to step S103. Proceed to S104.
  • step S103 the DSTMAC processing unit 243a notifies the NFQUEUE processing unit 244 of the pending packet response so that it can proceed to the next rule since it is not necessary to resolve the destination MAC address. Then, the process moves to step S108, and the NGQUEUE pending packet process ends.
  • step S104 the DSTMAC processing unit 243a determines whether or not destination MAC address resolution for the destination IP address of the pending packet is activated. to judge. If destination MAC address resolution is not activated (No in S104), the process moves to step S105, and if destination MAC address resolution is activated (Yes in S104), the process moves to step S106. do.
  • step S105 the DSTMAC processing unit 243a transmits a destination MAC address resolution request to the destination MAC resolution unit 142b. The process then moves to step S106.
  • step S106 the DSTMAC processing unit 243a determines whether or not a destination MAC address resolution response has been received from the destination MAC resolution unit 142c. If the destination MAC address resolution response is received (Yes in S106), the process moves to step S107.
  • step S107 the DSTMAC processing unit 243a sends the NFQUEUE processing unit 244 a pending packet response to proceed to the next rule for all pending packet notifications having the destination IP address corresponding to the received destination MAC address resolution response. Notice. Then, the process moves to step S108, and the NFQUEUE pending packet process ends.
  • the existing NFQUEUE target is used instead of the DSTMAC target introduced in the first embodiment, and the destination MAC I'm trying to get the solution to work. Therefore, the DSTMAC processing unit 243a does not need to include its own packet retention or retransmission logic, which simplifies the process.
  • the DSTMAC processing unit 243a is a process that operates in user space, it has the effect of being easier to create than a DSTMAC target created in kernel space.
  • Embodiment 3 In the first or second embodiment, a method of controlling the HGW 110 or 210 that is equipped with a packet filter that allows specifying the MAC address of a LAN side terminal is shown, but in the third embodiment, a high-speed control method using H/W (HardWare) is described. Enables IP packet transfer.
  • H/W HardWare
  • a communication system 300 including an HGW 310 which is an in-home communication device according to the third embodiment, includes a plurality of terminals 101, a subscriber access server 102, a first ISP system 103A, It includes a second ISP system 103B and an HGW 310.
  • the terminal 101, the subscriber access server 102, the first ISP system 103A, and the second ISP system 103B of the communication system 300 in the third embodiment are the same as the terminal 101, the subscriber access server 102 of the communication system 100 in the first embodiment. , the first ISP system 103A and the second ISP system 103B.
  • the HGW 310 includes a LAN I/F section 111, a WANI/F section 112, and a network processing section 320.
  • the LAN I/F unit 111 and the WANI/F unit 112 of the HGW 310 according to the third embodiment are similar to the LAN I/F unit 111 and the WANI/F unit 112 of the HGW 110 according to the first embodiment.
  • the network processing unit 320 controls processing at the HGW 310.
  • the network processing unit 320 controls relay processing for outputting packets from the subscriber communication network 105 to the LAN 104 and outputting packets from the LAN 104 to the subscriber communication network 105.
  • the network processing unit 320 is compatible with IPv6.
  • the network processing unit 320 includes a PPPoEv6 client function unit 121, a DHCPv6 client function unit 122, a DHCPv6 server function unit 123, an IPv6 router advertisement server function unit 124, and an IPv6 packet filter function unit 325.
  • the PPPoEv6 client function unit 121, DHCPv6 client function unit 122, DHCPv6 server function unit 123, and IPv6 router advertisement server function unit 124 of the network processing unit 320 in the third embodiment are the PPPoEv6 client function of the network processing unit 120 in the first embodiment. section 121 , DHCPv6 client function section 122 , DHCPv6 server function section 123 , and IPv6 router advertisement server function section 124 .
  • the IPv6 packet filter function unit 325 filters packets received by the LAN I/F unit 111 from the LAN 104 side and packets received by the WANI/F unit 112 from the subscriber communication network 105 side.
  • FIG. 19 is a block diagram schematically showing the configuration of the IPv6 packet filter function section 325 in the third embodiment.
  • the IPv6 packet filter function unit 325 includes a S/W transfer setting control unit 130, a S/W transfer processing unit 340 executed by S/W, and a H/W transfer processing unit 350 executed by H/W. Be prepared.
  • the S/W transfer processing section 340 includes an S/W packet transfer processing section 342 that performs filter processing using a combination of IP addresses and MAC addresses as described in Embodiment 1 or 2, and an IP flow management section 345.
  • the S/W packet transfer processing section 342 includes a destination MAC resolution section 342b.
  • the H/W transfer processing unit 350 includes a packet header extraction unit 351, an IP flow matching determination unit 352, a packet header editing unit 353, an H/WIP flow management unit 354, and a H/W destination MAC management unit 355. Be prepared.
  • the packet header extraction unit 351 examines the IP header of the IP packet received by the LAN I/F unit 111 or WANI/F unit 112, which is the reception I/F, and extracts the ⁇ source IP address, destination IP address, etc. , protocol, source port number, destination port number ⁇ .
  • Information obtained by combining the five values in ⁇ is basic configuration information for identifying which connection a packet belongs to, and is called session information or IP flow information.
  • This session information or IP flow information is information used to perform consistent processing on IP packets belonging to the same session. For example, when converting a source address or source port number in NAT (Network Address Translation) processing or NAPT (Network Address Port Translation) processing, all IP packets belonging to the same session have the same source address or Must be translated with the original port number.
  • NAT Network Address Translation
  • NAPT Network Address Port Translation
  • the source address or source port number for NAPT conversion is determined in the first packet, and all subsequent packets with the same session information or IP flow information have the same source address or source port number as the first packet. Converted to a port number.
  • this session information or IP flow information corresponds to management information called conntrack information in the network stack in Linux, for example, and is managed by the IP flow management unit 345.
  • the IP flow management unit 345 stores session information or IP flow information in a memory (not shown) that functions as a storage unit. Note that this memory may be the memory 10 shown in FIG. 7(A), or may be provided separately from the memory 10.
  • the IP flow matching determination unit 352 determines whether the flow information extracted by the packet header extraction unit 351 matches an entry registered in the H/WIP flow management unit 354 in the H/W transfer processing unit 350. to decide.
  • the IP flow matching determination unit 352 determines that there is no flow information for H/W transfer processing and transfers the packet to the S/WIP flow management unit 354. It is sent to the transfer processing unit 340.
  • the S/W transfer processing unit 340 Upon receiving the packet, the S/W transfer processing unit 340 performs destination route resolution and filtering processing in the S/W packet transfer processing unit 342.
  • the processing in the S/W packet transfer processing unit 362 is as described using FIG. 11. In other words, the processing in the S/W packet transfer processing unit 362 is a combination of packet filtering and destination route resolution, as described in the first embodiment.
  • the S/W packet transfer processing unit 342 can perform filtering based on the MAC address of the LAN side terminal shown in Embodiment 1.
  • the S/W packet transfer processing unit 342 determines that the first packet is to be discarded in the filtering process, the IP flow information of the packet is not registered in the IP flow management unit 345 in the S/W transfer processing unit 340. , the entry is not registered in the H/WIP flow management unit 354 either. Therefore, subsequent packets are similarly sent to the S/W transfer processing unit 340, where they are similarly determined to be discarded, and subsequent packets belonging to that IP flow are not transferred.
  • the S/W packet transfer processing unit 342 determines that the first packet is to be passed in the filtering process
  • the IP flow information of that packet is registered in the IP flow management unit 345 in the S/W transfer processing unit 340. Ru.
  • the IP flow management unit 345 causes the H/WIP flow management unit 354 to also register the IP flow information.
  • the destination MAC resolution unit 342b of the S/W packet transfer processing unit 342 performs destination MAC resolution processing on the first packet, and returns the packet to the H/W transfer processing unit 350.
  • the H/W transfer processing unit 350 receives the packet from the LAN I/F unit 111 or WANI/F unit 112, which is the transmission I/F on the opposite side.
  • the destination MAC resolution unit 342b of the S/W packet transfer processing unit 342 always synchronizes the MAC address resolved for the IP address with the H/W destination MAC management unit 355 of the H/W transfer processing unit 350. Please register as follows.
  • the packet header extraction unit 351 examines the header of the subsequent packet in the same way as the first packet, and extracts the ⁇ source IP address, destination IP address, protocol, transmission Source port number, destination port number ⁇ .
  • the IP flow matching determination unit 352 determines whether the extracted flow information matches the registered entry in the H/WIP flow management unit 354 in the H/W transfer processing unit 350.
  • the IP flow matching determination unit 352 determines that the flow information matches.
  • the packets determined to match the flow information here exclude some packets that require processing by the S/W transfer processing unit 340 or some exceptional packets that cannot be processed by the H/W transfer processing unit 350. , and is sent to the subsequent packet header editing section 353.
  • some packets that require processing by the S/W transfer processing unit 340 are, for example, control packets with a TCP (Transmission Control Protocol) SYN flag, FIN flag, or RST flag.
  • TCP Transmission Control Protocol
  • the packet header editing unit 353 performs necessary packet header editing processing based on the IP flow editing information held by the H/WIP flow management unit 354 and the MAC address held by the H/W destination MAC management unit 355. .
  • the packet header editing unit 353 updates the packet address or port number for NAT processing, updates the source MAC based on the transmission I/F, or updates the destination MAC address for the next hop after routing.
  • Subsequent packets that have undergone the packet header editing process are finally processed only by the H/W transfer processing unit 350 from the LAN I/F unit 111 or WANI/F unit 112, which is the transmission I/F on the opposite side. , are transmitted without going through the S/W transfer processing section 340.
  • the H/W transfer processing unit 350 described above can be realized, for example, by the processing circuit 12 shown in FIG. 7(B).
  • the first packet is judged using the MAC address of the LAN side terminal, and when the first packet is judged to be passed, the subsequent packet is judged using the IP flow information.
  • Transfer processing is performed using H/W. Therefore, even with a general H/W transfer processing unit (Network Processor) that does not have a filtering function using MAC addresses, it is possible to perform filtering operations using the MAC address of the LAN side terminal and high-speed IP packets using H/W. A transfer operation can be realized.
  • Network Processor Network Processor
  • the HGW 310 further includes a H/W transfer processing unit 350 that functions as a hardware transfer unit that routes packets using hardware, and the ip6tables extension unit 143
  • the H/W transfer processing unit 350 is configured to perform MAC filtering on a subsequent packet that is a subsequent packet in the same session as the first packet. It is possible to perform routing and not perform MAC filtering on subsequent packets.
  • Embodiment 3 is based on the configuration of Embodiment 1, the configuration of Embodiment 3 may be configured based on the configuration of Embodiment 2.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Abstract

ＨＧＷ（１１０）は、パケットを受信するＷＡＮＩ／Ｆ部（１１２）と、そのパケットのアドレス解決を行い、そのパケットのルーティングを行うとともに、ＩＰパケットフィルタのルールに従って、ルーティング後のパケットの宛先ＭＡＣアドレスのフィルタリングであるＭＡＣフィルタリングを実行するＩＰｖ６パケットフィルタ機能部（１２５）とを備える。

Description

宅内通信装置及びフィルタリング方法
　本開示は、宅内通信装置及びフィルタリング方法に関する。
　ＩＰｖ４（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ　ｖｅｒｓｉｏｎ　４）におけるＩＰアドレスの枯渇の問題から、近年では、ＩＰｖ６が使用されてきている。
　ＩＰｖ６においては、従来のＩＰｖ４において宅内通信装置においてパケットフィルタリング処理として一般的に行われていた、宅内通信装置が収容する端末のＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）アドレスを指定することによるフィルタリング判定を実施することは困難である。
　その主な理由としては、以下の、（ａ）及び（ｂ）の理由がある。
　（ａ）ＬＡＮ（Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）側の端末に割り当てるＩＰｖ６アドレスは、通信網事業者から配布されたグローバルＩＰｖ６（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ　ｖｅｒｓｉｏｎ　６）アドレスプレフィックスの一部をＩＰｖ６　Ｐｒｅｆｉｘ　Ｄｅｌｅｇａｔｉｏｎ動作で再配布するアドレスとなる。このため、ＬＡＮ側の端末のＩＰｖ６アドレスのＰｒｅｆｉｘ部は、通信網事業者が配布するアドレスに依存するようになっており、ＩＰｖ６アドレスのＰｒｅｆｉｘ部を、事前に自由に決めることができない。また、Ｐｒｅｆｉｘ部のサブネット長も通信事業者から指定されるため、ＬＡＮ側の端末のＳｕｆｆｉｘ部のサブネット長もそのＰｒｅｆｉｘ部のサブネット長に依存する。
　（ｂ）ＩＰｖ６では、ＬＡＮ側の端末が複数のネットワークに所属し、各ネットワークから配布される複数のＰｒｅｆｉｘで端末アドレスを生成するＭｕｌｔｉＨｏｍｉｎｇのようなアドレス設定動作も普通に行われている。
　上記のような状況を考えると、通信網事業者から配布され、ＩＰｖ６　Ｐｒｅｆｉｘ　Ｄｅｌｅｇａｔｉｏｎ動作でＬＡＮ側の端末に再配布されるアドレスを確認した後でないと、ＩＰｖ６アドレス指定によるパケットフィルタリングを実現することができない。また、ＩＰｖ６のＭｕｌｔｉＨｏｍｉｎｇ動作等で、パケットフィルタの構成後に新規のＩＰｖ６ネットワークにその端末が接続し、新規のＰｒｅｆｉｘが配布された場合、パケットフィルタは、その新しいアドレスに追従しない。
　この点に関して、フィルタリングでは、必ずしもＩＰアドレスの指定が必要ではなく、宅内通信装置が知りうるＬＡＮ側端末のＭＡＣ（Ｍｅｄｉａ　Ａｃｃｅｓｓ　Ｃｏｎｔｒｏｌ）アドレスで対象となる端末を指定する方法も考えられる。ＭＡＣアドレスで端末を指定する場合、上記のような、ＩＰｖ６アドレスを事前に指定するのが難しいことに起因する問題は解消される。
　ここで、例えば、宅内通信装置がＯＳ（Ｏｐｅｒａｔｉｎｇ　Ｓｙｓｔｅｍ）としてｌｉｎｕｘを用いる場合、パケットフィルタとしてはｌｉｎｕｘが持つｉｐｔａｂｌｅｓというフィルタ機構が用いられる。ｌｉｎｕｘのｉｐｔａｂｌｅｓには送信元ＭＡＣアドレスによるフィルタリングの指定が用意されている。
　このため、ＬＡＮからＷＡＮ（Ｗｉｄｅ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）への方向パケット送信時はこの機能を用いて、送信元ＭＡＣアドレスを指定することで、ＬＡＮ側の端末から受信されたパケットのフィルタリングを実現することができる。
　この点に関して、特許文献１には、ＭＡＣアドレスとｉｐｔａｂｌｅｓによるフィルタリングを用いた構成例として、ロードバランサを構成する方法が開示されている。
特開２０１９－１７６３２３号公報
　しかしながら、ＷＡＮ側からＬＡＮ側への方向のパケットの受信時に宛先とするＬＡＮ側端末をＭＡＣアドレスでフィルタリングするのは簡単ではない。その理由は、ＭＡＣアドレスを用いたフィルタリングを行うために、宅内通信装置は、以下の手順１～手順３の段階を踏む必要があるからである。
　手順１：宅内通信装置は、ＷＡＮ側からＬＡＮ側への方向のパケットをルーティングして宛先ＩＰアドレスに対する宛先Ｉ／Ｆ（ＩｎｔｅｒＦａｃｅ）を決定する。
　手順２：宅内通信装置は、決定された宛先Ｉ／Ｆで、宛先ＩＰアドレスに対応する宛先ＭＡＣアドレスを割り出す。ここで、必要な場合には、宅内通信装置は、ＩＰｖ４　ＡＲＰ（Ａｄｄｒｅｓｓ　Ｒｅｓｏｌｕｔｉｏｎ　Ｐｒｏｔｏｃｏｌ）解決又はＩＰｖ６　Ｎｅｉｇｈｂｏｒ解決を行い、その間パケットを保留する必要がある。
　手順３：宅内通信装置は、その宛先ＭＡＣアドレスでフィルタリングを行う。
　しかしながら、現在のｉｐｔａｂｌｅｓは、以上のようなフィルタリング機構を備えていない。その主な理由は、以下の（ｃ）～（ｅ）であると考えられる。
　（ｃ）宛先ＭＡＣアドレスは、宛先Ｉ／ＦがＥｔｈｅｒｎｅｔＩ／ＦのようなＬａｙｅｒ２アドレスで通信するＩ／Ｆでのみ必要であり、ＰＰＰ　Ｉ／Ｆ（Ｐｏｉｎｔ－ｔｏ－Ｐｏｉｎｔ　Ｐｒｏｔｏｃｏｌ　Ｉ／Ｆ）のようにＬａｙｅｒ２のアドレスを必要としないＩ／Ｆを宛先とする場合は必要ではない。
　（ｄ）宛先Ｉ／ＦがＬａｙｅｒ２アドレスを必要とする場合の処理を、ＩＰパケットフィルタ等のＬａｙｅｒ３の処理で行うのは適切ではない。
　（ｅ）このためＬａｙｅｒ３処理では、宛先Ｉ／ＦのＬａｙｅｒ２種別に依らない共通的な処理のみが実行され、最後に宛先Ｉ／Ｆから送信する段階で、Ｌａｙｅｒ２送信に必要な宛先ＭＡＣアドレス解決が行われる構成とし、通信Ｌａｙｅｒの階層構成を維持し、拡張性のある柔軟なＩＰスタック構造が必要となる。
　一方で、上記の手順１～手順３の処理順序があるため、先に実行するＬａｙｅｒ３のＩＰパケットフィルタの段階では、後で実行する宛先ＭＡＣアドレスは未解決な状態であり、このためＬＡＮ側端末の宛先ＭＡＣアドレスの指定が実現できない。
　以上のように、宅内通信装置には、ＬＡＮ側ＩＰｖ６端末をＭＡＣアドレスで指定することにより、通信網から配布されるＩＰｖ６Ｐｒｅｆｉｘに依存しないＬＡＮ側端末指定が可能になるという利点が存在するにもかかわらず、ＷＡＮ側からＬＡＮ側への方向のパケット受信時に、ＬＡＮ側の端末を宛先ＭＡＣアドレスで指定するフィルタリングの実現に課題があるため、通信網から配布されるＩＰｖ６Ｐｒｅｆｉｘに依存しないＬＡＮ側端末のフィルタリングが実現できていない。
　そこで、本開示の一又は複数の態様は、通信網から配布されるＩＰｖ６プレフィックスに依存することなく、ＬＡＮ側の端末の通信にフィルタリングを実現することができるようにすることを目的とする。
　本開示の一態様に係る宅内通信装置は、パケットを受信する受信インタフェースと、前記パケットのアドレス解決を行い、前記パケットのルーティングを行う転送部と、ＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）パケットフィルタのルールに従って、前記ルーティング後の前記パケットの宛先ＭＡＣ（Ｍｅｄｉａ　Ａｃｃｅｓｓ　Ｃｏｎｔｒｏｌ）アドレスのフィルタリングであるＭＡＣフィルタリングを実行する拡張機能部と、を備えることを特徴とする。
　本開示の一態様に係るフィルタリング方法は、パケットを受信し、パケットのルーティングを行い、ＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）パケットフィルタのルールに従って、前記ルーティング後に前記パケットのアドレス解決を行い、前記アドレス解決により解決された、前記パケットの宛先ＭＡＣ（Ｍｅｄｉａ　Ａｃｃｅｓｓ　Ｃｏｎｔｒｏｌ）アドレスのフィルタリングであるＭＡＣフィルタリングを実行することを特徴とする。
　本開示の一又は複数の態様によれば、通信網から配布されるＩＰｖ６プレフィックスに依存することなく、ＬＡＮ側の端末の通信にフィルタリングを実現することができる。
実施の形態１～３に係る宅内通信装置であるＨＧＷを含む通信システムの構成を概略的に示すブロック図である。 実施の形態１におけるＩＰｖ６パケットフィルタ機能部の構成を概略的に示すブロック図である。 ＬＡＮ側フィルタリング設定用画面画像の一例を示す概略図である。 ＬＡＮ側フィルタの一つのエントリを入力するエントリ入力画面画像の一例を示す概略図である。 ＷＡＮ側フィルタリング設定用画面画像の一例を示す概略図である。 ＷＡＮ側フィルタの一つのエントリを入力するエントリ入力画面画像の一例を示す概略図である。 （Ａ）及び（Ｂ）は、ハードウェア構成例を示すブロック図である。 ｌｉｎｕｘ内部のパケットフィルタ動作を模式的に示すフローチャートである。 ｌｉｎｕｘ内部のパケットフィルタ動作への第１の展開例を示す概略図である。 ｌｉｎｕｘ内部のパケットフィルタ動作への第２の展開例を示す概略図である。 実施の形態１におけるＩＰパケットフィルタ処理と、宛先ＭＡＣ解決処理とを簡略化して示したブロック図である。 ＤＳＴＭＡＣターゲット処理を示すフローチャートである。 ＤＳＴＭＡＣターゲットのキューイング処理の実装例を概略的に示すブロック図である。 ｒｏｕｔｅｄ－ｄｓｔ－ｍａｃ処理部が行う処理を示すフローチャートである。 実施の形態２におけるＩＰｖ６パケットフィルタ機能部の構成を概略的に示すブロック図である。 ｌｉｎｕｘ内部のパケットフィルタ動作への第３の展開例を示す概略図である。 実施の形態２におけるＩＰパケットフィルタ処理と、宛先ＭＡＣ解決処理とを簡略化して示したブロック図である。 実施の形態２において、宛先ＭＡＣ解決中のパケット保持をＮＦＱＵＥＵＥで実現した場合の、ＤＳＴＭＡＣ処理部の動作を示すフローチャートである。 実施の形態３におけるＩＰｖ６パケットフィルタ機能部の構成を概略的に示すブロック図である。
実施の形態１．
　図１は、実施の形態１に係る宅内通信装置であるＨＧＷ（Ｈｏｍｅ　ＧａｔｅＷａｙ）１１０を含む通信システム１００の構成を概略的に示すブロック図である。
　通信システム１００は、複数の端末１０１Ａ、１０１Ｂ、１０１Ｃ、・・・と、加入者アクセスサーバ１０２と、第１のＩＳＰ（Ｉｎｔｅｒｎｅｔ　Ｓｅｒｖｉｃｅ　Ｐｒｏｖｉｄｅｒ）システム１０３Ａと、第２のＩＳＰシステム１０３Ｂと、ＨＧＷ１１０とを備える。
　ここで、複数の端末１０１Ａ、１０１Ｂ、１０１Ｃ、・・・の各々を特に区別する必要がない場合には、複数の端末１０１Ａ、１０１Ｂ、１０１Ｃ、・・・の各々を、端末１０１という。
　端末１０１と、ＨＧＷ１１０とは、ＬＡＮ１０４に接続されており、ＨＧＷ１１０と、加入者アクセスサーバ１０２とは、インターネットなどの加入者通信網１０５に接続されている。
　端末１０１は、ＨＧＷ１１０を介して、加入者通信網１０５にアクセスする。
　加入者アクセスサーバ１０２は、加入者通信網１０５にアクセスするために、端末１０１がアクセスするサーバである。
　第１のＩＳＰシステム１０３Ａは、第１のインターネットサービスを提供する事業者のシステム、第２のＩＳＰシステム１０３Ｂは、第２のインターネットサービスを提供する事業者のシステムである。ここで、第１のインターネットサービスと、第２のインターネットサービスとは異なるものとする。
　ＨＧＷ１１０は、ＬＡＮＩ／Ｆ部１１１と、ＷＡＮＩ／Ｆ部１１２と、ネットワーク処理部１２０とを備える。
　ＬＡＮＩ／Ｆ部１１１は、ＬＡＮ１０４を介して通信を行うためのＬＡＮ側の通信インタフェースである。
　ＷＡＮＩ／Ｆ部１１２は、ＷＡＮとしての加入者通信網１０５を介して通信を行うためのＷＡＮ側の通信インタフェースである。
　ここで、ＬＡＮＩ／Ｆ部１１１又はＷＡＮＩ／Ｆ部１１２は、パケットを受信する受信Ｉ／Ｆとして機能し、ＬＡＮＩ／Ｆ部１１１又はＷＡＮＩ／Ｆ部１１２は、パケットを送信する送信Ｉ／Ｆとしても機能する。
　ネットワーク処理部１２０は、ＨＧＷ１１０での処理を制御する。例えば、ネットワーク処理部１２０は、加入者通信網１０５からのパケットを、ＬＡＮ１０４に出力し、ＬＡＮ１０４からのパケットを、加入者通信網１０５に出力する中継処理を制御する。ここで、ネットワーク処理部１２０は、ＩＰｖ６に対応しているものとする。
　ネットワーク処理部１２０は、ＰＰＰｏＥｖ６クライアント機能部１２１と、ＤＨＣＰｖ６クライアント機能部１２２と、ＤＨＣＰｖ６サーバ機能部１２３と、ＩＰｖ６ルータ広告サーバ機能部１２４と、ＩＰｖ６パケットフィルタ機能部１２５とを備える。
　ＰＰＰｏＥｖ６クライアント機能部１２１は、ＷＡＮＩ／Ｆ部１１２を介して、ＩＰｖ６のインターネット接続サービスであるＰＰＰｏＥ（Ｐｏｉｎｔ－ｔｏ－Ｐｏｉｎｔ　Ｐｒｏｔｏｃｏｌ　ｏｖｅｒ　Ｅｔｈｅｒｎｅｔ）を使用して、加入者通信網１０５を介した通信を実行する。
　ＤＨＣＰｖ６クライアント機能部１２２は、ＷＡＮＩ／Ｆ部１１２を介して、第１のＩＳＰシステム１０３Ａ又は第２のＩＳＰシステム１０３Ｂに含まれているＤＨＣＰ（Ｄｙｎａｍｉｃ　Ｈｏｓｔ　Ｃｏｎｆｉｇｕｒａｔｉｏｎ　Ｐｒｏｔｏｃｏｌ）サーバ（図示せず）からＩＰｖ６のＩＰアドレスを取得する。
　ＤＨＣＰｖ６サーバ機能部１２３は、端末１０１にＩＰアドレスを配布するＩＰアドレス配布部として機能する。
　例えば、ＤＨＣＰｖ６サーバ機能部１２３は、ＬＡＮＩ／Ｆ部１１１を介して、端末１０１に、ＩＰｖ６のＩＰアドレス情報を配布する。具体的には、ＤＨＣＰｖ６サーバ機能部１２３は、加入者通信網１０５に接続されている第１のＩＳＰシステム１０３Ａ又は第２のＩＳＰシステム１０３Ｂから取得するＩＰｖ６プレフィックスに応じたＩＰｖ６アドレス帯に含まれるＩＰアドレスを端末１０１に配布する。
　ＩＰｖ６ルータ広告サーバ機能部１２４は、ＬＡＮＩ／Ｆ部１１１を介して、ＩＰｖ６のＩＰアドレスの自動設定を行う。
　例えば、ＩＰｖ６ルータ広告サーバ機能部１２４は、加入者通信網１０５に接続されている第１のＩＳＰシステム１０３Ａ又は第２のＩＳＰシステム１０３Ｂから取得するＩＰｖ６プレフィックスに応じたＩＰｖ６アドレス帯を端末１０１に広告することで、端末１０１にＩＰアドレスを生成させるＩＰアドレス広告部として機能する。
　ＩＰｖ６パケットフィルタ機能部１２５は、ＬＡＮＩ／Ｆ部１１１が受信したＬＡＮ１０４側からのパケット及びＷＡＮＩ／Ｆ部１１２が受信した加入者通信網１０５側からのパケットのフィルタリングを制御し、実行する。
　図２は、ＩＰｖ６パケットフィルタ機能部１２５の構成を概略的に示すブロック図である。
　図示するように、ＩＰｖ６パケットフィルタ機能部１２５は、Ｓ／Ｗ（ＳｏｆｔＷａｒｅ）転送設定制御部１３０と、Ｓ／Ｗ転送処理部１４０とを備える。
　Ｓ／Ｗ転送設定制御部１３０は、ＬＡＮＩ／Ｆ部１１１を介して何れかの端末１０１からＧＵＩ設定を行う、又は他のコンピュータ等の情報処理装置からコンフィグ設定を読み込む（図示せず）、等の方法により、又は、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ　Ｓｅｒｉａｌ　Ｂｕｓ）等の接続部（図示せず）を介して、他のコンピュータ等の情報処理装置から、ＬＡＮ１０４側からのパケットのフィルタリングの設定であるＬＡＮ側フィルタリング設定、又は、ＷＡＮである加入者通信網１０５側からのパケットのフィルタリングの設定であるＷＡＮ側フィルタリング設定の入力を受け付けて、そのＬＡＮ側フィルタリング設定又はＷＡＮ側フィルタリング設定に従って、Ｓ／Ｗ転送処理部１４０にフィルタリングを実行させる。
　Ｓ／Ｗ転送設定制御部１３０は、ｉｐｖ６パケットフィルタＧＵＩ（Ｇｒａｐｈｉｃａｌ　Ｕｓｅｒ　Ｉｎｔｅｒｆａｃｅ）処理部１３１と、ｉｐｖ６ｔａｂｌｅｓ用ルール展開ＡＰ（ＡＰｐｒｉｃａｔｉｏｎ）実行部１３２とを備える。
　ｉｐｖ６パケットフィルタＧＵＩ処理部１３１は、上述した端末１０１又は情報処理装置（図示せず）にＬＡＮ側フィルタリング設定用、又は、ＷＡＮ側フィルタリング設定用のＧＵＩの画面画像を表示させて、その画面画像を介して、オペレータからＬＡＮ側フィルタリング設定、又は、ＷＡＮ側フィルタリング設定の入力を受け付ける。
　図３は、ＬＡＮ側フィルタリング設定用画面画像の一例を示す概略図である。
　図３に示されているように、ＬＡＮ側フィルタリング設定用画面画像１１３は、パケットフィルタ対象Ｉ／Ｆ選択領域１１３ａと、パケットフィルタ方向選択領域１１３ｂと、パケットフィルタのエントリ一覧表示領域１１３ｃとを備える。
　パケットフィルタ対象Ｉ／Ｆ選択領域１１３ａ及びパケットフィルタ方向選択領域１１３ｂに示されているように、図２に示されているＬＡＮ側フィルタリング設定用画面画像１１３は、「ＰＰＰｏＥ１」とやり取りするＬＡＮ１０４からＷＡＮである加入者通信網１０５への方向に開始するコネクションの設定画面画像となっている。
　エントリ一覧表示領域１１３ｃは、ＬＡＮ１０４から加入者通信網１０５への方向に転送するパケットのフィルタを設定する領域である。エントリ一覧表示領域１１３ｃは、後述するように、オペレータによって入力されたフィルタの設定を表示する領域となっている。エントリ一覧表示領域１１３ｃの一つの行に対応する一つのエントリが、一つのフィルタを示している。
　例えば、エントリ一覧表示領域１１３ｃは、エントリ番号列１１３ｃ＃１と、送信元アドレス表示列１１３ｃ＃２と、宛先アドレス表示列１１３ｃ＃３、プロトコル種別表示列１１３ｃ＃４と、送信元ポート番号表示列１１３ｃ＃５と、宛先ポート番号表示列１１３ｃ＃６と、エントリ動作表示列１１３ｃ＃７とを備える。
　エントリ番号列１１３ｃ＃１は、エントリを識別するための識別情報としてのエントリ番号を表示する。
　送信元アドレス表示列１１３ｃ＃２は、ＬＡＮ１０４側のフィルタとして、送信元のアドレスが指定された場合に、指定されたアドレスを表示する。
　宛先アドレス表示列１１３ｃ＃３は、ＬＡＮ１０４側のフィルタとして、宛先のアドレスが指定された場合に、指定されたアドレスを表示する。
　プロトコル種別表示列１１３ｃ＃４は、ＬＡＮ１０４側のフィルタとして、プロトコルが指定された場合に、指定されたプロトコルを表示する。
　送信元ポート番号表示列１１３ｃ＃５は、ＬＡＮ１０４側のフィルタとして、送信元のポートが指定された場合に、指定されたポートを表示する。
　宛先ポート番号表示列１１３ｃ＃６は、ＬＡＮ１０４側のフィルタとして、宛先のポートが指定された場合に、指定されたポートを表示する。
　エントリ動作表示列１１３ｃ＃７は、ＬＡＮ１０４側のフィルタとしての動作を表示する。
　図４は、ＬＡＮ側フィルタの一つのエントリを入力するエントリ入力画面画像の一例を示す概略図である。
　図４に示されているエントリ入力画面画像１１４は、図３のエントリ番号「３」のエントリを入力した際の画面画像となっている。
　エントリ入力画面画像１１４は、タイトル欄１１４ａと、送信元アドレス指定欄１１４ｂと、宛先アドレス指定欄１１４ｃと、プロトコル指定欄１１４ｄと、送信元ポート番号指定欄１１４ｅと、宛先ポート番号指定欄１１４ｆと、動作指定欄１１４ｇとを備える。
　なお、開始値入力列１１４ｈ及び終了値入力列１１４ｉは、送信元アドレス指定欄１１４ｂ、宛先アドレス指定欄１１４ｃ、送信元ポート番号指定欄１１４ｅ又は宛先ポート番号指定欄１１４ｆで、範囲指定を行う場合に入力を行う欄となっている。
　ここで、送信元アドレス指定欄１１４ｂは、「ＩＰアドレス範囲」、「ＩＰサブネット」及び「ＭＡＣアドレス」から、送信元のアドレスでフィルタリングを行う対象を指定することができるようにされており、ここでは、送信元ＭＡＣアドレスが指定されている。
　また、宛先アドレス指定欄１１４ｃも、「ＩＰアドレス範囲」、「ＩＰサブネット」及び「ＭＡＣアドレス」から、宛先のアドレスでフィルタリングを行う対象を指定することができるようにされており、ここでは、ＩＰサブネットが指定されている。
　パケットフィルタではプロトコル、送信元ポート番号又は宛先ポート番号等も指定可能であるが、これらは本実施の形態にかかる項目ではなく一般的に指定される項目なので説明は割愛する。
　最後に動作指定欄１１４ｇで「通過」及び「遮断」の何れか一方が択一的に選択できるようになっており、ここでは「通過」が選択されている。
　図４に示されているような入力を行うことで、図３のエントリ番号「３」のフィルタが設定される。
　図５は、ＷＡＮ側フィルタリング設定用画面画像の一例を示す概略図である。
　図５に示されているように、ＷＡＮ側フィルタリング設定用画面画像１１５は、パケットフィルタ対象Ｉ／Ｆ選択領域１１５ａと、パケットフィルタ方向選択領域１１５ｂと、パケットフィルタのエントリ一覧表示領域１１５ｃとを備える。
　パケットフィルタ対象Ｉ／Ｆ選択領域１１５ａ及びパケットフィルタ方向選択領域１１５ｂに示されているように、図５に示されているＷＡＮ側フィルタリング設定用画面画像１１５は、「ＰＰＰｏＥ１」とやり取りする、ＷＡＮである加入者通信網１０５からＬＡＮ１０４への方向に開始するコネクションの設定画面画像となっている。
　エントリ一覧表示領域１１５ｃは、加入者通信網１０５からＬＡＮ１０４への方向に転送するパケットのフィルタを設定する領域である。エントリ一覧表示領域１１５ｃは、後述するように、オペレータによって入力されたフィルタの設定を表示する領域となっている。エントリ一覧表示領域１１５ｃの一つの行に対応する一つのエントリが、一つのフィルタを示している。
　例えば、エントリ一覧表示領域１１５ｃは、エントリ番号列１１５ｃ＃１と、送信元アドレス表示列１１５ｃ＃２と、宛先アドレス表示列１１５ｃ＃３、プロトコル種別表示列１１５ｃ＃４と、送信元ポート番号表示列１１５ｃ＃５と、宛先ポート番号表示列１１５ｃ＃６と、エントリ動作表示列１１５ｃ＃７とを備える。
　エントリ番号列１１５ｃ＃１は、エントリを識別するための識別情報としてのエントリ番号を表示する。
　送信元アドレス表示列１１５ｃ＃２は、加入者通信網１０５側のフィルタとして、送信元のアドレスが指定された場合に、指定されたアドレスを表示する。
　宛先アドレス表示列１１５ｃ＃３は、加入者通信網１０５側のフィルタとして、宛先のアドレスが指定された場合に、指定されたアドレスを表示する。
　プロトコル種別表示列１１５ｃ＃４は、加入者通信網１０５側のフィルタとして、プロトコルが指定された場合に、指定されたプロトコルを表示する。
　送信元ポート番号表示列１１５ｃ＃５は、加入者通信網１０５側のフィルタとして、送信元のポートが指定された場合に、指定されたポートを表示する。
　宛先ポート番号表示列１１５ｃ＃６は、加入者通信網１０５側のフィルタとして、宛先のポートが指定された場合に、指定されたポートを表示する。
　エントリ動作表示列１１５ｃ＃７は、加入者通信網１０５側のフィルタとしての動作を表示する。
　図６は、ＷＡＮ側フィルタの一つのエントリを入力するエントリ入力画面画像の一例を示す概略図である。
　図６に示されているエントリ入力画面画像１１６は、図５のエントリ番号「１」のエントリを入力した際の画面画像となっている。
　エントリ入力画面画像１１６は、タイトル欄１１６ａと、送信元アドレス指定欄１１６ｂと、宛先アドレス指定欄１１６ｃと、プロトコル指定欄１１６ｄと、送信元ポート番号指定欄１１６ｅと、宛先ポート番号指定欄１１６ｆと、動作指定欄１１６ｇとを備える。
　なお、開始値入力列１１６ｈ及び終了値入力列１１６ｉは、送信元アドレス指定欄１１６ｂ、宛先アドレス指定欄１１６ｃ、送信元ポート番号指定欄１１６ｅ又は宛先ポート番号指定欄１１６ｆで、範囲指定を行う場合に入力を行う欄となっている。
　ここで、送信元アドレス指定欄１１６ｂは、「ＩＰアドレス範囲」、「ＩＰサブネット」及び「ＭＡＣアドレス」から、送信元のアドレスでフィルタリングを行う対象を指定することができるようにされており、ここでは、ＩＰサブネットが指定されている。
　また、宛先アドレス指定欄１１６ｃも、「ＩＰアドレス範囲」、「ＩＰサブネット」及び「ＭＡＣアドレス」から、宛先のアドレスでフィルタリングを行う対象を指定することができるようにされており、ここでは、ＭＡＣアドレスが指定されている。
　パケットフィルタではプロトコル、送信元ポート番号又は宛先ポート番号等も指定可能であるが、これらは本実施の形態にかかる項目ではなく一般的に指定される項目なので説明は割愛する。
　最後に動作指定欄１１６ｇで「通過」及び「遮断」の何れか一方が択一的に選択できるようになっており、ここでは「通過」が選択されている。
　図６に示されているような入力を行うことで、図５のエントリ番号「１」のフィルタが設定される。
　図２に戻り、ｉｐｖ６ｔａｂｌｅｓ用ルール展開ＡＰ実行部１３２は、ｉｐｖ６パケットフィルタＧＵＩ処理部１３１が受け取ったＬＡＮ側フィルタリング設定又はＷＡＮ側フィルタリング設定をＳ／Ｗ転送処理部１４０の後述するｉｐ６ｔａｂｌｅｓ本体部１４１に設定し、そのフィルタリング設定に従って、フィルタリングを実行させる。
　Ｓ／Ｗ転送処理部１４０は、ＬＡＮＩ／Ｆ部１１１が受信したＬＡＮ側のパケット、又は、ＷＡＮＩ／Ｆ部１１２が受信したＷＡＮ側のパケットを、フィルタリングを実行し、それらのパケットの転送を行う。
　Ｓ／Ｗ転送処理部１４０は、ｉｐ６ｔａｂｌｅｓ本体部１４１と、Ｓ／Ｗパケット転送処理部１４２と、ｉｐ６ｔａｂｌｅｓ拡張部１４３とを備える。
　ｉｐ６ｔａｂｌｅｓ本体部１４１は、ｌｉｎｕｘカーネルのＩＰｖ６パケットフィルタルールのテーブルを設定、管理及び検査するとともに、そのテーブルを用いたフィルタリングを実行する。
　ｉｐ６ｔａｂｌｅｓ本体部１４１は、ＰＲＥ　ＲＯＵＴＩＮＧ実行部１４１ａと、ＦＯＲＷＡＲＤＩＮＧ実行部１４１ｂと、ＰＯＳＴ　ＲＯＵＴＩＮＧ実行部１４１ｃとを備える。これらの機能部の処理は、ｌｉｎｕｘ内部で通常行われるパケットフィルタの処理であり、下記の文献等に詳細に記載されているため、ここでの説明は省略する。
　文献：Ｉｐｔａｂｌｅｓ　Ｔｕｔｏｒｉａｌ　１．２．２、「２０２１年１２月１６日検索」、ＵＲＬ：＜ｈｔｔｐｓ：／／ｗｗｗ．ｆｒｏｚｅｎｔｕｘ．ｎｅｔ／ｉｐｔａｂｌｅｓ－ｔｕｔｏｒｉａｌ／ｉｐｔａｂｌｅｓ－ｔｕｔｏｒｉａｌ．ｈｔｍｌ＞
　なお、図３に示されているＬＡＮ側フィルタリング設定用画面画像１１３において、送信元アドレス表示列１１３ｃ＃２若しくは宛先アドレス表示列１１３ｃ＃３にＩＰアドレスが指定されている場合、又は、図５に示されているＷＡＮ側フィルタリング設定用画面画像１１５において、送信元アドレス表示列１１５ｃ＃２若しくは宛先アドレス表示列１１５ｃ＃３にＩＰアドレスが指定されている場合は、ｉｐ６ｔａｂｌｅｓ本体部１４１は、ＩＰアドレスを用いたフィルタリングであるＩＰフィルタリングを実行するフィルタリング実行部として機能する。
　Ｓ／Ｗパケット転送処理部１４２は、ＬＡＮＩ／Ｆ部１１１が受信したＬＡＮ側のパケット、又は、ＷＡＮＩ／Ｆ部１１２が受信したＷＡＮ側のパケットの転送を実行する。
　Ｓ／Ｗパケット転送処理部１４２は、経路解決部１４２ａと、宛先ＭＡＣ解決部１４２ｂとを備える。これらの機能部での処理も、ｌｉｎｕｘ内部で通常行われるパケットの転送処理であるため、詳細な説明を省略する。
　以上の、ｉｐ６ｔａｂｌｅｓ本体部１４１及びＳ／Ｗパケット転送処理部１４２により、パケットのアドレス解決を行い、そのパケットのルーティングを行う転送部が構成される。
　ｉｐ６ｔａｂｌｅｓ拡張部１４３は、ＩＰパケットフィルタのルールに従って、ｉｐ６ｔａｂｌｅｓ本体部１４１及びＳ／Ｗパケット転送処理部１４２によるルーティング後のパケットの宛先ＭＡＣアドレスのフィルタリングであるＭＡＣフィルタリングを実行する拡張機能部として機能する。
　ここでのルールは、ルーティング後にパケットのアドレス解決を実行して、そのアドレス解決により解決された宛先ＭＡＣアドレスによりＭＡＣフィルタリングを実行するものである。このため、ｉｐ６ｔａｂｌｅｓ拡張部１４３は、そのルールに従い、宛先ＭＡＣ解決部１４２ｂにアドレス解決を実行させて、解決されたＭＡＣアドレスによりＭＡＣフィルタリングを実行する。
　特に、実施の形態１では、受信Ｉ／ＦとしてのＷＡＮＩ／Ｆ部１１２が、加入者通信網１０５からパケットを受信し、ｉｐ６ｔａｂｌｅｓ本体部１４１及びＳ／Ｗパケット転送処理部１４２は、そのパケットのＬＡＮ１０４へのルーティングを行い、ｉｐ６ｔａｂｌｅｓ拡張部１４３は、ＬＡＮ１０４に接続されている端末１０１のＩＰアドレスを用いずに、その端末１０１のＭＡＣアドレスを指定する宛先ＭＡＣアドレスに対して、ＭＡＣフィルタリングを実行することができる。
　例えば、ｉｐ６ｔａｂｌｅｓ拡張部１４３は、ｉｐ６ｔａｂｌｅｓ本体部１４１からの指示に応じて、ｉｐ６ｔａｂｌｅｓ本体部１４１での処理を拡張した、宛先ＭＡＣ解決判定用チェーンＰＰＯＥ１＿ＷＡＮ＿ＴＯ＿ＬＡＮ＿ｒｕｌｅ１で宛先ＭＡＣアドレスによるフィルタリングを実行する。
　ｉｐ６ｔａｂｌｅｓ拡張部１４３は、ＤＳＴＭＡＣ処理部１４３ａと、ｒｏｕｔｅｄ－ｄｓｔ－ｍａｃ処理部１４３ｂとを備える。
　ＤＳＴＭＡＣ処理部１４３ａは、宛先ＩＰアドレスから宛先ＭＡＣアドレスを解決する処理を行うために起動され、宛先ＭＡＣフィルタリングを実行しようとするパケットがＤＳＴＭＡＣターゲットを通るように構成された評価ルールに従って受け取ったパケットを、ｒｏｕｔｅｄ－ｄｓｔ－ｍａｃ処理部１４３ｂに与える。
　ｒｏｕｔｅｄ－ｄｓｔ－ｍａｃ処理部１４３ｂは、ＤＳＴＭＡＣ処理部１４３ａからのパケットの宛先ＭＡＣアドレスと、宛先ＩＰアドレスから解決された宛先ＭＡＣアドレスとの一致判定を行う。
　なお、ｉｐｔａｂｌｅｓには、他にも下記に記載の文献に示すような既存の拡張動作が存在している。
　文献：Ｎｅｔｆｉｌｔｅｒ　Ｅｘｔｅｎｓｉｏｎｓ　ＨＯＷＴＯ、「２０２１年１２月１６日検索」、ＵＲＬ：＜ｈｔｔｐｓ：／／ｗｗｗ．ｎｅｔｆｉｌｔｅｒ．ｏｒｇ／ｄｏｃｕｍｅｎｔａｔｉｏｎ／ＨＯＷＴＯ／ｎｅｔｆｉｌｔｅｒ－ｅｘｔｅｎｓｉｏｎｓ－ＨＯＷＴＯ．ｈｔｍｌ＞
　以上に記載されたネットワーク処理部１２０の一部又は全部は、例えば、図７（Ａ）に示されているように、メモリ１０と、メモリ１０に格納されているプログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）等のプロセッサ１１とにより構成することができる。このようなプログラムは、ネットワークを通じて提供されてもよく、また、記録媒体に記録されて提供されてもよい。即ち、このようなプログラムは、例えば、プログラムプロダクトとして提供されてもよい。
　また、ネットワーク処理部１２０の一部又は全部は、例えば、図７（Ｂ）に示されているように、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ　Ｓｐｅｃｉｆｉｃ　Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）又はＦＰＧＡ（Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）等の処理回路１２で構成することもできる。
　以上のように、ネットワーク処理部１２０は、処理回路網で構成することができる。
　なお、ＬＡＮＩ／Ｆ部１１１は、ＬＡＮ１０４に接続することのできるＮＩＣ（Ｎｅｔｗｏｒｋ　Ｉｎｔｅｒｆａｃｅ　Ｃａｒｄ）等の通信インタフェースにより実現することができる。
　また、ＷＡＮＩ／Ｆ部１１２は、加入者通信網１０５に接続することのできるＮＩＣ等の通信インタフェースにより実現することができる。
　次に、図３及び図５に示されているＧＵＩ設定を宅内通信制御装置のＯＳとしてよく採用されるｌｉｎｕｘ内部のパケットフィルタの処理で実現する方法を示す。
　図８は、ｌｉｎｕｘ内部のパケットフィルタ動作を模式的に示すフローチャートである。
　まず、ＬＡＮＩ／Ｆ部１１１又はＷＡＮＩ／Ｆ部１１２がパケットを受信する（Ｓ１０）。受信されたパケットは、Ｓ／Ｗ転送処理部１４０に送られる。
　Ｓ／Ｗ転送処理部１４０のＰＲＥ　ＲＯＵＴＩＮＧ実行部１４１ａは、ｉｐ６ｔａｂｌｅｓに基づいて、予め定められた三つのフィルタリング処理を実行し、そのパケットを経路解決部１４２ａに与える（Ｓ１１）。
　次に、経路解決部１４２ａは、パケットの宛先に基づいて、ルーティング表検索を実行する（Ｓ１２）。
　そして、経路解決部１４２ａは、ステップＳ１２におけるルーティング表検索の結果が、自装置であるＨＧＷ１１０宛であるか否かを判断する（Ｓ１３）。パケットの宛先が、ＨＧＷ１１０ではない、外部の装置である場合（Ｓ１３でＮｏ）には、処理はステップＳ１４に進み、パケットの宛先が、ＨＧＷ１１０である場合（Ｓ１３でＹｅｓ）には、処理はステップＳ１９に進む。
　ステップＳ１４では、パケットは、ＦＯＲＷＡＲＤＩＮＧ実行部１４１ｂに与えられ、予め定められた二つのフィルタリング処理が行われる。そして、パケットは、ＰＯＳＴ　ＲＯＵＴＩＮＧ実行部１４１ｃに与えられる。
　ＰＯＳＴ　ＲＯＵＴＩＮＧ実行部１４１ｃは、予め定められた二つのフィルタリング処理を実行後、出力Ｉ／Ｆ送信処理を行う（Ｓ１５）。
　ＰＯＳＴ　ＲＯＵＴＩＮＧ実行部１４１ｃは、出力Ｉ／Ｆ送信処理において、パケットの送信先がＥｔｈｅｒ型Ｉ／Ｆであるか否かを判断する（Ｓ１６）。パケットの送信先がＥｔｈｅｒ型Ｉ／Ｆである場合（Ｓ１６でＹｅｓ）には、処理はステップＳ１７に進み、パケットの送信先がＥｔｈｅｒ型Ｉ／Ｆではない場合（Ｓ１６でＮｏ）には、処理はステップＳ１８に進む。
　ステップＳ１７では、宛先ＭＡＣ解決部１４２ｂは、宛先ＩＰアドレスに対する宛先ＭＡＣ解決を実行する。そして、処理はステップＳ１８に進む。
　ステップＳ１８では、パケットは、宛先に応じて、ＬＡＮＩ／Ｆ部１１１又はＷＡＮＩ／Ｆ部１１２に与えられ、ＬＡＮＩ／Ｆ部１１１又はＷＡＮＩ／Ｆ部１１２から送信される。
　一方、ステップＳ１３において、宛先がＨＧＷ１１０であると判断されたパケットは、ステップＳ１９において、ＩＮＰＵＴ部１２６（図１１参照）で二つのフィルタリング処理が実行される。
　その後、ＨＧＷ１１０のアプリケーションに与えられる（Ｓ２０）。
　また、ＨＧＷ１１０のアプリケーションがパケットを送信する場合（Ｓ２１）、経路解決部１４２ａは、そのパケットに対してルーティング表検索を行う（Ｓ２２）。
　そして、そのパケットは、ＯＵＴＰＵＴ部１２７（図１１参照）が、予め定められた二つのフィルタリング処理を実行する（Ｓ２３）。その後、そのパケットは、ＰＯＳＴ　ＲＯＵＴＩＮＧ実行部１４１ｃに送られ、ステップＳ１５～Ｓ１８の処理が、上記と同様に行われる。
　次に、図３に示されているＬＡＮ側フィルタリング設定の展開について説明する。
　図３に示されているＬＡＮ側フィルタリング設定は、図９に示されているように、ｌｉｎｕｘ内部のパケットフィルタ動作に展開される。
　まず、ＬＡＮ側フィルタリング設定は、ＬＡＮからＩＳＰ１のＰＰＰｏＥ向けのパケットに対応するフィルタなので、これに相当するチェーン３０であるＰＰＰｏＥ１＿ＬＡＮ＿ＴＯ＿ＷＡＮが作成される。ここで、チェーンとは各評価ルールをまとめたブロックのことである。
　次に、このチェーンＰＰＰｏＥ１＿ＬＡＮ＿ＴＯ＿ＷＡＮでは、入力Ｉ／ＦとしてＬＡＮに相当するＩ／Ｆ（ここでは、ｅｔｈ０）が指定され、出力Ｉ／ＦがＰＰＰｏＥに相当するＩ／Ｆ（ここでは、ｐｐｐ１０００）が指定されて、該当する入出力Ｉ／Ｆを持つ転送パケットが通るようにルール３１が構成される。
　次に、このチェーンＰＰＰｏＥ１＿ＬＡＮ＿ＴＯ＿ＷＡＮの中に、図３に示されているＬＡＮ側フィルタリング設定のエントリ番号１～３に相当する評価ルールが、ルール３２～３３のように記載される。
　ここで、図３のエントリ番号３に示されている送信元ＭＡＣアドレスを用いたフィルタリング設定は、既存のｉｐｔａｂｌｅｓの判定条件の中に、送信元ＭＡＣアドレス指定である「－ｍ　ｍａｃ　－ｓｒｃ－ｍａｃ」が既に存在するので、それをそのまま指定したルール３４として構成される。
　次に、図５に示されているＷＡＮ側フィルタリング設定は、図１０に示されているように、ｌｉｎｕｘ内部のパケットフィルタ動作に展開される。
　まず、ＷＡＮ側フィルタリング設定は、ＩＳＰ１のＰＰＰｏＥからＬＡＮ向けのパケットに対応するフィルタなので、これに相当するチェーン４０であるＰＰＰｏＥ１＿ＷＡＮ＿ＴＯ＿ＬＡＮが作成される。
　また、実施の形態１では、ＧＵＩフィルタリングで宛先ＭＡＣフィルタを指定する設定がある場合、これに相当するチェーン４１であるＰＰＰｏＥ１＿ＷＡＮ＿ＴＯ＿ＬＡＮ＿ｒｕｌｅ１が作成される。
　つぎにこのチェーンＰＰＰｏＥ１＿ＷＡＮ＿ＴＯ＿ＬＡＮでは、出力Ｉ／ＦとしてＬＡＮに相当するＩ／Ｆ（ここでは、ｅｔｈ０）が指定され、入力Ｉ／ＦがＰＰＰｏＥに相当するＩ／Ｆ（ここでは、ｐｐｐ１０００）が指定されて、該当する入出力Ｉ／Ｆを持つ転送パケットが通るようにルール４２が構成される。
　つぎにこのチェーンＰＰＰｏＥ１＿ＷＡＮ＿ＴＯ＿ＬＡＮの中に、図５に示されているＷＡＮ側フィルタリング設定のエントリ番号１及び２に対応した評価ルール４３、４４が記載される。ここでフィルタリング条件に宛先ＭＡＣアドレスを指定したエントリ番号１は、ルール４３のようになる。
　ルール４３では、宛先ＭＡＣアドレス以外のフィルタリング設定はそのままルール４３のフィルタリング条件の設定に展開される。
　一方、宛先ＭＡＣアドレスのフィルタリング設定は、宛先ＭＡＣ解決判定用チェーンＰＰＰｏＥ１＿ＷＡＮ＿ＴＯ＿ＬＡＮ＿ｒｕｌｅ１を評価するチェーン４５、４６に移行するように構成される。
　チェーン４５、４６は、宛先ＭＡＣ解決判定用チェーンＰＰＰｏＥ１＿ＷＡＮ＿ＴＯ＿ＬＡＮ＿ｒｕｌｅ１で宛先ＭＡＣアドレスによるフィルタリングを実現するために、ｉｐｔａｂｌｅｓに構成された二つの拡張動作を示している。
　チェーン４５は、宛先ＩＰアドレスから宛先ＭＡＣアドレスを解決する処理を起動する新ターゲットＤＳＴＭＡＣを作成し、宛先ＭＡＣフィルタリングを実行しようとするパケットがＤＳＴＭＡＣターゲットを通るようにする評価ルールである。
　チェーン４６は、ｉｐｔａｂｌｅｓのＭＡＣアドレス判定用の拡張一致モジュールｍａｃに、宛先ＩＰアドレスから解決した宛先ＭＡＣアドレスとの一致判定を行う新オプション－ｒｏｕｔｅｄ－ｄｓｔ－ｍａｃを作成し、そこに宛先ＭＡＣアドレスフィルタ条件を指定可能となるようにする評価ルールである。
　ここで、既存の拡張一致モジュールｍａｃと、送信元ＭＡＣアドレスにマッチするオプション－ｍａｃ－ｓｏｕｒｃｅは、下記の文献に記載されている。
　文献：ｉｐｔａｂｌｅｓ－ｅｘｔｅｎｓｉｏｎｓ、「２０２１年１２月１６日検索」、ＵＲＬ：＜ｈｔｔｐｓ：ｌｉｎｕｘｊｍ．ｏｓｄｎ．ｊｐ／ｈｔｍｌ／ｉｐｔａｂｌｅｓ／ｍａｎ８／ｉｐｔａｂｌｅｓ－ｅｘｔｅｎｓｉｏｎｓ．８．ｈｔｍｌ＞
　次に、実施の形態１における拡張動作であるＤＳＴＭＡＣ処理部１４３ａでの動作と、宛先ＭＡＣアドレスとの一致判定を行うＭＡＣアドレス判定用の拡張一致モジュールの新オプションであるｒｏｕｔｅｄ－ｄｓｔ－ｍａｃ処理部１４３ｂでの動作を、図１１を用いて説明する。
　図１１は、図８に示したＩＰパケットフィルタ処理と、宛先ＭＡＣ解決処理とを簡略化して示したものである。
　図１１において、ＤＳＴＭＡＣ処理部１４３ａでの動作及びｒｏｕｔｅｄ－ｄｓｔ－ｍａｃ処理部１４３ｂでの動作は、ＦＯＲＷＡＲＤチェーン配下のルールで指定されたものとする。
　ここで、ルールのターゲット動作として、ＤＳＴＭＡＣ処理部１４３ａによるＤＳＴＭＡＣターゲット動作が指定されると、ＤＳＴＭＡＣ処理部１４３ａは、経路解決部１４２ａが行う経路解決６０で得られたパケットの宛先Ｉ／Ｆを対象として、パケットの宛先ＩＰアドレスから宛先ＭＡＣ解決部１４２ｂに、宛先ＭＡＣアドレス解決要求５０を行う。
　宛先ＭＡＣ解決部１４２ｂが宛先ＩＰアドレスに対する宛先ＭＡＣアドレスを既に保持しており、宛先ＭＡＣ解決部１４２ｂから宛先ＭＡＣアドレス解決済応答を同期的に返された場合、ＤＳＴＭＡＣ処理部１４３ａは、直ちにＤＳＴＭＡＣターゲット動作からリターンし、次のルールの評価を行う。
　一方、宛先ＭＡＣ解決部１４２ｂが宛先ＩＰアドレスに対する宛先ＭＡＣアドレスを保持しておらず、宛先ＭＡＣ解決部１４２ｂから宛先ＭＡＣアドレス解決中応答を返された場合、ＤＳＴＭＡＣ処理部１４３ａは、該当パケットをキューイングし、ルール評価を中断し、宛先ＭＡＣ解決部１４２ｂから非同期の宛先ＭＡＣアドレス解決応答５１を受信するまで待機する。
　その後、宛先ＭＡＣ解決部１４２ｂから非同期の宛先ＭＡＣアドレス解決応答５１を受信すると、ＤＳＴＭＡＣ処理部１４３ａは、ＤＳＴＭＡＣターゲット動作からリターンして次のルールの評価を行う。
　次に、ｒｏｕｔｅｄ－ｄｓｔ－ｍａｃ処理部１４３ｂが行う、宛先ＭＡＣアドレスによる拡張フィルタリング動作が指定されると、ｒｏｕｔｅｄ－ｄｓｔ－ｍａｃ処理部１４３ｂは、宛先ＭＡＣ解決部１４２ｂに、経路解決部１４２ａが行う経路解決６１で得られたパケットの宛先Ｉ／Ｆを対象として、パケットの宛先ＩＰアドレスから宛先ＭＡＣアドレス検索５２を要求する。
　ｒｏｕｔｅｄ－ｄｓｔ－ｍａｃ処理部１４３ｂは、宛先ＭＡＣ解決部１４２ｂが宛先ＭＡＣアドレスを保持していてその宛先ＭＡＣアドレスを応答した場合、さらに拡張フィルタリング動作のパラメタとして渡された宛先ＭＡＣアドレスフィルタ条件との比較を行う。
　比較の結果、両者が一致した場合、ｒｏｕｔｅｄ－ｄｓｔ－ｍａｃ処理部１４３ｂは、その拡張フィルタリング条件を満たしたと判定する。
　一方、宛先ＭＡＣ解決部１４２ｂが宛先ＭＡＣアドレスを保持しておらず宛先ＭＡＣアドレス不明を応答した場合、又は、応答された宛先ＭＡＣアドレスと、拡張フィルタリング動作のパラメタとして渡された宛先ＭＡＣアドレスフィルタ条件とが一致しない場合、ｒｏｕｔｅｄ－ｄｓｔ－ｍａｃ処理部１４３ｂは、その拡張フィルタリング条件を満たさなかったと判定する。
　このような拡張動作を行うＤＳＴＭＡＣ処理部１４３ａ及びｒｏｕｔｅｄ－ｄｓｔ－ｍａｃ処理部１４３ｂを備えると、図５に示されているエントリ番号１のフィルタは、図１０のｉｐｔａｂｌｅｓルール４３、４５、４６のように展開して実現することができる。
　次に、実施の形態１におけるＤＳＴＭＡＣターゲット処理の内容を説明する。
　図１２は、ＤＳＴＭＡＣ処理部１４３ａが行うＤＳＴＭＡＣターゲット処理を示すフローチャートである。
　図１２において、受信されたパケットに対してＤＳＴＭＡＣターゲットを記述したルールを評価するタイミングで、ｉｐｔａｂｌｅｓ側からＤＳＴＭＡＣターゲットの内部処理が要求される。
　ＤＳＴＭＡＣ処理部１４３ａは、ＤＳＴＭＡＣターゲット処理が要求されると（Ｓ７０）、まず、パケットの宛先Ｉ／Ｆの種別を調べ、その種別がＥｔｈｅｒ型であるか否かを判断する（Ｓ７１）。その種別がＥｔｈｅｒ型でなければ（Ｓ７１でＮｏ）、宛先ＭＡＣアドレス解決不要なので、処理は直ちにステップＳ７９へ移行し、このＤＳＴＭＡＣターゲット処理は終了し、次のルールの評価へ移行する。一方、その種別がＥｔｈｅｒ型であれば（Ｓ７１でＹｅｓ）、処理はステップＳ７２に進む。
　ステップＳ７２では、ＤＳＴＭＡＣ処理部１４３ａは、宛先ＭＡＣ解決部１４２ｂに宛先ＭＡＣアドレス解決要求を行う。ここでパケットに対する宛先Ｉ／Ｆは、図１１の経路解決６０のタイミングで実行され、かつ、他のＩ／Ｆへ転送するパケットに対してのみ動作する。このため、ここでのＤＳＴＭＡＣ動作は、経路解決６０以降のチェーン、例えば、ＦＯＲＷＡＲＤ又はＰＯＳＴＲＯＵＴＩＮＧでしか、使用することはできない。
　次に、ＤＳＴＭＡＣ処理部１４３ａは、宛先ＭＡＣ解決部１４２ｂから宛先ＭＡＣ解決済応答が返された否かを判断する（Ｓ７３）。宛先ＭＡＣ解決済応答が返された場合（Ｓ７３でＹｅｓ）には、宛先ＭＡＣ解決済みなので、処理は、直ちにステップＳ７９へ移行し、このＤＳＴＭＡＣターゲット処理は終了し、次のルールの評価へ移行する。
　一方、宛先ＭＡＣ解決中応答が返された場合（Ｓ７３でＮｏ）には、処理はステップＳ７４に進む。
　ステップＳ７４では、ＤＳＴＭＡＣ処理部１４３ａは、ＤＳＴＭＡＣ処理部１４３ａ内でキューイング中のパケット数を調べ、そのパケット数が閾値以上であるか否かを判断する。そのパケット数が閾値以上である場合（Ｓ７４でＹｅｓ）には、処理はステップＳ７５に進み、宛先ＭＡＣ解決不可として、ＤＳＴＭＡＣ処理部１４３ａは、そのパケットを破棄する。一方、そのパケット数が閾値未満である場合（Ｓ７４でＮｏ）には、処理はステップＳ７６に進む。
　ステップＳ７６では、ＤＳＴＭＡＣ処理部１４３ａは、そのパケットをキューイングする。
　その後、ＤＳＴＭＡＣ処理部１４３ａは、宛先ＭＡＣ解決部１４２ｂから宛先ＭＡＣ解決結果応答を受信したか否かを判断する（Ｓ７７）。宛先ＭＡＣ解決結果応答を受信した場合（Ｓ７７でＹｅｓ）には、処理はステップＳ７８に進む。
　ステップＳ７８では、ＤＳＴＭＡＣ処理部１４３ａは、そのパケットをキューから取り出す。そして、処理はステップＳ７９に進む。
　ステップＳ７９では、ＤＳＴＭＡＣ処理部１４３ａは、ＤＳＴＭＡＣターゲット処理を終了し、次のルールの評価へ移行する。
　次に、図１２で説明したＤＳＴＭＡＣターゲットのキューイング処理の実装例を、図１３を用いて説明する。
　まず、ｉｐ６ｔａｂｌｅｓ本体部１４１がＤＳＴＭＡＣ処理部１４３ａへＤＳＴＭＡＣ処理要求８０を送信すると、ＤＳＴＭＡＣ処理部１４３ａは、パケットの宛先ＩＰアドレスが宛先ＭＡＣ解決中ＩＰリスト８５に存在するか否かを確認する。
　パケットの宛先ＩＰアドレスが宛先ＭＡＣ解決中ＩＰリスト８５に存在すれば、ＤＳＴＭＡＣ処理部１４３ａは、ＤＳＴＭＡＣ処理要求８０が行われたパケットと、対象となったＤＳＴＭＡＣルールとをペアにして、宛先ＩＰ毎にパケット到着順にキューイングする。
　パケットの宛先ＩＰアドレスが宛先ＭＡＣ解決中ＩＰリスト８５に存在しなければ、ＤＳＴＭＡＣ処理部１４３ａは、宛先ＭＡＣアドレス解決要求８２により宛先ＭＡＣ解決部１４２ｂを呼び出す。
　宛先ＭＡＣ解決部１４２ｂは、同期応答である宛先ＭＡＣアドレス解決応答８３を、解決済み又は解決中で応答する。
　宛先ＭＡＣアドレス解決応答が解決済みである場合、ＤＳＴＭＡＣ処理部１４３ａは、ｉｐ６ｔａｂｌｅｓ本体部１４１へＤＳＴＭＡＣ終了８４として応答し、次のルール評価に移行する。
　宛先ＭＡＣアドレス解決応答８３が解決中の場合、ＤＳＴＭＡＣ処理部１４３ａは、宛先ＩＰ毎に宛先ＭＡＣ解決中ＩＰリスト８５を作り、二重に宛先ＭＡＣ解決を要求しないようにする。
　そして、ＤＳＴＭＡＣ処理部１４３ａは、ＤＳＴＭＡＣ処理要求８０が行われたパケットと、対象となったＤＳＴＭＡＣルールとをペアにして、宛先ＩＰアドレス毎の宛先ＭＡＣ解決中パケットリスト８１を作り、宛先ＩＰ毎にパケット到着順にキューイングする。
　この場合、ＤＳＴＭＡＣ処理部１４３ａが宛先ＭＡＣ解決部１４２ｂから、非同期の宛先ＭＡＣ解決結果応答８６を受信すると、ＤＳＴＭＡＣ処理部１４３ａは、宛先ＭＡＣ解決中パケットリスト８１から受信したその宛先ＭＡＣ解決結果応答８６の宛先ＩＰに該当する保留中パケットリストの全パケットに対し、ＤＳＴＭＡＣ処理終了８４として応答し、次のルール評価に移行する。
　なおパケットフィルタ中で単に処理中のパケットをキューイングした後で再開する処理は、すでにＱＵＥＵＥターゲットに実装があるので、それを参考にすれば上記の処理を実現可能である。
　次に、実施の形態１における、ＭＡＣアドレス判定用の拡張一致モジュールであるｒｏｕｔｅｄ－ｄｓｔ－ｍａｃ処理部１４３ｂが行う処理内容を説明する。
　図１４は、ｒｏｕｔｅｄ－ｄｓｔ－ｍａｃ処理部１４３ｂが行う処理を示すフローチャートである。
　ここでは、図１１で単にＭＡＣアドレス判定用の拡張一致モジュールを使用したルールに従って、ｒｏｕｔｅｄ－ｄｓｔ－ｍａｃ処理部１４３ｂが宛先ＭＡＣ解決部１４２ｂに、パケットの宛先ＩＰアドレスに対する宛先ＭＡＣアドレスが存在するか否かを問い合わせる処理である。
　まず、拡張ＭＡＣモジュールの宛先ＭＡＣ判定処理がｒｏｕｔｅｄ－ｄｓｔ－ｍａｃ処理部１４３ｂに要求される（Ｓ９０）と、ｒｏｕｔｅｄ－ｄｓｔ－ｍａｃ処理部１４３ｂは、パケットの宛先Ｉ／Ｆの種別を調べ、その種別がＥｔｈｅｒ型であるか否かを判断する（Ｓ９１）。その種別がＥｔｈｅｒ型でなければ（Ｓ９１でＮｏ）、宛先ＭＡＣ解決不能なので、処理は、直ちに、ステップＳ９５へ移行し、その宛先ＭＡＣ判定処理を不一致として終了し、次のルールの評価へ移行する。
　一方、その種別がＥｔｈｅｒ型であれば（Ｓ９１でＹｅｓ）、ｒｏｕｔｅｄ－ｄｓｔ－ｍａｃ処理部１４３ｂは、宛先ＭＡＣ解決部１４２ｂに宛先ＭＡＣ検査を要求する（Ｓ９２）。これは、図１１における符号５２で示された処理に相当する。
　そして、ｒｏｕｔｅｄ－ｄｓｔ－ｍａｃ処理部１４３ｂは、宛先ＭＡＣ解決部１４２ｂからの応答により、宛先ＭＡＣアドレスが存在するか否かを判断する（Ｓ９３）。宛先ＭＡＣアドレスが存在しなければ（Ｓ９３でＮｏ）、処理は、直ちに、ステップＳ９５へ移行し、この宛先ＭＡＣ判定処理を不一致として終了し、次のルールの評価へ移行する。
　一方、宛先ＭＡＣアドレスが存在すれば（Ｓ９３でＹｅｓ）、処理はステップＳ９４に進む。
　ステップＳ９４では、ｒｏｕｔｅｄ－ｄｓｔ－ｍａｃ処理部１４３ｂは、宛先ＭＡＣアドレスが判定条件のＭＡＣアドレスと一致するか否かを判断する。これらが一致しなければ（Ｓ９４でＮｏ）には、処理はステップＳ９５へ移行し、これらが一致すれば（Ｓ９４でＹｅｓ）、処理はステップＳ９６へ移行する。
　ステップＳ９５では、ｒｏｕｔｅｄ－ｄｓｔ－ｍａｃ処理部１４３ｂは、その宛先ＭＡＣ判定処理を不一致として終了し、次のルールの評価へ移行する。
　一方、ステップＳ９６では、ｒｏｕｔｅｄ－ｄｓｔ－ｍａｃ処理部１４３ｂは、その宛先ＭＡＣ判定処理を一致として処理を終了し、次のルールの評価へ移行する。
　以上のように、図３のエントリ番号１で示される、宛先ＭＡＣアドレスをフィルタリング条件に含むフィルタリングは、上記で説明したＤＳＴＭＡＣターゲット動作と、拡張ＭＡＣモジュールの宛先ＭＡＣ判定処理とを用いて、図１０に示したルール４３、４５、４６のように組み合わせて構成すれば、所望の動作となるように実現することができる。
　以上説明したように、実施の形態１に係るＨＧＷ１１０では、ルーティング表検索後のパケットフィルタ評価途中の任意のタイミングで、宛先ＩＰアドレスに対する宛先ＭＡＣアドレスを解決し、解決した宛先ＭＡＣアドレスに基づいて後続のパケットフィルタを評価できるように構成したので、ＬＡＮ側の端末１０１からの、ＬＡＮ１０４からＷＡＮである加入者通信網１０５への方向のコネクションを、送信元ＭＡＣアドレスで指定し、又は、ＷＡＮである加入者通信網１０５からＬＡＮ１０４への方向へのコネクションを、宛先ＭＡＣアドレスでも指定することが可能となる。これにより、ＬＡＮ１０４側の端末１０１に割り当てられるＩＰアドレスの変化に左右されないパケットフィルタリング指定が可能となる。
　また、宛先ＭＡＣアドレスの解決は、パケットフィルタのターゲットとして指定するようにしたので、宛先ＭＡＣアドレス以外のパケットフィルタ条件をルール４３のように設定し、ルール４５では、宛先ＭＡＣフィルタリングが必要なパケットにだけ宛先ＭＡＣ解決を要求し、ルール４６では宛先ＭＡＣアドレスのみの条件評価を行うように構成することができる。このように構成することで、宛先ＭＡＣフィルタリングが不要なパケットに対しては宛先ＭＡＣ解決処理を行わないようになり、それにより処理負荷を軽減することができる。
　なお、上記の説明では主に、ＩＳＰ網から割り振られるプレフィックスによってＬＡＮ１０４側の端末１０１のアドレスが変化するＩＰｖ６アドレスを例に説明したが、実施の形態１は、ＬＡＮ１０４側の端末１０１がＩＰｖ４アドレスの場合でも適用可能である。
実施の形態２．
　実施の形態１では、新たにＤＳＴＡＲＰターゲットを作成し、宛先ＭＡＣアドレス解決の要求と、宛先ＭＡＣ解決中のパケット保持とを行うようにしたものであるが、このような動作を行う構成方法は、これに限るものではない。
　実施の形態２では、宛先ＭＡＣ解決中のパケット保持を既存のＱＵＥＵＥターゲットで行い、宛先ＭＡＣアドレス解決の要求は、ＮＦＱＵＥＵＥターゲットから通知を受けたＤＳＴＡＲＰアプリで行うようにした構成例を示す。なおＮＦＱＵＥＵＥターゲットの動作は、下記の文献に記載されている。
　文献：ｉｐｔａｂｌｅｓ－ｅｘｔｅｎｓｉｏｎｓ、「２０２１年１２月１６日検索」、ＵＲＬ：＜ｈｔｔｐｓ：／／ｌｉｎｕｘｊｍ．ｏｓｄｎ．ｊｐ／ｈｔｍｌ／ｉｐｔａｂｌｅｓ／ｍａｎ８／ｉｐｔａｂｌｅｓ－ｅｘｔｅｎｓｉｏｎｓ．８．ｈｔｍｌ＞
　図１に示されているように、実施の形態２に係る宅内通信装置であるＨＧＷ２１０を含む通信システム２００は、複数の端末１０１と、加入者アクセスサーバ１０２と、第１のＩＳＰシステム１０３Ａと、第２のＩＳＰシステム１０３Ｂと、ＨＧＷ２１０とを備える。
　実施の形態２における通信システム２００の端末１０１、加入者アクセスサーバ１０２、第１のＩＳＰシステム１０３Ａ及び第２のＩＳＰシステム１０３Ｂは、実施の形態１における通信システム１００の端末１０１、加入者アクセスサーバ１０２、第１のＩＳＰシステム１０３Ａ及び第２のＩＳＰシステム１０３Ｂと同様である。
　ＨＧＷ２１０は、ＬＡＮＩ／Ｆ部１１１と、ＷＡＮＩ／Ｆ部１１２と、ネットワーク処理部２２０とを備える。
　実施の形態２に係るＨＧＷ２１０のＬＡＮＩ／Ｆ部１１１及びＷＡＮＩ／Ｆ部１１２は、実施の形態１に係るＨＧＷ１１０のＬＡＮＩ／Ｆ部１１１及びＷＡＮＩ／Ｆ部１１２と同様である。
　ネットワーク処理部２２０は、ＨＧＷ２１０での処理を制御する。例えば、ネットワーク処理部２２０は、加入者通信網１０５からのパケットを、ＬＡＮ１０４に出力し、ＬＡＮ１０４からのパケットを、加入者通信網１０５に出力する中継処理を制御する。ここで、ネットワーク処理部２２０は、ＩＰｖ６に対応しているものとする。
　ネットワーク処理部２２０は、ＰＰＰｏＥｖ６クライアント機能部１２１と、ＤＨＣＰｖ６クライアント機能部１２２と、ＤＨＣＰｖ６サーバ機能部１２３と、ＩＰｖ６ルータ広告サーバ機能部１２４と、ＩＰｖ６パケットフィルタ機能部２２５とを備える。
　実施の形態２におけるネットワーク処理部２２０のＰＰＰｏＥｖ６クライアント機能部１２１、ＤＨＣＰｖ６クライアント機能部１２２、ＤＨＣＰｖ６サーバ機能部１２３及びＩＰｖ６ルータ広告サーバ機能部１２４は、実施の形態１におけるネットワーク処理部１２０のＰＰＰｏＥｖ６クライアント機能部１２１、ＤＨＣＰｖ６クライアント機能部１２２、ＤＨＣＰｖ６サーバ機能部１２３及びＩＰｖ６ルータ広告サーバ機能部１２４と同様である。
　ＩＰｖ６パケットフィルタ機能部２２５は、ＬＡＮＩ／Ｆ部１１１が受信したＬＡＮ１０４側からのパケット及びＷＡＮＩ／Ｆ部１１２が受信した加入者通信網１０５側からのパケットのフィルタリングを実行する。
　図１５は、実施の形態２におけるＩＰｖ６パケットフィルタ機能部２２５の構成を概略的に示すブロック図である。
　ＩＰｖ６パケットフィルタ機能部２２５は、Ｓ／Ｗ転送設定制御部１３０と、Ｓ／Ｗ転送処理部２４０とを備える。
　実施の形態２におけるＩＰｖ６パケットフィルタ機能部２２５のＳ／Ｗ転送設定制御部１３０は、実施の形態１におけるＩＰｖ６パケットフィルタ機能部１２５のＳ／Ｗ転送設定制御部１３０と同様である。
　Ｓ／Ｗ転送処理部２４０は、ＬＡＮＩ／Ｆ部１１１が受信したＬＡＮ側のパケット、又は、ＷＡＮＩ／Ｆ部１１２が受信したＷＡＮ側のパケットを、フィルタリングを実行し、それらのパケットの転送を行う。
　Ｓ／Ｗ転送処理部２４０は、ｉｐ６ｔａｂｌｅｓ本体部１４１と、Ｓ／Ｗパケット転送処理部１４２と、ｉｐ６ｔａｂｌｅｓ拡張部２４３と、ＮＦＱＵＥＵＥ処理部２４４とを備える。
　実施の形態２におけるＳ／Ｗ転送処理部２４０のｉｐ６ｔａｂｌｅｓ本体部１４１及びＳ／Ｗパケット転送処理部１４２は、実施の形態１におけるＳ／Ｗ転送処理部１４０のｉｐ６ｔａｂｌｅｓ本体部１４１及びＳ／Ｗパケット転送処理部１４２と同様である。
　ｉｐ６ｔａｂｌｅｓ拡張部２４３は、ｉｐ６ｔａｂｌｅｓ本体部１４１からの指示に応じて、ｉｐ６ｔａｂｌｅｓ本体部１４１での処理を拡張した、宛先ＭＡＣ解決判定用チェーンＰＰＯＥ１＿ＷＡＮ＿ＴＯ＿ＬＡＮ＿ｒｕｌｅ１で宛先ＭＡＣアドレスによるフィルタリングを実行する。
　ｉｐ６ｔａｂｌｅｓ拡張部２４３は、ＤＳＴＭＡＣ処理部２４３ａと、ｒｏｕｔｅｄ－ｄｓｔ－ｍａｃ処理部１４３ｂとを備える。
　実施の形態２におけるｉｐ６ｔａｂｌｅｓ拡張部２４３のｒｏｕｔｅｄ－ｄｓｔ－ｍａｃ処理部１４３ｂは、実施の形態１におけるｉｐ６ｔａｂｌｅｓ拡張部１４３のｒｏｕｔｅｄ－ｄｓｔ－ｍａｃ処理部１４３ｂと同様である。
　ＤＳＴＭＡＣ処理部２４３ａは、宛先ＩＰアドレスから宛先ＭＡＣアドレスを解決する処理を行うために起動され、宛先ＭＡＣフィルタリングを実行しようとするパケットがＤＳＴＭＡＣターゲットを通るように構成された評価ルールに従って受け取ったパケットを、ｒｏｕｔｅｄ－ｄｓｔ－ｍａｃ処理部１４３ｂに与える。
　実施の形態２では、ＤＳＴＭＡＣ処理部２４３ａは、受信されたパケットの保留及び再送信を行わず、これらの処理は、ＮＦＱＵＥＵＥ処理部２４４に行わせる。
　ＮＦＱＵＥＵＥ処理部２４４は、受信されたパケットの保留及び再送信を実行する。例えば、ＮＦＱＵＥＵＥ処理部２４４は、一時記憶部として機能するメモリ（図示せず）に、アドレス解決が実行させる前のパケットを一時的に記憶させる。なお、このメモリは、図７（Ａ）に示されているメモリ１０であってもよく、メモリ１０とは別に設けられていてもよい。
　以上のように、実施の形態２では、ｉｐ６ｔａｂｌｅｓ拡張部２４３は、ＮＦＱＵＥＵＥ処理部２４４を介して一時記憶部にパケットが一時的に記憶されると、宛先ＭＡＣ解決部１４２ｂにそのパケットのアドレス解決を要求し、そのパケットのアドレス解決が実行された後に、そのアドレス解決により解決されたＭＡＣアドレスによりＭＡＣフィルタリングを実行する。
　図５に示されているＷＡＮ側フィルタリング設定は、実施の形態２では、図１６に示されているように、ｌｉｎｕｘ内部のパケットフィルタ動作に展開される。
　図１６に示されている展開は、図１０に示されている展開とほぼ同様であるが、図１０に示されている展開におけるルール４５が、ルール４７に変えられている。
　ルール４７は、宛先ＭＡＣ解決を起動するための動作がｉｐｔａｂｌｅｓの既存の拡張ターゲットであるＮＦＱＵＥＵＥに展開されており、さらにパラメタ－ｑｕｅｕｅ－ｎｕｍで、ＬＡＮ側Ｉ／ＦのＩ／Ｆ番号であるｉｆｉｎｄｅｘを指定している。
　次に、図１７を用いて、実施の形態２において、宛先ＭＡＣ解決中のパケットの保持をＮＦＱＵＥＵＥで実現する場合の、宛先ＭＡＣアドレス解決の動作を説明する。
　図１７は、ＩＰパケットフィルタ処理と、宛先ＭＡＣ解決処理とを簡略化して示したものである。
　実施の形態２では、宛先ＭＡＣアドレス解決を要求するルール４７の指定に従い、ＤＳＴＭＡＣターゲットの代わりに、ＮＦＱＵＥＵＥターゲットを実行するＮＦＱＵＥＵＥ処理部２４４が動作する。
　具体的には、ＮＦＱＵＥＵＥ処理部２４４は、パケットを保留するとともに、ユーザ空間上のＤＳＴＭＡＣアプリを実行するＤＳＴＭＡＣ処理部２４３ａに、ＮＦＱＵＥＵＥ保留パケット通知５３を送信する。
　ＤＳＴＭＡＣ処理部２４３ａは、通知された保留パケットの宛先ＩＰアドレスを解析し、宛先ＩＰアドレスに対する宛先ＭＡＣアドレスを解決中でなければ、宛先ＭＡＣ解決部１４２ｂに、宛先ＭＡＣアドレス解決要求５０を送信する。
　宛先ＭＡＣ解決部１４２ｂは、宛先ＭＡＣアドレスの解決が終わると、宛先ＭＡＣアドレス解決応答５１を、ＤＳＴＭＡＣ処理部２４３ａに応答する。これにより、ＤＳＴＭＡＣ処理部２４３ａは、ＮＦＱＵＥＵＥ処理部２４４に、該当する宛先ＩＰアドレスに対するすべてのＮＦＱＵＥＵＥ保留パケット通知５３に対するＮＦＱＵＥＵＥ保留パケット応答５４を送信する。
　ＮＦＱＵＥＵＥ保留パケット応答５４を受信したＮＦＱＵＥＵＥ処理部２４４は、ＤＳＴＭＡＣ処理部２４３ａからの通知に基づき、パケットを破棄、又は、次のルール評価を再開する。
　図１８は、実施の形態２において、宛先ＭＡＣ解決中のパケット保持をＮＦＱＵＥＵＥで実現した場合の、ＤＳＴＭＡＣ処理部２４３ａの動作を示すフローチャートである。
　ＤＳＴＭＡＣ処理部２４３ａにＮＦＱＵＥＵＥ処理部２４４から保留されたパケットが通知されると（Ｓ１００）、まず、ＤＳＴＭＡＣ処理部２４３ａは、保留パケットキュー番号から宛先Ｉ／ＦのＩ／Ｆ番号を取得する（Ｓ１０１）。
　そして、ＤＳＴＭＡＣ処理部２４３ａは、その宛先Ｉ／Ｆの種別を確認し、宛先Ｉ／Ｆの種別がＥｔｈｅｒ型であるか否かを判断する（Ｓ１０２）。宛先Ｉ／Ｆの種別がＥｔｈｅｒ型ではない場合（Ｓ１０２でＮｏ）には、処理はステップＳ１０３へ進み、宛先Ｉ／Ｆの種別がＥｔｈｅｒ型である場合（Ｓ１０２でＹｅｓ）には、処理はステップＳ１０４へ進む。
　ステップＳ１０３では、ＤＳＴＭＡＣ処理部２４３ａは、宛先ＭＡＣアドレスの解決が不要なので、ＮＦＱＵＥＵＥ処理部２４４に次のルールへ進めるように保留パケット応答を通知する。そして、処理はステップＳ１０８へ移行し、ＮＧＱＵＥＵＥ保留パケット処理は終了する。
　一方、宛先Ｉ／Ｆの種別がＥｔｈｅｒ型であれば（Ｓ１０２でＹｅｓ）、ステップＳ１０４において、ＤＳＴＭＡＣ処理部２４３ａは、保留されているパケットの宛先ＩＰアドレスに対する宛先ＭＡＣアドレス解決を起動しているか否かを判断する。宛先ＭＡＣアドレス解決が起動されていない場合（Ｓ１０４でＮｏ）には、処理はステップＳ１０５へ移行し、宛先ＭＡＣアドレス解決が起動されている場合（Ｓ１０４でＹｅｓ）には、処理はステップＳ１０６へ移行する。
　ステップＳ１０５では、ＤＳＴＭＡＣ処理部２４３ａは、宛先ＭＡＣ解決部１４２ｂに宛先ＭＡＣアドレス解決要求を送信する。そして、処理はステップＳ１０６へ移行する。
　ステップＳ１０６では、ＤＳＴＭＡＣ処理部２４３ａは、宛先ＭＡＣ解決部１４２ｃから宛先ＭＡＣアドレス解決応答を受信したか否かを判断する。宛先ＭＡＣアドレス解決応答が受信された場合（Ｓ１０６でＹｅｓ）には、処理はステップＳ１０７へ移行する。
　ステップＳ１０７では、ＤＳＴＭＡＣ処理部２４３ａは、ＮＦＱＵＥＵＥ処理部２４４に、受信された宛先ＭＡＣアドレス解決応答に対応する宛先ＩＰアドレスを持つ全保留パケット通知に対して、次のルールへ移行する保留パケット応答を通知する。そして、処理はステップＳ１０８へ移行し、ＮＦＱＵＥＵＥ保留パケット処理が終了する。
　以上説明したように、実施の形態２に係るＨＧＷ２１０では、実施の形態１で導入したＤＳＴＭＡＣターゲットの代わりに既存のＮＦＱＵＥＵＥターゲットを用い、ＮＦＱＵＥＵＥターゲットからのパケット保留通知を受けるＤＳＴＭＡＣ処理部２４３ａに宛先ＭＡＣ解決を実行させるようにしている。
　このため、ＤＳＴＭＡＣ処理部２４３ａは、自前のパケットの保留又は再送信ロジックを内在する必要がなくなり処理が簡単になる。
　なお、ＮＦＱＵＥＵＥターゲットを用いたアプリケーションの例が、下記の文献に記載されている。
　文献：ｓａｍｐｌｅ－ｈｅｌｌｏｗｏｒｌｄ．ｃ、「２０２１年１２月１６日検索」、ＵＲＬ：＜ｈｔｔｐｓ：／／ｇｉｔｈｕｂ．ｃｏｍ／ｉｒｏｎｔｅｃ／ｎｅｔｆｉｌｔｅｒ－ｎｆｑｕｅｕｅ－ｓａｍｐｌｅｓ／ｂｌｏｂ／ｍａｓｔｅｒ／ｓａｍｐｌｅ－ｈｅｌｌｏｗｏｒｌｄ．ｃ＞
　なお、この例に示すように、ＤＳＴＭＡＣ処理部２４３ａは、ユーザ空間で動作する処理であることから、カーネル空間で作成するＤＳＴＭＡＣターゲットと比べて作製が容易になるという効果がある。
実施の形態３．
　実施の形態１又は２では、ＬＡＮ側端末のＭＡＣアドレスを指定可能としたパケットフィルタを備えたＨＧＷ１１０、２１０の制御方法を示したが、実施の形態３では、Ｈ／Ｗ（ＨａｒｄＷａｒｅ）による高速なＩＰパケット転送を行うことができるようにする。
　図１に示されているように、実施の形態３に係る宅内通信装置であるＨＧＷ３１０を含む通信システム３００は、複数の端末１０１と、加入者アクセスサーバ１０２と、第１のＩＳＰシステム１０３Ａと、第２のＩＳＰシステム１０３Ｂと、ＨＧＷ３１０とを備える。
　実施の形態３における通信システム３００の端末１０１、加入者アクセスサーバ１０２、第１のＩＳＰシステム１０３Ａ及び第２のＩＳＰシステム１０３Ｂは、実施の形態１における通信システム１００の端末１０１、加入者アクセスサーバ１０２、第１のＩＳＰシステム１０３Ａ及び第２のＩＳＰシステム１０３Ｂと同様である。
　ＨＧＷ３１０は、ＬＡＮＩ／Ｆ部１１１と、ＷＡＮＩ／Ｆ部１１２と、ネットワーク処理部３２０とを備える。
　実施の形態３に係るＨＧＷ３１０のＬＡＮＩ／Ｆ部１１１及びＷＡＮＩ／Ｆ部１１２は、実施の形態１に係るＨＧＷ１１０のＬＡＮＩ／Ｆ部１１１及びＷＡＮＩ／Ｆ部１１２と同様である。
　ネットワーク処理部３２０は、ＨＧＷ３１０での処理を制御する。例えば、ネットワーク処理部３２０は、加入者通信網１０５からのパケットを、ＬＡＮ１０４に出力し、ＬＡＮ１０４からのパケットを、加入者通信網１０５に出力する中継処理を制御する。ここで、ネットワーク処理部３２０は、ＩＰｖ６に対応しているものとする。
　ネットワーク処理部３２０は、ＰＰＰｏＥｖ６クライアント機能部１２１と、ＤＨＣＰｖ６クライアント機能部１２２と、ＤＨＣＰｖ６サーバ機能部１２３と、ＩＰｖ６ルータ広告サーバ機能部１２４と、ＩＰｖ６パケットフィルタ機能部３２５とを備える。
　実施の形態３におけるネットワーク処理部３２０のＰＰＰｏＥｖ６クライアント機能部１２１、ＤＨＣＰｖ６クライアント機能部１２２、ＤＨＣＰｖ６サーバ機能部１２３及びＩＰｖ６ルータ広告サーバ機能部１２４は、実施の形態１におけるネットワーク処理部１２０のＰＰＰｏＥｖ６クライアント機能部１２１、ＤＨＣＰｖ６クライアント機能部１２２、ＤＨＣＰｖ６サーバ機能部１２３及びＩＰｖ６ルータ広告サーバ機能部１２４と同様である。
　ＩＰｖ６パケットフィルタ機能部３２５は、ＬＡＮＩ／Ｆ部１１１が受信したＬＡＮ１０４側からのパケット及びＷＡＮＩ／Ｆ部１１２が受信した加入者通信網１０５側からのパケットのフィルタリングを実行する。
　図１９は、実施の形態３におけるＩＰｖ６パケットフィルタ機能部３２５の構成を概略的に示すブロック図である。
　ＩＰｖ６パケットフィルタ機能部３２５は、Ｓ／Ｗ転送設定制御部１３０と、Ｓ／Ｗにより実行されるＳ／Ｗ転送処理部３４０と、Ｈ／Ｗにより実行されるＨ／Ｗ転送処理部３５０とを備える。
　Ｓ／Ｗ転送処理部３４０は、実施の形態１又は２で説明したＩＰアドレスとＭＡＣアドレスとを組み合わせたフィルタ処理を行うＳ／Ｗパケット転送処理部３４２と、ＩＰフロー管理部３４５とを備える。
　Ｓ／Ｗパケット転送処理部３４２は、宛先ＭＡＣ解決部３４２ｂを備える。
　なお、Ｈ／Ｗ転送処理部３５０の内部構成は、様々であるため、ここでは、実施の形態３におけるパケットフィルタ動作及びＩＰパケット転送にかかる基本的な動作の部分のみ説明する。
　Ｈ／Ｗ転送処理部３５０は、パケットヘッダ抽出部３５１と、ＩＰフロー一致判断部３５２と、パケットヘッダ編集部３５３と、Ｈ／ＷＩＰフロー管理部３５４と、Ｈ／Ｗ宛先ＭＡＣ管理部３５５とを備える。
　パケットヘッダ抽出部３５１は、受信Ｉ／ＦであるＬＡＮＩ／Ｆ部１１１又はＷＡＮＩ／Ｆ部１１２で受信されたＩＰパケットのＩＰヘッダを精査し、ＩＰヘッダ中の｛送信元ＩＰアドレス、宛先ＩＰアドレス、プロトコル、送信元ポート番号、宛先ポート番号｝を抽出する。この｛｝内の５つの値を組み合わせた情報は、パケットがどのコネクションに所属するかを識別するための基本的な構成情報であり、セッション情報又はＩＰフロー情報と呼ばれる。
　このセッション情報又はＩＰフロー情報は、同一のセッションに属するＩＰパケットに対し、一貫した処理を行うのに使用される情報である。例えば、ＮＡＴ（Ｎｅｔｗｏｒｋ　Ａｄｄｒｅｓｓ　Ｔｒａｎｓｌａｔｉｏｎ）処理又はＮＡＰＴ（Ｎｅｔｗｏｒｋ　Ａｄｄｒｅｓｓ　Ｐｏｒｔ　Ｔｒａｎｓｌａｔｉｏｎ）処理で、送信元アドレス又は送信元ポート番号を変換する場合、同一のセッションに属するＩＰパケットは、すべて同一の送信元アドレス又は送信元ポート番号で変換されなければならない。
　これを実現するため、先頭パケットでＮＡＰＴ変換する送信元アドレス又は送信元ポート番号を定め、セッション情報又はＩＰフロー情報が同一となる後続のパケットは、全てその先頭パケットと同じ送信元アドレス又は送信元ポート番号となるよう変換される。また、このセッション情報又はＩＰフロー情報は、例えば、ｌｉｎｕｘでは、ネットワークスタック内のｃｏｎｎｔｒａｃｋ情報と呼ばれている管理情報に該当し、ＩＰフロー管理部３４５で管理される。具体的には、ＩＰフロー管理部３４５は、記憶部として機能するメモリ（図示せず）に、セッション情報又はＩＰフロー情報を記憶させる。なお、このメモリは、図７（Ａ）に示されているメモリ１０であってもよく、メモリ１０とは別に設けられていてもよい。
　ＩＰフロー一致判断部３５２は、パケットヘッダ抽出部３５１で抽出されたフロー情報が、Ｈ／Ｗ転送処理部３５０内のＨ／ＷＩＰフロー管理部３５４に登録されているエントリと一致するか否かを判断する。
　セッションの先頭パケットは、Ｈ／ＷＩＰフロー管理部３５４にＩＰフロー情報が登録されていないため、ＩＰフロー一致判断部３５２は、Ｈ／Ｗ転送処理用のフロー情報なしとして、そのパケットをＳ／Ｗ転送処理部３４０に送る。
　そのパケットを受け取ったＳ／Ｗ転送処理部３４０は、Ｓ／Ｗパケット転送処理部３４２において宛先経路解決とフィルタリング処理とを行う。Ｓ／Ｗパケット転送処理部３６２での処理は、図１１を用いて説明したとおりである。言い換えると、Ｓ／Ｗパケット転送処理部３６２での処理は、実施の形態１で説明した通り、パケットフィルタリングと宛先経路解決とを組み合わせた処理となっている。
　Ｓ／Ｗパケット転送処理部３４２は、パケットフィルタリング処理において、実施の形態１に示したＬＡＮ側端末のＭＡＣアドレスによるフィルタリングを実行することができる。
　ここで、Ｓ／Ｗパケット転送処理部３４２は、フィルタリング処理において先頭パケットを破棄と判断した場合、パケットのＩＰフロー情報はＳ／Ｗ転送処理部３４０内のＩＰフロー管理部３４５には登録されず、Ｈ／ＷＩＰフロー管理部３５４にもそのエントリは登録されない。従って、後続のパケットも同様にＳ／Ｗ転送処理部３４０に送られ、Ｓ／Ｗ転送処理部３４０で同様に破棄判定され、そのＩＰフローに属する後続パケットは転送されない。
　一方、Ｓ／Ｗパケット転送処理部３４２は、フィルタリング処理において先頭パケットを通過と判断した場合は、そのパケットのＩＰフロー情報は、Ｓ／Ｗ転送処理部３４０内のＩＰフロー管理部３４５に登録される。このとき、ＩＰフロー管理部３４５は、そのＩＰフロー情報を、Ｈ／ＷＩＰフロー管理部３５４にもそのＩＰフロー情報を登録させる。
　その後、Ｓ／Ｗパケット転送処理部３４２の宛先ＭＡＣ解決部３４２ｂは、その先頭パケットに対して、宛先ＭＡＣ解決処理を実施して、そのパケットをＨ／Ｗ転送処理部３５０に返す。
　そして、Ｈ／Ｗ転送処理部３５０は、そのパケットを反対側の送信Ｉ／ＦであるＬＡＮＩ／Ｆ部１１１又はＷＡＮＩ／Ｆ部１１２から送信される。
　ここで、Ｓ／Ｗパケット転送処理部３４２の宛先ＭＡＣ解決部３４２ｂは、ＩＰアドレスに対して解決したＭＡＣアドレスを、Ｈ／Ｗ転送処理部３５０のＨ／Ｗ宛先ＭＡＣ管理部３５５と常に同期するように登録しておく。
　次に、後続パケットが受信された場合、パケットヘッダ抽出部３５１は、先頭パケットと同様に、その後続パケットのヘッダを精査し、ＩＰヘッダ中の｛送信元ＩＰアドレス、宛先ＩＰアドレス、プロトコル、送信元ポート番号、宛先ポート番号｝を抽出する。
　次に、ＩＰフロー一致判断部３５２は、抽出されたフロー情報が、Ｈ／Ｗ転送処理部３５０内のＨ／ＷＩＰフロー管理部３５４内の登録エントリと一致するか否かを判定する。ここでは、そのセッションの後続パケットのＩＰフロー情報は、Ｈ／ＷＩＰフロー管理部３５４に登録されているため、ＩＰフロー一致判断部３５２は、フロー情報一致と判断する。
　ここでフロー情報一致と判定されたパケットは、Ｓ／Ｗ転送処理部３４０での処理が必要となる一部のパケット、又は、Ｈ／Ｗ転送処理部３５０で処理できない一部の例外パケットを除き、後段のパケットヘッダ編集部３５３に送られる。なお、Ｓ／Ｗ転送処理部３４０での処理が必要となる一部のパケットは、例えば、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ　Ｃｏｎｔｒｏｌ　Ｐｒｏｔｏｃｏｌ）のＳＹＮフラグ、ＦＩＮフラグ又はＲＳＴフラグのついた制御パケット等である。
　パケットヘッダ編集部３５３は、Ｈ／ＷＩＰフロー管理部３５４が保持するＩＰフローの編集情報と、Ｈ／Ｗ宛先ＭＡＣ管理部３５５の保持するＭＡＣアドレスとに基づいて、必要なパケットヘッダ編集処理を行う。例えば、パケットヘッダ編集部３５３は、ＮＡＴ処理に対するパケットのアドレス又はポート番号の更新、送信Ｉ／Ｆ基づく送信元ＭＡＣ更新処理、又は、ルーティング後のネクストホップに対する宛先ＭＡＣアドレスの更新処理等を行う。
　パケットヘッダ編集処理を終えた後続パケットは、最後に反対側の送信Ｉ／ＦであるＬＡＮＩ／Ｆ部１１１又はＷＡＮＩ／Ｆ部１１２から、Ｈ／Ｗ転送処理部３５０のみで処理されて、言い換えると、Ｓ／Ｗ転送処理部３４０を経由せずに送信される。
　以上に記載されたＨ／Ｗ転送処理部３５０は、例えば、図７（Ｂ）に示されている処理回路１２により実現することができる。
　このように実施の形態３に係るＨＧＷ３１０では、ＬＡＮ側端末のＭＡＣアドレスを用いた判定を先頭パケットに対して行い、先頭パケットで通過と判定されると、ＩＰフロー情報を用いてその後続パケットをＨ／Ｗで転送処理する。このため、ＭＡＣアドレスを用いたフィルタリング機能を備えない一般的なＨ／Ｗ転送処理部（ＮｅｔｗｏｒｋＰｒｏｃｅｓｓｏｒ）であっても、ＬＡＮ側端末のＭＡＣアドレスを用いたフィルタリング動作とＨ／Ｗによる高速なＩＰパケット転送動作を実現することができる。
　言い換えると、実施の形態３では、ＨＧＷ３１０は、ハードウェアを用いて、パケットのルーティングを行うハードウェア転送部として機能するＨ／Ｗ転送処理部３５０をさらに備え、ｉｐ６ｔａｂｌｅｓ拡張部１４３は、セッションの先頭パケットに対してＭＡＣフィルタリングを実行し、その先頭パケットをＭＡＣフィルタリングで通過させた場合には、その先頭パケットと同一セッションの後続するパケットである後続パケットに対して、Ｈ／Ｗ転送処理部３５０にルーティングを行わせ、その後続パケットに対しては、ＭＡＣフィルタリングを行わないようにすることができる。
　なお、実施の形態３の構成は、実施の形態１の構成に基づいているが、実施の形態３の構成は、実施の形態２の構成に基づいて構成されてもよい。
　１００，２００，３００　通信システム、　１０１端末、　１０２　加入者アクセスサーバ、　１０３Ａ　第１のＩＳＰシステム、　１０３Ｂ　第２のＩＳＰシステム、　１１０　ＨＧＷ、　１１１　ＬＡＮＩ／Ｆ部、　１１２　ＷＡＮＩ／Ｆ部、　１２０，２２０，３２０　ネットワーク処理部、　１２１　ＰＰＰｏＥｖ６クライアント機能部、　１２２　ＤＨＣＰｖ６クライアント機能部、　１２３　ＤＨＣＰｖ６サーバ機能部、　１２４　ＩＰｖ６ルータ広告サーバ機能部、　１２５，２２５，３２５　ＩＰｖ６パケットフィルタ機能部、　１３０　Ｓ／Ｗ転送設定制御部、　１３１　ｉｐｖ６パケットフィルタＧＵＩ処理部、　１３２　ｉｐｖ６ｔａｂｌｅｓ用ルール展開ＡＰ実行部、　１４０，２４０，３４０　Ｓ／Ｗ転送処理部、　１４１　ｉｐ６ｔａｂｌｅｓ本体部、　１４１ａ　ＰＲＥ　ＲＯＵＴＩＮＧ実行部、　１４１ｂ　ＦＯＲＷＡＲＤＩＮＧ実行部、　１４１ｃ　ＰＯＳＴ　ＲＯＵＴＩＮＧ実行部、　１４２，３４２　Ｓ／Ｗパケット転送処理部、　１４２ａ　経路解決部、　１４２ｂ、３４２ｂ　宛先ＭＡＣ解決部、　１４３，２４３　ｉｐ６ｔａｂｌｅｓ拡張部、　１４３ａ、２４３ａ　ＤＳＴＭＡＣ処理部、　１４３ｂ　ｒｏｕｔｅｄ－ｄｓｔ－ｍａｃ処理部、　２４４　ＮＦＱＵＥＵＥ処理部、　３４５　ＩＰフロー管理部、　３５０　Ｈ／Ｗ転送処理部、　３５１　パケットヘッダ抽出部、　３５２　ＩＰフロー一致判断部、　３５３　パケットヘッダ編集部、　３５４　Ｈ／ＷＩＰフロー管理部、　３５５　Ｈ／Ｗ宛先ＭＡＣ管理部。

Claims (9)

  1. 　パケットを受信する受信インタフェースと、
    　前記パケットのアドレス解決を行い、前記パケットのルーティングを行う転送部と、
    　ＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）パケットフィルタのルールに従って、前記ルーティング後の前記パケットの宛先ＭＡＣ（Ｍｅｄｉａ　Ａｃｃｅｓｓ　Ｃｏｎｔｒｏｌ）アドレスのフィルタリングであるＭＡＣフィルタリングを実行する拡張機能部と、を備えること
    　を特徴とする宅内通信装置。
  2. 　前記ルールは、前記ルーティング後に前記パケットの前記アドレス解決を実行して、前記アドレス解決により解決された前記宛先ＭＡＣアドレスにより前記ＭＡＣフィルタリングを実行するものであり、
    　前記拡張機能部は、前記ルールに従い、前記転送部に、前記アドレス解決を実行させて、解決された前記宛先ＭＡＣアドレスにより前記ＭＡＣフィルタリングを実行すること
    　を特徴とする請求項１に記載の宅内通信装置。
  3. 　前記アドレス解決が実行される前の前記パケットを一時的に記憶する一時記憶部をさらに備え、
    　前記拡張機能部は、前記一時記憶部に前記パケットが一時的に記憶されると、前記転送部に、前記パケットの前記アドレス解決を要求し、前記パケットの前記アドレス解決が実行された後に、前記アドレス解決により解決された前記ＭＡＣアドレスにより前記ＭＡＣフィルタリングを実行すること
    　を特徴とする請求項２に記載の宅内通信装置。
  4. 　前記受信インタフェースは、ＷＡＮ（Ｗｉｄｅ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）から前記パケットを受信し、
    　前記転送部は、前記パケットを、ＬＡＮ（Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）への前記ルーティングを行い、
    　前記拡張機能部は、前記ＬＡＮに接続されている端末のＩＰアドレスを用いずに、前記端末のＭＡＣアドレスを指定する前記宛先ＭＡＣアドレスに対して、前記ＭＡＣフィルタリングを実行すること
    　を特徴する請求項１から３の何れか一項に記載の宅内通信装置。
  5. 　前記端末に前記ＩＰアドレスを配布するＩＰアドレス配布部と、
    　前記ＩＰアドレスを用いたフィルタリングであるＩＰフィルタリングを実行するフィルタリング実行部と、をさらに備えること
    　を特徴とする請求項４に記載の宅内通信装置。
  6. 　前記ＩＰアドレス配布部は、前記ＷＡＮから取得するＩＰｖ６（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ　ｖｅｒｓｉｏｎ　６）プレフィックスに応じたＩＰｖ６アドレス帯に含まれる前記ＩＰアドレスを前記端末に配布すること
    　を特徴とする請求項５に記載の宅内通信装置。
  7. 　前記ＷＡＮから取得するＩＰｖ６（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ　ｖｅｒｓｉｏｎ　６）プレフィックスに応じたＩＰｖ６アドレス帯を前記端末に広告することで、前記端末に前記ＩＰアドレスを生成させるＩＰアドレス広告部と、
    　前記ＩＰアドレスを用いたフィルタリングであるＩＰフィルタリングを実行するフィルタリング実行部と、をさらに備えること
    　を特徴とする請求項４に記載の宅内通信装置。
  8. 　ハードウェアを用いて、前記パケットのルーティングを行うハードウェア転送部をさらに備え、
    　前記拡張機能部は、前記パケットとして、セッションの先頭パケットに対して前記ＭＡＣフィルタリングを実行し、前記先頭パケットを前記ＭＡＣフィルタリングで通過させた場合には、前記先頭パケットと同一セッションの後続するパケットである後続パケットに対して、前記ハードウェア転送部にルーティングを行わせ、前記後続パケットに対しては、前記ＭＡＣフィルタリングを行わないこと
    　を特徴とする請求項１から７の何れか一項に記載の宅内通信装置。
  9. 　パケットを受信し、
    　パケットのルーティングを行い、
    　ＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）パケットフィルタのルールに従って、前記ルーティング後に前記パケットのアドレス解決を行い、
    　前記アドレス解決により解決された、前記パケットの宛先ＭＡＣ（Ｍｅｄｉａ　Ａｃｃｅｓｓ　Ｃｏｎｔｒｏｌ）アドレスのフィルタリングであるＭＡＣフィルタリングを実行すること
    　を特徴とするフィルタリング方法。
PCT/JP2022/019112 2022-04-27 2022-04-27 宅内通信装置及びフィルタリング方法 WO2023209877A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
PCT/JP2022/019112 WO2023209877A1 (ja) 2022-04-27 2022-04-27 宅内通信装置及びフィルタリング方法
JP2024517707A JPWO2023209877A1 (ja) 2022-04-27 2022-04-27
TW112114906A TW202344020A (zh) 2022-04-27 2023-04-21 室內通訊裝置以及過濾方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2022/019112 WO2023209877A1 (ja) 2022-04-27 2022-04-27 宅内通信装置及びフィルタリング方法

Publications (1)

Publication Number Publication Date
WO2023209877A1 true WO2023209877A1 (ja) 2023-11-02

Family

ID=88518384

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2022/019112 WO2023209877A1 (ja) 2022-04-27 2022-04-27 宅内通信装置及びフィルタリング方法

Country Status (3)

Country Link
JP (1) JPWO2023209877A1 (ja)
TW (1) TW202344020A (ja)
WO (1) WO2023209877A1 (ja)

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005347969A (ja) * 2004-06-01 2005-12-15 Matsushita Electric Ind Co Ltd パケット転送装置およびパケット転送方法
WO2006051594A1 (ja) * 2004-11-11 2006-05-18 Mitsubishi Denki Kabushiki Kaisha 通信ネットワークにおけるｉｐパケット中継方法およびゲートウエイ装置

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005347969A (ja) * 2004-06-01 2005-12-15 Matsushita Electric Ind Co Ltd パケット転送装置およびパケット転送方法
WO2006051594A1 (ja) * 2004-11-11 2006-05-18 Mitsubishi Denki Kabushiki Kaisha 通信ネットワークにおけるｉｐパケット中継方法およびゲートウエイ装置

Also Published As

Publication number Publication date
TW202344020A (zh) 2023-11-01
JPWO2023209877A1 (ja) 2023-11-02

Similar Documents

Publication Publication Date Title
JP3859591B2 (ja) Ｖｐｎ収容機能を含む通信装置
JP4303600B2 (ja) 異なるアドレス領域を有するネットワーク間の接続設定機構
JP3494610B2 (ja) Ｔｃｐ終端機能付きｉｐルータ装置および媒体
KR101418351B1 (ko) 네트워크를 액세스하기 위해 인터페이스를 식별하고 선택하기 위한 방법 및 디바이스
US7231452B2 (en) Method and apparatus for communicating on a communication network
US20180123874A1 (en) Ip mpls pop virtualization and fault tolerant virtual router
JP4834410B2 (ja) フレーム転送装置
US8122113B2 (en) Dynamic host configuration protocol (DHCP) message interception and modification
US7894456B2 (en) Routing data packets from a multihomed host
JP5475763B2 (ja) ＩＰｖ４ドメインからのデータパケットをＩＰｖ６ドメインで受信する方法、ならびに関連するデバイスおよびアクセス機器
US20120207168A1 (en) METHODS AND DEVICES FOR ROUTING DATA PACKETS BETWEEN IPv4 AND IPv6 NETWORKS
US20030154306A1 (en) System and method to proxy inbound connections to privately addressed hosts
US20050066035A1 (en) Method and apparatus for connecting privately addressed networks
US8468258B2 (en) IPv6 generation to trigger a virtual leased line service
US8693369B2 (en) Method of routing a data packet in a network and an associated device
JP3858884B2 (ja) ネットワークアクセスゲートウェイ及びネットワークアクセスゲートウェイの制御方法並びにプログラム
US20240275722A1 (en) Packet forwarding method and apparatus, device, and storage medium
JP2008527829A (ja) 擬似マルチホーム化されたホストへの効率的なアドレススペース拡張
WO2023209877A1 (ja) 宅内通信装置及びフィルタリング方法
WO2014156143A1 (ja) ホームゲートウェイ装置およびパケット転送方法
Anderson et al. Explicit Address Mappings for Stateless IP/ICMP Translation
Boutier et al. Source-specific routing
CN116232972A (zh) 一种基于业务或内容的代理路由器
CN115150266A (zh) 局域网互联配置及数据传输方法
JP5350333B2 (ja) パケット中継装置及びネットワークシステム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22940155

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2024517707

Country of ref document: JP

Kind code of ref document: A