JP2003224577A

JP2003224577A - インターネット中継装置

Info

Publication number: JP2003224577A
Application number: JP2002260776A
Authority: JP
Inventors: Yoshiharu Ito; 嘉治伊藤; Keiichi Yokoyama; 景一横山; Ken Watanabe; 憲渡辺; Kazuhiro Maeno; 和洋前野
Original assignee: Toyo Communication Equipment Co Ltd
Current assignee: Toyo Communication Equipment Co Ltd
Priority date: 2001-10-05
Filing date: 2002-09-06
Publication date: 2003-08-08

Abstract

(57)【要約】本発明はユーザ端末がＩＥＥＥ８０２．１ｘに記載され
た認証プロトコルに基づき、通常のイーサネット（登録
商標）上のデータ交換によってＩＳＰへの認証とインタ
ーネットへの接続を可能とし、またＰＰＰｏＥパケット
の処理を不要としＶＬＡＮタグに基づく中継処理をおこ
なう中継装置であって、ブロードバンド化に対応したイ
ンターネット常時接続においてスループットを低減させ
ないインターネット中継装置を提供することを目的とす
る。【解決手段】電気通信事業者（ＩＳＰ）のサーバに接続
されたＩＰ通信網とユーザの端末装置との間を接続する
中継装置であって、該中継装置は予め各ユーザとＩＳＰ
との関係を示すテーブルが保存されたユーザ情報管理装
置と、前記ユーザ端末から所定のＩＳＰに対する接続要
求を受けるとユーザ端末との間でＩＥＥＥ８０２．１ｘ
に基づく認証を司る認証制御手段とを備え、該認証制御
手段は前記ユーザ情報管理装置と連携してＩＳＰとの認
証を行うことを特徴とするインターネット中継装置。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、インターネット中
継装置に関する。

【０００２】

【従来の技術】近年インターネットはブロードバンド化
の波を受けアクセス回線系にもＡＤＳＬ（Ａｓｙｍｍｅ
ｔｒｉｃＤｉｇｉｔａｌＳｕｂｓｃｒｉｂｅｒＬｉ
ｎｅ）やＦＴＴＨ（ＦｉｂｅｒＴｏＴｈｅＨｏｍ
ｅ）といったブロードバンド化に対応した常時接続サー
ビスが提供されるようになってきた。そのため、各ユー
ザからのデータトラヒックを集め、所定のＩＳＰ（イン
ターネットサービスプロバイダ）に接続先を振り分ける
といった集線・振分装置（中継装置）は、“わかりやす
いＡＤＳＬの技術／オーム社出版局（次世代ネットワー
ク研究会編）”にも記載されているように、ブロードバ
ンド社会を支える重要なバックボーンとなっている。図
１３は光ファイバを使った従来のインターネット常時接
続サービスにおける中継装置のブロック図を示したもの
である。図１３に示すように従来の中継装置は、ＮＴＴ
等の通信接続業者１がユーザ２と電気通信事業者である
ＩＳＰ（インターネットサービスプロバイダ）３ａ、３
ｂ、３ｃ、・・・との間に介在し、ユーザ２がＩＳＰ３
ａ、３ｂ、３ｃ、・・・の何れか（契約プロバイダ）を
介してインターネット網４に接続できるようにデータ
（ＩＰパケット）を中継している。

【０００３】ここで、前記ユーザ２はユーザ端末５と、
該ユーザ端末５と光ファイバ６間に介在し電気信号（１
０Ｂａｓｅ_ｔ等のイーサネット形式のインタフェー
ス）と光信号の双方向の変換をするＯＮＵ（Ｏｐｔｉｃ
ａｌＮｅｔｗｏｒｋＵｎｉｔ：光回線終端装置）７と
を備えている。また、前記通信接続業者１は光ファイバ
６と、前記光ファイバ６を収容し前記ユーザ端末２から
のデータを処理する回線中継装置８と、前記回線中継装
置８の出力したデータを前記ＩＳＰ３ａ、３ｂ、３ｃ、
・・・へ中継するＩＰ通信網９とを備えている。

【０００４】以下、図１３に示した従来のインターネッ
ト常時接続サービスにおける中継動作について説明す
る。まず、インターネット常時接続サービスにおいて
は、回線中継装置８とユーザ端末５間ではＰＰＰｏＥ
（Ｐｏｉｎｔ-ｔｏ-ＰｏｉｎｔＰｒｏｔｏｃｏｌＯｖ
ｅｒＥｔｈｅｒｎｅｔ）というプロトコルが使われて
いる。ＰＰＰｏＥとは、従来電話回線を介しダイヤルア
ップによってユーザとインターネットサービスプロバイ
ダ間とを一対一に接続するときに使われていたＰＰＰ
（Ｐｏｉｎ-ｔｏ-ＰｏｉｎｔＰｒｏｔｏｃｏｌ）とい
うプロトコルをベースにして、これをイーサネット上で
扱えるようにしたものである。従って従来のダイヤルア
ップ接続と同様にユーザとインターネットサービスプロ
バイダ間とが一対一に接続されることになる。

【０００５】このＰＰＰｏＥを使ってユーザ端末５から
インターネットにアクセスする際、まず回線中継装置８
とＩＰ通信網９とを介して所定のインターネットサービ
スプロバイダ（ここでは、ＩＳＰ３ａとする）に対して
認証を行い、認証が成立するとインターネット網４にア
クセスが可能となる。このときユーザ端末５から送出さ
れる通信パケット（イーサネットデータフレーム）には
図１４に示すように、ＰＰＰｏＥヘッダと呼ばれるデー
タを付加しなければならない。回線中継装置８はこのＰ
ＰＰｏＥヘッダに基づきユーザ端末５との接続を制御す
るとともに、通信パケットの中からＰＰＰｏＥヘッダの
部分を抜き出し、残りの宛先ＭＡＣアドレスや通信デー
タ等のイーサネットデータフレームによってＩＰパケッ
トを構築し、これをＩＰ通信網９へ送出する。

【０００６】そして、ＩＰ通信網９は前記ＩＰパケット
に含まれるＩＰアドレスに基づき、これをルーティング
しＩＳＰ３ａへ引き渡すようになっている。一方、ＩＳ
Ｐ３ａがインターネット網４から受信したＩＰパケット
はＩＰ通信網９を経由して回線中継装置８に届けられ
る。そこで、回線中継装置８は受信したＩＰパケットに
ＰＰＰｏＥヘッダを付加し通信パケット（イーサネット
データフレーム）としてユーザ端末５に送出するように
している。このように、ユーザ端末５と回線中継装置８
との間ではＩＰパケットの他にＰＰＰｏＥヘッダ分のデ
ータを付加し処理している。

【０００７】

【発明が解決しようとする課題】ところが、従来のイン
ターネット常時接続サービスには以下のような問題点が
ある。すなわち、図１４に示すように本来通信データの
ために割り当てられているイーサネット・ペイロードと
呼ばれるデータ領域の一部が常にＰＰＰｏＥヘッダによ
って占有されてしまうため、通信データの伝送効率低下
を招来するという欠点がある。また、通信接続業者１に
おいて回線中継装置８は通信パケット毎にＰＰＰｏＥヘ
ッダの着脱処理をしなければならない。従ってユーザ端
末５ａ、５ｂ、５ｃ、・・・からインターネット網４へ
のアクセス速度が低下してしまいブロードバンド化の効
果を最大限に生かすことができない。

【０００８】更に、ＰＰＰｏＥのプロトコルを使ってい
るためユーザとＩＳＰ間を一対一にしか接続できない。
このためＩＳＰが画像配信等のアプリケーションサービ
スを行い多数のユーザへ画像や案内情報等を一斉配信す
るような場合にも、ＩＳＰは各ユーザに対して個別に情
報を配信しなければならず処理が煩雑となり負荷がかか
ってしまう問題点があった。本発明は上記問題点を解決
するためになされたものであって、常時接続サービスと
ブロードバンド化の効果を最大限に生かすことのできる
インターネット中継装置を提供することを目的とする。

【０００９】

【課題を解決しようとする手段】上記目的を解決するた
めに本発明に係わるインターネット中継装置の請求項１
記載の発明は、電気通信事業者（ＩＳＰ）のサーバに接
続されたＩＰ通信網とユーザの端末装置との間を接続す
る中継装置であって、該中継装置は予め各ユーザとＩＳ
Ｐとの関係を示すテーブルが保存されたユーザ情報管理
装置と、前記ユーザ端末から所定のＩＳＰに対する接続
要求を受けるとユーザ端末との間でＩＥＥＥ８０２．１
ｘに基づく認証を司る認証制御手段とを備え、該認証制
御手段は前記ユーザ情報管理装置と連携してＩＳＰとの
認証を行うようにしたものである。

【００１０】本発明に係わる中継装置の請求項２記載の
発明は請求項１において、前記認証が成立したときにの
み当該ユーザ端末と所定のＩＳＰとの間のＩＰ通信を可
能ならしめるようにしたものである。

【００１１】本発明に係わる中継装置の請求項３記載の
発明は請求項１または請求項２において、前記認証手段
による認証が成立したときにユーザ端末と所定のＩＳＰ
との間の所定の通信ポートに対して、当該ＩＳＰに対応
するＶＬＡＮタグを設定するようにしたものである。

【００１２】本発明に係わる中継装置の請求項４記載の
発明は請求項１、請求項２または請求項３において、前
記認証手段による認証が成立したときにユーザ端末と所
定のＩＳＰとの間の通信パケットに対して、当該ＩＳＰ
に対応するＶＬＡＮタグをデータとして付加したもので
ある。本発明に係わる中継装置の請求項５記載の発明は
請求項１に於いて、前記認証手段による認証が成立した
際に、ＩＳＰから送付されるＩＰアドレスを一旦記憶
し、ユーザ端末からのＩＰアドレス要求が到来するとこ
れに応答して前記ＩＰアドレスをユーザ端末に対して送
信するものである。

【００１３】

【発明の実施の形態】以下図示した実施の形態例に基づ
いて本発明を詳細に説明する。図１は本発明に係わるイ
ンターネット中継装置の実施例を示したブロック図であ
る。図１に示すようにＮＴＴ等の通信接続業者１がユー
ザ２ａ、２ｂ、２ｃ、・・・と電気通信業者であるＩＳ
Ｐ（インターネットサービスプロバイダ）３ａ、３ｂ、
３ｃ、・・・との間に介在し、ユーザ２ａ、２ｂ、２
ｃ、・・・が前記ＩＳＰ３ａ、３ｂ、３ｃ・・・の何れ
か（契約プロバイダ）を介してインターネット網４に接
続できるようにデータ（ＩＰパケット）を中継してい
る。

【００１４】ここで、前記ユーザ２ａ、２ｂ、２ｃ、・
・・はユーザ端末５ａ、５ｂ、５ｃ、・・・と、該ユー
ザ端末５ａ、５ｂ、５ｃ、・・・と光ファイバ６ａ、６
ｂ、６ｃ、・・・との間に介在し電気信号（イーサネッ
ト形式のインタフェース）と光信号の双方向の変換をす
るＯＮＵ（ＯｐｔｉｃａｌＮｅｔｗｏｒｋＵｎｉｔ：
光回線終端装置）７ａ、７ｂ、７ｃ、・・・・とを備え
ている。また、前記通信接続業者１は光ファイバ６ａ、
６ｂ、６ｃ、・・・と、前記光ファイバ６ａ、６ｂ、６
ｃ、・・・・を収容して前記ユーザ端末５ａ、５ｂ、５
ｃからのデータを中継する中継装置１０と、前記中継装
置１０からのデータを所定のＩＳＰへと引き渡すＩＰ通
信網９とを備えている。

【００１５】また、前記中継装置１０は接続ポート１１
ａ、１１ｂ、１１ｃ、・・・及び接続ポート１２ａ、１
２ｂ、１２ｃ、・・・を有しユーザ端末５ａ、５ｂ、５
ｃ、・・・から入力されたデータを該接続ポート１２
ａ、１２ｂ、１２ｃ、・・・の何れかに切り替える切替
手段１３と、前記切替手段１３を介し各ユーザ端末５
ａ、５ｂ、５ｃ、・・・とＩＳＰ３ａ、３ｂ、３ｃ、・
・・との認証を司る認証制御手段１４と、各ユーザとＩ
ＳＰとの関係を示すテーブルを備え前記認証制御手段１
４の認証を補助するユーザ情報管理装置１５とを備えて
いる。

【００１６】以下、図１に示した中継装置１０の動作に
ついて説明する。図２はユーザ２ａが中継装置１０を介
してＩＳＰ３ａとの間で認証を行いインターネット網４
へ接続する手順を示したものである。以下図２に示した
手順に沿って説明する。

【００１７】まず、ユーザ端末５ａはＩＥＥＥ８０２．
１ｘに基づく認証を開始するため接続要求を送出する
（図２（１））。中継装置１０の切替手段１３はＯＮＵ
７ａと光ファイバ７ａと接続ポート１１ａとを介して前
記接続要求を受信するとこれを認証制御手段１４に中継
する。認証制御手段１４は前記接続要求を受け取ると切
替手段１３の接続ポート１１ａを介し、折り返しユーザ
端末５ａに対しユーザＩＤを要求する（図２（２））。
ここで、前記ユーザＩＤは一般的に”ｕｓｅｒＡ＠ｐｒ
ｏ１”等という形式で記述され、”＠”より前の部分”
ｕｓｅｒＡ”はユーザの識別名称を”＠”より後ろの部
分”ｐｒｏ１”はプロバイダの識別名称を表すようにな
っている。なお、ＩＥＥＥ８０２．１ｘはドラフトの段
階を経て、現在標準規格として設定されている
。

【００１８】そこで、ユーザ端末５ａは前記接続要求に
応答しユーザＩＤを送出する（図２（３））。認証制御
手段１４は切替手段１３の接続ポート１１ａを介してユ
ーザＩＤを受け取ると、これをユーザ情報管理装置１５
に照合し（図２（４））、ユーザ情報管理装置１５に保
存されているユーザ情報テーブルから該当するプロバイ
ダを特定してその接続情報を入手する（図２（５））。
ここで、ユーザ情報テーブルは各ユーザと、その契約プ
ロバイダが発行するユーザＩＤと、当該プロバイダ名と
を関連付けて管理するためのリストである。

【００１９】次に、中継装置１０の認証制御手段１４は
前記プロバイダ接続情報を基に接続要求（ＩＰパケッ
ト）を切替手段１３のポート１２ａに送出するとＩＰ通
信網９がこれをＩＳＰ３ａに中継する（図２（６））。
そこで、ＩＳＰ３ａは前記接続要求に対してパスワード
要求（ＩＰパケット）を送出すると、これを切替手段１
３がＩＰ通信網９を介してポート１２ａから受信し認証
制御手段１４に中継する。認証制御手段１４はこれを切
替手段１３の接続ポート１１ａを介して出力しユーザ端
末５ａへ供給する（図２（７））。ユーザ端末５ａは前
記パスワード要求に応答し所定のパスワードを送出する
と、切替手段１３及び認証制御手段１４はこれを中継し
ＩＰ通信網９を介してＩＳＰ３ａに送出する（図２
（８））。

【００２０】ＩＳＰ３ａは受信したパスワードを照合し
照合が成立すると接続許可の応答を返送する。そして認
証制御手段１４は前記接続許可応答を切替手段１３の接
続ポート１２ａを介して受信するとこれを接続ポート１
１ａに中継しユーザ端末５ａに供給する（図２
（９））。次にユーザ端末５ａはＡＣＫ（了解）を返送
すると、これを切替手段１３及び認証制御手段１４が中
継しＩＰ通信網９を経てＩＳＰ３ａに届けられる（図２
（１０））。

【００２１】そこでＩＳＰ３ａは前記Ａｃｋ（了解）に
応答して認証を終了するとともに、ユーザ端末５ａに付
与するＩＰアドレスをＩＰパケットとしてＩＰ通信網９
へ送出するとこれが切替手段１３の接続ポート１２ａに
届く（図２（１１））。次に切替手段１３は接続ポート
１２ａから入手したＩＰパケットを接続ポート１１ａに
直接中継すると共に、前記ポート１１ａ及び１０ａにＶ
ＬＡＮタグを設定する（図２（１２）、（１３））。

【００２２】ここで、ＶＬＡＮタグとは切替手段１３に
おいて各接続ポートをどの接続ポートに接続すべきか管
理するための番号のことであって、予め切替手段１３に
おいて各プロバイダＩＳＰ３ａ、３ｂ、３ｃ、・・・毎
にそれぞれ独立した接続ポート１２ａ、１２ｂ、１２
ｃ、・・・が割り当てられ、それぞれの接続ポートには
予め異なるＶＬＡＮタグが１、２、３、・・・等と設定
されている。例えば接続ポート１２ａに”１”というＶ
ＬＡＮタグが予め設定されているものとすると、接続ポ
ート１１ａに対しＶＬＡＮタグを”１”と設定すること
で、接続ポート１１ａと接続ポート１２ａは自動的に接
続されることを意味している。

【００２３】次に、ＶＬＡＮタグの設定とともにユーザ
端末５ａは切替手段１３の接続ポート１２ａ及び１１ａ
を経由してＩＰアドレスを受信すると、ユーザ端末５ａ
は以降これをＩＰパケットのヘッダに送信元ＩＰアドレ
スとして付加することでインターネット網４へアクセス
することが可能となる（図２（１４））。このように、
ユーザ端末５ａがＰＰＰｏＥのプロトコルを不要としＩ
ＥＥＥ８０２．１ｘに規定された規格に基づき、通常の
イーサネットのプロトコルに基づくデータ交換によって
ＩＳＰへの認証とインターネットへの接続を可能とし、
また中継装置１０においてＰＰＰｏＥパケットの処理を
不要としたので、ブロードバンド化に対応したインター
ネット常時接続においてスループットを低減させない中
継装置を提供することができる。

【００２４】以上説明した実施例においては、中継装置
１０とＩＰ通信網９との接続において各ＩＳＰ毎に一つ
ずつ接続ポートを割り当て、各接続ポートにＶＬＡＮタ
グを設定するようにしたが本発明にあってはこれに限ら
ず、例えば切替手段１３とＩＰ通信網９との接続を一つ
の接続ポートで共用するようにしてもよい。

【００２５】ここで例えば、図２の手順を図３のように
変形することもできる。ユーザ端末５ａが前記パスワー
ド要求に応答して所定のパスワードを送出し、切替手段
１３、認証制御手段１４及びＩＰ通信網９を介してＩＳ
Ｐ３ａに送出するところ（図２（８））までは同じであ
るが、図３の場合はＩＳＰ３ａが受信したパスワードを
照合した後に返送する接続許可の応答を、認証制御手段
１４が切替手段１３の接続ポート１２ａを介して受信す
ると、その接続許可応答を接続ポート１１ａに直接中継
すると共に、前記ポート１１ａ及び１０ａにＶＬＡＮタ
グを設定する（図３（１０））。すると、ユーザ端末５
ａは切替手段１３の認証制御手段１４を経由することな
くＩＳＰ３ａにＩＰアドレス要求を直接送信することに
なる（図３（１２））。そして、ＩＳＰ３ａはＩＰアド
レス要求を受け取るとユーザ端末５ａに対してＩＰアド
レスを付与し（図３（１３））、それ以降ユーザ端末５
ａは当該ＩＰアドレスをＩＰパケットのヘッダに送信元
ＩＰアドレスとして付加することでインターネット網４
へアクセスすることが可能となる（図３（１４））。

【００２６】図４は本発明に係わるインターネット中継
装置の第２の実施例のブロック図を示したものである。
図４において中継装置１０とＩＰ通信網９との間を接続
ポート１２ａで共用している点を除けば、構成は図１で
示したものと同一である。ただし、この場合中継装置１
０においてＶＬＡＮタグの設定方法が異なるので、以下
その相違点について説明する。

【００２７】図４において、まずユーザ端末５ａは図２
に示した手順（１）〜（１１）に従い認証を実施する。
更に、中継装置１０は接続ポート１１ａにＶＬＡＮタ
グ”１”を設定するとともに図２（１１）の手順にて取
得したＩＰアドレスをユーザ端末５ａに付与する。そこ
で、以降ユーザ端末５ａは前記ＩＰアドレスをＩＰパケ
ットのヘッダに送信元ＩＰアドレスとして付加すること
でインターネット網４へアクセスすることが可能とな
る。

【００２８】ここで、中継装置１０を構成するアドバン
スト・エッジ・スイッチ１６はＩＥＥＥ８０２．１Ｑに
基づきユーザ端末５ａから受け取ったデータフレームに
対しＶＬＡＮタグに相当するＶＬＡＮタグデータ”１”
を付加し、これを接続ポート１２ａに送出する。一方、
ＩＰ通信網９に設けられたＬ２（レイヤー２）スイッチ
１７は中継装置１０から送られてきたデータに付加され
たＶＬＡＮタグデータを自動的に認識しデータを所定の
ＩＳＰまで中継する機能を有している。ここでは、ＩＰ
通信網９は予めＶＬＡＮタグデータが”１”の場合はＩ
ＳＰ３ａを選択し、”２”の場合はＩＳＰ３ｂを、”
３”の場合はＩＳＰ３ｃを選択するというように前記Ｌ
２スイッチ１７を設定しているものとする。なお、前記
ＶＬＡＮタグデータは図１４において、送信元ＭＡＣア
ドレスとイーサタイプの間に追加され、イーサネットヘ
ッダの一部として処理される。（勿論、このときにアド
バンスト・エッジ・スイッチとユーザ端末５ａ間でやり
とりされるイーサネットフレームにはＰＰＰｏＥヘッダ
がないことは言うまでもない。）

【００２９】従って、ＩＰ通信網９のＬ２スイッチ１７
はユーザ端末５ａ側から中継されてきたイーサネットデ
ータフレームの中からＶＬＡＮタグデータ”１”を抜き
取り、残りのデータをＩＳＰ３ａへ引き渡すようになっ
ている。また、ＩＰ通信網９はインターネット網４から
受信したデータをプロバイダ３ａ側から受け取ると、こ
れにＶＬＡＮタグデータ”１”を付加しデータを中継し
てアドバンスト・エッジ・スイッチ１６の接続ポート１
２ａに送出するようになっている。アドバンスト・エッ
ジ・スイッチ１６は接続ポート１２ａから受け取ったデ
ータの中からＶＬＡＮタグデータ”１”を識別して抜き
取るとともに、ＶＬＡＮタグデータ”１”に該当する接
続ポート１１ａに残りのデータを中継する。ユーザ端末
５ａはこれを受信し所定のブラウザ等でデータ内容を表
示する。

【００３０】なお、ここで説明した実施例では接続ポー
ト１１ａにユーザ端末５ａを１台のみ接続する構成とし
ているが、ユーザＡが複数台の端末をＯＮＵ７ａに接続
し、それぞれの端末が別のＩＳＰにアクセスし、前記接
続ポート１１ａを共有するといった構成にすることも可
能である。この場合、接続ポート１１ａのＶＬＡＮＴＡ
Ｇ値を複数設定可能にしておき、アドバンスト・エッジ
・スイッチ１６がユーザ端末の送信元ＭＡＣアドレスを
識別し、該送信元ＭＡＣアドレス毎に“１”“２”とい
った異なるＶＬＡＮＴＡＧデータをデータフレームに
対して付加するようにしておけばよい。

【００３１】このように、ＶＬＡＮタグデータはＩＥＥ
Ｅ８０２．１Ｑに規定されているようにイーサネットヘ
ッダに追加するだけなので、ＰＰＰｏＥヘッダのように
通信データの領域の一部を占有して伝送効率が低下する
というような心配もない。このように、ＩＰ通信網９に
はＶＬＡＮタグデータを認識する機能を有しているた
め、中継装置１０とＩＰ通信網９間でプロバイダ毎に接
続ポートを設定しなくてもよいので、一つ或いは少ない
接続ポート数で共用することも可能である。従って、中
継装置１０とＩＰ通信網９間におけるインフラの整備負
担を軽減できることはいうまでもない。

【００３２】ところで、実際には図５に示すように通信
接続業者のＩＰ通信網９と各ＩＳＰ３ａ，３ｂ・・・３
ｅとの間にはルータ１８・・・１８が設置されているの
が一般的であろう。このような構成の場合は図６のよう
な手順とするのが望ましい。図６に於いて、ユーザ端末
５ａがパスワードを中継装置１０の認証制御手段１４を
経由してＩＳＰ３ａに送信するところまでは図３と同じ
である（図６（８））。この例では、ＩＳＰ３ａが受信
したパスワードを照合した後、接続許可応答を返送する
際に、これと同時にＩＰアドレスを切替手段１３に送出
し、切替手段１３の認証制御手段１４では受け取ったパ
ケットから前記ＩＰアドレスを抜き取り保持した上で、
接続許可応答のみを接続ポート１１ａに直接中継すると
共に、前記ポート１１ａにＶＬＡＮタグを設定するので
ある（図６（１０））。

【００３３】そして、ユーザ端末５ａがＩＰアドレス要
求を送出すると（図６（１２））、切替手段１３の認証
制御手段１４は、これを受け取り先ほど保持しておいた
ＩＰアドレスをユーザ端末５ａに対して付与する（図６
（１３））。つまり中継装置１０の認証制御手段１４が
擬似的なＤＨＣＰサーバとして機能するのである。以降
ユーザ端末５ａは、前記ＩＰアドレスをＩＰパケットの
ヘッダに送信元ＩＰアドレスとして付加することで、イ
ンターネット網４へアクセスすることが可能となる（図
６（１４））。

【００３４】なお、このとき中継装置１０から付与され
るＩＰアドレスはＤＨＣＰプロトコルに基づき図７に示
すデータフォーマットで送られ、ＩＰアドレスはＤＨＣ
Ｐペイロードに含まれている。また中継装置１０からの
ＩＰアドレス付与方法としては、前記ＤＨＣＰプロトコ
ル以外にＩＰＣＰプロトコルを用いる方法であってもよ
い。この場合、中継装置１０から与えるデータフォーマ
ットは、図８（ａ）或いは図８（ｂ）に示した二つの例
が考えられる。ここで、図８（ａ）（ｂ）のいずれも、
ＩＰアドレスはＩＰＣＰペイロードに含まれているが、
ＥＡＰＯＬヘッダを付与した図８（ａ）の例はＩＥＥＥ
８０２．１ｘに準拠し、図８（ｂ）の例は通常のイーサ
ネットに対応したものである。

【００３５】次に、ユーザ端末の監視機能について説明
する。ＩＥＥＥ８０２．１ｘにおいては、ＰＰＰプロト
コルで用いられている「ＬＣＰＥｃｈｏＲｅｑｕｅ
ｓｔ／ＬＣＰＥｃｈｏＲｅｐｌｙ」といったユーザ
端末を定期的に監視する機能については特に規定されて
いないが、ＲＥＡＵＴＨといったユーザ再認証に関する
規定があり、悪意のあるユーザ等による不正な成りすま
し等を防止する目的に利用できる。しかしながら、この
規定に従うと、ある一定の時間間隔で中継装置１０はユ
ーザ端末に対してユーザＩＤを要求し、その都度認証を
行ってしまう。従って図２、３、６で示した認証ルーチ
ン（２）〜（１４）を繰り返すことになるので、ユーザ
再認証をユーザ端末の定期的な監視機能として使用する
ことは、ＩＳＰ及び中継装置１０の処理負担が増大し好
ましくない。

【００３６】これを回避するために、中継装置１０がユ
ーザ端末との間で監視フレームをやり取りするようにし
てもよい。この場合、中継装置１０は予め設定した所定
時間毎にユーザ端末に対しユーザ監視要求を送出する。
ユーザ端末はこれに対する応答を返すようにしておく。
中継装置１０はユーザ端末からの応答があればユーザ端
末のアクセスを継続するものとする。この間ＩＳＰとユ
ーザ端末との間でデータのやり取りが生じることもな
い。

【００３７】このようにすれば、ＩＳＰに多大な処理負
担を強いることなくユーザ端末の定期的監視をスムーズ
に実行できる。なお、ユーザ端末の定期的監視において
中継装置１０とユーザ端末との間でやり取りされる監視
フレームは、図９（ａ）に示したＩＥＥＥ８０２．１ｘ
に準拠するＥＡＰＯＬヘッダを付加した形式で与える
か、或いは図９（ｂ）のように通常のイーサネットフレ
ームとして与えるか、いずれであってもよい。

【００３８】次に、中継装置のセキュリティ維持機能に
ついて説明する。図１或いは図４、５に示した切替手段
１３またはアドバンスト・エッジ・スイッチ１６は複数
の接続ポートを備え、これら各接続ポートにＶＬＡＮ
ＴＡＧが設定されることを説明した。ここで、例えば図
１において、ユーザ２ａ、２ｂ、２ｃ用の接続ポート１
１ａ、１１ｂ、１１ｃ全てが同一のＶＬＡＮＴＡＧ値
に設定されているとしよう。このとき、各ユーザ端末５
ａ、５ｂ、５ｃから中継装置１０を見ると、同じＶＬＡ
ＮＴＡＧ値を持つユーザ端末同士は、接続ポート１１
ａ、１１ｂ、１１ｃを介して互いに接続された状態、す
なわちＨＵＢによって接続された状態に等しい。従っ
て、このとき各ユーザ端末５ａ、５ｂ、５ｃが相互にア
クセスが可能な状態となり、セキュリティ保持の観点か
らいうと好ましいものではない。

【００３９】以下、これを回避するための実施例を説明
する。図１０は図５で示した実施例において、アドバン
スト・エッジ・スイッチ１６の前段にパケットフィルタ
部１９を付加したものである。パケットフィルタ部１９
はイーサネットフレームのＭＡＣアドレスを監視し、予
め設定されたＭＡＣアドレス以外のイーサネットフレー
ムは通過させないように制限を加えるものである。

【００４０】例えば、図１０においてユーザ端末５ａ、
５ｂ、５ｃがそれぞれＩＳＰ３ａにアクセスしているも
のとし、接続ポート１１ａ、１１ｂ、１１ｃが同じＶＬ
ＡＮＴＡＧ値に設定されているとしよう。このとき、例
えばユーザ端末５ａから送出されたイーサネットフレー
ムはパケットフィルタ部１９をそのまま通過し、接続ポ
ート１１ａから接続ポート１１ｂ、１１ｃ及び接続ポー
ト１２ａへと中継される。そこでこれら中継されたイー
サネットフレームが通信ポート１１ｂ、１１ｃからパケ
ットフィルタ部１９へ入力されたとき、その送信元ＭＡ
Ｃアドレスが参照される。参照した送信元ＭＡＣアドレ
スがＩＳＰ３ａのゲートウェイのＭＡＣアドレスに該当
しないときは、中継されてきたイーサネットフレームが
ＩＳＰ３ａ以外から中継されて来たものと判断し、これ
を破棄するようにする。つまり、パケットフィルタ部１
９から見たとき、ユーザ端末から供給されるデータフレ
ームはそのまま通過させるが、逆にユーザ端末へ供給す
るものについては制限をかける訳である。

【００４１】また、パケットフィルタ部１９を付加した
他の実施例を図１１に示す。この実施例では、異なる２
台の中継装置１ａ、１ｂがそれぞれユーザ端末５ａ、５
ｂ、５ｃ、５ｄを収容し、ＩＰ通信網９に接続している
例を示している。なお、中継装置１ａ、１ｂについては
認証制御手段１４等の図示を省略する。図１１におい
て、ユーザ端末５ａ（ユーザＡ）及びユーザ端末５ｃ
（ユーザＣ）が、ＩＳＰ３ａにそれぞれアクセスし、そ
れぞれの接続ポート１１ａは同じＶＬＡＮＴＡＧ値に
設定されているものとする。このときユーザ端末５ａか
ら送出されたＩＳＰ３ａ宛のイーサネットフレームはパ
ケットフィルタ部１９ａを通過し、中継装置１６ａに入
力される。中継装置１６ａは前記イーサネットフレーム
を処理し、これにＶＬＡＮＴＡＧデータを付加し、接
続ポート１２ａからこれを出力する。

【００４２】従って、このイーサネットフレームはＶＬ
ＡＮＴＡＧデータに従い、ＩＰ通信網９からＩＳＰ３
ａへと中継されると共に、中継装置１６ｂの接続ポート
１２ａにも中継されてしまう。一方、中継装置１ｂに中
継されたイーサネットフレームはＶＬＡＮＴＡＧデー
タが参照され接続ポート１１ｂへと中継される。しかし
ながら、ユーザ端末５ｃと接続ポート１１ｂとの間には
パケットフィルタ部１９ｂが介在し、送信元ＭＡＣアド
レスとＩＳＰ３ａのゲートウェイのＭＡＣアドレスとを
照合し一致しない場合はイーサネットフレームを破棄す
る。従ってユーザ端末５ａとユーザ端末５ｃはＩＰ通信
網９を介した状態でも互いにセキュリティを維持するこ
とが可能となる。

【００４３】以上、説明した本発明に係わるインターネ
ット中継装置はＩＥＥＥ８０２．１ｘを想定したＡＤＳ
ＬやＦＴＴＨといった常時接続サービスを想定している
が、ＰＰＰｏＥプロトコルを利用した従来の常時接続サ
ービスも併存できるようにしてもよい。図１２にＩＥＥ
Ｅ８０２．１ｘ及びＰＰＰｏＥのいずれにも対応可能な
インターネット中継装置の一部（アドバンスト・エッジ
・スイッチ）のブロック図を示す。

【００４４】この実施例では、アドバンスト・エッジ・
スイッチ１６は接続ポート１１ａ、１１ｂから入力した
イーサネットフレームが８０２．１ｘタイプか或いはＰ
ＰＰｏＥタイプかを判定しこれを振り分けるフィルタ部
２０と、８０２．１ｘ処理部２１及びＰＰＰ処理部２２
を有し前記フィルタ部２０から供給されたデータタイプ
に従いこれを処理するデータ処理部２３と、前記データ
処理部２３が出力するデータを多重化し接続ポート１２
ａに出力する多重化スイッチ２４を備えている。

【００４５】図１２に示したアドバンスト・エッジ・ス
イッチ１６の動作について簡単に説明する。まず、例え
ば接続ポート１１ａからイーサネットフレームが供給さ
れるとフィルタ部２０はイーサネットヘッダのイーサタ
イプ部分（４オクテットの情報、図１４を参照）を照合
する。これが「８８６３」或いは「８８６４」であれば
イーサネットフレームをＰＰＰ処理部２２へ供給し、そ
れ以外の場合は８０２．１ｘ処理部２１へと振り分け
る。

【００４６】前記フィルタ部２０から供給されたデータ
は、データ処理部２３において８０２．１ｘ処理部２１
或いはＰＰＰ処理部２２のいずれかで認証処理等の処理
をなされた後、多重化スイッチ２４へと出力される。多
重化スイッチ２４はこれを他のデータ処理部２３から出
力されたデータと共に多重化し接続ポート１２ａへと出
力する。一方、接続ポート１２ａから入力されたデータ
は以上説明した処理とほぼ同様なので説明は省略する。
なお、ＰＰＰ処理部２２においてイーサネットフレーム
が処理される場合、８０２．１ｘの認証プロトコルは使
えない。従って、必要なら認証制手段１４にはＰＰＰｏ
Ｅに対応した認証機能を別途追加しておけばよい。この
ようにＰＰＰｏＥ或いは８０２．１Ｅいずれにも対応可
能としておくと、客先の希望に応じて柔軟に対応できる
ので、サービスの質の向上にもつながり大変望ましいと
いえよう。

【００４７】

【発明の効果】本発明は以上説明したように、ユーザ端
末がＩＥＥＥ８０２．１ｘに規定されたプロトコルに基
づき、通常のイーサネット上のデータ交換によってＩＳ
Ｐへの認証とインターネットへの接続を可能とし、また
中継装置においてＰＰＰｏＥパケットの処理を不要とし
ＶＬＡＮタグに基づく中継処理としたので、ブロードバ
ンド化に対応したインターネット常時接続においてスル
ープットを低減させない中継装置を提供する上で著効を
奏す。

【００４８】

【その他】尚、本文中「イーサネット」及び「Ｅｔｈｅ
ｒｎｅｔ」は登録商標です。

【図面の簡単な説明】

【図１】本発明に係わるインターネット中継装置の第１
の実施例を示すブロック図。

【図２】第１の実施例を用いたインターネット認証手順
を示した図。

【図３】第１の実施例を用いた別のインターネット認証
手順を示した図。

【図４】本発明に係わるインターネット中継装置の第２
の実施例を示すブロック図。

【図５】ＩＰ通信網とＩＳＰ間にルータを有する場合の
適用例を示すブロック図。

【図６】図５の場合のインターネット認証手順を示した
図。

【図７】ＤＨＣＰプロトコルに基づく通信パケットのデ
ータ構造。

【図８】ＩＰＣＰプロトコルに基づく通信パケットのデ
ータ構造。

【図９】監視フレームが付加された通信パケットのデー
タ構造。

【図１０】パケットフィルタ部が付加された第１の変形
実施例。

【図１１】パケットフィルタ部が付加された第２の変形
実施例。

【図１２】アドバンスト・エッジ・スイッチの変形実施
例。

【図１３】従来のインターネット中継装置の実施例を示
すブロック図。

【図１４】ＰＰＰｏＥに基づく通信パケットのデータ構
成図。

【符号の説明】

１・・・通信接続業者２、２ａ、２ｂ、２ｃ、・・・ユーザ３、３ａ、３ｂ、３ｃ、・・・ＩＳＰ（インターネット
サービスプロバイダ）４・・・インターネット網５、５ａ、５ｂ、５ｃ、・・・ユーザ端末６、６ａ、６ｂ、６ｃ、・・・光ファイバ７、７ａ、７ｂ、７ｃ、・・・ＯＮＵ（光回線終端装
置）８・・・回線中継装置９・・・ＩＰ通信網１０・・・中継装置１１ａ、１１ｂ、１１ｃ、・・・接続ポート１２ａ、１２ｂ、１２ｃ、・・・接続ポート１３・・・切替手段１４・・・認証制御手段１５・・・ユーザ情報管理装置１６・・・アドバンスト・エッジ・スイッチ１７・・・Ｌ２スイッチ１８・・・・・・ルータ１９、１９ａ、１９ｂ・・・パケットフィルタ部２０・・・フィルタ部２１・・・８０２．１ｘ処理部２２・・・ＰＰＰ処理部２３・・・データ処理部２４・・・多重化スイッチ

───────────────────────────────────────────────────── フロントページの続き (72)発明者前野和洋神奈川県高座郡寒川町小谷二丁目１番１号東洋通信機株式会社内Ｆターム(参考） 5B085 AA03 AE04 AE23 BG02 5K030 GA03 GA15 HA08 HC01 HD03 HD06 JA07 KA01 5K033 AA01 AA08 BA08 CC01 DA01 DA06 DB14 DB16 DB18 EA03

Claims

【特許請求の範囲】

【請求項１】電気通信事業者（ＩＳＰ）のサーバに接続
されたＩＰ通信網とユーザの端末装置との間を接続する
中継装置であって、該中継装置は予め各ユーザとＩＳＰ
との関係を示すテーブルが保存されたユーザ情報管理装
置と、前記ユーザ端末から所定のＩＳＰに対する接続要
求を受けるとユーザ端末との間でＩＥＥＥ８０２．１ｘ
に基づく認証を司る認証制御手段とを備え、該認証制御
手段は前記ユーザ情報管理装置と連携してＩＳＰとの認
証を行うことを特徴とするインターネット中継装置。
【請求項２】前記認証が成立したときにのみ当該ユーザ
端末と所定のＩＳＰとの間のＩＰ通信を可能ならしめる
ことを特徴とする請求項１記載のインターネット中継装
置。
【請求項３】前記認証手段による認証が成立したときに
ユーザ端末と所定のＩＳＰとの間の所定の通信ポートに
対して、当該ＩＳＰに対応するＶＬＡＮタグを設定する
ことを特徴とする請求項１または請求項２記載のインタ
ーネット中継装置。
【請求項４】前記認証手段による認証が成立したときに
ユーザ端末と所定のＩＳＰとの間の通信パケットに対し
て、当該ＩＳＰに対応するＶＬＡＮタグをデータとして
付加したことを特徴とする請求項１、請求項２または請
求項３記載のインターネット中継装置。
【請求項５】前記認証手段による認証が成立した際に、
ＩＳＰから送付されるＩＰアドレスを記憶し、ユーザ端
末からのＩＰアドレス要求に応答して前記ＩＰアドレス
をユーザ端末に対して送信することを特徴とする請求項
１記載のインターネット中継装置。