JP4050500B2

JP4050500B2 - 通信方法および装置

Info

Publication number: JP4050500B2
Application number: JP2001348939A
Authority: JP
Inventors: 宗律里見; 明浩大▲高▼
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2001-11-14
Filing date: 2001-11-14
Publication date: 2008-02-20
Anticipated expiration: 2021-11-14
Also published as: JP2003150468A

Description

【０００１】
【発明の属する技術分野】
本発明は、パケット通信を行う通信網において、認証が終了した通信セッションから特定の条件を満たしたパケットを取り出し、認証を行わない通信方式に再構築して転送する通信方法および装置に関する。
【０００２】
【従来の技術】
認証を行わない通信のセッションから特定の条件を満たすパケットを取り出し、適切なあて先に転送する装置として、レイヤ４スイッチが知られている。レイヤ４スイッチを用いたネットワーク形態の例を図１０に示す。レイヤ４スイッチ１１は、例えばサーバ１２とクライアント端末１３の途中の伝送路にネットワーク１４を介して挿入され、サーバ１２とクライアント端末１３間の通信セッションのパケットであらかじめ設定された特定の条件を満たすパケットを抽出し、キャシュサーバ１５、映像サーバ１６、Ｗｅｂサーバ１７などの他の端末へ転送する装置である。レイヤ４スイッチ１１を用いることによりクライアント端末１３とサーバ１２間の通信のうち、容量の多いリッチコンテンツや特定の帯域を必要とする映像コンテンツなどをキャシュサーバ１５から配信することが可能となり、サーバの負荷の軽減、ネットワークの混雑の軽減など、安定的なネットワークの確保という効果が得られる。
【０００３】
しかし、従来のレイヤ４スイッチ１１では、パケットの内容やプロトコル・フォーマットまでは変更できず、単純に転送先を変更するだけである。このため図１１に示すように、サーバ１２とクライアント端末１３間に存在するネットワーク１４でＰＰＰ（ポイント−ツゥ−ポイントプロトコル）などの認証を行うプロトコルを用いた場合には適用することができない。これは、認証が１対１で行われるためであり、クライアント端末１３とサーバ１２間あるいはクライアント端末１３とサーバ１２側のネットワーク１４に配置されたゲートウエイ間で認証が成立した場合に、同じ形式のパケットを別のキャシュサーバなどに転送したとしても、キャシュサーバあるいはキャシュサーバ側のネットワークに配置されたゲートウエイで認証が成立していないために、そのパケットの内容を認識することができないためである。
【０００４】
したがって、ＰＰＰを用いる場合に、コンテンツをさまざまなサーバより配信するためには、図１２に示すようにＰＰＰを終端するアクセスサーバ１８を複数用意する必要がある。しかしこの場合においては、クライアント端末１３側から複数のＰＰＰセッションを確立する必要があり、どのサーバからコンテンツを配信するかはクライアント側のＰＰＰセッションの使い方に依存する。このため、コンテンツ配信者やネットワーク管理者がネットワークにとって最適なコンテンツ配信サーバを決定することができないという問題があった。
【０００５】
【発明が解決しようとする課題】
前記に説明したように、従来の技術ではクライアント端末とサーバ間のネットワークで認証を行った場合に、通信のセッションから特定の条件を満たすパケットを取り出し、適切なあて先に転送することが出来ないという課題があった。また、認証セッションをクライアントが複数確立することにより、複数のサーバからコンテンツの配信を可能とする方法がこれまでもあったが、どのサーバから配信を受けるかはクライアントの動作に依存し、ネットワーク管理者やコンテンツ配信者が適切なサーバへ導くことができないという課題があった。
【０００６】
本発明は上記の事情に鑑みてなされたもので、認証が終了した通信セッションを記憶し、該当セッションにより通信を行う装置と、認証を行わない通信方法を用いる装置との間の通信を、あらかじめ設定された条件に基づいて行うことが可能である通信方法および装置を提供することを目的とする。
【０００７】
【課題を解決するための手段】
上記目的を達成するために本発明は、パケット通信を行う通信網において、特定の通信セッションに対して認証を行うアクセスサーバとクライアント端末間に配置される通信装置を用いた通信方法であって、前記通信装置が、前記アクセスサーバとクライアント端末間で通信されるパケットを監視し、認証されたセッションに属する通信パケットでかつあらかじめ設定された少なくともあて先アドレスを含む条件を満たすパケットを、認証を行わない通信形式のパケットに再構築してあらかじめ指定された他の装置へ転送することを特徴とする。
【０００８】
また本発明は、パケット通信を行う通信網において、特定の通信セッションに対して認証を行うアクセスサーバとクライアント端末間に配置される通信装置を用いた通信方法であって、前記通信装置が、セッションを認証する際に行われる通信のパケットに記載されている、送信先あるいは送信元アドレスの少なくとも一方のアドレスとセッションあるいは該セッションの通信が行われるネットワークに与えられた識別子とをセッションごとに記憶し、他の装置から入力されたパケットであって前記記憶したアドレスに宛てて送信される認証を行わない通信形式のパケットを、認証されたセッションに属する通信形式のパケットでかつ前記識別子を有するパケットに再構築して認証されたセッションに転送することを特徴とする。
【０００９】
また本発明は、前記通信方法において、前記通信装置が、認証されたセッションを識別する方法として、セッションに与えられた識別子あるいはネットワークに与えられた識別子あるいは通信のパケットに記憶されているアドレスの少なくとも１つを用いることを特徴とする。
【００１０】
また本発明は、前記通信方法において、前記通信装置が、セッションの解放を通知する通信を検出した場合、該当セッションに対する記憶していたアドレスを消去することを特徴とする。
【００１２】
また本発明は、前記通信方法において、前記通信装置が、認証されたセッションに属する通信パケットでかつあらかじめ設定された少なくともあて先アドレスを含む条件を満たすパケットを物理的に異なる通信ポートに転送することを特徴とする。
【００１３】
また本発明は、前記通信方法において、前記あらかじめ設定された少なくともあて先アドレスを含む条件として、あて先アドレスの他に、パケット内に記憶された送り元アドレス、プロトコル番号、優先度、ポート番号、サーバ名、ＵＲＬの少なくとも１つを利用することを特徴とする。
【００１４】
また本発明は、前記通信方法において、前記通信装置が、セッションの解放を通知する通信を検出した場合、該当セッションに対する転送動作を行わないことを特徴とする。
【００１５】
また本発明は、前記通信方法において、前記通信装置が、あらかじめ定められた一定時間、通信パケットがなかった場合に、該当セッションに対する転送動作を行わないことを特徴とする。
【００１６】
また本発明の通信装置は、パケット通信を行う通信網において、特定の通信セッションに対して認証を行うアクセスサーバとクライアント端末間に配置される通信装置であって、前記アクセスサーバとクライアント端末間で通信されるパケットを監視し、認証されたセッションに属する通信パケットでかつあらかじめ設定された少なくともあて先アドレスを含む条件を満たすパケットを、認証を行わない通信形式のパケットに再構築してあらかじめ指定された他の装置へ転送することを特徴とするものである。
【００１７】
また本発明の通信装置は、パケット通信を行う通信網において、特定の通信セッションに対して認証を行うアクセスサーバとクライアント端末間に配置される通信装置であって、セッションを認証する際に行われる通信のパケットに記載されている、送信先あるいは送信元アドレスの少なくとも一方のアドレスとセッションあるいは該セッションの通信が行われるネットワークに与えられた識別子とをセッションごとに記憶し、他の装置から入力されたパケットであって前記記憶したアドレスに宛てて送信される認証を行わない通信形式のパケットを、認証されたセッションに属する通信形式のパケットでかつ前記識別子を有するパケットに再構築して認証されたセッションに転送することを特徴とするものである。
【００１８】
また本発明は、前記通信装置において、セッションに与えられた識別子あるいはネットワークに与えられた識別子あるいは通信のパケットに記載されているアドレスの少なくとも１つを用いて認証されたセッションを識別することを特徴とするものである。
【００１９】
また本発明は、前記通信装置において、セッションの解放を通知する通信を検出した場合、該当セッションに対する記憶していたアドレスを消去することを特徴とするものである。
【００２１】
また本発明は、前記通信装置において、認証されたセッションに属する通信パケットでかつあらかじめ設定された少なくともあて先アドレスを含む条件を満たすパケットを物理的に異なる通信ポートに転送することを特徴とするものである。
【００２２】
また本発明は、前記通信装置において、前記あらかじめ設定された少なくともあて先アドレスを含む条件として、あて先アドレスの他に、パケット内に記憶された送り元アドレス、プロトコル番号、優先度、ポート番号、サーバ名、ＵＲＬの少なくとも１つを利用することを特徴とするものである。
【００２３】
また本発明は、前記通信装置において、セッションの解放を通知する通信を検出した場合、該当セッションに対する転送動作を行わないことを特徴とするものである。
【００２４】
また本発明は、前記通信装置において、あらかじめ定められた一定時間、通信パケットがなかった場合に、該当セッションに対する転送動作を行わないことを特徴とするものである。
【００２５】
本発明では、認証を行う通信セッションにおいて、認証確立を監視し、認証が確立した通信セッションから特定の条件を満たすパケットを抽出し、認証を行わない通信方法に変換した後にキャシュサーバ等へ転送を行う。認証を行う通信セッションとは例えばＰＰＰｏＥ（ＰＰＰオーバイーサネット）やＬ２ＴＰ（レイヤ２トンネルプロトコル）などがあり、認証を行わない通信方法としては、イーサネット上に直接ＩＰ（インタネットプロトコル）が載った形態などがある。
【００２６】
また、キャシュサーバなどから送信される認証を行わない通信方法のパケットを受信した場合には、そのあて先アドレス等から、通信セッションを特定し、認証を行う通信方法のパケットに変換して転送を行う。
【００２７】
また、本発明によると、セッションの解放を通知する通信の検出あるいは一定時間通信がない場合には、上記動作を停止することで、認証が完了していないクライアントがネットワークに侵入することを防いでいる。
【００２８】
このように本発明を用いることにより、１対１で認証が行われている通信セッションに対して、認証行わない通信方法のパケットを挿入、抽出することが可能であり、認証プロトコルを用いながら、ネットワーク管理者やコンテンツ配信者が適切なサーバへ導くことができる。
【００２９】
【発明の実施の形態】
以下図面を参照して本発明の実施形態例を詳細に説明する。
【００３０】
［実施形態例１］
本発明の実施形態例として、ＰＰＰ（ポイント−トゥ−ポイントプロトコル）およびＰＰＰｏＥ（ＰＰＰオーバイーサネット）プロトコルを用いた通信セッションに本発明の通信装置および通信方法を適用した例を示す。
【００３１】
図１に示すように、本発明の通信装置２１はＰＰＰｏＥクライアント端末１３とアクセスサーバ１８の間に配置される。ＰＰＰｏＥクライアント端末１３とアクセスサーバ１８の間でＰＰＰ／ＰＰＰｏＥプロトコルを用いて通信セッションの認証が行われ、アクセスサーバ１８よりセッションＩＤ（識別子）がセッションに対して付与される。ＰＰＰｏＥクライアント端末１３は認証されたセッションを通じて、アクセスサーバ１８の反対側に配置されたネットワーク１４と通信することが可能となる。
【００３２】
まず、セッションの確立が行われていない初期状態での動作の説明を行う。初期状態においては、本発明の通信装置２１は図１に示すポートＡとポートＢの間でパケットを転送するブリッジとして動作する。この際、ポートＣへパケットを転送することはない。またポートＣに入力されたパケットをポートＡ，ポートＢに転送することはない。
【００３３】
次に、ＰＰＰｏＥクライアント端末１３がＰＰＰ／ＰＰＰｏＥセッションの確立シーケンスを開始した場合について説明を行う。本実施形態例のパケット転送装置は、ポートＡあるいはポートＢから入力されたパケットのＰＰＰｏＥヘッダ上にある１オクテットのコードフィールドを読み取る。ＰＰＰｏＥプロトコルにおいては、まずディスカパリステージにより、ＰＰＰｏＥセッションＩＤがアクセスサーバ１８からクライアント端末１３に通知される。この通知を行うパケットはＰＡＤＳと呼ばれ、前述のコードフィールドが０ｘ６５である。本実施形態例では、前述のコードフィールドが０ｘ６５の場合に、ＰＰＰｏＥヘッダ中に記載されているＰＰＰｏＥセッションＩＤをＰＰＰｏＥクライアントのＭＡＣアドレスと合わせて本発明の通信装置２１で記憶する。また、読み取られたコードフィールドが０ｘ００であればＰＰＰｏＥのディスカパリステージが終了し、ＰＰＰセッションステージ上でＰＰＰプロトコルのやり取りが開始されている。この状態でＰＰＰｏＥヘッダ上にある２オクテットのＰＰＰｏＥセッションＩＤを読み取り、本発明の通信装置２１で記憶しても良い。いずれにせよ、ＰＰＰｏＥセッションＩＤの学習はクライアント端末１３側から送信される通信パケットでもアクセスサーバ１８側から送信される通信パケットでも良いが、ここではセキュリティを考慮しアクセスサーバ１８側から送信される通信パケット内に記載されているＰＰＰｏＥセッションＩＤをＰＰＰｏＥクライアントのＭＡＣアドレスと合わせて記憶する。
【００３４】
上記の実施形態例では、セッションＩＤをＰＰＰｏＥプロトコルを用いて記憶したが、さらにセキュリティを向上させるために、ＰＰＰセッションステージを用いる例を示す。
【００３５】
ＰＰＰｏＥにおいてディスカパリステージが終了するとＰＰＰステージに移行する。ＰＰＰステージにおいては、まずＣＨＡＰ（チャレンジ・ハンドシェーク認証プロトコル）やＰＡＰ（パスワード認証プロトコル）などが用いられて認証が行われる。さらに、一般的にはＰＰＰの上位レイヤとしてＩＰを使用しており、この場合にはＩＰＣＰ（ＩＰ制御プロトコル）を用いてＩＰアドレスをアクセスサーバ１８から提供することが一般に行われる。ここで、この一連のＰＰＰステージの終了時に、アクセスサーバ１８側から送信される通信パケット内に記載されているＰＰＰｏＥセッションＩＤをＰＰＰｏＥクライアントのＭＡＣアドレスと合わせて記憶する。
【００３６】
このような動作を行うことにより、ＣＨＡＰ、ＰＡＰなどの認証が正常に終了した通信セッションに対してのみＰＰＰｏＥセッションＩＤを本発明の通信装置２１が記憶することとなり、セキュリティが向上する。またさらに、ＩＰＣＰにおいてアクセスサーバから提供されたＩＰアドレスをも本通信装置２１で学習することにより、ＰＰＰｏＥセッションＩＤとＩＰアドレスとＭＡＣアドレスが一致したパケットにのみ所定の動作をすることができ、セキュリティがさらに向上する。
【００３７】
ここまでは、すべての確立した通信セッションに対して、事後的にＰＰＰｏＥセッションＩＤを学習する例をしめしたが、あらかじめ設定された特定の通信セッションにのみＰＰＰｏＥセッションＩＤを学習する例を示す。
【００３８】
この例では、本発明の通信装置２１にあらかじめＰＰＰｏＥクライアントのＭＡＣアドレスが設定されており、特定のＭＡＣアドレス宛にアクセスサーバ１８側から送信される通信パケットに対してのみ上記実施形態例と同じ方法でＰＰＰｏＥセッションＩＤを記憶する。このような動作をすることにより、許可されたＭＡＣアドレスを有するＰＰＰｏＥクライアント以外のＰＰＰｏＥクライアントがアクセスサーバと確立した通信セッションに対しては、ＰＰＰｏＥセッションＩＤを学習することなく、特定のクライアントにのみＰＰＰｏＥセッションＩＤを学習することが可能である。
【００３９】
前述の例ではＰＰＰｏＥセッションＩＤをＭＡＣアドレスと合わせて記憶する方法を説明したが、ここでは、ＰＰＰｏＥセッションＩＤを他のものと関連づけて記憶する方法を説明する。ここでは、ＰＰＰｏＥクライアント端末１３とアクセスサーバ１８間がＩＥＥＥ８０２．１Ｑに規定されたＶＬＡＮ（仮想ＬＡＮ）で接続されている場合について説明を行う。
【００４０】
ＰＰＰｏＥクライアント端末１３とアクセスサーバ１８間がＩＥＥＥ８０２．１Ｑに規定されたＶＬＡＮで接続されている場合には、ＰＰＰｏＥクライアント端末１３とアクセスサーバ１８間でやり取りされる通信パケットにはＶＬＡＮタグとしてＶＬＡＮ毎に一意にあらかじめ設定されたＶＬＡＮＩＤが記載される。このため前述の方法と同様の方法でＰＰＰｏＥセッションＩＤを記憶する際に、ＰＰＰｏＥクライアントのＭＡＣアドレスおよびＶＬＡＮＩＤと合わせて記憶する。前述のように、ＩＰＣＰでアクセスサーバ１８から提供されるＩＰアドレスとも合わせて記憶してもよい。このような動作により、ＭＡＣアドレス、ＶＬＡＮＩＤ、ＰＰＰｏＥセッションＩＤおよびＩＰアドレスのすべてが一致したパケットにのみ所定の動作をすることができ、セキュリティがさらに向上する。また、ＶＬＡＮを使用する場合には、ＶＬＡＮ毎にＰＰＰｏＥセッションＩＤの記憶、非記憶を設定することにより、特定のＶＬＡＮに所属するＰＰＰｏＥクライアント端末のＰＰＰｏＥセッションＩＤのみを記憶することが可能となる。
【００４１】
以上、本発明の通信装置２１によるＰＰＰｏＥセッションＩＤの記憶方法について説明した。次に記憶したＰＰＰｏＥセッションＩＤを持つ通信セッションから特定の通信パケットを抽出し、認証を用いない通信方式に変換する方法について説明を行う。
【００４２】
本実施形態例では、認証を用いない通信方式として、イーサネット上でのＩＰ通信を使用した例を示す。
【００４３】
本発明の通信装置２１は前述のようにＰＰＰｏＥセッションＩＤを記憶する。さらに本発明の通信装置２１には、あらかじめ所定の条件を設定しておく。ここではＰＰＰプロトコル上でＩＰ通信を行う場合を例にとり、あて先ＩＰアドレスを条件として設定した場合を例にとり説明を行う。
【００４４】
本発明の通信装置２１は、記憶したＰＰＰｏＥセッションＩＤ有する通信パケットを監視し、あて先ＩＰアドレスとして設定されたＩＰアドレスを有するかどうか判定する。あて先ＩＰアドレスが設定されたＩＰアドレスでない場合には、その通信パケットはポートＡからＢあるいはポートＢからＡへブリッジされる。このため、あて先ＩＰアドレスが設定されたＩＰアドレスでない通信においては、ＰＰＰｏＥクライアント端末１３とアクセスサーバ１８の間の通信は、本発明の通信装置２１の挿入によって影響を受けない。
【００４５】
これに対し、ポートＡから入力された通信パケットが記憶したＰＰＰｏＥセッションＩＤを有しなおかつあらかじめ本発明の通信装置２１に設定されたＩＰアドレスをあて先ＩＰアドレスとして持つ場合には、図２に示す動作を行うことにより、イーサネット上でのＩＰ通信に変換されてポートＣに転送される。まず、記憶したＰＰＰｏＥセッションＩＤを有しなおかつ通信パケットのあて先ＩＰアドレスがあらかじめ設定されたＩＰアドレスである通信パケットから、ＩＰパケット部分を取り出す。さらに、あらかじめ設定されるかもしくはＡＲＰ（アドレス解決プロトコル）で入手したＭＡＣアドレスをあて先としたＭＡＣヘッダを付与し、ＦＣＳ（フレームチェックシーケンス）を再計算してイーサネットフレームを構築する。さらにこのイーサネットフレームをポートＣから出力する。
【００４６】
この例では、イーサネットヘッダに記憶されるあて先ＭＡＣアドレスを、ＰＰＰｏＥクライアント端末１３、アクセスサーバ１８間で行われる通信パケットのあて先ＭＡＣアドレスから変更した。この変更は、通常のサーバ等は自ＭＡＣアドレスをあて先ＭＡＣアドレスに持つイーサネットフレームしか受信しないために行うものであり、変更後のあて先ＭＡＣアドレスはサーバやルータなど、次にこのフレームを受信すべき装置のアドレスとする。本実施形態例では、本発明の通信装置２１のポートＣがＩＰ通信を行うポートであることから、本発明の通信装置２１にルーティングプロトコルを実装し、通常のルーティング動作にしたがって、次にこのフレームを受信すべき装置を決定する。さらに次にこのフレームを受信すべき装置のＭＡＣアドレスの決定には通常のＡＲＰを使用する。
【００４７】
以上のような動作を行うことにより、認証が終了し、さらに、あらかじめ設定により許可されたＭＡＣアドレスを有するＰＰＰｏＥクライアントあるいは、あらかじめ設定により許可されたＶＬＡＮに属するＰＰＰｏＥクライアントからの通信パケットで、特定のあて先ＩＰアドレスに向けられた通信パケットは、アクセスサーバ１８を経由することなく、通常のＩＰパケットとしてポートＣに転送可能である。また、この動作により、ポートＣ側に設置された通常のＩＰ通信を行うサーバにパケットを転送することが可能である。このため、特定のＰＰＰｏＥクライアントからの通信を、本発明の通信装置２１の管理運営者の指定したサーバに振り分けることが可能となる。
【００４８】
また、前記の実施形態例では、あて先ＩＰアドレスを条件に振り分けを行った。しかし本発明はこれに限るものではない。たとえば振り分けを行いたいサーバがＷＥＢサーバである場合には、ＨＴＴＰ（ハイパーテキストトランスファープロトコル）以外のプロトコルを持つ通信パケットをＷＥＢサーバに振り分けても無意味である。このような場合には、あて先ＩＰアドレスと、ＴＣＰ(トランスミッション・コントロール・プロトコル)のポート番号を条件にする方法が良い。また、振り分けを行いたいサーバがＦＴＰ（ファイル転送プロトコル）サーバである場合には、ＦＴＰ以外のプロトコルを持つ通信パケットをＷＥＢサーバに振り分けても無意味である。このような場合には、あて先ＩＰアドレスと、ＴＣＰ（トランスミッション・コントロール・プロトコル）のポート番号を条件にする方法が良い。同様にサーバの種別によりさまざまな組み合わせが考えられることから、本発明の実施形態例の通信装置２１においては、あて先、送り元ＩＰアドレス、ＴＣＰおよびＵＤＰ（ユーザデータグラムプロトコル）のポート番号の組み合わせで条件を設定可能とした。さらに、通信パケット中のＩＥＥＥ８０２．１ＱＶＬＡＮタグ中に記載された優先度、あるいはＩＰヘッダに記載された優先度、ＴＯＳ（タイプオブサービス）を条件とすることにより、優先度により通信経路を分離することが可能である。すなわち、認証が終了し、さらに、あらかじめ設定により許可されたＭＡＣアドレスを有するＰＰＰｏＥクライアントあるいは、あらかじめ設定により許可されたＶＬＡＮに属するＰＰＰｏＥクライアントからの通信パケットで優先度の低い通信パケットは通常のＰＰＰ／ＰＰＰｏＥを使用し、優先度の高い通信パケットは本発明の通信装置２１により、イーサネット上でのＩＰ通信を行うポートＣ側に振り分けることが可能である。
【００４９】
以上、本発明の通信装置２１によるＰＰＰｏＥセッションＩＤの記憶方法と、認証を用いない通信方法への転送について説明した。次に認証を用いない通信方法を行うポートから受信した通信パケットを認証が終了した通信セッションへ転送する方法について説明する。この実施形態例においても、前述の実施形態例と同様に、認証を用いない通信方法として、イーサネット上でのＩＰ通信を使用した例を示す。
【００５０】
すでにＰＰＰ／ＰＰＰｏＥプロトコルによってＰＰＰｏＥクライアント端末１３およびアクセスサーバ１８間で認証が終了したセッションが確立しており、本発明の通信装置２１により前述の例で説明した手順によってＰＰＰｏＥセッションＩＤがＰＰＰｏＥクライアントのＭＡＣアドレス、ＩＰアドレスとともに記憶されている場合について説明をおこなう。
【００５１】
ＩＰ通信を行うポートＣに通常のＩＰパケットが入力された場合、本発明の通信装置２１は入力された通信パケットのＩＰヘッダよりあて先ＩＰアドレスを読み取り、通常のルーティング動作により、次に転送すべき装置を決定する。もし、ここで次に転送すべき装置がみつからない場合には、通常のルーティング動作と同様に、送り元に向かって転送不可能である通知を送信する。これに対し、通常のルーティング動作にしたがい決定した次に転送すべき装置のＩＰアドレスが、本発明の通信装置２１に記憶されているＩＰアドレスの一つと一致した場合は、図３に示す動作にしたがってＰＰＰ／ＰＰＰｏＥセッションに転送する。
【００５２】
すなわち、まず、入力されたイーサネットフレームよりＩＰパケット部分を抽出する。さらに、このＩＰパケットに対し、該当するＩＰアドレスと合わせて学習したＰＰＰｏＥセッションＩＤを持つＰＰＰヘッダＰＰＰｏＥヘッダを構築し付与する。さらに、該当するＩＰアドレスと合わせて学習したＰＰＰｏＥクライアントのＭＡＣアドレスをあて先アドレスとしたＭＡＣヘッダを付与し、再計算したＦＣＳを付与してポートＡから出力する。
【００５３】
以上の実施例で説明を行った動作を行うことにより、認証が終了し、さらに、あらかじめ設定により許可されたＭＡＣアドレスを有するＰＰＰｏＥクライアントあるいは、あらかじめ設定により許可されたＶＬＡＮに属するＰＰＰｏＥクライアントは、クライアント側になんら特殊な設定を行うことなく、本発明の通信装置に管理者が設定した条件にしたがって、キャシュサーバやストリーミングサーバ等のサーバと通信を行うことが可能である。またこのとき、条件に合致しない通信については、通常通りアクセスサーバを介して通信することが可能であるため、本発明を用いない場合と比較して差はない。
【００５４】
以上、本発明の通信装置による通信方法について説明した。次に通信セッションが切断された場合の動作について説明を行う。
【００５５】
通信セッションが切断された場合においては、もはや本発明の通信装置に記述したＰＰＰｏＥセッションＩＤなどの情報は不要である。逆に前記情報を本発明の通信装置に保持しつづけると、過去に認証が終了したが、現在はセッションが解放されたＰＰＰｏＥクライアントに対して、ポートＣと接続されたネットワークへの通信を許可することとなり、セキュリティ上好ましくない。このため、本発明では、通信セッションが切断された場合においては、本発明の通信装置に記憶したＰＰＰｏＥセッションＩＤなどの情報を消去する方式を用いた。以下に動作の説明を行う。
【００５６】
ＰＰＰｏＥのセッションの切断時には、ＰＡＤＴと呼ばれるパケットのやりとりがＰＰＰｏＥクライアント端末１３およびアクセスサーバ１８間で行われる。ＰＡＤＴはコードフィールドが０ｘａ７である。アクセスサーバ１８あるいはＰＰＰｏＥクライアント端末１３から送信されたＰＡＤＴを本発明の通信装置２１が検出した場合、本発明の通信装置２１は該当セッションに対し、ポートＡおよびポートＢ間のブリッジとしてのみ動作し、該当セッションのいかなるパケットに対してもポートＣ側に転送しない。またポートＣ側から入力された認証を用いない通信方法のパケットについても、該当セッションに転送をしない。さらに、該当ＰＰＰｏＥセッションＩＤと合わせて記憶したＭＡＣアドレス、ＩＰアドレス、ＶＬＡＮＩＤなどの情報については消去する。
【００５７】
以上のような動作を行うことにより、認証されたセッションが切断した場合には、該当ＰＰＰｏＥセッションに対しては、本発明の通信装置は単なるブリッジとしてのみ動作する。
【００５８】
さらに、ＰＰＰｏＥクライアントが明示的にセッションを切断することなくネットワークから物理的に分離された場合やＰＰＰｏＥクライアント端末が動作不能に陥った場合など、明示的なセッションの切断がなくセッションが実質的に終了する場合がある。この場合には、前述のＰＡＤＴのやりとりを必ずしも期待できないために、ＰＡＤＴを持って本発明の通信方法の動作を終了させることはできない。そこで本発明の通信装置においては、すべての記憶したセッションに対して、通信の状態を監視し、あらかじめ設定された一定時間通信パケットがない場合には、なんらかの原因で明示的ではなくセッションが切断されたものと判断し、本発明の通信装置は該当セッションに対し、ポートＡおよびポートＢ間のブリッジとしてのみ動作し、該当セッションのいかなるパケットに対してもポートＣ側に転送しない。またポートＣ側から入力された認証を用いない通信方法のパケットについても、該当セッションに転送をしない。さらに、該当セッションＩＤと合わせて記憶したＭＡＣアドレス、ＩＰアドレス、ＶＬＡＮＩＤなどの情報については消去する。もし、本動作を行った後において、実際には通信セッションが切断されていなかった場合であっても、ＰＰＰｏＥクライアントはアクセスサーバを介して通信が可能であることおよび、ＰＰＰｏＥクライアントとアクセスサーバの間でやりとりされるＫＰ（ＫｅｅｐＡｌｉｖｅ）パケットや通信のパケットを監視し、再度ＰＰＰｏＥセッションＩＤ、ＭＡＣアドレスを記憶することで、ポートＣ側のネットワークとの通信を回復することが可能である。
【００５９】
［実施形態例２］
前述の実施形態例においては、ＰＰＰ／ＰＰＰｏＥを用いた場合について説明を行ったが、認証を用いるプロトコルとしてはこれに限らない。ここではＬ２ＴＰ（レイヤ２トンネルプロトコル）を用いた場合の本発明の実施形態例について説明を行う。
【００６０】
本発明の実施形態例として、Ｌ２ＴＰおよびＰＰＰ（ポイント−トゥ−ポイントプロトコル）を用いた通信セッションに本発明の通信装置および通信方法を適用した例を示す。
【００６１】
図４に示すように、本発明の通信装置２１はＬＡＣ(Ｌ２ＴＰＡｃｃｅｓｓＣｏｎｃｅｎｔｒａｔｏｒ)２２とＬＮＳ（Ｌ２ＴＰＮｅｔｗｏｒｋＳｅｒｖｅｒ）２３の間に配置される。ＰＰＰクライアント端末１３とアクセスサーバ１８の間でＰＰＰプロトコルを用いて通信セッションの認証が行われる。これに加えてＬＡＣ２２とＬＮＳ２３の間でＬ２ＴＰを用いて通信セッションの認証が行われ,セッションＩＤ（識別子）がセッションに対して付与される。これにより、ＰＰＰクライアント端末１３は認証されたセッションを通じて、アクセスサーバ１８の反対側に配置されたネットワーク１４と通信することが可能となる。
【００６２】
まず、セッションの確立が行われていない初期状態での動作の説明を行う。初期状態においては、本発明の通信装置２１は図４に示すポートＡとポートＢの間でパケットを転送するブリッジとして動作する。この際、ポートＣへパケットを転送することはない。またポートＣに入力されたパケットをポートＡ，ポートＢに転送することはない。
【００６３】
次に、ＬＡＣ２２とＬＮＳ２３の間で行われるＬ２ＴＰの通信においてセッション確立シーケンスを開始した場合について、説明を行う。本実施形態例の通信装置２１は、ポートＡあるいはポートＢから入力されたパケットのＬ２ＴＰパケット内にある２オクテットのＭＴ（ＭｅｓｓａｇｅＴｙｐｅ）を読み取る。Ｌ２ＴＰプロトコルにおいては、まずＭＴ（ＭｅｓｓａｇｅＴｙｐｅ）がＩＣＲＱ（Ｉｎｃｏｍｉｎｇ−Ｃａｌｌ−Ｒｅｑｕｅｓｔ）のパケットにより、Ｌ２ＴＰセッションＩＤがＬＡＣ２２からＬＮＳ２３に通知される。本実施形態例では、Ｌ２ＴＰパケット内に記載されているそれぞれ２オクテットづつのトンネルＩＤとＬ２ＴＰセッションＩＤをＰＰＰクライアントのＭＡＣアドレス、と組み合わせて本発明の通信装置２１へ１つのテーブルとして記憶する。また、読み取られたＭＴ（ＭｅｓｓａｇｅＴｙｐｅ）がＩＣＲＰ（Ｉｎｃｏｍｉｎｇ−Ｃａｌｌ−Ｒｅｐｌｙ）であれば、Ｌ２ＴＰセッションＩＤがＬＮＳ２３からＬＡＣ２２に通知されるので、ＩＣＲＰパケットからＬ２ＴＰヘッダ上にある２オクテットづつのトンネルＩＤとＬ２ＴＰセッションＩＤを読み取り、本発明の通信装置２１で記憶する。Ｌ２ＴＰのトンネルＩＤとＬ２ＴＰセッションＩＤはＬＡＣ２２側とＬＮＳ２３側で異なるため、それぞれ別々に記憶しておく必要がある。そのため、ここではＬＡＣ２２側とＬＮＳ２３側の双方から送信される通信パケット内に記載されているトンネルＩＤとＬ２ＴＰセッションＩＤをそれぞれＰＰＰクライアントのＭＡＣアドレス、ＩＰアドレスなどと組み合わせて記憶する。
【００６４】
上記の実施形態例では、Ｌ２ＴＰセッションＩＤをＬ２ＴＰプルトコルを用いて記憶したが、さらにセキュリティを向上させるために、ＰＰＰセッションステージを用いる例を示す。ここではＩＰＣＰパケットを読み込むことにより、ＩＰアドレスを記憶するが、この説明については、実施形態例１と同様の動作なので省略する。
【００６５】
ここまでは、すべての確立した通信セッションに対して、セッションＩＤを学習する例をしめしたが、あらかじめ設定された特定の通信セッションにのみセッションＩＤを学習する例を示す。
【００６６】
この説明については、実施形態例１と同様の動作なので省略する。
【００６７】
前述の例ではセッションＩＤをＭＡＣアドレスと合わせて記憶する方法を説明したが、ここでは、セッションＩＤを他のものと関連づけて記憶する方法を説明する。ここでは、ＰＰＰクライアントとアクセスサーバ間がＩＥＥＥ８０２．１Ｑに規定されたＶＬＡＮ（仮想ＬＡＮ）で接続されている場合について説明を行う。
【００６８】
この説明については、実施形態例１と同様な動作なので省略する。
【００６９】
以上、本発明の通信装置によるＬ２ＴＰセッションＩＤの記憶方法について説明した。次に記憶したＬ２ＴＰセッションＩＤを持つ通信セッションから特定の通信パケットを抽出し、認証を用いない通信方法に変換する方法について説明を行う。
【００７０】
本実施形態例では、認証を用いない通信方式として、イーサネット上でのＩＰ通信を使用した例を示す。
【００７１】
本発明の通信装置は前述のようにＬ２ＴＰセッションＩＤをＬＡＣ側とＬＮＳ側の２通り記憶する。さらに本発明の通信装置には、あらかじめ所定の条件を設定しておく。ここでは、ＰＰＰプロトコル上でＩＰ通信を行う場合を例にとり、あて先ＩＰアドレスを条件として設定した場合を例にとり説明を行う。
【００７２】
本発明の通信装置２１は、ＬＡＣ２２からのＩＣＲＱをもとにして記憶した２オクテットのＬ２ＴＰセッションＩＤを有する通信パケットを監視し、あて先ＩＰアドレスとして設定されたＩＰアドレスを有するかどうか判定する。あて先ＩＰアドレスが設定されたＩＰアドレスでない場合には、その通信パケットはポートＡからＢへブリッジされる。このため、あて先ＩＰアドレスが設定されたＩＰアドレスでない通信においては、ＰＰＰクライアント端末１３とアクセスサーバ１８の間のＬ２ＴＰの通信は、本発明の通信装置２１の挿入によって影響を受けない。
【００７３】
これに対し、ＬＡＣ２２からのＩＣＲＱをもとにして記憶した２オクテットのＬ２ＴＰセッションＩＤを有する通信パケットで、かつあて先ＩＰアドレスが設定されたＩＰアドレスである通信パケットの場合には、図５に示す動作を行うことにより、イーサネット上でのＩＰ通信としてポートＣに転送する。まず、記憶したＬ２ＴＰセッションＩＤを有する通信パケットで、かつあて先ＩＰアドレスが設定されたＩＰアドレスである通信パケットから、ＩＰパケットを取り出す。さらに、あらかじめ設定されるかＡＲＰ（アドレス解決プロトコル）で入手したＭＡＣアドレスにあて先を書き換えたＭＡＣヘッダを付与し、ＦＣＳ（フレームチェックシーケンス）を再計算してイーサネットフレームを構築する。さらにこのイーサネットフレームをポートＣから出力する。
【００７４】
この例では、イーサネットヘッダに記載されるあて先ＭＡＣアドレスを、ＰＰＰクライアント端末１３、アクセスサーバ１８間で行われる通信パケットのあて先ＭＡＣアドレスから変更した。ＭＡＣアドレスの決定には通常のＡＲＰの仕組みを使用する。この説明については、実施形態例１と同様の動作なので省略する。
【００７５】
以上のような動作を行うことにより、認証が終了し、さらに、あらかじめ設定により許可されたＭＡＣアドレスを有するＰＰＰクライアントあるいは、あらかじめ設定により許可されたＶＬＡＮに属するＰＰＰクライアントからの通信パケットで、特定のあて先ＩＰアドレスに向けられた通信パケットは、Ｌ２ＴＰプロトコルが使用されたネットワーク内にあってもアクセスサーバを経由することなく、通常のＩＰパケットとしてポートＣに転送可能である。また、この動作により、ポートＣ側に設置された通常のＩＰ通信を行うサーバにパケットを転送することが可能である。このため、特定のＰＰＰクライアントからの通信を、本発明の通信装置の管理運営者の指定したサーバに振り分けることが可能となる。
【００７６】
また、前記の実施形態例では、あて先ＩＰアドレスを条件に振り分けを行った。しかし本発明はこれに限るものではない。この説明については、実施形態例１と同様なので省略する。
【００７７】
以上、本発明の通信装置によるＬ２ＴＰセッションＩＤの記憶方法と、認証を用いない通信方法への転送について説明した。次に認証を用いない通信方法を行うポートから受信した通信パケットを認証が終了した通信セッションへ転送する方法について説明する。この実施形態例においても、前述の実施形態例と同様に、認証を用いない通信方法として、イーサネット上でのＩＰ通信を使用した例を示す。
【００７８】
すでにＰＰＰプロトコルによってＰＰＰクライアント端末１３およびアクセスサーバ１８間で認証が終了したセッションが確立しており、かつＬ２ＴＰプロトコルによってＬＡＣ２２およびＬＮＳ２３間で認証が終了したセッションが確立しており、本発明の通信装置２１により前述の例で説明した手順によってＬ２ＴＰセッションＩＤがＰＰＰクライアントのＭＡＣアドレス、ＩＰアドレスとともに記憶されている場合について説明をおこなう。
【００７９】
ＩＰ通信を行うポートＣに通常のＩＰパケットが入力された場合、本発明の通信装置２１は入力された通信パケットのＩＰヘッダからあて先ＩＰアドレスを読み取り、通常のルーティング動作により、次に転送すべき装置を決定する。もし、ここで次に転送すべき装置が見つからない場合には、通常のルーティング動作と同様に、送り元に向かって転送不可能である通知を送信する。これに対し、通常のルーティング動作にしたがい決定した次に転送すべき装置のＩＰアドレスが、本発明の通信装置２１に記憶されているＩＰアドレスの１つと一致した場合は、図６に示す動作にしたがってＬ２ＴＰセッションに転送する。
【００８０】
すなわち、まず、入力されたイーサネットフレームよりＩＰパケットを抽出する。さらに、このＩＰパケットに対し、該当するＩＰアドレスと合わせて学習したＬＮＳ２３からのＩＣＲＰをもとにして記憶したＬ２ＴＰセッションＩＤを持つＬ２ＴＰヘッダ、ＰＰＰヘッダを構築し付与する。さらに、該当するＩＰアドレスと合わせて学習したＰＰＰクライアントのＭＡＣアドレスをあて先アドレスとしたＭＡＣヘッダを付与し、再計算したＦＣＳを付与してポートＡから出力する。
【００８１】
以上の実施例で説明を行った動作を行うことにより、認証が終了し、さらに、あらかじめ設定により許可されたＭＡＣアドレスを有するＰＰＰクライアントあるいは、あらかじめ設定により許可されたＶＬＡＮに属するＰＰＰクライアントは、クライアント側になんら特殊な設定を行うことなく、本発明の通信装置に管理者が設定した条件にしたがってキャシュサーバ等のサーバと通信を行うことが可能である。またこのとき、条件に合致しない通信については、通常通りアクセスサーバを介して通信することが可能であるため、本発明を用いない場合と比較して差はない。
【００８２】
以上、本発明の通信装置による通信方法について説明した。次に通信セッションが切断された場合の動作について説明を行う。
【００８３】
通信セッションが切断された場合においては、もはや本発明の通信装置に記憶したＬ２ＴＰセッションＩＤなどの情報は不要である。逆に前記情報を本発明の通信装置に保持しつづけると、過去に認証が終了したが、現在はセッションが解放されたＰＰＰクライアントに対して、ポートＣと接続されたネットワークへの通信を許可することとなり、セキュリティ上好ましくない。このため、本発明では通信セッションが切断された場合においては、本発明の通信装置に記憶したセッションＩＤなどの情報を消去する方式を用いた。以下に動作の説明を行う。
【００８４】
Ｌ２ＴＰのセッションの切断時には、ＣＤＮ（Ｃａｌｌ−Ｄｉｓｃｏｎｎｅｃｔ−Ｎｏｔｉｆｙ）と呼ばれるパケットのやりとりがＬＡＣ２２およびＬＮＳ２３間で行われる。ＣＤＮパケットはＬ２ＴＰパケット内にある２オクテットのＭＴ（ＭｅｓｓａｇｅＴｙｐｅ）を読み取ることで識別され、ＬＡＣ２２側のポート（＝ポートＡ）からもＬＮＳ２３側のポート（＝ポートＢ）からも入力される。ＬＡＣ２２あるいはＬＮＳ２３から送信されたＣＤＮを本発明の通信装置２１が検出した場合、本発明の通信装置２１は該当セッションに対し、ポートＡおよびポートＢ間のブリッジとしてのみ動作し、該当セッションのいかなるパケットに対してもポートＣ側に転送しない。またポートＣ側から入力された認証を用いない通信方法のパケットについても、該当セッションに転送をしない。さらに、該当のＬ２ＴＰセッションＩＤと合わせて記憶したＭＡＣアドレス、ＩＰアドレス、ＶＬＡＮＩＤなどの情報については消去する。
【００８５】
以上のような動作を行うことにより、認証されたセッションが切断された場合には、該当セッションに対しては、本発明の通信装置２１は単なるブリッジとしてのみ動作する。
【００８６】
さらに、ＰＰＰクライアントが明示的にセッションを切断することなくネットワークから物理的に分離された場合やＰＰＰクライアント端末１３が動作不能に陥った場合など、明示的なセッションの切断がなくセッションが実質的に終了する場合がある。この場合には、前述のＣＤＮのやりとりを必ずしも期待できないために、ＣＤＮを持って本発明の通信方法の動作を終了させることはできない。そこで本発明の通信装置２１においては、すべての記憶したセッションに対して、通信の状態を監視し、あらかじめ設定された一定時間通信パケットがない場合には、何らかの原因で明示的ではなくセッションが切断されたものと判断し、本発明の通信装置２１は該当セッションに対し、ポートＡおよびポートＢ間のブリッジとしてのみ動作し、該当セッションのいかなるパケットに対してもポートＣ側に転送しない。またポートＣ側から入力された認証を用いない通信方法のパケットについても、該当セッションに転送をしない。さらに、該当のＬ２ＴＰセッションＩＤと合わせて記憶したＭＡＣアドレス、ＩＰアドレス、ＶＬＡＮＩＤなどの情報については消去する。もし、本動作を行った後において、実際には通信セッションが切断されていなかった場合であっても、ＰＰＰクライアント端末１３はアクセスサーバ１８を介してＬ２ＴＰプロトコルを利用した通信が可能であることおよび、ＰＰＰクライアント端末１３とアクセスサーバ１８の間でやりとりされるＫＡ（ＫｅｅｐＡｌｉｖｅ）パケットや通信のパケットを監視し、再度Ｌ２ＴＰセッションＩＤ、ＭＡＣアドレス等を記憶することで、ポートＣ側のネットワークとの通信を回復することが可能である。
【００８７】
［実施形態例３］
前述の実施形態例においては、ＰＰＰ／ＰＰＰｏＥおよびＰＰＰ／Ｌ２ＴＰを用いた場合の本発明の実施形態例を説明したが、本発明の通信方法は、このようにセッションＩＤを付与する通信に限るものではない。ここでは、ＩＥＥＥ８０２．１Ｑに規定されたＶＬＡＮ（仮想ＬＡＮ）を用いた認証を行う場合について説明を行う。
【００８８】
図７に示すように、本発明の通信装置２１はＬ２スイッチI２４とＬ２スイッチII２５の間に配置される。Ｌ２スイッチII２５は認証機能を持つＬ２スイッチを使用する。ＶＬＡＮクライアント端末１３とＬ２スイッチII２５の間でユーザ名とパスワードを用いて通信セッションの認証が行われ、Ｌ２スイッチII２５より接続許可パケットがクライアント端末１３に送られる。クライアント端末１３は認証されたセッションを通じて、Ｌ２スイッチII２５の反対側に配置されたネットワーク１４と通信することが可能となる。
【００８９】
まず、セッションの確立が行われていない初期状態での動作の説明を行う。初期状態においては、本発明の通信装置２１は図７に示すポートＡとポートＢの間でパケットを転送するブリッジとして動作する。この際、ポートＣへパケットを転送することはない。またポートＣに入力されたパケットをポートＡ，ポートＢに転送することはない。
【００９０】
次にＶＬＡＮクライアント端末１３がセッションの確立シーケンスを開始した場合について説明を行う。本実施形態例の通信装置２１は、ポートＢから入力された許可パケットを読み取る。本実施形態例では、接続許可パケットのイーサ（Ｅｔｈｅｒ）ヘッダ上にある２オクテットのＶＬＡＮタグを本発明の通信装置２１で記憶する。これによって、接続許可されたＶＬＡＮＩＤを持つＶＬＡＮクライアントのパケットは本発明の通信装置２１がＬ２スイッチII２５に代わって接続許可することが可能となる。またあるいは、接続許可パケットのあて先であるＶＬＡＮクライアントのＭＡＣアドレスやＩＰアドレスを前記のＶＬＡＮＩＤと組み合わせて本発明の通信装置２１で記憶することで、認証を行うことが出来る。
【００９１】
ここまでは、確立した通信セッションに対して、事後的にＭＡＣアドレスを学習する例をしめしたが、あらかじめ設定された特定の通信セッションにのみＭＡＣアドレスを学習する例を示す。
【００９２】
この例では、本発明の通信装置２１にあらかじめＶＬＡＮクライアントのＭＡＣアドレスが設定されており、特定のＭＡＣアドレス宛てにＬ２スイッチII２５側から送信される通信パケットに対してのみＶＬＡＮＩＤを記憶する。このような動作をすることにより、許可されたＭＡＣアドレスを有するＶＬＡＮクライアント以外のＶＬＡＮクライアントがＬ２スイッチII２５と確立した通信セッションに対しては、ＶＬＡＮＩＤを学習することなく、特定のクライアントのＶＬＡＮＩＤのみを学習することが可能となる。
【００９３】
以上、本発明の通信装置によるＶＬＡＮＩＤの記憶方法について説明した。次にＶＬＡＮＩＤを持つ通信セッションから特定の通信パケットを抽出し、別のネットワークに転送する方法について説明を行う。
【００９４】
本発明の通信装置は前述のようにＶＬＡＮＩＤを記憶する。さらに本発明の通信装置には、あらかじめ所定の条件を設定しておく、ここでは、あて先ＩＰアドレスを条件として設定した場合を例にとり説明を行う。
【００９５】
本発明の通信装置２１は、記憶したＶＬＡＮＩＤ有する通信パケットを監視し、あて先ＩＰアドレスとして設定されたＩＰアドレスを有するかどうか判定する。あて先ＩＰアドレスが設定されたＩＰアドレスでない場合には、その通信パケットはポートＡからＢあるいはポートＢからＡへブリッジされる。このため、あて先ＩＰアドレスが設定されたＩＰアドレスでない通信においては、ＶＬＡＮクライアント端末１３とＬ２スイッチII２５の間の通信は、本発明の通信装置２１の挿入によって影響を受けない。
【００９６】
これに対し、記憶したＶＬＡＮＩＤを有する通信パケットで、かつあて先ＩＰアドレスが設定されたＩＰアドレスである通信パケットである場合には、図８に示す動作を行うことにより、ポートＣに転送する。まず、記憶したＶＬＡＮＩＤを有する通信パケットで、かつあて先ＩＰアドレスが設定されたＩＰアドレスである通信パケットから、ＩＰパケットを取り出す。さらに、あらかじめ設定されるかＡＲＰ（アドレス解決プロトコル）で入手したＭＡＣアドレスにあて先を書き換えたＭＡＣヘッダを付与し、ＦＣＳ（フレームチェックシーケンス）を再計算してイーサネットフレームを構築する。イーサネットフレームの構築にあたっては、既存のＶＬＡＮＩＤを付与したままの場合と、既存のＶＬＡＮＩＤを外す場合と、新規のＶＬＡＮＩＤを付与する場合の、３通りのパターンが生成可能である。さらに、このイーサネットフレームをポートＣから出力する。
【００９７】
この例では、イーサネットヘッダに記載されるあて先ＭＡＣアドレスを、ＶＬＡＮクライアント端末１３、Ｌ２スイッチII２５間で行われる通信パケットのあて先ＭＡＣアドレスから変更した。ＭＡＣアドレスの決定には通常のＡＲＰの仕組みを使用する。この説明については、実施形態例１と同様の動作なので省略する。
【００９８】
以上のような動作を行うことにより、認証が終了し、さらに、あらかじめ設定により許可されたＭＡＣアドレスを有するＶＬＡＮクライアントからの通信パケットで、特定のあて先ＩＰアドレスに向けられた通信パケットはＬ２スイッチIIを経由することなく、ポートＣに転送可能である。また、この動作により、ポートＣ側に設置されたサーバにパケットを転送することが可能である。このため、特定のＶＬＡＮクライアントからの通信を、本発明の通信装置の管理運営者の指定したサーバに振り分けることが可能となる。
【００９９】
また、前記の実施形態例では、あて先ＩＰアドレスを条件に振り分けを行った。しかし本発明はこれに限るものではない。この説明については、実施形態例１と同様なので省略する。
【０１００】
以上、本発明の通信装置によるＶＬＡＮＩＤの記憶方法と、別ネットワークへの転送について説明した。次に別ネットワークが接続されたポートＣから受信した通信パケットを認証が終了した通信セッションへ転送する方法について説明する。
【０１０１】
すでにユーザ名とパスワードを用いて通信セッションの認証が行われ、本発明の通信装置により前述の例で説明した手順によってＶＬＡＮＩＤがＶＬＡＮクライアントのＭＡＣアドレス、ＩＰアドレスとともに記憶されている場合について説明をおこなう。
【０１０２】
ポートＣにＩＰパケットが入力された場合、本発明の通信装置は入力された通信パケットのＩＰヘッダよりあて先ＩＰアドレスを読み取り、通常のルーティング動作により、次に転送すべき装置を決定する。もし、ここで次に転送すべき装置がみつからない場合には、通常のルーティング動作と同様に、送り元に向かって転送不可能である通知を送信する。これに対し、通常のルーティング動作にしたがい決定した次に転送すべき装置のＩＰアドレスが、本発明の通信装置に記憶されているＩＰアドレスの１つと一致した場合は、図８に示す動作にしたがって前記ＶＬＡＮセッションに転送する。
【０１０３】
すなわち、まず、入力されたイーサネットフレームよりＩＰパケットを抽出する。さらに、このＩＰパケットに対し、該当するＩＰアドレスと合わせて学習したＶＬＡＮＩＤとＶＬＡＮクライアントのＭＡＣアドレスをあて先アドレスとしたイーサ（Ｅｔｈｅｒ）ヘッダを構築し付与する。その後、再計算したＦＣＳを付与してポートＡから出力する。
【０１０４】
以上の実施形態例で説明を行った動作を行うことにより、認証が終了し、さらに、あらかじめ設定により許可されたＭＡＣアドレスを有するＶＬＡＮクライアントは、クライアント側になんら特殊な設定を行うことなく、本発明の通信装置に管理者が設定した条件にしたがって、キャシュサーバ等のサーバと通信を行うことが可能である。またこのとき、条件に合致しない通信については、通常通りＬ２スイッチIIを介して通信することが可能であるため、本発明を用いない場合と比較して差はない。
【０１０５】
以上、本発明の通信装置による通信方法について説明した。次に通信セッションが切断された場合の動作について説明を行う。
【０１０６】
通信セッションが切断された場合においては、もはや本発明の通信装置に記憶したＶＬＡＮＩＤなどの情報は不要である。逆に前記情報を本発明の通信装置に保持しつづけると、過去に認証が終了したが、現在はセッションが解放されているＶＬＡＮクライアントに対して、ポートＣと接続されたネットワークへの通信を許可することとなり、セキュリティ上好ましくない。このため、本発明では、通信セッションが切断された場合においては、本発明の通信装置に記憶したＶＬＡＮＩＤなどの情報を消去する方式を用いた。以下に動作の説明を行う。
【０１０７】
セッションの切断時には、セッションの解放を通知するパケットのやりとりがＶＬＡＮクライアント端末１３およびＬ２スイッチII２５間で行われる。Ｌ２スイッチII２５あるいはＶＬＡＮクライアント端末１３から送信されたセッションの解放を通知するパケットを本発明の通信装置２１が検出した場合、本発明の通信装置２１は該当セッションに対し、ポートＡおよびポートＢ間のブリッジとしてのみ動作し、該当セッションのいかなるパケットに対してもポートＣ側に転送しない。またポートＣ側から入力された認証を用いない通信方法のパケットについても、該当セッションに転送をしない。さらに、該当ＶＬＡＮＩＤと合わせて記憶したＭＡＣアドレス、ＩＰアドレスなどの情報については消去する。
【０１０８】
以上のような動作を行うことにより、認証されたセッションが切断された場合には、該当セッションに対しては、本発明の通信装置は単なるブリッジとしてのみ動作する。
【０１０９】
さらに、ＶＬＡＮクライアントが明示的にセッションを切断することなくネットワークから物理的に分離された場合やＶＬＡＮクライアントが動作不能に陥った場合など、明示的なセッションの切断がなくセッションが実質的に終了する場合がある。この場合には、前述のセッションの解放を通知するパケットのやりとりを必ずしも期待できないために、セッションの解放を通知するパケットをもって本発明の通信方法の動作を終了させることはできない。そこで本発明の通信装置においては、すべて記憶したセッションに対して、通信の状態を監視し、あらかじめ設定された一定時間通信パケットがない場合には、なんらかの原因で明示的ではなくセッションが切断されたものと判断し、本発明の通信装置は該当セッションに対し、ポートＡおよびポートＢ間のブリッジとしてのみ動作し、該当セッションのいかなるパケットに対してもポートＣ側に転送しない。またポートＣ側から入力された認証を用いない通信方法のパケットについても、該当セッションに転送をしない。さらに、該当ＶＬＡＮＩＤと合わせて記憶したＭＡＣアドレス、ＩＰアドレスなどの情報については消去する。もし、本動作を行った後において、実際には通信セッションが切断されていなかった場合であっても、ＶＬＡＮクライアントはＬ２スイッチIIを介して通信が可能であることおよび、ＶＬＡＮクライアント端末１３とＬ２スイッチII２５の間でやりとりされるＫＡ（ＫｅｅｐＡｌｉｖｅ）パケットや通信のパケットを監視し、再度ＶＬＡＮＩＤ，ＭＡＣアドレスを記憶することで、ポートＣ側のネットワークとの通信を回復することが可能である。
【０１１０】
この実施形態例により明らかなように、本発明は、セッションＩＤを付与するしないにかかわらず、認証完了のパケットをもとに、セッションＩＤが付与される場合にはセッションＩＤを記憶し、セッションＩＤが付与されない場合においても、認証されたものすなわちＭＡＣアドレス、ＶＬＡＮＩＤ，ＩＰアドレスなどを記憶することで、前述の実施形態例に述べた通信と同様の通信を行うことが可能である。
【０１１１】
［実施形態例４］
本発明の実施形態例として、クライアントよりＰＰＰおよびＰＰＰｏＥプロトコルあるいはＰＰＰプロトコルあるいはＰＰＰおよびＰＰＰｏＡ（ＰＰＰオーバＡＴＭ）プロトコル等を用いてＬＡＣ（Ｌ２ＴＰアクセスコンセントレータ）にアクセスを行い、ＬＡＣはＰＰＰプロトコルをＬ２ＴＰに載せてＬＮＳ（Ｌ２ＴＰネットワークサーバ）に転送し、ＬＮＳにおいてＰＰＰおよびＬ２ＴＰを終端する通信方法を用いる場合に、本発明の通信装置および通信方法を適用した例を示す。
【０１１２】
この形態の場合は、クライアントとＬＮＳの間で認証を行う通信方法であるＰＰＰセッションが確立し、ＰＰＰセッションを転送する下層のプロトコルとして、クライアントとＬＡＣの間がＰＰＰｏＥやＰＰＰｏＡあるいはＩＳＤＮなどの回線が用いられ、ＬＡＣ−ＬＮＳ間でＬ２ＴＰが用いられている形態である。さらに、クライアントとＬＡＣの間に本発明の通信装置を挿入した形態が実施形態例１で説明した形態であり、ＬＡＣとＬＮＳの間に本発明の通信装置を挿入した形態が実施形態例２で説明した形態である。
【０１１３】
本実施形態例では、ＬＡＣに相当する装置において本発明の通信方法を適用し、一つの装置においてＬＡＣ動作とともに本発明の通信方法を行うことにより、ネットワーク内に配置する装置の数を低減するものである。
【０１１４】
本実施形態例の通信装置を用いる場合のネットワークを図９に示す。本発明の通信装置２１は図９に示すように、クライアント端末１３との間でＰＰＰおよびＰＰＰｏＥプロトコルあるいはＰＰＰプロトコルあるいはＰＰＰおよびＰＰＰｏＡ（ＰＰＰオーバＡＴＭ）プロトコル等を用いて通信するポートＤとＬＮＳ２３との間でＰＰＰおよびＬ２ＴＰを用いて通信するポートＥと、認証を用いない通信方法を用いて他のサーバ等と通信を行うポートＦで構成される。
【０１１５】
ここでは、ＰＰＰおよびＰＰＰｏＥプロトコルを用いる場合を説明するが、ＰＰＰのみ、あるいはＰＰＰおよびＰＰＰｏＡを用いる場合にも、同様の動作を行うことで、本発明の通信方法を実現することが可能であった。また、ＰＰＰの上位プロトコルとしてＩＰを使用する場合について説明を行う。また、ポートＦでは認証を用いない通信方法としてイーサネット上においてＩＰで通信する場合について説明を行う。
【０１１６】
本実施形態例の通信装置２１の場合、ＬＡＣ動作をすることから、認証が終了したセッションに関して、クライアント端末１３側、ＬＮＳ２３側にそれぞれＰＰＰ／ＰＰＰｏＥ、ＰＰＰ／Ｌ２ＴＰの情報を記憶することになる。すなわちクライアント側では、ＰＰＰｏＥのセッションＩＤとそのセッションＩＤに対応するクライアントのＭＡＣアドレスを記憶する。また、ＬＮＳ２３側では、それぞれのセッションに対して、Ｌ２ＴＰのトンネルＩＤおよびセッションＩＤ，ＬＮＳ２３のＩＰアドレスを記憶する。ここでＬ２ＴＰのトンネルＩＤ、セッションＩＤはＬＡＣからＬＮＳへの通信とＬＮＳからＬＡＣへの通信でそれぞれ異なる値を用いる場合があるため、ＬＡＣからＬＮＳへの通信のトンネルＩＤとセッションＩＤ，ＬＮＳからＬＡＣへの通信のトンネルＩＤとセッションＩＤをそれぞれ記憶する。ここまでは、通常のＬＡＣが記憶する内容である。
【０１１７】
さらに、ＰＰＰの上位プロトコルがＩＰであった場合、ＰＰＰプロトコルのＩＰＣＰを用いて、ＬＮＳ２３側よりクライアントに対してＩＰアドレスの提供が行われる。本発明の通信装置２１では、ＩＰＣＰによるＩＰアドレスの提供パケットを監視し、上記のセッションごとに記憶したパラメータと合わせてクライアントに提供されたＩＰアドレスを記憶する。このとき、実施形態例１で説明を行ったように、クライアントのＭＡＣアドレスやクライアントが所属するＶＬＡＮＩＤなどをあらかじめ設定しておき、特定のＭＡＣアドレスを有するクライアントあるいは、特定のＶＬＡＮに所属するクライアントのセッションに対してのみ上記動作によりＩＰアドレスを記憶するということも可能である。
【０１１８】
また、セッションがクライアント端末１３もしくはＬＮＳ２３より終了シーケンスを伴って切断された場合、もしくは、ＰＰＰ／Ｌ２ＴＰ，ＰＰＰ／ＰＰＰｏＥにおいてエコー要求、エコー応答のタイムアウトによりセッションが自発的に切断された場合には、いずれの場合においても、ＬＡＣで記憶されている該当セッションに対する上記情報は消去される。このとき同時に、本発明の通信方法によって記憶した該当セッションのクライアントのＩＰアドレスをも消去する。
【０１１９】
以上説明したように、セッション毎にＩＰアドレスを記憶することにより、実施形態例１で説明した通信方法と全く同じ動作を用いてポートＦとポートＤおよびポートＥの間の通信が可能となる。
【０１２０】
【発明の効果】
以上説明したように、本発明によれば、認証が終了した通信セッションを記憶し、該当セッションにより通信を行う装置と、認証を行わない通信方法を用いる装置との間の通信を、あらかじめ設定された条件に基づいて行うことが可能である。
【図面の簡単な説明】
【図１】本発明の実施形態例に係る通信装置をＰＰＰｏＥ／ＰＰＰプロトコルを用いたネットワークで利用した例を示す構成説明図である。
【図２】本発明の実施形態例に係るＰＰＰｏＥ／ＰＰＰパケットをＩＰパケットに書き換える例を示す説明図である。
【図３】本発明の実施形態例に係るＩＰパケットをＰＰＰｏＥ／ＰＰＰパケットに書き換える例を示す説明図である。
【図４】本発明の実施形態例に係る通信装置をＬ２ＴＰ／ＰＰＰプロトコルを用いたネットワークで利用した例を示す構成説明図である。
【図５】本発明の実施形態例に係るＬ２ＴＰ／ＰＰＰパケットをＩＰパケットに書き換える例を示す説明図である。
【図６】本発明の実施形態例に係るＩＰパケットをＬ２ＴＰ／ＰＰＰパケットに書き換える例を示す説明図である。
【図７】本発明の実施形態例に係る通信装置をＶＬＡＮＩＤを用いたネットワークで利用した例を示す構成説明図である。
【図８】本発明の実施形態例に係るＩＰパケットをＩＰパケットに書き換える例を示す説明図である。
【図９】本発明の実施形態例に係るＬＡＣと一体化した通信装置を用いたネットワークでの利用例を示す構成説明図である。
【図１０】従来のレイヤ４スイッチを用いたネットワーク形態を示す構成説明図である。
【図１１】従来のＰＰＰ（ポイント−ツゥ−ポイントプロトコル）認証を示す構成説明図である。
【図１２】従来のレイヤ４スイッチを用いたネットワークで、アクセスサーバを複数設置することで個別に認証する方法を示す構成説明図である。
【符号の説明】
１２サーバ
１３クライアント端末
１４ネットワーク
１５キャッシュサーバ
１６映像サーバ
１７Ｗｅｂサーバ
１８アクセスサーバ
２１通信装置

Claims

パケット通信を行う通信網において、特定の通信セッションに対して認証を行うアクセスサーバとクライアント端末間に配置される通信装置を用いた通信方法であって、
前記通信装置が、前記アクセスサーバとクライアント端末間で通信されるパケットを監視し、認証されたセッションに属する通信パケットでかつあらかじめ設定された少なくともあて先アドレスを含む条件を満たすパケットを、認証を行わない通信形式のパケットに再構築してあらかじめ指定された他の装置へ転送することを特徴とする通信方法。
パケット通信を行う通信網において、特定の通信セッションに対して認証を行うアクセスサーバとクライアント端末間に配置される通信装置を用いた通信方法であって、
前記通信装置が、セッションを認証する際に行われる通信のパケットに記載されている、送信先あるいは送信元アドレスの少なくとも一方のアドレスとセッションあるいは該セッションの通信が行われるネットワークに与えられた識別子とをセッションごとに記憶し、他の装置から入力されたパケットであって前記記憶したアドレスに宛てて送信される認証を行わない通信形式のパケットを、認証されたセッションに属する通信形式のパケットでかつ前記識別子を有するパケットに再構築して認証されたセッションに転送することを特徴とする通信方法。
請求項１記載の通信方法において、
前記通信装置が、認証されたセッションを識別する方法として、セッションに与えられた識別子あるいはネットワークに与えられた識別子あるいは通信のパケットに記憶されているアドレスの少なくとも１つを用いることを特徴とする通信方法。
請求項１、２または３記載の通信方法において、
前記通信装置が、セッションの解放を通知する通信を検出した場合、該当セッションに対する記憶していたアドレスを消去することを特徴とする通信方法。
請求項１記載の通信方法において、
前記通信装置が、認証されたセッションに属する通信パケットでかつあらかじめ設定された少なくともあて先アドレスを含む条件を満たすパケットを物理的に異なる通信ポートに転送することを特徴とする通信方法。
請求項１記載の通信方法において、
前記あらかじめ設定された少なくともあて先アドレスを含む条件として、あて先アドレスの他に、パケット内に記憶された送り元アドレス、プロトコル番号、優先度、ポート番号、サーバ名、ＵＲＬの少なくとも１つを利用することを特徴とする通信方法。
請求項１乃至６のいずれか１項記載の通信方法において、
前記通信装置が、セッションの解放を通知する通信を検出した場合、該当セッションに対する転送動作を行わないことを特徴とする通信方法。
請求項１乃至７のいずれか１項記載の通信方法において、
前記通信装置が、あらかじめ定められた一定時間、通信パケットがなかった場合に、該当セッションに対する転送動作を行わないことを特徴とする通信方法。
パケット通信を行う通信網において、特定の通信セッションに対して認証を行うアクセスサーバとクライアント端末間に配置される通信装置であって、
前記アクセスサーバとクライアント端末間で通信されるパケットを監視し、認証されたセッションに属する通信パケットでかつあらかじめ設定された少なくともあて先アドレスを含む条件を満たすパケットを、認証を行わない通信形式のパケットに再構築してあらかじめ指定された他の装置へ転送することを特徴とする通信装置。
パケット通信を行う通信網において、特定の通信セッションに対して認証を行うアクセスサーバとクライアント端末間に配置される通信装置であって、
セッションを認証する際に行われる通信のパケットに記載されている、送信先あるいは送信元アドレスの少なくとも一方のアドレスとセッションあるいは該セッションの通信が行われるネットワークに与えられた識別子とをセッションごとに記憶し、他の装置から入力されたパケットであって前記記憶したアドレスに宛てて送信される認証を行わない通信形式のパケットを、認証されたセッションに属する通信形式のパケットでかつ前記識別子を有するパケットに再構築して認証されたセッションに転送することを特徴とする通信装置。
請求項９記載の通信装置において、
セッションに与えられた識別子あるいはネットワークに与えられた識別子あるいは通信のパケットに記載されているアドレスの少なくとも１つを用いて認証されたセッションを識別することを特徴とする通信装置。
請求項９、１０または１１記載の通信装置において、
セッションの解放を通知する通信を検出した場合、該当セッションに対する記憶していたアドレスを消去することを特徴とする通信装置。
請求項９記載の通信装置において、
認証されたセッションに属する通信パケットでかつあらかじめ設定された少なくともあて先アドレスを含む条件を満たすパケットを物理的に異なる通信ポートに転送することを特徴とする通信装置。
請求項９記載の通信装置において、
前記あらかじめ設定された少なくともあて先アドレスを含む条件として、あて先アドレスの他に、パケット内に記憶された送り元アドレス、プロトコル番号、優先度、ポート番号、サーバ名、ＵＲＬの少なくとも１つを利用することを特徴とする通信装置。
請求項９乃至１４のいずれか１項記載の通信装置において、
セッションの解放を通知する通信を検出した場合、該当セッションに対する転送動作を行わないことを特徴とする通信装置。
請求項９乃至１５のいずれか１項記載の通信装置において、
あらかじめ定められた一定時間、通信パケットがなかった場合に、該当セッションに対する転送動作を行わないことを特徴とする通信装置。