加入者回線収容装置およびパケットフィルタリング方法
【課題】加入者回線に接続された通信端末に対して送出されるパケットを効率的にフィルタリングすることが可能な加入者回線収容装置およびパケットフィルタリング方法を得る。
【解決手段】加入者回線収容装置１０２内のＤＨＣＰ処理部１６８は、加入者回線収容装置に加入者回線を介して接続された通信端末がＩＰアドレスの割り当てを要求したときに得られたアドレス情報を基にして動的出力管理テーブル１７１を作成している。アップリンク回線１３０等を経て加入者回線収容装置１０２に到来したすべてのパケットは動的出力フィルタ部１６７でパケットの種類に応じてＩＰアドレス等と照合されるフィルタリング処理が行われ、これを通過したパケットが更に静的出力フィルタ部１６６でフィルタリングされて、インターフェイス回路部１６１を介して図示しないユーザ端末に送出される。
【解決手段】加入者回線収容装置１０２内のＤＨＣＰ処理部１６８は、加入者回線収容装置に加入者回線を介して接続された通信端末がＩＰアドレスの割り当てを要求したときに得られたアドレス情報を基にして動的出力管理テーブル１７１を作成している。アップリンク回線１３０等を経て加入者回線収容装置１０２に到来したすべてのパケットは動的出力フィルタ部１６７でパケットの種類に応じてＩＰアドレス等と照合されるフィルタリング処理が行われ、これを通過したパケットが更に静的出力フィルタ部１６６でフィルタリングされて、インターフェイス回路部１６１を介して図示しないユーザ端末に送出される。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、パケットを加入者回線終端装置に終端された加入者回線に接続された通信端末に送出する際に使用する加入者回線収容装置およびパケットの送出の際のパケットフィルタリング方法に関する。
【背景技術】
【０００２】
電話回線や光ケーブル等の伝送路を介してそれぞれのユーザ端末がインターネット等の通信ネットワークに接続する際にＤＨＣＰ（Dynamic Host Configuration Protocol）を使用するサービス形態が広く採用されるようになってきている。ここでＤＨＣＰとは、再利用可能なＩＰ（Internet Protocol）アドレスの動的割り当てを行うプロトコルをいう。
【０００３】
ところが、ＤＨＣＰを用いた通信ネットワークでは、第三者がＩＰアドレスやＭＡＣ（Media Access Control）アドレスを詐称して、他人の通信を妨害したり、他人に成りすますことができるという問題がある。
【０００４】
たとえば、ＤＨＣＰを用いた通信ネットワークを構成する加入者回線終端装置のブリッジフォワーダでフラッディングの対象となるパケットを受信したような場合には、同一ネットワーク上に存在するすべてのノードにこれらのパケットが送信される。このため、本来通信の対象とならないユーザ端末にまで不要なパケットが送信されてトラフィックが増大する。
【０００５】
しかも、ＤＨＣＰを用いた通信ネットワークではユーザ端末に動的にＩＰアドレスが割り当てられるため、静的なフィルタをあらかじめ登録しておいて不要なパケットを排除することができない。
【０００６】
そこで、加入者回線収容装置に収容された回線に接続したユーザ端末のすべてのＭＡＣアドレスを登録しておき、これらのＭＡＣアドレスのいずれとも異なる通信端末がネットワークにアクセスしようとしたときには、これを拒否するようにすることでセキュリティを向上するが提案されている（たとえば特許文献１参照）。
【０００７】
この第１の提案によれば、ＩＰアドレスを詐称することで、第三者が他人の通信を妨害したり、他人に成りすますことができるという問題が残る。
【０００８】
このような問題を解消するために、ＩＰパケットを使用して第三者が不正に通信ネットワークへのアクセスを要求してきたような場合に、これを拒否することのできる加入者回線収容装置が提案されている（たとえば非特許文献１参照）。
【０００９】
この第２の提案では、ＩＰパケットがＤＨＣＰサーバに到来してＩＰアドレスの取得が要求されたとき、これに対してＩＰアドレスを発行すると共に、発行するＩＰアドレスとＩＰアドレスの取得の要求があった加入者回線の識別番号および要求した通信端末のＭＡＣアドレスの組をフィルタ条件登録手段に登録しておく。そして、パケットが到来したときにはフィルタ条件登録手段に登録されたＩＰアドレスと識別番号およびＭＡＣアドレスの組と一致するパケットのみにパケット通信を許可するようにしている。これにより、ＩＰアドレス等のアドレス情報が一致しても加入者回線の識別番号が一致しないパケットについては通信を許可しないので、不正アクセスを効果的に防止することができる。
【特許文献１】特開２００２−２０４２４６号公報（第００３８〜第００４０段落、図８）。
【非特許文献１】Ｃｉｓｃｏ−Ｃａｂｌｅ Ｓｏｕｒｃｅ．Ｖｅｒｉｆｙ ａｎｄ ＩＰ Ａｄｄｒｅｓｓ Ｓｅｃｕｒｉｔｙ（http://www.cisco.com/warp/public/109/source_verify.html）
【発明の開示】
【発明が解決しようとする課題】
【００１０】
しかしながら、この第２の提案では、入力フィルタによってパケットの入力を規制するだけであり、不要なデータの出力を規制することができない。
【００１１】
そこで本発明の目的は、加入者回線に接続された通信端末に対して送出されるパケットを効率的にフィルタリングすることが可能な加入者回線収容装置およびパケットフィルタリング方法を提供することにある。
【課題を解決するための手段】
【００１２】
請求項１記載の発明では、（イ）複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段と、（ロ）この加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末に対して動的に割り当てられたアドレスとしての動的アドレスをアドレス情報として逐次取得するアドレス情報取得手段と、（ハ）通信端末のいずれかに送出するパケットの宛先を示す動的アドレスからなるパケット情報を読み取るパケット情報読取手段と、（ニ）このパケット情報読取手段の読み取った動的アドレスがアドレス情報取得手段の取得したアドレス情報のいずれかに一致するか否かを判別するアドレス情報一致有無判別手段と、（ホ）このアドレス情報一致有無判別手段が一致していると判別したパケットのみの送出を許可するパケット送出制御手段とを加入者回線収容装置に具備させる。
【００１３】
すなわち請求項１記載の発明では、加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末に対する動的アドレスをアドレス情報として逐次取得するようにし、これらの通信端末にパケットを送出するときには、そのパケットの宛先を示す動的アドレスからなるパケット情報を読み取って、このパケット情報がアドレス情報のいずれかに一致する場合にのみそのパケットの送出を許可するようにした。これにより、動的アドレスが実在しない通信端末へのパケットの加入者回線収容装置からの送出を阻止することができる。
【００１４】
請求項２記載の発明では、（イ）複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段と、（ロ）この加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末に対してユニークに割り当てられた絶対アドレスとこれに対して動的に割り当てられた動的アドレスからなる組をアドレス情報として逐次取得するアドレス情報取得手段と、（ハ）通信端末のいずれかに送出するパケットの宛先を示す絶対アドレスと動的アドレスの対からなるパケット情報を読み取るパケット情報読取手段と、（ニ）このパケット情報読取手段の読み取った絶対アドレスと動的アドレスの対がアドレス情報取得手段の取得した絶対アドレスと動的アドレスの対のいずれかの対と一致するか否かを判別するアドレス情報一致有無判別手段と、（ホ）このアドレス情報一致有無判別手段が一致していると判別したパケットのみの送出を許可するパケット送出制御手段とを加入者回線収容装置に具備させる。
【００１５】
すなわち請求項２記載の発明では、加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末に対する絶対アドレスとこれに対して動的に割り当てられた動的アドレスからなる組をアドレス情報として逐次取得するようにし、これらの通信端末にパケットを送出するときには、そのパケットの宛先を示す絶対アドレスとこれに対して動的に割り当てられた動的アドレスからなる対をパケット情報として読み取って、このパケット情報がアドレス情報のいずれかに一致する場合にのみそのパケットの送出を許可するようにした。これにより、絶対アドレスと動的アドレスの対が実在しない通信端末へのパケットの加入者回線収容装置からの送出を阻止することができる。
【００１６】
請求項３記載の発明では、（イ）複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段と、（ロ）この加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末に対してユニークに割り当てられた絶対アドレスとこれに対して動的に割り当てられた動的アドレスおよびこの動的アドレスを取得した加入者回線番号からなる組をアドレス情報として逐次取得するアドレス情報取得手段と、（ハ）通信端末のいずれかに送出するパケットからその宛先を示す絶対アドレスと動的アドレスおよび加入者回線番号からなるパケット情報を読み取るパケット情報読取手段と、（ニ）このパケット情報読取手段の読み取った絶対アドレスと動的アドレスおよび加入者回線番号がアドレス情報取得手段の取得した絶対アドレスと動的アドレスおよび加入者回線番号の組のいずれかと一致するか否かを判別するアドレス情報一致有無判別手段と、（ホ）このアドレス情報一致有無判別手段が一致していると判別したパケットのみの送出を許可するパケット送出制御手段とを加入者回線収容装置に具備させる。
【００１７】
すなわち請求項３記載の発明では、加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末に対する絶対アドレスとこれに対して動的に割り当てられた動的アドレスおよびこの動的アドレスを取得した加入者回線番号からなる組をアドレス情報として逐次取得するようにし、これらの通信端末にパケットを送出するときには、そのパケットの宛先を示す絶対アドレスとこれに対して動的に割り当てられた動的アドレスおよびこの動的アドレスを取得した加入者回線番号からなるパケット情報を読み取って、このパケット情報がアドレス情報のいずれかに一致する場合にのみそのパケットの送出を許可するようにした。これにより、絶対アドレスと動的アドレスおよび加入者回線番号の組み合わせが実在しない通信端末へのパケットの加入者回線収容装置からの送出を阻止することができる。
【００１８】
請求項４記載の発明では、（イ）複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段と、（ロ）この加入者回線終端手段に終端された通信端末に対して動的に割り当てられたアドレスとしての動的アドレスをアドレス情報として逐次取得するアドレス情報取得手段と、（ハ）動的アドレスを指定してこれに対応する絶対アドレスの解析を行う関連アドレス解析パケットであるかどうかを判別する関連アドレス解析パケット判別手段と、（ニ）この関連アドレス解析パケット判別手段が関連アドレス解析パケットであると判別したときそのパケットの宛先を示す動的アドレスからなるパケット情報を読み取るパケット情報読取手段と、（ホ）このパケット情報読取手段の読み取った動的アドレスがアドレス情報取得手段の取得したアドレス情報のいずれかに一致するか否かを判別するアドレス情報一致有無判別手段と、（へ）このアドレス情報一致有無判別手段が一致していると判別したパケットのみの送出を許可するパケット送出制御手段とを加入者回線収容装置に具備させる。
【００１９】
すなわち請求項４記載の発明では、動的アドレスを指定してこれに対応する絶対アドレスの解析を行う関連アドレス解析パケットを加入者回線収容装置から送出する場合を扱っている。これ以外は請求項１記載の発明と同様である。
【００２０】
請求項１４記載の発明では、（イ）複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段に接続された通信端末のいずれかに送出するパケットの宛先を示す動的アドレスからなるパケット情報を読み取るパケット情報読取ステップと、（ロ）このパケット情報読取ステップで読み取った動的アドレスが加入者回線終端手段にそれぞれ接続された通信端末に対して動的に割り当てられたアドレスとしての動的アドレスのいずれかに一致するか否かを判別するアドレス情報一致有無判別ステップと、（ハ）このアドレス情報一致有無判別ステップで一致していると判別したパケットのみの送出を許可するパケット送出制御ステップとをパケットフィルタリング方法に具備させる。
【００２１】
すなわち請求項１４記載の発明では、加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末に対する動的アドレスをアドレス情報として逐次取得するようにし、これらの通信端末にパケットを送出するときには、そのパケットの宛先を示す動的アドレスからなるパケット情報を読み取って、このパケット情報がアドレス情報のいずれかに一致する場合にのみそのパケットの送出を許可するようにした。これにより、動的アドレスが実在しない通信端末へのパケットの加入者回線収容装置からの送出を阻止することができる。
【００２２】
請求項１５記載の発明では、（イ）複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段にそれぞれ接続された通信端末のいずれかに送出するパケットの送出先の通信端末に対してユニークに割り当てられた絶対アドレスとこれに対して動的に割り当てられた動的アドレスからなるパケット情報を読み取るパケット情報読取ステップと、（ロ）このパケット情報読取ステップで読み取った絶対アドレスと動的アドレスが加入者回線終端手段に接続された加入者回線にそれぞれ接続された通信端末の絶対アドレスと動的アドレスの対のいずれかの対と一致するか否かを判別するアドレス情報一致有無判別ステップと、（ハ）このアドレス情報一致有無判別ステップで一致していると判別したパケットのみの送出を許可するパケット送出制御ステップとをパケットフィルタリング方法に具備させる。
【００２３】
すなわち請求項１５記載の発明では、加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末に対する絶対アドレスとこれに対して動的に割り当てられた動的アドレスからなる組をアドレス情報として逐次取得するようにし、これらの通信端末にパケットを送出するときには、そのパケットの宛先を示す絶対アドレスとこれに対して動的に割り当てられた動的アドレスからなる対をパケット情報として読み取って、このパケット情報がアドレス情報のいずれかに一致する場合にのみそのパケットの送出を許可するようにした。これにより、絶対アドレスと動的アドレスの対が実在しない通信端末へのパケットの加入者回線収容装置からの送出を阻止することができる。
【００２４】
請求項１６記載の発明では、（イ）複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段にそれぞれ接続された通信端末のいずれかに送出するパケットの送出先の通信端末に対してユニークに割り当てられた絶対アドレスとこれに対して動的に割り当てられた動的アドレスおよびこの動的アドレスを取得した加入者回線番号からなるパケット情報を読み取るパケット情報読取ステップと、（ロ）このパケット情報読取ステップで読み取った絶対アドレスと動的アドレスおよび加入者回線番号が加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末の絶対アドレスと動的アドレスおよび加入者回線番号の組のいずれかと一致するか否かを判別するアドレス情報一致有無判別ステップと、（ハ）このアドレス情報一致有無判別ステップで一致していると判別したパケットのみの送出を許可するパケット送出制御ステップとをパケットフィルタリング方法に具備させる。
【００２５】
すなわち請求項１６記載の発明では、加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末に対する絶対アドレスとこれに対して動的に割り当てられた動的アドレスおよびこの動的アドレスを取得した加入者回線番号からなる組をアドレス情報として逐次取得するようにし、これらの通信端末にパケットを送出するときには、そのパケットの宛先を示す絶対アドレスとこれに対して動的に割り当てられた動的アドレスおよびこの動的アドレスを取得した加入者回線番号からなるパケット情報を読み取って、このパケット情報がアドレス情報のいずれかに一致する場合にのみそのパケットの送出を許可するようにした。これにより、絶対アドレスと動的アドレスおよび加入者回線番号の組み合わせが実在しない通信端末へのパケットの加入者回線収容装置からの送出を阻止することができる。
【００２６】
請求項１７記載の発明では、（イ）複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段にそれぞれ接続された通信端末のいずれかに送出するパケットが、これら通信端末に対して動的に割り当てられたアドレスとしての動的アドレスを指定してこれに対応する絶対アドレスの解析を行う関連アドレス解析パケットであるかどうかを判別する関連アドレス解析パケット判別ステップと、（ロ）この関連アドレス解析パケット判別ステップで関連アドレス要求パケットであると判別したときそのパケットの宛先を示す動的アドレスからなるパケット情報を読み取るパケット情報読取ステップと、（ハ）このパケット情報読取ステップで読み取った動的アドレスが加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末のいずれかに割り当てられた動的アドレスと一致するか否かを判別するアドレス情報一致有無判別ステップと、（ニ）このアドレス情報一致有無判別ステップで一致していると判別したパケットのみの送出を許可するパケット送出制御ステップとをパケットフィルタリング方法に具備させる。
【００２７】
すなわち請求項１７記載の発明では、動的アドレスを指定してこれに対応する絶対アドレスの解析を行う関連アドレス解析パケットを加入者回線収容装置から送出する場合を扱っている。これ以外は請求項１４記載の発明と同様である。
【発明の効果】
【００２８】
このように本発明では、加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末に対して動的に割り当てられた動的アドレスを加入者回線収容装置が少なくとも把握しておき、パケットをこれらの通信端末に送出するときにこれが一致するかを送出の１つの要件としているので、たとえＭＡＣアドレス等の絶対アドレスを取得した第三者からのパケットであっても、動的アドレスが一致しなければ送出を拒否することができる。このため、宛先の存在しないパケットの送出によるトラヒックの増大を防止することができる。
【発明を実施するための最良の形態】
【００２９】
以下実施例につき本発明を詳細に説明する。
【実施例１】
【００３０】
＜システムの概要＞
【００３１】
図１は、本実施例の加入者回線収容装置を使用したマルチキャスト情報配信システムの概要を表わしたものである。このマルチキャスト情報配信システム１００は、ＡＤＳＬ（Asymmetric Digital Subscriber Line）と呼ばれる非対称ディジタル加入者回線を使用している。マルチキャスト情報配信システム１００は、それぞれの加入者宅に配置されたユーザスプリッタ１０１1〜１０１Mと加入者回線収容装置１０２とを、ＤＳＬ加入者回線１０３1〜１０３Mで接続している。各ユーザスプリッタ１０１1〜１０１Mには、それぞれ電話機１０４1〜１０４MとＡＤＳＬモデム１０５1〜１０５Mのうちの対応するものが接続されている。ＡＤＳＬモデム１０５1〜１０５Mには、ホームページの閲覧等の各種のデータ処理を行うためのパーソナルコンピュータ１０６1〜１０６Mがそれぞれ接続される他、セットトップボックス１０７1〜１０７Mを介してテレビジョン番組を視聴するためのインターネットテレビジョン（ＴＶ）１０８1〜１０８Mがそれぞれ接続されている。
【００３２】
加入者回線収容装置１０２は、音声交換機１１２と接続されており、公衆電話交換網（ＰＳＴＮ：Public Switched Telephone Network）１１３と接続されるようになっている。また、加入者回線収容装置１０２はルータ１１４を介してインターネット等のパケット通信を行うためのパケット通信ネットワーク１１５に接続されている。パケット通信ネットワーク１１５には、各ユーザのインターネットテレビジョン１０８に対して各種のテレビジョン番組を配信させるための番組配信用サーバ１１６が接続されている。
【００３３】
図２は、加入者回線収容装置とその周辺の構成を示したものである。本実施例で加入者回線収容装置１０２は、１つのシステム当たりで最大で１９２０回線を収容できるようになっている。
【００３４】
加入者回線収容装置１０２は、ＡＤＳＬモデム１０５1〜１０５1920とＤＳＬ加入者回線１０３1〜１０３1920を介して接続されるスプリッタユニット１２２1〜１２２1920を備えている。このうちのスプリッタユニット１２２1を代表的に説明する。スプリッタユニット１２２1は、ＤＳＬ加入者回線１０３1を介して送られてきた信号１２３1を、音声周波数帯域の電話信号１２４1と、これよりも高い所定の周波数帯域のＡＤＳＬ信号１２５1に分離する。電話信号１２４1は、回線交換用の音声交換機１１２に送られることになる。
【００３５】
これに対して、スプリッタユニット１２１1によって分離されたＡＤＳＬ信号１２５1は、対応するＤＳＬ加入者回線終端ユニット（Line Termination Unit：ＬＴＵ）１２７1の図示しない初段部分で変復調され、ＡＴＭセルが取り出されて、バックプレーンバス１２８を介して複合中継ユニット（ＩＧＵ）１３１に入力される。複合中継ユニット１３１の詳細は後に説明する。ＤＳＬ加入者回線終端ユニット１２７1は最大で３２回線等の所定数の回線に対応したＤＳＬトランシーバモジュール（後に説明するＤＳＰ（Digital Signal Processor））を備えており、ＤＳＬ加入者回線１０３1〜１０３1920を使用して、インターネットに接続するためのインターフェイスとしてのアップリンク回線１３０を介して上り方向（図１におけるパケット通信ネットワーク１１５の方向）に高速のデータ通信を行う他、下りデータを受信して変調し、ＤＳＬ加入者回線１０３1〜１０３1920に送出するようになっている。
【００３６】
図３は、加入者回線収容装置の要部のシステム構成を表わしたものである。加入者回線収容装置１０２は、図２で説明したＤＳＬ加入者回線終端ユニット（ＬＴＵ）１２７1〜１２７Jを備えており、これらは複合中継ユニット１３１の一端側に接続されている。複合中継ユニット１３１はインターネットに接続するためのインターフェイス機能を有しており、その他端側には、アップリンク回線１３０が接続されている。
【００３７】
複合中継ユニット１３１は、加入者回線収容装置１０２の全体的な制御や監視等を行う装置制御部１３２と、バックプレーン（Backplane）のインターフェイスを行うバックプレーンＩＦ（インターフェイス）回路１３３、ＡＴＭ（Asynchronous Transfer Mode）セルの組み立てや分解を行うＡＴＭ ＳＡＲ（Asynchronous Transfer Mode Segmentation and Reassembly）１３４、およびレイヤ２の転送を行い、ＭＡＣアドレス（Media Access Control Address）を基にパケットを仕分けるブリッジフォワーダ１３５を配置している。ＡＴＭセルは、ＡＴＭ ＳＡＲ１３４とＤＳＬ加入者回線終端ユニット１２７1〜１２７Jの間で伝送され、アップリンク回線１３０の入出力部分ではイーサネット（登録商標）のフレームが伝送される。
【００３８】
図４は、複合中継ユニットのハードウェアとしての回路構成の概要を表わしたものである。複合中継ユニット１３１は、装置制御ＣＰＵ（Central Processing Unit）１４１とネットワークプロセッサ１４２の２つのプロセッサと、フラッシュＲＯＭ（Read Only Memory）１４３、ＳＤＲＡＭ（Synchronous Dynamic Random Access Memory）１４４および不揮発性ＲＡＭ（Random Access Memory）１４５からなるメモリ群と、特定用途向けの集積回路としてのＡＳＩＣ（Application Specific Integrated Circuit）からなるバックプレーンＩＦ回路１３３ならびに図示しないＬＳＩ（Large Scale Integration）で構成されるＧｂＥ（Gigabit Ethernet（登録商標）） ＩＦ（interface）回路１４７を備えている。
【００３９】
ここで、装置制御ＣＰＵ１４１は、装置の管理や通信あるいはコンフィグレーションの設定に関する制御を行う。ネットワークプロセッサ１４２は、内蔵ＣＰＵ１５１およびＡＴＭ ＳＡＲ１３４を備えた高速の通信用プロセッサである。このネットワークプロセッサ１４２を使用して、図３に示したブリッジフォワーダ１３５をソフトウェア的に実現し、これによるフレームの受信、宛先の判別、宛先への送信等の処理が実行される。バックプレーンＩＦ回路１３３は、回線との間のバスの制御等の回線に関する各種制御を、ギガビット単位で送られてくるフレームの高速処理を行うために、ハードウェアで実現している。バックプレーンＩＦ回路１３３は、ＤＳＬ加入者回線終端ユニット１２７1〜１２７Jを個々にポーリングによって処理している。
【００４０】
図５は、この複合中継ユニットの主要な機能ブロックを示したものである。複合中継ユニット１３１は、図２に示したＤＳＬ加入者回線終端ユニット１２７1〜１２７Jにそれぞれ対応して配置された第１〜第Ｊのインターフェイス回路部１６１1〜１６１Jを備えている。ブリッジフォワーダ１３５と第１〜第Ｊのインターフェイス回路部１６１1〜１６１Jの間には、入力パケットバイパス部１６２1〜１６２Jと、動的入力フィルタ部１６３1〜１６３Jおよび静的入力フィルタ部１６４1〜１６４Jからなる直列回路と、出力パケットバイパス部１６５1〜１６５Jと、静的出力フィルタ部１６６1〜１６６Jおよび動的出力フィルタ部１６７1〜１６７Jからなる直列回路とが接続されている。ＤＨＣＰ（Dynamic Host Configuration Protocol）処理部１６８は、入力パケットバイパス部１６２1〜１６２Jおよび出力パケットバイパス部１６５1〜１６５Jに接続されている。この図で、第１〜第Ｊのインターフェイス回路部１６１1〜１６１Jは、図３におけるブリッジフォワーダ１３５よりもＤＳＬ加入者回線終端ユニット１２７1〜１２７J側の回路部分を総括的に表わしたものである。
【００４１】
入力パケットバイパス部１６２1〜１６２Jは、入力されたパケットをＤＨＣＰ処理部１６８に進むものと動的入力フィルタ部１６３1〜１６３Jに進むものとに仕分けるようになっている。動的入力フィルタ部１６３1〜１６３Jは、時間的に変動する動的なアドレス情報を使用して受信したパケットのフィルタリングを行う。これに対して静的入力フィルタ部１６４1〜１６４Jは、時間的に変動しない静的なアドレス情報を使用して受信したパケットの更なるフィルタリングを行う。同様に、静的出力フィルタ部１６６1〜１６６Jは、静的なアドレス情報を使用して、ユーザ端末方向に送出されるパケットの静的なフィルタリングを行う。動的出力フィルタ部１６７1〜１６７Jは、これら送出されるパケットの動的なフィルタリングを行う。出力パケットバイパス部１６５1〜１６５Jは、静的出力フィルタ部１６６1〜１６６Jから送られてきたパケットあるいはＤＨＣＰ処理部１６８から出力されるパケットを第１〜第Ｊのインターフェイス回路部１６１1〜１６１Jのうちの対応するものに与え、該当するユーザ端末に送出させるようになっている。
【００４２】
＜フィルタリング処理＞
【００４３】
図６は、動的出力フィルタ部に内蔵された動的出力管理テーブルの一部を表わしたものである。動的出力管理テーブル１７１には、ユーザ端末のそれぞれについての割り当てられたＩＰアドレス、ＭＡＣアドレスおよび加入者回線番号をリストアップしている。
【００４４】
ところで、各加入者端末のユーザ（ＤＨＣＰクライアント）は、ＤＨＣＰサーバにＩＰアドレスを要求して、ＤＨＣＰサーバ側にあらかじめ確保しているＩＰアドレスの割り当てを受けることができる。このとき、図５に示したＤＨＣＰ処理部１６８側では、割り当てたＩＰアドレスと、そのユーザ端末に関するＭＡＣアドレスおよび加入者回線番号を取得することができる。
【００４５】
図７は、ＤＨＣＰ処理部による動的出力管理テーブルの更新処理の様子を表わしたものである。ＤＨＣＰ処理部１６８はＤＨＣＰサーバに対してＩＰアドレスの割当要求に基づいた割り当てが完了するたびに（ステップＳ３０１：Ｙ）、そのユーザ端末のアドレス情報を取得する（ステップＳ３０２）。そして、得られたアドレス情報としてのＩＰアドレス、ＭＡＣアドレスおよび加入者回線番号を、図６に示した動的出力管理テーブル１７１に登録し（ステップＳ３０３）。その内容のフィルタリングを行うための出力フィルタエントリを１つ追加する（ステップＳ３０４）。
【００４６】
ところでＤＨＣＰサーバはＩＰアドレスを、リース期間を設定してそれぞれのユーザ端末に割り当てるようにしている。したがって、それぞれのＩＰアドレス単位にリース期間が満了するまでの期間を逐次チェックして（ステップＳ３０５）、満了すれば（Ｙ）、その出力フィルタエントリを削除する（ステップＳ３０６）。これは、リース期間内でのみパケットの送出を許すようにするためである。
【００４７】
図８および図９は、動的出力フィルタ部によるパケットの送出制御の様子を表わしたものである。図４に示した複合中継ユニット１３１内の前記した装置制御ＣＰＵ１４１が所定の制御プログラムを実行することで、この処理を行う。もちろん、同一の制御論理をハードウェアで実現することも可能である。
【００４８】
装置制御ＣＰＵ１４１は該当するユーザ端末に送信するパケットが到来するのを監視している（図８ステップＳ３２１）。このようなパケットがアップリンク回線１３０や図５に示す静的入力フィルタ部１６４1〜１６４J等から図３に示すブリッジフォワーダ１３５に送られてきたら（Ｙ）、まず、そのパケットのイーサ（イーサネット（登録商標））ヘッダ内の「Ｔｙｐｅ」フィールドの情報を読み出す（ステップＳ３２２）。そして、これが「０ｘ０８０６」であれば、その送出するパケットがＡＲＰ（Address Resolution Protocol）パケットであることが分かる（ステップＳ３２３：Ｙ）。
【００４９】
ここでＡＲＰパケットについて説明する。イーサネット（登録商標）上での通信は、たとえその上位の通信でＩＰアドレスを使用しても、最終的にはＭＡＣアドレスを使用した通信が行われる。そこで、ＭＡＣアドレスを取得するために、ＩＰアドレスをパケットにセットして、同一ネットワーク上の全ノードにブロードキャストするＡＲＰパケットが存在している。
【００５０】
このように関連アドレスを解析する関連アドレス解析パケットとしてのＡＲＰパケットの存在により、第三者がＩＰアドレスからＭＡＣアドレスを取得するということが可能になる。つまり、他人のＡＲＰパケットをキャプチャ（監視）することによって、ＩＰアドレスとＭＡＣアドレスの組を知ることも可能である。したがって、不正なアクセスをより簡単に行うことができる。
【００５１】
送出するパケットがＡＲＰパケットであると判別された場合には（ステップＳ３２３：Ｙ）、更に、そのパケットのイーサヘッダ内の「Ｄｅｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓ」フィールドを読み出す（ステップＳ３２４）。そしてこれが図６に示した動的出力管理テーブル１７１に登録した「ＭＡＣアドレス」あるいはマルチキャストアドレスまたはブロードキャストアドレスと同一であるかどうかをチェックする（ステップＳ３２５）。同じでなければ（Ｎ）、宛先のユーザ端末が存在しないことになるので、そのパケットは動的出力フィルタ部１６７1〜１６７Jのうちの該当するもので廃棄される（ステップＳ３２６）。
【００５２】
これに対して、ステップＳ３２５で同一のアドレスが動的出力管理テーブル１７１に存在した場合には（Ｙ）、そのパケットの「Ｔａｒｇｅｔ Ｐｒｏｔｏｃｏｌ Ａｄｄｒｅｓｓ」フィールドを読み出す（ステップＳ３２７）。そして、これが、動的出力管理テーブル１７１に登録された「ＩＰアドレス」と同一であるかどうかをチェックする（ステップＳ３２８）。同一であれば（Ｙ）、そのパケットは静的出力フィルタ部１６６1〜１６６Jのうちの該当するものに送られて、従来から行われているような静的なフィルタリングが行われる（ステップＳ３２９）。同一ではなかった場合（ステップＳ３２８：Ｎ）、そのパケットは動的出力フィルタ部１６７1〜１６７Jのうちの該当するもので廃棄されることになる（ステップＳ３２６）。
【００５３】
図９は、図８のステップＳ３２３でイーサヘッダ内の「Ｔｙｐｅ」フィールドが「０ｘ０８０６」ではなかった場合（Ｎ）、すなわち送出するパケットがＡＲＰパケットではなった場合の処理を示したものである。この場合、「Ｔｙｐｅ」フィールドが「０ｘ０８００」であるかどうかのチェックが行われる（図９ステップＳ３３０）。「Ｔｙｐｅ」フィールドが「０ｘ０８００」の場合には、そのパケットはＩＰパケットである。そこでこの場合には（Ｙ）、送信するそのパケットのイーサヘッド内の「Ｄｅｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓ」を読み出す（ステップＳ３３１）。そして、これが動的出力管理テーブル１７１に登録された「ＭＡＣアドレス」と同一であるかどうかをチェックする（ステップＳ３３２）。同一であれば（Ｙ）、そのＩＰパケットの「Ｄｅｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓ」を再度読み出すか、読み出したものをチェックして（ステップＳ３３３）、これが動的出力管理テーブル１７１に登録された「ＩＰアドレス」と同一であるかどうかをチェックする（図８ステップＳ３２８）。この後の処理についてはすでに説明した。
【００５４】
一方、図９のステップＳ３３２で「ＭＡＣアドレス」と同一ではないと判別された場合には（Ｎ）、イーサヘッド内の「Ｄｅｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓ」がマルチキャストアドレスまたはブロードキャストアドレスと同一であるかどうかのチェックが行われる（ステップＳ３３４）。この結果、同一であれば（Ｙ）、図８のステップＳ３２９に進んで静的なフィルタリングが行われることになる。それ以外の場合には（図９ステップＳ３３４：Ｎ）、そのパケットは動的出力フィルタ部１６７1〜１６７Jのうちの該当するもので廃棄される（図８ステップＳ３２６）。
【００５５】
また、図９のステップＳ３３０で「Ｔｙｐｅ」フィールドが「０ｘ０８００」ではないとされた場合（Ｎ）、そのパケットは静的出力フィルタ部１６６1〜１６６Jのうちの対応するものに送られることになる。すなわち、この場合には送出するパケットがＡＲＰパケットでもＩＰパケットでもない他のパケットの場合である。そこで本実施例ではその処理を動的出力フィルタ部１６７1〜１６７Jでは行わず、静的出力フィルタ部１６６1〜１６６Jの処理に任せることにしている（図８ステップＳ３２９）。静的出力フィルタ部１６６1〜１６６Jは、たとえばこのようなパケットを廃棄することになる。
【００５６】
このようにして静的出力フィルタ部１６６1〜１６６Jに送られたパケットは、ここで更に必要なフィルタリングが行われ、出力パケットバイパス部１６５1〜１６５Jから第１〜第Ｊのインターフェイス回路部１６１1〜１６１Jのうちの対応するものを通過して、宛先のユーザ端末に送信されることになる。
【００５７】
なお、以上説明した実施例では、ＤＨＣＰ処理部が加入者回線収容装置の内部に存在して、これにより取得したＩＰアドレス等のアドレス情報を基にして動的出力管理テーブルを作成する場合を説明したが、これに限るものではない。たとえば、ＤＨＣＰ処理部あるいはＤＨＣＰサーバが加入者回線収容装置の外に独立して存在し、その代わりに加入者回線収容装置の内部にはこれと通信して必要な情報を取得するＤＨＣＰリレーエージェントが配置されていてもよい。この場合には、ＤＨＣＰリレーエージェントを介して取得したアドレス情報を基にして、動的出力管理テーブルを作成することになる。また、加入者回線収容装置の内部にＤＨＣＰリレーエージェントが存在しない場合でも、ＤＨＣＰ処理が行われる場合には、複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段を備えた加入者回線収容装置の内部にこれらのアドレス情報を伝送するパケット自体が流れること自体は確かである。したがって、これらのアドレス情報をスプーフするスプーフィング手段を加入者回線収容装置の内部に配置することで、同様に動的出力管理テーブルを作成することができる。
【００５８】
また、以上説明した実施例では、加入者回線はＤＳＬ回線の場合を説明したが、加入者回線終端手段に接続されるものであればこれに限るものではない。たとえば、光ファイバケーブルを使用した回線に対しても本発明を同様に適用することができる。また、実施例ではＩＰアドレスやＭＡＣアドレスをフィルタの条件としてチェックすることにしたが、名称の如何を問わず動的アドレスや絶対アドレスを用いて同様に出力フィルタとしての機能を持たせることができることも当然である。
【００５９】
更に実施例では動的出力管理テーブル１７１に登録した内容と照合することで、送出するパケットのフィルタリングを行うことにしたが、このような特別のテーブルを設けずに、同様のフィルタリングを行うようにする場合も本発明が適用されることは当然である。
【図面の簡単な説明】
【００６０】
【図１】本実施例でテレビジョン映像を視聴するためのマルチキャスト情報配信システムの概要を表わしたシステム構成図である。
【図２】本実施例で加入者回線収容装置とその周辺の回路構成の概要を示したブロック図である。
【図３】本実施例で加入者回線収容装置の要部のシステム構成を表わしたブロック図である。
【図４】本実施例で複合中継ユニットのハードウェア構成の概要を表わしたブロック図である。
【図５】本実施例で複合中継ユニットの主要な機能ブロックを示したブロック図である。
【図６】本実施例で動的出力フィルタ部に内蔵された動的出力管理テーブルの一部を表わした説明図である。
【図７】本実施例のＤＨＣＰ処理部による動的出力管理テーブルの更新処理の様子を表わした流れ図である。
【図８】本実施例の動的出力フィルタ部によるパケットの送出制御の前半を表わした流れ図である。
【図９】本実施例の動的出力フィルタ部によるパケットの送出制御の後半を表わした流れ図である。
【符号の説明】
【００６１】
１００ マルチキャスト情報配信システム
１０２ 加入者回線収容装置
１０３ ＤＳＬ加入者回線
１２７ ＤＳＬ加入者回線終端ユニット
１３０ アップリンク回線
１３５ ブリッジフォワーダ
１４１ 装置制御ＣＰＵ
１４２ ネットワークプロセッサ
１６７ 動的出力フィルタ部
１６８ ＤＨＣＰ処理部
１７１ 動的出力管理テーブル
【技術分野】
【０００１】
本発明は、パケットを加入者回線終端装置に終端された加入者回線に接続された通信端末に送出する際に使用する加入者回線収容装置およびパケットの送出の際のパケットフィルタリング方法に関する。
【背景技術】
【０００２】
電話回線や光ケーブル等の伝送路を介してそれぞれのユーザ端末がインターネット等の通信ネットワークに接続する際にＤＨＣＰ（Dynamic Host Configuration Protocol）を使用するサービス形態が広く採用されるようになってきている。ここでＤＨＣＰとは、再利用可能なＩＰ（Internet Protocol）アドレスの動的割り当てを行うプロトコルをいう。
【０００３】
ところが、ＤＨＣＰを用いた通信ネットワークでは、第三者がＩＰアドレスやＭＡＣ（Media Access Control）アドレスを詐称して、他人の通信を妨害したり、他人に成りすますことができるという問題がある。
【０００４】
たとえば、ＤＨＣＰを用いた通信ネットワークを構成する加入者回線終端装置のブリッジフォワーダでフラッディングの対象となるパケットを受信したような場合には、同一ネットワーク上に存在するすべてのノードにこれらのパケットが送信される。このため、本来通信の対象とならないユーザ端末にまで不要なパケットが送信されてトラフィックが増大する。
【０００５】
しかも、ＤＨＣＰを用いた通信ネットワークではユーザ端末に動的にＩＰアドレスが割り当てられるため、静的なフィルタをあらかじめ登録しておいて不要なパケットを排除することができない。
【０００６】
そこで、加入者回線収容装置に収容された回線に接続したユーザ端末のすべてのＭＡＣアドレスを登録しておき、これらのＭＡＣアドレスのいずれとも異なる通信端末がネットワークにアクセスしようとしたときには、これを拒否するようにすることでセキュリティを向上するが提案されている（たとえば特許文献１参照）。
【０００７】
この第１の提案によれば、ＩＰアドレスを詐称することで、第三者が他人の通信を妨害したり、他人に成りすますことができるという問題が残る。
【０００８】
このような問題を解消するために、ＩＰパケットを使用して第三者が不正に通信ネットワークへのアクセスを要求してきたような場合に、これを拒否することのできる加入者回線収容装置が提案されている（たとえば非特許文献１参照）。
【０００９】
この第２の提案では、ＩＰパケットがＤＨＣＰサーバに到来してＩＰアドレスの取得が要求されたとき、これに対してＩＰアドレスを発行すると共に、発行するＩＰアドレスとＩＰアドレスの取得の要求があった加入者回線の識別番号および要求した通信端末のＭＡＣアドレスの組をフィルタ条件登録手段に登録しておく。そして、パケットが到来したときにはフィルタ条件登録手段に登録されたＩＰアドレスと識別番号およびＭＡＣアドレスの組と一致するパケットのみにパケット通信を許可するようにしている。これにより、ＩＰアドレス等のアドレス情報が一致しても加入者回線の識別番号が一致しないパケットについては通信を許可しないので、不正アクセスを効果的に防止することができる。
【特許文献１】特開２００２−２０４２４６号公報（第００３８〜第００４０段落、図８）。
【非特許文献１】Ｃｉｓｃｏ−Ｃａｂｌｅ Ｓｏｕｒｃｅ．Ｖｅｒｉｆｙ ａｎｄ ＩＰ Ａｄｄｒｅｓｓ Ｓｅｃｕｒｉｔｙ（http://www.cisco.com/warp/public/109/source_verify.html）
【発明の開示】
【発明が解決しようとする課題】
【００１０】
しかしながら、この第２の提案では、入力フィルタによってパケットの入力を規制するだけであり、不要なデータの出力を規制することができない。
【００１１】
そこで本発明の目的は、加入者回線に接続された通信端末に対して送出されるパケットを効率的にフィルタリングすることが可能な加入者回線収容装置およびパケットフィルタリング方法を提供することにある。
【課題を解決するための手段】
【００１２】
請求項１記載の発明では、（イ）複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段と、（ロ）この加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末に対して動的に割り当てられたアドレスとしての動的アドレスをアドレス情報として逐次取得するアドレス情報取得手段と、（ハ）通信端末のいずれかに送出するパケットの宛先を示す動的アドレスからなるパケット情報を読み取るパケット情報読取手段と、（ニ）このパケット情報読取手段の読み取った動的アドレスがアドレス情報取得手段の取得したアドレス情報のいずれかに一致するか否かを判別するアドレス情報一致有無判別手段と、（ホ）このアドレス情報一致有無判別手段が一致していると判別したパケットのみの送出を許可するパケット送出制御手段とを加入者回線収容装置に具備させる。
【００１３】
すなわち請求項１記載の発明では、加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末に対する動的アドレスをアドレス情報として逐次取得するようにし、これらの通信端末にパケットを送出するときには、そのパケットの宛先を示す動的アドレスからなるパケット情報を読み取って、このパケット情報がアドレス情報のいずれかに一致する場合にのみそのパケットの送出を許可するようにした。これにより、動的アドレスが実在しない通信端末へのパケットの加入者回線収容装置からの送出を阻止することができる。
【００１４】
請求項２記載の発明では、（イ）複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段と、（ロ）この加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末に対してユニークに割り当てられた絶対アドレスとこれに対して動的に割り当てられた動的アドレスからなる組をアドレス情報として逐次取得するアドレス情報取得手段と、（ハ）通信端末のいずれかに送出するパケットの宛先を示す絶対アドレスと動的アドレスの対からなるパケット情報を読み取るパケット情報読取手段と、（ニ）このパケット情報読取手段の読み取った絶対アドレスと動的アドレスの対がアドレス情報取得手段の取得した絶対アドレスと動的アドレスの対のいずれかの対と一致するか否かを判別するアドレス情報一致有無判別手段と、（ホ）このアドレス情報一致有無判別手段が一致していると判別したパケットのみの送出を許可するパケット送出制御手段とを加入者回線収容装置に具備させる。
【００１５】
すなわち請求項２記載の発明では、加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末に対する絶対アドレスとこれに対して動的に割り当てられた動的アドレスからなる組をアドレス情報として逐次取得するようにし、これらの通信端末にパケットを送出するときには、そのパケットの宛先を示す絶対アドレスとこれに対して動的に割り当てられた動的アドレスからなる対をパケット情報として読み取って、このパケット情報がアドレス情報のいずれかに一致する場合にのみそのパケットの送出を許可するようにした。これにより、絶対アドレスと動的アドレスの対が実在しない通信端末へのパケットの加入者回線収容装置からの送出を阻止することができる。
【００１６】
請求項３記載の発明では、（イ）複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段と、（ロ）この加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末に対してユニークに割り当てられた絶対アドレスとこれに対して動的に割り当てられた動的アドレスおよびこの動的アドレスを取得した加入者回線番号からなる組をアドレス情報として逐次取得するアドレス情報取得手段と、（ハ）通信端末のいずれかに送出するパケットからその宛先を示す絶対アドレスと動的アドレスおよび加入者回線番号からなるパケット情報を読み取るパケット情報読取手段と、（ニ）このパケット情報読取手段の読み取った絶対アドレスと動的アドレスおよび加入者回線番号がアドレス情報取得手段の取得した絶対アドレスと動的アドレスおよび加入者回線番号の組のいずれかと一致するか否かを判別するアドレス情報一致有無判別手段と、（ホ）このアドレス情報一致有無判別手段が一致していると判別したパケットのみの送出を許可するパケット送出制御手段とを加入者回線収容装置に具備させる。
【００１７】
すなわち請求項３記載の発明では、加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末に対する絶対アドレスとこれに対して動的に割り当てられた動的アドレスおよびこの動的アドレスを取得した加入者回線番号からなる組をアドレス情報として逐次取得するようにし、これらの通信端末にパケットを送出するときには、そのパケットの宛先を示す絶対アドレスとこれに対して動的に割り当てられた動的アドレスおよびこの動的アドレスを取得した加入者回線番号からなるパケット情報を読み取って、このパケット情報がアドレス情報のいずれかに一致する場合にのみそのパケットの送出を許可するようにした。これにより、絶対アドレスと動的アドレスおよび加入者回線番号の組み合わせが実在しない通信端末へのパケットの加入者回線収容装置からの送出を阻止することができる。
【００１８】
請求項４記載の発明では、（イ）複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段と、（ロ）この加入者回線終端手段に終端された通信端末に対して動的に割り当てられたアドレスとしての動的アドレスをアドレス情報として逐次取得するアドレス情報取得手段と、（ハ）動的アドレスを指定してこれに対応する絶対アドレスの解析を行う関連アドレス解析パケットであるかどうかを判別する関連アドレス解析パケット判別手段と、（ニ）この関連アドレス解析パケット判別手段が関連アドレス解析パケットであると判別したときそのパケットの宛先を示す動的アドレスからなるパケット情報を読み取るパケット情報読取手段と、（ホ）このパケット情報読取手段の読み取った動的アドレスがアドレス情報取得手段の取得したアドレス情報のいずれかに一致するか否かを判別するアドレス情報一致有無判別手段と、（へ）このアドレス情報一致有無判別手段が一致していると判別したパケットのみの送出を許可するパケット送出制御手段とを加入者回線収容装置に具備させる。
【００１９】
すなわち請求項４記載の発明では、動的アドレスを指定してこれに対応する絶対アドレスの解析を行う関連アドレス解析パケットを加入者回線収容装置から送出する場合を扱っている。これ以外は請求項１記載の発明と同様である。
【００２０】
請求項１４記載の発明では、（イ）複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段に接続された通信端末のいずれかに送出するパケットの宛先を示す動的アドレスからなるパケット情報を読み取るパケット情報読取ステップと、（ロ）このパケット情報読取ステップで読み取った動的アドレスが加入者回線終端手段にそれぞれ接続された通信端末に対して動的に割り当てられたアドレスとしての動的アドレスのいずれかに一致するか否かを判別するアドレス情報一致有無判別ステップと、（ハ）このアドレス情報一致有無判別ステップで一致していると判別したパケットのみの送出を許可するパケット送出制御ステップとをパケットフィルタリング方法に具備させる。
【００２１】
すなわち請求項１４記載の発明では、加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末に対する動的アドレスをアドレス情報として逐次取得するようにし、これらの通信端末にパケットを送出するときには、そのパケットの宛先を示す動的アドレスからなるパケット情報を読み取って、このパケット情報がアドレス情報のいずれかに一致する場合にのみそのパケットの送出を許可するようにした。これにより、動的アドレスが実在しない通信端末へのパケットの加入者回線収容装置からの送出を阻止することができる。
【００２２】
請求項１５記載の発明では、（イ）複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段にそれぞれ接続された通信端末のいずれかに送出するパケットの送出先の通信端末に対してユニークに割り当てられた絶対アドレスとこれに対して動的に割り当てられた動的アドレスからなるパケット情報を読み取るパケット情報読取ステップと、（ロ）このパケット情報読取ステップで読み取った絶対アドレスと動的アドレスが加入者回線終端手段に接続された加入者回線にそれぞれ接続された通信端末の絶対アドレスと動的アドレスの対のいずれかの対と一致するか否かを判別するアドレス情報一致有無判別ステップと、（ハ）このアドレス情報一致有無判別ステップで一致していると判別したパケットのみの送出を許可するパケット送出制御ステップとをパケットフィルタリング方法に具備させる。
【００２３】
すなわち請求項１５記載の発明では、加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末に対する絶対アドレスとこれに対して動的に割り当てられた動的アドレスからなる組をアドレス情報として逐次取得するようにし、これらの通信端末にパケットを送出するときには、そのパケットの宛先を示す絶対アドレスとこれに対して動的に割り当てられた動的アドレスからなる対をパケット情報として読み取って、このパケット情報がアドレス情報のいずれかに一致する場合にのみそのパケットの送出を許可するようにした。これにより、絶対アドレスと動的アドレスの対が実在しない通信端末へのパケットの加入者回線収容装置からの送出を阻止することができる。
【００２４】
請求項１６記載の発明では、（イ）複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段にそれぞれ接続された通信端末のいずれかに送出するパケットの送出先の通信端末に対してユニークに割り当てられた絶対アドレスとこれに対して動的に割り当てられた動的アドレスおよびこの動的アドレスを取得した加入者回線番号からなるパケット情報を読み取るパケット情報読取ステップと、（ロ）このパケット情報読取ステップで読み取った絶対アドレスと動的アドレスおよび加入者回線番号が加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末の絶対アドレスと動的アドレスおよび加入者回線番号の組のいずれかと一致するか否かを判別するアドレス情報一致有無判別ステップと、（ハ）このアドレス情報一致有無判別ステップで一致していると判別したパケットのみの送出を許可するパケット送出制御ステップとをパケットフィルタリング方法に具備させる。
【００２５】
すなわち請求項１６記載の発明では、加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末に対する絶対アドレスとこれに対して動的に割り当てられた動的アドレスおよびこの動的アドレスを取得した加入者回線番号からなる組をアドレス情報として逐次取得するようにし、これらの通信端末にパケットを送出するときには、そのパケットの宛先を示す絶対アドレスとこれに対して動的に割り当てられた動的アドレスおよびこの動的アドレスを取得した加入者回線番号からなるパケット情報を読み取って、このパケット情報がアドレス情報のいずれかに一致する場合にのみそのパケットの送出を許可するようにした。これにより、絶対アドレスと動的アドレスおよび加入者回線番号の組み合わせが実在しない通信端末へのパケットの加入者回線収容装置からの送出を阻止することができる。
【００２６】
請求項１７記載の発明では、（イ）複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段にそれぞれ接続された通信端末のいずれかに送出するパケットが、これら通信端末に対して動的に割り当てられたアドレスとしての動的アドレスを指定してこれに対応する絶対アドレスの解析を行う関連アドレス解析パケットであるかどうかを判別する関連アドレス解析パケット判別ステップと、（ロ）この関連アドレス解析パケット判別ステップで関連アドレス要求パケットであると判別したときそのパケットの宛先を示す動的アドレスからなるパケット情報を読み取るパケット情報読取ステップと、（ハ）このパケット情報読取ステップで読み取った動的アドレスが加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末のいずれかに割り当てられた動的アドレスと一致するか否かを判別するアドレス情報一致有無判別ステップと、（ニ）このアドレス情報一致有無判別ステップで一致していると判別したパケットのみの送出を許可するパケット送出制御ステップとをパケットフィルタリング方法に具備させる。
【００２７】
すなわち請求項１７記載の発明では、動的アドレスを指定してこれに対応する絶対アドレスの解析を行う関連アドレス解析パケットを加入者回線収容装置から送出する場合を扱っている。これ以外は請求項１４記載の発明と同様である。
【発明の効果】
【００２８】
このように本発明では、加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末に対して動的に割り当てられた動的アドレスを加入者回線収容装置が少なくとも把握しておき、パケットをこれらの通信端末に送出するときにこれが一致するかを送出の１つの要件としているので、たとえＭＡＣアドレス等の絶対アドレスを取得した第三者からのパケットであっても、動的アドレスが一致しなければ送出を拒否することができる。このため、宛先の存在しないパケットの送出によるトラヒックの増大を防止することができる。
【発明を実施するための最良の形態】
【００２９】
以下実施例につき本発明を詳細に説明する。
【実施例１】
【００３０】
＜システムの概要＞
【００３１】
図１は、本実施例の加入者回線収容装置を使用したマルチキャスト情報配信システムの概要を表わしたものである。このマルチキャスト情報配信システム１００は、ＡＤＳＬ（Asymmetric Digital Subscriber Line）と呼ばれる非対称ディジタル加入者回線を使用している。マルチキャスト情報配信システム１００は、それぞれの加入者宅に配置されたユーザスプリッタ１０１1〜１０１Mと加入者回線収容装置１０２とを、ＤＳＬ加入者回線１０３1〜１０３Mで接続している。各ユーザスプリッタ１０１1〜１０１Mには、それぞれ電話機１０４1〜１０４MとＡＤＳＬモデム１０５1〜１０５Mのうちの対応するものが接続されている。ＡＤＳＬモデム１０５1〜１０５Mには、ホームページの閲覧等の各種のデータ処理を行うためのパーソナルコンピュータ１０６1〜１０６Mがそれぞれ接続される他、セットトップボックス１０７1〜１０７Mを介してテレビジョン番組を視聴するためのインターネットテレビジョン（ＴＶ）１０８1〜１０８Mがそれぞれ接続されている。
【００３２】
加入者回線収容装置１０２は、音声交換機１１２と接続されており、公衆電話交換網（ＰＳＴＮ：Public Switched Telephone Network）１１３と接続されるようになっている。また、加入者回線収容装置１０２はルータ１１４を介してインターネット等のパケット通信を行うためのパケット通信ネットワーク１１５に接続されている。パケット通信ネットワーク１１５には、各ユーザのインターネットテレビジョン１０８に対して各種のテレビジョン番組を配信させるための番組配信用サーバ１１６が接続されている。
【００３３】
図２は、加入者回線収容装置とその周辺の構成を示したものである。本実施例で加入者回線収容装置１０２は、１つのシステム当たりで最大で１９２０回線を収容できるようになっている。
【００３４】
加入者回線収容装置１０２は、ＡＤＳＬモデム１０５1〜１０５1920とＤＳＬ加入者回線１０３1〜１０３1920を介して接続されるスプリッタユニット１２２1〜１２２1920を備えている。このうちのスプリッタユニット１２２1を代表的に説明する。スプリッタユニット１２２1は、ＤＳＬ加入者回線１０３1を介して送られてきた信号１２３1を、音声周波数帯域の電話信号１２４1と、これよりも高い所定の周波数帯域のＡＤＳＬ信号１２５1に分離する。電話信号１２４1は、回線交換用の音声交換機１１２に送られることになる。
【００３５】
これに対して、スプリッタユニット１２１1によって分離されたＡＤＳＬ信号１２５1は、対応するＤＳＬ加入者回線終端ユニット（Line Termination Unit：ＬＴＵ）１２７1の図示しない初段部分で変復調され、ＡＴＭセルが取り出されて、バックプレーンバス１２８を介して複合中継ユニット（ＩＧＵ）１３１に入力される。複合中継ユニット１３１の詳細は後に説明する。ＤＳＬ加入者回線終端ユニット１２７1は最大で３２回線等の所定数の回線に対応したＤＳＬトランシーバモジュール（後に説明するＤＳＰ（Digital Signal Processor））を備えており、ＤＳＬ加入者回線１０３1〜１０３1920を使用して、インターネットに接続するためのインターフェイスとしてのアップリンク回線１３０を介して上り方向（図１におけるパケット通信ネットワーク１１５の方向）に高速のデータ通信を行う他、下りデータを受信して変調し、ＤＳＬ加入者回線１０３1〜１０３1920に送出するようになっている。
【００３６】
図３は、加入者回線収容装置の要部のシステム構成を表わしたものである。加入者回線収容装置１０２は、図２で説明したＤＳＬ加入者回線終端ユニット（ＬＴＵ）１２７1〜１２７Jを備えており、これらは複合中継ユニット１３１の一端側に接続されている。複合中継ユニット１３１はインターネットに接続するためのインターフェイス機能を有しており、その他端側には、アップリンク回線１３０が接続されている。
【００３７】
複合中継ユニット１３１は、加入者回線収容装置１０２の全体的な制御や監視等を行う装置制御部１３２と、バックプレーン（Backplane）のインターフェイスを行うバックプレーンＩＦ（インターフェイス）回路１３３、ＡＴＭ（Asynchronous Transfer Mode）セルの組み立てや分解を行うＡＴＭ ＳＡＲ（Asynchronous Transfer Mode Segmentation and Reassembly）１３４、およびレイヤ２の転送を行い、ＭＡＣアドレス（Media Access Control Address）を基にパケットを仕分けるブリッジフォワーダ１３５を配置している。ＡＴＭセルは、ＡＴＭ ＳＡＲ１３４とＤＳＬ加入者回線終端ユニット１２７1〜１２７Jの間で伝送され、アップリンク回線１３０の入出力部分ではイーサネット（登録商標）のフレームが伝送される。
【００３８】
図４は、複合中継ユニットのハードウェアとしての回路構成の概要を表わしたものである。複合中継ユニット１３１は、装置制御ＣＰＵ（Central Processing Unit）１４１とネットワークプロセッサ１４２の２つのプロセッサと、フラッシュＲＯＭ（Read Only Memory）１４３、ＳＤＲＡＭ（Synchronous Dynamic Random Access Memory）１４４および不揮発性ＲＡＭ（Random Access Memory）１４５からなるメモリ群と、特定用途向けの集積回路としてのＡＳＩＣ（Application Specific Integrated Circuit）からなるバックプレーンＩＦ回路１３３ならびに図示しないＬＳＩ（Large Scale Integration）で構成されるＧｂＥ（Gigabit Ethernet（登録商標）） ＩＦ（interface）回路１４７を備えている。
【００３９】
ここで、装置制御ＣＰＵ１４１は、装置の管理や通信あるいはコンフィグレーションの設定に関する制御を行う。ネットワークプロセッサ１４２は、内蔵ＣＰＵ１５１およびＡＴＭ ＳＡＲ１３４を備えた高速の通信用プロセッサである。このネットワークプロセッサ１４２を使用して、図３に示したブリッジフォワーダ１３５をソフトウェア的に実現し、これによるフレームの受信、宛先の判別、宛先への送信等の処理が実行される。バックプレーンＩＦ回路１３３は、回線との間のバスの制御等の回線に関する各種制御を、ギガビット単位で送られてくるフレームの高速処理を行うために、ハードウェアで実現している。バックプレーンＩＦ回路１３３は、ＤＳＬ加入者回線終端ユニット１２７1〜１２７Jを個々にポーリングによって処理している。
【００４０】
図５は、この複合中継ユニットの主要な機能ブロックを示したものである。複合中継ユニット１３１は、図２に示したＤＳＬ加入者回線終端ユニット１２７1〜１２７Jにそれぞれ対応して配置された第１〜第Ｊのインターフェイス回路部１６１1〜１６１Jを備えている。ブリッジフォワーダ１３５と第１〜第Ｊのインターフェイス回路部１６１1〜１６１Jの間には、入力パケットバイパス部１６２1〜１６２Jと、動的入力フィルタ部１６３1〜１６３Jおよび静的入力フィルタ部１６４1〜１６４Jからなる直列回路と、出力パケットバイパス部１６５1〜１６５Jと、静的出力フィルタ部１６６1〜１６６Jおよび動的出力フィルタ部１６７1〜１６７Jからなる直列回路とが接続されている。ＤＨＣＰ（Dynamic Host Configuration Protocol）処理部１６８は、入力パケットバイパス部１６２1〜１６２Jおよび出力パケットバイパス部１６５1〜１６５Jに接続されている。この図で、第１〜第Ｊのインターフェイス回路部１６１1〜１６１Jは、図３におけるブリッジフォワーダ１３５よりもＤＳＬ加入者回線終端ユニット１２７1〜１２７J側の回路部分を総括的に表わしたものである。
【００４１】
入力パケットバイパス部１６２1〜１６２Jは、入力されたパケットをＤＨＣＰ処理部１６８に進むものと動的入力フィルタ部１６３1〜１６３Jに進むものとに仕分けるようになっている。動的入力フィルタ部１６３1〜１６３Jは、時間的に変動する動的なアドレス情報を使用して受信したパケットのフィルタリングを行う。これに対して静的入力フィルタ部１６４1〜１６４Jは、時間的に変動しない静的なアドレス情報を使用して受信したパケットの更なるフィルタリングを行う。同様に、静的出力フィルタ部１６６1〜１６６Jは、静的なアドレス情報を使用して、ユーザ端末方向に送出されるパケットの静的なフィルタリングを行う。動的出力フィルタ部１６７1〜１６７Jは、これら送出されるパケットの動的なフィルタリングを行う。出力パケットバイパス部１６５1〜１６５Jは、静的出力フィルタ部１６６1〜１６６Jから送られてきたパケットあるいはＤＨＣＰ処理部１６８から出力されるパケットを第１〜第Ｊのインターフェイス回路部１６１1〜１６１Jのうちの対応するものに与え、該当するユーザ端末に送出させるようになっている。
【００４２】
＜フィルタリング処理＞
【００４３】
図６は、動的出力フィルタ部に内蔵された動的出力管理テーブルの一部を表わしたものである。動的出力管理テーブル１７１には、ユーザ端末のそれぞれについての割り当てられたＩＰアドレス、ＭＡＣアドレスおよび加入者回線番号をリストアップしている。
【００４４】
ところで、各加入者端末のユーザ（ＤＨＣＰクライアント）は、ＤＨＣＰサーバにＩＰアドレスを要求して、ＤＨＣＰサーバ側にあらかじめ確保しているＩＰアドレスの割り当てを受けることができる。このとき、図５に示したＤＨＣＰ処理部１６８側では、割り当てたＩＰアドレスと、そのユーザ端末に関するＭＡＣアドレスおよび加入者回線番号を取得することができる。
【００４５】
図７は、ＤＨＣＰ処理部による動的出力管理テーブルの更新処理の様子を表わしたものである。ＤＨＣＰ処理部１６８はＤＨＣＰサーバに対してＩＰアドレスの割当要求に基づいた割り当てが完了するたびに（ステップＳ３０１：Ｙ）、そのユーザ端末のアドレス情報を取得する（ステップＳ３０２）。そして、得られたアドレス情報としてのＩＰアドレス、ＭＡＣアドレスおよび加入者回線番号を、図６に示した動的出力管理テーブル１７１に登録し（ステップＳ３０３）。その内容のフィルタリングを行うための出力フィルタエントリを１つ追加する（ステップＳ３０４）。
【００４６】
ところでＤＨＣＰサーバはＩＰアドレスを、リース期間を設定してそれぞれのユーザ端末に割り当てるようにしている。したがって、それぞれのＩＰアドレス単位にリース期間が満了するまでの期間を逐次チェックして（ステップＳ３０５）、満了すれば（Ｙ）、その出力フィルタエントリを削除する（ステップＳ３０６）。これは、リース期間内でのみパケットの送出を許すようにするためである。
【００４７】
図８および図９は、動的出力フィルタ部によるパケットの送出制御の様子を表わしたものである。図４に示した複合中継ユニット１３１内の前記した装置制御ＣＰＵ１４１が所定の制御プログラムを実行することで、この処理を行う。もちろん、同一の制御論理をハードウェアで実現することも可能である。
【００４８】
装置制御ＣＰＵ１４１は該当するユーザ端末に送信するパケットが到来するのを監視している（図８ステップＳ３２１）。このようなパケットがアップリンク回線１３０や図５に示す静的入力フィルタ部１６４1〜１６４J等から図３に示すブリッジフォワーダ１３５に送られてきたら（Ｙ）、まず、そのパケットのイーサ（イーサネット（登録商標））ヘッダ内の「Ｔｙｐｅ」フィールドの情報を読み出す（ステップＳ３２２）。そして、これが「０ｘ０８０６」であれば、その送出するパケットがＡＲＰ（Address Resolution Protocol）パケットであることが分かる（ステップＳ３２３：Ｙ）。
【００４９】
ここでＡＲＰパケットについて説明する。イーサネット（登録商標）上での通信は、たとえその上位の通信でＩＰアドレスを使用しても、最終的にはＭＡＣアドレスを使用した通信が行われる。そこで、ＭＡＣアドレスを取得するために、ＩＰアドレスをパケットにセットして、同一ネットワーク上の全ノードにブロードキャストするＡＲＰパケットが存在している。
【００５０】
このように関連アドレスを解析する関連アドレス解析パケットとしてのＡＲＰパケットの存在により、第三者がＩＰアドレスからＭＡＣアドレスを取得するということが可能になる。つまり、他人のＡＲＰパケットをキャプチャ（監視）することによって、ＩＰアドレスとＭＡＣアドレスの組を知ることも可能である。したがって、不正なアクセスをより簡単に行うことができる。
【００５１】
送出するパケットがＡＲＰパケットであると判別された場合には（ステップＳ３２３：Ｙ）、更に、そのパケットのイーサヘッダ内の「Ｄｅｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓ」フィールドを読み出す（ステップＳ３２４）。そしてこれが図６に示した動的出力管理テーブル１７１に登録した「ＭＡＣアドレス」あるいはマルチキャストアドレスまたはブロードキャストアドレスと同一であるかどうかをチェックする（ステップＳ３２５）。同じでなければ（Ｎ）、宛先のユーザ端末が存在しないことになるので、そのパケットは動的出力フィルタ部１６７1〜１６７Jのうちの該当するもので廃棄される（ステップＳ３２６）。
【００５２】
これに対して、ステップＳ３２５で同一のアドレスが動的出力管理テーブル１７１に存在した場合には（Ｙ）、そのパケットの「Ｔａｒｇｅｔ Ｐｒｏｔｏｃｏｌ Ａｄｄｒｅｓｓ」フィールドを読み出す（ステップＳ３２７）。そして、これが、動的出力管理テーブル１７１に登録された「ＩＰアドレス」と同一であるかどうかをチェックする（ステップＳ３２８）。同一であれば（Ｙ）、そのパケットは静的出力フィルタ部１６６1〜１６６Jのうちの該当するものに送られて、従来から行われているような静的なフィルタリングが行われる（ステップＳ３２９）。同一ではなかった場合（ステップＳ３２８：Ｎ）、そのパケットは動的出力フィルタ部１６７1〜１６７Jのうちの該当するもので廃棄されることになる（ステップＳ３２６）。
【００５３】
図９は、図８のステップＳ３２３でイーサヘッダ内の「Ｔｙｐｅ」フィールドが「０ｘ０８０６」ではなかった場合（Ｎ）、すなわち送出するパケットがＡＲＰパケットではなった場合の処理を示したものである。この場合、「Ｔｙｐｅ」フィールドが「０ｘ０８００」であるかどうかのチェックが行われる（図９ステップＳ３３０）。「Ｔｙｐｅ」フィールドが「０ｘ０８００」の場合には、そのパケットはＩＰパケットである。そこでこの場合には（Ｙ）、送信するそのパケットのイーサヘッド内の「Ｄｅｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓ」を読み出す（ステップＳ３３１）。そして、これが動的出力管理テーブル１７１に登録された「ＭＡＣアドレス」と同一であるかどうかをチェックする（ステップＳ３３２）。同一であれば（Ｙ）、そのＩＰパケットの「Ｄｅｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓ」を再度読み出すか、読み出したものをチェックして（ステップＳ３３３）、これが動的出力管理テーブル１７１に登録された「ＩＰアドレス」と同一であるかどうかをチェックする（図８ステップＳ３２８）。この後の処理についてはすでに説明した。
【００５４】
一方、図９のステップＳ３３２で「ＭＡＣアドレス」と同一ではないと判別された場合には（Ｎ）、イーサヘッド内の「Ｄｅｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓ」がマルチキャストアドレスまたはブロードキャストアドレスと同一であるかどうかのチェックが行われる（ステップＳ３３４）。この結果、同一であれば（Ｙ）、図８のステップＳ３２９に進んで静的なフィルタリングが行われることになる。それ以外の場合には（図９ステップＳ３３４：Ｎ）、そのパケットは動的出力フィルタ部１６７1〜１６７Jのうちの該当するもので廃棄される（図８ステップＳ３２６）。
【００５５】
また、図９のステップＳ３３０で「Ｔｙｐｅ」フィールドが「０ｘ０８００」ではないとされた場合（Ｎ）、そのパケットは静的出力フィルタ部１６６1〜１６６Jのうちの対応するものに送られることになる。すなわち、この場合には送出するパケットがＡＲＰパケットでもＩＰパケットでもない他のパケットの場合である。そこで本実施例ではその処理を動的出力フィルタ部１６７1〜１６７Jでは行わず、静的出力フィルタ部１６６1〜１６６Jの処理に任せることにしている（図８ステップＳ３２９）。静的出力フィルタ部１６６1〜１６６Jは、たとえばこのようなパケットを廃棄することになる。
【００５６】
このようにして静的出力フィルタ部１６６1〜１６６Jに送られたパケットは、ここで更に必要なフィルタリングが行われ、出力パケットバイパス部１６５1〜１６５Jから第１〜第Ｊのインターフェイス回路部１６１1〜１６１Jのうちの対応するものを通過して、宛先のユーザ端末に送信されることになる。
【００５７】
なお、以上説明した実施例では、ＤＨＣＰ処理部が加入者回線収容装置の内部に存在して、これにより取得したＩＰアドレス等のアドレス情報を基にして動的出力管理テーブルを作成する場合を説明したが、これに限るものではない。たとえば、ＤＨＣＰ処理部あるいはＤＨＣＰサーバが加入者回線収容装置の外に独立して存在し、その代わりに加入者回線収容装置の内部にはこれと通信して必要な情報を取得するＤＨＣＰリレーエージェントが配置されていてもよい。この場合には、ＤＨＣＰリレーエージェントを介して取得したアドレス情報を基にして、動的出力管理テーブルを作成することになる。また、加入者回線収容装置の内部にＤＨＣＰリレーエージェントが存在しない場合でも、ＤＨＣＰ処理が行われる場合には、複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段を備えた加入者回線収容装置の内部にこれらのアドレス情報を伝送するパケット自体が流れること自体は確かである。したがって、これらのアドレス情報をスプーフするスプーフィング手段を加入者回線収容装置の内部に配置することで、同様に動的出力管理テーブルを作成することができる。
【００５８】
また、以上説明した実施例では、加入者回線はＤＳＬ回線の場合を説明したが、加入者回線終端手段に接続されるものであればこれに限るものではない。たとえば、光ファイバケーブルを使用した回線に対しても本発明を同様に適用することができる。また、実施例ではＩＰアドレスやＭＡＣアドレスをフィルタの条件としてチェックすることにしたが、名称の如何を問わず動的アドレスや絶対アドレスを用いて同様に出力フィルタとしての機能を持たせることができることも当然である。
【００５９】
更に実施例では動的出力管理テーブル１７１に登録した内容と照合することで、送出するパケットのフィルタリングを行うことにしたが、このような特別のテーブルを設けずに、同様のフィルタリングを行うようにする場合も本発明が適用されることは当然である。
【図面の簡単な説明】
【００６０】
【図１】本実施例でテレビジョン映像を視聴するためのマルチキャスト情報配信システムの概要を表わしたシステム構成図である。
【図２】本実施例で加入者回線収容装置とその周辺の回路構成の概要を示したブロック図である。
【図３】本実施例で加入者回線収容装置の要部のシステム構成を表わしたブロック図である。
【図４】本実施例で複合中継ユニットのハードウェア構成の概要を表わしたブロック図である。
【図５】本実施例で複合中継ユニットの主要な機能ブロックを示したブロック図である。
【図６】本実施例で動的出力フィルタ部に内蔵された動的出力管理テーブルの一部を表わした説明図である。
【図７】本実施例のＤＨＣＰ処理部による動的出力管理テーブルの更新処理の様子を表わした流れ図である。
【図８】本実施例の動的出力フィルタ部によるパケットの送出制御の前半を表わした流れ図である。
【図９】本実施例の動的出力フィルタ部によるパケットの送出制御の後半を表わした流れ図である。
【符号の説明】
【００６１】
１００ マルチキャスト情報配信システム
１０２ 加入者回線収容装置
１０３ ＤＳＬ加入者回線
１２７ ＤＳＬ加入者回線終端ユニット
１３０ アップリンク回線
１３５ ブリッジフォワーダ
１４１ 装置制御ＣＰＵ
１４２ ネットワークプロセッサ
１６７ 動的出力フィルタ部
１６８ ＤＨＣＰ処理部
１７１ 動的出力管理テーブル
【特許請求の範囲】
【請求項１】
複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段と、
この加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末に対して動的に割り当てられたアドレスとしての動的アドレスをアドレス情報として逐次取得するアドレス情報取得手段と、
前記通信端末のいずれかに送出するパケットの宛先を示す動的アドレスからなるパケット情報を読み取るパケット情報読取手段と、
このパケット情報読取手段の読み取った動的アドレスが前記アドレス情報取得手段の取得したアドレス情報のいずれかに一致するか否かを判別するアドレス情報一致有無判別手段と、
このアドレス情報一致有無判別手段が一致していると判別したパケットのみの送出を許可するパケット送出制御手段
とを具備することを特徴とする加入者回線収容装置。
【請求項２】
複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段と、
この加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末に対してユニークに割り当てられた絶対アドレスとこれに対して動的に割り当てられた動的アドレスからなる組をアドレス情報として逐次取得するアドレス情報取得手段と、
前記通信端末のいずれかに送出するパケットの宛先を示す前記絶対アドレスと動的アドレスの対からなるパケット情報を読み取るパケット情報読取手段と、
このパケット情報読取手段の読み取った絶対アドレスと動的アドレスの対が前記アドレス情報取得手段の取得した絶対アドレスと動的アドレスの対のいずれかの対と一致するか否かを判別するアドレス情報一致有無判別手段と、
このアドレス情報一致有無判別手段が一致していると判別したパケットのみの送出を許可するパケット送出制御手段
とを具備することを特徴とする加入者回線収容装置。
【請求項３】
複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段と、
この加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末に対してユニークに割り当てられた絶対アドレスとこれに対して動的に割り当てられた動的アドレスおよびこの動的アドレスを取得した加入者回線番号からなる組をアドレス情報として逐次取得するアドレス情報取得手段と、
前記通信端末のいずれかに送出するパケットからその宛先を示す前記絶対アドレスと動的アドレスおよび前記加入者回線番号からなるパケット情報を読み取るパケット情報読取手段と、
このパケット情報読取手段の読み取った絶対アドレスと動的アドレスおよび加入者回線番号が前記アドレス情報取得手段の取得した絶対アドレスと動的アドレスおよび加入者回線番号の組のいずれかと一致するか否かを判別するアドレス情報一致有無判別手段と、
このアドレス情報一致有無判別手段が一致していると判別したパケットのみの送出を許可するパケット送出制御手段
とを具備することを特徴とする加入者回線収容装置。
【請求項４】
複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段と、
この加入者回線終端手段に終端された通信端末に対して動的に割り当てられたアドレスとしての動的アドレスをアドレス情報として逐次取得するアドレス情報取得手段と、
前記動的アドレスを指定してこれに対応する絶対アドレスの解析を行う関連アドレス解析パケットであるかどうかを判別する関連アドレス解析パケット判別手段と、
この関連アドレス解析パケット判別手段が関連アドレス解析パケットであると判別したときそのパケットの宛先を示す動的アドレスからなるパケット情報を読み取るパケット情報読取手段と、
このパケット情報読取手段の読み取った動的アドレスが前記アドレス情報取得手段の取得したアドレス情報のいずれかに一致するか否かを判別するアドレス情報一致有無判別手段と、
このアドレス情報一致有無判別手段が一致していると判別したパケットのみの送出を許可するパケット送出制御手段
とを具備することを特徴とする加入者回線収容装置。
【請求項５】
前記動的アドレスはＩＰアドレスであることを特徴とする請求項１〜請求項４いずれかに記載の加入者回線収容装置。
【請求項６】
前記絶対アドレスはＭＡＣアドレスであることを特徴とする請求項２〜請求項４いずれかに記載の加入者回線収容装置。
【請求項７】
前記関連アドレス解析パケットはＡＲＰパケットであることを特徴とする請求項４記載の加入者回線収容装置。
【請求項８】
ＡＲＰパケットは、ＡＲＰ要求パケットあるいはＡＲＰ応答パケットであることを特徴とする請求項７記載の加入者回線収容装置。
【請求項９】
前記加入者回線はＤＳＬ回線であることを特徴とする請求項１〜請求項４いずれかに記載の加入者回線収容装置。
【請求項１０】
前記加入者回線は光ファイバケーブルを使用した回線であることを特徴とする請求項１〜請求項４いずれかに記載の加入者回線収容装置。
【請求項１１】
前記動的アドレスの割り当てを行うＤＨＣＰサーバが前記加入者回線終端手段の内部に備えられていることを特徴とする請求項７記載の加入者回線収容装置。
【請求項１２】
前記動的アドレスの割り当てを行うＤＨＣＰサーバが前記加入者回線終端手段の外部に備えられており、前記加入者回線終端手段の内部にはこのＤＨＣＰサーバに処理を委任するＤＨＣＰリレーエージェントが配置されていることを特徴とする請求項７記載の加入者回線収容装置。
【請求項１３】
前記動的アドレスの割り当てを行うＤＨＣＰサーバが前記加入者回線終端手段の外部に備えられており、前記アドレス情報取得手段は、前記アドレス情報をスプーフするスプーフィング手段であることを特徴とする請求項７記載の加入者回線収容装置。
【請求項１４】
複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段に接続された通信端末のいずれかに送出するパケットの宛先を示す動的アドレスからなるパケット情報を読み取るパケット情報読取ステップと、
このパケット情報読取ステップで読み取った動的アドレスが前記加入者回線終端手段にそれぞれ接続された通信端末に対して動的に割り当てられたアドレスとしての動的アドレスのいずれかに一致するか否かを判別するアドレス情報一致有無判別ステップと、
このアドレス情報一致有無判別ステップで一致していると判別したパケットのみの送出を許可するパケット送出制御ステップ
とを具備することを特徴とするパケットフィルタリング方法。
【請求項１５】
複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段にそれぞれ接続された通信端末のいずれかに送出するパケットの送出先の通信端末に対してユニークに割り当てられた絶対アドレスとこれに対して動的に割り当てられた動的アドレスからなるパケット情報を読み取るパケット情報読取ステップと、
このパケット情報読取ステップで読み取った絶対アドレスと動的アドレスが前記加入者回線終端手段に接続された加入者回線にそれぞれ接続された通信端末の絶対アドレスと動的アドレスの対のいずれかの対と一致するか否かを判別するアドレス情報一致有無判別ステップと、
このアドレス情報一致有無判別ステップで一致していると判別したパケットのみの送出を許可するパケット送出制御ステップ
とを具備することを特徴とするパケットフィルタリング方法。
【請求項１６】
複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段にそれぞれ接続された通信端末のいずれかに送出するパケットの送出先の通信端末に対してユニークに割り当てられた絶対アドレスとこれに対して動的に割り当てられた動的アドレスおよびこの動的アドレスを取得した加入者回線番号からなるパケット情報を読み取るパケット情報読取ステップと、
このパケット情報読取ステップで読み取った絶対アドレスと動的アドレスおよび加入者回線番号が前記加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末の絶対アドレスと動的アドレスおよび加入者回線番号の組のいずれかと一致するか否かを判別するアドレス情報一致有無判別ステップと、
このアドレス情報一致有無判別ステップで一致していると判別したパケットのみの送出を許可するパケット送出制御ステップ
とを具備することを特徴とするパケットフィルタリング方法。
【請求項１７】
複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段にそれぞれ接続された通信端末のいずれかに送出するパケットが、これら通信端末に対して動的に割り当てられたアドレスとしての動的アドレスを指定してこれに対応する絶対アドレスの解決を行う関連アドレス解決パケットであるかどうかを判別する関連アドレス解決パケット判別ステップと、
この関連アドレス解決パケット判別ステップで関連アドレス解決パケットであると判別したときそのパケットの宛先を示す動的アドレスからなるパケット情報を読み取るパケット情報読取ステップと、
このパケット情報読取ステップで読み取った動的アドレスが前記加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末のいずれかに割り当てられた動的アドレスと一致するか否かを判別するアドレス情報一致有無判別ステップと、
このアドレス情報一致有無判別ステップで一致していると判別したパケットのみの送出を許可するパケット送出制御ステップ
とを具備することを特徴とするパケットフィルタリング方法。
【請求項１】
複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段と、
この加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末に対して動的に割り当てられたアドレスとしての動的アドレスをアドレス情報として逐次取得するアドレス情報取得手段と、
前記通信端末のいずれかに送出するパケットの宛先を示す動的アドレスからなるパケット情報を読み取るパケット情報読取手段と、
このパケット情報読取手段の読み取った動的アドレスが前記アドレス情報取得手段の取得したアドレス情報のいずれかに一致するか否かを判別するアドレス情報一致有無判別手段と、
このアドレス情報一致有無判別手段が一致していると判別したパケットのみの送出を許可するパケット送出制御手段
とを具備することを特徴とする加入者回線収容装置。
【請求項２】
複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段と、
この加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末に対してユニークに割り当てられた絶対アドレスとこれに対して動的に割り当てられた動的アドレスからなる組をアドレス情報として逐次取得するアドレス情報取得手段と、
前記通信端末のいずれかに送出するパケットの宛先を示す前記絶対アドレスと動的アドレスの対からなるパケット情報を読み取るパケット情報読取手段と、
このパケット情報読取手段の読み取った絶対アドレスと動的アドレスの対が前記アドレス情報取得手段の取得した絶対アドレスと動的アドレスの対のいずれかの対と一致するか否かを判別するアドレス情報一致有無判別手段と、
このアドレス情報一致有無判別手段が一致していると判別したパケットのみの送出を許可するパケット送出制御手段
とを具備することを特徴とする加入者回線収容装置。
【請求項３】
複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段と、
この加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末に対してユニークに割り当てられた絶対アドレスとこれに対して動的に割り当てられた動的アドレスおよびこの動的アドレスを取得した加入者回線番号からなる組をアドレス情報として逐次取得するアドレス情報取得手段と、
前記通信端末のいずれかに送出するパケットからその宛先を示す前記絶対アドレスと動的アドレスおよび前記加入者回線番号からなるパケット情報を読み取るパケット情報読取手段と、
このパケット情報読取手段の読み取った絶対アドレスと動的アドレスおよび加入者回線番号が前記アドレス情報取得手段の取得した絶対アドレスと動的アドレスおよび加入者回線番号の組のいずれかと一致するか否かを判別するアドレス情報一致有無判別手段と、
このアドレス情報一致有無判別手段が一致していると判別したパケットのみの送出を許可するパケット送出制御手段
とを具備することを特徴とする加入者回線収容装置。
【請求項４】
複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段と、
この加入者回線終端手段に終端された通信端末に対して動的に割り当てられたアドレスとしての動的アドレスをアドレス情報として逐次取得するアドレス情報取得手段と、
前記動的アドレスを指定してこれに対応する絶対アドレスの解析を行う関連アドレス解析パケットであるかどうかを判別する関連アドレス解析パケット判別手段と、
この関連アドレス解析パケット判別手段が関連アドレス解析パケットであると判別したときそのパケットの宛先を示す動的アドレスからなるパケット情報を読み取るパケット情報読取手段と、
このパケット情報読取手段の読み取った動的アドレスが前記アドレス情報取得手段の取得したアドレス情報のいずれかに一致するか否かを判別するアドレス情報一致有無判別手段と、
このアドレス情報一致有無判別手段が一致していると判別したパケットのみの送出を許可するパケット送出制御手段
とを具備することを特徴とする加入者回線収容装置。
【請求項５】
前記動的アドレスはＩＰアドレスであることを特徴とする請求項１〜請求項４いずれかに記載の加入者回線収容装置。
【請求項６】
前記絶対アドレスはＭＡＣアドレスであることを特徴とする請求項２〜請求項４いずれかに記載の加入者回線収容装置。
【請求項７】
前記関連アドレス解析パケットはＡＲＰパケットであることを特徴とする請求項４記載の加入者回線収容装置。
【請求項８】
ＡＲＰパケットは、ＡＲＰ要求パケットあるいはＡＲＰ応答パケットであることを特徴とする請求項７記載の加入者回線収容装置。
【請求項９】
前記加入者回線はＤＳＬ回線であることを特徴とする請求項１〜請求項４いずれかに記載の加入者回線収容装置。
【請求項１０】
前記加入者回線は光ファイバケーブルを使用した回線であることを特徴とする請求項１〜請求項４いずれかに記載の加入者回線収容装置。
【請求項１１】
前記動的アドレスの割り当てを行うＤＨＣＰサーバが前記加入者回線終端手段の内部に備えられていることを特徴とする請求項７記載の加入者回線収容装置。
【請求項１２】
前記動的アドレスの割り当てを行うＤＨＣＰサーバが前記加入者回線終端手段の外部に備えられており、前記加入者回線終端手段の内部にはこのＤＨＣＰサーバに処理を委任するＤＨＣＰリレーエージェントが配置されていることを特徴とする請求項７記載の加入者回線収容装置。
【請求項１３】
前記動的アドレスの割り当てを行うＤＨＣＰサーバが前記加入者回線終端手段の外部に備えられており、前記アドレス情報取得手段は、前記アドレス情報をスプーフするスプーフィング手段であることを特徴とする請求項７記載の加入者回線収容装置。
【請求項１４】
複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段に接続された通信端末のいずれかに送出するパケットの宛先を示す動的アドレスからなるパケット情報を読み取るパケット情報読取ステップと、
このパケット情報読取ステップで読み取った動的アドレスが前記加入者回線終端手段にそれぞれ接続された通信端末に対して動的に割り当てられたアドレスとしての動的アドレスのいずれかに一致するか否かを判別するアドレス情報一致有無判別ステップと、
このアドレス情報一致有無判別ステップで一致していると判別したパケットのみの送出を許可するパケット送出制御ステップ
とを具備することを特徴とするパケットフィルタリング方法。
【請求項１５】
複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段にそれぞれ接続された通信端末のいずれかに送出するパケットの送出先の通信端末に対してユニークに割り当てられた絶対アドレスとこれに対して動的に割り当てられた動的アドレスからなるパケット情報を読み取るパケット情報読取ステップと、
このパケット情報読取ステップで読み取った絶対アドレスと動的アドレスが前記加入者回線終端手段に接続された加入者回線にそれぞれ接続された通信端末の絶対アドレスと動的アドレスの対のいずれかの対と一致するか否かを判別するアドレス情報一致有無判別ステップと、
このアドレス情報一致有無判別ステップで一致していると判別したパケットのみの送出を許可するパケット送出制御ステップ
とを具備することを特徴とするパケットフィルタリング方法。
【請求項１６】
複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段にそれぞれ接続された通信端末のいずれかに送出するパケットの送出先の通信端末に対してユニークに割り当てられた絶対アドレスとこれに対して動的に割り当てられた動的アドレスおよびこの動的アドレスを取得した加入者回線番号からなるパケット情報を読み取るパケット情報読取ステップと、
このパケット情報読取ステップで読み取った絶対アドレスと動的アドレスおよび加入者回線番号が前記加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末の絶対アドレスと動的アドレスおよび加入者回線番号の組のいずれかと一致するか否かを判別するアドレス情報一致有無判別ステップと、
このアドレス情報一致有無判別ステップで一致していると判別したパケットのみの送出を許可するパケット送出制御ステップ
とを具備することを特徴とするパケットフィルタリング方法。
【請求項１７】
複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段にそれぞれ接続された通信端末のいずれかに送出するパケットが、これら通信端末に対して動的に割り当てられたアドレスとしての動的アドレスを指定してこれに対応する絶対アドレスの解決を行う関連アドレス解決パケットであるかどうかを判別する関連アドレス解決パケット判別ステップと、
この関連アドレス解決パケット判別ステップで関連アドレス解決パケットであると判別したときそのパケットの宛先を示す動的アドレスからなるパケット情報を読み取るパケット情報読取ステップと、
このパケット情報読取ステップで読み取った動的アドレスが前記加入者回線終端手段に終端された加入者回線にそれぞれ接続された通信端末のいずれかに割り当てられた動的アドレスと一致するか否かを判別するアドレス情報一致有無判別ステップと、
このアドレス情報一致有無判別ステップで一致していると判別したパケットのみの送出を許可するパケット送出制御ステップ
とを具備することを特徴とするパケットフィルタリング方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【公開番号】特開２００６−９４４１６（Ｐ２００６−９４４１６Ａ）
【公開日】平成１８年４月６日（２００６．４．６）
【国際特許分類】
【出願番号】特願２００４−２８０４８６（Ｐ２００４−２８０４８６）
【出願日】平成１６年９月２７日（２００４．９．２７）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
【公開日】平成１８年４月６日（２００６．４．６）
【国際特許分類】
【出願日】平成１６年９月２７日（２００４．９．２７）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
[ Back to top ]