(57)【要約】      （修正有）【課題】セキュリティの確保された２重化２系列のレイヤ２ネットワーク、および、ネットワークを構成するためのレイヤ２スイッチ装置を提供する。【解決手段】端末装置が収容された第１および第２端末収容レイヤ２スイッチ装置と、このスイッチ装置の各々を収容する第１および第２下位レイヤ２スイッチ装置と、このイッチ装置の各々を収容する第１および第２上位レイヤ２スイッチ装置８から構成され、上位レイヤ２スイッチ間と下位レイヤ２スイッチ間が接続された２重化系列のレイヤ２ネットワークにおいて、下位レイヤ２スイッチ装置において、各々が接続する端末収容レイヤ２スイッチ装置から受け取ったパケットにマーキングをするように構成し、端末収容レイヤ２スイッチ装置において、受け取ったパケットがマーキングされているときは、破棄するように構成する。【選択図】図１
2006157281.tif 000002
【特許請求の範囲】
【請求項１】
少なくとも２以上の接続ポートを有し、前記接続ポートのいずれかが受け取ったレイヤ２レベルのパケットを、残りの前記接続ポートの少なくとも一つから送出するレイヤ２スイッチ装置であって、
前記パケットが識別フラグを有し、
前記接続ポートのうちの少なくとも一つをマーキングポートとし、前記マーキングポートが受け取った前記パケットの前記識別フラグにマーキングして、前記マーキングポート以外の前記接続ポートの少なくとも一つから送出するように構成されたことを特徴とするレイヤ２スイッチ装置。
【請求項２】
前記パケットがＶＬＡＮタグを有しており、
前記識別フラグが、前記ＶＬＡＮタグのユーザプライオリティフィールドの１ビットを用いることを特徴とする請求項１に記載のレイヤ２スイッチ装置。
【請求項３】
少なくとも２以上の接続ポートを有し、前記接続ポートのいずれかが受け取ったレイヤ２レベルのパケットを、残りの前記接続ポートの少なくとも一つから送出するレイヤ２スイッチ装置であって、
前記パケットが識別フラグを有し、
前記接続ポートが受け取った前記パケットのうち、前記識別フラグにマーキングされている前記パケットを破棄することを特徴とするレイヤ２スイッチ装置。
【請求項４】
前記パケットがＶＬＡＮタグを有しており、
前記識別フラグが、前記ＶＬＡＮタグのユーザプライオリティフィールドの１ビットを用いることを特徴とする請求項３に記載のレイヤ２スイッチ装置。
【請求項５】
端末装置と、
前記接続ポートに前記端末装置が接続された請求項３または４に記載のレイヤ２スイッチ装置からなる端末収容レイヤ２スイッチ装置と、
前記マーキングポートのいずれかが前記端末収容レイヤ２スイッチ装置の前記接続ポートに接続された請求項１または２に記載のレイヤ２スイッチ装置からなる下位レイヤ２スイッチ装置とから構成されたことを特徴とするレイヤ２ネットワーク。
【請求項６】
２組以上の前記下位レイヤ２スイッチ装置、前記端末収容レイヤ２スイッチ装置、および、端末装置の組と、
それそれが異なる前記下位レイヤ２スイッチ装置の前記マーキングポート以外の前記接続ポートと接続された２台の上位レイヤ２スイッチ装置とを有し、
前記上位レイヤ２スイッチ装置のいずれかの接続用ポート同士が接続されるとともに、異なる前記上位レイヤ２スイッチ装置に接続された２台の前記下位レイヤ２スイッチ装置の前記マーキングポート以外の前記接続ポートのいずれか同士が接続されて２重化２系列に構成されたことを特徴とする請求項５に記載のレイヤ２ネットワーク。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、レイヤ２レベルのパケットの送受信を行うレイヤ２スイッチ装置、および、このレイヤ２スイッチ装置を用いたレイヤ２ネットワークに関する。
【背景技術】
【０００２】
一般に、ＴＣＰ／ＩＰをベースとした大規模ネットワークを構築する場合、このネットワークに繋がる端末装置（ＰＣ等）は、レイヤ２スイッチ装置で収容する形態が採られる。このため、同一のレイヤ２スイッチ装置に収容された端末装置間においては、レイヤ２レベルの通信が可能となり、このような通信を用いた端末装置間のファイル情報共有等が可能となる。
【０００３】
このような通信形態は、例えば同一の企業内に存在する端末装置同士なら問題とはならないが、異なる企業が有する端末装置や、個人が所有する端末装置が同一のレイヤ２スイッチ装置に収容されている場合においては、これらの端末装置に保存されているファイル情報を互いに見ることができてしまうため、セキュリティ上好ましくない。そこで、このような状況においてセキュリティを確保するために、レイヤ２スイッチ装置が有するＶＬＡＮ機能が用いられる（例えば、特許文献１参照）。例えば、プライベートＶＬＡＮ機能を用いて、ある端末装置から他の端末装置に直接通信ができないように制限される。
【０００４】
プライベートＶＬＡＮ機能とは、レイヤ２スイッチ装置において、端末装置が接続されているポートを下位ポートとして指定し、この下位ポートは特定の上位ポートとのみ通信させる機能であり、端末装置が接続されている下位ポート間の通信を制限してセキュリティを向上させるものである。
【０００５】
このプライベートＶＬＡＮ機能を用いると、図５に示すように、第２端末収容レイヤ２スイッチ装置５６に収容されている２台の端末装置５３，５４は、それぞれが接続されている下位ポート５６ａ，５６ｂから上位のレイヤ２スイッチ装置５７へ繋がる上位ポート５６ｃに対しては通信が可能であるが、下位ポート５６ａ，５６ｂ間での通信は、この第２端末収容レイヤ２スイッチ装置５６により制限されるため、端末装置５４から送出されたパケットが端末装置５３へ送信されることがない。同様に、端末装置５１，５２が接続されている第１端末収容レイヤ２スイッチ装置５５と、第２端末収容レイヤ２スイッチ装置５６とを収容する上位のレイヤ２スイッチ装置５７においても、第１および第２端末収容レイヤ２スイッチ装置５５，５６が繋がるポート５７ａ，５７ｂ間の通信を制限することにより、端末装置５１からのパケットが、第２端末収容レイヤ２スイッチ装置５６へ送信されることがない。
【０００６】
【特許文献１】特開２００３−２５８８２９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
ところで、このような大規模ネットワークにおいては、２重化２系列でネットワークを構成することにより、上位のレイヤ２スイッチ装置が故障しても、正常な経路に切り替えることによりサービスが継続できるように構成されている。例えば、図６に示すように、端末装置６１等を収容する第１端末収容レイヤ２スイッチ装置６３と、端末装置６２等を収容する第２端末収容レイヤ２スイッチ装置６４のそれぞれを収容する第１および第２下位レイヤ２スイッチ装置６５，６６を設け、さらに、それらの下位レイヤ２スイッチ装置６５，６６のそれぞれを収容する第１および第２上位レイヤ２スイッチ装置６７，６８を設けて、これらの上位レイヤ２スイッチ装置６７，６８をＩＰネットワーク６９に接続するように構成する。このとき、第１および第２下位レイヤ２スイッチ装置６５，６６間と、第１および第２上位レイヤ２スイッチ装置６７，６８間をそれぞれ渡り回線により接続してループを構成して２つの系統間を接続することにより、より多くの端末装置からのパケットが通過する第１および第２上位レイヤ２スイッチ装置６７，６８のいずれかが故障しても、経路を変更して、サービスを継続することができるように構成されている。
【０００８】
なお、第１および第２下位レイヤ２スイッチ装置６５，６６と第１および第２上位レイヤ２スイッチ装置６７，６８で構成されるループ回路は、スパニングツリー方式により、パケットがループしないように構成されており、例えば、図６の場合は、通常は、第１および第２下位レイヤ２スイッチ装置６５，６６のいずれか一方から他方に繋がるポートがブロックポイントとされ（例えば、第２下位レイヤ２スイッチ装置６６のポート６６ａ）、このポートに繋がる渡り回線上にパケットは流れないが、第１上位レイヤ２スイッチ装置６７に故障が発生して端末装置６１等から通信ができなくなると、ブロックポイントが解除され、このポート６６ａを介してＩＰネットワーク６９へパケットが送信可能となる。
【０００９】
しかしながら、このような２重化２系列でネットワークを構成すると、第１および第２端末収容レイヤ２スイッチ装置６３，６４においてはプライベートＶＬＡＮ機能によりこのレイヤ２スイッチ装置６３，６４に接続されている端末装置間の通信を制限することができるが、上位のレイヤ２スイッチ装置（例えば、第１および第２下位レイヤ２スイッチ装置６５，６６や第１および第２上位レイヤ２スイッチ装置６７，６８）では、系間の渡り回線があるために、プライベートＶＬＡＮ機能によりポート間での通信の制限をかけることができない。そのため、異なる系統に接続されている端末装置間（例えば、端末装置６１，６２間）でのレイヤ２レベルでの通信が可能となり、上述のようにセキュリティ上好ましくない問題が発生する。
【００１０】
本発明は、このような課題に鑑みてなされたものであり、端末装置から送信されたパケットにレイヤ２スイッチ装置でマークを付け、このマークがあるパケットについては端末装置に送信されないようにしてセキュリティを確保したレイヤ２スイッチ装置、および、このレイヤ２スイッチ装置を用いてセキュリティが確保されたレイヤ２ネットワークを提供することを目的とする。
【課題を解決するための手段】
【００１１】
前記課題を解決するために、第１の本発明に係るレイヤ２スイッチ装置（例えば、実施形態における第１若しくは第２下位レイヤ２スイッチ装置５，６）は、少なくとも２以上の接続ポートを有し、この接続ポートのいずれかが受け取ったレイヤ２レベルのパケットを、残りの接続ポートの少なくとも一つから送出するものであり、パケットが識別フラグを有し、接続ポートのうちの少なくとも一つをマーキングポートとし、このマーキングポートが受け取ったパケットの識別フラグにマーキングして、マーキングポート以外の接続ポートから送出するように構成される。なお、パケットがＶＬＡＮタグを有しており、識別フラグが、ＶＬＡＮタグのユーザプライオリティフィールドの１ビットを用いることが好ましい。
【００１２】
また、第２の本発明に係るレイヤ２スイッチ装置（例えば、実施形態に係る第１若しくは第２端末収容レイヤ２スイッチ装置３，４）は、少なくとも２以上の接続ポートを有し、この接続ポートのいずれかが受け取ったレイヤ２レベルのパケットを、残りの接続ポートの少なくとも一つから送出するものであり、パケットが識別フラグを有し、接続ポートが受け取ったパケットのうち、識別フラグにマーキングされているパケットを破棄するように構成される。なお、この場合も、パケットがＶＬＡＮタグを有しており、識別フラグが、ＶＬＡＮタグのユーザプライオリティフィールドの１ビットを用いることが好ましい。
【００１３】
また、本発明に係るレイヤ２ネットワークは、端末装置と、接続ポートに端末装置が接続された第２の本発明に係るレイヤ２スイッチ装置からなる端末収容レイヤ２スイッチ装置と、マーキングポートのいずれかが端末収容レイヤ２スイッチ装置の接続ポートと接続された第１の本発明に係るレイヤ２スイッチ装置からなる下位レイヤ２スイッチ装置（例えば、実施形態に係る第１若しくは第２下位レイヤ２スイッチ装置５，６）とから構成される。
【００１４】
この本発明に係るレイヤ２ネットワークは、２組の下位レイヤ２スイッチ装置、端末収容レイヤ２スイッチ装置、および、端末装置の組と、それぞれが異なる下位レイヤ２スイッチ装置のマーキングポート以外の接続ポートと接続された２台の上位レイヤ２スイッチ装置（例えば、実施形態に係る第１および第２上位レイヤ２スイッチ装置７，８）とを有し、上位レイヤ２スイッチ装置のいずれかの接続用ポート同士が接続されるとともに、異なる上位レイヤ２スイッチ装置に接続された２台の下位レイヤ２スイッチ装置のマーキングポート以外の接続ポートのいずれか同士が接続されて２重化２系列に構成されることが好ましい。
【発明の効果】
【００１５】
第１の本発明に係るレイヤ２スイッチ装置を以上のように構成とすると、マーキングポートが受け取ったパケットにマーキングがされて送出されるため、このマーキングポートに接続されている端末装置から送信されたレイヤ２レベルのパケットを識別することができる。
【００１６】
また、第２の本発明に係るレイヤ２スイッチ装置を以上のような構成とすると、マーキングされているパケット、すなわち、第１の本発明に係るレイヤ２スイッチ装置のマーキングポートで受け取られたパケットを破棄することができるため、不要なパケットの転送を防止し、セキュリティを向上させることができる。
【００１７】
なお、第１および第２の本発明に係るレイヤ２スイッチ装置において送受信されるパケットにＶＬＡＮタグを有するように構成し、識別フラグをこのＶＬＡＮタグのユーザプライオリティフィードを応用することにより、特殊なデータ構造を必要としないで、このユーザプライオリティフィールドの持つ信頼性の確保とセキュリティの確保を実現することができる。
【００１８】
さらに、本発明に係るレイヤ２ネットワークを以上のような構成にすると、レイヤ２レベルの通信において、マーキングされたパケット、すなわち、他の端末収容レイヤ２スイッチ装置に接続された端末装置から送信されたパケットであって、下位レイヤ２スイッチ装置でマーキングされたパケットを受け取った端末収容レイヤ２スイッチ装置は、このパケットを破棄するため、この端末収容レイヤ２スイッチ装置に接続された端末装置にはマーキングされたパケットが送信されず、セキュリティを向上させることができる。
【００１９】
とくに、２重化２系列のレイヤ２ネットワークにおいては、上位のレイヤ２スイッチ装置（例えば、上位レイヤ２スイッチ装置、および、下位レイヤ２スイッチ装置）で、プライベートＶＬＡＮ等のセキュリティ機能が使えないため、本発明に係るレイヤ２スイッチ装置で不要なパケットを破棄して端末装置間の直接のレイヤ２レベルでの通信を防止し、セキュリティを向上させることができる。
【発明を実施するための最良の形態】
【００２０】
以下、本発明の好ましい実施形態について図面を参照して説明する。まず、図１を用いて、本実施例に係るレイヤ２ネットワーク１０の構成について説明する。レイヤ２ネットワーク１０は、少なくとも１台の端末装置１，２を収容する端末収容レイヤ２スイッチ装置（第１端末収容レイヤ２スイッチ装置３および第２端末収容レイヤ２スイッチ装置４）と、これらの第１および第２端末収容レイヤ２スイッチ装置３，４を少なくとも１台収容する下位レイヤ２スイッチ装置（第１下位レイヤ２スイッチ装置５および第２下位レイヤ２スイッチ装置６）と、第１および第２下位レイヤ２スイッチ装置５，６を少なくとも１台収容する上位レイヤ２スイッチ装置（第１上位レイヤ２スイッチ装置７および第２上位レイヤ２スイッチ装置８）とから構成され、第１および第２上位レイヤ２スイッチ装置７，８が上位のＩＰネットワーク９に接続される。
【００２１】
このレイヤ２ネットワーク１０において、第１および第２上位レイヤ２スイッチ装置７，８はポート７ｃとポート８ｃが上位渡り回線１１により接続されており、また、第１および第２下位レイヤ２スイッチ装置５，６はポート５ｃとポート６ｃが下位渡り回線１２により接続されて、上位および下位レイヤ２スイッチ装置５〜８でループ回路が形成された２重化２系列のネットワークとして構成されている。なお、このループ回路においては、上述のように、スパニングツリー方式によりパケットがこれらのレイヤ２スイッチ装置５〜８間をループしないように構成されている（例えば、図１においては、通常は、第２下位レイヤ２スイッチ装置６のポート６ｃがブロックポイントとして指定される）。また、第１および第２端末収容レイヤ２スイッチ装置３，４の各々においては、接続される端末装置間（例えば、端末装置１ａ，１ｂ間や端末装置２ａ，２ｂ間）の通信は、このレイヤ２スイッチ装置３，４のポート間（ポート３ａ，３ｂ間やポート４ａ，４ｂ間）の通信をプライベートＶＬＡＮ機能により制限することにより制限されている。
【００２２】
このような構成のレイヤ２ネットワーク１０において、端末装置１ａ，１ｂ，２ａ，２ｂから第１若しくは第２端末収容レイヤ２スイッチ装置３，４に送信されるパケット２０は、図２（ａ）に示すような構造を有している。そして、この第１および第２端末収容レイヤ２スイッチ装置３，４においては、端末装置１ａ，１ｂ，２ａ，２ｂが接続されているポート（下位ポート）３ａ，３ｂ，４ａ，４ｂから受け取ったパケット２０に対してＶＬＡＮタグ２２を付加した状態で、第１若しくは第２下位レイヤ２スイッチ装置５，６に接続されるポート（上位ポート）３ｃ，４ｃからパケット２１として送出されるように構成されている。なお、このＶＬＡＮタグ２２を付加する方式は、例えば、ＩＥＥＥ８０２．３Ｑの規格に対応しているものとする。
【００２３】
ＶＬＡＮタグ２２は、タグプロトコル識別子フィールド２３とタグ制御情報フィールド２４とから構成されており、さらにタグ制御情報フィールド２４は、ユーザプライオリティフィールド２５、ＣＦＩフィールド２６、および、ＶＩＤフィールド２７から構成される。本実施例に係るレイヤ２ネットワーク１０においては、このＶＬＡＮタグ２２のユーザプライオリティフィールド２５の値を変えて（マーキングをして）、端末装置１，２から送出されたパケットか否かを判断するように構成されている。なお、ユーザプライオリティフィールド２５は、以上のようなレイヤ２スイッチ装置３〜８で構成されるＶＬＡＮにおけるパケットの処理の優先順位（ＣｏＳ値：Class of Service値）を設定するためのフィールドである。
【００２４】
それでは、以上のような構成のレイヤ２ネットワーク１０において、端末装置１（１ａ，１ｂ）若しくは２（２ａ，２ｂ）から送信されたパケットが他の端末収容レイヤ２スイッチ装置３若しくは４に収容された端末装置２若しくは１に送信されない構成について説明する。なお、ここでは、端末装置１ａから送信されたパケット２０の流れに基づいて説明する。また、このパケット２０は、ブロードキャストパケットであるとして説明する。
【００２５】
端末装置２０からレイヤ２レベルのパケット２０が送出されると、第１端末収容レイヤ２スイッチ装置３のポート（下位ポート）３ａで受け取られ、上述のように、ＶＬＡＮタグ２２が付加されたパケット２１としてポート（上位ポート）３ｃから第１下位レイヤ２スイッチ装置５に送出される。
【００２６】
第１および第２下位レイヤ２スイッチ装置５、６は、マーキングポートに指定されたポートから受け取ったパケット２１にマーキングをするように構成されており、第１端末収容レイヤ２スイッチ装置３が、第１下位レイヤ２スイッチ装置５のマーキングポート５ａに接続されている。そして、いずれかのポートからパケット２１を受け取ると、この第１下位レイヤ２スイッチ装置５は、図３に示す処理を行う。すなわち、受け取ったパケット２１がマーキングポート５ａで受け取られたものか否かを判断し（Ｓ１００）、マーキングポート５ａで受け取られたパケット２１であると判断した場合は、このパケット２１のＶＬＡＮタグ２２を構成するユーザプライオリティフィールド２５を変更して、このパケット２１が端末装置１から送信されたパケットであることをマーキングし（Ｓ１０１）、マーキングポート５ａ以外で受け取った（第１端末収容レイヤ２スイッチ装置３以外から受け取った）パケット２１であると判断した場合は、マーキング処理（Ｓ１０１）は行わない。
【００２７】
ここで、マーキングする方法としては、ユーザプライオリティフィールド２５を構成する３ビットのうちの決められた１ビットを識別フラグとし、この識別フラグを１にする（マーキングされていないときは０とする）方法があり、例えば、最上位のビットを識別フラグとしてマーキングに用いると、残りの２ビットで本来のＣｏＳ値を表すことができる。そのため、このＶＬＡＮタグ２２のユーザプライオリティフィールド２５を用いて、優先順位の制御とマーキングの両方を実現することができる。
【００２８】
そして、所定のポートからパケット２１が送出される（Ｓ１０２）。この場合、マーキングポート５ａで受け取ったパケット２１が、ポート５ｂから第１上位レイヤ２スイッチ装置７に送出される。
【００２９】
第１上位レイヤ２スイッチ装置７のポート７ａで受け取られたパケット２１は、ポート７ｃから上位渡り回線１１を介して、第２上位レイヤ２スイッチ装置８に送信される（パケット２０はブロードキャストパケットであるため、この場合、ポート７ｂからＩＰネットワーク９へも送出される）。そして、第２上位レイヤ２スイッチ装置８は、ポート８ｃで受け取ったパケット２１をそのままポート８ａから送出し、送出されたパケット２１は、第２下位レイヤ２スイッチ装置６のポート６ｂで受け取られる。
【００３０】
この第２下位レイヤ２スイッチ装置６においても、図３で示した処理が行われるが、このパケット２１は、第２端末収容レイヤ２スイッチ装置４が接続されているポート（マーキングポート）６ａで受け取ったパケットではないため、マーキング処理（Ｓ１０１）は行われず、そのまま、ポート６ａから第２端末収容レイヤ２スイッチ装置４に送出される。
【００３１】
第２端末収容レイヤ２スイッチ装置６から送出されたパケット２１は、第２端末収容レイヤ２スイッチ装置４の上位ポート４ｃで受け取られる。この第２端末収容レイヤ２スイッチ装置４は、いずれかのポートでパケット２１を受け取ると、図４に示す処理を行う。すなわち、パケット２１を調べ、ＶＬＡＮタグ２２が付加されていて、且つ、ユーザプライオリティフィールド２５にマーキングされているかを調べ（Ｓ１１０）、ユーザプライオリティフィールド２５にマーキングされている場合は、そのパケット２１を破棄し（Ｓ１１１）、ＶＬＡＮタグ２２がないか、若しくは、マーキングされていない場合は、そのまま、所定のポートに送信する（Ｓ１１２）。この場合、ポート４ｃで受信したパケット２１はマーキングされているため、このパケット２１は破棄される。そのため、端末装置１から送信されたパケット２０は端末装置２（２ａ，２ｂ）に送信されることはない。
【００３２】
なお、ユーザプライオリティフィールド２５にマーキングされていない場合（すなわち、ＩＰネットワーク９を経由して送信されたレイヤ３レベルの通信のパケットの場合）は、上位ポート４ｃで受け取ったパケットから上述のＶＬＡＮタグが削除され、下位ポート４ａ，４ｂから端末装置２ａ，２ｂに送信される。この処理は、第１端末収容レイヤ２スイッチ装置３でも、同様であり、上述の場合は、パケット２０にＶＬＡＮタグ２２が付加されていないため（Ｓ１１０）、このパケット２０にＶＬＡＮタグ２２が付加されて上位ポート４ｃから第１下位レイヤ２スイッチ装置５に送出される（Ｓ１１２）。
【００３３】
以上のレイヤ２スイッチ装置３〜８を整理すると、第１および第２下位レイヤ２スイッチ装置５，６は、端末装置１，２から送信された（すなわち、第１および第２端末収容レイヤ２装置３，４が接続されているマーキングポート５ａ，６ａで受信された）パケット２１に対してはＶＬＡＮタグ２２のユーザプライオリティフィールド２５にマーキングをして所定のポート（ポート５ｃ若しくは６ｃ）から送出し、第１および第２上位レイヤ２スイッチ装置７，８は、マーキングを操作せずにパケット２１をそのまま送出し、第１および第２端末装置収容レイヤ２スイッチ装置３，４は、マーキングされているパケット２１を破棄し、マーキングがないパケット２０，２１は所定のポートから送出するように構成されている。このため、第１および第２端末収容レイヤ２スイッチ装置３，４において、レイヤ２レベルの通信で他の端末装置１，２から送られてくるパケット２１は破棄し、レイヤ３レベルの通信で上位のＩＰネットワーク９を経由して送られてくるパケット２１は端末装置１，２に渡すようにすることができる。
【００３４】
このレイヤ２ネットワーク１０を以上のような構成にすると、このネットワーク１０の品質をＣｏＳ値により優先制御することにより確保しつつ、マーキングにより端末装置１，２間のレイヤ２通信に関するセキュリティの確保をすることができる。但し、このような構成にすると、ユーザプライオリティフィールド２５を構成する３ビットのうち、１ビットをマーキングに用いるため、優先制御には２ビット（４通り）の優先順位を付けることができる。
【００３５】
なお、以上の実施例においては、レイヤ２通信におけるＶＬＡＮタグ２２にマーキングをする方式としたが、例えば、端末収容レイヤ２スイッチ装置３，４に、このレイヤ２スイッチ装置３，４に繋がる端末装置１，２のＩＰアドレスやＭＡＣアドレスを記憶させ、これらのアドレスから送信されたパケットは破棄するように構成することも可能である。しかしながら、ＭＡＣアドレスは端末装置固有のものであるため、レイヤ２ネットワーク１０を構築する事業者が知ることができず、また、ＩＰアドレスやＭＡＣアドレスを全ての端末収容レイヤ２スイッチ装置３，４に設定すると、作業や保守が煩雑になるが、本実施例に示すようにマーキングする方式によると、このような保守が不要になる。さらに、このようにＶＬＡＮタグ２２にマーキングすることにより、レイヤ２レベルで処理できるため、ＩＰＶ４かＩＰＶ６か等のレイヤ３のプロトコルに依存せずに運用することができる。
【００３６】
また、通常、レイヤ２スイッチ装置においては、ポート間を流れるパケットの処理はソフトウェアで実現されており、かつ、ＶＬＡＮタグ２２のユーザプライオリティフィールド２５を用いることにより特殊なデータ構造を必要とせず規格の範囲で実現できるので、市販されているレイヤ２スイッチ装置を用いることにより、図４および図５で示した処理は容易に実現することができる。そして、このＶＬＡＮタグ２２は、レイヤ２スイッチ装置により付加・削除がされるため、端末装置１，２を使う利用者が操作することができず、これらの利用者による不正アクセスを防止することができる。
【００３７】
なお、図２（ａ）で示したパケット２０のデータフィールド２８には、レイヤ３レベルのタグが含まれており、ＶＬＡＮタグ２２のユーザプライオリティフィールド２５にマーキングする代わりに、レイヤ３レベルのタグを構成するＴｏＳ（Type of Service）フィールドにマーキングするように構成することも可能である。また、端末装置１，２は、ネットワーク機能を備えたパーソナルコンピュータ（ＰＣ）等の計算機だけでなく、ゲーム機器や家電機器等でＴＣＰ／ＩＰにより通信可能な機器でも良い。
【図面の簡単な説明】
【００３８】
【図１】本発明に係るレイヤ２ネットワークを示すブロック図である。
【図２】パケットを示す構造図であり、（ａ）は通常のレイヤ２レベルのパケットであり、（ｂ）はＶＬＡＮタグが付加されたパケットである。
【図３】下位レイヤ２スイッチ装置の処理を示すフローチャートである。
【図４】端末収容レイヤ２スイッチ装置の処理を示すフローチャートである。
【図５】プライベートＶＬＡＮの機能を説明するためのブロック図である。
【図６】従来の２重化２系列のレイヤ２ネットワークのパケットの流れを示すブロック図である。
【符号の説明】
【００３９】
１（１ａ，１ｂ），２（２ａ，２ｂ）  端末装置
３，４  第１および第２端末収容レイヤ２スイッチ装置
５，６  第１および第２下位レイヤ２スイッチ装置
５ａ，６ａ  マーキングポート
７，８  第１および第２上位レイヤ２スイッチ装置
２０，２１  レイヤ２パケット
２２  ＶＬＡＮタグ
２５  ユーザプライオリティフィールド
【図１】
2006157281.tif 000003
【図２】
2006157281.tif 000004
【図３】
2006157281.tif 000005
【図４】
2006157281.tif 000006
【図５】
2006157281.tif 000007
【図６】
2006157281.tif 000008