(57)【要約】【課題】第三者がＡＲＰパケットを使用してＩＰアドレスやＭＡＣアドレスを詐称することによる不正アクセスを防止し、通信のセキュリティを確保する加入者回線収容装置およびパケットフィルタリング方法を得る。【解決手段】加入者回線収容装置１０２内のＤＨＣＰ処理部１６８は、加入者回線収容装置に加入者回線を介して接続された通信端末がＩＰアドレスの割り当てを要求したときに得られたアドレス情報を基にして動的入力管理テーブルを作成している。ユーザ端末からインターフェイス回路部１６１を介して加入者回線収容装置に到来したパケットは、動的入力フィルタ部１６３でＡＲＰパケット等のパケットの種類に応じてＩＰアドレス等と照合されるフィルタリング処理が行われ、更に静的入力フィルタ部１６４でフィルタリングされて、ブリッジフォワーダ１３５を介してアップリンク回線１３０あるいは動的出力フィルタ部１６７に出力される。【選択図】図５
2006094417.tif 000002
【特許請求の範囲】
【請求項１】
複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段と、
この加入者回線終端手段に終端された前記複数の加入者回線の通信端末のアドレス情報を取得する通信端末アドレス情報取得手段と、
前記複数の加入者回線の通信端末のいずれかのＩＰアドレスを指定してこれに対応するＭＡＣアドレスの取得を行うＡＲＰ要求あるいはＡＲＰ応答が行われたとき、そのＡＲＰパケットの送信元を示すアドレスが前記通信端末のアドレス情報のいずれかに一致しているか否かを判別するアドレス情報一致判別手段と、
このアドレス情報一致判別手段によって一致が判別されなかったときそのＡＲＰパケットを廃棄するＡＲＰパケット廃棄手段
とを具備することを特徴とする加入者回線収容装置。
【請求項２】
複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段と、
この加入者回線終端手段に終端された前記複数の加入者回線の通信端末のアドレス情報を取得する通信端末アドレス情報取得手段と、
受信したパケットが、ＩＰアドレスを指定してこれに対応するＭＡＣアドレスの取得を行うＡＲＰ要求あるいはＡＲＰ応答を行うＡＲＰパケットであるかＩＰパケットであるかを判別するパケット種類判別手段と、
このパケット種類判別手段の判別結果がＡＲＰパケットかＩＰパケットかに応じて、前記通信端末アドレス情報取得手段で取得したアドレス情報を異なった論理で適用して該当するパケットの通過あるいは廃棄を制御する入力フィルタ
とを具備することを特徴とする加入者回線収容装置。
【請求項３】
前記入力フィルタは、ＡＲＰパケットの送信元を示すアドレスが前記通信端末のアドレス情報のいずれかに一致しているか否かを判別するアドレス情報一致判別手段と、このアドレス情報一致判別手段が一致と判別しない場合にそのＡＲＰパケットを廃棄するＡＲＰパケット廃棄手段とを更に具備することを特徴とする請求項２記載の加入者回線収容装置。
【請求項４】
前記送信元を示すアドレスはＭＡＣアドレスであり、前記通信端末アドレス情報取得手段は前記複数の加入者回線の通信端末についてのＭＡＣアドレスを取得することを特徴とする請求項１または請求項３記載の加入者回線収容装置。
【請求項５】
前記送信元を示すアドレスは、ＡＲＰパケットの送信元ハードウェアアドレスであり、前記通信端末アドレス情報取得手段は、前記複数の加入者回線の通信端末についてのＭＡＣアドレスを取得していることを特徴とする請求項１または請求項３記載の加入者回線収容装置。
【請求項６】
前記送信元を示すアドレスは、ＡＲＰパケットの送信元プロトコルアドレスであり、前記通信端末アドレス情報取得手段は、前記複数の加入者回線の通信端末についてのＩＰアドレスを取得していることを特徴とする請求項１または請求項３記載の加入者回線収容装置。
【請求項７】
前記送信元を示すアドレスはＭＡＣアドレスおよびＩＰアドレスであり、前記通信端末アドレス情報取得手段は、前記複数の加入者回線の通信端末についてのＭＡＣアドレスおよびＩＰアドレスを取得しており、前記アドレス情報一致判別手段はＭＡＣアドレスに対する前記複数の加入者回線の通信端末のＭＡＣアドレスおよびＡＲＰパケットの送信元ハードウェアアドレスが一致し、かつ、ＩＰアドレスに対して前記複数の加入者回線の通信端末のＡＲＰパケットの送信元プロトコルアドレスが一致することを判別することを特徴とする請求項１または請求項３記載の加入者回線収容装置。
【請求項８】
前記加入者回線はＤＳＬ回線であることを特徴とする請求項１または請求項２記載の加入者回線収容装置。
【請求項９】
前記加入者回線は光ファイバケーブルを使用した回線であることを特徴とする請求項１または請求項２記載の加入者回線収容装置。
【請求項１０】
動的アドレスの割り当てを行うＤＨＣＰサーバが前記加入者回線終端手段の内部に備えられていることを特徴とする請求項１または請求項２記載の加入者回線収容装置。
【請求項１１】
動的アドレスの割り当てを行うＤＨＣＰサーバが前記加入者回線終端手段の外部に備えられており、前記加入者回線終端手段の内部にはこのＤＨＣＰサーバに処理を委任するＤＨＣＰリレーエージェントが配置されていることを特徴とする請求項１または請求項２記載の加入者回線収容装置。
【請求項１２】
動的アドレスの割り当てを行うＤＨＣＰサーバが前記加入者回線終端手段の外部に備えられており、前記通信端末アドレス情報取得手段は、前記アドレス情報をスプーフするスプーフィング手段であることを特徴とする請求項１または請求項２記載の加入者回線収容装置。
【請求項１３】
複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段で受信したパケットがＡＲＰパケットであるか否かを判別するパケット種類判別ステップと、
このパケット種類判別ステップでＡＲＰパケットであると判別されたパケットについて前記複数の加入者回線の通信端末のアドレス情報を取得する通信端末アドレス情報取得ステップと、
前記ＡＲＰパケットであると判別されたパケットの送信元を示すアドレスがこの通信端末アドレス情報取得ステップで取得したアドレス情報のいずれかと一致しているか否かを判別するアドレス情報一致判別ステップと、
このアドレス情報一致判別ステップによって一致が判別されなかったときそのＡＲＰパケットを廃棄するＡＲＰパケット廃棄ステップ
とを具備することを特徴とするパケットフィルタリング方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＤＨＣＰサーバを備えた加入者回線収容装置およびこのような回路構成の装置を使用したパケットフィルタリング方法に係わり、詳細にはＡＲＰパケットの入力を規制するのに好適な加入者回線収容装置およびパケットフィルタリング方法に関する。
【背景技術】
【０００２】
電話回線や光ケーブル等の伝送路を介して、それぞれのユーザ端末がインターネット等の通信ネットワークに接続する機会が急速に増加している。これと共に、ＩＰ（Internet Protocol）ネットワークで、ＩＰアドレスを再利用可能な形で動的に割り当てるＤＨＣＰ（Dynamic Host Configuration Protocol）サービスが広く利用されるようになっている。
【０００３】
ところで、ＤＨＣＰサービスを利用する通信ネットワークでは、ユーザ端末に動的にＩＰアドレスを割り当てる。このため静的なフィルタをＩＰアドレスに対して設定することができない。そこで、第三者がＩＰアドレスやＭＡＣアドレスを詐称することで、他人に対する通信の妨害を行ったり、他人に成りすますことができるという問題がある。
【０００４】
そこで、加入者回線収容装置に収容された加入者回線に接続されたユーザ端末のすべてについてのＭＡＣアドレス（Media Access Control Address）を登録しておき、これらのＭＡＣアドレスのいずれとも異なる通信端末がネットワークにアクセスしようとしたときには、これを拒否するようにすることでこのような問題を解決することが提案（第１の提案）されている（たとえば特許文献１参照）。
【０００５】
また、ＩＰパケットを使用して第三者が不正に通信ネットワークへのアクセスを要求してきたような場合に、これを拒否することのできる加入者回線収容装置も提案（第２の提案）されている（たとえば非特許文献１参照）。
【０００６】
この第２の提案では、ＩＰパケットがＤＨＣＰサーバに到来してＩＰアドレスの取得が要求されたとき、これに対してＩＰアドレスを発行すると共に、発行するＩＰアドレスとＩＰアドレスの取得の要求があった加入者回線の識別番号および要求した通信端末のＭＡＣアドレスの組をフィルタ条件登録手段に登録しておく。そして、パケットが到来したときにはフィルタ条件登録手段に登録されたＩＰアドレスと識別番号およびＭＡＣアドレスの組と一致するパケットのみにパケット通信を許可するようにしている。これにより、ＩＰアドレス等のアドレス情報が一致しても加入者回線の識別番号が一致しないパケットについては通信を許可しないので、不正アクセスを効果的に防止することができる。
【特許文献１】特開２００２−２０４２４６号公報（第００３８〜第００４０段落、図８）。
【非特許文献１】Ｃｉｓｃｏ−Ｃａｂｌｅ  Ｓｏｕｒｃｅ．Ｖｅｒｉｆｙ  ａｎｄ  ＩＰ  Ａｄｄｒｅｓｓ  Ｓｅｃｕｒｉｔｙ（http://www.cisco.com/warp/public/109/source_verify.html）
【発明の開示】
【発明が解決しようとする課題】
【０００７】
このうち、前者の第１の提案では、ＭＡＣアドレスを用いて静的なフィルタリングを行うものでしかなく、フィルタの対象を動的なアドレスに適用できるものではない。
【０００８】
この点で後者の第２の提案は、動的なアドレスも規制の対象としている。しかしながら、この第２の提案ではＩＰパケットのみを規制の対象としているので、ＡＲＰ（Address Resolution Protocol）パケットが加入者回線収容装置に送られてきたとき、これに対して有効なフィルタリングを行うことができない。
【０００９】
ここでＡＲＰパケットについて説明を補足する。イーサネット（登録商標）上での通信は、たとえその上位の通信でＩＰアドレスを使用しても、最終的にはＭＡＣアドレスを使用した通信が行われる。そこで、ＭＡＣアドレスを取得するために、ＩＰアドレスをパケットにセットして、同一ネットワーク上の全ノードにブロードキャストするＡＲＰパケットが存在している。
【００１０】
このＡＲＰパケットの存在により、第三者が他人のＡＲＰ要求に対してＩＰアドレスを詐称したＡＲＰリプライを送信することで、その他人に成りすまし、その他人の情報を盗み取ることが可能になる。また、このＡＲＰパケットの存在により、第三者が他人のＡＲＰ要求に対してＭＡＣアドレスを詐称したＡＲＰリプライを送信することで、他人の通信を妨害することが可能になる。更に、このＡＲＰパケットの存在により、第三者がＡＲＰ要求のＩＰアドレスおよびＭＡＣアドレスを詐称することで、他人に成りすまし、その他人の情報を盗み取ったり、通信を妨害することが可能になる。
【００１１】
そこで本発明の目的は、第三者がＡＲＰパケットを使用してＩＰアドレスやＭＡＣアドレスを詐称することによる不正アクセスを防止することで、通信のセキュリティを確保することのできる加入者回線収容装置およびパケットフィルタリング方法を提供することにある。
【課題を解決するための手段】
【００１２】
請求項１記載の発明では、（イ）複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段と、（ロ）この加入者回線終端手段に終端された前記した複数の加入者回線の通信端末のアドレス情報を取得する通信端末アドレス情報取得手段と、（ハ）前記した複数の加入者回線の通信端末のいずれかのＩＰアドレスを指定してこれに対応するＭＡＣアドレスの取得を行うＡＲＰ要求あるいはＡＲＰ応答が行われたとき、そのＡＲＰパケットの送信元を示すアドレスが通信端末のアドレス情報のいずれかに一致しているか否かを判別するアドレス情報一致判別手段と、（ニ）このアドレス情報一致判別手段によって一致が判別されなかったときそのＡＲＰパケットを廃棄するＡＲＰパケット廃棄手段とを加入者回線収容装置に具備させる。
【００１３】
すなわち請求項１記載の発明では、ＡＲＰ要求あるいはＡＲＰ応答のためのＡＲＰパケットを受信したときには、その送信元のアドレスをチェックして、これが加入者回線終端手段に終端された加入者回線のいずれかの通信端末のアドレス情報に一致しないときには、そのパケットを廃棄することで、通信のセキュリティを確保している。
【００１４】
請求項２記載の発明では、（イ）複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段と、（ロ）この加入者回線終端手段に終端された前記した複数の加入者回線の通信端末のアドレス情報を取得する通信端末アドレス情報取得手段と、（ハ）受信したパケットが、ＩＰアドレスを指定してこれに対応するＭＡＣアドレスの取得を行うＡＲＰ要求あるいはＡＲＰ応答を行うＡＲＰパケットであるかＩＰパケットであるかを判別するパケット種類判別手段と、（ニ）このパケット種類判別手段の判別結果がＡＲＰパケットかＩＰパケットかに応じて、通信端末アドレス情報取得手段で取得したアドレス情報を異なった論理で適用して該当するパケットの通過あるいは廃棄を制御する入力フィルタとを加入者回線収容装置に具備させる。
【００１５】
すなわち請求項２記載の発明では、受信したパケットがＩＰパケットであるかＡＲＰ要求あるいはＡＲＰ応答を行うＡＲＰパケットであるかを判別し、判別結果に応じて異なった論理でアドレス情報の一致処理を行うことで、それぞれのパケットの特性にあったフィルタリングを可能にしている。これにより、特にセキュリティ上で問題となるＡＲＰパケットについての通信の安全性を高めている。
【００１６】
請求項１３記載の発明では、（イ）複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段で受信したパケットがＡＲＰパケットであるか否かを判別するパケット種類判別ステップと、（ロ）このパケット種類判別ステップでＡＲＰパケットであると判別されたパケットについて前記した複数の加入者回線の通信端末のアドレス情報を取得する通信端末アドレス情報取得ステップと、（ハ）ＡＲＰパケットであると判別されたパケットの送信元を示すアドレスがこの通信端末アドレス情報取得ステップで取得したアドレス情報のいずれかと一致しているか否かを判別するアドレス情報一致判別ステップと、（ニ）このアドレス情報一致判別ステップによって一致が判別されなかったときそのＡＲＰパケットを廃棄するＡＲＰパケット廃棄ステップとをパケットフィルタリング方法に具備させる。
【００１７】
すなわち請求項１３記載の発明では、受信したパケットがＡＲＰパケットであるか否かを判別して、ＡＲＰパケットであると判別されたについてはその送信元を示すアドレスがこの通信端末アドレス情報取得ステップで取得したアドレス情報のいずれかと一致しているか否かを判別して、一致が判別されなかったＡＲＰパケットを廃棄することにしている。これにより、ＡＲＰパケットに特化したセキュリティ対策を採ることができる。
【発明の効果】
【００１８】
このように本発明では、パケットの入力時のフィルタリングについてＡＲＰパケットに特化した処理を行うようにしたので、第三者がＡＲＰパケットを使用してＩＰアドレスやＭＡＣアドレスを詐称することによる不正アクセスを防止し、通信のセキュリティを確保することができる。
【発明を実施するための最良の形態】
【００１９】
以下実施例につき本発明を詳細に説明する。
【実施例１】
【００２０】
＜システムの概要＞
【００２１】
図１は、本実施例の加入者回線収容装置を使用したマルチキャスト情報配信システムの概要を表わしたものである。このマルチキャスト情報配信システム１００は、ＡＤＳＬ（Asymmetric Digital Subscriber Line）と呼ばれる非対称ディジタル加入者回線を使用している。マルチキャスト情報配信システム１００は、それぞれの加入者宅に配置されたユーザスプリッタ１０１1〜１０１Mと加入者回線収容装置１０２とを、ＤＳＬ加入者回線１０３1〜１０３Mで接続している。各ユーザスプリッタ１０１1〜１０１Mには、それぞれ電話機１０４1〜１０４MとＡＤＳＬモデム１０５1〜１０５Mのうちの対応するものが接続されている。ＡＤＳＬモデム１０５1〜１０５Mには、ホームページの閲覧等の各種のデータ処理を行うためのパーソナルコンピュータ１０６1〜１０６Mがそれぞれ接続される他、セットトップボックス１０７1〜１０７Mを介してテレビジョン番組を視聴するためのインターネットテレビジョン（ＴＶ）１０８1〜１０８Mがそれぞれ接続されている。
【００２２】
加入者回線収容装置１０２は、音声交換機１１２と接続されており、公衆電話交換網（ＰＳＴＮ：Public Switched Telephone Network）１１３と接続されるようになっている。また、加入者回線収容装置１０２はルータ１１４を介してインターネット等のパケット通信を行うためのパケット通信ネットワーク１１５に接続されている。パケット通信ネットワーク１１５には、各ユーザのインターネットテレビジョン１０８に対して各種のテレビジョン番組を配信させるための番組配信用サーバ１１６が接続されている。
【００２３】
図２は、加入者回線収容装置とその周辺の構成を示したものである。本実施例で加入者回線収容装置１０２は、１つのシステム当たりで最大で１９２０回線を収容できるようになっている。
【００２４】
加入者回線収容装置１０２は、ＡＤＳＬモデム１０５1〜１０５1920とＤＳＬ加入者回線１０３1〜１０３1920を介して接続されるスプリッタユニット１２２1〜１２２1920を備えている。このうちのスプリッタユニット１２２1を代表的に説明する。スプリッタユニット１２２1は、ＤＳＬ加入者回線１０３1を介して送られてきた信号１２３1を、音声周波数帯域の電話信号１２４1と、これよりも高い所定の周波数帯域のＡＤＳＬ信号１２５1に分離する。電話信号１２４1は、回線交換用の音声交換機１１２に送られることになる。
【００２５】
これに対して、スプリッタユニット１２２1によって分離されたＡＤＳＬ信号１２５1は、対応するＤＳＬ加入者回線終端ユニット（Line Termination Unit：ＬＴＵ）１２７1の図示しない初段部分で変復調され、ＡＴＭセルが取り出されて、バックプレーン（Backplane）バス１２８を介して複合中継ユニット（ＩＧＵ）１３１に入力される。複合中継ユニット１３１の詳細は後に説明する。ＤＳＬ加入者回線終端ユニット１２７1は最大で３２回線等の所定数の回線に対応したＤＳＬトランシーバモジュール（後に説明するＤＳＰ（Digital Signal Processor））を備えており、ＤＳＬ加入者回線１０３1〜１０３1920を使用して、インターネットに接続するためのインターフェイスとしてのアップリンク回線１３０を介して上り方向（図１におけるパケット通信ネットワーク１１５の方向）に高速のデータ通信を行う他、下りデータを受信して変調し、ＤＳＬ加入者回線１０３1〜１０３1920に送出するようになっている。
【００２６】
図３は、加入者回線収容装置の要部のシステム構成を表わしたものである。加入者回線収容装置１０２は、図２で説明したＤＳＬ加入者回線終端ユニット（ＬＴＵ）１２７1〜１２７Jを備えており、これらは複合中継ユニット１３１の一端側に接続されている。複合中継ユニット１３１はインターネットに接続するためのインターフェイス機能を有しており、その他端側には、アップリンク回線１３０が接続されている。
【００２７】
複合中継ユニット１３１は、加入者回線収容装置１０２の全体的な制御や監視等を行う装置制御部１３２と、バックプレーンのインターフェイスを行うバックプレーンＩＦ（interface）回路１３３、ＡＴＭ（Asynchronous Transfer Mode）セルの組み立てや分解を行うＡＴＭ  ＳＡＲ（Asynchronous Transfer Mode Segmentation and Reassembly）１３４、およびレイヤ２の転送を行い、ＭＡＣアドレス（Media Access Control Address）を基にパケットを仕分けるブリッジフォワーダ１３５を配置している。ＡＴＭセルは、ＡＴＭ  ＳＡＲ１３４とＤＳＬ加入者回線終端ユニット１２７1〜１２７Jの間で伝送され、アップリンク回線１３０の入出力部分ではイーサネット（登録商標）のフレームが伝送される。
【００２８】
図４は、複合中継ユニットのハードウェアとしての回路構成の概要を表わしたものである。複合中継ユニット１３１は、装置制御ＣＰＵ（Central Processing Unit）１４１とネットワークプロセッサ１４２の２つのプロセッサと、フラッシュＲＯＭ（Read Only Memory）１４３、ＳＤＲＡＭ（Synchronous Dynamic Random Access Memory）１４４および不揮発性ＲＡＭ（Random Access Memory）１４５からなるメモリ群と、特定用途向けの集積回路としてのＡＳＩＣ（Application Specific Integrated Circuit）からなるバックプレーンＩＦ回路１３３ならびに図示しないＬＳＩ（Large Scale Integration）で構成されるＧｂＥ（Gigabit Ethernet（登録商標））  ＩＦ（interface）回路１４７を備えている。
【００２９】
ここで、装置制御ＣＰＵ１４１は、装置の管理や通信あるいはコンフィグレーションの設定に関する制御を行う。ネットワークプロセッサ１４２は、内蔵ＣＰＵ１５１およびＡＴＭ  ＳＡＲ１３４を備えた高速の通信用プロセッサである。このネットワークプロセッサ１４２を使用して、図３に示したブリッジフォワーダ１３５をソフトウェア的に実現し、これによるフレームの受信、宛先の判別、宛先への送信等の処理が実行される。バックプレーンＩＦ回路１３３は、回線との間のバスの制御等の回線に関する各種制御を、ギガビット単位で送られてくるフレームの高速処理を行うために、ハードウェアで実現している。バックプレーンＩＦ回路１３３は、ＤＳＬ加入者回線終端ユニット１２７1〜１２７Jを個々にポーリングによって処理している。
【００３０】
図５は、この複合中継ユニットの主要な機能ブロックを示したものである。複合中継ユニット１３１（図４）は、図２に示したＤＳＬ加入者回線終端ユニット１２７1〜１２７Jにそれぞれ対応して配置された第１〜第Ｊのインターフェイス回路部１６１1〜１６１Jを備えている。ブリッジフォワーダ１３５と第１〜第Ｊのインターフェイス回路部１６１1〜１６１Jの間には、入力パケットバイパス部１６２1〜１６２Jと、動的入力フィルタ部１６３1〜１６３Jおよび静的入力フィルタ部１６４1〜１６４Jからなる直列回路と、出力パケットバイパス部１６５1〜１６５Jと、静的出力フィルタ部１６６1〜１６６Jおよび動的出力フィルタ部１６７1〜１６７Jからなる直列回路とが接続されている。ＤＨＣＰ処理部１６８は、入力パケットバイパス部１６２1〜１６２Jおよび出力パケットバイパス部１６５1〜１６５Jに接続されている。この図で、第１〜第Ｊのインターフェイス回路部１６１1〜１６１Jは、図３におけるブリッジフォワーダ１３５よりもＤＳＬ加入者回線終端ユニット１２７1〜１２７J側の回路部分を総括的に表わしたものである。
【００３１】
入力パケットバイパス部１６２1〜１６２Jは、入力されたパケットをＤＨＣＰ処理部１６８に進むものと動的入力フィルタ部１６３1〜１６３Jに進むものとに仕分けるようになっている。動的入力フィルタ部１６３1〜１６３Jは、時間的に変動する動的なアドレス情報を使用して受信したパケットのフィルタリングを行う。これに対して静的入力フィルタ部１６４1〜１６４Jは、時間的に変動しない静的なアドレス情報を使用して受信したパケットの更なるフィルタリングを行う。同様に、静的出力フィルタ部１６６1〜１６６Jは、静的なアドレス情報を使用して、ユーザ端末方向に送出されるパケットの静的なフィルタリングを行う。動的出力フィルタ部１６７1〜１６７Jは、これら送出されるパケットの動的なフィルタリングを行う。出力パケットバイパス部１６５1〜１６５Jは、静的出力フィルタ部１６６1〜１６６Jから送られてきたパケットあるいはＤＨＣＰ処理部１６８から出力されるパケットを第１〜第Ｊのインターフェイス回路部１６１1〜１６１Jのうちの対応するものに与え、該当するユーザ端末に送出させるようになっている。
【００３２】
＜フィルタリング処理＞
【００３３】
図６は、動的入力フィルタ部に内蔵された動的入力管理テーブルの一部を表わしたものである。動的入力管理テーブル１７１には、ユーザ端末のそれぞれについての割り当てられたＩＰアドレス、ＭＡＣアドレスおよび加入者回線番号をリストアップしている。
【００３４】
ところで、各加入者端末のユーザ（ＤＨＣＰクライアント）は、ＤＨＣＰサーバにＩＰアドレスを要求して、ＤＨＣＰサーバ側にあらかじめ確保しているＩＰアドレスの割り当てを受けることができる。このとき、図５に示したＤＨＣＰ処理部１６８側では、割り当てたＩＰアドレスと、そのユーザ端末に関するＭＡＣアドレスおよび加入者回線番号を取得することができる。
【００３５】
図７は、ＤＨＣＰ処理部による動的入力管理テーブルの更新処理の様子を表わしたものである。ＤＨＣＰ処理部１６８はＤＨＣＰサーバに対してＩＰアドレスの割当要求に基づいた割り当てが完了すると（ステップＳ３０１：Ｙ）、そのユーザ端末のアドレス情報を取得する（ステップＳ３０２）。そして、得られたアドレス情報としてのＩＰアドレス、ＭＡＣアドレスおよび加入者回線番号を、図６に示した動的入力管理テーブル１７１に登録し（ステップＳ３０３）。その内容のフィルタリングを行うための入力フィルタエントリを１つ追加する（ステップＳ３０４）。
【００３６】
ところでＤＨＣＰサーバはＩＰアドレスを、リース期間を設定してそれぞれのユーザ端末に割り当てるようにしている。したがって、それぞれのＩＰアドレス単位にリース期間が満了するまでの期間を逐次チェックして（ステップＳ３０５）、満了すれば（Ｙ）、その入力フィルタエントリを削除する（ステップＳ３０６）。これは、リース期間内でのみパケットの入力を許すようにするためである。
【００３７】
図８および図９は、動的入力フィルタ部によるパケットの受信制御の様子を表わしたものである。図４に示した複合中継ユニット１３１内の前記した装置制御ＣＰＵ１４１が所定の制御プログラムを実行することで、この処理を行う。もちろん、同一の制御論理をハードウェアで実現することも可能である。
【００３８】
装置制御ＣＰＵ１４１は該当するユーザ端末側からパケットが到来するのを監視している（図８ステップＳ３２１）。このようなパケットが、図１に示すＤＳＬ加入者回線１０３1〜１０３Mのいずれかから送られてきたら（Ｙ）、まず、その受信したパケットのイーサ（イーサネット（登録商標））ヘッダ内の「Ｓｏｕｒｃｅ  Ａｄｄｒｅｓｓ」フィールドの情報を読み出す（ステップＳ３２２）。そして、これが動的入力管理テーブル１７１の「ＭＡＣアドレス」のいずれかと同一であるかどうかをチェックする（ステップＳ３２３）。同一ではない場合、その受信したパケットは送信元のユーザ端末が存在しないことになる。そこで、その受信したパケットは動的入力フィルタ部１６３1〜１６３Jのうちの該当するもので廃棄される（図９ステップＳ３２４）。
【００３９】
受信したパケットの「Ｓｏｕｒｃｅ  Ａｄｄｒｅｓｓ」フィールドの情報が「ＭＡＣアドレス」のいずれかと一致した場合には（図８ステップＳ３２３：Ｙ）、そのパケットの「Ｔｙｐｅ」フィールドの情報の読み出しが行われる（ステップＳ３２５）。これが「０ｘ０８０６」であれば、その送出するパケットがＡＲＰ（Address Resolution Protocol）パケットであることが分かる（ステップＳ３２６：Ｙ）。
【００４０】
ここでＡＲＰパケットについて説明する。イーサネット（登録商標）上での通信は、たとえその上位の通信でＩＰアドレスを使用しても、最終的にはＭＡＣアドレスを使用した通信が行われる。そこで、ＭＡＣアドレスを取得するために、ＩＰアドレスをパケットにセットして、同一ネットワーク上の全ノードにブロードキャストするＡＲＰパケットが存在している。
【００４１】
送出するパケットがＡＲＰ要求あるいはそのＡＲＰ要求に対する応答（リプライ）としてのＡＲＰパケットであると判別された場合には（ステップＳ３２６：Ｙ）、更に、そのパケットのＡＲＰフィールド内の「Ｓｅｎｄｅｒ  Ｈａｒｄｗａｒｅ  Ａｄｄｒｅｓｓ」フィールドを読み出す（ステップＳ３２７）。そしてこれが図６に示した動的入力管理テーブル１７１に登録した「ＭＡＣアドレス」と同一であるかどうかをチェックする（図９ステップＳ３２８）。同じでなければ（Ｎ）、送信元のユーザ端末が存在しないことになるので、その受信したパケットは動的入力フィルタ部１６３1〜１６３Jのうちの該当するもので廃棄される（ステップＳ３２４）。
【００４２】
これに対して、ステップＳ３２８で同一のアドレスが動的入力管理テーブル１７１に存在した場合には（Ｙ）、そのパケットの「Ｓｅｎｄｅｒ  Ｐｒｏｔｏｃｏｌ  Ａｄｄｒｅｓｓ」フィールドを読み出す（ステップＳ３２９）。そして、これが、動的入力管理テーブル１７１に登録された「ＩＰアドレス」と同一であるかどうかをチェックする（ステップＳ３３０）。同一であれば（Ｙ）、そのパケットは静的入力フィルタ部１６４1〜１６４Jのうちの該当するものに送られて、従来から行われているような静的なフィルタリングが行われる（ステップＳ３３１）。同一ではなかった場合（ステップＳ３３０：Ｎ）、そのパケットは動的入力フィルタ部１６３1〜１６３Jのうちの該当するもので廃棄されることになる（ステップＳ３２４）。
【００４３】
図８のステップＳ３２６でイーサヘッダ内の「Ｔｙｐｅ」フィールドが「０ｘ０８０６」ではなかった場合、すなわち送出するパケットがＡＲＰパケットではなった場合（Ｎ）、「Ｔｙｐｅ」フィールドが「０ｘ０８００」であるかどうかのチェックが行われる（図９ステップＳ３３２）。「Ｔｙｐｅ」フィールドが「０ｘ０８００」の場合には、そのパケットはＩＰパケットである。そこでこの場合には（Ｙ）、送信するそのパケットのＩＰパケットヘッダ内の「Ｓｏｕｒｃｅ  Ａｄｄｒｅｓｓ」を読み出す（ステップＳ３３３）。そして、これが動的入力管理テーブル１７１に登録された「ＩＰアドレス」と同一であるかどうかをチェックする（ステップＳ３３０）。同一の場合にはステップ３３１に進んでそのパケットは静的入力フィルタ部１６４1〜１６４Jのうちの該当するものに送られる。同一でない場合、そのパケットは廃棄されることになる（ステップＳ３２４）。
【００４４】
一方、ステップＳ３３２で「Ｔｙｐｅ」フィールドが「０ｘ０８００」でなかった場合（Ｎ）、そのパケットは静的入力フィルタ部１６４1〜１６４Jのうちの対応するものに送られることになる。すなわち、この場合には受信したパケットがＡＲＰパケットでもＩＰパケットでもない他のパケットの場合である。そこで本実施例ではその処理を動的入力フィルタ部１６３1〜１６３Jでは行わず、静的入力フィルタ部１６４1〜１６４Jの処理に任せることにしている（ステップＳ３３１）。静的入力フィルタ部１６４1〜１６４Jは、たとえばこのようなパケットを廃棄することになる。
【００４５】
このようにして静的入力フィルタ部１６４1〜１６４Jに送られたパケットは、ここで更に必要なフィルタリングが行われる。そして、ブリッジフォワーダ１３５に入力された後、アップリンク回線１３０に送出され、あるいは動的出力フィルタ部１６７1〜１６７Jに出力されることになる。
【００４６】
なお、以上説明した実施例では、ＤＨＣＰ処理部が加入者回線収容装置の内部に存在して、これにより取得したＩＰアドレス等のアドレス情報を基にして動的入力管理テーブルを作成する場合を説明したが、これに限るものではない。たとえば、ＤＨＣＰ処理部あるいはＤＨＣＰサーバが加入者回線収容装置の外に独立して存在し、その代わりに加入者回線収容装置の内部にはこれと通信して必要な情報を取得するＤＨＣＰリレーエージェントが配置されていてもよい。この場合には、ＤＨＣＰリレーエージェントを介して取得したアドレス情報を基にして、動的入力管理テーブルを作成することになる。また、加入者回線収容装置の内部にＤＨＣＰリレーエージェントが存在しない場合でも、ＤＨＣＰ処理が行われる場合には、複数の加入者回線をそれぞれ個別に終端する加入者回線終端手段を備えた加入者回線収容装置の内部にこれらのアドレス情報を伝送するパケット自体が流れること自体は確かである。したがって、これらのアドレス情報をスプーフするスプーフィング手段を加入者回線収容装置の内部に配置することで、同様に動的入力管理テーブルを作成することができる。
【００４７】
また、以上説明した実施例では、加入者回線はＤＳＬ回線の場合を説明したが、加入者回線終端手段に接続されるものであればこれに限るものではない。たとえば、光ファイバケーブルを使用した回線に対しても本発明を同様に適用することができる。また、実施例ではＩＰアドレスやＭＡＣアドレスをフィルタの条件としてチェックすることにしたが、名称の如何を問わず動的アドレスや絶対アドレスを用いて同様に入力フィルタとしての機能を持たせることができることも当然である。
【００４８】
更に実施例では動的入力管理テーブル１７１に登録した内容と照合することで、受信するパケットのフィルタリングを行うことにしたが、このような特別のテーブルを設けずに、同様のフィルタリングを行うようにする場合も本発明が適用されることは当然である。
【図面の簡単な説明】
【００４９】
【図１】本実施例でテレビジョン映像を視聴するためのマルチキャスト情報配信システムの概要を表わしたシステム構成図である。
【図２】本実施例で加入者回線収容装置とその周辺の回路構成の概要を示したブロック図である。
【図３】本実施例で加入者回線収容装置の要部のシステム構成を表わしたブロック図である。
【図４】本実施例で複合中継ユニットのハードウェア構成の概要を表わしたブロック図である。
【図５】本実施例で複合中継ユニットの主要な機能ブロックを示したブロック図である。
【図６】本実施例で動的入力フィルタ部に内蔵された動的入力管理テーブルの一部を表わした説明図である。
【図７】本実施例のＤＨＣＰ処理部による動的入力管理テーブルの更新処理の様子を表わした流れ図である。
【図８】本実施例の動的入力フィルタ部によるパケットの受信制御の前半を表わした流れ図である。
【図９】本実施例の動的入力フィルタ部によるパケットの受信制御の後半を表わした流れ図である。
【符号の説明】
【００５０】
１００  マルチキャスト情報配信システム
１０２  加入者回線収容装置
１０３  ＤＳＬ加入者回線
１０６  パーソナルコンピュータ
１２７  ＤＳＬ加入者回線終端ユニット
１３０  アップリンク回線
１３５  ブリッジフォワーダ
１４１  装置制御ＣＰＵ
１４２  ネットワークプロセッサ
１６１  インターフェイス回路部
１６３  動的入力フィルタ部
１６８  ＤＨＣＰ処理部
１７１  動的入力管理テーブル
【図１】
2006094417.tif 000003
【図２】
2006094417.tif 000004
【図３】
2006094417.tif 000005
【図４】
2006094417.tif 000006
【図５】
2006094417.tif 000007
【図６】
2006094417.tif 000008
【図７】
2006094417.tif 000009
【図８】
2006094417.tif 000010
【図９】
2006094417.tif 000011