(57)【要約】  本開示は、ネットワークアクセス制御方法及び装置を提供する。当該ネットワークアクセス制御方法によれば、集約スイッチは、本設備上で、第１ネットワークセグメントと第２ネットワークセグメントとを含み、前記第１ネットワークセグメントと前記第２ネットワークセグメントとは同一ユーザグループに対応するか、又は、異なるユーザグループに対応するか、又は、前記第１ネットワークセグメントはユーザグループに対応し、前記第２ネットワークセグメントはリソースグループに対応する、ＡＣＬルールを配置する。集約スイッチは、アクセススイッチが送信したユーザ端末からのユーザパケットを受信した後、当該ユーザパケットのソースＩＰアドレスを当該ＡＣＬルールにおける第１ネットワークセグメントにマッチングさせ、当該ユーザパケットのディスティネーションＩＰアドレスを当該ＡＣＬルールにおける第２ネットワークセグメントにマッチングさせる。前記ユーザパケットのソースＩＰアドレスが前記第１ネットワークセグメントにマッチングし、且つ前記ユーザパケットのディスティネーションＩＰアドレスが前記第２ネットワークセグメントにマッチングする場合、当該ユーザパケットを破棄する。
2019516320.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークアクセス制御方法であって、
集約スイッチは、本設備上で、第１ネットワークセグメントと第２ネットワークセグメントとを含みアクセス制御リスト（ＡＣＬ）ルールを配置し、前記第１ネットワークセグメントと前記第２ネットワークセグメントとは同一ユーザグループに対応するか、又は、異なるユーザグループに対応するか、又は、前記第１ネットワークセグメントはユーザグループに対応し、前記第２ネットワークセグメントはリソースグループに対応するステップと、
前記集約スイッチは、アクセススイッチが送信した、ユーザ端末からのユーザパケットを受信するステップと、
前記集約スイッチは、ユーザが属するユーザグループに関連付けられた仮想ローカルエリアネットワーク（ＶＬＡＮ）に対応するネットワークセグメントにおけるＩＰアドレスである、前記ユーザパケットのソースインターネットプロトコル（ＩＰ）アドレスと前記ＡＣＬルールにおける前記第１ネットワークセグメントを比較し、前記ユーザパケットのディスティネーションＩＰアドレスと前記ＡＣＬルールにおける前記第２ネットワークセグメントを比較するステップと、
前記ユーザパケットのソースＩＰアドレスが前記第１ネットワークセグメントにマッチングし、且つ前記ユーザパケットのディスティネーションＩＰアドレスが前記第２ネットワークセグメントにマッチングする場合、前記集約スイッチは、前記ユーザパケットを破棄するステップとを含むことを特徴とする、方法。
【請求項２】
前記集約スイッチは、ソフトウェア定義ネットワークＳＤＮコントローラが送信した、ユーザグループに対応するＶＬＡＮの識別子を受信するステップと、
前記集約スイッチは、本設備上で、ユーザグループに対応するＶＬＡＮ、ＶＸＬＡＮを配置し、前記ＶＬＡＮ、ＶＸＬＡＮ及びネットワークセグメントの間の対応関係を確立し、前記ＶＸＬＡＮのゲートウェイＩＰアドレス及び媒体アクセス制御（ＭＡＣ）アドレスを配置するステップとを更に含むことを特徴とする、請求項１に記載の方法。
【請求項３】
前記ユーザパケットのソースＩＰアドレスが前記第１ネットワークセグメントにマッチングしないか、及び/又は、前記ユーザパケットのディスティネーションＩＰアドレスが前記第２ネットワークセグメントにマッチングしない場合、前記集約スイッチは、前記ディスティネーションＩＰアドレスに基づいてルーティングテーブルで対応するエグレスインターフェイスを検索するステップと、
検索されたエグレスインターフェイスが本設備のダウンストリームポートである場合、前記集約スイッチは、検索されたダウンストリームポートを介して前記ユーザパケットを転送するステップと、
検索されたエグレスインターフェイスがＶＸＬＡＮトンネルインターフェイスである場合、前記集約スイッチは、前記ユーザパケットにカプセルされたＶＬＡＮの識別子に対応するＶＸＬＡＮの識別子を検索し、前記ユーザパケットをＶＸＬＡＮカプセル化して転送するステップとを更に含むことを特徴とする、請求項２に記載の方法。
【請求項４】
前記アクセススイッチが送信したユーザパケットを受信する前に、前記集約スイッチは、前記アクセススイッチが送信した、ターゲットＩＰアドレスに対するアドレス解決プロトコルＡＲＰ要請パケットを受信するステップと、
前記集約スイッチは、当該ＡＲＰ要請パケットにカプセルされたＶＬＡＮの識別子に基づいて当該ＶＬＡＮに対応するネットワークセグメントのゲートウェイを確定するステップと、
前記集約スイッチは、前記ターゲットＩＰアドレス及び前記ＡＲＰ要請パケットのソースＩＰアドレスに基づいて、前記ＡＲＰ要請パケットのディスティネーションＩＰアドレスを確定するステップとを更に含むことを特徴とする、請求項２に記載の方法。
【請求項５】
前記ＡＲＰ要請パケットのディスティネーションＩＰアドレスが前記確定されたゲートウェイのＩＰアドレスである場合、前記集約スイッチは、前記確定されたゲートウェイのＭＡＣアドレスをＡＲＰ応答パケットにキャリーして前記アクセススイッチに送信するステップと、
前記ＡＲＰ要請パケットのディスティネーションＩＰアドレスが前記確定されたゲートウェイのＩＰアドレスでない場合、前記確定されたゲートウェイにＡＲＰプロキシ機能が配置されている時、前記集約スイッチは、前記確定されたゲートウェイのＭＡＣアドレスをＡＲＰ応答パケットにキャリーして前記アクセススイッチに送信して、前記ユーザ端末が、前記アクセススイッチが転送した前記ＡＲＰ応答パケットを受信した後、前記ターゲットＩＰアドレスと当該ゲートウェイのＭＡＣアドレスの対応関係を確立し、前記アクセススイッチにディスティネーションＩＰアドレスが前記ターゲットＩＰアドレスであり且つディスティネーションＭＡＣアドレスが前記確定されたゲートウェイのＭＡＣアドレスであるユーザパケットを送信するようにするステップとを更に含むことを特徴とする、請求項４に記載の方法。
【請求項６】
前記ターゲットＩＰアドレス及び前記ＡＲＰ要請パケットのソースＩＰアドレスに基づいて、前記ＡＲＰ要請パケットのディスティネーションＩＰアドレスを確定するステップは、
前記ターゲットＩＰアドレスと前記ＡＲＰ要請パケットのソースＩＰアドレスとが同一ネットワークセグメントに属する時、前記集約スイッチは、前記ＡＲＰ要請パケットのディスティネーションＩＰアドレスを前記ターゲットＩＰアドレスとして確定するステップと、
当前記ターゲットＩＰアドレスと前記ＡＲＰ要請パケットのソースＩＰアドレスとが異なるネットワークセグメントに属する時、前記集約スイッチは、前記ＡＲＰ要請パケットのディスティネーションＩＰアドレスを前記確定されたゲートウェイのＩＰアドレスとして確定するステップとを含むことを特徴とする、請求項４に記載の方法。
【請求項７】
ネットワークアクセス制御装置であって、プロセッサと、機械可読記憶媒体とを含み、前記機械可読記憶媒体に、前記プロセッサにより実行可能な機械可読命令が記憶され、前記プロセッサは、前記機械可読命令により、
集約スイッチ上に、第１ネットワークセグメントと第２ネットワークセグメントとを含み、前記第１ネットワークセグメントと前記第２ネットワークセグメントとは同一ユーザグループに対応するか、又は、異なるユーザグループに対応するか、又は、前記第１ネットワークセグメントはユーザグループに対応し、前記第２ネットワークセグメントはリソースグループに対応する、アクセス制御リスト（ＡＣＬ）ルールを配置し、
アクセススイッチが送信したユーザ端末からのユーザパケットを受信し、
ユーザが属するユーザグループに関連付けられた仮想ローカルエリアネットワーク（ＶＬＡＮ）に対応するネットワークセグメントにおけるＩＰアドレスである、前記ユーザパケットのソースインターネットプロトコル（ＩＰ）アドレスと前記ＡＣＬルールにおける前記第１ネットワークセグメントを比較し、前記ユーザパケットのディスティネーションＩＰアドレスと前記ＡＣＬルールにおける前記第２ネットワークセグメントを比較し、
前記ユーザパケットのソースＩＰアドレスが前記第１ネットワークセグメントにマッチングし、且つ前記ユーザパケットのディスティネーションＩＰアドレスが前記第２ネットワークセグメントにマッチングする場合、前記ユーザパケットを破棄させられることを特徴とする、ネットワークアクセス制御装置。
【請求項８】
前記機械可読命令は、更に、前記プロセッサに、
ソフトウェア定義ネットワークＳＤＮコントローラが送信したユーザグループに対応するＶＬＡＮの識別子を受信し、
前記集約スイッチ上で、ユーザグループに対応するＶＬＡＮ、ＶＸＬＡＮを配置し、前記ＶＬＡＮ、ＶＸＬＡＮ及びネットワークセグメントの間の対応関係を確立し、前記ＶＸＬＡＮのゲートウェイＩＰアドレス及び媒体アクセス制御（ＭＡＣ）アドレスを配置させることを特徴とする、請求項７に記載のネットワークアクセス制御装置。
【請求項９】
前記機械可読命令は、更に、前記プロセッサに、
前記ユーザパケットのソースＩＰアドレスが前記第１ネットワークセグメントにマッチングしないか、及び/又は、前記ユーザパケットのディスティネーションＩＰアドレスが前記第２ネットワークセグメントにマッチングしない場合、前記ディスティネーションＩＰアドレスに基づいてルーティングテーブルで対応するエグレスインターフェイスを検索し、
検索されたエグレスインターフェイスが前記集約スイッチのダウンストリームポートである場合、検索されたダウンストリームポートを介して前記ユーザパケットを転送し、
検索されたエグレスインターフェイスがＶＸＬＡＮトンネルインターフェイスである場合、前記ユーザパケットにカプセルされたＶＬＡＮの識別子に対応するＶＸＬＡＮの識別子を検索し、前記ユーザパケットに対してＶＸＬＡＮカプセル化を行った後、転送させることを特徴とする、請求項８に記載の装置。
【請求項１０】
前記機械可読命令は、更に、前記プロセッサに、
前記アクセススイッチが送信したユーザパケットを受信する前に、前記アクセススイッチが送信したターゲットＩＰアドレスに対するアドレス解決プロトコルＡＲＰ要請パケットを受信し、
当該ＡＲＰ要請パケットにカプセルされたＶＬＡＮの識別子に基づいて当該ＶＬＡＮに対応するネットワークセグメントのゲートウェイを確定し、
前記ターゲットＩＰアドレス及び前記ＡＲＰ要請パケットのソースＩＰアドレスに基づいて、前記ＡＲＰ要請パケットのディスティネーションＩＰアドレスを確定させることを特徴とする、請求項８に記載の装置。
【請求項１１】
前記機械可読命令は、更に、前記プロセッサに、
前記ＡＲＰ要請パケットのディスティネーションＩＰアドレスが確定されたゲートウェイのＩＰアドレスである場合、確定されたゲートウェイのＭＡＣアドレスをＡＲＰ応答パケットにキャリーして前記アクセススイッチに送信し、
前記ＡＲＰ要請パケットのディスティネーションＩＰアドレスが確定されたゲートウェイのＩＰアドレスでない場合、確定されたゲートウェイにＡＲＰプロキシ機能が配置されている時、確定されたゲートウェイのＭＡＣアドレスをＡＲＰ応答パケットにキャリーして前記アクセススイッチに送信して、前記ユーザ端末が、前記アクセススイッチが転送した前記ＡＲＰ応答パケットを受信した後、前記ターゲットＩＰアドレスと当該ゲートウェイのＭＡＣアドレスの対応関係を確立し、前記アクセススイッチにディスティネーションＩＰアドレスが前記ターゲットＩＰアドレスであり且つディスティネーションＭＡＣアドレスが確定されたゲートウェイのＭＡＣアドレスである前記ユーザパケットを送信するようにさせることを特徴とする、請求項１０に記載の装置。
【請求項１２】
前記ターゲットＩＰアドレス及び前記ＡＲＰ要請パケットのソースＩＰアドレスに基づいて前記ＡＲＰ要請パケットのディスティネーションＩＰアドレスを確定する時、前記機械可読命令は、更に、前記プロセッサに、
前記ターゲットＩＰアドレスと前記ＡＲＰ要請パケットのソースＩＰアドレスとが同一ネットワークセグメントに属する時、前記ＡＲＰ要請パケットのディスティネーションＩＰアドレスを前記ターゲットＩＰアドレスとして確定し、
前記ターゲットＩＰアドレスと前記ＡＲＰ要請パケットのソースＩＰアドレスとが異なるネットワークセグメントに属する時、前記ＡＲＰ要請パケットのディスティネーションＩＰアドレスを確定されたゲートウェイのＩＰアドレスとして確定させることを特徴とする、請求項１０に記載の装置。
【発明の詳細な説明】
【背景技術】
【０００１】
関連する出願の参照
本開示は、２０１６年４月２９日に提出された中国特許出願第２０１６１０２８８６８８.７号の優先権を主張するものであり、当該出願の内容は全て本文に取り込まれる。
【０００２】
企業ネットワークにおいて、情報安全を勘案した上で、通常、ユーザに対して分類を行い、すべてのユーザを複数のユーザグループに分ける。同一ユーザグループ内のユーザは、同一のネットワークアクセス権限を有し、異なるユーザグループ内のユーザは、異なるネットワークアクセス権限を有する。
【０００３】
予めアクセススイッチ上でＶＬＡＮ（Vｉｒｔｕａｌ  Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ、仮想ローカルエリアネットワーク）及びＡＣＬ（Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ  Ｌｉｓｔ、アクセス制御リスト）ルールを配置し、異なるＡＣＬルールは、異なるＶＬＡＮに対応するネットワークアクセス権限を限定するために用いられる。
【図面の簡単な説明】
【０００４】
【図１】本開示の一例示的例が示す企業ネットワークのネットワークアーキテクチャの模式図である。
【図２】本開示の一例示的例が示す集約スイッチによるＡＲＰ要請パケットに対する処理フローチャートである。
【図３】本開示の一例示的例が示す集約スイッチによる用戸パケットに対するネットワークアクセス制御の処理フローチャートである。
【図４】本開示の一例示的例が示すネットワークアクセス制御装置のハードウェアアーキテクチャの模式図である。
【図５】本開示の一例示的例が示すネットワークアクセス制御装置の構造模式図である。
【図６】本開示の一例示的例が示すネットワークアクセス制御装置の別の構造模式図である。
【図７】本開示の一例示的例が示すネットワークアクセス制御装置のまた別の構造模式図である。
【発明を実施するための形態】
【０００５】
ここで、添付図面を結合しながら例示的例を説明する。下記の説明が図面を言及する時、特に明示しない限り、異なる図面における同様な数字は、同様又は類似な要素を示す。下記の例示的例に記述される例は、本開示と一致するすべての例を示すものではない。逆に、これれは、ただ添付される特許請求範囲に詳述されるような本開示の幾つかの側面と一致する装置及び方法の例である。
【０００６】
本開示の以下の例は、ネットワークアクセス制御方法及び当該方法を応用可能な装置を提供する。
【０００７】
本開示の例は、企業ネットワークに応用される。通常、企業ネットワークは、次の数種類の設備、即ち、アクセススイッチと、集約スイッチと、コアスイッチとを含むとが可能である。コアスイッチは、集約スイッチに接続され、集約スイッチは、アクセススイッチに接続され、アクセススイッチは、ユーザによってアクセスされる。集約スイッチ及びコアスイッチにオーバーレイ（Ｏｖｅｒｌａｙ、重ね合わせ仮想化）技術を応用する。
【０００８】
また、一つの企業ネットワークは、複数のサブネットワークを含み、例えば、図１に示すように、当該企業ネットワークは、本部ネットワーク及び支部ネットワークを含む。当該本部ネットワークは、アクセススイッチ１０１ａ乃至１０１ｅ、集約スイッチ１０２ａ乃至１０２ｃ、コアスイッチ１０３ａ及び１０３ｂを含む。当該支部ネットワークは、アクセススイッチ２０１a乃至２０１ｅ、集約スイッチ２０２ａ至２０２ｃ及びコアスイッチ２０３ａ乃至２０３ｂを含む。集約スイッチ及びコアスイッチにオーバーレイ技術を応用する。上記の集約スイッチとコアスイッチとは、同一サブネットワークに属しても良いし、異なるサブネットワークに属しても良い。本開示の例において、アクセススイッチは、ただ情報交換機能を有するネットワーク設備を一般的に指し、イーサネット（登録商標）スイッチ、無線アクセスコントローラ（ＡＣ）等である。当該企業ネットワークは、データセンタにアクセス可能である。図１に示すように、データセンタは、データセンタサーバ１０４ａ乃至１０４ｃ及びデータセンタスイッチ１０５ａを含む。
【０００９】
オーバーレイ技術は、既存の物理ネットワーク上にまた一つの仮想ネットワークを重ね合わせることを意味する。一般的に、当該仮想ネットワークは仮想２層ネットワークであり、このようにして、配置の簡素化、ユーザ移行等の利点を得ることができる。典型的なオーバーレイ技術には、主に、ＶＸＬＡＮ（Ｖｉｒｔｕａｌ  ｅＸｔｅｎｓｉｂｌｅ  ＬＡＮ、拡張可能仮想ＬＡＮ）、ＮＶＧＲＥ（Ｎｅｔｗｏｒｋ  Ｖｉｒｔｕａｌ  Ｇｅｎｅｒｉｃ  Ｒｏｕｔｉｎｇ  Ｅｎｃａｐｓｕｌａｔｉｏｎ、汎用ルーティングを使用してカプセル化したネットワーク仮想化）及びＳＴＴ（Ｓｔａｔｅｌｅｓｓ  Ｔｒａｎｓｆｅｒ  Ｔｕｎｎｅｌ、ステートレス伝送トンネル）等がある。
【００１０】
オーバーレイ技術を応用することにより、全体のネットワークを仮想の２層ネットワークに構築し、図１に示すように、当該仮想の２層ネットワークは、本部ネットワーク及び支部ネットワークを含む企業ネットワークをカバーできるばかりではなく、ＷＡＮ（Ｗｉｄｅ  Ａｒｅａ  Ｎｅｔｗｏｒｋ、広域ネットワーク）もカバーでき、ＷＡＮを跨って本部ネットワークと支部ネットワークを相互接続させることができ、エンドツーエンドの大きい２層ネットワークを形成する。
【００１１】
ＶＸＬＡＮ技術を例として、図１に示すような企業ネットワークにおいて、同一サブネットワークにおける集約スイッチの間、異なるサブネットワークにおける集約スイッチの間、同一サブネットワークにおける集約スイッチとコアスイッチの間、異なるサブネットワークにおける集約スイッチとコアスイッチの間にＶＸＬＡＮトンネルを確立する。
【００１２】
制御プレーン上で、ＥＶＰＮ（Ｅｔｈｅｒｎｅｔ（登録商標）  ＶＰＮ、イーサネット仮想専用ネットワーク）机制により、ルーティングとＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ、媒体アクセス制御）アドレス情報を同期させ、ブロードキャストパケットを抑制する。
【００１３】
本開示の例のネットワークアクセス制御方法は、以下の内容を含む。即ち、
ソフトウェア定義ネットワーク（ＳＤＮ）コントローラは、配置情報を受信して保存し、当該配置情報は、ユーザグループ情報、リソースグループ情報及び各種のアクセス制御ポリシーを含む。静的配置の方式によりＳＤＮコントローラ上で上記の配置情報を配置する。
【００１４】
ユーザグループ情報は、表１が示すとおりであり、リソースグループ情報は、表２が示すとおりである。
【００１５】
【表１】
2019516320.tif 000003
【００１６】
表１から分かるように、ユーザグループ情報は、ユーザグループ識別子及びその対応するＶＬＡＮ（仮想ローカルエリアネットワーク）識別子と、ＶＸＬＡＮ識別子と、ネットワークセグメントとを含む。一つのユーザグループは、一つのＶＬＡＮ、一つのＶＸＬＡＮ及び一つのネットワークセグメントに対応することが明らかである。
【００１７】
実際実施過程において、ユーザの身元に従ってすべてのユーザに対してグルーピングを行う。明らかに、ユーザ年齢、ユーザが属する区域等の他の方式によってグルーピングを行っても良く、本開示の例は、これに対して限定しない。同一ユーザグループ内のユーザは、同一のネットワークアクセス権限を有し、異なるユーザグループ内のユーザは、異なるネットワークアクセス権限を有する。
【００１８】
【表２】
2019516320.tif 000004
【００１９】
表２から分かるように、リソースグループ情報は、リソースグループ識別子及び当該リソースグループに含まれるデータセンタサーバのＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃａｌ、インターネットプロトコル）アドレスを含む。一つのリソースグループ識別子は、少なくとも一つのデータセンタサーバのＩＰアドレスに対応する。複数のＩＰアドレスに対応する時、これらのＩＰアドレスは、一つのネットワークセグメントにおけるすべてのＩＰアドレス可能である。例えば、データセンタに３台のサーバａ、ｂ、ｃがあると仮定すると、リソースグループ１は、サーバａを含み、リソースグループ２は、サーバｂ及びサーバｃを含み、サーバｂ及びサーバｃのＩＰアドレスは、同一ネットワークセグメントに属する。
【００２０】
各種のアクセス制御ポリシーを表３とおりに視覚的に表す。
【００２１】
【表３】
2019516320.tif 000005
【００２２】
表３から分かるように、各種のアクセス制御ポリシーは、同一ユーザグループ内のアクセス制御ポリシー、異なるユーザグループ間のアクセス制御ポリシー、ユーザグループとリソースグループの間のアクセス制御ポリシーのうちの1つまたは複数を含む。表３において、第ｍ行第ｎ列に対応する位置に拒否が標記された場合、第ｍ行に対応するユーザグループと第ｎ列に対応するユーザグループ内のユーザの間の相互アクセスを禁止するを示すか、或いは、第ｍ行に対応するユーザグループが第ｎ列に対応するリソースグループ内のデータセンタサーバにアクセスするのを禁止することを示すために用いられる。第ｍ行に対応するユーザグループと第ｎ列に対応するユーザグループとが同一ユーザグループである時、同一ユーザグループ内のアクセス制御を実現する。第ｍ行に対応するユーザグループと第ｎ列に対応するユーザグループとが同一ユーザグループではない時、異なるユーザグループ間のアクセス制御を実現する。
【００２３】
明らかに、第ｍ行、第ｎ列に対応する位置に拒否が標記されていない場合、アクセスを許可することを示す。
【００２４】
例えば、表３において、第４行第２列に対応する位置に拒否が標記されており、ユーザグループ１とユーザグループ３内のユーザの間の相互アクセスを禁止することを示すために用いられ、第３行第３列に対応する位置に拒否が標記されており、ユーザグループ２内のユーザ間の相互アクセスを禁止することを示すために用いられ、第２行第６列に対応する位置に拒否が標記されており、ユーザグループ１内のユーザがリソースグループ２内のデータセンタサーバにアクセスするのを禁止することを示すために用いられる。表２を結合して分かるように、即ち、ＩＰアドレスがネットワークセグメント１０.２００.０.０/２４に属するデータセンタサーバへのアクセスするのを禁止する。
【００２５】
ＳＤＮコントローラは、ユーザグループ情報、リソースグループ情報及び各種のアクセス制御ポリシーにおける相応する内容をネットワークにおける各々の設備、例えば、アクセススイッチ、集約スイッチ、コアスイッチ及びＤＨＣＰ（Ｄｙｎａｍｉｃ  Ｈｏｓｔ  Ｃｏｎｆｉｇｕｒａｔｉｏｎ  Ｐｒｏｔｏｃａｌ、動的ホスト配置プロトコル）サーバ等に送信して、これらの設備が相応する配置を行うようにする。配置過程は、次のとおりである。
【００２６】
ＳＤＮコントローラは、すべてのユーザグループに対応するＶＬＡＮの識別子をすべてのアクセススイッチに送信する。各々のアクセススイッチは、ＶＬＡＮの識別子を受信した後、本設備上で当該ＶＬＡＮを配置し、本設備上の集約スイッチに接続されるアップストリームポートを、当該ＶＬＡＮに属するパケットを送信するのを許可すると配置し、従って、アクセススイッチは、アップストリームポートを介してＶＬＡＮの識別子でカプセルされて得たパケットを送信する。
【００２７】
ＳＤＮコントローラは、ユーザグループに対応するＶＬＡＮの識別子をすべての集約スイッチに送信する。各々の集約スイッチは、ＶＬＡＮの識別子を受信した後、本設備上で当該ＶＬＡＮを配置し、本設備上のアクセススイッチに接続されるダウンストリームポートを、当該ＶＬＡＮに属するパケットを受信するのを許可すると配置し、従って、集約スイッチは、ダウンストリームポートから当該ＶＬＡＮの識別子を有するパケットを受信することができる。各々の集約スイッチは、集約スイッチ上ですべてのユーザグループに対応するＶＸＬＡＮを配置し、ＶＬＡＮ、ＶＸＬＡＮ及びネットワークセグメントの間の対応関係を確立することができる。各々の集約スイッチは、集約スイッチ上でＶＸＬＡＮのゲートウェイのＩＰアドレス及びＭＡＣアドレスを配置することができる。各々の集約スイッチは、ＶＸＬＡＮに対応するＶＸＬＡＮ仮想インターフェイスをＶＸＬＡＮに対応するネットワークセグメントのゲートウェイとして配置することができる。従って、各々の集約スイッチにすべてのネットワークセグメントのゲートウェイが配置されていることができる。このように、ユーザがどこへ移動しても、アクセススイッチを介してどの集約スイッチにアクセスしても、当該集約スイッチ上には、当該ユーザに対応するＩＰアドレスが属するネットワークセグメントのゲートウェイが配置されている。
【００２８】
ＳＤＮコントローラは、すべてのユーザグループに対応するＶＸＬＡＮの識別子をすべてのコアスイッチに送信する。各々のコアスイッチは、ＶＸＬＡＮの識別子を受信した後、本設備で当該ＶＸＬＡＮ及びその３層ゲートウェイアドレスを配置する。また、コアスイッチは、ルーティングプロトコルにより、データセンタスイッチ等の外部設備とのルーティング接続を配置することも可能である。
【００２９】
ＳＤＮコントローラは、表３が示すような各種のアクセス制御ポリシーをすべての集約スイッチに送信する。各々の集約スイッチは、これらの内容を受信した後、本設備上で対応するＡＣＬルールを配置する。当該ＡＣＬルールは、第１ネットワークセグメントと第２ネットワークセグメントとを含み、前記第１ネットワークセグメントと前記第２ネットワークセグメントとは同一ユーザグループに対応するか、又は、異なるユーザグループに対応するか、又は、前記第１ネットワークセグメントはユーザグループに対応し、前記第２ネットワークセグメントはリソースグループに対応する。
【００３０】
第１ネットワークセグメントと第２ネットワークセグメントとが同一ユーザグループに対応する時、当該ＡＣＬルールは、同一ユーザグループ内のユーザ間の相互アクセスを禁止するために用いられ、第１ネットワークセグメントと第２ネットワークセグメントとが異なるユーザグループに対応する時、当該ＡＣＬルールは、異なるユーザグループ内のユーザ間の相互アクセスを禁止するために用いられ、第１ネットワークセグメントがユーザグループに対応し、第２ネットワークセグメントがリソースグループに対応する時、当該ＡＣＬルールは、当該ユーザグループ内のユーザが当該リソースグループにおけるデータセンタサーバにアクセスするのを禁止するために用いられることが分かる。
【００３１】
例えば、表３が示すアクセス制御ポリシーに従って配置されたＡＣＬルールは、以下のとおりである。
【００３２】
ＡＣＬ１  拒否 ソース １０.１０.１.１/２４ ディスティネーション １０.２００.０.０/２４
ＡＣＬ２  拒否 ソース １０.２０.１.１/２４ ディスティネーション １０.２０.１.１/２４
ＡＣＬ３  拒否 ソース １０.２０.１.１/２４ ディスティネーション １０.３０.１.１/２４
ＡＣＬ４  拒否 ソース １０.３０.１.１/２４ ディスティネーション １０.２０.１.１/２４
ＡＣＬ５  拒否 ソース １０.３０.１.１/２４ ディスティネーション １０.１０.１.１/２４
ＡＣＬ６  拒否 ソース １０.１０.１.１/２４ ディスティネーション １０.３０.１.１/２４
ＡＣＬ７  拒否 ソース １０.３０.１.１/２４ ディスティネーション １０.１００.０.０/２４
ＡＣＬ１は、ユーザグループ１内のユーザがリソースグループ２内のデータセンタサーバにアクセスするのを禁止するために用いられ、ＡＣＬ２は、ユーザグループ２内のユーザ間の相互アクセスを禁止するために用いられ、ＡＣＬ３及びＡＣＬ４は、ユーザグループ２及びユーザグループ３内のユーザ間の相互アクセスを禁止するために用いられ、ＡＣＬ５及びＡＣＬ６は、ユーザグループ１及びユーザグループ３内のユーザ間の相互アクセスを禁止するために用いられ、ＡＣＬ７は、ユーザグループ３内のユーザがリソースグループ１内のデータセンタサーバにアクセスするのを禁止するために用いられる。
【００３３】
ＳＤＮコントローラは、ユーザグループとＶＬＡＮの間の対応関係を配置する。また、認証サーバに、ユーザとユーザグループの間の対応関係が配置され、従って、認証サーバにユーザ、ユーザグループ及びＶＬＡＮの間の対応関係が保存されている。
【００３４】
ＳＤＮコントローラは、すべてのネットワークセグメントをＤＨＣＰサーバに送信する同時に、ＶＬＡＮとアドレスプールの対応関係を配置する。各々のネットワークセグメントのＩＰアドレスをそれぞれ一つのアドレスプールに保存し、ＶＬＡＮとアドレスプールの間の対応関係を確立する。
【００３５】
同一ユーザグループ内のアクセス制御を実現するために、アクセススイッチ上でポート隔離機能をイネーブルし、集約スイッチ上で異なる仮想通路（アクセススイッチの物理ポートが属するＶＬＡＮが集約スイッチ上で仮想通路に変換）の間の隔離をイネーブルする。このように、アクセススイッチは、パケットをユーザポートから受信し、集約スイッチに接続されるアップストリームポートのみを介して集約スイッチに転送し、ネットワークアクセス制御を行うことができる。また、アクセススイッチ上でポート隔離機能をイネーブルしたので、ユーザが送信したＡＲＰ（Ａｄｄｒｅｓｓ  Ｒｅｓｏｌｕｔｉｏｎ  Ｐｒｏｔｏｃａｌ、アドレス解決プロトコル）要請パケットは、集約スイッチのみに転送されることができる。そのため、集約スイッチ上の各々のゲートウェイにＡＲＰプロキシ（ｐｒｏｘｙ）機能を配置することができる。このように、集約スイッチは、当該ＡＲＰ要請パケットを受信した後、当該ＡＲＰ要請パケットに対して応答する。
【００３６】
上記の配置過程を完成した後、ユーザは、アクセス認証を行い、認証が成功した後、ネットワークにアクセスすることができる。
【００３７】
任意のユーザに対するアクセス認証を行う過程において、認証サーバは、当該ユーザが属するユーザグループを確定し、当該ユーザグループに対応するＶＬＡＮを更に確定し、当該ＶＬＡＮの識別子をアクセススイッチに送信する。アクセススイッチは、当該ＶＬＡＮの識別子を受信した後、本設備上の、当該ユーザがアクセスするためのユーザポートを当該ＶＬＡＮに追加する。後続的に、当該ユーザは、ＩＰアドレスを申請する。集約スイッチは、当該ユーザが送信したアドレス申請パケットを受信した後、当該アドレス申請パケットを受信したユーザポートが属するＶＬＡＮを確定する。そして、集約スイッチは、当該アドレス申請パケットに当該ＶＬＡＮの識別子をカプセルした後、当該ＶＬＡＮの識別子を有しるアドレス申請パケットをＤＨＣＰサーバに送信する。ＤＨＣＰサーバは、当該ＶＬＡＮの識別子を有しるアドレス申請パケットを受信した後、当該ＶＬＡＮの識別子を有しるアドレス申請パケットにカプセルされたＶＬＡＮの識別子に対応するネットワークセグメントを検索し、当該ネットワークセグメントから占用されていないＩＰアドレスを選び、応答パケットにキャリーして当該集約スイッチに送信し、当該集約スイッチを介して当該応答パケットを当該ユーザに転送する。従って、当該ユーザは、所属するユーザグループに対応するネットワークセグメントにおけるＩＰアドレスを取得できる。
【００３８】
任意のユーザにとって、当該ユーザが属するユーザグループが変わらない限り、当該ユーザがどこからアクセスしても、当該ユーザは当該ユーザグループに対応するネットワークセグメントにおけるＩＰアドレスを取得でき、即ち、当該ユーザのＩＰアドレスは、常に同一ネットワークセグメントにおけるＩＰアドレスである。このため、当該ユーザが送信したパケットも常に当該ネットワークセグメントを含むＡＣＬルールに命中できる。
【００３９】
ＩＰアドレスを取得した後、当該ユーザはＩＰアドレスがＩＰ１（ＩＰ１は、ターゲットＩＰアドレスである）であるデータセンタサーバ又は別のユーザにユーザパケットを送信する前に、先ずＩＰ１に対応するＭＡＣアドレスを取得する。この時、ＩＰ１と当該ユーザのＩＰアドレスとが同一ネットワークセグメントに属するか否かを判断する。そうである場合、ソースＩＰアドレスが当該ユーザのＩＰアドレスであり且つディスティネーションＩＰアドレスがＩＰ１であるＡＲＰ要請パケットを送信する。同一ネットワークセグメントではない場合、ソースＩＰアドレスが当該ユーザのＩＰアドレスであり且つディスティネーションＩＰアドレスが当該ユーザのＩＰアドレスが属するネットワークセグメントのゲートウェイＩＰアドレスであるＡＲＰ要請パケットを送信する。
【００４０】
アクセススイッチは、当該ＡＲＰ要請パケットを受信した後、当該ＡＲＰ要請パケットを受信したユーザポートが属するＶＬＡＮを確定し、当該ＡＲＰ要請パケットに当該ＶＬＡＮの識別子をカプセルする。ポート隔離機能をイネーブルしたので、アクセススイッチは、当該ＡＲＰ要請パケットを集約スイッチに送信する。
【００４１】
集約スイッチは、当該ＡＲＰ要請パケットを受信した後、図２に示すように、下記のステップを実行する。
【００４２】
ステップＳ１０１で、アクセススイッチが送信したＡＲＰ要請パケットを受信した後、当該ＡＲＰ要請パケットにカプセルされたＶＬＡＮの識別子に基づいて、当該ＶＬＡＮに対応するネットワークセグメントのゲートウェイを検索する。
【００４３】
ステップＳ１０２で、当該ＡＲＰ要請パケットのディスティネーションＩＰアドレスがステップＳ１０１で確定されたゲートウェイのＩＰアドレスであるか否かを判断し、そうである場合、ステップＳ１０３を実行し、そうでない場合、ステップＳ１０４を実行する。
【００４４】
ステップＳ１０３で、当該ゲートウェイのＭＡＣアドレスをＡＲＰ応答パケットにキャリーして当該アクセススイッチに送信し、当該アクセススイッチを介して当該ユーザに転送する。
【００４５】
ステップＳ１０４で、当該ゲートウェイにＡＲＰプロキシ機能が配置されている時、当該ゲートウェイのＭＡＣアドレスをＡＲＰ応答パケットにキャリーしてアクセススイッチに送信し、当該アクセススイッチを介して当該ユーザに転送する。明らかに、当該ゲートウェイにＡＲＰプロキシ機能が配置されていない時、応答しない。
【００４６】
当該ユーザは、当該ＡＲＰ応答パケットを受信した後、ＩＰ１と当該ゲートウェイのＭＡＣアドレスの間の対応関係を確立する。後続的に、当該ユーザは、ディスティネーションＩＰアドレスがＩＰ１であり且つディスティネーションＭＡＣアドレスが当該ゲートウェイのＭＡＣアドレスであるユーザパケットを送信する。
【００４７】
当該ユーザパケットに対してネットワークアクセス制御を行う具体的なフローは次のとおりである。
【００４８】
アクセススイッチは、当該ユーザパケットを受信した後、当該ユーザパケットを受信したユーザポートが属するＶＬＡＮを確定し、当該ユーザパケットに当該ＶＬＡＮの識別子をカプセル化し、集約スイッチに転送する。
【００４９】
図３に示すように、集約スイッチは、当該ユーザパケットを受信した後、下記のステップを実行する。
【００５０】
ステップＳ２０１で、当該ユーザパケットを受信した後、当該ユーザパケットのソースＩＰアドレスとＡＣＬルールにおける第１ネットワークセグメントを比較し、当該ユーザパケットのディスティネーションＩＰアドレスと当該ＡＣＬルールにおける第２ネットワークセグメントを比較する。
【００５１】
ステップＳ２０１で、いずれもマッチングする場合、当該ユーザパケットが当該ＡＣＬルールに命中したことを説明し、そうでない場合、当該ユーザパケットのソースＩＰアドレスが第１ネットワークセグメントにマッチングしないか、及び/又は、当該ユーザパケットのディスティネーションＩＰアドレスが第２ネットワークセグメントにマッチングしない場合、当該ユーザパケットが当該ＡＣＬルールに命中していないことを説明する。
【００５２】
ステップＳ２０２で、当該ユーザパケットが当該ＡＣＬルールに命中しているか否かを判断し、そうである場合、ステップＳ２０３を実行し、そうでない場合、ステップＳ２０４を実行する。
【００５３】
ステップＳ２０３で、当該ユーザパケットを破棄する。
ステップＳ２０４で、当該ユーザパケットを転送する。
【００５４】
具体的には、ステップＳ２０４で、当該ユーザパケットのディスティネーションＩＰアドレスに基づいてルーティングテーブルで対応するエグレスインターフェイスを検索する。検索されたエグレスインターフェイスが本設備のダウンストリームポートである場合、検索されたダウンストリームポートを介して当該ユーザパケットを転送する。検索されたエグレスインターフェイスがＶＸＬＡＮトンネルインターフェイスである場合、当該ユーザパケットにカプセルされたＶＬＡＮの識別子に対応するＶＸＬＡＮの識別子を検索し、前記ユーザパケットをＶＸＬＡＮカプセル化して転送する。
【００５５】
本開示の上記の例におけるＶＬＡＮは、いずれもユーザグループに対応するＶＬＡＮを指す。
【００５６】
本開示の上記の例の方法は、下記のような技術効果を実現する。即ち、
集約スイッチ及びコアスイッチにオーバーレイ技術を応用し、従って、一つのオーバーレイネットワークアーキテクチャ、即ち、一つの仮想の大きい２層ネットワークを構築し、ユーザ移行可能な利点を有する。
【００５７】
集約スイッチ上にＡＣＬルールが配置されており、当該ＡＣＬルールは、第１ネットワークセグメントと第２ネットワークセグメントとを含み、第１ネットワークセグメントと第２ネットワークセグメントとは、同一ユーザグループ又は異なるユーザグループに対応するネットワークセグメントであるか、又は、第１ネットワークセグメントはユーザグループに対応するネットワークセグメントであり、第２ネットワークセグメントはリソースグループに対応するネットワークセグメントである。ユーザがどこからアクセスしても、アクセス認証を行う時、当該ユーザに当該ユーザが属するユーザグループに対応するＶＬＡＮを割り当てることができ、当該ユーザに当該ＶＬＡＮに対応するネットワークセグメントにおけるＩＰアドレスを割り当てることができる。集約スイッチは、当該ユーザのユーザパケットを受信した後、当該ユーザパケットを当該ＡＣＬルールにマッチングさせ、当該ＡＣＬルールに命中する場合、当該ユーザパケットを破棄する。従って、リソースグループにおけるデータセンタサーバに対するネットワークアクセス制御を実現できるばかりではなく、同一ユーザグループ内のネットワークアクセス制御及び異なるユーザグループ間のネットワークアクセス制御を実現することもできる。
【００５８】
アクセススイッチ上で配置するのではなく、集約スイッチ上でＡＣＬルールを配置するので、集約スイッチの数量がアクセススイッチより明らかに小さいため、配置すべきＡＣＬルールの総数を減らし、配置作業量を軽減する。
【００５９】
当該ユーザ端末が属するユーザグループが変わらない限り、当該ユーザに割り当てるＶＬＡＮが変わらず、当該ユーザに割り当てるＩＰアドレスが属するネットワークセグメントも変わらない。このため、当該ユーザがどこに移動しても、当該ユーザが送信するユーザパケットは、常に当該ネットワークセグメントを含むＡＣＬルールに命中でき、当該ＡＣＬルールは、ユーザアクセス位置変化の影響を受けず、ユーザアクセス位置の変化によるＡＣＬルールのアップデートを回避する。なお、同一ユーザグループ内のネットワークアクセス制御を実現する必要がある時、一つのＡＣＬルールだけで実現でき、この時、当該ＡＣＬルールにおける第１ネットワークセグメント及び第２ネットワークセグメントは、いずれも当該ユーザグループに対応するネットワークセグメントであり、従って、配置すべきＡＣＬルールの数量を大幅に減らし、ＡＣＬリソースを節約する。
【００６０】
オーバーレイのネットワークアーキテクチャを構築したので、超大規模ネットワーク及びＷＡＮを跨るネットワークに応用できる。
【００６１】
前述のネットワークアクセス制御方法例に対応して、本開示は、ネットワークアクセス制御装置の例を更に提供する。
【００６２】
本開示ネットワークアクセス制御装置の例は、集約スイッチに応用される。装置例は、ソフトウェアにより実現されても良く、ハードウェア又はソフトウェア及びハードウェアの結合の方式により実現されても良い。ハードウェアのレベルから言えば、図４に示すように、本開示ネットワークアクセス制御装置のハードウェア構造図であって、当該ネットワークアクセス制御装置は、プロセッサ１０と、機械可読記憶媒体２０とを含む。
【００６３】
機械可読記憶媒体２０は、ネットワークアクセス制御論理に対応する機械可読命令を記憶する。
【００６４】
プロセッサ１０は、機械可読記憶媒体２０と通信し、機械可読記憶媒体２０に記憶されている機械可読命令を読み取り及び実行し、図３を参照しながら記述されたようなネットワークアクセス制御方法を実現する。
【００６５】
ここで、機械可読記憶媒体は、いかなる電子、磁性、光学又は他の物理的な記憶装置であり、例えば、実行可能な命令、データ等の情報を格納又は記憶する。例えば、機械読み取り可能な記憶媒体は、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ、ランダムアクセスメモリ）、揮発性メモリ、不揮発性メモリ、フラッシュメモリ、記憶ドライブ（例えば、ハードドライブ）、ソリッドステートディスク、いかなる類型の記憶ディスク（例えば、コンパクトディスク、ＤＶＤ等）、或いは、類似した記憶媒体又はそれらの組み合わせ等である。
【００６６】
本開示の例に、ネットワークアクセス制御装置を更に提供する。当該ネットワークアクセス制御装置は、集約スイッチに応用される。図５を参考すると、ネットワークアクセス制御装置５０は、下記のモジュールを含む。即ち、
集約スイッチ上で、第１ネットワークセグメントと第２ネットワークセグメントとを含み、第１ネットワークセグメントと第２ネットワークセグメントとは同一ユーザグループに対応するか、又は、異なるユーザグループに対応するか、又は、第１ネットワークセグメントはユーザグループに対応し、第２ネットワークセグメントはリソースグループに対応する、ＡＣＬルールを配置するための配置モジュール５０１と、
アクセススイッチが送信したユーザ端末からのユーザパケットを受信するための受信モジュール５０２と、
受信モジュール５０２がアクセススイッチが送信したユーザパケットを受信した後、ユーザが属するユーザグループに関連付けられた仮想ローカルエリアネットワーク（ＶＬＡＮ）に対応するネットワークセグメントにおけるＩＰアドレスである、当該ユーザパケットのソースＩＰアドレスと当該ＡＣＬルールにおける第１ネットワークセグメントを比較し、当該ユーザパケットのディスティネーションＩＰアドレスと当該ＡＣＬルールにおける第２ネットワークセグメントを比較するためのマッチングモジュール５０３と、
マッチングモジュール５０３により前記ユーザパケットのソースＩＰアドレスが前記第１ネットワークセグメントにマッチングし、前記ユーザパケットのディスティネーションＩＰアドレスが前記第２ネットワークセグメントにマッチングすると判断される場合、当該ユーザパケットを破棄するための処理モジュール５０４。
【００６７】
受信モジュール５０２は、更に、ＳＤＮコントローラが送信したユーザグループに対応するＶＬＡＮ的識別子を受信するために用いられる。
【００６８】
配置モジュール５０１は、更に、受信モジュール５０２がＶＬＡＮ的識別子を受信した後、集約スイッチ上でユーザグループに対応するＶＬＡＮ、ＶＸＬＡＮを配置するために用いられ、更に、前記ＶＸＬＡＮのゲートウェイＩＰアドレス及びＭＡＣアドレスを配置するために用いられる。
【００６９】
図６に示すように、ネットワークアクセス制御装置５０は、ＶＬＡＮ、ＶＸＬＡＮ及びネットワークセグメントの間の対応関係を確立するための関係確立モジュール５０５を更にを含む。
【００７０】
処理モジュール５０４は、更に、マッチングモジュール５０３により当該ユーザパケットのソースＩＰアドレスが第１ネットワークセグメントマッチングしないか、及び/又は、当該ユーザパケットのディスティネーションＩＰアドレスが第２ネットワークセグメントにマッチングしないと判断される場合、当該ディスティネーションＩＰアドレスに基づいてルーティングテーブルで対応するエグレスインターフェイスを検索し、検索されたエグレスインターフェイスが本設備のダウンストリームポートである場合、検索されたダウンストリームポートを介して当該ユーザパケットを転送し、検索されたエグレスインターフェイスがＶＸＬＡＮトンネルインターフェイスである場合、当該ユーザパケットにカプセルされたＶＬＡＮの識別子に対応するＶＸＬＡＮの識別子を検索し、当該ユーザパケットに対してＶＸＬＡＮカプセル化を行った後、転送を行うために用いられる。
【００７１】
また、図７に示すように、上記のネットワークアクセス制御装置５０は、ゲートウェイ確定モジュール５０６と、送信モジュール５０７とを更に含む。
【００７２】
受信モジュール５０２は、更に、アクセススイッチが送信したターゲットＩＰアドレスに対するＡＲＰ要請パケットを受信するために用いられる。
【００７３】
ゲートウェイ確定モジュール５０６は、受信モジュール５０２が当該ＡＲＰ要請パケットを受信した後、当該ＡＲＰ要請パケットにカプセルされたＶＬＡＮの識別子に基づいて当該ＶＬＡＮに対応するネットワークセグメントのゲートウェイを確定するために用いられる。
【００７４】
送信モジュール５０７は、当該ＡＲＰ要請パケットのディスティネーションＩＰアドレスが確定されたゲートウェイのＩＰアドレスである場合、確定されたゲートウェイのＭＡＣアドレスをＡＲＰ応答パケットにキャリーしてアクセススイッチに送信し、当該ＡＲＰ要請パケットのディスティネーションＩＰアドレスが確定されたゲートウェイのＩＰアドレスでない場合、確定されたゲートウェイにＡＲＰプロキシ機能が配置されている時、確定されたゲートウェイのＭＡＣアドレスをＡＲＰ応答パケットキャリーしてアクセススイッチに送信して、当該ユーザ端末が当該アクセススイッチが転送した当該ＡＲＰ応答パケットを受信した後、当該ターゲットＩＰアドレスと当該ゲートウェイのＭＡＣアドレスの対応関係を確立し、当該アクセススイッチにディスティネーションＩＰアドレスが当該ターゲットＩＰアドレスであり且つディスティネーションＭＡＣアドレスが確定されたゲートウェイのＭＡＣアドレスであるユーザパケットを送信するようにするために用いられる。
【００７５】
前記ターゲットＩＰアドレスと前記ＡＲＰ要請パケットのソースＩＰアドレスとが同一ネットワークセグメントに属する時、前記ゲートウェイ確定モジュール５０６は、前記ＡＲＰ要請パケットのディスティネーションＩＰアドレスを前記ターゲットＩＰアドレスとして確定し、前記ターゲットＩＰアドレスと前記ＡＲＰ要請パケットのソースＩＰアドレスとが異なるネットワークセグメントに属する時、前記ゲートウェイ確定モジュール６０６は、前記ＡＲＰ要請パケットのディスティネーションＩＰアドレスを確定されたゲートウェイのＩＰアドレスとして確定する。
【００７６】
上記の装置における各々のユニットの機能及び作用の実現過程の具体的な詳細は、上記の方法におけるステップに対応する実現過程を参照し、ここでは、繰り返し説明しない。
【００７７】
装置例は、基本的に方法例に対応するため、関連箇所は方法例の部分の説明を参照すれば良い。以上記述時された装置例は、ただ模式的なものであり、そのうち記載された分離部品として説明されたユニットは、物理的に分かれていてもいなくても良く、ユニットとして表示された部品は、物理ユニットであってもなくても良く、即ち、一つの場所に位置しても良いし、又は複数のネットワークユニットに分布されても良い。実際の必要に基づいてそのうち一部又は全部のモジュールを選んで本開示方案の目的を実現する。本分野における通常の知識を有する者は、創造的労働をせずに理解及び実施できる。
【００７８】
本開示で使用された用語は、ただ特定例を説明する目的で使用されたものであり、本開示を制限することを意図するものではない。文脈で他の意味を明確に示していない限り、本開示及び特許請求範囲に使用される単数形の「一種の」、「前記」及び「当該」は、複数形も含むことを意図する。なお、理解すべきことは、本文に使用される用語「及び／又は」は、一つ又は複数個の相互に関連する列挙項目の如何なる又はすべての可能な組み合わせを含むことを意味する。
【００７９】
理解すべきことは、本開示において、用語である第１、第２、第３等を採用して各種の情報を説明するが、これらの情報は、これらの用語に限定されるべきではない。これらの用語は、ただ同一類型の情報を相互に区別するために用いられる。例えば、本開示の範囲から逸脱せずに、第１情報は、第２情報と命名され、同様に、第２情報も、第１情報と命名される。文脈によって、ここで使用されたような単語「若し」は、「…する時」又は「…する場合」又は「…に応えて」として解釈される。
【００８０】
上記したものは、ただ本開示の好ましい例であり、本開示を限定するためのものではない。本開示の精神及び原則内で行われるいかなる修正、等価の置き換え、改善等は、全部本開示の保護範囲内に含まれるべきである。
【図１】
2019516320.tif 000006
【図２】
2019516320.tif 000007
【図３】
2019516320.tif 000008
【図４】
2019516320.tif 000009
【図５】
2019516320.tif 000010
【図６】
2019516320.tif 000011
【図７】
2019516320.tif 000012
【国際調査報告】
2019516320.tif 000013
2019516320.tif 000014
2019516320.tif 000015
2019516320.tif 000016