(57)【特許請求の範囲】
【請求項１】
自装置に加入する加入者装置から上りフレームを受信する加入者受信部と、
前記加入者受信部が上りフレームを受信した受信ポートの識別番号を検出するとともに、前記加入者受信部が受信した上りフレームから上りフレームの宛先アドレスを抽出する受信ポート識別番号宛先アドレス検出抽出部と、
自装置との通信が禁止される通信禁止装置に対して、前記加入者受信部が受信した上りフレームが転送されないように、前記受信ポート識別番号宛先アドレス検出抽出部が検出・抽出した受信ポートの識別番号及び上りフレームの宛先アドレスに基づいて、自装置が属する複数の仮想ネットワークのうちいずれを介して宛先アドレスの装置に、前記加入者受信部が受信した上りフレームが転送されるべきか判断する仮想ネットワーク判断部と、
前記加入者受信部が受信した上りフレームに、前記仮想ネットワーク判断部が選択した仮想ネットワークを示すタグを付与する仮想ネットワークタグ付与部と、
前記仮想ネットワーク判断部が選択した仮想ネットワークを介して宛先アドレスの装置に、前記仮想ネットワーク判断部が選択した仮想ネットワークを示すタグを前記仮想ネットワークタグ付与部が付与した上りフレームを転送する仮想ネットワーク送信部と、
を備えることを特徴とする転送装置。
【請求項２】
自装置が属する複数の仮想ネットワークのうちいずれかを介して、他の転送装置に加入する加入者装置から下りフレームを受信する仮想ネットワーク受信部と、
前記仮想ネットワーク受信部が受信した下りフレームから、下り通信で利用された仮想ネットワークを示すタグを削除する仮想ネットワークタグ削除部と、
自装置に加入する装置でありかつ宛先アドレスの装置である加入者装置に、前記仮想ネットワークタグ削除部が下り通信で利用された仮想ネットワークを示すタグを削除した下りフレームを転送する加入者送信部と、
をさらに備えることを特徴とする請求項１に記載の転送装置。
【請求項３】
請求項１又は請求項２に記載の転送装置と、
複数の仮想ネットワークに接続され、前記転送装置の前記仮想ネットワークタグ付与部が付与した仮想ネットワークを示すタグに基づいて、前記転送装置の前記仮想ネットワーク送信部が転送した上りフレームを宛先アドレスの装置に中継するスイッチ装置と、
を備えることを特徴とする仮想ネットワークシステム。
【請求項４】
自装置に加入する加入者装置から上りフレームを受信する加入者受信ステップと、
前記加入者受信ステップで上りフレームを受信した受信ポートの識別番号を検出するとともに、前記加入者受信ステップで受信した上りフレームから上りフレームの宛先アドレスを抽出する受信ポート識別番号宛先アドレス検出抽出ステップと、
自装置との通信が禁止される通信禁止装置に対して、前記加入者受信ステップで受信した上りフレームが転送されないように、前記受信ポート識別番号宛先アドレス検出抽出ステップで検出・抽出した受信ポートの識別番号及び上りフレームの宛先アドレスに基づいて、自装置が属する複数の仮想ネットワークのうちいずれを介して宛先アドレスの装置に、前記加入者受信ステップで受信した上りフレームが転送されるべきか判断する仮想ネットワーク判断ステップと、
前記加入者受信ステップで受信した上りフレームに、前記仮想ネットワーク判断ステップで選択した仮想ネットワークを示すタグを付与する仮想ネットワークタグ付与ステップと、
前記仮想ネットワーク判断ステップで選択した仮想ネットワークを介して宛先アドレスの装置に、前記仮想ネットワーク判断ステップで選択した仮想ネットワークを示すタグを前記仮想ネットワークタグ付与ステップで付与した上りフレームを転送する仮想ネットワーク送信ステップと、
を順に備えることを特徴とする転送装置における転送方法。
【請求項５】
自装置が属する複数の仮想ネットワークのうちいずれかを介して、他の転送装置に加入する加入者装置から下りフレームを受信する仮想ネットワーク受信ステップと、
前記仮想ネットワーク受信ステップで受信した下りフレームから、下り通信で利用された仮想ネットワークを示すタグを削除する仮想ネットワークタグ削除ステップと、
自装置に加入する装置でありかつ宛先アドレスの装置である加入者装置に、前記仮想ネットワークタグ削除ステップで下り通信で利用された仮想ネットワークを示すタグを削除した下りフレームを転送する加入者送信ステップを、
前記加入者受信ステップ、前記受信ポート識別番号宛先アドレス検出抽出ステップ、前記仮想ネットワーク判断ステップ、前記仮想ネットワークタグ付与ステップ及び前記仮想ネットワーク送信ステップと独立して、順に備えることを特徴とする請求項４に記載の転送装置における転送方法。
【請求項６】
コンピュータに転送装置として、
自装置に加入する加入者装置から上りフレームを受信する加入者受信手順と、
前記加入者受信手順で上りフレームを受信した受信ポートの識別番号を検出するとともに、前記加入者受信手順で受信した上りフレームから上りフレームの宛先アドレスを抽出する受信ポート識別番号宛先アドレス検出抽出手順と、
自装置との通信が禁止される通信禁止装置に対して、前記加入者受信手順で受信した上りフレームが転送されないように、前記受信ポート識別番号宛先アドレス検出抽出手順で検出・抽出した受信ポートの識別番号及び上りフレームの宛先アドレスに基づいて、自装置が属する複数の仮想ネットワークのうちいずれを介して宛先アドレスの装置に、前記加入者受信手順で受信した上りフレームが転送されるべきか判断する仮想ネットワーク判断手順と、
前記加入者受信手順で受信した上りフレームに、前記仮想ネットワーク判断手順で選択した仮想ネットワークを示すタグを付与する仮想ネットワークタグ付与手順と、
前記仮想ネットワーク判断手順で選択した仮想ネットワークを介して宛先アドレスの装置に、前記仮想ネットワーク判断手順で選択した仮想ネットワークを示すタグを前記仮想ネットワークタグ付与手順で付与した上りフレームを転送する仮想ネットワーク送信手順と、
を順に実行させるための転送装置プログラム。
【請求項７】
自装置が属する複数の仮想ネットワークのうちいずれかを介して、他の転送装置に加入する加入者装置から下りフレームを受信する仮想ネットワーク受信手順と、
前記仮想ネットワーク受信手順で受信した下りフレームから、下り通信で利用された仮想ネットワークを示すタグを削除する仮想ネットワークタグ削除手順と、
自装置に加入する装置でありかつ宛先アドレスの装置である加入者装置に、前記仮想ネットワークタグ削除手順で下り通信で利用された仮想ネットワークを示すタグを削除した下りフレームを転送する加入者送信手順を、
前記加入者受信手順、前記受信ポート識別番号宛先アドレス検出抽出手順、前記仮想ネットワーク判断手順、前記仮想ネットワークタグ付与手順及び前記仮想ネットワーク送信手順と独立して、順に実行させるための請求項６に記載の転送装置プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、複数のＶＬＡＮ（Ｖｉｒｔｕａｌ  Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）を包含する広域イーサネット（登録商標）において、通信を遮断すべき経路について確実に通信を遮断して、確実にセキュリティを確保する技術に関する。
【背景技術】
【０００２】
ＶＬＡＮ技術は、物理的なトポロジーを変更せず、論理的なトポロジーを変更して、広域イーサネット（登録商標）環境を容易に変更することができる。広域イーサネット（登録商標）の構成を図１及び図２に示す。図１では、ユーザＡの拠点１及びユーザＢの拠点２の相互間で、ＶＬＡＮを介して通信可能である。図２では、ユーザＡの拠点１、ユーザＢの拠点２、Ｘ社のサーバ３−１及びＹ社のサーバ３−２の相互間で、ＶＬＡＮを介して通信可能である。
【０００３】
各社のサーバ３の相互間では、情報の漏洩を希望しないこともあれば、情報の連携を希望することもある。通信可能経路及び通信遮断経路を図３及び図４に示す。以下の説明では、ユーザＡの拠点１をユーザの拠点１という。
【０００４】
図３では、ユーザの拠点１が各社のサーバ３と通信可能であるが、各社のサーバ３の相互間では通信遮断としたい。図４では、ユーザの拠点１が各社のサーバ３と通信可能であり、Ｘ社のサーバ３−１及びＺ社のサーバ３−３の相互間でも通信可能であり、Ｙ社のサーバ３−２及びＺ社のサーバ３−３の相互間でも通信可能であるが、Ｘ社のサーバ３−１及びＹ社のサーバ３−２の相互間では通信遮断としたい。
【０００５】
しかし、図５から図８で説明する従来技術では、通信を遮断すべき経路について確実に通信を遮断することができないため、確実にセキュリティを確保することができない。以下の説明では、図４の通信可能経路及び通信遮断経路を実現することを考慮する。
【０００６】
従来技術におけるユーザからのマルチキャストを図５に示す。図５の広域イーサネット（登録商標）Ｎは、ユーザの拠点１、Ｘ社のサーバ３−１、Ｙ社のサーバ３−２、Ｚ社のサーバ３−３、ユーザのＬ２（Ｌａｙｅｒ  ２）スイッチ４−０、Ｘ社のＬ２スイッチ４−１、Ｙ社のＬ２スイッチ４−２、Ｚ社のＬ２スイッチ４−３、Ｌ２スイッチ４−０、４−１、４−２、４−３の相互間を接続するＶＬＡＮ＃１０、及びＬ２スイッチ４−０、４−１、４−２、４−３の相互間を中継する中継用のＬ２スイッチ５から構成される。
【０００７】
ユーザの拠点１は、送信元ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレスとして自己のＩＰアドレス「ＩＰ０」を設定し、マルチキャストＩＰアドレスとして「ＭＣ」を設定し、送信元ＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）アドレスとして自己のＭＡＣアドレス「Ｍ０」を設定し、マルチキャストＭＡＣアドレスとして「ＭＣ」を設定し、Ｌ２スイッチ４−０に上りフレームを送信する。
【０００８】
Ｌ２スイッチ４−０は、ポートＡ１においてユーザの拠点１から上りフレームを受信し、ポートＡ１に割り振られたＶＬＡＮ−ＩＤを抽出し、ＶＬＡＮタグとして「＃１０」を設定し、ポートＡ２においてＶＬＡＮ＃１０に上りフレームを送信する。
【０００９】
Ｌ２スイッチ５は、ポートＥ０においてＬ２スイッチ４−０から上りフレームを受信し、上りフレームから抽出したＶＬＡＮタグに基づいて、ポートＥ１、Ｅ２、Ｅ３においてＬ２スイッチ４−１、４−２、４−３にそれぞれ下りフレームを送信する。
【００１０】
Ｌ２スイッチ４−１、４−２、４−３は、Ｌ２スイッチ５から下りフレームを受信し、下りフレームからＶＬＡＮタグを削除し、下りフレームから抽出した宛先ＭＡＣアドレス及び宛先ＩＰアドレスに基づいて、サーバ３−１、３−２、３−３にそれぞれ下りフレームを送信する。
【００１１】
このように、ユーザからマルチキャストを実行することができるとともに、同様にして、各サーバ３からマルチキャストを実行することもできる。しかし、サーバ３−１、３−２からマルチキャストを実行することもできるため、サーバ３−１及びＬ２スイッチ４−１は、サーバ３−２及びＬ２スイッチ４−２と、相互に通信可能となってしまう。
【００１２】
従来技術におけるＹ社からＸ社への送信を図６に示す。図６の広域イーサネット（登録商標）Ｎは、図５の広域イーサネット（登録商標）Ｎの構成に加えて、ファイアウォール６から構成される。
【００１３】
ファイアウォール６は、下りフレームから送信元ＩＰアドレスを抽出し、送信元ＩＰアドレスがユーザの拠点１のＩＰアドレス「ＩＰ０」又はサーバ３−３のＩＰアドレス「ＩＰ３」であるときには、下りフレームを透過するが、送信元ＩＰアドレスがサーバ３−２のＩＰアドレス「ＩＰ２」であるときには、下りフレームを廃棄する。
【００１４】
サーバ３−２は、送信元ＩＰアドレスとして自己のＩＰアドレス「ＩＰ２」を設定し、宛先ＩＰアドレスとしてサーバ３−１のＩＰアドレス「ＩＰ１」を設定し、送信元ＭＡＣアドレスとして自己のＭＡＣアドレス「Ｍ２」を設定し、宛先ＭＡＣアドレスとしてサーバ３−１のＭＡＣアドレス「Ｍ１」を設定し、Ｌ２スイッチ４−２に上りフレームを送信する。
【００１５】
Ｌ２スイッチ４−２は、ポートＣ１においてサーバ３−２から上りフレームを受信し、ポートＣ１に割り振られたＶＬＡＮ−ＩＤを抽出し、ＶＬＡＮタグとして「＃１０」を設定し、ポートＣ２においてＶＬＡＮ＃１０に上りフレームを送信する。
【００１６】
Ｌ２スイッチ５は、ポートＥ２においてＬ２スイッチ４−２から上りフレームを受信し、サーバ３−１のＭＡＣアドレス「Ｍ１」を学習することなく、上りフレームから抽出したＶＬＡＮタグに基づいて、ポートＥ０、Ｅ１、Ｅ３においてＬ２スイッチ４−０、４−１、４−３にそれぞれ下りフレームを送信する。
【００１７】
Ｌ２スイッチ４−０、４−３は、Ｌ２スイッチ５から下りフレームを受信し、下りフレームからＶＬＡＮタグを削除し、下りフレームから抽出した宛先ＭＡＣアドレス及び宛先ＩＰアドレスが自己の加入者装置（それぞれ、ユーザの拠点１、サーバ３−３）のＭＡＣアドレス及びＩＰアドレスと一致しないため、下りフレームを廃棄する。
【００１８】
Ｌ２スイッチ４−１は、Ｌ２スイッチ５から下りフレームを受信し、下りフレームからＶＬＡＮタグを削除し、下りフレームから抽出した宛先ＭＡＣアドレス及び宛先ＩＰアドレスがサーバ３−１のＭＡＣアドレス及びＩＰアドレスと一致するため、ファイアウォール６に下りフレームを送信する。ファイアウォール６は、Ｌ２スイッチ４−１から下りフレームを受信し、下りフレームから抽出した送信元ＩＰアドレスが透過許可フレームの送信元ＩＰアドレスと一致しないため、下りフレームを廃棄する。
【００１９】
このように、サーバ３−２からサーバ３−１にフレームを送信することはできないが、サーバ３−２からファイアウォール６にフレームを到達させることはできるため、Ｘ社の管理者はＹ社の情報を閲覧することができてしまう。
【００２０】
従来技術におけるＹ社からのマルチキャストを図７に示す。図７の広域イーサネット（登録商標）Ｎの構成は、図６の広域イーサネット（登録商標）Ｎの構成と同様である。
【００２１】
サーバ３−２は、送信元ＩＰアドレスとして自己のＩＰアドレス「ＩＰ２」を設定し、マルチキャストＩＰアドレスとして「ＭＣ」を設定し、送信元ＭＡＣアドレスとして自己のＭＡＣアドレス「Ｍ２」を設定し、マルチキャストＭＡＣアドレスとして「ＭＣ」を設定し、Ｌ２スイッチ４−２に上りフレームを送信する。
【００２２】
Ｌ２スイッチ４−２は、ポートＣ１においてサーバ３−２から上りフレームを受信し、ポートＣ１に割り振られたＶＬＡＮ−ＩＤを抽出し、ＶＬＡＮタグとして「＃１０」を設定し、ポートＣ２においてＶＬＡＮ＃１０に上りフレームを送信する。
【００２３】
Ｌ２スイッチ５は、ポートＥ２においてＬ２スイッチ４−２から上りフレームを受信し、上りフレームから抽出したＶＬＡＮタグに基づいて、ポートＥ０、Ｅ１、Ｅ３においてＬ２スイッチ４−０、４−１、４−３にそれぞれ下りフレームを送信する。
【００２４】
Ｌ２スイッチ４−０、４−３は、Ｌ２スイッチ５から下りフレームを受信し、下りフレームからＶＬＡＮタグを削除し、下りフレームから抽出した宛先ＭＡＣアドレス及び宛先ＩＰアドレスがマルチキャストＭＡＣアドレス及びマルチキャストＩＰアドレスであるため、ユーザの拠点１及びサーバ３−３にそれぞれ下りフレームを送信する。
【００２５】
Ｌ２スイッチ４−１は、Ｌ２スイッチ５から下りフレームを受信し、下りフレームからＶＬＡＮタグを削除し、下りフレームから抽出した宛先ＭＡＣアドレス及び宛先ＩＰアドレスがマルチキャストＭＡＣアドレス及びマルチキャストＩＰアドレスであるため、ファイアウォール６に下りフレームを送信する。ファイアウォール６は、Ｌ２スイッチ４−１から下りフレームを受信し、下りフレームから抽出した送信元ＩＰアドレスが透過許可フレームの送信元ＩＰアドレスと一致しないため、下りフレームを廃棄する。
【００２６】
このように、マルチキャスト通信においても、サーバ３−２からサーバ３−１にフレームを送信することはできないが、サーバ３−２からファイアウォール６にフレームを到達させることはできるため、Ｘ社の管理者はＹ社の情報を閲覧することができてしまう。
【００２７】
従来技術におけるＹ社からＸ社への詐称送信を図８に示す。図８の広域イーサネット（登録商標）Ｎの構成は、図６の広域イーサネット（登録商標）Ｎの構成と同様である。
【００２８】
サーバ３−２は、送信元ＩＰアドレスとして詐称されたＩＰアドレス「ＩＰ３」を設定し、宛先ＩＰアドレスとしてサーバ３−１のＩＰアドレス「ＩＰ１」を設定し、送信元ＭＡＣアドレスとして自己のＭＡＣアドレス「Ｍ２」を設定し、宛先ＭＡＣアドレスとしてサーバ３−１のＭＡＣアドレス「Ｍ１」を設定し、Ｌ２スイッチ４−２に上りフレームを送信する。
【００２９】
Ｌ２スイッチ４−２は、ポートＣ１においてサーバ３−２から上りフレームを受信し、ポートＣ１に割り振られたＶＬＡＮ−ＩＤを抽出し、ＶＬＡＮタグとして「＃１０」を設定し、ポートＣ２においてＶＬＡＮ＃１０に上りフレームを送信する。
【００３０】
Ｌ２スイッチ５は、ポートＥ２においてＬ２スイッチ４−２から上りフレームを受信し、サーバ３−１のＭＡＣアドレス「Ｍ１」を学習することなく、上りフレームから抽出したＶＬＡＮタグに基づいて、ポートＥ０、Ｅ１、Ｅ３においてＬ２スイッチ４−０、４−１、４−３にそれぞれ下りフレームを送信する。
【００３１】
Ｌ２スイッチ４−０、４−３は、Ｌ２スイッチ５から下りフレームを受信し、下りフレームからＶＬＡＮタグを削除し、下りフレームから抽出した宛先ＭＡＣアドレス及び宛先ＩＰアドレスが自己の加入者装置（それぞれ、ユーザの拠点１、サーバ３−３）のＭＡＣアドレス及びＩＰアドレスと一致しないため、下りフレームを廃棄する。
【００３２】
Ｌ２スイッチ４−１は、Ｌ２スイッチ５から下りフレームを受信し、下りフレームからＶＬＡＮタグを削除し、下りフレームから抽出した宛先ＭＡＣアドレス及び宛先ＩＰアドレスがサーバ３−１のＭＡＣアドレス及びＩＰアドレスと一致するため、ファイアウォール６に下りフレームを送信する。ファイアウォール６は、Ｌ２スイッチ４−１から下りフレームを受信し、下りフレームから抽出した詐称された送信元ＩＰアドレスが透過許可フレームの送信元ＩＰアドレスと一致するため、サーバ３−１に下りフレームを送信する。
【００３３】
このように、送信元ＩＰアドレスの詐称の場合においては、サーバ３−２からファイアウォール６にフレームを到達させることができるとともに、サーバ３−２からサーバ３−１にフレームを到達させることもできるため、Ｘ社の管理者はＹ社の情報を閲覧することができてしまうとともに、Ｘ社のユーザもサーバ３−１にアクセスしてＹ社の情報を閲覧することができてしまう。
【先行技術文献】
【非特許文献】
【００３４】
【非特許文献１】ＩＥＥＥ  Ｐ８０２．１Ｑ−ＲＥＶ／Ｄ１．５，ｐｐ．２５３−２５４．
【発明の概要】
【発明が解決しようとする課題】
【００３５】
しかし、図９で説明する非特許文献１では、通信を遮断すべき経路について確実に通信を遮断することができるため、確実にセキュリティを確保することができる。以下の説明では、図４の通信可能経路及び通信遮断経路を実現することを考慮する。
【００３６】
従来技術における複数のＶＬＡＮを図９に示す。図９の広域イーサネット（登録商標）Ｎは、図５の広域イーサネット（登録商標）Ｎの構成に対して、Ｌ２スイッチ４−０、４−１、４−２、４−３の相互間を接続するＶＬＡＮ＃１０に代えて、Ｌ２スイッチ４−０、４−１、４−３の相互間を接続するＶＬＡＮ＃１０、及びＬ２スイッチ４−０、４−２、４−３の相互間を接続するＶＬＡＮ＃２０から構成される。
【００３７】
Ｌ２スイッチ４−１は、ＶＬＡＮ＃１０のみに接続されＶＬＡＮ＃２０に接続されておらず、Ｌ２スイッチ４−２は、ＶＬＡＮ＃２０のみに接続されＶＬＡＮ＃１０に接続されないため、サーバ３−１及びＬ２スイッチ４−１は、サーバ３−２及びＬ２スイッチ４−２と、通信を遮断することができる。このことは、ユニキャスト通信においても、マルチキャスト通信においても、送信元ＩＰアドレスの詐称の場合においても、同様である。
【００３８】
ユーザの拠点１及び各サーバ３は、広域イーサネット（登録商標）Ｎにおいて、複数のＳ（Ｓｅｒｖｉｃｅ）−ＶＬＡＮに接続するため、自己のＬＡＮ環境において、各Ｓ−ＶＬＡＮに対応する各Ｃ（Ｃｕｓｔｏｍｅｒ）−ＶＬＡＮを利用している。各Ｌ２スイッチ４は、各Ｓ−ＶＬＡＮ及び各Ｃ−ＶＬＡＮを対応付けるＶＬＡＮテーブルを格納している。ＶＬＡＮテーブルでは、Ｓ−ＶＬＡＮ＃１０はＣ−ＶＬＡＮ＃１に対応付けられており、Ｓ−ＶＬＡＮ＃２０はＣ−ＶＬＡＮ＃２に対応付けられている。
【００３９】
以下の説明では、Ｙ社からＸ社への禁止された送信を考慮する。サーバ３−２は、送信元ＩＰアドレスとしてＩＰアドレス「ＩＰ２」を設定し、宛先ＩＰアドレスとしてサーバ３−１のＩＰアドレス「ＩＰ１」を設定し、送信元ＭＡＣアドレスとして自己のＭＡＣアドレス「Ｍ２」を設定し、宛先ＭＡＣアドレスとしてサーバ３−１のＭＡＣアドレス「Ｍ１」を設定し、Ｃ−ＶＬＡＮタグとして「＃１」を設定することはできず「＃２」を設定し、Ｌ２スイッチ４−２に上りフレームを送信する。
【００４０】
Ｌ２スイッチ４−２は、ポートＣ１においてサーバ３−２から上りフレームを受信し、ＶＬＡＮテーブルを参照してＣ−ＶＬＡＮ−ＩＤ「＃２」に対応付けられたＳ−ＶＬＡＮ−ＩＤ「＃２０」を抽出し、Ｓ−ＶＬＡＮタグとして「＃２０」を設定し、ポートＣ２においてＶＬＡＮ＃２０に上りフレームを送信する。
【００４１】
Ｌ２スイッチ５は、ポートＥ２においてＬ２スイッチ４−２から上りフレームを受信し、サーバ３−１のＭＡＣアドレス「Ｍ１」を学習することなく、上りフレームから抽出したＳ−ＶＬＡＮタグに基づいて、ポートＥ０、Ｅ３においてＬ２スイッチ４−０、４−３にそれぞれ下りフレームを送信するが、ポートＥ１においてＬ２スイッチ４−１に下りフレームを送信しない。
【００４２】
Ｌ２スイッチ４−０、４−３は、Ｌ２スイッチ５から下りフレームを受信し、下りフレームからＳ−ＶＬＡＮタグを削除し、下りフレームから抽出した宛先ＭＡＣアドレス及び宛先ＩＰアドレスが自己の加入者装置（それぞれ、ユーザの拠点１、サーバ３−３）のＭＡＣアドレス及びＩＰアドレスと一致しないため、下りフレームを廃棄する。
【００４３】
このように、ユーザの拠点１及び各サーバ３は、広域イーサネット（登録商標）Ｎにおいて、Ｓ−ＶＬＡＮを利用するとともに、自己のＬＡＮ環境において、Ｃ−ＶＬＡＮを利用することにより、通信を遮断すべき経路について確実に通信を遮断することができるため、確実にセキュリティを確保することができる。しかし、ユーザの拠点１及び各サーバ３は、自己のＬＡＮ環境において、Ｃ−ＶＬＡＮを新たに設定する必要があるため、従来の環境をそのまま利用することができず、Ｓ−ＶＬＡＮを新たに利用することが困難であった。
【００４４】
そこで、前記課題を解決するために、本発明は、複数のＶＬＡＮを包含する広域イーサネット（登録商標）において、通信を遮断すべき経路について確実に通信を遮断して、確実にセキュリティを確保するにあたり、各加入者装置が自己のＬＡＮ環境をそのまま利用しながら複数のＶＬＡＮを新たに利用する技術を提供することを目的とする。
【課題を解決するための手段】
【００４５】
加入者装置から仮想ネットワークを介して宛先アドレスの装置へとフレームを転送する転送装置は、自己との通信が禁止される通信禁止装置に対して、受信した上りフレームを転送しないように、受信ポートの識別番号及びフレームの宛先アドレスに基づいて、自己が属する複数の仮想ネットワークのうちいずれを介して宛先アドレスの装置に、受信したフレームを転送するべきか判断することとした。
【００４６】
具体的には、本発明は、自装置に加入する加入者装置から上りフレームを受信する加入者受信部と、前記加入者受信部が上りフレームを受信した受信ポートの識別番号を検出するとともに、前記加入者受信部が受信した上りフレームから上りフレームの宛先アドレスを抽出する受信ポート識別番号宛先アドレス検出抽出部と、自装置との通信が禁止される通信禁止装置に対して、前記加入者受信部が受信した上りフレームが転送されないように、前記受信ポート識別番号宛先アドレス検出抽出部が検出・抽出した受信ポートの識別番号及び上りフレームの宛先アドレスに基づいて、自装置が属する複数の仮想ネットワークのうちいずれを介して宛先アドレスの装置に、前記加入者受信部が受信した上りフレームが転送されるべきか判断する仮想ネットワーク判断部と、前記加入者受信部が受信した上りフレームに、前記仮想ネットワーク判断部が選択した仮想ネットワークを示すタグを付与する仮想ネットワークタグ付与部と、前記仮想ネットワーク判断部が選択した仮想ネットワークを介して宛先アドレスの装置に、前記仮想ネットワーク判断部が選択した仮想ネットワークを示すタグを前記仮想ネットワークタグ付与部が付与した上りフレームを転送する仮想ネットワーク送信部と、を備えることを特徴とする転送装置である。
【００４７】
また、本発明は、自装置に加入する加入者装置から上りフレームを受信する加入者受信ステップと、前記加入者受信ステップで上りフレームを受信した受信ポートの識別番号を検出するとともに、前記加入者受信ステップで受信した上りフレームから上りフレームの宛先アドレスを抽出する受信ポート識別番号宛先アドレス検出抽出ステップと、自装置との通信が禁止される通信禁止装置に対して、前記加入者受信ステップで受信した上りフレームが転送されないように、前記受信ポート識別番号宛先アドレス検出抽出ステップで検出・抽出した受信ポートの識別番号及び上りフレームの宛先アドレスに基づいて、自装置が属する複数の仮想ネットワークのうちいずれを介して宛先アドレスの装置に、前記加入者受信ステップで受信した上りフレームが転送されるべきか判断する仮想ネットワーク判断ステップと、前記加入者受信ステップで受信した上りフレームに、前記仮想ネットワーク判断ステップで選択した仮想ネットワークを示すタグを付与する仮想ネットワークタグ付与ステップと、前記仮想ネットワーク判断ステップで選択した仮想ネットワークを介して宛先アドレスの装置に、前記仮想ネットワーク判断ステップで選択した仮想ネットワークを示すタグを前記仮想ネットワークタグ付与ステップで付与した上りフレームを転送する仮想ネットワーク送信ステップと、を順に備えることを特徴とする転送装置における転送方法である。
【００４８】
また、本発明は、コンピュータに転送装置として、自装置に加入する加入者装置から上りフレームを受信する加入者受信手順と、前記加入者受信手順で上りフレームを受信した受信ポートの識別番号を検出するとともに、前記加入者受信手順で受信した上りフレームから上りフレームの宛先アドレスを抽出する受信ポート識別番号宛先アドレス検出抽出手順と、自装置との通信が禁止される通信禁止装置に対して、前記加入者受信手順で受信した上りフレームが転送されないように、前記受信ポート識別番号宛先アドレス検出抽出手順で検出・抽出した受信ポートの識別番号及び上りフレームの宛先アドレスに基づいて、自装置が属する複数の仮想ネットワークのうちいずれを介して宛先アドレスの装置に、前記加入者受信手順で受信した上りフレームが転送されるべきか判断する仮想ネットワーク判断手順と、前記加入者受信手順で受信した上りフレームに、前記仮想ネットワーク判断手順で選択した仮想ネットワークを示すタグを付与する仮想ネットワークタグ付与手順と、前記仮想ネットワーク判断手順で選択した仮想ネットワークを介して宛先アドレスの装置に、前記仮想ネットワーク判断手順で選択した仮想ネットワークを示すタグを前記仮想ネットワークタグ付与手順で付与した上りフレームを転送する仮想ネットワーク送信手順と、を順に実行させるための転送装置プログラムである。
【００４９】
この構成によれば、転送装置は、自己との通信が禁止される通信禁止装置に対して、受信した上りフレームを転送しないように、Ｃ−ＶＬＡＮタグではなく受信ポートの識別番号及び上りフレームの宛先アドレスに基づいて、上りフレームを転送するＶＬＡＮを選択する。よって、複数のＶＬＡＮを包含する広域イーサネット（登録商標）において、通信を遮断すべき経路について確実に通信を遮断して、確実にセキュリティを確保することができる。そして、加入者装置は、自己のＬＡＮ環境をそのまま利用しながら、複数のＶＬＡＮを新たに利用することができる。さらに、加入者装置は、送信元アドレスとして自己のアドレスを詐称することはできても、転送装置の受信ポートの識別番号を詐称することはできない。よって、転送装置は、送信元アドレスの詐称に対処することができる。
【００５０】
また、本発明は、自装置が属する複数の仮想ネットワークのうちいずれかを介して、他の転送装置に加入する加入者装置から下りフレームを受信する仮想ネットワーク受信部と、前記仮想ネットワーク受信部が受信した下りフレームから、下り通信で利用された仮想ネットワークを示すタグを削除する仮想ネットワークタグ削除部と、自装置に加入する装置でありかつ宛先アドレスの装置である加入者装置に、前記仮想ネットワークタグ削除部が下り通信で利用された仮想ネットワークを示すタグを削除した下りフレームを転送する加入者送信部と、をさらに備えることを特徴とする転送装置である。
【００５１】
また、本発明は、自装置が属する複数の仮想ネットワークのうちいずれかを介して、他の転送装置に加入する加入者装置から下りフレームを受信する仮想ネットワーク受信ステップと、前記仮想ネットワーク受信ステップで受信した下りフレームから、下り通信で利用された仮想ネットワークを示すタグを削除する仮想ネットワークタグ削除ステップと、自装置に加入する装置でありかつ宛先アドレスの装置である加入者装置に、前記仮想ネットワークタグ削除ステップで下り通信で利用された仮想ネットワークを示すタグを削除した下りフレームを転送する加入者送信ステップを、前記加入者受信ステップ、前記受信ポート識別番号宛先アドレス検出抽出ステップ、前記仮想ネットワーク判断ステップ、前記仮想ネットワークタグ付与ステップ及び前記仮想ネットワーク送信ステップと独立して、順に備えることを特徴とする転送装置における転送方法である。
【００５２】
また、本発明は、自装置が属する複数の仮想ネットワークのうちいずれかを介して、他の転送装置に加入する加入者装置から下りフレームを受信する仮想ネットワーク受信手順と、前記仮想ネットワーク受信手順で受信した下りフレームから、下り通信で利用された仮想ネットワークを示すタグを削除する仮想ネットワークタグ削除手順と、自装置に加入する装置でありかつ宛先アドレスの装置である加入者装置に、前記仮想ネットワークタグ削除手順で下り通信で利用された仮想ネットワークを示すタグを削除した下りフレームを転送する加入者送信手順を、前記加入者受信手順、前記受信ポート識別番号宛先アドレス検出抽出手順、前記仮想ネットワーク判断手順、前記仮想ネットワークタグ付与手順及び前記仮想ネットワーク送信手順と独立して、順に実行させるための転送装置プログラムである。
【００５３】
この構成によれば、転送装置は、下りフレームの受信時・転送時には、従来技術と同様のＶＬＡＮタグを削除するのみでよいため、従来技術をそのまま利用することができる。
【００５４】
また、本発明は、上記の転送装置と、複数の仮想ネットワークに接続され、前記転送装置の前記仮想ネットワークタグ付与部が付与した仮想ネットワークを示すタグに基づいて、前記転送装置の前記仮想ネットワーク送信部が転送した上りフレームを宛先アドレスの装置に中継するスイッチ装置と、を備えることを特徴とする仮想ネットワークシステムである。
【００５５】
この構成によれば、スイッチ装置は、フレームの受信時・転送時には、従来技術と同様のＶＬＡＮタグを参照するのみでよいため、従来技術をそのまま利用することができる。
【発明の効果】
【００５６】
本発明は、複数のＶＬＡＮを包含する広域イーサネット（登録商標）において、通信を遮断すべき経路について確実に通信を遮断して、確実にセキュリティを確保するにあたり、各加入者装置が自己のＬＡＮ環境をそのまま利用しながら複数のＶＬＡＮを新たに利用する技術を提供することができる。
【図面の簡単な説明】
【００５７】
【図１】広域イーサネット（登録商標）の構成を示す図である。
【図２】広域イーサネット（登録商標）の構成を示す図である。
【図３】通信可能経路及び通信遮断経路を示す図である。
【図４】通信可能経路及び通信遮断経路を示す図である。
【図５】従来技術におけるユーザからのマルチキャストを示す図である。
【図６】従来技術におけるＹ社からＸ社への送信を示す図である。
【図７】従来技術におけるＹ社からのマルチキャストを示す図である。
【図８】従来技術におけるＹ社からＸ社への詐称送信を示す図である。
【図９】従来技術における複数のＶＬＡＮを示す図である。
【図１０】本発明における複数のＶＬＡＮを示す図である。
【図１１】本発明のＬ２スイッチの構成を示す図である。
【図１２】本発明の上り方向通信部の構成を示す図である。
【図１３】本発明の下り方向通信部の構成を示す図である。
【図１４】本発明のユーザ用のＶＬＡＮ検索テーブルを示す図である。
【図１５】本発明のＸ社用のＶＬＡＮ検索テーブルを示す図である。
【図１６】本発明のＹ社用のＶＬＡＮ検索テーブルを示す図である。
【図１７】本発明のＺ社用のＶＬＡＮ検索テーブルを示す図である。
【図１８】本発明におけるユーザからのマルチキャストを示す図である。
【図１９】本発明におけるＹ社からＸ社への送信を示す図である。
【図２０】本発明におけるＹ社からのマルチキャストを示す図である。
【図２１】本発明におけるＹ社からＸ社への詐称送信を示す図である。
【発明を実施するための形態】
【００５８】
添付の図面を参照して本発明の実施形態を説明する。以下に説明する実施形態は本発明の実施の例であり、本発明は以下の実施形態に制限されるものではない。
【００５９】
（本発明の概要）
以下の説明では、図４の通信可能経路及び通信遮断経路を実現することを考慮する。
【００６０】
本発明における複数のＶＬＡＮを図１０に示す。図１０の広域イーサネット（登録商標）Ｎは、ユーザの拠点１、Ｘ社のサーバ３−１、Ｙ社のサーバ３−２、Ｚ社のサーバ３−３、ユーザのＬ２スイッチ７−０、Ｘ社のＬ２スイッチ７−１、Ｙ社のＬ２スイッチ７−２、Ｚ社のＬ２スイッチ７−３、ＶＬＡＮ＃１０、＃２０、＃３０、及びＬ２スイッチ７−０、７−１、７−２、７−３の相互間を中継する中継用のＬ２スイッチ５から構成される。
【００６１】
ＶＬＡＮ＃１０は、Ｌ２スイッチ７−０、７−１、７−３の相互間を接続する。ＶＬＡＮ＃２０は、Ｌ２スイッチ７−０、７−２、７−３の相互間を接続する。ＶＬＡＮ＃３０は、Ｌ２スイッチ７−０、７−１、７−２、７−３の相互間を接続する。
【００６２】
Ｌ２スイッチ７−１は、ＶＬＡＮ＃１０、＃３０のみに接続されＶＬＡＮ＃２０に接続されておらず、Ｌ２スイッチ７−２は、ＶＬＡＮ＃２０、＃３０のみに接続されＶＬＡＮ＃１０に接続されていない。よって、サーバ３−１及びＬ２スイッチ７−１は、サーバ３−２及びＬ２スイッチ７−２と、ＶＬＡＮ＃３０を利用するときには、通信を遮断することができないが、ＶＬＡＮ＃３０以外を利用するときには、通信を遮断することができる。このことは、ユニキャスト通信においても、マルチキャスト通信においても、送信元ＩＰアドレスの詐称の場合においても、同様である。
【００６３】
本発明の各Ｌ２スイッチ７の構成を図１１に示す。各Ｌ２スイッチ７は、転送装置に相当しており、加入者ポート７１、上り方向通信部７２、下り方向通信部７３、Ｌ２スイッチ部７４及び中継ポート７５から構成されており、同様の構成を有している。
【００６４】
加入者ポート７１は、加入者受信部に相当しており、自Ｌ２スイッチ７に加入するユーザの拠点１又は各サーバ３から上りフレームを受信する。そして、加入者ポート７１は、加入者送信部に相当しており、自Ｌ２スイッチ７に加入する装置でありかつ宛先アドレスの装置であるユーザの拠点１又は各サーバ３に下りフレームを転送する。
【００６５】
上り方向通信部７２は、図１２で詳述するように、加入者ポート７１から上りフレームを入力し、ＶＬＡＮタグを付与したうえで、Ｌ２スイッチ部７４に上りフレームを出力する。下り方向通信部７３は、図１３で詳述するように、Ｌ２スイッチ部７４から下りフレームを入力し、ＶＬＡＮタグを削除したうえで、加入者ポート７１に下りフレームを出力する。Ｌ２スイッチ部７４は、ＶＬＡＮタグに基づいて、自Ｌ２スイッチ７が属する複数のＶＬＡＮのうちいずれかに対して、上りフレームを振り分ける。
【００６６】
中継ポート７５は、仮想ネットワーク送信部に相当しており、Ｌ２スイッチ部７４から上りフレームを入力し、自Ｌ２スイッチ７が属する複数のＶＬＡＮのうちいずれかを介して、宛先アドレスの装置に上りフレームを転送する。そして、中継ポート７５は、仮想ネットワーク受信部に相当しており、自Ｌ２スイッチ７が属する複数のＶＬＡＮのうちいずれかを介して、送信元アドレスの装置から下りフレームを受信し、Ｌ２スイッチ部７４に下りフレームを出力する。
【００６７】
本発明の各上り方向通信部の構成を図１２に示す。各上り方向通信部７２は、加入者ポート７１から上りフレームを入力し、ＶＬＡＮタグを付与したうえで、Ｌ２スイッチ部７４に上りフレームを出力するため、ＭＡＣフレーム受信部７２１、受信ポート宛先アドレス抽出部７２２、ＶＬＡＮ検索部７２３、ＶＬＡＮ検索テーブル７２４、タグ付与部７２５及びＭＡＣフレーム送出部７２６から構成されており、同様の構成を有している。
【００６８】
ＭＡＣフレーム受信部７２１は、加入者ポート７１から上りフレームを入力し、受信ポート宛先アドレス抽出部７２２に上りフレームを出力する。
【００６９】
受信ポート宛先アドレス抽出部７２２は、受信ポート識別番号宛先アドレス検出抽出部に相当しており、加入者ポート７１が上りフレームを受信した受信ポートの識別番号を検出するとともに、加入者ポート７１が受信した上りフレームから上りフレームの宛先アドレスを抽出する。ここで、加入者ポート７１の受信ポートの識別番号は、Ｌ２スイッチ７の加入者装置のアドレスに対応する。そして、これらの対応関係が確立したときには、加入者ポート７１の受信ポートの識別番号は、Ｌ２スイッチ７の加入者装置のアドレスと相違して、Ｌ２スイッチ７の加入者装置によって詐称されない。
【００７０】
ＶＬＡＮ検索部７２３は、仮想ネットワーク判断部に相当しており、自Ｌ２スイッチ７との通信が禁止される通信禁止装置に対して、加入者ポート７１が受信した上りフレームが転送されないようにする。具体的には、ＶＬＡＮ検索部７２３は、受信ポート宛先アドレス抽出部７２２が検出・抽出した受信ポートの識別番号及び上りフレームの宛先アドレスに基づいて、自Ｌ２スイッチ７が属する複数のＶＬＡＮのうちいずれを介して宛先アドレスの装置に、加入者ポート７１が受信した上りフレームが転送されるべきか判断する。より詳細は、すぐ後に図１４から図１７を利用して説明する。
【００７１】
タグ付与部７２５は、仮想ネットワークタグ付与部に相当しており、加入者ポート７１が受信した上りフレームに、ＶＬＡＮ検索部７２３が選択したＶＬＡＮを示すタグを付与する。ＭＡＣフレーム送出部７２６は、タグ付与部７２５から上りフレームを入力し、Ｌ２スイッチ部７４に上りフレームを出力する。
【００７２】
ＶＬＡＮ検索部７２３は、ＶＬＡＮ検索テーブル７２４を参照して、上記の処理を実行する。本発明のＶＬＡＮ検索テーブルを図１４から図１７に示す。
【００７３】
本発明のユーザ用のＶＬＡＮ検索テーブル７２４−０を図１４に示す。ユーザの拠点１は、サーバ３−１、３−２、３−３に対して、通信を遮断されなくてもよい。
【００７４】
受信ポートがＡ１でありつまり送信元がユーザの拠点１であり、かつ、宛先ＩＰアドレスがサーバ３−１のＩＰアドレス「ＩＰ１」であるときについて説明する。ユーザの拠点１はサーバ３−１と、通信を遮断されなくてもよいうえに、ＶＬＡＮ＃１０、＃３０を共有して利用することができる。そこで、ＶＬＡＮ検索テーブル７２４−０は、ＶＬＡＮ検索部７２３−０が、ＶＬＡＮ＃１０、＃３０のうち少なくともいずれか（図１４ではＶＬＡＮ＃１０）を選択することができることを記憶している。
【００７５】
受信ポートがＡ１でありつまり送信元がユーザの拠点１であり、かつ、宛先ＩＰアドレスがサーバ３−２のＩＰアドレス「ＩＰ２」であるときについて説明する。ユーザの拠点１はサーバ３−２と、通信を遮断されなくてもよいうえに、ＶＬＡＮ＃２０、＃３０を共有して利用することができる。そこで、ＶＬＡＮ検索テーブル７２４−０は、ＶＬＡＮ検索部７２３−０が、ＶＬＡＮ＃２０、＃３０のうち少なくともいずれか（図１４ではＶＬＡＮ＃２０）を選択することができることを記憶している。
【００７６】
受信ポートがＡ１でありつまり送信元がユーザの拠点１であり、かつ、宛先ＩＰアドレスがマルチキャストＩＰアドレス「ＭＣ」であるときについて説明する。ユーザの拠点１はサーバ３−１、３−２、３−３と、通信を遮断されなくてもよいうえに、ＶＬＡＮ＃３０を共有して利用することができる。そこで、ＶＬＡＮ検索テーブル７２４−０は、ＶＬＡＮ検索部７２３−０が、ＶＬＡＮ＃３０を選択することができることを記憶している。
【００７７】
受信ポートがＡ１でありつまり送信元がユーザの拠点１であり、かつ、宛先ＩＰアドレスが上記以外のデフォルトのＩＰアドレスであるときについて説明する。このときには、ＶＬＡＮ検索テーブル７２４−０は、ＶＬＡＮ検索部７２３−０が、全加入者装置が共有して利用することができるＶＬＡＮ＃３０を選択することができることを記憶している。
【００７８】
本発明のＸ社用のＶＬＡＮ検索テーブル７２４−１を図１５に示す。サーバ３−１は、ユーザの拠点１及びサーバ３−３に対しては、通信を遮断されなくてもよいが、サーバ３−２に対しては、通信を遮断されなければならない。
【００７９】
受信ポートがＢ１でありつまり送信元がサーバ３−１であり、かつ、宛先ＩＰアドレスがユーザの拠点１のＩＰアドレス「ＩＰ０」であるときについて説明する。サーバ３−１はユーザの拠点１と、通信を遮断されなくてもよいうえに、ＶＬＡＮ＃１０、＃３０を共有して利用することができる。しかし、サーバ３−１はサーバ３−２と、通信を遮断されなければならないところ、ＶＬＡＮ＃３０を共有して利用することができる。そこで、ＶＬＡＮ検索テーブル７２４−１は、ＶＬＡＮ検索部７２３−１が、ＶＬＡＮ＃３０ではなくＶＬＡＮ＃１０を選択することができることを記憶している。
【００８０】
受信ポートがＢ１でありつまり送信元がサーバ３−１であり、かつ、宛先ＩＰアドレスがサーバ３−３のＩＰアドレス「ＩＰ３」であるときについて説明する。サーバ３−１はサーバ３−３と、通信を遮断されなくてもよいうえに、ＶＬＡＮ＃１０、＃３０を共有して利用することができる。しかし、サーバ３−１はサーバ３−２と、通信を遮断されなければならないところ、ＶＬＡＮ＃３０を共有して利用することができる。そこで、ＶＬＡＮ検索テーブル７２４−１は、ＶＬＡＮ検索部７２３−１が、ＶＬＡＮ＃３０ではなくＶＬＡＮ＃１０を選択することができることを記憶している。
【００８１】
受信ポートがＢ１でありつまり送信元がサーバ３−１であり、かつ、宛先ＩＰアドレスがマルチキャストＩＰアドレス「ＭＣ」であるときについて説明する。サーバ３−１はユーザの拠点１及びサーバ３−３と、通信を遮断されなくてもよいうえに、ＶＬＡＮ＃１０、＃３０を共有して利用することができる。しかし、サーバ３−１はサーバ３−２と、通信を遮断されなければならないところ、ＶＬＡＮ＃３０を共有して利用することができる。そこで、ＶＬＡＮ検索テーブル７２４−１は、ＶＬＡＮ検索部７２３−１が、ＶＬＡＮ＃３０ではなくＶＬＡＮ＃１０を選択することができることを記憶している。
【００８２】
受信ポートがＢ１でありつまり送信元がサーバ３−１であり、かつ、宛先ＩＰアドレスが上記以外のデフォルトのＩＰアドレスであるときについて説明する。このときには、ＶＬＡＮ検索テーブル７２４−１は、ＶＬＡＮ検索部７２３−１が、サーバ３−２以外の全加入者装置は共有して利用することができるがサーバ３−２は利用することができないＶＬＡＮ＃１０を選択することができることを記憶している。
【００８３】
本発明のＹ社用のＶＬＡＮ検索テーブル７２４−２を図１６に示す。サーバ３−２は、ユーザの拠点１及びサーバ３−３に対しては、通信を遮断されなくてもよいが、サーバ３−１に対しては、通信を遮断されなければならない。
【００８４】
受信ポートがＣ１でありつまり送信元がサーバ３−２であり、かつ、宛先ＩＰアドレスがユーザの拠点１のＩＰアドレス「ＩＰ０」であるときについて説明する。サーバ３−２はユーザの拠点１と、通信を遮断されなくてもよいうえに、ＶＬＡＮ＃２０、＃３０を共有して利用することができる。しかし、サーバ３−２はサーバ３−１と、通信を遮断されなければならないところ、ＶＬＡＮ＃３０を共有して利用することができる。そこで、ＶＬＡＮ検索テーブル７２４−２は、ＶＬＡＮ検索部７２３−２が、ＶＬＡＮ＃３０ではなくＶＬＡＮ＃２０を選択することができることを記憶している。
【００８５】
受信ポートがＣ１でありつまり送信元がサーバ３−２であり、かつ、宛先ＩＰアドレスがサーバ３−３のＩＰアドレス「ＩＰ３」であるときについて説明する。サーバ３−２はサーバ３−３と、通信を遮断されなくてもよいうえに、ＶＬＡＮ＃２０、＃３０を共有して利用することができる。しかし、サーバ３−２はサーバ３−１と、通信を遮断されなければならないところ、ＶＬＡＮ＃３０を共有して利用することができる。そこで、ＶＬＡＮ検索テーブル７２４−２は、ＶＬＡＮ検索部７２３−２が、ＶＬＡＮ＃３０ではなくＶＬＡＮ＃２０を選択することができることを記憶している。
【００８６】
受信ポートがＣ１でありつまり送信元がサーバ３−２であり、かつ、宛先ＩＰアドレスがマルチキャストＩＰアドレス「ＭＣ」であるときについて説明する。サーバ３−２はユーザの拠点１及びサーバ３−３と、通信を遮断されなくてもよいうえに、ＶＬＡＮ＃２０、＃３０を共有して利用することができる。しかし、サーバ３−２はサーバ３−１と、通信を遮断されなければならないところ、ＶＬＡＮ＃３０を共有して利用することができる。そこで、ＶＬＡＮ検索テーブル７２４−２は、ＶＬＡＮ検索部７２３−２が、ＶＬＡＮ＃３０ではなくＶＬＡＮ＃２０を選択することができることを記憶している。
【００８７】
受信ポートがＣ１でありつまり送信元がサーバ３−２であり、かつ、宛先ＩＰアドレスが上記以外のデフォルトのＩＰアドレスであるときについて説明する。このときには、ＶＬＡＮ検索テーブル７２４−２は、ＶＬＡＮ検索部７２３−２が、サーバ３−１以外の全加入者装置は共有して利用することができるがサーバ３−１は利用することができないＶＬＡＮ＃２０を選択することができることを記憶している。
【００８８】
本発明のＺ社用のＶＬＡＮ検索テーブル７２４−３を図１７に示す。サーバ３−３は、ユーザの拠点１及びサーバ３−１、３−２に対して、通信を遮断されなくてもよい。
【００８９】
受信ポートがＤ１でありつまり送信元がサーバ３−３であり、かつ、宛先ＩＰアドレスがサーバ３−１のＩＰアドレス「ＩＰ１」であるときについて説明する。サーバ３−３はサーバ３−１と、通信を遮断されなくてもよいうえに、ＶＬＡＮ＃１０、＃２０、＃３０を共有して利用することができる。そこで、ＶＬＡＮ検索テーブル７２４−３は、ＶＬＡＮ検索部７２３−３が、ＶＬＡＮ＃１０、＃２０、＃３０のうち少なくともいずれか（図１７ではＶＬＡＮ＃１０）を選択することができることを記憶している。
【００９０】
受信ポートがＤ１でありつまり送信元がサーバ３−３であり、かつ、宛先ＩＰアドレスがサーバ３−２のＩＰアドレス「ＩＰ２」であるときについて説明する。サーバ３−３はサーバ３−２と、通信を遮断されなくてもよいうえに、ＶＬＡＮ＃２０、＃３０を共有して利用することができる。そこで、ＶＬＡＮ検索テーブル７２４−３は、ＶＬＡＮ検索部７２３−３が、ＶＬＡＮ＃２０、＃３０のうち少なくともいずれか（図１７ではＶＬＡＮ＃２０）を選択することができることを記憶している。
【００９１】
受信ポートがＤ１でありつまり送信元がサーバ３−３であり、かつ、宛先ＩＰアドレスがマルチキャストＩＰアドレス「ＭＣ」であるときについて説明する。サーバ３−３はユーザの拠点１及びサーバ３−１、３−２と、通信を遮断されなくてもよいうえに、ＶＬＡＮ＃３０を共有して利用することができる。そこで、ＶＬＡＮ検索テーブル７２４−３は、ＶＬＡＮ検索部７２３−３が、ＶＬＡＮ＃３０を選択することができることを記憶している。
【００９２】
受信ポートがＤ１でありつまり送信元がサーバ３−３であり、かつ、宛先ＩＰアドレスが上記以外のデフォルトのＩＰアドレスであるときについて説明する。このときには、ＶＬＡＮ検索テーブル７２４−３は、ＶＬＡＮ検索部７２３−３が、全加入者装置が共有して利用することができるＶＬＡＮ＃３０を選択することができることを記憶している。
【００９３】
本発明の各下り方向通信部の構成を図１３に示す。各下り方向通信部７３は、Ｌ２スイッチ部７４から下りフレームを入力し、ＶＬＡＮタグを削除したうえで、加入者ポート７１に下りフレームを出力するため、ＭＡＣフレーム受信部７３１、タグ削除部７３２及びＭＡＣフレーム送出部７３３から構成されており、同様の構成を有している。
【００９４】
ＭＡＣフレーム受信部７３１は、Ｌ２スイッチ部７４から下りフレームを入力し、タグ削除部７３２に下りフレームを出力する。タグ削除部７３２は、仮想ネットワークタグ削除部に相当しており、中継ポート７５が受信した下りフレームから、下り通信で利用されたＶＬＡＮを示すタグを削除する。ＭＡＣフレーム送出部７３３は、タグ削除部７３２から下りフレームを入力し、加入者ポート７１に下りフレームを出力する。
【００９５】
このように、Ｌ２スイッチ７は、自己との通信が禁止される通信禁止装置に対して、受信した上りフレームを転送しないように、Ｃ−ＶＬＡＮタグではなく受信ポートの識別番号及び上りフレームの宛先ＩＰアドレスに基づいて、上りフレームを転送するＶＬＡＮを選択する。よって、複数のＶＬＡＮを包含する広域イーサネット（登録商標）Ｎにおいて、通信を遮断すべき経路について確実に通信を遮断して、確実にセキュリティを確保することができる。そして、ユーザの拠点１及びサーバ３−１、３−２、３−３は、自己のＬＡＮ環境をそのまま利用しながら、複数のＶＬＡＮを新たに利用することができる。
【００９６】
さらに、ユーザの拠点１及びサーバ３−１、３−２、３−３は、送信元ＩＰアドレスとして自己のＩＰアドレスを詐称することはできても、Ｌ２スイッチ７−０、７−１、７−２、７−３の受信ポートの識別番号を詐称することはできない。よって、Ｌ２スイッチ７は、送信元ＩＰアドレスの詐称に対処することができる。
【００９７】
さらに、Ｌ２スイッチ７は、下りフレームの受信時・転送時には、従来技術と同様のＶＬＡＮタグを削除するのみでよいため、従来技術をそのまま利用することができる。
【００９８】
さらに、Ｌ２スイッチ５は、フレームの受信時・転送時には、従来技術と同様のＶＬＡＮタグを参照するのみでよいため、従来技術をそのまま利用することができる。
【００９９】
Ｌ２スイッチ７は、自己にインストールされたプログラムを利用して、上りフレーム及び下りフレームの転送処理を実行することができる。Ｌ２スイッチ７用のプログラムは、記憶媒体又はインタネットを介して譲渡することができる。
【０１００】
（ユーザからのマルチキャスト）
本発明におけるユーザからのマルチキャストを図１８に示す。本発明における図１８の状況は、従来技術における図５の状況に対応している。
【０１０１】
ユーザの拠点１は、送信元ＩＰアドレスとして自己のＩＰアドレス「ＩＰ０」を設定し、マルチキャストＩＰアドレスとして「ＭＣ」を設定し、送信元ＭＡＣアドレスとして自己のＭＡＣアドレス「Ｍ０」を設定し、マルチキャストＭＡＣアドレスとして「ＭＣ」を設定し、Ｌ２スイッチ７−０に上りフレームを送信する。
【０１０２】
Ｌ２スイッチ７−０は、ポートＡ１においてユーザの拠点１から上りフレームを受信する。受信ポート宛先アドレス抽出部７２２−０では、ポートＡ１の情報及び宛先ＩＰアドレス「ＭＣ」の情報を抽出する。ＶＬＡＮ検索部７２３−０では、ＶＬＡＮ検索テーブル７２４−０を参照して、ＶＬＡＮ−ＩＤとして「＃３０」を選択する。タグ付与部７２５−０では、ＶＬＡＮタグとして「＃３０」を設定する。Ｌ２スイッチ７−０は、ポートＡ２においてＶＬＡＮ＃３０に上りフレームを送信する。
【０１０３】
Ｌ２スイッチ５は、ポートＥ０においてＬ２スイッチ７−０から上りフレームを受信し、上りフレームから抽出したＶＬＡＮタグに基づいて、ポートＥ１、Ｅ２、Ｅ３においてＬ２スイッチ７−１、７−２、７−３にそれぞれ下りフレームを送信する。
【０１０４】
Ｌ２スイッチ７−１、７−２、７−３は、Ｌ２スイッチ５から下りフレームを受信し、タグ削除部７３２−１、７３２−２、７３２−３において、下りフレームからＶＬＡＮタグを削除し、下りフレームから抽出した宛先ＭＡＣアドレス及び宛先ＩＰアドレスに基づいて、サーバ３−１、３−２、３−３にそれぞれ下りフレームを送信する。
【０１０５】
このように、本発明における図１８の状況では、従来技術における図５の状況と同様に、ユーザからマルチキャストを実行することができる。
【０１０６】
（Ｙ社からＸ社への送信）
本発明におけるＹ社からＸ社への送信を図１９に示す。本発明における図１９の状況は、従来技術における図６の状況に対応している。
【０１０７】
サーバ３−２は、送信元ＩＰアドレスとして自己のＩＰアドレス「ＩＰ２」を設定し、宛先ＩＰアドレスとしてサーバ３−１のＩＰアドレス「ＩＰ１」を設定し、送信元ＭＡＣアドレスとして自己のＭＡＣアドレス「Ｍ２」を設定し、宛先ＭＡＣアドレスとしてサーバ３−１のＭＡＣアドレス「Ｍ１」を設定し、Ｌ２スイッチ７−２に上りフレームを送信する。
【０１０８】
Ｌ２スイッチ７−２は、ポートＣ１においてサーバ３−２から上りフレームを受信する。受信ポート宛先アドレス抽出部７２２−２では、ポートＣ１の情報及び宛先ＩＰアドレス「ＩＰ１」の情報を抽出する。ＶＬＡＮ検索部７２３−２では、ＶＬＡＮ検索テーブル７２４−２を参照して、ＶＬＡＮ−ＩＤとして「＃２０」を選択する。タグ付与部７２５−２では、ＶＬＡＮタグとして「＃２０」を設定する。Ｌ２スイッチ７−２は、ポートＣ２においてＶＬＡＮ＃２０に上りフレームを送信する。
【０１０９】
Ｌ２スイッチ５は、ポートＥ２においてＬ２スイッチ７−２から上りフレームを受信し、サーバ３−１のＭＡＣアドレス「Ｍ１」を学習することなく、上りフレームから抽出したＶＬＡＮタグに基づいて、ポートＥ０、Ｅ３においてＬ２スイッチ７−０、７−３にそれぞれ下りフレームを送信するが、ポートＥ１においてＬ２スイッチ７−１に下りフレームを送信しない。
【０１１０】
Ｌ２スイッチ７−０、７−３は、Ｌ２スイッチ５から下りフレームを受信し、タグ削除部７３２−０、７３２−３において、下りフレームからＶＬＡＮタグを削除し、下りフレームから抽出した宛先ＭＡＣアドレス及び宛先ＩＰアドレスが自己の加入者装置（それぞれ、ユーザの拠点１、サーバ３−３）のＭＡＣアドレス及びＩＰアドレスと一致しないため、下りフレームを廃棄する。
【０１１１】
このように、本発明における図１９の状況では、従来技術における図６の状況と異なり、サーバ３−２からサーバ３−１にフレームを到達させることはできないため、Ｘ社の管理者はＹ社の情報を閲覧することができない。
【０１１２】
（Ｙ社からのマルチキャスト）
本発明におけるＹ社からのマルチキャストを図２０に示す。本発明における図２０の状況は、従来技術における図７の状況に対応している。
【０１１３】
サーバ３−２は、送信元ＩＰアドレスとして自己のＩＰアドレス「ＩＰ２」を設定し、マルチキャストＩＰアドレスとして「ＭＣ」を設定し、送信元ＭＡＣアドレスとして自己のＭＡＣアドレス「Ｍ２」を設定し、マルチキャストＭＡＣアドレスとして「ＭＣ」を設定し、Ｌ２スイッチ７−２に上りフレームを送信する。
【０１１４】
Ｌ２スイッチ７−２は、ポートＣ１においてサーバ３−２から上りフレームを受信する。受信ポート宛先アドレス抽出部７２２−２では、ポートＣ１の情報及び宛先ＩＰアドレス「ＭＣ」の情報を抽出する。ＶＬＡＮ検索部７２３−２では、ＶＬＡＮ検索テーブル７２４−２を参照して、ＶＬＡＮ−ＩＤとして「＃２０」を選択する。タグ付与部７２５−２では、ＶＬＡＮタグとして「＃２０」を設定する。Ｌ２スイッチ７−２は、ポートＣ２においてＶＬＡＮ＃２０に上りフレームを送信する。
【０１１５】
Ｌ２スイッチ５は、ポートＥ２においてＬ２スイッチ７−２から上りフレームを受信し、上りフレームから抽出したＶＬＡＮタグに基づいて、ポートＥ０、Ｅ３においてＬ２スイッチ７−０、７−３にそれぞれ下りフレームを送信するが、ポートＥ１においてＬ２スイッチ７−１に下りフレームを送信しない。
【０１１６】
Ｌ２スイッチ７−０、７−３は、Ｌ２スイッチ５から下りフレームを受信し、タグ削除部７３２−０、７３２−３において、下りフレームからＶＬＡＮタグを削除し、下りフレームから抽出した宛先ＭＡＣアドレス及び宛先ＩＰアドレスがマルチキャストＭＡＣアドレス及びマルチキャストＩＰアドレスであるため、ユーザの拠点１及びサーバ３−３にそれぞれ下りフレームを送信する。
【０１１７】
このように、本発明における図２０の状況では、従来技術における図７の状況と異なり、サーバ３−２からサーバ３−１にフレームを到達させることはできないため、Ｘ社の管理者はＹ社の情報を閲覧することができない。
【０１１８】
（Ｙ社からＸ社への詐称送信）
本発明におけるＹ社からＸ社への詐称送信を図２１に示す。本発明における図２１の状況は、従来技術における図８の状況に対応している。
【０１１９】
サーバ３−２は、送信元ＩＰアドレスとして詐称されたＩＰアドレス「ＩＰ３」を設定し、宛先ＩＰアドレスとしてサーバ３−１のＩＰアドレス「ＩＰ１」を設定し、送信元ＭＡＣアドレスとして自己のＭＡＣアドレス「Ｍ２」を設定し、宛先ＭＡＣアドレスとしてサーバ３−１のＭＡＣアドレス「Ｍ１」を設定し、Ｌ２スイッチ７−２に上りフレームを送信する。
【０１２０】
Ｌ２スイッチ７−２は、ポートＣ１においてサーバ３−２から上りフレームを受信する。受信ポート宛先アドレス抽出部７２２−２では、ポートＣ１の情報及び宛先ＩＰアドレス「ＩＰ１」の情報を抽出する。ＶＬＡＮ検索部７２３−２では、ＶＬＡＮ検索テーブル７２４−２を参照して、ＶＬＡＮ−ＩＤとして「＃２０」を選択する。タグ付与部７２５−２では、ＶＬＡＮタグとして「＃２０」を設定する。Ｌ２スイッチ７−２は、ポートＣ２においてＶＬＡＮ＃２０に上りフレームを送信する。
【０１２１】
Ｌ２スイッチ５は、ポートＥ２においてＬ２スイッチ７−２から上りフレームを受信し、サーバ３−１のＭＡＣアドレス「Ｍ１」を学習することなく、上りフレームから抽出したＶＬＡＮタグに基づいて、ポートＥ０、Ｅ３においてＬ２スイッチ７−０、７−３にそれぞれ下りフレームを送信するが、ポートＥ１においてＬ２スイッチ７−１に下りフレームを送信しない。
【０１２２】
Ｌ２スイッチ７−０、７−３は、Ｌ２スイッチ５から下りフレームを受信し、タグ削除部７３２−０、７３２−３において、下りフレームからＶＬＡＮタグを削除し、下りフレームから抽出した宛先ＭＡＣアドレス及び宛先ＩＰアドレスが自己の加入者装置（それぞれ、ユーザの拠点１、サーバ３−３）のＭＡＣアドレス及びＩＰアドレスと一致しないため、下りフレームを廃棄する。
【０１２３】
このように、本発明における図２１の状況では、従来技術における図８の状況と異なり、サーバ３−２からサーバ３−１にフレームを到達させることはできないため、Ｘ社の管理者はＹ社の情報を閲覧することができないとともに、Ｘ社のユーザもサーバ３−１にアクセスしてＹ社の情報を閲覧することができない。
【０１２４】
（変形例）
実施形態では、Ｌ２スイッチ７のＶＬＡＮ検索部７２３は、受信ポートの識別番号及び宛先ＩＰアドレスに基づいて、上りフレームを転送するＶＬＡＮを選択している。変形例として、Ｌ２スイッチ７のＶＬＡＮ検索部７２３は、受信ポートの識別番号及び宛先ＭＡＣアドレスに基づいて、上りフレームを転送するＶＬＡＮを選択してもよい。この変形例を実施するためには、Ｌ２スイッチ７のＶＬＡＮ検索テーブル７２４は、宛先ＩＰアドレスに代えて宛先ＭＡＣアドレスを記憶していればよい。
【０１２５】
実施形態では、Ｌ２スイッチ７のＶＬＡＮ検索テーブル７２４は、ＶＬＡＮ検索部７２３が選択することを禁止されないＶＬＡＮのうち、一部のＶＬＡＮを記憶している。変形例として、Ｌ２スイッチ７のＶＬＡＮ検索テーブル７２４は、ＶＬＡＮ検索部７２３が選択することを禁止されないＶＬＡＮのうち、全てのＶＬＡＮを記憶してもよい。
【０１２６】
実施形態では、図１９及び図２１の状況において、宛先ＩＰアドレスが「ＩＰ１」であり送信が禁止される場合でも、Ｌ２スイッチ７−２は上りフレームをＶＬＡＮ＃２０に送信している。変形例として、図１９及び図２１の状況において、宛先ＩＰアドレスが「ＩＰ１」であり送信が禁止される場合には、Ｌ２スイッチ７−２は上りフレームを廃棄してもよい。ここで、ＶＬＡＮ検索部７２３−２がＶＬＡＮ−ＩＤを選択することは、ＶＬＡＮ検索部７２３−２がＶＬＡＮ＃２０、＃３０のいずれも通信可能経路として選択しないことを含む。この変形例を実施するためには、Ｌ２スイッチ７−２のＶＬＡＮ検索テーブル７２４−２は、例えば、受信ポートが「Ｃ１」であり宛先ＩＰアドレスが「ＩＰ１」であるときには、ＶＬＡＮ検索部７２３−２がＶＬＡＮ−ＩＤを選択することなく上りフレームを廃棄するように、設定を記憶していればよい。
【産業上の利用可能性】
【０１２７】
本発明に係る転送装置、仮想ネットワークシステム、転送装置における転送方法及び転送装置プログラムは、事業者のサーバがユーザの拠点にアプリケーションサービスを提供する場合などにおいて、広範に適用することができる。
【符号の説明】
【０１２８】
Ｎ：広域イーサネット（登録商標）
１：ユーザＡの拠点
２：ユーザＢの拠点
３、３−１、３−２、３−３：サーバ
４、４−０、４−１、４−２、４−３：Ｌ２スイッチ
５：Ｌ２スイッチ
６：ファイアウォール
７、７−０、７−１、７−２、７−３：Ｌ２スイッチ
７１：加入者ポート
７２：上り方向通信部
７３：下り方向通信部
７４：Ｌ２スイッチ部
７５：中継ポート
７２１：ＭＡＣフレーム受信部
７２２：受信ポート宛先アドレス抽出部
７２３：ＶＬＡＮ検索部
７２４：ＶＬＡＮ検索テーブル
７２５：タグ付与部
７２６：ＭＡＣフレーム送出部
７３１：ＭＡＣフレーム受信部
７３２：タグ削除部
７３３：ＭＡＣフレーム送出部
【図１】
0005718268.tif 000002
【図２】
0005718268.tif 000003
【図３】
0005718268.tif 000004
【図４】
0005718268.tif 000005
【図５】
0005718268.tif 000006
【図６】
0005718268.tif 000007
【図７】
0005718268.tif 000008
【図８】
0005718268.tif 000009
【図９】
0005718268.tif 000010
【図１０】
0005718268.tif 000011
【図１１】
0005718268.tif 000012
【図１２】
0005718268.tif 000013
【図１３】
0005718268.tif 000014
【図１４】
0005718268.tif 000015
【図１５】
0005718268.tif 000016
【図１６】
0005718268.tif 000017
【図１７】
0005718268.tif 000018
【図１８】
0005718268.tif 000019
【図１９】
0005718268.tif 000020
【図２０】
0005718268.tif 000021
【図２１】
0005718268.tif 000022